第一篇：對加強(qiáng)移動存儲載體管理的認(rèn)識與思考

對加強(qiáng)移動存儲載體管理的認(rèn)識與思考

舒宗文

隨著信息時代的到來，電子政務(wù)、辦公自動化的普及，各種信息的處理也越來越依賴于各類移動存儲載體。以Ｕ盤、移動硬盤、存儲卡為主的移動存儲載體已成為當(dāng)今社會的主流信息載體。然而，人們對移動存儲載體的管理還遠(yuǎn)遠(yuǎn)沒有引起足夠的重視，在許多環(huán)節(jié)上，見密不識密、是密不管密的現(xiàn)象普遍存在，給國家秘密的安全帶來了嚴(yán)重的威脅。如何在兼顧移動存儲載體有效利用的同時，確保信息安全，已成為當(dāng)前保密領(lǐng)域的一個重要課題。

一、移動存儲載體的功能特點給保密工作帶來的挑戰(zhàn)

（一）使用方便、兼容性強(qiáng)、擁有量大，使移動存儲載體泄密隨時隨地都可能發(fā)生。與傳統(tǒng)的存儲設(shè)備相比，移動存儲載體使用壽命長、攜帶方便、數(shù)據(jù)資料不易損壞、可重復(fù)使用。從硬件支持上來看，有USB接口的計算機(jī)都可以使用移動存儲載體，而目前的計算機(jī)基本上都配置了多個USB接口，方便了移動存儲載體的接入和數(shù)據(jù)資料的讀取。從操作系統(tǒng)的支持上來看，目前主流的Windows操作系統(tǒng)不需特別安裝驅(qū)動程序，即可實現(xiàn)移動存儲載體的即插即用，其它操作系統(tǒng)也可通過安裝專用驅(qū)動程序?qū)崿F(xiàn)連接。正是因為移動存儲載體使用方便、兼容性強(qiáng)、價格低廉、擁有量大，一旦管理上失控，失泄密就可能隨時隨地發(fā)生。

（二）黑客和間諜程序多、信息易于復(fù)制且傳播速度快，使移動存儲載體泄密無影無形難以被察覺。由于移動存儲載體經(jīng)常用于電子文檔交換、傳遞，經(jīng)常拷貝外來軟件和文檔，不可避免地會感染到計算機(jī)病毒。如果不能及時有效地查殺這些病毒，黑客、間諜程序就很容易通過移動存儲載體的交叉使用侵入到涉密計算機(jī)和內(nèi)部網(wǎng)上，不留痕跡地從涉密計算機(jī)和內(nèi)部網(wǎng)上竊取敏感信息，再經(jīng)移動存儲載體向外網(wǎng)傳播，將涉密信息泄露出去。

（三）體積小、容量大、不易管理，使移動存儲載體易失控或丟失。移動存儲載體具有容量大的特點，當(dāng)前Ｕ盤容量大多達(dá)到1GB至16GB，移動硬盤達(dá)到500GB至1TB，甚至更大，可存儲的信息量十分驚人。一個４GB的Ｕ盤可存上萬份電子文檔，一個500GB的移動硬盤完全可以存儲一個企業(yè)所有產(chǎn)品的全套電子技術(shù)文檔，一旦泄密，信息量將十分巨大。

（四）數(shù)據(jù)易修復(fù)、徹底刪除難度大，使傳統(tǒng)的泄密防范方式在移動存儲載體上逐漸失效。移動存儲載體上保存的電子文檔經(jīng)刪除甚至格式化后，仍有辦法恢復(fù)出原來記錄的信息，這使泄密防范的傳統(tǒng)方式逐漸失效。移動存儲載體改用、維修或報廢時，認(rèn)為簡單刪除涉密信息即可達(dá)到保密要求，或脫密處理后就不需要嚴(yán)格管理，都會使移動存儲載體出現(xiàn)泄密危險。

二、當(dāng)前移動存儲載體管理存在的突出問題和隱患

（一）對涉密移動存儲載體登記管理不嚴(yán)格。多數(shù)人員對保密管理的認(rèn)識還停留在紙介質(zhì)層面上，對移動存儲載體的保密管理僅注重于禁止接入互聯(lián)網(wǎng)，而對購買、登記、標(biāo)識等環(huán)節(jié)缺乏相應(yīng)的管理措施。保密法規(guī)明文規(guī)定用于保存涉密信息的移動存儲載體應(yīng)該進(jìn)行申報、審批、登記，并按其實際存儲信息的最高密級粘貼保密部門統(tǒng)一制作的密級標(biāo)識。而有些單位沒有針對移動存儲載體制定專門的管理制度，對移動存儲載體的管理非常松懈。購買時沒有及時登記備案，載體的數(shù)量、底細(xì)不明，未做到專盤專用，涉密信息和非涉密信息存在同一載體上，明密不分，不標(biāo)密級，存在失泄密隱患。

