时间：2023-06-06 09:31:11
开篇：写作不仅是一种记录，更是一种创造，它让我们能够捕捉那些稍纵即逝的灵感，将它们永久地定格在纸上。下面是小编精心整理的12篇信息安全事件报告，希望这些内容能成为您创作过程中的良师益友，陪伴您不断探索和进步。
［关键词］数据安全;文档管理;保密
［中图分类号］F270 ［文献标识码］A ［文章编号］1005-6432（2012）6-0065-02
1 企业的核心数据面临内外两方面的安全保密隐患
1.1 缺乏统一管理
组织里某人或某些人起草的重要文件缺乏集中统一管理：企业员工的离职,电脑的丢失,有意或无意的删除操作,或病毒的侵袭造成文件丢失。传统上,像含有机密财务数据的投融资报告,月度、季度、年度销售分析报告,财务分析报告,商业往来文件和合同,重要内部会议的会议纪要等。这些对一个组织来讲非常重要的文件大多是由组织里的某个人或某些人撰写,保留在个人的电脑里,容易由于有意或者无意的原因造成文件丢失。
1.2 缺乏有效加密
很多企业在文档和核心数据资产的加密方面意识不强,并且没有有效的加密手段：文件在员工的电脑里可以轻松地通过电子邮箱、移动存储设备、通信工具、打印设备等将文档原文直接拷贝出来,最终导致信息的泄露。
2 加强文档数据管理的手段
2.1 建立组织级文档保护机制
一个组织中最难管理的是人员,要管理好企业的核心文档首先要管理好这些文档的管理者。建立一套合理而健全的机制,是具有关键意义的做法。组织内信息安全制度的建立,往往比购买设备、提高技术还重要。国外信息安全管理的经验表明,大多数的攻击来自系统内部,并且外部可利用内部进行攻击。而对内部攻击的防范比对外部攻击的防范更困难。防范内部的安全攻击,管理措施(行政的和法律的)显得更为重要。建立并执行一整套科学、合理、严密的管理制度,从每一个环节堵塞电子文档信息安全的漏洞,这些环节包括从电子文件形成、处理、传输、收集、积累、整理、归档,到电子档案的保管、提供利用的全过程,即要进行全过程管理,任何一个环节疏于管理,都有可能导致电子文档信息的丢失或失真。加强对电子文件制作人员和管理人员的管理；电子文件制作过程要职责分明；电子文件形成后要及时积累；建立和执行科学的归档制度；制定和严格执行电子文档的鉴定、保管制度和标准；加强对电子文档利用活动的管理；建立电子文档管理的记录系统等。
2.2 利用数据安全保护软件加强文档管理
(1)加强访问控制
访问控制是网络环境下电子文档信息安全防范和保护的主要措施和手段,它的主要任务是保证包括电子文档信息在内的网络资源不被非法访问和非法使用。具体措施包括：入网访问控制,控制组织内的用户是否用户能够登录到服务器并获取网络资源,控制准许用户的访问时间和准入范围；权限控制,控制用户允许访问哪些目录、子目录、文件和其他资源；指定用户对这些文件、目录、设备能够执行哪些操作,如只读、改写、创建、删除、查找、存取控制等,而最基本的控制是防止电子文档的拷贝篡改和打印；
(2)数据加密
信息加密的目的是保护网内的数据、文件、口令和控制信息的传输,确保不宜公开的电子文档的非公开性。在多数情况下,信息加密是保证电子文档机密性的唯一方法。如果有权使用受控文件的内部人士将受控文件通过邮件,聊天工具,U盘等任何方式传递给第三者,第三者打开文件看到的是乱码,确保信息不被泄露。
(3)文档备份
由于网络的不安全性,导致电子文档信息易丢失或失真,给信息安全带来严重威胁。尽管可以采取各种各样的技术和方法来保证网络的安全,但客观地说,任何一个网络都不能确保万无一失,信息丢失和失真的现象难免不会发生。如果建立备份与恢复系统,即使信息丢失和失真,也能够做到有备无患,只要启动该系统,丢失或失真的信息就会重新恢复原来的面貌。
(4)事后跟踪
企业在加强管控的同时还应注意文档泄露后的跟踪管理。应该准备好正常的事件报告和分类程序,这类程序用来报告可能对机构的财产安全造成影响的不同种类的事件和弱点,所有的员工、合同方和第三方用户都应该知晓这套报告程序。他们需要尽可能快地将文档泄露事件和弱点报告给指定的联系方。组织应明确信息安全事故报告的方式、报告的内容、报告的受理部门,即安全事件应在被发现之后尽快由适当的受理途径进行通报。应当尽可能快速地通过适当管理渠道来报告安全事故。组织的普通员工通常是安全事件的最早发现者,如果安全事件能及时发现并报告相应的主管部门,作出及时的处理,能使组织的经济损失及声誉损失降到最低。为及时发现安全事件,组织应建立正式的报告程序,分别对安全事故的报告作出明确规定。应当让所有员工和第三方的签约人都了解报告程序并鼓励他们在安全事件发生的第一时间就尽快报告。还应当建立起事故反应机制,以便在接到事故报告时,有关部门能及时采取措施。应当建立适当的反馈机制,确保在处理完事故之后,使员工能够知道所报告事故的处理结果。同时可以用这些事故来提高用户的安全意识,使他们了解发生了什么情况、对这种情况怎样做出反应并且将来如何避免这些事故。针对不同的类型的安全事件,作出相应的应急计划,规定事件处理步骤。
3 结 论
企业核心文档的安全保密工作关系到企业的核心竞争力和可持续发展水平,加强保密工作、建立有效的防范机制、提高员工的保密意识、利用系统手段进行文档管理是全面提高保密管理能力的有效途径。
参考文献：
［1］ 陈运.信息安全概要［J］.数据通信.2001(3)：36-38.
［2］ 同志敏.信息安全的内容和实现［J］.软件世界. 2002 (1)：17-19.
［3］ 吴江.信息安全的三个重要领域［J］.数据通信,2001(3)：19-21.
