关于信息安全问题精选(十四篇)

序言：作为思想的载体和知识的探索者，写作是一种独特的艺术，我们为您准备了不同风格的14篇关于信息安全问题，期待它们能激发您的灵感。

篇1

［关键词］ 网上书店； 信息安全； 问题； 对策

网上书店是电子商务的一种具体形式，它是企业通过在互联网上开设网上书店，消费者通过网络浏览图书信息，并在网上下订单，采用多种方式支付的一种经营模式。网上书店利用信息技术，将出版者、供应商、作者、读者及其他相关环节如银行、运输业等联系在一起，改变了图书运作流程与交易模式。

目前以网上书店为代表的出版物在线销售面临着良好的发展机遇，随着网上书店在我国的普及，其信息安全问题显得尤为重要。传统的纸面贸易都是通过邮寄封装的信件或通过可靠的通信渠道发送商业报文来达到保守机密的目的。而互联网是开放性的技术，网上书店则建立在这样一个开放的网络环境之中，很多人可以匿名、隐身连接在互联网上，造成诸多不安全的因素，其中既有网络自身的技术安全问题，比如病毒、黑客攻击，还包括网上书店这一电子商务交易形式自身的众多信息安全问题。

一、网上书店的信息安全问题

由于网络的虚拟性，网上书店交易的双方并不见面，其交易完全通过网络进行，网上书店的运营模式与传统图书发行相比在信息、购买支付、物流发送等环节更依托网络手段。因此信息的真实性、可靠性受到特别的重视。目前在图书信息的真实性、书商及购书客户身份的合法性、网上支付购书费用信息的完整性与不可否认性，特别是安全认证问题和网上支付的安全性等方面都不能完全消除人们的疑虑。

对于网络自身的技术安全问题，可以采用防火墙、防病毒、访问控制和防攻击等常用网络安全措施来解决。而网上书店购书的安全问题主要来自于：购书客户私人信息被截获和窃取；购书物流中订单信息的篡改；网上书商及购书客户的信息假冒；购书交易网上的在线支付安全和支付抵赖等，都需要采取专门的措施来应对。

二、网上书店信息安全问题的解决对策

1． 加强个人身份验证

通过对网上支付认证手段的分析来看，身份确认是信息安全的薄弱环节，而银行的数据也表明支付否认是发生交易争议的主要原因。采用个人身份验证技术能够保护购书客户私人信息及商务数据在公共网络上传输时不被窃听、篡改、顶替及非法使用。认证手段通常有4种： 一是用户名和密码；二是动态密码，分为有源动态密码和无源动态密码；三是多因子的论证，包括手机短信和个人信息等；四是证书认证。

首先，在网上书店交易过程中，每个购书客户都有自己独有的用户名和密码，而在提交任何关于自己的敏感信息或私人信息尤其是信用卡号之前，一定要确认数据已经加密，并且是通过安全连接传输的。购书客户的浏览器和Web站点的服务器都要支持有关的工业标准，如SET（Secure Electronic Transaction）和SSL（Secure Sockets Layer）等。在客户购书下订单确定以及付款，书商正式发书之后，购书系统都应该有实时的手机短信提醒，双方进一步确认。

其次，采用数字证书身份认证加上口令加密的双因子身份认证技术。每个购书客户可申请一张数字证书，上网进行账户查询时，网上银行系统首先验证该用户数字证书是否合法，然后将查询请求和口令一起发送给业务前置机，对口令再次进行认证。当服务器获得用户证书后，还要检索该证书是否在废止证书列表之中。作为一个安全的网上购书系统，需要由一个权威的第三方担任信用认证机构来确认买卖双方的身份，即电子商务的安全证书认证中心（CA中心）。 CA中心的作用在于确保网上交易合同的有效性，确保交易内容、交易双方账号、密码不被他人识别和盗取，确保交易合同的完整性，防止单方面对交易信息的生成和修改。这个第三方可以是政府部门，也可以是行业主管部门，还可以是交易双方共同信任的其他组织。

2． 网上书店购书过程中的数据加密

书刊的物流信息在网络中传输时，通常不是以明文方式而是以密文的方式进行通信传输。 加密技术就是把重要的数据变为乱码（加密）传送，到达目的地后再用相同或不同的手段还原（解密）。加密技术包括两个元素：算法和密钥。算法是将普通的文本（或者可以理解的信息）与一串数字（密钥）的结合，产生不可理解的密文的步骤，密钥是用来对数据进行编码和解码的一种算法。在安全保密中，可通过适当的密钥加密技术和管理机制来保证网上书店物流信息的通讯安全。密钥加密技术的密码体制分为对称密钥体制和非对称密钥体制两种。相应地，对数据加密的技术也分为两类，即对称加密（私人密钥加密）和非对称加密（公开密钥加密）。对称加密的加密密钥和解密密钥相同，而非对称加密的加密密钥和解密密钥不同，加密密钥可以公开而解密密钥需要保密。密钥的保密是很关键的，否则，网络攻击者掌握加密、解密算法，又得到密钥，会使购书客户遭受损失。因此加强对密钥的管理，要贯穿于密钥的整个生存期：密钥的生成、验证、传递、保管、使用和销毁。

还可以采用短信加密技术 ，用户购书过程中的订单、付款等可以短信的形式确认，而丰富多样的短信息服务的实现借助于SIM卡片以及在SIM卡片上开发应用和菜单的STK（SIM card Tool Kits）技术。SIM卡片加密技术的直接应用就是对短信息完成加密和解密，无线网络和短信中心为应用服务器提供了接收和发送短信息的通道，手机内发出和接收的短信报文利用SIM卡片加密和解密，在应用服务器一侧可以借助专用的交易安全服务器来完成对短信息报文的加解密。除了加密和解密外，系统还通过MAC算法完成报文的完整性校验。 由于SIM卡片具备完成DES、3DES等多种加密运算的功能，应用STK技术可以在SIM卡片上开发信息安全功能。

转贴于

3． 完善网上支付手段

网上书店的一个重要环节是网上支付。在网上支付的技术方面国际上已经形成了一些比较成熟的安全机制，我国的电子商务企业已经广泛应用了这些安全保障技术，主要是由安全协议支持的。目前国际上流行的电子商务所采用的协议主要包括：基于信用卡交易的安全电子交易协议（Secure Electronic Transaction，SET）、用于接入控制的安全套接层协议（Secure Socket Layer，SSL）、Netbill协议、安全HTTP（S－HTTP）协议、安全电子邮件协议（如PEM、S／MIME等）、用于公对公交易的Internet EDI等。

从购书客户角度来说，使用网上支付时首先要核对正确网址，要开通网上银行功能，通常事先要与银行签订协议。用户在登录网银时应留意核对所登录的网址与协议书中的法定网址是否相符。其次做好交易记录，应对网上银行办理的转账和支付等业务做好记录，定期查看“历史交易明细”，定期打印网上银行业务对账单，如发现异常交易或账务差错，立即与银行联系，避免损失。另外管理好数字证书，应避免在公用的计算机上使用网上银行，以防数字证书等机密资料落入他人之手，从而使网上身份识别系统被攻破，网上账户遭盗用。

购书客户还可以通过与银行合作，使用U盾等一系列安全措施；可以采用货到付款支付方式；也可以与拥有相当用户的支付工具合作，如易趣的“安付通”、淘宝的“支付宝”都已经与工商银行、招商银行等国内的许多银行建立起战略合作关系，充当起第三方保障的角色。以支付宝为例，其具体流程是：首先，书商与购书客户就购书达成协议后，购书客户先把书款打到支付宝这个第三方账户上，等购书客户向支付宝和淘宝发出信息确认收到书并且收到的书与所购买的书相符时，支付宝再把货款划至书商的账号。当然，这些都需要依赖网上支付的法律保障，相关的法律建设需要进一步加强。

4． 建立网上书店的实名制和信用制度

许多网上书店的商家利用网络的虚拟性，使用不切合实际的书刊产品广告描述来误导购书用户。很多购书客户也常会因为刚刚接触网上购物而上当。除此之外，也有一部分蓄意欺诈的书商收到了购买者汇来的钱而故意不发货。对于这类情况，可以对网上书店的商家采用实名登记注册，并通过一系列的信用等级评价机制，透明地、如实地反映书商的信用情况以及过去的每一笔交易的明细，以减少这种不安全性，买家可以参考这些信息，或与曾经与此卖家交易过的买家沟通。然而这些方式都只能降低商家网上欺骗成功的概率，不能从根本上杜绝。要想彻底根治，还是要从商家本身以及网上书店交易平台的总体设计入手来改进。

5． 提高网上书店管理人员的技术素质

网上书店应该定位于高科技产业，而不是传统的流通业。网上书店的经营需要计算机操作人员、网页编辑、数据库维护人员，特别是懂得网络经营管理人员的商务人员。为提高网上书店的信息安全性，不仅要求其工作人员熟练掌握IT技术，如网络协议OSI、TCP／IP，网络与互联设备，E－mail、Telnet、FPT等服务方式，还要求熟悉电子商务的运作平台（信息流网络、知识流网络、资金流网络、物流网络、契约网络），电子商务管理（ERP系统管理、SCM供应链管理、CRM客户关系管理）等， 所以网上书店售书方应该聘请或培养专业人员对书店网站进行管理和维护，并积极与银行系统合作，开发操作性强、安全性高的在线客服系统和支付系统，提高网上书店的服务质量和购书双方的安全保障水平。

主要参考文献

［1］ 胡红升，马东平． 电子商务安全策略［J］． 电子商务世界，2001（2）．

［2］ 吉绚，胡曼，刘广宇． 网上购物安全性现状分析［J］． 中国水运：理论版，2006（12）．

篇2

关键词：军工企业；网络信息；安全问题

中图分类号：TP393.08 文献标识码：A文章编号：1007-9599 (2011) 17-0000-01

Study on Military Enterprise Information Security Issues

Su Bin,Sun Hailong

(Shenyang Liming Aero-Engine Group Co.,Data Center,Shenyang110043,China)

Abstract:The military enterprises in the national economy and play all important role,along with in-depth informationtechnology,network information security issues are also increasingly prominent.This inform ation from the afected area enterprisenetwork security defense several major f-act0rs.discusses military emerprise network information security solutions.

