信息安全保护范文

导语：如何才能写好一篇信息安全保护，这就需要搜集整理更多的资料和文献，欢迎阅读由公务员之家整理的十篇范文，供你借鉴。

篇1

【关键词】信息安全； 威胁；防御策略；防火墙

1 计算机信息网络安全概述

所谓计算机信息网络安全，是指根据计算机通信网络特性，通过相应的安全技术和措施，对计算机通信网络的硬件、操作系统、应用软件和数据等加以保护，防止遭到破坏或窃取，其实质就是要保护计算机通讯系统和通信网络中的各种信息资源免受各种类型的威胁、干扰和破坏。计算机通信网络的安全是指挥、控制信息安全的重要保证。

根据国家计算机网络应急技术处理协调中心的权威统计，通过分布式密网捕获的新的漏洞攻击恶意代码数量平均每天112次，每天捕获最多的次数高达4369次。因此，随着网络一体化和互联互通，我们必须加强计算机通信网络安全防范意思，提高防范手段。

2 计算机信息安全常见的威胁

以上这些因素都可能是计算机信息资源遭到毁灭性的破坏。像一些自然因素我们是不可避免的，也是无法预测的；但是像一些人为攻击的、破坏的我们是可以防御的、避免的。因此，我们必须重视各种因素对计算机信息安全的影响，确保计算机信息资源万无一失。

3 计算机信息的安全的防御策略

根据计算机网络系统的网络结构和目前一般应用情况，我们采取可两种措施：一是，采用漏洞扫描技术，对重要网络设备进行风险评估，保证网络系统尽量在最优的状态下运行；二是，采用各种计算机网络安全技术，构筑防御系统，主要有：防火墙技术、VPN技术、网络加密技术、身份认证技术、网络的实时监测。

3.1 漏洞扫描技术

漏洞扫描主要通过以下两种方法来检查目标主机是否存在漏洞：在端口扫描后得到目标主机开启的端口以及端口上的网络服务，将这些相关信息与网络漏洞扫描系统提供的漏洞库进行匹配，查看是否有满足匹配条件的漏洞存在；通过模拟黑客的攻击手法，对目标主机系统进行攻击的安全漏洞扫描，如测试弱口令等，若模拟攻击成功，则表明目标主机系统存在安全漏洞。

3.2 防火墙技术

防火墙是网络安全的屏障，一个防火墙能极大地提高一个内部网络的安全性，并通过过滤不安全的服务而降低风险。由于只有经过精心选择的应用协议才能通过防火墙，所以网络环境更安全，信息的安全就得到了保障。使用防火墙软件可以在一定程度上控制局域网和Internet之间传递的数据。

防火墙一般是指用来在两个或多个网络间加强访问控制的一个或一组网络设备。从逻辑上来看，防火墙是分离器、限制器和分析器；从物理上来看，各个防火墙的物理实现方式可以多种多样，但是归根结底他们都是一组硬件设备（路由器、主机）和软件的组合体；从本质上来看，防火墙是一种保护装置，它用来保护网络数据、资源和合法用户的声誉；从技术上来看，防火墙是一种访问控制技术，它在某个机构的网络与不安全的网络之间设置障碍，阻止对网络信息资源的非法访问。

3.3 计算机网络的加密技术（ipse）

采用网络加密技术，对公网中传输的IP包进行加密和封装，实现数据传输的保密性、完整性。它可以解决网络在公网的数据传输安全性问题，也可以解决远程用户访问内网的安全问题。IP层是TCP/IP网络中最关键的一层，IP作为网络层协议，其安全机制可以对其上层的各种应用服务提供透明的覆盖安全保护。IP安全是整个TCP/IP 安全的基础，是网络安全的核心。ipse 提供的安全功能或服务主要包括：访问控制、无连接完整性、数据起源认证、抗重放攻击、机密性、有限的数据流机密性。

3.4 身份认证

身份认证的作用是阻止非法实体的不良访问。有多种方法可以认证一个实体的合法性，密码技术是最常用的，但由于在实际系统中有许多用户采用很容易被猜测的单词或短语作为密码，使得该方法经常失效。其他认证方法包括对人体生理特征的识别、智能卡等。随着模式识别技术的发展，身份识别技术与数字签名等技术结合，使得对于用户身份的认证和识别更趋完善。

3.5 入侵检测技术

入侵检测技术是对入侵行为的检测，他通过收集和分析网络行为、安全日志、审计数据、其他网络上可以获得的信息以及计算机系统中若干关键的信息，检查网络或系统中是否存在违反安全策略的行为和被攻击的迹象。入侵检测作为一种积极主动的安全防护技术，提供了对内部攻击，外部攻击和误操作的实时保护，在网络系统受到危害之前拦截和响应入侵。

3.6 虚拟专用网技术

虚拟专用网（Virtual private Network，VPN） 是一门网络技术，提供一种通过公用网络安全地对企业内部专用网络进行远程访问的连接方式；是通过一个公用网络（通常是因特网）建立起一个临时的、安全的连接，是一条穿过不安全的公用网络的安全、稳定的隧道。

下面，我们主要谈一下防火墙在网络信息安全中的应用。

4 防火墙防御策略

4.1 防火墙的基本概念

所谓“防火墙”，是指一种将内部网和公众网络（如Internet）分开的方法，它实际上是一种隔离技术。防火墙是在两个网络通信时执行的一种访问控制手段，它能允许你“同意”的人和数据进入你的网络，同时将你“不同意”的人和数据拒之门外，最大限度地阻止网络中的黑客来访问你的网络，防止他们更改、复制和毁坏你的重要信息。

4.2 防火墙的功能

1）过滤掉不安全服务和非法用户。

2）控制对特殊站点的访问。

3）提供监视Internet安全和预警的方便端点。

4.3 防火墙的优点

1）防火墙能强化安全策略

因为Internet上每天都有上百万人在那里收集信息、交换信息，不可避免地会出现个别品德不良的人，或违反规则的人，防火墙是为了防止不良现象发生的"交通警察"，它执行站点的安全策略，仅仅容许"认可的"和符合规则的请求通过。

2）防火墙能有效地记录Internet上的活动

因为所有进出信息都必须通过防火墙，所以防火墙非常适用收集关于系统和网络使用和误用的信息。作为访问的唯一点，防火墙能在被保护的网络和外部网络之间进行记录。

3）防火墙限制暴露用户点

防火墙能够用来隔开网络中一个网段与另一个网段。这样，能够防止影响一个网段的问题通过整个网络传播。

4）防火墙是一个安全策略的检查站

所有进出的信息都必须通过防火墙，防火墙便成为安全问题的检查点，使可疑的访问被拒绝于门外。

4.4 防火墙的不足

1）防火墙不能防范不经由防火墙的攻击。例如，如果允许从受保护网内部不受限制的向外拨号，一些用户可以形成与Internet的直接的连接，从而绕过防火墙，造成一个潜在的后门攻击渠道。

2）防火墙不能防止感染了病毒的软件或文件的传输。这只能在每台主机上装反病毒软件。

3）防火墙不能防止数据驱动式攻击。当有些表面看来无害的数据被邮寄或复制到Internet主机上并被执行而发起攻击时，就会发生数据驱动攻击。

4.5 防火墙的类型

根据防火墙所采用的技术不同，我们可以将它分为四种基本类型：包过滤型、网络地址转换―NAT、型和状态监测型。

包过滤型产品是防火墙的初级产品，其技术依据是网络中的分包传输技术，工作在网络层。网络上的数据都是以“包”为单位进行传输的，数据被分割成为一定大小的数据包，每一个数据包中都会包含一些特定信息，如数据的源地址、目标地址、源端口和目标端口等。防火墙通过读取数据包中的地址信息来判断这些“包”是否来自可信任的安全站点，一旦发现来自危险站点的数据包，防火墙便会将这些数据拒之门外。但包过滤防火墙的缺点有三：一是，非法访问一旦突破防火墙，即可对主机上的软件和配置漏洞进行攻击；二是，数据包的源地址、目的地址以及IP 的端口号都在数据包的头部，很有可能被窃听或假冒；三是，无法执行某些安全策略。

