关于企业信息安全措施精选(五篇)

序言：作为思想的载体和知识的探索者，写作是一种独特的艺术，我们为您准备了不同风格的5篇关于企业信息安全措施，期待它们能激发您的灵感。

篇1

关键词：企业 网络信息安全 防范措施

一、企业信息安全不稳定的因素

计算机病毒在计算机领域非常的活跃，只要用过计算机的人都非常有可能碰到过病毒的危害。

1、网络病毒的活跃

其实计算机病毒本身是一种程序，通俗易懂的方法来描述计算机病毒，它就像生物里的病毒一样，和生物病毒有非常相似的特征，它的复制能力非常强，并且非常快速传播，同时也很难去根除。生物病毒是依附在各种微生物和细胞中生活，而计算机病毒一般都依附在文件中，最可怕是，当一台计算机向另一台计算机传送文件时，进行非法的拷贝。另外它有很强的自我复制能力，隐藏在程序内部，只要人们操作计算机，它就不断地自我复制。同时，计算机病毒还具有破坏性、隐蔽性，它常常被黑客利用用以攻击他人的计算机，达到非法的目的，给企业信息基础设施以及企业业务带来不可估量的损失。

2、恶意病毒网页的流动

每个比较正规并且有一定市场影响力的企业会拥有自己的网站，通过自己的网站向外界宣传自己的公司，用于达到宣传营销的目的。使用电脑的人希望不断的搜寻网页来寻找自己需要的信息，可是很多电脑使用者不知道自己使用的网页是否是安全无毒的。许多网页容易被人利用达到自己的目的，如果企业的网页被别人注入了木马病毒，那么当你打开网页的时候，木马病毒就已经进入你的电脑软件中，到最后你的私人信息就会被泄露出去，其他会利用你的信息达到盈利或者伤害你的目的。

3、员工网络信息安全意识淡薄和企业管理网络的松懈

在很多企业中，企业员工使用电脑从来只关心工作、学习、娱乐而已，从来不会关心电脑安全问题，因为企业员工会认为网络安全不需要重视，因为有网络管理员。有研究表明，在90%的企业电脑中有计算机病毒，因为员工在公司电脑上做一些与公司无关的事情，看电影和玩游戏是最容易中毒的，这些做法很容易导致企业的机密性文件和信息被泄露，从而使企业遭到巨大的损失。

4、黑客攻击和计算机犯罪

导致企业网络信息安全不稳定的最大因素就是黑客攻击和计算机犯罪。黑客攻击一般情况是以各种方式有目的性有选择性的盗取企业信息，这种是破坏了网络的正常工作，另一种不影响网络正常工作，它进行破译、窃取等手段获得重要的机密文件。这都对企业机密文件产生重大的影响。所以企业的网络安全形式非常严峻。还有计算机犯罪，计算机作为现代信息处理工具，在经济和社会生活中具有不可替代的重要作用。尤其是在企业网络中，计算机犯罪已经成为不可忽视的问题。

二、网络环境下的企业信息安全隐患的防范措施

以上谈论现在在企业中比较常见的几种网络安全隐患，但是其实在现实社会中，企业面对的安全问题非常多并且非常杂。如果企业希望有一个安全完美的未来，那么企业必须要重视对网络信息安全的重视，要增强全部成员包括自己的网络安全防范意识，并且要采取有效可行的防范措施。

1、加密设置

在当今世界，重要的信息几乎全部都加密。密码在网络里更是具有无可代替的作用。所以唉企业的网络信息安全管理中，认证密码技术和技术加密是企业网络最有效最可靠的技术。加密信息不仅可以有效的保护网络内的文件和信息，还可以保护网络传输的数据。对企业信息加密不但可以防御无授权的用户的入网及窃听，还可以抵抗恶意软件的损害。所以，加密设置对于企业网络信息安全管理是最直接也是最有效的措施。

2、防火墙设置

本人认为凡是没有安装防火墙的计算机，一定要及时安装防火墙，并且安装防火墙也需要不定时的进行升级，因为防火墙可以阻止网络黑客访问某个企业网络的大屏障，可以阻挡许多外部网络的入侵。防火墙是一种最近几年发展用于保护计算机网络安全的技术性的措施，企业应该根据自己实际情况，安装可靠性强、适应企业、功能巨大的防火墙，用于抵抗黑客的攻击和病毒的传播，从而达到保护网络系统的安全。企业安装了防火墙也不能高枕无忧。企业管理员需要对企业的网络信息和系统进行备份，防止意外事件的发生导致网络瘫痪及信息丢失，同时，需要定期检测备份的有效性。配置防火墙是保证企业网络信息安全的首选。因为防火墙确保我们网络连接的安全，更不会出现连接段口安全漏洞，所以每个企业每台计算机必须要安装防火墙来保护自己的网络。

