安全保障管理策略范文

引言：寻求写作上的突破？我们特意为您精选了12篇安全保障管理策略范文，希望这些范文能够成为您写作时的参考，帮助您的文章更加丰富和深入。

篇1

档案工作的安全保障工作主要是针对档案信息资料而言的。对档案信息资料进行合理地利用和保管是档案安全保障工作的重点。接下来，笔者就从档案管理的安全保障工作上来进行详细地探讨：

（一）预防先于补救的安全策略

相关的档案管理工作人员要对预防工作的重要性加强重视，要在档案信息没有出现问题的情况下做好预防工作，这样一旦档案信息出现了任何问题就可以及时采取措施来进行处理和改进，做到未雨绸缪。从实际的工作上开看，主要是将先进的技术和手段应用在档案管理的安全保障工作中，促进档案管理的信息化建设水平。从当前我国档案管理信息化建设的工作形式上可以看出，档案的信息化系统可能会受到病毒的侵袭。导致系统的功能降低，系统严重受损，导致一些档案信息被窃取，进而降低整个系统的性能。严重的还会造成经济损失，使得档案管理系统处于崩溃的状态。因此，相关的技术人员和管理人员要对这一问题加强重视，聘请技术人员对加设相应的防火墙，或者是采用相关的杀毒软件来对信息资料进行保护，防止病毒的入侵。

（二）防内防外共同作用的安全策略

要努力做好档案的安全保障工作需要从多方面来进行，不仅包括企业或者是组织的外部还要从内部入手，保证档案工作的安全性。在档案工作进行的过程中，要对可能出现的安全问题进行探讨和分析，通常情况下，档案工作的内部出现的安全问题比外部的问题要多，无论是在数量上还是在质量上都是如此。究其原因主要是由于档案管理工作人员的工作积极性以及责任意识不强，或者是工作能力以及专业技能没有达到相应的标准。所以，企业的档案管理工作人员在工作的过程中，会出现档案资料信息管理的不到位，或者是受到利益的诱惑而出现档案信息泄露的问题。除此之外，对计算机操作系统的了解程度不够往往会出现账目或者是管理的不科学性问题。可见，企业发展的内部所涌现出的问题要远远多于外部，因此，档案管理部门要加强对工作人员的培训，以提高其专业技能和综合素质为标准，培养其安全意识。

（三）持续发展战略

做好档案信息的安全保障工作并不是短暂性的工作，应该具有一定的长期性。因此，档案信息的安全问题要得到人们的高度重视。其中较为重要的就是科技的应用。现如今，无论是产品还是管理理念都在进行不断的更新换代，档案管理工作的各项内容都在不断变化，不仅存在着严重的漏洞，还会造成严重的经济损失和信息的泄露。为了避免档案信息的不稳定性持续存在，需要完善管理措施，制定相应的制度，将安全保障工作放在首位。实现档案信息安全的稳定性以及可靠性。

二、档案管理中安全保障工作的具体措施

（一）全网安全运行体系

全网安全就是指对网络运行的各个发展阶段的管理，实现统一的发展，促进网络运行的高效性。这是档案管理工作人员以及网络运行技术人员重视的问题。只有认清这些问题，才能将具体的工作落到实处。

对于全网运行的安全性来说，其薄弱环节是产生严重影响的重要环节。可见，网络运行的某个端口或者是某台机器出现了故障很有可能造成整个网络系统的瘫痪。因此，在实际的工作中，工作人员的安全意识要不断加强，对于网络系统的各个软件以及硬件等都进行系统的维护，同时要对出现漏洞的环节进行修复或者是升级，提高档案信息管理的自动化水平。另外，管理系统的认证服务以及加密体系等都需要和管理措施以及技术方式等向连接，提高管理的高效性和稳定性。另外，档案信息管理的安全性会随着时间的变化或者是办公地点的变化而出现明显的问题，因此，相关的网络管理工作人员要从全网的角度出发，落实安全保障措施。促进档案管理工作的高效进行。

（二）联动安全与全网安全的重要

保障档案馆网络安全的基础设施、网络按防护体系、安全管理标准规范（包括法律法规、技术标准、管理制度和操作规范等）等集成起来协同工作，实现档案馆网络环境中从网络及其基础设施、各种软件系统、硬件设备的同步管理和联动安全服务出发，建立由网络、系统、机构、组织和个人共同构筑档案馆安全运行的一体化保障体系。

（三）档案馆全网安全运行

篇2

中图分类号：TP311文献标识码：A文章编号：1009-3044(2010)20-5501-02

1 高职院校教学管理系统应用的背景和现状分析

随着近年来我国教育改革的深化，素质教育的全面推进，高校扩招政策的出台，高职院校办学规模不断扩大，对教学管理部门而言，增加工作量的同时工作难度也增加了，管理手段的落后直接影响教学质量和办学水平。面对挑战，许多高职院校纷纷启动并加快了数字化校园建设的步伐，相继建成校园网，搭建了数字化校园的硬件平台，运用教学管理系统，将日常教学管理事务纳入信息化和网络化管理中。

根据系统的开发时期、使用要求、技术实现方式等差异，可以将高职院校教学管理系统划分为三个不同的发展阶段：1）是单机管理系统。这种系统功能单一落后，软件实现简单、性能差，主要用于完成某些单方面的教学管理功能。2）是采用C/S工作模式局域网管理系统。具有强大的数据操作和事物处理能力，模型直观简洁，易于人们理解和接受。但随着学校规模的日益扩大，软件功能的不停升级，二层C/S模式的局限性逐渐彰显：① C/S模式的开发和维护成本较高，因为对不同的客户端要开发不同的程序，并且应用程序的安装、修改和升级均必须在所有的客户机上走一遍；② 随着客户端对数据处理功能的要求增加，客户端的负荷越来越重，造成“胖”客户端现象，打击了系统的整体性能；③ 数据安全性不好，因为客户端程序可以直接访问数据库服务器，因此在客户端计算机上的其他程序也有途径访问数据库服务器，从而使数据库的安全性受到威胁。3）是以web技术为基础基于B/S工作模式的教学管理系统。这是随着web技术的兴起，继承发展于C/S模式的一种改进模式。该模式利用不断成熟和普及的浏览器技术，将数据存放在数据库服务器上，业务处理程序在应用服务器上存放和运行，这种结构不仅把客户机从沉重的负担和不断对其提高性能的要求中解放出来，也把技术维护人员从繁重的维护升级工作中解脱出来。这种三层结构层与层之间相互独立，任何一层的改变不影响其他层的功能，从根本上改变了二层C/S体系结构的缺陷，是应用系统体系结构中的一次深刻变革，成为当前教学管理系统的首选体系结构。

2 基于web技术基于B/S工作模式的教学管理系统

我校是一所具有50年办学经验的国家级重点职业学校，在册学生维持在8000人次左右，现有6大专业体系，高职专业12个，中专专业近20个，课程共650多门，每学期平均需制定专业教学计划25个，安排授课课时4000多节，安排任课教师300余人，日常教学管理工作量较繁重，并且我校存在分校区办学模式，地理位置跨度较大，基于以上实际情况，经过对三代教学管理系统优缺点的分析，2005年，我校建成基于B/S工作模式的教学管理系统，依托该系统，实现了各校区教学信息的有效沟通，将教学管理者和教师们从繁重的手工传统工作模式中解放出来，从而把工作精力投入到提高管理水平和提高教学质量的工作中。

随着网络信息技术的快速发展和校园信息化水平的提高，基于B/S工作模式的教学管理系统已成为学校教学管理工作必不可少的组成部分。与此同时，系统所蕴藏的风险也成为无法回避的问题。虽然，基于B/S的网络应用是比较成熟的，特别是在JAVA这样的跨平台语言出现之后，B/S架构的管理系统得到相当广泛的应用，但该结构在系统安全性上仍存在硬伤。相较C/S系统而言，B/S系统在客户机与数据库之间增加了一层WEB服务器，使两者不再直接连接，客户机无法直接对数据库操作，可有效地隔离用户对核心数据的危险性访问，但由于C/S的相对专用性和封闭性，整个C/S系统相对安全，而B/S的开放性，使得这种结构的系统更容易受到来自internet 上的攻击。

3 B/S工作模式下数据安全性策略分析

保证数据安全是教学管理系统正常运行和教学工作正常运转的前提。基于B/S工作模式的教学管理系统采用后端数据库的动态页面生成技术，用户通过internet平台不仅可以进行静态信息浏览，而且可以进行数据库访问和数据处理，如何保证数据的安全性，是系统亟待解决的问题。

策略①：抑制控制，强化系统安全设计，即在系统设计、编程和测试阶段，通过采取有效的措施堵塞漏洞，抑制风险产生。

网络安全层次：采用路由器的IP过滤功能、网关、防火墙、服务器等方式将校园网与internet相连时起到隔离作用；并将校园网划分为多个子网，有效减少网络频带压力，使大部分信息在子网范围内传输，减少信息外泄的机会，实现IP地址身份验证机制，防止持有非法IP地址的人访问本子网的资源。

服务器安全层次：

首先检查用户的合法性及身份验证，采用在网络中设一登陆验证服务器的方法；在web服务器上设计有相应的权限限制，只有合法用户才能通过网页来访问事物处理程序。

策略②：预防控制，采用基于B/S和C/S混合模式的教学管理系统，充分发挥了两种模式各自优点，尤其在系统安全性保障方面，集成两种模式的长处，从预防角度达到控制风险的目的。

基于B/S工作模式的教学管理系统并没有将C/S系统挤出管理系统领域，相反，随着PC机硬件配置的不断提高，客户端的“肥胖”不再影响健康，而网络服务器的承载能力和网络本身的安全隐患却成了制约B/S系统结构的瓶颈，因此选择何种工作模式的教学管理系统取决于实际应用方式，即能否适应学校办学模式，满足广大师生的教学需求。我校教学管理系统分成教学计划、课程管理、学籍管理、成绩管理、选课管理、师资管理、信息、系统管理等模块。在上述模块中，由于学籍、成绩、教学计划、师资管理等需要较高的安全性和较强的交互性，同时需要处理大量的数据，因此这部分子系统适合采用传统的C/S模式；而信息与学生信息查询及选课管理则具有适用范围广、安全互性要求不高等特点，这部分可采用B/S模式。

策略③：恢复控制，即在系统风险导致的损害实际发生时，必须有有效的系统修复措施。

目前，几乎所有的教学管理系统，无论基于何种工作模式，都是以数据库系统为平台，我校的教学管理系统也是运行于SQL Server2000服务器，管理制度不完善、系统管理人员的意外操作、破坏性病毒攻击、自然灾害等原因都可能导致数据库遭破坏，因此从数据库层面保证系统数据安全是保障系统数据安全性的根本途径。在现有技术条件下，系统管理员定期做好备份是保证数据库安全的重要措施，一旦数据库系统出现故障，就能利用备份数据及时采取有效措施，恢复系统功能。

SQL Server2000支持四种备份类型，在实际工作中应根据具体情况进行选择。四种备份类型的功能及其优势如表1所示：

表1 SQL Server2000数据库备份类型

对于这四种备份类型，可结合实际情况制定相应的备份策略。我校的处理方法是：教师提交成绩单前，做一次数据库的完全备份，成绩提交期间每日进行差异备份，随时可以恢复到故障点以前的状态。因为在教师提交成绩单期间，数据库处于随时更新的状态，因此制定良好的计划和适合需求的备份策略才能保证数据库的安全，保障系统正常运行。同时还应选择相应的时间间隔生成事物日志备份，可把数据恢复到意外发生时的即时点。

4 结束语

目前，B/S体系结构在管理信息系统的开发中日益显示主导作用，但作为一名系统管理员，除了选择适合本校办校实际的管理系统之外，必须充分考虑基于该工作模式的系统能否在安全性能上有更好的表现，这是衡量系统性能的重要指标之一，是关系到学校教学管理工作能否正常进行的核心问题。

参考文献：

[1] 邵莉,梁兴建.数据库备份策略及恢复措施研究[J].四川理工学院学报:自然科学版,2009(2):14.

