网络安全总体规划精品(七篇)

序论：写作是一种深度的自我表达。它要求我们深入探索自己的思想和情感，挖掘那些隐藏在内心深处的真相，好投稿为您带来了七篇网络安全总体规划范文，愿它们成为您写作过程中的灵感催化剂，助力您的创作。

篇(1)

关键词：分布式；信息安全；规划；方案

中图分类号：TP309.2文献标识码：A 文章编号：1009-3044(2008)36-2848-03

An Information Security Program for a Distributed Enterprise

GUO Yong, CHEN Rong-sheng, ZHAN Gui-bao, ZENG Zhong-cheng, LU Teng-zu, LI Zhuang-xiang

(Fujian Xindong Network Technology Co., Ltd. Fuzhou 350003,China)

Abstract: Based on the specific conditions of the distributed enterprise, information security architecture in accordance with the relevant standards, a distributed enterprise information security planning principles and objectives. And based on the principles and objectives of the meeting, according to the organization, management and technical aspects of three specific design specifications with the principle. Finally, based on the objective of planning services, a category of information distributed enterprise information security services, planning and design examples.

Key words: distributed; information security; planning; program

1 引言

据来自eWeek 的消息，市场研究机构Gartner 研究报告称，很对企业目前仍缺乏完整的信息安全规划和规范。尽管目前很多企业在信息安全方面的投入每年都在缓慢增长，但由于推动力以外部法律法规的约束和商业业务的压力为主，因此他们对安全技术和服务的选择和使用仍停留在一个相对较低的水平。尤其对于机构构成方式为分布式的企业而言，因为信息安全需求和部署相对更加复杂，投入更多，因此这类企业的信息安全规划就更加缺乏。

本文根据这类分布式企业的特点提出了一种符合该类企业实际的信息安全规划方案。

2 总体规划原则和目标

2.1 总体规划原则

对于分布式企业的信息安全规划，要遵守如下原则：适度集中，控制风险；突出重点，分级保护；统筹安排，分步实施；分级管理，责任到岗；资源优化，注重效益。

这个原则的制定主要是根据分布式企业的实际机构构成情况、人员素质情况以及资源配置情况来制定的。

2.2 总体规划目标

信息系统安全规划的方法可以不同、侧重点可以不同，但是需要围绕组织安全、管理安全、技术安全进行全面的考虑。信息系统安全规划的最终效果应该体现在对信息系统与信息资源的安全保护上，下面将分别对组织规划、管理规划和技术规划分别进行阐述。信息安全规划依托企业信息化战略规划，对信息化战略的实施起到保驾护航的作用。信息系统安全规划的目标应该与企业信息化的目标是一致的，而且应该比企业信息化的目标更具体明确、更贴近安全。信息系统安全规划的一切论述都要围绕着这个目标展开和部署。

3 信息安全组织规划

3.1 组织规划目标

组织建设是信息安全建设的基本保证，信息安全组织的目标是：

1）完善和形成一个独立的、完整的、动态的、开放的信息安全组织架构，达到国际国内标准的要求；

2）打造一支具有专业水准的、过硬本领的信息安全队伍。对内可以保障企业内部网安全，对外可以向社会提供高品质的安全服务；

3）建设一个 “信息安全运维中心（SOC）”，能够满足当前和未来的业务发展及信息安全组织运转的支撑系统，能够对外提供安全服务平台。

3.2 组织规划实施

对于组织规划这个方面，是属于一个企业信息安全规划的上层建筑，需要用一种由上而下的方法来实现，其主要是在具体人事机制、管理机制和培训机制上做工作。对于分布式企业而言，需要主导部门从上层着手，建章立制，强化安全教育，加大基础人力、财力和物力的投入。

4 信息安全管理规划

4.1 管理规划目标

信息安全管理规划的目标是，完善和形成“七套信息安全软措施”，具体包括：一套等级划分指标，一套信息安全策略，一套信息安全制度，一套信息安全流程规范，一套信息安全教育培训体系，一套信息安全风险监管机制，一套信息安全绩效考核指标。“七套信息安全软措施”关系如图1所示。

