●為了加強(qiáng)涉及國(guó)家秘密的信息系統(tǒng)的保密管理，確保國(guó)家秘密信息安全，國(guó)家保密局于2005年發(fā)布了《涉及國(guó)家秘密的信息系統(tǒng)分級(jí)保護(hù)管理辦法》，明確了涉密信息系統(tǒng)實(shí)行分級(jí)保護(hù)。

●隨后國(guó)家保密局協(xié)同相關(guān)單位陸續(xù)發(fā)布了《涉及國(guó)家秘密的信息系統(tǒng)分級(jí)保護(hù)技術(shù)要求》、《涉及國(guó)家秘密的信息系統(tǒng)分級(jí)保護(hù)管理規(guī)范》、《涉及國(guó)家秘密的信息系統(tǒng)分級(jí)保護(hù)測(cè)評(píng)指南》、《涉及國(guó)家秘密的信息系統(tǒng)分級(jí)保護(hù)設(shè)計(jì)指南》等規(guī)范性文件，從技術(shù)、管理、測(cè)評(píng)、設(shè)計(jì)等方面規(guī)范了分級(jí)保護(hù)的建設(shè)。

●中華人民共和國(guó)第十屆全國(guó)人民代表大會(huì)于2010年4月公布了《中華人民共和國(guó)保守國(guó)家秘密法》，在法律層面進(jìn)一步明確了涉密信息系統(tǒng)必須按照涉密程度實(shí)行分級(jí)保護(hù)。

●隨著法律法規(guī)、部門(mén)規(guī)章制度的頒布，各級(jí)單位參照法律法規(guī)、主管部門(mén)分級(jí)保護(hù)規(guī)章制度的要求，紛紛進(jìn)行了涉密信息系統(tǒng)分級(jí)保護(hù)安全配套設(shè)施和管理制度的建設(shè)，如《涉密計(jì)算機(jī)安全使用保密管理制度》、《互聯(lián)網(wǎng)信息發(fā)布信息保密管理制度》等，并每年根據(jù)評(píng)分表定期開(kāi)展信息安全檢查，以及時(shí)掌握計(jì)算機(jī)系統(tǒng)保密工作的管理狀況，發(fā)現(xiàn)存在的安全保密隱患和漏洞。

2020年是不平凡的一年，突然而來(lái)的疫情打亂了很多單位的工作節(jié)奏，但截至目前，保密檢查工作依然有條不紊地進(jìn)行中，各級(jí)單位紛紛發(fā)出信息安全檢查通知，明確要求對(duì)涉及國(guó)家安全、經(jīng)濟(jì)命脈、社會(huì)穩(wěn)定的基礎(chǔ)信息網(wǎng)絡(luò)和重要信息系統(tǒng)進(jìn)行信息安全檢查。如何有效加強(qiáng)本單位安全保密管理，提高本單位工作人員的信息安全保密意識(shí)和整個(gè)單位信息安全保密防范能力，是各單位迫切需要解決的問(wèn)題，特別是對(duì)涉密網(wǎng)非法接入、涉密網(wǎng)計(jì)算機(jī)未經(jīng)許可違規(guī)外聯(lián)、涉密網(wǎng)移動(dòng)存儲(chǔ)介質(zhì)混插、高密級(jí)數(shù)據(jù)從高等級(jí)安全域流向低等級(jí)安全域、計(jì)算機(jī)病毒泛濫、內(nèi)部計(jì)算機(jī)打印、復(fù)制、截屏等信息輸出行為難以控制等問(wèn)題，迫切需要采取相應(yīng)技術(shù)措施加以控制，聯(lián)軟科技特推出針對(duì)保密檢查工作的全方位解決方案，幫助用戶解決以上問(wèn)題。

解決方案

Part 1邊界安全

根據(jù)《涉及國(guó)家秘密的信息系統(tǒng)分級(jí)保護(hù)技術(shù)要求》等相關(guān)內(nèi)容，涉密網(wǎng)邊界安全涉及安全邊界明確、邊界控制、邊界訪問(wèn)控制、邊界防護(hù)措施、邊界訪問(wèn)控制審計(jì)、違規(guī)外聯(lián)監(jiān)控六個(gè)方面，重點(diǎn)是要做好邊界控制和違規(guī)外聯(lián)監(jiān)控，這2項(xiàng)在安全檢查中一旦發(fā)現(xiàn)不滿足要求，會(huì)被一票否決。

