爱华网〔关键词〕供应链系统；情报泄密；机理；信息安全；反竞争情报
〔Abstract〕The paper，from the perspective of the counterintelligence technical support system，constructed the supply chain information security system model from such five parts as the information security decision center，the information security counterintelligence center，the network counterintelligence system supported by the honeynet technology，the human intelligence network system and the integrated supply chain information system；combed the security hidden danger of information security system in supply chain；and explored the path of the supply chain system information leakage to find that the ineffective supervision of information security governance process caused the leakage of supply chain system information，information security policy management lags behind the information security needs of the supply chain system，the feature of the double edged sword of the honeynet technology threatened the security of the network countercompetitive intelligence system，the human intelligence network with high maintenance cost and the regulatory difficulties had become the supply chain system security short board，and the security vulnerabilities of integrated information system in supply chain was the basis of competitive intelligence.
〔Key words〕supply chain system；information leakage；mechanism；information security；counterintelligence
�S着网络和信息技术的发展，闭环的企业内部信息管理模式逐步为开放的供应链集成化信息管理模式所取代。当供应链成员通过开放的互联网来实现远程交互访问、进行信息共享时，这种开放的网络系统给需要高度保密的敏感情报如企业内部的生产、销售订单、合作企业的生产进度、企业间的资金转帐、招投标信息等，带来了很多安全隐患，从而威胁到整个供应链系统的信息安全。Sindhuja P N和Anand SKunnathur建议从管理控制的角度看，有必要对全球供应链中的各类组织的信息安全纪律进行全覆盖[1]；Ramesh Kolluru和Paul HMeredith发现供应链合作伙伴之间的不同类型的数据共享需求需要不同层次的安全性[2]；Peter Finch指出当公司暴露于组织间网络时，开展风险评估以及需要考虑业务连续性规划的重要性[3]；Zachary