Keywords:Military enterprises;Network information;Security issues

随着社会信息化建设进程加快，军工企业对计算机网络信息安全的威胁，需要不断采取自动化的方法，来提高计算机网络信息的安全性。密码编码学技术给计算机网络信息安全带来了新的革命，在网络的各个层面上实现信息安全，提高保密性和认证的密码编码算法显得更为重要，确保计算机网络信息的安全已经成为社会所关注的热点问题。

一、军工企业信息安全问题分析

（一）设备中的漏洞问题

当前，软硬件的漏洞无处不在。众所周知，计算机网络的主要软硬件大多依赖进口。这些软硬件都存在大量的安全漏洞，极易给病毒、隐蔽信道和可恢复密码等开辟捷径，极易为他人利用。每当发现新的漏洞，就会在短短的几分钟内传遍整个网络，攻击者就可以利用这些漏洞对网络进行攻击，网络信息处于被窃听、监视等多种安全威胁中，信息安全极度脆弱。

（二）计算机病毒问题

互连互通的网络给人们传输信息和共享信息带来了极大的方便，但同时也给病毒的传播大开方便之门。而且现在病毒的隐蔽性、传染性、破坏性历经演变之后都有了很大的提高，使网络用户防不慎防，给企业带来巨大的损失。境内外各种敌对势力一直把我国军工单位作为渗透、情报窃取的重点目标，无时不在对我进行情报窃密活动，黑客攻击是常用手段之一。黑客利用企业网络存在的一些安全漏洞，经过一些非法手段访问企业内部网络和数据资源，可以删除、复制、修改甚至毁坏一些重要数据，从而给企业和个人用户带来意想不到的损失。

（三）隔离墙问题

大部分军工企业没有做到非的内外部网络的物理隔离，或逻辑隔离强度不够；另外存在一机多用的情况，在内外网之间随意转换使用。致使病毒在多个网络中流传，存在一点突破全网尽失的现象。一些单位内部文件共享情况比较普遍，缺乏有效的授权访问机制，对内不设防的情况比较多。对于一些物理隔离较好的内外部网络，因移动存储介质能够在两个网络之间能交叉使用，致使病毒仍能在网络之间流转，甚至能通过接入互联网的计算机把信息传输出去，致使内外网的隔离失去实际意义。

二、密码学解决信息安全的方法

经过加密处理后的信息在网络中传输，将很大的程度上避免了数据信息泄漏，即使黑客或病毒截取了相关信息，也要通过花大量的功失解密才能获知明文。密码编码学是解决网络信息安全问题的核心技术，保证了数据信息的可控性、保密性完整性、不可否认性和可用性。

（一）数据信息采取加密保存

首选的是运用数据信息加密技术，加密方法有对称加密和非对称加密，通过设置对文件设置密码保存，提高数据信息的安全性，加密的算法有AES密码算法，DES算法、三重DES算法、RSA算法等。只有解密后才能访问和理解原始数据信息。可以采用可靠的加密软件对文件进行加密保护，如电子邮件、口令等数据，通过Outlook发送邮件，自带有加密和数字签名等安全设置功能，可以使用安全设置后再发送，达到数据信息安全的目的，即使被截取后，黑客也要耗时间去解密，达到数据信息时效安全性。

（二）链路和端对端加密相结合传输

数据信息在网络传输过程中，采取链路加密还是端对端的加密都是有一定的缺陷的，只有把两种方法结合起来应用，才能使数据信息保护更加安全，主机使用端对端加密密钥来加密用户数据，整个分组则使用链路加密，分组在网络中传输是，每个结点用链路加密密钥来解密它，读取信息头，然后在对它加密，发送到下一条链路上，这样除了在分组交换结点的存储器逗留的时间里信息头是明文外，整个分组一直都是安全的。

三、军工企业信息安全的策略

解决网络信息安全的对策和措施的遵旨是技术与管理相结合：技术和管理不是相互孤立的。对于任何一个企业来说，网络信息的安全不仅是技术方面的问题，更是管理的问题。制定完善的安全管理制度，精确到细节，从企业高管到部门负责人以及普通员工，确定每个用户在网络中扮演的角色和承担的安全责任义务，职责分明。企业应将网络安全管理工作作为一项重要指标纳入年度考核，营造“网络安全，人人有责”的全体动员的氛围。同时应制定详细的安全管理策略，并每年定时或不定时的对非网络的服务器和计算机进行抽查，根据检查结果，对不符合要求的要实事求是的下发整改通知，并在公司网络安全管理会议上进行通报。军工企业的网络信息安全建设是一项系统的、庞杂的、长期的工程。但我们也清醒的认识到，安全不是技术，而是技术与管理的结合，任何先进的安全技术都需要严谨的管理作为后盾，否则，只是一堆软硬件的组合。我们必须从自身做起，坚持不懈，确保军工企业的网络信息安全。

参考文献：

篇3

关键词：信息化建设；信息资源；安全

中图分类号：G20 文献标志码：A 文章编号：1002-2589（2013）12-0197-03

进入新世纪后，党校的信息化建设无论是资金方面，还是在技术方面都有了大幅度的提升。在资源共享方面，通过VPN虚拟网等方式实现了各级党校之间的联网；校园办公软件系统和资源管理系统实现的有机地整合，数字资源和内容也得到极大地丰富，种类更加齐全。信息化对党校的工作、教学、科研带来方便的同时也对信息化安全工作提出了更高的要求。

一、党校信息化及安全建设的必然性

1.新时期党校建设要求，党校必然要进一步进行信息化建设

新时期，党赋予党校的任务是党校作为干部培训的“主渠道”，并且发挥着中国特色社会主义理论“主阵地”和党委政府“思想库”的作用。通过信息化建设，开展领导干部网络课堂、远程教育等方式，可以拓宽干部培训渠道，增大党校干部培训的力度和范围，放大党校干部培训工作的效用，更充分发挥各级党校在干部培训中主渠道的作用。通过建设数字图书馆，为党校领导干部提供读书便利，在创建学习型政党和学习型社会进程中发挥积极的推动作用。针对网络时代的特点，坚持马列主义在意识形态的指导地位，做好理论宣传工作的战略部署，要使党校在信息化建设中发挥马列主义宣传阵地的作用。

在2012年7月17日全国党校校长会议的开幕式上，同志在讲话中对新时期党校的工作提出战略性的指导意见：“坚持上级党校对下级党校的指导，加强中央党校与地方党校之间以及地方各级党校相互之间在教学、科研、管理服务等方面的通力合作，充分发挥党校系统的整体优势。”因此党校的信息化建设也要紧紧围绕着这一新时期党校建设的目标和方向。在今后党校信息化建设中要更好地为党校的教学科研服务。通过信息化建设，努力提高办公自动化水平，提高处理事物的效率；通过提高各级党校之间数字资源共建共享程度，促进各级党校之间的优势互补，促进党校的整体水平[1]。

2.信息化安全建设是信息化建设的必然要求

在党校信息化建设过程中，安全保障起了至关重要的作用。只有信息化安全建设到位，才能保证信息建设在实际办公、教学、科研、交流中能够正常有序并可持续地进行。在总结过去党校信息化安全建设的经验教训中，我们可以看到党校信息化安全建设走过了一条曲折的道路。党校对信息化安全建设的需求从原来按文件指示而动转变成为党校发展的自身要求；对信息化安全建设的主要内容从一知半解到现在心中系统有数；对于信息化安全建设的方式从原来的跟风而动转变成按需而置、量力而行；信息化安全的人才队伍从无到有，从弱到强，并逐步适应了党校信息化的需要。这一系列的发展变化都说明了，党校在保障信息化建设的进程中，不断探索和实践出了具有党校特色的信息化安全建设发展之路。

二、目前整体信息安全状况对党校信息安全建设的要求

在信息化建设取得了具大成果的背后，我们也应当清醒地认识到信息化建设中所存在的安全问题并没有消失，也没有得到根本性的解决。应当说，随着党校信息化建设的日益深入，范围不断扩大，安全隐患和问题会更加防不胜防。

1.搜索引擎无孔不入的信息收集方式对党校在公网上的信息安全提出了考验

我们应当清醒地认识到，党校面向互联网公开的网站上的所有信息都将成为目前国内外网页搜索引擎所网罗收集的对象。以百度搜索为例，笔者在百度百科中输入所知道的各个党校名称，就可以看到该党校在公开于互联网网站中关于学校简介所有内容按原文给予转发。其他的搜索引擎网站也是类似于这种情景，或多或少都收集了各个党校公开的信息内容。作为专业的搜索引擎网站的信息收集员在收集党校公开网站上的信息时，不可能只关心其中的一两点内容，而是会把所有内容都详细看一遍。笔者在百度搜索中输入“党校通讯录”，结果在搜索的结果的链接中非常方便地打开了相关信息，如某函授班级的通讯录，上面详细记载着学员的相关信息；如在某省委党校网站中全省党校系统通讯录，可以很详细地看到全省所有地市县党校的有关通讯信息。随着党校所承担社会职能的增多，参与社会政治经济建设的作用不断提高，各搜索引擎网站对党校公开于互联网的信息的收集力度将不断加强。因此，在公网上，哪些内容可以公布，哪些内容不能公布都要进行严格的审查，以避免无意中将一些不宜公开的信息公布于网站中，这既是国家有关法律法规的要求，也是《党校工作条例》中有关信息化建设的要求。

2.黑客技术的发展与党校安全技术的相对滞后，对党校信息资源建设存在严峻的挑战

在防患黑客攻击和病毒木马的传染方面，经过多年的信息化建设，在不断累积经验和教训的探索之中，党校信息安全建设取得了一定的成绩。安全防患意识在不断地加强，安全防护能力在不断提高。但仍然没有改变信息安全工作处于相对被动的局面。从自身的建设来看，在信息安全的有关设备和软件上投入仍然不足。大多数党校预防黑客攻击的设备仅仅依靠防火墙集成的功能，基本上没有装配入侵检测设备、入侵检测防御设备、行为管理器和网页防篡改系统。在这种情况下，对外网抗攻击安全指数偏低，对内网的攻击就是一片真空。然而要配齐一套包括较先进的可三层管理的防火墙和其他的相关设备，从绝对价格来看是一笔不菲的开支。在目前大部分党校信息化建设投入资金有限的情况下其财力上是难以承当的，以至相当多的党校都对于安全设备的配置都采用了能简则简、能省则省的做法。

3.内部信息安全制度的进一步规范化，并使之与党校信息化的发展相适应

党校的信息化安全工作应当按照国家有关信息化建设的法律法规进行，这是最基本的出发点。但国家的有关法律法规是针对社会普遍现象而制定的，不可能考虑到具体行业、具体单位对信息安全工作个性化需求，难免在实际操作中有考虑不周的地方。因此，针对党校信息建设的特点、具体操作过程的需求以及对将来信息建设的发展，参照国家有关的法律法规，适时制定和修改党校系统的信息化安全工作规定是势在必行的。

党校信息化安全条例应当具有可操作性，要能够对具体的工作起到指导性的作用。其中的具体化要求应当从生效之日起，融入到党校的日常工作教学生活之中，具体的执行情况应当列入工作考核或绩效考核之中。用信息化安全条例来规范信息化建设，也要从日常教学工作执行过程发现条例的不足之处并及时完善，让信息化安全条例更好地为党校信息化建设服务，让党校信息化工作能够可持续性地更好发展。

4.加强各级党校之间信息化安全工作的合作

“天下党校是一家”一直是各级党校在各项业务交流与合作中的不成文规定。所以，无论是现在还是将来，各级党校在信息化安全工作中也要发扬“一家人”的无间合作理念。随着各级党校之间的信息资源共享开展，对信息化安全工作中的合作成为必然要求。在将来，云计算在党校信息化建设中的应用，将更促进各级党校有了“一家人”的感觉，通过扩展的网络连接合作，各级党校的网络形成一个社区，这将对未来党校信息化安全工作提出更高的要求。在这种情况下，不是单靠一校之力所能完成信息化安全工作，需要各个党校相互配合，发挥整体人才的优势，各尽其长，来不断地完善和推进党校信息化工作的开展。

上级党校要对下级党校进行指导工作。在日常具体化操作中，应当包括上级党校对下级党校信息化安全工作进行指导。在目前实际情况中，中央党校和省级党校在信息安全工作中具有明显的人才优势，而市级党校和县区级党校在这方面的人才就较为匮乏。在日常工作中通过省级党校信息化安全工作人员有针对性的业务指导工作，能较好地提高市级和县（区）级党校的信息化安全工作水平。

总的来看，各级党校在信息化建设中对安全工作都是相当重视的，在实践中也积累了不少丰富的经验。然而我们也更要清醒地认识到，无论是操作系统，还是应用软件系统都有我们无法预知的安全漏洞；不论是哪种型号的硬件设备，都无法保证能一劳永逸，不会出现任何故障；资金、技术、人才在一段时间内都将是党校信息化安全工作的难题；信息技术日新月异发展的同时，也对党校信息化工作不断提出了新问题、新要求。但我们相信，只要各级党校相互合作，发挥利用党校系统在信息化安全工作上的整体优势，共享信息化安全工作的经验成果，我们是有信心解决信息化建设道路上所遇到的安全问题的。

