引論：我們為您整理了13篇安全保障管理策略范文，供您借鑒以豐富您的創作。它們是您寫作時的寶貴資源，期望它們能夠激發您的創作靈感，讓您的文章更具深度。
篇1
（一）預防先于補救的安全策略
相關的檔案管理工作人員要對預防工作的重要性加強重視，要在檔案信息沒有出現問題的情況下做好預防工作，這樣一旦檔案信息出現了任何問題就可以及時采取措施來進行處理和改進，做到未雨綢繆。從實際的工作上開看，主要是將先進的技術和手段應用在檔案管理的安全保障工作中，促進檔案管理的信息化建設水平。從當前我國檔案管理信息化建設的工作形式上可以看出，檔案的信息化系統可能會受到病毒的侵襲。導致系統的功能降低，系統嚴重受損，導致一些檔案信息被竊取，進而降低整個系統的性能。嚴重的還會造成經濟損失，使得檔案管理系統處于崩潰的狀態。因此，相關的技術人員和管理人員要對這一問題加強重視，聘請技術人員對加設相應的防火墻，或者是采用相關的殺毒軟件來對信息資料進行保護，防止病毒的入侵。
（二）防內防外共同作用的安全策略
要努力做好檔案的安全保障工作需要從多方面來進行，不僅包括企業或者是組織的外部還要從內部入手，保證檔案工作的安全性。在檔案工作進行的過程中，要對可能出現的安全問題進行探討和分析，通常情況下，檔案工作的內部出現的安全問題比外部的問題要多，無論是在數量上還是在質量上都是如此。究其原因主要是由于檔案管理工作人員的工作積極性以及責任意識不強，或者是工作能力以及專業技能沒有達到相應的標準。所以，企業的檔案管理工作人員在工作的過程中，會出現檔案資料信息管理的不到位，或者是受到利益的誘惑而出現檔案信息泄露的問題。除此之外，對計算機操作系統的了解程度不夠往往會出現賬目或者是管理的不科學性問題。可見，企業發展的內部所涌現出的問題要遠遠多于外部，因此，檔案管理部門要加強對工作人員的培訓，以提高其專業技能和綜合素質為標準，培養其安全意識。
（三）持續發展戰略
做好檔案信息的安全保障工作并不是短暫性的工作，應該具有一定的長期性。因此，檔案信息的安全問題要得到人們的高度重視。其中較為重要的就是科技的應用。現如今，無論是產品還是管理理念都在進行不斷的更新換代，檔案管理工作的各項內容都在不斷變化，不僅存在著嚴重的漏洞，還會造成嚴重的經濟損失和信息的泄露。為了避免檔案信息的不穩定性持續存在，需要完善管理措施，制定相應的制度，將安全保障工作放在首位。實現檔案信息安全的穩定性以及可靠性。
二、檔案管理中安全保障工作的具體措施
（一）全網安全運行體系
全網安全就是指對網絡運行的各個發展階段的管理，實現統一的發展，促進網絡運行的高效性。這是檔案管理工作人員以及網絡運行技術人員重視的問題。只有認清這些問題，才能將具體的工作落到實處。
對于全網運行的安全性來說，其薄弱環節是產生嚴重影響的重要環節。可見，網絡運行的某個端口或者是某臺機器出現了故障很有可能造成整個網絡系統的癱瘓。因此，在實際的工作中，工作人員的安全意識要不斷加強，對于網絡系統的各個軟件以及硬件等都進行系統的維護，同時要對出現漏洞的環節進行修復或者是升級，提高檔案信息管理的自動化水平。另外，管理系統的認證服務以及加密體系等都需要和管理措施以及技術方式等向連接，提高管理的高效性和穩定性。另外，檔案信息管理的安全性會隨著時間的變化或者是辦公地點的變化而出現明顯的問題，因此，相關的網絡管理工作人員要從全網的角度出發，落實安全保障措施。促進檔案管理工作的高效進行。
（二）聯動安全與全網安全的重要
保障檔案館網絡安全的基礎設施、網絡按防護體系、安全管理標準規范（包括法律法規、技術標準、管理制度和操作規范等）等集成起來協同工作，實現檔案館網絡環境中從網絡及其基礎設施、各種軟件系統、硬件設備的同步管理和聯動安全服務出發，建立由網絡、系統、機構、組織和個人共同構筑檔案館安全運行的一體化保障體系。
（三）檔案館全網安全運行
篇2
都說安全工作難干，但是在我看來難干的不是工作，而是協調身邊的人一同干工作，面對全廠數千個生產現場，幾千名職工的工作行為，怎樣才能確保制度落實到位，怎樣才能保證不出事故？
一、責任要落實到位，讓大家感到壓力
近一年多來，我感受到的最顯著的一個變化，就是各部門的態度有了轉變，以前，我們安全工作者最常聽的一句話是“你們安全又怎樣怎樣”，那時是我們安全部門跟在后面要求大家去檢查，而現在呢，各個業務部門主動組織檢查，邀請我們去協助。在這方面，還是有一點建議。安全工作是個萬金油的工作，但在某些專業知識上有所欠缺，我們最希望見到的是專業部門能夠從專業的角度找出問題、查出隱患，看看專業系統內部是怎么開展日常工作，從而保障生產安全的，而不是單純的大家一起來查安全資料、查現場安全。可能這有點吹毛求疵，但是作為一個安全管理者，內心最希望的是安全管理人員真正能成為一個監管者，當然，我們也知道這是一個職能、角色轉變的必經過程，但這是一個努力的方向，也是我們工作的目標。
二、教育要警示為主，讓大家觸動內心
以往的安全教育，包括“我要安全”的教育大都是正面的教育和引導，但是現在看來僅有正面的教育和引導是不行的，要加大反面警示和懲處的力度，這個懲處也是一種教育，通過加大懲處的力度，真正消除干部職工的僥幸心理，切實使大家從內心里提高安全意識，真正把自己的生命當回事，把別人的生命當回事。要進一步收集整理各專業事故相關資料，制作多媒體學習資料，下發各單位作為安全教育的常規教材，把事故當成一種資源來利用好。
三、制度要一貫堅持，讓大家習成自然
以我們廠的一個事情為例，從前年起，我們維修大隊制定制度，凡進入生產、施工現場都必須帶安全帽，無論有沒有墜物風險。剛開始，職工有抵觸情緒，覺得是矯枉過正，在一次動火監護的時候，一名氣焊工跟我說，他去參加局里的一個技術比賽前的訓練，當他進入現場準備練習的時候，很自然的就把安全帽呆在了頭上，其他單位的職工都笑話他，啥時候也不忘帶帽子啊，他笑了笑說；“習慣了”。還是一次動火監護，在分離器區焊接流程，由于長時間的下蹲工作，一名焊工起身時沒有站穩，一下子就載向了身側的閥門絲杠，盡管有絲杠護套和安全帽的雙重保護，安全帽還是被磕出了一個印記。這僅僅是一個例子，當嚴格的要求大家都習以為常了，我們的管理就到位了。
四、監管要嚴上加嚴，讓大家明白底線
有著200年歷史的杜邦企業的安全文化，共分為4個階段，自然本能反應階段―依賴嚴格的監督階段―獨立自主管理階段―互助團隊管理階段，以目前安全水平看我們仍處在第二階段，需要依賴嚴格的監督。安全工作得罪人，安全監管就更要狠下心去，不下狠心就沒有效果，不能光靠空喊，你不狠就有人對你狠，你不嚴就有人對你嚴，你不處理違章就有人處理你，等出了事故再檢討，再反思，一切都晚了。不是說出了事故怕被處理，而是出了事故以后，一些人走了就再也回不來了。所以說，我們搞監管，自身底氣要硬，我們是為了工作，是為了事業，是為了他人的生命。
五、考核要公正公開，讓大家看到差距
沒有嚴格的要求，就沒有安全的效益，趨利避害是人最原始、最基礎的行為準則，怎樣才能把這個“利”讓大家看得到，把這個“害”讓大家體會得到，我覺得就是要在考核上下功夫。二季度油田下發了考核公報，十幾單位因違章問題被處罰，我們廠領導看了很有感觸，不但在月度會上專門通報，還在廠內下發讓全體科室、單位組織學習。坦率的講，從日常監督檢查發現的問題推算，全采油廠每天都有著違章問題發生，怎樣杜絕違章，還是要轉到如何改變職工行為上來。
篇3
隨著交通政府機構的信息安全基礎建設日趨完善，建立一套信息安全管理平臺，既滿足電子政務平臺的開放性和可訪問性，又保證電子政務平臺的安全性，也日益迫切。交通電子政務信息安全保障體系可從以下幾個角度進行充分構建：
1信息安全保障體系及其基本要求
信息安全保障體系是基于PKI體系而開發的為多個應用系統提供統一認證、訪問控制、應用審計和遠程接入的應用安全網關系統，它可以將不同地理位置、不同基礎設施（主機、網絡設備和安全設備等）中分散且海量的安全信息進行樣式化、匯總、過濾和關聯分析，形成基于基礎設施與域的統一等級的威脅與風險管理，并依托安全知識庫和工作流程驅動，對威脅與風險進行響應和處理。信息安全保障體系的基本要求主要體現在以下幾個方面：
1）保密性。主要體現在誰能擁有信息，如何保證秘密和敏感信息僅為授權者享有。
2）完整性。主要體現在擁有的信息是否正確以及如何保證信息從真實的信源發往真實的信宿，傳輸、存儲、處理中未被刪改、增添、替換。
3）可用性。主要體現在信息和信息系統是否能夠使用以及如何保證信息和信息系統隨時可為授權者提供服務而不被非授權者濫用。
4）可控性。主要體現在是否能夠監控管理信息和系統以及如何保證信息和信息系統的授權認證和監控管理。
5）不可否認性。主要體現在信息行為人為信息行為承擔責任，保證信息行為人不能否認其信息行為。
總之，信息安全保障體系的基本要求主要從技術和管理兩個層面得以實現。技術層面在實現信息資源的公開性、共享性和可訪問性的同時，通過主機安全、網絡安全、物理安全、數據安全和應用安全等技術要素保障信息的安全性。管理層面則可通過安全管理機制、安全管理制度、人員安全管理、系統建設管理以及系統運營管理等規范化機制得以保障信息的安全性。
2交通電子政務平臺信息安全保障體系的構建
交通電子政務平臺的信息安全保障體系，應該由組織體系、技術體系、運營體系、策略體系和保障對象體系等共同組成。
2.1安全組織體系。政府高度重視交通運輸信息化工作的同時，堅持把“積極防御，綜合防范”放在優先位置，首先要求成立專門的信息安全領導小組。信息安全領導小組可由交通主管領導擔任領導小組組長主管信息安全工作，下設信息安全工作組，各管理部門負責人、業務部門負責人為成員。
2.2安全技術體系。交通電子政務平臺的安全技術體系可搭建專業的安全管理運營中心，并從基礎設施安全和應用安全兩個方面去搭建安全技術支撐體系。
2.3安全運營體系。交通電子政務的安全運營體系一般可由安全體系推廣與落實、項目建設的安全管理、安全風險管理與控制和日常安全運行與維護四個部分組成。安全運營體系是一個完整的過程體系，在交通電子政務平臺的整個過程中，正常的運作流程，其信息流遵循自上而下的流程，即交通上級部門根據電子政務平臺信息安全需求的目標、規劃和控制要求做計劃，下級交通部門根據計劃進行執行、檢查和改進。而若交通電子政務平臺其安全性出現威脅，影響正常的運作流程時，此時信息流則遵循自下而上的逆向過程，下級交通部門向上級部門報送安全事件，上級部門根據其安全事件進行分析、總結和改進。
