信息安全管理要求范文

导语：如何才能写好一篇信息安全管理要求，这就需要搜集整理更多的资料和文献，欢迎阅读由公务员之家整理的十篇范文，供你借鉴。

篇1

（一）连接管理要求

1. 断开工业控制系统同公共网络之间的所有不必要连接。

2. 对确实需要的连接，系统运营单位要逐一进行登记，采取设置防火墙、单向隔离等措施加以防护，并定期进行风险评估，不断完善防范措施。

3. 严格控制在工业控制系统和公共网络之间交叉使用移动存储介质以及便携式计算机。

（二）组网管理要求

1. 工业控制系统组网时要同步规划、同步建设、同步运行安全防护措施。

2. 采取虚拟专用网络（VPN）、线路冗余备份、数据加密等措施，加强对关键工业控制系统远程通信的保护。

3. 对无线组网采取严格的身份认证、安全监测等防护措施，防止经无线网络进行恶意入侵，尤其要防止通过侵入远程终端单元（RTU）进而控制部分或整个工业控制系统。

（三）配置管理要求

1. 建立控制服务器等工业控制系统关键设备安全配置和审计制度。

2. 严格账户管理，根据工作需要合理分类设置账户权限。

3. 严格口令管理，及时更改产品安装时的预设口令，杜绝弱口令、空口令。

4. 定期对账户、口令、端口、服务等进行检查，及时清理不必要的用户和管理员账户，停止无用的后台程序和进程，关闭无关的端口和服务。

（四）设备选择与升级管理要求

1. 慎重选择工业控制系统设备，在供货合同中或以其他方式明确供应商应承担的信息安全责任和义务，确保产品安全可控。

2. 加强对技术服务的信息安全管理，在安全得不到保证的情况下禁止采取远程在线服务。

3. 密切关注产品漏洞和补丁，严格软件升级、补丁安装管理，严防病毒、木马等恶意代码侵入。关键工业控制系统软件升级、补丁安装前要请专业技术机构进行安全评估和验证。

（五）数据管理要求

地理、矿产、原材料等国家基础数据以及其他重要敏感数据的采集、传输、存储、利用等，要采取访问权限控制、数据加密、安全审计、灾难备份等措施加以保护，切实维护个人权益、企业利益和国家信息资源安全。

篇2

信息安全管理系统作为信息安全的支撑体系以及实施信息安全维护的落脚点，是信息安全管理中的重要组成部分。目前我国的信息安全管理系统还尚未完善，其不足之处首先表现为缺少统一的存储平台来对众多的文档进行储存，从而导致大量文档的丢失；其次，如果信息安全管理系统不完善，就不能降低资产等的风险评估以及对资产进行集中式的管理；最后，由于信息安全系统中各个报表功能的不完善，文档信息就无法快速、准确地透露出信息安全的实际状况，从而起到有效地保护作用。信息安全管理系统主要能够通过对关键资产实行定性和定量分析，从而得出资产的精确风险值，识别系统中存在的重要因患资产，并进一步通知信息管理员采取适当地方法来减少隐患事件的发生，通过科学的管理降低企业的资产风险。由此可见，完善的信息安全管理系统是不可或缺的，它一方面决定着信息安全管理体系的具体实施，另一方面也可以促进企业信息安全管理体系的进一步维护与建设。

2信息安全管理系统标准

科学统一的国家信息安全标准，有利于协调与融合各个信息安全管理系统的工作，充分促进信息安全标准系统的功能发挥。我国的信息安全管理标准主要分为ISO/IEC27000系列标准与信息安全等级保护标准两个部分。

2.1ISO/IEC27000系列标准

1995年，英国标准协会(BSI)了BS7799-1和BS7799-2两部标准，随着时代的进步其逐渐发展为ISO/IEC27001和ISO/IEC27002两个部分，并进一步成为目前信息安全管理体系的主要核心标准。BS7799的最初提出目的主要在于建立起一套能够用于开发、实施以及测量的科学信息安全管理惯例，并作为一种通用框架来促进贸易伙伴之间的信任。ISO/IEC27001重视ISMS的建构以及在PDCA基础之上的进一步循环与完善，这一过程实质上就是在宏观的角度上来指导整个项目的有效实施。它意在风险管理的基础之上，用风险分析的途径，把发生信息风险的概率降到最低程度，同时采取适当地措施来保障主体业务的顺利进行。ISO/IEC27002主要阐述了133项控制细则，以及11项需要有效控制的项目，其中包括安全策略、安全组织、信息安全事件管理、人力资源安全、符合性物理与环境安全、访问控制、资产管理、系统的开发与维护、业务连续性管理、通信与操作安全等一系列的安全风险评估与控制。

2.2信息安全等级保护

1994年国务院出台了《中华人民共和国计算机信息系统安全保护条例》，该项基本制度的主要目的在于提高信息安全保障能力的水平、保障并促进信息化的健康与发展，从而进一步维护国家安全、社会发展以及人民群众的利益。它的核心标准《GB17859-1999计算机信息系统安全保护等级划分准则》是在TCSEC的分级保护思想基础之上，针对我国信息安全的发展实际进行改善，最终把安全等级缩减成更具可操作性的5个级别。《GB/T22239-2008信息系统安全等级保护基本要求》则把信息安全控制要求进一步整理为管理要求与技术要求两类，其中前者主要包括系统建设管理、安全管理制度、系统运维管理、安全管理机构和人员安全管理；后者主要包括应用安全、网络安全、物理安全、主机安全以及数据安全与备份恢复。此外，信息安全等级保护的系列标准里还包括《GB/T20270-2006网络基础安全技术要求》以及《GB/T20271-2006信息系统安全通用要求》等一些关于信息安全维护细则的具体操作要求。

3信息安全管理系统的模型设计

根据信息安全管理系统标准，结合以往的信息安全管理系统设计，提出一种新型的四层信息安全管理系统：第一层为信息采集：主要包括人工脆弱性检查、漏洞扫描工具以及日志采集系统三部分。这一信息采集层的主要功能在于采集安全保护对象的漏洞与安全事件。第二层是数据库层：包括日志、资产库、异常日志以及资产弱点库和资产风险库等。该数据库层的主要功能在于对信息安全管理系统中的数据进行存储。第三层为功能模块层：包括资产管理、风险管理、弱点管理、信息安全管理规范下载管理资产等级评估管理、拓补管理以及日志分析。最后一层为展示层：它包含某个具体业务系统中的业务系统整体安全状况、资产安全状况、业务系统拓补以及异常安全事件等相关部分。上述新型信息安全管理系统模型主要体现出以下六点创新之处：

（1）业务系统的动态建模和系统支持资产，可以把业务系统和资产二者绑定在一起，由此，整个信息安全系统一方面可以准确地体现出在一个具体业务系统环境下，其单独资产的具体安全状况；另一方面该信息安全系统还能够根据IS027001的具体标准，反应出整个资产所承载的整体业务系统的安全状况。

（2）所设计的风险模块管理可以把风险评估常态化、主动化，使其对整个业务周期内的所有资产风险进行动态的跟踪与准确分析；另外，该信息安全系统的日志审计功能也可以实现被动式的安全管理，从而使主动管理与被动管理在信息安全管理系统中充分融合。

（3）该新安全管理系统增加并促进了拓补管理功能的发挥。

篇3

确定信息安全管理体系适用的范围。信息安全管理体系的范围就是需要重点进行管理的安全领域。组织需要根据自己的实际情况，可以在整个组织范围内、也可以在个别部门或领域内实施。在本阶段的工作，应将组织划分成不同的信息安全控制领域，这样做易于组织对有不同需求的领域进行适当的信息安全管理。在定义适用范围时，应重点考虑组织的适用环境、适用人员、现有IT技术、现有信息资产等。

现状调查与风险评估.依据有关信息安全技术与管理标准，对信息系统及由其处理、传输和存储的信息的机密性、完整性和可用性等安全属性进行调研和评价，以及评估信息资产面临的威胁以及导致安全事件发生的可能性，并结合安全事件所涉及的信息资产价值来判断安全事件一旦发生对组织造成的影响。

建立信息安全管理框架：建立信息安全管理体系要规划和建立一个合理的信息安全管理框架，要从整体和全局的视角，从信息系统的所有层面进行整体安全建设，从信息系统本身出发，根据业务性质、组织特征、信息资产状况和技术条件，建立信息资产清单，进行风险分析、需求分析和选择安全控制，准备适用性声明等步骤，从而建立安全体系并提出安全解决方案。