（二）存在移動存儲載體公私混用、內(nèi)外網(wǎng)上交叉使用等現(xiàn)象。由于對移動存儲載體安全風(fēng)險認(rèn)識不足，有的人員隨意將個人非密移動存儲載體接入到辦公電腦上，習(xí)慣將工作上的敏感信息存入個人私用的移動存儲載體上保管，又將這些保存過敏感信息的載體隨意接入到家庭上網(wǎng)計算機(jī)上；有的人員喜歡將個人資料存儲到涉密移動存儲載體上，有時無意中將這些涉密載體接入到家庭非涉密計算機(jī)。等等這些，都造成移動存儲載體公私混用、內(nèi)外網(wǎng)上交叉使用，使內(nèi)、外網(wǎng)“隔而不離、藕斷絲連”。

（三）隨意攜帶涉密移動存儲載體外出，或?qū)⑸婷茌d體借給他人使用。有的人員為了工作便利，廣泛收集各類信息資料，有意識地把單位和他人的工作信息甚至涉密信息存入個人保管的移動存儲載體上。外出時，不履行審批手續(xù)就將涉密移動存儲載體攜帶外出，以便隨時調(diào)用。有的人員隨意將存有涉密信息的載體借給同事、朋友使用，或在外單位使用。一旦這些保存有涉密信息的載體發(fā)生被盜、丟失等事故，或被人無意接入互聯(lián)網(wǎng)，都將造成重大失泄密風(fēng)險。

（四）涉密移動存儲載體未采取安全防范措施。大多數(shù)單位的涉密移動存儲載體沒有采取安全芯片、指紋識別、數(shù)據(jù)加密等安全技術(shù)，涉密數(shù)據(jù)大多采用明文保存。如果這些涉密載體被不法分子控制，非法持有者可輕而易舉的獲取涉密信息，給國家利益和安全造成重大損失。

（五）涉密移動存儲載體維修和報廢管理松懈。有些單位在涉密移動存儲載體出現(xiàn)故障后，有時為了方便，在沒有資質(zhì)的維修點維修，載體里的涉密信息也不經(jīng)處理，也不派技術(shù)人員在場監(jiān)督，存在涉密信息被竊的危險。此外，許多單位沒有把報廢的移動存儲載體按規(guī)定銷毀，或者銷毀的方法不當(dāng)，都存在泄密風(fēng)險。

（六）保密檢查時容易忽略對個人非密移動存儲載體的監(jiān)督檢查。保密人員在進(jìn)行保密檢查時，大多只關(guān)注登記在冊的涉密移動存儲載體的管理情況，對個人非密移動存儲載體的安全管理往往忽略不管。對個人非密移動存儲載體是否接入過涉密計算機(jī)、是否存儲過涉密敏感信息等情況不進(jìn)行檢查，使個別保密意識淡薄的人員違反保密規(guī)定的行為得不到及時查處，使保密工作上的漏洞得不到及時堵塞，也會給保密工作帶來很大的隱患。

三、改進(jìn)移動存儲載體管理的建議

（一）健全相關(guān)法規(guī)制度，加強(qiáng)日常監(jiān)督和管理。各單位應(yīng)把移動存儲載體管理作為保密工作的重要內(nèi)容，根據(jù)有關(guān)法律法規(guī)，制定適合本單位的移動存儲載體管理規(guī)定。要加強(qiáng)日常監(jiān)督和管理，落實好領(lǐng)導(dǎo)的保密責(zé)任，按照“誰主管，誰負(fù)責(zé)”的要求，真正形成一級抓一級、層層抓落實的責(zé)任機(jī)制，把移動存儲載體管理工作納入到單位、部門和個人年度目標(biāo)考核，對造成失泄密事故的個人和領(lǐng)導(dǎo)要追究責(zé)任。同時對涉密移動存儲載體從購買到報廢進(jìn)行全程監(jiān)管，實行“統(tǒng)一購置、統(tǒng)一標(biāo)識、嚴(yán)格登記、集中管理”。嚴(yán)禁私自復(fù)制、保存、出借、銷毀涉密存儲載體，嚴(yán)禁私自攜帶涉密載體外出或私自將涉密載體送往沒有保密資質(zhì)的單位修理，處理過涉密信息的存儲載體報廢后應(yīng)當(dāng)徹底物理銷毀，確保保密管理制度落到實處，防止泄密事件的發(fā)生。

