企业信息安全管理体系精选(十四篇)

序言：作为思想的载体和知识的探索者，写作是一种独特的艺术，我们为您准备了不同风格的14篇企业信息安全管理体系，期待它们能激发您的灵感。

篇1

关键词：企业信息化；信息安全管理体系；信息安全保障

1 企业信息安全需求与目标

近年来随着企业信息系统建设的不断发展，企业的信息化安全也面临着前所未有的挑战。作为中国高速列车产业化制造基地和城轨地铁车辆定点制造企业，公司的发展对高速动车行业产生着举足轻重的作用；从企业信息安全现状分析，公司IT部门主管深深意识到，尽管从自身情况来看，在信息安全方面已经做了很多工作，如部署了防火墙、SSL VPN、入侵检测系统、入侵防御系统、防病毒系统、文档加密、终端安全管理系统等。但是安全系统更多的在于防堵来自某个方面的安全威胁，无法产生协同效应，距离国际同行业企业还存在一定的差距。

公司通过可行性研究及论证，决定借助外力，通过知名的咨询公司协助企业发现存在的信息安全不足点，以科研项目方式，通过研究国家安全标准体系及国家对央企和上市企业的信息化安全要求，分析企业目前的现状和国际标准ISO27001之间的差距，继而完善企业信息安全体系的规划与设计，最终建立一套适合企业现状的信息安全标准和管理体系。目标是使公司信息安全从管理到技术均得到全面加强，建立一个有责（职责）、有序（秩序）、有效（效率）的信息安全管理体系，预防信息安全事件的发生，确保更小的业务损失，提供客户满意度，获取更多的管理支持。在行业内树立标杆和示范，提升企业形象，赢取客户信任，增强竞争力。同时，使信息安全体系通过信息安全管理体系通过ISO 27001认证标准。

2 企业信息安全管理体系建设过程

凡事预则立，不预则废。对于信息安全管理建设的工作也先由计划开始。信息安全管理体系建设分为四个阶段：实施安全风险评估、规划体系建设方案、建立信息安全管理体系、体系运行及改进。也符合信息安全管理循环PDCA（Plan-Do-Check-Action）模型及ISO27001要求，即有效地保护企业信息系统的安全，确保信息安全的持续发展。本文结合作者经验，重点论述上述几个方面的内容。

2.1 确立范围

首先是确立项目范围，从机构层次及系统层次两个维度进行范围的划分。从机构层次上，可以考虑内部机构：需要覆盖公司的各个部门，其包括总部、事业部、制造本部、技术本部等；外部机构：则包括公司信息系统相连的外部机构，包括供应商、中间业务合作伙伴、及其他合作伙伴等。

从系统层次上，可按照物理环境：即支撑信息系统的场所、所处的周边环境以及场所内保障计算机系统正常运行的设施。包括机房环境、门禁、监控等；网络系统：构成信息系统网络传输环境的线路介质，设备和软件；服务器平台系统：支撑所有信息系统的服务器、网络设备、客户机及其操作系统、数据库、中间件和Web系统等软件平台系统；应用系统：支撑业务、办公和管理应用的应用系统；数据：整个信息系统中传输以及存储的数据；安全管理：包括安全策略、规章制度、人员组织、开发安全、项目安全管理和系统管理人员在日常运维过程中的安全合规、安全审计等。

2.2 安全风险评估

企业信息安全是指保障企业业务系统不被非法访问、利用和篡改，为企业员工提供安全、可信的服务，保证信息系统的可用性、完整性和保密性。

本次进行的安全评估，主要包括两方面的内容：

2.2.1 企业安全管理类的评估

通过企业的安全控制现状调查、访谈、文档研读和ISO27001的最佳实践比对，以及在行业的经验上进行“差距分析”，检查企业在安全控制层面上存在的弱点，从而为安全措施的选择提供依据。

评估内容包括ISO27001所涵盖的与信息安全管理体系相关的11个方面，包括信息安全策略、安全组织、资产分类与控制、人员安全、物理和环境安全、通信和操作管理、访问控制、系统开发与维护、安全事件管理、业务连续性管理、符合性。

2.2.2 企业安全技术类评估

基于资产安全等级的分类，通过对信息设备进行的安全扫描、安全设备的配置，检查分析现有网络设备、服务器系统、终端、网络安全架构的安全现状和存在的弱点，为安全加固提供依据。

针对企业具有代表性的关键应用进行安全评估。关键应用的评估方式采用渗透测试的方法，在应用评估中将对应用系统的威胁、弱点进行识别，分析其和应用系统的安全目标之间的差距，为后期改造提供依据。

提到安全评估，一定要有方法论。我们以ISO27001为核心，并借鉴国际常用的几种评估模型的优点，同时结合企业自身的特点，建立风险评估模型：

在风险评估模型中，主要包含信息资产、弱点、威胁和风险四个要素。每个要素有各自的属性，信息资产的属性是资产价值，弱点的属性是弱点在现有控制措施的保护下，被威胁利用的可能性以及被威胁利用后对资产带来影响的严重程度，威胁的属性是威胁发生的可能性及其危害的严重程度，风险的属性是风险级别的高低。风险评估采用定性的风险评估方法，通过分级别的方式进行赋值。

2.3 规划体系建设方案

企业信息安全问题根源分布在技术、人员和管理等多个层面，须统一规划并建立企业信息安全体系，并最终落实到管理措施和技术措施，才能确保信息安全。

规划体系建设方案是在风险评估的基础上，对企业中存在的安全风险提出安全建议，增强系统的安全性和抗攻击性。

在未来1-2年内通过信息安全体系制的建立与实施，建立安全组织，技术上进行安全审计、内外网隔离的改造、安全产品的部署，实现以流程为导向的转型。在未来的 3-5 年内，通过完善的信息安全体系和相应的物理环境改造和业务连续性项目的建设，将企业建设成为一个注重管理，预防为主，防治结合的先进型企业。

2.4 企业信息安全体系建设

企业信息安全体系建立在信息安全模型与企业信息化的基础上，建立信息安全管理体系核心可以更好的发挥六方面的能力：即预警（Warn）、保护（Protect）、检测（Detect）、反应（Response）、恢复（Recover）和反击（Counter-attack），体系应该兼顾攘外和安内的功能。

安全体系的建设一是涉及安全管理制度建设完善；二是涉及到信息安全技术。首先，针对安全管理制度涉及的主要内容包括企业信息系统的总体安全方针、安全技术策略和安全管理策略等。安全总体方针涉及安全组织机构、安全管理制度、人员安全管理、安全运行维护等方面的安全制度。安全技术策略涉及信息域的划分、业务应用的安全等级、安全保护思路、说以及进一步的统一管理、系统分级、网络互联、容灾备份、集中监控等方面的要求。

其次，信息安全技术按其所在的信息系统层次可划分为物理安全技术、网络安全技术、系统安全技术、应用安全技术，以及安全基础设施平台；同时按照安全技术所提供的功能又可划分为预防保护类、检测跟踪类和响应恢复类三大类技术。结合主流的安全技术以及未来信息系统发展的要求，规划信息安全技术包括：

2.5 体系运行及改进

信息安全管理体系文件编制完成以后，由公司企划部门组织按照文件的控制要求进行审核。结合公司实际，在体系文件编制阶段，将该标准与公司的现有其他体系，如质量、环境保护等体系文件，改归并的归并。该修订审核的再继续修订审核。最终历经几个月的努力，批准并实施了信息安全管理系统的文档。至此，信息安全管理体系将进入运行阶段。

有人说，信息系统的成功靠的是“三分技术，七分管理，十二分执行”。“执行”是要需要在实践中去体会、总结与提高。对于信息系统安全管理体系建设更是如此！在此期间，以IT部门牵头，加强宣传力度，组织了若干次不同层面的宣导培训，充分发挥体系本身的各项功能，及时发现存在的问题，找出问题根源，采取纠正措施，并按照更改控制程序要求对体系予以更改，以达到进一步完善信息安全管理体系的目的。

3 总结

总结项目，建立健全的信息安全管理制度是进行安全管理的基础。当然，体系建设过程中还存在不足，如岗位原有职责与现有安全职责的界定，员工的认知及接受程度还有待提高，体系在各部门领导重视程度、执行力度、审核效果存在差距等等。最终，在公司各部门的共同努力下，体系经历了来自国际知名品牌认证公司DNV及中国认可委（CNAS）的双重检验，并通过严格的体系审核。确认了公司在信息安全管理体系达到国内和国际信息安全管理标准，提升公司信息安全管理的水平，从而为企业向国际化发展与合作提供有力支撑。

[参考文献]

[1]沈昌祥.《信息系统安全导论》.电子工业出版社，2003.7.

篇2

【 关键词 】 信息安全；电力企业；风险评估；管理模式

1 引言

在如今的信息化社会中，信息通过共享传递实现其价值。在信息交换的过程中，人们肯定会担心自己的信息泄露，所以信息安全备受关注，企业的信息安全就更为重要了。但是网络是一个开放互联的环境，接入网络的方式多样，再加上技术存在的漏洞或者人们可能的操作失误等，信息安全问题一刻不容忽视。尤其是电力，是国家规定的重要信息安全领域。所以电力企业要把信息安全管理体系的建设，作为重要的一环纳入到整个企业管理体系中去。

2 电力企业信息管理体系建设的依据

关于企业的安全管理体系方面的标准有很多。英国BSI/DISC的BDD信息管理委员会制定的安全管理体系主要包含两个部分内容：信息安全管理实施规则和信息安全管理体系规范。信息安全管理实施规则是一个基础性指导文件，里面有10大管理项、36个执行的目标和127种控制的方法，可以作为开发人员在信息安全管理体系开发过程中的一个参考文档。信息安全管理体系规范则详细描述了在建立、施工和维护信息安全管理体系过程的要求，并提出了一些具体操作的建议。

国际标准化组织也了很多关于信息安全技术的标准，如ISO x系列、ISO/IEC x系列等。我国也制定了一系列的信息安全标准，如GB 15851―1995。

关于企业信息安全管理体系方面的标准众多，如何针对企业自身实际情况选择合适的参考标准很重要，尤其是电力企业有着与其他企业不同的一些特殊性质，选择信息安全体系建设的参考标准更要谨慎。我国电力企业已经引入了一些国际化标准作为建立和维护企业运转的保证，关于信息安全体系的标准也应纳入到保证企业运转的一系列参考中去。电力企业总体应有一致的安全信息管理体系参考标准，但是具体地区的公司又有着本身自己的特殊环境，所以在总体一致的信息安全标准的情况下，也应该根据企业自身地区、人文、政策等的不同制定一些企业内部自己信息安全标准作为建立、实施和维护信息安全管理体系的依据。信息安全管理体系顾全大局又要有所侧重的体现电力企业安全标准的要求。

3 信息安全管理体系里的重要环节

3.1 硬件环境要求

信息安全管理体系并没有特别要求添加什么特别的设备，只是对企业用到的设备做一些要求。电力企业一般采用内外网结合的方式，内外网设备要尽量进行物理隔离。企业每个员工基本都有自己的移动设备，如手机等，为了增加信息安全的系数，企业可以限制公司设备的无线网络拓展。另外，实时监控系统也应该覆盖企业的重要设备，监控硬件设备的安全。

3.2 软件环境要求

在企业设备（主要是计算机）上部署相关软件环境是信息安全管理体系中最重要的部分。比如防病毒软件的部署、桌面系统弱口令监控软件的部署等，以此防止网络攻击或者提高安全系数。另外，企业设备所用系统的安全漏洞修复、数据的加密解密、数据的备份恢复及数据传输通道的加密解密等问题，都在信息安全管理体系设计的考虑范畴。

3.3 企业员工管理

尽管现在一直倡导智能化，但是企业内进行设备等操作的主体还是员工。不管是对设备终端操作来进行信息的首发，还是对企业软硬件系统进行维护工作，都是有员工来进行的。所以，对企业内部员工进行信息安全培训，提高员工的信息安全防范意识，让员工掌握一定的信息安全防范与处理手段是非常重要的事情。针对不同的职位，在员工上岗前应该进行相关的信息安全方面的培训，然后对培训结果进行考核，不合格的人员不准上岗。在岗的人员也要定期进行培训与考核。另外，如果有条件的话，企业应该定期（例如每年）进行一次信息安全的相关演习。

另外，电力企业有些项目是外包给其他相应公司的，这时候会有施工人员和驻场人员在电力企业，对这些人员也应该进行电力企业信息安全的培训。

3.4 信息安全管理体系的风险系数评估

风险评估在信息安全管理体系中是确定企业信息安全需求的一个重要途径，它是对企业的信息资产所面临的威胁、存在的弱点、造成的影响，以及三者综合作用下所带来的风险可能性的评测。风险评估的主要任务是：检测评估对象所面临的各种风险，估计风险的概率和可能带来的负面影响的程度，确定信息安全管理体系承受风险的能力，确定不同风险发生后消减和控制的优先级，对消除风险提出建议。在信息安全管理体系的风险系数评估过程中，形成《风险系数评估报告》、《风险处理方案》等文档，作为对信息安全管理体系进行调整的参考。风险系数的评估要尽可能全面的反映企业的信息安全管理体系，除了常规手段，也可以使用一些相应的软件工具的结果作为参考。另外很值得注意的是企业的员工对风险的理解，企业员工对他们所操作的对象有比较深刻的理解，对其中可能存在的不足也有自己的见解，在风险系数评估的过程中，可以进行一些员工的问卷调查等，把员工对风险的认识纳入风险评估的考虑范畴。

