外审员信息安全精选(十四篇)

序言：作为思想的载体和知识的探索者，写作是一种独特的艺术，我们为您准备了不同风格的14篇外审员信息安全，期待它们能激发您的灵感。

篇1

［基金项目］教育部人文社会科学研究规划项目（10YJA790182）；南京审计学院校级一般项目（NSK2009/B22）；江苏省优势学科“审计科学与技术”研究项目

［作者简介］刘国城（1978― ），男，内蒙古赤峰人，南京审计学院讲师，硕士，从事审计理论研究。

第27卷第3期2012年5月审计与经济研究JOURNAL OF AUDIT & ECONOMICSVol.27, No. 3May, 2012

［摘要］在分析中观信息系统风险与损失的成因基础上，借鉴BS7799标准，一方面从物理层次与逻辑层次两个方面研究中观信息系统固有风险的评价模式；另一方面从一般控制与应用控制两个层面探索中观信息系统内部控制的评价机制。基于BS7799标准对中观信息系统审计进行研究，旨在为IT审计师有效实施中观信息系统审计提供应用指南。

［关键词］BS7799标准；中观审计；信息系统审计；内部控制；中观信息系统；中观信息系统风险

［中图分类号］F239.4［文献标识码］A［文章编号］10044833(2012)03005007

所谓中观信息系统审计就是指审计主体依据特定的规范，运用科学系统的程序方法，对中观信息系统网络的运行规程与应用政策实施的一种监督活动，旨在增强中观经济主体特定信息网络的有效性、安全性、机密性与一致性，以保障中观信息系统的高效运行［1］。中观信息系统的审计主体即IT审计师需要重视中观信息系统审计的复杂性，且有必要借助BS7799标准，构建并完善中观信息系统审计的实施流程，优化中观信息系统审计工作，提高审计质量。之所以需要借助BS7799标准，是因为BS7799标准的众多功能可以满足中观信息系统审计工作的需求。在尚未有详细信息系统审计（以下简称“IS审计”）规范的条件下，中观信息系统审计对信息安全管理策略的需求巨大，而BS7799标准恰恰是问世较早且相对成熟的信息安全管理标准，它能够确保在计算机网络系统进行自动通信、信息处理和利用时，在各个物理位置、逻辑区域、存储和传媒介质中，较好地实现保密性、完整性、有效性与可用性，能够在信息管理与计算机科学两个层面加强信息安全管理向中观信息系统审计的理论转化，中观信息系统审计的需求与BS7799标准的功能具备整合的可行性。

一、 BS7799标准

1995年，英国贸工部制定了世界首部信息安全管理体系标准“BS77991：1995《信息安全管理实施规则》”，并作为各类组织实施信息安全管理的指南［2］，由于该标准采用建议和指导的方式编写，因而不作为认证标准使用；1998年，英国又制定了信息安全管理体系认证标准“BS77992：1998《信息安全管理体系规范》”，作为对组织信息安全管理体系进行评审认证的标准［3］；1999年，英国再次对信息安全管理体系标准进行了修订，形成“BS77991：1999”与“BS77992：1999”这一对配套标准；2000年12月，“BS77991：1999”被ISO/IEC正式采纳为国际标准“ISO/IEC17799：2000《信息技术：信息安全管理实施规则》”，此外，“BS77992：1999”也于2002年底被ISO/IEC作为蓝本修订，成为可用于认证的“ISO/IEC《信息安全管理体系规范》”；2005年，BS77991与BS77992再次改版，使得体系更为完善。BS7799标准体系包含10个管理要项、36个管理目标、127个控制目标及500多个管理要点。管理要项如今已成为组织实施信息安全管理的实用指南；安全控制目标能够帮助组织识别运作过程中影响信息安全的因素。BS77991几乎涵盖了所有的安全议题，它主要告诉IT审计师安全管理的注意事项与安全制度。BS77992详细说明了建立、实施和维护信息安全管理的要求，指出组织在实施过程中需要遵循的风险评估等级，从而识别最应该控制的对象并对自身需求进行适当控制。BS77991为信息系统提供了通用的控制措施，BS77992则为BS77991的具体实施提供了应用指南。

国外相对成熟的信息安全管理理论较多，它们各有千秋，彼此之间相互补充且有交叉。BS7799标准仅是众多信息安全管理理论中的一种，与传统审计方法相比，仅适用于IS审计范畴。然而，BS7799标准的特别之处表现在：其一，它是一部通用的信息安全管理指南，呈现了较为全面的系统安全控制措施，阐述了安全策略和优秀的、具有普遍意义的安全操作方法，能够为IT审计师开展审计工作提供全程支持；其二，它遵循“计划-行动-控制-改善方案”的风险管理思想，首先帮助IT审计师规划信息安全审计的方针和范围，其次在审计风险评估的基础上选择适当的审计方法及风险控制策略并予以实施，制定持续性管理规划，建立并运行科学的中观信息系统审计执行体系。

二、 中观信息系统的风险与损失

中观信息系统风险是指成功利用中观信息系统的脆弱性或漏洞，并造成系统损害的可能性。中观信息系统风险极其庞杂且非常普遍，每个中观信息系统面临的风险都是不同的，这种风险可能是单一的，也可能是组合的［4］。中观信息系统风险包括：人员风险、组织风险、物理环境风险、信息机密性风险、信息完整性风险、系统风险、通信操作风险、设施风险、业务连续性风险、法律风险及黏合风险（见图1），它们共同构成了中观信息系统的风险体系，各种风险除具有各自的特性外，有时还可能相互作用。

中观信息系统风险的成因离不开外来威胁与系统自身的脆弱性，且风险的最终后果就是损失。图1中的“a.威胁性”是系统的“风险源”，它是由于未授权访问、毁坏、数据修改以及拒绝服务等给系统造成潜在危害的任何事件。中观信息系统的威胁来自于人为因素及非人为因素两个方面。人为因素是对中观信息系统造成威胁的决定性力量，人为因素造成威胁的主体有竞争对手、网络黑客、不满员工或正常员工。图1中的“b.脆弱性”是指在系统安全程序、管理控制、物理设计中存在的、可能被攻击者利用来获得未授权信息或破坏关键处理的弱点，由物理环境、技术问题、管理问题、法律问题四个方面组成。图1中的“d.风险承受力”是指在中观信息系统遭遇风险或受到攻击时，维持业务运行最基本的服务和保护信息资产的抵抗力、识别力、恢复力和自适应能力。

中观信息系统风险的产生有两种方式：一是遵循“abc”路径，这条路径形成的风险为中观信息系统“固有风险”，即假定中观信息系统中不存在内部控制制度，从而造成系统存在严重错误与不法行为的可能性。该路径的作用形式为人为因素或非人为因素是风险源，对中观信息系统构成威胁，该威胁产生后寻找并利用系统的脆弱点（假定中观信息系统对该脆弱点没有设计内控制度），当威胁成功作用于脆弱点后，就对系统进行有效攻击，进而产生中观信息系统风险。二是遵循“abPc”路径，该路径所形成的风险为中观信息系统的“控制风险”，即内部控制制度体系未能及时预防或发现系统中的某些错误或不法行为，以致中观信息系统遭受损失的可能性。与“abc”路径比较，该路径多出“P.内部控制”过程，这说明当威胁已产生并将利用系统的脆弱点时，中观经济主体已经对该脆弱点设计了内控制度体系，但是由于内部控制制度设计的不科学、不完善或没有得到有效执行，从而造成内部控制未能阻止“威胁”，致使中观信息系统形成风险。中观信息系统损失的形成遵循“cde”路径。然而，由于中观信息系统自身具有一定的风险防御能力（即“d.风险承受力”），因而并非所有风险都将造成损失。当中观信息系统识别并抵抗部分风险后，最终未能消除的风险通过对系统的负面作用，会给中观信息系统造成间接或直接的损失。

三、 中观信息系统固有风险的评价模式

图1中的“abc”路径是中观信息系统固有风险产生的路径，固有风险形成的条件是“假定不存在内部控制制度”。评价固有风险是中观信息系统审计准备阶段的一项基础工作，只有正确评价固有风险，才能合理评估审计风险，准确确定审计范围并制定审计计划［56］。笔者认为，BS7799标准之所以能够有效评价中观信息系统的固有风险，是因为BS7799标准的管理要项、管理目标，控制措施与管理要点组成了信息安全管理体系，这个体系为IT审计师确定与评价系统固有风险提供了指南［7］。BS7799标准对IT审计师评价固有风险的贡献见上表1。

(一) 物理层次的风险评价

物理层次的内容包括物理环境安全与物理环境设备［7］，其中，物理环境安全包括硬件接触控制、预防灾难措施和网络环境安全；物理环境设备包括支持设施、硬件设备和网络物理环境。针对上述分类，下面对物理层次风险评价进行具体分析。

首先是物理环境安全风险评价。在评价物理环境安全风险时，可以借鉴BS7799标准A、B、D1、D3、E、G8、H5、I、J。例如，IT审计师在了解被审中观信息系统的“预防灾难措施”时，可参照“A.安全方针”，依据BS7799对“安全方针”进行阐述，了解被审系统的“信息安全方针”，关注被审系统在相关的“方针与策略”中是否估计到了系统可能遭遇的所有内外部威胁；当威胁发生时，是否有具体的安全保护规定及明确的预防措施；对于方针的执行，是否对每位员工都有所要求。假若IT审计师在审计中未找到被审系统的“安全方针”，或找到了但“安全方针”并未涉及有关“灾难预防”方面的安全措施，则IT审计师可直接认定被审系统在这方面存在固有风险。其次，物理环境设备风险评价。在评价物理环境设备风险时，可以借鉴BS7799标准A、B、C1、D、E2、E3、F6、G3、G8、H5、I、J。例如，IT审计师在了解被审系统有关“硬件设备”的情况时，可参照“C1.资产责任”。BS7799标准对“资产责任”的说明有“组织可根据运作流程与系统结构识别资产，列出清单”，“组织的管理者应该确定专人负责相关资产，防止资产的被盗、丢失与滥用”。借鉴C1的信息安全管理目标与措施，IT审计师可以关注被审单位是否列出了系统硬件设备的清单，是否有专人对资产负责。如果相关方面的管理完备，则说明“硬件设备”在责任方面不存在固有风险，IT审计师也不需要再对此方面的固有风险进行评价。再如，IT审计师在确认“硬件设备”方面的固有风险时，还可参照“E3.通用控制”。BS7799标准对“通用控制”的说明有“定期进行资产清查”，“未经授权，资产不能随便迁移”等。借鉴这一措施，IT审计师需要了解被审系统的有关资产清查记录以及资产转移登记手续，如果相关记录不完整或手续不完备，则IT审计师可直接认定“硬件设备”在控制方面存在固有风险。

(二) 逻辑层次的风险评价

逻辑层次的内容包括软件环境、系统生命周期和逻辑安全［7］。其中，软件环境包括系统软件、网络软件与应用软件；系统生命周期包括系统规划、分析、设计、编码、测试、试运行以及维护；逻辑安全包括软件与数据接触、数据加密机制、数据完整性、入侵检测、病毒与恶意代码以及防火墙。针对以上分类，下面对逻辑层次风险评价进行具体分析。

首先是软件环境风险评价。在评价软件环境风险时可以借鉴BS7799标准A、B、C1、D、E1、E3、F、G、H、I、J。例如，IT审计师在掌握被审系统有关“网络软件”的情况时，可借鉴“G2.用户访问管理”标准。BS7799对该标准的阐述包括“建立用户登记过程，对用户访问实施授权”，“对特权实行严格管理”，“对用户口令进行严格管理”等。借鉴G2下相关信息安全管理措施，IT审计师可以详细核查被审网络软件是否建立了用户注册与登记过程、被审软件的特权管理是否严格、是否要求用户秘密保守口令。假若IT审计师发现用户并未得到访问网络软件的权限却可以轻易访问网络软件，则该软件必然存在风险，IT审计师就可通过与BS7799标准比照并发表评价结论。又如，IT审计师在评价“系统软件”固有风险时，可借鉴“G5.系统访问与使用的监控”标准。该标准的阐述有“使用终端安全登陆程序来访问信息服务”，“对高风险的不活动终端采取时限措施”。IT审计师在评价“系统软件”自身风险时，可套用上述安全措施，逐项分析被审系统软件是否完全达到上述标准并作出合理的风险评价。其次是系统生命周期的风险评价。在评价系统生命周期风险时，可借鉴BS7799标准A、B、D1、D3、E、F1、F2、F3、F4、F6、F7、G、H、I、J。如IT审计师在检查被审系统的“系统设计”时，可参照“H1.系统安全要求”。H1的解释为“系统设计阶段应该充分考虑系统安全性，组织在项目开始阶段需要识别所有的安全要求，并将其作为系统设计开发不可或缺的一部分进行调整与确认”。因而，IT审计师在检查系统设计有关资料时，需要分析被审单位是否把上述解释融入系统设计中，或是否全面、有效地融入设计过程，如果被审单位考虑了诸因素，IT审计师就可以确认被审系统的设计环节在此方面不存在风险。假若IT审计师发现在系统设计阶段被审单位没有考虑到需要“引入控制”，且在系统运营期间对系统的“控制”也不够重视，则IT审计师可以作出系统自身安全及系统设计开发过程存在风险的结论。第三是逻辑安全的风险评价。在评价逻辑安全风险时，可以借鉴BS7799标准A、B、C2、D、E1、E3、F、G1、G2、G4、G5、G6、G7、G8、H、I、J。IT审计师在检查被审系统的“病毒与恶意代码”时，可借鉴“G4.网络访问控制”。BS7799对该标准的阐述有“建立并实施网络用户服务使用方针”，“从用户终端到网络服务的路径必须受到控制”以及“对外部链接的用户进行身份鉴别”等。IT审计师在审计过程中，应该关注被审系统在上述方面的执行思路与执行程度，假若被审单位对上述方面缺乏重视，则恶意用户未经授权或未受限制就能轻易访问系统，系统遭受病毒或恶意代码损害的风险会相应加大。再如，IT审计师在评价系统“数据完整性”的风险时，可借鉴“F1.操作程序与职责”。该标准的描述有“在执行作业的过程中，提供差错处理及例外情况的指导”，“进行职责分离，减少出现非授权更改与数据信息滥用的机会”等。结合上述措施，IT审计师应该关注被审单位是否通过外键、约束、规则等方式保障数据的完整性，如果被审单位没有按照上述方法操作，则被审系统将会在“数据完整性”方面存在风险。

需要强调的是中观信息系统固有风险的评价较为复杂。在理论研究中，本文仅选取BS7799的某些标准举例进行阐述，但在实践中，IT审计师不应只借鉴BS7799标准的单个或部分标准，就做出某方面存在“固有风险”的结论。如仅从C1看，“硬件设备”无固有风险，但从E3看，“硬件设备”确实存在固有风险。鉴于此，IT审计师应由“点”及“面”，全面借鉴BS7799标准的整个体系。只有如此，才能更科学具体地进行物理及逻辑层次的风险评价。

四、 中观信息系统内部控制的评价机制

图1中的“abPc”路径是中观信息系统控制风险产生的路径，控制风险的形成条件是“假定存在内部控制制度，但是内控制度不科学、不健全或执行不到位”，产生控制风险最主要的原因是内部控制机制失效，即“P”过程出现问题。评价内部控制是IT审计师防范审计风险的关键，也是中观信息系统审计实施阶段的一项重要工作。然而，当前我国信息系统审计方面的标准与规范仅有四项，因而IT审计师对信息系统内部控制的评价还处于摸索阶段，急需详细的流程与规范进行指导。笔者认为，BS77991《信息安全管理实施细则》与BS77992《信息安全管理体系规范》能够为IT审计师评价中观信息系统的内部控制提供思路。BS7799是一套完备的信息安全管理体系，IT审计师完全可以借鉴其体系与框架来设计中观信息系统内部控制评价流程，构建适用于中观信息系统的审计流程。BS7799标准的具体借鉴思路见表1，具体阐述如下。

(一) 一般控制的评价

1. 组织管理的内部控制评价

在评价组织管理的内控时，可借鉴BS7799标准A、B、C1、D1、D3、E、F、G、H、I、J。IT审计师可将BS7799标准体系作为信息系统组织管理内部控制的衡量标准，并以此确认被审系统组织管理内控制度的科学性与健全性。假若某中观经济主体将信息系统的部分管理活动外包，则IT审计师可借鉴BS7799中的“B3.外包控制”标准，检查外包合同的全面性与合理性。如果被审单位在外包合同中规定了信息系统的风险、承包主客体各自的系统安全控制程序，并明确规定了“哪些措施必须到位，以保证涉及外包的所有各方关注各自的安全责任”，“哪些措施用以确定与检测信息资产的完整性和保密性”，“采取哪些实物的和逻辑的控制以限制和限定授权用户对系统敏感信息的访问”以及“发生灾难时，采用怎样的策略来维持服务可用性”，则IT审计师就可确认被审系统在外包方面的控制设计具有科学性与全面性，只需再对外包控制条款的执行效果进行评价就可以得出对被审单位外包活动评价的整体结论。