篇3

随着云计算、大数据等新兴技术的不断发展，企业信息化、智能化程度、网络化、数字化程度越来越高，人类社会进入到以大数据为主要特征的知识文明时代。大数据是企业的重要财富，正在成为企业一种重要的生产资料，成为企业创新、竞争、业务提升的前沿。大数据正在成为企业未来业务发展的重要战略方向，大数据将引领企业实现业务跨越式发展;同时，由此带来的信息安全风险挑战前所未有，远远超出了传统意义上信息安全保障的内涵，对于众多大数据背景下涉及的信息安全问题，很难通过一套完整的安全产品和服务从根本上解决安全隐患。

 

自2008年国际综合性期刊《Nature》发表有关大数据(Big Data)的专刊以来，面向各应用领域的大数据分析更成为各行业及信息技术方向关注的焦点。大数据的固有特征使得传统安全机制和方法显示出不足。本文系统分析了大数据时代背景下的企业信息系统存在的主要信息安全脆弱性、信息安全威胁以及信息安全风险问题，并有针对性地提出相应的信息安全保障策略，为大数据背景下的企业信息安全保障提供一定指导的作用。

 

1 大数据基本内涵

 

大数据(Big Data)，什么是大数据，目前还没有形成统一的共识。网络企业普遍将大数据定义为数据量与数据类型复杂到在合理时间内无法通过当前的主流数据库管理软件生成、获取、传输、存储、处理，管理、分析挖掘、应用决策以及销毁等的大型数据集。大数据具有4V特征(Volume，Varity，Value，Velocity)，即数据量大、数据类型多、数据价值密度低、数据处理速度快。

 

2011年麦肯锡咨询公司了《大数据：下一个创新、竞争和生产力的变革领域》[1]的研究报告，引起了信息产业界的广泛关注。美国谷歌公司(Google)、国际商业机器公司(IBM)、美国易安信公司(EMC)、脸书(Facebook)等公司相继开始了大数据应用、分析、存储、管理等相关技术的研究，并推出各自的大数据解决框架、方案以及产品。

 

例如，阿帕奇软件基金会(Apache)组织推出的Hadoop大数据分析框架，谷歌公司推出的BigTable、GFS(Google File System)、MapReduce等技术框架等，这些研究成果为随后的大数据应用迅猛发展提供了便利的条件。2012年3月，美国奥巴马总统了2亿美元的“Big Data Initiative”(大数据研究和发展计划)，该计划涉及能源、国防、医疗、基础科学等领域的155个项目种类，该计划极大地推动了大数据技术的创新与应用，标志着奥巴马政府将大数据战略从起初的政策层提升到国家战略层。

 

同时，我国对大数据的认识、应用及相关技术服务等也在不断提高，企业界一致认同大数据在降低企业经营运营成本、提升管理层决策效率、提高企业经济效益等方面具有广阔的应用前景，相继大数据相关战略文件，同时国家组织在民生、国防等重要领域投入大量的人力物力进行相关技术研究与创新实践。中国移动通信公司在已有的云计算平台基础上，开展了大量大数据应用研究，力图将数据信息转化为商业价值，促进业务创新。

 

例如，通过挖掘用户的移动互联网行为特征，助力市场决策;利用信令数据支撑终端、网络、业务平台关联分析，优化网络质量。商业银行也相继开展了经融大数据研究，提升银行的竞争力。例如，通过对用户数据分析开展信用评估，降低企业风险;从细粒度的级别进行客户数据分析，为不同客户提供个性化的产品与服务，提升银行的服务效率。总而言之，大数据正在带来一场颠覆性的革命，将会推动整个社会取得全面进步。

 

2 大数据安全研究现状

 

在大数据计算和分析过程中，安全是不容忽视的。大数据的固有特征对现有的安全标准、安全体系架构、安全机制等都提出了新的挑战。目前对大数据完整性的研究主要包括两方面，一是对数据完整性的检测;二是对完整性被破坏的数据的恢复。在完整性检测方面，数据量的增大使传统的MD5、SHA1等效率较低的散列校验方法不再适用，验证者也无法将全部数据下载到本地主机后再进行验证。

 

面向大数据的高效隐私保护方法方面，高效、轻量级的数据加密已有多年研究，虽然可用于大数据加密，但加密后数据不具可用性。保留数据可用性的非密码学的隐私保护方法因而得到了广泛的研究和应用。这些方法包括数据随机化、k-匿名化、差分隐私等。这些方法在探究隐私泄漏的风险、提高隐私保护的可信度方面还有待深入，也不能适应大数据的海量性、异构性和时效性。

 

在隐私保护下大数据的安全计算方面，很多应用领域中的安全多方计算问题都在半诚实模型中得到了充分的研究，采用的方法包括电路赋值(Circuit Evaluation)、遗忘传输(Oblivious Transfer)、同态加密等。通过构造零知识证明，可以将半诚实模型中的解决方法转换到恶意模型中。而在多方参与、涉及大量数据处理的计算问题，目前研究的主要缺陷是恶意模型中方法的复杂度过高，不适应多方参与、多协议执行的复杂网络环境。

 

企业大数据技术是指大数据相关技术在企业的充分应用，即对企业业务、生产、监控、监测等信息系统在运行过程中涉及的海量数据进行抽取、传输、存储、处理，管理、分析挖掘、应用决策以及销毁等，实现大数据对企业效率的提升、效益的增值以及风险的预测等。

 

企业的大数据类型通常主要包括业务经营数据即客户信息数据、企业的生产运营与管理数据以及企业的设备运行数据等，即客户信息数据、员工信息数据、财务数据、物资数据、系统日志、设备监测数据、调度数据、检修数据、状态数据等。企业大数据具有3V、3E特征[2]，3V即数据体量大(Volume)、数据类型多(Varity)与数据速度快(Velocity)，3E即数据即能量(Energy)、数据即交互(Exchange)与数据即共情(Empathy)。3 大数据时代企业信息安全漏洞与风险并存

 

大数据时代，大数据在推动企业向着更为高效、优质、精准的服务前行的同时，其重要性与特殊性也给企业带来新的信息安全风险与挑战。如何针对大数据的重要性与特殊性构建全方位多层次的信息安全保障体系，是企业发展中面临的重要课题。大数据背景下，结合大数据时代的企业工作模式，企业可能存在的信息安全风险主要表现在以下三个方面：

 

(1)企业业务大数据信息安全风险：由于缺乏针对大数据相关的政策法规、标准与管理规章制度，导致企业对客户信息大数据的“开放度”难以掌握，大数据开放和隐私之间难以平衡;企业缺乏清晰的数据需求导致数据资产流失的风险;企业数据孤岛，数据质量差可用性低，导致数据无法充分利用以及数据价值不能充分挖掘的风险;大数据安全能力和防范意识差，大数据人才缺乏导致大数据分析、处理等工作难以开展的风险;管理技术和架构相对滞后，导致数据泄露的风险。

 

(2)企业基础设施信息安全风险：2010年，震网病毒[3]通过网络与预制的系统漏洞对伊朗核电站发起攻击，导致伊朗浓缩铀工程的部分离心机出现故障，极大的延缓了伊朗核进程。从此开启了世界各国对工业控制系统安全的重视与管控。对于生产企业，工业生产设备是企业的命脉，其控制系统的安全性必须得到企业的高度重视。随着物理设备管理控制系统与大数据采集系统在企业的不断应用，监控与数据采集系统必将成为是物理攻击的重点方向，越来越多的安全问题随之出现。

 

设备“接入点”范围的不断扩大，传统的边界防护概念被改变; 2013年初，美国工业控制系统网络紧急响应小组(ICS-CERT)预警，发现美国两家电厂的发电控制设备在2012年10月至12月期间感染了USB设备中的恶意软件。该软件能够远程控制开关闸门、旋转仪表表盘、大坝控制等重要操作，对电力设备及企业安全造成了极大的威胁。

 

(3)企业平台信息安全风险： 应用层安全风险主要是指网络给用户提供服务所采用的应用软件存在的漏洞所带来的安全风险，包括： Web服务、邮件系统、数据库软件、域名系统、路由与交换系统、防火墙及网管系统、业务应用软件以及其他网络服务系统等;操作系统层的安全风险主要是指网络运行的操作系统存在的漏洞带来的安全风险，例如Windows NT、UNIX、Linux系列以及专用操作系统本身安全漏洞，主要包括访问控制、身份认证、系统漏洞以及操作系统的安全配置等;网络层安全风险主要指网络层身份认证，网络资源的访问控制，数据传输的保密性与完整性、路由系统的安全、远程接入、域名系统、入侵检测的手段等网络信息漏洞带来的安全性。

 

4 企业大数据信息安全保障策略

 

针对大数据时代下企业可能存在的信息安全漏洞与风险，本文从企业的网络边界信息安全保障、应用终端信息安全保障、应用平台信息安全保障、网络安全信息安全保障、数据安全信息安全保障等多方面提出如下信息安全保障策略，形成具有层次特性的企业信息安全保障体系，提升大数据时代下的企业信息安全保障能力。

 

4.1企业系统终端——信息安全保障策略

 

对企业计算机终端进行分类，依照国家信息安全等级保护的要求实行分级管理，根据确定的等级要求采取相应的安全保障策略。企业拥有多种类型终端设备，对于不同终端，根据具体终端的类型、通信方式以及应用环境等选择适宜的保障策略。确保移动终端的接入安全，移动作业类终端严格执行企业制定的办公终端严禁“内外网机混用”原则，移动终端接入内网需采用软硬件相结合的加密方式接入。配子站终端需配置安全模块，对主站系统的参数设置指令和控制命令采取数据完整性验证和安全鉴别措施，以防范恶意操作电气设备，冒充主站对子站终端进行攻击。

 

4.2企业网络边界——信息安全保障策略

 

企业网络具有分区分层的特点，使边界不受外部的攻击，防止恶意的内部人员跨越边界对外实施攻击，在不同区的网络边界加强安全防护策略，或外部人员通过开放接口、隐蔽通道进入内部网络。在管理信息内部，审核不同业务安全等级与网络密级，在网络边界进行相应的隔离保护。按照业务网络的安全等级、实时性需求以及用途等评价指标，采用防火墙隔离技术、协议隔离技术、物理隔离技术等[4]对关键核心业务网络进行安全隔离，实现内部网与外部网访问资源限制。

 

4.3企业网络安全——信息安全保障策略

 

网络是企业正常运转的重要保障，是连接物理设备、应用平台与数据的基础环境。生产企业主要采用公共网络和专用网络相结合的网络结构，专用网络支撑企业的生产管理、设备管理、调度管理、资源管理等核心业务，不同业务使用的专用网络享有不同安全等级与密级，需要采取不同的保障策略。网络弹性是指基础网络在遇到突发事件时继续运行与快速恢复的能力。

 

采用先进的网络防护技术，建立基础网一体化感知、响应、检测、恢复与溯源机制，采取网络虚拟化、硬件冗余、叠加等方法提高企业网络弹性与安全性;对网络基础服务、网络业务、信息流、网络设备等基础网络环境采用监控审计、安全加固、访问控制、身份鉴别、备份恢复、入侵检测、资源控制等措施增强网络环境安全防护;在企业网络中，重要信息数据需要安全通信。针对信息数字资源的安全交换需求，构建企业的业务虚拟专用网。在已有基础网络中采用访问控制、用户认证、信息加密等相关技术，防止企业敏感数据被窃取，采取建立数据加密虚拟网络隧道进行信息传输安全通信机制。

