企业信息安全规划精选(十四篇)

序言：作为思想的载体和知识的探索者，写作是一种独特的艺术，我们为您准备了不同风格的14篇企业信息安全规划，期待它们能激发您的灵感。

篇1

【关键词】信息系统；安全建设；防护体系

1.企业信息系统安全防护的价值

随着企业信息化水平的提高，企业对于IT系统的依赖性也越来越高。一方面，“业务系统流程化”正在成为IT安全建设的驱动力。企业的新业务应用正在逐渐标准化和流程化，各种应用系统如ERP、MES为企业的生产效率的提高起到了关键的作用。有效的管控IT环境，确保IT业务系统的持续稳定运行作为企业竞争力的一部分，已成为IT系统安全防护的主要目标和关键驱动力。另一方面，企业IT安全的建设也是“法规遵从”的需要。IT系统作为企业财务应用系统的重要支撑，必须提供可靠的运行保障和数据正确性保证。

2.企业信息系统安全建设的现状分析

在企业信息化建设的过程中，业务系统的建设一直是关注的重点，但是IT业务系统的安全保障方面，往往成为整个信息化最薄弱的环节，尤其是在信息化水平还较低的情况下，IT系统的安全建设缺乏统一的策略作为指导。归结起来，企业在IT系统安全建设的过程中，存在以下几方面的不足：

2.1 安全危机意识不足，制度和规范不健全

尽管知道IT安全事故后果比较严重，但是企业的高层领导心中仍然存在着侥幸心理，更多的时候把IT安全建设的预算挪用到其他的领域。企业在信息安全制度及信息安全紧急事件响应流程等方面缺乏完整的制度和规范保证，由此带来的后果是诸如对网络的任意使用，导致公司的机密文档被扩散。同时在发生网络安全问题的时候，也因为缺乏预先设置的各种应急防护措施，导致安全风险得不到有效控制。

2.2 应用系统和安全建设相分离，忽视数据安全存储建设

在企业IT应用系统的建设时期，由于所属的建设职能部门的不同，或者是因为投资预算的限制，导致在应用系统建设阶段并没有充分考虑到安全防护的需要，为后续的应用系统受到攻击瘫痪埋下了隐患。数据安全的威胁表现在核心数据的丢失；各种自然灾难、IT系统故障，也对数据安全带来了巨大冲击。遗憾的是很多企业在数据的安全存储方面，并没有意识到同城异地灾难备份或远程灾难备份的重要性。

2.3 缺乏整体的安全防护体系，“简单叠加、七国八制”

对于信息安全系统的建设，“头痛医头、脚痛医脚”的现象比较普遍。大多数企业仍然停留在出现一个安全事故后再去解决一个安全隐患的阶段，缺乏对信息安全的全盘考虑和统一规划，这样的后果就是网络上的设备五花八门，设备方案之间各自为战，缺乏相互关联，从而导致了多种问题。

3.企业信息系统安全建设规划的原则

企业的信息化安全建设的目标是要保证业务系统的正常运转从而为企业带来价值，在设计高水平的安全防护体系时应该遵循以下几个原则：

（1）统一规划设计。信息安全建设，需要遵循“统一规划、统一标准、统一设计、统一建设”的原则；应用系统的建设要和信息安全的防护要求统一考虑。

（2）架构先进，突出防护重点。要采用先进的架构，选择成熟的主流产品和符合技术发展趋势的产品；明确信息安全建设的重点，重点保护基础网络安全及关键应用系统的安全，对不同的安全威胁进行有针对性的方案建设。

（3）技术和管理并重，注重系统间的协同防护。“三分技术，七分管理”，合理划分技术和管理的界面，从组织与流程、制度与人员、场地与环境、网络与系统、数据与应用等多方面着手，在系统设计、建设和运维的多环节进行综合协同防范。

（4）统一安全管理，考虑合规性要求。建设集中的安全管理平台，统一处理各种安全事件，实现安全预警和及时响应；基于安全管理平台，输出各种合规性要求的报告，为企业的信息安全策略制定提供参考。

（5）高可靠、可扩展的建设原则。这是任何网络安全建设的必备要求，是业务连续性的需要，是满足企业发展扩容的需要。

4.企业信息系统安全建设的部署建议

以ISO27001等企业信息安全法规[1]遵从的原则为基础，通过分析企业信息安全面临的风险和前期的部署实践，建立企业信息安全建设模型，如图1所示。

图1 企业信息系统安全建设模型

基于上述企业信息安全建设模型，在建设终端安全、网络安全、应用安全、数据安全、统一安全管理和满足法规遵从的全面安全防护体系时，需要重点关注以下几个方面的部署建议：

4.1 实施终端安全，关注完整的用户行为关联分析

在企业关注的安全事件中，信息泄漏是属于危害比较严重的行为。现阶段由于企业对网络的管控不严，员工可以通过很多方式实现信息外泄，常见的方式有通过桌面终端的存储介质进行拷贝或是通过QQ/MSN等聊天工具将文件进行上传等。针对这些高危的行为，企业在建设信息安全防护体系的时候，单纯的进行桌面安全控制或者internet上网行为控制都不能完全杜绝这种行为。而在统一规划实施的安全防护体系中，系统从用户接入的那一时刻开始，就对用户的桌面行为进行监控，同时配合internet上网行为审计设备，对该员工的上网行为进行监控和审计，真正做到从员工接入网络开始的各种操作行为及上网行为都在严密的监控之中，提升企业的防护水平。

4.2 建设综合的VPN接入平台

无论是IPSec、L2TP，还是SSL VPN，都是企业在VPN建设过程中必然会遇到的需求。当前阶段，总部与分支节点的接入方式有广域网专线接入和通过internet接入两种。使用VPN进行加密数据传输是通用的选择。对于部分移动用户接入，也可以考虑部署SSL VPN的接入方式[2]，在这种情况下，如何做好将多种VPN类型客户的认证方式统一是需要重点考虑的问题。而统一接入认证的方式，如采用USBKEY等，甚至在设备采购时就可以预先要求设备商使用一台设备同时支持这些需求。这将给管理员的日常维护带来极大的方便，从而提升企业整体的VPN接入水平。

4.3 优化安全域的隔离和控制，实现L2～L7层的安全防护

在建设安全边界防护控制过程中，面对企业的多个业务部门和分支机构，合理的安全域划分将是关键。按照安全域的划分原则，企业网络包括内部园区网络、Internet边界、DMZ、数据中心、广域网分支、网管中心等组成部分，各安全域之间的相互隔离和访问策略是防止安全风险的重要环节。在多样化安全域划分的基础上，深入分析各安全域内的业务单元，根据企业持续性运行的高低优先级以及面临风险的严重程度，设定合适的域内安全防护策略及安全域之间的访问控制策略，实现有针对性的安全防护。例如，选择FW+IPS等设备进行深层次的安全防护，或者提供防垃圾邮件、Web访问控制等解决方案进行应对，真正实现L2～L7层的安全防护。

4.4 强调网络和安全方案之间的耦合联动，实现网络安全由被动防御到主动防御的转变

统一规划的技术方案，可以做到方案之间的有效关联，实现设备之间的安全联动。在实际部署过程中，在接入用户侧部署端点准入解决方案，实现客户端点安全接入网络。同时启动安全联动的特性，一旦安全设备检测到内部网用户正在对网络的服务器进行攻击，可以实现对攻击者接入位置的有效定位，并采取类似关闭接入交换机端口的动作响应，真正实现从被动防御向主动防御的转变。

4.5 实现统一的安全管理，体现对整个网安全事件的“可视、可控和可管”

统一建设的安全防护系统，还有一个最为重要的优势，就是能实现对全网安全设备及安全事件的统一管理。面对各种安全设备发出来的大量的安全日志，单纯靠管理员的人工操作是无能为力的，而不同厂商之间的安全日志可能还存在较大的差异，难以实现对全网安全事件的统一分析和报警管理。因此在规划之初，就需要考虑到各种安全设备之间的日志格式的统一化，需要考虑设定相关安全策略以实现对日志的归并分析并最终输出各种合规性的报表，只有这样才能做到对全网安全事件的统一可视、安全设备的统一批量配置下发，以及整网安全设备的防控策略的统一管理，最终实现安全运行中心管控平台的建设。[3]

4.6 关注数据存储安全，强调本地数据保护和远程灾难备份相结合

在整体数据安全防护策略中，可以采用本地数据保护和远程灾备相结合的方式。基于CDP的数据连续保护技术可以很好地解决数据本地安全防护的问题，与磁带库相比，它具有很多的技术优势。在数据库的配合下，通过连续数据快照功能实现了对重要数据的连续数据保护，用户可以选择在出现灾难后恢复到前面保存过的任何时间点的状态，同时支持对“渐变式灾难”的保护和恢复。在建设异地的灾备中心时，可以考虑从数据级灾备和应用级灾备两个层面进行。生产中心和异地灾备中心的网络连接方式可以灵活选择，即可采用光纤直连，也可采用足够带宽的IP网络连接。在数据同步方式选择上，生产中心和灾备中心采用基于磁盘阵列的异步复制技术，实现数据的异地灾备。异地灾备中心还可以有选择地部署部分关键应用服务器，以提供对关键业务的应用级接管能力，从而实现对数据安全的有效防护。

5.结束语

企业信息安全防护体系的建设是一个长期的持续的工作，不是一蹴而就的，就像现阶段的信息安全威胁也在不断的发展和更新，针对这些信息安全威胁的防护手段也需要逐步的更新并应用到企业的信息安全建设之中，这种动态的过程将使得企业的信息安全防护更有生命力和主动性，真正为企业的业务永续运行提供保障。

参考文献

[1]李纳.计算机系统安全与计算机网络安全浅析[J].科技与企业，2013.

[2]李群，周相广，陈刚.中国石油上游信息系统灾难备份技术与实践[J].信息技术与信息化，2010，06.

篇2

在进行信息安全总体架构规划时，企业容易陷入两个误区: 一是罗列一堆产品和技术，把能够看到的安全产品和安全技术（防火墙、防病毒、入侵监测、加密技术、VPN、终端准入控制）都堆砌起来，以为这样就构成了全面的安全屏障; 二是把企业信息安全等同于网络安全，给出的规划也只能是局部的、残缺不全的。

要做企业信息安全总体架构规划，首先要了解企业的信息安全需求。抛开需求做规划，难免会掉进前面所讲的两种误区中。因此，做规划要从需求入手。

企业信息安全总体架构规划模型（图1）以企业信息安全的需求（保密性、完整性、可用性）为出发点，以应用安全、数据安全、主机安全、网络安全、桌面安全、物理安全为关注重点，层层剖析、全面挖掘企业的信息安全需求，是一种将管理、技术和人员三者有机结合的企业信息安全保障体系。该模型均衡考虑了企业在保密性（C）、完整性（I）和可用性（A）三方面的安全需求。

企业信息安全总体架构规划模型虽然清晰地指出了规划的要点、重点和思路，但是按照此模型还是不知道如何去做，具体实施应参照一定的方法论进行。企业信息安全总体架构规划方法论（图2）融合了以管理和技术为核心的全面分析方法，以安全需求为焦点，从管理现状、技术现状和人员状况三个维度，综合采用调查问卷、人员访谈、现场察看、资料分析、技术检测等多种手段，全面深入地挖掘需求。在明确需求的前提下，借鉴同类企业成功经验并均衡考虑CIA（保密性、完整性、可用性），规划符合企业实情的信息安全保障体系。

在企业信息安全总体架构规划方法论中，重点工作的描述如下:

调查问卷

针对企业情况，信息主管应参照ISO27001/ISO13335等标准，制定相应的调查问卷，通过它全面了解企业的安全要求、安全状况、IT环境，以及企业信息系统的应用情况和已经采取的安全控制手段。

人员访谈

应选定关键领导和关键岗位，进行人员访谈，全面了解信息系统的安全需求，层层剖析、深入了解企业信息系统各层面的安全现状，包括应用状况、数据存储及数据库、主机及操作系统、网络拓扑及网络管理、数据中心及桌面管理等。

现场查看

为了确保获取信息的全面性和准确性，实地考察是非常必要的。现场查看主要有两方面。一方面是了解现有技术措施的情况，例如设备使用状况、技术应用状况等; 另一方面是物理环境察看，例如机房、办公室、其他重要区域、门禁、监控等。

资料分析

收集企业的相关资料进行分析，重点包括信息系统的部署架构、网络架构、安全制度、运维管理、IT运行报告和IT审计报告。

技术检测

采取技术手段进行漏洞检测和分析，包括渗透测试、漏洞扫描、本地检查和手工检查等。充分发掘网络方面的漏洞、主机及操作系统漏洞、数据库方面的漏洞、应用方面的漏洞等。

CIA均衡考虑

通过前面5种方法完成需求分析之后，CIO对信息安全的具体详细的需求就了解了。然后针对企业的信息安全需求，均衡考虑CIA三个方面设计技术、管理和人员控制措施，并将这些措施有机结合构建信息安全保障体系。

