企业信息安全建设范文

导语：如何才能写好一篇企业信息安全建设，这就需要搜集整理更多的资料和文献，欢迎阅读由公务员之家整理的十篇范文，供你借鉴。

篇1

关键词：企业信息安全；网络安全；计算机网络；防火墙；防病毒

网络的普及和蔓延已经深入到日常生活的方方面面，一个不能忽略的问题也伴随着网络的普及渗入到人们的生活中，那就是网络安全问题。2017年5月一种名为“WannaCry”的勒索病毒全球范围内爆发，传播速度之快已经对全球网络安全构成了严重威胁。据权威机构研究显示，中国每年遭受600亿美元的网络损失，位居亚洲第一。目前在国内，网络安全威胁的行业范畴众多，如教育、医疗、企业、电力、能源、交通、政府等组织及机构均是网络安全的保障范围。

现阶段的网络安全已经不是单个组织、单一个人的防范行为，而是随着整个社会对信息安全的意识的觉醒形成的一个完整的网络安全产业。随着企业网络安全意识的提高，网络安全市场的规模也在逐年增长，伴随的安全产品和安全解决方案也是层出不穷，作为一般企业如何结合企业自身需求建立完善的网络安全策略，形成一个符合自身情况的网络安全方案是本文要讨论的重点。

1网络安全概述

随着网络技术的普及和蔓延，越来越多的企业都开始通过网络技术构建企业内部的信息平台，将企业的业务数据信息化以提升企业的综合实力，借助网络技术加速企业的发展在行业内取得技术上对的领先优势。其业务运营越来越依赖于对计算机应用系统，而计算机应用系统是建立在完善的技术网络环境中的。随着计算机网络规模不断扩大，网络结构日益复杂，对计算机网络的运维水平有着较大的挑战。而近年来的网络攻击事件频出，企业的信息安全防范意识也提高到了日常运维的日程中来了。从网络安全的管控模型来分析，网络安全一般采用动态的防御过程，一般要在安全事件发生的前、中和后均采用合理的技术方案，而网络安全管理流程则会在整个网络运营流程中起作用。企业的网络管理人员已经将网络安全纳入企业的IT规划发展的整体范畴，全面覆盖企业信息平台的各个层面，对整个网络及应用的安全防范通盘考虑。

从网络安全的发展历程来说，是由于网络自身的发展引发的安全问题才使得网络安全技术诞生了，目前而言有网络的地方就存在网络安全隐患。像黑客攻击、病毒入侵之类的网络安全事件，都是利用计算机网络作为主要的传播途径，其时间的发生频率可以说和信息的传播速度一样快，这也是网络安全的特点之一。除此之外，像非法用户的访问和操作，用户信息的非法截取和更改，恶意软件入侵和攻击等都是现今普遍存在于计算机网络的安全事件。显然，其所带来的危害也是让每一位计算机用户有着深刻的体会，例如：因为某种病毒让操作系统运行不稳定，导致文件系统中的数据损坏无法访问和读写，甚至导致磁盘、计算机、网络等硬件的损坏，造成极大的经济损失。

由于企业的网络环境建设过程一般历经了数年甚至数十年，网络中接人的设备数量和种类众多，网络中的应用和内部系统也繁多。再加上，一般要求企业的网络运行是7*24小时不间断作业运行，其产生的数据往往巨大，其中不乏大量的敏感信息。这样的网络环境，必然给恶意代码、病毒程序、网络攻击等恶意的攻击事件留下了隐患，可以毫不客气地说企业的网络环境往往是危机四伏。

2网络安全实践

2.1网络安全误区案例分析

目前针对网络安全事件频繁发作，不少企业采购了相关的安全产品并配合了相关的安全措施，但是缺乏对网络安全框架的理解存在不少误区，主要有以下几个方面。

1）部署网络防火墙就万事大吉了

防火墙主要原理是过滤封包与控制存取，因此对非法存取与篡改封包及DoS攻击等网络攻击模式是极其有效的，对于网络隔离和周边的安全防护效果明显。显然如果攻击行为绕开防火墙，或是将应用层的攻击程序隐藏在正常的封包内，防火墙就失效了，这是由于大多数防火墙是工作在W络层，并且其原理是“防外不防内”，对内部网络的访问不进行任何处理，显然这种原理就成为了安全隐患和漏洞。

2）定期更新杀毒软件就能够保护系统不受病毒侵扰

显然安装杀毒软件是避免系统被病毒破坏的主要手段之一，但是这仅仅只能对已知病毒进行查杀，对于未知病毒显然缺乏事先预防的能力。

3）病毒只会在万维网中传播

虽然目前万维网是病毒传播的主要途径，但是对于企业内部网络可能会通过u盘、刻录光盘、邮件、企业协同系统等从外部带人病毒，因此只要计算机运行了，就要需要做好防范病毒措施。

4）为了避免病毒感染只要设置文件属性为只读即可

通常操作系统的shell调用可以提供将文件的读写属性设置为只读，但是对于黑客来说完全可以用程序做反向操作，即将文件属性改为读写，并可以接管文件的控制权。

5）将敏感信息隔离于企业门户之外

不少企业都采用了网络隔离装置，控制外部对企业内部网络的访问，甚至完全隔离任何数据的读写均禁止。但是对于内部的安全管理疏于防范，导致某些账户或权限被外部窃取，最后网络敏感数据从内部流出，甚至导致内部网络瘫痪，系统无法正常运行。

显然上述误区都是因为网络管理员的思想局限在某些单一的网络场景导致的，缺乏全局的网络安全意识和合理的网络安全规划策略的指导。

2.2案例分析

针对上述误区，本文将以一个虚拟的公司网络环境展开案例分析，设计一个全局的网络防范框架。一般企业网络按服务器类型划分包括：AAA服务器、内部DNS服务器、FTP服务器、HTTP服务器等服务器。按职能部门划分包括：经理办公室、市场部、财政部、系统集成部、软件部以及前台接待部，一般各部门的网络会做隔离，另外对于财务部的网络只有经理办公室有权限访问其他部门不能访问，而前台接待部的网络作为企业门户不能访问公司内部网络，只能通过外网访问。

根据上述基本网络需求，在网络安全架构设计上还应考虑Intemet的安全性，以及网络隐私及专有性等一些因素，如NAT、VPN等。综合分析，一个完整的企业网络安全建设需求应该包括如下建设需求：1）网络基础设施建设；21网络基础的连通即访问规划；3）信息的访问控制；4）全网网络安全管理需求；5）各层次的网络攻防控制；6）各层次应用及系统的病毒防范；7）企业内部的跨部门的信息安全；8）敏感信息及网络安全控制。

根据上述基本网络需求，可以建立一个如图1所示的网络拓扑结构。

上图中的拓扑结构满足一般性的企业网络环境，包括服务器网络及网络隔离，各个职能部门的网络、计算机及办公设备，以及防范外部的防火墙设备，还包括各个层次的网络交换机等网络设备。

一般性的场景是根据图1中的网络拓扑设计，根据企业的实际网络规划考虑企业网络建设的安全需求，在网络建设的基础上进行安全改造，目的是保证企业各种设计信息的安全性，提高企业网络系统运行的稳定性，避免设计文档、图纸的外泄和丢失。对于客户端的计算机的保护一般是通过软件或安全流程进行保护，记录用户对客户端计算机中关键目录和文件的操作，使企业有手段对用户在客户端计算机的使用情况进行追踪，防范外来计算机的侵入而造成破坏。通过网络的改造，使管理者更加便于对网络中的服务器、客户端、登陆用户的权限以及应用软件的安装进行全面的监控和管理。一般采用以下安全手段：1）在现有网络中加入网络安全设备设施；2）lP地址规划及管理；3）安装防火墙体系；4）划分VLAN控制内网安全；5）建立VPN（虚拟专用网络）确保数据安全；6）提供网络杀毒服务器；7）加强企业对网络资源的管理；8）做好访问控制权限配置；9）做好对网络设备访问的权限。

一般情况下在企业的网络环境中，会由ISP供应商提供公网的人口，而本文的重点为安全问题，因此采用虚拟的公网入口。目前IPv6技术还不是很成熟，IPv4地址依旧广泛应用于企业内部网络，因此公司内部使用IPv4的私有地址网段，假设公司内部共拥有800部终端，所以由172.28.0.0/22网络段划分，ip地址和VLAN规划如下表1。

根据上表1的规划依旧满足了连通性和VLAN的控制划分，在图1中的规划建立经理办公室和财务部的VPN就保证了隔离性。再在服务器集群中安装专门的防病毒服务器，监管所有计算机的防病毒程序，防止病毒人侵。根据一般安全权限控制还需建立专用的AAA服务器，保证认证（Authentication）：、授权（Authorization）和审计（Accounting）。最后，图l中IDS（IntrusionDetection Systems）即“入侵检测系统”，用户可以根据企业安全需求设置一组安全策略，IDS可以对网络中的计算C、软件、磁盘、网络等新设备监控运行状态，根据运行状态预测各种网络攻击事件，从而起到网络安全的防范作用，IDS也是根据安监事件的事前、事中和事后的动态过程设计的模型。

篇2

关键词：企业信息化；信息安全管理体系；信息安全保障

1 企业信息安全需求与目标

近年来随着企业信息系统建设的不断发展，企业的信息化安全也面临着前所未有的挑战。作为中国高速列车产业化制造基地和城轨地铁车辆定点制造企业，公司的发展对高速动车行业产生着举足轻重的作用；从企业信息安全现状分析，公司IT部门主管深深意识到，尽管从自身情况来看，在信息安全方面已经做了很多工作，如部署了防火墙、SSL VPN、入侵检测系统、入侵防御系统、防病毒系统、文档加密、终端安全管理系统等。但是安全系统更多的在于防堵来自某个方面的安全威胁，无法产生协同效应，距离国际同行业企业还存在一定的差距。

