网络安全等级保护办法范文
时间：2023-09-19 16:52:07
导语：如何才能写好一篇网络安全等级保护办法，这就需要搜集整理更多的资料和文献，欢迎阅读由公文云整理的十篇范文，供你借鉴。
篇1
信息安全等级保护备案实施细则最新全文第一条 为加强和指导信息安全等级保护备案工作，规范备 案受理、审核和管理等工作，根据《信息安全等级保护管理办法》 制定本实施细则。
第二条 本细则适用于非涉及国家秘密的第二级以上信息系 统的备案。
第三条 地市级以上公安机关公共信息网络安全监察部门受 理本辖区内备案单位的备案。 隶属于省级的备案单位， 其跨地 (市) 联网运行的信息系统，由省级公安机关公共信息网络安全监察部 门受理备案。
第四条 隶属于中央的在京单位，其跨省或者全国统一联网 运行并由主管部门统一定级的信息系统，由公安部公共信息网络 安全监察局受理备案，其他信息系统由北京市公安局公共信息网 络安全监察部门受理备案。 隶属于中央的非在京单位的信息系统，由当地省级公安机关 公共信息网络安全监察部门(或其指定的地市级公安机关公共信 息网络安全监察部门)受理备案。 跨省或者全国统一联网运行并由主管部门统一定级的信息系 统在各地运行、应用的分支系统(包括由上级主管部门定级，在 当地有应用的信息系统) 由所在地地市级以上公安机关公共信息网络安全监察部门受理备案。
第五条 受理备案的公安机关公共信息网络安全监察部门应 该设立专门的备案窗口，配备必要的设备和警力，专门负责受理 备案工作，受理备案地点、时间、联系人和联系方式等应向社会 公布。
第六条 信息系统运营、使用单位或者其主管部门(以下简 称备案单位 ) 应当在信息系统安全保护等级确定后30日内，到公 安机关公共信息网络安全监察部门办理备案手续。办理备案手续 时，应当首先到公安机关指定的网址下载并填写备案表，准备好 备案文件，然后到指定的地点备案。
第七条 备案时应当提交《信息系统安全等级保护备案表》 (以下简称《备案表》 (一式两份)及其电子文档。第二级以上 信息系统备案时需提交《备案表》中的表一、二、三;第三级以 上信息系统还应当在系统整改、 测评完成后30日内提交 《备案表》 表四及其有关材料。
第八条 公安机关公共信息网络安全监察部门收到备案单位 提交的备案材料后，对属于本级公安机关受理范围且备案材料齐 全的，应当向备案单位出具《信息系统安全等级保护备案材料接 收回执》 备案材料不齐全的， 应当当场或者在五日内一次性告知 其补正内容;对不属于本级公安机关受理范围的，应当书面告知 备案单位到有管辖权的公安机关办理。
第九条 接收备案材料后，公安机关公共信息网络安全监察部门应当对下列内容进行审核： (一)备案材料填写是否完整，是否符合要求，其纸质材料 和电子文档是否一致; (二)信息系统所定安全保护等级是否准确。
第十条 经审核，对符合等级保护要求的，公安机关公共信 息网络安全监察部门应当自收到备案材料之日起的十个工作日 内，将加盖本级公安机关印章(或等级保护专用章)的《备案表》 一份反馈备案单位，一份存档;对不符合等级保护要求的，公安 机关公共信息网络安全监察部门应当在十个工作日内通知备案单 位进行整改， 并出具 《信息系统安全等级保护备案审核结果通知》
第十一条 《备案表》中表一、表二、表三内容经审核合格 的，公安机关公共信息网络安全监察部门应当出具《信息系统安 全等级保护备案证明》 (以下简称《备案证明》 《备案证明》由 公安部统一监制。
第十二条 公安机关公共信息网络安全监察部门对定级不 准的备案单位，在通知整改的同时，应当建议备案单位组织专家 进行重新定级评审，并报上级主管部门审批。 备案单位仍然坚持原定等级的，公安机关公共信息网络安全 监察部门可以受理其备案，但应当书面告知其承担由此引发的责 任和后果，经上级公安机关公共信息网络安全监察部门同意后， 同时通报备案单位上级主管部门。
第十三条 4 对拒不备案的，公安机关应当依据《中华人民共和国计算机信息系统安全保护条例》 等其他有关法律、 法规规定， 责令限期整改。逾期仍不备案的，予以警告，并向其上级主管部 门通报。 依照前款规定向中央和国家机关通报的，应当报经公安部公 共信息网络安全监察局同意。
第十四条 受理备案的公安机关公共信息网络安全监察部 门应当及时将备案文件录入到数据库管理系统，并定期逐级上传 《备案表》中表一、表二、表三内容的电子数据。上传时间为每 季度的第一天。 受理备案的公安机关公共信息网络安全监察部门应当建立管 理制度， 对备案材料按照等级进行严格管理， 严格遵守保密制度， 未经批准不得对外提供查询。 第十五条 公安机关公共信息网络安全监察部门受理备案 时不得收取任何费用。
第十六条 本细则所称以上包含本数(级)
第十七条 各省(区、市)公安机关公共信息网络安全监察 部门可以依据本细则制定具体的备案工作规范，并报公安部公共 信息网络安全监察局备案。
篇2
【关键词】等级保护；虚拟专网；VPN
1.引言
随着因特网技术应用的普及，以及政府、企业和各部门及其分支结构网络建设和安全互联互通需求的不断增长，VPN技术为企业提供了一种低成本的组网方式。同时，我国现行的“计算机安全等级保护”也为企业在建设信息系统时提供了安全整体设计思路和标准。如何充分利用VPN技术和相关产品，为企业提供符合安全等级保护要求、性价比高的网络安全总体解决方案，是当前企业信息系统设计中面临的挑战。
2.信息安全管理体系发展轨迹
对于信息安全管理问题，在上世纪90年代初引起世界主要发达国家的注意，并投入大量的资金和人力进行分析和研究。英国分别于1995年和1998年出版BS7799标准的第一部分《信息安全管理实施细则》和第二部分《信息安全管理体系规范》，规定信息安全管理体系与控制要求和实施规则，其目的是作为确定工商业信息系统在大多数情况所需控制范围的唯一参考基准，是一个全面信息安全管理体系评估的基础和正式认证方案的根据。国际标准化组织（ISO）联合国际电工委员会（IEC）分别于2000年和2005年将BS7799标准转换为ISO/IEC 17799《信息安全管理体系 实施细则》和ISO/IEC 27001《信息安全管理体系 要求》，并向全世界推广。中国国家标准化管理委员会（SAC）于1999年了GB/T 17859《计算机信息系统安全保护等级划分准则》标准，把信息安全管理划分为五个等级，分别针对不同组织性质和对社会、国家危害程度大小进行了不同等级的划分，并提出了监管方法。2008年制订并下发了与ISO/IEC 17799和ISO/IEC 27001相对应的GBT 22081-2008《信息安全管理体系 实用规则》和GBT 22080-2008《信息安全管理体系 要求》。
3.信息系统安全的等级
为加快推进信息安全等级保护，规范信息安全等级保护管理，提高信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化建设，国家公安部、保密局、密码管理局和国务院信息化工作办公室等，于2007年联合了《信息安全等级保护管理办法》，就全国机构/企业的信息安全保护问题，进行了行政法规方面的规范，并组织和开展对全国重要信息系统安全等级保护定级工作。同时，制订了《信息系统安全等级保护基本要求》、《信息系统安全等级保护实施指南》、《信息系统安全等级保护测评准则》和《信息系统安全等级保护定级指南》等相应技术规范（国家标准审批稿），来指导国内机构/企业进行信息安全保护。
在《信息系统安全等级保护基本要求》中，要求从网络安全、主机安全、应用安全、数据安全及备份恢复、系统运维管理、安全管理机构等几方面，按照身份鉴别、访问控制、介质管理、密码管理、通信和数据的完整、保密性以及数据备份与恢复等具体要求，对信息流进行不同等级的划分，从而达到有效保护的目的。信息系统的安全保护等级分为五级：第一级为自主保护级，第二级指导保护级，第三级为监督保护级，第四级为强制保护级，第五级为专控保护级。
针对政府、企业常用的三级安全保护设计中，主要是以三级安全的密码技术、系统安全技术及通信网络安全技术为基础的具有三级安全的信息安全机制和服务支持下，实现三级安全计算环境、三级安全通信网络、三级安全区域边界防护和三级安全管理中心的设计。
图1 三级系统安全保护示意图
图2 VPN产品部署示意图
4.VPN技术及其发展趋势
VPN即虚拟专用网，是通过一个公用网络（通常是因特网）建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。通常，VPN是对企业内部网的扩展，通过它可以帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信的安全连接，并保证数据的安全传输。VPN可用于不断增长的移动用户的全球因特网接入，以实现安全连接；可用于实现企业网站之间安全通信的虚拟专用线路，用于经济有效地连接到商业伙伴和用户的安全外联网虚拟专用网。
VPN使用三个方面的技术保证了通信的安全性：隧道协议、身份验证和数据加密。VPN通道的加密方式成为主要的技术要求，目前VPN技术主要包括IPSec VPN，非IPSec VPN（如PPTP，L2TP等），基于WEB的SSL VPN等。
