信息安全战略报告范文

导语：如何才能写好一篇信息安全战略报告，这就需要搜集整理更多的资料和文献，欢迎阅读由公务员之家整理的十篇范文，供你借鉴。

篇1

IDC的报告表明，2008 年第3季度，国际金融危机对中国的影响开始显现，第4季度经济形势加剧恶化，对IT安全硬件市场产生了迅速和直接的影响。而在整体经济环境持续恶化的一年中，联想网御却继续实现了高速增长，在摘得一金二银成绩的同时，联想网御的竞争力排名也直线上升，成为国内成长最快的信息安全企业，充分显示出联想网御作为中国信息安全领军企业的深厚功底。

IDC报告指出，2008年，中国IT安全硬件市场的市场规模为4.84亿美元，同比增长28.1%。其中，入侵防御硬件市场（IPS）、统一威胁管理硬件市场（UTM）、安全内容管理硬件市场和VPN 硬件市场出现了高速增长。IDC预测，随着市场的进一步扩大，这些高速成长的电子市场在整体IT安全硬件市场中所占比例将逐渐加大。

联想网御认为，信息安全企业唯有眼光长远，苦练内功，把握需求，持续创新，并据此制定正确的企业发展战略，才能有所建树。作为国内领先的信息安全厂商，联想网御一直以高于行业平均增长速度领跑整个信息安全产业，并不断结合用户需求进行产品技术创新。2008年，联想网御明确提出了“巩固网络安全，发展应用安全，布局管理安全”的三年发展战略。在该战略的指引下，联想网御通过对信息安全产业发展趋势的敏锐判断，率先开始了在应用与数据安全领域的战略布局。

篇2

共话数据安全未来

中国科学院何积丰院士在题为《大数据与智能制造》的主题报告中提出，大数据越来越多地被运用到能源、健康、制造、交通等领域，数据的分析与挖掘产生巨大的经济价值，深度剖析数据的保护刻不容缓，安全亟待升级。

中国工程院沈昌祥院士在题为《可信计算筑牢网络安全防线》的专项报告中强调，面临日益严峻的国际网络空间形势，我们要立足国情，创新驱动，解决受制于人的问题，坚持纵深防御，用可信计算3.0构建网络空间安全防线。

中国工程院倪光南院士在《云安全的思考》主题演讲中指出，云安全一定会呈现出多维度、多层次、跨领域、多学科技术交叉等方面的特征。对于云计算的安全保护，单一手段远远不够，需要有一个完备的体系，总体上需要从技术、监管、法律三个层面进行，形成可感知、可预防的智能云安全体系。

解读前沿技术趋势

浙江华途信息安全技术股份有限公司董事长总裁谢永胜分享了《中国数据安全发展的思考》。他认为：“欧盟、美国和中国都立法从网络安全顶层设计数据安全保护，如我国的《网络安全法》等。即使有战略规划，有法律法规，有国家标准，数据泄漏事件仍愈演愈烈。”

据了解，2016年全球安全市场收入736亿美元，其中数据泄露防护领域占15%，而放眼全球市场，中国在全球数据安全防护市场的投入比例仅占4%。综上所述，要解决数据安全的问题，除了战略规划、法律法规、行业标准的措施外，还需要加大安全领域的投入。

中科院信息工程研究所所长黄伟庆做了《物理空间信息安全风险与防护》的演讲。他表示：“物理空间信息安全的L险与防护，正在成为一个备受关注的领域。”公安部信息等级保护评估中心副主任毕马宁呼吁《关注形势变化 注重动态安全》，信息化发展是支撑，是领导，信息安全是保障。等级是手段，保护是目的。

篇3

 

一、加强顶层设计，确立信息安全教育国家战略

 

1.《网络空间安全国家战略》

 

布什政府在2003年2月了《网络空间安全国家战略》，其中首次从国家层面提出了“提高网络安全意识与培训计划”，指出，“除了信息技术系统的脆弱性外，要提高网络的安全性至少面临着两个障碍：缺乏对安全问题的了解和认识;无法找到足够多的经过培训或通过认证的人员来建立并管理安全系统。“为此，美国要开展全国性的增强安全意识活动，加强培训和网络安全专业人员资格认证。

 

2.《美国网络安全评估》报告

 

2009年5月29日美国公布了《美国网络安全评估》报告，评估了美国政府在网络空间的安全战略、策略和标准，指出了存在的问题，提出行动计戈IJ。所提议的优先行动计划之一就是“加强公众网络安全教育”。

 

3.《国家网络安全综合计划》(CNCI)

 

2010年3月2日，奥巴马政府对前布什政府在2007年制定的一份国家网络安全综合计划的部分内容进行解密。CNCI计划提出要实现重要目标之一就是：“为了有效地保证持续的技术优势和未来的网络安全，必须制定一个技术熟练和精通网络的劳动力和未来员工的有效渠道。扩大网络教育，以加强未来的网络安全环境。”

 

4.《国家网络空间安全教育战略计划》

 

2011年8月11日，NIST授权《美国网络

 

安全教育倡议战略规划：构建数字美国》草案，征求公众意见。该规划是美国网络安全教育倡议(NICE)的首个战略规划，阐明了NICE的任务、远景和目标。NICE旨在通过创新的网络行为教育、培训和加强相关意识，促进美国的经济繁荣和保障国家安全，并通过以下三个目标实现这一愿景：增强公众有关网上活动风险的意识;扩展能支持国家网络安全的人员队伍;建立和维持一支强大的具有全球竞争力的网络安全队伍。

 

二、做好立法工作，完善法规标隹体系

 

1.《联邦信息安全管理法案》(FISMA)

 

2002年7月，美国政府制定了《联邦信息安全管理法案》(FISMAhFISMA法案以立法的形式表明美国政府已经认识到信息安全对美国经济和国家安全利益的重要性，并从风险管理角度提出了一个有效的信息安全管理体系。信息安全教育与培训是信息安全管理体系中一个重要环节。

 

FISMA法案明确要求：联邦政府机构须为内外部相关人员提供信息安全风险的安全意识培训，为此还提议了一个较为完善的国家安全意识及其培训系统。

 

2.国防部(DoD)8570指令

 

2005年12月，为了更好地支持“全球信息网格计戈j”，美国国防部了8570指令。该指令涵盖以下主要内容：建立技术基准，管理职员的信息保障技能;实现正规的信息保障劳动力技能培训和认证活动;通过标准的测试认证检验信息保障人员的知识和技能;在基础教育和实验教育中，持续的增加信息保障内容。

 

3.联邦政府信息技术安全培训标准(FIPS)

 

FISMA法案明确指定NIST负责制定联邦政府(除国防、情报部门以外)所使用的信息安全技术、产品和培训方面的国家标准。目前，NIST已制定和两部权威的信息安全培训标准：《信息技术安全培训要求：基于角色和表现的模型》(NISTSP800-16)和《建立信息安全意i只和培训方案》(NISTSP800—50)cNIST在SP800—16标准中提出了信息安全培训概念性的框架，依据这些框架，美国联邦政府部门开展了很多综合性的联邦计算臟务(FSC)项目。

 

4.网络安全法案

 

2010年3月24日，美国参议院商务、科学和运输委员会全票通过了旨在加强美国网络安全、帮助美国政府机构和企业有效应对网络威胁的《网络安全法案》。该法案要求政府机构和私营部门加强在网络安全领域方面的信息共享，强调通过市场手段，鼓励培养网络安全人才，开发网络安全产品和服务。

 

三、构建信息网络安全组织机构，健全安全教育培训管理体制

 

为了落实信息安全教育培训相关政策和法律法规，美国将协调、执行、监督、管理等权利分配给多个政府部门，依据最新的《国家网络安全教育战略计划》的思路，国家标准技术研究所(NIST)为整个计划的负责单位，协调其他部门参与计划的实施;国土安全部(DHS)、国防部(DoD)、国务院、教育部和国家科学基金会(NSF)协力加强公众的信息安全意识;DHS、海关总署、NSF和国家安全局(NSA)共同加强从业人员f支术能力;DHS、DoD、NIST、NSA、NSF和人事管理局(OPM)负责建立高端网络安全人才队伍。

