时间：2023-01-22 01:46:42
当下社会新技术层出不穷，但大都着眼于网络局部，主要特征表现为具有分散性、针对性，很难适用于整个网络。为此，我们需对此作深入分析，探究其根本问题所在，从而有针对性地回避已有技术的不足，实现技术的大融合。整体来讲，其解决途径可分为宏观即系统层面、微观即用户层面。但是用户层面具有分散性和针对性，且很难只从本层面得到有效的解决。为此，这就要求我们必须整体考虑，探寻具有全局意义的技术解决方案，并与面向用户层面的技术相结合。未来通信将会以实现全光通信作为发展目标，通过尽可能少的设备接入，保证网络的简单性，提高其运行效率和可维护性，实现全球各地域用户接入网层面的规范化。
2自治愈技术
自治愈技术，即通信中无需人为干预网络就能在极短时间内从失效故障中自动恢复所携带的业务，使用户感觉不到网络已出现了故障，其实现是基于网络具备替代传输路由并重新确立通信的能力的一种自适冷处理技术。自治愈网可分为线路保护倒换、环形网保护。其均需要考虑很多因素，如成本、网络复杂性、通信恢复能力等诸多方面的因素，并受其制约。但是以自治愈技术为支撑兴起的网络技术仍然有很多优点，将会得到改善并加以应用。
3基于自治愈技术理念的面向入侵网络设计
3.1基本假设a）假设涉及的技术在物理电路上均可实现。b）假设各技术间能友好互助地实现预设功能。c）假设设置的各判决参数均易由实际检测获得。d）假设各网元间对故障足够敏感，能快速响应。e）假设隐性入侵可探测或在网络最大容限内。
3.2面向容忍入侵网络设计
3.2.1基本架构设计基本架构基于传统网络，通过修改、增设网元结构，辅助传统网络实现尽可能少的人工干预下的通信恢复。主要包括中断探测单元、中断馈偿网元、判决倒换节点、控制协调单元、备用线路等。基本模型如图1所示。图中，EU：交换单元；SCCP：信令链接控制部分；MTP：信息传输部分；UP：用户部分；CCP：链接控制部分；ALP：备用线部分；ICU：中断补偿单元。注：模型中ALP、MP分别与每一个MTP单元相连，图中只示意连接了一个。
3.2.2基本思想设计思想主要来源于自治愈技术，通过对现有网络分析补充，合理设置附加网元，建立故障后备通信方案和一种信誉度模型（在每次通信中由相关设备参考信度值表动态建立）来隔离恶意节点，保证网络安全可靠并能够提供更好质量、更加有效的服务网络。涉及技术有：授权认证（访问控制机制）、分层配置、存取控制策略、权限管理、事务日志、镜像数据库、通信协议等。注：本文所论述的设计，均是基于本节假设的设计。
3.2.3基本原理对重整补充后的网络利用重测信度法做信度分析，建立一张网络各节点的信度值表。辅助网元在数据通信时做出最优路由选择，达到高质可靠通信的目的。最大限度保障信息通信的质量，降低通信网元的复杂度。假设传统网络在无故障前提下能有效实现通信。在非故障状态，以快速响应的实时监测机制，实时反馈网络运行状态并加以评估，对各网络单元做出合理必须的干预，从人的主观能动性上减少事故发生的概率，保障通信的畅通。假设，现有一突发性（不可预知的）故障刺激源作用于网络，并对网络产生影响（效应可监测）。此时，附加网元被激活，并作出响应产生可行性效应作用于网络，控制指导网络快速重新选取通信网络单元，建立故障后的后备通信方案。
3.2.4设计原则我国现行网络施行的是分级制，本文的设计基于现行网络，因此设计需分级建设。同时我国网络覆盖面积甚广，这也要求相同而又有区别地加以对待（增加可控性、减少系统复杂度）。此外，不同用户对通信安全可靠度要求不同，所以也需要有区别地加以设计。对于优先重要通信，采用多级、多技术双重保证，如骨干网；对于次级通信，参照故障发生概率估计设计级别。概括来讲，就全国复杂的通信大系统而言，应设计运用分区分级思想，根据相同而又区别的原则对待，建立可行运营网络及控制系统。3.2.5基本问题及其算法1）重测信度法在网络正式投入使用前，对网络进行试运行测试，建立各网络节点的信度值表，并以此为基础建立可信度模型（提供故障下的处理参考）。根据等级要求确定测定次数和各检测指标，对同一个网元做重复通信测试。首先，在链路建立完备前提下，在发端发送测试信息，收端监测接收测试信息，然后与发端信息做置信容许下的比较，并把结果写入比较寄存器中。按测试要求进行多次测试，做相同信息处理。可信度评价：根据各次试验的数据，做统计处理剔除个别因测试失误引起的失谐数据样本。对每组数据做加权求和处理（权重根据参数重要性设定），得到一个概性估计值来表征该组数据的数字特征。对概性估计值做期望和方差处理，根据期望和方差对其做出可信度的评定。2）参数检验法此算法主要用于对故障的判定监测，指导下一步工作，并把检测结果反馈给CCP。首先，我们在给定小区域中设置若干监测点，分别为A1、A2、A3……An。在做数据分析前需对数据做预处理，假定每个监测点对同一节点样本采集3组数据，最后传回的样本数据通过如下方式得到：An=∑xipi，(1≤i≤3)，其中p1+p2+p3=1（其参数可由系统或人工根据需要设定）。经过上述处理我们得到一系列的点，则λ（A1、A2、A3……An）构成一个估计点，并通过经验估计构造该估计点的样本函数。假设样本估计点满足密度分布函数F(x,λ)=λe－λx,x>0，即λ赞与An之间满足关系：λ赞=n/∑Ai，(1≤i≤n)。以此为检验函数，给定置信度（判决阈值），通过将传回数据代入该样本函数得到一组随机估计点，并与标准下求得的估计点做偏差估计，如果满足预设阈值，则触发判决并把结果传回就近控制单元。3）最短行程算法首先，寻路算法基于上一算法作用域。在运算前需对可用路径做最大简化处理，以期选择路径时减少计算用时，达到快速响应目的。分析作用域及其邻域（即一次通信中，信息流在某一节点路由中传送时，所有可能的入路和出路路由的集合称为域）预处理后的简化拓扑图，根据实际情况设置每相邻节点间通路的权。为了进一步减少数据计算所用时间，这里采用类似分组交换中的数据报通信方式，即搜索每对顶点间的最短路径。基本做法：基于上一算法得出的故障点（设反馈中断信息包括其地址），控制系统分析传回地址，以故障点信息流入路路由作为传送新起点（即激发路由起始点），利用Floyd法搜索选取路径最短的路由作为传输方向（搜索时舍弃故障路由），并以此为新起点搜索下一传输方向，重复此步骤。最终将会得到响应故障后路由重选的最短路径。4）匹配覆盖匹配覆盖算法主要用于中断探测单元、中断馈偿网元、判决倒换节点、控制协调单元配置的优化，在一定程度上实现最佳配置，降低网络的复杂程度和成本，增强其可维护性。对全国进行片区和设置点粗略划分，做出其带权二元拓扑图，并利用顶点标记法将其转化为非赋权图，然后利用匈牙利算法求最大匹配，得出完美匹配方案，实现匹配下的最优覆盖。5）最大流问题本节考察网络流量问题。一个网络节点的吞吐量是有限的，若流向某节点的信息流在短时间内过大，则会造成信息拥塞，影响通信质量，如果得不到妥善处理，将会对整个网络稳定性产生影响，减小使用年限。为此，有必要分析最大流问题，优化网络。设f为网络N的流。首先，求出网络N的一条增广链，然后判别网络N中当前给定流f（初始时，取f为0流）是否为增广链，若没有，则该流f为最大流；否则求出f的改进f1，把f1看成f，再进行前述判断，直到求出最大流（网络容量）。
4网络评估
设计分析均是基于基本假设下进行的，只给出了简单的处理算法，缺少实验验证，没有得出相关经验公式和结论。对于参数检验法缺少可行性检验。在其中网络单元失效状况下，缺乏可靠应对策略。最短行程算法为了实现快速响应这一目的，选用了节点间的最短路径算法，但是所得出的路径只局限于相邻节点最短。同时没有对于建设的实际可行性和成本给予估计。
5结束语
1当前网络通信信息安全存在的问题
1.1网络通信结构不合理网络通信自身结构的不合理是造成当前我国网络通信信息安全隐患的首要原因。互联网通信技术是以网间网技术为主要依托的，用户需要通过自身固定的IP协议或TCP协议在网上注册账号，从而在获得网络的远程授权后开展网络通信。由于网络结构是树状型，用户在使用网络通信功能时可能被黑客攻击从而通过树状连接网络窃取用户的通信信息。
1.2网络通信软件存在安全隐患由于客户在使用网络通信软件时需要通过下载补丁等方式让软件能够符合计算机终端操作系统的要求，而这些被广泛应用并下载的软件程序可能由于补丁程序等的引入而成为公开化的信息，这种公开化的软件信息一旦被不法分子利用则会给人们的网络通信带来严重影响，这种影响甚至会波及整个计算机网络系统，造成整个网络的通信安全隐患。
1.3人为的网络系统攻击在利益的驱使下，部分不法分子企图通过不合法的网络系统攻击方式对网络通信进行人为的攻击从而获取大量的网络资源。这些“黑客”的攻击不仅出现在商业管理终端等能够获取大量经济利益的领域，甚至还可能出现在个人的计算机中获取个体用户的信息，给用户的信息安全造成重大隐患。应该客观认识的是，我国网络通信在人们生活水平不断提升及通信方式变革的背景下发展速度一日千里，但是作为保障的信息安全维护工作却与网络通信的发展现状存在较大差距。再加上网络通信管理部门对于网络通信信息安全认识不足、网络通信管理制度不健全等问题也加剧了网络通信信息安全隐患，甚至给整个互联网通信系统带来安全隐患，给不法分子以利用的机会。正是基于当前我国网络通信中信息安全的严峻现状及在这一过程中所出现问题的原因，笔者认为，不断加强网络通信技术革新与网络通信制度建设，充分保障网络通信信息安全是时展的必然要求。
2保障网络通信信息安全的途径
2.1充分保障用户IP地址由于黑客对用户网络通信的侵入与攻击大都是以获取用户IP地址为目的的，因此，充分保障用户的IP地址安全是保护用户网络通信安全的重要途径。用户在使用互联网时也要特别注意对自身IP地址的保护，通过对网络交换机的严格控制，切断用户IP地址通过交换机信息树状网络结构传递被透露的路径；通过对路由器进行有效的隔离控制，经常关注路由器中的访问地址，对非法访问进行有效切断。
