国外军工企业信息安全管理实例分析及启示

潘睿

摘 要：军工企业是国防工业的重要组成部分，涉及政府、企业、非营利组织等多方利益，对国防和国民经济建设有着重要的作用。文章以美国著名军火商诺斯罗普·格鲁门公司为例，通过实例分析了构成该公司信息安全管理体系的制度措施、工具措施和衍生措施。在此基础上，指出该公司以这三类措施为基石，建立了一个由内而外、层递式的全方位网络安全保护系统，希望对我国军工企业情报信息安全管理有一定的参考意义。

关键词：军工企业；诺斯罗普·格鲁门；信息安全

中图分类号：TP393.08 文献标识码：A

Abstract： As the important part of the national defense industry， military enterprises are interconnected with many other parties， such as governments， enterprises and non-profit organizations， playing a pivotal role in national defense and national economic construction. Taking Northrop Grumman， a well-known American military enterprise as an example， this paper gives a detailed analysis of its information security system built by a combination of security system building， security tools and derivative measures. Then， the author points out that the company has established an all-around， layered security protection system from the inside out with these measures， aiming to shed light on the security management for Chinas military enterprises .

Key words： military enterprises； Northrop Grumman； information security

1 引言

军工企业是国家综合实力的重要体现，对国防建设和国民经济建设意义重大。随着信息技术快速发展，军工企业在內部大量使用信息资源和信息工具，从而产生了大量的数据。这些数据不但为军工企业提供了决策基础，而且对企业内部业务稳定运行起到了保障支撑的作用。但是，肩负国防重任的军工企业，通常承担着涉及国家秘密的设计计划，这类秘密一旦泄露，会给国家带来不可估量的损失。为有效保护涉密信息，维护国家的经济和技术利益，企业常常采取各类措施防止泄密。

诺斯罗普·格鲁门公司（以下简称诺·格公司）是美国著名的军火商，曾以设计了大名鼎鼎的B-2隐身轰炸机而闻名于世。本文以诺·格公司为例，通过具体的实例剖举，希望还原美国军工企业情报信息安全防护的真实情景。诺·格公司主要从制度防护、工具防护和衍生防护三个层次，如图1所示，层层推进，实施全方位的防护。本文详细介绍了该公司在信息安全方面的各种措施，并指出其对国内军工企业的借鉴意义。

2 诺·格公司信息安全防护的制度措施

诺·格公司的信息安全防护的制度措施主要体现在人员招聘、项目控制和涉密信息监管三个方面。

2.1 人员招聘制度

诺·格公司在人员招聘方面，军方和诺·格公司对应聘人员的背景审查极为严苛，会考察应聘人员家人的背景，吸毒史、犯罪记录以及可能涉及的其他方面背景。如果应聘者来自于实行共产主义的国家、有犯罪记录及滥用药物（包括吸毒）史，则拒绝聘用。严格的保密制度和程序客观上把很多优秀的工程技术人员拒之门外，尽管有些制度看起非常繁琐、低效，但是为了确保项目决不泄密，确保美军战略计划和战略威慑不受影响，诺·格公司的所有成员都严格遵守着保密制度和流程，任何事情都“按照规定”办事，确保保密目标贯彻到底。

2.2 项目保密控制

通常，诺·格公司的员工在工作中会处理两类信息——非保密信息和保密信息。非保密信息不需要安全许可。然而，这类信息仍然可能是非常敏感的信息，需要特殊处理。比如仅供官方使用（FOUO）的信息和受限的非保密信息（CUI）。这两种类型的信息都不能公开披露。对于政府的保密信息，获取政府保密信息需要保密人员处理，需要获得信息使用许可。另一类需要保护的信息是诺·格公司的专有信息。诺·格公司将这些信息分为两类。I级信息：诺·格特有的技术方法和应用。II级信息：诺·格公司独有的信息，不可公开获得，如财务或战略规划数据。