篇4

关键词：实验室；内部网络；局域网；信息安全；管理办法

基于整个互联网基础与结构进行分析，可以发现，局域网是互联网结构中的一个非常重要的部分。其分布范围非常广泛，而且所承载的任务也非常重。特别是在当今的学校、企业、公司等各种单位中，对于局域网的应用可谓是遍布于每一个角落。通过设立局域网，可以使其在应用的过程中用户在访问互联网的时候变得更加方便快捷，而且还可以实现资源的互通与共享，以此来带动整体的工作效率提升以及信息高速传递。但是，由于当前在互联网环境中病毒、木马等有害程序肆意横行，所以导致整个互联网环境变得乌烟瘴气。为有效抵制类似软件对互联网的侵害，务必要对其进行管理与控制。在该环境中，局域网的信息安全问题也日愈突出，特别是在针对各类实验室的内部局域网的信息安全方面，其面临的考验与遇到的威胁日益加大。因此，对实验室内部局域网信息安全问题进行有效的管理与解决，是当前实验室内部局域网研究与发展过程中需要直接面对的一个问题，同时也是一个需要对其进行深入思考与分析的问题。针对于此，伴随着互联网大量的信息传递，以及局域网的使用范围不断地扩大，其在安全方面的可靠度以及在自由度方面的管控也越来越困难。为确保实验室内部的数据信息绝对安全，保证实验室内部局域网不被外来病毒侵害，对其进行研究的是一个迫在眉睫的工作。

1造成安全缺陷的原因分析

在当前，我国所使用的绝大多数局域网网络通信协议都是TCP/IP协议，这一协议与Internet是相同的。所以，也比较符合当前各种黑客软件以及病毒系统的攻击范畴。自从局域网得到了大力的发展与推广之后，黑客对网络系统的攻击从互联网结构逐渐转向了局域网结构。旨在通过更简单的办法，利用更快的速度，突破更弱的防线，获得更大的利益。就如实验室的内部局域网当中，黑客对其进行攻击的时候会利用信息包展开分析与探索，通过对数据的分析与匹配之后，便会使广域传播的各种数据和信息完全暴露于透明空间中，从而方便黑客对其进行破坏与攻击。结合当前我国的实验室内部局域网的使用现状以及安全状况展开思考，可以发现，其在安全防护方面，以及网络系统的防御方面具有很多漏洞。

1.1TCP/IP较为脆弱

首先是TCP/IP。TCP/IP是互联网协议实现的基础，也是维持整个因特网协议的整体结构。但是，值得关注的是，当前的TCP/IP在设计过程中，对于网络的安全性能考虑的并不是非常到位，甚至可以用“没有考虑安全性能”来对其定义。而且，在当今的网络全球化普及的环境中，TCP/IP协议是面向全世界人群开放的，也是没有任何保密意义可言的。因此，但凡是了解过TCP/IP协议的人，都会对其作出一个较为全面的分析与掌握，并且可以快速发现其中的问题，找到其中的安全防范漏洞，并且可以根据其弱点直接制作相关攻击软件与木马程序对其实施网络破坏和侵袭。这就是TCP/IP协议脆弱的主要原因，也是当今TCP/IP协议越发展越没有安全保障的一大要素。而在实验室内部局域网的应用中，能否对TCP/IP协议进行安全问题上的管理与优化，直接关系到了实验室相关内容研究的进度以及质量，甚至会与科研成果以及科研事故产生紧密的联系。

1.2网络结构不健全

其次是网络结构的不健全与不安全性。在互联网的架构与应用和实现过程中，其所使用的是一种“网间网”的技术措施。换言之，“网间网”就是通过多个，甚至是无数个小型的局域网对其进行连接与架构，从而像一张不断扩大、不断编织的渔网一样，将全世界的网络用户笼罩在其中，并且为所有的用户提供相应的服务。在这一巨大网络的构建中，有着数不清的主机和客户服务端。在这一背景下，如果众多主机中的一台主机需要与另一台主机进行联络和互通的时候，就必须要利用局域网的桥梁实现通信关系的建立。在此，便可以发现，在网络黑客利用一台主机对另一台主机进行攻击的时候，且攻击的主机处于数据流传输路径时，此时的网络黑客便可以轻而易举的对被攻击的主机进行肆意的修改与数据调换。所以，在实验室内部局域网的安全问题管理过程中，还需要对网络结构做出相应的分析与思考，并且要探索该通过怎样的方法才能有效提高网络结构的安全性与实际应用价值，以及通过怎样的方法来体现网络结构的健全性和可靠程度。

1.3易被破坏被窃听

在实验室内部局域网的正常工作过程中，很少有主动加密的网络。一般使用者都认为，基于互联网的大平台有着信息加密与安全防护功能，所以在实验室的内部局域网上没有必要再设计加密项目。在此需要提出，这一认知是完全错误的，而且会严重的妨碍到实验室内部局域网的安全性与可靠性，甚至会导致实验室的内部实验数据得到泄露与丢失。为确保这一情况不会发生，务必要对当前的实验室内部局域网作出全面的分析与判断，以此了解其安全性的高低，以及防护措施的严密程度。若其安全性与防护措施无法达到既定的要求与标准，一定要想办法对其进行提升，以确保实验数据的安全，以及实验室内部局域网络的可靠程度。因为当前的互联网信息传输过程中，很多数据在传输时都是自动传输的，而且是没有任何加密措施的，所以如果有人蓄意对其进行破坏，只需要利用电子邮件以及一些其他的木马程序和口令便可完成。实现对其进行监控、盗取、破坏以及窃听等。如果该安全问题发生在实验室的内部局域网中，那么后期的损失是无法估量的，而且前期所研究数据安全也无法得到有效的保障。

1.4缺少必要的防范

随着互联网技术的不断发展与壮大，以及当前的网络安全问题日益严峻，很多人对于实验室内部局域网络的安全性以及可靠性也逐渐的重视了起来，并且提出了很多看法与意见，力求对其进行高效的管理与控制，从而确保在后期的局域网应用过程中尽量避免被网络黑客以及网络木马攻击与破坏的概率。但是，因为当前很多设计人员缺乏必要的网络安全认知，以及缺少相关的理论和实践能力。所以在对实验室内部局域网的安全性和可靠性进行重新设计与提升的过程中都无法实现高效率与高质量的目标达成。反而会因为设计不周以及管理不当出现意料之外的问题。这不仅会影响到实验室的工作开展，甚至会破坏实验室已有的研究成果与数据信息。另外，还有部分实验室内部局域网中，其安全系统以及安全防护功能形同虚设，在面对一般等级的网络病毒攻击时，就会表现出无法应对的状态。归根结底，造成这一问题的原因在于人为因素。比如，很多人在设计和管理的过程中，为了躲避防火墙服务器对其进行额外的认证与监管，会对PPP进行直接的连接，这就会导致防火墙的原有功能失效，而且会导致内部资源的流失。

2安全技术的应用方法

在当今信息技术与互联网科技飞速发展的背景下，网络安全与信息安全是其中的重中之重。在实验室内部局域网的应用与安全管理方面，其安全技术必须要有一个较为完善的机制，并且需要在该安全机制上进行特点的体现以及系统保密性的强化。只有在这一基础上，才能够有效实现实验室内部局域网的静态防护和可用性提升。特别是在当今的互联网普及阶段中，以信息保障技术框架为主所建立起来的标准模式为广大用户提供了一个可视化的信息安全结构，在该结构中，可以反映信息安全的保障措施与方法技术，从而有效避免了单一的防护措施和检测过程。利用该方法，能够大大提升实验室内部局域网的信息安全性，确保其在防护过程、检测过程以及响应过程和恢复过程中能够实现高效的统一与衔接。

2.1典型信息安全管理技术的分析

（1）关于环境安全、媒体安全以及设备安全的物理安全技术。（2）关于操作系统安全、数据库安全以及数据系统安全的整体系统安全技术。（3）关于网络隔离、VPN、访问控制、扫描评估以及入侵检测的网络安全技术。（4）关于Web访问安全、电子邮件安全以及内容过滤和应用系统安全的应用安全技术。（5）关于硬件安全、软件安全、硬件与软件加密安全、身份认证安全以及数据信息CIA特性的数据加密技术。（6）关于口令认证、证书认证以及SSO认证的认证授权技术。（7）关于访问控制列表以及防火墙的访问控制技术。（8）关于日志审计、入侵检测以及辨析取证的审计跟踪技术。（9）关于单机防病毒系统发展，以及整体防病毒体系的防病毒系统建设技术。（10）关于业务连续性技术和数据备份的问题回复与备份技术。以此作为典型信息安全管理技术的分析，可发现，在不同应用范围的局域网中，其发生问题的实际情况也不尽相同。因此，我们务必要强化实验室内部局域网的信息安全技术，并且要对其进行防护措施的提升，以此为其提供可靠地运行环境与运行空间。

2.2可采取的信息安全防护措施

在此，可以结合大型局域网对其进行分析与研究。如：（1）规划网络。在面对一些较为重要的基础服务器，以及较为特殊的用户和设置不同的网段时，可以对其进行安全策略的分析与匹配，以此来有效控制访问权限的问题。（2）需要对局域网的漏洞进行定期检测，同时需要对其进行全盘扫描，在生成数据信息之后，需要将之进行深入的分析，以此明确安全防护的状态与等级，该数据信息可作为一种实验室内部局域网安全问题管理工作开展实施的有效参考凭据。（3）可以通过构建WSUS服务器对其进行网络的升级，从而提升实验室内部局域网的实用性，同时还需要对网络安全进行即时监控，并根据问题快速开发相关补丁作出漏洞和问题的修复处理，保证把问题扼杀在萌芽之中。（4）可以利用无线网络构建安全认证机制，以此来确保无线网络的正常接入与认证服务管理。（5）需要对局域网进行服务器的装配，并且需要将其置于用户的网络当中，以此作为探针进行应用。该方法可有效确保对网络应用状况的实时了解与分析，并且还可以反应网络的故障问题和关键点。（6）可设计专门用于UPN的网络设备，以此来管理内部服务器以及控制远程端口。使其达到统一白的认证标准与要求。这样可以提高管理的效率，降低问题发生的概率。（7）需要对被采集的流量数据进行分析，从而全面了解实验室内部局域网的控制状况与不良信息。（8）需要构建安全门户，以确保网络信息的安全与正常宣传。（9）需要建立损坏恢复与备份系统，为实验室各种数据资料提供高效的保存空间。（10）需要明确防火墙的重要性，体现对防火墙部署的边界意识。

3安全的管理

解决网络及信息系统的安全问题不能只局限于技术，更重要的还在于管理。安全技术只是信息安全控制的手段，要让安全技术发挥应有的作用，必然要有适当的管理程序的支持，否则安全技术只能趋于僵化和失败。只有将有效的安全管理从始至终贯彻落实于安全建设的过程中，信息安全的长期性和稳定性才能有所保证。现实世界里大多数安全事件的发生和安全隐患的存在，与其说是技术上的原因，不如说是管理不善造成的。理解并重视管理对于信息安全的关键作用，对于真正实现信息安全目标来说尤其重要。我们常说，信息安全是三分技术七分管理，可见管理对于信息安全的重要性。信息安全管理作为组织完整的管理体系中一个重要的环节，构成了信息安全具有能动性的部分，是指导和控制组织的关于信息安全风险的相互协调的活动。

篇5

1 信息化管理下的档案管理所存在的安全问题

1.1 信息化管理下人员以及编制的缺陷

受信息化管理的自身特点的影响，工作人员在进行档案管理的过程中，需要操作电脑来完成档案的录入、保存、整理、以及传输等步骤，但是每个工作人员自身素质存在个体差异，对计算机技术和安全管理缺乏相应的理论和实践知识，这就使得工作人员在进行信息化档案管理的过程中，操作不当，对一些档案数据的加载、更改、以及传输不及时、不到位，甚至会留下很大的数据漏洞，使得一些心有不轨者有机可乘，对一些信息化的档案数据进行复制和更改，以满足一己私利，因此，在信息化管理的档案管理的过程中，管理人员个人的素质以及计算机技术是阻碍档案信息化发展中很重要的因素。