篇4
自2008年國際綜合性期刊《Nature》發表有關大數據(Big Data)的專刊以來，面向各應用領域的大數據分析更成為各行業及信息技術方向關注的焦點。大數據的固有特征使得傳統安全機制和方法顯示出不足。本文系統分析了大數據時代背景下的企業信息系統存在的主要信息安全脆弱性、信息安全威脅以及信息安全風險問題，并有針對性地提出相應的信息安全保障策略，為大數據背景下的企業信息安全保障提供一定指導的作用。
1 大數據基本內涵
大數據(Big Data)，什么是大數據，目前還沒有形成統一的共識。網絡企業普遍將大數據定義為數據量與數據類型復雜到在合理時間內無法通過當前的主流數據庫管理軟件生成、獲取、傳輸、存儲、處理，管理、分析挖掘、應用決策以及銷毀等的大型數據集。大數據具有4V特征(Volume，Varity，Value，Velocity)，即數據量大、數據類型多、數據價值密度低、數據處理速度快。
2011年麥肯錫咨詢公司了《大數據：下一個創新、競爭和生產力的變革領域》[1]的研究報告，引起了信息產業界的廣泛關注。美國谷歌公司(Google)、國際商業機器公司(IBM)、美國易安信公司(EMC)、臉書(Facebook)等公司相繼開始了大數據應用、分析、存儲、管理等相關技術的研究，并推出各自的大數據解決框架、方案以及產品。例如，阿帕奇軟件基金會(Apache)組織推出的Hadoop大數據分析框架，谷歌公司推出的BigTable、GFS(Google File System)、MapReduce等技術框架等，這些研究成果為隨后的大數據應用迅猛發展提供了便利的條件。2012年3月，美國奧巴馬總統了2億美元的“Big Data Initiative”(大數據研究和發展計劃)，該計劃涉及能源、國防、醫療、基礎科學等領域的155個項目種類，該計劃極大地推動了大數據技術的創新與應用，標志著奧巴馬政府將大數據戰略從起初的政策層提升到國家戰略層。
同時，我國對大數據的認識、應用及相關技術服務等也在不斷提高，企業界一致認同大數據在降低企業經營運營成本、提升管理層決策效率、提高企業經濟效益等方面具有廣闊的應用前景，相繼大數據相關戰略文件，同時國家組織在民生、國防等重要領域投入大量的人力物力進行相關技術研究與創新實踐。
中國移動通信公司在已有的云計算平臺基礎上，開展了大量大數據應用研究，力圖將數據信息轉化為商業價值，促進業務創新。例如，通過挖掘用戶的移動互聯網行為特征，助力市場決策;利用信令數據支撐終端、網絡、業務平臺關聯分析，優化網絡質量。商業銀行也相繼開展了經融大數據研究，提升銀行的競爭力。例如，通過對用戶數據分析開展信用評估，降低企業風險;從細粒度的級別進行客戶數據分析，為不同客戶提供個性化的產品與服務，提升銀行的服務效率。總而言之，大數據正在帶來一場顛覆性的革命，將會推動整個社會取得全面進步。
2 大數據安全研究現狀
在大數據計算和分析過程中，安全是不容忽視的。大數據的固有特征對現有的安全標準、安全體系架構、安全機制等都提出了新的挑戰。目前對大數據完整性的研究主要包括兩方面，一是對數據完整性的檢測;二是對完整性被破壞的數據的恢復。在完整性檢測方面，數據量的增大使傳統的MD5、SHA1等效率較低的散列校驗方法不再適用，驗證者也無法將全部數據下載到本地主機后再進行驗證。
面向大數據的高效隱私保護方法方面，高效、輕量級的數據加密已有多年研究，雖然可用于大數據加密，但加密后數據不具可用性。保留數據可用性的非密碼學的隱私保護方法因而得到了廣泛的研究和應用。這些方法包括數據隨機化、k-匿名化、差分隱私等。
這些方法在探究隱私泄漏的風險、提高隱私保護的可信度方面還有待深入，也不能適應大數據的海量性、異構性和時效性。在隱私保護下大數據的安全計算方面，很多應用領域中的安全多方計算問題都在半誠實模型中得到了充分的研究，采用的方法包括電路賦值(Circuit Evaluation)、遺忘傳輸(Oblivious Transfer)、同態加密等。通過構造零知識證明，可以將半誠實模型中的解決方法轉換到惡意模型中。而在多方參與、涉及大量數據處理的計算問題，目前研究的主要缺陷是惡意模型中方法的復雜度過高，不適應多方參與、多協議執行的復雜網絡環境。
企業大數據技術是指大數據相關技術在企業的充分應用，即對企業業務、生產、監控、監測等信息系統在運行過程中涉及的海量數據進行抽取、傳輸、存儲、處理，管理、分析挖掘、應用決策以及銷毀等，實現大數據對企業效率的提升、效益的增值以及風險的預測等。
企業的大數據類型通常主要包括業務經營數據即客戶信息數據、企業的生產運營與管理數據以及企業的設備運行數據等，即客戶信息數據、員工信息數據、財務數據、物資數據、系統日志、設備監測數據、調度數據、檢修數據、狀態數據等。企業大數據具有3V、3E特征[2]，3V即數據體量大(Volume)、數據類型多(Varity)與數據速度快(Velocity)，3E即數據即能量(Energy)、數據即交互(Exchange)與數據即共情(Empathy)。
3 大數據時代企業信息安全漏洞與風險并存
大數據時代，大數據在推動企業向著更為高效、優質、精準的服務前行的同時，其重要性與特殊性也給企業帶來新的信息安全風險與挑戰。如何針對大數據的重要性與特殊性構建全方位多層次的信息安全保障體系，是企業發展中面臨的重要課題。大數據背景下，結合大數據時代的企業工作模式，企業可能存在的信息安全風險主要表現在以下三個方面：
(1)企業業務大數據信息安全風險：由于缺乏針對大數據相關的政策法規、標準與管理規章制度，導致企業對客戶信息大數據的“開放度”難以掌握，大數據開放和隱私之間難以平衡;企業缺乏清晰的數據需求導致數據資產流失的風險;企業數據孤島，數據質量差可用性低，導致數據無法充分利用以及數據價值不能充分挖掘的風險;大數據安全能力和防范意識差，大數據人才缺乏導致大數據分析、處理等工作難以開展的風險;管理技術和架構相對滯后，導致數據泄露的風險。
(2)企業基礎設施信息安全風險：2010年，震網病毒[3]通過網絡與預制的系統漏洞對伊朗核電站發起攻擊，導致伊朗濃縮鈾工程的部分離心機出現故障，極大的延緩了伊朗核進程。從此開啟了世界各國對工業控制系統安全的重視與管控。對于生產企業，工業生產設備是企業的命脈，其控制系統的安全性必須得到企業的高度重視。隨著物理設備管理控制系統與大數據采集系統在企業的不斷應用，監控與數據采集系統必將成為是物理攻擊的重點方向，越來越多的安全問題隨之出現。
設備“接入點”范圍的不斷擴大，傳統的邊界防護概念被改變; 2013年初，美國工業控制系統網絡緊急響應小組(ICS-CERT)預警，發現美國兩家電廠的發電控制設備在2012年10月至12月期間感染了USB設備中的惡意軟件。該軟件能夠遠程控制開關閘門、旋轉儀表表盤、大壩控制等重要操作，對電力設備及企業安全造成了極大的威脅。
(3)企業平臺信息安全風險： 應用層安全風險主要是指網絡給用戶提供服務所采用的應用軟件存在的漏洞所帶來的安全風險，包括： Web服務、郵件系統、數據庫軟件、域名系統、路由與交換系統、防火墻及網管系統、業務應用軟件以及其他網絡服務系統等;操作系統層的安全風險主要是指網絡運行的操作系統存在的漏洞帶來的安全風險，例如Windows NT、UNIX、Linux系列以及專用操作系統本身安全漏洞，主要包括訪問控制、身份認證、系統漏洞以及操作系統的安全配置等;網絡層安全風險主要指網絡層身份認證，網絡資源的訪問控制，數據傳輸的保密性與完整性、路由系統的安全、遠程接入、域名系統、入侵檢測的手段等網絡信息漏洞帶來的安全性。
4 企業大數據信息安全保障策略
針對大數據時代下企業可能存在的信息安全漏洞與風險，本文從企業的網絡邊界信息安全保障、應用終端信息安全保障、應用平臺信息安全保障、網絡安全信息安全保障、數據安全信息安全保障等多方面提出如下信息安全保障策略，形成具有層次特性的企業信息安全保障體系，提升大數據時代下的企業信息安全保障能力。
4.1企業系統終端——信息安全保障策略
對企業計算機終端進行分類，依照國家信息安全等級保護的要求實行分級管理，根據確定的等級要求采取相應的安全保障策略。企業擁有多種類型終端設備，對于不同終端，根據具體終端的類型、通信方式以及應用環境等選擇適宜的保障策略。確保移動終端的接入安全，移動作業類終端嚴格執行企業制定的辦公終端嚴禁“內外網機混用”原則，移動終端接入內網需采用軟硬件相結合的加密方式接入。配子站終端需配置安全模塊，對主站系統的參數設置指令和控制命令采取數據完整性驗證和安全鑒別措施，以防范惡意操作電氣設備，冒充主站對子站終端進行攻擊。
4.2企業網絡邊界——信息安全保障策略
企業網絡具有分區分層的特點，使邊界不受外部的攻擊，防止惡意的內部人員跨越邊界對外實施攻擊，在不同區的網絡邊界加強安全防護策略，或外部人員通過開放接口、隱蔽通道進入內部網絡。在管理信息內部，審核不同業務安全等級與網絡密級，在網絡邊界進行相應的隔離保護。按照業務網絡的安全等級、實時性需求以及用途等評價指標，采用防火墻隔離技術、協議隔離技術、物理隔離技術等[4]對關鍵核心業務網絡進行安全隔離，實現內部網與外部網訪問資源限制。
4.3企業網絡安全——信息安全保障策略
網絡是企業正常運轉的重要保障，是連接物理設備、應用平臺與數據的基礎環境。生產企業主要采用公共網絡和專用網絡相結合的網絡結構，專用網絡支撐企業的生產管理、設備管理、調度管理、資源管理等核心業務，不同業務使用的專用網絡享有不同安全等級與密級，需要采取不同的保障策略。網絡彈性是指基礎網絡在遇到突發事件時繼續運行與快速恢復的能力。采用先進的網絡防護技術，建立基礎網一體化感知、響應、檢測、恢復與溯源機制，采取網絡虛擬化、硬件冗余、疊加等方法提高企業網絡彈性與安全性;對網絡基礎服務、網絡業務、信息流、網絡設備等基礎網絡環境采用監控審計、安全加固、訪問控制、身份鑒別、備份恢復、入侵檢測、資源控制等措施增強網絡環境安全防護;在企業網絡中，重要信息數據需要安全通信。針對信息數字資源的安全交換需求，構建企業的業務虛擬專用網。在已有基礎網絡中采用訪問控制、用戶認證、信息加密等相關技術，防止企業敏感數據被竊取，采取建立數據加密虛擬網絡隧道進行信息傳輸安全通信機制。
4.4企業應用系統平臺——信息安全保障策略
