“謀成於密而敗於洩，三軍之事莫重於密”，作為不同群體、不同階級、不同國家之間永恆課題，保密工作事關最高利益成敗，十分重要。信息化條件下，保密就是保信息、保安全、保生存、保發展。信息安全管理是信息的制權人持續地維護所控制的信息，保障涉密信息的安全屬性，防止信息受到無意地或人為的洩露和破壞。面對全新信息安全挑戰，加強安全技術研究，探索保密管理模式，既是保密業務時代需求，也是信息技術迭代發展驅動使然。
信息安全屬性與安全保密新特徵
我們常稱的“信息安全”包含三層含義，一是系統安全，即實體安全和系統運行安全；二是數據安全，即通過對用戶權限的控制、數據加密等技術措施確保信息不被非授權者獲取和篡改；三是管理安全，即用綜合手段對信息資源和系統安全進行有效管理。具體講，安全信息應具備不可否認性、完整性、合法性等屬性。
所有信息系統的安全建設目標均是圍繞信息安全屬性而展開的。信息安全保密作為保障信息安全的重要手段，在信息技術日新月異的時代背景下，呈現出以下新特徵：
環境的複雜性
主要體現在三方面，一是戰略性取向明顯。竊密與反竊密、偵察與反偵察的較量己經突破傳統範圍，甚至一躍而升為綜合國力、軍事實力之間的直面交鋒；二是對抗程度加劇。高技術手段廣泛運用於情報領域後，“竊與保”之間的對抗持續白熱化；三是人文環境複雜。人員變動、信息交互、網絡空間的開放性，使得保密管理需要面對眾多不可控因素。
信息超時空、全方位
隨著新興信息技術的飛速發展，安全保密工作己突破時空限制，計算機信息系統的電磁洩漏、電磁介質殘留信息、網絡系統漏洞以及管理上的薄弱環節等，都為竊密者提供了可乘之機，計算機信息網絡的安全使用成為保密管理的工作重點。
信息的多樣性
信息以紙介質、光介質、電磁介質等為載體，以聲、光、電為傳輸途徑，使得信息散佈在多維空間中，而安全保密技術涉及眾多學科、遍及各個領域，涵蓋社會管理的各方面，涉密信息的多樣性決定了保密工作的複雜性。
信息數字化與保密派生性
數字化信息傳播具有很強的隱蔽性，流通範圍可呈幾何級數增長，這使涉密計算機、涉密計算機信息系統及涉密載體的保密管理面臨很大的挑戰。另外，因工作學習需要而涉及到的涉密信息，如未經過徹底脫密處理，將會派生出秘密，必定給保密管理帶來新問題。
對於黨、政、軍、金融、公安等重點涉密行業，隨著信息化建設進程不斷加快推進，各類信息安全保密管理日趨繁重，尤其是終端安全管控、文件加密存儲、涉密信息輸出等方面的保密管理與現實安全隱患矛盾十分突出，具體表現：終端外設監管不到位、終端基礎運行環境不可控、文件明文存儲無法管控訪問範圍、文件流轉監管困難、單位間的文件流轉範圍難以控制、文件輸出流程管理複雜、終端操作缺乏全面的審計機制、文件發生洩露後難以追溯洩露源頭等。
新形勢下安全保密管理重點與實施策略
做好信息化條件下的保密工作，主要是管住人、管住密、管好網絡，確保涉密信息安全和有序共享，重點做好兩方面工作：
從嚴把控“五個關口”
①“人員口”，即涉密人員能力評估、上崗前培訓考核、離崗前審計脫密；②“場所口”，重要涉密場所的物理訪問控制和安全監控；③“載體口”，即各類涉密介質的存取訪問控制；④“計算機及網絡的外接端口”，即涉密終端及網絡的接口控制、接入控制、傳輸控制和存取訪問控制；⑤“通信、傳真、複印、打印口”，即涉密通信、涉密文件的傳真、複印、打印控制。
全程落實“四個審計”
①“涉密人員審計”，即基於身份認證，對其進出涉密場所、上崗、離崗、崗位變動、人員流動等進行審計；②“涉密載體審計”，即對涉密載體的存放位置、流轉狀況、使用記錄、維修記錄及銷燬進行審計；③“涉密計算機及網絡審計”，即對涉密軟硬件操作維護記錄、系統登錄記錄、數據傳輸記錄，以及數據及服務的服務控制記錄、數據傳輸記錄，及數據及服務的服務控制記錄等進行審計；④“定密審計”，即對涉密信息的確定、變更與解除等工作進行審計。