2.2完善信息传递与储存的秘密性信息传递与信息储存的两个过程是当前给网络通信信息安全造成隐患的两个主要途径，在网络信息的存储与传递过程中，黑客可能会对信息进行监听、盗用、恶意篡改、拦截等活动以达到其不可告人目的的需求。这就要求用户在使用网络通信技术时要对网络信息的传递与储存环节尽量进行加密处理，保证密码的多元化与复杂性能够有效甚至从根本上解决信息在传递与储存环节被黑客攻击利用的威胁。当前在网络通信过程中用户可以选择自身合适的加密方式对自身的信息进行加密处理，而网络维护工作者也要根据实际情况加强对信息的加密设置。
2.3完善用户身份验证对用户的身份进行有效的验证是保障网络通信信息安全的另一条重要途径。在进行网络通信之前对用户身份进行严格验证，确保是本人操作从而对用户的私人信息进行充分有效的保护。当前，用户的身份验证主要是通过用户名与密码的“一对一”配对实现的，只有二者配对成功才能获得通信权限，这种传统的验证方法能够满意一般的通信安全需求，但是在网络通信技术发展速度不断加快的背景下，传统的身份验证方法需要新的变化，诸如借助安全令牌、指纹检测、视网膜检测等具有较高安全性的方法进一步提升网络通信信息安全水平。此外，在保障网络通信信息安全的过程中还可以通过完善防火墙设置，增强对数据源及访问地址恶意更改的监测与控制，从源头上屏蔽来自外部网络对用户个人信息的窃取以及对计算机的攻击。加强对杀毒软件的学习与使用，定期对电脑进行安全监测，从而确保用户自身的信息安全。
3结语
完善网络通信技术的安全保障是用户在开展网络通信时保护个人信息的必然要求，必须要通过完善对用户IP地址的保护、完善对用户信息传递与储存的保护、完善对用户身份验证的途径加强对网络通信信息安全保障。
作者：刘佳单位：中国铁通集团有限公司四平分公司
通信工程对安全监理提出一定要求，规范施工项目中的安全内容，由此约束了安全监理的模式。通信工程单位在合同形式、人员、制度三方面，分析安全监理的模式。
1、安全监理的合同模式合同是通信工程施工的规范依据，安全监理在合同方面实行法律监管，严格要求通信工程的参建单位，保障参建单位签订的所有合同均具备法律效应，以免工程企业违反合同规定。安全监理约束通信工程的合同内容，采取强制性的手段，要求参建单位遵守，保护通信工程的建设安全。
2、安全监理的人员模式安全监理将人员作为主体监督对象，采取专业化的人员模式。监理部门要求通信工程的从业人员达到相关的专业标准，降低人员群体安全意识的培养难度。专业的施工人员主动遵循安全要求，不会对通信工程造成安全干扰，安全监理逐步强化人员结构，发挥人员专业模式的优势，改善通信工程的施工环境。
3、安全监理的制度模式安全监理通过制度约束通信工程的行为，制度模式的构建需以通信市场为主，监理部门调查通信市场的动向，规划施工制度，借助制度调控通信工程的施工项目，符合现代市场的发展要求。
二、通信工程施工项目中的安全监理
根据通信工程的施工情况，主要在施工初期、中期、通信调试以及后期四个阶段，分析安全监理的应用，如下：
1、初期阶段的安全监理通信工程的施工初期，涉及多项工程内容，如：工程文件、方案以及资料等等，其中存在较大的安全风险，不利于通信工程的安全建设。监理人员需根据工程实际，规划初期工程的风险点，提出可行的控制措施。例如：某通信工程在初期阶段，主动安排监理人员，分析初期施工的安全措施，该工程将初期监理的重点放在应急预防方面，遵守通信安全建设的相关规定，结合工程施工的设计图，监理人员提出应急方案，确保安全施工，该工程组织全体人员学习安全制度，加强人员培训力度，发挥安全监理的作用，提高该工程安全施工的规范性。
2、中期阶段的安全监理通信工程中期阶段的安全监理实践性较强，增加安全监理的工作负担。工程单位结合中期阶段的施工情况，提出几点安全监理的执行措施。首先根据通信工程的安全需求，划分监理人员，以小组为单位，监督现场施工，以免出现安全事故，监理人员偏重于监控危险系数高的施工项目，如：消防作业、高空施工等；然后监理人员执行到位的现场巡检，实质检查施工人员的作业情况，明确施工中期的安全建设，落实各项安全措施，提倡安全施工，营造安全的施工环境；最后监理人员主动维护中期施工中的风险项目，要求施工人员按照安全标准执行工程维护，防止遗漏风险项目，引发连贯性的安全事故。
3、调试阶段的安全监理调试属于通信工程施工的核心项目，关系到通信工程的建设质量。安全监理在调试阶段发挥重要的作用，确保通信调试的质量。安全监理在调试阶段的主要目标是通信设备，以某通信工程为例，分析其在调试阶段的安全监理。该工程的安全监理贯穿于整个调试阶段，首先监理人员监督通信设备的采购与运输，维护此阶段的设备安全，防止设备出现性能问题；然后该工程按照通信设备的实质要求，执行连接与安装，严格按照规范要求，同时监理人员检测设备安装的质量，及时提出整改措施；最后监理人员对已安装好的通信设备，进行试验调试，得出设备调试的数据，分析数据表达的调试内容，得出通信设备的试验状态，判断调试是否正常，其中软件调试的安全监理比较繁琐，必须以整体通信环境为背景，才能正确执行调试。
4、后期阶段的安全监理后期监理集中在验收阶段，保障通信工程验收的安全性。监理人员在验收阶段，需规避施工中的威胁项目，针对特殊的通信工程，执行电气试验，评价施工性能，杜绝出现不符合安全标准的施工项目。后期阶段通信工程的整体性较强，监理人员利用科学的保护措施，严格进行监理工作，解决通信工程中的项目问题，发挥安全监理的作用。
三、安全监理在通信工程中的应用
效益安全监理不仅为通信工程提供优质的施工环境，而且有利于通信工程的安全建设，产生一定程度的应用效益。分析安全监理对通信工程的效益价值，如：
(1)合理监督通信工程的施工，降低工程风险，推进通信工程的持续发展，监理部门积极解决通信工程中的安全问题，为其创建稳定的发展空间，最大化的降低施工成本；
(2)安全监理提高通信工程的社会地位，体现工程建设中安全与质量的价值，获取社会的高度认可，而且安全监理提升通信工程的整体社会效益，构成效益发展的环境；
(3)安全监理稳定通信工程的经济效益，经济效益是工程施工的标准因素，通过监督与管理，约束工程建设，完善通信工程的效益结构，体现真实的工程效益。
四、结束语
1.1系统组件本身的脆弱性
由于国家电网经营发展属于民生大计问题，产业发展涉及到输变电生产、电力项目建设、工程项目维修、用电销售等诸多经营业务内容。因此，电力系统自动化通信技术视角下的技术定位相对较广，在信息系统设计、生产、组装环节中也就必然存在一定安全隐患问题。比如，第一点则属于系统硬件故障隐患问题，和信息系统设计初期阶段存在隐患有主要关系。第二点软件系统自有的安全隐患问题，这类安全隐患一般多来源于电力通信自动化技术领域下的平台软件，在平台设计开发阶段存在一定技术遗留问题。第三，基于TCP/IP协议栈的定义内容在网络应用设计之初时就留下了兼容性技术漏洞，使得网络安全隐患加剧。
1.2自然威胁
这类隐患性问题多以电力通信网络安全下的不可抗力事件发生为主，比如网络信息系统如果遭受自然雷击，或者是工作站突发性发生火灾，抑或通信系统遭受自然外力破坏，如地震、覆冰、风偏等。此外，这些自然不可抗事件发生一般不以人为意志为转移，会使得国家电网造成不可避免的经济资产损失。
1.3人为意外因素
通常指人为因素下的设计失误、技术系统操作异常、不规范使用信息系统等造成的安全隐患问题。此外，这类隐患问题出现一般并非人为主观意识上故意造成安全问题，而属于人为以外因素所致的安全隐患问题。
1.4人为恶意因素
同样，人为因素也包含恶意、蓄意、故意行为造就的网络信息安全事故问题。伴随这种恶意行为发生，可能会存在蓄意篡改重要数据，或者偷盗重要信息资源，或者更改代码种植木马信息等，以通过恶劣、低俗的网络黑客行为谋取私利。
2电力自动化通信技术下的网络结构分析
国家电网系统下信息网络结构一般由核心局域网，地方部门的局域网，以及区域通信渠道网络互联所组成；从应用功能角度又可划分为供生产、制造所用的SCADA/EMS系统，以及供电经营相关的MIS系统。
2.1SCADA/EMS系统
主要适用于变电网工作站、发电厂等电力供给、送电单位生产所用。并且该系统作用主要是进行监控、处理、评估及分析等；同时，其基本功能板块划分为数据采集、能源分析、信息存储、实时监控等。
2.2MIS系统（信息业务网）
该系统平台主要对网络信息化相关商务活动进行服务，同时其系统平台主要包括办公自动化、用户供电信息查询、信息统计管控、人资建设、以及安全生产等子系统板块。此外，MIS系统可对电力企业的直属上下级单位予以联网交互，包括地区间供电企业售电业务下的重要客户数据交互等。与之同时，MIS系统平台下已经由过去单一的EMS模式逐步转化为了当前的自动化DMS、TMR、调度管理、及雷电监测等多种方式应用拓展，可以会说在信息资源优化及调整上更为专业。而MIS系统主要应用于电力产业经营业务相关的组织活动方面，比如财务管理、物资置办、用电检查、安全监控、信息查询等多个方面。包括在MIS平台使用时也能够配套www、mail等板块予以实践应用，并且其属于IP网络传输，组网方式现如今也能够实现千兆以太网，同时网络结构取用于同级网络分层，每层又分为子网与链路层予以连接。
3电力自动化通信技术中的信息安全构建思路
3.1健全安全防范机制
国家电网下电力企业通信技术平台下的各个管理单元众多，在网络信息安全中制定必要的安全防范机制非常重要。因此，在安全机制构建过程中，需要保障安全机制具有严谨的逻辑性，要能结合电力企业自身需求情况，确认出重点网络防范区域与划分出普通网络访问区域。比如，对于一般性网络访问区域，需要设置具备一定开放性的访问权限；而重点网络防范区则需要严格限制普通权限客户登录，设立较高安全级别权限，以此才能对安全数据、资源信息、QA系统运营进行重点安全监督。
3.2完善信息网络设备管理机制
