点击上方蓝字关注我们
供应链是现代经济的重要形态，当前全球产业竞争已经进入“链时代”。但随着大国博弈的升级，近年来，国内外针对我国供应链的窃密活动层出不穷，这种通过外围逐步渗透的窃密案件的数量和复杂度都在增加，给机关单位带来的安全保密风险也越来越大，亟须防微杜渐，堵塞漏洞。
典型案例
震网病毒作为供应链攻击的经典案例，在2003年至2011年期间，严重拖慢伊朗核武器进程，导致伊朗在七八年时间内一直被离心机故障困扰，数千台提纯浓缩铀离心机被破坏，大量核原料被浪费。由于伊朗无法制造离心机，大量宝贵的外汇资金被消耗在进口离心机零部件上，核计划完全脱离预定轨道。早在攻击伊朗铀离心设施之前，北约网络情报部门就网络入侵了多家伊朗主要国防工业厂商，包括伊朗工业设施自动化系统生产商和水电、石化工业自动化企业等供应商、软件开发商，在其内网投放了火焰、毒曲病毒。美国情报部门通过火焰蠕虫的漏洞攻击、加密压缩、信息盗取等模块，窃取了大量伊朗核设施设计图、开发文件，窃取到的情报信息多到甚至能完整仿真搭建一套伊朗核设施工厂的数据采集和监视控制系统。
例如，2016年维基解密泄露的美国中央情报局文件显示，在其开发的一款名为“NightSkies1.2”软件的使用说明手册中，明确提到“载入程序/植入工具”模块的用法是：需结合对目标供应链的渗透来完成对新出厂特定设备的改造，使用时需派遣特工阻断邮寄和其他发货途径或通过招投标方式，将正常设备拦截下来，再通过开箱、植入恶意代码、重新发货等流程，将正常硬件设备修改为窃密设备。
针对人员的供应链窃密。针对人员的供应链窃密是指利用旧有人际关系或通过与其合作的第三方公司外包人员，拉拢策反内部人员，以工作配合或私人交往的方式来获取秘密的手段。
例如，三星公司曾向韩国国家情报院举报，三星电子半导体事业部门下属事业部一名计划离职的员工，在家办公时疑似访问公司与半导体相关的机密电子文件，并对文件内容进行拍摄，涉嫌窃取公司数百份商业机密文件，随后该员工被逮捕。
工作建议
制定严明制度。供应链企事业单位（指为机关单位提供各种服务的企业，包括各类外包人员、产品的提供公司，以及相关的事业单位）应切实担负保密管理主体责任，健全完善保密管理制度，制定严格的操作规范，定期审查和更新供应商，选择具备资质的单位参与工作，确保合作方和第三方严格遵规守矩。同时，加强对外来数据、设备、人员的管理，按照最小化原则，严格控制外来人员接触信息的范围，采取零信任验证技术和多层防御策略，对人员和行为操作进行多维度的综合分析和详细审计，及时处置异常或违规行为。
来源：保密观
联系我们
地址：新疆乌鲁木齐市新市区百园路78号（十二师中学西门）
联系电话：
@综合科：0991-3073718
（党建、党风廉政、组织人事、宣传）
0991-3712662（教师招聘、职称工作）
@教育服务保障中心：0991-3073723
（发展规划、项目建设、招生入学、学生资助、学籍管理、学校营养改善计划监督）
@教育科：0991-3073721
（职业教育、语言文字）
@教育研究和评估监测中心：0991-3073719
（教学研究、师资培训、教师资格认定、师德师风）
@教育督导中心：0991-3073729
（教育督导、纪检监察、信访工作、“双减”和“五项管理”、校园欺凌）
@学前指导中心：0991-3728882 （学前教育）
扫码关注
中国教育督导
微信公众号
十二师教育
微信公众号
第十二师教育
官方抖音号