―网御神州SecFox-UMS产品点评
在国内,SOC(安全运营中心)产品在信息安全市场上一直是个存在争议的角色。由于安全厂商和服务提供商的理解存在差异,市场上有着许多以SOC命名却又功能各异的产品。它们有着一些共同点,例如大多包含集中管理配置、日志信息收集、安全事件分析告警等模块,提供了一个以资产为核心的集中管理平台。但由于这类产品大多以安全事件为关键要素,用户能看到的只是一宗宗独立的事件报告,和业务没有任何关联。也就是说,如果遭到某种类型的攻击,管理者可以从设备的运行状况中有所了解,而此时业务的健康程度却无从知晓。
安全不是用户的最终目的,它存在的价值在于保证网络基础架构能够正常工作;而健康的网络,又是用户业务正常开展的基础。缺乏业务视角,是传统SOC产品的致命短板,也是其无法吸引用户关注的根本原因。近日,网御神州推出的SecFox-UMS统一安全管理产品,就以用户最关心的业务状况为核心,在信息收集、建模等环节注重了对业务的分析,为用户提供了以业务健康为主的统一管理功能。
由于增加了对操作系统、数据库、中间件、应用及业务系统等角色的关注,SecFox-UMS在审计监听模式上也有所拓展,加入了HTTP、FTP、JDBC等应用层协议。某些极端情况下,设备或应用没有提供任何监听手段。这个时候,SecFox-UMS还提供了一个硬件采集设备,采用旁路抓包的方式捕获、解析原始操作和行为,再送到管理中心进行分析,保证了信息审计监听的全面性。除此之外,SecFox-UMS还可以对包括机房环境、网络及安全基础设施在内的IT资源进行监控,某种程度上可以替代机房环境监控与网管系统,降低了用户监管方面的成本与复杂性。
加入业务元素后的SecFox-UMS,与近段时间比较热门的ADN(应用交付)概念有了自然而然的联系。同样是针对业务,现有ADN解决方案大多基于防火墙、IPS、流量控制等产品构建,SecFox-UMS的出现,在安全管理平台领域提供了相应的选择。从某种意义上看,“安全”与“管理”的结合才是完美的信息安全整体解决方案,跨越了业务与基础架构间的鸿沟。
传统的安全管理与业务到底有多大契合度,是很多用户比较关心的问题。为此,笔者请网御神州SOC事业部产品总监叶蓬针对一个实际案例进行了分析:一个用户的远程分支机构通过广域网与总部的数据中心相连接,VPN中有VoIP、文件共享等多种流量。针对业务不同的优先级,用户在两端路由器上都做了相应的QoS设置。那么当链路带宽成为瓶颈,路由器开始丢弃报文的时候,SecFox-UMS能否甄别出不同业务的健康差别?据叶蓬介绍,在这个案例中,路由器的丢包告警与业务服务器的状态日志都会是用户业务设定的关键因素,SecFox-UMS有能力根据搜集处理的信息,将处于正常状态、风险状态和不稳定状态的业务鉴别开来。另一方面,该产品也可以定位影响业务健康的原因,为用户排障提供参考。
关键词：反恐反暴；安防建设；安全稳定
2015年11月13日晚，法国巴黎发生一系列恐怖袭击事件，死亡人数超过百人，震惊全球。该事件仅仅是2015年全球各地区暴力恐怖袭击事件的“冰山一角”，此后，各国对暴力恐怖袭击事件的关注度再一次提升。在复杂莫辨的国际斗争环境之下，伴随着国内同期社会体制改革转型，社会焦点矛盾冲突多发，整体安全形势日益严峻，高校安全维稳工作压力长期存在。进入“十三五”新时期，深入推进高校各项改革发展，校园安全管理的内涵和外延都在不断扩大，呈现出社会化、多元化的综合性特征，矛盾和风险递增。
1 学校安全维稳工作面临的主要问题
1.1 校园安全防控体系有待进一步完善
相对校内外社会形势与安全环境的发展要求，当前校园安全防控体系存在宏观上系统设计不科学、不健全，微观上各部门职责分工尚有交叉与漏洞，安全责任难以具体落实到位，安全隐患无法及时排查整改，综合治理能力与管理力度不足等问题。
1.2 校园安全文化建设有待进一步加强
近几年，随着全国范围内“平安校园”创建活动的开展与推进，本着“以人为本”，构建“和谐校园”为目标，在全国校园内开展系统化的安全教育宣传工作。但就每年的校园意外伤害与安全事故统计中仍可发现，师生员工不同程度上存在法律意识淡漠、安全知识欠缺、自我防护意识薄弱、处理应急事件能力不足等问题。我们应推进校园安全文化建设，全面提高师生全员的安全意识、法律知识、逃生能力，进而提升个人的安全防控能力。
1.3 技术防御水平有待进一步提升
其一，校园内日常安保监督工作主要依靠监控平台。对于每个校园逾千部的视频监控网点做到定期维护检查和升级改造，对于不同的校区之间能够建立联网互通的安防平台。其二，技防系统的建设和应用重点局限于视频监控部分，交通监管、报警机制、智能评估、数据分析、应急指挥等功能应用有待拓展，安全管理信息系统应用有待开发。
1.4 物防设施条件有待进一步改善
第一，针对当前校园安全问题，特别是新形势下反恐反暴安保要求，保卫人员配套装备设施需要与时俱进。第二，针对校园内部人口密集区域，如食堂和宿舍楼宇的安保力量与安防设施有待加强。
2 学校安全工作的具体措施
2.1 以总体国家安全观为指导，树立政治安全、文化安全、科技安全、信息安全、生态安全、社会安全“六位一体”的校园安全整体防控理念
充分利用各大宣传教育平台，如校园官方微博与微信公众号进行师生互动，校内LED公告栏信息平台，教学楼与宿舍楼宇宣传栏，各类组织生活会等形式，宣传学校安全教育文化，使广大师生先重视，再学习，后受益。
2.2 以体制机制创新为动力，建立学校统一领导，综治综合协调，部门监督管理，单位主体责任，师生员工全员参与，校地协调联动的校园安全立体防控格局
学校分管领导作为安全工作第一负责人，落实各部门职责分工与单位主体责任，包括日常对校内全体师生员工进行思想政治教育、心理健康教育、法制宣传教育、道德操行管理、安全培训演练、应急处理训练以及安全事件发生时的安全风险评估工作、纠纷事故调动处理环节、安全隐患排查整改验收、安全岗位责任落实制度。充分调动师生员工的主观能动性，激励全员参与校园治安防控体系建设，建立健全学生纠察队与志愿消防队等群众性组织，做到群防群治，共同监督管理，维护校园安全。
