关于信息安全应急响应范文
发布时间：2023-10-09 18:03:35
导语：想要提升您的写作水平，创作出令人难忘的文章？我们精心为您整理的13篇关于信息安全应急响应范例，将为您的写作提供有力的支持和灵感！
篇1
前言：网络与信息安全事件的发生是世界性问题，我国的网络与信息安全事件发生率一直高居不下，随着信息化社会的不断发展，网络与信息安全事件的频发，受到了我国各级政府和相关企业的高度关注，而预防与保障此事件发生的方法与手段也愈加关键。我国针对此应急事件的处理方法分为分类、预警、响应三步，全面预防与控制网络与信息安全事件的发生。
一、网络与信息安全的概述
随着现代信息社会的发展与进步，网络为人们的生活、工作、学习等带来了一定的便捷，由于网络的开放性、通用性、分散性等原因，很容易发生网络与信息安全事件。对于网络与信息安全事件的发生，已经对社会造成严重的影响，对此我国颁布的《中华人民共和国突发事件应对法》中有提到：需要建立一定的应急处理方法来应对由自然灾害、事故灾害、公共卫生灾害和社会安全引起的安全事故。对于网络安全事件的应急处置工作也有了明确的分类，《国家信息化领导小组关于加强信息安全保障工作的意见》中将网络与信息安全事件归纳为：由网络和信息系统直接产生对国家、社会、经济、公众等方面产生的利益损害事件。
网络与信息安全事件是世界各国重点关注的问题之一，就我国而言，我国网民数量多达4亿多，通过互联网产生的消费额已经超过6000亿元。信息安全问题已经影响到我国社会、经济、公众的利益，从过去发生过的网络与信息安全事件中可以看出，引起信息安全事件的因素多为以经济利益为目的的安全事件，另一部分是以非经济利益为目的的安全事件。由于网络与信息安全事件的发生具有无征兆且扩散十分迅速、传播范围广、对周边网络或计算机信息的危害大等特征，建立起完备的网络与信息安全事件应急处置体系十分必要。
二、建立网络与信息安全事件的应急处置体系
最初的网络与计算机信息技术应用范围较为狭隘，仅限于国家的军事、管理或社会经济、产业、技术等方面。目前网络与计算机信息技术已经涉及到社会中各层面、各行业的领域中，因此，出现的网络与信息安全事件便成为一个社会性问题。我国对此提出的建议是：由国家宏观调控指挥、各部门密切配合，建立起能够针对网络与信息安全事件的应急处理体系，对影响国家信息安全、社会经济发展、公众利益等方面作出一定的防范措施。对于建立的应急处置体系，还需要具有科学性、合理性：以预防为主，不能单纯的事后补救；以处置为主，不能放纵危险事件的发生。在各方面的努力下，我国的网络与信息安全事件的应急处置体系配备相应的法律法规，成为网络与信息安全事件的一项保障。信息安全是一种新兴的安全问题，不同于自然灾害、人为灾害或直接经济损失的危险事件，而是一种虚拟信息的泄露，这需要对网络与信息安全事件重新定位，建立统一的定位标准。我国对网络与信息安全事件的分类方法为：按照信息安全事件的引发因素、事件表现、影响等将信息安全分类为程序损害事件、网络攻击事件、信息破坏事件、信息内容安全事件、设备设施故障事件和信息灾害事件等6大类，其中细节划分为40余种。再按照事件危害等级、预警等级将其划分为四个事件等级：A级：特大网络与信息安全事件；B级：重大网络与信息安全事件；C级网络与信息安全事件；D级一般网络与信息安全事件。
对于网络与信息安全事件的应急处置工作，我国已经将其纳入国家突发事件应对体系中。建立的应急预案分为国家、地区、单位的三级应急处置体系，并在此体系中建立具有高度统一、十分便捷、方便协调的组织机构，如遇网络与信息安全事件，通过综合分析，判定网络与信息安全事件的形势，再制定应急处置预案，经协调指挥相关技术人员落实预案。
在此系统中，地方政府和相关机构对本辖区内的网络与信息安全事件直接负责，负责的内容包括网络与信息安全事件的预防、监测、报告和应急处理工作。我国需要建立起网络与信息安全事件应急处理咨询机构，为此提供预防和处置技术的咨询。另外，需要向社会公众建立起信息通报机制，如报警电话等。由群众提供网络与信息安全事件信息，作为紧急事件预警的基础，根据建立起科学、有序的网络与信息安全事件的规章制度，全面控制网络与信息安全事件。
二、网络与信息安全的应急处置体系内容
（一）预警
预警包括对安全事件监测的预警、预警判定、预警审定、预警、预警响应和最终的预警解除。
预警机制的健全，能够全面避免安全事件发生后的扩展和对人类财产的损失扩大，为了防止这一问题，可根据上文所提到的事件发生的紧急程度和危害程度分级处理，按照不同级别进行不同预警。
（二）响应
响应的理论基础是在预警过后产生的事件起因预测、事件结果评估。响应工作是确定响应等级后开启响应指挥，迅速了解事件动态并进行部署，然后实施处置工作，最后对本次应急事件进行评估。响应也包括四个等级，根据预警等级不同，实施不同的响应等级工作。
结论：综上所述，网络与信息安全事件的发生十分迅速、不可预估，并且危害大、扩展性强，我国对此已经作出一系列法律法规的约束，但对于网络与信息安全事件的发生还需作应急处理，制定相应的应急处理机制，以预防为主，需要培养发现和控制事件的能力，减轻和消除由突发事件所引起的社会危害事件，并且需要在事件发生后第一时间做出总结，以防同样事件再次发生。
参考文献：
篇2
一、基本情况
__县商务局现有__招商网、__县商务之窗、__县电子政务门户网站、__县商务局政府信息公开网站四个网站，现在正常运行的有商务部提供的__县商务之窗和__县商务局政府信息公开网站，自开通以来，四个网站还没出现过重大网络安全事件，各网站都由我局人员自行监管，定期更新，及时商务公开信息，为公众方便快捷地了解__起到了较好的宣传作用。
1、领导重视，机构落实
为保证我局重要网站的安全，我局严格按照“统一领导、归口负责、综合协调、各司其职”的原则、“属地管理、分级响应、及时发现、及时报告、及时救治、及时控制”的要求，明确成立了由局长陈红钢任组长，党支部书记朱学林任副组长，办公室主任王有培、政策法规科科长陆康冲、招商引资科科长他石红、外事科科长刘双林、政策法规科李翠娥为成员的__县商务局政府信息公开领导小组，负责我局4个网站的安全工作及突发互联网网络安全事件应急处理工作。同时，明确了由局办公室按照“谁主管、谁负责，谁运营、谁负责”的原则，实行责任制和责任追究制，依法对互联网网络与信息安全突发事件进行防范、监测、预警、报告、响应、指挥和协调、控制。在出现安全事件后，对计算机系统和网络安全事件的处理提供技术支持和指导，遵循正确的流程，采取正确快速的行动作出响应，提出事件统计分析报告。
2、专人专管，务求实效
自20__年初__县人民政府办公室下发《关于做好施行〈中华人民共和国政府信息公开条例〉准备工作的通知》（陆政办发[20__]10号）以来，我局领导就安排专人对我局的政府信息公开工作进行全面准备，认真学习政府信息公开的有关文件，积极参加政府信息公开培训，对涉及商务的有关法律法规、发展规划及行政认可的事项进行全面梳理，编制公开目录和公开指南，并按时上报到县政府信息产业办。至20__年12月10日，我局共各类信息70条，其中：机构职能信息4条，法律法规依据信息16条，行政执法信息4条，商务发展规划4条，招商引资信息2条，四项制度信息5条，公开指南信息2条，商务动态信息29条，其它信息4条。
3、双网并用，加强宣传
20__年，我局充分利用政府信息公开网站和商务之窗加大对我县商务、招商引资政策的宣传力度，
二、存在的问题
下一步工作将围绕__县政府信息公开网站监测情况通报情况进行完善。
1、进一步全面规范政府信息公开目录，做到目录内容与站内信息的一致性，及时更新目录内容；
2、进一步完善政府公开内容。重点做好机构职能、法律法规政策、发展规划、行政执法及动态信息的分类，保证信息内容的完整性；
3、进一步做好政府信息公开网站建设工作。及时更新图片，合理布局网站页面，做到图文并茂，保证页面美观。
4、全面梳理和整理商务法律法规、行政执法信息，做到每天至少有2条信息。
为科学应对互联网网络与信息安全突发事件，建立健全互联网网络与信息安全应急响应机制，有效预防、及时控制和最大限度地消除互联网网络与信息安全各类突发事件的危害和影响，按照《__县人民政府办公室关于印发__县互联网网络与信息安全事件应急预案的通知》要求，结合我局实际，对我局互联网网络与信息安全情况进行自查，现将有关情况综合汇报如下：
一、基本情况
__县商务局现有__招商网、__县商务之窗、__县
电子政务门户网站、__县商务局政府信息公开网站四个网站，自开通以来，四个网站还没出现过重大网络安全事件，各网站都由我局人员自监管，定期更新，及时商务公开信息，为公众方便快捷地了解__起到了较好的宣传作用。二、主要做法
（一）领导重视，责任明确
为保证我局重要网站的安全，我局严格按照“统一领导、归口负责、综合协调、各司其职”的原则、“属地管理、分级响应、及时发现、及时报告、及时救治、及时控制”的要求，明确成立了由局长陈红钢任组长，党支部书记朱学林任副组长，办公室主任王有培、政策法规科科长陆康冲、招商引资科科长他石红、招商局工作人员刘双林、李翠娥为成员的__县商务局互联网网络安全应急领导小组，负责我局4个网站的安全工作及突发互联网网络安全事件应急处理工作。同时，明确了由局办公室按照“谁主管、谁负责，谁运营、谁负责”的原则，实行责任制和责任追究制，依法对互联网网络与信息安全突发事件进行防范、监测、预警、报告、响应、指挥和协调、控制。
（二）防范为主，加强监控