篇3

关键词：信息完全；技术；体系

一、前言

随着金川集团公司跨国经营战略的实施，企业信息化进程不断深入，企业信息安全己经引起公司领导的的高度重视，但依然存在不少问题。调查结果表明，造成网络安全事件发生的原因有很多，一是安全技术保障体系尚不完善，企业花了大量的金钱购买了信息安全设备，但是技术保障不成体系，达不到预想的目标;二是应急反应体系没有经常化、制度化;三是企业信息安全的标准、制度建设滞后。其中，由于未修补或防范软件漏洞导致发生安全事件的占安全事件总数的80%，登录密码过于简单或未修改密码导致发生安全事件的占19%。近年来，虽然使用单位对信息网络安全管理工作的重视程度普遍提高，80%的被调查单位有专职或兼职的安全管理人员，但是，很多企业存在安全观念薄弱、安全管理员缺乏培训、安全经费投入不足和安全产品不能满足要求等问题，也说明目前安全管理水平还比较低。因此现代企业迫切需要建立信息资源安全管理体系。

二、企业信息资源安全管理体系构建

1、企业信息安全组织管理

企业信息安全组织体系定义为一个三层的组织，组织架构如图所示:

企业信息安全组织

l)总经理通过总经办负责企业信息、安全的决策事项。2)总经理任命一名信息安全主管负责企业信息安全的风险管理，该主管领导一个有各个部门主要负责人参加的信息安全管理小组维护企业信息安全管理体系、管理企业信息安全风险。3)总经理任命一名信息安全审计师，负责企业信息安全活动的审计。4)行政部门、业务部门和分支机构执行信息安全管理体系中的相应安全政策，并在信息安全管理主管的领导下，实施风险管理计划。各个部门负责人有义务向信息安全主管报告所管辖部门的信息安全状况，信息安全主管应定期在组织范围内和向上级机关报告企业信息安全状况。

2、企业信息安全政策管理

根据企业信息安全风险分析的结果和信息安全政策制定的原则，设计信息安全政策体系包括以下几点：（1）企业信息安全风险管理政策：a)信息安全风险定义，包括风险等级定义和安全类别定义;b)信息安全风险评估执行要求，包括时问周期要求、范围要求、基于事件的风险评估要求:c)信息安全风险评估责任，包括信息安全管理人员责任和业务部门责任。（2）企业信息安全体系管理政策：a)管理体系的规划，包括规划的时机、规划的内容、规划的依据、规划的责任人:b)管理体系的实施，包括、培训、执行奖惩。c)管理体系的验证，包括周期管理评审、安全审计、事件评审、残留风险评估。d)管理体系的改进，包括分析和变更控制。（3）病毒抵御安全政策：a)操作程序一运行网络管理人员日常工作的程序。这部分安全政策主要控制的风险是不规范的管理活动造成无效或低效的管理。b)关键资源监控一识别出关键设备并对关键设备的运行状态进行监控。这部分安全政策主要控制的风险是关键资源异常情况不能被及时发现和处理。c)软件系统维护一对软件系统及时地升级和打补丁。这部分安全政策主要控制的风险是软件系统未及时升级和/或打补丁而造成的信息故障或者安全事故。d)敏感资料存储一对在业务进行过程中产生的敏感信息的存放管理。这部分安全政策主要控制的风险是由于对敏感资料存储不当导致资料的丢失或泄漏。

3、企业信息安全事件管理

目前，没有任何一种具有代表性的信息安全策略或防护措施可对信息、信息系统、服务或网络提供绝对的保护。即使采取了防护措施，仍可能存在残留的弱点，使得信息安全防护变得无效，从而导致信息安全事件发生，并对企业的业务运行直接或间接地产生负面影响。此外，以前未被认识到的威胁也将会不可避免地发生。企业如果对如何应对这些事件没有作好充分准备，其任何实际响应的效率都会大打折扣，甚至还可能增加潜在的业务负面影响。因此，企业应着重做好信息安全事件管理工作。信息安全事件管理方案的必企业应着重做好信息安全事件管理工作。信息安全事件管理方案的必要过程包括：（1）发现和报告发生的信息安全事态，无论是由企业人员／顾客引起的还是自动发生的（如防火墙警报）。（2）收集有关信息安全事态的信息，由企业的运行支持组人员进行评估，确定该事态属于信息安全事件还是发生了误报。确认该事态是否属于信息安全事件，如果是，则立即作出响应，同时启动必要的法律取证分析、沟通活动。（3）进行评审以确定该信息安全事件是否处于控制下。（4）如果处于控制下，则启动任何所需要的进一步的后续响应，以确保所有相关信息准备完毕，供事件解决后评审所用。（5）如果不在控制下，则采取“危机求助”活动并召集相关人员，如企业中负责业务连续性的管理者和工作组。（6）在整个阶段按要求进行上报，以便进一步评估和决策。（7）确保所有相关人员，正确记录所有活动以备后面分析所用。（8）确保对电子证据进行收集和安全保存，同时确保电子证据的安全保存得到持续监视，以备法律起诉或内部处罚所需。（9）确保包括信息安全事件追踪和事件报告更新的变更控制制度得到维护，从而使得信息安全事态／事件数据库保持最新。

4、企业信息安全技术管理

我们所构建的信息安全管理体系中，不能忽视技术的作用，虽然只使用技术控制不能保证一个信息安全环境，但是在通常情况下，它是信息安全项目的基础部分。（1）密码服务技术。密码服务技术为密码的有效应用提供技术支持。通常密码服务系统由密码芯片、密码模块、密码机或软件，以及密码服务接口构成。通常，企业会涉及以下几个方面的密码应用：数字证书运算、密钥加密运算、数据传输、数据储存、数字签名、数字信封。（2）故障恢复技术。故障恢复的主要措施有：群集配置，由多台计算机组成群集结构，尽可能消除整个系统可能存在的单点故障；双机热备份，在任何一台设备失效的情况下，按照预先定义的规则快速切换至相应的备份设备，维持业务的正常运行；故障恢复管理，由专门的集群软件进行管理和监控，使应用系统在任何软硬件组成单元发生故障时，能够根据 故障情况重新分配任务。（3）恶意代码防范技术：恶意代码防范技术包括四大系统：病毒查杀系统、网关防毒系统、群件防毒系统、集中管理系统。（4）入侵检测技术。入侵检测系统是实现入侵检测功能的一系列的软件、硬件的组合。入侵检测系统以实时方式监测网络通信，对其进行分析并实时安全预警，从而使企业能够有效管理内部人员和资源，并对外部攻击进行早期预警和跟踪，有效保障系统安全。基于主机的入侵检测系统通常以系统日志、应用程序日志等审计记录文件作为数据源。通过比较这些审计记录文件与攻击签名是否匹配，如果匹配立即报警采取行动.基于网络的入侵检测系统把原始的网络数据包作为数据源。它是利用网络适配器来实时监视并分析通过网络进行传输的所有通信业务。（5）扫描与分析技术。端口扫描工具能识别网络上活动的计算机，同样也可以识别这些计算机上的活动端口和服务。可以扫描特定类型的计算机、协议和资源，也可进行普遍扫描。漏洞扫描可以扫描网络并得到非常详细的信息。可以识别暴露的用户名和组，显示开放的网络共享，并暴露配置问题和其他服务器漏洞。内容过滤器也能有效地保护机构系统，使其不受误用和无意的拒绝服务。

5、企业信息安全培训的必要性

公司目前很多岗位和部门的员工都从事涉密数据相关工作，有很多数据和信息涉及到公司的机密和知识产权，但是大多数员工信息安全意识差，在平时的工作中在意识上和实际工作中存在很多问题，导致涉密数据的外漏，给公司的生产经营造成不可挽回的损失。在有管理组织、政策制度和技术保障的情况下，通过对涉密数据相关工作人员的信息安全意识和信息安全操作培训是非常必要的。

三、结语

总之，企业信息安全管理体系是一个企业日常经营和持续发展的基本保证，也是企业战略和管理的重要环节。建立信息安全管理体系的目的就是降低信息风险对企业的危害。并将企业信息系统投资和商业利益最大化。信息安全不只是个技术问题，而更多的是商业、管理和法律问题。实现信息安全不仅仅需要采用技术措施，还需要更多地借助于技术以外的其他手段。

参考文献：

篇4

关键词： 企业信息系统；信息安全；安全策略

中图分类号：F270.7 文献标识码：A 文章编号：1671－7597（2012）0220165－01

随着市场经济的不断发展，企业竞争越来越激烈，国际化合作不断增多，随之而来的企业信息安全是目前我国企业普遍存在的问题。对企业来说，信息安全是一项艰巨的工作，关系到企业的发展。近年来，围绕企业信息安全问题的话题不断，企业信息安全事件也频频发生，如何保证企业信息的安全，保证信息系统的正常运转，已经成为信息安全领域研究的新热点。

1 企业信息安全的意义

信息安全是一个含义广泛的名词，是指防止信息财产被故意的或偶然的非授权泄露、更改、破坏，或防止信息被非法辨识、控制，即确保信息的保密性、可用性、完整性和可控性。企业的正常运转，离不开信息资源的支撑。企业信息安全建设对企业的发展意义重大。

首先，信息安全是时展的需要。计算机网络时代的发展，改变了传统的商务运作模式，改变了企业的生产方式和思想观念，极大推动了企业文化的发展。企业信息安全的建设将使得企业的管理水平与国际先进水平接轨，从而成长为企业向国际化发展与合作的有力支撑。

其次，信息安全是企业发展的需要。企业的信息化建设带来了生产效率提高、成本降低、业务拓展等诸多好处。当前越来越多的企业信息和数据，都是以电子文档的形式存在，对企业来说，信息安全是使企业信息不受威胁和侵害的保证，是企业发展的基本保障，所以，在积极防御，综合防范的方针指导下，有效地防范和规避风险，建立起一套切实可行的长效防范机制，逐步建立起信息安全保障体系，有利于企业的发展。

最后，信息安全是企业稳定的必要前提。信息安全成为保障和促进企业稳定和信息化发展的重点，要充分认识信息安全工作的紧迫感和长期性，从企业的安全、经济发展、企业稳定和保护企业利益的角度来思考问题，扎扎实实地做好基础性工作和基础设施建设，在建立信息安全保障体系的过程中，必须搞好链接信息安全保障体系建设安全、建设健康的网络环境，关注信息战略，保障和促进信息化的健康发展。

2 企业信息安全的现状

我国企业信息安全包括计算机系统的硬、软件及系统中的数据受到保护，不受偶然的或恶意的原因而遭到破坏、更改、泄露，使得系统连续、可靠、正常的运行，网络服务不中断。计算机和网络技术具有复杂性和多样性，使得企业信息安全成为一个需要持续更新和提高的领域。就目前来看，主要存在以下三个方面的隐患。

2.1 企业缺少信息安全管理制度

企业信息安全是一个比较新的领域，目前还缺少比较完善的法规，现有的法规，由于相关安全技术和手段还没有成熟和标准化，法规也不能很好地被执行，安全标准和规范的缺少，导致无从制定合理的安全策略并确保此策略能被有效执行。企业的信息系统安全问题是一个系统工程，涉及到计算机技术和网络技术以及管理等方方面面，同时，随着信息系统的延伸和新兴技术集成应用升级换代，它又是一个不断发展的动态过程。因此对企业信息系统运行风险和安全需求应进行同期化的管理，不断制定和调整安全策略，只有这样，才能在享受企业信息系统便利高效的同时，把握住信息系统安全的大门。

2.2 员工缺少安全管理的责任心

一个企业的信息系统是企业全体人员参与的，不考虑全员参与的信息安全方案，恰恰忽视信息安全中最关键的因素――人，因为他们才是企业信息系统的提供者和使用者，他们是影响信息安全系统能否达到预期要求的决定因素。在众多的攻击行为和事件中，发生最多的安全事件是信息泄露事件。攻击者主要来自企业内部，而不是来自企业外部的黑客等攻击者，安全事件造成最大的经济损失主要是内部人员有意或无意的信息泄露事件。针对内部员工的泄密行为，目前还没有成熟的、全面的解决，对于来自企业信息内部信息泄密的安全问题，一直是整个信息安全保障体系的难点和弱点所在。

2.3 信息系统缺乏信息安全技术

计算机信息安全技术是一门由密码应用技术、信息安全技术、数据灾难与数据恢复技术、操作系统维护技术、局域网组网与维护技术、数据库应用技术等组成的计算机综合应用学科。由于认识能力和技术发展的局限性，在硬件和软件设计过程中，难免留下技术缺陷，网络硬件、软件系统多数依靠进口，由此可造成企业信息安全的隐患，现在黑客的攻击并不是为了破坏底层系统，而是为了入侵应用，窃取数据，带有明显的商业目的，许多黑客就是通过计算机操作系统的漏洞和后门程序进入企业信息系统。随着网络应用要求的越来越多，针对应用的攻击也越来越多，除了在管理制度上确保信息安全外，还要在技术上确保信息安全。

