时间：2023-10-11 10:03:53
绪论：在寻找写作灵感吗？爱发表网为您精选了8篇审计信息安全管理，愿这些内容能够启迪您的思维，激发您的创作热情，欢迎您的阅读与分享！
关键词：稳心颗粒；心脏神经官能症；心律失常
中图分类号：R749.7 R289.5 文献标识码：C 文章编号：1672
随着现代经济社会的发展，人们生活水平得到提高的同时，生活的节奏越来越快，生活压力也越来越大，幸福指数下降。心理疾病越来越多，不良情绪带来了各种各样的躯体不适，严重影响了患者的生活质量。笔者对我院心内科2008年1月—2011年8月住院的明确心脏神经官能症诊断的110例患者用稳心颗粒治疗，并追踪随访观察，治疗效果显著，安全有效，现总结报道如下。
1 资料与方法
1.1 病例选择 选择心内科2008年1月—2011年8月住院的明确心脏神经官能症诊断的患者110例，其中男35例，女75例，年龄20岁～75岁。临床表现为发作性心慌，胸闷，烦躁易怒，失眠，焦虑等。患者入选条件：明确诊断非器质性心脏病患者。心脏B超正常，88例运动平板实验为阴性结果，32例冠状动脉造影排除冠心病。110例均行动态心电图检查，30例大致正常，55例提示频发房性早搏，20例合并短阵房性心动过速，35例提示频发室性早搏。
1.2 用药方法 停用其他抗心律失常药物及其他镇静安神药物至少5个半衰期，给予稳心颗粒治疗，每次一包，每日3次，温开水冲服，4周～8周为1个疗程。
1.3 观察疗效指标 观察患者自觉症状是否好转，心慌胸闷症状减轻或消失，失眠焦虑情绪改善，睡眠质量提高，复查动态心电图心律失常数目有无消失或显著减少。 同时观察药物的安全性，复查血、尿、便常规，肝肾功能，血脂，血糖，凝血功能。
2 结 果
2.1 临床疗效及实验室检查 治疗4周后，110例患者中94例（85%）心悸症状显著减少或消失，85例失眠，焦虑明显改善（77%）；13例患者合用艾司唑仑症状明显改善；3例患者改为黛力新口服后症状改善。总有效率为88%。监测血常规，大小便常规、肝肾功能、血脂、血糖、凝血功能与用药前无明显变化。
2.2 心电图改变 治疗前后心率、PR间期、QRS波时限等无明显变化。
2.3 动态心电图变化 55例房性早搏患者服药两周后49例房性早搏明显减少，总有效率90%，20例合并短阵房速患者17例房速消失，有效率85%。33例室性早搏患者28例室性早博次数明显减少，有效率84%。稳心颗粒对非器质性心脏病合并心律失常疗效明显。
2.4 不良反应 5例患者嫌药物气味难以接收停用，1例患者出现过敏反应，全身皮肤出现散在红色丘疹，皮肤瘙痒，停药1周后痊愈。未见其他药物不良反应。
3 讨 论
稳心颗粒是由党参、三七、甘松、黄芪、琥珀等地道中药材组成，具有益气养阴，活血化瘀，燥湿化痰，养心安神作用。党参、黄精性甘平，益气养阴，健脾化源；甘松、三七性甘温，理气化瘀，开瘀醒脾；琥珀性甘平，宁心复脉，活血利水。全方合用，可使心气渐足，心阴得充，瘀祛络通，气血流畅，则心悸、气短症自除。在治疗心脏官能症改善患者的心悸、气短、烦躁、焦虑等症状方面疗效明显。在对非器质性心脏病合并心律失常患者抗心律失常治疗，即无传统西药的致心律失常副反应，又有明确可靠疗效，且耐受性强，服用安全，未见明显毒副反应，是治疗功能性心律失常的首选良药。
【关键词】计算机信息；安全管理；问题；对策
1 计算机信息安全的特点
计算机信息安全有五个标志：
第一，完整性。信息在传输、交换、存储和编辑处理的过程中可以保持原样，不会随意为他人所破坏，这是计算机信息安全的最基本特征。
第二，保密性。信息的传递中不会随意为第三方所截获，信息一路畅通无阻的从传送方发送到接收方。要想实现保密性，在信息的传递中就需要采取一定的措施，比方说：使用加密技术。
第三，可用性。在企业日常生活中，员工可以利用信息系统来获取相关信息，当系统遭受破坏时，系统能够在管理人员的维护中迅速恢复运行，尽量不影响企业生产经营活动的正常开展。可用性充分体现了计算机信息系统面向用户的安全性能。
第四，不可否认性。在信息的交互过程中，参与者需要确保本人身份信息以及所提供的信息是真实的。
第五，可控性。对流通中的信息可以实现有效控制，比方说，信息的传输范围和信息的存放位置可控。