針對以上新形勢下安全保密工作的時代特徵和業務需求，提出“自主可控、保用結合；集中管理、精確控制”四輪驅動安全管理策略。其核心思想是：①自主可控是環境條件，從底層硬件、OS到上層應用採用國產化的信息設備和應用軟件，以提升數字化信息整體環境的安全防護能力；②保用結合是工作要求，兼顧信息化建設和安全保密工作，統一建立安全域，確保涉密信息在安全域內的授權使用和高效共享；③集中管理是管理手段，為了壓縮變數空間，提升可管控程度，要求對涉密信息邏輯集中，必要情況下可物理集中存儲，還要輸出操作集中；④精確控制是建設目標，為提高管理的細粒度，要求何人、何時、何地、通過何種網絡、使用何種終端、對何種授權的涉密信息進行享用、享用多久以及對所有操作行為進行全程審計記錄，將無序變有序實現高效管理。
信息安全保密綜合管理解決方案
建設原則
為確保信息高度安全和萬無一失，涉密信息系統建設應遵循“三化”原則：
1、全程化原則。即對涉密信息的整個生命週期實施全過程、全方位管控，防止過程洩密，做到百密不疏。全過程，既包括從秘密本身的產生、流轉到解除的邏輯形式，也包括從涉密載體的製作、使用到銷燬的物理狀態。全方位，是指全部管理對象，既包括涉密人員、涉密載體、涉密信息系統、保密要害部門部位及涉密會議活動等。
2、最小化原則。涉密對象最少、知悉範圍最小、管理環節最簡，將失洩密概率控制最低。具體而言，一是定密方面，嚴格按照保密規定確定秘密，確保定密精準、知悉範圍最小、保密期限和定密密級最合事宜；二是載體管理方面，嚴格控制涉密載體數量，統一集中管理；三在載體流轉方面，環節儘量簡化，防止中間環節過多，造成接觸、知悉範圍不必要的擴大。
3、精準化原則。採用精細化管理模式，增強保密工作的科學性、針對性和有效性，確保管理對象清晰、管理措施有效、管理流程閉環。具體要求：定密精準，建立權責明晰、程序規範、解密及時、監督有力的定密機制；監管精準，做到涉密操作行為可溯，涉密載體有備可查，涉密環節高效管控。
系統架構
信息安全保密綜合管理系統基於信創平臺開發，適配主流信創產品，由一個基礎平臺和四個子系統組成。
基礎平臺：基於標準的通信協議格式和數據格式，實現用戶組織管理、主機管理、軟件分發管理、告警信息集中展現和處置等功能的軟件平臺。
終端管控子系統：綜合運用計算機軟件、網絡安全、密碼等技術，對涉密終端操作系統、端口、外設、移動存儲介質、網絡接入等進行安全管理。
標籤管理子系統：使用電子標籤技術，標記電子文件的密級、權限、流轉等屬性信息，實現涉密電子信息的全生命週期管理。
集中管控子系統：綜合運用利用計算機軟件、網絡安全、密碼等技術，對涉密行業辦公中產生的涉密信息實施集中存儲、加密保護、授權使用、精確控制、全程審計。
集中文印子系統：綜合運用計算機軟件、網絡、打印驅動等技術，對計算機用戶的集中打印、複印和刻錄行為進行管理和審計。
應用價值
中孚信息安全保密綜合管理系統採用模塊化組件設計，結合多年來在保密領域技術攻關和經驗積累，破解了“終端外設監管難、訪問控制難、洩露文件追溯難、文件輸出監管難、用戶操作審計不全面”等一系列難題，完全滿足涉密領域精準集中管控下的安全保密行業需求，具體優勢為：
便捷部署：系統支持終端和管理端的“一鍵”安裝，經過簡單配置就可完成系統搭建，提升了部署效率。
系統升級便利：系統支持對各個子系統單獨升級，同時各子系統支持覆蓋安裝的升級形式，大大提高的運維效率。
支持聯網、單機模式：終端支持支持聯網、單機部署模式。
全方位的審計管理：詳細記錄系統所有的業務操作的詳細日誌信息，同時支持多種審計報表的生成和導出。
可追溯性：系統通過數字水印、二維碼注入、文件標籤注入及完備的日誌體系，實現數據的可追溯性。
信息化程度越高，對信息的需求愈大，對信息安全的依賴也愈強。對於涉密行業來說，利用信息技術高效使用信息與確保信息的安全，本身就是一體兩面，缺一不可的事。集中精確管控是不斷髮展、日趨完善的過程，不可能一蹴而就、一勞永逸，只有紮實做好秘密集中管控，不斷改進完善系統，才能變“粗放管理”為“精確管理”，變“事後追查”為“事先防範”，確保涉密信息的安全和有序利用。隨著網信技術不斷髮展，在信息化應用領域，安全保密一定會從幕後做“配角”走向臺前唱“主角”，其發展趨勢也一定會由被動應對走向主動防護、由粗放式管理走向精準式管理、由靜態式檢測走向動態持續化監管和自動化處置。
張旗 / 中孚信息北京研究院
