时间：2022-11-16 05:07:58
开篇：写作不仅是一种记录，更是一种创造，它让我们能够捕捉那些稍纵即逝的灵感，将它们永久地定格在纸上。下面是小编精心整理的12篇信息安全管理，希望这些内容能成为您创作过程中的良师益友，陪伴您不断探索和进步。
中图分类号：TP393 文献标识码：A 文章编号：1009-3044（2013）27-6080-03
人类进入信息化社会，社会发展对信息化的依赖程度越来越大，一方面信息化成果已成为社会的重要资源，在政治、经济、国防、教育、科技、生活等发面发挥着重要的作用，另一方面由于信息技术的迅猛发展而带来的信息安全事件、事故层出不穷，信息安全问题与矛盾日益突出。信息安全工程是一个多层面、多因素的、综合的、动态的系统工程，其包括关键基础设施及硬件安全、运行安全、软件安全、通信安全、人员安全、传输安全、网络安全、人员安全等。组织要实现信息安全目标，就必须建立一套行之有效信息安全管理与技术有机结合的安全防范体系。信息安全管理包括制定信息安全策略（包括计划、程序、流程与记录等）、风险评估、控制目标的选择、控制措施的实施以及信息安全管理测评等。管理大师德鲁克曾经说过“无法度量就无法管理”[1]，强调了测量对组织管理的重要意义，信息安全管理同样也离不开测评。如何对信息安全管理有效性等进行测量，根据测量的结果对组织信息安全管理情况进行评价并进一步指导信息安全管理，提高信息安全管理能力和水平，目前已经成为信息安全领域的一个研究热点[2]。
信息安全管理测评是组织围绕信息化持续发展与信息安全保障的现状和未来综合能力的反映，不仅是对过去和现在的能力展现，而且为未来发展提供保障和动力。在我国，目前关于信息安全管理测评研究刚处于起步阶段，还没有一套可供使用的信息安全测评体系标准、方法等。因此，开展信息安全管理测评研究，对组织信息化建设既具有重要的现实意义也具有长远的持续发展意义。
1 信息安全管理测评发展综述与需求
关于信息安全测评，美国早在2002年通过的《联邦信息安全管理法案》中就要求各机构每年必须对其信息安全实践进行独立测评，以确认其有效性。这种测评主要包括对管理、运行和技术三要素的控制和测试，其频率视风险情况而定，但不能少于每年一次。在独立评价的基础上，联邦管理与预算局应向国会上报评价汇总结果；而联邦审计署则需要周期性地评价并向国会汇报各机构信息安全策略和实践的有效性以及相关要求的执行情况。
2003年7月，美国国家标准与技术研究所（National Institute of Standards and Technology，NIST）了NIST SP 800-55《信息技术系统安全测量指南》，其包括以下内容[3]：
1） 角色和职责：介绍发展和执行信息安全测量的主要任务和职责。
2） 信息安全测量背景：介绍测量定义、进行信息安全测量的好处、测量类型、几种可以进行信息安全测量的控制、成功测量的重要因素、测量对管理、报告和决策的作用。
3） 测量发展和执行过程：介绍用于信息安全测量发展的方法。
4） 测量项目执行：讨论可以影响安全测量项目的技术执行的各种因素。
5） 以附件的形式给出的16种测量的模板。
2004年11月17日，美国的企业信息安全工作组（Corporate Information Security Working Group，CISWG）了CISWG CS1/05-0079《带有支撑管理测量的信息安全计划要素》[4]，2005年国际标准化组织（ISO/IEC SC27）提出了信息安全管理体系（Information Security Management Systems，ISMS）的系列标准——ISO27000系列。2005年1月10日又了修订版，并作为针对ISO/IEC 2nd WD27004 的贡献文档提交给ISO/IEC JTC1 SC27，该文档是根据CISWG的最佳实践和测量小组的报告改编。
2005年8月31日，美国国际系统安全工程协会（International System Security Engineering Association，ISSEA）针对ISO/IEC 2nd WD 27004向ISO/IEC JTC1 SC27提交了题为“ISSEA Contribution Background”[5]（ISSEA测量的贡献背景）和“ISSEA Metrics”[6]（ISSEA测量）两个贡献文档。
2009年国际标准化组织（ISO）了ISO/IEC 27004：2009（信息技术一安全技术一信息安全管理测量）标准，为如何建立及测量ISMS及其控制措施提供了指导性建议[7]。
信息安全管理体系是信息安全保障体系的重要组成部分。近年来，随着组织对信息安全保障工作重视程度的日益增强，不少组织都依据标准GB/T 22081-2008建立了一套比较完善的ISMS来保护组织的重要信息资产，但是体系建立起来了，不少管理者都对ISMS的运行效果极其控制措施的有效性，持怀疑的态度。故此组织很有必要建立一套相应的测评方法来全面的对ISMS的运行情况进行科学的评价，进一步提升ISMS的执行力。该文研究的信息安全管理测评将为确定ISMS的实现目标，衡量ISMS执行的效力和效率提供一些思想、方法，其结果具有客观的可比性，还可以作为信息安全风险管理、安全投入优化和安全实现变更的客观依据，有助于降低安全风险，减少安全事件的概率和影响，改进安全控制和管理过程的效率或降低其成本。
2 信息安全管理测评研究内容
信息安全管理测评是信息安全管理体系的重要部分，是信息安全管理测量与评价的综合。信息安全管理测量的结果是信息安全绩效评价的依据。信息安全管理测量比较具体，信息安全管理评价则通过具体来反映宏观。
2.1 信息安全管理测评要素及其框架
信息安全管理测评要素包括：测评实体及其属性、基础测评方式、基础测评变量、导出测评制式、导出测评变量、测评方法、测评基线、测评函数、分析模型、指示器、决策准则、测评需求和可测评概念等，其框架如图3.1信息安全测评框架所示，包括：基于什么样的需求来测评（即测评需求），对什么进行测评（即实体及其属性），用什么指标体系来测评（包括测评制式、测评变量和测评尺度），用什么方法来测评（即测评方法），用什么函数来计算测评结果（即测评函数），用什么模型来分析测评结果（即分析模型），用什么方式来使分析结果能够辅助决策（即指示器）等问题。
信息需求是测评需求方提出的对测评结果信息的需求。信息需求源自于组织的使命和业务目标，与相关利益者的利益诉求密切相关。指示器的生成和分析模型的选择是以信息需求为导向的。
决策准则是一种决定下一步行为的阈值。他有助于解释测评的结果。决策准则可能出自或基于对预期行为在概念上的理解和判断。决策准则可以从历史数据、计划和探索中导出，或作为统计控制限度或统计信心限度计算出来。
可测评概念是实体属性与信息需求之间的抽象关系，体现将可测评属性关联到信息需求以及如何关联的思想。可测评概念的例子有生产力、质量、风险、绩效、能力、成熟度和客户价值等。实体是能通过测评属性描述的对象。一个实体是测评其属性的一个对象，例如，过程、产品、系统、项目或资源。一个实体可能有一个或多个满足信息需求的属性。实践中，一个实体可被归类于多个上述类别。他可以是有形的也可是无形的。信息安全管理测评的实体包括信息安全管理体系建立过程中所有的控制项（信息安全管理测评要素）。属性是实体可测评的、物理的或抽象的性质。一个属性是能被人或自动手段定量或定性区分的一个实体的某一特性或特征。一个实体可能有多个属性，其中只有一些可能对测评有价值。测评模型实例化的第一步是选择与信息需求最相关的属性。一个给定属性可能被结合到支持不同信息需求的多个测评构造中。信息安全管理测评主要测评的是每一项控制措施的属性（信息安全管理测评指标）。
测评是以确定量值为目的的一组操作。信息安全管理测评是确定控制项的每一个具体指标的一组操作，可以有多种测评方法。基础测评是依照属性和定量方法而定义的测评方法，是用来直接测评某一属性的，是根据属性和量化他的方法来定义，他捕获单独属性的信息，其功能独立于其他测评。信息安全管理基础测评是对于控制项的指标可以直接测评出来的量。导出测评是通过测评其他属性来间接地测评某一属性的测评，是根据属性之间的关系来定义，他捕获多个属性或多个实体的相同属性的信息，其功能依赖于基础测评的，是两个或更多基础测评值得函数。
测评尺度是一组连续或离散的数字量值（如小数/百分比/自然数等）或离散的可数量值（如高/中/低/等）。测评尺度是规范测评变量取值的类型和范围。测评方法将所测评属性的量级影射到一个测评尺度上的量值后赋给测评变量。
测评尺度根据尺度上量值之间关系的性质分为四种类型：
名义（Nominal） ：测评值是直呼其名。
序数（Ordinal） ：测评值是有等级的。
间隔（Interval） ：测评值是等距离的，对应于属性的等量，不可能是零值。
比率（Ratio） ：测评值是等距离的，对应于属性的等量，无该属性为零值。
测评单位是作为惯例定义和被广泛接受的一个特定量。他被用作比较相同种类量值的基准，以表达他们相对于此量的量级。只有用相同测评单位表达的量值才能直接比较。测评单位的例子有公尺、公斤和小时等。
测评函数是将两个或更多测评变量结合成导出测评变量的算法。导出测评变量的尺度和单位依赖于作为函数输入的测评变量的尺度和单位以及他们通过函数结合的运算方式。分析模型是将一个或多个测评变量转化为指示器的算法。他是基于对测评变量和/或他们经过一段时间的表现之间的预期关系的理解或假设。分析模型产生与信息需求相关的评估或评价。测评方法和测评尺度影响分析模型的选择。
测评计划定义了测评实施的目标、方法、步骤和资源。测评频率是测评计划的执行频率。测评计划应按规定的频度定期地或在必要的时候不定期地执行。定期执行的规定频度应建立在信息效益的需求与获得他的成本之间的折中，可以是每周、每月、每季度或每年等。不定期执行的必要时候包括ISMS初始规划和实施以及ISMS本身或运行环境发生重大变化。
2.2 信息安全管理测评量表体系
任何测评都必须具备参照点、单位和量表三个要素。信息安全测评指标体系是信息安全测评的基础，是对指定属性的评价，这些属性与测评需求方的信息保障需求相关联，对他们进行评价为测评需求方提供有意义的信息。其总是以满足其信息保障需求和方便易理解的方式呈现给测评需求方的。标准GB/T 22081-2008是进行信息安全管理所参照的标准，其从信息安全方针、信息安全组织、法律法规符合性等11个方面，提出了133个控制措施供使用者在信息安全管理过程中选择适当的控制措施来加强信息安全管理。该标准所提供的控制措施基本能覆盖信息安全管理的各个方面。在建立信息安全管理测评指标体系的实践中，通常以控制措施的实施情况作为指标，建立预选指标集，通过对预选指标集的分析，采用专家咨询的方式筛选出能全面反映信息安全管理有效性的具体指标。
3 信息安全管理测评方法探讨
测评方法通常影响到用于给定属性的测评尺度类型。例如，主观测评方法通常只支持序数或名义类型的测评尺度。测评方法是使用指定的测评制式量化属性的操作逻辑序列。操作可能包括计算发生次数或观察经过时间等。同样的测评方法可能适用于多个属性。然而，每一个属性和测评方法的独特结合产生一个不同的基础测评。测评方法可能采用多种方式实现。测评规程描述给定机构背景下测评方法的特定实现。
测评方法根据量化属性的操作性质分为两种类型：
主观：含有人为判断的量化。
客观：基于数字规则（如计数）的量化。这些规则可能通过人或自动手段来实现。
测评方法的可能例子有：调查观察、问卷、知识评估、视察、再执行、系统咨询、测试（相关技术有设计测试和操作有效性测试等）、统计（相关技术有描述统计、假设检验、测评分析、过程能力分析、回归分析、可靠性分析、取样、模拟、统计过程控制（SPC， statistical Process control） 图和时序分析等）。
4 结束语
当前，信息安全领域的测评研究多侧重于对技术产品、系统性能等方面的测评，其中信息安全风险评估可通过对重要信息资产面临的风险、脆弱性的评价掌握组织的信息安全状况；信息安全审计则只是对信息安全相关行为和活动提供相关证据；而信息安全管理评审则是符合性审核，他们都不能对信息安全管理的有效性以及信息安全管理中采取的控制措施的有效性做出评价。因此，非常有必要对信息安全管理的有效性进行测评，这将有助于了解信息安全管理过程中所采取的控制措施的有效性以及控制措施的执行情况，为管理者决策提供依据，也能为组织信息安全管理过程的持续改进提供足够的帮助，达到更好地管理信息安全的最终目的。
参考文献：
[1] 闫世杰，闵乐泉，赵战生.信息安全管理测量研究[J].信息安全与通信保密，2009，5：53.