网络地址转化―NAT。 “你不能攻击你看不见的东西”是网络地址转换的理论基础。网络地址转换是一种用于把IP地址转换成临时的、外部的、注册的IP地址标准。它允许具有私有IP地址的内部网络访问因特网。当数据包流经网络时，NAT将从发送端的数据包中移去专用的IP地址，并用一个伪IP地址代替。NAT软件保留专用IP地址和伪IP地址的一张地址映射表。当一个数据包返回到NAT系统，这一过程将被逆转。当符合规则时，防火墙认为访问是安全的，可以接受访问请求，也可以将连接请求映射到不同的内部计算机中。当不符合规则时，防火墙认为该访问是不安全的，不能被接受，防火墙将屏蔽外部的连接请求。如果黑客在网上捕获到这个数据包，他们也不能确定发送端的真实IP地址，从而无法攻击内部网络中的计算机。NAT技术也存在一些缺点，例如，木马程序可以通过NAT进行外部连接，穿透防火墙。

型防火墙也可以被称为服务器，它的安全性要高于包过滤型产品， 它分为应用层网关和电路层网关。服务器位于客户机与服务器之间，完全阻挡了二者间的数据交流。从客户机来看，服务器相当于一台真正的服务器；而从服务器来看，服务器又是一台真正的客户机。当客户机需要使用服务器上的数据时，首先将数据请求发给服务器，服务器再根据这一请求向服务器索取数据， 然后再由服务器将数据传输给客户机。从内部发出的数据包经过这样的防火墙处理后，就好像是源于防火墙外部网卡一样，从而可以达到隐藏内部结构的作用，这种防火墙是网络专家公的最安全的防火墙。缺点是速度相对较慢。

监测型防火墙是新一代的产品，这一技术实际已经超越了最初的防火墙定义。它是由Check Point 软件技术有限公司率先提出的，也称为动态包过滤防火墙。总的来说，具有：高安全性，高效性，可伸缩性和易扩展性。实际上，作为当前防火墙产品的主流趋势，大多数服务器也集成了包过滤技术，这两种技术的混合显然比单独使用具有更大的优势。总的来说，网络的安全性通常是以网络服务的开放性和灵活性为代价的，防火墙只是整个网络安全防护体系的一部分，而且防火墙并非万无一失。除了使用了防火墙后技术，我们还使用了其他技术来加强安全保护，数据加密技术是保障信息安全的基石。所谓数据加密技术就是使用数字方法来重新组织数据，使得除了合法受者外，任何其他人想要恢复原先的“消息”是非常困难的。目前最常用的加密技术有对称加密技术和非对称加密技术。对称加密技术是指同时运用一个密钥进行加密和解密，非对称加密技术就是加密和解密所用的密钥不一样。

4.6 防火墙的配置

1）双宿堡垒主机防火墙

一个双宿主机是一种防火墙，拥有两个联接到不同网络上的网络接口。例如，一个网络接口联到外部的不可信任的网络上，另一个网络接口联接到内部的可信任的网络上。这种防火墙的最大特点是IP层的通信是被阻止的，两个网络之间的通信可通过应用层数据共享或应用层服务来完成。一般情况下，人们采用服务的方法，因为这种方法为用户提供了更为方便的访问手段。

2）屏蔽主机防火墙

这种防火墙强迫所有的外部主机与一个堡垒主机相联接，而不让它们直接与内部主机相连。为了实现这个目的，专门设置了一个过滤路由器，通过它，把所有外部到内部的联接都路由到了堡垒主机上。下图显示了屏蔽主机防火墙的结构。

3）屏蔽主机防火墙

在这种体系结构中，堡垒主机位于内部网络，屏蔽路由器联接Internet和内部网，它是防火墙的第一道防线。屏蔽路由器需要进行适当的配置，使所有的外部联接被路由到堡垒主机上。并不是所有服务的入站联接都会被路由到堡垒主机上，屏蔽路由器可以根据安全策略允许或禁止某种服务的入站联接（外部到内部的主动联接）。

对于出站联接（内部网络到外部不可信网络的主动联接），可以采用不同的策略。对于一些服务，如Telnet，可以允许它直接通过屏蔽路由器联接到外部网而不通过堡垒主机；其他服务，如WWW和SMTP等，必须经过堡垒主机才能联接到Internet，并在堡垒主机上运行该服务的服务器。怎样安排这些服务取决于安全策略。

5 结束语

随着信息技术的发展，影响通信网络安全的各种因素也会不断强化，因此计算机网络的安全问题也越来越受到人们的重视，以上我们简要的分析了计算机网络存在的几种安全隐患，以及一般采取的几种安全防范策略，主要讨论了防火墙在网络信息安全中所起到的作用。总的来说，网络安全不仅仅是技术问题，同时也是一个安全管理问题。我们必须综合考虑安全因素，制定合理的目标、技术方案和相关的配套法规等。世界上不存在绝对安全的网络系统，随着计算机网络技术的进一步发展，网络安全防护技术也必然随着网络应用的发展而不断发展。

【参考文献】

[1]田园.网络安全教程[M].人民邮电出版社，2009.

篇2

银行借助于网络技术获得了飞速发展，借助于网络技术，催生了网络银行。与此同时，银行网络信息安全受到了威胁，用户信息安全不能得到保障，需要加强对银行网络信息安全保护，探索优化途径。本文对银行网络信息安全的保护措施和优化途径进行研究，旨在提高银行网络信息的安全性。

【关键词】

银行；网络信息；安全保护；优化

引言：

网络技术的发展中产生了网络银行，网络银行的发展有赖于网络技术，但是与传统银行相比，网络银行有更多的风险和隐患。现阶段，银行网络信息安全系统还不够完善，其信息安全也得不到完善的法律保护，使得银行网络信息安全存在很大隐患，需要加强对银行网络信息安全保护，确保银行用户信息安全，促进银行健康稳定发展。

一、产生网络银行信息安全问题的原因

产生网络信息安全的原因主要有：①银行借助于网络技术业务范围不断扩大，网络银行优势得到了充分发挥，但是银行信息管理系统不完善，使得银行信息安全出现问题。②网络犯罪者攻击银行系统，窃取银行机密信息和资金，并且其攻击手段借助于网络技术在不断提高，银行信息安全技术出现了很多漏洞和弊端。③很多网络银行用户信息安全意识不强，并且不重视安全知识，不懂得如何规避网络风险，这也是网络犯罪案件不断增多的原因。

二、银行网络信息安全保护措施

2.1要建立健全银行的信息管理系统

银行要定期进行隐患排查和入侵检测，目的在于确保交易网络和服务器的安全。银行要及时对数据进行备份，合理利用加密和访问控制技术，与客户签订网银安全协议证书，全面检测系统漏洞。针对网络病毒要建立网络病毒安全防御体系，并且在银行信息系统运行过程中，实时进行查杀病毒，以便随时应对。

2.2加强网络技术人员队伍的建设

着眼于长远可持续发展，增加网络技术安全工作人员的数量，提高网络运维技术人员的技术水平，以提高信息安全意识作为出发点，对其加强网络安全培训和新技术的学习，激发其的工作热情。

