保密风险评估

保密风险评估（共9篇）

保密风险评估篇1

摘要

“保守秘密是御敌之盾，失密泄密是刺已之剑。”“信息是生成战斗力的数据库，保密是保护战斗力的防火墙。”在信息化条件下，做好保密工作是部队的中心工作之一，军队保密风险评估是军队保密工作的重要组成部分。军队保密风险评估要坚持以科学发展观为指导，深入调查研究，全面掌握军队保密风险因素及其影响，进而准确掌握军队保密工作面临的形势、存在的问题和努力方向。有效控制知悉范围、降低保密负荷、增强保密能力、防范窃密活动、消除泄密隐患、确保秘密安全，这是做好保密工作的基本要求。要实现这一目标，就要对军事秘密存在的风险进行识别、分析，确定评估的指标体系，建立军队保密风险综合评估的数学模型。通过对军队保密风险的科学评估，准确把握涉密单位和涉密人员所掌管的秘密面临的风险，为进一步控制保密风险提供科学依据，实现军队保密工作的前馈管理。

关键词：保密军队风险评估

“保密是军队永恒的战斗力，泄密是军队失败的导火索。”在信息化条件下，做好保密工作是部队的中心工作之一，军队保密风险评估是军队保密工作的重要组成部分。军队保密风险评估要坚持以科学发展观为指导，深入调查研究，全面掌握军队保密风险因素及其影响，进而准确掌握军队保密工作面临的形势、存在的问题和努力方向。有效控制知悉范围、降低保密负荷、增强保密能力、防范窃密活动、消除泄密隐患、确保秘密安全，这是做好保密工作的基本要求。要实现这一目标，就要对军事秘密存在的风险进行识别、分析和评估，并对客观存在的风险和潜在的风险进行有效的控制与防范。通过对军队保密风险的科学评估，准确把握涉密单位和涉密人员所掌管的秘密面临的风险，为进一步控制保密风险提供科学依据，实现军队保密工作的前馈管理。

下面我们将结合军队保密管理工作的实际情况，研究解决以系为基本单位的保密工作问题。

我们可以将保密风险评估分成这几个方面： 1.评估密级 2.评估威胁 3.评估损失

模型的建立

一．明确保密对象密级

1.网络设备：3G手机、无线路由器、网卡、网线 3级

2.存储介质：软盘、移动硬盘、U盘、光盘等 2级

3.硬件设备：个人笔记本电脑，军网电脑，手机，可上网的MP4等 1级

保密风险评估篇2

近年来, 越来越多的数控设备和工控系统应用到工业生产中, 它们更多地采用了开放性和透明性较强的通用协议、通用硬件和通用软件, 并通过各种方式与企业管理网、互联网等公共网络连接。根据CNNVD搜集的漏洞数据和CNCERT发布的网络安全态势报告, 这些工控系统中存在的各种漏洞、病毒、木马等威胁正在向工业控制系统扩散, 工业控制系统信息安全问题日益突出。

近期披露的信息安全事件表明, 信息安全问题已经从软件延伸至硬件, 从传统的网络信息系统延伸至工业控制系统、大型科研装置、基础设施等诸多领域。对于工控系统以及工控设备的安全性测试和风险评估也变得重要起来。

工控系统与办公系统不同, 系统中使用智能设备、嵌入式操作系统和各种专用协议, 尤其是智能设备具有集成度高、行业性强、内核不对外开放、数据交互接口无法进行技术管控等特点, 工控系统的安全风险不能直接参照办公系统的风险评估标准, 其评估方法、标准还在不断研究和探索中。

2 工控设备风险评估模型和流程

2.1 工控设备风险评估模型

工控设备安全保密风险需求主要涉及到三大方面:一是工控设备所处的物理环境安全, 如防偷窃、非授权接触、是否有窃听窃视装置等;二是工控设备自身的安全, 主要分析包括硬件、软件、网络和电磁等方面的安全;三是工控设备的安全保密管理问题, 包括其管理机构、人员、制度、流程等。在对工控设备安全保密需求分析的基础上, 本文结合工控设备安全检测的需求, 提出了工控设备安全风险评估框架, 如图1所示。

2.2 工控设备安全保密风险评估流程

针对上述评估模型, 本文按照检测对象、风险分析、检测方案、结果评估的流程开展工控设备安全保密风险评估, 如图2所示。

1) 检测对象:确定设备用途, 分析基本组成;

2) 风险分析:根据不同设备类型 , 按照风险评估模型进行风险分析;

3) 检测方案: 依据根据风险分析结果制定检测方案, 准备检测工具、环境, 明确检测项目、要求和方法;

4) 结果评估:依据检测方案执行检测 , 完成所有检测项, 依据检测结果进行评估, 对发现的可疑风险点进行深入检测, 修订检测方案, 综合评估。

3 数控设备安全保密风险评估实践

3.1 检测对象

数控机床主要用于各种零部件的生产加工, 机床包括机床主体和核心控制系统。840D控制系统是西门子公司推出的一款功能强大、简单开放的数控系统, 本次数控设备安全保密风险评估的主要内容也是针对该控制系统。

840D sl将数控系统 (NC、PLC、HMI) 与驱动控制系统集成在一起, 可与全数控键盘 (垂直型或水平型) 直接连接, 通过PROFIBUS总线与PLCI/O连接通讯, 基于工业以太网的标准通讯方式, 可实现工业组网。其各部分硬件组成结构、拓扑结构、软件系结构统如图3、4、5所示。

3.2 风险分析及评估

3.2.1 物理安全

通过对840D数控机床设备所处的房间进行物理安全检查, 区域控制符合要求;窃听窃照检测, 未发现有窃听窃照装置;通过对房间的进行声光泄漏检测, 符合相关安全要求。

3.3.2 系统自身安全

1) 操作系统

脆弱点分析:

