烟草行业信息安全论文

一、重庆烟草信息化及网络建设现状简介

(一)重庆烟草行业信息化现状

按照《重庆烟草行业“十二五”信息化总体规划》的部署，重庆烟草“智慧渝烟”应用平台于2012年正式上线，实现了“系统集成、资源整合、信息分享”的目标。“智慧渝烟”平台实现了“一个看板、两个空间、三类集成、五大中心”的功能集成(图2)。移动云平台是“智慧渝烟”在移动互联网端的扩展，基于智慧渝烟应用平台的云中心，构建移动管控平台，实现客户端五大应用(图3)，集成了移动OA、内网信息、数据看板、日程管理、企业邮箱、沟通协作、网盘、云笔记等功能。

(二)重庆烟草行业网络现状

重庆烟草行业建设了覆盖全市所有区县的广域网，中心机房设置在重庆市公司，在物流公司设置了灾备中心。主要链路有三条:VPN主链路和备用链路，ATM灾备链路。各单位一般又设置专线到基层业务单位，Internet互联网接入由各单位自行选择运营商接入。在管理手段上，行业要求各单位按照规定使用固定IP地址，部署了网络防病毒软件，投资更新了防火墙等网络安全设备，各单位网站不对互联网开放统一由智慧渝烟集成等措施。

二、可能存在的信息安全风险

从行业信息化及网络现状来看，行业对于信息安全的重视程度以及管理措施足够到位，多年来行业也未发生严重的信息安全事件。但自从“棱镜门”事件发生以来，国内信息安全形势面临前所未有的考验，从居安思危、防范未然的角度，笔者尝试分析行业依然可能存在的信息安全风险以供探索。

(一)因接入方式增多带来的风险

1．广域网层次过多监管复杂

行业广域网从市公司到区县分公司再到各下属站点，接入层次大多在三层以上，每层级之间主要通过运营商提供VPN连接。自主的安全防护主要是在市公司和区县公司的防火墙等设备。此网络连接方式的主要风险在于:第一，最下层的接入点只能借助区县公司的防火墙与互联网隔离，但若下层计算机被入侵或者设置被他人盗用则很难从内部监控中发现异常。内部员工如果访问非法网站、不合适的言论等行为也不易被发现和追查。第二，各层次间的VPN连接主要由运营商提供，对行业用户而言完全透明，但隐患却在于我们把安全防护完全交给了运营商，一旦对方发生安全事件也有可能会波及行业。

2．接入方式发生剧变

近年来，移动互联网的飞速发展造成智能手机等移动终端的上网需求激增，有些单位也部署了无线WI－FI以满足员工的需求。但同时因为无线网络不受特定场所限制的特性，安全风险随之而来:有些WI－FI热点密码过于简单甚至没有密码，造成单位外部的设备也进入了行业网络;WI－FI广播名称太暴露自身，可能会引起一些“黑客”的兴趣尝试破解接入口令;可能还存在一切员工使用360随身WI－FI之类设备来方便自身上网，但又忽略信息安全造成设备被其他人“蹭网”接入行业网络。以上风险都很难通过行业现有的网络安全设备进行监控和防范。

(二)使用不安全设备或者软件系统造成后门和漏洞的风险

“棱镜门”事件以来，被爆料受到美国“棱镜”监控的主要有10类信息:电邮、即时消息、视频、照片、存储数据、语音聊天、文件传输、视频会议、登录时间和社交网络资料的细节。通过棱镜项目，美国安局甚至可以实时监控一个人正在进行的网络搜索内容。美国几大主要的IT公司微软、雅虎、谷歌、Facebook、YouTube、Skype、苹果都牵涉其中，硬件巨头英特尔和网络设备巨头思科也遭受严重怀疑。大量的软硬件后门、漏洞尚未被完全列出。再看行业内部虽然网络设备大量采用国产设备，但仅限于核心设备，各单位二层交换机、无线设备等尚未统一管理。而其他软硬件则更加依赖英特尔、微软、谷歌、苹果等巨头提供的设备以及服务。移动云平台的推广普及带来了大量苹果和谷歌设备的接入，这是以前行业网络中很少存在的。如何在普适性和安全性之间做出最好的抉择，是行业需要深思的问题。