[2] 朱英菊，陈长松.信息安全管理有效性的测量[J].信息网络安全，2009，1：87-88.
[3] Nist N. 800-55. security metrics guide for information technology systems[J]. NIST paper， 2003.
[4] CISWG CS1/05 -0079. Information Security Program Elements with Supporting Management Metrics ， Adapted from the report of the Best Practices and Metrics Teams ， Corporate Information Security Working Group （ CISWG ） ， 2004-11-17 （ Revised 2005-01-10 ）.
[5] ISO/IEC JTCI SC27 N4690 ISSEA Liaison Organization 's cofnfnents on SC27 N4474 ISO/IEC 2nd WD 27004 Information technology-Security techniques-Information Security management metric and measurement （in response to document SC27 N4485revl），2005-08-31
一、生机与准危机中的检察信息系统
我国检察机关的信息化建设从2000年起步至今，经历了由点及面，由弱渐强的发展阶段，并在全国范围内初步形成了较为系统的信息一体化网络。随着“科技强检”进程的逐步深入，检察人的传统思维和工作模式势必会经历前所未有的变化。也正是在这种网络化日盛的趋势下，检察机关的信息化建设成为了检察事业发展的重要课题。
1、检察信息网络建设的现状
按照高检院“213”工程和全国检察机关信息化建设工作“统一规划、统一技术、统一规范、统一应用软件和统一归口管理”的原则，目前全国省市级检察机关的二级专线网络已经逐步进入应用阶段，市级院与省级院以及省级院与高检院之间的专线电话、视频会议和计算机数据传输的“三网合一”也基本能够实现，而且一些技术较为先进的地区也率先完成了三级专线网络的搭建。部分基层检察院的内部局域网络已经能够将检察业务、办公事务、综合业务和全面检索等应用系统运用于实际的检察工作中，同时依靠较为成型的网络系统，并辅之以充足的数据库资源，保证了上下级院之间直接的视频、数据、语音的传输，并基本满足了与其他兄弟院之间进行广泛数据交换的互联要求。
2、检察信息系统的应用状况与面临的困惑
检察信息系统是检察业务工作同以计算机技术为核心的信息技术相结合的产物，是管理科学与系统科学在检察业务实践中的具体应用。检察信息化水平的高低是判断检察工作的重要标尺。目前在我国，检察机关已不同程度地将计算机作为办公、办案的必要辅助工具，检察人员的计算机应用能力较之几年前有了相当程度的提高，检察业务软件、网络办公软件以及其他的辅助处理软件也普遍地应用于日常的工作之中。同时，相当一部分检察院已经开通了网站，并通过这一媒介，信息、收集反馈，形成了具有自身特色的网络工作平台。可以说，检察信息化的不断普及为全面建设和完善检察信息系统提供良好的契机，同时也奠定了应用与发展的必要基础。
当然，在肯定成绩的同时，我们也应清醒地认识到现阶段检察信息化建设中存在的诸多不足。首先，目前我国检察机关信息化建设还处于刚刚起步阶段，网络应用水平普遍不高，绝大多数的应用还仅局限于检察业务的某些小的领域，单项应用较为普遍，大而全、广而深的应用体系尚未成型。其次，检察信息技术主要仍以平民技术为主，专业化、职业化的应用并不理想，在缺乏相关专业人才的情势下，技术水平较为幼稚，系统的标准化、通用性和易用性都还处于较低的层面。再则，目前检察机关网络信息化建设与检察业务实际存在明显的脱节，检察业务软件的开发与维护还有许多不尽如人意之处，检察信息系统的网络互连效果以及安全保密功能还有待进一步加强。
客观地讲，当前的检察信息系统仍处于探索和成型阶段。做个不形象的比喻，如果将未来成熟的检察信息系统拟制为一个健康的成年个体的话，目前的检察信息网络则像一个处在哺乳期的婴儿，四肢俱全，生机无限，但未脱襁褓，需要给予更多的关注。
二、流行在检察信息系统中的sars――网络不安全因素。
网络中的不安全因素，之所以称其为sars，并非危言耸听。在当前的检察信息网络中，存在着种种高危的“致病”因素。这些因素往往显见的或潜在的、习惯的或不经意的影响着检察信息系统的稳定和安全。
1、病毒入侵与黑客攻击
网络病毒的入侵、感染与黑客的恶意攻击、破坏是影响当前检察信息网络安全的主要因素。目前，全球发现的病毒数以万计，并以每天十种以上的速度增长，可以说每时每刻网络都在经受着新的病毒或其变种的冲击。通过网络渠道传播的蠕虫病毒、木马程序以及脚本病毒，不管从传播速度、破坏性还是波及范围都让人不可小视。
而对于网络系统而言，黑客攻击较之病毒威胁则更加让人防不胜防。互联网20多万个黑客网站上，提供了大量的黑客技术资料，详细地介绍了黑客的攻击方法，并提供免费的攻击软件。在网络立法十分匮乏、跟踪防范手段有限的今天，面对网络黑客针对操作系统以及应用软件漏洞的频繁地、具有隐蔽性的攻击，我们所要承受的威胁往往是毁灭性的。
2、网络硬件、软件方面存在的缺陷与漏洞
检察信息网络主要是以各级检察机关的局域网作为其构成单元。与银行、邮电等行业相比，目前，检察机关的局域网建设还存在着明显的差距。从硬件上讲，检察系统的网络产品尤其是关键部位的配套设施还相对较为落后，核心部件的性能还不能完全满足检察机关信息化的发展要求。虽然，部分检察局域网络在某些应用功能上能够基本满足网上办公和无纸化办公的现实需要，但长远地讲，目前检察机关局域网内部的数据交换设备、服务器设备以及网络硬件环境的合理性与稳定性并不容乐观，如不给予足够地重视，势必会给网络运行的稳定和安全留下隐患。
在软件方面，由于网络的基础协议tcp/ip本身缺乏相应的安全机制，所以基与此存在的任何网络都无法摆脱不安全因素的困扰。而目前广泛运行在检察网络中的微软windows操作系统更是破绽百出，由于默认的情况下系统开放了绝大多数的端口，所以使得监听和攻击变得轻而易举、防不胜防。再加之相当数量的办公软件与网络软件自身开发的局限性，存在着这样或那样的bug，同时软件的后期服务又不可避免具有滞后性，所以形容当前的网络“风雨飘摇”一点也不为过。
3、使用人员的不良习惯与非法操作
如果将以上两点看作是病源和病毒的话，那么人的因素可能就要算作是将二者紧密结合，产生巨大破坏作用的主要媒介了。客观的讲，目前检察机关的网络操作水平仍处在相对较低的水平，网络使用者中普遍存在着操作不规范和软件盲目应用的现象。相当一部分检察网络用户对于网络存储介质的使用缺乏安全和保密意识，对硬件的维护缺少必要的常识，带来数据在存储与传递环节不必要的隐患。同时，由于操作熟练程度的原因，网络中的误操作率相对较高，系统宕机的情况时有发生，一方面造成了网络资源的浪费，另一方面也给本地数据带来了一定的危险。
此外，由于检察机关的业务工作与实际应用的需要，所以局域网用户的权限相对较高，使用者的操作空间相对较大。部分具有较高计算机水平的用户，会利用授权非法地进行系统设置或通过黑客软件的帮助突破权限获取其他用户信息乃至信息。这些恶意行为的出现，不仅扰乱了网络内部的正常秩序，同时也为更多“偷窥者”大开方便之门。
4、网络管理与相关制度的不足
网络信息系统三分靠建，七分靠管。严格的管理与健全的制度是保障检察信息系统安全的主要手段。但是事实上，目前各级检察机关的信息系统并没有建立起较为健全、完善的管理制度，网络管理缺乏严格的标准，大多数检察机关仍采取较为粗犷的管理模式。主要表现在：
第一，网络管理仅仅作为后勤保障工作的一部分，缺乏必要的领导机制，重视程度有待进一步加强。
第二，网络管理人员充当“消防员”，以“排险”代“管理”，缺乏全民“防火意识”，干警的信息安全责任感亟待提高。
第三，网络管理缺乏必要的程序性规则，在遇到突发事件时，往往容易造成网络系统的内部混乱。
第四，网络信息收集、整理工作不够细致，网络内部机器的跟踪机制还不尽如人意。在用户应用相对随意性的条件下，往往出现“用而不管，管却不能”的尴尬局面。
第五，与安全级别相适应的网络安全责任制度还没有完全建立，使用者的网络操作安全风险没有明确的承担主体，所以使用中缺少必要的注意。网络管理在“使用免责”的情况下，很难形成安全防护的有效底线。
三、构想中的检察信息系统安全防范体系
针对以上问题，笔者认为，要建立、健全检察信息系统的安全防护体系首先需要从检察机关信息安全性的要求出发，充分结合当前检察信息网络的建设现状，从整体上把握，重规划，抓落实。其次，要摒弃一劳永逸的短期行为，在网络项目投入、网络设施建设上做好长期的规划，同时应具有适当的超前性，从检察信息化长远的发展趋势着眼，保持投入的连续性，积极追求网络效能的最大化。其次，在信息化建设的过程中，检察机关还应充分重视制度化的建设，形成较为完善的保障体系，使得网络的运行与管理能够在正确的轨道上持续发展。当然，强调整体规划与设计的同时，我们还应认真做好网络应用技术的普及与网络安全意识的培养工作，将检察信息系统中源于技术局限以及使用者主观因素而产生的种种隐患和损失降到最低程度。
基于上述几点构想，下面笔者将从实际的应用出发，对检察信息安全防范体系的具体实现，作细化论述：
第一，做好检察信息系统整体的安全评估与规划，为安全防范体系的构建奠定基础。
检察机关的网络信息化建设有别于其他应用网络的一个显著特征就是对于安全性有着更为严格的要求。在构造安全防范体系的过程中，我们需要全面地了解自身网络可能会面临怎样的安全状况，这就使得我们不得不对譬如网络会受到那些攻击，网络系统内部的数据安全级别是何等级，网络遭遇突发性安全问题时应如何反应，局域网络内部的域应怎样设定，用户的权限应给予哪些控制等问题进行初步地认定和判断。通过进行安全评估，确定相应的安全建设规划。
当然，在加大投入的同时，也应当正确处理安全成本与网络效能之间的辩证关系，切忌将安全问题绝对化，不能让安全设备和手段的使用降低网络应用的实际效果，寻求可用行与可靠性的平衡点。在安全建设中要注重网络安全的整体效果，尽量运用较为成熟、稳定的软、硬件及技术，同时，针对目前检察网络所采用的微软系统平台，借助于win2000操作系统的域控制功能，对网络的内部结构进行划分、管理，从而既满足了对内部用户的管理要求，同时又在双向信任关系的域－森林结构中实现同级、上下级院之间的安全信息交流。
第二，加强网络安全组织、管理的制度化建设，从制度的层面构造安全防范体系。