2.3 以校园突出安全问题为导向，建立预防、预警、管理、控制、打击相结合的校园安全立体防控机制
预防机制在日常校园安全工作中穿行师生校园安全宣传教育与应急演练、安保队伍安全培训、路面与楼宇巡查防控、门禁与重点部位值勤值守、安全隐患定期检查与及时整改、提升技防水平与物防设备。预警机制在发生安全事件时及时启动安全检查与网络巡查、进行安全稳定形势分析与情报信息会商、评估重大决策风险、解决矛盾冲突与利益诉求，兼以舆论监控机制，必要时提供法律援助与救济救助。管理机制突出表现为车辆进出、外来人口、大型群众性活动、重点场所与危险品管理等方面的协调管理力度。控制机制需要在安全事件发生之后能够做到指挥部快速反应、应急指挥、迅速调配安保力量，及时高效地解决问题。打击机制在安全事件方面上轻则进行批评教育，重则追究其法律责任。
2.4 以信息技术为引领，提升校园安全防控能力和综合管理水平
在科技飞速发展的时代，以校园综合防治信息技术平台为依托，提高校园安全整体的防控水平和应急管理能力。充分利用校内报警机制、GIS与GPS系统、视频监控系统、信息系统、广播通讯系统、车辆管理系统、楼宇门禁系统、门岗控制系统、消防控制系统等方面建立起全面化的校园安全管理体系，提升校园安全防控的综合管理水平。
3 校园反恐应急处置预案
3.1 适用范围
针对校园内部可能发生的，以制造校园恐慌和社会动乱，危害公共安全或者胁迫政府机关为目的，采取恐吓、破坏、暴力等手段，造成或者意图造成人身伤害、公共设施损毁、重大财产损失、校园或社会秩序混乱等严重社会危害的行为，如汽车冲撞，刀斧砍杀，纵火焚烧，劫持人质，爆炸袭击，枪击，公共场所投放、化学毒剂、生物试剂、辐射源等，以及煽动、资助或者以其他方式协助实施上述活动的行为。
3.2 指导方针
贯彻落实上级有关校园反恐的工作部署，坚持“预防为主，单位负责，突出重点，保障安全”的防范方针和“第一时间反应，第一时间到位，有效控制，高效处置”的应急处置原则，切实提高校园反恐应急处置能力，保障师生员工生命财产安全和校园安定稳定。
3.3 启动反恐应急响应机制
学校安保部门接到校园报警险情后，应迅速报告反恐应急指挥部门及学校办公室，通知反恐领导小组成员单位负责人到指挥部集合，联络属地反恐机构和公安机关，校内做好应急准备。各门岗立即疏散校门口车辆和人员，关闭校园大门，执械上岗，接应公安人员，把持住车辆通道，防止施暴分子外逃。安保部门服从指挥，有条件时制伏施暴分子，无条件时等待公安人员。组织剩余力量，组成应急队伍，听候指挥，准备增援，互通信息，协同防范。校医院医护人员待命，随时准备抢救伤员。待施暴分子被制伏后，保护现场，解除安保预警，恢复校园秩序。切实做到一旦校园发生突发事件，能够立即启动相应预案，及时组织并妥善处理好有关工作，确保突发事件报告及时、有效处置。完善应急抢险、救援队伍，构建“统一指挥、职责明确、运转有序、反应迅速、信息畅通、处置有力”的应急处置体系。
参考文献：
[1] 白涛，许中华.高校危机管理对策初探[J].华南理工大学学报（社会科学版），2005（3）.
[2] 刘燕燕.高校治安保卫工作的难点及对策[J].惠州学院学报，2007（6）.
关键词：商业银行；电子商务；风险管理
商业银行从事金融业务面临着市场风险、信用风险、以及操作风险等，而电子商务的出现则加剧了上述各类风险发生的可能性以及风险发生之后的破坏程度。2004年以来，我国面临的网络仿冒威胁正在逐渐加大，仿冒对象主要是金融网站和电子商务网站。2005年上半年共收到网络安全事件报告65679件，超过2004年全年案件数，商业银行电子商务安全风险管理策略已成为理论与实践中必须重视的课题。
一、信息安全管理的历史演进与现阶段的特点
信息安全管理的策略大体遵循事件驱动(技术和管理脱节)－逐渐标准化(技术和管理逐渐结合)——安全风险管理(引入了风险分析)的发展路径。
(一)以事件驱动的初级阶段时期
19世纪70年代安全主要是指物理设备和环境的安全，人与计算机之间的交互主要局限在大型计算机上的哑终端，安全问题只涉及能访问终端的少数人。安全管理策略处于初级阶段，由事件驱动，没有形成规范的管理流程。在此阶段的前期，只重视技术手段。后期开始重视管理手段，但是技术和管理之间脱节。许多组织对信息安全制定了相应的规章和制度，但组织的信息安全管理基本上还处在一种静态、局部、少数人负责、突击式、事后纠正式的管理方式。
(二)标准化时期
企业开始将安全问题作为整体考虑，形成一套较为完整的安全管理策略，其中包括了安全管理的技术手段和管理制度(或称运作管理)。几乎所有从事电子商务的企业都拥有自己的安全策略，内容也包括了技术手段、安全管理制度、人员安全教育等等，基本上形成体系，技术和管理手段综合统一，但是安全风险分析还存在不足之处。
(三)安全风险管理策略时期
随着电子商务安全管理发展到一个比较高的层次，安全管理策略也演进到安全风险管理阶段。主要特点如下：
1.安全风险管理成为主流趋势；在安全管理策略的演进过程中，技术和管理手段综合统一、又融入了风险管理的分析、防范策略，从而安全管理进入了安全风险管理时期。西方商业银行已对安全风险管理形成共识。如安氏公司(is—One)，认为信息安全问题最终将归结为风险管理问题，风险管理方法是建立良性的安全技术和管理体系的依据和基础。
2.安全风险管理的国际标准和各国的规范逐渐形成并趋于完善。国际上关于安全风险管理的标准有巴塞尔银行监管委员会的《电子银行业务风险管理原则》、英国标准协会制订的BS7799等。各国也日益重视安全风险管理，制定了许多规范。例如美国货币监理署(OCC)的《电子银行最终规则》、香港金融管理局的《电子银行服务的安全风险管理》等。中国银行业监督管理委员也于2006年颁布了《电子银行业务管理办法》，对国内企业的电子商务安全风险管理给出了指导意见。
