加强信息安全管理精品(七篇)

序论：写作是一种深度的自我表达。它要求我们深入探索自己的思想和情感，挖掘那些隐藏在内心深处的真相，好投稿为您带来了七篇加强信息安全管理范文，愿它们成为您写作过程中的灵感催化剂，助力您的创作。

篇(1)

关键词：校园网；校园网信息；安全管理

中图分类号：G647 文献标识码：A文章编号：1007-9599 (2011) 11-0000-02

To Strengthen the Campus Network Information Security Management

Liu Yong

(Guangdong Maoming Shi Gaoji Jigong Xuexiao,Maoming525000,China)

Abstract:Rapid development in information technology today,the campus network has penetrated into the campus life of each person,but the corresponding situation is a campus network information security has become increasingly prominent,which threaten the normal operation of the campus network,the consequences of the campus network breakdown,school work can not be carried out,serious influence the school is in normal operation,therefore,to strengthen the campus network security management is very important.

Keywords:Campus network;Campus network information;Security management

一、引言

前年茂名市政府免费为我校提供了一条10M的政府网光纤，我校由此组建了校园网。校园网的组建后，学校办公自动化得以实现，校内的教师与互联网世界的联系也越来越紧密，极大的提高了学校的教学水平和办公效率。但是随着校园网逐渐深入到我们每一教师的教学和工作当中，网络所常见的问题也一并出现在我们每一位教师的面前，例如有些教师经常使用U盘在校内的电脑上进行交换数据的操作；或者在上网时随意下载文件等原因，经常就导致了校内某些电脑中病毒，而中毒后的电脑自然就会对正在正常运行的校园网系统造成威胁，出现大量无效数据堵塞校园网网络，使网络出现突然变得缓慢等现象，甚至在蠕虫泛滥的局域网中，使校园网瘫痪的事件屡有发生，所以我们必须加强校园网信息安全管理，从而确保校园网安全、稳定、高效地运行。

二、校园网信息安全的解决思路

校园网通过信息接入点与外部互联网相连，校园范围内部所有计算机所组成的局域网我们将其称为内网；信息接入点外部的网络我们将它称为外网。基于资金、设备和技术所限，我们校园网信息安全最主要的工作是保证内网的安全、稳定、高效地运行。这要求我们从两方面入手：分别是校园网主干网络设备的安全和校园网的安全使用

（一）校园网内网的安全

由于资金、设备和技术所限，校园网外部的网络信息安全我们不用考虑，也轮不到我们去考虑，我们要充分考虑的是校园网内部的信息安全，采取确实有效的防范措施来防止校园网内部各电脑主机对网络主干设备进行攻击而导致系统崩溃，保证校园网正常运行。

（二）校园网内各用户主机的安全

校园网的网络运行环境是一个十分复杂的环境，各用户主机安装不同的操作系统，各用户的的电脑使用水平差异较大等原因，使得各用户的主机难以避免存在各种系统安全漏洞，不及时修补这些漏洞，就会给电脑病毒以可乘之机，而中毒后的校园网用户主机会对校园网主干设备造成影响。

（三）控制校园网计算机病毒

计算机病毒是校园网信息安全的头号杀手，必须做到有效控制。在校园网主干网络设备和各用户主机都要求安装有效的杀毒软件，并且及时对病毒库进行更新，定期进行杀毒操作，坚持将计算机病毒扼杀在萌芽状态，使其对校园网信息安全的危害降到最低。

三、加强校园网信息安全管理的具体措施

（一）构建网络防范措施

如果单位经济条件允许建议在网络信息接入点使用硬件防火墙，防火墙可在校园网内部“编织”好一张安全的大网，保证校园网正常运行，是目前非常有效的网络安全防范手段，它提供一整套的安全控制策略，包括访问控制（例如ACL策略）、数据包过滤和攻击防范等网络必需功能，能有效地检测和防范校园网各种病毒的攻击、入侵，监控网络异常通信，并对攻击的主机进行隔离等，是我们校园网信息安全最值得信赖的好助手。

由于每间学校的内部地理结构有差异，我们很难从物理方面划分VLAN，但我们可使用具有网管功能的交换机中的VLAN的技术优化校园网内部网络结构，增强网络的灵活性，并根据不同的区域划分不同的网段来限制相互间的访问，达到限制用户非法访问的目的。

使用静态IP，在校园内一定要将各用户主机的MAC地址与我们事先分配给他IP进行绑定，并详细登记各用户的资料，如使用人姓名、职务、办公室、IP、MAC、联系电话等资料，方便对中毒的电脑主机快速定位提供依据。

在校园网服务器端使用网络行为管理软件，例如IP-GUARD（威盾）、聚生网管等，实时扫描客户端的主机的使用情况、流量信息，分析网络带宽流量，防止大量的长时间的占用网络带宽、防止使用BT、电驴等独占带宽的下载方式，造成网络拥挤、繁忙，做到遇故障能及时准确地定位和排查。

通过上述措施，我们基本上能保证校园网内网的信息安全，将网络病毒对校园主干设备的攻击降到最低的程度，使校园网的主干网络设备正常运行。

（二）加强校园网信息安全教育，养成良好的电脑使用习惯

校园网信息安全涉及到校内每一位教师，因此对于校园网用户来说，要进一步提高网络信息安全意识，加强关于计算机信息安法律知识的学习，自觉规范操作行为，同时掌握一些有关信息安全技术和技能，养成良好的电脑使用习惯，把可能的危险排除在发生之前。对于个人而言，可从以下几个方面入手：

现在多数用户在电脑中病毒或者因为其他原因导致电脑系统崩溃后，首要的选择是重新安装电脑系统，而安装系统时普遍采用GHOST覆盖安装方法。这种方法的缺陷是虽然电脑暂时可以使用，但病毒依然有可能保留在电脑的C盘内，建议在系统安装时先格式化电脑的C盘，然后再采用GHOST覆盖进行覆盖安装，磁盘文件格式要采用NTFS格式，系统安装好后立刻进行全硬盘病毒扫描，可减少安全隐患。