2. 数据资源管理的内部控制评价

在评价数据资源管理的内控时，可以借鉴BS7799标准A、B、C、D、E1、E3、F、G、H、I、J。信息系统数据包括数据字典、权限设置、存储分配、网络地址、硬件配置与系统配置参数，系统数据资源管理有数据存放、备份、恢复等，内容相对复杂。IT审计师在评价数据资源管理的内部控制时，也需要借鉴BS7799标准体系。例如，IT审计师可借鉴“F1.操作程序与职责”或“G6.应用访问控制”评价数据资源管理。F1与G6的阐述有“识别和记录重要数据的更改”、“对数据更改的潜在影响作出评估”、“向所有相关人员传达更改数据的细节”、“数据更改不成功的恢复措施”、“控制用户的数据访问权，如对读、写、删除等进行限制”、“在系统共享中，对敏感的数据实施高级别的保护”。IT审计师在审计时，有必要根据上述思路对系统数据管理的控制制度进行深层次评价。在当前缺乏信息系统审计规范的情况下，以BS7799体系作为评价数据资源管理内部控制的指南，不失为一种好的审计策略。

3. 环境安全管理的内部控制评价

在评价环境安全管理的内控时可以借鉴BS7799标准A、B、C1、D、E、F、G、H、I、J。信息系统的环境安全管理包括物理环境安全管理与软件环境安全管理，系统环境是否安全决定着危险因素对脆弱性的攻击程度，进而决定着信息系统风险。IT审计师在审计系统环境的安全管理过程时，需要关注设备、网络、软件以及硬件等方面。在评价系统环境安全管理的内部控制时，IT审计师有必要借助上述BS7799标准体系。例如，BS7799的“E1.安全区域”标准与“E2.设备安全”标准的解释有“信息处理设施可能受到非法物理访问、盗窃、泄密等威胁，通过建立安全区域、严格进入控制等控制措施对重要的系统设施进行全面保护”，“应该对信息处理设施运作产生不良影响的环境条件加以监控，如，湿度与温度的影响”。类似上述的BS7799系列标准都为IT审计师如何确认环境安全管理的内控提供了审计指导，且其指导思路清晰、全面。IT审计师通过借鉴BS7799系列标准，可以深层次挖掘系统环境安全管理规章制度中存在的疏漏以及执行中存在的问题，从而有效评判环境安全管理的控制风险。

4. 系统运行管理的内部控制评价

在评价系统运行管理的内控时，可以借鉴BS7799标准A、B、C1、D、E1、E3、F、G、H、I、J。中观经济主体对运行系统的管理相对复杂，涉及到系统组织、系统维护、系统完善等多个方面。由于系统运行中需要管理的环节繁多，而且目前也没有规范与流程可以参考，因而，评价系统运行管理的内控也有必要借鉴上述BS7799标准体系。例如，BS7799标准“D2.设备安全”与“H5.开发与支持过程中的安全”的阐述有“信息系统操作者需要接受安全意识培训，熟悉与系统运行相关的安全职责、安全程序与故障制度”，“系统运行中，建立并实施更改控制程序”以及“对操作系统的更改进行技术评审”等方面。IT审计师采用询问、观察、检查、穿行测试等方法评审系统运行管理的内部控制，需要有上述明细的、清晰的信息安全管理规则予以指导，这些标准可以指导IT审计师了解被审系统是否有健全的运行管理规范及是否得到有效运行，借此，IT审计师可以作出全面的内控判断，进而出具正确的审计结论。

(二) 应用控制的评价

信息系统的应用控制包括输入控制、处理控制与输出控制。在评价系统输入控制、处理控制以及输出控制三者的内控时，同样有必要借鉴BS7799标准，且BS7799标准中A、B、D、E1、E3、F1、F2、F3、F4、F5、F7、G1、G2、G4、G5、G6、G7、G8、H、I、J相对应的信息安全管理目标与措施能够在IT审计师对三者进行内控评价时提供相对详尽的审计框架。为确保信息系统输入、处理与输出的信息完整、正确，中观经济主体需要加强对信息系统的应用控制。IT审计师在中观信息系统审计的过程中，需要做到对被审系统应用控制进行正确评价。

在IT审计师对应用控制的符合性测试过程中，上述BS7799标准体系可以对应用控制评价进行全程指导。例如，BS7799标准中“H2.应用系统的安全”提到“数据输入的错误，可以通过双重输入或其他输入检查侦测，建立用于响应输入错误的程序”，“已正确输入的数据可因处理错误或故意行为而被破坏，系统应有确认检查功能以探测数据的破坏”，“为确保所存储的信息相对于各种情况的处理是正确而恰当的，来自应用系统的输出数据应该得到确认”等控制策略，并提出了相对详细的控制措施。应用控制环节是信息处理的脆弱集结点，IT审计师在进行应用控制的符合性测试环节时有必要考虑周全，详尽规划。IT审计师可以遵循H2全面实施针对应用控制的审计，依照BS7799标准体系，检查被审系统对于超范围数值、数据区中的无效字符、丢失的数据、未经认可的控制数据等系统输入问题的控制措施以及应急处理能力；检查是否对系统产生的数据进行了确认，系统的批处理控制措施、平衡控制措施等，以及相关控制行为的执行力度；检查信息输出是否实施了可信性检查、一致性控制等措施，如果有相关措施，那么执行力度如何。BS7799标准体系较为全面，对于IT审计师评价系统的应用控制贡献很大，如果IT审计师能够创造性借鉴该标准，必可做好符合性测试，为实质性测试夯实基础，也定会提高审计质量。

五、 结束语

表1是笔者在分析某商业银行信息系统与某区域物流信息系统的基础上，对“BS7799标准如何应用于信息系统审计”所进行的设计，当针对其他行业时，或许需要对表1进行适当调整。不同行业、不同特性的中观经济主体在信息系统审计中运用BS7799标准时侧重点会有所不同。本文以分析中观信息系统风险为着手点，沿用BS7799标准对中观信息系统审计进行研究，旨在抛砖引玉。

参考文献：

［1］王会金,刘国城.中观经济主体信息系统审计的理论分析及实施路径探索［J］.审计与经济研究,2009(5):2731.

［2］BSI.ISO/IEC17799-2000 Information technologycode of practice for information security management［S］. London:British Standards Institation,2000:179202.

［3］BSI.BS779922002 information security managementspecification for information security management systems［S］. London: British Standards Institation,2002:267280

［4］孙强.信息系统审计［M］.北京:机械工业出版社,2003.

［5］刘国城,王会金.中观信息系统审计风险的理论探索与体系构架［J］.审计研究,2011(2):2128.

［6］王会金.中观信息系统审计风险控制体系研究――以COBIT框架与数据挖掘技术相结合为视角［J］.审计与经济研究，2012（1）：1623.

［7］科飞管理咨询公司.信息安全管理概论-BS7799理解与实施［M］.北京:机械工业出版社, 2002.

BS7799 Criterion and Its Application in Mesoinformation Systems Audit

LIU Guocheng

（Jinshen College of Nanjing Audit University, Nanjing 210029, China）

篇2

医院电脑使用责任书【1】

一、目的

为切实加强我院计算机的使用、管理工作，提高工作效率，确保无纸化办公的平稳有序开展，减少医院管理系统的运行风险，特制定本责任书。

二、职责与管理

1、笔记本电脑实行使用人负责制，科室内电脑实行科主任负责制，科室成员为相关责任人。

2、对全院所有电脑，由财务科统一登记，列入医院固定资产。

三、计算机使用和安全管理

1、应爱护计算机及相关设备，严禁在电脑前喝水等可能污损电脑的行为。

2、按规定程序开启和关闭计算机系统，关机前应先退出应用程序。

3、加强个人用户密码管理，及时注销登录，防止无关人员盗用。

4、原则上禁止使用U盘等，确因需要，必须先查杀病毒再使用。

5、文件资料不要保存在系统C盘或桌面，以免系统故障而丢失资料。

四、处罚

1、所有电脑严禁安装各种游戏。工作时间利用电脑玩游戏(包括蜘蛛纸牌等)、看电影或进行其它与工作无关的活动的，发现1次，罚款50元;由此造成医疗纠纷的，所有责任一律由本人承担。

2、提高防范意识，加强计算机设备(尤其是笔记本电脑)的使用管理，丢失或被盗者，个人照价赔偿。

3、对以下违反规定的行为，勒令改正，对造成损失的照价赔偿;屡教不改者，医院收回其电脑：

①擅自重装、更改操作系统及软件设置的，造成计算机故障的。

②私自安装不正规软件和卸载已有软件。

③因访问不良网站，或擅自使用带有病毒的光盘、U盘、移动硬盘等，导致医院局域网病毒蔓延，造成系统瘫痪，影响正常工作的。

④擅自允许他人(尤其是小孩)使用计算机的。

⑤擅自外借计算机设备，或通过计算机泄露信息的。

五、此责任书协议一式两份，医院和责任人各执一份，签字盖章后生效。

xxx卫生院

院长：

责任人：

二xxx年xx月xxx日

医院电脑使用责任书【2】

各科室：

为保障医院计算机局域网络信息安全，加强医院信息数据查询和使用权限管理规范，避免发生计算机网络失密事件，防止医院信息数据的泄露，现与各中层干部签订信息安全责任书，确定每一位中层干部为所在科室的计算机信息安全责任人，并要求做到以下条款：

1.严格遵守医院信息保密制度及相关的信息安全制度，定期或不定期的在科室内部进行培训和教育，提高信息保密意识。

2.对信息查询的需求，科室须进入OA系统中的数据查询申请流程，填写申请单，经分管信息工作院领导审批同意后方可查询，同时应对查询的数据结果保密，不能随意泄露。

3.医院内部网络的计算机严禁被设定为网络共享计算机，计算机内文件严禁被设定为网络共享文件，严禁以任何形式将有关数据、报表带出医院。

4.计算机操作人员不得擅自更改医院数据和计算机的二系统设置。禁止擅自将医院办公计算机连接互联网(外网)。

5.操作计算机的人员必须使用自己的工号和密码进行自己权限范围内的操作，对自己的工号和密码要进行严格管理，不得把相关的工号和密码泄露给外人。禁止使用他人的工号和密码进行操作，并严格做到人离机关。

6.严禁将医院内部医疗信息或病患信息泄露给他人，包括私自统计药品、高值耗材用量等信息并透漏给他人牟取不法利益，否则将按照法律法规和有关规章制度追究责任。

科室人员如违反以上条款，或科室管理中存在违反条款的行为，除依规处罚相关责任人外，同时将追究相关中层干部的管理责任，并将结果纳入中层干部年度或任期考评，与干部的选拔、任用及奖励挂钩。

本责任书有效期至本届中层干部任期结束。

部门(科室)

负责人签字：

XXXX医院

XXXX年X月X日

医院电脑使用责任书【3】

为了切实加强北京大学人民医院网站安全管理，增强医院网络为医院医疗、教学、科研、管理和员工服务的功能，规范上网信息审核工作，结合我院的实际情况，特制定本责任书。

一、本责任书适用于所有与医院科室/处室相关的网络内容(含信息平台信息、科室/处室自行设立的网站)。

二、各科室/处室网络内容实行科室/处室主任负责制。确保上网信息内容中不含危害国家安全、社会稳定、医院发展和职工团结的内容，不涉及非法内容，确保上网信息的真实性和准确性，不利用网站从事与医院网站职能不符的活动;科室/处室主任对网站上的链接内容负责;涉及人数较多的大型活动或倡议书等一类信息，须报党委院长办公室审批同意后方可挂网。

三、本科室/处室上网内容由科/处室主任授权专人作为科室/处室网络管理员，科/处室主任对上网内容审签，并将审签表交党委院长办公室备案。

四、科室/处室网络管理员职责：对医院网站后台临时权限保密;科室/处室上网内容上报科/处室主任审批，并将科/处室主任签字的审批表交党委院长办公室存档。

科室/处室：

责任人(科室/处室主任)：

_____年_____月_____日

篇3

关键词：信息安全；网络安全危胁；安全防护系统

中图分类号：TP393文献标识码：A文章编号：1009-3044(2012)26-6245-03

计算机网络技术迅猛发展，各发电企业信息化网络日渐普及，成为了企业科技化管理的重要手段。通过对数据的集中、共享、处理使得信息系统为发电企业生产经营、安全生产等各方面提供了巨大的科技支撑。但同时伴随出现的病毒蔓延、不良黑客入侵、流氓软件等多方面问题成为了不得不面对的问题，同时对发电企业的安全生产也形成了巨大的威胁，以此进一步加强发电企业信息化安全是在信息化建设初期首要考虑的问题。

1发电企业面临的网络安全威胁

因为信息网络的互通性，发电企业信息化威胁，既有可能来自本企业内部，也同时可能来源于外部。其内部威胁主要来自于员工、各信息系统管理员等，根据统计，网络安全破坏活动近80%来自于竞争对手、任何恶意的组织和个人。主要表现的安全威胁为：

1）截获用户标识：截获标识指以非法手段取得合法用户的身份信息，主要是用户的帐号和密码，这是绝大多数发电信息系统采用的认证防护措施。如果侵入者得知了某位合法用户的帐号和密码，即便该合法用户并未被赋予其他的特权，也有可能威胁整个系统的安全。如果帐号，特别是密码，被以明文的方式由信息网络传递，侵入者通过安装协议分析软件对网络通信进行监视，则可以轻松获取。如果密码通过明文格式保存在用户的计算机的内存或者硬盘中，侵入者更能够有方法发现并利用这些密码，同时如果密码很简单（如手机号码、用户生日、私家车号牌、用户姓名等），更加容易被侵入者通过软件得知，在网络上大肆传播的黑客工具都是通过几种常用习惯的词典来获取用户密码。

2）伪装：当未通过授权的用户假扮成具有合法授权的用户，登录发电信息系统时就形成了伪装。当未通过授权的用户经过伪装成信息系统管理员或者具有信息管理超级特权的有关用户时，截获用户标识的情况是威胁最大的。应为侵入者已经获取了某位合法用户的标识，或者因为侵入者已经使信息系统相信其拥有另外的而实际上并不存在的权限，所以伪装是很容易出现的。网络地址欺骗实际上就是伪装的一中形式，侵入者通过一个合法的IP地址，然后通过此地址截获已被授予该合法地址的系统或者是服务器访问权限。

3）非授权操作：非授权操作使用信息系统或者资源时，信息网络安全就受到了极大的威胁。例如，企业的发电数据和财务数据有可能被未经授权的侵入者，非法修改并利用。

4）病毒：病毒是伴随计算机技术产生，能够通过不断自我复制，大范围传播，对计算机、信息系统及其数据产生极大破坏的程序。因为病毒具有的隐藏性和可变异性，使得广大用户无法防范。据有关资料调查，99%的企业或者个人受到过计算机病毒的感染，63%的数据和系统损坏来源于病毒。给受害企业或个人带来巨大的时间和人力资源的浪费，同时重要数据文件的丢失和损坏是无法用金钱来衡量的。

5）服务拒绝：通过向发电企业信息化系统发送大量的请求或者垃圾数据，使得服务器的资源被大量占用，直至资源耗尽，使其达到无法继续提供正常服务或者服务器崩溃的目的。在发电企业信息化系统中，这样的攻击可能造成重大的安全威胁。

6）恶意程序代码：伴随着可自执行的计算机程序与WWW站点的集成，恶意程序代码通过Microsoft ActiveX控件或Sun Java程序的大量使用形成了极大的安全威胁。

7）特权滥用：信息系统的超级管理员故意或者错误地通过对某系统的特权来获取其不应获取的敏感数据。

8）误操作：信息系统超级管理员、业务系统管理员、一般用户等因对技术方面熟练度不高，操作时的失误，引起对信息系统安全性、完整性和可靠性的损坏。

9）权限变更：一般用户利用信息系统的漏洞提高其用户等级，以获取未经授权的系统权限。

10）后门：信息系统研发人员出于故意或者为了日后维护便利在信息系统中设置的专用通道，使用其可以不受企业信息系统安全措施的控制。经常被人为利用控制、破坏正常运行的系统。

11）系统研发中的错误和调试不全：其包含对有关数据不进行充分的检查、对系统的逻辑运行定义不准确，同时这些错误和不完善没有通过大量的、齐全的系统调试检查出来，有可能在运行中导致数据被错误生成且引入信息系统，破坏了实际数据的准确性。

12）特洛伊木马：它通过提供一些有价值的或者仅仅是有趣的功能，在用未经用户许可的情况下拷贝文件、窃取用户的帐号和密码、发送用户的重要资料或者破坏用户系统等。木马程序是一种常见的危害性较大的威胁，由于其不易被发现，在一般情况下，它是在二进制代码中被发现，且大多数后缀名都为无法直接打开的文件，其特点与病毒有许多相似的地方。