健全检察机关网络安全管理的关键在于将其上升到制度的层面，以制度化促进管理的规范化。网络安全管理的制度化建设需要做好两方面的工作，首先要建立明确的安全管理组织体系，设置相应的领导机构，机构以院主管领导、技术部门领导、网络管理人员、网络安全联络员组成，全面负责局域网的日常维护、管理工作。网络安全联络员由各科室选定，负责本部门网络应用过程中的信息上报和反馈工作。网络管理领导小组可以根据全院的实际情况，协调管理人员进行及时的维护，这样不仅有利于人员分工、整合，同时也保证了网络管理的有序进行。其次，要加快网络安全管理的规范性章程的制定，将网络管理的各项工作以制度化的形式确定下来。具体来讲，要尽快形成信息系统重要场所、设施的安全管理制度，例如服务器机房的管理制度；要尽快制定网络安全操作的管理制度，尤其是网络用户的软件使用与技术应用的规范化标准；同时，也要进一步研究网络遭遇突发事件时的安全策略，形成网络安全的应急保障制度，并针对网络安全责任事故进行制度化约束，追究责任人的主观过错。
当然，制度化建设应当包含检察信息网络管理的各个方面，远非以上几点，它需要我们在补充、修订的过程中不断健全、完善。
第三，提高网络应用与管理的技术水平，弥补自身缺陷，减少外来风险。
在当前检察信息网络的安全威胁中，病毒及恶意攻击可能是其最主要的方面。但我们应清醒地认识到，任何的病毒与黑客技术都是针对网络系统的漏洞而发起的。而在网络应用过程中，大多数使用者对于病毒及外来攻击的恐惧往往要大于对自身系统漏洞的担心。要解决这一问题，首先要使网络用户对网络病毒及黑客攻击有必要的认识，并了解病毒感染的主要渠道，同时要加强网络应用的规范化培训，整体提高操作的技术水平，最大程度地减少人为因素造成的安全隐患。此外，在网络管理中，对操作系统的漏洞应及时的安装安全补丁，并留意微软定期的安全公告，关闭操作系统中并不常用的默认端口，防止为恶意攻击留下“后门”。同时，对网络中的应用软件进行全面检查，尽量避免使用来历不明的盗版软件，将软件的选择导向正版化、网络化的轨道，逐渐减少对于盗版软件、试用版软件以及共享版软件的依赖。
同时，充分利用win2000系统的域功能，严格控制网络客户端机器的超级用户帐号，设定所有用户必须登录域中进行网络操作，设定所有用户（预留guest帐号可以另外处理）的ip地址和网卡物理地址进行绑定、所有无需移动办公的用户帐号和ip地址绑定，实施严密的身份识别和访问控制。
第四，加强应急策略下的物理安全、数据保护与日志管理，健全安全保障体系。
硬盘的损失或失窃，就意味着所有原始信息的丢失或泄密；服务器的损坏或停机，就意味着网络服务的停顿；交换机的损坏，就意味着网络连通的中断。所以在信息安全的所有方面中，计算机的物理安全是最基本的问题，计算机物理安全得不到保障，其他的一切安全措施都是空谈。而计算机的物理安全的保护，除了要有必要的安全防护设备外，更重要的是必须建立完善的管理制度，以管理来保障安全。
关键词：云计算；地理信息；安全管理
中图分类号：C93 文献标志码：A 文章编号：1673-291X（2014）30-0269-03
地理信息数据是用来表示与空间地理分布有关信息的数据，是地表物体和环境固有的数据、质量、分布特征，联系和规律性的数字、文字、图形、图像的总称[1]。近年来随着城市建设的加快及地理信息产业的发展，地理信息应用已从专业领域应用拓展到面向大众和政府部门，尤其是在当前网络化、数字化时代，地理信息数字产品的获取、访问、传播、复制更为便捷，导致严重违法、侵权行为屡禁不止，而部署规范的保密设备成本较为昂贵，因此，切实保证地理信息数据特别是地理信息数据的安全管理，成为摆在地理信息从业者面前一个非常重要的议题。
在科学技术的带动下，信息数据的处理需求从单机处理逐渐转向网络处理，传统模式下的C/S及B/S架构的部署结构已经不能满大量的数据处理需要，计算模式逐步经历并行计算、集群计算、网格计算并向云计算转型。云计算被认为是继个人电脑、互联网之后信息技术的又一次重大变革，将带来工作方式和商业模式的根本性改变。本文以云计算技术为基础，针对云技术在地理信息安全管理中的应用、部署及效益展开综合研究，提高地理信息管理的安全性和高效性。
一、云计算内涵及特征
（一）内涵界定
云计算提出以来，受到了社会各界的广泛关注，尤其是Google、Microsoft 和IBM等公司都投入了大量资金和人员，积极地研究和部署云计算，并提供云计算商业服务。但是关于云计算的概念目前尚未统一，较为广泛认同的是由美国国家标准和技术研究院（NIST）提出的即云计算是一种通过网络以便捷、按需的形式从共享的可配置的计算资源池（这些资源包括网络、服务器、存储、应用和服务）中获取服务的业务模式[2]。
（二）分类与特征
通过使计算分布在大量的分布式计算机上，而非本地计算机或远程服务器中，数据中心的运行将与互联网更相似，使用户能够将资源切换到需要的应用上，根据需求访问计算机和存储系统。按照云资源共享的范围，可分为公有云、私有云和混合云三种类型[3]。云计算具备的主要特征包括资源配置动态化、需求服务自助化、以网络为中心、服务可计量化、资源的池化和透明化。
（三）架构体系
云计算架构的底层是硬件和操作系统的基础设施；第二层是软件的系统和管理平台，包括一组部署管理软件、虚拟化组件和云计算管理系统；第三层为云计算提供的各种虚拟机；最上层是虚拟机的组合形成了各个具体的云计算使用中心，也完成了各中心对计算资源的动态和虚拟分配[4]。
二、云计算在地理信息安全管理中的主要应用
云计算的出现为地理信息的采集、存储和应用提供了新的思路，促进地理信息的数据采集、数据存储、数据的准确性、数据使用的发展。
（一）数据采集
通过一个基于云的地理信息采集软件来将每一个终端采集来的数据信息上传到云存储中，提高了地理信息数据采集的便捷性和数据的实时现势性。
（二）数据存储
传统的方式是将地理信息存储分散的服务器或计算机上，数据往往难被有效的利用。在云技术中，可针对地理信息数据庞大、冗杂的特点，可通过云技术将数据存储在云端，为用户存储和管理数据提供了更大的空间，解决海量数据动态存储的问题，还能够提高数据使用效率。
（三）数据更新
地理信息具有实时更新的特点，提高数据的实时性、现势性对数据质量意义重大。云技术允许所有被授权的云用户都从云终端上下载实时的地理信息数据，从而大大提高了地理数据准确性、实时性，实现地理信息的实时更新使用。
（四）数据使用
云用户只要连接云终端就能用一台普通PC机（客户端）获取和应用地理信息数据，大大提高了地理信息数据使用的效率和便捷性。
三、云计算在地理信息安全管理中部署模式
综合云技术与地理信息技术的特点，结合现实工作的需求，制定针对性的部署方案，建立一套地理信息云平台，将云计算更好地应用到地理信息安全管理工作中。
（一）现状与需求
作为基础地理信息数据、规划、国土、房管业务数据的管理应用部门，我们在日常工作已建立了一套与互联网物理隔离的局域网络，为每一台数据处理计算机安装保密机箱，但是使用和管理过程中仍在诸多不便。
通过建立地理信息云平台，实现如下目标：（1）网络安全：平台必须运行在与互联网物理隔离的独立网络中，防止外部黑客通过互联网对平台进行网络攻击或数据窃取；（2）数据监管：数据存储不依附于本地终端，所有数据都在服务器端集中操作，可以最大限度防止数据在终端的丢失危险；（3）数据备份机制：建立统一的存储备份体系，在数据遭到破坏后能还原到完整状态，确保数据安全；（4）访问控制：能够在平台内设置授权访问规则，不允许网内的非法授权访问平台数据；（5）提高现有硬件利用率：平台能够把现有网络硬件进行整合，而不需大量购买额外的硬件设备，从而节约成本；（6）弹性的运行资源调度：能够根据系统运行压力，在系统资源不够应付访问压力的情况下，自动调度空余的计算资源给压力较大的用户。
（二）部署方案
1.平台选型
当前在私有云领域比较成熟的平台有IBM 公司的Blue Cloud，甲骨文公司的VDI平台以及VMware平台。VMware是一个通过桌面到数据中心虚拟化的解决方案来降低成本和运行费用、确保业务持续性、加强安全性。结合经济和技术考虑，采用VMware方案部署地理信息私有云平台。
2.整体架构
本次平台部署选用VMware私有云平台，采用all-in-one的部署方案把所有私有云软件都安装在一台服务器，整体架构如下：
3.资源配置
将现有计算机资源整合到云端，管理员根据用户使用需求合理分配资源，具体资源分配情况（见下表）：
（三）运行情况
经部署调试，地理信息云平台运行稳定，计算机资源经过整合优化后运行能力提高，数据统一存储于服务器，通过建立备份机制、访问控制机制，加强地理信息数据安全管理，提高数据使用便捷性。
四、云计算在地理信息安全管理中的效益分析
通过理论研究与实践，将云计算应用到地理信息安全管理工作中，可以实现如下效益：
（一）基础架构效益
充分发挥服务器计算资源，将原来用于业务环节的各类服务器的计算利用率，预计可将计算资源利用率提高70%～200%；更短时间、更少IT人员保障业务高可靠性；将原来过多的物理服务器整合到更少的服务器的虚拟环境中，节约空间，提高整合比。
（二）经济效益
经济效益主要为：（1）降低能耗：在一台服务器上运行多个操作系统和应用，使新的硬件支持老的应用；现有硬件可以支撑更多硬件，节省电力、制冷成本；（2）降低成本：用虚拟架构在将来准备上的新应用，不必再单独采购新的物理服务器、PC机；推迟购买新的物理硬件，节约硬件成本重复投入；（3）降低运维成本：由于服务器数量的减少以及PC机的取消，将降低运维的复杂度和成本；（4）降低终端成本：员工办公环境机器成本，并通过动态授权，减少软件的授权费用。
（三）运维管理效益
传统方式下，运维成本非常高。如果一台物理服务器损坏了，从恢复到业务正常上线最少要花费几小时，造成的损失无法估量；而虚拟化之后，可以在数分钟之内恢复业务到正常状态，对于业务部分的服务器来说更为重要，从而解决了管理的时间与成本，提高了业务的可靠性。同时，由于PC机的取消，原来用以维护PC机故障的工作得以消失，会大大减轻低端运维的工作量，降低运维难度。
（四）应用效益
可以在网络通达的任何时间、地点安全地访问桌面，提高业务的灵活性；借助基础架构―服务器虚拟化，将新员工或老旧物理机器换为虚拟机，可将碳排放量降低80%之多，节能60%以上；由于所有数据都保存在服务器中，用户终端上不存储任何文档与数据，从而避免了数据信息泄密的发生。
综上所述，云计算在地理信息安全管理工作中应用广泛，模式日渐成熟，提高管理质量和使用效率的同时，在架构效益、经济效益、运维效益、应用效益等方面较为显著，在地理信息安全管理领域具备较好的应用前景。
参考文献：
[1] 戴金英.地理信息数据的安全管理[J].城建档案，2010，（6）：23-24.
