企业安全信息范文
发布时间：2023-10-09 17:41:18
导语：想要提升您的写作水平，创作出令人难忘的文章？我们精心为您整理的13篇企业安全信息范例，将为您的写作提供有力的支持和灵感！
篇1
一.安全信息的功能和分类
安全信息的应用，是依据安全信息具有反映安全事物之间差异及其变化的功能，从中获知人们对安全工作重视的程度、安全教育、安全检查的效果、安全法规的执行和安全技术装备使用的情况，以及生产实践中存在的隐患，发生事故的情况等信息，用于指导安全生产管理，改进安全工作，消除隐患，以此达到预防、控制事故的目的。同时对安全信息的应用，是在对其科学分类，确立具体的应用方式、方法，在指导实践中体现的。
1.全信息的功能
安全信息主要具有以下三个方面的功能：
企业在编制安全目标管理方案，确定目标值和安全保障措施时，需要大量可靠的信息作为依据。例如，既要有安全生产方针、政策、法规和上级安全指示、要求等指令性信息，又要有企业内部历年来安全工作经验教训，各项安全目标实现的数据，以及生产安危等信息，做为安全决策的依据，这样才能编制出符合实际的安全目标和保证措施。
(2)安全信息具有间接预防事故的功能
安全生产是一个极其复杂的过程，如何对其进行有效的安全组织、协调和控制，主要是通过安全指令性信息(如安全生产方针、政策、法规、安全工作计划和领导指令、要求)，统一人们的安全工作和安全生产所为，促进生产实践有规律运动，以此预防事故的发生，这样安全信息就具有了间接预防事故的功能。
(3)安全信息具有间接控制事故的功能
在生产实践活动中，劳动者的各种异常行为，工具、设备等物质的各种异常状态等大量生产异常信息，均是导致事故的因素。在人们运用安全信息的管理方式，获知了生产的异常信息之后，通过采取组织、安全技术等安全管理手段，改变了人的异常行为、物的异常状态，使之达到安全生产的客观要求，这样安全信息就具有了间接控制事故的功能。
2.安全信息的分类
依据安全信息的产生及其不同的作用，可将安全信息划分为以下三种类型：
(1)生产安全信息
生产安全信息来源于生产实践活动，具有反映安全生产情况的作用，具体又分为生产安全信息、危险危害隐患信息及生产事故信息。
(2)安全工作信息
安全工作信息来源于安全生产管理实践，具有反映安全工作情况的作用。具体又分为安全组织领导信息、安全教育信息、安全检查信息、安全指标信息。
(3)安全指令信息
安全指令信息来源于安全生产与安全管理，具有指导安全工作和安全生产的作用。其主要内容有：
1)安全生产方针、政策、法规和上级主管部门及领导的安全指示、要求；
2)安全工作计划的各种指标；
3)安全工作计划和安全措施计划；
4)企业现行的各种安全规章；
5)隐患整改通知书、违章处理通知书等。
二、安全信息应用的方式、方法
1、安全信息应用的方式
安全信息应用的方式，是指依据安全管理的需要，运用安全管理规律和安全管理技术，而确立的对安全信息进行应用管理的形式。归纳起来有如下九种。
(1)安全管理记录。主要包括安全会议记录、安全调度记录、安全教育记录、安全检查记录、违章记录、隐患记录、事故记录、事故调查记录、事故原因分析和处理记录等。
(2)安全管理报表。主要有事故速报表、事故月报表、安全管理工作报表等。
(3)安全管理登记表。主要有伤亡事故登记表、非伤亡事故
登记表、重大隐患整改表、违反安全规定的人员控制表等。
(4)安全管理台帐。主要有事故统计台帐、职工安全管理统计台帐、隐患统计台帐、安全天数等管理台帐。
(5)安全管理图表。主要有安全组织体系图(安全管理机构框图)、事故动态和安全工作周期表等。
(6)安全管理卡片。主要有职工安全卡片、安检人员卡片、尘毒危害人员卡片、工伤职工卡片、新工人卡片、特种工卡片等。
(7)安全管理档案。主要有职工安全档案、事故档案、安全标准、法规档案、计划总结档案、隐患管理档案、违安人员管理档案、安全宣传教育档案、尘毒危害治理档案、安措工程档案、安技设备档案等。
(8)安全管理通知书。主要有隐患整改通知书、违章处理通知书等。
(9)安全宣传形式。主要有安全生产简报、板报、杂志，安全广播、安全标志、安全天数显示板(牌)、安全宣传教育室等。
2、安全信息应用的方法
安全信息既来源于安全工作和生产实践活动，又反作用于安全工作和生产实践活动，促进安全管理目标的实现。因此，对安全信息的应用管理，要抓住安全信息在安全工作和生产实践中流动这个中心环节使之成为沟通安全管理的信息流。安全信息的应用方法是以"收集"、"加工"、"储存"和"反馈"这四个有机联系的环节，促使安全信息在企业安全管理中流通，如图所示：
(1)安全信息的收集。收集的方法和内容如下：
1)利用各种渠道收集安全生产方针、政策、法规和上级的安全指令、要求及有关文件等。
2)利用各种渠道收集国内外安全管理情报。如安全管理、安全技术方面的著作、论文，安全生产的经验、教训等资料。
3)通过安全工作汇报、计划、总结，安检人员、职工群众反映情况等形式，收集安全信息。
4)通过开展各种不同形式的安全检查和利用安全检查记录，收集安全信息。
5)利用安全技术装备、收集设备在运行中的安全运行、异常运行及事故信息。
6)利用安全会议记录，安全调度记录和安全教育记录，收集日常安全工作和安全生产信息。
7)利用事故登记、事故调查记录和事故原因分析记录，收集事故信息。
8)利用违章登记、违安人员控制表，收集与掌握人的异常(不安全行为)信息。
9)利用安全管理月报表、事故月报表，定期综合收集安全工作和安全生产信息。
(2)安全信息的加工
安全信息加工是提供规律性信息，指导安全科学管理的重要环节。对信息进行加工处理，就是把大量的原始信息进行筛选、分类、排列、比较和计算，聚同分异，去伪存真，使之系统化、条理化，以便储存和使用。
1)利用事故统计台帐，对事故类别、等级、数量、频律、危害等进行综合统计分析，进而掌握事故动向。
2)利用隐患统计台帐，对隐患数量、等级、整改率、转化率进行综合统计分析，进而掌握隐患的发现、整改及导致事故的情况。
3)利用职工安全统计台帐，对职工结构、安全培训、人员、发生事故等情况进行综合统计分析，进而掌握职工的安全动态。
4)利用安全天数管理台帐，对事故改变了安全局面，影响安全天数的事故单位、事故时间、类别、等级，以及过去连续安全天数等，进行定期累计，从中掌握企业的安全动态。
(3)安全信息的储存
安全信息的储存具有记忆的功能，以备待用。可以利用如下信息管理形式进行定向、定期储存。
1)利用安全管理台帐，即可对安全信息进行处理，又可对安全信息进行积累储存待用。
2)利用安全管理卡片可以对安全管理人员、工伤职工、特种工、新工人、尘毒危害人员的自然情况和动态变化，进行简易储存待用。
3)利用安全管理档案，可以对安全信息进行综合、分类储存待用。
4)运用电子计算机对安全信息进行加工处理和储存。
(4)安全信息的反馈
安全信息的反馈具有指导安全管理，改进安全工作和改变生产异常的作用。
1)通过领导讲话、指示、要求和安全工作计划、安全技术措施计划、安全法规的贯彻执行，对安全信息进行集中反馈。
2)利用各种安全宣传教育形式，对安全信息进行间接反馈。
3)利用各种管理图表，反映安全管理规律、安全工作进度和事故动态。
篇2
1信息系统安全建设原则
（1）物理隔离原则。为确保信息安全，信息系统必须与互联网及其他公共信息网络实行物理隔离。（2）分域分级原则。信息系统应根据信息密级、使用单位行政级别等级划分不同的安全域并确定等级，按照相应等级的保护要求进行防护。（3）信息流向控制原则。禁止高密级信息由高等级信息系统或安全域流向低等级信息系统或安全域。（4）最小化授权与分权管理原则。信息系统内用户的权限应配置为确保其完成工作所必须的最小权限，网络中账号设置、服务设置、主机间信任关系配置等应该为网络正常运行所需的最小限度，并使不同用户的权限相互独立、相互制约，避免出现权限过大的用户或账号。（5）技术与管理并重原则。信息系统应采取技术和管理相互结合的、整体的安全技防措施。（6）标注化原则。设计应严格执行国家有关行业标准、国家相关部门的强制标准等，确保系统质量。（7）安全产品选型原则。企业在信息系统建设中必须选用可靠有效的安全产品，如具备国家相关管理机构检测证书的产品。（8）实用性原则。系统要力求最大限度地满足实际环境需要，充分考虑系统应用业务的特殊性，把满足用户需求作为设计的第一要素。（9）适度安全原则。要在安全风险分析的基础上，实事求是、因地制宜地确定防护程度和安全措施，避免弱保护和过保护，保证安全措施切实可行，达到最佳防护目的。（10）动态防护原则。随着技术的发展，网络威胁攻击手段的变化，企业信息系统必须不断改进和完善安全保障措施，及时进行信息系统安全防护技术和设备的升级换代。
2建设目标
根据对信息系统的现状分析、安全风险分析、安全保密需求分析，按照相关技术要求和管理要求，遵循前述原则，建设科学合理，符合安全保密需求的信息系统，全面提升企业信息安全防范能力。
3建设内容
企业的信息系统安全建设包括物理安全、运行安全、信息安全保密以及安全保密管理四个方面的内容。（1）物理安全。物理安全是指信息系统的环境安全、设备安全、介质安全。（2）运行安全。运行安全包括备份与恢复、病毒防护、应急响应、运行管理。（3）信息安全保密。信息安全涉及内容包括身份鉴别与访问控制、密码保护措施、电磁泄露发射保护、安全性能检测、边界安全防护、硬件系统安全、信息完整性校验、安全审计、操作系统和数据库安全。（4）安全保密管理。包括安全保密管理策略、安全保密管理制度、人员管理、物理环境与设施管理、设备与介质管理、运行与开发管理、信息保密管理。
4企业信息系统安全建设
（1）网络综合布线。a.选择具备资质的施工单位；b.线缆选择光纤与屏蔽线；c.布线严格遵循国家相关标准；d.交换设备选型应考虑未来企业信息化业务发展的需要；e.根据业务、密级以及知悉范围划分VLAN，并创建ACL，实现访问控制；f.优化网络配置，禁用暂时不用端口，对接入终端采用IP+MAC+端口绑定策略，防止非授权接入。（2）安全域。根据信息系统的信息密级划分不同的安全域并确定等级，按照相应等级的保护要求进行防护。按照上述原则，一般将单位信息系统划分为重要应用安全域、一般应用安全域、办公安全域、管理安全域等四个区域，如图1所示。图中每个区域代表一个安全域，安全域前端架设防火墙，通过防火墙设置访问控制策略，仅开放必要端口及IP，控制信息流向，实现安全域间的访问控制。（3）交换机安全设置。全部交换机配置为SSH加密方式通信，对接入端口采用IP+MAC+端口绑定方式，禁用暂时不用端口，实现网络层的身份认证。（4）安全产品部署。a.全部终端纳入域控管理，通过主域控制器将安全策略下发至终端，如实名登录、密码管理、屏幕保护等策略，实现系统层身份认证。b.创建补丁分发系统，为全部终端定期升级系统安全补丁，完善系统的安全可靠性。c.全部终端安装网络版杀毒软件，由系统管理人员定期导入最新病毒库升级包，全网下发，制定杀毒策略，统一查杀网络病毒。d.终端输入输出端口严格管控。终端安装审计、打印管理、输入输出管理安全软件，防止非授权移动存储介质在信息系统中使用，对系统中的打印行为实现全生命周期管理，严格管控，从而降低或杜绝失泄密事件的发生。e.重要关键设备、服务器冗余备份。对系统中的核心交换机、防火墙采取在线或离线方式备份，避免因设备损坏造成网络通信中断，影响公司业务工作的开展；对重要部位的供电线路采用双路供电+ups方式保障供电安全；对重要的核心业务服务器数据采用在线即时备份以及数据远程异地备份的方式，确保数据完整、准确、安全。f.定期对系统进行漏洞扫描分析，发现系统中存在风险与漏洞，及时对系统修复完善。g.部署统一的日志存储及分析系统，统计分析系统重要关键设备的生成日志，便于及时发现问题并解决问题。（5）制定应急响应预案，保证数据安全。应急响应预案的制定必须具有可操作性，应根据事件的等级制定响应流程，明确管理责任及责任主体，同时还需要在日常进行针对性的应急响应培训教育与演练。
