導語：如何才能寫好一篇數據安全體系建設，這就需要搜集整理更多的資料和文獻，歡迎閱讀由公務員之家整理的十篇范文，供你借鑒。

篇1

近幾年，信息泄漏事件頻發，數據安全將迎來巨大的挑戰，尤其是涉及師生個人隱私的數據及涉密數據應進行重點保護。數據平臺是高校日常信息管理的重要陣地，為高校的正常工作提供有力的數據支撐，保障信息數據的安全，提高系統的穩定性，為學校師生提供來源可靠、準確無誤的基礎數據，避免或減少數據損壞、丟失是高校信息安全工作的頭等大事兒。

1 利用數據平臺管理信息是高校發展的必然趨勢

高校數據的采集、錄入、存儲、提取工作較為頻繁，將數據信息上傳至數據平臺，方便信息的整合共享、反復交叉利用，將大量結構復雜、類型各異的數據匯集在一起，為高校的數據匯總、統計分析、信息共享、發展規劃提供了準確詳實的數據基礎，促進高校信息管理的數字化，為建設智慧校園打開方便之門。歸納分析數據平臺信息管理的優勢有以下幾點：

1）信息數據的上傳、查詢、檢索、管理等操作不限時間、地點。

只要能上網信息數據就可以上傳收集到數據平臺，支持電腦、手機、ipad等各種終端設備隨時隨地查詢、檢索數據信息，校內可以通過學校內部網絡，校外可以通過VPN等方式訪問獲取數據。

2）為統計分析提供了數據支持

高校通過大數據的統計分析可以有針對性的調整招生計劃、專業設置、就業方向，不斷完善辦學理念，開拓辦學思路，為學校的前途發展、決策制定、人才需求分析提供了數據支持。

3）推動高校數字化的進程

高校數字化是智慧校園建設的前提，推動高校云服務、網絡教學、慕課等教學形式的發展，提高學校的教學水平，為學校進一步發展網絡教學提供了技術支持。高校數字化對社會發展起到引領作用，促進地方經濟建設，提高地方數字化水平。

4）提升高校信息管理和服務水平

借助數據平臺實現數據共享，多部門共享數據信息，提高信息管理的效率，使學校的管理和服務水平又上新臺階。由此可見，通過數據平臺進行信息管理是大勢所趨，而數據平臺的安全保障工作成了重中之重。

2 數據平臺信息的安全問題及防范措施

2.1 物理環境安全

物理環境安全主要指數據機房的溫度、濕度等物理環境以及靜電、磁場干擾等因素的影響，高職院校數據中心應按照相應的安全等級建設，中央機房的建設應考慮將來在發展過程中可能遇到的問題。

2.2 硬軟件環境安全

硬件安全是指數據中心設備的安全，包括服務器、存儲、網絡設備等，中央機房的硬件維護應有專人負責，定期查看硬件運行是否穩定，是否有過熱、風扇故障或其他問題出現，對硬件進行必要的維護是保證學校工作正常進行的前提。

軟件安全是指服務器中各軟件及組件的正常使用，利用虛擬化軟件合理配置服務器資源，對存儲系統、災備系統及網絡設備等進行有機整合，通過對web環境配置、服務器環境搭建、防火墻、常用組件、數據庫等系統的調試運行，滿足用戶數據上傳、存儲、檢索、提取、共享等各項日常工作需要。

2.3 常見的信息安全問題

2.3.1 病毒攻擊、黑客入侵問題

高級可持續性威脅（APT）通過網絡漏洞入侵、分布式拒絕服務（DDoS）、Phishing、Botnet、木馬、惡意代碼等網絡攻擊。一些不懷好意的黑客入侵計算機系統，竊取或是篡改用戶的個人信息和重要數據，給用戶帶來嚴重危害[1]。我們應定期掃描系統安全漏洞，安裝服務器補丁并定時更新防火墻病毒庫，提高系統的防御能力。

2.3.2 數據信息的完整性保護

通過終端審計、身份認證、分級管理、行為追蹤等措施，確保數據信息的完整性、真實性、一致性，保護數據信息的可控性及可用性。

2.3.3 數據信息泄漏

近年來，數據信息泄漏事件呈上升趨勢，個人隱私泄漏、盜取敏感數據等事件頻發，通過數據加密技術、信息訪問權限的控制、安全審計等措施防止數據泄漏。

2.3.4 數據中心抗風險能力有待提高

數據平臺的穩定性是由系統自的完備程度決定的，系統容災、冗余備份工作不夠完善，對風險的認識不夠充分，出現問題的時候就會造成較大范圍的損失，提高風險意識，加強系統管理，提升數據平臺的抗風險能力。

3 安全管理策略

3.1 數據安全策略

數據可以通過加密來保證數據的安全性，有必要也可以采用動態加密技術。為保障數據傳輸安全，從外網訪問高校數據平臺信息，可以通過VPN、PPTP等方式訪問。

3.2 日志管理策略

服務器、防火墻及網絡軟件在運行過程中都會產生日志，用來記錄自身運行情況、相關事件的發生時間及有價值的信息，加強日志的記錄管理，通過收集、存儲、匯總、分析等方法及時發現操作系統及網絡的異常，利用日志監控系統、審計行為、分析原因并生成調查報告。

3.3 權限設置策略

根據管理級別，設置管理權限，高級權限有?L問、下載、管理數據權限，低級權限僅可以查看及部分操作與自己工作相關的信息。對于已提交審核確認后的內容僅有訪問權，沒有修改權，如學生成績管理，教師在規定時間上傳完學生的期末成績之后，就只能查看成績而不能修改，而學生只有查看權限。

3.4 密鑰管理策略

密鑰可與權限同步設置，通過密鑰管理一方面可以識辨人員身份，另一方面可以實行上網人員的權限控制，防止非法人員訪問系統。

3.5 行為管理策略

信息管理人員的行為從認證開始，辨識身份，監控行為，發現有病毒、木馬、惡意程序等或涉及信息安全行為的賬號要果斷采取有效措施，并追蹤來源，查找原因，避免此類事件再次發生。

4 信息安全保障體系建設

4.1 病毒防治

病毒入侵會導致數據信息被?閡獯鄹摹⑺鴰怠⒍?失，病毒的擴散傳播會造成系統大面積癱瘓，對軟硬件環境安全構成威脅。我們不但要提高防毒意識，還要加強防控技術水平。

4.1.1 提高系統的防護能力

檢測系統漏洞，及時安裝漏洞補丁，掃描病毒及木馬，通過入侵檢測防御系統（IDS）進行主動的安全防護，加強防御與入侵檢測工作，提高系統的健壯程度，增強系統穩定性。

4.1.2 防止網絡攻擊及黑客入侵

通過防火墻阻斷外部病毒的入侵，防火墻可根據實際需要采取不同技術，如過濾型防火墻、型防火墻，同時提高校園內網使用者的安全意識，防范來自內部的攻擊，避免病毒通過內網上傳平臺。

網絡安全不僅需要技術上的進步，同時需要通過規范制度、人員培訓、責任落實等手段齊抓共管。

4.2 規章制度建設

建立健全完善的數據機房管理制度，責任落實到人頭，定期對系統進行漏洞查找，安裝系統補丁、更新病毒庫。為避免人為因素的影響，對工作人員進行定期培訓及安全教育，對上網人員進行實名身份認證管理，并進行行為跟蹤。建立上網賬號數據庫，禁止非法訪問，保證數據信息的安全。

4.3 安全管理體系建設

相關管理部門制定安全策略和管理制度，認真做好安全管理組織工作，加強工作人員的安全管理，提高信息管理人員的安全責任意識，經常進行信息安全管理的業務培訓，提高安全管理的執行能力。