信息设备管理主要以电网系统下信息安全设备管理作为研究载体，强调设备管理综合效率最大化提升。基于此，设备管理机制中要配套使用促进人员职能发挥的激烈奖惩机制，以此来提升其责任意识和凝聚归属感，激发人员信息安全运维作业的人员主观能动性。此外，设备管理工作开展从基本规划、设计研发、平台选型、配件采购、安装组建、故障维修、定期养护、技术更新、设施技改等方面进行组织管理，以此才能确保信息网络设备及使用软件平台的可靠性与实用性。
3.3强化电力系统信息安全技术
为了充分保障信息网络安全，对于信息网络的安全技术研究而言则非常重要。一般当前通信网络安全技术主要有：防火墙、身份鉴别与验证、信息资源加密手段应用等。因此，第一，强化防火墙网络管理是必然的安全防控手段，特别是防火墙这种具备保护屏障作用的内、外网安全服务通道。所以，防火墙优化设计时要重点考虑其接口连接问题的同时，配套做好网络漏洞修复。第二，身份鉴别与验证，则要重点控公司内、外网的数据监控，人员操作日志，控制权限访问等，以便于公司内部网络安全软件开发时可提供必要信息资源依据。第三，对于信息加密手段应用，则要重点考虑口令卡、智能卡、以及密钥安全形手段的配套使用。同时，信息加密还可以结合企业自身条件，配套使用DES/RAS等密码技术应用，以避免未经授权时可有效控制非访访问获得数据等，防范重要数据泄漏。
4结束语
纵观当前计算机通信网络系统不难看出，其仍旧存在较多的安全问题，具体包括防范系统不健全、体制不完善、技术员工专业性不强等。伴随计算机系统技术的快速发展，网络安全问题逐步凸显出来。当然，计算机应用阶段中，网络安全问题始终无法避免，因而如何有效的防护、制定科学有效的应对策略，确保网络应用的可靠规范性十分必要。网络安全问题具体表现形式为病毒入侵、人为的恶意攻击以及黑客的非法操控等。在网络系统广泛普及的信息时代，较多企业单位乃至国家安全系统均同计算机通信网络技术整体安全性紧密相关，如果无法制定有效的安全防范策略，那么将使国家、社会面临无法估量的损失，为此做好计算机通信网络系统的安全防范尤为必要。伴随我国市场经济的飞速发展，计算机系统应用成为促动经济建设的重要产物之一。当前，我国构建的计算机通信网络系统仍旧不够完善，欠缺有效的管理工作体制。再加上各企业单位没能全面重视网络系统安全性，过多的看重经济效益水平，忽视了促动发展的核心方式在于网络安全。另外，维护管理系统的工作人员欠缺专业、全面的知识储备，因而技术水平无法符合既定标准。各企业之中在创建内部系统的过程中无法思考技术员工相关的配比问题，导致计算机维护管理阶段中无法形成安全防范的良好效果。信息技术的飞速发展，令整体信息市场变得更加复杂，而计算机网络系统技术逐步发展成为一个重要学科，现代社会之中更多的培训学校崭露头角，导致计算机网络系统安全技术工作人员掌握的技术实力与水平并不平衡，呈现出参差不齐的状态。技术员工素质水平不高，导致在维护管理企业通信网络系统安全的过程中势必会形成不同类别的安全漏洞，令整体体系陷入混乱不堪的局面。而正式的技术员工还会由于没能重视网络系统整体安全的重要性，而在实践过程中存在敷衍、应付的问题，这些现象均成为威胁计算机网络通信系统安全的重要因素。
二提升计算机通信网络安全科学对策
1创建整体化防范系统创建完善、整体化的计算机通信
网络安全系统是做好安全防范工作的一项重要内容。由于整体企业网络系统较为庞大，应用单一一种方式保障计算机通信网络系统安全存在一定难度。信息时代，为令企业信息系统更加安全可靠，便需要采用现代化的方式手段，引入先进性的工具设施，激发其核心功能价值，进而确保网络系统整体安全，降低企业后续维护管理耗费的经济损失。有关技术员工应更为注重网络安全，创建完善的防范系统，针对连接企业内部应用系统的计算机应做严格细致的把关与筛选。同时，在设置客户端应用密码的过程中，应通过多重防护进行有效防范。唯有如此，企业计算机通信网络系统安全方能得到更大的保障，进而推动企业的不断进步与全面升华，促进市场经济的飞速发展。
2健全网络系统管理体制
计算机通信网络技术快速发展的时代，网络安全问题渐渐被人们忽视，进而导致网络体制存在一定的漏洞，对企业提升生产管理效益形成了不良威胁。为此企业工作人员唯有注重计算机通信网络安全，提升安全防范意识，强化网络安全系统建设，方能达到事半功倍的工作效果。当前，网络系统进入到更多的企业之中，有关机密的信息数据、企业重要资料均存储至计算机系统之中，因此安全管理人员应更为重视网络安全，进而为企业单位的健康持续发展提供更优质的内在保障。网络管理工作人员应更多的借鉴吸取先进的经验，掌握符合时代需要的安全管理工作方法，形成对通信网络系统安全保障的正确认知。同时应强化体制建设，创建出更为完善健全的网络系统平台，引进更多的优秀人才，进而为企业单位的安全、健康、持续发展保驾护航。
3提升计算机通信网络安全技术水平提升
计算机通信网络安全技术水平为确保整体网络系统有用性的重要环节。企业安全系统之中，应引入有效的防范措施，通过科学的手段方式做好多重防护。企业工作人员登录内网应设置单独的口令，进而确保企业单位内部系统安全。通常应对外部入侵行为需要借助防火墙系统，采取必要的访问控制手段，利用专业化的安全管理知识确保企业整体安全。在引进工作人员的过程中，应注重考核应聘人员的专业技能以及综合素质，创建健全完善的人才培养机制，方能为企业单位计算机通信网络安全提供更大的保障。
三结论
关键词：档案安全体系；档案保护；灾害管理；风险管理；信息安全
Abstract：The construction of archival safety system has become an essential part of the archival cause development strategy. Facing the shortage of systematic induce in archival safety system theory， this paper point out the source of archival security system theory from these aspects： the archival conservation and management theory， risk society theory， risk management theory， disaster management theory， information security theory and safety culture management theory.
Keywords：Archives safety system； Archives conservation； Disaster management； Risk management； Information security
1 引言
2010年以恚从档案安全体系建设的提出到《关于加强和改进新形势下档案工作的意见》《全国档案事业发展“十三五”规划纲要》《关于进一步加强档案安全工作的意见》等文件的出台说明：档案安全体系建设已成为档案事业发展战略中不可或缺的一部分，得到了党和国家的充分肯定，一个全方位、多角度、深层次的档案安全体系建设“顶层设计”已经形成。反思我国档案安全体系建设快速推进的深层次原因，离不开学界多年来对档案安全问题的不断研究。从最初对档案安全保管、档案安全保护的研究到如今从档案安全体系的层面展开对各类档案安全问题的系统研究，档案界人士充分汲取相关学科的思想源流，并将其融入档案安全问题的研究当中，取得了重大进展。时至今日，我国档案安全领域已经积累了大量的研究成果。但值得注意的是，当前研究当中缺乏对档案安全体系理论的系统归纳和科学提炼。因此，厘清档案安全体系研究的理论源泉，对于促进档案安全体系的深入研究，以及具有中国特色的档案安全理论体系的形成意义重大。
2 档案安全体系研究的主要理论阐释
2.1 档案保护与档案管理理论。形成于20世纪60年代的档案保护技术学是研究档案制成材料损坏规律及科学保护档案技术方法的一门学科，它的任务是最大限度地延长档案的寿命。档案安全的理论最初就体现在档案保护之中。几十年的发展历程中，档案保护研究逐渐从各个层面展开，尤其是在信息技术的推动下，学界不仅对档案保护技术学科赖以存在与发展的知识基础和理论框架进行了全面的总结和梳理，还将目光转移到新材料、新技术、新设备的研究当中。我国档案保护技术学所形成的核心思想和理论方法，是以纸质档案为核心构建起来的知识体系，例如档案修复技术方法、档案馆建筑与设备、档案害虫与微生物的防治等，它们在我国传统档案保护工作以及“国家重点档案抢救与保护”工作中扮演着重要的理论角色。然而，随着数字时代的到来，档案保护的范围逐渐拓展到电子文件（档案）的安全保护、备份与长期保存等领域，而这些领域同样也是档案安全体系建设中的核心内容之一。档案安全体系建设下，档案安全保护是档案安全体系建设的重要组成[1]。总之，在档案安全体系理论建构当中，档案保护领域的理论方法不可或缺。
档案管理理论是围绕档案收集、整理等工作流程形成的一整套理论、原则和方法。科学的档案管理对于维护档案的完整与安全意义重大。从这个角度看，档案安全体系理论的构建离不开档案管理理论的指导。首先，要确保电子文件的安全，除了探讨电子文件信息的安全保密技术与方法外，电子文件的归档、电子文件的长期保存同样是档案安全体系建设中需要关注的重大问题。一方面，电子邮件、政府网站、政务新媒体等新型“文件”的出现，如何确定归档范围，如何鉴定其价值、划定保管期限，如何完整捕获文件内容及其结构和元数据信息都是值得研究的问题。另一方面，电子文件的长期保存和维护，尤其是新型电子文件的长期保存策略方法也是需要涉足的重要问题。其次，从文件生命周期的角度来看，文件（电子文件）从形成到销毁或永久保存的整个周期都存在安全问题，因此，对文件整个生命周期进行安全管理，既要防止重要文件由于没有归档或归档信息不完整造成的丢失，也要防止保管当中的篡改、泄密，以及注意防火、防盗等，当然，还有利用过程的原件保护、信息保密、隐私保护甚至销毁阶段的安全等。