2.3建立一套完备的应急处置系统

银行应该在考虑自身网络环境的前提下，从自身实际出发，通过缜密的测试工作，形成一套操作性较强的应急处理系统，一旦银行内部管理系统遭到外部攻击，能够以最快的反应速度抵挡外来攻击，减少攻击带来的损失。

2.4建立健全有关法律法规

网络银行中存在较多交易凭据，如：电子账单、电子凭证、收支明细等资料，但是，目前该交易凭据的保护，暂时没有完整的法律保护体系，这是制约网络银行发展的一个重要因素。此外，我国在银行网络信息安全方面的立法还不够健全，因此，需要充分加强在保护银行网络信息安全方面的立法力度，确保银行网络信息安全。

三、银行网络安全问题优化策略

3.1解决系统漏洞

以光大银行-网上银行为例，广大银行的手机银行系统，设置了超时自动退出功能，如果在15分钟内不对手机银行进行任何操作，操作系统会自动退出手机银行客户端，客户要进行手机银行操作需要再次登录手机银行。此外，广大银行为了确保手机银行客户端的安全，还专门设置了阳光令牌动态密码，每分钟自动刷新一次，使得手机银行的使用更加安全可靠。

3.2解决手机银行漏洞

为了确保手机银行的安全，很多银行采用的方法是绑定客户信息与手机号，客户要想登录手机银行就必须使用开户时使用的银行预留手机号，同时还需要输入正确的登录密码，为了出现恶意探秘现象，手机银行一般会设置输错累积次数，一般手机银行错输三次密码就会自动锁定。

3.3双密码措施

很多银行为了避免恶意攻击，都设置了双密码功能。对此，建设银行的做法是设置登录密码以及交易密码两种控制方式，并且对错输次数进行限制，超出错输次数，当日就无法正常登录系统。首次登录网上银行，会提示用户设置交易密码，系统会对用户设置的交易密码进行自动检测，太简单的密码会提示重新设置，确保用户的账户安全。此外，部分银行在用户登录网银系统时，提供了附加码和小键盘服务，防止用户信息泄露。

总结：

综上所述，我们应该提高银行网络信息安全防范意识，确保网络银行使用过程的安全。对于银行网络信息存在的安全隐患，我们要仔细分析原因，并且采取保护措施，探索优化途径，不断提高银行网络信息的安全性，确保银行用户信息安全。

作者：周奉强 单位：中国人民银行济南分行

参考文献

[1]赵丽君.我国网络银行信息安全问题研究[J].管理学家,2014(6)

篇3

 

关键词：二政府　信息安全　保护策略

自从进入了信息时代，信息技术在政府的公共管理活动中所占的比重达到了前所未有的地步，为了提高政府管理工作的效率，政府纷纷加入到政务信息化的进程中，希望通过采用最先进的信息设备和信息技术来快速实现政府信息的高效处理。然而，在以互联网为主要信息交换渠道的电子政务，政府具有时效要求或保密要求的信息资料也很容易通过正式渠道泄露，不论是有意还是无意的泄露，都会给政府的正常工作带来极大的危害，甚至会对社会带来极大的冲击。合理地运用政府信息安全保护策略，为政府提供全方位的信息资源安全保证，在现代政府的信息管理工作中显得尤为重要。

1.政府信息安全技木层面的保护

    1.1理立全面的安全防护体系。具体涉及到的信息安全技术包括通过保用可管理交换机、防火墙等网络安全设备，达到数据在内部网与外部网之间进出控制，根据过滤原则判断数据是否通过。建立授权和身份认证系统，加强账户和口令的控制实现授权访问控制，用户身份识别等，用于自动发现网络上的安全漏洞给出分析报告。建立安全检测预警系统，用于实时检测网上的数据流，寻找具有网络攻击特性和违反网络安全策略的数据流，当发现可疑数据流时按照系统安全策略规定的响应策略进行响应，实时阻断非法的网络连接。

    1.2建立有关系统安全方面有价值的信息的系统日志审计。在系统运行时，通过网络管理员对系统日志进行配置，达到尽可能多地保留有用信息的目的。其中系统文件是自动生成的，内容包括操作方式，登记次数，运行时间，交易内容等，对于系统的运行监督，维护分析，故障恢复，对于预防窃密事件的发生以及发生之后的侦破提供依据。

    1.3建立数据应急保护系统。为了满足系统业务不间断的要求，避免由于自然灾难和事故设备的损坏造成系统停止服务而采用系统备份和恢复技术。灾难恢复包括许多工作，一方面是硬件的恢复，使计算机系统重新运转起来，另一方面是数据恢复。灾难备份技术总是以关键业务为保障对象，而不是简单地对整个系统进行备份，否则，不仅在技术上实现难度大，在代价上也较高。

    1.4严格规范内外网络的连接。由于互联网是一个开放的系统，不为任何服务提供安全保障，在政府内部网络与外部网络的互联时，在系统安全检查合格后才能接入外部网络。换句话说，一种安全的信息技术系统要对用户的访问权限予以限制，同时避免应用软件和数据的破坏，更重要的是当系统失灵时能够重新启动系统并保存重要的数据备份。

2政府信息安全的物理保护

    2.1信息安全区的物理保护。政府要严格限制非有关人员进出具有信息保密要求的物理区域，一切人员的进出要按照规定的出入路线。对敏感信息载体加以物理屏蔽。具有高度保密要求的机要室、档案室应尽量与外界隔离，阻断外来视线，对具有重要政务信息价值的文件、档案应婉言谢绝参观，以防止信息外泄。

    2.2安装反窃听装置。窃听已经成为政府获取信息的重要手段，政府非常有必要安排专人进行清查，例如对会议室的桌椅沙发以及领导的办公室检查是否被人安排了窃听装置，经常化专业化的反窃听检查可有效减少信息机要信息的外泄。

    2.3对内部资料的保护。对有时效性或全局性的关键内部出版物的发放进行严格限制，仅仅限于发放给职员，严厉禁止政府内部资料的外传。在公开出版物出版之前，需要出版界新闻界上交具有个人信息特征的复印件给信息安全部门，在出版物出版之前回顾所有文章的细节问题。

  对文件的复印实行专人负责制，同时规定哪类资料是不能复印的。建立相应的复印制度，使之有规可依。一些政府为了进行节约，对纸张进行重复利用，节约的同时一些包含政府重要信息的内容就被泄露出来。所以对一些包含重要信息的资料的纸张是不能进行二次使用的。

    2.4垃圾废品处理。在对垃圾废品的管理中，应该主要从以下方面入手，进行严格的文件划分，为丢弃的机密制定扔弃的步骤，确保信息已经彻底销毁。毁掉副本或复写纸，因为如果复印机和传真机使用胶片或复写纸，职业化的情况人员是能够从这些有痕迹的胶片或复写纸上读出相关信息的，所以一定要在被销毁之前粉碎那些易读的媒介物。对于一些纸上信息，切记千万不要随手乱扔，在将废纸扔进垃极筐前，必须检查纸上是否有关于政府的机要信息。

3政府信息安全管理层面的保护

    在利用各种技术，采取物理保障政府信息安全的同时，应加强对公务人员的管理和教育，来实现政府的信息安全。

    3.1制定工作职位信息安全制度。根据政府的信息安全方针制订该职位在安全方面所扮演的角色和应承担的责任，并形成相关的文档。角色和责任的制订可考虑以下几方面的因素应与信息安全方针保持一致;应保护可能涉及的政府资产;应及时报告安全事件;是否需要执行某些安全职能。所签署的正式工作合同(或其附件，如保密协议等等)中必须包含该职位在信息安全方面的责任条款。与掌握政府重要信息的员工、离退体及调动工作的职工，通过定立保密合同的形式予以明确对本政府的信息安全负有保护的义务。此外，还应建立惩戒制度，以对那些违反了政府信息安全管理规定的人员进行惩罚，这不仅是一种惩罚措施，同样也是一种威慑手段。