4.4 安全技術體系建設

通過識別用戶身份、訪問權限、行為控制等策略營造安全的平臺信息環境，過濾網絡信息，打造安全的區域邊界。為防止網絡入侵、非法訪問、惡意代碼攻擊等行為，采取漏洞掃描、安全檢測、物理隔離、升級防火墻等技術，支持系統安全測評、風險測評體系，防范信息篡改、假冒等事件發生。

4.5 數據安全體系建設

在保證供電的基礎上，高校數據中心可采用一用二備或三備的配置，并對重要數據定期備份。在容災備份技術的選擇上可以根據實際采用雙歸屬技術或IuFlex技術，如1+1主備或互備，有條件的也可以采用N+1主備或互備。一旦出現問題，數據備份可以減少處理問題的時間，及時解決問題并降損。

4.6 運行維護體系建設

信息的安全維護體系建設是系統安全穩定運行的有力保障，控制訪問、鑒別認證、監控數據、安全管理、系統配置等大量工作提前做好，才能使信息資源規避風險，減少損失，定期安裝補丁，檢查接口安全，利用數據加密技術應對黑客竊取數據或各種攻擊性行為。

4.7 應急處理方案

準備切實可行的應急處理預案，確保出現問題時第一時間做出反應，減少損失，盡快處理出現的問題。備服的安全管理也應同步進行，數據熱備份，做好應急預案，防止出現問題時忙中出錯。

篇2

關鍵詞：智能電網 信息安全 防護體系 可信平臺

中圖分類號：F49 文獻標識碼：A 文章編號：1007-3973（2013）012-212-02

1 引言

隨著智能電網建設步伐的推進，更多的設備和用戶接入電力系統，例如，智能電表、分布式電源、數字化保護裝置、先進網絡等，這些設備的應用使電網的信息化、自動化、互動化程度比傳統電網大大提高，它們在提升電網監測與管理方面發揮了重要作用，但同時也給數據與信息的安全帶來了隱患。比如黑客通過竊取技術訪問電網公司數據中心的服務器，有可能造成客戶信息泄露或數據安全問題，嚴重時有可能造成國家的重大損失。因此，如何使眾多的用戶能在一個安全的環境下使用電網的服務，成了當前電網信息安全建設的重要內容之一。

2 電力企業信息安全建設的關鍵問題

云計算技術在電力企業的業務管理中已經逐步得到應用，另外，隨著技術的成熟和商業成本的降低，基于可信計算平臺的網絡應用獲得了迅猛發展。如果在電網業務管理體系中將可信計算與云計算結合起來，將會使電網的管理水平如虎添翼。圖1為構建可信平臺模塊間的安全通道示意圖。

在可信計算環境下，每臺主機嵌入一個可信平臺模塊。由于可信平臺模塊內置密鑰，在模塊間能夠構成一個天然的安全通信信道。因此，可以將廣播的內容放在可信平臺模塊中，通過安全通信信道來進行廣播，這樣可以極大地節約通信開銷。

智能電網的體系架構從設備功能上可以分為基礎硬件層、感知測量層、信息通信層和調度運維層四個層次。那么，智能電網的信息安全就必須包括物理安全、網絡安全、數據安全及備份恢復等方面。因此，其涉及到的關鍵問題可從CA體系建設、桌面安全部署、等級防護方案等方面入手。

3 智能電網信息防護體系框架

3.1 數字證書體系

數字證書體系CA是建設一套符合國家政策要求的電子認證系統，并作為電力企業信息化建設的重要基礎設施，實現各實體身份在網絡上的真實映射，滿足各應用系統中關于身份認證、信息保密性、完整性和抗抵賴性等安全性要求。該系統主要包括根CA系統、CA簽發系統、RA注冊管理系統、KM系統、證書狀態查詢系統和LDAP目錄服務系統，總體結構如圖2所示。

3.2 桌面安全管理體系

該體系可為電力企業提供集中的終端（桌面）綜合安全管理的桌面管理產品，打造一個安全、可信、規范、健康的內網環境，如圖3所示。

該體系能滿足用戶：確保入網終端符合要求；全面監測終端健康狀況；保證終端信息安全可控；動態監測內網安全態勢；快速定位解決終端故障；規范員工網絡行為；統一內網用戶身份管理等。

3.3 等級防護體系

此外，在設計信息安全體系時，還需要針對電力企業的業務應用系統，按照不同的安全保護等級，設計信息系統安全等級保護方案，如圖4所示。

根據國家關于《信息系統等級保護基本要求》中關于信息安全管理的規定，該體系應該包括物理安全、網絡安全、主機安全、應用安全、數據安全等方面。

4 結論與展望

本文將電力云技術與可信計算結合起來，設計了面向智能電網的信息安全防護體系框架，從CA體系建設、桌面安全部署、等級防護方案等方面闡述了該框架的內涵。但信息安全是一個沒有盡頭的工作，需要及時與最新的方法相結合，不斷完善信息安全方案，使電網做到真正的智能、堅強。

（基金項目：中央高校基本科研業務費專項資金項目（11MG50）；河北省高等學校科學研究項目（Z2013007））

參考文獻：

[1] 陳樹勇，宋書芳，李蘭欣，等.智能電網技術綜述[J].電網技術，2009，33（8）：1-7.

[2] 國家電網.關于加快推進堅強智能電網建設的意見[N].國家電網報，2010-01-12（2）.

[3] 曹軍威，萬宇鑫，涂國煜，等.智能電網信息系統體系結構研究[J].計算機學報，2013，36（1）：143-167.

[4] 陳康，鄭緯民.云計算：系統實例與研究現狀[J].軟件學報，2009（5）：1337-1348.

篇3

【關鍵詞】網絡信息化管理；企業；應用

【中圖分類號】F270.7【文獻標識碼】A【文章編號】1006-4222（2015）23-0302-02

前言

信息時代的發展促進了很多科技產業的飛躍發展，同時也給很多行業帶來了便利。信息技術是一切網絡信息的物質基礎，可以超乎想象地完成信息處理工作，而企業管理工作也搭上網絡信息化管理的快車，給很多繁雜的管理流程提出了解決方案。網絡信息化管理已經大大降低了企業管理成本，并逐漸向個性化的管理服務拓新，貫穿到了企業管理的方方面面。可以說現代企業管理已經離不開網絡信息化，而對網絡信息化管理的研究和應用也正是新時代的需求。

1網絡信息化管理對企業管理的意義

網絡信息化管理的作用就是將傳統的管理流程利用信息化技術代替，并發揮信息化的優越性，達到更好的管理效果。企業利用網絡信息化管理主要從信息的傳遞與存儲和信息分析方面提高工作效率，實現管理的快捷高效目的，對企業管理有重要意義：

（1）減輕管理人員的工作量。網絡信息化管理的本質是對數據信息的高效處理能力，所以，對于企業管理人員的日常信息數據處理來說是非常簡單的事，可以快速完成數據處理、分析并存儲，真正起到便捷快速的效果；

（2）簡化管理步驟，提高運作效率。企業網絡信息化管理系統的建立可以實現信息的快速處理和傳輸，必然提高工作效率。而且系統上的流程設置可以把線下工作流程搬到線上來操作，極大地簡化流轉成本；

（3）促進企業管理規范化進程。網絡信息化管理系統的建立是基于很多管理理論和流程基礎的，保證了系統規范性，企業在利用系統進行管理應用的時候也必然要按照系統的流程走，對促進企業管理規范化有很大的幫助，而且很大程度減少了人員操作失誤導致管理問題的情況發生。

2網絡信息化管理在企業中的應用現狀

我國網絡信息化建設起步較國外晚一些，其在企業中的應用水平也處于起步階段。但是，從近幾年的發展現狀來看，信息化建設程度已經有了很大的突破，并逐漸發揮著對企業管理的積極作用。相對于國外企業網絡信息化管理的應用，我國的應用現狀不容樂觀，還有很大的發展空間。①對企業信息化管理的認知方面，企業有很大的提升，只是在改革實踐方面需要一定的時間去接受；②企業信息化管理體系的應用需求不斷提高，企業的發展速度對應的信息化水平要求不同，在需求提高的同時出現了一定的不協調現象；③技術層次不統一，企業信息化管理系統的建立出現滯后與混亂，不同技術提供商之間存在不和諧的競爭關系；④企業對企業信息管理體系的投資不夠，且投資方向存在缺陷，受傳統企業管理和建設思想的影響，很多企業在網絡信息化建設的投資上偏向于硬件，而導致軟硬件投資失衡。