IPSec VPN是基于IPSec协议的VPN产品，由IPSec协议提供隧道安全保障，协议包括AH、ESP、ISAKMP等协议。其通过对数据加密、认证、完整性检查来保证数据传输的可靠性、私有性和保密性。通过采用加密封装技术，对所有网络层上的数据进行加密透明保护。IPSec协议最适合于LAN到LAN之间的虚拟专用网构建。
SSL VPN是基于SSL协议的VPN产品。在企业中心部署SSL VPN设备，无需安装客户端软件，授权用户能够从任何标准的WEB浏览器和互联网安全地连接到企业网络资源。SSL VPN产品最适合于远程单机用户与中心之间的虚拟网构建。
整个VPN通信过程可以简化为以下4个步骤：
（1）客户机向VPN服务器发出连接请求。
（2）VPN服务器响应请求并向客户机发出身份认证的请求，客户机与VPN服务器通过信息的交换确认对方的身份，这种身份确认是双向的。
（3）VPN服务器与客户机在确认身份的前提下开始协商安全隧道以及相应的安全参数，形成安全隧道。
（4）最后VPN服务器将在身份验证过程中产生的客户机和服务器公有密钥将用来对数据进行加密，然后通过VPN隧道技术进行封装、加密、传输到目的内部网络。
目前国外公开的相关VPN产品多数采用软件加密的方式，加解密算法也多使用通用的3DES、RSA加解密算法，不符合国家密码产品管理和应用的要求。《商用密码管理条例》（中华人民共和国国务院第273号令，1999年10月7日）第四章第十四条规定：任何单位或者个人只能使用经国家密码管理机构认可的商用密码产品，不得使用自行研制的或者境外生产的密码产品。国家密码管理局在2009年针对VPN产品下发了《IPSec VPN技术规范》和《SSL VPN技术规范》，明确要求了VPN产品的技术体系和算法要求。
5.VPN技术在等级保护中的应用
在三级防护四大方面的设计要求中，VPN技术可以说是在四大方面的设计要求中都有广泛的应用：
在安全计算环境的设计要求中：首先在实现身份鉴别方面，在用户访问的中心，系统管理员都统一建立的有用户的用户组和用户名，用户会通过VPN的设备登录访问中心的应用系统，当身份得到鉴别通过时才可访问应用系统；其次在数据的完整性保护和保密性保护上都能够防止用户的数据在传输过程中被恶意篡改和盗取。
在安全区域边界的设计要求中：网络边界子系统的边界控制与VPN功能一体化实现，在保证传输安全性的同时提高网络数据包处理效率。
在安全通信网络的设计要求中：网络安全通信的子系统主要是为跨区域边界的通信双方建立安全的通道，通过IPSEC协议建立安全的VPN隧道传输数据。完成整个应用系统中边界或部门服务器边界的安全防护，为内部网络与外部网络的间的信息的安全传输提供加密、身份鉴别及访问控制等安全机制。在客户端和应用服务器进出的总路由前添加网络VPN网关，通过IPSEC协议或者SSL协议建立VPN隧道为进出的数据提供加密传输，实现应用数据的加密通信。
在安全管理中心的设计要求中：系统管理中，VPN技术在主机资源和用户管理能够实现很好的保护，对用户登录、外设接口、网络通信、文件操作及进程服务等方面进行监视机制，确保重要信息安全可控，满足对主机的安全监管需要。
在信息系统安全等级保护设计中VPN产品的部署示意图如图2所示。
篇3
【 关键词 】 中小商业银行；等级保护；信息科技风险管理；信息安全体系框架
1 中小银行等级保护咨询服务的背景
随着信息技术的不断进步与发展，信息系统的安全建设显得尤为重要。2012年6月29日人民银行下发了“银发【2012】163号”文件，为进一步落实《信息安全等级保护管理办法》（公通字〔2007〕 43号文印发），加强对银行业信息安全等级保护工作的指导，结合近年来银行业信息安全等级保护工作开展情况，人民银行给出了银行业金融机构信息系统安全等级保护定级的指导意见，至此，正式的拉开了中小商业银行等级保护建设和整改工作的序幕。
2 等级保护咨询服务的项目目标
国内中小银行在信息安全的发展程度，大部分处于自我认知的阶段，一边忙于业务发展的保障需要，一边又要应对上级监管部门的监督检查，对于安全建设来说，大部分没有纳入到战略的层面来考虑。因此，借助于等级保护咨询服务来建立的这样一套信息安全体系，必须同时满足公安部等级保护基本要求、人民银行等级保护的测评要求和银监会关于IT风险管理的要求。这些目标相辅相承，互为补充。只有将通用的要求、标准、规范落实到自己IT风险管理体系的各方面，建立适合自己业务特点与发展需求的信息安全体系，才能达到有效管理风险、进行IT治理的目的，并最终通过等级测评。
3 等级保护咨询服务的总体思路
中小银行在咨询服务项目需要主动地全面的考量自身情况，综合分析人民银行、银监会和等级保护的要求，在现有的安全工作基础之上，建立统一的信息安全体系，同时满足这些主要的监管要求。这样面临检查时，只要客观反映出当前状态就可以，有效降低临时的材料组织工作。
同时满足三方面监管要求的信息安全体系，这个信息安全体系将以公安部的等级保护《基本要求》、人民银行的《等保测评指南》和银监会《管理指引》为主要依据来搭建起框架，以各专项监管指引为各个领域的具体工作指导，以ISO27000为代表的国内外信息安全标准为补充。
4 等级保护咨询服务的内容
等级保护的咨询服务具体实施过程可参考公安部下发的《信息系统安全等级保护实施指南》，“指南”中将等级保护工作分为了定级备案、规划设计、建设整改和等级测评四大过程。
4.1 系统定级
系统定级阶段需要完成的工作。
1） 等级保护的导入培训：在进行咨询服务之前，需要对银行相关科室信息人员进行等级保护的内容培训。只要讲清楚等保是什么，需要各级人员配合的工作点是什么就可以了。
2） 系统业务安全域划分：这个阶段需要进行信息搜集和资产调研。明确业务系统的范围、边界、功能、以及重要性等。
3） 编写系统定级报告和备案表：定级报告和备案表都是按照公安部等保办公室的通用模版来编写的，内容包含了系统功能描述、网络拓扑、定级的理由和依据等。
4） 召开专家评审会、获得备案证明：召开专家评审会并获得备案证明可视为一个里程碑式的阶段性成果，因为定级和备案是等级保护工作开展的前提，如果级别定错了，或者专家有不同的评审意见，则后续的设计方案、整改方案均无法执行。同时，对于银行信息科技部门的领导而言，服务工作做的怎么样无法量化，但是备案证书是看的见，摸的着的，如果能在评审会现场当场颁发，则意义更加重大。
4.2 规划与设计
规划与设计阶段的主要工作就是进行等级差距分析和风险评估。
1） 技术层面可直接参考人民银行关于金融行业的“测评指南”来完成，可操作性较强。可分物理、网络、主机、应用、数据五个层面进行差距评估，同时对网络流量和网络协议进行简单的分析，通过漏洞扫描设备、配置核查设备、渗透工具等进行风险分析，输出风险评估报告和技术层面的差距评估报告。
2） 管理层面上，等保的管理要求相对薄弱，集中体现在运维管理等方面，如果要达到人民银行和银监会的标准，还有很多需要加强和补充的地方，可以对现有的制度文档进行一个简单的梳理，用最短的时间完成等保的管理制度调研。
4.3 实施与整改
实施与整改阶段需要按照规划阶段的设计方案进行实施，以满足等级保护安全体系的建设要求。
1） 组织体系整改：安全管理组织应形成由主管领导牵头的信息安全领导小组、具体信息安全职能部门负责日常工作的组织模式。可参考已成立的《等保领导小组》设立模式，但应具体到管理员岗位。
2） 管理体系整改：按照等级保护的要求补充或重新制定管理制度，根据咨询方提供的制度模版，银行可根据自身的实际业务需求进行修改，并经内部讨论修订后，下文试运行。
3） 技术体系整改：技术体系整改应从三个层面进行考虑。
制定技术规范：包括windows、AIX、Informix、tuxedo、cisco等主流设备的安全配置规范；可考虑聘请专业安全公司进行咨询服务，制定适合银行长期发展的安全策略和技术安全规范。
安全配置加固：根据已制定的技术规范进行主机、服务器、网络设备、安全设备的全面的安全加固。
安全设备采购：在安全技术体系的具体实现过程中，需要落实安全技术详细设计方案中的具体技术要求，将先进的信息安全技术落实到具体安全产品中，形成合理、有效、可靠的安全防护体系。
4.4 等级测评
根据人民银行的《金融行业信息安全等级保护测评服务安全指引》选择具有资质的第三方测评机构进行等级测评，一般当地公安机关会指定2-3家评估中心进行等级测评，如果银行自行联系省外的测评机构，可能需要事先跟当地省公安厅取得联系，确保该测评机构的测评报告在本省是受到认可的。
实际上做了咨询服务之后，等级测评的工作就变的非常简单，因为咨询方会在规划与设计阶段就会与测评中心取得联系，确保其设计方案和整改实施方案得到专家和测评中心的认可，保障其顺利实施。所以在等级测评的时候，测评师从进场到出具评测报告大概只需一周左右的时间。
5 结束语
关于金融业等级保护的建设工作，是今后两年的一个重点工作，尤其是中小银行可借助合规要求，由信息科技部门立项，向行内申请更多的资源来完善自身的安全体系建设工作。
参考文献
[1] 武冬立.银行业安全防范建设指南.长安出版社，2008-11-1.
[2]李宗怡. 中国银行安全网构建基础研究.经济管理出版社，2006-6-1.
[3] 刘志友.商业银行安全问题研究.中国金融出版社， 2010-3-1.
[4] 曹子建，赵宇峰，容晓峰.网络入侵检测与防火墙联动平台设计[J].信息网络安全，2012，（09）：12-14.
[5] 傅慧.动态包过滤防火墙规则优化研究[J].信息网络安全，2012，（12）：12-14.