我局随时宣传普及互联网网络与信息安全防范知识，树立常备不懈的观念，经常性地做好应对互联网网络与信息安全突发事件的思想准备、预案准备、机制准备和工作准备，提高基础网络和重要信息系统的互联网网络与信息安全综合保障水平。加强对互联网网络与信息安全隐患的日常监测，发现和防范重大互联网网络与信息安全突发性事件，及时采取有效的可控措施，迅速控制事件影响范围，力争将损失降到最低程度。
（三）责任到人，监测到位
篇3
中图分类号：F2 文献标识码：A 文章编码：1672-3791（2013）06（b）-0014-02
2012年3月15日，上海市税务局发生了一次信息安全事件，由于设备老化和供电异常，机房UPS设备发生严重故障，直接导致全市税务大集中核心业务信息系统全面宕机。虽然相关部门立即开展了应急处置和全力抢修，当天晚上业务信息系统恢复正常运行。但是因为该事件导致全市纳税人无法正常办理涉税事项，且15日是3月法定纳税申报期最后一个工作日，税务部门不得不通过网站、电视、广播、12366税务热线等社会媒体公告，宣布延长当月纳税申报期至16日。
虽然这件事情已经过去一年多了，但它留给我们的却是深刻地教训。对于信息安全事件我们绝不能掉以轻心。随着信息化的不断发展推广，现在政府机关应用信息系统来开展工作的范围越来越广泛，已经涉及到民生、经济、政治、军事各个领域。我国有这么多关键重要的信息系统在运行，试想如果发生信息安全事件，那么或多或少地会造成社会影响甚至政治影响。所以说，如何避免信息安全事件的产生，已经是摆在政府机关面前必须考虑的问题了。笔者作为一名长期在政府机关信息部门工作的技术人员，将在下面阐述我个人关于应对信息安全事件的一些看法。
1 信息安全事件的分类
为了分析信息安全事件，我们应当对可能发生的信息安全事件进行分类。依据事件发生的原因，我们将信息安全事件分为如下几类。
1.1 外部环境异常引起的安全事件
第一类，是由于物理环境异常导致的安全事件。这里的物理环境主要指的是机房环境，比如承重、电源，空调，水患、鼠患等等。承重设计不达标不仅会造成信息安全事件，甚至可能造成人员伤亡；电源问题包括市电供应、UPS电源、防雷击及静电处理等，电源异常不仅会造成硬件设备的宕机，也可能引发火灾、造成人员伤亡；空调问题会引起硬件设备的运行故障，从而影响信息系统运行；水患是指机房如果建在地势低洼处或有不能密闭的窗户，遇到大水或雨季，会因为雨水进入机房而导致硬件设备的运行故障；鼠患是指乱窜的老鼠会咬断网线、引起短路、损坏硬件设施，所以灭鼠也是保障信息系统正常运行需要考虑的工作。以上这些都是信息系统稳定运行的基本要素，任何一个环节出现问题都会导致安全事件的发生。
1.2 网络异常引起的安全事件
第二类，网络异常导致的安全事件。现在政府机关的信息系统基本都是运行在网络环境中的，单机运行的应用系统已经鲜有耳闻了，这个时候，网络的重要性就显而易见了。一旦网络通信发生故障，即发生断网、网络拥塞等情况，那么信息系统也就瘫痪了。
1.3 硬件设施故障引起的安全事件
第三类、硬件设施故障引起的安全事件。比如存储设备故障，主机服务器的故障、终端计算机的故障等。政府机关由于资金投入的限制，一方面这些硬件设施多半存在单点故障；另一方面，隐患发生时故障点常常不能被及时发现。举个例子，某台主机有数块硬盘，考虑到数据安全技术人员对硬盘做了RAID5处理，以避免因硬盘损坏引起的数据丢失，但是如果硬盘损坏后未被发现不能被及时更换，那么当故障硬盘达到数量的极限时，系统还是会崩溃数据还是会丢失。在这里我必须指出，某些设备的故障将引起数据丢失或破坏，在数据的价值越来越被认可的今天，这是必须引起警惕的。
1.4 软件异常引起的事件
第四类，软件系统异常引起的故障。这里的软件系统是指操作系统异常、应用软件异常等。引起软件系统异常的原因很多，比如：病毒感染、黑客侵入、升级异常、软件冲突、安装未经测试的补丁和升级包等。
1.5 人为事件
第五类，人为因素引起的安全事件。比如说，管理不善、职责不清、对重要系统设施监控不力，无视信息安全风险，不能将信息安全事件扼杀在萌芽期；误操作，由于责任心不强或技术能力不够，导致操作失误；故意行为，由于人性的弱点，有的员工出于各种原因（对单位不满或对领导同事不满）故意造就信息安全事件以借机发泄，还有人为谋求利益窃取数据，甚或被策反加入间谍组织或与非法组织勾结，破坏国家利益。
2 信息安全事件的分级
不同类型的信息安全事件造成影响的范围有大有小，这时我们应该对信息安全事件有一个分级，分级的原则我们可以参照国家关于信息系统等级保护政策的思路，也就是通过判断影响对象及影响程度来分级。影响对象可以是：公民、法人和其他组织的合法权益；社会秩序、公共利益；国家安全。影响程度可以是：一般损害；严重损害；特别严重损害。（如表1）
表1只是介绍一种定级的方法，各单位可以根据自身特点定义自己的信息安全事件级别，细化定级标准。在定义了不同的事件级别之后，再设计不同的响应流程，也就是应急响应。这样的话，在发生安全事件时，就可以按照不同级别的信息安全事件启动应急响应流程，关于应急响应这里不作描述。
3 防患信息安全事件的建议
前面我描述了导致信息安全事件的因素及信息安全事件的分级，接下来根据政府机关的特点我将给出预防信息安全事件的几点建议。具体如下。
3.1 明确职责
我认为在谈关于信息系统的任何事之前，首先要明确职责，不仅是明确领导层的职责，也要明确执行者的职责。也就是说，职责必须细化到每个人。换个角度说的话，就是职责本身要进行细化，比如一个信息系统的建设是谁负责、后续运维是谁负责，假如硬件设施由A负责，那么A负责到什么程度呢，是不是只要硬件设施正常运行不发生故障就OK了？日常运维要管到什么程度呢？是不是要建立硬件设施的清单？这份清单是不是要更新？日常的运维操作是否要有记录？在我看来，以上所有都应该在岗责体系中进行细化明确，只有明确了每个人的工作职责才能保证工作被落实，制度被落实。
3.2 完善制度
要想减少信息安全事件的发生，首先要有制度，国有国法家有家规，没有规矩不成方圆，如果没有制度，那就无章可循无法可依，发生信息安全事件之后也无法追究相关人员的责任。但是有些政府机关里的制度常常是只能挂在墙上看、放在会上念，有些单位的制度陈旧落后难操作，不能真正执行的制度是不能发挥其作用的。我认为一套好的信息安全管理制度应该分三个层次，第一层是总体性的制度策略或框架，第二层是具有操作指导意义的制度规范，第三层则是建设方案、运维手册和使用说明等更为细化的文档资料。有了完整的制度体系，我们还要定期对制度进行修订，这样才能让制度始终符合实际状况以便于操作落实。
3.3 在信息系统生命周期全方位考虑信息安全
因为信息系统是有生命周期的，也就是系统的需求设计、建设、更新、运维、废弃5个阶段，为此，我们应该在信息系统的全生命周期考虑信息安全问题，在每个阶段我们都要考虑信息安全风险的规避问题。由于信息安全的概念是近些年才被提及和重视的，在实际工作中我们发现，政府机关的很多信息系统都是很早就开发出来在用的，随着应用需求的不断变化，这些老旧的信息系统不断的在升级在更新在打补丁。由于这些信息系统开发之初还没有信息安全的概念，所以即使发现系统存在这这样那样的安全风险也很难下手修补，常常因为系统性能存在瓶颈、存储空间不够、系统不够稳定等原因不敢解决信息安全漏洞。所以，我们提倡在新建系统的过程中，全面考虑信息安全保障，有能力的单位应该解决在用信息系统的安全漏洞。
3.4 安全管理措施的部署
为避免信息安全风险，提高安全保障水平，我们必须采取一些安全管理措施。比如使用虚拟机技术提升主机服务器的运行性能；网络双线路链接、重要设备双机热备、双路供电、管理员AB角，以避免单点故障；对系统进行安全加固，关闭不需要的服务进程及端口使服务最少化、启用密码策略、安装重要补丁、开启审计策略等等；为不同的管理员开启不同的访问权限，使用户权限最小化；为不同的用户开启不同的网络访问链路，以进行访问控制；在软件系统进行运行前，对软件系统开展源代码审计，对准备安装的升级包或补丁包进行测试；建立审计环节，对信息系统的建设运维开展审计；对重要的运维操作进行授权，以限制管理员权限的滥用等等。安全管理措施的全方位执行是减少信息安全事件发生的有力保障。
3.5 加强监控分析
信息安全的发生有时好像地震，地震在发生前可能有一些征兆，只是由于我们人力技术的限制无法探知。信息安全事件发生前也会有一些蛛丝马迹，如果我们能采取某些措施进行监控，提前得知相关信息，那么我们就能更早地掌握信息安全风险，并采取措施避免事件的发生。现在信息安全领域的很多产品已经很成熟，像IDS、IPS、防火墙、防病毒、桌面安全管理、主机性能监控等等，我们应该选择合适的产品或服务来监控我们的信息系统，同时，要注重对监控信息加以分析，以便及早发现风险并消灭隐患。
3.6 引入“等级保护”和安全评估
近几年来，我国对信息安全的关注度越来越高，相关的管理部门也纷纷出台了关于加强信息安全的文件要求，其中，等级保护制度是较为重要的政策。信息安全等级保护就是对国家秘密信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护。等级保护政策的出台对于政府机关的信息安全工作有很强的指导意义，我们把信息系统按重要程度的不同进行划分，把有限的财力和人力集中到重要信息系统的保障中。另外，安全评估工作是了解政府机关信息系统安全程度的重要途径，只有明白自身的风险点并进行安全整改才能不断巩固信息系统的安全，以避免信息安全事件的发生。
3.7 应急演练
