目录
前言 (2)
第一章需求分析 (3)
一、衡阳市商业银行的网络以及应用现状 (3)
二、衡阳市商业银行的网络建设目标 (4)
第二章网络方案设计 (6)
一、方案设计目标 (6)
二、方案设计原则 (7)
三、方案说明 (7)
四、关键技术的实现 (11)
第三章方案特点 (13)
第四章产品简介 (15)
第五章网络支持与服务 (18)
第六章项目管理与实施 ....................................错误！未定义书签。
前言
金融业一直是计算机技术应用最多和最广泛的一个行业，这在中国市场经济蓬勃发展，金融体制改革为领导、国有商业银行为主体、多种金融机构分工协作的格局日益形成，特别是大量外资银行涌入，使银行间的商业竞争开始激烈。
在这种环境下，如何有效地加快计算机技术的深入应用，加强技术改造更新，提高自身的业务服务能力和水平，是银行发展中的一项关键任务。单机、分系统的计算机应用模式已不能适应今天的需求。
国家推动的“三金”工程，为银行业的计算机系统提出了重要课题。只有一个广域联网的，实时高效的，安全可靠的，综合决策的银行计算机自动化管理系统，才能向客户提供最有效的服务，使各级领导部门实时掌握相关信息，使银行在激烈的竞争中立于不败之地。
第一章需求分析
一、衡阳市商业银行的网络以及应用现状
目前，衡阳市有6家城市信用社，近40个网点。其中有4家城市信用社业务属于单点运行，另外2家城市信用社业务属于辖内储蓄通存通兑。商业银行挂牌以后计划实现全辖内储蓄和信用卡的通存通兑。
1.银行数据分布结构进行调整
目前，各家城市信用社各自为政，不存在行政上的依赖关系。因此，各家信用社数据互相独立，业务互不干涉。如果商业银行挂牌成立以后，目前这种数据分布结构将严重影响行政上的管理和业务上的发展。因此，商业银行成立以后将采用数据大集中的模式。
2.电脑设备进行更新换代
目前，在6家信用社当中，有2家信用社使用DEC ALX 6200（5200）PC服务器，其余4家采用PC机。而且大部分机器是486档次，一方面机器老化，另一方面存在2000年问题。因此这些机器急需更换。另外，商业银行成立以后，将采用数据大集中进行处理，因此必须购置小型机来完成这项工作。小型机的选型要考虑到以下业务因素：
●普通业务笔数的增加：目前，6家城市信用社合计日平均业务量为
10,000笔/天。5到8年以后日平均业务量将达到100,000笔/天。
●历史交易的联机保存：目前，大部分网点采用单机运行，业务量少，
存储信息少而且存储周期短。数据大集中以后，业务量将会激增，而
且存储周期长（估计2到3年）。
●中间业务的增加：中间业务包括代收代付以及一些类型的电子商务。
目前在商业银行中间业务几乎为空白。按商业银行决策者的计划，以
后将要增加大量的中间业务。
●金融信息高速公路的建立：在衡阳市商业银行提出了信息高速公路的
概念。具体业务包括A TM，电话银行，自动办公系统（OA），电子
商务等。目前这个领域在商业银行为空白。
3.系统应用软件的更新
目前，在6家信用社中，4家单点运行的信用社采用的是山东中创的软件。2家联网运行的信用社采用的衡阳市农业银行提供的软件。这两家应用软件已不能满足商业银行业务发展的需要。为此，系统应用软件必须更换。
因此需根据商业银行的业务情况和将来的业务发展计划开发出一套既能满足业务需要，又能适应业务发展同时具有特色的一套应用系统软件。
二、衡阳市商业银行的网络建设目标
1.在全市范围内建设一个衡阳市商业银行专用通讯子网,
2.建立一个多协议的数据网络,并在所有的通讯子网接入节点上支持TCP/IP
计算机网络协议。
3.在通讯子网上具有规模可扩充性,在计算机网上具有网络可升级性。
4.网管系统应具有对整个通讯子网进行监控管理的能力,网管应用应当是统
一的。
第二章网络方案设计
一、方案设计目标
1.在全市范围内建设一个衡阳市商业银行专用通讯子网,一个多协议的数据
网络，并在所有的通讯子网接入节点上支持TCP/IP计算机网络协议。
2.具备接入所有业务系统的能力，支持各业务系统所要求的计算机网络协
议，而且具有多种常用网络协议的支持，保证在有新的业务应用时，可以提供有力的支持。
3.在城区网上能够将业务、办公自动化集成在同一个网络中，以充分利用信
道带宽。在保证目前应的情况下，使网络具有一定的先进性，保护用户的投资。
4.具有相对完善的网管系统，能对计算机网络进行有效的监控管理，优化网
络流量，提高网络运行的安全性，通过日志文件等多种手段，保证网络的高效运行。
通过以上几个目标的努力，使衡阳市商业银行的计算机网络具有更好的先进性、可靠性、安全性和可扩展性。
二、方案设计原则
?先进性与实用性结合,设计时效年限至少为五年,充分利用设备的扩充能力可保证十年的设计时效。
?极大的灵活性和扩充性，满足业务数据快速增长的需要，适合国内通信条件。
?在保证系统需求的前提下，尽量节约开支，降低运营成本。
?高度的可靠性，网络在连接失败时能有迂回路由，并有效地消除单点失效的隐患。
?高度的安全性。能防止网络的非法访问，保护关键数据不被非法窃取、篡改或泄露。使数据具有极高的可信性。
?良好的管理性。简化日常维护工作，增强故障处理能力。
?为主机系统、应用系统、数据库系统提供良好的网络平台，保证应用系统的反应速度不会因为网络性能的原因而降低。
依照上述原则及具体的需求分析,我们提出自己的网络方案。
三、方案说明
目前，6家城市信用社合计日平均业务量为10,000笔/天，考虑到联网以后义务量增加，5到8年以后日平均业务量将达到100,000笔/天。依据义务量，我们可以计算出所需的带宽。
日交易笔数(高峰)：10,000笔，平均每个交易包250字节，每笔业务共需3个交易包。按每天8工作小时考虑，平均带宽为：
100,000 x 3 x 250 x 8(bit)/(8 x 3600)= 20.8Kbps
考虑到突发因素，网络应有3倍以上的冗余，考虑到，按现有统计数计算，需要64Kbps的通信带宽。
方案分别采用DDN和帧中继。
方案一网络采用DDN，主要采用Cisco4500M为中心路由器，采用Cisco2501作为各节点的接入路由器，全网采用TCP/IP作为网络通讯协议。各个营业间点通过DDN与中心路由器互连，实现数据集中。各个营业网点与中心路由器连接的速率为9.6K。中心路由器为Cisco 4500M，两台路由器均配置18串口板两块。其中一台路由器作为DDN的接入，能提供36个串口，另外一台路由器提供20个串口（一块18串口板和一块18串口板上的2个高速串口），提供DDN接入，并提供16个异步口作为拨号备份。除了线路备份，在设备配置中多配置一台4500M作为设备备份。另外，中心还配置一台Catalyst 1924EN 交换机一台，用于接入路由器、小型机及其它关键设备。
网络拓扑结构图：方案二
方案二网络采用帧中继，主要采用Cisco4500M为中心路由器，采用Cisco2501作为各节点的接入路由器，全网采用TCP/IP作为网络通讯协议。各个营业间点通过帧中继与中心路由器互连，实现数据集中。各个营业网点与中心路由器连接的速率为9.6K。中心路由器为Cisco 4500M，两台路由器均配置18串口板两块。其中一台路由器作为帧中继的接入，另外一台路由器提供32个异步端口作为拨号备份。除了线路备份，在设备配置中多配置一台4500M作为设备备份。另外，中心还配置一台Catalyst 1924EN 交换机一台，用于接入路由器、小型机及其它关键设备。
2. 配置说明
衡阳市商业银行中心机房：配置一台Cisco4500M多功能路由器，Cisco4500M路由器可以提供三个网络模块插槽。在Cisco4500M路由器上配置一块两端口以太网模块（NP-2E）用于连接分行局域网；配置两块十八串口模块（NP-2T16S），采用DDN，其中一台可以提供36个同步端口用于通过DDN连接营业网点，另外一台提供20端口（一块十八串口板和另外一块十八串口板上的2个高速同步端口）用于连接DDN，提供16个端口作为拨