3、强化员工网络安全意识和管理者的网络忧患意识

企业员工使用计算机应该根据自身的电脑实际情况，要不定期的进行安全检查，管理者也要根据企业计算机的自身硬件和网络实际情况，培训员工，提高员工的保密意识和责任意识，不要因为人为的因素导致企业承受巨大的损失。在必要的时候，可以利用密码设置，对需要的设备设置密码，从而达到外界人员和攻击者不能破坏的目标。应该从全企业倡导保护网络信息安全，使企业每个人都懂得网络信息安全的重要性。最后，企业也需要加强计算机和系统的安全管理，一些计算机终端等地方需要防止火灾或者是意外事故的发生。

4、从法律方面保障企业网络信息

企业网络信息安全单单从计算机的软件和硬件上保护还是远不够的。每一个管理者需要加强法律意识，企业的网络信息安全需要有相对应的法律和法规作为后盾。要懂的使用法律的武器去打击那些违反网络窃取信息的犯罪分子。现在，在我国黑客攻击是最普遍的网络犯罪，所以我们需要对那些恶意侵害企业网络信息安全的犯罪行为进行坚决的打击，制止其犯罪行为并让罚罪者付出代价。

总之，当网络与我们的生活越来越分不开的时候，我们更加需要注意网络信息安全的防范，企业管理者不应该仅仅只注意网络的便捷，更需要注重企业网络信息安全并强化信息安全意识的同时切实采取措施，确保企业电子网络信息安全。

参考文献：

[1]岳剑梅、《信息系统的安全管理研究》、[J]、情报理论与实践，2011、7

篇2

关键词：分布式；信息安全；规划；方案

中图分类号：TP309.2文献标识码：A 文章编号：1009-3044(2008)36-2848-03

An Information Security Program for a Distributed Enterprise

GUO Yong, CHEN Rong-sheng, ZHAN Gui-bao, ZENG Zhong-cheng, LU Teng-zu, LI Zhuang-xiang

(Fujian Xindong Network Technology Co., Ltd. Fuzhou 350003,China)

Abstract: Based on the specific conditions of the distributed enterprise, information security architecture in accordance with the relevant standards, a distributed enterprise information security planning principles and objectives. And based on the principles and objectives of the meeting, according to the organization, management and technical aspects of three specific design specifications with the principle. Finally, based on the objective of planning services, a category of information distributed enterprise information security services, planning and design examples.

Key words: distributed; information security; planning; program

1 引言

据来自eWeek 的消息，市场研究机构Gartner 研究报告称，很对企业目前仍缺乏完整的信息安全规划和规范。尽管目前很多企业在信息安全方面的投入每年都在缓慢增长，但由于推动力以外部法律法规的约束和商业业务的压力为主，因此他们对安全技术和服务的选择和使用仍停留在一个相对较低的水平。尤其对于机构构成方式为分布式的企业而言，因为信息安全需求和部署相对更加复杂，投入更多，因此这类企业的信息安全规划就更加缺乏。

本文根据这类分布式企业的特点提出了一种符合该类企业实际的信息安全规划方案。

2 总体规划原则和目标

2.1 总体规划原则

对于分布式企业的信息安全规划，要遵守如下原则：适度集中，控制风险；突出重点，分级保护；统筹安排，分步实施；分级管理，责任到岗；资源优化，注重效益。

这个原则的制定主要是根据分布式企业的实际机构构成情况、人员素质情况以及资源配置情况来制定的。

2.2 总体规划目标

信息系统安全规划的方法可以不同、侧重点可以不同，但是需要围绕组织安全、管理安全、技术安全进行全面的考虑。信息系统安全规划的最终效果应该体现在对信息系统与信息资源的安全保护上，下面将分别对组织规划、管理规划和技术规划分别进行阐述。信息安全规划依托企业信息化战略规划，对信息化战略的实施起到保驾护航的作用。信息系统安全规划的目标应该与企业信息化的目标是一致的，而且应该比企业信息化的目标更具体明确、更贴近安全。信息系统安全规划的一切论述都要围绕着这个目标展开和部署。

3 信息安全组织规划

3.1 组织规划目标

组织建设是信息安全建设的基本保证，信息安全组织的目标是：

1）完善和形成一个独立的、完整的、动态的、开放的信息安全组织架构，达到国际国内标准的要求；

2）打造一支具有专业水准的、过硬本领的信息安全队伍。对内可以保障企业内部网安全，对外可以向社会提供高品质的安全服务；

3）建设一个 “信息安全运维中心（SOC）”，能够满足当前和未来的业务发展及信息安全组织运转的支撑系统，能够对外提供安全服务平台。

3.2 组织规划实施

对于组织规划这个方面，是属于一个企业信息安全规划的上层建筑，需要用一种由上而下的方法来实现，其主要是在具体人事机制、管理机制和培训机制上做工作。对于分布式企业而言，需要主导部门从上层着手，建章立制，强化安全教育，加大基础人力、财力和物力的投入。

4 信息安全管理规划

4.1 管理规划目标

信息安全管理规划的目标是，完善和形成“七套信息安全软措施”，具体包括：一套等级划分指标，一套信息安全策略，一套信息安全制度，一套信息安全流程规范，一套信息安全教育培训体系，一套信息安全风险监管机制，一套信息安全绩效考核指标。“七套信息安全软措施”关系如图1所示。