應用系統平臺安全直接關系到企業各業務應用的穩定運行，對應用平臺進行信息安全保障，可以有效避免企業業務被阻斷、擾亂、欺騙等破壞行為，本文建議給每個應用平臺建立相應的日志系統，可以對用戶的操作記錄、訪問記錄等信息進行歸檔存儲，為安全事件分析提供取證與溯源數據，防范內部人員進行異常操作。企業應用平臺的用戶類型多樣，不同的應用主體享有不同的功能與應用權限，考慮到系統的靈活性與安全性，采用基于屬性權限訪問控制[5]、基于動態和控制中心訪問權限控制[6]、基于域訪問權限控制[7]、基于角色訪問控制等訪問控制技術;確保企業應用平臺系統安全可靠，在應用平臺上線前，應邀請第三方權威機構對其進行信息安全測評，即對應用平臺系統進行全面、系統的安全漏洞分析與風險評估[8]，并制定相應的信息安全保障策略。
4.5企業大數據安全——信息保障策略
大數據時代下，大數據是企業的核心資源。企業客戶數據可能不僅包含個人的隱私信息，而且還包括個人、家庭的消費行為信息，如果針對客戶大數據不妥善處理，會對用戶造成極大的危害，進而失信于客戶。目前感知大數據(數據追蹤溯源)、應用大數據(大數據的隱私保護[9]與開放)、管控大數據(數據訪問安全、數據存儲安全)等問題，仍然制約與困擾著大數據的發展。大數據主要采用分布式文件系統技術在云端存儲，在對云存儲環境進行安全防護的前提下，對關鍵核心數據進行冗余備份，強化數據存儲安全，提高企業大數據安全存儲能力。為了保護企業數據的隱私安全、提高企業大數據的安全性的同時提升企業的可信度，可采用數據分享、分析、時進行匿名保護已經隱私數據存儲加密保護措施來加強企業數據的隱私安全，對大數據用戶進行分類與角色劃分，嚴格控制、明確各角色數據訪問權限，規范各級用戶的訪問行為，確保不同等級密級數據的讀、寫操作，有效抵制外部惡意行為，有效管理云存儲環境下的企業大數據安全。
5 結束語
篇5
一、對電子檔案信息安全保障體系概念的分析
電子檔案的信息安全保障體系，主要是借助一定的安全策略，應用先進和科學的安全技術，實現對電子檔案信息的有效防護和監控，保證電子檔案信息在整個保存和處理中的安全性，提高并保證檔案信息的真實性和完整性，彰顯動態的調整功能，主要是由防護、檢測、反應和恢復四個環節，實現持續發展的動態過程。
二、全面介紹電子檔案信息安全保障體系的組成部分
（一）重視法制標準保障的全面建設。1.注重建立更加專業的電子檔案信息安全法律。當前，電子檔案信息安全相關法律主要在刑法、檔案法中有所體現，但是，缺少專業性的電子檔案信息安全法，在一定程度上使得電子檔案信息在保護和執行方面力度不夠。因此，需要重視安全法規的建設，形成具有針對性的安全保障措施，針對破壞現象，進行相應的處理，同時，強化執法強度，保障電子檔案管理能夠有法可依，強化執法力度。2.重視完整的電子檔案信息安全立法。在檔案信息安全立法中，缺乏嚴謹的結構體系，缺陷比較明顯，主要包含相關的公開制度、隱私權法律制度、網絡知識產權等。3.形成全面的檔案信息安全標準體系。對于檔案信息安全標準體系，其發展較晚，屬于初級發展時期，缺乏完整性和健全性，因此，要立足基礎、技術和管理標準，進行標準體系的建設。在系統運行中，要注重對新型系統的設計、驗收、運行和維護，在根本上實現電子檔案安全管理的有序進行。
（二）做好基礎設施保證建設工作。對于電子檔案信息的傳遞和運行，基礎設施建設必不可少，主要是立足硬件系統和運行技術架構，實現對安全信息技術環境的營造。在基礎安全架構中，要立足網絡安全架構，結合軟硬件，實現安全系統的有效部署。在進行架構設計的時候，需要針對功能進行分區，實現對網絡功能的明確，設置保護等級，同時，進行信息訪問權限的限制。
（三）全面加強組織管理保證建設。1.將先進的管理思想滲透其中。對于電子檔案，需要重視前端和全程控制管理思想，立足文件到檔案的全周期監控，能夠及時發現其中的問題，保證監督的有效性。要重視分級管理，結合文件價值，進行安全管理，強化管理力度。要將風險管理的思想融入其中，進行有效評估，形成對策，降低檔案安全風險。2.重視建立權威性的信息安全管理機構。對于檔案管理機構，只有保證其權威性，才能提高管理工作的高度。在組織上，需要重視職能的劃分，在根本上保證對信息安全管理工作的戰略性指導，也能夠做好具體工作，形成詳細的應對策略。3.重視對基礎設施配置的管控。在進行基礎設置配置的時候，需要重視對各種參數的考量，保證其根本的穩定性與可靠性，達到安全運行的目的。同時，要重視對地址的選擇，保證各方面要求能夠達到技術要求。4.設計更具可靠的電子檔案安全管理系統。對于電子檔案管理而言，信息技術十分關鍵，需要保證安全性與穩定性。為此，在設計的時候，結合控制的思想，立足檔案管理的責任，在根本上滿足檔案安全功能的需要，尤其是強化權限、監控等功能等。
（四）加強安全技術保障工作。1.將物理安全平臺的構件作為重要工作來抓。對于網絡電子信息的安全性，物理安全發揮重要的作用，主要針對環境、設備和媒體安全幾個方面，有效防護環境的安全性，保證設備穩定性，避免干擾現象，保證數據的安全性。2.加強對電子檔案安全管理的網絡支持。主要包含傳輸和業務網絡兩個部分。其中，傳輸網絡安全能夠有效維護電子檔案傳輸的穩定性，有效保證網絡服務的可靠性。而對于業務網絡安全，主要對病毒的防范、對防火墻的設置以及對網絡的監控，實現對檔案信息系統業務資源的有效防護。
三、結語
綜上，電子檔案信息安全保障體系具有系統和綜合性，重視法制建設標準，立足基礎安全設施，重視整體安全策略和組裝，借助先進的安全防范機制，保障檔案信息資源的高安全性、高可靠性和高可用性。同時，積極促進檔案整體信息化應用水平的全面提高，為信息化建設保駕護航。
【參考文獻】
[1]黃昌瑛.電子檔案信息安全保障策略研究[D].福建師范大學，2007.
篇6
對于這樣規模龐大、結構復雜、涉及人員眾多的網絡體系需要建立全網安全保障系統，針對不同的業務特征進行合理的安全保障，確保業務系統的安全運行。
我們在設計學校信息安全保障體系的過程中，借鑒IATF的信息安全保障體系模型構建學校信息安全保障體系的技術體系和管理體系，這些體系構成學校所需的安全體系。在技術體系和管理體系中的安全控制和對策的選擇和定制中，采用“最佳實施”方法，通過列舉滿足實際需求和實際應用來構造安全保障體系。
在學校安全保障體系設計過程中，整體性一直是最核心的問題，因此為了保障安全體系具有一定的完整性，避免對安全問題的遺漏，需要在方法論中引入了安全框架模型。
安全保障體系框架示意圖
上圖中，最下層是安全體系要保護的對象，根據信息資產邏輯圖，將保護對象分成計算區域、區域邊界、通信網絡和基礎設施（指PKI/PMI/KMI中心和應急響應中心）等。計算區域部分主要指提供業務的網絡服務，計算區域內部可以根據學校信息化的實際需求進一步細分為子區域，邊界和通信網絡。對不同區域、邊界和通信網絡，其安全需求是不同的。保護對象框架將學校信息系統的安全問題細分為一組結構化的安全需求。
通過將對策框架中的所有安全控制中的策略，組織，技術和運作分別提煉，組成相應的策略體系、組織體系、技術體系和運作體系。每個體系由對策框架組成，對策框架由一組安全控制組成，這些安全控制是根據保護對象中的安全需求設計和選擇出來的。每一條安全控制都包含策略，組織，技術和運作四個要素。
在校園網的信息系統安全等級保護方面，國內尚未制定相關標準，但可以參考公安部制定的《信息系統安全等級保護基本要求》進行設計。基本安全要求分為基本技術要求和基本管理要求兩大類。技術類安全要求與信息系統提供的技術安全機制有關，主要通過在信息系統中部署軟硬件并正確的配置其安全功能來實現；管理類安全要求與信息系統中各種角色參與的活動有關，主要通過控制各種角色的活動，從政策、制度、規范、流程以及記錄等方面做出規定來實現。
基本技術要求從物理安全、網絡安全、主機安全、應用安全和數據安全幾個層面提出；基本管理要求從安全管理制度、安全管理機構、人員安全管理、系統建設管理和系統運維管理幾個方面提出，基本技術要求和基本管理要求是確保信息系統安全不可分割的兩個部分。
根據公安部《信息系統等級保護技術要求》中相應技術要求，以滿足物理安全、網絡安全、主機安全、應用安全、數據安全及存備份恢復等幾方面的基本要求為前提。
在基于人、技術及運行的信息安全縱深防御體系中，對人的行為的控制是信息安全保障最主要的方面。下圖所示為信息安全管理體系框架，該體系包括安全方針、安全策略、安全組織、人員安全、物理安全、安全制度與管理辦法、安全標準與規范、安全政策、安全法律法規與標準、安全培訓以及安全規范。
安全管理體系框架圖
安全策略作為建立安全機制必須首要考慮的核心，它對安全措施的具體實踐提供指導和支持。制定一套系統、科學的安全策略是指導學校等級化信息安全保障體系安全建設的重要內容。
建立安全組織機構、完善安全管理制度，建立有效的工作機制，做到事有人管，職責分工明確是有效防范由于內部人員有意無意對系統造成破壞的有效保障措施。
在組織安全方針、安全策略、安全制度與管理方法、安全標準與規范的建設過程中充分體現國家安全政策、安全法律法規與標準是組織充分保障信息系統安全的基礎。國家安全政策、安全法律法規與標準從國家和行業的角度制約信息安全，組織必須遵循國家和相關主管部門關于信息系統安全方面的法律法規、政策和制度。
篇7
Liu Zhen-yu
（National Center for the Performing Arts BeiJing 100031）
【 Abstract 】 The status of information security of National Center for the Performing Arts is explored. After that， information security problems and risks that National Center for the Performing Arts faced with are analysed. The information security framework which includes technique， management and operating is followed. The paper ends up with the elaboration of the effectiveness of the information security framework.
