网络安全防护管理办法范文

导语：如何才能写好一篇网络安全防护管理办法，这就需要搜集整理更多的资料和文献，欢迎阅读由公务员之家整理的十篇范文，供你借鉴。

篇1

关键词：煤炭企业；网络信息安全；问题；对策

引言：当前煤炭企业对网络安全威胁很难开展有效的监测，无法实现主动防御，只能处于一种被动防护状态，这无疑将会给煤炭企业引入极大的网络安全风险。煤炭企业上到领导下到普通职员，均对网络信息安全问题抱有侥幸的心理，觉得一般不会出大的问题，从而缺少积极的防范措施，使得煤炭企业当前在应对实际的网络安全威胁时不能有效的进行监测和防护。

一、关于煤炭企业当前面临的网络信息安全问题的分析

（1）煤炭企业员工的网络信息安全意识比较淡薄

当前很多煤炭企业对自身所处的网络信息安全现状依然缺少正确、完整的认识，他们企业管理者觉得煤炭企业信息化的水平不高，接入互联网的终端和用户比较少，因此企业的网络信息安全问题并不会给煤炭企业造成一定的威胁。另外，煤炭企业的管理层缺少对企业网络信息安全的有效支持，使得实际投入到企业网络和信息安全建设中的资金远远达不到应有的要求。

（2）煤炭企业内部网络信息系统的防护能力比较薄弱

从目前看来，依然存在一些煤炭企业缺少复杂的网络信息系统部署结构，已有的设备性能和配置也比较落后。在实际的网络系统部署中缺少有效的安全防护技术和手段，不能有效监测到网络安全的威胁，只能一直处于被动防护的状态。由于煤炭企业内部大多使用的还是比较老旧的操作系统，这些旧的终端设备本身就存在着大量的系统漏洞，很容易遭到黑客的攻击。当各个系统或软件厂商在网上修补漏洞的补丁时，很多煤炭企业员工和用户由于对这些网络安全问题缺少正确的认识，无法意识到这些系统和软件漏洞会给煤炭企业本身带来的安全威胁，使得企业内部网络终端设备很难全部完成漏洞的修补。

（3）煤炭企业缺乏有效的网络安全防范体系

调查发现，当前很多煤炭企业的网络信息安全管理较为混乱，没有形成一套科学完整的网络安全防范体系和机制。煤炭企业虽然制定了一些有关于网络信息安全的管理制度和工作方法，但是依然缺乏有效的网络安全威胁监测和应对方法，对于已有的网络安全管理办法也很难严格的去执行，不能达到预期的网络安全防护效果。另外，对于煤炭企业员工本身缺少有效的约束管理办法，大多数时候只能依靠員工本身的自律能力，没能从企业网络安全管理制度和办法上建立起一种行之有效的防范措施。

二、煤炭企业防范网络信息安全的对策

（1）加强企业内部网络信息安全管理

煤炭企业要想提高企业本身的网络安全防护能力，首先必须改变企业当前固有的网络安全管理方法，各个部门都需要制定出适合自己部门业务系统的网络安全防护管理机制和体系。煤炭企业必须加强企业内部自身的管理，为企业制定一套完整的网络安全审计体系，能够及时的发现潜在的安全威胁，并有效的追踪到问题责任人。煤炭企业的网络安全防护能力的强弱还需要根据企业员工网络安全意识的强弱来判断，因此在煤炭企业实际的运营当中，必须加大对企业网络安全技术培训和教育的投入。在煤炭企业中，网络信息安全相关知识的培训、教育以及宣传非常重要，尤其要加强企业员工对网络安全意识的培养，认识到网络安全对企业发展的重要性。要想让煤炭企业能够具备足够的网络安全知识和应急响应能力，就必须对企业员工开展定期的网络安全知识培训，从而不断维持煤炭企业较高的网络信息安全水平。

（2）引入先进的安全防护技术

除了刚刚提到的煤炭企业要加强企业内部网络信息安全管理之外，最为重要的就是煤炭企业必须要引入先进的网络安全防护技术。如果企业没有这些先进的安全防护技术，那么煤炭企业的网络信息安全管理做的再好也没有用，因为攻击者将能够直接不费吹之力拿下企业的整个网络系统，令企业面临巨大的经济或声誉损失。当前随着攻击者的攻击手段不断提高，网络安全防护技术也在不断地取得发展，因此煤炭企业必须要选择先进的安全防护技术来保护企业系统免受侵害。

首先，煤炭企业必须要给企业内部所有的办公终端安装网络版的防病毒软件，如此一来煤炭企业便可以实现对企业办公终端的集中式管理，使得企业的系统管理员能够及时的了解到当前网络环境中每个节点的网络安全状态，从而可以实现对企业办公终端的有效监管。此外，煤炭企业必须要在系统网络之间部署防火墙，避免攻击者通过非法的技术手段访问企业内部网络，从而有效保护企业内部网络的安全。防火墙技术能够实现煤炭企业内部网络和外部网络的有效隔离，所有来自煤炭企业外部网络的访问都需要经过防火墙的检查，从而提高企业内部网络的安全性。除此之外，煤炭企业还必须引入数据加密技术，来有效提高企业内部系统和数据的保密性，避免企业内部的机密数据被攻击者窃取或遭内部员工的泄露。机密数据在发送之前会被发送者使用密钥进行加密处理得到密文，然后密文会通过传输介质传送给接收者，接收者在拿到密文之后，需要利用密钥对密文进行解密处理得到原始的机密数据。这样一来便保证了数据信息的机密性，从而避免机密数据被黑客窃取给煤炭企业带来经济损失。

篇2

一、高校校园网络存在的问题

1.信息安全危机四伏

目前校园网络处于内忧外患的境地。从外部环境来看，信息网络安全总体情况不太乐观，互联网地下经济促使病毒泛滥，病毒变种迅速得难以控制，多种技术配合进行攻击欺骗，移动介质蠕虫传染后下载木马程序频繁；从内部环境来看，安全意识薄弱使得网络攻击更加猖獗，学校学生或扮演黑客角色或感染病毒发展僵尸网络。网络在学校里被用得很充分，特别是一些新的应用，更是在校园网中层出不穷。

2.网络信息安全意识淡薄

在网络技术普及以后,网络安全受到的威胁系数增大。由于师生安全意识薄弱，对安全、技术一无所知的人比比皆是。这种状况直接构成了高校网络安全的隐患。有些校园网络用户从未安装杀毒软件，或者装后就没有再升级，往往在机器中毒后才急忙找对策。还有不少校园网用户，对于账号或是邮件密码的设定不重视，黑客要入侵计算机、破译不费吹灰之力。正是由于校园用户群体对网络安全不够重视, 因而不能充分认识到网络安全遭到威胁后所带来的严重后果。

3.网络安全防护系统不完善, 保护措施不力

很多高校对计算机网络建设普遍存在重技术、轻安全、轻管理的问题，对网络安全所需的软件、硬件设施上投入严重不足。并且很多高校没有专门的管理机构, 没有定期对师生进行安全防护教育的管理部门, 安全防护职责不明确,一遇到问题就互相埋怨, 推脱责任。另外，由于办学经费紧张不能持续投入大量资金改善网络安全的软、硬件设施，也使得加强高校网络安全的措施无法到位。

二、高校校园网网络安全体系的构建

1.配置安全的系统服务器平台

安全的系统服务器是网络安全的基点，利用系统本地安全策略构建一个相对安全的防护林，对于校园网来说至关重要。具体措施包括：设置禁用，构建第一道防线；设置IIS，构建第二道防线；运用扫描程序，堵住安全漏洞；封锁端口，全面构建防线。

2.技术保证

目前，网络安全的技术主要包括杀毒软件、防火墙技术、身份验证、存取控制、数据的完整性控制和安全协议等内容。技术保证包括以下一些技术措施。

（1）防火墙是校园网信息安全保障的核心点，它负责校园网中最根本的信息服务系统的安全。通过部署防火墙，实施严格的数据流监控，同时在防火墙和服务系统上做较为详细的日志记录，为安全事件的事后取证工作提供依据。

（2）访问控制是网络安全防范和保护的最主要措施之一，其主要任务是保证网络资源不被非法使用和非法访问。用户的入网访问控制采用用户口令的识别与验证，以保证其唯一性。当用户进入网络后，网络系统就赋予其一定的访问权限，用户只能在其权限内进行操作。

3.网络安全管理规范

（1）建立并严格执行规章制度。高校网络安全防护方面发生问题都与管理者水平、管理制度是否完善有着极大的关系, 因此必须提高管理者的管理水平, 建立和完善管理体制, 不断创造新的管理办法, 做到严格按照安全管理制度进行规范操作, 以防信息被破坏甚至丢失。

（2）应急响应。在发现新病毒或因系统安全漏洞威胁网络安全时，安全网络要及时向用户发出安全通告，并提供各种补丁程序以便下载。另外，还要做好计算机系统、网络、应用软件及各种资料数据的备份，并建立备份数据库系统。

4.用户教育

学校要加强网络安全管理意识，强化网络道德、网络心理、网络安全和法制教育，在师生的思想上、心理上安装防火墙，抵御来自校园网外部的攻击；要使广大师生员工都能意识到维护校园网络安全的重要性和紧迫感，并且自觉遵守有关网络安全的法律法规，从而自觉地维护校园网络安全；要安排师生参加安全技术培训，提高遵守相关安全制度的自觉性，增强整体安全防范能力。

三、结语

校园网络是学校的重要基础设施之一，其安全防范体系是一个动态的、不断发展的综合运行机制。我们必须全方位考虑各种不安全因素，制订合理的技术方案和管理制度，以保证校园网络高效可靠的运行。

参考文献：

[1]吴国新，吉逸.计算机网络[M].北京：高等教育出版社,2008.