基本情况

> SINUMERIK 840D PCU采用Windows XP平台

> 一般不会对Windows平台安装任何补丁

> 微软停止对Windows XP的技术服务

> NCU系统为黑盒系统

* PCU

> RPC远程执行漏洞 (MS08-067)

> 快捷方式文件解析漏洞 (MS10-046)

> 打印机后台程序服务漏洞 (MS10-061)

> 系统未安装任何防火墙软件和杀毒软件

NCU (CF 卡)

> SINUMERIK 840D系统的NCU采用的西门子自有的内嵌式Linux系统, 该系统在编译时经过特殊设计, 只能在SINUMERIK系统环境下运行;

> 可以对CF卡进行映像和重建, 而且新建的CF卡可以在SINUMERIK 840D系统上成功启动;

> NCU系统中设定了不同的用户及权限, 但内置的用户及口令均以默认状态存在系统存在默认用户及口令;

> SNMP服务存在可读口令, 远程攻击者可以通过SNMP代理获取系统的很多细节信息。密码可暴力猜解, snmp服务密码为弱口令“public”。

风险:

攻击者可以利用漏洞入侵和控制SINUMERIK840D系统的PCU, 获取到相应操作权限, 对下位机下达相应指令;

由于在CF卡上有用户数据的存放、HMI应用程序显示的数据以及系统日志文件, 因此通过对CF卡的复制和研究可还原用户存放数据、PLC加工代码等信息;

只要通过PCU或者直接使用PC安装相应的管理软件, 通过网络连接到NCU, 即可使用以上用户和口令进行各类操作;

攻击者一旦得到了可写口令, 可以修改系统文件或者执行系统命令。

2) 应用系统

基本情况

> 应用软件多种多样, 很难形成统一的防范规范;

> 开放应用端口, 常规IT防火墙很难保障其安全性;

> 利用一些应用软件的安全漏洞获取设备的控制权。

重要应用———Winscp

脆弱点分析:是一款远程管理软件, 其可通过ssh、SCP、SFTP等加密协议对下位机进行一定权限的系统命令操作; 通过winscp软件可以对NCU进行远程管理, 需要相应的用户账户和密码。账户和密码可通过协议漏洞获取, 如表1所示。

风险评估: 攻击者机器上直接登录winscp远程控制NCU。进一步, 可对下位机NCU进行信息的窃取 (G代码等相关数据均存于此) 、系统破坏、上传病毒、木马、后门等作进一步攻击。

重要应用———VNC Viewer

脆弱点分析:VNC是一款功能强大的远程管理软件。可接受管理人员键盘、鼠标等几乎全部本地的控制操作;840d工控系统上位机所采用的VNC远程管理软件为通用软件, 不需要登录认证。

风险评估: 在内网的攻击者只需一款普通VNC就可以实现对下位机的远程的、完全的控制。

重要应用———HMI

脆弱点分析:HMI (直接发出指令操控机器的计算机软件) , 可装在任何符合条件的PC上, 通过工程调试模式 (直连管理口) 连接NCU, 进行配置信息的查看修改。

风险评估:物理接触、调试, 不仅存在信息泄露、甚至可能存在致使系统崩溃, 或者植入软件后门的风险。也可通过网络配置实现对下位机的控制操作。

3) 通信协议

> SINUMERIK 840D采用TCP/IP协议和OPC协议等通信, 通信协议存在潜在威胁;

> 网络传输的信息是否安全;

> 容易读取到网络上传输的消息, 也可以冒充其它的结点。

协议———MPI

脆弱点分析:MPI MPI是一种适用于少数站点间通信的多点网络通信协议, 用于连接上位机和少量PLC之间近距离通信。MPI协议为西门子公司内部协议, 不对外公开。

风险评估:尚未发现MPI多点通讯协议的安全问题。

协议———G代码传输协议

脆弱点分析:G代码是数控程序中的指令, 它是数控系统中人与制造机床的最本质桥梁, 是上位机对下位机及加工部件最直接最根本控制;G代码传输采用的是基于TCP/IP协议之上的自定义协议, 其传输过程中的G代码装载、卸载, PC_Panel上按键操作等都是进行明文传输。

风险评估:攻击者不仅可以嗅探到完全的G代码及上位机操作信息。而且可以对传输过程中的G代码进行篡改、重放, 致使下位机接收错误的命令和数据, 从而使得工业控制系统不可控, 生产制造不合格甚至带有蓄意破坏性的工件。

4) 其他部分

数据存储

脆弱点分析: 生产加工数据明文存放于PCU上, 缺少必要的安全增加及保护措施。

风险评估: 数据存在被非法获取的隐患。

特定部件

脆弱点分析:G代码在CF卡上有临时备份, 通过数据处理, 有可能获取到加工参数。

风险评估:可通过非法拷贝等方式对加工数据进行获取。

硬件安全

脆弱点分析:是否存在危险的硬件陷阱, 如逻辑锁等安全问题。

风险评估:目前尚未发现。

3.3.3 管理安全

1) 人员安全意识工业控制系统在设计时多考虑系统的可用性, 普遍对安全性问题的考虑不足, 缺乏相应的安全政策、管理制度以及对人员的安全意识培养。

2) 安全审计缺少对系统内部人员在应用系统层面的误操作、违规操作或故意的破坏性等方面的安全审计。

3) 安全运维与管理缺少对账号与口令安全、恶意代码管理、安全更新 (补丁管理) 、业务连续性管理等关键控制领域实施制度化 / 流程化、可落地的、具有多层次纵深防御能力的安全保障体系建设。

4) 核心部件使用管理缺乏对类似NCU的CF卡这些核心部件的使用、复制和保管进行安全管理, 防止非信任人员的接触的管理规定。

4 工控设备安全防护建议

1) 建立纵深防御安全体系, 提高工控系统安全性 ;2) 针对核心部件加强安全管理, 进行严格的访问控制;3) 加强网络脆弱性的防护、采用安全的相关应用软件、严格控制NCU服务; 4) 加强对工业控制系统的安全运维管理; 5) 建立有效的安全应急体系;6) 从设备采购、使用、维修、报废全生命周期关注其信息安全, 定期开展风险评估, 工控系统全生命周期如图6所示。

5 结束语

随着信息技术的广泛应用, 工控系统已经从封闭、孤立的系统走向互联体系的IT系统, 安全风险在不断增加。做好工控系统安全保密风险评估非常重要, 研究工控设备的风险评估模型、流程, 开展数控设备的安全保密风险评估实践, 可以为工控系统的安全保密风险评估奠定重要的基础。

参考文献

[1]CNNVD.China National Vulnerability Database of Information Security[Z/OL]. (2011205221) , http://www.cnnvd.org.cn/.

