信息安全管理论文

序论：写作是一种深度的自我表达。它要求我们深入探索自己的思想和情感，挖掘那些隐藏在内心深处的真相，好投稿为您带来了一篇信息安全管理论文范文，愿它们成为您写作过程中的灵感催化剂，助力您的创作。

信息安全管理论文:数字化档案信息安全管理策略

1数字化档案相关介绍

数字化档案是档案与现代化的技术有机结合的新型档案信息形态，将档案信息转化成数字信息，应用现代化技术的便捷性，将档案信息进行归档、利用以及资源共享等。这里所说的现代化技术主要包括计算机技术、扫描技术、OCR技术、数字摄影技术、数据库技术、多媒体技术、存储技术等。

2数字档案信息安全问题相关分析

对于档案信息本身来说，无论是传统的档案存储，还是现代化的数字档案，安全问题都是首要问题。由于现代化的数字档案是传统档案与现代化技术的结合，所以影响档案信息安全问题的因素较多，这些因素的出现，对数字化档案信息安全造成了不同程度的影响。以下是对数字档案信息安全问题的具体分析。

2.1数字档案信息的安全管理。

档案信息安全管理问题是决定数字档案信息安全的直接因素。如果安全管理方面存在缺陷，例如制度的不完善、标准不统一、管理措施无效等，必然会失去数字档案信息的基本保障。所谓的数字档案信息安全管理主要包括管理制度、标准、管理措施，不仅如此还包括数字档案信息归档流程等，相关流程不规范也会使数字档案信息安全问题受到威胁。

2.2计算机故障问题。

由于数字档案信息的归档及利用均以计算机为载体，所以计算机本身的不确定因素会影响数字档案信息安全问题，其中计算机故障问题是影响数字档案信息安全的主要问题，其中计算机故障又包括硬件故障与软件故障。以下是对两种故障的具体分析。

2.2.1硬件故障。

计算机硬件条件良好时数字档案信息安全问题的基本保障，当计算机硬件发生故障时，数字档案信息的存储、查询、利用等就会受到较大的影响，其在一定程度上导致档案信息的丢失或损害，影响了档案信息的完整程度，大大降低了数字档案的使用质量与效率，为使用者造成较大的不便。

2.2.2软件故障。

计算机的软件是处理数字档案信息的必要条件，一旦计算机软件出现故障亦或是性能无法满足现阶段数字化档案信息系统的要求，档案信息的处理能力就会大大下降，工作质量与效率也会随之下降，而数字化档案信息本身也无法发挥最大作用。计算机软件故障直接影响数字化档案信息系统的操作，但是与计算机硬件故障相比较，其发生故障的几率较小。

3探究数字化档案信息安全管理相关策略

前文已述，管理问题直接影响着数字化档案信息安全，故而要确保档案信息的安全，首先要从管理策略方面抓起。以下是对数字化档案信息安全管理相关策略的具体分析。

3.1加强数字化档案宏观管理。

加强数字化档案的宏观管理档案数字化工作是一项技术性、专业性、综合性很强的工作，必须加强领导，统一思想，建立健全组织机构，比如建立专门的档案数字化、信息化、网络化协调组织机构，组织国家档案信息网络的总体设计与技术攻关，加强档案信息网络一体化的宏观管理。档案数字化工作要纳入科学管理体制，作为机关管理工作的一部分，制定相应的工作分工范围及管理权限。

3.2完善相关管理制度。

在完善管理制度时，要综合考虑各种因素对数字化档案信息安全的影响。在人员安全管理方面，要设立具体的安全审查制度、岗位安全考核制度、安全培训制度等。对已经存储的数字信息均应进行密级分类，对敏感信息与机密信息应当加密并脱机存储在安全的环境中，防止信息被窃听、变更与毁坏。在系统安全运行方面，要做好机房出入控制、环境条件保障管理、自然灾害防护、防护设施管理、电磁波与磁场防护等工作。设立操作安全管理、操作权限管理、操作规范管理、操作责任管理、操作监督管理、操作恢复管理、应用系备份管理、应用软件维护安全管理等制度。从技术上防止文件被人为地修改，增强电子文件的凭证性和可靠性。

3.3计算机安全管理。

由于计算机故障对数字化档案信息安全造成较大的损害，所以要做好计算机安全管理工作。应根据数字化档案信息系统的实际情况选择性能良好的的计算机硬件和软件。在选择计算机硬件和软件的过程中应注重计算机的品牌和服务器，全面对计算机硬件的兼容性和可扩展性进行一定的审核，这样做的目的是为了避免当计算机系统在升级时数字化档案信息的相关数据丢失。不仅如此，还要定期更新软件，选择更有利于处理数字化档案信息的软件，确保最大程度上发挥数字化档案信息的优势。

3.4信息技术安全管理。

依靠数字化档案信息安全管理人员在强度安全管理是不够的，还需要现阶段科学信息技术援助。为了保证数字化档案信息数据的安全，在数字化档案信息安全管理工作中可以运用一些先进的科学信息技术来提高数字化档案信息安全。例如，可以设置信息的访问认证，防病毒系统，同时也对数字化档案信息相关机密数据进行加密操作，以数据加密的形式，可以有效地防止数字化档案信息数据被一些木马病毒和被非法网站入侵，进行安全管理对保护数字化档案信息安全是非常有效的。

3.5提高管理人员的专业素质。

管理人员的专业素质对数字化档案信息安全管理来说至关重要，故而提高管理人员自身专业素质也是安全管理中的重要策略。相关的工作人员利用电子设施在网络环境中开展对应的相关工作，对相关的数字档案实现有效地管理，也就是个相关人员自身的能力大小对相关的数字档案工作的安全性有着比较大的影响。这就要求在具体的工作中，相关的数字档案管理人员要熟悉管理方面的相关专业理论，还要在具体的工作中树立其较强的管理安全意识，不断充实自己，提高数字化档案安全管理的实践工作技能。一旦工作中内部成员想要泄露档案信息，相关的管理人员就要切实提高警惕，有效的增强风险思想，确保信息在实际的工作中受到严密的保存;与此同时，有关的组织机构还要组织针对性的人员培训活动，有效地提高相关管理人员的安全理念，以此达到万无一失。除了以上几种管理策略之外还存在着其他管理策略，例如规范数字化档案信息归档存储流程，确保数字化档案信息的真实性与完整性，进一步确保数字化档案信息安全。

4结束语

综上所述，信息安全问题对于数字化档案来说至关重要，影响数字化档案信息安全的因素有很多，要不断的加强宏观管理、完善相关制度、做好计算机管理工作与信息安全管理工作，提高管理人员的专业素质，确保数字化档案信息安全问题。

作者：高红 单位：齐齐哈尔市依安县依安镇人民政府

信息安全管理论文:信息时代电子信息安全管理探讨

1电子信息安全管理概述

1.1电子信息安全管理概念

从当前经济社会发展情况来看，信息安全问题主要来源于信息技术，随着信息技术在现代经济、社会生活中应用范围进一步扩大，其对经济、社会发展的影响也是十分明显的。人们很早就已经开始了对电子信息安全的研究，但从研究结果来看，单独依靠技术手段是难以实现电子信息安全管理的。例如，在当前电脑防护中，防火墙、网络安全控制系统被大范围使用，但电子信息安全现象依然屡见不鲜，对技术人员而言，为获得更好的电子信息安全管理效果，需要重点考虑防火墙安全策略设计以及其物理保护控制问题，通过适当的程序支持来充分发挥信息系统作用。总体而言，信息安全管理=信息安全技术+信息安全管理支持。

1.2电子信息安全管理模型分析

在当前电子信息安全管理模型设置中，主要坚持传统PDCA模式如图1所示进行优化，其具体内容为：①P（策划）：根据组织业务运足要求与相关法律，确定本次电子信息安全管理的范围与要求，并通过相应的安全风险评估，确定控制目标与方式，并明确业务持续性计划。②D（实施）：在安全管理实施过程中，技术人员根据既定的组织计划对所选目标进行安全控制。③C（检查）：根据质量控制目标与法律法规要求，监视、验证安全管理过程与信息系统安全系数，及时总结安全现象并收集其中参数变化信息。④A（行动）：根据检查结果，分析安全管理措施的有效性，并持续改进。

2电子信息安全管理风险评估

2.1风险评估概念及模型

2.1.1风险评估概念

风险评估的核心就是对风险源的分析，在电子信息安全管理中，风险评估的作用十分明显。以企业为例，企业电子信息安全问题表现是多方面的，并且相互之间的作用、联系各不相同，若不能正确认识各个安全问题对企业电子信息安全问题的影响，将会对企业造成大量损伤。而在进行风险评估后，所有影响企业电子信息安全的要素都将被罗列出来，并根据本企业的实际情况、类似企业情况等，判断易诱发电子信息安全问题的要素，确保后续电子信息安全管理的科学性。

2.1.2风险评估模型

风险评估作为一个系统性工程，其具备相应的理论基础，并能根据相关理论对风险进行评价，常见的原理形式主要表现为：大数定律、惯性原理、统计推断原理等。当前在风险评估模型设计中，已经被研发出很多成熟的模型，包括人们所熟知的基于时间的PDR模型、动态安全APPDER模型等。

2.2风险计算模型

在确定其风险内容后，要对其风险值进行计算。本文结合威胁识别的相关内容，确定其计算模型为：R=f（AWT）式中：R代表风险；A代表资产；W代表脆薄弱点；T代表目标主体所面临的风险现象。

3电子信息安全管理技术分析

3.1技术维

技术维的核心就是进一步强化技术手段的安全保障作用，其所涵盖的内容主要包括计算机系统安全、网络安全等。

3.1.1计算机系统安全

（1）硬件安全。在电子信息安全管理中，硬件安全主要处理设备故障对系统安全造成的影响，建立容错系统是硬件安全的关键。采用双机容错模式，两台计算机上设置相同的系统，分别设置两个服务器处理系统运行，保证在某台计算机出现故障后，另一台计算机能有效承担所有工作。同时，要针对系统重要运行设备设置电源，必要时可以对整个机房建立单独供电室，并以多种线路的方式提供电源。（2）软件安全。系统设置：以C++语言编写设备多串口控制驱动，并通过Java中的JNI技术显示系统调用。在条件允许情况下，在后台数据库建设中以Oracle技术实现系统构造，并通过传统的数据库建立模型进行构建，该技术的要点为：①在主程序中建设数据库，并实现数据库的链接；②通过SQL语言操作获数据，并根据既定的操作要求进行数据处理；③链接数据库。在经过上述三个环节处理后，即可建立一次连接数据库。但要注意的是，按照上述步骤建立的数据库只能接受低频次的操作要求，一旦频次过高，系统所面临的运行压力增大，最终影响系统运行效果。安全管理：在软件安全管理中，主要通过权限认证进行角色访问控制，以企业为例，对其安全管理内容进行确定。①角色分配：建立用户管理模块，该模块主要具备用户信息增加、删除、修改等功能，并建立用户管理员与一般用户。在系统功能实现中，将功能代码布添加至管理角色权限中，并保存操作数据；创建用户账号，使用户登录系统能浏览器权限内部的内容。②加入身份信息：系统登录过程中先查询相关用户是否存在，若提示用户存在，则按照其权限为其提供信息，并统计员工权限。