4.2 信息安全管理设计

基于对管理目标的分析，信息安全管理的原则以风险管理为主，集中安全控制。管理要素由管理对象、安全威胁、脆弱性、风险、保护措施组成。

4.2.1 信息安全等级划分指标

信息安全等级保护是国家在国民经济和社会信息化的发展过程中，提高信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化健康发展的基本策略。

4.2.2 信息安全策略

信息安全安全策略是关于保护对象说明、保护必要性描述、保护责任人、保护对策以及意外处理方法的总和。

4.2.3 信息安全制度

信息安全制度是指为信息资产的安全而制定的行为约束规则。

4.2.4 信息安全规范

信息安全规范是关于信息安全工作应达到的要求，在信息安全规范方面，根据调查，建立信息安全管理规范、信息安全技术规范。其中，安全管理规范主要针对人员、团队、制度和资源管理提供参照性准则；信息安全技术规范主要针对安全设计、施工、维护和操作提供技术性指导建议。

4.2.5 信息安全管理流程

信息安全流程是指工作中应遵循的信息安全程序，其目的是减少安全隐患，降低风险。

4.2.6 信息安全绩效考核指标

信息安全绩效考核指标是指针对信息安全工作的质量和态度而给出的评价依据，其目的是增强信息安全责任意识，提高信息安全工作质量。

4.2.7 信息安全监管机制

信息安全监管机制是指有关信息安全风险的识别、分析和控制的措施总和。其主要目的加强信息安全风险的控制，做到“安全第一，预防为主”。

4.2.8 信息安全教育培训体系

其主要目的加强的信息安全人才队伍的建设，提高企业人员的信息安全意识和技能，增强企业信息安全能力。

5 信息安全技术规划

5.1 技术规划目标

信息安全技术规划目标简言之是：给业务运营提供信息安全环境，为企业转型提供契机，构建信息安全服务支撑系统。具体目标如下：

1）打造信息安全基础环境，调整和优化IT基础设施，建立安全专网，设置两个中心（信息安全运维中心、灾备中心）；

2）建立一体化信息安全平台，综合集成安全决策调度、安全巡检、认证授权、安全防护、安全监控、安全审计、应急响应、安全服务、安全测试、安全培训等功能，实现的集中安全管理控制，快速安全事件响应，高可信的安全防护，拓展企业业务，开辟信息安全服务新领域。

5.2 信息安全运维中心(SOC)

SOC 是信息安全体系建设的基础性工作，SOC 承载用于监控第一生产网的安全专网核心基础设施，提供信息安全中心技术人员的办公场所，提供“7×24”小时连续不断的安全应用服务,提供实时监控、远程入侵发现、事件响应、安全更新与升级等业务，SOC 要求具有充分保障自身的安全措施。除了SOC 的组织建设、基础工程外，SOC 的技术性工作还要做以下几个方面：

1）硬件基础建设，主要内容是SOC 的选址、布局、布线、系统集成，实现SOC 自身的防火、防潮、防电、防尘、安全监控功能；

2）软件基础建设，包括SSS 系统、机房监控子系统、功能小组及中心组划分。

图1 信息安全软措施关系

图2 信息安全总体框架

图3 资产、组织、管理和安全措施的关系

5.3 信息安全综合测试环境

随着分布式企业信息化程度的日也加深，需要部署到大量IT 产品和应用系统，为了保障安全，必须对这些IT 系统和产品做入网前安全检查，消除安全隐患。基于此，综合测试环境建设的内容包括：安全测试网络；测试系统设备；安全测试工具；安全测试分析系统；安全测试知识库。

其中，安全测试网络要求能够模拟企业网络真实的带宽；测试系统设备能够提供典型的网络服务流量模拟、典型的应用系统流量模拟；安全测试工具覆盖防范类、检测类、评估类、应急恢复类、管理类等，并提供使用说明、漏洞扫描、应用安全分析；安全测试分析系统能够提供统计分析、图表展现功能；安全知识库包含以下内容：漏洞知识库，补丁信息库，安全标准知识库，威胁场景视频库，攻击特征知识库，信息安全解决案例库，安全产品知识库，安全概念和术语知识库。

5.4 安全平台建设规划

参照国际上PDRR 模型和国家信息安全方面规范，建议信息安全总体框架设计如图2所示。

主要目的，以资产为核心，通过安全组织实现资产保护，以安全管理来约束组织的行为，以技术手段辅助安全管理。其中，资产、组织、管理、安全措施的关系如图3所示，核心为资产，围绕资产是组织，组织是管理，最外层是安全措施。

在平台中集成十个安全机制，它们分别是：信息安全集中管理；信息安全巡检；信息安全认证授权；信息安全防护；信息安全监控；信息安全测试；信息安全审核；信息安全应急响应；信息安全教育培训；信息安全服务。

6 信息安全服务业务规划

6.1 服务业务规划目标

信息安全服务业务规划目标简言之是：以信息安全服务为切入点，充分发挥企业优势资源，引领信息安全市场，为企业转型创造时机。具体目标如下：

1）推出面向客户安全（检查、教育、配置）产品；2）推出面向大型企业的信息安全咨询产品；3）推出面向家庭安全上网产品；4）推出面向企业安全运维产品；5）推出面向企业灾害恢复产品。