(三)非统一的互联网接口带来的风险

目前行业各单位的互联网接口均为自行选择运营商接入。各单位的接入类型、带宽、服务都有区别，不同的运营商在互联网端的防护和审核方式也各有不同。真正在风险在于如果某个单位的互联网接入因为其自身或者运营商防护等级过低造成网络安全事件，则很有可能“城门失火，殃及池鱼”，造成影响其他单位甚至整个行业的信息安全事件。

(四)“智慧渝烟”平台集成应用可能造成数据泄露的风险

“智慧渝烟”平台极大地提高了员工的工作效率，但部分员工信息安全意识不到位，存在忘记退出登录、离开时不锁定电脑等习惯，造成“智慧渝烟”单点登录成为数据泄露的风险。如果一名关键岗位的员工因为没有退出“智慧渝烟”登录并锁定电脑而离开，被别有用心的人使用其计算机盗取行业各个系统中的行业机密，其损失将十分严重。

(五)操作系统陈旧带来的风险

2014年4月8日，微软公司正式停止了对于Windowsxp的技术服务。在中国使用人数最多的操作系统将不再会得到其开发者的更新，因而Windowsxp成了很多黑客团体心目中的“肥肉”，任何Windowsxp中尚未被发现及修复的漏洞都可能会成为被攻击入侵的目标。就笔者所在的单位来说，使用Windowsxp的计算机比例达60%以上，这些计算机都有可能成为黑客攻击的“肉鸡”或者数据泄露的后门。

(六)系统架构陈旧带来数据损坏的风险

行业开展信息化建设十多年来，通过各类使用的系统积累了大量的烟农、零售客户、烟叶种植、生产、销售、物流等环节的数据，大部分的系统都是基于传统的B\S或者C\S架构大量数据都保存在服务器上。随着技术的进步、每日海量数据要求系统具备极高的处理能力和吞吐量，从目前行业各大系统的用户体验看，诸如网络营销平台、财务系统已经存在高峰期操作卡顿、数据丢失等问题，同时单一的或者简单的镜像服务器在遭受严重网络攻击或者自然灾害时的抵抗力会比较弱容易造成数据损坏或者泄露等风险。

三、可供参考的解决思路

针对以上提到的安全隐患，本文提出一些粗浅的解决思路。首先需要明确一个概念:所谓的信息安全是相对的，不安全或者风险才是绝对的。要想实现最大程度的安全，绝对不是一套生硬的办法就能解决的，而是需要与时俱进、实时调整的。安全是人、流程和技术三合一体的产物，这三方面的因素都需要考虑，而针对目前情况可考虑采取的措施有以下几点。

(一)建立灵活的信息安全管理机制和严格的信息安全管理办法

首先，是机制问题。行业的信息安全管理机制尚比较传统，应对如今一日千里、瞬息万变的信息化动态可能已显反应不足。在如今人人都是信息设备的使用者的情况下，建立一套人人都能用好信息系统、理解信息风险、做到信息安全的机制才是重中之重。其次，是制度问题。随着信息安全日新月异的发展，行业的信息安全制度应与时俱进，突出“新”字，着重解决当前出现的新问题、新风险，至少应每年完成一次修订，根据当前面临的信息安全形势做到合理增减。同时，在制度执行上应严格，涉及安全的诸多项目应实行“一票否决制”，解决安全上的短板，重要的项目要与考核挂钩。最后，面对可能出现的信息风险，还应做好必要的应急演练，帮助员工明白遇到信息安全事件时第一时间该如何正确应对，以免出现手足无措甚至造成事件升级的情况。

(二)行业广域网的安全防范

针对广域网层次多涉及可能的入侵和盗用等问题，行业使用的基于包过滤的传统防火墙很难起到充分的防护作用，可考虑增加行为审计管理，网络安全审计设备具备针对互联网行为提供有效的行为审计、内容审计、行为报警、行为控制及相关审计功能。从管理层面提供互联网的有效监督，预防、制止数据泄密。能满足用户对网络行为审计备案及安全保护措施的要求，提供完整的上网记录，便于信息追踪、系统安全管理和风险防范。配合防火墙既可以识别外部的非法入侵和内部的非常规操作，也可以防范和审查合法内部用户的非正常行为，确保不发生行业员工利用行业网络进行非法活动的事件，也增强了抵御因运营商VPN出现问题被波及的能力。针对如WI－FI等接入方式增多的问题，首先应充分尊重员工移动办公的合理诉求，利用移动云平台管控平台等系统加强后台管理。其次应在信息安全制度中规定好合规的WI－FI信号，尝试使用WI-FI准入登记系统，做好移动接入者的登记审核并针对移动终端做出相应的限制，如尽可能地减少写入权限、限制核心资源的访问等等。最后对于部分员工私自建立的WI－FI、上网共享等应禁止，防止不可预料的风险发生。

