企業信息安全要求精選(五篇)

序言：作為思想的載體和知識的探索者，寫作是一種獨特的藝術，我們為您準備了不同風格的5篇企業信息安全要求，期待它們能激發您的靈感。

篇1

 

1、前言

 

電力行業是國民經濟的基礎產業，是保障人民生活生產秩序正常運行的基礎行業。電力行業的信息化從60-70年代開始的電廠自動化監控開始，到現在已經有近40年的歷史。隨著電力行業的不斷發展，電力的關鍵業務不斷增長，因此信息化應用在電力系統中也不斷增強。電力生產與調度基本實現全面的自動化控制，很多電力企業實現了生產過程無人值守或者少人值守，電力生產自動化監控系統的廣泛應用大大提高了生產過程自動化水平。電廠、變電站減人增效，大量采用遠方控制，對電力控制系統和數據網絡的安全性、可靠性、實時性提出了新的嚴峻挑戰。而另一方面，Internet技術已得到廣泛使用，E-mail、 Web和PC的應用也日益普及，但同時病毒和黑客也日益猖獗。目前有一些調度中心、發電廠、變電站在規劃、設計、建設及運行控制系統和數據網絡時，對網絡安全問題重視不夠，在沒有進行有效安全防護的情況下與當地的MIS系統互連，甚至存在與因特網直接互連的現象，形成了嚴重的安全隱患。

 

2、保障電力企業信息安全的目的

 

信息系統在電力生產、建設、經營、管理、科研、設計等各個領域有著十分廣泛的應用，尤其在電網調度自動化、廠站自動控制、管理信息系統、電力市場技術支持系統、電力營銷系統、電力負荷管理、計算機輔助設計、科學計算以及教育培訓等方面取得了較好的應用效果，在安全生產、節能降耗、降低成本、縮短工期、提高勞動生產率等方面取得了明顯的社會效益和經濟效益，因此保障電力企業信息安全顯得尤為重要。

 

3、電力企業信息系統中的安全現狀

 

(1)“信息孤島”解除，導致信息失控風險

 

我國的電力企業在長期計劃經濟模式下，生產與管理部門、生產部門之間、管理部門之間條塊分割，各部門單位建立的信息系統相對獨立，致使信息閉塞，形成了電力企業有的“信息孤島”。造成了企業內部系統不能集成、資源不能共享的局面，嚴重制約企業信息化建設和應用。這種效率低下的企業管理體制已不能適應電力行業迅猛發展的需要。電力企業需要從企業發展戰略出發，實行業務調整、流程梳理與優化，消除“信息孤島”現象，為企業發展整合內部信息資源，實現相關信息的共享。然而“信息孤島”的簡單解除，使共享交互的信息失去了有序控制，如何實現對信息的科學控制，如何才能防止對信息系統中數據信息的破壞，就成了新的信息控制風險。

 

(2)簡單安全產品堆砌風險

 

企業信息化需要專門的技術人才和管理機構才可能做到專業化，同樣保障信息化的穩定有效運行，也需要相應技術人才和機構去實施、去完成保障運維層面的管理。非專業的技術或管理者，受所掌握知識面的影響或者一些產品廠商的誤導，在保障信息安全工作時，簡單采購幾款安全產品就以為完成了對電力企業信息系統的安全保障。正是這種單純的對幾款安全產品的依賴，會麻痹管理者和操作使用者的神經，根據“木桶原理”，當這幾款安全產品中的一款產品失效時，卻不能及時發現并得到糾正，勢必會造成對信息系統的正常穩定運行帶來巨大影響。

 

(3)安全意識與技能不足的風險

 

企業管理者與運維人員，只是對業務比較熟悉，在遇到信息安全問題時卻表現得束手無策，甚至在日常運維操作過程中，根本就不清楚或者無意識在安全模式下進行操作。這主要反映了主持信息化工作的人員和機構對信息安全保障的意識比較淡薄，在遇到信息安全問題時，所掌握的安全技能又達不到解決問題的水平，電力企業從生產的過程控制到電力的調度，各過程環節上一旦出現了非可控因素，帶來的損失將是致命性的。

 

4、信息安全保障對電力企業的重要技術要求

 

(1)通過安全評估發現和預見信息系統中存在的安全風險

 

安全評估是發現電力企業現有信息系統中存在的安全隱患，找出面臨的安全威脅，識別現存安全風險的必要技術手段和過程，是制定電力企業信息安全防護策略的前提，還是信息安全體系建設中，有針對性采取技術措施的基礎。安全評估需要聘請經過國家有關機構認證，具有安全評估服務資質的國內單位來完成對企業的安全評估工作，安全評估工作主要內容包括：信息資產識別、風險評估、滲透測試、漏洞掃描、安全體系的評估、安全設備的部署及性能評估等。安全評估為安全體系架構的搭建提供了科學依據。