6.2 服务业务规划设计

服务业务规划主要针对具体业务而言，在此列举信息类分布式企业业务作为示例：

1）信息安全咨询类产品，其服务功能主要有：信息安全风险评估；信息安全规划设计；信息安全产品顾问。

2）信息安全教育培训类产品，其服务功能主要有：提供信息安全操作环境；提供信息安全知识教育；提供信息安全运维教育。

3）家庭类安全服务产品，其服务功能主要有：推出“家庭绿色上网”安全服务；家庭上网防病毒服务；家庭上网机器安全检查服务；家庭上网机数据备份服务。

4）企业类安全服务产品，其服务功能主要有：企业安全上网控制服务；企业安全专网服务；安全信息通告；企业运维服务。

5）容灾类安全服务产品，其服务功能主要有：面向政府数据灾备服务；面向政府信息系统灾备服务；面向企业数据灾备服务；面向企业信息系统灾备服务。

7 结束语

通过结合分布式企业的具体实际，按照信息安全体系结构相关标准，提出了分布式企业的信息安全规划原则和目标。并依据次原则与目标，按照组织、管理和技术三个方面提出了具体的实现与设计规范原则。最后，依据服务规划目标，提出了信息类分布式企业的信息安全服务规划设计实例。

参考文献：

[1] 周晓梅. 论企业信息安全体系的建立[J]. 网络安全技术与应用，2006，3：62～64，57.

[2] Harold F. Tipton，Micki Krause. Information Security Management Handbook[M]. Fifth Edition.US：Auerbach Publications，2004.

[3] 魏永红,李天智,张志. 网络信息安全防御体系探讨[J].河北省科学院学报，2006,23,(1):25～28.

[4] 张庆华. 信息网络动态安全体系模型综述[J].计算机应用研究，2002,10:5～7.

[5] ISO/IEC 15408，13335，15004，14598，信息技术安全评估的系列标准[S].

[6] BS7799-1，7799-2，ISO/IEC 17799，信息安全管理系列标准[S].

[7] BS7799-2，Information Security Management Systems-Specification With Guidance for use[S].

[8] 李玮. 运营商IT系统网络架构的安全域划分[J]. 通信世界,2005,30:41～41,45～45.

篇3

电力企业信息系统是基于电脑和网络，实现电力制造、管理等信息的收集、存储、分析及传输的综合性的有机系统。［1］信息作为一种重要的企业资源必须要对其进行全面的安全管理，企业信息安全管理是引导和协调组织的关于信息化安全风险的互相协调的活动，即企业管理层对企业相关信息和活动安排进行合理的规划和协调。一直以来，很多人特别是对于信息行业出身的工作人员，都受环境影响而陷入“技术就是一切”的误区中，即人们把企业信息安全的全部希望都寄托在加密技术上，他们认为只要通过加密技术，任何信息安全问题都能够解决。随着网络防火墙技术的诞生，我们又常听到“防火墙是网络安全的有力保障”的论调。经此之后，入侵检测、VPN等更多新的概念及技术纷至沓来，但无论技术怎样变化，终究还是突破不了技术统领信息安全的枷锁。实际上，对企业信息安全技术的选择及应用只是企业信息系统安全化的一部分，它只是实现企业安全运营的一个方法而己。大家之所以产生这样的误区，其原因是多方面的，站在企业安全技术提供商的角度来说，其侧重点在于销售，因此向相关客户输送的大多都是以技术为核心的理念和信息。站在客户角度来说，只有企业的产品才是真实的、有形的，对投资方来说，这是十分重要的。因此，正是对于企业信息系统的错误认识，导致一些极端现象的产生，比如：许多企业的信息化设备使用了防火墙、网络云扫描等技术，但却没有设定出一套以安全策略为核心的合理的安全管理方案，从而造成安全技术及企业的产品生产十分混乱，不能做到技术及相关产品的及时、有效的更新。还有一些电力企业即使设定了一些安全管理措施，却没有使用有效的实施、监督机制来执行，这让安全管理措施徒有其表，名存实亡。经过研究及调查，现阶段我国电力企业信息系统面临的风险主要有：（1）信息系统缺陷。随着信息化的不断发展，电力企业信息系统也一直在不断完善中，目前，我国的电力企业在设计、制造及产品装配中仍存在着许多安全隐患与风险，比如来自软硬件组件的安全隐患等，这些信息系统固有的缺陷对电力企业信息系统的安全造成了严重的威胁。（2）信息系统安全管理不规范。现阶段，我国电力企业对电力信息系统的安全愈来愈重视，很多电力企业都采取了各种风险管理及预防措施，但是由于系统数据备份设备的不完善、数据丢失等信息系统安全管理不规范现象的出现，建立一套完善、合理的电力企业信息系统安全管理体系尤为重要。（3）网络安全意识薄弱。由于电力企业的安全宣传力度不够，相关技术人员的安全意识薄弱而导致的信息系统安全问题时有发生，比如不能及时修补信息系统漏洞及补丁，相关人员不正确的操作、或通过U盘导致重要信息泄露等，处理不好都很有可能造成整个电力系统的不稳定甚至系统瘫痪。（4）恶意人为破坏。随着网络共享度的提高，我国的电力企业信息系统逐渐向开放型及共享型发展，这使得一些不法分子有机可乘，他们为了自己的利益，通过各种手段非法入侵电力企业的信息系统，如植入病毒、窃听、干扰阻断等，这对我国电力企业信息系统的安全构成了极大的威胁。