企业在建设信息系统时，需要充分考虑到网络环境下的计算机信息的安全性，尽量避免安全隐患，保证计算机信息安全。在信息系统的运行中要有专门人员进行管理，为企业发展提供安全可靠的计算机信息系统，促进企业的可持续健康发展。
2 计算机信息安全管理中存在的问题
计算机信息安全管理直接关系到企业的生死存亡，关系到信息系统积极作用的发挥。而网络背景下计算机信息安全面临较大的挑战，因此要做好安全管理。那么，目前的计算机信息安全管理又存在哪些方面的问题呢？
2.1 忽视信息系统安全管理
许多企业重视信息系统的安全建设，也就是在建设信息系统的过程中努力减少安全隐患，提高信息系统的安全性能。但是，在信息系统运行之后，企业却忽视了安全管理。而社会是不断发展的，信息系统的安全性能也在不断降低，于是出现了越来越多的安全隐患，不做好安全管理就会导致计算机信息安全得不到保证，不利于企业经济建设。
2.2 管理人员素质有待提高
很多企业的管理人员都只是进行一般的技术维护工作，没有对系统进行软件开发和改进。而社会的不断发展使得信息系统的管理任务越来越重，这样就需要管理人员不断提高自身素质，不断解决计算机信息安全管理中出现的新问题，保证信息安全。
2.3 缺乏定期审计
信息安全管理需要有专业的专项审计才能发现其技术问题。许多企业并没有审计部门，或是没有高素质的专业审计人员来对计算机信息安全管理开展审计工作，因而计算机信息安全管理还存在很大缺陷。
2.4 信息安全管理缺乏针对性
计算机安全管理的基础是风险评估，运用科学的方法和手段来系统分析计算机信息所面临的风险以及信息系统的脆弱性，进而形成与之相适应的安全管理方法制度，提出有针对性的安全管理措施，有效防范风险。但是，我国计算机信息安全管理中很多都没有开展风险评估，甚至有的企业直接借用了他人安全管理的方法，没有根据自身的特点来开展针对性风险防御，所以计算机信息安全管理的效果不佳。而且风险评估还需要定期进行，比如说：每隔三个月开展一次系统的风险评估，从而调整安全管理措施。
3 计算机信息安全管理的对策
计算机信息安全直接关系到企业的健康发展，关系到企业内部信息交流沟通的顺畅，因而企业要提高思想认识，注重信息安全管理。具体来说，可以从以下几个方面来开展安全管理：
3.1 提高管理人员的素质
安全管理中需要管理人员有比较高的计算机技术，能及时修正信息系统出现的问题，能进行软件开发，不断促进信息系统的进步，提高信息系统的安全性能。因此，企业要对管理人员进行定期培训再教育，促进管理人员学习最新技术知识，提高他们的技能水平，从而更好的开展信息系统的安全管理工作。与此同时，企业还要利用企业文化来促进企业内部形成学习型组织，促进每个员工都能自主提高素质，不断提高工作效率，促进企业竞争力的提高。
3.2 注重操作人员技能水平的提高
据调查，在信息安全事故中，有20%～30%的事故是由于黑客入侵或网络病毒等外在因素引起的；有70%～80%是人为操作失误或主观泄露造成的。因此，计算机信息安全管理中要注重对人的管理，首先要提高操作人员的思想认识水平。其次要提高操作人员的技能水平，尽量减少操作失误带来的信息安全事故，保证信息安全。
3.3 落实检查责任，开展定期审计
在计算机信息安全管理中，将责任分割落实到每个员工身上，建立完善的责任制度，将责任制度与业绩考核制度有机结合起来，促使每一个工作人员都能在规章制度要求下开展安全管理工作，促进安全管理水平的提高。同时，定期审计也是安全管理中不可或缺的一部分，企业要聘请专业审计人员来壮大计算机信息安全管理队伍，及时发现安全管理的问题并解决。
3.4 动态式的计算机信息安全管理
企业在发展，社会在进步，信息也在时时更新。因此，信息安全管理就应该依据企业信息的特点来开展动态式的安全管理。随着科学技术的发展，不断对原有的安全管理方法进行改进，提高信息系统的安全性能。
4 结束语
信息安全管理除了要做好前面几项任务外，还需要在安全管理制度、安全管理保障体系、系统安全、网络安全、协议安全等方面不断创新，不断进行软件开发，促进安全管理水平的提高，真正做到多措并举、不留丝毫安全隐患。
参考文献：
[1]邓娟.计算机信息安全问题研究[J].科技资讯，2009（8）.
