網絡信息安全管理體系精選(九篇)
前言：一篇好文章的誕生，需要你不斷地搜集資料、整理思路，本站小編為你收集了豐富的網絡信息安全管理體系主題范文，僅供參考，歡迎閱讀并收藏。
第1篇：網絡信息安全管理體系范文
doi：10.3969/j.issn.1673 - 0194.2017.02.029
[中圖分類號]TP393.08 [文獻標識碼]A [文章編號]1673-0194（2017）02-00-02
目前，我國電力系統計算機網絡信息有著較好的發展。但仍存在一些問題，只有加強對電力系統計算機網絡信息的管理工作、強化安全運行及操作管理、加強電力系統計算機網絡信息風險的防范及加大系統運行的技術投入，才能確保電力系統計算機網絡信息安全、穩定的運行，并將其發揮到最大作用。電力系統信息網絡的管理是我國信息安全產業建設與發展的重要組成部分，但電力系統信息化管理的安全研究還存在很多不足，仍需加強對計算機網絡信息安全方面的研究。
1 計算機信息安全的概述
不少發達國家的政治、經濟及文化開始依賴于計算機信息的基礎設施，但同時也出現了強大的黑客攻擊，信息技術猶如新型的作戰技術，在當前的形式下，計算機信息的安全問題已成為各國面臨的巨大挑戰。因此，還需進一步加強對計算機信息安全的風險管理。1990年，英、法、荷蘭等歐共體國家聯合了關于信息技術安全評估的準則。1991年，頒布了關于計算機信息安全管理實用規則。這兩大準則的頒布，直接推動了計算機信息安全風險管理的發展。計算機信息安全的風險管理的研究內容有很多，比如，相關的制作規范和調節機制、業務信息和數據范圍、動態和靜態的數據管理要求、對交換的業務進行統一的規范、構建安全、協調、科學的管理體系和溝通協作模型、建立安全的管理支撐平臺等。2001年，國際標準化組織頒布了《信息安全管理實施指南》，其主要提出了關于風險管理的信息安全管理體系的構建，信息安全管理體系是一個以構建信息系統安全的縱深防御體系，這也推動了我國計算機信息安全風險管理的進一步發展，使其進入了深層次研究的階段。
目前，我國的計算機信息技術還處于發展階段，比較脆弱，可能會對個體及整個國家的電網帶來安全威脅。因此，還需構建規范的管理機制，建立高效、便捷的信息溝通管理平臺，并通過相關機制對計算機信息進行集中管理，提高調控的管理水平，只有這樣才能更好地確保計算機信息安全、穩定的運行。
2 計算機網絡信息安全在電力系統中的重要性
隨著我國經濟體制的深入改革，我國對計算機網絡信息管理安全的研究有了更進一步的發展。計算機網絡信息管理建設中常常會出現軟件、硬件、數據、病毒侵蝕等問題。對于電力企業來說，如果軟件中出現問題，會降低工作人員的工作效率；當硬件出現問題時，會影響到計算機的正常運作；當數據出現問題時，這些機密性、不可外泄的信息就會泄漏；當運行中出現問題時，會直接影響到網絡系統的正常運行；當計算機受到病毒侵蝕時，會造成整個系統的崩潰，直接影響網絡的安全性建設等。在某種意義上，計算機網絡信息安全在電力系統中實現了數據和信息資源直接的共享、數據之間的交換，構建了安全管理機制和支撐平臺，保障了溝通的方式的安全、科學、智能，可以說，其安全智能管理體系的建立不僅滿足了計算機行業可持續發展的要求，還提高了電力系統計算機網絡信息安全的水平。因此，加強計算機網絡信息管理建設的安全研究具有非常重要的現實意義，其在一定程度上關系到我國信息安全產業的健康發展。
3 我國電力系統信息網絡安全中存在的主要問題
隨著我國信息技術的不斷發展，我國電力系統計算機網絡信息的安全研究也有了進一步的發展。我國電力系統計算機網絡信息的安全研究直接影響到個人的工作效率，國家的未來發展等。由于信息安全題日益突出，大家對計算機信息安全的風險管理及發展趨勢有了更多的研究。我國電力系統信息網絡建設中還存在一些安全隱患，比如網絡安全、系統安全、數據安全等，電力系統信息網絡管理也存在很多問題，比如：缺少專業技術人才、安全管理制度不健全、網絡安全管理意識淡薄、沒有健全的信息化管理的標準體系等。
為了能科學、合理地構建規范的管理機制，還需建立高效、便捷的電力系統計算機網絡信息安全的制度，并通過相關機制進行集中管理，提高調控的管理水平，從而更好地確保電力系統計算機網絡信息的安全運行。總的來說，我國的電力系統信息網絡管理安全體系還處于發展的初級階段，缺乏先進的技術和創新型的人才。為了確保網絡系統的安全，仍需加強安全管理機制，且當務之急還是要迅速地建立起電力系統計算機網絡信息的標準體系，只有這樣才能進一步展現出我國科學、合理、完善的電力系統計算機網絡信息。
4 提高電力系統計算機網絡信息安全水平的策略
4.1 強化安全運行及操作管理
為了能更好地確保電力系統計算機網絡信息管理的正常運行，強化安全運行及科學的操作管理是必不可少的內容。由于我國的計算機網絡信息管理并不安全，所以，需通過強化安全運行，實施科學的網絡安全管理措施，采用規范的方法進行管理和改善，比如，采取雙機備、雙機容錯等方式，對一些關鍵的設備需要避免突發事件，對網絡架構方面的設計，要提高主干網絡鏈路的準確性。管理者也要加強自身科學文化、思想品德方面的教育，要做到與員工溝通，提高員工的思想認識和個人素質等。強化安全運行及操作管理能有效地解決我國計算機網絡信息化管理中的安全風險問題，這也是降低計算機網絡信息化管理中風險的有效策略。
4.2 強化密碼管理及計算機網絡信息化管理風險防范
為了能確保電力系統計算機網絡的正常運行，強化密碼管理、加強計算機網絡信息化管理風險的防范是必不可少的內容。由于我國當下的電力系統計算機網絡運行狀況并不安全，丟失的密碼很難找到，因此，對計算機網絡設置密碼時，不可設置默認密碼，還需定期修改密碼，強化密碼管理，加強安全運行及操作，使用科學、規范的渠道和方法進行管理和改善。而計算機網絡信息化管理本身就存在一定的風險，加強計算機網絡信息化管理風險的規范和指導能將運行的風險降至最低，同時，這也是對計算機網絡信息化管理安全運行的有力保障。此外，領導層需要重視計算機網絡信息化管理安全的管理工作，改變陳舊的觀念，對計算機網絡信息化安全管理投入一定的資金和人才，才能使計算機網絡信息安全系統不斷地完善與成熟。
4.3 加大系統運行的技術投入，提高安全監控技術水平
加大系統運行的技術投入是確保計算機網絡信息化管理安全的重要內容，是電力企業進行轉型升級必不可少的一個環節。一般情況下，電力企業可以通過采用以計算機為基礎的自動化技術，為計算機網絡信息化管理的運行提供相關的技術支持和安全保障。計算機為基礎的自動化技術是在網絡運行中采集電度、保護系統等，也是常用的分布式綜合自動化系統。為了能有效提升計算機網絡信息化管理的安全監控技術水平，還需分析與研究黑客入侵的手段、網絡防病毒的進展、檢測報警技術、系統訪問控制和審計技術及計算機網絡信息化管理安全產品的研發等，探討計算機網絡信息化管理中的安全控制策略，建立全面、科學、合理的管理體系，實現各種數據之間的及時溝通和互動，確保信息安全產業的穩定運行。
5 結 語
由于我國電力系統計算機網絡信息化管理的建設起步較晚、發展較慢，在安全風險管理體系的應用和建設上還存在很多的不足，所以，我國電力系統計算機網絡信息化管理建設安全的風險管理工作還需進一步改善和管理。
加強對計算機網絡信息化管理的管理工作、強化安全運行及操作管理、加強計算機網絡信息化管理風險防范及加大系y運行的技術投入等，能有效確保計算機網絡信息化管理安全、穩定地運行。此外，還要進一步加強對計算機網絡信息化的研究和管理工作，對出現的問題要及時解決，這對我國電力系統計算機網絡信息化管理的安全運行和未來發展都起到了直接的推動作用。
以上就是對電力系統計算機網絡信息安全的具體介紹，筆者對其研究還不太全面，還存在一些不足之處，這也是筆者以后繼續努力學習和探索的方向。
主要參考文獻
[1]林萬孝.計算機局域網絡技術及其應用[J].今日科技，2001（3）.