[2] MELL P，GRANCE T.NIST SD 800-145，The NIST difinition of cloud computing[S].Gaithersburg，MD：NIST Special Publication，2011.
1.1计算机信息安全技术问题
出现计算机信息安全问题，证明计算机信息安全技术的防护还存在漏洞，对计算机的信息安全构成威胁。黑客、病毒、恶意软件的入侵，会导致原有的计算机系统瘫痪，安全技术不到位，计算机的安全防线会被攻破，进而感染计算机病毒或信息被泄露，可出现一系列的信息安全问题。另外，在进行数据传输时，隐私、信息会存在泄密的危险，若系统不够严密，随时会受到病毒的侵扰，用户的信息安全受到威胁。以上信息安全问题，归咎于信息安全技术不够严密，数据安全仍受到严重威胁。
1.2计算机信息安全管理问题
在计算机信息安全管理中，用户对信息管理的重视程度不够，缺乏足够的信息安全管理意识，往往忘记备份，一旦数据丢失，会造成不可估量的损失。另外，缺乏严格的计算机信息安全管理制度，没有对账号、密码等重要信息加强管理，都是计算机信息安全管理中存在的重要问题。现代企业的发展离不开计算机信息网络技术，随之带来一系列的安全问题，而计算机信息管理者们没有做好信息安全的应对措施，出现问题时，缺少应急方案，最终导致数据遭窃或丢失。
2加强计算机信息安全管理的有效策略
2.1优化计算机信息安全技术
2.1.1采用数字加密技术
为了加强计算机信息安全管理，优化计算机信息安全技术，采用数字加密技术，为保护计算机信息安全增添屏障。数字加密技术是利用数字来锁定信息、数据，保证数据在传输过程中不会被窃取或泄露，整个传输过程都处于加密状态，只有破解数字才能得到信息，这是保障信息安全的一种有效方式。采用数字加密技术，可以隐藏重要信息，利用数据水印、指纹等方式隐藏数据，以提升数据的安全性，是计算机信息安全技术中实用性最强的安全技术。
2.1.2采用防火墙技术
防火墙技术是利用防火墙这个屏障来阻挡病毒、木马、黑客、恶性软件，等等，以达到保护计算机信息的目的。防火墙通过对数据、信息的过滤，对信息的安全性予以分析和鉴别，将可疑性对象阻隔在外，控制和管理非法入侵者，防止外部用户对内部网络的访问，以避免出现信息窥探或丢失。防火墙具有很强的阻隔性，将网络分成内部网络和外部网络，注重对恶意信息的过滤，将携带非法身份的对象遏制在外。同时，要绑定计算及网络的IP地址和MAC地址，避免他人利用假IP地址侵入计算机系统。
2.1.3采用入侵检测技术
在计算机网络运行过程中，应安装入侵检测系统，一旦有黑客、木马、恶意软件闯入，就会被检测出来，将其阻隔在外，避免对有效信息的窥探和窃取。入侵检测技术具有很强的防御能力，能对非法对象的侵入做出积极反应，达到保护计算机信息安全的目的。
2.2提升计算机信息安全管理水平
2.2.1提升用户信息安全管理意识
计算机信息安全问题的不断出现，与用户的信息安全管理意识薄弱有关。为了加强对计算机信息安全的管理，应从用户本身着手，提升用户对计算机信息安全重要性的认识，在利用网络平台时，应增强个人警惕性，加强对自己重要信息的加密保护，尤其是对账号、密码、身份证号等信息的保护，以避免造成信息泄露或被盗窃现象。
2.2.2提高网络人员的专业素质
为了实现对网络信息的安全管理，应注重对网络安全人员的专业培养，加强对相关人员的技术培训，提升网络管理人员的专业素质。对网络信息安全中可能出现的各种安全问题进行预测，正确使用网络信息安全技术，维护好计算机信息网络。出现问题时，能做出专业性的判断和反应。2.2.3做好信息、数据的备份工作为了实现计算机信息安全管理，应时刻做好信息备份工作，一旦出现信息丢失，可以立即恢复。对信息、数据进行备份，将不再修改的信息刻录在光盘中保存起来；对不确定的信息，可以放在移动硬盘里；对于其他不重要的数据，可直接保存在计算机中。
3结语
1信息安全管理系统现状
信息安全管理系统作为信息安全的支撑体系以及实施信息安全维护的落脚点，是信息安全管理中的重要组成部分。目前我国的信息安全管理系统还尚未完善，其不足之处首先表现为缺少统一的存储平台来对众多的文档进行储存，从而导致大量文档的丢失;其次，如果信息安全管理系统不完善，就不能降低资产等的风险评估以及对资产进行集中式的管理;最后，由于信息安全系统中各个报表功能的不完善，文档信息就无法快速、准确地透露出信息安全的实际状况，从而起到有效地保护作用。
信息安全管理系统主要能够通过对关键资产实行定性和定量分析，从而得出资产的精确风险值，识别系统中存在的重要因患资产，并进一步通知信息管理员采取适当地方法来减少隐患事件的发生，通过科学的管理降低企业的资产风险。由此可见，完善的信息安全管理系统是不可或缺的，它一方面决定着信息安全管理体系的具体实施，另一方面也可以促进企业信息安全管理体系的进一步维护与建设。
2信息安全管理系统标准
科学统一的国家信息安全标准，有利于协调与融合各个信息安全管理系统的工作，充分促进信息安全标准系统的功能发挥。我国的信息安全管理标准主要分为ISO/IEC27000系列标准与信息安全等级保护标准两个部分。
2.1ISO/IEC27000系列标准
1995年，英国标准协会(BSI)了BS7799-1和BS7799-2两部标准，随着时代的进步其逐渐发展为ISO/IEC27001和ISO/IEC27002两个部分，并进一步成为目前信息安全管理体系的主要核心标准。BS7799的最初提出目的主要在于建立起一套能够用于开发、实施以及测量的科学信息安全管理惯例，并作为一种通用框架来促进贸易伙伴之间的信任。ISO/IEC27001重视ISMS的建构以及在PDCA基础之上的进一步循环与完善，这一过程实质上就是在宏观的角度上来指导整个项目的有效实施。它意在风险管理的基础之上，用风险分析的途径，把发生信息风险的概率降到最低程度，同时采取适当地措施来保障主体业务的顺利进行。ISO/IEC27002主要阐述了133项控制细则，以及11项需要有效控制的项目，其中包括安全策略、安全组织、信息安全事件管理、人力资源安全、符合性物理与环境安全、访问控制、资产管理、系统的开发与维护、业务连续性管理、通信与操作安全等一系列的安全风险评估与控制。
2.2信息安全等级保护
1994年国务院出台了《中华人民共和国计算机信息系统安全保护条例》，该项基本制度的主要目的在于提高信息安全保障能力的水平、保障并促进信息化的健康与发展，从而进一步维护国家安全、社会发展以及人民群众的利益。它的核心标准《GB17859-1999计算机信息系统安全保护等级划分准则]是在TCSEC的分级保护思想基础之上，针对我国信息安全的发展实际进行改善，最终把安全等级缩减成更具可操作性的5个级别。《GB/T22239-2008信息系统安全等级保护基本要求》则把信息安全控制要求进一步整理为管理要求与技术要求两类，其中前者主要包括系统建设管理、安全管理制度、系统运维管理、安全管理机构和人员安全管理;后者主要包括应用安全、网络安全、物理安全、主机安全以及数据安全与备份恢复。此外，信息安全等级保护的系列标准里还包括(〈GB/T20270-2006网络基础安全技术要求》以及《GB/T20271-2006信息系统安全通用要求》等一些关于信息安全维护细则的具体操作要求。
3信息安全管理系统的模型设计
根据信息安全管理系统标准，结合以往的信息安全管理系统设计，提出一种新型的四层信息安全管理系统：
第一层是数据库层：包括日志、资产库、异常日志以及资产弱点库和资产风险库等。该数据库层的主要功能在于对信息安全管理系统中的数据进行存储。
第二层为功能模块层：包括资产管理、风险管理、弱点管理、信息安全管理规范下载管理资产等级评估管理、拓补管理以及日志分析。
第三层为信息采集：主要包括人工脆弱性检查、漏洞扫描工具以及日志采集系统三部分。这一信息采集层的主要功能在于采集安全保护对象的漏洞与安全事件。
最后一层为展示层：它包含某个具体业务系统中的业务系统整体安全状况、资产安全状况、业务系统拓补以及异常安全事件等相关部分。
上述新型信息安全管理系统模型主要体现出以下六点创新之处：
(1)所设计的风险模块管理可以把风险评估常态化、主动化，使其对整个业务周期内的所有资产风险进行动态的跟踪与准确分析;另外，该信息安全系统的日志审计功能也可以实现被动式的安全管理，从而使主动管理与被动管理在信息安全管理系统中充分融合。
(2)业务系统的动态建模和系统支持资产，可以把业务系统和资产二者绑定在一起，由此，整个信息安全系统一方面可以准确地体现出在一个具体业务系统环境下，其单独资产的具体安全状况;另一方面该信息安全系统还能够根据IS027001的具体标准，反应出整个资产所承载的整体业务系统的安全状况。
(3)该新安全管理系统增加并促进了拓补管理功能的发挥。
(4)该信息安全管理系统模型提供了统一的知识库管理，能够对日志、资产库、异常日志以及资产弱点库和资产风险库等部分进行更有效的数据存储与管理。
【关键词】高校；计算机信息技术；安全管理
随着全球信息化经济的迅猛发展，中国也迎来了自己的信息化发展时期。纵观现代的竞争，早已从过去对资源、技术、人才的竞争，转化为现今的对信息资产占有的竞争。当前，随着我国信息技术的不断发展，我国各大高校也纷纷开展了信息化建设，计算机信息技术在我国高校的不断开展，对于我国高校在教学、科研方面也起到了很大的促进作用，提供了便捷的手段。然而，高校信息化建设在不断高速发展的同时，也面临着信息安全方面的严重威胁。信息如同一把双刃剑一般，一方面能够带给高校无穷的生长力量，同时，也给高校带来巨大的风险，使高校处于信息安全的威胁之中。因此，高校如何保证自己的信息安全和保密，创建一个严密、无懈可击的信息安全管理体系，成为每一个高校需要研究的重要课题。
1计算机信息安全管理理论
1.1计算机信息