13）社会工程共计：主要是的是攻击者利用人的心理活动进行攻击，其无需采用高深的科技手段，同时无需入侵系统来完成。仅需要通过向特定用户了解帐号和密码，达到其获取数据或者信息系统访问权的目的。绝大多数情况下、攻击者的主要目标是企业的办公室接待员、行政或者技术支撑人员，通过对这些类别的用户通过电话、EMAIL或者聊天工具等方式即可完成攻击。

2发电企业信息化情况（以五大发电集团某下属发电公司为例）

2.1信息化网络状况

图1

2.2信息化系统状况

1）财务及资产管理（简称：FAM）系统，是集中部署的核心应用系统，涵盖电厂财务核算、费用报销、资金计划、物资采购、库存管理、物资计划、超市管理、合同管理、缺陷管理、检修管理、设备维护等功能模块。

2）OA办公自动化系统。实现下属企业以及与集团公司间收发文交互、内部收发文管理、邮件及通讯目录功能。系统还提供了值班管理、督察督办、会议管理、车辆管理、办公用品等行政办公管理功能。

3）PI实时信息系统：本系统采集、存储DCS系统、电能量、环保系统等实时运行参数，除满足电厂对实施信息的管理需求外，还将有关数据实时传送集成到集团公司实时系统、集团公司生产与营销实时监管系统。

4）电厂多业务管理平台。系统包括运行管理、计划管理、生产统计、班组管理、标准制度、政工管理、监审管理、合理化建议等功能，其中统计、政工、监审等模块实现了与集团公司层面相应管理模块的系统集成。

5）安全管理平台：功能包括安全信息、安全报表、安全检查、工作票、操作票等管理。

6）公司MIS系统：本系统不仅作为下属企业所有管理信息系统入口门户，还提供了项目申报、生产日报、人力资源、融合机制管理、培训考试、安全认证管理、灵活报表等应用功能。

7）档案管理系统：本系统由集团公司统一实施，各单位档案系统建设须按照集团公司统一规划，以便于OA系统统一接口、版本升级、技术培训等。

8）网站系统由各下属企业自主建设和运维管理，界面设计须符合集团公司VI视觉识别系统标准，内容、运维管理遵照公司和集团公司有关规定和要求，严格执行安全保密等有关规定。

3发电企业网络安全防护设计方案

发电企业信息安全体系机构由网络安全防护、数据备份和恢复、应用系统安全、信息安全管理等几部分组成。

3.1网络安全防护

3.1.1系统安全域防护

将企业信息系统通过网络安全域的形式，分为服务器、用户两个安全域，同时划分多个二级安全域，主要为生产信息系统、财务系统、系统管理员、一线生产班组、普通用户等。

3.1.2网络的高可靠性

1）企业核心网络设备采取双机互为热备形式，两台中心交换机设备通过双链路互联；接入层与核心层也通过双链路互联。

2）重要用户安全域通过双链路与企业核心交换连接，进一步保证其链路的可靠性。

3）企业核心业务系统服务器也必须通过双链路接入核心层。

3.1.3防病毒

1）企业管理信息大区按照要求统一部署防病毒系统，采用国内知名品牌网络版。安全区一、二与三区各自拥有自己的防病毒服务器。

2）对管理信息大区的服务器、终端用户，强制按照规定部署统一的可网管的防病毒产品。

3）在互联网接口部署防病毒网关，以防其从外部传播到企业管理信息大区。

4）注重防病毒管理，保证病毒特征码得到有效的更新，通过查看病毒软件的历史记录，了解病毒威胁情况并积极应对。

3.1.4防火墙

在位于内外网接口处部署防火墙一台，采用高性能硬件防火墙，国内知名品牌，具有双安全操作系统；可以提供对复杂环境的接入支持，包括路由、透明以及混合接入模式；具备防火墙、IPSEC VPN,SSL VPN、防病毒、IPS等安全功能。

3.1.5入侵检测系统

在核心层部署一个入侵检测的探头，保证入侵检测系统能够及时发现有关威胁。

3.1.6主机安全加固

发电企业的关键应用系统（如生产营销实施监管系统、财务系统）的服务器，采取定期安全加固的形式。形式包括：定期检查安全配置、安全补丁、加强服务器系统的访问控制能力等。

3.2备份与恢复

对于关键应用系统，必须采用每天定期备份，同时人工每月全备份一次。备份的数据必须采用异地存储的形式，且需做到专人定期检查，防止遗漏。

3.3应用系统安全

管理信息大区中的发电企业应用系统应着重确保其安全性能够得到保证。其主要安全建设内容包括：对系统的访问控制、用户帐号密码及权限管理、操作审计管理、数据加密管理、数据完整性检查等。

3.4信息安全管理

1）通过成立企业信息化领导小组，加强信息工作包括信息安全工作的整体管理；

2）通过制定信息网络管理制度及各级安全防护策略；并通过正式公文下发，严格执行。

3）通过设立专业的信息管理人员和成立涵盖各业务部门的兼职信息员，形成覆盖全面的信息化安全管理网络。

综上所述，发电企业网络信息安全是一个系统工程，不能仅靠杀毒软件、防火墙、漏洞扫描等硬件设备的防护，还要意识到计算机网络系统是一个人机系统，在建立以计算机网络安全硬件产品为基础的网络安全系统的同时，也应树立各个用户的网络信息安全意识才能防微杜渐，构建一个高效、安全的网络系统。

综上所述，发电企业信息安全是一个系统工程，不仅需要入侵检测系统、防火墙等硬件安全设备，同时还要注意信息系统是一个广泛使用的人机互动系统，必须通过系列的安全管理措施和规章制度，进一步强化各级用户的信息安全意识，做到信息安全人人有责、信息安全从自我做起，才能构建起一个高效、安全的企业信息化网络。

参考文献：

篇4

随着近年来信息安全话题的持续热议，越来越多的企业管理人员开始关注这一领域，针对黑客入侵、数据泄密、系统监控、信息管理等问题陆续采取了一系列措施，开始构筑企业的信息安全防护屏障。然而在给企业做咨询项目的时候，还是经常会听到这样的话：

“我们已经部署了防火墙、入侵检测设备防范外部黑客入侵，采购了专用的数据防泄密软件进行内部信息资源管理，为什么还是会出现企业敏感信息外泄的问题？”

“我们的IT运营部门建立了系统的运行管理和安全监管制度和体系，为什么却迟迟难以落实？各业务部门都大力抵制相关制度和技术措施的应用推广。”

“我们已经在咨询公司的协助下建立了ISMS体系，投入了专门的人力进行安全管理和控制，并且通过了企业信息安全管理体系的认证和审核，一开始的确获得了显著的成效，但为什么经过一年的运行后，却发现各类安全事件有增无减？”

这些问题的出现往往是由于管理人员采取了“头痛医头，脚痛医脚”的安全解决方案，自然顾此失彼，难以形成有效的安全防护能力。上述的三个案例，案例一中企业发生过敏感信息外泄事件，于是采购了专用的数据防泄密软件，却并未制定相关的信息管理制度和进行员工保密意识培训，结果只能是防外不防内，还会给员工的正常工作带来诸多不便；案例二中企业管理者认识到安全管理的重要性，要求相关部门编制了大量的管理制度和规范，然而缺乏调研分析和联系业务的落地措施，不切实际的管理制度最终因为业务部门的排斥而束之高阁；案例三中ISMS的建立有效地规范了公司原有的技术保障体系，然而认证通过后随着业务发展却并未进行必要的改进和优化，随着时间的推移管理体系与实际工作脱节日益严重，各类安全隐患再次出现也就不足为奇。

其实，企业面临的各种安全威胁和隐患，与人体所面临的各种疾病有诸多类似之处，我们常说西医治标不治本，指的就是采取分片分析的发现问题―分析问题―解决问题的思路处理安全威胁，通过技术手段的积累虽然可以解决很多问题，但总会产生疲于应付的状况，难以形成有效的安全保障体系；类比于中医理论将人体看为一个互相联系的整体，信息安全管理体系的建立正是通过全面的调研分析，充分发现企业面临的各种问题和隐患，紧密联系业务工作和安全保障需要，形成系统的解决方案，通过动态的维护机制形成完善的防护体系。

总体来说，信息安全管理体系是企业在整体或特定范围内建立信息安全方针和目标，以及完成这些目标所用方法的体系。它是基于业务风险方法，来建立、实施、运行、监视、评审、保持和改进企业的信息安全系统，目的是保障企业的信息安全。它是直接管理活动的结果，表示成方针、原则、目标、方法、过程、核查表（Checklists）等要素的集合，涉及到人、程序和信息系统。

针对ISMS的建立，我们可以从中医“望闻问切对症下药治病于未病”的三个角度来进行分析和讨论：

第一，“望闻问切”，全面的业务、资产和风险评估是ISMS建设的基础；

第二，“对症下药”，可落实、可操作、可验证的管理体系是ISMS建设的核心；

第三，“治病于未病”，持续跟踪，不断完善的思想是ISMS持续有效的保障。

望闻问切

为了完成ISMS建设，就必然需要对企业当前信息资源现状进行系统的调研和分析，为企业的健康把把脉，毕竟我们需要在企业现有的信息条件下进行ISMS建设。

首先，自然是对企业现有资源的梳理，重点可以从以下几个方面入手：

1.业务主体（设备、人员、软件等）。

业务主体是最直观、最直接的信息系统资源，比如多少台服务器、多少台网络设备，都属于业务主体的范畴，按照业务主体本身的价值进行一个估值，也是进行整个信息系统资源价值评估的基础评估。由于信息技术日新月异的变化，最好的主体未必服务于最核心的信息系统，同时价值最昂贵的设备未必最后对企业的价值也最大。在建立体系的过程中，对业务设备的盘点和清理是很重要的，也是进行基础业务架构优化的一个重要数据。

2.业务数据（服务等）。

业务数据是现在企业信息化负责人逐步关注的方面，之前我们只关注设备的安全，网络的良好工作状态，往往忽略了数据对业务和企业的重要性。现在，核心的业务数据真正成为信息工作人员最关心的信息资产，业务数据存在于具体设备的载体之上，很多还需要软件容器，所以，单纯地看业务数据意义也不大，保证业务数据，必须保证其运行的平台和容器都是正常的，所以，业务数据也是我们重点分析的方面之一。

3.业务流程。

企业所有的信息资源都是通过业务流程实现其价值的，如果没有业务流程，所有的设备和数据就只是一堆废铜烂铁。所以，对业务流程的了解和分析也是很重要的一个方面。

以上三个方面是企业信息资源的三个核心方面，孤立地看待任何一个方面都是毫无意义的。

其次，当我们对企业的当前信息资产进行分析以后需要对其价值进行评估。

评估的过程就是对当前的信息资产进行量化的数据分析，进行安全赋值，我们将信息资产的安全等级划分为 5 级，数值越大，安全性要求越高，5 级的信息资产定义非常重要，如果遭到破坏可以给企业的业务造成非常严重的损失。1 级的信息资产定义为不重要，其被损害不会对企业造成过大影响，甚至可以忽略不计。对信息资产的评估在自身价值、信息类别、保密性要求、完整性要求、可用性要求和法规合同符合性要求等 5 个方面进行评估赋值，最后信息资产的赋值取 5 个属性里面的最大值。

这里需要提出的是，这里不仅仅应该给硬件、软件、数据赋值，业务流程作为核心的信息资源也必须赋值，而且几个基本要素之间的安全值是相互叠加的，比如需要运行核心流程的交换机的赋值，是要高于需要运行核心流程的交换机的赋值的。很多企业由于历史原因，运行核心业务流程的往往是比较老的设备，在随后的分析可以看得出来，由于其年代的影响，造成资产的风险增加，也是需要重点注意的一点。

最后，对企业当前信息资产的风险评估。

风险评估是 ISMS 建立过程中非常重要的一个方面，我们对信息资产赋值的目的就是为了计算风险值，从而我们可以看出整个信息系统中风险最大的部分在哪里。对于风险值的计算有个简单的参考公式：风险值 = 资产登记 + 威胁性赋值 + 脆弱性赋值（特定行业也有针对性的经验公式）。

ISMS 建设的最终目标是将整个信息系统的风险值控制在一定范围之内。

对症下药

经过上阶段的调研和分析，我们对企业面临的安全威胁和隐患有一个全面的认识，本阶段的ISMS建设重点根据需求完成“对症下药”的工作：

首先，是企业信息安全管理体系的设计和规划。

在风险评估的基础上探讨企业信息安全管理体系的设计和规划，根据企业自身的基础和条件建立ISMS，使其能够符合企业自身的要求，也可以在企业本身的环境中进行实施。管理体系的规范针对不同企业一定要具体化，要和企业自身具体工作相结合，一旦缺乏结合性ISMS就会是孤立的，对企业的发展意义也就不大了。我们一般建议规范应至少包含三层架构，见图1。

图1 信息安全管理体系

一级文件通过纲领性的安全方针和策略文件描述企业信息安全管理的目标、原则、要求和主要措施等顶层设计；二级文件主要涉及业务工作、工程管理、系统维护工作中具体的操作规范和流程要求，并提供模块化的任务细分，将其细化为包括“任务输入”、“任务活动”、“任务实施指南”和“任务输出”等细则，便于操作人员根据规范进行实施和管理人员根据规范进行工作审核；三级文件则主要提供各项工作和操作所使用的表单和模板，以便各级工作人员参考使用。

同时，无论是制定新的信息管理规章制度还是进行设备的更换，都要量力而行，依据自己实际的情况来完成。例如，很多公司按照标准设立了由企业高级领导担任组长的信息安全领导小组和由信息化管理部门、后勤安全部门和审计部门组成的信息安全办公室，具体负责企业的信息安全管理工作，在各级信息化技术部门均设置系统管理员、安全管理员、安全审计员，从管理结构设计上保证人员权限互相监督和制约。但是事实上繁多的职能部门和人员不仅未能提升企业信息系统安全性，反而降低了整个信息系统的工作效率。

其次，是企业信息安全管理体系的实施和验证

实施过程是最复杂的，实施之后需要进行验证。实施是根据 ISMS 的设计和体系规划来做的，是个全面的信息系统的改进工作，不是单独的设备更新，也不是单独的管理规范的，需要企业从上至下，全面地遵照执行，要和现有系统有效融合。

这里的现有系统既包含了现有的业务系统，也包含了现有的管理体制。毕竟ISMS是从国外传入的思路和规范，虽然切合国人中医理论的整体思维方式，但在国内水土不服是正常的，主要表现就在于是否符合企业本身的利益，是否能够和企业本身的业务、管理融合起来。往往最难改变的还是企业管理者的固有思维，要充分理解到进行信息安全管理体系的建设是一个为企业长久发展必须进行的工程。

到目前为止，和企业本身业务融合并没有完美的解决方案，需要企业领导组织本身、信息系统技术人员、业务人员和负责 ISMS 实施的工程人员一同讨论决定适合企业自身的实施方案

最后，是企业信息安全管理体系的认证和审核

针对我们周围很多重认证，轻实施的思想，这里有必要谈一下这个问题，认证仅代表认证过程中的信息体系是符合 ISO27000（或者其他国家标准）的规范要求，而不是说企业通过认证就是一个在信息安全管理体系下工作的信息系统了。更重要的是贯彻实施整个体系的管理方式和管理方法。只有安全的思想深入人心了，管理制度才能做到“不只是挂在墙上的一张纸，放在抽屉里的一本书”。

“治病于未病”

企业信息安全管理体系需要动态改进和和优化，毕竟企业和信息系统是不断发展和变化的，ISMS 是建立在企业和信息系统基础之上的，也需要有针对性地发展和变化，道高一尺魔高一丈，必须通过各种方法，进行不断地改进和完善，才有可能保证ISMS 系统的持续作用。

就像我们前面案例中提到的某公司一样，缺乏了持续改进和跟踪完善的手段，经过测评的管理体系仅仅一年之后就失去了大部分作用。对于这些企业及未来即将建立ISMS的企业，为了持续运转ISMS，我们认为可以主要从以下三个方面着手：

第一，人员。

人员对于企业来讲是至关重要且必不可缺的，在ISMS建立过程中，选择合适的人员参与体系建立是ISMS建立成功的要素之一。在持续运转过程中，人员都应该投入多少呢？通常在体系建立过程中，我们会建议所有体系管理范围内的部门各自给出一名信息安全代表作为安全专员配合体系建立实施，且此名专员日后要持续保留，负责维护各自部门的信息资产、安全事件跟踪汇报、配合内审与外审、安全相关记录收集维护等信息安全相关工作。