篇4
关键词：云安全模型；信息系统；安全等级；检测保护
中图分类号：TP311 文献标识码：A 文章编号：1009-3044（2016）19-0052-02
云计算作为一种易扩展而又具有动态性，且选用高速互联网处理数据信息的过程。伴随当前云计算技术水平的日益提升，与之结伴的云计算安全问题日渐凸显，已然成为各相关部门及厂商所关注的重点内容。在云计算框架内，虚拟化乃是网络环境主要的出现形式，以往开展测评工作所需要运用的网络设备或物理服务器，在当前云计算环境下，存在诸多差异。当将云安全技术退出之后，设别及查杀病毒，已经并不仅仅依靠本地的病毒库，而是利用更为广泛的网络服务体系，分析并处理所出现的各种病毒隐患。
1 云计算信息系统安全特性概述
与计算信息系统相比于传统形式的互联网信息系统，其利用服务端处理所有数据，并将其储存起来，而对于终端用户而言，则利用网络对所需要的而各种信息和服务及时获取，无需基于本地配置下，便可对数据实施储存及处理工作。依据为网络为基础所设置的对应网络安全防护设施，在系统服务端，可将安全审计系统和身份兼备进行统一设置，从而保证诸多系统所可能发生的安全问题，均可及时且有效的解决，但由于不断更新的服务模式，又会带来诸多新的安全问题，比如数据泄露、不安全的服务接口及滥用云计算等。
2 构建管理中心及云安全服务模型
构建云安全服务模型：对于现实当中已经出现的各种云产品而言，在诸如服务模型、资源位置及部署模型等各方面而言，其所展现的模式及形态各不相同，所形成的安全控制范围存在差异，安全风险特征也各不相同。因此，需基于安全控制方面，对云计算模型完成创建，然后描述各属性组合所具有的云服务架构，进行为云服务架至安全架构合理映射给予保证，进而为设备的风险识别及安全控制提供科学依据。
3 基于云安全模型的信息安全等级测评方法
基于云安全信息安全有关保护测评的方法，就是依据云安全中心模型以及云安全服务模型，结合用户在云安全方面所存在的各种需求，首先，促使安全模型始终处于整个安全等级保护体系作用下的各个位置上。对于安全模型而言，其一段与等级保护技术相连接，而另一端则与则与等级保护相应管理要求相连接。
依据云安全信息中心相应建模状况，全面分析云安全模型框架下的支撑安全及核心技术，最终取得企业在云安全领域范围内的信息安全等级测评模型，以模型为参照，开展后续的检测工作。
3.1 基于等级测评云安全模型下控制项
经过上述分析可知，在云安全等级保护模式框架内嵌套云安全模型，进而开展与云安全存在相关性的信息安全等级评价，另外，分析基于安全模型下相关控制项。然后查看授权状况及云认证，并测评是否存在有诸如敏感文件授权、程序授权及登陆认证等状况。最后依据访问控制模型的差异，对访问控制的目标进行选择，即依据实际情况选择为角色型访问、自主性访问或强制性访问，然后运用切合实际的应对方法。为了对网络访问资源提供保障，可对开展分配及控制操作，需建立更为可靠的解决策略及执行办法。当所运用的方式可靠而又统一，才能为安全策略的自动执行提供保障。针对网络数据的加密状况进行测量时，需以静态或动态的方式，保护标准的服务类型及加密功能。针对数据的恢复及备份情况进行探测时，需检查是否是安全的云备份，另外还需查看密码钥匙的管理状况，磁带有无加密以及数据实际销毁状况，而在所开展的各项检查中，重点为供应商所提供的数据备份。还需对是否可控制管理用户的身份进行查看，能否对用户角色具体的访问内容进行管理。另外，对用户的审计日志及安全服务进行查看，即告警管理与维护、主机的维护以及网络设备的监控管理等。控制项分析范围：（1）云认证和授权。云认证与授权重点乃是查看是否有敏感文件授权、程序运行授权、服务认证及登录认证等，（2）云访问控制。依据所建立的相应访问控制模型，以此来对其是否为角色型访问控制、自主访问控制策略及强制访问控制策略予以确定，然后家用对应方法进行分析。（3）云安全边界与隔离。知晓系统实施安全隔离的具体机制，安全区域的划分方法以及硬件安全的相关技术支持等。（4）云安全存储。可将所有数据储存成加密格式，而对于用户而言，需分离出数据。（5）恶意代码防范。首先需了解恶意代码是否存在，并采取与之对应的防范举措。（6）云安全管理。需对全面软件资产、网络及物理/虚拟硬件进行管理，管理当中相应测评要求需一致于等级保护管理要求。（7）网络安全传输。需对网络安全传输选用加密方式与否予以了解。（8）网络配置及安全策略。如若想要获取更为有效的访问控制及资源，需对安全策略采取一种更为可靠且统一的方式执行。解决及定义。利用此种方式促进安全策略自动执行的实现。
3.2 等级测评云安全模型风险性分析
按照有关等级保护的具体要求，采用风险分析的相关方法，在分析信息系统过程中，需对如下内容给予重视。（1）访问控制、授权及云身份认证。对于云安全而言，其不仅对于访问控制及授权具有十分重要的作用，对于用户身份的认证同样重要，但其实际效果的发挥，需将现实实施状况作为依据。（2）设置云安全边界。针对基于云安全内部的具体的网络设备而言，其需要利用诸如防火墙的措施，实施更为有效的安全防护举措，但对于外部的云用户而言，其则需采用虚拟技术，此技术自身便存在有安全风险，因此，必须对其实施有效而全面的安全隔离举措。（3）数据信息备份及云安全储存。通常情况下，云供应商所运用的数据备份方式，乃是最为有效且更具安全性的保护模式，尽管供应商在实施数据备份方面已经十分安全，但通常情况下依然会发生相关数据的丢失，因此，在条件允许的情况下，公司需选用云技术，对全部数据予以共享，并对其进行备份，或在还会发生数据彻底丢失的情况下，启动诉讼程序，进而从中获取有效的赔偿。在云计算过程中，通常发生由于数据的交互放大，而造成数据出现泄漏或丢失状况，如若出现安全时间，且用户数据出现丢失状况，此时，系统需将安全时间及时、快速的上报于用户，避免更大范围的数据丢失（4）账户与服务劫持。攻击者从云服务用户中获取账号，造成云服务客户端产生相应安全风险。（5）不安全的API及接口。第三方插件存在安全风险，或较差的接口质量。（6）安全事件通报。如若发生安全事件，导致用户数据出现安全风险，整个系统就会将数学信息及时上报，防止出现较大程度的损失。
4 结语
伴随当今云计算技术的日益发展和完善，云计算信息系统今后必然成为整个信息化建设的重要构成。本文基于云安全等级保护检测，对云计算信息系统所具有的安全特性进行简要分析，并探讨了云安全服务模型及构建管理中心，以此为依据提出切合实际需要的云安全模型的信息安全等级检测方法。
参考文献：
[1] 成瑾， 刘佳， 方禄忠. 面向电信运营商云计算平台的安全检测评估服务体系研究[J]. Computer Science＼s&＼sapplication， 2015， 05（4）：83-91.
篇5
【关键词】大数据 企业网络 信息安全
1 大数据下的网络安全现状
网络企业普遍将大数据定义为数据量与数据类型复杂到在合理时间内无法通过当前的主流数据库管理软件生成、获取、传输、存储、处理，管理、分析挖掘、应用决策以及销毁等的大型数据集。大数据具有4V特征，即数据量大、数据类型多、数据价值密度低、数据处理速度快。在大数据计算和分析过程中，安全是不容忽视的。大数据的固有特征对现有的安全标准、安全体系架构、安全机制等都提出了新的挑战。面向大数据的高效隐私保护方法方面，高效、轻量级的数据加密已有多年研究，虽然可用于大数据加密，但加密后数据不具可用性。保留数据可用性的非密码学的隐私保护方法因而得到了广泛的研究和应用。这些方法包括数据随机化、k-匿名化、差分隐私等。这些方法在探究隐私泄漏的风险、提高隐私保护的可信度方面还有待深入，也不能适应大数据的海量性、异构性和时效性。
2 企业网络信息安全的主要问题
在开放的互联网环境中，企业网络信息安全问题日益突显，成为影响互联网快速发展的重要因子。从实际来看，造成企业网络信息安全问题的因素多元化，计算机系统漏洞、病毒入侵、黑客进攻是造成目前网络信息安全主要原因。特别是病毒入侵、黑客进攻的频繁，对整个互联网的发展形成了较大影响。
2.1 计算机系统漏洞
计算机系统漏洞的存在，是造成计算机网络信息安全的重要原因。在日常的系统运行中，360等安全工具都会对系统进行不定期的漏洞修复，以确保系统运行的安全稳定。因此，计算机系统漏洞的存在，一方面造成了计算机运行中的不稳定性，易于受到外界的恶意攻击，进而造成网络终端用户的信息安全；另一方面，系统漏洞的存在，为黑客等的攻击，提供了更多的途径和选择，特别是系统和软件编写中存在的漏洞，给不法分子的恶意攻击提供了可能，进而造成计算机系统信息数据被盗，给计算机用户的信息安全带来极大的安全隐患。
2.2 计算机病毒攻击
计算机病毒是当前计算机安全问题的“始作俑者”，对计算机网络信息安全带来极大的破坏性。计算机病毒具有隐蔽性强、可扩散等特点，决定了其在计算机安全中的巨大破坏性。首先，计算机病毒入侵的过程中，会造成计算机出现运行不稳定、系统异常等情况，数据丢失、硬盘内存不足等问题的出现，都会影响计算机的安全运行；其次，病毒一旦入侵计算机，其自动传播、自动复制的特性，如木马、蠕虫等计算机病毒，可以让其在计算机系统中形成大规模的自动传播，进而对计算机系统内的数据信息进行破坏及窃取。
2.3 黑客攻击频繁
在开放的互联网平台，日益活跃的黑客成为企业网络信息安全的重要影响因子。黑客通过入侵计算机系统，进而对计算机网络的正常运行形成破坏，甚至将整个计算机网络瘫痪，造成巨大的安全影响。近年来，随着互联网技术的不断发展，黑客攻击日益频繁，且攻击手段多样化，这给计算机网络安全带来较大威胁。一方面，网络安全监管存在漏洞，良好的网络环境有待进一步净化；另一方面，安全工具在技术升级等方面，存在一定的滞后性，在应对黑客进攻的过程中，表现出较大的被动性，以至于计算机网络运行故障问题的频发。
3 企业网络信息安全防护办法
完整的企业网络信息安全防护体系应包括以下几方面，如图1所示。
3.1 企业系统终端安全防护
对企业计算机终端进行分类，依照国家信息安全等级保护的要求实行分等级管理，根据确定的等级要求采取相应的安全防护。企业拥有多种类型终端设备，对于不同终端，根据具体终端的类型、通信方式以及应用环境等选择适宜的保障策略。确保移动终端的接入安全，移动作业类终端严格执行企业制定的办公终端严禁“内外网机混用”原则，移动终端接入内网需采用软硬件相结合的加密方式接入。
3.2 企业网络边界安全防护