信息是关于客观事实的可通讯的知识，信息是客观世界各种事物表征的反映。“信息”又被称为消息、资讯，通常以文字或声音、图像的形式来表现，是数据按有意义的关联排列的结果。目前，根据对信息的研究成果，我们可以将信息的概念科学的概括如下：信息是对客观世界中各种事物的运动状态和变化的反映，是客观事物之间相互关联和相互作用的表征，表现的是客观事物运动状态和变化的实质内容。
1.2计算机信息安全
信息安全是指信息系统（包括硬件、软件、数据、人、物理环境极其基础设施）受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常的运行，信息服务不中断，最终实现业务连续性。主要包括信息系统或信息网络中的信息资源免受各种类型的威胁、干扰和破坏，确保信息的完整性、可用性、保密性和可靠性，即确保信息的安全性。
2高校计算机信息安全管理理论
2.1计算机信息安全管理体系不健全
从目前高校的安全管理模式可以看出，仍在沿用传统的“以经验管理为主，以科学管理为辅”的较固定的管理模式。完全依靠开会强调安全管理的重要性，靠文件学习风险防范方法，靠人员的巡视检查来督促各部门的对信息的安全防范。这样简单的、被动的、机械的管理模式，不能够适应现在这个多变的社会环境。没有一个全员的安全紧迫性、全方位的安全管理程序，不主动查缺补漏，轻视安全隐患，往往会铸就大的安全管理问题。
2.2计算机信息安全管理手段较单一
高校往往重视教学和科研业务上的绩效考核、奖励激励，而忽略了在信息安全管理方面表现卓越的激励、保障制度。有关信息安全管理的规章制度也不成为专门的考核标准，一些信息安全管理方面的资金投入也较科研开发、教学业务拓展等较少。只是在出了事故后层层问责，而懈怠了平时的敦促、提醒、培训。没能根据实际工作环境和社会变化趋势来应对信息安全问题，管理手段和方法单一落后。
2.3计算机信息安全监督机制不完善
监管部门的安全监督责任有待调整和规范。高校尚未出台可资借鉴的安全监督执行力度标准，这样，就会影响组织机构在进行监督信息安全管理时的执行力度。有法可依、执法必严应是相关部门应该秉承的监督圭臬，可是现实情况是制度缺失、人浮于事，监督机构设置如同虚设。
2.4计算机信息安全人才缺乏
高校现阶段的信息安全人员多为其他岗位的兼职人员，而且非信息安全专业人才，通常是进入岗位后，根据职能需要，逐步学习，经过培训而掌握了信息安全技术知识的人员。
3完善高校计算机信息安全管理的对此
3.1建立信息安全预防体系
改进高校的信息安全管理体系需要从全局出发，从基础做起，然后逐步完善。要有条理、有策略、有方法，不能冒进，也不能半途而废。因此，要建立长效的信息安全预防体系，必须出台切实可行的运行机制和控制手段，逐一落实，使企业的安全信息管理体系形成良性、螺旋上升的改进形式。
3.2建立信息安全预防管理控制手段
（1）注重管理策略和规程；（2）加强技术控制。
3.3建立信息安全预防管理运行机制
3.3.1组建相关的组织机构建立其专门的安全监管部，负责为高校的网络与信息安全突发事件的监测、预警和应急处理工作提供技术支持，并参与重要的判研、事件调查和总结评估。3.3.2建立应急响应机制即当安全监管部门发现安全问题，及时向相关部门通报提请注意，然后将安全问题定级，提出预警等级建议，向有关领导报审。接到上级领导反馈后技术部门采取有效措施启动应急预案。当预警问题解决后，向上级请示，解除预警。事后形成事件调查和风险评估总结，呈报领导。
3.4提高信息监管人员的素质
首先物色合适的人选，根据岗位工作性质，经过严格的考察和科学的论证，找出或培训所需的人员。选聘过程严格可控，然后把具备不同素质、能力和特长的人分别安排人员配备齐整。培训之后上岗，从而使个岗位上的人充分履行自己的职责，最终促进组织结构功能的有效发挥。在人员到岗后，也要经常抽查岗位员工的工作技能和态度，测试和培训岗位需求，经常组织人员学习先进的信息技术和前沿项目。
4结论
信息安全管理时一个动态发展的过程，信息技术日新月异，信息安全管理策略就要随之动态调整。信息安全管理体系的规划、设计和实施流程也要根据实际运作的情况不断调整和该井。完备的计算机信息安全管理体系可以使高校信息资产安全得到有效的保障，将高校信息安全风险控制到最低。
参考文献
[1]张文雷.谈高校信息技术的网络安全[J].信息与电脑(理论版),2014(06)．
[2]汤赞.浅谈我国网络安全对高校信息技术的影响[J].科技与创新,2016(02)．
[3]黄瑞．高校信息化建设进程中信息安全问题成因及对策探析[J].现代教育技术,2014(03).
[4]王延明.高校信息安全风险分析与保障策略研究[J].情报科学,2014(07).
关键词：网络环境；信息安全；措施
中图分类号：TN711 文献标识码：A 文章编号：
前言
网络环境中的信息安全对正常生产和发展起着重要的作用，因此各单位应积极采取措施，确保本单位的信息安全，为维护正常的生产和生活秩序提供保障，并为贯彻落实国家信息化发展战略和国家信息化“十一五”规划的工作目标打基础，从而进一步促进我国信息安全产业的发展，提升信息安全专业化管理服务水平，保障国民经济和社会信息化的健康快速发展。
1.影响网络环境中信息安全的因素
影响网络环境中信息安全的因素有用户安全意识不高、预防措施单一、网络安全管理员的技能短缺、管理制度不完善、制度的执行不到位等。不同的网络环境需要不同的信息安全防范措施，但由于受传统防治技术的制约，许多单位没有采取防范措施来维护内网环境，在部署大量防火墙、IDS入侵检测系统和防护装备的同时，却忽视了安全管理的内部制度。在实践中，很多单位网络环境应用默认的安全策略常常被忽视。网络信息安全管理制度不完善，内网是一个特殊的网络，网络的不断扩大使其更加难以控制。虽然许多单位已建立了相应的内部网络信息安全管理制度，但经常是不完整或不全面的，不能有效地规范和约束有些员工的上网行为。单位网络信息安全管理员技能不足，在思想方面，许多管理员认为只要网络不瘫痪，其他都不会有问题；在技术方面，由于管理员的惰性，遇到问题的处理方式就只是重新安装系统；在管理方面，管理员只依赖于单一的工具，就是网络维护。一些负责网络安全的工程技术人员对许多潜在风险认识不足。缺乏必要的技术设施和相关处理经验，面对形势日益严峻的现状，很多时候都显得有些力不从心。也正是由于受技术条件的限制，很多人对网络安全的意识仅停留在如何防范病毒阶段，对网络安全缺乏整体意识。由于这些因素的存在，给网络环境中的信息安全埋下了隐患。
2.网络环境中信息安全的局限性
目前网络已有了相对完善的安全防御体系，防火墙、漏洞扫描、防病毒、IDS等网关级别、网络边界方面的防御，重要的安全设施大致集中于机房或网络入口处，在这些设备的严密监控下，来自网络外部的安全威胁大大减小，但是仍避免不了黑客攻击、间谍软件、恶意软件以及拒绝服务的侵扰。对入侵检测单个产品在提前预警方面存在着先天的不足，且在精确定位和全局管理方面还有很大的空间。来自网络内部的计算机客户端的安全威胁缺乏必要的安全管理措施。虽然很多用户在单机、终端上都安装了防病毒产品，但是内网的安全并不仅仅是防病毒的问题，还包括安全策略的执行、外来非法侵入、补丁管理、系统使用和管理过程的疏漏增加了安全问题的严重程度。
3.网络环境中信息安全管理的措施
3.1应用防火墙技术。防火墙技术是网络环境中确保信息安全最常用的技术, 配置防火墙是实现网络信息安全最基本、最经济、最有效的安全措施之一。它是建立在现代通信网络技术和信息安全技术基础上的应用性安全技术。防火墙是一个或一组在两个网络之间执行访问控制策略的系统，包括硬件和软件，目的是保护网络不被可疑人侵扰。防火墙是网络安全的屏障,越来越多地应用于专用网络与公用网络的互联环境之中,在公共网络和专用网络之间设立一道隔离墙,以检查进出专用网络的信息是否被准许,或用户的服务请求是否被授权,从而阻止对信息资源的非法访问和非授权用户的进入,增强网络信息的保密性。当一个网络接上Internet之后，系统的安全除了考虑计算机病毒、系统的健壮性之外，更主要的是防止非法用户的入侵，而目前防止的措施主要是靠防火墙技术完成。防火墙能极大地提高一个内部网络的安全性，并通过过滤不安全的服务而降低风险。防火墙可以强化网络安全策略。常用的防火墙技术有包过滤技术、状态检测技术、应用网关技术。
3.2做好信息数据的加密。数据加密技术是最基本的网络安全技术，是为了提高信息系统与数据的安全性和保密性,防止机密数据被外部破译而采用的主要技术手段之一，被誉为信息安全的核心，利用该技术把需要保护的数据或信息资源进行加密处理后进行传送,到达目的地后再用相同或不同的手段解密。数据加密实质上是对以符号为基础的数据进行移位和置换的变换算法，这种变换是受“密钥”控制的。它通过变换和置换等各种方法将被保护信息置换成密文，然后再进行信息的存储或传输，即使加密信息在存储或者传输过程为非授权人员所获得，也可以保证这些信息不为其认知，从而达到保护信息的目的。
3.3网络环境信息安全的管理。信息安全管理策略包括：确定信息安全管理等级和安全管理范围；指定有关网络操作使用规程和人员出入机房管理制度；制定网络系统的维护制度和应急措施等。在网络环境中，绝对的安全是不存在的，制定健全的信息安全管理体制是信息安全管理的重要保证，只有通过网络管理人员与使用人员的共同努力，运用一切可以使用的工具和技术，尽一切可能去控制、减小一切非法的行为，尽可能地把不安全的因素降到最低。
3.4做好对信息的访问与控制。授权控制不同用户对信息资源的访问权限，即哪些用户可访问哪些资源以及可访问的用户各自具有的权限。对信息的访问与控制进行技术处理是维护系统运行安全、保护系统资源的一项重要技术，也是对付黑客的关键手段。与防火墙相比，数据加密与用户授权访问控制技术比较灵活，更加适用于开放的网络。用户授权访问控制主要用于对静态信息的保护，需要系统级别的支持，一般在操作系统中实现。数据加密主要用于对动态信息的保护。对动态数据的攻击分为主动攻击和被动攻击。对于主动攻击，虽无法避免，但却可以有效地检测；而对于被动攻击，虽无法检测，但却可以避免，实现这一切的基础就是数据加密。