诺·格公司有着严格的项目保密制度，对接触项目信息的人员和接触途径有着严苛的限定。诺·格项目的保密管理是一个非常庞大的系统工程，有非常严格、细致的流程和规则。以B-2为例，研发伊始，该项目就处于高度机密状态。对于涉足B-2项目的工作人员，都需要获得特殊的保密许可。之所以采取如此严苛的保密制度，最主要的原因是为了潜在对手国，比如，俄罗斯获知美国的军事研发动态。防务专家认为，即使在和平年代，保持研发项目的高度机密也是对对手的一种有效的心理威慑。因此，B-2项目的保密管理一直都是重中之重。所有参与该项目的工作人员都不能向任何人透露他们的工作情况，包括他们的家人、朋友及其他亲属。有时，工作人员需要亲自传递保密资料，而外携保密资料出差的保密流程根据所前往目的地的不同也有所不同。为了尽可能的降低人员亲自传递保密资料，诺·格公司可选择使用复印、传真等传输方式。但是，对于一些细节图纸或者需要面对面的汇报，就必须亲自前往。

2.3 涉密信息监管制度

美国的国家秘密分为三个等级：绝密、机密和秘密。用“非涉密”来标识不需要进行安全级别划分的信息，任何等级的定密决定都只能由美国政府以书面形式指定或委托的官员作出，即定密官制度。定密者要在文档前注明简洁的定密“原因”，明确解密时间或解密事件。绝密级、机密级以及秘密级材料的存储要求也十分严格，对于需传输的涉密信息有包装要求，需使用双层包装，同时会通过流程追踪被传输的文件，直到收到已签署的文件收据。对于收到的绝密级和机密级材料与收据不符的，应立刻报告发件人。

对于涉密信息的复制、销毁、保留以及披露，也有具体的要求。不涉密的II类财务或战略规划数据，也应粉碎或在批准的区域内销毁。同时，对于进入诺·格的人，都要佩戴徽章。徽章用于确认佩戴人的雇员或非雇员身份，决定佩戴人是否有权获取相对应的信息。

3 诺·格公司信息安全防护的工具措施

诺·格公司除了采取以上各种基础保护手段，还借助先进科技，建立了一个全方位的实时防护安全网络。诺·格公司的信息安全网络主要包括网络安全联盟和网络安全运营中心（CSOC）。

3.1 网络安全运营中心

诺·格公司于2009年启用了全新的网络安全运营中心（CSOC），该中心的主要职责是探测潜在威胁检测，并能够快速响应。该中心进行全天24小时的安全监控，为全球超过105 000个客户和10 000个服务器提供安全监控，保护诺·格公司及其客户的网络和数据安全。

网络安全运营中心的主要功能包括提供全球相关网络活动的热图和态势感知，确定事件重点；信息跟踪，提醒和事件升级的综合知识管理系统；集成了一系列商用现成的和内部设计的威胁检测设备，能够从各种数据源中识别所关注的信息，并确定可疑活动的范围和性质。

将情报搜集和分析与传统的安全监控相结合，CSOC能够更好地确认威胁， 减少高级网络威胁。CSOC主要从几个方面完成上述任务：（1）全天候实时监控；（2）事件响应，工作人员对可疑的安全事件快速响应，遏制事件扩大，并提供原因分析、相关运行恢复；（3）数字取证，收集和分析数字媒体证据；（4）提供技术安全解决方案，为了防止安全事件的发生，在CSOC内部快速研发和部署解决方案和系统；（5）计算机威胁分析和情报工作，情报人员分析和报告内部和外部威胁，计算机网络防御专家设计和开发可识别高级威胁的安全功能。

3.2 网络安全联盟

诺·格公司与信息安全领域的工科名校展开合作，成立了专门的网络安全联盟。诺·格公司认为，信息安全网络架构和系统架构必须保持灵活可变，这样才能适应不断变化的威胁。单一的防护措施是远远不够的，必须主动将信息安全网络“内置”于企业内部，覆盖每个新系统和每一次升级。为了满足这种需要，诺斯罗普·格鲁曼建立了兼具灵活性和防御性的纵深防御体系结构——“FAN”分层网络安全防护参考模型。FAN是一个集成的防护结构，从数据安全、应该安全、端点安全、外围和网络安全四个维度形成层层防护。该模型能够进行入侵监测、分布式防御、威胁行为建模，并基于建模建立新的网络攻击探测模式，同时能够进行云存储并确保相关程序的安全。

