@机关、单位工作人员：这类办公工具的泄密隐患，务必警惕！

随着云技术的发展和普及，云存储以其便捷性和大容量成为许多机关、单位工作人员日常办公的得力助手，但同时也带来了不容忽视的数据安全风险，更成为境外间谍情报机构关注的重点对象。部分机关、单位工作人员为图省事，违规将国家秘密、敏感信息上传至云端，给境外间谍情报机构提供了可乘之机。

那些被“云”出卖的秘密

2018年5月，有关部门在工作中发现，某互联网网盘用户上传大量文件、资料，其中机密文件10份、秘密文件30余份。经查，某单位工作人员强某因工作调动，即将赴外地任职，其长期有收集、整理个人认为有价值的或者参与起草的文件、资料的习惯。为继续珍藏、利用好自己积累的资料，强某将单位计算机中的资料刻出并导入家中电脑，又打包上传至互联网网盘中，以便异地下载使用。事件发生后，强某被给予党纪政务处分。

“斯特拉瓦”(Strava)是一款风靡全球的应用软件，该应用可以将个人运动时间、成绩、轨迹等信息通过网络上传至服务器，与他人分享，深受健身爱好者推崇。斯特拉瓦公司将所有用户运动轨迹的GPS信息“绘制”到高精度卫星地图上，做成“全球运动热力地图”。在同一个地点运动的人越多，地图上的亮度就越明显，意在展示用户运动地点以及最受欢迎的跑步或骑行路线。然而，正是这些运动轨迹，暴露了美国、俄罗斯等国设在阿富汗等地的秘密军事基地。“热力地图”显示，在叙利亚、阿富汗、吉布提等欠发达地区，有不少远离城市的亮点。这些亮点几乎都来自外国军事基地，不少军事基地位置都没有在其他地图应用上出现过。

云端的风险藏在哪

平台安全难以保障。云存储平台的安全水平主要取决于服务商在数据加密、权限管控等安全保密方面的技术能力。但在实际运行中，这些手段难以达到绝对完善。一旦账号被破解、服务商存在系统漏洞，或遭受境外间谍情报机关的攻击，存储在云端或者传输过程中的信息就可能被泄露或恶意利用。更值得警惕的是，许多日常工具内置了“自动上传”机制。一旦用户用它打开工作文件，文档内容便可能在后台被悄然发送至外部服务器。

管控链条出现缺口。部分机关、单位国家秘密载体管理存在漏洞，制度不完善或执行不到位。在云工具的介入下，涉密文件从产生、流转到销毁的全流程管控链条出现了“断点”，文件被扫描后进入云端，其后续的存储位置、访问权限和生命周期完全脱离单位的管控视野。

侥幸心理埋下隐患。部分机关、单位工作人员保密意识淡薄，擅自将涉密敏感信息通过互联网上传云端。同时，云泄密的链条具有高度隐蔽性，从文件上传到泄露发生，中间可能相隔数月甚至数年，导致涉事人员对风险缺乏直接感知。正因如此，一些人心存侥幸，明知故犯。

“保密观”有话说

云端的便利不应以牺牲安全为代价。面对云端泄密风险，机关、单位应当综合施策，把防护措施落到实处。

严守“涉密不上网、上网不涉密”原则。存储、处理、传输国家秘密只能使用涉密信息系统、涉密信息设备，不得使用联网计算机及各类互联网插件处理涉密及敏感信息。严禁使用手机拍摄、扫描、识别涉密文件和内部资料，杜绝云端泄密。

明确云工具使用管理规则。机关、单位应明确哪些云工具可用于工作、哪些数据不得上传云端，划清使用边界。共享文件前应启用提取码或加密功能，关闭其余操作权限，避免过度共享导致泄露。同时定期排查工作人员设备中的云工具和客户端，及时消除自动上传隐患。

强化账号与访问安全管理。网盘账号密码遭暴力破解是云泄密的常见路径。机关、单位应要求工作人员对涉及工作内容的云账号设置高强度密码并定期更换，启用多因素认证。

（供稿单位：清华大学保密办）

责编：张子仪

一审：王为薇

二审：刘文韬

三审：贺佳

来源：保密观