3.利用外部专业化机构对金融机构的安全性评估已成为大部分国家的选择。电子银行面临的安全和技术风险，在相当程度上取决于采用的信息技术的先进程度，系统的设计开发水平，以及相关设施设备及其供应商的选择等；银行依靠传统的风险管理机制已很难识别、监测、控制和管理相关风险。同样，监管机构也难以完全依靠自身的力量对电子银行的安全性进行准确评价和监控。因此，大部分国家都采用了依靠外部专业化机构定期对电子银行安全性进行评估的办法，加强对电子银行安全性和技术风险的管理和监管。
4.在许多国家信息系统审计(Is Audit)作为一种信息技术服务被广泛提供，许多知名的咨询公司都提供类似的信息审计服务。业界的IT风险分析师也成为一种职业，专门从事电子商务的安全风险工作，从经济学的角度出发分析风险，充分衡量保持安全的代价和收益之间的关系，寻求用最小的代价实现最大的效用，在风险分析中也形成一套较为成熟的模式。
二、我国商业银行电子商务安全风险管理策略的薄弱点
(一)系统管理思想缺乏
目前的电子商务安全风险管理策略，在全局上缺乏系统论理论的指导，在实际操作中受到多种多样的安全攻击时会不可避免地出现安全漏洞，无法形成一张全面有序的安全网络。
实践中被采用的安全风险管理策略，以及作为指导意见的规则规范，如《信息安全管理实务准则》(IS017799)、《信息技术安全性评估准则》(GB／T18336．1)、巴塞尔银行监管委员会的《电子银行业务风险管理原则》，尽管提出了比较全面的安全风险管理方案，层次上也比较清晰，但是还不足以作为一个风险防范系统。实践中，电子商务组织是一个复杂的系统组织，电子商务的安全风险管理体系和过程也是个复杂的系统。系统论、控制论的思想在电子商务安全风险管理中是不可或缺的。
(二)风险分析的模型与方法不成熟，定量分析不足
电子商务模式自身的发展历史也不过20几年，在风险分析的定量技术上并不成熟；如BS7799中推荐的电子商务安全风险管理中实施风险评估时，往往将威胁发生的可能性定性划分为几个级别，将威胁所造成的影响也定性划分为1～5级，实质上是将一些按照概率发生的事件定义为不连续的几个级别，在操作上易行，但造成了度量的不精确。在进行监控和审计之后，也存在无法量化、对比的问题。
(三)忽视与原有的传统风险管理策略的结合
本质上，电子商务的安全风险无非是新兴的商业模式对传统的风险的改变，以及产生的在传统风险控制领域暂时无法明晰的新风险；现有管理策略只从信息技术的角度、或者从偏重技术的角度看待问题，站在金融领域本身来分析研究较少。这种状况导致了对电子商务安全风险管理的研究无法立足于一个比较高的层次；忽略了风险的整体性，只进行偏信息和技术的研究，导致了现有的电子商务安全风险管理策略与金融机构原有的传统业务风险管理策略存在差距。对于商业银行而言，传统金融业务的风险控制与电子商务的技术风险控制，两个方面存在脱节，同样属于商业银行的风险，存在着不同的管理策略，导致多头管理、资源浪费、机构之间的扯皮，乃至缺位管理。
论文摘要：随着商业银行网上业务的不断发展，电子商务安全风险管理策略成为理论与实践中必须重视的课题。剖析现阶段电子商务安全网风险策略的薄弱点，发展商业银行电子商务安全风险管理策略，应借鉴成熟的传统金融风险度量中的一些方法改变电子商务安全管理对资产进行粗略的优先级别排序，用系统管理思想构建商业银行电子商务安全管理框架，并将商务安全风险纳入风险管理范畴。
商业银行从事金融业务面临着市场风险、信用风险、以及操作风险等，而电子商务的出现则加剧了上述各类风险发生的可能性以及风险发生之后的破坏程度。2004年以来，我国面临的网络仿冒威胁正在逐渐加大，仿冒对象主要是金融网站和电子商务网站。2005年上半年共收到网络安全事件报告65679件，超过2004年全年案件数，商业银行电子商务安全风险管理策略已成为理论与实践中必须重视的课题。
一、信息安全管理的历史演进与现阶段的特点
信息安全管理的策略大体遵循事件驱动(技术和管理脱节)－逐渐标准化(技术和管理逐渐结合)——安全风险管理(引入了风险分析)的发展路径。
(一)以事件驱动的初级阶段时期
19世纪70年代安全主要是指物理设备和环境的安全，人与计算机之间的交互主要局限在大型计算机上的哑终端，安全问题只涉及能访问终端的少数人。安全管理策略处于初级阶段，由事件驱动，没有形成规范的管理流程。在此阶段的前期，只重视技术手段。后期开始重视管理手段，但是技术和管理之间脱节。许多组织对信息安全制定了相应的规章和制度，但组织的信息安全管理基本上还处在一种静态、局部、少数人负责、突击式、事后纠正式的管理方式。
(二)标准化时期
企业开始将安全问题作为整体考虑，形成一套较为完整的安全管理策略，其中包括了安全管理的技术手段和管理制度(或称运作管理)。几乎所有从事电子商务的企业都拥有自己的安全策略，内容也包括了技术手段、安全管理制度、人员安全教育等等，基本上形成体系，技术和管理手段综合统一，但是安全风险分析还存在不足之处。
(三)安全风险管理策略时期
随着电子商务安全管理发展到一个比较高的层次，安全管理策略也演进到安全风险管理阶段。主要特点如下：
1.安全风险管理成为主流趋势；在安全管理策略的演进过程中，技术和管理手段综合统一、又融入了风险管理的分析、防范策略，从而安全管理进入了安全风险管理时期。西方商业银行已对安全风险管理形成共识。如安氏公司(is—One)，认为信息安全问题最终将归结为风险管理问题，风险管理方法是建立良性的安全技术和管理体系的依据和基础。
2.安全风险管理的国际标准和各国的规范逐渐形成并趋于完善。国际上关于安全风险管理的标准有巴塞尔银行监管委员会的《电子银行业务风险管理原则》、英国标准协会制订的BS7799等。各国也日益重视安全风险管理，制定了许多规范。例如美国货币监理署(OCC)的《电子银行最终规则》、香港金融管理局的《电子银行服务的安全风险管理》等。中国银行业监督管理委员也于2006年颁布了《电子银行业务管理办法》，对国内企业的电子商务安全风险管理给出了指导意见。