第2篇：網絡信息安全管理體系范文
網絡會計信息安全系統主要是通過互聯網絡技術的現代企事業會計信息系統，采用聯機實時操作，從而實現多元化報告，并能形成主動提供與主動獲取相結合的人機交互信息使用綜合體。網絡會計信息安全系統的發展能夠為會計信息使用者提供實施經濟管理與決策的有效準確信息。而在網絡會計時代，網絡會計信息安全系統作為會計信息媒介，承載著會計信息的存儲與傳遞功能，而網絡會計信息安全系統的信息安全問題也成為網絡會計信息數據的安全問題。網絡會計信息安全系統以互聯網技術作為核心，也受到網絡開放性與共享性的影響，網絡系統的安全容易受到病毒、黑客的威脅，因此在網絡會計信息安全系統的應用過程中，應當明確認識到網絡會計信息安全系統的信息安全隱患，將信息載體由紙介質轉變為磁性介質，需要提升磁性介質的要求和載體信息的依賴性，在檔案保存和信息存儲過程中具有較高風險。
二、網絡會計信息系統安全存在的問題
1.黑客安全隱患。在全面開放的網絡環境中，網絡會計信息系統也存在多種安全隱患，病毒和黑客攻擊的安全隱患，由于互聯網的開放特征，網絡會計信息系統通過互聯網的計算機系統可以共享信息資源，也給非善意訪問者提供了方便。黑客攻擊是互聯網系統的重要威脅，重要信息被盜取和網站的崩潰，都會對網絡會計信息系統造成嚴重影響。而計算機病毒也會給網絡會計信息系統帶來重大威脅，從原始的木馬程序到后來的CIH等病毒的肆虐，病毒制造技術發展的同時，也使得病毒具備了更大的破壞力，網絡軟件自身程序的不穩定因素也會為網絡系統帶來眾多隱患。
2.信息安全隱患。隨著網絡技術的不斷發展，整個社會的經濟生產結構和勞動結構都受到網絡技術的影響作用，在企事業管理模式方面，也由傳統的的企事業管理模式和財務管理模式與網絡技術相結合，網絡會計信息安全系統便是傳統財務管理模式與網絡技術的結合，通過互聯網技術的開放性和共享性，實現在線財務管理、遠程財務處理、網上財務查詢和網上支付等功能，并最終實現企事業資金與信息的高度統一，有利于企事業管理者實施經濟管理與決策的有效準確信息。財務信息是反映企事業財務經營成果和財務狀況的重要依據，設計到企事業內部上機密的財務信息若是遭到泄露、破壞和意識，會對企事業財務管理造成嚴重影響，不利于企事業財務管理工作的正常運行。
3.檔案安全隱患。網絡會計信息系統的財務實施需要依靠相應的財務軟件才能完成，而這些財務軟件主要包括單機版、局域網絡版財務軟件和硬件系統兩個方面，而財務軟件的全面升級，也會導致這些網絡財務軟件不一定能夠兼容其他財務軟件，由于數據格式問題、數據庫問題、接口問題等原因，以前的財務信息無法被錄入網絡財務系統中。而會計檔案更是無法兼容，導致新的網絡財務系統無法查詢原有的財務信息，給會計檔案工作帶來了失效風險。
4.內部安全隱患。傳統的會計系統對于業務活動的使用授權標準具有較高合法性、職責性和正確性的要求，而網絡財務管理工作中，財務信息的存儲和處理集中在互聯網絡，許多的會計業務相互交叉，而互聯網絡信息資源的共享，在加大財務信息復雜程度的同時，也加快了會計業務的交叉速度，導致傳統會計系統中某些內部控制機制失效。
5.人才安全隱患。企事業網絡會計信息系統實施之后，需要高技術、高層次的復合會計人才的運作與支持，否則企事業網絡會計信息系統無法充分發揮其功效，網絡財務與電子商務的發展，也暴露出這部分人才的欠缺現狀，如果企事業在沒有找到合適人才時就盲目實施網絡會計信息系統財務工作，會使網絡會計信息系統的安全問題更為突出。
三、網絡會計信息系統的安全管理
1.安全策略。企事業網絡會計信息系統財務工作的加強，需要建立相應的安全策略，從而降低網絡會計信息系統的安全隱患，保障企事業財務工作的開展。而安全則略主要是企事業設立的相應制度規范，對加強對網絡會計信息系統的管理工作方面，企事業的全體人員都應當自覺遵守策略中的規定，更有效的管理網絡會計信息系統，保證網絡會計信息系統的正常運行。并且企事業安全策略在制定過程中一定要明確對企事業工作人員的職責進行規劃，將網絡會計信息系統中的各類信息資源進行合理的保護，并明確指出企事業所要保護信息的目標，讓企事業網絡會計信息系統安全策略能夠與企事業人員的日常操作相結合，提升企事業人員對網絡會計信息系統安全問題的重視程度。
第3篇：網絡信息安全管理體系范文
1.移動網絡信息安全管理的特征體現以及主要內容
1.1 移動網絡信息安全管理的特征體現分析
移動網絡信息的安全管理過程中，有著鮮明特征體現，其中在網絡信息安全管理的動態化特征山比較突出。在信息網絡的不斷發展過程中，對信息安全管理的動態化實施就比較重要。由于網絡的更新換代比較快，這就必須在信息安全管理上形成動態化的管理。
移動網絡信息安全管理的相對化特征上也比較突出，對移動網絡的信息安全管理沒有絕對可靠的安全管理措施。通過相應的方法手段應用，能有助于對移動網絡的信息安全管理的效率提高，在保障性方面能加強，但是不能完善保障信息的安全性。所以在信息安全管理的相對性特征上比較突出。
另外，移動網絡信息的安全管理天然化以及周期性的特征上也比較突出。移動網絡的系統應用中并不是完美的，在受到多方面因素的影響下，就會存在著自然災害以及錯誤操作的因素影響，這就對信息安全的管理有著很大威脅。需要對移動網絡系統做好更新管理的準備，保障管理工作能夠順利進行。在對系統建設的工作實施上有著周期化特征。
1.2 移動網絡信息安全管理的主要內容分析
加強對移動網絡信息的安全管理，就要能充分重視其內容的良好保證，在信息的安全保障上主要涉及到管理方法以及技術應用和法律規范這三個內容。在對移動網絡信息的安全管理中，需要員工在信息安全的意識上能加強，在信息安全管理的水平上要能有效提高，在對風險抵御的能力上不斷加強。將移動網絡信息安全管理的基礎性工作能得以有效加強，在服務水平上能有效提高。然后在對移動網絡信息安全的管理體系方面進行有效優化，在信息安全管理能力上進行有效提高，對風險評估的工作能妥善實施，這些都是網絡信息安全管理的重要內容。
2.移動網絡信息安全管理問題和應對策略
2.1 移動網絡信息安全管理問題分析
移動網絡信息安全管理工作中，會遇到各種各樣的問題，網絡的自主核心技術的缺乏，就會帶來黑客的攻擊問題。我國在移動網絡的建設過程中，由于在自主核心技術方面比較缺乏，在網絡應用的軟硬件等都是進口的，所以在系統中就會存在著一些漏洞。黑客會利用這些系統漏洞對網絡發起攻擊，在信息安全方面受到很大的威脅。
再者，移動網絡的開放性特征，也使得在具體的網絡應用過程中，在網系的滲透攻擊問題比較突出。在網絡技術標準以及平臺的應用下，由于網絡滲透因素的影響，就比較容易出現黑客攻擊以及惡意軟件的攻擊等問題，這就對移動網絡信息的安全性帶來很大威脅。具體的移動網絡物理管理和環境的安全管理工作上沒有明確職責，在運營管理方面沒有加強，對網絡訪問控制方面沒有加強。以及在網絡系統的開發維護方面還存在著諸多安全風險。
2.2 移動網絡信息安全管理優化策略
加強移動網絡信息安全管理，就要能充分重視從技術層面進行加強和完善。移動網絡企業要走自力更生和研發的道路，在移動網絡的核心技術以及系統的研發進程上要能加強。對移動網絡信息的安全隱患方面要能及時性的消除，將移動網絡安全防護的能力有效提高。還要能充分重視對移動網絡安全風險的評估妥善實施，構建有效完善的信息系統安全風險評估制度，對潛在的安全威脅加強防御。
再者，對移動網絡安全監測預警機制要完善建立。保障移動網絡信息的安全性，就要能注重對移動網絡信息流量以及用戶操作和軟硬件設備的實時監測。在出現異常的情況下能夠及時性的警報。在具體的措施實施上來看，就要能充分重視漏洞掃描技術的應用，對移動網絡系統中的軟硬件漏洞及時性查找，結合實際的問題來探究針對性的解決方案。對病毒的監測技術加以應用，這就需要對殺毒軟件以及防毒軟件進行安裝，對網絡病毒及時性的查殺。