信息安全管理体系文件编写：建立并保持一个文件化的信息安全管理体系是ISO/IEC27001:2005标准的总体要求，编写信息安全管理体系文件是建立信息安全管理体系的基础工作，也是一个组织实现风险控制、评价和改进信息安全管理体系、实现持续改进不可少的依据。在信息安全管理体系建立的文件中应该包含有：安全方针文档、适用范围文档、风险评估文档、实施与控制文档、适用性声明文档。

信息安全管理体系的运行与改进。信息安全管理体系文件编制完成以后，组织应按照文件的控制要求进行审核与批准并实施，至此，信息安全管理体系将进入运行阶段。在此期间，组织应加强运作力度，充分发挥体系本身的各项功能，及时发现体系策划中存在的问题，找出问题根源，采取纠正措施，并按照更改控制程序要求对体系予以更改，以达到进一步完善信息安全管理体系的目的。

篇4

【 关键词 】 信息安全；电力企业；风险评估；管理模式

1 引言

在如今的信息化社会中，信息通过共享传递实现其价值。在信息交换的过程中，人们肯定会担心自己的信息泄露，所以信息安全备受关注，企业的信息安全就更为重要了。但是网络是一个开放互联的环境，接入网络的方式多样，再加上技术存在的漏洞或者人们可能的操作失误等，信息安全问题一刻不容忽视。尤其是电力，是国家规定的重要信息安全领域。所以电力企业要把信息安全管理体系的建设，作为重要的一环纳入到整个企业管理体系中去。

2 电力企业信息管理体系建设的依据

关于企业的安全管理体系方面的标准有很多。英国BSI/DISC的BDD信息管理委员会制定的安全管理体系主要包含两个部分内容：信息安全管理实施规则和信息安全管理体系规范。信息安全管理实施规则是一个基础性指导文件，里面有10大管理项、36个执行的目标和127种控制的方法，可以作为开发人员在信息安全管理体系开发过程中的一个参考文档。信息安全管理体系规范则详细描述了在建立、施工和维护信息安全管理体系过程的要求，并提出了一些具体操作的建议。

国际标准化组织也了很多关于信息安全技术的标准，如ISO x系列、ISO/IEC x系列等。我国也制定了一系列的信息安全标准，如GB 15851―1995。

关于企业信息安全管理体系方面的标准众多，如何针对企业自身实际情况选择合适的参考标准很重要，尤其是电力企业有着与其他企业不同的一些特殊性质，选择信息安全体系建设的参考标准更要谨慎。我国电力企业已经引入了一些国际化标准作为建立和维护企业运转的保证，关于信息安全体系的标准也应纳入到保证企业运转的一系列参考中去。电力企业总体应有一致的安全信息管理体系参考标准，但是具体地区的公司又有着本身自己的特殊环境，所以在总体一致的信息安全标准的情况下，也应该根据企业自身地区、人文、政策等的不同制定一些企业内部自己信息安全标准作为建立、实施和维护信息安全管理体系的依据。信息安全管理体系顾全大局又要有所侧重的体现电力企业安全标准的要求。

3 信息安全管理体系里的重要环节

3.1 硬件环境要求

信息安全管理体系并没有特别要求添加什么特别的设备，只是对企业用到的设备做一些要求。电力企业一般采用内外网结合的方式，内外网设备要尽量进行物理隔离。企业每个员工基本都有自己的移动设备，如手机等，为了增加信息安全的系数，企业可以限制公司设备的无线网络拓展。另外，实时监控系统也应该覆盖企业的重要设备，监控硬件设备的安全。

3.2 软件环境要求

在企业设备（主要是计算机）上部署相关软件环境是信息安全管理体系中最重要的部分。比如防病毒软件的部署、桌面系统弱口令监控软件的部署等，以此防止网络攻击或者提高安全系数。另外，企业设备所用系统的安全漏洞修复、数据的加密解密、数据的备份恢复及数据传输通道的加密解密等问题，都在信息安全管理体系设计的考虑范畴。

3.3 企业员工管理

尽管现在一直倡导智能化，但是企业内进行设备等操作的主体还是员工。不管是对设备终端操作来进行信息的首发，还是对企业软硬件系统进行维护工作，都是有员工来进行的。所以，对企业内部员工进行信息安全培训，提高员工的信息安全防范意识，让员工掌握一定的信息安全防范与处理手段是非常重要的事情。针对不同的职位，在员工上岗前应该进行相关的信息安全方面的培训，然后对培训结果进行考核，不合格的人员不准上岗。在岗的人员也要定期进行培训与考核。另外，如果有条件的话，企业应该定期（例如每年）进行一次信息安全的相关演习。

另外，电力企业有些项目是外包给其他相应公司的，这时候会有施工人员和驻场人员在电力企业，对这些人员也应该进行电力企业信息安全的培训。

3.4 信息安全管理体系的风险系数评估

风险评估在信息安全管理体系中是确定企业信息安全需求的一个重要途径，它是对企业的信息资产所面临的威胁、存在的弱点、造成的影响，以及三者综合作用下所带来的风险可能性的评测。风险评估的主要任务是：检测评估对象所面临的各种风险，估计风险的概率和可能带来的负面影响的程度，确定信息安全管理体系承受风险的能力，确定不同风险发生后消减和控制的优先级，对消除风险提出建议。在信息安全管理体系的风险系数评估过程中，形成《风险系数评估报告》、《风险处理方案》等文档，作为对信息安全管理体系进行调整的参考。风险系数的评估要尽可能全面的反映企业的信息安全管理体系，除了常规手段，也可以使用一些相应的软件工具的结果作为参考。另外很值得注意的是企业的员工对风险的理解，企业员工对他们所操作的对象有比较深刻的理解，对其中可能存在的不足也有自己的见解，在风险系数评估的过程中，可以进行一些员工的问卷调查等，把员工对风险的认识纳入风险评估的考虑范畴。

企业的设备会老旧更换，员工也会更换，所以企业的信息安全是动态的，因此风险评估工作也要视具体情况定期进行，针对当前情况作评估报告，然后制定相应的风险处理方案。还有，之所以要建立信息安全管理体系，其中很重要的一点就是体系内各个模块的结合，信息安全管理体系的风险评估与关键内容的实时监控就应该结合起来。

为了降低信息安全管理体系的风险系数，提升信息安全等级，要做的工作很多。渗透测试就是其中很有必要的一项工作。渗透测试是测试人员通过模拟恶意攻击者的攻击方式，来评估企业计算机网络系统安全的一种评测方法。这个测试过程会对系统的可知的所有弱点、技术方面的缺陷或者漏洞等作主动的分析。渗透测试对于网络信息安全的组织具有实际应用价值。随着技术的不断进步，可能还会出现其他的更有价值的信息安全技术，作为信息安全备受瞩目的电力企业，应当时刻关注相关技术的进展，并及时将它们纳入企业信息安全管理体系中来。

3.5 信息安全管理体系的管理模式

文章前面提到企业信息安全是动态的，所以信息安全管理体系需要建立一个长效的机制，针对最新的情况及时对自身作出调整，使信息安全管理体系有效的运行。现在一般会采用PDCA循环过程模式：计划，依照体系整个的方针和目标，建立与控制风险系数、提高信息安全的有关的安全方针、过程、指标和程序等；执行：实施和运作计划中建立的方针、过程、程序等；评测：根据方针、目标等，评估业绩，并形成报告，也就是文章前面说到的风险系数评估；举措：采取主动纠正或预防措施对体系进行调整，进一步提高体系运作的有效性。这四个步骤循环运转，成为一个闭环，是信息安全管理体系得到持续的改进。

4 重要技术及展望

4.1 安全隔离技术

电力企业的信息网络是由内外网两部分组成，从被防御的角度来看的话，内网的主要安全防护技术为防火墙、桌面弱口令监控、入侵检测技术等；而主动防护则主要采用的是安全隔离技术等。安全隔离技术包括物理隔离、协议隔离技术和防火墙技术。一般电力企业采用了物理隔离与防火墙技术，在内网设立防火墙，在内外网之间进行物理隔离。

4.2 数据加密技术

企业的数据在传输过程中一般都要进行加密来降低信息泄露的风险。可以根据电力企业内部具体的安全要求，对规定的文档、视图等在传输前进行数据加密。尤其是电力企业通过外网传输的时候，除了对数据进行加密外，还应该在链路两端进行通道加密。

4.3 终端弱口令监控技术

终端设备众多，而且是业务应用的主要入口，所以终端口令关乎业务数据的安全以及整个系统的正常运转。如果终端口令过于简单薄弱，相当于没有设定而将设备暴露。终端的信息安全是电力企业信息安全的第一道防线，因此采用桌面系统弱口令监控技术来加强这第一道防线的稳固性对电力企业的信息安全非常重要。