3網絡信息化管理在企業應用中存在的問題

3.1企業人員認識有誤

對于一些剛接觸網絡信息化管理體系的企業來說，很可能存在對其理解有誤區。可能會盲目的認為管理系統的強大功能，可以減輕一切管理問題，亦可能會認為并不能改善什么效果，總之這些認知都是正常的。主要是我國傳統企業管理人員對系統的認識誤區會影響企業網絡信息化管理應用進程，然后在真正應用中出現不適用、不會用等問題，導致企業網絡信息化管理建設失敗。

3.2企業與管理系統融合不當

對于很多企業來說，了解到企業網絡信息化管理的便利性之后，想要自己也能快速進入信息化管理的發展快車中，就會出現盲目采購管理軟件的現象，況且目前的企業網絡信息化管理軟件市場又相對混亂，導致采購的軟件并不能真正達到企業管理的需求。其實，針對一些正規的軟件系統提供商來說，在進行軟件設計的時候就應該跟企業進行需求分析，并提供個性化的軟件系統，這樣可以極大的解決溝通成本，也促進企業和購買的管理系統融合。

3.3網絡信息化管理系統的數據安全隱患

在現代開放的網絡環境中，數據安全成為所有信息產品考慮的重中之重。如果企業網絡信息化管理系統的數據安全隱患沒法得到排除，那對企業管理信息化進程的推進有很大的阻礙作用。如果企業在使用網絡信息化管理軟件過程中出現數據丟失或被竊取等安全問題，會嚴重影響企業的發展。總之，在我國乃至全世界，網絡數據安全體系的建立和完善還需一定的時日，但目前仍然存留一定的安全隱患。

4網絡信息化管理在企業應用中的對策建議

從前文對企業網絡信息化管理體系的現狀和應用問題研究，結合目前的信息技術水平和市場環境，提出了相應的對策和建議，希望在推進網絡信息化管理在企業應用的進程，早日實現全部管理信息化。

4.1加強企業內部對網絡信息化的認識培養

企業網絡信息化管理的應用并不是說完全擺脫傳統的管理體系和流程，一定要在企業日常培訓中注意正確的認識思想灌輸。網絡信息化管理體系的作用只是幫助企業在管理過程中改進工作流程，提高信息處理速度，規范管理章程而已。企業的管理人員要起帶頭作用，積極學習網絡信息化管理的知識，并給自己的員工樹立正確的認知思想。消除全利好的思想，要鼓勵企業員工對信息化管理知識的學習與使用，全員參與，每個部門都落實到位，尊重每一項流程的設置，并盡快適應信息化管理系統，做到標準、規范化使用網絡信息化管理系統，使之為企業工作服務，提高效率和效益。

4.2規范軟件市場，加強供采溝通

雖然網絡信息化管理體系對企業管理工作有很大的促進作用，但就目前的軟件市場情況來看，還處于一個變動調整時期，由于沒有一個規范的運作模式，往往造成供采兩方需求與服務不對等的狀況。軟件市場的混亂也不是一時存在的，經過了幾十年的發展歷史，雖然有所改善，但問題依然存在，至今規范化的管理制度沒能真正起到制約作用，只能說價錢監督和規范執行力，使市場變得更好。其次就是企業在進行軟件采購時，需要提供給軟件提供商具體的需求文檔，之間加強溝通，以促進軟件和企業使用的真正融合，幫助企業管理網絡信息化。

4.3加強網絡信息化管理數據安全體系建設

數據安全問題是全世界網絡體系面臨的難題，在網絡信息化管理企業應用中，數據安全又是關鍵，所以改善這一難題成為目前推進網絡信息化管理應用的主要任務。由于網絡信息化管理數據的安全隱患不能完全得到排除，所以目前只能通過加強數據安全體系建設的方法來防范。通常采用的數據安全防范措施有加密處理手段、自建服務器、局域網絡加密等，企業在這方面應該投入更多的資金成本用于硬件設施的建設，同時培養網絡技術人才，確保突發事件時進行緊急應對來盡可能的將風險降低到最小。

5結語

網絡信息化管理的研究成為現代企業管理的重要課題，在企業進行應用的時候仍然存在很多問題，但是整體發展趨勢良好。本文擬從網絡信息化管理在企業中應用時企業人員認知錯誤、企業對信息化管理軟件的應用融合問題和數據安全問題出發，分析了相應的解決措施，提出了網絡信息化管理在企業應用中的建議，以促進我國信息化管理的普及和發展。

參考文獻

[1]顧玲.當前我國企業管理信息化問題研究顧玲[J].現代營銷（學苑版），2014（10）.

[2]蔡永鴻，劉瑩.基于大數據的電商企業管理模式研究[J].中國商貿，2014（31）.

篇4

【 關鍵詞 】 等級保護；煙草企業；信息安全體系

1 等級保護思想

等級保護思想自20世紀80年代在美國產生以來，對信息安全的研究和應用產生著深遠的影響。以ITSEC、TCSEC、CC等為代表的一系列安全評估準則相繼出臺，被越來越多的國家和行業所引入。我國于20世紀80年代末開始研究信息系統安全防護問題，1994年國務院頒布《中華人民共和國計算機信息系統安全保護條例》（國務院147號令），明確規定計算機信息系統實行安全等級保護。至此，等級保護思想開始在我國逐漸盛行。

我國的安全等級保護主要對國家秘密信息、法人和其他組織及公民的專有信息以及公開信息和存儲、傳輸、處理這些信息的信息系統分等級實行安全保護。其核心思想就是對信息系統分等級、按標準分類指導，分階段實施建設、管理和監督，以保障信息系統安全正常運行和信息安全。信息系統的安全等級保護由低到高劃分為五級，通過分級分類，以相應的技術和管理為支撐，實現不同等級的信息安全防護。

2 煙草行業引入等級保護思想的意義

煙草行業高度重視等級保護工作，實施信息安全等級保護，能有效地提高煙草行業信息安全和信息系統安全建設的整體水平。

2.1 開展安全等級結構化安全設計

安全等級保護在注重分級的同時，也強調分類、分區域防護。煙草行業雖強調分類、分區域，但存在一定局域性。同時，由于缺少分級準則，差異化保護尚未深化。引入等級保護思想，有助于深化結構化安全設計理念，通過細分類型、劃分區域，全面梳理安全風險，明晰防護重點，構建統一的安全體系架構。

2.2 注重全生命周期安全管理

等級保護工作遵循“自主保護、重點保護、同步建設、動態調整”四大基本原則，其“同步建設、動態調整”原則充分體現了全生命周期管理的思想。煙草行業在全建設“同步”思想方面體現不深，未在系統的建設初期將安全需求納入系統的整體階段。引入新思想，明確新建系統安全保護要求，提升安全管理效率。

3 等級保護在煙草行業的實施路徑

信息安全等級保護工作的內容主要涉及系統定級備案、等級保護建設、風險評估與等級安全測評、安全建設整改。煙草行業推行等級保護工作，其實施路徑主要有幾條。

3.1 信息系統安全定級

主要包括信息系統識別、信息系統劃分、安全等級確定。其中，原有信息系統根據業務信息安全重要性、系統服務安全重要性等方面綜合判定，合理定級。

3.2 等級保護安全測評

在等級保護環境下對信息系統重要資產進行風險評估，通過等保測評，發現與等級保護技術、管理要求的不符合項。

3.3 制訂等級保護實施方案

依據安全建設總體方案、等級保護不符合項，全面梳理存在問題，分類形成各層級問題清單；并合理評估安全建設整改的難易度，全面有效制訂等級保護方案，明確安全整改目標。

3.4 開展安全整改與評估

根據等級保護實施方案開展建設，具體主要包括安全域劃分、產品采購與部署、安全策略實施、安全整改加固以及等級保護管理建設等。并不定期開展安全評估，不斷鞏固信息安全與信息系統安全。