將入侵檢測技術應用在移動網絡信息安全管理中去。加強對入侵檢測技術的應用，對可能存在安全隱患的文件進行掃描，及時性的防治安全文件和病毒的侵害。在內容檢查工作上也要能有效實施，這就需要在網絡信息流的內容上能及時性查殺，對發生泄密以及竊密等問題及時性的報警等。這樣對移動網絡信息的安全性保障也有著積極作用。
另外，為能保障移動網絡信息的安全性，就要充分注重移動網絡應急機制的完善建立，對網絡災難恢復方案完善制定。在網絡遭到了攻擊后，能夠及時性的分析原因，采取針對性的方法加以應對。這就需要能夠部署IPS入侵防護系統進行應用，以及對運用蜜罐技術對移動網絡信息安全進行保障。
3.結語
第4篇：網絡信息安全管理體系范文
急救中心必須依靠計算機網絡技術來完成醫療緊急救援任務。隨著計算機網絡的廣泛運用, 常有故障或安全隱患存在, 不但影響急救工作的順利開展, 也會給急救中心的社會聲譽帶來負面影響。所以, 在應用計算機網絡技術過程中, 應重視維護和管理計算機及其網絡, 針對運行過程中存在的問題和安全隱患, 實施有效性的維護與管理措施, 為計算機網絡安全穩定運行提供保障。
2 基于計算機網絡技術的急救指揮調度的特點
基于計算機網絡技術的指揮調度系統能提高調度效率, 完善通訊網絡, 滿足急救需求, 其特點表現在:
2.1 即時收集處理信息
急救中心接入呼救電話后, 利用GPS技術和GIS技術分析電話號碼, 搜索并確定患者的位置。即使患者因病情沒有完整給出信息, 急救中心也能找到患者并實時救治, 系統生成最佳出車路線, 節省人工查詢時間。錄音功能可以解決語言信息模糊或偏差的問題, 利用錄音內容尋找其他信息, 實現患者定位。
2.2 自動化和網絡化調度
以往急救指揮調度由人工完成, 工作效率低, 差錯率較高, 往往威脅急危重癥患者的生命安全。應用指揮調度系統后, 在接入呼救電話時就開始電話錄音、記錄信息、分析患者地點、生成最佳出車路線、制定急救方案等的運行, 節省了人工操作時間, 提高了工作精度, 出車時間較短。
2.3 信息共享和科學決策
在突發事件應急處理過程中, 需要多部門協作, 醫療緊急救援需要應急人員和車輛的密切配合, 指揮調度系統能能分析現場情況, 聯系周邊應急救援部門, 調整和升級應急處置方案, 為科學決策提供準確依據。
3 存在問題和安全隱患
3.1 硬件問題及其安全隱患
硬件是計算機正常工作的前提, 優質的硬件設施有利于高效運行計算機和網絡。從實際情況看, 很多急救中心計算機設備各項指標嚴重不合格, 尤其是硬件設備總是會出現各種問題。如目前使用的落后的主機, 工作速度無法滿足日常工作的需求, 有時出現死機現象, 大大降低了工作效率;其次, 使用的光纜和光纖質量差, 會出現網絡斷開連不上網的現象, 不利于順利高效地開展工作。
3.2 軟件問題及其安全隱患
軟件是計算機正常工作的關鍵因素。計算機網絡軟件出現的問題主要包括: (1) 系統不兼容更新升級不及時。由于計算機系統沒有升級, 阻礙了急救指揮調度系統的運行和維護, 無法編輯錄入相關資料, 不能及時更新和完善重要的數據, 甚至導致系統癱瘓。 (2) 病毒侵入。計算機和網絡技術結合使指揮調度系統更加先進, 病毒也更加容易侵入。如果技術人員沒有監控到病毒或任其肆意入侵, 那么病毒會破壞計算機系統, 導致無法正常顯示電腦屏幕, 不能及時、準確傳遞相關消息, 導致死機、系統崩潰, 影響正常工作。 (3) 信息泄密。急救指揮調度系統中急救中心自身信息、患者資料都需要保密。一旦計算機被外網侵入, 那么會破壞計算機系統, 導致數據流出, 醫患雙方的利益均受到損害, 降低了急救中心的社會信譽。
3.3 網絡安全隱患
IP地址被劫持, 不法分子會應用網絡TCP/IP協議偽造主機IP, 進而發送具有欺騙性的數據包, 造成主機、網絡癱瘓。攻擊路由協議, 侵入者偽裝數據系統, 竊取和泄露數據信息。
3.4 人為因素
應該說, 急救中心計算機和網絡安全事故多由人為因素造成。如工作時不小心切斷電源, 遺失未保存的數據, 計算機系統無法正常工作;再如專業技術人員未掌握足夠的計算機知識, 出現操作失誤, 威脅計算機網絡安全。
4 計算機維護和網絡安全管理措施
4.1 計算機維護措施
急救中心相關數據的采集、儲存、傳遞、醫患和醫醫交流等一般均需要利用計算機操作來完成, 必須做好計算機維護工作。
要重視計算機檢修和保養。要延長計算機使用年限, 必須重視計算機保養。專業技術人員要定期檢修和保養計算機, 定期檢查計算機硬件設備是否存在問題;要經常使用專用的刷子、專用的清潔劑維護硬件設備;要整理室內線路, 保證整齊清潔, 為計算機提供輕松舒適的環境。
重視軟件保護。要定期維護和升級計算機系統和應用程序相關數據, 備份重要數據, 保證數據信息的完整性。
普及計算機知識。數字化信息化管理方式要求工作人員必須掌握計算機知識, 強化維護計算機, 保證安全。
4.2 網絡安全管理措施
做好網絡安全管理是保證急救中心工作正常運行的核心因素。要加強醫院網絡安全。加強網絡安全, 要求有高監控的管理, 加密相關數據。高監控指使用網絡防火墻、安裝360、電腦管家等查殺病毒的軟件, 前提是這些軟件本身具有較高的安全性, 能夠有效抵抗黑客、外網、病毒入侵;加密相關數據, 指重新錄入計算機網絡的相關數據信息, 不法分子無法獲取加密信息的內容, 能有效避免相關數據泄密事故的發生, 確保網絡安全穩定運行。 (1) 設置防火墻。防火墻能夠分隔內部網絡與其他公共網絡, 其他用戶進入內部網絡時, 需經過授權, 隔離非法訪問, 實現網絡安全運行。 (2) 引入加密技術。在計算機網絡維護與管理工作中, 需保持高度警惕, 加密處理原有文件數據, 傳輸重要數據時, 可引入對稱加密與非對稱加密兩種技術, 最大限度確保數據安全性。 (3) 安裝殺毒軟件, 定期掃描, 及時發現并識別出可疑程序, 確認為病毒后, 立即隔離, 并依據具體情況強制清除病毒程序。 (4) 防范黑客進入。相關管理人員應不斷加強防范黑客意識, 定期更新身份認證系統, 定期修改重要賬戶密碼。
要建立健全網絡管理規章制度。專業技術人員應進行相關設置, 工作人員必須注冊賬號, 配合身份權限才能登陸急救指揮調度系統網絡, 防止不法分子盜取相關信息, 防止外部端口接入網絡, 提高網絡安全。因此, 必須建立健全各項規章制度, 做好防控布控工作, 防止網絡出現失聯和混亂的局面, 從制度層面消除潛在的網絡安全威脅因素。
成立計算機維護和專業技術小組。在提高工作人員維護計算機和網絡安全意識的同時, 應成立計算機維護中心, 專業技術人員及時檢測計算機網絡運行中存在的問題并找出有效解決方案, 做好計算的檢修和保養工作。
4.3 積極引入新型計算機網絡技術
(1) 引入NTFS區分格式服務器, 彌補DOS系統缺陷, 降低病毒感染計算機可能性。 (2) 注重識別外來移動硬盤, 不得隨意插入到計算機上。 (3) 定期更新計算機軟件, 降低軟件系統漏洞數量。 (4) 將基于Windows NT開發的32位實時掃描、殺毒等軟件安裝于計算機上。 (5) office類程序不直接在Windows NT上進行運行, 以預防因病毒感染而誤刪重要文件。
4.4 加強機房管理
(1) 注重盤查與監督機房進出人員, 要認真識別訪問者身份信息后再決定能否讓其進入。 (2) 實時監控機房, 要監督在機房中活動人員的動向, 以便及時發現異常行為并處理。 (3) 將多層安全防護圈設置于計算機機房系統中心, 避免不法分子暴力入侵, 保證機房安全性。 (4) 注重控制機房的溫度、濕度、電氣干擾等, 保證機房正常運行, 為計算機網絡順利運行提供支持。
參考文獻
[1]張波.探析醫院計算機系統的管理措施與維護思路[J].科技創新導報, 2013 (25) :29.