3 企业信息安全中存在的问题

信息时代的到来，从根本上改变了企业经营形式，企业实施信息化为其带来便利的同时也产生了巨大的信息安全风险。由于我国企业信息安全工作还处于起步阶段，基础薄弱，导致信息安全存在一些亟待解决的问题。比较常见的问题有病毒危害、“黑客”攻击和网络攻击等，这些问题给企业造成直接的经济损失，成为企业信息安全的最大威胁，使企业信息安全存在着风险因素。

3.1 病毒危害

计算机病毒是指编制或者在计算机程序中插入的破坏计算机功能或者数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码，它是具有破坏作用的程序或指令集合。计算机病毒已经泛滥成灾，几乎无孔不入，据统计，计算机病毒的种类已经超过4万多种，而且还在以每年40%的速度在递增，随着Internet技术的发展，病毒在企业信息系统中传播的速度越来越快，其破坏性也越来越来越强。

3.2 “黑客”攻击

“黑客”是英文Hacker的谐音，黑客是利用技术手段进入其权限以外的计算机系统的人。黑客破解或破坏某个程序、系统及网络安全，或者破解某系统或网络以提醒该系统所有者的系统安全漏洞的过程。通常采用后门程序、信息炸弹、拒绝服务、网络监听、密码破解等手段侵入计算机系统，盗窃系统保密信息，进行信息破坏或占用系统资源，黑客攻击已经成为近年来经常出现的问题。

3.3 网络攻击

网络攻击就是对网络安全威胁的具体表现，利用网络存在的漏洞和安全缺陷对系统和资源进行的攻击。尤其是在最近几年里，网络攻击技术和攻击工具有了新的发展趋势，使借助Internet运行业务的企业面临着前所未有的风险。由此可知，企业的信息安全问题、以及对信息的安全管理都是至关重要的。要保证企业信息安全，就必须找出存在信息安全问题的根源，并具有良好的安全管理策略。

4 企业信息安全的解决方案

为确保企业信息安全，要坚持积极防御，综合防范的方针，全面提高信息安全防护能力。因此，面对企业信息安全的现状和企业信息安全发展中出现的问题，必须实施对企业的信息安全管理，建设信息安全管理体系，只有建立完善的安全管理制度，将信息安全管理自始至终贯彻落实于信息管理系统的方方面面，企业信息安全才能得以实现。企业信息安全的解决方案，具体表现在以下三个方面：

4.1 建立完善的安全管理体系

完整的企业信息系统安全管理体系首先要建立完善的组织体系，完成制定并信息安全管理规范和建立信息安全管理组织等工作，保障信息安全措施的落实以及信息安全体系自身的不断完善。并建立一套信息安全规范，详细说明各种信息安全策略。一个详细的信息安全规划可以减轻对于人的因素带来的信息安全问题。最基本的企业安全管理过程包括：采用科学的企业信息资产评估和风险分析模型法、设计完备的信息系统动态安全模型、建立科学的可实施的安全策略，采取规范的安全防范措施、选用可靠稳定的安全产品等。安全防范体系的建立不是一劳永逸的，企业网络信息自身的情况不断变化，新的安全问题不断涌现，必须根据暴露出的一些问题，进行更新，保证网络安全防范体系的良性发展，

4.2 提高企业员工的安全意识

科技以人为本，在信息安全方面也是靠人来维护企业的利益，我们在企业信息网络巩固正面防护的时候不能忽视对人的行为规范和绩效管理。企业员工信息安全意识的高低是一个企业信息安全体系是否能够最终成功实施的决定性因素。企业应当制定企业人员信息安全行为规范，必须有专门管理人才，才能有效地实现企业安全、可靠、稳定运行，保证企业信息安全。教育培训是培训信息安全人才的重要手段，企业可以对所有相关人员进行经常性的安全培训，强化技术人员对信息安全的重视，提升使用人员的安全观念，有针对性的开展安全意识宣传教育，逐步提高员工的安全意识，强调人的作用，使他们明确企业各级组织和人员的安全权限和责任，使他们的行为符合整个安全策略的要求。

4.3 不断优化企业信息安全技术

企业一旦制定了一套详细的安全规划来武装自己，保护其智力资产，它就开始投入到选择采用正确信息安全技术上。可供企业选择的防止信息安全漏洞的安全技术有很多。当企业选择采用何种技术时，首先了解信息安全的三个领域是十分有帮助的，这三个领域变得：验证与授权、预防和抵制、检测和响应。其中，用户验证是确认用户身份的一种方法，一旦系统确认了用户身份，那么它就可以决定该用户的访问权限，比如使用用户名和密码。预防和抵抗技术是指企业阻止入侵者访问。对于任何企业，必须对那些故障做好准备和预测，目前可以帮助预防和建设抵抗攻击的技术主要有内容过滤、加密和防火墙，在选用防火墙的时候，需要对所安装的防火墙做一些攻击测试。此外，企业信息安全的最后一道屏障是探测和反应技术，最常见的探测和反应技术是杀毒软件。

5 结语

总之，企业信息安全是一项复杂的系统工程，企业要适应现代化发展的需要，要提高自身信息安全意识，加强对信息安全风险防范意识的认识，重视安全策略的施行及安全教育，必须做到管理和技术并重，安全技术必须结合安全措施，并加强信息安全立法和执法的力度，建立备份和恢复机制， 为企业设计适合实际情况的安全解决方案，制定正确和采取适当的安全策略和安全机制，保证企业安全体系处于应有的健康状态。

参考文献：

[1]张帆，企业信息安全威胁分析与安全策略[J].网络安全技术与应用，2007（5）.

[2]谌晓欢，企业信息安全问题及解决方案[J].企业技术开发，2008（8）.

[3]付沙，企业信息安全策略的研究与探讨[J].商场现代化，2007（26）.

[4]姜桦、郭永利，企业信息安全策略研究[J].焦作大学学报，2009（1）.

篇5

【关键词】企业信息化；信息安全问题；原因；对策

新时期下，信息化技术在各行业中运用日渐深入，给企业现代化建设与快速发展带来了无限动力。企业信息化建设已成为我国经济信息化建设能否成功的关键所在，也是提升企业自身市场竞争力与企业升级进步的重要保证和标志[1]。但是，企业信息化建设过程中不可避免的出现信息安全问题，给企业正常生产经营带来诸多不利影响。因此，加强企业信息化建设中信息安全管理，已成为现代企业经营管理的一个至关重要的工作。

1企业信息化概述

所谓的企业信息化，指的是实现企业的资金流、物流、作业流、信息流的数字化、网络化管理，实行企业运行的自动化和企业制度的现代化[2]。企业信息化建设涉及了企业生产经营中的各个部门，其主要利用现代化信息技术，通过完善企业内外网络信息系统，实现对企业内外知识与信息资源的开发。可见，建设企业信息化体系，不但可以及时有效的提供各种数据信息给企业决策层，也为企业未来规划设计提供参考依据，而且还有利于企业满足瞬息万变的市场需求，为企业市场核心竞争力的提升带来动力。

2当前企业信息化建设中信息安全问题

企业信息化建设与发展为企业持续、健康、稳定发展发挥了显著作用，但同时也存在着诸多信息安全问题，具体分析主要有以下几方面[3]：（1）当前，绝大多数企业缺乏完善的安全防御系统，导致企业内部使用的信息系统易遭受外部网络系统的攻击，引发企业信息资料被他人截获、篡改与伪造等问题，甚至企业信息系统中出现通信线路、硬盘设施以及其他文件系统遭恶意破坏现象，上述问题的发生不但致使企业信息系统无法正常运行，而且其内部机密信息易发生泄漏，造成企业严重的社会经济损失。（2）针对邮件系统攻击防不甚防。在企业信息系统中电子邮件具有重要的作用，通过电子邮件接收与传送，极大的方便了企业内部间与外部间信息交流与沟通。然而，电子邮件安全问题也日益突出，典型的如电子邮件病毒、垃圾邮件、机密信息泄露以及电子邮件炸弹等，给企业信息传输带来了巨大安全隐患。因此，电子邮件安全问题不可忽视。（3）漏洞攻击日益严重。按照漏洞问题发生原因可分为软件漏洞和协议漏洞两种，其中软件漏洞主要是受外部不法分子攻击软件自身存在的漏洞，造成企业信息泄露等问题；而协议漏洞则主要是由于TCP/IP协议自身在安全机制方面存在的诸多漏洞问题导致，外部不法人员通过攻击TCP/IP协议漏洞，致使企业信息系统遭受破坏。目前情况，很多企业对自身信息系统缺乏成熟的漏洞检测手段和能力，往往事发后才采取补救措施。（4）是Web服务安全问题突出，根据Web服务流程，其发生安全问题的主要组成包括Web服务端安全问题、浏览器客户端安全问题两种。其中，Web服务端安全问题主要是企业Web主机遭受外部不法分子侵入，导致企业保密信息遭窃或者企业部分信息遭受非法篡改等；浏览器客户端安全问题则是企业浏览器客户端遭外部非法分子侵入，致使部分机密信息与数据遭窃等。

3导致企业信息化建设中信息安全问题因素

企业信息化建设中信息安全问题发生受诸多因素影响，具体分析主要有以下几方面[4]：（1）目前，绝大多数企业在信息化建设过程中，对于信息安全问题重视度严重不足。一方面，受传统经营观念影响，企业管理层偏重于对企业生产经营中的有形资产给予关注与重视，而忽略了企业知识与信息资料等无形资源，导致在企业信息安全管理方面各项投入严重不足，进而造成信息安全问题日益凸显；另一方面，多数企业在面对信息安全问题时，存在着盲目乐观现象，认为信息安全问题不至于导致企业正常生产经营，使得信息安全管理无法上升至企业发展规划战略之中，进而造成信息安全问题得不到及时有效解决。（2）由于企业信息化建设在我国尚处于起步阶段，各方面配套管理制度不够完善，特别是缺乏健全的企业信息安全管理体制。受此影响，企业信息化建设中信息安全问题一方面无法得到有效的预防措施，另一方面是一旦发生信息安全问题，无法采取及时有效的补救与解决对策。同时，由于缺乏科学、合理、有效的企业信息安全防护策略，使得企业信息管理人员缺乏必要的安全防护意识与业务素质能力，致使企业信息安全防护软硬件工作质量与效率明显不足。上述两个因素，导致企业无论是从人员配置，还是资金与技术投入方面都严重不足，受企业信息管理人员业务素质能力不足、信息安全技术方法落后以及配套的资金缺乏等影响，企业信息安全防护的措施、手段偏低，造成企业信息化建设存在着严重安全隐患。

4提升企业信息化建设中信息安全对策

针对当前企业信息化建设中存在的信息安全问题，为加强企业信息安全管理，提升企业信息安全保障，可通过采取以下几方面对策，具体有[5]：（1）转变传统企业信息化建设观念，在企业内部管理层从上至下加强对企业信息安全的重视，并树立正确的安全意识。一方面，通过组织各种信息安全管理培训等，增强全体企业员工信息安全意识，确保企业保密信息不外漏；另一方面，逐步加大企业信息化建设中信息安全管理各项资金、技术、人力投入，并建立科学、合理、有效的企业信息安全防护策略，保障企业信息系统安全稳定。（2）不断的推进网络信息技术的发展与运用，促进企业组织结构网络化的实现，同时引进先进的安全防护技术，确保企业信息化系统安全稳定运行。任何网络信息系统都存在着或大或小的安全漏洞问题，而保证其不受外部不法分子侵入的一个关键方法就是安全防护技术的运用。通过选用先进的安全防护技术，可以有效的提高企业信息系统抵抗外来攻击，避免企业信息遭受窃取、篡改甚至破坏等，对于保障企业持续、健康、稳定发展具有显著作用。（3）结合企业信息化建设实际情况，建立健全企业内部信息系统管理体制。一方面，针对信息安全问题，应建立科学、合理、规范的信息安全管理体制，保证企业信息系统安全运行；另一方面，建立健全企业安全风险评估机制，针对不同系统找出影响其安全的因素和漏洞，并制定出最佳的对策，降低企业信息安全风险；此外，加强相应的网络管理，防止外来不法分子通过网络侵入企业信息系统。（4）根据新时期企业信息化建设需要，加强企业信息技术人才、信息管理人才队伍建设，为企业信息安全管理奠定坚实的人才基础。一方面，在企业内部，加强信息技术人才培训，提高企业内部相关人才业务素质能力；另一方面，在企业外部，采取有效措施，积极招聘人才，引进具有先进信息技术型人才；此外，建立健全企业信息安全管理用人机制，激发员工工作积极性，提高工作质量与效率。

5小结

总而言之，企业信息安全事关企业信息化建设是否成功，对于企业持续、健康、稳定发展具有至关重要的作用。因此，应提高企业信息安全管理意识，增强企业信息安全管理机制，促进企业信息安全管理工作质量与效率，保障企业信息化建设顺利开展。

作者:吴捷 单位:中海石油气电集团有限责任公司

参考文献

[1]毛志勇.企业信息化建设的信息安全形势与对策研究[J].科技与产业，2008，8，（1）：43~45.

