时间：2023-09-18 17:34:14
开篇：写作不仅是一种记录，更是一种创造，它让我们能够捕捉那些稍纵即逝的灵感，将它们永久地定格在纸上。下面是小编精心整理的12篇网络安全等级保护办法，希望这些内容能成为您创作过程中的良师益友，陪伴您不断探索和进步。
本报讯 7月20日，公安部、国务院信息办等4部门在北京联合召开“全国重要信息系统安全等级保护定级工作电视电话会议”，部署在全国范围内开展重要信息系统安全等级保护定级工作(以下简称“定级工作”)。国家信息安全等级保护协调小组组长、公安部副部长张新枫，国务院信息化工作办公室副主任、国家网络与信息安全协调小组办公室主任杨学山出席会议并讲话。
张新枫指出，当前，我国信息安全面临的形势仍然十分严峻，维护国家信息安全的任务非常艰巨、繁重。随着我国经济的持续发展和国际地位的不断提高，我国的基础信息网络和重要信息系统面临的安全威胁及安全隐患比较严重，计算机病毒传播和网络非法入侵十分猖獗，网络违法犯罪持续大幅上升，犯罪分子利用一些安全漏洞，使用黑客病毒技术、网络钓鱼技术、木马间谍程序等新技术，进行网络盗窃、网络诈骗、网络赌博等违法犯罪，给用户造成严重损失。特别是“科技奥运”和“数字奥运”是2008年北京奥运会的一大亮点，网络与信息安全已经成为事关北京奥运安全的重大问题之一。
张新枫强调，信息安全等级保护制度是国家信息安全保障工作的基本制度。为了加快推进信息安全等级保护工作，此前，公安部、国务院信息办等部门已联合出台了有关信息安全等级保护工作的实施意见、管理办法等相关文件。定级是等级保护工作的首要环节，是开展信息系统建设、整改、测评、备案、监督检查等后续工作的重要基础。此次定级工作的主要内容：一是开展信息系统基本情况的摸底调查，确定定级对象。二是信息系统主管部门和运营使用单位按照等级保护管理办法和定级指南，初步确定定级对象的安全保护等级，请专家进行评审，并报经上级行业主管部门审批同意。三是信息系统安全保护等级为第二级以上的信息系统运营使用单位或主管部门到公安机关备案。公安机关和国家有关部门受理备案后，要对信息系统的安全保护等级和备案情况进行审核、管理。
会议由公安部公共信息网络安全监察局局长李昭主持，公安部公共信息网络安全监察局副局长、国家网络与信息安全信息通报中心主任顾建国对定级工作作了具体说明。
关键词：信息安全；等级保护；技术方案
中图分类号：TP393.092
随着采供血业务对信息系统的依赖程度越来越高，信息安全问题日益突现，各采供血机构对信息安全保障工作给予了高度重视，各方面的信息安全保障工作都在逐步推进。《卫生行业信息安全等级保护工作的指导意见》（卫办发[2011]85号）指出[1]，依据国家信息安全等级保护制度，遵循相关标准规范，全面开展信息安全等级保护定级备案、建设整改和等级测评等工作，明确信息安全保障重点，落实信息安全责任，建立信息安全等级保护工作长效机制，切实提高卫生行业信息安全防护能力、隐患发现能力、应急能力，做好信息安全等级保护工作，对于促进采供血机构信息化发展，维护公共利益、社会秩序和国家安全具有重要意义。
1 信息安全等级保护概述
1994年国务院147号令《中华人民共和国计算机信息系统保护条例》，规定我国实行“计算机信息安全等级保护制度”[2]。根据147号令的要求，公安部制定了《计算机信息等级划分标准》（GB17859-1999以下简称GB17859），该标准是我国最早的信息安全等级标准。
当前实施的信息安全等级保护制度是由公安部等四部委联合发文《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）及《信息安全等级保护管理办法》（公通字[2007]43号），文件明确了信息安全等级保护制度的原则、内容、工作要求、部门分工和实施计划，为信息安全工作提供了规范保障。这些信息安全的有关政策法规主要是从管理角度划分安全等级的要求。
2006年，国家信息安全技术标准化技术委员会以GB17859为基本依据，提出并制定了一系列信息安全国家标准（GB/T20269-2006《信息安全技术 信息系统安全管理要求》等）。这一系列规范性文件体现了从技术角度划分信息安全等级的要求，主要以信息安全的基本要素为单位，对实现不同安全要求的安全技术和机制提出不同的要求。本文主要讨论以GB17859为依据从技术角度探讨信息安全等级保护技术在采供血机构中的实践。
2 等级保护技术方案
信息安全等级保护制度明确了信息安全防护方案，要求确保信息系统安全稳定运行，确保信息内容安全。保证业务数据在生成、存储、传输和使用过程中的安全，重要业务操作行为可审计，保证应用系统可抵御黑客、恶意代码、病毒等造成的攻击与破坏，防范恶意人员对信息系统资源的非法、非授权访问。
2.1 实现要求。三级安全应用平台安全计算环境的安全目标是保护计算环境的终端、重要服务器、乃至上层的应用安全和数据安全，并对入侵事件进行检测/发现、防范/阻止和审计/追查。依据GB17859-1999等系列标准把相关技术要求落实到安全计算环境、安全区域边界和安全通信网络、安全管理中心及四个部分，形成“一个中心”三重保障体系[3]。
图1 三级安全应用平台TCB模型
2.2 安全计算机环境。安全计算机环境是由安全局域通信网络连接的各个安全的计算资源所组成的计算环境，其工作方式包括客户/服务器模式；主机/终端模式；服务器/工作站模式。
2.3 安全区域边界。是安全计算环境通过安全通信网络与外部连接的所有接口的总和，包括防火墙、防病毒网关及入侵检测等共同实现。
2.4 安全通信网络。实现信息系统中各个安全计算机环境之间互相连接的重要设施。包括安全性检测、安全审计病毒防杀、备份与故障恢复以及应急计划与应急反应。
2.5 安全管理中心。针对安全计算机环境、安全区域边界和安全通信网络三个部分的安全机制的集中管理设施。针对安全审计网络管理、防病毒等技术的安全集中管理。
3 采供血机构信息系统等级保护建设
3.1 定级。采供血机构为地市级公益卫生事业单位，信息管理系统受到破坏会严重损害社会秩序，采供血业务停滞会严重损害公共利益，信息泄露则会严重影响公众利益，按信息系统安全等级保护定级指南，确定采供血信息系统安全保护等级为第三级。
3.2 系统分析。采供血信息系统覆盖采供血业务和相关服务过程，包括献血者档案、血液采集、制备、检验和发放等信息记录必须妥善保存并保持可溯性。艾滋病疫情信息根据国家相关法律法规的要求，必须防止泄露，以免产生对国家安全及社会稳定的负面影响。
信息系统核心由两台双机热备服务器、磁盘阵列柜组成，采用硬件VPN、硬件防火墙作为网络安全设备。应用VPN技术将远离采供血机构本部的献血屋、移动采血车及医院输血科使用的业务计算机与站内的服务器联网。
3.3 等级保护建设。依据GB17859-1999等系列标准把相关技术要求落实到安全计算环境、安全区域边界和安全通信网络和安全管理中心四部分。构建“一个中心”管理下的“三重保障体系”，实现拓朴图如下：
图2 采供血机构拓扑图
3.3.1 安全计算环境。系统层主要进行身份认证及用户管理、访问控制、安全审计、审恶意代码防范，补丁升级及系统安全性检测分析。安全计算环境主要依靠在用户终端或是服务器中充分挖掘完善现有windows/Linux操作系统本身固有的安全特性来保证其安全性。在应用系统实现身份鉴别、访问控制、安全审计等安全机制。
3.3.2 安全区域边界。在网络边界处以网关模式部署深信服下一代防火墙AF-1320，电信及联通两条线路都接入其中，达到以下防护目的：（1）区域边界访问控制：逻辑隔离数据、透明并严格进行服务控制，隔离本单位网络和互联网，成为网络之间的边界屏障，单位内部电脑上网，实施相应访问控制策略，设置自主和强制访问控制机制；（2）区域边界包过滤：通过检查数据包源地址、过滤与状态检测提供静态的包过滤和动态包过滤功能；（3）区域边界安全审计：由内置数据中心和独立数据中心记录各类详细事件，并产生统计报表。还可根据管理者定义的风险行为特征自动挖掘并输出风险行为智能报表；（4）完整性保护：保护计算机网络免受非授权人员的骚扰与黑客的入侵，过滤所有内部网和外部网之间的信息交换。该防火墙具有IPS入侵防护，防护类型包括蠕虫/木马/后门/DoS/DDoS攻击探测/扫描/间谍软件/利用漏洞的攻击/缓冲区溢出攻击/协议异常/ IPS逃逸攻击等；具有网络应用层防护，识别及清杀恶意代码功能。
3.3.3 安全通信网络。当用户跨区域访问时，根据三级标准要求，需要进行数据传输保护。通过部署VPN安全设备构建安全隧道，实施机密性和完整性保护，实现对应用数据的网络传输保护。（1）本单位用采两台深信服VPN网关为跨区域边界的通信双方建立安全的通道。一台为IPsec VPN用于连接采供血机构的分支机构如大型献血屋，另一台为SSL VPN用于小型捐血屋、流动采血车、各医院与采供血机构的数据通信。VPN设备可为采供血机构内部网络与外部网络间信息的安全传输提供加密、身份鉴别、完整性保护及控制等安全机制。另外，VPN安全网关中设计了审计功能来记录、存储和分析安全事件，可为安全管理员提供有关追踪安全事件和入侵行为的有效证据；（2）在防火墙下端部署华为S5700系列三层核心交换机，并在网络中划分VLAN，设置部门应用终端的访问权限，规定哪些部门可以访问哪些服务器等以减少网络中的广播风暴，提高网络效率；（3）在行政办公区域利用深信服上网行为管理（Sinfor-M5000-AC）有效管理与利用互联网资源，合理封堵非业务网络应用。
3.3.4 安全管理中心。信息安全等级保护三级的信息系统，应建立安全管理中心，主要用于监视和记录信息系统中比较重要的服务器、网络设备等环节，以及所有应用系统和主要用户的安全状况。本单位目前安全管理中心由两部分组成，配置赛门铁克赛门铁克SEP12.1，采用分布式的体系结构部署了防病毒系统中心、防病毒服务器端、防病毒客户端、防病毒管理员控制台。防病毒软件与防火墙、VPN及上网行为管理协同完成通信线路、主机、网络设备、应用软件的运行等监测和报警，并形成相关报表。对设备状态、恶意代码、补丁升级及安全审计等相关事项进行集中管理。
4 结束语
按照等级保护的相关规范和技术要求，结合采供血机构具体网络和系统应用，设计三级信息安全等级保护方案并建设，保证采供血机构网络的安全、稳定、通畅，保障了整个采供血业务的正常运转，更好地服务于广大患者。
参考文献：
[1]网神信息技术（北京）股份有限公司[J].信息网络安全，2012（10）：28.
[2]郎漫芝，王晖，邓小虹.医院信息系统信息安全等级保护的实施探讨[J].计算机应用与软件，2013（01）：206.
[3]胡志昂，范红.信息系统等级保护安全建设技术方案设计实现与应用[M].北京：电子工业出版社，2011：98-104.
