信息是資產(chǎn)，是資產(chǎn)就有被竊取被破壞的可能。信息儲(chǔ)存、流通的系統(tǒng)和設(shè)備，接觸信息的人，管理信息的方式……凡與信息相關(guān)的環(huán)節(jié)，都存在威脅信息安全的因素，都需要用多重手段精心防范--
隨著軍隊(duì)物資采購(gòu)機(jī)構(gòu)信息化建設(shè)的不斷推進(jìn)，信息系統(tǒng)已經(jīng)成為當(dāng)前采辦系統(tǒng)的核心組成部分。信息安全風(fēng)險(xiǎn)直接影響到軍隊(duì)物資采購(gòu)系統(tǒng)為軍隊(duì)用戶(hù)提供服務(wù)和對(duì)各類(lèi)供應(yīng)商等采購(gòu)實(shí)體進(jìn)行管理的能力。而在關(guān)鍵時(shí)刻，個(gè)別重大的信息系統(tǒng)發(fā)生故障或癱瘓，還可能給整個(gè)軍隊(duì)后勤保障帶來(lái)不可挽回的損失。
當(dāng)前，軍隊(duì)物資采購(gòu)系統(tǒng)根據(jù)總后關(guān)于信息化建設(shè)的精神，建立了依托于軍隊(duì)內(nèi)部的指揮自動(dòng)化網(wǎng)、軍隊(duì)綜合信息網(wǎng)等內(nèi)部指揮控制網(wǎng)絡(luò)、辦公網(wǎng)絡(luò)、業(yè)務(wù)管理網(wǎng)絡(luò)等信息服務(wù)和指揮網(wǎng)絡(luò)，為軍隊(duì)采購(gòu)管理單位、采購(gòu)業(yè)務(wù)單位、科研和教學(xué)單位、軍內(nèi)終端客戶(hù)提供廣泛的信息服務(wù)。實(shí)施信息安全管理，不僅能夠有效地提高信息系統(tǒng)的安全性、完整性、可用性以及相關(guān)應(yīng)急采購(gòu)任務(wù)的快速反應(yīng)能力，同時(shí)也是保障軍隊(duì)物資采購(gòu)系統(tǒng)科學(xué)發(fā)展、為軍隊(duì)提供最優(yōu)保障力的重要手段。
面對(duì)信息安全三大風(fēng)險(xiǎn)
在軍隊(duì)物資采購(gòu)活動(dòng)中，存在各種各樣的風(fēng)險(xiǎn)，都對(duì)采辦的結(jié)果產(chǎn)生不同程度的影響。根據(jù)風(fēng)險(xiǎn)產(chǎn)生對(duì)象的不同，將風(fēng)險(xiǎn)分為人為風(fēng)險(xiǎn)、系統(tǒng)風(fēng)險(xiǎn)、數(shù)據(jù)風(fēng)險(xiǎn)等三個(gè)方面。
人為風(fēng)險(xiǎn) 人是信息安全最主要的風(fēng)險(xiǎn)因素。不適當(dāng)?shù)男畔⑾到y(tǒng)授權(quán)，會(huì)導(dǎo)致未經(jīng)授權(quán)的人獲取不適當(dāng)?shù)男畔?。采?gòu)人員操作失誤或疏忽會(huì)導(dǎo)致信息系統(tǒng)的錯(cuò)誤動(dòng)作或產(chǎn)生垃圾信息；違規(guī)篡改數(shù)據(jù)、修改系統(tǒng)時(shí)間、修改系統(tǒng)配置、違規(guī)導(dǎo)入或刪除信息系統(tǒng)的數(shù)據(jù)，可能導(dǎo)致各種重大采購(gòu)事故的發(fā)生。有令不行、有禁不止等人為因素形成的風(fēng)險(xiǎn)，是軍隊(duì)物資采購(gòu)信息安全的最大風(fēng)險(xiǎn)。