号备份接入。在帧中继的方式下，其中一台用于帧中继的接入，另外一台路由器可提供32个异步端口用于拨号备份。另外，中心还配置一台Catalyst 1924EN 交换机一台，用于接入路由器、小型机及其它关键设备。
可以根据业务数据流量的情况，采用负载均衡的方式接入路由器。
营业网点：在营业网点各配置一台Cisco2501多功能路由器，该路由器可以提供2个同步端口，用于DDN或帧中继的接入，提供一个异步端口，用于拨号备份。第三部分网络管理
在分行中心机房网管工作站上安装Cisco Works for Windows软件，用于对全网上路由器的连接连接进行可视化管理和监控。
四、关键技术的实现
帧中继技术的特点：
帧中继在用户设备（如路由器、桥、主机）和网络设备（如交换机）之间提供包交换数据通信能力。用户设备通常称为数据终端设备(DTE), 与DTE相连的网络设备称为(DCE)。网络营运商可提供帧中继网络，大型企业也可建立私有的帧中继网络。作为与网络的接口，帧中继与X.25 协议一样。然而，帧中继在它的功能和格式与X.25 有明显的区别。特别地，帧中继是一个更简化和有效率的协议，提供更高的性能和更高的效率。作为用户和网络设备的接口，帧中继提供一种在单一物理传输链接上对许多逻辑数据会话（虚电路）的统计复用方式。这与支持多重数据流的时分复用系统有明显的区别。帧中继对带宽可以提供更灵活和更有效率的使用。而且，它可以在时分复用系统提供的通道之上采用非时分复用技术。帧中继的另外一个特性是它利用了广域网技术的最新进展。早期的广域网协议，如X.25是在模拟传输系统和铜介质占主导地位时发展起来的，这些链路与现在的数字传输链路和光纤传输系统相比，可靠性低。在现在的传输链路上，链接层协议可以放弃耗时的纠错算法，让更高层的协议处理。这样，在不牺牲数据完整的情况下，可以提高网络的性能和效率。帧中继在这种思路下设计的。它包括CRC算法去检查破损的字节（这样的数据被丢弃），但是它不包括任何协议机制去改正破损数据（如，重传数据）。另外一个不同在于帧中继缺少清楚的基于每条虚电路的流控。因为许多上层协议有自己的流控算法，所以在链路层没有实施这个功能的必要。帧中继用一种拥塞提示机制允许网络提示用户网络资源接近拥塞状态。这个提示告诉上层协议采取流控。当今帧中继网络永久虚电路在帧中继网络中配置和管理。交换虚电路的概念也被提出。
帧中继的优势：
1．较低的成本
帧中继用几种方法降低成本，包括：
?通过一个单一的访问点将各种各样的资源组合成数据包，因此，降低了所需访问点的数目。
?多种数据流能以不同的、变化的速率被送进一个帧中继，因此，在访问点上可用的总带宽比在每个数据流固定速率的基础上所分配的同样带宽的利用更为充
分。
?比其它WAN协议在同样带宽上提供的数据传输快，因此，每个字节传输的成本是较低的。
?由于帧中继较快，网络应用变得更敏感。
2．较快的传输
帧中继消除了服务提供者网络的纠错事务，而在再转发错误的或丢失的信息包的终点处依赖于智能设备。这大大地减少了在载体网络中信息包的排队和信息包的处理过程，因此导致相当快的数据传输。
3．更有效的带宽利用
因为数据通信量很少是连续不断的，所以由分时多路交换提供的固定带宽的通道经常有闲暇的时间。
另一方面，使用信息包的WAN技术能在单一的通道（称作统计多路交换的处理过程）上组合多种数据流，更有效地利用通道的带宽：当一个数据流空闲时，另一个就能使用余留的带宽，传输猝发的数据。这就导致了在一个数据处理中心必须与多个地点进行通信时的较快速的响应时间。
4．多协议的支持
帧中继能有效的组合多种资源的数据，同时，其多协议支持在不同的网络结构间提供了极佳的桥接技术。
今天，选择帧中继作为WAN数据传送的用户拥有一条通向明天宽带服务的进发坦途：他们不仅能够以越来越高的速率传输数据，也将能把所有的全部通讯量、声音、视频合并在由携带者负责其可靠性和性能的一个单一的、灵活的网络上。
第三章方案特点变化
整个网络为一个衡阳市商业银行专用的覆盖全市的数据通信网络，支持业务、办公自动化以及语音的应用。
1、支持多协议
路由器本身就支持多种网络协议，并且可以根据用户的需求有效的控制每种协议对网络资源的使用，可根据用户的策略控制哪种应用占用多少带宽。
2、技术先进，性能优越
采用先进的路由技术技术，充分发挥Cisco路由器这个领域中的领先性能，网络性能最佳，可使商业银行在国内网络建设中的居于领先地位。
3、带宽利用率高
通信线路采用DDN或帧中继信道、速率高、质量好，并且Cisco路由器也可实现针对不同协议的排队、优先级、压缩等功能，充分有效的利用带宽。4、可靠性高
Cisco路由器可提供全面的路由备份、迂回功能，利用Cisco 的eigrp路由协议可自动实现对通信子网的路由迂回。
5、安全性高,保证工行数据安全性
Cisco路由器的强大的防火墙功能，可实现针对应用一级的防火墙过滤，防止非法用户对关键数据的存取。
6、可升级性、可扩展性强
Cisco路由器可支持当前及未来的各种网络技术及接口介质,采用的FLASH 技术易于升级，所选的关键设备均留有扩展端口。
8、可管理性的网络
配置了Cisco Works网管软件，以便对广域上的网路由器的连接进行监控管理，不但提高了网络的可管理性、减轻网管人员的负担、减少网络管理上的费用，而且对于网络性能分析、故障诊断有很大的帮助。
第四章产品简介
1. Cisco 4500M 路由器
Cisco4500系列多协议路由器是使用最广泛的中档路由器, 运行工业界领先的网际操作系统IOS，支持各种LAN和W AN接口和协议，能优化W AN服务，
控制网际访问。
规格（Specifications）：
·模块化3槽机箱，
·CPU：100MHz IDT Orion RISC
·DRAM：4000M/4500M标准8MB，可扩展到16或32MB；4700M标准16MB，可扩展到32MB
·Flash Memory：标准4MB，可扩展到8或16MB
·Shared Memory：标准4MB，可扩展到8或16MB
WAN接口：RS-232,V.35, G.703,E1;
处理能力：5万包/秒
·2,6-port Ethernet Module
·Single/Dual-port Token Ring Module
·MultiMode FDDI Module
·SingleMode FDDI Module
·Dual/Four-port Serial Module
·Four/Eight-port ISDN BRI Module
·Single-port Fractional E1/ISDN PRI Module
·Four-port Fractional E1/G.703 Module
·Single-port SingleMode/MultiMode A TM Module
·AC或DC电源
特点（Features）：
·支持多种类型LAN/W AN接口模块
·支持全部功能的路由软件（IOS）
·采用Flash Memory 技术
2.C isco 2500 路由器
Cisco2500系列路由器是固定接口的多协议路由器，它采用了可重写Flash Memory技术来简化软件维护，支持Cisco IOS 的全部功能。
规格（Specifications）：
Model 2522--1Ethernet，2 Serial，8A/S Serial，1 ISDN BRI
特点（Features）：
·固定配置
·采用Flash Memory技术
·20Mhz 68030 Processor