及时对系统进行漏洞扫描、修补个人电脑的系统漏洞。现在网络上比较流行的一款软件360安全卫士就具有这方面的功能，它能及时扫描你的电脑系统是否还有容易被电脑黑客攻击的漏洞，并及时通知你修补这方面的漏洞。这里要注明一下的就是：有很多电脑用户为图方便不喜欢花时间做这方面的工作，理由就是我的电脑一旦中毒，我就重新安装系统。这种习惯在自己家里没什么大问题，但现在我们同处在一个校园网的大环境下，一台电脑中病毒就有可能会对整个校园网系统造成攻击，使大家都无法正常上网。因此我们应定期使用类似360安全卫士这类软件漏洞扫描、修补个人电脑的系统漏洞。

操作系统安装完成后，要对系统的安全策略进行必要的设置。如登录用户名和密码。用户权限的分配，共享目录的开放与否、磁盘空间的限制、注册表的安全配置、浏览器的安全等级等，使用系统默认的配置安全性较差。

使用个人防火墙和反病毒软件，目前互联网上的病毒非常猖獗，达几万种之多，传播途径也相当广泛。可通过u盘、光盘、电子邮件和利用系统漏洞进行主动病毒传播等，这就需要在用户计算机上安装防病毒软件来控制病毒的传播。在单机版的防病毒软件使用中，必须要定期或及时升级防病毒软件和病毒码特征库。现在互联网上很多杀毒软件功能强大而且都是免费的，例如360安全卫士、360杀毒等，如果我们能安装这类杀毒软件和防火墙，一般都足以抵御各类网络攻击，它能够在一定程度上保护操作系统信息不对外泄漏，也能监控个人电脑正在进行的网络连接，把有害的数据拒绝于门外。

四、结束语

校园网信息安全牵涉到校园内的每一个用户，想享用安全、稳定、高效的校园网络，我们必须加强校园网信息安全管理，确保校园网正常运行，让校园网络为我们的教学和办公的好助手。

参考文献：

[1]谢希仁.计算机网络(第4版)[M].电子工业出版社

篇(2)

 

1 引言

 

信息化技术当前已经深入应用到了医院的日常经营发展内容中，建立了医院整体管理运营信息系统，对提高医院的管理效率和管理质量发挥了重要的作用。而信息安全管理，也在当前医院日常管理内容中占据了更为重要的位置，同时医院信息安全管理的内容相较于传统，也变得更加的丰富，医院信息安全管理的内容包括医院的信息系统网络安全、备份信息记录安全、计算机设备病毒防治、医院信息管理系统平台安全等诸多内容，对医院的信息安全提出了更高的要求。医院应该全面清晰的认清当前信息安全的发展形势，做好相应的信息安全防治措施。

 

2 医院信息安全面临的主要挑战

 

具体来讲，在当前医院的发展过程中，医院所面临的信息安全挑战主要来自于几个方面。

 

2.1 医院信息安全的管理责任不够明确

 

正如上文所述，在信息化技术得到全面普及应用的背景下，医院的信息安全管理内容也越来越丰富，对医院的信息安全管理工作提出了极高的要求。

 

当前阶段，医院信息安全管理工作已经成为一项复杂的系统性管理内容，而潜藏的医院信息安全隐患则包括医院信息设备的采购、网络安全产品的采购、医院内部岗位信息的流通、医院信息数据的存储应用、医院的安全信息管理策略以及医院的信息管理安全人员等诸多方面，过多的医院信息安全管理内容很容易造成医院自身信息安全管理资源的配置不够优化，同时对于医院信息安全管理监督的执行也造成了很大影响，出现医院信息安全管理责任不够明确的现象。

 

在这种纷繁复杂的情况下，加强对医院的信息安全管理内容的全面分析，制定相应的医院信息安全管理规则，确定具体的医院信息安全管理责任制度，已经成为医院信息安全管理发展过程中的必然措施。

 

2.2 医院信息管理系统面临着诸多危害

 

在全面应用了信息化技术，并建立了相应医院信息管理系统以后，医院不仅需要面临来自内部的信息安全管理风险，还需要面临更加迫切的医院信息管理系统的安全隐患。

 

具体来讲，当前计算机病毒、黑客攻击以及系统漏洞现象等等，都是当前医院信息管理系统在使用的过程中面临的来自外界的主要危害类型，计算机病毒会造成医院信息管理系统出现系统崩溃、系统数据丢失的现象，而黑客攻击甚至可以在不知不觉中盗取医院的管理信息、用户信息以及科研信息，造成医院信息安全管理中的重要经济损失，医院信息管理系统漏洞现象也有可能被人故意利用，造成医院信息安全隐患现象，对医院的信息安全发展造成非常不利的影响。

 

2.3 医院信息数据管理仍然存在着漏洞

 

当前阶段医院信息数据管理工作也仍然存在着一定的漏洞，这种漏洞主要体现在信息数据管理工作中数据处理工作的不可逆转现象上。

 

具体来讲，医院在信息数据管理的过程中极有可能出现种种失误现象，例如数据删除失误、数据修改失误、数据应用错误现象，严重的数据删除失误甚至有可能造成医院信息数据管理系统崩溃现象，对医院的信息安全管理造成极大的安全隐患，而同时医院在安全产品的选择上也存在着无法有效的联动现象，造成医院无法有效的充分发挥医院信息安全设备的防护治理功能，医院整体的信息安全系统无法形成具有层次性、系统性以及规范性的保护系统，对医院信息数据安全管理的发展也造成了一定的影响。

 

3 医院信息安全采取的主要措施

 

针对当前医院在信息安全发展过程中面临的相关挑战现象，本文建议医院应该在信息安全的发展过程中采取几项措施，可以有效地达到提升医院信息安全管理质量的目的。

 

3.1 进一步优化医院信息安全管理机制

 

医院在进一步优化医院信息安全管理机制的过程中，应该全面的加强医院信息安全管理机构、管理队伍的建设，同时建立医院信息安全管理制度以及医院信息安全责任制度，针对医院信息管理工作内容进行系统性、规范性以及权责制的管理。

 

在安全机构和安全队伍的建设上，医院必须加强对信息安全管理意识的宣传，明确医院信息安全管理机构的权利与责任，建立相应的医院信息安全应急预案机制;而在医院信息安全管理制度的优化上，医院必须针对医院面临的信息安全管理内容进行全面细致的优化，针对医院信息安全管理的范围、信息安全管理规程、人员管理制度、设备维护制度、安全保密协议、网络安全监控制度、安全隐患排除制度等等进行明确的优化，保证医院信息安全管理机制能够全面的覆盖医院信息安全管理的诸多内容。

