涉密信息系统运维管理及相关服务外包的合规性分析与研究

涉密信息系统运维管理及相关服务外包的合规性 分析 定性数据统计分析pdf销售业绩分析模板建筑结构震害分析销售进度分析表京东商城竞争战略分析 与研究 涉密信息系统运维管理及相关 服务外包的合规性分析与研究 许维明 尉飞新 上海市水务信息中心 在 IT 服务外包已成为政府部门普遍采用的信息系统运维管理方式的情况下,准确界定、有 【 摘要】 效管控 IT 企业在涉密信息系统运维中的空间和作用,已成为政府部门开展涉密信息系统运维管理的一项 重要任务。本文结合 BMB20-2007 管理规范,在对 IT 服务外包的合规性及“三员”的合规性、实践性问 题 快递公司问题件快递公司问题件货款处理关于圆的周长面积重点题型关于解方程组的题及答案关于南海问题 进行分析的基础上,探讨了涉密信息系统运维管理中应予调整和落实的管理事项。 运维管理 ;服务外包 ;三员 ;合规性【关键词】 1 引言统分级保护管理规范》:下简称BMB20-2007:, 是由国家保密局批准、发布的国家保密 标准 excel标准偏差excel标准偏差函数exl标准差函数国标检验抽样标准表免费下载红头文件格式标准下载 。 BMB20-2007规定了涉密信息系统分级保护的管理 2 0 0 8 年 开 始 ,国 家 保 密 局为 应 对 国 际风 云 变 过程、管理要求和管理内容,适用于涉密信息系统 幻的保密形势,推动了一场2 0 年来罕见的保密检 的 设计 领导形象设计圆作业设计ao工艺污水处理厂设计附属工程施工组织设计清扫机器人结构设计 单位、建设使用单位:主持建设、使用涉密 查,系统内称之为“保密风暴”,检查中发现,多 信息系统的单位:对涉密信息系统的建设、使用和 起泄密案件的发生,都基于计算机网络尤其是内网 管理,也可用于保密工作部门对涉密信息系统的管 与外网的互联串通所致。对此,各级政府部门都把 理和审批。涉密信息系统在分级保护和保密管理过 涉密信息系统的建设、使用和运行维护的合规性与 程中,应严格遵循和执行BMB20-2007。 保密性日益提到重要的地位,对涉密信息系统的安 全意识和重视程度得到了很大的提高。 但是,由于许多涉密信息系统在技术构成和 管理要求上的强制性和非公开性特点,一些单位对 3 当前涉密信息系统运维管理中的涉密信息系统的管理机制、管理方法与相关规定还 存在一定的不适应状况,尤其当IT服务外包已成为 问题分析政府部门普遍采用的信息系统运维管理方式的情况 下,准确界定、有效管控IT企业在涉密信息系统运 维中的空间和作用,已成为政府部门开展涉密信息 运维管理的范围和内容 3.1 系统运维管理的一项重要任务。 基于涉密信息系统的技术和应用特征,国 家保密局对涉密信息系统的业务化应用也会在 BMB20-2007标准的基础上,根据不同时期的管理 需要部署具体的管理要求。目前大多数涉密信息系 统的运维和管理,除网络和安全设备的技术支撑和 2,BMB20-2007对涉密信息系统运 设备保障服务外,一般还包括涉密单机、涉密介 质、涉密办公自动化设备的运维和管理,内容涉及 维管理的指导范围和约束力 设备维护、应用支持和保密检查三个方面和六个类 BMB2 0 -2 0 0 7 全称《涉及国家秘密的信息系 别:网络和安全设备的运行维护、专项保密检查服 3.2 服务外包在运维管理中的合规性分析 务、终端日常检查和台账维护、安全审计服务、应 用支持服务、设备保障服务。 BMB20-2007对涉密信息系统的整个生命周期 表1 涉密信息系统运维管理及相关服务外包合规性分析表 服务类别 服务范围 服务内容 合规性判别 网络设备 网络和安全 对网络和安全等设备的性能和运行状态检查,不操作用户终 对设备定期进行运行状态检查、性能检查等 设备维护 安全设备端,不涉及用户行为信息检查,适宜外包 服务器 1.是否违规外连 2.是否违规使用了非涉密介质和设备须操作用户PC终端,涉及用户行为检查和分析,可能造成涉 涉密终端 3.涉密机的登录是否需要进行用户身份鉴别 密信息泄露,不宜外包 4.