国内信息安全事件精选(十四篇)

序言：作为思想的载体和知识的探索者，写作是一种独特的艺术，我们为您准备了不同风格的14篇国内信息安全事件，期待它们能激发您的灵感。

篇1

（1）适应电力企业发展的需要，遵循现行电力企业管理体制；

（2）管控平台涉及技术和管理，须对技术手段和管理手段的实现方式进行决择；

（3）须考虑不同级别单位以及不同使用对象需求的侧重点；

（4）管控平台自身须具有一定安全性；

（5）基于管控平台的工具特性，须配套推出数据初始化等服务及制度来实现平台的正常运转。

2管控平台角色需求分析

管控平台设置的用户角色必须与电力企业现有信息安全相关组织架构相匹配。一般来讲，电力行业自身信息安全相关组织架构包括上级信息安全主管单位、本地信息安全主管单位以及本地信息安全实施单位此外，电力行业在实际信息安全工作中，需要外部信息安全产品厂商、安全服务厂商、安全咨询机构、相关公共信息安全机构以及科研机构支持。管控平台将外部信息安全产品厂商、安全服务厂商、安全咨询机构统一定义为外部信息安全支持单位，将相关公共信息安全机构以及科研机构定义为应急联动及专家机构。管控平台各角色职能需求分析如下：

（1）上级信息安全主管单位上级信息安全主管单位负责企业整体信息安全保障，掌握整体信息安全态势，评估网络和信息系统安全机制的有效性情况。在信息安全突发事件发生时，负责事件决策、监控、协调。

（2）本地信息安全主管单位本地信息安全主管单位负责本单位信息安全保障，掌握所辖网络及其业务信息系统的安全态势，协调安全事件的处理。

（3）本地信息安全实施单位本地信息安全实施单位负责本单位信息安全保障具体实施工作。在管控平台中本地信息安全实施单位设置的角色包括负责人、安全主管、安全运维人员等，如表1所示。负责风险评估、实时监控、应急演练、安全预警以及信息安全突发事件处置各项工作的具体实施。

（4）外部信息安全支持单位外部信息安全支持单位承担信息安全支撑服务职能，其职责包括外部信息安全事件预警监控，风险评估、应急演练及应急处置的外协支持等。

（5）应急联动及专家机构应急联动及专家机构由各相关公共信息安全机构、科研机构信息安全相关领域专家组成，为电力企业信息安全保障提供技术支持和资源保障。应急联动专家机构人员在管控平台中通过设置呼叫树和专家角色，参与应急等各项事务的处置。

3系统功能设计

通过管控平台的定位以及上述角色需求分析，可明确管控平台的功能模块设置及关系如图1所示，下面依次对关键模块内容进行阐述。

3.1基础安全数据管理

基础安全数据管理模块对企业信息系统相关的网络设备、服务器、通用软件等基本信息和策略配置信息，漏洞库、事件特征库、补丁库、安全配置知识库和应急响应知识库，以及风险评估、应急演练等工作中产生的过程数据进行汇总存储并详细分类，支持多种查询和修改。

3.2预案管理

预案管理模块实现对各级单位信息安全应急预案的编制、审批、、更新，以及预案的执行（及演练）和事件处置等功能。其中应急预案编制、审批在管控平台上进行统一规范，各单位人员在管控平台上只需要参考应急预案模板并调用本单位的实际数据内容即可完成编制任务。预案管理模块功能设计如图2所示。在预案管理模块中，应急预案执行是一种复杂的业务流程，通常基于工作流引擎来实现。这种实现方式可确保相应的演练和事件处置活动能够全程可监控、可记录。图3是基于工作流引擎实现应急预案某一操作规程的实例。

3.3风险评估

风险评估模块为各单位信息安全风险评估工作提供全过程支撑，并能够根据评估过程和结果数据（例如将资产调研结果，威胁、漏洞分析等评估结果）通过内定的矩阵型风险计算方式自动计算得出各单位总体风险和高危风险状况，为各单位编制应急预案的方向提供依据。风险评估模块功能设计如图4所示。

3.4业务影响分析

业务影响分析模块同样是为编制应急预案提供依据，与风险评估模块类似。但考虑到信息系统业务的差异性，管控平台不对业务影响分析进行全过程管理和支撑。图险评估模块功能设计示意图

3.5公告管理

公告管理模块向管控平台各级角色提供通知信息、浏览、查阅、管理功能。公告从编制、审批、到反馈的整个流程均通过管控平台来实现。公告的类别包括：

（1）企业发文：企业带正式文号的信息安全类文档的、管理、显示；

（2）通知通报：企业不带正式文号但须告知各级单位的信息安全相关文档的、管理、显示；

（3）企业动态：企业各级单位参与的信息安全相关活动、新闻的、管理、显示；

（4）业界安全动态：国内外安全事件，尤其是电力行业安全相关动态的、管理、显示。

3.6预警管理

预警管理模块包含漏洞预警和威胁预警两类功能，级别分为高、中、低三级。预警信息来源分为两类，一类是国内外安全评测机构、厂商的安全预警及漏洞，另一类是源自风险评估模块和业务影响分析模块的计算结果。与公告类似，预警管理的整个流程通过管控平台来实现。各单位接收到管控平台自动发送的提示短信，登录平台，即可处理预警信息。

3.7安全事件管理

安全事件管理模块对信息安全事件的分级分类以及事件响应处理进行管理。信息安全事件的分级分类基于国家有关标准与行业实际情况。安全事件响应方式分为自动响应和事件工单管理两类。自动响应包括屏幕、邮件、声音、工单、对话框、设备控制、短信、脚本操作、SNMPTrap等响应方式，并通过其设置实现自定义用户响应策略。事件工单管理则通过与第三方统/平台的接口与例如IT服务管理平台进行联动来实现。

3.8信息安全状况监视（应急值班室）

信息安全状况监视模块可向各级人员提供不同的管理界面，分为宏观态势监视与应急监视两类。宏观态势监视能够根据风险评估结果、安全预警信息以及当前安全状况（是否有安全事件发生以及处理情况），对企业整体安全态势进行研判，为安全决策提供支持。应急监视能够通过安全模型分析及人工比对分析，将安全事件、威胁、漏洞等数据与管控平台中业务数据进行关联，得出研判信息，并结合国家有关标准，为应急人员提供应急相应实施依据。信息安全状况监视模块功能设计如图5所示。

4结语

篇2

 

1 信息安全风险评估基本理论

 

1.1 信息安全风险

 

信息安全风险具有客观性、多样性、损失性、可变性、不确定性和可测性等多个特点。客观性是因为信息安全风险在信息系统中普遍存在;多样性是指信息系统安全涉及多个方面;损失性是指任何一种信息安全风险，都会对信息系统造成或大或小的损失;可变性是指信息安全风险在系统生命周期的各个阶段动态变化;不确定性是一个安全事件可以有多种风险;可测试性是预测和计算信息安全风险的方法。

 

1.2 信息安全风险评估

 

信息安全风险评估，采用科学的方法和技术和脆弱性分析信息系统面临的威胁，利用系统，评估安全事件可能会造成的影响，提出了防御威胁和保护策略，从而防止和解决信息安全风险，或控制在可接受范围内的风险，最大限度地保护系统的信息安全。通过评价过程对信息系统的脆弱性进行评价，面临威胁和漏洞威胁利用的负面影响，并根据信息安全事件的可能性和严重程度，确定信息系统的安全风险。

 

2 信息安全风险评估原理

 

2.1 风险评估要素及其关系

 

一般说来，信息安全风险评估要素有五个，除以上介绍的安全风险外，还有资产、威胁、脆弱性、安全措施等。信息安全风评估工作都是围绕这些基本评估要素展开的。

 

2.1.1 资产

 

资产是在系统中有价值的信息或资源，是安全措施的对象。资产价值是资产的财产，也是资产识别的主要内容。它是资产的重要程度或敏感性。

 

2.1.2 威胁

 

威胁是导致不期望事件发生的潜在起因，这些不期望事件可能危害系统。

 

2.1.3 脆弱性

 

脆弱性是资产存在的弱点，利用这些弱点威胁资产的使用。

 

2.1.4 安全措施

 

安全措施是系统实施的各种保护机制，这种机制能有效地保护资产、减少脆弱性、抵御威胁、减少安全事件的发生或降低影响。风险评估围绕上述基本要素。各要素之间存在着这样的关系：

 

(1)资产是风险评估的对象，资产价值是由资产价值计量的，资产价值越高，证券需求越高，风险越小。

 

(2)漏洞可能会暴露资产的价值，使其被破坏，资产的脆弱性越大，风险越大;

 

(3)威胁引发风险事件的发生，威胁越多风险越大;

 

(4)威胁利用脆弱性来危害资产;

 

(5)安全措施可以防御威胁，减小安全风险，从而保护资产。

 

2.2 风险分析模型及算法

 

在信息安全风险评估标准中，风险分析涉及资产的三个基本要素，威胁和脆弱性。每个元素都有它自己的属性，并由它的属性决定。资产的属性是资产的价值，而财产的威胁可以是主体、客体、频率、动机等。财产的脆弱性是资产脆弱性的严重性。在风险分析模型中，资产的价值、威胁的可能性、脆弱性的严重程度、安全事件的可能性和安全事件造成的损失，两者是整合的，它是风险的价值。

 

风险分析的主要内容为：

 

(1)识别资产并分配资产;

 

(2)确定威胁，并分配潜在的威胁;

 

(3)确定漏洞，并分配资产的脆弱性的严重程度;

 

(4)判断安全事件的可能性。根据漏洞的威胁和使用的漏洞来计算安全事件的可能性。

 

安全事件发生可能性=L(威胁可能性，脆弱性)=L(T，V)

 

(5)计算安全事件损失。根据脆弱性严重程度和资产价值计算安全事件的损失。

 

安全事件造成的损失=F(资产价值，脆弱性严重程度)=F(Ia，Va);

 

(6)确定风险值。根据安全事件发生可能性和安全事件造成的损失，计算安全事件发生对组织的影响。

 

