企業(yè)信息安全規(guī)劃精選(五篇)

序言：作為思想的載體和知識(shí)的探索者，寫作是一種獨(dú)特的藝術(shù)，我們?yōu)槟鷾?zhǔn)備了不同風(fēng)格的5篇企業(yè)信息安全規(guī)劃，期待它們能激發(fā)您的靈感。

篇1

【關(guān)鍵詞】信息系統(tǒng)；安全建設(shè)；防護(hù)體系

1.企業(yè)信息系統(tǒng)安全防護(hù)的價(jià)值

隨著企業(yè)信息化水平的提高，企業(yè)對(duì)于IT系統(tǒng)的依賴性也越來(lái)越高。一方面，“業(yè)務(wù)系統(tǒng)流程化”正在成為IT安全建設(shè)的驅(qū)動(dòng)力。企業(yè)的新業(yè)務(wù)應(yīng)用正在逐漸標(biāo)準(zhǔn)化和流程化，各種應(yīng)用系統(tǒng)如ERP、MES為企業(yè)的生產(chǎn)效率的提高起到了關(guān)鍵的作用。有效的管控IT環(huán)境，確保IT業(yè)務(wù)系統(tǒng)的持續(xù)穩(wěn)定運(yùn)行作為企業(yè)競(jìng)爭(zhēng)力的一部分，已成為IT系統(tǒng)安全防護(hù)的主要目標(biāo)和關(guān)鍵驅(qū)動(dòng)力。另一方面，企業(yè)IT安全的建設(shè)也是“法規(guī)遵從”的需要。IT系統(tǒng)作為企業(yè)財(cái)務(wù)應(yīng)用系統(tǒng)的重要支撐，必須提供可靠的運(yùn)行保障和數(shù)據(jù)正確性保證。

2.企業(yè)信息系統(tǒng)安全建設(shè)的現(xiàn)狀分析

在企業(yè)信息化建設(shè)的過(guò)程中，業(yè)務(wù)系統(tǒng)的建設(shè)一直是關(guān)注的重點(diǎn)，但是IT業(yè)務(wù)系統(tǒng)的安全保障方面，往往成為整個(gè)信息化最薄弱的環(huán)節(jié)，尤其是在信息化水平還較低的情況下，IT系統(tǒng)的安全建設(shè)缺乏統(tǒng)一的策略作為指導(dǎo)。歸結(jié)起來(lái)，企業(yè)在IT系統(tǒng)安全建設(shè)的過(guò)程中，存在以下幾方面的不足：

2.1 安全危機(jī)意識(shí)不足，制度和規(guī)范不健全

盡管知道IT安全事故后果比較嚴(yán)重，但是企業(yè)的高層領(lǐng)導(dǎo)心中仍然存在著僥幸心理，更多的時(shí)候把IT安全建設(shè)的預(yù)算挪用到其他的領(lǐng)域。企業(yè)在信息安全制度及信息安全緊急事件響應(yīng)流程等方面缺乏完整的制度和規(guī)范保證，由此帶來(lái)的后果是諸如對(duì)網(wǎng)絡(luò)的任意使用，導(dǎo)致公司的機(jī)密文檔被擴(kuò)散。同時(shí)在發(fā)生網(wǎng)絡(luò)安全問(wèn)題的時(shí)候，也因?yàn)槿狈︻A(yù)先設(shè)置的各種應(yīng)急防護(hù)措施，導(dǎo)致安全風(fēng)險(xiǎn)得不到有效控制。

2.2 應(yīng)用系統(tǒng)和安全建設(shè)相分離，忽視數(shù)據(jù)安全存儲(chǔ)建設(shè)

在企業(yè)IT應(yīng)用系統(tǒng)的建設(shè)時(shí)期，由于所屬的建設(shè)職能部門的不同，或者是因?yàn)橥顿Y預(yù)算的限制，導(dǎo)致在應(yīng)用系統(tǒng)建設(shè)階段并沒(méi)有充分考慮到安全防護(hù)的需要，為后續(xù)的應(yīng)用系統(tǒng)受到攻擊癱瘓埋下了隱患。數(shù)據(jù)安全的威脅表現(xiàn)在核心數(shù)據(jù)的丟失；各種自然災(zāi)難、IT系統(tǒng)故障，也對(duì)數(shù)據(jù)安全帶來(lái)了巨大沖擊。遺憾的是很多企業(yè)在數(shù)據(jù)的安全存儲(chǔ)方面，并沒(méi)有意識(shí)到同城異地災(zāi)難備份或遠(yuǎn)程災(zāi)難備份的重要性。

2.3 缺乏整體的安全防護(hù)體系，“簡(jiǎn)單疊加、七國(guó)八制”

對(duì)于信息安全系統(tǒng)的建設(shè)，“頭痛醫(yī)頭、腳痛醫(yī)腳”的現(xiàn)象比較普遍。大多數(shù)企業(yè)仍然停留在出現(xiàn)一個(gè)安全事故后再去解決一個(gè)安全隱患的階段，缺乏對(duì)信息安全的全盤考慮和統(tǒng)一規(guī)劃，這樣的后果就是網(wǎng)絡(luò)上的設(shè)備五花八門，設(shè)備方案之間各自為戰(zhàn)，缺乏相互關(guān)聯(lián)，從而導(dǎo)致了多種問(wèn)題。

3.企業(yè)信息系統(tǒng)安全建設(shè)規(guī)劃的原則

企業(yè)的信息化安全建設(shè)的目標(biāo)是要保證業(yè)務(wù)系統(tǒng)的正常運(yùn)轉(zhuǎn)從而為企業(yè)帶來(lái)價(jià)值，在設(shè)計(jì)高水平的安全防護(hù)體系時(shí)應(yīng)該遵循以下幾個(gè)原則：

（1）統(tǒng)一規(guī)劃設(shè)計(jì)。信息安全建設(shè)，需要遵循“統(tǒng)一規(guī)劃、統(tǒng)一標(biāo)準(zhǔn)、統(tǒng)一設(shè)計(jì)、統(tǒng)一建設(shè)”的原則；應(yīng)用系統(tǒng)的建設(shè)要和信息安全的防護(hù)要求統(tǒng)一考慮。

（2）架構(gòu)先進(jìn)，突出防護(hù)重點(diǎn)。要采用先進(jìn)的架構(gòu)，選擇成熟的主流產(chǎn)品和符合技術(shù)發(fā)展趨勢(shì)的產(chǎn)品；明確信息安全建設(shè)的重點(diǎn)，重點(diǎn)保護(hù)基礎(chǔ)網(wǎng)絡(luò)安全及關(guān)鍵應(yīng)用系統(tǒng)的安全，對(duì)不同的安全威脅進(jìn)行有針對(duì)性的方案建設(shè)。

（3）技術(shù)和管理并重，注重系統(tǒng)間的協(xié)同防護(hù)。“三分技術(shù)，七分管理”，合理劃分技術(shù)和管理的界面，從組織與流程、制度與人員、場(chǎng)地與環(huán)境、網(wǎng)絡(luò)與系統(tǒng)、數(shù)據(jù)與應(yīng)用等多方面著手，在系統(tǒng)設(shè)計(jì)、建設(shè)和運(yùn)維的多環(huán)節(jié)進(jìn)行綜合協(xié)同防范。

（4）統(tǒng)一安全管理，考慮合規(guī)性要求。建設(shè)集中的安全管理平臺(tái)，統(tǒng)一處理各種安全事件，實(shí)現(xiàn)安全預(yù)警和及時(shí)響應(yīng)；基于安全管理平臺(tái)，輸出各種合規(guī)性要求的報(bào)告，為企業(yè)的信息安全策略制定提供參考。

（5）高可靠、可擴(kuò)展的建設(shè)原則。這是任何網(wǎng)絡(luò)安全建設(shè)的必備要求，是業(yè)務(wù)連續(xù)性的需要，是滿足企業(yè)發(fā)展擴(kuò)容的需要。

4.企業(yè)信息系統(tǒng)安全建設(shè)的部署建議

以ISO27001等企業(yè)信息安全法規(guī)[1]遵從的原則為基礎(chǔ)，通過(guò)分析企業(yè)信息安全面臨的風(fēng)險(xiǎn)和前期的部署實(shí)踐，建立企業(yè)信息安全建設(shè)模型，如圖1所示。

圖1 企業(yè)信息系統(tǒng)安全建設(shè)模型

基于上述企業(yè)信息安全建設(shè)模型，在建設(shè)終端安全、網(wǎng)絡(luò)安全、應(yīng)用安全、數(shù)據(jù)安全、統(tǒng)一安全管理和滿足法規(guī)遵從的全面安全防護(hù)體系時(shí)，需要重點(diǎn)關(guān)注以下幾個(gè)方面的部署建議：