3.1.2网络控制措施

（1）安全协议：安全协议对电子信息安全性产生重要影响。目前，TCP/IP协议已经被广泛使用，但协议中依然存在漏洞。其改进措施主要为：修改、补充原有协议或在传输层与网络应用层之间设置安全子层。（2）网间隔离技术：网间隔离技术是一种成熟的网域连接技术，其具体技术内容表现为：①服务器。控制两个网域之间的直接通讯行为，所有防火墙外的计算机主要通过服务器实现访问过程。在此过程中，服务器能控制对方访问级别，根据防火墙要求控制对方访问行为，当对方访问行为超出限制范围时，服务器将会组织。②路由器与过滤器。路由器能通过特定端口控制过滤器数据，通过对其加以路由实现控制；过滤器能选择通过网络层数据包，并以数据包为基础，确定IP目标地址与IP源信息，判断数据包能否通过。

3.1.3信息保护措施

保密技术是常见的信息保护措施，其操作要点主要包括：①通过网络操作系统提供的保密技术进行保密处理；②重视对数据库信息保密。针对可读形式的数据库，需要控制数据库访问权限，必要时可以建立监控系统监督数据库浏览服务情况。针对安全服务器支持访问情况，采取强制控制措施，实现多级授权描述；③通过现代加密技术，实现信息重组，只有信息发送、接受双方才能还原原有信息。

3.2管理维

（1）计算机场地安全管理。计算机场地是整个信息系统的核心，要将主机房选址于日常安全管理作为整个工作的核心。在计算机场地选址中，要综合考虑地震、台风等多种自然因素对房屋结构的要求，施工过程应满足国家《计算机场地安全要求》的相关内容。在主机房设备环境控制中，重视防尘、防火处理。（2）信息系统资料管理。信息系统资料管理主要针对系统信息进行控制。这些需要保护的资料可分为两类：软件系统记录资料与系统设备档案。在管理过程中，技术人员根据上述资料的种类与使用范围对其进行整理。（3）紧急恢复管理。紧急恢复管理又被成为灾难恢复，是指灾难发生后迅速采取处理措施，以降低电子安全问题造成的损失。在紧急恢复管理中，应该以明确的保护等级为前提，计划内容主要针对具体应急方案，能清晰明了讲述恢复的方法与步骤。（4）设立信息安全检查表。信息安全检查表的主要功能是针对对象日常工作信息进行安全管理，在该检查表中，主要内容包括信息安全通知、信息安全检查工作、信息安全检查表格等。

4结束语

主要讨论了信息时代背景下的电子信息安全管理的相关问题。对相关工作人员而言，在开展电子信息安全管理中，要正确认识本单位在信息安全管理中可能出现的风险现象，并在充分掌握各个安全因素的基础上，进一步完善电子信息安全管理方法，为获得更好的电子信息安全管理效果奠定基础。

作者：陈越我 单位：中国电子科技集团公司第十八研究所

信息安全管理论文:企业信息安全管理与风险控制

一、引言

企业经营信息对于企业来说是一种资源，对于企业自身来说具有重要意义，企业需要妥善管理自身企业的信息。近年来，企业的各项经营活动都逐渐开始通过计算机，网络开展，因此，企业的信息安全管理对于企业越来越重要。许多企业开始通过各种技术手段以及制度改革，把更多的注意力放在企业内部的信息安全管理工作，同时将企业信息安全管理与风险控制结合起来，这是一个正确的选择，能够帮助企业实现稳定经营。在介绍企业信息安全管理以及风险控制前必须厘清企业信息安全管理的概念与企业风险控制定义，因此，本节将着重介绍企业信息安全管理的概念以及企业风险控制的定义。企业的信息安全管理包含十分丰富的内容，简单来说是指企业通过各种手段来保护企业硬件和软件，保护网络存储中的各种数据不受偶然因素的破坏或者恶意的原因被攻击。对于信息安全的认定通过包括4个指标，即保证信息数据的完整，保证信息数据不被泄露，保证信息数据能够正常使用，保证信息数据能够控制管理。要想做好企业的信息安全管理，首先需要了解的是关于信息的传输方式。随着信息技术的不断普及，信息传递的方式越来越多，常见的信息传递方式主要有互联网传播，局域网传播，硬件传播等等。要想实现企业的信息安全管理，其中很重要的一项工作在于保护信源、信号以及信息。信息安全管理是一项需要综合学科知识基础的工作，从事企业信息安全管理工作的人员通过需要具有网络安全技术、计算机技术、密码技术、通信技术。从企业的信息安全管理来讲，最为关键的一项工作时保护企业内部经营信息数据的完整。经过近十年来的企业信息安全管理工作经验总结，企业信息安全不仅仅需要信息技术的支持，更需要通过建立完善的企业风险控制体系来帮助企业实现更好地保护企业信息安全的目标。所以，怎样把企业信息安全管理与风险控制融合起来就是摆在企业经营管理者面前的一道难题。企业的信息安全风险控制必须通过企业建立完善的企业信息安全风险体系实现。企业的信息安全风险控制是指企业在企业信息安全遭遇威胁之前，提前对企业的信息进行风险预估，并采取一系列的有针对性的活动降低企业面临的信息安全风险，从而尽可能减少因为企业本身信息安全管理中存在漏洞给企业带来不必要的损失。常见的企业信息安全风险体系建立主要包含以下几个方面的内容。第一，建立企业信息安全风险管理制度，明确企业信息安全管理的责任分配机制，明确企业各个部门对各自信息安全所应承担的责任，并建立相应的问责机制。第二，设置规范的企业信息安全风险管理指标，对企业存在的可能威胁企业信息安全管理的漏洞予以风险定级，方便企业管理者对不同的信息安全管理漏洞采取有区别的对策。第三，企业要加强对信息安全管理人员的培训，提高企业信息安全管理工作人员的风险意识，让企业内部从事信息安全管理工作人员认识到自身工作的重要性，让企业内部从事信息安全管理工作人员了解到规范自身行为，正确履行职责的重要性。第四，将企业信息安全管理与风险控制有效融合，重视企业信息安全管理工作，通过风险控制对企业内部信息安全的管理方式进行正确评估，找出现行的企业内部信息安全管理手段中存在容易忽视的地方。

二、企业信息安全管理与风险控制存在的不足

1.企业信息安全管理工作人员素质不高

对于企业来说，企业信息安全管理工作是一项极为重要而隐秘的工作，因此，必须增强对企业信息安全管理工作人员的素质要求。但是根据调查统计，目前很多企业对信息安全工作的管理仅仅停留在对企业信息安全管理工作人员的技术要求上，对企业信息安全管理工作人员的道德素养，职业素养，风险意识并没有严格要求。此外，绝大多数企业并没有意识开展对企业信息安全管理工作的道德素质的教育培训，并没有通过建立相关管理制度以及问责机制对企业信息安全管理工作人员实行监督，这无疑给别有用心或者立场不坚定的企业信息安全管理工作人员留下了危害企业信息安全的可乘之机。

2.企业信息安全管理技术不过关

企业信息安全管理工作涉及多许多技术，包括信息技术，计算机技术，密码技术，网络应用技术等等，应当说成熟的计算机应用技术是做好企业信息安全管理的基础，但是，现实是许多企业的信息安全管理技术并不过关，一方面企业的信息安全管理硬件并不过关，在物理层面对企业信息缺乏保护，另一方面，企业信息安全管理工作的专业技术没有及时更新，一些企业信息安全管理工作人员缺乏企业信息安全管理的实践经验，企业信息安全管理的知识也并没有及时更新，从而导致企业的信息安全管理理论严重滞后，这种技术的落后很容易让企业成为不法分子的攻击对象。近年来网络病毒的传播越来越猖狂，很多服务器、系统提示安全补丁的下载更新以及客户端的时常更新成为一个恼人的问题。作为一个行业中的大中型企业，企业内部设备数量比较多，尤其是客户端数量占了较大比重，仅仅靠少数几个管理员进行管理是难以承担如此大量的工作量。另外，企业信息安全管理系统不成熟也是一个重大的隐患。

3.企业信息安全管理制度不健全

企业信息安全管理制度不仅仅需要理论制度的完善，更加需要一系列配套监督机制保障企业信息安全管理的有效执行。通过调查分析，许多企业虽然建立了企业信息安全管理制度，但是通常情况下，这些制度只能流于形式，企业信息安全管理工作缺少有效的制约和监督，企业信息安全管理工作人员缺乏执行力。企业信息安全管理制度不健全，企业信息安全管理工作缺乏执行力常常体现在以下几个方面。第一，企业员工对于信息安全管理的认识严重不足，对企业信息安全管理工作不重视。企业内部计算机系统安全的计算机防病毒软件并没有及时更新，使用，甚至企业内部计算机的防病毒软件还被企业员工卸载了。部分企业员工认为自己的工作与企业信息安全管理不相关，认为做好企业信息安全管理工作仅仅是企业信息安全部门的事。第二，企业内部信息安全管理制度并没有形成联动机制，企业信息安全管理工作仅仅由企业信息安全部门“一人包干”，企业信息安全反映的问题并没有得到积极的反馈，一些企业领导对企业信息安全现状所了解的少之又少。

三、企业信息安全管理常见的技术手段

1.OSI安全体系结构

OSI概念化的安全体系结构是一个多层次的结构，它的设计初衷是面向客户的，提供给客户各种安全应用，安全应用必须依靠安全服务来实现，而安全服务又是由各种安全机制来保障的。所以，安全服务标志着一个安全系统的抗风险的能力，安全服务数量越多，系统就越安全。

2.P2DR模型

P2DR模型包含四个部分：响应、安全策略、检测、防护。安全策略是信息安全的重点，为安全管理提供管理途径和保障手段。因此，要想实施动态网络安全循环过程，必须制定一个企业的安全模式。在安全策略的指导下实施所有的检测、防护、响应，防护通常是通过采用一些传统的静态安全技术或者方法来突破的，比如有防火墙、访问控制、加密、认证等方法，检测是动态响应的判断依据，同时也是有力落实安全策略的实施工具，通过监视来自网络的入侵行为，可以检测出骚扰行为或错误程序导致的网络不安全因素；经过不断地监测网络和系统来发现新的隐患和弱点。在安全系统中，应急响应占有重要的地位，它是解决危险潜在性的最有效的办法。

3.HTP模型

HTP最为强调企业信息安全管理工作人员在整个系统中的价值。企业信息安全工作人员企业信息安全最为关键的参与者，企业信息安全工作人员直接主导企业信息安全管理工作，企业信息安全工作人员不仅仅是企业信息安全的保障者，也是企业信息安全管理的威胁者。因此，HTP模型最为强调对企业信息安全管理工作人员的管理与监督。另外，HTP模式同样是建立在企业信心安全体系，信息安全技术防范的基础上，HTP模式采取了丰富的安全技术手段确保企业的信息安全。最后，HTP强调动态管理，动态监督，对于企业信息安全管理工作始终保持高强度的监督与管理，在实际工作中，通过HTP模型的应用，找出HTP模型中的漏洞并不断完善。

