NSC2015張軍鋒：國家重要信息系統載體全生命周期管控研究與實踐
責編：penggao ｜2015-07-06 11:07:35主持人：接下來到我們最后一個演講，下面讓我們有請航天科工三院三O四所副總工程師張軍鋒，他分享的主題是國家重要信息系統載體全生命周期管控研究與實踐，有請張總。
張軍鋒：非常容幸作為最后一位發言者，感謝大家堅持一天，大家也很辛苦。
首先在我演講前，先給大家提一個問題，希望大家共同來思考。剛才咱們的專家已經提到了，我們單位中有些載體和紙質文件被其他單位隨意拿走，也希望大家想一想，我們每個單位里面現在有沒有一些重要的信息，一些紙質信息和光盤信息現在是怎么管控的，會不會也有這樣的風險。航天科工作為十大軍工之一，通過這么多年的實踐，形成了我們自己的一些管理實踐研究案例，通過這次的機會和大家一起進行分享。
今天我匯報的題目是面向國家重要信息系統載體全生命周期管控研究與實踐。
主要分三部分：載體管控的背景和需求，載體管控的整體解決方案和我們建設的效果。
首先說一下載體管控的需求。現在每個單位都離不開信息化，在信息化過程中，這里面存在著大量的信息。網絡基本分為兩類，一類是內網一類是外網，外網主要面向互聯網和公眾，很多單位，像涉密單位和政府單位都有一個內網，往往大家把重要的信息都會存在內網上，近幾年來在整個內網使用過程中會必然伴隨著我們的紙質載體的產生，包括外來紙質載體，我們內部產生的紙質載體，還有內部產生的光盤，包括復印的信息，整個信息量都非常大，近幾年發生的泄密事件很多都是圍繞載體管控產生的，在我們去年的案例中，就有一個間諜直接拿這內部的信息到日本、臺灣賣去了，就問值多少錢，這是暴露出我們在整個內部敏感信息管控方面存在很大的漏洞。
在國家的保密法中，還有我們分級保護相關的標準中，對載體的管控，從載體的產生、制作、傳遞、使用、復制、保存、維修全過程都有明確的規定，但這些規定是做了，但我們做的有很多從事信息安全管理工作的，實現起來是非常困難的，現在很少有一個完整的解決方案，就把這些東西給它落地了，靠人的管理和制度的管理都很有很大的漏洞。航天科工三院信息化起步比較早，屬于國防工業的科研類單位，現在整個航天在網絡建設方面形成了我們以三院主干網為核心，下面連接了17個所屬局域網單位的大型的廣域網絡，現在連網的涉密終端達到了1萬多臺，初步實現了整個語音、視頻互聯互通。在信息安全方面，我們主要遵守著國家BMB系列的標準，按照機密增強型進行防護，在整個環境安全、介質安全、備份及與恢復等方面都達到了要求。
打印出來的各種文件，再就是通過涉密網絡復印產生的各種文件。存儲類的載體主要是指光盤類的載體和移動介質類的載體。目前整個航天三院內部產生了打印文件大概200萬余份，涉密文件8萬余份。
下面重點介紹一下載體管控。我們航天三院載體管控主要分為兩類。一是紙質載體，第二類是存儲類的載體。紙質載體主要是包括我們內部網絡，涉密網絡里面打印出來的各種文件。再一個通過涉密文件通過復印產生的各種文獻，還有外來的產生的各類涉密文件。存儲類的載體主要指光盤類的載體和移動介質類的載體。
目前航天三院每年內部產生的打印文件大概有兩百萬余份，涉密文件有兩萬余份，光盤每年產生的載體大概有10萬張，涉密的有近萬漲。整個航天三院的人員現在是兩萬多人，涉密人員超過一半以上，產生的涉密信息非常大。
下面在重點闡述一下我們在對涉密載體過程中，在一些工作過程當中產生的現狀，還有它產生的隱患來分享一下。
載體的輸入環節里面，比如光盤類的載體，有一些簡單的進行殺毒，直接就導入了涉密網里面，外來的紙質涉密文件往往存在個人得手里。大家的隱患就是，整個這些信息進來以后，進入我們信息系統里面，哪怕是沒有標識的，整個是散亂的，到底有多少我們不清楚。