1.2 网络档案信息传输中存在的问题

互联网科技的一大特点就是其内容的保存、传输是以数据的内容进行的，这就使得档案的内容很容易被人有针对性的进行入侵、复制、和篡改，特别是在传输的过程的，由于信息化档案管理使得部门之间的档案传递也常常采用数据传递的方式，而数据传递往往使用公用的数据网络，因此在传输过程档案的数据容易被人窃取，尤其是一些保密性极高的档案数据的传输安全也就成了当前信息化档案管理下一个相当大的难题。

1.3 电子信息档案保管下的合法性以及真实性的问题

传统的纸质档案虽然比较笨重，使用上也有一些繁琐，但是纸质档案有一个很大的优点就是纸质档案的真实性和合法性有所保障，领导的签名以及单位的盖章也比较好进行鉴别，而信息化下的档案以数据的形式存在，数据在保存的过程中如果操作不当极易出现数据毁坏的情况，而且数据极易被篡改，因此数据形式下档案的合法性和真实性是很难证明的，这也是目前情况下亟待解决的难题。

1.4 信息化下电子档案保存的安全问题

信息化档案管理下电子档案要想进行长期的保存，就需要一个非常大的服务器，并且需要专门的技术人员来进行维护，而这些设备的使用以及寿命也就成了制约信息化档案长期保存的制约因素，电子设备使用周期较短，常常需要更换，因此在进行更换的情况下数据档案的保存也就成了问题，所以工作人员一定要加强信息化下电子档案的保存工作，使电子数据档案不会因为设备老旧以及工作人员更迭而造成毁损和被盗。

2 对于信息化管理下档案管理的一些措施和建议

2.1 提高电子档案管理人员的业务素质

信息化管理下的档案管理虽然强调计算机以及互联网的技术贡献，但是在工作过程中，林业档案人员的个人业务素质也起到了一个非常重要的作用，因此信息化档案管理部门要加强对工作人员做好专业的培训工作，做好业务安全以及信息安全的宣传教育工作，使工作人员的专业素质得到提高，并加强对工作人员的思想素质、职业素质进行培养，端正工作思想，把心态放正，用高度的责任心和事业心做到优质化的档案管理工作。管理部门还可以引进一些专业的人才，使其为信息化下的档案管理做出更大的贡献，档案管理部门要根据信息化下档案管理工作中所出现的问题，加强对工作人员的培养和教育，使其能够对于工作过程中所出现的问题能够更好的进行解决，以确定信息化下档案管理工作能够顺利的进行。

2.2 从各个环节入手做好安全管理工作

在信息化下档案管理工作过程中做好技术安全工作也是保障档案信息安全的重要举措，具体来说有如下几种方式：第一，使用保密的技术，也就是对原有档案的数据进行加密，使其不易被人破解和利用。第二，使用电子文件的签署技术，电子文件由于其特殊性，其签署主要分为手写式数字签名和证书式数字签名，而通过这些签署技术，可以对文件上的一些签名和盖章更好的进行辨别，以保证信息的安全性和保密性。第三，对电子档案进行权限上的管理，也就是对电子档案设置权限，只允许被授权的人员进行查阅、传输、和修改，也可以对档案设置不同的权限等级，不同的人权限等级可以获得不同的档案管理的权利，以便更好地进行电子档案的安全性管理。第四，采用电子档案监控的技术，简单来说就是设置防火墙来对电子档案的数据传输进行监管，对于没有档案调取权限的IP地址的传输工作一律进行阻止，以此来达到保护电子数据安全的目的。

2.3 完善电子档案管理制度

在进行电子档案的保管、整理、修改、以及传输工作中，我们还要建立健全电子档案的保存以及安全管理的相关制度，使电子档案管理中的各项工作都有章可循，才能使电子档案工作更好地进行，其中主要包括以下几个方面：首先要对档案管理的责任有一个明确的规定，即在电子档案的管理过程中实行个人负责制，对于电子档案管理之中出现的问题，由个人承担责任，并追查到底。其次对电子档案进行及时的整理和核对，以便更好地发现其中所存在的问题。最后要完善安全管理制度，保证电子档案的安全性、公正性、以及保密性。

2.4 采用新型技术加强管理安全

这主要是针对计算机技术而言的，即在电子档案的管理过程中，对于电子档案管理所使用的设备安装安全系数高的系统，并且在重要数据的储存设备上安装防御系统和数据的防火墙系统，还有就是要定期的对数据进行安全扫描，以便及时的发现其中隐藏的木马以及系统漏洞，主动的加强对电子档案数据的保护。

篇6

信息系统安全管理并不是一个很新的概念，很多信息系统业务平台的管理人员对其的认识可能还简单停留在防火墙和杀毒软件上，认为威胁主要来自于互联网和外部的威胁。随着近年来移动互联网技术的革命性发展，智能移动终端的普及，虚拟化云存储技术的大规模应用，安全威胁也从原先的单一方式外部攻击模式转变为APT攻击模式，如果再使用传统的方法和理念来应对新模式的安全威胁显然远远不够，必须要从人防、技防和管理制度上进行相适应的变化。

1管理系统本身存在的安全威胁

每一个信息系统管理平台需要有一个运行环境，都离不开运行程序或代码，读写数据库存储的数据，因此，如果编写的系统代码中有漏洞，承载信息管理平台的运行环境有漏洞，都可能导致信息泄露，如果存放敏感信息的数据不被加密则有可能导致更为严重的后果。

1.1管理系统代码的漏洞

无论是自行开发，还是使用现成代码二次开发的信息系统管理平台都可能在其代码上存在漏洞。比如，joomla是一个开源的CMS系统，其本身也会存在一些漏洞。而某网站是使用joomla系统二次开发的，那么该网站也会有类似的漏洞出现，需要及时使用补丁修补。针对信息管理系统的代码漏洞要在系统上线之前请有资质的专业公司进行代码监测，以防止开发或二次开发中产生的漏洞被攻击者利用导致信息泄露，有条件的情况下对一些重要的系统要根据公安部关于信息安全等级保护制度的相关要求对信息系统分等级进行安全保护和监管。信息安全等级保护制度的主要工作包括：定级、备案、建设整改、等级评测和监督检查。

1.2系统管理权限设置的问题

在信息系统管理中，会为不同的用户设置不同等级的管理权限，权限设置应力求精确，避免对用户设置高于使用需求的权限，对一些权限最大的系统管理员用户（如admin等）应修改其默认的名称。实际工作中有时为了工作和维护方便会存在一些为用户过度设置权限的情况，一个比较常见的案例是在Apache服务器的配置中，如果启用了FTP服务，为了维护方便，一些管理员会为FTP用户账号开设root权限，一旦FTP服务出现漏洞被攻击者加以利用，即可获得对整个服务器系统的控制权，造成非常严重的后果。对此，应使用系统的ACLs功能进行权限控制，而不是对一些易受攻击服务的用户赋予不必要的权限。

1.3数据库敏感信息的泄漏

近年来网络攻击的类型由单纯的瘫痪服务式攻击形式转向了以入侵系统窃取信息为主要目的的形式，一些企业和政府机关的信息系统和电商系统多次发生用户信息疑似泄露的情况，如2013年汉廷、如家等酒店开房记录（包括客户的身份证号等大量隐私信息）因第三方存储漏洞疑似遭泄露。2015年4-5月间全国多地社保系统爆出漏洞，数百万人的敏感信息疑似遭到泄露。这些事件充分表明除了做好对系统漏洞特别是对数据库常用的SQL注入漏洞的修补工作外，还必须对数据库中的敏感信息字段进行加密处理，数据库对用户的password字段使用SHA-1算法进行加密。

2密码使用和管理的安全威胁

信息系统管理的身份认证核心是密码，密码的作用是保证合法用户使用管理系统，对密码的设置要遵循严格的规范，防止被他人破解，对使用密码的人员也要严格遵循使用权限进行分配，对密码使用的环境也要有安全意识。使用密码与多重认证技术相结合进行身份识别会大大提高系统的安全性。

2.1未按规定设置密码

实际使用中由于管理人员经常需要登录信息系统各个模块，对信息系统的内容进行管理和维护，包括对数据库的操作和对系统的修改和升级等，因此，一些维护人员为了使用方便常常使用弱密码甚至是空密码，严重威胁信息系统管理的安全。2015年2月一名初中生利用漏洞入侵天河一号的事件是典型的案例，通过分析，主要问题是天河的一个企业用户没有进行严格的网络隔离，其办公室的无线网络的认证策略设置为不使用密码，而且该企业用户在天河的登录节点使用弱口令，这些隐患都会直接导致信息泄露和系统被攻击者利用，如果是一些存有敏感信息的系统，则会造成严重的后果。作为管理人员实际在使用可采取如下手段加强密码管理：（1）密码的长度必须在6位以上，密码由大、小写字母、数字和特殊符号组成。（2）不要使用连续数字和字母的组合，不要使用相同的数字和字母组合。（3）严禁使用经常出现在暴力破解软件词典中的一些密码（如123456|111|1|password等）。（4）定期更换密码。（5）按密码所对应的权限大小实施分级管理，工作人员只掌握其工作中需要使用的密码。（6）禁止使用电子邮件和即时通讯工具发送密码，密码存根应使用纸质介质由专人保管。（7）人员离岗或调动，以及发生密码泄露要及时修改密码。

2.2在不安全的网络使用非加密方式登录管理系统

远程管理和移动管理已经十分普遍地被应用，但实际上近年来很多信息系统管理平台为节约费用并没有设计专门的安全管理模块，在一些场合远程登录管理系统会有安全隐患。比如当管理人员连接到“钓鱼”wifi，进行远程管理时就可能泄露管理员密码等信息，常见的“钓鱼”wifi站点案例，攻击者先使用类似ChinaNet或CMCC等SSID，不设置密码诱使使用者连接，通过在交换机使用端口镜像技术，让pc或工作站能利用数据报监听过滤软件截取使用者的用户名或密码。还可以使用攻击者设置DNS服务器对特定域名进行DNS劫持。对此，系统设计之初就要考虑使用安全的方式进行远程登录管理，如使用VPN技术等，对使用web方式进行管理的系统要使用SSL方式登录。

2.3未使用多重认证机制

在信息系统管理中使用多重认证机制是一种行之有效的手段，可以解决单重认证被瓦解后整个信息系统管理平台安全机制全线崩溃的局面。比如，如果信息管理系统使用web方式管理，使用ssl方式连接，可是如果密码被别人得知了怎么办呢？这里比较有效的方法是使用短信二次认证技术，将有管理权的人员的手机号码加入认证系统，登录时不但要求输入系统用户名和密码，还要输入本人对应手机相应的短信验证码。以下是一段使用.net技术编写的短信认证程序关键部分的案例：hostIP=″XXX.XXX.XXX.XXX″

port=″XXX″

Account=″XXX″’Trim（row（″uid″））

Password=″XXX″’Trim（row（″pwd″））

result=msgCtrl.connection.connect（hostIP，port，Account，Password）

以上部分为使用运营商提供的短信平台的ip地址、端口号、用户名以及密码连接其短信平台。

mobiles.Add（str_tel）

msg.content=Trim（TextBox2.Text）

msg.needStatus=False

msg.ServiceID=Account

msg.SendNow=True

msg.srcID=.AccountID

msg.SequenceID=.SequenceID。。以上部分为发送短信验证码到指定手机，其中TextBox2.Text为系统数据库生成的验证码，可在一定时间内使用，mobiles为登录管理人员的手机号码。

3移动管理终端的安全威胁

随着移动支付系统的发展，手机短信验证技术已经被广泛采用，在信息系统管理平台中使用此类技术进行身份验证也已不是新鲜事物，但是这并不等于说使用了这种技术就能保证信息管理系统的绝对安全，短信方式的APT攻击和木马APP就对移动管理终端构成现实的威胁。