风险值=R(A，T，V)=R(F(Ia，Va)，L(T，V))

 

其中，A是资产;T是威胁可能性;V是脆弱性;Ia是资产价值;Va是脆弱性的严重程度;L是威胁利用脆弱性发生安全事件的可能性;F是安全事件造成的损失，R是风险计算函数。

 

3 信息风险分析方法探析

 

作为保障信息安全的重要措施，信息安全系统是信息安全的重要组成部分，而信息安全风险评估的算法分析方法，风险评估作为风险分析的重要手段，早已被提出并做了大量的研究工作和一些算法已成为正式信息安全标准的一部分。从定性定量的角度可以将风险分析方法分为三类，也就是定性方法、定量方法和定性定量相结合。

 

3.1 定性的风险分析方法

 

定性的方法是凭借分析师的经验和知识的国际和国内的标准或做法，风险管理因素的大小或程度的定性分类，以确定风险概率和风险的后果。定性的方法的优点是，信息系统是不容易得到的具体数据的相对值计算，没有太多的计算负担。它有一定的缺陷，是很主观的，要求分析有一定的经验和能力。比较著名的定性分析方法有历史比较法、因素分析方法、逻辑分析法、Delphi法等，这些方法的成败与执行者的经验有很大的关系。

 

3.2 定量的风险分析方法

 

定量方法是用数字来描述风险，通过数学和统计的援助，对一些指标进行处理和处理，来量化安全风险的结果。定量方法的优点是评价结果直观，使用数据表示，使分析结果更加客观、科学、严谨、更有说服力。缺点是，计算过程复杂，数据详细，可靠的数据难以获得。正式且严格的评估方法的数据一般是估计而来的，风险分析达到完全的量化也不太可能。与著名的定时模型定量分析方法、聚类分析法、因子分析法、回归模型、决策树等方法相比较，这些方法都是具有数学或统计工具的风险模型。

 

3.3 定性定量相结合的风险分析方法

 

是因为有优点和缺点的定量和定量的方法，只使用定性的方法，太主观，但只有使用定量方法，数据是难以获得的，所以目前常用的是定性和定量的风险分析方法相结合。这样，既能克服定性方法主观性太强的缺点，又能解决数据不好获取的困难。典型的定性定量相结合的风险评估工具有@Risk、CORA等。

篇3

关键词 信息安全 保密管理 产业发展 价值 管理对策

一、我国信息通信安全产业的快速发展

2010年全球信息安全市场规模达257亿美元，增长17%，并预估2017年可达到407亿美元。根据2014年信息服务产业年鉴，2014年我国整体信息安全市场规模达106亿元，较2013年增长13.24%，而2013年较2012年增长8.6%，世界规模为15.6%。我国在这一方面仍有增长空间，从信息安全服务及产品的增长速度来看，信息安全产品在2010年后，每年维持17%以上的稳定增长，内容安全及顾问服务于2014年增长率分别为14.86%及20.67%，仍维持高增长。增长的主要原因包括企业政策规范、企业缺乏信息安全人员与专业知识等带动顾问服务需求增长，又由于我国中小企业众多，中小企业资金、人才较为不足，在黑客行为多元以及混合式攻击手法层出不穷等，再加上零时差攻击时有出现以及对应产品多元化发展的趋势下，要达到快速又有效的信息安全防护，凭借单一企业的产品及信息人员往往有一定的困难，信息安全工作委外顾问服务能够比企业自行管理更能兼顾企业成本及安全，因而来自于顾问服务、委托服务等的增长力道将持续维持。

在外销方面，2014年信息服务年鉴可知，2014年外销规模约为250亿元，增长率为20.16%，较2013年大幅增长。这种增长的主要原因是我国内容安全相关信息安全产品市占率逐渐提升，且整合式威胁管理设备（UTM）逐获重视的缘故。相较世界对于信息安全需求的旺盛力量，我国目前外销增长高于世界平均，若能将该外销动能持续开发，不仅能提升我国信息安全整体防护能力，未来也将成为我国信息服务业中的明星产业。

二、维护信息通信安全的重要意义

在全球化信息社会中，信息科技与网络提供便利的现代生活，也急剧地取代人工操作成为企业经营与政府机关行政服务的工具，也是现代化国家与社会运作不可或缺的一环。有鉴于此，各国政府也将信息通信基础建设列为国家建设的根本，以及增进民生发展的基础。从国家层面来看，如果信息通信网络系统有所损害，轻者会导致个人生活食衣住行造成不便，重者则会使整个国家安全、政府运作、产业发展、国力强弱和民生发展等都会有重大影响。因此，信息通信安全重要性，已达到不容轻忽的地步。如何维护信息通信系统与网络传输过程的安全，都是企业及政府当前运营的重要课题之一。

为能提供安全及信赖的电子化组织运营服务，组织信息通信安全工作必须以全方位观念进行可持续推动，一般性的信息通信安全3E策略如下： 1）技术工程：利用防火墙系统、数字签章、加密技术等建构第一道防线。2）执行管理：落实信息安全管理政策、信息安全事件紧急处理机制、内外部计算机稽核制度、信息安全标准及规范、产品及系统质量检验机制等。3）教育倡导：强化安全警觉训练、信息安全倡导、人才培训、网络使用伦理等。

尽管当前多数组织的信息安全防护策略及应变机制已逐步建立，但是随着信息科技的普及应用，以及电子化组织与电子商务的使用日益深化，面对网络安全的威胁与风险，仍有必要对目前信息通信安全相关工作进行检讨评估，以强化企业或政府信息通信安全整体防护策略，而最为重要的就是保密管理措施的进一步创新。

三、强化信息安全层面保密管理的措施

（一）事前安全防护

（1）信息安全监控与防护。1）建立多重防护纵深的信息安全监控机制，构建信息通信安全防护管理平台，提供组织网络监控服务，以即早发现信息安全事件，降低信息安全风险。2）规划组织整体信息安全防护架构，构建组织信息安全防护措施。

（2）信息安全情搜与分析。1）搜集来自组织服务网、学术网络及因特网服务业者等网络攻击信息，分析新型黑客攻击手法与工具，掌握我国信息安全威胁趋势。2）研究尸网络议题，提升Botnet侦测分析能力：教育倡导具体策略化方式追踪大量Botnet资讯，掌握我国Botnet散布情况，降低我国Botnet数量。

（3）信息安全侦测及渗透测试。1）建立组织信息安全侦测及扫描能力，并进行内部侦测扫描，完成已知弱点的修复。2）对组织重要信息系统提供网站渗透测试服务及修补建议。

（4）信息安全认知与质量提升。1）建立组织信息安全检测与评鉴机制。参考国际信息通信安全相关标准，制定组织信息安全规范整体发展蓝图架构，发展组织信息安全相关规范及参考指引，并建立组织信息安全检测与评鉴机制。2）推动重点部门通过信息安全管理系统验证。为强化组织信息安全防护能力，提供安全及便捷的网络服务，强化内外部人员使用组织网络服务的信心，保护使用者隐私权益，推动信息安全等级A级与B级机关通过信息安全管理系统（ISMS）验证。3）提升员工信息安全知识与能力。为提升员工信息安全知识与能力，应办理信息安全技术讲习、信息安全资格培训、信息通信安全防护巡回研讨会等培训课程，并发展信息安全数字学习课程。为发掘校园优秀人才，办理“信息安全技能金盾奖”、“信息安全动画金像奖”等竞赛活动，并办理信息安全周系列活动，以提升全体员工信息安全认知。同时进行员工信息安全职能规划，依据其职务与角色，规划执行业务应具备的信息安全知识与技能，并建立员工信息安全能力评量制度。

（二）事中预警应变

（1）信息安全事件实时发现。通过信息通信安全监控平台进行信息安全事件监控作业，包括信息安全事件管理系统、整合性恶意程序监看、使用者端警示系统、蜜网与内部网络警示系统等。

（2）信息安全通报与应变。1）建立信息通信安全通报应变作业程序，协助组织处理及应变信息安全事件。2）构建信息安全信息分享与分析中心。整合信息安全相关情资，进行信息安全信息分享。

三是信息安全健诊服务。推动信息安全健诊评量架构与追踪管理机制，提供组织信息安全健诊服务，强化组织信息安全防护能量，掌握信息安全防护情形。

（三）事后复原鉴识

（1）事后系统回复。1）结合产学研资源与技术能力，建立组织信息通信安全区域联防运作机制，提供不同部门信息安全事件处理与咨询服务，并提升其信息通信安全防护能力。2）规划组织重要信息系统异地备援机制，以提升信息安全事件“事后”存活能力。

（2）信息安全事件鉴识。1）研究信息通信安全鉴识相关技术。2）协助并培训组织保密管理相关人员执行信息安全事件鉴识作业。

四、结语

信息通信安全工作是个长期的、无止境的攻防与挑战，然而信息通信安全工作范围广泛又专业，有待推动地方仍多，组织应持续强化信息通信安全防护工作，加强与产学研各界合作与交流，建立安全及可信赖的网络环境，促进信息科技的普及应用，提供内外部利益相关者安全及便捷的服务。

（作者单位为西安飞豹空港设备有限责任公司）

参考文献

篇4

1 企业信息安全管理的失误因素分析

1.1 信息安全组织临时化

通常，企业只有在发生了信息泄露、病毒攻击、系统破坏等信息安全事件时，才会临时从信息技术部和业务部门抽调人手处理和解决信息安全事件。出现新的信息安全要求时，才会临时组建项目小组，根据新的信息安全要求制定解决方案并实施计划，项目完成后，临时小组就会解散，没有人会继续跟进和执行解决方案。由于没有定期的信息安全评估，安全计划不断地重复开始和结束，带来大量的人财物重复投入，这将导致安全计划成本不断增加，企业的工作效率不断降低，信息安全防护也未得到有效提升。