电力企业信息安全管理体系是一个复杂的系统，包含众多的安全技术，如数据备份及灾难恢复技术、终端安全检查与用户身份认证技术、虚拟专用网技术、协议隔离技术等。凡是与信息安全相关的技术，电力企业都应当关注，并根据企业自身的情况决定是否将之纳入到信息安全管理体系中去。

智能化已成为不管是研究还是社会应用的热门词汇。电力企业的信息安全管理体系是否可以智能化呢？不妨做一个展望，电力企业的信息安全管理体系有了很强的自我学习与自我改进的能力，在信息安全环境越来越复杂，信息量越来越庞大的情况下是否会更能发挥信息安全管理体系的作用呢？这应该是值得期待的。

5 防病毒软件部署

电力企业信息安全管理体系有很多软件系统的部署，如防病毒软件部署、桌面弱口令监控系统部署、系统安全卫士部署等。但是它们的部署情况类似，这里用防病毒软件的部署来展示电力企业信息安全管理体系中软件系统的部署情况。如图1所示为防病毒软件的部署框架。

杀毒软件种类有很多，这里以赛门铁克杀毒软件为例。企业版的赛门铁克防病毒软件系统相比单机版增加了网络管理的功能，能够很大程度地减轻维护人员的工作量。为了确保防病毒软件系统的稳定运行，在电力企业内部正式使用时，尽量准备一立的服务器作为防病毒软件专用的服务器。

服务器安装配置好赛门铁克防病毒软件后，可以远程控制客户端与下级升级服务器的软件安装与升级。

电力企业内网可能是禁止接入外网的，这样的话，防病毒软件的更新可能无法自动完成。防病毒软件需要升级的时候，维护人员在通过外网在相应网址下载赛门铁克升级包，然后通过安全U盘拷贝到防病毒软件系统专用服务器进行升级操作。在图1中，省电力公司的防病毒管理控制台获得升级包可以下发给下级升级服务器和客户端进行防病毒软件系统的自动升级更新。图1是一个简单的框图，如果电力企业的内网规模很大的话，还可以更多级地分布部署。

6 结束语

电力企业的信息安全与企业的生产与经营管理密切相关，是企业整个管理系统的一部分。信息安全管理体系是一个整体性的管理工作，把体系中涉及的内容统一进行管理，让它们协调运作，实现信息安全管理体系的功能。电力企业信息安全的建立与体系不断的改进定能稳定、有效地维护企业的信息安全。

参考文献

[1] 王志强，李建刚.电网企业信息安全管理体系建设[J].浙江省电力公司，2008，6（3）：26-29.

[2] 陈贺，宫俊峰.浅析信息安全体系如何建立[J].中国管理信息化，2014，17（1）：74-76.

[3] 郭建，顾志强.电力企业信息安全现状分析及管理对策[J].信息技术，2013（1）：180-187.

[4] 沈军.火力发电厂信息你安全体系构建与应用[J].电力信息通信技术，2013，11（8）：103-108.

[5] 左锋.信息安全体系模型研究[J].信息安全与通信保密，2010，01（10）：68-71.

[6] 杨柳.构建供电企业信息安全体系[J].电脑知识与技术，2005（29）.

[7] 曹鸣鹏， 赵伟， 许林英. J2EE技术及其实现[J]. 计算机应用，2001， 21（10）： 20-23.

[8] 江和平.浅谈网络信息安全技术[J].现代情报学，2004（14）：125-127.

作者简介：

崔阿军（1984-），男，甘肃平凉人，硕士研究生，工程师；主要研究方向和关注领域：电力信息通信安全技术研究。

张驯（1984-），男，江苏扬州人，本科，工程师；主要研究方向和关注领域：电力信息通信安全技术研究。

李志茹（1984-），女，山东平度人，硕士研究生，工程师；主要研究方向和关注领域：信息化建设及安全技术。

龚波（1981-），男，湖南新邵人，本科，工程师；主要研究方向和关注领域：电力信息化建设及安全技术。

篇5

关键词：信息安全等级保护；机构管理；信息中心随着《信息安全等级保护实施指南》和《信息安全等级保护管理办法》等一系列文件颁布以来，医院如何开展等级保护工作，确保信息安全，已经变成热门话题。其中，负责医院信息安全等级保护工作的组织管理机构，主要从管理层和用户层对医院信息安全等级保护进行管理建设。管理层的主要工作是制定医院信息安全等级保护工作的管理办法；用户层的主要工作是依据管办法要求，进行沟通合作以及运行监控和审查检查工作。

1信息安全机构管理目的

信息安全等级保护工作是解决信息安全问题的基本方法，而信息安全不仅靠物理安全、网络安全、主机安全等具体技术上的实现，还需要建立健全的信息安全机构管理制度，贯彻信息安全工作和维持信息安全的建设成果，在技术和管理两个维度下保障信息安全保护体系在持续的运营工作中发挥应有的信息安全保护作用[1]。

2信息安全机构管理思路

2.1加强安全管理建设是实现等级保护组织机构管理的基础 医院信息安全管理需要由医院信息化领导机构协调进行。为了完成和强化信息安全的管理，需要建立相应的信息安全管理机构，这是医院信息安全等级保护实施的必要条件[2]。同时，安全组织管理建设也是重要组成内容，包括健全组织体系，明确负责安全管理的主要领导、主管部门、技术支持部门和宣传部门，制定系统安全保障方案，实施安全宣传教育、安全监管和安全服务等。

2.2相关管理办法制定是规范等级保护组织机构管理的根本保证 医院信息系统存在着来自社会环境、技术环境和物理自然环境的安全风险，其安全威胁无时无处不在。对于医院信息系统的安全问题，不能企图单凭利用一些集成了信息安全技术的安全产品来解决，而必须配合等级保护的信息系统安全保障体系，制定相关管理办法，全方位综合解决系统安全问题。

2.3定期审查监控是实施等级保护组织机构管理的具体表现 根据医院对于信息安全等级保护的要求，安全等级保护除重视技术解决方案外，更应明确定期审查、检查和监控的必要性。包括：指定专员定期对系统进行安全巡查，检查的内容包含例如系统运行情况、系统漏洞确认、系统数据备份、现有安全技术措施有效性、安全配置与安全策略一致性、安全管理制度的执行情况等等。

3信息安全机构管理措施

医院信息安全管理体系依赖于信息安全等级保护管理建设的机构管理。根据医院当前信息安全管理需要和机构管理特点，和信息安全等级保护管理所要求的系统建设管理、系统运维管理、安全管理机构、安全管理制度和人员安全管理，笔者从岗位设置、人员配备、授权、审批、审查和沟通交流等方面分析医院信息管理机构建设，切实做到提升医院信息等级保护管理的能力。

3.1岗位设置 信息中心内部根据岗位划分不同，设置多个安全管理岗位包括系统管理员、网络管理员、安全管理员、安全审计员岗位，各岗位人员应按照自己的岗位职责，落实本岗位的信息安全工作[3]。

以我院为例，我院信息安全管理工作由院领导负责指导和管理，同时成立了医院级别的信息安全工作领导小组，由党委书记担任领导小组组长，由信息中心负责管理工作的具体落实，制定各信息系统相关岗位的岗位职责和工作标准并形成文件。

3.2人员配备 信息中心采用安全责任层层落实制，中心主任对医院所有信息化相关系统负责，网络工程师对医院所有网络建设及维护负责，系统工程师对医院服务器、数据库、存储和信息系统负责，信息安全工程师对医院网络安全、信息安全、机房物理安全负责，安全审计工程师对所有人的信息安全工作进行监督和审计，保证信息安全工作层层做实。

3.3授权和审批 医院信息中心对于外部厂商人员的相关操作均需进行审批流程，通过软件记录其所有操作行为，并保存进档。对于中心内部工作人员执行严格的离岗流程，由所在部门主管负责回收本部门负责的相关权限，所有权限回收后方可办理正常的离职手续。

信息中心对于客户端操作系统权限、应用系统操作权限、数据库操作权限进行分级控制。内网客户端硬盘分区全部使用NTFS，管理员密码由信息中心网络组每月定时更换；对所有应用系统功能进行编号，对功能进行模块化管理，并对模块进行分级控制；同时，设置数据库用户，将不同应用的数据分别管理，赋予创建、修改、删除表及表内数据权限。

3.4审查和检查 医院信息中心日常检查由信息安全管理员进行，自检内容包括终端安全自检和软件管理自检，终端安全自检包括检查是否每台计算机安装防病毒软件，病毒库是否为最新版本，终端操作系统是否安装最新补丁，是否设置6位以上口令；软件管理自检包括检查软件是否为正版软件，软件管理的各项记录是否完整等。

构建信息安全综合防护体系保证医院各系统能够长期稳定安全运行，满足了医院不断扩展的业务应用和管理需要。本文对信息安全机构管理的目的、思路和措施进行了详细的分析阐述，对相关工作人员和机构具有一定的启示意义。同时，通过梳理分析业务特点和管理流程，依据等级保护相关政策和标准，明确安全管理需求，笔者所在医院信息管理中心整理并制定出符合医院信息系统实际情况的一套信息安全管理体系文件，并在2012年公安局等级保护测评中被评为三级。

参考文献：

[1]苏丹.医院信息系统安全与管理[J].中国信息界(e医疗),2013,(05):58-59.