 

社会各界积极参与

 

行业协会已经站到了信息安全教育培训的前沿，成为信息安全教育培训的践行者。其职责主要是协助有关部门制定信息安全教育与培训的标准，组织持续的教育活动，并向内部成员单位实施培训。行业协会自身作为提供教育和培训的主体，一方面可以根据政府的引导和企业的需求来设置培训内容;另一方面可以利用政府和产业界的资源，充分发挥其在信息安全领域内不可替代的社会职能。行业协会提供的培训标准是政府制定的培训标准的主要补充，为规范和完善美国信息安全培训行业提供了切实可行的保障。

 

(1)国际信息系统审计协会(丨SACA)

 

国际信息系统审计协会(ISACA)是一个为信息管理、控制、安全和审计专业设定规范标准的全球性组织，会员遍布逾160个国家，总数超过86,000人。ISACA成立于1969年，除赞助举办国际会议外，还编辑出版《信息系统监控期刊》，制定国际信息系统的审计与监控标准，以及颁授国际广泛认可的注册信息系统审计师(CISA)专业资格认证。CISA认证体系已通过美国国家标准协会(ANSI)依照ISO/IEC17024:2003标准对其进行的资格鉴定。同时，美国国防部也认可了CISA认证，并将其纳入到国防系统信息技术人员技能商业资格认证体系当中。这产生了以下四方面的作用：认可CISA认证所提供的特有资格和专业知识技能;保护认证的信誉并提供法律保护;增进消费者和公众对本认证和持证者的信心;使跨国、跨行业的人才流动更加便利。

 

(2)美国系统网络安全(SANS)研究院SANS是于1989年创立的美国非政府组织(NGO)，是一所具有代表性的从事网络安全研究教育的专业机构。1999年SANS首次推出了安全技术认证程序(GIAC)。

 

GIAC认证程序有以下几个特点：

 

GIAC提供超过20种的信息安全认证，其大多数符合DOD8570指令。GIAC依据国家标准对安全专业人员及开发人员进行各方面技能认证。GIAC安全认证分为入门级信息安全基础认证(GISF)和高级安全要素认证(GSEC)。两种认证都重点考察安全基础知识，保证揺正人员拥有必备的安全技能。其它GIAC安全认证包括：认证防火墙分析师(确认设计、配置和监控路由器、防火墙和其它边界设备所需的知识、技能和能力)、认证入侵分析师(评估考生配置和监控入侵检测系统的知识)、认证事故处理员(考察考生处理事故和攻击的能力)和认证司法辩论分析师(考查考生高效处理正式司法调查的能力。

 

(3)国际信息系统安全认证联盟(ISC)2

 

国际信息系统安全核准联盟(ISC)2成立于1989年，是一家致力于为全球信息系统安全从业人员提供信息安全专业技能培训和认证的国际领先非营利组织。在(ISC)2各种认证中，CISSP数量最多。截至2010年底，全球共有75000名CISSP获证人员，其中，美国获证人员数量超过70%^CISSP获证人员中，约30%在政府部门工作，40%从事信息安全月服务行业，30%从事用户终端工作。

 

注册信息系统安全专业人员通用知识体(CISSPCBK)提供了通用的信息安全术语和原理框架，使得全世界的信息安全专业人员能够以相同的术语和理念，讨论、辩论和解决信息安全相关问题。

篇4

［关键词］ 信息安全保障体系； 中国石油； 企业

doi : 10 . 3969 / j . issn . 1673 - 0194 . 2012 . 09. 054

［中图分类号］ TP309 ［文献标识码］ A ［文章编号］ 1673 - 0194（2012）09- 0089- 02

1 信息安全保障体系概述

信息安全保障（Information Assurance，IA）来源于1996年美国国防部DoD指令5－3600．1（DoDD5－3600．1）。其发展经历了通信安全、计算机安全、信息安全直至现在的信息安全保障。内容包括保护（Protection）、检测（Detection）、响应（Response）、恢复（Recovery） 4个环节，即PDRR模型。

信息安全保障体系分为人员体系、技术体系和管理体系3个层面，人员体系包括安全人员的岗位与职责、全体工作人员的安全管理两部分。技术体系由本地计算环境、区域边界、网络基础设施及支撑性基础设施组成。管理体系包括建立完善的信息安全管理体系、构建自上而下的各级信息安全管理组织架构、制定信息安全方针与信息安全策略及完善信息安全管理制度4个板块。通过纵深防御的多层防护，多处设置保护机制，抵御通过内部或外部从多点向信息系统发起的攻击，将信息系统的安全风险降低到可以接受的程度。

2 国外信息安全保障体系建设

美国的信息化程度全球最高，在信息技术的主导权和网络上的话语权等方面占据先天优势，他们在信息安全保障体系建设以及政策支持方面也走在全球的前列。美国政府先后了一系列政策战略报告，将信息安全由“政策”、“计划”上升到“国家战略”及“国际战略”的高度。美国国土安全局是美国信息安全管理的最高权力机构，其他负责信息安全管理和执行的机构有国家安全局、联邦调查局、国防部、商务部等，主要根据相应的方针和政策结合自己部门的情况实施信息安全保障工作。

其他国家也都非常重视信息安全保障工作。构建可信的网络，建设有效的信息安全保障体系，实施切实可行的信息安全保障措施已经成为世界各国信息化发展的主要需求。信息化发展比较好的发达国家，如俄、德、日等国家都已经或正在制定自己的信息安全发展战略和发展计划，确保信息安全沿着正确的方向发展，在信息安全领域不断进行着积极有益的探索。

3 国内信息安全保障体系建设

我国信息化安全保障体系建设相对于发达国家起步较晚，2003年9月，中央提出要在5年内建设中国信息安全保障体系。2006年9月，“十一五”发展纲要提出科技“支撑发展”的重要思想，提出要提高我国信息产业核心技术自主开发能力和整体水平，初步建立有中国特色的信息安全保障体系。2007年7月20日，“全国重要信息系统安全等级保护定级工作电视电话会议”召开，标志着信息安全等级保护工作在全国范围内的开展与实施。2011年3月《我国国民经济和社会发展十二五规划纲要》明确提出加强网络与信息安全保障工作。通过一系列的文件要求，不断完善与提升我国的信息安全体系，强调信息安全的重要性。

我国信息安全保障体系建设主要包括：① 加快信息安全立法、建立信息安全法制体系，做到有法可依，有法必依。② 建立国家信息安全组织管理体系，加强国家职能，建立职能高效、职责分工明确的行政管理和业务组织体系，建立信息安全标准和评价体系。③ 建立国家信息安全技术保障体系，使用科学技术，实施安全的防护保障。④ 在技术保障体系下，建设国家信息安全保障基础设施。⑤ 建立国家信息安全经费保障体系，加大信息安全投入。⑥ 高度重视人才培养，建立信息安全人才培养机制。

我国通过近几年的努力，信息安体保障体系取得了长足发展，2002年成立了全国信息安全标准化技术委员会，不断完善信息安全标准。同时在互联网管理、信息安全测评认证、信息安全等级保护工作等方面取得了实质性进展，但CPU芯片、操作系统与数据库、网关软件仍大多依赖进口，受制于人。

4 企业信息安全保障体系建设

中国石油集团公司信息化建设在我国大型企业中处于领先地位，在国资委历年信息化评比中，都名列前茅，“十一五”期间，公司将企业信息安全保障体系建设纳入信息化整体规划中，并逐步实施。其中涉及管理类项目3个，控制类项目3个，技术类项目5个。

管理类项目包括信息安全组织完善、信息安全运行能力建设、风险评估能力建设3个项目。信息安全组织完善是指完善信息安全的决策、管理与技术服务组织，合理配置岗位并明确职责，建立完备的管理流程，为信息安全建设与运行提供组织保障。信息安全运行能力建设内容包括建立统一、完备的信息安全运行维护流程及组织IT运行维护人员信息安全技能培训，较快形成基本的信息安全运行能力。风险评估能力建设是指通过建立风险评估规范及实施团队，提高信息安全风险自评估能力和风险管理能力，强化保障体系的有效性。

