●為了加強涉及國家秘密的信息系統的保密管理，確保國家秘密信息安全，國家保密局于2005年發布了《涉及國家秘密的信息系統分級保護管理辦法》，明確了涉密信息系統實行分級保護。

●隨后國家保密局協同相關單位陸續發布了《涉及國家秘密的信息系統分級保護技術要求》、《涉及國家秘密的信息系統分級保護管理規范》、《涉及國家秘密的信息系統分級保護測評指南》、《涉及國家秘密的信息系統分級保護設計指南》等規范性文件，從技術、管理、測評、設計等方面規范了分級保護的建設。

●中華人民共和國第十屆全國人民代表大會于2010年4月公布了《中華人民共和國保守國家秘密法》，在法律層面進一步明確了涉密信息系統必須按照涉密程度實行分級保護。

●隨著法律法規、部門規章制度的頒布，各級單位參照法律法規、主管部門分級保護規章制度的要求，紛紛進行了涉密信息系統分級保護安全配套設施和管理制度的建設，如《涉密計算機安全使用保密管理制度》、《互聯網信息發布信息保密管理制度》等，并每年根據評分表定期開展信息安全檢查，以及時掌握計算機系統保密工作的管理狀況，發現存在的安全保密隱患和漏洞。

2020年是不平凡的一年，突然而來的疫情打亂了很多單位的工作節奏，但截至目前，保密檢查工作依然有條不紊地進行中，各級單位紛紛發出信息安全檢查通知，明確要求對涉及國家安全、經濟命脈、社會穩定的基礎信息網絡和重要信息系統進行信息安全檢查。如何有效加強本單位安全保密管理，提高本單位工作人員的信息安全保密意識和整個單位信息安全保密防范能力，是各單位迫切需要解決的問題，特別是對涉密網非法接入、涉密網計算機未經許可違規外聯、涉密網移動存儲介質混插、高密級數據從高等級安全域流向低等級安全域、計算機病毒泛濫、內部計算機打印、復制、截屏等信息輸出行為難以控制等問題，迫切需要采取相應技術措施加以控制，聯軟科技特推出針對保密檢查工作的全方位解決方案，幫助用戶解決以上問題。

解決方案

Part 1邊界安全

根據《涉及國家秘密的信息系統分級保護技術要求》等相關內容，涉密網邊界安全涉及安全邊界明確、邊界控制、邊界訪問控制、邊界防護措施、邊界訪問控制審計、違規外聯監控六個方面，重點是要做好邊界控制和違規外聯監控，這2項在安全檢查中一旦發現不滿足要求，會被一票否決。

（1）安全邊界明確

各單位應根據信息系統密級、系統重要性和安全策略劃分不同的安全域，用戶可根據信息密級、行政級別、業務類別、地域分布等方法劃分安全域，不同的安全域可單獨確定等級，并按照相應等級進行安全防護，當然同一等級的不同安全域可根據風險評估結果和實際安全需求，選擇采用不同的保護要求。

（2）邊界訪問控制（可一票否決）

邊界的接入認證和訪問控制是涉密網安全控制的基礎，也是分級保護技術標準中明確要求的必備設施之一，如果不構建涉密網的邊界接入控制設施，在檢查過程中如果發現，會被一票否決。因此，強烈建議用戶為涉密網部署網絡準入控制系統，通過該系統提供的訪問控制策略，可實現基于用戶的強制訪問控制，防止未授權、非合規的設備接入涉密網，并對其資源訪問權限進行控制，實現最小授權，防止越權訪問非權限范圍內的涉密信息系統資源。

需要說明的是，聯軟網絡接入控制系統V5.0是聯軟科技具有涉密信息系統產品檢測證書的系統，可以在涉密網中使用。同時，目前已完成了與主流操作系統（UOS、中標麒麟等）、CPU（兆芯、鯤鵬、飛騰、龍芯）的適配，可以滿足用戶國產化的要求，用戶可以靈活選擇操作系統和CPU。實現效果如下圖：

（3）邊界防護措施

根據區域劃分情況，在系統或安全區域邊界的關鍵點部署安全防護設施，如涉密網終端與網絡之間的邊界、不同安全等級的區域之間的邊界，針對機密增強、絕密級還應采用安全隔離與信息交換系統（俗稱網閘）進行邊界防護。

（4）邊界訪問控制審計

主要是對邊界訪問進行訪問控制和審計，記錄通過邊界訪問控制設備進出邊界的事件，如接入時間、接入用戶、接入位置、接入結果等。

（5）入侵檢測

采用入侵檢測等工具對系統內的安全事件進行監控，檢測攻擊行為并可及時發現系統內非授權使用的情況，并針對機密增強、絕密級另外要求集中管理、與訪問控制或流向控制聯動、非授權接入行為發現。需要說明的是聯軟網絡入侵檢測系統V5.0可以滿足絕密級入侵檢測的要求，并具有涉密信息系統產品檢測證書，可以在涉密網中使用，同時目前已完成了與主流操作系統、CPU的適配。