Williams等人通过定性研究，发现存在4个主要的供应链安全的驱动因素，即政府、顾客、竞争者和社会[4]；蒋鲁宁认为信息安全供应链的安全涉及4个方面，即信息安全供给基础、信息安全产品（包括信息安全服务）过程，信息安全能力形成过程以及对这些过程的安全确认[5]；刘丹则认为供应链信息系统的安全涉及从粗到细的4个层面：系统级安全、程序资源访问控制安全、功能性安全和数据域安全[6]；齐源选择了信息共享内容风险、委托-代理风险、管理风险、成本增加风险以及技术风险等5大预警指标，构建了基于第三方及GAHP的供应链信息共享风险预警系统[7]；董绍辉等认为，供应链信息泄露的途径包括供应链上游企业、下游企业、独立第三方以及供应链管理系统等4个方面[8]；宋伟等提出通过接入中间件，在内、外系统之间进行必要的安全隔离，从而提高整个供应链协同系统的鲁棒性和抗攻击能力[9]；李剑锋等提出了由信息安全治理、信息安全管理、基础安全服务和架构、第三方信息安全服务与认证机构和供应链信息安全技术标准体系5个部分构成的供应链信息安全体系框架[10]。上述研究表明，虽然国内外学者对于供应链系统的信息安全问题高度关注，从供应链信息安全的内容、影响因素、风险评估、泄密途径、体系框架到防范措施等方面都作了较为深入的研究，但是在供应链信息安全系统的泄密源排查、泄密原因分析、泄密路径梳理等问题上缺乏深入的研究。本文拟从供应链反竞争情报技术系统视角构建供应链信息安全系统模型，站在竞争对手的立场上审视供应链信息安全系统存在的安全隐患，进而研究供应链系统情报为何泄密、如何泄密、怎样泄密的内在机理，促使供应链系统各参与方高度重视情报泄密的防控问题，避免或减少敏感信息情报的泄密。 1反竞争情报技术系统视角的供应链信息安全系统模型的构建供应链信息安全系统的构建应重点研究敌意侵害方的竞争情报系统，梳理出供应链系统可能存在的信息安全隐患，从反竞争情报技术系统视角来构建供应链信息安全系统模型。一般而言，敌意侵害方的一个完善的竞争情报系统由竞争情报中心以及组织网络、人际网络和信息网络组成[11]的“一中心三�W络”的组织构架。竞争情报中心是整个竞争情报工作的中枢，它是为企业竞争情报决策提供信息资源支持；组织网络是企业竞争情报工作的平台，它保障了竞争情报系统的协调一致；人际网络是企业竞争情报重要的隐性情报源，它是收集、分析情报乃至影响对手决策的一个有效路径；信息网络涉及企业的内网与外网平台，通过管理信息系统整合与完善企业的竞争情报功能[12]。因此，供应链信息安全系统的构建应充分考虑敌意侵害方的“一中心三网络”的竞争情报系统组织构架，科学设计自身的信息安全系统。研究认为，供应链信息安全系统应由5部分组成，即信息安全决策中心、信息安全反竞争情报中心、供应链集成化信息系统、蜜网技术支持的网络反竞争情报系统、人际情报网络系统，如图1所示。
11信息安全决策中心
信息安全决策中心是供应链信息安全系统的中枢，统筹协调涉及供应链系统信息安全治理的重大问题；研究制定供应链系统信息安全发展战略、总体规划和重大信息安全政策的协调；推动供应链系统信息安全的制度化建设，不断增强供应链系统信息安全治理能力。
信息安全决策中心接收来自信息安全反竞争情报中心的经过处理的各类信息情报，作为信息安全决策的基础和依据。同时，信息安全决策中心制定的信息安全战略、总体规划和重大信息安全政策等经由信息安全反竞争情报中心具体化为信息安全战术决策，作为信息安全反竞争情报中心各子系统行动的指南。
12信息安全反竞争情报中心
反竞争情报中心是企业反竞争情报技术支持系统的中枢，由反竞争情报收集子系统、反竞争情报分析子系统和反竞争情报服务子系统等3部分组成，负责供应链信息安全系统的安全管理工作，如图2所示。
反竞争情报中心对来自蜜网技术支持的网络反竞争情报系统和人际情报网络的各类信息进行收集、整理、分析，进而实施相应的信息安全策略管理：对可能引起安全事件的关键信息及其来源开展危害性评估并发出危机预警；对已造成实质性危害的信息安全事件作出应急响应，堵塞信息安全漏洞，努力减轻信息安全事件对供应链系统造成的损失；对信息安全方面的例外问题，及时上报信息安全决策中心，由高层决策者们进行非程序化决策。
13蜜网技术支持的网络反竞争情报系统
近年来，作为一种新型防御技术出现的蜜网（Honeynet）在检测、捕获和控制网络攻击方面具有独特的优势。蜜网由数据流重定向器与蜜网环境两部分组成的，该网络置于防火墙系统之后，所有进出网络的数据都会通过这里，并可以捕获控制这些数据[13]，如图3所示。蜜网（Honeynet）包含一个或多个蜜罐（Honey Pot），这种蜜罐（Honey Pot）是专门用来吸引敌意入侵者进行攻击的陷阱。当入侵者试图针对供应链节点企业开展竞争情报活动时，往往直奔企业需要高度保密的敏感情报如企业内部的生产、销售订单、合作企业的生产进度、企业间的资金转帐、招投标信息等，而蜜网（Honeynet）中的网络应用程序恰恰以这些敏感情报来命名，这样入侵者就会立刻现行。反竞争情报中心就可以根据这些被捕获的资料来分析判断入侵者所使用的工具、方法及动机，进而建议信息安全决策中心采取反制措施。