[2]寇书华，何国伟.计算机信息安全管理探究[J].计算机安全，2013（3）.
[3]韩明.计算机信息安全管理建设浅议[J].中小企业管理与科技，2012（21）.
【关键词】保密意识 审计信息安全
审计信息是审计人员在工作中运用一定的技术、方法、手段，收集加工提炼整理的业务信息，是反映和体现审计工作成果的重要载体，主要包括审计工作信息和审计项目信息，涉及银行敏感信息及经营决策管理的商业秘密。审计人员泄密风险如影随形，无时不在，审计信息保密事关银行信息安全和审计声誉。因此，审计人员肩负审计数据及信息安全的重任，牢固树立保密意识、严格履行保密职责、执行保密纪律是每个审计人员义不容辞的责任。
一、审计信息渠道
审计信息主要来源于审计管理系统及平台信息和审计业务信息收集两个方面：
第一，审计管理系统及平台信息是审计人员在实施审计项目、进行审计管理的过程中，通过审计应用系统及平台获取审计业务操作与管理的业务和数据信息，包括非现场审计系统（OAS系统）信息、审计管理信息系统（AMIS系统）信息、审计知识库系统信息、任期经济责任审计信息资料库信息、总审计室信息平台等信息。
第二，审计业务信息是审计项目和日常审计工作中由各级机构提供的业务信息以及审计项目信息。业务信息包括审计机构审计计划、审计研究成果、被审计机构经营计划及业务指标、客户及其账户信息、业务管理信息等，以及通过Notes邮箱、办公自动化系统（OA系统）、档案管理信息系统等收集整理的各类业务信息。审计项目信息包括审计方案、审计报告、审计模型、审计证据、审计工作底稿，以及审计过程中通过会计档案管理系统、UAAP统一报表平台、对公信贷业务流程系统（CLPM系统）、个人信贷管理系统（A+P系统）、信贷管理系统（CMISII系统）、ODSB二期及ERPF报表查询等收集加工整理的各类信息。
二、主要问题和风险
（一）审计信息未集中管理，存在泄密的潜在风险隐患
便携式计算机是审计人员的必备工具，其中存储大量重要信息，实施审计项目按照审计方案要求分组开展，审计现场点多面广，审计资料不便于集中，审计人员注重信息资料使用忽视保密管理，对敏感及信息未经加密处理采取保密措施，形成审计信息安全隐患。一是项目实施过程中审计信息处于分散失控状态，缺乏安全管理；二是审计项目结束后，由于未明确和指定专人负责归集审计项目信息，致使审计人员未及时清理、归集移除审计项目电子信息资料，长久滞留审计人员计算机中将可能导致审计信息流失和泄密。
（二）计算机上网导致审计信息失密，造成损失形成银行声誉风险
计算机上网成为信息泄露的主要途径，计算机使用无线键盘或鼠标上网、移动存储介质与联网计算机交叉使用将会导致失泄密。一是审计人员因工作需要，有时通过互联网传送或下载工作信息，或上网查询信贷客户企业注册登记等信息，如果客户敏感信息被不法分子截获并利用，给客户带来不利影响的同时，将会导致银行声誉风险的严重后果。二是审计人员使用的计算机、U盘等磁介质若不采取保密措施，未经加密在互联网上传输行内重要数据或信息，被窃密者运用技术软件窃取，无意中将泄露银行敏感信息或商业秘密，给银行造成无可估量的损失。
（三）审计管理系统用户认证安全机制低、对客户敏感信息访问无控制
由于非现场审计系统对相关敏感数据字段未能加密，在审计项目实施过程中，审计人员登录系统可任意查询导出相关的信息及数据，存在敏感信息和商业秘密泄漏的风险。
三、审计信息安全管理措施
第一，健全制度，落实责任。为加强审计信息安全保密，对于计算机设备使用管理、审计管理系统运行管理及数据信息安全保密管理，制定信息安全管理制度，明确责任，落实保密职责。