3.利用外部专业化机构对金融机构的安全性评估已成为大部分国家的选择。电子银行面临的安全和技术风险，在相当程度上取决于采用的信息技术的先进程度，系统的设计开发水平，以及相关设施设备及其供应商的选择等；银行依靠传统的风险管理机制已很难识别、监测、控制和管理相关风险。同样，监管机构也难以完全依靠自身的力量对电子银行的安全性进行准确评价和监控。因此，大部分国家都采用了依靠外部专业化机构定期对电子银行安全性进行评估的办法，加强对电子银行安全性和技术风险的管理和监管。
4.在许多国家信息系统审计(Is Audit)作为一种信息技术服务被广泛提供，许多知名的咨询公司都提供类似的信息审计服务。业界的IT风险分析师也成为一种职业，专门从事电子商务的安全风险工作，从经济学的角度出发分析风险，充分衡量保持安全的代价和收益之间的关系，寻求用最小的代价实现最大的效用，在风险分析中也形成一套较为成熟的模式。
二、我国商业银行电子商务安全风险管理策略的薄弱点
(一)系统管理思想缺乏
目前的电子商务安全风险管理策略，在全局上缺乏系统论理论的指导，在实际操作中受到多种多样的安全攻击时会不可避免地出现安全漏洞，无法形成一张全面有序的安全网络。
实践中被采用的安全风险管理策略，以及作为指导意见的规则规范，如《信息安全管理实务准则》(IS017799)、《信息技术安全性评估准则》(GB／T18336．1)、巴塞尔银行监管委员会的《电子银行业务风险管理原则》，尽管提出了比较全面的安全风险管理方案，层次上也比较清晰，但是还不足以作为一个风险防范系统。实践中，电子商务组织是一个复杂的系统组织，电子商务的安全风险管理体系和过程也是个复杂的系统。系统论、控制论的思想在电子商务安全风险管理中是不可或缺的。
(二)风险分析的模型与方法不成熟，定量分析不足
电子商务模式自身的发展历史也不过20几年，在风险分析的定量技术上并不成熟；如BS7799中推荐的电子商务安全风险管理中实施风险评估时，往往将威胁发生的可能性定性划分为几个级别，将威胁所造成的影响也定性划分为1～5级，实质上是将一些按照概率发生的事件定义为不连续的几个级别，在操作上易行，但造成了度量的不精确。在进行监控和审计之后，也存在无法量化、对比的问题。
(三)忽视与原有的传统风险管理策略的结合
本质上，电子商务的安全风险无非是新兴的商业模式对传统的风险的改变，以及产生的在传统风险控制领域暂时无法明晰的新风险；现有管理策略只从信息技术的角度、或者从偏重技术的角度看待问题，站在金融领域本身来分析研究较少。这种状况导致了对电子商务安全风险管理的研究无法立足于一个比较高的层次；忽略了风险的整体性，只进行偏信息和技术的研究，导致了现有的电子商务安全风险管理策略与金融机构原有的传统业务风险管理策略存在差距。对于商业银行而言，传统金融业务的风险控制与电子商务的技术风险控制，两个方面存在脱节，同样属于商业银行的风险，存在着不同的管理策略，导致多头管理、资源浪费、机构之间的扯皮，乃至缺位管理。
(四)风险管理策略无法依赖外部的信息安全管理行业
在发达国家，信息系统审计(Is Audit)作为一种信息技术服务被广泛提供，许多知名的咨询公司都提供类似的信息审计服务。IT风险分析师也成为一种职业，专门从事电子商务的安全风险工作。商业银行采用依靠外部专业化机构定期对电子银行的安全性进行评估的办法，提高对电子银行安全性和技术风险的管理和监管。而国内初步建立了国家信息安全组织保障体系，制定和引进了一批重要的信息安全管理标准、法律法规，风险评估工作得到了一定重视，但与发达国家成熟完善的外部信息安全管理行业仍有很大差距。
(五)风险管理策略中商业银行的内部风险控制能力薄弱
我国商业银行目前均建立起统一的风险管理部门；但风险控制部门的职能、权限与花旗银行等体制较为先进的银行相比仍然存在较大差距，风险控制实质上仍然分散在各个子部门；风险的评估、防范与控制实质上完全依靠商业银行的电子交易部门；风险管理部门、内审稽核部门实质上无法控制电子商务安全风险。例如，风险管理部门接受了电子交易部的风险控制报告，表面上履行的内控审核的流程，但审核作用有限，无法完成电子商务安全风险管理中的监控与审计环节。
三、商业银行的电子商务安全风险管理策略的改进建议
(一)基于系统的思想构建商业银行电子商务安全风险管理策略框架
利用系统理论作为总体的指导思想，将电子商务安全风险管理策略本身当作一个开放的自适应系统。将商业银行电子商务安全风险管理中的各个环节组成循环上升的系统。
在商业银行电子商务安全风险控制的流程中，经过信息安全的风险评估、资产识别和选择、实施控制降低风险的措施、将风险控制在可接受的范围内，然后进行监控和审计；尤其重要的是把监控和审计所得到的内容作为新一轮风险分析输入，从而开始新一轮的风险管理过程。商业银行电子商务安全风险管理的各个步骤为动态的循环系统。每完成一个循环，安全风险管理的有效性就上一个台阶，商业银行的安全管理水平变得到了提高。
(二)电子商务安全风险管理中定量分析中的改进思路
商业银行可以借鉴成熟的传统金融风险度量中的一些方法来改变电子商务安全风险管理中对资产进行粗略的优先级别排序的方法。实践中，商业银行对操作风险的管理与对电子商务安全风险管理有其相似之处。巴塞尔委员会对商业银行的操作风险的内部计量法中规定，商业银行内部估计风险敞口指标、损失事件发生的概率、风险损失，巴塞尔委员会制定资本要求的转换系数；在度量损失的分布时，主要利用统计和精算技术。商业银行应通过数据库将威胁发生的频率、威胁所造成的影响等精确记录下来，利用现有的度量方法进行精确的风险定量分析的尝试。
(三)将商业银行电子商务安全风险纳入商业银行总体风险管理范畴
