基于項目全生命周期的智慧城市行業涉密信息安全風險評價研究

◆王東 白宇 初寶山 喬夢喬

（航天科工智慧產業發展有限公司北京 100089）

1 研究背景

黨的十八大以來，以習近平同志為核心的黨中央高度重視保密工作，作出了改進和加強國家保密工作的新決策、新部署。習近平總書記指出：“當前我國國家安全內涵和外延比歷史上任何時候都要豐富，時空領域比歷史上任何時候都要寬廣，內外因素比歷史上任何時候都要復雜?！蓖瑫r，隨著我國綜合實力和國際地位的顯著提升，我國也逐漸成為境外間諜組織攻擊的重要目標，尤其是“中國九大泄密事件”，給我國造成了無法估量的損失，我國保密工作依然面臨著極大挑戰。在這種背景下，不僅需要國家不斷完善保密法律、法規，更需要企業建立切實可行保密管理體系，不斷完善保密風險評價機制，彌補管理漏洞，消除泄密隱患，避免泄密事件發生。

2 研究意義及思路

本文主要以智慧城市行業保密風險管理為研究對象，智慧城市行業剛剛起步，行業模式不夠清晰，項目管理不夠成熟，在保密風險管理方面也面臨很大挑戰，主要表現在：

（1）智慧城市項目實施周期長，工期可能高達三年以上。項目實施過長，涉密人員會產生麻痹心理，造成前緊后松，出現泄密事件。

（2）智慧城市項目管理復雜，會產生大量數據、報表、報告及其他各類資料，所有涉密載體都需要從產生、保管、使用、銷毀等各個環節進行有效管理，大大增加了保密管理工作量，提升了保密管理難度。

（3）智慧城市項目科技含量高，需要運用物聯網、云計算、移動互聯網為代表的新一代信息技術，既需要使用精密硬件設備，又需要應用復雜信息技術，并且新設備、新技術本身的安全性也有待驗證，也在一定程度上增加了保密管理難度。

（4）智慧城市項目參與人員具有多樣性，由于項目實施過程中，很可能需要非密人員參與到項目中來，如何對人員進行有效隔離，限制非密人員接觸涉密信息，也在無形中增加了人員管理成本與難度。

此外，智慧城市行業還具智能監控、大數據共享、信息傳輸便捷性等特點，會增加涉密信息安全管理難度，如果企業不能進行充分、有效、全面風險評估，極有可能出現管理漏洞，為泄密事件埋下隱患。

本文針對智慧城市行業保密管理中的問題，結合項目管理特點，從項目全生命周期角度進行風險評價研究，對項目機會階段、項目前期階段、現場實施階段、項目收尾階段等四個環節，進行全面的風險識別與分析，計算風險值，確定風險等級，并提出風險應對措施，切實提升企業保密風險管理水平[1]。

3 保密風險識別與分析

3.1 項目機會階段

本階段主要為項目預立項之前的各類活動，包括前期市場調查、客戶信息完善、市場評估、以及商機狀態定期更新等。因本階段重點為前期開拓市場，并未正式實施涉密項目，最易被保密管理所忽略。

本階段關注的主要風險點為：安排非密人員洽談涉密項目，導致信息泄密；洽談階段的涉密載體管理不符合要求，導致載體遺失、被盜、損毀或信息泄露；未充分了解對方單位的保密管理要求和資質情況，導致保密管理不到位；未及時向保密辦公室進行初步備案，導致無法對項目進行有效跟蹤等。

3.2 項目前期階段

本階段主要為預立項之后，且立項之前，涉及預立項審批（含預立項預算及計劃編制）、初步設計、參加投標、合同審批及簽訂等環節。

本階段關注的主要風險點為：投標階段產生的文件，未由涉密計算機進行處理和輸出；外出攜帶投標文件，未經保密審批和登記；涉密投標人員知悉范圍存在失控；未中標的投標信息文件沒有進行清理和銷毀；涉密合同未經保密管理部門審核；涉密合同知悉范圍未進行有效管控；涉密合同簽訂未及時向保密管理部門備案等。

3.3 項目實施階段

本階段為項目執行階段，涉及正式立項、物資采購、項目分包、工程施工、現場管理等事項。由于此階段，是保密管理工作的重中之重，需要關注人員管理、設備管理、場所管理、涉密載體等各方面。

此階段關注的主要風險點為：項目立項啟動時，未確項目密級等信息；未確定涉密項目負責人和項目組人員構成；未對項目成員進行有效分工，明確保密責任；未對進入現場的人員進行保密審查；未對保密設備進行審查審批；未對保密人員進行進場前保密教育，并配合甲方實施備案登記；涉密業務分包，未經甲方同意，并確定分包項目密級；分包單位不具有相應保密資質；未定期對現場保密管理執行情況進行巡查；未定期向保密管理部門匯報保密工作開展情況；巡查發現問題未及時整改落實；現場涉密設備、載體不符合保密管理要求；涉密設備、載體未進行臺賬管理、輸入輸出管理、借閱管理等。

3.4 項目收尾階段

本階段主要涉及項目驗收、結項及項目資料移交等工作。須重點關注驗收和資料、設備移交兩個環節。

此階段關注的主要風險點為：非密人員參與涉密項目驗收；驗收會議不符合會議管理要求；項目涉密資料移交、登記和保管不規范；未對涉密設備、載體進行清點、登記；未經授權審批，進行資料移交；涉密資料帶回公司未及時進行報備登記；未經授權私自銷毀涉密載體等。

此外，在進行項目全生命周期風險識別的基礎上，還要注重涉密載體、涉密人員和涉密信息設備等自身的全生命周期管理，例如涉密載體制作、收發與傳遞、使用、復制、保存、維修、銷毀等全過程進行風險識別，避免風險遺漏，造成安全管理漏洞。