第二，加强安全保密培训和教育，筑牢审计人员的安全和风险意识。一是要警钟长鸣，加强警示教育，做到防患于未然。二是建立信息安全的长效机制，将审计信息安全保密作为审计人员培训教育的重要内容，使之深刻认识安全无小事，牢记“失之毫厘、谬以千里”道理，始终绷紧安全保密意识的弦，严守保密纪律，自觉履行保密职责。
第三，加强审计系统用户管理，严格用户操作权限，禁止将用户口令及UKEY转借他人使用。在未开展审计项目阶段限制非现场审计系统操作用户，使用系统必须经过申请批准，以防止敏感信息泄露。搭建开放的非现场审计系统学习培训环境，提供审计人员用于学习操作非现场系统。
第四，利用管理信息平台FTP服务器对审计重要信息进行管理，实现远程资源共享，审计人员可查询相关工作信息，本机不再保存敏感信息和数据，切实防范便携机或移动硬盘存储审计信息失泄密的风险隐患。
第五，落实安全管理责任，签订《审计岗位人员保密协议》，强化保密意识，约束审计信息保密行为。
第六，加强计算机管理，严防信息失泄密。设置屏幕保护的时间和密码，确保在长时间不使用计算机时对屏幕上和系统内的敏感信息进行安全保护。计算机做到专机专用，与互联网物理隔离，禁止通过电子邮箱或互联网传输及重要工作信息，避免移动存储介质交叉使用。
第七，应用技术手段加强信息安全管理，审计条线全员推广使用Windows7（企业版）操作系统，应用全盘加密（BitLocker）功能，能够有效降低因设备物理丢失导致的审计信息泄露风险，有助于加强审计信息安全管理。
关键词：信息安全管理；网络安全；风险评估
中图分类号：TP393.08
随着信息化技术的高速发展和深入应用，企业对信息系统的依赖性越来越强，绝大部分的业务从纸面迁移到信息系统当中，如何建立稳固的信息安全管理体系已经成为各企业信息管理部门甚至管理层的重要课题。本文将通过对目前国际信息安全行业发展的分析，提出企业构建稳固的信息安全管理架构，提高信息安全水平的初步构想。
1企业信息安全政策
信息安全政策作为信息安全工作的重中之重，直接展现了企业的信息安全工作的思路。其应当由企业信息安全工作的使命和远景，实施准则等几部分组成。
1.1信息安全工作的使命
信息安全工作的核心意义是将企业所面临的风险管理至一个可接受的水平。
当前主流的风险控制包含以下四个步骤：通过风险评估方法来评估风险；制定安全策略来降低风险；通过监控控制恶意未授权行为；有效地审计。
1.2信息安全工作的愿景
安全的企业信息化环境可以为任何企业用户提供安全便捷的信息化服务，应用，基础设施，并保护用户的隐私。让用户有安全的身份验证；能安全便捷的使用需要的数据和应用资源；保证通讯和数据的保密性；明确自身的角色，了解角色在企业中的信息安全责任；身边出现的信息安全风险和威胁能得到迅速响应。
要达到上述目的，企业需要进行有效的风险管理。风险管理是一个识别风险、评估风险、降低风险的过程。在这个过程中，需要权衡降低风险的成本和业务的需求，确定风险的优先级别，为管理层的决策提供有效的支持。
1.3信息安全准则
信息安全准则是风险评估和制定最优解决方案的关键，优秀的信息安全准则包括：根据企业业务目标执行风险管理；有组织的确定员工角色和责任；对用户和数据实行最小化权限管理；在应用和系统的计划和开发过程中就考虑安全防护的问题；在应用中实施逐层防护；建立高度集成的安全防护框架；将监控、审计和快速反应结合为一体。
良好信息安全准则可以让企业内外部用户了解企业信息安全理念，从而让企业信息管理部门更好地对风险进行管控。
2企业信息安全管理的主要手段
2.1网络安全
（1）保证安全的外部人员连接。在日常工作中，外部合作伙伴经常会提出联入企业内网的需求，由于这些联入内网的外部人员及其终端并不符合企业的信息安全标准，因此存在信息安全隐患。控制此类风险的手段主要有：对用户账户使用硬件KEY等强验证手段；全面管控外部单位的网络接入等。