公司通过可行性研究及论证，决定借助外力，通过知名的咨询公司协助企业发现存在的信息安全不足点，以科研项目方式，通过研究国家安全标准体系及国家对央企和上市企业的信息化安全要求，分析企业目前的现状和国际标准ISO27001之间的差距，继而完善企业信息安全体系的规划与设计，最终建立一套适合企业现状的信息安全标准和管理体系。目标是使公司信息安全从管理到技术均得到全面加强，建立一个有责（职责）、有序（秩序）、有效（效率）的信息安全管理体系，预防信息安全事件的发生，确保更小的业务损失，提供客户满意度，获取更多的管理支持。在行业内树立标杆和示范，提升企业形象，赢取客户信任，增强竞争力。同时，使信息安全体系通过信息安全管理体系通过ISO 27001认证标准。

2 企业信息安全管理体系建设过程

凡事预则立，不预则废。对于信息安全管理建设的工作也先由计划开始。信息安全管理体系建设分为四个阶段：实施安全风险评估、规划体系建设方案、建立信息安全管理体系、体系运行及改进。也符合信息安全管理循环PDCA（Plan-Do-Check-Action）模型及ISO27001要求，即有效地保护企业信息系统的安全，确保信息安全的持续发展。本文结合作者经验，重点论述上述几个方面的内容。

2.1 确立范围

首先是确立项目范围，从机构层次及系统层次两个维度进行范围的划分。从机构层次上，可以考虑内部机构：需要覆盖公司的各个部门，其包括总部、事业部、制造本部、技术本部等；外部机构：则包括公司信息系统相连的外部机构，包括供应商、中间业务合作伙伴、及其他合作伙伴等。

从系统层次上，可按照物理环境：即支撑信息系统的场所、所处的周边环境以及场所内保障计算机系统正常运行的设施。包括机房环境、门禁、监控等；网络系统：构成信息系统网络传输环境的线路介质，设备和软件；服务器平台系统：支撑所有信息系统的服务器、网络设备、客户机及其操作系统、数据库、中间件和Web系统等软件平台系统；应用系统：支撑业务、办公和管理应用的应用系统；数据：整个信息系统中传输以及存储的数据；安全管理：包括安全策略、规章制度、人员组织、开发安全、项目安全管理和系统管理人员在日常运维过程中的安全合规、安全审计等。

2.2 安全风险评估

企业信息安全是指保障企业业务系统不被非法访问、利用和篡改，为企业员工提供安全、可信的服务，保证信息系统的可用性、完整性和保密性。

本次进行的安全评估，主要包括两方面的内容：

2.2.1 企业安全管理类的评估

通过企业的安全控制现状调查、访谈、文档研读和ISO27001的最佳实践比对，以及在行业的经验上进行“差距分析”，检查企业在安全控制层面上存在的弱点，从而为安全措施的选择提供依据。

评估内容包括ISO27001所涵盖的与信息安全管理体系相关的11个方面，包括信息安全策略、安全组织、资产分类与控制、人员安全、物理和环境安全、通信和操作管理、访问控制、系统开发与维护、安全事件管理、业务连续性管理、符合性。

2.2.2 企业安全技术类评估

基于资产安全等级的分类，通过对信息设备进行的安全扫描、安全设备的配置，检查分析现有网络设备、服务器系统、终端、网络安全架构的安全现状和存在的弱点，为安全加固提供依据。

针对企业具有代表性的关键应用进行安全评估。关键应用的评估方式采用渗透测试的方法，在应用评估中将对应用系统的威胁、弱点进行识别，分析其和应用系统的安全目标之间的差距，为后期改造提供依据。

提到安全评估，一定要有方法论。我们以ISO27001为核心，并借鉴国际常用的几种评估模型的优点，同时结合企业自身的特点，建立风险评估模型：

在风险评估模型中，主要包含信息资产、弱点、威胁和风险四个要素。每个要素有各自的属性，信息资产的属性是资产价值，弱点的属性是弱点在现有控制措施的保护下，被威胁利用的可能性以及被威胁利用后对资产带来影响的严重程度，威胁的属性是威胁发生的可能性及其危害的严重程度，风险的属性是风险级别的高低。风险评估采用定性的风险评估方法，通过分级别的方式进行赋值。

2.3 规划体系建设方案

企业信息安全问题根源分布在技术、人员和管理等多个层面，须统一规划并建立企业信息安全体系，并最终落实到管理措施和技术措施，才能确保信息安全。

规划体系建设方案是在风险评估的基础上，对企业中存在的安全风险提出安全建议，增强系统的安全性和抗攻击性。

在未来1-2年内通过信息安全体系制的建立与实施，建立安全组织，技术上进行安全审计、内外网隔离的改造、安全产品的部署，实现以流程为导向的转型。在未来的 3-5 年内，通过完善的信息安全体系和相应的物理环境改造和业务连续性项目的建设，将企业建设成为一个注重管理，预防为主，防治结合的先进型企业。

2.4 企业信息安全体系建设

企业信息安全体系建立在信息安全模型与企业信息化的基础上，建立信息安全管理体系核心可以更好的发挥六方面的能力：即预警（Warn）、保护（Protect）、检测（Detect）、反应（Response）、恢复（Recover）和反击（Counter-attack），体系应该兼顾攘外和安内的功能。

安全体系的建设一是涉及安全管理制度建设完善；二是涉及到信息安全技术。首先，针对安全管理制度涉及的主要内容包括企业信息系统的总体安全方针、安全技术策略和安全管理策略等。安全总体方针涉及安全组织机构、安全管理制度、人员安全管理、安全运行维护等方面的安全制度。安全技术策略涉及信息域的划分、业务应用的安全等级、安全保护思路、说以及进一步的统一管理、系统分级、网络互联、容灾备份、集中监控等方面的要求。

其次，信息安全技术按其所在的信息系统层次可划分为物理安全技术、网络安全技术、系统安全技术、应用安全技术，以及安全基础设施平台；同时按照安全技术所提供的功能又可划分为预防保护类、检测跟踪类和响应恢复类三大类技术。结合主流的安全技术以及未来信息系统发展的要求，规划信息安全技术包括：

2.5 体系运行及改进

信息安全管理体系文件编制完成以后，由公司企划部门组织按照文件的控制要求进行审核。结合公司实际，在体系文件编制阶段，将该标准与公司的现有其他体系，如质量、环境保护等体系文件，改归并的归并。该修订审核的再继续修订审核。最终历经几个月的努力，批准并实施了信息安全管理系统的文档。至此，信息安全管理体系将进入运行阶段。

有人说，信息系统的成功靠的是“三分技术，七分管理，十二分执行”。“执行”是要需要在实践中去体会、总结与提高。对于信息系统安全管理体系建设更是如此！在此期间，以IT部门牵头，加强宣传力度，组织了若干次不同层面的宣导培训，充分发挥体系本身的各项功能，及时发现存在的问题，找出问题根源，采取纠正措施，并按照更改控制程序要求对体系予以更改，以达到进一步完善信息安全管理体系的目的。

3 总结

总结项目，建立健全的信息安全管理制度是进行安全管理的基础。当然，体系建设过程中还存在不足，如岗位原有职责与现有安全职责的界定，员工的认知及接受程度还有待提高，体系在各部门领导重视程度、执行力度、审核效果存在差距等等。最终，在公司各部门的共同努力下，体系经历了来自国际知名品牌认证公司DNV及中国认可委（CNAS）的双重检验，并通过严格的体系审核。确认了公司在信息安全管理体系达到国内和国际信息安全管理标准，提升公司信息安全管理的水平，从而为企业向国际化发展与合作提供有力支撑。

[参考文献]

[1]沈昌祥.《信息系统安全导论》.电子工业出版社，2003.7.

篇3

［关键词］ 信息安全保障体系； 中国石油； 企业

doi : 10 . 3969 / j . issn . 1673 - 0194 . 2012 . 09. 054

［中图分类号］ TP309 ［文献标识码］ A ［文章编号］ 1673 - 0194（2012）09- 0089- 02

1 信息安全保障体系概述

信息安全保障（Information Assurance，IA）来源于1996年美国国防部DoD指令5－3600．1（DoDD5－3600．1）。其发展经历了通信安全、计算机安全、信息安全直至现在的信息安全保障。内容包括保护（Protection）、检测（Detection）、响应（Response）、恢复（Recovery） 4个环节，即PDRR模型。

信息安全保障体系分为人员体系、技术体系和管理体系3个层面，人员体系包括安全人员的岗位与职责、全体工作人员的安全管理两部分。技术体系由本地计算环境、区域边界、网络基础设施及支撑性基础设施组成。管理体系包括建立完善的信息安全管理体系、构建自上而下的各级信息安全管理组织架构、制定信息安全方针与信息安全策略及完善信息安全管理制度4个板块。通过纵深防御的多层防护，多处设置保护机制，抵御通过内部或外部从多点向信息系统发起的攻击，将信息系统的安全风险降低到可以接受的程度。

2 国外信息安全保障体系建设

美国的信息化程度全球最高，在信息技术的主导权和网络上的话语权等方面占据先天优势，他们在信息安全保障体系建设以及政策支持方面也走在全球的前列。美国政府先后了一系列政策战略报告，将信息安全由“政策”、“计划”上升到“国家战略”及“国际战略”的高度。美国国土安全局是美国信息安全管理的最高权力机构，其他负责信息安全管理和执行的机构有国家安全局、联邦调查局、国防部、商务部等，主要根据相应的方针和政策结合自己部门的情况实施信息安全保障工作。

