□王爭兒 李昊達

?

軍工企業(yè)信息安全形勢及其應對

□王爭兒 李昊達

信息技術(shù)高速發(fā)展，軍工企業(yè)迎來了新的機遇。企業(yè)的信息化建設為企業(yè)注入了新的活力，提升了企業(yè)的整體競爭力。但是，我們應該清醒的認識到，新的機遇必將帶來新的挑戰(zhàn)。隨著企業(yè)信息化的不斷深入，信息安全的形勢將越來越嚴峻。近來，各國發(fā)生的黑客破壞、病毒入侵、涉密信息泄露等事件層出不窮。網(wǎng)易過億數(shù)據(jù)泄露并導致連鎖反應的事件也為我們敲響了警鐘。如何確保信息安全，已經(jīng)成為非常重要的課題，對于軍工企業(yè)，更應該把信息安全作為未來企業(yè)信息化建設的重中之重。

軍工企業(yè)信息安全現(xiàn)狀及存在問題

信息是用戶使用信息系統(tǒng)而產(chǎn)生的數(shù)據(jù)，存儲在硬件設備上，在網(wǎng)絡上傳輸，最終被特定用戶所獲取。信息安全就是指信息系統(tǒng)受到保護，硬件設備不因天災或人為而遭到損壞，數(shù)據(jù)也不受偶然或者惡意的原因而遭受篡改、竊取和泄露，軟件正常提供服務，系統(tǒng)連續(xù)可靠正常的運行。

硬件設備及基礎(chǔ)設施。硬件設備和基礎(chǔ)設施是信息系統(tǒng)賴以生存的基石，但是極易遭到破壞，無論是不可預測的天災還是人為蓄意或者無意的損壞，都會導致信息系統(tǒng)無法正常運行。軍工企業(yè)已對此有了足夠的認識，因此，對硬件設備及基礎(chǔ)設施的保護已經(jīng)做的相對完善。但是有些硬件設備依賴進口，使得信息安全不可控程度更高。對于具有我國自主知識產(chǎn)權(quán)的硬件設備，由于認識能力和技術(shù)發(fā)展的局限性，在硬件設計過程中，難免留下技術(shù)缺陷，由此可造成網(wǎng)絡的安全隱患。

網(wǎng)絡安全。軍工企業(yè)的網(wǎng)絡一般分為內(nèi)外兩網(wǎng)，內(nèi)網(wǎng)作為企業(yè)內(nèi)部辦公、研究交流使用，其傳輸?shù)臄?shù)據(jù)涉及企業(yè)的核心機密，甚至是國家的重大研究成果，因此軍工企業(yè)會花費巨大的人力物力來確保內(nèi)網(wǎng)安全。外網(wǎng)與互聯(lián)網(wǎng)相連，企業(yè)通過互聯(lián)網(wǎng)向外界發(fā)布信息，查找相關(guān)資料。涉密信息泄露、黑客攻擊以及病毒感染就是發(fā)生在這個與外界的交互過程中。但是，在傳統(tǒng)軍工企業(yè)，相較于內(nèi)網(wǎng)防護的嚴密布防，外網(wǎng)的防護就相對單薄。另外，我國的網(wǎng)絡安全的關(guān)鍵技術(shù)都是從國外引進的，不能保證其中沒有留有漏洞和后門，如操作系統(tǒng)技術(shù)的龍頭微軟，具調(diào)查全球90％的微機都裝微軟的Windows操作系統(tǒng)，許多網(wǎng)絡黑客就是通過微軟操作系統(tǒng)的漏洞和后門進入網(wǎng)絡。我國自主研發(fā)的網(wǎng)絡安全技術(shù)由于認知和技術(shù)局限性，表現(xiàn)不盡如人意，制約和影響著軍工企業(yè)的信息安全建設。

數(shù)據(jù)安全。數(shù)據(jù)是信息系統(tǒng)的靈魂，如果數(shù)據(jù)安全沒有得到保障，那么信息安全就將是一紙空談。傳統(tǒng)的數(shù)據(jù)安全在加密技術(shù)的基礎(chǔ)上，關(guān)注用戶行為以及管理制度的模式已經(jīng)不能適應現(xiàn)代企業(yè)的信息安全的需求。隨著以云計算、高速網(wǎng)絡傳輸為代表的大數(shù)據(jù)時代的到來，建立一套從全局角度出發(fā)，將技術(shù)、管理、審計有機結(jié)合在一起的數(shù)據(jù)安全體系，就顯得尤為重要。