[2]乔正洪，葛武滇.计算机网络技术与应用[M].北京：清华大学出版社，2008.

篇3

【关键词】电力二次自动化系统；安全防护；设计

1 引言

电力企业作为提供生产和生活能源的单位，其对对国民经济的可持续发展和人民生活水平的提高具有十分重要的意义。随着我国社会主义现代化经济的快速发展，全国各地对电力的需求量变得越来越大，社会对电力的依赖程度越来越高。因此，如何保障电力供应的安全问题就成为我国社会广泛关注的问题，对电力二次系统安全问题也提出了更高的要求。

2 电力二次自动化系统安全防护的概述

近年来，由于我国电网规模的迅速扩张，二次系统安全防护工作也加快了进度，电力企业的二次系统更加依赖于计算机技术和网络。随着电网二次自动化系统的实施，逐步实现了地和县的调动，500KV和220KV变电站的生产控制区业务系统都接入了调动数据网和相应调度数据网边界的安全防护。2011年某水电站无故全厂停机造成电网瞬间缺电80万仟瓦引起电网大面积停电。其根源估计是厂内MIS系统与电站的控制系统无任何防护措施的互连，引起有意或无意的控制操作导致停机。此次事件说明随着系统运用的普遍，电网规模的扩张使得二次自动化系统的规模越来越大，这就意味着二次系统安全风险的提高，需要进一步完善相关的管理办法。细化电力二次自动化，可将其划分为管理信息大区和生产控制大区。而管理信息大区和生产控制大区又可分为许多小区，各区之间相互联系、相互促进。

3 电力二次自动化系统存在的主要安全问题

由于电力信息系统会划分成多个子系统，并且要将其与计算机网络系统相挂钩。由于数据库的资源共享，病毒的传播渠道就增加，传播更迅速、范围更广。病毒甚至可以从内部局域网传播到网内的任何一台计算机上，并大力破坏子系统，致使其瘫痪，严重影响了自动化系统的正常运营和工作效率。除此之外，电力二次自动化系统还存在以下几个问题：首先，管理区和生产区之间数据会相互交叉；其次，没有完善和统一的认证机制，对病毒的入侵也没有检测预警机制；然后，缺乏漏洞扫描和审计手段，其接入存在安全隐患；最后，病毒代码更新速度慢，对病毒代码的防治不到位。电力二次系统主要安全风险如表1所示；

4 电力二次自动化系统安全防护的主要目标

电力二次自动化系统主要指的是各级电力监控系统、电厂管理信息系统、调度数据网络（SPDnet）和各级电网管理信息系统（MIS）、电力通信系统以及电力数据通信网络（SPTnet）等共同构成的十分复杂而庞大系统。目前，我国的电力企业二次系统对于网络的依赖程度已经变得越来越高度非常高，同外部边界网络的联系十分紧密，通过实际情况的研究发现，我国电力网络安全面临的最大安全隐患不是来自控制系统本身，而是来自和控制系统相连的外部网络。现在我国网络的主要威胁包括网络黑客攻击和计算机蠕虫病毒等，电力二次自动化系统安全防护工作的重点应该是通过各种方式抵御黑客和病毒对系统发钱的恶意攻击和破坏，从而保护电网抵御集团式攻击，对电厂监控系统与调度数据的网络安全进行保护，防止电力系统因其攻击而发生故障问题。

安全防护要做到的目标包括，第一，要防止由于外部边界遭受攻击和侵入引起的一次系统故障和二次系统崩溃；第二，要防止那些未经授权用户访问系统，同时防止侵入非法获取信息和重大的非法操作；第三，电力二次自动系统安全防护要保证网络专用，增加各分区边界横向安全物理隔离设备，纵向逻辑隔离设备和数据的加密；第四，电力公司要加强对内部人员的工作行为和工作职责的规范，对电力公司调度中心的整体安全管理水平进行提高。

5 电力二次自动化系统安全防护设计

二次自动化系统的安全防护主要包括两个方面：一方面是对硬件配置的防护，要实现外网的入侵检测、内外网的有效隔离；另一方面是对系统软件的设计中的防护，对二次自动化系统软件在设计时就要满足安全防护的需要，要求在面对外网入侵事件时，主系统不会遭到入侵者的破坏，保证入侵者无法截获实时系统的信息。鉴于对软件的安全性高要求，必须要设置严格的多级权限管理，才能保证软件设计和操作的安全。

5.1 电力二次自动化系统防护的网络平台安全性设计

一个系统的实时运行离不开网络平台，网络平台的应用支撑着系统各节点的程序安全运行和实时数据分流等功能，网络平台的性能优劣直接影响到系统运行是否可靠。很多实时监控系统的网络平台都是由各个厂家自主研发的，一般都是基于多种通用的网络协议，如TCP/IP等研发而成，这种设计对安全性的考虑还远远不够。因此，为加强电力网络平台的安全性要保证软件具有以下几种功能：首先，软件虽然应用通用网络协议，但是要将节点的IP地址、MAC地址与CPU标示号进行充分利用绑定，对网管软件做预先定置，对只经过配置的节点才允许运行网络平台程序；其次，要预先定制远程拨号节点，只有预先设定的才允许进人实时监控系统；第三，在网络平台数据流要采用多种方式，提高安全可靠性，避免数据丢失。

5.2 电力二次自动化系统防护的权限控制设计

电力二次自动化安全防护系统设计时必须要对权限进行控制，要对能够访问的权限内容进行设置，可如图1所示电力二次系统安全防护总体框架可通过这样的循环管理模式来加强其内部的安全性和可靠性。例如，数据库访问、参数设计和web浏览等。

不同的系统节点和工作组、进程权限等要根据实际情况进行设置，从而增加多重保护措施，反正非法用户入侵等。

6 结束语

综上所述，电力二次自动化系统安全防护工作是一个系统的工程，只有保证电力二次系统不受非法用户的入侵，高效的维护电力系统安全，才能保证的电力企业安全健康的运行与发展，从而满足我国社会生产和生活对电力的需求。

参考文献：

[1]李苗.关于电力二次自动化系统安全防护设计的相关探讨[J].中国电业（技术版），2012（3）.

篇4

本文重点在结合信息安全等级的要求与IDS本身结构的优缺点，对信息安全策略进行分析，构建满足五级信息安全保护能力的入侵检测系统。

关键词：入侵检测，信息安全

1.信息安全等级

信息安全等级保护是我国信息安全保障工作的纲领性文件（《国家信息化领导小组关于加强信息安全保障工作的意见》）（中办发[2003]27号）提出的重要工作任务[1]，其基本原理是，不同的信息系统有不同的重要性，在决定信息安全保护措施时，必须综合平衡安全成本和风险。

2007年6月，公安部的《信息安全等级保护管理办法》规定，根据信息系统在国家安全、经济建设、社会生活中的重要程度，其遭受破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等，其安全等级由低到高划分为五级，其等级划分原则如表1.1所示：

表1.1 安全等级划分原则

不同安全等级的信息系统应该具备相应的基本安全保护能力，其中第四级安全保护能力是应能够在统一安全策略下防护系统免受来自国家级别的、敌对组织的、拥有丰富资源的威胁源发起的恶意攻击，严重的自然灾害，以及其他相当维护程度的威胁所造成的资源损害，能够发现安全漏洞和安全相关事件，在系统遭到损害后，能够迅速恢复所有功能；第五级安全保护能力是在第四级安全的安全保护能力的基础上，由访问控制监视器实行访问验证，采用形式化技术验证相应的安全保护能力确实得到实现。