四、完善企业信息安全管理与降低风险的建议

1.建设企业信息安全管理系统

（1）充分调查和分析企业的安全系统，建立一个全面合理的系统模型，安全系统被划分成各个子系统，明确实施步骤和功能摸块，将企业常规管理工作和安全管理联动协议相融合，实现信息安全监控的有效性和高效性。

（2）成立一个中央数据库，整合分布式数据库里的数据，把企业的所有数据上传到中央数据库，实现企业数据信息的集中管理与有效运用。

（3）设计优良的人机界面，通过对企业数据信息进行有效的运用，为企业管理阶层人员、各级领导及时提供各种信息，为企业领导的正确决策提供数据支持，根本上提高信息数据的管理水平。

（4）简化企业内部的信息传输通道，对应用程序和数据库进行程序化设计，加强对提高企业内部信息处理的规范性和准确性。

2.设计企业信息安全管理风险体系

（1）确定信息安全风险评估的目标

在企业信息安全管理风险体系的设计过程中，首要工作是设计企业信息安全风险评估的目标，只有明确了企业信息安全管理的目标，明确了企业信息安全管理的要求和工作能容，才能建立相关围绕信息安全风险控制为目标的信息安全管理工作制度，才能顺利通过对风险控制的结果的定量考核，检测企业信息安全管理的风险，定性定量地企业信息安全管理工作进行分析，找准企业信息安全管理的工作办法。

（2）确定信息安全风险评估的范围

不同企业对于风险的承受能力是有区别的，因此，对于不同的企业的特殊性应该采取不同的风险控制办法，其中，不同企业对于能够承受的信息安全风范围有所不同，企业的信息安全风险承受范围需要根据企业的实际能力来制定。不仅如此，企业的信息安全风险评估范围也应当根据企业的实际经营情况变化采取有针对性的办法。

（3）组建适当的评估管理与实施团队

企业信息安全风险控制体系的建立需要企业内部各个部门的参与，因为各个部门工作人员对于企业风险的认是有所不同的，企业要想了解企业承担的经营管理风险，就必须让企业各个部门工作人员共同参与进来。

作者：孙天天 单位：浙江财经大学东方学院

信息安全管理论文:高校计算机信息安全管理体系设计

一、高校计算机信息安全管理体系的现状

计算机信息系统安全部分实质计算机信息系统在应用过程中发生国家秘密和高校保密信息以及个人资料信息。在高校信息安全的体系构建中个，信息的保密和完整性具有重要的保障意义，对相关信息需要对责任和真实性进行分析，得出一个建立在这些原则基础上并维护和应用的信息安全体系。对其风险评估需要在信息安全管理工作后对其改进的方向得出整改意见，目前相关主管部门对高校的计算机信息安全进行了资产列单。对每个资产项目都进行了准确评估，把信息资产作为计算机信息安全的重要保护对象，建设了相应的应用和信息集成模式，提高数据中心的操控支配和数据管理能力。在计算机信息系统构筑的校园信息网络结构中，对校园内特定地点才可对其相关数据进行信息访问等多方面进行了管理和限制。

二、高校计算机信息安全管理体系的问题

（一）物理层面的安全问题。

高校计算机信息系统受到如地震水灾等自然灾害和突发自然事件造成的破坏，也存在因设备老化或毁损以及计算机操作系统的崩溃造成的信息资料损失，和服务器设备丢失或被破坏等物理层面的安全问题。

（二）网络层面的安全问题。

校内网络是连接整体外界互联网络的，容易受到来自外界互联网的恶意攻击，同时整个数据在校内局域网络进行传播时在没有对数据进行加密情况下被监控和改变也会发生。并且在计算机病毒从外界互联网和内部校内局域网都可以进入到整个系统中，破坏存储的数据和操作系统。最后，在路由器和相应的体系辅助设备中也存有安全漏洞问题。

（三）应用层面的安全问题。

体系的数据中心拥有着计算机信息校园整个关于教学和科研以及各高校主要构成的数据信息运行工作，是高校计算机信息系统管理的核心。在用校内局域网络进行连接促使信息高效应用中也产生了任何网络终端都可以进入整个数据中心，在安全层面造成了风险。

（四）数据层面的安全风险。

高校计算机信息系统是对数据进行输入和整理以及提供服务的过程，大量的数据交换和数据储存和相应的数据修改调整都面对各层面的安全风险威胁。

三、高校计算机信息安全管理体系的对策

（一）物理层面的安全对策。

对物理层面的安全防护需要在成本和管理机制优化上进行考虑，对每个零散的设备单元统一进行管理防护。对相应的重要数据库和重要的配置服务器设备要进行统一的机房维护，在机房的环境和温度以及湿度上都要进行考虑和定期测量。同时，在机房内的电路电源以及出现停电时的后备电源要进行保障，对出现机房建筑不稳定和受到外界干扰影响程度大时，要及时进行修复。同时每个核心设备间要有足够的距离保证不受到电磁辐射的干扰。

（二）网络层面的安全对策。

目前高校的外联手段会涉及到网卡和蓝牙以及USB等相应设备，这些终端的维护和保障是可以防止常规的恶意侵害方式的。要在固定网络中设有相应的端口输入限制和对协议不完整的连接及时终端，相关交换机实现对用户搜索的数据整理的规范化。

（三）应用层面的安全对策。

高校计算机信息系统是面向校园内信息数据流动而服务的，在各个相关服务器和数据库中需要加强安全域的建设，并对每个需要防护的病毒和数据保障方案和备份方案都要进行统一建立。在主要信息存在的数据中心内要对所涉及的各计算机信息系统硬件和相应配置设备，以及数据资源进行定期维护和安全级别的相应建立，监控和预防可能出现的各种情况。对数据中心的安全域级别设定为顶级并加强各分支系统的保障手段。

（四）数据层面的安全对策。

对本地需要加密的数据做好相应的储存和终端防护，对设立相应安全文件夹，由专人进行管理。对每个需要写入的储存信息，进行写入指令的控制，要求具有一定安全性的信息可以写入数据储存设备。每个客户端口要建立USB安全管理策略，需要系统内部认证并通过才可以进行只读等权限设定。

四、结论

高校计算机信息安全管理体系的设计与实现是对高校信息化建设深入发展的一个必然过程，随着信息技术的发展和高校信息化规模延伸暴露的问题也会越来越多，研究出合理的应对与预防机制是具有现实意义的。

作者：范婷婷 单位：新疆轻工职业技术学院

信息安全管理论文:信息安全管理企业转型研究

1加强安全管理，助力企业转型

在国际信息安全环境日趋恶劣，国家全面倡导信息安全的大环境下，为了确保信息安全工作的可持续性开展及业务信息系统的稳定运行，依据集团总部《关于建立集团公司网络与信息安全组织保障体系的通知》、鄂通信局发[2013]127号《关于进一步落实基础电信企业网络与信息安全责任考核及有关工作的意见》等相关文件精神，同时参考《GA/T708-2007信息安全技术-信息系统安全等级保护体系框架》、《GB/T22239-2008信息安全技术-信息系统安全等级保护基本要求》《GB/T20269-2006信息安全技术-信息系统安全管理要求》、《GB/T0984-2007信息安全技术-信息安全风险评估规范》等国家标准，制定了《信息安全管理办法》、《信息安全策略》、《安全保障框架》及《安全保障基线规范》规范等，率先在企业内建立并实施该体系，全面倡导企业向信息安全生产经营转型，同时积极引导合作伙伴树立信息安全意识，规范自身的生产及合作行为，明确安全风险责任、细化管理要求，立足自身，兼顾第三方，共同打造信息安全的绿色长城，确保企业长足健康发展。通过该安全管理体系的实施，从中全面深入地挖掘现有安全体系的不足之处，并针对现有业务系统中的各类安全隐患制定了有效的整改方案并予以实施、预警，确保了移动互联网业务的可持续性发展及业务信息系统的稳定运行。首先，组织完成企业的自有业务信息系统和合作业务信息系统的安全等级划分工作，将平台安全管理工作落实到具体的责任人，并签署责任状，从而树立全员安全责任意识，实现人人参与安全管理。定期采用SysInternalsSuite、Nmap、Nes-sus、Openvas、Metasploit等技术对业务信息系统进行安全扫描、安全审计，并应用HIVE、Waka、PIG、Mahout等工具对海量日志、数据进行分析和审核，发现相关漏洞与脆弱点，并针对自有及合作业务信息系统编写了整改建议和系统层面的加固方案。通过持续对自有及合作信息系统的检查，共发现自有业务信息系统存在各类安全漏洞攻击39处，合作业务信息系统存在各类安全漏洞14处，目前这些漏洞已经全部整改与加固完毕，消除了安全隐患。其次，以信息安全管理为导向，组建了由电信营运商、合作伙伴、专业公司三方共同构成的一支业务信息系统安全管理团队，通过从合作业务管理规范的建立到合作伙伴安全技能培训，从信息安全制度宣贯到系统安全处罚办法的落实执行，从系统安全的定期评估到系统漏洞的及时加固等一系列举措，最终创建一套业务信息系统全新的安全管理模型，提高业务信息系统运行质量和服务能力，提升创新业务品牌形象。从安全管理模型启用至今，未发生一起信息安全事故，这样强化了合作伙伴的信息安全概念，督促合作伙伴在发展业务的同时也重点关注信息安全问题，极大地降低了由于合作系统的信息安全漏洞导致的中病毒或木马、假冒网站、账号或密码被盗、个人信息泄露等客户信息安全事件的发生概率，此类原因造成创新业务投诉比率和往年相比降低了15%，改变了用户对创新业务的固有印象，建立了良好的创新业务服务品牌形象。此模型具备良好的可复制性，可指导通信领域运营企业开展信息安全工作。在全国率先打造这套移动互联网业务安全管理体系，包含一系列业务系统信息安全管理办法、信息安全策略、安全保障框架、安全保障基线规范等相关业务系统管理制度及规范，业务系统安全管理体系的先进性和时效性在通信行业内名列前茅，同时通过近两年的安全理论研究和安全评估加固实践，针对当前企业业务平台系统在信息安全监管中面临的一些问题，对当前主流关联分析技术进行研究的基础上，提出了一种新的安全事件关联分析技术。该技术涉及到多源数据预处理、报警聚合、关联分析、大数据分析和安全状况态势评估等相关技术。此技术运用到电信行业的信息安全监管上，就能够对监控设备收集的日志及安全设备产生的告警进行关联分析和挖掘，从包含大量冗余信息的数据中提取出尽可能多的隐藏的安全信息，通过对此类信息的统计、浓缩、总结、关联和分类，抽象出利于进行判断和比较的特征库，并智能地学习和维护其特征库，从而在提高安全事件报警准确率的情况下保证极高的识别效率。同时该安全管理体系成功应用到与百度公司合作开发的爱奇艺视频业务系统、与腾讯科技公司联合开发的微信平台、与奇虎科技公司共同开发的安全卫士手机应用系统，得到部分在美国纳斯达克上市的中国互联网精英公司的高度认可和赞许，并表示今后与电信运营商共同开发产品都依照此安全管理规范和体系，确保产品的各项安全性能指标。