关键词:电子政务信息安全
0引言
随着电子政务不断推进，社会各阶层对电子政务的依赖程度越来越高，信息安全的重要性日益突出，在电子政务的信息安全管理问题中，基于现实特点的电子政务信息安全体系设计和风险评估[1]模型是突出的热点和难点问题。本文试图就这两个问题给出分析和建议。
1电子政务信息安全的总体要求
随着电子政务应用的不断深入，信息安全问题日益凸显，为了高效安全的进行电子政务，迫切需要搞好信息安全保障工作。电子政务系统采取的网络安全措施[2][3]不仅要保证业务与办公系统和网络的稳定运行，另一方面要保护运行在内部网上的敏感数据与信息的安全，因此应充分保证以下几点：
1.1基础设施的可用性：运行于内部专网的各主机、数据库、应用服务器系统的安全运行十分关键，网络安全体系必须保证这些系统不会遭受来自网络的非法访问、恶意入侵和破坏。
1.2数据机密性：对于内部网络，保密数据的泄密将直接带来政府机构以及国家利益的损失。网络安全系统应保证内网机密信息在存储与传输时的保密性。
1.3网络域的可控性:电子政务的网络应该处于严格的控制之下，只有经过认证的设备可以访问网络，并且能明确地限定其访问范围，这对于电子政务的网络安全十分重要。
1.4数据备份与容灾:任何的安全措施都无法保证数据万无一失，硬件故障、自然灾害以及未知病毒的感染都有可能导致政府重要数据的丢失。因此，在电子政务安全体系中必须包括数据的容灾与备份，并且最好是异地备份。
2电子政务信息安全体系模型设计
完整的电子政务安全保障体系从技术层面上来讲，必须建立在一个强大的技术支撑平台之上，同时具有完备的安全管理机制，并针对物理安全，数据存储安全，数据传输安全和应用安全制定完善的安全策略
在技术支撑平台方面，核心是要解决好权限控制问题。为了解决授权访问的问题，通常是将基于公钥证书（PKC）的PKI（PublicKeyInfrastructure）与基于属性证书（AC）的PMI（PrivilegeManagementInfrastructure)结合起来进行安全性设计，然而由于一个终端用户可以有许多权限，许多用户也可能有相同的权限集，这些权限都必须写入属性证书的属性中，这样就增加了属性证书的复杂性和存储空间，从而也增加了属性证书的颁发和验证的复杂度。为了解决这个问题，作者建议根据X.509标准建立基于角色PMI的电子政务安全模型。该模型由客户端、验证服务器、应用服务器、资源数据库和LDAP目录服务器等实体组成，在该模型中：
2.1终端用户：向验证服务器发送请求和证书，并与服务器双向验证。
2.2验证服务器：由身份认证模块和授权验证模块组成提供身份认证和访问控制，是安全模型的关键部分。
2.3应用服务器：与资源数据库连接，根据验证通过的用户请求，对资源数据库的数据进行处理，并把处理结果通过验证服务器返回给用户以响应用户请求。
2.4LDAP目录服务器：该模型中采用两个LDAP目录服务器，一个存放公钥证书（PKC）和公钥证书吊销列表（CRL），另一个LDAP目录服务器存放角色指派和角色规范属性证书以及属性吊销列表ACRL。
安全管理策略也是电子政务安全体系的重要组成部分。安全的核心实际上是管理，安全技术实际上只是实现管理的一种手段，再好的技术手段都必须配合合理的制度才能发挥作用。需要制订的制度包括安全行政管理和安全技术管理。安全行政管理应包括组织机构和责任制度等的制定和落实；安全技术管理的内容包括对硬件实体和软件系统、密钥的管理。
3电子政务信息安全管理体系中的风险评估
电子政务信息安全等级保护是根据电子政务系统在国家安全、经济安全、社会稳定和保护公共利益等方面的重要程度。等级保护工作的要点是对电子政务系统进行风险分析，构建电子政务系统的风险因素集。
3.1信息系统的安全定级信息系统的安全等级从低到高依次包括自主保护级、指导保护级、监督保护级、强制保护级、专控保护级五个安全等级。对电子政务的五个安全等级定义，结合系统面临的风险、系统特定安全保护要求和成本开销等因素，采取相应的安全保护措施以保障信息和信息系统的安全。
3.2采用全面的风险评估办法风险评估具有不同的方法。在ISO/IECTR13335-3《信息技术IT安全管理指南:IT安全管理技术》中描述了风险评估方法的例子，其他文献，例如NISTSP800-30、AS/NZS4360等也介绍了风险评估的步骤及方法，另外，一些组织还提出了自己的风险评估工具，例如OCTAVE、CRAMM等。
电子政务信息安全建设中采用的风险评估方法可以参考ISO17799、OCTAVE、CSE、《信息安全风险评估指南》等标准和指南，从资产评估、威胁评估、脆弱性评估、安全措施有效性评估四个方面建立风险评估模型。其中，资产的评估主要是对资产进行相对估价，其估价准则依赖于对其影响的分析，主要从保密性、完整性、可用性三方面进行影响分析;威胁评估是对资产所受威胁发生可能性的评估，主要从威胁的能力和动机两个方面进行分析;脆弱性评估是对资产脆弱程度的评估，主要从脆弱性被利用的难易程度、被成功利用后的严重性两方面进行分析;安全措施有效性评估是对保障措施的有效性进行的评估活动，主要对安全措施防范威胁、减少脆弱性的有效状况进行分析;安全风险评估就是通过综合分析评估后的资产信息、威胁信息、脆弱性信息、安全措施信息，最终生成风险信息。
在确定风险评估方法后，还应确定接受风险的准则，识别可接受的风险级别。
4结语
电子政务与传统政务相比有显著区别，包括:办公手段不同，信息资源的数字化和信息交换的网络化是电子政务与传统政务的最显著区别;行政业务流程不同，实现行政业务流程的集约化、标准化和高效化是电子政务的核心;与公众沟通方式不同，直接与公众沟通是实施电子政务的目的之一，也是与传统政务的重要区别。在电子政务的信息安全管理中，要抓住其特点，从技术、管理、策略角度设计完整的信息安全模型并通过科学量化的风险评估方法识别风险和制定风险应急预案，这样才能达到全方位实施信息安全管理的目的。
参考文献：
[1]范红，冯国登，吴亚非.信息安全风险评估方法与应用.清华大学出版社.2006.
1计算机网络安全的应对措施
1.1技术层面
在技术层面，针对广泛的计算机网络系统的安全威胁，可以采取相应的应对措施.首先，设置防火墙是一般企业进行网络防御的基本措施，也是维护网络安全的重要措施.防火墙的试着一般是进行访问尺度的控制，将不可访问的IP进行阻挡，放行允许访问的IP，这样的方式可以有效的避免不安全的IP和软件的侵入和攻击.其次，在企业网络中设置关键部位的入侵检测系统也是十分有效的方式，对于网络中存在的异常行为进线检测并发出报警信息，不仅能够检测到网络入侵和攻击，还能检测企业内网之间的攻击，在很大程度上弥补了防火墙的不足和功能缺陷，更好的为企业进行网络攻击的防御.除了以上所说的系统防护之外，还有相关的物理隔离与信息交换系统，此系统可以将影响到局域网安全的VLAN进行隔离，阻挡了其与企业内网和外网之间的信息传递，这样的系统技术效果优于防火墙和入侵检测系统.在操作系统安全当中，对于很多不需要使用的端口，可以关掉.对于病毒的防护一般常常采用杀毒软件和系统检测软件相结合的方式，对系统整体的病毒进行查杀和漏洞扫描，时时保证网络运行的安全性，保证系统能够安全的运行，系统漏洞能够及时的更新并得到弥补.对于企业内部没有得到安全认证的移动设备进行监控，违反企业网络使用相关制度的操作也进行严加控制，将违法的监控设备进行相关的隔离，进行更多的网络隔离度保障，全面确保网络安全.技术方面的加强除了以上系统上的防患方法，通过网络反病毒能力的提高实现病毒和恶意攻击的防护之外，还应当研发并完善高安全的网络操作系统，研发网络系统的操作更加人性化和高安全性能的网络操作系统，做到系统软硬件之间更加完善的配合.
1.2管理层面
计算机网络系统的安全管理，除了技术层面上的完善之外，还要加强管理层面的建设.对于计算机安全保护法律、法规的力度也是十分重要的，只有做到技术防范与相关法律法规的双项管理，才能保证计算机网络安全效果更好的实现.计算机网络的安全管理，首先要建立安全管理机构，加强计算机网络的立法和执法管理，进行相应的计算机用户的安全教育，提高计算机用户的道德意识和安全意识，防止计算机犯罪行为的发生，还可以更好的预防计算机黑客的攻击，计算机网路安全管理能力的加强也是十分重要的.计算机安全法、犯罪法、数据保护法等的教育和普及也是很重要的.维护计算机网络和系统的安全，进行更多的计算机安全教育让使用人员更好的进行使用之外，还应当建立相关的维护和管理制度，对于计算机的使用进行严格的管理、控制，对资料、机房等都应当设有专门的安全保护方案，进行严格的分工管理和等级管理制度，将企业内部的计算机使用严格的控制起来，保证计算机网络的全面安全.
2计算机网络安全防范体系的建立
企业要加强计算机网络安全管理能力，最好的办法就是建立计算机网络安全防范体系，完善的安全管理体系是保证计算机网络安全的有效手段和措施，从全局的观念入手，进行企业计算机网络系统的全面监督和控制，这样的方式可以起到最佳的效果，要实现计算机网络系统全面的安全维护，建立完善的网络安全体系是非常有必要的.计算机网络安全防范体系的建立是企业信息化发展的未来趋势，是计算机网络安全环境创造的重要措施，企业要实现信息化和现代化的管理，就必须建立完善的计算机网络安全防范体系，以确保计算机网络环境受到全面的监控和管理，全面杜绝安全隐患的产生.计算机网络安全防范系统的建立，有很多值得注意的方面，要结合企业的实际情况进行相应的计算机系统是设计，构建适合企业自身需求的信息安全和网络防御系统，以下就安全防御系统建立需要注意的几点进行具体的讨论与介绍:首先，企业网络应当进行相应的分区，例如企业的生产专用网络要与企业其他专用网络进行相应的隔离，这样是为了防止其中一个专用网络受到病毒感染或者攻击时，其他专用网络不会受到影响和牵连，将外部攻击和威胁可能造成的伤害降至最低.其次，在网络防范系统的建立中还应当注意企业信息安全等级的划分，对于企业的机密信息和重要信息应当进行特别设置，进行信息不同重要程度的划分是为了设置不同的信息使用权限，进行重要信息更多的安全防护，使用不用的安全区域对不同安全等级的信息进行相应的安全管理和设置.同时，在计算机网络安全系统建设中，相应的防火墙以、物理隔离以及入侵检测等系统技术防护措施要坚持使用，用于保证企业系统的正常运行.还有，企业内部的网络流量也应当有相应的规章和要求，进行流量的使用限制，保证企业内部网络的畅通和稳定.最后，对于企业内部的系统使用应当进行相应的授权和控制，只有正规的授权管理，才能保证企业内部信息使用的更多安全，企业内部系统能够更加正常稳定的运行.总而言之，要实现企业计算机网络安全系统的建立，加强企业网络安全的管理能力，除了实现计算机网络防护软件和硬件设施的完善管理，实现技术管理与行政管理的资额调和做之外，还应当建立层次分明的网络保护系统防范体系，对于企业的网络安全系统应当结构应当形成结构完整、由核心到各层次的完美配合，内外之间的严格限定和系统保护措施的完善执行，加强企业的层次网络保护机制建设，将企业网络进行内网和外网的隔离，进行专用网络的隔离，进行安全等级的设置等，并结合先进的网络防护技术和完善的计算机网络管理措施，进行企业计算机网络有层次、有规范的管理，实现计算机网络安全系统安全系数的全面提升.