3.1使用短信方式植入木马

攻击者会使用APT攻击的方式即针对特定用户（信息系统的管理人员）的业务流程和目标系统进行精确攻击以获取被攻击用户的受信系统的信息。攻击过程是首先发送一个欺诈性的短信，短信的号码可能是一些公共服务号（如，10086等），这些短信的共性是带有一个链接，目的是诱使用户连接到一个含有木马的网页并将木马安装到用户手机，一旦信息系统管理人员的手机被植入了木马，木马可以截取手机短信并发给攻击者，这样攻击者就可能获取信息系统管理平台的短信验证码。由于此类攻击方式使用的木马基本都是针对智能手机，除了常规的安装手机杀毒软件查杀木马外，系统管理人员用于接收短信验证码的终端可使用非智能手机，为了加强安全性还可以使用一个专用的手机号码用于接收短信验证码而不是管理人员日常使用的号码。

3.2植入木马的手机APP

这种攻击方法与使用短信植入木马的原理基本类似，只是植入木马的媒介换成了手机APP，将木马预先植入正常手机APP，引诱特定用户安装，一些手机木马还可以监听手机通话，比较著名的木马有“X卧底”和“窃听大盗”等，应对的方法和短信植入木马方式相同。

4结语

篇7

关键词:网络信息安全;空管系统;安全防范

中图分类号:TN915.08文献标识码:A文章编号:1007-9599 (2010) 10-0000-01

ATC Network Information Security Analysis and Prevention

Zhao Xiaoping

(Technical Support Department of Dalian Air Traffic Control Station,Dalian116011,China)

Abstract:This article from the ubiquitous network and information security issues,analyzes the current ATC system,the existence of safety problems,air traffic control network is proposed to achieve information security precautions and recommendations.

Keywords:Network information security;Air traffic control system;Security

一、引言

随着信息技术的迅速发展和互联网的广泛应用,越来越多的传统业务走上了信息化的道路,比如网上银行、网上证券、网上售票等,民航作为交通运输业的一大支撑系统,也一直非常重视信息化的建设。民航各企业把信息化作为提高企业核心竞争力的重要手段,利用先进的计算机技术、网络技术和通信技术开发使用了许多先进的信息系统,大大简化了人工操作,提高了工作效率,但这同时也加大了其对网络技术和信息系统的依赖,因此网络信息的安全分析与防范变得愈加重要,它直接影响到民航的安全飞行和服务质量,与人民的生命财产安全息息相关。作为民航业的重要组成部分,空管系统的网络信息安全也十分重要。

二、目前空管系统的安全隐患

(一)系统和软件的安全漏洞威胁永远存在

任何网络信息系统都必须建立在通用的基础信息平台之上,空管行业的各种自动化系统也不例外。比如目前应用范围很广的转报系统DMHS-M、航管自动化系统AIMS都是建立在物理网络、操作系统、数据库系统、中间件等组成的通用的基础信息平台上的。也许各行业专用的系统的漏洞不好挖掘,但是针对于通用信息平台的漏洞攻击技术却发展迅速且传播广泛,因此一旦被非法分子所应用,那么便会对运行在其上的空管自动化系统的正常工作带来威胁。

(二)网络互连专线上的数据传输有待加密

目前,空管系统内各单位的网络系统互连都是通过运营商的专线来实现的,有的租用电信的SDH电路专线,有的在电信网络上利用VPN技术实现专线服务。但这些都不是加密技术,无法阻挡和防范黑客从运营商的网络设备上截取或篡改空管网络内部传输的信息,因此有必要在租用的专线上采用加密传输技术。

三、空管系统网络信息安全的防护措施及建议

空管网络信息的安全需要有效的管理和技术手段,需要领导的支持、制度的完善、工作流程的合理化、必要的设备投资、技术的与时俱进、工作人员的主动防范意识和手段等诸多环节和要素,这里只根据空管系统的现状提出一些具体的建议。

(一)加强与安全相关的设备设施建设

在每一个网络入口处,尤其是接入Internet的网络中都要设置防火墙,防火墙就会根据设定的安全政策控制出入网络的信息流,阻止黑客访问网络中的机器,防止他们篡改、窃取重要信息。

如果资金允许,最好在网络中安装入侵预防系统(IPS),它是对防病毒软件和防火墙的补充。通过IPS,能够监视网络或网络设备的网络资料传输行为,能够即时的中断、调整或隔离一些不正常或是具有伤害性的网络资料传输行为。

(二)使用信息加密技术对专线中的数据传输进行加密

信息加密技术是利用数学或物理手段,对电子信息在传输过程中和存储体内进行保护,以防止泄露的技术,分为数据传输加密和数据存储加密。目前空管系统需要强化数据传输加密。数据传输加密技术主要是对传输中的数据流进行加密,常用的有链路加密、节点加密和端到端加密三种方式。数据加密过程就是通过加密算法把原始的数字信息(明文)变换成与明文完全不同的数字信息(密文)进行传输,这样即便信息在中途被窃取,如果不知道加密算法或者密钥,也是无法获得真正的信息的。

(三)完善安全管理制度,加强对使用人员的安全知识普及,提高使用者的安全意识

纵观很多网络安全案例,有很多都是由于人为的原因造成的,如果操作者或使用人员能够责任心强些、经验丰富些,也许就可以避免安全事件的发生,因此要从根本上预防这一类网络安全事件,最主要的还是从人员意识和管理制度上着手,两手都要抓,缺一不可。比如制定统一的网络安全策略和过滤机制,要求每个接入网络的使用者都要设置安全程度高的密码,另外密码要定期修改,不能随意告知其他不相关人员,对于机密性强的数据和信息要采用指纹等强身份鉴别方式;全员普及病毒防范措施,要求每台接入网络的电脑都安装漏洞检测工具,要及时安装补丁,修补漏洞。每台电脑都要安装防病毒软件,并且要及时更新病毒库、定期扫描病毒、不要随便打开不明的邮件、附件或链接等,避免触发或感染病毒。对于的电脑或网络系统,不能随意使用外来光盘、移动硬盘、U盘等存储设备。网络维护人员要定期检查各个网络防护设备,查杀病毒,将重要的数据采取措施集中保护,并对重要数据进行定期备份,预防灾难性事故发生时的数据安全,并且可以利用备份进行及时恢复。

四、结语

民航空管系统是信息更新极快、对信息技术依赖很强的系统,网络起了至关重要的作用,随之而来的网络信息安全问题也日益凸显。网络信息安全是一个复杂的系统工程,涉及技术、管理、使用等诸多方面问题,不能单纯地通过加强某一方面而得以解决,而是应该从影响到网络信息安全的各种根源抓起,既要强化技术,也要完善管理,做好各项安全防护措施,加强个人的安全防范意识,加大监督检查力度,吸取教训,总结经验,尽最大可能降低网络风险,从而保护我们的网络信息安全。

参考文献

篇8

【关键词】军工企业;信息安全;问题

军工企业是国家国防科技工业的重要组成部分，也是国防综合实力重要发展的企业。随着信息技术的全面发展，信息化建设已成为军工企业科研发展不可或缺的一部分，信息化的建设可以快速推进军工企业的科研、工艺等方面的技术发展，同时可提供企业决策的可靠数据，所以，军工企业的信息化可为企业提供强大的技术支撑与快捷的数据分析，提高了企业的整体竞争力。但是，由于军工企业的特殊性与保密性，在军工企业信息化建设方面，信息安全的问题尤为突出。特别是随着信息化的快速发展，军工企业一般都面临网络建设日益庞大，但信息安全的建设却无法满足网络发展的问题，这就导致网络安全日益严重的隐患，同时问题也在不断增多。

一、信息安全的不稳定因素

随着网络的建设，信息安全的不稳定因素主要体现在以下各方面：

1.客户端数量不断增多，意味着使用人员的增多。但实际情况中，许多人员并不重视自己所使用设备的安全性与可靠性，盲目的认为只要客户端可以使用，数据存在就可以，殊不知，由于不重视将造成了网络信息的严重安全隐患。

2.信息安全制度的不规范或实施不力，信息安全制度属于信息管理制度，目前主要由信息部门进行制定同时推广实施，但由于信息部门工作任务重，同时还要承担信息技术研究、开发工作，无法兼顾实施，即使制度进行了推广，但由于部门的局限性也无法得到很好的响应，就造成了安全制度的执行不力，也给网络信息安全带来严重的安全隐患。

3.客户端操作系统漏洞升级不及时及安全应用软件安装不到位，目前一般的客户端使用的均为微软的操作系统，安全应用软件为国产软件。由于军工企业一般要求内外网完全物理隔离，所以，当微软公司成批量推出操作系统漏洞补丁时，如果信息部门不及时从互联网上下载补丁同时下发，将造成客户端计算机的漏洞大量存在，形成极大的安全隐患，同时，客户端如果不按要求安装安全应用软件，也会给网络造成安全隐患。

4.企业中便携式设备管理松散，一般的军工企业中都存在一部分便携式设备，包括便携式计算机、存储设备等，虽然针对这部分设备一般企业都会制定严格的管理制度，包括使用、归还、数据拷贝等都有详细的要求描述，但由于各方面的原因，往往存在不按制度办理的情况，造成信息安全的人为隐患。

二、解决安全隐患的有效途径

以上四个问题是军工企业信息安全中常见的安全隐患问题，如何解决，将是以下讨论的重点：

1.做到制度从上到下一致执行，同时制度发行要讲究方式方法，如组织全员学习制度规范，同时真正发挥企业领导小组的职能作用;信息安全的学习与意识培养，也是重要的组成部分，只有全员信息安全意识提升，才能时所有的信息安全制度深入到各方面的工作中，同时发挥信息中心的监管作用，对网络客户端制定信息安全制度制定的定期检查工作，只有定期或不定期的排查、宣灌，才能真正的将信息安全制度推行到企业的每一个使用者，得到真正的执行。

2.由于军工企业的特殊性，在企业的园区网络中会存在大量的敏感信息，所以客户端作为使用终端，是信息流通的一个重要环节，控制敏感信息的流向与操作权限将是企业信息安全的重要组成部分。加强企业客户端的管理，安装对客户端使用行为进行管控的安全产品，制定不同客户端的响应管控安全策略，同时保证策略下发到位是企业保证信息安全的一个重要手段。安全管理人员也应重视日常客户端监控监控行为的日志分析工作，确保网络客户端的信息安全。

3.安装漏洞扫描系统，对网络进行统一的漏洞扫描，并及时安装补丁下发系统（wsus），确保网络中所有设备操作系统安全性与可靠性，防止应漏洞引起的安全问题。同时，及时对网络防病毒软件的病毒库更新升级，网络管理员在病毒库更新后要下发到全网设备，对不及时升级的设备要执行强制升级，保证网络的纯净，防止因后门或木马病毒的扩散造成的信息安全隐患。

4.加强企业中便携式设备的管理，对可以安装安全软件的设备一定要安装，同时，要对所有便携式设备统一管理，定期检查。因在便携式设备中安装文档加密软件，防止设备中的敏感信息泄漏。

5.安装必须的网络安全设备，加强网络信息安全的管理力度，同时安全管理人员应及时收集各个设备的日志，并加以分析，通过日志分析，统一规划网络的安全策略，并针对常见的安全隐患制定响应的安全策略，并对网络中存在的薄弱环节进行重点管理、重点监控。

篇9

【关键词】电子文件；载体保护；信息安全；管理策略

电子文件是指在数字设备及环境中形成，以数码形式存储于磁带、磁盘、光盘等载体，依赖计算机等数字设备阅读、处理，并可在通信网络上传送的文件。然而，当前许多单位缺乏对电子文件载体科学保存与信息安全管理技术重视，因此有必要采取相关管理方法确保电子文件载体保护和信息安全。