其他国家也都非常重视信息安全保障工作。构建可信的网络，建设有效的信息安全保障体系，实施切实可行的信息安全保障措施已经成为世界各国信息化发展的主要需求。信息化发展比较好的发达国家，如俄、德、日等国家都已经或正在制定自己的信息安全发展战略和发展计划，确保信息安全沿着正确的方向发展，在信息安全领域不断进行着积极有益的探索。

3 国内信息安全保障体系建设

我国信息化安全保障体系建设相对于发达国家起步较晚，2003年9月，中央提出要在5年内建设中国信息安全保障体系。2006年9月，“十一五”发展纲要提出科技“支撑发展”的重要思想，提出要提高我国信息产业核心技术自主开发能力和整体水平，初步建立有中国特色的信息安全保障体系。2007年7月20日，“全国重要信息系统安全等级保护定级工作电视电话会议”召开，标志着信息安全等级保护工作在全国范围内的开展与实施。2011年3月《我国国民经济和社会发展十二五规划纲要》明确提出加强网络与信息安全保障工作。通过一系列的文件要求，不断完善与提升我国的信息安全体系，强调信息安全的重要性。

我国信息安全保障体系建设主要包括：① 加快信息安全立法、建立信息安全法制体系，做到有法可依，有法必依。② 建立国家信息安全组织管理体系，加强国家职能，建立职能高效、职责分工明确的行政管理和业务组织体系，建立信息安全标准和评价体系。③ 建立国家信息安全技术保障体系，使用科学技术，实施安全的防护保障。④ 在技术保障体系下，建设国家信息安全保障基础设施。⑤ 建立国家信息安全经费保障体系，加大信息安全投入。⑥ 高度重视人才培养，建立信息安全人才培养机制。

我国通过近几年的努力，信息安体保障体系取得了长足发展，2002年成立了全国信息安全标准化技术委员会，不断完善信息安全标准。同时在互联网管理、信息安全测评认证、信息安全等级保护工作等方面取得了实质性进展，但CPU芯片、操作系统与数据库、网关软件仍大多依赖进口，受制于人。

4 企业信息安全保障体系建设

中国石油集团公司信息化建设在我国大型企业中处于领先地位，在国资委历年信息化评比中，都名列前茅，“十一五”期间，公司将企业信息安全保障体系建设纳入信息化整体规划中，并逐步实施。其中涉及管理类项目3个，控制类项目3个，技术类项目5个。

管理类项目包括信息安全组织完善、信息安全运行能力建设、风险评估能力建设3个项目。信息安全组织完善是指完善信息安全的决策、管理与技术服务组织，合理配置岗位并明确职责，建立完备的管理流程，为信息安全建设与运行提供组织保障。信息安全运行能力建设内容包括建立统一、完备的信息安全运行维护流程及组织IT运行维护人员信息安全技能培训，较快形成基本的信息安全运行能力。风险评估能力建设是指通过建立风险评估规范及实施团队，提高信息安全风险自评估能力和风险管理能力，强化保障体系的有效性。

信息安全控制类项目涉及信息安全制度与标准完善、基础设施安全配置规范开发、应用系统安全合规性实施3个项目。信息安全制度与标准完善包括：① 初步构建了制度和标准体系，了《信息系统安全管理办法》及系统定级实施办法。② 建立和完善了信息系统安全管理员制度，开展了信息安全培训。③ 跟踪国家信息安全等级保护政策，开展信息系统安全测评方法研究等，规范了信息系统安全管理流程，提升安全运行能力。基础设施安全配置规范开发目标是制定满足安全域和等级保护要求的信息技术基础设施安全配置规范，提高信息技术基础设施的安全防护能力。应用系统安全合规性实施是提供专业的信息安全指导与服务，支持国家等级保护、中国石油内部控制等制度的实施，使信息化建设与应用满足合规性要求。

信息安全技术类项目由身份管理与认证、网络安全域实施、桌面安全管理、系统灾难恢复、信息安全运行中心5个项目组成。身份管理与认证是指建成集中身份管理与统一认证平台，实现关键和重要系统的用户身份认证，提高用户身份管理效率，保证系统访问的安全性。网络安全域包括广域网边界防护、广域网域间与数据中心防护、广域网域内防护3项内容。广域网边界防护是指将全国各地的中国石油单位的互联网集中统一到16个区域网络中心，员工受控访问互联网资源，并最终实现实名制上网。广域网域间与数据中心防护项目指建立。区域间访问与防护标准、数据中心防护标准。广域网域内防护将分离其他网络并制定访问策略，完善域内安全监控手段和技术，规范域内防护标准。桌面安全管理项目包括防病毒、补丁分发、端点准入、后台管理、电子文档保护和信息安全等级保护综合管理6个子系统。系统灾难恢复包括：① 对数据中心机房进行了风险评估，提出了风险防范和改进措施。② 对已上线的18个信息系统进行业务影响分析，确定了灾难恢复关键指标。③ 制定整体的灾备策略和灾难恢复系统方案。信息安全运行中心旨在形成安全监控信息汇总枢纽和信息安全事件协调处理中心，提高对信息安全事件的预警和响应能力。

5 存在问题及建议

中国石油作为国资委超大型企业和能源工业龙头企业，集团领导和各级领导，一贯重视信息安全工作，在落实等级保护制度，加强信息安全基础设施建设，深入开展信息安全战略、策略研究等方面，都取得的丰硕成果，值得其他企业借鉴。公司在信息安全保障体系建设中还存在以下问题：

（1） 信息安全组织体系不够健全，不能较好地落实安全管理责任制。目前，部分二级单位没有独立的信息部门，更没有负责安全体系建设、运行和管理的专职机构，安全的组织保障职能分散在各个部门，兼职安全管理员有责无权的现象普遍存在，制约了中国石油信息安全保障体系建设的发展。需强制建立从上至下完善的管理体系，明确直属二级单位的信息部门建设，岗位设定、人员配备满足对信息系统管理的需求。

篇4

【关键词】网络安全；信息化建设；需求分析；解决方案

1、企业信息化建设概述

企业信息化建设就是利用先进的科技手段把科学的管理思想融入到企业的日常经营管理之中，在管理的过程中实现对成本、业务、物流、财务和客户关系等各个环节的科学管理。目前，国内企业信息化建设取得了一定的成绩，积累了一定的经验，但是企业的信息集成优势建设还不完善，网络技术的效率和便利性还没有在企业信息化建设中体现出来。企业信息化是一个完善的、严密的信息系统，各个业务环节数据的完整性和准确性影响着数据处理的及时性和可靠性，因此，企业信息化建设建立在准确、完善的基础数据之上。信息化建设的安全是一个综合的系统工程，总体安全取决于系统中所有环节中最薄弱的环节，因此，信息化建设要全面考虑，不断完善，同时还要对系统进行安全评估，发现不安全的因素后及时调整安全策略。

2、企业信息化系统需求分析

2.1系统需求分析

企业信息化建设首先要分析企业原有的系统现状，找出存在的问题，例如分析企业邮箱系统、门户网站、人力资源管理系统、报表系统、财务管理系统、经营分析系统和业务运营支撑系统等各个系统的现状，找出网络设备、监控管理机制、认证方式和病毒防护等各方面存在的问题，针对未来企业发展的需要，对企业信息化系统做出全面、详细的需求分析。

2.2网络需求分析

网络需求分析要结合企业的IT现状和本省的IT总体规划需求，设计中心机房的位置和部署模式，一些大型的企业如果有分公司的话，还要考虑子公司到中心机房的网络建设。在网络需求分析中关键的点是IT基础设施的建设，例如要明确信息系统的网络带宽需求、各种主机设备等硬件资源；考虑企业信息化网络和Internet相连的方式和安全措施；机房的选址、设计和施工要点等；ADSL VPN线路、专线线路和楼内线路的综合布线和施工。特别是机房的空间要留有一定的余量，主机设备要留有一定的扩展空间，设备的选型要考虑到企业未来五年的性能需求增长。

2.3安全需求分析

安全需求分析包括以下三方面：

1、物理安全风险分析。物理安全是企业信息化建设中网络系统安全的前提，物理安全风险主要包括火灾、地震、电源故障、设备被盗、电磁辐射和报警系统设计缺陷等导致的事故发生。

2、链路传输风险分析。链路传输风险和各个局域网中采用的布线方式有关，例如当采用UTP非屏蔽布线时，就会存在网络信息通过电磁辐射泄露的风险。

3、网络结构安全风险分析。网络结构安全风险主要包括来自外部网络的安全威胁、内部局域网的安全威胁和网络设备的安全隐患三方面。

3、企业信息化建设安全解决方案

3.1网络边界安全防护

对于简单的安全控制，由路由器作网络层的初步安全保障，通过配置路由器的访问控制列表，过滤不要的信息流。对于复杂的信息网络，安全控制要通过防火墙来实现。通过制定相应的安全策略，防火墙控制用户的访问权限，通过开启服务器需要使用的端口，关闭非法使用的端口，控制网络安全。通过配置防火墙实现以下功能：

1、通过配置IP地址、端口、协议等参数，允许内网中的部分用户访问外部网络，其他用户则无权通过防火墙访问外网。

2、对一个端口、一组IP地址或应用协议设置最小带宽或最大带宽，通过对网络流量的控制实现网络资源的优化配置，从而提高网络效率。

3、通过URL地址、不良关键词和网页分类过滤不良内容。

3.2入侵检测与防御

入侵检测可以扩展管理人员的安全监视、审计、攻击识别等安全管理能力，帮助信息化系统应对网络攻击，从而提高系统安全基础结构的完整性。入侵检测是一种主动地安全防护技术，被认为是在防火墙后的第二道安全门，它通过记录事件、阻塞网络连接和报警功能等，在网络安全受到侵害前进行拦截。