3.5做好计算机病毒防治为信息安全提供保障。随着计算机技术的不断发展，计算机病毒变得越来越复杂和高级，对计算机信息系统构成极大的威胁。病毒的破坏行为的激烈程度取决与病毒作者的主观愿望和他的技术能力。病毒的侵入必将对系统资源构成威胁，影响系统的正常运行。特别是通过网络传播的计算机病毒，能在很短的时间内使整个计算机网络处于瘫痪状态，从而造成巨大的损失。因此，防止病毒的侵入要比发现和消除病毒更重要。防毒的重点是控制病毒的传染，如何有效辨别病毒行为与正常程序行为是防毒成功与否的重要因素。
3.6做好信息监测、预警和审查工作。信息安全管理人员应加强对单位主管网络及信息安全进行监测、分析和预警工作，对发生网络与信息安全突发事件的应当立即对发生的事件进行调查核实、保存相关证据，研究分析可能造成损害的程度，提出初步行动对策。把损失降到最低。加强对信息的审查工作，若发现信息被恶意更改，应立即停止主页服务并回复正确内容，同时检查分析被更改的原因，在原因未找到并排除之前，不得重新开放相关信息的服务。
关键词：网络工程；信息安全管理；技术方案；遗传算法
1引言
近年来网络工程技术发展迅速，对于海量信息的安全管理日趋重要。但由于网络信息管理系统在硬件、软件及管理策略方面尚存在诸多问题，导致系统中存在大量的脆弱性，因而对网络工程信息系统带来了极大的威胁[1]。在网络工程信息安全管理过程中，对信息管理技术方案进行制定是不可或缺的一个环节，合理的方案设计对于信息系统安全风险可控化具有十分重大的意义[2]。传统的安全技术方案设计仅仅从技术角度入手，忽略了考虑实施技术手段所需要的花费。完善的信息安全管理技术应当将脆弱性分析、安全技术选择及实施技术费用进行综合考虑，这样才能使信息管理系统的安全风险降至最低[3]。因此本文首先对网络工程信息管理技术方案的制定进行了优化，以此为基础，提出基于遗传算法的信息安全管理优化技术，并对实际算例采用上述优化技术，对该优化技术的有效性进行了验证。
2信息安全管理技术方案
制定时的决策模型通过对信息管理技术方案的优化制定可以使信息管理系统中脆弱性的威胁降到最小。将信息管理系统中的各种脆弱性表示为v1，v2……，vm共m种，当脆弱性vi存在时以数值1表示，当这种脆弱性不存在时以0表示，每一种脆弱性对应于一个权值i，这一权值用来表示对应的脆弱性危害信息管理系统的程度，本文对信息安全管理系统中的脆弱性进行了描述，列出了表1信息安全管理系统中的脆弱性及表示20种不同的脆弱性(见表1)。对应于每一种脆弱性都存在相应的安全技术，这些安全技术以s1，s2……，sn来表示，当技术方案中采用了sj这种安全技术时，sj等于1，当没有采用时取值为0；对应于sj安全技术的实施费用用cj来表示，本文给出了13中安全技术手段，见表2。脆弱性及其对应的安全技术之间存在复杂的关系，对某一脆弱性采取相应的安全技术后该脆弱性可能部分的或完全的消除，但也有可能导致其他种类的脆弱性产生，其中部分消除安全性是指相应的由该脆弱性导致的信息管理系统破坏程度被限制在一定的范围内。在对脆弱性实施安全技术手段后，相应的脆弱性在系统中可能会有一定的残留，对于残留的脆弱性用r1，r2……rm来表示，ri对应于脆弱性vi，取值分别为0，0.5，1，分别对应于脆弱性存在，脆弱性部分去除以及不存在。用矩阵T={tij}表示对脆弱性采用安全技术处理后的情况，tij是指采用安全技术sj处理脆弱性vi的处理能力的大小。确定残留脆弱性处理规则，当vi=0或1时，有j∈{j│sj=1}，此时tij=1，那么ri=0；当vi=0时，存在j∈{j│sj=1}，使tij=0，此时ri=0；当vi=1时，存在j∈{j│sj=1}，使tij=0，此时ri=1；当vi=0时，存在j∈{j│sj=1}，使tij≠1，同时存在j∈{j│sj=1}，使tij=-1此时ri=1；当vi=0时，存在j∈{j│sj=1}，使tij≠1，同时存在j∈{j│sj=1}，使tij=-0.5此时ri=0.5；当vi=1时，存在j∈{j│sj=1}，使tij≠1，同时存在j∈{j│sj=1}，使tij=0.5此时ri=0.5。综上所述，安全的信息管理技术方案设计需要以两个目标为基础，如式1和式2所示：式3中Cmax为实施安全技术手段所需要的费用的最大值，对E进行无量纲修正得到E’，和分别代表脆弱性权重和费用权重，和之和为1，表示二者在系统设计时的偏重程度，当＞时，脆弱性在设计时比费用控制重要，反之亦然。
3遗传算法在网络工程信息安全管理技术优化中的应用
安全技术手段集合的子集即为所制定的网络工程信息安全管理技术方案，其可行解共有2n个，具体方案的选取属于多目标优化问题，n值增加，问题的解空间呈现几何式增长，如果要在如此庞大的解空间内实现最优解的搜寻，则必须采用效率较高的搜索策略。为此引入遗传算法，在遗传过程中的各代个体以适应度值为依据进行交叉和变异概率选择，即采用自适应规则，从而使个体自适应环境变化进行自身的调节。首先对于问题的编码，用符号串表示各个染色体，这种符号串具有n位二进制编码，用这种符号串表示的染色体即代表了对应的技术手段，技术手段的状态用二进制编码的每一位表示，即1表示该技术手段被方案采用，0表示该技术手段未被方案采用。如此即可转化网络工程安全信息管理技术优化问题为染色体最优编码求解问题。
4采用优化后信息管理技术的实际算例
采用上述对脆弱性和安全技术的分类，设脆弱性的情况为(11010100110111000110)，将各脆弱性权重列于表3，实施相应安全技术所需费用权重列于表4，脆弱性的重要性和实施相应安全技术花费的重要性同等重要(==0.5)，采用本文提出的优化技术对相应的技术方案进行求解(N=100)，各概率值为Pe=0.4,Pc0=0.52,Pc1=0.29,Pm0=0.37,Pm1=0.23，迭代次数最大为300，50为稳定代数的最大值。最终结果为，S=(1000010000010)，即出现单一、集中、敏感、可分离、可测、顺应、难以恢复、自我认知匮乏、不以管理、透明、电子访问等脆弱性时，所采取的安全技术手段为，弹性及鲁棒性技术、人员管理技术、分配动态资源技术。本文同时对不同数据进行了计算，结果均表明增加脆弱性和技术手段的种类，本文提出的以信息管理技术方案优化制定为基础，采用遗传算法的网络工程信息安全管理技术其优化效果均较为显著。
5结束语
就目前而言，随着网络计算机技术的发展，计算机功能呈现出多样化的趋势，信息处理复杂程度不断提高，把相对分散的时间和空间信息集成起来，建立了庞大的数据信息资源系统，为人们日常交流提供了更加便利的服务。但是在交流过程中，需要进行安全管理，避免个人信息泄露或者丢失，维护整个网络环境安全。因此，本文就如何做好计算机信息安全管理展开论述。
【关键词】计算机信息安全 管理措施
在信息化时代，计算机网络技术已经应用到人们生活的各个领域，极大地促进了生产力的发展，但是与此同时，网络信息安全面临着威胁，需要加强计算机信息网络安全。计算信息安全管理就是利用网络管理新技术，对用户的信息、数据的完整性进行保护，避免受到侵害或者盗用，给企业或者用户带来巨大的经济损失。因此，为了保证用户信息安全，要对计算机信息进行妥善的管理，本文首先分析影响计算机信息系统的影响因素，接着提出相应的解决对策。
1 计算机信息安全管理存在的问题
随着网络信息的发展，计算机信息安全管理直接影响用户的切身利益，对计算机网络信息管理而言，面临着巨大的挑战。用户在实际使用过程中也存在很多问题。下面就针对计算机信息安全管理存在的问题展开论述。
1.1 不重视计算机信息安全管理
在使用计算机过程中，很多用户为了图省事，不重视信息的管理，受到传统管理理念的影响，认为只要下载安全软件就能保证计算机的安全，并没有对重要的信息数据进行备份。与此同时，随着社会的不断进步发展，网络安全潜在很多的隐患，而计算机信息系统安全性没有得到相应的提升，从而影响了计算机的安全运行。因此，为了提升计算机信息管理，维护用户的根本利益，用户要改变传统思想，加强对计算机信息安全管理。
1.2 安全威胁不断增加
当前计算机信息安全威胁主要来自入侵者、病毒以及其他的突发事件。在实际过程中，很多入侵者通过病毒软件，读取用户的特权数据，并对数据库进行恶意的修改和破坏，严重损害了用户的权益，给用户造成极大的损失。突发事件主要是用户出现误操作，这种威胁往往被用户所忽视，存在误删的情况，导致重要的计算机信息被删除，影响到用户的正常使用。
1.3 网络信息安全管理缺乏针对性
在使用计算机网络应用过程中，很多用户认识网络信息安全管理的重要性，因此，采取相应的指导措施，加强计算机信息安全管理，对潜在的风险进行评估，分析计算机面临的风险，从而采取针对性的解决措施，但是受到管理方式和管理理念的影响，对计算机安全风险评估效果不理想，甚至有的用户直接套用了其他人的安全管理方式，导致计算机安全信息管理缺乏针对性和有效性，直接影响计算机信息安全管理的效果。
2 做好计算机信息安全管理的措施
为了保护用户的信息安全，在实际管理过程中，要采用技术和管理的措施，针对网络技术发展的特点，采取相应的知道措施，提升计算机安全性能，维护用户的根本利益。下面就如何做好计算机信息安全展开论述。
2.1 技术层面
2.1.1 加强网络访问控制
为了保护计算机信息的安全，就要加强计算机范文控制，主要是如何使用受保护的资源的规则库。在系统运行过程中，会根据访问控制，对用户资源使用行为行为进行合法判定。从根本上讲，网络访问控制就通过控制的策略来限制用户访问，在用户和资源之间建立了一道屏障，可以避免用户对资源无休止的访问，保证资源始终处在监控的范围内。
2.1.2 做好数据库信息备份
在用户实际操作过程中，为了避免数据信息出现丢失的情况，做好数据库的备份和恢复，防止发生意外。
（1）用户可以选择网络备份，就是用户将大量的数据上传到数据备份的主机上，并采用网络客户端软件进行处理，保证数据被传输到服务器中，通过备份介质对数据进行管理。