篇3
一是物理安全风险。物理安全风险包括计算机系统的设备、设施和信息面临因自然灾害、环境事故（如断电）、人为物理操作失误以及不法分子进行违法犯罪等风险。
二是数据安全风险。数据安全风险包括竞争性业务的经营和管理数据泄漏，数据被人为恶意篡改或破坏等。
三是网络安全风险。网络安全风险包括病毒造成网络瘫痪与拥塞、内部或外部人为恶意破坏造成网络设备瘫痪、来自互联网黑客的入侵威胁等。
二、保证企业信息安全的基本对策
2.1正确认识企业信息安全问题。
企业的信息安全问题，绝不仅仅是一个仅靠防火墙、密码等等技术就能解决的问题，它还与人们的职业道德、社会道德以及企业管理等问题密切相关。因此，在维护企业信息安全时，我们必须站在宏观的角度对问题进行考虑。在过去看来，一个企业信息的安全问题，是领导层或者IT单个部门的事情，但是凭少数人或部门的工作，对于保障公司的信息不被泄漏，防护信息存储不被破坏、攻击和偷盗是很难的事。笔者认为，意识指导行动，信息安全问题首先要解决的是员工的思想认识问题，只有企业的每一个人都认识到信息安全的重要性，才能在工作中自觉地维护信息安全。因为在任何一个体系中，人都是最活跃、最具有影响力和决定意义的因素，因此对于企业的信息安全问题而言，企业内部员工才是保护信息安全的最可靠、最有效的重大保障。此外，还可以加强引进信息安全技术人才以及信息安全管理人才，并在日常工作中，加强对队伍专业知识以及工作技能的培训，从而为企业建设一支强有力的信息安全保卫队伍。其次信息管理部门要全面作好专业技术支持与防范工作，根据业务的需求采取适当的保护措施，实施专业应用系统。例如，保护企业信息安全的技术可以采用主动反击、网络入侵陷阱、密码、取证、防火墙、安全服务、防病毒、可信服务、PKI服务、身份识别、备份恢复、网络隔离等等保护产品以及保护技术，通过确保信息安全的最大化，来实现企业生产经营持续发展以及经济效益的最大化。此外，还可以在工作的过程中，进一步优化企业信息安全管理，并进行管理监控以及安全风险评估，分析入侵防范、服务器架构等等关键问题，以全面性、多角度的掌控，确保企业信息系统的安全性、稳定性，因为信息安全问题不具有静态性，信息管理始终处在一个不停变动的动态性过程，因此即使我们不可能确保信息的绝对安全，也必须做到相对安全，从而最大限度的降低企业风险。
2.2建立健全信息安全管理制度。
信息安全不仅是技术问题，更主要是管理问题。任何技术措施只能起到增强信息安全防范能力的作用，俗话说“三分技术，七分管理”，只有良好的管理工作才能使保障技术措施得到充分发挥，是能否对信息网络实施有效信息安全保障的关键。现在中国石油股份有限公司内控体系中涉及信息内部控制的《信息系统总体控制办法》（以下简称“GCC”）就很好的涵盖了信息安全的各个方面，包括了机房管理、服务器管理、网络管理和系统管理等。因此在实际的工作中，我们可以通过“三步骤”来实现企业信息的安全管理制度的健全化、完善化。第一，结合企业自身的实际，分析企业存在的问题以及预期的目标，制定具有科学性、合理性、实效性、可行性的信息安全管理制度，使保护信息安全工作做到有法可依，有章可循。第二，建立信息安全管理机构，明晰信息安全管理负责人的职务和责任，并建立相应的考核机制和激励机制，以督促、鼓励相关负责人的工作，提高信息管理工作质量。第三，真正贯彻管理措施，加强制度的执行力度，只有这样，才能从根本上实现管理工作以及工作目标，最终提高企业的信息安全管理水平。
三、加强企业信息安全保障的几点措施
如何有效地解决企业信息安全的专业性管理与技术性防范，笔者认为可从以下几个方面着手。
3.1实行严格的网络管理。企业网与互联网的物理隔离、防火墙设置以及端口限制，与互联网相比安全性较高，但在日常运行管理中我们仍然面临网络链路维护、违规使用网络事件等问题，具体而言：一是在IP资源管理方面，采用IP+MAC捆绑的技术手段防止用户随意更改IP地址和随意更换交换机上的端口。这样，就不会出现IP地址被盗用而不能正常使用网络的情况；二是在网络流量监测方面，使用网络监测软件查看数据、视频、语音等各种应用的利用带宽，防止频繁进行大文件的传输，甚至发现病毒的转移及传播方向。三是加强服务器管理。常见应用服务器安装的操作系统多为WindowsServer，可利用其自带的安全管理功能进行设置，包括服务器安全审核、组策略实施、服务器的备份策略以及系统补丁更新等。
3.2加强客户端监管。对大多数单位的网管来说，客户端的管理都是他们最头痛的问题。只有得力的措施才能解决这个问题，这里推荐以下方法：
（1）将客户端都加入到域中，使客户端强制性纳入管理员集中管理的范围。
（2）只给用户以普通域用户的身份登录到域，这样就可以限制他们在本地计算机上安装有安全隐患软件的权利。
（3）实现客户端操作系统补丁程序的自动安装。
（4）利用企业IT部门的工作职能，设置热线帮助和技术支持人员，统一管理局域网内各客户端问题。
篇4
在保障安全的前提下，兼顾不同主体单位的差别，强制满足最低标准，充分保留发展空间。
参照 ISO/IEC 27001:2005中提出的证券期货业信息安全保障管理模型(简称模型)，采用立方体架构。顶面是信息安全保障的7个目标(机密性、完整性、可用性、真实性、可审计性、抗抵赖性、可靠性)，正面是行业组织结构，侧面是各个机构为实现信息安全保障目标所采取的措施和方式(组织、管理及技术体系)。
本管理体系框架遵循如下基本原则：责任制原则，依据“谁主管，谁负责”、“谁运营，谁负责”的基本原则，明确行业内各主体单位信息安全保障的管理责任；系统性原则，以动态保障的安全观为指导，体现安全与发展并进、管理与技术并重、长效机制与应急防御相结合的综合保障体系；适用性原则，在保障安全的前提下，兼顾不同主体单位的差别，强制满足最低标准，充分保留发展空间。
信息安全目标
证券期货业信息安全保障管理体系的目标是保障网络与信息系统的机密性、完整性、可用性、真实性、可审计性、抗抵赖性、可靠性。机密性是数据所具有的特性，即表示数据所达到的未提供或未泄露给未授权的个人、过程或其他实体的程度。完整性是保证信息及信息系统不会被非授权更改或破坏的特性，包括数据完整性和系统完整性。可用性是数据或资源的特性，被授权实体按要求能访问和使用数据或资源。真实性即信息接收者能够通过有效的手段来识别信息是否是声称者所发送。可审计性即每个经授权用户的活动都是唯一标识和监控的，以便对其所做的操作内容进行审计和跟踪。抗抵赖性即保证发送信息的行为人不能否认自己的行为，使发送行为具有可信度。可靠性即保证合法用户对信息能够进行读取和修改，防止非法用户对信息进行恶意篡改和破坏。
行业组织结构
证券期货业安全保障管理组织结构采用 “统一组织、分层管理、交叉协调”的管理结构，划分为三层：决策层、管理层、执行层。
决策层
决策层由证券期货业网络与信息安全保障协调小组(以下简称协调小组)构成，协调小组由中国证券监督管理委员会及“5(交易所)+1(登记结算公司)+2(行业协会)”组成，是证券期货行业信息安全的最高决策机构，以建立安全的信息系统、保障投资者利益为目标，制定框架性的信息系统安全指导方针，明确信息安全保障工作的基本方向和主要内容，颁布信息安全保障工作的行业条例与规定。
协调小组还将根据证券期货行业信息系统发展趋势和信息安全发展趋势，定期对指导方针做出调整，研究和分析信息安全建设对证券期货行业发展的价值和影响，确定信息安全保障工作的发展方向和基本工作节奏。审定并颁布行业信息安全保障工作的规定和制度，协调行业内部及外部资源，具体包括，信息安全保障工作指导方针、信息安全保障工作管理体系、信息安全保障工作管理流程、信息安全保障工作监督规定。审定并颁布信息安全保障工作的监督机制，并颁布相关监督制度和管理流程。
管理层
管理层由行业主管职能部门、行业自律组织和行业相关的管理与促进机构构成。行业主管职能部门包括中国证监会信息安全管理职能部门及其派出机构(各地的证监局、证管办)，行业自律组织包括中国证券业协会、中国期货业协会、技术标准委员会，相关的管理与促进机构成员包括证券交易所(上海证券交易所、深圳证券交易所)、期货交易所(上海期货交易所、郑州商品交易所、大连商品交易所)、登记结算公司。
行业主管职能部门负责起草并报批行业信息安全保障工作的规章和制度，协调专家顾问、行业成员等各方面的资源，对协调小组颁发的信息安全指导方针做技术与标准的支持，为其他成员执行指导性方针提供支持，并及时了解业务发展对信息安全的新需求，反映给协调小组，并根据证监会的信息安全保障工作相关规定，提出技术标准与实施细则。协调专家、顾问和行业标杆企业为各个安全主体进行信息安全保障工作的咨询。
行业自律组织针对行业特性制订信息安全保障相关自律性公约、标准、规范与指引等，并要求其会员单位严格遵守自律公约，并对违反公约的行为进行处理。相关的管理与促进机构作为市场网络与信息系统的核心，其信息系统运行状态很大程度上依赖于会员单位的信息安全级别，应对其会员单位进行严格要求，依据行业信息安全保障管理相关管理规范，制定相应的管理细则和技术标准，督促其会员单位落实，并对安全边界进行严格管理。
执行层
执行层指市场各个参与主体，包括交易所、登记结算公司、通信公司、证券公司、期货公司、基金管理公司、投资咨询机构等。
安全保障领导小组是各主体单位信息安全最高领导机构，对协调小组关于信息安全建设的指导方针进行目标分解，结合本单位业务发展需求及信息系统现状制定具体的信息安全建设策略、计划、流程，并授权执行机构进行信息系统安全建设与运维。主要工作内容包括制定符合监管机构规定的信息安全保障方针政策，根据企业自身信息安全保障工作的方针政策建立信息安全保障工作的策略体系，监督并指导企业自身的信息安全组织、管理、技术体系建设。
安全保障工作小组是各主体单位执行信息安全保障的具体机构，根据安全保障领导小组制定的信息安全建设策略、计划、流程执行信息安全保障工作。主体单位对自身信息安全现状的评估，建设信息安全组织、管理、技术体系，完善信息安全组织、管理、技术体系，对出现的安全事件进行处理。
在组织体系上，决策层进行法规颁布，对管理层和执行层进行工作指导，管理层对决策层制定的相关法规进行细化，执行层根据行业规则进行信息安全保障体系建设，并将组织信息上报管理层和决策层。在管理体系上，决策层对管理层进行监督管理，管理层对执行层进行评估检查，执行层将信息进行上报给决策层和管理层。在技术体系上，由执行层将技术实现方案和实施结果上报给管理层，管理层对成功经验在执行层进行推广。
篇5
【中图分类号】TP311.52 【文献标识码】A 【文章编号】1672-5158（2013）04-0225-01
引言
目前，卷烟生产企业安全管理多为“事后型”管理，这种传统、被动管理，很难适应现代安全生产的要求。以系统论为指导思想的企业安全管理信息系统，通过快速和系统地收集安全相关信息而进行安全分析、评价、预测和控制，指导企业安全管理，为企业预防型安全管理提供了新的思路。
1、卷烟生产企业安全信息化存在的问题
