个人信息安全管理范文

引言：寻求写作上的突破？我们特意为您精选了12篇个人信息安全管理范文，希望这些范文能够成为您写作时的参考，帮助您的文章更加丰富和深入。

篇1

2011年深圳警方抓获了一名贩卖婴儿信息的女子，其贩卖的信息当中记载了深圳15万名新生婴儿的详细资料，还搜查出深圳楼盘业主、车主名单等数十万份个人信息。

2012年3月20日，北京警方宣布成功破获CSDN网站用户数据泄露案，被公开的疑似泄露数据库26个，涉及账号、密码信息2.78亿条，严重威胁互联网用户的合法权益。在2009年刑法修正案（七）中，虽然确定了“出售、非法提供公民个人信息罪”、“非法获取公民个人信息罪”罪名，首次将公民个人信息纳入刑法保护范畴，但未明确该罪的具体界定标准，且追究的犯罪主体只是“国家机关或者金融、电信、交通、教育、医疗等单位的工作人员”，法律对信息泄露者的惩罚机制还远远不够。

据国家互联网应急中心《2011年我国互联网网络安全态势综述》显示，近年来以用户信息泄露为代表的与网民利益密切相关的事件频发高发，“轻伤”者被垃圾信息“攻击”，“重伤”者财物、名誉双双受损，引起公众对网络安全的广泛关注。

“三律”加强个人信息安全防御

面对垃圾短信和洗钱、诈骗等违法违规信息推送以及网络上办假身份证骗取银行信用卡恶意透资、盗取他人账户资金等种种乱象，如何全面加以防范和打击已经迫在眉睫。

针对个人信息泄露的三种主要渠道：一是用户的电脑或手机被木马软件劫持；二是个人信息在互联网传输的过程中，经过一些传输路由时被他人控制；三是网站运营或信息管理机构对个人信息没有尽到妥善保管的义务，在使用过程当中把个人信息泄露出去。与技术因素相比，网站运营或信息管理机构泄露用户信息已经成为侵犯个人信息安全更为重要的原因。必须从源头加以治理，坚持法律、他律与自律三律并施的原则，切实加强个人信息安全防护。

健全法律。工业和信息化部副部长杨学山日前在“2012中国个人信息保护大会”上指出：“个人信息安全已成为目前网络发展的重要问题，加强相关法律法规建设具有重要意义”、“个人信息安全是重要的问题，与网络秩序、社会的稳定与安定均息息相关，个人信息在网络上的集中度越来越高，法律建设的相关环节也就更加具有重要的地位”。立法保护个人信息，是国际上通常的做法。目前世界上已有50多个国家和组织制定了个人信息保护的相关法规和标准。而在我国，虽有近40部法律、30余部法规和近200部规章涉及个人信息保护，2009年《刑法》将泄露个人信息入罪，《民法通则》中也有关于个人隐私的条例，但这些法律法规条例零散、抽象，在现实中普遍缺乏可操作性。《个人信息保护法》初稿已出台6年，但至今未进入正式立法程序。加快推动个人信息保护立法进程，成为社会共识。

加强他律。掌握公民信息的，往往是具备政府管理职能和提供公共服务的机构及社会团体组织，他们掌握着80%以上的个人信息，80%以上的个人信息往往也经由他们泄露出去。因为单凭个人没有如此强大的信息收集能力，只有这些单位趁着工作上留存公民信息的需要而使工作人员有违规操作的可能。因此，各级信息安全工作主管部门必须切实加强对政府机关、公共事业单位和社会团体等组织的信息安全监管，督促其在做好信息系统等级保护和风险评估工作的基础上，切实加强对员工的信息安全管理，促其管束好工作人员遵守职业道德，不趁职务之便而谋利。

严格自律。网民在利用即时通讯工具聊天、在电子商城购物或在交友开博过程中，不知不觉中已经将个人信息存储在网站运营商的服务器中，这些个人信息不仅涉及个人姓名、性别、身份证、电话、邮箱等内容，甚至包括个人银行卡、支付密码、家庭住址等更为私密的内容，而公众所熟悉的杀毒软件重点在保护用户端的电脑安全，对于存储在运营商服务器上的数据安全鞭长莫及。新近提交审批的《信息安全技术、公共及商用服务信息系统个人信息保护指南》，提出个人信息在收集、加工、转移、删除4个主要环节中所要遵循的基本原则、注意事项，应引起个人信息提供者与使用者的高度重视并严格执行。作为个人，要做到不该上的网站不上、不该提供的信息不提供；作为机构，要做到不该征集的信息不征集、使用后不该存储的信息不留存。

“三建议”提升个人信息防护对策

个人信息安全防护是一项系统工程，政府部门作为公民个人信息最大的拥有者，首先应高度重视在个人信息应用方面的管理，为公民网上活动和互联网产业发展提供良好的法律环境。同时，相关企业要加强技术管理，条件成熟时还可设立企业首席隐私官,专门负责处理与用户隐私权相关事宜。而普通大众也要提高个人信息安全保护的意识和能力，防范网络行为可能带来的潜在风险。笔者结合从事信息化与信息安全工作的实践，提出以下建议：

加强学习，强化意识。首先要认真学习修订后的《保守国家秘密法》，深刻领会并全面掌握结果论为行为论的核心要义，严守12条禁令，不碰红线、高压线；按照“四个不得危及、三个不得公开”的原则，处理政务信息公开工作；其次要做好网络技术防范管理，严格遵照《江苏省信息化条例》要求，在信息化规划与建设、信息资源共享与开发利用、信息产业发展与技术推广应用、信息安全保障及其相关管理活动中，逐一落实到位。尤其是信息安全保障系统应当与信息化工程项目同步规划、同步建设、同步运行，使用财政性资金建设的信息网络和信息系统投入使用前，应当进行信息安全登基保护和信息安全风险评估。

篇2

1.调查方法和对象

1.1调查对象

本次调查对象的选择采取随机选取的方式。

1.2调查方法

通过对调查问卷的填写和反馈，实现调查目的。

1.3调查时间

2014年9月1日至9月30日。

1.4调查范围

本次调查问卷的发放和回收，主要采取两种方式。一种是实地调查，在人群密集处随机发放纸质调查问卷，请调查对象现场填写和反馈。另一种是利用网络调查平台，和回收调查问卷。两种调查方式相结合，使本次调查达到了覆盖范围较广，形式多样的效果。同时以不记名方式填答，保证了答卷结果的真实性。

本次调查发放调查问卷1000份，去除无效问卷146份，共回收有效问卷854份，回收率为85.4%。调查问卷回收后，对相关数据进行详细地统计和汇总，并做出分析。

2.调查数据分析

本次调查主要包含三个内容：一是公众对个人信息及其安全的认识；二是公众对电子商务及其安全的认识；三是公众对电子商务中信息安全的态度。

2.1公众对个人信息及其安全的认识方面

在公众对个人信息安全的关注度上，“一般关注”所占比例略高于“非常关注”，两者所占比例均达到40%以上，“不关注”所占比例很小。调查情况与“非常关注”比例应高于“一般关注”的理想状态相比，存在一定差距。在获取他人个人信息的渠道方面，“各种业务的办理”所占比例最高，其次是“自愿告知”、“聊天交友”。这说明公众透露自己的个人信息大多是出于实际需要或个人意愿，“自愿告知”和“聊天交友”所占比例均高于理想状态。这说明调查对象对个人信息安全普遍有较为充分和准确的认识，对待个人信息的基本态度是正确的，但对个人信息安全的关注还没有达到应有的高度。主要表现为大部分人对个人信息安全的关注程度不够高，还有相当一部分个人信息是主动泄露的。因此，为提高公众对个人信息安全的认识，有必要借助各类媒体进行宣传教育，提高公众对个人信息的重视程度，增强保护意识，防止因主观原因造成的信息泄漏。

2.2公众对电子商务及其安全的认识方面

与实体交易相比，在对电子商务的信任程度上，调查对象表示“一般信任”的接近80%，“非常信任”和“非常不信任”的比例相当，在10%左右；在电子商务的安全性的考虑上，大部分调查对象“比较关注”，但也有相当一部分调查对象表示“一般不会考虑”。以上结果表明，公众对目前的电子商务安全状况还不是十分满意，只是基本接受。有相当一部分调查对象“一般不会考虑”电子商务的安全性说明，公众在信息技术方面普遍存在知识欠缺的情况，对电子商务安全性的认识不足，容易造成盲目信赖或跟风。在使用电子商务时会否考虑采取安全措施方面，“经常采取”的所比例最大，接近40%，其次是“一般不会采取”的接近30%，“必须采取”和“没考虑过”的分别占20%和10%左右。这说明，公众有意愿采取安全措施，抵御电子商务中存在的安全风险，但是，实际采取的比例并不高。这主要受限于公众的信息技术素养和能力不足，还有相当一部分人有意愿采取安全措施，但自己又缺乏这方面的能力，只能坐以待毙。这组数据表明在电子商务及其安全性上：一方面，无论电子商务的安全现状，还是公众对电子商务安全问题的认知，都存在很大的不足。另一方面，公众对电子商务及其安全性的认识还处于初级阶段，现在还比较幼稚，但正在不断成熟、发展，具有一定的改善趋势。