要想提高信息安全事件的应对能力，我们不得不提到应急演练的重要性。应急演练就是模拟事件的发生，演练事件发生后的补救措施。所以做好应急演练是极其必要的。不管做不做应急演练，应急方案是必须要有的，我认为应急方案也应该有几个层次，首先要有一个总体方案，接着应该是对总体方案细化建立子方案，也就是不同类型的信息安全事件要有各自的应急方案。比如：机房环境应急方案、网络应急方案、应用系统应急方案等。其中，不同的应用系统应该有不同的应急方案。有了应急方案之后，我们应该定期进行演练，以便熟悉应急操作程序，将信息安全事件产生的影响尽力减少。
3.8 备份重要数据及系统
为了避免信息安全事件带来的影响，有条件的政府机关可以建立自己的容灾备份系统，对重要信息系统建立双套系统，建立热备份或冷备份，如果有可能的话物理地址可以选取异地，以避免单点故障，提高自己应对风险的能力。如果财力有限，我们可以采用定期手工备份重要数据及系统的方法，并做好备份介质的管理工作。
3.9 加强人员管控
谈到信息安全，有时候我们会忽略最重要的一个环节，就是人员的管控。大家知道，所有的信息系统都是人开发出发的，要提升信息安全能力，就应该增强人力资源，现在政府机关面临的问题很多都是人手紧张，人员素质不高之类的问题，由于政府机关的人员工资都是由国家规定的，不能享受像外企或民企甚或国企那样的高薪酬，很多高水平的技术人才都不愿意留在政府机关。很多技术骨干在遇到升职加薪的瓶颈后选择离职跳槽，使人才流失情况也很严重。那么如何来盘活机关内部的计算机人才就是人事部门的一道难题了。很多时候，好不容易招聘过来的计算机人才，都被抢到业务部门做一线工作去了。因为现在的业务部门全是通过信息系统来操作工作的，有些上了年纪的员工对信息系统不熟练，导致很多业务部门都喜欢要懂计算机技术的人才。我认为考虑到现在信息化技术的使用程度和依赖程度，适当提高信息技术人员的福利待遇并保证信息部门的人才供给是应当被考虑的。另外，适当增加一些工会活动或团体活动，增加单位凝聚力，也能让信息技术人员更热爱自己的单位和岗位，愿意尽全力付出努力，以保证技术人员管理信息系统的稳定和安全。
4 结语
篇4
关键词:电子政务 信息安全PKI
1综合电子政务平台概述
电子政务是指政府机构应用信息技术提高政府事务处理的信息流效率，对政府机构和职能进行优化，改善政府组织和公共管理能力。通常由核心网络、接人网络及访问网络三部分组成。建设内容一般包括:电子政务网络平台、政府门户网站、电子政务主站点、“一站式”行政审批系统、视频会议系统、公文交换和信息报送系统、电子邮件系统、办公自动化系统等。
电子政务网络平台网络结构中，核心网络拥有重要的信息资源，并处理政府部门间的核心业务。政府部门间的数据交换流程是闭环的，即任何一个节点既是用户又是数据源。因此，核心网络节点之间的业务流程应该是高速、严密、安全的，并且有严格的审核机制。核心网络与接人网络形成上下级关系的协同工作平台，进行信息、数据的交换。它们之间的信息往来必须具备信任安全体系。政府核心网络面向社会公众提供信息服务，对外宣传政府信息，与访问网络建立连接。
2综合电子政务平台的安全风险
2.1网络安全域的划分和控制问题
电子政务中的信息涉及国家秘密、国家安全，因此它需要绝对的安全。但是同时电子政务现在很重要的发展方向是要为社会提供行政监管的渠道，为社会提供公共服务，如社保医保、大量的公众咨询、投诉等等，它同时又需要一定程度的开放。因此如何合理地划分安全域显得非常重要。
2.2内部监控、审核问题
目前绝大部分单位都没有系统可以实时地对内部人员除个人隐私以外的各项具体操作进行监控和记录，更不用谈对一些非法操作进行屏蔽和阻断了。
2.3电子政务的信任体系问题
电子政务要做到比较完善的安全保障体系，第三方认证是必不可少的。只有通过一定级别的第三方认证，才能说建立了一套完善的信任体系。
2 .4数字签名(签发)问题
在电子政务中，要真正实行无纸化办公，很重要的一点是实现电子公文的流转，而在这之中，数字签名(签发)问题又是重中之重。
2.5电子政务的灾难响应和应急处理问题
很多单位在进行网络规划的时候，没有考虑到作为系统核心部分一一数据库本身的安全问题，完全依赖干整个网络的防护能力，一旦网络的安全体系被穿破或者直接由内部人员利用内网用户的优势进行破坏，“数据”可以说无任何招架之力
3综合电子政务平台安全体系建设方案
3 .1技术保障体系
技术保障体系是安全管理体系的重要组成部分。它涉及两个层面的问题，一是信息安全的核心技术和基本理论的研究与开发，二是信息安全产品和系统构建综合防护系统。
信息安全技术。信息安全的核心技术主要包括数据加密技术、信息隐藏技术和信息认证技术。数据加密是把有意义的信息编码为伪随机性的乱码，以实现信息保护的目的。数字签名是指只有发送者才能产生的别人无法伪造的一段数字串，这段数字串同时也是对发送者信息真实性的证明。
信息安全防护体系。目前，主要的信息安全的产品和系统包括防病毒软件、防火墙、入侵检测系统、漏洞扫描、安全审计系统、物理隔离系统等。我们可采用屏蔽子网体系结构保证核心网络的安全。屏蔽子网体系结构通过添加额外的安全层到被屏蔽主机体系结构，即通过添加周边网络更进一步地把内部网络与Internet隔离开。在这种结构下，即使攻破了堡垒主机，也不能直接侵人内部网络，它将仍然必须通过内部路由器。
3.2运行管理体系
安全行政管理。电子政务的安全行政管理应包括建立安全组织机构、安全人事管理、制定和落实安全制度。
安全技术管理。电子政务的安全技术管理可以从三个方面着手:硬件实体、软件系统、密钥。
风险管理。风险管理是对项目风险的识别、分析和应对过程。它包括对正面事件效果的最大化及对负面事件影响的最小化。
3.3社会服务体系
安全管理服务。目前，一些信息安全管理服务提供商(Managed Security Service Providers, MSSP)正在逐步形成，它们有的是专门从事安全管理服务达到增值目的的，有的是一些软件厂商为弥补其软件系统的不足而附加一些服务的，有的是一些从IT集成或咨询商发展而来提供信息安全咨询的。
安全测评服务。测评认证的实质是由一个中立的权威机构，通过科学、规范、公正的测试和评估向消费者、购买者即需方，证实生产者或供方所提供的产品和服务，符合公开、客观和先进的标准。
应急响应服务。应急响应是计算机或网络系统遇到安全事件如黑客人侵、网络恶意攻击、病毒感染和破坏等时，所能够提供的紧急的响应和快速的救援与恢复服务。
3.4基础设施平台
篇5
一、引言
《2006-2020年国家信息化发展战略》提出，“到2020年我国信息安全的长效机制基本形成，国家信息安全保障体系较为完善，信息安全保障能力显著增强”。政府门户网站是政府部门在国际互联网上建立的信息、办公互动、数据交换的窗口，是政务公开的载体和舞台，也是政府与社会、企业、民众沟通的桥梁。通过政府门户网站，公众可以便捷地获取政府信息和服务，使得公众与政府关系简单化。由于互联网是个开放的网络，政府网站的信息一天24小时都在被查询、阅读、下载或转载。如果没有可靠的信息安全体系和有效的事件响应能力，那么一旦网页被篡改或网站被中断，将直接干扰、破坏政府履职，损害政府的形象，败坏公众对政府的信任，后果不堪设想。根据有关资料显示，2005年，我国90%以上的政府网站存在安全漏洞，很多网站都曾受到过不同程度的黑客攻击和计算机病毒的侵害，给国家造成了较大的损失。因此，信息安全问题是政府门户网站建设的一项重要内容，必须综合运用多种策略和手段建设政府门户网站安全保障体系。
二、政府门户网站信息安全存在的主要问题
安全管理认识存在偏差以及缺乏有效组织规划培训和相应法律制度支持，是当前福建省各级政府门户网站信息安全建设中存在的最主要问题，主要表现有以下几个方面：
一是重系统建设轻安全管理。由于受到传统的政府绩效评价和考核体制的影响，各级政府信息主管部门往往认为“安全”只是保障“业务应用”的一种手段，只重视网站信息系统的建设，轻视相应的信息系统安全建设和管理。
二是重消极应对轻主动预案。在政府门户网站安全管理中，很多情况是等出了问题，才匆忙借助经验和应变能力去处理突发安全事件，缺乏应急预案的制定和按照应急预案进行处理的观念。
三是缺乏整体安全意识。谈及信息安全，很多管理者认为安全就是防火墙、入侵检测、身份认证等技术措施，没有真正意识到安全是一个包括理念、技术、制度、人才等各方面缺一不可的整体。
四是缺乏及时有效培训。信息化安全技术日新月异，网络攻击手段也日趋多样化，各级网站主管部门对安全管理人员缺乏及时有效培训，无法保证网站信息安全。
五是缺乏统一信息安全技术标准与规范。不同层次、不同部门的网站信息安全建设各自为政，没有进行有效的组织和规划，使用的安全技术五花八门。这样不仅造成了资源的严重浪费和低效率，也给网站信息安全带来各种各样的隐患。
六是缺乏相应的法律和制度的支持。政府作为信息的所有者，其权利范围和内容较为模糊，相关网站信息安全的法律和制度较为薄弱，法律上缺乏相应的保护。
三、政府门户网站信息安全存在问题的原因分析
1．管理体制未理顺
政府系统缺乏专门的电子政务信息安全的领导体制、研究机构和相应政策措施的落实机制，尽管在中央一级设有领导小组以及专家咨询委员会，但在地方由于“条块”职责不清、管理多头的实际状况，直接影响对电子政务安全的重视程度和贯彻落实相应信息安全政策措施的力度。
2．运行机制未健全
信息安全保障的运行机制不健全表现在电子政务信息安全的地位与其重要程度不相称，电子政务信息安全在政府发展任务的地位上，远不及经济、社会、文化等其他方面；在资金、人力等方面的投入得不到更好的保障；与信息安全相关的政策法规、技术标准与规范的制定落后于实际发展的需要。