【 Keywords 】 information security； information security framework； national center for the performing arts
1 背景
隨著信息技術的飛速發展，人類正以前所未有的速度進入以網絡為主的信息時代，網絡的快速發展不僅促進了人們的通信和交流，同時也帶來了商業和經濟模式的巨大變革。
國家大劇院是國家新建的重要文化設施，也是一處別具特色的景觀勝地。作為北京市國家級標志性文化設施，國家大劇院的建設與運行體現了正在迅速崛起和復興的中國在精神文化領域的追求，因此，依托信息化手段宣傳和服務于廣大文化藝術愛好者是國家大劇院電子商務網站建設的宗旨，使之成為“國家表演藝術最高殿堂、藝術普及教育的引領者、中外藝術交流最大平臺、文化創意產業重要基地”。
國家大劇院網絡及信息系統從2007開始逐步建設，建設初期主要滿足國家大劇院演出宣傳、文藝教育、演出票務、公眾服務、內部辦公和訪問互聯網的需求，官方網站電子商務平臺承擔著對外宣傳及網上售票業務。隨著國家大劇院近幾年影響力和地位的不斷提升以及業務的發展壯大，對信息化建設提出了更高要求，同時對信息安全的需求也越來越迫切，結合國家等級保護制度來進行安全保障建設成為國家大劇院信息化建設的有益補充。
2 現狀及問題
目前國家大劇院局域網骨干帶寬為千兆，雙核心。已部署的安全設施，如在整個局域網的出口均部署了防火墻，內網服務器域邊界部署了防火墻；在門戶網站出口部署了流量控制和入侵防御設備；內部終端還廣泛部署了防病毒軟件，以防范計算機病毒在局域網內傳播和破壞。國家大劇院正在運行的業務系統主要包括網站系統、票務系統、藝術資料管理系統、OA系統、財務系統及郵件系統等。
根據對國家大劇院信息化及信息安全現狀的分析，結合國內外信息安全發展態勢，發現國家大劇院面臨著一些信息安全問題及風險。
假冒網站、網站掛馬等安全風險。據權威統計，2011年下半年，檢測新增掛馬網站獨立網址246萬，平均每日100萬人次訪問此類掛馬鏈接，新增釣魚盜號欺詐類網站獨立網址492萬，共攔截10億余次釣魚盜號欺詐類網址，平均每日600萬人次訪問此類欺詐類鏈接。假冒網站獨占鰲頭的是電商網購類，而且仿冒范圍不斷擴散，通過國家大劇院運維人員統計觀察，越來越多的黑客、病毒、不法機構和人員對國家大劇院電子商務網站系統的正常運行產生威脅，網站業務系統隨時都可能遭受惡意攻擊。
系統入侵或網絡攻擊風險。由于系統保護措施不到位，可能導致國家大劇院票務等對外網站系統的域名劫持、DDoS攻擊等安全風險。同時，也可能由于軟件漏洞或者安全意識單薄等造成內部郵件等信息泄露。
非授權訪問風險。由于國家大劇院內部辦公等信息系統邊界缺乏訪問控制設施，并且在網絡可信接入、分辨非法訪問、辨別身份偽裝等方面存在著很大的缺陷，未授權者可通過網絡非法訪問網站及系統服務器，并進行非法讀取、篡改和破壞數據等不良行為，構成對內部數據及信息系統的重大隱患。
數據安全風險。媒資庫建設完成后將承載大量的媒體資料，這些有藝術價值的音像資料是國家大劇院的寶貴資產，一旦由于自然災害、人員非法入侵、內部人員誤操作等造成數據丟失損壞，將對國家大劇院造成重大損失。
媒體資源庫音像資料版權風險。目前，劇院已經為視頻在線傳播及直播提供服務平臺，然而提供的音視頻服務面臨版權盜用、盜鏈和惡意下載等問題，容易對劇院和公眾利益帶來損害。
內控管理風險。據權威調查報告顯示，內部員工的粗心大意是企業信息安全的最大威脅，由此造成的安全事故高達78%。目前，由于國家大劇院內部員工的安全意識還相對淡薄，存在進入業務系統的登錄口令設置過于簡單，私自訪問不安全網站，私自接入不安全設備等問題，這些都給大劇院信息系統造成了極大的安全隱患和威脅。
3 信息安全保障體系探索
3.1 總體目標
通過對國家大劇院信息安全現狀、問題以及信息安全建設需求的分析，可知國家大劇院信息安全保障體系建設的總體目標是按照國家信息安全等級保護相關要求，從風險控制、技術設施、管理體制及運維服務等方面入手，基于成熟的安全技術，借鑒先進可行的管理理念，加強外御威脅防護、構建內控管理機制、強化數據保護措施，建立和完善信息安全管理體制，加強安全服務保障，設計適合國家大劇院信息化發展的安全保障體系，從而確保業務流程可控、業務狀態可視，保障業務整體安全。
3.2 設計思路
針對國家大劇院安全保障目標，在信息安全保障體系設計上基于幾種設計思路。
3.2.1構建網站可信機制
通過第三方網站身份誠信認證來確保網站真實性，可幫助網民判斷網站的真實性。同時，基于可信證書類產品，確保系統管理用戶身份的真實性。其次，借助社會力量來實現假冒網站的定位、侵權取證等服務，從而有效打擊防范欺詐類網站并且協助維權。
3.2.2建設安全可靠的辦公網絡平臺
積極推進信息安全等級保護建設，通過制定安全策略、部署安全設備，完善安全保密管理制度，加強安全運維支撐建設，從物理安全、網絡安全、主機安全、應用安全、數據安全、流程安全、人員安全等多方面保障系統的安全穩定運行。
3.2.3建立網絡信任服務
通過為網絡管理員、網站維護人員頒發數字證書，部署網絡可信接入及遠程安全接入設施來構建劇院內部的網絡信任服務體系，保證信息系統及媒資庫資源的可靠訪問，確保我院信息資源安全。
3.3 體系框架
在國家大劇院信息系統安全保障體系設計以及實現中，將在國家相關的安全政策、法規、標準、要求的指導下，制定可具體操作的安全策略，構建國家大劇院網站系統安全技術系統、安全管理體系以及安全運行體系，形成集防護、檢測、評估、響應、恢復于一體的整體安全保障體系，從而實現物理安全、網絡安全、主機安全、數據安全和應用安全，以滿足國家大劇院網站系統全方位的安全保護需求。國家大劇院信息系統整體安全保障體系模型如圖1所示。
國家大劇院信息系統整體安全保障體系模型主要由三個方面組成。
3.3.1安全技術體系
參考國家標準《信息安全技術 信息系統等級保護安全設計技術要求》按照威脅分析，將信息資產劃分為若干保護對象，并按照“一個中心”管理下的“三重保護”的設計框架，構建國家大劇院信息安全技術體系保障機制和策略，為國家大劇院信息系統的運行提供安全保護環境。該環境共包括四部分：安全計算環境、安全區域邊界、安全通信網絡和安全管理中心。
3.3.2安全管理體系
以國家大劇院現有業務系統所服務對象為基礎，建立完善的安全管理體系，建立信息安全管理機構、制定信息安全管理制度、設置信息安全管理崗位。
3.3.3安全運維服務體系
針對業務安全運行的需要，以日常巡檢、咨詢、評估等建立有效的運維服務機制，加強對資產管理的分析、隱患發現、策略審核考評等，不斷發現平臺在運行中的安全隱患，降低系統脆弱性和面臨潛在的威脅帶來的影響及損失，以及時對安全策略實現完善和防護措施的改進提升。
3.4 信息安全體系建設實踐
國家大劇院信息安全保障工作經過長期的努力，已經初見成效。在安全體系的建設實踐中，總結出幾點實踐經驗。
3.4.1制定標準規范，奠定保障基礎
信息安全保障建設的一項重要工作之一是參照國家等級保護的技術要求完成相應的合規性檢查。因此，國家大劇院應據此建立適合國家大劇院的信息安全管理基線，堅持常態化管理和動態控制，達到并保持國家相關安全主管部門的安全審計要求。
3.4.2重視管理，制度先行
信息安全是一個動態發展的過程，每年隨著業務發展變化而變化，同時隨著信息安全技術的不斷演變，都會出現新的安全防護技術的使用。經過多年實踐證明，每個系統或者防護設備上線前，都必須在遵守總體防護規范的前提下，編制好具有針對性的管理要求，才有有效降低安全風險引入的可能。
3.4.3定期組織代碼審計和滲透測試等系統檢測
代碼安全審計是通過人工分析和工具掃描的方式檢驗應用程序的源代碼，利用大量的代碼安全規則，來分析源代碼中的違反規則部分，進而確定可能存在的安全漏洞和隱患。應用系統生命周期安全的從SDL實踐上看，安全做的越早效果越好（但開發模式改動的成本也相對比較大），代碼審計作為保證代碼安全的最低低線，其作用是不可取代的。
另外，除了從代碼開發過程中保證開發出安全的應用系統以外，針對已開發的系統，國家大劇院還組織第三方測試機構，從攻擊者視角檢測信息系統安全防護能力是否達到，是否存在成功攻入系統的途徑。
4 信息安全建設意義
通過構建信息安全保障平臺，保障我劇院信息系統可安全合規運行。基于國家信息安全等級保護制度要求，建設國家大劇院信息系統整體安全保障體系模型信息安全保障基礎設施，制定安全策略，為國家大劇院系統提供安全可靠的運行環境。
提高國家大劇院電子票務等信息系統的安全運行平穩度。通過在信息安全技術、信息安全保密管理等多維度的體系保障建設，保障網站真實性、打擊假冒網站，大大提高國家大劇院信息系統安全穩定運行的平穩度。
提高用戶的安全便捷以及系統安全管理能力。通過構建可信的電子票務運營環境，為用戶提供身份認證及網絡信任機制，加強用戶的身份、資金安全保障，并且提高系統安全管理能力。
提升安全隱患發現能力。安全隱患的發現能力是信息安全管理中的關鍵能力，關系到能否將風險消除在事件發生之前。通過建立入侵監測系統、防病毒系統以及定期的安全脆弱性檢測等，大大提升我劇院信息系統的安全隱患發現能力。
5 結束語
建設和完善信息安全保障體系是為了保證國家大劇院的業務在今后發展過程中對信息安全建設的要求。
信息安全保障體系建設涵蓋安全管理體系、安全技術體系、安全運維體系的復雜系統工程，是一項長期性的專業的細致的認為，需要以信息安全技術為基礎，持續投入大量的人力和物力。為使國家大劇院建設成為國際化、現代化的大劇院提供有力的信息安全保障。
參考文獻
[1] 關于大力推進信息化發展和切實保障信息安全的若干意見（國發[2012]23號）.
[2] 信息安全管理實用規則（GB/T 22081-2008）.
[3] 信息系統等級保護安全設計技術要求（GBT25070-2010）.