    3.2培养公务人员信息安全意识。在公务人员正式投入工作、获得访问敏感信息的权利之前，应再次向该公务人员明确和细化其岗位所承担的信息安全责任和相关要求。安全教育也是比较重要的一个环节，安全教育能使得掌握基本的安全知识，有利于安全意识的提高，应定期在政府内部开展信息安全教育和培训，提高公务人员的安全意识和技术水平。

    3.3妥善处理公务人员离职的信息安全问题。公务人员离职前，应重申其离职后一段时间内仍须遵守的安全条款，如在保密协议签订的相关内容以及可能由此引发的法律责任。应收回公务人员所持有的政府信息资产，如配发的笔记本、门禁卡、以及软件、内部文档等。公务人员的对信息系统的访问权限应被立即移除，如停用个人账号、调整所在组的账号等。同时还应注意防止离职前的蓄意破坏及盗取资料等行为的发生。

篇4

一、加强领导，提高对计算机信息系统安全保护工作重要性和紧迫性的认识

《广东省计算机信息系统安全保护管理规定》是我省颁布的有关计算机信息系统安全保护方面的第一个地方性政府规章。它的颁布实施，对于加强我省计算机信息系统安全保护，促进计算机信息系统安全保护工作的发展具有重要的现实意义。我市是全国首批信息化试点城市之一，正努力实施以计算机信息系统为基础的电子政府、电子商务等城市信息化工程，全面贯彻落实《管理规定》在我市显得尤其重要和紧迫。各单位要将贯彻落实《管理规定》、抓好计算机信息系统安全保护工作摆上重要议事日程，迅速组织本单位、本系统有关领导、计算机信息系统安全管理责任人以及相关人员认真学习，提高计算机信息系统安全保护意识，做到认识到位、措施到位和管理到位。

二、建立健全计算机信息系统安全保护制度，加强系统安全管理

各单位要根据《管理规定》的要求，按照“谁主管、谁负责”的原则，建立和健全计算机信息系统安全保护各项制度，全面实行领导负责制，并指定管理责任人和信息审查员。《管理规定》明确党政机关、银行、证券、能源、交通、邮电通信、重点科研和教育等单位为重点安全保护单位，市公安局应督促其建立计算机信息系统安全保护组织，指导其开展计算机信息系统安全保护工作。安全保护组织由单位主管领导、保卫部门负责人、安全管理责任人、信息审查员和计算机信息系统运行管理人员组成。各重点安全保护单位的计算机安全管理责任人和信息审查员要参加公安机关组织的安全技术培训和考核，取得安全技术培训合格证书。

今后，各重点安全保护单位的计算机信息系统及计算机机房，必须按国家有关规定和国家标准，由具有安全服务资质的机构进行安全保护设计和建设，并经具有安全服务资质的机构检测合格后才能投入使用。

三、建立健全重大突发事件应急处置工作机制，提高应急处置能力

市公安局是主管我市行政区域内计算机信息系统安全保护工作的职能部门，要与*地区计算机信息系统安全服务机构、互联网运营单位、其他计算机系统使用单位以及政府有关部门建立工作联系机制，制定重大突发事件应急处置预案并组织演练。各计算机信息系统使用单位要制定重大安全事故处置的应急措施，发生重大安全事故时必须保留原始记录，并在24小时内向公安机关报告。市公安局要密切掌握计算机信息系统安全保护动态，依法查处通过计算机信息系统进行的违法犯罪行为。

四、加强计算机信息系统安全保护工作的监督检查，依法查处各类违规行为

各单位要根据《管理规定》的要求，对本单位、本系统的计算机信息系统安全保护工作进行一次全面的检查，重点检查是否建立健全计算机信息系统安全保护责任制和安全保护制度，安全保护管理措施、技术措施是否落到实处，安全管理人员是否按规定配备。要在自查的基础上，如实填写*地区重点单位网络安全状况调查表，并于9月30日前送交市公安局。市公安局要加强对计算机信息系统安全保护工作的检查、监督和指导，在今年年底前适时组织安全抽查，针对存在问题，提出切实可行的整改意见，做到防患于未然。对整改仍未符合要求的，要按《管理规定》进行处理。

篇5

信息安全等级保护备案实施细则最新全文第一条 为加强和指导信息安全等级保护备案工作，规范备 案受理、审核和管理等工作，根据《信息安全等级保护管理办法》 制定本实施细则。

第二条 本细则适用于非涉及国家秘密的第二级以上信息系 统的备案。

第三条 地市级以上公安机关公共信息网络安全监察部门受 理本辖区内备案单位的备案。 隶属于省级的备案单位， 其跨地 (市) 联网运行的信息系统，由省级公安机关公共信息网络安全监察部 门受理备案。

第四条 隶属于中央的在京单位，其跨省或者全国统一联网 运行并由主管部门统一定级的信息系统，由公安部公共信息网络 安全监察局受理备案，其他信息系统由北京市公安局公共信息网 络安全监察部门受理备案。 隶属于中央的非在京单位的信息系统，由当地省级公安机关 公共信息网络安全监察部门(或其指定的地市级公安机关公共信 息网络安全监察部门)受理备案。 跨省或者全国统一联网运行并由主管部门统一定级的信息系 统在各地运行、应用的分支系统(包括由上级主管部门定级，在 当地有应用的信息系统) 由所在地地市级以上公安机关公共信息网络安全监察部门受理备案。

第五条 受理备案的公安机关公共信息网络安全监察部门应 该设立专门的备案窗口，配备必要的设备和警力，专门负责受理 备案工作，受理备案地点、时间、联系人和联系方式等应向社会 公布。

第六条 信息系统运营、使用单位或者其主管部门(以下简 称备案单位 ) 应当在信息系统安全保护等级确定后30日内，到公 安机关公共信息网络安全监察部门办理备案手续。办理备案手续 时，应当首先到公安机关指定的网址下载并填写备案表，准备好 备案文件，然后到指定的地点备案。

第七条 备案时应当提交《信息系统安全等级保护备案表》 (以下简称《备案表》 (一式两份)及其电子文档。第二级以上 信息系统备案时需提交《备案表》中的表一、二、三;第三级以 上信息系统还应当在系统整改、 测评完成后30日内提交 《备案表》 表四及其有关材料。

第八条 公安机关公共信息网络安全监察部门收到备案单位 提交的备案材料后，对属于本级公安机关受理范围且备案材料齐 全的，应当向备案单位出具《信息系统安全等级保护备案材料接 收回执》 备案材料不齐全的， 应当当场或者在五日内一次性告知 其补正内容;对不属于本级公安机关受理范围的，应当书面告知 备案单位到有管辖权的公安机关办理。

第九条 接收备案材料后，公安机关公共信息网络安全监察部门应当对下列内容进行审核： (一)备案材料填写是否完整，是否符合要求，其纸质材料 和电子文档是否一致; (二)信息系统所定安全保护等级是否准确。

第十条 经审核，对符合等级保护要求的，公安机关公共信 息网络安全监察部门应当自收到备案材料之日起的十个工作日 内，将加盖本级公安机关印章(或等级保护专用章)的《备案表》 一份反馈备案单位，一份存档;对不符合等级保护要求的，公安 机关公共信息网络安全监察部门应当在十个工作日内通知备案单 位进行整改， 并出具 《信息系统安全等级保护备案审核结果通知》