4.2 信息安全管理设计

基于对管理目标的分析，信息安全管理的原则以风险管理为主，集中安全控制。管理要素由管理对象、安全威胁、脆弱性、风险、保护措施组成。

4.2.1 信息安全等级划分指标

信息安全等级保护是国家在国民经济和社会信息化的发展过程中，提高信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化健康发展的基本策略。

4.2.2 信息安全策略

信息安全安全策略是关于保护对象说明、保护必要性描述、保护责任人、保护对策以及意外处理方法的总和。

4.2.3 信息安全制度

信息安全制度是指为信息资产的安全而制定的行为约束规则。

4.2.4 信息安全规范

信息安全规范是关于信息安全工作应达到的要求，在信息安全规范方面，根据调查，建立信息安全管理规范、信息安全技术规范。其中，安全管理规范主要针对人员、团队、制度和资源管理提供参照性准则；信息安全技术规范主要针对安全设计、施工、维护和操作提供技术性指导建议。

4.2.5 信息安全管理流程

信息安全流程是指工作中应遵循的信息安全程序，其目的是减少安全隐患，降低风险。

4.2.6 信息安全绩效考核指标

信息安全绩效考核指标是指针对信息安全工作的质量和态度而给出的评价依据，其目的是增强信息安全责任意识，提高信息安全工作质量。

4.2.7 信息安全监管机制

信息安全监管机制是指有关信息安全风险的识别、分析和控制的措施总和。其主要目的加强信息安全风险的控制，做到“安全第一，预防为主”。

4.2.8 信息安全教育培训体系

其主要目的加强的信息安全人才队伍的建设，提高企业人员的信息安全意识和技能，增强企业信息安全能力。

5 信息安全技术规划

5.1 技术规划目标

信息安全技术规划目标简言之是：给业务运营提供信息安全环境，为企业转型提供契机，构建信息安全服务支撑系统。具体目标如下：

1）打造信息安全基础环境，调整和优化IT基础设施，建立安全专网，设置两个中心（信息安全运维中心、灾备中心）；

2）建立一体化信息安全平台，综合集成安全决策调度、安全巡检、认证授权、安全防护、安全监控、安全审计、应急响应、安全服务、安全测试、安全培训等功能，实现的集中安全管理控制，快速安全事件响应，高可信的安全防护，拓展企业业务，开辟信息安全服务新领域。

5.2 信息安全运维中心(SOC)

SOC 是信息安全体系建设的基础性工作，SOC 承载用于监控第一生产网的安全专网核心基础设施，提供信息安全中心技术人员的办公场所，提供“7×24”小时连续不断的安全应用服务,提供实时监控、远程入侵发现、事件响应、安全更新与升级等业务，SOC 要求具有充分保障自身的安全措施。除了SOC 的组织建设、基础工程外，SOC 的技术性工作还要做以下几个方面：

1）硬件基础建设，主要内容是SOC 的选址、布局、布线、系统集成，实现SOC 自身的防火、防潮、防电、防尘、安全监控功能；

2）软件基础建设，包括SSS 系统、机房监控子系统、功能小组及中心组划分。

图1 信息安全软措施关系

图2 信息安全总体框架

图3 资产、组织、管理和安全措施的关系

5.3 信息安全综合测试环境

随着分布式企业信息化程度的日也加深，需要部署到大量IT 产品和应用系统，为了保障安全，必须对这些IT 系统和产品做入网前安全检查，消除安全隐患。基于此，综合测试环境建设的内容包括：安全测试网络；测试系统设备；安全测试工具；安全测试分析系统；安全测试知识库。

其中，安全测试网络要求能够模拟企业网络真实的带宽；测试系统设备能够提供典型的网络服务流量模拟、典型的应用系统流量模拟；安全测试工具覆盖防范类、检测类、评估类、应急恢复类、管理类等，并提供使用说明、漏洞扫描、应用安全分析；安全测试分析系统能够提供统计分析、图表展现功能；安全知识库包含以下内容：漏洞知识库，补丁信息库，安全标准知识库，威胁场景视频库，攻击特征知识库，信息安全解决案例库，安全产品知识库，安全概念和术语知识库。