[4] 信息系統安全等級保護體系框架（GA/T 708-2007）.
[5] 國家大劇院電子商務網站系統安全保障方案.內部資料，2010.
篇8
從概念上來說，電子政務是政府在其進行社會管理和社會服務過程中使用計算機信息技術，超越政府各部門之間的職能和時空的界限和制約，目的是能夠達到促使政府政務的公平公正、高效廉潔、為民眾提供更加優質的服務。我國電子政務系統的雛形始于1993年，是伴隨著計算機信息技術的發展而出現的。隨著計算機技術的迅速發展，政府門戶網站、政府信息服務平臺等新興的電子政務形式也逐漸得到了應用。目前，基于計算機信息技術的電子政務系統的完善和創新是政府改革過程中的重要內容。但在電子政務實施與發展過程中還存在著許多問題，如政府部門對電子政務系統建設的重視程度不高、專職工作人員自身素質不高、電子政務系統的制度化管理不完善等，以及電子政務系統的安全保護技術不到位等。（1）安全保障制度不健全。政府部門在對電子政務系統安全保障管理制度不健全、管理不到位，在電子政務系統建設維護時缺乏制度化的管理措施。而且，基于計算機信息技術電子政務的信息安全保障工作缺乏信息安全認證機制，非工作人員隨意進入網站機房或者利用用戶口令進入到網站系統當中。這些制度上的缺失導致信息技術的安全保障工作難度增大，難以應對緊急突發事件，無法保障系統的信息安全。（2）內部管理松懈。電子政務系統安全保障近年來問題屢屢發生，如政府門戶網站受到攻擊、主頁受到篡改、信息泄露事件等。分析原因，主要是從事電子政務系統安全保障管理工作的人員的安全意識、保密意識及工作責任心不強。甚至網站信息安全保障工作人員泄露內部的網絡結構、用戶口令，或者是內部工作人員惡意編寫破壞程序等，讓門戶網站信息的安全系數下降。可見，政府門戶網站信息泄露、網頁篡改的原因，許多時候并非安全保障技術水平不高所導致，更重要的嚴格內部保障工作的管理。
2重視安全保障技術體系建設
加強電子政務系統安全保障體系的建設，就必須要提高信息安全保障技術水平，建設完善的政府安全信息技術監控體系。政府主管門戶系統安全保障工作的部門，要高度重視電子政務系統的安全技術保障措施的完善，從硬件、軟件兩個方面加強建設。其一，要構建起完善的互聯網病毒防御體系，安裝防病毒軟件并且及時進行更新，對軟件進行升級和維護，切實做到有效抵御互聯網上的惡意攻擊。其二，在信息安全保障系統中加入入侵檢測系統，把入侵檢測軟件和硬件設備相結合，作為防御病毒體系的補充，入侵檢測系統主動尋找、分析系統系統內部的運行情況，將違反安全規則的對象和被攻擊的部分檢測出來，主動保護系統信息的安全。其三，要在硬件設備上及時更新升級，淘汰落后的硬件設備。防止由于設備使用時間長，導致安全保障能力下降。
3強化安全保障的制度建設
政府的電子政務系統，要嚴格按照國家對信息安全法律法規的標準建立起完善的信息安全管理制度。一要對計算機實施安全保密措施，定期更換計算機密碼，并且對網絡的訪問權限進行制度化管理，涉及重要內容的信息必須要有專業的工作人員在專門的計算機上進行處理。二要對機房進行有效管理，完善機房的管理制度，對進入機房的設定進行權限規定。禁止攜帶對設備運行產生威脅的易燃易爆物品，設備的更換、更新進行登記，不定期檢查設備的運行狀態和機房的安全狀況。三要健全巡視上報制度，工作人員要定期對系統的論壇、留言板、門戶網站等進行檢查巡視，完善信息前關鍵詞和敏感字自動過濾的功能，密切關注社會發展的動態，更新敏感詞和關鍵詞，建立起垃圾郵件自動清理功能。如果在巡視過程中發現有違反法律法規的行為，及時向公安網絡部門報告。四要與公安部門建立起完善的聯系制度，打擊網絡信息犯罪的行為。通過完善政府電子政務系統安全保障制度，建立起長效的安全保障機制，減少因管理失當而產生的系統信息泄露、黑客入侵等行為的發生。
作者:李強 單位:長春信息技術職業學院
參考文獻
［1］張震，劉芬.行政環境與我國電子政務發展的策略研究［J］.中國公共安全（學術版），2007，（4）．
篇9
0 引 言
隨著電子政務外網的發展，各省市電子政務外網平臺的建設均已成熟，多數省市電子政務外網平臺建設之初采用的是物理機傳統架構部署方式。隨著信息技術的發展，云計算技術應運而生，電子政務云平臺的建設風生水起。然而無論是傳統架構還是在云計算環境下，電子政務外網平臺面臨的風險越來越多，本文就這兩種架構下電子政務外網平臺的安全如何建設進行分析，提出相應的解決方案。
1 建設方案
電子政務外網平臺的安全建設應根據業務應用特點及平臺架構層特性，應用入侵檢測、入侵防御、防病毒網關、數據加密、身份認證、安全存儲等安全技術，構建面向應用的縱深安全防御體系。電子政務外網平臺安全建設可從分析確定定級對象及安全等級、構建安全保障體系、明確安全邊界、安全技術保障、安全運維保障、安全制度保障、云計算環境下電子政務外網平臺安全保障幾方面考慮。
1.1 分析確定定級對象及安全等級
信息系統安全等級共分為五級，根據“中華人民共和國國家質量監督檢驗檢疫總局 中國國家標準化管理委員會”的《信息安全技術 信息系統安全等級保護定級指南（GB/T 22240-2008）》，結合國家相關行業標準規范，分析確定定級對象及安全等級。本文以構建信息系統安全等級第三級標準安全建設進行探討。
1.2 構建安全保障體系
電子政務外網平臺安全保障可從安全技術保障、安全運維保障、安全制度保障三個方面著手考慮，根據“中華人民共和國國家質量監督檢驗檢疫總局 中國國家標準化管理委員會”的《信息安全技術 信息系統安全等級保護定級基本要求（GB/T 22239-2008）》進行建設。物理機傳統架構下的電子政務外網平臺安全保障體系架構如圖1所示。
1.3 明確安全邊界
1.3.1 安全邊界劃分原則
安全邊界劃分原則[1]如下所示：
（1）以保障電子政務外網平臺信息系統的業務、管理、控制數據處理活動、數據流的安全為根本出發點，保障平臺安全；
（2）每個安全域的信息資產價值相近，具有相同或相近的安全等級、安全環境、安全策略等；
（3）根據“信息安全等保”要求，網絡規劃時避免將重要網段部署在網絡邊界處且直接連接外部信息系統，重要網段與其他網段之間采取可靠的技術隔離手段；
（4）根據《國家電子政務外網跨網數據安全交換技術要求與實施指南》，部署數據安全交換隔離系統，保障數據交換安全；
（5）對接入邊界進行安全防護。
1.3.2 安全邊界劃分
電子政務外網平臺可劃分為DMZ區、內部數據中心、互聯網出口區、安全及運維管理區、邊界接入區五大區域。電子政務外網安全邊界劃分圖如圖2所示。
（1）DMZ區
DMZ區部署面向互聯網的業務系統，包括門戶網站、郵件服務等，應根據實際需求部署相應的安全策略。
（2）內部數據中心
內部數據中心區部署協同辦公等內部應用系統，可根據實際需求分為多個邏輯區域，如辦公業務區、測試區等，應根據實際需求部署相應安全策略。
（3）互聯網出口區
互聯網出口區為電子政務外網平臺互聯網接入邊界，與運營商網絡直連。該區域直接面向互聯網出口區域，易被不法分子利用網絡存在的漏洞和安全缺陷對系統硬件、軟件進行攻擊，可在該區部署相應的防火墻策略，并結合入侵防御、安全審計等技術提供立體的、全面的、有效的安全防護，允許合法用戶通過互聯網訪問電子政務外網。
（4）安全及運維管理區
提供安全管理運維服務，保障電子政務外網平臺的安全。提供統一網絡管控運維服務，保障整網設備及業務系統信息正常運行。
（5）邊界接入區
根據國家相關規范，對專網、企事業接入單位或其它系統接入電子政務外網時，應在訪問邊界部署防火墻、入侵防御系統，與“政務云”實現物理邏輯隔離，進行安全防護。
1.4 安全技術保障
采用傳統架構的電子政務外網平臺技術安全保障可從物理安全、網絡安全、主機安全、應用安全、數據安全五個方面進行考慮，可通過部署相應產品或配置服務進行安全保障。
1.4.1 物理安全
物理安全主要涉及環境安全（防火、防水、防雷擊等）設備和介質的防盜竊防破壞等。具體包括物理位置選擇、物理訪問控制、防盜竊和防破壞、防雷擊、防火、防水和防潮、防靜電、溫濕度控制、電力供應和電磁防護等方面。該部分主要體現為機房及弱電的建設標準、規范，技術環節應符合相關等級保護要求。
1.4.2 網絡安全
網絡安全主要包括網絡結構、網絡邊界以及網絡設備自身安全等，具體包括結構安全、訪問控制、安全審計、邊界完整性檢查、入侵防范、惡意代碼防范、網絡設備防護七個方面，關鍵安全技術保障措施如下所示：
（1）劃分安全域，根據各安全域安全建設需求采用相應的安全策略。
（2）通過合理部署IPS、防火墻對網絡進行邊界隔離和訪問控制，并實現對網絡攻擊的實時監測，即時中斷、調整或隔離一些不正常或具有傷害性的網絡行為。
（3）部署防DDoS攻擊設備，及時發現背景流量中各種類型的攻擊流量，針對攻擊類型迅速對攻擊流量進行攔截，保證正常流量通過。
（4）可在互聯網出口處部署鏈路負載均衡設備，加強網絡數據處理能力、提高網絡的靈活性和可用性。
（5）采用上網行為管理、流量控制等設備，對網絡流量進行實時監控管理，實現員工對終端計算機的管理和控制，規范員工上網行為，提高工作效率，實現流量控制和帶寬管理，優化網絡。
（6）對關鍵設備采用冗余設計，并在重要網段配置ACL策略以保障帶寬優先級。
（7）采用安全審計技術，按照一定的安全策略，利用記錄、系統活動和用戶活動等信息，檢查、審查和檢驗操作事件的環境及活動，從而發現系統漏洞、入侵行為或改善系統性能。
1.4.3 主機、應用安全
主機安全主要包括訪問控制、安全審計、剩余信息保護、惡意代碼防護等幾個方面。應用安全主要包括身份鑒別、訪問控制、安全審計、抗抵賴性等幾方面，關鍵安全技術保障措施如下所示：
（1）惡意代碼可直接利用操作系統或應用程序的漏洞進行傳播，可部署惡意代碼監測、病毒防護系統及漏洞掃描等系統，通過主動防御可有效阻止病毒的傳播，及時發現網絡、主機、應用及數據庫漏洞并修復，保障電子政務外網平臺安全。
（2）利用身份認證技術及訪問控制策略等技術保障主機應用安全，不允許非預期客戶訪問。
（3）運用審計技術保障主機應用安全，實時收集和監控信息系統狀態、安全事件、網絡活動，以便進行集中報警、記錄、分析、處理。
