煙草在線專稿　　引：煙草行業隨著電子營銷和辦公自動化的運行，由計算機處理日常業務逐漸替代了以往的工作方式，使工作效率大為提高的同時，涉密信息的安全風險日益突出。本文試從涉密信息風險原理來分析煙草行業涉密信息系統的安全隱患，進而提出相應的防范和對策建議。

　　近些年來，隨著互聯網的迅猛發展，煙草行業不斷加大了在電子營銷和電子政務等方面的信息化建設。快捷、高效的電子信息技術不斷增強了行業的經營、管理、控制、決策等方面的運行能力。然而隨著網絡開放性、互連性、共享性程度不斷擴大，網絡的安全問題變得越來越重要，計算機信息系統的安全問題也日益突出，尤其是涉密信息的安全問題引發的風險，已成為影響行業信息穩定安全的重要因素。如何構建一個安全、高效的涉密計算機信息系統應用環境，已經成為當前行業信息化的關鍵問題。

　　一、國內計算機信息系統的主要安全隱患及其原因

　　當前國內對于信息涉密方面的安全問題，重點是指信息安全事件發生后對數據安全性和服務連續性造成的后果。在實體防護上的后果又可具體分為如下三類：數據篡改、系統入侵與網絡攻擊、信息泄露。

　　（一）數據篡改導致數據篡改的安全事件主要有針對靜態網頁的數據篡改、針對動態網頁和網站數據庫的篡改、內部人員篡改數據以及軟件產品漏洞后門等四種。造成數據篡改的原因主要是網站的后臺管理系統對互聯網開放，網頁程序存在漏洞、配置不合理，內部人員安全保密意識淡薄、措施不到位以及軟件代碼缺乏安全等。

　　（二）系統入侵與網絡攻擊導致系統入侵與網絡攻擊的安全事件主要有針對系統的遠程節點的入侵、域名劫持、ddos攻擊等三種。針對系統的遠程節點的入侵一般是由于使用明文傳輸的遠程登錄軟件或沒有設置安全的遠程登錄控制策略。域名劫持一般是由于保護措施不到位造成的。ddos攻擊方式一般是攻擊者利用被病毒感染的“肉雞”，連續不斷地向目標主機發送數據，造成網絡擁塞、系統癱瘓。造成系統入侵與網絡攻擊的原因主要是技術手段落后、保護措施不到位以及抗ddos攻擊的安全措施不到位。

　　（三）信息泄露導致信息泄露的安全事件主要有內部郵件信息泄露和內部文件信息泄露等兩種。信息泄露的方式主要有兩種，一是被竊聽，信息在網絡傳送過程中，攻擊者可在傳輸信道上對數據進行非法截獲、監聽，獲取通信中的敏感信息，造成信息泄露。二是利用系統安全漏洞，通過攻擊數據庫服務器，直接獲取信息。造成信息泄露的原因主要是軟件或安全漏洞和終端安全問題。

　　二、煙草行業涉密信息系統可能面臨的

　　安全威脅行業電子政務系統中需重點防護的是辦公類涉密信息系統，主要包括電子公文信息系統、公文傳輸系統等，從以上對一般信息系統發生安全事件對信息系統造成的后果及其發生原因，我們可以羅列出目前這些涉密信息系統可能面臨的安全威脅。

　　（一）應用軟件安全問題不容忽視。目前，涉密信息系統所大量使用的應用軟件，包括操作系統軟件，如windows、unix等，數據庫管理軟件，如db2、sybase等，應用軟件，包括辦公軟件、郵件系統軟件等，基本是外部采購，這些軟件由于國外廠商一般不愿意提供軟件源代碼的原因，就有可能暗含漏洞或隱藏后門，這些漏洞和后門平時處于休眠狀態，如果國外敵對勢力在戰爭時利用這些漏洞或激活這些“后門”，將致使行業行政資源調度系統癱瘓，將直接威脅到行業的穩定及安全。

　　（二）基礎網絡功能集合程度高的問題亟待解決。煙草行業網絡系統承載著業務處理、電子郵件、公文傳輸、電視會議等業務、政務信息。同時，為提高網絡加密保密能力，經過多年的建設，也采取了網絡鏈路層加密、防火墻、入侵檢測等多種安全措施，配置加密設備，保障了電子郵件、公文傳輸系統等核心業務的傳輸安全，初步構成了網絡系統的安全保障體系。但是，我們認為內部網絡對涉密信息的保障仍然存在隱患，原因有二：一是由于內部網絡是統一的業務處理平臺和政務信息平臺，各級別涉密信息和大量的非涉密信息充斥其中，加大了對涉密信息管理的難度，較難實現對涉密信息的分級保護。二是由于內部網絡是一個與行業各部門互聯互通的信息交互平臺，盡管采取了網絡鏈路層加密、密押、防火墻、入侵檢測等多種安全措施，配置了加密設備，但是任何技術設備都有它的脆弱性，隨時都有可能成為系統入侵和網絡攻擊的漏洞。