[2]纂振法，徐福缘.浅析企业信息化建设的意义、问题与对策[J].吉林省经济管理干部学院学报，2001，3：24~28.

[3]谢志宏.企业信息化建设中的信息安全问题研究[J].企业导报，2014（06）：132~133.

篇6

1．1地理信息系统及数据采集与监控系统

在燃气企业中应用GIS系统，既能对燃气管线进行电子化图档管理，也能实时监控天然气管网规划、抢修等情况。GIS通过将现有的管网及周边地理状况、管线、设备等信息，集成为管线集输的综合信息，然后，实时传输和展现给燃气企业相关管理人员，从而为燃气管线运行、设备维护和安全管理，提供全面、准确的参考依据。

1．1．1．数据采集与监控系统(SCADA)

SCADA系统是燃气管道应急系统的重要组成部分，是一项集实时工控与调度信息管理为一体的大型的计算机应用系统。可以远程监控与管理各门站、调压站等站点，确保燃气系统运行高效、安全、经济运行。

1．2事故处理方案决策优化与管网风险评价

1．2．1事故处理方案优化决策

在燃气行业的日常工作中，如遇管网故障，发生危险，必须快速、有效的进行应急处置和救援。其具体流程一般如下:接获任务并了解现场情况，相关人员迅速召开会议或电话、电视会议，制定抢修、救援方案，然后进行抢修和救援。但是，抢修时间紧迫，这种处置流程不仅浪费宝贵的时间和资源，也会受到人为主观因素的影响，例如，意见不统一或决策失误等，不仅延误抢修和救援，甚至可能会导致二次事故。采用模糊评价法对燃气管网事故的解决方案进行对比和遴选，通过定性和定量分析选择最优方案。首先利用模糊关键词，采用定性和定量方法分析事故，然后以技术打分分配各因素权重，最后通过决策软件实现方案的最优选择。可以实现在事故发生时，提供关键词，即可获得最佳的抢修方案，以排除人为主观因素的干扰，更科学、更理性。

1．2．2管网风险评价

不少燃气企业对管网安全评价重视不足，尤其缺乏对现役管线的风险评价。对燃气管线的管理，仅仅做到定期运行和巡检是不够的，还要更多的考虑到未来规划的问题。例如，分几期对管线进行改造，改造又分为几步，如何开展等等。通过建立管网仿真及安全评价系统，结合各管线属性信息，例如腐蚀程度、第三方破坏程度、维检修情况、压力检测等等，建立一个庞大的数据信息库，全面考察管线危险性，得到危险等级排序，预测管线使用寿命，对未来管线更新及改造规划提供理论指导。

2城市燃气企业信息安全探索

2．1信息安全的概念

根据GB/T22081－2008，所谓的信息安全就是通过采取有效策略，确保信息免受各种威胁、损害，从而保证业务连续性，并达到风险最小、投资回报最优。燃气企业信息安全，就是指燃气企业信息资产安全可靠，业务稳定开展，不会受到系统自身和外来网络病毒、黑客等的攻击，如果出现安全事故，其损失可以降到最低。

2．2燃气企业管理存在的信息安全问题

2．2．1信息安全意识淡薄

当代社会，信息载体多样化，办公电脑、存储设备以及系统软件使用不规范都容易导致信息泄露，在常见的搜索引擎上可以轻易的查询到某燃气企业或大型公司企业的内部文件，这些情况的发生，正是由于企业信息安全意识淡薄，对信息的传播安全管理重视不够导致的。

2．2．2信息安全管理机制不健全

在网络信息安全管理中，一般都强调“三分技术，七分管理”。由此可见，信息安全最重要的是管理的安全。安全与管理是密不可分的，信息防护技术只是信息安全的一部分，仅仅将投入放在这一方面是远远不够的，缺乏完整、规范以及系统化的信息安全管理制度，将无法从根本上实现信息安全。

2．2．3信息安全技术人才缺乏

在燃气企业中，受传统管理理念的影响，不少企业管理人员对于信息安全认识及其重要性认识不足，不注重企业信息安全管理人员和技术配备，导致企业信息安全管理水平不高。虽然最近几年来，燃气企业信息化建设水平不断提高，吸纳了许多信息化技术人才，但是专业从事综合性的信息安全管理工作人员比例仍然较低。

2．3信息安全建设中的关键问题分析

2．3．1准确评估风险大小，正确处置安全风险

风险评估的方法很多，燃气企业进行信息安全风险评估时，需要立足企业实际，根据GB/T20984－2007《信息安全技术信息安全风险评估规范》，制定科学、合理的风险评估流程，辨识完毕企业的信息安全风险之后，要采取科学、合理的处置办法:风险接受、风险规避、风险减缓以及风险转移。

2．3．2重视人在燃气企业信息安全管理中的作用

企业管理中，最重要的因素就是人，人是信息安全的管理者，也是信息安全危险事件的诱发者，由于人为因素导致的信息安全事件不在少数。若要对企业职工进行约束，首先要明确职工的信息安全管理职责，加强人员思想教育，通过教育和培训，在企业内建立起良好的信息安全文化氛围。

2．3．3细化信息资产分类，提高资产管理水平

在当今，信息无疑是燃气企业宝贵的资源和资产，信息资产的管理应当做到:建立信息资产清单并规范管理;设定信息分类、等级并区分保存;信息标记，并明确标记内容。尤其大量存储数据信息的移动硬盘、废旧电脑，简单的格式化处理后，数据信息极易被还原，必须要通过物理销毁、数据覆盖或者不可逆专门处理工具进行销毁。

2．3．4加强信息安全事件管理，预防信息安全事件发生

通过有效的技术防范措施，比如在系统中安装防火墙软件、反病毒产品、定期备份数据等，对设备、网络进行定期检查，及时处理过期、失效产品。同时，燃气企业还要建立完善的信息安全应急处置预案，明确处置程序及各部门的职责，定期开展应急演练，以提高信息安全应急处置水平。

2．4燃气企业做好信息安全工作的几点探索

2．4．1加强新型技术的应用

如今，无线技术、互联网技术、云技术等先进的科学技术，已经日益广泛地融入企业日常工作，通过技术更新，企业信息技术应用，也需要随之而变。企业推进新技术应用的同时，应当加强入侵检测、加密认证、灾难备份技术等信息安全防护技术，确保企业在新的信息技术环境中实现信息安全建设。

2．4．2大力发挥人才的优势

篇7

随着信息化进程的发展，信息技术与网络技术的高度融合，现代企业对信息系统的依赖性与信息系统本身的动态性、脆弱性、复杂性、高投入性之间的矛盾日趋突显，如何有效防护信息安全成为了企业亟待解决的问题之一。目前国内企业在信息安全方面仍侧重于技术防护和基于传统模式下的静态被动管理，尚未形成与动态持续的信息安全问题相适应的信息安全防护模式，企业信息安全管理效益低下；另一方面，资源约束性使企业更加关注信息安全防护的投入产出效应，最大程度上预防信息安全风险的同时节省企业安全建设、维护成本，需要从管理角度上更深入地整合和分配资源。

本文针对现阶段企业信息安全出现的问题，结合项目管理领域的一般过程模型，从时间、任务、逻辑方面界定了系统的霍尔三维结构，构建了标准化的ISM结构模型及动态运行框架，为信息网络、信息系统、信息设备以及网络用户提供一个全方位、全过程、全面综合的前瞻性立体防护，并从企业、政府两个层面提出了提高整体信息安全防护水平的相关建议。

1 企业信息安全立体防护体系概述

1.1 企业信息安全立体防护体系概念

信息安全立体防护体系是指为保障企业信息的有效性、保密性、完整性、可用性和可控性，提供覆盖到所有易被威胁攻击的角落的全方位防护体系。该体系涵盖了企业信息安全防护的一般步骤、具体阶段及其任务范围。

1.2 企业信息安全立体防护体系环境分析

系统运行离不开环境。信息产业其爆炸式发展的特性使企业信息安全的防护环境也相对复杂多变，同时，多样性的防护需求要求有相适应的环境与之配套。

企业信息安全立体防护体系的运行环境主要包括三个方面，即社会文化环境、政府政策环境、行业技术环境。社会文化环境主要指在企业信息安全方面的社会整体教育程度和文化水平、行为习惯、道德准则等。政府政策环境是指国家和政府针对于企业信息安全防护出台的一系列政策和措施。行业技术环境是指信息行业为支持信息安全防护所开发的一系列技术与相匹配的管理体制。

1.3 企业信息安全立体防护体系霍尔三维结构

为平衡信息安全防护过程中的时间性、复杂性和主观性，本文从时间、任务、逻辑层面建立了企业信息安全立体防护体系的三维空间结构，如图1所示。

时间维是指信息安全系统从开始设计到最终实施按时间排序的全过程，由分析建立、实施运行、监视评审、保持改进四个基本时间阶段组成，并按PDCA过程循环[5]。逻辑维是指时间维的每一个阶段内所应该遵循的思维程序，包括信息安全风险识别、危险性辨识、危险性评估、防范措施制定、防范措施实施五个步骤。任务维是指在企业信息安全防护的具体内容，如网络安全、系统安全、数据安全、应用安全等。该霍尔三维结构中任一阶段和步骤又可进一步展开，形成分层次的树状体系。

2 企业信息安全立体防护体系解释结构模型

2.1 ISM模型简介

ISM（Interpretation Structural Model）技术，是美国J·N·沃菲尔德教授于1973年为研究复杂社会经济系统问题而开发的结构模型化技术。该方法通过提取问题的构成要素，并利用矩阵等工具进行逻辑运算，明确其间的相互关系和层次结构，使复杂系统转化成多级递阶形式。

2.2 企业信息安全立体防护体系要素分析

本文根据企业信息安全的基本内容，将立体防护体系划分为如下15个构成要素：

（1） 网络安全：网络平台实现和访问模式的安全；

（2） 系统安全：操作系统自身的安全；

（3） 数据安全：数据在存储和应用过程中不被非授权用户有意破坏或无意破坏；

（4） 应用安全：应用接入、应用系统、应用程序的控制安全；

（5） 物理安全：物理设备不受物理损坏或损坏时能及时修复或替换；

（6） 用户安全：用户被正确授权，不存在越权访问或多业务系统的授权矛盾；

（7） 终端安全：防病毒、补丁升级、桌面终端管理系统、终端边界等的安全；

（8） 信息安全风险管理：涉及安全风险的评估、安全代价的评估等；

（9） 信息安全策略管理：包括安全措施的制定、实施、评估、改进；

（10） 信息安全日常管理：巡视、巡检、监控、日志管理等；

（11） 标准规范体系：安全技术、安全产品、安全措施、安全操作等规范化条例；

（12） 管理制度体系：包括配套规章制度，如培训制度、上岗制度；

（13） 评价考核体系：指评价指标、安全测评；

（14） 组织保障：包括安全管理员、安全组织机构的配备；

（15） 资金保障：指建设、运维费用的投入。

2.3 ISM模型计算

根据专家对企业信息安全立体防护体系中15个构成要素逻辑关系的分析，可得要素关系如表1所示。

对可达矩阵进行区域划分和级位划分，确定各要素所处层次地位。在可达矩阵中找出各个因素的可达集R（Si），前因集A（Si）以及可达集R（Si）与前因集A（Si）的交集R（Si）∩A（Si），得到第一级的可达集与前因集（见表2）。

2.4 企业信息安全立体防护结构

结合信息安全防护的特点，企业信息安全立体防护体系15个要素相互联系、相互作用，有机地构成递阶有向层级结构模型。图2中自下而上的箭头表示低一层因素影响高一层因素，双向箭头表示同级影响。

从图2可以看出，企业信息安全防护体系内容为四级递阶结构。从下往上，第一层因素从制度层面阐述了企业信息安全防护，该层的五个因素处于ISM结构的最基层且相互独立，构成了企业信息安全立体防护的基础。第二层因素在基于保障的前提下，确定了企业为确保信息安全进行管理活动，是进行立体防护的方法和手段；第三层因素是从物理条件、传输过程方面揭示了企业进行信息安全防护可控点，其中物理安全是控制基础。第四层要素是企业信息安全的直接需求，作为信息的直接表现形式，数据是企业信息安全立体防护的核心。企业信息安全防护体系的四级递阶结构充分体现了企业信息安全防护体系的整体性、层级性、交互性。

图2 企业信息安全防护解释结构模型

2.5 企业信息安全立体防护过程

企业信息安全立体防护是一个多层次的动态过程，它随着环境和信息传递需求变化而变化。本文在立体防护结构模型的基础上对企业信息安全防护结构进行扩展，构建了整体运行框架（见图3）。

