电子政务保密管理的若干问题

2003年9月，中共中央办公厅、国务院办公厅转发的《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）提出，要加强信息安全保障工作，全面提高信息安全防护能力，重点保障基础信息网络和重要信息系统安全，创建安全健康的网络环境，保障和促进信息化发展，维护国家安全。2004年12月，中共中央保密委员会下发的《关于加强信息安全保障工作中保密管理的若干意见》（中保委发[2004]7号）指出，在信息安全保障工作中，加强涉密信息保密管理，特别是加强信息系统的保密管理尤为重要。2006年5月，中共中央办公厅、国务院办公厅转发的《国家信息化领导小组关于推进国家电子政务网建设的意见》（中办发[2006]18号）特别指出，涉及国家秘密的信息系统建设和管理，要严格按照党和国家的有关保密规定执行。加强国家秘密信息安全的保护是当前电子政务建设中的一项十分重要而紧迫的任务。
    

当前，加强电子政务建设与应用中的保密管理，着重要把握好以下几个方面：
    

一、充分认清电子政务信息系统的保密特性，牢固树立信息安全保密观念
所谓“电子政务”是指政府机构全面应用现代信息技术，将办公、管理和服务进行集成，实现政府组织结构和工作流程的优化重组，提高内部办公效率，打破时空和部门分隔的限制，全方位为社会提供优质、高效、规范、透明的服务。而党政机关是产生国家秘密最集中的地方，电子政务建设与应用必然涉及保密问题，尤其是政务内网建设，直接关系国家秘密的安全。
电子政务信息系统的安全保密有它的特殊性，表现在:其一、电子政务信息既要公开又要保密。因为政务信息既包括面向公众需要公开的内容，也包括需要保密甚至是核心机密的内容；其二、电子政务既要互联又要隔离。其涉及的内容既可能事关部门安全又事关国家安全，既事关政治安全又事关经济安全。由此可见，电子政务网络安全与否，在很大程度上影响到“电子政府”的形象，关系到国家秘密的安全。
信息网络是保密工作的一个新领域，是当前保密工作的重中之重。目前，我国公众对网络安全的认识还存在一定的片面性,往往偏重于信息网络应用带来的巨大财富和工作、生活的便利，还没有真正意识到信息安全的漏洞和信息泄密所带来的严重危害。据国家保密部门的统计，近年来计算机网络泄密事件占整个泄密事件的比例居高不下，严重威胁着党和国家秘密的安全。因此，要做到既确保电子政务网络的稳定运行，又有效地保护好政务信息的安全保密，就必须把安全保密作为电子政务建设和应用的一项重要工作来抓。要充分认清信息网络的安全保密防范是一个系统工程，既有技术方面的问题，又有管理方面的问题，必须全面加强；要充分认清信息网络的安全保密防范技术是国家级的对抗技术，必须采用国家主管部门强制认证、自主创新的技术产品；要充分认清信息网络的安全保密问题是发展中的问题，必须在发展中求规范，以规范促发展。
    

二、正确界定电子政务信息系统的涉密属性，准确把握安全保密管理原则
过去我们有一些部门或相当一部分同志，对于本地区、本部门政务内网和政务外网的划分总弄不清楚，甚至还走进了认识的误区：有的地方为了片面强调保密，把电子政务网定为涉密网，既然定了“密”，就要按涉密网的要求管理，结果既增加了安全保密管理的难度，又影响到信息的充分公开；有的地方对上网的业务信息资源涉密程度界定不清，网络划分不够合理，结果使该保的没有保住，造成失泄密事件发生。因此，正确界定电子政务信息系统的涉密属性，是加强电子政务信息系统安全保密管理的重要前提。
一般地说，电子政务网络建设根据涉密程度可划分为三个安全域,即涉密域,非涉密域和公共服务域。“涉密域”是指涉及国家秘密的网络空间；“非涉密域”是指不涉及国家秘密，但涉及本单位、本部门或本系统工作秘密的网络空间;“公共服务域”是指不涉及国家秘密,可以涉及个人隐私和企业敏感信息的网络空间。为了准确对电子政务信息系统实施涉密定位，2007年3月，国家保密局、国务院信息化工作办公室下发的《电子政务保密管理指南》（国保发[2007]5号）（以下简称《指南》）中作了具体明确：“根据电子政务信息系统中存储、处理和传输的信息是否属于国家秘密信息，电子政务信息系统分为两种类型：（1）电子政务涉密信息系统。用于存储、处理和传输国家秘密信息的电子政务信息系统。（2）电子政务非涉密信息系统。用于存储、处理和传输内部信息或公开信息，但不得用于存储、处理和传输国家秘密信息的电子政务信息系统。”根据电子政务信息系统涉密定位的不同，其安全保密要求也不相同。
    

第一、电子政务涉密信息系统的安全保密原则
涉密信息系统中国家秘密的管理与纸介质涉密文件的管理相比，管理的难度明显增大。涉密信息系统涉及的部位多，接触的人员广，很容易受到攻击或泄密，一旦泄密，扩散速度快，范围宽；我国信息产业基础薄弱，当前涉密信息系统使用的CPU、操作系统，网络设备以及应用软件很多都是国外产品，存在着较大的泄密隐患。因此，《指南》明确：“电子政务涉密信息系统应当按照‘同步建设、严格审批、注重防范，规范管理’的要求进行建设和运行，突出重点环节，强化全过程管理”。
    