5.4 安全平台建设规划

参照国际上PDRR 模型和国家信息安全方面规范，建议信息安全总体框架设计如图2所示。

主要目的，以资产为核心，通过安全组织实现资产保护，以安全管理来约束组织的行为，以技术手段辅助安全管理。其中，资产、组织、管理、安全措施的关系如图3所示，核心为资产，围绕资产是组织，组织是管理，最外层是安全措施。

在平台中集成十个安全机制，它们分别是：信息安全集中管理；信息安全巡检；信息安全认证授权；信息安全防护；信息安全监控；信息安全测试；信息安全审核；信息安全应急响应；信息安全教育培训；信息安全服务。

6 信息安全服务业务规划

6.1 服务业务规划目标

信息安全服务业务规划目标简言之是：以信息安全服务为切入点，充分发挥企业优势资源，引领信息安全市场，为企业转型创造时机。具体目标如下：

1）推出面向客户安全（检查、教育、配置）产品；2）推出面向大型企业的信息安全咨询产品；3）推出面向家庭安全上网产品；4）推出面向企业安全运维产品；5）推出面向企业灾害恢复产品。

6.2 服务业务规划设计

服务业务规划主要针对具体业务而言，在此列举信息类分布式企业业务作为示例：

1）信息安全咨询类产品，其服务功能主要有：信息安全风险评估；信息安全规划设计；信息安全产品顾问。

2）信息安全教育培训类产品，其服务功能主要有：提供信息安全操作环境；提供信息安全知识教育；提供信息安全运维教育。

3）家庭类安全服务产品，其服务功能主要有：推出“家庭绿色上网”安全服务；家庭上网防病毒服务；家庭上网机器安全检查服务；家庭上网机数据备份服务。

4）企业类安全服务产品，其服务功能主要有：企业安全上网控制服务；企业安全专网服务；安全信息通告；企业运维服务。

5）容灾类安全服务产品，其服务功能主要有：面向政府数据灾备服务；面向政府信息系统灾备服务；面向企业数据灾备服务；面向企业信息系统灾备服务。

7 结束语

通过结合分布式企业的具体实际，按照信息安全体系结构相关标准，提出了分布式企业的信息安全规划原则和目标。并依据次原则与目标，按照组织、管理和技术三个方面提出了具体的实现与设计规范原则。最后，依据服务规划目标，提出了信息类分布式企业的信息安全服务规划设计实例。

参考文献：

[1] 周晓梅. 论企业信息安全体系的建立[J]. 网络安全技术与应用，2006，3：62～64，57.

[2] Harold F. Tipton，Micki Krause. Information Security Management Handbook[M]. Fifth Edition.US：Auerbach Publications，2004.

[3] 魏永红,李天智,张志. 网络信息安全防御体系探讨[J].河北省科学院学报，2006,23,(1):25～28.

[4] 张庆华. 信息网络动态安全体系模型综述[J].计算机应用研究，2002,10:5～7.

[5] ISO/IEC 15408，13335，15004，14598，信息技术安全评估的系列标准[S].

[6] BS7799-1，7799-2，ISO/IEC 17799，信息安全管理系列标准[S].

[7] BS7799-2，Information Security Management Systems-Specification With Guidance for use[S].

[8] 李玮. 运营商IT系统网络架构的安全域划分[J]. 通信世界,2005,30:41～41,45～45.