 

3.2 进一步规划医院信息安全管理流程

 

医院进一步规划医院信息安全管理流程的目的主要是针对医院信息安全管理机制进行更加细致的规定，医院应该在医院信息安全权限管理以及医院信息安全管理规程上尤其进行优化，达到确实加强医院信息安全管理细节建设的目的。

 

以医院信息安全权限管理为例，医院可以在外来用户的访问权限、内部用户的密码登录以及内部用户的权限等级上进行细致的划分，同时对用户在医院信息管理系统内部的浏览内容进行监控，对外来用户进行IP清查以及MAC地址绑定，有效的提高医院信息安全管理的细节掌控。

 

3.3 进一步加强医院信息安全防护技术

 

医院在信息安全管理工作中，应该进一步加强对信息冗余技术、数据中心检测技术、信息安全防治技术、系统监控技术等相应信息安全技术的应用，保证医院自身系统在使用的过程中不会因为数据删除失误而造成系统崩溃的现象，提高医院信息管理系统的稳定性、安全性以及可优化性，加强对数据中心的备份记录，保证医院信息安全防护技术能够充分的提升医院信息安全管理的质量。

 

4 结束语

 

本文以医院为例，具体分析医院在信息安全管理工作面临的问题现象和采取的发展措施，进而对医疗行业的信息安全发展形势进行了分析和阐述。

篇(3)

关键词：航空管制；信息系统；信息安全；对策

1强化安全管理意识

航空管制信息安全管理工作人员的信息安全管理意识对于航管信息安全管理会产生直接的影响，也是航空管制信息安全管理过程中的重要因素。航空管制信息安全管理过程中出现的安全漏洞，很大程度上就是由于相关工作人员安全意识的淡薄，在工作中对自已要求不严，从而忽视了信息安全的重要性。为了强化航空管制信息安全管理工作，就必须注重对工作人员信息安全管理意识的强化。其主要分为以下几个方面：1)积极强化航空公司的各级领导信息安全意识，首先确保最高决策者始终拥有高强度的安全意识，并且以身作则，在自己的实际工作中体现出对安全管理得重视，这样才能带动各级工作不断提高自身的信息安全防范意识。信息安全管理工作，主要内容是“三分技术，七分管理”，各航空工作人员应该始终将技术与管理结合起来，作为约束自己日常工作行为的基本准则。强化工作人员的信息安全意识，需要对其进行定期系统的信息安全教育（如信息安全管理知识讲座等），以此为手段不断发展航空管制人员的信息安全知识水平，促使每一位工作人员都能拥有高度的自主安全管理意识。2)注重对航管人员自身信息技术素质水平的培养。在航空管制信息安全管理工作中，良好的专业素养以及熟练的操作能力是每一位工作人员都必须具备的技能。况且，随着信息技术与人工智能技术逐渐的深入航空领域，在以后的航空管制工作中，若是没有一定的信息技术专业知识，航管人员就无法准确高效的把握航管新装备和新技术。同时，航管人员在学习信息技术知识的过程中，还能开拓自己的眼界，丰富自身对现代化技术的认识，在强化自身工作能力和安全意识的同时，还能为整个航空领域的发展提供帮助，确保航管信息安全管理工作的顺利进行。3）注重航管信息安全管理观念创新。在这个信息化的时代，各个领域都在飞速发展。日新月异的信息技术，大量的新型航空管制理念，都要求航空管制信息安全工作要随着时代的发展不断变迁、创新。不仅如此，由于航空管制信息安全直接影响着飞机的飞行安全和乘客的人身安全，相关人员应该始终保持本公司的运营理念与国际的新理念接轨，根据市场需求不断改善航管信息安全管理目标和具体实践措施，创造属于我们这个时代的航空管制信息安全管理模式。将航管信息安全管理的策略落到实处，确保航空运行过程中各个环节的信息安全[1]。

2抓住主要矛盾

要想最大程度的发挥出航管信息安全管理工作的作用，航空公司的决策者和相关工作人员就得明确航管信息安全管理过程中的重难点，只有这样，才能保证有目标、有计划的施以措施。航管人员务必要高效的解决在航管信息安全管理工作中出现的各种矛盾，下文就以其中存在的主要矛盾为例说明。航管信息安全管理的根本目的是保证航管信息的完整性、可控性及保密性等，除此之外，还需要对航管信息资料进行防御、检测、抑制、恢复和管理，从多方面着手，保证航管工作的质量。航管信息管理工作的重点是管理和控制航空管制信息系统，其主要是对航管系统层、网络层以及应用层进行安全控制。航管工作中的系统层管理指的是对硬件和软件的安全管理，而且软件安全管理是整个航管信息安全管理工作中的重点。对于硬件系统的安全管理工作，一般将其列入物理安全范围，主要是防电磁辐射、电子干扰等因素[2]。在应用软件这一层面上，航管信息系统有时候会遭到黑客的侵袭，因此，相关技术人员务必要做好防“黑客”、防病毒的准备工作，而且在此基础上，还得不断恢复信息管理系统，优化操作系统的可行性和安全性，确保航管信息安全管理的效率。在加强软件系统管理工作的同时，还要对网络层面的安全管理进行加强。其主要包含以下几点：网络报警、网络恢复、数据保护、密钥安全及内部认证等。对于网络层面安全管理工作的加强，工作人员应该将重点放在各处子网的出入口设备上，同时，软件设施方面也应配合硬件设施，积极研发嵌入式操作系统，不断创新，应用更高水平的数字签名技术，对网络层进行加密。