第5篇：網絡信息安全管理體系范文
關鍵詞：信息安全管理；風險評估；監控
中圖分類號：TP393.08
信息是現代社會中不可缺少的一項重要元素，尤其是在商業活動中，信息已經成為市場競爭的重要手段，因此對信息安全的管理在商業活動中顯得尤為重要。信息安全管理體系（Information Security Management System，簡稱為ISMS），是建立和維持信息安全管理體系的標準，標準要求組織通過確定信息安全管理體系范圍、制定信息安全方針、明確管理職責、以風險評估為基礎選擇控制目標與控制方式等活動建立信息安全管理體系；體系一旦建立組織應按體系規定的要求進行運作，保持體系運作的有效性；信息安全管理體系應形成一定的文件，即組織應建立并保持一個文件化的信息安全管理體系，其中應闡述被保護的資產、組織風險管理的方法、控制目標及控制方式和需要的保證程度。
1 信息安全的風險評估與策略
1.1 信息安全的風險評估
信息安全管理屬于風險管理，即如何在一個確定有風險的環境里把風險減至最低的管理過程。因此，管理的核心要素就是對風險進行準確識別和有效的評估，通過對信息安全進行風險評估可以獲得安全管理的需求，幫助組織制定出最佳的信息安全管理策略，并且將風險控制在可承受的范圍之內。一個科學、合理的信息安全風險評估策略應該具有形影的標準體系、技術措施、組織框架以及法律法規。
1.2 信息安全策略
信息安全策略（Information Security Policy）是一個組織機構中解決信息安全問題的重要組成部分。在一個組織內部，通常是由技術管理者指定信息安全策略，如果是一個較為龐大的組織，制定信息安全策略的則可能是一個技術團隊。信息安全策略是基于風險評估結果以保護組織的信息資產。信息安全策略對訪問組織的不同資產進行權限設定，它是組織管理人員在建立、使用和審計信息系統時的信息來源。
信息安全策略具有非常廣泛的應用范圍，在其基礎上做出的安全決定需要提供一個較高層次的原則性觀點。一個組織的信息安全策略能夠反映出一個組織對現實和未來安全風險的認識水平，對于組織內部業務人員和技術人員安全風險的處理。信息俺去那策略的制定同時還需要參考相關標準文本和安全管理的經驗。
1.3 信息安全管理措施
信息加密技術是網絡安全管理的核心問題，通過對網絡傳輸的信息資源進行加密，以確保傳遞過程中的安全性和可靠性。用戶通過互聯網進行網絡訪問時，應該能夠控制訪問屬于自己的數據的訪問者身份，并且可以對訪問者的訪問情況進行審核。這種訪問權限的控制，需要開發相應的權限控制程度，以作為安全防范措施使用。
用戶在對云計算網絡的數據進行存儲時，其他用戶及云服務提供商在未被所有者允許的情況下不得對數據進行查看及更改。這需要將數據在網絡存儲時，對其他用戶實行存儲隔離措施，同時對服務提供商實行存儲加密和文件系統的加密措施。鑒于云平臺的搭建多數基于商業方面，因此用戶的數據在基于云計算的網絡上進行傳輸時要具有極高的保密性，包括在計算中心的內部網絡和開放互聯網絡上。所以，應該對所傳輸的數據信息在傳輸層進行加密（HTTPS、VPN和SSL等），對服務提供商進行網絡加密。由于基于云計算的網絡的數據重要性，為了防止各種數據毀滅性災難和突發性事件，進行按期定時的數據備份，使用數據庫鏡像策略和分布式存儲策略等，是確保網絡信息安全的一系列防范措施。
病毒對互聯網的安全威脅最為嚴重，主要可以通過病毒防御技術提升信息管理安全性。病毒是利用計算機軟硬件系統的缺陷，在原本正常運行的程序中插入的一段能夠破壞計算機或數據的指令或代碼段，從而在執行時影響計算機系統的正常運作而不易被人察覺，對計算機及信息安全的威脅最大。針對日益猖獗的計算機病毒，選擇一款適合系統使用環境的反病毒軟件顯得尤為重要，發現病毒侵入應該及時查殺，同時要注意按時地更新病毒庫，并升級反病毒軟件版本。在殺毒的同時做好預防工作是最為行之有效的措施。防火墻是設置在不同類型網絡間的一系列硬件和軟件的集合，旨在控制不同網絡間的訪問、拒絕外部網絡對內部網絡或網絡資源的非法訪問，保證通過防火墻的數據包符合預設的安全策略，從而確保了網絡信息的服務安全。
入侵檢測作為防火墻技術的補充手段，是對成功繞過防火墻限制而入侵內部網絡系統的行為進行技術攻防的策略。其實質是在不損耗網絡性能的前提下進行監聽分析用戶系統活動和違反安全策略的行為，對已威脅網絡安全的入侵行為識別并發出警報，同時生成異常行為分析，評估入侵行為帶來的損害程度。
目前，利用防火墻和入侵檢測相結合的方式，是防護網絡、拒絕外部網絡攻擊的最有效手段之一。任何一個系統都會存在安全漏洞，這包含已知的和未知的在應用軟件和操作系統兩方面上的安全漏洞。在進行漏洞掃描時，可以及時系統和網絡存在的安全漏洞，并打上漏洞補丁，進行主動防御。在使用時可以將漏洞掃描與防火墻技術、入侵檢測技術三者相結合，形成網絡安全防范和防御的“黃金三角”。數據加密分為對稱性和非對稱性加密兩種，是在發送端以某種算法將數據明文轉換成密文，在接收端以密鑰進行解密，從而保證信息在網絡存儲和傳輸的過程中都是保密的，并且對網絡環境沒有任何特別的要求和限制。數據加密技術與防火墻技術相比較，對于信息安全的防護作用是全局性的，也是最后一道防線。
系統備份和數據恢復，是指對系統的重要核心數據和資料進行備份，當切防范和防御技術都失效并且計算機網絡遭到黑客攻擊時，能夠對系統實施立即恢復的手段，這也是保證信息安全的挽救措施。除了以上所提及的技術性手段之外，大力開展信息安全教育和完善相關法律法規作為人為防范措施也不容被忽視。近年來，信息安全威脅之一的網絡欺騙就是因為當事人的信息安全意識淡薄和相關的調查取證困難造成的。因此，有必要做出改善措施，與技術手段相結合對信息安全發揮行之有效的影響。
2 結束語
綜上所述，隨著計算機技術、網絡通信技術和高密度存儲技術的發展，電子信息化進程在各個領域中得到了廣泛推廣和不斷深入研究。結合當今社會的信息量爆炸式的增長情況，以及現階段的研究成果得出結論，當今電子信息工程的安全問題和信息的有效利用問題仍將為研究的重點。本文重點研究了信息安全管理體系，根據信息安全管理的標準以及信息安全風險的特征，提出了一些具有針對性的信息安全管理措施，以實現對信息安全風險的有效評估和準確預測，危險性安全管理體系的實施提供重要保證。
參考文獻：
[1]張健.電子文件信息安全管理評估體系研究[J].檔案學通訊，2011，4.
