信息安全方针范文
发布时间：2023-10-12 17:42:50
导语：想要提升您的写作水平，创作出令人难忘的文章？我们精心为您整理的13篇信息安全方针范例，将为您的写作提供有力的支持和灵感！
篇1
9月25日至10月15日，全镇集中开展全员流动人口信息再次采集变更工作。
二、工作要求
1、及时掌握辖区全员流动人口个案信息。各村要按照本方案，认真组织开展全员流动人口信息的再次清理摸底和及时核对、变更相关信息。。
2、及时、准确、规范上报本村新增的外流人口。
三、工作内容
（一）、清理对象
（1）离开户籍地县域30日以上流出人口，以工作、生活为目的异地居住的0岁以上人口。
（2）离开户籍地乡镇30日以上流出人口，生活为目的异地居住的已婚育龄妇女。
（3）同城区间人户分离人口除外；婚嫁人员除外；因出差、就医、旅游、探亲、访友、服军役、在中等以上专业学校就学等人口除外。
（二）、个案信息完善内容
全员流动人口个案信息项目包括基本信息、家庭户信息。
（1）基本信息包括：姓名、性别、现居住地地址、户籍所在地地址、公民身份号码、出生日期、文化程度、户口性质、流动原因、外出（流入）日期、返回（离开）日期、婚姻状况等项。
（2）家庭户信息包括：是否家庭户流动、已婚人口的配偶是否随同流动等信息。
（三）、个案信息变更
村对流动人口现居住地和婚育情况发生改变要及时上报计生办，计生办业务人在流动人口信息系统中对流出人口管理卡片进行及时变更。
（四）、个案信息退档
篇2
中图分类号：TP309.2文献标识码：A 文章编号：1009-3044(2008)36-2848-03
An Information Security Program for a Distributed Enterprise
GUO Yong, CHEN Rong-sheng, ZHAN Gui-bao, ZENG Zhong-cheng, LU Teng-zu, LI Zhuang-xiang
(Fujian Xindong Network Technology Co., Ltd. Fuzhou 350003,China)
Abstract: Based on the specific conditions of the distributed enterprise, information security architecture in accordance with the relevant standards, a distributed enterprise information security planning principles and objectives. And based on the principles and objectives of the meeting, according to the organization, management and technical aspects of three specific design specifications with the principle. Finally, based on the objective of planning services, a category of information distributed enterprise information security services, planning and design examples.
Key words: distributed; information security; planning; program
1 引言
据来自eWeek 的消息，市场研究机构Gartner 研究报告称，很对企业目前仍缺乏完整的信息安全规划和规范。尽管目前很多企业在信息安全方面的投入每年都在缓慢增长，但由于推动力以外部法律法规的约束和商业业务的压力为主，因此他们对安全技术和服务的选择和使用仍停留在一个相对较低的水平。尤其对于机构构成方式为分布式的企业而言，因为信息安全需求和部署相对更加复杂，投入更多，因此这类企业的信息安全规划就更加缺乏。
本文根据这类分布式企业的特点提出了一种符合该类企业实际的信息安全规划方案。
2 总体规划原则和目标
2.1 总体规划原则
对于分布式企业的信息安全规划，要遵守如下原则：适度集中，控制风险；突出重点，分级保护；统筹安排，分步实施；分级管理，责任到岗；资源优化，注重效益。
这个原则的制定主要是根据分布式企业的实际机构构成情况、人员素质情况以及资源配置情况来制定的。
2.2 总体规划目标
信息系统安全规划的方法可以不同、侧重点可以不同，但是需要围绕组织安全、管理安全、技术安全进行全面的考虑。信息系统安全规划的最终效果应该体现在对信息系统与信息资源的安全保护上，下面将分别对组织规划、管理规划和技术规划分别进行阐述。信息安全规划依托企业信息化战略规划，对信息化战略的实施起到保驾护航的作用。信息系统安全规划的目标应该与企业信息化的目标是一致的，而且应该比企业信息化的目标更具体明确、更贴近安全。信息系统安全规划的一切论述都要围绕着这个目标展开和部署。
3 信息安全组织规划
3.1 组织规划目标
组织建设是信息安全建设的基本保证，信息安全组织的目标是：
1）完善和形成一个独立的、完整的、动态的、开放的信息安全组织架构，达到国际国内标准的要求；
2）打造一支具有专业水准的、过硬本领的信息安全队伍。对内可以保障企业内部网安全，对外可以向社会提供高品质的安全服务；
3）建设一个 “信息安全运维中心（SOC）”，能够满足当前和未来的业务发展及信息安全组织运转的支撑系统，能够对外提供安全服务平台。
3.2 组织规划实施
对于组织规划这个方面，是属于一个企业信息安全规划的上层建筑，需要用一种由上而下的方法来实现，其主要是在具体人事机制、管理机制和培训机制上做工作。对于分布式企业而言，需要主导部门从上层着手，建章立制，强化安全教育，加大基础人力、财力和物力的投入。
4 信息安全管理规划
4.1 管理规划目标
信息安全管理规划的目标是，完善和形成“七套信息安全软措施”，具体包括：一套等级划分指标，一套信息安全策略，一套信息安全制度，一套信息安全流程规范，一套信息安全教育培训体系，一套信息安全风险监管机制，一套信息安全绩效考核指标。“七套信息安全软措施”关系如图1所示。
4.2 信息安全管理设计
基于对管理目标的分析，信息安全管理的原则以风险管理为主，集中安全控制。管理要素由管理对象、安全威胁、脆弱性、风险、保护措施组成。
4.2.1 信息安全等级划分指标
信息安全等级保护是国家在国民经济和社会信息化的发展过程中，提高信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化健康发展的基本策略。
4.2.2 信息安全策略
信息安全安全策略是关于保护对象说明、保护必要性描述、保护责任人、保护对策以及意外处理方法的总和。
4.2.3 信息安全制度
信息安全制度是指为信息资产的安全而制定的行为约束规则。
4.2.4 信息安全规范
信息安全规范是关于信息安全工作应达到的要求，在信息安全规范方面，根据调查，建立信息安全管理规范、信息安全技术规范。其中，安全管理规范主要针对人员、团队、制度和资源管理提供参照性准则；信息安全技术规范主要针对安全设计、施工、维护和操作提供技术性指导建议。
4.2.5 信息安全管理流程
信息安全流程是指工作中应遵循的信息安全程序，其目的是减少安全隐患，降低风险。
4.2.6 信息安全绩效考核指标
信息安全绩效考核指标是指针对信息安全工作的质量和态度而给出的评价依据，其目的是增强信息安全责任意识，提高信息安全工作质量。
4.2.7 信息安全监管机制
信息安全监管机制是指有关信息安全风险的识别、分析和控制的措施总和。其主要目的加强信息安全风险的控制，做到“安全第一，预防为主”。
4.2.8 信息安全教育培训体系
其主要目的加强的信息安全人才队伍的建设，提高企业人员的信息安全意识和技能，增强企业信息安全能力。
5 信息安全技术规划
5.1 技术规划目标
信息安全技术规划目标简言之是：给业务运营提供信息安全环境，为企业转型提供契机，构建信息安全服务支撑系统。具体目标如下：
1）打造信息安全基础环境，调整和优化IT基础设施，建立安全专网，设置两个中心（信息安全运维中心、灾备中心）；
2）建立一体化信息安全平台，综合集成安全决策调度、安全巡检、认证授权、安全防护、安全监控、安全审计、应急响应、安全服务、安全测试、安全培训等功能，实现的集中安全管理控制，快速安全事件响应，高可信的安全防护，拓展企业业务，开辟信息安全服务新领域。
5.2 信息安全运维中心(SOC)
SOC 是信息安全体系建设的基础性工作，SOC 承载用于监控第一生产网的安全专网核心基础设施，提供信息安全中心技术人员的办公场所，提供“7×24”小时连续不断的安全应用服务,提供实时监控、远程入侵发现、事件响应、安全更新与升级等业务，SOC 要求具有充分保障自身的安全措施。除了SOC 的组织建设、基础工程外，SOC 的技术性工作还要做以下几个方面：
1）硬件基础建设，主要内容是SOC 的选址、布局、布线、系统集成，实现SOC 自身的防火、防潮、防电、防尘、安全监控功能；
2）软件基础建设，包括SSS 系统、机房监控子系统、功能小组及中心组划分。
图1 信息安全软措施关系
图2 信息安全总体框架
图3 资产、组织、管理和安全措施的关系
5.3 信息安全综合测试环境
随着分布式企业信息化程度的日也加深，需要部署到大量IT 产品和应用系统，为了保障安全，必须对这些IT 系统和产品做入网前安全检查，消除安全隐患。基于此，综合测试环境建设的内容包括：安全测试网络；测试系统设备；安全测试工具；安全测试分析系统；安全测试知识库。
其中，安全测试网络要求能够模拟企业网络真实的带宽；测试系统设备能够提供典型的网络服务流量模拟、典型的应用系统流量模拟；安全测试工具覆盖防范类、检测类、评估类、应急恢复类、管理类等，并提供使用说明、漏洞扫描、应用安全分析；安全测试分析系统能够提供统计分析、图表展现功能；安全知识库包含以下内容：漏洞知识库，补丁信息库，安全标准知识库，威胁场景视频库，攻击特征知识库，信息安全解决案例库，安全产品知识库，安全概念和术语知识库。
5.4 安全平台建设规划
参照国际上PDRR 模型和国家信息安全方面规范，建议信息安全总体框架设计如图2所示。
主要目的，以资产为核心，通过安全组织实现资产保护，以安全管理来约束组织的行为，以技术手段辅助安全管理。其中，资产、组织、管理、安全措施的关系如图3所示，核心为资产，围绕资产是组织，组织是管理，最外层是安全措施。
在平台中集成十个安全机制，它们分别是：信息安全集中管理；信息安全巡检；信息安全认证授权；信息安全防护；信息安全监控；信息安全测试；信息安全审核；信息安全应急响应；信息安全教育培训；信息安全服务。
6 信息安全服务业务规划
6.1 服务业务规划目标
信息安全服务业务规划目标简言之是：以信息安全服务为切入点，充分发挥企业优势资源，引领信息安全市场，为企业转型创造时机。具体目标如下：
1）推出面向客户安全（检查、教育、配置）产品；2）推出面向大型企业的信息安全咨询产品；3）推出面向家庭安全上网产品；4）推出面向企业安全运维产品；5）推出面向企业灾害恢复产品。
6.2 服务业务规划设计
服务业务规划主要针对具体业务而言，在此列举信息类分布式企业业务作为示例：
1）信息安全咨询类产品，其服务功能主要有：信息安全风险评估；信息安全规划设计；信息安全产品顾问。
2）信息安全教育培训类产品，其服务功能主要有：提供信息安全操作环境；提供信息安全知识教育；提供信息安全运维教育。
3）家庭类安全服务产品，其服务功能主要有：推出“家庭绿色上网”安全服务；家庭上网防病毒服务；家庭上网机器安全检查服务；家庭上网机数据备份服务。
4）企业类安全服务产品，其服务功能主要有：企业安全上网控制服务；企业安全专网服务；安全信息通告；企业运维服务。
5）容灾类安全服务产品，其服务功能主要有：面向政府数据灾备服务；面向政府信息系统灾备服务；面向企业数据灾备服务；面向企业信息系统灾备服务。
7 结束语
通过结合分布式企业的具体实际，按照信息安全体系结构相关标准，提出了分布式企业的信息安全规划原则和目标。并依据次原则与目标，按照组织、管理和技术三个方面提出了具体的实现与设计规范原则。最后，依据服务规划目标，提出了信息类分布式企业的信息安全服务规划设计实例。
参考文献：
[1] 周晓梅. 论企业信息安全体系的建立[J]. 网络安全技术与应用，2006，3：62～64，57.