[2]CNCERT.2010年中国互联网安全态势报告[Z/OL]. (2011205221) , www.cncert.org.cn.CNCERT.2010 report on the Internet Security Situation of China[Z/OL]. (2011205221) , www.cncert.org.cn. (in Chinese) .

[3]NIST SP800-30.Risk Management Guide for Information Technology Systems[S].Gary Stoneburner, Alice Goguen, and Alexis Feringa.National Institute of Standards and Technology (NIST) , 2002.

[4]GB/T 20984—2007.信息安全技术信息安全风险评估规范[S].北京:中华人民共和国国家质量监督检验检疫总局, 2007.

[5]GB/T 20984—2007.Information Security Technology—Risk Assessment Specification for Information Security[S].Beijing:General Administration of Quality Supervision, Inspection and Quarantine of the Peopleps Republic of China, 2007. (in Chinese)

保密风险评估篇3

随着科技的进步，在信息技术的.推动下，使我国在信息安全保密风险管理技术方面得到了一定程度的提高，但是很多部队由于技术成本及人才结构等方面的缺陷，使其在引入和应用先进管理技术上出现困境。基于技术的落后，部队在信息安全上缺少对保密风险的管理，严重制约了其部队信息的安全性及保密性，加大了部队及国家的安全风险。而且在落后的管理技术下，造成部队信息安全保密决策的失误，不仅不能有效防范和降低风险，而且还造成巨大的物力、人力的损失甚至是生命[3]。另外，很对部队在管理理念上也相对落后，只注重对人员的管理收益，忽视管理等软环境的建设，特备是下风险管理理念存在着诸多的不足。部队在管理理念上重人力轻管理的意识形态，极大地制约了部队对信息安全保密管理体系的建构。

2.2 缺失有效的风险动态评估机制

信息安全保密风险虽然客观存在于部队的整体运作过程中，但是具有一定的不可见性、不可提前预知性和滞后性，因此，这就要求部队对其进行有效的评估，科学地进行决策判断。但是，当前我国大多部队内部缺少对信息安全保密风险的评估手段与机制，对风险的评价上相对落后，而且信息安全保密风险具有一定的随机性，对方部队的管理管理都会引发信息安全风险，面对这样的情况，部队应及时采取相关措施加以应对。但是，当前我国部队在评价风险时除了没有科学的、现金的评估预测方法还缺少一定的动态运作机制，导致部队信息安全保密风险评估能力的低下，造成了风险的频发，严重阻碍了其发展的规模及速度。

2.3 信息安全保密风险意识淡薄，缺少综合素质较高的管理队伍

保密局保密工作自查报告篇4

按照市委办《关于做好迎接XX市委保密委员会开展专项保密检查的通知》(XX?20XX?X号)文件精神要求，并结合我局实际情况，认真组织开展了保密自查工作，现自查报告如下：

一、局党组高度重视，认真学习《通知》领会精神，明确要求和责任，要求局办公室认真对照检查目录，逐一进行自查，通过自查进一步完善规章制度，落实管理措施，切实提高保密管理水平和保密技术防范能力，确保全局无失、泄密事件发生。

二、按照检查要求，对照检查目录，结合我局实际，逐项检查了我局各项保密管理制度和措施落实情况。我局保密工作主要是涉密文件信息资料的管理和网络保密工作。

(一)涉密文件信息资料管理情况

我局对涉密文件信息资料管理按照市委保密局相关要求，严格执行我局制定的《档案管理制度》和《重要信息保密工作制度》，加强对涉密文件信息的传输和阅读等各个环节的管理，对收到的涉密文件及时正确按规定进行登记和处理，确保不发生失、泄密事件。

(二)网络保密管理情况

一是强化责任落实，按照“谁主管谁负责、谁运行谁负责、谁使用谁负责”的原则，健全信息安全和保密责任制，建立了《XX信息建设管理和维护制度》、《XXX局电子政务使用管理规定》等制度，明确涉密设备的维修、更换、报废的保密管理规定，并把责任落实到具体部门、具体岗位和个人，指定兼职信息系统安全员，负责网络系统的安全管理。

二是加强对涉密网络和计算机设备的管理。我局涉密计算机、打印机等办公设备，均按要求统一登记，登记信息要素齐全，标识明确，并落实专人负责安全管理。我局接入政府内网的计算机共14台，每台计算机经过专业机构检测并安装防泄密软件，通过专线接入，与互联网采取物理隔离，没有违规接入国际互联网及其他公共信息网的情况;接入内网的计算机均采取技术措施屏蔽USB存储介质，统一使用光盘作为移动存储介质，且只有一台计算机安装刻录设备，归办公室管理;各科室接入内网的计算机均落实了专人管理，设有密码，所有工作人员统一配发USB认证证书，并加密，登录内网进行相关操作一律通过认证证书认证身份。

三是严格执行《互联网新闻信息服务管理规定》和信息安全“五禁止”规定，互联网发布信息严格按照保密审查制度和《重要信息保密工作制度》，逐级审核，无违规在国际互联网及其他公共信息网发布信息的现象。