信息安全控制类项目涉及信息安全制度与标准完善、基础设施安全配置规范开发、应用系统安全合规性实施3个项目。信息安全制度与标准完善包括：① 初步构建了制度和标准体系，了《信息系统安全管理办法》及系统定级实施办法。② 建立和完善了信息系统安全管理员制度，开展了信息安全培训。③ 跟踪国家信息安全等级保护政策，开展信息系统安全测评方法研究等，规范了信息系统安全管理流程，提升安全运行能力。基础设施安全配置规范开发目标是制定满足安全域和等级保护要求的信息技术基础设施安全配置规范，提高信息技术基础设施的安全防护能力。应用系统安全合规性实施是提供专业的信息安全指导与服务，支持国家等级保护、中国石油内部控制等制度的实施，使信息化建设与应用满足合规性要求。

信息安全技术类项目由身份管理与认证、网络安全域实施、桌面安全管理、系统灾难恢复、信息安全运行中心5个项目组成。身份管理与认证是指建成集中身份管理与统一认证平台，实现关键和重要系统的用户身份认证，提高用户身份管理效率，保证系统访问的安全性。网络安全域包括广域网边界防护、广域网域间与数据中心防护、广域网域内防护3项内容。广域网边界防护是指将全国各地的中国石油单位的互联网集中统一到16个区域网络中心，员工受控访问互联网资源，并最终实现实名制上网。广域网域间与数据中心防护项目指建立。区域间访问与防护标准、数据中心防护标准。广域网域内防护将分离其他网络并制定访问策略，完善域内安全监控手段和技术，规范域内防护标准。桌面安全管理项目包括防病毒、补丁分发、端点准入、后台管理、电子文档保护和信息安全等级保护综合管理6个子系统。系统灾难恢复包括：① 对数据中心机房进行了风险评估，提出了风险防范和改进措施。② 对已上线的18个信息系统进行业务影响分析，确定了灾难恢复关键指标。③ 制定整体的灾备策略和灾难恢复系统方案。信息安全运行中心旨在形成安全监控信息汇总枢纽和信息安全事件协调处理中心，提高对信息安全事件的预警和响应能力。

5 存在问题及建议

中国石油作为国资委超大型企业和能源工业龙头企业，集团领导和各级领导，一贯重视信息安全工作，在落实等级保护制度，加强信息安全基础设施建设，深入开展信息安全战略、策略研究等方面，都取得的丰硕成果，值得其他企业借鉴。公司在信息安全保障体系建设中还存在以下问题：

（1） 信息安全组织体系不够健全，不能较好地落实安全管理责任制。目前，部分二级单位没有独立的信息部门，更没有负责安全体系建设、运行和管理的专职机构，安全的组织保障职能分散在各个部门，兼职安全管理员有责无权的现象普遍存在，制约了中国石油信息安全保障体系建设的发展。需强制建立从上至下完善的管理体系，明确直属二级单位的信息部门建设，岗位设定、人员配备满足对信息系统管理的需求。

篇5

目前，我国的信息安全事件和事故的频繁发生，这和老百姓最为直接的就是个人网络账号被盗。据赛门铁克诺顿公司9月11日的诺顿安全报告显示，从2011年7月至2012年7月，网络犯罪致使全球个人用户蒙受的直接损失高达1100亿美元。同期，中国估计有超过2.57亿人成为网络犯罪受害者，直接经济损失达人民币2890亿元。

针对日趋严重的网络安全问题。工信部通信保障局网络安全处副处长付景广对记者说，工信部建立了通讯行业和网络安全防护、应急演练等等，以保障网络运行的稳定和安全。“针对网络钓鱼、垃圾信息等危险用户的切实利益问题，我们与中国互联网协会、中国网络互联网信息中心等建立了相关的机制，以净化网络环境。”

信息安全风险管理需常态化

国家信息化专家咨询委员会委员、国家信息化中国专家委员会副主任宁家骏认为，当前，信息安全形势变化总体来说是国家信息安全形势的一种表现。2010年前后可以看到美国进一步调整它的国家信息安全战略，俄罗斯、纽约也在调整，日本更明确把国家的安全防范对象转向我们国家。“9·11恐怖事件”发生后，美国的多部门独立管理，多种模式逐渐感到没有办法适应信息时代国家安全战略调整需求。所以，它先后整合了一些部门通管他们信息安全技术，另外也任命了公安局的局长出任网络司令部的司令整合军内的信息战略领域。

在当前我们必须看到我们国家的网络信息安全工作面临新的复杂的形势。进入新世纪以来，经济、社会发展对我们信息网络和信息化的依赖程度越来越高，现在我们可以说金融、交通、电力、水务等都离不开信息网络。

宁家骏指出，信息网络的发展已经成为推动社会和经济发展的重要力量，也是各国竞争的制高点。一方面我们看到信息化的大势不可逆转，但是同时我们要必须看到，随着我们中国的迅速崛起，也引起了国际社会的广泛关注。在这种背景下，在全球网络空间国际竞争日趋激烈的背景下，我们的信息安全问题更加错综复杂。所以，对信息安全保障体系的建设需求更加紧迫，面对国内和国际形势，必须进一步提高对我们重要性系统的信息安全保障体系建设的高度重视和对风险的应对能力。

特别是在当前互联网这种特性——规模庞大、带宽持续增长和应用逻辑日益复杂的情况下，如果继续在不同的安全领域中间各自为战将不能适应信息安全新的发展要求。如何处理这种信息访问的瓶颈？如何应对这种开放协议的安全事件？如何来解决我们应用软件中安全漏洞难以避免的现实？宁家骏认为，这些问题要求我们必须解决在信息安全保障中全局协同的问题，同时要提高我们的效能，提高我们对事件处置能力和事前应急预警的能力。

在世界竞争日趋复杂的环境中，已经发生的一些重大信息安全事件对我国的发展产生不同的损失，对我国信息安全的重要性提出了更加紧迫的要求。特别是我们看到威胁在不断的演变，有些部门的人觉得自己的电脑没有什么可以保密的文件，疏忽管理。其实恰恰不然，很多的隐蔽性的网络攻击就是把这些看似没有价值的电脑作为网络攻击的第一个跳板。特别是当前移动互联网的发展，智能终端的广泛应用已经成为当前在网络攻击中的一个最好的获利的平台。

所以，国外每年银行卡信息被盗损失的金额非常巨大，特别是在当前我们这种移动终端，包括山寨手机内置的一些软件，包括我们恶意捆绑那些流氓的软件，使得我们的手机不仅仅是被吸取话费，而且把病毒传播开来。宁家骏说：“未来一方面是信息化安全技术，一方面是面临这种复杂的环境，使我们应对危机的难度在增加。所以，我们必须看到我们存在明显的不足，清醒的认识到这种日益增加的战略层面的巨大的威胁，包括我们很多的技术手段。同时，我们必须要解决这种各自为战的，要克服这种谁主管、谁负责的局限性。”

“我们又必须看到风险管理的滞后和非常态化。当前，我们重视了风险评估工作，但是往往我们对风险的理解常常是限定在技术层面，而没有考虑到相关方的核心力。”宁家骏说，“我们的风险评估常常基于静态，没有真正的开展常态化的、动态的持续的监管。特别是我们个人信息的保护严重的滞后，所以在这里既有我们用户和企业的意识淡薄，更有我们法律的欠缺，也有我们相应的服务和管理上的约束的不足。”

手机信息安全不容忽视

黑客的入侵手法日益更新，传统的网络安全问题正逐渐向移动互联网等领域延伸。付景广介绍，手机终端与PC终端面临的问题没有本质的区别，都面临木马病毒等问题。但是，手机的缴费和扣费功能更容易受到黑客的关注。调查发现有些木马病毒可以操控手机，定制收费业务，造成用户的经济损失，有的还可以远程窃取手机的位置信息和通话记录等，导致用户隐私泄露。

今年以来，社会上有一些企业搜集用户的个人信息引起人们关注。付景广说：“我们需要增强安全意识，这与现实生活中的偷盗诈骗等相比，手机的安全问题和虚拟性、空间地域性，使网络的安全问题变得更加隐蔽和复杂。”他认为，人们只有树立起正确的防范意识，才会自觉地养成良好的防范举措。但是，还有很多在信息产业中的从业人员对信息安全的防范也是一知半解。