1.2 员工上网无限制

虽然企业为员工上网提供了用户名及密码，并且对其登录的网站进行了监测，但是员工在工作时间还是可以无设防地利用外网进行网页游览、网络社交等行为，并且使用一些网站的免费邮箱随意地接收和发送电子邮件，这些给黑客、病毒、钓鱼软件等创造了对企业内部网络攻击的机会。于是，员工在不了解原因的情况下，使得企业的信息被泄露或者内部网络瘫痪，从而影响企业的正常工作，造成企业资产的损失。

1.3 个人移动设备（BYOD）使用泛滥

在企业的办公场合，员工会携带个人移动设备（BYOD）如笔记本电脑、平板电脑、智能手机、移动硬盘等进行办公。企业员工可以较为随意地使用这些移动存储设备对内部文件进行拷贝，并且可以使用移动设备接入企业内网的无线Wi-Fi，并拥有一定程度的内网数据读取权限，这样做虽然节约了企业的办公成本，提高了办公的效率，但是也增加了企业内网病毒感染及遭受黑客恶意入侵的风险。

1.4 信息安全防护水平有限

出于性能、技术等因素的考虑，加之国内自主研发的信息安全产品较少，目前进口的信息安全产品受到许多企业的广泛采用。尽管这些企业的信息安全需求以此得到了满足，但近几年来，进口产品设备故障的频繁发生也对企业的业务带来了不同程度的影响。同时，进口信息安全产品已经占据了这些企业信息系统的关键节点，这使得企业的商业机密时刻处于高危状态。不仅如此，部分企业仍旧停留在使用免费的个人版杀毒软件阶段，而这些软件不仅无法解决病毒交叉感染的问题，也没有统一的管理平台对企业内网的安全系统进行统一的升级与维护。

1.5 信息安全事件处理不及时

企业在发生信息安全事件时，即使有相关的信息安全管理产品，但无法迅速定位安全事件，更无法快速进行安全事件响应处理，常处于混乱、无序的运维管理状态。由于企业的安全管理人员无法全面了解整个企业网络中正在发生的内部越权访问和外部攻击，出现问题时，他们多表现得无从下手或者手忙脚乱。而且，企业各部门各自为政，对发生信息安全事件无法进行统一规范的快速处理。

2 改进企业信息安全管理的对策

2.1 建立健全的信息安全组织层级结构

企业信息安全组织架构的建立是围绕企业信息安全管理的战略目标，对企业的信息资源、人力资源、安全技术产品等进行合理安排和配置，构成相互协作的有机整体，使企业的信息安全活动协调有效地运行。企业通过建立多层次、跨部门的信息安全决策委员会、信息安全工作部、信息安全执行部层级结构，不仅能在企业中形成一张网，覆盖企业的各个部门，有利于信息安全措施的实施和针对信息安全事件的快速响应，而且还能为后续建立信息安全管理体系提供组织上的保证。信息安全决策委员会主要负责制定信息安全制度和策略、明确各部门信息安全职责、协调各部门实施信息安全控制措施以及信息安全活动的实施等。

2.2 加强人员教育培训和规范管理

信息安全最大的威胁不是来自于企业外部的攻击或是企业信息安全技术的缺陷，而是企业人员缺乏信息安全意识。为了能够有效地提高企业员工的信息安全意识，企业需要对员工进行完善的信息安全教育培训，这不仅能提高员工的信息安全保护技能，还能更好地保护企业的信息安全。企业在制定信息安全教育培训内容时，可以根据员工在企业中所处的职位高低和工作性质的不同有针对性地制定。对于企业管理者而言，教育培训以信息安全核心知识、风险管理、信息安全政策等为主；企业的信息技术人员，则是以信息安全技术教育培训为主；一般员工结合所在部门的业务特点以信息安全意识培训为主。除了对企业的人员进行教育培训，还需对其进行规范化管理。对掌握产品生产、原材料采购等核心信息的管理者实施更加严格的信息安全监督管理制度；对负责计算机系统及日常维护的人员界定其工作权限；规范化管理员工的上网行为，合理利用网络资源，避免人为的网络安全隐患。

2.3 完善信息安全技术体系

一是保障并完善数据安全，企业需通过加密的手段保护企业系统中数据的机密性和完整性，从而提高数据访问的抗抵赖性，同时加强数据的异地灾难恢复机制，实现本地数据的实时远程复制与备份，避免本地系统遭受灾难性破坏导致企业系统中数据的遗失。

二是保障并完善终端安全，企业除了要采用全面可靠的防病毒体系和防火墙技术外，还需制定严格的移动终端设备使用制度，一方面是为了避免内部员工利用移动终端设备随意拷贝企业内部文件，导致企业内部信息向外泄露，另一方面是为了防止移动终端设备携带的病毒漏过企业系统设置的防火墙而直接在系统内部传播。

三是保障和完善应用安全，除了提供用户名和口令外其他身份验证机制，必要时还需支持双因素认证和具备登录控制模块，同时在日常工作不受影响的情况下，控制员工访问权限，减少越权操作的现象，最大限度地保障个人系统的安全。

四是保障和完善网络安全，企业还需通过内外部署相应的网络与信息安全设施使计算机设备的物理管理得到加强，并对入侵检测系统和漏洞扫描系统进行内外部攻击和误操作的实时保护的安全设计，使系统免于网络攻击的同时，也提升了系统管理人员的安全管理水平。

篇5

近日，记者获悉，中国航信为提高信息化管理水平、加强安全监管措施，分阶段进行了安全管理平台的建设工作。在深入理解用户业务、准确定位用户需求的基础上，网御神州科技（北京）有限公司（以下简称“网御神州”）为中国航信制定了一整套完善的安全管理解决方案，通过扩展与优化的手段提升了业务网络的主动防御及持续服务的能力。这一项目的实施，有效地缓解了运营维护人员的工作压力，也从根本上提升了中国航信信息系统的安全管理水平。

安全管理不可缺位

中国航信为中国民航信息集团旗下的重点企业，是中国航空旅游业信息科技解决方案的主导供应商。该公司担负着为国内除春秋航空之外的全部航空公司和300余家外国及地区航空公司提供电子旅游分销（ETD）的任务，具体包括航班控制系统服务（ICS）、计算机分销系统服务（CRS）和机场旅客处理（APP）等。

可以说，由中国航信负责的这些大型关键系统均极为复杂，且有着极高的安全要求。其中，中国航信负责管理的辖下民航出票与旅客离港信息系统，更是网络环境复杂、设备众多。总体来说，该系统按业务划分为三大网络，各网络间采取了较严格的隔离措施。与之对应的，因复杂部署带来的管理难题，也令中国航信的管理人员感到头疼不已。

“中国航信的出票与旅客离港信息系统已有较完善的NOC系统，防火墙、VPN、IDS、病毒防护、脆弱性扫描等安全设备均已部署，但我们最初缺乏对这些安全设备所产生事件的综合分析管理手段。” 中国航信信息安全项目相关负责人介绍说，这些设备每天产生的大量事件使管理员应接不暇。发生较大安全事件后，也缺乏有效的审计手段，不能满足公司对企业信息安全整体控管的要求。在这种情况下，中国航信急需一套信息安全管理方案和配套的管理软件，对所有安全事件进行整体分析。

“中国航信的信息安全管理平台一期建设就是网御神州做的。基于对网御神州良好服务品质的认知，我们选择网御神州在一期平台的基础上，继续进行安全管理二期系统的建设，以保障中国航信业务系统高效、稳定、安全地运行，从而全面提升信息安全保障等级。” 中国航信相关负责人表示。

为了提高中国航信业务系统对安全事件的预警能力和安全管理水平，网御神州在深入理解用户业务、准确定位用户需求的基础上，为中国航信量身制定了一整套完善的产品解决方案。据了解，该系统投入使用后，已成功发现多起网络蠕虫、内部用户违规操作、外部用户窃取机密数据及疑似DDoS攻击等具有不同安全威胁的事件，并及时发出告警，协助安全管理人员定位、解决了问题。此外，该系统还根据中国航信的需要，定期生成各类安全统计报告，供相关人员进行分析。

专业服务

提升安管水平

据介绍，网御神州在中国航信安全管理二期建设工作中的主要任务，是在一期系统的基础上，更新硬件平台，增加收集的事件源，加入对业务系统的安全监控，增强事件的分析和报表统计功能，加速事件的处理流程和运维建设。这些改进使得SOC系统可以实现对业务链的信息安全整体监控，切实担负起综合安全运维管理的功能，提高整网的安全防护和安全响应能力。

此外，网御神州还在项目二期建设工作中为中国航信提供了安全管理和技术咨询服务。根据中国航信信息安全的发展方向和信息安全的保障需求，二期信息安全服务的主要目标是通过提供科学和长期的正向安全运营技术保障，降低异常问题的出现概率；同时针对异常问题的出现给予及时地保障，把中国航信信息安全风险和SOC安全运维平台紧密结合起来。

“二期项目在安全事件覆盖和分析方面较一期有了更广、更深层次的突破，已经基本上保证了中国航信所有安全设备的事件集中收集与分析。对于资产、弱点、入侵检测事件、防火墙事件、服务器事件、防病毒事件、主机事件、网络设备事件等元素，可以做到多者间的关联分析和基于风险模式的分析。这其中提供给用户的既有实时监控信息，也有事后的统计分析。”网御神州相关项目负责人介绍说。

同时，这位负责人还向记者介绍，中国航信安全管理二期建设项目将运维工作的重点放在事件响应处理的流程和解决方法上。基于网御神州和中国航信在SOC系统上长时间的合作和SOC运维的更高要求，通过制定突发事件和常见事件处理的一些规范流程和方法，更及时有效地处理各类安全事件。有了规范的流程和完备的安全防护措施，就可以防微杜渐，将一些安全问题消灭在萌芽当中。

篇6

为了确保奥运期间网络系统安全稳定的运行，必须保证国内外参与2008奥运盛事的广大用户安全畅通的移动信息服务，所以移动运营商需要在已有安全体系的基础上引入专业的安全服务，来增强有关网络承载平台、数据业务系统、业务支撑系统等方面的安全风险控制能力，以保证能够持续不断地发现系统安全风险，选择适当控制措施及时进行纠正。