对于完善的入侵检测系统而言，不仅能让系统管理人员了解网络系统的变化，还能为管理人员提供网络安全策略，从而实现网络的多层次、立体保护。通过实时检测服务器服务的用户信息、网络数据流量、网络负载容量等内容，警告信息给管理人员、通过各种规则配置阻止黑客入侵，跟踪并定位黑客的攻击位置。入侵检测与防御可以通过旁路IDS和在线IPS两种方式实现。旁路IDS的缺点是阻断效果差，线IPS会产生延迟，但是阻断能力强，为了充分发挥二者的优势，可以进行可以的配置，在安全和性能之间找到一个良好的平衡。

3.3安全漏洞扫描与评估

安全漏洞扫描最能全面和直接地找出企业范围防火墙、数据库服务器、网络服务和应用服务器等的安全现状，通过找出安全漏洞，然后根据不用的风险等级，制定出相应的修补办法。扫描器又分为漏洞扫描器、系统扫描器和数据库扫描器三种，漏洞扫描器扫描的对象主要是服务器、网络打印机、工作站、防火墙、路由交换机等网络设备，通过找出网络设备存在的弱点，及时制定安全策略；系统扫描器通过比较实际的主机配置，全面分析企业内部操作系统的安全风险，例如不适当的用户权限，缺少安全补丁，不正确的登录方式等；和数据库扫描器通过定期地扫描数据库，检查数据库中存在的安全漏洞，通过运行审核程序提供安全风险报告。

3.4防病毒系统

在企业信息化建设中防病毒系统应该采取预防为主、全面防护的对策，要采用多平台多方位的防病毒产品，满足安全系统全面防范的目的。防病毒系统主要采用的方式有：

1、单机病毒防火墙。该方式主要适用于没有联网的单个计算机。

2、服务器病毒防火墙。由于服务器为所有工作站提供数据共享，因而会成为病毒攻击的理想场所，因此服务器病毒防火墙为企业网络中最为常见的。

3、电子邮件服务器病毒防火墙。通过对邮件进行病毒扫描工作，防止服务器不受病毒侵害，同时也防止邮件交叉感染病毒。

4、网络杀毒服务器。该方式是基于Web的、实时的、可集中控制的反病毒解决方法，在病毒爆发期，管理人员首先更新病毒库，然后对整个企业进行病毒扫描。

篇5

关键词：电力；通信企业；安全文化；建设

现阶段，企业安全文化由于其本身具备有优良的安全管理手段的特点，已经受到众多企业广泛的关注。因此，怎样有效地构建安全文化是当前电力行业及通信企业共同探讨的话题。电力通信企业生产的主要目的在于如何有效地利用通信为电力企业搭建一个基础平台，能够准确地控制各项生产、营销、办公自动化的消息的全面传送，能够给电网的安全生产及经营管理提供安全、可靠的通信保障及优质的服务。它不仅具备维护量大、点多面广线长的特点，而且其技术更新过程很快，需要不断学习才能够具备驾驭能力。另外，其安全责任性相对较大，特别是针对电网安全运行，需要更新传统的通信安全观念，树立与电网安全生产要求相适应的安全管理理念。因此，电力通信企业的安全文化管理是一个繁杂的系统性工程，由于其涉及众多因素，必须长期坚持开展工作，而领导班子齐心协力是建设企业安全文化的重要基础。

1安全文化建设的内涵及意义

电力通信企业的安全文化指的是在从事电力通信生产的实际过程中，为了能够保证生产能够正常进行，保护职工不受到伤害，通过长时间不断地积淀和总结，并结合当前形式下的市场积极制度所形成的一种思想及理论。其不仅是全体职工对安全工作形成阶段的一种共识，而且还是电力通信企业安全工作的基础与平台，更是实现电力通信企业安全生产长治久安的坚强后盾。因此，安全文化在电力通信安全管理阶段中具备非常重要的意义。

1.1企业安全文化建设的步骤

1.1.1建立机构

企业安全文化组织的保证来源于建立领导机构。委员会负责对领导的组织工作，日常工作开展主要依靠下设办公室完善，各项二级单位需要成立专门的领导小组。安全文化建设领导机构能够有效建立及正常运转都少不了高层领导的高度重视。各级领导需要充分意识到建设企业文化对企业发展的重要性，积极组织好安全文化小组，完成各项任务，要保证其在任务阶段能够获取有效成绩，推进企业安全文化建设步伐，以此带动企业安全生产管理水平的提升。

1.1.2制订规划

在进行电力通信企业安全文化的建设过程中，需要有总体规划方案，即行动有计划，并且要定时定期地检查计划与规划的执行状况。在制定规划的过程中，需要调查分析安全文化所涉及的内容，并且要根据电力企业安全生产及经营管理对通信专业的基本要求，对企业的安全文化理念做定格的设定。要及时地制定科学的时间表，在实施计划过程需要讲究效率及效果，而且要定期检查实施情况。值得特别注意的是，企业必须与时俱进，要按照电力企业对通信企业提出的各项要求，进行创新文化的理念革新，及时修订安全文化的建设规划，使其能够适应时展。

1.1.3训练骨干

在安全文化建设的过程中，只有训练出一批对安全文化建设有正确认识及深刻体验的骨干人才，才能够在一定基础上有效地带动群众队伍，从而齐心地建设和完善企业安全文化。这一过程的训练内容基本包括理论分析、实例分析及经验详谈和单位的实施方法等。企业骨干培训越多，企业安全文化建设的推动就越有利。所以，对于企业领导、班级领导，首先要让自己成为企业中的骨干，只有这样才能起到带头作用，才能更好地影响群众。

1.1.4宣传教育

安全文化建设的手段主要通过宣传、激励、教育、感化的形式进行。通过采取各种文化模式，例如宣传激励、科技创新、文学艺术、教育培训等协助安全文化建设的推进工作。在此有几方面的内容需要强调，具体如下；

（1）要传递上级主管部门在各个环节的重要指示精神，特别是针对通信专业的具体要求，需要领悟其深刻思想，要在一定程度上加强安全生产的责任感。

（2）要积极、有效地运用“安全月”“安全隐患排查”的活动，及时做好安全文化建设的宣传工作，营造文化气氛。

（3）要抓住重大事故的案例进行对比，按照四不放过的原则进行严格管控，通过举一反三的形式对员工进行安全意识培养。

1.1.5努力实践

在建设企业安全文化的阶段中，不仅需要做到雷厉风行，而且还要完善实际效果。安全建设文化实践的要点主要包括以下方面：

（1）高层领导需要起到表率的作用，要不断深入群众体系，聆听大众建议。

（2）管理人员在管理过程必须有创新精神，而且这个阶段需要培养新的工作作风。

（3）需要建立完善的机制，需要表彰奖励先进，对正确的行为方式给予鼓励。

2企业安全文化建设的内容及方法

当前，在电网的安全管理及经营管理都依赖于通信的形势下，电力通信安全生产的重要性，在很大程度上决定了企业安全文化建设的必然性。其中，通信企业安全文化建设的内容主要包括以下方面：

（1）有效地完善安全机制，提升安全意识。

（2）通过对事故心理的研究，塑造优良的心理状态。

（3）加大教育力度，增强教育效果。

（4）不断完善安全立法，规范行为作业。

3电力企业安全文化建设的途径

只有将“以人为本”的概念放在文化建设的首位，才能够有效地将企业文化塑造成具有可操作性的企业安全文化，并且以此为基础，形成相对的安全意识及安全价值观。当前，在电力体系不断改革的基础下，电力企业安全文化建设也在不断向人性化、统一化转变，由面向设备慢慢向面向人转变，由面向技术逐渐转变为面向规范化。

3.1科学地树立安全价值观

在安全生产的实际阶段中，电力企业需要根据自身特点，培训员工普遍认同的科学的安全价值观及安全生产理念，运用简练的语言进行表述，以此激发员工的积极性以及提高员工的工作热情，从而提升安全生产责任感。采用正确的价值观去面对事故发生的瞬间，积极地调整和约束自己的行为，做出保护生命财产及减少损失的正确选择。以上这些行为措施，都对提高全体员工的安全素质有一定的意义，对其实现安全生产目标有推动性作用。

3.2建立以人为本的文化概念

国外杜邦公司经过研究认为，96%的安全因素来源于人体行为。几年来，通过多起事故的实际调查分析，也充分证明了这一点。所以要想做好安全生产就需要对“人”进行有效管控，要从“人”这个管理要素入手，培养适合本企业的安全生产文化，并且这个阶段如何被广大职工接受，让其在内心深处留下积极印象，从而在安全生产中发挥重要作用，这应该是当前电力通信企业安全文化建设的首要任务。

3.3建立分成负责的安全管理网络

在这一过程中需要建立一个以行政领导为中心、面向管理部门与基层部门班组辐射的安全管理网络。各层需要有专人负责，各层都需要做到人员、制度、措施的3个落实制度，每层都需要重视安全文明建设，各个层面都需要能够运行系统管理的原理方法及分析评价系统的安全状态，要及时发现通报系统中存在的危险信号，通过采取综合措施，让系统中发生的事故率有所降低，使其安全状态保持稳定。

3.4建立统一的职业规范

根据电力系统的各项系统特征，需要制定一个有效的职业规范。安全生产技术的培训，在一定阶段中促成了职业规范的形成。严格的培训能够在一定基础上员工的行为形成一种准则及思维方式，能够让员工各就其位，各负其责，能够提高其工作效率及安全监管水平。企业需要定时对员工进行组织培训，培训内容应该以国家方针、政策、法律及企业安全生产技术为基础，特别要针对刚上岗的新员工进行严格的岗位培训。

4结语

总而言之，电力通信企业文化建设的主要目的在于能够进一步提升人们的安全意识，更新人们的安全观念，在电力通信企业的安全文化建设阶段中，要对普及性及实际操作性认真探究，做到不求高深理论，只求科学合理使用。另外，要以提高员工素质为第一保障，将满足客户需求作为第一要求，将保护员工生命财产作为第一管理目标，要检查以人文本的基本理念，要将企业立足于规范化及完整性和适用性逐步形成企业特有的安全文化特色。

[参考文献]

[1]任涛，王保义.电力市场运营系统数据通信安全研究[J].电力系统通信，2008（8）：48-51.