3．技术与实际安全需求存在差距
技术是确保信息安全的重要因素，由于技术本身的局限性和推广应用程度不够，使技术与实际安全需求存在差距。技术不能完全保证安全，安全更不可能完全依赖技术。我国目前的电子政务安全保障技术本身并不发达，福建省在电子政务安全技术、产品推广应用方面的重视程度不高、力度不强。
4．过分强调安全技术的重要性
认为信息安全是技术问题，依靠相应的技术就能防范。实际上国内外许多信息安全事故都是人为造成的，三分靠技术，七分靠管理，要防止此类事故的发生，必须从建立和完善信息安全管理体系入手。
四、加强政府门户网站信息安全的对策建议
网络安全不仅是一个技术问题，要从法规、管理和技术三方面来统筹保障政府门户网站信息安全。在法制上，加强网络和信息安全管理等方面的立法工作，为政府门户网站的建设、运行、维护和管理提供法律保障，构筑促进国家信息化发展的社会环境；在管理上，从健全规范网络安全管理机构、培养网络安全管理人员和制定网络安全管理制度等方面保障政府门户网站正常安全运行；在技术上，采用多种防范、监控等先进的技术手段，制定各种应急措施，保证政府门户网站安全可靠地运行。
⒈加强政府门户网站信息安全法规与制度建设
一是加强信息安全管理等方面的立法工作。国家及省都有加强网站建设方面的相关政策，但还没从立法的角度予以确认和强化，应从“电子政府”建设的高度，制定相应的法规，为包括政府门户网站在内的电子政务网络与系统的建设、运行、维护和管理提供法律保障。
二是加强网络和信息安全管理等方面的制度建设。用管理手段来弥补技术落后问题，本着“堵漏、补缺、管用”的原则，采用整体思路，加强管理，切实从机关内部堵塞漏洞，在若干不够安全的技术环节的基础上，形成一个相对安全的整体。在加强信息安全防护能力的同时，重视隐患发现、网络应急反应、信息对抗等管理能力的提高。
⒉建立健全政府门户网站信息安全管理体系
一是明确技术管理规范。面对网络安全的脆弱性，除在网络设计上增加安全服务功能，完善系统的安全保密措施外，还必须花大力气加强网络的安全管理。具体包括：非、网机器不允许混用；非网机器不允许运行信息，网机器不允许上非网；严格按照安全等级、安全域划分，制定相应的安全保密制度；不同安全域、安全等级之间的信息必须通过安全交换系统方可交流。只有所有接入网络的设备都安全，整个网络的安全才能得到保证。
二是明确相关人员的职责。强调以人为本，把网站安全纳入一个人人有责、层层负责、由第一责任人负总责的安全管理体制之中。主管领导负责安全体系的建设实施，在安全实施过程中取得相关部门的配合，领导整个部门不断提高系统的安全等级；网络管理员应具有丰富的网络知识和实际经验，熟悉本地网络结构，能够制定技术实施策略；安全操作员负责安全系统的具体实施；信息编辑人员负责信息采集、编辑和审核工作，确保所信息的完整性、一致性、权威性和准确性。另外，还应建立安全专家小组，负责安全问题的重大决策。
三是建立应急响应机制。从健全规范网络安全管理机构、培养网络安全管理人员和制定网络安全管理制度等方面建立应急响应机制，以保障政府门户网站正常安全运行。
四是建立信息安全检查监督和激励机制。依据已确立的技术法规、标准与制度，定期开展信息安全检查工作，确保信息安全保障工作落到实处；建立责任通报制度，对检查中发现的违规行为，按规定处罚相关责任人，对检查中发现的安全问题和隐患，明确责任部门和责任人，限期整改；建立良好的激励机制，从人才引进、培养的渐进性和连续性上优化人员结构，形成梯队，重点加强系统运行人员技能的培养力度，不断增强自我运行操作能力与应急能力。
五是做好政府门户网站信息安全培训工作。政府门户网站的运行维护，需要一支具有较高的政治素质和职业道德水准，既懂业务又懂技术的队伍。建立完善技术培训体系，使之更贴近实际业务、贴近技术前沿，提高各类人员的安全理论实践水平和安全意识。只有让每一位员工都成为安全卫士，才能实现真正意义上的全方位的安全防范。
六是合理安排信息安全建设资金。在电子政务信息项目建设上，要在项目建设前期就安排相应比例的资金用于信息安全的建设；切实落实国家信息安全建设的有关规定，保证信息安全建设资金足额到位。
七是加强信息安全设施建设。联合公安等部门，加强网络监管中心、测评认证中心、应急处理中心、病毒防治中心、数字证书认证中心等信息安全基础设施建设。
⒊积极完善政府门户网站信息安全技术防范手段
2007年9月，福建省为加强政府类互联网站的安全管理，确保网站健康有序发展，下发了《福建省人民政府办公厅关于加强我省政府类互联网站安全管理的通知》（闽政办〔2007〕182号），要求各级各单位建立健全网站安全管理制度，并贯彻落实网站安全技术措施。笔者根据实践提出以下建议：
一是加强电子政务网络的总体规划和统一建设，避免多头建设和重复建设，保证网络整体性，避免网络架构缺陷引起的安全问题。
二是统一信息安全技术标准与规范，各级政府门户网站信息安全建设都应按照这个标准和规范进行实施，以确保信息整体安全。
三是加强信息资源安全等级标准的规划和建设，明确不同信息的服务对象和公开范围。既要避免出现保密过度，限制政务信息化应用的推广和发展的情况，又要避免保密不够，造成电子政务信息泄密情况的发生。在确保信息安全的基础上，最大限度地保证信息共享。
四是在信息安全方面，既要考虑省、市级政府的信息服务对象着重于政府部门和相关的领导等的特点，又要考虑到县、区级政府及相关部门的信息服务对象着重于群众或居民的特点。
五是在技术手段上，要统筹好网络被动防御和网络主动防御的关系，确保信息的安全。网络被动防御方面可以采取防火墙、入侵检测、防病毒等技术；网络主动防御方面可以采取漏洞扫描、补丁升级和自动分发、网页防篡改、容灾备份等技术。
五、结束语
综上所述，加强政府门户网站的信息安全，必须做好信息安全的法规制度建设、建立健全安全管理体系、积极完善安全技术防范手段等三方面的工作。同时，还要处理好信息安全与网站发展辩证统一的关系：安全是前提保证，发展是最终目的，要在发展过程中确保安全，在确保安全的条件下加快发展，使政府门户网站充满生机与活力，并充分发挥其应有的社会效益，为海峡西岸经济区建设做出积极的贡献。
篇6
当前，军队物资采购系统根据总后关于信息化建设的精神，建立了依托干军队内部的指挥自动化网、军队综合信息网等内部指挥控制网络、办公网络、业务管理网络等信息服务和指挥网络，为军队采购管理单位、采购业务单位、科研和教学单位、军内终端客户提供广泛的信息服务。
实施信息安全管理，不仅能够有效地提高信息系统的安全性、完整性、可用性以及对相关应急采购任务的快速反应能力，同时也是保障军队物资采购系统科学发展，为军队提供最优保障力的重要手段。
一、军队物资采购信息安全风险
在军队物资采购活动中，存在各种各样的风险，都对采办的结果产生不同程度的影响。根据风险产生对象的不同，将风险分为人为风险、系统风险、数据风险等三个方面。
(一)人为风险。
人是信息安全最主要的风险因素，不适当的信息系统授权，会导致未经授权的人获取不适当的信息。采购人员的操作失误或疏忽会导致信息系统的错误动作或产生垃圾信息；违规篡改数据、修改系统时间、修改系统配置、违规导入或删除信息系统的数据，可能导致各种重大采购事故的发生。有令不行、有禁不止等人为因素形成的风险，是军队物资采购信息安全的最大风险。
(二)系统风险。
系统风险包括系统开发风险和系统运行风险。在采购项目开发过程中没有考虑到必要的信息系统安全设计，或安全设计存在缺陷，都会导致采办信息系统安全免疫能力不足。没有完善、严格的生产系统运行管理体制，会导致机房管理、口令管理、授权管理、用户管理、服务器管理、网络管理、备份管理、病毒管理等方面出现问题，轻则产生垃圾信息，重则发生系统中断、信息被非法获取。
当前的采购信息系统已是一个庞大的网络化系统，在网络内存在众多的中小型机、服务器、前置机、路由器、终端设备，也包括数据库、操作系统、中间件、应用系统等软件系统。网络系统中的任何一个环节都有可能出现故障，一旦出现故障便有可能造成系统中断，影响业务正常运作。同时，由于自然灾害、战争等突发事件造成的系统崩溃、数据载体不可修复性损失等等，都能够给采购信息系统带来很大的影响。
(三)数据风险。
数据是信息的载体，也是军队物资采购系统最重要的资产。对数据的存储、处理、获取、和共享均需要有一套完整的流程和审批制度，没有健全的数据管理制度，便存在导致数据信息泄露的风险。
二、军队物资采购信息安全的内容
通过对信息安全定义的查询，可以看到其是根据不同的环境情况各自不同的。在相对受到专业影响较小的国际标准ISOl7799信息安全标准中，信息安全是指：使信息避免一系列威胁，保障商务的连续性，尽量减少业务损失，从而最大限度地获取投资和商务的回报。
对于军队物资采购系统，信息安全管理则应该坚持系统和全局的观念，基于平战结合、立足应急保障的思想，指导组织建立安全管理体系。通过系统、全面、科学的安全风险评估，体现“积极预防、综合防范”的方针，强调遵守国家有关信息安全的法律法规及其他合同方要求，透过全过程和动态控制，本着控制费用与风险平衡的原则，合理选择安全控制方式，保护组织所拥有的关键信息资产，使信息风险的发生概率降低到可接受的水平，确保信息的保密性、完整性和可用性，保持组织业务运作的持续性。
(一)保密性。