3结语
随着信息化的不断发展，计算机网络系统安全已经成为企业发展的重要管理工作之一，面对来自内部和外部的众多系统安全威胁，要加强企业计算机网络安全管理的能力，就要在技术层面和管理层面采取相应的应对措施，并建立完善的计算机网络安全防范体系，实现企业全面化的计算机网络安全，全面提高企业的信息化程度和水平.
作者：李振美单位：济宁学院计算机科学系
[关键词] 网络 信息安全 法律保障
美国2002年《联邦信息安全管理法》规定，信息安全指确保信息和信息系统免受非授权访问、使用、披露、中断、修改或破坏，以实现完整性、机密性、可用性。那么，网络信息安全就是指在网络环境下确保网络基础设施免遭干扰、破坏，从而实现网络信息的完整性、保密性、可用性和真实性。
互联网是一个开放的网络，任何团体或个人都可以在网上方便地传送和获取各种各样的信息。由于网络的迅速发展而自身的安全防护能力很弱，许多应用系统处于不设防状态，存在着极大的安全风险和隐患。网络在为人们提供便利、带来效益的同时，也使人类面临着信息安全方面的巨大挑战。近年来，因网络信息安全而造成的突出事件，如“艳照门事件”、“熊猫烧香事件”等引起了人们的广泛关注，也使我们认识到建立网络信息安全的紧迫性与必要性。网络信息不安全可以毁人一辈子，会带来严重的、恶劣的社会影响和巨大的经济损失。有人言：电脑不可靠！网络更不可靠！在互联网时代是否真的无安全可言？除了本身技术手段之外，我们的法律体系对网络信息安全还要去如何加强？这都是我们需要继续努力的方向和思考的问题。从法律的角度来探求网络信息安全的保障，到底有什么样的规范和措施呢？
首先，要明确法律责任的责任主体。法律责任就是由特定法律事实所引起的对损害予以赔偿、补偿或接受惩罚的特殊义务。责任主体是指因违反法律、违约或法律规定的事由而承担法律责任的人，包括自然人、法人和其他社会组织。责任主体对于法律责任的有无、种类、大小有着密切的关系。
目前，我国法制体系中就网络信息安全问责中主要是针对违法犯罪的自然人，而忽略了网站的法律责任。本文认为要建立网络信息安全的保障，需要强化个人与网站双方的法律责任。在网络违法犯罪过程中，人是主谋，网站则是主要帮凶。日前，闹得沸沸扬扬的“艳照门事件”中，我们追究了原始投放者的法律责任和传播者的法律责任。而且在我国《刑法》中第三百六十四条明确规定：传播的书刊、影片、音像、图片或者其他物品，情节严重的，处二年以下有期徒刑、拘役或者管制。其别强调了非牟利的传播也可以构罪。但对于网站传媒仅仅从道德上予以回击，而缺乏法律约束及相关法律责任的追究。
按照引起责任的法律事实与责任人的关系的不同，法律责任可以分为直接责任、连带责任和替代责任。根据法律责任的类型可把法律责任分为民事法律责任、行政法律责任、刑事法律责任和违宪责任。在危害网络信息安全的法律问责中，原始违法犯罪人所造成的不利后果是直接的、明显的、严重的，应承担直接法律责任与刑事法律责任。后承违法犯罪人（传播者等）所造成的不利后果是直接的、有一定危害性的，应承担直接法律责任与民事法律责任，情节特别严重的也应追究其刑事责任，这在我国现有法律体系中已有明确规定。网站传媒作为社会组织，理应具有职业操守与社会责任感，是公民权利的代言人，是网络信息安全的管理者与执行者，如在维护网络信息安全的过程中成为了公民私权的侵犯者，除了予以道德谴责之外，还要承担一定的法律责任，即相应的连带法律责任与民事法律责任。
其次，要以法律手段强化网络监管。俗话说：三分技术，七分管理。这在网络信息安全领域也同样适用。据有关部门统计，在所有的网络安全事件中，约有52%是人为因素造成的，25%由火灾、水灾等自然灾害引起，技术错误占10%，组织内部人员作案占10%，仅有3%左右是由外部不法人员的攻击造成。属于管理方面的原因比重高达70%以上，而这些安全问题中的95%是可以通过科学的信息安全管理来避免。因此，在维护网络信息安全过程中，网络监管是关键，并且应由一定的法律来强制保障实行。
以法律强制手段推行网络实名制。网络实名制指在网络环境中传递信息时应使用真实身份资料认证的制度。网络以计算机为依托，借助一定的计算机符号来承载信息，带有很强的虚拟性。在这个虚拟性高的空间来实现非虚拟的信息安全管理具有一定的难度，因此就需要用法律的强制手段来推行。比如：上传网络信息的法律约束与管理。无论是个人还是集体要在网络中上传信息应受到一定的法律约束。不能是任何人任何时候都可以在任何网站上传任何信息，如要上传，应有特定的监管程序通过网络实名制的信息库检验其身份资格的合法性才能进行。当然这其中涉及到一个公民私权（个人隐私权等）的规避问题，但是我们的法律可以先在部分网站、部分领域实行网络实名制，等到条件成熟之后再全面推行。
进一步推广与完善电子签名及相关法律。电子签名也称作“数字签名”，是指用符号及代码组成电子密码进行“签名”来代替书写签名或印章，它采用规范化的程序和科学化的方法，用于鉴定签名人的身份以及对一项数据电文内容信息的认可。2004年8月，我国正式颁布了《中华人民共和国电子签名法》，并于2005年4月1日起正式施行。这是我国首部真正意义上的信息法律化，它明确了可靠的电子签名与手写签名或者盖章具有同等的法律效力。通过应用电子签名认证证书实现网上身份识别认证，并确保信息在网络中传输的保密性、完整性、以及行为的不可否认性。针对目前“电子认证”等实践中的具体问题，应加快相关法律的建设与完善。
落实网络信息安全等级评价。网络信息系统的安全等级是指国家信息安全监督管理部门根据计算机网络处理信息的敏感程度、业务应用性质和部门重要程度所确认的信息网络安全保护能力的级别。信息系统安全等级评价是指评价机构根据国家信息安全等级技术标准和管理标准，对使用单位的信息网络进行安全等级检测、评价和监督的活动。对于网络信息安全等级评价不合格的单位部门应由法律强制撤消其处理网络信息等相关职能或给予一定期限进行整改。
加强网络实名制、电子签名、网络信息安全等级评价等一系列法律的建立与完善，是强化网络信息安全监管的保障。
最后，要进一步制定完善信息安全法律法规，加强网络信息安全的法律宣传与教育。国外的信息安全立法活动进行较早，尤其是美国的信息安全法律体系较完备。我国的信息安全立法仍处在起步阶段，还没有形成一个具有完整性、适用性、针对性的法律体系。这个法律体系的形成一方面要依赖我国信息化进程的深化，另一方面要依赖对信息化和信息安全的深刻认识和技术、法学意义上的超前研究。我国已有的法律法规从不同的层次对信息安全问题做出了规范，如《国家安全法》、《中华人民共和国电子签名法》、《中华人民共和国计算机信息网络国际互联网络安全保护管理办法》等使我们初步有了处罚网络信息安全违法犯罪的法律依据，但还有很多领域缺乏对信息犯罪进行定罪处罚的法律依据，有待进一步完善。
安全意味着受到保护，免受那些有意或以其他方式产生危害的人的攻击。网络安全是对网络组件、连接和内容的保护。信息安全是对信息、系统以及使用、存储和传输信息的硬件的保护。网络信息安全的法律法规教育是计算机信息系统安全教育的重要内容。不管是作为一名计算机工作人员，还是普通计算机用户，都应该接受相关法律法规的教育。尤其是那些使用网络机会多而且很活跃的群体，更应该熟悉和掌握我国的信息安全方面的法律法规。法律法规是保证计算机信息系统安全准则，法律法规教育是遵守法律法规的必由之路。
总之，建立网络信息安全问题日益紧迫，为保障公民的合法权益，健全我国的法制建设，在提高网络技术的同时，我们也要重视相关法律的完善，使网络信息安全切实得到法律的保障。
参考文献:
[1]郭明瑞:民法[M].高等教育出版社，2005.6
[2]张文显:法理学[M].高等教育出版社，2004.5
[3]田文英符秋艳:论网络信息安全法的调整对象[J].情报杂志，2005;(4)
[4]周磊刘可静:我国网络信息安全问题及其立法探讨[J]. 图书情报工作，2006;(5)
不管是过失、疏忽还是恶意行为，信息泄露正成为电子化时代日益凸现的社会问题。目前，采集、保有、使用、传播、查询个人信息的一些公众机构发生信息泄露的频率比较高，由于他们掌握着公民私人信息，一旦发生不当漏露，轻则个人信息作为商品出售、广告推销骚扰缠身，重则身份信息被利用制作成假身份证从事违法活动。
由此，除了保证业务系统正常运转，不发生中断，如何有效防止信息泄露开始成为组织信息安全工作的下一个重点。
政策推动
防止信息泄露，特别是防止关系到国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益信息的泄露首先从政策上得到了支持。
2007年6月，我国公安部、国务院信息办等四部门联合公布了《信息安全等级保护管理办法》。根据新办法，“信息系统的安全保护等级应当根据信息系统在国家安全、经济建设、社会生活中的重要程度，信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素确定。”
这项政策的出台无疑将是安全市场新的风向标。在全国各机构和行业信息系统定级工作完成后，他们必然会根据新的级别要求对自己的信息系统安全保护工作进行调整，而调整预示着机遇来临。
瞄准机遇
尽管是网络安全市场的后来者，和勤看准了这一机遇，加速了对信息安全领域的产品布局。
2006年和勤先是将成都大东收归旗下，2007年8月，和勤又接连收购三家国内安全厂商，在不到两年的时间里形成内容审计、防火墙、网闸、内网及终端安全的产品系列。据和勤信息安全事业部汪辉透露，这些产品系列正是围绕着信息系统安全等级保护制度来而选择的，未来还将继续向用户提供体现等级保护的建设性规范的产品。
关键词：电力营销；网络安全；安全建设；安全管理
1 引言
营销业务作为“SG186”工程的业务系统之一，应用上涵盖了新装增容及变更用电、资产管理、计量点管理、抄表管理、核算管理、电费收缴、帐务管理、用电检查管理、95598业务等领域，需要7×24小时不间断、安全可靠运行的保障[1]。因此在遵循国家电网公司“SG186”工程的建设标准和信息网络等级保护要求的基础上，结合营销关键业务应用，加强信息安全防护，保障营销系统网络的安全运行。本文针对新疆电力营销系统的现状，给出了一种多层次的安全防护方案，对保障营销系统网络稳定运行，保护用户信息安全，传输安全、存储安全和有效安全管理方面给出了建设意见。
2 新疆营销网络系统现状
新疆电力营销业务应用经过了多年的建设，目前大部分地区在业扩报装、电费计算、客户服务等方面的营销信息化都基本达到实用化程度，在客户服务层、业务处理层、管理监控层三个层次上实现了相应的基本功能。结合新疆电力公司的实际情况，主要分析了管理现状和网络现状。
2.1 管理现状
根据公司总部提出的“集团化运作、集约化发展、精细化管理”的工作思路，从管理的需求上来说，数据越集中，管理的力度越细，越能够达到精细化的管理的要求。但由于目前各地市公司的管理水平现状、IT现状、人员现状等制约因素的限制，不可能使各地市公司的管理都能够一步到位，尤其是边远地区。因此，营销业务应用管理在基于现状的基础上逐步推进。根据对当前各地市公司的营销管理现状和管理目标需求的分析，管理现状可分为如下三类：实时化、精细化管理；准实时、可控的管理；非实时、粗放式管理。目前大部分管理集中在第二类和第三类。
2.2 网络现状
