‘壹’ 如何加强移动存储介质的管理
近年来，随着信息技术的飞速发展和高新技术设备的应用，移动存储介质，如U盘、移动硬盘的出现和普及，极大方便了数据交换和存储便利性。但是，移动存储介质在给人们带来方便的同时，也给保密工作引入了极大的安全隐患，移动存储介质的安全保密问题突现出来，成为当前保密管理中的重点和难点。因此，加强移动存储介质的管理已成为有效保障涉密信息安全的重要基础。 一、存在的主要问题 移动存储介质因其通用性强、存储量大、体积小、易携带等特点而得到广泛使用，越来越多的秘密数据和档案资料被存储在移动存储介质里或通过移动存储介质传递资料，大量的秘密文件和资料变为磁性介质和光学介质，存储在无保护的介质里，泄密隐患相当大。目前，移动存储介质管理还存在不少薄弱环节和问题。 一是对涉密移动存储介质的管理不规范，存在违规使用现象。保密法规规定各单位对于保存秘密信息的移动存储介质应该进行申报登记，并按其所涉及的秘密等级粘贴标识。而有些单位没有针对移动存储介质制定专门的管理制度，或制定的制度不具体、可操作性差，以至于使日常管理无章可循或管理松懈，存在一机多用、交叉使用等情况，大大增加了泄密隐患。 二是对涉密移动存储介质未采取加密和控制技术。很多单位的涉密存储介质的数据采用明文保存，如果设备丢失或被不法分子控制，非法持有者可轻而易举获取涉密文件，给国家利益和安全造成重大损失。 三是涉密移动存储介质维修和销毁环节管理放松。计算机出故障后，存有涉密信息的移动存储介质不经处理或无人监督就带出修理，或修理时没有懂技术的人员在场监督，容易造成泄密。在没有资质的维修点维修；简单删除涉密移动存储介质中的涉密信息后卖给维修站等情况，增加了保密数据被窃的可能性，造成不可估量的损失。 二、对策和建议 由于使用移动存储介质而引起的安全问题给保密工作带来了很大困扰，这些问题随着信息化建设的深入也会越发突出和严重。针对存在的问题，提出以下建议： 一是加强日常监督和管理，制定和健全相关法规。根据国家有关保密规定，涉密移动存储介质应由单位统一发放，并建立严格的登记、使用、销毁等技术措施和管理制度与非密载体严格区分，不能既处理涉密信息，又上互联网；要严格控制携带移动存储介质外出，带出工作区要经过单位批准移动存储介质要定期回收，在挪用、捐赠或不再使用时要统一对介质内的数据进行彻底销毁同时，应对移动介质的日常使用进行监督检查，以利于各项规章制度的严格执行。此外，对涉密移动存储设备从购买到报废进行全程监管，严格把守采购关，检查关，使用关、维护关和报废关等各个环节，从制度上防止泄密事件的可能发生。 二是利用先进的软件和硬件技术加强移动存储介质安全管理。为满足国家规定的各种保密要求，各单位仅靠传统的保密措施，显得捉襟见肘，迫切需要选用一个功能强大、运行稳定的安全软件系统和相关硬件设备。技术手段在现代化的保密工作中扮演着越来越重要的角色。通过认证和加密技术来防范移动存储介质可能引起的敏感信息泄露，可以提高存储介质应用的安全性。一些产品已经问世，比如利用密码、身份认证、访问控制和审计跟踪等技术手段，对涉密信息、重要业务数据和技术专利等敏感信息的存储、传播和处理过程实施安全保护，最大限度地防止敏感信息的泄漏、被破坏和违规外传，并完整记录涉及敏感信息的操作日志以便事后审计和追究泄密责任。 三是加强保密知识教育和技术培训。增强日常防范意识和技能除了管理和技术防范措施外，还应该加强对涉密计算机操作人员进行现有法律法规的宣传和保密知识的教育丁作，定期开展保密技术防范技能及保密法律法规的培训，增强日常防范措施，使相关的操作和使用人员了解移动存储介质保密管理的相关知识，加强对移动存储介质使用的敏感性，消除可能的泄密隐患。涉密计算机操作人员还应该加强防病毒的意识。目前互联网上的病毒很多，对于需要从网上下载资料的人员，应注意涉密移动存储介质不能直接与上国际互联网或其他公共信息网的计算机相连接；用于下载国际互联网、公共信息网信息的移动存储介质不得与涉密计算机和涉密计算机信息系统相连接。如需从网上下载资料，应该用非涉密移动存储介质从上网计算机上下载资料后，通过中间机(中间机指的是既不用于上网又不是涉密的计算机)进行杀毒处理后，对资料进行存储并导入涉密计算机。 四是密级标识。在一个合格的安全体系中，不同密级的信息必须保存在不同的位置或不同的存储介质上，这样可以最大限度保障信息的安全。为此，需要将网络体系中所有可移动介质按其所涉及的秘密等级粘贴单位统一制作的密级标识，用以存放相应密级的数据，只有具备相关权限的人员才能对涉密信息进行访问。在移动存储设备的使用过程中，应提供详细的审计记录，包括注册信息、使用信息和文件操作信息，记录要素包括使用人、使用计算机、使用时间和动作等，并提供丰富的审计报告。这样可以对移动存储设备的整个使用过程进行记录，以利于监督和审计。
‘贰’ 移动存储介质的管理
管理措施为了规范移动存储介质的使用，切实保障信息安全与网络安全，应建立移动存储介质管理制度，并按照制度要求将移动存储介质分为涉密和非涉密两类，而且要着重管理涉密移动存储介质，具体做法如下。
1、严禁非涉密移动存储介质用于涉密领域，严禁涉密移动存储介质用于非涉密领域，禁止涉密移动存储介质在接人互联网的电脑上使用。
2、涉密移动存储介质在配发、领取、制作、使用、保管、维护和销毁过程中，应遵循“统一购置、集中管理、严密防范、确保安全”的原则。
3、配发涉密移动存储介质时必须进行登记、编号、贴注密级标识。对领取、发放、外带、报废、归档、维修等实行全过程的管理，每个环节都要填写申请并经保密部门审批同意后方可执行。由负责保密管理工作的部门建立台账，逐一记录各个移动存储介质的不同环节的变动情况；外带时要确保涉密移动存储介质始终处于携带人的有效控制之中；严禁将涉密移动存储介质转借给外单位或他人使用。
4、及时查杀病毒、木马等恶意代码，防止其蔓延传播。
5、严禁将以报废的涉密移动存储介质转为非涉密载体继续使用。对报废的涉密移动存储介质要进行彻底的损毁。
