信息是資產，是資產就有被竊取被破壞的可能。信息儲存、流通的系統和設備，接觸信息的人，管理信息的方式……凡與信息相關的環(huán)節(jié)，都存在威脅信息安全的因素，都需要用多重手段精心防范--
隨著軍隊物資采購機構信息化建設的不斷推進，信息系統已經成為當前采辦系統的核心組成部分。信息安全風險直接影響到軍隊物資采購系統為軍隊用戶提供服務和對各類供應商等采購實體進行管理的能力。而在關鍵時刻，個別重大的信息系統發(fā)生故障或癱瘓，還可能給整個軍隊后勤保障帶來不可挽回的損失。
當前，軍隊物資采購系統根據總后關于信息化建設的精神，建立了依托于軍隊內部的指揮自動化網、軍隊綜合信息網等內部指揮控制網絡、辦公網絡、業(yè)務管理網絡等信息服務和指揮網絡，為軍隊采購管理單位、采購業(yè)務單位、科研和教學單位、軍內終端客戶提供廣泛的信息服務。實施信息安全管理，不僅能夠有效地提高信息系統的安全性、完整性、可用性以及相關應急采購任務的快速反應能力，同時也是保障軍隊物資采購系統科學發(fā)展、為軍隊提供最優(yōu)保障力的重要手段。
面對信息安全三大風險
在軍隊物資采購活動中，存在各種各樣的風險，都對采辦的結果產生不同程度的影響。根據風險產生對象的不同，將風險分為人為風險、系統風險、數據風險等三個方面。
人為風險 人是信息安全最主要的風險因素。不適當的信息系統授權，會導致未經授權的人獲取不適當的信息。采購人員操作失誤或疏忽會導致信息系統的錯誤動作或產生垃圾信息；違規(guī)篡改數據、修改系統時間、修改系統配置、違規(guī)導入或刪除信息系統的數據，可能導致各種重大采購事故的發(fā)生。有令不行、有禁不止等人為因素形成的風險，是軍隊物資采購信息安全的最大風險。
系統風險 系統風險包括系統開發(fā)風險和系統運行風險。在采購項目開發(fā)過程中沒有考慮到必要的信息系統安全設計，或安全設計存在缺陷，都會導致采辦信息系統安全免疫能力不足。沒有完善、嚴格的生產系統運行管理體制，會導致機房管理、口令管理、授權管理、用戶管理、服務器管理、網絡管理、備份管理、病毒管理等方面出現問題，輕則產生垃圾信息，重則發(fā)生系統中斷或信息被非法獲取等問題。
當前的采購信息系統已是一個龐大的網絡化系統，在網絡內存在眾多的中小型機、服務器、前置機、路由器、終端設備，也包括數據庫、操作系統、中間件、應用系統等軟件系統。網絡系統中的任何一個環(huán)節(jié)都有可能出現故障，一旦出現故障便有可能造成系統中斷，影響業(yè)務正常運作。同時，由于自然災害、戰(zhàn)爭等突發(fā)事件造成的系統崩潰、數據載體不可修復性損失等等，都會給采購信息系統帶來很大的影響。
數據風險 數據是信息的載體，也是軍隊物資采購系統最重要的資產。對數據的存儲、處理、獲取、發(fā)布和共享均需要有一套完整的流程和審批制度，沒有健全的數據管理制度，便存在導致數據信息泄露的風險。
做好信息安全工作三項內容
信息安全的含義在不同的環(huán)境情況下各不相同。在國際標準ISO17799信息安全標準中，信息安全是指：使信息避免一系列威脅，保障商務的連續(xù)性，盡量減少業(yè)務損失，從而最大限度地獲取投資和商務的回報。
對于軍隊物資采購系統，信息安全管理則應該堅持系統和全局的觀念，基于平戰(zhàn)結合、立足應急保障的思想來建立起安全管理體系。通過系統、全面、科學的安全風險評估，體現“積極預防、綜合防范”的方針，強調遵守國家有關信息安全的法律法規(guī)及其他合同方要求，透過全過程和動態(tài)控制，本著控制費用與風險平衡的原則，合理選擇安全控制方式，保護關鍵信息資產，使信息風險的發(fā)生概率降低到可接受的水平，確保信息的保密性、完整性和可用性，保持組織業(yè)務運作的持續(xù)性。
保密性 信息安全的保密性，在確保遵守軍隊保密守則規(guī)定的前提下，確保涉密信息僅可讓授權獲取的相關人員訪問。結合當前的狀況，軍隊物資采購系統的信息安全保密應當做到：嚴格分崗授權制衡機制，杜絕不相容崗位兼崗現象；嚴格用戶管理和授權管理，防止非法用戶、用戶冗余和用戶授權不當；加強密碼管理，防止不設口令或者口令過于簡單；加強病毒防范管理，防范病毒損害；控制訪問信息，阻止非法訪問信息系統；確保對外網絡服務得到保護，阻止非法訪問網絡；檢測非法行為，防范道德風險；保證在使用移動電腦和遠程網絡設備時的信息安全，防止非法攻擊。
完備性 信息安全的完備性，是指系統信息準確且具備完善的處理方法。具體要求是：嚴格采購業(yè)務流程管理，確保采購業(yè)務流程與采購信息系統操作流程完備一致；嚴格控制生產系統數據修改，防止數據丟失。防止不正確修改，減少誤操作；嚴格數據管理，確保數據得到完整積累與保全，使系統數據能夠真實、完整地反映采購業(yè)務信息；嚴格按照軍隊關于物資采購的規(guī)定和要求操作，減少或杜絕非招標業(yè)務；避免任何違反法令、法規(guī)、合同約定及易導致業(yè)務信息與數據信息不一致、不完整的行為。