(三)提高国产网络设备的使用率减少“后门”等漏洞

目前如华为、中兴等国产网络设备在性能上完全可以替代美国的思科等设备，安全性更有保障，还具备更好的性价比。行业应适时建立网络设备准入制度将有监听后门的设备拒之门外。在使用微软、谷歌、苹果等在市场尚难替代的软硬件服务商的设备或服务时，应尽量关闭其不必要的功能。为预防可能发生的系统漏洞应做好网络监控和信息取证，在必要的时候用法律武器来保护自身权益。对于极其保密的信息，必要的时候甚至可以自主开发加密协议和程序，这样以来即是数据被盗取也增加了对方破解的难度减少行业产生损失的可能。

(四)建立统一的行业互联网接口

针对目前行业互联网出口不统一带来的各种风险，行业可考虑建立统一的互联网接口，方案有两种可参考:

1．取消行业各单位的互联网接口，由市公司统一接入。

其优点在于全行业互联网接口统一管理，市公司可以在网关处布置性能强大的防火墙和行为审计系统，全行业的上网行为可以得到规范统一的管理。只有一个互联网接口，受网络攻击的风险相对较小，即使遇到攻击也更容易应对。缺点是行业现有广域网负载会极大的增加以至于成为整个网络的瓶颈，需要较大投入进行升级改造同时日常网络费用开销也会增加。

2．依旧在各单位设置互联网接口，但是由行业统一确定运营商，并要求其按照集团客户的需求对各单位的互联网接口作统一的设置和安全部署。

其优点是网络不存在瓶颈，费用较方案1低廉。缺点是统一管理相对复杂，需要各单位网络管理人员配合管理，因为互联网接口更多，风险也相对方案1高一些。

(五)培养员工更高的信息安全意识和良好的工作习惯

安全是人、流程和技术三合一体的产物，这三方面的因素都需要考虑，但最关键的因素还是人。行业用户需要具备辨别不安全的应用以及了解一些针对设备的潜在的威胁，同时还应具备应对这些风险的能力。用户培训的建议:不要使用盗版或者破解的应用程序;不要与陌生人共享应用程序;设备当前不使用的功能应尽量关闭;离开计算机时应退出智慧渝烟系统并锁定计算机;及时更新计算机及移动设备的操作系统程序和安全程序。必要的场合行业可以考虑安装视频监控等设备防止行业办公计算机被他人非法使用及盗取信息。

(六)加快操作系统更新步伐和建立异地灾备中心

Windowsxp注定将很快结束其生命进程，行业也应该加快更新老旧操作系统的步伐。暂时还在使用xp的计算机应尽量不配备在关键岗位，应安装国内第三方支持更新补丁的安全软件。行业还应未雨绸缪，新一代的Windows8并未得到政府采购的许可，说明其系统安全可能存在隐患，需考虑将来采取Linux等其他操作系统的可能。加快异地灾备中心的建设，防止因为自然灾害等因素造成的数据丢失。

(七)利用新技术新方法建立更加完善的信息安全体系

相对于传统的防火墙等“守门员”式的信息安全防护系统，将来的信息安全系统可能是立体的、基于大数据的系统，信息安全部门能够迅速的发现发生在其管理网络任意位置的信息安全事件。所谓大数据安全即是指管理者能够得到足够的甚至是全部的数据而非传统的通过采样而得到数据。利用大数据思维建立的信息安全体系来应对大数据时代可能的信息安全隐患应该是一可行的办法，现列出行业可采取的能够获取大数据的行业信息安全解决方案模型以供参考。以数据资产为中心、泄露风险为驱动，依据用户具体应用场景:数据库、文件服务器、应用系统、PC终端、智能终端等按需提供针对性数据泄露防护解决方案，并将实时监控数据进行收集和计算，发现异常时系统能够及时预警并通过计算、比对、搜索等方式自动给出应对处置方法，形成实时、可自行处置已经自学的信息安全防护体系。

作者：刘轲 单位：重庆市烟草公司忠县分公司