引言
检察机关坚持以信息化为主导，在检察专线网、局域网和互联网门户网站等基础建设卓有成效的基础上，依托网络基本实现了公文传输、公文流转、信息发布，同时积极推行网络化的案件办理和队伍管理、电算化的财务应用和装备及资产管理。这些应用的开展大大提升了检务保障的能力，有利推动了检务公开、在线处理信访等便民服务，有力地促进了办公自动化、办案现代化和管理科学化，提高了检察工作质量、效率和管理水平。随着检察信息化不断深化，各类业务应用存在被非法窃听、截取、篡改或破坏的危险，信息系统安全保密运行已成为当前检察信息化领域的重要课题，如果不能很好地解决信息安全保密问题，必将阻碍检察机关信息化发展的进程。因此，做好等级保护工作，推进检察机关信息安全保障已成为检察信息化工作的重要内容。
1 .等级保护的政策背景
信息系统等级保护制度是在经历长期的过程后，近几年才在全国范围内大幅度推进。1994年颁布的《中华人民共和国计算机信息系统安全保护条例》就明确提出了对信息系统进行等级划分以及等级保护的理念；1999年颁发的《计算机信息系统安全保护等级划分准则》明确了相应的等级保护标准；2003年7月，《国家信息化领导小组关于加强信息安全保障工作的意见》又提出“综合考虑网络与信息系统的重要性、涉密程度和面临的信息安全风险等因素，进行相应等级的安全建设和管理”，使等级保护工作进入到实质性开展阶段；2004年，公安部与国家保密局、密码管理局、国务院信息办四部委联合会签并印发了《关于信息安全等级保护工作的实施意见》对信息安全等级保护工作提出了具体的实施意见；中共中央保密委员会印发的《关于加强信息安全保障工作中保密管理的若干意见》提出建立涉密信息系统分级保护制度。
2005年9月，国信办正式发布《电子政务信息安全等级保护实施指南》从标准的角度进一步推动着等级保护工作；国家保密局印发了《涉及国家秘密的信息系统分级保护管理办法》初步提出了涉密信息系统分级保护管理办法，2006年2月，四部委又联合印发《信息安全等级保护管理办法》，制定了信息安全等级保护管理办法，到2007年6月，在《信息安全等级保护管理办法》实行一年后，正式印发了该管理办法，提出了信息安全等级保护具体的管理办法和定级指导意见。同年7月下发的《关于开展全国重要信息系统安全等级保护定级工作的通知》全面、系统地对等级保护工作进行了部署。根据管理办法，涉密信息应当依据信息安全等级保护的基本要求，按照有关涉密信息系统分级保护的管理规定和技术标准，结合系统实际情况进行保护。
2 .检察信息系统的分级保护
检察专网是经国家保密局确定的涉密网络，运行于检察专网上的信息系统大部分是重要的涉密信息系统，应严格按照分级保护要求和分级保护设计指南做好分级保护工作。在开展分级保护工作时，可按照系统定级和分域、方案设计和实施、系统评测、运维保障等四个步骤来组织进行。
2.1 系统定级和分域
系统定级主要是按照国家秘密信息所定义的秘密级、机密级和绝密级三个密级对涉密信息系统确定保护等级。涉密信息系统应根据系统所处理的信息的最高密级，对应国家秘密信息的密级确定为相应的保护等级。根据检查机关实际情况涉密信息系统按照所处理信息的最高密级，由低到高分为秘密、机密两个等级，其中机密等级可根据信息系统使用单位的行政级别和对国家安全的重要程度、所定密级信息含量的多少、使用单位的依赖程度作一般或增强防护的实施。
系统分域是对一个大型复杂的信息系统，按照业务应用数据部署在不同区域和不同安全等级的保护需求，将其划分为进行不同安全保密等保护的安全域，同一安全保密等级域的信息系统采用相同的安全保密保护策略，不同的安全保密等级域的信息系统间应有严格边界及策略保护。检察机关信息系统是一个全国性的信息系统，既有基础网络通信平台、计算机环境平台，又有多种业务应用平台，这些应用的安全保密等级不同，所应采取的安全保密保护策略也不同，具体到每个单位每个部门的信息系统如何分域，则应根据自身实际情况，进行仔细分析认真研究，可把每个单位的所有信息系统整体设为一个独立的安全保密域，也可根据业务应用对安全保密的要求将业务应用平台细分为工作秘密、秘密、机密等不同保护等级的安全保密域。
2.2 方案设计和实施
方案设计应严格按照BMB23-2008的标准要求，依据最高人民检察院制定的《全国检察机关涉密信息系统分级保护总体方案》，按照信息系统所定保护等级，在对系统进行系统分析、安全保密风险分析和安全保密需求分析的基础上，按照“缺什么补什么”的方针，从技术和管理两个方面采取不同的安全策略措施，确保将检察机关信息系统建设成符合国家相关法规和标准的涉密信息系统。
技术要求包括物理安全、网络安全、主机安全、应用安全和运行安全等5个方面，管理要求包括基本管理、人员管理和系统运行管理等3个方面。
2.2.1 技术要求
1）物理安全
