信息资源的开发利用是国家信息化的核心任务，是国家信息化建设取得实效的关键，是衡量国家信息化水平的一个重要标志。
信息资源交流和共享是信息资源开发利用重要环节。信息交流的网络化、政府信息的公开化以及高新信息技术的发展，使信息资源的安全与保密面临了很多新的问题，如黑客攻击、病毒侵袭，甚至内部人员通过网络的故意泄密等。据统计，计算机信息系统泄密案件迅速上升，2003年1月至2003年8月，通过计算机信息系统的泄密案件已经占查处泄密案件的60%以上，与2002年同期相比，绝对数量增长100%①。如何保障信息资源的安全与保密已经成为信息化建设过程中必须解决的问题。
由于政府掌握着社会信息资源总量的绝大多数，本文将针对政府信息资源的开发利用与安全保密的关系这一问题进行重点研究，提出相应的技术保障和组织管理对策。
【信息资源安全与保密的组织管理】
记录有国家涉密信息的载体为涉密载体。涉密载体的保管、运输、销毁等管理由国家各级党、政、军机关的保密组织依照有关规定③来进行。
我国现行的保密管理组织机构主要包括：
领导决策机构，即中央保密委员会，是我国党、政、军保密工作的最高领导机构。
中共中央保密委员会办公室（国家保密局），既是中共中央保密委员会办事机构，也是国务院保密工作职能部门，负责全国的保密工作。中国人民解放军保密委员会负责全军的保密工作。
各省、自治区、直辖市、中央和国家机关、各部委、各人民团体均设有保密工作部门和保密工作机构，在国家保密局的指导下负责本地区和本部门的保密工作。
我国保密管理机构健全、组织严密，保密局设置到县，只要能接触到国家涉密信息的部门和单位都设有保密组织，对本单位的涉密信息进行组织和管理。
目前，我国涉密信息资源的管理还存在一些问题：部分保密机构的人员配置不足，其领导兼任数职，具体工作人员缺乏，不能开展正常的保密工作，这是一些泄密事件发生的直接原因，各部委尤为严重；部分保密人员的业务素质不高，不能对信息资源、涉密网络、政策法规的执行进行有效监管，不适应电子政务发展形式下的保密管理要求。
鉴于这些问题，我国应继续加强国家涉密信息资源安全与保密的组织和管理工作，保证各级保密组织配备有足够的专职人员，同时加强保密人员的业务培训，使国家涉密信息资源安全与保密的组织和管理工作能适应信息化与高科技发展的需要。
【信息资源安全与保密的政策法规】
完善的信息资源保密政策法规，是提高信息安全保障能力的手段和方法，也是提高信息安全技术的前提和保证。
1989年5月1日，《保密法》开始实施。其实施，标志着我国的保密工作开始走向法制化管理的轨道①。为了应对日益严重的信息安全问题，国务院自1994年发布了《中华人民共和国计算机信息系统安全保护条例》、《中华人民共和国计算机信息网络国际联网暂行规定》等规定来保证计算机与网络的安全。随后，各个部委也出台了一些相应的规定，如：国家保密局发布的《计算机信息系统保密管理暂行规定》、《计算机信息网络国际联网保密管理规定》等。
面对新的形势，有关信息资源安全保密的政策法规逐渐暴露出来一些问题，这些问题集中在三个方面：1．《保密法》滞后于经济和社会的发展。《保密法》颁布15年来，国际国内的大环境发生了巨大的变化，涉及国家秘密的主体多元化，导致现行的《保密法》不能完全适应发展的要求②；2．由于对国家秘密信息和公开信息缺乏明确的界定，致使大量有价值的政府信息资源没有得到公开和利用；3．对于广义的信息安全没有相应的法律规范。
为了使国家的政策法规能够适应信息资源安全与保密发展的现实和需求，进一步完善法律保障体系，建议：1．对现行的《保密法》进行修订。建立符合市场经济运行规律的保密工作社会监管机制；对国家秘密的范围严格界定；将有关网络与信息系统安全与保密的管理措施上升为国家的法律，填补现行《保密法》的空白；2．制定《政府信息公开法》，明确公开与保密的界定，确定政府信息公开的保障措施，明确政府信息资源主管部门的职责，规定故意不公开信息的法律责任③；3．制定《信息安全法》对广义的涉密信息的安全加以指导和规范。