（2）分级储存管理，随着计算机储存空间不断增加，网络数据也不断增加，为了满足用户更多的数据储存要求，在实际过程中，用户可以把自己认为有价值的数据进行复制，对文档进行备份管理，从而实现数据的长期储存，提升数据信息的安全性。对重要的数据放在一个可以引动的介质中，对普通的的信息数据进行压缩处理。
2.1.3 数据加密技术
当前，计算机网络信息技术迅速发展，在数据传输过程中，会面临着安全威胁，可能出现被篡改的情况，不仅破坏了数据的完整性，而且影了数据的质量，甚至数据丢失，给用户和企业带来巨大的损失。因此，为了保证数据和信息的安全，要进行保密设置，采取加密措施，从而保证数据信息的机密性和完整性，防止被他人窃取和盗用，维护企业的根本利益。在数据传输过程中，如果有的数据被篡改后，还可以采用校验技术，恢复已经被篡改的内容，从而保证数据的完整性，避免用户和企业出现损失。
2.1.4 入侵检测技术
随着计算机的普及，计算机用户成倍增加，相应的也大大增加了计算机安全风险，影响了计算机的正常运行，为了提升计算机安全性能，用户可以结合自身的实际情况，针对性的采用入侵检测技术，对自己的计算机进行动态的监测和管理，及时有效的发现网络攻击行为，有效避免病毒进入，保证计算机信息基础结构的完整性和安全性。在计算机安装入侵检测系统以后，这个系统会自动对用户的网络进行动态的监测，对网络的通信情况进行检查，维护用户网络信息安全。
2.2 管理层面
为了从根本上提升计算机网络安全，在实际管理过程中，不仅要采取先进的安全管理技术，还要完善相应的法律法规，实现二者的结合，为广大用户建立安全稳定的网络环境。
（1）就要加强计算机用户的安全教育，建立完善的安全管理机制，明确计算机安全管理的功能，完善计算机网络安全立法，提升用户安全管理法律意识，有效防止计算机犯罪和干扰，提升抵御黑客攻击的能力；
（2）在进行计算机网络安全法律教育过程中，要加强计算机犯罪法、保密法等宣传，明确计算机不同使用人员的权利和义务，建立合法信息系统的原则，抵制各种违法行为，从而维护用户的网络信息安全。
（3）要建立完善的安全维护管理制度，做好人员、计算机处理、资料管理等制度，从而规范网络安全管理行为，提升网路信息安全管理的针对性和有效性。
（4）为了建立安全稳定的网络信息环境，就要建立相应的法律法规，保证网络秩序的规范化，要求用户安全文明上网，严格遵守相关的法律法规，建立承担法律和道德责任的准则，根据法律法规要求有效打击各种网络犯罪。为了维护计算机信息的安全，在实际过程中，就要提升系统管理人员的职业素质和道德修养，不断规范网络环境。
就目前而言，计算机网络信息安全也面临着很多安全问题，不法分子利用网络平台入侵用户系统，导致信息泄露和破坏，影响了用户的正常施工。因此，为了维护计算机信息安全，就要重视网络信息管理，从技术和管理两个方面，保证网络环境安全。
参考文献
[1]马小娟.浅谈计算机信息管理技术在网络安全中的应用[J].数字技术与应用，2013（03）：211.
[2]刘力源.浅谈计算机信息安全管理措施[J].计算机光盘软件与应用，2013（05）：224-225.
[3]何晓冬.浅谈计算机信息管理技术在网络安全中的应用[J].长春教育学院学报，2015（11）：61-62.
[4]莫如春.浅谈单位计算机应用及信息安全管理[J].计算机光盘软件与应用，2014（13）：184-185.
[5]周军辉.浅谈计算机信息管理技术在网络安全应用中的研究[J].计算机光盘软件与应用，2014（17）：149+151.
关键词企业；网络信息；安全管理
飞速发展的社会经济将企业管理投入到信息技术的海洋之中，大中型企业管理的自动化水平正在不断提高。现代企业的核心管理手段是将计算机网络技术应用于业务管理系统，实现企业管理理念的宏观化、管理手段的智能化、管理方式的网络化，从而带来的是管理效率的高速化。具体的管理系统包括外门户网站系统、内部门户网站系统、办公自动化系统、营销管理系统、配网管理系统、财务管理系统、生产管理系统等[1]。
1企业网络信息安全概述
1.1网络信息安全面临的威胁
网络信息的安全主要是系统漏洞带来的病毒和黑客侵袭。漏洞是在硬件、软件、协议的具体实现或系统安全策略上存在的缺陷，从而可以使攻击者能够在未授权的情况下访问或破坏系统[2]。系统漏洞是危害网络安全的最主要因素，特别是软件系统的各种漏洞。黑客的攻击行为都是利用系统的安全漏洞来进行的。许多系统都有这样那样的安全漏洞（Bugs），其中有些是操作系统或应用软件由于设计缺陷本身所具有的，这些漏洞在补丁未被开发出来之前一般很难防御黑客的破坏，除非你不接入网络。还有就是程序员在设计一些功能复杂的程序时，预留的用于测试和维护的程序入口，由于疏忽或者其他原因(如将它留在程序中，便于日后访问、测试或维护)没有去掉，这就可能被一些黑客发现并利用作为后门。到目前为止，还没有出现真正安全无漏洞的产品，这也是当前黑客肆虐的主要原因[3]。
1.2造成企业网络信息安全威胁的原因
1.2.1计算机系统原生漏洞目前计算机所依赖的依然是普遍通用的微软Windows系统。为了适应用户的需求，这一系统的研发进展不断进步，系统升级较为频繁，每两年左右便会有新系统推出面世。许多计算机用户，特别是企业用户，如果对新系统没有全面、专业、深入的了解而盲目进行了系统更新，有可能造成安装设置过程中缺陷导致的新系统带来的弊端，从而埋下漏洞隐患，给信息安全造成威胁。1.2.2计算机软件应用不当遭遇恶意软件在企业管理计算机软件应用过程中，如果没有专业的识别和下载安装经验，极有可能遇到恶意软件。恶意软件常常故意不对用户做明确提示（如选项提示、退出安装提示等）或者在未经用户许可的情况下，在用户的计算机上强行安装；有的软件难以卸载（设置卸载障碍）；还有的软件通过浏览器劫持行为，肆意：指未经用户许可，修改用户浏览器或设置，迫使用户访问特定网站或导致用户无法正常上网等。恶意软件造成的计算机病毒感染，黑客的乘虚而入将严重威胁企业网络信息安全，甚至导致系统崩溃，数据丢失。有的恶意软件甚至自带网络数据运行监视装置，被恶意使用后可以直接用于窃取商业数据和信息，给企业造成巨大损失。1.2.3企业网络信息系统维护规范欠缺企业网络信息系统在运行过程中无论何种原因都难以避免可能产生的漏洞，而对信息系统的规范维护是信息安全保护的重要手段。但部分企业没有对系统维护规范作出规定，如系统维护工程师、助理工程师的职责与权限并不明确，生产或销售应用系统的监控记录不能定期建档，生产或办公系统主机的日常故障处理不做登记，应用系统的数据库启动情况和数据库设置得不到及时观察，重要数据库的变更操作，定期清理过期备份不能正常进行，应用数据库瘫痪后的异地备份恢复记录不完整等，都有可能造成企业网络信息系统的安全隐患。
2企业信息系统安全管理存在的问题
2.1企业对信息系统管理重视不足
许多企业顶层决策缺乏长久观念，比较重视信息网络的建设而较易忽视信息网络和系统的管理。在企业网络建设初期往往偏重于硬件设施的投资和技术成本的投入，盲目追求管理系统的高性能、高配置，忽略了硬件设施与实际应用的差距，认为高层次的网络系统一旦建成便万事大吉。这种认识不但造成了不必要的资金浪费，更容易形成轻视系统维护管理工作的状况。由于缺乏管理意识，许多企业在规章制度、人事安排、专业培训、技术队伍等几方面没有形成企业信息系统的专业团队，更没有针对系统瘫痪、数据丢失等突发事件的应急预案，往往是问题发生后临时应急解决，“头痛治头足痛治足”，致使现代化信息系统不能充分发挥在企业运行管理中应有的作用。
2.2企业网络信息安全性难以保障
由于信息安全管理意识淡薄，部分企业没有专业的网络管理团队。现有网管人员维护、管理网联络信息技术没有保障，或者责任心不强。例如，民营生产销售企业由于操作不规范销售报表和潜在客户资料数据丢失现象时有发生；部分县级以上医院分科或多或少都存在体统停滞现象；中小型企业中财务资料的误删时有发生。虽然这些单位有的也具备系统维护应急预案，部分数据得到恢复，但依然给企业造成一定损失。
3企业网络信息安全防范措施
3.1建立系统安全检查制度
企业的规章制度要重视系统安全的保护，对重要信息系统的安全检查要建章立制，不能松懈。首先要对系统安全负责的团队人员构成和岗位职责进行明文规定。其次要确定具体的安全检查目标，如企业的基础网络是否完善、主服务器配置是否异常，对外门户网站防火墙是否坚固，数据中心的设置是否可靠，内部办公系统（包括财务、销售、服务等）更新是否正常等等。第三，信息安全检查规章制度中要具化检点内容，如安全管理保障系统方面，对岗位制度是否建全，人员负责是否落实，信息数据是否安全，应急响应是否稳妥等项目要做出详细检查记录。技术保障方面：服务器（包括操作系统、数据库、应用系统）的各项指标，网络设备和安全设备的各种配置，网站建设和终端等组织策略和运行维护等内容都要落实到检查实处。
3.2加大企业网络信息安全的管理力度
第一，要增强网络信息管理人员的技术培训，使企业信息系统得到可靠的技术维护和管理，组件一只责任心强、分工明确、技术精湛的网管团队，以保障企业网络信息系统正常运转不出纰漏。第二，提高企业核心机密资料的加密层次，在这方面要投入资金购买保密程度较有保障的计算机软件装备，防止黑客攻击和病毒感染。第三，对企业信息管理和维护工作进行定期记录、责任到人，记录保护存档以备可查。第四，要建立安全可靠的计算机数据异地备案和应急预案机制，有专门制定人员负责，定期检测数据，严格管理制度，以确保企业网络信息系统出现异常时得到有效维护和修复。
4结论
第一条为了促进我省电子政务的发展，保障我省电子政务健康运行，根据《国家信息化领导小组关于我国电子政务建设指导意见》，并结合我省实际情况，制定本办法。
第二条电子政务信息安全工作应遵循注重实效、促进发展、强化管理和积极防范的原则。
