基于项目全生命周期的智慧城市行业涉密信息安全风险评价研究

◆王东 白宇 初宝山 乔梦乔

（航天科工智慧产业发展有限公司北京 100089）

1 研究背景

党的十八大以来，以习近平同志为核心的党中央高度重视保密工作，作出了改进和加强国家保密工作的新决策、新部署。习近平总书记指出：“当前我国国家安全内涵和外延比历史上任何时候都要丰富，时空领域比历史上任何时候都要宽广，内外因素比历史上任何时候都要复杂。”同时，随着我国综合实力和国际地位的显著提升，我国也逐渐成为境外间谍组织攻击的重要目标，尤其是“中国九大泄密事件”，给我国造成了无法估量的损失，我国保密工作依然面临着极大挑战。在这种背景下，不仅需要国家不断完善保密法律、法规，更需要企业建立切实可行保密管理体系，不断完善保密风险评价机制，弥补管理漏洞，消除泄密隐患，避免泄密事件发生。

2 研究意义及思路

本文主要以智慧城市行业保密风险管理为研究对象，智慧城市行业刚刚起步，行业模式不够清晰，项目管理不够成熟，在保密风险管理方面也面临很大挑战，主要表现在：

（1）智慧城市项目实施周期长，工期可能高达三年以上。项目实施过长，涉密人员会产生麻痹心理，造成前紧后松，出现泄密事件。

（2）智慧城市项目管理复杂，会产生大量数据、报表、报告及其他各类资料，所有涉密载体都需要从产生、保管、使用、销毁等各个环节进行有效管理，大大增加了保密管理工作量，提升了保密管理难度。

（3）智慧城市项目科技含量高，需要运用物联网、云计算、移动互联网为代表的新一代信息技术，既需要使用精密硬件设备，又需要应用复杂信息技术，并且新设备、新技术本身的安全性也有待验证，也在一定程度上增加了保密管理难度。

（4）智慧城市项目参与人员具有多样性，由于项目实施过程中，很可能需要非密人员参与到项目中来，如何对人员进行有效隔离，限制非密人员接触涉密信息，也在无形中增加了人员管理成本与难度。

此外，智慧城市行业还具智能监控、大数据共享、信息传输便捷性等特点，会增加涉密信息安全管理难度，如果企业不能进行充分、有效、全面风险评估，极有可能出现管理漏洞，为泄密事件埋下隐患。

本文针对智慧城市行业保密管理中的问题，结合项目管理特点，从项目全生命周期角度进行风险评价研究，对项目机会阶段、项目前期阶段、现场实施阶段、项目收尾阶段等四个环节，进行全面的风险识别与分析，计算风险值，确定风险等级，并提出风险应对措施，切实提升企业保密风险管理水平[1]。

3 保密风险识别与分析

3.1 项目机会阶段

本阶段主要为项目预立项之前的各类活动，包括前期市场调查、客户信息完善、市场评估、以及商机状态定期更新等。因本阶段重点为前期开拓市场，并未正式实施涉密项目，最易被保密管理所忽略。

本阶段关注的主要风险点为：安排非密人员洽谈涉密项目，导致信息泄密；洽谈阶段的涉密载体管理不符合要求，导致载体遗失、被盗、损毁或信息泄露；未充分了解对方单位的保密管理要求和资质情况，导致保密管理不到位；未及时向保密办公室进行初步备案，导致无法对项目进行有效跟踪等。

3.2 项目前期阶段

本阶段主要为预立项之后，且立项之前，涉及预立项审批（含预立项预算及计划编制）、初步设计、参加投标、合同审批及签订等环节。

本阶段关注的主要风险点为：投标阶段产生的文件，未由涉密计算机进行处理和输出；外出携带投标文件，未经保密审批和登记；涉密投标人员知悉范围存在失控；未中标的投标信息文件没有进行清理和销毁；涉密合同未经保密管理部门审核；涉密合同知悉范围未进行有效管控；涉密合同签订未及时向保密管理部门备案等。

3.3 项目实施阶段

本阶段为项目执行阶段，涉及正式立项、物资采购、项目分包、工程施工、现场管理等事项。由于此阶段，是保密管理工作的重中之重，需要关注人员管理、设备管理、场所管理、涉密载体等各方面。

此阶段关注的主要风险点为：项目立项启动时，未确项目密级等信息；未确定涉密项目负责人和项目组人员构成；未对项目成员进行有效分工，明确保密责任；未对进入现场的人员进行保密审查；未对保密设备进行审查审批；未对保密人员进行进场前保密教育，并配合甲方实施备案登记；涉密业务分包，未经甲方同意，并确定分包项目密级；分包单位不具有相应保密资质；未定期对现场保密管理执行情况进行巡查；未定期向保密管理部门汇报保密工作开展情况；巡查发现问题未及时整改落实；现场涉密设备、载体不符合保密管理要求；涉密设备、载体未进行台账管理、输入输出管理、借阅管理等。

3.4 项目收尾阶段

本阶段主要涉及项目验收、结项及项目资料移交等工作。须重点关注验收和资料、设备移交两个环节。

此阶段关注的主要风险点为：非密人员参与涉密项目验收；验收会议不符合会议管理要求；项目涉密资料移交、登记和保管不规范；未对涉密设备、载体进行清点、登记；未经授权审批，进行资料移交；涉密资料带回公司未及时进行报备登记；未经授权私自销毁涉密载体等。

此外，在进行项目全生命周期风险识别的基础上，还要注重涉密载体、涉密人员和涉密信息设备等自身的全生命周期管理，例如涉密载体制作、收发与传递、使用、复制、保存、维修、销毁等全过程进行风险识别，避免风险遗漏，造成安全管理漏洞。