2.IDS主要功能

入侵检测：通过对行为、安全日志、审计数据或其他网络上可以获得的信息进行操作，检测到对系统的闯入或者闯入的企图[2]。（国标GB/T 18336）

入侵检测系统的主要功能：

检测并分析用户和系统的活动，查找非法用户和合法用户的越权操作；检查系统配置和漏洞，并提示管理员修补漏洞。（由安全扫描系统完成）、评估系统关键资源和数据文件的完整性；识别已知的攻击行为；统计分析异常行为；操作系统日志管理，并识别违反安全策略的用户活动等；

成功的入侵检测系统，应该达到的效果：可以使系统管理员时刻了解网络系统（软件和硬件）的任何变更，能给网络安全策略的制定提供依据；管理配置简单，使非专业人员非常容易地获得网络安全。入侵检测的规模还应根据网络规模、系统构造和安全需求的改变而改变。入侵检测系统在发现入侵后，能及时作出响应，包括切断网络连接、记录事件和报警等。

图2.1入侵检测系统结构图

3.IDS类别

由于IDS的模型多样化，IDS的类别也表现出较为复杂的情况，但是当前通常将入侵检测按照分析方法和数据来源来进行分类[3]。

3.1按照分析方法（检测方法）

异常检测模型（Anomaly Detection）：首先总结正常操作应该具有的特征（用户轮廓），当用户活动与正常行为有重大偏离时即被认为是入侵。

误用检测模型（MisuseDetection）：收集非正常操作的行为特征，建立相关的特征库，当监测的用户或系统行为与库中的记录相匹配时，系统就认为这种行为是入侵。

3.2按照数据来源

基于主机的IDS：系统获取数据的依据是系统运行所在的主机，保护的目标也是系统运行所在的主机；检测的目标主要是主机系统和系统本地用户。检测原理是根据主机的审计数据和系统的日志发现可疑事件，检测系统可以运行在被检测的主机或单独的主机上。

图3.1基于主机的IDS结构图

基于网络的IDS：系统获取的数据是网络传输的数据包，保护的是网络的运行；根据网络流量、协议分析、单台或多台主机的审计数据检测入侵。

图3.2 基于网络的IDS结构图

探测器由过滤器、网络接口引擎器以及过滤规则决策器构成，探测器的功能是按一定的规则从网络上获取与安全事件相关的数据包，传递给分析引擎器进行安全分析判断[4]。

分析引擎器将从探测器上接收到的包并结合网络安全数据库进行分析，把分析的结果传递给配置构造器。

配置构造器按分析引擎器的结果构造出探测器所需要的配置规则。

分布式IDS：

传统的集中式IDS的基本模型是在网络的不同网段放置多个探测器收集当前网络状态的信息，然后将这些信息传送到中央控制台进行处理分析。

分布式结构采用了本地主体处理本地事件，中央主体负责整体分析的模式。

3.3 IDS的局限性

对于大规模的分布式攻击，中央控制台的负荷将会超过其处理极限，这种情况会造成大量信息处理的遗漏，导致漏警率的增高[5]。

多个探测器收集到的数据在网络上的传输会在一定程度上增加网络负担，导致网络系统性能的降低[6]。

由于网络传输的时延问题，中央控制台处理的网络数据包中所包含的信息只反映了探测器接收到它时网络的状态，不能实时反映当前网络状态[7]。

4.五级安全防护能力IDS构建

根据公安部《信息安全等级保护管理办法》，五级安全防护能力需要具备四级安全防护的漏洞发现和入侵检测能力，同时需要由访问控制监视器实现对访问的及时验证，保证杜绝未授权用户的非法访问。

与此同时，如何解决因为网络时延而导致的数据分析的延后，以及解决探测器在网络传输中造成的网络负担，提高网络系统性能的同时保证中央控制台的高效运转，是当前IDS需要重点研究的问题。

当前IDS的结构中入侵检测和数据安全审计是两个不同的模块，入侵检测系统将检测数据提交给安全审计模块，对入侵行为的确认是由安全审计模块进行的[8]。因此在成本可接受的范围内，如果将审计模块和检测模块结合，并且将分布式IDS的每一个检测终端都由一个独立处理单元来进行基本的检测，只将较为复杂的数据提交给中央控制台，这样即减轻了网络传输的压力，也有利于中央控制台更加高效运转。将每一个独立处理单元命名为一个agent，每个agent的结构如下图所示：

5.结束语

本文介绍了信息安全等级的分类依据，在对IDS系统的类别和局限性进行分析的基础上，对满足五级信息安全防护能力的入侵检测系统进行了基本构建，探讨通过对分布式IDS终端处理单元的结构和防范策略进行调整，研究对IDS存在主要问题的处理策略。

参考文献

[1] 高永强，罗世泽.网络安全技术与应用大典[M].北京：人民邮电出版社，2003：15-16.

[2] 盛思源，战守义，石耀斌.基于数据挖掘的入侵检测系统[J].计算机工程，2003，28（3）.

[3] 胡振昌.网络入侵检测原理与技术[M].北京：北京理工大学出版社，2006

[4] 唐正军，李建华.入侵检测技术[M].北京：清华大学出版，2004.

[5] 程伯良，周洪波，钟林辉.基于异常与误用的入侵检测系统[J].计算机工程与设计.2007，28（14）

[6] 胥小波，蒋琴琴.基于混沌粒子群的IDS告警聚类算法[J].通信学报.2013，34（3）

篇5

关键词：工业控制系统；信息安全防护技术；问题；策略

1研究工业控制系统信息安全防护技术的重要性

工业控制系统是信息化与工业化的有效融合形成的。目前自动化、计算机及互联网技术的影响下，逐步形成了管理与控制的一体化，增加了工业控制系统的开放性，扩大了运行的范围，因此，需要信息安全防护体系来做好保障。当前，很多工业性的基础设施的控制系统缺乏防护性的措施和保障，工业控制系统的信息安全问题日益突出，互联网在遭受病毒攻击的时候影响大、范围广，造成的损失不可估量。要防止此类问题的频发，就要建立安全防护体系，满足现代工业控制系统的发展要求。做好工业控制系统的信息安全的防护技术工作，树立安全屏障。

2工业控制系统中信息安全防护技术中存在的问题

工业控制系统中信息安全的防护技术刻不容缓，涉及众多领域和重点工程，目前的工业控制系统仍然存在一些信息安全的风险性问题，主要有以下3个方面。（1）针对工业控制系统及其关键基础设施的攻击增多。工业控制系统虽然都会有一定的安全防护体系，但是互联网中病毒的种类较多，且危害性大，病毒在攻击的时候，能够以惊人的方式增加并且导致系统迅速地瘫痪，增加了工业控制系统的风险性，传统的病毒攻击是漫无目的的，但是针对工业控制系统及其关键基础设施的攻击，是具有特定目标的，旨在获取系统中的敏感信息，或者让设施瘫痪导致无法运行。（2）工业控制系统产业生态的良性发展的产业链有待完善。工业控制系统还是采用传统的管理办法，在新技术和新设备的应用之后，随着技术的不断发展，大数据的应用，需要建立更加完善的产业生态系统，才能保证工业控制系统的良性运行，也是后期需解决的问题。（3）工业控制系统和设备存在一些高危安全漏洞。工业控制系统和设备大量暴露在互联网上，也已成为各国工业信息安全的重要威胁和软肋。在互联网上工业控制系统数量增幅尤其明显，增速超过了全球平均水平，工业互联网的发展具有新安全挑战，包括工业互联网平台的安全、工业互联网设备和控制层面的安全、工业大数据安全、工业互联网网络层面的安全等。安全服务能力亟待提升，安全服务市场占有率较低。