 

(2)搭建縱深防御安全保障體系

 

整個安全體系可以規劃為三個部分，分別是組織體系、管理體系和技術體系，全面涵蓋了一個組織信息系統規劃和建設的安全要求。在已經有一定安全基礎的情況下，也可以單獨考慮為信息系統某個部分進行強化設計。在體系框架中，安全組織體系主要包括機構建設和人員管理兩方面內容，對電力企業內部的安全組織建設和安全崗位、安全培訓等方面進行了要求。安全管理體系主要包括制度管理、資產管理、物理管理、技術管理和風險管理等方面內容。上述兩體系部分嚴格依據了國際信息安全管理標準ISO 17799的要求，涵蓋了該標準中的每一類規范。安全技術體系方面主要包括安全評估、安全防護、入侵檢測、應急恢復四部分內容，這部分是對社會公認的 PDR安全模型的又一最新應用，從技術角度對信息系統的這四種技術能力提出了要求。而該體系的安全防護模塊，在國際標準ISO7498-2安全體系結構理論的指導下，又分別從鑒別認證、訪問控制、數據加密、完整性保護、抗抵賴等五個角度提出了具體的技術性要求。

 

(3)信息安全保障中不可缺少的技術層措施

 

本地訪問控制技術

 

防火墻是一種網關級的安全過濾檢測技術，部署在內外網之間、不同重要網段之間，實現對訪問行為的嚴格控制。電力企業的生產、計量、營銷、調度管理等系統之間，信息的共享、整合與調用，都需要在不同網段之間對這些訪問行為進行過濾和控制，阻斷攻擊破壞行為，攔截攻擊破壞嘗試，分權限合理享用信息資源。

 

遠程訪問控制技術

 

電力企業員工在外出差，因為業務需要獲授權遠程登錄企業內部信息系統，這屬于正常的遠程訪問，然而攻擊者在企業外部非授權展開的攻擊，屬于非正常遠程訪問。對遠程訪問行為，通過雙因素動態身份認證實現VPN虛擬專用網絡連接系統，完成在Internet上搭建虛擬專網訪問企業內部資源的目的，同時可以嚴格識別和區分授權用戶的權限，完全可以控制企業內部信息讀取的安全性。

 

防病毒及入侵檢測技術

 

病毒是一種進行自我復制、廣泛傳染，對計算機及其數據進行嚴重破壞的計算機程序。電力企業信息系統已經覆蓋了企業各個生產、經營和管理崗位，上網用戶在進行多種數據交換時，隨時可能受到病毒的攻擊，隨著電力工業走向市場，與外界網上交流越來越多，通過電子郵件聯系業務、交換數據等都有可能感染病毒，并在企業內部網絡上不斷擴散。必須在信息系統的各個環節采用全網全面防病毒策略，建立計算機病毒管理中心，按其信息網絡管轄范圍，分級防范計算機病毒，在計算機病毒預防、檢測和病毒庫的升級分發等環節統一管理，建立較完善的管理制度，才能有效的防止和控制病毒的侵害。

 

身份認證技術

 

電力交易系統就其實質來說，是一個典型的電子商務系統，它必須保證交易數據的安全性。在電力市場技術支持系統中，作為市場成員交易各方的身份確認、物流控制、財務結算、實時數據交換系統中，均需要權威且安全的身份認證系統。在電力企業中，電子商務也逐步擴展到電力營銷系統、電力物質采購系統、電力燃料供應系統等多方面的應用。因此，建立對企業員工上網用戶統一身份認證和數字簽名等安全認證，對系統中間鍵業務進行安全審計，并開展與銀行之間，上下級身份認證機構之間進行認證，同時與其他需要身份認證機構之間實現交叉認證的技術研究和技術實現也是非常重要的。

 

安全隔離技術

 

安全隔離設備也是一種訪問控制技術，但是工作原理有別于防火墻，部署在重要網絡之間，在設備內部加載系統內部協議，排除掉TCP/IP協議干擾，分析檢測數據信息的安全性，然后再加載TCP/IP協議通過隔離設備，并可以實現正向和反向的訪問通訊。使用安全隔離設備，實現重要網段之間、內外網之間正向和反向的訪問隔離控制，完成信息的單向讀取或單向寫入，達到不同重要信息擴散范圍合理控制的目的。