企业的设备会老旧更换，员工也会更换，所以企业的信息安全是动态的，因此风险评估工作也要视具体情况定期进行，针对当前情况作评估报告，然后制定相应的风险处理方案。还有，之所以要建立信息安全管理体系，其中很重要的一点就是体系内各个模块的结合，信息安全管理体系的风险评估与关键内容的实时监控就应该结合起来。

为了降低信息安全管理体系的风险系数，提升信息安全等级，要做的工作很多。渗透测试就是其中很有必要的一项工作。渗透测试是测试人员通过模拟恶意攻击者的攻击方式，来评估企业计算机网络系统安全的一种评测方法。这个测试过程会对系统的可知的所有弱点、技术方面的缺陷或者漏洞等作主动的分析。渗透测试对于网络信息安全的组织具有实际应用价值。随着技术的不断进步，可能还会出现其他的更有价值的信息安全技术，作为信息安全备受瞩目的电力企业，应当时刻关注相关技术的进展，并及时将它们纳入企业信息安全管理体系中来。

3.5 信息安全管理体系的管理模式

文章前面提到企业信息安全是动态的，所以信息安全管理体系需要建立一个长效的机制，针对最新的情况及时对自身作出调整，使信息安全管理体系有效的运行。现在一般会采用PDCA循环过程模式：计划，依照体系整个的方针和目标，建立与控制风险系数、提高信息安全的有关的安全方针、过程、指标和程序等；执行：实施和运作计划中建立的方针、过程、程序等；评测：根据方针、目标等，评估业绩，并形成报告，也就是文章前面说到的风险系数评估；举措：采取主动纠正或预防措施对体系进行调整，进一步提高体系运作的有效性。这四个步骤循环运转，成为一个闭环，是信息安全管理体系得到持续的改进。

4 重要技术及展望

4.1 安全隔离技术

电力企业的信息网络是由内外网两部分组成，从被防御的角度来看的话，内网的主要安全防护技术为防火墙、桌面弱口令监控、入侵检测技术等；而主动防护则主要采用的是安全隔离技术等。安全隔离技术包括物理隔离、协议隔离技术和防火墙技术。一般电力企业采用了物理隔离与防火墙技术，在内网设立防火墙，在内外网之间进行物理隔离。

4.2 数据加密技术

企业的数据在传输过程中一般都要进行加密来降低信息泄露的风险。可以根据电力企业内部具体的安全要求，对规定的文档、视图等在传输前进行数据加密。尤其是电力企业通过外网传输的时候，除了对数据进行加密外，还应该在链路两端进行通道加密。

4.3 终端弱口令监控技术

终端设备众多，而且是业务应用的主要入口，所以终端口令关乎业务数据的安全以及整个系统的正常运转。如果终端口令过于简单薄弱，相当于没有设定而将设备暴露。终端的信息安全是电力企业信息安全的第一道防线，因此采用桌面系统弱口令监控技术来加强这第一道防线的稳固性对电力企业的信息安全非常重要。

电力企业信息安全管理体系是一个复杂的系统，包含众多的安全技术，如数据备份及灾难恢复技术、终端安全检查与用户身份认证技术、虚拟专用网技术、协议隔离技术等。凡是与信息安全相关的技术，电力企业都应当关注，并根据企业自身的情况决定是否将之纳入到信息安全管理体系中去。

智能化已成为不管是研究还是社会应用的热门词汇。电力企业的信息安全管理体系是否可以智能化呢？不妨做一个展望，电力企业的信息安全管理体系有了很强的自我学习与自我改进的能力，在信息安全环境越来越复杂，信息量越来越庞大的情况下是否会更能发挥信息安全管理体系的作用呢？这应该是值得期待的。

5 防病毒软件部署

电力企业信息安全管理体系有很多软件系统的部署，如防病毒软件部署、桌面弱口令监控系统部署、系统安全卫士部署等。但是它们的部署情况类似，这里用防病毒软件的部署来展示电力企业信息安全管理体系中软件系统的部署情况。如图1所示为防病毒软件的部署框架。

杀毒软件种类有很多，这里以赛门铁克杀毒软件为例。企业版的赛门铁克防病毒软件系统相比单机版增加了网络管理的功能，能够很大程度地减轻维护人员的工作量。为了确保防病毒软件系统的稳定运行，在电力企业内部正式使用时，尽量准备一立的服务器作为防病毒软件专用的服务器。

服务器安装配置好赛门铁克防病毒软件后，可以远程控制客户端与下级升级服务器的软件安装与升级。

电力企业内网可能是禁止接入外网的，这样的话，防病毒软件的更新可能无法自动完成。防病毒软件需要升级的时候，维护人员在通过外网在相应网址下载赛门铁克升级包，然后通过安全U盘拷贝到防病毒软件系统专用服务器进行升级操作。在图1中，省电力公司的防病毒管理控制台获得升级包可以下发给下级升级服务器和客户端进行防病毒软件系统的自动升级更新。图1是一个简单的框图，如果电力企业的内网规模很大的话，还可以更多级地分布部署。

6 结束语

电力企业的信息安全与企业的生产与经营管理密切相关，是企业整个管理系统的一部分。信息安全管理体系是一个整体性的管理工作，把体系中涉及的内容统一进行管理，让它们协调运作，实现信息安全管理体系的功能。电力企业信息安全的建立与体系不断的改进定能稳定、有效地维护企业的信息安全。

参考文献

[1] 王志强，李建刚.电网企业信息安全管理体系建设[J].浙江省电力公司，2008，6（3）：26-29.

[2] 陈贺，宫俊峰.浅析信息安全体系如何建立[J].中国管理信息化，2014，17（1）：74-76.

[3] 郭建，顾志强.电力企业信息安全现状分析及管理对策[J].信息技术，2013（1）：180-187.

[4] 沈军.火力发电厂信息你安全体系构建与应用[J].电力信息通信技术，2013，11（8）：103-108.

[5] 左锋.信息安全体系模型研究[J].信息安全与通信保密，2010，01（10）：68-71.

[6] 杨柳.构建供电企业信息安全体系[J].电脑知识与技术，2005（29）.

[7] 曹鸣鹏， 赵伟， 许林英. J2EE技术及其实现[J]. 计算机应用，2001， 21（10）： 20-23.

[8] 江和平.浅谈网络信息安全技术[J].现代情报学，2004（14）：125-127.

作者简介：

崔阿军（1984-），男，甘肃平凉人，硕士研究生，工程师；主要研究方向和关注领域：电力信息通信安全技术研究。

张驯（1984-），男，江苏扬州人，本科，工程师；主要研究方向和关注领域：电力信息通信安全技术研究。

李志茹（1984-），女，山东平度人，硕士研究生，工程师；主要研究方向和关注领域：信息化建设及安全技术。

龚波（1981-），男，湖南新邵人，本科，工程师；主要研究方向和关注领域：电力信息化建设及安全技术。

篇3

【关键词】信息安全 管理 控制 构建

1 企业信息安全的现状

随着企业信息化水平的提升，大多数企业在信息安全建设上逐步添加了上网行为管理、内网安全管理等新的安全设备，但信息安全防护理念还停留在防的阶段，信息安全策略都是在安全事件发生后再补救，导致了企业信息防范的主动性和意识不高，信息安全防护水平已经越来越不适应当今企业IT运维环境和企业发展的需求。

2 企业信息系统安全防护的构建原则

企业信息化安全建设的目标是在保障企业数字化成果的安全性和可靠性。在构建企业信息安全体系时应该遵循以下几个原则：

2.1 建立企业完善的信息化安全管理体系

企业信息安全管理体系首先要建立完善的组织架构、制定信息安全管理规范，来保障信息安全制度的落实以及企业信息化安全体系的不断完善。基本企业信息安全管理过程包括：分析企业数字化资产评估和风险分析、规划信息系统动态安全模型、建立可靠严谨的执行策略、选用安全可靠的的防护产品等。

2.2 提高企业员工自身的信息安全防范意识

在企业信息化系统安全管理中，防护设备和防护策略只是其中的一部分，企业员工的行为也是维护企业数字化成果不可忽略的组成。所以企业在实施信息化安全管理时，绝对不能忽视对人的行为规范和绩效管理。在企业实施企业信息安全前，应制定企业员工信息安全行为规范，有效地实现企业信息系统和数字化成果的安全、可靠、稳定运行，保证企业信息安全。其次阶段递进的培训信息安全人才也是保障企业数字化成果的重要措施。企业对员工进行逐次的安全培训，强化企业员工对信息安全的概念，提升员工的安全意识。使员工的行为符合整个企业信息安全的防范要求。

2.3 及时优化更新企业信息安全防护技术

当企业对自身信息安全做出了一套整体完善的防护规划时，就应当考虑采用何种安全防护技术来支撑整个信息安全防护体系。对于安全防护技术来说可以分为身份识别、网络隔离、网络安全扫描、实时监控与入侵发现、安全备份恢复等。比如身份识别的目的在于防止非企业人员访问企业资源，并且可以根据员工级别分配人员访问权限，达到企业敏感信息的安全保障。

3 企业信息安全体系部署的建议

根据企业信息安全建设架构，在满足终端安全、网络安全、应用安全、数据安全等安全防护体系时，我们需要重点关注以下几个方面：

3.1 实施终端安全，规范终端用户行为

在企业信息安全事件中，数字化成果泄漏是属于危害最为严重的一种行为。企业信息安全体系建立前，企业员工对自己的个人行为不规范，造成了员工可以通过很多方式实现信息外漏。比如通过U盘等存储介质拷贝或者通过聊天软件传递企业的核心数字化成果。对于这类高危的行为，我们在建设安全防护体系时，仅仅靠上网行为管理控制是不能完全杜绝的。应该当用户接入企业信息化平台前，就对用户的终端系统进行安全规范检查，符合企业制定的终端安全要求后再接入企业内网。同时配合上网行为管理的策略对员工的上网行为进行审计，使得企业员工的操作行为符合企业制定的上网行为规范，从终端用户提升企业的防护水平。

3.2 建设安全完善的VPN接入平台

企业在信息化建设中，考虑总部和分支机构的信息化需要，必然会采用VPN方式来解决企业的需求。不论是采用SSL VPN还是IPSecVPN，VPN加密传输都是通用的选择。对于分支机构可以考虑专用的VPN设备和总部进行IPSec连接，这种方式更安全可靠稳定。对于移动终端的接入可以考虑SSL VPN方式。在这种情况下，就必须做好对于移动终端的身份认证识别。其实我们在设备采购时，可以要求设备商做好多种接入方式的需求，并且帮助企业搭建认证方式。这将有利于企业日常维护，提升企业信息系统的VPN接入水平。

3.3 优化企业网络的隔离性和控制性

在规划企业网络安全边际时，要面对多个部门和分支结构，合理的规划安全网络边际将是关键。企业的网络体系可以分为：物理层；数据链路层；网络层；传输层；会话层；表示层；应用层。各体系之间的相互隔离和访问策略是防止企业信息安全风险的重要环节。在企业多样化网络环境的背景下，根据企业安全优先级及面临的风险程度，做出适合企业信息安全的防护策略和访问控制策略。根据相应防护设备进行深层次的安全防护，真正实现OSI的L2～L7层的安全防护。

3.4 实现企业信息安全防护体系的统一管理

为企业信息安全构建统一的安全防护体系，重要的优势就是能实现对全网安全设备及安全事件的统一管理，做到对整个网络安全事件的“可视、可控和可管”。企业采购的各种安全设备工作时会产生大量的安全日志，如果单靠相关人员的识别日志既费时效率又低。而且不同安全厂商的日志报表还存在很大差异。所以当安全事件发生时，企业管理员很难实现对信息安全的统一分析和管理。所以在企业在构建信息安全体系时，就必须要考虑安全设备日志之间的统一化，设定相应的访问控制和安全策略实现日志的归类分析。这样才能做到对全网安全事件的“可视、可控和可管”。

4 结束语

信息安全的主要内容就是保护企业的数字化成果的安全和完整。企业在实施信息安全防护过程中是一个长期的持续的工作。我们需要在前期做好详尽的安全防护规划，实施过程中根据不断出现的情况及时调整安全策略和访问控制，保证备份数据的安全性可靠性。同时全体企业员工一起遵守企业制定的信息安全防护管理规定，这样才能为企业的信息安全提供生命力和主动性，真正为企业的核心业务提供安全保障。

参考文献

[1]郝宏志.企业信息管理师[M].北京：机械工业出版社，2005.

[2]蒋培静.欧美国家如何培养网络安全意识[J].中国教育网络，2008（7）：48-49.