[2]李力.230M无线电力负荷管理系统通信安全性研究[J].中国高新技术企业，2008（10）：116-117.

篇6

关键词：企业信息化；网络安全；系统安全；安全解决方案

中图分类号：TP393

1 项目来源

重钢集团公司按照国家“管住增量、调整存量、上大压小、扶优汰劣”的原则，将重庆市淘汰落后产能、节能减排与重钢环保搬迁改造工程结合起来。随着重庆市经济和城市化快速发展，重庆钢铁（集团）有限责任公司拟退出主城区，进行环保搬迁。重钢环保搬迁新厂区位于长寿区江南镇，主要生产设施包括码头、原料场、焦化、烧结、高炉、炼钢、连铸、宽厚板轧机、热连轧机和各工艺配套设施以及全厂的公辅设施等，生产规模为630万吨。

2 系统目标

重钢股份公司在搬迁的长寿区建立了全新的信息化机房，结合自身实际，决定部署一套符合自身需要的信息化平台。整个平台包含：财务系统、人力资源管理系统、门户.OA系统、各产线的MES系统、以及企业的原料，物流系统等。

3 系统实现

重钢信息系统全由公司自主研发，服务器端采用：中间服务器操作系统win2003server+Oracle Developer6i Runtimes，数据库服务器：Unix Ware+ORACLE 10g。开发端：Windows 9x/2000/XP+ Oracle Developer 2000 Release。根据业务需求，公司统一按国家标准部署了装修一个中心机房，选择了核心数据库服务器小型机、其他小型机服务器、FC-SAN存储柜、SAN交换机，磁带库、PC服务器、网络安全管理设备，机柜、应用服务器软件、数据备份管理软件、UPS电源。等硬件基础设施对此系统项目进行集成。在信息化建设实施过程中，本人主要参与了整个系统项目集成方案设计和实施。

4 项目特点

4.1 网络设计

中心机房通过防火墙等网络设备提供网络互联、网络监测、流量控制、带宽保证、防入侵检测等技术，抗击各种非法攻击和干扰，保证网络安全可靠。同时网络建设选择了骨干线路采用16芯单模光纤，接入层线路采用8芯单模光纤，桌面线路采用六类非屏蔽网络线；光纤骨干线部分采用万兆+千兆光纤双链路连接，接入层光纤采用千兆链路接口至桌面。整个网络体系满足千兆以上数据传输及交换要求。

4.2 系统设计

本系统采用业界流行的三层架构，客户端，应用服务器层，后台数据库层。

4.2.1 应用层设计特点

在应用层选择上，重钢选择了citrix软件来实现企业的虚拟化云平台，原先安装在客户端的应用程序客户端程序安装在Citrix服务器上，客户端不再需要安装原有的Client端软件，Client端设备只需通过IE就可以进行访问。这样就把原先的C/S的应用立刻转化为B/S的访问形式，而且无需进行任何的开发和修改源代码的工作。同时使用Citrix的“Data Collector”负载均衡调度服务器负责收集每一台服务器里面的一些动态信息，并与之进行交流；当有应用请求时，自动将请求转到负载最轻的服务器上运行。Citrix是通过自己的专利技术，把软件的计算逻辑和显示逻辑分开，这样客户端只需上传一些鼠标、键盘的命令，服务器接到命令之后进行计算，将计算完的结果传送给客户端，注意：Citrix所传送的不是数据流，而是将图像的变化部分经过压缩传给客户端，只有在客户端和服务器端才可以看到真实的数据，而中间层传输的只是代码，并且Citrix还对这些代码进行了加密。对于网络的需求，只需要10K～20K的带宽就可以满足需要，尤其是在ERP中收发邮件，经常遇到较大邮件，通常在窄带、无线网络条件下基本无法访问，但通过Citrix就可以很快打开邮件，进行文件的及时处理。

4.2.2 数据库层技术特点

在数据库层的选择上，重钢选择了oracle软件。利用oracle软件本身的技术特点，我们设计系统采用ORACLE RAC+DATAGUARD的部署方式。RAC技术是通过CPU共享和存储设备共享来实现多节点之间的无缝集群，用户提交的每一项任务被自动分配给集群中的多台机器执行，用户不必通过冗余的硬件来满足高可靠性要求。

RAC的优势在于：在Cluster、MPP体系结构中，实现一个共享数据库，支持并行处理，均分负载，保证故障时数据库的不间断运行；支持Shared Disk和Shared Nothing类型的体系结构；多个节点同时工作；节点均分负载。当RAC群组的一个A节点失效时，所有的用户会被重新链接到B节点，这一切对来说用户是完全透明的，从而实现数据库的高可用性。

Data Guard是Oracle公司提出的数据库容灾技术，它提供了一种管理、监测和自动运行的体系结构，用于创建和维护一个或多个备份数据库。与远程磁盘镜像技术的根本区别在于，Data Guard是在逻辑级，通过传输和运行数据库日志文件，来保持生产和备份数据库的数据一致性。一旦数据库因某种情况而不可用时，备份数据库将正常切换或故障切换为新的生产数据库，以达到无数据损失或最小化数据损失的目的，为业务系统提供持续的数据服务能力。

4.2.3 数据备份保护特点

备份软件采用HP Data Protector软件。HP Data Protector软件能够实现自动化的高性能备份与恢复，支持通过磁盘和磁带进行备份和恢复，并且没有距离限制，从而可实现24x7全天候业务连续性，并提高IT资源利用率。Data Protector软件的采购和部署成本比竞争对手低30-70%，能够帮助客户降低IT成本，提升运营效率。许可模式简单易懂，有助于降低复杂性。广泛的可扩展性和各种特性可以实现连续的备份和恢复，使您凭借一款产品即可支持业务增长。此外，该软件还能够与领先的HP StorageWorks磁盘和磁带产品系列以及其它异构存储基础设施完美集成。作为增长迅猛的惠普软件产品组合（包括存储资源管理、归档、复制和设备管理软件）的重要组成部分，Data Protector软件还能与HP BTO管理解决方案全面集成，使客户能够将数据保护作为整个IT服务的重要环节进行管理。该解决方案将软硬件和屡获殊荣的支持服务集于一身，借助快速安装、日常任务自动化以及易于使用等特性，Data Protector软件能够大大简化复杂的备份和恢复流程。借助集中的多站点管理，可以轻松实施多站点变更，实时适应不断变化的业务需求。

5 结束语

企业信息化平台系统集成不是简单的机器设备堆叠，需要根据企业自身使用软件特点，企业使用方式，选择合适的操作系统，应用软件作为企业生产软件部署的基础，另外要合理利用各软件提供的技术方式，对系统的稳定性，安全性，冗余性进行部署，从而达到高可用和可扩展的整体系统平台。

参考文献：

[1]肖建国.《信息化规划方法论》.

[2]雷万云.信息化与信息管理实践之道[M].北京：清华大学出版社，2012（04）.

[3]《Pattern of Enterprise Application Architecture》.Martin Foeler

[4]周金银.《企业架构》.

篇7

关键词：信息化建设；网络安全；解决方案

中图分类号：TP393.18 文献标识码：A 文章编号：1007-9416（2017）01-0209-02

企业信息化任务的建设与集成，其首要任务为网络构架与网络安全设计。建立一套安全的网络系统，不仅可以为企业的信息交流、信息与信息传输创造一个安全平台，确保企业的安全生产，还可优化调度管理，为企业决策提供参考数据，避免恶意篡改与非法盗取现象的发生。因此，加强企业信息化建设集成与网络安全的研究，确保企业生产环境安全可靠，已逐渐成为现代化企业发面所面临的重点研究课题。

1 企业实现信息化建设集成的意义

1.1 强化企业管理

随着企业管理模式的发展，企业业务经营逐渐多元化和区域不集中化，从而造成了管理任务的复杂与多变化。实行信息化集成管理的核心就是在企业内部，以业务整合、流程与资源配置优化的方式，建立起信息化的组织架构、管理服务和流程控制体系，而这一目标的实现则需通过信息集成化处理的手段，并将企业先进的管理理念与技术搭建在所构平台上，以此进行运行。

1.2 时展的必然性

实践证明，传统的管理模式还不足以使集成化效率最大化，甚至有时候会带来更加严重的风险和漏洞，如管理人员的压缩，引发的现场安全管理、资金管理和用工管理等风险，信息技术快速发展的当下，企业只有对管理系统进行重新综合集成，充分挖掘各方面潜能和整体效力，方可在集成化管理和市场竞争中把握先机，从而实现企业效益的最大化。

1.3 自身优势的使然

目前，大型企业集团均通过对在生产和管理方面的信息化建设，利用互联网技术把企业信息集成起来组成一个管理信息平台，达到数据共享，并借助专用软件，将企业管理向集成化、网络化改造，既能为企业的高层决策者提供决策支持，又能减少结构冗员，提高运营效率和服务质量。

2 加强企业信息化集成网络安全的措施

基于非法入侵、病毒传播与数据丢失等网络安全问题，本文针对性的从以下两点进行防护措施的论述。

2.1 加快信息化安全标准建设

在信息化方面，目前，无论是处于单项技术、单机、单线的应用状态，还是型号工程实现了CIMS（计算机集成制造系统）的企业，要实现数字化，构建高水平、高安全的企业信息化体系，信息安全标准及其标准化工作都是非常重要的。例如IS0/IEC JTC1/SC27正在制定的有关信息安全管理体系方面的标准：

