企业如何保障企业信息安全

龙源期刊网

如何构建企业信息安全防护体系

作者：

来源：《中国计算机报》2014年第25期

对于国内企业尤其是涉及关键行业和重要领域的企业来说，构建全方位的信息安全防护体系意义重大，迫在眉睫。以下主要从政府和企业两个角度来谈谈对构建我国企业信息安全防护体系的想法。

从政府角度来看，需要加强信息安全法律法规建设，建立健全对企业信息系统的安全测试和评估检查工作，并在全国范围内建立有效的信息安全防护机制。

一是加快推进信息安全法律、法规和管理机制建设。建立信息安全相关产品和服务的安全审查制度，实行分类、分级管理，比如完善数据和软件的托管、个人隐私保护、安全管理规范等方面的标准和政策。

二是加强对企业信息系统的安全评估和测试工作。加快引导和推进国内关键行业和重点领域企业信息系统的安全评估和测试工作。在安全评估方面，主要针对企业主机安全保密检查与信息监管，评估分析重要信息是否发生泄露；在安全测试方面，针对企业信息系统的特征和需求，构造仿真测试环境。加强有效性测试、负荷与性能测试、一致性与兼容性测试等工作，并不断完善安全测评服务体系。

三是针对国家不同类型的信息系统建立严格的信息安全防护机制。根据信息系统重要性、信息量等指标的不同，建立严格的信息安全等级防护制度，并针对系统中国外产品的集成应用，制定特定的管理办法。

从企业角度来看，应重点加强对信息安全关键技术和核心产品的研发，提升企业信息安全专业服务水平，提升企业信息安全防护意识并加强与高校、科研机构，以及其他企业间的交流合作。

一是加强对网络安全、数据安全等关键技术和产品的研发。面向大数据、云计算、移动互联网等新兴领域，积极研究和开发与信息安全相关的产品和解决方案，探索新的业务模式；对标国外信息安全龙头企业开展相关业务，提升企业核心竞争力。

关于企业信息安全保障体系建设的探索

[摘要] 信息安全保障体系是由美国首先提出，并将其上升到国家战略、国际战略的高度。我国于2003年也明确提出建设我国的信息安全保障体系。本文通过对国内外建设的介绍，进而列出中国石油信息安全体系建设内容及存在问题，供其他企业借鉴。

［关键词］ 信息安全保障体系； 中国石油； 企业

信息安全保障（Ｉｎｆｏｒｍａｔｉｏｎ Ａｓｓｕｒａｎｃｅ，ＩＡ）来源于１９９６年美国国防部ＤｏＤ指令５－３６００．１（ＤｏＤＤ５－３６００．１）。其发展经历了通信安全、计算机安全、信息安全直至现在的信息安全保障。内容包括保护（Ｐｒｏｔｅｃｔion）、检测（Ｄｅｔｅｃｔion）、响应（Ｒｅsponse）、恢复（Ｒｅcovery） 4个环节，即ＰＤＲＲ模型。

信息安全保障体系分为人员体系、技术体系和管理体系3个层面，人员体系包括安全人员的岗位与职责、全体工作人员的安全管理两部分。技术体系由本地计算环境、区域边界、网络基础设施及支撑性基础设施组成。管理体系包括建立完善的信息安全管理体系、构建自上而下的各级信息安全管理组织架构、制定信息安全方针与信息安全策略及完善信息安全管理制度4个板块。通过纵深防御的多层防护，多处设置保护机制，抵御通过内部或外部从多点向信息系统发起的攻击，将信息系统的安全风险降低到可以接受的程度。

２ 国外信息安全保障体系建设

美国的信息化程度全球最高，在信息技术的主导权和网络上的话语权等方面占据先天优势，他们在信息安全保障体系建设以及政策支持方面也走在全球的前列。美国政府先后发布了一系列政策战略报告，将信息安全由“政策”、“计划”上升到“国家战略”及“国际战略”的高度。美国国土安全局是美国信息安全管理的最高权力机构，其他负责信息安全管理和执行的机构有国家安全局、联邦调查局、国防部、商务部等，主要根据相应的方针和政策结合自己部门的情况实施信息安全保障工作。

其他国家也都非常重视信息安全保障工作。构建可信的网络，建设有效的信息安全保障体系，实施切实可行的信息安全保障措施已经成为世界各国信息化发展的主要需求。信息化发展比较好的发达国家，如俄、德、日等国家都已经或正在制定自己的信息安全发展战略和发展计划，确保信息安全沿着正确的方向发展，在信息安全领域不断进行着积极有益的探索。

