网络信息安全培训方案范文

导语：如何才能写好一篇网络信息安全培训方案，这就需要搜集整理更多的资料和文献，欢迎阅读由公务员之家整理的十篇范文，供你借鉴。

篇1

1998年4月出版的SP800-16第一版首次提出IT安全连续学习统一模型，并设计基于角度和表现的培训模型。该模型按政府工作人员的职能将受训人员分为6种角色，即管理人员、采购人员、设计与开发人员、操作人员、检查测评人员以及普通使用人员。模型针对这6种角色设计了3个基本的培训领域（法律和法规、安全项目管理以及信息系统安全），并为此设计了安全培训课程框架，提出了培训有效性的评估方案。2009年3月NIST了SP800-16的第一次修订草案。一是明确信息安全培训职责，即对涉及信息安全培训的机构领导、首席信息技术执行官、高级机构信息安全官、管理人员、培训设计专家、对信息安全负有重要责任的人员以及用户等7类人员的职责划分。二是在信息安全培训课程的学习层次上强调知识水平的连贯性。三是对第一版的基于角色的培训提出了一个教学设计模型，即针对政府人员的信息安全需求，依次进行需求分析、课程设计、课程开发、培训实践和教学评估等五大环节，这使得信息安全的培训可以迭代改进。2013年10月NIST了对SP800-16的第二次修订版本草案，这次修订中首次提出了网络空间安全培训，因为美国2010年4月启动了《国家网络空间安全教育计划》（NationalInitiativeofCyberSecurityEducation，NICE），该计划旨在通过促进教育和培训来改善人的网络行为、技能和知识，从而增强美国整体的网络空间安全。这意味着美国政府已着手于将网络空间安全上升到国家安全的战略层面上来。2013年版的改动有以下几个方面：一是强调信息安全意识的培训应当在网络空间的背景下进行设计；二是在信息安全培训的目标对象中加入了对重要信息技术和网络空间安全负有责任的政府工作人员；三是对信息安全培训的评估体系进行了细化，即明确提出了评估培训的4个目的。不到半年时间，NIST再次了SP800-16的第三次修订草案，这个版本改动较小，主要是在信息安全培训的组织责任中加入了网络空间培训管理员/首席学习执行官。其职责包括：一是确保培训教材针对具体人员进行设计；二是确保培训教材对目标人员的有效性；三是为信息安全培训提供有效的反馈信息；四是对信息安全培训教材进行及时更新；五是重视培训效果的跟踪和汇报。

2NIST特别出版物版本演变带来的启示

纵览美国历时17年对信息技术安全培训指南的修订过程，其发展特点如下：首先，该指南进行了顶层设计，即提出IT安全连续学习统一模型，设计基于角度和表现的培训模型，对需要接受信息安全培训的目标对象进行角色划分，按照角色需求从法律法规、安全项目管理以及信息系统安全3个领域进行课程设计，初步提出了课程的评估框架。此后的3个版本都是在该体系结构下，从角色划分、培训领域和课程评估方法等3个方面进行充实、完善。其次，该指南具有可扩展性，即该指南的最初版本就设计了连续学习统一体，为培训对象的知识结构发生变化后，如何满足其信息安全的知识结构留下了足够的学习空间。第三，该指南的实时更新性，即结合信息安全领域的新技术，对培训目标对象和培训课程进行实时更新。如在美国NICE计划颁发之后，指南很快在培训环节增加了对国家网络空间安全的培训内容。目前，我国的信息安全教育工作主要侧重于专业技术人才的培养，对涉及使用信息系统的广大普通用户的相关信息安全常识的教育重视不够，更确切地说，对公众的信息安全常识教育的计划和实施体系尚未建立。我国有关部门应该参照NISTSP800-16和SP800-50出台适合我国国情的有关信息安全常识和培训纲要的规范指南，以便完善我国的信息安全教育的完整体系，推进提高全民信息安全意识和技能的工作，为构建我国信息安全保障体系提供人员安全素质方面的基础保证。

3结语

篇2

工业控制系统安全防护体系建设离不开相关安全标准体系的支持，国外一些发达国家在工业控制系统信息安全防护领域的标准研究工作幵展较早，进展较快。同际上已建立一些工控系统信息安全方面的国际及国家技术组织标准，包括1SA-99(即1EC62443)、NERCCIP�NIST:SP800_82、WIBM-2784�IEC62351等等。近年来，随着我国信息安全等级保护政策的推进和实施力度不断加大，_家对工业控制系统信息安全重视程度不断加大，国家重要行业的工控系统信息安全防护建设也取得了长足的进步，研制并逐渐部署了相应的工业控制系统的标准体系，初步建立起了我国等级保护标准体系框架和信息安全标准体系框架，我国近年来工业控制系统信息安全标准建设内容。但从总体上讲，我国工控信息安全防护的标准体系建设仍明显滞后于工业控制系统的建设，同时在防护意识、防护策略、防护机制、法规标准等方面都存在不少问题。因此，建立覆盖工控应用领域、覆盖工控产品生命周期以及覆盖工控系统业务层次的工控信息安全标准体系迫在眉睫，需要从五方面人手：

（1)在国家政策支持引导下，结合我同工控领域信息安全问题和现状，分析工控系统信息安全保障体系建设需求，建立具有针对性的工控信息安全标准体系整体框架。

（2)开展重点标准的研制规划，逐步丰富和完善覆盖工控应用领域和产品生命周期的信息安全标准体系。

（3)积极跟踪和参与闰际相关标准规范制定，实现与国际认证机构的互认，体现我国工业安全意志。

（4)加快推动我同相关标准规范的制定，建立完善的标准体系。

（5)加速人才队伍培养，依据标准建设丁.控信息安全检测认证能力。

2大力发展自主可控检测认证工具集

我国工业控制系统信息安全领域长期受到核心技术限制、缺乏专业检测认证工具等诸多因素影响，导致我国重要基础设施面临着严重的安全威胁，因此，突破工控信息安全领域的技术壁垒，研发0主可控的检测认证工具集并与国际接轨势在必行。在检测认证工具集方面，闰际上是以ISASecure认证作为工业控制系统领域专业的安全认证标准，它是基于IEC62443标准系列发展安全认证流程的联盟。ISASecure认证包含嵌入式设备安全认证�EDSA)�系统安全认证�SSA)和安全开发生命周期认证�SDLA)三个项目。目前，_际上已经获得ISASecure认证认可的CRT测试工具有芬兰Codenomi⑶n的Defensics�日本FFRI的RavenforICS以及加拿大Wurldtech的Achilles,而国内并没有成熟的检测认证工具产品。发展我国自主可控的检测认证工具集将有助于改变我国工控信息安全领域缺乏核心技术的现状，提高我同工控系统检测发现和探查能力，从而提升我国工控信息安全水平。检测认证工具集的研发应以“自主可控，安全可靠”作为技术指导思想，从前瞻性研究人手，研究国际先进的安全技术，研究工控领域安全协议栈，建立典型工控模型库、工控信息漏洞库，对工业生产控制系统内部的上位机�PLC)�服务器、网络等资产信息、应ffl软件、服务、开放端口、防火墙、数据库审计等内容进行检测扫描，提供漏洞检测与发现、漏洞风险评估、可视化和漏洞修复建议等功能。通过自主可控检测认证工具集的研发，为我闽工控企业彻底解决生产控制系统内部的信息安全隐患，保证工业生产的安全生产、安全管理。

3快速推进工业控制系统信息安全培训

安全培训为培养高素质工业控制系统信息安全相关人才、提升相关从业人员的专业技术及管理能力提供规范化、科学化的知识体系。我_工业控制系统信息安全培训现状面临着培训主体混杂、未形成规范、培训内容指导性不强、培训基准不够完善以及以传统信息安全为参照物等问题，作为工业控制系统信息安全体系中不可或缺的一环，安全培训也处于亟待重视与完善的位置。

(1)以“标准”建设“培训基准”：随着工业控制系统信息安全领域国家标准和行业标准体系的不断完善和发展，需要积极主导、参与各类相关标准的研究、编制、监督等工作，建设可供工控安全领域合理、高效、安全发展的文件环境，进而推动工控信息安全培训基准的建设。

(2)以检测与认证带动安全培训：在自主可控检测认证工具集的基础上，结合工控领域安全评估服务，建设中立性的检测、认证环境，提供国家级的权威检测认证服务，同时为培训业务的开展提供更有指导性、实效性的基础条件。以标准建设和自主可控检测认证工具为基础，从操作层面、技术层面、认证培训以及职业教育层面建设工业控制系统信息安全培训体系，提升图3自主可控检测认证工具集研发模型我国工控信息安全领域人员实践操作技术能力和安全技能，加速人才队伍培养。