一、电子文件的特点

（一）信息的非人工识读性

由于电子文件的存贮载体是磁盘、磁带和光盘等具有“海量存储”之称介质中，以数字编码序列的形式存在的，必须由相应的计算机设备将载体上编码序列读取出来，然后转换成人能识别的形式显示在屏幕上或打印纸上，具有非人工识读性。同时电子文件从形成、传输到存储都是通过计算机实现的，对于系统具有依赖性。

（二）信息与载体之间的可分离性

电子文件与纸质文件不同在于：纸质文件的信息与载体是不可分离的，而电子文件则是信息与载体之间是可分离的。电子文件中的信息不一定具有固定的物理位置，可以从一个载体转换到另一个载体上，也可以对非实体形态进行加工和管理。这种分离性造成了电子文件信息的易于更改，而且改后可不留任何痕迹，同时也可以造成信息易复制和易传输等。一旦管理不当，则会影响电子文件的真实性、系统性和完整性。

（三）多种信息媒体的集成性

过去的文件一般只能记录一种或两种信息媒体，使用多媒体计算机之后，电子文件可将图文信息、音频信号、视频图像等不同媒体形式的信息记录在同一份文件上，使其达到声像并茂，真实地再现当时的活动情况，从而使具有了多种信息集成性特点。

二、对电子文件的管理策略

（一）电子文件载体的物理保护

1、严格控制温湿度

由于电子文件的载体是磁带、磁盘和光盘等介质对外界环境的要求很高，容易受到损坏，为确保承载信息安全，在日常中保存的温湿度相对稳定很重要，应在温度15℃—27℃，相对湿度为40%—60%范围内。最佳环境是温度为18℃，相对湿度为40%。因此，工作人员控制温湿度，努力使其处于最佳的温湿度中。

2、做好防尘工作，保持空气洁净

灰尘对磁性载体的影响是很大，可能对电子文件载体有物理、化学和生物损坏。如表面灰尘与电子文件载体摩擦而产生划痕，引起磁性记录信号的衰减，造成记录信息的损毁。灰尘中所含的化学成分会不同程度地引起磁盘、磁带、光盘载体腐蚀、降解等化学作用而毁坏。同时灰尘中有害生物(主要是霉菌)落在电子文件载体上，培养基不断地繁殖，软盘(磁带)发霉后，不仅会使数据丢失，而且会污染驱动器读写磁头，甚至会不断传染给其它电子文件。正确地对磁性载体进行清洁，不要用手触摸磁带等载体，应戴非棉质手套操作，在日常管理中做好清洁卫生工作。

3、防磁防震

为了保证电子文件的完整性、有效性，必须做好电子文件防磁防震的保管工作。磁性载体文件与磁场源（永久磁铁、马达、变压器等）之间的距离不得少于76mm。如果磁性载体附近有磁场，可使用软磁物质构成容器、箱柜对其进行屏蔽。设备应放置平稳固定，如果硬盘驱动器执行读写时，不要移动或碰撞工作台，以免磁头划伤盘片。

4、定期进行检测与拷贝

电子文件是以磁性载体来承载信息的，保存时间相对纸质文件来说是不稳定的。应该定期对电子文件进行检测和拷贝，必要时可以打印相应的文件，将纸质文件与电子文件一起保存，保证电子文件的完整性，安全性，有效性。

（二）电子文件信息的安全维护

1、及时备份和采用镜像技术

信息的损坏、信息的丢失也越来越严重。电子文件在共享时很容易造成信息的不安全性，易更改性，并且信息的增删容易且不留任何痕迹。可以通过制作备份工作，可以把放置安全的地方，以防原件因载体损坏或设备故障、自然灾害等原因而丢失信息，从而保证了文件的完整性。同时，镜像技术也是防止信息丢失的一种手段。它是指对实时要求极为严格的动态数据库文件所采取的安全备份措施，以防止文件信息丢失。

2、加密技术

为了防止电子文件的易传播，易扩散性造成信息失密，可以使用加密技术手段对数据库存储的数据或网络中正在传递的电子文件进行保密，使非法截获者无法了解电子文件的内容。现在的网络传输过程中常常采用“双密钥码”进行加密，每个加密通信者拥有一堆密钥，一个是可以公开的密钥，一个是严格保密的解密密钥。只要不泄露解密密钥，第三者很难破密。因此，即使被非法载取，电子文件的内容也不会被窃取，避免电子文件易传播、扩散性特点带来的弊端。

3、访问控制

访问控制的目的是杜绝电子文件的非法利用和蓄意破坏，从而对信息的安全起了保护的作用，可以用身份验证、防火墙等方式来控制。身份验证是为防止未授权者进入系统对文件或数据访问，在用户登录或实施某项操作之前，系统将对某身份进行验证，并根据实现的设定来决定是否许可。通常给每一个合法的用户通行证，如果验明身份合法，可接受他进入系统对相关的业务访问，否则就被拒之门外。防火墙是单位与网络群体之间有效的安全防范体系，在局域网和外界网络连接的通道之间设置障碍，阻止其他系统的网上用户对局域网内的信息非法访问，也阻止内部信息从网络上非法输出，保护电子文件的原始性和真实性。

4、防治病毒

病毒入侵是威胁电子文件信息安全的因素之一。相关研究数据显示，每年电脑病毒造成损失上百亿美元，如：“风暴蠕虫”、“口令蠕虫”和“冲击波”病毒，严重干扰影响电子文件信息安全。因此，做好防治病毒的工作：一是预防，二是杀毒。以防为主，在系统安装专门的防毒软件或防毒卡硬件。组织专业人员建立完善有效的防治体系，使用安装正版杀毒软件，定期进行杀毒，及时安装补丁程序，确保证计算机以良性的运行状态保护电子文件信息安全性。

综上所述，实践工作中结合电子文件自身的特点，对电子文件的载体和信息安全做好管理，以保证电子文件的原始性、完整性和有效性。

参考文献

[1]王云庆,苗壮.现代文件管理学[M].青岛出版社,2002.

[2]邓绍兴,陈智为.文件管理学(第二版)[M].中国人民大学出版社,1996.

[3]徐绍敏,李统祜.文件立法研究[M].浙江大学出版社,2003.

[4]王云庆,苗壮.现代文件管理学[M].青岛出版社,2002.

篇10

关键词：供水企业?信息安全?安全管理

中图分类号：F29 文献标识码：A文章编号：1672-3791(2012)02(c)-0000-00

1 前言

当前，随着网络和信息化建设的不断发展，企业对信息网络的依赖越来越强，供水企业也不例外。供水企业信息安全问题关系到供水系统的稳定和安全运行。目前，供水企业的信息安全风险主要来自于两个方面，即内部和外部的因素。内部威胁主要为企业信息安全管理问题；外部因素主要包括因病毒、黑客、恶意软件等造成的数据丢失，系统运行失常等问题。本文围绕着这两个方面的因素，就供水企业的信息安全问题进行探讨。

2 供水企业面临的信息安全威胁

2.1 计算机病毒的传播

计算机病毒的传播是带来企业信息安全风险的因素之一。自上世纪九十年代以来，计算机病毒以迅猛的增长速度危害着个人用户和企业用户，给企业和个人造成了严重的经济损失。目前，随着智能手机的普及，一种新型的病毒，即手机病毒也开始威胁到企业的信息安全。

2.2 企业内部网络受到黑客攻击

黑客对企业内部网络的攻击是带来企业信息安全风险的因素之二。由于Internet具有自由行和广泛性，而供水企业一般又建立了企业内部网络。当企业内部网络与Internet发生间接或直接关联的时候，企业内部网络就有可能成为黑客攻击的目标，从而泄露或丢失一些重要的企业信息，或使企业内部网络处于失常或瘫痪的状态。

2.3 企业安全管理的不足

企业的信息系统不够健全，企业员工的安全意识薄弱，这也是造成企业信息安全威胁的因素。在信息机构设置方面，供水企业缺乏规范的机构体制，相关的专业技术人员偏少。同时，很多供水企业对相关的专业技术人员缺乏系统的专业培训，使得企业员工缺乏必要的安全意识，“防黑防毒”意识淡薄，对一些恶意攻击也缺乏警惕性，有的甚至因为操作失误而给各种信息安全威胁带来了可能。

3 供水企业信息安全建设

3.1 采用防水墙技术

防水墙是保障企业信息安全的有效手段。通过控制进出供水企业网络的权限，监控网络数据流，检查所有的数据连接，防水墙技术可以有效地控制和管理对企业网络系统的访问控制和安全管理，隔离和过滤危险数据包，防止企业网络受到黑客和病毒的破坏与干扰。同时，由于所有的访问都得通过防火墙，防火墙还能实时记录和统计网络访问，这对企业信息安全管理人员管理维护企业网络提供了有利条件。

3.2 采用入侵检测技术

防火墙可以限制对企业网络系统的非法访问或攻击，检测并防御非法访问。然而，防火墙无法防止企业网络内部用户之间的攻击不经过防火墙。因此，在采用防火墙的同时，有必要用入侵检测技术。入侵检测技术（Intrusion-detection?system），简称IDS,?是一种对网络传输进行即时监视，在发现可疑传输时发出警报或者采取主动反应措施的网络安全设备。它能够分析通过网络收集的信息，检测并识别出恶意行为，及时有效地发现网络异常，检测出网络中违反安全策略的行为。如果说防火墙是一幢大楼的门卫，那么IDS就是这幢大楼里的监视系统。一旦小偷爬窗进入大楼，或内部人员有越界行为，只有实时监视系统才能发现情况并发出警告。除了简单的记录和发出警报之外，IDS还可以进行主动反应：打断会话，和实现过滤管理规则。所以说，要确保供水企业网络处于安全的状态，入侵检测技术也是必不可少的，它是防火墙技术的一个有效的补充。

3.3 采用VPN技术

VPN（Virtual?Private?Network），即虚拟专用网，是通过一个公用网络（通常为Internet）建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。它主要是通过路由器、防火墙技术、隧道技术，安全秘钥以及加密协议而组建成的Internet?VPN。它是对企业内部网络的扩展，通过VPN可以在企业分支机构，合作伙伴、供应商或远程用户与企业内部网络之间建立可靠的安全连接，向他们提供安全而有效的信息服务，保证数据的安全传输，实现企业网络安全通信的虚拟专用线路，使得外部非法用户无法访问公司内部信息。与此同时，VPN技术还可以极大降低企业信息共享的成本。

3.4 加强企业员工的安全管理

实现供水企业的信息安全，除了做好技术防护之外，还得加强企业内部员工的安全管理。做好技术防护并不意味着一劳永逸，企业员工的信息安全管理也是至关重要的。加强企业关公的安全管理需做好以下几点：1)增强企业员工的安全意识。员工的安全意识淡薄是造成企业信息安全风险的一大因素。为保障企业信息安全，供水企业需对员工进行企业网络系统的专业培训与教育，掌握信息安全问题的基础知识与常识，提高对外部恶意攻击和病毒的警惕性，加强安全防护意识，能及时发现并处理常见的安全问题。2)健全企业信息安全管理规章制度。根据供水企业的实际情况，建立健全的信息安全管理制度，如网络系统使用规范、机房管理制度、保密制度、值班制度、设备维护制度等。企业员工必须遵照相关管理制度，明确职责，按照相关用户口令或操作口令，确保日常操作符合信息安全规章制度，最大限度地防止人为失误或违规操作带来的信息安全问题。3)配置专门的企业信息安全管理技术人才。在互联网高速发展的几天，没有绝对的信息安全。企业需配置专门的信息安全管理人员，在及时有效地处理企业信息安全风险的同时，增强企业信息安全管理的人才储备，加强信息安全技术管理队伍，培养弓虽企业网络系统硬件和软件的开发设计人才，掌握保障企业信息安全的核心技术。

4 结 语

本文以供水企业为例，对企业的信息安全风险进行了分析，认为计算机病毒的传播，黑客对企业内部网络系统的攻击以及企业在员工安全管理方面的不足是造成供水企业信息安全问题的三大原因。因此，要保障信息安全，供水企业需在技术和管理两方面下功夫。在技术方面，企业可采用防火墙技术、入侵检测技术和VPN技术。在管理层面上，企业需增强员工的安全意识，建立健全企业信息安全管理规章制度，配置专门的信息安全管理技术人才。

参考文献

[1]丁丽川，曹晖.计算机网络信息安全探析[J].?科技创新导报.?2010(35):28.