最近，工信部发文明确要求：

第一，手机制造企业和行业协会要承担起指导用户安全使用手机的责任，加强风险提示等。

第二，加强应用商店安全管理，控制手机恶意程序的渠道。对捆绑恶意功能的程序必须加大力度处理；另一方面开办应用商店的基础企业，移动互联网企业和手机制造企业要切实履行好各自的责任和安全的审核机制。

篇6

关键词：信息安全管理 等级保护 数据采集 日志管理

中图分类号：TP39 文献标识码：A 文章编号：1672-3791（2015）11（c）-0007-02

我国电子政务建设正处在高速发展期，从中央到省市各级政府部门都投入了大量的人力和财力来推进信息化工作。电子政务公共平台的顶层设计和实施建成，较大程度地提高了政府信息政务公开和共享等的工作效率和服务质量。电子政务公共平台稳定和安全运行已经构成了政府运转连续性的重要保障之一。 因此，电子政务公共平台的安全保障工作已经成为政府信息化工作成败的关键因素。信息安全的管理需要在各个层面为电子政务提供机密性、完整性、可用性、鉴别等安全服务。该文基于信息安全等级保护，从安全基础设施、访问控制策略、安全防御、安全监控、安全审计和安全响应恢复等研究信息安全研究电子政务的安全管理体系。从而从整体上提高电子政务公共平台信息安全管理全面性。

1 研究思路

基于电子政务公共平台服务的战略定位、统筹规划和实施路径的总体把握，按照基于等级保护技术要求，并根据电子政务信息化服务业务安全需求，为信息化综合服务提供安全支撑服务，从而使得平台可以安全、稳定、可连续的进行信息化服务。重点保护基础信息网络和重要信息系统安全，实现信息安全服务支撑工作的有效安全技术和管理措施要求，以实现信息安全等级保护实施的重大的现实和战略意义。

2 总体设计目标

（1）电子政务公共平台安全管理建设的总体目标是统一技术标准，共建共享信息安全基础设施，建立统一的公共密钥基础设施（PKI），实现跨系统的身份认证机制等。

（2）解决传统信息化系统建设中，电子政务公共平台基础设施、信息资源与业务系统因所有权、使用权和管理权界定不清晰，存在基础设施和业务应用的管理权限难以分离管理，责任权限过大或者过小，造成设备利用率不高，或容易出现信息安全事件的情况。

（3）解决不同的政府部分因不同的职能/服务导致的电子政务基础设施和资源的重复建设和资金浪费问题。

（4）解决信息化综合服务的安全服务支撑，实现各级信息系统的授权管理、认证服务、鉴别服务、访问控制和数据防护的安全服务支撑，最终实现各级信息系统互联互通的信息化服务。

3 设计分析

3.1 设计思路

（1）电子政务公共平台安全管理建设统一管理电子政务边界安全防护系统，集中建设互联网接入点，实现部门互联网的安全接入和可管可控可剥离等。

（2）电子政务公共平台安全管理基于安全技术体系下，根据各自信息安全等级，建设、升级、完善安全系统等。

（3）电子政务公共平台安全管理中心系统将不同位置、不同安全系统中分散且海量的单一安全事件进行汇总、过滤、收集和关联分析，以全局角度分析信息安全风险和信息安全事件，形成分层次分区域的安全策略，以对安全事件进行响应和处置的综合性信息安全管理平台。

（4）电子政务公共平台安全管理是一个跨系统、跨部门的综合信息系统，由虚拟资源管理系统、数据挖掘与智能浏览、虚拟资源隔离系统、信息资源目录与交换系统、基于SOA的业务协同、多元数据融合与集成系统、数据库资源整合与综合应用、多级数据交换系统、信息服务资源运营管理平台、信息化综合服务管理平台信息中心构成的完整独立体系构成等。

（5）电子政务公共平台信息安全管理是按照其保障工作流程，依次分为数据采集层、分析层、展示层等。

（6）电子政务公共平台安全管理设计研究多种分类的数据接口，一方面满足与用户已有或后续建设的其他管理系统或平台集成整合，另一方面，安全管理中心还提供了相关数据接口和配置接口，可对相关安全产品进行统一配置和管理等。

（7）电子政务公共平台安全管理的数据采集层针对重要信息系统进行信息安全数据采集，包括关键业务系统环境相关的网络设备、主机、安全产品等信息。

（8）电子政务公共平台安全管理的分析层是安全运行管理的核心，负责对数据采集的信息进行分析处理，并对相关的信息安全风险和信息安全事件进行预警和响应等。

（9）电子政务公共平台主要功能包括了安全监控、预警、告警、响应、信息安全策略管理和系统管理等。

（10）电子政务公共平台安全管理的数据展示层提供了安全运行管理可视化界面，分为管理员界面和为客户提供的可视化界面。管理员通过管理界面，对电子政务公共平台整体信息安全态势、管理和配置进行管理操作，主要包括网络、系统运行、事件报警等展示和策略配置管理；为电子政务服务提供定制化全网的安全信息和安全状态分析展示，包括风险预警、告警事件、故障分析、策略、报表报告等数据分析和展示功能等。

3.2 设计模型

（1）电子政务公共平台安全管理中心系统。

①组成：数据采集层、数据和业务管理层、数据展示层等；

②通过数据接口连接外部产品管理接口，诸如，实时数据接口、文件接口、数据库接口、其他接口等。

（2）电子政务公共平台安全管理中心系统数据展示层。

①风险展现管理：包括，拓扑展示、运行状态、实时性能、风险预警、告警事件、故障分析、策略、报表报告等。

②通过采集探针Probe整合，以Portal的方式进行多系统数据展示整合。

（3）电子政务公共平台安全管理中心系统分析层。

①分析层是安全运行管理平台的核心，由信息安全核心服务器和数据库构成等。

②负责对前端信息安全数据采集的风险点进行分析，并对根据信息安全策略对安全目标进行预警和响应等。

③负责安全监控、预警、告警、响应、信息安全策略管理和系统管理等。

④组成：应用引擎平台、业务逻辑子层、数据逻辑子层、资源管理（KBP）、数据管理（KPI）、南向适配（配置、性能、事件数据元素整形适配器）、采集调试管理等。

⑤业务逻辑子层通过工单交互、知识库交互等，与企业整体的运维管理系统实现双向接口等。

⑥数据逻辑子层通过CMDB复用等，以统一CMDB的形式与网管、运维系统整合等。

（4）电子政务公共平台安全管理中心系统采集层。

①数据采集层针对重要信息系统进行信息安全数据采集，包括关键业务系统环境相关的网络设备、主机、安全产品等信息。

②设计部署采集管理控制台统一进行信息采集，并设计采集任务分发给相对应的采集点。

③设计可定制化的采集的策略，包括采集范围对象、采集频度、采集数量等。

3.3 数据模型分析

数据采集层设计采用以下网络协议进行数据采集，列举主要的安全管理中心应用的协议和技术实施例。

4 研究案例与成果

信息安全保障技术是为管理做技术支持，管理和技术并重。信息安全管理的策略设计与运行实施才是安全管理落地的根本，从运行和维护的信息安全角度，总结信息安全管理主要工作主要包括了：（1）建立完善的电子政务服务身份认证和访问控制机制，规范管理电子政务服务信息安全标准规范和相关协议的合规性作业流程；（2）信息安全的管理运行分级分域进行信息安全管理，即采取分级控制和按业务类型重要程度分域的管理，并对运维人员的职责范围明确划分；（3）设立以政府为主导的第三方监督审计机构，对电子政务服务安全性、合规性监督测评；（4）定期开展信息安全培训，加强人员的信息安全意识，健全内部机制，增强政府服务的安全防范意识和风险管理能力。

5 结语

该文研究信息安全管理系统满足电子政务业务的安全事件集中收集和处理能力，构筑了基于资产安全属性（CIA）和安全域的业务安全风险管理体系，通过关联分析和客户化关联分析规则定义，实现准确的事件定位，形成了统一的安全知识共享体系，可实现多级不同管理模式的功能，具备安全管理中心的高容错性、高可用性和高冗余可靠性。该研究成果具有良好安全管理中心的可扩展性，包括多级扩展、功能扩展，满足级保护三级―― 监督保护级要求，并遵循《关于印发的通知》（国信办【2006】9号）进行资产、弱点、威胁和采取的控制措施进行评估的要求。

参考文献

[1] 周晓斌，董瑞阳.电子政务信息安全十大问题[N].计算机世界，2009-06-29.