2.2 风险社会理论。德国著名的社会学家乌尔里希・贝克在1986年出版的《风险社会》一书中，首次提出了“风险社会”的理论命题。此后，英国学者斯科特・拉什、安东尼・吉登斯、沃特・阿赫特贝格等人对风险的概念、风险社会理论进行了进一步探讨。风险社会理论对风险、风险社会进行了完整描述，对如何规避和应对风险作了阐释，是开展风险管理的理论与思想源泉。风险社会理论提出之后，风险的经济学、心理学、政治学、文化学等多维度视角也为关注风险社会问题提供了多种理论分析路径。此外，风险社会背景下，风险社会理论已经对政府管理、企业管理、社会治理等领域产生显著影响，基于风险社会视角展开的安全问题研究层出不穷。
对于档案界而言，对档案安全问题的认识通常有两种视角：一是从档案的存在形态、固有特性以及档案保管的场所、方式、管理体制、运行机制等方面着手，力图从内部发现档案安全风险因素；二是从档案安全所面临的外在环境，包括各种自然灾害以及政治、经济和社会等方面着手，力图从外部分析档案安全风险因素。风险社会理论为理解和思考档案安全体系建设面临的诸多问题提供了一个重要的理论视角，为档案安全风险的防范、规避与管理提供重要思路。
总之，探索风险社会理论对档案安全问题研究的理论价值和现实意义，对认识现阶段我国面临的档案安全问题提供理论借鉴。从风险社会理论视角切入对档案安全体系建设进行透视和反思，剖析产生安全问题的深层原因，这对于档案界树立风险意识、培育风险文化有导向作用。此外，有利于档案机构明确风险社会中档案安全的责任担当，从宏观和微观的双重视角展开，树立“大安全观”，建立安全防范机制、制定安全应对策略与相应的政策引导和制度保障机制。
2.3 风险管理理论。风险具有不确定性与客观存在性，它由潜在的损失、损失的大小、潜在损失发生的不确定性三种因素构成。为了避免事件发生的不良后果，减少事件造成的各种损失，即降低风险成本，人们引用管理科学的原理和方法来规避风险，于是风险管理（risk management）便应运而生。
风险管理是一种有目的的管理活动，常被视为一种保险，一个缓解不确定性的缓冲区，最终目标是以最小的成本获取最大的安全保障。因此，在进行风险管理的时候，管理主体通常致力于通过风险的识别、评估等一系列流程矸治瞿谕獠看嬖诘姆缦找蛩兀并制定一系列方案、措施来应对风险，以达到风险管理的目标。目前，风险管理理论已经在企业管理、工程项目管理、医疗护理管理等领域得到了极其深入的应用与理论拓展，并逐步运用到政府管理、信息管理、IT项目管理、自然灾害管理等领域中。
2000年，王健等人翻译了戴维・比尔曼的著作《电子证据――当代机构文件管理战略》，比尔曼认为，在电子文件管理中应导入风险概念，进行风险管理。之后，电子文件的风险管理开始引起国内学者的关注，其中中国人民大学的“电子政务系统中文件管理风险防范与对策研究”课题组进行了系统研究，探索了电子文件管理风险及其产生原因[2][3]、电子文件风险管理的必要性和可行性[4]、电子文件的风险管理流程与方法等[5][6]，并于2008年出版了专著《电子文件风险管理》。
总的来说，在文件与档案管理当中引入风险管理理论是十分必要且可行的[7]，在数字时代，文件与档案管理活动中面临的风险越来越多，这些风险不仅出现在收集阶段，还出现在整理、利用等各个阶段，尤其是档案信息化（数字化）建设阶段[8]以及档案数字化项目外包当中[9]。在文件与档案管理中引入风险管理理论，已成为我国档案安全管理的重要思想。
2.4 灾害管理理论。灾害是由自然原因、人为原因或两者兼而有之的原因而形成的、发生于自然界的或突发或缓慢发生的能给人类造成各种损害的事件。灾害与防灾、减灾是人类生存与可持续发展所面临的永恒主题。因此，灾害管理（disaster management）逐渐成为应对灾害的重要活动，它通过对灾害的研究、预测、减灾措施实施和灾后恢复等活动，以预防灾害的发生或减少灾害造成的损失。现代灾害管理理论主要有危机管理理论、风险管理理论和GCSP 管理理论。危机管理理论侧重于灾害的防治，风险管理理论更侧重于灾害预防，GCSP管理理论则是综合危机管理和风险管理理论，侧重于灾害的管理方法。
我国自然灾害频繁，档案面临着各种潜在的威胁。国家档案局对自然灾害的防治非常重视，每年都要专门发文强调汛期档案安全，此外还出台了《档案馆防治灾害工作指南》，其目的就在于进一步强化档案工作者的灾难风险意识和防范意识，为各级档案馆和档案工作者在制定灾害管理政策和战略过程中提供必要指导，以便进一步增强档案馆抵御各种灾害的能力，确保档案的安全保管和妥善处置，把各种灾害对档案馆的影响减少到最低程度[10]。针对档案以及档案馆所面临的灾害威胁，灾害管理领域的理论方法（诸如灾害恢复、灾害风险评估、灾害损失预测与评估、灾害分类与等级划分、防灾减灾对策、灾害应急管理、灾害风险管理、灾害危机管理等）对档案安全管理有重要参考借鉴价值。因此，近些年来，有学者对档案灾害预警机制[11]、档案部门灾害事件应急准备能力[12]、档案灾害管理体系[13]、档案防灾减灾体系建设[14]、数字档案灾害[15]等问题进行了探索，还有学者对“档案灾害学”进行了深入研究[16][17]。
2.5 信息安全理论。信息安全是信息时代永恒的需求。可以说信息安全是信息的影子，哪里有信息哪里就存在信息安全问题。当前，信息科学技术空前繁荣，可危害信息安全的事件也不断发生，敌对势力的破坏、恶意软件的入侵、黑客攻击、利用计算机犯罪等，对信息安全构成了极大威胁，信息安全的形势是严峻的。信息安全已成为影响国家安全、社会稳定和经济发展的决定性因素之一。一般而言，信息安全主要包括设备安全、数据安全、内容安全和行为安全4个层面的内容，而信息安全学科就是研究信息获取、信息存储、信息传输和信息处理领域中如何保障这四个层面安全问题的一门新兴学科。在信息安全理论当中，技术被认为是信息安全保障最重要的手段，在发展过程中出现了数字水印技术、网络防火墙技术、入侵检测技术、访问控制技术、信息加密技术、可信计算技术、RFID技术等安全保护技术。
进入21世纪以来，档案信息安全受到了高度重视。学者们纷纷针对档案信息安全的因素以及档案信息安全管理存在的问题，从技术、管理以及保障体系等层面阐述应对策略。研究中不难发现，档案信息安全研究不能脱离信息安全领域的理论与技术方法的指导，信息安全领域的诸如网络安全机制、隐私保护、设备安全、信息系统安全、信息安全风险评估、信息安全技术、PKI安全认证体系、可信计算技术等理念、技术和方法对档案信息安全研究有重要参考价值。
2.6 安全文化与管理理论。安全问题是伴随人类的出现而产生的，防御灾害、事件和保障安全是人类生存和发展的基本需求之一。安全科学的研究对象就是与“天灾”和“人祸”相关的安全问题。“天灾”包括地震、台风、洪水、旱灾等。“人祸”就包括战争、环境破坏、恐怖活动、网络黑客事件、大面积停电、交通事故、公共安全等。安全科学的基本任务是揭示安全现象中的安全规律，安全科学原理就是安全规律的核心内容。这些原理当中：安全文化原理、安全伦理原理、安全教育原理、安全法律法规原理等社会科学方面的原理对于档案安全体系建设以及档案安全观的形成研究颇有参考价值。此外，从安全管理的层面来看，安全生产管理当中的一些经验教训、体制机制以及管理理念、管理策略方法等同样可以作为档案安全管理的参考。
3 结语
2010年，国家档案局提出建设档案安全体系，并迅速付诸实践。实践工作的快速推进，亟须理论的支撑。因此，有必要梳理已有的相关成果，分析相关的理论思想来源，提炼档案安全体系理论，为指导我国档案安全体系建设提供参考。本文系统梳理了档案安全问题研究当中所涉及的档案学、社会学、管理科学、灾害学、信息安全学以及安全科学等6个领域的7大主要理论思想，其中“档案保护理论”“档案管理理论”是档案安全体系研究的理论基础，其余5种理论则为档案安全体系相关问题的研究提供了理论借鉴和思想源流。然，在各学科理论融合发展的大背景下，后面5种学术理论当中，也存在部分交叉的情况。如灾害管理理论、安全管理理论当中同样借鉴了风险管理理论的思想。因此，笔者认为，针对档案安全问题的广泛性与特殊性，在档案安全体系研究当中各种理论思想之间并不是完全割裂开的，是可以相互借鉴吸收的，其共同目标是应对各类档案安全问题，指导档案安全体系建设。
参考文献：
[1]赵鹏.从档案安全体系建设的角度看档案保护[J].中国档案，2010（6）：27.
[2]冯惠玲，王健.电子政务建设中的文件管理风险探析[J].中国行政管理， 2005（4）：62～66.
[3]冯惠玲.论电子文件的风险管理[J].档案学通讯， 2005（3）：8～11.
[4]徐拥军.电子文件风险管理的必要性与可行性[J]. 档案学通讯， 2005（6）：51～55.
[5]张宁.电子文件风险管理：识别与应对[J].电子政务， 2010（6）：24～30.
[6]张宁.思维的“逆行”――电子文件风险管理解析[J].中国档案， 2010（7）：59～61.
[7]向立文，欧阳华.论加强档案风险管理的必要性与可行性[J].档案学通讯， 2015（4）：68～71.
[8]陈国云.档案信息化建设的风险管理[J].北京档案，2008（2）：42～43.
[9]黄丽华.引进风险管理方法构建安全管理策略――档案数字化外包潜在风险分析及安全管理措施研究[N].中国档案报，2015-11-23（03）.
[10]王良城. 自然灾害对档案的侵袭与应对策略[J]. 北京档案，2010（7）：72.
[11]于海燕.档案灾害预警机制研究[J].档案学通讯， 2011（4）：81-84.
[12]吴加琪，周林兴.档案部门灾害事件应急准备能力研究[J].浙江档案， 2012（6）：16～18.
[13]毛惠芳.预警应急抢救――档案灾害管理体系的构建[D].合肥：安徽大学， 2010.
[14]张新.灾害后的行动与反思――从北川档案抢救看档案防灾减灾体系建设[J].四川档案，2010（3）：21～23.
[15]吴晓红，郭莉珠.数字档案灾害初探[J].档案学通讯，2005（3）：80～83.
[16]吴晓红.档案灾害学研究[D].北京：中国人民大学，2007.