（6）違規外聯監控（可一票否決）

及時發現違規外聯行為，如違規連接互聯網、違規撥號上網等，并可對違規外聯行為進行審計和阻斷，是分級保護技術標準中明確要求的必備設施之一。同樣一旦檢查中發現有違規外聯行為，可一票否決。違規外聯行為控制點涉及面比較廣，用戶可通過紅外、藍牙、軟驅、1394、PCMCI、串口、并口等接口外聯，如通過藍牙將涉密終端的數據傳送到非涉密終端，或通過串口接撥號使設備外聯互聯網等，可見非常有必要對終端這些接口進行控制；除了通過上述接口外，也可通過自建WIFI熱點、雙網口等方式外聯，這些通道也必須具有控制的能力，如禁用、審計等；另外，移動存儲介質、智能設備、光驅等外設也可能違規外聯，導致涉密數據泄露，如手機私設熱點非法外聯泄露數據、U盤未經允許拷貝涉密電腦數據等，因此對這些設施也需要進行相應控制，如不允許光驅刻錄只能讀、不允許U盤寫只能讀、智能設備只讀不允許寫等。

Part 2密級標識及安全域間邊界防護

（1）密級標識

根據分保相關要求，針對涉密信息系統中存在大量電子文件等涉密數據，必須進行相應的密級標識，同時密級標識還應與信息主體綁定，確保不可分割，且其自身也不可篡改。聯軟科技文檔智能加密系統可以滿足密級標識相關要求。

（2）安全域間的邊界防護

根據分保相關要求，所有安全域之間的數據通信必須安全可靠，應禁止高密級信息由高等安全域流向低等級安全域。通過聯軟文檔智能加密系統，可將文件進行安全域分類，設置用戶權限時，管理員可以自定義用戶針對安全域文件的操作權限，如打開、打印等，最終可實現內部數據根據重要性進行安全域劃分，高等級安全域的高密級信息不會流向低等級安全域，如保密部門的數據屬于絕密數據，只能在保密部門內部流轉，其他部門無法查看和使用保密部門的文件，但保密部門可以正常查看和使用其他部門的文件。

Part 3計算機病毒與惡意代碼防護

根據分保相關要求，計算機病毒與惡意代碼控制涉及傳播控制、計算機惡意代碼防護、軟件管理、惡意代碼更新四個方面。

（1）傳播控制

根據分保相關要求，傳播控制涉及網絡、電子郵件、U盤等，因此除了利用防毒墻、電子郵件網關等設施針對網絡、電子郵件通道進行病毒與惡意代碼防護之外，建議重點做好移動存儲介質病毒傳播控制，如涉密網環境下對非授權U盤進行控制，避免惡意代碼等風險的帶入涉密網；涉密網非必要終端禁止U盤使用；指定進程拷貝數據，避免惡意進程拷貝數據等。

（2）計算機惡意代碼防護

根據分保相關要求，需要考慮計算機惡意代碼防護，該技術目前比較成熟，建議用戶選擇具有涉密信息產品檢測證書的網絡防病毒軟件，實現計算機設備的病毒和惡意代碼查殺。

（3）軟件管理

根據分保相關要求，涉密信息系統內不得隨意進行軟件的安裝，軟件安裝應經過系統使用單位的批準和備案，并進行計算機病毒和惡意代碼檢查處理，有些甚至要求兩種計算機病毒惡意代碼防護產品檢查，因此主機安全監控與審計系統提供的終端標準化管理模塊可以禁止用戶私自安裝軟件，用戶只能從軟件商城下載和安裝經過批準和備案的軟件，所有軟件在上傳到軟件商城都可經過兩款以上惡意代碼防護產品的惡意代碼檢查處理。

（4）惡意代碼庫更新

根據分保相關要求，惡意代碼防護系統應及時更新惡意代碼庫，且明確要求避免在線更新，聯軟提供的計算機病毒和惡意代碼防護系統可以手動離線更新。

Part 4主機監控與審計

根據分保相關要求，主機監控與審計涉及身份鑒別、訪問控制、信息輸出控制、密碼保護、系統配置管理、安全審計、操作系統安全加固等方面。聯軟科技主機監控與審計，除了身份鑒別、訪問控制、系統配置管理、操作系統加固等基礎功能之外，同時還可對打印、復制、屏幕截取、U盤拷貝、文件操作、上網等行為進行審計和控制，另外在終端數據采集、網絡準入認證、數據安全存儲、安全U盤、數據內部流轉保護、數據外帶保護都應用到了相關密碼技術，主要包括SM2、SM3、SM4，可有效確保數據安全，對涉密數據存儲、使用、外發進行保護。

方案特點及效果

（1）通過邊界控制可以協助用戶解決涉密網用戶和終端非法接入的難題，并可對涉密網網絡接入行為進行記錄，以便審計。

（2）通過違規外聯控制可以防止涉密網內的計算機未經許可違規連接外部網絡，并可對違規外聯行為進行控制，如禁用等。

（3）通過移動存儲介質管理可以防止未經許可的U盤、智能手機等移動存儲介質隨意使用，同時可對移動存儲介質進行精細化管理，如手機只能充電不能寫數據，防止涉密數據泄露。

（4）通過文檔智能加密系統可實現數據密級標識，并可有效禁止高密級數據從高等級安全域流向低等級安全域。

（5）通過采用傳播控制、計算機惡意代碼防護、軟件管理等綜合手段，有效防止惡意代碼泛濫。

（6）通過主機監控與審計系統可實現接入控制、終端安全管理和數據防泄露，對打印、復制、截屏等信息輸出行為進行有效控制。