（二）加強(qiáng)保密知識教育和技術(shù)培訓(xùn)，增強(qiáng)日常防范意識和技能。要加大宣傳培訓(xùn)力度，開展多層次、全方位的安全知識宣傳教育，定期開展保密技術(shù)防范技能及保密法律法規(guī)的培訓(xùn)，提高全員自覺防范意識和防范技能。對涉密計算機(jī)要安裝正版軟件，正確設(shè)置口令，定期升級殺毒軟件，定期掃描計算機(jī)系統(tǒng)，防止病毒的侵入。對涉密計算機(jī)網(wǎng)絡(luò)系統(tǒng)還要與外部互聯(lián)網(wǎng)物理隔離，要具備符合要求的身份鑒定機(jī)制、安全訪問控制機(jī)制、安全審計機(jī)制、違規(guī)外聯(lián)控制機(jī)制、入侵檢測監(jiān)控機(jī)制和計算機(jī)病毒查殺功能，正確設(shè)置系統(tǒng)配置，關(guān)閉一切不需要提供的服務(wù)，關(guān)閉一切不需要使用的端口，關(guān)閉一切不需要開戶的共享，定期進(jìn)行安全漏洞檢測，及時用補(bǔ)丁對系統(tǒng)進(jìn)行修補(bǔ)，堵塞網(wǎng)絡(luò)安全漏洞。

（三）加強(qiáng)移動存儲載體技術(shù)防范力度，配備必要的安全管理軟件和硬件設(shè)備。有條件的單位可以通過認(rèn)證和加密技術(shù)來防范移動存儲載體可能引起的敏感信息泄露，提高存儲載體應(yīng)用的安全性。如：安裝了移動存儲載體使用管理系統(tǒng)后，經(jīng)過注冊的存儲載體只能在安裝了管理系統(tǒng)的辦公計算機(jī)上使用，不能在未安裝管理系統(tǒng)的外部計算機(jī)上使用，限制了涉密移動存儲載體的使用范圍。而未經(jīng)注冊的存儲載體也不能在安裝了管理系統(tǒng)的辦公計算機(jī)上使用，避免了非法存儲載體接入涉密計算機(jī)，減少了泄密隱患。在購置用于存儲涉密信息的移動存儲載體時，也應(yīng)優(yōu)先考慮采取了加密、身份認(rèn)證、訪問控制等技術(shù)手段的移動存儲載體，最大限度保障信息的安全。

第二篇：對加強(qiáng)分院涉密計算機(jī)及移動存儲介質(zhì)管理的思考

對燕山分院涉密計算機(jī)及移動存儲介質(zhì)的風(fēng)險分析和管理 一．前言

近年來，隨著信息技術(shù)的飛速發(fā)展，網(wǎng)絡(luò)及計算機(jī)的應(yīng)用也更為廣泛。北京北化院燕山分院做為中石化直屬院，對信息保密的要求更為科學(xué)和規(guī)范。伴隨信息系統(tǒng)網(wǎng)絡(luò)化發(fā)展和高新技術(shù)設(shè)備的應(yīng)用，作為網(wǎng)絡(luò)系統(tǒng)重要組成部分的涉密計算機(jī)（包括臺式機(jī)和筆記本電腦）（以下簡稱計算機(jī)）以及移動存儲介質(zhì)（移動硬盤及U盤等外接存儲介質(zhì)）的安全保密問題突現(xiàn)出來，成為當(dāng)前保密管理中的重點和難點。因此，加強(qiáng)涉密計算機(jī)和移動存儲介質(zhì)的風(fēng)險分析和管理已成為有效保障涉密信息系統(tǒng)安全的重要基礎(chǔ)。

二、國內(nèi)外相關(guān)管理和技術(shù)現(xiàn)狀

1、制定了一系列重要的保密管理法律法規(guī)和技術(shù)標(biāo)準(zhǔn)。對于涉密計算機(jī)和移動存儲介質(zhì)等高新技術(shù)設(shè)備的保密管理和使用安全問題，我國歷來都非常重視，從1998年起到2006年先后下發(fā)了多個關(guān)于計算機(jī)信息系統(tǒng)和秘密載體的保密管理規(guī)定，中保委的2005年和2006年工作要點也提到要加強(qiáng)對涉密計算機(jī)、移動存儲介質(zhì)的管理，并要求抓緊開發(fā)和推廣具有自主知識產(chǎn)權(quán)的、技術(shù)含量高的保密技術(shù)產(chǎn)品，國家保密局也制定了《涉及國家秘密的信息系統(tǒng)終端安全與文件保護(hù)產(chǎn)品技術(shù)要求》等相關(guān)保密技術(shù)標(biāo)準(zhǔn)。燕山分院也在2005年下發(fā)了《燕化研究院網(wǎng)絡(luò)信息保密管理辦法》及《燕化研究院國家秘密電子文件管理辦法》兩個制度文件。

從國外的情況看，據(jù)對40多個國家的調(diào)查統(tǒng)計，已制定信息安全專門法律的國家占40%，修訂原有法律的占60%。美國商務(wù)部下屬國家標(biāo)準(zhǔn)和技術(shù)研究所也制定了新的計算機(jī)安全準(zhǔn)則《對聯(lián)邦信息設(shè)備的推薦安全控制》準(zhǔn)則共1200多條，涉及計算機(jī)等信息設(shè)備的管理、操作和技術(shù)檢查，意在保障美國非國防用途信息設(shè)備的安全、完整和有效。準(zhǔn)則涵蓋涉及信息安全的17個領(lǐng)域，重點放在風(fēng)險評估、對突發(fā)和意外事故的管理、對計算機(jī)等信息設(shè)備的訪問控制和對使用