 

4.4企业应用系统平台——信息安全保障策略

 

应用系统平台安全直接关系到企业各业务应用的稳定运行，对应用平台进行信息安全保障，可以有效避免企业业务被阻断、扰乱、欺骗等破坏行为，本文建议给每个应用平台建立相应的日志系统，可以对用户的操作记录、访问记录等信息进行归档存储，为安全事件分析提供取证与溯源数据，防范内部人员进行异常操作。

 

企业应用平台的用户类型多样，不同的应用主体享有不同的功能与应用权限，考虑到系统的灵活性与安全性，采用基于属性权限访问控制[5]、基于动态和控制中心访问权限控制[6]、基于域访问权限控制[7]、基于角色访问控制等访问控制技术;确保企业应用平台系统安全可靠，在应用平台上线前，应邀请第三方权威机构对其进行信息安全测评，即对应用平台系统进行全面、系统的安全漏洞分析与风险评估[8]，并制定相应的信息安全保障策略。4.5企业大数据安全——信息保障策略

 

大数据时代下，大数据是企业的核心资源。企业客户数据可能不仅包含个人的隐私信息，而且还包括个人、家庭的消费行为信息，如果针对客户大数据不妥善处理，会对用户造成极大的危害，进而失信于客户。目前感知大数据(数据追踪溯源)、应用大数据(大数据的隐私保护[9]与开放)、管控大数据(数据访问安全、数据存储安全)等问题，仍然制约与困扰着大数据的发展。大数据主要采用分布式文件系统技术在云端存储，在对云存储环境进行安全防护的前提下，对关键核心数据进行冗余备份，强化数据存储安全，提高企业大数据安全存储能力。

 

为了保护企业数据的隐私安全、提高企业大数据的安全性的同时提升企业的可信度，可采用数据分享、分析、时进行匿名保护已经隐私数据存储加密保护措施来加强企业数据的隐私安全，对大数据用户进行分类与角色划分，严格控制、明确各角色数据访问权限，规范各级用户的访问行为，确保不同等级密级数据的读、写操作，有效抵制外部恶意行为，有效管理云存储环境下的企业大数据安全。

 

5 结束语

 

篇4

随着云计算、大数据等新兴技术的不断发展，企业信息化、智能化程度、网络化、数字化程度越来越高，人类社会进入到以大数据为主要特征的知识文明时代。大数据是企业的重要财富，正在成为企业一种重要的生产资料，成为企业创新、竞争、业务提升的前沿。大数据正在成为企业未来业务发展的重要战略方向，大数据将引领企业实现业务跨越式发展;同时，由此带来的信息安全风险挑战前所未有，远远超出了传统意义上信息安全保障的内涵，对于众多大数据背景下涉及的信息安全问题，很难通过一套完整的安全产品和服务从根本上解决安全隐患。

 

自2008年国际综合性期刊《Nature》发表有关大数据(Big Data)的专刊以来，面向各应用领域的大数据分析更成为各行业及信息技术方向关注的焦点。大数据的固有特征使得传统安全机制和方法显示出不足。本文系统分析了大数据时代背景下的企业信息系统存在的主要信息安全脆弱性、信息安全威胁以及信息安全风险问题，并有针对性地提出相应的信息安全保障策略，为大数据背景下的企业信息安全保障提供一定指导的作用。

 

1 大数据基本内涵

 

大数据(Big Data)，什么是大数据，目前还没有形成统一的共识。网络企业普遍将大数据定义为数据量与数据类型复杂到在合理时间内无法通过当前的主流数据库管理软件生成、获取、传输、存储、处理，管理、分析挖掘、应用决策以及销毁等的大型数据集。大数据具有4V特征(Volume，Varity，Value，Velocity)，即数据量大、数据类型多、数据价值密度低、数据处理速度快。

 

2011年麦肯锡咨询公司了《大数据：下一个创新、竞争和生产力的变革领域》[1]的研究报告，引起了信息产业界的广泛关注。美国谷歌公司(Google)、国际商业机器公司(IBM)、美国易安信公司(EMC)、脸书(Facebook)等公司相继开始了大数据应用、分析、存储、管理等相关技术的研究，并推出各自的大数据解决框架、方案以及产品。例如，阿帕奇软件基金会(Apache)组织推出的Hadoop大数据分析框架，谷歌公司推出的BigTable、GFS(Google File System)、MapReduce等技术框架等，这些研究成果为随后的大数据应用迅猛发展提供了便利的条件。2012年3月，美国奥巴马总统了2亿美元的“Big Data Initiative”(大数据研究和发展计划)，该计划涉及能源、国防、医疗、基础科学等领域的155个项目种类，该计划极大地推动了大数据技术的创新与应用，标志着奥巴马政府将大数据战略从起初的政策层提升到国家战略层。

 

同时，我国对大数据的认识、应用及相关技术服务等也在不断提高，企业界一致认同大数据在降低企业经营运营成本、提升管理层决策效率、提高企业经济效益等方面具有广阔的应用前景，相继大数据相关战略文件，同时国家组织在民生、国防等重要领域投入大量的人力物力进行相关技术研究与创新实践。

 

中国移动通信公司在已有的云计算平台基础上，开展了大量大数据应用研究，力图将数据信息转化为商业价值，促进业务创新。例如，通过挖掘用户的移动互联网行为特征，助力市场决策;利用信令数据支撑终端、网络、业务平台关联分析，优化网络质量。商业银行也相继开展了经融大数据研究，提升银行的竞争力。例如，通过对用户数据分析开展信用评估，降低企业风险;从细粒度的级别进行客户数据分析，为不同客户提供个性化的产品与服务，提升银行的服务效率。总而言之，大数据正在带来一场颠覆性的革命，将会推动整个社会取得全面进步。

 

2 大数据安全研究现状

 

在大数据计算和分析过程中，安全是不容忽视的。大数据的固有特征对现有的安全标准、安全体系架构、安全机制等都提出了新的挑战。目前对大数据完整性的研究主要包括两方面，一是对数据完整性的检测;二是对完整性被破坏的数据的恢复。在完整性检测方面，数据量的增大使传统的MD5、SHA1等效率较低的散列校验方法不再适用，验证者也无法将全部数据下载到本地主机后再进行验证。

 

面向大数据的高效隐私保护方法方面，高效、轻量级的数据加密已有多年研究，虽然可用于大数据加密，但加密后数据不具可用性。保留数据可用性的非密码学的隐私保护方法因而得到了广泛的研究和应用。这些方法包括数据随机化、k-匿名化、差分隐私等。

 

这些方法在探究隐私泄漏的风险、提高隐私保护的可信度方面还有待深入，也不能适应大数据的海量性、异构性和时效性。在隐私保护下大数据的安全计算方面，很多应用领域中的安全多方计算问题都在半诚实模型中得到了充分的研究，采用的方法包括电路赋值(Circuit Evaluation)、遗忘传输(Oblivious Transfer)、同态加密等。通过构造零知识证明，可以将半诚实模型中的解决方法转换到恶意模型中。而在多方参与、涉及大量数据处理的计算问题，目前研究的主要缺陷是恶意模型中方法的复杂度过高，不适应多方参与、多协议执行的复杂网络环境。

 

企业大数据技术是指大数据相关技术在企业的充分应用，即对企业业务、生产、监控、监测等信息系统在运行过程中涉及的海量数据进行抽取、传输、存储、处理，管理、分析挖掘、应用决策以及销毁等，实现大数据对企业效率的提升、效益的增值以及风险的预测等。

 

企业的大数据类型通常主要包括业务经营数据即客户信息数据、企业的生产运营与管理数据以及企业的设备运行数据等，即客户信息数据、员工信息数据、财务数据、物资数据、系统日志、设备监测数据、调度数据、检修数据、状态数据等。企业大数据具有3V、3E特征[2]，3V即数据体量大(Volume)、数据类型多(Varity)与数据速度快(Velocity)，3E即数据即能量(Energy)、数据即交互(Exchange)与数据即共情(Empathy)。

 

3 大数据时代企业信息安全漏洞与风险并存

 

大数据时代，大数据在推动企业向着更为高效、优质、精准的服务前行的同时，其重要性与特殊性也给企业带来新的信息安全风险与挑战。如何针对大数据的重要性与特殊性构建全方位多层次的信息安全保障体系，是企业发展中面临的重要课题。大数据背景下，结合大数据时代的企业工作模式，企业可能存在的信息安全风险主要表现在以下三个方面：

 

(1)企业业务大数据信息安全风险：由于缺乏针对大数据相关的政策法规、标准与管理规章制度，导致企业对客户信息大数据的“开放度”难以掌握，大数据开放和隐私之间难以平衡;企业缺乏清晰的数据需求导致数据资产流失的风险;企业数据孤岛，数据质量差可用性低，导致数据无法充分利用以及数据价值不能充分挖掘的风险;大数据安全能力和防范意识差，大数据人才缺乏导致大数据分析、处理等工作难以开展的风险;管理技术和架构相对滞后，导致数据泄露的风险。

 

(2)企业基础设施信息安全风险：2010年，震网病毒[3]通过网络与预制的系统漏洞对伊朗核电站发起攻击，导致伊朗浓缩铀工程的部分离心机出现故障，极大的延缓了伊朗核进程。从此开启了世界各国对工业控制系统安全的重视与管控。对于生产企业，工业生产设备是企业的命脉，其控制系统的安全性必须得到企业的高度重视。随着物理设备管理控制系统与大数据采集系统在企业的不断应用，监控与数据采集系统必将成为是物理攻击的重点方向，越来越多的安全问题随之出现。

 

设备“接入点”范围的不断扩大，传统的边界防护概念被改变; 2013年初，美国工业控制系统网络紧急响应小组(ICS-CERT)预警，发现美国两家电厂的发电控制设备在2012年10月至12月期间感染了USB设备中的恶意软件。该软件能够远程控制开关闸门、旋转仪表表盘、大坝控制等重要操作，对电力设备及企业安全造成了极大的威胁。

 

(3)企业平台信息安全风险： 应用层安全风险主要是指网络给用户提供服务所采用的应用软件存在的漏洞所带来的安全风险，包括： Web服务、邮件系统、数据库软件、域名系统、路由与交换系统、防火墙及网管系统、业务应用软件以及其他网络服务系统等;操作系统层的安全风险主要是指网络运行的操作系统存在的漏洞带来的安全风险，例如Windows NT、UNIX、Linux系列以及专用操作系统本身安全漏洞，主要包括访问控制、身份认证、系统漏洞以及操作系统的安全配置等;网络层安全风险主要指网络层身份认证，网络资源的访问控制，数据传输的保密性与完整性、路由系统的安全、远程接入、域名系统、入侵检测的手段等网络信息漏洞带来的安全性。

 

4 企业大数据信息安全保障策略

 

针对大数据时代下企业可能存在的信息安全漏洞与风险，本文从企业的网络边界信息安全保障、应用终端信息安全保障、应用平台信息安全保障、网络安全信息安全保障、数据安全信息安全保障等多方面提出如下信息安全保障策略，形成具有层次特性的企业信息安全保障体系，提升大数据时代下的企业信息安全保障能力。

 

4.1企业系统终端——信息安全保障策略

 