涉密机是否安装防病毒等安全软件并及时升级 1.需要查看上网记录 1.是否连接过涉密计算机信息系统 非涉密终端 2.需要检索“*.doc、*.txt”等文件,查看文件内容并判断。 2.是否处理、存储过涉密信息 可能会造成用户上网信息等行为信息和终端隐私泄露,不宜 3.是否使用过涉密移动存储介质 外包 专项保密 检查服务 可能造成涉密信息泄露,可能造成用户上网信息等行为信息 涉密移动 是否在非涉密机及非涉密网络上交叉使用 存储介质 泄露,不宜外包 1.是否存储过涉密信息 可能造成涉密信息泄露,可能造成用户上网信息等行为信息 非涉密移动 2.是否存储过内部工作信息 泄露,不宜外包 存储介质 3.是否在涉密计算机上交叉使用 须浏览打印和传输信息内容,可能造成涉密信息泄露,不宜 是否打印、传输涉密信息 办公自动化设备 外包 公务网终端 非涉密终端 同专项保密检查服务 不宜外包 涉密介质 非涉密介质 办公自动化设备 1.防病毒软件更新 不宜外包 涉密单机 终端日常检查 2.保密防护专用系统检查等和台账维护 1.涉密终端的台账、户籍本维护和更新 2.涉密介质的台账、户籍本维护和更新涉及涉密终端、非涉密终端、涉密介质、非涉密介质等设备 台账维护 3.涉密办公设备的台账、户籍本维护更新的台账信息不宜外包 4.非涉密终端的台账进行维护和更新 5.非涉密移动存储介质的台账进行维护和更新 BMB20-2007的要求,安全审计应由涉密信息系统配备的 按照开展定期安全审计日志分析,对存在的违规现象进行统计,针对保密 安全审计服务 专职人员负责,不宜外包 检查和安全审计结果进行安全评估 咨询建议 适宜外包 技术咨询、保密知识培训和相关建议等 培训服务 应用支持服务 公务网视频会议会务保障 会务保障 适宜外包 适宜外包 设备保障服务 对网络、安全、服务器设备等提供硬件保障服务 运行维护、应用支持和设备保障三个方面信息中 都作出了明确的规定和约束,IT领域中普遍采用的 心职工适宜承担系统管理员职责外,余下的专项 服务外包,在涉密信息系统的运行、使用和管理中 保密检查、终端日常检查、台账维护和安全审计 的作用必须受到严格的限制,即使是具有涉密信息 三个方面由于具体的工作内容如:用户操作行为 系统集成资质的IT企业,仅说明其在技术上的服务 检查和分析,用户上网痕迹的检查,文档查看, 空间,而非具备接触和了解涉密系统的应用信息资 用户终端账号的管理,在主体资格上多有不妥。 质和权利。以责任主体而论,保密安全不仅不能外 在工作的要求上,由于涉密信息系统不同于一般 包,客观上也是包不出去的。 业务系统,国家保密局对涉密系统的使用有一整 服务外包在涉密信息系统运行、使用和管理 套完整的管理要求如:用户清单管理、用户标志 中的合规性分析如表1 :服务提供商为具有涉密资 符管理、权限列表审查、需求分析评估、安全互 质的IT企业:。 联控制等,而信息中心职工一般还不具备接触和 以上的分析和判别,也进一步说明了: 使用涉密终端的资格,因此由信息中心职工承担 BMB20-2007所规定管理对象是专门的安全保密管 安全保密管理员和安全审计员无论是主体资格或 理人员以及对管理人员管理职责、管理内容以及管 是具体实践,基本无法有效按照国家保密局要求 理要求作出具体规定,对于进入涉密系统现场进行 开展相关管理工作。 维修、服务、参观等的外部人员也提出了全程旁站 陪同的规定。 3.3.3 “三员”的实践性分析 保密检查是涉密信息系统应用管理中的一项 重要内容,不同于一般信息系统,工作内容具有强 烈的刚性特征,加之人员的相对固定和最小化原 则,使得保密检查工作随着涉密信息系统应用的不 断扩大,成为一项具有相当工作量的事务性管理工 3.3 “三员”的合规性、实践性分析 作,工作量测算见表2和表3。 按照表中模拟测算,合计约需116个人/日。 3.3.1 “三员”的工作职责 在管理实践中,兼职性的“三员”不仅在知 按照BMB20-2007标准要求,涉密信息系统应 识、技能方面难以有效承担专职性质的安全保密管 配备系统管理员、安全保密管理员和安全审计员三 理工作,其工作量也将对本职工作形成冲突,容易 类安全保密管理人员:简称“三员”:,分别负责 陷于两难境地。 