可用性 信息安全的可用性，要求確保被授權人可以獲取所需信息。具體要求是：加強生產系統運行管理，確保生產系統安全、穩(wěn)定、可靠運行；加強生產機房建設與管理，保障機房工作環(huán)境所必需的濕度、溫度、電源、防火、防水、防靜電、防雷、限制進入等要求；加強生產系統日常檢查管理，及早發(fā)現故障苗頭；加強系統備份，防止數據損失；嚴格生產系統時間管理，禁止隨意修改生產系統時間；保障系統持續(xù)運行；實施災難備份，防止關鍵業(yè)務處理在災難發(fā)生時受到影響。
信息安全管理需專門制度和機構
信息安全機構 軍隊物資采購系統應分出專人專職來負責信息安全管理工作，并協同上級業(yè)務管理單位制定信息安全管理制度和工作程序，設定安全等級，評估安全風險程度，落實防范措施，提出內控體系整改方案與措施，監(jiān)督和評估信息安全管理成效。在與上級總部和軍區(qū)、軍兵種物資油料部管理機構之間還要有一個快速響應的信息安全事故收集、匯總、處理及反饋體系。
信息安全管理制度與策略 信息安全管理制度應針對軍隊物資采購系統現狀與發(fā)展方向來制定，要充分考慮可操作性。現階段可根據“積極防御、綜合防范”的方針，制定內部網、OA網、外部網的管理辦法，明確用戶的訪問權限。制定生產系統運行管理辦法，嚴格實行分崗制衡、分級授權，嚴格執(zhí)行生產系統時間管理、備份管理、數據管理和口令管理。
信息安全分級管理 信息安全分級管理，是將信息資產根據重要性進行分級，對不同級別的信息資產采用不同級別的信息安全保護措施。國家已將信息安全等級保護監(jiān)督分級，分別為自主性保護、指導性保護、專控性保護等，軍隊物資采購系統可以結合實際情況，將信息資產分為“三級”或“五級”保護，目的在于突出重點，抓住關鍵，兼顧一般，合理保護。分級管理的方法是分析危險源或危險點，評估其重要性，再分設等級，從而采取不同的保護措施。比如，對于采購機構業(yè)務機房，可采取門禁與限制進入等方式進行保護；針對采購中相關數據的提供，可設計一定的審判流程，根據數據的重要程度，分類為公開信息、優(yōu)先共享信息、內部一般信息、內部控制信息、內部關鍵信息和內部核心信息，實施嚴格的授權控制；對于信息安全事故，可分為重大事故、一般事故、輕微事故等，采取不同的處置方案。
信息安全集中監(jiān)控與處置 設立集中運行的信息安全監(jiān)控處置中心，及時監(jiān)控、發(fā)現安全事故，做到響應快速、處置果斷，并實施應急恢復。結合軍隊物資采購系統當前實際情況，可對網絡、服務器等運行設備進行集中監(jiān)控，開展服務器容量管理、網絡流量監(jiān)控；對應用系統采取防范與監(jiān)控相結合的方式，對信息系統的數據設置校驗碼，防止非法修改；在開發(fā)應用系統的同時，還應開發(fā)相應的審計檢查監(jiān)控程序，由各單位分別運行和維護，由上級采購管理機構定期查驗和監(jiān)督，及時發(fā)現數據信息存在的風險。
科學構建信息安全管理系統
實現信息安全管理的集中運行，需借助信息安全管理系統。各軍隊采購機構和部門可以按照上級下達的統一標準，構建基于同一操作平臺的信息安全管理系統，幫助安全管理中心實現系統的監(jiān)控、分析、預警等功能，實現信息安全事故處理的收集、存儲、分析等功能，及時對信息風險作出反饋。
監(jiān)控功能 為采辦機構和部門的相關信息處理和傳輸設備配置專人管理，并設置機房日志管理、服務器性能日志管理、服務器容量日志管理、數據修改日志管理、流量監(jiān)控日志等功能，并酌情設置數據檢測結果日志管理功能。通過對存儲、傳輸和刪改的操作進行管理，達到監(jiān)督控制的目的。
處理功能 根據采辦單位所在環(huán)境和情況，自主設置安全事故報告、響應、處置等采辦信息管理功能，對于高級別信息，也可以采用每天零報告措施。通過信息處理的簡化、優(yōu)化和快速反應，提高信息安全保障能力，從而保證軍隊采購的正常進行。
安全等級管理功能 針對采辦單位自身特點，設置信息資產、危險源、危險點定義與分級功能，對于不同級別的信息安全危機設定不同的保護等級，并采取不同的保護措施、監(jiān)控措施、事故響應與處置措施，保證系統的穩(wěn)定性和完好性。
安全預警改進功能 根據日常監(jiān)控的結果和事故處理經驗，設置靈活細分的預警指標，由系統自動分析提出預警，從而建立信息安全監(jiān)控、分析、預警、處置、改進等不斷循環(huán)優(yōu)化的信息安全管理體系。
來源：政府采購信息網