（1）安全邊界明確

各單位應(yīng)根據(jù)信息系統(tǒng)密級(jí)、系統(tǒng)重要性和安全策略劃分不同的安全域，用戶可根據(jù)信息密級(jí)、行政級(jí)別、業(yè)務(wù)類別、地域分布等方法劃分安全域，不同的安全域可單獨(dú)確定等級(jí)，并按照相應(yīng)等級(jí)進(jìn)行安全防護(hù)，當(dāng)然同一等級(jí)的不同安全域可根據(jù)風(fēng)險(xiǎn)評(píng)估結(jié)果和實(shí)際安全需求，選擇采用不同的保護(hù)要求。

（2）邊界訪問(wèn)控制（可一票否決）

邊界的接入認(rèn)證和訪問(wèn)控制是涉密網(wǎng)安全控制的基礎(chǔ)，也是分級(jí)保護(hù)技術(shù)標(biāo)準(zhǔn)中明確要求的必備設(shè)施之一，如果不構(gòu)建涉密網(wǎng)的邊界接入控制設(shè)施，在檢查過(guò)程中如果發(fā)現(xiàn)，會(huì)被一票否決。因此，強(qiáng)烈建議用戶為涉密網(wǎng)部署網(wǎng)絡(luò)準(zhǔn)入控制系統(tǒng)，通過(guò)該系統(tǒng)提供的訪問(wèn)控制策略，可實(shí)現(xiàn)基于用戶的強(qiáng)制訪問(wèn)控制，防止未授權(quán)、非合規(guī)的設(shè)備接入涉密網(wǎng)，并對(duì)其資源訪問(wèn)權(quán)限進(jìn)行控制，實(shí)現(xiàn)最小授權(quán)，防止越權(quán)訪問(wèn)非權(quán)限范圍內(nèi)的涉密信息系統(tǒng)資源。

需要說(shuō)明的是，聯(lián)軟網(wǎng)絡(luò)接入控制系統(tǒng)V5.0是聯(lián)軟科技具有涉密信息系統(tǒng)產(chǎn)品檢測(cè)證書(shū)的系統(tǒng)，可以在涉密網(wǎng)中使用。同時(shí)，目前已完成了與主流操作系統(tǒng)（UOS、中標(biāo)麒麟等）、CPU（兆芯、鯤鵬、飛騰、龍芯）的適配，可以滿足用戶國(guó)產(chǎn)化的要求，用戶可以靈活選擇操作系統(tǒng)和CPU。實(shí)現(xiàn)效果如下圖：

（3）邊界防護(hù)措施

根據(jù)區(qū)域劃分情況，在系統(tǒng)或安全區(qū)域邊界的關(guān)鍵點(diǎn)部署安全防護(hù)設(shè)施，如涉密網(wǎng)終端與網(wǎng)絡(luò)之間的邊界、不同安全等級(jí)的區(qū)域之間的邊界，針對(duì)機(jī)密增強(qiáng)、絕密級(jí)還應(yīng)采用安全隔離與信息交換系統(tǒng)（俗稱網(wǎng)閘）進(jìn)行邊界防護(hù)。

（4）邊界訪問(wèn)控制審計(jì)

主要是對(duì)邊界訪問(wèn)進(jìn)行訪問(wèn)控制和審計(jì)，記錄通過(guò)邊界訪問(wèn)控制設(shè)備進(jìn)出邊界的事件，如接入時(shí)間、接入用戶、接入位置、接入結(jié)果等。

（5）入侵檢測(cè)

采用入侵檢測(cè)等工具對(duì)系統(tǒng)內(nèi)的安全事件進(jìn)行監(jiān)控，檢測(cè)攻擊行為并可及時(shí)發(fā)現(xiàn)系統(tǒng)內(nèi)非授權(quán)使用的情況，并針對(duì)機(jī)密增強(qiáng)、絕密級(jí)另外要求集中管理、與訪問(wèn)控制或流向控制聯(lián)動(dòng)、非授權(quán)接入行為發(fā)現(xiàn)。需要說(shuō)明的是聯(lián)軟網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)V5.0可以滿足絕密級(jí)入侵檢測(cè)的要求，并具有涉密信息系統(tǒng)產(chǎn)品檢測(cè)證書(shū)，可以在涉密網(wǎng)中使用，同時(shí)目前已完成了與主流操作系統(tǒng)、CPU的適配。