・ISO/IEC 27001 信息安全管理体系要求（现在的标准 IS0/IEC FCD 24743）。

・ISO/IEC 27002 保留现在的标准ISO/IEC 17799 信息安全管理实用规则。

・ISO/IEC 27003 保留编号。

・ISO/IEC 27004 信息安全管理度量机制和测量措施（现在的标准IS0/IEC 24742）。

・ISO/IEC JTC1/SC27 NP 信息安全管理体系实施指南。

此类标准实施的目的在于帮助企业建立与健全信息安全管理体系，促使其管理水平与保证能力得到提高，做到日常生产安全顺利运行。因此，企业要想构建高水平、高质量的信息化安保体系，必须要加强信息化集成任务的标准化实施。

2.2 利用先进的网络安全技术

2.2.1 防火墙技术

以防护范围与防护能力划分，可将防火墙技术分为网络级与应用级两大类，其中，网络级防火墙是以整体网络的非法入侵为防护对象，实施全方位保护，而应用级防火墙是以具体的应用程序为防护对象，只是在程序接入时进行防护控制，功能比较单一但针对性强，因此，一套完整的防火墙技术，应是以网络级和应用级的共同结合使用。日常生活中，我们一般所用防火墙大多拥有基于、动态防护、包过滤和屏蔽路由等技术。

2.2.2 入侵检测技术

作为一种动态网络检测技术，入侵检测技术的实施可有效识别恶意使用网络系统，通过分析与辨别，将非法入侵行为及时发现，其检测范围包括内部未经授权的活动和外部用户的非法入侵，并能够对入侵行为作出相应的反映，该系统的组成由相应的软件与硬件共同完成，运行后能够做到数据分析并得到结果，大大降低了管理人员的工作量。除此之外，入侵检测技术对于网络攻击也有一定的反防护能力，但效果不及防火墙技术，因此不能做到代替。

2.2.3 信息加密技术

对称加密与非对称加密作为信息加密技术的两种表现形式，随着网络技术的快速发展，使其得到了不断优化与发展。该技术的应用是以防止数据受到非法盗取为目的，通过数据加密技术对某些重要数据与信息采取保密处理后，以此达到确保信息安全的效果，其主要包括数据传输、数据存储、数据完整性鉴别和密匙管理四种方式。

2.2.4 访问控制技术

访问控制技术简称AC，它的作用是能够确保网络资源不会被非法访问和非法使用，能够起到网络安全防范和保护的作用。访问控制是检测访问者的相关信息，限制或者禁止访问者使用资源的控制技术。访问控制技术能维护网络系统安全和保护网络资源，是确保网络安全的主要措施。访问控制分为高层访问控制和低层访问控制两种，高层访问控制检测对象是用户口令、用户权限、资源属性；低层访问控制对象是通信协议中的特征信息通过分析然后做出判断控制访问者能否访问信息。

3 结语

综上所述，作为现代企业的发展方向，信息化的建设与集成在给人们带来便利的同时又隐藏着许多网络安全隐患，相比于传统管理模式上的失误，这种安全隐患具有威胁更大，速度更快等特点，动辄就是成千万的经济损失。因此，作为现代企业的管理者，我们只有不断研究，不断实践，立足于企业信息化建设与集成任务的标准化与多元化发展方向，做到不断的自我完善与自我修正，方能促进现代企业的健康发展。

参考文献

篇8

论文关键词：安全文化；电力企业；安全生产

2011年3月11日日本发生了里氏9.0地震，造成核泄漏。这到底是天灾还是人祸？笔者认为，这不仅仅是“天灾”，而更多的是“人祸”。福岛核电站自1987年至今曾多次发生事故，并多次篡改数据，曾有过安全检查作弊和伪造安全记录等行为，这就相当于埋下了事故隐患。如此看来，核泄漏的发生并不偶然，归根结底是由于缺乏安全意识，安全文化建设不完善造成的。

1986年发生的切尔诺贝利核电站事故，堪称人类的灾难。经专家分析发现所有问题都出自“没有树立安全高于一切的文化理念”，正是由于安全文化的缺位，才导致上上下下安全意识的不足，才导致从管理者到生产者安全行为的失误，最终导致事故的发生。

25年过去了，同样是在核电站，同样由于安全文化的不完善导致了同样的人类灾难。日本是一个科技高度发达的资本主义国家，福岛核泄漏竟然也能造成如此惊人的灾难，如果发生在生产和安全管理相对落后的发展中国家，同样的核泄漏造成的灾难更是不敢想象的。因此企业安全文化建设和完善显得更为必要，对我国电力企业来说也是如此。

一、电力企业安全生产发展的过程

社会的进步，国民经济的发展，人民生活水平的提高都与电力的安全可靠供应息息相关。电力是一个资金、技术密集型产业，具有很强的整体性、关联性和规模性。由于电力产品不能储存的特点，电力的发、供、用连接在一起，又同时完成，电力企业采用大量的自动化控制技术和设备，以实现发、输、售、用各环节的相互紧密配合，比例协调统一地进行。而电力行业的实时性、同时性、整体性、快速性、连续性和社会性等属性决定了电力系统必须安全稳定可靠运行，这就要求在整个电力生产过程中必须确保安全，才能确保整个电网的安全。建国以来，电力企业一直重视安全生产，也取得了不少成绩：

20世纪50年代到80年代成立安全监察机构，建章建制，使管理开始规范化；20世纪80年代至今，提出安全生产的第一责任者，健全安全保证和安全监察两个体系，明确安全管理目标并且重视安全设备的现代化；开展了安全文明生产双达标、创一流等活动，进行了设备、环境综合整治；开展了安全性评价，危险点（危险源）分析、预控，职业安全健康管理体系贯标认证等工作。这些对提高电力企业安全生产管理水平，确保电网安全稳定运行起到了积极作用。但事故还是照样发生，这对传统的安全生产管理工作提出了挑战。

为了进一步做好安全生产工作，近几年来，电力企业安全文化建设作为一种新的管理模式正逐步地在电力企业开展起来，电力企业安全文化建设已初具规模，并形成了独具特色的安全文化建设理论。但是目前仍然存在着大量可控的、不可控的、人为的、不可抗拒的因素，时时刻刻威胁着电力企业的安全生产，特别是人员责任的误操作事故还时有发生，直接威胁电力企业生产安全。这都说明安全文化建设还做得远远不够。

二、电力企业安全文化面临的新形势

近年来，我国电力工业体制在发生积极变化的同时，电力企业安全文化也得到了迅速发展，新老观念发生碰撞，新的问题在发展中油然而生，主要表现在以下几方面：

1.厂网关系的变化对电力安全提出了新课题

电力体制改革前，发输配售集于一体，多数电厂与电网属于利益共同体，电力系统安全主要靠行政命令。厂网分开后，则要依靠法律法规和经济等综合手段，强调合同的履行，要求安全体系与市场体系同步建设，旧体制已被打破，新体制尚在探索完善之中，更需要各市场主体之间加强协调、互相配合，意识相同、文化相近，这样才能共同确保安全。

2.电力企业安全文化主体多样性造成安全文化发展不平衡

厂网分开后，原国家电力公司分成两大电网、五大发电集团，形成国有和集体、个体、三资企业并存的多元化态势，因此出现了电力安全文化主体的多样性并存在差异。很多新进入电力行业的企业在安全文化上带来了原行业的特点，这有积极的一面，但由于对电力系统的特性和安全性认识不足，存在对电力安全文化建设的重要性认识不到位、电力安全文化建设相对薄弱的现象，电力安全文化发展的不平衡，使不同的主体处于安全文化建设不同的阶段，对电网安全运行造成一定的威胁。所以如何把传统的安全文化好的方面发扬光大，把消极方面抑制掉、克服掉是目前面临的又一新课题。

3.员工价值观的变化

在社会主义计划经济向市场经济转变时期，电力企业除了体制改革带来的新问题没有得到很好的解决外，还遇到员工价值观的变化：人们的思想活跃，价值观念在发生变化，传统的电力企业安全管理面临着新形势的挑战。电力企业必须重新审视自己的安全生产管理制度所依据的价值理念是否还能适应今天的形势，过去有效的制度与分配方式是否还能继续激励电力企业员工主动发挥出安全生产工作积极性。只有建设电力企业安全文化，依靠文化力的巨大作用，不断提高安全生产管理水平，才能适应新形势的发展，适应科学技术的发展，适应安全生产管理方法与手段的不断进步，将过去的安全生产管理技术转变成安全生产管理艺术。

三、电力企业安全文化建设的必要性

安全文化建设，是通过创造良好的安全人文氛围和人际关系，对人的理念、意识、态度和行为等形成从无形到有形的影响，从而对人的不安全行为产生控制作用，达到减少人为事故的目的。电力生产特点决定了其安全文化在企业文化中的核心地位。要想真正做到预防事故，实现持久安全生产，提高电力企业的核心竞争力，就必须建设电力企业安全文化。电力企业安全文化的建设是电力企业安全生产的重要基础和保证。 转贴于

1.电力企业的安全生产需要安全文化建设

（1）建设电力企业安全文化是时展的需要。当今电力企业单机容量大，单台设备容量大，电网负荷大，电压等级高，自动化程度高，安全生产依赖计算机技术与系统网络技术，许多电力企业员工的工作已由过去的体力劳动转变成脑力劳动。员工脑力劳动的成果完全取决于员工的工作积极性、责任感、敬业精神与创造力。科学技术无法计算出电力企业众多工作岗位脑力劳动者的工作量，也就无法制定考核标准。因此，电力企业必须借助安全文化来指导安全生产管理，激发员工的自觉性，才能确保电力安全生产。

（2）电力企业安全文化建设存在亟待解决的问题。

1）电力员工的安全意识较弱。一些基层单位对安全生产的重要性和紧迫性认识不足，没有真正做到“安全第一”，安全生产“说起来重要，做起来次要，忙起来不要”的现象依然存在。