像電子類的載體進來以后，有一些帶著木馬，存在很大的風險。這是輸入環節的隱患。
在制作環節里面，一般情況下我們打印的話是每個人自己打印的申請人直接到集中打印點，或者在本地的計算機上直接輸出，帶來的隱患是整個打印的行為是不能控制的。再一個輸出的時候這個權利過大，有一些采取在集中點輸出，打印的人往往會看到其它人的打印信息，有很大的隱患。
在復印的環節，一個人雖然走了相關的管理手續，但是在真正復印過程當中可以復印好多份，很難控制。
在載體產生過程當中沒有相關的標識，打印多少份、復印多少份識別不出來。
刻錄，在刻錄環節也存在這樣的風險，也就是每個人或者在集中點刻錄，或者在本地刻錄。在刻錄過程當中也存在著想怎么刻怎么刻，整個管理和實際的操作是兩層皮的現象。
在流轉過程中，載體一旦產生之后，在人和人之間的流轉過程當中，頂多有一個管理手段，履行一個簽字手續，長期執行過程當中很多是落實不到位的，沒有辦法進行追蹤的。有一些像涉密的U盤、涉密的筆記本，在進出關鍵場所里面，你根本不清楚它的位置，丟失了沒有，缺乏相關的審計。
所有的載體使用、流轉，特別是在回收、銷毀方面沒有人管制，現在自己想著點直接歸還，有時候不歸還呢？或者丟掉了呢？整個這塊在回收和銷毀環節也存在很大的隱患。
通過以上的這些現狀，還有隱患的分析，我們豎立出來在載體方面的需求。分四各方面。
載體輸入方面，進行電子載體的輸入和登記編號，在輸入環節進行相關的審批。
載體產生于制作環節里面，像打印、復印、刻錄、移動載體，要進行電子化的審批，并且形成牌照，形成的產出物要可追訴、可管控、可回收。
載體的流轉和監控方面，整個要有監控手段，并且進行電子化的流轉記錄。
載體的回收和銷毀環節，形成自動化的提醒，自動化的閉環。也就是說整個只有通過回收和銷毀之后，這個載體才能真正的完成它的全生命周期。
二、載體生命周期的管控解決方案。
通過這個解決方案我們建設的目標是，實現對航天三院辦公環境中使用的所有紙質載體、光盤載體、移動存儲介質進行全對象、全生命周期的管控，采用技術手段對載體從產生流轉、使用到銷毀幾個環節進行全程的追蹤和管控，最終實現對信息載體的流程智能化、過程自動化、控制自動化。
整個項目在航天三院所有的涉密單位實施，建設內容主要由打復印安全監控與審計系統，光盤刻錄監控與審計系統，基于RFID設計載體監控與管理系統，還有載體自動回收幾部分來組成。最終形成紙質載體、光盤建設、移動存儲建設的全對象、全過程的全生命周期的管控。
這是整個系統的部署圖。在我們涉密網里面，分別實現載體和輸入的管控，還有載體的產生和制作管控，載體的回收和銷毀的管控，還有載體的流轉和監控，四個環節的監控。
具體的內容主要是設備載體輸入管理方面，實現對外來紙質文件、外來光盤的錄入安全管控，達到對輸入渠道進行嚴格安全監管的目的。載體產生于制作管理，實現信息輸出的打印、復印、光盤刻錄環節的監控與審計。載體流轉和監控方面，主要實現對載體流轉傳遞環節的安全監控。載體的回收和銷毀方面，實現對載體回收銷毀的安全管控。
詳細把這四方面進行說明。
載體的輸入管理，載體輸入管理的管理對象主要是兩類，一類是外來的紙質文件，還有外來的光盤介質文件。
管控的流程是，外來文件的管理采用文件錄入管理模塊，還有復印管理模塊，其管理流程主要是對整個外來文件的復印、留用、流轉、歸檔、銷毀進行采用統一管理，外來光盤也是這種模式。在這個環節主要是外來的載體無法掌控，重點通過系統和人的方式實現一個錄入的過程，最終使系統形成相關的唯一標識。