2.3对电子商务中信息安全的态度方面

针对第三个内容的调查结果显示，虽然超过70%的调查对象表面对电子商务中信息安全现状“基本满意”，但是，与此同时，认为“大部分已经泄漏，安全感明显降低”和“不是很多，还可以接受”的比例都超过了25%。这表明，电子商务中信息安全的现状不容乐观。大多数调查对象表示基本满意，并不能说明电子商务中信息安全现状真的可以满足实际需求，而是因为现状长期得不到改善，致使公众对这一问题的关注陷入麻木状态。所以，我国电子商务中的信息安全问题不容小视，个人信息的安全保障水平亟待提高，而单方面的改善是难以见效的。公众对提高电子商务信息安全水平的要求是迫切的，并且已经采取了相应的措施，但这些是远远不够的，要保障电子商务中个人信息的安全，必须采取多种措施，齐抓共管，国家、企业和个人共同努力，构建信息安全管理体系，才能全面消除安全隐患，建立一个健康安全的电子商务环境。

2.4改进建议

本次调查最后一题采取了开放式的答题模式，收集到了一部分公众对电子商务信息安全方面提出的建议。这些建议主要集中在：提高用户安全意识和能力；建立健全法律法规，完善规章制度；加强对从业机构和人员的管理和培训；提高安全保障技术水平四个方面上。通过本次调查，可以进一步总结出应对各种安全风险的有效措施，并提高措施的可行性和有效性。

2.5调查评价

为提高调查的效度[1]，本次调查采用了网络调查和实际调查两种调查方式，提高了抽取样本的随机性。网络调查的对象主要是经常上网的人群，而实际调查由于调查时间、地点和方式的不同，则具有更大的随机性。

为提高调查的信度[1]，本次调查抽取了的足够多的调查样本。大量的调查对象，扩大了调查的人群覆盖面；网络调查方式有效的避免了实地调查的地理局限性，而实地调查克服了网络调查真实度低的问题，二者相互弥补。

3.构建电子商务信息安全管理体系

基于问卷调查所得数据，有必要构建电子商务信息安全管理体系。信息安全管理体系是以实现全面保障电子商务中信息的安全为目标，通过完善政策法规和监督机制，配置精良设备，掌握核心技术，增加安全投入，强化培训和准入，配备精干力量，提高公众的自我保护能力等各种措施配合与协调，构建全方位高层次的保障体系，从根本上提高信息的安全管理水平。该体系可大体分为技术和管理两个方面。

3.1技术方面

3.1.1反病毒和安全扫描技术

通过病毒查杀和实时防御，可以及时清除已存在的病毒并防止新病毒植入，防止病毒对数据的破坏和窃取。安全扫描可以发现软件中存在的漏洞和“后门”程序，通过添加补丁，防止漏洞和“后门”程序被恶意利用，危及信息安全。

3.1.2防火墙和入侵检测技术

防火墙是软件和硬件的结合体，能根据安全策略对进出网络的数据行为及其流向实行控制，并保留日志，进行审计。入侵检测技术实时监控数据传输状况，并对数据访问请求进行甄别，能够及时拒绝、中断、抵御可疑的访问和传输行为。

3.1.3身份识别技术

密码作为使用最方便也最普遍的身份识别技术得到极为广泛地使用。为了加强身份识别技术的可靠性，密码常与生物技术、物理令牌等识别方式联合使用。[2]

3.1.4访问控制技术

主要用于控制用户、进程、计算机等对主体对系统资源或个人信息的访问。访问控制可以防止非法用户的入侵和合法用户的非法行为，有效防止信息被非法访问、窃取或篡改。

3.1.5数据加密技术

数据加密技术是在安全工程领域对数学知识的应用，达到对明文进行伪装处理，输出密文的作用。这样即使数据被窃取，非法入侵者得到的也只是一堆杂乱无章的无用信息。数据加密技术在使用中应以适用、高效为原则，选择功能适当、操作简便的，可以单独使用一种加密技术，也可以多种技术结合使用。

3.1.6设备及数据备份技术

设备备份为计算机及网络系统的关键设备配备冗余和备份，数据备份为重要数据提供备份，并具有恢复重要数据的功能。

3.1.7日志和审计

日志用于实时记录系统的主要运转情况，审计是在事后对日志进行分析研究。根据日志和审计报告，可以及时发现系统的异常状况，甄别可疑事件和可疑行为，并作出警报或采取必要的抵御措施。[3]

3.1.8推广使用国产软硬件

一是安全可控。国产产品是我国自主研发的成果，制造维护过程完全符合国家的相关安全标准，消除了“后门”程序、植入代码的危险。二是国产产品充分考虑我国国情，更适应我国电力供应状况及技术人员操作习惯，后期维护和保障水平高等。

3.2管理方面

3.2.1完善法律法规及相关政策

通过进一步完善立法，加强执法，提高制度的适用性和可操作性，健全监督机制，发展社会监督，才能促进信息安全工作的进步。也可借鉴他国经验，引入第三方评测机构，对收集和保有个人信息的企业的安全管理水平进行测评，为政府执法提供可靠依据，规范企业的信息保护行为。

3.2.2增加安全投入

企业在安全管理方面的支出要占到总支出的8%以上才能达到设备齐全，人员充足，制度规范的管理状态。大中型网站有必要配备专职安全工程师和隐私工程师，人员数量由网站的规模和访问流量决定。 [4]小型网站则可以将安全工作外包，由专业安全企业对网站的安全事务进行管理。

3.2.3强化培训和准入

对安全管理人才的培养，可以借鉴网络工程师及软件工程师的认证方式。同时，由于安全管理不同于其他技术工作，其对专业要求的强制性更高，标准更严，因此有必要借鉴会计从业的相关规定，采取准入制度，并打破职业资格终身制，定期对从业人员进行再教育和资格考核。

3.2.4提高自我保护能力

一方面，政府和电子商务企业，有责任和义务利用媒体等多种渠道开展宣传，使公众认识到信息安全的重要性。另一方面，要提高公众的信息技术素养和对个人信息的保护能力。一是指导公众掌握辨别不安全网站的基本方法，识别和抵御网络钓鱼、身份伪装、恶意传播病毒等不法行为；二是帮助公众掌握必要的安全保障手段，如安装杀毒软件、定期查杀病毒漏洞、维护计算机系统等，以保护信息存储和运行环境的安全。

【参考文献】

[1]Floyd J.Fowler.Improving Survey Questions：Design And Evaluation[M].USA： Sage Publications，Inc，1995：5.

篇3

社交网络中的数据量非常大，其信息的开放程度也较高，这在很大程度上吸引了更多用户的使用，用户之间的关系也由此变得更为复杂，不易管理。因此，怎样在社交网络中保护用户的因素，更好地进行数据访问和身份认证控制则成为了当前社交网络发展所重点关注的内容。

1 社交网络下用户信息安全的内涵

社交网络是指在遵循实名制原则的前提下，通过社会性软件所建立起来的社会化的网络平台，这一平台被用于管理个人或者机构的各种社会关系。在该平台上，用户可以自行分享各自的兴趣和爱好，以此促进和其他用户的了解和交流。目前，国内外都有不少社交平台，Twitter、Facebook、人人网、开心网、微信、微博、腾讯QQ等，都是非常常见的社交平台。个人用户信息又包含其各种身份（地址、姓名和点哈等）和非身份的信息（性别和年龄等）。而社交网络用户信息安全则是指用户的个人信息的安全问题，具有如下五个特征。

（1）保密性，用户的所有信息仅为授权者所使用。

（2）完整性，要保证用户的信息不被删除、伪造、或者修改等。

（3）可用性，要摆正用户的信息能够被授权者获取、使用。

（4）可控性，用户的所有信息及该信息系统时刻处于较为安全的监控管理当中。

（5）可靠性，在规定的条件下，信息系统所完成特定功能的概率。

2 社交网络下用户信息安全现状

2.1 法律法规的不健全

2009年我国出台了《刑法修正案（七）》，其中便有对用户信息的获取和使用做了规定，所有个人组织不能非法向他人出售或提供用户的个人信息，否则，将会承担一定的法律责任。可见，我国对保护我国公民个人信息不收侵犯还是有一定决心的。但是，仅凭这一条例是不可能涵盖所有相关犯罪行为的，如果没有相关的司法解释作为辅助，仍旧还是孤掌难鸣。而实践也表明，各地法院也很难通过这一条例对相关的犯罪行为定罪，尽管也有专家建议出立的《个人信息保护法》，但是最后仍旧由于各种各样的原因没有成功。到目前为止，我国针对这一问题增加了一些条例和办法，但是由于其约束力不够，操作性较低。

2.2 社交网络企业的管理水平较低

在各类用户信息侵害案件中，大多数的过错方都在于各社交网络企业，并且其所占比重仍在不断增大。广大社交网络企业是保护信息安全的主体，也可以说其是第一责任人。然而在实践过程中，少有企业认识到这一点，同时也就更无法提及使其明白维护信息安全的重要性了。相反，一方面，这些企业反而用过误导和引诱等方式吸引更多的用户填写姓名、年龄、性别、住址、手机号、学历、QQ账号等真实信息。其中，游戏积分奖励和新功能优先享受都是其较为常用的方式。另一方面，这些企业对用户的信息安全保护工作也极不重视，不仅没有做好黑客的入侵防范工作，也没有投入经费组建专业的信息安全管理团队。

