企业信息安全要求精选(五篇)

序言：作为思想的载体和知识的探索者，写作是一种独特的艺术，我们为您准备了不同风格的5篇企业信息安全要求，期待它们能激发您的灵感。

篇1

 

1、前言

 

电力行业是国民经济的基础产业，是保障人民生活生产秩序正常运行的基础行业。电力行业的信息化从60-70年代开始的电厂自动化监控开始，到现在已经有近40年的历史。随着电力行业的不断发展，电力的关键业务不断增长，因此信息化应用在电力系统中也不断增强。电力生产与调度基本实现全面的自动化控制，很多电力企业实现了生产过程无人值守或者少人值守，电力生产自动化监控系统的广泛应用大大提高了生产过程自动化水平。电厂、变电站减人增效，大量采用远方控制，对电力控制系统和数据网络的安全性、可靠性、实时性提出了新的严峻挑战。而另一方面，Internet技术已得到广泛使用，E-mail、 Web和PC的应用也日益普及，但同时病毒和黑客也日益猖獗。目前有一些调度中心、发电厂、变电站在规划、设计、建设及运行控制系统和数据网络时，对网络安全问题重视不够，在没有进行有效安全防护的情况下与当地的MIS系统互连，甚至存在与因特网直接互连的现象，形成了严重的安全隐患。

 

2、保障电力企业信息安全的目的

 

信息系统在电力生产、建设、经营、管理、科研、设计等各个领域有着十分广泛的应用，尤其在电网调度自动化、厂站自动控制、管理信息系统、电力市场技术支持系统、电力营销系统、电力负荷管理、计算机辅助设计、科学计算以及教育培训等方面取得了较好的应用效果，在安全生产、节能降耗、降低成本、缩短工期、提高劳动生产率等方面取得了明显的社会效益和经济效益，因此保障电力企业信息安全显得尤为重要。

 

3、电力企业信息系统中的安全现状

 

(1)“信息孤岛”解除，导致信息失控风险

 

我国的电力企业在长期计划经济模式下，生产与管理部门、生产部门之间、管理部门之间条块分割，各部门单位建立的信息系统相对独立，致使信息闭塞，形成了电力企业有的“信息孤岛”。造成了企业内部系统不能集成、资源不能共享的局面，严重制约企业信息化建设和应用。这种效率低下的企业管理体制已不能适应电力行业迅猛发展的需要。电力企业需要从企业发展战略出发，实行业务调整、流程梳理与优化，消除“信息孤岛”现象，为企业发展整合内部信息资源，实现相关信息的共享。然而“信息孤岛”的简单解除，使共享交互的信息失去了有序控制，如何实现对信息的科学控制，如何才能防止对信息系统中数据信息的破坏，就成了新的信息控制风险。

 

(2)简单安全产品堆砌风险

 

企业信息化需要专门的技术人才和管理机构才可能做到专业化，同样保障信息化的稳定有效运行，也需要相应技术人才和机构去实施、去完成保障运维层面的管理。非专业的技术或管理者，受所掌握知识面的影响或者一些产品厂商的误导，在保障信息安全工作时，简单采购几款安全产品就以为完成了对电力企业信息系统的安全保障。正是这种单纯的对几款安全产品的依赖，会麻痹管理者和操作使用者的神经，根据“木桶原理”，当这几款安全产品中的一款产品失效时，却不能及时发现并得到纠正，势必会造成对信息系统的正常稳定运行带来巨大影响。

 

(3)安全意识与技能不足的风险

 

企业管理者与运维人员，只是对业务比较熟悉，在遇到信息安全问题时却表现得束手无策，甚至在日常运维操作过程中，根本就不清楚或者无意识在安全模式下进行操作。这主要反映了主持信息化工作的人员和机构对信息安全保障的意识比较淡薄，在遇到信息安全问题时，所掌握的安全技能又达不到解决问题的水平，电力企业从生产的过程控制到电力的调度，各过程环节上一旦出现了非可控因素，带来的损失将是致命性的。

 

4、信息安全保障对电力企业的重要技术要求

 

(1)通过安全评估发现和预见信息系统中存在的安全风险

 

安全评估是发现电力企业现有信息系统中存在的安全隐患，找出面临的安全威胁，识别现存安全风险的必要技术手段和过程，是制定电力企业信息安全防护策略的前提，还是信息安全体系建设中，有针对性采取技术措施的基础。安全评估需要聘请经过国家有关机构认证，具有安全评估服务资质的国内单位来完成对企业的安全评估工作，安全评估工作主要内容包括：信息资产识别、风险评估、渗透测试、漏洞扫描、安全体系的评估、安全设备的部署及性能评估等。安全评估为安全体系架构的搭建提供了科学依据。