系統(tǒng)風(fēng)險(xiǎn) 系統(tǒng)風(fēng)險(xiǎn)包括系統(tǒng)開(kāi)發(fā)風(fēng)險(xiǎn)和系統(tǒng)運(yùn)行風(fēng)險(xiǎn)。在采購(gòu)項(xiàng)目開(kāi)發(fā)過(guò)程中沒(méi)有考慮到必要的信息系統(tǒng)安全設(shè)計(jì)，或安全設(shè)計(jì)存在缺陷，都會(huì)導(dǎo)致采辦信息系統(tǒng)安全免疫能力不足。沒(méi)有完善、嚴(yán)格的生產(chǎn)系統(tǒng)運(yùn)行管理體制，會(huì)導(dǎo)致機(jī)房管理、口令管理、授權(quán)管理、用戶(hù)管理、服務(wù)器管理、網(wǎng)絡(luò)管理、備份管理、病毒管理等方面出現(xiàn)問(wèn)題，輕則產(chǎn)生垃圾信息，重則發(fā)生系統(tǒng)中斷或信息被非法獲取等問(wèn)題。
當(dāng)前的采購(gòu)信息系統(tǒng)已是一個(gè)龐大的網(wǎng)絡(luò)化系統(tǒng)，在網(wǎng)絡(luò)內(nèi)存在眾多的中小型機(jī)、服務(wù)器、前置機(jī)、路由器、終端設(shè)備，也包括數(shù)據(jù)庫(kù)、操作系統(tǒng)、中間件、應(yīng)用系統(tǒng)等軟件系統(tǒng)。網(wǎng)絡(luò)系統(tǒng)中的任何一個(gè)環(huán)節(jié)都有可能出現(xiàn)故障，一旦出現(xiàn)故障便有可能造成系統(tǒng)中斷，影響業(yè)務(wù)正常運(yùn)作。同時(shí)，由于自然災(zāi)害、戰(zhàn)爭(zhēng)等突發(fā)事件造成的系統(tǒng)崩潰、數(shù)據(jù)載體不可修復(fù)性損失等等，都會(huì)給采購(gòu)信息系統(tǒng)帶來(lái)很大的影響。
數(shù)據(jù)風(fēng)險(xiǎn) 數(shù)據(jù)是信息的載體，也是軍隊(duì)物資采購(gòu)系統(tǒng)最重要的資產(chǎn)。對(duì)數(shù)據(jù)的存儲(chǔ)、處理、獲取、發(fā)布和共享均需要有一套完整的流程和審批制度，沒(méi)有健全的數(shù)據(jù)管理制度，便存在導(dǎo)致數(shù)據(jù)信息泄露的風(fēng)險(xiǎn)。
做好信息安全工作三項(xiàng)內(nèi)容
信息安全的含義在不同的環(huán)境情況下各不相同。在國(guó)際標(biāo)準(zhǔn)ISO17799信息安全標(biāo)準(zhǔn)中，信息安全是指：使信息避免一系列威脅，保障商務(wù)的連續(xù)性，盡量減少業(yè)務(wù)損失，從而最大限度地獲取投資和商務(wù)的回報(bào)。
對(duì)于軍隊(duì)物資采購(gòu)系統(tǒng)，信息安全管理則應(yīng)該堅(jiān)持系統(tǒng)和全局的觀(guān)念，基于平戰(zhàn)結(jié)合、立足應(yīng)急保障的思想來(lái)建立起安全管理體系。通過(guò)系統(tǒng)、全面、科學(xué)的安全風(fēng)險(xiǎn)評(píng)估，體現(xiàn)“積極預(yù)防、綜合防范”的方針，強(qiáng)調(diào)遵守國(guó)家有關(guān)信息安全的法律法規(guī)及其他合同方要求，透過(guò)全過(guò)程和動(dòng)態(tài)控制，本著控制費(fèi)用與風(fēng)險(xiǎn)平衡的原則，合理選擇安全控制方式，保護(hù)關(guān)鍵信息資產(chǎn)，使信息風(fēng)險(xiǎn)的發(fā)生概率降低到可接受的水平，確保信息的保密性、完整性和可用性，保持組織業(yè)務(wù)運(yùn)作的持續(xù)性。