篇6

1.1电信企业的特点

近10年来，电信企业经历了高速的发展，网络规模庞大、用户数量众多、业务发展多元化，使得电信企业具有了如下的主要运营特点：（1）电信企业业务种类繁多，流程复杂程度高。当前，随着人们需求的多元化和个性化，单一的话音业务已不能满足用户通信的需求，电信企业根据不同细分市场的用户需求提供多种多样的增值电信业务，业务流程复杂性增大。同时，电信企业的部分业务涉及多方参与，除了最终用户，还有众多第三方公司，甚至还有当地政府部门。在监管方面，电信企业也必须依照国家法律对第三方提供内容监管，防止其提供违法信息。（2）电信业务涉及大量的电子业务数据交互，数据涉及用户的个人敏感信息。电信企业内部运作主要依赖于各种IT系统，大部分业务数据和内部管理运作轨迹数据都是以电子数据的形式存在于各系统的数据库中。海量的业务数据中，包含了用户的个人敏感信息，诸如用户个人身份信息、订购信息、交易信息等；内部管理数据中，包含了企业发展战略、重要规章制度、管理信息等机密内容。不同的业务数据之间要进行交互，如果人为通过系统后台改变用户的账户或交易信息，将会对业务结算或者财务带来风险。（3）业务运营和企业内部运作对支撑系统依赖程度高，平台种类繁多。电信企业所提供的服务都需要后台支撑系统的支持，如业务运营支撑系统就承载着计费、结算、营业账务和客户服务等多项核心业务，这些业务都要求有一个高度稳定、运行顺畅、安全可靠的系统。同时，企业内部工作主要依赖管理信息系统，如现在重要的公文审批都会通过OA系统进行签批，业务系统账号申请与维护也是在内部管理信息系统中完成。电信行业的这些特点，不难得出信息化运营和管理在电信行业发展中的重要地位，一旦信息安全出现问题，必将带来十分严重的后果。因此，从电信行业的运营特点出发，构建全面的信息安全合规管理体系，是电信企业实现业务快速、稳定、健康发展的必由之路。

1.2信息安全管理面临的问题

近年来，各大电信企业针对信息安全建设进行了大量的工作，但是依然面临着很多问题，主要表现在：（1）信息安全管控要求多。存在多个部门、维护信息安全制度的情况，缺乏平台化的制度管理机制，具体的执行人员很难在第一时间了解最新的安全制度要求。此外，针对同样的安全管控内容，不同的信息安全制度常常存在标准不统一的情况，令执行人员无所适从。（2）部分信息安全制度中的规定缺乏实质性管控要求，无法明确有效地转化到执行层面予以落实。同时，往往信息安全管理要求没有落实到具体的部门，更没有落实到具体的岗位，面对大量的安全管控要求，执行起来非常困难。（3）信息安全检查缺乏统一的标准，并且主要采用人工检查，每次检查往往需要进行人工访谈、资料查阅、现场测试等多个环节，耗费大量的时间、人力和物力。检查内容、检查方法、检查工具、检查人员的能力等都成为影响检查效果的因素。（4）针对企业各个层面的信息安全管理情况缺乏统一的评价标准，不能进行量化考核；没有量化数据，无法实现对部门和系统合规水平综合评价的数据支撑。（5）没有统一的信息安全合规管理平台，就无法为信息安全合规管理的体系落地、执行提示、监督检查和水平评价提供统一、全面的系统管理支撑基础。

1.3信息安全管理的解决之道

针对上述信息安全管理面临的问题，本文借鉴国际上的GRC管理理念和SOX内控矩阵的思想，按照PDCA管理模式来构建电信企业的信息安全合规管理体系，从而解决信息安全体系化管理难、落实执行难、监督检查难、量化管理难的问题。通过建立信息安全合规管理系统，形成信息安全合规整体视图，实现安全要求、任务执行、监督检查、整改跟踪、量化评价的管理闭环，支撑信息安全全生命周期的管理，最终达到信息安全水平的持续螺旋式提升。

2信息安全合规管理体系

信息安全合规管理应借鉴国际先进管理理念，明确管理体系的核心要素，从信息安全组织与人员的构建、信息安全矩阵的知识支撑、信息安全合规管理平台建设等方面入手，来构建电信企业的信息安全合规管理体系。

2.1GRC理念

GRC理念是国际先进的现代化企业管理理念。作为企业上层建筑，GRC包含了公司治理、战略绩效管理、风险管理、审计、法律、合规遵从、IT治理、道德和企业社会责任、质量管理、人力资本、企业文化、财务等广泛的领域。GRC理念应用的价值在于，以企业管控、风险和法规遵从为对象，为决策层和管理层提供综合信息和流程控制支持，帮助企业安全、高效地实现预期目标。

2.2管理体系的核心机制

信息安全合规管理体系以制度策略、管控执行、安全检查、整改跟踪为主线，实现信息安全合规的闭环管理，也即管理体系的核心机制：（1）制度策略：信息安全管理体系的建设阶段，针对信息安全制度进行统筹化、体系化管理，掌握制度体系建设全貌，有效警示制度的缺失和盲点。（2）管控执行：信息安全管理体系的实施阶段，将信息安全管控要求明确落实到企业的各个责任部门、岗位和人员，具体执行人员在落实管控要求时，都能得到知识的指导和定期的提醒。（3）安全检查：信息安全管理体系的检查阶段，推动执行标准化、统一化、平台化的安全检查，及时发现安全管控薄弱环节，为潜在风险提供有效的预警和整改过程的跟踪。（4）整改跟踪：信息安全管理体系的评价阶段，收集并分析安全检查的结果数据，跟踪整改效果，评价安全管控水平，通过统计视图展现安全合规整体视图，获取可视化的安全决策信息，支撑今后的信息安全建设方向。制度策略和管控执行，对应的即是GRC中的G，前者作为信息安全治理的依据和执行指导，后者正是治理要求在具体执行层面的事实与落实；安全检查，则对应着GRC中的R，检查信息安全治理要求的落实情况和风险规避的水平；合规评价，对应着GRC中的C，评价信息安全管控措施的内外部合规程度，指导未来的改进方向。

2.3管理体系的实现要素

企业任何业务的有效运行，都离不开人、流程和技术3个层面的有机组合。因而，成熟的电信行业信息安全合规管理体系，人、流程和技术也构成了其实现的要素。针对信息安全合规管理，具体来说，“人”这一要素构成了企业的信息安全组织，“技术”这一要素就是指信息安全矩阵，即支撑信息安全管理执行落实、安全检查以及合规评价的知识基础，“流程”这一要素指的是信息安全合规管理平台，将制度管理、控制落实、安全检查、合规评价以及整改等信息安全管理流程固化到平台中，提供流程化、平台化的高效管理。

2.3.1信息安全组织

电信企业都是大型企业，包含有集团总部和各个省市公司，因而应该建立自上而下、分层分级、涵盖各IT相关部门的信息安全组织。信息安全组织由安全决策层、安全管理层和安全执行层3个层面的人员组成。安全决策层负责制定公司的信息安全目标、掌握整体的信息安全管控与风险水平，部署信息安全改进建设方向。安全管理层负责制定并审查信息安全制度规定，建立信息安全的管控要求、执行标准和检查依据，监督安全问题的整改落实情况。安全执行层主要是按照要求，落实好公司的各项管控要求，保证信息安全工作落实到岗到人，对于存在问题的地方做好彻底的整改工作。