 

(2)搭建纵深防御安全保障体系

 

整个安全体系可以规划为三个部分，分别是组织体系、管理体系和技术体系，全面涵盖了一个组织信息系统规划和建设的安全要求。在已经有一定安全基础的情况下，也可以单独考虑为信息系统某个部分进行强化设计。在体系框架中，安全组织体系主要包括机构建设和人员管理两方面内容，对电力企业内部的安全组织建设和安全岗位、安全培训等方面进行了要求。安全管理体系主要包括制度管理、资产管理、物理管理、技术管理和风险管理等方面内容。上述两体系部分严格依据了国际信息安全管理标准ISO 17799的要求，涵盖了该标准中的每一类规范。安全技术体系方面主要包括安全评估、安全防护、入侵检测、应急恢复四部分内容，这部分是对社会公认的 PDR安全模型的又一最新应用，从技术角度对信息系统的这四种技术能力提出了要求。而该体系的安全防护模块，在国际标准ISO7498-2安全体系结构理论的指导下，又分别从鉴别认证、访问控制、数据加密、完整性保护、抗抵赖等五个角度提出了具体的技术性要求。

 

(3)信息安全保障中不可缺少的技术层措施

 

本地访问控制技术

 

防火墙是一种网关级的安全过滤检测技术，部署在内外网之间、不同重要网段之间，实现对访问行为的严格控制。电力企业的生产、计量、营销、调度管理等系统之间，信息的共享、整合与调用，都需要在不同网段之间对这些访问行为进行过滤和控制，阻断攻击破坏行为，拦截攻击破坏尝试，分权限合理享用信息资源。

 

远程访问控制技术

 

电力企业员工在外出差，因为业务需要获授权远程登录企业内部信息系统，这属于正常的远程访问，然而攻击者在企业外部非授权展开的攻击，属于非正常远程访问。对远程访问行为，通过双因素动态身份认证实现VPN虚拟专用网络连接系统，完成在Internet上搭建虚拟专网访问企业内部资源的目的，同时可以严格识别和区分授权用户的权限，完全可以控制企业内部信息读取的安全性。

 

防病毒及入侵检测技术

 

病毒是一种进行自我复制、广泛传染，对计算机及其数据进行严重破坏的计算机程序。电力企业信息系统已经覆盖了企业各个生产、经营和管理岗位，上网用户在进行多种数据交换时，随时可能受到病毒的攻击，随着电力工业走向市场，与外界网上交流越来越多，通过电子邮件联系业务、交换数据等都有可能感染病毒，并在企业内部网络上不断扩散。必须在信息系统的各个环节采用全网全面防病毒策略，建立计算机病毒管理中心，按其信息网络管辖范围，分级防范计算机病毒，在计算机病毒预防、检测和病毒库的升级分发等环节统一管理，建立较完善的管理制度，才能有效的防止和控制病毒的侵害。

 

身份认证技术

 

电力交易系统就其实质来说，是一个典型的电子商务系统，它必须保证交易数据的安全性。在电力市场技术支持系统中，作为市场成员交易各方的身份确认、物流控制、财务结算、实时数据交换系统中，均需要权威且安全的身份认证系统。在电力企业中，电子商务也逐步扩展到电力营销系统、电力物质采购系统、电力燃料供应系统等多方面的应用。因此，建立对企业员工上网用户统一身份认证和数字签名等安全认证，对系统中间键业务进行安全审计，并开展与银行之间，上下级身份认证机构之间进行认证，同时与其他需要身份认证机构之间实现交叉认证的技术研究和技术实现也是非常重要的。

 

安全隔离技术

 

安全隔离设备也是一种访问控制技术，但是工作原理有别于防火墙，部署在重要网络之间，在设备内部加载系统内部协议，排除掉TCP/IP协议干扰，分析检测数据信息的安全性，然后再加载TCP/IP协议通过隔离设备，并可以实现正向和反向的访问通讯。使用安全隔离设备，实现重要网段之间、内外网之间正向和反向的访问隔离控制，完成信息的单向读取或单向写入，达到不同重要信息扩散范围合理控制的目的。