保密性 信息安全的保密性，在確保遵守軍隊(duì)保密守則規(guī)定的前提下，確保涉密信息僅可讓授權(quán)獲取的相關(guān)人員訪(fǎng)問(wèn)。結(jié)合當(dāng)前的狀況，軍隊(duì)物資采購(gòu)系統(tǒng)的信息安全保密應(yīng)當(dāng)做到：嚴(yán)格分崗授權(quán)制衡機(jī)制，杜絕不相容崗位兼崗現(xiàn)象；嚴(yán)格用戶(hù)管理和授權(quán)管理，防止非法用戶(hù)、用戶(hù)冗余和用戶(hù)授權(quán)不當(dāng)；加強(qiáng)密碼管理，防止不設(shè)口令或者口令過(guò)于簡(jiǎn)單；加強(qiáng)病毒防范管理，防范病毒損害；控制訪(fǎng)問(wèn)信息，阻止非法訪(fǎng)問(wèn)信息系統(tǒng)；確保對(duì)外網(wǎng)絡(luò)服務(wù)得到保護(hù)，阻止非法訪(fǎng)問(wèn)網(wǎng)絡(luò)；檢測(cè)非法行為，防范道德風(fēng)險(xiǎn)；保證在使用移動(dòng)電腦和遠(yuǎn)程網(wǎng)絡(luò)設(shè)備時(shí)的信息安全，防止非法攻擊。
完備性 信息安全的完備性，是指系統(tǒng)信息準(zhǔn)確且具備完善的處理方法。具體要求是：嚴(yán)格采購(gòu)業(yè)務(wù)流程管理，確保采購(gòu)業(yè)務(wù)流程與采購(gòu)信息系統(tǒng)操作流程完備一致；嚴(yán)格控制生產(chǎn)系統(tǒng)數(shù)據(jù)修改，防止數(shù)據(jù)丟失。防止不正確修改，減少誤操作；嚴(yán)格數(shù)據(jù)管理，確保數(shù)據(jù)得到完整積累與保全，使系統(tǒng)數(shù)據(jù)能夠真實(shí)、完整地反映采購(gòu)業(yè)務(wù)信息；嚴(yán)格按照軍隊(duì)關(guān)于物資采購(gòu)的規(guī)定和要求操作，減少或杜絕非招標(biāo)業(yè)務(wù)；避免任何違反法令、法規(guī)、合同約定及易導(dǎo)致業(yè)務(wù)信息與數(shù)據(jù)信息不一致、不完整的行為。
可用性 信息安全的可用性，要求確保被授權(quán)人可以獲取所需信息。具體要求是：加強(qiáng)生產(chǎn)系統(tǒng)運(yùn)行管理，確保生產(chǎn)系統(tǒng)安全、穩(wěn)定、可靠運(yùn)行；加強(qiáng)生產(chǎn)機(jī)房建設(shè)與管理，保障機(jī)房工作環(huán)境所必需的濕度、溫度、電源、防火、防水、防靜電、防雷、限制進(jìn)入等要求；加強(qiáng)生產(chǎn)系統(tǒng)日常檢查管理，及早發(fā)現(xiàn)故障苗頭；加強(qiáng)系統(tǒng)備份，防止數(shù)據(jù)損失；嚴(yán)格生產(chǎn)系統(tǒng)時(shí)間管理，禁止隨意修改生產(chǎn)系統(tǒng)時(shí)間；保障系統(tǒng)持續(xù)運(yùn)行；實(shí)施災(zāi)難備份，防止關(guān)鍵業(yè)務(wù)處理在災(zāi)難發(fā)生時(shí)受到影響。
信息安全管理需專(zhuān)門(mén)制度和機(jī)構(gòu)