4 基于等級保護的煙草企業信息安全體系建設

根據等級保護工作的實施路徑分析得出，等級保護與信息安全體系存在許多共性，有較好的融合度。因此，探索基于等級保護的行業信息安全體系具有深刻意義。

信息安全體系的核心是策略，由管理、技術、運維三部分組成。在等級保護思想的融合下，信息安全體系建設更加注重“分級保護、分類設計、分階段實施”。根據等級保護思想，煙草行業信息安全體系概述有幾點。

4.1 分級保護

煙草行業的信息安全體系以信息系統等級為落腳點，實行系統關聯分級，具體分為人員分級、操作權限分級、應用對象分級。首先確定使用對象的范圍。對人員實行不同分級，即人員、可信人員、不可信人員等；其次，根據人員分級，劃分操作權限，即高權限、特殊權限、中權限、低權限等；最后根據業務信息安全等級和應用服務等級，明確應用系統等級，即一至五級安全等級。通過“人員—操作—應用”的關聯鏈，制訂分級準則，從而達到分級保護的目的。

4.2 分類設計

信息安全體系分類設計，主要涉及不同類型、不同區域、不同邊界三方面的結構化設計。

4.2.1 類型設計

根據安全等級保護要求以及安全體系特點，分為技術、管理和運維三大類型，并進行類型策略設計。其中技術要求分為物理安全、網絡安全、主機安全、應用安全、數據安全及備份恢復等四部分，管理要求分為安全管理制度、安全管理機構、人員安全管理、系統建設管理等四部分。運維要求分為系統運維管理、系統運維評估等兩部分。

（1）技術策略注重系統自身安全防護功能以及系統遭損害后的恢復功能兩大層面。如主機管理，其中主機管理、身份鑒別、訪問控制、安全審計、入侵方法等標準要按級體現；而不同的策略同樣也要根據兩大層面按需設計。

（2）管理策略注重管理范圍全面性、資源配置到位性和運行機制順暢性。諸如安全管理機構是否明確了機構組成，崗位設置是否合理、人員配置是否到位、溝通運行機制是否順暢等。

（3）運維策略主要體現運維流程的清晰度、運維監督考核的執行度。諸如系統運維管理是否明確運維流程及運維監督考核指標，諸如重大事件、巡檢管理、故障管理等。通過分類設計達到結構化層級要求。

4.2.2 區域設計

區域設計主要指安全域。安全域從不同角度可以進行劃分，主要分為橫向劃分和縱向劃分，橫向劃分按照業務分類將系統劃分為各個不同的安全域，如硬件系統部分、軟件系統部分等；縱向在各業務系統安全域內部，綜合考慮其所處位置或連接以及面臨威脅，將它們劃分為計算域、用戶域和網絡域。

煙草行業根據體系建設需要，將采用多種安全域劃分方法相結合的方式進行區域劃分。

（1）以系統功能和服務對象劃分煙草重要信息系統安全域和一般應用系統安全域。采取嚴格的訪問控制措施，防止重要信息系統數據被其它業務系統頻繁訪問。

（2）以網絡區域劃分煙草行業信息系統的數據存儲區、應用服務區、管理中心、信息系統內網、DMZ區等不同的安全域。數據存儲區的安全保護級別要高于應用服務區，DMZ區的安全級別要低于其它所有安全域。

4.2.3 邊界設計

要清晰系統、網絡、應用等邊界，通過區域之間劃分，明晰邊界安全防護措施。邊界設計的理念基于區域設計，在區域劃分成不同單元的基礎上，實行最小安全邊界防護。邊界防護本著“知所必需、用所必需、共享必需、公開必需、互聯互通必需”的信息系統安全控制管理原則實施。

4.3 分階段實施

煙草信息安全體系建設要充分體現全生命周期管理思想，從應用系統需求開始，分階段推進體系建設。

4.3.1 明確安全需求

為保證信息安全體系建設能順利開展，行業新建系統必須在規劃和設計階段，確定系統安全等級，明確安全需求，并將應用系統的安全需求納入到項目規劃、設計、實施和驗證，以避免信息系統后期反復的整改。

4.3.2 加強安全建設

要在系統建設過程中，根據安全等級保護要求，以類型、區域和邊界的設計為著力點，全面加強安全環節的監督，及時跟蹤安全功能的“盲點”，使在系統建設中充分體現安全總體設計的要求，穩步推進安全體系穩步開展。

4.3.3 健全安全運維機制

自系統進入運維期后，要建立健全安全運維機制。梳理運維工作事項，理順運維業務流程，并通過制訂運維規范、運維質量評價標準、運維考核標準等，規范安全運維管理，提高安全運維執行力，以確保系統符合安全等級要求。

4.3.4 開展全面安全測評

在安全建設階段，對行業現狀要全面診斷評估，尤其是對已定級的信息系統，加強安全測評，形成安全整改方案，并結合安全體系設計框架，按階段、分步驟落實，注重整改質量與效率，降低安全風險。

4.3.5 落實檢查與評估

檢查評估必須以安全等保要求為檢查內容，充分借助第三方力量，準確評估行業安全管理水平，并及時調整安全保護等級，不斷促進行業信息安全工作上臺階。

5 結束語

信息安全體系建設作為一項長期的系統工程，等級保護思想的引入，以其保護理念的先進性和實施路徑的可行性，為信息安全體系建設提供了新的思路和方法。煙草行業將在信息安全等級保護工作中切實提高煙草業務核心系統的信息安全，保障行業系統的安全、穩定、優質運行，更好地服務國家和社會。

參考文獻

[1] 公安部等.信息安全等級保護管理辦法[Z]. 2007-06-22.

[2] 國家煙草專賣局.煙草行業信息安全保障體系建設指南[Z].2008-04-25.

篇5

【關鍵詞】電子政務 信息安全 體系建設

當前我國交通電子政務實施過程的兩大矛盾的解決，依賴于安全、穩定、可靠的交通運輸電子政務平臺信息安全保障體系。對于電子政務平臺實施過程中所面臨的信息安全保障問題，我國早在2003年9月頒發的《關于加強信息安全保障工作的意見》中明確提出了建立等級保護制度和風險管理體系的要求。2004年11月，公安部等國家四部委聯合推出信息安全等級保護要求、測評準則和實施指南，為政務領域進一步建立政務信息系統風險管理體系提供了技術基礎和指導。交通運輸部也于2008年12月頒布的《交通運輸電子政務網絡及業務應用系統建設技術指南》中對交通電子政務平臺的安全保障體系作了詳細的技術規范。

隨著交通政府機構的信息安全基礎建設日趨完善，建立一套信息安全管理平臺，既滿足電子政務平臺的開放性和可訪問性，又保證電子政務平臺的安全性，也日益迫切。交通電子政務信息安全保障體系可從以下幾個角度進行充分構建：

1信息安全保障體系及其基本要求

信息安全保障體系是基于PKI體系而開發的為多個應用系統提供統一認證、訪問控制、應用審計和遠程接入的應用安全網關系統，它可以將不同地理位置、不同基礎設施（主機、網絡設備和安全設備等）中分散且海量的安全信息進行樣式化、匯總、過濾和關聯分析，形成基于基礎設施與域的統一等級的威脅與風險管理，并依托安全知識庫和工作流程驅動，對威脅與風險進行響應和處理。信息安全保障體系的基本要求主要體現在以下幾個方面：