通过自查，我局的各项保密工作能做到制度到位、管理到位、检查到位，但也存在一定的问题，主要是计算机防范技术有待学习提高，我局将在以后的工作中不断完善、改进涉密计算机信息系统应用工作中存在的问题和不足，不断完善各项规章制度，规范计算机及其网络的保密管理，实现我局保密工作的规范化管理。

保密意识和保密常识教育心得体会篇5

一、基层保密工作存在的问题

当前，随着保密领域不断扩大、管理对象更加复杂、工作任务日益繁重，基层保密工作存在着一些不容忽视的问题。

(一)保密意识有待进一步提高。在当前形势下，涉密人员、涉密活动、涉密载体等不断发生新的改变，使保密管理的对象、领域、方式和环境发生了深刻变化，保守国家秘密的难度加大，泄密渠道增多，保密工作在观念、制度、手段等方面与形势任务不相适应的问题日益突出。在这一大背景下，一些部门对保密工作不够重视，基层个别涉密人员保密意识淡薄，保密观念淡化，对保密形势的严峻性和复杂性估计不足，心存侥幸，认为“无密可保”、“有密难保”，工作中存在“说起来重要，忙起来次要，干起来不要”的现象;一些科室单位保密管理措施不到位，泄密隐患较多。有的工作人员盲目搜集资料，却忽视了有关材料是否涉及国家秘密问题;有的不及时清理涉密电子文档，对处理的涉密信息没有及时归档保存，计算机内存储的涉密信息数目数量十分惊人;有的对移动存储介质不加区分，内外网混用，等等，成为严重的泄密隐患。

(二)保密制度的落实力度有待进一步加大。基层一些单位、部门虽然制定了保密工作的一系列制度，但在执行的过程中还不同程度存在不到位或不严格的问题。

(三)保密干部队伍建设有待进一步加强。一是工作力量比较弱。目前，多数团场保密部门没有专职保密机构和人员，只有1-2名兼职人员，与机要、档案等部门合署办公。保密工作力量不足，使保密部门、保密机构难以担负起相应的保密工作任务。二是人员结构不合理。从人员类型看，团场保密机构工作人员中，有相应保密专业技术的人员，所占比例极低;从年龄结构看，保密部门工作人员年龄老化明显，保密干部中40岁上的，有些团场达到65%，甚至100%，素质提高难度大;有相当一批干部停留在传统思维定势上，凭老经验老办法办事，业务能力不适应，工作难以创新，

三是保密技术、管理等专业人才不足。

(四)保密工作的日常管理力度有待进一步加大。由于基层单位保密人员力量比较薄弱，在日常工作中，对涉密人员、涉密载体、通讯和办公自动化设备、公开发布信息、保密要害部门部位等方面的管理还不能完全到位;对日常的保密工作的指导和监管力度还不够，保密工作或多或少存在一些安全隐患。

(五)岗位责任与权益补偿不相适应。保密工作责任重大，工作人员工作压力大，心理负担过重，长此以往，势必会影响保密干部的身心健康，却没有对保密干部给予相应的权益补偿。

二、解决的对策

(一)加大宣传力度，提高保密意识。一是要突出领导干部的宣传教育。利用团党委中心组学习、保密法制培训、保密知识测试等形式，以党和国家保密工作的方针政策、保密工作形势和任务、保密工作责任制等内容为重点，增强领导干部的保密意识。二是要突出涉密人员的宣传教育。要加强对涉密人员的上岗、在岗和离岗培训，积极举办各类保密工作培训班，组织涉密人员参加兵团、师市保密培训，使涉密人员掌握必要的保密法律知识、保密技术防范要求和知识，自觉履行保密责任和义务。三是要突出保密干部的宣传教育。要加强对保密干部的业务培训，定期组织开展保密教育学习，及时学习贯彻落实上级业务部门的各类文件精神。对保密干部，要分层次进行全面、系统的保密法制法规教育培训和岗位业务培训，建设一支具有较高政治素质、法律素质和专业水平的保密干部队伍。四是要突出工作人员的宣传教育。要把保密教育纳入团各类培训和管理工作中，抓好机关新录用人员的保密教育培训。加强保密教育经常化、制度化、规范化建设，把保密教育纳入各部门年度学习计划之中，可有组织地学习国家《保密法》、《保密法实施办法》和有关保密工作法律法规，组织观看关于保密工作的录像片和专题片，开展警示教育。五是要突出广大群众的宣传教育。要积极利用企业、连队、学校、医院、社区宣传栏，采取不定期刊出板报、张贴保密教育挂图等方式加强对广大群众的保密法制宣传教育。不断创新活动形式，进一步加大宣传教育力度。

(二)进一步加强保密制度的落实力度。一是落实保密工作领导责任制，主要领导亲自抓，分管领导具体抓，及时听取保密部门的情况汇报，认真分析研究解决保密工作的实际问题，为保密工作的开展创造良好的工作条件，使得保密工作迈上新台阶。二是落实涉密人员管理制度。涉密人员的管理是保密管理的重要方面，对涉密人员实行分类管理，持证上岗并签订保密承诺书。三是落实涉密载体管理制度。管理涉密载体，是确保国家秘密安全的基本要求。严格按照国家保密规定，落实涉密载体的制作、收发、传递、使用、复制、保存、维修和销毁制度。四是落实信息公开发布保密审查制度。机关、单位公开发布信息要坚持“谁公开，谁审查”、事前审查和依法审查的原则，认真填写信息公开发布审查表，由相关负责人审核签字后方能发布。