对企业计算机终端进行分类，依照国家信息安全等级保护的要求实行分级管理，根据确定的等级要求采取相应的安全保障策略。企业拥有多种类型终端设备，对于不同终端，根据具体终端的类型、通信方式以及应用环境等选择适宜的保障策略。确保移动终端的接入安全，移动作业类终端严格执行企业制定的办公终端严禁“内外网机混用”原则，移动终端接入内网需采用软硬件相结合的加密方式接入。配子站终端需配置安全模块，对主站系统的参数设置指令和控制命令采取数据完整性验证和安全鉴别措施，以防范恶意操作电气设备，冒充主站对子站终端进行攻击。

 

4.2企业网络边界——信息安全保障策略

 

企业网络具有分区分层的特点，使边界不受外部的攻击，防止恶意的内部人员跨越边界对外实施攻击，在不同区的网络边界加强安全防护策略，或外部人员通过开放接口、隐蔽通道进入内部网络。在管理信息内部，审核不同业务安全等级与网络密级，在网络边界进行相应的隔离保护。按照业务网络的安全等级、实时性需求以及用途等评价指标，采用防火墙隔离技术、协议隔离技术、物理隔离技术等[4]对关键核心业务网络进行安全隔离，实现内部网与外部网访问资源限制。

 

4.3企业网络安全——信息安全保障策略

 

网络是企业正常运转的重要保障，是连接物理设备、应用平台与数据的基础环境。生产企业主要采用公共网络和专用网络相结合的网络结构，专用网络支撑企业的生产管理、设备管理、调度管理、资源管理等核心业务，不同业务使用的专用网络享有不同安全等级与密级，需要采取不同的保障策略。网络弹性是指基础网络在遇到突发事件时继续运行与快速恢复的能力。采用先进的网络防护技术，建立基础网一体化感知、响应、检测、恢复与溯源机制，采取网络虚拟化、硬件冗余、叠加等方法提高企业网络弹性与安全性;对网络基础服务、网络业务、信息流、网络设备等基础网络环境采用监控审计、安全加固、访问控制、身份鉴别、备份恢复、入侵检测、资源控制等措施增强网络环境安全防护;在企业网络中，重要信息数据需要安全通信。针对信息数字资源的安全交换需求，构建企业的业务虚拟专用网。在已有基础网络中采用访问控制、用户认证、信息加密等相关技术，防止企业敏感数据被窃取，采取建立数据加密虚拟网络隧道进行信息传输安全通信机制。

 

4.4企业应用系统平台——信息安全保障策略

 

应用系统平台安全直接关系到企业各业务应用的稳定运行，对应用平台进行信息安全保障，可以有效避免企业业务被阻断、扰乱、欺骗等破坏行为，本文建议给每个应用平台建立相应的日志系统，可以对用户的操作记录、访问记录等信息进行归档存储，为安全事件分析提供取证与溯源数据，防范内部人员进行异常操作。企业应用平台的用户类型多样，不同的应用主体享有不同的功能与应用权限，考虑到系统的灵活性与安全性，采用基于属性权限访问控制[5]、基于动态和控制中心访问权限控制[6]、基于域访问权限控制[7]、基于角色访问控制等访问控制技术;确保企业应用平台系统安全可靠，在应用平台上线前，应邀请第三方权威机构对其进行信息安全测评，即对应用平台系统进行全面、系统的安全漏洞分析与风险评估[8]，并制定相应的信息安全保障策略。

 

4.5企业大数据安全——信息保障策略

 

大数据时代下，大数据是企业的核心资源。企业客户数据可能不仅包含个人的隐私信息，而且还包括个人、家庭的消费行为信息，如果针对客户大数据不妥善处理，会对用户造成极大的危害，进而失信于客户。目前感知大数据(数据追踪溯源)、应用大数据(大数据的隐私保护[9]与开放)、管控大数据(数据访问安全、数据存储安全)等问题，仍然制约与困扰着大数据的发展。大数据主要采用分布式文件系统技术在云端存储，在对云存储环境进行安全防护的前提下，对关键核心数据进行冗余备份，强化数据存储安全，提高企业大数据安全存储能力。为了保护企业数据的隐私安全、提高企业大数据的安全性的同时提升企业的可信度，可采用数据分享、分析、时进行匿名保护已经隐私数据存储加密保护措施来加强企业数据的隐私安全，对大数据用户进行分类与角色划分，严格控制、明确各角色数据访问权限，规范各级用户的访问行为，确保不同等级密级数据的读、写操作，有效抵制外部恶意行为，有效管理云存储环境下的企业大数据安全。

 

5 结束语

 

篇5

中图分类号：TP309 文献标识码：A 文章编号：1674-098X（2016）12（b）-0100-02

电力公司的安全防护体系根据省、市、县安全防护不同层面防护要求各有侧重、相互支撑、互为补充。根据各信息系统重要程度设计安全防护体系“三横四纵”的总体架，建立信息安全防护体系。

1 信息安全防护策略设计目标

信息安全保障体系的建设紧紧围绕安全管理、安全技术和安全运维3个方面，在每个方面都有相应的具体目标。达到这个目标就能为综合服务平台构建一个多层次、多角度的立体纵深防御体系。

安全管理的建设目标：

确定安全组织和责任划分，确定安全策略，确定信息资产分类和分级。

实现安全变更管理、安全补丁管理、安全备份管理、应急响应计划、业务持续性计划、安全核心流程。

安全培训与教育、安全控制要求：

对信息资产进行风险评估，达到ISO27001管理标准。

安全技术的建设目标：

根据业务需求划分不同的安全域，安全边界进行防护。

实现安全系统强化功能、建立网络和主机入侵检测机制、实现高危数据加密传输、关键系统的日志审计、建立病毒防范体系、建立身份认证体系、访问控制体系、远程访问安全机制。

建立数据安全存储体系、时间同步机制、集中安全审计体系、安全事件管理平台。

安全运维的建设目标：

建立定期风险评估机制。

定期对日志进行审计、定期进行渗透测试。

完善安全信息上报机制、定期对安全策略和标准进行评估和修订。

显示安全的运维外包。

2 电力信息安全建设体系内容

电力信息系统信息安全保障体系采用了“三横四纵”的总体架构，即横向上分为3个层次，分别为应用层、技术层、管理层；技术层次中纵向又分为4种主要体系，即以基础安全服务设施、数据安全保护、网络接入保护、平台安全管理为支柱，信息安全基础设施为基础，通过信息安全管理体系为业务应用提供可靠的安全保障。

一是应用层。这是安全保障体系的主要对象。信息化建设的终极目标是提供给用户好用、易用、够用的应用系统，应用系统是为了满足不同用户的不同业务需求，安全保障体系保障的核心就是应用系统及其数据。

二是技术层。这是信息安全保障体系的主要体系。目前包括技术支撑体系、技术保障体系、网络信任体系、安全服务体系。这4种体系已经经过多年的探索和建立，应该说已经覆盖了技术上的所有方面。

三是管理层。包括等级保护安全策略、安全管理制度、法律法规和技术标准。通常说“三分技术、七分管理”，再好的技术也需要完善的管理才能保证技术发挥最大的效能。

3 信息安全防护设计

电力系统是一个由内网、外网两种网络域构成的庞大信息系统。各个网络域执行着不同的服务内容：内网是一个完整的电力系统办公自动化环境，外网担负着与公众间信息沟通的责任。

如此复杂的应用环境给系统带来了大量潜在的安全隐患：黑客利用外网或专网攻击内部网络、数据在传输过程中的泄露、网页遭篡改、伪造身份进入系统、操作系统漏洞、病毒等。这些安全隐患不可能依靠某种单一的安全技术就能得到解决，必须在电力信息系统整体安全需求的基础上构筑一个完整的安全服务体系。

构建一个完整的安全防护体系有组织地实现上述安全需求，我们提出的安全保障平台由基础安全服务设施、数据安全保护、网络接入保护、平台安全管理组成。

（1）基础安全服务设施。

基础安全服务设施防护设计主要包括部署平台的应用系统的身份认证与访问控制、基础环境安全保护（访问控制、防火墙、入侵检测、安全审计、VPN）。

（2）数据安全保护。

数据安全保护方案是为部署在电力信息系统提供数据传输、数据访问和数据存储备份恢复的安全保障措施，主要分为4类：应用保护、数据传输交换保护、数据备份与恢复设计。

（3）网络接入保护。

统一管理集中建设互联网接入点，实现电力各部门互联网的安全接入和可管可控可剥离；各部门在统一的安全技术体系下，根据各自信息下发指令信息包括针对省级安全等级，建设、升级、完善安全系统；依托平台建设省级安全接入机制，实现与接入统一监控、统一管理和统一服务。

（4）平台安全管理。

安全管理体系是信息安全保障体系建设的一个重要环节，安全管理体系的建设内容包括：建立完善等级保护安全管理机构、安全管理制度、人员安全管理、系统建设运维管理、系统运维管理。

4 结语

该课题对电力公司信息安全防护策略和防护设计进行研究，电力信息化安全服务平台也基于电力信息系统安全需求设计安全防护体系，面向系统管理员、安全管理员提供安全保障，为各级信息化安全管理对安全监管、信息共享和提供安全保障支撑。

参考文献

[1] 高鹏，范杰，郭骞.电力系统信息安全技术督查策略研究[C]//电力通信管理暨智能电网通信技术论坛论文集.2012.

[2] 余勇，林为民，俞钢.电力信息系统安全保障体系的研究[C]//2004年世界工程师大会电力和能源分会场论文集.2004.

篇6

档案安全保障体系建设是推动档案管理机制创新，提升档案管理水平的重要途径之一。档案安全保障体系建设必须以档案安全保障理论为指导，综合技术、管理、人员、活动，建立动态调整的、独立的、开放的安全保障体系，保证档案终身安全。特别是在当前，我国自然灾害和频发、公共服务体系建设和政府信息公开提速、信息技术应用导致数字档案信息大量产生的新形势下，进一步加强军队档案安全保障体系建设，全面提升军队档案部门的安全保障能力，显得尤为重要。加强军队档案安全保障体系建设，是应对敌对势力窃取我军核心档案信息资源的客观需要；是应对近年我国自然灾害多发频发、对档案安全构成严重威胁的客观需要；是应对社会转型期出现，威胁档案安全的重要举措；是应对新技术广泛应用，对数字档案信息资源安全带来的新隐患新挑战的必然选择。从军队档案管理工作实践的角度来看，档案安全保障体系建设的任务非常繁重，涉及档案收集、保管、利用等各个环节，贯穿于档案管理的整个过程。从军队档案安全保障体系的基础设施以及制度、技术、人员等诸多支撑要素来看，必须将其作为一个有机整体的系统工程，统筹考虑和谋划，全方位地整体推进。

一、加强档案安全保障体系建设的物质保障

军队档案馆（室）是保障档案安全的重要屏障。加强档案安全相关基础设施建设，首先要坚持不懈地抓好档案馆（室）建设，改善档案馆（室）设施和档案保管条件。在档案馆（室）建设过程中，应当高度重视抗震烈度、防火等级等方面的刚性要求，充分考虑坚固、安全、环保、实用等因素，严格遵循国家和军队有关档案馆（室）建设的标准和规范，把档案馆（室）建设好，筑起保障档案安全的坚固防线。在设施设备方面，要严格遵循视频监控、门禁、火灾报警、消防、温湿度监控、恒温恒湿、周界防护、电子巡查、通讯、计算机安全等系统建设的新要求。全面构建和实施档案安全保障体系，可以从根本上提高军队对档案文献遗产长期保存、有效利用的控制力，从根本上提高档案安全保障技术整体水平。