截止2009年底，全国卷烟生产企业已全部实现企业局域网，多数企业开发应用了企业管理信息系统和ERP系统，但专业的安全管理信息系统开发应用仍不普及，企业安全管理的信息化相对滞后。认识不足、缺少资金、人才匮乏是推进卷烟生产企业安全信息化所要面对的三大主要问题。
1.1 卷烟生产企业对安全管理信息化认识不足
安全管理信息系统具有高效、准确、系统地处理安全信息的功能，能为领导提供具有价值的辅助安全决策信息，具有明显优于传统管理的高效、动态、系统和准确的优点。通过对部分卷烟生产企业从业人员调查表明，很少人能认识到这一点。多数人认为安全管理信息化只是增加工作量的摆设，不能增加管理的效率和安全绩效。
1.2 专业人才缺乏觖乏系统设计
安全管理信息系统是个专业性管理信息系统，系统的开发、运行和维护都需要相应专业技术和专业人才来支持，卷烟生产企业一般不具备技术能力和人才储备。目前，单一的安全管理信息系统在应用时出现诸多不协调情况，缺乏系统性，如安全教育管理信息系统、危险源安全管理系统等，系统开发作了大量工作，花费了大量的资金，在某个方面取得一定效果，但没有产生系统效益，相反地构筑了一个个“信息孤岛”，未能实现信息的流通和共享，系统的高效和准确性未得到体现。
1.3 安全资源有限，建设投入不足
安全管理信息系统开发和应用是一项涉及面广、周期长、风险大的系统工程，需要投入较大，动用的安全资源多，因此对企业有限的安全资源来说，开发和运行资金保障难以实现。企业基础薄弱，企业信息资源基础不统一，信息采集渠道单一，缺少灵活性，使得信息来源不系统，导致信息流通不畅，使得系统的高效性和准确性难以实现，而且安全信息的采集和录入是涉及到班组等一线员工的基础工作，一线员工对信息处理能力的差异，也影响系统正常运转和功能发挥。
2、卷烟生产企业安全管理信息化的构建
2.1 卷烟生产企业安全管理信息化综述
卷烟生产企业安全管理信息系统是基于卷烟生产企业安全生产管理特点，以安全系统理论、信息技术和网络技术为开发手段，将卷烟生产企业安全生产管理有关信息数字化，通过管理信息系统进行综合分析评价等处理，力求实现安全管理信息化、动态化和高效化，为企业提供更先进的安全管理手段。系统的工作程序为信息收集录入、信息存贮（记忆）、信息传输（信息流）信息加工（信息分析、危险评价和预警判断等）和信息反馈输出（安全状态信息、预警信息和控制措施）5个阶段，将人工安全管理转变为计算机信息管理，具有预防、高效、系统的动态的特点，以适应卷烟生产企业安全管理从“事后型”管理向“预防型”管理的要求。
2.2 卷烟生产企业安全管理信息系统组成
人类活动影响安全，安全状态又影响人类，这是人类与安全之间的物质运动和能量交换。安全管理信息系统不断获取安全状态和人类活动的数据，及时地综合分析加工出决策信息，指导人类的活动，造成新的安全状态，通过样本数据又反馈到安全管理信息系统，如此循环往复，使得人类一安全系统的有序化程度不断提高。
我们依据系统安全的思想，统一划为对人、对物和对环境的管理，结合信息系统的开发和运行要求，将卷烟生产企业安全管理信息系统的内部系统主要可分为4大部分：数据系统，评价系统，预测系统和决策系统。下面做一些简单介绍：
（1）数据系统。主要包括数据的获取系统和存贮系统。数据获取系统又包括安全监测系统、危险源辨识输入系统和安全工程技术经济输入系统等。在每种数据获取系统中都应有检验数据准确性的数据质量控制系统。生产过程中，安全信息在企业内部一般包括以下几种信息：①组织系统信息：②安全监测人员的监测信息；③人机系统信息：④机械、电气设备信息；⑤物流信息；⑥环境信息。
（2）评价系统。主要包括统计分析系统和安全评价系统。前者包括从样本数据到总体特征的各种随机和模糊统计软件，后者包括安全评价指标的结构软件和指标度量软件。
（3）预测系统。主要包括人类与安全系统相互影响关系的各种模型辨识系统，利用这些模型估计安全变化及其对人类影响的模拟预测软件。评价模型用于对预测结果的准确性做出评估，评价指标体系包括人的作业安全可靠性、设备安全可靠性和预测结果评价指标体系。
（4）决策系统。包括安全目标评定、安全规划和方案决策等系统。依据安全状况的反馈信息和人类本身的要求确定安全目标，然后通过各种规划软件制定达到目标的规划方案，这些方案又反馈到人类活动计划决策系统进行总体协调，最后通过方案决策系统决定控制策略，得出终用信息。
篇6
[关键词] 信息安全；信息化建设；安全策略
在经济全球化的今天，企业相关人员对信息安全越来越关注。虽然企业采取了很多与员工签订保密协议，建立防火墙，以及安全管理中心等措施，但还是发生了像天涯社区、新浪等泄露用户密码、个人信息的安全事件。企业提高计算机与信息管理的水平可以防范由信息安全所造成的各项损失，完善企业信息安全管理体系是很多企业都会面临到的一个主要问题，而作为我国国民经济支柱产业的石油石化企业更应该加强信息安全的管理。
一、企业信息安全定义
近年来，经济全球化呈现加速发展的趋势，越来越多的发展中国家融入到经济全球化的大潮之中。世界政治、经济形势的深刻变化使国家安全的内涵出现了新的变化，国家经济利益和国家经济竞争力随即上升至国家安全的优先位置，国家经济安全开始成为国家安全的核心。跨国并购是经济全球化时代的重要特，尤其是近几年来，经济全球化的日益发展使资本的全球扩张进一步加强，企业兼并活动达到有史以来的最高峰。在各跨国企业扩大占有其他国家市场、资源和技术时，往往使被收购企业所在国受到很大冲击，甚至威胁到他国的经济安全。
企业信息安全是一个复杂的、多维的动态体系，受到诸多外界因素的影响，因而需要从系统的高度进行综合性的概括。企业信息安全有两种解释：一种是从具体的信息安全技术系统的角度着手，来管理企业信息，提高安全性；另一种是建立某些被指定的安全信息体系，例如：银行指挥系统等，从而加强企业信息的安全。企业信息安全的基础内容主要有：实体和运行，以及信息资产与人员安全。实体安全也是指硬件安全，既保护计算机网络硬件和存储媒体的安全，又防止计算机硬件、设备等因湿度过大、温度过高、摩擦等因素而出现的物理损坏。同时，维护硬件运行环境的稳定也是实体安全的范畴。运行安全是保障信息处理过程的安全运行，避免出现程序性故障、死机等现象，保障系统功能的安全。信息资产安全则是确保信息的控制权在企业本身手里，不被恶意篡改或破坏，不被非法操作、误操作、复制，功能稳定等。人员安全主要是指信息系统使用人员能够有明确保护信息安全的意识，遵纪守法，拥有保障企业相关信息安全的技能和能力。
二、石油石化企业的信息化建设
在国际金融危机的冲击下，我国石油石化企业受到种种压力，但同时也遇到不少发展的机遇。金融危机背景下，提升企业竞争能力和抗风险能力更显得重要，石化企业需坚持并加强信息化应用，不断地深化和优化应用。
石油石化企业是我国最早开展信息化建设的行业之一。经过多年的建设，加之逐年增加投入，石化行业整体信息化应用水平在不断提高，并取得了较高的成绩。据中国石油和化学工业协会调研显示，勘探与生产技术数据管理系统、管道生产管理系统、ERP系统等目前在大部分石油石化企业中得到应用并发挥了重要作用，集成与深化应用已经成为石油石化企业信息化建设的主流。在当前国际金融危机冲击之下，信息化在优化资源配置、强化过程管控、支持管理创新、提高经营管理水平和劳动生产率等方面的支撑作用越来越显著。
三、石油石化企业信息安全的意义
石油石化企业在国民经济中扮演者重要的角色，是其重要的支柱产业，担负着保障国家油气供应安全的重要责任。国家形象、安全及国民经济也可能要受石油石化企业安全的影响。近几十年石油石化企业的发展主要得益于信息技术的发展。石油石化企业运营绝大多数工序，从地震、钻井到化工作业、生产工艺，甚至是管理手段、战略决策等都是依靠信息系统来实现的。信息系统一旦瘫痪，企业的运营就要中断。
前不久，互联网一度让人望而却步，CSDN、天涯、新浪、京东商城、网易公司、支付宝等互联网公司以及多家银行深陷“泄密门”。这使得本来就对互联网不放心的广大消费者更加远离了网络购物，一些网络消费者也纷纷降低了购物频率。
四、中海油的企业信息安全策略
信息化是中海油科学管理的重要手段，也是企业的核心竞争力之一。多年来中海油一直坚持业务驱动应用，技术引领创新，着力打造数字海油，加强工业化与信息化的融合，提升中海油信息化水平。多年来建设了MPLS云网络，实现了物理统一、逻辑共享的网络链路；构建了以LotusNotes为基础的OA办公平台；打造了以SAP为核心的ERP系统平台；建设了勘探、开发、生产、钻完井等生产管理信息系统和Scada、DCS、MES生产信息管理系统。这些系统的建立为提高石油的产量，加速企业的运行效率奠定了基础，使得中海油各生产运行业务系统建设稳步推进，实现了整体项目生产数据的完整、有序化管理，便于生产经营决策。
随着国际化的进程，中海油和国外公司的合作联系越来越密切，如果不加强信息安全，轻则出现宕机、数据缺失、系统停止服务等信息服务事件，重则会影响我国的石油产业和我国的国民经济。目前在对网络安全方面主要从以下几点展开的：
（1）物理安全风险
在物理安全方面，企业建立合格的机房环境，设置合理的网络构架，购置高性能的硬件设施，同时安装高效的、实时的预警系统等。在这些系统的和人员管理的情况下，防止设备因水灾、火灾、系统故障等导致的计算机硬件方面的安全问题。
（2）网络管理体系方面的安全
加强网络管理体系，可以减少企业中责权不明、管理混乱等方面的安全隐患，提高员工的安全意识。同时，还可以及时发现一些外来的网络攻击和恶意的破坏。对内部终端进行管理，通过流量限制计算机上传下载速度也是有效的网络管理体系的一部分。
（3）网络拓扑结构的风险
拓扑结构形象的描述了企业网络的组织结构以及各个元件之间的相互关系，对企业的网络安全系统有着重要的影响力。假如外部和内部进行联系，内部网络系统受到威胁，就会通过这个网络拓扑结构一层一层的影响其他的系统，进而可能使整个网路拓扑结构瘫痪，影响企业的正常运行。
同时，面对日益高速化发展的今天，工作人员容易受到外界的蛊惑，因此企业应该加强对企业人员网络安全维护的教育，提高人员安全性。
五、技术展望
云计算的发展为未来企业网络安全提供了又一个技术平台。云计算是通过网络把成千上万的计算机硬件资源和软件资源聚合成一个具有强大计算能力的系统，并借助各种服务模式把强大的计算能力提供给终端用户，使人们能够像使用电、水那样使用信息资源。
在经济全球化的今天，企业相关人员对信息安全越来越关注。虽然企业采取了很多与员工签订保密协议，建立防火墙，以及安全管理中心等措施，但还是发生了像天涯社区、新浪等泄露用户密码、个人信息的安全事件。云技术网页威胁管理部署和操作简单，不仅有效且高效的防护，而且支持远程办公室和移动工作，“网络效应”和“众包”的作用更是提高了信息的安全性，因此特别适合分布式企业。而大型企业则需要一种集中化的管理和分布式、以云端为中心的智能、紧密集成等于一体的网络威胁管理构架，才能满足其庞大的网络拓扑架构的安全需要，改善远程工作者的安全性，提供全局可见性和控制能力，创建一个云迁移路径。
综上所述，中海油信息化的建设大幅提升了生产运行效率和精细化管理水平，达到了国际化先进水平，为中海油在国际的长远发展提供了坚实的基础。面对经济的全球化，各行各业，每一个企业都要建立健全、不断完善信息安全管理工作，提升企业信息安全管理水平。
参考文献
篇7
中图分类号：TP393.08文献标识码：A文章编号：1007-9599 (2012) 04-0000-02