作者简介

常胜（1982-），男，回族，天津市人。现为中国市政工程华北设计研究总院有限公司工程师。研究方向为网络安全与服务器规划部署。

篇4

1保险企业信息安全管理的现状

当前的很多保险企业当中仍然存在

的问题就是计算机信息安全管理问题，而且这个问题也是各国企业比较常见的问题，亟待采取有效的解决措施。在一些相对比较发达的企业，就可能会存在更多的信息安全隐患。首先，当前的互联网正在快速地发展和进步，并加大了对信息技术的改革与创新，与此同时也衍生出很多的恶意项目工具，甚至信息系统本身也存在一定程度的漏洞，这些就可能会促使一部分的不法分子有机可乘；其次，保险企业本身并未对信息安全的管理工作给予高度的重视，从而导致信息安全问题层出不穷。如今，我国保险行业得到了快速的发展，加之外界环境因素的影响，从而暴露出越来越多的问题，此时就需要对这些问题进行全面、系统的分析。

1.1缺乏完善的法律法规

如今，虽然现在与计算机信息安全管理有关的条文比较多，但是他们被分散于各种标准、管理办法、法律、法规及道德规范等多个方面，然而，当前并不具备一套系统、完善的法律法规来更进一步地保障信息的安全问题。同时，当前现有的一些法律法规，可能是因为仍然有很大一部分的相关安全技术和手段还没有达到足够的成熟和标准化，这样就更加不容易去执行一些相关的法律法规。因此，如果缺少一些与保险行业相匹配的信息安全管理法律法规，从而导致保险企业无法顺利的开展相关工作，不利于计算机信息安全管理体系的构建。

1.2缺乏足够的重视

当前仍然有很大一部分的保险企业的管理层不是非常注重和关注一些相关的信息安全管理工作，而且他们并没有在进行管理工作的过程中投入足够的人力、物力以及财力等。有很大一部分的保险企业在治理公司过程中，只会对保险企业的适当地调整销售策略、业务规模发展问题、优化组织结构、相关运营流程等给予关注，这些公司都不是足够重视对信息安全管理问题的处理，他们都忽视了信息安全问题会影响保险企业的发展。实际上，在市场经济体系下，大多数保险企业只有在遇到信息安全事件后才会对计算机信息安全管理体系给予重视。此时，就需要保险企业在公司平时进行治理工作的过程中，他们能够投入更多的时间和精力来对现有的信息安全管理体系进行补充和完善，并给予高度的重视，从而有效提高信息安全管理体系建设效率。

1.3对风险评估力度不够

在信息安全管理体系建设过程中，大多数保险企业不能够准确地评估对于该过程中可能会存在的风险，并未对信息化过程中可能出现的安全风险问题给予综合考虑。一般情况下，他们可能只会考虑到一些相应的信息技术问题，但是并没有认真地思考在运用信息系统之后可能会显现出来的信息安全问题。实际上，保险企业不管是否对信息安全管理系统中所存在的安全风险问题进行评估，从而给保险企业的发展带来不利影响。一旦信息安全管理体系出现比较严重的问题，不仅会造成无法弥补的损失，而且也不能够实行一些正常的业务操作，甚至还可能会造成一些非常严重的后果，比如是企业内部机密泄露、重要数据被盗或被篡改、客户个人信息泄露等问题。因此，越来越多的保险企业由于对风险评估力度不够，从而导致系统本身存在操作失误、缺陷等原因而诱发的一系列安全问题。

1.4未明确安全管理责任划分

对保险企业来说，虽然对信息安全管理体系的建设给予了高度的重视，但是他们缺乏一套与企业发展相匹配的安全管理制度，未明确安全管理责任的划分，从而在一定程度上影响了保险企业的发展。如果这些企业现在还没有制定出一些相关的信息安全管理制度并能够坚持执行，而且企业在出现相应的信息安全问题之后，并不能够非常清晰地划分出具体的责任人，这样时间越来越长，就会在信息安全问题的监管方面出现越来越大的漏洞，自然而然地，也更加不容易去形成一个可以控制的信息安全管理体系。对于一个保险企业而言，在他们公司所出现的一些信息安全管理问题，需要每一位企业员工给予重视，而不能依靠企业当中的某一个人或某一个部门单独负责来对安全管理问题进行处理。对于保险企业而言，他们必须制定出相应的制度并划分出比较明确的责任，而且每个部门都应该有一个负责人来负责信息安全问题，以确保问题发生时能够有人给予立即处理。如果不设置一个负责人的话，就可能对信息安全管理体系的构建问题产生一定的影响，还会阻碍一个企业的信息安全管理工作和任务的完成。因此，对于保险企业而言，在处理这些现实状况以及各种各样问题的时候，则需要结合实际情况构建一套系统、完善的信息安全管理体系，从而使安全风险问题得到有效解决，更好的发挥信息安全管理体系建设的优势，确保保险企业的健康、可持续发展。

2保险企业计算机信息安全管理体系构建的对策

2.1健全和完善安全管理标准

对于保险企业而言，要想更好的推动信息安全管理体系构建，就需要对现有的信息安全管理标准进行健全和完善，并更加深入的分析和归纳信息安全管理标准内容，不仅需要考虑信息技术相关的问题，而且还不能够忽略信息安全管理问题。在进行计算机安全管理研究过程中，为了获取比较良好的研究成果，则需要进一步健全信息安全管理标准，并创建信息安全标准化组织和信息安全管理标准框架，以确保信息安全管理体系构建工作有条不紊的进行。在我们国家，虽然在研究信息安全的时候，不是很早，但是经过当前不断的完善过程，我们国家也制定出了一个更加符合我们国家基本国情的信息安全管理标准。

2.2实现科学的信息安全管理

对于保险企业而言，他们如果想要更好地实现比较科学的信息安全管理，就必须要充分地考虑到信息安全问题可能诱发的不利影响。对于保险企业而言，在信息安全管理方面，不仅需要有效地管理机构安全和人员安全的管理，而且要做好场地设施和技术安全的管理工作。同时，保险企业还需要采取比较科学的方式，从而可以有效地构建一套可实施的、科学合理的计算机系统安全管理体系，并结合实际情况制定一套规范、完善的安全防范措施，选择一些可靠性比较大的、比较稳定的、比较安全的产品，并对现有的安全评估标准和等级进行细化和完善，以便能够进行一些有效的检查策略，从而可以更好地开展信息安全管理工作，为保险企业的发展奠定良好的基础。

2.3重视安全风险评估工作

对保险企业而言，在进行信息化平台建设过程中，就需要适当地进行对安全风险的评估，如果缺乏相应的风险评估工作，将会导致信息安全管理工作无法顺利进行。同时，在信息安全风险评估过程中，还需要制定一套能够有效应对风险的措施和方案，这样可以有效地防止和解决一些突发状况，并确保信息的安全性、有效性。

篇5

一、企业安全管理三大问题

自“棱镜门”、iCloud照片泄露、携程及支付宝等企业接连宕机等事件发生之后，信息安全已被国内外政府、行业和企业推到了前所未有的高度。国务院《关于积极推进“互联网+”行动的指导意见》中也明确提出，要提升互联网安全管理、态势感知和风险防范能力，加强信息网络基础设施安全防护，加强“互联网+”关键领域重要信息系统的安全保障。信息安全危害事件频频爆发。2015年5月，网易、支付宝、携程、艺龙、知乎、Uber等多家知名企业出现接连宕机，互联网安全问题频繁出现并集中爆发，这为我国企业安全管理敲响了警钟。企业处理突发事件能力较弱。网易、支付宝、携程等互联网企业宕机后，很长时间才得以解决，表明企业在应对安全威胁突况时的力不从心，也反映出企业对信息安全中的外部威胁难以进行有效防范和及时应对。目前，我国互联网企业总体停留在安全保障、被动防御阶段，并未形成明确推进信息安全的管理措施。企业对信息安全重视程度不够。与发达国家相比，我国企业用于信息安全方面的投资还很低，尚未占到企业信息系统建设总成本的2％，而国外企业用于安全系统的投资占整个网络建设投资的15％～20％。例如，2014年我国信息安全投资总额为22亿美元，不及美国的3.2%，且企业投资重点集中在安全基础设施建设、产品更新换代等，对安全服务投入明显不足。许多企业口头上重视信息安全，但未付诸实践。

二、构筑企业安全三重防线

建设合理先进的信息安全管理系统。企业应重点加大对安全评估测评工具及技术、数据防泄露及敏感信息防护技术、大规模网络安全态势感知技术和统一身份管理与认证技术的研发投入，重点建设一个集风险评估、安全策略、防御体系、实时检测、数据恢复、安全跟踪和动态调整为一体的信息安全管理系统，加大信息安全管理的重视力度，从产品、技术、管理和制度多个维度来解决信息安全问题。建立信息安全风险防范和灾难应对体系。建议企业参照金融行业的管理模式，主动建立风险防范和灾难应对体系，出台具备面对突发状况的应急方案和数据备份双重机制，并重点开展以下工作：完善、优化企业内部网络架构，构建全方位的数据泄露防护系统，建立一体化的本地/异地备份与容灾体系，建立防火墙、防入侵及一体化安全网关解决方案，提高漏洞发现及应急解决能力、减少高危漏洞带来的危害。联手产业链上下游共筑安全防线。信息安全已不只是企业本身所能掌控的，比如支付宝服务器故障的主因是杭州市萧山区某地光纤被挖断导致，这就需要电信运营商等加大对光纤光缆安全监督。因此，互联网企业应与产业链上下游企业携手，做到信息数据、用户隐私、软硬件产品等不同类型的安全问题与行业相对应，有效防范安全管理脱节、错位等问题发生。随着互联网与各行各业的深度融合，信息安全威胁事件出现常态化趋势。企业应紧密围绕内部和外部环境，加大信息安全管理工作力度，有效减免信息安全危机事件。

作者:宋德王 单位:赛迪智库电子信息产业研究所

篇6

主题词：事故连安全管理控制

01发电企业传统安全管理上存在的不合理性版权所有!

发电企业的产品电能作为一种特殊的商品，产、供、销同时完成，在电力供不应求时期，电力生产中的任意故障引起少发电都会对电能质量：电压和频率产生影响，并可能引起对电力用户顾客的少供电而使顾客造成直接经济损失，因此强调电力生产中的安全始终是第一位的，只有电力生产的安全可靠，才能带来全社会安全与经济。

随着电力体制改革的不断深入，电力供需矛盾日趋缓和，电力供应已初步形成市场经济，电力法明确规定电网运营（调度）和发电企业是两个独立的经济实体，即厂、网不再是同一行业的经济共同体，而是两个经济实体之间的企业行为，作为发电企业在经济效益许可条件下，首先要确保自身安全许可，依靠发电企业信誉、产品质量、优质竞价争取多发电；而电网运营则应有足够备用容量，在电网经济与安全许可范围内允许某些发电企业在某一时段多发电或少发电，直至不发电（调停），这是市场机制下，合同约束的企业行为。

随着我国关贸体制改革，加入wto所带来的机遇与挑战，全球经济一体化加快，国际市场进一步开放，信息技术迅猛发展，市场竞争日趋激烈，发电企业如何走向世界，如何与国际先进的安全生产管理模式接轨，并能得到国际国内各类企业认可或认同，是关心安全生产的当代贤士探讨的课题。

电力供应不足时期，发电企业应尽可能多发无功来满足监控点电压，随着电网容量的不断壮和特高压、超长远距离输电线路的投运，电网在轻负荷时，发电企业必须吸收无功，进相运行来确保监控点电压质量；发电企业因设备可维修性（设备异常）随时可能引起10%的少发电数小时；电力设备的保护正确动作是确保安全（电网或设备本身）切除故障，发生上述情况传统意义上是不安全的，是事故。但市场经济下，电网运营随时能让这一发电企业的负荷突变3050%（agc投运），直至调停一台机组，后者是正常的市场行为，在合同约束范围内，则仍是安全的。前者无疑会出现目前的“一流发电企业”发出合格质量的电能（电压和频率仍能满足要求），恰是不安全的企业（调规规定），毫无疑问，传统安全管理不能确切地反映一个发电企业的安全管理水平，传统意义上的安全，很难获得国际国内企业及其它行业的安全管理认同，这不能不引起发电企业决策者的警觉，采用先进的安全生产管理模式，提高发电企业的安全管理水平是当务之急。

02企业安全与事故的致因分析

国际标准化组织（iso）把安全定义为：将伤害对人或损坏（对物）的风险限制在可接受的水平状态。显然，根据这一定义，表明发电企业不可接受的风险水平状态即是不安全的，反之是安全的，由此可知，不同的发电企业接受风险水平的能力不同，它与发电企业规模和在电网中位置有关。安全是相对的，不是绝对的，对于一个发电企业经过风险评价，分析风险源或事故危险源（点），确定了不可接受的风险，采取必要的安全技术措施，将不可接受的风险降低至可容许的程度，使得人和物避免遭受到不可接受风险的伤害，从而提高了安全管理水平。

iso定义事故为造成死亡、职业相关病症、伤害、财产损失或其它损失的意外事故，造成或可能造成事故的事件。事故是意外事件，它是出乎人们的意料之外，不希望看到的事情，导致事故发生的原因是事故的致因因素，事故致因的因果分析原理、方法有多种形式，最能反映现代安全原理、观点的事故因果连锁如博德的事故因果连锁（多米诺骨牌）如图（一）所示。