2.3 用户的信息安全素养不高

在网络时代背景下，用户的信息安全素养提升速度并不如网络信息产业发展的速度快，呈现出严重的滞后状态。用户对信息安全的认识还不是特别到位，没有具备一定的信息安全意识，对信息安全知识的了解程度不高，处理信息安全侵犯事件的能力也相对较低。不少用户都会习惯性地回复一些看似朋友发送过来的诈骗信息而泄露了自己的真实信息，中了黑客的圈套。还有的用户习惯性地用一个邮箱享用多个平台的服务，例如，人人网和开心网都使用网易邮箱，并且连密码都没有修改，这样一来，一旦其中一个账号的信息被泄露出去，另一个账号也会受到影响。

3 社交网络下保护用户信息安全的对策

3.1 加强立法的保障

在整个互联网的立法工作中，首先要做的就是要通过各种法律规范形式对用户信息加以保护，使其免受侵犯。而像不得在网上散布恶意信息，侵犯他人权利之类的法律规定，其实并不具被很强的操作性。所以，当前应该做的就是要对这类法律法规加以界定，到底哪一类信息属于恶意信息，其具体的判定标准是什么等等。此外，在具体实施过程中，我国也可以借鉴国外其他发达国家相关经验，欧盟关于个人信息安全的保护立法就是一个非常值得借鉴的优秀案例。另外，法国所建立的国家信息与自由委员会也是极具借鉴价值的。

3.2 提高各社交网络企业的信息安全管理水平

除了加强国家立法保障之外，各企业也要通力协作，形成行业自律。行业规范能够有效地提高用户信息的安全管理水平。企业作为保护用户信息安全不受侵害的主体，理应承担大部分责任。广大社交网络企业需要通过收集用户信息扩展自身的业务范围，这并没有错，但是如果不对收集来的用户信息进行安全管理，就是不对的。所以，企业必须加大用户信息安全管理的力度，充分利用Ajax技术的优越性，加强对用户信息的安全管理。不仅如此，企业还用当具备具备一定的信息伦理道德，以强化自身对用户信息安全的保护意识。

3.3 提升用户的信息安全素养

由上文可知，用户信息被泄露，除了体制和企业的原因外，用户自身也是很重要的影响因素。如果用户具备一定的信息安全素养，了解信息安全的重要性，知道如何避免信息泄露，那么因信息安全泄露所引起的纠纷事件就会少很多。正因为如此，才需要其不断提升自己的信息安全素养。用户可以通过网络了解相关知识，也可以多多参加各类与信息安全相关的讲座，还可以阅读一些相关的书籍，以加深自己对信息安全的了解，提升自己的信息安全素养。

4 结束语

由此可见，在互联网时代背景下，保护用户的信息安全势在必行。无论是国家、社交网络企业还是用户个人，都应该为信息安全的维护承担相应的责任，只有大家通力协作，才有可能做好用户信息安全维护工作，才能促进我国社交网络的发展。

参考文献

篇4

一 、网络时代的个人信息安全危机

网络时代，随着信息产业的日益发达和互联网的迅猛发展，以计算机为基础的信息技术使得收集、储存、传输、处理和利用个人信息变得易如反掌，个人信息的收集与交换出现了爆炸式发展的态势。科学技术从来都是一把“双刃剑”，网络在使信息流动便捷的同时，也给个人信息安全带来挑战，提高了个人信息保护的难度。近年来，个人信息泄露事件频发，并呈现迅猛发展的态势，人们越来越强烈地感受到个人信息安全危机给生活带来的种种困扰。

网络时代的个人信息危机主要有如下表现：一是个人信息失控的危机。随着信息技术的发展，个人信息有可能在系统安全存在漏洞的情况下被不法访问、使用甚至篡改，信息自决权成为空谈[1]。2011年底中国互联网遭遇了史上最大规模的用户信息泄露事件，多家大型网站的用户数据被泄露，几千万个用户账号和密码被公开，给社会秩序和人民切身利益造成严重危害。二是个人隐私和尊严的危机。在网络环境下，人们越来越多地把自己的生产和生活移到了网络空间，这个空间是由“个人信息”组成的“数字人”的交往空间。大量个人信息在不知不觉中被收集，个体在社会生活中急速“被透明化”，现代人因此而成为“透明人”或“半透明人”，个人毫无隐私可言，尊严难以保证。三是信息利益的危机。个人信息主体的信息收益权被不法商家夺取，个人信息利益丧失，信息主体的财产权因此而受到侵害。更为严重的是，个人信息危机带来的“信息阴影”已经日渐扩散，正常的社会秩序正因此而面临严峻的考验。个人信息安全的危机，将破坏商业秩序，滋长犯罪、危害社会稳定，制约经济发展，甚至引发公共安全危机。鉴于此，公民的个人信息保护势在必行。

目前，我国在个人信息保护领域的行动主要体现在对泄露公民个人信息的行为和当事人进行追究和打击等补救措施上，这实际上属于一种“事后救济”的反馈控制，不仅已经泄露的个人信息“覆水难收”，而且个人维权成本非常之高，根本无法控制已经泄露信息的网络传播，既治不了标，更治不了本。如何应对网络时代对个人信息安全的挑战？我们建议对个人信息保护引入一种新的思想和机制——前馈控制。

二、 前馈控制与个人信息保护的关系

前馈控制（feedforward control）早期是一个工科领域的名词，后来被引申到管理学中，指通过观察情况、收集整理信息、掌握规律、预测趋势，正确预计未来可能出现的问题，提前采取措施，将可能发生的偏差消除在萌芽状态中，为避免在未来不同发展阶段可能出现的问题而事先采取的措施。简而言之，就是事先分析和评估即将输入系统的扰动因素对输出结果的影响，并将期望的管理目标同预测结果加以对照，在出现问题之前就发现问题，事先制订纠偏措施，预控不利扰动因素，将问题解决在萌芽或未萌状态[1]。由此可见，前馈控制是与反馈控制相对而言的。反馈控制是面对结果的控制，旨在亡羊补牢；前馈控制是面向未来的控制，旨在防患于未然。前馈控制的优势在于可以避免反馈控制的“时滞”缺陷。[2]

凡事预则立不预则废。前馈控制立足于“预控”，是对公民个人信息保护的一个新视角、新方法、新技术和新手段。前馈控制将事先分析和评估个人信息传播过程中可能出现的各种问题和困境并对其问题实施超前控制。比如说充分利用法律法规的前馈控制功能制定专门的《个人信息保护法》，对个人信息的收集和使用过程中的违法违规行为进行预测，并做出详细的处罚规定，从而有效防止违法行为的出现。对掌握公民个人信息的单位进行全方位监管，对个人信息的收集、利用、提供和删除等各环节进行严格排查，尽量避免任何环节的纰漏。提高安全管理技术和全民的个人信息保护意识，都能在很大程度上防止个人信息安全危机的发生，使个人信息保护更有效，进步更显著。

总之，前馈控制能使我们在网络时代个人信息保护的过程中掌握更大的主动权，只有前馈控制做好了，才能真正保护好公民个人信息安全。

三、 对个人信息安全保护实施前馈控制的若干建议

对个人信息安全保护实施前馈控制所包含的内容非常广泛，限于目前的认识水平和篇幅，我们主要提出以下建议。

1.建立和完善个人信息安全保护的法律法规

法律是一种社会规范，具有规范作用，法的规范作用表现为指引、评价、教育、预测和强制五个方面。其中，教育作用是指通过法的实施使法律对一般人的行为产生影响。这种作用又具体表现为示警作用和示范作用。预测作用是指凭借法律的存在，可以预先估计到人们相互之间会如何行为，对行为的预期是社会秩序的基础。完善法律法规是对公民个人信息安全危机进行前馈控制的关键环节，充分发挥法律法规“令人知事，明其法禁”[3]的前馈控制功能，用有强制力的条文明确各方的权利与义务关系，能够在很大程度上对个人行为起到规范作用。大多数发达国家都制定了关于个人信息保护的法律，如美国有《信息自由法》和《隐私法》，德国有《联邦资料保护法》，日本和韩国都有专门的《个人信息保护法》，我国香港地区有《个人资料（隐私）条例》等。然而，我国大陆在个人信息立法上却处于滞后状态，专门的个人信息保护法律历经多年却仍然难产。近期通过的《关于加强网络信息保护的决定》（以下简称“决定”）对于我国网络信息保护具有突破性的意义，重点解决了我国网络信息安全立法滞后的问题，体现了国家对于网络信息安全的高度重视，但是《决定》更多的带有宣示性意味，后续仍需要细化工作。