从图3 中可以看出，企业信息安全防护过程按分析建立到体系保持改进的四个基本时间阶段中有序进行，充分体现出时间维度上的动态性。具体步骤如下：

（1） 综合分析现行的行业标准规范体系，企业内部管理流程、人员组织结构和企业资金实力，建立企业信息安全防护目标，并根据需要将安全防护内容进行等级划分。

（2） 对防护内容进行日常监测（包括统计分析其他公司近期发生的安全事故），形成预警，进而对公司信息系统进行入侵监测，判断其是否潜在威胁。

（3） 若存在威胁，则进一步确定威胁来源，并对危险性进行评估，判断其是否能通过现有措施解决。

（4） 平衡控制成本和实效性，采取防范措施，并分析其效用，最终形成内部信息防护手册。

3 分析及对策

3.1 企业层面

（1） 加强系统整体性。企业信息安全防护体系的15个构成要素隶属于一个共同区域，在同一系统大环境下运作。资源受限情况下要最大程度地保障企业信息安全，就必须遵循一切从整体目标出发的原则，加强信息安全防护的整体布局，在对原有产品升级和重新部署时，应统一规划，统筹安排，追求整体效能和投入产出效应。

（2） 明确系统层级性。企业信息安全防护工作效率的高低很大程度上取决于在各个防护层级上的管理。企业信息安全防护涉及技术层面防护、策略层面防护、制度层面防护，三个层面互相依存、互相作用，其中制度和保障是基础，策略是支撑，技术是手段。要有效维护企业信息安全，企业就必须正确处理好体系间的纵向关系，在寻求技术支撑的同时，更要立足于管理，加强工作间的协调，避免重复投入、重复建设。

（3） 降低系统交互性。在企业信息安全防护体系同级之间，相关要素呈现出了强连接关系，这种交互式的影响，使得系统运行更加复杂。因此需要加快企业内部规章制度和技术规范的建设，界定好每个工作环节的边界，准确定位风险源，并确保信息安全策略得到恰当的理解和有效执行，防止在循环状态下风险的交叉影响使防范难度加大。

（4） 关注系统动态性。信息安全防护是一个动态循环的过程，它随着信息技术发展而不断发展。因此，企业在进行信息安全防护时，应在时间维度上对信息安全有一个质的认识，准确定位企业信息安全防护所处的工作阶段，限定处理信息安全风险的时间界限，重视不同时间段上的延续性，并运用恰当的工具方法来对风险加以识别，辨别风险可能所带来的危险及其危害程度，做出防范措施，实现企业信息安全的全过程动态管理。

3.2 政府层面

企业信息安全防护不是一个孤立的系统，它受制于环境的变化。良好的社会文化环境有助于整体安全防护能力主动性的提高，有力的政策是推动企业信息安全防护发展的前提和条件，高效的行业技术反应机制是信息安全防护的推动力。因此在注重企业层面的管理之外，还必须借助于政府建立一个积极的环境。

（1） 加强信息安全防护方面的文化建设。一方面，政府应大力宣传信息安全的重要性及相关政策，提高全民信息安全素质，从道德层面上防止信息安全事故的发生；另一方面，政府应督促企业加强信息安全思想教育、职能教育、技能教育、法制教育，从思想上、理论上提高和强化社会信息安全防护意识和自律意识。

（2） 高度重视信息安全及其衍生问题。政府应加快整合和完善现有信息安全方面的法律、法规、行业标准，建立多元监管模式和长效监管机制，保证各项法律、法规和标准得到公平、公正、有效的实施，为企业信息安全创造有力的支持。

（3） 加大信息安全产业投入。政府应高度重视技术人才的培养，加快信息安全产品核心技术的自主研发和生产，支持信息安全服务行业的发展。

4 结 语

本文从企业信息安全防护的实际需求出发，构建企业信息安全防护基本模型，为企业信息安全防护工作的落实提供有效指导，节省企业在信息安全防护体系建设上的投入。同时针对现阶段企业信息安全防护存在的问题从企业层面和政府层面提出相关建议。

参考文献

[1] 中国信息安全产品测评认证中心.信息安全理论与技术[M].北京：人民邮电出版社，2003.

[2] 汪应洛.系统工程[M].3版.北京：高等教育出版社，2003.

[3] 齐峰.COBIT在企业信息安全管理中的应用实践[J].计算机应用与软件，2009，26（10）：282?285.

[4] 肖馄.浅议网络环境下的企业信息安全管理[J].标准科学，2010（8）：20?23.

篇8

【关键词】信息化建设；安全管理；授权

【中图分类号】TU714 【文献标识码】A 【文章编号】1672—5158（2012）08—0255-02

0.引言

随着信息技术的不断发展以及市场竞争的不断激烈，企业信息安全建设已经成为提高企业竞争力的重要途径，杜绝信息泄露可以避免巨大的经济损失。虽然大多数企业在信息安全管理方面采取了较多的措施，但是信息安全问题仍然频发，对于企业的经营活动带来巨大的损失。加强企业内部的计算机管理，提高对于信息安全的认识程度，保证信息数据库的安全，避免信息泄露的发生已经成为现阶段企业信息化建设亟待解决的管理问题。

1.企业信息化建设信息安全影响因素分析

（1）信息系统实体安全。信息实体主要包括用于企业信息化建设的计算机、网络连接、服务器等媒介硬件设施，对于信息实体安全影响因素主要包括火灾、水灾、失窃或者是其他事故造成设备硬件的损坏，从而造成企业信息库数据安全出现问题。

（2）信息系统运行安全。信息系统的安全是指为了保证企业信息数据库的安全，采取各种措施对系统运行进行安全保护。由于信息数据库有可能受到非授权的访问、泄露、数据纂改或者是被其他非法程序控制的威胁，因此确保信息系统运行安全主要是保证信息数据库的完整、保密以及时时可用性。

（3）信息系统管理人员安全责任意识。管理人员在日常工作中的安全管理意识、专业操作水平以及法律意识等均会对企业信息数据的安全产生影响。信息安全管理人员的日常管理工作责任心以及工作方式方法，对于保证信息数据库的安全十分重要。

2.企业信息安全管理问题分析

目前由于管理制度以及软硬件设施等一系列的问题，企业数据库破坏以及重要数据信息泄漏的现象时有发生，严重影响了企业的正常生产经营活动，通过分析发现影响企业信息化建设信息安全的问题主要由以下几方面：

（1）企业内部移动存储设备管理疏松，缺乏安全保密管理制度。由于许多企业在日常管理过程中，移动存储设备使用较多，员工可以随意对企业内部的各种信息资料进行备份，企业用于经营活动的客户信息、产品设计、财务管理等各项信息极易造成泄漏，带来巨大的信息安全损失。部分企业由于对于信息安全管理认识程度不足，企业内部信息安全管理缺乏必要的规章制度，安全管理职责权限不清，信息安全漏洞较多。

（2）对于内部信息共享控制不严格，信息安全管理权限混乱。由于企业在生产经营过程中为了提高生产经营效率以及加强企业内部各部门之间的沟通联系，对于一些设计企业销售计划、客户信息以及生产计划等文件采取共享的措施，因此企业员工的流动或者其他管理不当均会造成企业信息的泄露。

（3）信息权限管理混乱，企业的中介服务体系稳定性较差。对于加密的授权访问，权限管理则成为保护企业信息安全的重要因素。但是由于企业在信息安全管理过程中体系混乱，操作权限不清晰导致经常出现影响信息安全的非授权访问。而且对于部分中小企业由于信息化建设采取对外委托的方式，而中介第三方由于稳定性难以保证，随时更换或者退出的第三方极易造成企业有价值信息的泄漏，影响企业信息安全建设。

（4）信息管理安全防范体系不健全，缺乏针对信息安全管理的专业技术人才。虽然部分企业已经认识到信息化管理的重要性，并在企业网络内设置了必要的安全设备。但是缺乏一系列的安全管理机制，在信息安全管理方面缺乏行之有效的整体规划与具体落实措施。此外，由于大部分企业在信息安全管理工作中将重点放在软硬件设施上，而忽略了对于信息安全技术人员的培养，而且为了减少人力资源支出成本，信息安全管理人员少工作任务重，管理权限集中化程度高，影响了信息化建设的安全管理。

3.企业信息建设信息安全管理措施

（1）加强对于信息库硬件设备的保护管理。首先应保证计算机等硬件设备具有安全的工作环境，做好计算机设备的防火、防潮、防盗措施，并避免强磁环境对信息数据可能造成的损坏。其次，在对各种硬件设备进行检修时，硬组织企业内部相关技术人员进行监督管理，对于需要外送检修的设备，则应提前进行数据加密处理。

（2）提高企业内部的信息安全管理意识。企业信息安全管理对于提高企业竞争力，避免企业经济损失具有重要的意义。在企业的正常管理过程中，加强信息安全宣传工作，使员工充分认识到企业信息安全管理的重要性，并熟悉企业相关信息数据保密的规则制度，提高企业的整体信息安全防范水平。

（3）加强信息安全操作管理人员的管理。在企业信息日常管理过程中，应加强对于业务操作以及数据存取控制代码的管理。系统管理操作代码的获得应经过企业管理者授权，系统管理人员在进行企业相关信息数据库的整理以及维护过程中，必须通过授权进行。系统管理人员离开工作岗位后，相关责任人应及时更换管理员操作代码。

（4）加强企业信息数据库的密码与权限管理。对于涉及到企业信息数据库安全的密码，应分别设置用户密码以及操作密码，并提高密码的安全程度，及时定期更换登陆操作密码。对于组成企业内部局域网络的服务器、路由器等设施的设置管理工作，应严格按照相关管理规定进行设置。

（5）明确企业信息数据库管理制度。对于企业重要的数据应存放备份数据，并采取异地存放的方式对备份数据库进行管理。对于废弃或者需要销毁的数据信息，应严格依照程序采取逐级审批的方式，避免数据信息的泄露。需要进行数据恢复工作时，应严格按照相关技术手册，并对恢复的数据进行验证确认数据的完整可用。

（6）加强企业信息数据机房的管理。相关人员出入信息数据库机房进行数据查阅以及提取工作时，应经由相关主管人员的授权，并登记进入。在日常管理过程中，定期对硬件设备进行保养，同时研究违章操作在信息数据机房安装外部其他软件。

参考文献

[1]沈路铁路信息系统安全风险评估研究[J]-铁路计算机应用2011（6）

篇9

信息技术的飞速发展冲击着各行各业，给全球房地产业也带来一场深刻的变革和发展的契机。在政府的牵头和推动下，在房地产业各界积极参与和实践下，中国房地产业已取得卓有成效的成果，呈现全面信息化的发展势头。具体表现在：

（1）房地产政务信息化成效显著。

许多城市利用信息技术开发了房地产政务管理软件，有效地改进了行政管理，提高了工作效率，完善了政府对房地产市场的监控和预测能力。

（2）房地产企业信息化取得长足进展。

房地产经营方式开始打上信息时代的烙印。一些房地产企业建立了企业内部网站，提高了信息传输速度，加快了企业决策速度，提高了办事效率。此外，各种针对房地产企业的计算机软件，如房屋销售软件、物业管理软件、租赁软件、房地产可行性分析软件、房地产开发管理软件等，也得到了广泛的开发和应用。

（3）初步建立了房地产宏观监测系统。

为适应我国房地产业发展的内在要求，针对市场信息零散、盲目投资行为大量存在等状况，我国已建立包括中房预警系统、中房指数、国房景气指数等在内的房地产宏观监测系统。

（4）智能化小区和网络小区建设步伐加快。

近年来，住宅的智能化功能被列为评价楼盘综合性能的不可缺少的一个重要指标，智能化住宅已逐步进入普通人的生活。社区提供与外界进行数据交换的软硬件设施和服务是家居功能向外拓展的必要条件。智能化的物业管理深入到各单位住宅，真正实现建筑智能化到社区管理的智能化。

（5）房地产网站发展迅速。

由于房地产业自身的行业特点，使其在网上具有更大的优势，房地产业各界都以最快的速度建立或准备建立自己的网站，将网络作为房地产信息的主要渠道。房地产网站建设提供了全天候、全方位市场服务的新模式，建立房地产在线咨询服务系统，引入城市电子地图，实现网上售楼，改变了传统的购房方式。同国外相比，我国房地产信息化整体水平较低，地区差异较大，东西部发展不平衡，仍存在诸多制约因素，还有很长的路要走。但是，房地产业唯有实现信息化，唯有与网络结合，才能焕发出新的活力。建立和完善房地产企业的网络系统，实现总公司与下属子公司之间的双向沟通和信息共享。通过信息平台的整合，为企业管理决策提供全方位、完整的信息数据，使企业的管理逐步走向信息化，建立企业网站，使其向房地产行业和管理信息服务方向转化，加强与员工的沟通，将信息化手段应用于具体管理工作的流程中。以国家信息化工作的指导方针“统一规划、联合建设、推广应用、发展产业、资源共享”为房地产企业信息化工作的指导思想，将房地产企业的管理全部数字化，充分利用先进的信息技术，使本企业集团形成一个管理对象数字化、管理专业网络化、数据动态实时化、管理决策科学化的现代企业，走一条结合自身特点，依托信息技术发展房地产信息化产业的振兴之路。