二、加强档案安全保障体系建设的制度保障

建立健全军队档案管理规章制度，加强对规章制度执行情况的监督检查，建立起长效机制，确保规章制度落到实处。一手抓建章立制，一手抓贯彻落实，同时在制度的制定和执行两个方面下工夫，不能有“椰子效应”，即在政策的“硬包装”之下存在一个执行的“软内核”，从确保军队核心信息资源安全的高度，充分认识档案安全保障能力建设的重要性和紧迫性，不断完善各项涉及档案安全工作的规章制度，并认真付诸实施，把安全至上的理念物化到档案管理各个环节中去。完善突发事件应对制度，建立危机预防与危机管理机制，加强突发事件应急管理，提高应对自然灾害损毁和影响的能力。按照《档案工作突发事件应急处置管理办法》的要求，根据单位实际制定相应的应急预案，对所能设想到的各种突发灾害、突发社会事件到来时怎样抢救、保护档案制定出方案，以便紧急情况发生时按预案办事。每年不定期按预案进行演练，以提高应急处置的执行力。加强《档案馆灾害防治工作指南》的宣传贯彻，用以指导各级档案部门的防灾备灾、应急处置和恢复重建工作。

实施重要档案备份制度，是提高抵御各种突发事件影响能力的一项重要举措。俗话说，鸡蛋不能只放在一个篮子里。我国自古以来就有对重要档案实行多套异地备份的制度，在危害档案安全的突发社会事件和自然灾害频发的今天，我们必须进一步强化风险防范意识，更加重视实施重要档案异地备份制度，提高灾害应对能力。完善档案利用安全保密制度，处理好档案开放和公开与信息安全的关系，提高档案利用过程中本体安全和信息安全保障能力。在更多关注信息公开、改善公共信息服务的同时，要加强对利用档案的审查监管工作，不该提供利用的档案坚决不提供，能利用副本的尽量利用副本，保障档案本体的安全和档案信息的安全。完善受损档案抢救制度，对突发灾害、事件以及自然老化等因素造成档案损毁的，一定要尽快对破损档案采取抢救和保护措施，避免造成更大损失，加强对各项抢救保护工作的监督和指导，是落实档案抢救制度的关键所在。

完善数字档案信息安全制度，认真做好档案信息化建设过程中的信息安全保障工作。数字档案信息的安全保障工作，应当从设备、网络、系统、数据等各个方面、各个环节加强安全管理，以完备的防范体系来保证数字档案信息万无一失。电子文件是一种易被改动、易被窃取、易于传播、易于消失的信息，特别是它还是一种不能直接识读而必须依赖于特定的设备和软件才能被读取的信息，必须在不断攻克相关关键技术的同时，建立完善的管理制度和规程，解决好电子文件的保密、保存、读取等巨大难题。

三、加强档案安全保障体系建设的理论支撑和技术保障

构建档案安全保障体系的前提是分析档案安全保障体系的理论定位与实际应用的关系，争取实现基于高起点、实现高目标、开拓新局面。

目前，国内外关于档案安全保障体系的理解大致有三层含义：其一，控制环境，降低风险。这里的“环境”是指档案保管环境、物理环境、社会环境、信息存储环境等，降低环境因素对档案安全的影响，最大可能降低风险。其二，建立安全保障平台，采取安全防护措施，使档案尽可能保持稳定状态。其三，对已经处于不安全环境中的档案，采取各种措施使其达到新的稳定状态，保存其信息的可读、可用和可藏。这三层含义包括档案安全保障体系中的社会因素、管理体制、组织体系、策略、政策法规、安全保障技术或安全保护效果的评价等等较为宏观的要素。

档案安全保障属于档案管理和档案维护中非常重要的一部分工作，需要渗透到档案形成阶段、保管阶段和维护阶段，也就是整个生命周期。充分结合档案工作实际，加强档案防灾减灾策略、数字档案信息安全保障策略、受损档案抢救修复技术方法、电子文件真实性保证和长久保存方法、突发事件应对措施等关键理论和技术方法的研究攻关，不断提高档案安全的理论支撑和技术保障能力。如对于档案保管单位来讲需要进行系统的档案安全现状的普查工作，了解档案的种类、损坏程度、档案保管安全现状和存在的安全隐患，建立档案安全数据库平台。摸清家底会对档案安全总体状况有个全面和系统的了解，可以从整个军队的层面制订相应的档案安全保障长期策略。这就使得档案的安全保障工作更加具有整体性的把握及其长期的计划性，以至实施保障技术措施时更加具有针对性。采取有效措施推进档案安全保障相关新技术、新设备、新方法的推广应用，促进档案安全保障能力快速提升。

四、加强档案安全保障体系建设的人才保障

正如国家档案局杨冬权局长所说：在影响档案安全的各种因素中，人是决定性的因素档案安全的最大保障是人的认真，档案安全的最大危险是人的疏忽。许多档案安全事故的发生，就源自于人的认识不到位、思想不重视，疏于防范；许多自然灾害中档案损失的大小，完全取决于人们是否重视档案安全并采取了有效防范与抢救措施。因此，确保档案安全，对档案部门和档案工作者来说，是本职、是天职、是称职；相反，则是失职、渎职、不称职。若是由此给军队造成重大损失的，还要免职、撤职，直至追究刑事责任。

由此可见，提高军队档案干部整体素质、增强安全保障能力，是档案部门的一项重要而紧迫的任务。通过对档案工作人员开展经常性的安全教育和学习培训，强化他们的安全防范意识和责任意识，普及档案安全保障基本知识与技能，培养造就一支责任意识强、掌握现代科技知识和专业技能、胜任本职工作的档案干部队伍，为档案安全提供可靠的人才保障。

现代条件下的档案安全保障体系的构建是决定档案事业发展的关键之一，它围绕档案主体工作而形成的，包括档案创新能力、关键技术研发与应用能力、安全保护活动组织能力、业务拓展能力、事业发展支持能力、档案技术力量培训能力等，是一项长期而艰巨的任务，需要档案机构上上下下、方方面面的通力合作，积极配合。档案安全保障体系对于档案工作及档案工作者都是一个全新的概念，它的构建、研究和推广应用为档案事业的长期发展提供了巨大的空间。

参考文献：

[1]周朱华.电子政务网络与信息安全保障体系设计[J].信息安全,2009(3).

[2]王爱红.一种安全电子政务系统的开发[J].计算机信息,2007(1)-(3).

[3]王谦,陈放.我国电子政务信息安全及保障体系[J].网络安全技术与应用,2006(04).

[4]杨冬权.在电子文件管理国家战略国际学术研讨会上的讲话[N].中国档案报,2009-6-26(1).

[5]杨安莲.电子文件信息安全管理研究[J].档案学通讯,2009(4).

篇7

Exploration of Information Security Framework for National Center for the Performing Arts

Liu Zhen-yu

（National Center for the Performing Arts BeiJing 100031）

【 Abstract 】 The status of information security of National Center for the Performing Arts is explored. After that， information security problems and risks that National Center for the Performing Arts faced with are analysed. The information security framework which includes technique， management and operating is followed. The paper ends up with the elaboration of the effectiveness of the information security framework.

【 Keywords 】 information security； information security framework； national center for the performing arts

1 背景

随着信息技术的飞速发展，人类正以前所未有的速度进入以网络为主的信息时代，网络的快速发展不仅促进了人们的通信和交流，同时也带来了商业和经济模式的巨大变革。

国家大剧院是国家新建的重要文化设施，也是一处别具特色的景观胜地。作为北京市国家级标志性文化设施，国家大剧院的建设与运行体现了正在迅速崛起和复兴的中国在精神文化领域的追求，因此，依托信息化手段宣传和服务于广大文化艺术爱好者是国家大剧院电子商务网站建设的宗旨，使之成为“国家表演艺术最高殿堂、艺术普及教育的引领者、中外艺术交流最大平台、文化创意产业重要基地”。

国家大剧院网络及信息系统从2007开始逐步建设，建设初期主要满足国家大剧院演出宣传、文艺教育、演出票务、公众服务、内部办公和访问互联网的需求，官方网站电子商务平台承担着对外宣传及网上售票业务。随着国家大剧院近几年影响力和地位的不断提升以及业务的发展壮大，对信息化建设提出了更高要求，同时对信息安全的需求也越来越迫切，结合国家等级保护制度来进行安全保障建设成为国家大剧院信息化建设的有益补充。

2 现状及问题

目前国家大剧院局域网骨干带宽为千兆，双核心。已部署的安全设施，如在整个局域网的出口均部署了防火墙，内网服务器域边界部署了防火墙；在门户网站出口部署了流量控制和入侵防御设备；内部终端还广泛部署了防病毒软件，以防范计算机病毒在局域网内传播和破坏。国家大剧院正在运行的业务系统主要包括网站系统、票务系统、艺术资料管理系统、OA系统、财务系统及邮件系统等。

根据对国家大剧院信息化及信息安全现状的分析，结合国内外信息安全发展态势，发现国家大剧院面临着一些信息安全问题及风险。

假冒网站、网站挂马等安全风险。据权威统计，2011年下半年，检测新增挂马网站独立网址246万，平均每日100万人次访问此类挂马链接，新增钓鱼盗号欺诈类网站独立网址492万，共拦截10亿余次钓鱼盗号欺诈类网址，平均每日600万人次访问此类欺诈类链接。假冒网站独占鳌头的是电商网购类，而且仿冒范围不断扩散，通过国家大剧院运维人员统计观察，越来越多的黑客、病毒、不法机构和人员对国家大剧院电子商务网站系统的正常运行产生威胁，网站业务系统随时都可能遭受恶意攻击。

系统入侵或网络攻击风险。由于系统保护措施不到位，可能导致国家大剧院票务等对外网站系统的域名劫持、DDoS攻击等安全风险。同时，也可能由于软件漏洞或者安全意识单薄等造成内部邮件等信息泄露。

非授权访问风险。由于国家大剧院内部办公等信息系统边界缺乏访问控制设施，并且在网络可信接入、分辨非法访问、辨别身份伪装等方面存在着很大的缺陷，未授权者可通过网络非法访问网站及系统服务器，并进行非法读取、篡改和破坏数据等不良行为，构成对内部数据及信息系统的重大隐患。

数据安全风险。媒资库建设完成后将承载大量的媒体资料，这些有艺术价值的音像资料是国家大剧院的宝贵资产，一旦由于自然灾害、人员非法入侵、内部人员误操作等造成数据丢失损坏，将对国家大剧院造成重大损失。

媒体资源库音像资料版权风险。目前，剧院已经为视频在线传播及直播提供服务平台，然而提供的音视频服务面临版权盗用、盗链和恶意下载等问题，容易对剧院和公众利益带来损害。

内控管理风险。据权威调查报告显示，内部员工的粗心大意是企业信息安全的最大威胁，由此造成的安全事故高达78%。目前，由于国家大剧院内部员工的安全意识还相对淡薄，存在进入业务系统的登录口令设置过于简单，私自访问不安全网站，私自接入不安全设备等问题，这些都给大剧院信息系统造成了极大的安全隐患和威胁。

3 信息安全保障体系探索

3.1 总体目标

通过对国家大剧院信息安全现状、问题以及信息安全建设需求的分析，可知国家大剧院信息安全保障体系建设的总体目标是按照国家信息安全等级保护相关要求，从风险控制、技术设施、管理体制及运维服务等方面入手，基于成熟的安全技术，借鉴先进可行的管理理念，加强外御威胁防护、构建内控管理机制、强化数据保护措施，建立和完善信息安全管理体制，加强安全服务保障，设计适合国家大剧院信息化发展的安全保障体系，从而确保业务流程可控、业务状态可视，保障业务整体安全。

3.2 设计思路

针对国家大剧院安全保障目标，在信息安全保障体系设计上基于几种设计思路。

3.2.1构建网站可信机制

通过第三方网站身份诚信认证来确保网站真实性，可帮助网民判断网站的真实性。同时，基于可信证书类产品，确保系统管理用户身份的真实性。其次，借助社会力量来实现假冒网站的定位、侵权取证等服务，从而有效打击防范欺诈类网站并且协助维权。