另外，新型的量子计算也给数学密码体制带来了前所未有的潜在威胁。1994年PeterShor发现了第一个具体的量子算法'Shor量子分解算法的时间复杂度为D(刀2(109开)(10皿。朗))，它在设想的量子计算机上可以用输入的多项式时间分解大数质因子，因此它给RsA等公钥密码系统的安全性提出了严峻的挑战。1996年Grover发现了非结构化数据库源于联想网御神州专家新论搜索的Gmver迭代算，量子Grover搜索算法的时间复杂度为D(／Ⅳ)，它有可能解决经典上所谓的NP完全问题。
2007年11月，加拿大D—wave公司宣称研制成功28量子位的量子计算机系统；2008年12月，又宣称成功研制了128量子位的量子处理器。业内科学家们预测，到2020年左右量子计算机将进入实用阶段。假如1024个量子位以上的量子计算机研究取得实质性突破，那么256bit甚至512bit的对称算法将不安全，RSA，ECC等非对称密码体制也将不安全。目前的私钥密码体制，公钥密码体制等都将面临更新换代的“困境”。因此，研究可以抵抗量子计算等高性能计算攻击的新型密码技术体制势在必行。
根据Shannon信息论原理，如果随机密钥的高速在线分发问题能够有效解决，那么利用一次一密乱码本(OTP)就可以解决数据传输的完全保密问题。但是随机密钥的高速在线分发面临着一系列技术难题或者瓶颈(因为为了确保密钥安全，需要采用复杂的加密手段和安全协议，限制了密钥分发的速率；另外，密钥的安全性也得不到完备性证明)。而量子通信系统可以解决随机密钥的高速在线保密分发问题，为0TP的广泛应用提供了技术可能性，进而可以解决数据传输的完全保密问题。基于这样一个亮点，量子保密通信特别是量子密钥分发技术(QKD)得到了许多国家的高度关注并得到了快速发展。
目前，QKD作为一个物理上安全的保密体制，其实用化已是一个明显的趋势。2004年，华东师范大学在国内首次实现了QKD原理样机吼2005年，瑞士IDQmntique公司和美国MagQ公司都推出了商用QKD系统产品。2005年，美国BBN公司在DAPAR的资助下构建了6节点的实验网络。
2008年，欧盟sECoQc组建了7节点的演示网络。2009年。中国建设了8节点的“最子政务网”。可以说，国内外对量子密钥分发技术的研究已经进入了工程实现的关键时期，目前已经没有产品化的技术障碍，其应用基本上取决于市场。目前世界上最好的实验记录是：无中继通信距离l87km，在线分发密钥的速率lMb／s以上。
1技术原理和特色
根据量子力学原理，微观世界遵循Hd‘规berg测不准原理和量子不可精确克隆定理。量子态测不准并且不能精确复制，这意味着，通过窃听将不能得到确定的有效信息，也不能进行重复测量。更重要的是，任何针对量子信号的窃听都将不可避免地留下痕迹，这为在线检测窃听提供了可能。量子态测不准导致的直接结果是任何人都不可能进行精确测量，从这个角度来分析，量子信道是“绝对安全”的；但是这种“绝对安全”是无意义的，因为从中得不到有效信息。合法通信双方为了提取在量子信道中传输的量子信息，必须依赖附加的条件，即必须借助经典信道进行辅助信息的交互，比如窃听检测所需要的交互信息必须通过可信辅助信道来传送，这也决定了量子通信与经典保密通信之间的互补关系。
量子信息是经典信息在功能和性能上的扩展，量子通信系统具有经典通信系统所具有的功能以及经典通信系统所不具有的新功能(比如在线窃听检测)。如果采用一组正交态对0和l进行编码和通信，那么通信双方能够进行确定测量，因此完全可以实现经典通信系统的数据传输功能。当然，这种应用与经典通信系统相比较并没有特殊的优越性，因此在大多数情况下，量子通信是指基于量子测不准条件下的量子保密通信。
1.1量子密钥分发
QKD基于Heisenberg测不准原理和量子不可克隆定理，其完全保密特性得到了证明。因此，至少在理论上，基于量子密钥的oTP能够解决通信数据的完全保密传输问题又因为这种综合应用具有体制上的简洁性、理想的完全保密性和简单的软硬件实现性能等，代表了密码系统发展和升级换代的一个趋势。
如果QKD在密钥分发速率方面取得了重大突破，比如达到50Mb／s，甚至达到1Gb／s以上，那么基于量子密钥的oTP就能够实现保密语音通信、一些重要数据的实时保密通信等，并且这种应用不存在所使用密钥或者密码算法可能存在安全漏洞的隐患。这种系统应用无疑对现在的保密通信体制是一个极大的挑战!当然，寻找QKD在现代保密通信系统中的应用切入点是当务之急。
1.2量子身份识别量子身份识别是基于量子态身份信息的物理安全的身份
识别方案。量子身份识别信息是量子态，具有唯一性和不可复制性，这从根本上消除了身份信息被假冒或者事后否认的可能性。在量子计算条件下，如何利用量子态身份的唯一性和不可复制特性实现完全保密的量子身份识别具有非常重要的意义。一方面，这种方案不需要事先共享短密钥，可以增加系统的可用性另一方面，量子身份识别信息基于量子态，具有唯一性和不可复制性，可以从根本上解决其安全问题。
但是，由于量子身份的重复使用等技术难题导致量子身份识别研究进展缓慢。
1.3量子保密通信体制
研究表明。QKD并不是量子保密通信的必要条件，因为人们已经发现不依赖共享密钥的量子保密直接通信方案110J，这也可能意味着未来的量子保密通信体制的安全性将可能不再依赖共享密钥。但是，这并不影响QKD在一定时期内得到广泛应用。量子保密通信在同时解决窃听检测、身份识别和信息保护等问题的条件下，将形成一个完备的保密通信体制。量子保密通信不依赖复杂的数据加密算法(当然，信息的本地存储保护等依然需要安全的数据加密算法)，量子系统设备不，因此量子系统具有通用性，所有用户的系统配置和功能可以做到完全一致，不存在系统分级和使用多种密码算法等技术问题，因此可以说不存在互联互通的技术障碍，它能使任何拥有量子保密通信终端的用户之间实现完全保密的通信，这是目前的保密通信系统所不具有的功能。这种性能在保密通信中具有非常重要的作用。对于量子纠缠系统来说，由于纠缠粒子之间存在不受空间限制的关联性，并且可以实现隐形传态，似乎利用这种现象可以突破经典通信的距离极限，但这是不可能的。因为纠缠粒子之间的通信依然依赖经典信息交互，即在进行基于纠缠的测量之后还必须通过可信经典信道进行相关测量信息交互之后，才能实现两个纠缠粒子之间的通信，这也是量子纠缠不能实现超光速通信的一个关键原因。因此，在目前的量子通信模型下，量子通信在深水、深空通信中并没有明显的技术优势，也很难突破经典通信的水下和深空通信的距离和速率极限。毋庸置疑，探索如何在新型的通信模型下突破经典通信的极限，无论是对于理论创新还是对于国防军事通信安全等都是非常有意义的。