4全面提供工业控制系统信息安全服务

为提升工控领域信息安全整体服务水平，在不断健全国家相关标准和发展自主可控安全技术体系的基础上，建设工业控制系统安全模拟仿真实验平台服务支撑环境，为行业用户提供定制化的安全评估、安全咨询、安全防护等服务。

(1)安全评估：研究制定安全评估的流程和方法，建设完备的安全评估体系；针对在役系统进行风险评估，提出整改、防护方案和建议，为相关企、事业单位提供安全评估服务，规范工控系统的安全建设。最终拥有完备的安全评估方法论，为工业控制领域各行业提供专业的安全评估服务；同时建立国内工业控制系统信息安全评估体系。

(2)安全咨询：研究制定安全咨询的流程和方法，建设完备的安全咨询体系；针对产品研发、系统设计，融入信息安全技术，整体提升新建工控系统的安全性。最终拥有完整的安全咨询体系，为各类工业控制领域提供专业的安全咨询服务，逐步建立安全的工业控制系统模型库。

(3)安全防护：研发工控领域自主可控的专用信息安全防护产品；全方位、多层次地针对工业控制系统提出信息安全防护解决方案；最终实现工控领域安全防护产品全面国产化；逐步完善自主可控的安全防护解决方案体系。

5总结

篇3

论文关键词：电力；信息安全；解决方案；技术手段

1电力信息化应用和发展

目前，电力 企业 信息化建设硬件环境已经基本构建完成，硬件设备数量和网络建设状况良好，无论是在生产、调度还是营业等部门都已实现了信息化，企业信息化已经成为新世纪开局阶段的潮流。在网络硬件方面，基本上已经实现千兆骨干网；百兆到桌面，三层交换；vlan，mpls等技术也普及使用。在软件方面，各应用十要包括调度自动化系统、生产管理信息系统、营销信息系统、负荷监控系统及各专业相关的应用子系统等。 计算 机及信息网络系统在电力生产、建设、经营、管理、科研、设计等各个领域有着十分广泛的应用，安全生产、节能消耗、降低成本、缩短工期、提高劳动生产率等方面取得了明显的社会效益和 经济 效益，同时也逐步健全和完善了信息化管理机制，培养和建立了一支强有力的技术队伍，有利促进了电力 工业 的发展。

2电力信息网安全现状分析

结合电力生产特点，从电力信息系统和电力运行实时控制系统2个方面，分析电力系统信息安全存在的问题。电力信息系统已经初步建立其安全体系，将电力信息网络和电力运行实时控制网络进行隔离，网络间设置了防火墙，购买了网络防病毒软件，有了数据备份设备。但电力信息网络的安全是不平衡的，很多单位没有网络防火墙，没有数据备份的概念，更没有对网络安全做统一，长远的规划，网络中有许多的安全隐患。朝阳供电公司严格按照省公司的要求，对网络安全进行了全方位的保护，防火墙、防病毒、入侵检测、网管软件的安装、verjtas备份系统的使用，确保了信息的安全，为生产、营业提供了有效的技术支持。但有些方面还不是很完善，管理起来还是很吃力，给网络的安全埋伏了很多的不利因素。这些都是将在以后急需解决的问题。

3电力信息网安全风险分析

计算机及信息网络安全意识亟待提高。电力系统各种计算机应用对信息安全的认识距离实际需要差距较大，对新出现的信息安全问题认识不足。

缺乏统一的信息安全管理规范。电力系统虽然对计算机安全一+直非常重视，但由于各种原因，目前还没有一套统一、完善的能够指导整个电力系统计算机及信息网络系统安全运行的管理规范。

急需建立同电力行业特点相适应的计算机信息安全体系。相对来说，在计算机安全策略、安全技术和安全措施投入较少。为保证电力系统安全、稳定、高效运行，应建立一套结合电力计算机应用特点的计算机信息安全体系。

计算机网络化使过去孤立的局域网在联成广域网后，面临巨大的外部安全攻击。电力系统较早的计算机系统一般都是内部的局域网，并没有同外界连接。所以，早期的计算机安全只是防止外部破坏或者对内部人员的安全控制就可以了，但现在就必须要面对国际互联网上各种安全攻击，如网络病毒、木马和电脑黑客等。

数据库数据和文件的明文存储。电力系统计算机网络中的信息一般存储在由数据库管理系统维护的数据库中或操作系统文件中。以明文形式存储的信息存在泄漏的可能，拿到存储介质的人可以读出这些信息；黑客可以饶过操作系统，数据库管理系统的控制获取这些信息；系统后门使软硬件系统制造商很容易得到这些信息。弱身份认证。电力行业应用系统基本上基于商业软硬件系统设计和开发，用户身份认证基本上采用口令的鉴别模式，而这种模式很容易被攻破。有的应用系统还使用白己的用户鉴别方法，将用户名、口令以及一些安全控制信息以明文的形式记录在数据库或文件中，这种脆弱的安全控制措施在操作人员计算机应用水平不断提高、信息敏感性不断增强的今天不能再使用了。没有完善的数据备份措施。很多单位只是选择一台工作站备份一下数据就了事，没有完善的数据备份设备、没有数据备份策略、没有备份的管理制度，没有对数据备份的介质进行妥善保管。 

4电力信息网安全防护方案

4．1加强电力信息网安全 教育

安全意识和相关技能的教育是企业安全管理中重要的内容，其实施力度将直接关系到企业安全策略被理解的程度和被执行的效果。为了保证安全的成功和有效，高级管理部门应当对企业各级管理人员、用户、技术人员进行安全培训。所有的企业人员必须了解并严格执行企业安全策略。在安全教育具体实施过程中应该有一定的层次性和普遍性。

主管信息安全工作的高级负责人或各级管理人员，重点是了解、掌握企业信息安全的整体策略及目标、信息安全体系的构成、安全管理部¨的建立和管理制度的制定等。负责信息安全运行管理及维护的技术人员，重点是充分理解信息安全管理策略，掌握安全评估的基本方法，对安全操作和维护技术的合理运用等。

信息用户，重点是学习各种安全操作流程，了解和掌握与其相关的安全策略，包括自身应该承担的安全职责等。当然，对于特定的人员要进行特定的安全培训。安全教育应当定期的、持续的进行。在企业中建立安全文化并纳入整个企业文化体系中才是最根本的解决办法。

4．2电力信息髓安全防护技术措旌

(1)网络防火墙：防火墙是企业局域网到外网的唯一出口，所有的访问都将通过防火墙进行，不允许任何饶过防火墙的连接。d m z区放置了企业对外提供各项服务的服务器，既能够保证提供正常的服务，又能够有效地保护服务器不受攻击。设置防火墙的访问策略，遵循“缺省全部关闭，按需求开通的原则”，拒绝除明确许可证外的任何服务。

(2)物理隔离装置：主要用于电力信息网的不同区之间的隔离，物理隔离装置实际上是专用的防火墙，由于其不公开性，使得更难被黑客攻击。

(3)入侵检测系统：部署先进的分布式入侵检测构架，最大限度地、全天候地实施监控，提供 企业 级的安全检测手段。在事后分析的时候，可以清楚地界定责任人和责任时间，为 网络 管理人员提供强有力的保障。入侵检测系统采用攻击防卫技术，具有高可靠性、高识别率、规则更新迅速等特点。

(4)网络隐患扫描系统：网络隐患扫描系统能够扫描网络范围内的所有支持tcp／ip协议的设备，扫描的对象包括扫描多种操作系统，扫描网络设备包括：服务器、工作站、防火墙、路由器、路由交换机等。在进行扫描时，可以从网络中不同的位置对网络设备进行扫描。

扫描结束后生成详细的安全评估报告，采用报表和图形的形式对扫描结果进行分析，可以方便直观地对用户进行安全性能评估和检查。

(5)网络防病毒：为保护电力信息网络受病毒侵害，保证网络系统中信息的可用性，应构建从主机到服务器的完善的防病毒体系。以服务器作为网络的核心，对整个网络部署查、杀毒，服务器通过internet从免疫中心实时获取最新的病毒码信息，及时更新病毒代码库。同时，选择的网络防病毒软件应能够适应各种系统平台、各种数据库平台、各种应用软件。