4.1 實(shí)施終端安全，關(guān)注完整的用戶行為關(guān)聯(lián)分析

在企業(yè)關(guān)注的安全事件中，信息泄漏是屬于危害比較嚴(yán)重的行為。現(xiàn)階段由于企業(yè)對(duì)網(wǎng)絡(luò)的管控不嚴(yán)，員工可以通過(guò)很多方式實(shí)現(xiàn)信息外泄，常見(jiàn)的方式有通過(guò)桌面終端的存儲(chǔ)介質(zhì)進(jìn)行拷貝或是通過(guò)QQ/MSN等聊天工具將文件進(jìn)行上傳等。針對(duì)這些高危的行為，企業(yè)在建設(shè)信息安全防護(hù)體系的時(shí)候，單純的進(jìn)行桌面安全控制或者internet上網(wǎng)行為控制都不能完全杜絕這種行為。而在統(tǒng)一規(guī)劃實(shí)施的安全防護(hù)體系中，系統(tǒng)從用戶接入的那一時(shí)刻開(kāi)始，就對(duì)用戶的桌面行為進(jìn)行監(jiān)控，同時(shí)配合internet上網(wǎng)行為審計(jì)設(shè)備，對(duì)該員工的上網(wǎng)行為進(jìn)行監(jiān)控和審計(jì)，真正做到從員工接入網(wǎng)絡(luò)開(kāi)始的各種操作行為及上網(wǎng)行為都在嚴(yán)密的監(jiān)控之中，提升企業(yè)的防護(hù)水平。

4.2 建設(shè)綜合的VPN接入平臺(tái)

無(wú)論是IPSec、L2TP，還是SSL VPN，都是企業(yè)在VPN建設(shè)過(guò)程中必然會(huì)遇到的需求。當(dāng)前階段，總部與分支節(jié)點(diǎn)的接入方式有廣域網(wǎng)專線接入和通過(guò)internet接入兩種。使用VPN進(jìn)行加密數(shù)據(jù)傳輸是通用的選擇。對(duì)于部分移動(dòng)用戶接入，也可以考慮部署SSL VPN的接入方式[2]，在這種情況下，如何做好將多種VPN類型客戶的認(rèn)證方式統(tǒng)一是需要重點(diǎn)考慮的問(wèn)題。而統(tǒng)一接入認(rèn)證的方式，如采用USBKEY等，甚至在設(shè)備采購(gòu)時(shí)就可以預(yù)先要求設(shè)備商使用一臺(tái)設(shè)備同時(shí)支持這些需求。這將給管理員的日常維護(hù)帶來(lái)極大的方便，從而提升企業(yè)整體的VPN接入水平。

4.3 優(yōu)化安全域的隔離和控制，實(shí)現(xiàn)L2～L7層的安全防護(hù)

在建設(shè)安全邊界防護(hù)控制過(guò)程中，面對(duì)企業(yè)的多個(gè)業(yè)務(wù)部門和分支機(jī)構(gòu)，合理的安全域劃分將是關(guān)鍵。按照安全域的劃分原則，企業(yè)網(wǎng)絡(luò)包括內(nèi)部園區(qū)網(wǎng)絡(luò)、Internet邊界、DMZ、數(shù)據(jù)中心、廣域網(wǎng)分支、網(wǎng)管中心等組成部分，各安全域之間的相互隔離和訪問(wèn)策略是防止安全風(fēng)險(xiǎn)的重要環(huán)節(jié)。在多樣化安全域劃分的基礎(chǔ)上，深入分析各安全域內(nèi)的業(yè)務(wù)單元，根據(jù)企業(yè)持續(xù)性運(yùn)行的高低優(yōu)先級(jí)以及面臨風(fēng)險(xiǎn)的嚴(yán)重程度，設(shè)定合適的域內(nèi)安全防護(hù)策略及安全域之間的訪問(wèn)控制策略，實(shí)現(xiàn)有針對(duì)性的安全防護(hù)。例如，選擇FW+IPS等設(shè)備進(jìn)行深層次的安全防護(hù)，或者提供防垃圾郵件、Web訪問(wèn)控制等解決方案進(jìn)行應(yīng)對(duì)，真正實(shí)現(xiàn)L2～L7層的安全防護(hù)。

4.4 強(qiáng)調(diào)網(wǎng)絡(luò)和安全方案之間的耦合聯(lián)動(dòng)，實(shí)現(xiàn)網(wǎng)絡(luò)安全由被動(dòng)防御到主動(dòng)防御的轉(zhuǎn)變

統(tǒng)一規(guī)劃的技術(shù)方案，可以做到方案之間的有效關(guān)聯(lián)，實(shí)現(xiàn)設(shè)備之間的安全聯(lián)動(dòng)。在實(shí)際部署過(guò)程中，在接入用戶側(cè)部署端點(diǎn)準(zhǔn)入解決方案，實(shí)現(xiàn)客戶端點(diǎn)安全接入網(wǎng)絡(luò)。同時(shí)啟動(dòng)安全聯(lián)動(dòng)的特性，一旦安全設(shè)備檢測(cè)到內(nèi)部網(wǎng)用戶正在對(duì)網(wǎng)絡(luò)的服務(wù)器進(jìn)行攻擊，可以實(shí)現(xiàn)對(duì)攻擊者接入位置的有效定位，并采取類似關(guān)閉接入交換機(jī)端口的動(dòng)作響應(yīng)，真正實(shí)現(xiàn)從被動(dòng)防御向主動(dòng)防御的轉(zhuǎn)變。

4.5 實(shí)現(xiàn)統(tǒng)一的安全管理，體現(xiàn)對(duì)整個(gè)網(wǎng)安全事件的“可視、可控和可管”

統(tǒng)一建設(shè)的安全防護(hù)系統(tǒng)，還有一個(gè)最為重要的優(yōu)勢(shì)，就是能實(shí)現(xiàn)對(duì)全網(wǎng)安全設(shè)備及安全事件的統(tǒng)一管理。面對(duì)各種安全設(shè)備發(fā)出來(lái)的大量的安全日志，單純靠管理員的人工操作是無(wú)能為力的，而不同廠商之間的安全日志可能還存在較大的差異，難以實(shí)現(xiàn)對(duì)全網(wǎng)安全事件的統(tǒng)一分析和報(bào)警管理。因此在規(guī)劃之初，就需要考慮到各種安全設(shè)備之間的日志格式的統(tǒng)一化，需要考慮設(shè)定相關(guān)安全策略以實(shí)現(xiàn)對(duì)日志的歸并分析并最終輸出各種合規(guī)性的報(bào)表，只有這樣才能做到對(duì)全網(wǎng)安全事件的統(tǒng)一可視、安全設(shè)備的統(tǒng)一批量配置下發(fā)，以及整網(wǎng)安全設(shè)備的防控策略的統(tǒng)一管理，最終實(shí)現(xiàn)安全運(yùn)行中心管控平臺(tái)的建設(shè)。[3]

4.6 關(guān)注數(shù)據(jù)存儲(chǔ)安全，強(qiáng)調(diào)本地?cái)?shù)據(jù)保護(hù)和遠(yuǎn)程災(zāi)難備份相結(jié)合

在整體數(shù)據(jù)安全防護(hù)策略中，可以采用本地?cái)?shù)據(jù)保護(hù)和遠(yuǎn)程災(zāi)備相結(jié)合的方式。基于CDP的數(shù)據(jù)連續(xù)保護(hù)技術(shù)可以很好地解決數(shù)據(jù)本地安全防護(hù)的問(wèn)題，與磁帶庫(kù)相比，它具有很多的技術(shù)優(yōu)勢(shì)。在數(shù)據(jù)庫(kù)的配合下，通過(guò)連續(xù)數(shù)據(jù)快照功能實(shí)現(xiàn)了對(duì)重要數(shù)據(jù)的連續(xù)數(shù)據(jù)保護(hù)，用戶可以選擇在出現(xiàn)災(zāi)難后恢復(fù)到前面保存過(guò)的任何時(shí)間點(diǎn)的狀態(tài)，同時(shí)支持對(duì)“漸變式災(zāi)難”的保護(hù)和恢復(fù)。在建設(shè)異地的災(zāi)備中心時(shí)，可以考慮從數(shù)據(jù)級(jí)災(zāi)備和應(yīng)用級(jí)災(zāi)備兩個(gè)層面進(jìn)行。生產(chǎn)中心和異地災(zāi)備中心的網(wǎng)絡(luò)連接方式可以靈活選擇，即可采用光纖直連，也可采用足夠帶寬的IP網(wǎng)絡(luò)連接。在數(shù)據(jù)同步方式選擇上，生產(chǎn)中心和災(zāi)備中心采用基于磁盤陣列的異步復(fù)制技術(shù)，實(shí)現(xiàn)數(shù)據(jù)的異地災(zāi)備。異地災(zāi)備中心還可以有選擇地部署部分關(guān)鍵應(yīng)用服務(wù)器，以提供對(duì)關(guān)鍵業(yè)務(wù)的應(yīng)用級(jí)接管能力，從而實(shí)現(xiàn)對(duì)數(shù)據(jù)安全的有效防護(hù)。

5.結(jié)束語(yǔ)

企業(yè)信息安全防護(hù)體系的建設(shè)是一個(gè)長(zhǎng)期的持續(xù)的工作，不是一蹴而就的，就像現(xiàn)階段的信息安全威脅也在不斷的發(fā)展和更新，針對(duì)這些信息安全威脅的防護(hù)手段也需要逐步的更新并應(yīng)用到企業(yè)的信息安全建設(shè)之中，這種動(dòng)態(tài)的過(guò)程將使得企業(yè)的信息安全防護(hù)更有生命力和主動(dòng)性，真正為企業(yè)的業(yè)務(wù)永續(xù)運(yùn)行提供保障。

參考文獻(xiàn)

[1]李納.計(jì)算機(jī)系統(tǒng)安全與計(jì)算機(jī)網(wǎng)絡(luò)安全淺析[J].科技與企業(yè)，2013.