但很多事情是一种企业文化的培养，需要更多的人员甚至全员参与，例如面向全员的定期信息安全意识培训，面向专业人员的信息安全技术培训等，因此对于企业来讲，除了必要的体系维护人员，在ISMS持续运转过程中，若能将企业内的每名员工都纳入到信息安全管理范围内，培养出“信息安全，人人有责”的企业氛围，则会为企业带大巨大的潜在收益。且有些企业在面向自身员工展开信息安全各项活动的同时，还会纳入客户、合作伙伴、供应商等需要外界相关人员的参与，对外也树立起自身对重视信息安全的形象，大力降低外界给企业带来的风险。

第二，体系。

ISMS自身的持续维护，往往是企业建立后容易被忽视的内容，一套信息安全管理文档并不是在日益变化的企业中一直适用的，对于信息资产清单、风险清单、体系中的管理制度流程等文档每年至少需要进行一次正式的评审回顾，这项活动由于也是在相关标准中明确指出的，企业通常不会忽略；但日常对于这些文档记录的更新也是必不可少的，尤其是重要资产发生重大变更，组织业务、部门发生重大调整时，都最好对ISMS进行重新的评审，必要时重新进行风险评估，有助于发现新出现的重大风险，并且可以将资源合理调配，将有限的资源使用到企业信息安全的“短板”位置。

唯一不变的就是变化，企业每天所面临的风险同样也不是一成不变的，在更新维护信息资产清单的同时，对风险清单的回顾也是不可疏忽的，而这点往往是很多信息安全专员容易忽视的内容。持续的维护才能保证ISMS的运转，有效控制企业所面临的各种风险。

第三，工具。

工具往往是企业在建立ISMS过程中投入大量资金的方面，工具其实是很大的一个泛指，例如网络安全设备、备份所需设备、防病毒软件、正版软件、监控审计等各类工具，即使没有实施ISMS，企业在工具方面的投入也是必不可少的，但往往缺乏整体的规划及与业务的结合，经常会出现如何将几种类似工具充分利用，如何在各工具间建立接口，使数据流通共用，哪些工具应该替换更新，数据如何迁移，甚至出现新购买的工具无人使用或无法满足业务需求等问题，导致资金资源的浪费，因此在持续运转ISMS过程中，根据风险评估报告，及信息安全专员反映的各部门业务需求各种信息数据的收集，应对工具进行统一规划，尽量减少资源的浪费。

篇5

关键词： 高校；小专业；教材；信息安全；特色专业；策划

在残酷的市场竞争压力下，如今大多数出版社都不得不在兼顾社会效益的同时，更多地考虑经济效益。毕竟，一家改制成企业的出版社，如果只顾社会效益而忽视经济效益，那么迟早会被淹没在市场竞争的浪潮中。这就造成了高校小专业教材出版的尴尬境遇：教材的利润主要来自于高印量，而小专业教材因为学生人数少、市场容量有限，往往是很多出版社都不愿涉足的“鸡肋”，从而使得其出版相当艰难。小专业教材的市场同类书少且内容陈旧，教材内容无法及时更新，又影响小专业的教学质量和学科发展，从而限制了招生规模，进一步影响教材的大批出版，造成恶性循环。

信息安全专业是一个新兴的交叉学科，目前来说就是一个小专业，各校的招生人数较少。从2001年武汉大学首次开设信息安全专业以来，目前教育部正式批准开设信息安全专业的只有73所高校，另外还有约30多所省属高校开设了信息安全方向，高校总数有100多所，每校招生规模一般为1～2个班（每班30人）。对于工科类的计算机、电子、通信等专业来说，信息安全专业的确是一个小众专业，虽然目前其招生规模还比较小，但毕业生就业形势很好，信息技术发达的今天，信息安全的重要性不言而喻，信息安全专业学生的社会需求是很大的，由此我们判断这个专业有很好的发展前景。

从2008年8月起我们开始调研普通高校信息安全专业的教材情况，通过市场同类书调查、参加教指委会议、走访信息安全专业排名靠前的高校，我们发现，虽然市场上信息安全的图书已经有一些了，但主要以技术类图书及专著为主，真正能作为本科生教材的很少，特别是符合教育部信息安全教指委2009年制定的最新专业规范和教学基本要求的则更少。可见，组织策划一套贯彻最新专业规范和教学基本要求的本科教材是有一定市场需求和出版价值的。基于上述考虑，我们决定组织策划一套普通高校的信息安全本科教材。这套教材我们定名为《普通高等院校信息安全类特色专业系列规划教材》，同时我们争取到了教育部信息安全教指委的支持，成立了以信息安全教指委委员为主，部分重点高校知名教授为辅的高水平编委会。目前这套教材规划的14门核心课程已出版3本，计划到明年9月之前全套出齐。下面就以《普通高等院校信息安全类特色专业系列规划教材》为例，分六个方面，介绍小专业教材的策划思路和心得体会。

一、策划找准切入点，特色定位很关键

其实在我们策划这套教材之前，高等教育出版社、清华大学出版社、国防工业出版社、北京邮电大学出版社等都已出版过信息安全方面的图书，包括教材、技术书及专著，其中也不乏“十一五”国家级规划教材，那么为什么我们这套教材能得到信息安全教指委和各高校的支持呢？一方面是我们抓住了信息安全教指委颁布最新专业规范和教学基本要求的时机，之前的教材由于出版时间早，内容都没有按照专业规范和教学基本要求来编写。各高校也希望能使用内容新颖、符合教指委规范的教材；另一方面，我们抓住了教育部提出的“建设3 000个左右特色专业建设点”这个机会，这也是教育部倡导的本科教学“质量工程”的内容之一。我们策划的这套《普通高等院校信息安全类特色专业系列规划教材》，之前没有其他出版社提出过，与以往的教指委推荐教材或指定教材也不相同，信息安全教指委认为我们这套教材与其他出版社的教材有明显区别，不雷同，同时各高校特色专业建设点也有出版此类教材的需求，所以这套教材才得到了信息安全教指委和各高校的大力支持。

明显的特色。2007年年底教育部和财政部共同下文：《教育部财政部关于实施高等学校本科教学质量与教学改革工程的意见》（教高〔2007〕1号），为了适应国家经济、科技、社会发展对高素质人才的需求，引导不同类型高校根据自己的办学定位和发展目标，发挥自身优势，办出专业特色，“十一五”期间教育部、财政部将投入专门经费，择优重点建设3 000个左右特色专业建设点。结合上述文件精神，我们确定这套教材为信息安全类特色专业教材，并由此确定了主编队伍，主编人员全部来自教育部评选的第一批15所信息安全类特色专业建设点高校，这些高校也是信息安全学科排名靠前的高校，希望他们将各校信息安全的特色教学和科研成果体现到教材编写中。此外，这套教材还将切实贯彻信息安全教指委2009年制定的最新专业规范和教学基本要求，这些将构成本套教材的主要特色。

明确的定位。这套信息安全本科教材，是考虑面向二、三本高校的学生，还是主要面向重点高校学生而兼顾二、三本高校学生呢？我们对此进行了认真分析：目前开设信息安全的高校并不太多，受办学条件和师资力量的限制，二、三本高校的老师还不太容易能独立编写出高质量的教材，但这类高校的招生规模较大，对教材的需求比重点高校学生更加迫切，因此，我们决定本套教材主要面向重点高校学生，同时兼顾二、三本高校学生，由此也确定了编写队伍，即以重点高校的老师为主编，吸收一些一般高校的老师参编，这样既能保证教材质量，又能扩大教材的适用面和用量。

二、按照专业成系列开发

小专业的教材因为单本书的用量较少，单本教材的开发成本及营销成本都很高，所以必须利用经济学上的“整体效应原则”来进行系列化的开发，即按照信息安全专业开设的主要课程来进行整体设计，形成“先修课程和后续课程相互衔接、专业基础课与专业课遥相呼应”的格局，这样也利于后期进行整体营销推广。我们以2009年年初信息安全教指委香山会议上确定的4套专业规范及教学基本要求为基础，调研了10多所高校的教学计划和课程设置，再征求编委会委员的意见，确定了系列教材的14门核心课程。

三、策划思想重在执行

能否将策划思想真正落实，是判断编辑执行力强弱的重要指标。策划思想再好，如果组不到合适的稿件，那么这套教材永远只是计划而不能成书。通过调研和前期策划，我们已经初步勾画出了信息安全特色专业系列教材的轮廓。根据确定的特色、定位及编委会等，我们撰写了项目申请书，编辑拿着项目书，开始走访排名靠前的信息安全特色专业高校，进行宣传和组稿。同时也将编委会委员发动起来，他们也推荐了一些优秀的作者。通过半年时间的组稿，14本教材已经全部确定了主编。主编单位主要来自信息安全类特色专业建设点的名校，其中不乏国家级或省级精品课程主干教材，整体质量较好。

策划一套高层次的系列教材，需要组建一个权威的编委会，利用编委会来进行质量把关和宣传营销。对出版社来说，组建编委会实质上就是整合各方资源，形成一个“磁场”，来吸引高水平的老师参与编写。所以，编委会更多地起审稿把关和对外宣传提升档次的作用，组稿不能完全依靠编委会，还需要编辑自力更生，积极主动，否则组稿效率会很低，影响丛书的整体进度。

四、编前工作赢在细节

一套教材有了好的策划思想，也有了理想的编写队伍，但是如果编前工作做得不好，这套书的质量还是无法保障，整个项目也就将功亏一篑。所以一定要注重编前工作这个细节，细节决定成败。编前阶段是指作者向出版社正式交稿前的写作阶段，也是编辑提供出版服务的重要阶段。这个阶段又被叫做“中耕”阶段。在这个阶段中，编辑需要给主编提供“著译者编写指南”、 “某一门课程的教学基本要求”等。编辑只有做好这个阶段的工作，作者的稿件质量才能得到保证，并能为后期的编辑加工节约时间，提高效率。

审查编写大纲，是进行稿件质量把关的第一步。为了提高这套书的整体编写质量，我们要求主编在编写书稿前要提交详细到3级目录的编写大纲，为此，我们于2010年7月31日召开了这套教材的编委会议，信息安全教指委主任、副主任、10多位编委及教材专家委员出席了会议，另外还有一些感兴趣的高校也派了代表参加。在会上，每位主编用PPT的形式介绍了各自的大纲，编委或教材专家委员现场进行讨论并提出修改意见。通过这次会议，我们吸收了一些院校参与到部分教材的编写中，同时也扩大了这套教材的知名度，提前进行了宣传。

五、营销贯穿策划全过程

教材的营销很重要，小专业教材的营销就更加重要了。不能等到出书之后才想到营销推广，在选题策划阶段就要充分考虑如何开展有针对性的营销，确定营销策略。在策划信息安全这套教材时，我们与北京邮电大学信息安全中心取得了联系，通过多次沟通，双方达成了共识并签订了协议：我们可以利用北邮信息安全中心每年组织全国青年教师培训的机会，宣传推广我们的教材。除了会议营销外，在调研阶段，我们就查询了目前开设信息安全专业的100多所高校负责人信息并录入数据库，为教材出版后赠送样书作准备。另外，等大部分稿件交稿后，我们将制作宣传页，通过发送电子邮件或院校代表走访等形式进行散发宣传。为了宣传这套教材，我们还将为每部书稿确定一位编委会委员作为主审人，一方面是对稿件质量把关，另一方面也利用主审人的学术影响来宣传和提升本套教材的品质。

营销一定要贯穿策划全过程，并且随着策划的深入，还要不断修正原来的营销方案和策略，形成一套比较完善可行的营销方案，并且从一开始就要分阶段逐步实施。

六、团队成长伴随项目发展

出版工作主要依靠的是人，而选题策划更是离不开编辑。策划一个较大的项目，需要做的工作很多，环节也很复杂，一个编辑很难全部承担，所以需要一个结构合理的团队来共同完成。信息安全这套教材就是由我和另一位年轻编辑来共同完成的，我负责总体设计规划、组建编委会及重要稿件的组稿，年轻编辑负责部分组稿、大部分后期生产及营销等工作。

在项目实际运作中常常有一个“谁当项目负责人”的问题，是由部门领导担任，还是由编辑独立担当，还是由部门领导带培编辑？如果项目负责人全由部门领导一人担任，编辑无法深度参与，得不到锻炼机会，能力得不到提高，其工作积极性和主观能动性就得不到充分发挥。我认为“谁当项目负责人”应当视项目的重要程度和编辑的成熟程度来定。如果项目很重要，责任重大，则必须由部门领导牵头来做，在项目运作中尽快培养编辑，编辑成熟后部门领导逐渐淡出，项目具体事务交由编辑来做，部门领导只负责丛书整体规划和选题把关。如果编辑已经有成熟的项目运作经验，不妨放手让编辑担任项目负责人，给予其更大的施展空间和更多的锻炼机会。

篇6

关键词： 网络财务；安全问题；对策

中图分类号：F812.0 文献标识码：A 文章编号：1001-828X（2013）02-0-01

一、网络财务的安全问题

（一）原始数据的安全问题

传统会计中的原始凭证因笔迹各异具有可辨认性，因多联复写具有相互牵制性，难以非法修改。而在以电子商务为主要内容的网络会计中，原始凭证的数据转变成磁性介质，对电子数据的删除或修改可以不留任何痕迹，给原始数据的安全带来很多隐患。

（二）会计信息的真实性问题

一方面，网络财务是一个开放的会计系统，一些企业内部和外部计算机高手出于某种利益，故意破坏系统的安全，盗取会计资料、篡改会计信息；财务硬件设施偶然故障；财务人员操作不当都会造成会计信息的失真、缺乏完整。另一方面，网络技术下，会计信息透明度是非常高的。其在互联网上传播速度非常快，财务数据的收集及大量经济业务处理也缺乏有效的确实标识，这将直接影响会计信息数据库系统中派生的会计账簿和会计报表的真实性和准确性，从而使网上会计信息的真实性受到质疑。同时，信息使用者和提供者的理解差异都会给企业会计信息带来失真的风险。

（三）企业内部控制问题

在网络财务软件中，会计信息的处理和存储集中于网络系统，大量不同的会计业务交叉在一起，财务信息复杂，交叉速度加快，使传统会计系统中某些职权分工的控制失效。网络的应用减少了人工输入环节，数据访问和数据交换都通过应用服务器进行，网络数据处理的集中性使得传统的组织控制功能减弱。网络计算机集成化处理促使传统手工会计中制单、记账、复核等岗位相互制约关系弱化。原来靠账簿核对纠正差错的控制已不复存在，光、电、磁介质所载信息能不留痕迹地被修改和删除，从而加大了会计系统安全控制的难度。

（四）网络会计人员素质问题

网络财务需要大批既懂会计又懂管理；既熟悉电算化知识，又熟悉网络知识；既会业务操作，又能解决实际问题的会计人员。目前相当数量的会计人员的专业知识薄弱，尚不能适应网络会计的发展要求。因此，会计人员素质不高也是网络会计发展中面临的一个问题。

针对上述问题，我们应从信息安全、内部制度和人才应用等几方面采取相应的措施。

二、对网络财务发展的对策建议

（一）会计信息系统安全对策

会计信息系统是一种特殊的信息系统，它除了一般信息系统的安全特征外，还具有自身的一些安全特点。会计信息系统的安全风险是指由于人为的或非人为的因素使会计信息系统保护安全的能力的减弱，从而产生系统的信息失真、失窃，使单位的财产遭受损失，系统的硬件、软件无法正常运行等结果发生的可能性。保障会计信息系统安全对会计信息安全有着重要的意义。

保障会计信息安全的措施有二个方面：一是采用有效安全技术，网络财务软件采用两层加密技术。为防止非法用户窃取机密信息和非授权用户越权操作数据，在系统的客户终端和服务器之间传输的所有数据都进行两层加密，确保会计信息的传输安全。二是制定和实施安全管理措施。根据会计电算化要求，建立健全岗位责任制度、安全日志等相关制度规定。

（二）内部控制措施

为了保证会计信息的准确性和可靠性，企业应在内部采取必要的控制措施，来维护网络会计信息系统的安全。

（1）组织与管理控制。一是要设置网络管理中心，由网管中心全盘规划，采取措施确保各工作站、终端和人员之间适当的职责分离。二是要优化配置人力资源。制定措施，确保人力资源的合理利用。三是要发挥内部审计的作用。通过内部审计部门对网络会计系统信息质量进行独立和公正地监督与评价，有利于系统内部自我约束机制的建立。

（2）系统开发控制。系统开发控制是为保证网络会计系统开发过程中各项活动的合法性和有效性而设计的控制措施，它贯穿于系统规划、系统分析、系统设计、系统实施和系统运行测试与维护各个阶段。其主要内容包括：第一，明确开发目标，制定管理计划，监督开发质量，检查各功能模块设置的合理性及程序设计的可靠性，提高系统的可审性。第二，利用网络在线测试功能，检验整个系统的完整性，并应对系统抗干扰能力和发生突发事件的应变能力以及系统遭遇破坏后的恢复能力进行重点测试。第三，一旦发现网络系统各类软件可能存在的安全漏洞，应立即进行在线修补与升级，并将所有与软件修改有关的记录报告及时存储归档。