1）保密性。主要體現在誰能擁有信息，如何保證秘密和敏感信息僅為授權者享有。

2）完整性。主要體現在擁有的信息是否正確以及如何保證信息從真實的信源發往真實的信宿，傳輸、存儲、處理中未被刪改、增添、替換。

3）可用性。主要體現在信息和信息系統是否能夠使用以及如何保證信息和信息系統隨時可為授權者提供服務而不被非授權者濫用。

4）可控性。主要體現在是否能夠監控管理信息和系統以及如何保證信息和信息系統的授權認證和監控管理。

5）不可否認性。主要體現在信息行為人為信息行為承擔責任，保證信息行為人不能否認其信息行為。

總之，信息安全保障體系的基本要求主要從技術和管理兩個層面得以實現。技術層面在實現信息資源的公開性、共享性和可訪問性的同時，通過主機安全、網絡安全、物理安全、數據安全和應用安全等技術要素保障信息的安全性。管理層面則可通過安全管理機制、安全管理制度、人員安全管理、系統建設管理以及系統運營管理等規范化機制得以保障信息的安全性。

2交通電子政務平臺信息安全保障體系的構建

交通電子政務平臺的信息安全保障體系，應該由組織體系、技術體系、運營體系、策略體系和保障對象體系等共同組成。

2.1安全組織體系。政府高度重視交通運輸信息化工作的同時，堅持把“積極防御，綜合防范”放在優先位置，首先要求成立專門的信息安全領導小組。信息安全領導小組可由交通主管領導擔任領導小組組長主管信息安全工作，下設信息安全工作組，各管理部門負責人、業務部門負責人為成員。

2.2安全技術體系。交通電子政務平臺的安全技術體系可搭建專業的安全管理運營中心，并從基礎設施安全和應用安全兩個方面去搭建安全技術支撐體系。

2.3安全運營體系。交通電子政務的安全運營體系一般可由安全體系推廣與落實、項目建設的安全管理、安全風險管理與控制和日常安全運行與維護四個部分組成。安全運營體系是一個完整的過程體系，在交通電子政務平臺的整個過程中，正常的運作流程，其信息流遵循自上而下的流程，即交通上級部門根據電子政務平臺信息安全需求的目標、規劃和控制要求做計劃，下級交通部門根據計劃進行執行、檢查和改進。而若交通電子政務平臺其安全性出現威脅，影響正常的運作流程時，此時信息流則遵循自下而上的逆向過程，下級交通部門向上級部門報送安全事件，上級部門根據其安全事件進行分析、總結和改進。

2.4安全策略體系。網絡安全策略是為了保護網絡不受來自網絡內外的各種危害而采取的防范措施的總和，因此信息安全策略是信息安全保障體系建設和實施的指導和依據，全面科學的安全策略體系應貫穿信息安全保障體系建設的始終。安全策略體系，主要包含安全政策體系、安全組織體系、安全技術體系和安全運行體系四個方面的要素，在采用各種安全技術控制措施的同時，必須制訂層次化的安全策略，完善安全管理組織機構和人員配備，提高安全管理人員的安全意識和技術水平，完善各種安全策略和安全機制，利用多種安全技術實施和網絡安全管理實現對網絡的多層保護，減小網絡受到攻擊的可能性，防范網絡安全事件的發生，提高對安全事件的反應處理能力，并在網絡安全事件發生時盡量減少事件造成的損失。

篇6

 

0 引言

 

隨著我國經濟的快速發展，信息系統也跟隨進入到了快速發展時期。網絡信息系統在國家安全、經濟建設以及高新科學技術都發揮著重要作用。由于信息系統的快速發展，應用領域逐漸的進行變化，從傳統的小型業務系統逐漸向大型的關鍵業務系統擴展，應用層次不斷的進行深入，網絡的信息安全日益成為影響整個信息系統的重要問題。由于目前的網絡系統基于TCP/IP協議，具有充分的開放性與自由性，為廣大用戶提供了很廣闊的使用領域，但同時也給網絡安全帶來到了極大的安全隱患。網絡的信息安全體系的建設成為了一個急需解決的問題。作為我國國家安全重要的組成部分公安機關，其網絡系統的安全體系建設是首先要考慮的問題。本文分析了公安網絡的信息安全當前面臨的問題以及安全需求，給出了公安網絡的信息安全體系設計中，通信平臺、網絡平臺、應用平臺以及安全管理平臺的問題分析。

 

1 公安網絡面臨的安全問題分析

 

公安網絡的信息安全一般來說是指公安網絡系統要保障信息不受破壞、保護數據安全、保護服務安全以及保護通信安全等多個方面。盡管公安網絡與公共網絡進行隔離，但是公安網絡所覆蓋的范圍非常廣，使用公安網絡的公安干警、司法部門的人員眾多。不僅如此公安網絡還連接著全國公安一級網絡。使用人員的誤操作或者非法操作都有可能導致信息的泄露與破壞。因此，目前我國的公安網絡的信息安全面臨著許多的安全問題。

 

1.1 網絡構成龐大，訪問控制不嚴

 

由于目前的公安網絡拓撲結構龐大，對偽裝IP的判斷以及網絡用塞現象嚴重。另外，目前用戶的登錄方式的安全級別尚未做到將本文真實的身份信息與登錄口令做到單一映射。甚至有些地方的公安網絡中，仍然使用同一的用戶名+口令的模式，這些無疑會對公安網絡的信息安全造成巨大的安全隱患，造成非法入侵者對數據的破壞、盜取以及泄露安全機密。

 

1.2 公安網絡系統中軟件設計問題

 

由于公安網絡系統的安全防護軟件的開發周期與早期的系統分析不適合當前安全防護形勢的原因。其公安網絡操作系統與應用軟件中存在很多的安全樓同，這些漏洞的存在將對網絡的正常運行構成很大的隱患。

 

1.3 病毒的防護漏洞

 

公安網絡目前對網絡病毒的防護手段十分有限，沒有建立專用的計算及病毒防護中心、監控中心，這同樣對公安網絡的安全造成巨大隱患，“尼姆達”與“2003 蠕蟲王”等網絡病毒曾對公安網絡造成想打的危害，造成網絡擁堵、降低性能，嚴重擾亂了公安系統的正常工作秩序。

 

1.4 信息安全的管理體制不完善

 

公安網絡系統是與公共網絡物理隔離的系統，但是還未在整體上建立完善的安全結構體系，在管理上缺乏安全標準以及使用條例，甚至有些地方公安網絡中的計算機出現公安網絡與公共網絡同時使用的現象，這都對公安網絡的信息安全帶來不可忽視的安全威脅，使非法入侵者有著可乘之機。

 

2 公安網絡的信息安全體系結構設計

 

公安網絡的信息安全體系結構設計，是一項非常復雜的系統工程，該體系對安全的需求是多層次，多方面的。因此本文設計了比較完整的安全體系結構模型，以保障整個系統的完備性以及安全性，為公安網絡的信息安全提供切實有效的安全服務保障。本文在借鑒了多種成熟的信息網絡安全體系結構，并且根據國家公安部提出的具體保障體系的指導思想，設計了適應我國公安網絡的信息安全體系。該體系從安全服務、協議層次以及系統單元三個維度，綜合立體的對公安信息網絡的安全體系進行了設計。這個三個層次均包含了安全管理模塊。

 

2.1 協議層次維度

 

本文從網絡的七層協議模型來設計公安網絡的安全體系結構中的協議層次。每一個協議層次都有專屬的安全機制。對于某一項安全服務，安全實現機制隨著協議層次的不同而不同。例如，審計跟蹤的安全服務項目在網絡層，主要對審計記錄與登錄主機之間的流量進行分析，對非法入侵進行實時監測。病毒防護層一般在應用層實現，一般用來對訪問事件進行監控，監控內容為用戶身份，訪問IP，訪問的應用等等進行日志統計。

 

2.2 安全服務維度

 