企业网络具有分区分层的特点，通过边界防护确保信息资产不受外部的攻击，防止恶意的内部人员跨越边界对外实施攻击或对内进行超越权限的访问和攻击，在不同区的网络边界加强安全防护策略，或外部人员通过开放接口、隐蔽通道进入内部网络。在管理信息内部，审核不同业务安全等级与网络密级，在网络边界进行相应的隔离保护。按照业务网络的安全等级、业务连续性需求以及用途等评价指标，采用防火墙隔离技术、协议隔离技术、物理隔离技术等对关键核心业务网络进行安全隔离，实现内部网与外部网访问资源的有效控制。
篇6
【关键词】信息系统 身份鉴别 漏洞扫描 信息安全管理体系（ISMS）
近年来，“Locky勒索软件变种”、““水牢漏洞””、“支付宝实名认证信息漏洞”、“京东12G用户数据泄露”、“700元买他人隐私信息”等信息安全事件层出不穷，引起各国领导的重视和社会关注。为提高网络安全和互联网治理，2014年，我国成立了以主席为最高领导的信息安全管理机构-中央网信办；2016年11月，在中国乌镇举行了《第三届世界互联网大会》。通过一系列的行为，为求现有的网络系统能够提高安全能力，为广大社会群众提供服务的同时，能够保证人民的利益。
信息系统是由硬件、软件、信息、规章制度等组成，主要以处理信息流为主，信息系统的网络安全备受关注。企业在应对外部攻击，安全风险的同时，当务之急是建立一套完整的信息安全管理体系。在统一的体系管控下，分布实施，开展各项安全工作。
目前，大多数企业的信息安全工作比较单一，主要是部署安全防护设备，进行简单的配置。信息安全工作不全面，安全管理相对薄弱，不足以抵抗来自外部的威胁。
1 信息安全问题
1.1 身份鉴别不严格
考虑到方便记忆和频繁的登录操作，企业普遍存在管理员账号简单或者直接采用系统的默认账号现象，并且基本不设定管理员的权限，默认使用最大权限。一旦攻击者通过猜测或其他手段获得管理员账号，攻击者如入无人之境，可以任意妄为。最终可造成数据泄露，系统瘫痪等不可估量的严重后果。注重信息安全的企业会修改默认管理员账号，设定较为复杂的口令，并定期进行口令更换。但是也仅仅使用一种身份鉴别技术，不足以抵抗外部攻击。
1.2 外部攻击，层出不穷
随着计算机技术的发展，信息系统的外部攻簦层出不穷。攻击者利用网络系统的漏洞和缺陷，攻击系统软件、硬件和数据，进行非法操作，造成系统瘫痪或者数据丢失。 目前主要存在的攻击手段包括扫描技术、邮件
攻击、拒绝服务攻击、口令攻击、恶意程序等等；入侵常用的步骤包括采用漏洞扫描工具进行扫描、选择合适的方式入侵、获取系统的一定权限、提升为系统最高权限、安装系统后门、获取敏感信息或者其他攻击目的。攻击者会根据系统特性和网络结构采取不同的手段对网络进行攻击，如果不采取相应的防御手段，很容易被黑客攻击，造成损失。
1.3 员工安全意识薄弱
很多互联网企业的员工缺乏信息安全意识，存在离开办公电脑时不锁屏现象；将重要客户信息、合同等敏感材料放在办公桌上或者不及时取走打印机房内的材料；优盘未经杀毒直接连接公司电脑；随意点击不明邮件的链接；更有员工将系统账号、密码粘贴在办公桌上；在系统建设阶段，大到管理者，小到开发人员、测试人员，均注重技术实现和业务要求，而忽略了系统的安全和管理。由于员工的信息安全意识较为薄弱，很容易造成公司信息泄露，进而导致公司的损失。
1.4 内部管理制度不完善
俗话说，“不以规矩，不能成方圆”。未形成全面的信息安全管理制度体系，缺失部分安全策略、管理制度、操作规程，可能导致信息安全管理制度体系存在疏漏，部分管理内容无法有效实施。使相关工作过程缺乏规范依据和质量保障，进而影响到信息系统的安全建设和安全运维。比如在软件开发过程中，开发人员会因为各种原因而忽略安全开发（存在开发人员没有意识到代码安全开发的问题；有些开发人员不愿意使用边界检查，怕影响系统的效率和性能；当然也存在许多遗留代码存在问题的现象，从而导致二次开发同样产生问题），可能导致系统存在后门，被黑客攻击。
2 防范措施
企业需依据《信息安全等级保护管理办法（公通字[2007]43号）》、《中华人民共和国网络安全法》》、《ISO/IEC 27001》等标准和法律法规进行信息系统安全建设工作。测评机构在网安的要求下，对企业信息系统的安全进行测评，并出具相应测评结果。根据测评结果和整改建议，采用相应的技术手段（安全认证、入侵检测、漏洞扫描、监控管理、数据备份与加密等）和管理措施（安全团队、教育与培训、管理体系等）对信息系统进行整改。如图1所示。
2.1 技术手段
2.1.1 安全认证
身份鉴别是指在计算机系统中确认执行者身份的过程，以确定该用户是否具有访问某种资源的权限，防止非法用户访问系统资源，保障合法用户访问授权的信息系统。凡登录系统的用户，均需进行身份鉴别和标识，且标识需具有唯一性。用户身份鉴别机制一般分为用户知道的信息、用户持有的信息、用户生物特征信息三种。针对不同鉴别机制，常用的鉴别技术（认证技术）如表1所示。
不同的认证技术，在安全性、便捷性方面存在不同的特性。比如USB-Key的安全等级较高，但会遇到各种问题，导致便捷性较差（比如存在软硬件适配性问题，移动终端无USB口等）。一般认为在相同的便捷性前提下，选择安全等级较高的认证技术。针对重要系统应采用双因子认证技术。
2.1.2 入侵检测
入侵检测能够依据安全策略，对网络和系统进行监视，发现各种攻击行为，能够实时保护内部攻击、外部攻击和误操作的情况，保证信息系统网络资源的安全。入侵检测系统（IDS）是一个旁路监听设备，需要部署在网络内部。如果信息系统中包含了多个逻辑隔离的子网，则需要在整个信息系统中实施分布部署，从而掌控整个信息系统安全状况。
2.1.3 漏洞扫描
漏洞扫描是指基于漏洞数据库，通过扫描等手段对目标系统的安全脆弱性进行检测，发现可利用的漏洞的一种安全检测行为。常见的漏洞扫描类型主要包括系统安全隐患扫描、应用安全隐患扫描、数据库安全配置隐患扫描等。系统安全隐患扫描根据扫描方式的不同，分为基于网络的和基于主机的系统安全扫描，可以发现系统存在的安全漏洞、安全配置隐患、弱口令、服务和端口等。应用安全隐患扫描可以扫描出Web应用中的SQL注入、Cookie注入、XPath注入、LDAP注入、跨站脚本、第三方软件等大部分漏洞。数据库安全配置隐患扫描可以检测出数据库的DBMS漏洞、缺省配置、权限提升漏洞、缓冲区溢出、补丁未升级等自身漏洞。
漏洞扫描主要用于评估主机操作系统、网络和安全设备操作系统、数据库以及应用平台软件的安全情况，它能有效避免黑客攻击行为，做到防患于未然。
2.1.4 监控管理
网络监控主要包括上网监控和内网监控两部分。目前市场上已做的完整监控软件已包含上述功能。网络监控需结合网络拓扑，在网络关键点接入监控工具监测当前网络数据流量，分析可疑信息流，通过截包解码分析的方式验证系统数据传输的安全。例如Solarwinds网络监控平台，它包括Network Performance Monitoring、Network Traffic Analysis、WAN Performance （IP SLA） 、IP Address Management、Network Configuration Management、Application Performance Monitoring等。可以执行全面的带宽性能监控和故障管理；可以分析网络流量；可以对服务器上运行的服务和进程进行自动监控，并在故障发生时及时告警；可对VOIP的相关参数进行监控；可以通过直观的网络控制台管理整个IP架构；可快速检测、诊断及解决虚拟化环境的网络性能；强大的应用程序监视、告警、报告功能等。
2.1.5 数据备份与加密
企业高度重视业务信息、系统数据和软件系统。数据在存储时应加密存储，防止黑客攻击系统，轻易获得敏感数据，造成公司的重大经济损失。常用的加密算法包括对称加密（DES、AES）和不对称加密算法（RSA）。密码技术不仅可以防止信息泄露，同时可以保证信息的完整性和不可抵赖性。例如现在比较成熟的哈希算法、数字签名、数字证书等。
除了对数据进行加密存储外，由于存在数据丢失、系统断电、机房着火等意外，需对系统数据进行备份。按照备份环境，备份分为本地备份和异地备份；按照备份数据量的多少，备份分为全备、增备、差分备份和按需备份。各企业需根据自己的业务要求和实际情况，选取合适的备份方式进行备份。理想的备份是综合了软件数据备份和硬件冗余设计。
2.2 管理措施
2.2.1 安全团队
企业应设立能够统一指挥、协调有序、组织有力的专业的安全管理团队负责信息安全工作，该团队包括信息安全委员会，信息安全部门及其成员。安全部门负责人除了具备极强的业务处理能力，还需要有管理能力、沟通能力、应变能力。目前安全团队的从业人员数量在逐渐增加，话语权在增多，肩上的担子也越来越大。安全团队需要定好自己的位，多检查少运维，多帮企业解决问题。即安全团队修路，各部门在上面跑自己的需求。
2.2.2 教育c培训
保护企业信息安全，未雨绸缪比亡羊补牢要强。培养企业信息安全意识文化，树立员工信息安全责任心，是解决企业信息安全的关键手段之一。企业的竞争实际上是人才的竞争，除了定期进行技能培训外，还需对员工的安全意识进行教育和培训。信息安全团队应制定信息安全意识教育和培训计划，包括但不限于在线、邮件、海报（标语）、视频、专场、外培等形式。通过对员工的安全意识教育，能从内部预防企业安全事件的发生，提高企业的安全保障能力。
2.2.3 管理体系
随着计算机攻击技术的不断提高，攻击事件越来越多，且存在部分攻击来自公司组织内部。单靠个人的力量已无法保障信息系统的安全。因此，企业需建立自上而下的信息安全管理体系（ISMS， Information Security Management System），以达到分工明确，职责清晰，安全开发，可靠运维。安全管理制度作为安全管理体系的纲领性文件，在信息系统的整个生命周期中起着至关重要的作用。不同机构在建立与完善信息安全管理体系时，可根据自身情况，采取不同的方法，一般经过PDCA四个基本阶段（Plan：策划与准备；Do文件的编制；Check运行；Action审核、评审和持续改进）。可依据ISO27000，信息安全等级保护等，从制度、安全机构、人员、系统建设和系统运维5个方面去制定信息安全管理体系。通常，信息安全管理体系主要由总体方针和政策、安全管理制度、日常操作规程和记录文档组成，如图2所示。
3 结语
国家不断加强对各个互联网企业、金融、银行等的信息安全工作监督，通过ISO27000、信息安全等级保护测评、电子银行评估、互联网网站专项安全测评等方式，规范企业的信息安全建设工作。同样，信息安全工作长期面临挑战，不能一蹴而就，需要相关安全工作人员戮力同心、同舟共济、相互扶持、携手共建信息安全的共同体。
参考文献
[1]沈昌祥，张焕国，冯登国等.信息安全综述[J].中国科学杂志社，2007（37）：129-150.