[2]范红，冯登国.?信息安全风险评估方法与应用[M].?北京：清华大学出版社，2006.

篇11

一、档案网络安全管理工作中存在的主要问题

（一）对于档案风险意识缺乏

由于在对档案安全的管理上面进行的教育力度不够，导致现在普遍对于档案安全的问题不够重视，发展到现在的档案网络工作上更是严重。在档案管理的过程中，由于档案管理人员的网络安全意识过于薄弱，导致在日常的工作之中，发生档案信息丢失的几率大大增加，而且还经常会出现人员的无意识侵权的现象，这些现象的存在，对于档案网络安全的管理造成了极大的隐患。

（二）档案网络技术的更新跟不上时代的发展

由于信息技术的发展非常快速，在技术上面经常更新换代，一旦没有及时的进行更新将会导致漏洞的产生。这种现象在档案的管理上尤为突出，由于档案工作的不受重视，导致在系统的更新换代上面不能及时进行，所以在一些安全防范上面产生不小的漏洞，使得在现在的环境下，电子档案的网络管理不能良好的发挥其应有的作用。

（三）档案异质异地备份保存制度还未全面实施

由于现在的企业内部已经实现了信息化的工作模式，这就产生了大量需要储存的电子文件，可是在进行文件的保存上面并没有根据文件的重要程度而逐一保存，而是异同储存在系统之中。由于没有备份的产生，导致一旦由于某种因素出现信息的大量丢失，将会造成不可挽救的后果。对于档案信息来说，这方面的管理更加重要，因为人事档案的管理是一项长久的任务，一旦将以前的信息丢失，那么很难对其进行还原。所以我们在日常的档案管理工作之中，要加强对于档案的信息保管方法，并且建立出现危险情况的应对措施。

二、解决安全问题的防范对策

（一）在技术上加强防范

第一，身份验证和加密技术。为了防止黑客攻击和病毒侵袭对电子档案的篡改，在进入档案管理系统时需要对用户进行身份验证，最常见的方法是给每个合法用户一个由数字、字母等组成的密码（Password），代表该用户的合法身份，当需要访问时，只有输入正确的密码才可以访问。而加密技术是最常用的安全保密手段，可以防止信息泄露，它是利用技术手段把重要数据变为乱码（加密）传送，送达目的地后再用相同或不同的手段还原（解密）。

第二，防火墙技术。所谓防火墙（Fire Wall），是指一种将内部网和公众访问网分开的方法。它实际上是一种隔离控制技术。防火墙是在两个网络通讯时执行的一种访问控制尺度，它能允许你“同意”的人和数据进入你的网络，同时将你“不同意”的人和数据拒之门外，最大限度地阻止网络中的黑客来访问你的网络，阻止对信息资源的非法访问和重要信息的非法输出。

第三，入侵检测技术。入侵检测技术（IDS）是对防火墙的补充，一旦防火墙失灵，入侵检测就会发挥作用。它是对计算机和网络资源的恶意使用行为进行识别和相应处理的系统，是一种用于检测计算机网络中违反安全策略行为的技术。

（二）提高档案管理人员的网络安全意识

档案管理人员的安全意识对于档案网络管理十分重要。为防止病毒感染或黑客侵入计算机，有关操作人员需注意以下几点：

第一，不得使用管理系统中的专用计算机访问外部网络。由于网络上存在着各种各样的病毒威胁，网络探测工具随时都在进行着扫描，如果不小心被黑客锁定了目标，电子管理系统被非法访问情况的发生概率非常高，严重情况下会导致档案内数据丢失甚至遭到篡改。

第二，禁止在管理电子档案的专用计算机上安装盗版软件。由于大多数的盗版软件出厂可能没有经过厂商检验，非常有可能潜藏着一些病毒或者木马软件，这样就可能导致病毒与普通应用软件同时被安装进计算机，对其安全造成威胁。再者，最好不要安装与管理系统没有关系的应用软件，防止软件之间产生冲突而导致系统运行缓慢，从而使系统的可靠性下降。

第三，不要随意使用 U 盘进行资料输入或输出。作为含有 USB 接口的一种移动存储设备，U 盘能够被随机读写，而这个优点恰巧方便了病毒进行传播，可以说U盘是病毒进行传播最快最方便的途径之一。由于 U 盘可以随身携带，非常方便，时常插拔于各式各样的计算机之间，非常容易就能感染病毒。因此，为避免病毒感染计算机，进行资料输入或输出，应尽可能地降低使用 U 盘的概率。

第四，不要轻易打开并运行自己不了解的文件。电子档案的管理人员要随时防范于未然，慎重对待自己所不了解的文件。由于现在许多病毒都会假扮成普通文件或文件夹，时刻等待着对计算机进行感染，因此十分具有欺骗性。

三、结语

篇12

【 关键词 】 中小银行；信息安全；管理问题

Small and Medium-sized Banks on Information Security Management Problem Discussed in this Paper

Shan Yu

(Hefei University of Technology,School of Computer and Information AnhuiHefen 230009; HuiShang Bank AnhuiHefen 230001)

【 Abstract 】 At present, China''s banking on the establishment of information system work in unceasingly promoted, but in the process has some problems, and that is lagging, this is a lot of small and medium-sized Banks are existing problems, a lot about information system in risk is more and more, and constantly obvious, on the safety and reliable information caused a threat. Based on this, this paper mainly for small and medium-sized Banks information security management problem was discussed.

【 Keywords 】 small and medium-sized Banks; Information security; Management problems

0 引言

中小银行在新时代的发展速度非常的快，已经突破了地域的限制，出现了异地之间在业务方面的联系，这使中小银行更具有了活力，可是同时也带来了一定的风险。目前，中小银行与一些规模很大的商业银行之间还存在着很大的差距，主要体现在缺乏对信息风险的有效抵御，对信息风险的处理不足等，这些风险给地区金融体系的稳健带来了很大的不利影响，所以，很多中小银行当前的关键工作就是强化对信息风险的抵御能力。

1 信息安全隐患的具体体现

1.1 信息安全管理内容的不完整

很多的中小银行由于实力还不是很强，利用信息技术的时间滞后且不全面，缺乏完善的信息安全体系以及有力的信息安全管理手段，缺乏对风险的分析以及相关的预防措施，职员信息安全理念的缺失，和国际对信息安全的要求，具体措施以及计划等不管是在内容上还是在质量上都有很大的区别，安全措施的制定不完整，特别是业务的持续管理等水平还很低，且没有引起足够的关注。

1.2 外包管理的力度不够，存在的安全风险不易预防

首先，中小银行对科技的支持力度不够，先进技术缺乏，缺乏软件开发人员以及有关的组织机构。很多中小银行在技术的利用方面都是和相关的软件开发公司进行协作来获得所需的信息技术，把一些关键的业务系统以及防火墙等方面的工作都交给专业的公司。以信息安全的立场为出发点，把这些软件的开发工作交由相关的公司负责，会使很多的重要信息例如源代码以及有关的配置等技术不受自己掌握，另外，专业的软硬件公司的工作人员一般都不固定，要是商业银行对这些公司的跟进不到位并缺乏有力的制约的话，会给外包系统带来非常不利的影响，给系统的运作到来很大的安全隐患，阻碍系统的有效运作。

其次，要是购买别的公司的软件技术的话，由于都是密封的装置，没有源代码的帮助，因此不利于商业银行在管理方面自主性的发挥，无法实施一定的调整以及优化以更好的满足自身的实际，对一些不足等不能及时发现和处理，对系统的维护缺乏主动性。

最后，针对外包的一些规定以及制约的不完整性，主要表现在对有关的目标没有进行清晰的规定，对项目缺乏严格的审核，导致一切使用外包的现象的出现，以及对外包的管理没有做到具体问题具体分析。

1.3 要积极进行运作监督体系以及预警监测系统的建立与完善

一些中小银行缺乏全面的包括硬件设备以及业务体系的信息化的预警监测系统，缺乏对机房以及主机等设施的自动化跟踪监督，而主要依靠的是人的力量，对风险监督的信息化和安全性不够，还缺乏及时的监测，此外，中小银行还要高度关注对信息风险的预防以及相关的预警报告体制的建设和改进，以便于出现风险时，能够做到信息的畅通，有利于有关的人员采取措施进行及时的处理，使风险的处理措施能够尽量科学合理。

2 信息安全管理的关键内容

2.1 采取信息安全的分层保护

篇13

【 关键词 】 网银系统；信息安全问题措施

For Information about online Banking Security Systems and Measures for Exploration

Wan Bo

[Qunsheng Technology （Shenzhen） Co.， Ltd. GuangdongShenzhen 210012]

【 Abstract 】 In recent years， the business volume growth of online banking quickly， more and more business transactions through online banking to achieve. because the network is flawed， leading to criminal modality for online banking is becoming more serious. Security problems online banking is very prominent， which gives normal operation of the network banks a certain degree of influence. caused serious damage to the fundamental interests of online banking， hinder the stable and healthy development of online banking. This paper mainly for our online banking security issues were discussed， explained the current situation of the development of online banking， and proposed several measures to effectively reinforcing banking security， reduce the risk of online banking， continue to promote the healthy development of online banking.

【 Keywords 】 online banking system； security measures for system information

1 引言

现代网银系统与传统银行业务相比，大大降低了银行经营成本，有效提高了银行效率和盈利能力，同时无时空限制，有利于银行服务创新，向客户提供多种类、个性化服务，因此近十几年来网络银行得到了迅速的发展。随着网络银行的普及与深入推进，网络银行的信息安全问题已经成为制约其纵深发展的瓶颈。

2 当前网银系统的信息安全问题

在网银业务的蓬勃发展带来超额经济利益的同时，也诱发了大量的网络犯罪，同时随着犯罪手段的高科技化，网银的安全问题也日趋严重。犯罪分子主要通过以下手段非法获取网民信息或盗取网民钱财：一是向受害者发送带有病毒的链接使其电脑感染病毒，以此来盗取受害者的网上银行信息；二是使用虚假的网上银行网址向受害者发送网址链接，当受害者登陆假的网站进行网上银行操作时窃取或修改受害者的信息；三是利用管理较为松懈的公共网络来盗取用户的保密信息；四是将木马病毒植入用户需要安装的正常程序中，客户下载安装时侵入客户电脑。除了以上几种手段之外现在又兴起了通过钓鱼网站而实施的网络诈骗犯罪手段。网上银行在使用中出现的不安全事件频繁发生，网民经济利益严重受损。如何确保交易安全，成为网上银行发展最需解决的问题。

3 提高网银系统的信息安全措施

3.1 用户方面

用户在进行网络交易时必须使用文件数字证书、动态口令、移动数字证书等认证介质，而《网上银行系统信息安全通用规范》就明文规定了要禁止使用文件证书这一介质。这是因为文件证书安装于电脑中，其中保存了用户的密码保护、个人秘钥等保密信息。如果用户使用的计算机遭到木马等的攻击，密码被非法获取，那么如果用户电脑打开，其电脑就可能被远程控制而用于非法网银活动。现在网络犯罪技术手段日益高科技化，各种病毒防不胜防。因此，禁止通过文件证书进行交易、转账能从根本上避免网络犯罪攻击，保护网银用户的财产安全。