（2）远程接入控制。随着VPN[2-3]技术的不断发展，远程接入的风险已降低到企业的可控范围，而近年来移动办公的兴起更是推动了远程接入技术的发展。企业采用USB KEY，动态口令牌等硬件认证方式的远程接入要更加的安全。
（3）网络划分。在过去，企业内部以开放式的网络为主。随着网络和互联网信息技术的成熟，非受控终端给企业内网带来的安全压力越来越大。这些不受信任的终端为攻击者提供了访问企业网络的路径。信息管理部门可以利用IPSec[4]技术有效提高企业网络安全，实现对位于公司防火墙内部终端的完全管控。
（4）网络入侵检测系统。网络入侵检测系统作为防火墙的补充，主要用于监控网络传输，在检测到可疑传输行为时报警。作为企业信息安全架构的必备设备，入侵检测系统能有效防控企业外部的恶意攻击行为，随着信息技术的发展，各大安全厂商如赛门铁克，思科等均研发出来成熟的入侵检测系统产品。
（5）无线网络安全。无线网络现在已遍布企业的办公区域，给企业和用户带来便利的同时也存在信息安全的隐患。要保证企业内部无线网络的安全，信息管理部门需要使用更新更安全的协议（如无线保护接入WPA或WPA2）；使用VLAN划分和域提供互相隔离的无线网络；利用802.1x和EAP技术加强对无线网络的访问控制。
2.2访问控制
（1）密码策略。高强度的密码需要几年时间来破解，而脆弱的密码在一分钟内就可以被破解。提高企业用户的密码强度是访问控制的必要手段。为避免弱密码可能对公司造成的危害，企业必须制定密码策略并利用技术手段保证执行。
（2）用户权限管理。企业的员工从进入公司到离职是一个完整的生命周期，要便捷有效地在这个生命周期中对员工的权限进行管理，需要企业具有完善的身份管理平台，从而实现授权流程的自动化，并实现企业内应用的单点登陆。
（3）公钥系统[5]。公钥系统是访问控制乃至信息安全架构的核心模块，无线网络访问授权，VPN接入，文件加密系统等均可以通过公钥系统提升安全水平，因此企业应当部署PKI/CA系统。
2.3监控与审计
（1）病毒扫描与补丁管理。企业需要统一的防病毒系统和终端管理系统，在终端定期更新病毒定义，进行病毒自扫描，自动更新操作系统补丁，以减少桌面终端的安全风险。此类管控手段通常需要在用户的终端上安装客户端，或对终端进行定制，在终端接入企业内网时，终端管理系统会在隔离区域对该终端进行综合评估打分，通过评估后方能接入内网。才能保证系统的安全策略被有效执行。
（2）恶意软件防控。主流的恶意软件防控体系主要由五部分构成：防病毒系统；内容过滤网关；邮件过滤网关；恶意网页过滤网关和入侵检测软件。
（3）安全事件记录和审计。企业应当配置日志审计系统，收集信息安全事件，产生审计记录，根据记录进行安全事件分析，并采取相应的处理措施。
2.4培训与宣传
提高企业管理层和员工的信息安全意识，是信息安全管理工作的基础。了解信息安全的必要性，管理层才会支持信息安全管理建设，用户才会配合信息管理部门工作。利用定期培训，宣传海报，邮件等方式定期反复对企业用户进行信息安全培训和宣传，能有效提高企业信息安全管理水平。
3总结
当前，越来越多的企业已经把信息安全看做影响业务发展的核心因素之一，信息安全管理已经成为企业管理的重点。本文对信息安全政策，安全管理手段等方面进行了剖析，结合当前国际主流的信息安全解决办法，为企业做好，做强信息安全管理体系给出了一些通用性的标准，对企业构建信息安全管理体系，消除信息安全隐患，避免信息安全事件造成的损失，确保信息系统安全、稳定运行具有探索意义。
参考文献：
[1]何剑虹,白晓颖,李润玲,崔智社.基于SLA的面向服务的基础设施[J].电讯技术,2011,51(9):100-105.