[2]李嘉，蔡立志，张春柳等.信息系统安全等级保护测评实践[M].哈尔滨工程大学出版社，2016（01）.
[3]蒋欣.计算机网络战防御技术分析[J].指挥控制与仿真，2006（08），28-4.
作者简介
康玉婷（1988-），女，上海市人。硕士学位。现为信息安全等级测评师、初级工程师。主要研究方向为信息安全。
作者单位
篇7
关键词：信息安全；信息安全管理
中图分类号：TP393文献标识码：A文章编号：1009-3044(2012)15-3491-03
计算机、网络已经逐渐成为我们工作生活中必不可少的一部分了，企业办公自动化已经成为普遍现象。但是我们在享受信息化带来诸多便利的同时，也要看到信息化给企业带来的诸多不便。2011年上半年，花期银行由于遭受黑客攻击，二十多万客户资料信息外泄，为银行和客户带来巨大的损失，同期国际著名的安全解决方案提供商RSA遭受黑客的恶意攻击，对其超过五百家客户造成潜在风险，给该企业带来高达数百万的损失。信息安全是企业整体安全的重要方面，一旦企业重要的信息外泄，会给企业带来巨大的风险，甚至有可能将企业带入破产的境地。
1企业信息系统安全的发展
随着信息技术的产生，信息系统安全的保护也随之而来，并且随着信息技术的不断更新换代，信息系统安全保护的战略也不断发展，接下来我们可以简要地分析一下信息安全系统的发展历程。
信息系统安全的第一步是保障信息的安全，当时各个电子业务系统较为独立，互联网还不太流行，这时主要技术是对信息进行加密，普遍运用风险分析法来对系统可能出现的漏洞进行分析，合理地填补漏洞，消除威胁，这是一种基于传统安全理念指导下的系统安全保护。
随着互联网技术的深入，信息系统安全开始逐步向业务安全转化，开始从信息产业的角度出发来考虑安全状况，此时的互联网已经成为工作生活的一个组成部分。这时候我们需要保护的不再仅仅是相关信息了，我们需要对整个业务流程进行保护，分析其可能出现的问题。本阶段的安全防护理念关注整个业务流程的周期，对流程的每一个节点进行综合考虑。信息保护在此时只是整个系统安全的一部分，是作为最为基础的防护技术，除此之外，还强调对整个流程的监控，防止某个节点可能出现的不安全因素，一旦出现任何风吹草动的现象我们可以立即予以控制。此外，审计技术在这个时候也被引入，通过对技术操作的跟踪，可以对攻击发起者进行责任追究，对攻击者起到一种震慑的效果。
到目前为止，业务系统的独立性和边界已经逐步弱化，系统间的融合更为常见。以矿业企业为例，在大型集团中，往往存在财务系统、生产系统、销售系统、统计分析系统等，这些系统之间需要相互勾稽，系统与系统之间需要互相取数，因此大量的系统集中到了一个业务平台中，由该平台来提供整体服务。这样的话，我们对于信息系统安全的需求也从单系统向多系统转换，我们在关心单个系统安全的同时，还要对其系统平台服务给予更多的关注。这样的话，企业信息安全也开始由业务流程向服务转换。
2企业信息安全存在的问题分析
信息安全问题我们可以将其进行进一步细分为物理、技术以及人为等三类因素。
首先来看物理方面，物理安全主要指的是机器设备以及网络线路出现的问题。一般企业在进行信息设备设置时最先考虑的因素是人员安全，即在保证信息设备不会对企业员工人身安全造成威胁的前提下再进行设备本身考虑。信息设备一般属于电气设备，容易受到打雷、水电等灾害的影响。如果服务器主机受到严重破坏，有可能导致企业整个信息系统崩溃。相对于其他电气设备而言，信息设备耐压数值比较小，企业需要其持续不断地运行，并且磁场的干扰对网络影响比较明显，这些都对信息设备的物理安全提出了要求，需要防止可能出现的问题。
其次是技术方面，对于大量企业而言，可以分为内部网络和外部网络，内部网络相对安全性较高。对于绝大多数企业而言，局域网都会通过一定途径与外部网相连接。这样内部网路安全性就受到内部网络设备与外部网络进行的沟通的威胁。同时，操作系统的安全以及应用程序的安全都是技术上所面临的困扰。
在操作系统方面，我们的选择比较狭窄，大多数企业只能选择微软操作系统，每个系统都存在一定的漏洞，都会造成信息的外泄。其实操作系统同样是软件，微软为系统安全会不定期推出安全更新与漏洞补丁，虽然我们可以通过系统的Windows Update或其他辅助软件来给系统修修补补，但这还不是100%的安全保证。随着微软在安全技术上的逐渐改进，系统漏洞出现的次数越来越少，现在很多黑客开始把注意力转移到常用的第三方软件上来，也就是要利用这些软件的漏洞来进行攻击。相对于操作系统而言，应用软件方面我们选择性比较大，但目前流行的各种病毒、木马都会给我们企业的信息安全带来极大的影响。
尤其是现在大部分企业都建立有自己的官方网站，保存着企业的重要数据和客户资料等，而如果网站存在一个通用漏洞，就会被恶意的黑客攻击，甚至黑客还会进行木马的上传来得到WebShell，添加隐藏超级账号，使用远程桌面连接等操作，从而导致网络沦落为黑客手中的“肉鸡”。因此，如果使用网站模板代码，必须要时刻关注该网站模板是否有最新的漏洞被曝光，及时到官网上下载并打上相关的漏洞补丁程序。另外，网管务必要有经常查看网站登录日志的习惯，检查后台登录的IP是否有异地的可疑信息，或者是否被添加了异常的管理账号等等，永远绷紧安全这根弦。
对局域网进行妥善管理，让网络运行始终安全、稳定，一直是所有网络管理员的主要职责。为了保证局域网的安全性，不少网络管理员开动脑筋，并且不惜花费重金，“请”来了各式各样的专业安全工具，来为局域网进行保驾护航。然而在实际工作过程中，如果没有现成的专业安全防范工具，也可以利用客户端系统自带的安全功能，保护自己的上网安全。
最后是人员方面，人员是企业信息外泄的重要途径，其中我们可以将其分为两大类，一类是内部人员的泄密。这往往体现在员工将企业核心机密通过硬盘等设备将其带出公司信息设备，并且造成遗失等现象，最终导致公司机密为外界所获取，信息安全受到严重威胁。另一部分是黑客攻击，这类攻击对公司造成的损失非常大。该行为的目标就是获取相应的信息。随着黑客技术的发展，传统的防火墙甚至物理网闸断开都难以完全避免黑客的攻击。目前企业繁多的保护程序对黑客的防护效果不佳，反倒给用户带来了诸多不便。
3企业信息安全改进建议
3.1物理安全防护
网络结构设计直接影响到企业的信息安全，局域网的网络拓扑设计也成了信息防护的关键所在，一般情况下，企业的网络拓扑结构图如下：
图1内部网拓扑结构图
在整个流程中，核心交换机是关键，首先它必须满足国家相关的规定标准，可以承载相应的功能。机房设计要考虑到防盗、防火等，必须实行24小时监控。硬件防火墙是我们进行信息保护的一个重要措施，性能比软件防火墙更为强大，这也决定了硬件防火墙的价格相对而言更为昂贵。硬件加密卡也是我们目前使用范围比较广泛的一个技术措施，它独立于计算机系统，一般难以通过常用的软件模拟方式来对其进行攻击，因此独立性能更高。通过合理配置计算机硬件保护器，我们可以将信息保护的基础工作做得更加有效，能够为控制技术风险和人为风险提供良好的基础。
3.2技术安全
相对而言，技术安全是比较难以处理的，信息技术的发展非常迅速，我们难以面对层出不穷的网络技术攻击做出完全有效的防御，需要及时改变技术防御措施。
3.2.1数字签名和加密技术
在网络中，我们可以不断发展传统的数字签名和加密技术，防止黑客的多种入侵。
我们可以以数字签名为例，通过设定数字签名，用户在进行各种操作时会打上自身的印记，可以防止除授权者以外的修改，能够极大地提高整体的安全系数，抵御黑客的攻击。在这个程序中，我们需要予以关注的是数字证书的获取，一般有以下三个途径：a使用相关软件创建自身的数字证书；b从商业认证授权机构获取；c从内部专门负责认证安全管理机构获取。
3.2.2入侵防护系统（IPS）
传统的防火墙旨在拒绝那些明显可疑的网络流量，但仍然允许某些流量通过，因此防火墙对于很多入侵攻击仍然无计可施。绝大多数IDS系统都是被动的，而入侵防护系统(IPS)则倾向于提供主动防护，其设计宗旨是预先对入侵活动和攻击性网络流量进行拦截，避免其造成损失，而不是简单地在恶意流量传送时或传送后才发出警报。IPS是通过直接嵌入到网络流量中实现这一功能的，即通过一个网络端口接收来自外部系统的流量，经过检查确认其中不包含异常活动或可疑内容后，再通过另外一个端口将它传送到内部系统中。这样一来，有问题的数据包，以及所有来自同一数据流的后续数据包，都能在IPS设备中被清除掉。
3.2.3统一威胁管理（UTM）
美国著名的IDC对统一威胁管理(UTM)安全设备的定义的是由硬件、软件和网络技术组成的具有专门用途的设备，它主要提供一项或多项安全功能。它将多种安全特性集成于一个硬设备里，构成一个标准的统一管理平台。UTM设备应该具备的基本功能包括网络防火墙、网络入侵检测/防御和网关防病毒功能。这几项功能并不一定要同时都得到使用，不过它们应该是UTM设备自身固有的功能。
UTM安全设备也可能包括其它特性，例如安全管理、日志、策略管理、服务质量(QoS)、负载均衡、高可用性(HA)和报告带宽管理等。不过，其它特性通常都是为主要的安全功能服务的。
3信息安全管理
这主要是针对人员管理而设定的，是企业内部管理流程的一个重要方面，这是企业内部管控制度的一个重要组成方面。
每个企业都要有明确的硬件设备管理制度，专人负责保管，监督审查，确保硬件使用的合理和安全性。其次要对操作人员进行足够的培训，要求每一个使用人员都了解应当进行的合理操作，明白可能存在的网络安全隐患。第三要对数据保管有明确的责任和制度，防止大量数据的丢失，导致公司整体系统瘫痪。
为了进一步加强和规范计算机信息系统安全，公安部、国家保密局、国家密码管理局、国务院信息化工作办公室于2007年6月和7月联合颁布了《信息安全等级保护管理办法》和《关于开展全国重要信息系统安全等级保护定级工作的通知》，并召开了全国重要信息系统安全等级保护定级工作部署专题电视电话会议，标志着我国信息安全等级保护制度历经十多年的探索正式开始实施。
建立计算机信息系统安全等级保护制度，是我国计算机信息系统安全保护工作中的一件大事，它直接关系到各行各业的计算机信息系统建设和管理，是一项复杂的社会化的系统工程，需要社会各界的共同参与。大中型企业应该认真学习《信息安全等级保护管理办法》及相关技术标准规范，大力开展培训工作，落实好信息网络安全管理、安全技术、信息安全等岗位人员的继续教育培训，不断提高信息安全等级保护的能力与水平。
4结束语
在我们进行企业信息安全管理过程中，企业及企业员工是否对信息安全工作有足够的认识十分重要，企业领导和上层应该对企业信息安全工作给予必要的关注，企业信息安全不能仅仅依靠专业的IT技术人员，它需要我们全体企业员工的共同努力。
参考文献：
[1]孙博.企业信息安全及相关技术概述[J].科技创新导报,2009(04).