(6)数据加密及传输安全：通过文件加密、信息摘要和访问控制等安全措施，来实现文件存储和传输的保密和完整性要求，实现对文件访问的控制。对通信安全，采用数据加密，信息摘要和数字签名等安全措施对通信过程中的信息进行保护，实现数据在通信中的保密、完整和不可抵赖性安全要求。对远程接入安全，通过vpn技术，提高实时的信息传播中的保密性和安全性。

(7)数据备份：对于企业来说，最珍贵的是存储在存储介质中的数据信息。数据备份和容错方案是必不可少的，必须建立集中和分散相结合的数据备份设施及切合实际的数据备份策略。

(8)数据库安全：通过数据存储加密、完整性检验和访问控制来保证数据库数据的机密和完整性，并实现数据库数据的访问安全。 

4．3电力信息网安全防护管理措施

技术是安全的主体，管理是安全的灵魂。只有将有效的安全管理实践自始至终贯彻落实于信息安全当中，网络安全的长期性和稳定性才能有所保证。

(1)要加强信息人员的安全 教育 ，保持信息人员特别是网络管理人员和安全管理人员的相对稳定，防止网路机密泄露，特别是注意人员调离时的网络机密的泄露。

(2)对各类密码要妥善管理，杜绝默认密码，出厂密码，无密码，不要使用容易猜测的密码。密码要及时更新，特别是有人员调离时密码一定要更新。

(3)技术管理，主要是指各种网络设备，网络安全设备的安全策略，如防火墙、物理隔离设备、入侵检测设备、路由器的安全策略要切合实际。

(4)数据的备份策略要合理，备份要及时，备份介质保管要安全，要注意备份介质的异地保存。

(5)加强信息设备的物理安全，注意服务器、 计算 机、交换机、路由器、存储介质等设备的防火、防盗、防水、防潮、防尘、防静电等。

(6)注意信息介质的安全管理，备份的介质要防止丢失和被盗。报废的介质要及时清除和销毁，特别要注意送出修理的设备上存储的信息的安全。

5电力信息网络安全工作应注意的问题

(1)理顺技术与管理的关系。

解决信息安全问题不能仅仅只从技术上考虑，要防止重技术轻管理的倾向，加强对人员的管理和培训。

(2)解决安全和 经济 合理的关系。安全方案要能适应长远的 发展 和今后的局部调整，防止不断改造，不断投入。

(3)要进行有效的安全管理，必须建立起一套系统全面的信息安全管理体系，可以参照国际上通行的一些标准来实现。

(4)网络安全是一个系统的、全局的管理问题，网络上的任何一个漏洞，都会导致全网的安全问题，应该用系统工程的观点、方法，分析网络的安全及具体措施。

篇4

关键词：火电厂工控系统；安全分区；网络专用；横向隔离；纵向认证；综合防护

DOI：10.16640/ki.37-1222/t.2017.03.138

0 引言

在我国电力系统是由发电、输电、变电、配电、用电和调度组成。其中发电企业是整个电力系统中起始环节，是整个能源闭环系统中最主要的生产环节。发电企业通常情况下，主要的发电形式为火力发电、水利发电和核能发电。其中火力发电占据整个发电企业发电量的比重最高。而新型的火力发电控制系统已向数字化、智能化、网络化和人性化进行转变，这势必会将更多的IT技术应用到传统的逻辑控制和数字控制中。相比互联网信息安全领域的热络，工控安全作为信息安全的重要领域却一直“备受冷落”。直到近期国外发生多起因黑客网络攻击导致工控系统瘫痪的事件，才引起人们对工控系统信息安全得以重视。

2015年国家能源局下发36号文《电力监控系统安全防护总体方案》，通过认真学习发现安全防护的总体原则与之前的电力二次安全防护原则增加了“综合防护”。而“综合防护”是对工控系统从主机、网络设备、恶意代码防范、应用安全控制、审计、备用及容灾等多个层面进行信息安全防护的过程，目前在绝大多数火电厂都是未开展的工作，主要原因有两个，一是：国内工控安全产品研发刚刚起步，火电厂也没有成功实施的案例；二是：投资费用较高，风险预控把握不大。

1 工控系统信息安全方案的解决思路

在开展工控系统信息安全解决方案之前，有两件准备工作需要做，即定期进行安全意识培训和安全评估。

1.1 安全意识

生产系统的安全是建立在人员安全意识之上，一线生产人员应该保持一个良好的网络安全防范意识和和安全操作习惯，这需要借助工控网络安全培训来形成安全意识。

1.2 安全评估

在充分了解和掌握现场工控系统存在的风险和安全隐患之后，才能制定符合现场实际的防护措施。电力生产安全防护评估工作要贯穿整个电力生产系统的规划、设计、实施、运维和废弃阶段。

1.3 结构安全

“横向隔x、纵向认证”在火电厂工控系统结构已经做的很好了，即在生产大区与管理信息大区采用单向隔离装置，安全一区与安全二区之间有逻辑隔离的防火墙，而此防火墙只是基于四层以下进行访问控制，对于报文负载部分没有进行过滤，现实中的APT攻击完全可以利用防火墙的不足，在一区、二区之间进行传播。

2 火电厂工控系统信息安全现状及应对措施

2.1 火电厂工控系统安全及现状

典型的火电厂工控系统通常由控制回路、HMI（人机接口）、远程诊断与维护工具三部分组件共同完成，控制回路用以控制逻辑运算，HMI执行信息交互，远程诊断与维护工具确保出现异常的操作时进行诊断和恢复。与传统的信息系统安全需求不同，工控系统设计需要兼顾应用场景与控制管理等多方面因素，以优先确保系统的高可用性和业务连续性。在这种设计理念的影响下，缺乏有效的工业安全防御和数据通信保密措施是很多工业控制系统所面临的通病。

2.2 火电厂工控系统安全风险分析及应对措施

（1）安全风险一：操作系统与外接设备交互的风险性。追求可用性而牺牲安全，这是很多工业控制系统存在普遍现象，缺乏完整有效的安全策略与管理流程是当前我国工业控制系统的最大难题，很多已经实施了安全防御措施的工控网络仍然会因为管理或操作上的失误，造成系统出现潜在的安全短板。应对措施：制定关键设备信息安全的评测制度，防范关键设备中的预留后门及多余功能。对工控系统的设备、系统进行评测和检测，确保关键设备、软件没有预埋的、不为我们所知的一些功能。落实工控系统的信息安全检查制度，定期进行自查，这是加强信息安全工作的常规手段。加强工控系统病毒防治工作，落实工控系统防治病毒管理规定，控制系统访问权限严格控制，移动存储介质的使用应当符合管理规定。

（2）安全风险二：工控平台的风险性。随着TCP/IP等通用协议与开发标准引入工业控制系统，开放、透明的工业控制系统同样为物联网、云计算、移动互联网等新兴技术领域开辟出广阔的想象空间。理论上，绝对的物理隔离网络正因为需求和业务模式的改变而不再切实可行。目前，多数工控网络仅通过部署防火墙（隔离网闸）来保证工业网络与办公网络的相对隔离，各个工业自动化单元之间缺乏可靠的安全通信机制。应对措施：传统的IT防火墙已无法满足工业控制系统的需求，但越来越多的控制系统厂家注重网络安全，在控制层面就加装了防火墙。工业级防火墙的出现可以针对控制层的网络协议作出相应的防护，对Modbus和OPC的协议内容进行检查和连接管理。不管是控制系统本身自带的防火墙还是专业的工业级防火墙，都可以针对工控平台的风险性起到弥补作用。

（3） 安全风险三：网络的风险性。通用以太网技术的引入让工控系统变得更智能，也让工控网络愈发透明、开放、互联，TCP/IP存在的威胁同样会在工业网络中重现。当前工控网络主要的风险性集中体现为：边界安全策略缺失；系统安全防御机制缺失；管理制度缺失或不完善；网络配置规范缺失；监控与应急响应制度缺失；网络通信保障机制缺失。应对措施：针对TCP/IP存在的威胁只用运用原有的防火墙及防护方法采取应对措施，而工控网络的专属控制协议防护则应更加有针对性：控制层和数据层的隔离防护，控制层网络的冗余化等，都是可以有针对性的起到保护作用。

3 结语

其实不管是火电厂工控企业还是传统企业，随着信息化的深入，企业或多或少会遇到信息安全的问题，而随着数据价值的不断提高，这种影响对于企业来说也会越来越明显。所以保护企业的核心数据安全是未来所有企业面临的同样问题，而面对不同企业不同的防护需求，采用灵活而具有针对性的安全防护设施或许才是最好的选择。