3工业控制系统中信息安全防护技术的有效策略

工业控制系统中信息安全存在诸多风险，必须要快速地建立和完善安全防护技术，同时要基于安全需求原则，先进成熟技术原则、分级保护原则、纵深防御原则、动态调整原则来进行构建，提高工业控制系统的安全技术防护能力、管理能力、安全运维的能力，保障工业信息安全，针对上文中提出的各项风险性问题，必须予以针对性的解决，主要有以下几个方面的策略。（1）加强工业控制系统及其关键基础设施的安全风险评估。加强工业控制系统及其关键基础设施的安全风险评估是确保工业控制系统信息安全的前提。识别危害是安全风险评估的重要组成部分，安全风险评估能够为企业提供详细的数据基础，评估在不同环境、不同条件、不同时期的安全的危险性，并确定危害的程度，从而做出与之相匹配的防护措施。督促相关企业建立信息安全防护体系，落实信息安全防护技术和管理措施。安全评估设施包括防火墙，防病毒系统等各种新型的技术，对工业控制系统的安全策略配置和管理进行有效的前提预测和评估，检测目前的信息安全的防护措施是否到位，从而降低系统被侵袭的风险，在遇到病毒攻击的时候，能够迅速地做出反应，保证数据信息的安全，实现防护举措。（2）注重网络安全防护的技术性操作。在网络安全防护中，注重技术性的操作和方法，网络设备要有足够的空间和余地进行大规模的数据操作和分析处理，尤其是在业务高峰期阶段，实现顺利衔接和调整，注重终端与服务器之间的衔接，实现路由控制的安全的访问路径，注重边界访问，访问要在合理的控制之下，实现网络接入，对于那些不明的用户访问要快速地拦截，并迅速定位和查找，建立报警系统，发生严重的入侵事件能够快速地回应。（3）注重应用安全和数据安全。应用安全防护中，提供访问控制的功能，配置访问的控制策略，依据访问控制的程序运行进行登记，设置访问权限，严格控制操作，保护应用的安全运行。数据安全的防护中，要注重数据的完整性、保密性、备份和恢复等，在数据传输的过程中，有贯穿全过程的监管系统，检测数据是否成功传输，是否受到损坏等，发生错误时能够及时地保存数据，在日常的工作中，注重每天备份数据的习惯，保证工业控制系统的数据的完整保护。（4）健全安全风险管理体系。健全安全风险的管理体系，是确保工业控制系统顺利运行的有效保障。建立和完善安全管理制度，制定工业控制系统的安全保障制度和安全策略，明确系统内的安全工作的权责，完善体系就是要针对日常工作中出现的安全问题进行记录，并将普遍性的问题纳入到安全保障管理制度中，督促人员遵守，使操作行为规范化，建立章程和操作流程，构建全面的管理制度和体系。设置安全管理的专门机构，明确各流程的负责人，以及工业控制系统总体运营的负责人，成立职能部门，并且制定相关的规范，通过量化各流程的安全系数，事故发生率，纳入到负责人的考核中，以此在增加负责人的重要安全意识，注重安全防范。（5）增强信息技术人员的安全防护素质。严格规范人员安全的管理，从其招聘、录用到入职都进行严格仔细的审查，对应的技术岗位要有专业的资格证书，关键岗位要注意系统运行的保密性，增加工作人员的保密意识，定期地对人员开展专业技能的培训和职业道德培训，尤其是要对工作人员的安全认知进行考核，按照规定执行，建立奖惩措施，以此来激励工作人员投入更多的热情在安全防护工作上。（6）完善系统建设和运维管理。完善系统建设的管理，在系统的设计和建设阶段，就要充分地考虑后期的安全防护措施，进行总体的规划，并且协调相关的专家人员，专业技术人员，一线的工作人员进行商讨。根据各方提供的资料意见进行整合，完善在设计和建设阶段的安全防护措施，并同相关部门进行协调，实现互联互通。做好系统的运维管理措施，在工业控制系统中，存在多个技术设备，系统运行，网络安全等方面的运营，需要专业的技术人员定期地对此开展维护工作，进行优化和升级，发现系统在运营过程中存在的问题，及时地修复，避免因为小问题的发生而导致了系统的事故发生，后期的维护也是保证系统稳定运行的有效保障。（7）搭建工业控制系统漏洞检测公共技术平台。要搭建公共技术平台记性检测，建立国家级工业控制系统的数字仿真测试环境，通过实验室测评、现场评估、渗透测试等方式，对工业控制系统进行脆弱性评估，建立系统的漏洞检测和管理的平台，建立漏洞检测的数据库，实现资源共享。（8）提高我国的自主创新能力，研发核心技术，替代国外产品。关键基础设施及其控制系统的信息技术还是依靠国外进口，因此必须加强高端的通用芯片，操作系统等技术的创新，给予国内企业大量的优惠政策和财政支持，研发信息技术装备，大型的SCADA等控制设备和系统，逐步替代国外产品，实现国内的首用。（9）提升安全服务能力，增加安全服务市场占有率。对于进一步做好工业信息安全工作，要继续对行业企业深入开展安全检查评估，要构建全国的工业信息安全态势感知网络，要推进国家应急资源库的建设，要健全风险共享和信息通报的体系，要完善安全共能力，要强化产学研用合作等。

篇6

一、前言

计算机网络迅速的发展，人类已经现实信息全球化。但因为计算机网络具有开放性、互连性、多样性等特点，造成网络容易受到攻击。具体的攻击有许多方面，不但有来自黑客的攻击，还有其他诸如计算机病毒等方式的攻击。所以，网络的安全措施就变得特别重要，唯有针对每种不同的攻击或威胁采取的不同方法，对网络信息的可靠性、安全性和保密性才能有保障。

不管是发达国家，还是发展中国家包括我国，黑客活动猖獗，他们无孔不入，给社会造成了巨大的危害。尽管我们正在广泛地应用所有复杂的软件技术，例如服务器、侵袭探嗅器、防火墙、通道控制机制来防止网络被人侵。但是，在各种文化和物质享受的同时，网络安全威胁日益严重，例如黑客的侵袭、数据窃贼、病毒者，更严重的系统内部的泄密都时刻要求我们确保网络上重要数据的安全性、网络信息的安全性。

二、网络主要安全隐患现状分析

20世纪60年代因特网发展起来了计算机网络应用技术，以因特网为代表的网络，现在己经发展成全球共享的信息网络资源，成为人们生活中不可缺少的一部分。网络不但改变了人们的生活、学习方式和生产，还对人们的思维方式产生了影响。网络系统的软件、硬件和系统中的数据受到保护被称为网络安全，不因为恶意的或者偶然的原因而遭受到更改、泄露、破坏，系统能连续可靠地正常运行，网络服务不中途断掉。网络上的信息安全是网络安全的本质。

从广义上来讲，一旦关系到网络上信息的完整性、可用性、真实性和保密性可控性的相关技术和理论都是网络安全的研究范畴。随着公司网络应用的不断增大，企业内部网遭到了病毒肆虐带来了一定的安全隐患，网络安全风险也变得越来越复杂和严重。原来的由单个计算机安全事故引起的损害有可能传播到其他主机和系统，引起大范围的损失和瘫痪，再加上对安全控制机制的缺乏和对网络安全政策及防护意识的认识，致使这些风险不断加深。网络面临的主要威胁主要来自以下面几方面：

(一)黑客的攻击

随着网络的发展黑客技术渐渐被越来越多的人发展和掌握，如今，世界上共有20多万个黑客网站，这些网站对一些攻击软件的使用和攻击方法以及系统的一些漏洞都有介绍，所以站点、系统遭受攻击的可能性变得越来越大。特别是现在针对网络犯罪特别有效的跟踪手段和反击还很缺乏，黑客攻击的隐蔽性变得更好，“杀伤力”强，是网络安全的主要威胁。

据报道，全世界每20秒就会发生一起黑客事件，仅美国自己每年为此遭到的经济损失就高达数百亿美元。2011年5月，我国被恶意篡改的网站数量为8513个，其中政府网站.gov.cn被篡改的数量就有826个；12年1到5月，全国有遭到“黑客”入侵的网站有5万多个。

(二)计算机病毒的入侵

在计算机的运行中，因为编程者在计算机程序中，插入了破坏计算机正常运行的数据、命令、程序，让计算机不能继续正常运行指的就是所谓的计算机病毒，给用户带来很大的影响。

计算机病毒具有以下特点：

(1)破坏性；

(2)潜伏性；

(3)传染性；

(4)可执行性；

(5)可处发现；

(6)针对性；

(7)隐蔽性。

计算机病毒在本质上表现为一种能够自我复制的指令和程序，它拥有很大的破坏性，严重的能够使计算机信息系统的崩溃。近年来，由于网络和计算机的普及，给计算机病毒了提供滋长的空间给计算机网络安全造成严重威胁。

(三)计算机操作系统的漏洞

因特网的开放性和共享性让网上信息安全存在一定的先天不足，因为其赖以生存的TCP/IP协议族，缺乏相应的安全机制，而且因特网最初的设计思想是此网不会因为局部发生故障而影响整体的信息传输，对安全问题基本没有考虑，所以它在服务质量、安全可靠、方便性和宽带等方面存在着不适应性。计算机操作系统可以被看成是一个复杂的软件程序，虽然研究人员与开发在设计时做到思维缜密，但随着时代的进步、技术的完善，都不可避免的存在那样或这样的漏洞。现在，I/O管理计算机操作系统中存在的最大的漏洞是，这种漏洞会成为黑客攻击的对象，对网络安全造成影响。