[2] Harold F. Tipton，Micki Krause. Information Security Management Handbook[M]. Fifth Edition.US：Auerbach Publications，2004.
[3] 魏永红,李天智,张志. 网络信息安全防御体系探讨[J].河北省科学院学报，2006,23,(1):25～28.
[4] 张庆华. 信息网络动态安全体系模型综述[J].计算机应用研究，2002,10:5～7.
[5] ISO/IEC 15408，13335，15004，14598，信息技术安全评估的系列标准[S].
[6] BS7799-1，7799-2，ISO/IEC 17799，信息安全管理系列标准[S].
[7] BS7799-2，Information Security Management Systems-Specification With Guidance for use[S].
篇3
中图分类号X9 文献标识码A 文章编号 1674-6708（2014）121-0124-02
0 引言
近年来，广东省总体上仍处于火灾易发、多发期，重大特大火灾事故时有发生。从火灾原因来看，多数火灾是由于消防安全意识不强、责任制不落实、消防安全常识缺乏、违反消防安全操作规程等人为因素引发的。广东省21个省辖市经济发展各异，因此在公共消防设施、消防装备建设等消防“硬实力”有较大发展的前提下，消防管理、全民消防安全常识等消防“软实力”则参差不齐，因此通过此次全民消防安全常识知晓情况调查和研究，对全省消防安全工作实现跨越式发展具有重要意义。
1全民消防安全知晓率的调研情况
1.1调研方法
广东省公安消防总队联合专业调查机构，采用计算机辅助电话调查（CATI）访对全省21个省辖市，2000个配额的电话进行访问。[1]
1.2调研样本分布情况
样本根据广东省各省辖市人口数占省总人口数的比例进行分配。本次调研有效样本是2010个，其中城镇居民1205个样本，农村居民805个样本。固话有效样本是1006个，手机有效样本1004个。
1.3调研样本基本情况
1.3.1 性别
本次调研有效样本中，男性、女性全民分别占比67.91%和32.09%。
1.3.2 年龄
大部分参与调查的全民属于青年群体和中年群体，样本具有一定的代表性，如图1。
1.3.3 职业
本次调研有效样本中，职业比例如图2。
1.4指标体系及计算方法
1.4.1消防安全常识知晓率指标体系及分项权重
全民消防安全常识知晓率指标体系，包括消防安全防范意识和火场自救逃生知识技能两个一级指标，消防安全防范意识细分为96119火灾隐患举报投诉电话知晓率，对家用电器线路、燃气管道、灶具等的检查习惯，居住或办公楼等周围消防设施的知晓率和人员密集场所安全出口关注度二级指标；火场自救逃生知识技能细分为了解灭火器功能及使用方法、拨打火警正确提供基本信息、燃气泄漏处理得当、家用电器或线路着火处理得当、火灾不乘坐电梯、身上着火处理得当和身处高层遭遇火情时能够正确应对情况二级指标。
1.4.2计算方法
全民消防安全常识知晓率得分=消防安全防范意识得分×0.4+火场自救逃生知识技能得分×0.6
消防安全防范意识得分=（96119火灾隐患举报投诉电话知晓率得分+对家用电器线路、燃气管道、灶具等的检查习惯得分+居住或办公楼等周围消防设施的知晓率得分+人员密集场所安全出口关注度得分）/4。
火场自救逃生知识技能得分=（了解灭火器功能及使用方法得分+拨打火警正确提供基本信息得分+燃气泄漏处理得当得分+家用电器或线路着火处理得当得分+火灾不乘坐电梯得分+身上着火处理得当得分+身处高层遭遇火情时能够正确应对情况）/7。
1.5总体调研结果
1.5.1广东省全民消防安全常识知晓率得分为55.18分[1]
从总体来看，广东省全民消防安全常识知晓率总体得分为55.18分，其中，安全防范意识得分为37.84分，火场自救逃生知识技能得分为66.74分。
1.5.2广东省全民有36.57%参与过正规火灾自救培训和逃生演习
从全省火灾自救培训和逃生演习全民参与情况来看，我省投入及宣传力度不够，仅有36.57%的全民表示参加过相关
活动。
2消防安全常识宣传教育措施
2.1 城市提升消防安全常识知晓率的措施[2]
联合网易邮箱、QQ邮箱、搜狐邮箱定期以发送公众消防安全常识订阅邮件；加强消防演习和对官方微博和“南粤消防在线”微信公众账号信息进行宣传，让公众通过更多的新型渠道了解消防安全资讯。
可以联合社区单位对不同行业/不同建筑的火灾防范情况和自救逃生技能进行分类统计，有的放矢地让消防宣传人员对相关的企业开展针对性强、扎实有效的上门宣讲工作。
2.2 农村提升消防安全常识知晓率的举措[3]
在冬春火灾多发季节、清明扫墓祭祖期间、春耕垦荒烧荒期、森林火灾多发期以及秋收季节等火灾多发期，地方政府要根据农村火灾的特点和规律，由村委会牵头，在组织开展农村生产经营单位防火安全检查的同时，不失时机地通过宣传单张普及消防安全常识，提醒村民在日常生活中对家用电器线路、燃气管道、灶具等的做到经常检查的习惯，做到防患于未然。
2.3消防常识宣传教育从源头抓起，从校园消防抓起
在学校消防重点部位和人员较密集等场所进行消防演习，如使用灭火器灭火，疏散逃生演练等。
采取给学生布置一份消防安全作业的形式，让学生与家长一起完成家庭火灾隐患排查和电器使用方面的安全检查。及时督促家庭成员发现和消除火灾隐患，并记录下自己的感受和启发。
参考文献
篇4
论文摘要:文章首先分析了信息安全外包存在的风险，根据风险提出信息安全外包的管理框架，并以此框架为基础详细探讨了信息安全外包风险与管理的具体实施。文章以期时信息安全外包的风险进行控制，并获得与外包商合作的最大收益。
1信息安全外包的风险
1.1信任风险
企业是否能与信息安全服务的外包商建立良好的工作和信任关系，仍是决定时候将安全服务外包的一个重要因素。因为信息安全的外包商可以访问到企业的敏感信息，并全面了解其企业和系统的安全状况，而这些重要的信息如果被有意或无意地对公众散播出去，则会对企业造成巨大的损害。并且，如若企业无法信任外包商，不对外包商提供一些关键信息的话，则会造成外包商在运作过程中的信息不完全，从而导致某些环节的失效，这也会对服务质量造成影响。因此，信任是双方合作的基础，也是很大程度上风险规避的重点内容。
1.2依赖风险
企业很容易对某个信息安全服务的外包商产生依赖性，并受其商业变化、商业伙伴和其他企业的影响，恰当的风险缓释方法是将安全服务外包给多个服务外包商，但相应地会加大支出并造成管理上的困难，企业将失去三种灵活性:第一种是短期灵活性，即企业重组资源的能力以及在经营环境发生变化时的应变能力;第二种是适应能力，即在短期到中期的事件范围内所需的灵活性，这是一种以新的方式处理变革而再造业务流程和战略的能力，再造能力即包括了信息技术;第三种灵活性就是进化性，其本质是中期到长期的灵活性，它产生于企业改造技术基本设施以利用新技术的时期。进化性的获得需要对技术趋势、商业趋势的准确预测和确保双方建立最佳联盟的能力。
1.3所有权风险
不管外包商提供服务的范围如何，企业都对基础设施的安全操作和关键资产的保护持有所有权和责任。企业必须确定服务外包商有足够的能力承担职责，并且其服务级别协议条款支持这一职责的履行。正确的风险缓释方法是让包括员工和管理的各个级别的相关人员意识到，应该将信息安全作为其首要责任，并进行安全培训课程，增强常规企业的安全意识。
1.4共享环境风脸
信息安全服务的外包商使用的向多个企业提供服务的操作环境要比单独的机构内部环境将包含更多的风险，因为共享的操作环境将支持在多企业之间共享数据传输(如公共网络)或处理(如通用服务器)，这将会增加一个企业访问另一企业敏感信息的可能性。这对企业而言也是一种风险。
1.5实施过程风险
启动一个可管理的安全服务关系可能引起企业到服务外包商，或者一个服务外包商到另一个外包商之间的人员、过程、硬件、软件或其他资产的复杂过渡，这一切都可能引起新的风险。企业应该要求外包商说明其高级实施计划，并注明完成日期和所用时间。这样在某种程度上就对实施过程中风险的时间期限做出了限制。
1.6合作关系失败将导致的风险
如果企业和服务商的合作关系失败，企业将面临极大的风险。合作关系失败带来的经济损失、时间损失都是不言而喻的，而这种合作关系的失败归根究底来自于企业和服务外包商之间的服务计划不够充分完善以及沟通与交流不够频繁。这种合作关系在任何阶段都有可能失败，如同其他商业关系一样，它需要给予足够的重视、关注，同时还需要合作关系双方进行频繁的沟通。
2信息安全外包的管理框架
要进行成功的信息安全外包活动，就要建立起一个完善的管理框架，这对于企业实施和管理外包活动，协调与外包商的关系，最大可能降低外包风险，从而达到外包的目的是十分重要的。信息安全外包的管理框架的内容分为几个主体部分，分别包括企业协同信息安全的外包商确定企业的信息安全的方针以及信息安全外包的安全标准，然后是对企业遭受的风险进行系统的评估.并根据方针和风险程度.决定风险管理的内容并确定信息安全外包的流程。之后，双方共同制定适合企业的信息安全外包的控制方法，协调优化企业的信息安全相关部门的企业结构，同时加强管理与外包商的关系。
3信息安全外包风险管理的实施
3.1制定信息安全方针
信息安全方针在很多时候又称为信息安全策略，信息安全方针指的是在一个企业内，指导如何对资产，包括敏感性信息进行管理、保护和分配的指导或者指示。信息安全的方针定义应该包括:(1)信息安全的定义，定义的内容包括信息安全的总体目标、信息安全具体包括的范围以及信息安全对信息共享的重要性;(2)管理层的目的的相关阐述;(3)信息安全的原则和标准的简要说明，以及遵守这些原则和标准对企业的重要性;(4)信息安全管理的总体性责任的定义。在信息安全方针的部分只需要对企业的各个部门的安全职能给出概括性的定义，而具体的信息安全保护的责任细节将留至服务标准的部分来阐明。
3.2选择信息安全管理的标准
信息安全管理体系标准BS7799与信息安全管理标准IS013335是目前通用的信息安全管理的标准:
(1)BS7799:BS7799标准是由英国标准协会指定的信息安全管理标准，是国际上具有代表性的信息安全管理体系标准，标准包括如下两部分:BS7799-1;1999《信息安全管理实施细则》;BS7799-2:1999((信息安全管理体系规范》。