3.2.2建设安全可靠的办公网络平台

积极推进信息安全等级保护建设，通过制定安全策略、部署安全设备，完善安全保密管理制度，加强安全运维支撑建设，从物理安全、网络安全、主机安全、应用安全、数据安全、流程安全、人员安全等多方面保障系统的安全稳定运行。

3.2.3建立网络信任服务

通过为网络管理员、网站维护人员颁发数字证书，部署网络可信接入及远程安全接入设施来构建剧院内部的网络信任服务体系，保证信息系统及媒资库资源的可靠访问，确保我院信息资源安全。

3.3 体系框架

在国家大剧院信息系统安全保障体系设计以及实现中，将在国家相关的安全政策、法规、标准、要求的指导下，制定可具体操作的安全策略，构建国家大剧院网站系统安全技术系统、安全管理体系以及安全运行体系，形成集防护、检测、评估、响应、恢复于一体的整体安全保障体系，从而实现物理安全、网络安全、主机安全、数据安全和应用安全，以满足国家大剧院网站系统全方位的安全保护需求。国家大剧院信息系统整体安全保障体系模型如图1所示。

国家大剧院信息系统整体安全保障体系模型主要由三个方面组成。

3.3.1安全技术体系

参考国家标准《信息安全技术 信息系统等级保护安全设计技术要求》按照威胁分析，将信息资产划分为若干保护对象，并按照“一个中心”管理下的“三重保护”的设计框架，构建国家大剧院信息安全技术体系保障机制和策略，为国家大剧院信息系统的运行提供安全保护环境。该环境共包括四部分：安全计算环境、安全区域边界、安全通信网络和安全管理中心。

3.3.2安全管理体系

以国家大剧院现有业务系统所服务对象为基础，建立完善的安全管理体系，建立信息安全管理机构、制定信息安全管理制度、设置信息安全管理岗位。

3.3.3安全运维服务体系

针对业务安全运行的需要，以日常巡检、咨询、评估等建立有效的运维服务机制，加强对资产管理的分析、隐患发现、策略审核考评等，不断发现平台在运行中的安全隐患，降低系统脆弱性和面临潜在的威胁带来的影响及损失，以及时对安全策略实现完善和防护措施的改进提升。

3.4 信息安全体系建设实践

国家大剧院信息安全保障工作经过长期的努力，已经初见成效。在安全体系的建设实践中，总结出几点实践经验。

3.4.1制定标准规范，奠定保障基础

信息安全保障建设的一项重要工作之一是参照国家等级保护的技术要求完成相应的合规性检查。因此，国家大剧院应据此建立适合国家大剧院的信息安全管理基线，坚持常态化管理和动态控制，达到并保持国家相关安全主管部门的安全审计要求。

3.4.2重视管理，制度先行

信息安全是一个动态发展的过程，每年随着业务发展变化而变化，同时随着信息安全技术的不断演变，都会出现新的安全防护技术的使用。经过多年实践证明，每个系统或者防护设备上线前，都必须在遵守总体防护规范的前提下，编制好具有针对性的管理要求，才有有效降低安全风险引入的可能。

3.4.3定期组织代码审计和渗透测试等系统检测

代码安全审计是通过人工分析和工具扫描的方式检验应用程序的源代码，利用大量的代码安全规则，来分析源代码中的违反规则部分，进而确定可能存在的安全漏洞和隐患。应用系统生命周期安全的从SDL实践上看，安全做的越早效果越好（但开发模式改动的成本也相对比较大），代码审计作为保证代码安全的最低低线，其作用是不可取代的。

另外，除了从代码开发过程中保证开发出安全的应用系统以外，针对已开发的系统，国家大剧院还组织第三方测试机构，从攻击者视角检测信息系统安全防护能力是否达到，是否存在成功攻入系统的途径。

4 信息安全建设意义

通过构建信息安全保障平台，保障我剧院信息系统可安全合规运行。基于国家信息安全等级保护制度要求，建设国家大剧院信息系统整体安全保障体系模型信息安全保障基础设施，制定安全策略，为国家大剧院系统提供安全可靠的运行环境。

提高国家大剧院电子票务等信息系统的安全运行平稳度。通过在信息安全技术、信息安全保密管理等多维度的体系保障建设，保障网站真实性、打击假冒网站，大大提高国家大剧院信息系统安全稳定运行的平稳度。

提高用户的安全便捷以及系统安全管理能力。通过构建可信的电子票务运营环境，为用户提供身份认证及网络信任机制，加强用户的身份、资金安全保障，并且提高系统安全管理能力。

提升安全隐患发现能力。安全隐患的发现能力是信息安全管理中的关键能力，关系到能否将风险消除在事件发生之前。通过建立入侵监测系统、防病毒系统以及定期的安全脆弱性检测等，大大提升我剧院信息系统的安全隐患发现能力。

5 结束语

建设和完善信息安全保障体系是为了保证国家大剧院的业务在今后发展过程中对信息安全建设的要求。

信息安全保障体系建设涵盖安全管理体系、安全技术体系、安全运维体系的复杂系统工程，是一项长期性的专业的细致的认为，需要以信息安全技术为基础，持续投入大量的人力和物力。为使国家大剧院建设成为国际化、现代化的大剧院提供有力的信息安全保障。

参考文献

[1] 关于大力推进信息化发展和切实保障信息安全的若干意见（国发[2012]23号）.

[2] 信息安全管理实用规则（GB/T 22081-2008）.

[3] 信息系统等级保护安全设计技术要求（GBT25070-2010）.

[4] 信息系统安全等级保护体系框架（GA/T 708-2007）.

[5] 国家大剧院电子商务网站系统安全保障方案.内部资料，2010.

篇8

中图分类号：TP393.08

随着现代科技尤其是网络技术和电脑科技的发展，各政府机关都已建立起计算机网络，并通过联网技术在工作中进行信息交流和资源共享。这对于各个行政机关加强部门管理，并实现监督所属管辖范围的企事业单位的要求具有相当的帮助。不可否认的是，网络信息往往会面临许多安全方面的问题。

行政机关的所使用的网络信息系统通常是需要联网使用的，通过该系统建立的平台，为工作人员提供信息的交流、传递、管理以及其他业务的办理等多种服务。同时该系统的内部数据库还可以对网络资源或信息进行采集、管理和，并为相关的行政部门提供服务，以有助于其开展网络视频会议或实现审批流程的顺利进行，等等。因而成为了各部门工作开展的必备手段并有利于其工作效率的提高。

由于各行政机关的数据档案等往往具有不对外公开的性质，因此对于计算机网络来说，在满足各部门的工作需求的基础上，还应具有易操作性以及高度的保密性和安全性。而实际上网络信息在传递和管理时往往会面临许多不安全的问题如黑客和恶意软件的攻击等，因此应对计算机网络信息安全予以高度保障。

1影响计算机网络信息安全的各个要素

由于计算机网络的结构体系比较复杂，且其各个结构存在着较大的差异，因而容易导致兼容性方面出现问题。此外，国际标准化组织根据互联网模型的开放系统将网络信息的传递和互动划分为七层，以保证各种网络信息都能在与其相适的结构层次上展开互动和交流。以下将根据这些层次结构的规划，对影响计算机网络信息安全的各个要素进行讨论并提出相应的安全保障策略。

1.1系统方面的安全要素

系统方面的安全要素指的是除硬件之外的软件系统环境。其安全性集中地体现为总部服务器及其下属终端系统的网络操作安全。其有效性主要在于操作系统内部所存在的缺陷及其对于安全方面所进行的配置、用户在机制进行操作和管理时的认证或访问身份方面的安全保障以及针对系统方面的各种攻击所展开的防御等等。

1.2网络方面的安全要素

网络方面的安全要素主要是指在进行信息传递和互动时的安全保障措施。它主要体现为保障网络传输时的信息完整和内容隐私；保证信息资源、网络系统以及访问者的身份认证等方面的机制控制安全；保障系统及其硬件设备对于恶意攻击的检测和预防等方面的安全以及域名解析系统的安全性等等。

1.3管理和应用方面的安全要素

网络信息在管理和应用方面的安全要素是指在对网络数据库和信息应用软件的安全性进行考虑的基础上，对包括网络设备的技术和安全管理、安全管理规范和制度、机构人员的安全组织培训、网络信息应用平台、web服务器、电子邮件系统、网络信息系统、以及来自于病毒软件的威胁等方面展开的安全保障措施。

1.4物理方面的安全要素

物理方面的安全要素主要有网络设备、通信线路以及相应的环境安全保障等等。其中主要是指设备的互动链接所遵守的物理协议标准、网络信息的传输线路与通信线路的安全性、软、硬件设备所具有的抗干扰性、设备运行时的空气温湿度及清洁度等方面的网络环境条件和电源方面的安全保障和备用等要素。

2网络安全模型及相应的安全保障策略

2.1网络安全模型

想要更好地保障行政机关计算机网络信息安全就应该建立起人员、技术和管理三者合一的全面的网络安全模型，从而对行政机关计算机网络信息安全提供全方位的保证。

其中人员是决定所建设的网络信息安全模型是否有效的关键因素。这是因为工作人员既是对技术进行安全操作的主体，又是开展安全管理的主要参与者。其中，工作人员的业务水平和知识结构是安全有效性得以保障的重要影响因素。

技术则是指网络信息互动时所使用的服务和设备方面的支持以及其他所需要的技能和工具，它是实现网络信息安全的基本保证。而管理是指对网络信息安全的流程进行策划和组织等方面。工作人员对行政机关计算机网络信息安全管理的决策判断也是影响安全保障有效性的关键。

此外，由于行政机关的计算机网络信息安全需要时常进行检查以便及时发现问题并进行改善，因此在建构网络安全模型时要按照“防护、检测、发现、改善和防护”的循环策略开展相关的工作。

2.2相应的安全保障策略

（1）系统安全保障策略。通过采用性能稳定的Linux这样的多方网络操作系统来奠定服务器运行的环境基础，以严格控制权限并验证身份的方式来实现安全保障，同时对用户登陆、资料审计以及文件签名等环节进行控制以检测并维护系统安全，并经常升级系统、补齐漏洞以保障系统安全的恢复，此外还可对用户进行系统操作的权限进行定时更新。（2）网络安全保障策略。通过采用服务器、防火墙、访问控制列表、防病毒软件和扫描器等安全措施来保障网络安全，并利用网络三层交换机对不同的网络服务需求进行划分，对所划分的网段主机及其子网的检测节点用入侵检测系统进行扫描，再制定出的相应的安全策略并做出相应的分析、执行和改善，以此来提高网络信息的安全保障。（3）管理和应用安全保障策略。通过控制访问权限并时常更新、验证身份并对访问组件进行加密的方式来实现安全保障，同时经常检测应用程序日志和散列的文件签名并建立起相关的安全管理制度以及相关的人力资源组织规则和标准，事件发生后要及时通知使用者，并通过对数据进行备份的措施来实现数据恢复，制定出紧急响应预案并统计违规操作行为，时常更新或调整网络安全的组织流程，并培训工作者的相关技能。（4）物理安全保障策略。通过消防、环境隔离门禁、温湿度控制以及设备保护等系统的采用实现物理安全保障，同时配备相应装置进行探测和感应，通过监控中心的自动响应设备对发生的事故进行自动保护，同时相关工作人员也及时发现问题并予以正确处理，定时检测网络安全设备并对其软、硬件进行修复或更换，若有必要可硬更换新设备。（5）重视各行政机关工作人员的安全作用。对于行政机关计算机网络信息安全的维护，除了上述安全保障措施以外，还应重视各行政机关工作人员的安全作用。这是保障网络信息安全的重要因素，因为上述各方面的要素无法排除工作人员的参与。具体说来，发挥人员方面的作用主要有以下几点。首先有关部门的领导应对网络信息安全予以高度重视。其次在于相关工作人员应有意识地增加信息安全知识以提高自身的网络信息安全意识。再次是网络技术人员要经常对设备进行巡检并定期维护并修正相应的安全策略。最后管理人员还应对员工的安全问题进行定期检查。

3结论

综上所述，对行政机关的计算机网络信息安全实施保障需要调动许多方面的安全因素，从而展开全面细致的系统维护，这就要求有关工作人员有意识地在实际操作中增加自己的知识和经验，实现人员、技术和管理三位一体的安全系统，以更好地保障行政机关的网络安全。

参考文献：

[1]胡世昌.计算机网络安全隐患分析与防范措施探讨[J].信息与电脑(理论版),2010(10).