三、网络安全防护的主要应对技术措施

网络具有用户群庞大、网络行为突发性较高、访问方式多样的特点。网络安全问题需从网络规划阶段制定每种方案，且在实际运行中加强管理。为保障网络信息的安全和网络系统的正常运行，要从各个方面采取措施，因为攻击可能随时发生，系统有可能随时被攻破，所以对网络的安全采取防范措施是极其必要的。常用的防范措施有以下几种。

(一)硬件系统的安全防护

硬件的安全问题有两种：一种是设置安全，是一种物理安全。在设备上进行必要的设置(如交换机、服务器的密码等)，避免黑客获得硬件设备的远程控制权指的是安全设置安全。防止人为破坏或意外事件具体的物理设备指的是物理安全，例如交换机、机柜、线路、路由器、服务器等。机柜与机房的钥匙要妥善管理，不能让不相关人员进人机房，特别是网络中心机房，以免遭到人为的蓄意破坏。需要采取严格的安全管理措施，例如加载严格的访问列表、口令加密、对一些漏洞端口禁止访问等。

(二)防火墙技术措施

在网络访问中，有效拦截外部网络对内部网络的非法行为，可以有效保障计算机系统安全的互联网设备指的就是防火墙。防火墙在网络数据传输的过程中，起到了较好的保护作用，首先入侵者必须穿越防火墙的安全防线，才能接触目标计算机。用户能把防火墙配置成多种不同的保护级别，防火墙可以依据个人设定的信息来检测且决定网络通信是否被允许，同时，对网络的运行状态还可进行监控。防火墙技术的普及和应用，在很大程度上可以阻止黑客的入侵，给网络安全带来保障。系统固有的破坏工具和漏洞给黑客的攻击带来方便，造成安全隐患的一个重要因素是不完善的安全管理。当发现新的漏洞时，管理人员需认真分析危险程度，且立即采取补救措施。虽然对系统已经进行了维护，对软件进行了升级或更新，但因为防火墙和路由器的过滤规则太过复杂，系统有可能出现新的漏洞。所以，及时、有效地改变管理才可以很大程度的降低系统所承受的风险。

(三)漏洞的修补

一旦系统中存在漏洞，就会给计算机带来威胁，在许多上市的软件中，都存在着缺陷以及漏洞，利用这些软件漏洞，黑客入侵到用户的计算中去，对用户的正常使用计算机产生影响。所以，厂家应该时刻注意更新软件，软件相关补丁，需要下载安装360安全卫士等相关软件。用户需及时下载进行补丁安装来，修复软件漏洞。

(四)加强网络安全管理

加强网络安全管理，确保有一套完整的规章制度和管理体制，同时，对计算机安全管理制度的建设要加强。要实行岗位责任制与专人负责制。加强网络相关技术人员安全知识教育，对技术员和网络管理员的职业道德与专业操作能力要不断加强。对企业计算机网络的安全，各企业需要与相关技术人员签订保密协议，根据公司的规定，做好数据备份。人为因素对计算机网络安全有着重要的影响。所以，给相关人员做好安全知识教育，对加强网络安全更有利。鼓励相关人员持证上岗，对相关人员的教育培训机制加强，定期给有关人员进行继续培训和教育，培养他们良好的学习习惯，持续更新自己所拥有的知识，加强他们的知识储备，并强化实践学习。

四、结束语

计算机网络已成为人们生活娱乐、工作学习中的重要组成部分，人们的生活质量和工作效率与网络的安全问题有直接影响。所以，计算机网络的安全防护措施就显得特别重要，此文从计算机网络的几个方面出发：介绍了集中安全防护措施，建议用户对不同的应用目的和网络结构，使用不同的保障措施，来提高网络的稳定性与安全性。

此外，因为黑客攻击手段的变化与信息量的扩张，很难在长时间范围内确保计算机网络的安全。所以，我们需要让网络的硬件设备及时升级且提升防护策略技术，来形成持续的安全保障，让计算机网络安全稳定。

我国的网络发展迅猛，但网站安全建设却处于初级阶段，多数网站或多或少的存在着安全漏洞，很易遭到“黑客”攻击，并且一旦受到破坏，恢复起来比较困难，所以网络安全已经受到政府的高度重视。在《刑法》中明确规定了对非法人侵重要领域计算机信息系统行为将受到刑事处罚。公安部颁布了《计算机网络国际联网安全保护管理办法》。相信通过民族电脑事业的发展与政府的重视，加上技术人员认真负责的工作，智能化犯罪将会得到有效控制，国家信息安全一定会在现代电子技术的支撑下得到有效的保障。（来源：《消费电子》杂志 编选：）

篇7

[关键词]专用网络 信息安全 权限划分 集中管理

[中图分类号]C931.6 [文献标识码]B [文章编号]1672-5158（2013）06-0319-01

1、前言

伊犁河是一条跨境内陆河流，伊犁河建管局承担伊犁河流域内的水利、水电工程建设、管理、运营任务。在当前和平与发展的国际形势下，抓紧时间搞好伊犁河流域水利建设项目，是促进伊犁地区经济发展，保证国家安全和利益的大事。

伊犁河建管局自2001年开始在伊犁河进行水利工程建设，随着建设项目增多，组织机构健全，工作人员增加，管理工作呈现点多、线长、面广的特点，管理机构分布在乌鲁木齐市、伊宁市、伊宁县、巩留县、察布查尔县境内，建设过程中管理工作涉及到多方面的单位和人员，从而加大了建设管理的难度。在这种情况下，应用计算机信息网络技术建设伊犁河建管局专用信息网络（即：现有办公内网），是各项建设管理工作得以正常、高效开展的必备条件。

2、专用信息网络现状及存在的问题

2，1现状

伊犁河建管局专用信息网络于2006年明建成，由于专用信息网络是为全局运行管理服务的，全网独立运行，与互联网没有设置接口。目前，内网通讯系统、远控系统、水情系统、综合管理系统、办公系统、网站系统、邮件系统等业务应用均在此专用信息网中运行，其中部分系统处理、流转着信息和单位内部重要的工作信息，对这些信息和重要工作信息的保护措施是采用防火墙做逻辑隔离。

2.2 存在的问题

1）伊犁河建管局现有专用信息网络是一张非网络，在此网络上运行有信息，这是不符合BMB-16《涉及国家秘密的信息系统分保护管理办法》中规定的“不涉及国家秘密的信息系统不得处理国家秘密信息”；

2）伊犁河建管局现有专用信息网络的安全防护技术措施，不符合BMB-17《涉及国家秘密的信息系统分级保护技术要求》中规定的“信息系统与非信息系统之间，要求物理隔离；信息在远距离传送时，要求加密传送；信息系统中的信息应有相应的密级标识，所有信息通信时应安全可控等等”；

3）伊犁河建管局现有专用信息网络所涉及的用户面太广，如：内部人员、设计单位、监理单位、施工单位，这些用户都可以接人到现有网络并能访问内部网站，易造成信息和内部重要工作信息外泄的风险；

4）伊犁河建管局现有专用信息网络运行的应用系统，没有做分类分级的防护控制，内部用户也未做分类分级的角色划分，从而导致信息和内部重要工作信息所能接触到的人数众多，易造成信息和内部重要工作信息外泄的风险；

5）伊犁河建管局现有专用信息网络内部，没有统一身份认证和行为审计系统，在出现信息和内部重要工作信息外泄事件时，难以取证和追查；

6）伊犁河建管局现有专用信息网络内部，工作终端使用没有单一化，部分终端存在一机多用（即用于内网办公，又用于外网访问互联网），易造成内部信息外泄到互联网上。

伊犁河建管局现有专用信息网络，还存在一些其他的问题，在此就不——赘述了，针对上述存在的问题，局领导和信息管理者应该重视起来，拿出相应的解决办法，消除存在的问题，使此专用信息网络更好地服务于生产管理，更好地服务于信息保密工作。

3、解决方案

以国家相关标准和规范为依据，结合伊犁河建管局专用信息网络现状和实际工作需要，在综合分析的基础上给出如下解决方案，供局领导决策：

按照非网的方式对现有专用信息网络进行安全改造，使其具备一定等级的安全防护功能，其组网示意图如图1所示。通过本次安全改造，最终将实现专用信息网络上的网络接人安全、终端安全、信息安全，并通过本次安全改造，规范专用信息网络内用户的上网行为，增强专用信息网络内用户的安全防护意识及能力。

