企業信息安全管理體系精選(五篇)

序言：作為思想的載體和知識的探索者，寫作是一種獨特的藝術，我們為您準備了不同風格的5篇企業信息安全管理體系，期待它們能激發您的靈感。

篇1

關鍵詞：企業信息化；信息安全管理體系；信息安全保障

1 企業信息安全需求與目標

近年來隨著企業信息系統建設的不斷發展，企業的信息化安全也面臨著前所未有的挑戰。作為中國高速列車產業化制造基地和城軌地鐵車輛定點制造企業，公司的發展對高速動車行業產生著舉足輕重的作用；從企業信息安全現狀分析，公司IT部門主管深深意識到，盡管從自身情況來看，在信息安全方面已經做了很多工作，如部署了防火墻、SSL VPN、入侵檢測系統、入侵防御系統、防病毒系統、文檔加密、終端安全管理系統等。但是安全系統更多的在于防堵來自某個方面的安全威脅，無法產生協同效應，距離國際同行業企業還存在一定的差距。

公司通過可行性研究及論證，決定借助外力，通過知名的咨詢公司協助企業發現存在的信息安全不足點，以科研項目方式，通過研究國家安全標準體系及國家對央企和上市企業的信息化安全要求，分析企業目前的現狀和國際標準ISO27001之間的差距，繼而完善企業信息安全體系的規劃與設計，最終建立一套適合企業現狀的信息安全標準和管理體系。目標是使公司信息安全從管理到技術均得到全面加強，建立一個有責（職責）、有序（秩序）、有效（效率）的信息安全管理體系，預防信息安全事件的發生，確保更小的業務損失，提供客戶滿意度，獲取更多的管理支持。在行業內樹立標桿和示范，提升企業形象，贏取客戶信任，增強競爭力。同時，使信息安全體系通過信息安全管理體系通過ISO 27001認證標準。

2 企業信息安全管理體系建設過程

凡事預則立，不預則廢。對于信息安全管理建設的工作也先由計劃開始。信息安全管理體系建設分為四個階段：實施安全風險評估、規劃體系建設方案、建立信息安全管理體系、體系運行及改進。也符合信息安全管理循環PDCA（Plan-Do-Check-Action）模型及ISO27001要求，即有效地保護企業信息系統的安全，確保信息安全的持續發展。本文結合作者經驗，重點論述上述幾個方面的內容。

2.1 確立范圍

首先是確立項目范圍，從機構層次及系統層次兩個維度進行范圍的劃分。從機構層次上，可以考慮內部機構：需要覆蓋公司的各個部門，其包括總部、事業部、制造本部、技術本部等；外部機構：則包括公司信息系統相連的外部機構，包括供應商、中間業務合作伙伴、及其他合作伙伴等。

從系統層次上，可按照物理環境：即支撐信息系統的場所、所處的周邊環境以及場所內保障計算機系統正常運行的設施。包括機房環境、門禁、監控等；網絡系統：構成信息系統網絡傳輸環境的線路介質，設備和軟件；服務器平臺系統：支撐所有信息系統的服務器、網絡設備、客戶機及其操作系統、數據庫、中間件和Web系統等軟件平臺系統；應用系統：支撐業務、辦公和管理應用的應用系統；數據：整個信息系統中傳輸以及存儲的數據；安全管理：包括安全策略、規章制度、人員組織、開發安全、項目安全管理和系統管理人員在日常運維過程中的安全合規、安全審計等。

2.2 安全風險評估

企業信息安全是指保障企業業務系統不被非法訪問、利用和篡改，為企業員工提供安全、可信的服務，保證信息系統的可用性、完整性和保密性。

本次進行的安全評估，主要包括兩方面的內容：

2.2.1 企業安全管理類的評估

通過企業的安全控制現狀調查、訪談、文檔研讀和ISO27001的最佳實踐比對，以及在行業的經驗上進行“差距分析”，檢查企業在安全控制層面上存在的弱點，從而為安全措施的選擇提供依據。

評估內容包括ISO27001所涵蓋的與信息安全管理體系相關的11個方面，包括信息安全策略、安全組織、資產分類與控制、人員安全、物理和環境安全、通信和操作管理、訪問控制、系統開發與維護、安全事件管理、業務連續性管理、符合性。

2.2.2 企業安全技術類評估

基于資產安全等級的分類，通過對信息設備進行的安全掃描、安全設備的配置，檢查分析現有網絡設備、服務器系統、終端、網絡安全架構的安全現狀和存在的弱點，為安全加固提供依據。

針對企業具有代表性的關鍵應用進行安全評估。關鍵應用的評估方式采用滲透測試的方法，在應用評估中將對應用系統的威脅、弱點進行識別，分析其和應用系統的安全目標之間的差距，為后期改造提供依據。