2.3.2信息安全矩阵

信息安全合规管理的核心是建立信息安全矩阵。需要对内外部信息安全合规要求进行体系化梳理，建立信息安全矩阵框架，包括控制矩阵、检查矩阵、对应矩阵以及资产矩阵。控制矩阵，主要提供信息安全的各项管控要求，指导执行人员予以落实，其关键属性主要包含有控制点描述、控制领域、控制类型、控制频率。检查矩阵，主要提供对控制矩阵中的各个控制点执行情况的好坏，提供检查的标准和具体的检查步骤，用以指导检查人员进行安全检查工作，其关键属性主要包含有检查点描述、检查方式、检查步骤、检查点固有严重度、执行建议、控制点编号、资产类型。对应矩阵，主要提供企业内部信息安全制度与信息安全控制矩阵的对应关系，便于相应的查询分析的需要；提供外部信息安全监管规范要求与信息安全控制矩阵的对应关系，便于分析当前的控制矩阵是否能够充分满足外部监管机构的监管要求，其关键属性主要包含有内部制度/外部规范控制要求编号和控制点编号。资产矩阵，主要提供对信息安全资产进行定义、分类、管理和查询等；为控制点执行管理、信息安全检查、信息安全合规与风险评价等，提供统一的资产数据接口，其关键属性主要包含有资产编号、所属部门、资产责任人、资产类型、资产重要性等级。如图1所示，通过信息安全各个矩阵的映射关联关系，可以进行多维度的查询分析。

2.3.3信息安全合规管理平台

在构建了企业级的全面层次化的信息安全组织，建立了信息安全矩阵后，为了能够有效地进行信息安全合规闭环管理，就需要搭建一个信息安全合规管理平台，支撑各个信息安全管理流程的平台化管理和实施。信息安全合规管理平台，从业务角度出发，需要实现以下功能需求：（1）企业各类信息安全管理工作要求能够成体系、易维护。（2）企业任何人员可以通过该平台了解企业针对自己所属组织乃至自身所提出的信息安全工作要求。（3）企业各级部门通过该平台明确自己的安全工作目标，各级信息安全管理部门可以通过该平台对企业各组织、系统进行安全管理工作检查、评价和整改指导。（4）企业各级信息安全管理部门可以通过该平台进行安全风险分析和量化评价。

3信息安全合规管理平台的建设思路

为了有效地解决电信行业当前信息安全合规所面临的问题和挑战，未来的合规平台将通过制度管理、信息安全矩阵管理、执行管理、合规检查、合规风险评价等功能模块，来实现并支撑信息安全合规的全生命周期流程管理。基于上述各功能模块的平台整体业务功能框架视图如图2所示。其中，平台的核心功能主要包含如下。（1）信息安全矩阵管理：该功能模块主要提供信息安全矩阵的导入导出与维护管理、关联查询、版本管理和分级管理等功能，支撑对企业各级公司均适用的信息安全矩阵的统一和管理，作为整个企业的信息安全管控要求的统一标准。（2）执行管理：该功能模块主要是提供执行任务分配、执行人变更管理、控制执行提醒和控制执行查询等功能，保证将控制点和检查点的具体执行要求落实到具体的控制点执行人员；针对那些周期性执行的控制点，通过平台向执行人员定期发送提醒，督促其按时完成控制点的执行要求。（3）合规检查：该功能模块主要是提供检查计划管理、人工检查管理和自动检查管理功能，用来完成信息安全检查计划的制定，对人工检查和自动检查进行过程管理，在线记录或者自动生成相应的安全检查结果。（4）合规风险评价：该功能模块主要是根据安全检查的结果，提供量化的合规评价、风险评价和综合评价功能。合规评价，主要是通过对检查点结果统计，得出满足检查要求的控制点的比例，主要反映控制点管控落实的工作量。风险评价，主要是针对那些不合规的控制点，根据其实际的执行情况，分析并得出该控制点的潜在风险高低和影响大小。综合评价，主要是基于对合规满足度的评价结果和不合规控制点的风险大小，综合给出合规管控工作的完成效果，便于进行横向比较。根据电信企业的特点和信息安全分级管理的需要，可考虑实施集团总部和各个省市公司的两级/多级平台基础架构的部署。其中，集团总部的合规一级平台将主要负责制度管理、信息安全矩阵管理，制定全集团的安全检查计划，分析和评价各省市公司的安全管控水平和风险。省市公司的合规二级平台，则侧重于分配落实好集团控制矩阵的各项控制点和要求的责任人，落实集团或者制定省内的安全检查计划，实施安全检查工作，分析和评价省内的安全管控水平和安全风险，根据检查结果完成后期安全整改工作。

4信息安全合规管理体系的应用与价值

通过搭建信息安全合规管理平台，实施信息安全合规管理体系，能够带来重要的价值。（1）提升信息安全管理的统一性和有效性。将分散的信息安全制度进行集中管理，形成以信息安全合规矩阵为核心，在全公司普遍适用，具有标杆意义的制度框架体系。通过制度体系在平台中的固化，可以随时随地进行信息安全制度的查询、分析和对标，制度体系的更新与维护也变得十分便捷。同时，建立整个企业的标准的信息安全合规管理体系框架，通过平台统一企业总部及子公司的信息安全管控落实与检查评价工作，有效避免实际执行工作中的差异性。（2）实现信息安全合规管控落实的常态化和流程化。通过信息安全合规管理平台固化了信息安全管控执行流程和信息安全矩阵，包括控制执行方式、控制执行频率、控制所属岗位、控制关联资产配置等信息，指导具体的IT人员执行落实安全管控的工作要求。通过执行工作的流程化，将安全管控要求落实到人，确保管理要求能有效执行，或结合安全控制要求的执行频率，定期自动向执行人员发送例行提醒，推动合规管控落实的常态化。（3）提升信息安全合规检查的效率。通过集成标准化检查工具，遵循规范的检查要求和步骤，大大降低了人工检查的成本，避免检查过程中标准不一致和质量参差不齐的问题。针对不同的专项检查需要，可以通过平台方便地定制有针对性的检查计划。针对新的内外部信息安全监管要求，能够及时便捷的更新补充相应的检查内容和要求到平台中，保证与外部监管要求的一致性和实效性。同时，针对检查中发现的问题，通过平台能够提供流程化的整改任务派发工单，发送给安全管理人员予以整改，并限定时间，与提醒机制联动，整改过程可以通过平台进行有效的跟踪，保证信息安全问题得到及时整改。（4）提升信息安全合规的量化评价水平和决策支撑能力。建立统一的信息安全量化的评价体系和标准，固化到平台中，实现安全合规水平的量化管理，结合平台的数据处理分析能力，提供信息安全合规管控情况和风险的多维度、可视化视图。执行层可以获得基于部门、省市公司、IT或者业务流程、资产、外部合规要求等不同维度的统计和分析信息，为信息安全合规工作的持续改进提供充足的信息。管理层可以通过统计的结果，直观地掌握企业整体安全管控水平全貌和当前面临的主要风险，为决策提供有力的数据支撑。

5展望

篇7

 

在21世纪的社会发展新时代，网络、计算机、信息技术被大量的企业纳入到自身的生产经营管理之中，在基本运行中会涉及到企业众多的机密文件和信息，直接关系的企业的发展运行，所以，一旦出现安全问题就会对企业产生重要的影响。

 

所以，在不断深化的应用中，企业开始注重对信息安全的管理，并通过多样化的技术手段和方式来进行强化，但是这样的方式决定了对安全管理的有效性不能进行合理的把握和控制，并且对整体的安全水准也没有实现准确的衡量。所以，如果企业只是强化了信息安全在技术方面的建设，而并没有开展有效的安全管理评估工作，就会使信息安全系统在整体的规划中存在缺陷和漏洞，所以，进行信息安全管理的有效性测量是极为重要的。

 

企业也逐渐认识到其重要性，使得近年来，我国企业对于信息安全有效性的测量需求不断增多，但是，在这方面我国起步较晚，存在着很多不足和缺陷，这就需要在有效的研究中寻找适当的方法来提升测量的整体有效性。

 

一、信息安全管理有效性测量的目的

 

通过实现有效性的测量，能够真实评估和反映企业信息安全管理的整体水平，以使企业在后续的信息安全管理中有明确的发展目标和整体方向。企业进行信息系统的建立时，往往会依据企业自身的发展需求、信息组成、安全标准、组织结构、利益关系等方面的需求进行，进而构筑相应的信息安全的整体体系和相关模型。

 

通过对企业的信息安全管理进行有效性的测量，可以在技术的管理支撑下客观真实的反映企业信息管理的整体性评估，会能实现对企业信息安全管理目标的运行程度进行说明，并能对企业信息安全管理的系统效能开展准确科学的评测，为企业提供进行信息安全管理考核的基本依据[1]。

 

就企业的整体发展实际来看，如果不开展信息安全管理的有效性测量，会使企业的整体管理水平只依赖于基本测评状态下的运行管理水平，难以同真实的信息安全运行环境相脱离，造成企业在安全管理过程中的漏洞和误差，使得企业在正常的运营和发展中的实际需求同所进行信息安全管理的整体水平不相一致，并且在对基础环节下的表面数据有所依赖时，并不能发现运行中的不足和缺陷，更遑论进行有效合理的解决，极大化的为企业的发展运行埋下了信息安全的运行隐患。