二、企业信息安全防范

随着企业信息化的发展，办公自动化、财务管理系统，企业相关业务系统等生产经营方面的重要系统投入在线运行，越来越多的重要数据和机密信息都通过企业内外部网络来传输。这在提高生产效率和管理水平的同时，也带来了不同以往的安全风险和问题。通过网络传输的数据信息如被非法用户截取，导致泄露企业机密；如被非法篡改，造成数据混乱，信息错误，造成工作失误等。另一方面，病毒感染造成网络通信阻塞，系统数据和文件系统破坏，系统无法提供服务甚至破坏后无法恢复，特别是系统中多年积累的重要数据丢失，对企业的生产管理以及经济效益等造成不可估量的损失。因此，如何保护企业机密，保障企业信息安全，成为企业信息化发展中需要面临和解决的问题，提上了企业的议事日程。企业信息安全管理即针对当前企业面临的病毒泛滥、黑客入侵、恶意软件、信息失控等复杂的应用环境制定相应的防御措施，保护企业信息和企业信息系统不被未经授权的访问、使用、泄露、中断、修改和破坏，为企业信息和企业信息系统提供保密性、完整性、真实性、可用性、不可否认。企业信息安全是一项复杂的系统工程，涉及技术、设备、管理和制度等多方面的因素，安全解决方案的制定需要从整体上进行把握。首先，企业必须根据实际情况全面做好安全风险评估。第二，采用信息安全新技术，建立信息安全防护体系。综合各种计算机网络信息系统安全技术，将安全操作系统技术、防火墙技术、病毒防护技术、入侵检测技术、安全扫描技术等综合起来，形成一套完整的、协调一致的网络安全防护体系。企业根据自身信息系统建设和应用的步伐，建立完整的信息安全防护体系，统筹规划，分步实施。第三，管理和技术并重，技术与措施结合。根据信息安全策略，建立健全企业信息安全管理制度，制定相应的安全标准，建立备份和恢复机制，提高安全管理水平。第四，充分利用企业网络条件，提供全面，及时和快捷的信息安全服务。第五，信息安全是一个动态过程，需要定期对信息安全状况进行评估，不断改进完善安全方案，调整安全策略。

三、总结

篇10

随着我国通信业和信息化的发展，通信网络作为传递信息的一种重要载体为大家所熟知。在全球信息化进程中，通信网络的普及和演进也潜移默化地改变着企业的信息沟通方式。因此，通信网络在企业发展中起到至关重要的作用，而电力企业作为我国经济发展的领跑者，通信网络技术的发展也势在必行。但是，电力企业在发展的过程中也面临着巨大的潜在危险—企业信息安全问题。通信网络安全是指最大限度地减少数据和资源被攻击的可能性。对于电力企业来说，这些数据和资源是企业的命脉，通信网络一旦发生中断、瘫痪或拥塞，或者数据信息丢失、泄露或被非法篡改，将对企业和社会的经济生活造成严重影响。因此，通信网络的信息安全是电力企业发展的重中之重，如何做到通信网络与信息安全有效的结合、共同发展是我们需要考虑的问题。

二、通信网络与信息安全息息相关

电力企业信息安全与通信网路的安全息息相关，也是国家信息安全的重要组成部分。在电力工业信息化进程中，通信网络承担着三种角色：

1．信息通信网络公共平台提供者，对不同性质的计算机应用系统可以提供不同的网络服务质量和优先等级。

2．与业务管理有关的计算机应用系统的建设、管理和使用者，其中的计算机应用系统包括通信监控与网管系统、网络规划与企业管理系统和客户服务系统等。

3．与通信技术相关的信息资源的开发、维护和使用者。因此，通信网络承载着电力企业生产、运行、管理、经营业务系统，内联着电力调度数据网络，对外与Internet连接，它的安全是电力企业信息安全的第一道技术防线，电力企业信息安全直接关系着电力企业的运行与管理，也直接或间接地影响着电力生产控制系统的安全。电网企业应全面开展绿色通信网络安全防护体系建设，统筹部署等级保护、风险评估和灾难备份工作；着力提升通信网络安全保障水平和应对突发事件的能力；要通过通信网络与信息安全管理能力的增强，更好地为电网企业的发展提供有力的技术支撑，为促进社会和谐与稳定做出积极的贡献。

三、新形势下的绿色电力通信网络

目前，大部分企业部门间依靠普通的网络来完成信息传输，虽然也具有一定的防护措施和技术，但还是容易被窃取信息。这是由以下三个方面原因共同决定的：

1．计算机系统及网络固有的开放性、共享性等特点；

2．通信系统大量使用商用软件，其源代码、源程序完全或部分公开化，使企业存在安全问题；

3．计算机病毒的层出不穷及其大范围的恶意传播。这三方面原因都对当今企业和社会网络通信安全产生不可估量的威胁。由于当今通信网络功能越来越强大，我们采取何种有效措施，最大限度地化解这种潜在危险，把网络风险降到最低限度是电力企业需要面对的重大问题。在电力企业发展的新形势下，构建绿色通信网络成为解决电力企业信息安全的重要手段。绿色通信网络构建主要包括，一方面要建立健全企业的安全机制，强化安全管理；另一方面，技术创新也是当务之急。在技术层方面，首先是建立一个层次化的安全管控体系。为了从技术上提高通信网络的安全性，电力企业应整合现有资源，提高企业通信网络的预防水平、网络的修复能力和备份能力。具体内容包括：网络安全漏洞的自动发现与治愈、全网联动的事件监控和分析、网络安全配置的集中化和管控、安全态势的综合分析以及高效运作网络安全管理等方面。这是一个涉及体系架构设计、资源配置和局部解决方案在内的系统解决方案，需要建立相应的安全技术体系；其次是对电力企业的IP承载网进行安全的设计和优化，然后通过安全管理中心的建设来完善绿色通信网络的安全能力。在管理层方面，针对计算机系统及网络固有的开放性、易损性等特点，我们应加强网络管理人员的安全观念和技术水平，将固有条件下存在的安全隐患降到最低。在通信网络管理和使用中，要大力加强管理人员的安全保密意识。在管理层面上主要包括安全组织的建设和人员的保障，各种安全策略制度和流程的配套建设，以及完善安全评估、应急响应等安全保障机制。其中在应急响应方面，需要建立健全信息安全应急处理的协调机制，进一步完善各类突发事件的应急预案，健全应急指挥体系，落实应急队伍和保障条件。尤其是高度重视基础信息网络，包括电信网络和重要信息系统的应急处理工作和备份建设，充分做到了事件有预案、处置有流程、应急有措施，最大限度地化解信息安全风险。

四、绿色通信网络规划助力电力企业信息化安全

规划绿色通信网络是电力企业通信建设的基础和安全保障，具有十分重要的作用。绿色电力通信网络的规划除了要遵从电力系统的有关规定之外，还必须遵循通信专业规划的技术方法。因此，绿色通信网络应该包括传送网络层和业务网络层等，而电力企业中绿色通信网络的规划和构建大致包括以下三个步骤：第一步：业务网络规划。业务网络规划主要是对提供不同信息服务的，包括数据网、计算机网和移动通信网等类型丰富的网络进行规划，它与具体的业务有关。在电力企业中，业务网络规划尤为重要，而如何构建绿色移动通信网络也是企业发展的重中之重。电力企业在原有业务系统的基础上，构建网络安全体系，通过宣传和培训等手段，对网络管理人员进行安全操作和管理知识的培训，提高各业务系统的安全意识，使各业务系统能够正常稳定的运行。第二步：传送网络规划。传送网络规划是为业务网络提供支撑的涵盖交换机、服务器、数据传输的无线和移动网络等进行规划。在“十二五”规划中强调了电力企业信息系统的安全管理和网络安全传输问题，其中电力企业信息系统的网络安全更是被提上日程，如何更好的规范和规划传输网络层是我们研究的重点问题之一。按照信息系统网络数据传输过程中安全性和保密性的要求，完善监控设施做到实时监控，并确保管理人员不将保密文件传到外网，不能利用内网机器上外网进行查资料等操作，确保信息系统在数据传输过程中的安全性。第三步：基础设施规划。基础设施规划主要是对信息系统中计算机、服务器等硬件基础设施进行规划管理，而这部分是保障信息系统正常运行的基础。在电力企业中，服务器的承载量是相当大的，在信息传输的过程中数据的提取和录入也是呈倍增长的，只有实时监控路由器的异常情况，定期更新路由器设备，完善基础设施，才能保证整个系统和网络的稳定性。绿色通信网络规划中还需要考虑网络综合化与安全防护、灾难预防等问题，在满足通信网络规划中多需求的前提下，采取灾难预防措施，做好企业信息安全防护，保障电力企业绿色通信网络的顺利构建，实现绿色电网企业的发展要求。

篇11

关键词：信息安全；企业管理；经济

信息管理高效的经济信息管理是企业不断发展的重要保障，而要想实现高效的信息管理，对信息安全性的管理与控制是十分重要的一个因素。近年来，随着科技与管理理念的不断丰富，对信息管理中的信息安全性控制也在不断强化并起到了一定的作用。但是，由于企业信息管理涉及的因素较多，导致目前仍旧存在一定的安全隐患。因此，有必要对企业的经济信息管理中的信息安全进行分析与探讨。

一、企业经济信息管理的信息安全存在的问题

（一）企业管理力度不足

企业管理力度不足是信息管理目前存在的普遍问题，也是导致企业信息管理存在安全隐患的主要原因之一。一方面，部分企业将管理重点放在了人员管理与财务控制方面，忽视了对经济信息安全的管理与控制；另一方面，部分企业的管理人员由于专业素质与工作经验的缺乏，对信息安全管理没有采取科学的方式方法，导致信息安全管理难以充分发挥其作用与价值，进而导致信息管理存在一定的安全隐患。总之，管理人员与管理制度是导致企业管理力度不足的重要因素。

（二）缺乏总体规划

在企业管理中，对经济信息的管理涉及到许多因素，所以高效的管理需要一个科学的总体规划。对于企业来说，经济信息管理不是单个部门或人员的工作，而是需要整个企业人员都具有信息保护的意识。但在实际工作中，由于工作内容具有一定的差异性或工作重点不同等原因，使得不同的员工与信息安全的意识程度不同，所以管理效果也难以达到最佳状态。考虑到这些问题，企业在进行经济信息管理时就需要制定一个整体规划，但许多企业在这方面的工作力度仍有不足。（三）对信息安全不够重视随着我国经济的不断发展，市场竞争也越来越激烈，此时保证企业的经济信息安全是管理中十分重要的一部分。但是，在实际竞争中，许多企业对经济信息的安全保障意识不够强烈。只是单一的对市场信息进行分析，而没有完善的管理系统，难免会导致信息储存或管理出现一定的问题，甚至造成企业关键经济信息的泄露，给企业发展带来不可挽回的损失。另外，信息管理中管理人员作用的发挥也非常重要。部分企业没有重视到这一点，管理人员的管理能力提升速度较慢，导致安全隐患的存在。

二、对企业信息管理安全产生影响的主要因素分析

（一）环境因素的影响

由于市场竞争比较激烈，许多企业将管理重心放在了市场拓展与产品优化等方面，出现了先重视产品与业务，再考虑信息安全的现象，导致信息安全管理滞后于业务的进行，产生一定的安全隐患。这是外部环境的影响，内部环境对企业的信息管理也有着一定的影响。企业的业务流程对信息管理体系的设置与实施有着一定的影响。此外，部分企业虽然重视对信息安全的管理，但由于防范体系的不够完善等原因，使得安全责任没有落实到具体，这些都是导致经济信息管理存在安全隐患的因素。

（二）人为因素的影响

人为因素的影响主要是指经济信息管理人员的工作能力与工作态度等因素的影响。一方面，安全管理人员是接触机密信息的直接人员，这部分工作人员若是出现刻意泄露或工作疏忽等现象，极易导致企业关键经济信息的泄露，给企业带来不可挽回的损失，影响企业的稳定发展。另一方面，技术人员也是人为因素中的重要部分，技术人员主要对相关设备进行管理与维护，也能够直接接触到关键信息。需要维护的设备较多，但部分企业为了节约人力成本，让同一个技术人员负责多个设备的维护，导致技术人员的工作难度增加，进而影响其工作效率。

（三）技术因素的影响

信息安全技术是保证信息安全的重要因素，也是企业在这方面管理中比较重视的一部分。具体来说，技术因素对信息安全的影响主要体现在以下两个方面：一是软件方面影响，包含了设计漏洞或技术缺陷，以及杀毒软件更新较慢或临时发生的运行故障等问题，这些都是对信息安全管理产生影响的因素。二是信息管理体系的设计方面，包含了风险评估数据、业务流程数据、测试数据、访问权限设置以及对信息资产的保护程度等。这些因素导致信息管理体系存在必然的安全隐患或漏洞，而这些漏洞将会为整个企业管理带来严重的不利影响。

三、强化企业经济信息管理中信息安全的必要性

（一）企业信息管理的主要特征

企业信息管理的特征主要包括三个内容：第一是具有保密性，这是信息管理的基本特征，也是信息管理的基本要求。各个部门负责的事项不同，部门人员只能获取应当了解的信息，而不能越权了解其他私密信息。第二是完整性。保证经济信息的完整是企业信息管理的基本原则，只有保证信息具有基本的完整性，才能更加精准地获得数据价值，从而发挥其作用。第三是可用性。只有具有较强的可用价值与企业的私密信息，才具有一定的安全保护价值，才能在企业发展中发挥其本身的作用。