[2]胡道元,阂京华.网络安全[M].北京:清华大学出版社,2004.
[3]戴宗坤,唐三平.VPN与网络安全[M].北京:电子工业出版社,2002.
【关键词】银行;信息安全;管理体系
从上世纪八十年代至今，信息技术因其独特的优势在银行业的地位发生了巨大的变化。在银行业应用信息技术之初，只是被作为提高银行工作效率的手段，随着信息技术的不断发展与进步，当前其已经成为银行系统中不可或缺的工具。可以说信息技术的发展促进了银行管理模式的变化，并且直接影响到银行的业务流程[1]。由于银行对信息技术的依赖程度越来越高，银行信息系统的运行安全与银行业的安全以及国家金融稳定密切相关，因此做好银行信息安全管理是保障国家金融稳定运行的重要措施。目前我国银行的信息技术水平与规模得到了不断提高，但在信息安全管理方面存在一些不足，这就需要构建银行信息安全管理体系，对银行的各项信息进行全面的管理，有效避免风险的发生。
1.银行信息安全管理中出现的问题
各种信息技术设备在银行业的广泛应用，虽然有效提升了银行的工作效率与服务质量，但是也逐渐暴露出各种信息安全管理问题，主要表现在以下几个方面。
1.1 信息安全管理体系不健全
我国很多银行在安全管理方面存在各种问题，其中最为普遍的就是信息安全管理体系不健全。这些银行的起步较晚，信息技术的应用范围相对狭窄，在风险评估与等级保护等方面有待完善，并且信息安全的实施策略、标准以及质量控制等还没有达到国际标准。同时部分银行制定的信息安全策略不够完善，尤其表现在信息资产的管理以及业务管理等方面，极大增加了信息系统的安全隐患，而一些银行的信息安全管理工作流于形式，根本没有建立全面而长效的信息安全管理机制。
1.2 运维监控与预警系统存在问题
我国的一些银行还没有建立有效的运维监控与预警系统，或者在银行的硬件设施与业务系统方面存在一些缺陷，无法对银行的重要设备以及周围的环境进行实时监测。部分银行在风险预警监控方面的自动化程度有待提高，而在对突发事件、意外事件等进行预警与监测时人工检测占据了大部分比例，这样就很难保障银行风险预警监控的可靠性与及时性。
1.3 银行工作人员导致的风险
当前很多银行的管理人员并没有加强对员工安全意识的定期强制性培训，员工普遍缺乏安全意识，在工作过程中不能很好地保障银行的信息安全，在出现问题后也无法及时发现，这就导致银行潜在的风险增加。一些银行员工由于缺乏安全意识，可能会将私人的优盘等设备接入银行的信息系统中，导致病毒入侵，直接威胁到银行的信息安全。同时目前银行还普遍缺乏风险管理专业人才，无法做到对风险的专业化管理[2]。
1.4 信息技术的监控与审计不完善
当前部分银行在信息技术的监控与设计方面有待加强。首先审计问题的整改落实不到位，银行在通过审计发现问题后没有及时查处，或者查处的力度不够，缺乏长效的监督;大多采用经济处罚，遇到侵犯领导利益的事件就大事化了或隐瞒事实。其次，银行审计的广度、深度还不够，并且审核的周期与间隔较长，部分基层银行甚至完全不开展信息技术审计工作。一些银行虽然开展了审计工作，但审计缺乏深度，很难识别深层次的安全隐患[3]。
2.加强银行信息安全管理的重要性
银行加强信息安全的主要目的就是为了保障信息化的持续稳定发展，信息安全不仅属于技术问题，也属于管理问题。从信息技术层面来看，当前我们使用的很多操作系统存在一定的安全漏洞，开发商会针对发现的漏洞设计相应的补丁程序，这就需要定期更新系统。例如，运用主机热备份以及灾难备份的方式，可以有效保障信息的安全运行。同时一些软件开放人员在编程设计过程中留有“后门”，如果这些“后门”被不法分子知道，就会将该部分作为攻击目标，进而影响到信息系统的安全。当前大部分的黑客攻击等都是由于系统“漏洞”引起的，因此银行在应用软件过程中应该尽量避免留有“漏洞”。