篇7

关键词： BOSS系统；风险评估；广电

中图分类号：F49 文献标识码：A 文章编号：1671－7597（2012）0210099－01

1 项目背景

随着公司整体融资上市，陕西广电确立了“管理架构集团化、产业发展多元化、经营运作市场化”的“三化”战略构想，并在全国率先完成网络整合，实现有线电视业务和数据多业务等全业务运营，公司从传统的有线电视运营商向综合信息服务供应商转型。2010年，伴随三网融合的逐步推进，陕西广电将加大全业务运营的步伐，有线电视数字化、数据业务、高清、互动业务等蓬勃发展。为适应企业业务的转型和业务的飞速发展，陕西广电于08年开始建设自己的运营支撑平台BOSS系统，这是陕西广电业务运营上台阶、管理上品质的一次里程碑式的重要举措，将全面优化陕西广电的业务运营，全面提升企业运营效率，因此，BOSS系统建设的成败、是否安全稳定的运行对于陕西广电至关重要。

根据信息安全与信息系统“同步规划、同步建设、同步运营”的三同步原则，陕西广电决定同步着手构建BOSS系统的信息安全体系。从风险控制以及安全经济效益的角度，“以安全保发展、在发展中求安全”，避免来自信息安全方面的风险，实现BOSS系统安全可管理、可运营，增强企业可持续发展的能力，最大限度实现间接的安全经济效益的提升。

那么，BOSS系统的信息安全如何建设、如何运营管理，依据是什么？信息安全风险评估是企业信息安全建设中关键的第一步，它将明确告诉我们BOSS系统有哪些信息资产，信息资产存在的漏洞、所面临的威胁以及主要的信息安全风险点在哪里，从而为企业的信息安全规划和建设提供最直接的决策依据，使得企业的信息安全建设能够有目标、有重点、有计划、有步骤进行。

2 项目实施

2.1 项目实施范围

本项目属于企业信息化中信息安全领域，陕西广电网络BOSS系统风险评估项目的重点是对BOSS系统的核心区域进行信息安全风险评估，同时，鉴于地市分公司之间在信息安全方面具有较强的共性，因此以抽样的方式，抽取了3个节点进行风险评估。

项目主要内容包括：

1）信息资产的清理和重要性赋值

2）安全技术漏洞和威胁的调研评估

3）安全管理漏洞和威胁的调研评估

4）全面分析BOSS系统存在的信息安全风险

5）提出BOSS系统信息安全管理体系改进建议

6）提出合理的安全技术解决方案建议

7）提出若干重要的信息安全管理制度和规范

2.2 项目实施内容

2.2.1 系统业务调研。业务调研的目的是使评估活动业务密切结合，安全建议能够与企业的业务发展战略相一致，通过调查BOSS系统上运行的所有业务和应用，了解主要业务流程，清楚的掌握支持业务运行的网络系统基本结构和安全现状，收集评估所需的资产属性信息。调研范围包括：评估的业务或应用、信息资产、人员、环境、活动、IP地址信息。

2.2.2 资产识别与估价。在BOSS系统的评估范围内，按照网络安全拓扑结构图的业务系统为主线，列出所有网络上的物理资产、软件资产和数据资产，并为每项资产赋予价值。首先根据调查结果对资产属性进行权值定义，然后对进行影响分析。主要从以下几方面来考虑：违反了有关法律或（和）规章制度、影响了业务执行、造成了信誉、声誉损失、侵犯了个人隐私、造成了人身伤害、对法律实施造成了负面影响、侵犯了商业机密、违反了社会公共准则、造成了经济损失、破坏了业务活动、危害了公共安全。

2.2.3 威胁评估。BOSS系统威胁评估过程中，首先要对组织需要保护的每一项关键资产进行威胁识别。用于威胁评估的信息能够从信息安全管理的有关人员，以及相关的商业过程中获得。

接着要做的是对每种威胁的严重性和发生的可能性进行分析，最终为其赋予相对等级值。评估确定威胁发生的可能性是这一阶段的重要工作。其中，威胁发生的可能性受下列因素影响：资产的吸引力、资产转化成报酬的容易程度、威胁的技术力量、脆弱性被利用的难易程度。

2.2.4 脆弱性评估。针对BOSS系统需要保护的信息资产，找出威胁所能利用的脆弱性，并对脆弱性的严重程度进行评估。脆弱性评估主要从技术、管理和策略三个方面进行。其中在技术方面主要是通过远程和本地两种方式进行系统扫描、对网络设备和主机等进行适当的人工抽查、对关键外网服务主机进行远程渗透测试；管理脆弱性评估方面主要是按照ISO27001的安全管理要求对现有的安全管理制度及其执行情况进行检查；策略脆弱性评估方面主要是从整体网络安全的角度对现有的网络安全策略进行全局性的评估。脆弱性评估所采用的方法主要为：问卷调查、顾问访谈、工具扫描、人工检查、文档审查、渗透测试等。

2.2.5 已有安全措施的确认。BOSS系统安全措施可以分为预防性安全措施和保护性安全措施两种，预防性安全措施可以降低威胁利用脆弱性导致安全事件发生的可能性，如入侵检测系统；保护性安全措施可以减少因安全事件发生对资产造成的影响。已有安全措施的确认是对已采取的安全措施的有效性进行确认，防止安全措施的重复实施。对于确认为不适当的安全措施应核实是否应被取消，或者用更合适的安全措施替代。

2.2.6 现状与风险的分析管理。首先是对各种数据的汇总和分析，从物理、网络、系统、应用、管理等方面全面分析，得出系统的整体安全现状，输出安全现状和风险报告。根据评估结果进一步完成相关的安全建设方案，明确保护哪些资产，防止哪些威胁，如何才能保证系统达到某一安全级别；所提出的安全方案需要多少技术和费用的消耗等。

3 项目推广情况及前景

3.1 贯彻“同步规划、同步建设、同步运行”原则

篇8

〔关键词〕图书馆；网络信息安全管理；模型

doi：10.3969/j.issn.1008-0821.2014.02.016

〔中图分类号〕g250.7 〔文献标识码〕a 〔文章编号〕1008-0821（2014）02-0076-06

借助于网络高新技术的发展，新的信息资源形态和使用方式，给图书馆读者带来便利的同时也必然存在许多隐患。计算机网络分布的广域性、开放性和信息资源的共享性，为信息的窃取、盗用、非法的增删、修改及种种扰乱破坏，提供了极为方便且难以控制的可乘之机，图书馆信息服务的权益及监督得不到有效的保障；同时，由于计算机网络的脆弱性，图书馆的网络系统本身经常处于黑客的攻击之中，一旦图书馆网络出现故障，轻则信息服务得不到有效保障、数据丢失，重则整个图书馆处于瘫痪境地。因此，在信息化时代，图书馆信息安全显得尤为重要，构建图书馆网络信息安全管理模型来保证网络信息安全，使其高效运行是图书馆现代化建设中一项迫在眉睫的重要任务。

1 信息安全管理概述信息安全管理，是指实施和维护信息安全的原则、规划、标准和内容的综合，包括信息安全策略、信息风险评估、信息技术控制和信息安全意识等。这些内容在一个信息安全治理框架下相互协调、相互说明，从而为组织提供全面的信息安全规划。它结合技术、程序和人员，以培养信息安全文化为目的，最终实现信息资产风险的最小化。为对信息安全内容有一个全面深入的了解，本文从信息安全原则、信息安全规划、信息安全标准和信息安全内容4个方面进行详细的论述，从而为图书馆网络信息安全管理模型的构建提供理论上的指导。