图中表明，发电企业发生事故的直接原因是人的不安全行为和物的不安全状态（俗称设备异常、设备缺陷），具体到每个人，则个人原因和工作条件对不安全行为的出现和处理设备缺陷、异常的能力不同，发生事故的机率不相同，图中，强调安全管理对每个员工的事故起因至关重要，管理失误，安全管理处于松懈状态，失去对人的安全管理控制，无疑将增加事故发生的概率。

许多工业企业，在现代安全系统（系统是指相互关联或相互作用的一组要素）工程中采用“人失误”这一术语，按照系统安全的观点，人在发电企业的整个生产过程中也是构成系统的一种元素，当人作为一种系统元素发挥功能时，会发生失误。人失误表明人的行为结果偏离了规定的目标或超出了可接受的阶限，并产生了不良的后果。安全管理就是要使人的不安全行为和物的不安全状态处于受控状态，从而减少多米诺骨牌倒牌的可能性，使事故连锁中断，减少事故的发生，避免伤亡和损失。

03发电企业的现代安全系统管理

iso对领导企业的成功运作指明了企业需要采用的一种系统透明的方式进行管理，针对所有相关方的需求，实施并保持持续改进其业绩的管理体系，最高管理者可以遵守管理八项原则（顾客为关注焦点、领导作用、全员参与、过程方法，管理的系统方法、持续改进、基于事实的决策方法、互利的供方关系）来指导工作，现代科学管理的重要特征是公开透明的，就是依法管理，管理有依据，有准则；在管理的执行、实施中能提供符合性的证据；并进行必要的监督检查；对查出的异常、不安全、不符合甚至出现的事故，有纠正、纠正措施、预防措施，避免出现已出现的不符合和故障，并防止出现潜在的不符合，从而达到持续改进的目的。iso定义满足规定的要求称为符合（或合格）。

传统的管理模式存在着有理就管，管就有理的人治倾向，人治管理的特征是“上一级”说了算，难以发挥企业全员作用，不能发挥集体智慧，容易造成违章指挥。而现代化的生产仅靠个人智慧是难以想象的，也是不现实的。

发电企业安全生产管理具有现代科学管理的特征，同时又是中国特色的社会主义性质所决定的，我国安全生产的法律法规，明确规定了“安全第一、预防为主”的方针政策，安全第一责任人明确了企业的最高管理者的作用和职能，从中国特色的传统管理中包含着管理生产必须首先管安全、管安全必须首先管人的这一点出发，发电企业主管生产者必须是最高管理者安全管理的当然（管理者）代表。

发电企业安全生产现代科学系统管理如图1所示。企业的安全生产委员会依据国家的法律、法规和主管行业的规定、导则、标准、细则等，进行依法管理，在“安全第一、预防为主”的方针、政策下制定安全管理目标，委托（安全生产）管理者代表组织、实施、落实和目标分解，分解到各生产、职能部门，则有各部门安全第一责任人进行（安全）目标分解，并制定各部门计划、措施，运用企业的各项管理标准，各岗位的工作标准和安全技术措施来规范、约束员工的行为（班组管理略）。

3．1控制人为失误

著名的安全学专家皮特森（petersen）在人失误致因分析中提出了决策失误、过负荷、人机学方面存在问题是发生事故的致因重要因素，并提出了企业领导高度评价企业的员工（具体工作的执行层），肯定员工的个人价值和存在价值，同事互相帮助、关心、督促，并有稳定的工作岗位，减轻同事间的互存压力，能使员工的逻辑决策正确率提高；员工个人的性情、精神得到轻松、释放，也能减少下意识发生失误的倾向，提高决策的正确性；对从事的岗位工作进行超前的事故预想，有事故前的思想准备，同样也减少决策失误。

人的过负荷失误具体反映在人的身体健康、精神状态；工作压力和疲劳、药物和酒的作用；作业的动机、态度、兴奋程度和生物节律；对完成任务的信息、担心和危险性的考虑等所产生的生理心理上的过负荷能力，人过负荷容易引起人的失误而造成事故。

人的才能应适应岗位职业的能力，但能力过强或过低都能引起人失误而造成事故，这是因为能力低于实际岗位要求，他没有能力正确处理岗位上可能出现的各种信息而不能胜任工作产生失误；而能力过高时，精神松滞紧张度过低，产生对岗位工作的厌倦情绪，粗心意、没有工作责任心，同样容易发生人的失误。这里强调了能力过低的人要加强培训和能力强的人必须有较高的责任心。

发电企业的人失误主要表现为决策失误和过负荷失误两类，控制人失误的具体措施为规范人的行为规范，制定各项工作的管理标准和各岗位的工作标准，对各岗位进行动态管理，择优上岗、持证上岗；管理职能部门加强安全点检、质量点检的工作力度，增强人的安全意识、责任意识，并创造一个和谐的工作环境和良好的干群、员工间的人际关系，使员工为树立企业形象保安全作贡献，有荣誉感、使命感、责任感，保持员工有最良好的精神状态，为所做工作作出正确的判断，减少工作中的失误，避免生产中不安全的事件发生，确保企业的整体利益不受损害。

3．2控制物的不安全状态

发电企业物的不安全状态具体表现为运行中的设备异常和设备缺陷，而加强运行管理、严格执行巡回检查制度和设备定期切换、试验、维护制度，及时发现设备异常动态，及时调整参数，把不安全状态消灭在萌芽状态，抑制物的不安全状态出现。设备异常和存在的缺陷要及时联系检修修复，质量点检要把好检修质量关，三级点检起重要作用，做到小缺陷不过班，缺陷不过日，重缺陷轮岗换班检修不离岗，紧急缺陷随叫随到，并利用机组节假日、调停进行设备的重点检查与治理，确保运行设备完好率达到100%。由此可知，控制物的不安全状态的发生，人是重要的影响因素。

3．3安全生产检查与安全点检

企业制定安全目标，分解落实到各部门和各班组，并制定相应的实施措施来保证，这些部门和班组在执行和实施中效果如何，是否真正落实到具体的安全生产日常工作中去，必须进行安全监督检查。

发电企业的安全检查应注意效果，传统的安全检查频次多，流于形式，走过场。安全检点应做好日常工作中的安全点检，根据各专业、季节特性、节假日前后进行不定期抽查，检查的重点对象是作业现场中物的不安全因素和人的不安全行为，其目的是及时发现不安全因素，以便采取纠正和纠正措施。

安全点检主要有安全监察网络成员负责进行，对于职能部门的专责安全点检员，日常检查应有计划、有重点、有周期进行，而针对具体项目必须是标准化、规范化的检查，有依据、有评判标准，检查必须设置安全检查表，它是规范化、程序化、标准化的重要标志，例如按周期对部门安全工作的符合性检查时，检查表中表明有哪些安全工作符合性的证据，检查表编制有安全点检人员、专业管理人员和实际作业人员共同进行，以使检查依据、评判标准得到共同认可。发电企业自身条件各不相同，但通常应规定检查项目（内容）、检查方法或评判标准、结果确认、评分（或是否来打分）以及其它关注的事件。

针对季节性的安全检查，应查明是否有具体措施以及员工对这些措施的认知熟悉程度，而不是停留在档案保存上，应敷检查上。

3．4安全评价

发电企业安全性评价是借助国外先进的安全管理“风险评估”模式进行的，是与国际先进的安全管理接轨的具体体现。贯彻“安全第一、预防为主”的方针，就是要在预防上下功夫，注重安全基础就是要对事故进行超前控制，安全基础是保证安全生产必须具备的人员、设备、环境、管理等方面的基本条件，即人、机、环境、管理四者安全品质的优化匹配。

发电企业安全评价是通过对生产设备、安全管理、劳动安全和作业环境三个方面进行查评诊断，对安全生产的危险性进行定性和定量评估，查出可能引发的危险因素，评估出发电企业安全基础的现状和水平，揭示预知和掌握客观存在的危险因素及其严重程度，采取相应纠正、预防措施，实现超前控制，寻求最低的事故率和最小的事故损失，达到最优的安全投资效益。版权所有!

发电企业安全评价的最佳方式应是结合安全检查的自查自评与外来专家相结合，自查自评的目的是发动群众，全员参与，提高企业员工的安全素质，同时又能看到安全生产现状存在的不足，为纠正、整改、预防工作打下基础，提高企业自身的安全管理水平。为防止“当局者迷，旁观者清”和本企业上下级存在情面以及老难问题的特点，引入外来和尚（外来专家）好念经的事实，比较公正、公平，而外来专家具有权威性，见多识广，检查认真，深入细致，不会影响实际评价的公平、公正性，这在许多发达国家企业引入第三方认证是相近的，目前许多先进的发达国家企业和我国的部分企业已开始实施ohsas18001职业安全卫生管理体系的认证，发电企业的安全评价年度不宜过多，一次为宜，在安全生产出现滑坡时可适当增加安评的次数。

3．5发电企业的危险源（点）评估

评估发电企业的事故危险源或危险点是客观存在的，避免这些危险源完全不发生事故的可能性也是不现实的，但对可能发生的事故必须制定相应的应急措施和事故预案，以便即使发生事故，能有组织有条不紊地进行事故处理，以防止事故扩，减少事故发生的损失。

应急措施和事故预案应包括企业的领导小组，工作小组，应急突击人员、通讯联系、医疗卫生保健、应急物资准备、交通运输等，发电企业的应急措施和事故预案主要有：防风、防冻、防滑、防汛、防小动物、防火、防震、防暴、防高低温、防全厂停电、防轴弯曲、防超速以及计算机防病毒、防干扰等，应急措施、预案是安全学习和活动的重要内容，也是安全检查工作的重点。

3．6安全业绩评审

安全业绩评审是由安全生产管理者代表领导下的工作小组，进行全面审核发电企业的安全质保体系、安全监察网络、质量点检网络、技术监督网络及危险点控制网络的安全工作业绩，审核依据为国家的法律法规，主管行业的规定、导则、标准以及本企业的管理标准、工作标准、规程、制度等，对全年安全工作管理、安全措施，各种预防措施、纠正措施、应急预案、安全评价和安全检查中查出问题的整改等作全面的审核评定，评审前从发电企业各职能管理中收集量的信息，信息企业的质量点检、安全监察、技术监督、可靠性管理等，对全年发电企业发生的重不安全情况进行分析、统计，找出发电企业安全工作中的不足和差距或未能实现安全目标管理的原因或提高安全目标管理水平的潜力所在，审核结论或审核发现汇总至发电企业的最高管理者，为一下年度安全生产目标制定提供可靠依据和正确决策，进入新的一轮pdca循环的起点，实现发电企业安全管理工作的持续改进，从而不断提高发电企业的安全生产管理水平。

安全业绩评审在多数发电企业实际安全管理工作中存在，但缺少这一管理程序并很难提供这一方面的符合性证据，这必须引起重视。

04现代安全生产系统管理综述

安全生产是人类进行生产活动的客观需要，是文明进步的必然趋势，是企业管理永恒的主题；安全是企业的生命线，是企业争取效益的前提，也是企业素质、形象的综合反映。

篇7

关键词企业；网络信息；安全管理

飞速发展的社会经济将企业管理投入到信息技术的海洋之中，大中型企业管理的自动化水平正在不断提高。现代企业的核心管理手段是将计算机网络技术应用于业务管理系统，实现企业管理理念的宏观化、管理手段的智能化、管理方式的网络化，从而带来的是管理效率的高速化。具体的管理系统包括外门户网站系统、内部门户网站系统、办公自动化系统、营销管理系统、配网管理系统、财务管理系统、生产管理系统等[1]。

1企业网络信息安全概述

1.1网络信息安全面临的威胁

网络信息的安全主要是系统漏洞带来的病毒和黑客侵袭。漏洞是在硬件、软件、协议的具体实现或系统安全策略上存在的缺陷，从而可以使攻击者能够在未授权的情况下访问或破坏系统[2]。系统漏洞是危害网络安全的最主要因素，特别是软件系统的各种漏洞。黑客的攻击行为都是利用系统的安全漏洞来进行的。许多系统都有这样那样的安全漏洞（Bugs），其中有些是操作系统或应用软件由于设计缺陷本身所具有的，这些漏洞在补丁未被开发出来之前一般很难防御黑客的破坏，除非你不接入网络。还有就是程序员在设计一些功能复杂的程序时，预留的用于测试和维护的程序入口，由于疏忽或者其他原因(如将它留在程序中，便于日后访问、测试或维护)没有去掉，这就可能被一些黑客发现并利用作为后门。到目前为止，还没有出现真正安全无漏洞的产品，这也是当前黑客肆虐的主要原因[3]。