(2)IS013335:IS013335《IT安全管理方针》主要是给出如何有效地实施IT安全管理的建议和指南。该标准目前分为5个部分，分别是信息技术安全的概念和模型部分;信息技术安全的管理和计划部分;信息技术安全的技术管理部分;防护和选择部分以及外部连接的防护部分。
3.3确定信息安全外包的流程
企业要根据企业的商业特性、地理位置、资产和技术来对信息安全外包的范围进行界定。界定的时候需要考虑如下两个方面:(1)需要保护的信息系统、资产、技术;(2)实物场所(地理位置、部门等)。信息安全的外包商应该根据企业的信息安全方针和所要求的安全程度，识别所有需要管理和控制的风险的内容。企业需要协同信息安全的外包商选择一个适合其安全要求的风险评估和风险管理方案，然后进行合乎规范的评估，识别目前面临的风险。企业可以定期的选择对服务外包商的站点和服务进行独立评估，或者在年度检查中进行评估。选择和使用的独立评估的方案要双方都要能够接受。在达成书面一致后，外包商授予企业独立评估方评估权限，并具体指出评估者不能泄露外包商或客户的任何敏感信息。给外包商提供关于检查范围的进一步消息和细节，以减少任何对可用性，服务程度，客户满意度等的影响。在评估执行后的一段特殊时间内，与外包商共享结果二互相讨论并决定是否需要解决方案和/或开发计划程序以应对由评估显示的任何变化。评估所需要的相关材料和文档在控制过程中都应该予以建立和保存，企业将这些文档作为评估的重要工具，对外包商的服务绩效进行考核。评估结束后，对事件解决方案和优先级的检查都将记录在相应的文件中，以便今后双方在服务和信息安全管理上进行改进。
3.4制定信息安全外包服务的控制规则
依照信息安全外包服务的控制规则，主要分为三部分内容:第一部分定义了服务规则的框架，主要阐明信息安全服务要如何执行，执行的通用标准和量度，服务外包商以及各方的任务和职责;第二部分是信息安全服务的相关要求，这个部分具体分为高层服务需求;服务可用性;服务体系结构;服务硬件和服务软件;服务度量;服务级别;报告要求，服务范围等方面的内容;第三部分是安全要求，包括安全策略、程序和规章制度;连续计划;可操作性和灾难恢复;物理安全;数据控制;鉴定和认证;访问控制;软件完整性;安全资产配置;备份;监控和审计;事故管理等内容。
3.5信息安全外包的企业结构管理具体的优化方案如下:
(1)首席安全官:CSO是公司的高层安全执行者，他需要直接向高层执行者进行工作汇报，主要包括:首席执行官、首席运营官、首席财务官、主要管理部门的领导、首席法律顾问。CSO需要监督和协调各项安全措施在公司的执行情况，并确定安全工作的标准和主动性，包括信息技术、人力资源、通信、法律、设备管理等部门。
(2)安全小组:安全小组的人员组成包括信息安全外包商的专业人员以及客户企业的内部IT人员和信息安全专员。这个小组的任务主要是依照信息安全服务的外包商与企业签订的服务控制规则来进行信息安全的技术。
(3)管理委员会:这是信息安全服务外包商和客户双方高层解决问题的机构。组成人员包括双方的首席执行官，客户企业的CIO和CSO，外包商的项目经理等相关的高层决策人员。这个委员会每年召开一次会议，负责审核年度的服务水平、企业的适应性、评估结果、关系变化等内容。
(4)咨询委员会:咨询委员会的会议主要解决计划性问题。如服务水平的变更，新的技术手段的应用，服务优先等级的更换以及服务的财政问题等，咨询委员会的成员包括企业内部的TI’人员和安全专员，还有财务部门、人力资源部门、业务部门的相关人员，以及外包商的具体项目的负责人。
(6)安全工作组:安全工作组的人员主要负责解决信息安全中某些特定的问题，工作组的人员组成也是来自服务外包商和企业双方。工作组与服务交换中心密切联系，将突出的问题组建成项目进行解决，并将无法解决的问题提交给咨询委员会。
(7)服务交换中心:服务交换中心由双方人员组成，其中主要人员是企业内部的各个业务部门中与信息安全相关的人员。他们负责联络各个业务部门，发掘出企业中潜在的信息安全的问题和漏洞，并将这些问题报告给安全工作组。
（8）指令问题管理小组:这个小组的人员组成全部为企业内部人员，包括信息安全专员以及各个业务部门的负责人。在安全小组的技术人员解决了企业中的安全性技术问题之后，或者，是当CSO了关于信息安全的企业改进方案之后，这些解决方案都将传送给指令问题管理小组，这个小组的人员经过学习讨论后，继而将其到各个业务部门。
篇5
1信息安全外包的风险
1.1信任风险
企业是否能与信息安全服务的外包商建立良好的工作和信任关系，仍是决定时候将安全服务外包的一个重要因素。因为信息安全的外包商可以访问到企业的敏感信息，并全面了解其企业和系统的安全状况，而这些重要的信息如果被有意或无意地对公众散播出去，则会对企业造成巨大的损害。并且，如若企业无法信任外包商，不对外包商提供一些关键信息的话，则会造成外包商在运作过程中的信息不完全，从而导致某些环节的失效，这也会对服务质量造成影响。因此，信任是双方合作的基础，也是很大程度上风险规避的重点内容。
1.2依赖风险
企业很容易对某个信息安全服务的外包商产生依赖性，并受其商业变化、商业伙伴和其他企业的影响，恰当的风险缓释方法是将安全服务外包给多个服务外包商，但相应地会加大支出并造成管理上的困难，企业将失去三种灵活性:第一种是短期灵活性，即企业重组资源的能力以及在经营环境发生变化时的应变能力;第二种是适应能力，即在短期到中期的事件范围内所需的灵活性，这是一种以新的方式处理变革而再造业务流程和战略的能力，再造能力即包括了信息技术;第三种灵活性就是进化性，其本质是中期到长期的灵活性，它产生于企业改造技术基本设施以利用新技术的时期。进化性的获得需要对技术趋势、商业趋势的准确预测和确保双方建立最佳联盟的能力。
1.3所有权风险
不管外包商提供服务的范围如何，企业都对基础设施的安全操作和关键资产的保护持有所有权和责任。企业必须确定服务外包商有足够的能力承担职责，并且其服务级别协议条款支持这一职责的履行。正确的风险缓释方法是让包括员工和管理的各个级别的相关人员意识到，应该将信息安全作为其首要责任，并进行安全培训课程，增强常规企业的安全意识。
1.4共享环境风脸
信息安全服务的外包商使用的向多个企业提供服务的操作环境要比单独的机构内部环境将包含更多的风险，因为共享的操作环境将支持在多企业之间共享数据传输(如公共网络)或处理(如通用服务器)，这将会增加一个企业访问另一企业敏感信息的可能性。这对企业而言也是一种风险。
1.5实施过程风险
启动一个可管理的安全服务关系可能引起企业到服务外包商，或者一个服务外包商到另一个外包商之间的人员、过程、硬件、软件或其他资产的复杂过渡，这一切都可能引起新的风险。企业应该要求外包商说明其高级实施计划，并注明完成日期和所用时间。这样在某种程度上就对实施过程中风险的时间期限做出了限制。
1.6合作关系失败将导致的风险
如果企业和服务商的合作关系失败，企业将面临极大的风险。合作关系失败带来的经济损失、时间损失都是不言而喻的，而这种合作关系的失败归根究底来自于企业和服务外包商之间的服务计划不够充分完善以及沟通与交流不够频繁。这种合作关系在任何阶段都有可能失败，如同其他商业关系一样，它需要给予足够的重视、关注，同时还需要合作关系双方进行频繁的沟通。
2信息安全外包的管理框架
要进行成功的信息安全外包活动，就要建立起一个完善的管理框架，这对于企业实施和管理外包活动，协调与外包商的关系，最大可能降低外包风险，从而达到外包的目的是十分重要的。信息安全外包的管理框架的内容分为几个主体部分，分别包括企业协同信息安全的外包商确定企业的信息安全的方针以及信息安全外包的安全标准，然后是对企业遭受的风险进行系统的评估.并根据方针和风险程度.决定风险管理的内容并确定信息安全外包的流程。之后，双方共同制定适合企业的信息安全外包的控制方法，协调优化企业的信息安全相关部门的企业结构，同时加强管理与外包商的关系。
3信息安全外包风险管理的实施
3.1制定信息安全方针
信息安全方针在很多时候又称为信息安全策略，信息安全方针指的是在一个企业内，指导如何对资产，包括敏感性信息进行管理、保护和分配的指导或者指示。信息安全的方针定义应该包括:(1)信息安全的定义，定义的内容包括信息安全的总体目标、信息安全具体包括的范围以及信息安全对信息共享的重要性;(2)管理层的目的的相关阐述;(3)信息安全的原则和标准的简要说明，以及遵守这些原则和标准对企业的重要性;(4)信息安全管理的总体性责任的定义。在信息安全方针的部分只需要对企业的各个部门的安全职能给出概括性的定义，而具体的信息安全保护的责任细节将留至服务标准的部分来阐明。
3.2选择信息安全管理的标准
信息安全管理体系标准BS7799与信息安全管理标准IS013335是目前通用的信息安全管理的标准:
(1)BS7799:BS7799标准是由英国标准协会指定的信息安全管理标准，是国际上具有代表性的信息安全管理体系标准，标准包括如下两部分:BS7799-1;1999《信息安全管理实施细则》;BS7799-2:1999((信息安全管理体系规范》。
(2)IS013335:IS013335《IT安全管理方针》主要是给出如何有效地实施IT安全管理的建议和指南。该标准目前分为5个部分，分别是信息技术安全的概念和模型部分;信息技术安全的管理和计划部分;信息技术安全的技术管理部分;防护和选择部分以及外部连接的防护部分。
3.3确定信息安全外包的流程
企业要根据企业的商业特性、地理位置、资产和技术来对信息安全外包的范围进行界定。界定的时候需要考虑如下两个方面:(1)需要保护的信息系统、资产、技术;(2)实物场所(地理位置、部门等)。信息安全的外包商应该根据企业的信息安全方针和所要求的安全程度，识别所有需要管理和控制的风险的内容。企业需要协同信息安全的外包商选择一个适合其安全要求的风险评估和风险管理方案，然后进行合乎规范的评估，识别目前面临的风险。企业可以定期的选择对服务外包商的站点和服务进行独立评估，或者在年度检查中进行评估。选择和使用的独立评估的方案要双方都要能够接受。在达成书面一致后，外包商授予企业独立评估方评估权限，并具体指出评估者不能泄露外包商或客户的任何敏感信息。给外包商提供关于检查范围的进一步消息和细节，以减少任何对可用性，服务程度，客户满意度等的影响。在评估执行后的一段特殊时间内，与外包商共享结果二互相讨论并决定是否需要解决方案和/或开发计划程序以应对由评估显示的任何变化。评估所需要的相关材料和文档在控制过程中都应该予以建立和保存，企业将这些文档作为评估的重要工具，对外包商的服务绩效进行考核。评估结束后，对事件解决方案和优先级的检查都将记录在相应的文件中，以便今后双方在服务和信息安全管理上进行改进。