者的鑒別認(rèn)證等。

2、計算機(jī)安全保密技術(shù)得到迅速發(fā)展和廣泛應(yīng)用。針對計算機(jī)和移動存儲介質(zhì)容易丟失、數(shù)據(jù)信息容易被非授權(quán)獲取等特點，國內(nèi)外相關(guān)設(shè)備廠商采用安全芯片、防盜報警、指紋識別、智能卡識別、數(shù)據(jù)加密等安全技術(shù)，相繼推出了各類安全技術(shù)和加密移動存儲介質(zhì)，如具有芯片級文件保護(hù)和指紋識別系統(tǒng)的聯(lián)想昭陽系列和IBM T系列對數(shù)據(jù)提供了有效的安全防護(hù)，華旗資訊具有硬件加密和指紋加密功能的移動存儲介質(zhì)。此外，國內(nèi)的安全廠商也開發(fā)出一些針對計算機(jī)防護(hù)和移動存儲介質(zhì)鑒別的安全產(chǎn)品，如基于UKey的終端安全與文件保護(hù)系統(tǒng)、可信介質(zhì)管理系統(tǒng)等。

燕山分院始終高度重視信息安全基礎(chǔ)建設(shè)，取得了很大進(jìn)步，但應(yīng)當(dāng)指出的是，目前在分院的信息保密工作方面還存在不少薄弱環(huán)節(jié)和問題。在管理方面，雖然制定了相關(guān)的規(guī)章制度，但都有比較寬泛，針對性不強(qiáng)，不夠具體，可執(zhí)行性弱。這些規(guī)章有的還停留在制度、條例的層面，沒有上升為法制、法規(guī)的高度。從專業(yè)技術(shù)管理的角度雖做了些工作，但缺乏頂層設(shè)計和統(tǒng)一的技術(shù)標(biāo)準(zhǔn)，統(tǒng)一管理力度不夠、政出多門，沒能實現(xiàn)綜合性的管理和協(xié)調(diào)，沒能實現(xiàn)以人為中心，以管理為橋梁，以技術(shù)為支持的管理體系。從技術(shù)方面來看，主要技術(shù)、關(guān)鍵技術(shù)受制于人、缺乏具有自主知識產(chǎn)權(quán)的信息安全技術(shù)和產(chǎn)品。

三、涉密計算機(jī)和移動存儲介質(zhì)的風(fēng)險隱患

目前，對于燕山分院辦公網(wǎng)及涉密信息系統(tǒng)存在的諸多安全隱患中，相當(dāng)一部分來自于網(wǎng)絡(luò)終端。隨著網(wǎng)絡(luò)信息技術(shù)的發(fā)展和辦公自動化設(shè)備的更新?lián)Q代，計算機(jī)及筆記本已成為科研人員辦公的基本工具，并作為網(wǎng)絡(luò)終端或涉密單機(jī)來使用，但這又給設(shè)備安全和數(shù)據(jù)安全帶來了新問題。移動存儲介質(zhì)因其通用性強(qiáng)、存儲量大、體積小、易攜帶等特點而得到廣泛使用，但這也造成數(shù)據(jù)拷貝不受限、違規(guī)交叉使用等新情況。下面從日常使用和管理的角度對計算機(jī)和移動存儲介質(zhì)進(jìn)行風(fēng)險分析，主要存在以下安全隱患：

（一）設(shè)備丟失

1、借用審批手續(xù)不全，設(shè)備隨意外出無登記。公用的筆記本電腦借用審批登記監(jiān)管不嚴(yán)，存在設(shè)備借用不審批、外出不登記和設(shè)備長期借用不按期歸還、不定期復(fù)檢的現(xiàn)象。

2、設(shè)備外出防護(hù)薄弱，僥幸心理大意易丟失。個別涉密人員在攜帶筆記本電腦或移動存儲介質(zhì)外出時存在僥幸心理，將設(shè)備放在賓館自己外出或讓不認(rèn)識的人代為看管，也有的將設(shè)備放在自己防護(hù)范圍之外。

3、設(shè)備備案登記不詳，歸還技術(shù)檢查不詳細(xì)。對涉密臺式機(jī)、筆記本電腦、移動硬盤、U盤、光盤等沒有進(jìn)行編號和詳細(xì)的登記。無法做到設(shè)備唯一性標(biāo)識，以至于設(shè)備丟失和惡意替換也無法檢查和發(fā)現(xiàn)。

（二）違規(guī)使用

1、管理制度不嚴(yán)謹(jǐn)，責(zé)任落實不到位。許多部門沒有針對臺式機(jī)、筆記本電腦和移動存儲介質(zhì)制定專門的管理制度，或制定的規(guī)章不具體、可操作性差，以至于日常管理中無章可循或管理松懈。

