【摘要】网络的开放性、虚拟性、隐蔽性、扩展性、复杂性、信息易得易复制性等特点加大了在网络环境下保护和管理技术秘密的难度。本文分析了我国相关的法律法规以及企业在网络环境下保护技术秘密的现状和存在的问题,并提出了详尽可行的解决方案。认为企业应在平时的生产、经营中注意对技术秘密的保护,并针对网络上侵犯技术秘密的特点,强化硬件装备,在技术上保证网络的信息安全,防止网络黑客从外部窃取技术秘密。同时,制定并落实严格的内部管理制度,防止技术秘密被内部人员泄漏。
【关键词】技术秘密、网络、技术、管理
新经济下,随着数字技术的飞速发展、国际互联网的普遍运用,使得各种形式的智力成果都能以数据的形式在计算机数据库或网络传输中存在,因而技术秘密的法律保护也就被抽象到其最基本的形式———信息。由于网络自身的开放性、虚拟性、隐蔽性、扩展性、复杂性、信息易得易复制性等特点,使得网上的技术秘密更容易受到侵犯。而且侵权手段、方法简便,侵权行为隐蔽,权利人往往难以防范和控制。据统计:信息窃贼在过去5年中以250%速度增长,99%的大公司都发生过大的入侵事件。现实已经使人深刻感受到,在网络环境下绝大部分的技术秘密已经不能再适用“可口可乐配方”的保护方式了。如何在网络环境下保护好技术秘密,已成为企业在全球经济一体化和国际互联网络信息技术迅猛发展的环境中保持竞争优势的不可或缺的一课。故此,本文将对网络环境下技术秘密的法律保护和管理等问题进行深入的探讨。
一、企业在网络环境下技术秘密的自我保护
技术秘密在网络上的丧失速度和范围要比在现实环境中更快、更广,通过网络对技术秘密的侵犯,其后果是非常严重的。在网络环境下保护技术秘密的途径主要有法律保护和企业的自我保密。
从上文的分析可知,在现行的保护技术秘密的法律法规中并未具体涉及网络技术秘密保护的内容,且法律可以给予技术秘密的保护只是一种事后救济。而技术秘密一旦在网络上被侵权,其给企业带来的损失远不是事后救济可以补偿的。因此,在网络环境下保护技术秘密的重心在于企业的自我保密。企业应在平时的生产、经营中注意对技术秘密的保护,并针对网络上侵犯技术秘密的特点,强化硬件装备,在技术上保证网络的信息安全,防止网络黑客从外部窃取技术秘密。同时,制定并落实严格的内部管理制度,防止技术秘密被内部人员泄漏。
1.网络环境下企业技术秘密的技术保护
网络是一个无中心控制机构的社会环境,它的这种开放特性必然带来相关的安全问题,信息的安全和企业技术秘密的保护息息相关,保障网络信息安全已成为企业管理领域日渐棘手、迫切需要解决的一项任务。由于网络环境下侵犯技术秘密手段的高技术性特点,企业首先要在技术上为技术秘密设定一道安全屏障。
2.网络中企业技术秘密保护存在的技术问题
（1）重视信息共享、忽视信息保密。企业在负责网络的规划和建设时,往往只重视应用,不重视甚至忽视安全保密措施,网络中存在很多安全漏洞,给黑客窃取企业技术秘密留下便利。
（2）两网一线的危害。有些企业的内部网和外部网使用一根网线,仅用入网口令控制访问权限,这些口令很容易被黑客破解从而加大了内部网中技术秘密被窃的几率。
（3）内部网IP地址分配存在泄密隐患。有的内部网采用分网段方式分配IP地址。只要用户的IP地址在该网段就可以进人该网络,没有按照有关保密规定处理IP地址。有时,一台电脑可以很方便地进入两种分配IP地址的网络,通过网络找出网上的有技术秘密的内部网的计算机,并下载硬盘中的部分涉密文件,从而窃取技术秘密。
（4）涉及技术秘密的网向下延伸的问题。很多职能部门与下属机关网络相连时,通过不同方式与多个上级部门的专用网络相连,这对技术秘密的安全保密来讲是非常危险的。
3.网络中技术秘密保护的技术对策
（1）在内部网和公共网之间建立物理隔离
所谓“物理隔离”是指内部网不直接或间接地连接公共网。只有使内部网和公共网物理隔离,才能真正保证企业的技术秘密不直接受到来自互联网的黑客攻击。此外,物理隔离也为内部网划定了明确的安全边界,使得网络的可控性增强,便于内部管理,所以企业应在其内部网和公共网之间建立物理隔离,以保护内网中的技术秘密。
据调查,现在有些大型企业在新设的厂区已做到了内、外网的完全物理隔离,即内网和公共网使用两条不同的网线,这样黑客就无法通过公共网来窃取企业的技术秘密了,给存在于内网中的技术秘密加了一道安全的大门。但是,原来建立的内部网和公共网还是用的同一根网线,现在再为它们铺设新的网线进行完全物理隔离是不太现实的,因此企业必须采取其他的措施对内、外网进行隔离。如在网络中增加防火墙、防病毒系统,对网络进行入侵检测、漏洞扫描等。其中,通过设置防火墙来实现内外网的隔离与访问控制是保护内部网安全的最主要同时也是最经济的措施之一。防火墙设置在不同网络或网络安全域之间信息的唯一出入口,来过滤进、出网络的数据,同时也对进、出网络的访问行为进行管理和记录。