当前，各类企业在经营发展过程中，十分注意自身的网络安全建设，但是，信息化、智能化的快速发展与当前企业网络的信息安全管理却不同步，绝大多数企业网络极不安全，这是当前企业安全网络系统建设中的一个重要问题。作为企业尤其是大中型企业来讲，其网络信息安全应该成为企业自身建设当中的重中之重，随着全社会网络信息的发展，网络信息发展程度及其安全程度势必将对企业生产效率，企业商业秘密维护和长远发展起到积极作用。
一、当前我国企业信息安全状况
随着计算机网络技术的兴起和发展，近几年，各类企业频频遭遇各种各样的信息被窃、信息丢失、信息篡改等情况，特别是计算机病毒和商业竞争对手利用黑客进行破坏的损失，每年给商业用户造成的损失数以亿计。我们通过对当前网络安全出现的种种情况分析反思，出现该问题的一个重要原因是，企业内网安全产品都是针对用户数字身份的管理，都没有从真正意义上解决用户实际身份与数字身份二者相对应的问题，换句话说，缺乏有效为安全系统提供权限管理的依据。我们在传统意义上讲的企业安全保护产品，只能简单地对企业和外部非法访问的问题进行防护，但是，如果企业内部人员恶意发送邮件，使用第三方存储器等等，却不能进行有效监督，因为企业安全保护只能监督外部，来自企业内部的监守自盗成为企业网络信息安全的突破口。
当然，企业对信息安全的要求并不是这么简单，尤其是国有大中型企业。企业要实现长远发展，做大做强，就必须要在主动防御的基础上，建立一套内外联动，多层级沟通，整体有效的信息安全系统，在主动保护自身安全信息的基础上，建立好企业“防火墙”，屏蔽一切来自外界的攻击，最终实现企业信息安全的全面保护。
二、系统设计目的和层次结构分析
一般来说，一整套完整的、科学的企业网络信息安全保护系统至少包括以下几部分：网络安全信息管理-企业用户身份认证-数据信息加密三个安全保护层级。网络安全管理包括计算机网络整体运行规划和计算机IP地址管理、楼宇网络安全管理与分配、计算机远程管理防控、蠕虫病毒入侵、黑客恶意入侵与维护、计算机攻击情况监测与预警。通过上述内容实对企业机构进行VLAN规划和电脑分配，同时，使用安全绑定技术把楼宇或集团每台计算机的IP、名称和分工内容、技术参数指标等各种要素整合集中，进行收集分析和控制，以此来实现集团或企业的网络集中管理，对计算机进行有效掌控，并实现安全信息监控功能。
对企业用户身份的认证：我们把企业用户身份的确认当做是企业网络信息安全过程中的通行证或者是防火墙。在这一方面，用户身份认证的重要功能是解决好企业用户物理身份和数字身份的认定，如果这个问题解决，那就可以对企业的其他安全管理系统给出相对完善的权限管理依据。否则，企业网络外部用户和访客就可以轻易地突破身份认证，或者采取其他办法伪造、仿造企业用户管理身份进行系统，从而危害网络信息安全。如果这类事故一旦发生，企业前期投入重金建立起来的网络安全体系不但毫无作用，反而会掩饰入侵者的踪迹，延缓企业安全漏洞暴露的时间，造成巨大损失。因此，实行更加稳妥、安全、有效的身份认证机制，可以为企业用户提供更加安全的保护策略，需要指出的是，企业安全信息网络建立和维护有必要针对用户的不同特点量身打造适合企业的保护机制，采用不同的权限管理、角色配置和跟踪日志，防治企业安全网络建设的母体（网络运营公司）因为信息泄露，而使得客户的信息遭遇泄露，只有这样，才能为企业打造一个相对坚固的安全信息防护体统。
企业数据的加密保护：在企业安全方面，往往会出现很多主动或者被动泄密的情形。一些员工因为白天没有完成企业安排的任务，使用存储设备将企业文件和资料拷贝回自家或者其他计算机上进行处理，或者通过外部打印机和网络打印对本系统的资料进行打印和复印，由此带来的企业安全信息外漏数不胜数。因此，需要对其企业的相关信息和书记进行加密处理，这样的目的会有效防止运功在有意无意间使企业秘密外泄。客观地讲，现行企业运行中，绝大多数文件和资料的存在形式都是电子文档，电子文档优势明显，但是也容易被人在短时间内拷贝剪切和篡改，由于现在企业重要的资料文件大部分都以电子文档形式的存在，通过加密技术企业计算机上的文档全部进行密后，限制各类文档的大开权限，让企业文档在离开企业办公局域网内就无法使用，从而把企业核心数据限制在一个安全的环境内，客观上起到保护功能。
三、系统设计与实现
当前我国的计算机网络技术、分布式数据库技术等技术正在快速发展，所以，企业在进行网络安全维护招标时，建议采用最先进的设计理念，更加注重选择和考虑安全信息系统的可操作性和安全性，并要对安全系统的合理性科学性和安全稳定性加以选择，方便系统使用期间的正常管理和维护，也有利于安全系统的升级换代。企业安全系统由数据库服务器、管理控制台和客户端三级构成。普通的数据库采用双层结构，一般不设计中间层，好处是系统响应的速度非常快，可以保证客户端、管理控制台、数据库服务器三者之间的快速联动。数据库服务器端是安全信息系统的数据中心，采用MSSQLServer2000/2005数据库系统各类数据、信息、资料进行有效存储管理，该装置通过管理端捕获管理员的设置信息，再分配至各用户端上实现。系统管理员对安装有客户端系统的整个网络范围内的计算机和用户进行集中管理.主要包括VLAN规划、地址管理、远程监控、设置管理策略、分发管理策略等。
企业客户端安装在用户计算机上，管理员可以通过控制台对客户端进行有效管理在线监控，从而实现企业用户计算机的集中管理和保护，客户端则通过结合硬件的用户身份识别系统，对计算机进行登录保护。一般来说，企业安全系统在安装客户端到计算机市，都设置客户端程序为不可删除和移动，也就是说，这种监控是强制性的，所有用户没有经过企业系统管理员认可和授权，都无权对客户端随意进行卸载或者暂停。
按照企业安全网络信息系统的层级设计特点，首先要实现基于MAC地址的网络安全管理。网络管理模块主要功能是，按照集团和企业内部科室（机构）设置进行计算机分配，采用基于MAC地址的地址绑定技术，将每台计算机和工作站的IP地址、名称、使用权限、网络技术参数设置等进行集中管理，从而有效实现网络安全管理的自动分发和网络远程管控。
以用户身份认证为主要内容的用户桌面保护主要功能是对企业用户按所属机构、部门进行管理，采用双因子身份认证的安全登录机制，通过为用户设置属性、安全权级等安全策略，结合客户端系统实现用户安全登录，保证用户身份验证的真实性。
数据的加密存储与访问模块是相对独立约一个功能模块。重点是实现数据信息的强制过程加密，使得加密后的数据文件离开企业电脑后无法被访问和使用。由于数据加密是一个独立的技术领域，市场上已有较成熟的过程加密产品可供企业选用。
篇8
全球经济一体化趋势的不断增强，使得企业之间的竞争日益激烈，企业之间的空间也越来越小，在这种竞争形势下，企业的经营方式和管理方式也随之发生了变化。同时，我们也应当意识到，这种个变革促进了企业的信息化管理的进程，同时也使得企业与外部信息网络的沟通方式得到了拓宽，企业内部的人与人、人与物的沟通方式也得到了优化，与此同时，企业信息管理的安全问题也逐渐受到了越来越多的重视。
一、企业信息管理
企业信息管理指的就是通过现代化的信息技术和设备，以网络技术和网络设备实现企业管理的自动化，进而对企业进行全方位和多角度的管理，以此来促进企业物流和能源流的优化配置，进而通过企业资源的开发和信息技术的有效利用来提高企业的管理水平，增强企业的核心竞争力。企业信息管理的主要内容，一般包括企业未来的经济形势分析、预测资料、资源的可获量、市场和竞争对手的发展动向，以及政府政策与政治情况的环境变化等等。企业信息管理与制订企业发展战略、制订规划、合理地分配资源是密切相关的。同时，企业的信息管理也应当包括企业内部的信息资源，如财务管理信息、库存、产品设计、职工档案管理等多方面的内容，并且促进企业的全面发展。
二、企业信息安全管理的必要性
企业信息的存在方式有着多样性，而进行企业安全信息管理的主要目的，在于保护企业的信息安全，保证企业能够顺利的参与到市场经济活动中，进而提高企业的经济效益和社会效益。企业信息安全管理主要有三个特点：
1.保密性
企业安全信息只有被授权的人才能够进行访问，具有较强的保密性。
2.完整性
信息本身和信息处理方法具有一定的准确性和完整性，才能够确保企业信息管理的有效性。
3.可用性
企业安全信息具有一定的可用性，需要时可以通过授权用户实现对信息的访问。企业的安全信息管理能够通过有效的控制措施来实现，前提是充分认识到企业信息安全管理的必要性。第一，企业管理的信息具有很强的保密性和完整性的特点，因此其对于企业的资金流动、企业的综合竞争力等多方面都有着重要的影响，同时对于企业的商业形象与合法经营也至关重要，因此加强企业信息安全管理是必要的。第二，由于网络自身所具有的开放性特性，决定了企业信息管理也面临着来自各方面的安全威胁，比如计算机病毒、黑客等，以及计算机诈骗、泄密等问题，也说明了加强企业信息安全管理势在必行。第三，企业对于信息系统产生的依赖也从另一方面暴露出了信息管理系统的脆弱，公共网络与私人网络的连接增强了信息的控制难度，使得信息在分散化的管理模式下，集中、专业控制的有效性大大的减弱。另外，由于很多信息管理系统设计的缺陷，其自身就存在着不合理之处，这对于信息安全管理也带来了一定的难度。基于此，对于企业信息管理的安全性也成为了当前企业管理面临的一个重大课题。
三、企业信息管理的安全防范措施
1.不断完善的信息管理系统
信息管理系统的投入和使用，是建立在充分的实践经验的基础上，通过一段时间的运行和观察，才能够投入使用。在不同的部门进行信息系统的引入时，应当按照部门的实际情况，通过多方引进，使用统一的信息管理系统。对于信息安全来说，首先要解决的就是系统是否能够通过安全验证对用户进行有效的管理，并且赋予不同等级的用户不同的使用权限，这样则能够有效的防止无权访问信息的用户对核心区域的访问，保证信息不会被盗用。
2.有效的设备管理
对于管理系统中使用的设备品牌、机型、内部配置以及使用时间等信息都要进行专门的记录，通过这些记录，定期对设备进行维护，同时也能够通过这些信息判断出信息的使用效率以及运行情况，对于设备的损坏或者是丢失情况都能够及时的了解。
3.加强对人员的监督与管理
人是设备的主要操作者，因此对于信息的安全管理，就需要加强对人的管理，这就需要操作人员具有足够的安全意识，对于每一位操作人员都应当进行相关的培训，对于唯一的用户名和密码等信息要进行妥善额保管，同时让操作人员了解到泄密会导致的严重后果，增强责任意识。同时，要加强对各种票据的管理，对于票据的领用，相关人员要做好登记，同时要保留相吻合的票据号码，用来存档。通过不断的加强过程管理，通过对每个细节的严密审查，能够有效的减少浑水摸鱼的现象，同时通过科学的评价机制和激励机制，刺激人员工作的积极性，加强自身的责任意识。
4.多方研发和推广网络信息处理系统
网络信息处理系统是在网络计算技术的基础上， 结合实现电子商务管理为方向。在可以提供互联网环境下的管理方式、信息处理模式和别的各种功能的信息处理系统。网络管理作为INTERNET与电子商务环境下信息处理系统的主流发展方向。跟传统信息处理系统相比， 网络系统还要有着各类辅助作用。
四、结束语
在现代市场经济条件下，企业能够对信息实施有效的安全管理，对于企业的综合竞争力，有着重要的影响。而企业信息管理的安全性，主要与企业的信息安全管理体制是否完善、是否具有与企业文化相符合的信息安全管理办法以及科学的评估方法等因素有着直接的关系，因此，企业应当不断的加强对信息的安全管理，不断提高企业的管理效率，以此促进企业实现持续、稳定的发展。
参考文献
[1]黄国忠.企业信息安全风险自评估模型研究[D].浙江大学管理学院 浙江大学：管理科学与工程,2008.
