淺析交通勘察設(shè)計(jì)企業(yè)涉密檔案信息數(shù)據(jù)防泄漏對(duì)策

王靜

當(dāng)今世界，科技進(jìn)步日新月異，互聯(lián)網(wǎng)、云計(jì)算、大數(shù)據(jù)等現(xiàn)代信息技術(shù)在深刻改變?nèi)祟惿a(chǎn)生活的同時(shí)，也使泄密風(fēng)險(xiǎn)隱患迅速增加。習(xí)近平總書記在2017年中央政治局第二次集體學(xué)習(xí)時(shí)曾強(qiáng)調(diào)，要切實(shí)保障國(guó)家數(shù)據(jù)安全，加大對(duì)技術(shù)專利、數(shù)字版權(quán)、數(shù)字內(nèi)容產(chǎn)品及個(gè)人隱私等的保護(hù)力度，維護(hù)廣大人民群眾利益、社會(huì)穩(wěn)定、國(guó)家安全。交通勘察設(shè)計(jì)企業(yè)是交通運(yùn)輸行業(yè)的重要機(jī)構(gòu)，積累并保存了大量的交通基礎(chǔ)設(shè)施布設(shè)、交通地理位置和環(huán)境、交通路線參數(shù)、科研成果、設(shè)計(jì)模型等關(guān)鍵性檔案數(shù)據(jù)，這些重要的檔案數(shù)據(jù)極易成為境外情報(bào)機(jī)構(gòu)竊取、偵察的目標(biāo)，如何做好泄密風(fēng)險(xiǎn)防范工作，意義重大。

1 交通勘察設(shè)計(jì)企業(yè)涉密檔案信息數(shù)據(jù)分類

根據(jù)交通勘察設(shè)計(jì)企業(yè)的工作特點(diǎn)，對(duì)照《中華人民共和國(guó)保密法》《反不正當(dāng)競(jìng)爭(zhēng)法》等規(guī)定，交通勘察設(shè)計(jì)企業(yè)涉密檔案信息數(shù)據(jù)主要包括以下內(nèi)容。

商業(yè)秘密。一是交通項(xiàng)目規(guī)劃類數(shù)據(jù)。包括區(qū)域、省及地市路網(wǎng)規(guī)劃、研究院所發(fā)展規(guī)劃、整體性投資計(jì)劃、交通設(shè)施布局安排、交通項(xiàng)目規(guī)劃類報(bào)告、圖表、數(shù)據(jù)信息等。二是交通項(xiàng)目設(shè)計(jì)類數(shù)據(jù)。包括交通項(xiàng)目可行性研究文件、初步設(shè)計(jì)文件、施工圖設(shè)計(jì)文件及圖紙，以及在預(yù)可研和設(shè)計(jì)階段一些創(chuàng)造性的方案、構(gòu)思、流程、標(biāo)準(zhǔn)表格、計(jì)算書等重要文案。三是科技成果及行業(yè)標(biāo)準(zhǔn)類信息。交通勘察設(shè)計(jì)企業(yè)在各類規(guī)劃設(shè)計(jì)工作基礎(chǔ)上，研究產(chǎn)生的新技術(shù)成果、設(shè)計(jì)模型、行業(yè)標(biāo)準(zhǔn)等，包括重大科技研究成果、關(guān)鍵設(shè)計(jì)技術(shù)資料、相關(guān)技術(shù)標(biāo)準(zhǔn)文件、新技術(shù)研究及推廣應(yīng)用信息等。隨著BIM技術(shù)的進(jìn)一步普及，應(yīng)用BIM設(shè)計(jì)產(chǎn)生的數(shù)據(jù)模型也記錄了企業(yè)大量核心商業(yè)秘密。四是經(jīng)營(yíng)決策類信息。比如交通項(xiàng)目設(shè)計(jì)投標(biāo)、中標(biāo)信息、方案等。上述四類信息數(shù)據(jù)都是作為該企業(yè)永久保存的檔案數(shù)據(jù)，雖不涉及國(guó)家秘密，但屬于交通勘察設(shè)計(jì)企業(yè)經(jīng)營(yíng)、發(fā)展過程中的關(guān)鍵性信息，是企業(yè)的財(cái)產(chǎn)權(quán)利，關(guān)乎企業(yè)的競(jìng)爭(zhēng)力，對(duì)企業(yè)的發(fā)展至關(guān)重要，一旦發(fā)生失泄密事件，可能會(huì)對(duì)企業(yè)乃至行業(yè)產(chǎn)生重大影響，因此做好防泄密工作也非常必要。