(三)建设高素质的保密队伍。一是要提高政治素质。要组织保密干部开展学习教育活动，深入学习领会和贯彻落实党的十八大、十八届三中精神和总书记一系列重要讲话以及中央领导同志对保密工作的重要指示精神，进一步培育保密干部的政治忠诚，增强做好保密工作的紧迫感、光荣感、责任感、使命感。二是要提升业务能力。注重加强对保密工作人员的培训，积极选派保密干部参加上级举办的各类保密培训，全面提升干部队伍业务水平和能力，使广大干部和涉密人员懂保密、会保密、善保密。注重挑选熟悉计算机技术的年轻干部担任本单位保密员，提高计算机信息安全防范能力。三是要锤炼过硬作风。进一步加强自身建设，严格要求、严格管理，严格执行各项规章制度，一旦发现苗头性、倾向性问题要及时指出、及时纠正，对违法违纪问题要严肃处理，决不能姑息迁就、任其发展。

(四)加强保密管理。一是加强领导干部和涉密人员管理。由基层保密委与各科室、部门签订《保密责任书》，明确保密工作范围、职责、任务，实行目标管理考核，将考核结果纳入党政机关和领导干部政绩考核的内容，并要求各科室与涉密人员签订《保密责任书》，做到保密工作权责结合、职责分明、责任到岗、考核到位。二是加强定密、解密管理。为更好地掌握标准，把好审核关，严格按照法定程序规范定密、解密工作，明确定密、解密工作职责，在密级的拟定、审核、批准、变更等环节上落实责任到人，哪个环节出了问题找哪个环节的责任人。三是加强涉密计算机管理。为涉密计算机安装监管软件防止涉密计算机非法连接互联网;在非涉密计算机推行计算机“一机一卡”保密管理模式，即计算机安装物理隔离卡,实现内、外网完全物理隔离，把责任落实到每一个使用人员，全面实现计算机管理由粗放型向精细化管理。四是加强涉密载体的管理。对纸介质文件,规范签收、传阅、保存、销毁等流程的管理;对涉密磁介质、光盘等，根据有关规定确定密级及保密期限，视同纸质文件分级管理。五是加强信息公开管理。坚持“谁公开，谁审查”的原则，要求各科室、各单位对上网信息进行严格的保密审查，保密部门对上网信息不定期进行检查，确保涉密信息不上网，上网信息不涉密。六是加强检查监督。要极探索保密检查新模式，认真做好各种保密专项检查;加大失泄密案件查处力度。加强保密检查和严肃查处失泄密事件要两手抓，两手都要硬。一经发现严重违反保密规定的，给予通报批评。造成失泄密的，将给予纪律处分，情节严重的，移交司法部门立案侦查。

(五)提高涉密人员待遇。首先，各单位保密部门要善于向领导汇报保密工作，争取单位领导支持与重视，其次，适当地组织保密人员外出培训、学习、考察。第三，要从多方面提高涉密人员特别是重点涉密人员的经济和政治待遇，稳定保密工作队伍。

强化保密意识做好保密工作篇6

一、充分认识保密工作的新形势

当今世界, 科技发展突飞猛进, 国际间政治、经济、科技和军事等方面的斗争和综合国力竞争日趋激烈, 世界经济全球化加速发展, 今天又称“信息爆炸时代”, 我国经过三十多年改革开放, 保密与窃密斗争更加尖锐复杂, 境外敌对势力针对我国窃密活动越来越猖獗, 保密工作面临许多新的机遇和挑战。运用传统保密管理与现代科技手段有机结合使保密工作得到了有效发展和运用, 各种科技手段迅猛发展又增加了保密工作难度, 给保密工作带来了新的挑战。

(一) 窃案与反窃密的斗争是长期的

窃案与反窃密从古至今从未间断过, 当今社会突显高科技保密特征。如俄罗斯消灭车臣头目杜达耶夫, 通过对杜达耶夫手机准确定位, 发射导弹将其炸死就是个典型范例。根据形势的发展, 未来敌对势力会千方百计窃取我国政治、经济和军事机密。我们要强化保密意识, 绷紧窃密与反窃密斗争是长期的观点。不能因现在是和平年代, 就可以放松警惕, 松懈保密工作。现阶段敌对势力窃取我国秘密, 特别是军事和高科技领域的窃密活动日益猖獗, 作为保密专业的从业者, 必须清醒地认识到, 战争年代保密就是保生存、保胜利。而今天就是保国家安全、保稳定、保发展。

(二) 要处理好保密与公开的关系

“应该保住的保住, 应该公开的公开”, 这是保密工作原则之一。作为单位要处理好两者关系尤其重要。不要强调保密而不交流, 保密是暂时的、相对的、分阶段的。公开、交流是绝对的、永恒的。要公开交流并不等于不要保密, 而要掌握尺度, 做到内外有别, 保护好核心秘密。作为保密单位, 就要有专门定密解密机构。定期筛选可否公开的各类信息。该公开的公开, 该保密的采取措施保护好秘密。

(三) 做好信息安全尤为重要

上世纪末以来, 以互联网为代表的信息技术得到高速发展, 加速了我国信息化建设步伐。使我国民众充分获得了信息。计算机和计算机网络已成为政府、企业和其他各种组织的重要信息载体和传播渠道。很明显, 计算机和计算机网络和其所带来信息化大幅度提高了工作效率, 也使得海量信息存储和处理成为现实, 但在享受到计算机以及计算机网络所带来方便性同时, 也出现了目前受到广泛关注信息安全问题。信息网络化使信息和安全的关系显得越发重要, 特别是因计算机的广泛应用而造成失密、泄密的事件十分频繁。为此, 国家保密局近年出台了一系列规定, 如:《计算机信息系统保密管理暂行规定》、《计算机信息系统国际联网管理规定》、《涉及国家秘密的信息系统审批管理规定》、《关于加强政府上网信息保密管理规定》等, 其意在于加强保密法规学习, 提高保密意识, 有效解决信息保密问题。