（贵州大学计算机科学与技术学院，贵州贵阳550025）
摘要：提出以国家相关规范标准为依据，以社会实践内容为基础，构建符合社会践行的课程结构体系，分析依据结构体系提出课程内容的设计原则及基本教学内容。
关键词 ：信息安全；风险；课程；结构体系
文章编号：1672-5913(2015)17-0043-04 中图分类号：G642
基金项目：教育部信息安全类专业建设和人才培养项目(JZW201011)；贵州省教育厅贵州省高等学校教学内容和课程体系改革（重点）项目( SJJG201404)；安顺学院航空电子电气与信息网络贵州省高校工程技术研究中心开放项目( HKD2201406)
第一作者简介：潘平，男，副教授，研究方向为信息安全与信息处理，panping_17@163．com。
O 引言
近几年来，信息安全事件已引起了国家和社会的高度重视。面对不断增加的信息安全事件，信息系统如何转移、分散和规避其安全风险，关系到系统的可持续发展。有效和可靠的监测、预警、转移、分散和规避信息系统安全风险，涉及信息安全管理及其专业技术技能。因此，需要培养大量的既懂得管理，又具有专业技术技能的信息安全复合型人才，以满足信息系统运维的需求。
为了保证信息安全专业人才的培养符合社会发展的需要，保证培养的人才能学以致用，发挥专业人才的研究能力和实际处理信息安全问题的能力，通过多年的探索，我们于2010年首次开设《信息系统安全风险评估理论与实践》课程，目的是检验学生全面综合理论知识和实践技能，培养学生在复杂多变的信息环境中，如何识别和控制信息系统安全风险的能力。
1 信息安全风险评估课程的结构体系
文献[1]指出，信息安全风险评估是依据国家信息安全风险评估一系列的有关管理要求和技术标准，对信息系统由其存储、处理和传输过程中的信息的机密性、完整性和可用性等安全属性进行科学的、公正的、严谨的、全面的综合评价过程。
根据对国内外相关标准及其相关规范性文件的理解，我们认为信息安全风险评估至少应涵盖十余个学科领域的知识，如管理学、法学、哲学、社会工程学、数学、物理学、软件工程、通信工程、电子科学、信息科学、系统科学等理论知识。从专业通用知识与技能结构体系上看，它主要涉及访问控制、通信与网络安全、安全管理、应用软件安全、密码技术、安全体系结构和模型、操作安全、灾难恢复、法律与道德规范、物理安全等。学科领域与专业通用知识之间的关系见表1。
由此可见，构建信息系统安全风险评估课程体系是一个复杂的过程，既需要深厚的专业知识和技能，又需要博学的科学理论知识与丰富的信息安全管理的实践能力。
根据多年的教学及社会实践，我们认为信息系统安全风险评估课程结构体系不仅要从专业通用知识、技能和学科领域知识考虑，还要依据国家现有的相关技术标准与要求作出科学的综合分析，在满足专业学科理论基础知识培养目标的基础上，结合信息安全风险评估规范的具体要求和社会实践设计课程结构体系，以获得课程结构体系设计的完备性，实现综合分析问题、解决问题的能力目标。
因此，信息系统安全风险评估的课程结构体系是以专业通用知识为基础理论，以《信息安全风险评估规范》《信息系统安全等级保护基本要求》《信息系统安全等级保护实施指南》《信息系统安全等级保护测评过程指南》《信息系统安全管理要求》《信息安全管理体系要求》为依据构建。
根据这一指导思想，课程结构体系要素应包括评估过程中非技术性和技术性要素。非技术要素由安全组织机构、安全管理策略、人员安全管理、系统建设与运维管理、数据备份与恢复策略等组成，详细要素见表2。
技术性要素由人工检测、软件辅助扫描、渗透测试组成，目的是根据国家信息系统保障体系结构，从信息载体（计算环境）、通信载体（通信环境）和边界环境3个方面构建技术性结构，详细要素见表3。
根据信息系统安全评估过程所涉及的理论知识和评估要素，构建信息系统安全风险评估课程结构体系，如图1所示。
实践证明，只有在深入研究信息安全风险评估相关标准及其相关规范要求的基础上，完备地架构课程结构体系，准确地设计课程教学内容，才能有效地实现课程的培养目标。
2 信息系统安全风险评估课程内容设计原则
根据课程结构体系，分解各要素之间的关系，在深入理解相关标准的基础上实施课程内容设计。通过多年的实践与探索，课程内容设计必须遵守如下原则：
第一，与专业通用知识统一的原则。课程教学内容必须与专业通用的理论知识相结合，保持理论的一致性和完备性，在此基础上进一步加强对理论知识的理解。
第二，与其他学科知识统一的原则。信息系统安全风险评估本质上属于管理科学，但由于其自身的多学科特性，因此，在理论教学中，必须注重与其他学科的一致性，避免教学过程中与其他学科理论知识的冲突。
第三，与国家标准统一的原则。信息安全风险评估必须依据国家的相关标准进行，因此，在教学过程中必须保持与国家相关标准的一致性，避免在具体的社会实践中不符合国家标准。
第四，理论与实践统一的原则。信息系统安全风险评估涉及十多个学科领域的基础理论，同时又包含信息安全专业的全部理论知识与技能。文献[2]认为，现行的模拟实验与仿真实验，只是真实系统中的某些表面现象，不能准确描述真实系统的行为。因此，理论教学、实验教学必须符合信息安全服务所必需的技能训练，以达到理论教学、实验仿真与社会实践的符合性和一致性。
第五，分析问题、解决问题统一的原则。分析问题和解决问题的方法是本科生培养的目的之一，通常的通识课程和专业基础课程，只能培养学生分析和解决某一类问题的能力，而信息系统安全风险评估课程是一门系统的综合学科。因此，要求课程内容的设计必须从系统科学的理论与方法着手，利用所学知识，全面地、综合地、优化地分析和解决问题，通过仿真与实践，实现分析问题和解决问题的统一。
3 信息系统安全风险评估课程内容与社会实践内容的统一设计
传统的课程内容教学与社会实践存在明显的差异，导致毕业生无法面对具体的社会实践。为满足社会对信息安全人才的需求，课程教学内容必须与社会实践相一致。因此，在具体的课程教学过程中，需要结合社会实践，设计相应的课程教学内容。
根据课程结构体系以及信息系统安全风险评估过程，我们认为，课程教学的主要路线需要依据社会实践的线程来设计，即以现场安全检测一资产识别与分析一威胁识别与分析一脆弱性识别与分析一渗透性测试一系统安全风险分析一安全建设建议为主线，在具体的每次课堂教学中，课堂教学应与模拟仿真、社会实践的相关典型案例相结合，以实现与社会实践活动相一致的目标。具体措施包括以下5个方面。
第一，现场检测是获取资产价值信息、脆弱性信息、威胁信息的主要手段，是资产识别与分析、脆弱性识别与分析、威胁识别与分析及其风险分析的依据；是检测学生与人交流能力和专业技能培养是否实现目标的基础。因此，在具体的课堂教学中，应以信息安全风险评估规范的相关要求为基础，在强调计算环境、通信环境和边界安全配置对资产安全的重要性的同时，深入理解现场检测中各个检测点的目的和意义。
根据相关评估规范要求，在现场检测中安全管理共有5项147个检查点，物理安全环境中共有7项73个检查点，网络安全共有7项47个检查点，主机安全共有7项56个检查点，应用安全共有9项53个检查点，数据安全与备份恢复共有3项58个检查点。因此，在课堂内容教学设计中，我们以相应的检测项为基线，以检查点为具体内容，以理解检查点在风险评估中的重要性和目的为理论内容，以具体的资产检查点的模拟和对系统的渗透为目标，培养学生与人交流的能力、安全技术管理的能力和使用工具的能力。
第二，资产识别与分析是信息安全风险评估分析的基础。它以信息系统中的资产为对象，以资产的脆弱性、面临的潜在威胁为课程内容；以系统分析理论与方法为依据，分析系统对资产的依赖性，系统中各类资产存在的潜在安全隐患，以及资产的脆弱性的严重程度等。其目的是培养学生局部分析问题、全局综合分析问题的能力。文献[3]认为，信息安全风险评估的关键是对信息系统资产的分类，并依据其资产进行风险识别、估计和评价，然后实现全面的、综合的分析。
第三，信息系统安全风险分析是课程教学的核心。根据对目前的信息安全风险评估规范要求的理解，在具体的社会践行中，基本采用基于资产的安全风险分析，这种分析方法是基于系统分析的原理实施的，强调局部分析，忽略全局分析。因此，在教学内容设计中，一方面要使学生掌握局部分析方法；另一方面，要引入最新的系统分析理论与方法，特别是全局综合性分析方法。通过引入全局综合性分析方法，使学生在教学过程中，理解局部与全局之间的关系，从而培养学生综合分析问题的能力。
第四，信息系统安全建设建议是根据所学理论知识，并依据信息系统所存在的主要威胁，科学地分析其系统架构，正确地部署安全设备，科学地规划、设计安全策略的重要组成部分，是培养解决问题能力的重要途径，是课程教学的最终目标，是全面综合检验学生解决问题能力的基础度量。通过系统安全建设建议，我们可以发现教学过程中存在的问题，修正课程教学内容，培养学生解决问题的能力。
第五，社会实践是检验课程教学的重要途径。课程教学必须与社会实践相结合，如何实现这一目标，检验学生学以致用的关键在于教师是否参与了相关的社会实践。实现这一目标的关键是教师必须参与到与信息安全管理服务的所有项目之中，包括信息系统等级保护测评、信息系统软件测评、信息安全事件应急演练与数据恢复等社会实践。虽然这些项目的参与人数有限，但可以分批次进行。只有学生参与了具体的社会实践，才能真正使学生学以致用，达到培养目标。
综上所述，信息系统安全风险评估课程教学的内容，必须以国家评估相关标准的内容作为课程教学的主要内容，从而有效避免理论与实践的脱节，培养适应于社会发展需要的复合型人才。
4 结语
信息系统安全风险评估是一项长期的、复杂的动态过程，同时横跨多学科，既含有高科技技术手段，又涵盖科学的管理过程。因此，需要教师既具有多学科的专业理论与技能，同时又必须具备较高的科学管理能力和丰富的社会实践经验，只有这样，才能使课堂教学内容丰富多彩，生动活泼，才能完成课程教学的内容，达到既定的目标。
参考文献：
[1]范红，信息安全风险评估规范国家标准理解与实施[M].北京：中国标准出版社，2008年．
[2]潘平，杨平，信息系统安全风险评估课程教学探讨[C]. 2010 National Teaching Seminar on Cryptography and InformationSecurity(201 0NTS-CIS),1 39- 143.
[3]任勇军，郑关胜，李含光，信息安全风险评估课程教学探讨[J]．教育教学论坛，2011(35): 46-48.
