关于涉密信息系统工程监理工作的几-省略-息系统工程监理作用的认识存在误区-赵敏

22|保密科学技术|2011年8月技术天地TechnologyWorld赵敏1李敏1，2姜建国21北京华安保信息技术有限公司2国家保密科学技术研究所关于涉密信息系统工程监理工作的几个误区（二）【编者按】涉密信息系统工程监理作为一个新兴的行业，其概念、工作内容、工作范围及作用对很多人来说还比较陌生。作者根据长期涉密信息系统工程监理工作的积累和认识对此项工作存在的几个主要误区进行了探讨。上期中介绍了对涉密信息系统工程监理与信息系统工程监理认识的误区、对涉密信息系统工程监理需求认识的误区，本期继续讨论对涉密信息系统工程监理作用的认识所存在的误区，以进一步理清对涉密信息系统工程监理的认识，更好地为国家涉密信息系统建设和应用服务，确保国家秘密的安全。1涉密信息系统建设的规范性1.1监理工作机构监理项目部是监理公司为了履行委托合同而组建的监理工作机构，对于监理工作机构来说，其目标是高质量、高效率地完成好监理委托合同中规定的监理单位所应该完成的监理任务。监理项目部的组织形式和规模，应根据委托监理合同规定的服务内容、服务期限、工程类别、规模、技术复杂程度和监理公司规模等因素确定。监理单位应于委托监理合同签订后3个工作日内将监理项目部组织形式、人员构成及职责书面通知建设单位。对于监理人员的职责，应区分总监理工程师、总监理工程师代表、专业监理工程师、监理员以及技术支持专家的职责。各岗位的监理人员应执行各自的职责，不可越俎代庖。划分监理人员的职责，应明确监理员无签字权；专业监理工程师在总监理工程师的领导下开展工作，不能代表总监理工程师执行审批；总监理工程师代表的审批权限也是有限的，比如工程暂停令、工程款支付证书、竣工验收文件、审核签认竣工结算、处理索赔和合同争议等文件的签署均不能由总监理工程师代表执行。在工程现场总监理工程师对该工程项目监理工作负全责，各级监理人员须服从总监理工程师的调度和指挥，确保监理工作顺利实施和开展。1.2涉密信息系统工程建设的依据及工程监理的职责涉密信息系统工程建设应立足于建设单位的具体需求，参照建设内容相关的国家法律、法——对涉密信息系统工程监理作用的认识存在误区232011年8月|保密科学技术|TechnologyWorld技术天地规和行业标准，在安全保密风险分析的基础上，按照BMB17-2006《涉及国家秘密的信息系统分级保护技术要求》、BMB20-2007《涉及国家秘密的信息系统分级保护管理规范》和其他保密标准的要求，从物理安全、运行安全、信息安全保密、安全保密管理和安全产品选型等方面进行整体设计，综合采用安全域划分和边界防护、身份鉴别、访问控制、审计监控及电磁泄漏发射防护等技术和管理措施进行建设。建设过程中，监理的主要职责是确保涉密信息系统工程按照合同要求和经过评审的设计/建设方案分阶段实施。但应切忌两点：（1）监理方可全权负责整个项目的设想。涉密信息系统工程不可能由任何一方单独完成建设目标规划，建设单位的参与和配合起着很大的作用，要求监理方全权负责需求的定论工作将会给项目建设带来偏差。工程监理应当从项目规范的角度协调各方的资源，从而对项目的需求进行把握。（2）建设方或工程监理自身把监理方当做承建方的角色。在一些全过程监理项目的前期调研阶段，建设方在工程咨询时往往要求监理方替代承建方进行方案设计、需求调研或进度计划编制；在项目进度滞后的时候，甚至可能被要求进行安装调试工作。这样职责不清就会使监理失去了独立的第三方的监督控制作用，使承建方有借口在发生质量问题或项目延期时推脱责任。2涉密信息系统工程监理的工作重点2.1涉密信息系统工程监理内容涉密信息系统工程监理的工作对象为新建、改建和扩建的涉密信息系统工程。主要范围包括：综合布线系统建设、网络中心机房建设、屏蔽机房建设、保密安防监控系统建设、网络系统集成、应用系统建设、安全保密系统集成和安全保密管理制度体系建设等方面。