信息可划分两类:一类是公共信息。就是可共享共用的信息, 在公共网络上自由传播的信息。一类是涉密信息。限定一定的知悉范围和知悉人员, 只能在涉密网上传播的信息。随着互联网的发展, 网络安全事件层出不穷。近年来, 计算机病毒, 蠕虫攻击、木马、垃圾邮件泛滥、敏感信息泄露等已成为影响最为广泛的安全威胁。作为单位用户, 每当遭遇这些威胁时, 往往会造成数据破坏、系统瘫痪、信息失窃、工作效率下降、直接或间接的损失不可估量。因此, 信息安全成为一个亟待解决的问题。如何做好单位的信息安全保密工作是每一个保密工作者应尽的责任。只用平时多加强学习, 包括学习信息安全保密基本知识, 网络信息化技术, 有关信息方面的法律法规, 才能有效地做好保密工作。

二、对做好新时期保密工作的思考

(一) 健全机构, 明确职责

单位应建立健全保密组织机构, 应成立保密委员会, 主管单位保密工作。建立保密工作网络, 确定要害部位, 明确保密职责和保密责任人, 单位法定代表与部门负责人签订保密责任书, 季度检查年终考核。要设立保密工作部门, 配备政治素质好, 熟悉保密法律法规, 掌握保密知识技能, 具有一定管理工作能力的保密干部, 做好新时期的保密工作。

(二) 加强涉密人员管理, 做好保密工作

单位应加强涉密人员管理, 应按照涉密程度对涉密岗位和涉密人员的等级做出界定, 将涉密人员分为几个涉密等级, 各涉密等级有所不同。保密教育内容、签订保密协议也应有区分, 对涉密人员上岗、调动、考研、出国、辞职等都要有不同要求, 严格保密程序审批, 实行动态管理, 做好单位的保密工作。

(三) 建立规章制度, 搞好保密检查

单位建立一个较完整的操作性较强的保密规章制度尤其重要。根据《中华人民共和国保守国家秘密法》及国家、省、市保密局有关保密法律法规, 结合单位实际制定切实可行的规章制度。保密制度分为基本制度、二级制度和专项制度。规章制度订好后, 就是在贯彻执行好制度的前提下搞好保密检查。对保密制度执行好的单位和个人要及时给予表彰和奖励。对违反保密制度有泄密隐患的单位和个人, 要进行保密责任追究制度。绝不能“失之于宽, 失之于软”, 要下发检查纪要、提出整改意见书、通报批评书, 进行经济处罚, 对于严重泄密违法的要交司法机关。

(四) 加大教育培训力度, 强化保密意识

单位应建立保密教育培训制度, 尤其是上涉密岗位的涉密人员, 保密教育更不能流于形式。可以考虑:一是对新员工上岗前保密教育是必经流程;二是学习法律法规和国家、省、市出台的有关保密规定。增强全体员工的保密意识;三是定期组织保密专项教育, 组织观看保密教育片, 请国家保密局和保密行业专家讲授保密课程, 运用典型案例开展保密宣传教育, 了解当前反间防谍工作各种新情况, 让员工警钟长鸣, 防微杜渐;四是召开专门会议进行保密教育。把保密教育渗透到业务工作中, 在承担重要任务时, 强调保密工作;五是定期组织进行保密知识答题活动, 增强保密观念, 做好保密工作。

(五) 重视基础设施建设, 加强信息安全管理

单位要重视基础设施建设。一要确保保密工作经费的落实, 关键要害部门、部位可考虑安装报警装置、视频监控、电子门禁系统、密码文件柜、电磁干扰器、密码保险柜、碎纸机等保密设备。涉密人员可配备密码文件柜用于存放涉密文件和涉密载体。二要加强信息安全管理, 严格遵守国家对信息安全的规定, 建立计算机和信息系统管理规章制度。加强计算机信息系统保密管理, 单位内部网与互联网和其他公共信息网络实行物理隔离, 做到“上网不涉密, 涉密不上网”。杜绝单位秘密外泄。

(六) 严格涉密载体管理, 消除涉密隐患

单位应严格涉密载体的管理。可根据《中共中央保密委员会办公室、国家保密局关于国家秘密载体保密管理的规定》、《关于加强国家秘密载体寄递管理的通知》和省、市保密局有关涉密载体管理文件精神, 制定好单位涉密载体的管理方面的规章制度。对涉密载体的类别、数量, 要严格按照制作、收发、传递、使用、保存和销毁秘密载体全过程跟踪, 涉密载体要标明密级和保密期限。实行“闭环”管理原则。良好的制度建设, 对消除泄密隐患将起到积极的作用。

参考文献

[1]蒋勇, 谢谦, 刘旭.保密工作必须把好“四关”[J].转业军官.2009, (10) :68.

[2]宋涛, 胡倩, 梁文铮.国防军工单位保密管理信息化初探[J].国防科技工业.2010, (6) :61-63

保密风险评估篇7

1.采集、制作、收发、使用、管理、传输、存储、销毁涉及国家秘密的信息及信息载体，必须严格执行相关保密管理规定，不得泄露国家秘密。

2.不得以任何方式私自对外提供国家秘密载体和涉密信息。向新闻出版媒体部门投寄稿件、接受采访不得泄露国家秘密。不得向境外组织、机构和人员投寄含有国家秘密信息的稿件和其他类型的作品。

3.未经主管部门批准，不得私自出境，或弄虚作假以其他身份出境。经批准同意出境的，不得与境外组织、机构和人员有非组织交往行为，不得滞留境外不归。

4.不得在私人交往、通信、谈话和家庭生活等个人活动中泄露国家秘密。不得将涉密载体带回家中。不得用普通通信设备传输涉及国家秘密的信息。不得带无关人员进入涉及国家秘密的保密要害部门部位。不得在公共信息网络上处理涉及国家秘密的信息。