（4）采用應用負載均衡技術、操作系統用戶登錄等技術實現資源的優化控制。
（5）可部署Web應用防火墻、網頁防篡改等系統，做到事前主動防御，智能分析、屏蔽或阻斷對目錄中的網頁、電子文檔、圖片、數據庫等類型文件的非法篡改和破壞，保障系統業務的正常運營，全方位保護Web應用安全。
1.4.4 數據安全
數據安全主要包括數據的保密性、完整性及備份和恢復，關鍵安全技術保障措施如下所示：
（1）可對不同類型業務數據進行物理上或邏輯上隔離，并建設數據交換與隔離系統以保障不同安全等級的網絡間的數據交換安全。
（2）采用雙因素認證進行數據訪問控制，不允許非預期客戶訪問，對違規操作實時審計報警。
（3）采用VPN、數據加密、消息數據簽名、摘要等技術對數據傳輸進行加密，防止越權訪問機密信息或惡意篡改。
（4）采用數據庫冗余部署，防范數據丟失風險，為業務系統穩定運行提供保障，可考慮建設同城或異地容災。
（5）部署數據庫審計設備可在不影響被保護數據庫性能的情況下，對數據庫的操作實現跟蹤記錄、定位，實現數據庫的在線監控，為數據庫系統的安全運行提供了有力保障。
1.5 安全運維保障
安全運維保障可通過安全管理平臺，建立與安全工作相配套的集中管理手段，提供統一展現、統一告警、統一運維流程處理等服務，可使管理人員快速準確的掌握網絡整體運行狀況，整體反映電子政務外網平臺安全問題，體現安全投資的價值，提高安全運維管理水平。安全運維管理平臺需考慮與安全各專項系統、網管系統和運管系統之間以及上下級系統之間的接口。
1.6 安全制度保障
面對形形的安全解決方案，“三分技術、七分管理”。若僅有安全技術防護，而無嚴格的安全管理相配合，則難以保障網絡系統的運行安全。系統必須有嚴密的安全管理體制來保證系統安全。安全制度保障可從安全管理組織、安全管理制度、安全管理手段等方面考慮，建立完善的應急體制。
1.7 云計算環境下電子政務外網平臺的安全保障
云技術是基于云計算商業模式應用的網絡技術、信息技術、整合技術、管理平臺技術、應用技術等的總稱，可以組成資源池，按需所用，靈活便利。隨著時代的發展，云計算技術已變成信息系統主流基礎架構支撐。由于云計算平臺重要支撐技術是采用虛擬化實現資源的邏輯抽象和統一表示，因此在云計算環境下進行電子政務外網云平臺安全保障體系建設，僅僅采用傳統的安全技術是不夠的，除滿足上述物理安全、網絡安全、主機安全、應用安全、數據安全技術保障，運維安全保障，安全制度保障需求之外，還應考慮虛擬化帶來的新的安全風險。云計算環境下電子政務外網云平臺安全保障體系如圖3所示。
1.8 虛擬化安全
當前，云計算虛擬化安全技術還不成熟，對虛擬化的安全防護和保障技術測評則成為云環境等級保護的一大難題，主要涉及的安全包括虛擬機逃逸防范、虛擬機通信風險、虛擬機管理平臺安全等方面。可采取如下安全保障措施[2]：
（1）將可信計算技術與虛擬化技術相結合，構建可信的虛擬化平臺，形成完整的信任鏈；
（2）可建設分級訪問控制機制，根據分層分級原則制定訪問控制策略，實現對平臺中所有虛擬機的監控管理，為數據的安全使用和訪問建立一道屏障；
（3）可通過虛擬防火墻、虛擬IPS、虛擬防病毒軟件或虛擬安全網關等技術實現虛擬機間的安全隔離。
2 SDS安全保障技術簡介
軟件定義安全（Software Defined Security，SDS）是從軟件定義網絡（Software Defined Network，SDN）延伸而來，將安全資源進行池化，通過軟件進行統一調度，以完成相應的安全功能，實現靈活的安全防護。簡單來說，傳統的安全設備是單一防護軟件架構在一臺硬件設備之上，通常串接或旁掛于網絡中，不僅將網絡結構復雜化，對不同廠家的安全設備進行統一管理的復雜度也較高，需單獨的物理安裝空間。而SDS可以將其看作一個軟件，靈活調配安全設備資源，實現靈活的網絡安全防護框架，方便調整。
3 結 語
在大數據時代下，SDS是順應時展趨勢、簡化安全管理的訴求，但由于SDS應用尚未完全成熟，仍需經過實踐的檢驗。
篇10
參照 ISO/IEC 27001:2005中提出的證券期貨業信息安全保障管理模型(簡稱模型)，采用立方體架構。頂面是信息安全保障的7個目標(機密性、完整性、可用性、真實性、可審計性、抗抵賴性、可靠性)，正面是行業組織結構，側面是各個機構為實現信息安全保障目標所采取的措施和方式(組織、管理及技術體系)。
本管理體系框架遵循如下基本原則：責任制原則，依據“誰主管，誰負責”、“誰運營，誰負責”的基本原則，明確行業內各主體單位信息安全保障的管理責任；系統性原則，以動態保障的安全觀為指導，體現安全與發展并進、管理與技術并重、長效機制與應急防御相結合的綜合保障體系；適用性原則，在保障安全的前提下，兼顧不同主體單位的差別，強制滿足最低標準，充分保留發展空間。
信息安全目標
證券期貨業信息安全保障管理體系的目標是保障網絡與信息系統的機密性、完整性、可用性、真實性、可審計性、抗抵賴性、可靠性。機密性是數據所具有的特性，即表示數據所達到的未提供或未泄露給未授權的個人、過程或其他實體的程度。完整性是保證信息及信息系統不會被非授權更改或破壞的特性，包括數據完整性和系統完整性。可用性是數據或資源的特性，被授權實體按要求能訪問和使用數據或資源。真實性即信息接收者能夠通過有效的手段來識別信息是否是聲稱者所發送。可審計性即每個經授權用戶的活動都是唯一標識和監控的，以便對其所做的操作內容進行審計和跟蹤。抗抵賴性即保證發送信息的行為人不能否認自己的行為，使發送行為具有可信度。可靠性即保證合法用戶對信息能夠進行讀取和修改，防止非法用戶對信息進行惡意篡改和破壞。
行業組織結構
證券期貨業安全保障管理組織結構采用 “統一組織、分層管理、交叉協調”的管理結構，劃分為三層：決策層、管理層、執行層。
決策層
決策層由證券期貨業網絡與信息安全保障協調小組(以下簡稱協調小組)構成，協調小組由中國證券監督管理委員會及“5(交易所)+1(登記結算公司)+2(行業協會)”組成，是證券期貨行業信息安全的最高決策機構，以建立安全的信息系統、保障投資者利益為目標，制定框架性的信息系統安全指導方針，明確信息安全保障工作的基本方向和主要內容，頒布信息安全保障工作的行業條例與規定。
協調小組還將根據證券期貨行業信息系統發展趨勢和信息安全發展趨勢，定期對指導方針做出調整，研究和分析信息安全建設對證券期貨行業發展的價值和影響，確定信息安全保障工作的發展方向和基本工作節奏。審定并頒布行業信息安全保障工作的規定和制度，協調行業內部及外部資源，具體包括，信息安全保障工作指導方針、信息安全保障工作管理體系、信息安全保障工作管理流程、信息安全保障工作監督規定。審定并頒布信息安全保障工作的監督機制，并頒布相關監督制度和管理流程。
管理層
管理層由行業主管職能部門、行業自律組織和行業相關的管理與促進機構構成。行業主管職能部門包括中國證監會信息安全管理職能部門及其派出機構(各地的證監局、證管辦)，行業自律組織包括中國證券業協會、中國期貨業協會、技術標準委員會，相關的管理與促進機構成員包括證券交易所(上海證券交易所、深圳證券交易所)、期貨交易所(上海期貨交易所、鄭州商品交易所、大連商品交易所)、登記結算公司。
行業主管職能部門負責起草并報批行業信息安全保障工作的規章和制度，協調專家顧問、行業成員等各方面的資源，對協調小組頒發的信息安全指導方針做技術與標準的支持，為其他成員執行指導性方針提供支持，并及時了解業務發展對信息安全的新需求，反映給協調小組，并根據證監會的信息安全保障工作相關規定，提出技術標準與實施細則。協調專家、顧問和行業標桿企業為各個安全主體進行信息安全保障工作的咨詢。
行業自律組織針對行業特性制訂信息安全保障相關自律性公約、標準、規范與指引等，并要求其會員單位嚴格遵守自律公約，并對違反公約的行為進行處理。相關的管理與促進機構作為市場網絡與信息系統的核心，其信息系統運行狀態很大程度上依賴于會員單位的信息安全級別，應對其會員單位進行嚴格要求，依據行業信息安全保障管理相關管理規范，制定相應的管理細則和技術標準，督促其會員單位落實，并對安全邊界進行嚴格管理。
執行層
執行層指市場各個參與主體，包括交易所、登記結算公司、通信公司、證券公司、期貨公司、基金管理公司、投資咨詢機構等。
安全保障領導小組是各主體單位信息安全最高領導機構，對協調小組關于信息安全建設的指導方針進行目標分解，結合本單位業務發展需求及信息系統現狀制定具體的信息安全建設策略、計劃、流程，并授權執行機構進行信息系統安全建設與運維。主要工作內容包括制定符合監管機構規定的信息安全保障方針政策，根據企業自身信息安全保障工作的方針政策建立信息安全保障工作的策略體系，監督并指導企業自身的信息安全組織、管理、技術體系建設。
安全保障工作小組是各主體單位執行信息安全保障的具體機構，根據安全保障領導小組制定的信息安全建設策略、計劃、流程執行信息安全保障工作。主體單位對自身信息安全現狀的評估，建設信息安全組織、管理、技術體系，完善信息安全組織、管理、技術體系，對出現的安全事件進行處理。
在組織體系上，決策層進行法規頒布，對管理層和執行層進行工作指導，管理層對決策層制定的相關法規進行細化，執行層根據行業規則進行信息安全保障體系建設，并將組織信息上報管理層和決策層。在管理體系上，決策層對管理層進行監督管理，管理層對執行層進行評估檢查，執行層將信息進行上報給決策層和管理層。在技術體系上，由執行層將技術實現方案和實施結果上報給管理層，管理層對成功經驗在執行層進行推廣。
篇11
電子政務信息安全問題 電子政務是一個基于現代信息技術的綜合性政務信息系統，涉及政府機關、各團體、企業和社會公眾，其基本框架一般來說主要包括政府辦公政務網、辦公政務資源網、公眾信息網和辦公政務信息資源數據庫四個部分，即“三網一庫”。我國早在2002年7月《關于我國電子政務建設指導意見》中，明確“把電子政務建設作為今后一個時期我國信息化工作的重點，政府先行，帶動國民經濟和社會發展信息化”，2006年進一步在《2006-2020年國家信息化發展戰略》中明確“電子政務”作為我國信息化發展的重點戰略，實現政府“改善公共服務，加強社會管理，強化綜合監管和完善宏觀調控”。