·DRAM配置与IOS功能组有关，可扩展到18MB
·4M或8MB Flash Memory(与IOS功能有关)，可升级到8M或16MB
3.C iscoworks Windows
CiscoWorks Windows 是为小型到中型网络或远程工作组开发的一套基于PC 的集成式网络配置和诊断工具。CiscoWorks Windows包括Configuration Builder、Show Commands、Health Monitor和CiscoView应用程序。
CiscoWorks Windows 可以和某个全面的NMS平台捆绑在一起为设备统计数据绘制图形并处理客户网络中的警报和问题。
第五章网络支持与服务
公司长期致力于计算机应用系统工程的建立，具有丰富的工程实施、售后服务及技术支持经验，较强的系统集成能力，专业化的技术服务队伍，和完美的售后服务体系。对于该项目的整个工程和服务，公司将按照系统集成服务及支持规范，为用户提供专业、规范的服务和保障。
一、服务内容：
1、为用户提供机房场地等，提出具体要求，以满足多种设备对机房的要求。
2、为用户提供详细的网络设计及《网络方案说明书》。
3、协助用户测试通信线路的质量及完成网络设备与通讯线路的连接和测试。
4、网络设备到货后，公司将派出2人的网络工程组，与用户一同开箱验货，并
提交《网络设备验货报告》。经由双方有关负责人签字认可，在线路等条件具备后，按照《网络工程实施计划书》及《方案说明书》要求，实施网络系统安装及调试；
5、确定《方案说明书》以后，尽快为用户安排3-5天的《网络基础及配置》培
训，以便掌握网络技术。
6、网络安装调试后，按照《网络方案验收测试书》的要求，完成网络系统的测
试及验收。并提交《网络系统测试验收报告》，经由双方有关负责人签字认可。
7、网络系统及网络设备维护。在网络系统投入运行后，公司将对所售的网络产
品进行现场维护，故障排除等服务。
8、网络设备软件升级。用户提出网络设备软件升级时，公司负责安排网络工程
师提供技术支持，三年保修期内，公司可提供同级别系统的软件版本升级。
三年后，用户需付费。公司将提交《网络设备软件升级报告》备案。
9、网管软件的维护。CiscoWorks网管软件的维护将依据CISCO公司的规定提
供服务。
二、后勤支援服务：
1、公司指定专门技术负责人负责对整个项目进行服务和支
持。
2、公司将为用户提供服务热线；专人负责等方法，为用户提供5×8小时的
响应服务，在工作日内与公司的技术人员联系，并提供最及时的服务（4小时以内）。在法定假期内，承诺不多于8小时的响应时间。
3、每年与项目总承包商协商通过后，为用户所购的网络设备免费检测一次，
并定期召开工程联席会议，讨论多种问题，并防患于未然。
三、网络技术培训与考察：
为了使用户能熟练掌握和维护网络系统，了解其发展方向和加强双方的合作，在双方合作协议生效之后，公司将为用户安排一次培训。
培训内容：
·网络基础知识
·互连网基础及路由器配置入门
·标准网络协议（TCP/IP、IPX等）。
·多种路由协议（RIP，OSPF，BGP，IGRP，EIGRP）
·路由器On-Site培训。
·TroubleShooting
时间：3-5天。
地点：
费用：教材及授课教师的费用（免费）。授课人员：公司高级网络工程师。
某银行设计方案 第一部分：技术建议书内容 6 1. 概述 6 2. 设计原则 7 3. 设计规范和依据 9 4. 系统功能 10 5. 方案设计 13 5.1.系统构成及原理 13 5.2.用户需求分析及前端分布 14 5.3.实施方案设备选型及配置 17 5.3.1.前端系统 17 5.3.2.传输系统 21 5.3.3.控制系统 22 5.3.4显示系统 25 第一部分：技术建议书内容 一.概述 银行位于城市的各个角落，属于国家的重点安全防范单位，它具有规模多样、重要设施繁多、出入人员复杂、管理涉及领域广等特点。它作为当今社会货币的主要流通场所、国家经济运作的重要环节，以其独特的功能和先进的技术广泛服务于国内各行业中，因此，提高银行系统的科学管理和安全防范能力显得尤为重要。 在计算机技术和网络通信技术不断发展的今天，犯罪分子作案的手段越来越呈现高科技化、高智能化趋势。针对银行的刑事案件明显呈上升趋势，恶性案件屡屡发生，内都作案、内外联合作案等日益增多。传统的单一模式的模拟电视监控系统，无论是从监视手段、还是录像手段上来看已经远远落后于现代商业银行的安全保卫要求。从技术角度来看，新一代的基于数字处理的数字硬盘录像监控系统，已经在技术上全面领先于传统的模拟监控技术。这促使银行电视监控系统向智能化、网络化、数字化、多样化方向进行发展，给传统的视频监控领域带来全新的运作模式。 金融系统分布较广，部门较多所以要求新一代监控系统分为分行、支行、储蓄点和分理处三级网络管理模式，以分行作为整个系统的网络中枢，支行为二级网络结点，储蓄点和分理处为三级网络结点，建立一个安全、高效、先进的远程网络监控体系。银行监控系统主要分为三大类：柜员制柜台、ATM等自助设备、保安型监控等对象。主要要求是：能够对监控点视频、音频进行采集、硬盘录像存储 (存储时间有具体要求)，并且要具有远程联网通讯功能。 对于银行金库门口、钞票清点等一些重要的地点，需要对其进行完全的监控，将发生的所有情况进行纪录，保障银行的财物安全，并对工作人员进行有效的监督,同时在意外事件发生时，可以有效的保存现场情况的纪录。
Bri ng 安全白皮书 商业银行网络安全解决方案 版本：1.0 北京博睿勤技术发展有限公司 日期：2010/6/22 商业银行网络安全解决方案 目录 1概述 (1) 1.1网络安全概述 (1) 1.2目前网络安全技术 (1) 1.2.1国内网络安全技术 (1) 1.2.2网络安全的理解的误区 (2) 1.2.3网络安全概念 (2) 2商业银行安全需求分析 (3) 2.1商业银行的业务安全分析 (3) 2.1.1公共信息发布 (4)
2.1.2完善安全管理策略 (4) 2.1.3 增加防火墙防护 (7) 2.1.4 配置入侵检测模块 (8) 2.1.5 帐户查询 (8) 2.1.6 身份验证 (9) 2.1.7 数据加密 (11) 2.1.8 网上支付和转账 (12) 2.1.9 数据完整性 (13) 2.1.10 不可否认性 (13) 2.1.11 网络结构安全 (14) 2.1.12 加强访问控制 (14) 2.1.13 安全检测 (15) 2.1.14 网络安全评估 (15) 2.1.15 安全认证 (16) 2.1.16 病毒防护 (16) 3商业银行网络安全解决方案 (16) 3.1 网络管理 (17)
3.1.1 网络行为管理 (17) 3.1.2 灵活的IP 管理与用户管理 (18) 3.1.3 统计报表 (18) 3.2 终端安全防护 (18) 3.2.1 登陆控制 (18) 3.2.2 本地文件加密 (18) 3.2.3 文件粉碎机 (19) 3.2.4 非法外联 (19) 3.2.5 移动存储设备管理 (19) 3.3 桌面安全系统 (19) 3.3.1 定向访问控制 (19) 3.3.2 虚拟安全域管理 (20) 3.3.3 策略优先级管理 (20) 3.3.4 多元化的管理模式 (20) 4商业银行解决方案特性分析 (20) 5银行业成功典型案例 (21)
海南经贸职业技术学院信息技术系 ︽ 网 络 安课 全程 ︾设 计 报 告 题目 XX网络安全方案的设计 学号 310609040104 班级网络工程06-1班 姓名王某某 指导老师王天明