第十一条 《备案表》中表一、表二、表三内容经审核合格 的，公安机关公共信息网络安全监察部门应当出具《信息系统安 全等级保护备案证明》 (以下简称《备案证明》 《备案证明》由 公安部统一监制。

第十二条 公安机关公共信息网络安全监察部门对定级不 准的备案单位，在通知整改的同时，应当建议备案单位组织专家 进行重新定级评审，并报上级主管部门审批。 备案单位仍然坚持原定等级的，公安机关公共信息网络安全 监察部门可以受理其备案，但应当书面告知其承担由此引发的责 任和后果，经上级公安机关公共信息网络安全监察部门同意后， 同时通报备案单位上级主管部门。

第十三条 4 对拒不备案的，公安机关应当依据《中华人民共和国计算机信息系统安全保护条例》 等其他有关法律、 法规规定， 责令限期整改。逾期仍不备案的，予以警告，并向其上级主管部 门通报。 依照前款规定向中央和国家机关通报的，应当报经公安部公 共信息网络安全监察局同意。

第十四条 受理备案的公安机关公共信息网络安全监察部 门应当及时将备案文件录入到数据库管理系统，并定期逐级上传 《备案表》中表一、表二、表三内容的电子数据。上传时间为每 季度的第一天。 受理备案的公安机关公共信息网络安全监察部门应当建立管 理制度， 对备案材料按照等级进行严格管理， 严格遵守保密制度， 未经批准不得对外提供查询。 第十五条 公安机关公共信息网络安全监察部门受理备案 时不得收取任何费用。

第十六条 本细则所称以上包含本数(级)

第十七条 各省(区、市)公安机关公共信息网络安全监察 部门可以依据本细则制定具体的备案工作规范，并报公安部公共 信息网络安全监察局备案。

篇6

【关键词】移动社交网络；信息安全保护；无线加密技术；WPA；WPA2

随着人类文明和科技进步，我们已步入互联网时代。大数据、云计算、智能化等新一代信息技术的发展，正以空前的力量和效率，掀起一场影响全人类的深层变革，改变了人们的生活方式，提供了前所未有的思维模式。移动社交网络已成为生活中不可或缺的一部分，它丰富了人们的物质和精神生活，同时移动社交网络中用户信息安全问题也成为当今社会的一个焦点，越来越受到人们的关注，饱受广大网民诟病。

1移动社交网络用户信息安全问题现状分析

当今社会移动社交网络（MobileSocialNetwork）已成为社交网络的主流，移动社交网络虽然是一种虚拟的社交媒体，但为用户提供了分享信息、交流思想、沟通情感的平台。近年来，随着4G技术以及无线网络技术的发展及智能移动终端的广泛使用，移动社交网络得到高速发展。然而，移动社交网络在给用户提供便捷高效的服务的同时也面临着极大地安全挑战。据第38次《中国互联网络发展状况统计报告》（2016.7）显示，截止2016年6月，我国网民规模已达7.1亿，互联网普及率达到51.7%，手机上网主导地位强化，手机网民规模达到6.56亿，网民中手机上网的人群占比为92.5%，中国网站总数为454万个[1]。另据有关资料显示，2015年有95.9%的手机网民遇到过手机信息安全事件，手机网民中会主动查看手机软件隐私权限的用户仅占35.8%，44.7%的用户会在不确认公共Wi-Fi是否安全的情况下直接连接，58.9%的手机网民没有听说过伪基站，26.4%的用户在遭遇手机信息安全事件后不会采取任何措施进行处理[2]。由上述情况来看，人们在日常生活中或多或少都遇到过因个人信息泄露导致的诸如骚扰诈骗短信或电话、非正常链接、恶意软件攻击、病毒木马入侵等信息安全事件，但因受影响程度的不同，人们的处理态度和方式也不一样。因大多数未造成直接的经济损失，加上举报程序复杂且操作成本高，人们担心花费时间和精力得不偿失，半数以上的人选择不理睬的态度，从而怂恿了不法分子的猖獗，这也是导致诈骗信息不断的主要原因。除非造成了重大经济损失或出现人身伤亡事故，如徐玉玉事件，才会引起高度关注。总的来看，各类信息安全事件在数量上将呈上升趋势；在内容上花样百出、不断翻新；在手段上隐蔽性更强、欺骗性更大。移动社交网络中用户的信息安全正成为移动互联网时代突出的社会问题。

2移动社交网络中的信息安全问题原因探究

移动社交网络中用户个人信息安全形势仍较严峻，主要有以下原因：（1）用户信息安全意识淡薄。目前仍有一部分网民在个人信息安全方面没有采取任何防护措施。由于许多网站的隐私设置比较繁琐，很多用户都没有进行隐私设置；有一些用户习惯于用一个ID注册多个账号，甚至用同样的密码；有的用户使用与自己相关的个人信息等纯数字来设置密码，很容易被破译；有的随意安装未知来源的社交应用软件，导致移动终端和个人信息遭到泄露；还有部分用户不会使用终端系统的隐私控制功能，不能及时更新系统；随意开启GPS功能，导致位置信息泄露[3]。（2）信息安全保护技术还存在漏洞。在智能终端设备上安装第三方社交软件，通过这种第三方软件进行注册和认证，会把用户的信息及使用数据进行记录在移动终端设备上，通过用户的操作从而窃取用户的身份标识。然后通过截获的用户信息进一步的窃取其相关用户的信息[4]。（3）网络企业安全管理职责缺失。企业在运营过程中掌握大量用户个人信息资料，是用户信息安全保护的义务主体和第一责任人。但部分移动社交网络运营机构不重视用户信息的安全保护，缺乏制度建设，没有完全履行保护用户信息安全的职责。不进行技术创新，缺乏有效防范信息安全风险的解决方案；没有投入充足的经费建设专业安全管理团队，没有良好的应急能力。（4）个人信息安全法律体系滞后。由于互联网技术是新兴产业，近十年来发展异常迅猛，尤其是在个人信息安全方面存在法律缺失。我国目前尚未出台一部完整独立的《个人信息保护法》，而散落在其他法律条款中的规定，也无法完整的反映并保证用户的信息安全。此外，现成的法律体系主要表现为个人信息安全受到侵害时的一种补救机制，缺乏事前警示作用。

3移动社交网络中的信息安全保护原理

为了保护用户数据，无线网络从WEP加密技术逐步改进成为今天应用最广泛的WPA无线加密技术，它有两种标准，下面进行介绍：

3.1WPA加密技术

WPA全称是Wi-FiProtectedAccess，它作为一种系统，能够保护无线网络（Wi-Fi）的安全。Wi-Fi联盟（TheWi-FiAl-liance）这个组织建立并确定了WPA，WPA最重要的部分就在TKIP和IEEE802.1X。TKIP相当于包含在WEP密码的一层“外壳”，它的密钥长度是128位，解决了WEP密钥短的问题。IEEE802.1X：①发出连接上网请求；②发出请求数据帧；③经过一系列处理将用户的信息发到服务器；④比较传送来的与数据库中的信息有何不同；⑤将对应的口令进行加密处理；⑥将加密后的口令传给客户端；⑦对上一部分的信息进行加密整理；⑧检查处理加密过的信息。

3.2WPA2加密技术

WPA2是WiFi联盟新通过的协议标准的认证形式，其中Michael算法被更加安全的CCMP所取代、而AES算法取代了RC4加密算法。WPA2支持安全性更高的算法AES；但与WPA不同的是，WPA2支持802.11g及以上的无线网卡。

3.3WPA与WPA2的公式区别

WPA=IEEE802.11idraft3=IEEE802.1X/EAP+WEP（选择性项目）/TKIPWPA2=IEEE802.11i=IEEE802.1X/EAP+WEP（选择性目）/TKIP/CCMP