3.4制定信息安全外包服务的控制规则
依照信息安全外包服务的控制规则，主要分为三部分内容:第一部分定义了服务规则的框架，主要阐明信息安全服务要如何执行，执行的通用标准和量度，服务外包商以及各方的任务和职责;第二部分是信息安全服务的相关要求，这个部分具体分为高层服务需求;服务可用性;服务体系结构;服务硬件和服务软件;服务度量;服务级别;报告要求，服务范围等方面的内容;第三部分是安全要求，包括安全策略、程序和规章制度;连续计划;可操作性和灾难恢复;物理安全;数据控制;鉴定和认证;访问控制;软件完整性;安全资产配置;备份;监控和审计;事故管理等内容。
3.5信息安全外包的企业结构管理具体的优化方案如下:
(1)首席安全官:CSO是公司的高层安全执行者，他需要直接向高层执行者进行工作汇报，主要包括:首席执行官、首席运营官、首席财务官、主要管理部门的领导、首席法律顾问。CSO需要监督和协调各项安全措施在公司的执行情况，并确定安全工作的标准和主动性，包括信息技术、人力资源、通信、法律、设备管理等部门。
(2)安全小组:安全小组的人员组成包括信息安全外包商的专业人员以及客户企业的内部IT人员和信息安全专员。这个小组的任务主要是依照信息安全服务的外包商与企业签订的服务控制规则来进行信息安全的技术。
(3)管理委员会:这是信息安全服务外包商和客户双方高层解决问题的机构。组成人员包括双方的首席执行官，客户企业的CIO和CSO，外包商的项目经理等相关的高层决策人员。这个委员会每年召开一次会议，负责审核年度的服务水平、企业的适应性、评估结果、关系变化等内容。
(4)咨询委员会:咨询委员会的会议主要解决计划性问题。如服务水平的变更，新的技术手段的应用，服务优先等级的更换以及服务的财政问题等，咨询委员会的成员包括企业内部的TI’人员和安全专员，还有财务部门、人力资源部门、业务部门的相关人员，以及外包商的具体项目的负责人。
(6)安全工作组:安全工作组的人员主要负责解决信息安全中某些特定的问题，工作组的人员组成也是来自服务外包商和企业双方。工作组与服务交换中心密切联系，将突出的问题组建成项目进行解决，并将无法解决的问题提交给咨询委员会。
(7)服务交换中心:服务交换中心由双方人员组成，其中主要人员是企业内部的各个业务部门中与信息安全相关的人员。他们负责联络各个业务部门，发掘出企业中潜在的信息安全的问题和漏洞，并将这些问题报告给安全工作组。
（8）指令问题管理小组:这个小组的人员组成全部为企业内部人员，包括信息安全专员以及各个业务部门的负责人。在安全小组的技术人员解决了企业中的安全性技术问题之后，或者，是当CSO了关于信息安全的企业改进方案之后，这些解决方案都将传送给指令问题管理小组，这个小组的人员经过学习讨论后，继而将其到各个业务部门。
篇6
论文关键词:信息安全外包风险管理
1信息安全外包的风险
1.1信任风险
企业是否能与信息安全服务的外包商建立良好的工作和信任关系，仍是决定时候将安全服务外包的一个重要因素。因为信息安全的外包商可以访问到企业的敏感信息，并全面了解其企业和系统的安全状况，而这些重要的信息如果被有意或无意地对公众散播出去，则会对企业造成巨大的损害。并且，如若企业无法信任外包商，不对外包商提供一些关键信息的话，则会造成外包商在运作过程中的信息不完全，从而导致某些环节的失效，这也会对服务质量造成影响。因此，信任是双方合作的基础，也是很大程度上风险规避的重点内容。
1.2依赖风险
企业很容易对某个信息安全服务的外包商产生依赖性，并受其商业变化、商业伙伴和其他企业的影响，恰当的风险缓释方法是将安全服务外包给多个服务外包商，但相应地会加大支出并造成管理上的困难，企业将失去三种灵活性:第一种是短期灵活性，即企业重组资源的能力以及在经营环境发生变化时的应变能力;第二种是适应能力，即在短期到中期的事件范围内所需的灵活性，这是一种以新的方式处理变革而再造业务流程和战略的能力，再造能力即包括了信息技术;第三种灵活性就是进化性，其本质是中期到长期的灵活性，它产生于企业改造技术基本设施以利用新技术的时期。进化性的获得需要对技术趋势、商业趋势的准确预测和确保双方建立最佳联盟的能力。
1.3所有权风险
不管外包商提供服务的范围如何，企业都对基础设施的安全操作和关键资产的保护持有所有权和责任。企业必须确定服务外包商有足够的能力承担职责，并且其服务级别协议条款支持这一职责的履行。正确的风险缓释方法是让包括员工和管理的各个级别的相关人员意识到，应该将信息安全作为其首要责任，并进行安全培训课程，增强常规企业的安全意识。
1.4共享环境风脸
信息安全服务的外包商使用的向多个企业提供服务的操作环境要比单独的机构内部环境将包含更多的风险，因为共享的操作环境将支持在多企业之间共享数据传输(如公共网络)或处理(如通用服务器)，这将会增加一个企业访问另一企业敏感信息的可能性。这对企业而言也是一种风险。
1.5实施过程风险
启动一个可管理的安全服务关系可能引起企业到服务外包商，或者一个服务外包商到另一个外包商之间的人员、过程、硬件、软件或其他资产的复杂过渡，这一切都可能引起新的风险。企业应该要求外包商说明其高级实施计划，并注明完成日期和所用时间。这样在某种程度上就对实施过程中风险的时间期限做出了限制。
1.6合作关系失败将导致的风险
如果企业和服务商的合作关系失败，企业将面临极大的风险。合作关系失败带来的经济损失、时间损失都是不言而喻的，而这种合作关系的失败归根究底来自于企业和服务外包商之间的服务计划不够充分完善以及沟通与交流不够频繁。这种合作关系在任何阶段都有可能失败，如同其他商业关系一样，它需要给予足够的重视、关注，同时还需要合作关系双方进行频繁的沟通。
2信息安全外包的管理框架
要进行成功的信息安全外包活动，就要建立起一个完善的管理框架，这对于企业实施和管理外包活动，协调与外包商的关系，最大可能降低外包风险，从而达到外包的目的是十分重要的。信息安全外包的管理框架的内容分为几个主体部分，分别包括企业协同信息安全的外包商确定企业的信息安全的方针以及信息安全外包的安全标准，然后是对企业遭受的风险进行系统的评估.并根据方针和风险程度.决定风险管理的内容并确定信息安全外包的流程。之后，双方共同制定适合企业的信息安全外包的控制方法，协调优化企业的信息安全相关部门的企业结构，同时加强管理与外包商的关系。
3信息安全外包风险管理的实施
3.1制定信息安全方针
信息安全方针在很多时候又称为信息安全策略，信息安全方针指的是在一个企业内，指导如何对资产，包括敏感性信息进行管理、保护和分配的指导或者指示。信息安全的方针定义应该包括:(1)信息安全的定义，定义的内容包括信息安全的总体目标、信息安全具体包括的范围以及信息安全对信息共享的重要性;(2)管理层的目的的相关阐述;(3)信息安全的原则和标准的简要说明，以及遵守这些原则和标准对企业的重要性;(4)信息安全管理的总体性责任的定义。在信息安全方针的部分只需要对企业的各个部门的安全职能给出概括性的定义，而具体的信息安全保护的责任细节将留至服务标准的部分来阐明。
3.2选择信息安全管理的标准
信息安全管理体系标准BS7799与信息安全管理标准IS013335是目前通用的信息安全管理的标准:
(1)BS7799:BS7799标准是由英国标准协会指定的信息安全管理标准，是国际上具有代表性的信息安全管理体系标准，标准包括如下两部分:BS7799-1;1999《信息安全管理实施细则》;BS7799-2:1999((信息安全管理体系规范》。
(2)IS013335:IS013335《IT安全管理方针》主要是给出如何有效地实施IT安全管理的建议和指南。该标准目前分为5个部分，分别是信息技术安全的概念和模型部分;信息技术安全的管理和计划部分;信息技术安全的技术管理部分;防护和选择部分以及外部连接的防护部分。
3.3确定信息安全外包的流程
企业要根据企业的商业特性、地理位置、资产和技术来对信息安全外包的范围进行界定。界定的时候需要考虑如下两个方面:(1)需要保护的信息系统、资产、技术;(2)实物场所(地理位置、部门等)。信息安全的外包商应该根据企业的信息安全方针和所要求的安全程度，识别所有需要管理和控制的风险的内容。企业需要协同信息安全的外包商选择一个适合其安全要求的风险评估和风险管理方案，然后进行合乎规范的评估，识别目前面临的风险。企业可以定期的选择对服务外包商的站点和服务进行独立评估，或者在年度检查中进行评估。选择和使用的独立评估的方案要双方都要能够接受。在达成书面一致后，外包商授予企业独立评估方评估权限，并具体指出评估者不能泄露外包商或客户的任何敏感信息。给外包商提供关于检查范围的进一步消息和细节，以减少任何对可用性，服务程度，客户满意度等的影响。在评估执行后的一段特殊时间内，与外包商共享结果二互相讨论并决定是否需要解决方案和/或开发计划程序以应对由评估显示的任何变化。评估所需要的相关材料和文档在控制过程中都应该予以建立和保存，企业将这些文档作为评估的重要工具，对外包商的服务绩效进行考核。评估结束后，对事件解决方案和优先级的检查都将记录在相应的文件中，以便今后双方在服务和信息安全管理上进行改进。
3.4制定信息安全外包服务的控制规则
依照信息安全外包服务的控制规则，主要分为三部分内容:第一部分定义了服务规则的框架，主要阐明信息安全服务要如何执行，执行的通用标准和量度，服务外包商以及各方的任务和职责;第二部分是信息安全服务的相关要求，这个部分具体分为高层服务需求;服务可用性;服务体系结构;服务硬件和服务软件;服务度量;服务级别;报告要求，服务范围等方面的内容;第三部分是安全要求，包括安全策略、程序和规章制度;连续计划;可操作性和灾难恢复;物理安全;数据控制;鉴定和认证;访问控制;软件完整性;安全资产配置;备份;监控和审计;事故管理等内容。
3.5信息安全外包的企业结构管理具体的优化方案如下:
(1)首席安全官:CSO是公司的高层安全执行者，他需要直接向高层执行者进行工作汇报，主要包括:首席执行官、首席运营官、首席财务官、主要管理部门的领导、首席法律顾问。CSO需要监督和协调各项安全措施在公司的执行情况，并确定安全工作的标准和主动性，包括信息技术、人力资源、通信、法律、设备管理等部门。
(2)安全小组:安全小组的人员组成包括信息安全外包商的专业人员以及客户企业的内部IT人员和信息安全专员。这个小组的任务主要是依照信息安全服务的外包商与企业签订的服务控制规则来进行信息安全的技术。