信息安全的保密性，在确保遵守军队保密守则规定的前提下，确保信息仅可让授权获取的相关人员访问。结合当前的状况，军队物资采购系统的信息安全保密应当做熟严格分岗授权制衡机制，杜绝不相容岗位兼岗现象;严格用户管理和授权管理，防止非法用户，用户冗余和用户授权不当;加强密码管理，防止不设口令或者口令过于简熟加强病毒防范管理，防范病毒损氰控制访问信息，组织非法访问信息系统确保对外网络服务得到保护，阴止非法访问网络;检测非法行为，防范道德风险;保证在使用移动电脑和远程网络设备时的信息安全，防止非法攻击。
(二)完备性。
信息安全的完备性，是指信息准确和具备完善的处理方法。具体要求是:严格采购业务流程管理，确保采购业务流程与采购信息系统操作流程完备一熟严格控制生产系统数据修改，防止数据丢失。防止不正确修改，减少误操作;严格数据管理，确保数据得到完整积累与保全，使系统数据能够真实、完整地反映采购业务信息;严格按照军队关于物资采购规定和要求操作，减少或杜绝非标业务。避免任何违反法令、法规、合同约定及易导致业务信息与数据信息不一致、不完整的行为。
(三)可用性。
信息安全的可用性，要求确保被授权人可以获取所需信息。具体要求是:加强生产系统运行管理，确保生产系统安全、稳定、可靠运行;加强生产机房建设与管理，保障机房工作环境所必需的湿度、温度、电源、防火、防水、防静电、防雷、限制进人等要求，减少安全隐患;加强生产系统日常检查管理，及早发现故障苗头;加强系统备份，防止数据损失;严格生产系统时间管理，禁止随意修改生产系统时间;保障系统持续运标实施灾难备份，防止关键业务处理在灾难发生时受到影响。
三、军队物资采购信息安全管理
(一)信息安全机构。
军队物资采购系统应分出专人专职来负责信息安全管理工作，并协同上级业务管理单位制定信息安全管理制度和工作程序，设定安全等级，评估安全风险程度，落实防范措施方案，提出内控体系整改方案与措施，监督和评估信息安全管理成效。在与上级总部和军区、军兵种物油部管理机构之间还要有一个快速响应的信息安全事故收集、汇总、处理及反馈体系。
(二)信息安全管理制度与策略。
信息安全管理制度应针对军队物资采购系统现状与发展方向来制定，要充分考虑可操作性。现阶段可根据“积极防御、综合防范”的方针，制定内部网、OA网、外部网的管理办法，明确用户的访问权限。制定生产系统运行管理办法。严格实行分岗制衡、分级授权，严格执行生产系统时间管理、备份管理、数据管理和口令管理。
(三)信息安全分级管理。
信息安全分级管理，是将信息资源根据重要性进行分级，对不同级别的信息资产采用不同级别信息安全保护措施，国家已将信息安全等级保护监督划分为五个级别，分别为自主性保护、指导性保护、专控性保护。
军队物资采购系统可以结合实际情况，将信息资产分为“三级”或“五级”保护，目的在于突出重点，抓住关键，兼顾一般，合理保护。分级管理的方法是分析危险源或危险点，评估其重要性，再分设等级，从而采取不同的保护措施。比如，对于采购机构业务机房，可采取门禁与限制进入等方式进行保护;针对采购中相关数据的提供，可设计一定的审判流程，根据数据的重要程度，分为公开信息、优先共享信息、内部一般信息、内部控制信息、内部关键信息和内部核心信息，实施严格的授权控制;对于信息安全事故，可分为重大事故、一般事故、轻微事故等，采取不同的处置方案。
(四)信息安全集中监控与处置。
设立集中运行的信息安全监控处置中心，及时监控、发现安全事故，做到响应快速、处置果断，并实施应急恢复。结合军队物资采购系统当前实际情况，可对网络、服务器等运行设备进行集中监控，开展服务器容量管理、网络流量监控;对应用系统采取防范与监控相结合的方式，对信息系统的数据设置校验码，防止非法修改;在开发应用系统的同时，还应开发相应的审计检查监控程序，由各单位分别运行和维护，由上级采购管理机构定期查验和监督，及时发现数据信息存在的风险。
四、信息安全管理系统
实现信息安全管理的集中运行，需借助信息安全管理系统。各军队采购机构和部门可以按照上级下达的统一标准，构建基于同一操作平台的信息安全管理系统，帮助安全管理中心实现系统的监控、分析、预警等功能，实现信息安全事故处理的收集、存储、分析等功能，及时对信息风险作出反馈。
(一)监控功能。
为采办机构和部门的相关信息处理和传输设备配置专人管理，并设置机房日志管理、服务器性能日志管理、服务器容量日志管理、数据修改日志管理、流量监控日志等功能，酌情设置数据检测结果日志管理功能。通过对存储、传输和删改的操作进行管理，达到监督控制的目的。
(二)处理功能．
根据采办单位所在环境和情况，自主设置安全事故报告、响应、处置等采办信息管理功能，对于高级别信息，也可以采用每天零报告措施。通过信息处理的简化、优化和快速反应，提高信息安全保障能力，从而保证军队采购的正常进行。
(三)安全等级管理功能。
篇7
一、自查情况
(一)安全制度落实情况
1、成立了安全小组。明确了信息安全的主管领导和具体负责管护人员,安全小组为管理机构。
2、建立了信息安全责任制。按责任规定:保密小组对信息安全负首责，主管领导负总责，具体管理人负主责。
3、制定了计算机及网络的保密管理制度。镇网站的信息管护人员负责保密管理，密码管理，对计算机享有独立使用权，计算机的用户名和开机密码为其专有，且规定严禁外泄。
(二)安全防范措施落实情况
1、计算机经过了保密技术检查，并安装了防火墙。同时配置安装了专业杀毒软件，加强了在防篡改、防病毒、防攻击、防瘫痪、防泄密等方面有效性。
2、计算机都设有开机密码，由专人保管负责。同时，计算机相互共享之间没有严格的身份认证和访问控制。
3、网络终端没有违规上国际互联网及其他的信息网的现象，没有安装无线网络等。
4、安装了针对移动存储设备的专业杀毒软件。
(三)应急响应机制建设情况
1、制定了初步应急预案，并随着信息化程度的深入，结合我镇实际，处于不断完善阶段。
2、坚持和计算机系统定点维修单位联系机关计算机维修事宜，并商定其给予镇应急技术以最大程度的支持。
3、严格文件的收发，完善了清点、修理、编号、签收制度，并要求信息管理员每天下班前进行系统备份。
(四)信息技术产品和服务国产化情况
1、终端计算机的保密系统和防火墙、杀毒软件等，皆为国产产品。
2、公文处理软件具体使用金山软件的wps系统。
3、工资系统、年报系统等皆为市政府、市委统一指定产品系统。
(五)安全教育培训情况
1、派专人参加了市政府组织的网络系统安全知识培训，并专门负责我镇的网络安全管理和信息安全工作。
2、安全小组组织了一次对基本的信息安全常识的学习活动。
二、自查中发现的不足和整改意见
根据《通知》中的具体要求，在自查过程中我们也发现了一些不足，同时结合我镇实际，今后要在以下几个方面进行整改。
1、安全意识不够。要继续加强对机关干部的安全意识教育，提高做好安全工作的主动性和自觉性。
篇8
(一)安全制度落实情况
1、成立了安全小组。明确了信息安全的主管领导和具体负责管护人员,安全小组为管理机构。
2、建立了信息安全责任制。按责任规定:保密小组对信息安全负首责，主管领导负总责，具体管理人负主责。
3、制定了计算机及网络的保密管理制度。镇网站的信息管护人员负责保密管理，密码管理，对计算机享有独立使用权，计算机的用户名和开机密码为其专有，且规定严禁外泄。
(二)安全防范措施落实情况
1、计算机经过了保密技术检查，并安装了防火墙。同时配置安装了专业杀毒软件，加强了在防篡改、防病毒、防攻击、防瘫痪、防泄密等方面有效性。
2、计算机都设有开机密码，由专人保管负责。同时，计算机相互共享之间没有严格的身份认证和访问控制。
3、网络终端没有违规上国际互联网及其他的信息网的现象，没有安装无线网络等。
4、安装了针对移动存储设备的专业杀毒软件。
(三)应急响应机制建设情况
1、制定了初步应急预案，并随着信息化程度的深入，结合我镇实际，处于不断完善阶段。
2、坚持和计算机系统定点维修单位联系机关计算机维修事宜，并商定其给予镇应急技术以最大程度的支持。
3、严格文件的收发，完善了清点、修理、编号、签收制度，并要求信息管理员每天下班前进行系统备份。
(四)信息技术产品和服务国产化情况
1、终端计算机的保密系统和防火墙、杀毒软件等，皆为国产产品。
2、公文处理软件具体使用金山软件的wps系统。
3、工资系统、年报系统等皆为市政府、市委统一指定产品系统。
(五)安全教育培训情况
1、派专人参加了市政府组织的网络系统安全知识培训，并专门负责我镇的网络安全管理和信息安全工作。
2、安全小组组织了一次对基本的信息安全常识的学习活动。
二、自查中发现的不足和整改意见
根据《通知》中的具体要求，在自查过程中我们也发现了一些不足，同时结合我镇实际，今后要在以下几个方面进行整改。
1、安全意识不够。要继续加强对机关干部的安全意识教育，提高做好安全工作的主动性和自觉性。
篇9
中国和亚太地区是伊顿在全球范围内具有战略意义的市场。罗世光相信，中国数据中心市场的快速增长将给伊顿的电能质量业务带来更大的增长机会。因此，在2014年，伊顿将加强与商的合作，拓展分销渠道，进一步推进与本土市场的全面融合，同时加大对本土产品研发和检测的能力，提供更多符合中国客户需求的高效节能的电能质量解决方案。
深圳是伊顿面向全球的研发和生产基地。三家位于深圳的工厂拥有5000多名员工、29条先进的自动化生产线，年产UPS达到800万台。伊顿在深圳设立的研发中心也是其全球三大电气研发基地之一，产品研发和测试工程师超过1000人。
刚启用的伊顿在深圳的亚太区电能质量产品和系统检测中心，是除美国、芬兰之外，伊顿在全球拥有的第三个产品和系统检测中心。“该检测中心同时也是客户体验中心，配备了全球领先的检测设备和技术，不仅能够检测单体设备，还能对包括UPS、电源分配单元（PDU）、AMS监测系统和第三方设备的整个电能系统解决方案进行测试，其最大测试能力是可对两台并联的1100kW的UPS进行测试。”罗世光介绍说，“客户在选择一款定制的电能解决方案后，即可在检测中心看到其运行的全过程，通过亲身体验增进对产品的了解和信心。”