5.不得擅自离职，经批准辞职、离职或正当退休的，必须自觉清理并向单位交还全部国家秘密载体。在脱密期内，不得私自出境，不得应聘到境外组织、机构任职。

6.发生违反保密规定的行为，应当及时自我终止;泄露国家秘密的，应及时向单位报告并采取补救措施，不得对单位隐瞒自己的泄密行为和泄密事实。

7.发现他人违反保密规定，实施泄露国家秘密行为的，要及时予以制止，向并组织及时报告。拾得国家秘密载体，应及时就近交给国家__部门或其他有关国家机关，不得私自处理。发现国家秘密载体安全保密受到威胁时，要奋力抢救，确保国家秘密的安全。

保密风险评估篇8

（一）加强学习，努力提高自身理论素养和能力水平

作为一名年轻干部，我始终把加强理论学习、提高理论素养放在首位，始终把加强学习做为不断强化自身党性修养和提高政策理论水平、能力水平的重要手段。认真学习党的各项方针政策，学习党的十六届五中、六中全会精神，十七大精神。以树立马克思主义的世界观为根本，以艰苦奋斗、廉洁奉公为重点，认真开展权力观自我教育，增强权为民所用的责任感。通过学习，一是坚定了正确的政治方向。一年来，自己在政治上、思想上和行动上始终与党中央保持一致，提高了思想政治素质，切实做到“八个坚持、八个反对”。在维护祖国统一、反对民族分裂和非法宗教活动的斗争中能严守政治纪律，认识不含混、态度不暧昧、行动不动摇，做到旗帜鲜明、立场坚定。二是坚持理论与实践相结合的学风，在实践中学，在实干中用，不断改造自己的主观世界和客观世界，从而进一步提高了思想政治觉悟和道德品质修养，做到了与人为善，和睦相处。三是提高了政策理论水平。通过学习，进一步增强了政策观念。

（二）保密工作开展情况

1、开展保密宣传教育，提高保密意识

（1）围绕提高各级干部保密意识这个目的，与市委党校密切配合，今年以来又订购了最新保密教育教材提供给市党校，督促党校将保密教育列入党校教学工作计划，开展授课、讲座、交流等多种形式的保密教育。

（2）加大保密宣传力度，对党政机关工作人员和全市涉密人员进行保密知识测试，将保密法规知识和保密基础知识装订成册，发至个人手中进行学习，使大家都能够增强保密意识。并在机关进行保密宣传漫画展，用生动形象的保密漫画来增强干部职工的保密意识。

（3）重新修订完善各项保密规章制度，对《副县级以上领导干部保密规定》、《办公室保密制度》、《公文流转过程中的保密管理》、《涉密会议保密制度》、《秘书人员保密制度》、《涉密移动存储介质管理规定》、《计算机上网安全保密管理规定》、《计算机维修维护管理规定》、《笔记本电脑安全保密管理规定》、《国际互联网上发布信息的管理规定》、《计算机信息系统保密规定》、《密级文件销毁管理制度》等一系列管理制度进行修订完善，装订成册，发至重点单位和个人手中。

（4）认真落实自治区《关于对涉密人员进行专业培训实行持证上岗的通知》精神，及时下发《关于要求涉密人员持证上岗的通知》，组织涉密人员参加地区举办的涉密人员培训班，加强对涉密人员的教育培训，不断增强涉密人员的保密意识，提高保密专业水平。近年来，**市征订《保密工作》杂志数量也在逐年增加，由往年的几份、十几份到2007年近40份，呈现出逐年增长的态势，充分发挥了《保密工作》杂志的业务指导和保密宣传教育作用。

（5）做好保密信息的报送工作。按时完成地区保密局信息工作要求，今年向地区报送的信息中有《市委主要领导重视保密工作》等2篇信息被自治区保密局采用。

2、加强对保密要害部门、重点部位的安全管理

（1）加强对涉密要害部门涉密载体的保密管理。今年7月，邀请地区国家保密局计算机信息中心和行署办机要室专业人员对全市重点涉密单位的涉密文件资料、涉密文件资料电子文档和计算机信息系统进行了保密检查，针对技术中心检查中发现的问题，及时制定下发了《关于进一步加强办公自动化和计算机信息系统保密管理工作的通知》，加强了对各单位机要室涉密文件和各类涉密文件的印制、保管、清理、归档、销毁工作的保密安全管理，要求各单位按照《机关公文处理办法》，从工作流程上杜绝了纸制文件泄密。

通过对计算机及各种移动磁介质的检查后，均要求各单位对办公使用的计算机、笔记本电脑、移动磁介质等办公用品建立了详细准确的台帐。

（2）增强保密宣传教育的针对性，加强重点部门计算机使用保密管理。要求各单位根据业务工作特点对涉密与非涉密计算机予以明确区分，确定了办公文件制作专用电脑为内部单位保密信息涉密计算机，做到与局域网脱离连接，同时规定不准上因特网以防失泄密；加强电脑资料的保管，未经单位领导同意，严禁将单位软件资料打印或拷贝给外单位人员。

（3）根据上级有关文件精神，对全市所注册网站进行了浏览检查，并要求有注册网站的单位和部门依据《国家秘密及其密级具体

范围的规定》，对互联网站内容进行了全面自查。并依据各单位上报注册网站域名进行了浏览检查，未发现注册网站刊登国家秘密信息。

3、加强保密管理工作，提高保密工作水平

（1）根据上级文件精神，今年3月，通过开展集中清理取缔涉密文件资料交易专项行动，联合公安局、工商局、文体局一起，对全市的11家旧货交易、再生资源回

收站和1个流动书摊进行了检查，重申了《关于严禁收购、出售涉密文件、资料、图纸的通知》，使个体业主进一步增强了自觉守法、合法经营的意识。

（2）认真贯彻落实自治区、地区测绘局、国家保密局《关于开展全疆测绘成果保密检查工作的通知》与市国土资源局土地规划队一起，对交通、林业、建设、周边团场等重点单位的资料保密室进行实地检查，进一步规范保密各环节的制度落实，对存在问题的单位、部门提出了整改意见，完善了管理制度，加强了测绘成果的管理，使测绘成果更好地服务于我市的经济工作。