篇(2)

随着光纤宽带、移动电话、移动互联网的普及，通信服务在我们的日常生活中发挥了越来越重要的作用。伴随社会的信息化推进，通信技术也得到了快速发展。通信得到了社会的广泛认可。近年来，伴随着互联网  技术在全球迅猛发展，信息化给人们提供了极大的便利，然而，同时我们也正受到日益严重的来自网络的安全威胁，比如黑客攻击、重要信息被盗等，网络安全事件频发，给人们的财产和精神带来很大损失。但是，在世界范围内，黑客活动越来越猖狂，黑客攻击者无孔不入，对信息系统的安全造成了很大的威胁，对社会造成了严重的危害。除此之外，互联网上黑客网站还在不断增加，这就给黑客更多的学习攻击的信息，在黑客网站上，学习黑客技术、获得黑客攻击工具变得轻而易举，更是加大了对互联网的威胁。如何才能保障信息系统的信息安全，怎样才能确保网络信息的安全性，尤其是网络上重要的数据的安全性。

在通信领域，信息安全尤为重要，它是通信安全的重要环节。在通信组织运作时，信息安全是维护通信安全的重要内容。通信涉及到我们生活的许多方面，小到人与人之间联系的纽带，大到国与国之间的信息交流。因此，研究信息安全和防护具有重要的现实意义。

一、通信运用中加强信息安全和防护的必要性

1.1搞好信息安全防护是确保国家安全的重要前提

众所周知，未来的社会是信息化的社会，网络空间的争夺尤其激烈。信息化成为国家之间竞争的焦点，如果信息安全防护工作跟不上，一个国家可能面临信息被窃、网络被毁、指挥系统瘫痪、制信息权丧失的严重后果。因此，信息安全防护不仅是未来战争胜利的重要保障，而且将作为交战双方信息攻防的重要手段，贯穿战争的全过程。一旦信息安全出现问题，可能导致整个国家的经济瘫痪，战争和军事领域是这样，政治、经济、文化、科技等领域也不例外。信息安全关系到国家的生死存亡，关系到世界的安定和平。比如，美国加利弗尼亚州银行协会的曾经发出一份报告，称如果该银行的数据库系统遭到网络“黑客”的破坏，造成的后果将是致命的，3天就会影响加州的经济，5天就能波及全美经济，7天会使全世界经济遭受损失。鉴于信息安全如此重要，美国国家委员会早在2000年初的《国家安全战备报告》里就强调：执行国家安全政策时把信息安全放在重要位置。俄罗斯于2000年通过的《国家信息安全学说》，第一次把信息安全摆在战略地位。并从理论和时间中加强信息安全的防护。近年来，我国也越来越重视信息安全问题，相关的研究层出不穷，为我国信息安全的发展奠定了基础。

1.2我国信息安全面临的形势十分严峻

信息安全是国家安全的重要组成部分，它不仅体现在军事信息安全上，同时也涉及到政治、经济、文化等各方面。当今社会，由于国家活动对信息和信息网络的依赖性越来越大，所以一旦信息系统遭到破坏，就可能导致整个国家能源供应的中断、经济活动的瘫痪、国防力量的削弱和社会秩序的混乱，其后果不堪设想。由于我国信息化起步较晚，目前信息化系统大多数还处在“不设防’，的状态下，国防信息安全的形势十分严峻。具体体现在以卜几个方面：首先，全社会对信息安全的认识还比较模糊。很多人对信息安全缺乏足够的了解，对因忽视信息安全而可能造成的重大危害还认识不足，信息安全观念还十分淡薄。因此，在研究开发信息系统过程中对信息安全问题不够重视，许多应用系统处在不设防状态，具有极大的风险性和危险性。其次，我国的信息化系统还严重依赖大量的信息技术及设备极有可能对我国信息系统埋下不安全的隐患。无论是在计算机硬件上，还是在计算机软件上，我国信息化系统的国产率还较低，而在引进国外技术和设备的过程中，又缺乏必要的信息安全检测和改造。再次，在军事领域，通过网络泄密的事故屡有发生，敌对势力“黑客”攻击对我军事信息安全危害极大。最后，我国国家信息安全防护管理机构缺乏权威，协调不够，对信息系统的监督管理还不够有力。各信息系统条块分割、相互隔离，管理混乱，缺乏与信息化进程相一致的国家信息安全总体规划，妨碍了信息安全管理的方针、原则和国家有关法规的贯彻执行。