篇2

1 企业信息安全管理的失误因素分析

1.1 信息安全组织临时化

通常，企业只有在发生了信息泄露、病毒攻击、系统破坏等信息安全事件时，才会临时从信息技术部和业务部门抽调人手处理和解决信息安全事件。出现新的信息安全要求时，才会临时组建项目小组，根据新的信息安全要求制定解决方案并实施计划，项目完成后，临时小组就会解散，没有人会继续跟进和执行解决方案。由于没有定期的信息安全评估，安全计划不断地重复开始和结束，带来大量的人财物重复投入，这将导致安全计划成本不断增加，企业的工作效率不断降低，信息安全防护也未得到有效提升。

1.2 员工上网无限制

虽然企业为员工上网提供了用户名及密码，并且对其登录的网站进行了监测，但是员工在工作时间还是可以无设防地利用外网进行网页游览、网络社交等行为，并且使用一些网站的免费邮箱随意地接收和发送电子邮件，这些给黑客、病毒、钓鱼软件等创造了对企业内部网络攻击的机会。于是，员工在不了解原因的情况下，使得企业的信息被泄露或者内部网络瘫痪，从而影响企业的正常工作，造成企业资产的损失。

1.3 个人移动设备（BYOD）使用泛滥

在企业的办公场合，员工会携带个人移动设备（BYOD）如笔记本电脑、平板电脑、智能手机、移动硬盘等进行办公。企业员工可以较为随意地使用这些移动存储设备对内部文件进行拷贝，并且可以使用移动设备接入企业内网的无线Wi-Fi，并拥有一定程度的内网数据读取权限，这样做虽然节约了企业的办公成本，提高了办公的效率，但是也增加了企业内网病毒感染及遭受黑客恶意入侵的风险。

1.4 信息安全防护水平有限

出于性能、技术等因素的考虑，加之国内自主研发的信息安全产品较少，目前进口的信息安全产品受到许多企业的广泛采用。尽管这些企业的信息安全需求以此得到了满足，但近几年来，进口产品设备故障的频繁发生也对企业的业务带来了不同程度的影响。同时，进口信息安全产品已经占据了这些企业信息系统的关键节点，这使得企业的商业机密时刻处于高危状态。不仅如此，部分企业仍旧停留在使用免费的个人版杀毒软件阶段，而这些软件不仅无法解决病毒交叉感染的问题，也没有统一的管理平台对企业内网的安全系统进行统一的升级与维护。

1.5 信息安全事件处理不及时

企业在发生信息安全事件时，即使有相关的信息安全管理产品，但无法迅速定位安全事件，更无法快速进行安全事件响应处理，常处于混乱、无序的运维管理状态。由于企业的安全管理人员无法全面了解整个企业网络中正在发生的内部越权访问和外部攻击，出现问题时，他们多表现得无从下手或者手忙脚乱。而且，企业各部门各自为政，对发生信息安全事件无法进行统一规范的快速处理。

2 改进企业信息安全管理的对策

2.1 建立健全的信息安全组织层级结构

企业信息安全组织架构的建立是围绕企业信息安全管理的战略目标，对企业的信息资源、人力资源、安全技术产品等进行合理安排和配置，构成相互协作的有机整体，使企业的信息安全活动协调有效地运行。企业通过建立多层次、跨部门的信息安全决策委员会、信息安全工作部、信息安全执行部层级结构，不仅能在企业中形成一张网，覆盖企业的各个部门，有利于信息安全措施的实施和针对信息安全事件的快速响应，而且还能为后续建立信息安全管理体系提供组织上的保证。信息安全决策委员会主要负责制定信息安全制度和策略、明确各部门信息安全职责、协调各部门实施信息安全控制措施以及信息安全活动的实施等。

2.2 加强人员教育培训和规范管理

信息安全最大的威胁不是来自于企业外部的攻击或是企业信息安全技术的缺陷，而是企业人员缺乏信息安全意识。为了能够有效地提高企业员工的信息安全意识，企业需要对员工进行完善的信息安全教育培训，这不仅能提高员工的信息安全保护技能，还能更好地保护企业的信息安全。企业在制定信息安全教育培训内容时，可以根据员工在企业中所处的职位高低和工作性质的不同有针对性地制定。对于企业管理者而言，教育培训以信息安全核心知识、风险管理、信息安全政策等为主；企业的信息技术人员，则是以信息安全技术教育培训为主；一般员工结合所在部门的业务特点以信息安全意识培训为主。除了对企业的人员进行教育培训，还需对其进行规范化管理。对掌握产品生产、原材料采购等核心信息的管理者实施更加严格的信息安全监督管理制度；对负责计算机系统及日常维护的人员界定其工作权限；规范化管理员工的上网行为，合理利用网络资源，避免人为的网络安全隐患。