提到安全評估，一定要有方法論。我們以ISO27001為核心，并借鑒國際常用的幾種評估模型的優點，同時結合企業自身的特點，建立風險評估模型：

在風險評估模型中，主要包含信息資產、弱點、威脅和風險四個要素。每個要素有各自的屬性，信息資產的屬性是資產價值，弱點的屬性是弱點在現有控制措施的保護下，被威脅利用的可能性以及被威脅利用后對資產帶來影響的嚴重程度，威脅的屬性是威脅發生的可能性及其危害的嚴重程度，風險的屬性是風險級別的高低。風險評估采用定性的風險評估方法，通過分級別的方式進行賦值。

2.3 規劃體系建設方案

企業信息安全問題根源分布在技術、人員和管理等多個層面，須統一規劃并建立企業信息安全體系，并最終落實到管理措施和技術措施，才能確保信息安全。

規劃體系建設方案是在風險評估的基礎上，對企業中存在的安全風險提出安全建議，增強系統的安全性和抗攻擊性。

在未來1-2年內通過信息安全體系制的建立與實施，建立安全組織，技術上進行安全審計、內外網隔離的改造、安全產品的部署，實現以流程為導向的轉型。在未來的 3-5 年內，通過完善的信息安全體系和相應的物理環境改造和業務連續性項目的建設，將企業建設成為一個注重管理，預防為主，防治結合的先進型企業。

2.4 企業信息安全體系建設

企業信息安全體系建立在信息安全模型與企業信息化的基礎上，建立信息安全管理體系核心可以更好的發揮六方面的能力：即預警（Warn）、保護（Protect）、檢測（Detect）、反應（Response）、恢復（Recover）和反擊（Counter-attack），體系應該兼顧攘外和安內的功能。

安全體系的建設一是涉及安全管理制度建設完善；二是涉及到信息安全技術。首先，針對安全管理制度涉及的主要內容包括企業信息系統的總體安全方針、安全技術策略和安全管理策略等。安全總體方針涉及安全組織機構、安全管理制度、人員安全管理、安全運行維護等方面的安全制度。安全技術策略涉及信息域的劃分、業務應用的安全等級、安全保護思路、說以及進一步的統一管理、系統分級、網絡互聯、容災備份、集中監控等方面的要求。

其次，信息安全技術按其所在的信息系統層次可劃分為物理安全技術、網絡安全技術、系統安全技術、應用安全技術，以及安全基礎設施平臺；同時按照安全技術所提供的功能又可劃分為預防保護類、檢測跟蹤類和響應恢復類三大類技術。結合主流的安全技術以及未來信息系統發展的要求，規劃信息安全技術包括：

2.5 體系運行及改進

信息安全管理體系文件編制完成以后，由公司企劃部門組織按照文件的控制要求進行審核。結合公司實際，在體系文件編制階段，將該標準與公司的現有其他體系，如質量、環境保護等體系文件，改歸并的歸并。該修訂審核的再繼續修訂審核。最終歷經幾個月的努力，批準并實施了信息安全管理系統的文檔。至此，信息安全管理體系將進入運行階段。

有人說，信息系統的成功靠的是“三分技術，七分管理，十二分執行”?！皥绦小笔且枰趯嵺`中去體會、總結與提高。對于信息系統安全管理體系建設更是如此！在此期間，以IT部門牽頭，加強宣傳力度，組織了若干次不同層面的宣導培訓，充分發揮體系本身的各項功能，及時發現存在的問題，找出問題根源，采取糾正措施，并按照更改控制程序要求對體系予以更改，以達到進一步完善信息安全管理體系的目的。

3 總結

總結項目，建立健全的信息安全管理制度是進行安全管理的基礎。當然，體系建設過程中還存在不足，如崗位原有職責與現有安全職責的界定，員工的認知及接受程度還有待提高，體系在各部門領導重視程度、執行力度、審核效果存在差距等等。最終，在公司各部門的共同努力下，體系經歷了來自國際知名品牌認證公司DNV及中國認可委（CNAS）的雙重檢驗，并通過嚴格的體系審核。確認了公司在信息安全管理體系達到國內和國際信息安全管理標準，提升公司信息安全管理的水平，從而為企業向國際化發展與合作提供有力支撐。

[參考文獻]

[1]沈昌祥.《信息系統安全導論》.電子工業出版社，2003.7.