二、通信中存在的信息安全问题

2.1信息网络安全意识有待加强

我国的信息在传输的过程中，特别是军事信息，由于存在扩散和较为敏感的特征，有的人利用了这一特点采取种种手段截获信息，以便了解和掌握对方的新措施。更有甚者，在信息网络运行管理和使用中，更多的是考虑效益、速度和便捷。而把安全、保密等置之度外。因此，我们更要深层次地加强网络安全方面的观念，认识到信息安全防护工作不仅仅是操作人员的“专利”，它更需要所有相关人员来共同防护。

2.2信息网络安全核心技术贫乏  

目前，我国在信息安全技术领域自主知识产权产品少采用的基础硬件操作系统和数据库等系统软件大部分依赖国外产品。有些设备更是拿来就用，忽略了一定的安全隐患。技术上的落后，使得设备受制于人。因此，我们要加大对信息网络安全关键技术的研发，避免出现信息泄露的“后门”。

2.3信息网络安全防护体系不完善

防护体系是系统顶层设计的一个重要组成部分，是保证各系统之间可集成、可互操作的关键。以前信息网络安全防护主要是进行一对一的攻防，技术单一。现代化的信息网络安全防护体系已经成为一个规模庞大、技术复杂、独具特色的重要信息子系统，并担负着网络攻防对抗的重任。因此，现代化信息网络安全防护体系的建立应具有多效地安全防护机制、安全防护服务和相应的安全防护管理措施等内容。

2.4信息网络安全管理人才缺乏 

高级系统管理人才缺乏，已成为影响我军信息网络安全防护的因素之一。信息网络安全管理人才不仅要精通计算机网络技术，还要熟悉安全技术。既要具有丰富的网络工程建设经验，又要具备管理知识。显然，加大信息安全人才的培养任重而道远。

三、通信组织运用中的网络安全防护

网络安全是通信系统安全的重要环节。保障通信组织的安全主要是保障网络安全。网络安全备受关注，如何防范病毒入侵、保护信息安全是人们关心的问题，笔者总结了几点常用的防范措施，遵循这些措施可以降低风险发生的概率，进而降低通信组织中信息安全事故发生的概率。

3.1数据备份

对重要信息资料要及时备份，或预存影像资料，保证资料的安全和完整。设置口令，定期更换，以防止人为因素导致重要资料的泄露和丢失。利用镜像技术，在磁盘子系统中有两个系统进行同样的工作，当其中一个系统故障时，另一个系统仍然能正常工作。加密对网络通信加密，以防止网络被窃听和截取，尤其是绝密文件更要加密处理，并定期更换密码。另外，文件废弃处理时对重要文件粉碎处理，并确保文件不可识别。

3.2防治病毒

保障信息系统安全的另一个重要措施是病毒防治。安装杀毒软件，定期检查病毒。严格检查引入的软盘或下载的软件和文档的安全性，保证在使用前对软盘进行病毒检查，杀毒软件应及时更新版本。一旦发现正在流行的病毒，要及时采取相应的措施，保障信息资料的安全。

3.3提高物理安全

物理安全是保障网络和信息系统安全的基本保障，机房的安全尤为重要，要严格监管机房人员的出入，坚决执行出入管理制度，对机房工作人员要严格审查，做到专人专职、专职专责。另外，可以在机房安装许多装置以确保计算机和计算机设备的安全，例如用高强度电缆在计算机的机箱穿过。但是，所有其他装置的安装，都要确保不损害或者妨碍计算机的操作。

3.4安装补丁软件

为避免人为因素（如黑客攻击）对计算机造成威胁，要及时安装各种安全补丁程序，不要给入侵者以可乘之机。一旦系统存在安全漏洞，将会迅速传播，若不及时修正，可能导致无法预料的结果。为了保障系统的安全运行，可以及时关注一些大公司的网站上的系统安全漏洞说明，根据其附有的解决方法，及时安装补丁软件。用户可以经常访问这些站点以获取有用的信息。

3.5构筑防火墙

构筑系统防火墙是一种很有效的防御措施。防火墙是有经验丰富的专业技术人员设置的，能阻止一般性病毒入侵系统。防火墙的不足之处是很难防止来自内部的攻击，也不能阻止恶意代码的入侵，如病毒和特洛伊木马。