2创新点

为顺应移动互联网时代，运营商从基础通信运营向流量运营转型的新趋势，湖北移动确定了“业务转型，安全先行”的发展思路，坚持“以安全保发展、以发展促安全”。在已有的网络与信息安全管理办法的基础上，积极开展适应移动互联网时代安全管理体系建设，不断推进科学的安全管理方法，做到六“注重”六“突出”，即：（1）注重整体规划，突出体系建设，促进职责高效履行。制定下发安全标准化管理与评价体系建设计划，内容涵盖安全工作方针目标、安全目标、各方职责、安全管理体系和模式、安全设施和机房环境保护设施标准、安全文明操作保证金、安全考核与奖惩、过程的主要控制措施、应急准备和响应等方面。严格按计划有序开展体系建设工作；严格按体系文件要求开展业务或系统试运行工作；加强保证与监督体系的建设。（2）注重文化建设，突出信息安全特色，促进习惯养成。以人为本，加强企业安全文化建设，促使安全文化落地，提高员工安全与风险防范意识。（3）注重教育培训，突出行业特色，达到安全管理效果。通过多种渠道、形式多样的安全教育和培训方式，组织各单位安全管理人员开展安全教育和培训工作：一是安排专家和行业资深人士进行专题讲座；二是在专题培训的基础上，做好网络与信息安全专项工作如何开展的培训。（4）注重设备管理，突出针对特色，实现安全管理精细化。首先，网络设备较多，加强网络安全管理提高设备安全可靠性是首要任务，为此各维护单位对每台设备均建立了安全技术台帐，台帐包括运行记录、检查保养记录和定期检验记录。其次，组织精干力量先后两次对所有设备、流程、机房进行全面的安全评估工作。第三，使隐患排查整改形成机制。（5）注重安全投入，突出专用特色，合理使用安全生产费用。认真落实安全管理费用投入长效机制，加大安全费用的管理，做到专款专用，确保安全生产费用规范化、合理化和足额投入。并加强安全生产保证金的管理，建立安全生产保证金并实行年底考核的机制，有效促进了安全管理工作。（6）注重应急预案，突出超前特色，安全管理赢在主动。在安全管理中，把预防工作落到实处，建立健全了应急处置机构，将应急处置工作进一步制度化，规范化，形成了完整的安全事故预防体系。同时，开展形式多样、符合实际的应急演练。

3结语

全新的移动互联网业务安全管理体系具备创新性、可复制性，对此领域企业具备示范和指导意义。目前已经被省公司相关专业部门采纳，计划结合信安部工作在全国范围内进行推广，同时在移动互联网行业领域，成为行业巨头制定与电信运营商合作开发产品的管理规范。此安全管理体系在企业应用范围涵盖的业务生产中，带来了巨大经济效益和社会效益，通过持续对自有及合作信息系统的检查，共发现自有业务信息系统存在各类安全漏洞攻击67处，合作业务信息系统存在各类安全漏洞30处，成功处理异常安全入侵26次，避免了平台业务收入的损失。

作者：彭敏 廖振松 单位：湖北移动政企分公司湖北移动网管中心

信息安全管理论文:供电企业信息安全管理论文

1电力信息安全

信息安全是指计算机网络系统中的硬件、软件和其他数据等不受非法用法的破坏，主要指未经授权的访问者无法使用访问数据和修改数据，而只给授权的用户提供数据服务和可信信息服务，并保证服务的完整性、可信性和机密性。电力信息安全是指供电系统中提供给用户或公司内部员工的数据是安全的、可信的。供电公司管理系统是个繁杂的系统，涉及用电客户和公司内部员工及第三方托管服务公司，系统的信息安全一直是公司发展的瓶颈。正确评估供电公司信息安全系统的合理性和安全性，针对安全风险进行分析，最后制订供电公司信息安全的策略非常重要，也是至关重要的。

2供电企业信息安全的影响因素

尽管供电公司投入了大量的财力、物力建设电网信息安全系统，但供电企业内部网络仍不健全，存在许多安全隐患。另外，供电公司信息化水平不高，信息安全保障措施薄弱也制约了其信息安全系统的建设。要构建一个健全的供电公司信息安全保障体系，就要首先分析供电公司信息安全的影响因素，对症下药，进一步提出供电企业加强信息安全管理的对策。

2.1不可抗拒因素

所谓“不可抗拒因素”，就是由于火灾、水灾、供电、雷电、地震等自然灾害影响，供电公司的供电线路、计算机网络信号、计算机数据等受到破坏，并威胁到供电公司的信息安全。

2.2计算机网络设备因素

供电公司计算机系统中使用大量的网络设备，包括集线器、网络服务器和路由器等，其正常运行关系着供电公司内部网络的正常运行，而计算机网络设备的安全直接关系着供电公司的正常运行。

2.3数据库安全因素

供电公司计算机系统监控用户峰值，管理用电客户信息及其他用户缴费等情况，计算机数据库的系统安全决定了供电企业的调度效率，也决定了供电公司公共信息的安全。供电公司应该使用专用网络设备，确保企业内部网络与外部互联网的隔离。

2.4管理因素

供电公司员工的业务素质和职业修养参差不齐，直接影响到供电公司的网络安全。供电公司应该建立过错追究制度，提高员工的信息化素质，有效防止和杜绝管理因素造成的信息安全问题。

3供电企业加强信息安全管理的对策

3.1提升员工信息安全防患意识

开展信息安全管理工作，并非仅仅是系统使用或者管理部门的事，而是企业所有职工的事，因此，要增强全体员工的信息安全和防患意识。通过采取培训和考核等有力措施，进一步提升全体员工对企业信息安全的认识，让信息安全成为企业日常工作业务的一个组成部分，从而提升企业整体信息安全水平。

3.2采用知识型管理

传统的安全管理大部分采取的是一种硬性的管理手段。在当今知识经济的时代，安全管理应当以知识管理为主，从而使得安全管理措施与手段也越来越知识化、数字化和智能化，促使信息安全管理工作进入一个崭新的阶段。

3.3设置系统用户权限

为了预防非法用户侵入系统，应按照用户不同的级别限制用户的权限，并投入资金开展安全技术督查和安全审计等相关活动。信息安全并非一朝一夕就能完成的事，它需要一个长期的过程才能达到较高的水平，需建立并完善相应的管理制度，从平时的基础工作着手，及时发现问题，汇报问题，分析问题并解决问题。

3.4防范计算机病毒攻击

加速信息安全管控措施的建设，在电力信息化工作中，办公自动化是其中一项非常重要的内容，而核心工作业务就是电子邮件的发送与接收，这也正是计算机病毒一个非常重要的传播渠道。因此，必须大力促进个人终端标准化工作的建设，实现病毒软件的自动更新、自动升级，不得随意下载并安装盗版软件；加强对木马病毒等的安全防范措施，对用户访问实施严格的控制。

3.5完善信息安全应急预案

严格规范信息安全事故通报程序，对于隐瞒信息事件的现象，必须严肃查处。对于国家和企业信息安全运行动态，要及时通报，分析事件，及时信息安全通告。对于己经制定的相关预案和安全措施，必须落到实处。另外，还要进一步加强信息安全技术督查队伍的建设，提高信息安全考核与执行的力度。

3.6建立信息安全保密机制

加强信息安全保密措施的落实，禁止将涉密计算机连接到互联网及其他公共信息网络，完善外部人员访问的相关授权、审批程序。定期组织开展信息系统安全保密的各项检查工作，切实做好涉密文档的登记、存档和解密等环节的工作。

4结束语

为了保障国民经济的快速发展，就要确保供电系统的稳定安全，就要合理应用计算机网络管理供电公司网络，科学管理供电网络信息，促进企业的可持续发展。供电公司要充分利用好企业内部网络，提高劳动生产率，并加强网络信息安全监控，加强企业内部优化，创新供电企业服务意识，加强供电企业信息安全管理对策，适当提高供电企业信息化管理水平，保证供电企业的信息安全。

作者：吴金文 程丽琴 单位：国网赣西供电公司安全监察质量部

信息安全管理论文:供电企业中网络信息安全管理论文

1目前我国供电企业网络信息管理现状

（1）内网网络结构不健全。

现阶段，我国的供电企业内网网络结构不够健全，未能达成建立在供电企业内部网络信息化的理想状态。中部市、县级供电公司因为条件有限，信息安全工作相对投入较少，安全隐患较大，各种安全保障措施较为薄弱，未能建立一个健全的内网网络系统。但随着各类信息系统不断上线投运，财务、营销、生产各专业都有相关的信息系统投入应用，相对薄弱的网络系统必将成为整个信息管理模式的最短板。

（2）存在于网络信息化机构漏洞较多。

目前在我国供电企业中，网络信息化管理并未建立一个完整系统的体系，供电网络的各类系统对于关键流程流转、数据存储等都非常的重要，不能出现丝毫的问题，但是所承载网络平台的可靠性却不高，安全管理漏洞也较多，使得信息管理发展极不平衡。信息化作为一项系统的工程，未能有专门的部门来负责执行和管理。网络信息安全作为我国供电企业安全文化的重要组成部分，针对现今我国供电企业网络安全管理的现状来看，计算机病毒，黑客攻击造成的关键保密数据外泄是目前最具威胁性的网络安全隐患。各种计算机准入技术，可移动存储介质加密技术的应用，给企业信息网络安全带来了一定的保障。但是目前供电企业信息管理工作不可回避的事实是：操作系统正版化程度严重不足。随着在企业内被广泛使用的XP操作系统停止更新，针对操作系统的攻击将变得更加频繁。一旦有计算机网络病毒的出现，就会对企业内部计算机进行大规模的传播，给目前相对公开化的网络一个有机可乘的机会，对计算机系统进行恶意破坏，导致计算机系统崩溃。不法分力趁机窃取国家供电企业的相关文件，篡改供电系统相关数据，对国家供电系统进行毁灭性的攻击，甚至致使整个供电系统出现大面积瘫痪。

（3）职工安全防范意识不够。

想要保证我国网络信息的安全，就必须要提高供电企业员工的综合素质，目前国内供电企业职员的安全防范意识不强，水平参差不齐，多数为年轻职员，实际操作的能力较低，缺少应对突发事件应对措施知识的积累。且多数老龄职工难以对网络信息完全掌握，跟不上信息化更新状态，与新型网络技术相脱轨。