1.1 isa信息安全原则为保护组织的信息资产免遭威胁，tudor提出了一个全面灵活的信息安全架构方法（information security architecture，简称isa），这种方法提出5个关键性的信息安全原则（见表1）[1]。这些原则，可以了解组织工作的风险环境并对其实行评估和控制，从而减少这种风险；强调遵守国家信息安全法规的重要性，确保组织的机密信息受到国家的保护；涵盖信息安全技术与过程，满足组织信息安全的需要。表1 isa信息安全原则

原 则含义或目标1安全组织和基础设施确定角色、职责和执行赞助。2安全政策、标准和程序制定政策、标准和程序。3安全规划风险管理纳入安全规划。4安全文化意识和培训通过用户培训提高安全意识。建立用户、管理和第三方之间的信任。5监控规范监控内外部的信息安全。

1.2 cmm信息安全规划为给组织提供一整套信息资产免受未经授权的访问、修改或销毁的信息安全整体规划，mccarthy和 campbell构建了能力成熟度模型（capability maturity model，简称cmm）[2]。该模型包括7个信息安全规划内容（见表2），目标是从战略层面开始并用战略水平去指导技术等方面的工作，在评估当前信息安全风险的基础上构建合适的解决方案以减轻风险，并在实践过程中对各解决方案集成应用与监控。表2 cmm信息安全规划

规 划含义或目标1安全领导安全赞助、安全策略以及投资回报。2安全规划安全规划程序、资源和技能。3安全政策安全政策、标准和程序。4安全管理安全操作、监控和隐私。5用户管理用户安全管理和意识。6信息资产安全应用程序的安全、数据库/元数据的安全、主机安全、内外部网络安全、杀毒及系统开发。7技术保护与持续性物理和环境控制与持续规划控制。

3 protect信息安全标准在eloff.j.h和eloff.m所主持研究的“protect”项目，是政策、风险、目标、技术、执行、合规性和团队的英文首字母的缩写，对信息安全管理及标准进行了综合的介绍[3]。“protect”项目涉及各种集成控制的方法，在确保组织的有效性和效率的基础上尽量减少风险，目的是全方面解决信息安全的问题。为实现项目目标，该项目提出了7个信息安全标准（见表3），确保信息安全规划从技术术和人文角度得到有效的实施和管理。

1.4 iso/iec 17799和iso/iec 27001信息安全内容国家标准组织（iso）指出信息安全技术是实现信息安全管理的关键点，通过技术对信息系统进行安全性控制，是信息安全管理的重要内容。

了更好地实现信息安全控制，iso提出了11个具体的信息安全控制内容（见表4），这些内容已成为国际上通用的信息安全内容的重要标准，即通常所说的iso/iec17799[4]。而iso/iec 27001是iso/iec 17799的第二部分，提出了包括操作、监控、审查、维护和提高等一系列持续改进信息安全管理系统的方法与过程[5]。表4 2 图书馆网络信息安全内容的选取与管理模型的构建 前文所述的信息安全管理的原则、规划、标准及内容是基于整个信息社会行业而言的，具有一定概括性且4个方面之间存在着重复性，为了构建出更具针对性的图书馆网络信息安全管理模型，笔者根据图书馆的特性对信息安全管理的原则、规划、标准和内容进行选取与整合，构建出符合图书馆应用要求的信息安全管理模型。

2.1 图书馆网络信息安全内容的选取图书馆网络信息是对外开放并以支持教学和科研为目的。在这种情况下，网络信息安全是指读者未经授权无权使用、移动、修改和破坏图书馆信息。在对图书馆信息采取安全保护措施时必须确保其具有以下属性：①保密性：确保图书馆隐私信息的安全。此类信息必须严格控制读者访问量，只能授权一定级别的读者访问；同时，有权限访问图书馆隐私信息的读者也不能向公众透露相关的隐私信息。②完整性：确保图书馆信息是准确、完整并具有持久性。因此，图书馆信息安全管理要确保图书馆信息内容不是残缺不全的、失踪的、腐朽的、任意放置的，外借、故意或意外变化不会边缘化，在盗窃或破坏中具有安全性。③可用性：读者在授权时间内能无限制地访问并获取图书馆信息。图书馆必须有一个安全稳定的信息管理（网络）系统来支撑图书馆的运行，确保图书馆信息能及时传递而不会被延误。在维护图书馆信息安全的同时确保图书馆信息的保密性、完整性及可用性不缺失，这就要求在构建图书馆网络信息安全管理模型时对信息安全内容的确定带有一定的甄别性，不能将信息行业安全管理的所有原则、规划、标准及内容全部应用于图书馆安全管理。根据图书馆信息的特性，本文从管理、运行与操作、人员、建筑与技术及安全文化5个维度对图书馆信息安全的内容进行了选取，这5个维度的具体内容在图书馆网络信息安全管理模型中将会详细论述。

2.2 图书馆网络信息安全管理模型的构建图书馆网络信息安全管理目标是为图书馆网络信息安全保护提供整体性方案，结合管理、运作流程、人文、建筑与文化氛围来保证图书馆信息安全管理达到一个合理水平，从而保证图书馆信息风险最小化。为实现这一目标，abashe atiku maidabino和zainab在满足图书馆信息的特性上，将da veiga和eloff构建的“房屋模型”[6]加以简化与融合，构建出图书馆网络信息安全管理模型[7]，见图1。该模型将所有信息安全因素集合，确保图书馆信息能够得到充分保护，同时为图书馆提供一个全面的方法和工具来实施和评估信息安全管理。模型内容主要集中于5个维度：（1）管理维度：正确的领导，政策与程序到位；（2）流程和操作维度：包括实施过程、政策；（3）人员维度：读者/馆员信息安全意识和图书馆信息安全项目培训；（4）建筑和技术维度：支持馆藏信息安全项目；（5）安全文化维度：将图书馆馆藏信息安全理念有意识地植入馆员日常工作中[8]。图1 图书馆网络信息安全管理模型

管理维度是指一组角色的规定，信息安全政策制定与管理由负责制定目标和政策的安全管理团队成员行使，从而确保目标和政策的实现，信息风险的评估与管理。图书馆的安全管理团队由图书馆各部门高级管理人员和安全部门的人员组成。这些成员应具备必要的信息应用和安全管理方面的经验和知识，这些成员被授权管理时能够遵守信息安全政策。信息安全管理责任是模型中管理维度的重要部分，这就要求图书馆应规划与制定精确的信息安全管理策略，明确风险管理的目标和方向。信息安全风险评估在图书馆各级安全规划风险设置中处于优先级别。馆藏信息定期风险评估规则的编制涉及图书馆资产类型、收藏价值、识别可能出现风险的威胁、漏洞和成本分析等详细的情况。信息安全漏洞可以通过会议、问卷、观察和报告来确定。通过信息安全漏洞的监测和风险评估过程的完善可以降低图书馆信息安全的风险，并能缓解图书馆的一些过度的承诺。管理维度强调要为图书馆信息管理、记录、维护、审查、更新风险管理政策和程序编写报告，通过快讯、交互式网页及其他内部刊物在馆员与读者之间