2.3 完善信息安全技术体系

一是保障并完善数据安全，企业需通过加密的手段保护企业系统中数据的机密性和完整性，从而提高数据访问的抗抵赖性，同时加强数据的异地灾难恢复机制，实现本地数据的实时远程复制与备份，避免本地系统遭受灾难性破坏导致企业系统中数据的遗失。

二是保障并完善终端安全，企业除了要采用全面可靠的防病毒体系和防火墙技术外，还需制定严格的移动终端设备使用制度，一方面是为了避免内部员工利用移动终端设备随意拷贝企业内部文件，导致企业内部信息向外泄露，另一方面是为了防止移动终端设备携带的病毒漏过企业系统设置的防火墙而直接在系统内部传播。

三是保障和完善应用安全，除了提供用户名和口令外其他身份验证机制，必要时还需支持双因素认证和具备登录控制模块，同时在日常工作不受影响的情况下，控制员工访问权限，减少越权操作的现象，最大限度地保障个人系统的安全。

四是保障和完善网络安全，企业还需通过内外部署相应的网络与信息安全设施使计算机设备的物理管理得到加强，并对入侵检测系统和漏洞扫描系统进行内外部攻击和误操作的实时保护的安全设计，使系统免于网络攻击的同时，也提升了系统管理人员的安全管理水平。

篇3

【关键词】信息安全 管理 控制 构建

1 企业信息安全的现状

随着企业信息化水平的提升，大多数企业在信息安全建设上逐步添加了上网行为管理、内网安全管理等新的安全设备，但信息安全防护理念还停留在防的阶段，信息安全策略都是在安全事件发生后再补救，导致了企业信息防范的主动性和意识不高，信息安全防护水平已经越来越不适应当今企业IT运维环境和企业发展的需求。

2 企业信息系统安全防护的构建原则

企业信息化安全建设的目标是在保障企业数字化成果的安全性和可靠性。在构建企业信息安全体系时应该遵循以下几个原则：

2.1 建立企业完善的信息化安全管理体系

企业信息安全管理体系首先要建立完善的组织架构、制定信息安全管理规范，来保障信息安全制度的落实以及企业信息化安全体系的不断完善。基本企业信息安全管理过程包括：分析企业数字化资产评估和风险分析、规划信息系统动态安全模型、建立可靠严谨的执行策略、选用安全可靠的的防护产品等。

2.2 提高企业员工自身的信息安全防范意识

在企业信息化系统安全管理中，防护设备和防护策略只是其中的一部分，企业员工的行为也是维护企业数字化成果不可忽略的组成。所以企业在实施信息化安全管理时，绝对不能忽视对人的行为规范和绩效管理。在企业实施企业信息安全前，应制定企业员工信息安全行为规范，有效地实现企业信息系统和数字化成果的安全、可靠、稳定运行，保证企业信息安全。其次阶段递进的培训信息安全人才也是保障企业数字化成果的重要措施。企业对员工进行逐次的安全培训，强化企业员工对信息安全的概念，提升员工的安全意识。使员工的行为符合整个企业信息安全的防范要求。

2.3 及时优化更新企业信息安全防护技术

当企业对自身信息安全做出了一套整体完善的防护规划时，就应当考虑采用何种安全防护技术来支撑整个信息安全防护体系。对于安全防护技术来说可以分为身份识别、网络隔离、网络安全扫描、实时监控与入侵发现、安全备份恢复等。比如身份识别的目的在于防止非企业人员访问企业资源，并且可以根据员工级别分配人员访问权限，达到企业敏感信息的安全保障。

3 企业信息安全体系部署的建议

根据企业信息安全建设架构，在满足终端安全、网络安全、应用安全、数据安全等安全防护体系时，我们需要重点关注以下几个方面：

3.1 实施终端安全，规范终端用户行为

在企业信息安全事件中，数字化成果泄漏是属于危害最为严重的一种行为。企业信息安全体系建立前，企业员工对自己的个人行为不规范，造成了员工可以通过很多方式实现信息外漏。比如通过U盘等存储介质拷贝或者通过聊天软件传递企业的核心数字化成果。对于这类高危的行为，我们在建设安全防护体系时，仅仅靠上网行为管理控制是不能完全杜绝的。应该当用户接入企业信息化平台前，就对用户的终端系统进行安全规范检查，符合企业制定的终端安全要求后再接入企业内网。同时配合上网行为管理的策略对员工的上网行为进行审计，使得企业员工的操作行为符合企业制定的上网行为规范，从终端用户提升企业的防护水平。