(3)管理委员会:这是信息安全服务外包商和客户双方高层解决问题的机构。组成人员包括双方的首席执行官，客户企业的CIO和CSO，外包商的项目经理等相关的高层决策人员。这个委员会每年召开一次会议，负责审核年度的服务水平、企业的适应性、评估结果、关系变化等内容。
(4)咨询委员会:咨询委员会的会议主要解决计划性问题。如服务水平的变更，新的技术手段的应用，服务优先等级的更换以及服务的财政问题等，咨询委员会的成员包括企业内部的TI’人员和安全专员，还有财务部门、人力资源部门、业务部门的相关人员，以及外包商的具体项目的负责人。
(6)安全工作组:安全工作组的人员主要负责解决信息安全中某些特定的问题，工作组的人员组成也是来自服务外包商和企业双方。工作组与服务交换中心密切联系，将突出的问题组建成项目进行解决，并将无法解决的问题提交给咨询委员会。
(7)服务交换中心:服务交换中心由双方人员组成，其中主要人员是企业内部的各个业务部门中与信息安全相关的人员。他们负责联络各个业务部门，发掘出企业中潜在的信息安全的问题和漏洞，并将这些问题报告给安全工作组。
（8）指令问题管理小组:这个小组的人员组成全部为企业内部人员，包括信息安全专员以及各个业务部门的负责人。在安全小组的技术人员解决了企业中的安全性技术问题之后，或者，是当CSO了关于信息安全的企业改进方案之后，这些解决方案都将传送给指令问题管理小组，这个小组的人员经过学习讨论后，继而将其到各个业务部门。
篇7
2安全保障体系要素
在铁路信息系统中，无论是系统的建设、运行、灾难恢复、事件处置等活动，还是其支撑的运输业务和服务等系统目标，都离不开管理和技术两个安全要素的综合保证，其中管理是核心，在安全管理措施的控制下，只有具备安全资质的业务人员才可以在已经获得认证认可的技术手段支持下，执行规定的操作流程。
2.1铁路信息安全管理体系
铁路信息安全管理体系必须以国家信息安全相关法规、政策和标准以及铁路相关法规政策为基础和依据。按照GB/T22239—2008《信息安全技术信息系统安全等级保护基本要求》、GB/T22080—2008《信息技术安全技术信息安全管理体系要求》和GB/T22081—2008《信息技术安全技术信息安全管理实用规则》等国家标准和指南，结合我国铁路实际情况，将铁路信息安全管理体系划分为11个安全控制类别，其中包括信息安全政策、信息安全组织、资产业务、信息安全环境、设备使用、通信网络、配置授权、安全事件处置、安全运维、安全合规和灾备恢复等管理内容；在11个安全控制类别的基础上，建立铁路信息安全管理制度框架，如铁路信息资产管理制度、互联网访问管理制度、人员安全培训制度、机房管理制度、产品准入制度、系统运维制度、安全事件处理流程规定、介质管理制度、电子邮件使用管理规定、铁路软件开发管理流程规定等（见图2）。
2.2铁路信息安全技术框架
铁路信息安全技术框架是铁路信息安全保障体系的重要组成内容，主要包括安全管理、身份管理、授权管理、灾备管理、监控审计、可信保证等技术机制（见图3）。管理安全是统领铁路信息安全保障的纲领，纲举才能目张，构建一个全路信息系统可视化管理平台，以便对网络、计算机设备、应用系统部署、操作用户及角色、运维状态等关键信息进行全局的监控，提高对系统中安全问题及其隐患的发现、分析和防范能力。由全路统一身份管理平台、授权管理机制和责任认定构成的铁路网络信任管理体系是保障铁路信息安全可信和安全的前提。全路灾难备份和恢复策略管理是铁路信息系统可信、安全和业务可持续性的后盾。以密码技术为基础的可信计算技术为软硬件资源的安全和隔离提供了结构化保证，为计算环境的可信可靠（完整性）提供了有效的判别手段，为关键数据提供了可信安全存储，为分布式计算的安全机制一致性和网络接入控制提供了远程可信证明方法。可信计算技术是构建铁路信息安全保障体系的基础支撑。
2.3铁路信息安全的组织保证
铁路信息系统安全应该在组织上加以保证。在具体组织形式上应该由中国铁路总公司（简称总公司）主管领导和部门具体负责铁路信息安全的领导和组织工作，由相关专业职能部门分工协作，在铁路信息化的整体工作布局中设置专门机构和岗位、明确相关职责、配备信息安全专业技术和管理人员，确保信息安全管理制度的有效落实和信息安全技术机制的可操作性。铁路信息安全组织保证框架见图4。总公司信息安全主管部门应该包括以下职能机构：法规政策标准管理机构负责制定铁路信息安全相关法规、政策、标准和规范，并负责铁路业务应用密码的管理工作；安全建设运维管理机构根据铁路信息安全相关法规、政策、标准和规范，参与铁路信息系统及其安全基础设施的设计、开发和运维审核和监管工作；信息安全风险管理机构负责对进入铁路信息系统的相关产品进行测评认证，对运行系统进行安全监控，负责信息系统的安全风险管理工作；安全事件处置管理机构负责对系统紧急事件进行处理，对舆情进行综合分析，并根据事件性质和处理结果对事件进行通报；安全保密培训服务中心负责全路的信息安全法律法规、政策标准、安全意识和安全技能的培训提高工作，负责组织安排和协调社会力量以及高校等培训机构具体实施常态化信息安全培训工作；安全灾备恢复管理机构负责重要信息系统的运行和数据备份实施工作，并在系统出现严重故障后，迅速协调相关部门恢复服务或业务数据，保障关键业务服务的运行连续性。各铁路局（公司）应该参照总公司信息安全管理组织结构，设置相关部门或相关专职岗位，并有铁路局（公司）领导具体分管信息安全工作。铁路局（公司）信息安全工作应该在总公司统一组织、协调和安排下开展具体工作。
2.4铁路信息系统安全基础设施
铁路信息系统必须依赖于铁路网络与信息安全基础设施作为其安全支撑基础。铁路网络与信息安全基础设施不仅可以落实铁路集中统一安全管理的要求，提高铁路信息系统的安全水平，还能有效降低铁路信息安全的建设和运维成本。铁路信息安全基础设施包括铁路信息系统灾备恢复中心、铁路业务应用密码管理中心、数字证书系统、集中安全管理及认证授权中心、安全监控中心、安全隔离平台、信息安全培训平台以及铁路网络舆情分析系统（见图5）。铁路信息系统灾备恢复中心可以将由于系统重大故障或破坏带来的业务中断降低到最小程度，提高铁路的服务水平；铁路业务应用密码管理中心是保护铁路重要数据安全和业务安全的基础保证，同时它也是全路统一信任体系的技术基础；铁路数字证书系统可以在全路范围内建立统一的身份认证体系，提高铁路的信息安全集中管理能力，降低安全管理成本；铁路集中管理及认证授权中心通过全路集中的信息安全平台实现高效、统一的安全管理，保证安全策略的快速一致化部署；铁路信息系统安全监控中心可以对铁路信息系统的安全运行状态进行监控，掌握铁路信息系统的运行态势，从而实现在铁路信息系统中防患于未然，有效降低系统安全风险；铁路安全隔离平台是隔离铁路内部服务网和外部服务网的安全措施，它保证了铁路安全生产网络的正常运行；铁路信息安全培训平台对保证提高铁路员工的信息安全意识、培养安全素养极为重要，是人员安全的必要保证；铁路网络舆情分析系统对铁路了解社会评价、改善铁路社会化服务水平、提高铁路形象至为关键。
2.5铁路信息安全意识培养、培训和教育管理
要搞好铁路信息系统的信息安全管理，离不开相关人员的安全意识培养、技能培训和专业教育。铁路信息安全意识培养、培训和教育分别针对不同层次和专业的人员而设。信息安全意识培养通过对信息安全术语、议题和基本概念的宣传、宣导，吸引一般人群对信息安全的关注，帮助人们了解信息安全所关注的问题，并能因此产生正确的响应；信息安全培训让信息系统相关人员获得相关的技能和必备的资质，使其在信息安全管理、设计、开发、建设、运维、操作、评估和使用等方面满足与信息安全相关的岗位职能要求，培训可以分为初级、中级和高级等多个层次；信息安全教育则从信息安全专业理论、技术、经验等方面培养信息安全专家，与信息安全培训一样，这种信息安全教育也应分为初级、中级和高级等多个层次。为降低信息安全意识培养、培训和教育的管理和运作成本，铁路信息安全资质认证也可以和国家其他部门的资质认证机构合作，对一些可信度高、有较高权威的信息安全资质证书采取等同认可方法。铁路信息安全意识培养、培训和教育管理框架见图6。铁路信息安全意识培养、培训和教育管理可分为两方面：一方面是针对全部相关人员的信息安全意识培养。安全意识培养是一个长期的宣传和贯导工作，可以通过制度奖惩、危机教育、标语口号等方式建立普遍的信息安全概念，推广信息安全文化；另一方面是针对岗位定义不同的信息安全资质要求，并这对这些资质要求建立相对应的信息安全技能和专业培训、教育，为了满足这些资质培训教育工作，总公司必须建立相关的培训和认证机制，设置相关的机构。
2.6系统流程及操作安全保证
系统流程和操作安全是指铁路信息安全建设、运维和灾备恢复等活动的流程和操作安全，它旨在保证铁路信息系统及其安全基础设施在安全生命周期中主要阶段的过程安全。在铁路信息安全建设和运行过程中，要制定并依托相关的铁路网络与信息安全管理制度、技术标准规范和组织部门机构，对系统的安全设计、产品测评准入、安全工程等过程进行安全管控，从根本上杜绝系统在结构上的安全缺陷、严防不合规的产品进入系统、保证系统建设施工的安全规范；在铁路信息系统的日常运行过程中，也必须建立系统风险监控、评估和控制的管理和技术体系，通过专业专职的机构和部门，对系统的安全状态进行实时监控、对系统安全风险进行定期或不定期的评估；对安全事件进行预案规划、演练和应急处置，避免重大安全事件的发生；对系统服务或重要数据实施安全灾备，最大程度地减少系统故障带来的铁路运输业务和服务中断时间，减小风险后果。铁路信息安全建设、运维和灾备恢复流程见图7。
篇8
2安全策略
信息安全策略研究就是依据国家信息安全的方针政策、法律法规和工作要求，结合企业实际情况和管理要求，制订企业信息安全防护的建设方针和基本要求，对信息安全管理体系、技术体系和运维体系中的各种安全控制措施和机制的部署提出目标和原则，是信息化“建、管、用”各项工作和各个环节必须遵守的安全规则，也是针对每个系统和设备制订分项安全策略的依据。
3安全管理
信息安全管理可参照信息安全管理模型，按照先进的信息安全管理标准ISO17799标准建立组织完整的安全管理体系并实施与保持，达到动态的、系统的、全员参与、制度化的、以预防为主的信息安全管理方式。管理体系架构可分为四层，最高层为企业信息安全总体策略，为下面的各项分策略和具体的规章制度提供指导。第二层为企业信息安全组织体系，作用在于指导实施安全体系，制定安全的相关标准和方针，监管安全事件等。组织体系须设立专门的管理机构，配备相应的安全管理人员，明确主管领导，落实部门责任，各尽其职。第三层为根据总策略，对信息安全涉及的各方面制定有针对性的分项策略，为安全的具体实施提供管理和技术上的指导。第四层为具体的安全管理制度。