（3）网络系统安全控制。第一，硬件设置安全控制。应制定网络计算机机房和设置的管理制度、岗位职责和操作规程，严格禁止无关人员接触系统，关键的硬件设置可采用双系统备份。第二，系统软件安全控制。严格控制系统软件的安装与修改，对系统软件进行定期检查，系统被破坏时，要求系统软件具备紧急响应、强制备份、快速恢复的功能。第三，会计信息安全控制。会计信息安全的基础是密码。如通信线路上的数据流加密，数据库中的数据文件加密，及访问者的身份认证等。除此之外，模式识别的方法也在网络信息安全方面得到应用。

（4）应用控制。应用控制是指在网络会计系统的数据输入、通讯、处理和输出环节所采用的控制程度和措施。第一，输入控制。输入控制的重点在于建立适当的授权和审批机制，并对输入数据的准确性进行校验。第二，通讯控制。通讯控制的重点在于批量控制，业务时序控制、数据编码控制与发放和接收的标识控制等。第三，处理控制。处理控制的重点在于处理过程的现场控制、数据有效性检测和错误纠正控制等。第四，数据输出控制。输出控制的重点在于数据稽核控制，授权输出控制和打印程序控制等。

（三）建立安全防范机制

安全问题是网络财务发展中不可回避的重要问题。在网络财务中，处在网络中的任意一台计算机都可获得其他计算机的信息资源，本企业的网络财务系统随时都可能受到威胁，企业的财务数据等重大商业机密很容易遭到破坏或泄密，这将造成不可估量的损失，因而保证网上财务信息安全可靠成为了关注的焦点。建立安全防范机制，保障网络系统的安全性是我们必须要做的工作。

保障网络系统的安全性：首先，建立一个安全、可靠的通信网络是非常必要的，这样可以确保会计信息快速安全传递；其次，制定网络计算机机房和设备的管理制度、岗位职责和操作规程，严格禁止无关人员接触系统，加强网络财务的硬件系统安全；第三，加强系统软件安全控制。建立定时检查更新制度，定期对网络财务系进行维护 更新，确保数据库信息的真实完整，把一些陈旧的会计信息保存起来，及时上传新的会计信息，以便投资者及时用于投资决策。 第四，技术防范措施。一些黑客为了获取企业重要的、秘密的信息非法对网络财务系统的入侵，或者采用病毒对企业网络财务信息进行攻击，使企业会计信息流失。为了防范这种人为的侵袭，应采取设置防火墙、身份认证和授权管理、设立密钥等安全技术，限制外界故意的侵入，用以隔离开局应用系统与外界访问区域之间的联系，限制外界穿过访问区域对网络应用系统服务器尤其是对会计数据库系统的非法访问；加强原有的基本账户和口令的控制，提供授权访问控制和用户身份识别。

（四）企业人才策略

企业要顺应市场的竞争，首先要引进高层次会计人才，其次，要有计划、有步骤、有针对性地组织开展会计人员的培训工作。改善会计人员的知识结构，不断进行知识更新。提高会计人员的计算机应用水平，特别是计算机网络技术，培养熟悉科技与管理知识的复合型会计人才，以适应国际竞争需要。

篇7

日前，朝阳局队总结信息化建设成果，积极推进信息化建设，大力推进统计信息服务。

加强创新，积极推广信息化建设成果。朝阳局队计算机中心按时保质地完成了统计专网建设，并对全区43个统计所进行统计专网部署，提高信息处理能力；通过培训学习，将升级OA系统、上线运行统计培训平台、改版朝阳统计信息内外网、调整完善数据信息资源管理系统的管理与应用等建设成果进行应用推广。

改版网站，加强网络互动性和实用性。对朝阳统计信息内外网进行全面改版，增加互动栏目，重新修订《朝阳区统计信息网维护管理办法（试行）》。改变网站管理模式，从技术型向内容管理型转变；建立相应的管理制度，按照政务公开的要求，做好网站信息、分析、报告的。

加强管理，进一步提高网络信息安全。通过加强防火墙的管理，严格控制访问互联网的权限，并对网络运行采取实时监控，对异常流量访问进行限制；定期更新网络上个人计算机安全补丁及漏洞；加强计算机病毒的防范工作。

加强合作，做好社情民意调查技术支持。朝阳局队正在筹建健全的CATI系统，技术部门要全力协助做好全区社情民意、热点焦点的电话调查工作，为调查提供保障支持。

（李慧）

通州局队明确投资统计新思路

为了能够更好地服务新城建设，通州局队近日明确“一新二扩三提高”的投资统计新思路。

一新：新增数据汇总信息，反映新城建设情况。未来通州的建设工作将围绕“一核五区，三带四组团”的空间布局展开，为了适应新城建设的需求，通州局队将对投资及房地产建设项目进行梳理，并在数据汇总时将新城规划范围内的项目进行标记。

二扩：扩大项目信息来源，实现“应统尽统”。扩大培训范围，提升统计影响力。局队对镇政府及各园区统计人员进行有计划地培训，以实现各部门统计口径一致，减少“数据打架”的现象。

三提高：一是提高写作水平，用高质量的分析材料服务新城建设。二是把好审核关，提高数据质量。三是多层次学习，提高工作能力。同时，鼓励科室人员参加会计、统计等相关专业的职称考试，争取在新的一年里实现城建科全体人员中级统计职称全覆盖。

（赵开艳）

密云局队开启保障性安居工程统计监测

近期，密云局队召开全县保障性安居工程报表布置会，采取多项措施，开启新一年度保障性安居工程统计监测工作。

围绕“数据质量”突出两点要求。局队要求各承建单位要将统计基础工作做实、做细，要以统计台账为依托，进一步完善建设工程月度登记制度，除保证月度登记的每项数据都要数出有据外，还要对登记的每笔财务支出准确定性。要求各承建单位内部建立相应的数据质量评价体制，保证数据来源关关有人管理、报表质量层层有人负责。

建立“沟通机制”形成优势互补。局队与县建委、发改委、财政局等相关单位建立定期沟通机制，快速掌握项目前期信息，提前对承接单位进行培训辅导，第一时间监测安居工程的建设进度。

篇8

（一）计算机审计规范化建设

近年来，审计署陆续了多个计算机审计实务公告，涉及计算机审计的各个方面，有审前调查指南、方法语言编制规范、方法体系基本规划、各类业务审计数据规划、各类业务审计方法体系等，计算机审计的规范化日益提高，各科室在今年及以后开展计算机审计时，务必遵照实务公告的要求执行。

今年上级机关将继续开展计算机审计方法、方法体系的征集工作，各科室在认真组织学习计算机审计方法体系相关规范基础上，组织好审计人员按规范要求撰写审计方法。要求各业务科室（除投资中心外）至少上交一个审计方法，并明确落实项目及负责人，列入年度计算机审计项目计划表（计算机审计项目计划表详见附件）。

（二）继续深化OA与AO的应用，实现全覆盖

要全面普及应用AO2011版，对审计事项的编写要标准化，财务数据必须采集，审计底稿要在AO中编写，相关证据要上传到AO并与底稿关联。审计实施过程中，各审计组在每星期一上传数据包，及时与OA进行交互，传送相关的审计证据和审计底稿，为领导决策和项目管理服务。在审计结束后，五天内上传完整的数据包到OA。

以OA为支撑平台，落实审计准则的各项要求，探索建立对审计项目方案、审计记录与取证、审计报告与审计决定、审计业务质量检查等全过程审计复核与审理的质量控制数字化。上级机关统一项目已全面应用“统一组织项目管理”功能，各科室审计人员要熟悉此功能及RTX（审计专网用即时通信工具）的各项操作，以便顺利完成统一组织项目，我局自定项目已全部列入OA新项目计划管理，各科室要按照要求组织自定项目的管理及应用。

各业务科室确定一个以上计算机审计重点项目，至少上报一个以上AO实例，全局确定一个优秀计算机审计项目，并要具体落实项目及责任人，列入年度计算机审计项目计划表（详见附件）。

（三）继续推进信息系统审计

鼓励各科室积极探索信息系统审计，并将项目实践经验总结为信息系统审计案例。信息系统审计项目已列入年度审计计划，具体实施方法参见《省计算机审计工作指南》（浙审办计〔2007〕89号）。

（四）继续加强网站建设，提高网站应用水平。

我局已在互联网及审计专网上建设网站，要根据《市审计机关信息化工作考核办法》的要求维护审计网站，继续充实网站内容，提高网站点击率，推行网上政务公开，发挥对外宣传及经验交流的作用。

（五）开展计算机审计理论研究

审计署及省厅审计学会组织计算机审计方面的课题研究，各科室要积极参与，开展计算机审计方面的课题研究。

二、工作重点及主要措施

（一）加强领导，分工负责

局审计信息化建设领导小组统筹规划信息化工作，计算机技术小组充分发挥在技术攻关和推广实用技术方面的作用。把信息化建设的任务分解落实到责任科室，责任到人，确保审计信息化工作的有效推进。

（二）集中力量抓重点

1．落实任务，明确责任。一是每个业务科室确定一个项目作为计算机审计重点，并且明确责任人员，完成需要上交的各项任务。全局确定一个合适的项目进行计算机信息系统审计。二是落实各项基础性工作的责任人员，分管领导对所分管科室的审计项目每周至少一次查阅数据包上传情况，并批复。业务科室审计组长负责审计项目的AO与OA交互，业务公文流转等各项工作。计算机审计中心负责管理维护全局计算机软硬件及网络平台，管理维护审计网站及推进数据库建设,指导检查计算机审计工作情况。

2．协调力量，保证时间。要做好计算机审计，各科室审计项目负责人需要花费较多的时间和精力，所以项目时间安排要充足，早作准备。各科室的计算机审计项目主审由各科室计算机技术小组成员担任，以便审计力量的更好发挥。

3．全程管理，及时调整。局信息化建设领导小组对于计算机审计重点项目进行全程跟踪管理。审计组在审计准备阶段集中组成员的智慧提出计算机审计思路,集中计算机小组成员的力量制定详细的计算机审计方案，审计实施阶段抓好审计方案及审计思路的落实，发现新的审计思路时，根据实际情况及时调整审计方案及审计方向，必要时可提请外援解决难题。审计终结阶段及时提升审计成果，总结出高质量的审计信息、AO应用实例、计算机审计方法等审计成果。

（三）加强信息安全保护

加强信息安全的组织领导工作，建立健全安全管理制度。统一组织协调本单位的信息安全保护工作。

（四）完善激励机制，提升成果、提高质量

2013年，我局将组织计算机审计能手评比、计算机审计项目评比等激励考核机制，并将计算机审计工作作为重点工作之一纳入科室考核。

篇9

一、创建独立性、权威性强的内审组织

要圆满地完成内部审计职责，客观需要设有独立的审计机构，拥有良好的组织环境，内部审计应向隶属董事会和审计委员会的环境模式化方向发展。这种模式的主要特征是独立性，内部审计负责人直接对高级管理层的董事长负责，并向董事长、董事会、内部审计委员会报告工作，其它各部门和个人不得干涉内审工作，内部审计部门的审计计划是独立的计划，并由董事会批准实施，可以对企业各部门、有关人员进行审计；能够直接与董事会交流信息；对审计意见，被审计者要在限期内予以落实并向审计部门反馈实施情况；内审部门负责人的任免，由董事会办公会议确定。

二、内审职能价值化

内部审计主要是管理控制。未来的内审发展方向是风险导向型审计，以风险评估为主，主要是为组织贡献附加价值。内市职能定位转向价值化，也就是内审必须考虑组织的风险和内审的风险防范，降低成本，提高组织的经济效益，使内审接近单位经营活动的价值键，不断提供附加服务。

首先，职能价值化带来一系列的审计理念。内部审计是适应公司治理、风险管理。内部控制之需要，正如国际内部审计师协会现任主席杰奎琳·瓦格娜指出：环境的变化给内部审计师带来增加价值的机会最多的领域是风险管理和公司治理。至于风险导向审计就是要改变内部审计人员对于控制与风险的思考，使内部审计人员关心组织的目标和风险，使审计的重点前移到和未来的规划，把目前的经营管理控制同计划、策略和风险的评估结合起来，内部审计的工作重点也随着转向经济效益审计和风险管理审计。

其次，职能价值化使内部审计目标明确。内审的目标旨在提出规避风险的建议，使被审对象有效地履行他们的受托责任，以提高经济效益。内部审计的服务对象主要是董事会和最高层管理当局。内部审计在资源分配时着眼于组织的风险和审计的风险；内审项目考虑节省成本和投入产品的比例关系，比如德、法国家的投入产出之比为1：10.内部审计效益表现在以下十四个方面：维护资产安全和促进内部控制；有效的经营；管理工作有序协调；成本的节约；人力资源的开发；多种制度的建设和特殊问题的处理；审查合同，降低供应成衣公司成员道德水平的提高和正直风气的形成：降低外部审计费用；减少舞弊案的发生提供沟通管道；认定发评估企业风险；评估被审计单位管理业绩；符合反贪污行贿法的规定。由此可以看出，内部审计部门将成为一个直接创造价值的部门，内审的增加价值功能是内审强大生命力的根本所在。

三、内审多元化

既内审的内容以风险评估为主，涉及组织的所有领域的每个环节、每个系统。具体为：一是在全球一体化和市场竞争日趋激烈的情况下，如何进行风险管理已成为内部审计的主要内容。内审工作的重点就是风险存在的领域；要进行事前审计，及早发现风险；实施审计意见以最大限度地规避风险，内部审计成为组织风险管理的重要手段；二是内部审计评估组织经营管理的全过程；三是内部审计评估组织的发生因素，主要是人员、任务、管理三个基本组织部分，就产品企业来说，包括政策与目标、组织与权责、产品与生产、市场与销售、资金与财务、与开发、信息与商务、控制与管理等各个系统，有效规避体系风险；四是审计的类型，主要包括经营审计、绩效审计、遵循性审计、质量审计、财务控制审计、财务报表审计以及机审计和舞弊审计等。

四、加强信息化管理

内部审计信息化具有特别重要的意义，它迎合新潮需要，以知识和信息作为核心资源，融入世界经济主流；它代表最先进的生产力，降低成本、缩短时间、变窄空间，提高组织国际竞争力；有利于内部审计与最高管理当局的交流，突破时空限制，提供快捷而全面的服务。

内部审计信息化的思路应着重考虑如下几点：一是从战略的高度进行整体规划。信息化规划实现资源最优配置，在认识上和行为上达成一致，本着统一规划、互联互用、资源共享的原则，统一信息目标，明确信息化方针政策，落实信息化任务，充分考虑内部审计信息化的资源共享；二是构建内部审计信息化的平台，在平台上通过机网络信息交换以实现内部审计目标；三是设计开发内部审计软件，涉及组织运行的全方位、全过程，提供多接口、多通道、安全可靠、快捷高效的信息网络体系；四是对信息化的网络基础建设、信息安全建设、内部审计师的信息化人才建设等提出更高的要求。

五、依法规范运作

篇10

（一）审判管理信息公开是科学体现法官工作量及能力的需要审判管理信息包括管理流程信息、审判质量与效率信息、审判管理改革或决策信息，这些信息往往只在法院内部进行通报或上网，外人难以知晓。各级法院往往也只在人大会议做工作报告时向人大代表通报部分审判管理信息，最高法院也只通报每年全国法院受理的各类案件情况，对各地法院的案件情况也语焉不详，不仅影响了民众对法官工作情况及能力的判断，也不利于法学研究的深入开展。真正的审判管理信息，包括每位法官每月案件受理情况、庭审安排情况、结案情况、发改案件情况、审判委员会及合议庭讨论案件情况、案件质量评查及通报情况，这些审判管理信息，不仅体现了法官的工作量和审判能力，也是当事人理解、信任法官的前提与依据。人们经常提到人少案多，但并不是每个法官都办案很多，也不是每个时间段受理案件都多，法官受理案件也有一定的季节性。③只有将上述审判管理信息公开，当事人及社会才能知道某个时间段法官的工作量及工作能力，才能科学地判断案件进行到什么程度，案件发改原因是什么，从而理性地面对司法，而不是盲目对法官进行揣测。