参考文献：

篇5

目前，电力企业信息化建设硬件环境已经基本构建完成，硬件设备数量和网络建设状况良好，无论是在生产、调度还是营业等部门都已实现了信息化，企业信息化已经成为新世纪开局阶段的潮流。在网络硬件方面，基本上已经实现千兆骨干网；百兆到桌面，三层交换；VLAN，MPLS等技术也普及使用。在软件方面，各应用十要包括调度自动化系统、生产管理信息系统、营销信息系统、负荷监控系统及各专业相关的应用子系统等。计算机及信息网络系统在电力生产、建设、经营、管理、科研、设计等各个领域有着十分广泛的应用，安全生产、节能消耗、降低成本、缩短工期、提高劳动生产率等方面取得了明显的社会效益和经济效益，同时也逐步健全和完善了信息化管理机制，培养和建立了一支强有力的技术队伍，有利促进了电力工业的发展。

2电力信息网安全现状分析

结合电力生产特点，从电力信息系统和电力运行实时控制系统2个方面，分析电力系统信息安全存在的问题。电力信息系统已经初步建立其安全体系，将电力信息网络和电力运行实时控制网络进行隔离，网络间设置了防火墙，购买了网络防病毒软件，有了数据备份设备。但电力信息网络的安全是不平衡的，很多单位没有网络防火墙，没有数据备份的概念，更没有对网络安全做统一，长远的规划，网络中有许多的安全隐患。朝阳供电公司严格按照省公司的要求，对网络安全进行了全方位的保护，防火墙、防病毒、入侵检测、网管软件的安装、VerJtas备份系统的使用，确保了信息的安全，为生产、营业提供了有效的技术支持。但有些方面还不是很完善，管理起来还是很吃力，给网络的安全埋伏了很多的不利因素。这些都是将在以后急需解决的问题。

3电力信息网安全风险分析

计算机及信息网络安全意识亟待提高。电力系统各种计算机应用对信息安全的认识距离实际需要差距较大，对新出现的信息安全问题认识不足。

缺乏统一的信息安全管理规范。电力系统虽然对计算机安全一+直非常重视，但由于各种原因，目前还没有一套统一、完善的能够指导整个电力系统计算机及信息网络系统安全运行的管理规范。

急需建立同电力行业特点相适应的计算机信息安全体系。相对来说，在计算机安全策略、安全技术和安全措施投入较少。为保证电力系统安全、稳定、高效运行，应建立一套结合电力计算机应用特点的计算机信息安全体系。

计算机网络化使过去孤立的局域网在联成广域网后，面临巨大的外部安全攻击。电力系统较早的计算机系统一般都是内部的局域网，并没有同外界连接。所以，早期的计算机安全只是防止外部破坏或者对内部人员的安全控制就可以了，但现在就必须要面对国际互联网上各种安全攻击，如网络病毒、木马和电脑黑客等。

数据库数据和文件的明文存储。电力系统计算机网络中的信息一般存储在由数据库管理系统维护的数据库中或操作系统文件中。以明文形式存储的信息存在泄漏的可能，拿到存储介质的人可以读出这些信息；黑客可以饶过操作系统，数据库管理系统的控制获取这些信息；系统后门使软硬件系统制造商很容易得到这些信息。弱身份认证。电力行业应用系统基本上基于商业软硬件系统设计和开发，用户身份认证基本上采用口令的鉴别模式，而这种模式很容易被攻破。有的应用系统还使用白己的用户鉴别方法，将用户名、口令以及一些安全控制信息以明文的形式记录在数据库或文件中，这种脆弱的安全控制措施在操作人员计算机应用水平不断提高、信息敏感性不断增强的今天不能再使用了。没有完善的数据备份措施。很多单位只是选择一台工作站备份一下数据就了事，没有完善的数据备份设备、没有数据备份策略、没有备份的管理制度，没有对数据备份的介质进行妥善保管。

4电力信息网安全防护方案

4．1加强电力信息网安全教育

安全意识和相关技能的教育是企业安全管理中重要的内容，其实施力度将直接关系到企业安全策略被理解的程度和被执行的效果。为了保证安全的成功和有效，高级管理部门应当对企业各级管理人员、用户、技术人员进行安全培训。所有的企业人员必须了解并严格执行企业安全策略。在安全教育具体实施过程中应该有一定的层次性和普遍性。

主管信息安全工作的高级负责人或各级管理人员，重点是了解、掌握企业信息安全的整体策略及目标、信息安全体系的构成、安全管理部¨的建立和管理制度的制定等。负责信息安全运行管理及维护的技术人员，重点是充分理解信息安全管理策略，掌握安全评估的基本方法，对安全操作和维护技术的合理运用等。

信息用户，重点是学习各种安全操作流程，了解和掌握与其相关的安全策略，包括自身应该承担的安全职责等。当然，对于特定的人员要进行特定的安全培训。安全教育应当定期的、持续的进行。在企业中建立安全文化并纳入整个企业文化体系中才是最根本的解决办法。

4．2电力信息髓安全防护技术措旌

(1)网络防火墙：防火墙是企业局域网到外网的唯一出口，所有的访问都将通过防火墙进行，不允许任何饶过防火墙的连接。DMZ区放置了企业对外提供各项服务的服务器，既能够保证提供正常的服务，又能够有效地保护服务器不受攻击。设置防火墙的访问策略，遵循“缺省全部关闭，按需求开通的原则”，拒绝除明确许可证外的任何服务。

(2)物理隔离装置：主要用于电力信息网的不同区之间的隔离，物理隔离装置实际上是专用的防火墙，由于其不公开性，使得更难被黑客攻击。(3)入侵检测系统：部署先进的分布式入侵检测构架，最大限度地、全天候地实施监控，提供企业级的安全检测手段。在事后分析的时候，可以清楚地界定责任人和责任时间，为网络管理人员提供强有力的保障。入侵检测系统采用攻击防卫技术，具有高可靠性、高识别率、规则更新迅速等特点。

(4)网络隐患扫描系统：网络隐患扫描系统能够扫描网络范围内的所有支持TCP／IP协议的设备，扫描的对象包括扫描多种操作系统，扫描网络设备包括：服务器、工作站、防火墙、路由器、路由交换机等。在进行扫描时，可以从网络中不同的位置对网络设备进行扫描。

扫描结束后生成详细的安全评估报告，采用报表和图形的形式对扫描结果进行分析，可以方便直观地对用户进行安全性能评估和检查。

(5)网络防病毒：为保护电力信息网络受病毒侵害，保证网络系统中信息的可用性，应构建从主机到服务器的完善的防病毒体系。以服务器作为网络的核心，对整个网络部署查、杀毒，服务器通过Internet从免疫中心实时获取最新的病毒码信息，及时更新病毒代码库。同时，选择的网络防病毒软件应能够适应各种系统平台、各种数据库平台、各种应用软件。

(6)数据加密及传输安全：通过文件加密、信息摘要和访问控制等安全措施，来实现文件存储和传输的保密和完整性要求，实现对文件访问的控制。对通信安全，采用数据加密，信息摘要和数字签名等安全措施对通信过程中的信息进行保护，实现数据在通信中的保密、完整和不可抵赖性安全要求。对远程接入安全，通过VPN技术，提高实时的信息传播中的保密性和安全性。

(7)数据备份：对于企业来说，最珍贵的是存储在存储介质中的数据信息。数据备份和容错方案是必不可少的，必须建立集中和分散相结合的数据备份设施及切合实际的数据备份策略。

