企业运维管理中信息系统安全风险控制探讨

导语：企业运维管理中信息系统安全风险控制探讨一文来源于网友上传，不代表本站观点，若需要原创文章可咨询客服老师，欢迎参考。

摘要：为了有效控制运维管理中信息系统的安全风险，文章通过对信息系统控制难点进行研究，分析了现今系统存在的安全风险，并制定了详细的解决策略。以期能够对非法访问、信息篡改的问题进行有效的控制，为今后企业运维管理提供可靠的参考数据，为企业的发展做出有力的支撑。

关键词：企业运维管理；信息系统；安全风险

随着信息时代的来临，信息系统和技术已经成为当下各个领域不可或缺以及赖以生存的基础性建设。现今信息已经成为衡量一个企业综合竞争水平的重要标志。但是，信息技术在不断支撑着企业业务开展的同时，其在运维方面也会产生相应的安全风险，主要表现为非法访问、信息篡改以及信息泄露。这些风险就会对企业的信息安全带来巨大的隐患。

1信息系统安全风险的控制难点

近年来随着网络技术的不断更新，企业也通过各种安全措施加强了信息系统安全风险的防护措施，但仍存在两个难点，首先是信息系统的高风险性，由于当下信息系统较为复杂，且漏洞较多，就会使得系统处于高风险性，使得运维人员很难进行控制。其次是当下IP管理以及信息系统的规模逐渐增加，也就使得攻击源变得多样化，运维人员无法进行有效的追踪，也无法进行有效的防护。

2企业运维管理中信息系统安全风险分析

近年来，信息时代的脚步逐渐加快，信息化的水平也在与日俱增。信息技术也以其方便、实用等特点广泛地应用在各企业之间。而为了更好地将信息技术的最大作用发挥出来，就需要定期对其维护。但是随着信息系统的应用需求逐渐增加，网络规模的不断扩大，使得信息系统的结构愈加复杂，也使得技术漏洞逐渐增加，这就会对企业的信息系统带来安全隐患。在现今运维管理中信息系统的安全风险主要包括下述几个方面。

2.1服务器终端层面的风险

服务器终端层面的风险主要分为下述几个部分：①信息系统的基本安全保密配置不够完善，管理不够成熟，这就使得用户可以私自更改BIOS的启动顺序，使得安全防护产品的失效，从而进行信息的窃取和篡改；②安全风险的报警装置不够成熟，不能够达到预期的效果，通常会由于安全产品之间的兼容性问题失去应用的效用，出现误报或者漏报的情况。然后就是系统含有漏洞，信息系统最主要的部分就是系统，在当下的企业中应用的操作系统基本上都为Windows系列，而一些停止补丁升级的Windows系统就存在着漏洞，很容易受到侵蚀，进而造成数据的丢失。2.2网络层面的风险在网络层面安全风险主要为网络设备的安全配置不当，通常会开启多余的服务或者端口，这就存在了被非法访问的隐患。同时在访问控制方面不能对接入进行有效的控制，会造成设备非法接入的风险。另外，企业通常不会对用户进行分层、分级，这就会导致网络拓扑混乱，使得企业重要的信息资源存在被非法授权访问的安全隐患。

2.3硬件层面的风险

现今，企业都拥有大量的硬件，且都是采用的国外进口。企业根本无法知晓底层硬件的工作机制，其是否含有隐藏通道等。例如惠普的某型号服务器已经被证实存在后门，这些设备的运维都需要专业的工作人员进行，这也就会使得维修过程容易发生信息篡改或者信息窃取的风险。2.4应用层面的风险应用层面的风险主要就是身份认证的管理不够完善。管理员的口令较弱、用户名和密码过于简单等都会被攻击者利用。甚至在当下一些企业还有用户名公用、滥用的现象，这就更给攻击者提供了良好的机会，攻击者可以通过这些漏洞进行水平提权，进而对信息进行窃取，甚至其可以获取管理者的权限，对系统进行控制，这就会给企业造成巨大的经济损失。

2.5安全审计层面的风险

在当下的信息系统风险管理都会部署一些安全监测产品，例如防火墙、杀毒软件等。这些产品只能针对某类安全问题有效，这就使得信息系统的审计工作变得松散，不能形成完整的体系。而且由于系统的兼容性等原因，总会出现误报、漏报的现象，这就会对审计的作用带来巨大的影响，使其无法发挥其应有的效用。另外，企业虽然相应的部署了安全管理平台进行日志的收集，但在当下的信息系统中智能分析能力较弱，不能够对全局进行有效的监控，也就没有办法实现综合监控和安全风险的态势分析。