14人际情报网络系统
人际情报网络系统是应情报活动的需要而构建的一种人际网络，是情报从业者获取、分析和传播非公开信息和隐性知识的重要平台[14]。供应链信息安全系统的人际情报网络分为节点企业外部人际情报网络和节点企业内部人际情报网络，如图4所示。
节点企业外部人际情报网络主要包括供应商、分销商、包括中介机构、行业协会、物流服务企业、消费者组织、新闻记者等在内的第三方机构、竞争对手、最终消费者等，节点企业内部人际情报网络主要由企业内部各层级的管理人员和各部门的员工组成。
15供应链集成化信息系统
供应链集成化信息系统是各节点企业内部供应链与外部合作伙伴（如供应商、分销商、中介机构以及行业协会、消费者组织、新闻记者等第三方机构）集成起来的一个供应网链，是整个供应链信息安全系统的基础信息平台。供应链各节点通过高速数据专用线连接到Internet骨干网中，通过路由器与自己的Intranet相连，再由Intranet内主机或服务器为其内部各部门提供存取服务，如图5所示。
供应链集成化信息系统是升级版的企业间信息系统，为企业内部的信息系统提供与外部供应链各节点的很好的接口，它实现了供应链合作伙伴间的信息交互与信息共享，消除了企业间传统的信息隔离状态。除信息集成外，供应链集成化信息系统还可以通过竞争情报的检测，筛选出数据流中的竞争情报信息流，将正常业务流与竞争情报信息流分开，从而实现了供应链信息系统的功能集成。
2供应链信息安全系统的安全隐患梳理
21信息安全决策中心安全隐患梳理
作为整个供应链信息安全系统的中枢，信息安全决策中心一旦发生泄密事件，必将对供应链系统信息安全治理工作带来重大安全隐患。信息安全决策中心可能存在的安全隐患大体涉及高管泄密以及信息安全治理过程中的情报泄密两个方面。信息安全决策中心的高管泄密专指参与供应链系统信息安全治理工作的高管恶意或非恶意地泄露涉及供应链系统信息安全治理问题的决策信息。恶意泄密往往发生在对公司不满或有预谋离职的高管身上，非恶意泄露往往因为缺乏责任心、安全防范意识淡薄、公司对高管的放任等原因造成的。
信息安全治理过程中的情报泄密可能发生在信息安全决策中心制定信息安全战略、总体规划和重大信息安全政策等的酝酿、起草、征询意见、方案评估、方案试行前的各个阶段。因为时间跨度长、涉及面广、牵涉人员多等原因，信息安全治理过程中的情报泄密问题更加难以控制。 22信息安全反竞争情报中心安全隐患梳理
信息安全反竞争情报中心的安全隐患主要源于反竞争情报收集子系统、反竞争情报分析子系统和反竞争情报服务子系统之间业务上的协调不够以及各自功能的发挥不够充分。具体表现为：其一，信息安全反竞争情报中心各子系统的协调不够，导致信息的收集、整理、分析、存储以及上报不够及时；其二，反竞争情报收集子系统忽视了可能引起安全事件的�P键信息；第三，反竞争情报分析子系统对可能引起安全事件的关键信息及其来源的危害性认识不足；第四，反竞争情报服务子系统未能及时就信息安全方面的例外问题上报信息安全决策中心。
23蜜网技术支持的网络反竞争情报系统安全隐患梳理蜜网技术的应用使得网络反竞争情报系统在收集敌意侵害方的攻击信息、保护供应链信息系统情报、发现内网中可能存在的安全漏洞等方面具有重要作用，但同时蜜网技术是一把双刃剑，也会给网络反竞争情报系统带来安全隐患：其一，使网络反竞争情报系统遭受更多的攻击，交互的程度越高，模拟得越像，供应链系统陷入危险的概率就越大；其二，模拟服务的软件存在问题，也会产生新的漏洞；其三，敌意侵害方若取得Root权限，便可以自由存取目标机上的数据，然后利用已有资源继续攻击其它机器；第四，虚拟蜜网的引入使得架设蜜网的代价大幅降低，便于部署和管理，但同时也带来更大的风险，敌意侵害方有可能识别出虚拟操作系统软件的指纹，也可能攻破虚拟操作系统软件从而获得整个蜜网的控制权。
24人际情报网络系统安全隐患梳理
随着供应链共享信息平台的建设以及信息交互、信息共享水平的不断提升，人际情报网络系统的安全隐患问题愈加突出：首先，供应链共享信息平台为供应链节点企业外部人际情报网络和节点企业内部人际情报网络提供了功能强大的信息沟通平台，网络虚拟空间中的复杂人际关系增添了信息情报泄露的可能；其次，敌意竞争情报方可以利用共享信息平台中的人际情报网络，绕开供应链系统的防火墙，进入专用网络内部，更便于其竞争情报工作的开展；再者，传统的人际情报网络泄密仍然在发挥其独特的作用，敌意竞争情报方可以利用接待或访问节点企业、欺骗、引诱和拉拢节点企业关键涉密岗位人员及关联人员、通过关联第三方等渠道，获取供应链系统的敏感信息情报。