4 保密风险评估

风险评估方法一般分为定性评估、定量评估、定性与定量相结合的综合评估三种方法。其中，定性评估方法主要是依据个人认知、业务经验、实践案例和政策解读能力，对不可量化的系统风险状况进行评审和比较的评价方法。优点是简单易行，综合性强，可以综合考虑较多因素，更加全面、深入；缺点是主观性强，弹性较大，难以准确把握，对个人综合能力要求较高。定量评估方法主要通过数据测算，建立数学模型，通过计算分析对象的各项指标及其数值，进行评估分析的一种方法。优点是比较直观，数据客观，且具有可对比性；缺点是部分指标难以量化，操作起来往往有一定困难，一般只针对单一场景环境进行分析，评估结果不能泛用只作参考。

本次采用综合分析方法，以定性和定量相结合，通过评估底层各元素可能受到的危害，来量化总体风险。主要参考依据为《信息安全技术信息安全风险评估规范》（GB/T 20984-2007），涉及资产、威胁、脆弱性三个基本要素，通过对各要素进行赋值，并依据计算标准，确定风险等级[2]。

第一步，计算风险事件的可能性

计算公式如下：安全事件发生的可能性=（威胁×脆弱性）的平方根。其中，威胁、脆弱性的赋值标准分别详见表1、表2。

表1 威胁赋值表

表2 脆弱性严重程度赋值表

第二步，计算风险事件的损失

计算公式如下：安全事件的损失=（资产值×脆弱性）的平方根资产值的赋值标准详见表3。

表3 资产价值表

第三步，计算风险值，确定风险等级

计算公式如下：安全事件风险值=（安全事件发生的可能×安全事件的损失）的平方根。风险等级的划分标准详见表4。

表4 风险等级划分表

根据计算得出的风险值，确定相应级别的风险等级，并针对不同风险等级，确定相应风险应对策略。

风险评估的重点还是分析出项目全过程的主要面临的威胁因素，资产构成情况以及脆弱性，这基本是以定性分析为主，其中具体数据按照定量分析的方法以实际监督检查过程获取的数据为依据，综合分析后识别有效风险点，最后再依据分析结果制定保密风险对策。

5 保密风险对策分析

5.1 建立基于全生命周期的涉密项目管理办法

一般而言，企业均已制定本企业的保密管理制度，但是很多企业保密管理制度过于宏观和笼统，缺乏具体实施办法，尤其对涉密项目管理要求和实际操作流程不够深入、具体，可能导致制度难以有效落地。因此，需要结合智慧城市行业项目全生命周期特点，在保密管理制度的框架下，建立具体的管理办法和操作流程，对项目全过程中的人员管理、场所管理、设备管理、信息公开、各类载体及台账等各方面进行全面要求[3]。

5.2 提升员工的项目全过程保密管理意识

事实证明，很多泄密事件都与员工保密意识不强密切相关，“心不设防”就会“防不胜防”。部分员工认为泄密事件离自己很遥远，对保密工作的严峻性、复杂性和泄密损害性认识不足，理解不够到位，甚至个别员工对保密工作存在抵触心理，大大降低了保密管理的效果[4]。因此，在项目管理的过程中需要持续对员工的保密意识进行强化，可以通过法规宣贯、制度培训、警示教育，以现场讲解、视频宣传、考试测验等多种方式不断提升员工的保密意识，并将保密意识深入融合到项目管理全过程。

5.3 强化项目保密管理的监督检查

通过对各类泄密案件分析，无论是涉密设备、涉密载体的丢失，还是泄密人员和涉密场所管理的失控，都存在保密制度徒有其表、管理流于形式的情况。企业应加强保密管理的监督检查，深入排查涉密项目管理过程中存在的问题和风险隐患，要建立多维度监督检查机制，如项目现场设置项目保密管理员，负责项目日常保密检查，保密管理部门每季度进行抽查，保密工作领导小组半年度进行全面检查等。检查范围要涵盖到不同项目生命周期的所有环节[5]。对于发现的泄密隐患，及时组织整改，要从隐患事项本身整改，举一反三整改，源头整改三个维度入手，将泄密隐患彻底消除，同时还要及时对整改效果进行跟踪评价，确保所有隐患整改到位，形成闭环。

5.4 建立保密责任追究机制

建立企业内部保密责任追究机制，依据“谁主管、谁负责”的工作原则，将保密责任层层落实，对责任落实不力、制度执行不到位的领导和个人，必须坚持原则，严肃问责，发现一起，查处一起，依法追究直接责任人员和领导责任人员的责任，不以过失行为规避责任追究，不以批评教育代替行政处分，对不宜留在涉密岗位的人员，坚决予以调离，以严肃问责推动保密管理各项要求严格落实[6]。同时加强案件通报，加大警示教育力度，要引以为戒、防微杜渐、筑牢思想防线。

6 结束语

保密工作是一项基础性、全局性、长期性工作，作为涉密单位，必须具备全局观念，以高度的政治责任感，充分认识新形势下保密工作的重要意义，坚持党管保密的根本原则，维护国家安全，强化企业的保密风险评估能力。保密风险评估的根本是识别确实的保密风险并制定有效的风险对策措施，综合性的评估方法只是工具，此工具既可以识别风险，也可以对风险对策措施进行验证，更重要的是系统性的识别涉密项目全过程的风险并且验证风险对策措施确实有效。同时，随着企业内外环境不断变化，风险识别、风险评估和风险应对也应是一个动态管理过程，通过持续改进，不断提升企业保密管理水平。