1.2造成企业网络信息安全威胁的原因

1.2.1计算机系统原生漏洞目前计算机所依赖的依然是普遍通用的微软Windows系统。为了适应用户的需求，这一系统的研发进展不断进步，系统升级较为频繁，每两年左右便会有新系统推出面世。许多计算机用户，特别是企业用户，如果对新系统没有全面、专业、深入的了解而盲目进行了系统更新，有可能造成安装设置过程中缺陷导致的新系统带来的弊端，从而埋下漏洞隐患，给信息安全造成威胁。1.2.2计算机软件应用不当遭遇恶意软件在企业管理计算机软件应用过程中，如果没有专业的识别和下载安装经验，极有可能遇到恶意软件。恶意软件常常故意不对用户做明确提示（如选项提示、退出安装提示等）或者在未经用户许可的情况下，在用户的计算机上强行安装；有的软件难以卸载（设置卸载障碍）；还有的软件通过浏览器劫持行为，肆意：指未经用户许可，修改用户浏览器或设置，迫使用户访问特定网站或导致用户无法正常上网等。恶意软件造成的计算机病毒感染，黑客的乘虚而入将严重威胁企业网络信息安全，甚至导致系统崩溃，数据丢失。有的恶意软件甚至自带网络数据运行监视装置，被恶意使用后可以直接用于窃取商业数据和信息，给企业造成巨大损失。1.2.3企业网络信息系统维护规范欠缺企业网络信息系统在运行过程中无论何种原因都难以避免可能产生的漏洞，而对信息系统的规范维护是信息安全保护的重要手段。但部分企业没有对系统维护规范作出规定，如系统维护工程师、助理工程师的职责与权限并不明确，生产或销售应用系统的监控记录不能定期建档，生产或办公系统主机的日常故障处理不做登记，应用系统的数据库启动情况和数据库设置得不到及时观察，重要数据库的变更操作，定期清理过期备份不能正常进行，应用数据库瘫痪后的异地备份恢复记录不完整等，都有可能造成企业网络信息系统的安全隐患。

2企业信息系统安全管理存在的问题

2.1企业对信息系统管理重视不足

许多企业顶层决策缺乏长久观念，比较重视信息网络的建设而较易忽视信息网络和系统的管理。在企业网络建设初期往往偏重于硬件设施的投资和技术成本的投入，盲目追求管理系统的高性能、高配置，忽略了硬件设施与实际应用的差距，认为高层次的网络系统一旦建成便万事大吉。这种认识不但造成了不必要的资金浪费，更容易形成轻视系统维护管理工作的状况。由于缺乏管理意识，许多企业在规章制度、人事安排、专业培训、技术队伍等几方面没有形成企业信息系统的专业团队，更没有针对系统瘫痪、数据丢失等突发事件的应急预案，往往是问题发生后临时应急解决，“头痛治头足痛治足”，致使现代化信息系统不能充分发挥在企业运行管理中应有的作用。

2.2企业网络信息安全性难以保障

由于信息安全管理意识淡薄，部分企业没有专业的网络管理团队。现有网管人员维护、管理网联络信息技术没有保障，或者责任心不强。例如，民营生产销售企业由于操作不规范销售报表和潜在客户资料数据丢失现象时有发生；部分县级以上医院分科或多或少都存在体统停滞现象；中小型企业中财务资料的误删时有发生。虽然这些单位有的也具备系统维护应急预案，部分数据得到恢复，但依然给企业造成一定损失。

3企业网络信息安全防范措施

3.1建立系统安全检查制度

企业的规章制度要重视系统安全的保护，对重要信息系统的安全检查要建章立制，不能松懈。首先要对系统安全负责的团队人员构成和岗位职责进行明文规定。其次要确定具体的安全检查目标，如企业的基础网络是否完善、主服务器配置是否异常，对外门户网站防火墙是否坚固，数据中心的设置是否可靠，内部办公系统（包括财务、销售、服务等）更新是否正常等等。第三，信息安全检查规章制度中要具化检点内容，如安全管理保障系统方面，对岗位制度是否建全，人员负责是否落实，信息数据是否安全，应急响应是否稳妥等项目要做出详细检查记录。技术保障方面：服务器（包括操作系统、数据库、应用系统）的各项指标，网络设备和安全设备的各种配置，网站建设和终端等组织策略和运行维护等内容都要落实到检查实处。

3.2加大企业网络信息安全的管理力度

第一，要增强网络信息管理人员的技术培训，使企业信息系统得到可靠的技术维护和管理，组件一只责任心强、分工明确、技术精湛的网管团队，以保障企业网络信息系统正常运转不出纰漏。第二，提高企业核心机密资料的加密层次，在这方面要投入资金购买保密程度较有保障的计算机软件装备，防止黑客攻击和病毒感染。第三，对企业信息管理和维护工作进行定期记录、责任到人，记录保护存档以备可查。第四，要建立安全可靠的计算机数据异地备案和应急预案机制，有专门制定人员负责，定期检测数据，严格管理制度，以确保企业网络信息系统出现异常时得到有效维护和修复。

4结论

篇8

1.企业信息化建设的重要性

信息化发展对于企业人员日常的管理，相比较原来旧的方法而言更方便快捷、更高效；对于企业的整体发展的影响，相比较原来用人来发现风险，信息化大数据管控更能提前预知风险并帮助企业更好地解决问题；对于企业组织结构和流程的影响，集成化的网络信息系统是提高质效的一把利器。但现实使用中，企业的信息化进程存在安全度低、信息泄露严重和安全意识低等现象，导致企业和用户损失大量人力物力，甚至受到巨大损失。由此可见，信息化建设对企业发展有着不可小觑的作用，能比原来的模式更有效处理问题、促进企业发展，是所有企业在发展过程中不可或缺的一个环节。

2.企业信息化建设中的网络安全问题

2.1网络安全意识不强

科学技术的不断发展进步，对于企业发展的影响作用不言而喻，但是，相当一部分企业却只看到益处却忽略了“信息安全”的重要性。

近年来，在技术、社会和政府等多方面的努力下，企业的信息化建设发展速度加快，取得很大的进展，其重要作用毋庸置疑，各个企业都越来越重视信息化的进步。但在新闻报道中，经常见到有信息非法獲取、信息交易导致用户信息泄露，这也是每个企业需要反思的问题。数据泄露、信息是否安全等问题并没有引起所有企业的重视，严重的不仅会导致用户信息泄露，如果发生企业数据库被篡改、网络系统崩溃等事件，给企业带来的名誉和财产损失不可估量。

2.2技术水平不高

世界范围内都存在一个不好处理的网络难题———黑客。企业在信息化发展的过程中，免不了遇到技术问题，由于有关人员或团队自身的水平不够和相关方面的经验的缺失，不可避免会存在某些漏洞和问题，这些漏洞和问题恰恰给了黑客绝佳的机会，让他们有机会盗取信息。即使是市面上使用的各个“管家”与杀毒软件也完全检测不到，对企业的安全构成非常大的威胁。

2.3可使用的高水平软件少

一方面是供研发企业使用的高水平软件较少；另一方面是软件安全度低，很多公司虽然看到信息化发展的好处，但却贪图低成本的小利益，花费小成本购买使用安全保护性低的工作软件，结局只会带来难以挽回的后果。

3.企业信息化建设提高网络信息安全性的措施

3.1切实提高企业安全意识

科学技术的进步，促进企业重视信息安全，思考信息安全问题和公司发展之间不可分割的关系，因为信息泄露带来损失还是小事，如果因此减少了企业竞争力，甚至阻碍了企业发展才是最可怕的结果。因此，企业应当提高安全意识，提前准备对策、制定应对突况的策略，防止信息泄露等潜在威胁，将威胁扼杀在摇篮之中。通过建立高技术水平的团队，运用专业知识和工作经验切实增强防火墙安全度，定期维护信息系统，从源头的技术传输阶段维护信息安全，建立完善的信息保护制度，以此来保护信息安全、促进企业发展。

3.2提高信息系统的管理水平

虽然现在大家都在普遍使用《金山毒霸》《腾讯管家》等安全防护软件，但是这些软件也不能保证绝对的安全。改革旧的风险评估模式，健全信息筛选管理安全体系，在一定程度上可以提高安全系统等级、减小信息被盗的风险，在信息系统建立过程中，及早发现风险并妥善处理对企业发展尤其重要。

3.3使用安全性高的软件

归根结底，所有的安全问题都是安全性低所导致的。虽然说没有绝对安全的东西，但是相比于安全性低的软件，安全性越高的软件，保护能力也越强，能更好地保护信息安全。因此，企业千万不能贪图小利益使用低防护级软件，保护信息安全，维护自身发展利益才是最重要的。

篇9

目前信息化网络以其开放性、交互性给人们带来方便的同时，也带来了诸如计算机病毒、木马等安全风险。企业档案不同于一般信息，具有特殊性，一方面是保密要求，必须保证档案信息不能泄露，另一方面必须保证特定范围人员拥有特定的调阅权限，具有排他属性。一旦企业档案被非法窃取、篡改或删除，将给企业带来难以估量的损失，这就要求企业档案信息化建设工作要格外重视信息安全问题。企业档案信息化安全的内涵包括以下三个要素：机密性，非授权人员不得使用;真实性，电子档案与纸质档案内容必须一致;稳定性，保证电子档案内容无法随意删改。

1.企业档案信息化建设面临的安全威胁

1.1计算机病毒、木马威胁

随着互联网的发展，诸如“蠕虫”、“熊猫烧香”等病毒木马程序也在网络中传播扩散，造成的破坏和损失在所有安全威胁中居首位。计算机病毒不仅可以通过短时间内重复发送大量无意义数据造成网络通信拥堵，还可以破坏服务器系统文件从而造成系统数据和文件系统破坏，如果造成重要档案数据的丢失那么损失将是灾难性的。

1.2企业信息化网络构建的物理安全威胁

物理网络安全是企业信息化网络安全的基础。档案信息网建设中，由于基础网络系统弱电性，在物理网络的搭建中，需要考虑对网络设备进行防护，避免漏电、火灾和雷击。

1.3操作系统及档案信息应用系统的安全风险

不论是微软公司的视窗操作系统还是其它任何商用UNIX操作系统，其开发公司均留有“后门”，均有被恶意访问的风险，不存在绝对安全的操作系统，因此在选择供应商时，不仅要尽可能保证操作系统和硬件平台稳定可靠，还必须根据本企业的需要对系统进行安全配置，加强登录服务器过程中的认证手续，确保访问用户的合法性，严格限制访问者的操作权限，将其能够进行的操作限制在必须的范围内。档案信息应用系统本身的稳定性、安全性能否得到保证不仅关系到企业档案能否顺利通过信息系统实现有效利用，还关系到档案信息机密不被泄露、篡改和删除。

1.4档案管理体系的安全漏洞

如果没有严格的管理体系，任何先进软硬件安全方案都不能发挥其应有的作用。管理混乱、制度不健全或缺乏可操作性都是发生档案信息化管理安全问题的潜在危险因素。因缺乏有效的网络安全管理制度或未按制度执行，使本企业档案信息化网络在受到黑客攻击时不能及时进行预警、监控及防御从而造成机密泄露、数据损毁。因企业档案信息化网络日常管理松懈，可能造成档案信息化录入错误而导致电子档案与原始档案不一致给档案利用制造困难，还可能因档案利用过程中异常操作而导致电子档案数据破坏。

2.档案信息化建设的安全对策

2.1档案管理人员及档案信息化利用人员安全意识的培养

即使档案信息安全系统安全设计再完善，如果管理员、信息使用者没有严格按规范执行，那么再先进的加密手段也只能沦为摆设。档案信息系统归根到底仍然需要管理人员建立和维护，需要企业相关人员加以利用，因此在档案信息化应用过程中发生的各种问题或多或少都与人有关。因此，在档案信息化建设过程中，必须认真通过培训教育有关人员，使之认识到信息安全的重要性、严肃性，提高认识防范蓄意或者疏忽造成危害信息网络安全事件发生的概率。根据不同的职位，给予相应的档案信息使用权或管理权限。同时对于档案信息网络管理者和使用者的权限实行动态管理，定期核实人员岗位变动、升职或离职等岗位变动情况，并进行相应的权限调整，避免无关人员接触相应机密内容。进行宣传教育，要求相关人员选用复杂密码，对密码长度及组合复杂度要有必要规定（如密码长度不少于8字符，且必须英文、数字混杂等），减少被黑客暴力破解的几率，要求在使用电脑或在自己办公电脑查阅相应档案时信息内容不会被无关人员偷窥等。

2.2建立切实可行的电子档案信息管理制度

明确信息化档案录入人员的责任，制定奖惩制度控制录入错误频率，同时企业还要建立完善的电子档案录入复查机制，在电子档案录入数据库时，要对其进行全面仔细的核查，确保电子档案内容与原始档案保持一致。建立完善的电子档案的存储制度，非档案管理员不得获得删改档案的权限，同时管理员的每次删改行为也必须有案可稽，保证可追溯性。加强电子档案信息使用管理，避免因误操作删改信息或将病毒、木马程序导入档案信息数据库。建立完善的电子、纸质介质双重保存制度，虽然信息化管理给档案存储、利用带来便利，但电子档案同其他数字信息一样易受到木马病毒等安全隐患影响，纸质档案以其特有的稳定性是电子版无法替代的，不易修改，保存期限长、档案信息可靠性较高等，同时纸质档案所具有的法律效力也是电子档案所不具备的，因此纸质档案还是必须保留的，纸质档案作为企业的原始信息，以保证档案的真实性，电子档案更倾向于档案日常管理、利用，两者结合共同为企业经营活动服务。

2.3电子信息安全技术在企业档案信息化管理中的应用

2.3.1物理防范措施

设置UPS不间断电源，以保证电子档案信息服务器及网络电力供应，针对信息化网络电器属性，设置防火报警系统等。

2.3.2杀毒软件及防火墙的应用

针对企业内部网络统一采购正版企业版杀毒软件，并实行由服务器统一更新病毒数据库。建立企业局域网络防火墙，从源头隔绝外部网络非正常访问，从而最大限度的减少黑客网络攻击。