篇2

1 企業信息安全管理的失誤因素分析

1.1 信息安全組織臨時化

通常，企業只有在發生了信息泄露、病毒攻擊、系統破壞等信息安全事件時，才會臨時從信息技術部和業務部門抽調人手處理和解決信息安全事件。出現新的信息安全要求時，才會臨時組建項目小組，根據新的信息安全要求制定解決方案并實施計劃，項目完成后，臨時小組就會解散，沒有人會繼續跟進和執行解決方案。由于沒有定期的信息安全評估，安全計劃不斷地重復開始和結束，帶來大量的人財物重復投入，這將導致安全計劃成本不斷增加，企業的工作效率不斷降低，信息安全防護也未得到有效提升。

1.2 員工上網無限制

雖然企業為員工上網提供了用戶名及密碼，并且對其登錄的網站進行了監測，但是員工在工作時間還是可以無設防地利用外網進行網頁游覽、網絡社交等行為，并且使用一些網站的免費郵箱隨意地接收和發送電子郵件，這些給黑客、病毒、釣魚軟件等創造了對企業內部網絡攻擊的機會。于是，員工在不了解原因的情況下，使得企業的信息被泄露或者內部網絡癱瘓，從而影響企業的正常工作，造成企業資產的損失。

1.3 個人移動設備（BYOD）使用泛濫

在企業的辦公場合，員工會攜帶個人移動設備（BYOD）如筆記本電腦、平板電腦、智能手機、移動硬盤等進行辦公。企業員工可以較為隨意地使用這些移動存儲設備對內部文件進行拷貝，并且可以使用移動設備接入企業內網的無線Wi-Fi，并擁有一定程度的內網數據讀取權限，這樣做雖然節約了企業的辦公成本，提高了辦公的效率，但是也增加了企業內網病毒感染及遭受黑客惡意入侵的風險。

1.4 信息安全防護水平有限

出于性能、技術等因素的考慮，加之國內自主研發的信息安全產品較少，目前進口的信息安全產品受到許多企業的廣泛采用。盡管這些企業的信息安全需求以此得到了滿足，但近幾年來，進口產品設備故障的頻繁發生也對企業的業務帶來了不同程度的影響。同時，進口信息安全產品已經占據了這些企業信息系統的關鍵節點，這使得企業的商業機密時刻處于高危狀態。不僅如此，部分企業仍舊停留在使用免費的個人版殺毒軟件階段，而這些軟件不僅無法解決病毒交叉感染的問題，也沒有統一的管理平臺對企業內網的安全系統進行統一的升級與維護。

1.5 信息安全事件處理不及時

企業在發生信息安全事件時，即使有相關的信息安全管理產品，但無法迅速定位安全事件，更無法快速進行安全事件響應處理，常處于混亂、無序的運維管理狀態。由于企業的安全管理人員無法全面了解整個企業網絡中正在發生的內部越權訪問和外部攻擊，出現問題時，他們多表現得無從下手或者手忙腳亂。而且，企業各部門各自為政，對發生信息安全事件無法進行統一規范的快速處理。

2 改進企業信息安全管理的對策

2.1 建立健全的信息安全組織層級結構

企業信息安全組織架構的建立是圍繞企業信息安全管理的戰略目標，對企業的信息資源、人力資源、安全技術產品等進行合理安排和配置，構成相互協作的有機整體，使企業的信息安全活動協調有效地運行。企業通過建立多層次、跨部門的信息安全決策委員會、信息安全工作部、信息安全執行部層級結構，不僅能在企業中形成一張網，覆蓋企業的各個部門，有利于信息安全措施的實施和針對信息安全事件的快速響應，而且還能為后續建立信息安全管理體系提供組織上的保證。信息安全決策委員會主要負責制定信息安全制度和策略、明確各部門信息安全職責、協調各部門實施信息安全控制措施以及信息安全活動的實施等。

2.2 加強人員教育培訓和規范管理

信息安全最大的威脅不是來自于企業外部的攻擊或是企業信息安全技術的缺陷，而是企業人員缺乏信息安全意識。為了能夠有效地提高企業員工的信息安全意識，企業需要對員工進行完善的信息安全教育培訓，這不僅能提高員工的信息安全保護技能，還能更好地保護企業的信息安全。企業在制定信息安全教育培訓內容時，可以根據員工在企業中所處的職位高低和工作性質的不同有針對性地制定。對于企業管理者而言，教育培訓以信息安全核心知識、風險管理、信息安全政策等為主；企業的信息技術人員，則是以信息安全技術教育培訓為主；一般員工結合所在部門的業務特點以信息安全意識培訓為主。除了對企業的人員進行教育培訓，還需對其進行規范化管理。對掌握產品生產、原材料采購等核心信息的管理者實施更加嚴格的信息安全監督管理制度；對負責計算機系統及日常維護的人員界定其工作權限；規范化管理員工的上網行為，合理利用網絡資源，避免人為的網絡安全隱患。