篇2

【 關鍵詞 】 信息安全；電力企業；風險評估；管理模式

1 引言

在如今的信息化社會中，信息通過共享傳遞實現其價值。在信息交換的過程中，人們肯定會擔心自己的信息泄露，所以信息安全備受關注，企業的信息安全就更為重要了。但是網絡是一個開放互聯的環境，接入網絡的方式多樣，再加上技術存在的漏洞或者人們可能的操作失誤等，信息安全問題一刻不容忽視。尤其是電力，是國家規定的重要信息安全領域。所以電力企業要把信息安全管理體系的建設，作為重要的一環納入到整個企業管理體系中去。

2 電力企業信息管理體系建設的依據

關于企業的安全管理體系方面的標準有很多。英國BSI/DISC的BDD信息管理委員會制定的安全管理體系主要包含兩個部分內容：信息安全管理實施規則和信息安全管理體系規范。信息安全管理實施規則是一個基礎性指導文件，里面有10大管理項、36個執行的目標和127種控制的方法，可以作為開發人員在信息安全管理體系開發過程中的一個參考文檔。信息安全管理體系規范則詳細描述了在建立、施工和維護信息安全管理體系過程的要求，并提出了一些具體操作的建議。

國際標準化組織也了很多關于信息安全技術的標準，如ISO x系列、ISO/IEC x系列等。我國也制定了一系列的信息安全標準，如GB 15851―1995。

關于企業信息安全管理體系方面的標準眾多，如何針對企業自身實際情況選擇合適的參考標準很重要，尤其是電力企業有著與其他企業不同的一些特殊性質，選擇信息安全體系建設的參考標準更要謹慎。我國電力企業已經引入了一些國際化標準作為建立和維護企業運轉的保證，關于信息安全體系的標準也應納入到保證企業運轉的一系列參考中去。電力企業總體應有一致的安全信息管理體系參考標準，但是具體地區的公司又有著本身自己的特殊環境，所以在總體一致的信息安全標準的情況下，也應該根據企業自身地區、人文、政策等的不同制定一些企業內部自己信息安全標準作為建立、實施和維護信息安全管理體系的依據。信息安全管理體系顧全大局又要有所側重的體現電力企業安全標準的要求。

3 信息安全管理體系里的重要環節

3.1 硬件環境要求

信息安全管理體系并沒有特別要求添加什么特別的設備，只是對企業用到的設備做一些要求。電力企業一般采用內外網結合的方式，內外網設備要盡量進行物理隔離。企業每個員工基本都有自己的移動設備，如手機等，為了增加信息安全的系數，企業可以限制公司設備的無線網絡拓展。另外，實時監控系統也應該覆蓋企業的重要設備，監控硬件設備的安全。

3.2 軟件環境要求

在企業設備（主要是計算機）上部署相關軟件環境是信息安全管理體系中最重要的部分。比如防病毒軟件的部署、桌面系統弱口令監控軟件的部署等，以此防止網絡攻擊或者提高安全系數。另外，企業設備所用系統的安全漏洞修復、數據的加密解密、數據的備份恢復及數據傳輸通道的加密解密等問題，都在信息安全管理體系設計的考慮范疇。

3.3 企業員工管理

盡管現在一直倡導智能化，但是企業內進行設備等操作的主體還是員工。不管是對設備終端操作來進行信息的首發，還是對企業軟硬件系統進行維護工作，都是有員工來進行的。所以，對企業內部員工進行信息安全培訓，提高員工的信息安全防范意識，讓員工掌握一定的信息安全防范與處理手段是非常重要的事情。針對不同的職位，在員工上崗前應該進行相關的信息安全方面的培訓，然后對培訓結果進行考核，不合格的人員不準上崗。在崗的人員也要定期進行培訓與考核。另外，如果有條件的話，企業應該定期（例如每年）進行一次信息安全的相關演習。

另外，電力企業有些項目是外包給其他相應公司的，這時候會有施工人員和駐場人員在電力企業，對這些人員也應該進行電力企業信息安全的培訓。

3.4 信息安全管理體系的風險系數評估

風險評估在信息安全管理體系中是確定企業信息安全需求的一個重要途徑，它是對企業的信息資產所面臨的威脅、存在的弱點、造成的影響，以及三者綜合作用下所帶來的風險可能性的評測。風險評估的主要任務是：檢測評估對象所面臨的各種風險，估計風險的概率和可能帶來的負面影響的程度，確定信息安全管理體系承受風險的能力，確定不同風險發生后消減和控制的優先級，對消除風險提出建議。在信息安全管理體系的風險系數評估過程中，形成《風險系數評估報告》、《風險處理方案》等文檔，作為對信息安全管理體系進行調整的參考。風險系數的評估要盡可能全面的反映企業的信息安全管理體系，除了常規手段，也可以使用一些相應的軟件工具的結果作為參考。另外很值得注意的是企業的員工對風險的理解，企業員工對他們所操作的對象有比較深刻的理解，對其中可能存在的不足也有自己的見解，在風險系數評估的過程中，可以進行一些員工的問卷調查等，把員工對風險的認識納入風險評估的考慮范疇。