2电力企业信息系统安全管理研究

信息安全是一个复杂的、不断变化的动态过程，如果电力企业只根据一时需要而忽略了信息安全的动态性，只是主观的来制定一些风险管理措施，就会造成在企业信息管理中顾此失彼，进而导致企业的安全管理水平止步不前甚至有失偏颇。［2］其正确的做法是，电力企业要遵守相关信息安全标准及实践总结，结合企业自身对信息系统安全的实际需求，在进行完善的风险分析及风险管理的基础上，通过一些合理的、可行的安全风险管理措施来使电力企业信息系统一直处于安全状态。除此之外，不断更新的过程是电力企业进行信息安全管理的最基本出发点，该过程还应该是动态的、变化的，即安全措施要随着环境的变化及信息技术的提高而不断改进和完善，坚决拒绝一成不变，这可以将信息系统的风险降到最低。［3］所以说，基于风险的评估及控制角度来说，电力企业信息系统的安全风险与其他领域的风险具有相似性，与此同时，电力系统信息系统安全风险又具有其独特性。将其他领域内的风险控制过程引入电力企业的信息风险管理领域，需要同时考虑到其共性和个性。安全管理主要分为网络级、系统级和应用级3个部分：（1）网络级安全管理。电力企业信息系统的网络级安全管理主要是指解决企业信息系统与网络互联而产生的安全风险问题，其主要从网络防火墙及网络结构两个方面采取安全管理措施。网络防火墙对企业内部网络及外部网络起到安全隔离作用，它可以有效预防潜在的破坏性入侵，同时可以对即将进入企业内部网络的数据进行严格的检测，并对非法、错误的网络信息进行隔离，从而保护电力企业内部网络的安全。对于网络结构，根据电力企业信息系统的实际情况，相关技术人员结合网络结构，设计出一种介于混合型和网状型结构之间的分布式网络结构，该分布式网络系统具有较高的可靠性及容错能力，从而对已有的网络结构进行了优化。（2）系统级安全管理。在企业信息系统风险管理中，系统级安全设计与用户的具体应用具有密切的联系，具体而言，其分为操作系统与数据处理两个方面。在操作系统方面，利用有效的网络安全扫描对信息系统的安全风险进行合理评估，及时分析操作系统已有的漏洞，同时结合信息系统的漏洞自动修补技术，实现定期为相关用户消除网络中的安全隐患。在数据处理方面，企业要善于利用信息系统平台再次对数据库进行数据安全加密，从而将信息系统的数据库风险降到最低。（3）应用级安全管理。应用级安全设计具有直观、具体的特点，它是在设计电力企业的信息系统时，通过技术手段将相应的安全技术加入到信息系统中，从而有效保证系统的安全稳定运行。具体来说，电力企业信息系统的应用系统访问控制是根据访问信息性质的不同，分别进行公开信息和私密信息的传送、存储及管理，从而实现在应用层次上的访问控制；而数字签名技术可以通过对文件签发者、日期等提供准确的不可更改的历史记录，来保证系统所有文件的完整性。因此，我们得知，为了确保电力企业信息系统的安全，要采取合理、有效的管理手段来最大程度地降低风险，即相关人员不仅要从技术层面来进行安全管理的设计，还要从管理层面进行安全管理设置。［4］具体来说可以从以下方面着手：（1）定期对企业系统的技术人员进行安全教育，增强其信息系统的安全意识；（2）保持相关人员特别是管理层的人员稳定，若有人员调离，需及时更换系统密码，避免企业机密泄露；（3）设置合理的电力企业信息系统安全标准及企业制度等。

3结语

篇4

关键词 信息安全；企业；网络

中图分类号：TP3 文献标识码：A 文章编号：1671-7597（2013）12-0129-02

1 网络信息安全现状

现代企业的发展离不开信息网络，随着Web2.0时代的到来，越来越多的应用开始在互联网上流行起来，信息网络对提高企业生产效率、节约人员成本、获得产品信息等方面做出了巨大贡献，企业开始更为重视自身信息化的建设。然而，企业信息化速度的加快为企业信息安全工作提出了挑战，在网络发展的背后却存在着一个永恒的话题――信息安全。随着企业的安全生产、经营管理等工作越来越依赖信息网络，网络上的病毒、黑客以及其他不可预见的因素都对企业信息安全带来巨大威胁，在日趋多样化、专业化的攻击面前使得企业信息安全正面临严峻的形式和挑战。

