信息是資產(chǎn)，是資產(chǎn)就有被竊取被破壞的可能。信息儲存、流通的系統(tǒng)和設備，接觸信息的人，管理信息的方式……凡與信息相關的環(huán)節(jié)，都存在威脅信息安全的因素，都需要用多重手段精心防范--
隨著軍隊物資采購機構信息化建設的不斷推進，信息系統(tǒng)已經(jīng)成為當前采辦系統(tǒng)的核心組成部分。信息安全風險直接影響到軍隊物資采購系統(tǒng)為軍隊用戶提供服務和對各類供應商等采購實體進行管理的能力。而在關鍵時刻，個別重大的信息系統(tǒng)發(fā)生故障或癱瘓，還可能給整個軍隊后勤保障帶來不可挽回的損失。
當前，軍隊物資采購系統(tǒng)根據(jù)總后關于信息化建設的精神，建立了依托于軍隊內(nèi)部的指揮自動化網(wǎng)、軍隊綜合信息網(wǎng)等內(nèi)部指揮控制網(wǎng)絡、辦公網(wǎng)絡、業(yè)務管理網(wǎng)絡等信息服務和指揮網(wǎng)絡，為軍隊采購管理單位、采購業(yè)務單位、科研和教學單位、軍內(nèi)終端客戶提供廣泛的信息服務。實施信息安全管理，不僅能夠有效地提高信息系統(tǒng)的安全性、完整性、可用性以及相關應急采購任務的快速反應能力，同時也是保障軍隊物資采購系統(tǒng)科學發(fā)展、為軍隊提供最優(yōu)保障力的重要手段。
面對信息安全三大風險
在軍隊物資采購活動中，存在各種各樣的風險，都對采辦的結(jié)果產(chǎn)生不同程度的影響。根據(jù)風險產(chǎn)生對象的不同，將風險分為人為風險、系統(tǒng)風險、數(shù)據(jù)風險等三個方面。
人為風險 人是信息安全最主要的風險因素。不適當?shù)男畔⑾到y(tǒng)授權，會導致未經(jīng)授權的人獲取不適當?shù)男畔?。采購人員操作失誤或疏忽會導致信息系統(tǒng)的錯誤動作或產(chǎn)生垃圾信息；違規(guī)篡改數(shù)據(jù)、修改系統(tǒng)時間、修改系統(tǒng)配置、違規(guī)導入或刪除信息系統(tǒng)的數(shù)據(jù)，可能導致各種重大采購事故的發(fā)生。有令不行、有禁不止等人為因素形成的風險，是軍隊物資采購信息安全的最大風險。
系統(tǒng)風險 系統(tǒng)風險包括系統(tǒng)開發(fā)風險和系統(tǒng)運行風險。在采購項目開發(fā)過程中沒有考慮到必要的信息系統(tǒng)安全設計，或安全設計存在缺陷，都會導致采辦信息系統(tǒng)安全免疫能力不足。沒有完善、嚴格的生產(chǎn)系統(tǒng)運行管理體制，會導致機房管理、口令管理、授權管理、用戶管理、服務器管理、網(wǎng)絡管理、備份管理、病毒管理等方面出現(xiàn)問題，輕則產(chǎn)生垃圾信息，重則發(fā)生系統(tǒng)中斷或信息被非法獲取等問題。
當前的采購信息系統(tǒng)已是一個龐大的網(wǎng)絡化系統(tǒng)，在網(wǎng)絡內(nèi)存在眾多的中小型機、服務器、前置機、路由器、終端設備，也包括數(shù)據(jù)庫、操作系統(tǒng)、中間件、應用系統(tǒng)等軟件系統(tǒng)。網(wǎng)絡系統(tǒng)中的任何一個環(huán)節(jié)都有可能出現(xiàn)故障，一旦出現(xiàn)故障便有可能造成系統(tǒng)中斷，影響業(yè)務正常運作。同時，由于自然災害、戰(zhàn)爭等突發(fā)事件造成的系統(tǒng)崩潰、數(shù)據(jù)載體不可修復性損失等等，都會給采購信息系統(tǒng)帶來很大的影響。
數(shù)據(jù)風險 數(shù)據(jù)是信息的載體，也是軍隊物資采購系統(tǒng)最重要的資產(chǎn)。對數(shù)據(jù)的存儲、處理、獲取、發(fā)布和共享均需要有一套完整的流程和審批制度，沒有健全的數(shù)據(jù)管理制度，便存在導致數(shù)據(jù)信息泄露的風險。