[2]陈丽霞,杨超.基于Web的企业信息管理系统安全方案[J].电脑知识与技术,2008(25).
篇9
随着现代企业管理体系的逐渐复杂，企业管理已经称得上是一种系统性工程，为了在这种发展背景下实现企业的相关发展，对企业安全生产信息化管理体系的相关研究就显得很有必要。
1企业安全生产管理模式的发展过程
1.1发达国家企业安全生产管理模式
企业的安全生产管理经历了传统安全生产管理模式、对象性安全生产管理模式、过程安全生产管理模式以及系统安全生产管理模式四个阶段的发展。随着计算机网络技术的不断发展和相关理论体系的完善，现阶段发达国家企业中普遍采用的是系统安全生产管理模式。
1.2我国企业安全生产管理模式
虽然现阶段发达国家的企业中大多采用系统安全生产管理模式，但由于我国企业相对发展落后，现阶段大部分企业中还是采用过程管理模式进行自身企业的安全生产管理。当然，随着我国近年来科技与经济的飞速发展，很多企业已经开始认识到过程安全生产管理模式的弊端，一些大型企业也开始进行系统安全生产管理模式的相关尝试，这些都直接促进着我国企业安全生产管理的相关发展。
2企业安全生产信息化管理体系的运行模式
企业安全生产信息化管理体系的运行模式由管理组织决策、风险评估、隐患排查、安全信息分类、生产H标制定、相关考核、方案传输等内容组成。在完成企业安全生产信息化管理体系运行模式的规划与决策后，我们就需要对其生产管理组织机构与责任制进行相关研究，以此构建企业安全生产信息化管理体系中的具体功能模块，最终完成企业安全生产信息化管理体系的相关建设。在企业安全生产信息化管理体系的运行中，相关设计人员需要对其绩效进行测量与监视，对具体运行效果进行优化，并根据相关优化中得到的信息对管理体系的外部进行评审，实现企业安全生产信息化管理体系的安全、健康、高效运行。
3企业安全生产信息化管理体系的具体架构
为了实现企业安全生产信息化管理体系的相关功能，笔者结合自身工作经验提出了一种较为符合我国企业发展实际、组织结构也较为完善的企业安全生产信息化管理体系，其具体架构如下：
3.1理论基础层
在企业安全生产信息化管理体系的构建中，理论基础层是极为重要的一个组成部分，也是其最底层。在企业的日常生产经营中，安全生产理论是随着相关技术不断发展而来的一套完备的理论体系，这也使得相关理论体系的存在为企业安全生产信息化管理体系的建立提供了坚实的基础。在企业安全生产信息化管理体系中，理论基础层由基本管理理论与综合管理理论两部分组成。基本管理理论指的是企业安全生产中通用的方法与规则，综合管理理论则是由安全教育学原理、安全法原理、事故学理论等多种理论综合而成，这些理论都在企业安全生产信息化管理体系的建设中发挥着重要的作用|31。
3.2技术实现层
在企业安全生产信息化管理体系中，安全生产信息化管理技术的实现层是第二层，其发展于第一层的理论基础之上，通过多种技术对企业安全生产信息化管理体系进行支撑。企业安全生产信息化管理的实现层具有数据实时采集、实时共享、多种数据分析等功能，并能够以此确保企业安全生产信息化管理体系功能的正常运转|41。
3.3功能模块与业务层
在企业安全生产信息化管理体系中，功能模块与业务层是第三层。第三层主要由安全信息中心、企业安全生产基础管理功能模块、企业安全生产监控管理模块、企业安全检査管理功能模块、安全生产风险评估以及应急管理功能模块、企业安全生产环境控制管理功能模块这六大功能模块构成。这些模块的存在为企业安全生产信息化管理体系提供具体服务的支持，是管理体系不可或缺的重要组成部分。
4结语
随着我国经济与社会的不断发展，企业安全生产信息化是必然的历史发展趋势。在未来的企业竞争中，一家企业是否拥有完善的安全生产信息化管理体系，将是其自身竞争力的重点体现之一为了提高企业的生产管理效率，企业安全生产信息化管理体系的建立也是不可忽视的一个重要环节。本文为安全生产信息化管理体系提供了一个可行性架构模型，希望能够为相关企业的安全生产信息化管理体系发展带来一定帮助。
作者:吕鹏 单位:神华煤制油鄂尔多斯分公司
参考文献
[1]杨宇，王坚.企业安全生产信息化管理体系的探讨m.机电产品开发与创新,20丨4(6>:29-31.
篇10
中图分类号：TP309 文献标识码：A 文章编号：1671-7597（2013）12-0144-02
信息化时代，计算机应用范围日益广泛，社会发展和人们生活已经离不开信息网络。信息成为企业中重要的资源之一，很多企业都大量引入了信息化办公手段，运行于系统、网络和电脑的数据安全成为了企业信息安全面临的重要问题。尽管很多企业都认识到信息安全风险管理的重要性，也纷纷从人员配置、资金投入、技术更新等多方面加强对信息安全风险的管理，但是企业信息安全风险并没有随之消失，相反却在不断地增长。现在，公司在越来越多的威胁面前显得更为脆弱。网络攻击日益频繁、攻击手段日益多样化，从病毒到垃圾邮件，这些方式都被用来窃取公司信息。，如不提前防范，一旦被袭，网络阻塞、系统瘫痪、信息传输中断、数据丢失等等，无疑将给企业业务带来巨大的经济损失。
中国国家互联网应急中心抽样监测显示，2011年，网络安全威胁呈蔓延之势，有近5万个境外IP地址作为木马或僵尸网络控制服务器，参与控制了我国境内近890万台主机，网上资产损失就高达十多亿。仿冒我国境内银行网站站点的IP，也有将近3/4来自美国。可见企业信息安全风险控制势在必行，不仅仅是企业需要关注的问题，也是涉及到国家安全的重要课题。
1 企业信息安全风险分析
1.1 黑客的入侵和攻击
企业面临着一系列的信息安全威胁，其中最普遍的一种信息安全威胁就是病毒入侵。一些教授黑客技术的网络资源随处可见，很多年轻人处于好奇或者出于牟利目的，从网上购得黑客技术，对企业网站进行攻击。2011年4月26日，索尼在“游戏站”博客通告，称黑客侵入旗下“游戏站”和云音乐服务Qriocity网络，窃取大量用户个人信息，包括姓名、地址、电子邮箱、出生日期、登录名、登录密码、登录记录、密码安全问题等，受影响用户大约7800万。黑客入侵方式中危害最严重的当属SQL注入。SQL注入的实际意义是利用某些数据库的外部接口把用户数据插入到实际的数据操作语言当中，从而达到入侵数据库乃至操作系统的目的，很多黑客通过SQL注入交互和命令，利用数据库实现木马植入到网站中。SQL注入和缓冲区溢出漏洞相比，可以绕过防火墙直接访问数据库，进一步获得数据库所在的服务器权限，给企业造成的损失十分惨重，更使广大互联网用户深受其害。
1.2 企业信息安全防范意识薄弱
目前，很多企业都加强了信息化建设，通过资金投入、技术改造等多方面加强企业信息安全。但是信息风险不仅仅是技术层面的东西，更重要是人的意识层面对安全风险的认识。在企业中，很多部门和个人依然对信息安全风险问题不重视，有的认为信息风险安全是网络部门的事情，与其他部门或者员工没有关系，而且也帮不上忙；有的人认为对信息安全的宣传有夸张的嫌疑，真正遭受过网络攻击的企业屈指可数，肯定不会发生在自己身上；有的企业 缺乏信息安全风险管理的制度建设，没有出台具体的故障制度，造成很多情况下，员工无章可循，不知道怎么应对网络信息风险，出现问题也不知道如何化解和处理。有的企业尽管已经制定了规章制度，但很多都是流于形式，没有针对性，也没有操作性，长年累月不进行更新和修改，滞后于信息化时展的要求。
1.3 技术装备和设施的作用发挥不充分
很多企业为了加强信息安全风险管理，都有针对性的部署了一些信息安全设备，然后这些从安装上就很少有人问津，设备的运行状况和参数设置都不合理，都是根据系统提示采用默认设置，由于企业与企业之间有很大的不同，企业之间的信息安全风险也相差迥异，采用默认状态无法照顾企业的真实情况，不能从源头上有针对性的加强信息安全风险管理。很多企业缺乏对安全设备以及运行日志的监控，不能有效的根据设备运行状况进行细致分析，从而采取适当措施加强信息风险管理。总之，在企业信息安全风险管理中被动保护的情况比较普遍，缺乏主动防御的意识，而且对于大多数中小企业而言，企业资金和规模都比较小，面临激烈的市场竞争，企业将主要精力用于市场开拓和产品的影响，以期在短时间内获得可观的利润，企业在信息安全风险上的投入比较少，很多设备都老化了，线路都磨损严重，却没有得到及时更新和维护，为企业安全风险管理埋下了隐患。
1.4 企业信息安全规定不严谨
很多企业在实际工作制定了大量的安全管理规定，但是在实际操作中，对企业员工以及信息服务人员的口令卡、数据加密等要求很难得到落实。部分员工长期使用初始口令、加密强度较弱的口令，有的员工登陆系统时使用别人的账号，使用完毕后也没有及时关闭账号，也不关电脑，外来人员很容易登陆电脑窃取企业机密文件，公司内部也缺乏信息安全风险管理的意识，员工可以任意下载企业资料，可以随意将企业资料设置成共享状态，在拷贝企业文件或者数据时，也没有经过杀毒过程，直接下载或者用邮件发送。甚至很多企业员工在上班时间看电影、玩游戏、下载文件比较普遍，员工随意打开一些不安全的网站，随意接受一些来源可疑的邮件，成病毒传播、木马下载、账号及密码被盗，自己还浑然不知。这些不良行为都严重威胁企业的信息安全，加上现代企业人员流动比较频繁，员工跳槽很普遍，很多员工离职后也没有上交公司账号和口令卡，依然可以登录原公司系统，给企业网络风险带来隐患。企业废弃不用的一些安全设备也没有及时进行加密和保护处理，里面的数据没有及时进行删除，安全设备随意放置，外人很容易从这些设备中还原和复制原有的信息资源。
2 企业信息安全风险的控制
2.1 加强基础设施建设资金投入
企业要加强信息安全风险防范的资金投入，资金投入主要用于企业日常安全信息管理、技术人员的培训以及安全设备的购置等等，每年企业从企业利润中拿出一定比例的资金来加强信息安全的投入，投入的资金与企业规模、企业对信息安全的要求息息相关。针对很多公司信息化设备老化，线路损耗严重的现实情况，企业要加强线路的维护和改造，购买新的防火墙和杀毒软件等等，在采购和使用信息安全产品时，企业一定要重视产品的管理功能是否强大、解决方案是否全面，以及企业安全管理人员的技术水平。例如企业可以购入UPS电源，突然停电时可以利用该电源用来应急，以保证公司信息化建设中系统的正常运行和设备技术的及时更新。