[2]王薪凯,姚衡,王亨.计算机网络信息安全与防范[J].硅谷,2011(04).

篇9

在时代的变革下，电子文件已然成为各个机构开展业务中的主要凭证，是信息资源中最为可靠、权威的信息，该种信息资源是保障机构运行的重要支撑，也属于国家信息资源的有机组成部分。构建出科学的电子文件信息安全保障体系不仅是信息安全的必然需求，也是促进组织发展的客观需求。

1电子文件信息安全保障体系构建目标分析

构建电子文件信息安全保障体系的前提是制定出相关的安全保障体系，对电子文件管理中的各类风险进行准确的预估，制定出系统、科学的安全保障体系，最大限度的保障文件的可用性、安全性与完整性，避免私密信息、重要信息与敏感信息泄密。各个机构在建设电子政府信息系统的过程中，必须要充分的意识到这一问题，将其放置在一定的高度进行考虑。这需要遵循如下的几个原则：第一，科学性原则：在构建电子文件信息安全保障体系时，必须要进行科学的调查和研究，找出其中的风险，制定出科学的防范措施，将相关的理论应用在具体的实践过程中，提升安全保障体系的可操作性。第二，标准规范性原则：电子文件信息安全保障体系的构建必须要符合我国相关法律的要求，要遵循国际与国家的标准，严格按照规章制度来办事。第三，适度经济性原则：在工作中，需要根据上网信息的等级来制定安全防范体系，根据各单位的人力、物力和财力以及风险评估等级来确定资金的分配方式，不仅要考虑到系统的操作性，也要分析安全保密性能。第四，长久安全性原则：在构建电子文件信息安全保障体系，需要进行总体的设计与规划，考虑到信息发展情况与条件变化因素，尤其是分析系统安全功能设计时需要考虑到技术因素的潜在功能。

2电子文件信息安全保障体系构建措施

在构建电子文件信息安全保障体系时，其首要的支撑就是信息安全理论，以这一理论作为指导，采用多样化的手段，将管理制度、法律规范与技术措施有机融合起来，构建出科学的安全保障体系：

2.1建设思路

在建设安全保障体系时，需要先梳理现有的法律制度，解决现有问题，为电子文件信息安全保障体系的建设提供科学的依据，尽快的完善现有的法律法规，并结合管理内容的特点突出重点，完善流程，充实、细化安全法规。此外，还要结合机构的情况来制定文件安全管理制度，建立起科学的监督机制，对电子文件信息的人员管理、风险评估以及操作流程进行系统、全面的控制。

2.2管理策略

虽然技术方式可以保障电子文件信息的安全，但是依然需要制定出合理的管理制度，仅仅依靠传统的技术防火墙是无法起到良好的效果的，一般情况下，管理策略需要涵盖到几个内容：树立起风险意识：管理人员风险意识的淡薄是影响电子文件信息安全的主要诱因，实施风险管理模式可以提升电子文件应用的安全性，提升其管理水平，为此，相关部门需要加强对工作人员的培训与教育，提升他们的风险意识，建立防护体系，明确管理重点，为电子文件提供科学的保障；将安全管理原则落实到实处，要保障电子文件信息的安全性，必须要制定出专门的安全管理守则，安全守则的制定需要遵循职责分离原则、专人负责原则以及制度保障原则几个方面。在具体的应用过程中，每个单位都需要考虑到自身的实际情况，及时调整管理策略，一旦发现有人违反规定，必须要严厉处罚。此外，电子文件信息安全保障体系涉及的内容是非常多样的，在研制软件时，就需要考虑到这些问题，一些单位为了省事，往往聘请软件公司来负责这一事宜，但是，市面上的软件公司水平往往参差不齐，研制的软件也难以取得理想的效果。为了解决这一问题，单位必须要加强与软件公司的沟通和交流，分析其中存在的安全风险，充分的考虑到每一个细节问题，最大限度的保障内部电子文件信息的安全性。建立起科学的电子文件备份机制。合理的备份机制是应对安全事件的有效保障，电子文件备份机制能够避免文件的丢失，这包括三个类型：第一就是硬件级别的备份，采用各类闲置硬件来保障系统运行的稳定性，但是，该种方式是无法避免病毒、人为操作等引起的错误的；第二，进行软件备份，保存好系统数据，如果系统发生错误，可以及时的恢复，避免数据出现逻辑性损坏；第三，进行人工备份，利用硬件备份避免物理故障问题的发生，同时，联合使用软件备份与人工备份，进行多重保护。对于备份机制，需要制定好完善的计划表，建立好备份副本，制定出合理的应急机制，对于网络环境，不仅要做好文件备份，还要对整个网络体系进行备份；第四，利用多重技术保证文件的传输安全。对于加密文件信息，可以将传统加密技术与防消息泄密技术、信息隐藏技术与防拷贝技术结合起来，其中，信息加密技术就是采用密码的形式储存相关的文件信息，让窃取者无法在短时间内破译内容。而信息隐藏技术主要针对的文件，将消息的发送者与接收者隐藏。防消息泄密技术能够避免电子文件信息出现电磁辐射泄漏。防拷贝技术主要针对贮存的电子文件，对其载体进行技术处理，即便被不法分子获取，也无法识别出来。

3结语

总而言之，为了保障电子文件信息的安全性，必须要建立起与之相关的安全保障体系，纵观我国的实际情况来看，关于这一内容尚未制定出系统的规章制度，要提升电子文件信息的安全性，需要综合考虑到各个方面的内容，这一道路还任重道远。

参考文献：

[1]陈清明,张俊彦.信息安全风险评估工具及其应用分析[J].信息安全与通信保密,2010(01).

篇10

在保障安全的前提下，兼顾不同主体单位的差别，强制满足最低标准，充分保留发展空间。

参照 ISO/IEC 27001:2005中提出的证券期货业信息安全保障管理模型(简称模型)，采用立方体架构。顶面是信息安全保障的7个目标(机密性、完整性、可用性、真实性、可审计性、抗抵赖性、可靠性)，正面是行业组织结构，侧面是各个机构为实现信息安全保障目标所采取的措施和方式(组织、管理及技术体系)。

本管理体系框架遵循如下基本原则：责任制原则，依据“谁主管，谁负责”、“谁运营，谁负责”的基本原则，明确行业内各主体单位信息安全保障的管理责任；系统性原则，以动态保障的安全观为指导，体现安全与发展并进、管理与技术并重、长效机制与应急防御相结合的综合保障体系；适用性原则，在保障安全的前提下，兼顾不同主体单位的差别，强制满足最低标准，充分保留发展空间。

信息安全目标

证券期货业信息安全保障管理体系的目标是保障网络与信息系统的机密性、完整性、可用性、真实性、可审计性、抗抵赖性、可靠性。机密性是数据所具有的特性，即表示数据所达到的未提供或未泄露给未授权的个人、过程或其他实体的程度。完整性是保证信息及信息系统不会被非授权更改或破坏的特性，包括数据完整性和系统完整性。可用性是数据或资源的特性，被授权实体按要求能访问和使用数据或资源。真实性即信息接收者能够通过有效的手段来识别信息是否是声称者所发送。可审计性即每个经授权用户的活动都是唯一标识和监控的，以便对其所做的操作内容进行审计和跟踪。抗抵赖性即保证发送信息的行为人不能否认自己的行为，使发送行为具有可信度。可靠性即保证合法用户对信息能够进行读取和修改，防止非法用户对信息进行恶意篡改和破坏。

行业组织结构

证券期货业安全保障管理组织结构采用 “统一组织、分层管理、交叉协调”的管理结构，划分为三层：决策层、管理层、执行层。

决策层

决策层由证券期货业网络与信息安全保障协调小组(以下简称协调小组)构成，协调小组由中国证券监督管理委员会及“5(交易所)+1(登记结算公司)+2(行业协会)”组成，是证券期货行业信息安全的最高决策机构，以建立安全的信息系统、保障投资者利益为目标，制定框架性的信息系统安全指导方针，明确信息安全保障工作的基本方向和主要内容，颁布信息安全保障工作的行业条例与规定。

协调小组还将根据证券期货行业信息系统发展趋势和信息安全发展趋势，定期对指导方针做出调整，研究和分析信息安全建设对证券期货行业发展的价值和影响，确定信息安全保障工作的发展方向和基本工作节奏。审定并颁布行业信息安全保障工作的规定和制度，协调行业内部及外部资源，具体包括，信息安全保障工作指导方针、信息安全保障工作管理体系、信息安全保障工作管理流程、信息安全保障工作监督规定。审定并颁布信息安全保障工作的监督机制，并颁布相关监督制度和管理流程。

管理层

管理层由行业主管职能部门、行业自律组织和行业相关的管理与促进机构构成。行业主管职能部门包括中国证监会信息安全管理职能部门及其派出机构(各地的证监局、证管办)，行业自律组织包括中国证券业协会、中国期货业协会、技术标准委员会，相关的管理与促进机构成员包括证券交易所(上海证券交易所、深圳证券交易所)、期货交易所(上海期货交易所、郑州商品交易所、大连商品交易所)、登记结算公司。

行业主管职能部门负责起草并报批行业信息安全保障工作的规章和制度，协调专家顾问、行业成员等各方面的资源，对协调小组颁发的信息安全指导方针做技术与标准的支持，为其他成员执行指导性方针提供支持，并及时了解业务发展对信息安全的新需求，反映给协调小组，并根据证监会的信息安全保障工作相关规定，提出技术标准与实施细则。协调专家、顾问和行业标杆企业为各个安全主体进行信息安全保障工作的咨询。

行业自律组织针对行业特性制订信息安全保障相关自律性公约、标准、规范与指引等，并要求其会员单位严格遵守自律公约，并对违反公约的行为进行处理。相关的管理与促进机构作为市场网络与信息系统的核心，其信息系统运行状态很大程度上依赖于会员单位的信息安全级别，应对其会员单位进行严格要求，依据行业信息安全保障管理相关管理规范，制定相应的管理细则和技术标准，督促其会员单位落实，并对安全边界进行严格管理。

执行层

执行层指市场各个参与主体，包括交易所、登记结算公司、通信公司、证券公司、期货公司、基金管理公司、投资咨询机构等。

安全保障领导小组是各主体单位信息安全最高领导机构，对协调小组关于信息安全建设的指导方针进行目标分解，结合本单位业务发展需求及信息系统现状制定具体的信息安全建设策略、计划、流程，并授权执行机构进行信息系统安全建设与运维。主要工作内容包括制定符合监管机构规定的信息安全保障方针政策，根据企业自身信息安全保障工作的方针政策建立信息安全保障工作的策略体系，监督并指导企业自身的信息安全组织、管理、技术体系建设。