[2]李群，周相廣，陳剛.中國(guó)石油上游信息系統(tǒng)災(zāi)難備份技術(shù)與實(shí)踐[J].信息技術(shù)與信息化，2010，06.

篇2

在進(jìn)行信息安全總體架構(gòu)規(guī)劃時(shí)，企業(yè)容易陷入兩個(gè)誤區(qū): 一是羅列一堆產(chǎn)品和技術(shù)，把能夠看到的安全產(chǎn)品和安全技術(shù)（防火墻、防病毒、入侵監(jiān)測(cè)、加密技術(shù)、VPN、終端準(zhǔn)入控制）都堆砌起來(lái)，以為這樣就構(gòu)成了全面的安全屏障; 二是把企業(yè)信息安全等同于網(wǎng)絡(luò)安全，給出的規(guī)劃也只能是局部的、殘缺不全的。

要做企業(yè)信息安全總體架構(gòu)規(guī)劃，首先要了解企業(yè)的信息安全需求。拋開(kāi)需求做規(guī)劃，難免會(huì)掉進(jìn)前面所講的兩種誤區(qū)中。因此，做規(guī)劃要從需求入手。

企業(yè)信息安全總體架構(gòu)規(guī)劃模型（圖1）以企業(yè)信息安全的需求（保密性、完整性、可用性）為出發(fā)點(diǎn)，以應(yīng)用安全、數(shù)據(jù)安全、主機(jī)安全、網(wǎng)絡(luò)安全、桌面安全、物理安全為關(guān)注重點(diǎn)，層層剖析、全面挖掘企業(yè)的信息安全需求，是一種將管理、技術(shù)和人員三者有機(jī)結(jié)合的企業(yè)信息安全保障體系。該模型均衡考慮了企業(yè)在保密性（C）、完整性（I）和可用性（A）三方面的安全需求。

企業(yè)信息安全總體架構(gòu)規(guī)劃模型雖然清晰地指出了規(guī)劃的要點(diǎn)、重點(diǎn)和思路，但是按照此模型還是不知道如何去做，具體實(shí)施應(yīng)參照一定的方法論進(jìn)行。企業(yè)信息安全總體架構(gòu)規(guī)劃方法論（圖2）融合了以管理和技術(shù)為核心的全面分析方法，以安全需求為焦點(diǎn)，從管理現(xiàn)狀、技術(shù)現(xiàn)狀和人員狀況三個(gè)維度，綜合采用調(diào)查問(wèn)卷、人員訪談、現(xiàn)場(chǎng)察看、資料分析、技術(shù)檢測(cè)等多種手段，全面深入地挖掘需求。在明確需求的前提下，借鑒同類企業(yè)成功經(jīng)驗(yàn)并均衡考慮CIA（保密性、完整性、可用性），規(guī)劃符合企業(yè)實(shí)情的信息安全保障體系。

在企業(yè)信息安全總體架構(gòu)規(guī)劃方法論中，重點(diǎn)工作的描述如下:

調(diào)查問(wèn)卷

針對(duì)企業(yè)情況，信息主管應(yīng)參照ISO27001/ISO13335等標(biāo)準(zhǔn)，制定相應(yīng)的調(diào)查問(wèn)卷，通過(guò)它全面了解企業(yè)的安全要求、安全狀況、IT環(huán)境，以及企業(yè)信息系統(tǒng)的應(yīng)用情況和已經(jīng)采取的安全控制手段。

人員訪談

應(yīng)選定關(guān)鍵領(lǐng)導(dǎo)和關(guān)鍵崗位，進(jìn)行人員訪談，全面了解信息系統(tǒng)的安全需求，層層剖析、深入了解企業(yè)信息系統(tǒng)各層面的安全現(xiàn)狀，包括應(yīng)用狀況、數(shù)據(jù)存儲(chǔ)及數(shù)據(jù)庫(kù)、主機(jī)及操作系統(tǒng)、網(wǎng)絡(luò)拓?fù)浼熬W(wǎng)絡(luò)管理、數(shù)據(jù)中心及桌面管理等。

現(xiàn)場(chǎng)查看

為了確保獲取信息的全面性和準(zhǔn)確性，實(shí)地考察是非常必要的。現(xiàn)場(chǎng)查看主要有兩方面。一方面是了解現(xiàn)有技術(shù)措施的情況，例如設(shè)備使用狀況、技術(shù)應(yīng)用狀況等; 另一方面是物理環(huán)境察看，例如機(jī)房、辦公室、其他重要區(qū)域、門禁、監(jiān)控等。

資料分析

收集企業(yè)的相關(guān)資料進(jìn)行分析，重點(diǎn)包括信息系統(tǒng)的部署架構(gòu)、網(wǎng)絡(luò)架構(gòu)、安全制度、運(yùn)維管理、IT運(yùn)行報(bào)告和IT審計(jì)報(bào)告。

技術(shù)檢測(cè)

采取技術(shù)手段進(jìn)行漏洞檢測(cè)和分析，包括滲透測(cè)試、漏洞掃描、本地檢查和手工檢查等。充分發(fā)掘網(wǎng)絡(luò)方面的漏洞、主機(jī)及操作系統(tǒng)漏洞、數(shù)據(jù)庫(kù)方面的漏洞、應(yīng)用方面的漏洞等。

CIA均衡考慮

通過(guò)前面5種方法完成需求分析之后，CIO對(duì)信息安全的具體詳細(xì)的需求就了解了。然后針對(duì)企業(yè)的信息安全需求，均衡考慮CIA三個(gè)方面設(shè)計(jì)技術(shù)、管理和人員控制措施，并將這些措施有機(jī)結(jié)合構(gòu)建信息安全保障體系。

篇3

關(guān)鍵詞：信息完全；技術(shù)；體系

一、前言

隨著金川集團(tuán)公司跨國(guó)經(jīng)營(yíng)戰(zhàn)略的實(shí)施，企業(yè)信息化進(jìn)程不斷深入，企業(yè)信息安全己經(jīng)引起公司領(lǐng)導(dǎo)的的高度重視，但依然存在不少問(wèn)題。調(diào)查結(jié)果表明，造成網(wǎng)絡(luò)安全事件發(fā)生的原因有很多，一是安全技術(shù)保障體系尚不完善，企業(yè)花了大量的金錢購(gòu)買了信息安全設(shè)備，但是技術(shù)保障不成體系，達(dá)不到預(yù)想的目標(biāo);二是應(yīng)急反應(yīng)體系沒(méi)有經(jīng)常化、制度化;三是企業(yè)信息安全的標(biāo)準(zhǔn)、制度建設(shè)滯后。其中，由于未修補(bǔ)或防范軟件漏洞導(dǎo)致發(fā)生安全事件的占安全事件總數(shù)的80%，登錄密碼過(guò)于簡(jiǎn)單或未修改密碼導(dǎo)致發(fā)生安全事件的占19%。近年來(lái)，雖然使用單位對(duì)信息網(wǎng)絡(luò)安全管理工作的重視程度普遍提高，80%的被調(diào)查單位有專職或兼職的安全管理人員，但是，很多企業(yè)存在安全觀念薄弱、安全管理員缺乏培訓(xùn)、安全經(jīng)費(fèi)投入不足和安全產(chǎn)品不能滿足要求等問(wèn)題，也說(shuō)明目前安全管理水平還比較低。因此現(xiàn)代企業(yè)迫切需要建立信息資源安全管理體系。

二、企業(yè)信息資源安全管理體系構(gòu)建

1、企業(yè)信息安全組織管理

企業(yè)信息安全組織體系定義為一個(gè)三層的組織，組織架構(gòu)如圖所示:

企業(yè)信息安全組織

l)總經(jīng)理通過(guò)總經(jīng)辦負(fù)責(zé)企業(yè)信息、安全的決策事項(xiàng)。2)總經(jīng)理任命一名信息安全主管負(fù)責(zé)企業(yè)信息安全的風(fēng)險(xiǎn)管理，該主管領(lǐng)導(dǎo)一個(gè)有各個(gè)部門主要負(fù)責(zé)人參加的信息安全管理小組維護(hù)企業(yè)信息安全管理體系、管理企業(yè)信息安全風(fēng)險(xiǎn)。3)總經(jīng)理任命一名信息安全審計(jì)師，負(fù)責(zé)企業(yè)信息安全活動(dòng)的審計(jì)。4)行政部門、業(yè)務(wù)部門和分支機(jī)構(gòu)執(zhí)行信息安全管理體系中的相應(yīng)安全政策，并在信息安全管理主管的領(lǐng)導(dǎo)下，實(shí)施風(fēng)險(xiǎn)管理計(jì)劃。各個(gè)部門負(fù)責(zé)人有義務(wù)向信息安全主管報(bào)告所管轄部門的信息安全狀況，信息安全主管應(yīng)定期在組織范圍內(nèi)和向上級(jí)機(jī)關(guān)報(bào)告企業(yè)信息安全狀況。

2、企業(yè)信息安全政策管理

根據(jù)企業(yè)信息安全風(fēng)險(xiǎn)分析的結(jié)果和信息安全政策制定的原則，設(shè)計(jì)信息安全政策體系包括以下幾點(diǎn)：（1）企業(yè)信息安全風(fēng)險(xiǎn)管理政策：a)信息安全風(fēng)險(xiǎn)定義，包括風(fēng)險(xiǎn)等級(jí)定義和安全類別定義;b)信息安全風(fēng)險(xiǎn)評(píng)估執(zhí)行要求，包括時(shí)問(wèn)周期要求、范圍要求、基于事件的風(fēng)險(xiǎn)評(píng)估要求:c)信息安全風(fēng)險(xiǎn)評(píng)估責(zé)任，包括信息安全管理人員責(zé)任和業(yè)務(wù)部門責(zé)任。（2）企業(yè)信息安全體系管理政策：a)管理體系的規(guī)劃，包括規(guī)劃的時(shí)機(jī)、規(guī)劃的內(nèi)容、規(guī)劃的依據(jù)、規(guī)劃的責(zé)任人:b)管理體系的實(shí)施，包括、培訓(xùn)、執(zhí)行獎(jiǎng)懲。c)管理體系的驗(yàn)證，包括周期管理評(píng)審、安全審計(jì)、事件評(píng)審、殘留風(fēng)險(xiǎn)評(píng)估。d)管理體系的改進(jìn)，包括分析和變更控制。（3）病毒抵御安全政策：a)操作程序一運(yùn)行網(wǎng)絡(luò)管理人員日常工作的程序。這部分安全政策主要控制的風(fēng)險(xiǎn)是不規(guī)范的管理活動(dòng)造成無(wú)效或低效的管理。b)關(guān)鍵資源監(jiān)控一識(shí)別出關(guān)鍵設(shè)備并對(duì)關(guān)鍵設(shè)備的運(yùn)行狀態(tài)進(jìn)行監(jiān)控。這部分安全政策主要控制的風(fēng)險(xiǎn)是關(guān)鍵資源異常情況不能被及時(shí)發(fā)現(xiàn)和處理。c)軟件系統(tǒng)維護(hù)一對(duì)軟件系統(tǒng)及時(shí)地升級(jí)和打補(bǔ)丁。這部分安全政策主要控制的風(fēng)險(xiǎn)是軟件系統(tǒng)未及時(shí)升級(jí)和/或打補(bǔ)丁而造成的信息故障或者安全事故。d)敏感資料存儲(chǔ)一對(duì)在業(yè)務(wù)進(jìn)行過(guò)程中產(chǎn)生的敏感信息的存放管理。這部分安全政策主要控制的風(fēng)險(xiǎn)是由于對(duì)敏感資料存儲(chǔ)不當(dāng)導(dǎo)致資料的丟失或泄漏。

3、企業(yè)信息安全事件管理

目前，沒(méi)有任何一種具有代表性的信息安全策略或防護(hù)措施可對(duì)信息、信息系統(tǒng)、服務(wù)或網(wǎng)絡(luò)提供絕對(duì)的保護(hù)。即使采取了防護(hù)措施，仍可能存在殘留的弱點(diǎn)，使得信息安全防護(hù)變得無(wú)效，從而導(dǎo)致信息安全事件發(fā)生，并對(duì)企業(yè)的業(yè)務(wù)運(yùn)行直接或間接地產(chǎn)生負(fù)面影響。此外，以前未被認(rèn)識(shí)到的威脅也將會(huì)不可避免地發(fā)生。企業(yè)如果對(duì)如何應(yīng)對(duì)這些事件沒(méi)有作好充分準(zhǔn)備，其任何實(shí)際響應(yīng)的效率都會(huì)大打折扣，甚至還可能增加潛在的業(yè)務(wù)負(fù)面影響。因此，企業(yè)應(yīng)著重做好信息安全事件管理工作。信息安全事件管理方案的必企業(yè)應(yīng)著重做好信息安全事件管理工作。信息安全事件管理方案的必要過(guò)程包括：（1）發(fā)現(xiàn)和報(bào)告發(fā)生的信息安全事態(tài)，無(wú)論是由企業(yè)人員／顧客引起的還是自動(dòng)發(fā)生的（如防火墻警報(bào)）。（2）收集有關(guān)信息安全事態(tài)的信息，由企業(yè)的運(yùn)行支持組人員進(jìn)行評(píng)估，確定該事態(tài)屬于信息安全事件還是發(fā)生了誤報(bào)。確認(rèn)該事態(tài)是否屬于信息安全事件，如果是，則立即作出響應(yīng)，同時(shí)啟動(dòng)必要的法律取證分析、溝通活動(dòng)。（3）進(jìn)行評(píng)審以確定該信息安全事件是否處于控制下。（4）如果處于控制下，則啟動(dòng)任何所需要的進(jìn)一步的后續(xù)響應(yīng)，以確保所有相關(guān)信息準(zhǔn)備完畢，供事件解決后評(píng)審所用。（5）如果不在控制下，則采取“危機(jī)求助”活動(dòng)并召集相關(guān)人員，如企業(yè)中負(fù)責(zé)業(yè)務(wù)連續(xù)性的管理者和工作組。（6）在整個(gè)階段按要求進(jìn)行上報(bào)，以便進(jìn)一步評(píng)估和決策。（7）確保所有相關(guān)人員，正確記錄所有活動(dòng)以備后面分析所用。（8）確保對(duì)電子證據(jù)進(jìn)行收集和安全保存，同時(shí)確保電子證據(jù)的安全保存得到持續(xù)監(jiān)視，以備法律起訴或內(nèi)部處罰所需。（9）確保包括信息安全事件追蹤和事件報(bào)告更新的變更控制制度得到維護(hù)，從而使得信息安全事態(tài)／事件數(shù)據(jù)庫(kù)保持最新。

4、企業(yè)信息安全技術(shù)管理

我們所構(gòu)建的信息安全管理體系中，不能忽視技術(shù)的作用，雖然只使用技術(shù)控制不能保證一個(gè)信息安全環(huán)境，但是在通常情況下，它是信息安全項(xiàng)目的基礎(chǔ)部分。（1）密碼服務(wù)技術(shù)。密碼服務(wù)技術(shù)為密碼的有效應(yīng)用提供技術(shù)支持。通常密碼服務(wù)系統(tǒng)由密碼芯片、密碼模塊、密碼機(jī)或軟件，以及密碼服務(wù)接口構(gòu)成。通常，企業(yè)會(huì)涉及以下幾個(gè)方面的密碼應(yīng)用：數(shù)字證書(shū)運(yùn)算、密鑰加密運(yùn)算、數(shù)據(jù)傳輸、數(shù)據(jù)儲(chǔ)存、數(shù)字簽名、數(shù)字信封。（2）故障恢復(fù)技術(shù)。故障恢復(fù)的主要措施有：群集配置，由多臺(tái)計(jì)算機(jī)組成群集結(jié)構(gòu)，盡可能消除整個(gè)系統(tǒng)可能存在的單點(diǎn)故障；雙機(jī)熱備份，在任何一臺(tái)設(shè)備失效的情況下，按照預(yù)先定義的規(guī)則快速切換至相應(yīng)的備份設(shè)備，維持業(yè)務(wù)的正常運(yùn)行；故障恢復(fù)管理，由專門的集群軟件進(jìn)行管理和監(jiān)控，使應(yīng)用系統(tǒng)在任何軟硬件組成單元發(fā)生故障時(shí)，能夠根據(jù) 故障情況重新分配任務(wù)。（3）惡意代碼防范技術(shù)：惡意代碼防范技術(shù)包括四大系統(tǒng)：病毒查殺系統(tǒng)、網(wǎng)關(guān)防毒系統(tǒng)、群件防毒系統(tǒng)、集中管理系統(tǒng)。（4）入侵檢測(cè)技術(shù)。入侵檢測(cè)系統(tǒng)是實(shí)現(xiàn)入侵檢測(cè)功能的一系列的軟件、硬件的組合。入侵檢測(cè)系統(tǒng)以實(shí)時(shí)方式監(jiān)測(cè)網(wǎng)絡(luò)通信，對(duì)其進(jìn)行分析并實(shí)時(shí)安全預(yù)警，從而使企業(yè)能夠有效管理內(nèi)部人員和資源，并對(duì)外部攻擊進(jìn)行早期預(yù)警和跟蹤，有效保障系統(tǒng)安全。基于主機(jī)的入侵檢測(cè)系統(tǒng)通常以系統(tǒng)日志、應(yīng)用程序日志等審計(jì)記錄文件作為數(shù)據(jù)源。通過(guò)比較這些審計(jì)記錄文件與攻擊簽名是否匹配，如果匹配立即報(bào)警采取行動(dòng).基于網(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng)把原始的網(wǎng)絡(luò)數(shù)據(jù)包作為數(shù)據(jù)源。它是利用網(wǎng)絡(luò)適配器來(lái)實(shí)時(shí)監(jiān)視并分析通過(guò)網(wǎng)絡(luò)進(jìn)行傳輸?shù)乃型ㄐ艠I(yè)務(wù)。（5）掃描與分析技術(shù)。端口掃描工具能識(shí)別網(wǎng)絡(luò)上活動(dòng)的計(jì)算機(jī)，同樣也可以識(shí)別這些計(jì)算機(jī)上的活動(dòng)端口和服務(wù)。可以掃描特定類型的計(jì)算機(jī)、協(xié)議和資源，也可進(jìn)行普遍掃描。漏洞掃描可以掃描網(wǎng)絡(luò)并得到非常詳細(xì)的信息。可以識(shí)別暴露的用戶名和組，顯示開(kāi)放的網(wǎng)絡(luò)共享，并暴露配置問(wèn)題和其他服務(wù)器漏洞。內(nèi)容過(guò)濾器也能有效地保護(hù)機(jī)構(gòu)系統(tǒng)，使其不受誤用和無(wú)意的拒絕服務(wù)。