（6）違規(guī)外聯(lián)監(jiān)控（可一票否決）

及時(shí)發(fā)現(xiàn)違規(guī)外聯(lián)行為，如違規(guī)連接互聯(lián)網(wǎng)、違規(guī)撥號(hào)上網(wǎng)等，并可對(duì)違規(guī)外聯(lián)行為進(jìn)行審計(jì)和阻斷，是分級(jí)保護(hù)技術(shù)標(biāo)準(zhǔn)中明確要求的必備設(shè)施之一。同樣一旦檢查中發(fā)現(xiàn)有違規(guī)外聯(lián)行為，可一票否決。違規(guī)外聯(lián)行為控制點(diǎn)涉及面比較廣，用戶可通過(guò)紅外、藍(lán)牙、軟驅(qū)、1394、PCMCI、串口、并口等接口外聯(lián)，如通過(guò)藍(lán)牙將涉密終端的數(shù)據(jù)傳送到非涉密終端，或通過(guò)串口接撥號(hào)使設(shè)備外聯(lián)互聯(lián)網(wǎng)等，可見(jiàn)非常有必要對(duì)終端這些接口進(jìn)行控制；除了通過(guò)上述接口外，也可通過(guò)自建WIFI熱點(diǎn)、雙網(wǎng)口等方式外聯(lián)，這些通道也必須具有控制的能力，如禁用、審計(jì)等；另外，移動(dòng)存儲(chǔ)介質(zhì)、智能設(shè)備、光驅(qū)等外設(shè)也可能違規(guī)外聯(lián)，導(dǎo)致涉密數(shù)據(jù)泄露，如手機(jī)私設(shè)熱點(diǎn)非法外聯(lián)泄露數(shù)據(jù)、U盤(pán)未經(jīng)允許拷貝涉密電腦數(shù)據(jù)等，因此對(duì)這些設(shè)施也需要進(jìn)行相應(yīng)控制，如不允許光驅(qū)刻錄只能讀、不允許U盤(pán)寫(xiě)只能讀、智能設(shè)備只讀不允許寫(xiě)等。

Part 2密級(jí)標(biāo)識(shí)及安全域間邊界防護(hù)

（1）密級(jí)標(biāo)識(shí)

根據(jù)分保相關(guān)要求，針對(duì)涉密信息系統(tǒng)中存在大量電子文件等涉密數(shù)據(jù)，必須進(jìn)行相應(yīng)的密級(jí)標(biāo)識(shí)，同時(shí)密級(jí)標(biāo)識(shí)還應(yīng)與信息主體綁定，確保不可分割，且其自身也不可篡改。聯(lián)軟科技文檔智能加密系統(tǒng)可以滿足密級(jí)標(biāo)識(shí)相關(guān)要求。

（2）安全域間的邊界防護(hù)

根據(jù)分保相關(guān)要求，所有安全域之間的數(shù)據(jù)通信必須安全可靠，應(yīng)禁止高密級(jí)信息由高等安全域流向低等級(jí)安全域。通過(guò)聯(lián)軟文檔智能加密系統(tǒng)，可將文件進(jìn)行安全域分類，設(shè)置用戶權(quán)限時(shí)，管理員可以自定義用戶針對(duì)安全域文件的操作權(quán)限，如打開(kāi)、打印等，最終可實(shí)現(xiàn)內(nèi)部數(shù)據(jù)根據(jù)重要性進(jìn)行安全域劃分，高等級(jí)安全域的高密級(jí)信息不會(huì)流向低等級(jí)安全域，如保密部門(mén)的數(shù)據(jù)屬于絕密數(shù)據(jù)，只能在保密部門(mén)內(nèi)部流轉(zhuǎn)，其他部門(mén)無(wú)法查看和使用保密部門(mén)的文件，但保密部門(mén)可以正常查看和使用其他部門(mén)的文件。

Part 3計(jì)算機(jī)病毒與惡意代碼防護(hù)

根據(jù)分保相關(guān)要求，計(jì)算機(jī)病毒與惡意代碼控制涉及傳播控制、計(jì)算機(jī)惡意代碼防護(hù)、軟件管理、惡意代碼更新四個(gè)方面。

（1）傳播控制

根據(jù)分保相關(guān)要求，傳播控制涉及網(wǎng)絡(luò)、電子郵件、U盤(pán)等，因此除了利用防毒墻、電子郵件網(wǎng)關(guān)等設(shè)施針對(duì)網(wǎng)絡(luò)、電子郵件通道進(jìn)行病毒與惡意代碼防護(hù)之外，建議重點(diǎn)做好移動(dòng)存儲(chǔ)介質(zhì)病毒傳播控制，如涉密網(wǎng)環(huán)境下對(duì)非授權(quán)U盤(pán)進(jìn)行控制，避免惡意代碼等風(fēng)險(xiǎn)的帶入涉密網(wǎng)；涉密網(wǎng)非必要終端禁止U盤(pán)使用；指定進(jìn)程拷貝數(shù)據(jù)，避免惡意進(jìn)程拷貝數(shù)據(jù)等。

（2）計(jì)算機(jī)惡意代碼防護(hù)

根據(jù)分保相關(guān)要求，需要考慮計(jì)算機(jī)惡意代碼防護(hù)，該技術(shù)目前比較成熟，建議用戶選擇具有涉密信息產(chǎn)品檢測(cè)證書(shū)的網(wǎng)絡(luò)防病毒軟件，實(shí)現(xiàn)計(jì)算機(jī)設(shè)備的病毒和惡意代碼查殺。