2.3.3设置档案信息网络访问权限

对用户访问档案信息数据库的权限进行严格的认证和控制。使用动态验证系统，数字身份认证系统，控制访问目录和访问文件权限。

2.3.4使用数据加密系统

加密是保护网络传输数据安全的重要手段，首先对网络中传输的数据进行加密，到达目标电脑后再还原为原始数据，防止非法用户截获后盗用档案信息。

2.3.5物理断网

篇10

关键词：网络环境 企业信息 安全管理

引言

随着社会的发展，企业对信息资源的依赖程度来越大，由此带来的信息安全问题也日益突出。生产中的业务数据、管理中的重要信息，如果企业自身的信息安全管理有重大疏漏，也无法保证数据的安全可靠。当前，企业在黑客病毒日益猖撅的网络环境下不仅要保护自身信息的安全，还要保护业务数据的信息安全，因此有必要从体系管理的高度构建企业信息安全。

一、企业信息安全的二维性

当前，企业信息安全已涉及到与信息相关的各方面。企业信息安全不仅要考虑信息本身，还需要考虑信息依附的信息载体（包括物理平台、系统平台、通信平台、网络平台和应用平台，例如PC机、服务器等）的安全以及信息运转所处环境（包括硬环境和软环境，例如员工素质、室内温度等）的安全。资产如果不对影响信息安全的各个角度进行全面的综合分析，则难以实现企业信息安全。因此，需要从企业信息安全的总体大局出发，树立企业信息安全的多维性，综合考虑企业信息安全的各个环节，扬长避短，采取多种措施共同维护企业信息安全。

1、技术维：技术发展是推动信息社会化的主要动力，企业通常需要借助于一项或多项技术才能充分利用信息，使信息收益最大化。然而，信息技术的使用具有双面性，人们既可以利用技术手段如电子邮件等迅速把信息发送出去，恶意者也可由此截获信息内容。为确保企业信息安全，必须合理的使用信息技术，因此，技术安全是实现企业信息安全的核心。

1）恶意代码和未授权移动代码的防范和检测。网络世界上存在着成千上万的恶意代码（如计算机病毒、网络蠕虫、特洛伊木马和逻辑炸弹等）和未授权的移动代码（如Javaseript脚本、Java小程序等）。这些代码会给计算机等信息基础设施及信息本身造成损害，需要加以防范和检测。

2）信息备份。内在的软硬件产品目前还不能确保完全可靠，还存在着各种各样的问题。外在的恶意代码和未授权移动代码的攻击，也会造成应用信息系统的瘫痪。为确保信息的不丢失，有必要采取技术备份手段，定期备份。

3）访问权限。不同的信息及其应用信息系统应有不同的访问权限，低级别角色不应能访问高级别的信息及应用信息系统。为此，可通过技术手段设定信息的访问权限，限制用户的访问范围。

4）网络访问。当今，一个离开网络的企业难以成功运转，员工通常需要从网络中获取各种信息。然而，网络的畅通也给恶意者提供了访问企业内部信息的渠道。为此，有必要采用网络防火墙技术，控制内部和外部网络的访问。

2、管理维：企业信息安全不但需要依靠技术安全，而且与管理安全也息息相关。没有管理安全，技术安全是难以在企业中真正贯彻落实的。管理安全在企业中的实施是企业信息得以安全的关键。企业应建立健全相应的信息安全管理办法，加强内部和外部的安全管理、安全审计和信息跟踪体系，提高整体信息安全意识，把管理安全落到实处。

l）信息安全方针和信息安全政策的制定。信息安全方针和信息安全政策体现了管理者的信息安全意图，管理者应适时对信息安全方针评审，以确保信息安全方针政策的适宜性、充分性和有效性。

2）构建信息安全组织架构。为在企业内贯彻既定的信息安全方针和政策，确保整个企业信息安全控制措施的实施和协调，以及外部人员访问企业信息和信息处理设施的安全，需要构建有效的信息安全组织架构。

二、企业信息安全构建原则

企业信息安全构建原则为确保企业信息的可用性、完整性和机密性，企业在日常运作时须遵守以下原则。

l）权限最小化。受保护的企业信息只能在限定范围内共享。员工仅被授予为顺利履行工作职责而能访问敏感信息的适当权限。对企业敏感信息的获知人员应加以限制，仅对有工作需要的人员采取限制性开放。最小化原则又可细分为知所必须和用所必须的原则，即给予员工的读权限只限于员工为顺利完成工作必须获的信息内容，给予员工的写权限只限于员工所能够表述的内容。

2）分权制衡。对涉及到企业信息安全各维度的使用权限适当地划分，使每个授权主体只能拥有其中的部分权限，共同保证信息系统的安全。如果授权主体分配的权限过大，则难以对其进行监督和制约，会存在较大的信息安全风险。因此，在授权时要采取三权分立的原则，使各授权主体间相互制约、相互监督，通过分权制衡确保企业信息安全。例如网络管理员、系统管理员和日志审核员就不应被授予同一员工。

三、企业信息安全管理体系的构建

信息安全管理体系模型企业信息安全管理体系的构建要统筹考虑多方面因素，勿留短板。安全技术是构建信息安全的基础，员工的安全意识和企业资源的充分提供是有效保证安全体系正常运作的关键，安全管理则是安全技术和安全意识恒久长效的保障，三者缺一不可。因此，在构建企业信息安全管理体系时，要全面考虑各个维度的安全，做好各方面的平衡，各部门互相配合，共同打造企业信息安全管理平台。科学的安全管理体系应该包括以下主要环节：制定反映企业特色的安全方针、构建强健有力的信息安全组织机构、依法行事、选择稳定可靠的安全技术和安全产品、设计完善的安全评估标准、树立.员工的安全意识和营造良好的信息安全文化氛围等。因此，为了使企业构建的信息安全管理体系能适应不断变化的风险，必须要以构建、执行、评估、改进、再构建的方式持续地进行，构成一个P（计划）、D（执行）、C（检查）、A（改进）反馈循环链以使构建的企业信息安全管理体系不断地根据新的风险做出合理调整。

四、结论

信息安全管理体系的构建对企业高效运行具有重要意义。只有全面分析影响企业信息安全的各种来源后才能构建良好的企业信息安全管理体系。从大量的企业案例来看，技术、管理和资源是影响企业信息安全的3个角度。为此，应从技术、管理和资源出发考虑信息安全管理体系的构建原则和企业信息安全管理体系应满足的基本要求。同时，也应注意到，信息安全管理体系的构建不是一劳永逸而是不断改进的，企业的信息安全管理体系应遵从PDCA的过程方法论持续改进，才能确保企业信息的安全长效。

参考文献：

篇11

关键词：信息化；信息安全；安全管理

1企业信息安全现状

近几年，随着行业信息化建设逐步深入，伴随着OA办公自动化、ERP、卷烟生产经营决策管理和MES生产制造执行等系统相继投入使用，与生产经营息息相关的关键业务对信息系统的依赖程度越来越高，企业也逐步认识到信息安全的重要性，企业员工的安全意识也都得到逐步提高。行业也相继出台了烟草行业信息安全保障体系建设指南和各类信息安全制度，并通过这几年信息安全检查工作，促进企业的信息安全水平得到了进一步提高。由于企业信息安全意识不断提高，企业不断加大信息安全方面的投入，如建立标准化的机房、购买与部署各类信息安全软件和设备等。但是木马、病毒、垃圾邮件、间谍软件、恶意软件、僵尸网络等也随着计算机技术的发展不断更新，攻击手段也越发隐蔽和多样化。企业不仅要应对外部的攻击，也要应对来自于企业内部的信息安全威胁，安全形势不容乐观。企业的信息安全已不仅仅是技术问题，还需要借助管理手段来保障。企业如果不能正确树立信息风险导向意识，一味注重“技术”的作用，忽略“管理”的重要性，就很难发挥信息安全技术的作用，无法把企业的各项信息安全措施落到实处，企业的信息安全也就无从谈起。只有切实发挥管理作用，企业的信息安全才能得到有效保障。

2企业信息安全体系架构

在谈到信息安全时，大多数刚接触的人都比较疑惑，都说保障信息安全十分重要，那到底什么是信息安全呢？下面就简单介绍一下信息安全的概念以及企业的信息安全体系架构。2.1信息。对企业来说，信息是一种无形资产，具有一定商业价值，以电子、影像、话语等多种形式存在，必须进行保护。2.2信息安全。主要是指防止信息泄露、被篡改、被损坏或被非法辨识与控制，避免造成不良影响或者资产损失。2.3企业信息安全体系架构。在保障企业信息安全过程中，信息安全技术是保障信息安全的重要手段。通过上文对企业信息安全现状的分析，不难看出企业信息安全体系主要分为技术、管理两个重要体系，进一步细分则涉及安全运维方面。2.3.1信息安全技术体系作用。主要是指通过部署信息安全产品，合理制定安全策略，实现防止信息泄露、被篡改、被损坏等安全目标。信息安全产品主要是指实现信息安全的工具平台，如防火墙类产品、防攻击类产品、杀毒软件类产品和密码类产品等，而信息安全技术则是指实现信息安全产品的技术基础。2.3.2信息安全管理体系作用。完善信息安全组织机构、制度，细化职责分工，制定执行标准，确保日常管理、检查等制度有效执行，最大程度发挥信息安全技术体系作用，确保信息安全相关保护措施有效执行。通过上文简单介绍，对信息安全以及信息安全系统有了大概了解。可以看出单纯借助技术或管理无法保障企业信息安全，因此，建立企业信息安全管理体系的重要性也就不言而喻。

3信息安全管理体系概念

3.1信息安全管理。运用技术、管理手段，做好信息安全工作整体规划、组织、协调与控制，确保实现信息安全目标。3.2管理体系。体系是指相互关联和相互作用的一组要素，而管理体系则是建立方针和目标并实现这些目标的体系。3.3信息安全管理体系（ISMS）。在一定组织范围内建立、完成信息安全方针和目标，采取或运用方法的体系。作为管理活动最终结果，包含方针、原则、目标、方法、过程、核查表等众多要素。3.4建立信息安全管理体系的目的。作为企业总管理体系的一个子体系，目的是建立、实施、运行、监视、评审、保持和改进信息安全。3.5信息安全管理体系涉及的要素。3.5.1信息安全组织机构。明确职责分工，确保信息安全工作组织与落实。3.5.2信息安全管理体系文件。编制信息安全管理体系的方针、过程、程序和其他必需的文件等。3.5.3资源。提供体系运转所需的资金、设备与人员等。

4信息安全管理体系机构设置以及作用

在建立企业的信息安全管理体系之前，如果没有设置相应的信息安全组织机构，那么建立体系所需要的资源（资金、人员等）就无法得到保障，企业的信息安全制度和策略也就无法贯彻落实，企业的信息安全管理体系就形同虚设起不到任何作用。因此，企业在建立信息安全管理体系前必须建立健全信息安全组织机构，机构设置可以根据职责分为三个层次。4.1信息安全决策机构。信息安全决策机构处于安全组织机构的第一个层次，是本单位信息安全工作的最高管理机构。应以单位主要领导负责，对信息安全规划、信息安全策略和信息安全建设方案等进行审批，并为企业信息安全工作提供各类必要资源。4.2管理机构。处于安全组织机构的第二个层次，在决策机构的领导下，主要负责企业日常信息安全的管理、监督以及安全教育与培训等工作，此类工作大部分都由企业的信息化部门承担。4.3执行机构。处于信息安全组织机构的第三个层次，在管理机构的领导下，负责保证信息安全技术体系的有效运行及日常维护，通过具体技术手段落实安全策略，消除安全风险，以及发生安全事件后的具体响应和处理，执行机构人员可以由信息中心技术人员与各部门专职或兼职信息安全员组成。

5信息安全管理体系的建立

ISO/IEC27001:2005标准的“建立ISMS”章节中，已明确了信息安全管理体系建立的10项强制性要求和步骤。企业应结合自身实际情况，遵照这些内容和步骤，建立自己的信息安全管理体系，并形成相应的体系文件。5.1建立的步骤。（1）结合企业实际，明确体系边界与范围，并编制体系范围文件。（2）明确体系策略，构建目标框架、风险评价的准则等，形成方针文件。（3）确定风险评估方法。（4）识别信息安全风险，主要包括信息安全资产、责任、威胁以及造成的后果等。（5）进行安全风险分析评价，编制评估报告，确定信息安全资产保护清单。（6）明确安全保护措施，编制风险处理计划。（7）制定工作目标、措施。（8）管理者审核、批准所有残余风险。（9）经管理层授权实施和运行安全体系。（10）准备适用性声明。以上步骤解释不详尽之处，参看ISO/IEC27001:20054.2.1章节中A-J部分。5.2信息安全管理体系涉及的文件。文件作为体系的主要元素，必须与ISO/IEC27001:2005标准保持一致，同时也要结合企业实际，确保员工遵照要求严格执行。而且也要符合企业的实际情况和信息安全需要。在实际工作中，企业员工应按照文件要求严格执行。5.2.1体系文件类型主要涉及方针、程序与记录三类。方针类主要是指管理体系方针与信息安全方针，涵盖硬件、网络、软件、访问控制等；程序类主要是指“过程文件”，涉及输入、处理与输出三个环节，结果常以“记录”形式出现；记录类主要是记录程序文件结果，常以是表格形式出现。至于适用性声明文件，企业应结合自身情况，参照ISO/IEC27001:2005标准的附录A，有选择性地作出声明，并形成声明文件。5.2.2体系必须具备的文件。主要包括方针、风险评估、处理、文件控制、记录控制、内部审核、纠正与预防、控制措施有效性测量、管理评审与适用性声明等。5.2.3任意性文件。企业可以针对自身业务、管理与信息系统等情况，制定自己独有的信息方针、程序类文件。5.2.4文件的符合性。文件必须符合相关法律法规、ISO/IEC27001:2005标准以及企业实际要求，保证与企业其他体系文件协调一致，避免冲突，同时在文字描述准确且无二义。