2）安全生产管理有漏洞。在一些电力企业中，安全生产管理存在较大漏洞：安全责任制不健全；安全责任不落实；安全措施不完备；缺乏对安全生产的控制和监督，存在严重的侥幸心理；管理部门沿用老方法对待新问题。

3）员工法规意识不强，“三违”现象严重。部分员工对制度熟视无睹，违章作业屡见不鲜，有法不依，有章不循，特别是违反“两票三制”管理规定的问题比较突出。

4）安全生产责任心不强。个别单位的干部和员工安全生产责任心不强，警觉性不高，不能深刻理解安全生产如“逆水行舟，不进则退”的道理，在已有的成绩面前沾沾自喜，产生麻痹思想，存在浮躁心理，管理疏忽，导致安全生产出现滑坡，有的甚至出现安全检查造假，导致事故发生。

综上所述，主要还是主观上的原因，思想上的问题。由此可以看出部分企业安全工作基础还不扎实，管理人员的监察还不到位，一线员工的安全素质还不够高。这种被动的局面只有通过加快安全文化建设的步伐才能尽快扭转。

2.安全文化建设有利于电力企业构建安全生产长效机制

虽然电力企业安全规章制度相对比较健全，然而在人与制度的结合方面还存在一些差距。随着社会的发展，在管理学上“人”并不再是一个被动因素，人的思想、行为在很大程度上影响和决定着事件的最终结果。在生产中发生了违章作业事故，人们在分析违章原因时常说：“违章者缺乏遵守安全规章的自觉性”。这自觉性是指人能意识到自己行为目的和意义程度的大小，就是人的意志品质。由于这一区别，人们即使面临同一个环境却会采取不同的行为方式。这种支配行为能力的形成，主要取决于人的安全文化素质，而这种素质要靠安全文化建设来造就。在电力生产中，只有通过培育电力企业安全文化，使电力员工养成良好的安全文化素质，运用文化管理的方法来解决以前制度无法解决的问题，才能解决好人与制度的结合问题，构建安全生产长效机制，最终达到安全稳定运行的目的。

（1）建设电力安全文化能提高电力安全管理水平。长期以来电力企业不断加强安全管理力度，完善安全措施，增强员工安全意识，不断提高安全管理水平，安全形势向好的方向发展。但电力企业的习惯性违章还有屡禁不止的现象，生产和人身事故时有发生。说明存在两方面的问题：一是安全管理制度不健全，二是有章不循。落实制度说到底就是一种责任感，而责任感取决于观念。安全文化建设的目的就是要解决观念问题，观念变了责任感也就会增强，安全生产责任制就会得到很好的落实。管理专家认为：柔的也是刚的，规章制度那些刚性的东西固然必要，但安全文化这种柔的东西往往能起到制度和纪律起不到的作用。如果说安全制度的约束对安全工作的影响是外在的、冰冷的、立竿见影的、被动意义上的，那么安全文化建设则是内在的、温和的、潜移默化的、主动意义上的，具有其他约束无法比拟的优越性。电力企业安全文化是安全管理中高层次的工作，能发挥员工提高安全素质的主动性，更好地促进企业安全管理水平的提高，最终实现生产安全的目标。

（2）建设电力安全文化能指导电力安全生产。任何文化都有价值取向，它规定着人们所追求的目标，具有导向功能。企业实际上是人的组合，而人又是有思想的，任何人的行为都会受到自身思想的指导和约束，电力企业安全文化作为企业内部全体员工认同的价值观念和行为准则，必然会对电力企业安全生产的决策、管理起到指导作用。积极向上的电力企业安全文化会通过文化的潜移默化，使员工的注意力逐步向企业所提倡、崇尚的安全理念转变，从而将个人的目标引导到企业目标上来。为企业提供正确的安全生产指导思想和健康的精神气氛，规范和约束企业员工的行为，引导领导做出正确的决策来指导企业安全生产。

（3）建设电力安全文化能激励安全生产。心理学研究表明，人们越能认识安全生产行为的意义，就越能产生安全生产行为的推动力。在未获得激励时，人发挥的只是物质力量，获得激励后，人的精神力量就得到开发。电力企业安全文化强调员工对企业安全管理责任目的的认同与共识。当企业安全管理目标与员工的个人目标是一致时，企业安全管理目标的实现也就意味着个人目标的实现和个人需要的满足，这对广大干部员工有很大的激励作用，可以产生改进工作的驱动力，使员工自觉行动，主动做好安全生产工作，使企业的安全工作面貌发生根本性的变化，促进企业和谐发展。

（4）建设电力安全文化能凝聚电力企业人心。企业共同的价值观能起到凝聚人心的作用。建设电力企业安全文化，能使电力企业员工的安全生产价值观趋于一致，使企业、员工之间形成“企业靠员工发展，员工靠企业生存”的利益共同体，而安全生产无疑是维护和确保企业与员工实现共同目标的平台。作为企业内部的一种粘合剂，积极向上的电力企业安全文化会形成巨大的向心力和凝聚力，把员工的积极性、主动性调动到安全生产上来，促进企业安全管理和生产水平的整体提高。

篇9

[关键词]信息安全；管理；控制；构建

中图分类号：X922；F272 文献标识码：A 文章编号：1009-914X（2015）42-0081-01

1 企业信息安全的现状

随着企业信息化水平的提升，大多数企业在信息安全建设上逐步添加了上网行为管理、内网安全管理等新的安全设备，但信息安全防护理念还停留在防的阶段，信息安全策略都是在安全事件发生后再补救，导致了企业信息防范的主动性和意识不高，信息安全防护水平已经越来越不适应当今企业IT运维环境和企业发展的需求。

2 企业信息系统安全防护的构建原则

企业信息化安全建设的目标是在保障企业数字化成果的安全性和可靠性。在构建企业信息安全体系时应该遵循以下几个原则：

2.1 建立企业完善的信息化安全管理体系

企业信息安全管理体系首先要建立完善的组织架构、制定信息安全管理规范，来保障信息安全制度的落实以及企业信息化安全体系的不断完善。基本企业信息安全管理过程包括：分析企业数字化资产评估和风险分析、规划信息系统动态安全模型、建立可靠严谨的执行策略、选用安全可靠的的防护产品等。

2.2 提高企业员工自身的信息安全防范意识

在企业信息化系统安全管理中，防护设备和防护策略只是其中的一部分，企业员工的行为也是维护企业数字化成果不可忽略的组成。所以企业在实施信息化安全管理时，绝对不能忽视对人的行为规范和绩效管理。在企业实施企业信息安全前，应制定企业员工信息安全行为规范，有效地实现企业信息系统和数字化成果的安全、可靠、稳定运行，保证企业信息安全。其次阶段递进的培训信息安全人才也是保障企业数字化成果的重要措施。企业对员工进行逐次的安全培训，强化企业员工对信息安全的概念，提升员工的安全意识。使员工的行为符合整个企业信息安全的防范要求。

2.3 及时优化更新企业信息安全防护技术

当企业对自身信息安全做出了一套整体完善的防护规划时，就应当考虑采用何种安全防护技术来支撑整个信息安全防护体系。对于安全防护技术来说可以分为身份识别、网络隔离、网络安全扫描、实时监控与入侵发现、安全备份恢复等。比如身份识别的目的在于防止非企业人员访问企业资源，并且可以根据员工级别分配人员访问权限，达到企业敏感信息的安全保障。

3 企业信息安全体系部署的建议

根据企业信息安全建设架构，在满足终端安全、网络安全、应用安全、数据安全等安全防护体系时，我们需要重点关注以下几个方面：

3.1 实施终端安全，规范终端用户行为

在企业信息安全事件中，数字化成果泄漏是属于危害最为严重的一种行为。企业信息安全体系建立前，企业员工对自己的个人行为不规范，造成了员工可以通过很多方式实现信息外漏。比如通过U盘等存储介质拷贝或者通过聊天软件传递企业的核心数字化成果。对于这类高危的行为，我们在建设安全防护体系时，仅仅靠上网行为管理控制是不能完全杜绝的。应该当用户接入企业信息化平台前，就对用户的终端系统进行安全规范检查，符合企业制定的终端安全要求后再接入企业内网。同时配合上网行为管理的策略对员工的上网行为进行审计，使得企业员工的操作行为符合企业制定的上网行为规范，从终端用户提升企业的防护水平。

3.2 建设安全完善的VPN接入平台

企业在信息化建设中，考虑总部和分支机构的信息化需要，必然会采用VPN方式来解决企业的需求。不论是采用SSL VPN还是IPSecVPN，VPN加密传输都是通用的选择。对于分支机构可以考虑专用的VPN设备和总部进行IPSec连接，这种方式更安全可靠稳定。对于移动终端的接入可以考虑SSL VPN方式。在这种情况下，就必须做好对于移动终端的身份认证识别。其实我们在设备采购时，可以要求设备商做好多种接入方式的需求，并且帮助企业搭建认证方式。这将有利于企业日常维护，提升企业信息系统的VPN接入水平。

3.3 优化企业网络的隔离性和控制性

在规划企业网络安全边际时，要面对多个部门和分支结构，合理的规划安全网络边际将是关键。企业的网络体系可以分为：物理层；数据链路层；网络层；传输层；会话层；表示层；应用层。各体系之间的相互隔离和访问策略是防止企业信息安全风险的重要环节。在企业多样化网络环境的背景下，根据企业安全优先级及面临的风险程度，做出适合企业信息安全的防护策略和访问控制策略。根据相应防护设备进行深层次的安全防护，真正实现OSI的L2～L7层的安全防护。

3.4 实现企业信息安全防护体系的统一管理

为企业信息安全构建统一的安全防护体系，重要的优势就是能实现对全网安全设备及安全事件的统一管理，做到对整个网络安全事件的“可视、可控和可管”。企业采购的各种安全设备工作时会产生大量的安全日志，如果单靠相关人员的识别日志既费时效率又低。而且不同安全厂商的日志报表还存在很大差异。所以当安全事件发生时，企业管理员很难实现对信息安全的统一分析和管理。所以在企业在构建信息安全体系时，就必须要考虑安全设备日志之间的统一化，设定相应的访问控制和安全策略实现日志的归类分析。这样才能做到对全网安全事件的“可视、可控和可管”。

4 结束语

信息安全的主要内容就是保护企业的数字化成果的安全和完整。企业在实施信息安全防护过程中是一个长期的持续的工作。我们需要在前期做好详尽的安全防护规划，实施过程中根据不断出现的情况及时调整安全策略和访问控制，保证备份数据的安全性可靠性。同时全体企业员工一起遵守企业制定的信息安全防护管理规定，这样才能为企业的信息安全提供生命力和主动性，真正为企业的核心业务提供安全保障。

参考文献

[1] 段永红.如何构建企业信息安全体系[J]. 科技视界，2012，16：179-180.