3完善航管部门信息安全防范体系

俗话说：“无规矩，不成方圆”。要想充分完善航管信息安全管理工作，对航管信息进行有效控制，航管部门就需要根据自身的实际条件不断健全航管部门的信息安全管理体系。所以，工作人员就要提前做好充分的市场调研，就目前市场上的航管信息安全管理机构设置进行讨论研究，仔细观察整个机构设置的合理性和可行性，对各个部门的航管信息安全管理职能进行明确划分，使信息安全管理要求与业务流程联系起来，最大程度的发挥出航管信息安全管理机构的作用。不断完善航管信息安全管理制度，加上安全管理体系的建设，实行统一规划、统一管理与统一监督。时刻与国际先进的技术保持联系，将自身的发展与信息技术和人工智能紧密联系起来，将本航空公司的安全管理体系至于本行业发展的前沿。在航管过程中，需要使用的仪器设备要尽量采用国产装备，特别是某些涉及到自主关键技术机密以及中国自主知识产权的核心仪器设备。与此同时，工作人员还应该注重加强对网络安全系统的规范管理制度，逐渐建立出相应系统的航管信息安全管理标准和统一的航管信息安全管理综合评估体系以及针对航管信息的获取和应用等，需要明确的制定出切实可行的安全管理措施体系。由此可见，在航管信息安全管理的过程中，始终不能脱离完整、规范的航管信息安全防范体系，只有通过航管部门系统全面严格的控制把关，才能高效地处理航管信息安全工作中出现的各种问题。在日常的航管部门信息安全管理工作中，工作人员务必要注意两点，一是加强对航管人员的信息安全教育。要定期组织全体航空管制信息安全管理人员对工作中的专业知识以及某些设备的操作技术进行学习，不断的对航管人员注入最新的航管理念，对航管人员的航空管制保密常识进行培训，加强信息安全教育，确保每一位航空管制人员都拥有深刻的信息安全意识，以保证航空飞行安全。二是对整体航管人员实行保密信息封锁制度。航空公司应该根据实际情况制定出适合自身发展的电子设备保密管理制度，控制工作人员与外界不必要的联系，始终严格约束所有工作人员的言行举止，切忌在日常交流以及联系中向外界流失掉机密信息。不仅如此，航空公司中的任何以为工作人员都不允许以任何一种形式对外界透露公司内部的运行情况，更不能泄露涉及航管和飞行安全的信息[3]。

4健全航管信息安全管理法规制度

航空公司严谨有序的运行模式，不仅需要每一位工作人员的付出还需要高层决策者与各级工作人员商议之后制定出合理的法规制度，以统一形式的制度、要求及管理力度对员工进行统一管理，一视同仁，旨在提升对航管信息安全的管理效率。健全航管信息安全管理法规制度的要求分为两个方面，第一个方面，公司要尽快且保证质量的建立属于自己的航管信息安全评估系统。在建设的过程中，要始终按照国家的标准要求，不管是信息基础设施建设，还是网络规划建设，都必须通过国家相关管理部门的审批。而在进行基础设施建设和设备配备的过程中，则需要安全管理部门和质量管理部门进行约束指导，所有的信息建设只有在通过有效的信息安全质量认证之后，才能投入使用。第二个方面，要想使航空管制信息安全管理过程中的规章制度得到系统化、明确化、条理化，工作人员就必须以本航空公司的航管信息安全管理模式为出发点，经过多方面的调研分析，采取各个阶层工作人员的意见整合之后制定出可行有效的信息安全规章制度，力争在最短的时间内使航空管制信息安全管理工作的可行性得到大幅度提升[4]。

5结语

综上所述，航空管制信息安全管理工作是所有航空公司正常运营的前提条件，也是顺利开展航管业务的基础工作，只有航管信息安全得到了保障，飞机的飞行安全才能得到保障。航管人员在日常的工作之中要始终树立坚实牢固的航管信息安全意识，提高自身的航管能力。相应的公司管理人员也应不断强化本公司的信息技术，结合国际上新型的航管理念发展自身的运行效率，为飞机的安全飞行保驾护航。

参考文献：

[1]许彬.航管信息情报系统的设计与实现[D].成都：电子科技大学，2014．

[2]魏纯洁.空中交通管制安全评估关键技术研究[D].南京：南京航空航天大学，2012．

篇(4)

（一）管理使用的系统

ERP、加油站账册、二次物流管理、加油卡、办公自动化以及企业门户网站等系统是石化销售企业首要的应用系统。应用系统有以下特征：一是系统应用范围广，全程参与企业的经营、管理、对外服务等；二是系统用户众多，涵盖企业各阶层员工；三是系统对持续运转要求高，因此对应用系统的安全运转要求较高。对公司的经营管理而言，系统的安全稳定运行具有重大意义，系统数据是否安全、保密性和供应商、企业利益有密切关系。

（二）安全管理

随着我国经济水平不断提高，石化销售企业越来越离不开信息化管理，世界各地的公司对内部成立一个信息化团队，根据内部的需要制定出具有整体性的管理体系，并根据相关的信息安全规定对系统内部的安全等级做好评估保护工作。各企业制定了详细有效的“信息系统应急预案”以应付各类突发事件。近几年，中国石化内控体系在建设过程中不断加强、完善自身管理体系，也在IT控制方面占有一定的优势。当前，石化销售企业已基本形成一套完整的信息安全防御和管理体系，从而确保了网络信息系统的安全性。

二、信息安全风险的评估

衡量安全管理体系的风险主要方法是进行信息安全风险的评估，以此保障信息资产清单和风险级别，进而确定相应的防控措施。在石化销售企业进行信息安全风险的评估过程中，主要通过资金、威胁、安全性等识别美容对风险进行安全检测，同时结合企业自身的实际情况，拟定风险控制相应的对策，把企业内的信息安全风险竟可能下降到最低水平。

（一）物理存在的风险

机房环境和硬件设备是主要的的物理风险。当前，部分企业存在的风险有：1）企业机房使用年限过长，如早期的配电、布线等设计标准陈旧，无法满足现在的需求；2）机房使用的装备年限太长、例如中央空调老化，制冷效果不佳导致温度不达标，UPS电源续航能力下降严重，门禁系统损坏等，存在风险；3）机房安全防护设施不齐全，存在风险。

（二）网络和系统安全存在的风险

石化访问系统的使用和操作大量存在安全风险，其中主要风险包括病毒入侵、黑客袭击、防火墙无效、端口受阻以及操作系统安全隐患等。即使大部分企业已安装统一的网络防病毒体系、硬件防火墙、按期更新网络系统软件、安装上网行为监控等，但因为系统漏洞数目不断增多网络结构和袭击逐渐减弱或者因为信息系统使用人员操作系统本身的安全机制不完善、也会产生安全隐患。

（三）系统安全风险

没有经过许可进行访问、数据泄密和被删改等威胁着系统的安全性。提供各类应用服务是企业信息系统的首要任务，而数据正是应用信息系统的核心，因此，实际应用与系统安全风险密切联系。当前，信息应用系统存储了大量的客户、交易等重要信息，一旦泄露，造成客户对企业信任度影响的同时也会影响企业的市场竞争力。