　　（三）解決病毒帶來的信息泄露問題刻不容緩。計算機病毒具有隱蔽性強的特點，它們通常附著在正常程序中或磁盤較為隱蔽的地方，悄無聲息地竊取用戶隱私、機密文件、賬號信息等，造成信息泄露。病毒基本上有兩個來源，一是網絡傳播。由于內部網絡連接起了所有的行業部門，是一個統一的業務處理平臺，這就不可避免地要受到跨網的病毒傳播危害。二是存儲介質傳播。地方行業部門由于業務工作的要求，需要從地方政府部門或機構接收電子信息數據，或將一些報表、情況反映等報送給政府部門，這樣的信息交換一般都是通過存儲介質交換完成的。有時會因為管理制度落實不到位、操作人員安全保密意識淡薄等原因，將攜有病毒的文件通過數據交換帶入了內部網絡，造成了病毒在內部網絡上的傳播，給網絡和信息的安全保密造成了隱患。

　　三、當前行業在涉密信息安全工作中的現狀

　　（一）行業涉密方面的內容

　　煙草行業工作中的涉密范圍包括國家秘密和行業敏感信息兩方面。

　　1、國家秘密是指關系國家的安全和利益，依照法定程序確定，在一定時間內只限一定范圍的人員知悉的事項。煙草行業工作中國家秘密及其密級范圍的具體范圍是：

　　（1）機密級事項，包括對外談判中內部掌握的價格和標底，進口配額，國別和客戶政策。

　　（2）涉及煙草行業產品（卷煙、煙機、醋酸絲束）的關鍵技術資料、樣品及其來源。

　　（3）煙草行業工作中涉及其他部門的國家秘密事項，其密級按國家有關主管部門的保密范圍確定。

　　2、行業敏感信息是指煙草行業工作中涉及一些不宜公開的資料和事項，或在一定時間內只限行業內一定范圍的人員知悉的資料和事項。其范圍如下：

　　（1）煙草商業系統中長期發展規劃、科技發展規劃以及核心技術科研項目資料。

　　（2）煙草商業系統對外合作意向，進出口卷煙計劃及有關調整計劃。

　　（3）煙草專賣打假行動方案和舉報線索。

　　（4）基建工程項目招、投標有關文件及資料。

　　（5）煙草及煙草制品與相關煙草專賣品生產專有技術的核心內容。

　　（6）干部考察階段的材料以及紀檢監察案件舉報、調查材料。

　　（7）“兩煙”產供銷計劃有關調整計劃。

　　（8）領導在重要會議召開前的相關講話草稿及不擬公開的定稿。

　　（9）行業內部財務收支審計、經濟責任審計、基建審計等在審計報告公布之前的相關文件資料。

　　（10）與其它單位簽訂的各種產品、服務合同和協議。

　　（11）機關內部的經濟運行通報及相關報表匯編、經營情況統計快報、財務快報、會計報表。

　　（12）其他需要設定行業敏感信息的資料和事項。

　　（二）行業信息安全管理方面的規定

　　煙草行業作為國有重點經營性部門，為加強行業信息系統安全保密管理，重點做好網絡信息安全工作，國家局（公司）成立了以副局長為組長，國家局機關各部門、各單位主要負責人為成員的煙草行業信息安全工作領導小組。近些年來國家局（公司）先后下發了《關于進一步加強行業信息安全工作有關事項的通知》、《加強煙草行業辦公計算機安全和保密管理的若干規定》、《煙草行業CA認證體系建設方案》、《煙草行業信息安全保障體系建設指南》，轉發了國家保密局和國務院信息化工作辦公室《關于印發加強黨政機關計算機信息系統安全和保密管理若干規定通知的通知》等一系列關于加強信息安全和保密管理的制度及方案。各省、市局（公司）也相應出臺了一系列關于加強信息管理保障涉密安全的具體執行辦法和規章制度。

　　（三）行業目前信息安全中面臨的問題

　　通過對當前行業內一些市、縣級局（公司）在涉密信息使用及管理方面的現狀調研，客觀地說普遍存在著重業務輕安全的現象。表現在網絡安全防護方面投入嚴重不足，網絡安全產品在數量上、功能上均不能滿足需要，信息系統極可能遭受網絡攻擊，造成網絡癱瘓、重要信息泄密情況發生，這些都將對行業利益造成不可估量的損失。計算機安全保密在管理和使用上普遍存在著要求不嚴、防范能力不強等因素，其主要表現在：

　　1、部分涉密計算機操作員未按照計算機安全管理規定，建立健全相應的安全操作規程和制度，未設置計算機系統運行情況登記簿。

　　2、有的涉密計算機操作員在使用時未設置開機口令和進入網絡密碼口令；有的雖然設置了口令，但設置的口令密碼有4位，不符合口令密碼安全管理要求；還有的操作員長期使用同一個口令密碼，沒有在規定的時限內進行定期更換，甚至有的應用系統