[2]馬曉珺，趙哲.電子商務信息安全管理體系研究[J].安陽市師范學院學報，2008，2.
[3]劉曉紅.信息安全管理體系認證及認可[J].認證技術，2011，5.
[4]喬甜.基于全員參與的信息安全管理體系研究[J].科技致富向導，2013，6.
[5]王新輝，張建，李偉濤.基于生命周期分析信息安全管理體系[J].計算機技術與發展，2012，3.
第6篇：網絡信息安全管理體系范文
[關鍵詞]信息安全管理 評估模型 管理體系
中圖分類號：P9.T3308 文獻標識碼：A 文章編號：1009-914X（2016）21-0400-01
1、 引言
隨著信息化建設的發展，信息安全越來越多的受到人們的重視，企業信息安全重點面臨的問題主要表現在[1]：1）網絡受到外部的惡意攻擊，部分單位無終端接入控制措施，使企業的正常業務無法開展或相關重要數據被盜取；2）網站受到黑客攻擊，由于部分掌握網絡技術的不法人員查詢到破解網站所存在的漏洞，加以利用并篡改網站信息及獲取網站管理權限，使得網站陷入癱瘓；3）信息的監管不利產生不良的影響，通常情況下信息沒有主管部門負責審核導致監管不到位，那么不良信息就可能由于工作人員的疏忽而上傳到網站上，造成不良影響；4）計算機病毒的危害，相關系統不及時更新補丁和升級，受到病毒入侵并加以利用，篡改應用系統信息或獲取管理權限，使得應用系統丟失重要信息。
當前，有關信息系統的安全評價雖然存在著多種多樣的具體實踐方式，但在目前還沒有形成系統化和形式化的評價理論和方法。評價模型基本是基于灰色理論（Gray Theory）或者模糊（Fuzzy）數學，而評價方法基本上用層次分析法AHP[2]（Analytic Hierarchy Process）或模糊層次分析法Fuzzy AHP[3]將定性因素與定量參數結合，建立了安全評價體系，并運用隸屬函數和隸屬度確定待評對象的安全狀況。上述各種安全評估思想都是從信息系統安全的某一個方面出發，如技術、管理、過程、人員等，著重于評估網絡系統安全某一方面的實踐規范。在操作上主觀隨意性較強，其評估過程主要依靠測試者的技術水平和對網絡系統的了解程度，缺乏統一的、系統化的安全評估框架，很多評估準則和指標沒有與被評價對象的實際運行情況和信息安全保障的效果結合起來。
大型企業信息安全管理體系的研究，就是為了尋找一個科學、合理的管理體系，并根據該體系和方法對大型企業的信息安全狀況和水平進行評價，對信息安全管理績效進行考核。
2、 大型企業信息安全管理體系的內涵
通過管理體系的應用，將對大型企業信息安全產生非常重要的作用。一是可以對企業信息安全的水平做出客觀的反應，認識企業信息安全存在的不足之處，發揮考評體系的指導作用，引導企業“信息安全”工作健康科學發展；二是可以為企業信息安全的建設指明方向，為信息安全的發展提供有力支撐；三是可以幫助企業管理者建立起一套科學的信息安全管理系統，有效控制信息化活動的進程，提高信息安全級別，減少因信息安全事件引起的損失，有利于正確引導和規范企業的信息化建設，指導企業科學發展具有重要的意義。
3、 大型企業信息安全管理體系的主要做法
為了大型企業信息安全管理體系的建立，提出了管理體系的目標：對于信息安全方面出現的問題，達到防范目的；對于信息安全工作進行查漏補缺，加強管理；通過評估體系的考核，落實相關信息安全文件、推進信息安全工作，為企業信息安全的建設指明方向，同時注重管理體系整體的時效性，根據信息安全發展的不同階段進行及時更新。
1） 建立大型企業信息安全體系
信息安全體系總體設計。信息安全體系設計共分為三級，包含9個一級指標，14個二級指標，27個三級指標。一級指標和二級指標為共性指標，三級指標為數據采集項。一級指標包括：網絡安全管理、環境安全管理、應用系統安全管理、數據安全管理、終端安全管理、操作安全管理、網絡信息安全、移動信息化安全、服務器掃描情況。一級和二級指標結構圖如下：
2）信息安全考評指標的權重設計
指標權重理論思路。具體權重根據德爾菲法[4]、層次分析法，結合政策導向確定。
管理體系的指標權重確定方法設計過程中，選取兩組技術、管理等方面的專家，其中一組專家根據各指標在企業信息化中的重要程度，確定各指標的相對重要性，采用層次分析法確定各指標的權重。另外一組專家根據各指標在企業信息化中的重要程度，對各指標按百分制進行賦值，確定各指標的權重。綜合兩組專家的意見，初步確定各指標的權重，再組織專家研討會，最終確定各指標的權重。
企業信息安全考評指標總分計算方法：
I=Σ（Pi*Wi） （1）
I表示指標體系的總得分；Pi表示第i個指標的得分，各指標得滿分都是100分；Wi表示第i個指標的權重，所有指標權重的和為100%。
3）建設大型企業信息化評價管理系統
為了實施信息安全措施體系，以信息安全體系、信息安全文件和考評制度為基礎，研發包括信息安全在內的大型企業信息化評價管理系統。通過使用該系統，將減輕信息化管理部門的負擔，填報和匯總數據的效率顯著提高，最為突出的是以上報數據為基礎，可以自動、實時地形成各種統計、分析圖表，從而完成以往需要信息化管理人員幾天才能完成的大量統計工作，大大減輕了信息化管理部門的工作強度，增加了信息化管理部門對新情況快速反應能力。
系統整體架構由數據庫層、框架服務層、應用邏輯層、界面表現層組成，系統部署了tomcat下運行的I@Report和BI@Report作為框架服務層，并在此基礎上開發了業務系統。
系統主要實現了如下功能：
編碼同步、基層權限管理、評價初始化、基層初評、數據提交、部門權限管理（含單位、指標項）、管理部門復評、信息稽核、數據計算、統計管理、查詢管理、決策模型。
建立統一的數據報送平臺，提高企業信息整合水平。
建立在線交流及公告平臺。
系統根據建立的數學模型進行綜合分析，可自動、實時地形成各種統計分析圖表、報告等，例如：信息化評級、信息化水平評測報告。
4、 結束語
通過大型企業信息安全管理體系的實施，使企業信息化水平評估體系更加完善，在考評信息化建設水平的同時，又對信息安全水平等級有所提升。
參考文獻
[1] 周學廣，劉藝.信息安全學[M].北京：機械工業出版社，2003.
[2] 常建娥，蔣太立.層次分析法確定權重的研究[J].武漢理工大學學報，信息與管理工程版，2007，1（29）：153-156.