3.4WPA技术的四个优势

WPA会不断一直的迭代密钥，增加其密钥长度，从而增加安全级别。WPA所采用的有效的保障机制，让其可以应用在不同种类的网卡。WPA使公共场所和学术办公地安全地设置无线网络，不必担心信息安全问题。WPA实现“一户一密”。即每一个用户都使用分配给自己的密码。

4移动社交网络用户信息安全保护对策

保障移动社交网络用户信息安全，需从用户个人、网络企业、国家立法三个层面多维度应对。具体措施如下：（1）提高用户信息安全素养，加强风险防范意识。信息安全素养是指个人在当今网络环境下对信息安全的理解与认知，以及应对信息安全问题所反映出来的综合能力[5]。增强信息安全意识，学习信息安全知识，有助于人们了解网络犯罪和病毒攻击的特征，提高识别风险的能力。同时遵守信息伦理道德，不受骗，不骗人，从自身做起，做一个遵纪守法的文明网民，营创风清气正的社交网络环境。（2）提高网络安全保护技术，加强信息安全监管。未来网络安全攻守双方将以新型技术漏洞为核心进行长期博弈。因此，提高技术壁垒，减少技术漏洞是保障信息安全的基础，要加强互联网技术和安全防护技术的深度融合，不断创新，从源头上保证个人信息安全。魔高一尺，道高一丈，要让黑客在红客面前无机可乘，无计可施。（3）提高运营管理水平，完善行业自律机制。社交网络企业作为信息安全体系的主导因素，有义务在技术、制度、管理等方面提升综合能力，承担相应责任。社交网络企业要深刻意识到用户信息安全的重要性，切实履行保护用户信息安全的职责，建设专业安全管理团队，建立完备的隐私控制策略。在与第三方共享数据时要建立行业自律机制，遵守自律公约，保证用户个人信息的隐私和安全。（4）健全信息安全法律体系，加大安全事件执法力度。加快成立专门的国家级个人信息安全管理部门，与时俱进，同步的完善信息安全法律体系。实行信息安全事件责任追究，做到有法可依，违法必究，对重大信息安全事件加大打击力度，以高压态势整肃信息安全环境，促进移动社交网络的繁荣和健康发展。

参考文献

[1]CNNIC：2016年7月第38次中国互联网络发展状况统计报告.

[2]CNNIC：2015年中国手机网民网络安全状况报告.

[3]王娜，许大辰．移动社交网络中个人信息保护现状的调查与分析———从用户行为习惯视角出发.情报杂志，2015，1.

[4]刘建伟，李为宇，孙钰．社交网络安全问题及其解决方案.中国科学技术大学学报.

篇7

关键词：信息安全；等级保护；分级保护

随着我国信息系统建设的逐步完善，信息安全越来越得到重视，目前，我国已提出实行信息安全等级保护管理，并建立了信息系统分级保护制度。

1 信息安全等级保护

2003年，中办、国办转发《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发〔2003〕27号)，提出实行信息安全等级保护，建立国家信息安全保障体系的明确要求。

信息系统的安全保护等级应当根据信息系统在国家安全、经济建设、社会生活中的重要程度，信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素确定。

信息系统的安全保护等级分为五级：

第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。该级别是用户自主保护级。完全由用户自己来决定如何对资源进行保护，以及采用何种方式进行保护。

第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。该级别是系统审计保护级。本级的安全保护机制受到信息系统等级保护的指导，支持用户具有更强的自主保护能力，特别是具有访问审计能力。即能创建、维护受保护对象的访问审计跟踪记录，记录与系统安全相关事件发生的日期、时间、用户和事件类型等信息，所有和安全相关的操作都能够被记录下来，以便当系统发生安全问题时，可以根据审计记录，分析追查事故责任人，使所有的用户对自己行为的合法性负责。

第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。该级别是安全标记保护级。除具有第二级系统审计保护级的所有功能外，它还要求对访问者和访问对象实施强制访问控制，并能够进行记录，以便事后的监督、审计。通过对访问者和访问对象指定不同安全标记，监督、限制访问者的权限，实现对访问对象的强制访问控制。

第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。该级别是结构化保护级。将前三级的安全保护能力扩展到所有访问者和访问对象，支持形式化的安全保护策略。其本身构造也是结构化的，将安全保护机制划分为关键部分和非关键部分，对关键部分强制性地直接控制访问者对访问对象的存取，使之具有相当的抗渗透能力。本级的安全保护机制能够使信息系统实施一种系统化的安全保护。

第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。该级别是访问验证保护级。这一个级别除了具备前四级的所有功能外还特别增设了访问验证功能，负责管理访问者对访问对象的所有访问活动，管理访问者能否访问某些对象从而对访问对象实行专控，保护信息不能被非授权获取。因此，本级的安全保护机制不易被攻击、被篡改，具有极强的抗渗透的保护能力。

2 信息系统分级保护

2004年，中保委下发《关于加强信息安全保障工作中保密管理的若干意见》(中保委发〔2004〕7号)，明确提出建立健全信息系统分级保护制度。

涉及国家秘密的信息系统要按照党和国家有关保密规定进行保护。我国的国家秘密分为秘密、机密、绝密三级，信息系统也按照秘密、机密、绝密三级进行分级管理。

秘密级：信息系统中包含有最高为秘密级的国家秘密，其防护水平不低于国家信息安全等级保护三级的要求，并且还必须符合分级保护的保密技术要求。

机密级：信息系统中包含有最高为机密级的国家秘密，其防护水平不低于国家信息安全等级保护四级的要求，还必须符合分级保护的保密技术要求。属下列情况之一的机密级信息系统应按机密级(增强)要求管理：

(1) 信息系统的使用单位为副省级以上的党政首脑机关，以及国防、外交、国家安全、军工等要害部门；

(2) 信息系统中的机密级信息含量较高或数量较多；

(3) 信息系统使用单位对信息系统的依赖程度较高。

绝密级：信息系统中包含有最高为绝密级的国家秘密，其防护水平不低于国家信息安全等级保护五级的要求，还必须符合分级保护的保密技术要求，绝密级信息系统应限定在封闭的安全可控的独立建筑内，不能与城域网或广域网相联。

信息系统的等级由系统使用单位确定，按照“谁主管、谁负责”的原则进行管理。实现对不同等级的信息系统进行分级保护，对信息系统使用的安全保密产品进行分级管理，对信息系统发生的泄密事件进行分级处置。

3 等级保护与分级保护的关系

国家信息安全等级保护与信息系统分级保护既有联系又有区别。

篇8

一是开展信息系统定级备案工作。

1．开展政府网站定级备案。根据去年重点单位调查摸底情况，全市尚有200余个各类信息系统未开展等级保护工作，其中包括大量政府网站（指党政机关门户网站），鉴于政府网站近年来网络安全事件频发，需及时落实各项安全技术措施。

全市党政机关必须在规定时间内开展门户网站定级备案工作，并于5月底前向公安网警部门提交《信息系统安全等级保护定级报告》（简称定级报告），《信息系统安全等级保护备案表》、《涉及国家秘密的信息系统分级保护备案表》（简称备案表）（模板见附件），定级报告、备案表完成后请单位盖章后一式二份送至市公安局网警大队。