信息安全機(jī)構(gòu) 軍隊(duì)物資采購(gòu)系統(tǒng)應(yīng)分出專(zhuān)人專(zhuān)職來(lái)負(fù)責(zé)信息安全管理工作，并協(xié)同上級(jí)業(yè)務(wù)管理單位制定信息安全管理制度和工作程序，設(shè)定安全等級(jí)，評(píng)估安全風(fēng)險(xiǎn)程度，落實(shí)防范措施，提出內(nèi)控體系整改方案與措施，監(jiān)督和評(píng)估信息安全管理成效。在與上級(jí)總部和軍區(qū)、軍兵種物資油料部管理機(jī)構(gòu)之間還要有一個(gè)快速響應(yīng)的信息安全事故收集、匯總、處理及反饋體系。
信息安全管理制度與策略 信息安全管理制度應(yīng)針對(duì)軍隊(duì)物資采購(gòu)系統(tǒng)現(xiàn)狀與發(fā)展方向來(lái)制定，要充分考慮可操作性?，F(xiàn)階段可根據(jù)“積極防御、綜合防范”的方針，制定內(nèi)部網(wǎng)、OA網(wǎng)、外部網(wǎng)的管理辦法，明確用戶(hù)的訪(fǎng)問(wèn)權(quán)限。制定生產(chǎn)系統(tǒng)運(yùn)行管理辦法，嚴(yán)格實(shí)行分崗制衡、分級(jí)授權(quán)，嚴(yán)格執(zhí)行生產(chǎn)系統(tǒng)時(shí)間管理、備份管理、數(shù)據(jù)管理和口令管理。
信息安全分級(jí)管理 信息安全分級(jí)管理，是將信息資產(chǎn)根據(jù)重要性進(jìn)行分級(jí)，對(duì)不同級(jí)別的信息資產(chǎn)采用不同級(jí)別的信息安全保護(hù)措施。國(guó)家已將信息安全等級(jí)保護(hù)監(jiān)督分級(jí)，分別為自主性保護(hù)、指導(dǎo)性保護(hù)、專(zhuān)控性保護(hù)等，軍隊(duì)物資采購(gòu)系統(tǒng)可以結(jié)合實(shí)際情況，將信息資產(chǎn)分為“三級(jí)”或“五級(jí)”保護(hù)，目的在于突出重點(diǎn)，抓住關(guān)鍵，兼顧一般，合理保護(hù)。分級(jí)管理的方法是分析危險(xiǎn)源或危險(xiǎn)點(diǎn)，評(píng)估其重要性，再分設(shè)等級(jí)，從而采取不同的保護(hù)措施。比如，對(duì)于采購(gòu)機(jī)構(gòu)業(yè)務(wù)機(jī)房，可采取門(mén)禁與限制進(jìn)入等方式進(jìn)行保護(hù)；針對(duì)采購(gòu)中相關(guān)數(shù)據(jù)的提供，可設(shè)計(jì)一定的審判流程，根據(jù)數(shù)據(jù)的重要程度，分類(lèi)為公開(kāi)信息、優(yōu)先共享信息、內(nèi)部一般信息、內(nèi)部控制信息、內(nèi)部關(guān)鍵信息和內(nèi)部核心信息，實(shí)施嚴(yán)格的授權(quán)控制；對(duì)于信息安全事故，可分為重大事故、一般事故、輕微事故等，采取不同的處置方案。