（3）为进一步对实际工作中的保密工作进行了有效管理，加大保密督查力度，今年对全市各单位的办公自动化设备使用情况进行了调查，并对全市计算机信息系统保密管理员进行了登记审查，加强了党政机关、涉密单位内部局域网的管理，以预防和堵塞计算机网络泄密事件的发生。

（三）按时完成办公室安排的各项工作任务。

按办公室领导班子成员分工，我主要分管保密、档案、文件内外收发管理，协助办公室主任做好会议会务等其他工作。一年来，我能认真做好分管工作，协助办公室领导做好各类会议的会务工作及其他工作，凡是遇到重大事情都能及时向办公室领导请示汇报，与班子成员相互支持，相互尊重，自觉维护班子的团结统一。今年在自治区牧民定居现场会、地区牧民定居观摩会召开前，积极参与会议筹备工作，培训解说员，多次带解说员赴现场踩点，走路线，较好地完成了解说员培训任务。使培训出来的解说员多次为各类会议做了解说工作。

（四）一年来廉洁自律执行情况。

1、按照纪检部门的要求，能经常性学习党纪法规、廉政建设有关规定，以《党风廉政责任书》所规定的内容和要求为行为准则，认真贯彻执行，不断增强自律意识和拒腐防变能力，以此端正工作作风、生活作风。

2、正确对待权力，认真履行好职责。按照党风廉政建设落实情况，做到制度之内“不缺位”，制度之外“不越位”，切实履行好自己的工作职责，一年来，没有违反廉政规定和制度的行为。

一年来，虽然做了一些工作，但也存在不少薄弱环节。一是保密工作的宣传教育力度需要不断加大，增强人们的保密意识，提高做好保密工作的主动性和自觉性，还要制定出相应的规章制度，使事前行为得到规范，堵塞可能发生的失、泄密事件，消除隐患，以确保国家安全。二是保密技术管理工作力度不够，对计算机和局域网络的保密管理是一项艰巨的工作，还缺乏完全有保障的技术支持。目前只能以常规的保密制度和简单的检查工具加以约束。三是政治理论学习还停留在浅层次上，在深度和广度上还需要加强。

中继信道保密性能研究篇9

信息安全和保密通信是无线通信的一个研究热点,传统的通信安全协议都是通信双方在传输信息之前进行密钥交换,并通过一定的协议来保证密钥系统的安全性,从而达到信息安全的目的。这些协议在有线网络中能够取得很好的性能,而在无线网络中,由于无线媒介的开放性,密钥系统的安全性遇到了很大的挑战。因为窃听者只要获取足够多的明文,就可以采用穷举攻击的方法来破译密码。随着计算机性能的提高,特别是量子技术的发展,传统的通信安全协议受到越来越大的挑战。于是很多学者从信息理论角度出发,通过分析无线通信的物理层特性,来研究保密通信问题。

Wyner在文献[1]中最早提出了窃密(wiretap)信道,即在发信者和接收者通信的信道上,有一个窃听者,得出的结论是,在主信道条件优于窃听信道的情况下,能使系统的保密容量不为零。保密容量是指在窃听者不能译出任何信息的前提下,信道所能达到的最大传输速率。接下来Csiszor and Korner在他们的经典文献[2]中,将这一研究推广到了无线广播信道中。在这种信道模型中,源节点发送的信息包括公共信息和私密信息两部分,并要求私密信息对于窃听者保密。中继信道的保密性能问题最早研究是在文献[3]中,中继信道具有三个节点,发送者,中继节点和接收者。在此信道模型中,中继节点既是一个帮助者又是一个窃听者,作者研究了私密信息对于中继节点的保密问题。与文献[3]不同的是,本文研究的中继信道模型,是在传统的中继信道中增加了一个独立的窃听者,而中继节点是可信任的,在文中将此信道模型称为窃听中继信道。本文给出了窃听中继信道的可达速率的上界,并给出了译码前传策略下,传输速率和疑义度组长的二维可达速率区域。

1 系统模型和问题描述

如图1所示,传输信道为离散无记忆信道,系统共具有四个节点的,源节点,目的节点,一个中继节点和一个窃听者,信道的传输概率为p(y,y1,y2x1,x2)。系统共有集合X1,X2两个输入,和集合γ,γ1,γ2三个输出。假定源节点将要发送信息W1∈W1={1,…M}到目的节点。在此无记忆信道模型中,信道在第i时刻的输出(yi,y1,i,y2,i)仅与第i时刻的输入(x1,i,x2,i)有关。使用的(M,n)编码应由下面几部分组成:①在源节点有一个随机编码函数,其映射关系为fn:w1→x1∈Xundefined。②在中继节点根据第i时刻之前收到的信号(y1,1,y1,2,…,y1,i-1),重新编码后发送x2,i,其映射关系为φi:(Y1,1,Y1,2,…,Y1,i-1)→X2,i。③目的节点的译码函数Φi:yn→w1。

因此一个(M,n)编码的平均误码概率定义为:

undefined被发送} (1)

窃听者的疑义度定义为:

undefined

如果对于任何的ε>0,总存在一种(M,n)编码满足:对于任意的n>n(ε),有

undefined

则称疑义度区间(R1,Re)是可达的。进一步可以说绝对保密速率(perfect Secrecy)R1是可达的。可以看出如果Y2=Φ,此系统模型就和经典的中继信道模型[3]相同的。

2 主要结论

首先,给出窃听中继信道的疑义度区间的上界(outer bound)。

结论1:在窃听中继信道中,在Pundefined→0和窃听者的疑义度大于Re-ε的条件下,存在随机变量U→(V1,V2)→(X1,X2)→(Y,Y1,Y2),使(R1,Re)满足下面的不等式:

R1≤min{I(V1,V2;Y),I(V1;Y,Y1V2)}

Re≤R1