[4]潘平，杨平，罗东梅，等．信息系统安全风险检查评估实践教学探讨[C]．Proceedings of 2011 National Teaching Seminar on
1 信息安全人才的素质和能力要求
信息安全是一门涉及数学、物理等基础学科，计算机科学与技术、通信工程、电子信息、网络技术等应用学科，法律、管理、心理学、伦理学、社会学等人文学科，因此，信息安全学科具有多学科交叉的特点。从信息安全技术应用的角度来讲，涉及到软件技术、信息安全技术、通信技术等，还与安全服务、安全管理以及公共信息安全等密切相关，因此，信息安全技术具有高度综合性的特点，信息安全技术的应用与管理密切相关。因而，对信息安全人才的素质和能力要求相对较高。
1.1信息安全人才需求的类型
第一类：信息安全技术人才。这类需求来源于以信息安全产品为主营业务的企业。岗位有：系统工程师、研发工程师、软件工程师、数据库程序员、业务流程分析师、Window内核开发程序员、软件测试工程师、产品规划工程师、技术文档工程师、病毒分析工程师、数据集成工程师、网络安全高级人员等。除信息安全产品系统集成商外，在电子商务、电子政务领域也需要大量的信息安全技术人才。由于越来越多的企业愿意为安全服务付费，因而安全服务的人才缺口更大。安全服务涉及到安全咨询、安全管理、风险评估以及安全集成等, 既需要能够提供咨询服务、风险评估的高端人才, 又需要能够进行安全集成、工程实施的技术人才。
第二类：信息安全管理人才。企业的核心技术知识产权保护需要建立专门的信息安全管理部门及信息安全管理人才来保证企业的生存和正常运行。从国家利益的角度，需要一批信息安全技术标准人才。以前我们国家的企业主要是跟从型, 很少参与标准制定,知识产权大棒使得我们最近屡屡吃亏。在国际上信息安全领域的标准才刚刚开始重视,单从国内来看, 真正符合安全标准需要的人才非常少,安全标准职业也是今后安全领域的一个热门需求职业。
第三类：公共信息安全人才。主要来源于国家行政管理部门和国家安全系统，为维护国家信息安全，国家重要部门和安全系统需要大量的专门人才，以保障我国的经济、政治和文化安全。因此，这类人才需要具备法律和信息网络犯罪侦察技术，具备电子安全对抗技术。
第四类：信息安全专业技术教育人才。主要来源于高等院校，许多高校非常重视信息安全学科的发展，从信息安全专业的专科、本科、研究生教育的学历教育和非学历教育的人才培养体系正在形成，需要一大批德才兼备的专业教师。
1.2信息安全本科专业学生具备的素质和能力要求
(1) 素质要求
信息安全问题不仅仅是一个纯技术问题，与管理、法律、道德和文化相关，因此，信息安全本科专业学生应具备较高的素质，特别是应当具有较高水准的道德素质。学生的素质主要包括：文化素质、思维素质、能力素质、创造素质、道德素质和心理素质等。虽然这些素质要求是信息安全专业学生最基本的要求，但我们特别强调专业特色的要求，对信息安全专业的学生而言，创造素质是指学生具备分析和处理变化多端的信息安全事件的基本素养，善于发现分析和处理问题的途径，能够采取适当的应变对策，而不固守书本知识。道德素质是指学生具有较强的自律意识和法律意识，因为本科专业学生主要学习防御技术，但反过来，不掌握好攻击技术，很难学好防御技术。如果学生滥用所学知识和技能危害社会，后果是非常危险的。因此，特别强调学生的道德素质。
(2) 能力要求
① 掌握较扎实的数学、物理等自然科学和一定社会科学基础理论知识，具有较强的运用外语的能力。
② 掌握计算机程序设计语言、硬件系统、操作系统、网络系统等基础理论，具备较强的计算机应用能力。
③ 掌握模拟和数字电子线路的基本理论和原理、分析方法、实验技能与方法；掌握信息系统、设备的基本原理，掌握信息采集、传输和处理的理论和技术；重点掌握信息安全的基本理论、基本原理和技术，掌握信息安全的研究、设计、开发和应用的基本方法；具有对典型信息系统进行分析、设计的初步能力，具有在信息、信息过程和信息系统中进行信息安全分析、设计、研究、开发和应用的初步能力。
④ 具有较强的分析、解决实际问题的能力和从事科研的初步能力。
2信息安全专业知识体系
信息安全学科是计算机科学与技术、通信工程、数学等多学科的交叉学科。因此，信息安全专业人才培养应以计算机专业、通信专业为基础，在此基础上设置专业课程。除通识基础课程（外语、数学等）外，计算机相关课程有：离散数学、高级程序语言设计、面向对象程序设计、计算机组成原理及接口技术、数据结构、操作系统、计算机网络和Internet技术、网络程序设计等。通信相关课程有：通信系统导论、数字通信原理、信号系统与信号处理、电信网络、电磁场理论及单片机与嵌入式系统等；信息安全专业相关课程有：信息安全导论、信息安全数学基础、密码学、操作系统安全、计算机病毒、网络安全、信息隐藏技术和电子设备的电磁防护等。
3信息安全本科教学计划及实施
3.1本科教学计划
我校实行的是“学分制”的教学模式，共设置有学校定课（必修和选修课）、学院定必修课、限选课、任选课、实践环节、课外必修项目和课外选修项目七大模块。学校定课程模块主要是为了培养学生具备宽厚的基础知识。专业课程的设置体现了“以学生为中心”的现代教育教学理念，从知识、素质和能力三个方面，建立一切为了学生，适合专业培养目标要求的教学新体系。以我校2005级教学计划为例进行说明。
学校定必修课（基础公共课）：思想道德修养、法律基础、思想概论、邓小平理论概论、马克思主义哲学原理、马克思主义政治经济学原理、体育、英语、高等数学、线性代数、概率论与数理统计、大学物理、工程识图、现代经济管理基础。
学院定必修课：电路与电子学、高级语言程序设计、数字电路与逻辑电路、离散数学。
学院定必修课（专业基础课）：计算机组成原理及接口技术、数据结构、信息安全数据基础、数字通信原理、密码学。
限选课：信息安全导论、操作系统、计算机网络、通信系统导论、信号系统与信号处理、信息论与编码、数据库概论、电子商务概论、信息安全法律法规、学科前沿、电子设备的电磁防护、网络安全、信息隐藏技术、DSP芯片原理及应用、电信网络、电磁场理论、单片机及嵌入式系统。
任选课：计算机病毒、操作系统安全、windows编程、面向对象程序设计、软件工程、Internet技术、典型数据库系统、算法分析与设计等。
实践环节：密码学实验、网络安全实验等。
课外必修项目和课外选修项目：军训、军事理论、形势与政策、社会实践、讲座等。
3.2教学计划的实施
教学计划从时间上按以下三个阶段进行实施：
第一阶段是以理论教学为主的公共基础知识的学习，重点是夯实理论基础；
第二阶段是宽口径的专业技术基础知识的学习，注重理论与实践的密切结合，既加深对专业技术基础理论的掌握，又初步培养学生的实践动手能力；
第三阶段是以工程实践训练为主的专业知识的学习与毕业设计训练，强调学生的动手实践能力、个性发展、创新意识与综合素质的全面提高。
教学计划的实施过程用图1来描述。图中的三个圆盘分别对应教学实施过程的三个阶段。
图1 教学计划的实施过程
4存在的主要问题
(1) 理论知识学习偏多，实战演练编少。信息安全专业是一个应用性极强的专业，工程应用占有很大的分量。从教学计划可以看出，信息安全攻防编程、工程应用实战、产品应用实训等比较薄弱。从教师队伍的现状来看，虽然学历普遍较高，但大多以理论见长，软硬件产品开发经验不足。
(2) 实验室建设亟待加强。目前，学院拥有一个能容纳50人的信息安全专用实验室，能开出的实验大多为软件仿真，属演示型实验，只能基本满足教学需要。学生经过这样的训练，可以加强对安全知识的理解和技术的掌握程度，但是，这离真实网络环境和实际的安全事件的应急处理的要求尚存在一定的差距。
(3) 人才培养质量与社会需求之间脱节的矛盾将长期存在。这是普遍存在的现象，虽然这是一个需要认真解决的问题，但我们认为这是合理的、正常的。本科毕业生不等于是人才，只有在实践中经过锻炼能够派上用场时，才能称得上是人才。在大学期间，只能打下扎实的基础，这不同于高职院校，它没有明确的职业类型。大学教育在理论上、思想观念上往往是超前的，它担负着引领时代和未来的历史使命，不可能为某个具体的企业或事业单位培养“规格”的人才。用人单位还需进行适当的培训才能正式上岗。学历教育与培训应相辅相成，互相补充，形成完整的人才培养体系。
关键词：中小企业；电子信息；安全技术
1 电子信息安全的内涵
对于买方来说电子信息主要优点是方便快捷、操作起来比较简单。电子信息对于卖方来说主要优点是管理比较方便并且成本较低，但是电子信息最大的缺点就是买卖双方不能进行交流，主要是货币与货品的交换，并且交易都是通过网络进行的，之所以交易能够顺利完成，主要的原因是两者之间存在着诚信。关于诚信主要有两个方面的内容：有一种系统软件在买卖的过程中起到安全保障的作用，能将虚拟的货币符号转化成真实的货币，同时也能对交易起到保护作用，其中主要是对货币账户起到安全保障的作用。要想研究电子信息安全，首先要了解信息的内涵。信息主要是指资料、数据以及知识以不同的形式存在，在中小企业中这类信息主要是指买卖双方的有关信息和资料，犯罪分子能通过非法的手段对电子信息中的买卖双方采取诈骗行为，或者是通过网络对进行入侵和盗窃。信息安全管理标准对信息做出了详细的定义，信息也是属于资产，与其他的资产相同，对中小企业的发展有着重要的作用，是需要法律保护的。信息安全管理标准将信息划分为八个部分，主要包括物理资产、文档资产、文字资产、服务资产、软件资产、数据资产以及人力资源资产。
中小企业的电子信息主要是以网络为载体，网络的交流主要通过数据的传输得以实现，网上交易就是交流过程中的主要内容。所以，在信息安全的范畴中电子信息安全技术就成为了重点问题。关于电子信息安全技术的研究大多是关于技术的，但是对于中小企业来说，不仅要对技术进行改进，也要重视管理层，避免信息出现安全问题。
2 电子信息安全的理论
我国关于电子信息安全的研究，仍然较为落后。在国际中的关于信息安全的主要理论为：三观安全理论、信息循环理论以及信息安全模型理论。
三观安全理论。在中小企业的电子信息安全系统中，三观安全理论主要将其分为三个方面的内容，即微观、中观以及宏观。这个理论主要是将宏观层面的安全理念转化成微观层面的管理理念，进而对服务与生产进行指导。
信息安全模型理论。信息安全模型理论是信息安全管理发展过程中的产物，信息安全模型理论主要是将人、软件、操作以及信息系统相结合，并且全面的保护网络信息系统。主要倡导的是一种新的安全观念，并且提出了不能仅靠程序与软件对系统信息安全进行保护，要注重动态保护。此外，关于电子信息安全问题不能只依赖于安全技术，也要重视管理层安全理念的创新。
电子信息的循环理论。在实施网络信息安全的过程中电子信息的循环理论将其划分为四个方面：计划、执行、检查以及改进。这四个方面是一个循环的过程，也是一个周期，在循环的过程中，将这个过程看作是一个整体的信息安全管理体制，而不是将其看成某一管理过程。
3 电子信息安全技术对加强中小企业信息安全的作用
上文所述的三个信息安全理论对中小企业的信息安全管理有着重要的作用，主要有以下几个方面的内容。第一是信息安全领域的建设，第二是中小型企业中加强建设信息安全组织。美国信息安全研究所首次提出了信息安全领域，信息安全领域主要是指根据信息的不同保密程度创建相应的保密级别，网络控件的安装要结合用户信息的不同安全级别，安全信息的选择要适合用户的保密级别。在中小企业中，电子信息与资料的分类系统应该有统一的部门进行管理，然后对信息进行分类，并采取不同程度的加密与保密，这类信息主要包含文档、电子商务的相关资料以及服务等。将这些信息进行分类、保密、归档以及整合，有利于中小企业电子信息的调试。
对于中小企业来说，一直都存在电子信息安全性不够的问题，这主要同企业内部安全管理不足有关，安全管理的工作缺少专业的管理，很多的小型企业并没有统一的信息安全管理部门。企业安全管理部门的主要职能包含这几个方面的内容：同企业人力资源管理部门相互配合共同完成工作内容，要定期的审查一些特殊岗位的员工，一旦发现有违反安全规则的情况，要重新进行审查。同时还要对员工进行保密的培训；组织各个部门的工作，并对各个部门的工作进行协调，使企业的安全目标以及战略得以实现；企业的安全管理部门主要是对安全问题的管理、计划以及决策负责。也是企业的应急部门，要想避免企业信息的泄露，信息安全管理部门就必须加强对信息的管理；多联系各个地区的信息机构以及信息安全管理部门，这样能给企业带来新的信息安全管理观念以及安全技术；采取信息安全报告制，定期的向管理部门汇报信息安全的保护状况，对于一些重要的事件要及时的汇报，取得管理层对信息安全管理工作的支持。
在网络工程发展的同时，电子信息也得到了发展，电子信息在企业的发展中有着重要的作用，企业对其也越发的依赖电子信息。但是这只是一个虚拟的场所，主要通过网络这个载体来完成交易，因此安全技术问题成为了企业普遍关注的问题。
[参考文献]
[1]陈光匡，兴华.信息系统安全风险评估研究[J].网络安全技术与应用，2009（7）.
