军工涉密信息系统是国家秘密非常集中的领域，一直是窃密与反窃密，渗透与反渗透的主战场。据国家有关部门统计，在全国泄密事件中，军工系统占有很大比例。由于一些军工单位涉密信息系统安全保障能力不够、管理不力，导致涉密信息系统泄密案件的比例逐年上升，安全保密形势非常严峻。严格按照涉密信息系统分级保护的要求，加强军工涉密信息系统建设意义重大。
军工涉密信息系统分级的防护发展及现状
加快军工行业涉密信息系统的安全保障系统建设是国家信息安全体系建设的重要部分。随着信息化的不断发展，军工行业的发展越来越依赖于信息系统，军工涉密信息系统是否安全关乎军工行业的生存与发展。
目前，我国军工涉密信息系统安全保障工作还处于起步阶段。虽然军工行业在涉密信息系统建设时期已经考虑到了安全保障能力的建设，但是由于军工行业信息化起步早，建设周期长，在许多建设开始之际，国家的相关法律法规还不完善，缺乏与国防信息化建设相适应的安全保障措施和手段，因此普遍存在安全保障能力低，信息对抗能力不足等问题，一方面造成应用系统部署进度推迟，另一方面造成涉密信息系统不能最大限度地发挥作用，制约了国防信息化建设的发展。
近十年来，全国军工涉密信息系统按照有关要求开展涉密信息系统安全保障体系的实施和运行工作，取得了一定的成绩，但是在实施过程中也存在一些问题：早期安全保密措施要求过于单一，没有划分安全保密层次与级别，实施成本比较高等。目前，随着涉密信息系统分级保护工作的全面推开，军工涉密信息系统的安全保护工作迈上了一个新台阶。
军工涉密信息系统实施分级保护的几个问题
等级保护制度是国家信息安全的基本制度，涉密信息系统实行分级保护。军工涉密信息系统实行分级保护，首先要根据军工涉密信息系统的重要性，遭到破坏后对国计民生造成的危害性，以及涉密信息系统必须达到的安全保护水平来确定信息安全的保护等级。国家保密局专门对涉密信息系统如何进行分级保护制定了一系列的管理办法和技术标准，从物理安全、信息安全、运行安全和安全保密管理等方面，对不同级别的涉密信息系统有了明确的分级措施，从管理和标准两个层面解决涉密信息系统的分级保护问题。
涉密信息系统实行分级保护的核心是对信息系统安全进行合理分级、按标准进行建设、管理和监督。涉密信息系统分级保护一般分为系统定级阶段、安全规划设计阶段、安全实施阶段、安全运行及维护阶段、系统终止阶段。在实际工作中，军工涉密信息系统分级保护工作存在问题较多的是涉密信息系统的定级、方案设计实施与调整、安全运行及维护三个阶段，尤其要引起重视。
1、关于涉密信息系统定级的问题
在涉密信息系统分级保护中，系统定级决定了系统方案的设计实施、安全措施、运营等涉密信息系统建设的各个环节，因此如何准确地对涉密信息系统进行定级在军工涉密信息系统实施分级保护中尤为重要。
军工涉密信息系统定级遵循“谁建设、谁定级”的原则，根据其涉密信息系统处理信息的最高密级，可以划分为秘密级、机密级和绝密级三个等级。同时，涉密信息系统的定级必须报主管部门审批。在军工涉密信息系统可以根据信息密级、系统重要性和安全策略划分为不同的安全域，针对不同的安全域确定不同的等级，并进行相应的保护。军工单位在涉密信息系统定级时，可以综合考虑涉密信息系统中资产、威胁、受到的损害后的影响，以及企业对涉密信息系统的信赖性等因素对涉密信息系统进行整体定级;同时，在同一个系统里，还允许划分不同的安全域，在每个安全域可以分别定级，不同的级别采取不同的安全措施，更加科学地实施分级保护，在一定程度上解决了保重点，保核心的问题，也有效避免了因过度保护而造成应用系统运行效能降低以及投资浪费等问题。
如果涉密信息系统中机密信息含量较高或者数量较多，或者涉密信息系统使用单位所承担的项目具有较强的前瞻性，并对涉密信息系统的依赖程度较高，应该考虑相应的增加保护要求。对于军民两用的传统制造企业，如果其密级不高，涉密的信息不多，实行合理划分安全域及科学防护不仅能够保证敏感信息的安全，同时也能节约成本，提高涉密信息系统可用性。
2、关于方案设计实施与调整的问题
新建军工涉密信息系统要按照分级保护的标准，结合系统的实际应用情况进行方案设计，在设计完成之后要进行方案论证，由建设使用单位组织有关的专家和部门进行方案设计论证，确定总体方案达到分级保护技术的要求后再开始实施；在工程建设实施过程中注意工程监理的要求；建设完成之后应该进行审批；审批前由国家保密局授权的涉密信息系统测评机构进行系统测评，在技术层面是否达到了涉密信息系统分级保护的要求。
由于军工信息建设起步较早大部分的涉密信息系统已经处于运行或者试运行阶段，在设计之初没有相关的国家标准参考，无法验证涉密信息系统是否达到了分级保护的要求。因此，需要对涉密信息系统进行相应的调整和改造。在改造过程中要严格按照国家的相关标准，结合涉密信息系统的实际情况，逐项进行安全风险分析。根据安全风险分析的结果，对部分保护 要求进行适当的调整和改造。调整应以不降低涉密信息系统整体安全保护强度，确保国家秘密安全为原则。当保护要求不能满足实际安全需求时，应适当选择采用部分较高的保护要求，当保护要求明显高于实际安全需求时，可适当选择采用部分较低的保护要求。对于安全策略的调整以及改造方案进行论证，综合考虑修改项和其他保护要求之间的相关性，综合分析，改造方案的实施以及后续测评要按照国家的标准执行，并且要求文档化。
3、关于安全运行及维护的问题
对于已经运行的军工涉密信息系统，分级保护的要求是加强对安全运行及维护的管理。运行及维护过程的不可控性以及随意性。往往是信息系统安全运行的重大隐患，通过运行管理和控制，变更管理和控制，对安全状态进行监控，对发生的安全事件及时响应，在流程上对系统的运行维护进行规范，从而确保涉密信息系统正常运行；通过安全检查和持续改进，不断跟踪涉密信息系统的变化，并依据变化进行调整确保涉密信息系统满足相应分级的安全要求，处于良好安全状态。在安全运行及维护阶段，当局部调整等原因导致安全措施的变化时，如果不影响系统的安全分级，应从安全运行及维护阶段进行安全实施阶段，从新调整和实施安全措施，确保满足分级保护的要求；当系统发生重大变更影响系统的安全分级时，应从安全运行及维护阶段进入系统定级阶段，重新开始一次分级保护实施过程。
由于运行维护的规范化能够大幅度提高系统运行及维护的安全级别，所以在运行维护中应尽可能地实现流程固化，