涉密信息系统工程监理的内容，是对信息系统工程的安全保密、质量、进度和成本进行监督，对项目合同和文档资料进行管理，协调有关单位间的工作关系，可以概括为“四控”（即安全保密控制、质量控制、进度控制和成本控制）；“两管”（合同管理和文档管理）和“一协调”。由于涉密信息系统安全保密目标相对于其他目标来说具有总体性和基础性，是贯穿于整个项目各阶段始终不变的原则性目标，因此可以认为安全保密控制是其他三个目标控制的总体目标，也是整个项目最为重要和需要高度重视的目标。涉密信息系统工程项目的质量、进度和成本是一个既统一又相互矛盾的目标系统，在确定每个目标值时，都要考虑到对其他目标的影响。成本与进度的关系是加快进度往往要增加投资；但是加快进度提前工程项目启用时间，则可增加收入，提高投资效益。进度与质量的关系是加快进度可能影响质量；但严格控制质量，避免返工，则是确保进度的前提。成本与质量的关系是质量好，可能要增加投资，但严格控制质量，可以减少经常性的维护投资；延长工程使用年限，则又提高了投资效益。在此三大目标之间，一般不能说哪个更重要，不同的项目在不同的时期，目标的重要程度是不同的。对于监理工程师而言，应处理好在各种条件下涉密信息系统工程项目目标间的关系及其重要顺序。在确定各目标值和对各目标值实施控制时，都要考虑到对其他目标的影响，要进行多方面的分析、对比，做到既要节约投资，又要质量好，保证进度。力争质量、进度和成本三大控制目标的统一。其中，工程安全可靠性、使用功能目标以及施工质量合格目标必须优先保证，以确保整个目标系统可行，并达到整个目标系统最优化。2.2涉密信息系统工程监理工作方式项目建设过程中，在有限的人力、物力条件下，如何协调好内外资源，保证项目按质、按期完成，需要监理单位灵活运用各种工作方式。涉密信息系统工程的监理工作方式主要有四种：见24|保密科学技术|2011年8月技术天地TechnologyWorld证、巡视、平行检验和工程例会。（1）见证：见证监理是指在施工现场对某些关键部位或关键工序的全过程实施现场跟班的监督活动，在总监理工程师的指导下，由现场监理人员负责实施。监理时间可根据施工进度计划事先做好安排，待关键工序实施后再做具体安排，见证往往出现在那些出现问题后难以处理的关键过程或关键工序，比如综合布线、设备开箱检验、机房建设等方面的工作。（2）巡视：监理人员对正在施工的部位或工序在现场进行定期或不定期的监督。（3）平行检验：工程监理工作机构利用一定的检查或检测手段，在承建单位自检的基础上，按照一定的比例独立进行检查或检测；比如在综合布线阶段，监理工程师除了在隐蔽工程中要见证旁站外，还要通过专业测试仪器对布线质量进行抽测，以便能够分析网络综合布线的效果。另外对于设备进货也要进行现场抽验。（4）工程例会：在工程实施过程中，工程监理工作机构定期主持有合同各方参加的监理例会，并负责起草会议纪要。监理例会检查上次例会决定事项的落实情况，分析未完成事项的原因；检查工程质量和技术方面存在的问题，明确改进措施；提出下一阶段进度目标和落实措施；协调工程建设各方的分歧等。工程监理工作机构需要及时组织专题会议，解决施工过程中的各种专项问题。3涉密信息系统工程监理工作难点3.1安全保密策略制定依据对有关标准的理解和把握，编写文档化的安全保密策略并正确执行是涉密信息系统建设工程的一个难点。安全保密策略是一种处理安全保密问题管理策略的描述，需要对每一个安全保密主题进行描述，探讨其必要性和重要性，解释清楚什么该做，什么不该做。制定文档化的安全保密策略文件，应明确实施安全保密策略的设备、资源和人员，确定系统配置管理权限的划分和变更流程。安全保密策略文件应当由建设使用单位保密委员会批准后下发正式文件，并通过教育和培训，传达给涉密信息系统的全体管理和使用人员，确保安全保密策略文件的各项要求在涉密信息系统的安全保密管理工作中得到正确执行。应当根据环境、系统和威胁变化情况及时调整安全保密策略，调整应当依据风险分析的结果，以不降低涉密信息系统整体安全保密强度，确保国家秘密安全为原则。