设计企业网络安全方案 摘要：在这个信息技术飞速发展的时代，许多有远见的企业都认识到很有必要依托先进的IT技术构建企业自身的业务和运营平台来极大地提升企业的核心竞争力，使企业在残酷的竞争环境中脱颖而出。经营管理对计算机应用系统的依赖性增强，计算机应用系统对网络的依赖性增强。计算机网络规模不断扩大，网络结构日益复杂。计算机网络和计算机应用系统的正常运行对网络安全提出了更高的要求。本文主要通过安全体系建设原则、实例化的企业整体网络安全方案以及该方案的组织和实施等方面的阐述，为企业提供一个可靠地、完整的方案。 关键词：信息安全、企业网络安全、安全防护 一、引言 随着国内计算机和网络技术的迅猛发展和广泛普及，企业经营活动的各种业务系统都立足于Internet/Intranet环境中。但随之而来的安全问题也在困扰着用户。Internet所具有的开放性、国际性和自由性在增加应用自由度的同时，对安全提出了更高的要求。一旦网络系统安全受到严重威胁，甚至处于瘫痪状态，将会给企业、社会、乃至整个国家带来巨大的经济损失。应此如何使企业信息网络系统免受黑客和病毒的入侵，已成为信息事业健康发展所要考虑的重要事情之一。 一般企业网络的应用系统，主要有WEB、E-mail、OA、MIS、财务系统、人事系统等。而且随着企业的发展，网络体系结构也会变得越来越复杂，应用系统也会越来越多。但从整个网络系统的管理上来看，通常包括内部用户，也有外部用户，以及内外网之间。因此，一般整个企业的网络系统存在三个方面的安全问题： （1）Internet的安全性：随着互联网的发展，网络安全事件层出不穷。近年来，计算机病毒传播、蠕虫攻击、垃圾邮件泛滥、敏感信息泄露等已成为影响最为广泛的安全威胁。对于企业级用户，每当遭遇这些威胁时，往往会造成数据破坏、系统异常、网络瘫痪、信息失窃，工作效率下降，直接或间接的经济损失也很大。 （2）企业内网的安全性：最新调查显示，在受调查的企业中60%以上的员
第一部分员工培训设计方案 第一章总则 第一条适用范围 本设计方案适用于云天化股份公司（以下简称公司）的全体员工。 第二条培训目的 一、从根本战略角度来说，满足公司长远的发展需要； 二、从职位要求来说，满足职位要求，改进现有岗位的业绩； 三、从员工角度来说，满足员工职业生涯发展的需要； 四、从管理变革来说，改变员工对工作与公司的态度； 五、从响应环境来说，有利于员工更新知识，适应新技术、新工艺的要求。 第三条培训宗旨 一、有利于公司总体目标的实现，有利于竞争能力、获利能力及获利水平的提高。 二、全员培训，终生培训。 第四条培训方针 一、公司培训的一个方针是要坚持自我培训与传授培训相结合、岗位技能培训与专业知识培训相结合的方针。 二、公司培训工作的另一个重要方面是要坚持一个中心、两个基本点——即：以“员工”为中心，以“分析培训需求、确定培训目标”和“培训效果的评估和落实”为基本点。 第五条培训原则 公司对员工的培训遵循系统性原则、制度化原则、主动性原则、多样化原则、学以致用原则和效益性原则。 一、系统性 员工培训是一个全员性的、全方位的、贯穿员工职业生涯始终的系统工程。 二、制度化 建立和完善培训管理制度，把培训工作例行化、制度化，保证培训工作的真正落实。
三、主动性 强调员工参与和互动，发挥员工的主动性，要使员工意识到个人对于工作的“自主性”和自己在企业中的“主人翁地位” 四、多样化 开展员工培训工作要充分考虑受训对象的层次、类型，考虑培训内容和形式的多样性。 五、学以致用原则 从工作实际情况出发，企业发展需要什么、员工缺什么就教育培训什么，不搞形式主义的教育培训而要讲求实效，主要表现在要与职位特点紧密结合，与培训对象的年龄、知识结构、能力大小、思想状况紧密结合。 六、效益性原则 员工培训是人、财、物投入的过程，是价值增值的过程，培训应该有产出和回报，即有助于提升公司的整体绩效。 培训费用按照不同的类别，由企业和个人分担，以体现“谁受益，谁投资”的思想。
网络安全体系建设方案（2018） 编制： 审核： 批准： 2018-xx-xx
目录 1 安全体系发布令 (2) 2 安全体系设计 (3) 2.1 总体策略 (4) 2.1.1 安全方针 (4) 2.1.2 安全目标 (4) 2.1.3 总体策略 (4) 2.1.4 实施原则 (4) 2.2 安全管理体系 (4) 2.2.1 组织机构 (5) 2.2.2 人员安全 (5) 2.2.3 制度流程 (5) 2.3 安全技术体系 (6) 2.3.1 物理安全 (6) 2.3.2 网络安全 (8) 2.3.3 主机安全 (11) 2.4.4 终端安全 (14) 2.4.5 应用安全 (15) 2.4.6 数据安全 (18) 2.4 安全运行体系 (19) 2.4.1 系统建设 (19) 2.4.2 系统运维 (22)
1 安全体系发布令 根据《网络安全法》《信息安全等级保护管理办法》的相关规及指导要求，参照GB/T22080-2008idtISO27001:2005《信息技术-安全技术-信息安全管理体系要求》，为进一步加强公司运营系统及办公系统的安全运行及防护，避免公司核心业务系统及日常办公系统遭受到病毒、木马、黑客攻击等网络安全威胁，防止因网络安全事件（系统中断、数据丢失、敏感信息泄密）导致公司和客户的损失，制定本网络安全体系。 本网络安全体系是公司的法规性文件，是指导公司各部门建立并实施信息安全管理、技术、运行体系的纲领和行动准则，用于贯彻公司的网络安全管理方针、目标，实现网络安全体系有效运行、持续改进，体现公司对社会的承诺，现正式批准发布，自 2018年 XX月 XX 日起实施。 全体员工必须严格按照本网络安全体系的要求，自觉遵循信息安全管理方针，贯彻实施本安全体系的各项要求，努力实现公司信息安全管理方针和目标。 总经理： 批准日期：2018-xx-xx
目录 前言 (2) 第一章需求分析 (3) 一、衡阳市商业银行的网络以及应用现状 (3) 二、衡阳市商业银行的网络建设目标 (4) 第二章网络方案设计 (6) 一、方案设计目标 (6) 二、方案设计原则 (7) 三、方案说明 (7) 四、关键技术的实现 (11) 第三章方案特点 (13) 第四章产品简介 (15) 第五章网络支持与服务 (18) 第六章项目管理与实施 ....................................错误！未定义书签。
前言 金融业一直是计算机技术应用最多和最广泛的一个行业，这在中国市场经济蓬勃发展，金融体制改革为领导、国有商业银行为主体、多种金融机构分工协作的格局日益形成，特别是大量外资银行涌入，使银行间的商业竞争开始激烈。 在这种环境下，如何有效地加快计算机技术的深入应用，加强技术改造更新，提高自身的业务服务能力和水平，是银行发展中的一项关键任务。单机、分系统的计算机应用模式已不能适应今天的需求。 国家推动的“三金”工程，为银行业的计算机系统提出了重要课题。只有一个广域联网的，实时高效的，安全可靠的，综合决策的银行计算机自动化管理系统，才能向客户提供最有效的服务，使各级领导部门实时掌握相关信息，使银行在激烈的竞争中立于不败之地。
第一章需求分析 一、衡阳市商业银行的网络以及应用现状 目前，衡阳市有6家城市信用社，近40个网点。其中有4家城市信用社业务属于单点运行，另外2家城市信用社业务属于辖内储蓄通存通兑。商业银行挂牌以后计划实现全辖内储蓄和信用卡的通存通兑。 1.银行数据分布结构进行调整 目前，各家城市信用社各自为政，不存在行政上的依赖关系。因此，各家信用社数据互相独立，业务互不干涉。如果商业银行挂牌成立以后，目前这种数据分布结构将严重影响行政上的管理和业务上的发展。因此，商业银行成立以后将采用数据大集中的模式。 2.电脑设备进行更新换代 目前，在6家信用社当中，有2家信用社使用DEC ALX 6200（5200）PC服务器，其余4家采用PC机。而且大部分机器是486档次，一方面机器老化，另一方面存在2000年问题。因此这些机器急需更换。另外，商业银行成立以后，将采用数据大集中进行处理，因此必须购置小型机来完成这项工作。小型机的选型要考虑到以下业务因素： ●普通业务笔数的增加：目前，6家城市信用社合计日平均业务量为 10,000笔/天。5到8年以后日平均业务量将达到100,000笔/天。 ●历史交易的联机保存：目前，大部分网点采用单机运行，业务量少，