2、嚴(yán)重違規(guī)高密低用，數(shù)據(jù)安全無保障。由于不同密級的信息系統(tǒng)防護(hù)技術(shù)要求不同，一些涉密人員沒有意識到涉密筆記本電腦和移動存儲介質(zhì)接入低密級、非涉密系統(tǒng)或國際互聯(lián)網(wǎng)中，會產(chǎn)生數(shù)據(jù)泄密隱患。

3、低密高用傳播病毒，輪渡木馬暗竊密。個別人員在涉密系統(tǒng)中使用未經(jīng)授權(quán)的私人存儲介質(zhì)，這些介質(zhì)往往沒有嚴(yán)格的管理和防護(hù)，容易感染病毒或木馬程序。

4、意識淡薄非法外聯(lián)，系統(tǒng)后門開通道。在保密技術(shù)檢查時，發(fā)現(xiàn)一些部門的涉密計算機(jī)和移動存儲介質(zhì)存有違規(guī)外聯(lián)接入互聯(lián)網(wǎng)的情況，這當(dāng)中有的是為升級病毒庫短時間臨時接入，有的是長時間既上網(wǎng)又處理涉密文件，也有的是在聯(lián)接互聯(lián)網(wǎng)的計算機(jī)上用移動存儲介質(zhì)打印涉密文件，這些都會直接造成國家秘密的失竊。

5、設(shè)備臺賬分布不清，設(shè)備變更和技改新購設(shè)備也沒有及時登

記。一些部門配備或私人擁有筆記本電腦的人員白天在單位用這臺設(shè)備處理涉密文件或連接內(nèi)網(wǎng)，晚上又把這臺設(shè)備帶回家上互聯(lián)網(wǎng)，這都會造成泄密、傳播病毒等隱患，而且設(shè)備的管理松懈也會增加設(shè)備丟失的風(fēng)險。

6、忽視過程管理，設(shè)備的報廢環(huán)節(jié)管理失控。涉密計算機(jī)、涉密介質(zhì)出現(xiàn)故障時，如果隨意選擇維修、報廢和銷毀等處理方式，會造成存儲介質(zhì)涉密信息的泄露。在物理結(jié)構(gòu)上，存儲設(shè)備主要由控制電路和存儲介質(zhì)組成。如果控制電路損壞，采取一定的數(shù)據(jù)恢復(fù)措施，也可以讀出其中未損壞部分的數(shù)據(jù)。

（三）數(shù)據(jù)被盜

1、設(shè)備防護(hù)薄弱，數(shù)據(jù)輸入輸出不受控。個別部門的筆記本電腦沒有設(shè)置必要的安全策略或未安裝終端防護(hù)軟件。有的接入內(nèi)網(wǎng)的筆記本不安裝準(zhǔn)入安全軟件，輸入輸出接口不受控制，成為網(wǎng)絡(luò)中一個不受控制的終端，對整個網(wǎng)絡(luò)造成安全隱患。

2、設(shè)備交叉使用，殘留數(shù)據(jù)容易被恢復(fù)。有個別部門忽視設(shè)備歸還后的技術(shù)檢查和技術(shù)處理，設(shè)備在二次交叉借用時通過數(shù)據(jù)恢復(fù)即可獲取殘留涉密數(shù)據(jù)，造成涉密信息擴(kuò)大知悉范圍。

3、數(shù)據(jù)明文保存，文件信息讀取不受限。筆記本電腦和移動存儲介質(zhì)帶出工作區(qū)使用時，設(shè)備的數(shù)據(jù)直接明文保存，如果設(shè)備丟失或被不法分子控制，非法持有者可輕而易舉的獲取涉密文件會造成重大損失。

4、開放多余服務(wù)，網(wǎng)絡(luò)入侵遭被動泄密。單位在選購涉密計算機(jī)時沒有要求禁用帶有無線通信功能的設(shè)備，也沒有要求使用時應(yīng)禁用無線網(wǎng)卡、藍(lán)牙等無線通信接口，以及禁止連接手機(jī)等智能通信設(shè)備的規(guī)定，也給黑客入侵提供了通道。

5、斷網(wǎng)時使用涉密移動存儲設(shè)備?！霸诨ヂ?lián)網(wǎng)計算機(jī)上使用涉密移動存儲介質(zhì)會造成泄密，而在斷開互聯(lián)網(wǎng)的計算機(jī)上使用涉密移動存儲介質(zhì)就不會泄密了"，這是一個錯誤的認(rèn)識。目前已發(fā)現(xiàn)多種木馬，當(dāng)移動存儲設(shè)備插入USB接口時，能自動將其中的數(shù)據(jù)復(fù)制到計