5、企業(yè)信息安全培訓(xùn)的必要性

公司目前很多崗位和部門的員工都從事涉密數(shù)據(jù)相關(guān)工作，有很多數(shù)據(jù)和信息涉及到公司的機(jī)密和知識(shí)產(chǎn)權(quán)，但是大多數(shù)員工信息安全意識(shí)差，在平時(shí)的工作中在意識(shí)上和實(shí)際工作中存在很多問(wèn)題，導(dǎo)致涉密數(shù)據(jù)的外漏，給公司的生產(chǎn)經(jīng)營(yíng)造成不可挽回的損失。在有管理組織、政策制度和技術(shù)保障的情況下，通過(guò)對(duì)涉密數(shù)據(jù)相關(guān)工作人員的信息安全意識(shí)和信息安全操作培訓(xùn)是非常必要的。

三、結(jié)語(yǔ)

總之，企業(yè)信息安全管理體系是一個(gè)企業(yè)日常經(jīng)營(yíng)和持續(xù)發(fā)展的基本保證，也是企業(yè)戰(zhàn)略和管理的重要環(huán)節(jié)。建立信息安全管理體系的目的就是降低信息風(fēng)險(xiǎn)對(duì)企業(yè)的危害。并將企業(yè)信息系統(tǒng)投資和商業(yè)利益最大化。信息安全不只是個(gè)技術(shù)問(wèn)題，而更多的是商業(yè)、管理和法律問(wèn)題。實(shí)現(xiàn)信息安全不僅僅需要采用技術(shù)措施，還需要更多地借助于技術(shù)以外的其他手段。

參考文獻(xiàn)：

篇4

關(guān)鍵詞： 企業(yè)信息系統(tǒng)；信息安全；安全策略

中圖分類號(hào)：F270.7 文獻(xiàn)標(biāo)識(shí)碼：A 文章編號(hào)：1671－7597（2012）0220165－01

隨著市場(chǎng)經(jīng)濟(jì)的不斷發(fā)展，企業(yè)競(jìng)爭(zhēng)越來(lái)越激烈，國(guó)際化合作不斷增多，隨之而來(lái)的企業(yè)信息安全是目前我國(guó)企業(yè)普遍存在的問(wèn)題。對(duì)企業(yè)來(lái)說(shuō)，信息安全是一項(xiàng)艱巨的工作，關(guān)系到企業(yè)的發(fā)展。近年來(lái)，圍繞企業(yè)信息安全問(wèn)題的話題不斷，企業(yè)信息安全事件也頻頻發(fā)生，如何保證企業(yè)信息的安全，保證信息系統(tǒng)的正常運(yùn)轉(zhuǎn)，已經(jīng)成為信息安全領(lǐng)域研究的新熱點(diǎn)。

1 企業(yè)信息安全的意義

信息安全是一個(gè)含義廣泛的名詞，是指防止信息財(cái)產(chǎn)被故意的或偶然的非授權(quán)泄露、更改、破壞，或防止信息被非法辨識(shí)、控制，即確保信息的保密性、可用性、完整性和可控性。企業(yè)的正常運(yùn)轉(zhuǎn)，離不開(kāi)信息資源的支撐。企業(yè)信息安全建設(shè)對(duì)企業(yè)的發(fā)展意義重大。

首先，信息安全是時(shí)展的需要。計(jì)算機(jī)網(wǎng)絡(luò)時(shí)代的發(fā)展，改變了傳統(tǒng)的商務(wù)運(yùn)作模式，改變了企業(yè)的生產(chǎn)方式和思想觀念，極大推動(dòng)了企業(yè)文化的發(fā)展。企業(yè)信息安全的建設(shè)將使得企業(yè)的管理水平與國(guó)際先進(jìn)水平接軌，從而成長(zhǎng)為企業(yè)向國(guó)際化發(fā)展與合作的有力支撐。

其次，信息安全是企業(yè)發(fā)展的需要。企業(yè)的信息化建設(shè)帶來(lái)了生產(chǎn)效率提高、成本降低、業(yè)務(wù)拓展等諸多好處。當(dāng)前越來(lái)越多的企業(yè)信息和數(shù)據(jù)，都是以電子文檔的形式存在，對(duì)企業(yè)來(lái)說(shuō)，信息安全是使企業(yè)信息不受威脅和侵害的保證，是企業(yè)發(fā)展的基本保障，所以，在積極防御，綜合防范的方針指導(dǎo)下，有效地防范和規(guī)避風(fēng)險(xiǎn)，建立起一套切實(shí)可行的長(zhǎng)效防范機(jī)制，逐步建立起信息安全保障體系，有利于企業(yè)的發(fā)展。

最后，信息安全是企業(yè)穩(wěn)定的必要前提。信息安全成為保障和促進(jìn)企業(yè)穩(wěn)定和信息化發(fā)展的重點(diǎn)，要充分認(rèn)識(shí)信息安全工作的緊迫感和長(zhǎng)期性，從企業(yè)的安全、經(jīng)濟(jì)發(fā)展、企業(yè)穩(wěn)定和保護(hù)企業(yè)利益的角度來(lái)思考問(wèn)題，扎扎實(shí)實(shí)地做好基礎(chǔ)性工作和基礎(chǔ)設(shè)施建設(shè)，在建立信息安全保障體系的過(guò)程中，必須搞好鏈接信息安全保障體系建設(shè)安全、建設(shè)健康的網(wǎng)絡(luò)環(huán)境，關(guān)注信息戰(zhàn)略，保障和促進(jìn)信息化的健康發(fā)展。

2 企業(yè)信息安全的現(xiàn)狀

我國(guó)企業(yè)信息安全包括計(jì)算機(jī)系統(tǒng)的硬、軟件及系統(tǒng)中的數(shù)據(jù)受到保護(hù)，不受偶然的或惡意的原因而遭到破壞、更改、泄露，使得系統(tǒng)連續(xù)、可靠、正常的運(yùn)行，網(wǎng)絡(luò)服務(wù)不中斷。計(jì)算機(jī)和網(wǎng)絡(luò)技術(shù)具有復(fù)雜性和多樣性，使得企業(yè)信息安全成為一個(gè)需要持續(xù)更新和提高的領(lǐng)域。就目前來(lái)看，主要存在以下三個(gè)方面的隱患。

2.1 企業(yè)缺少信息安全管理制度

企業(yè)信息安全是一個(gè)比較新的領(lǐng)域，目前還缺少比較完善的法規(guī)，現(xiàn)有的法規(guī)，由于相關(guān)安全技術(shù)和手段還沒(méi)有成熟和標(biāo)準(zhǔn)化，法規(guī)也不能很好地被執(zhí)行，安全標(biāo)準(zhǔn)和規(guī)范的缺少，導(dǎo)致無(wú)從制定合理的安全策略并確保此策略能被有效執(zhí)行。企業(yè)的信息系統(tǒng)安全問(wèn)題是一個(gè)系統(tǒng)工程，涉及到計(jì)算機(jī)技術(shù)和網(wǎng)絡(luò)技術(shù)以及管理等方方面面，同時(shí)，隨著信息系統(tǒng)的延伸和新興技術(shù)集成應(yīng)用升級(jí)換代，它又是一個(gè)不斷發(fā)展的動(dòng)態(tài)過(guò)程。因此對(duì)企業(yè)信息系統(tǒng)運(yùn)行風(fēng)險(xiǎn)和安全需求應(yīng)進(jìn)行同期化的管理，不斷制定和調(diào)整安全策略，只有這樣，才能在享受企業(yè)信息系統(tǒng)便利高效的同時(shí)，把握住信息系統(tǒng)安全的大門。