（二）强化信息管理安全的必要性

正是由于经济信息具有的这些特征，才使其有了明确的强化必要性。首先，强化信息安全的管理有助于保证数据的保密性与完整性。只有保证信息的完整与私密，才能促使其在企业竞争中充分发挥价值。其次，信息的高效运用与价值发挥的实现，本身就需要一定的网络条件，而网络环境比较复杂，所以对数据的安全保护就显得十分关键。例如，不法分子的信息盗取、网路黑客的恶意攻击等，都是影响信息安全的因素。所以，对信息安全管理进行加强，是企业实现进一步发展的重要手段。

四、提高企业经济信息管理安全性的建议

（一）健全经济信息体系的安全保障

构建健全的经济信息体系的安全保障，是实现高效经济信息管理的重要前提，也是实现信息管理制度能够稳定发展的重要条件。在健全管理体系的保障过程中，最为首要的任务，即是在系统设计过程中就强调安全性。从目前来看，由于市场的宽容度逐渐升高，越来越多的企业参与到市场竞争中。由于部分企业对信息安全的认知不够明确，或者管理制度不够合理等因素，导致其经济信息管理制度本身就存在一定的安全隐患，不利于企业的发展。因此，企业需充分明确自身实力与发展情况，确定当前发展中的关键，设计针对性的安全管理制度。具体来说，企业可加强对进入内部信息系统的准入设置与权限、增加必要的保护屏障技术等。另外，还可借助科学技术与计算机技术，将指纹识别等运用到信息管理中，以保障管理制度的安全性。

（二）提高工作人员的工作能力

企业重要的经济信息泄露，其中一个关键的原因，即是工作人员的刻意为之或工作疏忽导致的。因此，在企业的经济信息管理中，提升工作人员的工作能力与安全意识是十分有必要的一项措施。一方面，企业可加强对管理人员的培训，促使其对信息安全有明确的认识；同时，还可借助培训，提升管理人员的管理能力与风险意识。另一方面，管理责任的落实也十分重要。企业的经济信息涉及到许多企业的重要信息，要在日常管理者中将管理责任落实到具体，进而提高工作人员的管理责任心。此外，提高管理人员的职业道德以及综合素质等，也是一个比较有效的方式，能够在一定程度上提高企业的经济信息管理效率。

（三）强调对硬件的安全管理

在信息安全这个问题上，管理设备与硬件条件的强化是必不可少的一部分。可以说，硬件设备是高效的信息安全管理中的重要基础。首先，针对企业的实际情况，可淘汰一部分功能比较传统的设备，购进更先进、安全保障程度更高的设备，进而促使设备在信息安全管理中充分发挥作用。其次，在运用过程中，随着运用时间的增长硬件设备的损耗程度也更大，所以对硬件设备的维护工作必须得到重视。企业可安排专门的维护人员，定期对设备进行检查或零件更换，避免因硬件系统而导致的信息泄露等问题。同时，还可对维护人员进行培训，以提高其技术水平。此外，合理的安全屏障与接入控制、禁止未授权访问或下载文件等措施都是硬件强化中的重要方法，能够在一定程度上加强对经济信息的安全保障。

（四）健全企业信息安全管理制度

企业信息安全管理制度的完善，是保证企业经济信息管理安全性的重要因素。从企业管理的角度来讲，企业对经济信息进行的管理是根据本身的信息安全需要、业务分析以及风险预测等的结果，并结合科学技术与计算机技术实现的信息管理。构建完善的信息管理制度，能够为信息管理提供包括设计、运行等各个方面的安全保障，并有效避免因安全隐患导致的各类安全事故。一方面，企业可建立起相关的安全管理体系与防范制度，加强对关键数据的保存与备份，以保证在发生安全事故时能够及时进行弥补，避免业务受到影响，进而将企业的损失降到最小程度；另一方面，还可建立起集中的管理控制体系，将经济信息进行综合管理，并借助企业内部的管理平台对其进行管理。

结语

据上述的分析可知，强化企业经济信息管理中的信息安全，不仅是推动企业不断发展的重要方法，更是推进我国企业管理理念不断完善的重要手段。通过健全经济信息体系的安全保障、提高工作人员的工作能力、强调对硬件的安全管理，以及健全企业信息安全管理制度等方式，从企业管理的各个角度强调了信息安全的重要性，在一定程度上提高了企业信息管理中的信息安全。

参考文献：

[1]马志程，张磊，王琼.基于ISO/IEC17799标准体系的企业信息安全管理新模式[J].电力信息与通信技术，2016，（1）：80-83.

[2]梁俊荣.基于信息安全的企业经济信息管理探讨[J].信息化建设，2016，（5）：335.

[3]刘晓松，郭玲玲.基于管理因素的企业信息安全事故分析[J].企业经济，2013，（1）：55-58.

[4]孙波.基于现代网络信息安全的信息管理分析[J].信息通信，2013，（2）：134-135.

篇12

【关键词】电力企业信息安全管理策略

电力是国民经济的命脉，电力系统的安全稳定，不但直接关系到国家经济的发展，还对民众的日常生活有着巨大的影响。当前随着电力企业市场业务的不断开展，其与互联网的联系也越来越密切，但互联网存在着很大的自由性和不确定性，可能会给电力企业带来潜在的不安全因素。而当前电力企业的信息安全建设仅仅停留在封堵现有安全漏洞的阶段，对于系统整体的信息安全意识还不够。因此有必要对电力企业信息系统整体安全管理进行分析研究，有针对性的采取应对策略，确保电力企业网络信息可以实现安全稳定运行。

1做好安全规划

做好电力企业的网络安全信息规划需要做到以下两点：

（1）要对电力企业的网络管理进行科学合理的规划，要结合实际情况对电力企业的网络信息安全管理进行综合考量，从整体上对网络信息安全进行考虑和布置。网络安全信息管理的具体开展主要依靠于安全管理体系，这一点上可以参照一些国外经验；

（2）电力企业因自身的独特性质，需要使用物理隔离的方法将内外网隔离开来，内网方面要合理规划安全区域，要结合实际情况，将安全区域划分成重点防范区域与普通防范区域。电力企业信息安全的内部核心是重点防范区域，在此区域应当设置访问权限，权限不足的普通用户无法查看网页。重要的数据运行如OA系统和应用系统等应该在安全区域内进行，这样可以保证其信息安全。

2加强制度建设

安全制度是保障電力企业网络信息安全的关键部分，安全制度可以提升企业员工和企业领导对网络信息安全的意识，电力企业需要将安全制度作为企业的工作核心，要结合当前的实际情况，建立起符合电力企业网络信息安全的管理制度，具体操作如下：

（1）做好安全审计，很多入侵检测系统都有审计日志的功能，加强安全制度建设就需要利用好检测系统的审计功能，做好对网络日常工作的管理工作，对审计的数据必须要进行严格的管理，不经过允许任何人不得擅自修改删除审计记录。

（2）电力企业网络系统需要安装防病毒软件来保障网络信息的安全，安装的防病毒软件需要具备远程安装、报警及集中管理等功能。此外，电力企业要建立好网络使用管理制度，不要随便将网络上下载的数据复制在内网主机上，不要让来历不清的存储设备在企业的计算机中随意使用。

（3）电力企业的管理者要高度重视其企业的网络安全制度建设，不要把网络信息安全管理仅仅看作是技术部门的工作，企业中应建立起一支专门负责网络信息安全的工作领导小组，要做好对企业内所有职工的培训，最好能让每一名职工都拥有熟练掌握网络信息安全管理的能力。企业管理者要明确相关负责人的工作职责，定期对网络安全工作开展督导检查，管理制度需要具备严肃性、强制性和权威性，安全制度一旦形成，就必须要求职工严格执行。

3设置漏洞防护

随着当前计算机网络技术的迅速发展，很多已经投入运行性的网络信息系统和设备的技术漏洞也随着网络技术的不断发展而日益增加，这在很大程度上给了不法分子窃取电力企业网络信息系统数据的机会，对此电力企业需要做好以下两项工作：

（1）电力企业需要利用一些漏洞扫描技术来维护企业的网络安全，要对企业的网络信息系统经常开展扫描工作，从而及时发现系统漏洞并完成修复。这样可以提升企业网络信息安全系数，不但能阻断不法分子入侵企业信息系统的途径，还可以使企业避免需要经常性更换网络信息系统设备可能增加的经济负担，从而促进企业实现长远发展；

（2）电力企业需要提升对网络信息安全的风险防范意识，增强企业应对突发事件的应急处理能力，针对不同的信息安全风险需要设置好不同的预警机制。要定期检查企业的网络信息安全技术，防止网络安全漏洞的出现。还要及时做好对网络信息防护新手段的更新工作，从而提升企业网络信息系统的保护强度。

4提高管理手段

科学合理的企业网络信息安全管理手段不仅可以维持电力企业的工作进度，还能有效规避企业网络信息中所存在的安全隐患。提高企业网络信息安全管理手段需要做到以下两点：

（1）建立入侵保护系统IPS，提升企业网络信息安全管理指标。在电力企业网络管理系统中建立网络入侵保护系统IPS，可以为网络信息提供一种快速主动的防御体系，IPS的设计理念是对常规网络流量中携带的恶意数据包进行数据安全检测，若发现可疑数据IPS将发挥网络安全防御功能，来阻止可疑数据侵入电力系统的网络信息系统。与常规的网络防火墙相比，IPS具备更加完善的安全防御功能，其不仅能对网络恶意数据流量进行检测还能够及时消除隐患。此外，IPS还能为电力企业的网络提供虚拟补丁，从而预先对黑客攻击和网络病毒做出拦截，保证企业的网络不受损害；

（2）电力企业要加大对新型网络信息安全技术的研发投入，在组建企业网络信息安全系统时，要对系统各组成部分做严格检查，确保设备符合安全标准。对于组建网络信息系统所需要的设备和部件则必须要求供应商提供相应的安检报告，严防设备和部件的安全隐患。对于企业已投入使用的系统和设备，必须定期做好检查，以确保安全系统能够顺利有效的开展防护工作。

5总结

综上所述，本文通过维护电力企业网络信息安全管理的相关策略进行研究发现，运用做好安全规划、加强制度建设、设置漏洞防护和提高管理手段四项措施可以起到提升企业网络信息系统的保护强度、建立起符合电力企业网络信息安全的管理制度从而确保安全系统能够顺利有效的开展防护工作的良好效果，希望本文的研究可以更好的提升我国电力企业的网络信息系统的安全管理水平，为维护我国电力系统的安全运行做出贡献。

参考文献 

[1]郑玉山.电力企业网络和信息安全管理策略思考[J].网络安全技术与应用，2017（06）：121+123. 

篇13

【关键词】企业信息 现状 措施

随着信息技术和网络技术的快速发展，信息安全问题引起了社会各界的广泛关注，并且已经成为当今时代十分重要的研究话题。影响企业信息安全的因素诸多，除了网络本身的开放性之外，内部用户访问控制以及用户身份识别等系统还不够完善，会给企业信息安全带来巨大的威胁。信息安全技术主要就是控制数据，保障数据传输的安全性和可靠性。

1 企业信息安全的意义

1.1 信息安全是时展的需要

随着计算机网络的快速发展，不仅改变了人们生活和工作方式，也给企业的商务运行带来了全新的模式，改变了传统企业生产和管理模式，进一步推动了我国社会的发展。企业信息安全技术得到了进一步的重视和发展，并且逐渐的与国际先进水平接轨，为企业国际化发展提供了强有力的支持。

1.2 信息安全是企业发展的需要

我国大部分企业积极的引用了信息技术和安全技术，信息技术和网络技术给企业带来了诸多优势，比如生产效率的提高、成本的降低以及业务拓展等优势。目前企业的信息和数据主要都是以电子文档的形式保存，对于企业来讲，信息安全技术是保障企业信息和数据不收侵害和威胁的基础保障之一，更是企业生存的保障，所以，必须要提高信息安全技术，避免网络和信息系统中可能存在的风险，逐步的建立信息安全保障体系，有利于企业的可持续性发展。

1.3 信息安全是企业稳定的必要前提

信息安全是保障企业稳定发展的重要措施，必须要充分的认识到信息安全工作的重要性和长期性，无论是从企业的经济效益还是企业的稳定发展等角度来考虑，必须要做好信息安全工作，做好基础性工作，在建立信息安全保障体系的时候，必须要建设良好的网络环境，重视信息战略，保障企业的信息化能够健康发展。

2 企业信息安全的现状

2.1 企业缺少信息安全管理制度

企业信息安全功过还是一个比较崭新的领域，相关的法律法规还不够完善，并且信息安全技术和手段还没有成熟，进而导致相关规定和标准并不能贯彻执行，安全标准和规范也是比较缺少的，从而并没有制定科学、合理的信息安全管理制度。企业信息系统安全问题是一项非常科学的系统工程，所涉及的范围比较广，随着科学技术的快速发展，信息技术和网络技术不断的更新和升级，是不断发展的动态过程，所以，企业信息系统运行风险和安全必须要定期的进行调整和规划，才能够从根本上保障企业信息的安全性和可靠性。