篇9
1)主要内容
等级保护是指导我国信息安全保障体系总体建设的基础管理原则，是围绕信息安全保障全过程的一项基础性管理制度，其核心内容是对信息安全分等级、按标准进行建设、管理和监督。
2)优点
等级保护适用于宏观层面，是一种大范围“基线安全”，适用于行业主管部门对信息安全的总体把握与监控。
3)缺点
具体到某个组织的信息安全保护而言，等级保护的粒度划分较粗，在满足组织对信息安全的精细控制要求方面还存在不足。因此，在满足监管部门的等级保护要求之后，组织还可进一步把等级细化到各种层次的安全域，直至对一个个的信息资产进行有效管理。
2.信息安全管理体系(ISMS)
1)主要内容
类似于质量之于ISO9000，ISMS是组织为提高信息安全管理水平，按照ISO27001的要求，在整体或特定范围内监理的信息安全方针和目标，以及完成这些目标所用的方法和体系。它是直接管理活动的结果，表示为方针、原则、目标、方法、计划、活动、程序、过程和资源的集合。
2)优点
ISMS涉及了信息安全的11个领域，133个控制措施，基本涵盖了信息安全的方方面面，适用于各种类型的组织用来建立一个总体的安全控制框架;ISMS更注重于把“安全管理”当作一种制度来建设，通过建立统一的方针、策略，以及规范化安全规则，使ISMS实施主体能有效地识别风险，持续不断地采取管控措施，以把风险降低到组织可接受的程度。
3)缺点
它只是描述了建立ISMS的思想、框架，但对如何建立ISMS并没有一个详细明确的定义，也没有描述ISMS的最终形态;没有确定建立信息安全体系的具体方法与技术。因此，ISMS对实施者来说留下来很大的可操作空间，不同的组织和不同实施着对ISMS标准的把握可能差别很大，ISMS总体水平也会有高下之分。
3.风险评估
1)主要内容
风险评估是获知组织当前风险水平的一种手段，在金融、电子商务等许多领域都是有风险及风险评估需求的存在。当风险评估应用于IT安全领域时，就是对信息安全的风险评估。
2)优点
风险评估从早起简单的漏洞扫描、人工审计、渗透性测试这种类型的纯技术操作，逐渐过渡到目前普遍采用ISO17799、OCTAVE、NIST SP800、NIST P800-26、NIST SP800-30、AS/NZS4360、SSE-CMM等方法，充分体现以资产为出发点、以威胁为触发、以技术/管理/运行等方面存在的脆弱性为诱因的信息安全风险评估综合方法及操作模型。
国内这几年对信息安全风险评估的研究进展较快，具体的评估方法也在不断改进。原国信办2004年组织完成了《信息安全风险评估指南》及《信息安全风险管理指南》标准草案的制定，并在其中规定了信息安全风险评估的工作流程、评估内容、评估方法和风险判断准测，对规范我国信息安全风险评估的做法具有很好的指导意义。
3)缺点
篇10
一、金控的定义与历史机遇
（一）金控的定义
金控是金融控股的简称，是指在同一控制权下，完全或主要在银行业、证券业、保险业中至少两个不同的行业提供服务的金融集团。从定义上可以直接反映出金控公司的特点：多金融牌照混业经营，由一家集团母公司控股，通过子公司独立运作各项金融业务。
（二）金控的历史机遇
金控公司出现之初，集团母公司多是扮演财务投资的角色，不参与具体业务的运营。随着国家“十三五”工作的推进，金融改革不断深化和多元化，单一业务的聚集效应在减弱，而以多业务构建“客户-平台-资产”供应链闭环生态系统的金控平台则迎来其历史发展机遇。其通过资源协同、渠道整合、交叉销售等运营模式，促进供应链上各项金融业务的联动发展，最大程度地发挥了产品互补优势，提高效能，享受高额市场回报。
二、金控体系下信息化建设的重要性和安全需求
（一）信息化建设的重要性
打造金控体系下多牌照的闭环生态系统，离不开信息化平台的建设。换个角度，信息系统是多牌照业务融合、产品创新和效能提升的一种有效手段。如通过信息化建设金控体系下统一的客户系统、全面风险管理系统、产品销售系统、大数据分析平台等，可助力金控集团建立品牌效应，快速响应多元化的市场需求，从而实现业务的爆发式增长。基于信息化的重要性，综观目前市场上的各类金控公司，都在大力发展信息化建设，寻找业务创新点，引领行业升级和抢占市场。
（二）信息安全需求分析
对于互联网时代的金融企业来说，数据是核心，安全是生命线。随着《网络安全法》的实施，信息安全已上升到国家战略层面，构建金融企业的信息安全防护网势在必行。对于金控公司来说，由于是混业经营模式，旗下不同牌照的子公司，因其监管部门不同以及对信息安全要求不一样，在规划其信息安全时，必须将多牌照的特点融入到安全体系内，同时满足信息安全和业务发展的平衡需求，以免顾此失彼，得不偿失。
三、金控体系下信息安全体系规划
建立一套金控公司的安全体系，必须同时从管理和技术角度进行规划，管理是运营措施，而技术是操作手段，相辅相成，缺一不可。
（一）信息安全管理体系的规划
1.对标的选择。建立一套信息安全体系，目前可对标的标准和规范包括国际标准ISO27001、国家安全标准、各监管机构的安全指引、信息安全等级保护管理办法，以及行业的最佳实践等。对于金控信息安全管理体系的规划，应该以ISO27001为基础，结合监管的合规要求进行编制。2.设计原则。通常情况下混业经营企业在制定企业管理体系标准时要照顾到各方的使用需求，其标准具有通用性和广泛性。具体使用部门或子公司可再结合自身业务特点，制定更具体的操作规范。但对于金控行业来说，由于旗下各子公司经营的都是金融业务，对信息安全的要求比普通企业更严格，信息安全是其不可逾越的红线。因此在为其设计信息安全管理体系时，应反其道而行，从严要求，以最严格的标准进行编制，做好顶层设计，然后根据各子公司的业务特点，对制度或规范做适当的裁减或降低等级要求。3.管理体系模型。信息安全管理体系是一个多层次的模型，如图1所示。在该模型中，第一层是企业信息安全方针政策，说明企业信息安全总体目标、范围、原则和安全框架等；第二层是企业安全管理制度和规范，说明体系运行所需要的通用管理要求；第三层属于安全管理活动中，用于约束安全行为的具体方法；第四层是配套的表单和记录，用于辅助制度和管理办法的执行。4.安全目标和方针的设计。虽然是混业经营，但对于金控集团及旗下各子公司来说，信息安全的目标应该是一致的，本质都是追求企业数据的保密性、完整性和可用性，所以安全方针可以基于集团统一考虑，设计为：安全、合规、协同、务实。安全：以风险管控为核心，主动识别、管控并重，为用户提供安全、可靠的信息技术服务。合规：按照国家法律法规及行业监管要求，建立满足集团业务发展需求，并具有专业能力的信息安全管理机制。协同：全员参与，对全体员工进行持续的信息安全教育和培训，不断增强员工的信息安全意识和能力。务实：以经济适用为准则，选择适应公司发展变化的业务架构和稳定灵活的技术架构，满足各业务条线的管理和决策需要。5.组织架构的设计。信息安全方针的贯彻，安全制度的执行，安全技术的部署，都需要通过安全管理组织来推行。各个模块相互之间的关系如图2所示。对于金控行业公司而言，由于多数子公司都是独立法人，无法完全成立一个实体安全组织，而是一个横跨集团和各子公司的虚拟安全组织。为保证安全组织的有效性和执行力，应具有分工合理、职责明确、相互制衡、报告关系清晰的特点。6.管理制度及规范的设计。管理制度和规范是属于企业运营措施，根据ISO27001标准模型，安全管理制度划分了14个控制域，涵盖的内容如图3所示。根据各控制域的关联关系，结合金融企业的安全需求，企业的安全管理制度通用全景图设计如图4所示。
（二）信息安全技术体系规划
技术体系属于信息安全操作层面的内容，应该是围绕整个数据生命周期展开规划的。根据数据的运动轨迹，经历“生产-传输-计算-存储-消亡”等阶段，所以信息安全技术体系的范围，应该涵盖物理环境、基础架构（含虚拟化层）、应用、数据和访问控制等。一般通用的安全技术体系全景如图5所示。由于安全技术需要部署大量的专业设备，对于混业经营的金控公司而言，可以发挥集团总部的先天优势，对于一些共性的安全技术方案，由集团统一规划和部署，然后为各子公司提供相应的安全服务，减少投入，节约成本。例如防病毒系统，由集团总部部署服务端，各子公司部署客户端即可，类似的安全技术服务还有漏洞扫描系统、身份认证系统、终端准入系统、APT检测系统、安全渗透服务、安全培训服务等。
四、金控体系下信息安全的实践
由于是混业经营，在组建了横跨集团和各子公司的安全组织后，还需要不断地进行实践以达到最佳效果，以下是一些具有特色的实践场景。
（一）信息安全事件的统一管理
信息安全事件的管理是安全制度之一，有效的事件管理可以积极发挥安全效能，提升全集团的安全能力。1.情报共享，协同防护。在管理层面，原各业务子公司只会向其外部监管部门报送安全信息，相互独立，不能有效共享相关的安全情报。新的模式下要求子公司同时将安全信息上报集团总部，总部通过分析后形成统一报告，再发放到各个子公司。通过这种方式，一方面可以实现情报共享，另一方面可以实现信息安全的统一管控，协调防护。2.统一监控，快速反应。在技术层面，可通过在子公司部署探针，建立集团的统一安全监控平台，对集团内所有的安全日志进行采集、分析、响应，同时结合集团和各子公司的安全保护措施对事件进行快速处理，合纵连横，从而保证整个集团和各子公司信息系统的安全稳定运行。
（二）子公司信息安全建设的管理
对于多牌照的金控公司来说，旗下各子公司业务种类不同，规模也有区别。在信息安全的建设方面，应该有区分对待。对于规模较大的子公司，依靠自身力量建设了数据中心及安全体系的，除一些共性的安全技术方案可由集团提供以外，其他的安全措施由子公司执行，集团主要是发挥标准制定和监管的角色。对于规模较小的子公司，由于IT力量较弱，数据中心体量有限，很难依靠自身建设完整的信息安全保护体系。在监管许可的情况下，可以将子公司的信息系统托管在集团数据中心，由集团进行信息安全的统一规划、建设和运维。
（三）交叉检查，取长补短
由于同属于一个集团，各子公司之间具有天然的信任感，通过集团的统一组织和管理，可以促进各子公司之间进行信息安全的交叉检查，在兄弟公司之间充分展示本单位的优势，取长补短，相互学习，共同进步。
参考文献：
[1]ISO27001：2013.信息安全管理体系标准[S].2013.