（二）审判管理信息公开是选拔主审法官及遴选法官的要求透明、公开的法官遴选程序，不仅能够防止暗箱操作，选出足够优秀的法官，又方便社会各界了解法院、认识法官，推动对法官职业的尊重和保障。在实行法官员额制的国家，法官岗位一旦出现空缺，都会向社会公示。法官候选人一旦被提名，个人信息就可通过互联网查询。如果是初任法官，公众可以查询到候选人的教育背景、职业经历和学术成果；如果是准备晋升的下级法院法官，公众可以查询到候选人撰写的裁判文书、经办案件的处理情况。④而审判管理信息公开是选拔优秀法官的前提，如果没有审判信息的公开，则公众无法监督法官选拔的公平、公正性，也无法认同法官的业务和道德水平。如日本在进行法官遴选时，不仅要听取法院法官提名咨询委员会的咨询意见，还要收集法官个人的工作、学习及品性信息，并收集国民对拟任法官的意见。⑤（四）审判管理信息公开是实现当事人监督权利和建立倒逼机制的需要当事人监督法官，必须信息透明，而审判管理信息公开，不仅为当事人监督法官提供了依据，也创造了便利条件。我国2013年最高法院出台的《关于推进司法公开三大平台建设的若干意见》将司法公开扩大到法院基本信息、审判人员基本信息等法院信息的范围。但由于规定不够细致，包括审判管理信息在内的司法信息不公开仍然存在，不仅审判执行信息公开不够透明，法院人事信息公开也不透明。严重影响了公民的知情权和申请回避权。因为当事人只有了解审判或执行人员的基本信息，才能知道法官的受教育背景、专业特长，从而对该法官的职业技能及人格品行有所了解，才能判断出是否需要对其申请回避。再如每个法院审判委员会成员有多少，是哪几个人，只有告知当事人，当事人才能对其行使申请回避权。否则，不进行公开告知，有可能原来的案件承办人作为审判委员会成员参加案件讨论，不利于公正对案件进行处理，也剥夺了当事人的申请回避权，使申请回避权就成为无法行使的权利。如浙江省高级人民法院规定，法官不得承办当事人所在地，与本人出生成长地系同一个区县的案件，都要主动回避。①因此公开法官的出生籍贯、教育背景等对审判有影响的信息，对于司法公正及维护当事人合法权益十分重要。通过对主审法官审判质量与效率情况的了解，对其庭审工作信息的了解，当事人可以判断出法官的忙碌程度和敬业程度，便于监督法官及时对案件进行审判，防止法官工作懈怠。也只有在当事人对法官工作量及审判信息知晓的情况下，才能实现对法官的倒逼机制，逼迫法官按照审判流程和审判期限的要求审理案件，不能无端地进行审理期限的延长、变更。将审判管理中对发回重审及改判案件评查通报公开，利于当事人真正明白案件发回重审或改判的原因，逼迫二审法官必须将发改原因讲明讲透，使当事人对一、二审法官的监督权能够行使到位，使一、二审法官摆脱各种案外因素的纠缠，通过当事人的充分监督，促进主审法官独立、公正审判，使对司法审判的干预不存在盲点，也使当事人的监督避免盲点。

二、审判管理信息公开的难点溯源

目前，我国审判管理信息公开不充分、不及时，主要表现为只愿意公开审判管理决策类信息，而不愿意公开真实的审判管理数据信息；只愿意公开对法院有利的审判管理数据信息，而不愿意公开对其不利的审判管理数据信息；只愿意公开局部的审判管理数据信息（即选择性公开），而不愿意公开整体、全部及连续性的审判管理真实信息。不愿意公开审判管理信息，主要有如下原因：

（一）对审判管理信息公开认识存在误区长期以来，我国审判管理一直存在信息公开不畅的问题，一是因为法院工作信息化水平不高；二是因为法院把审判管理当做自家的事情，管理重内部、轻外部，对法院的评价主体过于单一，只关注上级法院及人大代表的意见。审判管理运行方式封闭、评价结果内部化是现行审判质效评估体系的重要特征，当事人等外部主体对司法业绩无发言权，使审判管理走向了自我封闭的反面，也加剧了审判管理的行政化。而要想改变审判管理重内部轻外部的局面，必须使审判管理信息公开，增加外部力量参与评价的机会，而这种外部评价主要通过两种方式：一是通过直接参与诉讼的当事人及其他参与人的感受来进行评价；二是通过对法院审判管理信息公开的了解和认识程度来进行评价。

（二）对审判管理公开的信心不足在我国审判管理信息中，既有案件受理、审结、发改、审理周期、上诉等案件数据类信息，也有案件管理决策类信息，还有发改案件的评查情况通报信息。在我国，尤其是基层人民法院与中级人民法院之间，对案件事实认定或法律适用方面往往会存在分歧，发回重审或改判案件也在所难免。但是往往不少发改案件难以评查得出科学的结论，尤其是在我国一些地区试行主审法官负责制以后，发回重审案件大量增加，原因为二审主审法官为了减轻自身负担或责任，不愿意直接改判案件，而选择一些所谓的“法定”理由将案件发回重审，这不仅给一审法院增加了负担，也为科学进行审判管理提出了新问题。①对一、二审不同裁判结论的科学性难以认定，带来了案件发改评查通报公开的困难，如果公开对一、二审认定的分歧，并对外公开评查通报，则可能会引发新的涉诉或申诉，带来新的社会问题。

（三）法院内部对公开审判管理信息阻力较大首先，审判人员不愿意公开审判管理信息。审判人员之所以不愿意公开审判管理信息，因为审判管理信息往往体现了审判人员的审判质量与效率数据，体现了审判人员的工作能力、勤政程度与服务水平。对于一个热爱审判工作且比较敬业的人，公开其审判管理的各项数据信息，对他本人不会带来多大压力，反而会体现其个人价值和正面形象。但是，从我国的审判人员整体来看，仍然存在业务素质参差不齐的现象，不少审判人员因职务升迁慢而产生懈怠心理，对审判或执行工作投入不够、责任心不强，再加上有个别审判人员还存在廉政问题，从而导致案件发改率高，案件审判质量与效率均不够理想，如果公开这些人的审判管理信息，不仅可能遭到外界的批评或指责，也会对其本人带来负面影响，从而使审判管理数据信息只在内部公开，而不为外人所知。其次，院庭领导不愿意公开。法院院庭领导不愿意公开本院或本庭的审判管理信息，主要出于三种考虑：一是出于政绩观考虑。在当前各级法院行政化模式的绩效考核下，审判管理信息（特别是审判质效数据情况）直接反映了一个法院领导的工作能力与管理水平，如果审判质效数据在互联网或对社会公开，则会导致法院各级领导工作压力很大，时刻面临社会监督，使他们难以偷懒或懈怠。二是出于权力观考虑。在中国熟人社会尚未解体、法治社会尚待完善的情况下，对案件说情打招呼的现象仍然存在，这就影响了案件的正常审理，造成案件长期超审理期限未结的现象。如果将审判管理数据信息对外界公开，将会严重压缩法官或院庭领导对案件的自由裁量权，使院庭领导不能对案件明确地指手画脚，使院庭领导的“权威感”丧失，这是院庭领导所不愿意接受的。三是出于维稳的顾虑。虽然我国对工作不断进行改革，法治化也出台了不少举措，但是应当看到，属地或属人的维稳要求没有放弃，各级法院仍然对涉诉案件有化解维稳职责。在涉诉案件中，有不少案件因涉及群体性纠纷或政策问题，法院难以在短期内寻找到破解之策，往往此类案件在法院难以正常解决。如果将审判管理的信息全部公开，可能会带来社会问题。甚至有可能使人员更加借助互联网进行投诉，引发更大的舆情。

三、审判管理信息公开的路径

（一）审判管理信息公开的域外做法信息公开是一种国际潮流，也是一种改革趋势。国际非政府组织在《公众的知情权：信息自由立法的原则》中提出了一套原则，确立了信息公开的实践标准，即最大限度公开原则。最大限度公开原则涉及三方面的最大化：相关信息范围的最大化、公开机构范围最大化、信息公开权利主体的最大化。②俄罗斯是信息公开立法最发达的国家，在2010年就公布实施信息公开法。其信息公开法第14条规定以下信息应在互联网上：一是关于法院的一般信息；二是有关法庭诉讼程序的信息；三是法院向国家立法（代表）机构提交规范的草案文本和法律文件；四是司法统计资料；五是法院工作人员的相关信息；六是有关公民、组织等与法院人员预约见面的时间和程序的信息。俄罗斯信息公开法第15条还规定了在互联网司法文件的要求：一是除判决书以外的司法文件应当遵从相关人员的意愿公布在互联网上。二是除本条第4款规定的情形外，公开的司法文件和由俄罗斯联邦、俄罗斯联邦主体的宪法（）法院和仲裁法院签发的其他司法文件，应依法全部在互联网上。①为了促进审判管理信息的公开，国外或境外不断加大对审判管理信息公开的人员整合与投入力度，促进了审判管理信息的及时公开。如美国司法部司法统计局有50多人，分为四个行政办公处（研究与公共政策事务处、规划管理与预算处、出版发展与鉴定处、出版与电子处）和五个统计业务处（刑事统计增强项目处、犯罪测定的方法与制度支持处、执法、审判与联邦统计处、受害统计处、矫正处），是美国司法案件统计、司法信息标准制定、管理、乃至调查研究等方面的唯一机构，是真正的司法信息中心。同时，美国联邦法院下设行政管理局，负责联邦法院行政事务的管理，其下设信息技术处，负责联邦法院信息系统的开发、调度、信息传输、信息安全和管理维护。我国台湾地区“司法院”统计处有16人，分为公务统计、调查统计及资讯、行政业务三个科，具有调查统计、信息管理等综合职能。

（二）审判管理信息公开的推进路径1、建立科学的审判管理工作机制。科学合理的审判管理工作机制是审判管理信息公开的前提，建立科学的管理机制，首先应当按照主审法官负责制的改革要求建立审判管理工作机制，尊重主审法官的裁判权，强化法律、制度、程序约束与审限监督，形成主审法官高度自律、严谨公正审判的工作氛围。其次，要加大审判管理工作的信息化工作水平，加大对审判管理信息化投入的物质及技术保障力度，强化审判管理各项审判执行数据的集约化输入管理，强化法官助理的工作职责，确保案件在审理期限内结案的同时，审判质效数据的信息化同步生成，便于审判管理数据的及时公开。应借鉴发达国家和地区的经验，将法院的审判管理数据及信息进行整合，拓展其研究及信息职能，成为法院的综合性司法信息管理中心。再次，要强化对发改案件评查的权威性和公信力，要建立二审法院集中公开通报发回重审及改判案件的工作机制，以避免一、二审认识的不统一而带来法律适用的混乱。对于二审法院定期公开在网上的发回重审或改判案件评查通报，应征求一审主审法官的意见，并应对发改理由进行详细说明，充分做到于法有据，能够以理服人。2、建立审判管理信息公开工作机制。审判管理信息公开不仅是法院的责任，更是法院作为公共服务机构的义务。必须破除各种思想上的壁垒，才能顺应主审法官负责制的改革潮流。首先，应强化审判管理的流程信息互联网公开。应突破法院审判管理信息化的主体范围与服务对象仅局限于上下级法院之间和法院内部之间审判管理工作的现状，拓展对社会公众提供审判管理信息的服务内容，为诉讼参与人和社会公众提供全面的审判信息共享平台，提高跨系统司法查控效率和法院人员外出执行公务信息化指挥保障力度，通过审判信息化技术实现法院与社会的无缝对接、资源共享。②目前，流程信息公开在执行领域做的较好，主要得益于法院分权集约执行工作的开展。但在审判领域，流程信息公开还有改进空间，当事人不仅要能查询开庭、送达、主审法官或陪审员变更等情况，还应当了解案件延期审理或审理期限扣除的原因，审判委员会讨论案件日程，将审判过程管理信息全面公开。其次，应进一步明确法院法官、法官助理及院、庭领导个人信息在法院互联网的适度公开，主要包括上述人员的籍贯、教育背景、专业特长、从业经历、个人荣誉、奖惩情况等，使当事人或民众通过法院互联网可以了解上述情况，以确定案件承办人或法官助理是否与自己有利害关系，是否申请法官回避。第三，要利用互联网实现各级人民法院审判质量与效率数据的同步公开，主要包括各级人民法院每月、每季度、每年的审判质量与效率数据表、法官个人审判质量与效率数据表、审判运行态势分析报告、发改案件的质量评查通报等。利用审判质效数据信息化管理技术，在每月20日前后自动生成各级人民法院的审判质量与效率数据及报表，在数据或报表生成后3日内在法院互联网上公开或更新，并可以下载。对于审判运行态势分析报告、发改案件的质量评查通报可以在每季度或半年的最后一周内在互联网上进行公开，使各级人民法院的审判执行工作情况及法官的工作情况及时公开并接受监督，真正做到审判管理过程公开与结果公开并重，过程监督与结果监督并举，实现审判管理信息公开的常态化与现代化。3、合理保护当事人的隐私并防止泄露司法秘密。①司法秘密包括工作秘密和审判秘密。工作秘密是指机关单位在公务活动及内部管理中产生的，不属于国家秘密，泄露后可能危及国家安全、公共安全、经济安全和社会稳定，在一定时间内只限一定范围人员知悉的事项。②审判秘密的规范主要见于1990年最高法院的《关于保守审判工作秘密的规定》，所规定的审判秘密主要包括：审判、执行合议庭合议情况，包括合议案件的个人意见和内容；合议庭合议案件的笔录；主管院领导召集相关人员或庭室人员对案件处理的请示或报告函件；上级人民法院或主管领导对案件处理的意见等。从上述规定来看，审判秘密主要是指案件在处理过程中的意见。为了保护当事人的隐私，对于合议庭讨论案件情况、审判委员会讨论案件情况采取依据当事人申请进行公开的做法，当事人不申请的，讨论结果可以通过庭审公开宣判及裁判文书公开的形式进行公开。对于上下级法院关于案件审理的规范性意见，因为具有普遍适用性，可以在各级法院互联网站上进行公开。对于发回重审及改判案件的质量评查报告，因为涉及对案件的定性及定量问题，对于一、二审法院及社会各界具有重要参考价值，因此应当在评查案件生效后将评查报告由二审法院在互联网站上进行公开。这样做有四个优点：一是便于指导全国各地法院法官及律师进行交流和办案；二是利于统一司法尺度；三是便于学术界及时研究法院裁判中的新情况及新问题，掌握实证素材；四是利于倒逼机制作用的发挥，促进司法公正。因为通过发改案件评查通报的公开，当事人及社会可以实时对一、二审裁判不同的原因进行监督指正，使一审、二审法官必须公平公正。为了保护当事人的隐私，按照裁判文书公开的要求，发改案件的评查通报应对涉及当事人隐私的信息进行技术处理，但要对一、二审裁判不同的原因要进行彻底公开。4、建立审判管理信息查询及救济机制。审判管理信息查询机制的建立是进一步公开审判管理信息的要求。需要查询的往往是不适合全部公开的内容，如审判委员会对案件的讨论过程及合议庭评议案件的过程。由于合议庭讨论意见的过程及审判委员会讨论案件的过程不适合全部公开，因为大陆法系普遍认为评议秘密是法院独立的守护神，评议保密原则主要是保密过程而不是结果。①为了保护法官评议的独立性，并避免遭受当事人的报复，在公开合议庭讨论意见及审判委员会讨论意见时，可以建立许可查询机制，当事人或诉讼参与人可以申请查询或复制抄录，但法院应对可公开的内容进行整理加工，在审判委员会讨论后、合议庭评议后制作统一样式的讨论或评议意见书，载明多数意见及少数意见，并附具体理由。但不能具体讲明是哪个法官的意见，这样就能最大限度地公开审判委员会及合议庭对案件讨论或评议的结果。一审案件，由当事人向一审法院审判管理部门查询相关讨论内容，二审案件，由当事人向二审法院审判管理部门进行查询，一、二审法院对查询要求应当在案件审结后一周内进行答复，对于故意拖延或不给予查询的，应追究相关管理人员的工作责任。对于法院调整及变更案件审理期限的各类信息（即所谓“四项案件”信息）②，当事人可以在各级法院的互联网上进行查询，也可以直接到法院进行查询。人民法院应当主动向相关当事人公开此类信息。法院应当研发信息公开平台，在诉讼中将各流程节点情况以短信形式第一时间告知案件当事人。对于认为不应当办理审理期限暂时停止计算、延长、中止、中断的，当事人可以向相关法院进行投诉，并要求纠正对审理期限不当计算的错误行为。因为审理期限的长短直接关系到诉讼成本和当事人的利益，当事人应有权进行监督。相关法院审判管理部门必须在短期内（如一周内）做出书面答复，如当事人对答复不满意，可以向上级法院审判管理部门进行申诉，由上级法院审判管理部门做出终局决定。

四、结语

篇11

关键词：网络安全;网络系统

引言：企业网络安全已成为当今值得关注的问题，它的重要性是不言而喻的，黑客窃取企业的网络数据，甚至破坏其网络系统，更加具有现实和长远的商业价值。因此，如何保障企业网络的安全变得重要起来。

1.企业网络现状分析

公司的发展壮大使其企业布局发生了巨大的变化。随着公司发展，需要重新规划：其网络结构。存在着远端数据收集困难，病毒威胁、黑客入侵、垃圾和病毒邮件威胁，带宽利用率低等