2 泄密風(fēng)險(xiǎn)分析

交通勘察設(shè)計(jì)企業(yè)涉密檔案信息數(shù)據(jù)來源于各個(gè)工作渠道，要確保這些重要的檔案數(shù)據(jù)完整、準(zhǔn)確收集，安全應(yīng)用，需要對(duì)數(shù)據(jù)流通環(huán)節(jié)進(jìn)行泄密風(fēng)險(xiǎn)點(diǎn)分析，從而采取針對(duì)性措施進(jìn)行管控。

2.1 存儲(chǔ)環(huán)節(jié)的風(fēng)險(xiǎn)

存儲(chǔ)介質(zhì)主要有辦公電腦（臺(tái)式）、外網(wǎng)用筆記本電腦、保密U盤、保密移動(dòng)硬盤、員工自有筆記本電腦、重要文件圖紙印刷品、郵件等等。主要泄密風(fēng)險(xiǎn)在于：1）不良使用習(xí)慣。如辦公過程中交叉使用辦公電腦時(shí)留存紙質(zhì)的開機(jī)密碼、紙質(zhì)的辦公網(wǎng)密碼，或者采用默認(rèn)密碼，或密碼過于簡(jiǎn)單；存儲(chǔ)文件名稱帶關(guān)鍵字、收發(fā)文件帶有關(guān)鍵字、收發(fā)內(nèi)容帶有關(guān)鍵字等；將涉密文件、圖紙、信息數(shù)據(jù)以明文的形式存放在個(gè)人電腦終端，或無規(guī)律存放在存儲(chǔ)介質(zhì)上等等。在這種情況下，外部人員可對(duì)存儲(chǔ)介質(zhì)進(jìn)行非法訪問，內(nèi)部人員可對(duì)其進(jìn)行越權(quán)訪問，成果文件便可隨意閱讀、拷貝、修改、打印等，極易導(dǎo)致設(shè)計(jì)成果外泄。還有設(shè)計(jì)人員在工作過程未加密操作系統(tǒng)，未安裝安全軟件，下載的軟件有安全漏洞等等。2）存儲(chǔ)介質(zhì)保管不善。如保密U盤、移動(dòng)硬盤管理不當(dāng)，造成丟失、遺落在他處；重要文件圖紙未進(jìn)行保密管理，廢棄時(shí)不按規(guī)定銷毀，隨意丟棄等。3）某些客觀因素。遭受網(wǎng)絡(luò)攻擊、電腦病毒侵襲；郵件被截留、攔截，或被他人獲取。

2.2 傳輸環(huán)節(jié)的風(fēng)險(xiǎn)

交通勘察設(shè)計(jì)企業(yè)在圖紙?jiān)O(shè)計(jì)、修改、交付和發(fā)布過程中，需要頻繁地進(jìn)行傳輸，在此過程中面臨的主要泄密風(fēng)險(xiǎn)包括：1）認(rèn)識(shí)偏差。部分從業(yè)人員將包括國(guó)家基本比例尺地形圖在內(nèi)的各種涉密測(cè)繪成果視為本單位資產(chǎn)，根據(jù)業(yè)務(wù)需要簡(jiǎn)單處置，未按國(guó)家秘密管理要求傳輸，從而發(fā)生泄密事件。2）過程管理不規(guī)范。同事之間在網(wǎng)絡(luò)環(huán)境下相互拷貝、復(fù)制文件信息，本企業(yè)勘察設(shè)計(jì)人員與外單位設(shè)計(jì)人員對(duì)接、溝通時(shí)沒有在涉密環(huán)境下進(jìn)行，極易遭受網(wǎng)絡(luò)黑客竊取。3）信息化手段保障不到位。只對(duì)設(shè)計(jì)人員計(jì)算機(jī)終端（包括外帶出差的筆記本電腦防）進(jìn)行防護(hù)，采用單一的磁盤分區(qū)方法加密，無法實(shí)現(xiàn)整個(gè)流程的保密管控。