做好信息安全工作三項內(nèi)容
信息安全的含義在不同的環(huán)境情況下各不相同。在國際標準ISO17799信息安全標準中，信息安全是指：使信息避免一系列威脅，保障商務的連續(xù)性，盡量減少業(yè)務損失，從而最大限度地獲取投資和商務的回報。
對于軍隊物資采購系統(tǒng)，信息安全管理則應該堅持系統(tǒng)和全局的觀念，基于平戰(zhàn)結(jié)合、立足應急保障的思想來建立起安全管理體系。通過系統(tǒng)、全面、科學的安全風險評估，體現(xiàn)“積極預防、綜合防范”的方針，強調(diào)遵守國家有關信息安全的法律法規(guī)及其他合同方要求，透過全過程和動態(tài)控制，本著控制費用與風險平衡的原則，合理選擇安全控制方式，保護關鍵信息資產(chǎn)，使信息風險的發(fā)生概率降低到可接受的水平，確保信息的保密性、完整性和可用性，保持組織業(yè)務運作的持續(xù)性。
保密性 信息安全的保密性，在確保遵守軍隊保密守則規(guī)定的前提下，確保涉密信息僅可讓授權獲取的相關人員訪問。結(jié)合當前的狀況，軍隊物資采購系統(tǒng)的信息安全保密應當做到：嚴格分崗授權制衡機制，杜絕不相容崗位兼崗現(xiàn)象；嚴格用戶管理和授權管理，防止非法用戶、用戶冗余和用戶授權不當；加強密碼管理，防止不設口令或者口令過于簡單；加強病毒防范管理，防范病毒損害；控制訪問信息，阻止非法訪問信息系統(tǒng)；確保對外網(wǎng)絡服務得到保護，阻止非法訪問網(wǎng)絡；檢測非法行為，防范道德風險；保證在使用移動電腦和遠程網(wǎng)絡設備時的信息安全，防止非法攻擊。
完備性 信息安全的完備性，是指系統(tǒng)信息準確且具備完善的處理方法。具體要求是：嚴格采購業(yè)務流程管理，確保采購業(yè)務流程與采購信息系統(tǒng)操作流程完備一致；嚴格控制生產(chǎn)系統(tǒng)數(shù)據(jù)修改，防止數(shù)據(jù)丟失。防止不正確修改，減少誤操作；嚴格數(shù)據(jù)管理，確保數(shù)據(jù)得到完整積累與保全，使系統(tǒng)數(shù)據(jù)能夠真實、完整地反映采購業(yè)務信息；嚴格按照軍隊關于物資采購的規(guī)定和要求操作，減少或杜絕非招標業(yè)務；避免任何違反法令、法規(guī)、合同約定及易導致業(yè)務信息與數(shù)據(jù)信息不一致、不完整的行為。
可用性 信息安全的可用性，要求確保被授權人可以獲取所需信息。具體要求是：加強生產(chǎn)系統(tǒng)運行管理，確保生產(chǎn)系統(tǒng)安全、穩(wěn)定、可靠運行；加強生產(chǎn)機房建設與管理，保障機房工作環(huán)境所必需的濕度、溫度、電源、防火、防水、防靜電、防雷、限制進入等要求；加強生產(chǎn)系統(tǒng)日常檢查管理，及早發(fā)現(xiàn)故障苗頭；加強系統(tǒng)備份，防止數(shù)據(jù)損失；嚴格生產(chǎn)系統(tǒng)時間管理，禁止隨意修改生產(chǎn)系統(tǒng)時間；保障系統(tǒng)持續(xù)運行；實施災難備份，防止關鍵業(yè)務處理在災難發(fā)生時受到影響。
信息安全管理需專門制度和機構
信息安全機構 軍隊物資采購系統(tǒng)應分出專人專職來負責信息安全管理工作，并協(xié)同上級業(yè)務管理單位制定信息安全管理制度和工作程序，設定安全等級，評估安全風險程度，落實防范措施，提出內(nèi)控體系整改方案與措施，監(jiān)督和評估信息安全管理成效。在與上級總部和軍區(qū)、軍兵種物資油料部管理機構之間還要有一個快速響應的信息安全事故收集、匯總、處理及反饋體系。