日常安全服务

日常安全服务主要在非奥运赛时进行，服务的内容主要包括安全预警服务、安全系统评估/抽查、安全加固、安全巡检等服务。重点关注是在检查奥运有关系统的安全性，修补信息安全的短板，降低出现安全问题的可能性，并对可预见的安全问题进行适当的演练。具体步骤如下：

首先要通过从专业安全服务组织获取安全预警信息，为奥运有关系统的运维人员提供最新的安全动态、技术和定制的安全信息。具体包括实时安全漏洞通知、定期安全通告汇总、临时安全解决方案等。同时将这些信息与建设的网络安全预警系统进行结合，实时反映网络运行的安全状况，分析监控过程中不正常的网络参数或者业务流量，并进行同步响应。

其次要通过对奥运有关系统进行安全风险评估，以准确掌握各个系统的安全风险状况，为安全防护体系的建设提供客观依据。为了降低安全评估可能给有关系统带来的影响，建议对涉及的主机系统、网络设备、安全设备采用安全专家手工检查的方式进行，而终端设备的数量众多，重要性相对较低，可采用工具自动扫描的方式进行安全检查。同时，可以考虑对奥运直接提供服务的奥运产品系统进行全面的评估，对奥运有关系统的承载和运行支撑平台进行抽查。

再次，在安全评估/抽查以后可以采用修改安全配置、添加安全策略、更新系统补丁、建立安全防护措施等方式，进行安全风险点的修补和加固，以促使奥运相关系统的安全风险级别降低到安全水平。

由专业安全服务组织协助进行安全巡检工作，一方面对网络中的主机系统、业务系统、数据库系统进行基本的安全检查，发现是否有启动异常服务、非法访问等情况存在；另一方面对安全设备如防火墙、入侵检测、防病毒、动态口令认证等安全系统进行定期安全检查，核查安全策略，以起到防微杜渐的作用。

奥运会期间安全驻点服务

经过在奥运开赛之前的充分准备，奥运有关网络系统的安全建设业已完成，已经形成了较为完善的安全管控体系。在奥运会期间最重要的就是依据既定的策略使业务系统安全、稳定地运行，而不适合再进行安全建设的施工操作，需要尽可能少的进行网络架构、主机系统、安全控制措施等方面的调整。

针对这个阶段的安全防护特点，适合引入专业的安全驻点服务。安全驻点服务在现场提供奥运会期间全网系统的安全职守，主要内容包括：奥运相关系统运行状态安全检查、第三方维护人员安全指导、安全检测系统日志分析(比如入侵检测系统)、安全优化需求分析和方案提供、安全事件处理等，同时协助处理日常安全工作，加快响应时间，保证业务质量。

在安全驻点服务中的重要工作还包括对紧急安全事件的响应，这方面在下面进行介绍。

应急响应服务

应急响应服务是在奥运有关网络出现紧急安全问题的时候，由专业安全服务组织提供有效的预案流程、技术手段等综合措施，对已发生或可能发生的有重大危害的网络与信息安全事件进行响应，以尽量降低可能造成的损失，并使业务尽快恢复正常运转。

经过对奥运有关网络系统分析，可能会出现的安全事件主要有：网络速度缓慢、堵塞，重要业务系统出现资源占用异常升高，业务应用系统出现异常，重要业务系统出现异常进程、非法访问、爆发病毒等，重要系统出现启动或关机异常、系统崩溃，重要业务系统数据被篡改等。

在出现上述安全事件的时候，可以通过应急响应服务对疑似安全事件进行准确判定，对确认的安全事件进行处理和清除，以尽快恢复业务系统的运行，分析和追踪攻击源。

篇7

关键词：信息安全；情景感知；威胁情报；主动防御；安全事件管理

0引言

人们对信息安全的认识随着信息安全形势的发展、信息安全技术的革新而变化，在不同领域的不同时期，解决信息安全问题时的侧重也各有不同。以往人们对于安全防护体系的关注焦点是以防护技术为主的相对静态的安全体系，而技术的进步导致信息安全问题愈发严峻，信息安全防护要求不断提高，其动态性、过程性的发展要求凸显。P2DR（Policy，Protection，DetectionandResponse）安全模型和IATF信息保障技术框架是信息安全体系发展的重要里程碑，奠定了信息安全体系逐步动态化、过程化的基础。P2DR模型源于美国ISS公司提出的自适应网络安全模型（AdaptiveNetworkSecurityModel，ANSM），其在整体安全策略的控制和指导下，综合利用防护工具和检测工具了解、评估系统的安全状态，将系统调整到“最安全”和“风险最低”的状态。在此过程中，防护、检测和响应形成一个完整、动态的安全威胁响应闭环，在安全策略的整体指导下保证信息系统安全[1]。P2DR安全模型如图1所示。图1P2DR安全模型Fig.1P2DRsecuritymodelIATF是美国国家安全局（NSA）组织编写的一个全面描述信息安全保障体系的框架，它提出了信息保障时代信息基础设施的全套安全需求，其创造性在于：首次提出了信息保障依赖于人、操作和技术共同实现组织职能/业务运作的思想，人通过技术支持实施操作过程，最终实现信息保障目标；提出稳健的信息保障状态取决于信息保障的各项策略、过程、技术和机制，在整个组织信息基础设施的所有层面上都能得以实施[2]。IATF安全防护框架如图2所示。网络攻击技术的不断更新使得网络安全问题日益严峻，特别是高级持续威胁（AdvancedPersistentThreat，APT）的出现，对网络安全防护提出了新的挑战。相较于其他攻击形式，APT主要体现在攻击者实施攻击前需精确收集攻击对象的业务流程和目标系统信息。而在信息收集过程中，此攻击会主动挖掘攻击目标信息系统和应用的漏洞，并利用这些漏洞组建起攻击者所需的网络，进一步利用0day漏洞进行攻击，从而达到终极攻击目的。针对APT攻击的防护，Enterasys、Cisco等公司产品都体现了主动防御的理念。在安全防护体系方面，P2DR安全模型侧重技术层面，通过更改安全防护策略防护已发现的安全事件，虽具动态性，但仍局限于被动的事后响应；IATF安全模型侧重人、操作与技术一体，强调人的主动性和流程的主动过程。综上所述，如何在恶意攻击行为发生前主动检测网络中存在的脆弱点，研究并预测攻击者行为，建立起主动型防护体系是信息安全领域中的一个重要课题。本文基于以上2种思路，结合情景感知思想，构建了新一代主动安全防护体系，在事前进行威胁防御[3]。

1基于情景感知的新一代主动防御体系

主动防御是一种前瞻性防御，通过针对性地实施一系列安全防御措施，提前发现安全薄弱点或安全攻击行为，并实施安全防护措施。这种防御理念不同于以往滞后于攻击的防御，能够检测未知攻击，预测未来的安全形势。主动防御具有自学习能力，能自动对网络进行监控，对发现的攻击实时响应，通过分析攻击方法和技术，对网络入侵进行取证，对入侵者进行跟踪甚至进行反击等[4]。情景感知技术源于普适计算的研究，通过传感器获得关于用户所处环境的相关信息，从而进一步了解用户的行为动机等。该技术适用于信息安全主动防御体系，能在特定功能的网络应用中识别主体、客体以及主体对客体的动机。一方面，基于情景感知技术，能及时识别如地点、时间、漏洞状态等当前情景的信息，提升信息安全决策正确性；另一方面，通过构建特定的感知场景进行分析，可降低攻击的误报率，包括分辨传统安全防护机制无法防护的攻击以及确定有意义的偏离正常行为[5]。本文提出的主动防御模型是在P2DR安全模型的基础上进行延伸，包括情景感知（Aware）、动态防护（Protect）、深度监测（Detect）与研判处置（Response），即APDR模型。基于情景感知的主动防御模型如图3所示。

1.1事前情景感知

在攻击发生前，主动搜集外部威胁情景和内部情景信息，转换特定的安全策略应用到防护和监测过程中，对内外部威胁提前预警并制定防护策略，另外通过搜集威胁情报与现有资产属性匹配，实时进行风险预警[6-7]。1）外部情景信息。针对外部攻击，主要通过获取威胁情报，依靠专业的安全分析团队，综合分析之后形成情报的处置决策，并通过网络安全设备或终端上的安全软件来执行决策，实现针对高级攻击的防范，整个过程可以通过设备自动执行。威胁情报一般包括信誉情报（“坏”的URL、IP地址、域名等）、攻击情报（攻击源、攻击工具、利用的漏洞、采取的方式等）等。通常可以从安全服务厂商、CERT、防病毒厂商、政府机构和安全组织机构得到安全预警通告、漏洞通告、威胁通告等，这些都属于典型的安全威胁情报。2）内部情景信息。主要是指对内部异常行为进行监控，内部异常行为造成的破坏是导致安全事故的主要因素，外部攻击者发起APT攻击，其中的部分环节需要通过“内部行走”才能接触到敏感数据，从而实现盗取或破坏的目的。企业内部的威胁源包括可能准备离职的有恶意的内部人员、内部人员长期慢速的信息泄露等，内部攻击也可能由具备内部访问权限的合作伙伴或者第三方发起。通过制定不同的情景，获取样本，建立正常行为模型，并分析内部网络流量或终端服务器上的行为，可及早发现异常。内部情景主要指“主体”到“客体”的访问行为情景，主体是人或应用，客体是应用或数据。情景包含的因素有5W（Who、When、Where、What、How），常见的异常情景有：登录异常行为，包括异常时间、频繁登录失败等行为；业务违规行为，包括高频业务访问、业务绕行等。