（四）安全管理存在的风险

安全管理存在的主要指没有同体的风险安全管理手段，管理制度不完善、管理标准没有统一，人员安全意识薄弱等等都存在管理风险，因此，需要设立完善的信息系统安全管理体系，从严管理，促使信息安全系统正常运作。一方面要规范健全信息安全管理手段，有效较强内控IT管理流程控制力度，狠抓落实管理体系的力度，杜绝局部管理不足点；另一方面，由于信息安全管理主要以动态发展的形式存在，要不断调整、完善制度，以符合信息安全的新环境需求。

三、信息安全管理体系框架的主要构思

信息安全管理体系的框架主要由监管体系、组织体系和技术体系形成，特点是系统化、程序化和文件化，而主要思想以预防控制为主，以过程和动态控制为条件。完善安全管理体系，使石化销售企业信息系统和信息网络能够安全可靠的运作，从机密性、完整性、不可否认性和可用性等方面确保数据安全，提升系统的持续性，加强企业的竞争力。

（一）组织体系

企业在完善管理体系过程中应设立信息安全委员会和相关管理部门，设置相应的信息安全岗位，明确各级负责的信息安全和人员配置等内容。在全面提升企业人员对信息安全了解的过程中必须进行信息安全知识的相关培训，使工作人员提高信息安全管理意识，实现信息安全管理工作人人有责。

（二）制度体系

操作规范、安全策略、应急预案等各项管理制度经过计划和下发，让信息安全管理有据可依。企业参照合理完善的各项制度进一步优化业务流程，规范操作行为，降低事故风险，提升应急能力，以此加强信息安全的管理体系。

（三）技术体系

管理技术、防护技术、控制技术是信息安全管理体系的主要技术基础。安全技术包括物理安全技术、网络安全技术、主机安全技术、终端安全技术、数据安全、应用安全技术等。一旦出现信息安全事件，技术体系会在最短的时间内降低事件的不良影响，依靠相关的信息安全管理技术平台，以实现信息安全技术的有效控制。管理体系的核心是技术手段，先进的加密算法和强化密钥管理构成的数据加密方式全程控制数据传输和数据存储，可以保证数据的安全性。采用堡垒机、防火墙等安全系统可以过滤掉不安全的服务和非法用户，防止入侵者接近防御设备。IDS作为防火墙的重要功能之一，能够帮助网络系统快速检测出攻击的对象，加强了管理员的安全管理技术（包括审计工作、监视、进攻识别等技术），提高了信息安全体系的防范性。企业数据备份这一块可以采用双机热本地集群网、异地集群网等各种形式进行网络备份，利用体统的可用性和容灾性加强安全管理能力。

近年来各个企业的恶意软件、攻击行为手法变化多端很难防御，在各种压力下，传统的的安全防预技术受到了严峻的考验，这时“云安全”技术当之无愧成为当今最热的安全技术。“云安全”技术主要使用分部式运算功能进行防御，而“云安全”技术对于企业用户而言确实明显的保障了信息的安全性以及降低客户端维护量。“云安全”技术是未来安全防护技术发展的必由之路，且今后“云安全”作为企业安全管理的核心内容为企业的数据、服务器群组以及端点提供强制的安全防御能力。”

四、信息安全管理体系相关步骤

由于管理体系具有灵活性，企业可依据自身的特点和实际情况，使用最优方案，结合石化销售的特征，提出以下步骤：1）管理体系的重要目标；2）管理体系的主要范畴；3）管理体系现状考察与风险估量；4）完善管理体系的制度；5）整理管理体系的文档；6）管理体系的运行方式；7）信息安全管理体系考核。

五、结论

篇(5)

关键词：供水企业?信息安全?安全管理

中图分类号：F29 文献标识码：A文章编号：1672-3791(2012)02(c)-0000-00

1 前言

当前，随着网络和信息化建设的不断发展，企业对信息网络的依赖越来越强，供水企业也不例外。供水企业信息安全问题关系到供水系统的稳定和安全运行。目前，供水企业的信息安全风险主要来自于两个方面，即内部和外部的因素。内部威胁主要为企业信息安全管理问题；外部因素主要包括因病毒、黑客、恶意软件等造成的数据丢失，系统运行失常等问题。本文围绕着这两个方面的因素，就供水企业的信息安全问题进行探讨。

2 供水企业面临的信息安全威胁

2.1 计算机病毒的传播

计算机病毒的传播是带来企业信息安全风险的因素之一。自上世纪九十年代以来，计算机病毒以迅猛的增长速度危害着个人用户和企业用户，给企业和个人造成了严重的经济损失。目前，随着智能手机的普及，一种新型的病毒，即手机病毒也开始威胁到企业的信息安全。

2.2 企业内部网络受到黑客攻击

黑客对企业内部网络的攻击是带来企业信息安全风险的因素之二。由于Internet具有自由行和广泛性，而供水企业一般又建立了企业内部网络。当企业内部网络与Internet发生间接或直接关联的时候，企业内部网络就有可能成为黑客攻击的目标，从而泄露或丢失一些重要的企业信息，或使企业内部网络处于失常或瘫痪的状态。

2.3 企业安全管理的不足

企业的信息系统不够健全，企业员工的安全意识薄弱，这也是造成企业信息安全威胁的因素。在信息机构设置方面，供水企业缺乏规范的机构体制，相关的专业技术人员偏少。同时，很多供水企业对相关的专业技术人员缺乏系统的专业培训，使得企业员工缺乏必要的安全意识，“防黑防毒”意识淡薄，对一些恶意攻击也缺乏警惕性，有的甚至因为操作失误而给各种信息安全威胁带来了可能。

3 供水企业信息安全建设

3.1 采用防水墙技术

防水墙是保障企业信息安全的有效手段。通过控制进出供水企业网络的权限，监控网络数据流，检查所有的数据连接，防水墙技术可以有效地控制和管理对企业网络系统的访问控制和安全管理，隔离和过滤危险数据包，防止企业网络受到黑客和病毒的破坏与干扰。同时，由于所有的访问都得通过防火墙，防火墙还能实时记录和统计网络访问，这对企业信息安全管理人员管理维护企业网络提供了有利条件。