专用信息网络是一张相对独立的网络，这张网络不与任何网络（尤其是互联网）有着物理连接，将专用信息网络划分成三个安全区域，即服务器安全区域、安全管理安全区域、用户终端安全区域，三个区域之间安全级别由高到低，依次为：服务器安全区域、安全管理安全区域、用户终端安全区域。因专用信息网络上的信息还是有需要提供给外部网络使用，同时外部网络上有些信息还是有需要提供专用网络使用，这是实际需求，从安全的角度出发，将在每个用户终端安全区域部署1台中转机，实现图1所示的手动信息交换（可通过U盘、光盘等移动存储介质）。

终端安全管理是一个复杂的问题，通常一个组织中的终端地理位置分散，用户水平参差不齐，承载业务不同，安全需求各异，这就决定了终端安全建设的复杂性和多元性，要根据终端用户的接入位置、所属部门、业务需要等条件来选择和执行适当的安全管理策略，既不能搞一刀切，也不能对用户放任自流，缺乏控管。显然局部的、简单的、被动的防护不足以解决问题，要想解决终端安全问题，需要建立统一管理的终端安全整体防护系统，全面管理终端安全。终端安全管理还要符合安全等级保护的要求，根据不同的安全等级保护的要求制定切合实际的终端安全管理的制度，必须克服两种极端的错误认识：终端安全管理越严格越好；终端安全管理不好部署，容易得罪领导和同事，因此放任自流。

4、应用效果

伊犁河建管局信息系统实现以下效果：

1）对操作系统，非法用户“进不来”

系统通过在硬件USBKey中存储用户身份识别的唯一标识，对用户登录系统进行身份认证，使得系统登录与硬件Key紧密捆绑，实现了非法用户“进不来”系统。

2）对有效信息，非法用户“拿不走”

系统通过四级用户权限管理、自主和强制双重存取控制，以及存储设备安全管理，防止了越权操作、非法访问文件和一切移动存储设备如软盘、移动硬盘、优盘等的非法文件拷贝，实现了非法用户“拿不走”有效信息。

3）对有效信息，非法用户“看不懂”

系统通过加密存储数据和程序代码，防止了敏感明文信息的外泄，实现了非法用户“读不懂”有效信息。加、解密过程对用户透明，无须对现有的应用平台进行任何的改动；加、解密过程动态进行，保证了硬盘上任何时刻存放的敏感数据都是密文，即使是意外断电，也不会导致明文信息的外泄。

4）非法用户作案后“跑不了”

系统通过严密审计跟踪受控资源的使用情况，实现了非法用户只要作案，一定“跑不了”，便于追查责任事故。

5）被保护设备“不怕丢”

系统通过硬件Key保存用户身份识别标识、用户权限信息、文件密级信息以及加密密钥，使得你若没有Key是无法从终端设备获得有效信息的，实现了被保护设备“不怕丢”。

5、结束语

信息安全防护技术的实现是在现有专用信息网络上进行的，为了减少实施对现有应用的影响，采用分步骤分阶段的实施思路。应将专用信息网用户终端安全防护作为整个网络安全防护的重点，做好终端“堵漏、防毒、筑墙”工作，部署终端安全管理系统，配置可信终端。只有这样，才能从源头上、根本上保障专用信息网的信息安全。

参考文献

篇8

关键词：中小型企业；信息网络安全；网络安全架构

Abstract; network security problem to the small and medium-sized enterprise universal existence as the background, analyzes the main network security problems of small and medium enterprises, aiming at these problems, a small and medium enterprises to solve their own problems of network security are the road. And put forward the concept of the rate of return on investment, according to this concept, can be a preliminary estimate of the enterprise investment in network security.

Keywords: small and medium-sized enterprises; network security; network security architecture

中图分类号：TN915.08文献标识码：A文章编号：2095-2104（2013）

1、中小型企业网络安全问题的研究背景

随着企业信息化的推广和计算机网络的成熟和扩大，企业的发展越来越离不开网络，而伴随着企业对网络的依赖性与日俱增，企业网络的安全性问题越来越严重，大量的入侵、蠕虫、木马、后门、拒绝服务、垃圾邮件、系统漏洞、间谍软件等花样繁多的安全隐患开始一一呈现在企业面前。近些年来频繁出现在媒体报道中的网络安全案例无疑是为我们敲响了警钟，在信息网络越来越发达的今天，企业要发展就必须重视自身网络的安全问题。网络安全不仅关系到企业的发展，甚至关乎到了企业的存亡。

2 、中小型企业网络安全的主要问题

2.1什么是网络安全

网络安全的一个通用定义：网络安全是指网络系统中的软、硬件设施及其系统中的数据受到保护，不会由于偶然的或是恶意的原因而遭受到破坏、更改和泄露。系统能够连续、可靠地正常运行，网络服务不被中断。网络安全从本质上说就是网络上的信息安全。广义地说，凡是涉及网络上信息的保密性、完整性、可用性、真实性（抗抵赖性）和可控性的相关技术和理论，都是网络安全主要研究的领域。

2.2网络安全架构的基本功能

网络信息的保密性、完整性、可用性、真实性（抗抵赖性）和可控性又被称为网络安全目标，对于任何一个企业网络来讲，都应该实现这五个网络安全基本目标，这就需要企业的网络应用架构具备防御、监测、应急、恢复等基本功能。

2.3中小型企业的主要网络安全问题

中小型企业主要的网络安全问题主要体现在3个方面.

1、木马和病毒

计算机木马和病毒是最常见的一类安全问题。木马和病毒会严重破坏企业业务的连续性和有效性，某些木马和病毒甚至能在片刻之间感染整个办公场所从而导致企业业务彻底瘫痪。与此同时，公司员工也可能通过访问恶意网站、下载未知的资料或者打开含有病毒代码的电子邮件附件等方式，在不经意间将病毒和木马带入企业网络并进行传播，进而给企业造成巨大的经济损失。由此可见，网络安全系统必须能够在网络的每一点对蠕虫、病毒和间谍软件进行检测和防范。这里提到的每一点，包括网络的边界位置以及内部网络环境。

2、信息窃取

信息窃取是企业面临的一个重大问题，也可以说是企业最急需解决的问题。网络黑客通过入侵企业网络盗取企业信息和企业的客户信息而牟利。解决这一问题，仅仅靠在网络边缘位置加强防范还远远不够，因为黑客可能会伙同公司内部人员（如员工或承包商）一起作案。信息窃取会对中小型企业的发展造成严重影响，它不仅会破坏中小型企业赖以生存的企业商誉和客户关系。还会令企业陷入面临负面报道、政府罚金和法律诉讼等问题的困境。

3、业务有效性

计算机木马和病毒并不是威胁业务有效性的唯一因素。随着企业发展与网络越来越密不可分，网络开始以破坏公司网站和电子商务运行为威胁条件，对企业进行敲诈勒索。其中，以DoS(拒绝服务)攻击为代表的网络攻击占用企业网络的大量带宽，使其无法正常处理用户的服务请求。而这一现象的结果是灾难性的：数据和订单丢失，客户请求被拒绝……同时，当被攻击的消息公之于众后，企业的声誉也会随之受到影响。

3如何打造安全的中小型企业网络架构

通过对中小型企业网络存在的安全问题的分析，同时考虑到中小型企业资金有限的情况，我认为打造一个安全的中小型企业网络架构应遵循以下的过程：首先要建立企业自己的网络安全策略；其次根据企业现有网络环境对企业可能存在的网络隐患进行网络安全风险评估，确定企业需要保护的重点；最后选择合适的设备。

3.1建立网络安全策略

一个企业的网络绝不能简简单单的就定义为安全或者是不安全，每个企业在建立网络安全体系的第一步应该是定义安全策略，该策略不会去指导如何获得安全，而是将企业需要的应用清单罗列出来，再针对不同的信息级别给予安全等级定义。针对不同的信息安全级别和信息流的走向来给予不同的安全策略，企业需要制定合理的安全策略及安全方案来确保网络系统的机密性、完整性、可用性、可控性与可审查性。对关键数据的防护要采取包括“进不来、出不去、读不懂、改不了、走不脱”的五不原则。

“五不原则”：

1.“进不来”——可用性： 授权实体有权访问数据，让非法的用户不能够进入企业网。

2.“出不去”——可控性： 控制授权范围内的信息流向及操作方式，让企业网内的商业机密不被泄密。

3.“读不懂”——机密性： 信息不暴露给未授权实体或进程，让未被授权的人拿到信息也看不懂。

4.“改不了”——完整性： 保证数据不被未授权修改。

5.“走不脱”——可审查性：对出现的安全问题提供依据与手段。

在“五不原则”的基础上，再针对企业网络内的不同环节采取不同的策略。

3.2 信息安全等级划分

根据我国《信息安全等级保护管理办法》，我国所有的企业都必须对信息系统分等级实行安全保护，对等级保护工作的实施进行监督、管理。具体划分情况如下：

第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。

第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。

第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。

第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。

第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。

因此，中小型企业在构建企业信息网络安全架构之前，都应该根据《信息安全等级保护管理办法》，经由相关部门确定企业的信息安全等级，并依据界定的企业信息安全等级对企业可能存在的网络安全问题进行网络安全风险评估。