1.2事中动态防护与监测

对于事中动态防护与监测，一方面根据已知情景进行威胁行为模式匹配，另一方面能基于网络交互上下文动态学习（自学习）和感知网络特定上下文，建立相应的情景模型，对异常行为进行告警和阻断[8]。1）威胁模式匹配。对于外部威胁情报中的信誉情报防护设备，直接根据安全事件的某个特征进行模式匹配即可，如检测有外向连接到已知的危险实体，或者检测可作为潜在攻击线索的事件和行为特征的序列等[9-10]。对于攻击情报中攻击源、攻击工具、利用的漏洞、该采取的方式等信息进行威胁情报建模，对安全事件进行特征提取，形成特征序列和威胁情报模型进行关联分析。威胁情报标准及其可机读性是关键，为使计算机能自动识别其表达行为，一般采用XML语言自描述。目前成熟的国外威胁情报标准包括网络可观察表达式（CyboX）、结构化威胁信息表达式（StructuredThreatInformationeXpression，STIX）、可信自动交换指标信息（TrustedAutomatedeXchangeofIndicatorInformation，TAXII）等。2）威胁行为学习。威胁行为是指不符合业务逻辑的行为，包括针对性的威胁行为（黑名单）及违反正常行为（白名单），通常表现为基于时间序列或基于统计的行为。威胁行为学习通过分析事件间的关系，利用过滤、关联、聚合等技术，最终由简单事件产生高级事件。行为的学习可以通过业务专家或者安全专家直接建模，但更多是通过机器学习方式辅以人工知识进行建模。机器建模包括训练和验证过程，一般模型的准确率低于专家建模。

1.3事后溯源和研判

事后溯源和研判是指对攻击行为进行研判和取证，反馈攻击行为给情景感知模型并修订防护策略，在适当时机通过技术或者法律手段对入侵者进行反制。1）安全事件研判。采用可视化手段对可疑安全事件或预测性安全事件进行分析，确定攻击的准确性以及造成的损失。事件研判需要专业能力强的安全运维人员来进行，除了具备安全知识外，对应用系统的行为也要非常熟悉。交互可视化可以大幅提高事件研判的效率，但定制化因素较多，也可借用成熟的工具进行事件研判，如安全沙箱、网络分析软件等。事件研判的结果应立即进入处置流程，使安全事件闭环，从而进一步完善主动防御体系。2）攻击溯源取证。溯源是指在网络攻击发生后，通过已发现的攻击路径追寻攻击者的相关信息。溯源相关的事件包括业务事件和网络事件，业务事件的目的是查找使用者，网络事件的目的是查找网络报文的发送者。溯源通过事件或者日志链层层查找，而取证则需要对系统或网络攻击行为进行还原，涉及的技术比较广，也是目前针对企业合规及司法取证的热点。

2基于情景感知的主动防御体系实践

建立主动防御系统是一项十分复杂的工程，从IATF安全保障体系来看，涉及人、流程、技术等要素的有机结合。在主动防御体系建设方面，为体现主动防御体系的前瞻性、自学习、实时响应，除了组织流程建设外，还需要在威胁感知基础设施方面不断进行完善，并不断完善防护、监测等技术措施，提升主动防御体系的完整性。基于情景感知的主动防御体系如图4所示。在组织方面，需要构建内外部威胁情景信息搜集队伍以及可以编写内外部威胁模型、能对安全事件进行精准研判的人员。另外，对于情报的搜集要建立适当的渠道，以确保情报的准确性、权威性。目前国内各大企业侧重于体系建设、技术与产品的实施，对运维能力和组织建设方面的关注不够，导致很多宣称已经实现的主动防御体系仅仅落实在字面上。与组织对应的是流程体系建设，主动防御体系是基于P2DR动态防御体系之上的，需要不断完善流程，应对不断演进的内外部威胁。建立高效的流程体系，可以确保各种技术、管理手段得以落实，从而更好地满足企业政策合规和生产经营需要。在技术层面，构建主动防御体系需要企业规划有一个总体的清晰线路，各种技术手段相互关联、补充。主动防御具有前瞻性的前提是对网络及应用环境的资产属性及安全属性有全面的掌握，能实时发现系统的弱点、威胁和风险。在基础设施方面，安全基线系统建设最为关键，由于被防护系统会不停变动、新的系统不断被引入、用户账户不停新建或撤销，新的漏洞不断披露，针对新威胁的适应改造也需一直进行。因此，应持续对终端设备、服务器端系统、漏洞和网络交互接口、业务交互行为进行重定基线以及挖掘发现。主动防御体系关键数据模型如图5所示。在数据模型方面，需要对主动防御体系的内涵进行诠释，确保该体系建设过程中数据流和信息流能够统一和集成。主动防御体系涉及的关键信息模型包括威胁情报模型（需要对不同攻击源进行统一描述）、防护设备策略模型（不同厂商策略的统一便于威胁情报模型在防护设备中得以动态实施）、防护设备告警模型（需要统一或规范各厂商设备告警内容的一致性）、业务情景模型（需要从系统、网络、业务层面构建统一的业务模型），以及监测层面的事件模型（统一安全事件，便于事件的统计分析和风险计算）、态势感知预测模型（对网络流量、业务交互频率、安全事件发生频率等进行建模）等。但这些模型的核心是防护对象的资产模型，包括拓扑属性、安全属性、运行属性等，是上述模型的纽带和计算基础。

3结语

从国内信息安全主动防御体系建设来看，电信行业起步较早，以传统的安全信息和事件管理（SIEM）为起点，逐渐发展安全管理平台（SMP），实现了终端、网络、应用防护技术的统一，并且承载安全管理、安全合规、安全处置和安全规划等能力，安全建设更加体系化，为主动防护体系实施奠定了基础。在能源行业，电力二次系统从最早的边界防护到一体化调度支撑系统的建设，再到可信计算的应用，实现了终端、网络、应用的层次化纵深防护，也为主动防御体系建设奠定了基础。如何构建更加智能主动的防御体系，还需要结合具体的业务情景进行不断研究。随着威胁情报标准的制定以及大数据实时流处理、机器学习技术的应用，实时动态感知威胁情报、实时威胁情景学习与预测将使安全防护措施识别攻击的成功率和精准度进一步提升，促进主动防御体系的进一步成熟。

作者:杨维永 郭靓 廖鹏 金倩倩 单位:南京南瑞集团公司

参考文献：

[1]JAJODIAS.网络空间态势感知问题与研究[M].余健,游凌,樊龙飞,等译.北京:国防工业出版社,2014.

[2]王慧强,赖积保,朱亮,等.网络态势感知系统研究综述[J].计算机科学,2006,33(10):5-10.WANGHui-qiang,LAIJi-bao,ZHULiang,etal.Surveyofnetworksituationawarenesssystem[J].ComputerScience,2006,33(10):5-10.

[3]陈秀真,郑庆华,管晓宏,等.网络化系统安全态势评估的研究[J].西安交通大学学报,2004,38(4):404-408.CHENXiu-zhen,ZHENGQing-hua,GUANXiao-hong,etal.Studyonevaluationforsecuritysituationofnetworkedsystems[J].JournalofXi'anJiaotongUniversity,2004,38(4):404-408.

[4]李蕊,李仁发.上下文感知计算及系统框架综述[J].计算机研究与发展,2007a,44(2):269-276.LIRui,LIRen-fa.Asurveyofcontext-awarecomputinganditssysteminfrastructure[J].JournalofComputerResearchandDevelopment,2007,44(2):269-276.

[5]张屹,张帆,程明凤,等.泛在学习环境下基于情境感知的学习资源检索模型构建[J].中国电化教育,2010(6):104-107.

[6]贾焰,王晓伟,韩伟红,等.YHSSAS:面向大规模网络的安全态势感知系统[J].计算机科学,2011,38(2):4-8.JIAYan,WANGXiao-wei,HANWei-hong,etal.YHSSAS:Large-scalenetworkorientedsecuritysituationalawarenesssystem[J].ComputerScience,2011,38(2):4-8.

[7]温辉,徐开勇,赵彬,等.网络安全事件关联分析及主动响应机制的研究[J].计算机应用与软件,2010,27(4):60-63.WENHui,XUKai-yong,ZHAOBin,etal.Onnetworksecurityeventcorrelationanalysisandactiveresponsemechanism[J].ComputerApplicationsandSoftware,2010,27(4):60-63.

[8]韦勇,连一峰,冯登国.基于信息融合的网络安全态势评估模型[J].计算机研究与发展,2009,46(3):353-362.WEIYong,LIANYi-feng,FENGDeng-guo.Anetworksecuritysituationalawarenessmodelbasedoninformationfusion[J].JournalofComputerResearchandDevelopment,2009,46(3):353-362.

篇8

一是安全评估体系不健全。大部分商行银行未明确安全评估管理的组织机构，缺少安全评估管理制度，未建立符合本行风险管理需要的安全评估体系。二是安全评估流程不规范。很多商业银行安全评估尤其是自评估缺少标准的流程控制，安全评估工作随意性强，大部分评估流于形式或依赖于个人经验，安全评估的结果不能真实的反映客观存在的风险。三是安全评估人才匮乏。安全评估工作具有较强的专业性，对评估人员的能力要求较高，而很多商业银行评估人员未经过相应的培训，缺少经验，并不真正具备安全评估的能力。四是安全评估方法不科学。商业银行评估尤其是自评估主要依据制度列表或个人经验，很难发现深层次问题并对风险准确定性，评估结果对风险处置的指导意见有限。五是安全评估数据积累不足。国内外主要的安全评估方法，需要根据历史事件统计事件发生概率，目前，很多商业银行尚未建立事件统计分析机制。

2安全评估管理的主要思路

通过研究国内外信息科技风险安全评估标准、规范及实践，提出了商业银行信息科技风险安全评估管理思路。

2.1建立安全评估组织体系

信息安全风险评估组织体系建设应充分考虑安全评估自身特点，并应结合商业银行的风险管理体系，安全评估的组织体系应包括两个方面：一是建立安全评估日常管理体系。该部分体系应在信息科技风险管理体系的基础上，明确高管层、信息科技风险管理部门、信息科技管理部门及其它相关部门的安全评估职责；二是建立安全评估项目管理机制。商业银行组织安全评估时应成立项目管理组织，并严格按照项目管理的流程对安全评估进行有效控制。