近年来，网络安全问题频发，世界上每年遭受网络攻击的政府或者企业越来越多，2011年卡巴斯基实验室针对全球企业进行的IT风险调查显示，全球至少61%的企业遭遇过恶意软件的攻击。在互联网发源地―美国每年就有大约5万多起黑客攻击的事件，甚至信息安全工作防护严密的美国政府网站也不能幸免，更普通的企业。互联网具有开放性和无国界的特点，这就使得对网络攻击事件具有全球普遍性，我国也不能幸免，据国家计算机病毒应急处理中心的统计报告显示，我国每年有80%的企业、政府机关的网络系统曾经遭受过病毒或黑客的攻击。瑞星公司在2012年的《中国信息安全报告》中指出，我国共有超过7亿网民被病毒感染过，2009年上半年国内被挂马的网页数量突破2亿。例如2011年6月28日，新浪微博出现了一次比较大的XSS攻击事件，20：14，开始有大量带V的认证用户中招转发蠕虫；20：30，中的病毒页面无法访问；20：32，新浪微博中hellosamy用户无法访问。据统计，中国互联网用户每年因为网络安全损失被“黑掉”的钱财高达76亿。

上述网络信息安全问题的出现为国企业敲响了警钟，需要下大力气加强网络信息安全的防范和设计。

2 企业信息安全策略设计

2.1 病毒防护和查杀策略

病毒是信息安全的杀手，从病毒发作的情况来看，病毒的攻击目标没有特定性，而且越来越隐蔽。从个人网站到企业网络，无不受其所害，曾经有网络公司的防火墙被不明身份的黑客攻破了，牵扯到大量的用户信息，用户在该支付平台注册的电子邮箱以及登录密码面临极大风险。面对各式各样且不断发展演变中的病毒，企业对信息系统的日常维护和管理就显得尤为

重要。

企业网络部门工作人员要定期给办公司电脑操作系统存在的安全漏洞打补丁，还要给每个客户端都设置可靠的防毒软件、防火墙、漏洞扫描系统、日志系统，加强入侵检测和补丁管理，对企业遭受到的病毒攻击进行集中分析，掌握企业计算机系统中存在的安全隐患，采取有效的措施和方法防范由于病毒感染导致企业重要信息出现泄漏或者破坏。同时网络技术人员也要对公司所有电脑进行防病毒软件升级工作，确保网络内所有服务器和终端计算机都安装防病毒软件，将杀病毒软件设置成为自动升级状态，及时更新病毒特征码和系统补丁，防止由于个人疏忽造成没有及时升级带来病毒库的安全威胁，保证企业信息系统的正常运行。

另外对于企业而言，无论是服务器还是终端计算机都要加强防火墙设置，对外部入侵行为或者其他不安全的行为进行拦截，实际运行时，可以根据企业信息系统的需要，将一些服务器中不使用的端口关闭，尽量避免进行一些具有安全隐患的服务，防止利用这些端口或者服务进行外部攻击的行为发生。当然，网络技术人员要对不同端口的作用十分清楚，避免将企业信息系统正常运行的关闭，造成企业信息系统不能正常运行。

2.2 保证企业信息系统的平稳运行

保护企业信息系统的平稳运行，维护主要业务系统的安全，是现代企业网络信息安全的基本要求。企业信息系统的平稳运行包括多个方面，有操作登记的分配、用户账户与口令的保护、个人访问权限、用户身份验证等多个方面。我们需要做好以下工作。

1）做好重要资料备份工作。当服务器或者硬盘发生故障时，重要的企业数据会受到严重威胁，但往往公司简单的数据安全、信息安全体系对企业数据恢复、服务器数据恢复束手无策。为了保证信息系统的正常运行和业务的正常开展，专业的企业数据恢复、服务器数据恢复格外重要。大多数企业采用备份手段来解决日常的数据安全问题，企业在购买安装和配置服务器时，通常采用常见的两台服务器“一用一备”。企业网络技术人员将重要信息备份在一些光盘、U盘或者移动硬盘上，然后将其放置在不同的地方，避免同时受损害或者丢失，最大限度的保障企业信息安全和数据的完整性。

2）加强对关键业务系统的管理。关键业务系统应该具有最高的网络安全措施，其安全需求主要包括：访问控制，确保业务系统不被非法访问，保证数据不被网络内部破坏，安全预警，对于破坏关键业务系统的恶意行为能够及时发现、记录和跟踪等。2011年，韩国现代资本、韩国农协银行都遭受电脑黑客袭击，电脑网络瘫痪了三天，数以万计的客户受影响。这次攻击事件就是以IT运维部门的用户机位跳板实施的，背后原因是因为这些银行对最高级别权限管理不足，也没有基本的隔离安全机制，笔记本都可以直接连入外网，黑客通过窃取内部合法用户的权限进行非法活动。可见，企业应该加强对用户权限的管理；另外，在必要时进行网络隔离甚至物理隔离是必然的要求。同时，也要加强平时对于合法用户的行为审计，防范合法权限被滥用或被利用等情况的发生。