(8)数据库安全：通过数据存储加密、完整性检验和访问控制来保证数据库数据的机密和完整性，并实现数据库数据的访问安全。

4．3电力信息网安全防护管理措施

技术是安全的主体，管理是安全的灵魂。只有将有效的安全管理实践自始至终贯彻落实于信息安全当中，网络安全的长期性和稳定性才能有所保证。

(1)要加强信息人员的安全教育，保持信息人员特别是网络管理人员和安全管理人员的相对稳定，防止网路机密泄露，特别是注意人员调离时的网络机密的泄露。

(2)对各类密码要妥善管理，杜绝默认密码，出厂密码，无密码，不要使用容易猜测的密码。密码要及时更新，特别是有人员调离时密码一定要更新。

(3)技术管理，主要是指各种网络设备，网络安全设备的安全策略，如防火墙、物理隔离设备、入侵检测设备、路由器的安全策略要切合实际。

(4)数据的备份策略要合理，备份要及时，备份介质保管要安全，要注意备份介质的异地保存。

(5)加强信息设备的物理安全，注意服务器、计算机、交换机、路由器、存储介质等设备的防火、防盗、防水、防潮、防尘、防静电等。

(6)注意信息介质的安全管理，备份的介质要防止丢失和被盗。报废的介质要及时清除和销毁，特别要注意送出修理的设备上存储的信息的安全。

5电力信息网络安全工作应注意的问题

(1)理顺技术与管理的关系。解决信息安全问题不能仅仅只从技术上考虑，要防止重技术轻管理的倾向，加强对人员的管理和培训。

(2)解决安全和经济合理的关系。安全方案要能适应长远的发展和今后的局部调整，防止不断改造，不断投入。

(3)要进行有效的安全管理，必须建立起一套系统全面的信息安全管理体系，可以参照国际上通行的一些标准来实现。

(4)网络安全是一个系统的、全局的管理问题，网络上的任何一个漏洞，都会导致全网的安全问题，应该用系统工程的观点、方法，分析网络的安全及具体措施。

篇6

【 关键词 】 高校；科研机构；信息安全；对策

Discussion on Scientific Research Institution of Universities in

Information Security Management and Measures

Zhang Jian-hua

(President Office, Beijing University of Aeronautics and Astronautics Beijing 100191)

【 Abstract 】 In the light of the information security management problems of scientific research institution of universities, the measures are put forward to enhance the construction of information security level strategy from management and technology two respects.

【 Keywords 】 universities; scientific research institution; information security; measures

1 引言

随着信息技术的发展和信息化应用的日趋深入，信息安全建设及其应用正在成为教育科研单位日常教育管理和科研生产不可或缺的一环。高校等科研单位对信息安全管理的认识程度越来越高，研究院等单位的信息系统规模和水平也在不断攀升，然而随着高校各系统建设程度的不断完善，以高校为代表的科研机构的信息安全管理问题也愈加突出。

2 高校科研机构存在的信息安全管理问题

近年来，高校等科研机构逐步认识到信息安全对于自身的重要性，于是不少单位成立了“信息管理部门”来推行统一的管理规范和进行信息安全知识普及，其主要目的是为了从安全技术和管理两个方面来解决高校中科研机构的信息安全问题，充分提高机构人员的信息安全管理意识和保密工作的能力。当下，虽然有一些高校的科研单位在信息安全和管理建设方面已经取得了长足的进步，但其科研单位内部仍然存在着很多问题。

(1)首先，在以往长期封闭的科研环境影响下，相关科研人员目前依然不具备良好的安全意识，对于信息安全的认识水平不高。同时高校等相关管理部门较容易忽视信息安全在其科研系统中的发展战略和计划，这些都间接导致了信息安全管理制度推行力度不够，实施安全教育的硬性条件有限。其次，由于学科建设和专业水平所限，也使得国内技术过硬的信息安全专业人才供应不足，间接影响了相关单位的人才储备水平。

(2)当下许多高校等科研单位在信息系统不断增加的情况下，对以往基础设施配备水平存在着一定的依赖性，不能够很好的适应新环境。在信息系统运作业务的安全风险和意识提升上，又缺乏有效性验证与评估办法。现实中的任何信息系统都是一连串复杂的环节，信息安全措施必须渗透到信息系统的每一个部位，其中一些问题的解决方案，需要信息系统的设计人员、测试人员和使用人员都熟知并能够成为规范来遵守。

(3)不安全因素对于信息系统而言总是存在的，没有任何一个信息管理方法能提供绝对的保障。因此，高校等科研单位在认识和进行信息系统安全管理教育的时候，应该着重加强基层人员的信息安全管理实践教育，应让相关人员充分意识到，虽然信息安全建设并非意在建设一个创收的平台，但它是一个保障科研成果和提升工作效率的平台。管理者有必要做出适合科研单位进行教育实施的信息安全教育发展战略和计划，充分加强信息安全教育在管理实践上的投入，严格有效地执行相应的安全策略、安全措施和安全管理制度，以最大限度避免使用和管理信息系统时的固有风险。

(4)近年来，我国大型科研单位相继出现过不同程度的泄密事件，这些事件的直接后果是不仅导致了科研成果的流失，还造成了较大程度的经济损失和不良的社会影响。虽然各大信息系统工程和信息化程度要求非常高的相关行业，也都出台了对信息安全技术产品的应用标准和规范，但只有建立一个严格的信息安全管理策略，才能全面的保障其安全性。

3 解决高校科研机构存在的信息安全的对策

3.1 技术层面

在技术层面上：高校科研管理系统是以计算机和数据库通信网络为基础的应用管理系统，是一个开放式的互联网络系统，与网络系统连接的任何终端用户都可以进人和访问网络中的资源。作为信息通讯数据平台，其所受到的安全威胁主要存在于信息通信传输、存储和加工的各个阶段。因此在制定技术对策方面就需要制定统一全面的安全策略，同时也注重建设统一认证和授权管理系统，通过硬件接入设备和定制化管理软件的配合部署，加强网络层面和应用层面的安全资源整合，形成覆盖全网的科研信息化安全保障能力，并充分利用自主创新的科研信息化安全技术，不断增强基础运行平台的网络安全能力，为科研信息化基础环境和应用系统提供有力的安全保障。

在保障网络基础设施和重要应用系统的安全方面，一方面需要构建身份认证管理系统、网络安全管理平台、恶意代码防护系统、安全审计平台等面向全网用户的网络安全基础设施，实现实时预警、事件分析、决策支持、资源调度等功能；另一方面需要建立起包括安全咨询、安全规划、安全检测、安全培训等环节在内的安全服务体系，引入除技术体系和管理体系以外的第三方服务支持，实现安全事件的及时发现。

3.2 管理和教育层面

在管理和教育层面上：以企业为参考标度，对高校科研机构工作人员进行信息安全意识以及管理实践知识的普及，将信息安全管理理念提到战略高度来看待。充分遵循信息安全流程制定相应管理制度，除技术保障外，将人员、网络、环境有关的技术和管理规程的有机集合充分纳入其中。充分认识到信息安全管理实践是保障信息实现有效管理与控制的重要途径。所在部门应客观评估实现信息安全管理的需求水平，落实安全的组织和管理人员，明确每个人的角色与职责；制定并开发安全规划和策略，定期开展培训和工作会议；实施风险管理制度，制定业务持续性计划和灾难环境下恢复计划；选择实施安全措施；保证配置、变更的正确与安全；进行安全审计；保证维护支持；进行监控、检查、处理安全事件。针对专业人员的培训和绩效需要有效结合目标管理和信息安全管理两方面来展开。

3.3 管理政策层面

在整个管理策略的制定上：建议采用分级策略，如果高校对于自身科研信息安全风险水平认定为较高，而自身建设能力有限，则可以考虑与相关专业咨询机构合作，引入专家机制来完成相关工作，提升建设效率。

4 结束语

在国家大力推行科教兴国与自主创新发展战略的今天，信息安全建设对于保障科技创新自有成果，确保自主知识产权的创造价值，都有着极其重要的作用。而如何确保其信息安全能够实现自主可控的目标，也是以高校为代表的科研机构行使和保障自身合法权益的重要途径。因此我们必须综合多方因素，系统考量，尽可能提供全面的、多方位的信息安全建设策略和信息安全管理与教育规范，以切实满足高校等科研单位对信息安全保障体系的需求，降低科研成果的安全风险，发挥高效的科研效率，保障科研生产的安全顺利进行。

参考文献

[1] 张广钦．信息管理教程[M]．北京：北京大学出版社，2005.

[2] 徐茂智．信息安全概论[M]．北京：人民邮电出版社，2007.

[3] 彭盛宏.浅析校园网存在的安全隐患及其对策[J].信息安全与技术，2012，(1).