第7篇：網絡信息安全管理體系范文
關鍵詞：信息完全；技術；體系
一、前言
隨著金川集團公司跨國經營戰略的實施，企業信息化進程不斷深入，企業信息安全己經引起公司領導的的高度重視，但依然存在不少問題。調查結果表明，造成網絡安全事件發生的原因有很多，一是安全技術保障體系尚不完善，企業花了大量的金錢購買了信息安全設備，但是技術保障不成體系，達不到預想的目標;二是應急反應體系沒有經常化、制度化;三是企業信息安全的標準、制度建設滯后。其中，由于未修補或防范軟件漏洞導致發生安全事件的占安全事件總數的80%，登錄密碼過于簡單或未修改密碼導致發生安全事件的占19%。近年來，雖然使用單位對信息網絡安全管理工作的重視程度普遍提高，80%的被調查單位有專職或兼職的安全管理人員，但是，很多企業存在安全觀念薄弱、安全管理員缺乏培訓、安全經費投入不足和安全產品不能滿足要求等問題，也說明目前安全管理水平還比較低。因此現代企業迫切需要建立信息資源安全管理體系。
二、企業信息資源安全管理體系構建
1、企業信息安全組織管理
企業信息安全組織體系定義為一個三層的組織，組織架構如圖所示:
企業信息安全組織
l)總經理通過總經辦負責企業信息、安全的決策事項。2)總經理任命一名信息安全主管負責企業信息安全的風險管理，該主管領導一個有各個部門主要負責人參加的信息安全管理小組維護企業信息安全管理體系、管理企業信息安全風險。3)總經理任命一名信息安全審計師，負責企業信息安全活動的審計。4)行政部門、業務部門和分支機構執行信息安全管理體系中的相應安全政策，并在信息安全管理主管的領導下，實施風險管理計劃。各個部門負責人有義務向信息安全主管報告所管轄部門的信息安全狀況，信息安全主管應定期在組織范圍內和向上級機關報告企業信息安全狀況。
2、企業信息安全政策管理
根據企業信息安全風險分析的結果和信息安全政策制定的原則，設計信息安全政策體系包括以下幾點：（1）企業信息安全風險管理政策：a)信息安全風險定義，包括風險等級定義和安全類別定義;b)信息安全風險評估執行要求，包括時問周期要求、范圍要求、基于事件的風險評估要求:c)信息安全風險評估責任，包括信息安全管理人員責任和業務部門責任。（2）企業信息安全體系管理政策：a)管理體系的規劃，包括規劃的時機、規劃的內容、規劃的依據、規劃的責任人:b)管理體系的實施，包括、培訓、執行獎懲。c)管理體系的驗證，包括周期管理評審、安全審計、事件評審、殘留風險評估。d)管理體系的改進，包括分析和變更控制。（3）病毒抵御安全政策：a)操作程序一運行網絡管理人員日常工作的程序。這部分安全政策主要控制的風險是不規范的管理活動造成無效或低效的管理。b)關鍵資源監控一識別出關鍵設備并對關鍵設備的運行狀態進行監控。這部分安全政策主要控制的風險是關鍵資源異常情況不能被及時發現和處理。c)軟件系統維護一對軟件系統及時地升級和打補丁。這部分安全政策主要控制的風險是軟件系統未及時升級和/或打補丁而造成的信息故障或者安全事故。d)敏感資料存儲一對在業務進行過程中產生的敏感信息的存放管理。這部分安全政策主要控制的風險是由于對敏感資料存儲不當導致資料的丟失或泄漏。
3、企業信息安全事件管理
目前，沒有任何一種具有代表性的信息安全策略或防護措施可對信息、信息系統、服務或網絡提供絕對的保護。即使采取了防護措施，仍可能存在殘留的弱點，使得信息安全防護變得無效，從而導致信息安全事件發生，并對企業的業務運行直接或間接地產生負面影響。此外，以前未被認識到的威脅也將會不可避免地發生。企業如果對如何應對這些事件沒有作好充分準備，其任何實際響應的效率都會大打折扣，甚至還可能增加潛在的業務負面影響。因此，企業應著重做好信息安全事件管理工作。信息安全事件管理方案的必企業應著重做好信息安全事件管理工作。信息安全事件管理方案的必要過程包括：（1）發現和報告發生的信息安全事態，無論是由企業人員／顧客引起的還是自動發生的（如防火墻警報）。（2）收集有關信息安全事態的信息，由企業的運行支持組人員進行評估，確定該事態屬于信息安全事件還是發生了誤報。確認該事態是否屬于信息安全事件，如果是，則立即作出響應，同時啟動必要的法律取證分析、溝通活動。（3）進行評審以確定該信息安全事件是否處于控制下。（4）如果處于控制下，則啟動任何所需要的進一步的后續響應，以確保所有相關信息準備完畢，供事件解決后評審所用。（5）如果不在控制下，則采取“危機求助”活動并召集相關人員，如企業中負責業務連續性的管理者和工作組。（6）在整個階段按要求進行上報，以便進一步評估和決策。（7）確保所有相關人員，正確記錄所有活動以備后面分析所用。（8）確保對電子證據進行收集和安全保存，同時確保電子證據的安全保存得到持續監視，以備法律起訴或內部處罰所需。（9）確保包括信息安全事件追蹤和事件報告更新的變更控制制度得到維護，從而使得信息安全事態／事件數據庫保持最新。
4、企業信息安全技術管理
我們所構建的信息安全管理體系中，不能忽視技術的作用，雖然只使用技術控制不能保證一個信息安全環境，但是在通常情況下，它是信息安全項目的基礎部分。（1）密碼服務技術。密碼服務技術為密碼的有效應用提供技術支持。通常密碼服務系統由密碼芯片、密碼模塊、密碼機或軟件，以及密碼服務接口構成。通常，企業會涉及以下幾個方面的密碼應用：數字證書運算、密鑰加密運算、數據傳輸、數據儲存、數字簽名、數字信封。（2）故障恢復技術。故障恢復的主要措施有：群集配置，由多臺計算機組成群集結構，盡可能消除整個系統可能存在的單點故障；雙機熱備份，在任何一臺設備失效的情況下，按照預先定義的規則快速切換至相應的備份設備，維持業務的正常運行；故障恢復管理，由專門的集群軟件進行管理和監控，使應用系統在任何軟硬件組成單元發生故障時，能夠根據 故障情況重新分配任務。（3）惡意代碼防范技術：惡意代碼防范技術包括四大系統：病毒查殺系統、網關防毒系統、群件防毒系統、集中管理系統。（4）入侵檢測技術。入侵檢測系統是實現入侵檢測功能的一系列的軟件、硬件的組合。入侵檢測系統以實時方式監測網絡通信，對其進行分析并實時安全預警，從而使企業能夠有效管理內部人員和資源，并對外部攻擊進行早期預警和跟蹤，有效保障系統安全。基于主機的入侵檢測系統通常以系統日志、應用程序日志等審計記錄文件作為數據源。通過比較這些審計記錄文件與攻擊簽名是否匹配，如果匹配立即報警采取行動.基于網絡的入侵檢測系統把原始的網絡數據包作為數據源。它是利用網絡適配器來實時監視并分析通過網絡進行傳輸的所有通信業務。（5）掃描與分析技術。端口掃描工具能識別網絡上活動的計算機，同樣也可以識別這些計算機上的活動端口和服務。可以掃描特定類型的計算機、協議和資源，也可進行普遍掃描。漏洞掃描可以掃描網絡并得到非常詳細的信息。可以識別暴露的用戶名和組，顯示開放的網絡共享，并暴露配置問題和其他服務器漏洞。內容過濾器也能有效地保護機構系統，使其不受誤用和無意的拒絕服務。
5、企業信息安全培訓的必要性
公司目前很多崗位和部門的員工都從事涉密數據相關工作，有很多數據和信息涉及到公司的機密和知識產權，但是大多數員工信息安全意識差，在平時的工作中在意識上和實際工作中存在很多問題，導致涉密數據的外漏，給公司的生產經營造成不可挽回的損失。在有管理組織、政策制度和技術保障的情況下，通過對涉密數據相關工作人員的信息安全意識和信息安全操作培訓是非常必要的。
三、結語
總之，企業信息安全管理體系是一個企業日常經營和持續發展的基本保證，也是企業戰略和管理的重要環節。建立信息安全管理體系的目的就是降低信息風險對企業的危害。并將企業信息系統投資和商業利益最大化。信息安全不只是個技術問題，而更多的是商業、管理和法律問題。實現信息安全不僅僅需要采用技術措施，還需要更多地借助于技術以外的其他手段。
參考文獻：
第8篇：網絡信息安全管理體系范文
關鍵詞：電子政務；信息安全；體系管理
中圖分類號：TP309 文獻標識碼：A文章編號：1007-9599 (2011) 20-0000-01
E-government Information Security Management System Construction
Chen Jisheng,Xu Yunpeng
(Shandong Jining Information Center,Jining272017,China)
Abstract:E-government electronic and information technology and management as a combination,just like modern information technology has become the most important areas.It is precisely because of its importance,its information security is to be ignored.This will be its information security management needs analysis,security threats in a bid to build their management and security system to give a systematic exposition.