算機(jī)中，待計算機(jī)再次連接互聯(lián)網(wǎng)時，再將數(shù)據(jù)發(fā)出。

（四）意外損壞

數(shù)據(jù)備份未按時，意外損壞無法再恢復(fù)。存儲介質(zhì)有時會遭遇到諸如墜落、擠壓、碰撞、濺水等意外損壞，這些情況有的可以通過數(shù)據(jù)恢復(fù)技術(shù)對介質(zhì)上存儲的數(shù)據(jù)進(jìn)行恢復(fù)，但有的則要面臨數(shù)據(jù)丟失的現(xiàn)實。

四、加強(qiáng)管理和技術(shù)防范的對策和建議

這些由于使用計算機(jī)和移動存儲介質(zhì)而引起的安全問題給分院信息化保密工作帶來了很大困擾，這些問題隨著信息化建設(shè)的深入也會越發(fā)突出和嚴(yán)重。那么，就如何建立有效的管理機(jī)制和手段，結(jié)合本人工作實踐和相關(guān)調(diào)研，做一些淺顯分析和建議。

（一）保密法規(guī)標(biāo)準(zhǔn)方面

1、規(guī)范制度統(tǒng)一流程，提高設(shè)備管理的科學(xué)性。開展法規(guī)體系、管理體制、科研與產(chǎn)品等專題研究，根據(jù)臺式機(jī)、筆記本電腦和移動存儲介質(zhì)的特點和隱患，進(jìn)行深入的調(diào)研，抓緊研究制定嚴(yán)謹(jǐn)規(guī)范的保密管理制度和標(biāo)準(zhǔn)統(tǒng)一的工作流程；研究制定科學(xué)的防護(hù)要求和技術(shù)標(biāo)準(zhǔn)，以保證在人員管理、設(shè)備管理、檢查監(jiān)督等環(huán)節(jié)有章可循，有法可依。做為科研項目的保密資格審查認(rèn)證，隨著分級保護(hù)技術(shù)標(biāo)準(zhǔn)的實施，應(yīng)對認(rèn)證標(biāo)準(zhǔn)進(jìn)行相應(yīng)的更改，保留和增加對涉密單機(jī)的檢查內(nèi)容，避免個別部門利用現(xiàn)行標(biāo)準(zhǔn)存在的缺陷，將本應(yīng)采取網(wǎng)絡(luò)管理的系統(tǒng)改為單機(jī)管理來規(guī)避審查，做到上網(wǎng)不保密，保密不上網(wǎng)。

2、加強(qiáng)保密標(biāo)準(zhǔn)研究，提高保密技術(shù)水平。針對涉密計算機(jī)和移動存儲介質(zhì)保密技術(shù)防護(hù)手段相對落后，安全防護(hù)類產(chǎn)品研發(fā)相對滯后、品種單一的現(xiàn)狀，今后應(yīng)不斷加強(qiáng)保密技術(shù)和保密技術(shù)標(biāo)準(zhǔn)的研究，多應(yīng)用并自主開發(fā)一些具有自主知識產(chǎn)權(quán)、科技含量高、實用有效的保密技術(shù)產(chǎn)品，多研究制定一些嚴(yán)謹(jǐn)規(guī)范、針對性和操作性強(qiáng)的計算機(jī)安全標(biāo)準(zhǔn)，并以國家標(biāo)準(zhǔn)的形式發(fā)布，用來指導(dǎo)涉密單位的保密技術(shù)管理，幫助用戶管理使用計算機(jī)，提高系統(tǒng)安全性。

（二）安全保密管理方面

1、加強(qiáng)法規(guī)技術(shù)培訓(xùn)，提高防范意識和技能。網(wǎng)絡(luò)的安全包含人的安全、硬件設(shè)備的安全、及應(yīng)用系統(tǒng)的安全，網(wǎng)絡(luò)終端及單機(jī)運行的涉密單機(jī)和移動存儲介質(zhì)的安全不僅僅只是機(jī)器的安全，更重要的是人員的安全意識和正確的操作規(guī)范，因此，要把對人和設(shè)備的管理作為兩個重要環(huán)節(jié)來抓。定期開展保密技術(shù)防范技能及保密法律法規(guī)的培訓(xùn)非常必要。各部門應(yīng)遵照國家的法規(guī)制定切實可行的保密管理制度和作用性強(qiáng)的技術(shù)操作規(guī)范，用于規(guī)范日常的工作。

2、重視過程管理，逐步建立“戶籍式”管理工作模式，提高涉密設(shè)備資產(chǎn)安全。根據(jù)對設(shè)備運行周期進(jìn)行閉環(huán)管理的要求，對設(shè)備采取“戶籍式”管理，即對每一個設(shè)備建立一套檔案，記錄設(shè)備的購置、發(fā)放、使用、變更、報廢、銷毀等環(huán)節(jié)內(nèi)容。在設(shè)備登記時應(yīng)遵循唯一標(biāo)識原則，如計算機(jī)應(yīng)登記硬盤序列號和網(wǎng)卡MAC地址，U盤應(yīng)記錄設(shè)備ID號和人工編號等。對于設(shè)備和應(yīng)用軟件的安裝、故障的維修、例行的檢查都應(yīng)有時間和責(zé)任人記錄，這樣有助于在出現(xiàn)問題后進(jìn)行責(zé)任認(rèn)定和追究，并要限制設(shè)備使用人員隨意更改系統(tǒng)配置、安裝應(yīng)用軟件等行為。涉密計算機(jī)、移動存儲介質(zhì)等涉密設(shè)備的維修應(yīng)嚴(yán)格管理、詳細(xì)記錄，現(xiàn)場維修時，應(yīng)由有關(guān)人員全程陪同；外出維修時，應(yīng)拆除所有存儲過涉密信息的硬件和固件；存儲過涉密信息的硬件和固件應(yīng)到具有相應(yīng)資質(zhì)的維修點進(jìn)行維修。