企業的設備會老舊更換，員工也會更換，所以企業的信息安全是動態的，因此風險評估工作也要視具體情況定期進行，針對當前情況作評估報告，然后制定相應的風險處理方案。還有，之所以要建立信息安全管理體系，其中很重要的一點就是體系內各個模塊的結合，信息安全管理體系的風險評估與關鍵內容的實時監控就應該結合起來。

為了降低信息安全管理體系的風險系數，提升信息安全等級，要做的工作很多。滲透測試就是其中很有必要的一項工作。滲透測試是測試人員通過模擬惡意攻擊者的攻擊方式，來評估企業計算機網絡系統安全的一種評測方法。這個測試過程會對系統的可知的所有弱點、技術方面的缺陷或者漏洞等作主動的分析。滲透測試對于網絡信息安全的組織具有實際應用價值。隨著技術的不斷進步，可能還會出現其他的更有價值的信息安全技術，作為信息安全備受矚目的電力企業，應當時刻關注相關技術的進展，并及時將它們納入企業信息安全管理體系中來。

3.5 信息安全管理體系的管理模式

文章前面提到企業信息安全是動態的，所以信息安全管理體系需要建立一個長效的機制，針對最新的情況及時對自身作出調整，使信息安全管理體系有效的運行。現在一般會采用PDCA循環過程模式：計劃，依照體系整個的方針和目標，建立與控制風險系數、提高信息安全的有關的安全方針、過程、指標和程序等；執行：實施和運作計劃中建立的方針、過程、程序等；評測：根據方針、目標等，評估業績，并形成報告，也就是文章前面說到的風險系數評估；舉措：采取主動糾正或預防措施對體系進行調整，進一步提高體系運作的有效性。這四個步驟循環運轉，成為一個閉環，是信息安全管理體系得到持續的改進。

4 重要技術及展望

4.1 安全隔離技術

電力企業的信息網絡是由內外網兩部分組成，從被防御的角度來看的話，內網的主要安全防護技術為防火墻、桌面弱口令監控、入侵檢測技術等；而主動防護則主要采用的是安全隔離技術等。安全隔離技術包括物理隔離、協議隔離技術和防火墻技術。一般電力企業采用了物理隔離與防火墻技術，在內網設立防火墻，在內外網之間進行物理隔離。

4.2 數據加密技術

企業的數據在傳輸過程中一般都要進行加密來降低信息泄露的風險?？梢愿鶕娏ζ髽I內部具體的安全要求，對規定的文檔、視圖等在傳輸前進行數據加密。尤其是電力企業通過外網傳輸的時候，除了對數據進行加密外，還應該在鏈路兩端進行通道加密。

4.3 終端弱口令監控技術

終端設備眾多，而且是業務應用的主要入口，所以終端口令關乎業務數據的安全以及整個系統的正常運轉。如果終端口令過于簡單薄弱，相當于沒有設定而將設備暴露。終端的信息安全是電力企業信息安全的第一道防線，因此采用桌面系統弱口令監控技術來加強這第一道防線的穩固性對電力企業的信息安全非常重要。

電力企業信息安全管理體系是一個復雜的系統，包含眾多的安全技術，如數據備份及災難恢復技術、終端安全檢查與用戶身份認證技術、虛擬專用網技術、協議隔離技術等。凡是與信息安全相關的技術，電力企業都應當關注，并根據企業自身的情況決定是否將之納入到信息安全管理體系中去。

智能化已成為不管是研究還是社會應用的熱門詞匯。電力企業的信息安全管理體系是否可以智能化呢？不妨做一個展望，電力企業的信息安全管理體系有了很強的自我學習與自我改進的能力，在信息安全環境越來越復雜，信息量越來越龐大的情況下是否會更能發揮信息安全管理體系的作用呢？這應該是值得期待的。

5 防病毒軟件部署

電力企業信息安全管理體系有很多軟件系統的部署，如防病毒軟件部署、桌面弱口令監控系統部署、系統安全衛士部署等。但是它們的部署情況類似，這里用防病毒軟件的部署來展示電力企業信息安全管理體系中軟件系統的部署情況。如圖1所示為防病毒軟件的部署框架。

殺毒軟件種類有很多，這里以賽門鐵克殺毒軟件為例。企業版的賽門鐵克防病毒軟件系統相比單機版增加了網絡管理的功能，能夠很大程度地減輕維護人員的工作量。為了確保防病毒軟件系統的穩定運行，在電力企業內部正式使用時，盡量準備一立的服務器作為防病毒軟件專用的服務器。

