摘  要: *分析当前信息安全保密的严峻形势，指出我所在涉密内网实施信息安全保密防护系统具有重要的意义；介绍“一key通”局域网安全保密防护系统功能特点；介绍我所实施“一key通”局域网安全保密防护系统的方法和过程；我所安全保密防护系统的实施效果评价及今后工作的方向*

    关键词: *信息系统；安全保密；技术防范；局域网 *
    0．引言
    随着信息技术的发展，社会信息化程度越来越高，信息已成为重要的战略资源，信息产业成为国家的支柱产业，信息网络成为国家重要的战略基础设施。20世纪90年代，全球信息化已经成为一个不可阻挡的历史进程，信息安全问题日益严峻地摆在世人面前。进入21世纪，信息技术的飞速发展和应用，企业信息化建设的不断深入，网络化与信息化在大幅度提升我们的工作效率和研发能力的同时，事实上也带来了新的安全保密隐患，使保密管理工作和技术防范产生了新的课题。
    当前，我国在经济、科技、军事等领域遭受到巨大的压力和挑战，国际、国内安全保密形势严峻而复杂。长期以来，国内外敌特分子利用各种手段，全方位刺探我国情报，近年来利用计算机网络系统进行信息盗取、交易、控制等行动明显增加，信息安全保密形势日趋严峻。
同时，很多单位的涉密网络在设计、建设、使用、运维等方面存在的问题逐渐浮出水面，即使是物理隔离的涉密内网，仍然存在大量的安全保密隐患。涉密网络建设初期的“打补丁”方式已经过去，寻求和实施网络信息安全保密防护系统整体解决方案成为了涉密网络建设单位的当务之急。
    1．实施内网信息安全保密防护的意义
    计算机信息系统安全保密，是指为防止泄密、窃密和破坏，对计算机信息系统及其所存储的信息和数据、相关的环境与场所、安全保密产品进行安全防护，确保以电磁信号为主要形式的信息在产生、存储、传递和处理等过程中的保密性、完整性、可用性和抗抵赖性。
    近年来，我国发生了多起通过计算机、网络造成的失泄密事件，给国家安全和利益带来了很大的威胁。根据国际安全界的统计，各种计算机网络、存储数据遭受的攻击和破坏，80％是内部人员所为。而传统的网络安全技术对于内部用户攻击和威胁事件显得无能为力。另外，根据国际国内安全界对近年来的攻击事件、攻击人群和主要企业机构的研究表明：在众多的攻击行为和事件中，最主要的是信息泄漏事件。攻击者主要来自企业和机构内部，而非外部攻击者；而安全事件造成经济损失最大的，也是由内部人员有意或无意的信息泄漏事件所造成。所以，内网防护是当前涉密信息系统安全建设的重点工作。
    中国电子科技集团公司第三十研究所是以全所力量从事信息安全和通信保密的专业研究所，向社会提供全方位信息安全保密产品、通信网络系统与产品，并提供全方位信息服务。专业的直觉性让我们很早就意识到：涉密网络安全保密异常重要，实施系统整体安全防护义不容辞。我所内部涉密局域网建设之前，《三十所涉密计算机信息系统设计方案》已经通过我所专家评议，之后获得四川省保密局组织的评审并获批准。在所网安全防护建设初期，我们结合“保密资格审查认证标准”，在网络中心区域上先后部署了入侵检测系统、防火墙、网络防病毒软件、服务器系统日志、安全处理应急机制、Windows补丁自动更新系统等安全保密技术防范措施，在用户终端区域也采取措施加强管理，对涉密计算机信息系统在口令设置、密级标识、端口封闭、涉密移动载体管理、办公自动化管理等方面作了规范性要求。
    最近几年，中央、国家领导人和有关部委一再强调加强信息安全和网络防护的重要性，相继出台了相关的保密管理规定、指南和技术要求，并通过测评、认证的方式强制推行，对涉及国家秘密计算机网络信息安全保密越来越严格，信息系统的安全保密已经直接成为影响到单位自身生存发展的“饭碗”问题。从2003年到2007年，《国家信息化领导小组关于加强信息安全保障工作的意见》、《通信、计算机信息系统及办公自动化设备的管理评分细则》、《信息安全等级保护管理办法》、《涉及国家秘密的信息系统分级保护技术要求》相继出台，其它有关加强信息系统安全保密的规定、规范、标准还在积极修订完善之中，这些规章制度，对于提高国家信息安全保障能力和指导涉密网络建设单位具有重要意义。