3.2 建设安全完善的VPN接入平台

企业在信息化建设中，考虑总部和分支机构的信息化需要，必然会采用VPN方式来解决企业的需求。不论是采用SSL VPN还是IPSecVPN，VPN加密传输都是通用的选择。对于分支机构可以考虑专用的VPN设备和总部进行IPSec连接，这种方式更安全可靠稳定。对于移动终端的接入可以考虑SSL VPN方式。在这种情况下，就必须做好对于移动终端的身份认证识别。其实我们在设备采购时，可以要求设备商做好多种接入方式的需求，并且帮助企业搭建认证方式。这将有利于企业日常维护，提升企业信息系统的VPN接入水平。

3.3 优化企业网络的隔离性和控制性

在规划企业网络安全边际时，要面对多个部门和分支结构，合理的规划安全网络边际将是关键。企业的网络体系可以分为：物理层；数据链路层；网络层；传输层；会话层；表示层；应用层。各体系之间的相互隔离和访问策略是防止企业信息安全风险的重要环节。在企业多样化网络环境的背景下，根据企业安全优先级及面临的风险程度，做出适合企业信息安全的防护策略和访问控制策略。根据相应防护设备进行深层次的安全防护，真正实现OSI的L2～L7层的安全防护。

3.4 实现企业信息安全防护体系的统一管理

为企业信息安全构建统一的安全防护体系，重要的优势就是能实现对全网安全设备及安全事件的统一管理，做到对整个网络安全事件的“可视、可控和可管”。企业采购的各种安全设备工作时会产生大量的安全日志，如果单靠相关人员的识别日志既费时效率又低。而且不同安全厂商的日志报表还存在很大差异。所以当安全事件发生时，企业管理员很难实现对信息安全的统一分析和管理。所以在企业在构建信息安全体系时，就必须要考虑安全设备日志之间的统一化，设定相应的访问控制和安全策略实现日志的归类分析。这样才能做到对全网安全事件的“可视、可控和可管”。

4 结束语

信息安全的主要内容就是保护企业的数字化成果的安全和完整。企业在实施信息安全防护过程中是一个长期的持续的工作。我们需要在前期做好详尽的安全防护规划，实施过程中根据不断出现的情况及时调整安全策略和访问控制，保证备份数据的安全性可靠性。同时全体企业员工一起遵守企业制定的信息安全防护管理规定，这样才能为企业的信息安全提供生命力和主动性，真正为企业的核心业务提供安全保障。

参考文献

[1]郝宏志.企业信息管理师[M].北京：机械工业出版社，2005.

[2]蒋培静.欧美国家如何培养网络安全意识[J].中国教育网络，2008（7）：48-49.

作者简介

常胜（1982-），男，回族，天津市人。现为中国市政工程华北设计研究总院有限公司工程师。研究方向为网络安全与服务器规划部署。

篇4

信息安全防护要考虑不同层次的问题。例如网络平台就需要拥有网络节点之间的相互认证以及访问控制；应用平台则需要有针对各个用户的认证以及访问控制，这就需要保证每一个数据的传输的完整性和保密性，当然也需要保证应用系统的可靠性和可用性。一般电力企业主要采用的措施有：

1.1信息安全等级保护

信息安全等级保护是对信息和信息载体按照重要性等级分级别进行保护的一种工作，工作包括定级、备案、安全建设和整改、信息安全等级测评、信息安全检查五个阶段。要积极参与信息安全等级定级评定，及时在当地公安机关进行备案，然后根据对应等级要求，组织好评测，然后开展针对性的防护，从而提供全面的保障。

1.2网络分区和隔离

运用网络设备和网络安全设备将企业网络划分为若干个区域，通过在不同区域实施特定的安全策略实现对区域的防护，保证网络及基础设置稳定正常，保障业务信息安全。

1.3终端安全防护

需要部署（实施）防病毒系统、上网行为管理、主机补丁管理等终端安全防护措施。通过这些安全措施使网络内的终端可以防御各种恶意代码和病毒；可以对互联网访问行为监管，为网络的安全防护管理提供安全保障；可以自动下发操作系统补丁，提高终端的安全性。

2.构建信息安全防护体系

电力企业应充分利用已经成熟的信息安全理论成果，在此基础上在设计出具有可操作性，能兼顾整体性，并且能融合策略、组织、技术以及运行为一体化的信息安全保障体系，从而保障信息安全。