问题。

（1）病毒威胁，病毒是网络安全最大威胁，每年给各种企业带来的损失巨大，使所有企业都对病毒“谈毒色变”。

（2）ARP攻击威胁，ARP本是网络体系结构中的一个协议，这个协议关系到计算机网络通信必不可少的两个地址IP与MAC地址的转换功能。

（3）通过网络方式泄露企业机密，造成企业损失。网络在成为羲要交流工具的同时也成了重要的泄密渠道。

2.企业局域网安全防范方案

（1） 防火墙技术安全配置。网络防火墙技术是一种用来加强网络之间访问控制，防止外部网络用户以非法手段通过外部网络进入内部网络，访问内部网络资源，保护内部网络操作环境的特殊网络互联设备。它对两个或多个网络之间传输的数据包如链接方式按照一定的安全策略来实施检查，以决定网络之间的通信是否被允许，并监视网络运行状态。防火墙设置在不同网络或网络安全域之间信息的唯一出入口。包过滤防火墙工作在网络层上，有选择的让数据包在内部网络与外部网络之间进行交换。一般利用IP和TCP包的头信息对进出被保护网络的IP包信息进行过滤，能根据企业的安全政策来控制（允许、拒绝、监测）出入网络的信息流。同时可实现网络地址转换（NAT）、审记与实时告警等功能。服务防火墙也有一定功效，是一种增加了安全功能的应用层网关，位于internet和intranet之间，自动截取内部用户访问internet的请求，验证其有效性，代表用户建立访问外部网络的连接。服务器在很大程度上对用户是透明的，如果外部网络个站点之间的连接被切断了，必须通过服务器方可相互连通。

（2）攻击检测技术及方法。网络系统的安全性取决于网络系统中最薄弱的环节，所以要及时发现并修正网络中存在的弱点和漏洞。网络安全检测工具通常是一个网络安全性评估分析软件，其功能是用实践性的方法扫描分析网络系统，检查报告系统存在的弱点和漏洞，建议补救措施和安全策略，达到增强网络安全性的目的。这样，防火墙将得到合理配置，内外WEB站点的安全漏洞减为最低，网络体系达到强壮的耐攻击性，对网络访问做出有效响应，保护重要应用系统（如财务系统）数据安全不受黑客攻击和内部人员误操作的侵害。入侵检测系统是根据已有的、最新的和可预见的攻击手段的信息代码对进出网络的所有操作行为进行实时监控、记录，并按制定的策略实行响应（阻断、报警、发送E-mail），一般包括控制台和探测器，也不会对网络系统性能造成多大影响。

（3）审计与监控技术实施。由于企业需要的是一个非常庞大的网络系统，因而对整个网络（或重要网络部分）运行进行记录、分析是非常重要的，它可以让用户通过对记录的日志数据进行分析、比较，找出发生的网络安全问题的原因，并可作为以后的法律证据或者为以后的网络安全调整提供依据。审计是记录用户使用计算机网络系统进行所有活动的过程，它是提高安全性的重要工具。它不仅能够识别谁访问了系统，还能看出系统正被怎样的使用。对于确定是否有网络攻击的情况，审计信息对于去定问题和攻击源很重要。同时，系统事件的记录能够更迅速和系统的识别问题，并且它是后面阶段事故处理的重要依据。另外，通过对安全事件的不断收集与积累并且加以分析，有选择性地对其中的某些站点或用户进行审计跟踪，以便对发现或可能产生的破坏提供有力的证据。

（4） 企业局域网防病毒设置。随着网络病毒的泛滥，对于一个局域网来说，以前各扫门前雪的防病毒方式经显得力不从心了，如果仅靠局域网中部分计算机的单机版防病毒软件，根本不可能做到对病毒的及时防御。因此，在局域网中构建一个完整的防病毒体系己经成为当务之急，网络防病毒软件也应运而生。主要面向MAIL、Web服务器，以及办公网段的PC服务器和PC机等。支持对网络、服务器和工作站的实时病毒监控;能够在中心控制台向多个目标分发新版杀毒软件，并监视多个目标的病毒防治情况;支持多种平台的病毒防范;能够识别广泛的已知和未知病毒，包括宏病毒;支持对Internet/ Intranet服务器的病毒防治，能够阻止恶意的Java或ActiveX小程序的破坏;支持对电子邮件附件的病毒防治，包括WORD、EXCEL中的宏病毒;支持对压缩文件的病毒检测;支持广泛的病毒处理选项，如对染毒文件进行实时杀毒，移出，重新命名等;支持病毒隔离，当客户机试图上载一个染毒文件时，服务器可自动关闭对该工作站的连接;提供对病毒特征信息和检测引擎的定期在线更新服务;支持日志记录功能;支持多种方式的告警功能（声音、图像、电子邮件等）等。

为了保护网络的安全性，除了在网络设计上增加安全服务功能，完善系统的安全保密措施外，安全管理规范也是网络安全所必须的。

3.结束语

在信息化时代，网络的安全应用是非常必要的，它将有效防止潜在敌人和不法分子的破坏，有效保护企业机密，降低企业的办公成本。网络安全的发展过程中，我们必须更进一步的开展企业信息安全应用研究。

参考文献：

[1]郭军.网络管理.北京：北京邮电大学出版社，2001

篇12

一、信息技术为现代控制提供了技术平台

1.计算速度快，为实时监控提供了基础

计算机超强的计算能力，大大的减少了信息处理的时间，使得事件的发生和信息的取得几乎同时进行，这为无时滞的实时监控带来了可能。企业管理者希望在每个时段，都可以在事件发生的同时看到潜在的危机和出现的机遇，而当今的信息技术正好为这种应用提供了坚实的基础。

2.计算精度高，实现了对企业生产经营的精密控制

手工状态下，受人的运算、记忆等能力的制约，为了能按时结账、上报报表，只能简化核算方法和核算内容，其结果是降低了所提供信息的精度。而计算机数据处理精确度高，从根本上克服了手工方式的这一缺陷，这一方面表现为生产中精益求精的质量控制，另一方面表现为对管理中独一无二加密数据进行的控制。

3.记忆能力强，确保了对企业的持续控制

在知识经济时代，广泛而长久的储存信息是对信息技术的基本要求。一方面，进行现场处理需要在计算机内保存大量的程序和信息以便随时执行和调用；另一方面，为避免电脑病毒，黑客攻击，自然灾害等带来的损失，维护程序及数据的备份和恢复系统以确保企业的持续运营。

4.逻辑判断能力强，使内部控制趋于智能化

计算机具有逻辑判断能力，从而能自动完成工作。只要人们预先把处理要求，处理步骤，处理对象等必备元素储存在系统内，计算机启动后就可以在不需要人工干预的情况下按预定程序自动完成预定的处理任务。它除了能够避免人工计算可能产生的诸如疲劳、粗心等所导致的各种错误外，还能进一步拓展应用范围，进行诸如资料分类、情报检索、归纳推理等具有逻辑加工性质的工作。

5.传输网络化，使内部控制由分散趋于集中

网络技术最大的便利就在于消除了时空距离。网络用户可以通过网络服务共享信息、协同工作，而不受时间、地理范围的局限，也避免了由于时区不同造成的混乱，这为现代企业的集中控制提供了可能。基于网络技术的现代企业信息系统，比如ERP等，为集中控制的扁平化结构提供了技术基础。

二、信息系统为现代控制提供了应用平台

1.系统整体性，有助于信息整合，是事件驱动型流程控制的基础

整体性是指系统的有机统一性，即整体综合效应大于各个要素功能简单求和的基本特征。事件驱动型系统的优点主要体现在，系统专注于业务事件会促成企业中各职能部门的融合，并促使财务数据和非财务数据融为一体，而所储存的业务活动的多方面细节将能灵活的提供更完整，更有价值的信息。集成存储所有业务数据，而不是存储生成特定用户所必需的数据，减少了数据的重复存储，降低了数据的不一致性。将信息处理嵌入业务过程的集成处理可实现实时控制，促进业务重组，实现处理过程自动化，使人们的注意力从业务流程转移到面向灵活多变的面向决策的任务。

2.系统层次性，有助于分工合作，是划分一般控制、应用控制和专业控制的基础

系统中各个组成要素是按照一定的次序和方式进行的有机组合，而不是杂乱无章的堆积。系统中各组成要素在地位、作用结构与功能上表现出层次性，这为划分一般控制、应用控制和专业控制奠定了基础。

3.系统开放性，有助于适应环境

系统具有不断地与外界环境进行物质、能量、信息交换的性质与功能，系统向环境开放是系统得以存在的条件。系统之对于环境，既不能完全封闭，也不能完全开放。有条件、有选择、有过滤性地向环境开放，既能使系统保持一定的自主性，也能使系统具有应付外来环境变化的灵活性，以利于自身的发展。

三、信息技术环境下会计内部控制存在的新问题

1.交易授权批准缺乏有效控制机制

在信息技术环境下，权限分工的主要形式是口令授权，业务人员可以利用特殊的授权文件或口令，获得某种权利并运行特定程序进行业务处理，一旦泄漏可能引起失控并造成损失。

2.程序化操作使差错反复发生

程序控制处理结构化的基础作业，它的质量好坏直接决定整个内部控制的质量，若应用程序中存在着严重的BUG或恶意的后门，便会严重危害系统安全，并且不易被发现，导致差错的反复发生。

3.数据安全性差

计算机的储存方式是将信息转化为电子形式存储在磁介质之上，而储存在磁介质上的数据极易被篡改甚至伪造且不留痕迹，这给控制带来了一定的难度，同时也给一些不法行为提供了机会。

4.核算软件可审性弱

由于会计电算化制度的不完善，大部分会计核算软件可审性极弱，因而给审计工作带来极大困难。现有的会计核算软件缺乏设立明晰的审计线索的设计思想，不能保证计算机审计监督。

5.网络开放性危害及信息安全

随着信息社会人们对信息质量的要求提高，会计信息系统从封闭型向开放型发展。开放型会计软件以实现广域化和信息一体化为基本特征。而这种充分开放使得一切信息在理论上都可以被访问到。因此网络环境下的信息系统很难避免被非法访问和侵袭，极有可能遭到黑客对信息的非法窃取和病毒对信息的胡乱篡改。这种危险既可能来自内部也可能来自外部，如果对于比较大的企业或者非常重要的政府部门，那么这种信息被窃取或被篡改所带来的损失将会是无法估计的，所以开放式的网络环境威胁到信息的安全，威胁到企业的生存和发展

四、信息技术环境下完善会计内部控制的对策

1.加强会计信息系统内部控制制度体系建设

完善的会计信息系统内部控制制度是确保会计信息系统正常有效运行，实现会计目标的根本保证。企业应从组织控制、授权控制、操作控制等入手，建立健全内部控制制度。

2.提高信息系统开发质量

开发应用系统，除了强调一些技术特征外，更应确保业务活动被正确处理，最大可能地防范风险。在系统设计和开发过程中应加强控制机制的设计，以帮助用户发现或纠正错弊。

3.加强网络安全与防范

网络的开放性使数据信息的不安全性加大，为了加强企业的内部控制，我们必须加强网络的安全性。计算机网络安全从技术角度上来说，主要由防病毒、防火墙、入侵检测等多个安全组件组成，一个单独的组件无法确保网络信息的安全性。目前广泛应用且比较成熟的网络安全技术主要有：防火墙技术、数据加密技术、入侵检测技术、防病毒技术等。

4.网上公正形成三方牵制

由于信息技术环境下原始凭证以数据方式存储，所以不能像手工系统那样对每一张凭证做痕迹检验，可是利用网络技术所特有的实时传输和日益丰富的互联网服务项目，则可以实现原始交易凭证的第三方监控即网上公正。

5.增强核算软件的可审性

在手工系统中，凭证，账簿和报表严格按照一定标准和程序填写登记，所形成的纸质审计线索高度可视，较为有效。但利用信息技术记载和再现原始业务依然可行。核算软件应当增强可审性，方便利用电子审计线索追溯业务的来龙去脉。

由此可见，信息技术环境下的内部控制，挑战与机遇并存，有效地内部控制不在于运用过多的审核人员，而在于利用信息时代的控制哲学与控制技术实现对业务和信息过程的充分控制。信息系统中的内部控制是否设计得当决定了该系统的生死存亡。

参考文献

[1]王晓明.会计信息系统风险管理[J].合作经济与科技,2009,3.

篇13

为了上市审核，有许多文件材料需要印刷，保诺时也不敢在自己的车间里印刷，同样是怕同事知道传来传去导致意外，就怕影响了投下大笔资源和长时间准备的上市计划。保诺时通过辅导上市的服务单位去印刷，他们认为反正只不过几百本中英文上市说明书罢了，不会花多少钱，但是哪知道收到账单，其中的价格让经营合版印刷的保诺时惊讶不已，“印刷竟然还有这么好的利润？”

2013年底，Bloomberg商业周刊介绍了一家在北京的荣大快印店（以下简称“荣大”），其专门提供IPO（首次公开发行股票）财务专项核查需要的印刷业务，估计这家快印店1年的营业额超过数千万元。2013年3月IPO财务专项核查工作自查部分差不多结束的时候，有几百家券商排队到荣大打印核查需要的材料。荣大的业务员称，一份IPO核查报告印刷费用差不多要5000元，2013年约有800家IPO在审企业，这可是半个月进账400万元的生意。

2014年1月，IPO重启的新闻让这项业务引起了商业周刊的注目。

根据券商人士透露，一家公司从最初提交项目申报书到最后被批准，一份申报材料的印刷费用为几万元到几十万元不等。根据媒体报道，IPO企业年年增加，这一领域的印刷规模从2006年的1000多万元成长到2012年的6000万元，每年成长超过100%。荣大宣称他们占有95%以上的市场份额，几千万元的印刷生意为何都跑到荣大去呢？

据说有一两家和证券监管单位关系良好的快印店，试图争取这一美好的生意机会，就是没能成功。

从准备上市的企业的角度观察，整个审核程序需要会计、法律和券商的昂贵服务，上市程序的成本可能就超过2000万元，有任何差错就可能上不了市，严重影响公司形象。几万元的印刷成本在这一重要计划的各项环节里面，可算最重要而成本份额最低的部分，因为上市计划书上面每一个数字都必须有所根据，各类审核材料的格式不同，相同项目的一个数字出现在两个表格上也不能有任何误差。可以想象在送审前一分钟都有细节调整的可能，印刷很简单，但是配合这份报告书的校对作业才是这个印刷生意的专业部分。

和荣大已经合作多年的券商表示，荣大多年积累下来服务这一行业的经验，几乎黏住了所有的券商。

要到荣大印刷，必须穿过北京金灿酒店的大堂，顺着红地毯走一段就会看到“荣大伟业”“券商之家”的招牌，柜台后面穿制服的小姑娘看到你会问“你好，有几位？”

是的，你到荣大得先check-in（登记入住），荣大不仅提供印刷服务，还有印前工作：除了帮忙校对以外，还有原件整理、扫描、复印、编页码、转电子档和刻录光盘。上述核材料的印刷前期准备工作非常复杂如果让客户离开印刷厂去修改，再来印刷，暂且不论时效问题，上市公司避免内线交易的法律困扰以及法上市的风险都存在，“信息安全应该才是IPO核查数据印刷过程中的键点。

审，回前无”关

荣大提供客户工作空间、住宿客房、饮食，还有专业人员帮助加班赶工，直到印刷工作完成为止。到柜台check-in、check-out（付账离开）和一般住宿饭店类似，只是收费的项目不同。

荣大将印前服务人员分成A、B、C三个等级，新进人员培训几个月才能排班列队成为C级印前服务专员，然后经过时间和经验的积累才能升级。等级的差别在于对IPO核审材料和程序的了解程度，等级越高对客户的帮忙越有效益，当然也反映在荣大的账单上。对于分秒必争的高价值IPO作业，印刷是整体服务的最后一段罢了，难怪其他快印店无法从荣大手上抢走印刷生意。

凭借完整的一条龙服务，荣大几乎不需要宣传就能掌握大部分IPO印刷业务的市场份额。其母公司荣大伟业商贸有限公司，于2013年初就开始设立另一家公司，专门从事IPO咨询和品牌传播等各种财经咨询服务业务，让这项印刷黏住的专业横向发展。

在行业内，荣大被称为“离上市最近的快印店”，商业周刊的记者询问值班经理“是否有荣大的宣传册？”，其得到的回答是“我们没有宣传册，有的是行业内的口碑！”

听说世界级的制造大款富士康的毛利少于1%，但是她有上千亿元的营业额，毛利也还是有几亿元呢。假设在某一产品或服务上，我们能做到比富士康更优秀、更有效益，也还是无法和富士康竞争，因为没有20%的毛利，一家企业根本无法生存呀！

由于通讯发达，今天大公司经由网络轻易可触及任何边远地区的客户，大众市场上小企业已经没有立足的余地，只有专业领域还有可能。

篇14

关键词：计算机网络安全； 网络安全威胁； 网络安全防范措施； 网络安全技术； 网络安全管理

中图分类号：TN91934文献标识码：A文章编号：1004373X(2012)04010904

Analysis of computer network security

PENG Shasha, ZHANG hongmei, BIAN Dongliang

(Science College, Air Force Engineering University, Xi’an 710051, China)

Abstract： Computer network security (CNS) is a prerequisite to promote the development of network healthily. Based on the analysis of causes against CNS and threats that confront the network security, the specific methods and measures to protect computer network are proposed in two aspects of technology and management. The technologies of firewalls, access control, network antivirus, data encryption, disaster recovery are introduced. The security principles, implementation methods and application fields of the new technologies such as intrusion detection system technology (IDS), virtual private network (VPN) technology and cloud security are elaborated emphatically.