3）加强企业网络安全平台建设。目前很多公司推出的安全平台，就是依靠安全芯片为载体，通过软硬件的结合，可以为用户提供更加私密的加密存储空间，这样就可以将客户信息、账户信息等高度机密的信息安全存放起来。根据不同的场景需求，还可以通过安全平台搭建内部机密信息共享平台或工作组，比如某公司在进行专项会议时或者涉及商业机密文件共享时，可以建立起相对封闭的局域工作网络，让各部门的总监或管理层在同一局域网内共享机密信息，其他员工则没有查看服务器或者重要信息的权限。同时，还能够避免通过邮件、病毒、木马等非法手段盗取数据，造成不必要的损失。

2.3 健全有效的信息安全管理制度

没有安全管理，就没有信息安全。真正的网络安全实际上靠的不是这个或那个安全产品，而是自身固有的安全意识。寻求解决安全问题的根本方法在于不仅要具备安全可信的办公电脑，也要建立更加完善的数据安全管理制度。真正实现企业的信息安全管理仅仅依靠技术手段是不够的，必须对规章制度上加强企业人员的信息安全防范意识。

1）做好员工的培训的管理。信息只是一种编码形式，人才是信息的操作者，每个环节中安全隐患的最终来源都是人。为了能够加强企业工作人员的信息安全防范意识，企业要加强对公司员工的系统培训，从计算机基本知识到信息安全防范的具体方法都要进行细致讲解，针对一些员工在日常使用计算机过程中不规范行为进行及时矫正，针对一些年纪较大的、对计算机不是十分熟悉的老员工，企业网络技术人员要现场演示操作，让员工养成良好的使用习惯。同时要甄选出有丰富计算机操作经验的人员负责每个部分电脑的日常清洁、维护和管理，负责对部门电脑病毒库的升级、电脑的内部清理等工作，确保企业信息安全。

2）加强系统运行环境和维护管理，要加强对机房电源、空调系统、消防系统、监控系统、门禁装置等基础设施的维护和管理，确保其可靠、正常的运行。严禁非系统管理人员随意进入机房，严禁在机房内抽烟。严格落实机房巡视、系统巡检、运行测试、操作审批、机房出入登记、信息安全故障上报等工作制度。严禁在机房的服务器上浏览网页、随意下载软件、打游戏等。

3 结束语

总之，对于现代企业而言，信息技术的发展给企业信息安全带来巨大隐患，企业的信息安全也越来越受到信息安全部门和企业管理者的重视。信息安全工作是一个全方位的系统工程，每个企业面临的信息安全环境不同，企业应该结合自己实际情况，从思想上、技术上、管理上多管齐下，采取有针对性的信息安全策略，才能最大限度的降低信息安全威胁、保证企业信息安全，为企业健康长远发展保驾护航。

参考文献

[1]陈泽徐.浅析企业网络安全策略[J].电脑知识与技术，2009（09）.

[2]沈传案，王吉伟.企业网络安全解决方案[J].计算机与信息技术，2008（06）.

[3]冼沛勇.企业网络安全解决方案[J].石油工业计算机应用，2004（02）.

[4]牛金才.企业网络安全解决方案浅析[J].煤，2003（02）.

[5]石亦歌.企业网络安全解决方案[J].安防科技，2003（03）.

[6]王锋.关于企业网络安全问题的探讨[J].电脑知识与技术，2009（36）.

篇5

【关键词】供电企业；信息系统安全；强化措施

面对当代信息技术的发展与社会电力工作的要求，信息技术已经逐渐覆盖到电力系统的每个方面，同时也带来了许多的安全隐患，时时威胁着供电企业的信息安全。电力是一个国家的基础产业，关乎每一个领域，对全国经济建设发展起着决定性的作用。因此，供电企业的信息技术安全就显的尤为重要。本文针对近些年来信息技术在供电企业应用时所出现的安全问题进行细致的探究，并且提出了相应的防范措施。

1 供电企业信息化现状

近些年来，以网络、数据库为代表的信息系统技术已经渗透进电力生产的每个环节，供电企业信息化现状大致可以总结成以下五个方面：

（1）电力信息系统基础设施已基本完成。电力信息系统以高速电力通讯网为基础，覆盖了各个供电企业和国家电网。电力信息系统通过发、输、配三个环节，以光纤，卫星等多种手段代替原有的通信网，覆盖整个网络。供电企业还在基础设施上不断创新和完善，用通讯网将各个公司、区域的信息系统相互联系起来，形成共享网络，有利于各个企业单位之间的联系与资源共享。

（2）处于自主研发阶段。原有的供电企业信息系统是单纯引进国际技术，随着我国科学技术的发展，我国电力信息技术已经逐渐达到国际现有的水平。我国自主研发的系统――能量管理，已经在我国供电企业信息系统中得到了广泛应用。并且不断推陈出新，为以后的电力信息系统提供基础。

（3）供电企业信息安全工作进展快速。我国建成了信息系统安全和供电企业电力系统网络管理体系，保证了电力信息安全；建立了相应的法律法规，为供电企业信息化发展提供了法律保障；国家大力支持电力信息系统，加快了电力信息系统基础设施的建设；我国电力信息技术人才的培养，为供电企业信息系统的进步提供了条件。

（4）电力信息系统出现重大转变，为供电企业信息系统安全风险与防范提供最要的技术来源和保障。电力信息系统从出现以来，实现了从自动化向信息化，从信息资源整合向信息资源利用，从协助管理向大力发展生产力三个方面的转变。

