『壹』 如何加強移動存儲介質的管理
近年來，隨著信息技術的飛速發展和高新技術設備的應用，移動存儲介質，如U盤、移動硬碟的出現和普及，極大方便了數據交換和存儲便利性。但是，移動存儲介質在給人們帶來方便的同時，也給保密工作引入了極大的安全隱患，移動存儲介質的安全保密問題突現出來，成為當前保密管理中的重點和難點。因此，加強移動存儲介質的管理已成為有效保障涉密信息安全的重要基礎。 一、存在的主要問題 移動存儲介質因其通用性強、存儲量大、體積小、易攜帶等特點而得到廣泛使用，越來越多的秘密數據和檔案資料被存儲在移動存儲介質里或通過移動存儲介質傳遞資料，大量的秘密文件和資料變為磁性介質和光學介質，存儲在無保護的介質里，泄密隱患相當大。目前，移動存儲介質管理還存在不少薄弱環節和問題。 一是對涉密移動存儲介質的管理不規范，存在違規使用現象。保密法規規定各單位對於保存秘密信息的移動存儲介質應該進行申報登記，並按其所涉及的秘密等級粘貼標識。而有些單位沒有針對移動存儲介質制定專門的管理制度，或制定的制度不具體、可操作性差，以至於使日常管理無章可循或管理鬆懈，存在一機多用、交叉使用等情況，大大增加了泄密隱患。 二是對涉密移動存儲介質未採取加密和控制技術。很多單位的涉密存儲介質的數據採用明文保存，如果設備丟失或被不法分子控制，非法持有者可輕而易舉獲取涉密文件，給國家利益和安全造成重大損失。 三是涉密移動存儲介質維修和銷毀環節管理放鬆。計算機出故障後，存有涉密信息的移動存儲介質不經處理或無人監督就帶出修理，或修理時沒有懂技術的人員在場監督，容易造成泄密。在沒有資質的維修點維修；簡單刪除涉密移動存儲介質中的涉密信息後賣給維修站等情況，增加了保密數據被竊的可能性，造成不可估量的損失。 二、對策和建議 由於使用移動存儲介質而引起的安全問題給保密工作帶來了很大困擾，這些問題隨著信息化建設的深入也會越發突出和嚴重。針對存在的問題，提出以下建議： 一是加強日常監督和管理，制定和健全相關法規。根據國家有關保密規定，涉密移動存儲介質應由單位統一發放，並建立嚴格的登記、使用、銷毀等技術措施和管理制度與非密載體嚴格區分，不能既處理涉密信息，又上互聯網；要嚴格控制攜帶移動存儲介質外出，帶出工作區要經過單位批准移動存儲介質要定期回收，在挪用、捐贈或不再使用時要統一對介質內的數據進行徹底銷毀同時，應對移動介質的日常使用進行監督檢查，以利於各項規章制度的嚴格執行。此外，對涉密移動存儲設備從購買到報廢進行全程監管，嚴格把守采購關，檢查關，使用關、維護關和報廢關等各個環節，從制度上防止泄密事件的可能發生。 二是利用先進的軟體和硬體技術加強移動存儲介質安全管理。為滿足國家規定的各種保密要求，各單位僅靠傳統的保密措施，顯得捉襟見肘，迫切需要選用一個功能強大、運行穩定的安全軟體系統和相關硬體設備。技術手段在現代化的保密工作中扮演著越來越重要的角色。通過認證和加密技術來防範移動存儲介質可能引起的敏感信息泄露，可以提高存儲介質應用的安全性。一些產品已經問世，比如利用密碼、身份認證、訪問控制和審計跟蹤等技術手段，對涉密信息、重要業務數據和技術專利等敏感信息的存儲、傳播和處理過程實施安全保護，最大限度地防止敏感信息的泄漏、被破壞和違規外傳，並完整記錄涉及敏感信息的操作日誌以便事後審計和追究泄密責任。 三是加強保密知識教育和技術培訓。增強日常防範意識和技能除了管理和技術防範措施外，還應該加強對涉密計算機操作人員進行現有法律法規的宣傳和保密知識的教育丁作，定期開展保密技術防範技能及保密法律法規的培訓，增強日常防範措施，使相關的操作和使用人員了解移動存儲介質保密管理的相關知識，加強對移動存儲介質使用的敏感性，消除可能的泄密隱患。涉密計算機操作人員還應該加強防病毒的意識。目前互聯網上的病毒很多，對於需要從網上下載資料的人員，應注意涉密移動存儲介質不能直接與上國際互聯網或其他公共信息網的計算機相連接；用於下載國際互聯網、公共信息網信息的移動存儲介質不得與涉密計算機和涉密計算機信息系統相連接。如需從網上下載資料，應該用非涉密移動存儲介質從上網計算機上下載資料後，通過中間機(中間機指的是既不用於上網又不是涉密的計算機)進行殺毒處理後，對資料進行存儲並導入涉密計算機。 四是密級標識。在一個合格的安全體系中，不同密級的信息必須保存在不同的位置或不同的存儲介質上，這樣可以最大限度保障信息的安全。為此，需要將網路體系中所有可移動介質按其所涉及的秘密等級粘貼單位統一製作的密級標識，用以存放相應密級的數據，只有具備相關許可權的人員才能對涉密信息進行訪問。在移動存儲設備的使用過程中，應提供詳細的審計記錄，包括注冊信息、使用信息和文件操作信息，記錄要素包括使用人、使用計算機、使用時間和動作等，並提供豐富的審計報告。這樣可以對移動存儲設備的整個使用過程進行記錄，以利於監督和審計。
『貳』 移動存儲介質的管理
管理措施為了規范移動存儲介質的使用，切實保障信息安全與網路安全，應建立移動存儲介質管理制度，並按照制度要求將移動存儲介質分為涉密和非涉密兩類，而且要著重管理涉密移動存儲介質，具體做法如下。
1、嚴禁非涉密移動存儲介質用於涉密領域，嚴禁涉密移動存儲介質用於非涉密領域，禁止涉密移動存儲介質在接人互聯網的電腦上使用。
2、涉密移動存儲介質在配發、領取、製作、使用、保管、維護和銷毀過程中，應遵循「統一購置、集中管理、嚴密防範、確保安全」的原則。
3、配發涉密移動存儲介質時必須進行登記、編號、貼注密級標識。對領取、發放、外帶、報廢、歸檔、維修等實行全過程的管理，每個環節都要填寫申請並經保密部門審批同意後方可執行。由負責保密管理工作的部門建立台賬，逐一記錄各個移動存儲介質的不同環節的變動情況；外帶時要確保涉密移動存儲介質始終處於攜帶人的有效控制之中；嚴禁將涉密移動存儲介質轉借給外單位或他人使用。
4、及時查殺病毒、木馬等惡意代碼，防止其蔓延傳播。
5、嚴禁將以報廢的涉密移動存儲介質轉為非涉密載體繼續使用。對報廢的涉密移動存儲介質要進行徹底的損毀。