“过去3~4年中，我们在中国市场的总投入已经超过1200万美元。我们仍在持续加强中国本地化，并从去年底开始进一步提升了针对中国用户的售前和售后服务能力。”罗世光告诉记者，“目前，我们90%的UPS都在深圳研发和生产。最近，深圳研发中心刚刚研制出一款新的UPS产品。与许多跨国企业采取的远程遥控式的本地研发策略相比，我们是实实在在地将研发部门落户在深圳，为亚太和中国市场提供本地化服务的同时也面向全球客户。”
云计算与大数据的发展推动了大型数据中心的快速发展，用户对数据中心整体解决方案和定制化解决方案的需求也与日俱增。“从2010年开始，伊顿增加了为中国客户定制数据中心解决方案的服务。在今年的商大会上，我看到了商和用户的积极反馈。”罗世光表示。
针对小型数据中心，伊顿可以提供模块化、标准化的解决方案；针对中型数据中心，伊顿可以针对不同行业客户的需求，提供有差异化的解决方案；针对大型数据中心，伊顿可以提供按需扩展的高能效、低整体拥有成本的解决方案。从产品到系统再到整体解决方案，这不仅对伊顿是一个新的挑战，对其商来说也要经历一个大的转变。
为了迅速提升商销售解决方案的能力，伊顿一方面不断更新其数据中心整体解决方案，另一方面加强对商的销售培训，实现信息共享。罗世光表示：“我们提供的定制化解决方案一方面要满足用户的个性化需求，另一方面还要保持开放性。我们将为用户提供解决方案与服务打包的一体化解决方案。”
第三届全国等级保护技术大会征文通知
为深入贯彻落实国家关于大力推进信息化发展和切实保障信息安全的文件精神，进一步推进信息安全等级保护技术交流，经公安主管部门同意，公安部第一研究所拟于2014年7月举办第三届全国信息安全等级保护技术大会（ICSP’2014）。
会议拟请公安、工业和信息化、国家保密、国家密码管理主管部门、中国科学院、国家网络与信息安全信息通报中心等部门担任指导单位，同时将出版论文集，经专家评选的部分优秀论文，将推荐至国家核心期刊发表。现就会议征文的有关情况通知如下：
一、征文范围
1. 新技术应用环境下信息安全等级保护技术：物联网、云计算、大数据、工控系统、移动接入网、下一代互联网（IPv6）等新技术、环境下的等级保护支撑技术，等级保护技术体系在新环境下的应用方法；
2. 关键基础设施信息安全保护技术：政府部门及金融、交通、电力、能源、通信、制造等重要行业网站、核心业务信息系统等安全威胁、隐患分析及防范措施；
3. 国内外信息安全管理政策与策略：信息安全管理政策和策略研究，信息安全管理体制和机制特点，信息安全管理标准发展对策，网络恐怖的特点、趋势、危害研究；
4. 信息安全预警与突发事件应急处置技术：攻击监测技术，态势感知预警技术，安全监测技术，安全事件响应技术，应急处置技术，灾难备份技术，恢复和跟踪技术，风险评估技术；
5. 信息安全等级保护建设技术：密码技术，可信计算技术，网络实名制等体系模型与构建技术，漏洞检测技术，网络监测与监管技术，网络身份认证技术，网络攻防技术，软件安全技术，信任体系研究；
6. 信息安全等级保护监管技术：用于支撑安全监测的数据采集、挖掘与分析技术，用于支撑安全监管的敏感数据发现与保护技术，安全态势评估技术，安全事件关联分析技术、安全绩效评估技术，电子数据取证和鉴定技术；
7. 信息安全等级保护测评技术：标准符合性检验技术，安全基准验证技术，源代码安全分析技术，逆向工程剖析技术，渗透测试技术，测评工具和测评方法；
8. 信息安全等级保护策略与机制：网络安全综合防控体系建设，重要信息系统的安全威胁与脆弱性分析，纵深防御策略，大数据安全保护策略，信息安全保障工作评价机制、应急响应机制、安全监测预警机制。
二、投稿要求
1. 来稿内容应属于作者的科研成果，数据真实、可靠，未公开发表过，引用他人成果已注明出处，署名无争议，论文摘要及全文不涉及保密内容；
2. 会议只接受以Word排版的电子稿件，稿件一般不超过5000字；
3. 稿件以Email方式发送到征稿邮箱；
4. 凡投稿文章被录用且未作特殊声明者，视为已同意授权出版；
5. 提交截止日期： 2014年5月25日。
三、联系方式
通信地址：北京市海淀区首都体育馆南路1号
邮编：100048
Email：.cn
联系人： 范博、王晨
联系电话：010-68773930，
篇10
根据你局《通知》（镇经科通〔2011〕9号）和《昭通市工业和信息委员会关于报送2011年度下半年政府信息系统安全检查自查报告和开展抽查工作的通知》（昭工信信推〔2011〕279号）文件精神。我局对信息系统安全情况进行了自查，现将自查情况汇报如下：
一、信息安全总体情况
2011年我局信息系统安全工作与2010年相比，有了一些改进。在安全管理、落实解决方案方面加大了力度，确保在系统升级项目完成之前，现有的系统能够保持良好的运行状态。
二、2011年信息安全主要工作情况
（一）信息安全组织管理
1、成立了安全小组。明确了信息安全的主管领导和具体负责的管护人员,安全小组为管理机构。（1）制定了2011年信息安全工作方案。随着系统升级项目的进行，接处警系统信息的安全是重点考虑的问题之一。（2）进一步制定和完善了信息安全方面的制度。（3）不定期进行安全检查工作。
2、有指定的信息安全员，负责维护本单位网络安全，指导协调相关工作。
（二）日常信息安全管理
1、人员管理情况。（1）重要岗位指定保密员并签订了保密协议；各信息专员对重要文件和信息资源要做到及时备份。（2）人员离岗离职需要通过各部门审核，持有单位信息、帐户密码的，需交接清楚，单位配备的专用存储设备必须回收，人员离职后，信息安全员必须修改相关计算机设备的帐户、密码。（3）外部人员访问机房必须登记，由相关部门人员监督，带出设备需要相关部门签章。（4）违反制度规定造成信息安全事件的，视情节轻重予以相应处罚。
2、资产管理情况。（1）每个部门指定一个资产管理人员，单位设定固定资产管理员。（2）计算机及相关设备送修需报固定资产管理员，报废销毁需要做好登记。
3、各办公用计算机均已安装杀毒软件，严禁使用不可靠、不知名的办公软件。涉密计算机专人专用，用户名和密码专人持有。
4、今年年初相关股室已将信息安全经费纳入年度预算。
（三）信息安全防护管理
1、每个部门设置不同的网段。相关科室定期检查服务器运行情况，防病毒是否正常，及时排查防火墙等防护设备的故障。
2、门户网站的信息严格按照审核程序执行，防止敏感信息泄露，上传工作由局办公室专门负责。电子邮箱由专人管理，定期更新用户口令。
3、涉密和非涉密计算机物理隔离，分类明确。专用移动存储设备需登记，使用前必须先进行杀毒检查，存储设备报废需使用有效的工具进行销毁。
（四）信息安全应急管理
1、制定了应急响应预案。当网络、设备在运行中发生重大故障时，须报告相关领导。发现可疑攻击，及时追查其网络地址，并阻断。一旦发现有计算机中病毒，及时将其断网，并杀毒。
2、根据需要设置了备份服务器，以应对突发事件。
（五）信息安全检查工作
1、上一年度存在的问题主要是接处警数据拷贝安全性，今年配置了两台计算机终端专门用于处警日常查询数据和拷贝文件，避免接处警计算机使用外部存储设备。
2、部分在用设备为我局建设初期购置，存在设备陈旧、故障率高的问题，应加大对设备进行维护、保养的力度，提高防范意识。
三、检查发现中发现的主要问题及整改情况
根据《通知》中的具体要求，在自查过程中我们也发现了一些不足，同时结合我局实际，今后要在以下几个方面进行整改。
1、安全意识不够。要继续加强对机关干部的安全意识教育，提高做好安全工作的主动性和自觉性。
2、设备维护、更新及时。要加大对线路、系统等的及时维护和保养，同时，针对信息技术的飞快发展的特点，要加大更新力度。
3、安全工作的水平还有待提高。对信息安全的管护还处于初级水平，提高安全工作的现代化水平，有利于我们进一步加强对计算机信息系统安全的防范和保密工作。
4、工作机制有待完善。创新安全工作机制，是信息工作新形势的必然要求，这有利于提高机关网络信息工作的运行效率，有利于办公秩序的进一步规范。
四、对信息安全工作的意见和建议
信息系统安全教育培训有待重视。由于我局不具备很专业的信息系统安全工作人员，对信息系统安全工作一知半解，希望相关部门能加强这方面的业务培训工作。
篇11
随着全球信息化经济的迅猛发展，中国也迎来了自己的信息化发展时期。纵观现代的竞争，早已从过去对资源、技术、人才的竞争，转化为现今的对信息资产占有的竞争。当前，随着我国信息技术的不断发展，我国各大高校也纷纷开展了信息化建设，计算机信息技术在我国高校的不断开展，对于我国高校在教学、科研方面也起到了很大的促进作用，提供了便捷的手段。然而，高校信息化建设在不断高速发展的同时，也面临着信息安全方面的严重威胁。信息如同一把双刃剑一般，一方面能够带给高校无穷的生长力量，同时，也给高校带来巨大的风险，使高校处于信息安全的威胁之中。因此，高校如何保证自己的信息安全和保密，创建一个严密、无懈可击的信息安全管理体系，成为每一个高校需要研究的重要课题。
1计算机信息安全管理理论
1.1计算机信息
信息是关于客观事实的可通讯的知识，信息是客观世界各种事物表征的反映。“信息”又被称为消息、资讯，通常以文字或声音、图像的形式来表现，是数据按有意义的关联排列的结果。目前，根据对信息的研究成果，我们可以将信息的概念科学的概括如下：信息是对客观世界中各种事物的运动状态和变化的反映，是客观事物之间相互关联和相互作用的表征，表现的是客观事物运动状态和变化的实质内容。