2．开展其他信息系统定级备案。除网站外，各单位其他信息系统也可一并开展定级备案工作，提交时间可适当放宽。

二是开展信息系统安全测评工作。

1．有政府网站且定二级以上的单位，必须在12月底前开展网站等级保护安全测评，并根据测评结果及时落实整改建设，切实保障网站安全运行。

2．各单位其他已定二级以上信息系统争取明年完成等级保护安全测评，若今年有条件的也可一并开展。

3．等级保护安全测评须由获得相关资质且在当地备案的专业测评机构开展。目前，拟由市政府采购中心会同市等保办从已在备案的测评机构中通过法定方式选定若干家，确定后于5月底下发具体名单，各单位可直接从中选择开展测评工作。

三是开展等级保护安全培训（时间：半年一次）

要依托等保小组定期邀请专业测评公司技术人员开展信息安全知识培训，进一步普及等保知识，提高信息系统使用单位各级责任人的安全意识和专业水平。

四是实行等保例会和通报制度（时间：每季一次）。

市等保小组成员单位要定期召开等保工作会议，分析总结当前工作开展情况及存在问题，特别是对上述工作开展进度情况定期在全市范围予以通报。

二、系统定级建议

根据信息系统定级标准结合其他县市经验做法，对信息系统的分类定级作如下建议，供各信息系统使用单位参考，定级标准可查阅《信息系统安全保护等级定级指南》(GB/T2240-2008)。

1．政府部委局办门户网站、镇（管理区）以上政府门户网站原则上定为二级；

2．党政机关重要业务应用系统原则上定为二级，特别重要的定为三级以上；

3．医院、水电气、金融系统以及其他涉及国计民生的重要信息系统原则上定为二级，特别重要的定为三级以上。

三、工作要求

一是提高认识，落实工作。“等保”是提高信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化建设健康发展的一项基本制度。各单位要充分认识开展“等保”工作的重要性、必要性，全面贯彻落实相关要求和部署，切实做好我市“等保”工作。

二是明确责任，密切配合。市等保小组各成员单位要加强协调配合，共同组织信息系统主管部门和运营、使用单位开展“等保”工作。各信息系统主管部门要积极配合等保小组工作，督促各项工作任务的贯彻落实。

篇9

移动互联网主要是指在互联网的基础上逐渐发展起来的新型技术。它主要包括了两个层面：一方面包含了互联网不受传统现实社会约束限制的个性，强调自由、平等的特性；另一方面在隐私性、攻击性等方面相比传统互联网具有更大的威胁。移动互联网的优势显著：其一，移动互联网的接入成本低，它可以凭借手机随时随地进行接入；其二，移动互联网对接入地点没有特殊要求，只要是有移动网络信号，就可以接入。移动互联网信息主要是指利用移动互联网，可以存取、访问的涉及到公共利益的信息。移动互联网公共信息安全具有几个特点：其一，保密性，主要是指信息不被未授权解析与使用的特性；其二，完整性，主要是指信息传播过程中，不会遭到任何篡改；其三，可用性，主要是指不论处于何种情况下，信息与信息系统都能在满足基本需求的基础上被使用；其四，真实性，主要是指信息系统在交互运行的过程中，信息的来源与信息的者是真实可靠的。

2制约移动互联网公共信息安全的因素

2.1移动互联网运行的全民性

移动互联网是在互联网的基础上产生的，而互联网自产生起就带有公开性、全民共享性。目前，这一趋势随着移动互联网的普及更加显著，但是随着全民广泛参与到移动互联网的应用中，这就导致移动互联网的控制权被分散。由于移动互联网使用者的利益、目标以及价值等方面都不尽相同，因此，对移动互联网资源的保护与管理也就容易产生分歧，促使移动互联网公共信息安全的问题变得更加广泛、复杂。

2.2移动互联网监管不严

我们对移动互联网公共信息安全管理的过程中，往往存在着界定不明晰、管理观念落后等问题。比如对移动互联网上频繁出现的不良信息的划分不明确，这就导致相关管理部门进行监管时，没有可以依据的规则，进而导致监管过度或不力。

2.3缺乏核心的移动互联网技术

我国的移动互联网处于起步阶段，缺乏自主性的网络和软件核心技术，这就导致我们在移动互联网运行过程中不得不接受发达国家制定的一系列管理规则与标准。此外，由于我们的移动互联网核心技术主要是源自他国，这就导致我国的移动互联网常常会处于被窃听、干扰以及欺诈等信息威胁的状态之下，造成我国的移动互联网公共信息安全管理系统极为脆弱。

2.4缺乏制度化的移动互联网保障机制

我国对移动互联网公共信息安全的管理并没有建立相应的安全管理保障制度，同时也没有建立有效地安全检查制度与安全保护制度。此外，我国现有的政策法规很难适应当今移动互联网公共信息发展的需要，移动互联网公共信息安全保护还存在着大量的立法空白。

3建立移动互联网公共信息安全保障机制的措施

3.1政府应充分发挥其职能

政府在移动互联网公共信息安全管理中，应占据主导地位，引导整个移动互联网公共信息安全向着健康方向发展。首先，政府应发挥应急事件指挥者的角色。政府对控制一般网络公共信息安全事件演变为危机事件肩负巨大责任，需要通过自身的能力使社会秩序尽快恢复正常。其次，政府应对移动互联网公共信息安全相关法律进行监管。政府应依据相关法律对移动互联网信息是否安全运行进行有效监管，同时应不断完善移动互联网公共信息安全中薄弱环节的法律法规制度。

3.2加强移动互联网公共信息安全法律建设

建立手机实名制法律。手机实名制对预防手机犯罪、净化手机信息具有至关重要的作用，实施手机实名制能够保障消费者的合法权益。在我国制定的《通信短信息服务管理办法》中对手机实名制就进行了明确规定，与此同时，若想让手机实名制充分发挥其作用，就必须加强公民隐私权益方面的建设。完善公共信息安全法律法规。首先，应重点建立信息安全的基本法，保障信息安全的各项问题有法可依；其次，可以在专门信息安全基本法出台之前，建立必要的、急需的单行法；最后，在建立信息安全法的时候，应尽量避免采用制定地方性法规和部门规章的方法代替制定全国性法律法规。

3.3组建统一的管理机构

建立统一的移动互联网管制机构时，应遵循三个原则。首先，管制机构建立的独立性原则。建立的管制机构不仅要独立于电信运营企业，同时还应该独立于任何行政部门，这样才能够保障管制机构办事的公正性。其次，管制机构建立的依法设立原则。在建立互联网公共信息安全管制机构时，应以《电信法》或专门管制机构法对所建立的管制机构的职责进行明确划分。最后，管制机构建立的融合性原则。管制机构应是一个综合性的管制机构，它所监管的范围应该包括整个信息通信领域。

3.4加强终端安全保障技术研发

（1）重视病毒防御。

当前的移动互联网终端基本上都是职能设备，采用的都是专门的移动操作系统，这些操作系统必须具备对常见的病毒、木马等的防范功能，同时也应不断降低应用软件系统可能出现的安全漏洞。

（2）实施软件签名。

软件签名的实现能够保障软件的完整性，从而避免用户的信息被篡改。此外，当应用程序发现信息被篡改后，能够及时向用户发出报警信息。

（3）采用软件防火墙。

在终端设备上应用软件防火墙，用户可以通过设置白名单与黑名单对设备上传入与传出的信息进行有效地控制，保障信息安全。

（4）采用加密存储。

用户对设备上的重要信息应在加密之后再将其存储到终端设备中，这样能够有效避免非法窃取现象的产生。与此同时，用户在加密与解密的时候，一定要快速的完成，以防信息被窃取。

（5）统一管理。

对安全设备应该进行统一管理，即在一个统一的界面中能够对全部的安全设备都进行相应的管理，并对网络中的实时信息进行及时反映，然后可以对得到的各种数据进行汇总、筛选、分析以及处理，从而提升终端对安全风险的反应能力，降低设备受到攻击的机率。