【信息资源开发安全的标准规范】
这些标准规范某些属全局指导性文件，针对性不强；某些属于专项信息安全标准，不可避免的带有部门特点，导致与其他标准要求不一致的情况。
从国家信息化建设的全局出发，我国需要建立一套统一的关于信息资源安全保密标准，既能实现信息的全面交流，又能保护国家秘密、工作秘密和商业秘密。为保证信息资源的开发利用安全的进行，目前急需建立的标准规范有：
有助于打破信息资源的条块分割，促进不同网络以及安全域之间信息交流与共享，形成安全可控的信息交换。
信息资源大致可分为绝密、机密、秘密、内部和公开五个安全级别。在实际应用操作中，内部和公开两级还应该做进一步的细化。缺少统一地的安全等级划分与防护标准，就难以采取与信息资源密级相应的安全防护措施。
将信息资源的安全属性的标准化，建立多级安全访问控制机制，加强涉密信息的安全管理，实现安全的信息交流和资源共享。
统一数字签名标准是维护信息正确性、准确性和权威性的必要条件，同时也是保障信息安全保密性的一个重要措施。
组建完整的安全保密管理组织机构，制定严格的安全保密管理制度，利用先进的安全保密管理技术，实施完善的安全保密管理。
【保证信息资源安全的技术措施】
技术措施是标准规范的具体体现，是保证信息资源安全与保密的关键，具体为：
电子设备在工作的时候都产生电磁、声、光的发射，这些发射有该设备处理信息的内容。窃收者可以通过技术手段接收这些发射，还原出信息。对涉密信息泄漏发射，目前多采取以下防护措施。
1．电磁泄漏发射应采取抑源法，屏蔽法和噪声干扰的方法进行防护①。
2．光信号泄漏采取切断室内光线向室外传播途径的方法。
3．声音信号泄漏的防护采取降低发声信息设备的声音强度或干扰的措施。
目前存在的问题有：涉密网络综合电磁泄漏发射问题；密码设备电磁泄漏的HIJACK问题；无线发射接收设备将涉密信息二次发射的NONSTOP问题。应采取的防护措施为：
密码设备应该采取严格的红黑隔离措施和屏蔽措施，防止涉密信息的电磁泄漏发射。
对于涉密场所应该严禁无线发射接收装置（包括手机、寻呼机、小灵通、对讲机、移动通讯信号增强器等）的使用，有可能的条件下采用干扰器来阻断该类装置的正常工作。
国家秘密出现在国际互联网，瞬间就会广泛传播，损害国家安全和利益②。涉密信息通过国际互联网有意或无意流失，是一个常见的泄密途径，而且愈演愈烈。除了要采取控制源头、明确责任等措施，还应该加强检查的技术手段，对互联网的检查要形成体系，对上网信息随时进行保密检查，及时发现、及时处理问题，并进行事后追踪，查找泄密的源头及去向。
存储信息磁介质的丢失、废弃也是泄密的一个主要途径。所有磁介质都存在剩磁效应，磁介质不同程度地永久性磁化，使其记载的信息无法完全清除。应用一定的技术手段可以将已清除（覆盖）信息的磁盘上的原有信息提取出来。为了防止涉密信息通过磁介质流失，最常用的手段技术就是物理销毁（粉碎或溶解），此外还可采用强磁场消磁和热消磁方法。
网络失密主要通过网上传输的信息被截获、存有涉密信息的计算机联接国际互联网被攻击等多种途径，现有的防护措施主要为物理隔离，信息防护和网络防护：
物理隔离指涉密网络与国际互联网实现物理隔离；信息保护的主要措施为信源加密、信道加密、密级管理、数字签名、密钥管理；网络保护主要措施包括访问控制、身份认证、访问代理、地址转换、状态检测等。以上防护措施能够保证涉密信息的安全。