网络建设水平将直接影响营销业务应用的系统架构部署，目前新疆公司信息网已经形成，实现了公司总部到网省公司、网省公司本部到下属地市公司的信息网络互连互通，但是各地市公司在地市公司到下属基层供电单位的之间的信息网络建设情况差别较大，部分地市公司已经全部建成光纤网络，并且有相应的备用通道，能够满足实时通信的要求，部分地市公司通过租用专线方式等实现连接，还有一些地市公司由于受地域条件的限制，尚存在一些信息网络无法到达的地方，对大批量、实时的数据传输要求无法有效保证，通道的可靠性相对较差。
2.3 需求分析
营销业务系统通常部署在国家电网公司内部信息网络的核心机房，为国家电网公司内部信息网络和国家电网公司外部信息网络的用户提供相关业务支持。该网络涉及业务工作和业务应用环境复杂，与外部/内部单位之间存在大量敏感数据交换，使用人员涵盖国家电网公司内部人员，外部厂商人员，公网用户等。因此，在网络身份认证、数据存储、网络边界防护与管理等层面上都有很高的安全需求。[2]
3 关键技术和架构
3.1 安全防护体系架构
营销网络系统安全防护体系的总体目标是保障营销系统安全有序的运行，规范国家电网公司内部信息网员工和外部信息网用户的行为，对违规行为进行报警和处理。营销网络系统安全防护体系由3个系统（3维度）接入终端安全、数据传输安全和应用系统安全三个方面内容，以及其多个子系统组成，其体系结构如图1所示。
图1 营销系统安全防护总体防护架构
3.2 接入终端安全
接入营销网的智能终端形式多样，包括PC终端、智能电表和移动售电终端等。面临协议不统一，更新换代快，网络攻击日新月异，黑客利用安全漏洞的速度越来越快，形式越来越隐蔽等安全问题。传统的基于特征码被动防护的反病毒软件远远不能满足需求。需要加强终端的安全改造和监管，建立完善的认证、准入和监管机制，对违规行为及时报警、处理和备案，减小终端接入给系统带来的安全隐患。
3.3 数据传输安全
传统的数据传输未采取加密和完整性校验等保护措施，电力营销数据涉及国家电网公司和用户信息，安全等级较高，需要更有效的手段消除数据泄露、非法篡改信息等风险。
市场上常见的安全网关、防火墙、漏洞检测设备等，都具有数据加密传输的功能，能够有效保证数据传输的安全性。但仅仅依靠安全设备来保证数据通道的安全也是不够的。一旦设备被穿透，将可能造成营销系统数据和用户信息的泄露。除此之外，还需要采用更加安全可靠的协议和通信通道保证数据通信的安全。
3.4 应用系统安全
目前营销系统已经具有针对应用层的基于对象权限和用户角色概念的认证和授权机制，但是这种机制还不能在网络层及以下层对接入用户进行细粒度的身份认证和访问控制，营销系统仍然面临着安全风险。增强网络层及以下层，比如接入层、链路层等的细粒度访问控制，从而提高应用系统的安全性。
4 安全建设
营销系统安全建设涉及安全网络安全、主机操作系统安全、数据库安全、应用安全以及终端安全几个层面的安全防护方案，用以解决营销系统网络安全目前存在的主要问题。
4.1 终端安全加固
终端作为营销系统使用操作的发起设备，其安全性直接关系到数据传输的安全，乃至内网应用系统的安全。终端不仅是创建和存放重要数据的源头，而且是攻击事件、数据泄密和病毒感染的源头。这需要加强终端自身的安全防护策略的制定，定期检测被攻击的风险，对安全漏洞甚至病毒及时处理。对终端设备进行完善的身份认证和权限管理，限制和阻止非授权访问、滥用、破坏行为。
目前公司主要的接入终端有PC、PDA、无线表计、配变检测设备、应急指挥车等。由于不同终端采用的操作系统不同，安全防护要求和措施也不同，甚至需要根据不同的终端定制相应的安全模块和安全策略，主要包括：针对不同终端（定制）的操作系统底层改造加固；终端接入前下载安装可信任插件；采用两种以上认证技术验证用户身份；严格按权限限制用户的访问；安装安全通信模块，保障加密通讯及连接；安装监控系统，监控终端操作行为；安装加密卡/认证卡，如USBKEY/PCMCIA/ TF卡等。
4.2 网络环境安全
网络环境安全防护是针对网络的软硬件环境、网络内的信息传输情况以及网络自身边界的安全状况进行安全防护。确保软硬件设备整体在营销网络系统中安全有效工作。
4.2.1 网络设备安全
网络设备安全包括国家电网公司信息内、外网营销管理系统域中的网络基础设施的安全防护。主要防护措施包括，对网络设备进行加固，及时安装杀毒软件和补丁，定期更新弱点扫描系统，并对扫描出的弱点及时进行处理。采用身份认证、IP、MAC地址控制外来设备的接入安全，采用较为安全的SSH、HTTPS等进行远程管理。对网络设备配置文件进行备份。对网络设备安全事件进行定期或实时审计。采用硬件双机、冗余备份等方式保证关键网络及设备正常安全工作，保证营销管理系统域中的关键网络链路冗余。
4.2.2 网络传输安全
营销系统数据经由网络传输时可能会被截获、篡改、删除，因此应当建立安全的通信传输网络以保证网络信息的安全传输。
在非边远地方建立专用的电力通信网络方便营销系统的用户安全使用、在边远的没有覆盖电力局和供电营业所的地方，采用建立GPRS、GSM，3G专线或租用运营商ADSL、ISDN网络专网专用的方式，保障电力通信安全。
电力营销技术系统与各个银行网上银行、邮政储蓄网点、电费代缴机构进行合作缴费，极大方便电力客户缴费。为了提高通道的安全性，形成了营销系统信息内网、银行邮政等储蓄系统、internet公网、供电中心网络的一个封闭环路，利用专网或VPN、加密隧道等技术提高数据传输的安全性和可靠性。
在数据传输之前需要进行设备间的身份认证，在认证过程中网络传输的口令信息禁止明文传送，可通过哈希（HASH）单向运算、SSL加密、Secure Shell（SSH）加密、公钥基础设施（Public Key Infrastructure 简称PKI）等方式实现。
此外，为保证所传输数据的完整性需要对传输数据加密处理。系统可采用校验码等技术以检测和管理数据、鉴别数据在传输过程中完整性是否受到破坏。在检测到数据完整性被破坏时，采取有效的恢复措施。
4.2.3 网络边界防护
网络边界防护主要基于根据不同安全等级网络的要求划分安全区域的安全防护思想。营销系统安全域边界，分为同一安全域内部各个子系统之间的内部边界，和跨不同安全域之间的网络外部边界两类。依据安全防护等级、边界防护和深度防护标准，具有相同安全保护需求的网络或系统，相互信任，具有相同的访问和控制策略，安全等级相同，被划分在同一安全域内[3]，采用相同的安全防护措施。
加强外部网络边界安全，可以采用部署堡垒机、入侵检测、审计管理系统等硬件加强边界防护，同时规范系统操作行为，分区域分级别加强系统保护，减少系统漏洞，提高系统内部的安全等级，从根本上提高系统的抗攻击性。
跨安全域传输的数据传输需要进行加密处理。实现数据加密，启动系统的加密功能或增加相应模块实现数据加密，也可采用第三方VPN等措施实现数据加密。
4.3 主机安全
从增强主机安全的层面来增强营销系统安全，采用虚拟专用网络（Virtual Private Network 简称VPN）等技术，在用户网页（WEB）浏览器和服务器之间进行安全数据通信，提高主机自身安全性，监管主机行，减小用户错误操作对系统的影响。
首先，扫描主机操作系统评估出配置错误项，按照系统厂商或安全组织提供的加固列表对操作系统进行安全加固，以达到相关系统安全标准。安装第三方安全组件加强主机系统安全防护。采用主机防火墙系统、入侵检测/防御系统（IDS/IPS）、监控软件等。在服务器和客户端上部署专用版或网络版防病毒软件系统或病毒防护系统等。
此外，还需要制定用户安全策略，系统用户管理策略，定义用户口令管理策略[4]。根据管理用户角色分配用户权限，限制管理员使用权限，实现不同管理用户的权限分离。对资源访问进行权限控制。依据安全策略对敏感信息资源设置敏感标记，制定访问控制策略严格管理用户对敏感信息资源的访问和操作。
4.4 数据库安全
数据库安全首要是数据存储安全，包括敏感口令数据非明文存储，对关键敏感业务数据加密存储，本地数据备份与恢复，关键数据定期备份，备份介质场外存放和异地备份。当环境发生变更时，定期进行备份恢复测试，以保证所备份数据安全可靠。
数据安全管理用于数据库管理用户的身份认证，制定用户安全策略，数据库系统用户管理策略，口令管理的相关安全策略，用户管理策略、用户访问控制策略，合理分配用户权限。
数据库安全审计采用数据库内部审计机制或第三方数据库审计系统进行安全审计，并定期对审计结果进行分析处理。对较敏感的存储过程加以管理，限制对敏感存储过程的使用。及时更新数据库程序补丁。经过安全测试后加载数据库系统补丁，提升数据库安全。
数据库安全控制、在数据库安装前，必须创建数据库的管理员组，服务器进行访问限制，制定监控方案的具体步骤。工具配置参数，实现同远程数据库之间的连接[5]。
数据库安全恢复，在数据库导入时，和数据库发生故障时，数据库数据冷备份恢复和数据库热备份恢复。
4.5 应用安全
应用安全是用户对营销系统应用的安全问题。包括应用系统安全和系统的用户接口和数据接口的安全防护。
4.5.1 应用系统安全防护
应用系统安全防护首先要对应用系统进行安全测评、安全加固，提供系统资源控制功能以保证业务正常运行。定期对应用程序软件进行弱点扫描，扫描之前应更新扫描器特征代码；弱点扫描应在非核心业务时段进行，并制定回退计划。依据扫描结果，及时修复所发现的漏洞，确保系统安全运行。
4.5.2 用户接口安全防护
对于用户访问应用系统的用户接口需采取必要的安全控制措施，包括对同一用户采用两种以上的鉴别技术鉴别用户身份，如采用用户名/口令、动态口令、物理识别设备、生物识别技术、数字证书身份鉴别技术等的组合使用。对于用户认证登陆采用包括认证错误及超时锁定、认证时间超出强制退出、认证情况记录日志等安全控制措施。采用用户名/口令认证时，应当对口令长度、复杂度、生存周期进行强制要求。
同时，为保证用户访问重要业务数据过程的安全保密，用户通过客户端或WEB方式访问应用系统重要数据应当考虑进行加密传输，如网上营业厅等通过Internet等外部公共网络进行业务系统访问必须采用SSL等方式对业务数据进行加密传输。杜绝经网络传输的用户名、口令等认证信息应当明文传输和用户口令在应用系统中明文存储。
4.5.3 数据接口安全防护
数据接口的安全防护分为安全域内数据接口的安全防护和安全域间数据接口的安全防护。安全域内数据接口在同一安全域内部不同应用系统之间，需要通过网络交换或共享数据而设置的数据接口；安全域间数据接口是跨不同安全域的不同应用系统间，需要交互或共享数据而设置的数据接口。
5 安全管理
安全管理是安全建设的各项技术和措施得以实现不可缺少的保障，从制度和组织机构到安全运行、安全服务和应急安全管理，是一套标准化系统的流程规范，主要包括以下方面。
5.1 安全组织机构
建立营销业务应用安全防护的组织机构，并将安全防护的责任落实到人，安全防护组织机构可以由专职人员负责，也可由运维人员兼职。
5.2 安全规章制度
建立安全规章制度，加强安全防护策略管理，软件系统安全生命周期的管理，系统安全运维管理，安全审计与安全监控管理，以及口令管理、权限管理等。确保安全规章制度能够有效落实执行。
5.3 安全运行管理
