涉密计算机管理中小企业不能忽视的要点

去年走访一家化工类的中小企业时，我看到他们研发主管的电脑屏幕上贴满了各种各样的密码贴纸——登录密码、邮箱密码、财务系统密码全写在一张纸上贴在显示器边框上。我说这样密码不是等于公开了？他说不贴记不住，反正办公室也挺安全的。我后来问了一圈，发现至少三分之一的中小企业员工都有类似的习惯。

涉密计算机的管理，是保密工作中技术含量相对较高的一环。但在中小企业的日常场景里，这件事被严重简化了。很多人觉得，只要电脑设了密码、装了杀毒软件就算管好了。但实际情况远比这复杂——一台涉密计算机的泄密途径可以有很多种：密码太简单被猜出来、系统长期不打补丁被黑客攻击、被植入木马程序窃取文件、U盘自动运行把文件复制走、无线网卡连接到不安全的网络把数据传出去。

那么对于预算有限的中小企业来说，涉密计算机到底该怎么管？我列出了六个核心要求，照着做就能大幅提升安全水平。

首要个要求是物理安全。涉密计算机的物理安全是指计算机本身的存放环境要安全。主机要有专人管理，不能随意外借或者搬动。如果电脑需要维修，送到外面修之前要把硬盘拆下来或者做数据擦除，不能让维修人员接触到硬盘里的数据。笔记本电脑的风险更大，因为便携性强。涉密笔记本电脑建议下班后锁进柜子里，不要随意放在工位上过夜。出差时随身携带，不能托运也不能放在酒店房间里离开视线。

第二个要求是身份鉴别。每台涉密计算机都要设置登录密码，而且密码要有强度要求。很多人的密码要么是123456，要么是自己的生日、手机号、姓名拼音。这种密码基本等于没有。我建议中小企业在保密制度里明确规定密码要求——至少八位字符，包含字母、数字和特殊字符中的至少两种，并且至少每季度更换一次。同时开启操作系统自带的锁定功能，设置一个较短的屏幕保护时间，比如五分钟没有操作就自动锁定屏幕，重新进入需要输入密码。这样即使员工离座上洗手间时忘了锁屏，系统也会自动帮忙锁上。

第三个要求是账户管理。涉密计算机上原则上只保留一个管理员账户和一个日常使用的用户账户。所有涉密操作更好使用专门的用户账户完成，避免长期使用管理员账户带来的过高权限风险。另外，员工离职时，不仅要在系统层面删除账户，还要检查这个账户有没有留下什么本地存储的文件。如果新来的同事需要接手工作，把离职员工的文件转交给新人，再把老账户清除掉。

第四个要求是网络管控。涉密计算机的内外网使用需要分开管控。能上外网的计算机不要连接内网，需要接入公司内部系统的计算机更好使用专用的内网线路或者VPN，并做好访问控制。无线网络方面，涉密计算机只连接公司认可的安全无线网络，不连接开放的公共WiFi。有些中小企业的员工会带着涉密笔记本去咖啡店写代码或者做方案，然后在公共WiFi环境下用远程桌面或者通过网盘传输数据。这种做法风险很高，因为公共WiFi可以被轻易监听。

第五个要求是外部设备管控。U盘、移动硬盘、SD卡这些外部存储设备是涉密计算机数据泄露的常见途径。我建议涉密计算机上尽可能禁用USB存储设备的自动播放功能，需要用的U盘要统一登记、统一配发、统一管理。员工不得使用私人U盘在涉密计算机上拷贝文件。如果涉密计算机需要接入打印机、扫描仪等外围设备，也要对这些设备进行安全检查和权限确认。

第六个要求是软件和系统安全。防病毒软件是标准配置，而且要确保病毒库定期更新。操作系统也要定期安装安全补丁。但是软件配置不是越多越好，我见过有公司给涉密计算机装了七八个不同类型的电脑管家和防火墙，结果系统变得特别慢，员工干脆把所有防护软件都关了。正确的做法是，装一个可靠的安全软件即可，做好基础防护，重点是养成良好的使用习惯。

软件安装的原则是只安装工作必需的软件。很多员工喜欢在办公电脑上装各种跟工作无关的软件，有些软件带有未知的风险插件或者后门程序。制度上可以规定，涉密计算机上的软件安装要经过IT或者保密管理员审批。这不是限制员工自由，而是减少潜在的风险入口。

还有一个很多中小企业不重视的点——涉密计算机的报废和回收。电脑用到年限后需要报废处理，但硬盘里的数据必须彻底清除之后才能把电脑卖给回收商或者捐赠出去。数据擦除不是简单地删除文件或者格式化硬盘，而是需要使用专业的数据擦除软件进行多轮覆写，或者物理破坏硬盘。我在一家做财务外包的公司里看到过，他们把十台报废的旧电脑直接卖给了一家小回收店，硬盘都没拆。后来回收店的人打电话问他要不要买回一个他以前的旧文件夹里的资料，他才意识到问题有多严重。

如果您的企业在涉密计算机管理上需要制度模板和专业指导，北京企密安信息安全技术有限公司可以为中小企业提供涉密计算机管理方案，帮助企业既保障信息安全又不增加过多的管理负担。

问：涉密计算机能不能安装远程办公软件？
答：可以，但要有管控。远程桌面连接要开启安全认证和多因素认证，连接使用加密通道。远程期间避免在非安全的终端上查看涉密文件内容。公司应当建立远程办公的安全制度和操作指引。

问：员工带自己的笔记本电脑来公司办公，怎么管理？
答：原则上涉密工作不使用员工个人设备。如果公司条件有限允许个人设备办公，建议要求员工在个人设备上安装公司指定的安全软件，并在入职时签署设备使用承诺书。涉密文件不在个人设备上长期存储，使用完毕后及时上传到公司系统并删除本地副本。