2网络信息安全管理在供电企业中的应用

造成供电企业的信息安全的威胁主要来自两个方面，一方面是国家供电企业本身设备上的信息安全威胁，另一方面就是外界网络恶意的攻击其中以外界攻击的方式存在的较多。现阶段我国供电企业的相关部门都在使用计算机对网络安全进行监督和管理，难以保证所有计算机完全处在安全状态。一般情况下某台计算机泄露重要文件或者遭到黑客的恶意攻击都是很难察觉的，这就需要加强我国供电企业进行安全的管理，建立病毒防护体系，及时更新网络防病毒软件，针对性地引进远程协助设备，提高警报设备的水平。供电企业的信息系统一个较为庞大且繁杂的系统，在这个系统中存在信息安全风险也是必然的。在这种情况下就要最大程度地降低存在的风险，对经历的风险进行剖析，制定针对性的风险评估政策，确立供电企业信息系统安全是以制定针对性风险评估政策为前提的，根据信息安全工作的紧迫需求做好全面的风险评估至关重要。“掌握核心技术”不只是一句简单的广告词语，还是国家和各个企业都应该一直贯彻落实的方针政策。为了避免外界对我国供电企业信息技术的操控，国家相关部门就必须实行自主研发信息安全管理体系，有效地运用高科技网络技术促使安全策略、安全服务和安全机制的相结合，大力开发信息网络，促进科技管理水平的快速提高，以保证我国供电信息管理的安全。

3结语

为了确保供电企业的安全，根据时展需要与时俱进，合理地运用网络信息来进行科学的管理，有利于促进我国供电企业的可持续发展。供电企业在运用网络的同时注意好对网络信息安全的监控，不断优化内部管理，提高创新意识，制定好有效的风险防范措施，适时提高我国供电企业职员的素质水平，为实现我国供电企业信息管理提供可靠的保证。

作者：胡滔 单位：国网湖南省电力公司临湘市供电分公司

信息安全管理论文:海港工程建设项目信息安全管理论文

1加强移动存储介质的管理

移动存储设备管理主要是指当存储设备插入主机系统时，主机根据判断设备识别信息与数据库中身份注册信息是否相符，再确定该移动存储介质是否能够被主机系统激活并为用户所用。然后根据用户权限决定其所能使用的接口数量，如果超出则移动存储设备自动弹出。建立合适的安全组织机构能合理地协调各方面因素，实现安全管理的规范化、科学化，通过各级组织机构对海港工程项目各级成员单位的信息安全建设进行监督管理和检查指导，统一规划和设计出海港工程项目信息安全管理体系，保证安全策略有机整合，避免安全漏洞。在部门之间，信息管理部门主要负责信息安全技术，在安全管理上与本单位的保密部门、机要部门等相关部门协调合作，共同做好信息安全管理工作。

1．1限制外接设备和接口

接口限制主要包括两个部分：外接存储设备接口与网络接口限制。一方面要限制外设接口滥用，一方面也要避免内部人员利用网络接口私自接入非法主机或接出外网。对USB接口统一管理，要求在不影响鼠标、键盘等外接设备正常运行的前提下严格管理和控制存储设备接口的使用；对打印机、刻录机、光驱、软驱等常规外接设备严格限制，做到有用监管、无用封禁、统一管理、集中使用，避免内部人员私自利用本地打印或刻录方式窃取涉密信息；对涉密存储设备做到严格管制，专盘专用，由保密办负责编号登记，标明密级并由专人保管，需使用时向保管部门借出并及时交还，不得在涉密计算机上使用未经认证的存储设备或将曾存储、处理过涉密信息的存储设备挪作他用。

1．2实施集中刻录和打印安全审核

海港工程项目内部网络有着极高涉密安全需求，除了需要防止用户通过移动存储设备拷贝涉密信息外，也需要预防有人通过光盘刻录、打印等传统手段下载机密信息。因此光盘刻录工作集中在专项部门进行，用户在使用前必须首先获得许可，并全程跟踪光盘的流向及使用情况。打印安全简单来讲就是需要确保敏感或机密信息不在打印环节遭到泄露。首先需要屏蔽用户主机的打印机接口，接着由用户端发起打印申请，审批备案后，再经过海港工程项目信息安全管理中心统一授权的打印机构予以打印。在打印过程中应注意以下几点：确保打印资料从电脑传输到打印机网络的过程中不被他人恶意截取；确保打印好的文件不会被人有意无意取阅或拿走；对施工人员的打印作业进行有效的监控和管理，特别是严格落实与打印相关的审核和控制；对打印的完整生命周期的管理，包括权限认证，任务发起，任务审核，拷贝销毁等等；要求对所有安全文档进行分级管理，按照涉密的级别打印，并进行精细化管理。

1．3防止存储设备管理失控

海港工程项目在项目的施工过程中，往往会涉及许多的施工单位和部门，因此，使用存储设备进行信息的临时性存储便变得十分平常，海港工程项目信息系统中大量的涉密信息都存储在软盘、磁盘和光盘里，而这些载体又十分容易被使用者带入不安全的环境之中，发生载体丢失、被盗或存储介质受到损毁等意外情况，造成严重的信息泄露事故，给国防和军队建设造成重大损失，故必须加强此方面的防范力度。对于废弃磁介质的管理，由于磁性介质具有剩磁特性，因此存储过涉密信息的磁性存储介质可能会因为存储介质永久性磁化而造成信息的泄露。对于存储过涉密信息的废旧存储设备和介质必须严格控制其流通的范围，按照信息安全管理的相关规定和流程将准备废弃的设备交到保密机构集中统一保管或进行严格规范的脱密、销毁，并办理好相应的登记手续。

2加强纸质文档资料的管理

在海港工程项目建设的过程中，信息在流动时，人们通常会使用大量的纸质类文件来记录、保存和传输各种涉密的信息。为防止这些纸质文档上的资料和信息泄露。一般需要采取以下措施进行科学管理：严格遵守保密条例中的各项规定和制度要求，特别要严禁文档资料的非法复印；在文件和文档资料制作过程中，为防止丢弃的草稿纸、复写纸、计算机表格、演算纸、数据卡片和学习笔记等“废纸”造成泄密，必须严格按照保密守则销毁一切废品，并将所有废纸及时进行粉碎和焚烧；严格控制相关文档资料的传阅范围和人群，同时，还应周密审查、严格控制在各种报纸杂志等媒体上的消息，防止间接泄露海港工程项目涉密信息。

3加强办公设备和工地设备的管理

3．1强化电脑设备的审核与管理

严格区分涉密、非涉密计算机，涉密计算机必须登记在册，非涉密计算机严禁储存涉密信息。通过用户访谈和网络收集工具，从技术、管理、策略等角度更深层次地了解与海港建设项目信息相关的安全要素，挖掘出信息安全管理背后的风险。并收集海港工程项目信息安全管理的网络信息，主机开放端口信息及共享信息等情况。通过网管软件对涉密计算机进行实时监控，对海港工程项目内部网络的数据和信息流进行安全审核，对工作人员操作及用户行为进行记录，建立即时预警平台并留存操作证据，以便信息安全管理部门的工作人员远程监控、查找和跟踪线索。

3．2强化对工地施工设备的审查和管理

随着信息技术的飞速发展和高新技术手段的应用，信息的承载和传输方式由有形、有线向无形、无线发展，使信息管理难度加大。信息技术在施工设备上的使用和藏匿方式更加多样化，使海港工程项目面临的窃密和泄密威胁进一步增大。海港工程项目信息安全管理部门应重点做好防范“预置陷阱”危害的工作，预置陷阱是指在信息系统、设备、部件中人为地预设了一些陷阱。例如：从境外引进的信息产品和工程施工设备很可能带有“技术后门”和“陷阱”，对信息安全带来严重隐患。因此，必须对所有参与竞标的单位的施工设备进行严格的技术和安全审查，并制定一套有效的“技术后门”和“陷阱”应急处置方案。由于海港工程项目中使用的信息产品有许多都是由外企生产或外方经营控制的，因此，务必加强对海港工程项目内部施工和通讯等设备的管理，做好施工设备的电、磁、光、声泄露防护，避免因对施工设备审查不严而造成涉密信息的泄露。

作者：柴东洋 战希臣 郑海平 单位：海军航空工程学院

信息安全管理论文:信息安全管理培训论文

一、管理干部需要进行信息安全管理技能培养

国家、省市已经颁布各种法律法规，各大单位也根据自己的具体情况，建立了自己的规章制度，维护信息安全已经有法可依。但是信息安全管理工作涉及的知识面非常广，需要了解国家信息安全管理法规，需要学习信息技术一般理论，需要知道信息安全漏洞知识，需要明白信息安全禁令范畴。为提高学习效率和质量，全面掌握信息安全理论和方法，按照信息安全管理知识体系，建设信息安全管理教学系统，提供学习信息安全管理的教学条件，从而为各方面人员学习和执行各种规章制度提供依据。相比其他管理工作，信息安全管理工作需要比较多的理工专业基础和比较高的电脑技术要求，在实际的信息安全管理工作中，需要灵活的信息安全管理处置能力，更多的是判断信息安全问题、识别信息安全陷阱、规范信息安全管理。由于知识背景和工作性质特点，管理干部需要花费更多的时间和精力学习信息安全管理知识和技术，才能具备基本的信息安全防范技能。为帮助他们更好地独立处置信息安全管理问题，掌握发现问题解决问题技能，依据现代教育理念和方法，不仅需要提供深入浅出、知识完备的知识体系学习训练系统，而且需要信息安全管理能力训练系统。

二、信息安全管理培训思路

为满足信息安全管理工作在人员培训方面的需要，需要依托各级培训学校，按照国家和省市地方的制度法规，借助现代教育思想，借助现代教育技术，明确符合实际需要的功能定位，建设信息安全管理复合应用型人才培训体系，实现信息安全管理工作对培训教育、终身教育的培训要求。

1.培训依据

（1）依据各种信息安全管理制度法规。信息安全人员在履行工作职责的时候，必须按照各种信息安全管理法规、制度和要求实施，制订人才培养方案和教学计划必须依据国家、省市和本部门的信息安全管理的相关规定，这样的教学内容才能保证人才培养的针对性和实用性，保证管理干部履行信息安全管理职责的有效性。涉及信息安全制度法规的相关文件很多，有的是专门为信息安全制订的，有的制度和法规散落在各个业务管理制度中。在建设信息安全管理知识体系时，必须将业务部门的相关规定融入知识体系中，使得管理干部在处理具体业务中的信息安全管理工作具有针对性和有效性。

（2）符合培训教育特点规律。信息安全管理技能是从事管理工作人员的基本技能，属于岗位专业培训或专业技能培训，属于培训教育培训。受训人员专业背景不同，理论基础不同，学习能力不同，必须避免统一教材、统一授课、统一训练、和统一考核的传统教学模式，采取因人而异、因材施教的有针对性的教学方式，强调个性化学习，将不同层次受训者的信息安全管理能力达到信息安全管理工作所需要的水平上来。