2.1建立科学合理的信息安全策略体系

信息安全策略体系包括信息安全策略、信息安全操作流程、信息安全标准以及规范和多方面的细则，所涉及的基本要素包括信息管理和信息技术这两方面，其覆盖了信息系统的网络层面、物理层面、系统层面以及应用层面这四大层面。

2.2建设先进可靠的信息安全技术防护体系

结合电力企业的特点，在企业内部形成分区、分域、分级、分层的网络环境，然后充分运用防火墙、病毒过滤、入侵防护、单向物理隔离、拒绝服务防护和认证授权等技术进行区域边界防护。通过统一规划，解决系统之间、系统内部网段间边界不清晰，访问控制措施薄弱的问题，对不同等级保护的业务系统分级防护，避免安全要求低的业务系统的威胁影响到安全要求高的业务系统，实现全方位的技术安全防护。同时，还要结合信息机房物流防护、网络准入控制、补丁管理、PKI基础设施、病毒防护、数据库安全防护、终端安全管理和电子文档安全防护等细化的措施，形成覆盖企业全领域的技术防护体系。

2.3设置责权统一的信息安全组织体系

在企业内部设置网络与信息安全领导机构和工作机构，按照“谁主管谁负责，谁运营谁负责”原则，实行统一领导、分级管理。信息安全领导机构由决策层组成，工作机构由各部门管理成员组成。工作机构一般设置在信息管理部门，包含安全管理员、系统管理员、网络管理员和应用管理员，并分配相关安全责任，使信息安全在组织内得以有效管理。

2.4构建全面完善的信息安全管理体系

对于电力企业的信息安全防范来说，单纯的使用技术手段是远远不够的，只有配合管理才能提供有效运营的保障。

2.4.1用制度保证信息安全

企业要建立从指导性到具体性的安全管理框架体系。安全方针是信息安全指导性文件，指明信息安全的发展方向，为信息安全提供管理指导和支持；安全管理办法是对信息安全各方面内容进行管理的方法总述；安全管理流程是在信息安全管理办法的基础上描述各控制流程；安全规范和操作手册则是为用户提供详细使用文档。人是信息安全最活跃的因素，人的行为会直接影响到信息安全保障。所以需要通过加强人员信息安全培训、建立惩罚机制、加大关键岗位员工安全防范力度、加强离岗或调动人员的信息安全审查等措施实现企业工作人员的规范管理，明确员工信息安全责任和义务，避免人为风险。

2.4.3建设时就考虑信息安全

在网络和应用系统建设时，就从生命周期的各阶段统筹考虑信息安全，遵照信息安全和信息化建设“三同步”原则，即“同步规划、同步建设、同步投入运行”。

2.4.4实施信息安全运行保障

主要是以资产管理为基础，风险管理为核心，事件管理为主线，辅以有效的管理、监视与响应功能，构建动态的可信安全运行保障。同时，还需要不断完善应急预案，做好预案演练，可以对信息安全事件进行及时的应急响应和处置。

3.总结

篇5

(一)信息安全组织临时化

通常,制造型企业只有在发生了信息泄露、病毒攻击、系统破坏等信息安全事件时,才会临时从信息技术部和业务部门抽调人手处理和解决信息安全事件.出现新的信息安全要求时,才会临时组建项目小组,根据新的信息安全要求制定解决方案并实施计划,项目完成后,临时小组就会解散,没有人会继续跟进和执行解决方案.由于没有定期的信息安全评估,安全计划不断地重复开始和结束,带来大量的人财物重复投入,这将导致安全计划成本不断增加,企业的工作效率不断降低,信息安全防护也未得到有效提升.

(二)员工上网无限制

虽然制造型企业为员工上网提供了用户名及密码,并且对其登录的网站进行了监测,但是员工在工作时间还是可以无设防地利用外网进行网页游览、网络社交等行为,并且使用一些网站的免费邮箱随意地接收和发送电子邮件,这些给黑客、病毒、钓鱼软件等创造了对企业内部网络攻击的机会.于是,员工在不了解原因的情况下,使得企业的信息被泄露或者内部网络瘫痪,从而影响企业的正常工作,造成企业资产的损失.