 

而通过有效性的测量活动，能够准确的将企业在信息安全方面的漏洞进行定位，并且还能够有效指导基本的解决策略，有效保障企业信息管理系统的整体安全和有效。

 

二、信息安全管理有效性的测量方法

 

在开展信息安全管理有效性的测量时，需要对进行测量的指标进行量化的处理，并最终形成具有实际可行性的量化测量指标。在测量中，不同的指标则需要不同的测量方法来进行，一般而言，具有风险分析、问卷调查、内部审核、渗透性测试、个人访谈、内外对比、风险评估、报表统计等不同的方法。

 

通过不同指标的不同测量之后，能够得得出各个指标的测度结果，在此基础上再根据不同的技术需要对结果进行科学有效的取值管理，给各个指标赋予不同的安全分险权重，然后综合计算企业信息安全管理有效性的整体水平[2]。比如在进行信息安全管理整体运行的有效性测量时，在对基本技术要求进行测量评估时，还需要对企业的环境安全、人员安全、业务联系、安全意识、事件管理等开展管理有效性的评估，以保障最终结果的综合有效性。

 

在信息安全管理有效性的测量发展中，相关专业机构提出了同通过整体的系统模型来实现信息系统的整体安全性的方法。通过信息安全测量模型的建立，将信息系统运行中需要进行安全检测的对象中的某一些属性在通过一系列的检测管理过程之后，得出最后的测量结果，其中最为重要的就是测量方法和基本测度。将测量对象的多个属性应用不同的测量方法之后就能够得到基本测度，而基本测量方法的获取是通过多样化的数据资源进行测量对象的数据获取，比如风险评估结果、日志报表统计记录、调查表、测量结果等途径。

 

就我国当前进行信息安全管理有效性测量的方式而言，在设定环节相对复杂和冗余，但在基本的项目实践中得出如下的基本运行方法：

 

2.1审计监控系统回顾

 

在进行检测时，需要尽可能的发现各个环节所存在违反和潜在信息安全的现象和事件，以实现有效的防治，实现影响的最小化[3]。

 

2.2纠正预防措施验证

 

对已经纳入整体有效性测量计划的纠正预防措施，在开展检测时进行检查和回顾，以保证检验过程中对于信息安全管理系统所采取的各项措施是否合乎当下的现状和企业具体要求。

 

2.3信息安全事故统计

 

主要是对已经发生过的安全事件进行统计和分析，以为检测的有效性提供更加高效合理的方法指引，以实现进行更高角度的评估以及在控制措施方面的有效性。

 

这样的方式是将基本的计划和检测方式实现了有效的结合，并在各种方法的支撑下，实现综合型的检测，做到有效的预防和纠正，从不同的层面反应了进行信息安全检测的有效性，并保障整体运行体系的完整有效性，进而形成一个有效的良性循环。

 

三、结束语

 

就我国的整体实际而言，信息安全管理有效性的测量方法，还处于基础的起步阶段，而且相关的各项理论研究和测量指标等也均没有达到完善的阶段，这就需要进行不断的发展和探索，而且实践证明，进行信息安全管理有效性的研究是有着极为广阔的发展前景的，在保障整体信息运行管理的安全性基础上，能够使企业提升整体的竞争力和自身生存能力，并且能够将测量中发现的问题和相关数据进行分析，然后具有针对性的使企业所存在的风险得到最大化的控制，最终达到基本业务的正常有效运行。

篇8

1．强化“制度”管理，为创建信息安全区提供制度保障。

我们根据《中国人民银行信息安全管理规定》和《河南省人民银行系统规范化管理办法》的相关要求，结合当地的实际，建立和完善组织机构建设、计算机安全设备管理、系统操作规程设计、网络建设的安全规划与立项、信息系统安全审计、应急处理预案建设、目标责任制落实等一整套涉及信息安全管理的规章制度，为各项工作创建的落实奠定一个完善的制度基础。与此同时，严格信息安全管理检查制度。科技部门每季会同保卫部门、人事部门、内审部门、纪委组织一次中支机关和辖内的信息安全检查，每次都制定了详细的检查方案，确保检查工作的可操作性和规范性。安全检查完成后及时形成检查报告，报中支信息安全领导小组，并经信息安全领导小组审阅后将检查整改报告送达被检查单位，限期整改并进行后续跟踪。

2．强化“组织”领导，为创建信息安全区提供组织保证。

一方面中支机关及所辖县（市）支行都按要求成立以行长为组长、其他领导班子成员任副组长、部门负责人为成员的信息安全领导小组。另一方面机关各部门设立信息安全管理岗位，指定一名责任心强，熟悉计算机相关知识的职工为信息安全员，具体负责本部门信息安全管理的有关事宜。信息安全领导小组下设办公室，由科技科具体负责协调机关及辖内信息安全管理工作，为信息安全领导小组提供重大事项决策的有关事宜，为信息安全管理提供高效的组织保证。

3．强化“操作”规程，确保信息安全区创建工作的规范化。

明确的岗位目标与操作规程是金融信息安全区创建的重要一环。我们对中支信息安全管理员（部门计算机安全员）、技术支持人员、业务操作人员、一般计算机用户等确定各自的岗位目标和操作规程及应当承担的安全义务。同时制订了明确的岗位操作规程，做到责权明晰，操作规范。同时，我们加强部门之间的协调，要求各部门都要制订业务应急预案和详细的操作规程，然后由科技科进行汇总、协调，形成有效的联防机制。

4．强化“责任”管理，加大金融信息安全区的创建力度。

按照“谁主管谁负责，谁运行谁负责，谁使用谁负责”的原则，根据不同层次制订不同内容的信息安全管理责任书，落实各项责任制，信息安全领导小组组长与副组长和各县（市）支行行长、副组长与分管部门负责人、部门负责人与岗位责任人层层签订信息安全责任书，对没有按照规定签订责任书的部门，在出现安全事故时，按照“上溯一级”的原则，追究当事人的直接责任和部门负责人的领导责任。

5．强化“技术”指导，为创建信息安全区的提供智力支持。

重点强化了中支各部门计算机信息安全人员及所辖县市支行安全管理人员的技术指导和信息安全知识的传播，通过举办不同形式的信息安全培训班，提高他们自觉防范的意识和技能，为信息安全打好第一道防线。

6．强化“监督”管理，巩固金融信息安全区创建成果。

篇9

关键词：民航企业；信息化建设；信息安全技术

0引言

互联网时代的到来，信息技术与网络技术已然成为人们生产生活的重要技术支撑，在民航领域中，信息化建设的进程也得以高效发展。与此同时，民航企业信息系统的安全隐患及安全防护问题也逐渐暴露，成为信息化建设过程中亟须应对与解决的问题。

1网络信息安全制度的建设

1.1建设网络信息安全制度

据调查，民航信息系统安全事件的发生，问题的主要成因在于未充分明确相关责任以确保网络信息安全管理工作的全面落实。基于此，民航企业需要充分结合自身的是情况，对网络信息安全管理责任制的健全及完善，充分明确人员相关责任，促进民航信息化建设水平的提升，促进民航的健康发展。民航企业应当搭建内部网络信息安全规范体系，以之为基础开展企业网络信息安全管理及部署工作，确保民航信息安全水平的有效提升。民航企业应当时刻紧随时展步伐，对网络信息安全保障体系加以完善，建立网络信息安全防范体系，采取合理的等级保护与分级保护措施，维护网络信息安全。民航企业应当将网络信息安全作为信息化建设的发展方向，积极配合并响应国防部、网络安全部门、公安机关等行政机关部门的规定与要求，实时更新并优化安全防护措施，实现网络安全整体覆盖范围的扩大。

1.2细分网络安全保障体系

对于民航企业而言，其信息网络安全保障体系的建设，主要包括三个方面，即信息网络安全技术体系、信息网络安全管理体系及信息网络安全运行维护体系。这三个安全防护体系是相互依存与相互促进的。信息网络安全管理体系的搭建，应当作为信息安全技术体系保障的重要方向，技术体系也是保障信息网络安全的技术设施与基础服务的重要支持。信息网络安全管理体系的建设也要求网络信息安全技术应用水平不断提升。民航企业的网络信息安全体系的建设，可以充分参考美国国家安全局所提出的IATF框架的网络安全纵深战略防御理念、美国ISS公司所提出的P2DR动态网络安全模型等相应信息网络安全防护体系，搭建“打击、预防、管理、控制”于一体的网络通信安全综合防护体系理念，是当前国际上最为先进、最为有效的安全保障框架体系，对重要体系采取有效的安全防护措施，搭建民航企业的信息安全防护与控制中心，实现对于信息网络体系的安全监控、安全终端、安全平台、主机安全、数据安全、应用安全相互结合、相互统一的信息安全平台建设，信息安全防护应当涵盖物理层面、终端层面、网络层面、主机层面、数据层面及应用层面，保证安全防护的全面性及全方位性[1]。