企业信息化如何保障数据安全？

当今大数据时代，数据安全与企业业务紧密相关。然而，近年频繁出现的勒索等病毒，正在不断升级，猖獗蔓延，严重威胁企业数据安全。随着5G加速发展和商用，新型的物联网终端不断增加，企业未来还将产生大量数据。这些数据涉及到企业的客户、销售、技术、生产、工艺等方方面面，安全性尤其重要。

毋庸置疑，数据已经成为企业宝贵资产。也正因此，全球很多知名企业频繁被爆数据泄漏事件，小型数据勒索事件更是举不胜举。无论内部管理缺陷、人为失误，还是外部钓鱼网站、黑客攻击，都在促使企业加强信息安全防护。面对万物互联的全新时代，以及无处不在的业务场景，企业如何才能防患于未然？

作为中国企业管理软件领导品牌，智邦国际基于10多年服务各行企业的成功经验，通过一体化的管理软件，将客户、产品、销售、合同，到采购、库存、生产、售后，再到财务、人资、办公等各环节信息，纳入一套系统集成管理，提供贯穿整个经营过程的信息安全保护机制，让企业内外沟通协作更加安全、高效，同时保障业务持续稳定进行。 1、本地化数据存储

如果企业核心业务数据，全都存储在外部，而且没有所有权和控制权，将会存在很大安全隐患。智邦国际企业管理软件，支持数据本地化存储，可以安装在企业自己的服务器，数据也都存储在企业自己的服务器。

这些数据和数据后台，全都由企业自己管控，归企业所有，从源头上实现信息安全防护。后期无论通过电脑、手机、平板，或者PDA等，都能随时去查找、调用或管理，安全又便捷。

2、组合式身份认证

对企业数据管理来说，有了有效的身份认证，才能有效控制用户访问。智邦国际企业管理软件登录，基于账号（用户名+密码）、验证码等多重身份认证。

并且，通过IP地址设置，只允许账号在指定IP登录；通过MAC地址设置，只允许账号在指定电脑登录；通过服务器端/客户端加密狗，只允许所有账号/指定账号在授权下登录……

还能将这些方式按需组合，更好的满足外勤、财务等特定人员的身份认证和访问控制需求，从而主动保护企业信息安全。

如何构建企业安全防线，加强企业信息的安全保护

如何构建企业的安全防线，加强企业的信息的安全防护，这是每个企业管理层人员所关心的问题。

首先从我个人经验考虑应该以文档的产生-传输-使用-存储-销毁，这五个层次进行分析，并控制每个环节的安全。 业务数据从生成–传输–使用–存储–销毁五个环节考虑安全， 业务数据按照功能大体分成控制执行类数据、汇总报告类数据，输出指导类数据等，控制执行类主要是指大型企业的数据采集上来的对设备及系统的参数捕捉，形成的能够指导操作人员对系统进行配置更改的数据；汇总报告类数据主要是从基层系统中对生产的产品进行统计并通过数据采集到上位机进行统计汇总再进入ERP系统进行汇总的数据，也有直接连接到ERP进行手动录入的数据，可能是一个厂的产值或一个地区的销售额等数据；控制执行类数据，主要以上级机构或集团机关等领导层针对汇总报告类数据进行分析处理，得出的指导性文件。或是方针政策或是指导文件等。 详述如下：

1、生成，就是数据生成所处的环境安全，从集成的数据采集设备、中间阶段的手动录入过程、机关内的文档拟定环境等各个环节，都要进行安全风险评估，判定潜在的威胁，并形成风险，针对风险进行系统的安全加固；

2、传输，主要依托传输工具，如网络链路、存储介质。这个大家都知道怎么进行防范；比如使用超级加密3000对数据进行加密，可以达到防删除、防复制、防移动的效果。

3、使用，针对使用业务数据的人员进行授权控制，对人员使用数据的网络及物理环境进行分析，至于用啥方法防御，就看你如何说服客户防范了；

4、存储，无外乎如何配合存储手段，然后以分级授权方式进行存储数据的保护，确保在存储环节上的安全可靠，对存储有一个最大的挑战也就是如何进行数据的恢复使用，回滚数据是非常麻烦的事，也是企业不得不面临的问题； 这里分析的只以技术控制保护数据的安全，如何控制人员及避免人员的恶意破坏，还有待于管理方面的加强。

5、销毁，对于重要的信息，以文件或电子文档的形式存储并展示出来的，要进行严格的销毁流程，监管整个销毁的流程，确保不被抄袭，重点注意格式的泄漏，防止被套用模板进行恶意信息传播，影响生产。