2.3 完善信息安全技術體系

一是保障并完善數據安全，企業需通過加密的手段保護企業系統中數據的機密性和完整性，從而提高數據訪問的抗抵賴性，同時加強數據的異地災難恢復機制，實現本地數據的實時遠程復制與備份，避免本地系統遭受災難性破壞導致企業系統中數據的遺失。

二是保障并完善終端安全，企業除了要采用全面可靠的防病毒體系和防火墻技術外，還需制定嚴格的移動終端設備使用制度，一方面是為了避免內部員工利用移動終端設備隨意拷貝企業內部文件，導致企業內部信息向外泄露，另一方面是為了防止移動終端設備攜帶的病毒漏過企業系統設置的防火墻而直接在系統內部傳播。

三是保障和完善應用安全，除了提供用戶名和口令外其他身份驗證機制，必要時還需支持雙因素認證和具備登錄控制模塊，同時在日常工作不受影響的情況下，控制員工訪問權限，減少越權操作的現象，最大限度地保障個人系統的安全。

四是保障和完善網絡安全，企業還需通過內外部署相應的網絡與信息安全設施使計算機設備的物理管理得到加強，并對入侵檢測系統和漏洞掃描系統進行內外部攻擊和誤操作的實時保護的安全設計，使系統免于網絡攻擊的同時，也提升了系統管理人員的安全管理水平。

篇3

【關鍵詞】信息安全 管理 控制 構建

1 企業信息安全的現狀

隨著企業信息化水平的提升，大多數企業在信息安全建設上逐步添加了上網行為管理、內網安全管理等新的安全設備，但信息安全防護理念還停留在防的階段，信息安全策略都是在安全事件發生后再補救，導致了企業信息防范的主動性和意識不高，信息安全防護水平已經越來越不適應當今企業IT運維環境和企業發展的需求。

2 企業信息系統安全防護的構建原則

企業信息化安全建設的目標是在保障企業數字化成果的安全性和可靠性。在構建企業信息安全體系時應該遵循以下幾個原則：

2.1 建立企業完善的信息化安全管理體系

企業信息安全管理體系首先要建立完善的組織架構、制定信息安全管理規范，來保障信息安全制度的落實以及企業信息化安全體系的不斷完善。基本企業信息安全管理過程包括：分析企業數字化資產評估和風險分析、規劃信息系統動態安全模型、建立可靠嚴謹的執行策略、選用安全可靠的的防護產品等。

2.2 提高企業員工自身的信息安全防范意識

在企業信息化系統安全管理中，防護設備和防護策略只是其中的一部分，企業員工的行為也是維護企業數字化成果不可忽略的組成。所以企業在實施信息化安全管理時，絕對不能忽視對人的行為規范和績效管理。在企業實施企業信息安全前，應制定企業員工信息安全行為規范，有效地實現企業信息系統和數字化成果的安全、可靠、穩定運行，保證企業信息安全。其次階段遞進的培訓信息安全人才也是保障企業數字化成果的重要措施。企業對員工進行逐次的安全培訓，強化企業員工對信息安全的概念，提升員工的安全意識。使員工的行為符合整個企業信息安全的防范要求。

2.3 及時優化更新企業信息安全防護技術

當企業對自身信息安全做出了一套整體完善的防護規劃時，就應當考慮采用何種安全防護技術來支撐整個信息安全防護體系。對于安全防護技術來說可以分為身份識別、網絡隔離、網絡安全掃描、實時監控與入侵發現、安全備份恢復等。比如身份識別的目的在于防止非企業人員訪問企業資源，并且可以根據員工級別分配人員訪問權限，達到企業敏感信息的安全保障。

3 企業信息安全體系部署的建議

根據企業信息安全建設架構，在滿足終端安全、網絡安全、應用安全、數據安全等安全防護體系時，我們需要重點關注以下幾個方面：

3.1 實施終端安全，規范終端用戶行為

在企業信息安全事件中，數字化成果泄漏是屬于危害最為嚴重的一種行為。企業信息安全體系建立前，企業員工對自己的個人行為不規范，造成了員工可以通過很多方式實現信息外漏。比如通過U盤等存儲介質拷貝或者通過聊天軟件傳遞企業的核心數字化成果。對于這類高危的行為，我們在建設安全防護體系時，僅僅靠上網行為管理控制是不能完全杜絕的。應該當用戶接入企業信息化平臺前，就對用戶的終端系統進行安全規范檢查，符合企業制定的終端安全要求后再接入企業內網。同時配合上網行為管理的策略對員工的上網行為進行審計，使得企業員工的操作行為符合企業制定的上網行為規范，從終端用戶提升企業的防護水平。