四、加强通信运用中的信息安全与防护的几点建议

为了应付信息安全所面临的严峻挑战，我们有必要从以下几个方面着手，加强国防信息安全建设。

4.1要加强宣传教育，切实增强全民的国防信息安全意识

在全社会范围内普及信息安全知识，树立敌情观念、纪律观念和法制观念，强化社会各界的信息安全意识，营造一个良好的信息安全防护环境。各级领导要充分认识自己在信息安全防护工作中的重大责仟‘一方而要经常分析新形势卜信息安全工作形势，自觉针对存在的薄弱环节，采取各种措施，把这项工作做好；另一方面要结合工作实际，进行以安全防护知识、理论、技术以及有关法规为内容的自我学习和教育。

4.2要建立完备的信息安全法律法规

信息安全需要建立完备的法律法规保护。自国家《保密法》颁布实施以来，我国先后制定和颁布了《关于维护互联网安全的决定》、《计算机信息网络国际联网安全保护管理办法》、《中华人民共和国计算机信息系统安全保护条例》、《计算机信息系统国际联网保密管理规定》、《计算机信息系统安全专用产品检测和销售许可证管理办法》、《计算机信息系统安全专用产品分类原则》、《金融机构计算机信息系统安全保护工作暂行规定》等一系列信息安全方面的法律法规，但从整体上看，我国信息安全法规建设尚处在起步阶段，层次不高，具备完整性、适用性和针对性的信息安全法律体系尚未完全形成。因此，我们应当加快信息安全有关法律法规的研究，及早建立我国信息安全法律法规体系。

4.3要加强信息管理

要成立国家信息安全机构，研究确立国家信息安全的重大决策，制定和国家信息安全政策。在此基础上，成立地方各部门的信息安全管理机构，建立相应的信息安全管理制度，对其所属地区和部门内的信息安全实行统一管理。

4.4要加强信息安全技术开发，提高信息安全防护技术水平

没有先进、有效的信息安全技术，国家信息安全就是一句空话。因此，我们必须借鉴国外先进技术，自主进行信息安全关键技术的研发和运用。大力发展防火墙技术，开发出高度安全性、高度透明性和高度网络化的国产自主知识产权的防火墙。积极发展计算机网络病毒防治技术，加强计算机网络安全管理，为保护国家信息安全打卜一个良好的基础。

4.5加强计算机系统网络风险的防范加强网络安全防范是风险防范的重要环节

首先，可以采取更新技术、更新设备的方式。并且要加强工作人员风险意识，加大网络安全教育的投入。其次，重要数据和信息要及时备份，也可采用影像技术提高资料的完整性。第三，及时更新杀毒软件版本，杀毒软件可将部分病毒拒之门外，杀毒软件更新提高了防御病毒攻击的能力。第五，对重要信息采取加密技术，密码设置应包含数字、字母和其他字符。加密处理可以防止内部信息在网络上被非授权用户拦截。第六，严格执行权限控制，做好信息安全管理工作。“三分技术，七分管理”，可见信息安全管理在预防风险时的重要性，只有加强监管和管理，才能使信息安全更上一个台阶。

4.6建立和完善计算机系统风险防范的管理制度

建立完善的防范风险的制度是预防风险的基础，是进行信息安全管理和防护的标准。首先，要高度重视安全问题。随着信息技术的发展，攻击者的攻击手段也在不断进化，面对高智商的入侵者，我们必须不惜投入大量人力、物力、财力来研究和防范风险。在研究安全技术和防范风险的策略时，可以借鉴国外相关研究，尤其是一些发达国家，他们信息技术起步早，风险评估研究也很成熟，我们可以借鉴他们的管理措施，结合我们的实际，应用到风险防范中，形成风险管理制度，严格执行。

其次，应当设立信息安全管理的专门机构，并配备专业技术人才，选拔防范风险的技术骨干，开展对信息安全技术的研究，对系统弱点进行风险评估，及时采取补救措施。完善信息安全措施 ，并落实到信息安全管理中去。