1.我國交通運輸電子政務平臺發展現
2004年2月，交通部在其制定的《中國交通電子政務建設總體方案》中，提出了“交通政務內網、交通政務外網和電子信息資源庫”的交通電子政務建設總體架構，同年12月又出臺了《交通運輸電子政務網絡及業務應用系統建設技術指南（試行）》。在政策的指導下，我國交通電子政務平臺的發展速度加快，交通電子政務平臺的基礎架構已經凸顯規模，部（交通運輸部）省（各省道路運輸管理部門）道路運輸管理信息系統建設，已實現了20多個省（區、市）運政系統與部聯網，縱向業務系統互聯互通、資源共享、整合利用的模式已初步建立。與此同時，交通電子政務平臺的信息化標準規范體系也得到進一步完善。目前，網絡“開放性”與政務“安全性”、網絡“可訪問性”與政務“穩定性”是我國交通電子政務實施過程的兩大矛盾。
1.1安全性與開放性的矛盾
即電子政務的安全要求與電子政務平臺的開放性要求成為交通電子政務實施過程中最難以平衡的一對矛盾。如何把握政務“安全”與網絡“開放”的平衡，一方面要把握住哪些信息是交通政府部門的機密，哪些是開放；另一方面，在電子政務平臺的建設過程中如何擺脫“安全絕對化”傾向，否則電子政務服務的公眾性就會失去落腳點，以政務信息化帶動社會信息化、企業信息化的戰略意圖也將難以實現。
1.2安全性與可訪問性的矛盾
電子政務的安全性要求與電子政務平臺的可訪問性要求成為交通電子政務實施過程中另一對矛盾。電子政務平臺應重視其信息安全問題，其另一層含義還應注意保持網絡安全性與可訪問性之間的平衡。交通電子政務平臺必須易于訪問，這樣才能激勵公眾去使用它。而在提供了更好的可訪問性的同時，也將交通運輸的數據暴露在不斷增長的病毒及未授權訪問的威脅之下，導致政務平臺的不安全性。
2.我國交通運輸電子信息安全保障體系的構建
當前我國交通電子政務實施過程的兩大矛盾的解決，依賴于安全、穩定、可靠的交通運輸電子政務平臺信息安全保障體系。對于電子政務平臺實施過程中所面臨的信息安全保障問題，我國早在2003年9月頒發的《關于加強信息安全保障工作的意見》中明確提出了建立等級保護制度和風險管理體系的要求。2004年11月，公安部等國家四部委聯合推出信息安全等級保護要求、測評準則和實施指南，為政務領域進一步建立政務信息系統風險管理體系提供了技術基礎和指導。交通運輸部也于2008年12月頒布的《交通運輸電子政務網絡及業務應用系統建設技術指南》中對交通電子政務平臺的安全保障體系作了詳細的技術規范。
2.1信息安全保障體系及其基本要求。信息安全保障體系的基本要求主要體現在以下幾個方面：
保密性。主要體現在誰能擁有信息，如何保證秘密和敏感信息僅為授權者享有。
完整性。主要體現在擁有的信息是否正確以及如何保證信息從真實的信源發往真實的信宿，傳輸、存儲、處理中未被刪改、增添、替換。
可用性。主要體現在信息和信息系統是否能夠使用以及如何保證信息和信息系統隨時可為授權者提供服務而不被非授權者濫用。
可控性。主要體現在是否能夠監控管理信息和系統以及如何保證信息和信息系統的授權認證和監控管理。
不可否認性。主要體現在信息行為人為信息行為承擔責任，保證信息行為人不能否認其信息行為。
2.2安全組織體系。政府高度重視交通運輸信息化工作的同時，堅持把“積極防御，綜合防范”放在優先位置，首先要求成立專門的信息安全領導小組。信息安全領導小組可由交通主管領導擔任領導小組組長主管信息安全工作，下設信息安全工作組，各管理部門負責人、業務部門負責人為成員。
2.3 安全技術體系。交通電子政務平臺的安全技術體系可搭建專業的安全管理運營中心，并從基礎設施安全和應用安全兩個方面去搭建安全技術支撐體系。
2.4安全運營體系。安全運營體系是一個完整的過程體系，在交通電子政務平臺的整個過程中，正常的運作流程，其信息流遵循自上而下的流程，即交通上級部門根據電子政務平臺信息安全需求的目標、規劃和控制要求做計劃，下級交通部門根據計劃進行執行、檢查和改進。而若交通電子政務平臺其安全性出現威脅，影響正常的運作流程時，此時信息流則遵循自下而上的逆向過程，下級交通部門向上級部門報送安全事件，上級部門根據其安全事件進行分析、總結和改進。
2.5 安全策略體系。網絡安全策略是為了保護網絡不受來自網絡內外的各種危害而采取的防范措施的總和，因此信息安全策略是信息安全保障體系建設和實施的指導和依據，全面科學的安全策略體系應貫穿信息安全保障體系建設的始終。安全策略體系，主要包含安全政策體系、安全組織體系、安全技術體系和安全運行體系四個方面的要素，在采用各種安全技術控制措施的同時，必須制訂層次化的安全策略，完善安全管理組織機構和人員配備，提高安全管理人員的安全意識和技術水平，完善各種安全策略和安全機制，利用多種安全技術實施和網絡安全管理實現對網絡的多層保護。
篇12
關鍵詞 ：大中型企業；信息安全體系；框架；理論指導；安全模型
1海外信息安全體系建設原則
大中型企業海外信息安全體系的建設，涉及面廣、工作量大，整體設計必須堅持以下的原則，以保證建設和運營的效果。
1.1統一規劃管理
要對信息安全體系建設進行統一的規劃，制定信息安全體系框架，明確保障體系中所包含的內容。同時，還要制定統一的信息安全建設標準和管理規范，使得信息安全體系建設遵循一致的標準、管理遵循一致的規范。
1.2分步有序實施
信息安全體系建設的內容龐雜，必須堅持分步有序的實施原則，循序漸進。
1.3技術管理并重
僅有全面的安全技術和機制是遠遠不夠的，安全管理也具有同樣的重要性。信息安全體系的建設，必須遵循安全技術和安全管理并重的原則，制定統一的安全建設管理規范，指導安全管理工作。
1.4突出安全保障
信息安全體系建設要突出安全保障的重要性，通過數據備份、冗余設計、應急響應、安全審計、災難恢復等安全保障機制，保障業務的持續性和數據的安全性。
2海外信息安全體系建設目標
大型跨國企業海外信息安全的建設目標是：基于安全基礎設施、以安全策略為指導，提供全面的安全服務內容，覆蓋從物理、網絡、系統直至數據和應用平臺各個層面，以及保護、檢測、響應、恢復等各個環節，構建全面、完整、高效的信息安全體系，從而提高企業信息系統的整體安全等級，為企業海外業務發展提供堅實的信息安全保障。
3海外信息安全體系框架
企業進行信息安全建設的目標是建立起一個全面、有效的信息安全體系，包括了安全技術、安全管理、人員組織、教育培訓、資金投入等關鍵因素，信息安全建設的內容多，規模大，必須進行全面的統籌規劃，明確信息安全建設的工作內容、技術標準、組織機構、管理規范、人員崗位配備、實施步驟、資金投入，才能夠保證信息安全建設有序可控地進行，使信息安全體系發揮最優的保障效果。
同時還應該制定一系列的安全管理規范，指導信息安全建設和運營工作，使得信息安全建設能夠依據統一的標準開展，信息安全體系的運營和維護能夠遵循統一的規范進行。
3.1安全目標模型
根據大型跨國企業海外信息安全體系建設目標和總體安全策略，建立與之對應的目標模型，稱為WP2DRR安全模型。該模型由預警（ Warning）、策略(Policy)、保護（Protectlon）、檢測（Detection）、響應(Response)、恢復（Recovery）6個要素環節構成了一個基于時間的、完整的、動態的信息安全體系。WP2DRR模型在P2DR模型的基礎上新增加了預警Warnlng和恢復Recover，增強了安全保障體系的事前預防和事后恢復能力，系統一旦發生安全事故，也能恢復系統功能和數據，恢復系統的正常運行。
安全目標模型是信息安全體系框架的基礎，大型跨國企業的海外信息安全體系框架應該緊密圍繞安全模型的6個要素環節進行設計，每個要素環節的功能都在安全技術體系、安全組織和管理體系以及運行保障體系中體現出來。
3.2信息安全體系框架組成
通過對企業的網絡和應用現狀、安全現狀、面臨的安全風險的分析，根據安全保障目標模型，制定了大型跨國企業海外信息安全體系框架。制定該框架的目的在于從宏觀上指導和管理信息安全體系的建設和運營。
該框架由一組相互關聯、相互作用、相互彌補、相互推動、相互依賴、不可分割的信息安全保障要素組成。此框架中，以安全策略為指導，融會了安全技術、安全管理和運行保障3個層次的安全體系，以達到系統可用性、可控性、抗攻擊性、完整性、保密性的安全目標。大型跨國企業海外信息安全體系框架的總體結構如圖1所示。
3.2.1安全策略
在這個框架中，安全策略是指導，與安全技術體系、安全組織和管理體系以及運行保障體系這3大體系相互作用。一方面，3大體系是在安全策略的指導下構建的，主要是要將安全策略中制定的各個要素轉化成為可行的技術實現方法和管理、運行保障手段，全面實現安全策略中所制定的目標。另一方面，安全策略本身也有包括草案設計、評審、實施、培訓、部署、監控、強化、重新評佶、修訂等步驟在內的生命周期，需要采用一些技術方法和管理手段進行管理，保證安全策略的及時性和有效性。
按照要保障的資產對象的不同，總體策略劃分為物理安全、網絡安全、系統安全、病毒防治、身份認證、應用授權和訪問控制、數據加密、數據備份和災難恢復、應急響應、教育培訓等若干方面進行闡述。
隨著技術的發展以及系統的升級、調整，安全策略也應該進行重新評估和制定，隨時保持策略與安全目標的一致性。
3.2.2安全技術體系
安全技術體系是整個信息安全體系框架的基礎，包括了安全基礎設施平臺、安全應用系統平臺和安全綜合管理平臺這3個部分，以統一的信息安全基礎設施平臺為支撐，以統一的安全系統應用平臺為輔助，在統一的綜合安全管理平臺管理下的技術保障體系框架。
安全基礎設施平臺是以安全策略為指導，立足于現有的成熟安全技術和安全機制，從物理和通信安全防護、網絡安全防護、主機系統安全防護、應用安全防護等多個層次出發，建立起的一個各個部分相互協同的完整的安全技術防護體系。