    在国家加强网络安全保密建设的新形势要求下，我所及时召开专题会议，对照国家出台的保密规定、标准，研究、讨论所网实际应用中技术防范手段和保密措施的不足，继而提出选择专业的信息安全解决方案与系统产品提供商，对所网实施全面的、系统的安全保密防护工程。2005年，在罗天文所长、黄月江书记的决策和亲自部署下，选择成都卫士通信息产业股份有限公司的“一key通”局域网安全保密防护系统，作为我所涉密局域网实施整体防护的指定产品，随之落实责任部门和时间节点，保证工作顺利进行。
    2．“一key通” 局域网安全保密防护系统功能特点
    信息系统安全体系的研究者和设计者的最高境界，是从研究信息系统风险的一般规律入手，认识和掌握信息系统风险状态和分布情况的变化规律，提出安全需求，建立起具有自适应能力的信息系统安全模型，从而驾驭安全风险，使信息系统风险被控制在可接受的最小限度，使得安全风险最小化、收敛化和可控化。
    一个安全保密的计算机信息系统，应能达到“五不”：“进不来、拿不走、看不懂、走不脱、赖不掉”，即非合法用户进入不了系统；非授权用户拿不到信息；重要的信息进行了加密，即使看了也看不懂；进入系统或在涉密系统内进行违规操作，就会留下痕迹，走不脱；拿走或篡改了信息，就有相关记录，想赖也赖不掉。
    “一key通”局域网安全保密防护系统，全面分析了涉密内网的安全保密威胁与需求，突破了以传统的被动安全系统防御模式，防御重点变被动为主动，从终端源头、业务应用系统、服务器，实现了对用户违规操作的有效防范。通过添加身份认证、安全代理等设备功能，实现对涉密服务器群的集中保护，大大降低了用户的投资总量。系统安装部署简便，对用户原有系统不做改动；底层加解密对用户透明，使用便捷；客户端软件可以采用自动分发、提示升级、自动安装的模式，大大加快了部署进度。
    “一key通”局域网综合安全保护系统在等级防护、积极防御与综合防范的安全策略下，以密码技术为核心，以安全管理中心和密钥管理中心为支持，构建应用环境安全、应用区域边界安全和网络通信安全的三重安全防护体系，结合认证与访问安全、操作系统安全，管理安全等核心安全技术，充分体现了内部局域网安全防御的指导思想。
其主要功能体现在三个方面：终端防护级——每个入网者配用一个key实现个人证书存储、数字签名等功能，作为身份识别的唯一标识；部门级防护——安全文件共享服务器：版本控制服务器保护；网络级防护—— “一key通”系统实现了对敏感服务器的全面保护，包括集中身份认证、安全代理服务器、数据库加密。
    “一key通” 局域网安全保密防护系统集成了终端可信平台、USB key同时兼有用户证书存储介质、身份认证介质、密码安全模块等多重功能，经国家批准的加密算法，能够充分满足保密资质认证和分级保护的要求。USB key同时兼有用户证书存储介质、身份认证介质、密码安全模块等多重功能，经国家批准的加密算法，能够充分满足保密资质认证和分级保护的要求。服务器加固、身份认证与访问控制、文件安全存储与交换、打印控制、移动存储介质管理、主机监控与审计、证书及密钥管理等多个系统。用户证书和密钥存储在一个USB Key中，直接增加用户登录计算机的认证强度。在软件加密的同时采用硬件实现，结合多种加密算法设计并参照国家自己的相关密码标准进行设计，使安全性得到很大提高。 
    3．实施“一key通”局域网安全保密防护系统的方法和过程
    2005年9月至2008年初，三十所“一key通”局域网安全保密防护系统在以罗天文所长为首的所领导班子和以黄月江书记为首的所党委、保密委的大力支持和规划部署下，经过保密处、信息资讯中心、资产管理处、系统供应商等部门的密切配合和积极实施，系统完成多次升级，设计方案及时完善，网络设备添置更新，目前整个系统性能十分稳定、功能更加完善。
    3.1周密计划，稳步推进
    为保障“一key通”在我所顺利推行，我们制定了详细的实施计划，在所内3个试点部门召开实施动员会议，2005年8月，在3个部门进行两次试用，解决初期的一些常见问题后，于9月至11月，正式在全所部署，并在全所进行进行几个层次的操作培训。同时，发布了与之配套的规章制度，要求各部门严格执行。
    3.2积极完善，改进升级