3.2 建設安全完善的VPN接入平臺

企業在信息化建設中，考慮總部和分支機構的信息化需要，必然會采用VPN方式來解決企業的需求。不論是采用SSL VPN還是IPSecVPN，VPN加密傳輸都是通用的選擇。對于分支機構可以考慮專用的VPN設備和總部進行IPSec連接，這種方式更安全可靠穩定。對于移動終端的接入可以考慮SSL VPN方式。在這種情況下，就必須做好對于移動終端的身份認證識別。其實我們在設備采購時，可以要求設備商做好多種接入方式的需求，并且幫助企業搭建認證方式。這將有利于企業日常維護，提升企業信息系統的VPN接入水平。

3.3 優化企業網絡的隔離性和控制性

在規劃企業網絡安全邊際時，要面對多個部門和分支結構，合理的規劃安全網絡邊際將是關鍵。企業的網絡體系可以分為：物理層；數據鏈路層；網絡層；傳輸層；會話層；表示層；應用層。各體系之間的相互隔離和訪問策略是防止企業信息安全風險的重要環節。在企業多樣化網絡環境的背景下，根據企業安全優先級及面臨的風險程度，做出適合企業信息安全的防護策略和訪問控制策略。根據相應防護設備進行深層次的安全防護，真正實現OSI的L2～L7層的安全防護。

3.4 實現企業信息安全防護體系的統一管理

為企業信息安全構建統一的安全防護體系，重要的優勢就是能實現對全網安全設備及安全事件的統一管理，做到對整個網絡安全事件的“可視、可控和可管”。企業采購的各種安全設備工作時會產生大量的安全日志，如果單靠相關人員的識別日志既費時效率又低。而且不同安全廠商的日志報表還存在很大差異。所以當安全事件發生時，企業管理員很難實現對信息安全的統一分析和管理。所以在企業在構建信息安全體系時，就必須要考慮安全設備日志之間的統一化，設定相應的訪問控制和安全策略實現日志的歸類分析。這樣才能做到對全網安全事件的“可視、可控和可管”。

4 結束語

信息安全的主要內容就是保護企業的數字化成果的安全和完整。企業在實施信息安全防護過程中是一個長期的持續的工作。我們需要在前期做好詳盡的安全防護規劃，實施過程中根據不斷出現的情況及時調整安全策略和訪問控制，保證備份數據的安全性可靠性。同時全體企業員工一起遵守企業制定的信息安全防護管理規定，這樣才能為企業的信息安全提供生命力和主動性，真正為企業的核心業務提供安全保障。

參考文獻

[1]郝宏志.企業信息管理師[M].北京：機械工業出版社，2005.

[2]蔣培靜.歐美國家如何培養網絡安全意識[J].中國教育網絡，2008（7）：48-49.

作者簡介

常勝（1982-），男，回族，天津市人。現為中國市政工程華北設計研究總院有限公司工程師。研究方向為網絡安全與服務器規劃部署。

篇4

信息安全防護要考慮不同層次的問題。例如網絡平臺就需要擁有網絡節點之間的相互認證以及訪問控制；應用平臺則需要有針對各個用戶的認證以及訪問控制，這就需要保證每一個數據的傳輸的完整性和保密性，當然也需要保證應用系統的可靠性和可用性。一般電力企業主要采用的措施有：

1.1信息安全等級保護

信息安全等級保護是對信息和信息載體按照重要性等級分級別進行保護的一種工作，工作包括定級、備案、安全建設和整改、信息安全等級測評、信息安全檢查五個階段。要積極參與信息安全等級定級評定，及時在當地公安機關進行備案，然后根據對應等級要求，組織好評測，然后開展針對性的防護，從而提供全面的保障。

1.2網絡分區和隔離

運用網絡設備和網絡安全設備將企業網絡劃分為若干個區域，通過在不同區域實施特定的安全策略實現對區域的防護，保證網絡及基礎設置穩定正常，保障業務信息安全。

1.3終端安全防護

需要部署（實施）防病毒系統、上網行為管理、主機補丁管理等終端安全防護措施。通過這些安全措施使網絡內的終端可以防御各種惡意代碼和病毒；可以對互聯網訪問行為監管，為網絡的安全防護管理提供安全保障；可以自動下發操作系統補丁，提高終端的安全性。

2.構建信息安全防護體系

電力企業應充分利用已經成熟的信息安全理論成果，在此基礎上在設計出具有可操作性，能兼顧整體性，并且能融合策略、組織、技術以及運行為一體化的信息安全保障體系，從而保障信息安全。