2.2 提高个人信息安全意识
维护企业计算机网络信息安全是企业每一位员工都应该关注的课题，企业要加强信息安全风险防范的宣传，让每一位员工都对基本得到网络安全信息技术有所了解，对计算机风险的重要性有清楚的认识，每位员工尤其是网络技术服务人员要把口令卡和账号管理好，不能泄露或者遗失，使用者的网络操作行为和权限都要进行一定的控制，防止企业员工越权浏览公司信息，对于一些涉及企业机密的文件要及时进行加密，对文件是否可以公开访问进行限制，减少不合法的访问。还要及时清理文件，一些废弃的或者没有价值的文件要及时进行删除，要彻底删除不能仅仅放到回收站，保证其他人无法通过复制或者还原电脑设备中的信息。对于企业电脑设备要注意防磁、防雷击等保护措施，企业职工要对电脑设备的基本保养和维护措施有了解，不要在过于潮湿、气温过高的地方使用电脑，要懂得如何对电脑系统继续软件更新和漏洞的修补，从而保证计算机处在最优的防护状态，减少病毒入侵。
2.3 加强防火墙设计
由员工网络操作不当造成的黑客入侵、商业机密泄露也威胁着企业的生存和发展。一直以来，企业信息安全解决方案都需要来自多个制造商的不同产品，需要多个工具和基础结构来进行管理、报告和分析。不同品牌、不同功能的信息安全设备被杂乱无章地堆叠在企业网络中，不但兼容性差，还容易造成企业网络拥堵。正确地部署和配置这些复杂的解决方案十分困难，而且需要大量时间。另外，大量安全产品互操作性不足，无法与已有的安全和 IT 基础结构很好的集成。这样组成的解决方案难以管理，增加了拥有者总成本，并可能在网络上留下安全漏洞。企业可以引入终端安全管理系统进行信息安全风险的防范，例如瑞星企业终端安全管理系统采用了统一系统平台+独立功能模块的设计理念，集病毒查杀双引擎、专业防火墙和信息安全审计等于一身，具有网络安全管理、客户端行为审计、即时通讯管理和审计、客户端漏洞扫描和补丁管理等功能；企业信息安全新品还采用了模块化的新形式，企业可以根据自己的需求定制相应的功能组合；通过瑞星在线商店，企业也可以随着信息安全需求的变化添加所需模块，减轻首次购买的支付成本及后续的升级成本。
总之，随着网络应用的日益普及，企业信息安全风险问题日益复杂。要切实加强对信息安全风险的认识，从规章制度、技术手段以及宣传教育等多方面加强企业信息安全风险防范，确保网络信息的保密性、完整性和可用性。
参考文献
[1]夏青.浅述网络技术与信息安全[J].科技情报开发与经济，2003（11）.
[2]马俊，王铁存.网络数据传输安全对策[J].航空计算技术，2006，25（4）.
[3]李象江.网络安全技术与管理[J].现代图书情报，2006（2）.
[4]陈月波.网络信息安全第1版[M].武汉：武汉工业大学出版社，2008.
[5]刘正红.XML加密技术的研究与实现[J].长春大学学报，2007，17（6）.
篇11
一、前言
国网公司现已建成覆盖至基层生产班站及营业站所的信息内网。随着SG186工程的全面投入运行，从职能部室到一线班组，电力企业所有的业务数据都依赖网络进行流转，电网企业生产和经营对信息网络和信息系统的依赖程度越来越高信息安全的重要性日益凸显。国网公司已将网络与信息安全纳入公司安全管理体系。
一直以来，信息安全防御理念常局限于常规的网关级别（防火墙等）、网络边界（漏洞扫描、安全审计）等方面的防御，重要的安全设施大多集中于核心机房、网络入口处，在这些设备的严密监控下，来自网络外部的安全威胁已大大减少，尤其实行内外网隔离、双网双机后，来自于互联网的威胁微乎其微。而内网办公终端由于分布地点广泛，管控难度大，加之现在无线上网卡、无线wifi和智能手机的兴起，内网计算机接入互联网的事件时有发生，一旦使用人员将内网计算机通过以上方式接入互联网，即造成违规外联事件。由于违规外联开通了一条无任何保护措施进出内外网的通道，一旦遭遇黑客袭击，就可能造成信息泄露、重要数据丢失、病毒入侵、网络瘫痪等信息安全事故，给企业信息安全带来重大的安全隐患和风险。
二、强化管理、落实责任，监培并进
1、将违规外联明确写入公司各项规章制度，并纳入经济责任考核。在《公司信息系统安全管理办法》中，对杜绝违规外联事件进行了明确的要求：所有内网计算机必须粘贴防止违规外联提示卡，严禁将接入过互联网未经处理的计算机接入内网，严禁在普通计算机上安装双网卡，严禁将智能设备（3G手机、无线网卡等）插入内网计算机USB端口，严禁在办公区通过路由器连接外网，杜绝违规外联行为。 一旦发生违规外联事件，依据《企业信息化工作评级实施细则》，按照“谁主管谁负责、谁运行谁负责、谁使用谁负责”的原则对事件责任人进行严肃处理和经济考核，并在全公司通报批评。将信息安全责任落实到人。
2、加大违规外联宣贯和培训力度。信息安全工作，重在预防，将一切安全事件消灭在萌芽状态，才能确保信息系统安全稳定运行。分层次组织开展公司在岗员工，尤其是新员工的信息安全教育培训工作，即重点培训各部门信息化管理人员，各级管理人员培训本部门技术人员，本部门技术人员培训一线员工。通过分层式培训，提高了培训效果，同时各级管理人员、技术人员作为下级培训对象讲师提高了自身素质，强化了信息安全关键点的作用。确保违规外联事件的严重性、危害性和工作机理已宣贯至公司每一位员工，实现全员重视、全员掌握，做到内网计算机“离座就锁屏，下班就关机”的工作习惯。
3、加强外来工作人员管控。加强外来工作人员信息安全教育，并签订《第三方人员现场安全合同书》，严禁外来工作人员计算机接入公司内外网。对第三方人员工作过程全程监控，防止因外来工作人员擅自操作造成违规外联事件。
二、加强技术管控，从源头杜绝安全事件的发生
2.1严格执行“双网双机”
严禁在信息内网和外网交叉使用计算机。对要求接入信息内、外网的计算机，需向本人核实该计算机之前网络接入情况，对内外网络接入方式有变化、或者是不清楚的情况，需对计算机进行硬盘格式化并重装系统后方可接入网络。
2.2安装桌面终端，设置强口令，防止违规外联
实时监控全公司内网终端桌面终端系统安装率，确保所有内网计算机桌面终端安装率达100%。设置桌面终端策略，一旦发生违规外联，系统立即采取断网措施，并对终端用户进行警示。要求全部内网计算机设置开机强口令（数字+字母+特殊符号，且大于8位），防止非本人操作的违规外联行为。通过桌面终端系统对内网计算机开机强口令进行实时监控。
2.3做好温馨提示，明确内外网设备，防止违规外联
做到每一台内网计算机均粘贴信息安全提示标签提示员工切勿内网计算机接入外网网络，无线网卡及智能手机切勿接入内网。内外网网络端口模块、网线端口都要有明显标识，防止员工误接网络。
2.4实行内网计算机IP、MAC绑定和外网计算机IP、认证账号绑定
加强IP地址绑定，从交换机端口对接入内网的计算机进行IP、MAC地址绑定，确保除本计算机外，其余计算机无法通过该端口接入内网。
篇12
随着云计算、大数据等新兴技术的不断发展，企业信息化、智能化程度、网络化、数字化程度越来越高，人类社会进入到以大数据为主要特征的知识文明时代。大数据是企业的重要财富，正在成为企业一种重要的生产资料，成为企业创新、竞争、业务提升的前沿。大数据正在成为企业未来业务发展的重要战略方向，大数据将引领企业实现业务跨越式发展;同时，由此带来的信息安全风险挑战前所未有，远远超出了传统意义上信息安全保障的内涵，对于众多大数据背景下涉及的信息安全问题，很难通过一套完整的安全产品和服务从根本上解决安全隐患。
自2008年国际综合性期刊《Nature》发表有关大数据(Big Data)的专刊以来，面向各应用领域的大数据分析更成为各行业及信息技术方向关注的焦点。大数据的固有特征使得传统安全机制和方法显示出不足。本文系统分析了大数据时代背景下的企业信息系统存在的主要信息安全脆弱性、信息安全威胁以及信息安全风险问题，并有针对性地提出相应的信息安全保障策略，为大数据背景下的企业信息安全保障提供一定指导的作用。
1 大数据基本内涵
大数据(Big Data)，什么是大数据，目前还没有形成统一的共识。网络企业普遍将大数据定义为数据量与数据类型复杂到在合理时间内无法通过当前的主流数据库管理软件生成、获取、传输、存储、处理，管理、分析挖掘、应用决策以及销毁等的大型数据集。大数据具有4V特征(Volume，Varity，Value，Velocity)，即数据量大、数据类型多、数据价值密度低、数据处理速度快。
2011年麦肯锡咨询公司了《大数据：下一个创新、竞争和生产力的变革领域》[1]的研究报告，引起了信息产业界的广泛关注。美国谷歌公司(Google)、国际商业机器公司(IBM)、美国易安信公司(EMC)、脸书(Facebook)等公司相继开始了大数据应用、分析、存储、管理等相关技术的研究，并推出各自的大数据解决框架、方案以及产品。例如，阿帕奇软件基金会(Apache)组织推出的Hadoop大数据分析框架，谷歌公司推出的BigTable、GFS(Google File System)、MapReduce等技术框架等，这些研究成果为随后的大数据应用迅猛发展提供了便利的条件。2012年3月，美国奥巴马总统了2亿美元的“Big Data Initiative”(大数据研究和发展计划)，该计划涉及能源、国防、医疗、基础科学等领域的155个项目种类，该计划极大地推动了大数据技术的创新与应用，标志着奥巴马政府将大数据战略从起初的政策层提升到国家战略层。
同时，我国对大数据的认识、应用及相关技术服务等也在不断提高，企业界一致认同大数据在降低企业经营运营成本、提升管理层决策效率、提高企业经济效益等方面具有广阔的应用前景，相继大数据相关战略文件，同时国家组织在民生、国防等重要领域投入大量的人力物力进行相关技术研究与创新实践。