[2]徐国芹.浅议如何建立企业信息安全体系架构[J].中国高新技术企业,2009(5).
[3]王东.“北京移动案”暴露信息安全管理软肋[J].中国新通信,2006(6).
[4]吴辉.浅谈企业信息安全管理方案[J].科技情报开发与经济,2010(25).
[5]徐新件,朱健华.关于企业网络信息安全管理问题研究[J].供电企业管理,2008(2).
[6]汪红梅.我国信息安全保障体系存在的问题及对策刍议[J].信息网络安全,2008(2).
[7]盛玉.档案信息安全与安全保障体系内容的关系分析[J].网络财富,2009(12).
篇8
关键词:税务系统;信息安全;安全策略
中图分类号:TP393文献标识码:A文章编号:1009-3044(2009)36-10406-02
On the Information Security Policy and Management of Tax Information Management System
HUANG Jian-qun
(Xi'an Shiyou University, Xi'an 710065, China)
Abstract: In this paper, first, points out that information on the importance of the tax system through the presentation of tax information management systems, Concludes with the tax information security and management solutions, The program in improving safety and reliability of tax information has some referential significance.
Key words: tax systems; information security; security policy
税收是国家财政收入的重要途径,相关的税务系业务要求其具有准确性、公证性和完整性的特点,因此保证税务信息系统的安全性意义重大。税务系统作为电子政务系统的一部分,属国家基础信息建设,其基本特点是:网络地域广、信息系统服务对象复杂;税务信息具有数据集中、安全性要求高;应用系统的种类较多,网络系统安全设备数量大,种类多,管理难度大。
税务系统是一个及其庞大复杂的系统,从业务上有国税、地税之分,从地域来说又有国家级、省级、地市级、区县四级。网络结点众多、网络设备和网络出口不计其数、操作系统种类繁多、应用系统五花八门、网络机构极其复杂。面对如此复杂的系统,其内部安全隐患随处可见,经过不断的研究和探索,目前已经积累了大量解决税务系统信息基础设施安全的方法和经验,形成一整套税务系统的安全保障方法,相关安全保障的体系也在不断完善和发展中。
1 网络信息安全在税务系统中的重要性
计算机软硬件技术的发展和互联网技术的普及,为电子税务的发展奠定了基础。尤其是国家金税工程的建设和应用,使税务部门在遏止骗税和税款流失上取得了显著成效。电子税务可以最大限度地确保国家的税收收入,但却面临着系统安全性的难题。
虽然我国税务信息化建设自开始金税工程以来,取得了长足进步,极大提高了税务工作效率和质量。但税务系统本身也暴露出了一系列要改进的问题,各种应用软件自成体系、重复开发、信息集中程度低。随着信息化水平的不断提高,基于信息网络及计算机的犯罪事件也日益增加。税务系统所面临的信息网络安全威胁不容忽视。建立税务管理信息化网络安全体系,要求人们必须提高对网络安全重要性的认识,增强防范意识,加强网络安全管理,采取先进有效的技术防范措施。
2 税务系统安全建设
如何保证信息在传递过程中的安全性对税务系统来说至关重要,任何网络设备或者解决方案的漏洞都会对税务系统造成很大影响。如何成功处理信息安全问题,使国家税务系统在充分利用信息技术的同时,保障系统的安全,对税务系统建设具有极大意义。信息安全的建设涉及到信息赖以存在和传递的一切设施和环境。构筑这个体系的目的是保证信息的安全,不仅需要信息技术的努力与突破,还需要相关政策、法律、管理等方面提供的有力保障,同时也需要提高操作信息系统的工作人员的安全意识。
2.1 税务系统安全防护体系
税务系统安全防护体系保证了系统在生命期内处于动态的安全状态,确保系统功能正确,不受系统规模变化的影响,性能满意,具有良好的互操作性和强有力的生存能力等。
税务信息系统安全模型提供了必要的安全服务和措施,增加了动态特性,强调了各因素之间关系的重要性。该模型是一种实时的、动态的安全理论模型,是实施信息安全保障的基础。在模型基础上建立安全体系架构随着环境和时间改变,框架和技术将会主动实时动态的调整,从而确保税务系统的信息安全。
2.2 税务系统风险评估
税务系统信息安全保障的目的是确保系统的信息免受威胁,但绝对的安全并不可能实现,只能通过一定的控制措施将系统受到威胁的可能性降到一个可接受的范围内。风险评估是对信息及信息处理设施的威胁、影响、脆弱性及三者发生的可能性的评估。风险评估用来确认税务系统的安全风险及大小,即利用适当的风险评估技术,确定税务系统资产的风险等级和优先风险控制顺序。
风险评估是信息安全管理体系的基础,为降低网络的风险、实施风险管理及风险控制提供了直接依据。系统风险评估贯穿于系统整个生命期的始终,是系统安全保障讨论最为重要的一个环节。
3 税务信息系统整体安全构架
一般税务信息系统所采用的安全架构模型如图1所示。
从安全结构模型可以看出,该安全架构主要分为三部分:网络系统基础防御体系、应用安全体系和安全管理体系。网络系统基础防御体系是一个最基本的安全体系,主要从物理级、网络级、系统级几个层次采取一系列统一的安全措施,为信息系统的所有应用提供一个基础的、安全的网络系统运行环境。
该体系的主要安全建设范围如下:
1) 物理级安全:主要提供对系统内部关键设备、线路、存储介质的物理运行环境安全,确保系统能正常工作。
2) 网络级安全:在网络层上,提供对系统内部网络系统、广域网连接和远程访问网络的运行安全保障,确保各类应用系统能在统一的网络安全平台上可靠地运作。
3) 系统级安全:主要是从操作系统的角度考虑系统安全措施,防止不法分子利用操作系统的一些BUG、后门取得对系统的非法操作权限。
4 信息安全管理策略
4.1 安全管理平台
信息安全管理的总体原则是“没有明确表述为允许的都被认为是被禁止的”。信息安全管理实行安全等级保护制度,制定安全等级划分标准和安全等级的保护办法。从管理的角度,将系统中的各类安全管理工具统一到一个平台,并对各种安全事件、报警、监控做统一处理,发现各类安全问题的相关性,按照预定义的安全策略,进行自动的流程化处理,从而大为缩短发现问题、解决问题的时间,减少了人工操作的工作量,提高安全管理工作的效率。
通过技术手段,构建一个专门的安全管理平台,将各类安全管理工具集成在这个统一的平台上,对信息系统整体安全架构的实施进行实时监视并对发现的问题或安全漏洞从技术角度进行分析,为安全管理策略的调整提供建议和反馈信息。统一的安全管理平台将有助于各种安全管理技术手段的相互补充和有效发挥,也便于从系统整体的角度来进行安全的监视和管理,从而提高安全管理工作的效率。
4.2 物理安全策略
物理安全是对计算机网络系统中的设备、设施及相关的数据存储介质提供的安全保护,使其免受各类自然灾害及人为导致的破坏。物理安全防范是系统安全架构的基础,对系统的正常运行具有重要的作用。
当然,信息系统安全不是一成不变的,它是一个动态的过程。随着安全攻击和防范技术的发展,安全策略也必须分阶段进行调整。日常的安全工作要靠合理的制度和对制度的遵守来实现。只有建立良好的信息安全管理机制,做到技术与管理良好配合,才能长期、有效地防范信息系统的风险。
5 网络信息安全所采取的主要措施
目前网络信息安全所采取的主要措施是使用一系列的安全技术来防止对信息系统的非授权使用。讨论税务系统安全策略问题时,相关人员往往倾向于防火墙、入侵检测系统等实际的安全设备。其实,造成系统安全问题的本质是税务信息系统本身存在脆弱性。任何信息系统都不可避免的存在或多或少的脆弱性,而且这些脆弱性都是潜在的,无法预知。系统出现脆弱性的根本原因是由于系统的复杂性使得系统存在脆弱性的风险成正比,系统越复杂,系统存在的脆弱性的风险就越大,反之亦然。
安全防御的总策略为:1)建立网络边界和安全域防护系统,防止来自系统外部的攻击和对内部安全访问域进行控制;2)建立基于整个网络和全部应用的安全基础设施,实现系统的内部的身份认证、权限划分、访问控制和安全审计;3)建立全系统网络范围内的安全管理与响应中心,强化网络可管理、安全可维护、事件可响应;4)进行分级纵深安全保护,构成系统网络统一的防范与保护、监控与检查、响应与处置机制。
6 结束语
解决信息系统的安全不是一个独立的项目问题,安全策略包括各种安全方案、法律法规、规章制度、技术标准、管理规范等,是整个信息系统安全建设的依据。现有的安全保障体系一般基于深度防御技术框架,若能进一步利用现代信息处理技术中的人工智能技术、嵌入式技术、主动技术、实时技术等,将形成更加完善的信息安全管理体系。
税务信息安全直接关系到税收信息化建设的成败,必须引起税务机关和每一位税务人的重视。科学技术的发展不一定能对任何事物的本质和现象都产生影响,技术只有与先进的管理思想、管理体制相结合,才能产生巨大的效益。
参考文献:
[1] 蔡皖东.信息安全工程与管理[M].西安:西安电子科技大学出版社,2004.