2.2 員工缺少安全管理的責(zé)任心

一個(gè)企業(yè)的信息系統(tǒng)是企業(yè)全體人員參與的，不考慮全員參與的信息安全方案，恰恰忽視信息安全中最關(guān)鍵的因素――人，因?yàn)樗麄儾攀瞧髽I(yè)信息系統(tǒng)的提供者和使用者，他們是影響信息安全系統(tǒng)能否達(dá)到預(yù)期要求的決定因素。在眾多的攻擊行為和事件中，發(fā)生最多的安全事件是信息泄露事件。攻擊者主要來(lái)自企業(yè)內(nèi)部，而不是來(lái)自企業(yè)外部的黑客等攻擊者，安全事件造成最大的經(jīng)濟(jì)損失主要是內(nèi)部人員有意或無(wú)意的信息泄露事件。針對(duì)內(nèi)部員工的泄密行為，目前還沒(méi)有成熟的、全面的解決，對(duì)于來(lái)自企業(yè)信息內(nèi)部信息泄密的安全問(wèn)題，一直是整個(gè)信息安全保障體系的難點(diǎn)和弱點(diǎn)所在。

2.3 信息系統(tǒng)缺乏信息安全技術(shù)

計(jì)算機(jī)信息安全技術(shù)是一門由密碼應(yīng)用技術(shù)、信息安全技術(shù)、數(shù)據(jù)災(zāi)難與數(shù)據(jù)恢復(fù)技術(shù)、操作系統(tǒng)維護(hù)技術(shù)、局域網(wǎng)組網(wǎng)與維護(hù)技術(shù)、數(shù)據(jù)庫(kù)應(yīng)用技術(shù)等組成的計(jì)算機(jī)綜合應(yīng)用學(xué)科。由于認(rèn)識(shí)能力和技術(shù)發(fā)展的局限性，在硬件和軟件設(shè)計(jì)過(guò)程中，難免留下技術(shù)缺陷，網(wǎng)絡(luò)硬件、軟件系統(tǒng)多數(shù)依靠進(jìn)口，由此可造成企業(yè)信息安全的隱患，現(xiàn)在黑客的攻擊并不是為了破壞底層系統(tǒng)，而是為了入侵應(yīng)用，竊取數(shù)據(jù)，帶有明顯的商業(yè)目的，許多黑客就是通過(guò)計(jì)算機(jī)操作系統(tǒng)的漏洞和后門程序進(jìn)入企業(yè)信息系統(tǒng)。隨著網(wǎng)絡(luò)應(yīng)用要求的越來(lái)越多，針對(duì)應(yīng)用的攻擊也越來(lái)越多，除了在管理制度上確保信息安全外，還要在技術(shù)上確保信息安全。

3 企業(yè)信息安全中存在的問(wèn)題

信息時(shí)代的到來(lái)，從根本上改變了企業(yè)經(jīng)營(yíng)形式，企業(yè)實(shí)施信息化為其帶來(lái)便利的同時(shí)也產(chǎn)生了巨大的信息安全風(fēng)險(xiǎn)。由于我國(guó)企業(yè)信息安全工作還處于起步階段，基礎(chǔ)薄弱，導(dǎo)致信息安全存在一些亟待解決的問(wèn)題。比較常見(jiàn)的問(wèn)題有病毒危害、“黑客”攻擊和網(wǎng)絡(luò)攻擊等，這些問(wèn)題給企業(yè)造成直接的經(jīng)濟(jì)損失，成為企業(yè)信息安全的最大威脅，使企業(yè)信息安全存在著風(fēng)險(xiǎn)因素。

3.1 病毒危害

計(jì)算機(jī)病毒是指編制或者在計(jì)算機(jī)程序中插入的破壞計(jì)算機(jī)功能或者數(shù)據(jù)，影響計(jì)算機(jī)使用并且能夠自我復(fù)制的一組計(jì)算機(jī)指令或者程序代碼，它是具有破壞作用的程序或指令集合。計(jì)算機(jī)病毒已經(jīng)泛濫成災(zāi)，幾乎無(wú)孔不入，據(jù)統(tǒng)計(jì)，計(jì)算機(jī)病毒的種類已經(jīng)超過(guò)4萬(wàn)多種，而且還在以每年40%的速度在遞增，隨著Internet技術(shù)的發(fā)展，病毒在企業(yè)信息系統(tǒng)中傳播的速度越來(lái)越快，其破壞性也越來(lái)越來(lái)越強(qiáng)。

3.2 “黑客”攻擊

“黑客”是英文Hacker的諧音，黑客是利用技術(shù)手段進(jìn)入其權(quán)限以外的計(jì)算機(jī)系統(tǒng)的人。黑客破解或破壞某個(gè)程序、系統(tǒng)及網(wǎng)絡(luò)安全，或者破解某系統(tǒng)或網(wǎng)絡(luò)以提醒該系統(tǒng)所有者的系統(tǒng)安全漏洞的過(guò)程。通常采用后門程序、信息炸彈、拒絕服務(wù)、網(wǎng)絡(luò)監(jiān)聽(tīng)、密碼破解等手段侵入計(jì)算機(jī)系統(tǒng)，盜竊系統(tǒng)保密信息，進(jìn)行信息破壞或占用系統(tǒng)資源，黑客攻擊已經(jīng)成為近年來(lái)經(jīng)常出現(xiàn)的問(wèn)題。

3.3 網(wǎng)絡(luò)攻擊

網(wǎng)絡(luò)攻擊就是對(duì)網(wǎng)絡(luò)安全威脅的具體表現(xiàn)，利用網(wǎng)絡(luò)存在的漏洞和安全缺陷對(duì)系統(tǒng)和資源進(jìn)行的攻擊。尤其是在最近幾年里，網(wǎng)絡(luò)攻擊技術(shù)和攻擊工具有了新的發(fā)展趨勢(shì)，使借助Internet運(yùn)行業(yè)務(wù)的企業(yè)面臨著前所未有的風(fēng)險(xiǎn)。由此可知，企業(yè)的信息安全問(wèn)題、以及對(duì)信息的安全管理都是至關(guān)重要的。要保證企業(yè)信息安全，就必須找出存在信息安全問(wèn)題的根源，并具有良好的安全管理策略。

4 企業(yè)信息安全的解決方案

為確保企業(yè)信息安全，要堅(jiān)持積極防御，綜合防范的方針，全面提高信息安全防護(hù)能力。因此，面對(duì)企業(yè)信息安全的現(xiàn)狀和企業(yè)信息安全發(fā)展中出現(xiàn)的問(wèn)題，必須實(shí)施對(duì)企業(yè)的信息安全管理，建設(shè)信息安全管理體系，只有建立完善的安全管理制度，將信息安全管理自始至終貫徹落實(shí)于信息管理系統(tǒng)的方方面面，企業(yè)信息安全才能得以實(shí)現(xiàn)。企業(yè)信息安全的解決方案，具體表現(xiàn)在以下三個(gè)方面：

4.1 建立完善的安全管理體系

完整的企業(yè)信息系統(tǒng)安全管理體系首先要建立完善的組織體系，完成制定并信息安全管理規(guī)范和建立信息安全管理組織等工作，保障信息安全措施的落實(shí)以及信息安全體系自身的不斷完善。并建立一套信息安全規(guī)范，詳細(xì)說(shuō)明各種信息安全策略。一個(gè)詳細(xì)的信息安全規(guī)劃可以減輕對(duì)于人的因素帶來(lái)的信息安全問(wèn)題。最基本的企業(yè)安全管理過(guò)程包括：采用科學(xué)的企業(yè)信息資產(chǎn)評(píng)估和風(fēng)險(xiǎn)分析模型法、設(shè)計(jì)完備的信息系統(tǒng)動(dòng)態(tài)安全模型、建立科學(xué)的可實(shí)施的安全策略，采取規(guī)范的安全防范措施、選用可靠穩(wěn)定的安全產(chǎn)品等。安全防范體系的建立不是一勞永逸的，企業(yè)網(wǎng)絡(luò)信息自身的情況不斷變化，新的安全問(wèn)題不斷涌現(xiàn)，必須根據(jù)暴露出的一些問(wèn)題，進(jìn)行更新，保證網(wǎng)絡(luò)安全防范體系的良性發(fā)展，

4.2 提高企業(yè)員工的安全意識(shí)