2.1建立科學合理的信息安全策略體系

信息安全策略體系包括信息安全策略、信息安全操作流程、信息安全標準以及規范和多方面的細則，所涉及的基本要素包括信息管理和信息技術這兩方面，其覆蓋了信息系統的網絡層面、物理層面、系統層面以及應用層面這四大層面。

2.2建設先進可靠的信息安全技術防護體系

結合電力企業的特點，在企業內部形成分區、分域、分級、分層的網絡環境，然后充分運用防火墻、病毒過濾、入侵防護、單向物理隔離、拒絕服務防護和認證授權等技術進行區域邊界防護。通過統一規劃，解決系統之間、系統內部網段間邊界不清晰，訪問控制措施薄弱的問題，對不同等級保護的業務系統分級防護，避免安全要求低的業務系統的威脅影響到安全要求高的業務系統，實現全方位的技術安全防護。同時，還要結合信息機房物流防護、網絡準入控制、補丁管理、PKI基礎設施、病毒防護、數據庫安全防護、終端安全管理和電子文檔安全防護等細化的措施，形成覆蓋企業全領域的技術防護體系。

2.3設置責權統一的信息安全組織體系

在企業內部設置網絡與信息安全領導機構和工作機構，按照“誰主管誰負責，誰運營誰負責”原則，實行統一領導、分級管理。信息安全領導機構由決策層組成，工作機構由各部門管理成員組成。工作機構一般設置在信息管理部門，包含安全管理員、系統管理員、網絡管理員和應用管理員，并分配相關安全責任，使信息安全在組織內得以有效管理。

2.4構建全面完善的信息安全管理體系

對于電力企業的信息安全防范來說，單純的使用技術手段是遠遠不夠的，只有配合管理才能提供有效運營的保障。

2.4.1用制度保證信息安全

企業要建立從指導性到具體性的安全管理框架體系。安全方針是信息安全指導性文件，指明信息安全的發展方向，為信息安全提供管理指導和支持；安全管理辦法是對信息安全各方面內容進行管理的方法總述；安全管理流程是在信息安全管理辦法的基礎上描述各控制流程；安全規范和操作手冊則是為用戶提供詳細使用文檔。人是信息安全最活躍的因素，人的行為會直接影響到信息安全保障。所以需要通過加強人員信息安全培訓、建立懲罰機制、加大關鍵崗位員工安全防范力度、加強離崗或調動人員的信息安全審查等措施實現企業工作人員的規范管理，明確員工信息安全責任和義務，避免人為風險。

2.4.3建設時就考慮信息安全

在網絡和應用系統建設時，就從生命周期的各階段統籌考慮信息安全，遵照信息安全和信息化建設“三同步”原則，即“同步規劃、同步建設、同步投入運行”。

2.4.4實施信息安全運行保障

主要是以資產管理為基礎，風險管理為核心，事件管理為主線，輔以有效的管理、監視與響應功能，構建動態的可信安全運行保障。同時，還需要不斷完善應急預案，做好預案演練，可以對信息安全事件進行及時的應急響應和處置。

3.總結

篇5

(一)信息安全組織臨時化

通常,制造型企業只有在發生了信息泄露、病毒攻擊、系統破壞等信息安全事件時,才會臨時從信息技術部和業務部門抽調人手處理和解決信息安全事件.出現新的信息安全要求時,才會臨時組建項目小組,根據新的信息安全要求制定解決方案并實施計劃,項目完成后,臨時小組就會解散,沒有人會繼續跟進和執行解決方案.由于沒有定期的信息安全評估,安全計劃不斷地重復開始和結束,帶來大量的人財物重復投入,這將導致安全計劃成本不斷增加,企業的工作效率不斷降低,信息安全防護也未得到有效提升.

(二)員工上網無限制

雖然制造型企業為員工上網提供了用戶名及密碼,并且對其登錄的網站進行了監測,但是員工在工作時間還是可以無設防地利用外網進行網頁游覽、網絡社交等行為,并且使用一些網站的免費郵箱隨意地接收和發送電子郵件,這些給黑客、病毒、釣魚軟件等創造了對企業內部網絡攻擊的機會.于是,員工在不了解原因的情況下,使得企業的信息被泄露或者內部網絡癱瘓,從而影響企業的正常工作,造成企業資產的損失.