信息安全管理制度與策略 信息安全管理制度應針對軍隊物資采購系統(tǒng)現(xiàn)狀與發(fā)展方向來制定，要充分考慮可操作性。現(xiàn)階段可根據(jù)“積極防御、綜合防范”的方針，制定內(nèi)部網(wǎng)、OA網(wǎng)、外部網(wǎng)的管理辦法，明確用戶的訪問權限。制定生產(chǎn)系統(tǒng)運行管理辦法，嚴格實行分崗制衡、分級授權，嚴格執(zhí)行生產(chǎn)系統(tǒng)時間管理、備份管理、數(shù)據(jù)管理和口令管理。
信息安全分級管理 信息安全分級管理，是將信息資產(chǎn)根據(jù)重要性進行分級，對不同級別的信息資產(chǎn)采用不同級別的信息安全保護措施。國家已將信息安全等級保護監(jiān)督分級，分別為自主性保護、指導性保護、專控性保護等，軍隊物資采購系統(tǒng)可以結(jié)合實際情況，將信息資產(chǎn)分為“三級”或“五級”保護，目的在于突出重點，抓住關鍵，兼顧一般，合理保護。分級管理的方法是分析危險源或危險點，評估其重要性，再分設等級，從而采取不同的保護措施。比如，對于采購機構業(yè)務機房，可采取門禁與限制進入等方式進行保護；針對采購中相關數(shù)據(jù)的提供，可設計一定的審判流程，根據(jù)數(shù)據(jù)的重要程度，分類為公開信息、優(yōu)先共享信息、內(nèi)部一般信息、內(nèi)部控制信息、內(nèi)部關鍵信息和內(nèi)部核心信息，實施嚴格的授權控制；對于信息安全事故，可分為重大事故、一般事故、輕微事故等，采取不同的處置方案。
信息安全集中監(jiān)控與處置 設立集中運行的信息安全監(jiān)控處置中心，及時監(jiān)控、發(fā)現(xiàn)安全事故，做到響應快速、處置果斷，并實施應急恢復。結(jié)合軍隊物資采購系統(tǒng)當前實際情況，可對網(wǎng)絡、服務器等運行設備進行集中監(jiān)控，開展服務器容量管理、網(wǎng)絡流量監(jiān)控；對應用系統(tǒng)采取防范與監(jiān)控相結(jié)合的方式，對信息系統(tǒng)的數(shù)據(jù)設置校驗碼，防止非法修改；在開發(fā)應用系統(tǒng)的同時，還應開發(fā)相應的審計檢查監(jiān)控程序，由各單位分別運行和維護，由上級采購管理機構定期查驗和監(jiān)督，及時發(fā)現(xiàn)數(shù)據(jù)信息存在的風險。
科學構建信息安全管理系統(tǒng)
實現(xiàn)信息安全管理的集中運行，需借助信息安全管理系統(tǒng)。各軍隊采購機構和部門可以按照上級下達的統(tǒng)一標準，構建基于同一操作平臺的信息安全管理系統(tǒng)，幫助安全管理中心實現(xiàn)系統(tǒng)的監(jiān)控、分析、預警等功能，實現(xiàn)信息安全事故處理的收集、存儲、分析等功能，及時對信息風險作出反饋。
監(jiān)控功能 為采辦機構和部門的相關信息處理和傳輸設備配置專人管理，并設置機房日志管理、服務器性能日志管理、服務器容量日志管理、數(shù)據(jù)修改日志管理、流量監(jiān)控日志等功能，并酌情設置數(shù)據(jù)檢測結(jié)果日志管理功能。通過對存儲、傳輸和刪改的操作進行管理，達到監(jiān)督控制的目的。
處理功能 根據(jù)采辦單位所在環(huán)境和情況，自主設置安全事故報告、響應、處置等采辦信息管理功能，對于高級別信息，也可以采用每天零報告措施。通過信息處理的簡化、優(yōu)化和快速反應，提高信息安全保障能力，從而保證軍隊采購的正常進行。
安全等級管理功能 針對采辦單位自身特點，設置信息資產(chǎn)、危險源、危險點定義與分級功能，對于不同級別的信息安全危機設定不同的保護等級，并采取不同的保護措施、監(jiān)控措施、事故響應與處置措施，保證系統(tǒng)的穩(wěn)定性和完好性。
安全預警改進功能 根據(jù)日常監(jiān)控的結(jié)果和事故處理經(jīng)驗，設置靈活細分的預警指標，由系統(tǒng)自動分析提出預警，從而建立信息安全監(jiān)控、分析、預警、處置、改進等不斷循環(huán)優(yōu)化的信息安全管理體系。
來源：政府采購信息網(wǎng)