科技以人為本，在信息安全方面也是靠人來(lái)維護(hù)企業(yè)的利益，我們?cè)谄髽I(yè)信息網(wǎng)絡(luò)鞏固正面防護(hù)的時(shí)候不能忽視對(duì)人的行為規(guī)范和績(jī)效管理。企業(yè)員工信息安全意識(shí)的高低是一個(gè)企業(yè)信息安全體系是否能夠最終成功實(shí)施的決定性因素。企業(yè)應(yīng)當(dāng)制定企業(yè)人員信息安全行為規(guī)范，必須有專門管理人才，才能有效地實(shí)現(xiàn)企業(yè)安全、可靠、穩(wěn)定運(yùn)行，保證企業(yè)信息安全。教育培訓(xùn)是培訓(xùn)信息安全人才的重要手段，企業(yè)可以對(duì)所有相關(guān)人員進(jìn)行經(jīng)常性的安全培訓(xùn)，強(qiáng)化技術(shù)人員對(duì)信息安全的重視，提升使用人員的安全觀念，有針對(duì)性的開(kāi)展安全意識(shí)宣傳教育，逐步提高員工的安全意識(shí)，強(qiáng)調(diào)人的作用，使他們明確企業(yè)各級(jí)組織和人員的安全權(quán)限和責(zé)任，使他們的行為符合整個(gè)安全策略的要求。

4.3 不斷優(yōu)化企業(yè)信息安全技術(shù)

企業(yè)一旦制定了一套詳細(xì)的安全規(guī)劃來(lái)武裝自己，保護(hù)其智力資產(chǎn)，它就開(kāi)始投入到選擇采用正確信息安全技術(shù)上。可供企業(yè)選擇的防止信息安全漏洞的安全技術(shù)有很多。當(dāng)企業(yè)選擇采用何種技術(shù)時(shí)，首先了解信息安全的三個(gè)領(lǐng)域是十分有幫助的，這三個(gè)領(lǐng)域變得：驗(yàn)證與授權(quán)、預(yù)防和抵制、檢測(cè)和響應(yīng)。其中，用戶驗(yàn)證是確認(rèn)用戶身份的一種方法，一旦系統(tǒng)確認(rèn)了用戶身份，那么它就可以決定該用戶的訪問(wèn)權(quán)限，比如使用用戶名和密碼。預(yù)防和抵抗技術(shù)是指企業(yè)阻止入侵者訪問(wèn)。對(duì)于任何企業(yè)，必須對(duì)那些故障做好準(zhǔn)備和預(yù)測(cè)，目前可以幫助預(yù)防和建設(shè)抵抗攻擊的技術(shù)主要有內(nèi)容過(guò)濾、加密和防火墻，在選用防火墻的時(shí)候，需要對(duì)所安裝的防火墻做一些攻擊測(cè)試。此外，企業(yè)信息安全的最后一道屏障是探測(cè)和反應(yīng)技術(shù)，最常見(jiàn)的探測(cè)和反應(yīng)技術(shù)是殺毒軟件。

5 結(jié)語(yǔ)

總之，企業(yè)信息安全是一項(xiàng)復(fù)雜的系統(tǒng)工程，企業(yè)要適應(yīng)現(xiàn)代化發(fā)展的需要，要提高自身信息安全意識(shí)，加強(qiáng)對(duì)信息安全風(fēng)險(xiǎn)防范意識(shí)的認(rèn)識(shí)，重視安全策略的施行及安全教育，必須做到管理和技術(shù)并重，安全技術(shù)必須結(jié)合安全措施，并加強(qiáng)信息安全立法和執(zhí)法的力度，建立備份和恢復(fù)機(jī)制， 為企業(yè)設(shè)計(jì)適合實(shí)際情況的安全解決方案，制定正確和采取適當(dāng)?shù)陌踩呗院桶踩珯C(jī)制，保證企業(yè)安全體系處于應(yīng)有的健康狀態(tài)。

參考文獻(xiàn)：

[1]張帆，企業(yè)信息安全威脅分析與安全策略[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2007（5）.

[2]諶曉歡，企業(yè)信息安全問(wèn)題及解決方案[J].企業(yè)技術(shù)開(kāi)發(fā)，2008（8）.

[3]付沙，企業(yè)信息安全策略的研究與探討[J].商場(chǎng)現(xiàn)代化，2007（26）.

[4]姜樺、郭永利，企業(yè)信息安全策略研究[J].焦作大學(xué)學(xué)報(bào)，2009（1）.

篇5

【關(guān)鍵詞】企業(yè)信息化；信息安全問(wèn)題；原因；對(duì)策

新時(shí)期下，信息化技術(shù)在各行業(yè)中運(yùn)用日漸深入，給企業(yè)現(xiàn)代化建設(shè)與快速發(fā)展帶來(lái)了無(wú)限動(dòng)力。企業(yè)信息化建設(shè)已成為我國(guó)經(jīng)濟(jì)信息化建設(shè)能否成功的關(guān)鍵所在，也是提升企業(yè)自身市場(chǎng)競(jìng)爭(zhēng)力與企業(yè)升級(jí)進(jìn)步的重要保證和標(biāo)志[1]。但是，企業(yè)信息化建設(shè)過(guò)程中不可避免的出現(xiàn)信息安全問(wèn)題，給企業(yè)正常生產(chǎn)經(jīng)營(yíng)帶來(lái)諸多不利影響。因此，加強(qiáng)企業(yè)信息化建設(shè)中信息安全管理，已成為現(xiàn)代企業(yè)經(jīng)營(yíng)管理的一個(gè)至關(guān)重要的工作。

1企業(yè)信息化概述

所謂的企業(yè)信息化，指的是實(shí)現(xiàn)企業(yè)的資金流、物流、作業(yè)流、信息流的數(shù)字化、網(wǎng)絡(luò)化管理，實(shí)行企業(yè)運(yùn)行的自動(dòng)化和企業(yè)制度的現(xiàn)代化[2]。企業(yè)信息化建設(shè)涉及了企業(yè)生產(chǎn)經(jīng)營(yíng)中的各個(gè)部門，其主要利用現(xiàn)代化信息技術(shù)，通過(guò)完善企業(yè)內(nèi)外網(wǎng)絡(luò)信息系統(tǒng)，實(shí)現(xiàn)對(duì)企業(yè)內(nèi)外知識(shí)與信息資源的開(kāi)發(fā)。可見(jiàn)，建設(shè)企業(yè)信息化體系，不但可以及時(shí)有效的提供各種數(shù)據(jù)信息給企業(yè)決策層，也為企業(yè)未來(lái)規(guī)劃設(shè)計(jì)提供參考依據(jù)，而且還有利于企業(yè)滿足瞬息萬(wàn)變的市場(chǎng)需求，為企業(yè)市場(chǎng)核心競(jìng)爭(zhēng)力的提升帶來(lái)動(dòng)力。

2當(dāng)前企業(yè)信息化建設(shè)中信息安全問(wèn)題

企業(yè)信息化建設(shè)與發(fā)展為企業(yè)持續(xù)、健康、穩(wěn)定發(fā)展發(fā)揮了顯著作用，但同時(shí)也存在著諸多信息安全問(wèn)題，具體分析主要有以下幾方面[3]：（1）當(dāng)前，絕大多數(shù)企業(yè)缺乏完善的安全防御系統(tǒng)，導(dǎo)致企業(yè)內(nèi)部使用的信息系統(tǒng)易遭受外部網(wǎng)絡(luò)系統(tǒng)的攻擊，引發(fā)企業(yè)信息資料被他人截獲、篡改與偽造等問(wèn)題，甚至企業(yè)信息系統(tǒng)中出現(xiàn)通信線路、硬盤設(shè)施以及其他文件系統(tǒng)遭惡意破壞現(xiàn)象，上述問(wèn)題的發(fā)生不但致使企業(yè)信息系統(tǒng)無(wú)法正常運(yùn)行，而且其內(nèi)部機(jī)密信息易發(fā)生泄漏，造成企業(yè)嚴(yán)重的社會(huì)經(jīng)濟(jì)損失。（2）針對(duì)郵件系統(tǒng)攻擊防不甚防。在企業(yè)信息系統(tǒng)中電子郵件具有重要的作用，通過(guò)電子郵件接收與傳送，極大的方便了企業(yè)內(nèi)部間與外部間信息交流與溝通。然而，電子郵件安全問(wèn)題也日益突出，典型的如電子郵件病毒、垃圾郵件、機(jī)密信息泄露以及電子郵件炸彈等，給企業(yè)信息傳輸帶來(lái)了巨大安全隱患。因此，電子郵件安全問(wèn)題不可忽視。（3）漏洞攻擊日益嚴(yán)重。按照漏洞問(wèn)題發(fā)生原因可分為軟件漏洞和協(xié)議漏洞兩種，其中軟件漏洞主要是受外部不法分子攻擊軟件自身存在的漏洞，造成企業(yè)信息泄露等問(wèn)題；而協(xié)議漏洞則主要是由于TCP/IP協(xié)議自身在安全機(jī)制方面存在的諸多漏洞問(wèn)題導(dǎo)致，外部不法人員通過(guò)攻擊TCP/IP協(xié)議漏洞，致使企業(yè)信息系統(tǒng)遭受破壞。目前情況，很多企業(yè)對(duì)自身信息系統(tǒng)缺乏成熟的漏洞檢測(cè)手段和能力，往往事發(fā)后才采取補(bǔ)救措施。（4）是Web服務(wù)安全問(wèn)題突出，根據(jù)Web服務(wù)流程，其發(fā)生安全問(wèn)題的主要組成包括Web服務(wù)端安全問(wèn)題、瀏覽器客戶端安全問(wèn)題兩種。其中，Web服務(wù)端安全問(wèn)題主要是企業(yè)Web主機(jī)遭受外部不法分子侵入，導(dǎo)致企業(yè)保密信息遭竊或者企業(yè)部分信息遭受非法篡改等；瀏覽器客戶端安全問(wèn)題則是企業(yè)瀏覽器客戶端遭外部非法分子侵入，致使部分機(jī)密信息與數(shù)據(jù)遭竊等。