服務器安裝配置好賽門鐵克防病毒軟件后，可以遠程控制客戶端與下級升級服務器的軟件安裝與升級。

電力企業內網可能是禁止接入外網的，這樣的話，防病毒軟件的更新可能無法自動完成。防病毒軟件需要升級的時候，維護人員在通過外網在相應網址下載賽門鐵克升級包，然后通過安全U盤拷貝到防病毒軟件系統專用服務器進行升級操作。在圖1中，省電力公司的防病毒管理控制臺獲得升級包可以下發給下級升級服務器和客戶端進行防病毒軟件系統的自動升級更新。圖1是一個簡單的框圖，如果電力企業的內網規模很大的話，還可以更多級地分布部署。

6 結束語

電力企業的信息安全與企業的生產與經營管理密切相關，是企業整個管理系統的一部分。信息安全管理體系是一個整體性的管理工作，把體系中涉及的內容統一進行管理，讓它們協調運作，實現信息安全管理體系的功能。電力企業信息安全的建立與體系不斷的改進定能穩定、有效地維護企業的信息安全。

參考文獻

[1] 王志強，李建剛.電網企業信息安全管理體系建設[J].浙江省電力公司，2008，6（3）：26-29.

[2] 陳賀，宮俊峰.淺析信息安全體系如何建立[J].中國管理信息化，2014，17（1）：74-76.

[3] 郭建，顧志強.電力企業信息安全現狀分析及管理對策[J].信息技術，2013（1）：180-187.

[4] 沈軍.火力發電廠信息你安全體系構建與應用[J].電力信息通信技術，2013，11（8）：103-108.

[5] 左鋒.信息安全體系模型研究[J].信息安全與通信保密，2010，01（10）：68-71.

[6] 楊柳.構建供電企業信息安全體系[J].電腦知識與技術，2005（29）.

[7] 曹鳴鵬， 趙偉， 許林英. J2EE技術及其實現[J]. 計算機應用，2001， 21（10）： 20-23.

[8] 江和平.淺談網絡信息安全技術[J].現代情報學，2004（14）：125-127.

作者簡介：

崔阿軍（1984-），男，甘肅平涼人，碩士研究生，工程師；主要研究方向和關注領域：電力信息通信安全技術研究。

張馴（1984-），男，江蘇揚州人，本科，工程師；主要研究方向和關注領域：電力信息通信安全技術研究。

李志茹（1984-），女，山東平度人，碩士研究生，工程師；主要研究方向和關注領域：信息化建設及安全技術。

龔波（1981-），男，湖南新邵人，本科，工程師；主要研究方向和關注領域：電力信息化建設及安全技術。

篇3

【關鍵詞】信息安全 管理 控制 構建

1 企業信息安全的現狀

隨著企業信息化水平的提升，大多數企業在信息安全建設上逐步添加了上網行為管理、內網安全管理等新的安全設備，但信息安全防護理念還停留在防的階段，信息安全策略都是在安全事件發生后再補救，導致了企業信息防范的主動性和意識不高，信息安全防護水平已經越來越不適應當今企業IT運維環境和企業發展的需求。

2 企業信息系統安全防護的構建原則

企業信息化安全建設的目標是在保障企業數字化成果的安全性和可靠性。在構建企業信息安全體系時應該遵循以下幾個原則：

2.1 建立企業完善的信息化安全管理體系

企業信息安全管理體系首先要建立完善的組織架構、制定信息安全管理規范，來保障信息安全制度的落實以及企業信息化安全體系的不斷完善?；酒髽I信息安全管理過程包括：分析企業數字化資產評估和風險分析、規劃信息系統動態安全模型、建立可靠嚴謹的執行策略、選用安全可靠的的防護產品等。

2.2 提高企業員工自身的信息安全防范意識

在企業信息化系統安全管理中，防護設備和防護策略只是其中的一部分，企業員工的行為也是維護企業數字化成果不可忽略的組成。所以企業在實施信息化安全管理時，絕對不能忽視對人的行為規范和績效管理。在企業實施企業信息安全前，應制定企業員工信息安全行為規范，有效地實現企業信息系統和數字化成果的安全、可靠、穩定運行，保證企業信息安全。其次階段遞進的培訓信息安全人才也是保障企業數字化成果的重要措施。企業對員工進行逐次的安全培訓，強化企業員工對信息安全的概念，提升員工的安全意識。使員工的行為符合整個企業信息安全的防范要求。

2.3 及時優化更新企業信息安全防護技術

當企業對自身信息安全做出了一套整體完善的防護規劃時，就應當考慮采用何種安全防護技術來支撐整個信息安全防護體系。對于安全防護技術來說可以分為身份識別、網絡隔離、網絡安全掃描、實時監控與入侵發現、安全備份恢復等。比如身份識別的目的在于防止非企業人員訪問企業資源，并且可以根據員工級別分配人員訪問權限，達到企業敏感信息的安全保障。