安全保障工作小组是各主体单位执行信息安全保障的具体机构，根据安全保障领导小组制定的信息安全建设策略、计划、流程执行信息安全保障工作。主体单位对自身信息安全现状的评估，建设信息安全组织、管理、技术体系，完善信息安全组织、管理、技术体系，对出现的安全事件进行处理。

在组织体系上，决策层进行法规颁布，对管理层和执行层进行工作指导，管理层对决策层制定的相关法规进行细化，执行层根据行业规则进行信息安全保障体系建设，并将组织信息上报管理层和决策层。在管理体系上，决策层对管理层进行监督管理，管理层对执行层进行评估检查，执行层将信息进行上报给决策层和管理层。在技术体系上，由执行层将技术实现方案和实施结果上报给管理层，管理层对成功经验在执行层进行推广。

篇11

doi : 10 . 3969 / j . issn . 1673 - 0194 . 2012 . 09. 054

［中图分类号］ TP309 ［文献标识码］ A ［文章编号］ 1673 - 0194（2012）09- 0089- 02

1 信息安全保障体系概述

信息安全保障（Information Assurance，IA）来源于1996年美国国防部DoD指令5－3600．1（DoDD5－3600．1）。其发展经历了通信安全、计算机安全、信息安全直至现在的信息安全保障。内容包括保护（Protection）、检测（Detection）、响应（Response）、恢复（Recovery） 4个环节，即PDRR模型。

信息安全保障体系分为人员体系、技术体系和管理体系3个层面，人员体系包括安全人员的岗位与职责、全体工作人员的安全管理两部分。技术体系由本地计算环境、区域边界、网络基础设施及支撑性基础设施组成。管理体系包括建立完善的信息安全管理体系、构建自上而下的各级信息安全管理组织架构、制定信息安全方针与信息安全策略及完善信息安全管理制度4个板块。通过纵深防御的多层防护，多处设置保护机制，抵御通过内部或外部从多点向信息系统发起的攻击，将信息系统的安全风险降低到可以接受的程度。

2 国外信息安全保障体系建设

美国的信息化程度全球最高，在信息技术的主导权和网络上的话语权等方面占据先天优势，他们在信息安全保障体系建设以及政策支持方面也走在全球的前列。美国政府先后了一系列政策战略报告，将信息安全由“政策”、“计划”上升到“国家战略”及“国际战略”的高度。美国国土安全局是美国信息安全管理的最高权力机构，其他负责信息安全管理和执行的机构有国家安全局、联邦调查局、国防部、商务部等，主要根据相应的方针和政策结合自己部门的情况实施信息安全保障工作。

其他国家也都非常重视信息安全保障工作。构建可信的网络，建设有效的信息安全保障体系，实施切实可行的信息安全保障措施已经成为世界各国信息化发展的主要需求。信息化发展比较好的发达国家，如俄、德、日等国家都已经或正在制定自己的信息安全发展战略和发展计划，确保信息安全沿着正确的方向发展，在信息安全领域不断进行着积极有益的探索。

3 国内信息安全保障体系建设

我国信息化安全保障体系建设相对于发达国家起步较晚，2003年9月，中央提出要在5年内建设中国信息安全保障体系。2006年9月，“十一五”发展纲要提出科技“支撑发展”的重要思想，提出要提高我国信息产业核心技术自主开发能力和整体水平，初步建立有中国特色的信息安全保障体系。2007年7月20日，“全国重要信息系统安全等级保护定级工作电视电话会议”召开，标志着信息安全等级保护工作在全国范围内的开展与实施。2011年3月《我国国民经济和社会发展十二五规划纲要》明确提出加强网络与信息安全保障工作。通过一系列的文件要求，不断完善与提升我国的信息安全体系，强调信息安全的重要性。

我国信息安全保障体系建设主要包括：① 加快信息安全立法、建立信息安全法制体系，做到有法可依，有法必依。② 建立国家信息安全组织管理体系，加强国家职能，建立职能高效、职责分工明确的行政管理和业务组织体系，建立信息安全标准和评价体系。③ 建立国家信息安全技术保障体系，使用科学技术，实施安全的防护保障。④ 在技术保障体系下，建设国家信息安全保障基础设施。⑤ 建立国家信息安全经费保障体系，加大信息安全投入。⑥ 高度重视人才培养，建立信息安全人才培养机制。

我国通过近几年的努力，信息安体保障体系取得了长足发展，2002年成立了全国信息安全标准化技术委员会，不断完善信息安全标准。同时在互联网管理、信息安全测评认证、信息安全等级保护工作等方面取得了实质性进展，但CPU芯片、操作系统与数据库、网关软件仍大多依赖进口，受制于人。

4 企业信息安全保障体系建设

中国石油集团公司信息化建设在我国大型企业中处于领先地位，在国资委历年信息化评比中，都名列前茅，“十一五”期间，公司将企业信息安全保障体系建设纳入信息化整体规划中，并逐步实施。其中涉及管理类项目3个，控制类项目3个，技术类项目5个。

管理类项目包括信息安全组织完善、信息安全运行能力建设、风险评估能力建设3个项目。信息安全组织完善是指完善信息安全的决策、管理与技术服务组织，合理配置岗位并明确职责，建立完备的管理流程，为信息安全建设与运行提供组织保障。信息安全运行能力建设内容包括建立统一、完备的信息安全运行维护流程及组织IT运行维护人员信息安全技能培训，较快形成基本的信息安全运行能力。风险评估能力建设是指通过建立风险评估规范及实施团队，提高信息安全风险自评估能力和风险管理能力，强化保障体系的有效性。

信息安全控制类项目涉及信息安全制度与标准完善、基础设施安全配置规范开发、应用系统安全合规性实施3个项目。信息安全制度与标准完善包括：① 初步构建了制度和标准体系，了《信息系统安全管理办法》及系统定级实施办法。② 建立和完善了信息系统安全管理员制度，开展了信息安全培训。③ 跟踪国家信息安全等级保护政策，开展信息系统安全测评方法研究等，规范了信息系统安全管理流程，提升安全运行能力。基础设施安全配置规范开发目标是制定满足安全域和等级保护要求的信息技术基础设施安全配置规范，提高信息技术基础设施的安全防护能力。应用系统安全合规性实施是提供专业的信息安全指导与服务，支持国家等级保护、中国石油内部控制等制度的实施，使信息化建设与应用满足合规性要求。

信息安全技术类项目由身份管理与认证、网络安全域实施、桌面安全管理、系统灾难恢复、信息安全运行中心5个项目组成。身份管理与认证是指建成集中身份管理与统一认证平台，实现关键和重要系统的用户身份认证，提高用户身份管理效率，保证系统访问的安全性。网络安全域包括广域网边界防护、广域网域间与数据中心防护、广域网域内防护3项内容。广域网边界防护是指将全国各地的中国石油单位的互联网集中统一到16个区域网络中心，员工受控访问互联网资源，并最终实现实名制上网。广域网域间与数据中心防护项目指建立。区域间访问与防护标准、数据中心防护标准。广域网域内防护将分离其他网络并制定访问策略，完善域内安全监控手段和技术，规范域内防护标准。桌面安全管理项目包括防病毒、补丁分发、端点准入、后台管理、电子文档保护和信息安全等级保护综合管理6个子系统。系统灾难恢复包括：① 对数据中心机房进行了风险评估，提出了风险防范和改进措施。② 对已上线的18个信息系统进行业务影响分析，确定了灾难恢复关键指标。③ 制定整体的灾备策略和灾难恢复系统方案。信息安全运行中心旨在形成安全监控信息汇总枢纽和信息安全事件协调处理中心，提高对信息安全事件的预警和响应能力。

5 存在问题及建议

中国石油作为国资委超大型企业和能源工业龙头企业，集团领导和各级领导，一贯重视信息安全工作，在落实等级保护制度，加强信息安全基础设施建设，深入开展信息安全战略、策略研究等方面，都取得的丰硕成果，值得其他企业借鉴。公司在信息安全保障体系建设中还存在以下问题：

篇12

中国信息化建设在突飞猛进的同时，也面临着一系列的信息安全隐患。关键信息的安全管理漏洞，将会给政府、电信、金融、民航等重点行业带来不可估量的严重后果。病毒的大肆传播与黑客的不断攻击等事件的发生，也将造成巨大的经济损失，甚至威胁到国家的安全。

建立国家信息安全保障体系

信息安全保障体系的建设策略是要建立信息安全防护能力，要具有隐患发现能力、网络反应能力、信息对抗能力。

信息安全技术保障体系的建立要强调自主研发与创新，要组建研发国家队与普遍推动相结合，推动自主知识产权与专利，建设技术工程中心与加速产品孵化，加大技术研发专项基金，全面推动与突出重点的技术研发相结合。要建立纵深的防御体系，采用网络信息安全域的划分与隔离控制、内部网安全服务与控制策略、外部网安全服务与控制策略、互联网安全服务与控制策略、公共干线的安全服务与控制策略、计算环境的安全服务机制、多级设防与科学部署策略、全局安全检测、集成管理、联动控制与恢复等手段来保障信息安全。此外，要采用信息系统安全工程的控制方法和安全技术产品与系统互操作性策略。

建立资质认证机制和监理机制，形成社会化服务和行政监管体系。要建立基于数字证书的信任体系、信息安全测评与评估体系、应急响应与支援体系、计算机病毒防治与服务体系，建立灾难恢复基础设施和密钥管理基础设施。

在搭建国家信息安全保障体系框架时，要建立信息安全标准与法规环境，这就需要强力推动信息安全标准化工作、加强信息安全标准的研发、评审、审批，加快信息安全法规的制订以及相关法规的制订。此外，还需要培养大量高级信息安全人才。

信息安全需要技术保障

信息安全保障，从保密性、完整性、可用性、可控性、不可否认性等安全属性的需要，以及在预警、保护、检测、响应、恢复及反击等环节提出了诸多的技术需求。

目前，国际上出现了一个叫"MALWERE(坏件)"的新概念，它把计算机病毒、蠕虫、逻辑炸弹、特洛伊木马、愚弄和下流玩笑程序以及恶意代码都包括在内。在这个概念的推动下，计算机病毒检测功能必将逐步有所扩充。

现在的防火墙在功能上有了许多扩展和延伸，许多产品把VPN的功能加入到防火墙中，也有把入侵检测(IDS)、病毒检测等功能模块加入防火墙之中。

为了实现对各种安全模块的集中管理，共享安全事件审计分析信息，统一制订和实施安全策略，还出现了集中安全管理平台的研制开发。

政府信息化采购应兼顾信息安全

政务信息化政府采购不仅应满足经济指标，也应兼顾信息安全。现在我国《政府采购法》已经出台，这将有利于政务信息化的信息安全，也有利于本国IT企业的发展。

在政府采购中，电子政务占有重要的地位。据预测，2002年中国电子政务市场总投资将达到350亿元，比2001年增长23.4％；2002年～2004年中国电子政务总体市场年复合增长率为25.7％。按照这一速度计算，5年后电子政务市场的投资额将突破1000亿元，因此它将成为国内外企业关注的一个焦点。

《政府采购法》支持本国产业

采购法中明确规定，除一些特殊情况外，政府采购应当采购本国货物、工程和服务(包括本国软件和服务)，这个规定既有利于本国企业，也有利于保障信息安全。

加入WTO并不等于立刻开放政府采购市场，因为加入WTO并不等于加入《政府采购协议》(GPA)。GPA是所谓"复边贸易协议"，仅对签字成员方有效，我国在两年后才会谈判是否加入GPA。而在我国加入WTO的GPA之前，根据国际惯例，可以通过政府采购扶持本国产业。

政府采购支持NC推广