个人信息牵涉每一个人，网络时代最大的特点就是信息的汇聚性，当所有人的信息汇集的时候，信息保护就不是哪个部门的事了，而是在国家层面上需要考虑的战略性问题。从现实看，当前最需要的是加紧推动《个人信息安全保护法》的研究和制订，明确买卖个人信息罪名的界定标准并加大惩罚力度，对擅自披露他人个人信息和未经许可的二次开发利用者给予严厉打击。除了刑事责任外，其他相关的行政责任、民事责任等还应当及时跟进、完善。要保障个人在信息泄露后有获得补偿和救济的权利，明确机构对公民个人信息流失所造成损失的赔偿责任和责任划分原则，比如银行信息泄露后个人账户中的钱被盗，银行需对个人损失进行补偿。继续细化《决定》中的规定，对与《决定》有关的行政法规进行清理，对有些不一致、有冲突的地方，还要进一步加以衔接，同时抓紧制订相关的配套法规。通过法律法规的制订，将公民个人信息保护过程中可能出现的问题进行合理预测，让规定走在行动前面。但是保护个人信息本不应该牺牲信息的流动性，好的立法应该在保证个人信息的合理流动与个人信息的全面保护之间寻找到平衡点，选择吸收各种立法模式的有益经验并结合本国的法律传统和具体国情做出合理的制度设计。

2.建立个人信息安全保护的监管机构

网络时代个人信息泄露的形式多样、手法灵活，应对网络时代的个人信息安全危机，单靠法律不足以解决所有问题，要做到有法必依、执法必严，否则法律不过是纸上谈兵。强有力的行业监管是实施前馈控制的重要手段和有效途径。新通过的《关于加强网络信息保护的决定》明确规定，有关主管部门应当在各自职权范围内依法履行职责，防范、制止和查处窃取或者以其他非法方式获取、出售或者非法向他人提供公民个人电子信息的违法犯罪行为以及其他网络信息违法犯罪行为。在我们国家，个人信息保护目前仍然处于各自为政的状态，某种程度上说，管理者和被管理者并没有严格地区分开，管理部门和被管理对象处在同一个行业，很难完全客观、公正地进行执法。机动车销售、房产中介、医院等行业及其从业人员往往有机会接触、掌握大量公民个人信息。这些行业虽然有内部系统出台的关于个人信息的查询规范、查询电子信息备案及保护工作意见等，但由于部分从业人员法律意识不强，企业管理、执行不到位等情况，存在制度漏洞。因此，这些行业成为个人信息泄露的“重灾区”。 从其他各国情况来看，建立一个独立、统一、权威、有效的监管机构是普遍经验，比如英国的网络自律协会IWF（Internet Watch Foundation），它能够超出行业的局限，独立公正地执法。公民个人信息安全保护，在法律法规之下，需要政府强化监管，只有完善和加强监管才能让无良者无处遁形。应该设立专门的个人信息保护监管执法机构，加强对信息持有单位的监管，进一步加大监督检查力度，建立预警和预控相结合的前馈控制机制，强化对个人信息的事前管理，包括个人信息的获得、收集、持有和使用各个环节全面监管，不要等信息泄露，危机发生之后才补救。充分重视自律机制在个人信息保护中的作用，拥有个人信息采集权的部门和单位要加强行业管理，用行业制度规范个人信息的处理行为，通过行政执法、刑事执法、民事救济手段配合建立政府引导下的行业自律机制和模式，从源头上预防和遏制对个人信息的侵害行为。拓宽公民监督举报渠道，进一步畅通举报受理机制，鼓励公民个人参与个人信息泄露的监督。

此外，尊重网络用户的个人选择权利。就是说，个人角色选择及隐私设置，想匿名还是实名应该由网络用户自己决定。可以提倡有些商业网站的做法，对用户信息采取“分级查看”的权限设置，除了必要的管理员，一般员工无权从后台查看用户的注册信息，倘若确有必要查看，必须按照严格的程序报批。在互联网上，必要时应明确限制政府的权力，有些数据政府必须得到合法的授权才可以看。

3.建立个人信息安全保护的前馈控制技术支撑体系

前馈控制不仅是方法，某种程度上更是一种技术和手段。对个人信息进行保护，除了法律和监管，还需要安全管理技术的提高。“黑客”的攻击，是一些网站数据库失陷的原因。一些网站的疏于防范，给“黑客”造成了不少可趁之机。通过技术手段可落实安全保障，要加强网络安全防护，依据分区域、按等级、多层次的防护思路进行安全规划、安全评估、安全加固与安全维护，并且对已有的安全技术进行改进与完善。建立信息安全管理体系（ISMS），通过系统、全局的信息安全管理整体规划，确保用户所有信息资源和业务的安全与正常运行[1]。网站要在安全建设方面加大资金投入力度，网络运营商应该尽到自己的保密义务，改变数据库存放策略，在当前技术范围内最大限度保证信息安全。比如我们可以设计一种软件，如果我们把自己的个人信息输入到某个网站之后，该网站三个月之后会自动删除我们输入的信息，不会把我们的个人信息留下，这样的话在技术层面上能够保证个人信息的保护。还可构建信息安全平台，为用户提供保护信息安全的产品。

建立个人信息安全前馈控制系统。研究个人信息所处环境中可能存在的缺陷、漏洞及面临的威胁，通过安全风险评估技术，观察、测试、收集、评估、分析个人信息存在风险的不确定性和可能性等因素，构建预警体系，制订预控策略和方法，最大限度地避免和减少可能的损失。

篇5

2目前企业人员的信息安全管理主要存在的问题

（1）全体工作人员的信息安全意识不高；

（2）信息安全专业人员数量较少，工作流程不清晰；

（3）信息安全岗位职责划分模糊；

（4）管理层不重视；

（5）信息安全管理工作缺乏有效的考核和监管机制。上述几个问题看似不会影响正常的企业运作，但长期持续则会给企业的信息安全带来巨大的隐患，存在较高的风险。有调查显示，企业的信息泄漏事件70%-80%都由内部人员造成。对于一些关系国计民生的企业，如电力、通信等，企业的信息一旦泄漏，将会产生巨大的社会影响，同时也会给企业造成巨大的损失。但是我们仍然可以通过对知悉或掌握企业核心资产和数据的人员加强信息安全管理与监督，来提高信息安全整体水平。

3加强人员信息安全管理的具体措施

对于企业人员的安全管理措施有很多，国内外的相关标准中都有相应的描述，如《萨班斯法案》《信息安全技术信息系统安全管理要求》ISO27000系列等，不同的标准要求亦有不同，但总体来说不外乎以下几点。

（1）加强人员的信息安全保密意识与责任。任何企业的信息安全与保密都离不开人，信息安全每个步骤的操作与执行都是由人来完成与实现的。如果企业内相关人员的信息安全与保密意识薄弱，不小心造成某些敏感信息泄露，则比其他安全不足问题导致的损失更大。因此必须要不断对相关岗位人员的信息安全意识、责任和职业道德进行培训、指导与监督。

（2）管理层重视。企业人员的信息安全管理是管理层的职责，所有的措施和方法都需要得到管理层的支持才能实施，否则再完美的方法也是毫无意义的。随着各类信息安全事件的曝光，信息泄漏事件的频发，特别是国家推行信息系统的等级保护政策以后，越来越多的管理层开始重视信息安全问题。

（3）明确本单位的核心信息安全资产。我们要对企业的核心信息安全资产加强保护，即主要是对企业内部最核心的信息资产进行有效的保护，这对企业的信息安全尤为重要且非常有效。任何一个企业的资源都有限，信息安全工作相对于业务工作的投入来说一定较小一些，因此对核心的信息资产保护才是企业真正关心的内容和工作。核心信息资产主要指价值比较高，一旦泄露可能会对企业造成比较大损失的资产，如企业的重要或敏感数据、存有重要敏感数据的纸质和电子类的载体等企业的核心资产。明确核心资产信息安全也是对人员进行职责划分的基础。

（4）清楚划分人员职责，严格进行权限分离。人员职责和权限对应组织的信息资产，一定程度上也决定了该人员在组织中的安全地位，职责不明确往往导致人员的无作为或误操作，很多的信息安全隐患无法消除。如果明确了单位的核心资产，而人员的职责划分不清晰，那也等于是无用功。很多单位由于信息安全人员数量有限，存在一人多岗的情况，很多核心的敏感的信息或功能掌握在一个人的手中，这就使得某个人或某几个人的权限过大，导致内部舞弊的风险增加。因此，首先要明确本单位需要设置的信息技术类岗位，并设置相应的人员，确保人员的配备遵循三权分离的原则，敏感的功能或较高的权限不能放在一个人手上，关键性的操作甚至需要多人同时在场，只有这样才能最大限度地避免人员的内部舞弊。

（5）严格选拔新进人员，考核在岗人员，审查离岗人员。选拔人员是人员信息安全管理的第一步，对人员进行严格的背景审查和技能考核是保障企业信息安全人员执业技能和职业道德的重要措施。重要敏感岗位的人员应尽量从内部进行选拔，避免直接任用外聘的人员；对于在岗的信息安全人员应定期进行考核和检查，保证所有的工作都按正常的操作规程执行，避免简化流程的事情发生；对于离岗的人员应与之签订相关的协议说明，并立即更换其所掌握的关键认证信息，避免由于人员的流失导致信息的泄漏。