（3）遵循现代教育思想。在实施教育训练过程中，现代教育思想要求采取“学为主体、教为主导”的教学理念，学员能够方便地获得完整的知识体系和解决问题的技能和方法，自主学习，开放学习，自主理解、掌握知识和技能。为实现教学目的，需要分析信息安全管理技能特点，需要分析管理干部学习动力，结合教学目标，设计学员学习和训练的教育训练环境，提供完整的知识体系、丰富的教学资源、模拟的问题情况、交互的学习平台和方便的使用途径，提供与培训教育特点规律和技能训练要求相适应的培训条件。

2.信息安全管理培训目标

按照信息安全管理工作的实际情况，培养信息安全管理工作中管理、业务和技术三支人才队伍，突出业务和管理人才需要，兼顾信息安全技术人员的人才培养，以现代教育思想为指导，以信息技术为核心支持技术，建设满足信息安全人才培养的现代培训条件。信息安全管理培训以管理干部为培训对象，以信息安全管理工作为培训内容，区分信息安全管理人员、业务干部和信息技术专门人员等不同层次，跟踪信息安全管理形势，实行阶段反复轮训，以适应信息安全管理不断发展的需要，确保信息安全管理工作的正常开展。

三、信息安全管理培训环境构建

为适应信息安全管理培训需要，适应管理干部培训教育需要，必须构建遵循信息安全管理规定、符合现代教育思想、依托信息技术手段、瞄准复合型适用人才培养的教育环境。信息安全管理培训条件涉及面很广，包括组织机构、舍堂馆所、师资队伍、后勤保障等等，这里我们更关心符合培训思路的培训模式和教学支持。从知识体系、学习途径、训练场所和训练系统多方面着手，构建信息安全管理训练体系，构建管理人员信息安全人才培养条件。依据教育信息化研究成果和培训教育教学特点，需要建立完整的信息安全管理知识体系，建立开放式、自主式教育网络平台，建立强时效性的教学资源体系，建立信息安全管理知识测试系统，建立信息安全管理能力训练系统，等等。

1.构建信息安全管理知识体系

培训教育的一个特点就是受训对象知识背景和技能掌握程度千差万别，必须首先建立完整的知识体系，以满足不同基础、不同需求受训者对知识掌握和能力训练的要求。知识体系必须建立覆盖学科知识和管理手段的所有内容，包括理论体系和教学资源两部分，其中理论体系包括基础知识、安全理论、规范制度、管理方法、历史沿革、防范手段和操作方法，教学资源包括现状分析、经典案例、技术讲解、训练题库和数据模型，适应和满足每个受训对象的需求。为满足个性化服务需要，可以按照知识点建设模块化框架结构，设计具备菜单选择功能的专家系统，允许受训者建立适合自己的个性化教学计划和实施方案，确保受训者完成培训任务后胜任安全管理的岗位需要。可以建立智能教学计划生成系统，系统对每位受训者进行知识和技能测试，按照教学目标，根据测试结果，将该学员没有掌握或掌握不够的知识内容和技能形成列表，从知识体系中搜寻相关知识和技能的概念、理论、技术和操作技能，形成该受训者个性化的教学计划。随着信息技术的发展和信息安全管理需求的变化，信息安全管理知识体系应该是动态更新的，剔除修改陈旧的，充实替换实用的。

2.搭建开放、共享和交流的网络平台

网络平台是信息资源共享的基础，是交流互动的基础。按照学科专业建设与管理规范建设知识体系，以数字化形式在互联网，实现信息安全管理教育资源共享。作为资源共享平台的网络平台，不仅为建设者资源共享提供平台，而且可以为学习者提供资源上传服务，成为学习者之间相互交流资源的共享平台，更为信息资源积累提供了很好的机制和存储条件。网络具有两个特点，一是允许网络用户365天24小时使用，可以提供受训者随时学习和训练，二是允许网络用户在任何有信息覆盖的地方登录，可以提供受训者随地学习和训练，这两个特点打破了传统教学时空的限制，为学员自主学习、教师开放教学、师生互动交流提供了可能，也为实施现代教育思想提供了条件。

3.建立虚拟讲堂

优秀教师的讲授可以将学习效果演绎得趣味精彩，可以将学习内容组织得明白易懂，可以将现实运用解析得透彻自然。为更多学员获得完美的教学体验，为积累并共享优秀教学资源，为学员快捷准确全面理解知识运用知识提供帮助，记录、整理并优秀教师或专家授课录像，供更多受训者学习参考。教学录像在网上成为虚拟讲堂，成为不同专业不同时期受训者良好的教学资源，目前全球风行的慕课，可以成为这种培训目的的教学模式，成本低，效益好。因为技术层面的因素，信息安全管理知识体系在理论基础和原理解释有大量不易理解的知识点和疑难问题，学习时需要佐证的理论和严谨的逻辑，需要传授者环环相扣的谨密推演，因此针对重要知识点和疑难杂诊的讲授片段是受训者自主式学习时需要的重要教学参考资料。各个大学基本都建设了网络课堂，为虚拟讲堂建设提供了很好的技术平台。依据此平台，建设信息安全管理和教学资源和网络课程，可以构筑完整的知识体系，为培训教育自主式学习提供了很好的学习资源。

4.建设信息安全管理实验室

培训教育能力训练是教学环节中的主要部分，验证理论、观摩操作方法和训练技能需要包括场所、设备和软件等实验条件，实验室是完成实验任务和检验方法效果必须具备的教学条件。理论、方法和技能的实验和训练是信息安全管理培训需要完成的教学环节，这些需要信息安全专业实验室的支持。信息技术具有可设计、可复制、可重用的特点，使得基于信息技术的教育训练条件具备降低训练费用、提高学员学习自主性、提供学员反复学习等长处，结合音频处理技术、视频处理技术、三维动画技术，可以为学员学习提供强烈逼真的感官刺激、美轮美奂的艺术表现和自主操控的虚幻体验。从训练目的而言，实验室可以分为虚拟实验室和能力训练场两部分。

（1）虚拟实验室。信息安全管理涉及大量技术手段，信息安全技术攻击和防范具有不可见、不易理解的特点，需要显而易见、通俗易懂的形象展示。虚拟实验室是依托信息技术按照实验室运行规律、要求和任务，以网页形式在计算机网络上建立的可以模拟实验室运行的软件系统。虚拟实验室内设信息安全管理所需要的各种理论、方法和技能引擎，可以多维形象地反复演示信息安全管理的理论、方法和技能，可以允许受训者以第一人称介入并依据受训者干预情况展示相应信息安全分析结果，虚拟实验室可以记录并考核受训者实验过程和成绩。

（2）能力训练场。信息安全管理，尤其是信息安全防范，必须掌握很多具体操作技能。信息化条件下信息安全管理技能训练，是运用计算机信息安全管理理论，构建信息安全管理环境，围绕信息安全管理攻防，突出信息安全防御和信息安全保密等主要内容，反复进行“预实践”活动。能力训练要注重训练手段创新，重视信息技术、虚拟仿真技术及信息安全理论方法和技能的跟踪与研究，用“虚拟”制造“现实”，用网络扩大规模，用模型替代裁判，用互联造就联合，开发信息安全管理模拟训练系统，在体验中感觉信息安全入侵，在互动中提高防范应变能力，在对抗中捍卫信息安全。信息化条件下的教育训练，为培训教育中因材施教的教学需求提供了很好的手段和方法，对信息安全管理的能力训练等有很好技术支持，当然相对传统教学而言，其教学理念、教学准备、教学实施和教学考核的教学全过程有深刻的变革，需要教育者不断深入研究和努力实践创新。

作者：韩全惜 单位：南京政治学院军事信息管理系

信息安全管理论文:基于信息安全的人员安全管理论文

1人员安全管理现状

1.1岗位人员安全意识薄弱

岗位人员随便下载安装个人需要的软件程序，往往会在安装软件的过程中直接将一些安装程序中附带的插件也装在了操作系统中，如果是恶性插件，必然会造成系统的不稳定，严重者甚至会造成信息安全事件的发生，这些事件的发生很大程度上就是因为岗位人员安全意识薄弱所造成的。安全意识薄弱的因素有很多，一是相关技术部门没有长期的进行图书馆信息安全意识的思想灌输；二是岗位人员本身对信息安全意识重视不够。

1.2人员安全管理制度不完善，执行力不高

制度的制定给予管理提供依据，无制度便无章可循，相关工作就会混乱无章。虽然多数高职院校图书馆在人员安全管理方面都制定了相关的管理制度，但制度的内容不够完善，很多细节问题不够全面，甚至只是“白纸黑字”而已，形同虚设，而且执行起来也不够彻底，执行力不高。这大多数高职院校尤其是民办性质的高职院校图书馆都普通存在这样的现象。

2人员安全管理策略

要解决人员安全管理不当带来的信息安全问题，必须要比较全面地完善人员安全方面的管理制度，提高执行力。具体策略如下：

2.1技术人员岗位分工协作

对于技术人员充足的高职院校图书馆，可以将技术人员划分为三个岗位：硬件安全人员、软件安全人员和网络数据人员。根据图书馆的实际情况出发，将这三类技术人员进行分工协作，日常工作中完成各自岗位上的职责。具体划分可以参考附表。

2.2岗位人员安全管理

2.2.1岗位人员的聘用审核

大多数图书馆都会每年进行一次岗位人员的招聘，因此，每年岗位人员的聘用必须经过严格的政审并且考核其业务能力，尤其是安全保密方面的能力。对于信息安全意识强的，工作业务能力高的，要择优录取。严格的聘用审核可以将一些毫无信息安全意识的聘用人员扼杀在图书馆外。

2.2.2岗位人员工作机使用限制

保障图书馆数字信息的全面安全与岗位人员是否正确使用工作机有很大的关系，不法黑客就是利用非技术人员乱下载乱安装插件的陋习造成的系统漏洞进行系统的攻击。根据各馆的实际工作需要，可以对工作机的使用作必要的使用说明，例如可以这样限制：①不得随意下载安装存在安全隐患的插件或其他与图书馆工作无关的软件，例如：证券软件、视频软件等。②不得随意浏览不安全不健康的网页；③如有需要安装工作需要的软件，须联系技术人员为其下载安全；④遇到信息管理系统客户端无法正常使用的情况，不要自行卸载或重装，须联系技术人员解决问题；⑤其他的一些使用原则。

2.2.3岗位人员安全意识培训

信息安全意识对于信息至上的图书馆而言是非常重要的，如果岗位人员都安全意识高，完全可以避免很多信息安全事件的发生。安全培训可以根据图书馆制定信息安全培训制度与培训计划，有针对性地有重点地定时对不同岗位的工作人员进行培训。例如：X馆在每个学期末的全馆学期工作总结会议上，信息技术部主任都会对全馆的工作人员进行迫切高度强调信息安全意识的重要性。