3導(dǎo)致企業(yè)信息化建設(shè)中信息安全問(wèn)題因素

企業(yè)信息化建設(shè)中信息安全問(wèn)題發(fā)生受諸多因素影響，具體分析主要有以下幾方面[4]：（1）目前，絕大多數(shù)企業(yè)在信息化建設(shè)過(guò)程中，對(duì)于信息安全問(wèn)題重視度嚴(yán)重不足。一方面，受傳統(tǒng)經(jīng)營(yíng)觀念影響，企業(yè)管理層偏重于對(duì)企業(yè)生產(chǎn)經(jīng)營(yíng)中的有形資產(chǎn)給予關(guān)注與重視，而忽略了企業(yè)知識(shí)與信息資料等無(wú)形資源，導(dǎo)致在企業(yè)信息安全管理方面各項(xiàng)投入嚴(yán)重不足，進(jìn)而造成信息安全問(wèn)題日益凸顯；另一方面，多數(shù)企業(yè)在面對(duì)信息安全問(wèn)題時(shí)，存在著盲目樂(lè)觀現(xiàn)象，認(rèn)為信息安全問(wèn)題不至于導(dǎo)致企業(yè)正常生產(chǎn)經(jīng)營(yíng)，使得信息安全管理無(wú)法上升至企業(yè)發(fā)展規(guī)劃戰(zhàn)略之中，進(jìn)而造成信息安全問(wèn)題得不到及時(shí)有效解決。（2）由于企業(yè)信息化建設(shè)在我國(guó)尚處于起步階段，各方面配套管理制度不夠完善，特別是缺乏健全的企業(yè)信息安全管理體制。受此影響，企業(yè)信息化建設(shè)中信息安全問(wèn)題一方面無(wú)法得到有效的預(yù)防措施，另一方面是一旦發(fā)生信息安全問(wèn)題，無(wú)法采取及時(shí)有效的補(bǔ)救與解決對(duì)策。同時(shí)，由于缺乏科學(xué)、合理、有效的企業(yè)信息安全防護(hù)策略，使得企業(yè)信息管理人員缺乏必要的安全防護(hù)意識(shí)與業(yè)務(wù)素質(zhì)能力，致使企業(yè)信息安全防護(hù)軟硬件工作質(zhì)量與效率明顯不足。上述兩個(gè)因素，導(dǎo)致企業(yè)無(wú)論是從人員配置，還是資金與技術(shù)投入方面都嚴(yán)重不足，受企業(yè)信息管理人員業(yè)務(wù)素質(zhì)能力不足、信息安全技術(shù)方法落后以及配套的資金缺乏等影響，企業(yè)信息安全防護(hù)的措施、手段偏低，造成企業(yè)信息化建設(shè)存在著嚴(yán)重安全隱患。

4提升企業(yè)信息化建設(shè)中信息安全對(duì)策

針對(duì)當(dāng)前企業(yè)信息化建設(shè)中存在的信息安全問(wèn)題，為加強(qiáng)企業(yè)信息安全管理，提升企業(yè)信息安全保障，可通過(guò)采取以下幾方面對(duì)策，具體有[5]：（1）轉(zhuǎn)變傳統(tǒng)企業(yè)信息化建設(shè)觀念，在企業(yè)內(nèi)部管理層從上至下加強(qiáng)對(duì)企業(yè)信息安全的重視，并樹(shù)立正確的安全意識(shí)。一方面，通過(guò)組織各種信息安全管理培訓(xùn)等，增強(qiáng)全體企業(yè)員工信息安全意識(shí)，確保企業(yè)保密信息不外漏；另一方面，逐步加大企業(yè)信息化建設(shè)中信息安全管理各項(xiàng)資金、技術(shù)、人力投入，并建立科學(xué)、合理、有效的企業(yè)信息安全防護(hù)策略，保障企業(yè)信息系統(tǒng)安全穩(wěn)定。（2）不斷的推進(jìn)網(wǎng)絡(luò)信息技術(shù)的發(fā)展與運(yùn)用，促進(jìn)企業(yè)組織結(jié)構(gòu)網(wǎng)絡(luò)化的實(shí)現(xiàn)，同時(shí)引進(jìn)先進(jìn)的安全防護(hù)技術(shù)，確保企業(yè)信息化系統(tǒng)安全穩(wěn)定運(yùn)行。任何網(wǎng)絡(luò)信息系統(tǒng)都存在著或大或小的安全漏洞問(wèn)題，而保證其不受外部不法分子侵入的一個(gè)關(guān)鍵方法就是安全防護(hù)技術(shù)的運(yùn)用。通過(guò)選用先進(jìn)的安全防護(hù)技術(shù)，可以有效的提高企業(yè)信息系統(tǒng)抵抗外來(lái)攻擊，避免企業(yè)信息遭受竊取、篡改甚至破壞等，對(duì)于保障企業(yè)持續(xù)、健康、穩(wěn)定發(fā)展具有顯著作用。（3）結(jié)合企業(yè)信息化建設(shè)實(shí)際情況，建立健全企業(yè)內(nèi)部信息系統(tǒng)管理體制。一方面，針對(duì)信息安全問(wèn)題，應(yīng)建立科學(xué)、合理、規(guī)范的信息安全管理體制，保證企業(yè)信息系統(tǒng)安全運(yùn)行；另一方面，建立健全企業(yè)安全風(fēng)險(xiǎn)評(píng)估機(jī)制，針對(duì)不同系統(tǒng)找出影響其安全的因素和漏洞，并制定出最佳的對(duì)策，降低企業(yè)信息安全風(fēng)險(xiǎn)；此外，加強(qiáng)相應(yīng)的網(wǎng)絡(luò)管理，防止外來(lái)不法分子通過(guò)網(wǎng)絡(luò)侵入企業(yè)信息系統(tǒng)。（4）根據(jù)新時(shí)期企業(yè)信息化建設(shè)需要，加強(qiáng)企業(yè)信息技術(shù)人才、信息管理人才隊(duì)伍建設(shè)，為企業(yè)信息安全管理奠定堅(jiān)實(shí)的人才基礎(chǔ)。一方面，在企業(yè)內(nèi)部，加強(qiáng)信息技術(shù)人才培訓(xùn)，提高企業(yè)內(nèi)部相關(guān)人才業(yè)務(wù)素質(zhì)能力；另一方面，在企業(yè)外部，采取有效措施，積極招聘人才，引進(jìn)具有先進(jìn)信息技術(shù)型人才；此外，建立健全企業(yè)信息安全管理用人機(jī)制，激發(fā)員工工作積極性，提高工作質(zhì)量與效率。

5小結(jié)

總而言之，企業(yè)信息安全事關(guān)企業(yè)信息化建設(shè)是否成功，對(duì)于企業(yè)持續(xù)、健康、穩(wěn)定發(fā)展具有至關(guān)重要的作用。因此，應(yīng)提高企業(yè)信息安全管理意識(shí)，增強(qiáng)企業(yè)信息安全管理機(jī)制，促進(jìn)企業(yè)信息安全管理工作質(zhì)量與效率，保障企業(yè)信息化建設(shè)順利開(kāi)展。

作者:吳捷 單位:中海石油氣電集團(tuán)有限責(zé)任公司

參考文獻(xiàn)

[1]毛志勇.企業(yè)信息化建設(shè)的信息安全形勢(shì)與對(duì)策研究[J].科技與產(chǎn)業(yè)，2008，8，（1）：43~45.

[2]纂振法，徐福緣.淺析企業(yè)信息化建設(shè)的意義、問(wèn)題與對(duì)策[J].吉林省經(jīng)濟(jì)管理干部學(xué)院學(xué)報(bào)，2001，3：24~28.

[3]謝志宏.企業(yè)信息化建設(shè)中的信息安全問(wèn)題研究[J].企業(yè)導(dǎo)報(bào)，2014（06）：132~133.