Keywords:E-government;Information security;System management
所謂電子政務信息安全管理體系就是依據電子政務安全需求，安全威脅來源而建立起來的有效防治安全威脅、保證電子政務安全有序運行的保障體系。因此要構建一個完備的電子政務安全管理體系就必須對安全威脅有清楚的認識并加之行之有效的管理。
一、電子政務系統安全需求分析
電子政務涉及國家秘密信息和高敏感度核心政務，因此有嚴格的安全要求。如嚴格的保密要求，信息準確交換的要求，嚴格的權限管理要求，嚴格的程序和流程要求。電子政務內部信息網站有著大量高度機密的數據和信息，直接涉及政府的核心政務，它關系到政府部門、各大系統乃至整個國家的利益，有的甚至涉及國家安全。因此，電子政務信息安全是制約電子政務建設與發展的首要問題和核心問題，是電子政務的職能與優勢得以實現的根本前提。如果電子政務信息安全得不到保障，不僅電子政務的便利與效率無從保證，更會給國家利益帶來嚴重威脅。
二、電子政務信息安全威脅
電子政務信息安全威脅主要來自兩個方面，一是信息安全技術層面，主要是物理安全威脅，網絡基礎平臺安全威脅，信息資源層安全威脅，業務應用層安全威脅等。物理安全威脅主要是物理通路的損壞、物理通路的竊聽、對物理通路的攻擊。網絡基礎平臺的安全威脅是非法用戶與非授權客戶的突發使用，造成網絡路由錯誤，信息被攔截或監聽。而信息資源層安全威脅是主要安全問題，要求保證客戶資料、操作系統訪問控制的安全，同時能夠對在該操作系統上的應用進行審計。業務應用層安全也很容易受到攻擊，應用系統直接面向最終用戶，其安全問題最多，包括規范化操作、合法性使用、系統本身安全漏洞、信息泄露等。二是安全管理方面，也是整個系統的關鍵。通常存在的管理問題包括管理組織、管理規范、技術管理、日常管理等。管理組織不完善、管理規范未建立、技術管理不到位、日常管理幾乎空白等。
由于電子政務對過度開放的網絡的高度依賴，以及當今電子政務安全技術的缺陷導致電子政務存在來自各方面的安全威脅。因為電子政務是建立在基于互聯網的網絡平臺上，而互聯網是一個缺少安全管理的開放性平臺，安全隱患特別多，給予網絡黑客或不法分子可乘之機。對電子政務的安全威脅還包括網上犯罪、病毒泛濫和蔓延，信息間諜的潛入和竊密，網絡恐怖集團的攻擊和破壞，網絡系統的脆弱和癱瘓，信息安全產品的失控以及信息安全技術層面的滯后等。
三、構建電子政務信息安全管理體系
根據上述的需求以及各方面威脅的來源就可以有針對性的建立起電子政務信息安全管理體系，從而使政務的信息基礎設施、信息應用服務能夠具有保密性、完整性、真實性和可用性。電子政務信息安全管理體系包括技術保障體系、管理運營體系、服務保障體系和基礎設施平臺。
（一）構建技術保障體系。由于電子政務的國家性，電子政務系統工程的安全保障需要各種有自主知識產權的信息安全技術和產品，全面推動自主研發和創新這些技術和產品是電子政務安全的需要。核心技術的研發可以保證在安全保衛戰上的主動性。這些核心技術主要包括數據加密技術、信息隱藏技術和信息認證技術。鑒于現今我國技術水平落后，各地政府部門所用的信息平臺大多屬于國外技術產品，這更加加大的信息安全的風險。因此加快技術研發、技術產品化及產業化迫在眉睫。
（二）構建管理運營體系。有了行之有效的技術保障體系后最主要的問題就是管理的跟進啦，構建安全管理系統是電子政務安全進行的重要基礎。從管理體制上落實安全責任制，建立完備的信息安全管理和認證機制。安全管理系統主要包括安全組織，安全策略和制度，安全評估和安全審計等。
1.安全組織。建立安全決策組織、安全指導小組、安全專家小組、安全領導小組，建立網絡日常管理機構，建立維護單元等。只有建設一個國家到省市縱向和橫向各部委、廳局架構的安全管理組織，才能真正實現全面的安全等級保護。
2.安全策略和制度。安全的政策和制度也是整個系統的關鍵部分，電子政務的安全運行必須以法律法規形式加以保障。通過加大執法力度，嚴格執法限制安全威脅。
3.安全評估。安全評估主要是分析潛在威脅，威脅嚴重程度，可能造成的后果，系統應對的安全措施等。
4.安全審計。在上述各項的基礎上同時還要定期對各項安全舉措執行情況進行達標審查。檢查體系運行情況，并做出下一步工作方向。
（三）建立穩定的服務保障體系。電子政務發展進入了以服務對象為中心的新階段，服務是電子政務的出發點和落腳點，建立安全穩定的服務保障體系則是提供可持續服務的基礎。其服務對象是就是最廣大的人民大眾，基數龐大，且利益重、影響大，更加大了服務保障的挑戰性。而現階段我國電子政務建設中存在的問題都與缺乏服務密切相關。包括重建設輕應用；重內部網絡，輕門戶窗口；重投入輕維護；重部門建設，輕跨部門合作；對公眾服務創新較弱等等。歸根結底是沒有樹立起以公眾為中心的的服務意識、態度和能力。對于服務體系要進行嚴格的劃分。按服務對象可分為面向公眾的服務、面向企業的服務、面向組織和部門的服務。按服務內容的層次又可以劃分為基礎、創新和個性化服務等，依據各種類劃分嚴格建立體系相應機構。
參考文獻：
[1]翟亞紅.淺析信息安全風險評估與等級保護的關系[J].信息安全與通信保密,2011,4
[2]趙章界,李晨D,劉海峰.信息安全策略開發的關鍵問題研究[J].信息網絡安全,2011,3
第9篇：網絡信息安全管理體系范文
論文關鍵詞:信息系統;安全管理;體系
現代金融業是基于信息、高度計算化、分散、相互依存的產業,有人形象地把信息系統歸結為銀行業的“核心資本”。金融信息化帶來的是銀行業務信息系統在網絡結構、業務關系、角色關系等方面的復雜化。而越是復雜的系統,其安全風險就越高。在系統中每增加一種訪問的方式就增加了一些入侵的機會;每增加一些訪問的人群就引入了一些可能受到惡意破壞的風險。據2003年一項對全球前500家金融機構的安全調查(2003GlobaleS curity Survey,Deloitte Touche Tohmat—su),39%受調查的機構承認2002年曾受到一定形式的系統攻擊;美國聯邦法院2004年所作的一系列有關信息犯罪的案件中,有多件涉及金融機構。這些統計數字和報道出的事件,只是我們面臨信息系統安全威脅的冰山一角,因此加速建設金融信息系統中的安全保障體系變得更加緊迫。
長期以來,人們對保障信息系統安全的手段偏重于依靠技術,從早期的加密技術、數據備份、防病毒到近期網絡環境下的防火墻、入侵檢測、漏洞掃描、身份認證等等。但事實上,僅僅依靠安全技術和安全產品保障信息系統安全的愿望卻往往難盡人意,許多復雜、多變的安全威脅和隱患靠安全產品是無法消除的。據有關部門統計,在所有的計算機安全事件中,約有52%是人為因素造成的,25%由火災、水災等自然災害引起,技術錯誤占10%,組織內部人員作案占10%,僅有3%左右是由外部不法人員的攻擊造成。簡單歸類,屬于管理方面的原因比重高達6O%以上,而這些安全問題中的95%是可以通過科學的信息安全管理來避免。因此,加強安全管理已成為提高信息系統安全保障能力的可靠保證,是金融信息系統安全體系建設的重點。
1安全管理體系構建