广泛宣传馆藏信息安全管理的必要性，将信息安全意识植入馆员与读者脑袋。这一维度有利于为图书馆提供良好的馆藏安全管理信息。流程与操作维度是指信息安全管理团队为图书馆各相关部门制定信息安全管理运行方案的过程。分别是：（a）采访部：参与接收，标记并建立可用于识别丢失、错放地方和费用的库存清单，以便于图书馆备份和恢复；（b）流通部：创建手工或计算机系统对图书馆纸质信息进行丢失、被盗、错位、滥用、损坏等方面进行盘点，通过访问控制和信息的记录与跟踪，确保图书馆信息安全系统的修理与维护；（c）编目、技术部：通过图书馆opac系统对馆藏信息集合进行处理，应用图书馆识别标记建立和验证馆藏信息所有权，标识未经处理的信息并进行访问控制；（d）特藏部：对有价值的馆藏信息载体进行保护与保存，授权访问与监控。人员维度是指读者和执行安全管理政策与程序的馆员的安全意识。它规定图书馆需要阐明信息安全管理人员的角色和责任，对馆员进行有效的安全意识培训，帮助他们获得处理安全事件、准备可靠实用安全报告的知识。建筑与技术维度涉及信息安全管理所需要的建筑与技术氛围。建筑氛围是指信息安全管理措施应与图书馆建筑的物理结构和藏书空间融为一体：控制图书馆出入口；需要id卡身份识别进入图书馆特别是特别馆藏区域；制定保安巡逻图书馆的时间表。技术氛围包括技术实践和嵌入到馆藏安全应用规划中的各种程序。它强调使用电子安全系统等技术设备来处理馆藏应用过程，控制安全漏洞，并在图书馆出入口点安装安全系统。这就意味着图书馆需要安装电子反盗窃设备、可视化相机、烟感探测及出入口、阅览区报警系统等安全设备。这将有助于防止图书馆藏书的丢失和对阅读区、参考咨询区及书库进行可行性监控和读者流量的检测。安全文化维度作为图书馆网络信息安全管理模型构成基础的安全文化，包括读者和馆员对图书馆信息重要性的态度、信息保护存在的安全漏洞、信息相关事件的意识、阻碍或限制信息安全管理系统有效性的意识。意识是一个看不见但可以通过行为来证明的元素，如（a）图书馆馆员的馆藏信息安全政策和管理过程的认识水平；（b）馆员对安全政策和程序重要性的态度；（c）安全漏洞和安全验收责任的意识[9]。图书馆网络信息安全管理模型中的安全文化是一种安全责任相互共享的文化，安全人员能够相互提供信息和工具来应对各种安全情况。这种态度与意识能够确保图书馆信息安全治理、管理和运行的有效性。图书馆网络信息安全管理系统在权重一致的5个维度的相互作用下，在馆藏信息得到安全管理的同时还能确保其在保密性、完整性和可用性上维持在一个合理的水平。

3 图书馆网络信息安全管理模型应用方案目前，在图书馆的计算机网络上有馆藏书目信息、读者信息、各种电子文献数据库、光盘数据库检索系统、图书管理系统、特藏数据库等内容[10]。这些电子资源信息如果受到破坏，那么损失将会非常惨重，很可能会造成整个图书馆系统瘫痪。就目前的状况来看，图书馆所面临的网络信息安全问题主要有黑客攻击、计算机病毒、网络物理设备安全隐患、网络设备配置安全与人员造成的安全隐患等方面。为了预防与应对上述隐患对图书馆可能会带来的网络信息安全故障，图书馆应按照网络信息管理模型5维度的要求，建立起科学、规范、有效的网络信息安全管理流程（见图2），将网络信息安全隐患处理于萌芽之中。图2 图书馆网络信息安全管理流程

应用图书馆网络信息安全模型处理网络信息安全故障，其管理流程可分为3个阶段：故障初排阶段、故障处理阶段与评估阶段。在故障初排阶段，图书馆工作人员或读者在应用图书馆的过程中，如果发现信息安全故障，应及时进行隐患初排并上报技术部，由技术部工作人员对该事件进行了解，并请求技术部主管上报给以馆领导为主的信息安全管理团队；在故障处理阶段，技术部工作人员根据事件了解进行安全故障检查并调查影响范围，从而形成第一次进程报告，并将其上报给馆领导，由馆领导进行资源调度后，技术部应急抢修；技术部附上应急抢修进程报告上报给馆领导形成第二次进程报告，然后结案、审核并归档；在评估阶段，各部门对此次信息安全故障事件进行评估总结。图书馆网络信息安全管理模型是以人为核心的信息安全保障体系，它强调的不是技术问题，而是管理的问题。图书馆网络信息安全在以馆领导为核心的安全管理团队的

领导下，在工作人员、读者的共同配合下，依靠科学的管理流程，定能将图书馆网络信息安全管理达到一个全新的层次。 　4 结束语构建一个适应计算机网络普遍应用的图书馆网络信息安全管理模型，不仅是适应新形势的需要，也是图书馆信息数字化建设的重要组成部分。随着图书馆社交网络应用的普及，图书馆信息将面临更大的开放性和更多的安全方面的挑战。图书馆网络信息安全管理模型是一个包括技术、管理、人员和安全文化等多个环节整体性很强的体系，不能孤立或静止地看待和解决问题，网络信息安全性的提高依赖于不断的技术进步和应用，依赖于管理的逐步完善和人员素质的全面提升。相关人员应根据网络信息的特点和需求，进行有针对性的系统设计，不断地改进和完善网络技术的安全工作，更好地推动图书馆网络事业健康发展。

参考文献

[1]j.k.tudor.information security architecture—an integrated approach to security in an organization[m].boca raton，fl：auerbach.

[2]mccarthy m.p，campbell s.security transformation[m].mcgraw-hill：new york.

[3]eloff j.h，eloff m.integrated information security architecture[j].computer fraud and security，2005，（11）：10-16.

[4]iso/iec 17799（bs 7799-1）.information technology，security techniques[s].code of practice for information security management，britain.

[5]iso/iec 27001（bs 7799-2）.information technology，security techniques[s].code of practice for information security management，britain.

[6]a.da veiga，j.h.eloff.an information security governance framework[j].information systems managenment，2007，（4）：361-372.

[7]abashe maidabino，a.n.zainab.a holistic approach to collection security implementation in university libraries[j].library collection，acquisitions & technical services，2012，（36）：107-120.

[8]sipone m.t.five dimensions of information security awareness[j].computer and society，2000，（6）：24-29.

[9]holt g.e.theft by library staff[j].the bottom line：managing library finances，2007，（2）：85-92.

篇9

信息安全检查的作用

为了收集信息系统的运行数据、了解信息安全管理体系的运行情况，及时发现信息系统存在的安全问题和修补安全漏洞，各大银行普遍采用安全检查的方法，提升信息系统的安全保障能力：一是检查信息安全保障体系的建设情况、信息系统安全管理制度的落实情况，提高信息系统安全管理水平；二是检查科技人员的安全技术水平以及安全培训教育情况，强化他们的信息安全意识；三是检查信息系统运行情况、日常操作中的安全控制措施，促进完善安全内控机制，及时处置操作安全风险；四是检查信息系统数据存储、传输、使用等数据管理情况，防范数据泄露风险；五是检查应急预案制定情况以及应急演练结果，提高对突发事件的应对能力。信息安全检查工作的内容信息安全检查工作是为了查找信息安全问题和薄弱环节，采取一定的检查或检测方法，发现安全现状与安全要求之间的差距，以便有针对性地采取防范对策、改进防范措施，进一步提升安全防范能力，预防和减少重大信息安全事件的发生，切实保障信息系统的安全稳定运行。在进行安全检查前，首先要确定安全要求、明确信息安全检查工作中要检查的项目。邮储银行以信息安全保障评估框架为指导，以等级保护系列标准为基础，结合银监会、中国人民银行等监管机构对信息安全管理的相关监管要求，提取内部管理制度中对安全的相关要求，制定了具有特色的安全检查要求，形成了《邮政金融计算机系统安全检查手册》。该《手册》从主机安全、网络及边界安全、应用安全、数据安全、基础设施安全、网点终端安全、运行安全、安全管理8个方面归纳整理出400多个安全检查项。该《手册》明确了信息安全检查工作的检查内容、检查要点和检查方法。

信息安全检查的实践

邮储银行开展的2014~2015年度信息安全检查工作，包括了制定检查工作计划、信息安全检查、问题整改和检查总结等阶段。制定检查工作计划。在选取安全检查项目时，紧紧围绕年度安全管理目标，结合年度信息安全工作的重点领域以及运行维护工作中容易忽视的安全问题。2015年的安全检查在兼顾检查全面性的同时，确定以网络边界安全、主机安全、数据安全3方面为检点，从《手册》中选取100个检查项，同时规划了现场检查工作的方法、工作过程等内容，从而形成年度安全检查方案。随后，根据各安全检查项目在保障信息安全中的作用以及现有条件下实现的难度等实际情况，将安全检查项分成基本要求项和增强要求项并对其赋予不同的分值，建立起安全检查的量化评价标准。检查完成后，可以通过评价标准直接给出的分数，直观地评价、比较各分行信息安全工作的情况。在组建安全检查队伍时，每个检查小组由总行、分行的信息安全人员组成。各分行分组交叉检查的方式，便于各分行通过检查相互学习、取长补短，提高信息安全的保障能力和水平。