(三)個人移動設備(BYOD)使用泛濫

在制造型企業的辦公場合,員工會攜帶個人移動設備(BYOD)如筆記本電腦、平板電腦、智能手機、移動硬盤等進行辦公.企業員工可以較為隨意地使用這些移動存儲設備對內部文件進行拷貝,并且可以使用移動設備接入企業內網的無線WiGFi,并擁有一定程度的內網數據讀取權限,這樣做雖然節約了企業的辦公成本,提高了辦公的效率,但是也增加了企業內網病毒感染及遭受黑客惡意入侵的風險.

(四)信息安全防護水平有限

出于性能、技術等因素的考慮,加之國內自主研發的信息安全產品較少,目前進口的信息安全產品受到許多制造型企業的廣泛采用.盡管這些企業的信息安全需求以此得到了滿足,但近幾年來,進口產品設備故障的頻繁發生也對制造型企業的業務帶來了不同程度的影響.同時,進口信息安全產品已經占據了這些企業信息系統的關鍵節點,這使得企業的商業機密時刻處于高危狀態.不僅如此,部分制造型企業仍舊停留在使用免費的個人版殺毒軟件階段,而這些軟件不僅無法解決病毒交叉感染的問題,也沒有統一的管理平臺對企業內網的安全系統進行統一的升級與維護.另外,信息安全產品在企業內的無序堆疊不僅使得各安全產品存在兼容性問題,同時也使得各產品廠商只能提供與自己產品有關的技術支持,導致企業對問題很難進行跟蹤和排查.最后,企業電腦終端上的防毒程序未開啟或者未升級至最新版本,以及系統漏洞修補的不及時都造成了多病毒大面積入侵企業內網.

(五)信息安全事件處理不及時

制造型企業在發生信息安全事件時,即使有相關的信息安全管理產品,但無法迅速定位安全事件,更無法快速進行安全事件響應處理,常處于混亂、無序的運維管理狀態.由于企業的安全管理人員無法全面了解整個企業網絡中正在發生的內部越權訪問和外部攻擊,出現問題時,他們多表現得無從下手或者手忙腳亂.而且,企業各部門各自為政,對發生信息安全事件無法進行統一規范的快速處理.

二、制造型企業信息安全薄弱的原因

(一)員工信息安全意識淡薄

制造型企業員工信息安全意識比較淡薄,主要表現為企業管理層沒有充分認識到信息安全的重要性,沒有將信息安全管理工作與企業生產安全管理工作放在同等重要的高度來對待,更沒有把它作為日常管理工作的一部分.管理層之所以沒有信息安全意識主要是因為信息安全不會直接為企業帶來經濟效益,反而需要投入大量的時間和資源,尤其是對于受部門業績壓力和資源限制的業務部門來說,他們不愿意把時間和資源放在信息安全防護工作上,并且他們還認為不采取安全防護措施不一定會造成損失.普通員工則表現在他們不了解什么信息安全,不知道遵守和執行信息安全制度對自己及企業帶來的影響,缺少必要的信息安全教育與培訓,有意或無意地導致信息安全事件的發生.

(二)信息安全技術體系不完善

信息安全防護水平受到限制除了受上述因素影響外,還有就是沒有完善的物理安全、運行安全和數據安全相統一的信息安全技術體系,具體體現在企業使用的軟件設計存在缺陷或者技術漏洞、殺毒軟件不及時更新;信息系統設計沒有以風險評估為基礎、業務流程描述錯誤或漏洞、數據訪問權限設置不清晰、關鍵數據沒有備份等因素;物理安全邊界不明確、設備或存儲介質缺乏安全措施、電纜損壞、不可抗力的自然災害等.

(三)信息安全事件應急響應機制缺失

信息安全事件處理不及時很大程度上是因為沒有建立信息安全事件應急響應機制.制造型企業沒有對信息安全事件進行分級響應與處置,也沒有結合企業的實際情況通過預測、評估和分析安全事件對企業造成的后果程度進行等級劃分,并針對不同的安全事件制定相應的應急預案.同時,大部分制造型企業在處理信息安全事件時更多依靠的是人的經驗和責任心,缺少標準化的信息安全事件處理流程,以及必要的審核和工具支撐.

三、改進制造型企業信息安全的對策

通過上述分析可知,信息安全問題不僅出現在技術方面,還更多地出現在管理方面.因此,為了保障企業的業務持續運行,加強企業的股東、客戶以及服務提供商對企業信息安全的信任,增強企業的核心競爭能力,制造型企業可以將管理、技術和運維三方面有效地結合起來,促進企業的可持續發展.