（6）建立信息安全管理工作的日常监管和考核机制。信息安全管理执行的主体是人，人的操作难免会有失误或不当的地方，这些都是信息安全的风险隐患。所以应对人员的日常工作需建立考核和监管机制，对人员的日常安全管理工作进行监督并提前发现潜在风险，及时消除隐患，降低由于人员操作不当或恶意操作带来的信息安全风险。

篇6

众多的信息安全事故，早已经把信息安全防护的焦点指向了企业内部的员工，实际上，信息安全保障的第一道防线就是企业人员的信息安全意识。但现实情况是，为企业带来无法挽回的经济损失的，恰恰是由于企业员工信息安全意识薄弱导致的信息安全事件。

从这次由北京谷安天下科技有限公司的《2010企业员工信息安全意识调查报告》中我们可以看到，很多看起来并不起眼的问题，却隐藏着巨大的安全隐患。

例如，很多员工工作胸卡保管、物品保管存在疏忽，对于出差时物理环境安全、工作区域的陌生访客等较为忽视，个人信息经常会在不经意间在网上，个人密码也没有定期更换，此外，像对数据备份、敏感数据、工作资料的保护，对不明邮件、熟悉发件人发的链接和动画的处理方式，电脑设置屏保和密码以及系统升级等都存在着或大或小的漏洞。

由于受访者普遍信息安全意识的薄弱，平时的办公与生活中较多错误的信息安全操作，导致超过半数（58.8%）的受访者遇到过1~2次或者经常遇到恶意插件和病毒的攻击，并有所损失。

调查结果还显示，在受访者信息安全意识普遍薄弱的情况下，而提高信息安全意识的培训和宣贯等工作却做的很少。接受定期的信息安全培训受访者仅占15.8%。

同时，受访者在信息安全隐患的认知和有效保护信息安全面临的最大障碍的认知方面，42.8%的受访者认为所有的安全隐患中，个人信息安全意识不足是最大的安全隐患，然后依次是没有安全制度或制度未落实、投入或人员不足或缺乏信息安全培训、安全产品功能不足和其他。而对于目前有效保护信息安全面临的最大的障碍，受访者认为最大的障碍是普遍缺乏信息安全意识，其他依次是管理水平落后、技术不过关、法律不健全、信息安全人才不够和其他障碍。

应对风险 先建“人力防火墙”

篇7

为了准确掌握我校学生网络信息安全意识现状，为分析原因、加强防范、堵塞漏洞提供依据，我们在部分学生中专题开展了网络信息安全意识问卷调查。从调查反馈的情况来看，我校学生网络信息安全意识相对有一定的基础，但总体仍不够强，值得我们深入分析研究并采取有效对策，及时全面提高学生的防范意识和防范能力，在充分享受互联网和信息社会带来好处的同时，严防网络信息违法犯罪现象和受骗受害现象的发生。具体报告如下：

 

一、调查概况

 

本次调查对象为东校区学生，采取随机确定的方式，共发放问卷300份，收回291份，回收率达97%。调查的主要方式是实际接触被调查者，交谈了解基本情况，要求被调查者独立填写不记名调查问卷。调查得到了同学们的积极支持，大家普遍比较认真地回答了每一个问题，并且比较真实地表述了自己的情况、表达了自己的想法。

 

二、数据分析

 

本次问卷调查共15道题目，以多选题为主，占三分之二;另有单选题5道。内容主要涉及大学生网络信息安全知识的掌握、对本人及他人信息安全的认知态度等多个方面，具体分析如下：

 

1)网络信息安全知识了解情况。291名被调查大学生中，有93人表示经常有意识地了解网络信息安全知识，占31.96%;有84人表示非常少;有65人表示偶尔了解;有49人表示从来没有了解。说明大学生普遍还没有及时掌握必要的网络信息安全知识。

 

2)个人信息安全的认知情况。291名被调查大学生中，有98人次认为个人信息安全是指在使用计算机时个人信息不泄露或不会被他人获取;有74人次认为是信息网络的硬件、软件及其系统中的个人数据受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常的运行，信息服务不中断;有63人次认为是日常生活中个人信息不被他人知道和窃取;有80人次认为是一切与个人有关的信息的保护。可见相当一部分大学生对个人信息安全的概念仍不清楚，不知道个人信息安全与计算机技术、网络技术发展密切相关。

 

3)利用网络搜索他人信息情况。291名被调查大学生中，有110人表示经常会利用网络搜索他人信息，因为想解他人;有145人表示仅在有需要的时候偶尔会利用网络搜索他人信息;有36人表示从不这样，因为很无聊。三者比例分别占37.80%、49.83%和12.37%，说明大学生网搜他人信息行为总体正常。

 

4)网络安全问题认知情况。291名被调查大学生中，有53人次认为破坏分子作伪装绕过安全检查属于网络安全问题，有128人认为网络服务器因断电停机属于网络安全问题，有83人认为因病毒导致系统瘫痪属于网络安全问题，有61人次认为伪造IP地址骗取其口令获取对计算机的访问权限属于网络安全问题。说明有近一半的大学生对网络安全问题内涵不太清楚。

 

5)遭遇过哪些网络安全问题。291名被调查大学生中，有121人次反映遭遇过垃圾邮件侵扰，有89人次表示受到过病毒攻击，有119人次表示信息曾经被盗，有76人次表示遇到过其它形式的网络安全问题。说明侵犯网络信息安全的现象已经较多地影响到大学生。

 

6)个人信息泄露原因。291名被调查大学生中，有83人认为个人信息泄露最主要的原因是网络普及管理不规范，有112人认为是法律不健全，存在个人信息买卖市场，有72人认为是学生个人信息安全意识薄弱，有69人认为是电脑病毒、木马横行。总体上表明大学生对个人信息泄露原因是有思考的。

 

7)对校内个人信息安全建设的满意度。291名被调查大学生中，有182人对校内的个人信息安全建设表示满意，有109人表示不满意。说明校园个人信息安全建设尽管得到大部分大学生的认可，但仍有值得加强的地方。

 

8)对学校信息安全保障的期待。291名被调查大学生中，关于学校应当采取哪些措施保障个人信息安全，有114人次提出应该建设个人信息安全平台并绑定个人，137人次提出应该加强后续处理监督，121人次提出应该加强对于学生信息安全教育。应该说学生们的期待是建立在关心信息安全基础上的合理要求。

 

9)网络安全信息技术了解情况。291名被调查大学生中，了解网络信息安全技术的情况不太乐观，有97人次表示知道密匙管理技术，有103人次表示知道数字签名和认证技术，有141人次表示知道网络入侵检测和防火墙技术，有107人次表示了解电子商务安全技术。

 

10)获取网络信息安全知识的途径。291名被调查大学生中，有131人表示从网络获得相关知识，107人表示从书籍上获得，146人表示从课堂上获得，123人次表示从新闻媒体上获得。应该说大学生获取信息安全知识的途径是多方面的，基本上不存在获取不到的困难，主要是看不看的问题。

 

11)提高大学生网络安全意识的办法。291名被调查大学生中，有121人次建议开设讲座，97人次建议开主题班会，27人次提出发宣传单，101人次提出通过网络视频。应该说，大家对提高网络安全意识是有期待的，也希望有更多的渠道来加强个人信息安全保障。

 

综合以上数据进行分析，调研组认为，我校大学生信息安全意识有待提高，尽管越来越多地利用网络、自媒体进行交流、娱乐和学习，但主要精力花在如何从网上得到信息， 较少考虑如何在网络环境下保护自己的信息。交谈得知，不少学生会将自己的真实材料到网上， 碰到过QQ 密码会被盗， 登录口令过于简单等现象。大学生信息安全防范知识和操作能力有待加强，尽管因为新闻宣传、课堂教育等因素对防火墙、病毒等基本知识比较了解，但比较完全的网络信息安全管理和防范知识知之不多，一些学生不会安装操作系统、配置防火墙，不知道需要定期升级病毒防治产品， 不懂得如何更好的配置自己的计算机，也没有掌握保护自身信息安全的基本防范技能。

 

三、对策建议

 

大学生的学习、生活和准备就业已经越来越离不开网络，网络的发展对当代大学生的思维方式、行为模式、心理发展、价值观念和政治趋向等都产生了深远的影响。在越来越多地参与网上购物，使用网上银行等网上商务活动的过程中，涉世不深的大学生也日渐成为网络信息盗取和网络诈骗、网络盗窃等违法犯罪行为的猎物，一些不良商家也通过盗取信息来达到不正当竞争的目的。作为学校要重视和提高大学生的网络综合素质，加强学生的网络素质、网络技能、实践运用网络综合能力和网络安全意识的培养，督促提高安全上网意识，学会使用杀毒软件及防火墙，学会为别人也为自己提供一个安全和谐的网络空间。具体有四个方面的建议：

 

1)加强大学生网络法制教育。网络安全教育一个不可忽视的方面是思想教育，这其中最重要的是法制教育。目前网络犯罪是十分常见的包括网络欺诈、网络谣言的散播等。网络的匿名性特点给了许多人一种“漠视法律的理由”，认为没有具体监管就不算犯罪，其实不然。这体现的是网络法制教育的缺失，所以教育学生们什么在网络上是可以做的、是合法的，什么是不可以做的、是违法的是十分重要的，对维护网络安全运行也是有重要作用的。