2.2.4岗位人员功能账号统一管理

图书馆信息管理系统包括编目、流通、期刊、系统管理、检索、采访等几个子功能系统，不同岗位的工作人员拥有相应的子系统功能账号。为了保证数字信息的安全，岗位人员功能账号的使用必须统一由相关部门（信息技术部）分配管理，提出有效的管理分配原则，例如：一个岗位人员只能拥有该岗位的功能账号，不得拥有其他岗位的功能账号；对于某些岗位人员有业务工作需求，需要其他岗位的功能账号，可以设置多个公共功能账号提供使用，需求者必须向信息技术部门提出申请；新进的岗位人员需向信息技术部相关工作人员申请账号；岗位人员需要修改账号或密码，必须向技术部相关工作人员提出需求给予修改。

2.3读者用户安全管理

图书馆的信息是为读者用户服务的，信息访问量最大的群体就是读者用户，读者用户是否安全访问也直接影响着信息管理系统的信息安全。因此，图书馆有必要采取有效措施，制定确实可行的读者用户安全访问管理制度，确保读者用户访问图书馆信息的安全。可以通过以下方式提高读者的信息安全意识：①每年新生入学，图书馆可以通过开展新生入馆教育的形式对新生读者进行信息安全意识的提高，通过用户安全培训，提高用户安全意识，使其自觉遵守安全制度。②通过网络宣传、现场海报宣传，小册子派发宣传、讲座演讲宣传等形式对读者长期进行信息安全意识的宣传，提升读者的信息素养，让读者掌握简单有效的病毒攻击防护技巧。

3结束语

信息安全是数字图书馆业务工作稳定进行的基本保障，数字信息不安全，图书馆的信息服务工作就得不到保障。从图书馆技术人员的角度出发，必须要认清信息安全在人员管理方面存在的不足，并提出确实有效可行的人员安全管理措施，以保障数字图书馆信息服务工作的正常进行。

作者：黄伟成 单位：广东农工商职业技术学院图书馆

信息安全管理论文:信息安全管理体系的构建

一、信息安全管理体系的概述

随着信息技术的不断发展，我国信息安全管理工作质量不断提高，但是，目前仍然存在着一些问题，阻碍了信息安全管理的发展。首先，我国信息安全管理法规体系不够完善，相关方面的法律规定较少，导致信息安全管理的实施得不到有效的法律保障。其次，我国信息安全管理片面注重技术层面的维护，缺乏有效的管理手段，信息安全管理比较薄弱。最后，信息安全管理主要采取被动手段，科学性不高，不能实现全面性管理，而且一些高层领导对信息安全管理工作的重视程度偏低，信息安全管理工作比较薄弱。

二、信息安全管理体系的构建

2.1策划准备

在构建信息安全管理体系前，需要做好各种准备工作，包括计划的制定、相关培训安排、组织调研活动、职责划分等内容。

2.2确定范围

根据组织中IT技术水平、信息资产、工作人员等实际情况，进行信息安全管理体系适用的安全范围，既可以选择部分区域，也可选择整个区域。确定合理的安全范围后，信息的安全管理更加方便。

2.3风险评估

构建信息安全管理体系时，要做好信息处理、存储等工作的安全性调查，预测可能发生的危害信息安全性的事件，并对可能性危害事件会造成的影响做出判断，然后根据评估结果做好信息风险管理工作。

2.4建立框架

要完成信息安全管理体系的构建，离不开信息安全管理框架的建立，这就需要我们要做到全方面考虑，根据信息系统的实际情况，结合组织特点、技术水平等条件建立相应的信息清单，对信息管理做好风险分析、需求分析等内容，并提出相应的问题解决方案，进一步保证信息的安全性。

2.5文件编写

要构建信息安全管理体系，还需要对范围确定、安全方针、风险评估等内容进行相应的文件编写，建立各种文档，为风险管理、体系改进等工作提供依据。

2.6体系运行

以上步骤完成后，信息安全管理体系开始运行。在运行时期，我们要进一步提高体系运作力度，使体系的整体功能得到有效发挥。一旦发现体系存在问题，要尽快找出解决措施，及时解决相关问题，不断完善信息安全管理体系。

2.7体系审核

信息安全管理体系的审核主要是对体系进行客观评价，通过内部审核及外部审核两种方式对体系的运行及相关文件进行全方面检查。其中内部审核主要是组织内部的自我审核，外部审核主要由外部相应的组织对体系进行检查，通过内外审核进一步确定信息安全管理体系的安全性。

三、总结

综上所述，信息对于部队来说非常重要，作为信息安全管理者，确保部队信息的安全性是我们的主要职责。信息安全管理需要从技术和管理两个方面入手，时代环境在不断变化，信息管理技术也要不断创新，从而适应当前时代的需求。目前，我国信息安全管理存在一定的问题，需要我们采取积极的手段构建并完善相关体系，进一步提高信息的安全管理质量。

作者：杨三勇 单位：72433 部队档案室

信息安全管理论文:电子档案信息安全管理问题及挑战

【文章摘要】电子档案主要就是利用科学技术来对档案进行合理构建，可是国内在管理电子档案信息时，还存在诸多安全问题需要进行解决。文章分析了电子档案管理过程中面临的安全问题，从而提出一些强化策略，希望可以为我国管理电子档案的工作人员提供参考。

【关键词】电子档案；信息安全；问题；策略

以前的纸质档案在保存过程中，时常会出现众多隐患，譬如：破损、腐蚀、虫蛀与丢失等，进而阻碍了档案管理工作的质量和发展速度。而在信息技术迅猛发展的当下，众多档案管理人员开始应用电子信息的方式来管理档案，这样一来就有效防止了纸质档案缺陷的发生。可是在一系列实践工作中不难发现，虽然现在我国应用电子档案信息的管理方式，可是在档案管理中依旧会出现不同种类的问题。譬如：标准化及规范化程度不够、编制人员素质不统一等等。所以，笔者在探究这些问题的过程中，并提出了解决办法，具体如下。

1分析档案信息的安全需求

档案信息安全具体包括以下要求：首先，要保证网络系统的运行安全；其次，档案信息内容应该具有相应的安全性。档案内容安全是档案管理中的重要内容，其不但包括信息传输安全，还包括信息存储安全。通过分析可知档案信息安全需求如下：

1.1完整性

针对电子档案信息而言，其背景信息、源数据以及内容都需要进行完善，同时还要确保硬件说明、软件说明、事件活动信息等都具有相应的完整性。也就是说，在传输电子档案信息时，一定不能出现破坏的现象，譬如：伪装重置、删除与篡改等。

1.2真实性

保证电子信息都是从可靠且安全的电子档案中获得来的，在通过迁移和传输后，不会与最初情况发生冲突，不会出现随意破坏以及伪造和改动等情况。

1.3保密性

只有合法的用户才能够访问电子信息，而那些非法用户是不能进行访问的。一般人们会对以下几种保密技术进行使用：信息加密技术、物理保密技术、防辐射技术、防侦收技术等。防辐射这种技术就是防止一些使用性质较高的信息被辐射出去；防侦收这种技术就是阻碍不法人员对有用的信息进行接收；物理保密这种技术就是应用各种各样的物理方法来保护信息，以有效预防信息外露；信息加密这种技术就是在秘钥的有效控制下，进行恰当的加密处理。

1.4不能被否认的特性

档案信息在通过网络系统进行交互时，确保参与者的一致性及真实、可靠性。也就是一切参与者都不能在否定前进行操作。应用信息源可以防止发信人员对自己已经发送的信息进行否认。

2存在于电子档案信息管理中的问题

现在我国在电子档案信息管理方面还存着众多安全问题，影响档案管理效果与发展速度，其中安全问题包括下述几种：

2.1标准化及规范化程度不够

我国现在所进行的档案信息管理还不是非常成熟，相比于那些发达的国家，还有很大的差距。我国电子信息档案管理才刚刚起步，所以，在管理过程经常会遇到这样或那样的问题。而随着网络技术的发展，人们逐渐明确数字化档案、信息化档案对于档案管理工作是非常重要的。可是我国目前在电子档案管理这方面却没有非常高的标准性和规范性，因此阻碍了数字化档案和信息化档案这个管理目标的实现。

2.2没有统一的电子档案文件

在电子档案管理过程中，如果只针对计算机软件的研究和开发而言，现在最需要重视的问题就是软件开发无法与档案的使用需求相符合，并且还不能提高档案的存储效率和实际利用。此外，单位、地区间应用的档案管理系统存在不统一的情况，这样各单位以及地区就不能够实现共享和利用档案文件的目的。

2.3没有较强的技术支持

针对电子档案管理工作而言，假如没有较硬的技术支持，那么电子档案信息就会存在安全隐患。现在我国在进行档案信息管理时，缺少科学技术支持。具体有下述表现：其一，在选配硬件方面有问题存在。譬如：在选配硬件时，选择的硬件系统性能和质量都非常差，且功能还不健全，进而影响档案管理系统的实际运行，还可能会因此丢失一部分档案文件。其二，病毒入侵计算机。当计算机中进入病毒之后，计算机当中的数据就会被破坏，使得相应的功能出现降低，并使数据和系统受到影响，进而失去安全性能，譬如：随着木马病毒的快速蔓延，电子系统就会被影响，进而影响到整个档案管理工作。

2.4管理人员的素质不统一

大部分企业当中的档案管理人员都具备众多的管理档案的知识，可是他们的素质却不相同，较为明显的表现就是计算机知识和技能的掌握情况存在极大差距，在进行电子档案管理时，想要对一些电子软件进行操作，那么管理人员一定要具备非常强的操作能力，只有这样管理才能使有效性得到提升。可是实际上，部分管理人员都比较缺少计算机知识、不具备基本的操作能力和应用网络技术的能力，进而致使档案管理不能够得到安全保证。

3强化档案管理安全性的方法

3.1提高档案管理的规范性及标准性

为了强化电子档案的管理，使其安全性能得到提升，就应该规范档案管理工作。譬如：在搜集完电子文件之后，应该形成一个系统的文件，然后再进行细致的整理及积累，最后在相关人员鉴定没有错误后进行归档处理。只要按照以上步骤进行档案归档工作，那么档案的规范性、标准性都会得到相应的提升。同时，当整理完电子档案，并做好归档工作之后，还应该进行保管和移交工作。此外，档案管理部门还应该集中对电子文件进行管理，进而使档案管理工作更加的规范和标准。

3.2对管理软件进行升级处理

现在国内所拥有的档案管理软件并不成熟，所以，应该对管理软件进行升级处理，以使档案信息的安全得到保证。升级管理软件的目标包括以下几种：第一种，提升管理软件的兼容性；第二种提升软件的统一性。兼容性就是管理软件能够与其余操作系统和设备进行配合，因此软件只有具有良好的配合功能，才算具有良好的兼容性，譬如：和操作平台进行配合等等。而统一性就是升级过的电子软件拥有一个较为完善的管理系统，并且在每一个环节当中都应该体现出统一性原则，譬如：统一应用软件、统一规章制度、统一标准等，尤其是单位、地区内，一定要防止档案系统出现较为严重的差异情况，进而使系统在具备统一特征之后，使档案文件能够被更加广泛分享和利用。

