屡禁不止的涉密计算机违规外联行为

保密法第四十八条规定了12种严重违规行为，其中第八种“将涉密计算机、涉密存储设备接入互联网及其他公共信息网络的”，对违规外联行为予以明确。保密法修订施行已10载有余，大量保密规章制度和机关单位内部文件反复重申该项禁止性要求，然而涉密计算机违规外联行为仍屡屡发生，其背后原因引人深思。

PART 1

典型案例

案例1: 2019年9月，有关部门在工作中发现，某省直单位1台涉密计算机多次发生违规外联。经查，王某为该单位新近调入的工作人员，因工作需要，申请1台非涉密计算机连接互联网使用。设备管理员李某遂从库房调配1台旧计算机给王某，由于该计算机的设备标签脱落，李某和王某均未发现该计算机原为涉密计算机，造成王某多次违规连接互联网。案件发生后，王某和李某均被处理。

案例2: 2020年6月，有关部门在工作中发现，某市属单位工作人员刘某使用的涉密笔记本电脑发生违规外联。经查，刘某因工作需要，将涉密笔记本带入单位会议室使用，由于会议室中网线标识不清，着急开会的刘某误将涉密笔记本接入互联网，触发违规外联报警。案件发生后，刘某及有关责任人员均被处理。

案例3: 2020年9月，有关部门在工作中发现，某县级单位1台涉密计算机多次发生违规外联。经查，该计算机为办公室工作人员孙某使用，孙某在使用过程中，某软件多次发生故障，遂按照该软件的提示，多次尝试连接互联网进行自动修复，造成违规行为发生。案件发生后，孙某及有关责任人员均被严肃处理。

以上案例都是常见的涉密计算机违规外联行为，其中案例1是因计算机属性未弄清，造成违规外联；案例2是因网络线路属性未搞明，造成违规外联。这两个案例都有一定的客观原因导致责任人员误判。而案例3则是责任人员在明知涉密计算机的情况下，仍然故意发生的违规外联行为，其保密意识之淡薄让人唏嘘不已。

PART 2

原因分析

以上违规外联行为虽然都被技术阻断，未造成泄密后果，但其背后反映出一些机关单位的保密管理存在较大隐患。

1、设备管理混乱。案例1反映出该单位涉密设备管理存在严重问题。涉密设备未单独妥善存放，而是在库房中与非涉密设备混放，造成设备混淆；涉密设备台账不清，设备的密级属性仅靠表面粘贴的设备标签识别；涉密设备清点维护不及时，设备标签脱落未及时发现等。另外，实践中还发现因设备管理混乱导致五花八门的违规外联情形，如人员交替中设备交接不清，未告知设备属性造成违规外联；管理人员违反规定将涉密计算机外送社会公司维修，外修人员违规外联；将报废不用的涉密计算机硬盘拆下，安装在非涉密计算机使用，造成违规外联等。

2、保密意识淡薄。这3起案例背后，都反映出一些机关单位工作人员保密意识淡薄、责任心不强的问题。如案例1中，设备管理员李某在设备标签脱落的情况下，未进一步核实就配发给使用人员，而使用人员也不闻不问，直接连接互联网。案例2中，刘某在网线涉密属性标识不清的情况下，不找管理员询问就着急连接使用，置保密规定于脑后。案例3中，孙某的保密意识、保密常识更是令人堪忧，竟然将涉密计算机连接互联网进行软件修复。而实践中发现，将涉密计算机连接互联网进行软件激活、注册、更新等类似情况时有发生，反映出部分机关单位工作人员的保密意识亟待加强。

3、保密技能不强。以上案例还反映出机关单位部分工作人员保密知识技能掌握有限。如案例1中，众所周知，涉密计算机都会采取技术手段防止违规外联。启动计算机后，可以很快从计算机屏幕右下角的图标、运行的进程等信息，初步判断是否安装了技术防护措施，若安装，一般可判断为涉密计算机。但该案例中，无论是使用人员还是管理员都未能及时发现，还多次尝试违规外联，其保密常识和技能水平有待提高。案例2中，虽然网线未标清涉密属性，但顺藤摸瓜找到网线对端连接的网络设备、墙插等，也可以进行初步判断。案例3中，孙某的保密技能水平更是无须多言，连最基本的保密常识都不掌握。

4、设备设施不完善。案例1和案例2中，违规行为的发生也有一定的客观原因，反映出机关单位保密设施设备管理仍存在不完善的地方。案例1中，涉密设备标签轻易脱落，反映出该单位设备标识日常管理存在隐患，实践中也发现 有的机关单位仅用普通胶水或透明胶带粘贴涉密设备标签，极易脱落；有的设备标签为手写，涂写随意；有的非涉密设备调整为涉密设备后，未及时更换标签，这些都容易导致误连接。案例2反映出该单位网络布线等基础设施的管理、维护有待加强，在会议室这种公用环境中，参会人员在未采取管控措施的情况下，可以随意将设备接入网络，且网络末端接入线路未标清密级属性，极易导致误判，存在严重的安全保密隐患。

PART 3

对策建议

在保密法律法规不断深入人心、保密“两识”教育持续开展的今天，违规外联这种低级错误仍然屡犯不止，实属不该。笔者认为，有关机关单位需从人、物两方面加强保密管理。

对相关人员，加强案例教育和技术普及。以上案例中的责任人员入职前都经过保密教育培训，对有关保密法律法规和保密要求不可谓不知，但事到临头仍然无法避免出错，主要原因是保密常识、保密技能掌握不扎实，面对陌生情况不知所措。因此，机关单位的保密教育培训应着重选取本系统、本单位的典型案例，以生动形象、有代入感的方式对大家进行警示提醒。同时，案例教育还应注重多角度覆盖，对于一种违规行为可通过多种情形诠释，不能试图通过一个案例就解决所有问题。当前，随着物联网、移动互联网等不断发展，新技术、新设备、新情形频出，信息技术无处不在，应是所有人掌握的基本技能。因此，保密教育培训应注重技术培训，掌握原理才能举一反三。

对载体设备，加强全生命周期和动态管理。涉密设备作为涉密数据的载体，其管理和涉密数据一样，应是从“生”（确定为涉密设备）到“亡”（报废销毁）的全生命周期闭环管理，不能因人员变更、位置变化、用途调整等因素导致脱管失控。另外，全生命周期管理还意味着是一个动态管理的过程，机关单位应采取实时技术监控、随机抽查、定期维护等手段，确保涉密设备每时每刻可管可控。