在系统上线运行过程中，遵守国家电网公司的安全管理规定，严格遵守业务数据安全保密、网络资源使用、办公环境等的安全规定。
首先，系统正式上线前应进行专门的系统安全防护测试，应确认软件系统安全配置项目准确，以使得已经设计、开发的安全防护功能正常工作。
在上线运行维护阶段，应定期对系统运行情况进行全面审计，包括网络审计、主机审计、数据库审计，业务应用审计等。每次审计应记入审计报告，发现问题应进入问题处理流程。建立集中日志服务器对营销交易安全域中网络及安全设备日志进行集中收集存储和管理。
软件升级改造可能会对原来的系统做出调整或更改，此时也应从需求、分析、设计、实施上线等的整个生命周期对运行执行新的安全管理。
5.4 安全服务
安全服务的目的是保障系统建设过程中的各个阶段的有效执行，问题、变更和偏差有效反馈，及时解决和纠正。从项目层面进行推进和监控系统建设的进展，确保项目建设质量和实现各项指标。
从项目立项、调研、开发到实施、验收、运维等各个不同阶段，可以阶段性开展不同的安全服务，包括安全管理、安全评审、安全运维、安全访谈、安全培训、安全测试、安全认证等安全服务。
5.5 安全评估
安全评估是对营销系统潜在的风险进行评估（Risk Assessment），在风险尚未发生或产生严重后果之前对其造成后果的危险程度进行分析，制定相应的策略减少或杜绝风险的发生概率。
营销系统的安全评估主要是针对第三方使用人员，评估内容涵盖，终端安全和接入网络安全。根据国家电网公司安全等级标准，对核心业务系统接入网络安全等级进行测评，并给出测评报告和定期加固改造办法，如安装终端加固软件/硬件，安装监控软件、增加网络安全设备、增加安全策略，包括禁止违规操作、禁止越权操作等。
5.6 应急管理
为了营销系统7×24小时安全运行，必须建立健全快速保障体系，在系统出现突发事件时，有效处理和解决问题，最大限度减小不良影响和损失，制定合理可行的应急预案，主要内容包括：明确目标或要求，设立具有专门的部门或工作小组对突发事件能够及时反应和处理。加强规范的应急流程管理，明确应急处理的期限和责任人。对于一定安全等级的事件，要及时或上报。
6 实施部署
营销系统为多级部署系统。根据国家电网信息网络分区域安全防护的指导思想原则，结合新疆多地市不同安全级别需求的实际情况，营销系统网络整体安全部署如图2所示。
在营销系统部署中，对安全需求不同的地市子网划分不同的安全域，网省管控平台部署在网省信息内网，负责对所有安全防护措施的管控和策略的下发，它是不同安全级别地市子系统信息的管理控制中心，也是联接总部展示平台的桥梁，向国网总公司提交营销系统安全运行的数据和报表等信息。
7 结束语
电力营销网络安全技术的发展伴随电力营销技术的发展而不断更新，伴随安全技术的不断进步而不断进步。电力营销网络的安全不仅仅属于业务系统的安全范畴，也属于网络信息化建设范畴，其安全工作是一个系统化，多元化的工作，立足于信息内网安全，覆盖信息外网安全和其他网络。
本文基于新疆电力营销系统网络安全的现状，结合现有安全技术和安全管理手段来提高营销系统整体安全水平，为提升原有网络的安全性，构造一个安全可靠的电力营销网络提供了一套安全解决方案，对国家电网其他具有类似需求的网省公司营销系统网络安全问题解决提供参考和借鉴。
参考文献
[1]赵宏斌，陈超.电力营销数据安全防护体系及其关键技术研究[J].电力信息化，2008年6卷7期：135-139.
[2]吕萍萍.当前电力企业电力营销的现状与安全防护保障系统构建[J].华东科技：学术版，2012年11期：282.
[3]蒋明，吴斌.电力营销系统信息安全等级保护的研究与实践[J].电力信息化，2009年3期：25-27.
[4]朱芳，肖忠良，赵建梅.浅析电力营销业务应用系统的安全风险[J].黑龙江科技信息，2010年35期：153-154.
[5]李红文.论加强电力营销信息系统安全[J].信息通信，2012年1月：115-116.
作者简介：刘陶（1983-），男，汉族，四川乐山，本科，技师，电力营销稽查与实施调度。
陈晓云（1974-），女，大专，技师，新疆乌鲁木齐，电力营销稽查。
关键词：计算机网络；安全设计；系统管理
中图分类号：TP 文献标识码：A 文章编号：1009-914x（2014）02-01-01
一 计算机网络设计的信息安全
当今世界信息的快速传播得益于计算机网络的发展，计算机网络在运用方面最主要的还是在信息的传播上。因此，计算机网络的安全设计上，信息安全应该被摆在第一位，信息安全包括信息的保密、信息的不被盗用等等。计算机网络安全可以说就是信息的安全，计算机网络设计有义务使信息得到安全防护。
（一）计算机网络信息安全设计浅析
计算机网络设计有着繁琐的设计程序，其主要在技术上要求比较高，其特征有关联性、开放性和多样性。因为特征复杂，在安全设计上就要下一定的功夫。在普遍的传输方式上面有着两种网络模式：广域网与局域网。传送路径的差异，在对网络设计的潜在安全要求就不同。在各种安全因素交织的情况下，网络信息的安全设计考虑的范围广阔，对差异安全问题采取的设计方案就要有所针对性，并进行全方面的系统设计。
（二）网络安全设计的信息储存
网络安全设计应该做到信息存储安全，网络信息存在状态为传播与储存。在储存安全性上，要保证储存信息的整体性和秘密性，而且可控与可用。注重储存位置与安全是信息储存的重要方面。
在现实生活中，计算机网络信息储存易受到以下两方面的攻击：1.非法访问。计算机网络的非法访问大多隐蔽性强，防止了安全设置的的阻挡，未经授权用户进行非法访问加密文件极易造成信息的泄密。被入侵的信息可能不会直接泄密，但是破坏较为严重，信息失去了其完整性。2.基础性的物理硬件设备的破坏与故障。计算机网络信息储存遭到破坏后，信息发生丢失与毁坏的可能性极大，信息完整性丧失，不再可用，失去现实有效性。
为了解决上述安全风险，保护网络信息的储存，经研究，可采用以下设计：1.重视对物理基础硬件设施的保养。信息安全储存应该重视硬件设备的保养，如果硬件设备一旦损坏或丢失，往往造成无法弥补的后果，所以，对硬件设备的保护应该受到应有的重视。2.设置信息访问权。从信息安全的访问要件与非法访问引起的严重后果来看，首先应该在信息访问上设定安全级别，进行有针对性的设计与控制。作为防止非法访问的重要手段，安全访问的信息访问权设定可采用系统控制与个人设置控制融合使用。可采用的方式多为访问用户信息判别、安全等级设计、访问跟踪设定、安全文件控制和物理推理位置。此外可下载防毒软件控制及文件的加密等方式来维护储存安全。作为挽救办法，可以采用数据云备份或加密等手段，预防非法访问后计算机信息储存完整性的破坏。
二 网络的信息安全设计
计算机网络的信息安全保障很多层面上得益于计算机网络的分层结构，如局域网的安全，最主要的是数据链路层的设计。数据链路层是局域网用户间相互交流的桥梁，统一光缆为计算机建立局域网提供了条件。保护局域网的前提首先应保护数据链路层。而对其原理的把握，可在设计上提供有效借鉴。
数据链路层及用桥接设备把中继器相连，形成特定网段的整体。分组广播是数据传播的主要方式，MAC、信道共享对于接收与否定也是通过分组广播进行的。为确保信息安全，应该以信息的防泄密、加密传播与加密的设计为主要方式。
三 计算机网络安全之系统化管理
计算机的系统化管理即用户进行的安全管理与设置。与计算机网络设计以技术人员不同，系统化管理以用户为主体。用户要想有效的管理计算机，一般应当进行安全体系的认证：1.安全证书认证。以国际标准开发的安全认证具有加密性。组成部分为注册、签发、、查询和备份系统。2.目录服务器。这是访问控制的基础，因其可用性强，在用户的管理体系当中居于核心地位。3.服务器上的确证。用户大多采用内部访问的方式进行。用户设置访问授权与认证，可提高访问的安全与平稳。
Windows系统是现代计算机网络系统的主流，以该系统为例，用户应该着重注意几方面：1.登录系统管理。登录是用户使用计算机的前提，用户可设置账号进行登录。登录的安全方面主要考虑授权密码登录，用户设置授权登录许可与禁止。对于强制性登录而言，可设置审核程序，再允许继续操作。2.账号与密码管理。用户可以管理员身份设置Admini5trator，再进行其他操作。用户可以安全保密性的需要自行设置账号与密码。或文件不需安全设置，也可Admini5trator修改账户或删除。3.多用户管理设置。多用户管理一般是以资源共享为目的，是对网络中存在用户账户而言的。用户在进行此操作时，应慎重考虑个人文件安全重要性。
四 结语
因计算机网络有开放性和高速的传播性。网络安全设计主要考虑的范围为信息的传输安全及存储安全。存储设计以分层结构为原理，主要是数据链路层的设计。对于用户而言，计算机系统的安全管理也是不可忽视的。安全管理主要涉及账户设置及访问密码设置上。
参考文献：
[1] 苏广文，高翔，高德远等.计算机网络三维安全模型[J].微电子学与计算机，2002，19（1）：47-46，53.
[2] 高翔，王敏，苏广文等.计算机网络综合安全模型[C].//中国计算机学会网络与数据通信学术会议论文集.2002：451-455.
[3] 张世民.计算机网络的安全设计与系统化管理探究[J].煤炭技术，2013，（6）：224-225，226.
关键词:防火墙;入侵检测;PKI;数字签名
中图分类号:TP309 文献标识码:A 文章编号:1009-3044(2010)01-45-03
A Construction Method about the Security System of the Prosecutorial Organization
LIU Lian-hao1, LUO Wei1,2
(1.Central-South University College of Information Science and Engineering, Changsha 410083, China; 2.Hunan Provincial People's Procuratorate, Changsha 410001, China)
Abstract: In recent years, with the popularity of the network, the network information system security incidents break out frequent in large companies and government agencies. This paper analyzes the general types of security incidents, as well as common security technology, based on a more elaborated a complete information security system should have the function, combined with the actual prosecutorial work, put forward a construction method about the security system of the prosecutorial organization.