信息安全集中監(jiān)控與處置 設(shè)立集中運(yùn)行的信息安全監(jiān)控處置中心，及時(shí)監(jiān)控、發(fā)現(xiàn)安全事故，做到響應(yīng)快速、處置果斷，并實(shí)施應(yīng)急恢復(fù)。結(jié)合軍隊(duì)物資采購(gòu)系統(tǒng)當(dāng)前實(shí)際情況，可對(duì)網(wǎng)絡(luò)、服務(wù)器等運(yùn)行設(shè)備進(jìn)行集中監(jiān)控，開(kāi)展服務(wù)器容量管理、網(wǎng)絡(luò)流量監(jiān)控；對(duì)應(yīng)用系統(tǒng)采取防范與監(jiān)控相結(jié)合的方式，對(duì)信息系統(tǒng)的數(shù)據(jù)設(shè)置校驗(yàn)碼，防止非法修改；在開(kāi)發(fā)應(yīng)用系統(tǒng)的同時(shí)，還應(yīng)開(kāi)發(fā)相應(yīng)的審計(jì)檢查監(jiān)控程序，由各單位分別運(yùn)行和維護(hù)，由上級(jí)采購(gòu)管理機(jī)構(gòu)定期查驗(yàn)和監(jiān)督，及時(shí)發(fā)現(xiàn)數(shù)據(jù)信息存在的風(fēng)險(xiǎn)。
科學(xué)構(gòu)建信息安全管理系統(tǒng)
實(shí)現(xiàn)信息安全管理的集中運(yùn)行，需借助信息安全管理系統(tǒng)。各軍隊(duì)采購(gòu)機(jī)構(gòu)和部門(mén)可以按照上級(jí)下達(dá)的統(tǒng)一標(biāo)準(zhǔn)，構(gòu)建基于同一操作平臺(tái)的信息安全管理系統(tǒng)，幫助安全管理中心實(shí)現(xiàn)系統(tǒng)的監(jiān)控、分析、預(yù)警等功能，實(shí)現(xiàn)信息安全事故處理的收集、存儲(chǔ)、分析等功能，及時(shí)對(duì)信息風(fēng)險(xiǎn)作出反饋。
監(jiān)控功能 為采辦機(jī)構(gòu)和部門(mén)的相關(guān)信息處理和傳輸設(shè)備配置專(zhuān)人管理，并設(shè)置機(jī)房日志管理、服務(wù)器性能日志管理、服務(wù)器容量日志管理、數(shù)據(jù)修改日志管理、流量監(jiān)控日志等功能，并酌情設(shè)置數(shù)據(jù)檢測(cè)結(jié)果日志管理功能。通過(guò)對(duì)存儲(chǔ)、傳輸和刪改的操作進(jìn)行管理，達(dá)到監(jiān)督控制的目的。
處理功能 根據(jù)采辦單位所在環(huán)境和情況，自主設(shè)置安全事故報(bào)告、響應(yīng)、處置等采辦信息管理功能，對(duì)于高級(jí)別信息，也可以采用每天零報(bào)告措施。通過(guò)信息處理的簡(jiǎn)化、優(yōu)化和快速反應(yīng)，提高信息安全保障能力，從而保證軍隊(duì)采購(gòu)的正常進(jìn)行。
安全等級(jí)管理功能 針對(duì)采辦單位自身特點(diǎn)，設(shè)置信息資產(chǎn)、危險(xiǎn)源、危險(xiǎn)點(diǎn)定義與分級(jí)功能，對(duì)于不同級(jí)別的信息安全危機(jī)設(shè)定不同的保護(hù)等級(jí)，并采取不同的保護(hù)措施、監(jiān)控措施、事故響應(yīng)與處置措施，保證系統(tǒng)的穩(wěn)定性和完好性。
安全預(yù)警改進(jìn)功能 根據(jù)日常監(jiān)控的結(jié)果和事故處理經(jīng)驗(yàn)，設(shè)置靈活細(xì)分的預(yù)警指標(biāo)，由系統(tǒng)自動(dòng)分析提出預(yù)警，從而建立信息安全監(jiān)控、分析、預(yù)警、處置、改進(jìn)等不斷循環(huán)優(yōu)化的信息安全管理體系。
來(lái)源：政府采購(gòu)信息網(wǎng)