    所网实施“一key通”后，系统承建商根据我所反馈的信息和国家主管部门对涉密信息系统的技术要求，结合研发出的先进技术成果，不断整合使用功能，主动对系统进行规划设计并完成5次升级。2005年12月，进一步完善了一key通的功能；2006年1月，开展“一key通”有奖征集使用意见活动，5月，“一key通”第一次全面升级；2007年9月，“一key通”第二次全面升级。通过升级改造，性能、功能的稳定性、易用性继续加强，能够达到上级保密技术防范的要求。
    3.3建章立制，保障实施
    在提高技术防范水平的同时，我们一方面尽快完善管理制度，先后两次修订了《三十所计算机信息系统安全保密管理暂行规定》、《便携式计算机管理规定》，一方面加大保密检查力度，除搞好重要节假日前的日常保密检查，保密处还会同信息资讯中心、资产管理处多次对各基层单位的使用保密管理情况进行专项检查，并根据实际结果发布检查通报，对发现的问题和隐患，大胆批评，提出整改意见后限期整改，对管理规范的部门，推广经验，称赞表扬。
    4．实施效果及评价
    客观的讲，“一key通”在实施初期并不顺利，一方面，我所介入局域网计算机的数量较多，软硬件环境比较复杂，从而增加了实施的难度，另一方面，系统软件本身需要在实践中丰富和提高，在公司技术人员的不懈努力下，“一key通”系统安全保密功能多次升级，产品逐渐走向稳定、成熟。
我所涉密计算机终端配置各异、数量众多，是保密管理的难点和重点。在安装“一key通”系统后，做到了：全网无明码涉密文件、涉密数据加密传输、敏感操作集中监控。该系统以密码技术为核心，建立局域网内部的信任体系，对局域网内部的操作者进行身份认证和访问控制，对计算机终端和服务器进行重点保护，从终端源头、业务应用系统、服务器，实现了对用户违规操作的有效防范。
    总体来说，“一key通”局域网安全保密防护系统结合认证与访问安全、操作系统安全、管理安全等核心安全技术，实现了内网安全防御的指导思想，能够满足我所涉密信息系统对信息安全防护的需要，是一个综合的、高强度的安全防护系统。
    通过实施所网安全保密防护系统，我们认识到：要搞好信息网络的安全保密技术防范，技术上要依托实力雄厚的专业信息安全解决方案与系统产品提供商，才能使网络和联网计算机运行稳定、功能强劲、升级及时，服务良好；管理上要与时俱进、拟制、出台与技术防护措施相配套的规章制度，保障在使用管理环节操作规范、执行有效。总之，只有技术防范与管理措施并重，才能避免“头痛医头、脚痛医脚”的打补丁模式，才能避免始终被动落后的不良局面，从而全面可靠地解决涉密网络的安全保密问题。
    5．结束语
    信息安全从深度上看是一个长期存在的问题，从广度上看是一个包括技术和管理等多个层面的综合体。因此，有了技术防范的物质设备基础，还要把握关键点，注重控制权，以综合集成实现信息安全体系的可持续发展，是保障我国信息安全的一个有效途径。
    一劳永逸的信息安全体系是不存在的，信息安全技术应力求在攻防的消长中把握主动权，并依据信息安全风险管理的原则制定相应的安全策略以抑制安全事件的膨胀。在今后的网络安全保密建设中，三十所将在国家大力发展保密科学技术的方针引领下，充分利用和发挥从事信息安全与保密的人才优势、技术优势，加强理论研究和论证实施，研制开发出更先进、更有效的保密安全产品，为国家信息化建设以及涉密信息系统的保护做出积极的努力。
    参考文献

    1. 戴宗坤、罗万伯、唐三平等.《信息系统安全》.第1版.北京市.金城出版社.2000年9月
    2. 丛友贵.《信息安全保密概论》.第1版.北京市.金城出版社.2001年9月
    3. BMB20-2007 . 《涉及国家秘密的信息系统分级保护管理规范》
    4. 杜虹.《开展涉密信息系统分级保护工作应注意的几个问题》.《保密技术信息》.2008年第1期 总第57期：8-11页。
    5. 李学军.《从信息源头构建核心安全平台――局域网"一key通"安全解决方案》. www.weston.com.cn
    6. 朱杰.《安全跨越涉密信息边界——卫士通“一KEY通”局域网综合安全防护系统》.《中国计算机报》.2007年11月.第82期 总第1655期
    7. 王怀民　黄遵国.《信息安全保密技术发展趋势》.《解放军报》 2001年08月29日
 

(责任编辑：)