3 企業信息安全體系部署的建議

根據企業信息安全建設架構，在滿足終端安全、網絡安全、應用安全、數據安全等安全防護體系時，我們需要重點關注以下幾個方面：

3.1 實施終端安全，規范終端用戶行為

在企業信息安全事件中，數字化成果泄漏是屬于危害最為嚴重的一種行為。企業信息安全體系建立前，企業員工對自己的個人行為不規范，造成了員工可以通過很多方式實現信息外漏。比如通過U盤等存儲介質拷貝或者通過聊天軟件傳遞企業的核心數字化成果。對于這類高危的行為，我們在建設安全防護體系時，僅僅靠上網行為管理控制是不能完全杜絕的。應該當用戶接入企業信息化平臺前，就對用戶的終端系統進行安全規范檢查，符合企業制定的終端安全要求后再接入企業內網。同時配合上網行為管理的策略對員工的上網行為進行審計，使得企業員工的操作行為符合企業制定的上網行為規范，從終端用戶提升企業的防護水平。

3.2 建設安全完善的VPN接入平臺

企業在信息化建設中，考慮總部和分支機構的信息化需要，必然會采用VPN方式來解決企業的需求。不論是采用SSL VPN還是IPSecVPN，VPN加密傳輸都是通用的選擇。對于分支機構可以考慮專用的VPN設備和總部進行IPSec連接，這種方式更安全可靠穩定。對于移動終端的接入可以考慮SSL VPN方式。在這種情況下，就必須做好對于移動終端的身份認證識別。其實我們在設備采購時，可以要求設備商做好多種接入方式的需求，并且幫助企業搭建認證方式。這將有利于企業日常維護，提升企業信息系統的VPN接入水平。

3.3 優化企業網絡的隔離性和控制性

在規劃企業網絡安全邊際時，要面對多個部門和分支結構，合理的規劃安全網絡邊際將是關鍵。企業的網絡體系可以分為：物理層；數據鏈路層；網絡層；傳輸層；會話層；表示層；應用層。各體系之間的相互隔離和訪問策略是防止企業信息安全風險的重要環節。在企業多樣化網絡環境的背景下，根據企業安全優先級及面臨的風險程度，做出適合企業信息安全的防護策略和訪問控制策略。根據相應防護設備進行深層次的安全防護，真正實現OSI的L2～L7層的安全防護。

3.4 實現企業信息安全防護體系的統一管理

為企業信息安全構建統一的安全防護體系，重要的優勢就是能實現對全網安全設備及安全事件的統一管理，做到對整個網絡安全事件的“可視、可控和可管”。企業采購的各種安全設備工作時會產生大量的安全日志，如果單靠相關人員的識別日志既費時效率又低。而且不同安全廠商的日志報表還存在很大差異。所以當安全事件發生時，企業管理員很難實現對信息安全的統一分析和管理。所以在企業在構建信息安全體系時，就必須要考慮安全設備日志之間的統一化，設定相應的訪問控制和安全策略實現日志的歸類分析。這樣才能做到對全網安全事件的“可視、可控和可管”。

4 結束語

信息安全的主要內容就是保護企業的數字化成果的安全和完整。企業在實施信息安全防護過程中是一個長期的持續的工作。我們需要在前期做好詳盡的安全防護規劃，實施過程中根據不斷出現的情況及時調整安全策略和訪問控制，保證備份數據的安全性可靠性。同時全體企業員工一起遵守企業制定的信息安全防護管理規定，這樣才能為企業的信息安全提供生命力和主動性，真正為企業的核心業務提供安全保障。

參考文獻

[1]郝宏志.企業信息管理師[M].北京：機械工業出版社，2005.

[2]蔣培靜.歐美國家如何培養網絡安全意識[J].中國教育網絡，2008（7）：48-49.

作者簡介

常勝（1982-），男，回族，天津市人?，F為中國市政工程華北設計研究總院有限公司工程師。研究方向為網絡安全與服務器規劃部署。

篇4

1保險企業信息安全管理的現狀

當前的很多保險企業當中仍然存在

的問題就是計算機信息安全管理問題，而且這個問題也是各國企業比較常見的問題，亟待采取有效的解決措施。在一些相對比較發達的企業，就可能會存在更多的信息安全隱患。首先，當前的互聯網正在快速地發展和進步，并加大了對信息技術的改革與創新，與此同時也衍生出很多的惡意項目工具，甚至信息系統本身也存在一定程度的漏洞，這些就可能會促使一部分的不法分子有機可乘；其次，保險企業本身并未對信息安全的管理工作給予高度的重視，從而導致信息安全問題層出不窮。如今，我國保險行業得到了快速的發展，加之外界環境因素的影響，從而暴露出越來越多的問題，此時就需要對這些問題進行全面、系統的分析。