不应简单地将安全保密产品的部署策略作为安全保密策略文件。3.2安全保密管理制度体系建设夯实制度基础，建立严密、务实、管用的制度体系是安全保密管理制度建设的难点之一。在涉密信息产生、存储、处理、传输、归档和销毁全过程中，应从人员、物理环境与设施、设备与介质、运行与开发和信息保密五个方面制定相应的安全保密管理工作制度。安全保密管理制度应充分考虑建设使用单位的机构设置、机构职责，依据BMB20-2007《涉及国家秘密的信息系统分级保护管理规范》要求（军工单位还应参照“军工保密资格审查认证相关要求”）编写。安全保密管理制度的制定涉及保密、人事、信息化、保卫、密码及相关的业务工作部门，各部门的组织、协调及配合是制度编写能否按时保质完成，满足测评要求并可以落地实施的重要保障。安全保密管理制度是一套管理体系，一项制度可能涉及不同的业务主管部门，很多制度也不能明确地归口到某一个部门。安全保密管理制度体系的建立应由建设单位统筹规划、保密工作管理部门应建立安全保密管理制度框架及基本制度要求，明确部门分工，贯彻“业务谁主管、保密谁负责、制度谁编写”的原则，制定相关的安全保密制度。业务部门应结合本部门机构职责及业务方向，在保密工作机构制定的安全保密管理制度框架及基本制度要求下，编写本部门工作制度(下转至第39页）392011年8月|保密科学技术|ManagementPerspective管理之窗强，则保密也强，绝没有此消彼长的情况，唯有相辅相成、共同前行。（二）把部门兼职保密员视做正规军部门兼职保密员队伍，是分散在各部门的一支保密人才队伍，他们贴近工作实际，能够聆听到最真实的想法，是保密管理的排头兵。因此，他们工作水平的高低与工作的投入程度，直接关系到各部门的保密管理水平。从组织架构上来说，部门兼职保密员并不是归属保密工作机构管理，但是我们必须打消“不好意思麻烦你”的想法，必须将他们视做正规军。因此，要加强对他们的培训。培训不仅局限在管理知识、管理流程、计算机检查技术的培训，更为重要的是“实战演练”——将他们编排分组参与模拟审查和日常检查，参与监考阅卷评分，参与整理保密工作档案等，将他们培养为保密机构在各部门的分身。六、结语管理是相通相近的，他山之石，可以攻玉。融会贯通之中，我们才有机会向着目标大步前进。相信，秉持着这种信念，保密管理将朝向持续提高的方向不断前行。及工作流程。形成以基本制度要求为主的一级制度，各部门执行为主的二级制度的一套安全保密管理制度体系文件。从而使安全保密管理制度真正落到实处，并实现精细化管理。3.3安全保密产品资质证书查验涉密信息系统建设项目使用的安全保密产品应选用国产设备，计算机病毒防护产品应获得公安机关批准，密码产品应获得国家密码管理部门批准，其他安全保密产品应获得国家保密工作部门批准。涉密信息系统建设工程实施过程中，应查验供应商的相关检测证书原件，并查看产品名称和型号是否与证书一致。详细核对产品检测报告，查看产品是否为经过检测的版本、是否存在未通过检测的模块、检测报告中提及产品存在的问题是否经过完善修改，以便依据设计和实施方案正确部署和配置安全保密产品，这是涉密信息系统建设和管理的重点之一。此外，核对产品不仅需要核查产品的名称和型号是否与证书一致，也需要注意与合同上列明的产品报价表的产品名称、规格、数量、附件等是否一致，或是否与设计变更中列出的相一致，只有这样才能对预算成本进行有效控制和管理。3.4应用系统开发在组织开发用于处理涉密信息的业务应用系统时，应从密级标志、身份鉴别、访问控制和安全审计等几个方面进行安全保密功能的同步开发；根据业务应用系统需求，按照保密标准合理划分系统管理员、安全保密管理员、安全审计员及系统用户的权限；涉密信息在涉密业务应用系统内的产生、存储、处理、传输和归档等环节应按照有关保密要求添加密级标志，这是涉密信息系统应用系统开发的薄弱环节。处理涉密信息的业务应用系统与其他安全保密产品和设备配合使用，形成涉密信息系统的细粒度的访问控制，是涉密信息系统建设工程的难点之一。(上接第