(一)建立健全的信息安全組織層級結構

企業信息安全組織架構的建立是圍繞企業信息安全管理的戰略目標,對企業的信息資源、人力資源、安全技術產品等進行合理安排和配置,構成相互協作的有機整體,使企業的信息安全活動協調有效地運行.制造型企業通過建立多層次、跨部門的信息安全決策委員會、信息安全工作部、信息安全執行部的層級結構,不僅能在企業中形成一張網,覆蓋企業的各個部門,有利于信息安全措施的實施和針對信息安全事件的快速響應,而且還能為后續建立信息安全管理體系提供組織上的保證.信息安全決策委員會主要負責制定信息安全制度和策略、明確各部門信息安全職責、協調各部門實施信息安全控制措施以及信息安全活動的實施等.信息安全工作部由各部門負責信息安全管理的工作人員構成,實施決策委員會制定的信息安全策略、制度和方針,并負責各部門的信息安全管理工作.信息安全執行部具體有三個部門,即信息安全規劃部、信息安全監督審計部、信息安全運行保障部,并且由各部門進行業務支撐。

(二)加強人員教育培訓和規范管理

信息安全最大的威脅不是來自于企業外部的攻擊或是企業信息安全技術的缺陷,而是企業人員缺乏信息安全意識.為了能夠有效地提高企業員工的信息安全意識,企業需要對員工進行完善的信息安全教育培訓,這不僅能提高員工的信息安全保護技能,還能更好地保護企業的信息安全.制造型企業在制定信息安全教育培訓內容時,可以根據員工在企業中所處的職位高低和工作性質的不同有針對性地制定.對于企業管理者而言,教育培訓以信息安全核心知識、風險管理、信息安全政策等為主;企業的信息技術人員,則是以信息安全技術教育培訓為主;一般員工結合所在部門的業務特點以信息安全意識培訓為主.除了對企業的人員進行教育培訓,還需對其進行規范化管理.對掌握產品生產、原材料采購等核心信息的管理者實施更加嚴格的信息安全監督管理制度;對負責計算機系統及日常維護的人員界定其工作權限;規范化管理員工的上網行為,合理利用網絡資源,避免人為的網絡安全隱患.同時在規范管理中引入績效考核機制,這樣不僅使信息安全管理的指標量化,而且,通過信息安全監督審計工作組對員工信息安全工作進行考核,使員工更加重視企業信息安全.因此,加強企業員工的教育培訓和規范化管理,不僅可以營造企業信息安全文化氛圍,還可以約束員工的行為,減少人為因素導致的信息安全事件發生.

(三)完善信息安全技術體系

信息安全技術是企業信息安全的保障,完善的信息安全技術體系可以防止由于技術因素導致的信息安全漏洞,避免給外部攻擊者留下可乘之機,從而減少技術因素導致的信息安全事件發生.制造型企業需從以下六個方面去建立完善的信息安全技術體系,并采用“適度防御”的原則,選擇合適的安全技術與產品,形成企業適用的安全技術防線.一是保障并完善數據安全,制造型企業需通過加密的手段保護企業系統中數據的機密性和完整性,從而提高數據訪問的抗抵賴性,同時加強數據的異地災難恢復機制,實現本地數據的實時遠程復制與備份,避免本地系統遭受災難性破壞導致企業系統中數據的遺失.二是保障并完善終端安全,制造型企業除了要采用全面可靠的防病毒體系和防火墻技術外,還需制定嚴格的移動終端設備使用制度,一方面是為了避免內部員工利用移動終端設備隨意拷貝企業內部文件,導致企業內部信息向外泄露,另一方面是為了防止移動終端設備攜帶的病毒漏過企業系統設置的防火墻而直接在系統內部傳播.三是保障和完善應用安全,除了提供用戶名和口令外其他身份驗證機制,必要時還需支持雙因素認證和具備登錄控制模塊,同時在日常工作不受影響的情況下,控制員工訪問權限,減少越權操作的現象,最大限度地保障個人系統的安全.四是保障和完善網絡安全,制造型企業還需通過內外部署相應的網絡與信息安全設施使計算機設備的物理管理得到加強,并對入侵檢測系統和漏洞掃描系統進行內外部攻擊和誤操作的實時保護的安全設計,使系統免于網絡攻擊的同時,也提升了系統管理人員的安全管理水平.五是保障主機安全,除了采用系統掃描技術對操作系統層設備和系統進行智能化檢測來幫助網絡管理人員高效地完成定期檢測和操作系統安全漏洞修復的工作,還應采用系統實時入侵探測技術來監控主機系統事件,檢測攻擊的可疑特征,并給予響應和處理.六是保證物理安全,制造型企業需要保證機房與設施的安全,針對環境的物理災害、自然災害和人為的蓄意破壞采取安全措施,并通過防盜、防毀、防電磁干擾來保證設備的安全.

(四)建立信息安全事件應急響應機制