（3）軟件管理

根據(jù)分保相關(guān)要求，涉密信息系統(tǒng)內(nèi)不得隨意進(jìn)行軟件的安裝，軟件安裝應(yīng)經(jīng)過(guò)系統(tǒng)使用單位的批準(zhǔn)和備案，并進(jìn)行計(jì)算機(jī)病毒和惡意代碼檢查處理，有些甚至要求兩種計(jì)算機(jī)病毒惡意代碼防護(hù)產(chǎn)品檢查，因此主機(jī)安全監(jiān)控與審計(jì)系統(tǒng)提供的終端標(biāo)準(zhǔn)化管理模塊可以禁止用戶私自安裝軟件，用戶只能從軟件商城下載和安裝經(jīng)過(guò)批準(zhǔn)和備案的軟件，所有軟件在上傳到軟件商城都可經(jīng)過(guò)兩款以上惡意代碼防護(hù)產(chǎn)品的惡意代碼檢查處理。

（4）惡意代碼庫(kù)更新

根據(jù)分保相關(guān)要求，惡意代碼防護(hù)系統(tǒng)應(yīng)及時(shí)更新惡意代碼庫(kù)，且明確要求避免在線更新，聯(lián)軟提供的計(jì)算機(jī)病毒和惡意代碼防護(hù)系統(tǒng)可以手動(dòng)離線更新。

Part 4主機(jī)監(jiān)控與審計(jì)

根據(jù)分保相關(guān)要求，主機(jī)監(jiān)控與審計(jì)涉及身份鑒別、訪問(wèn)控制、信息輸出控制、密碼保護(hù)、系統(tǒng)配置管理、安全審計(jì)、操作系統(tǒng)安全加固等方面。聯(lián)軟科技主機(jī)監(jiān)控與審計(jì)，除了身份鑒別、訪問(wèn)控制、系統(tǒng)配置管理、操作系統(tǒng)加固等基礎(chǔ)功能之外，同時(shí)還可對(duì)打印、復(fù)制、屏幕截取、U盤(pán)拷貝、文件操作、上網(wǎng)等行為進(jìn)行審計(jì)和控制，另外在終端數(shù)據(jù)采集、網(wǎng)絡(luò)準(zhǔn)入認(rèn)證、數(shù)據(jù)安全存儲(chǔ)、安全U盤(pán)、數(shù)據(jù)內(nèi)部流轉(zhuǎn)保護(hù)、數(shù)據(jù)外帶保護(hù)都應(yīng)用到了相關(guān)密碼技術(shù)，主要包括SM2、SM3、SM4，可有效確保數(shù)據(jù)安全，對(duì)涉密數(shù)據(jù)存儲(chǔ)、使用、外發(fā)進(jìn)行保護(hù)。

方案特點(diǎn)及效果

（1）通過(guò)邊界控制可以協(xié)助用戶解決涉密網(wǎng)用戶和終端非法接入的難題，并可對(duì)涉密網(wǎng)網(wǎng)絡(luò)接入行為進(jìn)行記錄，以便審計(jì)。

（2）通過(guò)違規(guī)外聯(lián)控制可以防止涉密網(wǎng)內(nèi)的計(jì)算機(jī)未經(jīng)許可違規(guī)連接外部網(wǎng)絡(luò)，并可對(duì)違規(guī)外聯(lián)行為進(jìn)行控制，如禁用等。

（3）通過(guò)移動(dòng)存儲(chǔ)介質(zhì)管理可以防止未經(jīng)許可的U盤(pán)、智能手機(jī)等移動(dòng)存儲(chǔ)介質(zhì)隨意使用，同時(shí)可對(duì)移動(dòng)存儲(chǔ)介質(zhì)進(jìn)行精細(xì)化管理，如手機(jī)只能充電不能寫(xiě)數(shù)據(jù)，防止涉密數(shù)據(jù)泄露。

（4）通過(guò)文檔智能加密系統(tǒng)可實(shí)現(xiàn)數(shù)據(jù)密級(jí)標(biāo)識(shí)，并可有效禁止高密級(jí)數(shù)據(jù)從高等級(jí)安全域流向低等級(jí)安全域。

（5）通過(guò)采用傳播控制、計(jì)算機(jī)惡意代碼防護(hù)、軟件管理等綜合手段，有效防止惡意代碼泛濫。

（6）通過(guò)主機(jī)監(jiān)控與審計(jì)系統(tǒng)可實(shí)現(xiàn)接入控制、終端安全管理和數(shù)據(jù)防泄露，對(duì)打印、復(fù)制、截屏等信息輸出行為進(jìn)行有效控制。