篇7

在通信计算机信息网络化系统中通过电磁的方式对信息进行处理，并对所有单位的信息处理系统做服务，从而保护所有事业单位、企业、公司的信息安全就是通信计算机信息安全。确保信息的安全和正确，防止信息受到恶意传播或篡改是通信计算机信息安全的主要目的。当今社会飞速发展，信息的处理进入到大数据云处理时代，也就是统一配置大量的互联网所使用的信息资源，并向有需求的客户发送有用的信息资源，从而实现大数据下对客户的服务。信息的安全性若是在云计算、云处理的方式下得不到保障，被云计算所服务的对象的信息安全就会受到威胁，因此，我们必须保障通信计算机的信息安全。

2通信计算机存在的信息安全问题

人为密码操作不当、黑客攻击或病毒攻击都会威胁到计算机的信息安全。通信计算机信息的物理安全与逻辑安全出现问题，也会带来安全隐患。通常物理安全就是指计算机的硬件安全，若是在信息数据没有备份的前提下计算机的硬件发生了问题，通信计算机的信息安全就会面临着通信信息数据在不可预见的情况下消失的安全隐患；逻辑安全通常指对信息的不可缺失性、完整性的保护，通过保密设置来保障信息的可用性。下面将详细介绍通信计算机中存在的信息安全问题。

2.1受到网络黑客的攻击

网络黑客的攻击是通信计算机面临的最普遍也是最严重的安全问题。网络黑客对通信计算机的攻击主要有以下两种方式：一是主动攻击的方式，也就是黑客自主选择其想要进行攻击的计算机或网络程序，然后用此对其所具有的信号做破坏，最终使得计算机内部的信号瘫痪或失效，进而一次性获取其所想要得到的信息的方式；二是被动攻击的方式，也就是在不对网络信号进行破坏的前提下，黑客利用一定的技术来获取非常重要的网络信息的方式。主动攻击的方式与被动攻击的方式都会给通信计算的安全带来直接并严重的威胁，给通信计算机的信息带来安全隐患，都会使得计算机内部的关键重要信息得到泄露。

2.2受到病毒传播的危害

通信计算机最常面临的安全问题就是病毒传播，并且病毒传播可以给计算机的信息安全带来非常严重的危害。由于计算机具有异常复杂、类型较多、可以自动复制传播的特点，因此病毒一旦控制某个计算机，就会使得这个计算机不能正常的进行工作，并且会严重流失大量的信息，严重威胁到通信计算机的信息安全。因此，我们必须严加关注病毒传播给通信计算机所带来的安全问题，并努力提出相应的应对措施。

2.3用户自身的安全意识较低

在计算机得到大面积的应用和普及之后，目前应用通信计算机的用户很多，但是真正具备丰富专业的计算机知识或计算机技术的用户鲜见，大多数用户只是掌握了最基本的网络使用功能用来查看和获取有用的信息资源而已，因此他们对通信计算机网络安全没有全面透彻的意识与认识。

3保障通信计算机信息安全的对策

3.1设置复杂严密的计算机密码

由于在当今云计算的时代，所设置密码的复杂度直接决定了信息数据的安全性，因此，要想信息数据足够安全，就必须设置异常复杂的密码。从访问服务器来说，由于某些企业或公司对重要客户的重要信息设置密码的程序及所设置的密码过于简单，从而给信息的安全性造成了严重的威胁。因此，只有设置足够复杂的密码，才能保障重要信息数据的安全性，需要尽量创造条件设置很难被破解的专业编码。并且，为了有效地对信息安全实施保护，需要在公司或企业内部对密码的设置制定相应合理的程序，主要包括规定密码的设置条件、知道密码的人群等。

3.2安装并使用网络防火墙及病毒查杀工具

网络防火墙的运行原理主要是：首先，过滤技术，就是利用事先设定的标准或技术来筛选在网络中正在传播的信息，对可疑的信息进行排除，对安全信息开通绿色通道，从而达到保护网络安全的目的；其次，监测状态技术，就是通过系统化的监测网络的搜索引擎来保存网络中的动态信息，并把其用作网络的参考标准，若是监测到某个网络数据发生异常的变化，就马上终止异常数据的继续运行。并且病毒查杀工具（例如360木马查杀）的使用能够有效地避免计算机受到病毒的攻击，从而保障计算机的信息安全。

3.3提高网络工作者的安全技术与安全意识

必须从网络工作者的实际出发，结合网络安全问题及安全知识给网络工作者开展有关网络安全的宣传与培训，利用这一系列手段来提高他们的网络安全意识，并使其对网络攻击所造成的严重后果有深刻的认识，从而在工作过程中保持较高的安全警惕性，时刻避免与防止发生网络安全事故。另一方面，也可以对网络工作者开展网络技术培训工作，保障他们能够与先进的网络知识有直接的接触与了解，并使其熟练掌握与通信计算机有关的技术，这样能够降低他们在工作过程中发生失误的状况，并且能够使网络计算机的管理得到加强，提高计算网络信息的可靠性与安全性。

3.4对信息数据管理者开展有效的培训

要对有修改、查看通信信息数据权利的管理人员开展有效的计算机知识的培训，提高他们的网络信息安全意识。同时，企业在招聘的时候，要注意招聘具备通信计算机信息安全专业知识或素养的专业人才，因为他们可以在通信信息遭到破坏的第一时间对其实施有效的维修，能够找回失掉的通信信息，最大程度上降低损失，保障通信计算机的信息安全。

3.5加强安全服务与管理

首先，要加强对通信计算机信息的安全服务，也就是在网络的显目位置对与网络安全有关的知识进行展示，并广泛征集客户对网站设计的意见及建议，建立网络信息安全评估部门，对运营和维修人员定期开展相应的安全培训，实施安全巡检制度，使对网络的安全巡检常态化。其次，要加强对通信计算机信息的安全管理，优化安全管理机构，完善安全管理制度，开发系统化的管理方案，建设系统化的运营与维修体系，尽最大努力降低通信计算机信息所受到的非技术问题的安全威胁。

4小结

篇8

风险管理是当前银行经营活动的主旋律。在银行界越来越依赖于信息技术的情况下，信息风险监督成为银行信息化风险管理不可忽略的重要组成部分。虽然各银行都有自己的信息安全主管部门，他们是信息安全的建设者、维护者，对信息安全有着丰富的现场经验与专业经验，但在他们身兼运动员和裁判员双重身份的同时，已不足以向最高管理层保证信息安全的有效性。因此，建立科学的信息风险监督机制，对加强银行风险管理，确保银行信息系统的安全、稳定、持续有效地运行，就显得尤为重要。

一、信息系统风险监督的概念及意义

信息风险监督是指对特定环境中的信息系统及其处理的传输和存储的信息的保密性、完整性和可用性等进行监督，进而对其安全性进行风险分析、评估，找出潜在的致命缺陷和易被忽略的问题，为信息系统的安全设计，选择合理的安全产品和安全管理提供可靠的依据。信息风险监督的内容包括信息系统的物理安全、系统安全、网络安全、技术安全保障和安全管理控制五个部分。

信息风险监督是信息安全的基础性工作，它是对信息系统的运行过程，进行安全监察、分析的一个持续工作，是分级防护和突出重点的具体体现。风险监督对信息安全具有非常重要的意义：首先，它能摸清情况，评判保护措施，可对信息安全有关的决策产生决定性的影响；其次，它是信息安全规划的重要依据；第三，后评估是改进信息安全工作的依据和出发点。即：进行风险评估后，可以认清信息安全环境、信息安全状况，有助于达成公式，明确责任，采取或完善等级保护、分级管理、分类指导等各种安全保障措施，使其更加经济有效，并使信息安全策略保持一致性和持续性；第四，它是制定信息安全策略和战略的基础。因此，信息风险监督作为加强信息安全风险管理的重要组成部分，在整个银行业信息风险管理中具有极其不可动摇的地位。

二、信息系统脆弱性的客观存在需要风险监督

信息系统安全是相对的，没有绝对的安全系统。它具有时效性、复杂性和不可避免的特点。随着新的漏洞与攻击方法的不断发现，原来的安全的系统霎时变得危机四伏；加之，由于技术发展的局限和人类的能力限制，在程序设计之初人们不能认识所有的问题，失误和考虑不周在所难免。因此，为了实现信息系统的安全、稳定运行这一目标，就必须采取一系列的安全制度和技术保障方法，对信息系统风险进行事先防患、事中控制、事后监督及纠正，以化解因信息系统的脆弱造成的金融风险。信息系统的脆弱性主要表现在以下几个方面：

1、信息系统软硬件本身存在着很大的脆弱性。一方面表现在设备的自然损耗、制造缺陷和不可预测的自然环境因素，如火灾、水灾、地震、战争等不可抗拒的自然灾难。另一方面表现在由于技术发展的局限和人类的能力限制，面对庞大的操作系统、复杂的应用程序，在设计之初人们不能认识所有的问题，失误和考虑不周在所难免。