XXX银行生产网络安全规划建议书 2006年6月
目录 1项目情况概述 (3) 2网络结构调整与安全域划分 (5) 3XXX银行网络需求分析 (7) 3.1网上银行安全风险和安全需求 (8) 3.2生产业务网络安全风险和安全需求 (9) 4总体安全技术框架建议 (11) 4.1网络层安全建议 (11) 4.2系统层安全建议 (13) 4.3管理层安全建议 (14) 5详细网络架构及产品部署建议 (15) 5.1网上银行安全建议 (15) 5.2省联社生产网安全建议 (17) 5.3地市联社生产网安全建议 (19) 5.4区县联社生产网安全建议 (19) 5.5全行网络防病毒系统建议 (20) 5.6网络安全管理平台建议 (21) 5.6.1部署网络安全管理平台的必要性 (21) 5.6.2网络安全管理平台部署建议 (22) 5.7建立专业的安全服务体系建议 (23) 5.7.1现状调查和风险评估 (24) 5.7.2安全策略制定及方案设计 (24) 5.7.3安全应急响应方案 (25) 6安全规划总结 (28) 7产品配置清单 (29)
1项目情况概述 Xxx银行网络是一个正在进行改造的省级银行网络。整个网络随着业务的不断扩展和应用的增加，已经形成了一个横纵联系，错综复杂的网络。从纵向来看，目前XXX银行网络分为四层，第一层为省联社网络，第二层为地市联社网络，第三层为县（区）联社网络，第四层为分理处网络。 从横向来看，省及各地市的银行网络都按照应用划分为办公子网、生产子网和外联网络三个大子网。而在省中心网上，还包括网上银行、测试子网和MIS子网三个单独的子网。其整个网络的结构示意图如下： 图1.1 XXX银行网络结构示意图 XXX银行网络是一个正在新建的网络，目前业务系统刚刚上线运行，还没有进行信息安全方面的建设。而对于XXX银行网络来说，生产网是网络中最重要的部分，所有的应用也业务系统都部署在生产网上。一旦生产网出现问题，造成的损失和影响将是不可估量的。因此现在急需解决生产网的安全问题。
网络安全方案设计书 公司网络安全隐患与需求分析 1.1 网络现状公司计算机通过内部网相互连接与外网互联，在内部网络中，各服务部门计算机在同一网段，通过交换机连接。如下图所示： 1.2 安全隐患分析 1.2.1 应用系统的安全隐患应用系统的安全跟具体的应用有关，它涉及面广。应用系统的安全是动态的、不断变化的。应用的安全性也涉及到信息的安全性，它包括很多方面。应用的安全性也是动态的。需要对不同的应用，检测安全漏洞，采取相应的安全措施，降低应用的安全风险。主要有文件服务器的安全风险、数据库服务器的安全风险、病毒侵害的安全风险、数据信息的安全风险等。 1.2.2 管理的安全隐患管理方面的安全隐患包括：内部管理人员或员工图方便省事，不设置用户口令，或者设置的口令过短和过于简单，导致很容易破解。责任不清，使用相同的用户名、口令，导致权限管理混乱，信息泄密。用户权限设置过大、开放不必要的服务端口，或者一般用户因为疏忽，丢失帐号和口令，从而造成非授权访问，以及把内部网络结构、管理员用户名及口令以及系统的一些重要信息传播给外人带来信息泄漏风险。可能造成极大的安全风险。 1.2.3 操作系统的安全漏洞计算机操作系统尤其服务器系统是被攻击的重点，如果操作系统因本身遭到攻击，则不仅影响机器本身而且会消耗大量的网络资源，致使整个网络陷入瘫痪。 1.2.4 病毒侵害 一旦有主机受病毒感染，病毒程序就完全可能在极短的时间内迅速扩散，传播到网络上的其他主机，可能造成信息泄漏、文件丢失、机器不能正常运行等。
2.1 需求分析 公司根据业务发展需求，建设一个小型的企业网，有Web、Mail 等服务器和办公区客 户机。企业分为财务部门和综合部门，需要他们之间相互隔离。同时由于考虑到Internet 的安全性，以及网络安全等一些因素。因此本企业的网络安全构架要求如下： 1. 根据公司现有的网络设备组网规划； 2. 保护网络系统的可用性； 3. 保护网络系统服务的连续性； 4. 防范网络资源的非法访问及非授权访问； 5. 防范入侵者的恶意攻击与破坏； 6. 保护企业信息通过网上传输过程中的机密性、完整性； 7. 防范病毒的侵害； 8. 实现网络的安全管理。 通过了解公司的需求与现状，为实现网络公司的网络安全建设实施网络系统改造，提高企业网络系统运行的稳定性，保证企业各种设计信息的安全性，避免图纸、文档的丢失和外泄。通过软件或安全手段对客户端的计算机加以保护，记录用户对客户端计算机中关键目录和文件的操作，使企业有手段对用户在客户端计算机的使用情况进行追踪，防范外来计算机的侵入而造成破坏。通过网络的改造，使管理者更加便于对网络中的服务器、客户端、登陆用户的权限以及应用软件的安装进行全面的监控和管理。因此需要 （1）构建良好的环境确保企业物理设备的安全 （2）划分VLAN 控制内网安全 （3）安装防火墙体系 （4）安装防病毒服务器 （5）加强企业对网络资源的管理 如前所述，公司信息系统存在较大的风险，网络信息安全的需求主要体现在如下几点： （1）公司信息系统不仅需要安全可靠的计算机网络，也需要做好系统、应用、数据各方面的安全防护。为此，要加强安全防护的整体布局，扩大安全防护的覆盖面，增加新的安全防护手段。 （2）网络规模的扩大和复杂性的增加，以及新的攻击手段的不断出现，使公司计算机网络安全面临更大的挑战，原有的产品进行升级或重新部署。 （3）信息安全工作日益增强的重要性和复杂性对安全管理提出了更高的要求，为此要制定健全的管理制度和严格管理相结合。保障网络的安全运行，使其成为一个具有良好的安全性、可扩充性和易管理性的信息网络便成为了首要任务。 （4）信息安全防范是一个动态循环的过程，如何利用专业公司的安全服务，做好事前、事中和事后的各项防范工作，应对不断出现的各种安全威胁，也是公司面临的重要课题。
员工培训设计方案四要素 随着社会发展进入了21世纪，全球经济一体化进程已经飞速在发展，企业作为市场微观主题，也正在面临着越来越激烈而无情的市场竞争，应该怎样在这种激烈的竞争较量中适者生存并长期持续发展，是每个企业的管理层时时刻刻所梦萦魂牵的首要问题，而企业培训的重要性也就不言而喻。 作为企业员工培训设计方案可以从以下四大要素中找寻思路： 一、设计合理的员工培训体系 员工培训方案是一个庞大的体系，包括培训目标、培训内容、培训指导者、员工、培训日期和时间、培训场所与设备以及培训方法等众多的要素，是这些要素的有机结合，也是对酒店员工进行培训需求分析的前提和关键。 二、设置科学的培训目标 招聘员工目的就是要员工从事某个岗位。如果员工的职能和预期职务之间存在一定的差距;消除这个差距就是酒店的培训目标。设置培训目标将为培训计划提供明确方向和依循的构架。要达到培训目标，就要求员工通过培训掌握一些知识和技能，这些都是以培训体系分析为基础的。 明确员工的现有职能与预期中的职务要求二者之间的差距;即确定了培训目标，把培训目标进行细化，明确化，则转化为各层次的具体目标，目标越具体越具有可操作性，越有利于总体目标的实现。 三、选择合理的培训内容 在明确培训目的后，接下来就需要确定培训中所应包括的传授信息。尽管具体的培训内容千差万别，但一般来说包括三个层次，即知识培训、技能培训和素质培训。 四、确定合适的培训日期 应在时间比较方便或培训费用比较便宜的时候提供培训。有的把计划定在生产淡季以防止影响酒店经营，殊不知因为未及时培训却造成了服务质量下降，客人投诉增加，代价更高。员工培训方案的设计必须做到何时需要何时培训，通常情况下有下列四种情况之一时就需