安全意識。當前，軍工企業(yè)的安全意識仍然較低，廣大企業(yè)的用戶對于個人信息安全的淡漠意識直接表現(xiàn)為缺乏有效地信息安全保護措施，如仍存在有的用戶使用弱口令登陸、不及時更換登陸口令，不安裝防病毒軟件等問題。

軍工企業(yè)信息安全面臨的新形勢

信息安全工作的新要求。針對當前信息安全工作的復雜形勢，國家先后頒布了《涉及國家秘密的信息系統(tǒng)分級保護管理規(guī)范》《涉及國家秘密的信息系統(tǒng)分級保護技術(shù)要求》《信息技術(shù)等級保護安全設計技術(shù)要求》《信息系統(tǒng)安全等級保護基本要求》等一系列信息安全相關(guān)標準、規(guī)范和要求，保證軍工企業(yè)在信息安全工作有章可循。

面臨更復雜的安全威脅挑戰(zhàn)。新興技術(shù)如云計算、大數(shù)據(jù)、物聯(lián)網(wǎng)、移動互聯(lián)網(wǎng)等將蓬勃發(fā)展，也為網(wǎng)絡攻擊提供了新的技術(shù)和方法，特別是大數(shù)據(jù)的到來，使得網(wǎng)絡的攻擊更加隱蔽更加持續(xù)。同時，各領(lǐng)域信息安全威脅也將出現(xiàn)多元化發(fā)展的趨勢，由此軍工企業(yè)將面臨更加復雜的安全威脅和挑戰(zhàn)。

信息安全威脅將日益常態(tài)化和規(guī)?；８鲊涌炀W(wǎng)絡空間軍事力量建設，網(wǎng)絡空間軍備競賽加??；對于網(wǎng)絡的攻擊，將不僅僅是個人行為，黑客組織、網(wǎng)絡犯罪團體，甚至某些國家成為網(wǎng)絡攻擊的“新玩家”。一些敵對國家或勢力，必將更加頻繁和有組織的對我國軍工企業(yè)進行網(wǎng)絡攻擊。

新形勢下信息安全應對措施思考

針對軍工企業(yè)信息安全中存在的問題，結(jié)合信息安全工作的新形勢，并按照信息系統(tǒng)等級保護的要求，提出一些應對措施。

數(shù)據(jù)存取安全。網(wǎng)絡信息安全的核心是數(shù)據(jù)安全防護。

由圖2中D可知，隨著酶解時間的增加，辣椒堿、辣椒二氫堿及辣椒紅色素的含量先增加后降低。原因可能是，隨著時間的增加，酶解反應充分，有利于辣椒細胞中關(guān)鍵物質(zhì)的溶出，而當酶解時間過長時，辣椒中的辣椒堿和辣椒二氫堿等有效物質(zhì)會有一部分分解，導致其含量降低。綜合比較，提取辣椒堿和辣椒二氫堿的最適酶解時間為3 h，提取辣椒紅色素的最適酶解時間為2 h。

數(shù)據(jù)加密。軍工企業(yè)的數(shù)據(jù)涉及其核心利益，對其加密處理后，即便是丟失或者非授權(quán)訪問，得到的也只是無意義的亂碼。為了減少人為干預，應在系統(tǒng)層面進行數(shù)據(jù)透明加解密。對用戶來講，不需要知道如何加解密，訪問數(shù)據(jù)時，只需由系統(tǒng)驗證其本身權(quán)限。

統(tǒng)一身份認證和訪問權(quán)限控制。隨著PKI技術(shù)體系的日趨成熟，擁有強有力的理論基礎(chǔ)和眾多國際標準的CA數(shù)字證書身份認證技術(shù)，可以應用在軍工企業(yè)中。企業(yè)的內(nèi)部用戶，通過統(tǒng)一的登陸平臺進入各個信息系統(tǒng)，平臺檢驗核實用戶的身份和權(quán)限。權(quán)限控制采用基于角色的訪問技術(shù)RBAC（Role Based Access Control），將角色與權(quán)限進行邏輯分離，訪問權(quán)限與角色相關(guān)聯(lián)，角色再與用戶關(guān)聯(lián)。