應用信息系統通過使用安全基礎設施平臺所提供的各類安全服務，提升自身的安全等級，以更加安全的方式，提供業務服務和內部信息管理服務。安全綜合管理平臺的管理范圍盡可能地涵蓋安全技術體系中涉及的各種安全機制與安全設備，對這些安全機制和安全設備進行統一的管理和控制，負責管理和維護安全策略，配置管理相應的安全機制，確保這些安全技術與設施能夠按照設計的要求協同運作，可靠運行。它在傳統的信息系統應用體系與備類安全技術、安全產品、安全防御措施等安全手段之間搭起橋梁，使得各類安全手段能與現有的信息系統應用體系緊密的結合實現無縫連接，促成信息系統安全與信息系統應用的真正的一體化，使得傳統的信息系統應用體系逐步過渡向安全的信息系統應用體系。
統一的安全管理平臺有助于各種安全管理技術手段的相互補充和有效發揮，也便于從系統整體的角度來進行安全的監控和管理，從而提高安全管理工作的效率，使人為的安全管理活動參與量大幅下降。
3.2.3安全管理體系
安全組織和管理體系是安全技術體系真正有效發揮保護作用的重要保障，安全管理體系的設計立足于總體安全策略，并與安全技術體系相互配合，增強技術防護體系的效率和效果，同時也彌補當前技術無法完全解決的安全缺陷。
技術和管理是相互結合的。一方面，安全防護技術措施需要安全管理措施來加強，另一方面技術也是對管理措施貫徹執行的監督手段。在大型跨國企業海外信息安全體系框架中，安全管理體系的設計充分參考和借鑒了國際信息安全管理標準《BS7799 (IS017799)》的建議。
大型跨國企業海外信息安全管理體系由若干信息安全管理類組成，每項信息安全管理類可分解為多個安全目標和安全控制。每個安全目標都有若干安全控制與其相對應，這些安全控制是為了達成相應安全目標的管理工作和要求。
3.2.4運行保障體系
運行與保障體系由安全技術和安全管理緊密結合的內容所組成，包括了系統可靠性設計、系統數據的備份計劃、安全事件的應急響應計劃、安全審計、災難恢復計劃等，運行和保障體系對于企業網絡和信息系統的可持續性運營提供了重要的保障手段。
3.2.5建設實施規劃
建設實施規劃是在安全管理體系、安全技術體系、運行保障體系設計的基礎上進一步制定的建設步驟和實施方案。在建設實施規劃中突出體現了分步有序實施的原則。
任何信息安全建設都需要人員負責管理和實施，因此，首先應該建立信息安全工作監管組織機構，明確各級管理機構的人員配備，職能和責任。其中信息安全管理機構負責信息安全策略的審核與頒布、統一技術標準和管理規范的制定、指導和監督信息安全建設工作、對信息安全系統進行監控與審計管理。
信息安全體系建設，應該首先從物理環境安全建設入手，確保機房建設按照的統一標準進行建設，并且按照統一的管理規范進行管理。
在接下來的網絡安全建設中，應對計算機網絡的安全域進行劃分，對網絡結構進行調整，以確保內部網絡與外部網絡、業務網絡與辦公網絡邊界清晰；在各安全域的邊界處部署防火墻、網絡入侵檢測等安全產品，形成立體的區域邊界保護機制，對各安全域進行邏輯安全隔離，禁止未授權的網絡訪問；在內部網絡中部署網絡脆弱性分析工具，定期對內部網絡進行檢查，并采取措施及時彌補新發現的安全漏洞。
在進行網絡安全建設的同時，還可以進行系統安全建設，在內部網絡中全面部署網絡病毒查殺系統，有效抑制計算機病毒在內部網絡中傳播，避免對系統和數據造成損害。另外，主機系統管理員還應該按照主機系統管理規范的要求，借助主機脆弱性分析和安全加固工具，定期對主機系統進行檢查，更新安全漏洞補丁的級別，修正不當的系統和服務配置，查看和分析系統審計日志，控制和保證主機系統的良好安全狀態。
應用安全建設包括建立身份認證系統、應用授權和訪問控制系統、數據安全傳輸系統等，對專業業務應用系統和內部信息管理系統提供各種安全服務。
按照統一標準，建立安全審計與分析系統、系統和數據備份計劃、安全事件應急響應計劃、災難恢復計劃等安全保障機制，重在保護業務數據等信息資產，保證內外應用服務的持續可用性。
對所有員工進行基本安全教育，為信息安全系統相關技術人員提供專門的安全理論和安全技能培訓，提高全員的安全意識，打造一支高素質的專業技術和管理隊伍。
4結論
海外信息安全體系是一個全方位的體系，從技術到管理、從網絡到設備再到人。任何一個方面都要考慮周全，只有每一個部分的安全才是整體的安全。
篇13
油服信息技術應用與集中程度的不斷深入提高，信息安全保障體系建設工作已成為信息化建設過程中的重要組成部分。油服具有地域分布廣、業務復雜多樣等特點，在信息安全形勢多變的情況下，獨立分散的安全措施已無法更好地滿足安全防護需求。信息安全若不能得到很好的保障，將給公司的業務正常運作及辦公穩定性、高效性和有效性帶來影響。因此，需完善公司的信息安全政策方針、規劃并建立符合油服實際情況的信息安全保障體系，采用先進的安全管理過程模式，完善信息安全管理制度與規范，提高員工的信息安全意識，提升風險控制及保障水平，以支撐油服核心業務的健康發展。
1 信息安全保障體系
1.1 信息安全保障體系建設需求
油服在信息安全方面已部署了部分信息安全防護措施，如劃分安全域、部署邊界訪問控制設備、配備入侵防御系統、部署統一的防惡意代碼軟件等。與此同時，每年都開展信息系統安全測評工作，對公司的信息系統進行安全等級測評差距分析、安全問題整改咨詢核查以及滲透性測試等，從而能夠較為全面的掌握當前各信息系統和信息安全管理制度的建設、運維和使用情況，以提高信息系統的安全防護能力。但從總體來看，仍缺乏信息安全保障體系框架，總體安全方針和策略不夠明確，安全區域劃分不夠細致，網絡設備和重要服務器的安全策略缺乏統一標準，未部署安全運維管理中心，無法真正起到縱深安全防御的效用。
1.2 信息安全保障體系目標與定位
信息安全保障體系的建設要結合油服的信息安全需求、網絡應用現狀及未來發展趨勢，在風險評估的基礎上，明確與等級保護相適應的安全策略及具體的實施辦法。對全網進行合理的安全域劃分，技術與管理并重的同時，以應用與實效為主導，從網絡、應用系統、組織管理等方面，保障油服信息安全，形成集檢測、響應、恢復、防護為一體的安全保障體系。
2 油服信息安全保障體系架構模型
油服信息安全保障體系框架采用“結構化”的分析和控制方法，縱向把保護對象分成安全計算環境、安全區域邊界和安全通信網絡；橫向把控制體系分成安全管理、安全技術和安全運行的控制體系，同時通過“一個安全管理中心”的安全管理概念和模式，形成一個依托于安全保護對象為基礎，橫向建立安全管理體系、安全技術體系、安全運行體系和安全管理中心“三個體系、一個中心、三重防護”的信息安全保障體系
框架。
2.1 安全管理體系
根據等級保護基本要求的相關內容，信息安全管理體系重點落實安全管理制度、安全管理機構和人員安全管理的相關控制要求。
2.2 安全技術體系
根據等級保護基本要求的相關內容，通過安全技術在物理、網絡、主機、應用和數據各個層面的實施，建立與實際情況相結合的安全技術體系。
2.3 安全運行體系
根據等級保護基本要求的相關內容，信息安全運行體系重點落實系統建設管理和系統運維管理的相關控制要求，并與實際情況相結合，形成符合等級保護要求的信息安全運行體系
框架。
2.4 安全管理中心
根據等級保護基本要求和安全設計技術要求的相關內容，通過“自動、平臺化”的方式，對信息安全管理、技術、運行三個體系的相關控制內容，結合實際情況加以落實。
3 油服信息安全保障體系架構設計
3.1 安全管理體系架構設計
信息安全管理體系架構的設計可從以下3方面開展。
3.1.1 信息安全組織
油服信息安全組織為信息安全管理委員會，各業務部門為信息安全小組，部門經理為本小組的第一安全責任人。同時，定義了組織中各職能角色的職責，以此指導信息安全工作開展。
3.1.2 信息安全制度
油服的信息安全制度一方面能及時反映公司的信息安全風險動態，便于靈活地修訂與更新；另一方面確保信息安全技術與管理人員及用戶能夠了解哪些是禁止做的，哪些是必須做的。
3.1.3 人員安全管理
在人員安全管理方面，可以通過對人員錄用、調用、離崗、考核、培訓教育和第三方人員安全幾個方面進行設計。
3.2 安全技術體系架構設計
信息安全技術體系架構設計可從以下3個方面開展。
3.2.1 信息安全服務架構
信息安全服務架構設計分為保護、檢測、響應與恢復四個環節，實現對信息可用性、完整性和機密性的保護，監測檢查系統存在的安全漏洞，對危害系統安全的事件行為做出響應
處理。
3.2.2 信息技術基礎設施安全架構
信息技術基礎設施安全架構以網絡安全架構為主體，結合系統軟硬件進行安全配置和部署。網絡安全架構的規劃根據網絡所承載的應用系統特性和所面臨的風險劃分不同的網絡安全域，并實施安全防護措施。
3.2.3 應用安全架構
應用系統的信息安全保障是在信息技術基礎設施安全架構上，更多地關注已有的信息安全服務是否被充分利用。為滿足業務系統對信息安全的需求，通過在業務系統中實現集成保障信息安全的機制，從而達到信息安全技術控制要求。
3.3 安全運行體系架構設計
油服信息安全運行體系架構設計主要從以下3個方面開展。
3.3.1 信息系統安全等級劃分
油服信息系統安全等級劃分從信息資產等級、網絡系統等級和應用系統等級三個方面進行定義。
3.3.2 信息安全技術控制
信息安全技術控制是由系統自身自動完成的安全控制。主要在信息系統的網絡層、系統層和應用層，包含身份鑒別、訪問控制、安全審計等五大類通用技術。
3.3.3 信息安全運作控制
信息安全運作控制是在油服業務運作和信息技術運作過程中進行實施的運作類安全控制，包括控制針對的主要風險點及具體分類。
4 結束語
在油服業務不斷拓展，國際化步伐不斷深入的過程中，信息系統在公司發展中的作用和地位日趨重要。公司對信息系統的依賴性也在不斷增長，信息安全也愈發重要。健全油服信息安全保障體系，為實現“制度標準化、工作制度化”的管理常態奠定了堅實的基礎。油服信息安全保障體系不僅從物理網絡安全、系統應用安全、數據和用戶安全等方面入手，還從安全域劃分、安全邊界防護、主動監控、訪問控制和應急響應等方面綜合考慮，進一步加強落實信息安全等級保護的基本要求，初步實現對網絡與應用系統細粒度、全方位的安全管控，從而更為有效地提升了油服在信息安全方面的管理水平。
參考文獻
[1]馬永.淺談企業信息安全保障體系建設[J].計算機安全，2007（7）：72-75.
[2]王朗.一個信息安全保障體系模型的研究和設計[J].北京師范大學學報（自然科學版），2004（2）：58-62.