内外网安全等级保护建设项目初步设计方案 编制单位：
编制时间：二〇一五年三月
目录 1.信息安全概述 (77) 什么是信息安全？ (77) 为什么需要信息安全 (77) 1.1 安全理念 (88) 1.1.1系统生命周期与安全生命周期 (88) 1.1.2 ..........................3S安全体系－以客户价值为中心88 1.1.3关注资产的安全风险 (99) 1.1.4安全统一管理 (1010) 1.1.5安全 = 管理 + 技术 (1010) 1.2 计算机系统安全问题 (1010) 1.2.1 从计算机系统的发展看安全问题 (1111) 1.2.2 从计算机系统的特点看安全问题 (1111) 2.物理安全 (1212) 2.1 设备的安全 (1212) 3.访问控制 (1515) 3.1访问控制的业务需求 (1616) 3.2用户访问的管理 (1616) 3.3用户责任 (1818) 3.4网络访问控制 (2020) 3.5操作系统的访问控制 (2323) 3.6应用系统的访问控制 (2727) 3.7系统访问和使用的监控 (2727)
3.8移动操作及远程办公 (3030) 4.网络与通信安全 (3131) 4.1网络中面临的威胁 (3232) 5.系统安全设计方案............ 错误!未定义书签。错误!未定义书签。 5.1系统安全设计原则........... 错误!未定义书签。错误!未定义书签。 5.2建设目标................... 错误!未定义书签。错误!未定义书签。 5.3总体方案................... 错误!未定义书签。错误!未定义书签。 5.4总体设计思想............... 错误!未定义书签。错误!未定义书签。 5.4.1内网设计原则..... 错误!未定义书签。错误!未定义书签。 5.4.2有步骤、分阶段实现安全建设错误!未定义书签。错误!未定义书签。 5.4.3完整的安全生命周期错误!未定义书签。错误!未定义书签。 5.5网络区域划分与安全隐患.. 错误!未定义书签。错误!未定义书签。 6.0网络安全部署............... 错误!未定义书签。错误!未定义书签。 保护目标.............. 错误!未定义书签。错误!未定义书签。 威胁来源.............. 错误!未定义书签。错误!未定义书签。 安全策略.............. 错误!未定义书签。错误!未定义书签。 6.1防火墙系统................. 错误!未定义书签。错误!未定义书签。 6.1.1防火墙系统的设计思想错误!未定义书签。错误!未定义书签。 6.1.2 防火墙的目的.... 错误!未定义书签。错误!未定义书签。 6.1.3 防火墙的控制能力错误!未定义书签。错误!未定义书签。 6.1.4 防火墙特征...... 错误!未定义书签。错误!未定义书签。 6.1.5 第四代防火墙的抗攻击能力错误!未定义书签。错误!未定义书签。 6.1.6 防火墙产品的选型与推荐错误!未定义书签。错误!未定义书签。
目录 1 银行系统的安全设计 1 1.1 非法访问 (1) 1.2 窃取PIN/密钥等敏感数据 (1) 1.3 假冒终端/操作员 (1) 1.4 截获和篡改传输数据 (1) 1.5 网络系统可能面临病毒的侵袭和扩散的威胁 (1) 1.6 其他安全风险 (1) 2 银行系统的网络拓扑图及说明 (2) 3 银行系统的网络安全部署图及说明 (3) 3.1 敏感数据区的保护 (3) 3.2 通迅线路数据加密 (3) 3.3 防火墙自身的保护 (4) 4 系统的网络设备选型及说明 (5) 4.1 核心层交换机 (5) 4.2 汇聚层交换机 (5) 4.3 接入层交换机 (6) 4.4 路由器 (6) 4.5 服务器 (7) 5 安全配置说明 (8) 5.1 防火墙技术 (8) 5.2 网络防病毒体系 (8) 5.3 网络入侵检测技术 (8) 5.4 网络安全审计技术 (9) 5.5 VPN技术 (9) 总结 (10) 一．银行系统的安全设计
银行网络作为一个金融网络系统，由于涉及信息的敏感性自然会成为内部和外部黑客攻击的目标，当前银行面临的主要风险和威胁有： 1.1非法访问：银行网络是一个远程互连的金融网络系统。现有网络系统利用操作系统网络设备进行访问控制，而这些访问控制强度较弱，攻击者可以在任一终端利用现有的大量攻击工具发起攻击；由于整个网络通过公用网络互连同样存在终端进行攻击的可能；另一方面银行开发的很多增值业务、代理业务，存在大量与外界互连的接口这些接口现在没有强的安全保护措施存在外部网络通过这些接口攻击银行，可能造成巨大损失。 1.2窃取PIN/密钥等敏感数据：银行信用卡系统和柜台系统采用的是软件加密的形式保护关键数据，软件加密采用的是公开加密算法（DES），因此安全的关键是对加密密钥的保护，而软件加密最大的安全隐患是无法安全保存加密密钥，程序员可修改程序使其运行得到密钥从而得到主机中敏感数据。 1.3假冒终端/操作员：银行网络中存在大量远程终端通过公网与银行业务前置机相连国内银行以出现多起在传输线路上搭接终端的案例。银行网络同样存在大量类似安全隐患。现有操作员身份识别唯一，但口令的安全性非常弱因此存在大量操作员假冒的安全风险。 1.4截获和篡改传输数据：银行现有网络系统通过公网传输大量的数据没有加密，由于信息量大且采用的是开放的TCP/IP，现有的许多工具可以很容易的截获、分析甚至修改信息，主机系统很容易成为被攻击对象。 1.5网络系统可能面临病毒的侵袭和扩散的威胁： （1）黑客侵扰类似于网络间谍，但前者没有政治和经济目的，利用自己精通计算机知识，利用他人编程的漏洞，侵入金融信息系统，调阅各种资料，篡改他人的资料，将机密信息在公用网上散发广播等。 （2）计算机病毒是一种依附在各种计算机程序中的一段具有破坏性、能自我繁衍的计算机程序，它通过软盘、终端或其它方式进入计算机系统或计算机网络，引起整个系统或网络紊乱，甚至造成瘫痪。 1.6其他安全风险：主要有系统安全（主要有操作系统、数据库的安全配置）以及系统的安全备份等。 二．银行系统的网络拓扑图及说明 随着信息技术的发展，社会的信息化程度提高了，网络银行、电子银行出现了，整个银行业、金融业都依赖于信息系统。交易网络化、系统化、快速化和货币数字经是当前金融业的特点，这对金融信息系统的安全保密性提出了严格的要求。金融信息系统必须保证
目录 1、网络安全问题 (3) 2、设计的安全性 (3) 可用性 (3) 机密性 (3) 完整性 (3) 可控性 (3) 可审查性 (3) 访问控制 (3) 数据加密 (3) 安全审计 (3) 3、安全设计方案 (5) 设备选型 (5) 网络安全 (7) 访问控制 (9) 入侵检测 (10) 4、总结 (11) 1、网络安全问题 随着互联网的飞速发展，网络安全逐渐成为一个潜在的巨大问题。网络安全性是一个涉及面很广泛的问题，其中也会涉及到是否构成犯罪行为的问题。在其最简单的形式中，它主要关心的是确保无关人员不能读取，更不能修改传送给其他接收者的信息。此时，它关心的对象是那些无权使用，但却试图获得远程服务的人。安全性也处理合法消息被截获和重播的问题，以及发送者是否曾发送过该条消息的问题。 大多数安全性问题的出现都是由于有恶意的人试图获得某种好处或损害某些人而故意引起的。可以看出保证网络安全不仅仅是使它没有编程错误。它包括要防范那些聪明的，通常也是狡猾的、专业的，并且在时间和金钱上是很充足、富有的人。同时，必须清楚地认识到，能够制止偶然实施破坏行为的敌人的方法对那些惯于作案的老手来说，收效甚微。 网络安全性可以被粗略地分为4个相互交织的部分：保密、鉴别、反拒认以及完整性控制。保密是保护信息不被未授权者访问，这是人们提到的网络安全性时最常想到的内容。鉴别主要指在揭示敏感信息或进行事务处理之前先确认对方的身份。反拒认主要与签名有关。保密和完整性通过使用注册过的邮件和文件锁来