2.2 员工缺少安全管理的责任心

企业信息系统的安全性需要全体人员的参与，信息安全系统中最为重要的因素就是员工，其主要原因就是因为员工们才是企业信息系统的提供者和使用者，员工们能够直接影响到信息安全系统是否能够达到预期的要求。在诸多的信息安全问题中，最多的安全事件就是信息泄露时间。其主要泄露原因来源于内部员工，并不是外部黑客的攻击，给企业带来巨大经济损失的主要原因就是因为内部员工有意或者无意的泄露企业的相关信息，但是，目前我国还没有完善、成熟的系统预防内部员工泄密事件的发生，也是整个信息安全体系中的难点和弱点。

2.3 信息系统缺乏信息安全技术

计算机信息安全技术的本质就是由密码应用技术、操作系统维护技术、信息安全技术以及数据库应用技术等各个学科组成的计算机综合应用学科。但是由于我国计算机技术还有待进一步完善，导致我国技术的发展还存在一定的局限性，在硬件和软件设计的过程中难免会存在着一些弊端，网络硬件和软件系统大多数都需要依靠进口，为企业信息安全带来了一定的隐患，随着科学技术的快速发展，黑客已经不在是传统的破坏底层系统，目前黑客主要是入侵应用，窃取相应的数据，带着非常显著的商业性质。随着网络技术的普及，针对应用的攻击越来越多，不仅需要从管理方面来保障企业信息的安全性，还必须要从技术方面给予强力的支持。

2.4 病毒危害

计算机病毒主要就是指编制对计算机程序有破坏性的程序，进而影响计算机的使用并且能够通过自我不断的复制来代替计算机指令或者程序代码，其具有很强的破坏性。随着网络技术的快速发展，当今时代的计算机病毒已经泛滥成灾，根据相关统计，计算机病毒的种类已经高达4万多种，并且每年还在快速的增长，病毒随着计算机网络技术的发展而传播速度越来越快，破坏性也就越来越高，给计算机用户和企业的信息安全带来了巨大的安全隐患。

2.5 “黑客”攻击

黑客主要就是指通过技术手段侵入到他人计算机系统的人，黑客破解或者破坏计算机以及网络系统，导致计算机用户信息数据的泄露。目前比较常见的黑客手段有后门程序、信息炸弹、网络监听以及密码破解等手段来侵入他人的计算机系统来窃取数据信息，随着网络技术和信息技术的快速发展，黑客攻击已经成为当今时代十分常见的安全问题。

3 企业信息安全改进建议

3.1 技术安全

3.1.1 数字签名和加密技术

为了能够预防黑客的入侵，可以在传统的数字签名和加密技术的基础上不断的完善和创新，进而提高信息安全技术。比如数字签名技术，可以通过设定数字签名，用户在进行操作的时候能够打上自身独有的印记，其主要目的就是为了能够避免其他人擅自修改计算机数据，从而能够提高计算机的安全系数，预防黑客的攻击。在设定数字签名的时候，必须要重视数字证书的获取渠道，一般主要就是从以下三个渠道来获取数字证书，即软件自身所带的数字证书；商业认证授权机构获取；内部专门负责认证的安全管理机构处获取。

3.1.2 入侵防护系统（IPS）

传统的防火墙主要功能就是拒绝明显可疑的网络流量，但是依然能够允许一些流量通过，所以，传统的防火墙防护功能并不到位，面对一些入侵攻击的时候依然无可奈何。大部分IDS系统都是被动的，然而IPS更加倾向于提供主动的防护功能，其主要目的就是预先拦截入侵活动和攻击性网络流量，避免给用户带来不必要的损失，相比于传统的防火墙具有更多的防护优势。IPS主要就是通过网络流量实现这个功能的，也就是指通过网络端口接收外部系统的流量来检测其内是否还有可疑的内容，然后在通过另外一个端口将其送到内容系统中，进而一旦发现可以的数据包就能够自动的清除掉，避免病毒的入侵，从根本上提高了信息的安全性和保密性。

3.1.3 统一威胁管理（UTM）

根据美国权威企业对统一威胁管理做出了严格的定义，即由硬件、软件以及网络技术组成的具有专门用途的设备，其主要可以提供一项或者多项的安全功能。它能够将诸多安全特性集成到一个硬设备里，然后建立一个统一标准的平台。统一威胁管理的主要功能有网络防火墙、网络入侵检测以及网关防病毒功能。这些功能都是统一威胁管理本身所自带的功能。另外，统一威胁管理安全设备本身也具有诸多特性，比如安全管理、日志以及服务质量等特点，这些特性主要就是为安全功能服务的。

3.2 录级安全控制

为了能够保障企业信息的安全，网络必须要允许控制用户对目录、文件以及设备的访问。用户在目录一级指定的权限对所有文件以及子目录都是有效的，还应该可以进一步对目录下的子目录和文件的权限进行指定。目前比较常见的访问权限有系统管理员权限、读权限、创建权限、删除权限以及存取控制权限等。网络系统管理人员应该为用户指定合适的访问权限，因为这些权限的作用非常大，主要控制了用户对服务器的访问。

3.3 网络监测和锁定控制

网络管理人员必须要对网络进行实时的监控，服务器应该及时的记录用户对网络资源的访问，尤其是对非法网站访问的时候，服务器应该以各种方式加以报警，从而引起网络管理人员的注意。如果黑客试图侵入网络的时候，网络服务器必须要自动记录企图进入网络的次数，如果访问达到一定数值之后，帐户将会被自动锁定。

3.4 提高企业员工的安全意识

无论哪个领域，主体都是人，信息安全方面的主体也是人员，通过人来维护企业的根本利益，所以在建立信息网络安全体系的时候必须要重视人的因素，做出相应的规范和绩效管理。企业员工信息安全意识普遍比较薄弱，企业必须要定期的开展相应的培训工作，从根本上提高企业员工整体的信息安全意识，并且要有专业的信息安全体系管理人才，才能够从根本上提高企业信息数据的安全性、可靠性。

随着信息时代和网络时代的来临，企业纷纷引进先进的信息技术和网络技术，并且成立自身的信息系统和网络系统来服务于企业运营管理和生产管理工作，信息技术和网络技术在我国得到了广泛的普及。但是，随之而来的信息安全问题日益凸显，为了能够保障企业信息数据的安全性和可靠性，必须要不断的提高信息安全防护技术，做好相应的预防工作，避免各种入侵、盗取信息数据的事件发生，才能够保障企业的可持续性发展。

参考文献

[1]袁浩，张金荣.INTERNET接入、网络安全[M].北京：电子工业出版社，2011.

[2]徐国芹.浅议如何建立企业信息安全体系架构[J].中国高新技术企业，2009（5）.

[3]付沙，企业信息安全策略的研究与探讨[J].商场现代化，2007（26）.

[4]姜桦、郭永利，企业信息安全策略研究[J].焦作大学学报，2009（1）.

[5]徐新件，朱健华.关于企业网络信息安全管理问题研究[J].供电企业管理，2008（2）.

篇14

该文对供水企业信息集成系统安全进行分析，并探讨了可以针对性改进的安全防护措施。首先对当前供水信息系统安全现状做具体分析，然后研究了在“自主定级，自主保护”的原则下改进和提高供水企业集成信息系统安全具体的执行方案，最终实现供水企业信息集成系统的信息安全防护。

关键词：

供水企业信息集成系统；等级保护；信息安全

供水行业对国计民生很重要的一个行业，供水企业的业务性质要求以信息的整体化为基本立足点，集中管理所有涉及运营的相关数据，针对供水企业运行的特殊要求，进行集中的规划和架构，将不同专业的应用系统进行整合，最终形成完整的供水企业综合信息平台。[1]而集成系统中最重要的一个要求就是信息安全。

随着大数据时代的到来，网格、分布式计算、云计算、物联网等新技术相继推出，对供水企业信息集成与应用也提出了更高的要求。而随着应用的扩展，应用中存在着大量的安全隐患，网络黑客、木马、病毒和人为的破坏等将大量的安全威胁带给信息系统。根据美国Radicati公司于2015年3月的调查报告，截至2014年12月，网络攻击已经为全球计算机网络安全造成高达上万亿美元的损失。而且随着网络应用的规模进一步上升，计算机网络信息安全威胁造成的损失正在呈几何级数增长。根据2015年的中国网络安全分析报告，2014年报告的网络安全攻击事件比2013年增加了100多倍。2014年，搜狗由于网络黑客攻击导致搜索服务在全国各地都出现了长达25分钟无法使用。2014年7月，某域名服务商的域名解析服务器发生了网络黑客的集中式攻击，造成在其公司注册的13%的网站无法访问，时间长达17个小时，经济损失不可估量。因此，从信息安全的角度，要对供水企业信息集成系统进行防护，降低信息安全事故的发生的概率，降低其危害，是本文需要研究的内容。

1当前供水企业信息集成系统安全防护的现状和存在的问题

伴随着科技的不断发展，供水企业的信息化建设也得到了很大的发展，主要是从深度和广度两个层面做进一步拓展。典型的供水企业信息集成系统涵盖了生产调度系统、销售系统、管网信息系统、财务管理系统、人事管理系统、办公自动化系统等子系统。其中多个系统数据需要接受外部访问，存在大量的安全隐患。目前，威胁到供水企业信息安全的风险因素主要分为三个大类：1）人为原因，如恶意的黑客攻击、不怀好意的内部人员造成的信息外泄、操作中出现低级错误等。2）数据存储位置位置的风险。可能由自然灾害引发的问题，缺乏数据备份和恢复能力。3）不断增长的数据交互放大了数据丢失或泄漏的风险。包括未知的安全漏洞、软件版本、安全实践和代码更改等。

2有关分级防护的要求

尤其是供水企业信息集成系统中，存在大量涉及公民个人隐私的信息，也存在像生产调度这样涉及国计民生的信息。因此，需要按照国家有关信息安全的法律法规，明确企业的信息安全责任。提升供水企业信息管理区内的业务系统信息安全防护。依据《信息安全等级保护管理办法》（公通字[2007]43号）第十四条，信息系统建设完成后，运营、使用单位或者其主管部门应当选择符合本办法规定条件的测评机构，依据《信息系统安全等级保护测评要求》等技术标准，定期对信息系统安全等级状况开展等级测评。定级标准按照国家标准《信息系统安全等级保护定级指南》（GB/T22240—2008）实施，根据等级保护相关管理文件，信息系统的安全保护等级分为以下五级：第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。

第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。等级保护对象受到破坏后对客体造成侵害的程度归结为以下三种：1）造成一般损害；2）造成严重损害；3）造成特别严重损害。

3分别防护实施步骤

根据有关法律法规，建设完成并投入使用的信息系统，其有关使用此系统的单位需要对其系统的等级状况做定期的测评。供水企业要遵照要求选择具有资质的测评机构来对管理信息区的业务系统做等级保护的测评工作。其所得到的结果如下表1所示：通常情况下，供水企业信息系统中不会出现第四级和第五级的系统。根据测评结果，有必要对供水企业内部的局域网进行系统化整改。具体的整改内容包括两项主要内容：细化各业务系统服务器的物理位置；按照需求设置信息安全区域。根据供水企业信息集成系统的具体实际，主要有等级包括三个业务区域，以及一个公共业务区和测评业务区。按照上述原则对供水企业信息集成系统服务器做物理划分如图1所示。不同等级的系统服务器针对不同级别的信息安全区进行设置。等级为一、二、三的业务区分别安装着对应的服务器，而公共业务区域的服务器主要是DNS服务器或者是域服务器。公共业务区服务器主要为基础服务提供非业务系统服务，不需要进行保护分级。测评业务区提供是投入正式使用前的测试服务器。

依据表1的测评结果，将安全区域进行细化表2所示的就是企业管理信息区，其主要业务系统对安全区域存放问题的展示。根据表2得到的结果，可以将信息安全设备存放在不同信息区域边界内，以此达到服务器分级防护目的。信息安全设备设置在信息安全区域边界，也就是局域网与信息安全区域之间的连接部。信息安全设备主要是防火墙、查杀病毒、攻击防护、服务防护禁止、授权等。对于不同区域边界的信息安全的部署建议，供水企业要遵照各自的实际情况做周密的设置。供水企业管理信息安全区域边界防护表见表3。将信息安全防护设备部署在所在的区域边界内，如此可以初步实现对供水企业管理信息区的信息安全防护。

4结束语

随着大数据的发展，对供水企业信息集成系统在数据的交互和应用方面会提出更高的要求，也大大加强了安全防护措施的重要性和迫切性。在安全防护措施基本到位的前提下，还需要加强信息审计，及时发现和补救系统缺陷，加强数据库安全防护，维护管理系统的隐患。

参考文献：

[1]孙锋.基于多agent技术的供水企业信息集成系统研究[J].供水技术,2015(10).