1.2计算机信息安全
信息安全是指信息系统（包括硬件、软件、数据、人、物理环境极其基础设施）受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常的运行，信息服务不中断，最终实现业务连续性。主要包括信息系统或信息网络中的信息资源免受各种类型的威胁、干扰和破坏，确保信息的完整性、可用性、保密性和可靠性，即确保信息的安全性。
2高校计算机信息安全管理理论
2.1计算机信息安全管理体系不健全
从目前高校的安全管理模式可以看出，仍在沿用传统的“以经验管理为主，以科学管理为辅”的较固定的管理模式。完全依靠开会强调安全管理的重要性，靠文件学习风险防范方法，靠人员的巡视检查来督促各部门的对信息的安全防范。这样简单的、被动的、机械的管理模式，不能够适应现在这个多变的社会环境。没有一个全员的安全紧迫性、全方位的安全管理程序，不主动查缺补漏，轻视安全隐患，往往会铸就大的安全管理问题。
2.2计算机信息安全管理手段较单一
高校往往重视教学和科研业务上的绩效考核、奖励激励，而忽略了在信息安全管理方面表现卓越的激励、保障制度。有关信息安全管理的规章制度也不成为专门的考核标准，一些信息安全管理方面的资金投入也较科研开发、教学业务拓展等较少。只是在出了事故后层层问责，而懈怠了平时的敦促、提醒、培训。没能根据实际工作环境和社会变化趋势来应对信息安全问题，管理手段和方法单一落后。
2.3计算机信息安全监督机制不完善
监管部门的安全监督责任有待调整和规范。高校尚未出台可资借鉴的安全监督执行力度标准，这样，就会影响组织机构在进行监督信息安全管理时的执行力度。有法可依、执法必严应是相关部门应该秉承的监督圭臬，可是现实情况是制度缺失、人浮于事，监督机构设置如同虚设。
2.4计算机信息安全人才缺乏
高校现阶段的信息安全人员多为其他岗位的兼职人员，而且非信息安全专业人才，通常是进入岗位后，根据职能需要，逐步学习，经过培训而掌握了信息安全技术知识的人员。
3完善高校计算机信息安全管理的对此
3.1建立信息安全预防体系
改进高校的信息安全管理体系需要从全局出发，从基础做起，然后逐步完善。要有条理、有策略、有方法，不能冒进，也不能半途而废。因此，要建立长效的信息安全预防体系，必须出台切实可行的运行机制和控制手段，逐一落实，使企业的安全信息管理体系形成良性、螺旋上升的改进形式。
3.2建立信息安全预防管理控制手段
（1）注重管理策略和规程；（2）加强技术控制。
3.3建立信息安全预防管理运行机制
3.3.1组建相关的组织机构建立其专门的安全监管部，负责为高校的网络与信息安全突发事件的监测、预警和应急处理工作提供技术支持，并参与重要的判研、事件调查和总结评估。3.3.2建立应急响应机制即当安全监管部门发现安全问题，及时向相关部门通报提请注意，然后将安全问题定级，提出预警等级建议，向有关领导报审。接到上级领导反馈后技术部门采取有效措施启动应急预案。当预警问题解决后，向上级请示，解除预警。事后形成事件调查和风险评估总结，呈报领导。
3.4提高信息监管人员的素质
首先物色合适的人选，根据岗位工作性质，经过严格的考察和科学的论证，找出或培训所需的人员。选聘过程严格可控，然后把具备不同素质、能力和特长的人分别安排人员配备齐整。培训之后上岗，从而使个岗位上的人充分履行自己的职责，最终促进组织结构功能的有效发挥。在人员到岗后，也要经常抽查岗位员工的工作技能和态度，测试和培训岗位需求，经常组织人员学习先进的信息技术和前沿项目。
4结论
信息安全管理时一个动态发展的过程，信息技术日新月异，信息安全管理策略就要随之动态调整。信息安全管理体系的规划、设计和实施流程也要根据实际运作的情况不断调整和该井。完备的计算机信息安全管理体系可以使高校信息资产安全得到有效的保障，将高校信息安全风险控制到最低。
参考文献
[1]张文雷.谈高校信息技术的网络安全[J].信息与电脑(理论版),2014(06)．
[2]汤赞.浅谈我国网络安全对高校信息技术的影响[J].科技与创新,2016(02)．
[3]黄瑞．高校信息化建设进程中信息安全问题成因及对策探析[J].现代教育技术,2014(03).
篇12
从图1和图2我们不难看出，当前的网络攻击和威胁的最大特点是趋利化，那么对于企业来说，如果没有一套较好的安全防范架构，那就不可避免地会在纷繁复杂的网络中遭受大量的乃至致命的打击。因此，建立企业安全防范架构势在必行。
安全架构模型
从当前的理论研究以及实践经验来看，面向企业安全的防范架构并未有一个成型的模型，各企业均按照自身的经验和组织管理体系来进行企业网络安全的防范工作。然而，在实践中急需有一套具有指导性意义的方法和手段来对其工作进行指导，才能做到有备无患。我们看到，关于网络安全的相关标准及模型的研究已经日趋成熟和理论化，并在实践中广泛应用。因此，我们不妨借用这些模型和标准来构建一套较为有效和具有普遍意义的企业安全防范体系。
ITU-T X.800 Security architecture标准将我们常说的“网络安全(Network Security)”进行逻辑上的分别定义，即安全攻击(Security Attack)是指损害机构所拥有信息的安全的任何行为;安全机制(Security Mechanism)是指设计用于检测、预防安全攻击或者恢复系统的机制; 安全服务(Security Service)是指采用一种或多种安全机制以抵御安全攻击、提高机构的数据处理系统安全和信息传输安全的服务。三者之间的关系如表1所示。
为了能够有效了解用户的安全需求，选择各种安全产品和策略，有必要建立一些系统的方法来进行网络安全防范。网络安全防范体系的科学性、可行性是其可顺利实施的保障。图3给出了DISSP安全框架三维模型。第一维是安全服务，给出了八种安全属性。第二维是系统单元，给出了信息网络系统的组成。第三维是结构层次，给出并扩展了国际标准化组织ISO的七层开放系统互联(OSI)模型。
框架结构中的每一个系统单元都对应于某一个协议层次，需要采取若干种安全服务才能保证该系统单元的安全。网络平台需要有网络节点之间的认证、访问控制，应用平台需要有针对用户的认证、访问控制，需要保证数据传输的完整性、保密性，需要有抗抵赖和审计的功能，需要保证应用系统的可用性和可靠性。针对一个信息网络系统，如果在各个系统单元都有相应的安全措施来满足其安全需求，则我们认为该信息网络是安全的。
安全架构的层次结构
作为全方位的、整体的网络安全防范架构是分层次的，不同层次反映了不同的安全问题。我们可以将企业安全防范架构的层次划分为物理层安全、系统层安全、网络层安全、应用层安全和安全管理（如图3）。由于层次的不同，我们也需要采用不同的安全技术来针对每层的安全问题进行应对和防护，因而也就产生了如图4中所列的种类繁多的安全技术。
物理层
保证计算机信息系统各种设备的物理安全是保障整个网络系统安全的前提。该层次的安全包括通信线路的安全、物理设备的安全、机房的安全等。因此，该层的安全防护技术具体体现在设备和系统的管理层面和电气工程相关技术的层面上。
网络层
该层的安全及安全技术问题是当前企业面临的最大问题，其安全防护技术主要是针对各种类型的DoS和DDoS攻击进行防护和抑制。
管理层
管理层安全是最重要而且最容易被忽视的一个问题。它直接关系到上述安全问题和安全技术是否能够收到较好的成效，也是贯穿整个企业安全防范架构的一条重要主线。安全管理包括安全技术和设备的管理、安全管理制度、部门与人员的组织规则等。
网络防护两大趋势
随着攻击技术的不断发展和演化，我们需要对企业网络防护技术的未来发展趋势进行把握，可以做出如下两个层面的归纳和预测。
首先是在网络应用层中，风险分析的重点将放在安全测评评估技术上。它的战略目标是掌握网络、信息系统安全测试及风险评估技术，建立完整的、面向等级保护的测评流程及风险评估体系。这一点和过去不一样，过去做测评是没有强调等级保护的。
此外，网络应用层的网络安全事件监控技术的战略目标应重点放在整个企业的层面进行考虑，要掌握保障基础信息网络与重要信息系统安全运行的能力，提高网络安全危机处理的能力。响应的重点应该放在恶意代码防范与应急响应技术上，其战略目标是掌握有效的恶意代码防范与反击策略。一旦发现恶意代码，要迅速提出针对这个恶意代码的遏制手段，要提供国家层面的网络安全事件应急响应支撑技术。其主要创新点在于，提出对蠕虫、病毒、木马、僵尸网络、垃圾邮件等恶意代码的控制机理。
此外国际产业界还提出了UTM。它的目标主要针对安全防护技术一体化、集成化的趋势，提出了UTM与网络安全管理的有效模型、关键算法，提出了相应的行业标准及其实现方式。UTM可以提高效果、降低投资，通过综合管理提高防护能力。
有明显发展新趋势的第二个层面是系统与物理层，在这一层安全存储系统产品很多，从安全角度来看，它的发展趋势有两点: 一个是机密性，企业要掌握海量数据的加密存储和检索技术，保障存储数据的机密性和安全访问能力; 另一个是安全存储系统自身要可靠，企业要掌握高可靠海量存储技术，保障海量存储系统中数据的可靠性。创新点在于，应提出海量分布式数据存储设备的高性能加密与存储访问方法，提出数据自毁机理数据备份与可生存性技术是围绕灾难恢复来做的。这主要是用于第三方实施数据灾难备份的模型与方法，为建设通用灾难备份中心提供理论依据与技术手段，建立网络与信息系统生存性和抗毁性，提高网络与信息系统的可靠性。对网络安全模型提出一个技术性模型，应该要有一个可信计算平台做整体的支撑。业界的战略目标是掌握基于自主专利与标准的可信平台模块、硬件、软件支撑、应用安全软件、测评等一批核心技术，主导我国可信计算平台的跨越式发展，为可信的企业计算提供操作平台和可靠保障。