建立基于web數(shù)據(jù)挖掘的安全防護架構(gòu)。傳統(tǒng)的安全防護技術(shù)包括防火墻、入侵檢測、防殺毒軟件，管理者一般都是將這些技術(shù)設備部署在網(wǎng)絡中相應的位置，它們各行其是，防火墻隔離安全區(qū)域和風險區(qū)域之間的連接，限制未授權(quán)的外部訪問；入侵檢測本質(zhì)是一種窺探監(jiān)測技術(shù)，它通過收集網(wǎng)絡或信息系統(tǒng)的關(guān)鍵點信息，并進行分析，從中發(fā)現(xiàn)是否有被攻擊的跡象和違法安全策略的行為；防殺毒軟件，顧名思義，就是防止計算機病毒對于網(wǎng)絡或信息系統(tǒng)的破壞。

防火墻、入侵檢測、防殺毒軟件構(gòu)成安全防護的基本架構(gòu)，執(zhí)行已知的已確定的安全策略，檢測已知的異常行為，對于現(xiàn)在越來越復雜多變的信息安全形勢，顯然已經(jīng)不太適合。

Web數(shù)據(jù)挖掘從Web文檔和Web活動中發(fā)現(xiàn)、抽取感興趣的潛在的有用模式和隱藏的信息。將web數(shù)據(jù)挖掘引入到安全防護的基本架構(gòu)中，組成新的安全防護架構(gòu)。其運行方式為：

——運用web數(shù)據(jù)挖掘，從收集的信息中發(fā)現(xiàn)對安全防護起關(guān)鍵作用的有價值的數(shù)據(jù)，然后根據(jù)目的對原始數(shù)據(jù)進行提取、分解和合并，形成可存儲的數(shù)據(jù)格式存儲到數(shù)據(jù)倉庫之中，最后將數(shù)據(jù)挖掘的結(jié)果與已知的規(guī)則進行模式匹配和比較驗證，最終將這些信息交予決策者。

——決策者通過相關(guān)技術(shù)對安全防護架構(gòu)進行必要的修改，如更改防火墻限制策略、增加入侵檢測的審計關(guān)鍵點和為防殺毒軟件提供新型病毒的信息等。這些修改將為數(shù)據(jù)倉庫提供新的原始數(shù)據(jù)，為下一輪的數(shù)據(jù)挖掘做基礎(chǔ)。

提高軟硬件設備和安全產(chǎn)品的國產(chǎn)化。在軍工企業(yè)中，使用國產(chǎn)化的軟硬件，研發(fā)和掌握具有我國自主知識產(chǎn)權(quán)的安全產(chǎn)品，可以實現(xiàn)信息安全問題的高度自主可控。未來，企業(yè)要在保證現(xiàn)在信息安全的基礎(chǔ)上，繼續(xù)提高國產(chǎn)化水平。

加強信息安全管理，提高安全防范意識?！叭挚考夹g(shù)，七分靠管理”，軍工企業(yè)應制定完善的信息安全制度，通過嚴格的操作規(guī)程來保證信息系統(tǒng)的安全運行，同時要加大企業(yè)的安全檢查力度，經(jīng)常性、高質(zhì)量的檢查工作，有助于查找信息系統(tǒng)存在的安全隱患和管理薄弱點。

加強信息安全的宣傳工作，定期對企業(yè)員工進行培訓教育，促使員工掃除日常信息安全盲點、了解當前的信息安全形勢、掌握必要的信息安全知識，使其自覺遵守和執(zhí)行企業(yè)和國家的有關(guān)信息安全的相關(guān)法律法規(guī)。

企業(yè)信息化、網(wǎng)絡化已成為與時俱進的要求。計算機技術(shù)和網(wǎng)絡技術(shù)的不斷發(fā)展，特別是以云計算為基礎(chǔ)的大數(shù)據(jù)時代到來，為軍工企業(yè)的信息安全工作提出了新的挑戰(zhàn)。信息安全工作是一項長期的系統(tǒng)化的工程，在對影響信息安全的因素辨別、分析的基礎(chǔ)上，應積極采取多種有效的措施綜合防控潛在的安全風險。軍工企業(yè)應加強企業(yè)的信息安全管理，提高企業(yè)員工的安全意識，同時構(gòu)筑安全高效的信息安全防護架構(gòu)，切實保障企業(yè)的信息安全。（作者單位分別為慧眾行知科技（北京）有限公司、軍工保密資格審查認證中心）