[2] 于雷.企业信息安全体系构建[J].科技与企业，2011，08：69.

[3] 彭佩，张婕，李红梅. 企业信息安全立体防护体系构建及运行[J].现代电子技术，2014，12：42-45+48.

[4] 刘小发，李良，严海涛.基于企业网络的信息安全体系构建策略探讨[J]. 邮电设计技术，2013，12：25-28.

[5] 白雪祺，张锐锋. 浅析企业信息系统安全体系建设[J].管理观察，2014，27：81-83.

篇10

关键词：企业网络；信息安全；安全方案构建

1 企业计算机网络安全方案的构建意义

目前，我国大中型企业信息化建设中的关键部分就是信息安全建设，解决信息安全问题有利于企业信息化建设工作的全面推进。企业信息安全建设的最终目的是要真正做到“防患于未然”，信息安全的有效性建设能够控制企业信息化建设的总体成本，为企业节约大量资金，实现资源优化配置。企业计算机网络安全建设工作要始终坚持等级保护理念，才能促进企业信息安全建设工作的稳步实施，保证企业信息管理系统的建设符合行业标准和政策规定，全面提升企业在激烈的市场竞争中的竞争力。

2 企业计算机网络安全的弱点和威胁

2.1 信息安全弱点

信息安全弱点与企业信息资源密切相关，信息安全弱点的暴露很有可能导致企业资产的严重损失。但是，信息安全弱点本身并不会为企业带来损失，只是在特定的环境下被非法者利用后才会造成企业资产损失，例如，企业信息系统开发过程中的脆弱性问题，管理员的管理措施问题等，这些信息安全弱点都为非法攻击者提供了非法入侵的可能。

2.2 信息安全威胁

信息安全威胁指的是对企业资产构成潜在性的破坏因素，信息安全威胁的产生包括人为因素和自然环境因素。信息安全威胁可能是偶然发生的事件，也有可能是人为蓄意制造的时间，包括信息泄露、信息篡改等，这些事件都会导致企业信息的可用性、完整性和保密性遭到破坏，属于对企业信息的恶意攻击。

2.3 网络安全事件

由于网络特有的开放性特点，造成了非法攻击、黑客入侵、病毒传播等海量安全事件发生，信息安全领域对于网络安全的研究也日益重视。根据大量网络安全事件分析来看，企业信息管理系统的应用设计存在着诸多缺陷和弊端，给情报机构的非法入侵提供了极大的可能性。由此，内容分级制度、脆弱性检测技术、智能分析技术已经广泛应用于企业信息系统开发过程中。

3 企业计算机网络安全存在的主要问题

⑴企业分部采用宽带拨号上网的方式与企业总部实现通信传输，这种落后的网络通信方式难以保证数据传输的安全性。企业信息安全级别较高的部门通过互联网实现数据传输的过程中，没有采取任何数据加密措施，非常容易造成数据信息的泄露和篡改，同时，企业信息管理系统的操作应用没有设置明确的管理人员，导致其他非法用户也可以入侵到企业内部网络中，对服务器数据进行窃取和篡改。以上两种网络安全问题都容易造成企业重要数据的泄露，甚至给企业带来不看估计的损失。

⑵随着企业网络规模的日益扩大，在网络边界如果仍然采用路由器连接企业内部网络和外部网络，已经无法适应飞速发展的网络互连技术。企业虽然可以在网络边界的路由器中设置访问控制策略，但是仍然存在来自互联网的各种非法攻击、IP地址攻击、ARP协议欺骗等问题，这表明了企业需要一善可靠的防火墙设备，来对企业网络的数据传输提供有效控制和保护。

⑶由于互联网技术的飞速发展，为企业提供了丰富的信息资源，除了企业日常运营需要使用网络资源，其他工作人员也有可能通过网络获取信息资源，例如使用迅雷、BT等软件下载视音频信息等，网络下载会占用企业大部分带宽资源，严重的会导致系统管理员无法对网络终端的访问情况进行有效管理，或者某一个计算机终端因下载感染病毒而引发ARP欺骗。

⑷随着互联网应用的日益普及，木马病毒的广泛传播，企业员工计算机使用水平参差不齐，不能保证对网络中的有害信息进行有效识别，由此导致了木马病毒在企业内部网络的感染和传播。因此，需要定期对企业数据传输的原始数据流进行病毒查杀和威胁分析，以此起到有害信息过滤的作用，使流入企业内部网络的数据信息能够安全可靠，真正降低企业信息安全风险。同时，企业可以采用网关防病毒产品，在企业内部网络与外部网络处进行隔离保护，当木马病毒出现时可以被拦截在企业内部网络之外，为企业提供可靠的安全边界保护。

4 企业计算机网络安全方案的构建实施

企业总部需要与企业分部，以及其他合作企业之间实现数据传输与交换，企业派往外地出差的员工也需要通过远程网络访问企业总部内网的信息管理系统，因此，不同用户企业总部内部网络的访问有着不同需求，企业必须具有安全可靠、性能较高、成本较低的网络接入方式。由于企业分部大部分与企业总部不在一个城市，在企业总部与企业分部之间铺设光缆线路是极为不现实的；如果租用专用光纤网络通信线路，高额的租赁费用会严重增加企业运营发展的经济负担；如果将企业总部内部网络的应用服务器映射在网关位置，虽然能够方面用户远程访问企业内部信息管理系统，但会给企业网络带来巨大的安全隐患。本文基于以上分析，本文选择利用VPN技术（虚拟局域网）在企业内部网络出口处，虚拟设置一条网络专线，以此将企业总部与企业分部网络进行有效连接，形成一个规模较大的局域网，真正实现了用户远程访问和接入。VPN技术不仅能够满足异地用户对企业总部网络信息管理系统的访问需求，而且充分保证了用户访问的安全性，避免了单点登录技术对企业整个网络构成的安全威胁。

企业在部署上网行为管理设备（SINFOR M5X00-AC）时，应该开启VPN功能，在企业总部内部网络的边界防火墙设备中进行端口映射，同时在企业分部网络中安装上网行为管理设备，并且与企业总部的上网行为管理设备共同利用VPN技术建立虚拟专用网络，在对数据信息进行加密后在互联网上传输。企业在构建虚拟专用网络时，只要在任何一端的连接管理设置中输入对方网络地址，VPN设备就可以自动进行虚拟局域网组建，网络中的任何计算机终端都可以通过虚拟专用网实现数据传输与共享。如果还有其他分部需要加入到虚拟局域网中，则可以通过输入加密的访问WAN扣地址实现。需要注意的是，已将连通的虚拟局域网的内网网段不能完全相同。

企业在部署上网行为管理设备时，由于访问控制策略是信息安全策略的核心部分，也是对网络中数据传输的关键保护措施，由此，需要对接入企业总部网络的用户进行身份认证，根据不同用户的身份授予不同权限，再利用配置逻辑隔离服务器实现不同用户身份对不同应用服务器的接入，从而对企业内部网络中的业务信息管理系统进行访问和使用。同时，安全级别为五级的QoS安全机制能够为企业不同信息系统提供相应的安全服务保障，并且可以按照业务类别划分优先级别，重要的数据信息将会获得优先传输的权限。对用户访问权限的细致划分可以限制非法用户对网络资源的访问和使用，防止非法用户入侵企业内部网络进行破坏性操作，直接对接入企业内部网络的各项访问应用进行管控，真正提高了企业网络系统的安全性。

在企业内部网络部署应用安全产品过程中，需要综合考虑如何完成安全产品的部署策略，才能使安全产品的性能充分发挥，同时，企业内部网络还可以将不同的安全产品集成应用，使其发挥最大功能，充分提高企业信息管理系统的安全性和可靠性。

本文基于信息安全等级指导思想下，对企业内部网络存在的问题进行了分析，并提出了良好的解决方案，包括防火墙的部署、入侵检测设备的部署、上网行为管理设备的部署、防毒墙的部署、企业版杀毒软件的部署等。

5 结论

综上所述，本文在网络信息安全等级保护理念下，将企业内部网络的安全防护的有效性作为最终目标，对企业网络信息安全存在的风险进行深入分析，结合企业实际情况，提出了企业计算机网络安全设计方案，保障了企业总部内部网络与分部网络之间数据传输通信的安全性和可靠性。

[参考文献]

[1]李正忠.电力企业信息安全网络建设原则与实践[J].中国新通信，2013，09：25-27.

[2]王迅.电信企业计算机网络安全构建策略分析[J].科技传播，2013，07：217+209.

[3]陈玮.企业无线网络移动办公的安全接入问题分析[J].信息通信，2013，03：239.