[2] 谭思亮.网络与信息安全[M].北京:人民邮电出版社,2002.
[3] 谭荣华.税务信息化简明教程[M].北京:中国人民大学出版社,2001.
[4] 李涛.网络安全概论[M].北京:电子工业出版社,2004.
[5] 朱建军,熊兵.网络安全防范手册[M].北京:人民邮电出版社,2007.
[6] 戴英侠,连一峰,王航.系统安全与入侵检测[M].北京:清华大学出版社,2002.
篇9
根据《基本要求》的规定，二级要求的系统防护能力为：信息系统具有抵御一般攻击的能力，能防范常见计算机病毒和恶意代码危害的能力，系统遭受破坏后，具有恢复系统主要功能的能力。数据恢复的能力要求为：系统具有一定的数据备份功能和设备冗余，在遭受破坏后能够在有限的时间内恢复部分功能。按照二级的要求，一般情况下分为技术层面和管理层面的两个层面对信息系统安全进行全面衡量，技术层面主要针对机房的物理条件、安全审计、入侵防范、边界、主机安全审计、主机资源控制、应用资源控制、应用安全审计、通信完整性和数据保密性等多个控制点进行测评，而管理层面主要针对管理制度评审修订、安全管理机构的审核和检查、人员安全管理、系统运维管理、应急预案等方面进行综合评测。其中技术类安全要求按照其保护的侧重点不同分为业务信息安全类（S类）、系统服务安全类（A类）、通用安全防护类（G类）三类。水利信息系统通常以S和G类防护为主，既关注保护业务信息的安全性，又关注保护系统的连续可用性。
2水利科研院所信息安全现状分析
水利科研院所信息系统结构相对简单，在管理制度上基本建立了机房管控制度、人员安全管理制度等，技术上也都基本达到了一级防护的要求。下面以某水利科研单位为例分析。某水利科研单位主机房选址为大楼低层(3层以下)，且不临街。机房大门为门禁电磁防盗门，机房内安装多部监控探头。机房内部划分为多个独立功能区，每个功能区均安装门禁隔离。机房铺设防静电地板，且已与大楼防雷接地连接。机房内按照面积匹配自动气体消防，能够对火灾发生进行自动报警，人工干预灭火。机房内已安装温度湿度监控探头，对机房内温湿度自动监控并具有报警功能，机房配备较大功率UPS电源，能够保障关键业务系统在断电后2小时正常工作。机房采用通信线路上走线，动力电路下走线方式。以上物理条件均满足二级要求。网络拓扑结构分为外联区、对外服务区、业务处理区和接入区4大板块，对外服务区部署有VPN网关，外部人员可通过VPN网关进入加密SSL通道访问业务处理区，接入区用户通过认证网关访问互联网。整个网络系统未部署入侵检测（IDS）系统、非法外联检测系统、网络安全审计系统以及流量控制系统。由上述拓扑结构可以看出，现有的安全防护手段可基本保障信息网络系统的安全，但按照二级要求，系统内缺少IDS系统、网络安全审计系统和非法外联检测系统，且没有独立的数据备份区域，给整个信息网安全带来一定的隐患。新的网络系统在外联区边界防火墙下接入了入侵检测系统（IDS），新规划了独立的数据备份区域，在核心交换机上部署了网络审计系统，并在接入区安装了非法外联检测系统。形成了较为完整的信息网络安全防护体系。
3信息系统安全等级测评的内容
3.1信息系统等级保护的总体规划
信息系统从规划到建立是一个复杂漫长的过程，需要做好规划。一般情况下,信息系统的安全规划分为计算机系统、边界区域、通信系统的安全设计。相应的技术测评工作也主要围绕这3个模块展开。
3.2测评的要素
信息系统是个复杂工程，设备的简单堆叠并不能有效保障系统的绝对安全，新建系统应严格按照等保规划设计，已建系统要对信息系统进行安全测试，对于测评不合格项对照整改。信息系统安全测试范围很广，主要在网络安全、主机安全、应用安全、数据安全、物理安全、管理安全六大方面展开测评。本文仅对测评内容要素进行描述，对具体测试方法及工具不作描述。
3.2.1网络安全的测评
水利科研院所网络安全的测评主要参照公安部编制《信息安全等级测评》条件对网络全局、路由和交换设备、防火墙、入侵检测系统展开测评。但应结合科研院所实际有所侧重。水利科研院所信息系统数据传输量大，网络带宽占用比例相对较高，因此，在网络全局中主要测试网络设备是否具备足够的数据处理能力，网络设备资源占用情况，确保网络设备的业务处理能力冗余性。科研院所地理位置相对分散，因此，需要合理的VLAN划分，确保局部网络攻击不会引发全局瘫痪。科研院所拥有大量的研究生，这类人群对于制度的约束相对较差，网络应用多伴有P2P应用，对出口带宽影响极大，因此除了用经济杠杆的手段外，在技术上要求防火墙配置带宽控制策略。同时对“非法接入和外联”行为进行检查。网络中应配置IDS对端口扫描，对木马、后门攻击、网络蠕虫等常见攻击行为监视等等。
3.2.2主机安全测评
主机安全的测评主要对操作系统、数据库系统展开测评。通常水利科研院所服务器种类繁多，从最多见的机架式服务器到曙光一类的大型并行服务器均有部署，同时操作系统有window系列、Linux、Unix、Solaris等多种操作系统，数据库以主流SQLSERVER、ORACLE为主，早期开发的系统还有Sybase，DB2等数据库。对于window操作系统是容易被攻击的重点，因为二级等保为审计级保护所以重点在于身份鉴别、访问控制、安全审计、入侵防范、恶意代码4个方面进行测评，主要审计重要用户行为、系统资源的异常使用和重要信息的命令使用等系统内重要的安全相关事件。对于LINUX等其他系统和数据库，主要审计操作系统和数据库系统的身份标识唯一性，口令应复杂程度以及限制条件等。
3.2.3应用安全测评
水利科研院所内部业务种类繁多，如OA系统，科研管理系统，内部财务系统、网站服务器群，邮件服务器等，测评的重点主要是对这些业务系统逐个测评身份验证，日志记录，访问控制、安全审计等功能。
3.2.4数据安全的测评
数据安全的测评主要就数据的完整性、保密性已及备份和恢复可靠性、时效性展开测评。水利科研院所数据量十分庞大，一般达到上百TB级数据量，一旦遭受攻击，恢复任务十分艰巨，因此备份区和应用区应该选用光纤直连的方式，避免电缆数据传输效率的瓶颈。日常情况下应做好备份计划，采用增量备份的方式实时对数据备份。
3.2.5物理安全测评
机房的物理安全测评主要是选址是否合理，机房大门防火防盗性能，机房的防雷击、防火、防水防潮防静电设施是否完好达标，温湿度控制、电力供应以及电磁防护是否符合规定等物理条件。
3.2.6安全管理测评
安全管理主要就制定的制度文档和记录文档展开评测。制度文档主要分为3类，流程管理，人员管理和设备管理。记录文档主要为制度文档的具体实施形式。在满足二级的条件下，一般需要制度文档有《信息安全管理办法》、《安全组织及职责管理规定》、《安全审核与检查管理制度》、《授权和审批管理规定》、《信息安全制度管理规范》、《内部人员安全管理规定》、《外部人员安全管理规定》、《系统设计和采购安全管理规定》、《系统实施安全管理规定》、《系统测试验收和交付安全管理规定》、《软件开发安全管理规定》、《系统运维和监控安全管理规定》、《网络安全管理规定》、《系统安全管理规定》、《账号密码管理规定》等基本规章制度。同时对管理制度本身进行也要规范管理，如版本控制，评审修订流程等。需要制定的记录文档有《机房出入登记记录》、《机房基础设施维护记录》、《各类评审和修订记录》、《人员考核、审查、培训记录》、《各项审批和批准执行记录》、《产品的测试选型测试结果记录》、《系统验收测试记录报告》、《介质归档查询等的等级记录》、《主机系统，网络，安全设备等的操作日志和维护记录》、《机房日常巡检记录》、《安全时间处理过程记录》、《应急预案培训，演练，审查记录》等。
4测评的方式方法
按照《基本要求》在等级测评中，对二级及二级以上的信息系统应进行工具测试。
4.1测试目的工具测试
是利用各种测试工具，通过对目标系统的扫描、探测等操作，使其产生特定的响应等活动，查看分析响应结果，获取证据以证明信息系统安全保护措施是否得以有效实施的一种方法。工具测试种类繁多，这里特指适用于等保测评过程中的工具测试。利用工具测试不仅可以直接获得系统本身存在的漏洞，同时也可以通过不同的区域接入测试工具所得到的测试结果判断出不同区域之间的访问控制情况。利用工具测试并结合其他的核查手段能为测试结果提供客观准确的保障。
4.2测试流程
收集信息→规划接入点→编制《工具测试作业指导书》→现场测试→结果整理。收集信息主要是对网络设备、安全设备、主机设备型号、IP地址、操作系统以及网络拓扑结构等信息进行收集。规划接入点是保证不影响整个信息系统网络正常运行的前提下严格按照方案选定范围进行测试。接入点的规划随着网络结构，访问控制，主机位置等情况的不同而不同,但应该遵循以下规则。（1）由低级别系统向高级别系统探测。（2）同一系统同等重要程度功能区域之间要互相探测。（3）由外联接口向系统内部探测。（4）跨网络隔离设备（包括网络设备和安全设备）要分段探测。
4.3测试手段
利用漏洞扫描器、渗透测试工具集、协议分析仪、网络拓扑结构生成工具更能迅速可靠地找到系统的薄弱环节，为整改方案的编制提供依据。
5云计算与等级保护
近年来，随着水利科研院各自的云计算中心相继建立，云计算与以往的计算模式安全风险差异很大，面临的风险也更大，因为以往的系统多数为集中式管理范围较小，安全管理和设备资源是可控的，而云计算是分布式管理，是一个动态变化的计算环境，这种环境在某种意义上是无序的，这种虚拟动态的运行环境更不可控，传统的安全边界消失。同时，云计算在认证、授权、访问控制和数据保密这些方面这对于信息网络安全也提出了更高的要求。由云安全联盟和惠普公司列出了云计算面临的7宗罪（风险），说明云安全的状况变化非常快，现有的技术和管理体系并不完全适应于云计算的模式，如何结合自身特点制定出适合云计算的等级保护体系架构是今后研究的方向。
6结语
篇10
关键词：网络信息安全；等级保护
中图分类号：TP311 文献标识码：A文章编号：1007-9599 (2011) 14-0000-02
The Public Security Frontier Forces Information Security Construction Discussion
Jiang Haijun
(Liaoning Province Public Security Border Defense Corps Logistics Base,Shenyang110136,China)
Abstract:This article according to the public security Frontier forces network and the information security present situation,had determined by the internal core data protection network and the information security system construction goal primarily,through the pass word method safeguard internal data security,achieves the data security rank protection the request.