2基础研究与应用趋势
在QKD技术快速发展并日趋成熟的今天，量子保密通信体制还处于初级阶段，量子保密通信系统由于系统自身的不稳定性会造成一定的长期误码率(比如量子信号的调制解调过程和单光子探测器暗计数等都会引入一定的误码，这些误码在理论上无法与非法侵入所引起的误码进行区分)，如何克服这些误码的影响还有待于进一步解决。另外，QKD的应用研究和量子保密通信基础理论研究依然是量子保密通信体制研究的重点，其发展趋势可以概括为：
(1)高速量子密钥分发系统与应用研究。对基于单光子实验方案进行改进和完善，提高系统的稳定性和效率，并进行QKD系统产品的研发。对基于量子纠缠、隐形传态等量子特性的实验方案进行深入研究，研究如何设计性能稳定的QKD系统并在通信距离和通信效率上取得突破。
(2)量子保密通信基础理论。研究新的量子密钥分发、量子保密直接通信、量子身份识别、量子比特承诺协议等，完善量子保密通信体制理论研究量子保密通信网络的基本架构、工作原理和实现方案等：研究任意节点之间的互联互通机理以及针对量子保密通信网络的专用路由技术研究量子保密通信网络与光纤通信网络之间互联互通技术。
目前，量子保密通信的实际应用进程直接取决于市场需求和量子技术的发展。量子保密通信系统的关键技术主要包括：量子态的制备、分发和探测技术；量子系统稳定性和抗干扰解决途径；与光纤网络的兼容性等。
随着单光子制备、量子存储和探测技术以及光纤传输等相关技术的进一步发展，量子保密通信将在国家重要领域内的通信保密中扮演一个非常重要的角色。短期内，QKD可以从根本上解决密钥的高速在线分发问题，为oTP的广泛使用提供一种可行的技术途径。基于景子密钥的oTP可以用于保密电话网、保密数据网等，实现各种数据的一次一密加密，确保数据的完全保密传输。中长期内，能够同时解决窃听检测、身份识别和信息保护的量子保密通信技术，可以提供一个完善的通信保密解决方案。
3应对策略探讨
为了积极应对QKD和量子保密通信技术可能带来的影响，并为相关技术发展创造良好的氛围，促进量子保密通信技术的应用推广，及时采取科学的应对策略非常必要。根据对国内外量子通信研究现状和趋势的综合调研分析，结合国内的实际情况，以下对策或策略具有一定的代表性和较大的参考价值。
(1)信息安全形势严峻，积极进行技术储备，有备无惠。近几年，一些典型的经典密码算法不断被破译或被发现存在致命漏洞，网络计算和量子计算等高性能计算技术快速发展给经典密码算法带来前所未有的冲击和挑战，经典通信保密体制面临更新换代的抉择。而量子保密通信技术代表了一个实际可行的新型技术方向，代表了未来信息安全市场的一个新方向。在积极探索量子保密通信体制的同时，寻求量子技术与经典技术的“融合”，促进这种新型保密通信系统的应用具有十分重要的现实意义。
(2)潜在资源需要整合，潜在市场需要发掘和培育。最子保密通信技术在保密传输方面有着十分明显的技术优势。其中短期应用前景十分明确，长期推广应用趋势不可逆转。但是，量子保密通信是一个综合交叉技术学科，系统核心技术需要多学科专业人才联合进行技术攻关，但是目前国内相关研究主力依然集中在高校，基本上还处在“单兵作战”的状态，还不能形成具有核心竞争力的产品研发平台。
美国MagiQ公司的副总裁AndrewHammond估计QKD短期市场份额将达到20亿美元，在不久的未来其市场份额将达到10亿美元／年。在今后几年内，国内的市场份额派工流程与安全知识库紧密相关，在故障处理时从安全知识库中提供专家经验和历史资料进行参考，在派工处理完毕后的反馈又放入安全知识库中作为下次事件的历史资料。安全知识库包括安全知识文章、漏洞库，补丁库、事故案例库等。
3.1报告报表网络安全管理系统具有强大的事件分析报告和安全趋势
报告系统。能够收集和整理所有的安全事件报告，整理分析，产生针对不同阅读者的专业安全报表。安全报表能够将一段时期内的整体安全状况、攻击来源、攻击方式、攻击目标、最多的和最少的攻击排序、IP子网攻击、IP子网攻击目标、设备类型、事件警告类型、事件状况类型和事件的严重性等等做出专业的分析报告。
3.2趋势分析趋势分析指依据网络安全指标策略体系，将多源安全事
件经编码格式标准化、归并关联等处理后，进行安全指标映射与态势数据生成，并借助多种可定制可视化视角而展现出来的网络总体安全状态和发展趋势。经过对安全事件、审计日志和一些辅助信息的分析，能够生成实时态势报表、态势告警、态势预案等安全态势分析报告，对总体的安全建设提供有价值的指导意见。安全态势分析需要综合众多最新的信息安全管理技术，具有极大的理论价值和实用价值。
摘 要 本文简述了办公自动化的概念、特征及发展趋势，也说明了当前企业实现办公自动化过程中出现的问题及防治对策。
关键词 办公自动化 特征 趋势 问题 对策
一、前言
办公自动化系统是由计算机技术、通讯技术等高新技术所支撑的辅助办公的自动化手段，其主要包括：电子信箱、视听、电子显示屏、文字处理、共用信息库、日常事务、网站管理等若干部分。它主要完成各类电子数据处理，对各类信息实施有效管理，辅助决策者做出正确迅速的决定或帮助其快捷迅速完成工作等功能。
办公自动化是办公人员利用现代科学技术的最新成果，借助先进的办公设备，实现办公科学化、自动化、电子化。其目的是最大限度提高办公效率和改进办公质量，改善办公环境和条件，辅助决策，减少或避免各种差错，缩短办公处理周期，通过科学的管理方法，借助于先进技术，提高管理和决策的科学化水平，从而实现办公业务自动化。