（2）在内部网不同的网络安全域之间进行充分隔离。主要解决涉及技术秘密的信息向下延伸的问题,利用技术来实现对内部子网的物理隔离。通过在交换机上划分可以将整个网络划分为几个不同的区域,实现内部一个网段与另一个网段的物理隔离,这样,就能防止一个企业间不同厂区、部门之间技术秘密的泄漏,降低企业内部泄密的机会。
（3）对内部网使用的软件进行修改填补保护真空。大型企业在建立内部网时都会对购买的软件进行修改以适应企业实际操作的需要,但这些修改大多数是围绕软件本身适应企业特定的生产、管理的要求来进行的,很少考虑到保护技术秘密的需要。其实对软件进行修改对保护企业技术秘密来说也是非常重要的,比如内部网IP地址分配中存在泄密隐患这个问题就需要企业对软件进行修改来解决。企业办公场所的大部分计算机是不能上公共网的,但是有的员工通过在内网上搜索到能上公共网的IP地址,就可以利用代理服务器将自己的计算机连接到公共网上,造成了技术秘密外泄的隐患。
4.网络环境下技术秘密的管理制度保护
技术秘密作为企业参与市场竞争的重要的武器,仅仅依靠法律法规提供的外部保护是远远不够的,而且把希望全部寄托在高科技上来保护网络上的技术秘密也是不够的,还必须要执行严格的管理制度。据统计,在遭到网络侵袭的网站中,90%都安装了防火墙和入侵监测等安全设备,这证明了“三分技术,七分管理”,凸显了在网络环境下技术秘密保护中安全管理的必要性。因此,企业要学会进行自我保护,就应在平时的生产经营中对技术秘密进行严格的管理,建立健全严格的技术秘密管理制度并予以贯彻落实。严格的管理制度,不仅可以防止网络中技术秘密的内部泄漏也是防止黑客网上窃密的另一道屏障。
（1）对网络中的技术秘密进行分级、分类。对网络中的技术秘密进行分级、分类,是对技术秘密进行保护的前提,它是企业制定保密管理制度的依据。企业按照各级员工在生产、经营方面的实际需要,将内部网中涉及到技术秘密的信息进行分级、分类,为限制入网访问权限提供依据。规定各级员工接触秘密的权限,避免员工接触自己无权、无须接触的技术秘密。现在大多数企业都对内部网中的技术秘密进行了一定程度的分级,如管理层可以上网访问的技术秘密普通员工就无权访问。但是很多分级都比较简略不能将访问技术秘密的主体按工作性质细分,而且,很多企业都没有对技术秘密进行分类,导致了处于同一访问权限的员工可以看到其他部门的技术秘密,增加了内部泄密、窃密的风险。
（2）入网访问限制。访问限制是网络安全防范和保护的主要制度,它的主要任务是保证网络资源不被非法使用和非法访问,限定获悉技术秘密的主体应从源头防止泄密。访问权限限制主要由企业根据对网络中技术秘密的分级、分类来限定各级员工访问技术秘密的权限。网络控制员工可以访问哪些文件、资源以及员工可以执行的操作。而入网限制是控制哪些员工能够登录到服务器并获取网络资源,同时也控制准许员工入网的时间和准许他们从哪台工作站入网,减少内部窃密的措施。
（3）经常更换入网密码。入网密码是员工登录到服务器并获取网络资源的上网凭证,也是系统安全的关卡。但是在很多企业,员工的入网密码非常简单,通常就是自己的工号,而且从来不加以改变,为一些不法的员工窃取技术秘密提供了可乘之机。员工的工号可以作为入网口令中的用户名,但入网口令还必须包含入网密码,并且应要求员工经常变换入网密码,以防止内部窃密。
（4）同知悉技术秘密的个人和企业签订保密协议。采取技术措施和严格实施保密制度,在一定程度上可以避免无关人员接触技术秘密,但却不能使在工作中必须接触该秘密的人员不知悉该秘密。对于此类人员,可以通过订立保密协议,使其承担相应的保密义务的方法来防止技术秘密的泄露。在实践中能够合法地接触技术秘密的主要包括员工、客户、以及临时雇员这三类主体,企业应针对这些不同的主体,订立不同的保密协议。
现在有些保密工作做得好的企业都同自己的员工和客户签订了保密协议,但这些保密协议的内容却是千篇一律且从不改变,没有按秘密的级别进行区分。企业应根据对方接触技术秘密的级别来签订不同保密责任的保密协议,而且在员工调岗、升迁,以及客户交易性质发生改变时,都应按照他们接触技术秘密的级别重新签订相应的保密协议。
(5)对在公共网上传输的技术秘密进行加密。由于技术秘密信息的数字化形式、易复制性和分布范围广等特点,决定了在传送程序中保护信息的秘密性需要隐藏手段或其它防止无权使用及将信息发送给无权收看者的安全技术。因此,对于企业员工使用网络传输涉及技术秘密的文件、信息时,可以使用加密计算机程序,取得解密“钥匙”。信息的被送达人享有该钥匙,进行解密,而取得信息。这种措施可以解决在传送文件、信息途中的窃取、窃听,以及员工因过失按错送达对象按钮而导致泄漏技术秘密的问题。