系统的日常运行维护、日常安全保密管理和安全保 密人员行为监督和管理工作: :1:系统管理员主要负责系统的日常运行维护 工作; :2 :安全保密管理员主要负责系统的日常安 全保密管理工作,包括用户账号管理以及安全保密 设备和系统所产生日志的审查和分析; 4 应予调整和落实的管理事项:3 :安全审计员主要负责对系统管理员,安 全保密管理员的操作行为进行审计跟踪分析和监督 检查,并定期向安全保密管理机构汇报相关情况。 按照BMB20-2007管理规范,涉密信息系统的 使用和管理应在以下两个方面加强合规性调整: “三员”的合规性分析3.3.2 在“保密风暴”开展过程中,很多政府部门将涉 密信息系统“三员”交由其所属的信息中心职工承担。 4.1 服务外包的合规性管理 通 过研究发现,目前涉密信息系统的运维和 管理中所涉及的设备维护、应用支持和保密检查 :1:外包人员不能掌握网络设备和安全设备 三个方面和六个类别中,除了网络和安全设备的 的口令和密码; :2:外包人员不能掌握任何涉密终端的用户 账号; 台账维护、安全审计等涉密工作不宜采用服务外包 表2 检查台账 的方式,而应由政府部门内部具有涉密资质的人 员从事相关工作;对于网络和安全设备的应用支 类型 模拟数量 持、设备保障等技术性维护工作,可在满足上述第 :6:条的情况下进行有限的外包。 涉密信息系统终端 30 涉密单机 20 4.2 有效的“三员”配置 涉密移动存储介质 15 鉴于以上对“三员”合规性的分析以及对常 涉密办公自动化设备 5 态化管理事务的工作量测算,各级政府部门保密办 应重视并在内部落实符合条件的人员担任涉密信息 非涉密终端 150 系统的系统管理员、安全保密员和安全审计员,使 涉密信息系统的各项管理要求落到实处。信息中心 非涉密移动存储介质 150 则定位于技术支持、应用培训、维护保障和随时提 供和响应各种技术支撑、应急处置等方面。 表3 保密检查人力投入:人/日: 工作内容 次数 单次投入 年度投入 5 结语 终端日常维护 12 3 36 涉密信息系统是分级保护的重要对象,技术 安全和信息安全是涉密信息系统运维管理中“两手 保密检查 2 40 80 都要硬”的重要工作。具有高度政治敏感性和强烈 责任意识,是从事涉密信息系统运行管理的重要条 合计 14 116 件;贯彻落实BMB20-2007规定的各项管理要求, 是涉密信息系统规范管理的抓手;培养和锻炼一支 满足BMB20-2007规定条件的管理队伍,有效控制 :3 :在专项保密检查中,除了单纯的技术 服务外包引发的安全风险,是保障涉密信息系统安 性支持外,外包人员不能接触涉密终端、非涉密终 全应用的基础。只有做到“规定动作不走样”,认 端、涉密移动介质、非涉密移动介质和涉密办公自 真研究、区别对待、清楚界定IT企业在涉密信息系 动化设备内的使用信息,无权了解用户终端和介质 统运维中的准入条件和作用空间,才能确保涉密信 内的文件内容,更无权对用户的行为信息进行检查 息系统的整个生命周期在一个规范严谨的管理轨道 和分析; :4:不允许外包人员了解和掌握涉密系统的 台账信息、不能参与相关信息的维护工作; :5:安全审计员的职责是对系统管理员和安 中运行。 全保密管理员的工作进行合规性审计和检查,故逻 辑上排除系统管理员和安全保密管理员职责由外包 参考文献: 人员替代的情况; [1] BMB20-2007《涉及国家秘密的信息系统分级保 :6:对于外包人员可以提供的技术性服务, 护管理规范》[S]. 内部工作人员必须进行全程旁站陪同。 [2] 梁学贵.保密资格审查认证是一个好 制度 关于办公室下班关闭电源制度矿山事故隐患举报和奖励制度制度下载人事管理制度doc盘点制度下载 :保密资格 因此,从贯彻和落实合规性考虑,涉密信息 审查认证制度建立的基 本 思 路 和 理 念 [ J].保密工 系统运维管理中的专项保密检查、终端日常检查和 作,2009(11):29-30. [3] IT服务管理最佳实践指南ITIL[S].