3、推薦名錄統(tǒng)一購置，嚴(yán)把設(shè)備入門關(guān)。對于涉密計算機(jī)設(shè)備的配置，應(yīng)事先確定采購名錄，對擬作為涉密設(shè)備的產(chǎn)品應(yīng)進(jìn)行嚴(yán)格的安全保密性測試，并對供應(yīng)商進(jìn)行必要的安全審查和評估，以確保設(shè)備的安全可靠。對于產(chǎn)品技術(shù)上有缺陷、服務(wù)跟不上的企業(yè)要及時進(jìn)行通報，不允許其產(chǎn)品進(jìn)入涉密領(lǐng)域。

4、加大執(zhí)法檢查監(jiān)督力度，堵塞失泄密漏洞?？茖W(xué)構(gòu)建安全監(jiān)控體系，要以人為中心，以管理為橋梁，以技術(shù)為支持，各種信息安全設(shè)備為運行平臺，實現(xiàn)對相關(guān)涉密人員及設(shè)備的全時段、全方位監(jiān)管和實時響應(yīng)。

（三）保密技術(shù)防范方面

1、對歸還設(shè)備加大技術(shù)檢查力度。設(shè)備歸還時應(yīng)先進(jìn)行保密技術(shù)檢查，再對涉密數(shù)據(jù)進(jìn)行有效清除?？捎肳indows自帶的工具和命令刪除文件或格式化分區(qū)（最好是低級格式化），同時確保刪除Windows操作系統(tǒng)和辦公系統(tǒng)所產(chǎn)生的一些臨時文件。防止設(shè)備因二次交叉借用，產(chǎn)生的泄密隱患。

2、嚴(yán)禁使用私有介質(zhì)，有力控制移動介質(zhì)。在涉密信息系統(tǒng)中應(yīng)禁止使用私有移動存儲介質(zhì)、MP3、數(shù)碼相機(jī)、智能手機(jī)等可存儲設(shè)備，而且要對移動存儲介質(zhì)進(jìn)行有效的技術(shù)鑒別，防止高密低用和非授權(quán)使用。結(jié)合網(wǎng)絡(luò)準(zhǔn)入系統(tǒng)對移動存儲設(shè)備（包括U盤、移動硬盤）制訂準(zhǔn)入策略，未授權(quán)的移動存儲設(shè)備不可使用。對于未聯(lián)網(wǎng)的計算機(jī)，需要用移動存儲設(shè)備進(jìn)行數(shù)據(jù)交換時，應(yīng)采取必要的數(shù)據(jù)加密和身份認(rèn)證措施。此外，在從互聯(lián)網(wǎng)向涉密網(wǎng)或涉密單機(jī)拷貝文件時，應(yīng)先通過中間機(jī)對下載文件進(jìn)行病毒、木馬程序等惡意代碼的查殺，再用內(nèi)部介質(zhì)轉(zhuǎn)移到涉密網(wǎng)中，禁止接入互聯(lián)網(wǎng)的存儲介質(zhì)在涉密網(wǎng)中使用。

3、推廣終端防護(hù)系統(tǒng)，提升計算機(jī)安全性。針對筆記本電腦和涉密臺式機(jī)不好管理的問題，采取必要技術(shù)防范措施，通過安裝經(jīng)過終端安全與文件防護(hù)系統(tǒng)和非法外聯(lián)監(jiān)控系統(tǒng)以提高設(shè)備的安全性。終端安全與文件防護(hù)具有安全登錄、身份認(rèn)證、數(shù)據(jù)加密、文件防護(hù)等功能，可有效加強(qiáng)臺式、便攜式等涉密計算機(jī)的登錄安全，保護(hù)涉密、敏感文件。

4、設(shè)備外出加強(qiáng)技術(shù)防護(hù)，日常使用嚴(yán)防違規(guī)。筆記本電腦外出存放和攜帶可使用防盜鎖和超距報警器；移動存儲介質(zhì)應(yīng)隨身攜帶，杜絕隨意放置；對于采用硬件密鑰身份認(rèn)證的設(shè)備，應(yīng)分開保管和攜帶。涉密臺式機(jī)的外出應(yīng)按照涉密筆記本電腦相關(guān)規(guī)定進(jìn)行管理，在涉密臺式機(jī)外出和歸還時也應(yīng)進(jìn)行必要的保密技術(shù)檢查。對于需要外出的涉密臺式機(jī)應(yīng)安裝硬盤加密卡，以提高設(shè)備的安全防護(hù)水平。在日常使用時應(yīng)提高保密意識、嚴(yán)守保密法律，做到“不違規(guī)外