 

2)充分利用课堂教育普及网络安全知识和技能。建议在计算机普及课程中除讲授常用软件知识外，增加计算机网络安全知识，让学生了解系统管理用户、文件和其他硬件资源的安全机制。对网络安全的基本理论知识和系统安全策略，如加密解密算法、防火墙的工作原理与作用、系统漏洞及修补方法、硬盘保护卡的工作原理与使用方法也要多加讲授。同时，要加强对大学生的网络安全法制教育，提高学生的网上自我约束能力、自控能力，不利用网络散播其它同学和老师的私密信息，不参与网络信息违法活动。

 

3)积极拓展课外空间，开展形式多样的网络信息安全防范活动。可以定期开设网络安全知识专题讲座，就课堂教学中不能深入讲解的问题或薄弱环节，如网络行为规范、个人计算机安全策略、计算机病毒的新动向、病毒查杀软件的使用，引导有兴趣、有需要的大学生深入学习并积极参与防范。 建议每年举办网络安全知识大赛、网络安全知识调查、网络安全主题漫画比赛等，丰富大学生的业余生活，实现以生教生，在校园中普及网络安全知识，构建网络安全防范的群防群治机制。

 

篇8

中图分类号：TP309文献标识码：A文章编号：16727800（2012）007014502

作者简介：董敏(1979-)，女，山东潍坊人，潍坊职业学院实验师，研究方向为计算机科学与技术。

1个人计算机网络用户的隐私信息

个人计算机网络用户存储在计算机当中的个人隐私信息一般包括：①计算机中与用户隐私紧密相关的所有音、视频文件、图片、文档以及其它可能包含用户单位、工作相关信息的机密文件；②用户存储在计算机中的系统或网络应用程序的用户名和密码；③使用互联网时产生的浏览器历史记录、临时文件以及用户计算机当中的COOKIE文档；④计算机用户的网上银行用户名、登陆密码、支付密码、安全证书以及其它通过网上支付的用户名和密码；⑤计算机用户的最近操作痕迹，如最近打开过的文档及其最近的编辑记录，音、视频的播放记录，图片编辑软件最近的浏览记录及打开图片文件的记录等；⑥计算机用户上网的用户名和密码、IP地址、DNS地址和主机名等网络信息；⑦用户计算机操作系统的类型，主机的硬件信息，所安装的软件信息及系统中已启动的服务、端口，使用的安全措施、存在的安全漏洞等信息。

2个人私密信息被窃取的危害

每个人的生存和发展都需要拥有一定的私人空间，需要有一个固定的空间存放内心不希望轻易透露给外界和他人的信息，如个人的具体身份信息、生活习性、兴趣喜好和社会经历等。这些信息不光关系到个人的声誉，影响社会及他人对自己的客观评价，还关系到个人日常社交活动的开展及正常稳定生活状态的维持。个人信息一旦泄露，极易造成个人隐私被曝光、日常生活被骚扰等不良后果，严重时还可能发生财产遭窃、个人形象及名誉受到诋毁与侵害等情况。

对于从事保密工作或的人员而言，考虑到工作性质的特殊性，个人信息泄露的后果则更不堪设想。黑客一旦窃取了这些敏感信息，就能有机可趁，以此为突破口深加利用，制造出一系列问题，甚至导致恶性泄密事件的发生。具体来说，被黑客窃取信息可能导致以下几个方面的安全隐患：①计算机用户的IP地址遭泄露，该机成为黑客攻击的重点目标的可能性增大；②电话号码、生日、年龄等个人信息泄露，黑客破解计算机用户许多重要密码的线索增多，破解成功的几率增大；③社会关系、职业身份等信息泄露，黑客成功实施网络诈骗的可能性增大；④私人生活录像、照片等信息泄露，导致用户更多深层隐私信息被挖掘曝光。

以上列举的仅是几种典型的可能情况，用以说明个人计算机信息泄露可能带来的潜在危害。在实际生活中，黑客窃取、利用个人信息的手法多种多样、变化多端、层出不穷，许多甚至被划分为高智商罪犯的作案手段，可谓是令人防不胜防。

3计算机信息安全隐患的根源

3.1计算机系统的安全漏洞

随着计算机软件系统的规模不断壮大，程序开发员的任意一个小疏忽，系统软件自身的复杂性，都可能导致所设计出的软件系统存在缺陷，留下漏洞，将有漏洞的计算机接入互联网无异于开门揖盗，给计算机系统安全留下巨大隐患，因而计算机系统的安全漏洞是信息系统安全隐患的主要根源之一。

3.2病毒与木马的危害

网络病毒继承了传统病毒破坏性大的特点，另外还具有网络特性，它的传播途径更广、速度更快、危害更大。主要类型有宏病毒、网页脚本病毒、蠕虫病毒等。计算机系统所存在的网络缺陷、漏洞，都可能使计算机病毒见缝插针，有机可趁，入侵计算机致使计算机系统瘫痪，严重破坏程序、数据；占用网络资源，降低网络速率与使用效率；令许多功能无法正常使用。木马是一个独立运行的程序，一般由客户端与服务器端构成，服务器端常安装在受害者的计算机上，并经过注册成为“服务”，远程控制受害者的计算机，其危害性并不亚于病毒。

3.3黑客的攻击

黑客的恶意攻击可说是计算机网络面临的最大威胁，其使用网络上大肆传播的黑客程序，实现对他人计算机系统的攻击。黑客攻击不管是哪种类型，主动或被动，都可能对计算机网络造成极大破坏，并可能导致机密数据信息泄露。

3.4信息泄露

信息泄露是指信息被泄露给未授权的实体，信息泄露的主要形式为窃听、接受、侧信道攻击、人员疏忽等。

3.5非授权访问

蓄意非法获取访问权限、篡改网页内容、窃取机密文件和数据、攻击办公室电脑等即是非授权访问的典型例子，它是对网络设备、信息资源进行非正常或是越权的使用。

3.6个人原因

人为无意失误、人为恶意攻击、人对计算机的管理方法等都可能造成信息安全问题，人的因素实质上是信息安全隐患的最主要因素。计算机的操作运行终归是受制于人的，人既是信息系统安全的主体，亦是系统安全管理的对象。

4个人计算机信息安全防护措施

4.1计算机信息安全管理层面的防护措施

保证信息的传输安全、使用安全和载体安全是信息安全管理的主要任务。它能使各种安全技术发挥出最大效用，实现安全策略的安全管理，是安全防护体系能够正常维持运行的保障。

（1）加强信息安全管理意识。安全是每个人的责任，应尽早强化信息安全意识，正是因为许多计算机用户欠缺基本网络信息安全常识，才使得黑客趁机侵入计算机。所以强化信息安全管理意识非常重要。

篇9

徐文敬（1992-），男，广东梅州，工作单位：广东金融学院，职务：学生。

摘要：近年来，商业银行储蓄金钱的同时贮存了大量的个人信息，我国的法律，法规对商业银行在保护个人财务信息管理制度上是很不完善的，储户对信息保护较低的商业银行的很不满意，常常一起纠纷。本文章简述了个人金融信息保护管理和商业银行对个人信息问题的现状，并提出相关的改进措施或意见。

关键词：商业银行；个人金融信息；保护管理

由于金融领域应用的信息透明和网络虚拟化水平不断上升，造成现代社会个人的信息安全无法有效保护，产生个人财产危害相关问题的不断上升。银行作为一个从公民到政府之间的信息收集专业权利机构，以及为公民财产提供重要的存储和托管的组织，银行必须有责任和义务，为公民的信息安全提供保障。近年来经常发生的银行个人信息泄漏，致使很多公众感到惊讶和恐惧，所以，我国银行应在民众的要求下加强保护个人金融信息。

1.个人金融信息泄漏渠道

1.1银行泄漏

一是银行在有利可图的时候可能会将一些关于个人财务的信息透露给购买方。据调查在2010年，金融管理局披露有6家银行将60多万客户个人金融信息泄露给相关的购买者，这种现象这几年在大陆是很常见的，我们有时是很不容易判别是接到的电话是来自银行还是保险销售公司，还是从事非法活动的的保险公司；二是，银行机构的的内部人员为了个人的利益，倒卖客户的个人财务信息。在上海最近追查到市面上有出售的银行客户信息的情况，后来这两名嫌疑人被依法定罪，罪名包括涉嫌盗窃，出售贿赂，非法提供信用卡信息罪；三是，由于银行外包服务管理出现问题，导致外包商非法的、未经授权访问的个人金融信息及银行账户信息。

1.2商户及支付服务机构泄漏

近年来，许多现场购物和网上购物，可以通过POS机安装商户终端或支付服务平台，并在交易过程中，通过系统内的商家终端或是支付服务平台可记忆个人金融信息，之后商家和支付服务平台人员可随时访问用户的财务信息，最终导致泄漏。 在2010年，警方就已破获一起商场员工在其工作期间，利用便利条件，收银员通过POS机记忆功能，盗用POS机程序致使客户的银行卡信息被盗，银行卡被复制数张，破译一个相对简单的银行卡密码，从而窃取了数张银行卡内的金额，超过20万美元的现金。