3.3 网络安全风险评估

根据国家信息安全保护管理办法,网络安全风险是指由于网络系统所存在的脆弱性，因人为或自然的威胁导致安全事件发生所造成的可能性影响。网络安全风险评估就是指依据有关信息安全技术和管理标准，对网络系统的保密性、完整想、可控性和可用性等安全属性进行科学评价的过程。

网络安全风险评估对企业的网络安全意义重大。首先，网络安全风险评估是网络安全的基础工作，它有利于网络安全的规划和设计以及明确网络安全的保障需求；另外，网络安全风险评估有利于网络的安全防护，使得企业能够对自己的网络做到突出防护重点，分级保护。

3.4确定企业需要保护的重点

针对不同的企业，其需要保护的网络设备和节点是不同的。但是企业信息网络中需要保护的重点在大体上是相同的，我认为主要包括以下几点：

1.要着重保护服务器、存储的安全，较轻保护单机安全。

企业的运作中，信息是灵魂，一般来说，大量有用的信息都保存在服务器或者存储设备上。在实际工作中，企业应该要求员工把相关的资料存储在企业服务器中。企业可以对服务器采取统一的安全策略，如果管理策略定义的好的话，在服务器上文件的安全性比单机上要高的多。所以在安全管理中，企业应该把管理的重心放到这些服务器中，要采用一切必要的措施，让员工把信息存储在文件服务器上。在投资上也应着重考虑企业服务器的防护。

2.边界防护是重点。

当然着重保护服务器、存储设备的安全并不是说整体的防护并不需要，相反的边界防护是网络防护的重点。网络边界是企业网络与其他网络的分界线，对网络边界进行安全防护，首先必须明确到底哪些网络边界需要防护，这可以通过网络安全风险评估来确定。网络边界是一个网络的重要组成部分，负责对网络流量进行最初及最后的过滤，对一些公共服务器区进行保护，VPN技术也是在网络边界设备建立和终结的，因此边界安全的有效部署对整网安全意义重大。

3.“”保护。

企业还要注意到，对于某些极其重要的部门，要将其划为，例如一些研发部门。类似的部门一旦发生网络安全事件，往往很难估量损失。在这些区域可以采用虚拟局域网技术或者干脆做到物理隔离。

4.终端计算机的防护。

最后作者还是要提到终端计算机的防护，虽然对比服务器、存储和边界防护，终端计算机的安全级别相对较低，但最基本的病毒防护，和策略审计是必不可少的。

3.5选择合适的网络安全设备

企业应该根据自身的需求和实际情况选择适合的网络安全设备，并不是越贵越好，或者是越先进越好。在这里作者重点介绍一下边界防护产品——防火墙的性能参数的实际应用。

作为网络安全重要的一环，防火墙是在任何整体网络安全建设中都是不能缺少的主角之一，并且几乎所有的网络安全公司都会推出自己品牌的防火墙。在防火墙的参数中，最常看到的是并发连接数、网络吞吐量两个指标.

并发连接数：是指防火墙或服务器对其业务信息流的处理能力，是防火墙能够同时处理的点对点连接的最大数目，它反映出防火墙设备对多个连接的访问控制能力和连接状态跟踪能力，这个参数的大小直接影响到防火墙所能支持的最大信息点数。由于计算机用户访问页面中有可能包含较多的其他页面的连接，按每个台计算机发生20个并发连接数计算（很多文章中提到一个经验数据是15，但这个数值在集中办公的地方往往会出现不足），假设企业中的计算机用户为500人，这个企业需要的防火墙的并发连接数是：20*500*3/4=7500，也就是说在其他指标符合的情况下，购买一台并发连接数在10000~15000之间的防火墙就已经足够了，如果再规范了终端用户的浏览限制，甚至可以更低。

网络吞吐量：是指在没有帧丢失的情况下，设备能够接受的最大速率。随着Internet的日益普及，内部网用户访问Internet的需求在不断增加，一些企业也需要对外提供诸如WWW页面浏览、FTP文件传输、DNS域名解析等服务，这些因素会导致网络流量的急剧增加，而防火墙作为内外网之间的唯一数据通道，如果吞吐量太小，就会成为网络瓶颈，给整个网络的传输效率带来负面影响。因此，考察防火墙的吞吐能力有助于企业更好的评价其性能表现。这也是测量防火墙性能的重要指标。

吞吐量的大小主要由防火墙内网卡，及程序算法的效率决定，尤其是程序算法，会使防火墙系统进行大量运算，通信量大打折扣。因此，大多数防火墙虽号称100M防火墙，由于其算法依靠软件实现，通信量远远没有达到100M,实际只有10M-20M。纯硬件防火墙，由于采用硬件进行运算，因此吞吐量可以达到线性90-95M,才是真正的100M防火墙。

从实际情况来看，中小型企业由于企业规模和人数的原因，一般选择百兆防火墙就已经足够了。

3.6投资回报率

在之前作者曾提到的中小企业的网络特点中资金少是最重要的一个问题。不论企业如何做安全策略以及划分保护重点，最终都要落实到一个实际问题上——企业网络安全的投资资金。这里就涉及到了一个名词——投资回报率。在网络安全的投资上，是看不到任何产出的，那么网络安全的投资回报率该如何计算呢?

首先，企业要确定公司内部员工在使用电子邮件和进行WEB浏览时，可能会违反公司网络行为规范的概率。可以将这个概率称为暴光值(exposure value (EV))。根据一些机构对中小企业做的调查报告可知，通常有25%—30%的员工会违反企业的使用策略，作者在此选择25%作为计算安全投资回报率的暴光值。那么，一个拥有100名员工的企业就有100x 25% = 25名违反者。

下一步，必需确定一个因素——当发现单一事件时将损失多少人民币。可以将它称为预期单一损失(single loss expectancy (SLE))。由于公司中的100个员工都有可能会违反公司的使用规定，因此，可以用这100个员工的平均小时工资作为每小时造成工作站停机的预期单一最小损失值。例如，作者在此可以用每小时10元人民币作为预期单一最小损失值。然后，企业需要确定在一周的工作时间之内，处理25名违规员工带来的影响需要花费多少时间。这个时间可以用每周总工作量40小时乘以暴光值25%可以得出为10小时。这样，就可以按下列公式来计算单一预期损失值：

25x ￥10 x 10/ h = ￥2500 (SLE)

最后，企业要确定这样的事情在一年中可能会发生多少次。可以叫它为预期年均损失(annualized loss expectancy (ALE))。这样的损失事件可能每一个星期都会发生，一年有52周，如果除去我国的春节和十一黄金周的两个假期，这意味着一个企业在一年中可能会发生50次这样的事件，可以将它称之为年发生率(annual rate of occurrence (ARO))。预期的年均损失(ALE)就等于年发生率(ARO)乘以预期单一损失(SLE)：

￥2500 x 50 = ￥125,000 (ALE)

这就是说，该公司在没有使用安全技术防范措施的情况下，内部员工的违规网络操作行为可能会给公司每年造成12.5万元人民币的损失。从这里就可以知道，如果公司只需要花费10000元人民币来实施一个具体的网络行为监控解决方案，就可能让企业每年减少12.5万元人民币的损失，这个安全防范方案当然是值得去做的。

当然，事实却并不是这么简单的。这是由于安全并不是某种安全技术就可以解决的，安全防范是一个持续过程，其中必然会牵扯到人力和管理成本等因素。而且，任何一种安全技术或安全解决方案并不能保证绝对的安全，因为这是不可能完成的任务。

就拿本例来说，实施这个网络行为监控方案之后，能够将企业内部员工的违规行为，也就是暴光值(EV)降低到2%就已经相当不错了。而这，需要在此安全防范方案实施一段时间之后，例如半年或一年，企业才可能知道实施此安全方案后的最终效果，也就是此次安全投资的具体投资回报率是多少。

有数据表明在国外，安全投入一般占企业基础投入的5%～20%，在国内一般很少超过2%，而网络安全事件不论在国内外都层出不穷，企业可能在安全方面投入了很多，但是仍然频频发生网络安全事故。很多企业的高层管理者对于这个问题都比较头疼。其实网络安全理论中著名的木桶理论，很好的解释了这种现象。企业在信息安全方面的预算不够进而导致了投资报酬不成比例，另外很多企业每年在安全产品上投入大量资金，但是却不关注内部人员的考察、安全产品有效性的审核等安全要素。缺乏系统的、科学的管理体系的支持，也是导致这种结果产生的原因。