3.3建立专业的管理队伍

管理信息档案属于较为系统且复杂的一项工作，想要使档案管理具备更高的安全性及有效性，便需要建立一支专业知识、操作能力及素质都极高的管理队伍。首先，对管理人员进行培养，让他们意识到管理工作的重要性，严格杜绝那些思想不先进、工作不积极的现象发生。其次，应该选拔和聘用一些熟悉档案业务且工作能力和素质都极强的管理人员，然后再对这部分人员进行业务、技能和知识培训，以此提升管理人员的综合素质。此外，因为部分管理人员没有过硬的计算机操作能力，并且与计算机有关的知识积累也较为欠缺。所以，在网络应用和计算机操作方面都应该加强培训，进而使电子档案的利用、整理、形成和接收等工作可以更加完善。

3.4构建维护电子档案的法律条例

为了防止档案信息丢失和被随意被更改的现象发生，就需要构建维护电子档案的法律条例。其一，在掌握目前已经建立的法律内容同时，认真的整合立法信息资源，并构建维护电子档案的法律体系，进而使电子文件更加的安全和真实。其二，档案和文件在立法上一定要保持一致性，不能盲目的在两者间进行立法，只有这样才能促进档案管理工作持续进行。其三，应该明确电子文件在法律上的地位，制定恰当的法律和法规，进而使档案管理工作在法律的维护下良好发展。其四，管理档案的部门间应该做好配合，如：信息部门、技术部门、法律部门等，充分分析文件所具有的特殊性质，并在借鉴发达国家颁布的法律体系基础上，建立与国内国情相符合的法规体系，促进档案工作快速、稳定发展。

4结语

针对目前的实际情况来看，在我国还有很多安全问题存在电子信息档案管理过程中，譬如：电子文件统一性不足、管理人员素质不统一、标准化及规范化不足、没有较强的技术支持等。针对档案管理工作而言，一定要在探讨以上问题的基础上，制定相应的强化措施，以使电子文件的安全性得到提升。在管理电子档案时，笔者认为要提高档案管理的规范性及标准性、对管理软件进行升级处理、建立专业的管理队伍、构建完善的法律条例，使电子档案文件更加的安全和真实，保证档案管理工作的完善性和科学性。

作者：李爱锋 单位：衡水市计算机网络应急技术处理协调中心

信息安全管理论文:档案开放与信息安全管理浅谈

一、档案开放

（一）档案开放的必要性。

进入现代社会，互联网科技十分发达，人们了解获得信息的渠道，方式多种多样。无论国家政府的档案，还是企业公司的档案，都可以通过合法或者非法的方式进入互联网，为公众所知。对于各种档案，进行严密的保管是很难做到的，在当下我们这个信息开放的社会，将档案开放，方便社会群众进行了解，使用，对于维护社会稳定，提升档案的利用价值，提高档案的可靠真实度都有重要的意义。当然，笔者本文所言的具有开放必要性的档案是具有公共利益性质的档案，是能够为人民提供一定服务的档案。对于国家档案，很多在一定时期属于国家机密，是无法对外开放的，但是这并不代表这种档案没有开放的必要性，开放的必要性依旧存在，国家的人民有权利了解国家的相关事务，随着时期的过渡，这些档案会慢慢解密为社会公众所了解；对于企业档案，开放的必要性是针对企业工作的工作人员。企业的领导层以及员工阶层能够方便调取个人以及企业的相关档案对于提高企业工作效率，团结企业有着重要的意义。

（二）档案开放的风险性。

当然，档案的开放具有很大的危险性，存在很大的安全风险。对于国家政府相关的档案，即使在开放之前，考虑再三，十分谨慎，度过了某一敏感的时期，但是，一些档案公之于众之后还是会引起一些波澜。甚至，政府类的档案还容易被心怀叵测的社会主义敌对分子利用，借之进行歪解胡说，蛊惑一批无知又容易冲动的民众，对我们的社会稳定产生很多不利的因素。此外，对于企业或者机关单位的很多档案，为了方便业内人士提取，使用，进行开放后，往往容易造成个人隐私泄密，单位机密泄密，为不法分子提供可乘之机。总之，开放档案，既有方便，积极的一面，同时也面临着很大的风险，存在很大的安全隐患问题。即使开放档案存在这样或者那样，可预知以及不可预知的风险，笔者还是认为，我们不能因噎废食，还是应该将应该开放的档案，大胆进行开放。

（三）档案开放的程序。

所谓的档案开放程序，就是指档案开放所需要进行的必要操作，所必须经历的方法，步骤。只有确立严格的档案开放程序，并且严格按照程序办事，开放符合要求的相关档案，才能降低开放档案带来的风险，同时满足档案开放的必要性，发挥开放性档案的积极作用。不同性质的档案，开放程序不同，有严密繁琐的程序步骤，也有简单章程性的程序，这主要根据档案的重要性来决定。确立明确，严明的档案开放程序，对于档案的有序、科学使用，档案信息的保密都有着重要的意义。

二、信息安全管理的方法策略

（一）管理工作人员的培养。

做好信息安全管理的工作我们首先需要一批具备安全管理信息才能的人才。互联网时代的飞速发展，为我们的社会培养了很多具有互联网知识，IT行业技术的高端人才。我们只要对这些人才进行短期的信息安全管理的培训工作，就完全能够使这些人才胜任信息安全管理的工作。做好信息安全管理工作的首要一步是引进综合素质过硬的人才，并对这些人才进行必要的职前培训，只有这样，企业单位的信息部门才能做到信息的科学，安全管理。既为企业单位提供开放信息带来的便利，同时还要保证信息的安全。

（二）严格管理制度的确立。

确立严格，完善的安全管理信息的相关规章制度，并严格遵守，一切按照规章制度办事，任何人在一般情况下都不能破坏规章制度，调取信息。企业和单位为了做好信息安全管理的工作，就要自上而下严格遵守企业制定的信息安全管理的规章制度。现代企业和事业单位的管理，都要以严格的，先进科学的管理制度进行管理，在信息管理部门同样是如此，好的制度为信息安全管理提供有效的保障。

（三）安全可靠的设备。

档案的管理人员在对档案进行收集与整理的过程中就应该对文件做一个明确的分类，并进行准确的编号。同时要队文件的资料做一个科学合理的分类与陈列，或者是可以依照不同的部门而对其进行分类。提高报关信息设备的安全可靠性。企业和事业单位的信息部一定要完善处理，保管信息的设备，提高信息管理工作需要的硬件以及软件设备的水平。高水平的硬件，软件设备不仅能够提高信息利用的效率，同时还能够提高对信息的保护层级，防治外来黑客对信息进行窃取。

（四）监督审查措施的常态开展。

为了保证信息的安全，要确立严格的监督制度，对单位的信息进行严格的监督，并且做到自下至上的，分工明确，责任明确。成立专门的信息监督小组，通过互联网以及其他相关的技术设备对信息进行监督，管理。对单位的信息要做到定期系统管理，每隔一段时间，对单位所有的信息进行分门别类，系统的管理，淘汰无用的信息，保证信息的时效性。同时，要确立严格的审查，追责制度。首先，定期对信息进行审查，保证信息管理工作的安全可靠，其次，对于信息被滥用，泄露等恶劣事件，要做到严格追责，严厉惩罚。

三、结束语

有些档案具有开放的必要性，在当今互联网时代，将部分档案开放，有利于提高档案的使用价值，提升人民群众的法治观念，维护社会以及互联网环境的文明，合法。同时，将档案信息开放面临着很多的风险，但是我们不能因噎废食，该开放的档案信息还是要积极地进行开放，只是我们必须要完善我们的信息安全管理制度，并且培养大批从事信息安全管理工作的人才。只有做到严明制度，谨慎管理，我们才能够一面发挥档案信息开放的积极作用，同时还能保证档案信息的安全，防止档案信息被非法滥用。

作者：刘晓峰 单位：洮南市中小企业服务中心

信息安全管理论文:加强公务外网信息安全管理工作通知

一、加强领导，健全网络安全管理责任制

各单位要切实加强对信息网络安全工作的组织领导，一把手作为信息网络安全和保密工作的第一责任人，要按照“谁主管谁负责、谁运行谁负责、谁使用谁负责”的原则建立健全网络安全管理责任制，明确主要责任人和直接责任人，把管理责任落实到具体岗位和具体工作人员。

二、完善措施，确保公务外网信息网络安全

（一）组织开展信息网络安全培训

各单位要对工作人员进行国家保密法律、法规和网络安全保密管理规定的培训，特别是要对网络管理人员开展岗位技能培训，切实提高相关工作人员的信息网络安全意识和防范能力。

（二）加强网络安全管理

加强网络安全管理，严格遵循“涉密不上网，上网不涉密”原则，以防攻防、防瘫痪、防病毒、防窃密为重点，做好信息网络安全管理工作。

1.公务外网属于非涉密的政务外网，各联网单位不得将涉密计算机设备和网络接入本网，不得在公务外网上传输、处理或存储涉密信息。严禁在涉密计算机与其他计算机之间交叉使用U盘等移动存储设备。

2.为确保公务外网安全，严禁各单位私自接入路由器、交换机等网络设备，严禁擅自扩大网络的使用范围。确需接入路由器等设备的，需向县政府办公室信息公开及网络管理中心提出书面申请，经审批后，按照有关程序，由专人负责接入。

3.连接公务外网的所有计算机、服务器和其他设备不得用于存储、处理、传输涉密及秘密和敏感信息。工作人员不得在联网计算机上炒股、打游戏、看电影、聊天，不得浏览、复制、传播反动、色情等不良信息，不得传播病毒等有害信息，不得在公务外网上从事违法活动。

4.加强IP地址管理，严禁违反统一规划擅自更改和设置IP地址。

5.严禁内网外联，严禁使用公用邮箱收发涉密邮件。

6.全县公务外网具有统一的国际互联网出口，接入公务外网的计算机、设备和网络，不得再通过其他线路联接国际互联网或其他外部网络。

7.各联网单位计算机系统必须安装杀毒软件、木马防火墙并及时更新。

8.设有独立机房的单位要安排工作人员在机房值班，并定期和不定期地对网络设备工作状况、UPS电源维护、数据备份、防病毒软件升级、移动存储设备使用、数据传输及各项制度的执行情况开展巡回检查，注意防火防盗，确保网络安全畅通无事故。

（三）加强网上信息的安全管理

已在互联网上开通门户网站或开通信息公开平台的单位，要按照“谁谁负责、谁审核谁负责”的原则，严把信息关，杜绝涉密、敏感信息上网。

三、开展自查，排除潜在的信息安全隐患

接此通知后，各单位要认真开展一次信息安全自查，做到不走过场、不留死角，发现信息安全隐患要及时采取有效措施，确保网络信息安全。

四、建立机制，提升信息网络安全应急能力

各单位要建立健全信息网络安全应急预案，完善信息网络安全应急措施，提升网络突发安全事件的处置和响应能力。要加强预警监测，一旦公务外网发生网络安全事件，要迅速向县政府办公室报告，并做好先期处置、情况研判工作，最大限度地减少事件造成的损失和危害。