3.2 采用入侵检测技术

防火墙可以限制对企业网络系统的非法访问或攻击，检测并防御非法访问。然而，防火墙无法防止企业网络内部用户之间的攻击不经过防火墙。因此，在采用防火墙的同时，有必要用入侵检测技术。入侵检测技术（Intrusion-detection?system），简称IDS,?是一种对网络传输进行即时监视，在发现可疑传输时发出警报或者采取主动反应措施的网络安全设备。它能够分析通过网络收集的信息，检测并识别出恶意行为，及时有效地发现网络异常，检测出网络中违反安全策略的行为。如果说防火墙是一幢大楼的门卫，那么IDS就是这幢大楼里的监视系统。一旦小偷爬窗进入大楼，或内部人员有越界行为，只有实时监视系统才能发现情况并发出警告。除了简单的记录和发出警报之外，IDS还可以进行主动反应：打断会话，和实现过滤管理规则。所以说，要确保供水企业网络处于安全的状态，入侵检测技术也是必不可少的，它是防火墙技术的一个有效的补充。

3.3 采用VPN技术

VPN（Virtual?Private?Network），即虚拟专用网，是通过一个公用网络（通常为Internet）建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。它主要是通过路由器、防火墙技术、隧道技术，安全秘钥以及加密协议而组建成的Internet?VPN。它是对企业内部网络的扩展，通过VPN可以在企业分支机构，合作伙伴、供应商或远程用户与企业内部网络之间建立可靠的安全连接，向他们提供安全而有效的信息服务，保证数据的安全传输，实现企业网络安全通信的虚拟专用线路，使得外部非法用户无法访问公司内部信息。与此同时，VPN技术还可以极大降低企业信息共享的成本。

3.4 加强企业员工的安全管理

实现供水企业的信息安全，除了做好技术防护之外，还得加强企业内部员工的安全管理。做好技术防护并不意味着一劳永逸，企业员工的信息安全管理也是至关重要的。加强企业关公的安全管理需做好以下几点：1)增强企业员工的安全意识。员工的安全意识淡薄是造成企业信息安全风险的一大因素。为保障企业信息安全，供水企业需对员工进行企业网络系统的专业培训与教育，掌握信息安全问题的基础知识与常识，提高对外部恶意攻击和病毒的警惕性，加强安全防护意识，能及时发现并处理常见的安全问题。2)健全企业信息安全管理规章制度。根据供水企业的实际情况，建立健全的信息安全管理制度，如网络系统使用规范、机房管理制度、保密制度、值班制度、设备维护制度等。企业员工必须遵照相关管理制度，明确职责，按照相关用户口令或操作口令，确保日常操作符合信息安全规章制度，最大限度地防止人为失误或违规操作带来的信息安全问题。3)配置专门的企业信息安全管理技术人才。在互联网高速发展的几天，没有绝对的信息安全。企业需配置专门的信息安全管理人员，在及时有效地处理企业信息安全风险的同时，增强企业信息安全管理的人才储备，加强信息安全技术管理队伍，培养弓虽企业网络系统硬件和软件的开发设计人才，掌握保障企业信息安全的核心技术。

4 结 语

本文以供水企业为例，对企业的信息安全风险进行了分析，认为计算机病毒的传播，黑客对企业内部网络系统的攻击以及企业在员工安全管理方面的不足是造成供水企业信息安全问题的三大原因。因此，要保障信息安全，供水企业需在技术和管理两方面下功夫。在技术方面，企业可采用防火墙技术、入侵检测技术和VPN技术。在管理层面上，企业需增强员工的安全意识，建立健全企业信息安全管理规章制度，配置专门的信息安全管理技术人才。

参考文献

[1]丁丽川，曹晖.计算机网络信息安全探析[J].?科技创新导报.?2010(35):28.

[2]范红，冯登国.?信息安全风险评估方法与应用[M].?北京：清华大学出版社，2006.

篇(6)

企业经营信息对于企业来说是一种资源,对于企业自身来说具有重要意义,企业需要妥善管理自身企业的信息。近年来,企业的各项经营活动都逐渐开始通过计算机,网络开展,因此,企业的信息安全管理对于企业越来越重要。许多企业开始通过各种技术手段以及制度改革,把更多的注意力放在企业内部的信息安全管理工作,同时将企业信息安全管理与风险控制结合起来,这是一个正确的选择,能够帮助企业实现稳定经营。在介绍企业信息安全管理以及风险控制前必须厘清企业信息安全管理的概念与企业风险控制定义,因此,本节将着重介绍企业信息安全管理的概念以及企业风险控制的定义。企业的信息安全管理包含十分丰富的内容,简单来说是指企业通过各种手段来保护企业硬件和软件,保护网络存储中的各种数据不受偶然因素的破坏或者恶意的原因被攻击。对于信息安全的认定通过包括4个指标,即保证信息数据的完整,保证信息数据不被泄露,保证信息数据能够正常使用,保证信息数据能够控制管理。要想做好企业的信息安全管理,首先需要了解的是关于信息的传输方式。随着信息技术的不断普及,信息传递的方式越来越多,常见的信息传递方式主要有互联网传播,局域网传播,硬件传播等等。要想实现企业的信息安全管理,其中很重要的一项工作在于保护信源、信号以及信息。

信息安全管理是一项需要综合学科知识基础的工作,从事企业信息安全管理工作的人员通过需要具有网络安全技术、计算机技术、密码技术、通信技术。从企业的信息安全管理来讲,最为关键的一项工作时保护企业内部经营信息数据的完整。经过近十年来的企业信息安全管理工作经验总结,企业信息安全不仅仅需要信息技术的支持,更需要通过建立完善的企业风险控制体系来帮助企业实现更好地保护企业信息安全的目标。所以,怎样把企业信息安全管理与风险控制融合起来就是摆在企业经营管理者面前的一道难题。企业的信息安全风险控制必须通过企业建立完善的企业信息安全风险体系实现。