链接
企业安全防范架构设计准则
根据安全防范架构的多个层面的问题，综合考虑可实施性、可管理性、可扩展性、综合完备性、系统均衡性等方面，企业网络安全防范架构在整体设计过程中需要遵循以下几项准则，以切实全面地做好企业安全防范工作:
1．做好整体规划
企业信息安全系统应该包括安全防护机制、安全检测机制和安全响应机制和安全策略。这主要来源于经典的信息安全领域的P2DR模型（见右下图）。P2DR模型包含四个主要部分: Policy（安全策略）、Protection（防护）、Detection（检测）和Response（响应）。
06
具体到企业安全防范架构上，我们也要很好地考虑这些要点，而不能光为了防范而防范，要整体规划和部署。也就是说，安全防护机制是根据具体系统存在的各种安全威胁采取的相应防护措施，避免非法攻击。安全检测机制是检测系统的运行情况，及时发现和制止对系统进行的各种攻击。安全响应机制是在安全防护机制失效的情况下，进行应急处理和尽量、及时地恢复信息，减少供给的破坏程度。
2．做好层次性防范
层次性防范是指安全层次和安全级别。良好的信息安全系统必然是分为不同等级的，包括对信息保密程度分级，对用户操作权限分级，对网络安全程度分级(安全子网和安全区域)，对系统实现结构的分级(应用层、网络层、链路层等)，从而针对不同级别的安全对象，提供全面、可选的安全算法和安全体制，以满足网络中不同层次的各种实际需求。
3．突出重点，合理平衡
网络信息安全的木桶原理是指对信息均衡、全面地进行保护。网络信息系统是一个复杂的计算机系统，它本身在物理上、操作上和管理上的种种漏洞构成了系统的安全脆弱性，尤其是多用户网络系统自身的复杂性、资源共享性使单纯的技术保护防不胜防。攻击者使用的“最易渗透原则”，必然在系统中最薄弱的地方进行攻击。因此，充分、全面、完整地对系统的安全漏洞和安全威胁进行分析，评估和检测(包括模拟攻击)是设计信息安全系统的必要前提条件。
4．技术与管理，两手都要硬
篇13
棱镜门事件折射出美国通过国内高科技公司实施全球网络空间霸权的战略图谋，为我国金融业敲响警钟。是国外对中国金融信息的窃取仅次于军事情报，我国金融业核心软硬件多为国外企业产品，使得我国金融信息系统容易被国外掌控，为行业信息安全埋下隐患。服务外包对国外厂商依赖度较高，加大了风险控制难度，敏感信息、核心技术泄密的可能性增加。我国对外政治经济摩擦不断增多，金融改革持续推进，竞争进一步激烈，金融机构数据中心遭受境外黑客攻击的可能性大大增加。例如，2013年11月29日，“中国煤炭银行”官网被黑，其官网称此次事件系日本金融财阀勾结国内金融集团所为。
（二）互联网舆情威胁不容忽视
互联网是广大网民获取信息资源、表达诉求最便捷和最有效的平台。微博客、网络社区、论坛等网络舆论平台飞速发展，成为社会舆论的发动机。网络舆论与摘要：我国金融业信息化进程不断加速，国内外信息安全环境深刻变化，金融机构须定期判断和分析国内外信息安全形势，不断提高风险防范水平。本文分析了当前金融业面临的信息安全形势，并从完善信息安全组织机制、夯实信息安全基础、强化互联网风险防范等角度提出应对策略和建议。关键词：金融业；信息安全；安全威胁；形势分析；应对策略传统媒体相互呼应，将迅速形成风险扩散的“蝴蝶效应”，放大信息安全风险。一旦金融机构局部的信息安全风险被网络聚焦、放大，会加大风险控制与事件处置的难度。此外，一些组织或个人出于竞争、报复或利益的目的，通过互联网关于金融机构的不实信息，营造“伪舆论”。还有一些小摩擦或小纠纷，由于没有得到及时察觉和合理处置，引发网民围观，形成网络热点事件。这些不仅会严重影响金融机构声誉，还会给整个行业带来不良社会影响，甚至造成巨额经济损失，实力相对较小的微型金融机构可能面临倒闭风险。
（三）互联网金融使信息安全形势更趋复杂
2013年中国互联网金融出现了快速发展势头，被称为中国互联网金融元年，各大互联网企业巨头纷纷进军互联网金融，推出“余额宝”、“微银行”、“京宝贝”等金融产品和服务。面对激烈竞争，传统金融机构积级调整战略介入其中。互联网金融为金融业带来新的发展机遇的同时，同样引入了信息安全风险和威胁。除具有传统金融业经营过程中存在的流动性风险、市场风险和利率风险外，互联网金融还存有信息技术导致的平台风险、技术风险、系统安全风险和基于虚拟金融服务的业务风险，且风险诱因更加复杂、风险扩散传播速度更快。移动互联网发展和智能手机的普及使互联网金融随处可及，互联网金融活动突破了时间和空间的局限，将成为网络钓鱼、黑客攻击的新目标，金融业面临信息安全形式更趋复杂。
二、新形势下金融业信息安全应对策略
（一）完善信息安全工作的组织机制
组织机制是保障信息安全最基础、最有效的长效机制，金融机构要基于当前信息安全形势和监管部门要求，进一步完善信息安全工作的组织机制。
1.明确不同部门和岗位的信息安全职责。当前，保障信息安全已不是一个或几个部门的责任，而是机构内所有部门、全体员工共同的职责。金融机构要明确业务部门、内控部门与技术部门共担信息安全风险的责任，将信息安全保障纳入到各岗位职责中，将信息安全工作作为一项重要的日常工作，努力形成全员参与信息安全保障的局面。
2.严格信息安全责任追究。按照“谁主管，谁负责；谁使用，谁负责”的原则，落实信息安全问责制，把信息安全风险的防范、识别、消除纳入业绩考核范畴，使所有员工意识到信息安全责任重于天。
3.提高制度的执行力。建立健全制度落实的规范流程和监督检查机制，关注各流程、环节之间的衔接性，实现部门自控与机构内控相结合。及时发现和解决制度执行中的问题，保证制度的有效落实，维护制度的严肃性和权威性。
（二）夯实信息安全基础，提升风险防范水平
信息安全工作涉及内容较多，内外部的信息安全威胁不断发生变化，信息安全保障和风险防范不可能一蹴而就，而是一项不断建设、持续完善的工程。金融机构应根据机构现状和内外部安全形势，科学制定机构信息安全发展规划，有重点、有层次推进机构信息安全工作，不断提升信息安全防范水平。
1.切实落实国家信息安全等级保护和信息系统分级保护工作。按照国家有关等级保护和分级保护的管理规范和技术标准开展等级保护和分级保护工作，严格遵照安全等级划分标准确定机构计算机网络和信息系统的安全等级，并按相应等级具体要求，建设安全设施、建立安全制度、落实安全责任，接受公安机关、保密部门、国家密码工作部门对信息安全等级保护工作的监督、指导，保障信息系统安全。
2.稳步推进信息产品国产化进程。“棱镜门”事件后，信息安全国产化进程加快，金融业要牢牢把握国产化机遇期，以安全生产为底线，按照“推广成熟、扩大基本成熟、试点逐步成熟、攻关不成熟”的策略，稳步推进金融业信息技术国产化进程，逐步实现信息安全产品、关键设备、核心系统、系统等国有产品替换。加强人才队伍建设和培养，提高自主运维能力和水平，逐渐减少对国外企业外包服务的依赖。
3.安全管理与技术防护并重。综合使用多种安全机制，将不同安全机制的保护效果有机结合，安全管理与技术防护双管齐下，相互配合，形成完整的立体防护体系。金融机构要摒弃“重技术，轻管理”的认识误区，突出安全管理在信息安全保障体系中的重要性，增强技术防护体系的效率和效果，弥补当前技术不能完全解决的安全缺陷，实现最佳的保护效果。
4.完善灾备体系建设和管理。灾备体系是保障金融业务连续性的重要防线，是维护信息系统和网络安全的重要措施。金融机构要把灾备中心建设规划提升到国家信息安全战略高度予以重视，扎实做好机构灾备中心布局规划和灾备建设工作。定期研究、评估当前灾备中心布局，对存在的问题及时进行整改。对于核心业务系统，要实现应用级备份，保证突发事件发生时可及时恢复业务运营。确保备份数据的有效性，定期对冗余备份系统、备份介质进行深度可用性验证。
5.加强人员操作行为管理，防范操作风险。从风险防范角度进一步完善网络和信息系统的操作流程，加强操作流程管理和审查，实现人员操作事前能控制、事中可监控、事后有审计，使风险防范从“管住人”进一步发展到“管住行为”。善于运用技术手段加强对操作风险防控，达到从管理和技术两个方面防范技术人员操作风险的目标，确保操作零风险。
6.提高机房设施保障水平。计算机机房是信息中心的核心部位，除承载机构的重要网络和信息系统外，还有空调、消防、防雷等保障机房设备安全稳定运行的机房设施。要加强机房设施的监测和风险评估工作，确保UPS供配电子系统、机房空调子系统、防雷接地子系统、设备监控子系统、机柜微环境子系统、安全消防子系统等机房设施健康运转，为机房这个“躯体”提供充足的“氧气“和“血液”，保障作为“器官”的各信息系统正常运行。将机房设施安全放在同网络和信息系统安全同等重要地位，发现风险隐患及时整改，勿将本应发挥安全保障功能的机房设施变成风险易发区域。
7.重视应急演练工作，提高应对突发事件的能力和水平。全面评估信息安全风险，建立风险全覆盖的应急预案体系和应急演练常态化工作机制。根据风险的等级和影响程度，合理确定单项演练、综合演练、跨部门演练、跨地域演练等不同类型演练的组合，具备应对不同类型风险的应急处置能力。依据风险的变化和应急演练效果完善应急预案，不断提高应急预案的可操作性。坚持在演练中锻炼队伍，持续提高人员的风险意识和突发事件的响应处置能力。
（三）强化互联网风险防控工作