1.3黑客及不法分子入侵导致泄漏

黑客自身可以制作脚本，通过无线网络或者植入恶意程序的方式入侵金融系统的电脑程序，进入后端数据库进行盗取，包括复制信息个人行为，账户信息。 在2011年，美国花旗银行就受到黑客的非法攻击，影响到了大约360，000左右的信用卡用户，黑客盗取了客户的姓名，帐号，联系信息。可见多么危险。

2.个人金融信息泄漏的主要原因

2.1银行个人金融信息管理意识淡薄、制度不健全

目前，银行相关机构对个人金融信息的保护不够重视，没有意识到给个人影响巨大，保护个人财务信息，就是保护一项重要的资产银行，就是保护银行的信誉，保护客户隐私的一个综合能力，相反如果个人的金融信息泄露，会带来一个时代的风险来对待，不保护个人财务信息，银行的整体风险管理框架会受到严重的影响。这些往往是由于银行对个人金融信息保护管理机制不健全造成的。所以，要想形成一个完善的个人金融信息保护管理系统，现有分散的相关制度在各业务管理系统需要统一，成立组织的系统性保护，覆盖工作包括信息收集，存储和销毁的所有方面。

2.2银行个人金融信息管理内控机制不健全

现在，银行一般不进行有效的保护个人财务信息，提高信息系统的安全性，各个部门在保护个人财务信息方面凌乱，信息系统没有信息进行整体收集，缺乏统一的管控。内部管控方面，主要是没有形成专门的个人信息的管理机构，缺少专业的人员进行保护个人信息，从而难以实现个人信息保护，无法充分发挥保护功能。其次，内部监管和检查比较薄弱，缺少个人信息保护制度执行的专项检查，检查内容未进行常规检查，定期进行机构检查的覆盖率较低。再一个就是，信息查询跟踪审计工作落实不到位，银行和其他账户的信息当进行过信息查询时缺乏记录过程，难以跟踪谁在这个过程中使用过个人信息。最后一点是，外包管理缺乏，外包人管理的控制的行为是需严格保密的，保密外包整个过程接受审计，评审。

2.3对商户及支付服务机构的管理不规范，缺乏有效制约

与银行合作的商户或是第三方支付服务平台需要提供商为个人金融信息的保护的责任，个人金融信息保护对银行和第三方支付平台也是一种义务。但是，目前银行签约商户没有规范的管理，第三方机构更是缺乏有效的监督，从而造成银行和支付服务平台或提签约商家松散的管理。没有签署合作协议，落实责任。没有明确使用个人金融信息的权力，没有足够的安全的保护技术，银行更是缺乏定期检查监督，常规检查经常流于形式上的。其次，我国未出善的机制进行监督支付服务的企业和组织。付款服务给为商家和用带来了方便，但对个人财务信息往往造成泄漏，这样的监管机制目前缺乏有效的实施。

3.个人金融信息保护的建议与对策

3.1银行层面要提升意识、构建机制

首先是要加大银行内部的管理。银行业金融机构应有约束自身提高客户的个人信息安全管理的制度和法规，主要对客户的个人信息的采集，存贮，信息有效周期等整个过程实施有效地保护，确保客户的个人信息安全，建立完善的信息安全和内部管理规范，将各岗位人员的任务和职责包含信息安全管理与控制，并且对过程中各岗位人员和管理职责和权限实施监督考核，做到切实保密，将带有个人信息的纸张和电子文件集中统一安全监管，个人信息的浏览，复制等必须经过严格的审核，登记和监督管理，加强考核责任制，定期检查信息安全的情况，通过审计工作及时进行用户信息的风险和脆弱性评估。其次提高信息系统的组建和管控。一方面在大量的银行信息系统的基础上，进行信息整合，真正实现以客户为中心的理念，全面整合个人财务信息，方便统一保护和管理；另一个方面要不断的完善信息安全管理机制。银行业金融机构应对信息系统可能遇到问题应用先进的科学技术来评估风险，运用防火墙等工具，数字证书认证等第三方认证技术。

3.2加强银行业个人金融信息保护工作监管

首先，我们必须考虑将保护个人财务信息纳入银行的整体风险监管体系。监管部门按照有关的法律法规保护公民信息，客户的个人信息保护需要有关部门制定不同机构部门的规范进行执行，明确银行对客户的个人信息的收集，使用整个过程受保护的详细的规章制度，明确违反的银行业机构的责任和个人赔偿力度，造成客户较大的经济损失的或者造成不良社会后果，视情节给予处罚，或采取强制措施。其次，银行可以启用标准化技术委员会，制定客户的个人金融信息的保护规范和标准，推动建立完善的监督体制，促进银行业良性发展，从而更好地保护个人信息，使人民利益不受侵害。最后通过加强对银行的师弟监督和非现场监测，加强客户的个人金融信息数据库的维护和管理，银行机构需建立安全管理体系，规范个人金融信息数据库，以防止信息被泄漏、盗用。

3.3国家层面要加快立法进程

首先，国家相关部门建立统一的系统，多角度的法律和法规，创建一整套以保护个人信息法律标准，法律规定要求银行具有完善的信息管理系统，约束金融监管机构的规则及法规，建立合法合理的个人信息的查询方法，奖励行业监管机制。其次成立专业的信息资源管理部门，对使用个人信息的组织或个人严格监督。最后，提高我国民众的自我保护意识。经常开展宣传活动，培训公众注意保护个人信息能力，减少因自身意识不强带来的损失。（作者单位：广东金融学院）

参考文献：

篇10

1数字化医院信息安全建设与管理存在问题及分析

1.1信息安全建设投入成本有限

数字化医院信息安全建设与管理并不是一朝一夕就能完成的，它在整体建设上非常繁杂的，需要专业的、系统的筹备才能完成的。在网络信息技术数字化的时代下，要想充分保障信息的安全性，足够快的更新换代医院的新设备，就需要大量的资金投入，才能保证。然而很多时候，由于发展的限制，医院在资金的投入使用中都有很大的限制，这就意味着信息安全建设和管理维护工作的投入资金过低，并不能更优先的发展[1]。

1.2信息安全管理体系尚未成熟

医院的信息安全管理体系是在应用风险管控的方式管理医疗数据的基础上进行改进的工作体系。但是，部分数字化医院仍然没有成熟的信息安全管理体系，在安全防范方面能力较为薄弱。

1.3操作方面的因素

在医院信息系统的应用过程中，由于操作人员主观失误、不按规定操作等行为都会出现数据输入输出错误等现象，或者泄露了本应该保密的口令，进而影响到系统运行的稳定性。

1.4系统管理方面的因素

数字化医院信息管理系统还处于不断完善的过程中，相关的安全管理制度建立不够完善，管理人员的技术水平也没有达到相关的标准。而且在安全事故预案建设方面也不够完善，导致安全事故发生之后无法高效地应对。

2数字化下医院信息安全建设的策略

2.1完善信息安全体系

首先要加强人员对信息安全的重视度。医院应对全体医务人员进行培训，并在医院各个工作环节加强信息安全系统管理。各科室要有专业信息技术人员来执行信息安全系统的维护工作[2]。根据《网络安全法》规定：“网络产品、服务具有收集用户信息功能的，其提供者应向用户明示并取得同意；网络运营者不得泄露、篡改、毁损其收集的个人信息；任何个人和组织不得窃取或者以其他非法方式获取个人信息，不得非法出售或非法向他人提供个人信息。”医院信息安全等级保护制度中关于用户管理制度中提到信息科对员工的账号与密码不得向任何人透露，具体规定如下：①信息科对新员工配置账号与密码；在其离院时账号与密码均应注销；人事科凭借‘已注销账号和密码’为依据批准员工离院并支付其相关费用。②员工不得将自己的账号与密码告知他人，定期修改密码。③任何人员不可以登录他人的账号与密码，在未得到授权的情况下不得将任何数据告知他人。④密码应是字母与数字的组合。信息技术人员充分的了解医院信息安全系统后，应制定科学、合理的安全管理制度，对相关的工作人员进行培训，确保其能够按照医院信息安全等级保护制度以及操作规范，并对实践中出现的问题进行总结与改进，将信息安全管理制度落实到位[3]。

2.2对基础的软硬件设备进行优化配置

数字化医院信息安全系統是医院信息系统管理的重要方式，对基础的硬件与软件设备进行优化，是建设数字化医院信息安全系统的本质所在，以此来保证系统运行的高效性与稳定性。首先，基础软件层的建设。在购买操作类与数据库类的软件上必须要进行综合地考虑。其次，在终端设备层上。在采购方面也要进行全方面的分析与考虑，在能够满足基本的业务需求的基础上，还要考虑到系统自身的升级问题，以此来确保设备的使用性能。再次，在服务层上。服务是整个系统的核心，直接地影响着系统的总能。所以要根据所应用系统的特性设备与之相匹配的服务器。而在存储上也要达到一定的要求。最后，在网络设备层上。要利用星型拓扑结构进行处理。核心层要与不同的楼宇进行连接，这样能够提高路由的交换效率。汇聚层也可以与接入层的设备进行网络直连，以此来对虚拟的局域网进行划分，避免出现网络风暴等现象，促进实际工作效率的提升。