6体系实施与运行

主要包括策略控制措施、过程和程序，涉及制定和实施风险处理计划、选择控制措施与验证有效性、安全教育培训、运行管理、资源管理以及安全事件应急处理等。

7体系的监视与评审

主要指对照策略、目标与实际运行情况，监控与评审运行状态，主要涉及有效性评审、控制措施测试验证、风险评估、内部审核、管理评审等环节，并根据评审结果编制与完善安全计划。

8体系的保持和改进

主要是依据监视与评审结果，有针对性地持续改进。主要包括改进措施、制定完善措施、整改总结等，同时需相关方进行沟通，确保达到预计改进标准。

9结语

篇12

关键词：企业信息安全；信息安全体系；IT技术

中图分类号：F840文献标识码：A文章编号：1009-2374（2009）05-0072-02

当前IT已成为企业业务发展和管理不可或缺的组成部分，其作用和影响力已从单一的业务部门扩散到企业与组织的每一个领域。在IT系统给企业带来活力、利润和竞争力的同时，也给企业增加了风险。因此如何充分利用IT系统获得企业价值的最大化，并且最大限度地降低利用IT技术而带来的风险，成为每个企业都必须要真接面对的问题。本文从企业信息安全的需求为出发点，构建以管理、技术和人员三者有机结合的立体的企业信息安全管理体系，最终实现企业安全建设的最终目标。

一、信息安全管理体系

从企业的内部分析，搭建一套完整的安全架构首先要做的就是根据企业能够承受的风险水平编写企业安全规范。编写企业的安全规范首先要遵循BS 7799-2信息安全管理体系的标准，标准要求组织通过确定信息安全管理体系范围、制定信息安全方针、明确管理职责、以风险评估为基础选择控制目标与控制方式等活动建立信息安全管理体系；体系一旦建立组织应按体系规定的要求进行运作，保持体系运作的有效性；信息安全管理体系应形成一定的文件，即组织应建立并保持一个文件化的信息安全管理体系，其中应阐述被保护的资产、组织风险管理的方法、控制目标及控制方式和需要的保证程度。

BS 7799-2：2002所采用的过程模式如：“计划－实施－检查－措施”四个步骤，可简单描述如下：

计划：依照组织整个方针和目标，建立与控制风险、提高信息安全有关的安全方针、目标、指标、过程和程序。

实施：实施和运作方针（过程和程序）。

检查：依据方针、目标和实际经验测量，评估过程业绩，并向决策者报告结果。

措施：采取纠正和预防措施进一步提高过程业绩。

以上四个步骤成为一个闭环，通过这个环的不断运转，使信息安全管理体系得到持续改进，使信息安全绩效（Performance）螺旋上升。

二、企业信息安全体系架构

根据BS 7799-2信息安全管理体系的标准，不同的企业对信息的安全需求不同，因此每个企业都要制定切实可行的信息安全架构，不是照搬照抄其他企业的模式，或是把各种安全产品进行堆砌，说到底企业的信息安全问题不只是技术上的问题，它是一个极其复杂的系统工程。要实施一个完整信息安全管理体系，至少应包括三类措施：一是社会的法律政策、企业的规章制度以及信息安全教育等外部软环境；二是信息安全的技术措施，如防火墙技术、网络防毒、信息加密存储通信、身份认证、授权等；三是审计和管理措施，该方面措施同时包含了技术与社会措施。这些措施应该均衡考虑企业在保密性（C）、完整性（I）和可用性（A）三方面的安全需求，并且从应用安全、数据安全、主机安全、网络安全、桌面安全和物理安全等六大安全领域全面系统地实现企业的这些安全需求，从而构建安全技术、管理和人员三个方面有机结合的企业信息安全保障体系如图1所示：

该模型是一种从企业信息安全的需求（保密性、完整性、可用性）为出发点，以应用安全、数据安全、主机安全、网络安全、桌面安全、物理安全为关注重点，层层剖析全面深入地挖掘企业的信息安全需求，构建以管理、技术和人员三者有机结合的立体的企业信息安全保障体系。

这种企业信息安全管理架构的规划融合了管理和技术为核心的全面分析方法，以安全需求为焦点，从管理现状、技术现状和人员状况三个维度，综合采用调查问卷、人员访谈、现场察看、资料分析、技术检测等多种手段，全面深入地挖掘需求。在明确需求的前提下，还要借鉴同类企业成功经验，再规划出符合企业实情的信息安全保障体系。

当然该安全体系架构的具体实施还要综合考虑如下问题：成长型企业一方面要节约成本，一方面要把安全风险降到最低。从这两个出发点出发才能够建立适合成长型企业的信息安全体系；计划阶段要评估自己的信息资产，自己的信息资产的价值有多大，现有的安全手段是什么，根据评估结果确立安全战略；开始建立和实施自己的信息安全体系，拟定自己的战略流程；对员工和合作伙伴的培训，建立信息监测和安全的手段。

三、实施信息安全架构的常规操作

在保证物理安全、桌面安全、网络安全、主机安全的基础上，信息安全架构的常规操作包括数据层保护、应用程序层保护、事件应对检查和安全操作。

数据层保护包括用EFS对文件进行加密；用访问控制列表限制数据；从默认位置移动文件；创建数据备份和恢复；用Windows Rights Management Services保护文档和电子文件等等。

应用程序层保护包括只启动必需的服务和功能；配置应用程序安全设置；安装应用程序的安全更新程序；安装和更新防病毒软件；以最低权限运行应用程序等等。

事件应对检查包括确定正在遭受攻击；确定攻击类型；发出有关攻击通知；遏制攻击；采取预防性措施；将攻击情况记录存档等等。

安全最佳做法包括深层防御；设计时考虑安全；最低权限；从过去的错误中学习；维持安全级别；加强用户的安全意识；开发和测试事件应对计划和过程等等。

四、结论

综上所述，企业要做到以信息为中心的安全，必须做到管理层面、组织层面和操作层面的有机结合，这样才能建立有效的安全体系，从而实现企业安全建设的最终目标。

参考文献

[1]梁永生．电子商务安全技术[M]．大连理工大学出版社，2008，（4）．

[2]Mark Rhodes-Ousley，等．网络安全完全手册[M]．北京：电子工业出版社，2005，（10）．

[3]卿斯汉．密码学与计算机网络安全[M]．北京：清华大学出版社，2001．

篇13

随着近年来信息安全话题的持续热议，越来越多的企业管理人员开始关注这一领域，针对黑客入侵、数据泄密、系统监控、信息管理等问题陆续采取了一系列措施，开始构筑企业的信息安全防护屏障。然而在给企业做咨询项目的时候，还是经常会听到这样的话：

“我们已经部署了防火墙、入侵检测设备防范外部黑客入侵，采购了专用的数据防泄密软件进行内部信息资源管理，为什么还是会出现企业敏感信息外泄的问题？”

“我们的IT运营部门建立了系统的运行管理和安全监管制度和体系，为什么却迟迟难以落实？各业务部门都大力抵制相关制度和技术措施的应用推广。”

“我们已经在咨询公司的协助下建立了ISMS体系，投入了专门的人力进行安全管理和控制，并且通过了企业信息安全管理体系的认证和审核，一开始的确获得了显著的成效，但为什么经过一年的运行后，却发现各类安全事件有增无减？”

这些问题的出现往往是由于管理人员采取了“头痛医头，脚痛医脚”的安全解决方案，自然顾此失彼，难以形成有效的安全防护能力。上述的三个案例，案例一中企业发生过敏感信息外泄事件，于是采购了专用的数据防泄密软件，却并未制定相关的信息管理制度和进行员工保密意识培训，结果只能是防外不防内，还会给员工的正常工作带来诸多不便；案例二中企业管理者认识到安全管理的重要性，要求相关部门编制了大量的管理制度和规范，然而缺乏调研分析和联系业务的落地措施，不切实际的管理制度最终因为业务部门的排斥而束之高阁；案例三中ISMS的建立有效地规范了公司原有的技术保障体系，然而认证通过后随着业务发展却并未进行必要的改进和优化，随着时间的推移管理体系与实际工作脱节日益严重，各类安全隐患再次出现也就不足为奇。

其实，企业面临的各种安全威胁和隐患，与人体所面临的各种疾病有诸多类似之处，我们常说西医治标不治本，指的就是采取分片分析的发现问题―分析问题―解决问题的思路处理安全威胁，通过技术手段的积累虽然可以解决很多问题，但总会产生疲于应付的状况，难以形成有效的安全保障体系；类比于中医理论将人体看为一个互相联系的整体，信息安全管理体系的建立正是通过全面的调研分析，充分发现企业面临的各种问题和隐患，紧密联系业务工作和安全保障需要，形成系统的解决方案，通过动态的维护机制形成完善的防护体系。

总体来说，信息安全管理体系是企业在整体或特定范围内建立信息安全方针和目标，以及完成这些目标所用方法的体系。它是基于业务风险方法，来建立、实施、运行、监视、评审、保持和改进企业的信息安全系统，目的是保障企业的信息安全。它是直接管理活动的结果，表示成方针、原则、目标、方法、过程、核查表（Checklists）等要素的集合，涉及到人、程序和信息系统。

针对ISMS的建立，我们可以从中医“望闻问切对症下药治病于未病”的三个角度来进行分析和讨论：

第一，“望闻问切”，全面的业务、资产和风险评估是ISMS建设的基础；

第二，“对症下药”，可落实、可操作、可验证的管理体系是ISMS建设的核心；

第三，“治病于未病”，持续跟踪，不断完善的思想是ISMS持续有效的保障。

望闻问切

为了完成ISMS建设，就必然需要对企业当前信息资源现状进行系统的调研和分析，为企业的健康把把脉，毕竟我们需要在企业现有的信息条件下进行ISMS建设。

首先，自然是对企业现有资源的梳理，重点可以从以下几个方面入手：

1.业务主体（设备、人员、软件等）。

业务主体是最直观、最直接的信息系统资源，比如多少台服务器、多少台网络设备，都属于业务主体的范畴，按照业务主体本身的价值进行一个估值，也是进行整个信息系统资源价值评估的基础评估。由于信息技术日新月异的变化，最好的主体未必服务于最核心的信息系统，同时价值最昂贵的设备未必最后对企业的价值也最大。在建立体系的过程中，对业务设备的盘点和清理是很重要的，也是进行基础业务架构优化的一个重要数据。

2.业务数据（服务等）。

业务数据是现在企业信息化负责人逐步关注的方面，之前我们只关注设备的安全，网络的良好工作状态，往往忽略了数据对业务和企业的重要性。现在，核心的业务数据真正成为信息工作人员最关心的信息资产，业务数据存在于具体设备的载体之上，很多还需要软件容器，所以，单纯地看业务数据意义也不大，保证业务数据，必须保证其运行的平台和容器都是正常的，所以，业务数据也是我们重点分析的方面之一。

3.业务流程。

企业所有的信息资源都是通过业务流程实现其价值的，如果没有业务流程，所有的设备和数据就只是一堆废铜烂铁。所以，对业务流程的了解和分析也是很重要的一个方面。

以上三个方面是企业信息资源的三个核心方面，孤立地看待任何一个方面都是毫无意义的。

其次，当我们对企业的当前信息资产进行分析以后需要对其价值进行评估。

评估的过程就是对当前的信息资产进行量化的数据分析，进行安全赋值，我们将信息资产的安全等级划分为 5 级，数值越大，安全性要求越高，5 级的信息资产定义非常重要，如果遭到破坏可以给企业的业务造成非常严重的损失。1 级的信息资产定义为不重要，其被损害不会对企业造成过大影响，甚至可以忽略不计。对信息资产的评估在自身价值、信息类别、保密性要求、完整性要求、可用性要求和法规合同符合性要求等 5 个方面进行评估赋值，最后信息资产的赋值取 5 个属性里面的最大值。

这里需要提出的是，这里不仅仅应该给硬件、软件、数据赋值，业务流程作为核心的信息资源也必须赋值，而且几个基本要素之间的安全值是相互叠加的，比如需要运行核心流程的交换机的赋值，是要高于需要运行核心流程的交换机的赋值的。很多企业由于历史原因，运行核心业务流程的往往是比较老的设备，在随后的分析可以看得出来，由于其年代的影响，造成资产的风险增加，也是需要重点注意的一点。