2.3 設(shè)計(jì)成果應(yīng)用環(huán)節(jié)的風(fēng)險(xiǎn)

在交通勘察設(shè)計(jì)企業(yè)，涉密信息數(shù)據(jù)經(jīng)過多次加工后轉(zhuǎn)變成具有科研和應(yīng)用價(jià)值的設(shè)計(jì)成果，該成果是企業(yè)的無形資產(chǎn)，更是企業(yè)具有核心競(jìng)爭(zhēng)力的知識(shí)產(chǎn)權(quán)。成果在應(yīng)用過程中，存在諸多泄密風(fēng)險(xiǎn)，主要包括大型復(fù)雜結(jié)構(gòu)模型文件尤其是近年來快速發(fā)展的BIM模型，在與成果資料一并提交時(shí)沒有進(jìn)行有效防護(hù)，極有可能造成模型數(shù)據(jù)外泄；也有因企業(yè)管理不善，員工離職后，將其設(shè)計(jì)成果帶離本企業(yè)的現(xiàn)象，造成數(shù)據(jù)失控、泄密，甚至帶來法律糾紛；設(shè)計(jì)文件、圖紙勘測(cè)數(shù)據(jù)等成果數(shù)據(jù)與合作單位之間在外部環(huán)境下進(jìn)行數(shù)據(jù)交互時(shí)，沒有進(jìn)行有效的訪問權(quán)限控制，導(dǎo)致數(shù)據(jù)外泄等等。

3 防泄密對(duì)策探索

3.1 建立有效、系統(tǒng)、完善的交通設(shè)計(jì)企業(yè)信息保密內(nèi)控體系

主要包括：1）建立涉密地形圖使用臺(tái)帳制度，對(duì)于借閱的涉密測(cè)繪成果，在使用目的或項(xiàng)目完成后，應(yīng)按相關(guān)規(guī)定及時(shí)銷毀，由專人核對(duì)、清單、登記、造冊(cè)、報(bào)批、監(jiān)銷，并報(bào)涉密地形圖提供單位備案；2）建立保密制度動(dòng)態(tài)調(diào)整機(jī)制，對(duì)現(xiàn)有涉及安全生產(chǎn)、保密管理、應(yīng)急預(yù)案等的完整性進(jìn)行梳理，在地址勘察、項(xiàng)目策劃、可行性研究、設(shè)計(jì)控制等內(nèi)控各專項(xiàng)制度中深化保密條款約束；3）建立涉密成果保管制度，對(duì)于涉密成果文件，應(yīng)保存在安全保密的場(chǎng)所和部位，配備必要的保密設(shè)備，同時(shí)對(duì)涉密設(shè)備、非涉密設(shè)備（部分）使用登記臺(tái)帳，嚴(yán)格按照“管”“用”分開原則建立臺(tái)賬；4）建立第三方使用保密協(xié)議制度，在“誰使用、誰申請(qǐng)”的原則上，簽訂第三方保密協(xié)議，避免在網(wǎng)絡(luò)或非涉密計(jì)算機(jī)（移動(dòng)U盤硬盤）使用、傳遞涉密地形圖等失泄密行為的發(fā)生。