1、同步建设
涉密信息系统必须与保密设施同步规划和建设，在系统、信息、介质和场所等方面进行整体防护。所采取的技术手段，如身份鉴别、访问控制、安全审计以及电磁泄漏发射防护等，必须符合相应的国家保密标准。
国家保密标准与国家保密法规共同构成我国保密管理的重要基础，是保密防范和保密检查的依据，为保护国家秘密安全发挥了非常重要的作用；国家保密标准由国家保密局发布，强制执行，在涉密信息的产生、处理、传输、存储和载体销毁的全过程中都应严格执行；国家保密标准适用于指导全国各行各业、各个单位国家秘密的保护工作，具有全国性指导作用，是国家信息安全标准的重要组成部分。目前已发布的国家保密标准（附后）
    

2、严格审批
涉密信息系统建成后要经过批准才能投入使用。《中共中央关于加强新形势下保密工作的决定》（中发[1997]16号）明确提出：“涉及国家秘密的通信、办公自动化和计算机信息系统的建设，必须与保密设施的建设同步进行，报经地（市）级以上保密部门审批后，才能投入使用。”《涉及国家秘密的信息系统审批管理规定》（以下简称《审批管理规定》）明确提出，未经保密工作部门审批，涉密信息系统不得投入使用。
涉密计算机网络信息系统的审批程序：
(1)涉密系统投入使用之前，保密部门应当对涉密系统主管部门（单位）报送的保密设施情况书面材料进行初步审查。报送有关书面材料包括：认真填写 《党政机关、单位内部计算机网络登记审批表》，简要说明系统用途、系统涉密情况、系统设计和建设情况、发展目标等。系统建设的有关文件资料：系统总体方案、专家审批意见、系统集成单位保密资质情况、工程实施报告、工程验收报告、设备清单、安全保密设备的测评和认证情况等。系统使用管理情况：系统运行维护管理部门或单位、系统安全保密责任人、系统安全保密管理体系、保密管理制度、责任岗位设置及培训等。
(2)保密部门进行现场考察和测试。
(3)保密部门对具备投入运行条件的涉密计算机网络批准其使用，被检单位涉密计算机网络如不具备投入运行条件，要制定《涉密计算机网络保密安全全面解决方案》并报送保密部门审定。
(4)保密部门组织涉密计算机网络专家评审组的专家对被检单位或新建网络单位《涉密计算机网络保密安全全面解决方案》进行评估论证。
(5)被检单位按照通过专家论证的《涉密计算机网络保密安全全面解决方案》实施。
(6)被检单位在工程实施完后，由保密部门组织验收。

3、注重防范
从技术层面上讲，引起涉密信息系统安全问题的技术原因很多,主要有以下几个方面:
(1)我国网络安全技术比较落后，与技术发达的国家相比差距很大。大家知道，在软件和芯片中，最基本的是操作系统和CPU。如果这二项技术不能自主，信息安全没有保障。我国在这个方面起步较晚，2000年11月中科院计算所才正式启动CPU设计项目，　2002年9月22日 “高性能通用CPU芯片研制——龙芯1号”通过技术鉴定。
(2)网络技术本身存在缺陷。表现在:一是电磁泄漏发射。计算机的信息可以通过电磁波形式泄漏出去,通过专用设备,在一定的距离内可以接收还原,而造成信息失密；二是通信与网络的弱点。现代通信分为有线和无线两种,有线线路容易遭受物理破坏,易被搭线窃听；无线通信易遭截获,监听等等，网络规模越大,通信线路越长,其安全系数就越小；三是软件本身缺乏安全性。操作系统的安全缺陷相当多,为入侵者提供了诸多可乘之机。我国使用的操作系统大都是Windows"系列,这种操作系统不仅存在着严重的漏洞,而且人为地留有"后门"等。
(3)我国对发达国家信息设备和信息技术存在着很强的依赖性。我国的信息化设备严重依赖国外,对引进技术和设备缺乏必要的信息管理和技术改造。尤其是在系统安全和安全协议的研究和应用方面,我国与发达国家的差距很大。据有关资料反映,美国出口中国的密钥芯片都留一个口,供美方随时启动;出口我国的计算机系统的安全系统也只有C2级,在美国国防部规定的8个安全级别之中列倒数第三。由此可见,我国信息系统的安全在一定程度上还受到别国的控制。
因此，《指南》明确：“涉密信息系统从建设到投入使用都必须突出保密防范。涉密信息系统保密防范能力的强弱，关系到国家秘密的安全，也是涉密信息系统建设成败的关键。涉密信息系统在经审批投入使用后，要把防泄密、防窃密放在第一位，通过技术检查及时发现隐患和漏洞，消除不安全因素，不断提高系统的防范能力。” 

4、规范管理
涉密信息系统的安全保密措施主要包括技术和管理两个方面，管理以技术为依托，技术靠管理来保障，二者相辅相成，缺一不可。在具备了一定技术手段的前提下，管理成为决定因素。管理的内容既包括对系统的管理，也包括对人员的管理。
当前，我国网络安全管理相对信息技术的发展是滞后的,国家没有完善的管理制度。不少单位没有从管理制度、人员和技术上建立相应的电子化业务安全防范机制,缺乏行之有效的安全检查保护措施。许多网络犯罪行为尤其是非法操作都是利用联网的计算机管理制度上的漏洞而得逞的。一些网络管理员利用职务之便,从事网上违法活动,给网络管理带来难以控制的隐患。因此，各涉密单位应当根据涉密信息系统自身的特点，制定出具有针对性可操作性的管理制度，并严格执行。