2.3信息安全人才管理体系建设

数字化医院信息安全建设与管理说到底就是人才的建设，人与人之间的管理。信息技术本身就是服务于信息安全建设与管理的，所以医院要做到来制定符合医院具体情况的信息安全，建立一支专业的、负责任的信息安全队伍，长期规划，制定战略实施目标，根据医院的具体网络安全事态来调整原本的信息安全策略措施。在空余时间举办培训班，引进先进的人才为战略目标，加强内部员工的信息安全意识和信息安全教育的培养与提高[4]。

2.4加强数字化医院信息安全技术

篇11

对于电信运营商而言，保证其客户信息具有较高安全性，能够相应的提升自身的品牌价值，亦能够提高电信在行业内的核心竞争力。为此，电信运营商必须要明确其客户敏感信息，并且深入分析其客户信息安全保护当中存在的主要问题，由此方能够寻找针对性的有效措施予以积极应对，促使电信运营商获得更良好的发展。

一、客户敏感信息概述

客户敏感信息主要指一旦遭到泄露或者被修改，便会对个人信息主体造成严重不良影响的部分个人信息。各个行业的客户敏感信息，根据客户意愿、行业特点等存在相应差别。

二、电信运营商客户信息安全保护问题

1、敏感信息保护工作的重视程度缺失。虽然当前电信运营上已经认识到了客户信息安全存在威胁，但是却仍旧难以提高客户敏感信息保护工作的重视程度。可以说，虽然电信运营上在客户敏感信息安全保障方面已经作出了努力，但是却并不具有针对性，亦缺少完善的安全防护体系，难以解决其中存在的诸多安全隐患。主要表现为电信运营商在客户敏感信息保护当中的人员能力十分欠缺，其不能够对自身客户信息现状作出全面的了解，即便知道客户信息安全存在问题却难以明确问题的严重性。

2、敏感信息识别难。敏感信息的识别比较困难，主要原因在于电信运营商对客户敏感信息的具体分布并未清晰了解。虽然电信运营商能够进行文件加密、终端管控和账号管理，但是在客户敏感信息贯穿于整个运营商业务流的情况下，其原本所采用的，比较单一的信息安全防护措施并不能够起到良好的安全保障效果。同时，电信运营上当前并不能够对其所有业务流程当中所产生的客户敏感信息分布情况作出清晰的了解，难以作出系统性的、全面性的监控，因而难以识别业务流当中的敏感信息，亦难以发现敏感信息风险。

3、网络安全威胁。首先，在人们对信息安全越来越重视的情况下，IT建设却比较滞后，电信运营商对于客户敏感信息体系建设并不清晰，缺少充足的安全保障意识、人才支撑和技术保障。其次，IT网络的链接十分混乱，存在私搭乱建的现象，使得网络间的访问难以得到控制。随着互联网技术的发展，网络技术结构逐渐变得复杂，各个不同系统之间的关系十分混乱，接入访问需求时会出现越来越多的安全威胁，使得接入访问难以达到客户敏感信息安全规范需求。最后，由于客户敏感信息众多，必须要通过大数据进行分析。但是，大数据所需要分析的敏感信息存在信息量大，要求准确和变化快等特点，使得其对大数据分析具有了更高要求。

三、强化电信运营商客户信息安全保护效果的相关措施

3.1加强对客户敏感信息保护工作的重视

在此方面，电信运营商需要全面加强其对客户敏感信息保护工作的重视程度。首先，应该提升运维操作人员、技术人员等全体人员的信息安全保障意识，可以通过培训等弥补其安全意识以及技术方面存在的不足。其次，应该配备充足的专职安全岗位人员，明确各个岗位的职责，以便更加具有针对性的负责客户敏感信息保护。

3.2强化运营商对敏感信息的识别

电信运营商首先应该建立比较完善的客户信息安全管理系统，用以明确客户敏感信息安全管理责任和程序，有效的处理信息安全隐患。其次，应该对客户敏感信息分类作出明确，促使整个业务流当中各个业务所涉及到的客户敏感信息均能够被及时发现且纳入到信息安全管理系统中。通过全面的信息安全监控，及时发现信息安全风险，便于制定应对措施。据此，电信运营商将能够更加良好的加强客户敏感信息的安全保护，肩负起其不可推卸的信息安全保护社会责任。

篇12

个人计算机信息的安全的一个关键问题是，计算机用户，无论是无意的错误或是人为攻击，都可能严重威胁信息系统的安全。为此，我们不应该仅仅使用人作为信息主体的系统安全性，而且应该被视为重要的管理对象，从而有效消除个人计算机信息安全问题。例如：一般我们个人使用的计算机中有一些资料进行保存，如果误下一些软件，和进入了存在安全隐患的平台，那么电脑中国的资料就会被窃取。 

1.2黑客攻击 

从目前计算机信息安全的角度来看，最大的威胁主要是黑客进行的攻击，黑客攻击主要依赖于黑客的程序，黑客程序有着一个直接的攻击者和间接的攻击者，主要是因为网络进行传播的时候出现的黑客程序。我们能够把攻击分成两个不同的层面，一个是主动的进行攻击，第二个是被动的进行攻击，不管使用何种形式的攻击针对信息的数据都会产生非常大的危害。 

1.3未授权访问 

出现异常，未经授权使用某些网络设备，使用资源称为未授权访问，其性能有多种形式，包括不仅故意攻击办公电脑，窃取机密数据和文件，包括非法访问，篡改网页内容等等，这种行为也会导致个人计算机信息安全造成巨大损失。 

1.4 病毒危害 

计算机病毒可以说是当前个人计算机在信息安全上所需要面对的一个主要威胁，假如计算机自身的系统存在缺陷和漏洞，那么就是受到了病毒的入侵，会导致程序和数据破坏，严重的还会使得系统出现瘫痪，给个人的正常办公以及生活造成很大影响，降低网络效率。 

2.个人计算机信息安全保护方法 

2.1 加强信息安全意识 

个人安全意识是个人信息安全的重要原因。所以，每个网络系统用户需要强化计算机自身的安全与管理知识，强化计算机的管理，建设一个网络的访问控制，建设文件的信息与加密系统，并且合理的建立一个网络的权限控制模块，建设分层的管理以及多级安全级别与相关的措施，使其能够对不同级别的网络安全管理需要保持一致。此外，需要使用网络规范和管理系统来规范，从而从内外两方面促进个人网络用户提高信息安全意识。 

2.2 使用防病毒技术 

影响个人信息安全的一个主要的因素就是计算的机病毒以及木马等，当前计算机的普及率可以说正在快速的提升，病毒入侵等多种方式，在这种情况下，为了更好的个人信息安全，用户应该保证及时开发加强防病毒战略，强化安全的防卫，对于个人的病毒进行防护；安装正版杀毒软件，并确保及时更新，使用桌面防病毒软件。 

2.3完善的入侵检测技术 

主动避免攻击是个人计算机安全防护的一个主要的方式，其中应该选择入侵的检测技术，其与防火墙还是有着很大区别的，对于防火墙给予相关的补充，个人用户需要主动使用入侵的检测技术，在攻击里科学的对其进行检测与防御，使其对于个人计算机的信息安全给予保证。 

2.4改进防火墙技术 

防火墙技术对我们来说更为熟悉，作为一种实用的安全技术，在内部网络和外部网络之间建立有效的安全证书，并且可以有效防御这些非法用户的入侵，并防止其非法访问信息资源防止机密信息的非法输出，所以它发挥了很好的隔离，攻击黑客最大限度地阻止。 

2.5实现访问控制 

用户为了避免访问公共信息库，可以访问控制技术设置访问权限，从而可以有效地避免信息文件被自由删除，修改等，使得网络资源得到有效的利用保护。 

2.6以确保软件和系统的安全性 

计算机使用软件以及操作系统对于计算机信息的安全保证起到了非常主要的作用，第一次操作系统进行安装的时候，需要使用安装原 CD- ROM，及时补丁升级，安装完成后为了保证系统安全，应将操作系统合理设置。 

3.总结 

信息技术在社会生产和生活的各个领域已经发生了许多变化。在这个时代，我们一直与信息网络系统紧密相连。计算机网络已经变成了生产以及生活的主要基础，可以说它已经成为了人们不能够缺少的设备。可是，当前网络的安全问题经常的出现，这对于计算機子孙信息的安全产生了很大的威胁，令个人的信息安全也受到了非常严重的损坏，在这样的状况下，怎么去对个人计算机的安全使用加以保护可以说是网络用户所需要关注的问题。本文主要对常见的一些个人计算机信息安全使用问题进行了分析，并且在这一基础上指出了个人计算机进行信息安全使用的保证方式，使其能够更好的对个人计算信息的安全给予保证。 

参考文献： 

[1]白光厚，刘伟，李夕平，等.浅析个人计算机信息的网络安全[J].硅谷2011（4）.