最后，对企业当前信息资产的风险评估。

风险评估是 ISMS 建立过程中非常重要的一个方面，我们对信息资产赋值的目的就是为了计算风险值，从而我们可以看出整个信息系统中风险最大的部分在哪里。对于风险值的计算有个简单的参考公式：风险值 = 资产登记 + 威胁性赋值 + 脆弱性赋值（特定行业也有针对性的经验公式）。

ISMS 建设的最终目标是将整个信息系统的风险值控制在一定范围之内。

对症下药

经过上阶段的调研和分析，我们对企业面临的安全威胁和隐患有一个全面的认识，本阶段的ISMS建设重点根据需求完成“对症下药”的工作：

首先，是企业信息安全管理体系的设计和规划。

在风险评估的基础上探讨企业信息安全管理体系的设计和规划，根据企业自身的基础和条件建立ISMS，使其能够符合企业自身的要求，也可以在企业本身的环境中进行实施。管理体系的规范针对不同企业一定要具体化，要和企业自身具体工作相结合，一旦缺乏结合性ISMS就会是孤立的，对企业的发展意义也就不大了。我们一般建议规范应至少包含三层架构，见图1。

图1 信息安全管理体系

一级文件通过纲领性的安全方针和策略文件描述企业信息安全管理的目标、原则、要求和主要措施等顶层设计；二级文件主要涉及业务工作、工程管理、系统维护工作中具体的操作规范和流程要求，并提供模块化的任务细分，将其细化为包括“任务输入”、“任务活动”、“任务实施指南”和“任务输出”等细则，便于操作人员根据规范进行实施和管理人员根据规范进行工作审核；三级文件则主要提供各项工作和操作所使用的表单和模板，以便各级工作人员参考使用。

同时，无论是制定新的信息管理规章制度还是进行设备的更换，都要量力而行，依据自己实际的情况来完成。例如，很多公司按照标准设立了由企业高级领导担任组长的信息安全领导小组和由信息化管理部门、后勤安全部门和审计部门组成的信息安全办公室，具体负责企业的信息安全管理工作，在各级信息化技术部门均设置系统管理员、安全管理员、安全审计员，从管理结构设计上保证人员权限互相监督和制约。但是事实上繁多的职能部门和人员不仅未能提升企业信息系统安全性，反而降低了整个信息系统的工作效率。

其次，是企业信息安全管理体系的实施和验证

实施过程是最复杂的，实施之后需要进行验证。实施是根据 ISMS 的设计和体系规划来做的，是个全面的信息系统的改进工作，不是单独的设备更新，也不是单独的管理规范的，需要企业从上至下，全面地遵照执行，要和现有系统有效融合。

这里的现有系统既包含了现有的业务系统，也包含了现有的管理体制。毕竟ISMS是从国外传入的思路和规范，虽然切合国人中医理论的整体思维方式，但在国内水土不服是正常的，主要表现就在于是否符合企业本身的利益，是否能够和企业本身的业务、管理融合起来。往往最难改变的还是企业管理者的固有思维，要充分理解到进行信息安全管理体系的建设是一个为企业长久发展必须进行的工程。

到目前为止，和企业本身业务融合并没有完美的解决方案，需要企业领导组织本身、信息系统技术人员、业务人员和负责 ISMS 实施的工程人员一同讨论决定适合企业自身的实施方案

最后，是企业信息安全管理体系的认证和审核

针对我们周围很多重认证，轻实施的思想，这里有必要谈一下这个问题，认证仅代表认证过程中的信息体系是符合 ISO27000（或者其他国家标准）的规范要求，而不是说企业通过认证就是一个在信息安全管理体系下工作的信息系统了。更重要的是贯彻实施整个体系的管理方式和管理方法。只有安全的思想深入人心了，管理制度才能做到“不只是挂在墙上的一张纸，放在抽屉里的一本书”。

“治病于未病”

企业信息安全管理体系需要动态改进和和优化，毕竟企业和信息系统是不断发展和变化的，ISMS 是建立在企业和信息系统基础之上的，也需要有针对性地发展和变化，道高一尺魔高一丈，必须通过各种方法，进行不断地改进和完善，才有可能保证ISMS 系统的持续作用。

就像我们前面案例中提到的某公司一样，缺乏了持续改进和跟踪完善的手段，经过测评的管理体系仅仅一年之后就失去了大部分作用。对于这些企业及未来即将建立ISMS的企业，为了持续运转ISMS，我们认为可以主要从以下三个方面着手：

第一，人员。

人员对于企业来讲是至关重要且必不可缺的，在ISMS建立过程中，选择合适的人员参与体系建立是ISMS建立成功的要素之一。在持续运转过程中，人员都应该投入多少呢？通常在体系建立过程中，我们会建议所有体系管理范围内的部门各自给出一名信息安全代表作为安全专员配合体系建立实施，且此名专员日后要持续保留，负责维护各自部门的信息资产、安全事件跟踪汇报、配合内审与外审、安全相关记录收集维护等信息安全相关工作。

但很多事情是一种企业文化的培养，需要更多的人员甚至全员参与，例如面向全员的定期信息安全意识培训，面向专业人员的信息安全技术培训等，因此对于企业来讲，除了必要的体系维护人员，在ISMS持续运转过程中，若能将企业内的每名员工都纳入到信息安全管理范围内，培养出“信息安全，人人有责”的企业氛围，则会为企业带大巨大的潜在收益。且有些企业在面向自身员工展开信息安全各项活动的同时，还会纳入客户、合作伙伴、供应商等需要外界相关人员的参与，对外也树立起自身对重视信息安全的形象，大力降低外界给企业带来的风险。

第二，体系。

ISMS自身的持续维护，往往是企业建立后容易被忽视的内容，一套信息安全管理文档并不是在日益变化的企业中一直适用的，对于信息资产清单、风险清单、体系中的管理制度流程等文档每年至少需要进行一次正式的评审回顾，这项活动由于也是在相关标准中明确指出的，企业通常不会忽略；但日常对于这些文档记录的更新也是必不可少的，尤其是重要资产发生重大变更，组织业务、部门发生重大调整时，都最好对ISMS进行重新的评审，必要时重新进行风险评估，有助于发现新出现的重大风险，并且可以将资源合理调配，将有限的资源使用到企业信息安全的“短板”位置。

唯一不变的就是变化，企业每天所面临的风险同样也不是一成不变的，在更新维护信息资产清单的同时，对风险清单的回顾也是不可疏忽的，而这点往往是很多信息安全专员容易忽视的内容。持续的维护才能保证ISMS的运转，有效控制企业所面临的各种风险。

第三，工具。

工具往往是企业在建立ISMS过程中投入大量资金的方面，工具其实是很大的一个泛指，例如网络安全设备、备份所需设备、防病毒软件、正版软件、监控审计等各类工具，即使没有实施ISMS，企业在工具方面的投入也是必不可少的，但往往缺乏整体的规划及与业务的结合，经常会出现如何将几种类似工具充分利用，如何在各工具间建立接口，使数据流通共用，哪些工具应该替换更新，数据如何迁移，甚至出现新购买的工具无人使用或无法满足业务需求等问题，导致资金资源的浪费，因此在持续运转ISMS过程中，根据风险评估报告，及信息安全专员反映的各部门业务需求各种信息数据的收集，应对工具进行统一规划，尽量减少资源的浪费。

篇14

一、运用系统的思想和方法，查找信息安全管理的“短扳”

随着企业信息化的快速发展，信息安全管理工作显得相对滞后。管理思想和方法落后。过去基本上是参照电网安全管理一些传统做法，没有体现信息化特点和要求，越来越不适应信息系统的快速发展和变革；管理不够全面。以往只考虑硬件、软件，忽视了人、数据和文档、服务、无形资产等重要对象，对外来人员也缺乏有效的识别管理；管理制度不够系统。以前虽然制订了较多的制度和标准，当信息化发展到一定程度，这些制度就显得很单薄，就事论事的管理方式必然会产生安全管理的盲区，有些制度内容重复、交叉、不一致，有些制度不切实际，往往束之高阁；风险评估不够科学。以往的信息风险评估不够系统，主观性过强，缺乏综合平衡，抓不住重点，或过度保护，或产生管理死角，事后控制多，事前预控少，不能涵盖信息系统的生命周期。

上述情形是企业在信息化建设中普遍感觉到的问题。随着科学技术的进步，企业信息运行管理模式也发生了巨大的变化，为企业采用先进管理方式、建立信息安全管理体系打下了扎实的基础。为此，嘉兴电力局根据国际上信息安全管理的最佳实践，结合供电企业的实际，从信息安全风险评估管理入手，贯彻ISO/IEC27001：**信息安全管理标准，建立了信息安全管理体系。通过体系有效运作，达到了供电企业信息安全管理“预控、能控、可控、在控”的目的。

二、从资产识别入手，搞好信息安全风险评估

按《信息安全风险评估控制程序》，对所有的资产进行了列表识别，并识别了资产的所有者。这些资产包括硬件与设施、软件与系统、数据与文档、服务及人力资源。对每一项资产按自身价值、信息分类、保密性、完整性、法律法规符合性要求进行了量化赋值。在风险评估中，共识别资产2810项，其中确定的重要资产总数为312项，形成了《重要资产清单》。

图1.《重要信息资产按部门分布图》

对重要的信息资产，由资产的所有者（归口管理部门）对其可能遭受的威胁及自身的薄弱点进行识别，并对威胁利用薄弱点发生安全事件的可能性以及潜在影响进行了赋值分析，确定风险等级和可接受程度，形成了《重要资产风险评估表》。针对每一项威胁、薄弱点，对资产造成的影响，考虑现有的控制措施，判定措施失效发生的可能性，计算风险等级，判断风险为可接受的还是需要处理的。根据风险评估的结果，形成风险处理计划。对于信息安全风险，应考虑控制措施与费用的平衡原则，选用适当的措施，确定是接受风险、避免风险，还是转移风险。

嘉兴电力局经过风险评估，确定了不可接受风险84项，其中硬件和设施52项，软件和系统0项，文档和数据8项，服务0项，人力资源24项。

根据风险评估的结果，对可接受风险，保持原有的控制措施，同时按ISO/IEC17799：**《信息技术-安全技术-信息安全管理实施细则》和系统应用的要求，对控制措施进行完善。针对不可接受风险，由各部门制定了相应的安全控制措施。制订控制措施主要考虑了风险评估的结果、管理与技术上的可行性、法律法规的要求，以期达到风险降低的目的。控制措施的实施将从避免风险、降低风险、转移风险等方面，将风险降低到可接受的水平。

图2.《各类不可接受风险按系统分布图》。

三、按照ISO标准要求，建立信息安全管理体系

嘉兴电力局在涉及生产、经营、服务和日常管理活动的信息系统，按ISO/IEC27001：**《信息技术-安全技术-信息安全管理体系要求》规定，参照ISO/IEC17799：**《信息技术-安全技术-信息安全管理实施细则》，建立信息安全管理体系，简称ISMS。确定信息安全管理体系覆盖范围，主要是根据业务特征、组织结构、地理位置、资产分布情况，涉及电力生产、营销、服务和日常管理的40个重要信息系统。信息安全管理的方针是：“全面、完整、务实、有效。”

为实现信息安全管理体系方针，嘉兴电力局在各层次建立完整的信息安全管理组织机构，确定信息安全目标和控制措施，明确信息安全的管理职责；识别并满足适用法律、法规和相关方信息安全要求；定期进行信息安全风险评估，采取纠正预防措施，保证体系的持续有效性；采用先进有效的设施和技术，处理、传递、储存和保护各类信息，实现信息共享；对全体员工进行持续的信息安全教育和培训，不断增强员工的信息安全意识和能力；制定并保持完善的业务连续性计划，实现可持续发展。按照信息安全管理方针的要求，制订的信息安全管理目标是：2级以上信息安全事件为0；不发生信息系统的中断、数据的丢失、敏感信息的泄密；不发生导致供电中断的信息事故；减少有关的法律风险。

嘉兴电力局根据风险评估的结果、企业的系统现状和管理现状，按照ISO/IEC27001：**标准要求，整合原有的企业信息安全管理标准、规章制度，形成了科学、严密的信息安全管理体系文件框架，包括信息安全管理手册；《信息安全风险评估管理程序》、《业务持续性管理程序》等53个程序文件，制定了16个支撑性作业文件。

四、运用过程方法，实施信息安全管理体系

在信息安全管理过程中，重点是抓好人员安全、风险评估、信息安全事件、保持业务持续性等重要环节，采取明确职责、动态检查、严格考核等措施，使信息安全走上常态管理之路。

图3：信息安全管理体系实施过程

重视信息系统安全管理。因为信息系统支撑着企业的各项业务，信息安全管理体系实施涵盖信息系统的生命周期，表现在信息系统的软（硬）件购置、设备安装、软件开发和系统测试、上线、系统（权限）变更等方面，严格执行体系的相关控制程序。

强化人员安全管理。在劳动合同、岗位说明书中，明确员工信息安全职责。特殊岗位的人员规定特别的安全责任，对信息关键岗位实行备案制度。对岗位调动或离职人员，及时调整安全职责和权限。定期对员工进行信息安全教育和技能培训、比武、考试。