实施信息安全检查

信息安全检查围绕安全检查项目，采用登录系统检查、在线工具检查、查阅制度文档、访谈关键人员、巡查网点等方法，收集安全运行数据，评价安全管理水平。登录信息系统设备检查安全配置基本情况，重点关注系统日志、操作日志、配置文件等信息；使用安全漏洞扫描工具检测设备存在的风险点；通过检查设备的使用状况，评价基层单位对信息资源的控制能力是否满足安全保护的要求。查看各监控系统的监控记录，确认各项报警得到及时处理。查阅规章制度，了解安全规定是否覆盖安全工作的所有领域；浏览审批记录、登记表等详细信息，了解日常工作中安全规定的执行情况。通过访谈相关岗位人员、现场观察各岗位人员的实际配合情况，了解日常工作流程中是否存在安全漏洞；通过实地检查网点，最直观地从工作环境考察安全管理细节，查看基层各项安全制度的落实情况。在检查过程中发现的问题，现场检查组以事实确认单的形式进行记录，并在现场检查总结会上与被检查机构的人员进行沟通和确认，作为后期整改工作的基础依据。

问题整改

在完成了现场检查工作之后，各检查小组汇总事实确认单，梳理出需要各分行着手整改的问题，针对每个分行签发安全检查整改通知书，要求各分行对症下药完成整改工作，以完善信息系统的安全防护措施。对网络边界问题的整改，完善了网络各区域特别是第三方接入区防火墙、路由器、交换机的安全配置，对经过网络边界的重要信息实施相应保护，提升了抵御外部网络攻击的能力。对主机安全问题的整改，调整了各类软件的安全配置参数，使之遵循最新版本安全配置基线的要求，提升了主机的安全防护能力。对数据安全问题的整改，增强了数据访问的身份认证和访问控制机制，防止非授权使用，保证数据免遭泄露和篡改。同时加强了对备份数据管理，有效保护了数据的高可用性。对检查中发现的其他问题进行整改，促进了在运行维护过程中主动采取更加有效的安全措施，升级管理手段，使安全管理更加全面覆盖到安全保障架构的各个方面。

检查总结

经过一段时间的信息安全检查整改工作，各分行报告了每个问题的整改完成情况。总行依据整改报告评价各项整改措施的有效性，评估信息安全状况和防护水平，促进总行对信息安全管理工作进行持续监管。

持续改进的信息安全检查工作

篇10

英特尔前执行副总裁兼首席行政官安迪・布莱恩特（Andy Bryant）曾这样评价：“IT部门碌碌无为，英特尔也会无所作为；IT部门表现出色，英特尔就有了成功的良好基础。”日前，《2010-2011年英特尔IT部门业绩报告》（下文简称《报告》），分享英特尔IT部门创造业务价值的经验，这是英特尔第十期IT年度业绩报告。

一年价值数据说话

英特尔全球副总裁兼CIO黛安・布莱恩特（Diane Bryant）指出，英特尔IT部门通过主动投资，提高员工工作效率来促进业务发展和增加收入，并且提高业务运行效率，降低成本，这借助了很多革新的信息技术和IT实践。

《报告》显示，2010年，英特尔IT部门使制造周期缩短了65%，订单交付时间缩短了65%，工程设计的等待时间缩短了61%……一系列数据显示出IT在英特尔业务中的重要地位。英特尔中国区CIO李克定（Liam Keating）在谈及《报告》时说，在创造业务价值方面，IT部门始终关注在业务解决方案上。

英特尔的核心竞争力之一是世界级的制造管理，IT作为坚实后盾，从2010年初开始，英特尔IT部门开始进一步整合工厂自动化系统和IT系统。通过系统整合，英特尔的晶圆制造工厂从改进中受益，以前需要6～9个月才能实施的关键组件，现在在3个月内就能完成部署。而在创建高效供应链方面，工厂的库存减少了32%，对客户的响应速度提高了3倍，这些成绩的取得与支持全新设计业务流程并提供高效信息系统的IT部门密不可分。不仅如此，在资产设备优化、加速产品开发、降低产品退货成本、赢得新客户等方面，英特尔通过ERP、在线中心等手段，也始终在优化中大幅提高效率。

在预算固定的情况下，英特尔利用ITIL框架来改变IT服务和支持方式，优势在2010年就可已经开始逐步显现。作为在英特热推广精益六西格玛计划的业务流程设计大本营，该项目的325个项目已经完成或正在实施中，目前正侧重于优化项目生命周期工作流程、数据存储和资产管理等方面。

如何制定最佳实践

企业IT部门经常要收到来自各业务部门的需求，但要在不超出预算，人力有限的条件下一一满足已非易事。更具挑战性的是，如何抽身出来，立足长远制定好战略目标，把挑战、环境和趋势都融入到IT发展蓝图和决策当中?

英特尔的做法中最重要的环节是交互：IT部门每年都会与业务团队召开高层会议，就优先级和同步提交拨款申请达成一致；并且还会与产品部门进行战略性讨论，在专业技术和行业趋势方面进行知识共享，参与到英特尔产品、解决方案和整体战略当中；在与产品规划、设计和市场推广部门召开的联合会议中，双方讨论的是IT技术验证、概念验证，以及与英特尔产品发展蓝图有关的架构评估。

“我们会进行调查和采访，评估服务情况，确定在哪些方面需要改进。”李克定介绍说，IT团队会邀请高级业务团队代表，评估IT部门的表现，并在2010年通过“用户心生”调查收集了来自不同地区近2000名员工的反馈。这样的调查范围还将继续扩大，对着重关注的目标领域进行调研。

要获得业务团队的信赖，还必须要明确量化并传达IT项目的业务价值。英特尔为此实施了全新的财务运营管理流程，以参考框架的方式列出了重要IT项目的优先级列表、业务价值、项目成本、风险以及成功标准，支持把更多资源从低价值项目转移到高价值项目当中。

未来聚焦三大方向

与行业同仁一样，英特尔在面对日新月异的技术变革时也必须迅捷响应。李克定介绍说，英特尔的IT着力点将是IT消费品化和全球协作，云计算及虚拟化应用，保护企业信息。

在业务周期缩短的环境中，分散于全球各地的英特尔员工必须要解决相互协作和无缝连接的问题。而此时，个人的生活环境和工作环境正在融合，他们期待能自由选择适合其工作方式的设备，比如使用智能手机和平板电脑来访问内部网络和数据，包括引入社交网络，但这会带来大量安全性和隐私问题。英特尔IT部门制定策略，与人力、法务、安全等部门协作，开始提供弹，截至2010年末，全球约有8600位英特尔员工用智能手机访问企业信息。据了解，英特尔还计划对客户端虚拟化进行更多概念验证测试，从而跨越不同计算设备。

而在传统客户端方面，英特尔每隔两到四年就会根据用户分类，提供更高性能的移动商用电脑。“我们正在部署采用博锐技术和固态硬盘的产品。”李克定说，采用主动客户端管理的方式在降低成本、提高效率方面很有成效，而性能优于硬盘的固态硬盘也已经成为新一记本的标准部件。

为了加强不同区域团队的协作，IT部门在视频会议方面投入巨资。2010年，英特尔具备视频会议功能的会议室增加了两倍以上，据估计，这为员工节省了约57000小时的差旅时间，节省差旅费2600万美元。

始于六年前的云计算之旅在英特尔也开始渐入佳境。将英特尔全球计算网格的经验应用于办公和私有云开发中。作为关键一步，有数据显示，2010年初，英特尔计算环境的虚拟化程度为12%。到年底已经达到了42%，预计将在未来几年内，实现75%的环境虚拟化。在陈旧、低效服务器上运行的任务被整合至更少数量的新型服务器上，实现了高达20∶1的虚拟化整合比，功耗降低了90%，英特尔因此获得了来自欧美多个组织机构的能源补贴。《报告》显示，英特尔在近几年中，数据中心的数量减少了1/3，性能则提高了2.5倍，预计2014年前将创造6.5亿美元的业务价值。