1.3发展民航网络信息安全产业

随着时代的发展，民航企业开始更多地强调民航网络信息安全事业的发展。在开展民航企业网络信息安全产业建设时，应及时跟踪和了解国际网络信息安全产业发展动向，了解信息安全防护技术水平的提升渠道，积极谋求与其他发达国家之间的技术合作，大力引进先进的管理技术与管理手段，大力培养并教育网络信息安全技术人才。民航企业要大力引进技术水平与管理理念较为先进的人才，并对所引进的人才采用科学合理的技术培训与安全教育措施，不断增强相关人员对于网络信息安全防护的意识与理解能力，安全理念先进、技术水平高超、应急处置及时的网络信息安全管理人才队伍。民航企业要搭建科学完善的网络信息安全管理体系，充分保证信息网络安全组织、网络信息安全流程、网络信息安全制度相互结合，搭建科学合理的安全管理体系。

2民航信息安全保障体系的建设

2.1国家信息系统安全等级保护

以ISO27001信息安全管理要求为基础，结合国家信息系统安全等级防护管理方面，对信息系统安全防护安全管理基本要求加以明确，开展民航企业网络安全防护及管理体系的建设工作。网络信息安全管理体系的设计，应当涵盖安全组织架构、安全管理人员、安全防护制度及安全管理流程等多个方面，结合自身实际需求，设计科学合理的网络信息安全管理体系等。对于网络系统安全组织架构的建设与完善，组建涵盖安全管理、安全决策、安全监督及安全执行等层次的管理架构，设置相应职责岗位，对安全管理责任进行分解与落实，做好人员录用、人员调动、人员考核及人员培训等相关方面的人员管理工作。民航企业在制定安全管理制度时，应建立网络信息安全目标、安全策略、安全管理制度及安全防护技术规范等多个层次，搭建安全管理制度体系。在建立安全管理流程方面，通过建立科学合理的组织内部安全监督检查与优化体系，保证网络信息安全管理工作的顺利开展。将内部人员与第三方访问人员、系统建设、系统运维、物理环境的日常管理规范化，将日常的变更管理、问题管理、事件管理、配置管理、管理等电子化、流程化与标准化[2]。

2.2合理运用先进安全防护技术

2.2.1入侵检测技术

目前，对信息安全防护技术手段研发与应用也愈发普遍，其中入侵检测技术的应用可以取得较好的技术效果。入侵检测技术的应用主要是通过对网络行为、网络安全日志、网络安全审计信息等技术手段，有效检测网络系统非法入侵行为，判断网络入侵企图，通过网络入侵检测以实现网络安全的实时监控，有效避免网络非法攻击的可能。通过应用入侵检测技术，民航企业可以构建入侵检测系统，能够对系统内部、外部的非授权行为进行同步检测，及时发现和处理网络信息系统中的未授权和异常现象，尽可能减少网络入侵所造成的损耗与安全威胁。为此，可采取NetEye入侵检测系统，该系统通过深度分析技术，实现对于网络环境的全过程监控，及时了解、分析并明确网络内部安全隐患及外部入侵风险，作出安全示警，及时响应并采取有效的安全防范技术，实现网络安全防护层次进行有效延伸。同时，该入侵检测系统具备较为强悍的网络信息审计功能，就可以实时监控、记录、审计并就重演网络安全运行及使用情况，用户能够更好地了解网络运行情况。

2.2.2文件加密技术

对称加密技术是常见的文件加密技术之一，所采用的密钥能够用以加密与解密，在技术应用时，以块为单位进行数据加密。这一方法在实际应用过程中，一次能够加密一个数据块。对对称加密技术的优化与改进，主要可采用密码块链的模式加以实现，即通过私钥及初始化向量进行文件加密[3]。如上所述，随着网络信息安全受到更多重视，民航企业信息化建设水平在进一步提升其网络建设水平的同时，也更多地意识到网络信息安全的重要性与必要性，不仅需要构建行业信息安全防御体系，还应当建立健全网络信息安全制度，构建网络安全防护人才团队。在此基础上，民航企业还可以充分利用文件加密和数字签名技术，通过该技术，可以合理避免相关数据信息受到窃取、篡改或遭到损坏而导致网络信息安全受到影响。文件加密和数字签名技术应用过程中，可以更好地对网络信息安全提供保证、维护相关信息数据的安全性。

篇10

【关键词】数字图书馆 网络安全 信息安全 管理责任 措施

目前，我国国内数字图书馆网络信息安全（以下简称为网络信息安全）应用研究方面，大多都侧重于技术，认为信息安全是一个技术性的问题，其所有出现的问题都依赖于先进技术。但信息技术无论多么完善，它都无法回答如下问题：管理主体、制度在信息安全中的责任；技术、人、制度三者之间的关系；如何能够解决信息安全可持续发展问题；为什么在信息技术很发达的情况下，信息安全问题依然存在，事故依然频繁发生等等。可见，信息安全除了信息技术影响之外必有其他方面深层次的原因。仅侧重于技术的应用研究，还不能适应信息安全实践发展的需求，信息安全研究仍有继续深化的必要。

网络信息安全分析

网络信息安全包括信息的安全和网络系统的安全两层意思，信息的安全是指保护基础运行信息、服务器信息、用户信息、网络信息资源等信息或数据的机密性、完整性和可用性，同时还需要对信息风险和信息控制之间的最优平衡有非凡的理解。机密性要求保证信息不泄露给未经授权的人。完整性要求防止信息被未经授权的篡改和破坏。可用性是指保证访问信息的用户可以在不受干涉和阻碍的情况下对信息进行访问和使用。网络系统安全是指保护网络信息系统设备中的硬件、软件和网络系统的正常状态和安全运行。概括地讲，网络信息安全就是指采用技术、管理等多种措施，保护网络系统连续正常运行，保护各种资源不因自然或人为因素遭到破坏、更改、泄露或非法占用。

网络信息安全技术。先进的安全技术是实现信息安全的重要手段，许多网络信息系统安全性保障都要依靠技术手段来实现。像信息安全所用到的防火墙技术、入侵检测或流量分析技术、认证控制技术、VLAN技术、加密技术、VPN、病毒防护技术、容灾技术等多项安全技术，为确保图书馆网络信息的保密性、完整性和可用性提供了强有力的支持。

制度和制度执行力。制定严格有效的安全管理制度规范人的行为，使人遵守规则，这是技术涉及不到的层面。而信息的保密性、完整性和可用性只有通过技术手段才能得以实现，却又是制度所不能解决的。在信息安全实践中，技术与制度二者不能断然分开，是相辅相成的，技术是一种硬手段，制度是一种规范性的软手段。目前，国内数字图书馆在安全管理制度建设方面存在着诸多问题。一是制度不完善。我国数字图书馆安全管理制度还不健全，缺乏严格、细致、有效的安全管理规定与安全技术相配套。二是缺乏安全教育培训常态机制。图书馆馆员以及用户安全意识薄弱，网络安全知识缺乏，知识产权保护意识不强。三是信息安全监督审查机制不健全。监督审查机制不健全，将导致安全管理制度流于形式，图书馆无法及时找出安全管理漏洞和不足，无法对安全管理漏洞及早采取补救措施。四是制度执行不力。从目前图书馆规章制度的建设来看，不缺少严谨细密的典章制度，缺少的是对规章条款的不折不扣地执行。一些图书馆存在有章不循、有规不依，奖惩不严、问责流于形式，安全督查不到位等种种问题。制定的制度是为了执行，因为只有执行才能把制度确定的各项要求落到实处，得不到执行的制度是毫无用处的，制度也就名存实亡。