3企业运维管理中信息系统安全风险的控制策略

通过对上述安全风险的问题进行有效的分析，基于信息的特点，本文提出了下述信息系统安全风险的控制策略。

3.1加强信息系统数据资源的安全风险控制

数据资源的风险控制主要从三个方面进行：①存储安全，可以采用先进的加密技术对信息数据库进行加密处理，从数据资产产生的源头进行安全防护体系的构建；②标识安全，通过标识技术对信息进行去区分标注，经过审计后，让标识与信息系统密不可分，这样就不会出现信息篡改的问题；③访问安全，可以采用强制访问控制的方式，对访问主体进行限制。例如，某些数据非管理员权限仅能读取，不能够打印或者重新编辑，而一些重要信息限制再无权观看。

3.2加强信息系统的信息安全风险控制

信息安全主要就是对应用安全进行控制，通过对系统的需求进行有效的分析，设计开发指导验收运维过程中进行安全保障。同时还要定期对系统进行渗透测试，如果企业的技术较为先进，还可以通过源代码进行安全风险分析，仔细地对漏洞进行查找，如果发现及时进行修复，长此以往就会不断提高系统的整体安全性。另外还要将运维过程中出现的问题进行整体分析，这样就能够形成较为完善的风险控制规范，为后续的系统安全提供可行性较高的参考数据。

3.3构建运维风险控制平台

针对认证管理和孤岛等问题，就可以亿堡垒机为中间体进行控制平台的构建，形成对企业信息系统全面的安全监控。通过安全防护产品的报警日志和应用系统的审计日志，构建威胁事件的审计模型，构建完善的综合安全事件分析统计平台，这样才能对风险事件进行关联审计分析，最终实现实时报警的效果。

3.4加强信息系统的管理和梳理

要想切实地提高企业的信息系统运维管理能力，必须要加强信息安全专项检查，要制定详细的规范来明确信息系统日常需要进行的管理操作，还要对日常管理的具体细节进行定义，这样才能使信息系统日常管理规范、明确，继而使其信息化和制度化。还要闭环管理信息安全风险和运维实践，防止低层次的信息安全问题发生。另外还要加强专项检查整体提高信息系统的安全运维能力。同时还要对信息资源进行有效的分类整理，要构建完善的应急备灾能力，还要定期对应急备灾的能力进行检测，例如可以临时构建信息丢失的问题，看其恢复能力，只有这样才能有效地保障备份能够及时地恢复。

3.5构建完善的信息风险防护体系

正与邪、矛与盾、攻与防，永远都是相对存在的。在信息系统风险控制上也是一样的，要想预防攻击者的非法入侵，就必须要建立完善的信息风险防护体系。所以，企业要培养构建一支团队，让其不断进行学习，掌握攻击的技术，然后让其对企业的防护系统进行破坏，进而完善，只有不断地从攻击者的角度去思考，才能够构建完善的防护体系，只有不断进行攻防，才能够更好地提升信息风险防护体系，让其更好地保护信息系统，防止信息窃取和篡改的问题出现。

4结语

综上所述，虽然当下企业对信息安全风险的防护工作不断重视，也构建了许多防护的措施，具备了一些防护能力，但由于信息技术的不断发展，使漏洞变得更加隐蔽。所以，企业要想稳定发展，必须要采取措施对信息系统安全风险进行运维控制，只有这样才能有效的保障企业的经济利益，为企业的发展做出有力的支撑。

作者:徐美霞 单位:广东电网有限责任阳江供电局

参考文献：

[1]上官琳琳.企业信息系统的管理与运维研究[J].管理观察,2014(18):100-101+104.

[2]何芬.企业运维管理中信息系统安全风险控制探究[J].信息技术与信息化,2014(5):208-210+212.

[3]石磊,王刚.关于企业信息安全风险管理系统的研究[J].华北电力技术,2013(9):65-70.

[4]姚远,肖应霖,谈向东.信息安全风险管理在企业访问控制管理中的应用研究[J].信息网络安全,2012(12):77-79.

[5]利用统一安全运维管理平台建设企业信息安全可度量体系[J].计算机安全,2011(2):93-94.