网络运营中心从技术上为诺·格公司的日常运营保驾护航，而通过网络安全联盟，诺·格和高校合作，针对不断变化的威胁不断探索安全防护的新技术、新模式，从而确保诺·格能够面对日益升级的安全威胁。

4 诺·格公司信息安全防护衍生措施

但是仅有内部的安全监控和防范措施是远远不够的，诺·格的业务规模庞大、产品范围广阔，涉及多个供应商，因此也面临一系列安全风险。诺·格公司认为，日益增长的网络危险直接影响供应链的安全。由于项目需求是由客户设定的，诺·格培训客户，提升客户的安全思维模式，让客户了解将产品安全和系统安全融入项目生命周期的重要性。除了培训客户，诺·格的企业共享服务（ESS）网络团队还开发新的管理方法和标准工具，用以防范供应链中可能出现的网络风险。在整个研发阶段，都有安全验证的需求，而每个项目启动之前，都必须要通过网络安全验证，如图2所示。

通过这些措施，诺·格有效地控制了可能外泄的信息隐患，将产品安全和系统安全融入了流程，确保了信息安全。

5 结束语

经过几十年的发展，诺·格公司在信息安全防护领域方面形成了一套相对完善的体系，突出表现在全面的制度保障、完备的网络安全机构，以及不断外延的衍生保护措施。这种由内而外，层递式构建的全方位网络安全保护为诺·格的技术创新提供了绝对安全的保障。而我国军工企业的信息安全手段相对落后，泄密事件时有发生，诺·格公司的网络信息安全体系对我国军工企业网络信息安全体系具有一定的参考意义。

（1）建立全面的防护制度。诺·格公司在日常安全管理中严格遵守国防部和公司内部的各种制度和规则。机构内部信息安全工作的组织、管理和汇报，涉密人员的培训、资格审查、国家秘密的确定、涉密信息的保护、涉密场所参观使用等方面都有具体的细则规定，这是信息防护的制度基础，为网络信息安全防护编织了牢固的制度保证。

（2）先进的网络工具监测手段。诺·格的网络安全运营中心以技术部门为依托，多职能部门参与，形成了诺·格安全监管的基本框架。同时，和高校合作成立网络安全联盟，对实际中遇到的威胁分析研究，再迭代使用，在形成一个安全的物理网络保护闭环的同时，也确保诺·格公司时刻能够跟踪、遏制威胁，应对不断升级的网络威胁。

（3）不断外延的保护措施。除了在内部建立完备的制度保障和工具监测之外，诺·格重视任何流程中的潜在风险，注重实践，不断发现其对外供应链中的不安全因素。将供应链安全融入设计，不仅是其根据企业运营实际的工作深化，更是拓展了安全防护的范围。我国军工企业的信息安全防护还较为薄弱，应从中吸取经验，加强制度建设和工具保障，注意内外防护，切实提高能力，捍卫国家利益，保护国家安全。

参考文献

[1] Bill Scott.Inside the Stealth Bomber： The B-2 Story[M].Fallbrook， Aero Publishers， 1991.

[2] Annual DoD security refresher training[EB/OL].http：//www.northropgrumman.com/AboutUs/Documents/Clearance/annual_ dod_refresher_ext.pdf.

[3] 陆明远，黄雪宜.美国工业信息安全体系及其借鉴意义[J].网络空间安全，2017，8（Z3）：1-6.

[4] 劉金芳.维护网络空间主权 保障我国国家安全[J].网络空间安全，2017，8（Z1）：7-10.

[5] 刘鹏，杨健，刘福强.美国网络空间安全体系建设分析与思考[J].网络空间安全，2017，8（Z4）：1-5.

[6] Cyber security operations center （CSOC） [EB/OL]. http：//www.northropgrumman.com/Capabilities/Cybersecurity/Documents/Literature/CSOC_brochure.pdf.

[7] Northrop Grumman cyber security research consortium[EB/OL]. http：//www.northropgrumman.com/Capabilities/Cybersecurity/Documents/Literature/CRC_datasheet.pdf.

[8] Northrop Grumman Corporation Trusted， Innovative， World-Class Supply Chain[R].http：//www.nist.gov/sites/default/files/documents/itl/csd/NIST_USRP-Northup-Cyber-SCRM-Case-Study.pdf.