1.1缺乏完善的法律法規

如今，雖然現在與計算機信息安全管理有關的條文比較多，但是他們被分散于各種標準、管理辦法、法律、法規及道德規范等多個方面，然而，當前并不具備一套系統、完善的法律法規來更進一步地保障信息的安全問題。同時，當前現有的一些法律法規，可能是因為仍然有很大一部分的相關安全技術和手段還沒有達到足夠的成熟和標準化，這樣就更加不容易去執行一些相關的法律法規。因此，如果缺少一些與保險行業相匹配的信息安全管理法律法規，從而導致保險企業無法順利的開展相關工作，不利于計算機信息安全管理體系的構建。

1.2缺乏足夠的重視

當前仍然有很大一部分的保險企業的管理層不是非常注重和關注一些相關的信息安全管理工作，而且他們并沒有在進行管理工作的過程中投入足夠的人力、物力以及財力等。有很大一部分的保險企業在治理公司過程中，只會對保險企業的適當地調整銷售策略、業務規模發展問題、優化組織結構、相關運營流程等給予關注，這些公司都不是足夠重視對信息安全管理問題的處理，他們都忽視了信息安全問題會影響保險企業的發展。實際上，在市場經濟體系下，大多數保險企業只有在遇到信息安全事件后才會對計算機信息安全管理體系給予重視。此時，就需要保險企業在公司平時進行治理工作的過程中，他們能夠投入更多的時間和精力來對現有的信息安全管理體系進行補充和完善，并給予高度的重視，從而有效提高信息安全管理體系建設效率。

1.3對風險評估力度不夠

在信息安全管理體系建設過程中，大多數保險企業不能夠準確地評估對于該過程中可能會存在的風險，并未對信息化過程中可能出現的安全風險問題給予綜合考慮。一般情況下，他們可能只會考慮到一些相應的信息技術問題，但是并沒有認真地思考在運用信息系統之后可能會顯現出來的信息安全問題。實際上，保險企業不管是否對信息安全管理系統中所存在的安全風險問題進行評估，從而給保險企業的發展帶來不利影響。一旦信息安全管理體系出現比較嚴重的問題，不僅會造成無法彌補的損失，而且也不能夠實行一些正常的業務操作，甚至還可能會造成一些非常嚴重的后果，比如是企業內部機密泄露、重要數據被盜或被篡改、客戶個人信息泄露等問題。因此，越來越多的保險企業由于對風險評估力度不夠，從而導致系統本身存在操作失誤、缺陷等原因而誘發的一系列安全問題。

1.4未明確安全管理責任劃分

對保險企業來說，雖然對信息安全管理體系的建設給予了高度的重視，但是他們缺乏一套與企業發展相匹配的安全管理制度，未明確安全管理責任的劃分，從而在一定程度上影響了保險企業的發展。如果這些企業現在還沒有制定出一些相關的信息安全管理制度并能夠堅持執行，而且企業在出現相應的信息安全問題之后，并不能夠非常清晰地劃分出具體的責任人，這樣時間越來越長，就會在信息安全問題的監管方面出現越來越大的漏洞，自然而然地，也更加不容易去形成一個可以控制的信息安全管理體系。對于一個保險企業而言，在他們公司所出現的一些信息安全管理問題，需要每一位企業員工給予重視，而不能依靠企業當中的某一個人或某一個部門單獨負責來對安全管理問題進行處理。對于保險企業而言，他們必須制定出相應的制度并劃分出比較明確的責任，而且每個部門都應該有一個負責人來負責信息安全問題，以確保問題發生時能夠有人給予立即處理。如果不設置一個負責人的話，就可能對信息安全管理體系的構建問題產生一定的影響，還會阻礙一個企業的信息安全管理工作和任務的完成。因此，對于保險企業而言，在處理這些現實狀況以及各種各樣問題的時候，則需要結合實際情況構建一套系統、完善的信息安全管理體系，從而使安全風險問題得到有效解決，更好的發揮信息安全管理體系建設的優勢，確保保險企業的健康、可持續發展。

2保險企業計算機信息安全管理體系構建的對策

2.1健全和完善安全管理標準

對于保險企業而言，要想更好的推動信息安全管理體系構建，就需要對現有的信息安全管理標準進行健全和完善，并更加深入的分析和歸納信息安全管理標準內容，不僅需要考慮信息技術相關的問題，而且還不能夠忽略信息安全管理問題。在進行計算機安全管理研究過程中，為了獲取比較良好的研究成果，則需要進一步健全信息安全管理標準，并創建信息安全標準化組織和信息安全管理標準框架，以確保信息安全管理體系構建工作有條不紊的進行。在我們國家，雖然在研究信息安全的時候，不是很早，但是經過當前不斷的完善過程，我們國家也制定出了一個更加符合我們國家基本國情的信息安全管理標準。