（5）供电企业与电网企业共同发展。电网企业先实施了国家的信息化工程，初见成效，这为供电企业实施企业信息系统提供了方向指导。之后，供电企业与电网企业共同发展，在保证供电系统顺利的运作下，提高效率，降低成本，从而达到经济利益最大化，为整个行业的发展，奠定了坚实的基础。

2 供电企业信息系统安全的影响因素

随着网络、通信技术的发展，供电企业中信息技术处理的应用系统越来越复杂，面临的挑战也越来越多，类似供电控制系统和网络信息的安全性、保险性、实时型都面临着巨大的考验。以下举出了供电企业信息系统安全的几个重要的影响因素。

（1）自然及不可抗力因素。自然及不可抗力因素指的是自然灾害或者突发事件不可预期的因素。类似火灾、地震、雷电等，都会对供电信息系统造成破坏，导致供电系统工作的终止和信息系统数据的丢失。

（2）物理方面的风险。物理方面的风险指的是在信息系统技术应用的过程中所使用的设备的风险。供电企业在信息系统运行的过程中，需要用到交换机，路由器，工作站等设备，而这些设备在人为因素或者自然因素的条件下，很容易损坏或者报废，断电或者使原有的信息丢失，从而导致整个信息系统的瘫痪，会对供电企业造成不可预计的影响和损失。

（3）数据库安全。供电企业的信息系统需要用到各种设备和应用软件系统，而这些设备和软件系统在信息系统不完善的条件下，肯定会存在一定的漏洞，这将会导致供电企业内部信息资料安全受到威胁。企业如果放松警惕，不法分子就会通过漏洞传播病毒并且盗取企业的重要文件资料，这将导致供电企业无法正常供电，并且威胁着整个企业的内部安全。

（4）管理系统安全。现在处于信息系统在供电企业发展过程中的初级阶段，还没有形成一整套针对供电企业信息系统安全的管理措施。这样在信息系统的运作过程中，将会出现很多不完善的地方，时刻威胁着供电企业生产的安全性，影响整个企业的正常供电。

（5）电磁干扰的影响。信息系统在各个领域中的应用并未完善，而信息在传输的过程中很容易被电磁干扰，导致信息的丢失。

3 信息系统安全的防范措施

强化员工的整体素质与基础知识的水平。供电企业的信息系统安全防范，不仅仅是相关部门的事情，而是整个供电企业内部人员的事情。供电企业内的每一个突发事件，都位于生产的细微环节，这就要求企业的员工需要有较高的知识水平与应变能力，面对安全隐患及时做出相应的防范措施，应对自如。所以应该提高全体员工的信息安全知识的学习以及必要的防范意识。在有条件的情况下可以开设信息安全相关的培训，以逢培必考方式，提高培训效果并落实一定的考核制度，有利于全体员工对信息安全知识的学习，也确保了供电企业安全稳定的发展。

转变传统的管理制度，由传统的硬性管理转变成为适应当今企业发展的分区分域管理。分区管理就是对不同级别的信息进行分区，建立网络隔离系统；分域就是在分区管理的基础上，针对生产域、营销域、人资域、办公域、财务域等，各专业信息系统的要求进行更加细致的划分。这样有利于摆脱传统管理模式中的漏洞，增加管理的灵活性、全面性。将知识管理与安全管理相结合，为供电企业信息系统的正常运行提供基础保障。

将电力通信及自动化的网络与供电企业的内部综合数据网络进行物理隔离，这有益于防止信息系统安全过程中产生的漏洞导致的病毒入侵现象，保护内部资料的安全性。在建立最基本的管理制度的同时，从工作出发，对发现的问题及时汇报处理并且统计，建立特有的数据库，为以后工作信息系统的防范提供基础。

预防计算机病毒，防止病毒破坏。这是供电企业信息系统安全措施中最重要的一个环节。供电企业中，办公最重要的一个内容就是企业邮件的收发，这也是感染病毒最多的环节。必须加大对系统的升级和修复，建立和完善防病毒系统，实时对计算机进行监控，对用户访问进行严格防控。

电力信息系统还处于发展阶段，必须加强对信息技术安全的监控，并且及时汇报，完善信息系统的应急预案。这要求企业必须真实的对待每一个信息事件，及时通报，不得隐瞒。不断改善原有的应急措施，并且监督每一次应急措施的实施，提高整个供电企业面对信息系统的应对能力。

提高供电企业信息系统的保密措施。在对信息系统网络安全加强的同时，也要完善人为因素导致的信息泄露。严禁外部人员对计算机网络的访问，严格控制外来U盘等移动介质的使用，对信息系统的安全进行严格监管，定期开展对保密工作的检查，不放过任何一个中间环节。

4 总结

供电企业的信息系统安全涉及到企业的方方面面，包括自然因素，人为因素，物理因素等等。所以为供电企业信息系统制定防范措施就要从这些因素出发，全面分析，多重角度看待，才能制定有效的防范措施，保护整个供电企业的安全。

参考文献：

[1]Christopher.信息安全管理[J].北京：清华大学出版社，2005.