4 保密風險評估

風險評估方法一般分為定性評估、定量評估、定性與定量相結合的綜合評估三種方法。其中，定性評估方法主要是依據個人認知、業務經驗、實踐案例和政策解讀能力，對不可量化的系統風險狀況進行評審和比較的評價方法。優點是簡單易行，綜合性強，可以綜合考慮較多因素，更加全面、深入；缺點是主觀性強，彈性較大，難以準確把握，對個人綜合能力要求較高。定量評估方法主要通過數據測算，建立數學模型，通過計算分析對象的各項指標及其數值，進行評估分析的一種方法。優點是比較直觀，數據客觀，且具有可對比性；缺點是部分指標難以量化，操作起來往往有一定困難，一般只針對單一場景環境進行分析，評估結果不能泛用只作參考。

本次采用綜合分析方法，以定性和定量相結合，通過評估底層各元素可能受到的危害，來量化總體風險。主要參考依據為《信息安全技術信息安全風險評估規范》（GB/T 20984-2007），涉及資產、威脅、脆弱性三個基本要素，通過對各要素進行賦值，并依據計算標準，確定風險等級[2]。

第一步，計算風險事件的可能性

計算公式如下：安全事件發生的可能性=（威脅×脆弱性）的平方根。其中，威脅、脆弱性的賦值標準分別詳見表1、表2。

表1 威脅賦值表

表2 脆弱性嚴重程度賦值表

第二步，計算風險事件的損失

計算公式如下：安全事件的損失=（資產值×脆弱性）的平方根資產值的賦值標準詳見表3。

表3 資產價值表

第三步，計算風險值，確定風險等級

計算公式如下：安全事件風險值=（安全事件發生的可能×安全事件的損失）的平方根。風險等級的劃分標準詳見表4。

表4 風險等級劃分表

根據計算得出的風險值，確定相應級別的風險等級，并針對不同風險等級，確定相應風險應對策略。

風險評估的重點還是分析出項目全過程的主要面臨的威脅因素，資產構成情況以及脆弱性，這基本是以定性分析為主，其中具體數據按照定量分析的方法以實際監督檢查過程獲取的數據為依據，綜合分析后識別有效風險點，最后再依據分析結果制定保密風險對策。

5 保密風險對策分析

5.1 建立基于全生命周期的涉密項目管理辦法

一般而言，企業均已制定本企業的保密管理制度，但是很多企業保密管理制度過于宏觀和籠統，缺乏具體實施辦法，尤其對涉密項目管理要求和實際操作流程不夠深入、具體，可能導致制度難以有效落地。因此，需要結合智慧城市行業項目全生命周期特點，在保密管理制度的框架下，建立具體的管理辦法和操作流程，對項目全過程中的人員管理、場所管理、設備管理、信息公開、各類載體及臺賬等各方面進行全面要求[3]。

5.2 提升員工的項目全過程保密管理意識

事實證明，很多泄密事件都與員工保密意識不強密切相關，“心不設防”就會“防不勝防”。部分員工認為泄密事件離自己很遙遠，對保密工作的嚴峻性、復雜性和泄密損害性認識不足，理解不夠到位，甚至個別員工對保密工作存在抵觸心理，大大降低了保密管理的效果[4]。因此，在項目管理的過程中需要持續對員工的保密意識進行強化，可以通過法規宣貫、制度培訓、警示教育，以現場講解、視頻宣傳、考試測驗等多種方式不斷提升員工的保密意識，并將保密意識深入融合到項目管理全過程。

5.3 強化項目保密管理的監督檢查

通過對各類泄密案件分析，無論是涉密設備、涉密載體的丟失，還是泄密人員和涉密場所管理的失控，都存在保密制度徒有其表、管理流于形式的情況。企業應加強保密管理的監督檢查，深入排查涉密項目管理過程中存在的問題和風險隱患，要建立多維度監督檢查機制，如項目現場設置項目保密管理員，負責項目日常保密檢查，保密管理部門每季度進行抽查，保密工作領導小組半年度進行全面檢查等。檢查范圍要涵蓋到不同項目生命周期的所有環節[5]。對于發現的泄密隱患，及時組織整改，要從隱患事項本身整改，舉一反三整改，源頭整改三個維度入手，將泄密隱患徹底消除，同時還要及時對整改效果進行跟蹤評價，確保所有隱患整改到位，形成閉環。

5.4 建立保密責任追究機制

建立企業內部保密責任追究機制，依據“誰主管、誰負責”的工作原則，將保密責任層層落實，對責任落實不力、制度執行不到位的領導和個人，必須堅持原則，嚴肅問責，發現一起，查處一起，依法追究直接責任人員和領導責任人員的責任，不以過失行為規避責任追究，不以批評教育代替行政處分，對不宜留在涉密崗位的人員，堅決予以調離，以嚴肅問責推動保密管理各項要求嚴格落實[6]。同時加強案件通報，加大警示教育力度，要引以為戒、防微杜漸、筑牢思想防線。

6 結束語

保密工作是一項基礎性、全局性、長期性工作，作為涉密單位，必須具備全局觀念，以高度的政治責任感，充分認識新形勢下保密工作的重要意義，堅持黨管保密的根本原則，維護國家安全，強化企業的保密風險評估能力。保密風險評估的根本是識別確實的保密風險并制定有效的風險對策措施，綜合性的評估方法只是工具，此工具既可以識別風險，也可以對風險對策措施進行驗證，更重要的是系統性的識別涉密項目全過程的風險并且驗證風險對策措施確實有效。同時，隨著企業內外環境不斷變化，風險識別、風險評估和風險應對也應是一個動態管理過程，通過持續改進，不斷提升企業保密管理水平。