企业的信息安全风险控制是指企业在企业信息安全遭遇威胁之前,提前对企业的信息进行风险预估,并采取一系列的有针对性的活动降低企业面临的信息安全风险,从而尽可能减少因为企业本身信息安全管理中存在漏洞给企业带来不必要的损失。常见的企业信息安全风险体系建立主要包含以下几个方面的内容。第一,建立企业信息安全风险管理制度,明确企业信息安全管理的责任分配机制,明确企业各个部门对各自信息安全所应承担的责任,并建立相应的问责机制。第二,设置规范的企业信息安全风险管理指标,对企业存在的可能威胁企业信息安全管理的漏洞予以风险定级,方便企业管理者对不同的信息安全管理漏洞采取有区别的对策。第三,企业要加强对信息安全管理人员的培训,提高企业信息安全管理工作人员的风险意识,让企业内部从事信息安全管理工作人员认识到自身工作的重要性,让企业内部从事信息安全管理工作人员了解到规范自身行为,正确履行职责的重要性。第四,将企业信息安全管理与风险控制有效融合,重视企业信息安全管理工作,通过风险控制对企业内部信息安全的管理方式进行正确评估,找出现行的企业内部信息安全管理手段中存在容易忽视的地方。

二、企业信息安全管理与风险控制存在的不足

1.企业信息安全管理工作人员素质不高

对于企业来说,企业信息安全管理工作是一项极为重要而隐秘的工作,因此,必须增强对企业信息安全管理工作人员的素质要求。但是根据调查统计,目前很多企业对信息安全工作的管理仅仅停留在对企业信息安全管理工作人员的技术要求上,对企业信息安全管理工作人员的道德素养,职业素养,风险意识并没有严格要求。此外,绝大多数企业并没有意识开展对企业信息安全管理工作的道德素质的教育培训,并没有通过建立相关管理制度以及问责机制对企业信息安全管理工作人员实行监督,这无疑给别有用心或者立场不坚定的企业信息安全管理工作人员留下了危害企业信息安全的可乘之机。

2.企业信息安全管理技术不过关

企业信息安全管理工作涉及多许多技术,包括信息技术,计算机技术,密码技术,网络应用技术等等,应当说成熟的计算机应用技术是做好企业信息安全管理的基础,但是,现实是许多企业的信息安全管理技术并不过关,一方面企业的信息安全管理硬件并不过关,在物理层面对企业信息缺乏保护,另一方面,企业信息安全管理工作的专业技术没有及时更新,一些企业信息安全管理工作人员缺乏企业信息安全管理的实践经验,企业信息安全管理的知识也并没有及时更新,从而导致企业的信息安全管理理论严重滞后,这种技术的落后很容易让企业成为不法分子的攻击对象。近年来网络病毒的传播越来越猖狂,很多服务器、系统提示安全补丁的下载更新以及客户端的时常更新成为一个恼人的问题。作为一个行业中的大中型企业,企业内部设备数量比较多,尤其是客户端数量占了较大比重,仅仅靠少数几个管理员进行管理是难以承担如此大量的工作量。另外,企业信息安全管理系统不成熟也是一个重大的隐患。

3.企业信息安全管理制度不健全

企业信息安全管理制度不仅仅需要理论制度的完善,更加需要一系列配套监督机制保障企业信息安全管理的有效执行。通过调查分析,许多企业虽然建立了企业信息安全管理制度,但是通常情况下,这些制度只能流于形式,企业信息安全管理工作缺少有效的制约和监督,企业信息安全管理工作人员缺乏执行力。企业信息安全管理制度不健全,企业信息安全管理工作缺乏执行力常常体现在以下几个方面。第一,企业员工对于信息安全管理的认识严重不足,对企业信息安全管理工作不重视。企业内部计算机系统安全的计算机防病毒软件并没有及时更新,使用,甚至企业内部计算机的防病毒软件还被企业员工卸载了。部分企业员工认为自己的工作与企业信息安全管理不相关,认为做好企业信息安全管理工作仅仅是企业信息安全部门的事。第二,企业内部信息安全文秘站:管理制度并没有形成联动机制,企业信息安全管理工作仅仅由企业信息安全部门“一人包干”,企业信息安全反映的问题并没有得到积极的反馈,一些企业领导对企业信息安全现状所了解的少之又少。

三、企业信息安全管理常见的技术手段 1.OSI安全体系结构

OSI概念化的安全体系结构是一个多层次的结构,它的设计初衷是面向客户的,提供给客户各种安全应用,安全应用必须依靠安全服务来实现,而安全服务又是由各种安全机制来保障的。所以,安全服务标志着一个安全系统的抗风险的能力,安全服务数量越多,系统就越安全。

2.P2DR模型

P2DR模型包含四个部分:响应、安全策略、检测、防护。安全策略是信息安全的重点,为安全管理提供管理途径和保障手段。因此,要想实施动态网络安全循环过程,必须制定一个企业的安全模式。在安全策略的指导下实施所有的检测、防护、响应,防护通常是通过采用一些传统的静态安全技术或者方法来突破的,比如有防火墙、访问控制、加密、认证等方法,检测是动态响应的判断依据,同时也是有力落实安全策略的实施工具,通过监视来自网络的入侵行为,可以检测出骚扰行为或错误程序导致的网络不安全因素;经过不断地监测网络和系统来发现新的隐患和弱点。在安全系统中,应急响应占有重要的地位,它是解决危险潜在性的最有效的办法。

3.HTP模型

HTP最为强调企业信息安全管理工作人员在整个系统中的价值。企业信息安全工作人员企业信息安全最为关键的参与者,企业信息安全工作人员直接主导企业信息安全管理工作,企业信息安全工作人员不仅仅是企业信息安全的保障者,也是企业信息安全管理的威胁者。因此,HTP模型最为强调对企业信息安全管理工作人员的管理与监督。另外,HTP模式同样是建立在企业信心安全体系,信息安全技术防范的基础上,HTP模式采取了丰富的安全技术手段确保企业的信息安全。最后,HTP强调动态管理,动态监督,对于企业信息安全管理工作始终保持高强度的监督与管理,在实际工作中,通过HTP模型的应用,找出HTP模型中的漏洞并不断完善。

四、完善企业信息安全管理与降低风险的建议

1.建设企业信息安全管理系统

(1)充分调查和分析企业的安全系统,建立一个全面合理的系统模型,安全系统被划分成各个子系统,明确实施步骤和功能摸块,将企业常规管理工作和安全管理联动协议相融合,实现信息安全监控的有效性和高效性。

(2)成立一个中央数据库,整合分布式数据库里的数据,把企业的所有数据上传到中央数据库,实现企业数据信息的集中管理与有效运用。

(3)设计优良的人机界面,通过对企业数据信息进行有效的运用,为企业管理阶层人员、各级领导及时提供各种信息,为企业领导的正确决策提供数据支持,根本上提高信息数据的管理水平。