3.2 構(gòu)建保密宣教、培訓(xùn)、檢查相互帶動(dòng)的長(zhǎng)效機(jī)制

主要包括：1）常態(tài)化開展保密意識(shí)教育。把“有意義”的事做得“有意思”，通過各種媒介進(jìn)行安全保密理念的入腦入心，利用內(nèi)網(wǎng)、微博、微視頻、微鏡頭、微信公眾號(hào)等平臺(tái)，引發(fā)交流和思想碰撞，不斷增強(qiáng)保密責(zé)任意識(shí)，增強(qiáng)自覺遵守和執(zhí)行保密法律法規(guī)的自覺性。2）常態(tài)化開展保密培訓(xùn)會(huì)議。按實(shí)際工作所涉及的信息保密情況及泄密風(fēng)險(xiǎn)點(diǎn)進(jìn)行重點(diǎn)的專項(xiàng)的安全防范培訓(xùn)；針對(duì)發(fā)生過的失泄密事件，“借題發(fā)揮”，繃緊安全保密意識(shí)的弦。3）常態(tài)化開展保密工作檢查和涉密風(fēng)險(xiǎn)排查。定期進(jìn)行保密工作檢查，對(duì)重點(diǎn)工作進(jìn)行責(zé)任分解，實(shí)行定期總結(jié)、督查、通報(bào)；定期進(jìn)行涉密風(fēng)險(xiǎn)排查，建立涉密崗位責(zé)任清單，涉密人員工作清單。對(duì)違反保密規(guī)定的人員要嚴(yán)加教育和處理，保密工作做得好的集體和個(gè)人要予以表彰和獎(jiǎng)勵(lì)。

3.3 分步驟分階段部署高效、穩(wěn)定、安全的加密系統(tǒng)

具體措施為：1）部署計(jì)算機(jī)終端加密系統(tǒng)。在設(shè)計(jì)人員計(jì)算機(jī)終端（包括外帶出差的筆記本電腦）進(jìn)行加密防護(hù)，實(shí)現(xiàn)對(duì)任意文檔自動(dòng)透明加密。加密信息數(shù)據(jù)如不解密就脫離內(nèi)部系統(tǒng)，在任何外部計(jì)算機(jī)終端上無法使用。在設(shè)計(jì)企業(yè)與業(yè)主單位或者其他合作單位之間進(jìn)行文件交互時(shí)，可提供外發(fā)管理功能，外單位在授權(quán)范圍內(nèi)訪問。2）建設(shè)協(xié)同設(shè)計(jì)管理平臺(tái)。設(shè)計(jì)成果形成后，其信息數(shù)據(jù)需從個(gè)人計(jì)算機(jī)終端統(tǒng)一輸入到平臺(tái)，并采用統(tǒng)一的出口進(jìn)行打印或出版管理，設(shè)計(jì)管理平臺(tái)對(duì)設(shè)計(jì)人員的訪問權(quán)限進(jìn)行控制，對(duì)操作行為進(jìn)行審計(jì)，對(duì)成果文件進(jìn)行追蹤，對(duì)設(shè)計(jì)成果的流出進(jìn)行日志記錄。3）建立企業(yè)云平臺(tái)。實(shí)現(xiàn)“資源共享、數(shù)據(jù)集中管理、生產(chǎn)管理協(xié)同運(yùn)行”，并通過PC服務(wù)器化和零客戶端（無CPU、無內(nèi)存、無硬盤存儲(chǔ)），將個(gè)人桌面數(shù)據(jù)集中在服務(wù)器數(shù)據(jù)中心，構(gòu)筑高安全的工作環(huán)境。平臺(tái)通過虛擬機(jī)鎖定/解鎖USB等數(shù)據(jù)流入流出接口，防止數(shù)據(jù)非法流出；通過設(shè)計(jì)過程管道化管理，實(shí)現(xiàn)成果文件的設(shè)計(jì)、審核、出版、歸檔一體化，防止成果文件非法出版和引用；通過控制員工的上網(wǎng)行為，防止成果文件通過網(wǎng)絡(luò)途徑傳出；通過后臺(tái)日志和審計(jì)，監(jiān)控?cái)?shù)據(jù)輸入輸出行為。有效保護(hù)企業(yè)的知識(shí)產(chǎn)權(quán)，防止重要信息數(shù)據(jù)泄露。

參考文獻(xiàn)

[1]秦安.新時(shí)代起航網(wǎng)絡(luò)安全產(chǎn)業(yè)新生態(tài)[J].保密工作，2018（6）：41-43.

[2]馮芳.試論企業(yè)涉密檔案的細(xì)化管理[J].蘭臺(tái)世界旬刊，2015（S2）：57-58.