Key words: firewall; intrusion detection; PKI; digital signature
近年来,随着网络的普及,各大公司企业以及政府机构都建成了网络信息系统,大量信息开始在网络上传输,不少数据都属于内部信息。大量网络信息系统的建成使得网络安全保障体系的建设显得极为紧迫。1999年至2008年,国家出台了一系列的规章与标准,逐步开始重视信息安全保障体系的建设。2007年6月四部委联合出台了《信息安全等级保护管理办法》(公通字 [2007]43号),明确了信息安全等级保护制度的基本内容、流程及工作要求,明确了信息系统运营使用单位和主管部门、监管部门在信息安全等级保护工作中的职责、任务;2007年7月,四部委又联合下发了《关于开展全国重要信息系统安全等级保护定级工作的通知》(公信安[2007]861号),就定级范围、定级工作主要内容、定级工作要求等事项进行了通知。随着全国各级检察机关基础网络平台建设的基本完成,信息化为检察机关提升司法水平、增强法律监督能力提供了很大的帮助。与此同时,信息安全也日益成为各级检察机关非常关注的问题,建设一个可靠的检察系统信息安全保障体系显得日益重要。
1 威胁信息系统的主要方法
在对信息系统的安全威胁中,某些方法被经常和大量使用,因为这些方法具有易学性和易传播性。这些方法的某一实现或某几个实现的组合,会直接导致基本威胁演变为成功的攻击案例。通常黑客常用的方法有以下几种[1]:
1.1 身份欺骗
某个未授权的实体(人或系统)假装成另一个不同的实体,使其相信它是一个合法的用户(比如攻击者截收有效信息甚至是密文,以后在攻击时重放这些消息,达到假冒合法用户的目的),进而非法获取系统访问权利或得到额外的特权。冒充通常与某些别的主动攻击形式一起使用,特别是消息的重放与篡改。攻击者可以假冒管理者命令和调阅密件,或者假冒主机欺骗合法主机及合法用户,然后套取或修改使用权限、口令、密钥等信息,越权使用网络设备和资源甚至接管合法用户欺骗系统,占用或支配合法用户资源。
1.2 破坏信息的完整性
一般网络黑客可以从三方面破坏信息的完整性,即改变信息流的次序、时序、流向、内容和形式,删除消息全部或其一部分,或是在消息中插入一些无意义或有害消息。
1.3 破坏系统的可用性
攻击者可以通过使合法用户不能正常访问网络资源、使有严格时间要求的服务不能及时得到响应等方法破坏信息系统的可用性,直至使整个系统瘫痪。
1.4 截收和辐射值测
攻击者通过搭线窃听和对电磁辐射探测等方法截获机密信息,或者从流量、流向、通信总量和长度等参数分析出有用信息。
1.5 后门程序
在某个(硬件或软件)系统或某个文件中设置的“机关”,使得当提供特定的输入条件(或某一信号,或某一信息)时,允许违反安全策略而产生非授权的影响。一个典型的例子是口令的有效性可能被修改,使得除了其正常效力之外也使攻击者的口令生效。例如,一个登录处理子系统允许处理一个特定的用户识别号,可以绕过通常的口令检查。“后门”一般是在程序或系统设计时插入的一小段程序,用来测试这个模块或者将来为程序员提供一些方便。通常在程序或系统开发后期会去掉这些“后门”,但是由于种种原因,“后门”也可能被保留下来,一旦被人利用,将会带来严重的安全后果。利用“后门”可以在程序中建立隐蔽通道,植入一些隐蔽的病毒程序,还可以使原来相互隔离的网络信息形成某种隐蔽的关联,进而可以非法访问网络,达到窃取、更改、伪造和破坏信息资料的目的,甚至可能造成系统的大面积瘫痪。
1.6 特洛伊木马
特洛伊木马指的是一类恶意的妨害安全的计算机程序或者攻击手段。它是指一个应用程序表面上在执行一个任务,实际上却在执行另一个任务。同一般应用程序一样,能实现任何软件的任何功能,例如拷贝、删除文件、格式化硬盘,甚至发电子邮件,而实际上往往会导致意想不到的后果,如用户名和密码的泄露等。例如,它有时在用户合法登录前伪造一登录现场,提示用户输入账户和口令,然后将账户和口令保存至一个文件中,显示登录错误,退出特洛伊木马程序。用户还以为自己错了,再试一次时,已经是正常的登录了,用户也就不会有怀疑,其实,特洛伊木马已完成用户登录信息的窃取,更为恶性的特洛伊木马则会对系统进行全面破坏。
1.7 抵赖
抵赖行为并非来自于攻击者,而是来自于网络的通信双方,即通信双方中的某一方出于某种目的而否认自己曾经做过的动作,比如发信者事后否认曾经发送过某些消息或收信者事后否认曾经接收过某些消息等。
2 目前安全保障体系中信息安全常用技术
通常我们建设安全保障体系的时候,会从两个方面去进行考虑,即以防火墙、入侵检测技术为代表的网络访问控制技术和以PKI体系、数字签名技术为代表的身份认证技术。
2.1 防火墙技术
防火墙用于对网络之间交换的信息流进行过滤,执行每个网络的访问控制策略。防火墙常常保护内部的“可信”网络,使之免遭“不可信”的外来者的攻击。它是信息的唯一出入口,能根据安全政策控制(允许、拒绝、监测)出入网络的信息流,且本身具有较强的抗攻击能力。它是提供信息安全服务,实现网络和信息安全的基础设施。防火墙实现网与网之间的访问隔离,以保护整个网络抵御来自其它网络的入侵者。防火墙按实现的技术手段总的来说可以分为以下几种类型:
1)包过滤防火墙
通过检查数据流中每一个数据包的源地址、目的地址、所用端口号、协议状态等因素,或它们的组合来确定是否允许该数据包通过。其特点是:速度快、费用低,并且对用户透明,但是对网络的保护很有限,因为它只检查地址和端口,对网络更高协议层的信息无理解能力。
2)应用级防火墙
工作在应用层,又称为应用级网关,它此时也起到一个网关的作用。应用级防火墙检查进出的数据包,通过自身(网关)复制传递数据,防止在受信主机与非受信主机间直接建立联系。其特点是:访问控制能力强,但对每种应用协议都需提供相应的程序,同时网络性能比较低。
3)混合型防火墙
既具有包过滤防火墙以及应用级防火墙的特点,同时增加了一些其它功能,如具有状态检测技术、应用、NAT、VPN等功能。无论何种类型防火墙,从总体上看,都应具有以下基本功能:过滤进、出网络的数据;管理进、出网络的访问行为;封堵某些禁止的业务和端口;网络地址转换;记录通过防火墙的信息内容和活动;对网络攻击的检测和告警[2]。
2.2 入侵检测技术
利用防火墙并经过严格配置,可以阻止各种不安全访问通过防火墙,从而降低安全风险。但是,网络安全不可能完全依靠防火墙单一产品来实现,网络安全是个整体的,必须配相应的安全产品,作为防火墙的必要补充,入侵检测系统就是最好的安全产品。入侵检测系统是根据已有的、最新的攻击手段的信息代码对进出网段的所有操作行为进行实时监控、记录,并按制定的策略实行响应(阻断、报警、发送E-mail),从而防止针对网络的攻击与犯罪行为。入侵检测系统通过监控来自网络内部的用户活动,侦察系统中存在的现有和潜在的威胁,对与安全活动相关的信息进行识别、记录、存储和分析[3]。入侵检测系统可以对突发事件进行报警和响应,通过对计算机网络或计算机系统中的若干关键信息的收集和分析,从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象;通过对安全事件的不断收集、积累、加以分析后,可有选择性地对其中的某些特定站点或用户进行详细跟踪,为发现或防止破坏网络或系统安全的行为提供有力的安全决策依据。入侵检测系统一般包括控制台和探测器(网络引擎)。控制台用于制定及管理所有探测器(网络引擎)。探测器(网络引擎)用于监听进出网络的访问行为,根据控制台的指令执行相应行为。由于探测器采取的是监听不是过滤数据包,因此入侵检测系统的应用不会对网络系统性能造成多大影响,根据检测业务流量的多少可选用千兆或百兆入侵监测系统。
2.3 PKI/CA技术
公钥基础设施(PKI)是利用公钥密码理论和技术建立的提供安全服务的基础设施。PKI的简单定义是指一系列基础服务,这些服务主要用来支持以公开密钥为基础的数字签名和加密技术的广泛应用。PKI以公钥加密技术为基本技术手段来实现安全性,它将公钥密码和对称密码结合起来,希望从技术上解决身份认证、信息的完整性和不可抵赖性等安全问题,为网络应用提供可靠的安全服务。PKI最基本的元素是数字证书,所有的操作都是通过证书来实现的。一个完整的PKI/CA体系包括签署数字证书的认证中心CA(Certificate Authority),登记和批正证书签署的登记机构RA(Registration Authority),数字证书库CR(Certificate Repository),密钥备份及恢复系统,证书作废系统,应用接口等基本构成部分。其中,认证中心CA和数字证书是PKI/CA体系的核心。CA是数字证书的申请及签发机关,它是PKI/CA的核心执行机构,主要是标识和验证证书的身份,保证了交易的安全性;数字证书是一个经CA数字签名的、包含证书申请人信息及公开密钥的电子文件,可以保证信息在传输过程中不被除发送方和接收方以外的其他人窃取和篡改[4]。
基于PKI的数字签名技术类似于现实中的签名或印章,保证了传输数据的真实性、完整性和不可否认性。其签名和验证过程如下(假设签名方是A,验证方是B):
步骤1:A使用对称密钥将文件加密生成密文,然后使用单向散列函数得到待签名文件的散列值1;
步骤2:A用自己的私钥将此散列值1转换成数字签名,同时用B的公钥加密对称密钥算法中的密钥;
步骤3:A将密文、数字签名、加密密钥和时间戳放置到数字信封,发送给B;
步骤4:B使用自己的私钥解密A发送的加密文件的对称密钥;再用A的公钥解密A发送的数字签名得到文件的散列值1;
步骤5:B用获得的对称密钥解密文件,并使用相同的单向散列函数生成散列值2,若该值与A发送的散列值1相等,则签名得到验证。
该签名方法可在很大的可信PKI域中进行相互认证(或交叉认证),扩展了隶属于不同CA的实体间的认证范围。
3 完善的检察信息安全保障系统的构成
目前,我国的检察系统已经建成了一套覆盖全国各级检察院的信息网络体系,同时,检察业务对信息系统的依赖性也越来越强,在检察系统信息网络体系中存在着较多的敏感信息,而这些信息通常是控制在一定范围内的人员才可查看的(如办案干警、主管领导等),因此对系统的保密性要求很高,一旦对数据库中的数据进行非法访问与操作,会造成很大的影响。应用系统中的数据信息将决定业务工作能否顺利开展,例如案卡信息等数据一旦被篡改会,将会对办案干警的工作造成重大影响,甚至可能出现错案,因此对应用系统的数据完整性要求也很高。结合检察系统的工作实际,检察系统信息安全保障体系应由以下几个方面共同组建而成,其构成如下:
3.1 身份认证系统
全国检察系统应建立一套基于PKI/CA技术的统一身份认证系统,结合目前检察系统信息系统中开展的各项应用,严格定义和识别信息系统内每个用户的访问权限,及时发现并阻止非法用户的越权限访问。
3.2 防火墙和入侵检测系统
各级检察院应在其本院网络对外的接口处部署防火墙以及入侵检测系统,利用防火墙用来阻止非法用户进入内部网络系统,入侵检测系统则是利用审计跟踪数据监视入侵活动。
3.3 安全的操作系统
针对检察干警普遍使用微软操作系统的实际情况,应在全国检察信息系统中部署一套微软操作系统补丁分发系统,为各类服务器提供安全运行的平台,保障操作系统本身是无漏洞的。
3.4 容灾备份系统
针对服务器系统可能崩溃以及硬件可能发生损坏等情况,建立容灾备份相当有必要,容灾备份系统要能够把数据恢复到损坏发生前的状态。较为安全的容灾系统应在相隔较远的异地建立多套功能相同的系统,进行监视和功能切换。数据容灾是信息安全战略中非常重要的一个环节。
3.5 防病毒系统
针对目前网络上病毒泛滥的实际情况,给整个体系中的所有服务器及客户终端安装病毒防护软件相当的有必要。
4 结束语
该文着重介绍了两个方面的安全保障技术以及检察信息安全保障体系在技术上需要达到的一些基本要求,但要真正建立起一个完善的安全保障系统,只从技术手段方面着手是远远不够的,只有拥有安全的运行环境、规范化的管理、高素质的人员配备再辅以完善的技术,才能真正建立起一套完整的安全保障体系。
参考文献:
[1] 严伟.成都市保密专用网络安全设计[D].四川:四川大学,2003.