2.2建立信息安全风险评估标准流程

安全评估流程是安全评估标准化的控制手段，能够有效的控制安全评估的目标、范围、过程及质量，安全评估需要建立以下标准流程：一是安全评估的组织流程，即安全评估审批、总结、汇报等流程；二是安全评估的项目管理流程，安全评估应采用项目的管理方式进行组织，并按项目管理流程组织评估并形成项目阶段成果；三是安全评估的评估方法流程。安全评估根据标准的评估方法，并结合评估对象的特点，从资产识别、威胁识别、脆弱性识别、风险评估、已有措施确认等方面，建立明确的评估方法流程并明确流程各阶段主要工作成果及输出文档。

2.3培养专业信息安全风险评估人员

专业的安全评估人员是安全评估的基本保证，应加大对信息安全风险评估人员的培训力度，培训主要从以下几个方面进行：一是加大评估管理要求、评估流程的培训力度，让评估人员能够了解信息科技安全管理的要求，掌握安全评估组织、项目及方法流程；二是加大信息安全知识培训力度，评估人员应全面学习信息安全的相关知识，了解目前信息安全面临的主要威胁及存在风险；三是加大安全评估技术培训力度，评估人员应了解安全评估相关技术，熟练掌握常用的安全评估工具；四是加大信息系统相关技术培训力度，安全评估要求评估人员应了解主机、网络及应系统等相关技术细节，应组织相应的技术培训，扩大评估人员的知识范围，并使评估人员深入了解各系统的技术细节。

2.4引入安全评估工具

为实现安全评估的专业化，商业银行应逐步引入和使用风险评估工具，风险评估工具包括以下三类：一是专业安全评估设备及软件，如漏洞扫描设备、安全审计平台等。二是专门的风险计算工具，如风险统计及计算表格，该类表格根据标准的计算方式，能够给出相对准确的风险量化值。二是风险管理系统，对风险进行汇总、统计及处置跟踪。

2.5建立风险评估数据积累机制

篇9

随着移动智能终端产品的普及，2016年将是移动互联网媒体快速发展的一年，国内门户网站也纷纷布局移动互联网业务，其中搜狐、网易、腾讯三家新闻客户端先后宣布用户数破亿。随着4G时代的到来，随着越来越多人加入App生活，2016年，中国智能手机用户必将翻倍增长，各App应用软件等将是社会公众的主要社交应用工具，而PC端相比将发展缓慢。据了解，大多数智能手机用户每天查看手机150次，约有40%的上网时间花在手机上，用户每天花在移动App上的时间约为127分钟，越来越多的人生活、工作开始和App息息相关。

在此形势下，浙江乾冠信息安全研究院（以下简称乾冠）依赖其核心产品睿眼外网安全监测预警平台展开需求调研和设计工作，自主研发出了“睿眼通”网络安全监测预警App系统软件。“睿眼通”给网站运维和管理人员带来了便利，他们只要动一动手指就能轻松了解整个网站的安全、性能、可用性等各项指数。针对突发的各类网站安全事件，用户可以及时处理并且得到及时的处理反馈。

虽然网络与信息安全的从业者越来越多，线上、线下的活动也越来越多，但真正面向信息安全从业人员的手机App信息安全软件还是很少。而“睿眼通”，是一款提供信息安全预警分析服务管理软件，让用户轻松“掌握”信息安全。简洁的界面、严谨的设计、直观的展示、人性化的操作，让信息安全离你只有一指的距离。

睿眼通App以信息安全行业实际需求为中心，纳入移动互联网的鲜活基因，给予信息安全从业人员最实用、最便捷，最贴心的使用体验，是睿眼通App的终极追求。

目前已开发出Android、iOS、Windows Phone版本。该App采用扁平模式设计，目前应用定位于内容浏览应用，为网站相关人员即时了解网站安全现状提供帮助，让用户能够随时随地接收到本网站的告警信息，网站的安全状况，以及发生网站安全事件的时候能够及时的处理。目前睿眼通主要包括告警管理、网站状态、运维管理、安全态势分析、安全决策管理、资讯、通讯录、安全管理、消息推送、设置，以及智能设置等功能。

同时，睿眼通App正着手于结合乾冠睿眼内网安全监测预警平台，为客户实现囊括内外网监测的信息安全App预警分析管理服务。

篇10

当前，网络和计算机技术已经推动各行各业进入了数字化时代。数字化的企业承载着业务流和信息流，信息流引导业务流，业务流依附信息流，从而使企业的运行更加安全、可靠、优质、经济。

信息系统承载着企业几乎所有的运营管理信息，其安全性已经直接关系到整个企业的安全可靠运行。信息是企业的重要战略资源，确保其安全是现代信息化企业必须面临的重要任务。

随着企业信息化建设的不断深入，信息安全保障工作的重要性、迫切性日益凸现。如果网络和信息系统的安全隐患得不到有效地防范，企业就极有可能遭受到恶意攻击或破坏。信息安全事故不但会对公司业务、资产、形象造成影响，在某些行业，严重的还会引发区域性，乃至全国性的重大安全事故，其社会危害性无法估量。

据相关信息安全调查报告显示，中国内地企业在信息安全管理方面存在滞后，信息安全与隐私保障方面远远落后于印度。数据显示，内地企业44%的信息安全事件与数据泄露、员工不当操作等管理问题有关，而全球的平均水平只有16%。

调查显示，中国内地企业在改善信息安全机制上仍有待努力，从近年安全事件结果看，中国每年大约98万美元的财务损失，而亚洲国家平均约为75万美元，印度大约为30.8万美元。此外，42%的中国内地受访企业经历了应用软件、系统和网络的信息安全事件。

目前，国内的计算机信息安全从技术角度来看并不十分落后，但发展过程中暴露出很多管理方面的问题，例如信息安全管理人员意识、知识等方面的缺乏，急需大量补充。而且，授人与鱼不如授人与渔，产品不是最重要的，重要的是要培养出安全的意识，否则企业的信息安全人员只是把产品买回去，并不能很好的发挥这些产品的作用，要从根本上解决安全的问题，必须提高员工的安全意识。

二、误区多多，困难重重

面对瞬息万变的安全形势，企业并不是总能对症下药。寻找安全良方，避免种种安全的误区，才是长远的安全和发展之道。

误区1：外部威胁大于内部隐患

要防范威胁，首先要了解威胁来自于哪里。通常，人们都会认为来自于计算机黑客、恶意代码编写者等外部的安全威胁远远大于内部的安全隐患，所以一般企业安全范围的重点是在防范外部黑客攻击，但是超过一半的威胁恰恰来自企业内部，外部攻击仅占46%。

在内部安全威胁中，96%的是源于非蓄意的动机和错误;只有1%才是真正的恶意行为。由此看来，内部威胁之所以危害巨大，归根结底，还是员工安全意识薄弱。

尽管在防范内部威胁方面，大多数企业还没有拿出切实有效的方案。但是从安全调查来看，57.6%的企业已经表示，培养并提高员工的信息安全意识，将是自己所在企业未来一年里，打算采取的最关键的安全策略。企业在未来之所以越来越重视员工信息安全管理，要归结于多个因素：近几年对安全意识的讨论越来越多，为安全意识从“概念”到“落地”做好了准备；安全厂商也在推出越来越多成熟、有效的产品和方案；不少企业的成功应用案例，也提供了很多借鉴性的经验。当然，最关键的是，企业自身的确实存在这样的安全需求，认识到了提高信息安全意识的重要性以及必要性。

误区2：信息安全是IT部门的事，与其他部门无关

在某些企业中，IT部门员工就像是救火队员，哪里出了问题就到哪里，东奔西走，十分辛苦。但是，就是这么一群任务繁重、任劳任怨的员工，却得不到其他同事的理解和认同。当IT人员为其他部门进行安全控制时（如进行安全检查、安装防病毒软件等），其他部门会反感，认为增加了他们的工作量，降低了工作效率。但当真正出现了信息安全事故时，其他部门又会责怪IT部门，认为其平时的安全防范工作没有做好。所以，IT部门往往是出力不讨好。

怎样彻底改变其他部门对IT部门的看法，怎样使公司全体员工主动、积极地配合IT部门的工作，甚至可以做到自查自纠？信息安全意识的提高无疑是关键。员工接受了安全意识宣贯之后，就会认识到保护信息的安全不仅仅是IT部门的职责，更是全体员工的责任；就会理解平时的安全措施不是绑着他们的绳索，而是护着他们的盾牌；就会在主动、自觉地规范自己的行为，防止信息安全事故的发生。

误区3：重视技术产品的引进，忽略安全意识的培养

如今，便携式的移动设备，比如U盘、PDA等，已经相当普及，移动办公已经成为不可逆转的趋势。但同时，U盘中毒、失窃所导致机密信息泄露的事件也屡见不鲜。所以，大多数企业越来越重视对移动设备的保护。许多公司统一采购了具有加密、杀毒功能，甚至可以指纹识别的高科技安全U盘，分发给员工，旨在杜绝U盘泄密事件的再次发生，但往往未能达到预期效果。

严谨的加密技术，配合访问控制技术，虽然可以在一定程度上防止移动设备上的数据被泄露，但依然无法防止员工不规范的使用，和移动设备的丢失或被盗。若员工把加密U盘插入自己的家庭电脑进行办公，那么病毒依旧有可能入侵到U盘中，这样再强的加密技术也无济于事。

和欧美等国家相比，中国U盘传毒的问题越来越严重，并且一直没办法根绝，这和员工缺乏安全意识紧密相关。通常，员工插取U盘时，很少会考虑到是否和公司的安全策略相违背，或者有可能引发公司的安全事故。