2、设计的安全性 通过对网络系统的风险分析及需要解决的安全问题，我们需要制定合理的安全策略及安全方案来确保网络系统的机密性、完整性、可用性、可控性与可审查性。即， 可用性：授权实体有权访问数据 机密性：信息不暴露给未授权实体或进程 完整性：保证数据不被未授权修改 可控性：控制授权范围内的信息流向及操作方式 可审查性：对出现的安全问题提供依据与手段 访问控制：需要由防火墙将内部网络与外部不可信任的网络隔离，对与外部网络交换数据的内部网络及其主机、所交换的数据进行严格的访问控制。同样，对内部网络，由于不同的应用业务以及不同的安全级别，也需要使用防火墙将不同的LAN或网段进行隔离，并实现相互的访问控制。 数据加密：数据加密是在数据传输、存储过程中防止非法窃取、篡改信息的有效手段。 安全审计：是识别与防止网络攻击行为、追查网络泄密行为的重要措施之一。具体包括两方面的内容，一是采用网络监控与入侵防范系统，识别网络各种违规操作与攻击行为，即时响应（如报警）并进行阻断；二是对信息内容的审计，可以防止内部机密或敏感信息的非法泄漏 针对企业现阶段网络系统的网络结构和业务流程，结合企业今后进行的网络化应用范围的拓展考虑，企业网主要的安全威胁和安全漏洞包括以下几方面：（1）内部窃密和破坏 由于企业网络上同时接入了其它部门的网络系统，因此容易出现其它部门不怀好意的人员(或外部非法人员利用其它部门的计算机)通过网络进入内部网络，并进一步窃取和破坏其中的重要信息(如领导的网络帐号和口令、重要文件等)，因此这种风险是必须采取措施进行防范的。 （2）搭线(网络)窃听 这种威胁是网络最容易发生的。攻击者可以采用如Sniffer等网络协议分析工具，在INTERNET网络安全的薄弱处进入INTERNET，并非常容易地在信息传输过程中获取所有信息(尤其是敏感信息)的内容。对企业网络系统来讲，由于存在跨越INTERNET的内部通信(与上级、下级)这种威胁等级是相当高的，因此也是本方案考虑的重点。 （3）假冒 这种威胁既可能来自企业网内部用户，也可能来自INTERNET内的其它用户。如系统内部攻击者伪装成系统内部的其他正确用户。攻击者可能通过冒充合法系统用户，诱骗其他用户或系统管理员，从而获得用户名/口令等敏感信息，进一步窃取用户网络内的重要信息。或者内部用户通过假冒的方式获取其不能阅读的秘密信息。 （4）完整性破坏 这种威胁主要指信息在传输过程中或者存储期间被篡改或修改，使得信息/
员工培训方案的设计步骤 现代企业之间的竞争说到底是人才的竞争，因此，搞好员工培训就显得尤为重要。员工培训工作离不开培训方案，那么，如何设计员工培训方案呢？笔者认为，在这一过程中，要抓好以下几个方面。 一、培训需求分析 培训需求分析需要从企业、工作、个人三个方面进行。首先，要进行企业分析，确定企业范围内的培训需求，以保证培训计划符合企业的整体目标和战略要求。其次，要进行工作分析，分析员工取得理想的工作绩效所必须掌握的知识和技能。再次，要进行个人分析，将员工现有的水平与预期未来对员工技能的要求进行比照，看两者之间是否存在差距。当能力不能满足工作需要时，就要进行培训。 二、培训方案组成要素分析 培训方案是培训目标、培训内容、培训指导者、培训对象、培训日期与时间、培训场所与设备以及培训方法的有机结合。在培训需求分析的基础上，要对培训方案的各组成要素进行具体分析。 （一）培训目标的确定 确定培训目标会给培训计划提供明确的方向。有了培训目标，才能确定培训对象、内容、时间、教师、方法等具体内容，并在培训之后对照此目标进行效果评估。确定了总体培训目标，再把培训目标进行细化，就成了各层次的具体目标。目标越具体越具有可操作性，越有利于总体目标的实现。 （二）培训内容的选择
一般来说，培训内容包括三个层次，即知识培训、技能培训和素质培训。 知识培训是企业培训中的第一个层次。员工听一次讲座或者看一本书，就可能获得相应的知识。知识培训有利于理解概念，增强对新环境的适应能力。技能培训是企业培训中的第二个层次。招进新员工、采用新设备、引进新技术等都要求进行技能培训，因为抽象的知识培训不可能立即适应具体的操作。素质培训是企业培训中的最高层次。素质高的员工即使在短期内缺乏知识和技能，也会为实现目标有效、主动地进行学习。 究竟选择哪个层次的培训内容，是由不同受训者的具体情况决定的。一般来说，管理者偏向于知识培训和素质培训，一般职员偏向于知识培训和技能培训。 （三）培训指导者的确定 培训资源可分为内部资源和外部资源。内部资源包括企业的领导、具备特殊知识和技能的员工，外部资源是指专业培训人员、公开研讨会或学术讲座等。外部资源和内部资源各有优缺点，应根据培训需求分析和培训内容来确定。 （四）培训对象的确定 根据培训需求、培训内容，可以确定培训对象。岗前培训是向新员工介绍企业规章制度、企业文化、岗位职责等内容，使其迅速适应环境。对于即将转换工作岗位的员工或者不能适应当前岗位的员工，可以进行在岗培训或脱产培训。
1.1 某市政府网络系统现状分析 《某市电子政务工程总体规划方案》主要建设内容为：一个专网(政务通信专网)，一个平台(电子政务基础平台)，一个中心(安全监控和备份中心)，七大数据库(经济信息数据库、法人单位基础信息数据库、自然资源和空间地理信息数据库、人口基础信息库、社会信用数据库、海洋经济信息数据库、政务动态信息数据库)，十二大系统(政府办公业务资源系统、经济管理信息系统、政务决策服务信息系统、社会信用信息系统、城市通卡信息系统、多媒体增值服务信息系统、综合地理信息系统、海洋经济信息系统、金农信息系统、金水信息系统、金盾信息系统、社会保障信息系统)。主要包括： 政务通信专网 电子政务基础平台 安全监控和备份中心 政府办公业务资源系统 政务决策服务信息系统 综合地理信息系统 多媒体增值服务信息系统
某市政府中心网络安全方案设计 1.2 安全系统建设目标 本技术方案旨在为某市政府网络提供全面的网络系统安全解决方案，包括安全管理制度策略的制定、安全策略的实施体系结构的设计、安全产品的选择和部署实施，以及长期的合作和技术支持服务。系统建设目标是在不影响当前业务的前提下，实现对网络的全面安全管理。 1) 将安全策略、硬件及软件等方法结合起来，构成一个统一的防御系统，有效阻止非法用户进入网络，减少网络的安全风险； 2) 通过部署不同类型的安全产品，实现对不同层次、不同类别网络安全问题的防护； 3) 使网络管理者能够很快重新组织被破坏了的文件或应用。使系统重新恢复到破坏前的状态。最大限度地减少损失。 具体来说，本安全方案能够实现全面网络访问控制，并能够对重要控制点进行细粒度的访问控制； 其次，对于通过对网络的流量进行实时监控，对重要服务器的运行状况进行全面监控。 1.2.1 防火墙系统设计方案 1.2.1.1 防火墙对服务器的安全保护 网络中应用的服务器，信息量大、处理能力强，往往是攻击的主要对象。另外，服务器提供的各种服务本身有可能成为"黑客"攻击的突破口，因此，在实施方案时要对服务器的安全进行一系列安全保护。 如果服务器没有加任何安全防护措施而直接放在公网上提供对外服务，就会面临着"黑客"各种方式的攻击，安全级别很低。因此当安装防火墙后，所有访问服务器的请求都要经过防火墙安全规则的详细检测。只有访问服务器的请求符合防火墙安全规则后，才能通过防火墙到达内部服务器。防火墙本身抵御了绝大部分对服务器的攻击，外界只能接触到防火墙上的特定服务，从而防止了绝大部分外界攻击。 1.2.1.2 防火墙对内部非法用户的防范 网络内部的环境比较复杂，而且各子网的分布地域广阔，网络用户、设备接入的可控性比较差，因此，内部网络用户的可靠性并不能得到完全的保证。特别是对于存放敏感数据的主机的攻击往往发自内部用户，如何对内部用户进行访问控制和安全防范就显得特别重要。为了保障内部网络运行的可靠性和安全性，我们必须要对它进行详尽的分析，尽可能防护到网络的每一节点。 对于一般的网络应用，内部用户可以直接接触到网络内部几乎所有的服务，网络服务器对于内部用户缺乏基本的安全防范，特别是在内部网络上，大部分的主机没有进行基本的安