（1）物理隔离。通过加强管理的方式和部署违规外联检测系统来保证检察专网与因特网及其它公共信息网的物理隔离；（2）环境安全。按照GB9361-1988的要求进行机房、重要涉密部位的建设和改造，部署电子监控系统、使用电子门控系统进行环境安全监控；（3）设备安全。使用电子门控、建立设备台帐和标识、调整设备摆放和安装位置，对设备数据接口采取有效控制措施；（4）介质安全。只有注册授权才能使用，对使用的介质的密级属性和用途进行规范标识、统一造册，介质使用除制定明确保密规定严禁介质内外网混用外，可采用移动存储介质使用管理系统来进一步控制；（5）电磁泄漏发射防护。建设屏蔽机房和配置屏蔽机柜，部署电磁泄漏发射防护系统，对信息设备、传输线路的电磁泄漏进行防护。
2）网络安全
（1）安全域边界防护。在安全域边界部署防火墙、入侵检测系统等设备并配置访问控制策略进行边界防护；（2）密码保护措施。对信息传输、可移动设备的外部使用进行加密保护。在网络边界部署普通密码设备，在终端安装加密卡，通过密码设备实现传输密码保护；（3）系统安全性能检测。设定安全性能检测策略，定期对信息设备进行安全扫描，及时发现安全漏洞，根据扫描结果及时采取补救措施。采用保密检查工具对于违规联网、介质混用、违规存储处理涉密文件等违规操作行为进行定期检查；（4）访问控制。加强访问控制策略和访问控制粒度，实现网络中信息节点逻辑上尽量隔离，保证敏感区域的数据安全。必要时配置安全隔离与信息交换系统来控制高密级信息流向低等级安全域。
3）主机安全
加强操作系统的自身安全、访问控制、系统漏洞等安全措施，明确操作系统补丁分发系统策略、安装防（杀）毒软件，及时更新操作系统补丁和病毒库。
4）应用安全
（1）安全审计。制定审计策略，实现审计记录存储、查阅、保护等功能；（2）信息完整性校验。制定信息完整性校验策略，加强涉密信息传输完整性和涉密信息系统存储完整性；（3）数据库安全。采取措施对数据库进行安全加固；（4）抗抵赖。采用数字签名技术，实现信息交换的抵赖功能；（5）身份鉴别。制定身份鉴别策略，对身份标识符、鉴别方式、口令强度和复杂度及更换周期、重鉴别、鉴别失败、可移动设备的鉴别等有相应安全策略并进行配置。在实施系统过程中一般系统可采用“用户名+口令”方式，重点系统应采用“USB Key+PIN码”或“密码卡+用户名+口令”鉴别方式；（6）强制访问控制。建立信任体系，实现在不同等级安全域之间的访问控制。
5）运行安全
（1）备份与恢复。加强备份与恢复需求分析，做到涉密数据、关键业务数据、关键业务设备、网络核心设备、主干线路都有备份措施，电源系统采用UPS电源和双路供电备份手段。制定系统恢复预案，可快速做到信息系统恢复与重建；（2）病毒与恶意代码防护。部署网络防病毒系统，加强防护策略、防护范围、防护措施，提高防护能力，病毒库更新采用一次性关盘刻录导入；（3）操作系统漏洞库控制。建立补丁分发系统，制定分发策略，补丁库更新采用一次性关盘刻录导入；（4）非授权设备违规接入控制。对暂不使用的网络接口采取物理断开措施。通过交换机设置IP地址与MAC地址绑定，防止非授权设备违规接入。
2.2.2 管理要求
1）基本管理。完善安全保密管理机构和配齐规范要求的安全审计员、系统管理员、安全保密管理员等“三员”，根据需要增设密钥管理员，明确相应职责。建立设备采购选购的保密机制，制定和执行信息系统安全规划、策略、标准、流程、应急计划，组织建立健全的信息安全管理规章制度。
2）人员管理。对内部工作人员按保密要求进行录用、明确岗位职责、签订保密协议、组织必要的安全保密教育培训、进行必要的保密监管、保密要求知会。对外部相关人员实行安全控制区域隔离、携带物品限制、旁站陪同控制等安全措施。
3）系统运行管理。加强对周边环境安防监控和出入控制，对涉密场所进行安全巡防巡查，对设备、设施进行定期检修检测和加强线路、线缆保护，对设备操作使用、收发与传递、保存保管、维修报废进行规定，对系统运行使用、应用系统开发和异常事件处理等方面制定章程，对信息分类与控制有规范，对用户管理、权限分配、信息系统互联有控制。
2.2.3 系统测评
建设完成后，必须经过测评，测评机构为国家保密授权的系统测评机构，一般为涉密信息系统测评中心或各地分中心。测评按照《涉及国家秘密的信息系统分级保护测评指南》执行。
2.2.4 运维保障
1）日常运维工作。建立和完善运维保障日志记录，加强对网络状况进行监测，及时分析、处理安全事件，定期查询设备日志。建立安全管理中心对信息系统中各种系统、应用、设备、安全产品进行集中管理和监控，达到全面安全保密管理的目标。
2）应急响应。制定应急计划和响应策略，进行应急响应培训和应急响应演练。
3.结束语
为保障监察机关信息系统安全可靠，必须加强网络与信息系统安全保障工作的检查和监督，制定具体的信息安全防护策略，全面落实各项制度、预案。坚持科学发展观，不断强化信息安全观念，明确发展战略，加强技术积累，采取有效措施，切实加强网络与信息系统安全保障工作，确保检察机关信息系统的安全稳定运行。