2、银行数据传输网络的脆弱性。随着金融网上业务的拓展，网上银行、移动银行、电子商务等，已成为银行追逐的利润增长点。银行业务系统要顺应开放和互连的趋势，其信息安全范畴已经突破了以业务系统物理隔离和协议隔离为基础的传统银行信息安全，在公网环境下防止黑客、病毒的破坏，在Internet上保证金融数据的安全采集、安全存储、安全传输和安全处理，将是金融信息系统建设面临的重要挑战。

3、安全技术保障的欠缺。当前我国金融界的信息安全建设中存在着：整体安全系统建设的欠缺；内部网络安全监控与防范的欠缺；智能与主动性安全防范体系建设的欠缺；全面集中安全管理策略平台定制方面的欠缺。

4、信息风险是动态变化的，安全是相对的。只有在特定环境与特定配制下的安全，技术的发展和环境的变化使系统安全始终处于动态之中。日常管理中的不同配制会引入新的问题；新的系统组件同样会引入新的问题，因此对它们监督必须长期的，并随之变化而维护。

三、化解信息风险关键在于管理

我们面临的信息安全问题还不仅在于IT技术的脆弱性，更在于不同价值观的挑战，在于不法之徒或敌对势力集团的威胁。解决信息安全三分靠技术、七分靠管理。因此，加强对信息安全管理体系的建设是信息监督的重要任务和目的。一个好的信息安全管理体系，离不开以下几个环节：

1、领导的重视。信息安全管理是一个复杂的、动态的系统工程，关系到安全项目的规划、应用需求的分析、网络技术运用、安全策略制定、人员分工人员安全培训和规章制度建立的各个层面。这仅依靠技术人员的职能是无法完成的，必须有领导的高度重视与亲身参与。

2、随需求确定安全管理策略。随着信息技术的不断发展，一个完整信息安全策略的制订和实施，是一个动态的延续过程。不同的系统有不同的安全需求，在有限的资金情况下，遵照国家和本部门有关信息安全的技术标准和管理规范，针对本部门专项应用，对数据管理和系统流程的各个环节进行安全评估，确定使用的安全技术、设定安全应用等级、明确人员职责、制定安全分步实施方案，达到安全和应用的科学平衡。

3、全员参与安全培训。信息安全最大的威胁不是来自外部，而是内部人员对信息安全知识的缺乏。人是信息安全目标实现的主体，信息安全要靠全体员工共同努力，否则就会出现所谓的“木桶效应”。因此，加强信息安全培训和法制教育就显得尤为重要，通过对计算机安全知识的培训和法制教育，使他们真正认识到计算机网络系统安全的重要性和解决这一问题的长期性和艰巨性，真正了解遵守安全管理制度的必要性和违反制度带来的后果，从而自觉把遵守规章制度贯彻到实际工作中去。全面提高全行员工的信息安全的防范能力。

同时，由于信息技术始终处于不断的发展变化中，对信息安全管理员来说也是一个不断学习、提高的过程，只有通过对安全理论、安全技术，安全产品培训学习，才能阻击各种多样化的攻击手段，化解信息风险。

4、狠抓制度建设和落实。根据金融信息化建设的总体要求，逐步健全一套完整的风险安全管理体系，以加强规范信息管理和制度控制，规范银行管理和操作人员的行为，明确具体责任。同时，制定的各项制度要有很强的可操作性，只有这样，才能保证它的有效实施。如：制定相应的机房出入管理制度，口令密码管理制度等；制定严格的操作规程，操作规程要根据职责分离和对人负责的原则，各负其责，不能超越自己的管辖范围；制定完善的系统维护制度，详细记录故障原因、维护内容和维护前后的情况。

篇9

论文关键词：医院信息系统　安全体系　网络安　全数据安全

论文摘要：分析了目前威胁医院网络信息安全的各种因素结合网络安全与管理工作的实践，探讨了构建医院信息安全防御体系的措施。

中国医院信息化建设经过20多年的发展历程目前已经进入了一个高速发展时期。据2007年卫生部统计信息中心对全国3765所医院(其中：三级以上663家：三级以下31o2家)进行信息化现状调查显示，超过80％的医院建立了信息系统…。随着信息网络规模的不断扩大，医疗和管理工作对信息系统的依赖性会越来越强。信息系统所承载的信息和服务安全性越发显得重要。

1医院信息安全现状分析

随着我们对信息安全的认识不断深入，目前医院信息安全建设存在诸多问题。

1．1信息安全策略不明确

医院信息化工作的特殊性，对医院信息安全提出了很高的要求。医院信息安全建设是一个复杂的系统工程。有些医院只注重各种网络安全产品的采购没有制定信息安全的中、长期规划，没有根据自己的信息安全目标制定符合医院实际的安全管理策略，或者没有根据网络信息安全出现的一些新问题，及时调整医院的信息安全策略。这些现象的出现，使医院信息安全产品不能得到合理的配置和适当的优化，不能起到应有的作用。

1．2以计算机病毒、黑客攻击等为代表的安全事件频繁发生，危害日益严重

病毒泛滥、系统漏洞、黑客攻击等诸多问题，已经直接影响到医院的正常运营。目前，多数网络安全事件都是由脆弱的用户终端和“失控”的网络使用行为引起的。在医院网中，用户终端不及时升级系统补丁和病毒库的现象普遍存在；私设服务器、私自访问外部网络、滥用政府禁用软件等行为也比比皆是。“失控”的用户终端一旦接入网络，就等于给潜在的安全威胁敞开了大门，使安全威胁在更大范围内快速扩散。保证用户终端的安全、阻止威胁入侵网络，对用户的网络访问行为进行有效的控制，是保证医院网络安全运行的前提，也是目前医院网络安全管理急需解决的问题。

1．3安全孤岛现象严重

目前，在医院网络安全建设中网络、应用系统防护上虽然采取了防火墙等安全产品和硬件冗余等安全措施，但安全产品之间无法实现联动，安全信息无法挖掘，安全防护效果低，投资重复，存在一定程度的安全孤岛现象。另外，安全产品部署不均衡，各个系统部署了多个安全产品，但在系统边界存在安全空白，没有形成纵深的安全防护。

1．4信息安全意识不强，安全制度不健全

从许多安全案例来看，很多医院要么未制定安全管理制度，要么制定后却得不到实施。医院内部员工计算机知识特别是信息安全知识和意识的缺乏是医院信息化的一大隐患。加强对员工安全知识的培训刻不容缓。

2医院信息安全防范措施

医院信息安全的任务是多方面的，根据当前信息安全的现状，医院信息安全应该是安全策略、安全技术和安全管理的完美结合。

2．1安全策略

医院信息系统～旦投入运行，其数据安全问题就成为系统能否持续正常运行的关键。作为一个联机事务系统，一些大中型医院要求每天二十四小时不问断运行，如门诊挂号、收费、检验等系统，不能有太长时间的中断，也绝对不允许数据丢失，稍有不慎就会造成灾难性后果和巨大损失医院信息系统在医院各部门的应用，使得各类信息越来越集中，构成医院的数据、信息中心，如何合理分配访问权限，控制信息泄露以及恶意的破坏等信息的访问控制尤其重要：pacs系统的应用以及电子病历的应用，使得医学数据量急剧膨胀，数据多样化，以及数据安全性、实时性的要求越来越高，要求医院信息系统(his)必须具有高可用性，完备可靠的数据存储、备份。医院要根据自身网络的实际情况确定安全管理等级和安全管理范围，制订有关网络操作使用规程和人员出入机房管理制度，制定网络系统的维护制度和应急措施等，建立适合自身的网络安全管理策略。网络信息安全是一个整体的问题，需要从管理与技术相结合的高度，制定与时俱进的整体管理策略，并切实认真地实施这些策略，才能达到提高网络信息系统安全性的目的。

在网络安全实施的策略及步骤上应遵循轮回机制考虑以下五个方面的内容：制定统一的安全策略、购买相应的安全产品实施安全保护、监控网络安全状况(遇攻击时可采取安全措施)、主动测试网络安全隐患、生成网络安全总体报告并改善安全策略。

2．2安全管理

从安全管理上，建立和完善安全管理规范和机制，切实加强和落实安全管理制度，加强安全培训，增强医务人员的安全防范意识以及制定网络安全应急方案等。

2．2．1安全机构建设。设立专门的信息安全领导小组，明确主要领导、分管领导和信息科的相应责任职责，严格落实信息管理责任l。领导小组应不定期的组织信息安全检查和应急安全演练。