紙質文件建設的重點有以下六項，一個是用戶身份強鑒別，也就是輸入環節里面和用戶身份直接對接起來。輸入設備集中管控，這塊主要指得是電子文件集中管控，電子文件的管控，通過中間機集中刻錄，這種方式來進行管控、殺毒。流入流程的電子化申請，也就是說如果輸入的是一個涉密信息，我們要通過相關的審批手續，才能實現它整個的涉密文件材料的形成。條形碼的生成，錄入生成之后，每個文件都有自己的唯一編號，唯一的二維碼、條形碼。用戶輸入權限管控，標簽自動生成。這是一個案例，所有的紙質載體錄入之后都要形成一個唯一的表示，和這個載體形成整體的。
光盤的錄入環節里面有幾點。用戶身份的認證，用中間機接口設備的管控，就不一一介紹了，有一些重點的像一體化的盤免得噴繪，標簽的生成等等。這是光盤環節在錄入環節形成的一些樣例，這樣通過盤面的生成，可以明確知道這些光盤是干什么用的，可以進行定義。
載體產生和制作環節。
這塊的管控對象主要是打印文件、復印文件，還有光盤刻錄，也就是我們內部產生的文件。它相關的流程就是在整個打印環節里面，打印安全監控模塊，實現整個打印文件的外發、留有、流傳、歸檔、銷毀全過程，復印功能和打印功能是相同的。刻錄功能也是整個流程相同的。這個環節的重點是，要通過這個環節，把整個流程化的東西再通過涉密網里面對它進行定義。
這個環節建設的主要重點是打印點和打印設備的集中化管理，在我們軍工改成集中打印、集中文印的方式。打印輸出的電子化管理，二維碼自動化生成、水印技術，水印技術在我們打印輸出才條里面都植入了水印技術，你在復印或者流轉過程當中，都可以通過專用的設備識別出來。
虛擬打印控制技術，這個技術主要是現對所有聯網計算機的打印作業的截獲，比如你私自接上打印機之后是無法打印的，只能通過我們這套系統打印。還有批量的打印提交、負載均衡等等功能。在復印環節的建設要點主要是復印的審批、權限管理、二維碼生成，還有復印的日志。刻錄通過刻錄一體機的方式，實現刻錄和刻錄盤面的對應。
載體的流程和監控。
這塊的監控對象主要是載體的自動化流轉，還有基于RFDI載體的防護與檢測。
在自動化流轉方面主要建設的要點，整個在流轉過程當中要和自己的所有載體進行監管，對整個系統進行流程化的定義，和整個的流轉過程進行匹配。
基于RFID載體邊界防護建設的要點，主要通過RFID技術，對所有的比如U盤載體，或者重要的紙質載體，貼上RFID的標簽，在一些關鍵位置上進行監護和自動化的審訊。
這是整個RFID的部署過程當中的一個傳統圖，也就是整個RFID過程中，在一些后臺怎么部署，怎么去錄入，在一些關鍵位置上進行部署。
載體的回收與銷毀管理。
這塊管控的對象就是紙質載體的回收和銷毀，光盤載體的回收和銷毀。這塊建設的主要重點是，一是文件能夠自動的提醒，也就是我們所有載體的留存過程中，它都有一個留存期，在留存期到了之后自動提醒用戶，超期以后進行督促，最后回收的過程當中形成一個完整的臺帳。
以上是四個環節，管控對象如何識別，管控流程怎么做，管控要點怎么做，。
項目建設的實施效果。分四個方面：
首先是提高了航天三圓涉密信息系統安全防護的水平和能力，重點落實在所有生命載體這塊，實現”底數清、財務符、流程明”的建設效果。利用了智能化的監控手段，就是RFID的監控手段，提高了檢測的能力。
整個項目有幾個創新點。首先對制圖文檔、制圖軟件、財務軟件的監控，這塊剛才有一些專家提到制圖軟件的提供，這也是業內管控的難點，目前我們也實現了這方面的監控。第二個創新點是把RFID技術的應用。還有一個創新點就是整個過程當中實現了自助化，大大減少的人員參與的程度。
2015年我們這個項目獲得了國家發改委信息安全專家的支持，這也是我們唯一一家獲得國家發改委支持和試點應用的項目。