篇11
校园网安全系统的建设目标是根据学校信息网络结构和应用模式，针对可能存在的安全漏洞和安全需求，在不同层次上提出安全级别要求，并提出相应的解决方案，制订相应的安全策略，编制安全规划，采用合理、先进的技术实施安全工程，加强安全管理，保证系统的安全性。
对于这样规模庞大、结构复杂、涉及人员众多的网络体系需要建立全网安全保障系统，针对不同的业务特征进行合理的安全保障，确保业务系统的安全运行。
我们在设计学校信息安全保障体系的过程中，借鉴IATF的信息安全保障体系模型构建学校信息安全保障体系的技术体系和管理体系，这些体系构成学校所需的安全体系。在技术体系和管理体系中的安全控制和对策的选择和定制中，采用“最佳实施”方法，通过列举满足实际需求和实际应用来构造安全保障体系。
在学校安全保障体系设计过程中，整体性一直是最核心的问题，因此为了保障安全体系具有一定的完整性，避免对安全问题的遗漏，需要在方法论中引入了安全框架模型。
安全保障体系框架示意图
上图中，最下层是安全体系要保护的对象，根据信息资产逻辑图，将保护对象分成计算区域、区域边界、通信网络和基础设施（指PKI/PMI/KMI中心和应急响应中心）等。计算区域部分主要指提供业务的网络服务，计算区域内部可以根据学校信息化的实际需求进一步细分为子区域，边界和通信网络。对不同区域、边界和通信网络，其安全需求是不同的。保护对象框架将学校信息系统的安全问题细分为一组结构化的安全需求。
通过将对策框架中的所有安全控制中的策略，组织，技术和运作分别提炼，组成相应的策略体系、组织体系、技术体系和运作体系。每个体系由对策框架组成，对策框架由一组安全控制组成，这些安全控制是根据保护对象中的安全需求设计和选择出来的。每一条安全控制都包含策略，组织，技术和运作四个要素。
在校园网的信息系统安全等级保护方面，国内尚未制定相关标准，但可以参考公安部制定的《信息系统安全等级保护基本要求》进行设计。基本安全要求分为基本技术要求和基本管理要求两大类。技术类安全要求与信息系统提供的技术安全机制有关，主要通过在信息系统中部署软硬件并正确的配置其安全功能来实现；管理类安全要求与信息系统中各种角色参与的活动有关，主要通过控制各种角色的活动，从政策、制度、规范、流程以及记录等方面做出规定来实现。
基本技术要求从物理安全、网络安全、主机安全、应用安全和数据安全几个层面提出；基本管理要求从安全管理制度、安全管理机构、人员安全管理、系统建设管理和系统运维管理几个方面提出，基本技术要求和基本管理要求是确保信息系统安全不可分割的两个部分。
根据公安部《信息系统等级保护技术要求》中相应技术要求，以满足物理安全、网络安全、主机安全、应用安全、数据安全及存备份恢复等几方面的基本要求为前提。
在基于人、技术及运行的信息安全纵深防御体系中，对人的行为的控制是信息安全保障最主要的方面。下图所示为信息安全管理体系框架，该体系包括安全方针、安全策略、安全组织、人员安全、物理安全、安全制度与管理办法、安全标准与规范、安全政策、安全法律法规与标准、安全培训以及安全规范。
安全管理体系框架图
安全策略作为建立安全机制必须首要考虑的核心，它对安全措施的具体实践提供指导和支持。制定一套系统、科学的安全策略是指导学校等级化信息安全保障体系安全建设的重要内容。
建立安全组织机构、完善安全管理制度，建立有效的工作机制，做到事有人管，职责分工明确是有效防范由于内部人员有意无意对系统造成破坏的有效保障措施。
在组织安全方针、安全策略、安全制度与管理方法、安全标准与规范的建设过程中充分体现国家安全政策、安全法律法规与标准是组织充分保障信息系统安全的基础。国家安全政策、安全法律法规与标准从国家和行业的角度制约信息安全，组织必须遵循国家和相关主管部门关于信息系统安全方面的法律法规、政策和制度。
篇12
摘 要：在本文中，笔者首先对信息安全管理的内涵进行阐述，然后对我国信息安全管理的现状进行分析，最后提出加强信息安全保密工作的措施。
关键词：信息安全；管理；内涵；现状；措施
一、信息安全管理的内涵
（一）信息安全管理的定义
所谓信息安全管理，指的是一种管理和保护信息资产的体制，通过指导、规范和管理等一系列活动对信息安全进行保障，以达到保证信息的机密性、完整性和可用性的目的。
（二）信息安全管理的内容
信息安全管理包括：信息安全战略管理、信息安全组织结构、信息安全领导、信息安全人力资源管理开发与管理、信息安全政策及法律法规、信息安全标准与认证、信息安全等级保护。
（三）信息安全管理的重要性
第一、信息安全管理可以使员工的信息安全意识得到强化，使组织的信息安全行为得到规范；
第二、信息安全管理可以将组织的关键信息资产得到全面的、系统的保护，使组织的竞争优势得以维持；
第三、当组织的信息系统被恶意侵袭时，信息安全管理可以使组织的业务开展不受影响，将组织的损失降到最低；
二、我国信息安全管理的现状
（一）法律法规问题
第一、还没有形成一个完整性、适用性、针对性的完善的法律体系
现有法律法规仅仅调整某一个方面的问题，缺少综合性的信息安全法作为主导使之相互呼应形成体系。因而，在实践中造成多环节、多部门分割管理的状况，这在一定程度上造成了法律资源的严重浪费。
同时，也说明了我国现行的信息安全法律基本上还处于法规规章的层次上，在法律层面上的信息安全立法还比较少，还很不完善。
第二、不具有开放性
法律结构比较单一、层次较低，难以适应信息网络技术发展的需要和不断出现的信息安全问题。
第三、缺乏兼容性
我国的信息安全按法律法规存在着许多难以同传统法律原则、法律规范协调的地方。
第四、难以操作
如果一部法律难以操作，那么该法律就难以起到应有的规范约束作用。我国的信息安全法律中就存在着这些问题。如，同一行为有多个行政处罚主体；不同法律规定的处罚幅度不一致；行政审批部门及审批事项多等问题。
（二）管理问题
管理包括三个层次的内容：组织建设、制度建设和人员意识。组织建设是指有关信息安全管理机构的建设。信息安全的管理包括安全规划、风险管理、应急计划、安全教育培训、安全系统的评估、安全认证等多方面的内容，因此只靠一个机构是无法解决这些问题的。在各信息安全管理机构之间，要有明确的分工，以避免“政出多门”和“政策拉车”现象的发生。明确了各机构的职责之后，还需要建立切实可行的规章制度，即进行制度建设，以保证信息安全。如对人的管理，需要解决多人负责、责任到人的问题，任期有限的问题，职责分离的问题，最小权限的问题等。有了组织机构和相应的制度，还需要领导的高度重视和群防群治，即强化人员的安全意识，这需要信息安全意识的教育和培训，以及对信息安全问题的高度重视。
（三）国家信息基础设施建设问题
第一、缺乏信息安全意识与明确的信息安全方针
大多数组织的最高管理层对信息资产所面临威胁的严重性认识不足，或者仅局限于IT方面的安全，没有形成一个合理的信息安全方针来指导组织的信息安全管理工作，这表现为缺乏完整的信息安全管理制度，缺乏对员工进行必要的安全法律法规和防范安全风险的教育与培训，现有的安全规章组织未必能严格实施等。
第二、重视安全技术，轻视安全管理
目前组织普遍采用现代通信、计算机和网络技术来构建信息系统，以提高组织效率与竞争能力，但相应的管理措施不到位，如系统的运行、维护和开发等岗位不清，职责不分，存在一人身兼数职现象。而大约70%以上的信息安全问题是由管理方面的原因造成的，也就是说解决信息安全问题不仅应从技术方面着手，同时更应加强信息安全的管理工作。
三、加强信息安全保密工作的措施
（一）提高全体员工的保密意识
做好一个单位、一个部门的保密工作，不仅是保密工作者的责任，同时也是全体工作人员的义务。事实上，保密工作所涉及的范围很广，一张简单的图纸、一份普通的文件都有可能含有涉密内容。如果管理不善，造成信息流失，就可能给国家或者企事业单位造成无法挽回的损失。因此，开展全体员工的保密知识培训，培养全员的保密意识，提高他们的保密素质，也是保密工作的重要内容之一。
（二）提升保密工作者的自身素质
随着改革开放的深化和科学技术的飞速发展，保密工作所遇到的挑战和困难是前所未有的。保密工作者要严格执行国家及有关部委、我省的相关保密法规，加强保密理论的研究，更新观念，与时俱进，在探索中学习，在实践中提高，掌握新技能，应用科学的思想方法和领导方法，提高观察和处理保密工作中遇到的各种新问题的能力，适应新形势发展对保密管理工作的要求，确保信息安全。
（三）确保经费投入，保障保密工作的顺利开展。
保密经费是为了保守国家机关或企事业单位的秘密，维护安全和利益，用于保护秘密信息及改进保密技术、措施和装备等方面的经费。保密工作开展得好坏，在很大程度上取决于经费的投入。要确保保密专项经费的投入，开展保密教育活动，配备必要的保密技术检查设备，这是保密工作顺利开展的基础。要积极通过各种方式，采取各种形式开展涉密人员的保密教育培训。人是保密工作中最为活跃的基本要素，保密工作队伍的稳定、涉密人员的业务素质和管理水平直接影响保密工作的质量。必须确保保密经费的投入，保障保密工作的顺利开展和保密工作的质量。