二、办公自动化系统的基本特征
（一）交互性
一般的数据处理是单一的控制流，有事先确定的输入输出，无需人的干预；办公自动化系统则往往需要根据不同的输入调动不同的控制，因而人机对话，人的干预是必不可少的。
（二）协同性
办公活动通常是有组织的分层次的群体活动。因此，办公自动化系统应支持一个组织机构内的所有工作人员能够进行协同工作，以完成一项共同的任务。
（三）多学科交叉
办公自动化系统的建立和发展是相关的现代科学技术交叉融合的结果，是以计算机科学、信息科学、行为科学、管理科学、系统工程学和现代通信技术等作为支撑平台的。
（四）网络化
现代办公自动化系统是基于计算机网络的，包括局域网（LAN）、因特网（Internet）、内联网（Intranet）和外联网（Extranet）等。
（五）对象的多样性
对于事物处理型办公自动化系统，应用对象的需求相对比较一致，表现在有通用的商品化应用软件。而在信息管理型办公自动化系统和决策支持型办公自动化系统层次，则呈现出应用对象多样性的特征，表现在商品化OAS应用软件的行业性和专业性。
三、办公自动化的发展趋势
随着三大核心支柱技术：网络通讯技术计算机技术和数据库技术的成熟，世界上的OA已进入了新的层次，在新的层次中系统有四个新的特点：
1．集成化。软硬件及网络产品的集成，人与系统的集成，单一办公系统同社会公众信息系统的集成，组成了“无逢集成”的开放式系统。
2．智能化。面向日常事务处理，辅助人们完成智能性劳动。
3．多媒体化。包括对数字文字图象声音和动画的综合处理。
4．运用电子数据交换。通过数据通讯网，在计算机间进行交换和自动化处理。
办公自动化的趋势，要求企业使用由综合数据库系统所提供的信息中，针对所需做出决策的课题，构造或选用决策数字模式，结合有关内部和外部的条件，由计算机执行决策程序，作出相应的决策。
四、目前企业办公自动化的现状及问题
（一）目前企业办公自动化的现状
我国的办公自动化建设经历了一个较长的发展阶段，目前企业的办公自动化根据发展程度可以划分为以下四类：
1．起步较慢，还停留在使用没有联网的计算机，使用MSoffice系列wps系列应用软件以提高个人办公效率。
2．已经建立了自己的intranet网络，但没有好的应用系统支持协同工作，仍然是个人办公。网络处于闲置状态，企业的投资没有产生应有的效益。
3．已经建立了自己的intranet网络，企业内部员工通过电子邮件交流信息，实现了有限的协同工作，但产生的效益不明显。
4．已经建立了自己的intranet网络：使用经二次开发的通用办公自动化系统；能较好地支持信息共享和协同工作，与外界联系的信息渠道畅通；通过internet，宣传企业的产品技术服务；intranet网络已经对企业的经营产生了积极的效益。现在正着手开发或已经在使用针对业务定制的综合办公自动化系统，实现科学的管理和决策，增强企业的竞争能力，使企业不断发展壮大。
（二）企业实现办公自动化面临的问题
随着计算机技术的发展，办公自动化系统从最初的汉字输入问题处理排版编辑查询检索等单机应用软件逐渐发展成为现代化的网络办公系统，通过联网将单项办公业务系统联成一个办公系统。再通过远程网络将多个系统联结成更大范围的办公自动化系统。建立企业内部网（intranet），企业外部网（extranet），已经成为办公自动化发展的必然趋势。目前，在实现办公自动化的进程中还有以下问题需要注意：
1．效率。办公人员大都非计算机专业人员，他们的计算机知识尤其是计算机操作系统及硬件知识的缺乏，导致办公效率的降低，也造成系统管理员工作量的增大，如系统维护、防毒治毒、软件升级。计算机技术的发展可谓一日千里，软硬件的升级换代将更加频繁，这就意味着系统后期成本居高不下。
2．安全性。人们对信息的价值有了更深的认识，因而对信息的存储和保密也就更加重视，而今，病毒的破坏黑客的入侵都将对系统信息以致命的打击。防止重要部门的重要信息被窃或流失已成为工作中的当务之急。
五、企业实现办公自动化的对策措施
（一）建立严格的使用权限和层次分明的管理制度
从保密和安全的角度，对进入办公系统的用户，采取按部门职务，进行优先等级和功能模块的设定。企业最高领导有权进入所有的模块，能查看到所有文档，但为了防止误操作，封掉了有些不会用到的修改功能。企业最高领导有权签发查阅人事资料等与本部门有关的工作。无密码就进入不了系统，有密码无权限时，进入了系统，也只是告诉你无权使用；有密码有权限无功能，重要操作不显示操作钮。可见信息化部门要把握好角色权限和密码的设定，这样，办公自动化系统的宝贵数据才能高枕无忧。要建立办公自动化管理制度和考核办法，明确单位的责任领导责任部门和直接责任人的工作职责和任务，制定相应的奖惩措施，推行一套融管理监督激励相一致的有效机制。
（二）牢固树立信息安全意识
1．要牢固树立网络安全意识。要树立保密意识，高度重视网络安全工作，不得将内部的计算机设备和网络接入网络，不准在网上传输和存放信息。各单位主要责任人为网络安全的第一责任人，信息员为具体责任人，各司其职，将工作落到实处。
2．要做好计算机信息网络技术安全管理工作。信息化部门要加强技术及管理知识的学习，经常对各单位网络进行检查，对存在的问题及时指出及时纠正，务必确保安全。建立安全事件报告制度，各单位一旦发现网络安全事件，必须在第一时间向信息化部门报告。
3．要加强网络设备的管理，凡安装维护连接和设置，均由信息化部门统一负责，严禁随意更换改变其物理的位置形态性能，严禁改变其连接关系运行状态和系统的设置。
（三）要提高办公人员计算机能力
办公系统在初始启动时，大量的资料需要输入，许多表结构需要进行设置。信息化部门的工作人员要从用户的角度出发，提高办公人员的计算机操作能力与基本维护能力。通过系统的培训使办公人员能够熟练的操作办公自动化系统，保证了办公自动化系统的良性运行。
（四）勤维护，常保养，使办公自动化系统处于最佳的运行状态中