[2]向宏，艾鹏，等.电子政务系统安全域的划分与等级保护[J].重庆工学院学报，2009（2）.
论文摘要： 走进新世纪，科学技术发展日新月异，人们迎来一个知识爆炸的信息时代，信息数据的传输速度更快更便捷，信息数据传输量也随之增加，传输过程更易出现安全隐患。因此，信息数据安全与加密愈加重要，也越来越多的得到人们的重视。首先介绍信息数据安全与加密的必要外部条件，即计算机安全和通信安全，在此基础上，系统阐述信息数据的安全与加密技术，主要包括：存储加密技术和传输加密技术；密钥管理加密技术和确认加密技术；消息摘要和完整性鉴别技术。 学术论文发表
学术论文发表
当前形势下，人们进行信息数据的传递与交流主要面临着两个方面的信息安全影响：人为因素和非人为因素。其中人为因素是指：黑客、病毒、木马、电子欺骗等；非人为因素是指：不可抗力的自然灾害如火灾、电磁波干扰、或者是计算机硬件故障、部件损坏等。在诸多因素的制约下，如果不对信息数据进行必要的加密处理，我们传递的信息数据就可能泄露，被不法分子获得，损害我们自身以及他人的根本利益，甚至造成国家安全危害。因此，信息数据的安全和加密在当前形势下对人们的生活来说是必不可少的，通过信息数据加密，信息数据有了安全保障，人们不必再顾忌信息数据的泄露，能够放心地在网络上完成便捷的信息数据传递与交流。
1 信息数据安全与加密的必要外部条件
1.1 计算机安全。每一个计算机网络用户都首先把自己的信息数据存储在计算机之中，然后，才进行相互之间的信息数据传递与交流，有效地保障其信息数据的安全必须以保证计算机的安全为前提，计算机安全主要有两个方面包括：计算机的硬件安全与计算机软件安全。1）计算机硬件安全技术。保持计算机正常的运转，定期检查是否出现硬件故障，并及时维修处理，在易损器件出现安全问题之前提前更换，保证计算机通电线路安全，提供备用供电系统，实时保持线路畅通。2）计算机软件安全技术。首先，必须有安全可靠的操作系统。作为计算机工作的平台，操作系统必须具有访问控制、安全内核等安全功能，能够随时为计算机新加入软件进行检测，如提供windows安全警报等等。其次，计算机杀毒软件，每一台计算机要正常的上网与其他用户交流信息，都必须实时防护计算机病毒的危害，一款好的杀毒软件可以有效地保护计算机不受病毒的侵害。
1.2 通信安全。通信安全是信息数据的传输的基本条件，当传输信息数据的通信线路存在安全隐患时，信息数据就不可能安全的传递到指定地点。尽管随着科学技术的逐步改进，计算机通信网络得到了进一步完善和改进，但是，信息数据仍旧要求有一个安全的通信环境。主要通过以下技术实现。1）信息加密技术。这是保障信息安全的最基本、最重要、最核心的技术措施。我们一般通过各种各样的加密算法来进行具体的信息数据加密，保护信息数据的安全通信。2）信息确认技术。为有效防止信息被非法伪造、篡改和假冒，我们限定信息的共享范围，就是信息确认技术。通过该技术，发信者无法抵赖自己发出的消息；合法的接收者可以验证他收到的消息是否真实；除合法发信者外，别人无法伪造消息。3）访问控制技术。该技术只允许用户对基本信息库的访问，禁止用户随意的或者是带有目的性的删除、修改或拷贝信息文件。与此同时，系统管理员能够利用这一技术实时观察用户在网络中的活动，有效的防止黑客的入侵。
2 信息数据的安全与加密技术
随着计算机网络化程度逐步提高，人们对信息数据传递与交流提出了更高的安全要求，信息数据的安全与加密技术应运而生。然而，传统的安全理念认为网络内部是完全可信任，只有网外不可信任，导致了在信息数据安全主要以防火墙、入侵检测为主，忽视了信息数据加密在网络内部的重要性。以下介绍信息数据的安全与加密技术。
2.1 存储加密技术和传输加密技术。存储加密技术分为密文存储和存取控制两种，其主要目的是防止在信息数据存储过程中信息数据泄露。密文存储主要通过加密算法转换、加密模块、附加密码加密等方法实现；存取控制则通过审查和限制用户资格、权限，辨别用户的合法性，预防合法用户越权存取信息数据以及非法用户存取信息数据。
传输加密技术分为线路加密和端-端加密两种，其主要目的是对传输中的信息数据流进行加密。线路加密主要通过对各线路采用不同的加密密钥进行线路加密，不考虑信源与信宿的信息安全保护。端-端加密是信息由发送者端自动加密，并进入TCP/IP信息数据包，然后作为不可阅读和不可识别的信息数据穿过互联网，这些信息一旦到达目的地，将被自动重组、解密，成为可读信息数据。
2.2 密钥管理加密技术和确认加密技术。密钥管理加密技术是为了信息数据使用的方便，信息数据加密在许多场合集中表现为密钥的应用，因此密钥往往是保密与窃密的主要对象。密钥的媒体有：磁卡、磁带、磁盘、半导体存储器等。密钥的管理技术包括密钥的产生、分配、保存、更换与销毁等各环节上的保密措施。网络信息确认加密技术通过严格限定信息的共享范围来防止信息被非法伪造、篡改和假冒。一个安全的信息确认方案应该能使：合法的接收者能够验证他收到的消息是否真实；发信者无法抵赖自己发出的消息；除合法发信者外，别人无法伪造消息；发生争执时可由第三人仲裁。按照其具体目的，信息确认系统可分为消息确认、身份确认和数字签名。数字签名是由于公开密钥和私有密钥之间存在的数学关系，使用其中一个密钥加密的信息数据只能用另一个密钥解开。发送者用自己的私有密钥加密信息数据传给接收者，接收者用发送者的公钥解开信息数据后，就可确定消息来自谁。这就保证了发送者对所发信息不能抵赖。
2.3 消息摘要和完整性鉴别技术。消息摘要是一个惟一对应一个消息或文本的值，由一个单向Hash加密函数对消息作用而产生。信息发送者使用自己的私有密钥加密摘要，也叫做消息的数字签名。消息摘要的接受者能够通过密钥解密确定消息发送者，当消息在途中被改变时，接收者通过对比分析消息新产生的摘要与原摘要的不同，就能够发现消息是否中途被改变。所以说，消息摘要保证了消息的完整性。
完整性鉴别技术一般包括口令、密钥、身份（介入信息传输、存取、处理的人员的身份）、信息数据等项的鉴别。通常情况下，为达到保密的要求，系统通过对比验证对象输入的特征值是否符合预先设定的参数，实现对信息数据的安全保护。
3 结束语
综上所述，信息数据的安全与加密技术，是保障当前形势下我们安全传递与交流信息的基本技术，对信息安全至关重要。希望通过本文的研究，能够抛砖引玉，引起国内外专家的重视，投入更多的精力以及更多的财力、物力来研究信息数据安全与加密技术，以便更好的保障每一个网络使用者的信息安全。
参考文献：
[1]曾莉红，基于网络的信息包装与信息数据加密[J].包装工程，2007（08）.
[2]华硕升级光盘加密技术[J].消费电子商讯，2009（11）.
一、风险管理与安全管理关系的认识
在分析电子文件安全管理的问题之前，我们应该要加强对风险管理与安全管理关系的认识。而要真正认清两者之间的关系，首先，要对风险与安全有深刻的认识。在新华字典中，对风险的释义是“危险；遭受损失、伤害、不利或毁灭的可能性。”对安全的释义是“不受威胁，没有危险、危害、损失。”从两者的释义中，我们不难看出风险与安全是有密切关系的，都是通过与“危险、危害、损失”的关系来体现的，但这并不是说风险就意味着不安全，这跟人们日常的理解可能有出入，在大多数人看来，风险就是安全的对立面，风险的存在就意味着安全事故的发生，这种理解是不准确的。风险其实主要强调的是“可能性”，而“可能性”就意味着风险的发生可能会引起安全事故，造成危险、危害或损失，也可能不会。另外，还必须认识的是风险包含威胁和机会两层含义，即风险造成的影响包括消极的威胁和积极的机会两面，而不仅指传统意义的威胁。威胁与机会的转换关键是在于平衡安全、成本和效率之间的关系。正如电子文件的网络化利用，可能比传统纸质化利用面临的风险要大得多，但不能因为风险大就不利用电子文件，之所以电子文件网络化利用迅速发展，关键在网络化利用给档案工作带来的机会更大，利用成本更低、利用效率更高。其次，要对风险管理与安全管理有深刻的认识。风险管理是指管理组织对可能遇到的风险进行计划、识别、评估、应对、监控的全过程，是以科学的管理方法实现最大安全保障的实践活动的总称。③风险管理主要通过风险评估来识别风险的大小，通过制定信息安全方针，采取适当的控制目标与控制方式对风险进行控制，使风险被避免、转移或降至一个可被接受的水平。应该说，风险管理本身就是安全管理一部分，而且是核心组成部分，它既是一种安全指导思想，同时也是一种安全实践方式。安全管理只有在风险管理正确、全面地了解和理解安全风险后，才能决定如何处理安全风险，从而在安全的投资、安全措施的选择、安全保障体系的建设等问题中做出合理的决策。基于风险管理的安全管理体系就是将风险管理自始至终贯穿于整个安全管理体系中，这种体系并不能完全消除安全的风险，只是尽量减少风险，将攻击造成损失的降低到最低限度，从而达到安全风险、成本与效率的平衡。
二、从风险管理的视角探讨电子文件安全管理问题
（一）缺乏科学的安全管理理论与方法指导
信息安全风险管理是解决如何确切掌握信息及其依赖信息系统的安全程度、分析安全威胁来自何方、安全风险有多大，加强信息安全保障工作应采取哪些措施，要投入多少人力、财力和物力，确定已采取的信息安全措施是否有效以及提出按照相应信息安全等级进行安全建设和管理的依据等一系列具体问题的重要指导理论和方法。从这个视角来看文档工作我们会发现，一直以来，文件、档案安全管理工作都是沿袭传统档案载体保护工作来开展，以此形成的相关理论也是以传统档案载体研究为基础的，随着电子文件的出现，传统以档案载体保护为核心的档案安全管理理论就很难适用于电子文件的安全管理。虽然档案部门也对电子文件安全管理做过很多理论探讨，提出“前端控制思想”、“全程管理思想”、“文件连续体理论”、“后保管时代”、“文件运动理论模型”等理论来强化电子文件的安全管理，但不可否认的是，这些理论并不是专门的安全管理理论，很难在电子文件安全管理上取得实质性效果，由此指导的电子文件安全管理工作存在种种疑难点，如电子文件安全事故衡量标准是什么？如何选择安全产品？安全控制全面吗？是否冗余？是否达到预期效果？安全等级如何划分？安全代价如何衡量？这些疑难点的出现，归根到底就是因为现阶段的电子文件安全管理工作缺乏科学的安全管理理论与方法指导。