25供应链集成化信息系统安全隐患梳理
供应链集成化信息系统在实现供应链合作伙伴间的信息交互与信息共享的同时，也为敌意侵害方的竞争情报工作提供了机会。供应链集成化信息系统安全隐患可能存在以下3个环节中：其一，敌意侵害方成功地避开了供应链集成化信息系统的竞争情报检测；其二，数据流重定向器未能筛选出数据流中的竞争情报信息流，将竞争情报信息流误认为正常业务流；其三，Intranet内主机或服务器为竞争情报方提供信息存取服务，就会造成供应链系统关键信息情报的泄密。
3供应链系统情报泄密的路径分析
31信息安全治理过程监管不力造成供应链系统情报泄密信息安全决策中心安全隐患之一在于信息安全治理过程中的情报泄密。由于情报泄密可能发生在信息安全决策中心制定信息安全战略、总体规划和重大信息安全政策等的酝酿、起草、征询意见、方案评估、方案试行前的各个阶段，因此，信息安全治理工作需要统筹规划，点面结合，齐抓共管。既要制定好信息安全治理工作的总体预案，又要有分阶段的详细应对计划。对参与信息安全治理工作的部门和人员（包括高管在内）实行全流程、全员备案制，从制度上堵塞安全漏洞。
32信息安全策略管理工作滞后于供应链系统信息安全的需要信息安全反竞争情报中心的安全隐患主要源于信息安全策略管理工作不能满足供应链系统信息安全的需要。具体表现为：信息安全反竞争情报中心组织协调工作不够，各子系统不能形成合力，导致信息安全管理工作滞后；对可能引起安全事件的关键信息及其来源的危害性认识不足，未能及时发出危机预警信号；对已造成实质性危害的信息安全事件未能作出及时响应或应对措施不得力，未能及时堵塞信息安全漏洞，造成信息安全事件对供应链系统损失的扩大；对信息安全方面的例外问题，未能及时上报信息安全决策中心，延缓了高层决策者们非程序化决策工作的开展，以致高层决策者们不能及时调动整个供应链资源来消除信息安全危害。
33蜜网技术的双刃剑特征危及网络反竞争情报系统安全从蜜网环境的运行过程来看，数据包采集模块负责竞争情报方数据包的采集和预处理，因此竞争情报方数据包的质量是蜜网技术取得成功的关键，直接关系到能否精准确定竞争情报者的行为特征与感兴趣的机密信息类型。而要提高竞争情报方数据包的质量，必须尽可能迷惑竞争情报方，提高与后者之间的信息交互程度，尽量多的收集竞争情报方的特征信息。随着双方的交互程度的提高，网络反竞争情报系统遭受攻击的次数就会显著增加，一旦用于迷惑竞争情报方的模拟服务软件存在安全漏洞，就会给网络反竞争情报系统带来重大的安全隐患。此外，蜜网网关上安装的工具软件如果存在安全漏洞，竞争情报方有可能通过安全漏洞获取Root权限，作为合法用户来执行远程代码，这样便可以自由存取目标机上的数据，然后利用已有资源继续攻击其它机器。至于虚拟蜜网的安全问题，应该考虑到敌意侵害方有可能识别出虚拟操作系统软件的指纹，也可能攻破虚拟操作系统软件从而获得整个蜜网的控制权。
34人际情报网络维护成本高，监管困难，已成供应链系统安全短板由于供应链人际情报网络涉及各节点企业的外部人际情报网络和内部人际情报网络，这样不仅造成供应链人际情报网络组建时困难重重，也会给维护供应链系统各参与方的大而全的信息安全体系带来高昂的成本，更会给整个监管工作带来难以想象的困难。首先，网络虚拟空间中的复杂人际关系是任何组织都需要直面的现实问题。无论人际情报网络如何构建，一个不容否定的事实是人际情报网络是深深扎根于社会网络之中的。因此，理论上说，竞争对手完全有可能侵入竞争情报组织内部的人际关系网、竞争情报组织与企业其他职能部门之间的人际关系网，以及竞争情报组织与企业外部社会实体之间的人际关系网，达到获取供应链系统情报的目的。其次，人际情报网络的漏洞为敌意竞争情报方的趁虚而入大开方便之门。人际情报网络的漏洞主要表现为节点企业内部涉密人员在与包括供应商、分销商、包括中介机构、行业协会、物流服务企业、消费者组织、新闻记者等在内的第三方机构、竞争对手、最终消费者等节点企业外部人际情报网络打交道时，有意或无意泄露供应链系统的机密情报。再者，网络环境下的人际情报网络泄密复杂性增加，造成监管困难。诸如网络虚拟空间中的人际情报网络泄密与传统的人际情报网络泄密并存、正式组织渠道泄密与非正式组织渠道泄密并存、高管泄密与掌握关键信息技术的普通职员泄密并存等，使得供应链信息安全监管工作面对人际情报网络泄密时显得无所适从。