中国移动通信公司在已有的云计算平台基础上，开展了大量大数据应用研究，力图将数据信息转化为商业价值，促进业务创新。例如，通过挖掘用户的移动互联网行为特征，助力市场决策;利用信令数据支撑终端、网络、业务平台关联分析，优化网络质量。商业银行也相继开展了经融大数据研究，提升银行的竞争力。例如，通过对用户数据分析开展信用评估，降低企业风险;从细粒度的级别进行客户数据分析，为不同客户提供个性化的产品与服务，提升银行的服务效率。总而言之，大数据正在带来一场颠覆性的革命，将会推动整个社会取得全面进步。
2 大数据安全研究现状
在大数据计算和分析过程中，安全是不容忽视的。大数据的固有特征对现有的安全标准、安全体系架构、安全机制等都提出了新的挑战。目前对大数据完整性的研究主要包括两方面，一是对数据完整性的检测;二是对完整性被破坏的数据的恢复。在完整性检测方面，数据量的增大使传统的MD5、SHA1等效率较低的散列校验方法不再适用，验证者也无法将全部数据下载到本地主机后再进行验证。
面向大数据的高效隐私保护方法方面，高效、轻量级的数据加密已有多年研究，虽然可用于大数据加密，但加密后数据不具可用性。保留数据可用性的非密码学的隐私保护方法因而得到了广泛的研究和应用。这些方法包括数据随机化、k-匿名化、差分隐私等。
这些方法在探究隐私泄漏的风险、提高隐私保护的可信度方面还有待深入，也不能适应大数据的海量性、异构性和时效性。在隐私保护下大数据的安全计算方面，很多应用领域中的安全多方计算问题都在半诚实模型中得到了充分的研究，采用的方法包括电路赋值(Circuit Evaluation)、遗忘传输(Oblivious Transfer)、同态加密等。通过构造零知识证明，可以将半诚实模型中的解决方法转换到恶意模型中。而在多方参与、涉及大量数据处理的计算问题，目前研究的主要缺陷是恶意模型中方法的复杂度过高，不适应多方参与、多协议执行的复杂网络环境。
企业大数据技术是指大数据相关技术在企业的充分应用，即对企业业务、生产、监控、监测等信息系统在运行过程中涉及的海量数据进行抽取、传输、存储、处理，管理、分析挖掘、应用决策以及销毁等，实现大数据对企业效率的提升、效益的增值以及风险的预测等。
企业的大数据类型通常主要包括业务经营数据即客户信息数据、企业的生产运营与管理数据以及企业的设备运行数据等，即客户信息数据、员工信息数据、财务数据、物资数据、系统日志、设备监测数据、调度数据、检修数据、状态数据等。企业大数据具有3V、3E特征[2]，3V即数据体量大(Volume)、数据类型多(Varity)与数据速度快(Velocity)，3E即数据即能量(Energy)、数据即交互(Exchange)与数据即共情(Empathy)。
3 大数据时代企业信息安全漏洞与风险并存
大数据时代，大数据在推动企业向着更为高效、优质、精准的服务前行的同时，其重要性与特殊性也给企业带来新的信息安全风险与挑战。如何针对大数据的重要性与特殊性构建全方位多层次的信息安全保障体系，是企业发展中面临的重要课题。大数据背景下，结合大数据时代的企业工作模式，企业可能存在的信息安全风险主要表现在以下三个方面：
(1)企业业务大数据信息安全风险：由于缺乏针对大数据相关的政策法规、标准与管理规章制度，导致企业对客户信息大数据的“开放度”难以掌握，大数据开放和隐私之间难以平衡;企业缺乏清晰的数据需求导致数据资产流失的风险;企业数据孤岛，数据质量差可用性低，导致数据无法充分利用以及数据价值不能充分挖掘的风险;大数据安全能力和防范意识差，大数据人才缺乏导致大数据分析、处理等工作难以开展的风险;管理技术和架构相对滞后，导致数据泄露的风险。
(2)企业基础设施信息安全风险：2010年，震网病毒[3]通过网络与预制的系统漏洞对伊朗核电站发起攻击，导致伊朗浓缩铀工程的部分离心机出现故障，极大的延缓了伊朗核进程。从此开启了世界各国对工业控制系统安全的重视与管控。对于生产企业，工业生产设备是企业的命脉，其控制系统的安全性必须得到企业的高度重视。随着物理设备管理控制系统与大数据采集系统在企业的不断应用，监控与数据采集系统必将成为是物理攻击的重点方向，越来越多的安全问题随之出现。
设备“接入点”范围的不断扩大，传统的边界防护概念被改变; 2013年初，美国工业控制系统网络紧急响应小组(ICS-CERT)预警，发现美国两家电厂的发电控制设备在2012年10月至12月期间感染了USB设备中的恶意软件。该软件能够远程控制开关闸门、旋转仪表表盘、大坝控制等重要操作，对电力设备及企业安全造成了极大的威胁。
(3)企业平台信息安全风险： 应用层安全风险主要是指网络给用户提供服务所采用的应用软件存在的漏洞所带来的安全风险，包括： Web服务、邮件系统、数据库软件、域名系统、路由与交换系统、防火墙及网管系统、业务应用软件以及其他网络服务系统等;操作系统层的安全风险主要是指网络运行的操作系统存在的漏洞带来的安全风险，例如Windows NT、UNIX、Linux系列以及专用操作系统本身安全漏洞，主要包括访问控制、身份认证、系统漏洞以及操作系统的安全配置等;网络层安全风险主要指网络层身份认证，网络资源的访问控制，数据传输的保密性与完整性、路由系统的安全、远程接入、域名系统、入侵检测的手段等网络信息漏洞带来的安全性。
4 企业大数据信息安全保障策略
针对大数据时代下企业可能存在的信息安全漏洞与风险，本文从企业的网络边界信息安全保障、应用终端信息安全保障、应用平台信息安全保障、网络安全信息安全保障、数据安全信息安全保障等多方面提出如下信息安全保障策略，形成具有层次特性的企业信息安全保障体系，提升大数据时代下的企业信息安全保障能力。
4.1企业系统终端——信息安全保障策略
对企业计算机终端进行分类，依照国家信息安全等级保护的要求实行分级管理，根据确定的等级要求采取相应的安全保障策略。企业拥有多种类型终端设备，对于不同终端，根据具体终端的类型、通信方式以及应用环境等选择适宜的保障策略。确保移动终端的接入安全，移动作业类终端严格执行企业制定的办公终端严禁“内外网机混用”原则，移动终端接入内网需采用软硬件相结合的加密方式接入。配子站终端需配置安全模块，对主站系统的参数设置指令和控制命令采取数据完整性验证和安全鉴别措施，以防范恶意操作电气设备，冒充主站对子站终端进行攻击。
4.2企业网络边界——信息安全保障策略
企业网络具有分区分层的特点，使边界不受外部的攻击，防止恶意的内部人员跨越边界对外实施攻击，在不同区的网络边界加强安全防护策略，或外部人员通过开放接口、隐蔽通道进入内部网络。在管理信息内部，审核不同业务安全等级与网络密级，在网络边界进行相应的隔离保护。按照业务网络的安全等级、实时性需求以及用途等评价指标，采用防火墙隔离技术、协议隔离技术、物理隔离技术等[4]对关键核心业务网络进行安全隔离，实现内部网与外部网访问资源限制。
4.3企业网络安全——信息安全保障策略
网络是企业正常运转的重要保障，是连接物理设备、应用平台与数据的基础环境。生产企业主要采用公共网络和专用网络相结合的网络结构，专用网络支撑企业的生产管理、设备管理、调度管理、资源管理等核心业务，不同业务使用的专用网络享有不同安全等级与密级，需要采取不同的保障策略。网络弹性是指基础网络在遇到突发事件时继续运行与快速恢复的能力。采用先进的网络防护技术，建立基础网一体化感知、响应、检测、恢复与溯源机制，采取网络虚拟化、硬件冗余、叠加等方法提高企业网络弹性与安全性;对网络基础服务、网络业务、信息流、网络设备等基础网络环境采用监控审计、安全加固、访问控制、身份鉴别、备份恢复、入侵检测、资源控制等措施增强网络环境安全防护;在企业网络中，重要信息数据需要安全通信。针对信息数字资源的安全交换需求，构建企业的业务虚拟专用网。在已有基础网络中采用访问控制、用户认证、信息加密等相关技术，防止企业敏感数据被窃取，采取建立数据加密虚拟网络隧道进行信息传输安全通信机制。
4.4企业应用系统平台——信息安全保障策略
应用系统平台安全直接关系到企业各业务应用的稳定运行，对应用平台进行信息安全保障，可以有效避免企业业务被阻断、扰乱、欺骗等破坏行为，本文建议给每个应用平台建立相应的日志系统，可以对用户的操作记录、访问记录等信息进行归档存储，为安全事件分析提供取证与溯源数据，防范内部人员进行异常操作。企业应用平台的用户类型多样，不同的应用主体享有不同的功能与应用权限，考虑到系统的灵活性与安全性，采用基于属性权限访问控制[5]、基于动态和控制中心访问权限控制[6]、基于域访问权限控制[7]、基于角色访问控制等访问控制技术;确保企业应用平台系统安全可靠，在应用平台上线前，应邀请第三方权威机构对其进行信息安全测评，即对应用平台系统进行全面、系统的安全漏洞分析与风险评估[8]，并制定相应的信息安全保障策略。
4.5企业大数据安全——信息保障策略
大数据时代下，大数据是企业的核心资源。企业客户数据可能不仅包含个人的隐私信息，而且还包括个人、家庭的消费行为信息，如果针对客户大数据不妥善处理，会对用户造成极大的危害，进而失信于客户。目前感知大数据(数据追踪溯源)、应用大数据(大数据的隐私保护[9]与开放)、管控大数据(数据访问安全、数据存储安全)等问题，仍然制约与困扰着大数据的发展。大数据主要采用分布式文件系统技术在云端存储，在对云存储环境进行安全防护的前提下，对关键核心数据进行冗余备份，强化数据存储安全，提高企业大数据安全存储能力。为了保护企业数据的隐私安全、提高企业大数据的安全性的同时提升企业的可信度，可采用数据分享、分析、时进行匿名保护已经隐私数据存储加密保护措施来加强企业数据的隐私安全，对大数据用户进行分类与角色划分，严格控制、明确各角色数据访问权限，规范各级用户的访问行为，确保不同等级密级数据的读、写操作，有效抵制外部恶意行为，有效管理云存储环境下的企业大数据安全。
5 结束语
篇13
【中图分类号】TU714【文献标志码】B