篇13
在供电企业现代信息技术广泛运用生产经营、综合管理之中，实现资源和信息共享，为领导提供相关辅助决策。保障企业信息安全是企业领导层、专业人员及企业全员共同面对的。信息安全是集管理、人员、设备、技术为一体系统工程，木桶原理可以很好地诠释信息安全，一个企业安全不取决于最强项，而取决最短板。信息安全需从制度建设、体系架构、一体化防控体系、人员意识、专业人员技术水平等多方面共同建设，才能有效提高企业信息安全，才能为企业生产、经营保驾护航。
1基层供电信息安全现状
基层供电企业信息安全建设方面，在制度建设、安全分区、网络架构、一体化防护、人员意识、专业人员技术水平等多方面存在不同程度问题。
1.1管理制度不健全，制度多重化
信息安全制度建设方面较为被动，大多数都是现实之中出现某一问题，然后一个相关制度，制度修修补补。同一类问题有时出现不同管理规定里，处理办法不一，甚至发生冲突。原有信息安全管理制度宽泛，操作性较差。信息系统建设渠道不同，未提前进行信息安全方面考虑，管理职责不明，导致部分信息安全工作开始不顺畅。
1.2安全区域划分不明，网络架构不清晰
基层供电企业系统建设主要由上级推广系统和自建系统，系统建设时候相当部分系统未充分考虑系统，特别是业务部门自建系统更甚。网络建设需要什么就连接什么，存在服务器、终端、外联区域不明显，网络架构不清晰。
1.3未建立一体化安全防护体系
从近些年已经发生的各类信息安全事件来看，内部客户端问题造成超过将近70%。内部终端用户网络行为控制不足，存在网络带宽滥用；终端接入没有相应准入控制，不满足网络安全需求用户接入办公网络，网络环境安全构成极大风险；内部人员对核心服务器和网络设备未建立统一内部控制机制；移动介质未实施注册制管理等问题。
1.4未建立行之有效设备基线标准
网络安全设备、操作系统、数据库、中间件、应用系统等厂家为了某种方便需求，在设备和系统中常常保留有默认缺省安全配置项，这些恰恰是别人利用漏洞。基层供电企业在部署设备和系统时，没有统一基线标准，没有对设备和系统进行相应基线加固，企业存在潜在风险。1.5信息安全意识较差，技术水平参差不齐企业信息安全认识存在认识上误区，常常认为我们有较强信息安全保护设备，外部不易攻破内部，事实上堡垒常常是从内部攻破的。比如企业员工弱口令、甚至空口令、共用相同密码、木马、病毒、企业机密泄露等，这恰恰是基层供电企业全员信息安全意识较为薄弱表现。专业技术人员缺乏必要自我学习和知识主动更新，未取得专门信息安全专业人员资质，处理问题能力表现参差不齐。
2必要性
信息安全为国家安全重要组成部门，电力企业信息安全为国家信息安全的重要元素，电网安全事关国计民生。2014年2月，国家成立中央网络安全和信息化领导小组，将网络信息安全提升前所未有高度。近年发生的“棱镜门”事件，前几年发生伊朗核电站“震网”病毒（Stuxnet病毒）网络攻击，其中一个关键问题就是利用移动介质摆渡来进行攻击，造成设备瘫痪，这一系列信息安全事件都事关国家安全，因此人人都要有信息安全意识。首先要防止企业机密数据（财务、人资、投资、客户等）泄漏；其次，保持数据真实性和完整性，错误的或被篡改的不当信息可能会导致错误的决策或商业机会甚至信誉的丧失；最后，信息的可用性，防止由于人员、流程和技术服务的中断而影响业务的正常运作，业务赖以生存的关键系统如失效，不能得到及时有效恢复，会造成重大损失。建立严格的访问控制，前面数据分级时有制定数据的“所有者”及给敏感数据进行分级，按照分级的要求制定严格的访问控制策略，基本的思想是最小特权原则和权限分离原则。最少特权是给定使用者最低的只需完成其工作任务的权限；权限分离原则是将不同的工作职能分开，只给相关职能有必要让其知道的内容访问权限。通过对内部网络行为的监控可以规范内部的上网行为，提高工作效率，保护企业有限网络资源应用于主要生产经营上来。
3特点探析
通过我们对基层供电企业在信息安全存在问题及必要性来看，主要是管理制度、网络信息安全技术、人员意识等方面存在问题，有以下特点。
3.1管理制度方面
常说信息安全“三方技术、七分管理”，制度建设对信息安全保障至关重要。信息安全管理制度应该有上级主管部门建立一套统一管理制度，基层供电企业遵照执行，可以根据各单位具体情况进一步细化，让管理制度落地。从企业总体信息安全方针到具体专业制度管理上，实现全网一体化，规范化。
3.2网络信息安全技术方面
上级专业主管部门，站在企业高度，制定专业技术标准和技术细则。从网络安全分区、网络技术架构、互联网接入和访问方式、终端安全管理、网络准入控制等方面统一规划，分布实施，最终实现企业网络信息安全防控一体化。
3.3信息安全意识培养方面
企业员工信息安全意识培养是个长期的过程，不是通过一次两次培训就能解决的，采取形式多样化方式来培养员工安全意识，可以通过集中培训讲课、视频宣传、张贴宣传画等方式进行。针对专业人员，要让他们养成按照制度办事习惯，用户需要申请某项资源，严格按照制度执行，填写相应资源申请，有时候领导打招呼也要按照制度流程来执行。长此以往，人人都会知道自己该做什么，不该做什么，该怎么做，企业信息安全意识就会得到极大提高。
3.4专业技术人员水平方面
信息安全技术日新月异，不学习就落后，不断收集信息安全方面信息，共同讨论相关话题，建立相应培训机制，专业人员实行持证上岗，提升专业人员实际解决问题能力，有效提高人员专业素养，成为企业信息安全方面专家。
4实施和开展
从2009年开始，先后进行一系列信息安全建设，涉及到信息安全制度建设、网络信息安全体系架构、信息安全保障服务、人员培训等方面，整体提高基层供电企业信息安全状况。
4.1信息安全制度建设
2010年开始信息安全体系ISO27001、27002建设，结合企业情况，形成30个信息安全相关文件，涵盖企业信息安全方针、等级保护、人员管理、机房管理、网络信息系统运行维护管理、终端安全、病毒防护、介质管理、数据管理、日志管理、教育培训等诸多方面。2013年为进一步提示公司信息化管理水平，先后增加修改建设管理、实用化管理、项目管理、信息安全管理、运维管理、综合管理5个方面14个管理细则。经过这一系列制度建设，基层供电企业有章可循，全网信息安全依据统一，明确短板情况。
4.2建设一体化网络与信息安全防控
首先依据电监会5号文件要求，网络架构按照三层四区原则进行部署建设，生产实时控制大区（Ⅰ、Ⅱ区）与信息管理大区（Ⅲ、Ⅳ区）之间采用国家强制认证单向数据隔离装置进行强制隔离，网络架构采用核心、汇聚、接入部署。网络接入按照功能划分服务器区、网管区、核心交换区、用户办公区、外联区、互联网接入区，在综合数据网上，利用MPLSVPN，根据划分不同VPN业务、隔离相互间数据交叉。建立全网PKI/CA系统，构建企业员工在企业数字身份认证系统，已建成系统进行未采用PKI登陆系统，进行相应改造结合PKI/CA系统，采用PKI登陆，在建系统用户登陆必须集成PKI登陆。根据企业信息安全要求，进行互联网统一出口，部署统一互联网防控设备，建立统一上网行为管理策略，规范员工上网行为，合理使用有限互联网资源，审计员工上网日志，以备不时之需。建立企业统一病毒防护系统，实现病毒软件统一安装，病毒库自动更新，防护策略统一下发，定期统计病毒分布情况，同时作为终端接入内网必备选项，对终端病毒态势比较严重用户进行督促整改，有效防止病毒在企业内部蔓延，进一步进化内网环境。建立统一网络边界安全防护，在企业内网边界合理部署防火墙、IPS、UTM，并将其产生日志发送到统一安全管理平台，进行日志管理分析，展现企业内部信息安全态势，预警企业内部信息安全存在问题。利用AD域或PKI/CA进行用户身份认证，建设统一桌面管理，所有内网用户必须满足最基本防病毒、安全助手、IT监控要求方可接入内网，系统启用强制安全策略，终端采用采用DHCP，用户不能自动修改IP地址，在DHCP服务器上实现IP与MAC地址及人员绑定，杜绝用户私自更换IP地址引起冲突。安全认证方面可以采用NACC或交换机802.1x方式进行，不满足要求用户，自动重定向到指定网站进行安全合规性检查，满足要求后自动接入内网，强制所有用户采用统一网络安全准入规则。实行移动介质注册制，极大提高终端安全性，有效保护企业信息资产。建立内部运维控制机制，实现4A统一安全管理，认证、账号、授权、审计集中管控。规划统一服务器、网络设备资源池，按照用户需求，提交相应申请材料，授权访问特定设备和资源，并对用户访问行为全程记录审计。