公安網絡的信息安全體系中包括的安全服務有，身份識別認證、訪問控制權限、數據完整性和保密性以及抗抵賴組成了安全服務模型。在安全服務模型中，每一個安全服務對應著不同類別的應用。這幾種安全服務模型不是獨立的是互相聯系著的。進入公安網絡安全體系的主體登錄系統時，要進行身份識別認證，并且查找授權數據庫，以獲得主體訪問的權限，如果通過驗證與授權，則對訪問信息進行加密返回至主體，主體通過解析進行信息獲取。并且，主體訪問的過程被審計跟蹤監測模塊記錄，生成訪問日志，以便日后進行查驗。

 

2.3 系統單元維度

 

公安網絡的信息安全體系的實施階段，上述安全服務與協議等要集成在物理單元上，從系統單元的維度看，可分為以下幾個層次。首先，物理環境安全，該層次保護計算機信息系統的基本設施安全，能夠有能力應對自然災害以及人為物理誤操作對安全體系的基礎設施的干擾以及破壞。其次，網絡平臺的安全，主要保證網絡的安全可靠運行，保障通過交換機等網絡設備的信息的安全。最后是應用系統的安全，該層次提供了訪問用戶的身份認證、數據的保密性以及完整性，權限訪問等。

 

3 總結

 

本文分析了公安網絡的信息安全當前面臨的問題以及安全需求，對公安網絡的信息安全體系設計中，協議層次、安全服務以及系統單元三個維度的結構設計問題進行了深入的分析。

 

作者：李元鵬 來源：科技視界 2015年1期

篇7

對系統自我定級

長城資產管理公司是國有獨資的金融企業，在業務高速發展的同時，一直非常重視信息安全體系的建設，早期已經部署了 “老三樣”信息安全產品，即網絡防病毒、防火墻和網絡入侵檢測產品，對保障業務系統的安全正常運轉起到了重要作用。

公司綜合經營管理系統經過四期建設，實現了數據集中和管理集中，為公司收購、管理與處置政策性不良資產以及商業化經營等業務的順利開展提供了完整的業務操作平臺。

根據《信息系統安全等級保護定級指南》中對信息系統的要求，長城資產管理公司考慮到綜合經營管理系統是公司的核心業務系統，一旦受到破壞后，會對社會秩序和公共利益造成嚴重損害，或者對國家安全造成損害，因此，公司確定首要的工作是設定系統的保護級別。經過綜合審核，最終將系統保護級別定為3級，并形成了等級保護定級報告，這在資產管理公司里屬于首家。

對定級進行測評

系統定級之后，公司做了備案，同時申請等級保護的主管單位進行現場測評。北京等級保護辦公室作為這次測評的主管和實施單位，根據等級保護3級基本要求對綜合經營管理系統進行測評。現場測評工作主要包括跟綜合經營管理系統相關的各個層面，在網絡層面進行網絡設備安全配置檢查和安全系統部署；在主機層面進行主機系統的安全配置檢查和數據庫系統安全檢查；在數據安全方面進行了數據完整性、機密性和可用性的檢查;在管理方面進行安全策略、安全組織以及人員的檢查，同時對信息部門領導和相關人員以及公司的人力資源部門相關人員做了詳細的訪談。涉及方面之廣，檢查粒度之細都是其他專門的安全項目所無法比擬的，對公司整個信息安全建設指明了方向，細化了要求，加強了安全體系建設，提升了人員的信息安全意識，規范了信息安全工作流程。

但是，在現場的測評工作當中也出現了一些問題，主要來自兩方面：一是發現了公司在信息安全建設中的“短板”，明確了工作重點和方向；二是發現基本要求中的個別條款的要求過于“苛刻”――單純從技術上來看是可行的，但是如果結合公司的業務，就不是特別合理，因為需要對現有運行的業務進行很大的改造,甚至涉及到對底層操作系統的改造。

最后，在北京等級保護辦公室的監督、指導下，公司加強了安全管理，調整個別不符合項目，最終通過了等級保護3級測評。

建設等級保護平臺

篇8

如何建立一套針對企業自身特點的信息系統安全體系，最大程度地保證其正常運營，這不是一個單純的技術問題，而是一個把管理、安全技術、審計等多種因素集成于于一體的系統工程。因此，企業管理層需要在企業發展策略中，高度重視信息安全技術、信息安全管理和審計工作，不僅要在信息系統的軟硬件上下功夫，而且不能忽略相關審計工作，加強風險排查，這樣才能對企業的業務發展做到同步支持。

1.信息系統安全技術

信息系統安全技術作為信息系統安全體系的基礎，在其中起到支撐的作用。在實際工作中，針對企業各自特點制定相關策略。當前企業信息系統安全的現狀和面臨的主要問題如下：

1.1硬件運維

硬件設備的運維和管理是企業信息系統安全體系的基礎保障，但是管理人員容易忽視這一環節。企業信息系統往往會因為硬件設備故障、斷電或網絡問題造成信息丟失或服務中斷。如果針對硬件設備的運維和管理沒有相關保障機制，一次發生意外，就會給企業造成不可估量的損失。

當前常見的硬件設備運維保障管理機制有以下幾個環節：一是通過設置UPS不間斷電源保障系統硬件的持續性運行；二是要對企業信息系統中的網絡設備進行定期巡檢，在前期的網絡環境部署過程中首先考慮網絡的連接穩定性；最后是加強信息系統安全管理，嚴防企業信息丟失和竊取，可以通過對數據信息存儲服務器設置物理鎖的方式避免非法操作。為了保證系統服務器的安全，管理人員可以采用遠程登錄的方式訪問系統。

1.2入侵防御

病毒入侵一般都擁有固定代碼，而入侵威脅是由非法人員需要得知信息系統的漏洞，從而進行人為操縱的信息竊取或系統攻擊。特定的防范方法包括：嚴格制定防火墻訪問控制策略，阻止外界對內部資源的非法訪問；關閉系統硬件不用的端口；定期對系統進行漏洞掃描和補丁包更新；在信息系統中部署入侵檢測系統（IDS）和入侵防御系統（IPS），從而抵御非法入侵。

1.3病毒防范

信息系統的安全配置和管理人員的正規操作對于信息系統病毒的防范非常重要。操作系統是企業信息平臺安全的基礎，錯誤的安裝配置會使病毒滲入到信息系統當中。針對信息系統安裝殺毒軟件并進行定期更新是病毒防范的基本措施，這樣可以保證系統基本的安全性與穩定性。企業還需要定期對系統進行數據備份。

1.4數據加密

在公共網絡進行數據傳輸的過程中，利用虛擬專用網（VPN）技術設置訪問控制策略，實現兩個或多個可信網絡之間的數據加密與傳輸。搭建VPN通常使用加密防火墻和路由器，保證數據安全傳輸[1]。

在企業的局域網中針對內部信息存儲、傳輸的安全問題，可以通過部署安全服務器來實現包括對局域網內資源的管理控制、用戶的管理和所有安全相關事件的跟蹤和審計。

2.信息系統安全管理

企業信息系統安全體系的建設三分靠技術，七分靠管理。因此，建立和完善管理制度是保障企業信息系統安全的關鍵和重點。

2.1制定企業信息系統安全管理制度

企業信息系統安全體系的建立和實施對其正常運營非常重要，所有一切的信息系統安全工作都要以公司制定的企業信息系統安全管理制度為基準。

2.2提高企業員工信息系統安全意識

現實中企業管理者的關注焦點大多是生產上的安全，信息安全沒有得到足夠的重視。實際上，企業員工信息安全意識的高低，在企業的信息系統安全體系建設中起很大作用，企業能夠加強員工的信息安全意識，將很大地提高信息系統安全體系實施的成效。

2.3嚴格執行標準，強化制度落實

在企業信息系統安全體系的建設過程中，必須嚴格按照信息系統安全操作規程和管理措施執行，最大程度消除信息系統安全隱患。若發現信息系統安全隱患，及時按照相關操作規程處置[2]。