（二）对安全管理的认识存在偏差
信息安全风险管理提倡的是一种适度安全，即风险是绝对的，安全就是在综合考虑成本与效益的前提下，通过安全措施来控制风险，使残余风险降低到可接受的程度；同时也强调树立风险意识，并通过风险的大小来度量信息的安全性，将“信息”提升到“资产”的高度来进行安全管理。然而，传统电子文件安全管理对此认识却存在偏差。
1、追求绝对的安全。一直以来由于档案部门缺乏安全风险意识，总是想找到绝对安全的方法和措施来追求档案各安全属性（如保密性、完整性、可用性、真实性、不可否认性、可追究性和可读性等）的绝对安全。然而，从理论上讲，风险是绝对的，安全是相对的；风险是永恒的，安全是暂时的。而电子文件安全管理工作从本质上来讲，也就是风险管理工作。电子文件的每个安全属性都有相应的保证级别作为其强度的测量尺度，在实践中追求各安全属性的绝对安全，并不能达到最佳安全效果，也是不切实际的。同样，从信息安全保密的实践历史来讲，安全保密是一个动态过程，安全事件是一种随机事件，很难做到百分之百安全。祈求“绝对安全”将在人力物力上付出极大代价，造成严重浪费。因此，档案部门将安全管理目标定位于“系统绝对安全、数据永不丢失，档案永不泄密，电子文件万无一失”，那是永远不可能的！
2、风险意识薄弱，对安全风险认识存在偏差。一些安全管理人员风险意识淡薄，信息安全知识不足，却津津乐道“太平盛世”，双耳不闻“盛世危言”，甚至认为，谈风险是“杞人忧天”，说安全是“天下本无事，庸人自扰之”，根本没有从风险管理的角度来度量电子文件的安全性。这些都严重影响了正确认识安全形势和树立科学的电子文件安全风险观。
3、忽视了对“资产”评估鉴定。从目前情况看，文件、档案管理部门虽都认识到电子文件的重要性，但绝大多数部门只是将电子文件作为日常办公的一种辅助帮助，并没有将电子文件提升到“资产”高度来管理，就更谈不上对“资产”进行评估鉴定。然而，从安全管理角度讲，一个组织系统内的资产在没有被评估鉴定前，是不可能成功实施安全管理并进行维护的。④
（三）管理环节不完善
信息安全风险管理强调对信息系统生命周期的全过程管理，包括一个完整的风险管理环节：风险计划的制订、风险识别、风险评估、风险应对、风险监控。从这个视角来看，当前电子文件安全管理存在明显的薄弱环节。首先，安全管理计划缺乏依据。现有的电子文件安全管理计划的制订，绝大多数是凭借个人经验或者参照其他管理部门计划来制定的，而不是依据风险应对、风险监控实际情况来制订的，具有很大的盲目性。其次，缺乏关键的风险评估环节。风险评估是电子文件安全管理的基础和关键环节。没有风险评估，电子文件的安全管理就会成为无源之水、无本之木，缺乏决策行动的依据与方向，由此而引发的安全管理措施就具有很大的盲目性。虽然大部分管理部门强调采取各种措施来确保电子文件“万无一失”，但大多是“人云亦云”，进行简单的跟风或对安全产品与技术进行简单地堆叠，没有针对性。对于引起本组织电子文件风险的因素没有深入探究，甚至谈不上什么了解，对于所采取的应对措施更谈不上什么研究，对其用途更是“知其然，不知其所以然”，最终在风险来临之时，不能有效地控制风险。最后，安全监控力度有限。电子文件是动态存在的，其安全现状也是随时在变化的。在采取安全措施后，还必须强化电子文件全生命周期的风险监控，实时监视残余风险、识别新风险，执行风险应对计划，以及评估这些工作的有效性。然而现有的电子文件安全监控力度十分有限，绝大部分是局限于电子文件载体的温湿度控制，而不是对整个生命周期的残余风险、新风险的监控。
（四）缺乏系统性和动态性
信息安全风险管理基于系统、全面、科学的安全风险评估，强调对信息的全过程、动态控制，对信息进行系统化安全管理，使安全风险发生的概率和结果降低到可接受的范围，从而实现系统安全的动态平衡。传统的电子文件安全管理，一方面，绝大多数是针对电子文件载体本身的安全管理，采取的是往往单一的安全管理措施，对于电子文件的安全管理容易出现“头痛医头，脚痛医脚”的弊病，最终还是不能避免电子文件风险的发生。⑤虽然在理论上我们强调要收集全电子文件相关的背景、结构信息，但具体实践中由于没有科学界定电子文件安全管理范围，其背景、结构信息也就难以收集齐全，自然安全管理工作就不系统。另一方面，忽视整个电子文件保管环境的安全管理。电子文件保护的过程是一个复杂的过程，对于其自身及其所依赖信息环境的保护是一个系统性工程。从风险管理的角度讲，电子文件的安全管理不仅要对电子文件自身所面临的风险进行管理，更重要的是对其依赖的信息系统风险进行综合管理。而这点是传统电子文件管理所被忽视的，传统的安全管理大都是从电子文件本身风险因素出发而制定安全措施的，这很难在电子文件安全管理上取得实质性效果。此外，值得注意的是，传统的电子文件安全管理大多是静态地管理，更多的是实践经验的总结与应用，一般将文件按其形成过程分成若干阶段，分析各阶段潜在的风险因素，从而制定相应的对策。从表面上看，这种方法也适合电子文件安全管理，但毕竟是以静态的眼光来分析风险，各个阶段的安全管理工作缺乏必要和有机的联系，没有将各阶段的安全工作、工序和风险因素统一起来进行综合考虑，很难应对日益复杂、严峻的电子文件安全问题。
（五）忽视了对安全风险、成本和效率的权衡
信息安全风险管理宗旨之一，就是在综合成本和效率的前提下，找到安全风险、安全成本与效率之间平衡点，通过安全措施来控制风险，使残余风险降低到可接受的范围。安全风险、安全成本与效率的关系如下图所示：
安全风险、安全成本与效率关系示意图
从图中我们可以看出，只有当安全风险与安全成本控制达到平衡点时，安全效率才能达到最佳效果。实际上，绝对的安全是没有的，电子文件的安全管理也不是“越安全越好”。不同部门不同种类的电子文件，对于安全的需求是不同的；同一份电子文件其安全保密性超出安全保密的管理需求不但没有必要，而且还会造成资金上的浪费。正如一扇门配几把锁取决于门内放的东西的重要程度，锁越多，门的安全成本也就越高，而门的使用效率就越低。然而，当前的电子文件管理重安全，却忽视了对安全、成本和效益的综合权衡。很多文件、档案管理部门在没有对本部门安全现状和安全需求进行认真分析的基础上，为了追求安全就不惜成本盲目地追求新的安全产品与技术，结果采用了一大批新安全产品与技术，却收效甚微，造成资金的严重浪费。此外，由于我国一直以来强调以纵深防御体系设计作为安全管理的核心，这种防御体系强化安全管理的纵向层次和深度，侧重安全管理的宏观指导，但在指导安全管理的具体实践方面，缺乏科学依据和方法，无法对电子文件的安全风险进行度量，自然就无法权衡电子文件的安全、成本和效益，结果在实际的电子文件安全管理工作中，安全投入成了一个无底洞，安全管理成本经常是远远高于电子文件所带来的效益，最终安全管理失去原有的意义。
三、结论
传统的电子文件安全管理基本上还处于在一个局部的、静态的、少数人负责的、突击式、事后纠正的管理方式，导致的结果是不能从根本上避免降低各类风险，也不可能降低电子文件安全事故导致的综合损失。而基于风险管理的电子文件安全管理体系是一个系统化、程序化和文件化的管理体系，基于系统、全面、动态、科学的安全风险评估，体现预防控制为主的思想，强调遵守国家有关信息安全原则前提下合理选择控制方式以保护电子文件，使电子文件安全风险的发生概率和结果降低到可接受的水平。这种管理体系更加适合于电子文件的安全管理，因此，文件、档案管理部门应尽快建立自身的电子文件风险管理体系。
注释：
1、吴世忠：《信息风险管理动态与动态与趋向》，《计算机安全》2007年第4期。
2、冯惠玲：《论电子文件的风险管理》，《档案学通讯》2005年第3期。
3、 陈国云：《档案信息建设的风险管理》，《档案管理》2008年第1期。
在现代互联网的时代，很多人为了便利和网络文献的丰富性就导致了惰性，不管是好是坏就胡编乱造的拿来充数，这样的参考文献是没有任何价值意义的，下面是学术参考网的小编整理的关于网络安全论文参考文献，欢迎大家阅读借鉴。
网络安全论文参考文献：
[1]张金辉，王卫，侯磊.信息安全保障体系建设研究.计算机安全，2012，（8）.
[2]肖志宏，杨倩雯.美国联邦政府采购的信息安全保障机制及其启示.北京电子科技学院学报，2009，（3）.
[3]沈昌祥.构建积极防御综合防范的信息安全保障体系.金融电子化，2010，（12）.
[4]严国戈.中美军事信息安全法律保障比较.信息安全与通信保密，2007，（7）.
[5]杨绍兰.信息安全的保障体系.图书馆论坛，2005，（2）.
[6]侯安才，徐莹.建设网络信息安全保障体系的新思路.现代电子技术，2004，（3）.
网络安全论文参考文献：
[1]王爽.探讨如何加强计算机网络安全及防范[J].计算机光盘软件与应用，2012（11）.
[2]田文英.浅谈计算机操作系统安全问题[J].科技创新与应用，2012（23）.
[3]张晓光.试论计算机网络的安全隐患与解决对策[J].计算机光盘软件与应用，2012（18）.
[4]郭晶晶，牟胜梅，史蓓蕾.关于某金融企业网络安全应用技术的探讨[J].数字技术与应用，2013，12（09）：123-125.
[5]王拥军，李建清.浅谈企业网络安全防护体系的建设[J].信息安全与通信保密，2013，11（07）：153-171.
[6]胡经珍.深入探讨企业网络安全管理中的常见问题[J].计算机安全，2013，11（07）：152-160.
[7]周连兵，张万.浅议企业网络安全方案的设计[J].中国公共安全：学术版，2013，10（02）：163-175.
网络安全论文参考文献：
[1]古田月.一场在网络战场上的较量与争夺[N].中国国防报，2013-05-20（6）.
[2]兰亭.美国秘密监视全球媒体[N].中国国防报，2010-10-24（1）.
[3]李志伟.法国网络安全战略正兴起[N].人民日报，2013-01-01（3）.
[4]石纯民，杨洋.网络战：信息时代的战略战[N].中国国防报，2013-09-23（6）.