2．2．2安全队伍建设。通过引进、培训等渠道，建设一支高水平、稳定的安全管理队伍，是医院信息系统能够正常运行的保证。

2．2．3安全制度建设。建立一整套切实可行的安全制度，包括：物理安全、系统与数据安全、网络安全、应用安全、运行安全和信息安全等各方面的规章制度，确保医疗工作有序进行。

2．2．4应急预案的制定与应急演练

依据医院业务特点，以病人的容忍时间为衡量指标，建立不同层面、不同深度的应急演练。定期人为制造“故障点”，进行在线的技术性的分段应急演练和集中应急演练。同时信息科定期召开“系统安全分析会”。从技术层面上通过数据挖掘等手段，分析信息系统的历史性能数据，预测信息系统的运转趋势，提前优化系统结构，从而降低信息系统出现故障的概率；另一方面，不断总结信息系统既往故障和处理经验，不断调整技术安全策略和团队应急处理能力，确保应急流程的时效性和可用性。不断人为制造“故障点”不仅是对技术架构成熟度的考验，而且还促进全员熟悉应急流程，提高应急处理能力，实现了技术和非技术的完美结合。

2．3安全技术

从安全技术实施上，要进行全面的安全漏洞检测和分析，针对检测和分析的结果制定防范措施和完整的解决方案。

2．3．1冗余技术

医院信息网络由于运行整个医院的业务系统，需要保证网络的正常运行，不因网络的故障或变化引起医院业务的瞬间质量恶化甚至内部业务系统的中断。网络作为数据处理及转发中心，应充分考虑可靠性。网络的可靠性通过冗余技术实现，包括电源冗余、处理器冗余、模块冗余、设备冗余、链路冗余等技术。

2．3．2建立安全的数据中心

医疗系统的数据类型丰富，在不断的对数据进行读取和存储的同时，也带来了数据丢失，数据被非法调用，数据遭恶意破坏等安全隐患。为了保证系统数据的安全，建立安全可靠的数据中心，能够很有效的杜绝安全隐患，加强医疗系统的数据安全等级，保证各个医疗系统的健康运转，确保病患的及时信息交互。融合的医疗系统数据中心包括了数据交换、安全防护、数据库、存储、服务器集群、灾难备份／恢复，远程优化等各个组件。

2．3．3加强客户机管理

医院信息的特点是分散处理、高度共享，用户涉及医生、护士、医技人员和行政管理人员，因此需要制定一套统一且便于管理的客户机管理方案。通过设定不同的访问权限，加强网络访问控制的安全措施，控制用户对特定数据的访问，使每个用户在整个系统中具有唯一的帐号，限定各用户一定级别的访问权限，如对系统盘符读写、光驱访问、usb口的访问、更改注册表和控制面板的限制等。同时捆绑客户机的ip与mac地址以防用户随意更改ip地址和随意更换网络插口等恶意行为，检查用户终端是否安装了信息安全部门规定的安全软件、防病毒软件以及漏洞补丁等，从而阻止非法用户和非法软件入网以确保只有符合安全策略规定的终端才能连入医疗网络。

2．3．4安装安全监控系统

安全监控系统可充分利用医院现有的网络和安全投资，随时监控和记录各个终端以及网络设备的运行情况，识别、隔离被攻击的组件。与此同时，它可以强化行为管理，对各种网络行为和操作进行实施监控，保持医院内部安全策略的符合性。

2．3．5物理隔离

根据物理位置、功能区域、业务应用或者管理策略等划分安全区域，不同的区域之间进行物理隔离。封闭医疗网络中所有对外的接口，防止黑客、外部攻击、避免病毒的侵入。

篇10

[关键词]计算机 信息安全技术 相关概念 防护内容 防护措施

中图分类号：TP393.0 文献标识码：A 文章编号：1009-914X（2016）28-0194-01

1.计算机信息安全的相关概念

计算机网络安全指的是现代计算机网络内部的安全环境维护，卞要保护的是计算机网络系统中的硬盘、软件中的数据资源，在没有因为意外或恶意等情况下未遭遇人为型破坏和更改相关重要的数据信息，从而保障计算机网络服务的正常运作。

2.计算机信息安全技术防护的内容

计算机信息安全防护，强化计算机信息安全管理的防护工作和防护内容较多。从现阶段计拿机信息安全防护的实际情况来看，强化对计算机安全信息的管理可以从计算机安全技术入手，对计算机系统的安全信息存在的漏洞进行及时的检测、修补和分析结合检测分析得到的结果制定有效的防护方案建立完善的安全系统体系。其中安全系统体系包括安全防火墙、计算机网络的杀毒软件、入侵监测扫描系统等信息安全防护体系。从计算机信息安全管理方面来看，需要建立健全的信息安全制度，栏窀据信息安全管理制度的相关规定对计算机信息进行防护，加强管理人员的安全防护意识。此外，计算机信息安全防护还需要充分考虑计算机安全数据资源的合法使用、安全稳定运作数据资料存储和传输的完整性、可控性、机密性和可用性等。

3.计算机信息安全防护中存在的问题

随着计算机信息化技术的进一步发展，信息安全已经引起人们的高度关注。现阶段计算机安全信息防护还存在诸多问题。计算机网络系统的安全体系不够完善，因此要保障计算机信息安全必须要配置一些安全信息设备，但是目前的安全技术水平偏低，安全信息质量得不到保障。此外计算机系统内部的应急措施的构建机制不够健全，安全制度不完善，满足不了信息安全的防护标准要求。近几年来，我国用人单位对计算机催息安全管理工作越来越重视，但是有些单位的计算机安全信息防护意识薄弱，负责信息安全防护的管理人员业务素质偏低，计算机信息安全技术防护水平偏低。同时，一些企业对管理人员的信息安全培训力度不足，对安全信息防护的设备费用的投入力度不足。因此，现阶段我国企业的计算机信息安全防护水平与社会服务的程度偏低。

4.计算机信息安全防护的措施

4.1 注计算机病毒的防护

计算机网络之间的病毒传播速度较快。现代计算机网络防护病毒必须要在互联网环境下，对计算机的操作系统采取科学合理的防毒措施，有效防护计算机信息安全。现阶段，从计算机信息行业来看，针对不同的操作系统，所采用的计算机防毒软件的具体功能也会不一样，但是能够加强计算机用户的信息安全防护利用安全扫描技术、访问控制技术、信息过滤技术，制止恶性攻击，加强计算机系统的安全性能，强化对计算机信息安全的防护。

4.2 信息安全技术

计算机信息安全技术主要包括实时的扫描技术、病毒情况研究报告技术、检测技术、检验保护技术、防火墙、计算机信息安全管理技术等。企业需要建立完善的信息安全管理和防护制度，提高系统管理工作人员人员技术水平和职业道德素质。对重要的机密信息进行严格的开机查毒，及时地备份重要数据，对网站访问进行肖致地控制，实现信息安全的防范和保护对数据库进行备份和咬复实现防护和管理数据的完整性。利用数据流加密技术、公钥密码体制、单钥密码体制等密码技术刘信息进行安全管理，保护信息的安全。切断传播途径，对感染的计算机进行彻底性查毒，不使用来路不明的程序、软盘等，不随意打开可疑的邮件等。提高计算机网络的抗病毒能力。在计算机上配置病毒防火墙，对计算机网络文件进行及时地检测和扫描。利用防病毒卡，对网络文件访问权限进行设置。

4.3 提高信息安全管理人员的技术防护水平

计算机信息安全不仅需要从技术上进行信息安全防范措施，同时也要采取有效的管理措施，贯彻落实计算机信息安全防护反律法规制度，提高计算机信息的安全性。对计算机管理人员进行培训;建立完善的计算机信息安全管理机制，改进计算机信息安全管理能力，加强计算机信息安全的立法和执法力度，强化计算机信息管理的道德规范，提高管理人员对安全信息的防护意识;明确计算机系统管理人员的工作职责。此外，企业需要增加对计算机安全信息防护设备的投入费用，整体提高我国社会部门的计算机信息安全防护与社会服务水平。

5.结束语

综合上述，计算机信息安全防护过程中存在着;信息安全管理体系不够健全、信息安全制度不完善、负责信息安全防护的管理人员业务素质偏低等问题，这就要求企业从计算机病毒的防护、信息安全技术、信息安全管理人员的技术防护水平这三方面入手，全面提高计算机信息安全技术水平和管理人员对计算机信息的安全防护能力。

参考文献