信息安全源于有效的管理,使技術發揮最佳效果的基礎是要有一定的信息安全管理體系,只有在建立防范的基礎上,加強預警、監控和安全反擊,才能使信息系統的安全維持在一個較高的水平之上。因此,安全管理體系的建設是確保信息系統安全的重要基礎,是金融信息系統安全保障體系建設最為重要的一環。為在金融信息系統中建立全新的安全管理機制,最可行的做法是技術與管理并重,安全管理法規、措施和制度與整體安全解決方案相結合,并輔之以相應的安全管理工具,構建科學、合理的安全管理體系。
金融信息系統安全管理體系是在金融信息系統安全保障整體解決方案基礎上構建的,它包括信息安全法規、措施和制度,安全管理平臺及信息安全培訓和安全隊伍建設,其示意圖如圖1所示。
2安全管理平臺
安全管理平臺是通過采用技術手段實施金融信息系統安全管理的平臺,它包括安全預警管理、安全監控管理、安全防護與響應管理和安全反擊管理。
2.1安全預警管理
安全預警管理的功能由預警系統實現,通過該系統,可以在安全風險動態威脅和影響金融信息系統前,事先傳送相關的警示,讓管理員采取主動式的步驟,在安全風險影響運作前加以攔阻,從而預防全網業務中斷、效能損失或對其公眾信譽造成危害,達到提前保護自己的作用。安全預警系統通過追蹤最新的攻擊技術,分析威脅信息以辨識出真正潛在的攻擊,迅速響應并提供定制化威脅分析及個性化的漏洞和惡意代碼告警服務,幫助降低風險,防患于未然。
2.2安全監控管理
通過安全監控功能可以實時監控金融信息系統的安全態勢、發生了哪些攻擊、出現了什么異常、系統存在什么漏洞以及產生了哪些危險日志等,因此安全監控功能對于金融信息系統的安全保障體系來說是至關重要的。
1)基于實時性的安全監控。通過在線方式管理金融信息系統中的資源狀態和實時安全事件,及時關注IT資源和安全風險的現狀和趨勢,通過實時監控來提高系統的安全性和IT資源的效能。
2)基于智能化的安全監控。利用智能信息處理技術對信息網絡中的各種安全事件進行智能處理,實現報警信息的精煉化,提高報警信息的可用信息量,降低安全設備的虛警和誤警,從而有效地提高安全保障系統中報警信息的可信度。
3)基于可視化的安全監控。通過對安全事件分析過程與分析報告的可視化手段,如圖表/曲線/數據表/關聯關系圖等,提供詳細的入侵攻擊信息乃至重現攻擊場景,實現對入侵攻擊行為的追蹤,使得對安全事件的分析更為直觀,從而有效提高安全管理人員對于入侵攻擊的監控理解,使安全系統的管理更為有效。
4)基于分布式的安全監控。通過系統分布式的多級部署方式,可以實現對金融信息系統內各個子系統的監控和綜合分析能力,同時對不同安全保護等級的用戶提供相應的監控界面和信息,從而嚴格滿足其安全等級劃分的用戶級要求。
2.3安全防護與響應管理
在金融信息系統的安全系統中由于安全的異構屬性,因此會采用不同的安全技術和不同廠家的安全產品來實現安全防護的目的。通過安全防護與響應管理可以及時響應和優化整個系統安全防護策略;最直接的響應就是提供多種方式,如報警燈、窗日、郵件、手機短信等向安全管理員報警,然后日志保存在本地數據庫或者異地數據庫中。
1)優化安全策略分析。通過實時掌握自身的安全態勢,及各種安全設備、網絡設備、安全系統和業務系統的處理情況,輸出正常和非法個性化的安全策略報表,然后直接通知相應的安全管理人員或廠商對其自身策略進行優化調整。
2)動態響應策略調整。通過對各種安全響應協議的支持,如SNMP、TOPSEC、聯動協議等,實現相關的安全防護技術策略的自動交互,同時通過專家知識庫能從全局的角度去響應安全事件很好地解決安全誤報問題。
3)安全服務自動協調。當智能分析和安全定位功能確認出安全事件或安全故障時,及時調派安全服務人員小組(或提供安全服務的供應商)進行相應的安全加固防護。
2.4安全反擊管理
安全反擊管理包括安全事件的取證管理和安全事件的追蹤反擊。
1)安全事件的取證管理。取證在網絡與信息系統安全事件的調查中是非常有用的工具,通過對系統安全事件的存儲和分析,實現對安全事件的取證管理,給相關調查人員提供安全事件的直接取證。
2)安全事件的追蹤反擊。通過資源狀態分析、關聯分析、專家系統分析等有效手段,檢測到攻擊類型,并定位攻擊源。隨后,系統自動對目標進行掃描,并將掃描結果告知安全管理員,并提示安全管理員查詢知識庫,從中提取有效手段對攻擊源進行反擊控制。
3安全管理措施建議
在安全管
理技術手段的基礎上,還要提高安全管理水平。俗話說“三分技術,七分管理”,由于金融信息系統相對比較封閉,對于金融信息系統安全來說,業務邏輯和操作規范的嚴密程度是關鍵。因此,加強金融信息系統的內部安全管理措施,建立領導組織體系,完善落實內控制度,強化日常操作管理,是提升安全管理水平的根本。
1)完善安全管理機構的建設。目前,我國已經把信息安全提到了促進經濟發展、維護社會穩定、保障國家安全、加強精神文明建設的高度,并提出了“積極防御、綜合防范”的信息安全管理方針,專門成立了網絡與信息安全領導小組、國家計算機網絡應急技術處理協調中心(簡稱CNCERT/CC)、中國信息安全產品測評認證中心(簡稱CNITSEC)等,初步建成了國家信息安全組織保障體系。為確保金融信息系統的安全,在金融信息系統內部應組建安全管理小組(或委員會),安全管理小組制定出符合企業需要的信息安全管理策略,具體包括安全管理人員的義務和職責、安全配置管理策略、系統連接安全策略、傳輸安全策略、審計與入侵安全策略、標簽策略、病毒防護策略、安全備份策略、物理安全策略、系統安全評估體系等內容。安全管理應盡量把各種安全策略要求文檔化和規范化,以保證安全管理工作具有明確的依據或參照。
2)在保證信息系統設備的運行穩定可靠和信息系統運行操作的安全可靠的前提下,增加安全機制,如進行安全域劃分,進行有針對性的安全設備部署和安全策略設置,以改進對重要區域的分割防護;增加入侵檢測系統、漏洞掃描、違規外聯等安全管理工具,進行定時監控、事件管理和鑒定分析,以提高自身的動態防御能力;完善已有的防病毒系統、增加內部信息系統的審計平臺,以便形成對內部安全狀況的長期跟蹤和防護能力。
3)制定一系列必須的信息系統安全管理的法律法規及安全管理標準,狠抓內網的用戶管理、行為管理、應用管理、內容控制以及存儲管理;進一步完善互聯網應急響應管理措施,對關鍵設施或系統制定好應急預案,并定期更新和測試,全面提高預案制定水平和處理能力;建立一支“信息安全部隊”,專門負責信息網絡方面安全保障、安全監管、安全應急和安全威懾方面的工作。
4)堅持“防內為主,內外兼防”的方針,加強登錄身份認證,嚴格限制登錄者的操作權限,充分利用操作系統和應用系統本身的日志功能,對用戶所訪問的信息進行跟蹤記錄,為系統審計提供依據。
5)重視和加強信息安全等級保護工作,對金融信息系統中的信息實施一般保護、指導保護、監督保護和強制保護策略,尤其對重要信息實施強制保護和強制性認證,以確保金融業務信息的安全。
6)加強信息安全管理人才與安全隊伍建設,特別是加大既懂技術又懂管理的復合型人才的培養力度。通過各種會議、網站、廣播、電視、報紙等媒體加大信息安全普法和守法宣傳力度,提高全民信息安全意識,尤其是加強企業內部人員的信息安全知識培訓與教育,提高員工的信息安全自律水平。