网络信息安全管理。网络信息安全的主体是人，客体是网络信息安全防御体系，网络信息安全实际上就是主客体互动的过程。技术研究的对象是物，而物是没有目的、没有意义可言的，它不涉及人及其行为。技术只是一种手段，网络信息安全必然涉及到人及其行为和制度问题。安全管理贯穿于整个信息安全防御体系，包括建立安全管理组织、制定安全目标、制定安全防护策略、建立安全管理制度、制定安全规划与应急方案、对员工进行安全意识教育培训等内容。安全技术只有在有效的管理控制之下，才能得以较好地实施。可见，严格的安全管理是网络信息安全的根本保证。随着数字图书馆建设的深入，网络信息安全问题日趋凸显。目前，国内过多地强调技术的作用，将建设的重点放在技术上，致使安全管理工作跟不上技术发展的步伐。有人对2009年我国30家数字图书馆信息安全管理现状进行调研，发现在已发生的安全事件中，三分之一的安全事件是由安全管理机制不够完善引起的，而事件发生原因中管理因素高达70%以上。可见，安全管理上的缺失已成为数字图书馆整个网络信息系统不安全因素中的主要因素之一，对数字图书馆产生的危害远大于其他方面。这里主要讨论对人的管理问题，人的认识和观念问题。著名的前黑客凯文・米蒂尼说过，尽管很多公司采取了安全防护措施，但这些安全措施在网络犯罪面前仍然显得不堪一击，原因是他们忽略了网络安全最为薄弱的环节――人的因素。数字图书馆拥有功能非常强大的网络信息系统和最先进的安全技术设施，但却有可能缘于人而产生失误，致使安全管理存在诸多隐患和不足，从而导致数字图书馆网络信息系统面临一系列信息安全问题。如引入木马、病毒或其他危害程序；网络信息系统运行不正常甚至瘫痪，信息外泄，无法应对新出现的信息安全突发事件等，这与相关人员特别是一些负责人员对安全管理的不重视、认识不足以及责任感缺失有关。

图书馆管理者的安全管理理念的滞后，对安全管理的重要性缺乏深层的认识，导致决策上的失误或管理不足，将给数字图书馆的网络信息安全带来不可估量的损失。如有的管理者的管理理念，还停留在传统图书馆封闭式内部局域网安全管理模式上，并没有认识到数字图书馆更为开放的环境将面临更趋严峻的网络安全问题，致使在网络信息安全事件防御方面处于被动状态，有的管理者虽然认识到网络信息安全问题的严峻性，但却认为只要加大对安全产品的投入，购买并安装了最先进的安全技术产品，就可以高枕无忧了，或误认为到了信息技术特别发达的时候，网络信息安全维护管理是管理员的事情，与其他馆员无关。或误认为安全维护与管理都是服务提供商的事，图书馆只管应用就行了。不重视安全责任意识教育与技能培训，导致一些安全管理技术人员思想麻痹大意，安全责任意识不强，不知道网络信息安全的薄弱环节，不了解保护网络信息安全的责任以及在对付入侵行为方面的责任。

没有安全责任和责任分配机制，对信息安全责任人的责任内容、范围、责任分配不清楚。图书馆管理者制定的员工岗位责任书，责任划分不明、工作内容描述不清，导致馆员不清楚应在什么范围和限度内对自己的职业行为负有责任，应该承担何种责任和义务。致使出现安全管理问题时，不是相互推诿，就是听之任之。不重视对高素养、高技能安全管理技术人才的引进与培养，一些图书馆的馆内安全管理工作多为业务培训，但缺乏全面的安全管理知识和技能，对不断发展的新技术缺少深入和细致的了解和掌握，应付网络安全突发事件的预警能力不够强。由于安全知识与技能的欠缺，导致他们无法应对新出现的网络安全突发事件。应该清楚地看到，人是具有理性和非理性的，要使人的理于信息安全，必须要借助于制度规范，使人沿着信息安全正确的规定自觉行动。

应该指出，制度只是一种方法，是有边界的，并不是万能的。无论多么完善的制度，如果不被执行也形同一张废纸。同时，制度具有刚性，它不能时刻随着网络信息安全的变化而变化，落后的制度有可能阻碍网络信息安全的建设。综上所述，制度、技术和管理人员的责任意识都有自己的边界，如若单一运行制度、技术，即便是极为负责任的管理人员，也不可能完善地解决信息安全问题。因此，技术、制度、管理主体（人）的责任应三管齐下，才能真正预防和因减少技术、管理等因素所导致的网络信息安全问题，最大程度地保护网络，使其安全运行，并最大限度地挽回网络信息系统损失。

网络信息安全保障措施

网络信息安全需要技术（支撑）和管理（落实）的双重保证。从安全防范技术层面上讲，国内的数字图书馆都有较为成熟的防御体系，但在安全管理方面，数字图书馆还须做诸多努力。

加强网络信息安全教育与培训，树立安全责任意识。图书馆管理者应改变重技术轻管理的观念，树立全新的安全管理理念，针对图书馆馆员以及读者安全意识薄弱、安全措施不落实等现状，组织开展多层次、多方位的网络信息安全宣传工作。要加大对安全防范措施检查的力度，开展岗前培训、现场网络安全教育与技能培训，提倡自主学习，派送技术骨干再深造等。定期或不定期举办网络信息安全教育与技能培训讲座，将促使馆员熟知图书馆相关的安全管理规章制度，掌握相关设备的正确操作规程，以及确保系统和数据安全的操作方法。定期或不定期地组织馆内工作人员学习相关的法律法规和政策，使他们具有较强的安全防范意识，以及执行制度的意识和能力。图书馆要经常派遣馆内重点培养的年轻技术管理骨干参加国内外信息安全方面的技术培训，鼓励他们自主学习，及早掌握安全技术与管理新理论、新技术、新方法，掌握新的网络及安全产品的功能，了解网络病毒、密码攻击、分组窃听、IP欺骗、拒绝服务、端口攻击等多样化攻击手段。安全管理员要定期对网络信息安全状况进行风险评估，及时修正安全缺陷、评估缺失，及早采取补救措施。安全维护仅仅依靠馆内为数不多的安全管理技术人员是远远不够的，它还需要依靠全体馆员、用户（读者）的同心协力。通过安全意识教育，使全体馆员及用户明确自身权限和义务，严格、自觉地遵守图书馆上网规定，不越权、不随意下载和安装盗版或共享软件，同时保管好自己的密码，经常加固系统，提高系统的安全性。

强化制度建设，提高制度执行力。制度的贯彻落实，不但要求制度本身的科学合理，还要求对制度的不折不扣地执行。提高制度的执行力，首先要不断创新与完善安全管理工作制度。制度本身是否科学合理，对制度执行力大小有着根本性的影响。因此，对具有严肃性和不可违反性的包含有操作程序、技术要求、安全条例等项内容的规章制度，数字图书馆要不断根据网络信息安全发展中出现的新问题、新情况，对不合时宜的制度及时进行修正和补充。制度完善不能盲目跟风，各个图书馆必须结合自身特点，不断总结制度建设中的经验教训，改革创新完善制度建设的内容，力求实现制度的可持续发展。另外，建立监督审计机制，强化责任监督，确保网络信息安全管理效能。数字图书馆安全防护体系要做到“事前防范、事中控制、事后审计”，在制度上就必须做出预先的安排，以检测危机事件，并做出预警准备，以事前预防和控制替代事后的责任威慑。设立专门的主管部门，通过网络信息安全主管部门这一监督主体，加大对安全管理制度的监督审计，通过及时修正完善各项安全管理规章制度，加强对安全工作的督查检查，以提高相关工作人员遵章守纪的安全意识。其次，要提高制度主体（人）的执行力。任何制度要达到有效的管理效能，就必须通过制度主体相关人员的具体行为实现。而相关人员的责任心、态度、素质及能力水平，直接影响着制度执行行为和方式的选择，直接关系着制度执行力的高低。主体要提高执行力，就必须强化制度认知。网络信息安全管理体系的建设，离不开不断创新和完善的规章制度和制度的落实。对制度有准确认知，制度才有可能落在实处。为此，数字图书馆要特别组织相关负责人员及馆员认真学习相关的政策、法律法规和安全管理规章制度，使他们对制度的实现目标、内容、作用、边界等准确认知。特别是对各自的责任和义务等的准确认知，如明确岗位职责，使每一位管理人员按照自己的岗位和职权管理使用系统；明确责任，使安全管理技术人员懂得他们是技术责任第一人，懂得自己责任边界及范围。使图书馆管理者明确他们是安全管理责任第一人，是安全制度的制定者又是安全制度的督察者。主体对制度内容、边界等准确认知，才能对照制度找差距，发现薄弱环节和问题，及时纠正，才能将责任认识内化为行为准则，最终上升为自觉行为。主体要提高执行力，需增强对制度认同。通过自主学习、教育培训、有针对性的实践活动不断提高制度主体的素质，提高执行制度能力水平，从而增强全体馆员特别是安全管理技术人员对管理制度中包含操作规程、技术要求、安全条例等项内容的硬性管理规章制度的认同。如系统安全责任与监管制度；重要软件系统和关键硬件设备的操作制度；系统管理人员、操作人员责任制度；用户权限分配和管理制度；系统灾难应急预案；事故责任认定和责任追究制度等制度的认同。主体要提高执行力，还需坚持说服教育与强制执行相结合，综合利用多种执行手段，有效推动制度执行。