(三)个人移动设备(BYOD)使用泛滥

在制造型企业的办公场合,员工会携带个人移动设备(BYOD)如笔记本电脑、平板电脑、智能手机、移动硬盘等进行办公.企业员工可以较为随意地使用这些移动存储设备对内部文件进行拷贝,并且可以使用移动设备接入企业内网的无线WiGFi,并拥有一定程度的内网数据读取权限,这样做虽然节约了企业的办公成本,提高了办公的效率,但是也增加了企业内网病毒感染及遭受黑客恶意入侵的风险.

(四)信息安全防护水平有限

出于性能、技术等因素的考虑,加之国内自主研发的信息安全产品较少,目前进口的信息安全产品受到许多制造型企业的广泛采用.尽管这些企业的信息安全需求以此得到了满足,但近几年来,进口产品设备故障的频繁发生也对制造型企业的业务带来了不同程度的影响.同时,进口信息安全产品已经占据了这些企业信息系统的关键节点,这使得企业的商业机密时刻处于高危状态.不仅如此,部分制造型企业仍旧停留在使用免费的个人版杀毒软件阶段,而这些软件不仅无法解决病毒交叉感染的问题,也没有统一的管理平台对企业内网的安全系统进行统一的升级与维护.另外,信息安全产品在企业内的无序堆叠不仅使得各安全产品存在兼容性问题,同时也使得各产品厂商只能提供与自己产品有关的技术支持,导致企业对问题很难进行跟踪和排查.最后,企业电脑终端上的防毒程序未开启或者未升级至最新版本,以及系统漏洞修补的不及时都造成了多病毒大面积入侵企业内网.

(五)信息安全事件处理不及时

制造型企业在发生信息安全事件时,即使有相关的信息安全管理产品,但无法迅速定位安全事件,更无法快速进行安全事件响应处理,常处于混乱、无序的运维管理状态.由于企业的安全管理人员无法全面了解整个企业网络中正在发生的内部越权访问和外部攻击,出现问题时,他们多表现得无从下手或者手忙脚乱.而且,企业各部门各自为政,对发生信息安全事件无法进行统一规范的快速处理.

二、制造型企业信息安全薄弱的原因

(一)员工信息安全意识淡薄

制造型企业员工信息安全意识比较淡薄,主要表现为企业管理层没有充分认识到信息安全的重要性,没有将信息安全管理工作与企业生产安全管理工作放在同等重要的高度来对待,更没有把它作为日常管理工作的一部分.管理层之所以没有信息安全意识主要是因为信息安全不会直接为企业带来经济效益,反而需要投入大量的时间和资源,尤其是对于受部门业绩压力和资源限制的业务部门来说,他们不愿意把时间和资源放在信息安全防护工作上,并且他们还认为不采取安全防护措施不一定会造成损失.普通员工则表现在他们不了解什么信息安全,不知道遵守和执行信息安全制度对自己及企业带来的影响,缺少必要的信息安全教育与培训,有意或无意地导致信息安全事件的发生.

(二)信息安全技术体系不完善

信息安全防护水平受到限制除了受上述因素影响外,还有就是没有完善的物理安全、运行安全和数据安全相统一的信息安全技术体系,具体体现在企业使用的软件设计存在缺陷或者技术漏洞、杀毒软件不及时更新;信息系统设计没有以风险评估为基础、业务流程描述错误或漏洞、数据访问权限设置不清晰、关键数据没有备份等因素;物理安全边界不明确、设备或存储介质缺乏安全措施、电缆损坏、不可抗力的自然灾害等.

(三)信息安全事件应急响应机制缺失

信息安全事件处理不及时很大程度上是因为没有建立信息安全事件应急响应机制.制造型企业没有对信息安全事件进行分级响应与处置,也没有结合企业的实际情况通过预测、评估和分析安全事件对企业造成的后果程度进行等级划分,并针对不同的安全事件制定相应的应急预案.同时,大部分制造型企业在处理信息安全事件时更多依靠的是人的经验和责任心,缺少标准化的信息安全事件处理流程,以及必要的审核和工具支撑.

三、改进制造型企业信息安全的对策

通过上述分析可知,信息安全问题不仅出现在技术方面,还更多地出现在管理方面.因此,为了保障企业的业务持续运行,加强企业的股东、客户以及服务提供商对企业信息安全的信任,增强企业的核心竞争能力,制造型企业可以将管理、技术和运维三方面有效地结合起来,促进企业的可持续发展.