三、立体宣贯，提升实力

篇11

【 关键词 】 第三方支付系统；风险评估；支付流程；威胁树；最小威胁树

【 中图分类号 】 TP393 【 文献标识码 】 A

1 引言

第三方支付行业在近几年迎来了快速发展，特别是2011年对于我国的第三方支付行业来说是具有里程碑意义的一年，央行在2011年开始颁发非金融机构支付业务许可证，支付许可证的颁发反映出国家开始从制度政策层面规范第三方支付行业的发展，同时也对第三方支付行业的安全性提出了要求。因此，如何从信息系统安全角度对诸多第三方支付工具进行全面的评价，这将对网上支付以及网络购物的发展具有十分重要的现实意义。

当前国内外第三方支付行业的发展存在巨大差异，国外专门针对第三方支付安全的研究较少，而国内也只是部分学者在进行研究时内容会涉及到第三方支付的信息安全。赵德志基于项目管理视角对第三方支付进行了风险识别，认为第三方支付系统存在几种风险，分别是外部风险、组织风险、项目管理风险、技术管理风险，并对风险来源进行了细化，但该研究并未深入对第三方支付系统的安全风险进行有效评价。

以上研究对第三方支付市场存在的风险进行了一定的分析，但上述研究仍存在着一定的不足，主要体现在相关研究并未从信息安全的角度深入剖析第三方支付平台自身支付业务流程所可能存在的脆弱性以及防范重点，也没有对第三方支付进行流程再造提出相关建议，因此对于第三方支付安全事件的发生无法起到实质性的遏制，本文将从信息安全风险评估的角度对第三方支付系统进行深入研究。

下文将基于对第三方支付平台的一般支付流程和相关案例的定性分析，运用威胁树方法学，构建针对第三方支付的威胁树分析模型，并基于德尔菲法选择当前主流第三方支付平台进行信息安全评估，从而为用户从安全视角对第三方支付平台进行选择提供参考依据。

2 威胁树模型

2.1 威胁树定义及基本结构

2.2 威胁树的修剪

一个威胁的实现需要威胁即攻击者具有一定级别的能力。攻击者取决于下列因素：攻击成本、专门技术知识或工具、被逮捕和惩罚的概率等。叶子结点的指标值由分析者直接输入，数据来源可以是调研数据，历史事件资料以及方法评估获取，非叶子结点通过指标函数获取，根据并联关系和串联关系的不同而不同。可以根据结点某一指标作为阈值对威胁树进行修剪，“剪去”所有超过或低于某一阈值的路径，修剪过的树的集合（可以认为是图形的覆盖图）代表着所有威胁可能使用的可行的威胁完全集，从攻击的角度来讲是一个可行的攻击集，也就是最小威胁树。从预防的角度讲，是采取安全策略时应重点考虑的。

3 威胁树模型

3.1 基于威胁树的第三方支付系统信息安全评价模型构建

通过第三方支付业务流程以及对收集到的大量安全事件的定性分析，第三方支付系统信息安全事件的典型特征有几点：

1）第三方支付系统面临的最大风险是账户操作过程中的可支付余额；

2）第三方支付系统安全事件的发生一般是该两项密码通过各种手段如钓鱼网站、促销信息、升级提醒等手段被盗取；

3）某些木马病毒如支付宝大盗、浮云木马病毒，在支付环节通过篡改支付协议交换过程中的付款账户和金额等方式实现更具隐蔽性盗取；

4）部分案例显示数字证书可以通过一定手段绕过从而盗取用户资金，此环节可能存在重大安全隐患。

因此，根据威胁树方法学，可得到以下第三方支付的威胁树分析模型。

a） 第三方支付系统威胁树的修剪

根据威胁树方法学，可以通过某种指标比如攻击成本、攻击能力、成功概率等对威胁树进行修剪，本文拟采取德尔菲法的形式，邀请相关业内专家针对威胁攻击系统的可能性进行打分，从而对第三方支付系统的威胁树进行修剪，具体实施将在下文讨论。

4 第三方支付系统信息安全风险评估的实施

根据易观国际的最新数据显示，本文拟选取两个典型的第三方支付工具，支付宝和快钱进行对比分析。

5 第三方支付平台的风险管理

结合上述两个具体的第三方支付工具的最小威胁树，提出若干风险管理建议。

第一，加强用户操作的主体性认证，增加实时性主体认证手段，如手机短信，动态口令等手段。特别改变账户操作仅依靠密码进行的流程，从而增强安全性；目前一些主流的第三方支付工具，仅在安装数字证书，快捷支付等情况下才使用手机验证码，因此建议在转账、更换手机、提现等操作关键操作时，额外增加实时身份验证手段。

第二，针对数字证书用户，应加强对数字证书申请、取消环节的管理，进行必要的身份认证；并且建议增加对账户登录、异地操作的实时提醒，以提高账户的安全性，而此种服务目前多数第三方支付工具尚未提供。

第三，加强对用户的教育，提醒用户识别常用的诈骗手段，如图5中所示的“防冒客服”以及“短信升级”等手段。

6 结束语

本文运用威胁树分析模型对第三方支付系统的安全性进行了全面评估，并选择当前主流的第三方支付平台进行的评估实施，并基于评估提出了针对性的安全建议和对策，从而为用户识别和选择第三方支付工具提供了一定的参考依据。本文的数据采用德尔菲法获取，该方法存在着一定的主观性，是未来研究应当着力改进的地方。

参考文献

[1] 中国互联网络研究中心.中国网络支付安全状况报告[Z].北京，2012.

[2] 金山网络公司.2011-2012中国互联网安全研究报告[Z].

[3] 中国人民银行.《支付机构互联网支付业务管理办法》征求意见稿[R]，2012.

[4] 赵德志.第三方支付公司的发展与风险研究[D].北京：北京邮电大学，2007.

[5] GB/T 20984-2007 信息安全技术信息安全风险评估规范[S].2007.

[6] 王孝良，崔保红，李思其.关于工控系统信息安全的思考与建议[J].信息网络安全，2012，（08）： 36-37..

[7] 许春，李涛，陈兴蜀，刘念，杨进.危险信号在实时网络安全风险评估中的应用[J].电子科技大学学报，2007， （S3）：74-77.

[8] 李良.中国电子银行风险评估研究[D].大连：大连理工大学，2010.

[9] 曹子建，赵宇峰，容晓峰.网络入侵检测与防火墙联动平台设计[J].信息网络安全，2012，（09）：12-14.

[10] Schneier B."Attack Trees"，Secrets and Lies[M].New York：John Wiley and Sons，2000：318-333.

基金项目：

河南省教育厅人文社会科学青年项目（2012-QN-063）。

篇12

关键词：信息安全；计算机；安全

我国信息安全发展的大环境目前已日臻完善，成立了全国信息技术标准化技术委员会、国家计算机病毒应急处理协调中心等机构。另外，我国信息安全政策法规、标准制定也已经走入规范化进程。但信息安全是一个征途而不是一个目的地。新的技术，新的业务需求和新的安全威胁不断地改变环境。

由于计算机和国际互联网的飞速普及，中国目前已经成为炙手可热的黑客攻击目标。全球每天约有200万台PC机处于随时可能被攻击的失控状态，而其中有20%的PC机来自中国。据公安部对全国信息网络安全状况和计算机病毒疫情调查显示，我国信息网络安全事件发生比例为62.7%，计算机病毒感染率为85.5％，多次发生网络安全事件的比例为50％，多次感染病毒的比例为66.8％，可见，我国信息安全体系安全性何等脆弱。笔者通过对目前信息安全体系安全现状进行分析并初探解决对策，希望能对信息安全体系的发展有所作用。

一、信息安全存在的几大安全现状和威胁

第一，前期，微软对中国Winxp、office用户反盗版黑屏事件已炒得沸沸扬扬，但反思后可得知：计算机网络系统使用的软、硬件很大一部分是国外产品，我国电脑制造业对许多硬件核心部件的研发、生产能力很弱，关键部件完全处于受制于人的地位。并且对引进的信息技术和设备缺乏保护信息安全所必不可少的有效管理和技术改造。一旦发生重大情况，那些隐藏在电脑芯片和操作软件中的后门就有可能在某种秘密指令下激活，造成国内电脑网络、电信系统瘫痪。

第二，全社会的信息安全意识虽然有所提高，但将其提到实际日程中来的依然很少。国家计算机病毒应急处理协调中心进行的多次安全普查和评估中发现许多公司和企业，甚至敏感单位的计算机网络系统基本处于不设防状态。有的即使其网络系统已由专业的安全服务商为其制定了安全策略，但在一定时间后，由于在网络的使用中发现没有以前的方便，便私自更改安全策略，等一旦遭到攻击已是悔之晚矣。

第三，目前关于网络犯罪的法律还不健全。比如盗窃、删改他人系统信息属于犯罪行为，但仅仅是观看，既不进行破坏，也不谋取私利算不算犯罪？还比如网上有很多BBS，黑客在上边讨论软件漏洞、攻击手段等，这既可以说是技术研究，也可以说是提供攻击工具，这又算不算犯罪呢？国内很多网站在遭到攻击后损失惨重，为保证客户对其的信任，为名誉起见往往并不积极追究黑客的法律责任，这种“姑息养奸”的做法就进一步助长了黑客的嚣张气焰。

第四，信息安全人才培养体系虽已初步形成，但随着信息化进程加快和计算机的广泛应用，电子商务、电子政务和电子金融的发展，对信息安全专门人才的培养提出了更高要求，目前我国信息安全人才培养还远远不能满足需要。

第五，我国信息安全产业水平有待提高。一是安全应用需求不明，产业技术推动性、应用针对性不够，国内安全需求得不到很好满足；二是产品过度集中，低水平重复严重。三是核心技术仍然受到制约，产业化水平较低，产品安全质量令人担忧。

二、解决方案初探：

象火灾防范工作的防消结合一样，合理的信息安全系统需要满足两方面的要求，首先是要把计算机网络安全事件的发生率和损失可能性控制在可以接受的较低范围内，其次是要使信息安全事故可以得到及时处理。

1、信息安全基础设施的必要性

尽管安全产品不是万能的，配置各种安全产品并不能解决安全问题，但计算机网络系统需要一些基础的保护设施。任何安全措施都建立在一定软硬件环境基础下，有很多安全机制是操作系统和网络软件产品本身已经具备的，而也有很多安全功能是需要专门安全产品才能实现的。因此需要根据用户的实际网络环境和应用情况，决定配置那些安全产品。