2.4積極學習和應對各種信息系統安全事件

信息技術不斷發展，保障信息系統安全的難度也在與日俱增。因此，信息系統安全管理必須要求企業管理人員不斷學習，不僅要制定一套完整嚴密的信息系統安全管理方案，還要有步驟清晰、操作性強的應急預案，這樣才能增強信息系統安全管理的危機抵御能力和處理能力。

2.5構建信息系統安全環境平臺

面對日漸嚴峻的信息安全形勢，在加強企業信息系統基礎安全設施建設的同時，要有機結合員工信息安全意識、技術能力、企業運維管理三者，建立一套綜合性強的信息系統安全保障體系，在所有的業務系統中貫徹執行當前的安全管理思路，通過可量化的技術手段，達到信息系統安全管理的最終目的。

3.信息系統安全審計

企業信息系統安全體系的建設是一個長期的、需要不斷持續更新、完善的系統工程，通過對信息系統的安全審計，及時發現和解決企業信息系統安全體系的漏洞，才能不斷提高企業安全水平和質量。如何建立和執行企業信息系統安全審計，有效加強企業內部的信息系統安全管理和風險控制，滿足相關政策法規，成為各行業面臨的普遍問題[3]。

信息系統安全審計是指一群擁有相關信息安全專業技能和商業知識的審計人員對企業安全風險以及如何應對風險措施進行評估的一個過程。信息系統安全審計人員通過收集、分析、評估信息系統安全信息，掌握其安全狀態，制定安全策略，將系統調整到“最安全”和“最小風險”的狀態，確保信息系統安全體系完整、合理、適用[4]。

由于目前信息系統應用已經涉及到企業的各個業務和辦公領域，對于信息系統帶來的安全管理已經是企業運營不可切割的一部分。所以，企業的信息系統安全審計應該是一個從業務部門到技術部門都必須參與控制的過程。

從信息系統本身來說，安全審計的要點主要是以下兩個方面：

3.1數據及數據傳輸審計

數據是信息系統的重要資產，保護數據的安全、完整，避免其被惡意破壞、盜竊。對用戶身份進行控制，避免非授權訪問數據，是數據訪問環節的安全控制措施。除此之外，對數據的操作和保存也是數據安全控制的重要環節。首先，應雇傭具備任職資格或經過適當培訓的人員，避免誤操作；其次，所有操作都應該經過授權且有記錄，數據文件被正確保存且經過充分備份，以備正確的恢復。

在信息系統中，有些數據需要在兩個子系統或多個子系統中相互傳輸，在這個過程中很可能會出現問題，尤其是在需要手工錄入或同步傳輸的情況，因此在進行信息系統安全審計的過程中要重點關注以下方面：數據在傳輸的過程中可能會發生變化，如何進行校驗；核心數據庫可能會被物理分散的服務器取代；當一個信息系統取代原有的信息系統時，會進行數據的傳輸。要保證傳輸的數據是完整、可靠并且經過批準的，數據的全部傳輸過程要準確，并且在約定時間內完成。

3.2內部控制審計

內部控制審計是企業為實現管理目標而形成的自律系統。在審計過程中要對審計對象的系統環境是否符合要求、規程制度是否完善、執行情況是否到位進行審查。在信息系統中，可以通過檢查以下幾個方面來驗證企業內控制度和執行的效果：（1）控制信息系統的資源存儲，包括物理存儲資源存儲（終端、連接盒、服務器、相關文檔等）和邏輯資源存儲（軟件、系統文件、表和數據等）。（2）把控信息系統資源的使用。用戶的新增、變化、刪除必須經過授權，用戶只能對其授權范圍內的資源進行操作。（3）按一定標準劃分信息系統資源。可以系統資源的濫用、數據的非法修改以及減少人為誤操作。（4）身份和訪問控制審計。按照時間順序建立一個檔案簿，包含信息的創建、修改和刪除的詳細過程及其操作人員。它采用的是授權證明，控制什么人什么時候訪問了什么數據。（5）確認處理過程的準確性。（6）管理人員對信息系統的所有修改都應該保證是經過授權、評估和審核，并且有記錄文檔，保證風險最低且有效控制。（7）入侵防御審計。入侵防御涵蓋的范圍遠廣于傳統的入侵檢測。入侵防御策略的合理設置會把風險縮小到最小范圍。（8）漏洞和病毒管理審計。定期檢查系統漏洞和防病毒措施，根據具體問題原因進行分析處置，及時采取相關措施。

篇9

關鍵詞:有線數字電視;信息;安全

隨著數字電視系統的不斷進步與發展，領域中的運營團隊開始將視線轉向了增值業務服務的實現上。增值服務越來越成為公認的數字電視深入實現經濟價值的核心所在，隨之產生的雙向信息傳輸網絡以及對應的安全問題，就成為數字電視服務平臺中的重點。

1有線數字電視信息安全問題分析

2011年，國家廣電總局頒布了《廣播電視相關信息系統安全等級保護定級指南》和《廣電視相關信息系統安全等級保護基本要求》；并且進一步于2012年頒布了《廣播電視相關信息系統安全等級保護測評要求》，一系列關于信息安全的規范和文件，都強調了廣電領域信息安全的重要性，同時也為該領域內安全系統的建設和評測等相關工作提供了基本的方向和指導。從安全角度看，有線電視數字網絡環境下同樣出現了新的特征。對于傳統的單向網絡環境而言，口令攻擊、報文攻擊以及面向系統漏洞的攻擊是主要存在的安全威脅形式。具體而言，口令攻擊能夠實現對于數字電視信號的冒用和盜用，也能夠因此使得該信息環境保持開放狀態，而加入其它非法信息。而報文劫持供給則是面向信息傳輸過程展開數據的截獲，從而實現對于信息的篡改。系統漏洞供給則主要是考慮到系統本身存在一些程序層面的不足，而為惡意攻擊造成可趁之機。但是隨著有線數字電視體系自身的發展深入，雙向網絡環境開始出現，曾經單向由運營商朝向用戶發送數字信號的工作環境中，目前增加了一條上傳信息的通路，增強了雙向交互功能，也在安全方面表現出更為復雜的特征。這種信息的雙向流動，讓有線數字電視體系朝向互聯網的方向發展融合，而更多的增值項目讓黑客有了更多的利潤空間，也因此進一步從客觀上要求更為完善的安全體系得到落實。