做好交易记录。对于网上银行办理的转账和支付等业务，客户应当做好记录并且定期查看“历史交易明细”，定期将网银业务的对账单打印出来，如果发现账务错=误或交易异常，立即与银行联系以避免损失。

尽量避免使用公共网络进行网络银行业务，不要随意下载未经认证的软件，加强网络安全意识。

3.2 银行方面

要提升网银客户端的安全性，利用程序代码检测网银客户端的安装环境，发现漏洞及时修补。

努力完善银行和客户身份双向认证的各个环节，切实遵循基于PKI的数字证书认证流程规范。推广USB Key支付， USB Key作为一种USB接口的硬件设备，体积小，使用方便。它内置了智能卡芯片，基于公钥PKI技术，采用了1024bit非对称密钥算法对数据进行保护。其对数据的加密、解密运算都在U-Key安全芯片内部进行，用户密钥不会出现在计算机内存中，从而使得黑客无法利用非法程序获取或修改密钥，确保了网上交易安全性。

提供客户账户数据变动短信通知的服务，这项服务可以使用户及时发现账户数据异常变动情况，及时避免更大的经济损失。或者在用户进行各种网络银行交易活动时，每笔交易会向用户的手机发送含有数字或字母的验证码，通过验证这种实时的一一对应的编码也能起到保护网银交易的作用。这种将网银活动与用户手机绑定的措施能够实时的监控用户发生的网银交易行为，大大保护了用户网银的安全。

加强公众网上银行安全教育。首先银行可通过各种宣传渠道向公众明示本行正确的网上银行官方网址和服务号码；其次，在本行网站首页显著位置开设网上银行安全教育专题；第三，在客户申办网银时查实是本人，并做好风险提示，最好是印制并向客户配发语言通俗，形象直观的网上银行安全宣传折页或手册，让客户了然于心；第四，在网上银行使用过程中应在电脑屏幕上向用户醒目提示相关的安全注意事项等。

3.3 监管方面

加强对银行客户端软件的认证管理，对网络支付的各个环节都要制定相应的认证规范。邀请第三方检测机构对银行网银客户端进行全方位的安全测试，减少风险漏洞的存在，完善其中的薄弱环节，及时提示修补安全漏洞，不给网络犯罪分子有机可乘。

4 结束语

网上银行发展是大势所趋，在这一过程中要高度重视网银系统的安全性，加强网银交易的监控和保护，从而有效地避免网银风险，保护人民经济财产安全。

参考文献

[1] 李晓峰，关振胜.网上银行的身份认证与信息交易的安全防范[J].国家信息安全测评认证，2013（9）.

[2] 李晓枫.规范网银安全控制网银风险[J].中国金融电脑，2013 （12）.

[3] 戚建淮，徐国前.论网银系统面临的信息安全问题及相应对策[J].信息安全与通信保密，2012（03）.

篇14

【 关键词 】 作战指挥； 自动化系统； 信息安全

1 引言

作战指挥自动化系统（C4ISR）作为作战效能的“倍增器”，其中涉及许多信息安全技术。无论是平时还是战时，都会有大量涉及军事机密的信息在系统中处理和在各种存储媒体上存储，在各种通信信道上传输。如果这些信息被泄露、窃取或系统遭到破坏，就会给军队和国家造成不可弥补的巨大损失。因此，各国对C4ISR系统的信息安全总是非常重视，把信息系统安全放在了重要的位置。我军的C4ISR系统建设虽然还处在发展阶段，但也必须加紧对其信息安全问题进行认真研究。

2 危胁C4ISR系统信息安全的因素

C4ISR系统不同于一般商用系统。一般商用系统虽然也会受到各方面的攻击，但这些攻击以商业利益为前提，如果攻击的代价大于所能得到的好处，那么就不会对它进行攻击。而C4ISR系统则不同，对它的攻击是不惜代价的。就其范围而言，不仅涉及到计算机系统及系统安全保密、通信系统及安全保密，还涉及到控制、情报收集等诸多方面，其应用环境也相当复杂。危及C4ISR系统信息安全的因素很多。

（1）对秘密信息的威胁（窃取或破坏）。这类威胁可分为两类：主动攻击和被动攻击。主动攻击主要表现在假冒合法用户进入系统；对信息进行非法篡改，利用无用的信息将有用的信息冲掉；在计算机系统中设置特洛伊木马等。这类攻击会破坏信息的完整性，危害性极大。被动攻击只是窃取信息而不对其破坏，但危害性也很大。

（2）对C4ISR系统本身安全的威胁。这种威胁不是直接窃取秘密信息，而是破坏信息的正常运行。主要有计算机病毒对系统的破坏、强电磁干扰和有意无意的操作错误等使系统失常或瘫痪。

3 C4ISR系统的信息安全技术

针对信息系统面对的威胁，各国都在大力对其安全技术进行研究，有些技术已很成熟，而有些技术还在起步阶段，即使是一些成熟的技术，在应用方面也有许多工作要做。本人认为涉及到C4ISR系统的安全技术主要有几个方面。

3.1 实体安全技术

实体安全技术是为了保证信息系统的安全可靠运行而采取的安全措施。

（1）可靠性保证技术。可靠性保证是通过可靠性设计、容错设计、元器件筛选、工艺流程管理、故障诊断与维护等技术实现的。

（2）抗干扰、防泄漏技术。采用适当的滤波去耦电路、电磁屏蔽技术和接地系统可以消除各种电磁干扰。采用电子隐蔽技术，例如对敌方信号施加干扰或采用跳频技术隐蔽我方信号，可以防止信息泄漏。此外，还可以通过减小发射功率、给设备增加电磁屏蔽等办法防止信息泄漏。

（3）差错控制技术。采用奇偶校验、循环冗余校验、多重存储、多重传输等措施进行差错控制，保证信息的正确性和完整性。

3.2 数据安全技术

数据安全技术包括用户鉴别与身份验证技术、数据加/解密技术、访问控制技术。

（1）用户识别与身份验证技术。用户识别是明确要进入系统的对象，可通过给每个用户规定唯一的标识来实现。用户身份验证是对用户身份真假的鉴别。可用的方法包括口令验证、磁卡（或IC卡）验证和生理特征验证等技术。

（2）数据加/解密技术。密码技术的基本思想是伪装信息，使未授权者不能理解它的真实含义。密码技术由两个基本要素构成，即密码算法和密钥。加密是通过密钥把明文变成密文，解密则施行与加密相反的变换，将密文恢复成明文。

（3）数据库加密技术。C4ISR系统中的数据库主要储存作战指挥所需的资料和数据，它是C4ISR系统的重要组成部分。对数据库加密的方法有库外加密、库内加密、数据库硬件加密和密钥管理等技术。

3.3 软件安全技术

软件保护的基本任务是防止软件的非法复制、非法授权侵入及对软件的分析、修改。软件安全技术包括软件防复制和反跟踪技术。

（1）软件防复制。防复制方法通过采用专门措施，使利用正常拷贝命令和各种拷贝工具无法将软件完整复制，或复制的软件不能正常运行。具体有硬加密（包括激光加密、掩膜和加密卡等方法）、软件防复制和硬盘加密等方法。

（2）反跟踪技术。软件加密除了对明文软件加密外，还必须采取反跟踪技术抵制、干扰破译工作的进行。这是因为任何加密措施都要与软件相结合，存放在存储介质中的加密软件只有在正确解密后才能使用，即解密算法和密钥都要存放在存储介质之中，否则被授权者也无法使用加密软件。破译者可以利用跟踪加密软件的解密过程，获得解密算法和密钥，进而得到明文软件。因此，要防止破译，必须反跟踪。反跟踪既要防止破译者的静态分析，也要防止其动态跟踪。

3.4 计算机病毒的防治

计算机病毒是人为设计的一种功能程序。它可潜伏在系统软件中甚至固化在硬件中。计算机病毒可以通过网络、硬件及信息交换等途径传染，也可用无线电辐射方式注入。在计算机系统运行过程中，它占用存储空间、占用机时，使正常的程序被增、删、改，导致局部功能残缺，进而争夺对计算机的控制权，致使系统崩溃。

计算机病毒的防治，首先是防，可采取安装防病毒系统， 使用病毒扫描、监控报警及病毒检测软件等措施防止病毒的侵入。

3.5 网络安全技术

C4ISR系统是一个纵横交错、一体化的网络系统。网络安全是C4ISR系统信息安全的一个关键因素。在C4ISR系统网络中，信息的完整性不仅要考虑信息的修改、删除、替换，还要考虑信息的插入和次序重排。除此之外，安全网络还必须考虑通信双方的真实性，必须以某种方式对通信双方进行确认和鉴别。网络加密的方法很多，常见的有链路加密、节点加密、端对端加密、报文鉴别与数字签名、访问控制和密钥管理等技术。

4 应采取的对策

C4ISR系统建设要求高、难度大，必须引起高度重视。全军乃至全国要有“一盘棋”思想，下大决心，才能解决制约我军作战效能发挥的主要瓶颈——C4ISR系统的建设问题。在C4ISR系统信息安全方面，要做到几点。

4.1 领导重视

C4ISR系统安全是一项复杂的系统工程，它构筑在现代信息系统的高科技平台上，面对的是国际国内复杂的社会环境，涉及到诸军兵种的协同应用，因此除要求在信息安全工作的同志奋力攻关外，还需要领导和有关部门的高度重视，充分认识到C4ISR系统安全保密的重要性，做到统一规划、统一协调，这是搞好信息安全工作的基本前提。

4.2 同步建设

虽然C4ISR系统的使命（或功能）是使通信、指挥、信息处理实现自动化，从字面上体会不到信息安全的功能，但它确实非常重要，从某种意义上讲比其它功能更重要。因此必须从系统规划开始就要把安全考虑进出，从平台选择到交付使用都要同步建设，同步实施，使信息安全与系统功能溶为一体，形成一个有机整体。

4.3 安全、保密并举

在C4ISR系统中，需要采取的安全保密措施是多方面的，多物理安全、设备安全、设备可靠性及使用管理等多个环节，绝不可把系统的安全保密看成是某一个部门或某些人的事情，不能认为信息加密了就万事大吉，要在行政立法、安全、保密技术等方面采取综合措施，才能保证整个系统的安全。

4.4 统一标准

C4ISR系统是一个庞大的网络系统。许多密级不同的信息要在指挥员和战斗员之间、各军兵种之间互通，且不同的应用系统、不同的设备要上网，如果没有较为统一的标准，系统就不可能正常运行，信息安全措施也不可能发挥有效的作用。为此要在系统建设时制订和遵循相应的标准，统一管理制度、用户接口、信息互通的安全协议等。

4.5 加强合作

C4ISR系统是一个综合应用系统，它的安全问题涉及到方方面面，多个技术领域，多个应用领域，且目前我国在这方面的技术人员还很少，任何单位或个人都不可能单独完成这项工作，如果不加强合作，各自研究，力量分散，就会导致低水平的重复研究，既浪费人力又浪费财力；而另一方面，有些C4ISR系统急需的信息安全技术又可能没有人研究或很少有人研究。所以，加强交流，分工合作，对于C4ISR系统建设是非常必要的。

参考文献

[1] 甘宏，潘丹.虚拟化系统安全的研究与分析[J].信息网络安全，2012，（05）：43-45.

[2] 常艳，王冠.网络安全渗透测试研究[J].信息网络安全，2012，（11）：3-4.

[3] 王贻峰.信息化作战中基于信息系统的协调控制效能发挥面临的矛盾与对策[J].军队指挥自动化，2012，3；44-45.

[4] 魏为民，袁仲雄.网络攻击与防御技术的研究与实践[J].信息网络安全，2012，（12）：53-56.

[5] 薄明霞.浅谈云计算的安全隐患及防护策略[J].信息安全与技术，2011，9；62-64.