目前，我国建筑施工企业在信息化建设进程中有快、有慢，程度不同，但建成以“纵向贯通，横向集成”的一体化信息集成平台，实现上下信息畅通和有效数据共享是建筑企业共同的发展趋势。安全管理信息化是社会、经济发展到一定程度时建筑施工企业信息化的必然要素。安全管理信息化是指企业在生产经营活动中，采用先进的管理理念，在重新整合业务和管理流程的基础上，利用现代信息、网络技术、资源和环境等，通过信息资源的深入开发和广泛利用，实现内部办公、项目管理、现场操作等多种功能的发展和应用，以提高企业和项目的安全管理水平，带来经济与社会效益，为企业的安全生产提供科学依据和智力支持。施工企业通过信息化手段对公司内部管理网络进行改造，搭建公司的数据资源平台和信息系统的集成化框架，建立起符合公司总体规划的内部安全管理网络，完成信息化集成的基础性和全局性工作，完成部分安全硬件建设和安全应用系统的开发和运行，使安全信息系统能够在企业的生产经营活动中发挥一定的作用，是企业安全管理信息化的关键。通过信息系统实时掌握和掌控施工现场安全生产状况，实现及时发现消除违章、违规行为和安全隐患，高效办公和解决问题是企业安全管理信息化的具体应用。在建筑施工企业项目建设中运用门禁系统、远程监控系统、远程视频会议系统、塔式起重机安全监测系统、消防自动报警系统、扬尘自动喷雾系统、施工升降机智能控制系统、网络办公系统、资料录入无纸化办公系统，不断提高公司的安全信息管理水平，将及时发现的安全问题和各种隐患消灭在萌芽状态，利于提高企业工作效率和全面协调，是企业施工安全生产的保障。下面列举几点信息化安全管理在建筑施工企业中的应用实例，供大家探讨。
一、实名制管理信息系统
1.推行劳务人员实名制管理。施工总承包、专业承包和施工劳务等建筑施工企业应实行劳务人员实名制，大力推行劳务人员实名制管理。在施工现场配备专职或兼职劳务用工管理人员，负责登记劳务人员的基本身份信息、技能状况、从业经历、考勤记录、诚信信息、工资结算与支付以及安全教育培训记录等情况。施工劳务企业应建立健全完善的劳务人员实名制资料，并委派专人或独立部门实施管理，在承包工程项目时应将劳务人员的相关实名制资料报施工总承包企业核实、查验。施工总承包企业也应配备现场专职劳务用工管理人员监督施工劳务企业实名制管理情况，对劳务实名登记人员的安全教育培训及安全业绩档案等信息进行核实，并留存相关资料。进出工程项目施工现场的施工作业人员必须在项目劳资管理员处进行实名制登记，递交相关实名登记资料，办理门禁进出登记卡，刷卡进出施工现场，无门禁卡严禁进出施工现场。通过刷卡进出和实名制登记制度规范建筑施工企业劳务用工管理，建立务工人员的安全业绩档案，有效地对务工人员进行动态监控，了解务工人员的安全教育、安全业绩、工资支付等情况。施工总承包单位、工程承包单位应当投入必要的费用，建立门禁打卡系统，并与企业进行联网，纳入企业管理考核内容。当地建设主管部门和监督机构应实行监管，并加大监管力度，规范劳务用工管理，落实劳务人员实名制管理各项要求。各地建设主管部门和施工企业应根据本地区、本企业的实际情况，做好实名制管理的宣贯、推广及施工现场的检查、督导工作。积极推行信息化管理方式，将劳务人员的实名登记信息内容纳入信息化管理范畴，逐步实现不同项目、企业、地域劳务人员信息的共享和互通，建立广泛的人力资源管理系统，进一步规范建筑务工人员的用工体系。有条件的地区，可探索推进劳务人员的诚信信息和安全业绩管理，对发生违法、违规、违章记录行为以及引发的责任人，记录其不良行为并予以通报，或采取其他方式对务工人员进行限制等措施，以提高务工人员的整体素质，形成良好的施工作业用工环境。2.施工企业管理关键岗位人员实名制管理。（1）施工企业关键岗位实名制人员：1）企业负责人：法人代表、主要负责人、技术负责人。2）各类注册执业人员：注册建造师、注册监理工程师等。3）现场专业人员：项目技术负责人、质量员、安全员、施工员、监理员、材料员、资料员、见证员、取样员、标准员、机械员、劳资管理员。4）建筑施工特种作业操作人员。5）建设工程质量检测机构检测岗位人员。6）不在上述范围内并具有中级以上职称的从业人员。（2）结合业务登记实名制信息。a.单位办理资质等业务时登记。办理资质新设立、升级、增项、延续、变更及施工图审查、招投标、施工许可、竣工备案等业务时完成实名制信息登记。b.个人办理资格业务时登记。注册人员在办理初始注册、延续注册、增项注册、变更注册、继续教育等业务时，完成实名制信息登记。现场专业人员在办理岗位证书、继续教育、延期登记、变更等业务时，完成实名制信息登记。安全管理三类人员在办理A、B、C证首次申请、延期、变更、继续教育等业务时，完成实名制信息登记。工程质量检测机构检测岗位人员在办理岗位证书、继续教育、延期登记、变更等业务时，完成实名制信息登记。建筑施工特种作业操作人员在办理首次申请、延期、变更、遗失补办时要完成实名制信息登记。（3）实名制登记信息内容。基本信息：身份证、学历证书、专业技术资格证书、岗位资格证书、注册证书、工作经历和业绩、个人证件照（近照）、个人签名等信息。（4）IFA广域网考勤系统。IFA广域网考勤系统（人脸识别系统）：建筑施工企业和监理企业项目部下列人员：项目经理（注册建造师）、技术负责人、安全总监、质量总监、施工员、质量员、安全员、监理总监（注册监理工程师）、总监代表、监理工程师、监理员及项目部施工特殊工种作业操作人员，进行人脸识别登记，实行广域网络考勤（IFA），由地方建设主管部门、监督机构或建筑施工企业监督实施考核。
二、远程视频监控系统
在日常生产管理过程中，为及时、准确了解施工现场操作过程，实时发现物的不安全状态、人的不安全行为、安全管理的缺陷和施工环境影响情况，以及施工项目中重大危险源管理情况，时刻掌握施工场地治安状况等。施工企业建立远程视频监控系统，在施工现场根据需要在各个角度设置远程监控系统，并成立信息化办公室，配备专职信息管理员，实时监控现场违章作业行为、防护措施、作业人员情况、项目工地人员进出，以及对重大事故隐患、治安状况实现网络远程跟踪、监测和控制。通过信息化手段和网络技术实行企业安全管理，将企业监控日常在线情况作为企业考核的一项重要指标，公司随时通过抽查视频在线率，不定期抽查项目监控，对存在的安全隐患和相关问题及时通知到项目负责人或安全负责人进行整改，同时可以利用视频监控系统建立对讲功能网络，通过电子地图实现对施工现场的快速导航，采用手机3G或WiFi上网实现移动执法。
三、远程视频会议
视频会议系统，是通过现有的各种电信通讯传输媒体，将人物的静、动态图像、语音、文字、图片等多种资料分送到各个用户的计算机上，使得在地理上分散的用户可以共聚一处，通过图形、声音等多种方式交流信息，增加双方对内容的理解能力。因建筑施工企业人员分散，通过建立远程视频会议系统，将多方音视频交互、电子白板、文件共享、动态PPT、协同浏览、媒体播放、桌面共享、文件传输、文字交流、远程控制、会议录制与控制等方式实现远程视频会议，实现办公不限地域区域，无论在何时何地，都能在短时间内召集相关人员或全体员工，进行会议、培训、安全学习，既节约会议经费、时间，同时管理层还可及时与员工面对面地信息交流和沟通，使处于不同地方的人就像在同一房间内沟通，极大地提高了工作效率和管理效果。
四、动态管理系统
针对安全执法中存在的时效性不足、程序繁琐、效率低下等问题，应从以下几个方面建立动态化管理系统予以改进：（1）建立各方参与、交互式的工程信息系统。在政府和企业之间搭建一个互动式的数字化工程信息平台，可与企业互动，并充分调动企业安全管理的信息，为实施施工安全动态执法提供基本保障。系统的搭建以“项目”为管理单元，分为项目信息、施工过程信息、监管信息三部分，他们之间通过数据交换实现协同工作。一方面企业根据系统设置的界面主动录入关键工序信息，另一方面监督机构执法建立在企业填报施工数据信息的基础上，执法内容更具针对性。施工过程信息记录、强制性条文审查系统、视频监控系统、诚信系统等有关数据实现数据共享，建立可供追溯的数据库，不仅节约行政资源，提高执法效率，还起到固定证据的作业。（2）实施“节点式”抽查执法。实施“节点式”执法的目的是要转变以往对项目无目的、随机检查的模式。执法人员首先根据交互式的信息系统初步了解工程项目的施工进度和特点，对建筑工程在施工全过程中存在的、可能导致作业人员伤亡甚至群死群伤的关键工序设置安全节点。其次，信息系统根据企业填报内容自动记录施工过程信息，当施工进度到达安全节点时，监管信息系统可自动提醒结合视频监控对工程节点的设置主要参考超过一定的规模的危险性较大分部分项工程。（3）实施现场移动执法。施工现场移动执法是指运用先进的互联网、3G、GPS、数据交换等技术手段，集成执法文书管理系统、实时联机操作，以实现执法人员在现场实时上传执法信息，打印执法文书的一种执法手段。实现执法人员在现场实时上传执法信息，提高现场执法的时效性和威慑力。工程项目管理作为一种活跃的生产力要素，以其鲜明的时代特征，深深地扎根于建筑业这块沃土之中。它的理念、理论和实践都将随着信息化技术的应用而进一步发展和完善，将越来越受到社会广泛关注和重视。安全和生命更以时刻鸣响的警钟不断敲击着人们的心灵深处，施工现场安全管理也成为新时期建筑业永恒的课题。安全管理成为建筑业发展升级，成就辉煌，结出硕果的一门必修课。近年来，以信息技术为核心的第三次工业革命给世界经济带来了翻天覆地的变化。在这样的背景下，信息化工作正在逐步由局部的技术辅工作发展成为全局性工作，特别是对提高安全生产监督管理的知识含量、技术含量、管理水平，以及队伍建设等方面，信息化将起到不可替代的作用，并成为我们在搞好安全生产监督管理，实现“中国梦”建设的强有力的推动。
参考文献：
［1］周尚永，张健，朱艳.科技兴安-实现本质安全的必然之路［J］.建筑安全，2013，（12）：59-60.
［2］黄爱莲.依托信息化管理构筑建机安全生产屏障［J］.建筑安全，2013，（12）：61-62.
［3］连保廉，朱奋发.建筑施工安全动态执法分析.建筑安全［J］.2013，（10）：18-20.