2、信息安全专业服务的必要性

任何一种安全产品所能提供的服务都是有限的，也是不全面的，要有效发挥操作系统、应用软件和安全产品的安全功能，必须进行全面的检测、合理的配置和适当的优化，才能使整个安全系统良好地运转起来。而实现这些严密的安全措施需要第三方的专业信息安全人员的参与并发挥主要作用。鉴于未来网络威胁的严重性和信息战的可能性，建立主动性的信息安全防御体系已经成为先进国家的研究重点之一，而主动性安全防御体系中最重要的环节是一支专业化的信息安全服务力量。

三、结论：信息安全问题具有动态性，必须统筹兼顾，常抓不懈。

计算机网络系统软硬件和应用情况在不断更新。引入新设备、新软件和新的应用，都会带来新的安全问题。攻击技术每天都在发展，新的攻击机制不断出现，新的攻击机制决定了新病毒和新的黑客攻击手段会对原本已经比较安全的系统造成新的威胁。只有坚持对计算机网络系统进行有计划的，长期进行的评估和审计工作，才能保证最新的技术隐患会被及时识别和解决。如果不结合这些新的技术动态、人员动态和管理动态进行定期的安全性评估，原本搭建好的安全体系将处于不可控的状态。

参考文献：

[1] 徐国芹. 浅议如何建立企业信息安全体系架构[J]. 中国高新技术企业, 2009, (05) .

[2] 陈伟,向丽,刘爽,郭伟,谢明政. 企业信息安全体系架构[J]. 石油地球物理勘探, 2008, (S1) .

篇13

但这并不令人感到奇怪，因为在IT运维领域，吴凯和他所在的联华信就是保障IT系统安全运行的医生。

监控从基础设施转向应用

IT基础架构库（ITIL，Information Technology Infrastructure Library）这一IT服务管理理念被引入国内已有十几年了。在吴凯看来，迄今为止ITIL的核心内容没有变化。ITIL有两大核心内容：第一是围绕IT系统日常运维的管理，比如事务管理、故障管理、安全变更、问题管理等，以及在这之上延伸出的投入和产出关系平衡的处理；第二是ITIL虽然已经升级到了第三版，但实际上也只是将IT运维向整个IT系统的建设范畴进行了延展，增加了系统开发、测试的管理内容。

既然核心内容没有变，在一线服务客户时，联华信认为自己只关注客户关心的内容就好。以联华信多年服务的邮政集团公司、邮储银行来讲，这两个客户最典型的特点就是规模大。比如邮储银行，在业务集中管理后，就难免会涉及大数据的概念。而邮政集团公司既有全国中心也有省中心，对一个包裹从北京到广州的运送过程中产生的监控数据，现在又新增加了云计算的处理方式。“从IT运维管理本身来说，真正的内涵没有发生特别大的变化，而只是客户的关注点发生了变化。”吴凯表示，“原来客户只是关心基础设施的综合监控，比如几年前更关注网络和服务器，但现在他们关注的是应用的监控。因为底层的数据库、服务器一般情况下都是非常稳定的，但有很多应用是依据个性化开发出来的，对客户来讲是非常核心的部分，一旦出现问题会影响业务。”

在ITIL理念推行中，部分企业很容易进入一个误区，认为实施了ITIL就会解决一切问题。但实际上ITIL实施的基础，第一是来源于底层CMDB（Configuration Management Database 配置管理数据库）的构建；第二是来源于底层监控系统的构建。ITIL确实让运维人员在流程配合上更规范了，但对系统出现问题后能不能尽快解决，推动意义不大。“监控系统或者运维系统的正确实施，取决于对系统的深度理解，这个理解是基于CMDB的。做好系统运维的前提是，首先必须理解系统，在这个基础之上，进行有效的监控，才能让流程更有效。”吴凯建议，“对于客户来说，IT系统的建设应分两步走：第一步构建CMDB、构建监控。第二步是实施ITIL。”

安全管理：事件、变更、流程

IT运维实际上仅属于系统安全的一部分，而不是系统安全的核心。企业在配置好安全设备后，才会从运维的角度，针对系统的安全管理提出需求。这时，运维部门主要面对的就是对安全事件、安全变更、安全问题的管理。

企业对于安全事件管理最主要的需求是，一旦出现安全事件，企业需要第一时间知晓。安全事件一般会分为两大类：第一类是系统运行不稳定或者出现故障；第二类是运维人员出现高危操作，比如误删文件。“我们会对安全事件进行集成监测，一旦安全设备有什么事件，可以通过监控系统展现出来。”吴凯对记者表示，“根据ITIL理论，一旦系统出现安全问题，就需要有一个类似服务台的功能做出初步响应。我们的监控系统会配置一个集中的告警服务台，客户在打进来电话前，服务台就已经知道系统出问题了。服务台后面会有一个知识库，用来判断哪类问题应当转给哪个部门去解决，这个知识库也是在为客户服务的过程中积累形成的。”

所谓安全变更，是指企业IT系统配置的修改。而变更的前提是要预先对变更结果做出判断、分析。以应用为例，假设一个应用具有100个功能点，每个功能点内部使用了哪些服务的构建，每个构建会对数据库的哪个部分、哪个表进行访问，这种关联关系必须要梳理出来。吴凯也向记者举例称：“以联华信的银行类客户为例，客户的某一个转账操作变更，可能会影响到省分行或地方支行。所以在前台系统出现这些变更前，如果没有进行全景的关联分析，风险会很大。”

而对于系统安全问题的管理和系统安全问题的彻底解决，都被归于IT运维工具对安全问题的管理，在联华信的产品或解决方案中，是通过流程的方式来推动进行的。

国产化替代新机会

IT运维管理是指对企业IT 运行环境（如软硬件环境、网络环境等）、IT 业务系统和IT 运维人员进行的综合管理，涉及对企业IT底层架构的信息安全监控。当前在IT运维管理领域，实现高度安全可控和国产化替代也被证明是可行的。包括联华信在内的一些国内IT系统运维服务商正在依靠自己的技术、产品、解决方案，力求实现IT运维管理的国产化替代。

吴凯表示：“此前一些规模较大的企业客户比较关注国外产品，一是因为品牌，二是因为国外产品规范性比较好。而现在，对于倾向于选择国产产品的客户来说，他们更关注ITIL理念在落地的时候，是不是符合自己的需求。相比之下，国产产品更适合国内企业的需要，也适合分期建设。再加上近期国际上各种信息安全事件的发生，也促使国内出现扶持国产产品发展的趋势，这对国内IT运维厂商是个机会。”

只有打造自主可控的IT运维工具，才能满足当前政府、企业对于信息安全保障的切实需求，才能真正实现国家安全。鼓励发展国内IT运维产业，加快国产化替代进程，是保证政府、企业信息流通安全、操作运维安全的有效手段。

而对于国内IT运维厂商在产品和解决方案方面的不足，吴凯归纳说，IT运维既涉及流程，又涉及底层架构的运行监测。在运行监测领域，国内的产品做得还不深入。据吴凯介绍，很多做ITIL实施的IT运维厂商，原来都是做OA（办公自动化）的，虽然做流程得心应手，但做底层监测就不会很深入。这个时候，一部分客户实施了他们的产品和解决方案后，就会发现不能解决运维监测的问题。而对于运维部门来说，核心职能就是发现问题、定位问题、解决问题。如果发现问题的工具不能达到客户的要求，就会让客户缺乏安全感。“所以对国内IT运维厂商来说，在ITIL 理念与产品的结合上，以及底层架构的监测上需要多下功夫。”吴凯向国内IT运维厂商建议。

篇14

首先业务应用种类繁多，其业务涵盖了勘探与生产、炼油与化工、销售、天然气与管道、工程技术、工程建设、装备制造七大板块，同时还包含OA系统、电子邮件、视频会议等办公系统；其次承载信息系统的网络规模庞大、接入环境复杂多样，包括办公管理网络、生产网络、矿区服务网络、卫星网络、海外网络、互联网网络、项目网络、宾馆、培训中心网络以及员工公寓网络；最后是面向的桌面用户数量巨大、提供的服务类型各异。油田信息系统面临的安全威胁。作为国家重要信息基础设施，油田的信息系统依然面临着较多来自外部和内部的安全威胁，随着油田信息系统应用的迅猛发展，信息系统面临的安全威胁也日益凸显。

二、信息安全发展的新动向

3.1云计算、物联（传感）网和虚拟技术推广的关键问题是安全。这些新技术突出问题是增加了安全保障的复杂性，模糊了传统的用户、服务商的原有责任界限，造成安全管理上的新问题。51%的美国CIO认为上述新技术最大的隐忧是安全尚未有效解决，国内信息安全界存在同样的担心。

3.2强调应用安全特别是重视WEB、终端和安全事件管理成为当前重要着力点。当前上述方面隐患、疏漏多，防护措施不到位。需加强漏洞发现、补丁管理、应用软件编码安全，及对安全事件的集中监控、分析，做好态势感知、事件处理。

3.3身份管理的基础性作用引起更大重视。身份标识、验证与认定是网上授权、访问控制、监控与审计的基础，关键是真实身份与网上数字身份的一致和有效，现有身份鉴别机制还不够完善，需要进一步深入研究开发。我国提出并在一定领域实施了身份实名制，美国《网络空间可信身份的国家战略》，德国开发并施行的可信网络身份管理系统，都是实际解决这一问题的尝试。

3.4注重硬件解决安全问题的新趋势。信息安全的基本技术方法是“硬件保护软件、软件保护信息”。安全防护系统愈来愈复杂、高速，软件又易于被攻破的问题，近几年，人们回头求助于硬件架构。不久前，美国国家IT研发委员会集中百余名专家研究国家网络防护策略，提出改变“安全游戏规则”的五条建议，其中之一即倡导以硬件保护安全。

三、小结