随着网络的快速发展，各金融企业之间的竞争也日益激烈，主要是通过提高金融机构的运作效率，为客户提供方便快捷和丰富多彩的服务，增强金融企业的发展能力和影响力来实现的。为了适应这种发展趋势，银行在改进服务手段、增加服务功能、完善业务品种、提高服务效率等方面做了大量的工作，以提高银行的竞争力，争取更大的经济效益。而实现这一目标必须通过实现金融电子化，利用高科技手段推动金融业的发展和进步，银行外联网络的建设为进一步提高银行业服务手段，促进银企的发展提供了有力的保障，并且势必为银行业的发展带来巨大的经济效益。 然而随着网络应用不断扩大，它的反面效应也随着产生。通过网络使得黑客或工业间谍以及恶意入侵者侵犯和操纵一些重要信息成为可能，因而引发出网络安全性问题。正如我国著名计算机专家沈昌祥院士指出的："信息安全保障能力是21世纪综合国力、经济竞争实力和生存能力的重要组成部份，是世纪之交世界各国在奋力攀登的制高点"。二十世纪未，美国一些著名网站、银行、电子商务网站造受黑客攻击；黑客入侵微软窃取源代码软件等重要案件，都证明了网络安全的严重性，因此，解决银行外联网络安全问题刻不容缓。 一银行外联网络安全现状 1、银行外联种类 按业务分为： 银行外联业务种类繁多，主要有：证银联业务、社保IC卡、房改公积金管理系统、代收中联通话费、代收移动话费、同城清算、人行税银库企系统、人行银行信贷登记系统、金融统计数据报送、国际收支数据报送、电子口岸、代收电费、代扣社保费、代收国税、代收地税、代收固话费、财局国库集中系统、统发工资系统、代收财政罚款、物业维修基金、非税系统、重要客户系统等等。 按单位分： 随着外联业务的不断扩大，外联单位也不断增加，主要有：各个证券公司、社保局、房改办、联通公司、移动公司、海关、电力公司、国税局、地税局、电信公司、供水公司、政府政务网、人行金融网、银行的重客单位等等。 按线路分： 外联线路主要以专线为主，部分外联业务采用拨号方式，线路类型主要有：幀中继、SDH、DDN、城域网、拨号等。 2、提供外联线路的运营商 根据外联单位的不同需求，有多家运营商提供线路服务，主要有：电信公司、盈通公司、网通公司、视通公司等
小型企业网络安全管理
目录 第一章计算机网络安全概述 (3) 1.1计算机网络的概念 (3) 1.2计算机网络安全的概念 (3) 1.3计算机网络安全的特征 (3) 第二章方案设计原则 (3) 2.1先进性与成熟性 (3) 2.2 实用性与经济性 (3) 2.3扩展性与兼容性 (4) 2.4标准化与开放性 (4) 2.5安全性与可维护性 (4) 2.6 整合型好 (4) 第三章企业网络信息安全需求分析 (4) 3.1 企业信息网络安全需求 (5) 3.2 企业信息网络安全内容 (5) 3.3网络拓扑图 (6) 第四章企业信息网络安全架构 (6) 4.1企业信息网络安全系统设计 (6) 4.2 企业信息网络安全系统组建 (6) 第五章企业信息网络安全工程的部署 (6) 5.1 工程环节 (7) 5.1.1安全的互联网接入 (7) 5.1.2防火墙访问控制 (7) 5.1.3用户认证系统 (7) 5.1.4入侵检测系统 (7) 5.1.5网络防病毒系统 (7) 5.1.6 VPN加密系统 (8) 5.1.7网络设备及服务器加固 (8) 5.1.8办公电脑安全管理系统 (8) 5.1.9数据备份系统 (8) 5.2 持续性计划 (8)
第一章计算机网络安全概述 1.1计算机网络的概念 是由计算机为主的资源子网和通信设备及传输介质为主的通信子网两部分组成。因此，计算机网络的安全就是指这两部分的安全。 1.2计算机网络安全的概念 是指通过采用各种安全技术和管理上的安全措施，确保网络数据的可用性完整性和保密性，其目的是确保经过网络传输和交换的数据不会被增加、修改、丢失和泄露等。 1.3计算机网络安全的特征 网络安全的基本定义是：确保网络服务的可用性和网络信息的完整性。 （1）保密性 （2）完整性：数据具有未经授权不能改变的特性。 （3）可用性：通常是指网络中主机存放的静态信息具有可用性和可操作的特性。 （4）实用性：即保证信息具有实用的特性； （5）真实性：是指信息的可信度； （6）占有性：是指存储信息的主机、磁盘和信息载体等不被盗用，并具有该信息的占有权。即保证不丧失对信息的所有权和控制权。 第二章方案设计原则 2.1先进性与成熟性 采用当今国内、国际上先进和成熟的计算机应用技术，使搭建的硬件平台能够最大限度的适应今后的办公自动化技术和系统维护的需要。从现阶段的发展来看，系统的总体设计的先进性原则主要体现在使用Thin-Client/Server计算机体系是先进的、开放的体系结构，当系统应用量发生变化时具备良好的可伸缩性，避免瓶颈的出现。 2.2 实用性与经济性 实用性就是能够最大限度地满足实际工作的要求，是每个系统平台在搭建过程中必须考虑的一种系统性能，它是对用户最基本的承诺。办公自动化硬件平台是为实际使用而建立，
★机密 山东冬映红股份公司 员工培训管理办法 北大纵横管理咨询公司
二零零四年六月
目录 第一部分员工培训设计方案 (1) 第一章总则 (1) 第二章培训种类和形式 (2) 第三章培训组织与管理 (3) 第四章受训者的权利与义务 (4) 第五章培训计划与实施 (5) 第六章培训成果呈报 (6) 第七章培训评估 (6) 第八章培训费用 (7) 第九章员工培训出勤管理 (7) 第二部分新员工培训管理办法 (8) 第一章总则 (8) 第二章培训管理 (8) 第三章通识训练 (9) 第四章部门内工作引导 (9) 第五章部门间交叉引导 (9) 第六章新员工培训评估 (9) 第三部分岗位技能培训管理办法 (11) 第一章总则 (11) 第二章高层管理人员的培训 (11) 第三章中层管理人员的培训 (12)
第四章员工的培训 (13) 第四部分员工外派培训管理办法 (15) 第一章总则 (15) 第二章外派培训人员资格 (15) 第三章外派培训处理程序 (15) 第四章外派培训人员工资 (16) 第五部分附件 (17) 附件1培训需求调查表 (17) 附件2计划外部门培训申请表 (18) 附件3员工外派培训申请表 (19) 附件4员工培训考核记录 (20) 附件5在职培训总结表 (21) 附件6培训工作评价表 (22) 附件7在岗培训费用申请单 (23) 附件8员工培训签到表 (24)
第一部分员工培训设计方案 第一章总则 第一条适用范围 本设计方案适用于冬映红股份的全体员工。 第二条培训目的 （一）从根本目的来说，满足冬映红股份长远的战略发展需要； （二）从职位要求来说，满足职位要求，改进现有职位的业绩； （三）从员工角度来说，满足员工职业生涯发展的需要； （四）从管理变革来说，改变员工对工作与冬映红股份的态度； （五）从响应环境来说，有利于员工更新知识，适应新技术、新工艺的要求。 第三条培训宗旨 全员培训，终生培训。 第四条培训方针 自我培训与传授培训相结合、岗位技能培训与专业知识培训相结合。 第五条培训原则 对员工的培训遵循系统性原则、制度化原则、主动性原则、多样化原则、学以致用原则和效益性原则。 （一）系统性 员工培训是一个全员性的、全方位的、贯穿员工职业生涯始终的系统工程。 （二）制度化