2.2實現科學的信息安全管理

對于保險企業而言，他們如果想要更好地實現比較科學的信息安全管理，就必須要充分地考慮到信息安全問題可能誘發的不利影響。對于保險企業而言，在信息安全管理方面，不僅需要有效地管理機構安全和人員安全的管理，而且要做好場地設施和技術安全的管理工作。同時，保險企業還需要采取比較科學的方式，從而可以有效地構建一套可實施的、科學合理的計算機系統安全管理體系，并結合實際情況制定一套規范、完善的安全防范措施，選擇一些可靠性比較大的、比較穩定的、比較安全的產品，并對現有的安全評估標準和等級進行細化和完善，以便能夠進行一些有效的檢查策略，從而可以更好地開展信息安全管理工作，為保險企業的發展奠定良好的基礎。

2.3重視安全風險評估工作

對保險企業而言，在進行信息化平臺建設過程中，就需要適當地進行對安全風險的評估，如果缺乏相應的風險評估工作，將會導致信息安全管理工作無法順利進行。同時，在信息安全風險評估過程中，還需要制定一套能夠有效應對風險的措施和方案，這樣可以有效地防止和解決一些突發狀況，并確保信息的安全性、有效性。

篇5

一、企業安全管理三大問題

自“棱鏡門”、iCloud照片泄露、攜程及支付寶等企業接連宕機等事件發生之后，信息安全已被國內外政府、行業和企業推到了前所未有的高度。國務院《關于積極推進“互聯網+”行動的指導意見》中也明確提出，要提升互聯網安全管理、態勢感知和風險防范能力，加強信息網絡基礎設施安全防護，加強“互聯網+”關鍵領域重要信息系統的安全保障。信息安全危害事件頻頻爆發。2015年5月，網易、支付寶、攜程、藝龍、知乎、Uber等多家知名企業出現接連宕機，互聯網安全問題頻繁出現并集中爆發，這為我國企業安全管理敲響了警鐘。企業處理突發事件能力較弱。網易、支付寶、攜程等互聯網企業宕機后，很長時間才得以解決，表明企業在應對安全威脅突況時的力不從心，也反映出企業對信息安全中的外部威脅難以進行有效防范和及時應對。目前，我國互聯網企業總體停留在安全保障、被動防御階段，并未形成明確推進信息安全的管理措施。企業對信息安全重視程度不夠。與發達國家相比，我國企業用于信息安全方面的投資還很低，尚未占到企業信息系統建設總成本的2％，而國外企業用于安全系統的投資占整個網絡建設投資的15％～20％。例如，2014年我國信息安全投資總額為22億美元，不及美國的3.2%，且企業投資重點集中在安全基礎設施建設、產品更新換代等，對安全服務投入明顯不足。許多企業口頭上重視信息安全，但未付諸實踐。

二、構筑企業安全三重防線

建設合理先進的信息安全管理系統。企業應重點加大對安全評估測評工具及技術、數據防泄露及敏感信息防護技術、大規模網絡安全態勢感知技術和統一身份管理與認證技術的研發投入，重點建設一個集風險評估、安全策略、防御體系、實時檢測、數據恢復、安全跟蹤和動態調整為一體的信息安全管理系統，加大信息安全管理的重視力度，從產品、技術、管理和制度多個維度來解決信息安全問題。建立信息安全風險防范和災難應對體系。建議企業參照金融行業的管理模式，主動建立風險防范和災難應對體系，出臺具備面對突發狀況的應急方案和數據備份雙重機制，并重點開展以下工作：完善、優化企業內部網絡架構，構建全方位的數據泄露防護系統，建立一體化的本地/異地備份與容災體系，建立防火墻、防入侵及一體化安全網關解決方案，提高漏洞發現及應急解決能力、減少高危漏洞帶來的危害。聯手產業鏈上下游共筑安全防線。信息安全已不只是企業本身所能掌控的，比如支付寶服務器故障的主因是杭州市蕭山區某地光纖被挖斷導致，這就需要電信運營商等加大對光纖光纜安全監督。因此，互聯網企業應與產業鏈上下游企業攜手，做到信息數據、用戶隱私、軟硬件產品等不同類型的安全問題與行業相對應，有效防范安全管理脫節、錯位等問題發生。隨著互聯網與各行各業的深度融合，信息安全威脅事件出現常態化趨勢。企業應緊密圍繞內部和外部環境，加大信息安全管理工作力度，有效減免信息安全危機事件。

作者:宋德王 單位:賽迪智庫電子信息產業研究所