Keywords:Network information security;Level protection
随着科学技术和边防部队勤务工作的深入发展，信息化建设已成为提高边防执法水平的有力途径，全国边防部队近年来已基本实现信息资源网络化。但是，紧随信息化发展而来的网络安全问题日渐凸出，给边防部队管理工作带来了新的挑战，笔者结合边防部队当前网络安全工作实际，就如何构建全方位的网络安全管理体系略陈管见。
一、影响边防部队信息网络安全的主要因素分析
（一）物理层的安全问题。构成网络的一些计算机设备主要包括各种服务器、计算机、路由器、交换机、集线器等硬件实体和通信链路，这些设备分向在各种不同的地方，管理困难。其中任何环节上的失误都有可能引起网络的瘫痪。物理安全是制定区域网安全解决方案时首先应考虑的问题。
（二）计算机病毒或木马的危害。计算机病毒影响计算机系统的正常运行、破坏系统软件和文件系统、破坏网络资源、使网络效率急剧下降、甚至造成计算机和网络系统的瘫痪，是影响网络安全的丰要因素。新型的木马和病毒的界限越来越模糊，木马往往借助病毒强大的繁殖功能使其传播更加广泛。
（三）黑客的威胁和攻击。现在各类打着安全培训旗号的黑客网站不胜枚举，大量的由浅到深的视频教程，丰富的黑客软件使得攻击变得越来越容易，攻击者的年龄也呈现低龄化，攻击越演越烈。黑客入侵的常用手法有：系统溢出、端口监听、端口扫描、密码破解、脚本渗透等。
二、边防部队信息网络安全的特征分析
（一）网络安全管理范围不断扩大。从工作点来看，网络覆盖范围已从机关直接深入到基层一线，从机关办公大楼到沿边沿海的边检站、派出所。凡是有网络接入点的地方，无论是物理线路还是无线上网点都必须进行网络安全管理，点多线长，情况复杂；从工作环节来看，从设备的选购、网络的组建、专线的租用到日常网络应用，从设备维护保养、设备出入库到送修和报废，无一不涉及到网络信息安全，网络安全已渗透到工作的每一个环节。如：某单位被通报发现违规事件，经调查，结果是有人将手机接上公安网计算机充电，而该手机正在无线上网。
（二）安全管理对象类型复杂多样。目前，公安信息网、互联网、业务专网、机要专网在日常工作中频繁使用，成为管理的难点。同时，公安网上各类使用中的网络安全管理软件系统应用有待深化，一些网络管理软件使用功能仅停留在表层，未能成为得力工具。
（三）网络安全问题不断翻新。目前互联网、公安网、业务网、网四种网络必须物理隔离，禁止交叉使用移动存储介质，但四种网络的信息资源在一定范围内却必须共享交流。曾经出现过这种情况，某单位人员在互联网上建立论坛，发表不健康言论，触犯边防部队管理条例。究其原因，是因为我们的网络安全工作一直以来是局限在公安网内部，尚未随着网络应用发展趋势扩展到互联网的管理上。
三、边防部队信息网络安全的技术分析
网络安全产品的自身安全的防护技术网络安全设备安全防护的关键，一个自身不安全的设备不仅不能保护被保护的网络而且一旦被入侵，反而会变为入侵者进一步入侵的平台。
（一）虚拟网技术。虚拟网技术主要基于近年发展的局域网交换技术（ATM和以太网交换）。交换技术将传统的基于广播的局域网技术发展为面向连接的技术。因此，网管系统有能力限制局域网通讯的范围而无需通过开销很大的路由器。
（二）防火墙技术。网络防火墙技术是一种用来加强网络之间访问控制，防止外部网络用户以非法手段通过外部网络进入内部网络，访问内部网络资源，保护内部网络操作环境的特殊网络互联设备。它对两个或多个网络之间传输的数据包如链接方式按照一定的安全策略来实施检查，以决定网络之间的通信是否被允许，并监视网络运行状态。虽然防火墙是保护网络免遭黑客袭击的有效手段，但也有明显不足：无法防范通过防火墙以外的其它途径的攻击，不能防止来自内部变节者和不经心的用户们带来的威胁，也不能完全防止传送已感染病毒的软件或文件，以及无法防范数据驱动型的攻击。
（三）病毒防护技术。病毒历来是信息系统安全的主要问题之一。由于网络的广泛互联，病毒的传播途径和速度大大加快。在防火墙、服务器、SMTP服务器、网络服务器、群件服务器上安装病毒过滤软件。在桌面PC安装病毒监控软件。
（四）入侵检测技术。利用防火墙技术，经过仔细的配置，通常能够在内外网之间提供安全的网络保护，降低了网络安全风险。但是，仅仅使用防火墙、网络安全还远远不够。需要监视的服务器上安装监视模块（agent），分别向管理服务器报告及上传证据，提供跨平台的入侵监视解决方案；在需要监视的网络路径上，放置监视模块（sensor），分别向管理服务器报告及上传证据，提供跨网络的入侵监视解决方案。
四、边防部队信息网络安全管理体系的对策
网络安全是一个范围相对较大的概念，根据具体的实际情况组成不同安全管控层次或等级的网络系统，既是网络实际发展应用的趋势，更是网络现实应用的一种必然。
（一）提高多层次的技术防范措施。按照网络实际应用中出现故障的原因和现象，参考网络的结构层次，我们可以把网络安全工作的对象分为物理层安全、系统层安全、网络层安全和应用层安全，不同层次反映不同的安全问题，采取不同的防范重点：一是确保物理环境的安全性。包括通信线路的安全、物理设备的安全、机房的安全等。在内网、外网共存的环境中，可以使用不同颜色的网线、网口标记、网口吊牌来标记区分不同的网络，如灰色的公安网专用，红色的互联网专用，黄色的网专用。二是确保软硬件设备安全性。必须预备一定的备用设备，并定期备份重要网络设备设置。对待报废的各类存储类配件，一定要进行消磁处理，确保信息安全。三是提供良好的设备运行环境机房要有严格的防盗、防火、防潮、防静电、防尘、防高温、防泄密等措施，并且有单独的电源供电系统；安装有计算机的办公室要有防尘、防火、防潮、防泄密等措施，电源要符合计算机工作要求。四是完善操作系统的安全性必须设置系统自动升级系统补丁。五是加强密码的管理。存取网络上的任何数据皆须通过密码登录。同时设制复杂的计算机开机密码、系统密码和屏保密码。
（二）建立严格的网络安全管理制度。严格的安全管理制度、明确的部门安全职责划分、合理的人员角色配置都可以在很大程度上降低安全漏洞。我们应通过制度规范协调网络安全的组织、制度建设、安全规划、应急计划，筑起网络安全的第一道防线。
（三）合理开放其它类型的网络应用。目前，很多单位都建立了警营网吧，给官兵提供良好的学习娱乐平台，这种情况下就必须把互联网的网络安全工作纳入安全工作范围，采取多种方法，规范和引导官兵进行互联网的应用，合理开放所需的应用功能，有效控制不合理的功能应用。目前，边防部队的信息网络安全技术的研究仍处于起步阶段，有大量的工作需要我们去探索和开发。公安部已在全国范围内大力推进信息网络安全工作，相信在大家的共同努力下，边防部队将建立起一套完整的网络安全体系，确保信息网络的安全，推动边防部队信息化高度发展。
五、结论
网络信息安全系统建设完成后，将实现信息系统等级保护中有关数据安全保护的基本要求和目标，尤其是应用密码技术和手段对信息系统内部的数据进行透明加密保护。网络信息安全系统还为单位内部机密电子文档的管理提供了一套有效的管理办法，为电子文档的泄密提供了追查依据，解决了信息系统使用方便性和安全共享可控制的难点，为部队深化信息化建设提供技术保障。网络信息安全系统能够有效提高单位的数据安全保护等级，与其他信息系统模块协调工作，实现了资源的整合和系统的融合，形成一个更加安全、高效、可控、完善的信息系统风险监控与等级保护平台，提高了部队内部核心数据，特别是对内部敏感电子文档的安全管理，随着系统的不断完善和扩大，将对部队内部网络和信息系统的安全保护发挥更大作用。
参考文献：