篇9

关键词 电力调度 二次系统 安全防护 等级保护 信息安全保障

1 引言

近年来，通信和电力行业的软硬件技术都取得了快速发展，各级供电企业每年都会投入大量资源进行技术改造。由于县级电力调度自动化系统自身条件和业务的特殊性，二次系统信息安全保障方案需要根据其特点进行更加有针对性和可操作性的方案设计。为保障县级电力系统的安全、稳定、经济运行，根据相关国家法规和电力企业规定，本文结合工程实践提出切实可行的电力调度自动化系统二次系统信息安全保障方案，并介绍实施过程。

2 电力调度自动化系统信息安全风险分析

县级电力调度自动化系统结构较为简单，它的二次系统业务系统较少，一般包含电力调度自动化系统、电力调度数据网络、相连厂站端的RTU（或综合自动化后台）等。SCADA系统业务运行必须获取变电站RTU发送的实时数据，对电力调度数据网络的信息安全保障要求较高。

与省调、地调相比，县级调度无论电网规模和管辖范围都小得多。县级电网中变电站往往分布在各乡镇，距离调度中心存在较远的距离，厂站设备涉及厂家众多，其中不少还比较陈旧。同时县级电网公司缺乏调度自动化专业技术人员。相比省调和地调，县级调度在设计电力调度自动化系统二次系统信息安全保障方案需要关注这些特殊情况造成的相应信息安全风险。

根据对电力调度自动化系统的危害程度从高到低，我们分析它面临的信息安全风险主要有以下几类：

（1）旁路控制

对电力调度自动化系统的危害程度最高的是旁路控制（By-Pass Control 简称BPC）。在二次系统遭遇BPC 危害时，可能被控对电力调度自动化系统内的一个或多个变电站传送非法控制指令，导致电力系统事故或瓦解。

（2）系统信息完整性破坏

在二次系统内非授权修改电力调度系统配置、程序或敏感数据，可能导致电力系统事故或瓦解。这种风险可能来自外部人员有意破坏，也可能是内部工作人员无意误操作。

（3）违反授权

在管理中未能严格制度和操作规程，操作员利用授权身份或设备进行非授权操作，也许不会立即造成系统事故，但会留下巨大的安全隐患。

（4）工作人员的随意行为

电力调度自动化系统中的各个子系统和软硬件设备都设置有严格的操作授权和授权口令（或认证卡）。在日常工作中一些工作人员为了便于记忆，共用授权口令、使用弱口令、允许他人使用自己授权口令等行为。也包括系统管理员未能正确配置访问控制规则等操作失误。

3 信息安全保障方案设计

3.1 按照4级安全防护等级设计电力调度自动化系统二次系统

（1）对用户登录系统功能界面采用授权口令或安全密钥进行身份验证。在工程实践中，我们发现目前最安全的本地登录身份验证系统为人脸识别系统。

（2）在SCADA 系统与Web服务器之间安装电力专用单向安全隔离网闸，隔离生产大区与管理大区间的数据通信。在Web服务器与OA网络边界安装硬件防火墙。

（3）安装电力专用纵向加密认证装置对同属生产大区内的远程数据通信进行纵向安全认证，具有远控功能的SCADA系统应当逐步改造支持电力纵向数字证书实现加密认证。

（4）对设备机房要采取防火、二次防雷等技术手段，使用电磁屏蔽机柜、电磁屏蔽机房等进行电磁防护。

3.2 系统内各功能主机安全加固

在县级电力调度自动化系统二次系统中的各功能主机普遍采用通用型操作系统，为保障系统稳定性、安全性必须进行主机加固。安全加固必须由有经验的系统管理员通过人工的方式进行的，加固操作前应该做好充分的风险规避和跟踪记录，以确保系统的可用性。加固的内容主要包含以下方面：增强管理员口令及系统策略；关闭不必要的操作系统内置系统服务；开启系统审计；限制远程登录；安装软件系统补丁；防病毒措施。

4 人员培训和持续运行信息安全保障方案

我们在信息安全保障方案实施过程中强调“三分技术，七分管理”。方案的实施首先要从技术上满足文献[1-6]中规定的安全防护等级的要求。其次通过制定完善的灾备预案、管理制度和进行有成效的人员培训计划提高工作人员的信息安全意识和技术水平。这样就可以避免电力调度自动化系统二次系统绝大多数信息安全事故。

跟随信息安全技术的发展，信息系统面临的安全风险总在不断变化中。在县级供电企业中做信息安全保障一个非常重要的工作是建立行之有效的人员培训计划，要每年持续的进行信息安全的相关培训。

5 结束语

本文的信息安全保障方案是对县供电公司已在运行中的电力调度自动化系统二次系统进行针对性的方案设计。整个方案对现有的软硬件环境和网络环境不用做较大修改，工程实施对正在运行的调度系统影响较小，对工程实施过程有明确的操作指引。工程实施的步骤清晰、难度降低，效果显著。工程实施后续的运行维护可以由县供电公司自动化班根据运维手册和灾备预案进行，保障能力强且运维成本较小。

参考文献：

[1]国务院.中华人民共和国计算机信息系统安全防护条例（国务院147 号文）.

[2]国家经济贸易委员会.电网和电厂计算机监控系统及调度数据网络安全防护的规定（原国家经贸委[2002]第30 号令）.

[3]公安部.信息安全等级保护管理办法（公通字[2007]43 号令）.

[4]国家电力监管委员会.电力二次系统安全防护规定[s]，2005.

篇10

结合当前工作需要，的会员“桑妮”为你整理了这篇2021年第一季度政府网站信息内容自查整改情况汇报范文，希望能给你的学习、工作带来参考借鉴作用。

【正文】

一、总体情况

（一）政府网站运行情况。2021年第一季度，对照国办新标准，我区对“北京市石景山区人民政府”石景山区政府门户网站内容建设情况进行了全面自查，对发现问题及时组织整改。主要针对站内搜索、移动适配、创新服务以及政务新媒体互动更新不及时、未进行留言回复等情况加强自查整改工作。加强节日期间政府网站和政务新媒体安全值守工作，安排人员24小时值守，并针对页面显示流畅、断链错链、功能访问等情况进行检查，未发现问题。

（二）网民留言办理情况。2021年第一季度统计数据：政民互动共接诉38件，已办结35件。并定期来信选登和受理留言统计情况。

（三）政府网站功能优化情况。做好政府网站政府英文版门户网站和政务新媒体内容建设，不断提高政策知晓度，扩大政策推广面积。推进政府门户网站与政务新媒体融合发展。继续推进政府网站集约化工作，推进政府网站、政务新媒体和在线政务服务平台的数据融通、服务集约，推动“网上政府”向“掌上政府”发展。

（四）政府网站创新发展情况。1.政府英文版门户网站正式上线。进一步优化面向外资企业和外国人的服务水平，借力2022年冬奥会契机和冬奥组委驻地优势资源，提升石景山区国际形象和影响力。2.推进政务公开向新媒体平台延伸。上线石景山区政务公开新媒体平台，对照政务公开重点内容设置了机构职能、简政放权等8大模块，以及最新公开、意见征集等8个展示栏目，全面涵盖政府政务公开信息，便于公民、法人或者其他组织依法获取石景山区政府信息。截至目前，政务公开新媒体平台已公开信息8110条。3.下发政务新媒体备案通知。对全区70余家政务新媒体新增、变更、注销等操作提出新的要求。促进政务新媒体规范化管理。

（五）政府网站规范管理情况。根据《北京市人民政府办公厅关于贯彻落实〈政府网站发展指引〉的实施意见》（京政办发〔2017〕51号）中对政府网站域名等的要求，对政府门户网站功能设计指标进行全面排查。石景山区政府门户网站首页增加“EN”标识，与石景山区政府英文版门户网站建立链接。通过向全区各单位广泛征集意见，完成制订《石景山区英文版门户网站建设管理办法》，进一步规范区政府英文版门户网站建设与管理，保障区政府英文版门户网站安全、高效运行。

（六）网站安全保障情况。为完善政府网站安全保障机制，采取技术和管理两手抓的方式，部署防火墙、Web应用防火墙、抗DDOS、防篡改系统、集中病毒防护系统等安全设备，技术上加强网站对抗各类命令注入、SQL注入、跨站脚本等网络攻击的能力；同时建立网络安全突发事件应急保障体系等安全防护体系，明确安全工作策略，规范运维操作，巩固技术防护效果，达到加强我区政务网站安全防护能力的目标。

二、下一步工作部署