[2] 朱革娟,周传华,赵保华.网络安全与新型防火墙技术[J].计算机工程与技术,2001,1(22):16-19.
在省、市局领导正确指导下，计算站全面完成了2018年各项工作任务。统筹规划网络工程，保证各级经济网络传输通畅；加强硬件基础建设，提高了经济信息处理能力；领会贯彻省局数管中心部署与技术指导，精心维护全市“企业一套表”平台，经济内网、外网网站内容不断更新；完成了三农普数据处理工作；做好各类小型调查数据处理与后期技术服务；维护“数据城市”管理平台、经济客户端安全管理平台、视频会议系统维护、VPN系统管理，网络安全等级保护建设任务、做好经济信息化报表任务及其他各项非常规性任务，做好市政府政务公开办及有关部门布置的各项任务。
2018年主要成绩、经验与做法
一、加快机房硬件更新与管理,网络运行持续稳定
1、网络运行高效稳定。按照机房功能区域合理布置网络设备和各服务器。建立网络设备资产清单，全年主机运行健康安全。
2、定期检查设备，应急突发事件。检查机房温度、湿度、空调运行，对突发火灾、水灾、雷击、电力系统、不间断电源系统故障的应急处理，对故障出现原因进行定位，找出问题根源，避免故障再次发生。
二、网络安全保障与网站建设
为了强化对网络的安全管理，我们时刻保持着高度警惕，随时跟踪查找网络安全隐患，采取各种措施加强监管。
1、 每工作日对设备状况检查一次，一旦发现设备故障报警及时查找问题及时处理排除，处理不了及时将网络故障有关信息上报单位领导并通知相关网络运营服务商提供服务支持。
2、网站建设美观实用，信息内容更新及时。经济内网网站页面设计简洁、美观，突出主要信息。信息更新及时，信息采编人员对送来的各类信息按照规定认真把关，及时；网站安全性高。经济外网功能设置完善、内容信息充实。
三、加强视频会议管理、保障省市正常互动
定期检查音视频设备，保证会议使用。为防止会议过程中信号中断，我们定期检查网络视频设备运行状况、在每次视频会议前做好调试准备，消除故障隐患，保证了会议期间视频清晰、声音流畅。
四、完成各项信息化报表任务。完成了省数管中心布置的信息化年报、网络安全月报及目，关键敏感时期信息安全上报任务等。
五、经济用户网络安全管理。遵照国家和省局对经济内网网络安全管理客户端的要求，及时为各科室安装经济内网用小型交换机、各级经济机构的上网计算机完成用户安全认证与注册。
六、完成城市市政务公开办布置的相关任务。
1、为市目标办设计群众满意度调查问卷，按要求对三区和濉溪县分类汇总，整理各类汇总数据，以经济数据和图表展示的方式，及时提交汇总报表。2、稳步推进“互联网+政务服务”。创新网上服务模式，引入社会力量，利用第三方平台，强化数据资源共享交换；积极推动网上服务向移动端、自助服务终端等延伸；通过政府网站、微信、微博、移动客户端、推进线上线下政务服务融合发展。
3、针对“2018度城市市经济局网站绩效评估简报”提出的整改建议认真整改，增设相关栏目，包括在线办事、服务效能投诉，增设公众参与平台、站点地图、网站帮助等功能，及时更新网站信息内容。
七、充分发挥系统管理员在企业一套表中的重要角色
严格按照省局要求，有效行使市级系统管理员的全部职能，确保企业能正常登陆填报平台，确保各专业能正常审核验收使用；认真热情的为各专业提供业务咨询解答和技术支持，任务定制和权限修改等。
八、完成等级保护阶段性任务。城市经济主干网和“数据城市”等级保护这两个项目已被市公安局确定为二级等级保护系统，与多家专业公司商讨研究制定科学合理的等保建设方案
九、完成了第四次全国经济普查单位清查任务。紧跟省局普查中心、数据管理中心，及时深入领会最新操作方法与要求，上下联动，指导各县区普查工作，咨询解答、PDA数据采集，平台数据分析汇总。指导各区县做好经济普查培训、PAD操作和清查比对平台的数据处理任务。
十、增强服务意识，提供日常技术支持与咨询。为本局各专业提供日常计算机应用支持、联网故障与计算机硬件维护，为县区用户提供技术咨询与远程协助。
存在的问题与不足
一、办公网出口只有1台防火墙，数据城市”服务器系统无任何防护措施，为安装防火墙。
二、网站服务器通过交换机连接到核心交换机且无任何防护措施。
三、缺少防病毒攻击硬件设备。web服务器面对木马、蠕虫等非法攻击缺少必要的防护措施；缺少应用层数据的安全防护和病毒防护功能的设备。
四、缺少整网安全检测产品。急需定期对全网机器和web扫描，对设备的登录、权限、经济没有集中管理措施，存在较大安全隐患，缺日志经济设备，按要求需要留存半年以上的日志数据，目前无法满足要求。
五、机房制度管理尚不完善。需进一步规范机房各项管理措施与规章制度，杜绝不规范操作，需要加强学习网络安全知识，提高防范技能。
2019年工作思路及重点任务
一、尽快完成网络安全二级等保建设。以现有基础设施，保证今年上半年建设并完成满足等级保护二级系统基本要求的网络信息系统。
二、增设下一代防火墙。在办公网出口部署下一代防火墙（含AV、IPS模块），将现有的深信服AF-1210防火墙移至“数据城市”服务器前端。
三、在专网的安全运维区旁路部署日志经济设备、运维堡垒机。设备部署完毕后，日志经济设备可高效统一管理资产日志并为安全事件的事后取证提供依据。堡垒机可集中账号管理和运维经济。
四、机房改造与装饰。建设配电柜系统、电源防雷接地系统、消防报警系统、网络综合布线、机柜设备重整、抗静电活动地板等。
五、完善安全管理制度。建立一个完善的网络安全管理制度，完善机房各项安全管理规章制度、加强计算机安全知识培训，提高各级经济人员安全意识。
六、管好“企业一套表”平台。严格按照省局要求，有效行使市级系统管理员的全部职能，确保填报企业能正常登陆填报平台，确保各专业能正常审核验收使用；认真热情的为各专业提供业务咨询解答和技术支持。
七、完善网站功能、网站信息及时更新。对送来的各类信息按照规定认真把关，及时到各制定网站；按照市政务公开办的要求，做好本单位门户网站集约化建设和政务公开后台管理，加强对城市经济微讯、城市经济微博的信息更新与信息安全监控。
八、管好系统内客户端安全管理。深入学习、领会上级精神，按照国家局要求，做到各级经济机构的上网计算机用户100%与注册；做好数据安全及备份恢复，对重要信息进行备份，网站后台安全维护。
九、管好“数字城市”系统平台。大胆创新、牢记使命、积极采取措施充实完善“数据城市”移动终端信息与终端展示，充分体现现代信息技术、提升经济服务能力、改进服务方式。
十、继续做好第四次全国经济普查数据处理各项具体任务。
及时传达上级经普办最新文件精神、指导意见和具体操作办法，为四经普提供PDA操作咨询服务、做好普查区电子地图导出、清查比对平台底册导出、MDM平台的远程推送与远程监控，做好四经普非一套表平台数据审核、汇总、分析及对县区的任务部署与指导。
关键词：策略 系统工程 动态
中图分类号：TP301 文献标识码：A 文章编号：1672-3791（2012）08（c）-0012-01
信息技术、通信技术、计算机技术对各个行业的影响越来越大，已成为国家和社会发展的重要战略资源。各个行业实现网络的互动互连、信息的共享已经成为必然趋势，中国的军工研究单位也不例外。3G/4G高速数据手机通信也已经渗透到每个人的工作、生活之中，如何在现有形式下保护开放网络环境下军工研究单位的军事秘密信息已经成为当前的重要任务。解决办法之一是建立独立的军队内部网，在物理上隔开与外界的互连，这样将直接影响到军工研究单位与非军工研究单位的协同工作，对中国武器装备科研发展带来不利的影响。最好的解决方法是按照军事级别的要求提高军工研究单位的网络安全，不仅能使用互联网、通信网络的优势，同时也能保护军事秘密。
1 网络安全体系
网络具有联结形式多样性、终端分布不均匀性和网络的开放性、互连性等特征，致使网络易受黑客、恶意软件和其他不轨行为的攻击。要提高网络安全性，任何单位都需要一个完整的网络安全体系结构，否则该网络将是个无用、甚至会危及国家安全的网络。无论是在局域网还是在广域网中，都存在着自然和人为等诸多因素造成的安全脆弱性和潜在威胁。要从网络安全体系的各个层面来分析网络安全的实现，研究网络安全模型，来对网络安全体系进行研究与部署。一般的网络系统都要涉及到网络设施、网络操作系统和网络应用程序，仅仅从这三个方面实施网络不能完全保证网络的整体安全。因为在网络中信息是核心，如何保证数据的安全性以及使用这些信息的用户、实体和进程的安全性也是必须考虑，只有从这五个层次综合考虑，才能总整体上做到安全的防护。
网络安全体系的五层之间是相互依赖的，呈现了整体性，相互协作以立体化作业来提高整个系统的安全性。网络安全威胁按照攻击者的主动性可以分为主动威胁和被动威胁，在合适的网络安全模型的支持下，网络系统可以采用对应的主动防御技术和被动防御技术来提高网络系统的安全性。现在的网络主动防御技术和被动防御技术有很多，把最好的、最贵的防御产品部署到军工单位的网络中是不能提供足够的安全，应该按照网络安全策略指导网络安全技术来保护好网络安全，对网络安全整体体系进行保护，才能即保护了数据，同时也充分利用了网络的便利性和快捷性。
2 网络安全策略
网络安全策略（Security Policy）是指在一个特定的网络环境里，为保证提供一定级别的安全保护所必须遵守的一系列条例、规则。进行数据访问时，网络安全策略规定在安全范围内什么是允许的，什么是不允许的。网络安全策略通常不作具体规定，它仅仅提出什么是最重要的，而不确切地说明如何达到所希望的安全性。网络安全策略建立起安全技术规范的最高一级。安全策略具备普遍的指导意义，它针对网络系统安全所面临的各种网络威胁进行安全风险分析，提出控制策略，建立安全模型和安全等级，对网络安全系统进行评估并为网络系统的配置管理和应用提供基本的框架。有了网络安全策略系统才可能保证整体网络系统能够正常有序地运行，也才可能更安全合理地提供网络服务，有了网络安全策略才可能更加高效迅速地解决网络安全问题，使网络威胁造成的损失降为最小。
制订军工单位的安全策略必须以《保密法》、《中华人民共和国保守国家秘密法》、《中国人民保密条例》、《中华人民共和国计算机信息、系统安全保护条例》为根本依据，才能制订科学的、完善的网络安全策略。安全策略是规章制度，是网络安全的高级指导，需要考虑军工企业的各个方面，不仅仅是网络安全的技术，还必须包括各个级别的员工的安全教育、安全操作、危机意识的培养。比如现在手机终端功能越来越强大，很多人都喜欢手机终端的通信，这样就为军工单位的网络打开一个缺口，黑客软件可以控制手机摄像头的打开和摄像操作，在军工单位内使用智能手机就有可能泄露军事秘密。所以军工单位的安全必须采用系统工程的方法进行，作为一个复杂的系统来考虑，这样才能制定一个科学的安全策略。军工单位的网络安全策略制定是属于社会领域的研究，可以采用软系统方法论，采用一个系统方法，以国家法律和法规为基础，在军工单位的各个层面的人员进行讨论和辩论，使大家从各个层面考虑网络安全问题，是问题得到充分的认识和问题解决的考虑，使制定的安全策略得到全面的考虑，同样对军工单位的人员的一个安全教育。
安全策略出自对军工单位的要求、网络设备环境、军事机构规则、国家军事秘密法律约束等方面研究，在网络安全专家的协助下制定详细的规范，但仅仅使提供安全服务的一套准则，具体的实现需要各种网络安全防御技术提供的安全服务和安全机制来保障。军工单位的网络安全策略是一个动态策略，它是要在安全策略的执行过程中，实时进行监测，实时对各个层面的人员进行安全教育，对于出现的问题及时对安全策略进行修订和补充。
3 结语
各个国家的军工单位都是重点保护的对象，因为它拥有军事秘密信息，也是各种敌对势力、竞争对象、商业间谍进行网络攻击的目标，提高网络安全是军工单位网络边界的第一道防线，网络安全策略就是指导各种网络安全防御技术保障整个网络体系的安全。不要认为网络全策略仅仅是一个规则和制度，仅仅采购高级网络技术就可以了，军工单位的网络必须在网络安全策略的宏观指导下才能综合各种网络安全产品构建一个动态的安全网络，它是各个部分工作的规范，包括人员。网络安全策略是一个军工单位的核心，只有充分认识网络安全策略的动态发展过程，才能使军工单位充分使用网络的优点，也能保护好单位内部秘密。
参考文献
[1] 尹开贤.军工单位信息系统的安全保密形势与对策[C].第十一届“保密通信与信息安全现状研讨会”，2009（8）：186-187.