聯(lián)、不違規(guī)使用、不違規(guī)輸出”。避免在公共場所和其他無保護(hù)環(huán)境中使用筆記本電腦，如必須使用時應(yīng)該十分謹(jǐn)慎，并采用一定的保護(hù)措施，避免這些設(shè)備存儲和處理的信息遭到非法訪問或泄密，還要注意防范被未經(jīng)授權(quán)人員窺視的風(fēng)險。

總之，對燕山分院涉密計算機(jī)及移動存儲介質(zhì)的風(fēng)險分析和管理工作是一個漫長和嚴(yán)肅的工作，如何應(yīng)對并制訂相關(guān)制度進(jìn)行科學(xué)防范是保證涉密信息安全的重要手段。

第三篇：移動存儲設(shè)備保密管理規(guī)定

一、本單位u盤、移動設(shè)備要進(jìn)行編號，不得借于他人使用，若需借于他人的，必須征得單位領(lǐng)導(dǎo)同意，并進(jìn)行時間、借還時間、借用人、審批人等詳細(xì)登記。

二、新購計算機(jī)、移動硬盤、u盤等設(shè)備，要先進(jìn)行保密標(biāo)識和登記，再發(fā)放使用。

三、如使用移動設(shè)備轉(zhuǎn)移存儲保密數(shù)據(jù)，需在使用前格式化，并在使用后立即刪除保密數(shù)據(jù)。

四、使用光盤備份的保密數(shù)據(jù)要登記編號，分類存放。

五、非本單位的移動存儲設(shè)備一律不得和涉密計算機(jī)連接。

第四篇：移動存儲設(shè)備保密管理規(guī)定

移動存儲設(shè)備保密管理規(guī)定

一、本單位U盤、移動設(shè)備要進(jìn)行編號，不得借于他人使用，若需借于他人的，必須征得單位領(lǐng)導(dǎo)同意，并進(jìn)行時間、借還時間、借用人、審批人等詳細(xì)登記。

二、新購計算機(jī)、移動硬盤、U盤等設(shè)備，要先進(jìn)行保密標(biāo)識和登記，再發(fā)放使用。

三、如使用移動設(shè)備轉(zhuǎn)移存儲保密數(shù)據(jù)，需在使用前格式化，并在使用后立即刪除保密數(shù)據(jù)。

四、使用光盤備份的保密數(shù)據(jù)要登記編號，分類存放。

五、非本單位的移動存儲設(shè)備一律不得和涉密計算機(jī)連接。

第五篇：移動存儲介質(zhì)使用管理規(guī)定

××××有限公司

非涉密移動存儲介質(zhì)使用管理規(guī)定

為規(guī)范××××有限公司內(nèi)移動存儲介質(zhì)的使用和管理，防止出現(xiàn)因移動存儲的使用造成公司網(wǎng)絡(luò)感染病毒、商業(yè)機(jī)密外泄等情況，根據(jù)公司信息化建設(shè)及保密保衛(wèi)工作需要，特編制本規(guī)定。

本規(guī)定所述移動存儲介質(zhì)特指非涉密移動存儲介質(zhì)。

本規(guī)定適用于非涉密軟盤、光盤、移動硬盤、U盤、CF卡、SD卡、MMC卡、SM卡、記憶棒、xD卡及手機(jī)、相機(jī)等移動存儲介質(zhì)在××××有限公司域和計算機(jī)上的使用。

1.各單位移動存儲介質(zhì)實行集中管理；

2.各單位移動存儲介質(zhì)應(yīng)由專人管理；

3.各單位應(yīng)對本單位的U盤、移動硬盤類別、編號進(jìn)行標(biāo)識；

4.嚴(yán)禁在非涉密移動介質(zhì)上存儲涉密信息；

5.不得在未經(jīng)許可的計算機(jī)上使用移動存儲介質(zhì)；

6.不得將手機(jī)與接入公司域的計算機(jī)進(jìn)行連接；

7.已獲得許可的計算機(jī)上只能使用指定的移動存儲介質(zhì)；

8.外來移動存儲介質(zhì)或與外部計算機(jī)發(fā)生連接的移動存儲介質(zhì)與公司域進(jìn)行數(shù)據(jù)交換時，必須經(jīng)過中轉(zhuǎn)完成；

9.未經(jīng)單位保密部門許可，不得使用工具清除移動存儲介質(zhì)使用痕跡；

10.各單位信息管理部門、保密部門應(yīng)定期對本單位的移動存儲介質(zhì)及使用移動存儲介質(zhì)的計算機(jī)進(jìn)行檢查。