谈烟草行业信息安全运维管理体系的建设[摘要]随着我国信息技术的不断发展,管理信息化､办公信息化､生产信息化已经成为烟草行业现代化建设的目标｡随着这一目标的逐渐达成,信息系统的安全运维管理就变成当前烟草行业需要考量的问题｡信息系统的确为产品生产和办公带来了很大的便利,节约了一定的成本,但是只有建设安全运维管理体系,才可以保证信息系统发挥其便利优势,同时也可以保证信息的安全｡[关键词]烟草行业;信息安全;运维管理一､引言信息安全已经成为信息化进程中不可或缺的要素,是国家安全､社会安全､经济安全的重要组成部分｡但随着信息化应用日益广泛,信息系统中存储的大量有价值的信息和数据已经成为各种网络犯罪组织和恶意势力的攻击目标｡网络非法行为日趋复杂,且更为频繁,各种攻击方法相互融合,攻击手段更为隐蔽,破坏性更强,攻击从网络层向应用层迁移｡黑客攻击行为组织性更强,僵尸网络大量出现;攻击目标从单纯的追求名声向获取多方面实际利益转变｡近年来,国外的众多国家开始制订信息安全相关的法律法规,强制企业按安全国际标准执行,使合规管理成为信息安全的一大主题｡本文以烟草商业系统信息安全运维管理体系建设为例,试图对烟草行业信息化建设中的安全问题进行研究｡二､信息安全运维管理体系基本技术2.1网络安全管理技术信息安全首要就是网络安全,因为在互联网时代,信息化系统是离不开网络的｡无论是处于局域网下的生产ERP系统,还是处于互联网下的线上办公,对网络的依赖都比较大｡因此,网络安全管理是烟草行业信息安全运维服务管理体系建设要首要考虑的问题｡网络安全管理的主要组成部分包括安全事件的采集､安全事件的管理､安全设备的监控｡这三部分应是烟草行业在建设信息安全运维服务管理体系时首要考虑的内容｡2.2信息系统安全运维管理体系信息系统安全运维管理体系主要分成两个部分:一是管理体系,主要负责信息系统用户使用模式规范化､系统授权统一管理及体系建设的标准指导;二是技术运维体系,主要负责系统基本功能的实现,以及保障系统安全运行,同时要保证管理体系建设紧跟信息技术的发展｡三､烟草行业信息安全运维管理体系建设策略3.1网络安全管理体系建设策略网络安全管理体系建设主要指当下对网络依赖度较高的生产ERP系统､办公系统等系统的安全管理体系建设｡对于内外网互联而言,应针对性地提出网络安全管理标准,指导系统实现终端内外网统一接入｡以网络云技术统一内网和外网的认证､授权､访问控制问题,灵活､方便､安全､可靠地解决内外网安全接入的安全保障功能｡在确保网络业务顺利开展的同时,要监控系统整体流量,利用计算机分析数据流量,预测利用网络进行系统攻击的黑客行为,保障信息安全｡对于依赖内部局域网程度较高的生产ERP系统的网络管理体系建设而言,应注重对网络日志的留存和对网络事件的监控｡生产不容大意,网络日志的留存方便在系统出现问题时进行后续的追责,这就对系统操作员及相关领导的管理工作提出了较高的要求,也可以保证其操作的规范和管理的认真｡另外,网络事件的监控可以对系统的网络安全提前预警,将系统运行问题带来的负面影响降到最低｡3.2信息安全管理体系建设策略对于烟草行业整体的信息安全管理体系建设而言,所需要考虑的主要是三个层面:决策层面对信息安全管理体系建设的指导,业务层面对信息安全管理体系建设的需求,技术层面对信息安全管理体系建设的实现｡烟草行业有着自身的业务特点,管理也有相应的特殊之处｡因此,在进行烟草行业的信息安全管理体系建设时一定要全方位考虑决策管理的指导标准､业务实现的功能需求,技术层面上要保证需求和标准的实现｡首先是决策层面的指导,这一点较为重要｡决策层的指导意见是管理体系建设成效的根本保障｡