(一)建立健全的信息安全组织层级结构

企业信息安全组织架构的建立是围绕企业信息安全管理的战略目标,对企业的信息资源、人力资源、安全技术产品等进行合理安排和配置,构成相互协作的有机整体,使企业的信息安全活动协调有效地运行.制造型企业通过建立多层次、跨部门的信息安全决策委员会、信息安全工作部、信息安全执行部的层级结构,不仅能在企业中形成一张网,覆盖企业的各个部门,有利于信息安全措施的实施和针对信息安全事件的快速响应,而且还能为后续建立信息安全管理体系提供组织上的保证.信息安全决策委员会主要负责制定信息安全制度和策略、明确各部门信息安全职责、协调各部门实施信息安全控制措施以及信息安全活动的实施等.信息安全工作部由各部门负责信息安全管理的工作人员构成,实施决策委员会制定的信息安全策略、制度和方针,并负责各部门的信息安全管理工作.信息安全执行部具体有三个部门,即信息安全规划部、信息安全监督审计部、信息安全运行保障部,并且由各部门进行业务支撑。

(二)加强人员教育培训和规范管理

信息安全最大的威胁不是来自于企业外部的攻击或是企业信息安全技术的缺陷,而是企业人员缺乏信息安全意识.为了能够有效地提高企业员工的信息安全意识,企业需要对员工进行完善的信息安全教育培训,这不仅能提高员工的信息安全保护技能,还能更好地保护企业的信息安全.制造型企业在制定信息安全教育培训内容时,可以根据员工在企业中所处的职位高低和工作性质的不同有针对性地制定.对于企业管理者而言,教育培训以信息安全核心知识、风险管理、信息安全政策等为主;企业的信息技术人员,则是以信息安全技术教育培训为主;一般员工结合所在部门的业务特点以信息安全意识培训为主.除了对企业的人员进行教育培训,还需对其进行规范化管理.对掌握产品生产、原材料采购等核心信息的管理者实施更加严格的信息安全监督管理制度;对负责计算机系统及日常维护的人员界定其工作权限;规范化管理员工的上网行为,合理利用网络资源,避免人为的网络安全隐患.同时在规范管理中引入绩效考核机制,这样不仅使信息安全管理的指标量化,而且,通过信息安全监督审计工作组对员工信息安全工作进行考核,使员工更加重视企业信息安全.因此,加强企业员工的教育培训和规范化管理,不仅可以营造企业信息安全文化氛围,还可以约束员工的行为,减少人为因素导致的信息安全事件发生.

(三)完善信息安全技术体系

信息安全技术是企业信息安全的保障,完善的信息安全技术体系可以防止由于技术因素导致的信息安全漏洞,避免给外部攻击者留下可乘之机,从而减少技术因素导致的信息安全事件发生.制造型企业需从以下六个方面去建立完善的信息安全技术体系,并采用“适度防御”的原则,选择合适的安全技术与产品,形成企业适用的安全技术防线.一是保障并完善数据安全,制造型企业需通过加密的手段保护企业系统中数据的机密性和完整性,从而提高数据访问的抗抵赖性,同时加强数据的异地灾难恢复机制,实现本地数据的实时远程复制与备份,避免本地系统遭受灾难性破坏导致企业系统中数据的遗失.二是保障并完善终端安全,制造型企业除了要采用全面可靠的防病毒体系和防火墙技术外,还需制定严格的移动终端设备使用制度,一方面是为了避免内部员工利用移动终端设备随意拷贝企业内部文件,导致企业内部信息向外泄露,另一方面是为了防止移动终端设备携带的病毒漏过企业系统设置的防火墙而直接在系统内部传播.三是保障和完善应用安全,除了提供用户名和口令外其他身份验证机制,必要时还需支持双因素认证和具备登录控制模块,同时在日常工作不受影响的情况下,控制员工访问权限,减少越权操作的现象,最大限度地保障个人系统的安全.四是保障和完善网络安全,制造型企业还需通过内外部署相应的网络与信息安全设施使计算机设备的物理管理得到加强,并对入侵检测系统和漏洞扫描系统进行内外部攻击和误操作的实时保护的安全设计,使系统免于网络攻击的同时,也提升了系统管理人员的安全管理水平.五是保障主机安全,除了采用系统扫描技术对操作系统层设备和系统进行智能化检测来帮助网络管理人员高效地完成定期检测和操作系统安全漏洞修复的工作,还应采用系统实时入侵探测技术来监控主机系统事件,检测攻击的可疑特征,并给予响应和处理.六是保证物理安全,制造型企业需要保证机房与设施的安全,针对环境的物理灾害、自然灾害和人为的蓄意破坏采取安全措施,并通过防盗、防毁、防电磁干扰来保证设备的安全.

(四)建立信息安全事件应急响应机制