关键词：互联网；网络文化；网络安全；安全管理
中图分类号：TP393.08
从传统的传媒视角分析的话，媒介的转换主要可以分为四个阶段，分别是口耳相传阶段、手写传播阶段、印刷传播阶段以及电子传播的阶段。当前我们所处的传播阶段就是电子传播阶段。自从20世纪初以来，不管是产生自美国的广播传媒技术还是后来的电视传媒结束、网络传媒技术，这些媒介都是电子传媒手段。这些手段逐渐的成为了我们日常生活中了解外界咨询，乃至进行办公等的重要手段。尤其是在上个世纪末期悄然兴起的互联网技术，成就了传媒的新辉煌。不管是其对于传统传媒手段的冲击还是其对人们生活的改变，都成为了当代的一个重要的特点。互联网技术已经成为了当前人们不得不面对，也是人们必须要适应的一个新的生活方式。同时，我们反观技术本身，其在产生和兴盛知己，给我们的文化留下了深刻的印记。技术本身造就了传播和沟通的通道，同时传播的过程也改变了文化的进程。在这样的背景下，网络的安全问题和网络的文化问题也就势必成为了当代人们不得不关注的一个焦点。
1 网络文化的内涵
1.1 网络文化的内涵
网络文化是伴随着网络技术的不断发展和更新逐渐形成的。对于网络文化本身来讲，其形成的重要事件就是互联网硬件技术和软件技术的不断更新。在互联网流行的当代，网络文化本身还是一个全球化的产物。而对于网络文化来讲，其实依赖于互联网技术所形成的一种现代化的生活方式，也是全球化过程中的重要技术支撑和必然产物。其具备了鲜明的价值判断和直接的价值取向，直接的体现着现代化社会的精神观念以及制度标准。
作为迅速兴起的媒介形式，网络文化在长时间的发展过程中也有其本身的形成过程。网络的生活方式不管是在行为方面还是在生活习惯方面都逐渐的积累起来，成为了一种新的文化范畴。对于互联网本身来讲，掌握信息的处理方式和网络语言是最基本的生存基础。而加入到网络中也意味着进入到了一种新的生活体验中，在网上更换新的生活方式也就意味着一个新的文化主体诞生，网络主体本身是语言构成的，是虚拟的。但是，不管是不是虚拟的生活方式，也不管是不是虚拟的事件，只要加入到了网络中，就必然要按照网络的逻辑进行。网络文化也就在这样的逻辑概念中有了自身的生存空间，逐渐的形成了一个特定的文化范畴。
1.2 网络文化的特征
1.2.1 网络文化的最基本特征就是信息的爆炸存在
网络本身对于任何人来讲都不是封闭的，网络将全球的居民都联系在一起。网民本身不管是身份如何，都能够不受任何限制的接受网络中的内容，资源在网络中是共享的，当代社会的一个重要的特点就是信息的爆炸式增长，而网络也就为这样的信息扩张提供了一定的条件。在网络出现之前，还没有任何一种传媒形式能够提供如此的信息传递方式，包容如此多的信息资源。
1.2.2 网络文化是虚拟的
我们不能够否认，网络文化本身是根植在人类实际文化的基础上。但是，作为文化的创造者，人类本身也是文化的创造物。如果在网络的创建之初是人作为主体影响着网络文化的话，那么到了后期的网络运行规则和网络逻辑形成了之后，网络文化的成熟就使得人们必须要服从网络文化。网络逻辑开始成为网络主体的主导，这样的话就使得网络主体要想融入到网络中，就必须实现自身网络化。
在现实的世界中，文化空间是由无知和信息共同构成的。但是，在网络的实际文化层面上，仅仅是信息就能够构成一定的网络文化环境。网络的信息通过虚拟的方式，将现实中的一切体验都归结到最后的信息化体验。虚拟化的现实也促进网络的使用主体成为了一种虚拟化的生存，这样的生存模式也就是网络文化的形成过程。
2 网络文化与网络安全管理技术
对于不同的人来讲，道德方面的高度有很大的差距。在网络中，主体之间带有很强的隐秘性，这样的话就使得人们的道德底线再也不受任何的人控制，也不受一定的社会规则控制。但是，网络本身是没有任何的责任的，这个过程还是网络使用主体的问题。要想促进网络管理的安全，就要促进网络文化的发展和健全。
2.1 密码技术
对于网络的安全管理技术来讲，密码技术是比较普遍的一种技术。基于密码学的基本原理基础上，所开发建立的密码体制，本质上就是通过定义一对数据的变换所实现的。当前比较典型的是对称密码体制，其特征就是用户加密和解密的密匙是一样的，或者是两者之间非常容易推出。对称密码可以分为序列密码和分组密码，比较典型的就是DES。
当前，随着密码技术的成熟，大量的黑客都喜欢利用密码的规律和算法上的漏洞对网络进行攻击。当前，比较流行的算法有SSL算法（一种基于web的安全传输协议），IETF算法（将SSL标准化之后的算法）以及WTLS算法（一种适应无线环境要求下的，WAP环境TLS算法简化）。对于采用密码进行等级保护的，应当遵照《信息安全等级保护密码管理办法》、《信息安全等级保护商用密码技术要求》等密码管理规定和相关标准。
2.2 入侵检测技术
入侵检测技术是一个比较新兴的安全管理技术。其可以有效的弥补传统防火墙技术的缺点，能够有效的抵御网络内部的攻击，可以提供实时的入侵检测和相对应的手段。入侵检测技术的主要功能就是对网上的用户和计算机系统自身的行为实行分开检测，对于系统本身的安全性能，包括漏洞和配置进行一定的分析，对系统自身的安全性进行审计和评估。同时，能够对于已知的攻击行为和模式进行自动化的记忆和识别。对于计算机终端的客户行为和所连接的计算机系统异常行为可以进行统计和分析。对于计算机的操作系统可以进行持续的检测和跟踪。我们根据入侵检测系统的范围，可以分为主机型、网络型和型三种基本的方式。当前，随着IDS技术的不断完善，IPS系统也日趋完善起来。在IDS检测技术的功能上增加了主动响应功能。以串联的方式部署网络，其流程如下图1所示：
2.3 陷阱网络技术
相对于密码体制和入侵检测技术来讲，陷阱网络技术是比较新兴的技术。随着网络攻击技术的不断发展，网络的安全防护一直以来都处在一种被动的防御地位。针对这样的形式，人们开发了一种主动防御的网络安全防护技术，也就是我们所说的陷阱网络技术。
陷阱网络技术是基于网络自身的开放性而言的假定网络上的每一台主机都可能被攻击，同时，对于那些带有某种特定资源的系统所遭受攻击的概率会进行计算。这样的话，就能够提前布设相关的陷阱，从而有可能成功的将入侵者带入到一个受控环境中，降低正常系统受到攻击的概率和损失的程度。具体来讲依据国家保密标准BMB20-2007《涉及国家秘密的信息系统分级保护管理规范》进行规定。
3 结束语
我们要对网络的虚拟化现状有所了解，在网络极大的拓宽了人们的社会交往的基础上，也成为了一个社会性的存在。但是其本身也有异化的一个方面。网络文化的自由程度极其高，这就是异化的一个重要体现。人们社会在本质上是真实体现的，在这个过程中人本身的感性力量发挥了重要的作用。但是文明的基础永远不是网络的虚拟存在，而是人本身的个性张扬所带来的生命力量。
参考文献：
[1]樊梦.网络文化建设视角下的网络安全管理探析[J].网络安全技术与应用，2012（03）.
[2]魏友苏.议网络文化发展问题与管理思路[J].东南大学学报（哲学社会科学版），2008（S1）.
[3]陈垠亭.加强校园网络文化建设主动占领网络思想政治教育新阵地[J].河南教育（高校版），2007（11）.
[4]王淑慧，刘丽萍.网络文化安全对信息化教育系统的重要性分析[J].信息与电脑（理论版），2011（04）.
[5]姚伟钧.彭桂芳，构建网络文化安全的理论思考[J].华中师范大学学报（人文社会科学版），2010（03）.
[6]张怀萍.关于和谐社会建设中网络文化安全的思考[J].四川省干部函授学院学报.2010（02）.