4结束语

篇10

一、引言

随着我国信息化建设的快速发展与广泛应用，信息安全的重要性愈发突出。在国家重视信息安全的大背景下，推出了信息安全等级保护制度。为统一管理规范和技术标准，公安部等四部委联合了《信息安全等级保护管理办法》（公通字【2007】43号）。随着等级保护工作的深入开展，原卫生部制定了《卫生行业信息安全等级保护工作的指导意见》（卫办发【2011】85号），进一步规范和指导了我国医疗卫生行业信息安全等级保护工作，并对三级甲等医院核心业务信息系统的安全等级作了要求，原则上不低于第三级。

从《关于信息安全等级保护工作的实施意见》中可知信息安全等级保护对象是国家秘密信息、法人和其他组织以及公民的专有信息和公开信息。对信息系统及其安全产品进行等级划分，并按等级对信息安全事件响应。

    二、医院信息安全等级保护工作实施步骤

2.1定级与备案。根据公安部信息安全等级保护评估中心编制的《信息安全等级保护政策培训教程》，有两个定级要素决定了信息系统的安全保护等级，一个是等级保护对象受到破坏时所侵害的客体，另外一个是对客体造成侵害的程度。表1是根据定级要素制订的信息系统等级保护级别。

    对于三级医院，门诊量与床位相对较多，影响范围较广，一旦信息系统遭到破坏，将会给患者造成生命财产损失，对社会秩序带来重大影响。因此，从影响范围和侵害程度来看，我们非常认同国家卫计委对三级甲等医院的核心业务信息系统安全等级的限制要求。

在完成定级报告编制工作后，填写备案表，并按属地化管理要求到市级公安机关办理备案手续，在取得备案回执后才算完成定级备案工作。我院已按照要求向我市公安局网安支队，同时也是我市信息安全等级保护工作领导小组办公室，提交了定级报告与备案表。

2.2安全建设与整改。在完成定级备案后，就要结合医院实际，分析信息安全现状，进行合理规划与整改。

2.2.1等保差距分析与风险评估。了解等级保护基本要求。《信息系统安全等级保护基本要求》分别从技术和管理两方面提出了基本要求。基本技术要求包括五个方面：物理安全、网络安全、主机安全、应用安全和数据安全，主要是由在信息系统中使用的网络安全产品（包括硬件和软件）及安全配置来实现；基本管理要求也包括五个方面：安全管理制度、安全管理机构、人员安全管理、系统建设管理和系统运维管理，主要是根据相关政策、制度以及规范流程等方面对人员活动进行约束控制，以期达到安全管理要求。

技术类安全要求按保护侧重点进一步划分为三类：业务信息安全类（S类）、系统服务安全类（A类)、通用安全保护类(G类)。如受条件限制，可以逐步完成三级等级保护，A类和S类有一类满足即可，但G类必须达到三级，最严格的G3S3A3控制项共计136条.医院可以结合自身建设情况，选择其中一个标准进行差距分析。

管理方面要求很严格，只有完成所有的154条控制项，达到管理G3的要求，才能完成三级等级保护要求。这需要我们逐条对照，发现医院安全管理中的不足与漏洞，找出与管理要求的差距。

对于有条件的三甲医院，可以先进行风险评估，通过分析信息系统的资产现状、安全脆弱性及潜在安全威胁，形成《风险评估报告》。

经过与三级基本要求对照，我院还存在一定差距。比如：在物理环境安全方面，我院机房虽有灭火器，但没安装气体灭火装置。当前的安全设备产品较少，不能很好的应对网络人侵。在运维管理方面，缺乏预警机制，无法提前判断系统潜在威胁等。

2.2.2建设整改方案。根据差距分析情况，结合医院信息系统安全实际需求和建设目标，着重于保证业务的连续性与数据隐私方面，满足于临床的实际需求，避免资金投入的浪费、起不到实际效果。

整改方案制订应遵循以下原则：安全技术和安全管理相结合，技术作保障，管理是更好的落实安全措施；从安全区 域边界、安全计算环境和安全通信网络进行三维防护，建立安全管理中心。方案设计完成后，应组织专家或经过第三方测评机构进行评审，以保证方案的可用性。

整改方案实施。实施过程中应注意技术与管理相结合，并根据实际情况适当调整安全措施，提高整体保护水平。

我院整改方案是先由医院内部自查，再邀请等级测评#司进行预测评，结合医院实际最终形成的方案。网络技术义员熟悉系统现状，易于发现潜在安全威胁，所以医院要先自查，对自身安全进行全面了解。等级测评公司派专业安全人员进驻医院，经过与医院技术人员沟通，利用安全工具进行测试，可以形成初步的整改报告，对我院安全整改具有指导意义。

2.3开展等级保护测评。下一步工作就是开展等级测评。在测评机构的选择上，首先要查看其是否具有“DICP”认证，有没有在当地公安部门进行备案，还可以到中国信息安全等级保护网站（网站地址：djbh.net)进行核实。测评周期一般为1至2月，其测评流程如下。

2.3.1测评准备阶段。医院与测评机构共同成立项目领导小组，制定工作任务与测评计划等前期准备工作。项目启动前，为防止医院信息泄露，还需要签订保密协议。项目启动后，测评机构要进行前期调研，主要是了解医院信息系统的拓扑结构、设备运行状况、信息系统应用情况及安全管理等情况，然后再选择相应的测评工具和文档。

在测评准备阶段，主要是做好组织机构建设工作，配合等级测评公司人员的调査工作。

2.3.2测评方案编制阶段。测评内容主要由测评对象与测评指标来确定。我院测评对象包含三级的医院信息系统、基础网络和二级的门户网站。测评机构要与医院沟通，制定工具测试方法与测评指导书，编制测评方案。在此阶段，主要工作由等级测评机构来完成。

2.3.3现场测评阶段。在经过实施准备后，测评机构要对上述控制项进行逐一测评，大约需要1至2周，需要信息科人员密切配合与注意。为保障医院业务正常开展，测评工作应尽量减少对业务工作的冲击。当需要占用服务器和网络资源时应避免业务高峰期，可以选择下班时间或晚上。为避免对现有业务造成影响，测评工具应在接人前进行测试，同时要做好应急预案准备，一旦影响医院业务，应立即启动应急预案、在对209条控制项进行测评后应进行结果确认，并将资料归还医院。

该阶段是从真实情况中了解信息系统全面具体的主要工作，也是技术人员比较辛苦的阶段。除了要密切配合测评，还不能影响医院业务开展，除非必要，不然安全测试工作必须在夜间进行。

2.3.4报告编制阶段。通过判定测评单项，测评机构对单项测评结果进行整理，逐项分析，最终得出整体测评报告。测评报告包含了医院信息安全存在的潜在威胁点、整改建议与最终测评结果。对于公安机关来讲，医院能否通过等级测评的主要标准就是测评结果。因此，测评报告的结果至关重要。测评结果分为：不符合、部分符合、全部符合。有的测评机构根据单项测评结果进行打分，最后给出总分，以分值来判定是否通过测评。为得到理想测评结果，需要医院落实安全整改方案。

2.4安全运维。我们必须清醒地认识到，实施安全等级保护是一项长期工作，它不仅要在信息化建设规划中考虑，还要在日常运维管理中重视，是不断循环的过程。按照等级保护制度要求，信息系统等级保护级别定为三级的三甲医院每年要自查一次，还要邀请测评机构进行测评并进行整改，监管部门每年要抽查一次。因此，医院要按照PDCA的循环工作机制，不断改进安全技术与管理上，完善安全措施，更好地保障医院信息系统持续稳定运行。―     

    三、结语