2數字電視網絡下的信息安全體系建設

在發展的新形勢之下，數字電視網絡環境下的安全體系建設，也必然呈現出新的特征。傳統環境下主要依據訪問控制、防火墻以及加密幾個手段來實現的安全機制，雖然仍然在發揮著不容忽視的作用，但是就目前而言仍然有所不足。訪問控制的主要價值在于實現對于用戶身份的校驗，從而保證合法用戶能夠得到不低于某質量水平的服務，同時杜絕非法用戶獲取到對應的數字電視信號以及相關服務。而防火墻，主要用于確保網絡環境安全和穩定工作的展開，其存在主要是用于避免黑客對有線電視體系信號發送端展開攻擊，導致其無法正常發送信號或者發送錯誤信號，降低信號質量等。通常通過包過濾的工作方式對攻擊進行識別和攔截，是防火墻的主要工作方式。最后，加密是傳統有線數字電視環境中最為常見的安全手段，通過對傳輸的數據流進行加密，來實現對于非法用戶數據截獲的拒絕，以及合法用戶服務的保障，同時也是提升傳輸過程中數據安全水平的有力武器。然后在雙向網絡環境中，想要切實構建起完整的安全體系，還需要從其他方面著眼和加強。首先，應當考慮建立起標準化的開放性認證體系結構。對于這一方面的工作，公約基礎設施（PublicKeyInfrastructure，PKI）以及安全套接層技術（SeeureSocketLayer，SSL）是應當重點給予考慮的方面。對于前者而言，其主要是利用公鑰技術來實現電商安全的綜合性體系，作為基礎性設施，它的存在能夠為公鑰加密和數字簽名提供統一的平臺并且實現綜合管理。而后者作為在TCP/IP協議之上實現的安全協議，相對而言有著廣泛的應用。具體而言，其利用TCP協議中可靠的端對端安全展開工作，并且進一步構建了一個分層體系，其底層記錄層用于實現對于上層協議的封裝，上層握手環境用于在服務器和客戶機之間傳送數據之前協商加密算法和加密密鑰。其次，基于內容實現的網絡安全同樣是當前有線數字電視體系需要關注的重點。當前社會環境中信息的價值已經日益凸顯，同時對應的防范對象也不僅僅是以往的病毒，還包括有其他惡意信息。對于這一方面任務，可以考慮采用消息鑒別碼（MessageAuthenticationCode，MAC）來展開工作，用于實現對于信息來源以及信息完整性等方面特征的識別和過濾。消息鑒別碼利用公開函數和密鑰來生成一個長度確定的值，并且利用該值來對信息的完整性進行標記，此種手段能夠實現對于信息完整性和可靠性的甄別，但是本身并不能確定其是否實現了安全傳輸，即無法識別該數據是否已經被竊取。此種方式主要用于某些不需要保密的信息傳輸環境，或者類似于有線數字電視這樣的長時間傳輸大量信息的環境。最后，當前在有點數字電視的雙向網絡環境中，還特別應當注意核對用戶身份的合法性，并且針對用戶發回的對應控制請求進行保護和認證。這不僅僅是為了保證有線數字電視的信號發送體系正常展開，還是確保信息消費以及發送雙向糾紛避免的有力武器和必要措施。

3結論

有線數字電視的信息安全，直接關系到運營商以及信息消費端用戶的切身利益，必須給予重視。同時在當前信息時代之下，該體系的技術和應用也在隨之發展，各種新的特征出現在數字電視工作環境中。因此唯有正視這些新的特征，有的放矢地展開分析，才能發現亟待提升的安全問題，也才能切實推動其不斷發展。

作者:張勇 單位:河北省廣播電視技術中心

參考文獻

[1]朱凱彬.淺談數字電視雙向網絡安全[J].黑龍江科技信息,2011,(13).

[2]張瑞芝.廣播電視業務信息系統信息安全等級保護工作的實施[J].廣播電視技術,2014(6)

[3]李偉東.數字電視安全播出的急迫性[J].中廣互聯,2014(4)

篇10

衡量安全管理體系的風險主要方法是進行信息安全風險的評估，以此保障信息資產清單和風險級別，進而確定相應的防控措施。在石化銷售企業進行信息安全風險的評估過程中，主要通過資金、威脅、安全性等識別美容對風險進行安全檢測，同時結合企業自身的實際情況，擬定風險控制相應的對策，把企業內的信息安全風險竟可能下降到最低水平。

（一）物理存在的風險機房環境和硬件設備是主要的的物理風險。當前，部分企業存在的風險有：1）企業機房使用年限過長，如早期的配電、布線等設計標準陳舊，無法滿足現在的需求；2）機房使用的裝備年限太長、例如中央空調老化，制冷效果不佳導致溫度不達標，UPS電源續航能力下降嚴重，門禁系統損壞等，存在風險；3）機房安全防護設施不齊全，存在風險。

（二）網絡和系統安全存在的風險石化訪問系統的使用和操作大量存在安全風險，其中主要風險包括病毒入侵、黑客襲擊、防火墻無效、端口受阻以及操作系統安全隱患等。即使大部分企業已安裝統一的網絡防病毒體系、硬件防火墻、按期更新網絡系統軟件、安裝上網行為監控等，但因為系統漏洞數目不斷增多網絡結構和襲擊逐漸減弱或者因為信息系統使用人員操作系統本身的安全機制不完善、也會產生安全隱患。

（三）系統安全風險沒有經過許可進行訪問、數據泄密和被刪改等威脅著系統的安全性。提供各類應用服務是企業信息系統的首要任務，而數據正是應用信息系統的核心，因此，實際應用與系統安全風險密切聯系。當前，信息應用系統存儲了大量的客戶、交易等重要信息，一旦泄露，造成客戶對企業信任度影響的同時也會影響企業的市場競爭力。

（四）安全管理存在的風險安全管理存在的主要指沒有同體的風險安全管理手段，管理制度不完善、管理標準沒有統一，人員安全意識薄弱等等都存在管理風險，因此，需要設立完善的信息系統安全管理體系，從嚴管理，促使信息安全系統正常運作。一方面要規范健全信息安全管理手段，有效較強內控IT管理流程控制力度，狠抓落實管理體系的力度，杜絕局部管理不足點；另一方面，由于信息安全管理主要以動態發展的形式存在，要不斷調整、完善制度，以符合信息安全的新環境需求[2]。

二、信息安全管理體系框架的主要構思

信息安全管理體系的框架主要由監管體系、組織體系和技術體系形成，特點是系統化、程序化和文件化，而主要思想以預防控制為主，以過程和動態控制為條件。完善安全管理體系，使石化銷售企業信息系統和信息網絡能夠安全可靠的運作，從機密性、完整性、不可否認性和可用性等方面確保數據安全，提升系統的持續性，加強企業的競爭力。

（一）組織體系企業在完善管理體系過程中應設立信息安全委員會和相關管理部門，設置相應的信息安全崗位，明確各級負責的信息安全和人員配置等內容。在全面提升企業人員對信息安全了解的過程中必須進行信息安全知識的相關培訓，使工作人員提高信息安全管理意識，實現信息安全管理工作人人有責。

（二）制度體系操作規范、安全策略、應急預案等各項管理制度經過計劃和下發，讓信息安全管理有據可依。企業參照合理完善的各項制度進一步優化業務流程，規范操作行為，降低事故風險，提升應急能力，以此加強信息安全的管理體系。

（三）技術體系管理技術、防護技術、控制技術是信息安全管理體系的主要技術基礎。安全技術包括物理安全技術、網絡安全技術、主機安全技術、終端安全技術、數據安全、應用安全技術等。一旦出現信息安全事件，技術體系會在最短的時間內降低事件的不良影響，依靠相關的信息安全管理技術平臺，以實現信息安全技術的有效控制[3]。管理體系的核心是技術手段，先進的加密算法和強化密鑰管理構成的數據加密方式全程控制數據傳輸和數據存儲，可以保證數據的安全性。采用堡壘機、防火墻等安全系統可以過濾掉不安全的服務和非法用戶，防止入侵者接近防御設備。IDS作為防火墻的重要功能之一，能夠幫助網絡系統快速檢測出攻擊的對象，加強了管理員的安全管理技術（包括審計工作、監視、進攻識別等技術），提高了信息安全體系的防范性。企業數據備份這一塊可以采用雙機熱本地集群網、異地集群網等各種形式進行網絡備份，利用體統的可用性和容災性加強安全管理能力。近年來各個企業的惡意軟件、攻擊行為手法變化多端很難防御，在各種壓力下，傳統的的安全防預技術受到了嚴峻的考驗，這時“云安全”技術當之無愧成為當今最熱的安全技術。“云安全”技術主要使用分部式運算功能進行防御，而“云安全”技術對于企業用戶而言確實明顯的保障了信息的安全性以及降低客戶端維護量。“云安全”技術是未來安全防護技術發展的必由之路，且今后“云安全”作為企業安全管理的核心內容為企業的數據、服務器群組以及端點提供強制的安全防御能力。”

三、信息安全管理體系相關步驟

由于管理體系具有靈活性，企業可依據自身的特點和實際情況，使用最優方案，結合石化銷售的特征，提出以下步驟：1）管理體系的重要目標；2）管理體系的主要范疇；3）管理體系現狀考察與風險估量；4）完善管理體系的制度；5）整理管理體系的文檔；6）管理體系的運行方式；7）信息安全管理體系考核。

四、結論