Keywords： computer network security; network security threat; network security measures; network security technology; network security managemen

收稿日期：20110909

基金项目：军内武器系统科研项目(KJ2010182)；陕西省电子信息系统综合集成重点实验室基金资助项目(201107Y16)0引言

随着计算机网络的普及和发展，网络的运用已经渗透到各个领域。信息社会，人们对网络的依赖程度也日益加深，但随着网络迅速的发展，网络安全俨然已经成为一个潜在的巨大问题。在网络发展的大好前景下，网络信息安全为其笼罩上了一片乌云。虽然我国的计算机制造业有了很大进步，但是其核心部件的制造技术仍然是很薄弱的。计算机软件的开发和研制也同样受到国外市场的垄断，尤其是操作系统，所以我国目前运用着大量来自境外的计算机软、硬件，这就使得我国的网络安全问题不得不警钟长鸣。

1计算机网络安全

网络安全是一门涉及计算机科学、网络技术、通信技术、密码技术、信息安全技术、应用数学、数论、信息论等多种学科的综合性学科 。国际标准化组织（ISO）定义是指网络系统的硬件、软件及其系统的数据受到保护,不受偶然的或者恶意的原因而遭到破坏、更改、泄露,系统连续可靠正常的运行,网络服务不中断。主要涉及了机密性、完整性、可用性、可审性、真实性、可控性、抗否认性等属性造成网络安全问题的原因。

1.1网络最初设计的理念

网络发展的早期，人们更加看重、强调的是网络的方便性和可用性，却忽略了网络的安全性。那时，网络的使用仅限于一个很小的范围，因此网络安全并没有被重视。但是随着科学技术的发展，以及人类需求的更新，网络克服了地理上的限制，把分布在一个个小范围内的网络分支，成功地联系起来，直至遍布全世界。由于网络的关联性导致此时在传送敏感性信息时，信息的安全就受到了极大的威胁。同时，各类网络产品都是在基础网络协议上发展起来的，或多或少都存在有安全隐患。

1.2网络的开放性

因特网最根本的特征就是开放性，整个因特网就是建立在自由开放的基础上的。当今网络的资源日益广泛应用，同时也为黑客的倾入提供了可乘之机。资源共享与网络安全之间的矛盾也日尖锐化。

1.3网络的控制管理性变差

随着网络遍布全世界，私有网络也因需求不可避免地与外部公众网直接或者间接地联系起来。由于网络的关联性，导致只需攻击网络链条中最薄弱的一个环节就可以使整个安全体系崩溃。从而使网络的运行环境更加复杂化，可控性急剧降低，网络安全性也变差。

2网络安全面临的威胁

现如今，网络所面临的威胁是多方面的，不仅仅是对网络信息的威胁，同样也包括网络设施。总结起来可分为3点：一是人为的疏忽大意，如操作员因配置不当造成安全漏洞，例如，防火墙的配置不当，就会给外来的攻击创造机会，用户安全意识不强，口令选择不慎，或者不及时地更新防护系统，都会造成网络安全的威胁；二是人为恶意攻击，可分为主动攻击与被动攻击，主动攻击是指攻击者通过修改、删除、延迟、复制、插入一些数据流，有目的财破坏信息，可以归纳为中断、篡改、伪造、拒绝服务4种。被动攻击则是对信息进行截获，偷听或者监视，主动攻击时比较容易被发现，但是被动攻击则很难被发现；三是网络软件的漏洞和“后门”，软件在设计和编程时，难免都会有漏洞，这就成了黑客下手攻击的对象，同时，软件开发人员为了便于维护而设置的软件“后门”，也可能成为网络安全的很大隐患；四是管理不当，造成网络设施无意或恶意的损坏。

3网络安全的防御措施

网络安全是一项复杂的工程，它涉及了技术、设备、管理使用及立法制度等各个方面的因素。想要很好地实现信息安全，就必须形成一套完备的网络信息安全体系，使得技术、设备、管理使用及立法制度等方面因素协同发展，缺一不可。

3.1传统技术

3.1.1防火墙

防火强是一种专属的硬件，也可以是架设在一般硬件上的一套软件。在逻辑上，防火墙是一个分离器、限制器和分析器，主要作用是当2个或多个网络之间通信时，防火墙能起到控制访问的尺度，过滤信息。常见的防火墙类型有包过滤型、应用型、网络地址转换的NAT和监测型。 防火墙的运用可最大限度地提高内外网络的正常运行，但是不能防止从LAN内部的攻击，这也就成了防火墙最大的局限性。同时，随着技术的发展，一些破译的方法也使得防火墙存在一定的隐患，所以在防火墙的技术上还有待更好的开发。常用的防火墙有天网、瑞星，还有360防火墙等。

3.1.2访问控制技术

提及访问控制技术，就必须提到访问控制技术设计到的3个基本概念及主体、客体和访问授权。主体：可以对其他实体施加动作的主动实体，有时也可称为用户或者访问者，包括用户本身、用户组、终端、卡机，甚至应用服务程序等。客体：接受其他实体访问的被动实体，它可以是信息、文件、记录，也可以是一个处理器、存储器、网络接点等。访问授权：主体对客体访问的允许权，访问授权对每一对的主题和客体是给定的。

访问控制技术是通过设置访问权限来限制访问主体对访问客体的访问，阻止未经允许的用户有意或无意地获取数据的技术。这项技术是网络安全防范和保护的主要策略之一，它的主要任务是保证网络资源不被非法使用和访问。访问控制技术涉及的范围比较广，包括：入网访问控制、网络权限控制、目录级控制以及属性控制等多种手段。

3.1.3网络防病毒技术

计算机病毒可以是一个程序，也可以一段可执行码，能破坏计算机的正常运行，使之无法正常使用，甚至使整个操作系统或者硬盘损坏，它们就像生物病毒一样，同样可以大量自我复制并传播，造成大面积的计算机网络安全问题。

防病毒技术根据计算机网络病毒的作用来讲，可分为病毒防御技术、病毒检测技术、病毒清除技术等。网络大都采用ClientServer的工作模式，需要从服务器和工作站2个结合方面解决防范病毒的问题。随着计算机网络技术的发展，网络防病毒技术的发展也将日新月异，其发展方向可大致以下述几种为主：网络操作系统和应用程序集成防病毒技术、集成化网络防病毒技术、网络开放式防病毒技术等。建立起一套全方位、多层次的防病毒系统，并及时进行系统升级，以确保网络免于病毒的侵袭。

3.1.4数据加密技术

数据加密技术是指在数据传输时，对信息进行一些形形的加法运算，将其重新编码，从而达到隐藏信息的作用，使非法用户无法读取信息内容，有效保护了信息系统和数据的安全性，是网络安全核心技术之一。数据加密技术可在网络OSI7层协议的多层实现，从加密技术应用的逻辑位置看，常用的数据加密方式有：链路加密（网络层以下的加密）、节点加密（协议传输层上的加密）、端对端加密（网络层以上的加密）等。按照不同的作用，数据加密技术可以分为：数据存储、数据传输、数据完整性的鉴别以及密钥管理技术等。

信息的加密算法或是解密算法都是在一组密钥控制下进行的。根据加密密钥和解密密钥是否相同，可将目前的加密体制分为2种：一种是当加密密钥与解密密钥对应相同时，称之为私钥加密或者对称加密体制，典型代表是美国的数据加密标志（DES）；另一种是加密密钥与解密密钥不相同，通称其为公钥或者非对称加密。这种加密方式，加密密钥是可以公开的，但是解密密钥则是由用户自己持有的，典型代表为RSA体制。

在目前的数据加密系统中，对信息的安全性保护，主要取决于对密钥的保护，而不是对系统和硬件本身的保护，所以密钥的保密和安全管理在数据系统中是极其重要的。

3.1.5容灾技术

信息时代，数据越来越突出，数据的安全性更是影响一个机构发展的生存关键。如何使数据在灾难发生时不丢失，保障服务系统尽快正常运行，容灾技术将成为解决这一问题的能手。

提及容灾技术就必须提出灾难，即一切影响计算机正常工作的事件都称为灾难，包括：自然灾害、设备故障、人为破坏等。容灾就是在上诉灾难发生时，在保证生产系统的数据尽量少丢失的情况下，保持生产系统的业务不间断运行。

容灾的评价指标公认为：RPO（针对数据丢失）、RTO（针对服务丢失）。从其对系统的保护分类来说，可将容灾分为数据容灾和应用容灾。数据容灾就是建立一个异地的数据系统，该系统是本地关键应用数据的一个实时恢复；应用容灾是在数据容灾的基础上，在异地建立一套完整的与本地生产系统相当的备份应用系统。在灾难发生后，将应用迅速切换到备用系统，使生产系统的业务正常运行。

3.2新型技术

3.2.1入侵检测系统技术（IDS）

入侵检测技术是继“防火墙”之后，近10年来新一代网络安全保障技术，在很大程度上它弥补了防火墙的不足。它是通过对网络或者计算机系统中若干关键点收集信息并分析，检测其中是否有违反安全策略的行为，是否受到攻击，能够有效地发现入侵行为合法用户滥用特权的行为，是一种集检测、记录、报警、响应技术，能主动保护自己免受攻击的动态网络安全策略，也是P2DR的核心部分。

虽然目前很多“防火墙”都集成有入侵检测的模块，但是由于技术和性能上的限制，与专业的入侵检测系统还是无法相比的。专业的入侵检测系统是一种积极主动的网络安全防护工具，提供了对内部、外部攻击和误操作的实时防护，在网络系统受到危害之前拦截相应入侵。目前入侵检测系统常用的入侵检测方法包括：特征检测、异常检测、状态检测、协议分析等。

同时入侵检测系统也存在着一些问题，比如误报；再比如，当受到精巧及有组织的攻击时，要找出这样复杂的攻击是有难度的。从总体上来讲，入侵检测系统的发展趋势可以概括为分布式入侵检测与CIDF、应用层入侵检测、智能层入侵检测、与网络安全其他相结合的入侵检测、建立入侵检测系统评价体系。由于入侵检测系统存在的弊端，已经不能满足网络的发展需求，今后的入侵检测技术主要朝着以下几个方面发展：智能化入侵检测、大规模分布式入侵检测、应用层入侵检测、分布式入侵检测与通用入侵检测等。

3.2.2虚拟专用网（VPN）技术

虚拟专用网（Virtual Private Network,VPN）是一种基于公共数据网，给用户一种直接连接到私人局域网感觉的服务。VPN技术是依靠Internet服务提供商（ISP）和其他网络服务提供商（NSP），在公用网络中建立专用的数据通信网络技术。在虚拟专用网中，任意两个节点之间的连接并没有传统专用网所需的端到端的物理链路，而是利用某种公众网的资源动态组成的。按照实现技术不同，VPN可分为PPTP(PointtoPoint Tunneling Protocol)，L2TP(Layer 2 Tunneling Protocol)，MPLS(MultiProtocol Label Switch)，IPSec(Internet Protocol Security)及SSL(Secure Sockets Layer) 等。

虚拟专用网的作用很多，比如：实现网络安全，简化网络设计，降低成本，容易扩展，连接灵活，完全控制主动权等等。在此主要探讨它的安全性，虚拟专用网大多传输的是私有信息，所以用户数据的安全性就更为关注。目前，VPN主要采用四项技术来保证信息安全，分别是隧道技术、加解密技术、密钥管理技术、使用者与设备身份认证技术。通过这些技术能有力地抵制不法分子篡改、偷听、拦截信息的能力，保证数据的机密性。

3.2.3云安全

云安全是网络时代信息安全的最新体现，随着云计算成为了网络发展的热门话题，相继提出了“云安全”的概念。

云计算是一个新兴的商业计算模型，是分布式处理、并行处理和网络计算的发展，是一种基于互联网的超级计算模式。它利用高速互联网的传输能力，将数据的处理过程从个人计算机或服务器移到互联网上的超级计算机集群中。云计算是一个虚拟的计算资源池，它通过互联网为用户提供资源池内的计算资源。对用户而言，云计算具有随时获取、按需使用、随时扩展、按使用付费等优点。同时，云计算具有效益好、经营集约化、设备利用率高、节能降耗、服务后台化、货币化、即时化、弹性化等等诸多特点。

随着云计算的日渐推广和普及，云计算安全的问题也逐渐浮出水面。和传统的安全风险不同，在云计算中恶意用户和黑客都是云端互动环节攻击数据中心的，其具体变现有信息体的伪造、编造、假冒以及病毒攻击等等，并且这些危害不仅仅是发生在服务定制和交付这2个出入口，还贯穿于服务的组织、加工、整理、包装过程中。

与之相对应的，提出了云安全概念。云安全通过网络的大量客服端对网络中软件行为的异常监测，获取互联网中木马、恶意程序的最新信息，推送到服务端进行自动分析和处理，再把病毒和木马的解决方案分发到每一个客服端。云安全技术应用后，识别和查杀病毒不再仅仅依靠本地硬盘中的病毒库，而是依靠庞大的网络服务，实时即时采集、分析以及处理。

云安全的概念提出后，曾引发了广泛的争议，许多人认为它是伪命题，但是随着各大公司运用云安全技术实现了新一代的查杀概念，云安全技术成为了不争的事实。但同时，由于云安全仍然是门较新的技术，所以还存在许多问题需要深入的探究、解决并且依靠时间来证实。

3.3管理使用及立法

“三分技术七分管理”，一直都是安全界的名言，网络安全管理也不例外，即使有了再好的技术，没有妥善的管理措施和立法保护措施，网络安全同样也会受到不小的威胁。只有当安全技术和计算力安全管理措施紧密结合，才能使计算机网络安全达到最好成效。

3.3.1对设备的管理

计算机机房应设在适宜的环境下，以保证计算机系统的安全性和可靠性。同时要注意机房的温度、湿度、空气清洁度、虫害、震动、冲击以及电气干扰等方面，都要有相应的标准。机房不但能抵制自然灾害的侵略，同时也要能防范人为地破坏。定期对机房周边，机房和计算机设备进行检查，确保外在安全无隐患。

3.3.2开展网络安全教育和网络道德教育，增强网络安全防范意识仅仅通过技术来解决网络安全问题，是不够的，只有增强了网络安全防范意识，才能使网络安全发挥到最大效能。

培养网络安全意识，就是通过对网民及网络管理人员开展网络安全普及教育，使人们意识到网络安全的重要性，了解并掌握一定的网络安全防范措施。经过定期的网络自查和安全更新，就能排除一些不良的网络安全威胁。比如，及时打好系统补丁、使用杀毒软件进行计算机病毒查杀、不得使用各类移动存储设备在互联网和内网之间传播不安全程序、文件等。

在网络道德教育方面，目前俨然已成为网络安全管理一个很重要的环节。由于计算机技术的大力发展，网络犯罪已日趋恶劣化、低龄化、复杂化、广泛化、损失严重化。所以通过教育宣传等手段来增强人们网络道德观，提高他们对网络不良文化和违法行为的免疫力、抵制力。尤其是在中学生中，一定要重视这一问题的教育，提早让学生对网络信息有着正确的判断分析能力。

3.3.3严格制定并遵守网络安全规章制度

遵照国家和本部门相关信息安全的技术标准和管理规范，针对本部门专项应用，对信息管理和对系统流程的各个环节进行安全评估，设定安全应用等级，明确人员职责，制定安全规章制度的分步实施方案，要求相关人员严格遵守操作，达到安全和应用的科学平衡。

3.3.4完善网络安全立法，加强网络法律监管

我国目前已经出台了多项有关网络安全的法律，但是与网络发展的速度相比还是相对滞后的，而且现有的法律大多过于庞杂，其间的协调性和相通性也不够，缺乏系统规范性和权威性。因此加快制定和完善网络安全的相关法律是迫在眉睫的。在制定网络安全相关法律时，可以借鉴国外成功的经验，与国际有关的法律法规相接轨，并结合我国的实际情况，趋利避害，最终既定出一套适用于我国的网络安全法律。

仅仅有了网络法是不够的，还必须加强网络法律的监管力度。建立一支高素质的网络执法队，使其熟练掌握网络信息技术、安全技术，能够在第一时间内发现不法的网络犯罪行为，提高执法效率。加大网络违法犯罪的处罚力度，查封和大力打击网络有毒、有害的信息，定时整顿网络的秩序。让网络安全相关法律也真正做到“有法可依，有法必依，执法必严，违法必究”的原则。