目前存在的问题以及对策为：1．涉密的计算机违反规定连接国际互联网，没有实现物理隔离：必须在所有的涉密网络中实施网络监控，随时检测网络终端，防止泄密。2．内部人员主动泄密：对于内部人员的主动泄密，要加强涉密网络的安全审计功能。通过对系统的实时监控，记录与安全有关的活动，如内部人员的文件复制、打印、信息获取、信息发布和资源变迁等，并对违规行为进行报警和阻断以及为事故的追查提供追踪线索及破案依据。
计算机病毒会破坏内存、硬盘、及其他存储介质上的数据，对信息资源危害极大。防病毒要注意在所有可能的病毒攻击点或通道中设置对应的防病毒软件，实施全方位的、多层次的防毒系统配置。应用防病毒工具要注意以下几点：1．防毒体系要完整、检测率要高；2．对计算机病毒要有实时防范能力；3．病毒特征库升级要快速及时。
保护信息资源，还应充分考虑到人为或者事故造成信息资源的破坏，具体措施为：对一般性的信息资源，定期更新备份；对涉及国家核心机密和安全的信息资源，备份系统应该采取远距离双系统控制，避免遭受毁灭性的破坏。
攻击者应用一定手段修改信息资源的内容，造成信息资源的混乱或丧失可用性。信息资源必须采取保护数据的完整性机制，快速数据鉴别和恢复机制。现有的防御措施，以被动防御为主，是通过选用和配置防火墙等内部网与公共网之间的网络防御系统，阻止黑客侵入。
被动防御的最大问题在于，一旦攻击者击破防御系统，损失就会很大，而且无从发现入侵的行为，因此还应该加强主动防御措施。具体为：漏洞检测，就是及时找出系统中存在的漏洞，加以修补，减少黑客入侵的机会；信息收集，是分析是否有潜在入侵发生的基础，包括主机系统、网络系统、数据流以及用户活动的状态行为；信息分析也称入侵检测，是对收集到的有关信息进行分析，从而确定是否有入侵可能发生或者已经发生。
信息资源的安全与保密没有足够的产业规模和全面的产业结构，就不可能深入发展和真正解决。开发自主的CPU、安全操作系统、安全数据库、网络安全防护产品与网络安全检查工具、TEMPEST防护与检测设备等，形成我国自主的信息安全保密产业，是解决问题的根本措施。
【信息资源安全与保密发展建议】
党和国家高度重视信息安全保密工作，多次强调在信息飞速发展的当今社会，应该注意信息资源的安全与保密问题，因此我们必须将信息资源安全与保密问题列为国家信息资源的开发利用战略的重点内容：1．以修订《保密法》和制定《信息公开法》和《信息安全法》为切入点，制定完备的适应市场经济和科技发展的法规体系；2．保证各级保密组织配备有足够的专职人员，同时加强保密人员的业务培训，提高保密工作者的管理水平和技术水平，形成合理、健全、有效的信息资源安全保密的管理机制；3．完善资源共享与信息交流过程中保证信息资源的安全与保密的标准规范系列；4．重点研究涉密信息系统的综合防护措施，强化保护涉密信息资源的各项技术措施，切断包括信息采集、传输、存储、应用、销毁等各种可能泄密的途径；5．加强信息安全保密经费的投入，保证信息安全保密重大项目和关键技术的开发资金，使我国信息安全保密整体水平有较大发展。
（作者单位：国家保密技术研究所）
①“贯彻落实《国家信息化领导小组关于加强信息安全保障工作的意见》实施意见”，国家保密局，2003年10月。
②《保密法实施办法》，国家保密局第1号令，1990年5月25日。
③《中共中央保密委员会办公室、国家保密局关于国家秘密载体保密管理的规定》，中共中央办公厅、国务院办公厅转发厅字[2000]58号。
④《保密法规汇编》，国家保密局编，2002年8月。
⑤《关于将修订〈中华人民共和国保守国家秘密法〉列入立法规划的建议》，国家保密局，2003年5月。
⑥“起草《政府信息公开条例》(专家建议稿)的基本考虑”，国家保密局法规室剪报，第55期，2003年3月。
⑧朱大立孙德刚杜虹，“TEMPEST防护：涉密信息电磁泄漏的盾牌”，《信息安全与保密通讯》，2003年2期。
⑨毛林昆，“计算机信息网络的安全保密工作”，《保密技术信息》，总第16期。