没有具体化､标准化的指导意见,业务层在提需求时就有可能天马行空,给技术上的实现带来困难｡因此,指导的具体化标准是实现信息安全管理体系建设的根本｡其次是业务层面的需求,信息安全管理体系建设不能脱离业务｡业务完成的便利化､办公自动化､生产智能化是信息系统建设的根本目标,信息安全管理体系的建设必须考虑到这些功能的需求,不能为了绝对的安全而不顾系统建设的目标｡最后是技术层面的实现,实现信息安全管理体系建设的目标才是技术层面需要完成的事情｡由于当前烟草行业信息按管理体系建设尚在探索之中,因此在技术上的实现不能迈大步,要循序渐进｡第一,要对重点关键业务的信息安全管理体系进行相应的实现,这些业务包括但不限于财务､物流､生产等烟草行业重点业务,这些业务的信息安全是重中之重,技术上的优先实现是体系建设的目标之一｡第二,实现要循序渐进｡从技术层面考虑,体系有标准､有需求,其实现也是需要时间的｡所以,对信息安全管理体系的建设时间不能卡得很紧,可以优先实现一些紧要的业务信息安全管理体系功能,但是对于整体体系建设一定要保证充裕的时间,这样可以避免系统漏洞,也有助于体系建设的目标实现｡3.3运维服务体系建设策略运维服务体系建设是整个信息安全管理体系建设的重要模块之一｡首先是体系融合,由于信息安全管理体系建设的系统工程量巨大,是要进行外包的,而系统后期的运维要靠烟草行业内部员工,这就需要建设体系和运维体系相融合｡一是体系建设方要考虑烟草行业信息安全运维管理人员的实际操作水平,尽量不用难以学习的计算机技术做系统,保证后期运维难度不会过高｡二是信息安全管理运维体系的绩效问题,绩效可以衡量运维人员､管理人员的工作成效,但是目前烟草行业没有成熟的绩效管理体系,这就有可能导致运维人员工作不积极､管理人员态度消极等问题,各业务部门的要求得不到及时有效的回应,对信息安全管理运维体系的建设产生负面影响｡其次是注意对复合化人才的培养,信息安全管理体系建设完成后的运维体系建设一定要立足于行业内部,这就需要烟草行业培养既懂业务又懂信息技术的人才,这样的人才可以支撑起运维体系的建设｡而且,信息安全管理运维体系应该是与时俱进的｡随着信息技术的发展,体系的标准､体系的需求也要进行相应的发展,这就需要烟草行业定期开展相关的技术培训会,保证运维人员､管理人员的技术认知不会落后于信息技术的发展｡同时,要定期开展业务需求的培训,保证其在运维的同时不会忽略业务需求,保证体系的运维具备实用性｡四､结语在烟草行业信息化蓬勃发展的今天,信息安全运维管理体系的建设也愈加重要,对行业中各烟草企业本身的信息安全､网络安全都有着重要的意义｡综上所述,笔者认为需要从物理安全､网络安全､数据安全､应用系统安全､安全制度建设､安全教育培训多个方面进行全面､细致规划和周密､整体部署｡一方面要解决目前面临的主要安全问题,另一方面通过引入专业的信息安全服务团队,保障烟草信息系统的稳定安全运行,同时通过专业的安全服务,逐步构建动态､完整､高效的烟草信息安全整体,形成持续完善､自我优化的安全运维体系和管理体系,提高烟草信息系统的整体安全等级,为保证业务的健康发展和提升核心竞争力提供坚实的基础保障｡参考文献:[1]李益文.基于烟草行业业务可持续运行的信息安全运维管理体系的思考[J].东方企业文化,2012(22):38+40.[2]凌东龙.关于构建湖南烟草商业系统安全运维一体化体系的思考[A]//中国烟草学会.中国烟草学会2015年度优秀论文汇编[C].中国烟草学会,2015:8.[3]曲光学.加强信息化安全运维一体化建设助力企业精益管理[A]//中国烟草学会.中国烟草学会2016年度优秀论文汇编:信息化管理主题[C].中国烟草学会,2016:7.。