(4)简化企业内部的信息传输通道,对应用程序和数据库进行程序化设计,加强对提高企业内部信息处理的规范性和准确性。

2.设计企业信息安全管理风险体系

(1)确定信息安全风险评估的目标

在企业信息安全管理风险体系的设计过程中,首要工作是设计企业信息安全风险评估的目标,只有明确了企业信息安全管理的目标,明确了企业信息安全管理的要求和工作能容,才能建立相关围绕信息安全风险控制为目标的信息安全管理工作制度,才能顺利通过对风险控制的结果的定量考核,检测企业信息安全管理的风险,定性定量地企业信息安全管理工作进行分析,找准企业信息安全管理的工作办法。

(2)确定信息安全风险评估的范围

不同企业对于风险的承受能力是有区别的,因此,对于不同的企业的特殊性应该采取不同的风险控制办法,其中,不同企业对于能够承受的信息安全风范围有所不同,企业的信息安全风险承受范围需要根据企业的实际能力来制定。不仅如此,企业的信息安全风险评估范围也应当根据企业的实际经营情况变化采取有针对性的办法。

篇(7)

关键词：中小企业；电子信息；安全技术

1 电子信息安全的内涵

对于买方来说电子信息主要优点是方便快捷、操作起来比较简单。电子信息对于卖方来说主要优点是管理比较方便并且成本较低，但是电子信息最大的缺点就是买卖双方不能进行交流，主要是货币与货品的交换，并且交易都是通过网络进行的，之所以交易能够顺利完成，主要的原因是两者之间存在着诚信。关于诚信主要有两个方面的内容：有一种系统软件在买卖的过程中起到安全保障的作用，能将虚拟的货币符号转化成真实的货币，同时也能对交易起到保护作用，其中主要是对货币账户起到安全保障的作用。要想研究电子信息安全，首先要了解信息的内涵。信息主要是指资料、数据以及知识以不同的形式存在，在中小企业中这类信息主要是指买卖双方的有关信息和资料，犯罪分子能通过非法的手段对电子信息中的买卖双方采取诈骗行为，或者是通过网络对进行入侵和盗窃。信息安全管理标准对信息做出了详细的定义，信息也是属于资产，与其他的资产相同，对中小企业的发展有着重要的作用，是需要法律保护的。信息安全管理标准将信息划分为八个部分，主要包括物理资产、文档资产、文字资产、服务资产、软件资产、数据资产以及人力资源资产。

中小企业的电子信息主要是以网络为载体，网络的交流主要通过数据的传输得以实现，网上交易就是交流过程中的主要内容。所以，在信息安全的范畴中电子信息安全技术就成为了重点问题。关于电子信息安全技术的研究大多是关于技术的，但是对于中小企业来说，不仅要对技术进行改进，也要重视管理层，避免信息出现安全问题。

2 电子信息安全的理论

我国关于电子信息安全的研究，仍然较为落后。在国际中的关于信息安全的主要理论为：三观安全理论、信息循环理论以及信息安全模型理论。

三观安全理论。在中小企业的电子信息安全系统中，三观安全理论主要将其分为三个方面的内容，即微观、中观以及宏观。这个理论主要是将宏观层面的安全理念转化成微观层面的管理理念，进而对服务与生产进行指导。

信息安全模型理论。信息安全模型理论是信息安全管理发展过程中的产物，信息安全模型理论主要是将人、软件、操作以及信息系统相结合，并且全面的保护网络信息系统。主要倡导的是一种新的安全观念，并且提出了不能仅靠程序与软件对系统信息安全进行保护，要注重动态保护。此外，关于电子信息安全问题不能只依赖于安全技术，也要重视管理层安全理念的创新。

电子信息的循环理论。在实施网络信息安全的过程中电子信息的循环理论将其划分为四个方面：计划、执行、检查以及改进。这四个方面是一个循环的过程，也是一个周期，在循环的过程中，将这个过程看作是一个整体的信息安全管理体制，而不是将其看成某一管理过程。

3 电子信息安全技术对加强中小企业信息安全的作用

上文所述的三个信息安全理论对中小企业的信息安全管理有着重要的作用，主要有以下几个方面的内容。第一是信息安全领域的建设，第二是中小型企业中加强建设信息安全组织。美国信息安全研究所首次提出了信息安全领域，信息安全领域主要是指根据信息的不同保密程度创建相应的保密级别，网络控件的安装要结合用户信息的不同安全级别，安全信息的选择要适合用户的保密级别。在中小企业中，电子信息与资料的分类系统应该有统一的部门进行管理，然后对信息进行分类，并采取不同程度的加密与保密，这类信息主要包含文档、电子商务的相关资料以及服务等。将这些信息进行分类、保密、归档以及整合，有利于中小企业电子信息的调试。

对于中小企业来说，一直都存在电子信息安全性不够的问题，这主要同企业内部安全管理不足有关，安全管理的工作缺少专业的管理，很多的小型企业并没有统一的信息安全管理部门。企业安全管理部门的主要职能包含这几个方面的内容：同企业人力资源管理部门相互配合共同完成工作内容，要定期的审查一些特殊岗位的员工，一旦发现有违反安全规则的情况，要重新进行审查。同时还要对员工进行保密的培训；组织各个部门的工作，并对各个部门的工作进行协调，使企业的安全目标以及战略得以实现；企业的安全管理部门主要是对安全问题的管理、计划以及决策负责。也是企业的应急部门，要想避免企业信息的泄露，信息安全管理部门就必须加强对信息的管理；多联系各个地区的信息机构以及信息安全管理部门，这样能给企业带来新的信息安全管理观念以及安全技术；采取信息安全报告制，定期的向管理部门汇报信息安全的保护状况，对于一些重要的事件要及时的汇报，取得管理层对信息安全管理工作的支持。

在网络工程发展的同时，电子信息也得到了发展，电子信息在企业的发展中有着重要的作用，企业对其也越发的依赖电子信息。但是这只是一个虚拟的场所，主要通过网络这个载体来完成交易，因此安全技术问题成为了企业普遍关注的问题。

[参考文献]

[1]陈光匡，兴华.信息系统安全风险评估研究[J].网络安全技术与应用，2009（7）.

[2]向宏，艾鹏，等.电子政务系统安全域的划分与等级保护[J].重庆工学院学报，2009（2）.