第三条省信息化工作领导小组办公室根据省信息化工作领导小组关于电子政务信息安全工作的决策，负责组织协调全省电子政务信息安全工作，并对执行情况进行检查监督。省直各有关部门根据各自职能分工负责电子政务信息安全的具体工作。各市电子政务主管部门负责本市电子政务信息安全工作。
第四条由省信息化工作领导小组办公室牵头，会同省信息产业厅、保密局、公安厅、科技厅组成省电子政务信息安全工作小组，负责制定全省电子政务信息安全策略和工作规范，建立全省电子政务信息安全风险评估体系。各单位要制定本单位电子政务信息安全措施，定期进行安全风险评估，落实信息安全工作责任制，建立健全信息安全工作规章制度，并于每年6月份书面报本级电子政务主管部门备案。
第五条电子政务网络由政务内网和政务外网构成，两网之间物理隔离。电子政务内网是政务部门的办公专网，连接包括省四套班子和省直各部门。电子政务内网信息安全管理要严格执行国家有关规定。
第六条电子政务外网是政府的业务专网。全省建设一个统一的电子政务外网，凡是不涉及国家秘密的、面向社会的专业业务系统和不需在内网上运行的业务系统必须接入或建在电子政务外网上，并采用电子政务外网上所要求的信息安全措施。
第七条电子政务外网必须与国际互联网和其他公共信息网络实行逻辑隔离。全省统一管理电子政务外网的国际互联网出口。凡接入电子政务外网的电子政务应用系统，不得擅自连接到国际互联网。在国际互联网上运行的政府网站，要采取必要的信息安全措施方可接入电子政务外网。
第八条在电子政务外网上建立统一的数字证书认证体系，建立电子政务安全信任机制和授权管理机制。凡接入电子政务外网的应用系统必须采用省电子政务认证中心发放的数字证书。各市可直接采用省电子政务认证中心提供的数字证书注册服务，也可根据实际应用情况建立本市数字证书注册服务中心，负责本市范围内数字证书的登记注册。
第九条各级电子政务外网网络管理单位负责本级电子政务外网的公共安全工作，建立信息网络安全责任制。要对所管理的本级外网网络进行实时监控，定期进行安全性能检测，定期向主管部门通报网络安全状况信息，并向其网络用户单位提供安全预警服务。
第十条电子政务外网要建立应急处理和灾难恢复机制。应急支援中心和数据灾难备份中心要制定数据备份制度，制定事故应急响应和支援处理措施，制定数据灾难恢复策略和灾难恢复预案，并报本级电子政务信息安全主管部门备案。全省性电子政务应用系统的主要数据库和重要的基础性数据库，必须在应急支援中心和数据灾难备份中心实现异地备份。
第十一条各单位要根据国家有关信息安全保护等级的保护规范，明确本单位电子政务应用系统的安全等级，并按照保护规范进行安全建设、安全管理和边界保护。各单位负责其应用系统接入电子政务外网之前的所有安全工作，并配合网络管理单位进行网络安全管理和检查工作。
第十二条各单位要明确信息采集、、维护的规范程序，确保其电子政务应用系统运行的数据信息真实准确、安全可靠。各单位要按照“谁上网谁负责”的原则，保证其在电子政务外网上运行的数据信息真实可靠，且不得涉及国家秘密。
第十三条各单位的电子政务应用系统要建立数据信息的存取访问控制机制，按数据信息的重要程度进行分类，划分访问和存储等级，设立访问和存储权限，防止越权存取数据信息。
第十四条各单位的电子政务应用系统要建立信息审计跟踪机制，对用户每次访问系统的情况以及系统出错和配置修改等信息均应有详细记录。
第十五条各单位的电子政务应用系统应当建立计算机病毒防范机制，要定期使用经国家有关部门检测认可的防病毒软件进行检测。
1、企业网络信息安全管理的现状分析
1.1、钢铁企业信息化的必要性分析
随着我国经济的发展和科技的进步，信息化已在越来越多的企业中被得到应用，而钢铁企业作为我国的经济支柱之一，在近年来也逐渐实现了钢铁企业的信息化建设。在钢铁企业中实施信息化建设，一方面是可以将钢铁企业的发展空间扩大，提高企业本身的在市场的竞争力，使其在如今竞争激励的市场中占有一席之地，对钢铁企业实施信息化建设是企业发展的需要;另一方面，由于钢铁企业的业务，其所涉及到数据、文档和图纸等的数量都是比较多的，想要将这些数据、文档和图纸储存起来是一件不容易的事，操作起来比较复杂，而通过信息化技术的支持则可以大大的简化了这个储存操作的过程，便于人员进行操作，使钢铁企业的运行效率得到大大的提高，对钢铁企业实施信息化建设是企业管理的需要。除此之外，随着生产链全球化和供应链全球化的日益紧密，钢铁企业作为我国的经济支柱之一，要求其利用信息化管理加强对钢铁生产建设的指导的迫切性已是越来越突出。因此，对钢铁企业实施信息化建设是非常有必要的，它不仅仅是钢铁企业本身发展的需要，也是钢铁企业管理的需要，同时也还是生产链全球化和供应链全球化对钢铁企业生产的要求所在。
1.2、当前存在的问题
上述信息化优势证明我国电力企业近年来关于网络信息化建设取得了一些成果，给行业信息化建设打下了良好的基础，但在网络信息安全管理方面仍普遍存在较多问题。
(1)信息化机构建设不健全
钢铁企业很少为信息管理部门专门设置机构，因而缺乏应有的规范的岗位及建制。大多信息部门附属在技术部、科技部或总经理工作部门下，甚至仅设置一个专责人员负责。信息化管理是一项系统性的工程，没有专门的部门负责是不能满足现代企业信息化安全的需求的。
(2)企业管理阻碍信息化发展
有些钢铁企业管理办法革新缓慢，大多采用较落后的、非现代信息化企业的管理模式。这样的企业即便引入最完善的信息管理系统、最先进的信息化设备，也只能受落后的企业管理模式所制约，无法发挥其应有的作用。
(3)内部监管不足，相关法规不够完善
内部网络安全监管对信息安全管理起着至关重要的作用。很多信息安全案件发生的根本原因都是缺乏有效的网络安全监管，即使许多信息安全管理者认识到了加强内部监管的重要性，但实施起来依然阻力重重。很多具体的危害信息安全的行为并没有在现行的信息安全法律、法规中做出明确的界定。
(4)身份认证缺陷
电力企业一般只建立内部使用的信息系统，而企业内部不同管理部门、不同层次员工有不同等级的授权，根据授权等级不同决定各部门和员工访问的数据和信息不同。这类授权是以身份认证为基础的信息访问控制，但在当前的企业身份认证系统中大多存在缺陷和漏洞，给信息安全留下隐患。
(5)软件系统安全风险较大
软件系统安全风险指两方面，一是编写的各种应用系统可能有漏洞造成安全风险，二是操作系统本身风险，随着近期微软停止对windowsXP系统的服务支持，大量使用windowsXP系统的信息管理软件都将得不到系统漏洞的修补，这无疑会给信息安全带来极大风险。
(6)管理人员意识不足
很多钢铁企业员工网络安全意识参差不齐，一方面是时代的迅速发展导致较年轻的管理人员安全意识较高，而对网络接触较少的中老年员工网络安全意识较为缺乏;另一方面也有电力企业管理制度不够完善、忽视对员工进行及时培训的原因。在这种人员背景下，如果管理人员配备不当、信息管理系统设置不合理都会给企业信息埋下安全隐患。
2、完善企业网络信息安全方案的具体实施
2.1、防火墙部署
防火墙是建立在内部专有网络和外部公有网络之间的。所有来自公网的传输信息或从内网发出的信息都必须穿过防火墙。网络访问的安全一方面我们要配置防火墙禁止对内访问，以防止互联网上黑客的非法入侵;另一方面对允许对内访问的合法用户设立安全访问区域。防火墙是在系统内部和外部之间的隔离层，可保护内部系统不被外部系统攻击。
通过配置安全访问控制策略，可确保与外界可靠、安全连接。防火墙的功能是对访问用户进行过滤，通过防火墙的设置，对内网、公网、DMZ区进行划分，并实施安全策略，防止外部用户或内部用户彼此之间的恶性攻击。同时防火墙支持VPN功能，对经常出差的领导、员工支持远程私有网络，用户通过公网可以象访问本地内部局域网一样任意进行访问。此外，防火墙还可以收集和记录关于系统和网络使用的多种信息，为流量监控和入侵检测提供可靠的数据支持。
2.2、防病毒系统
计算机网络安全建设中其中最为关键的一个部分即是加强对防病毒系统的建设，这就需要在实际工作中，通过科学合理对防病毒系统进行装置，从而实现对病毒的集中管理，利用中心控制室来对局域网的计算机和服务器进行有效的监视，从而加强病毒的防范。而对于进入到计算机系统内的病毒则需要做出及时的影响，预以及时清除。
2.3、流量监控系统
什么是流量监控?众所周知，网络通信是通过数据包来完成的，所有信息都包含在网络通信数据包中。两台计算机通过网络“沟通”，是借助发送与接收数据包来完成的。所谓流量监控，实际上就是针对这些网络通信数据包进行管理与控制，同时进行优化与限制。流量监控的目的是允许并保证有用数据包的高效传输，禁止或限制非法数据包传输，一保一限是流量监控的本质。在P2P技术广泛应用的今天，企业部署流量监控是非常有必要的。
2.4、合理的配置策略
通过将企业网络划分为虚拟网络VLAN网段，这样不仅可以有效的增加网络连接的灵活性，而且可以对网络上的广播进行有效的控制，减少没必要的广播，从而有效的释放带宽，不信有效的提高网络利用率，而且使网络的安全性和保密性能得到有效的提升，确保了网络安全管理的实现。
2.5、安全管理制度
目前我国还没有制订统一的网络安全管理规范，所以在当前网络安全不断受到威胁的情况下，需要我们首先在设计上对安全功能进行完善，其次还要加强网络安全管理制度的建立，并确保各种安全措施得以落实。对于企业中安全等级要求较高的系统，则需要由专人进行管理，实行严格的出入管理，利用不同手段对出入人员进行识别和登记管理，从而确保企业网络信息的安全性。
总之，在计算机技术、信息技术和网络技术的发展下，企业在生产活动中都建立了属于自己的局域网和企业办公平台，从而使企业在生产和经营过程中的数据传输速度加快，而且业务系统及管理系统以网络分支的情况下分布开来，这对于企业管理效率的提升起到了积极的作用。网络技术在企业中的应用，有效的改变了企业的生产方式，推动了企业的快速发展，但其也带来了一定的隐患，如果不能及时对网络的安全进行有效的防范，则会给企业带来严重的经济损失。
作者：施雅芳 来源：城市建设理论研究 2014年35期