此外，随着我国信息化技术的不断发展，信息系统的安全管理也被纳入国家的重点项目中。与世界上的部分发达国家相比，我国的信息安全管理工作起步较晚，但是发展较快，并且对系统风险认识的不断深化促进了信息安全管理的发展。对于银行而言，信息安全是至关重要的问题，这是因为任何一个环节出现问题，都会对整个系统的发展带来影响，甚至导致全局性的失误。例如，银行传统的信贷、柜台等业务已经有多年的信息安全管理经验，而信用卡作为一种新型的业务，它连接了多个方面的利益关系，其中涉及到发卡行、特约商户以及持卡人之间的关系，因此信息安全就成为重中之重。在银行开展各项业务过程中，信息和数据是基础[4]。此外，从客户的角度来看，银行在给客户提供服务时，必须保障提供信息的准确性、可靠性与安全性。由此可见，银行加强信息安全管理是十分必要的。
3.构建银行信息安全管理体系的思考
二十一世纪属于信息网络时代，我们生活中的大部分工作与事物都会用到信息技术，而在应用信息技术过程中也伴随着一些信息安全问题。根据银行安全管理中出现的问题，并结合银行业的未来发展规划，我们应该构建一个健全、高效的银行信息安全管理体系。
3.1 建设信息安全管理技术体系
在整个银行信息安全管理体系建设中，先进的技术是其中最为重要的部分，运用先进的信息技术能够有效避免出现安全事件。我们使用较多的信息技术有身份识别、系统防火墙、防病毒技术等，同时也可以使用漏洞扫描、边界防护等技术，通过多种安全防护技术来加强信息安全管理。
在使用防火墙技术时通常是将其设置在网络的边界上，以此对外界进行隔离，对信息安全管理系统进行安全强化[5]。病毒是信息网络中最为常见的安全问题，如果出现网络病毒将给银行带来巨大的经济损失，这个时候我们就需要对重要文件进行实时备份，并且及时更新病毒数据库。此外，在信息安全管理系统中充分应用身份识别技术，即用户在登陆系统提交信息后，系统将严格识别操作者的身份，必要时会控制操作者的操作活动。
3.2 建设信息安全管理体系
所谓“三分技术七分管理”，银行信息安全管理体系中的管理体系起到控制各种活动的作用。首先设置文档化的管理体系，它包括制度建设与人员管理两个部分。从银行的制度、政策、操作流程等多个方面进行监督，对各个角色在信息系统中的活动进行监控。在信息安全管理系统中制定科学完备的管理制度，可以为信息安全提供基本保障，各大银行都应该积极制定并完善自身的信息安全管理制度，如制定并按时更新《信息安全管理办法》等，切实保障信息系统的安全运行。
信息安全管理系统的重要职责就是对操作人员进行管理，在人才选拔过程中应该严格按照银行的聘用制度操作，不能单靠关系。在用人方面应该对员工的行为进行严格监督，加强员工的安全意识培训，避免由于员工的疏忽、私欲等导致银行信息系统被破坏。同时建立科学合理的银行人事任用制度，保证内部员工能够按照相关规范完成信息系统的管理工作，并及时让技术人员掌握最新的技术。通过建设信息安全管理体系，让银行运行过程中的各项程序、日常维护、监控等操作符合规范，以此保障信息系统的稳定可靠运行。
为了提高银行信息系统的安全性，管理人员也需要对已经识别的安全信息进行正确应用，定期检测系统中的安全事件并及时解决，实时监视信息安全管理系统的运行情况，查看技术以及管理方面的控制措施是否合理。对信息系统的监控是一个长期的过程，监控的过程应该密切联系信息系统的周期，监控程序应该能够对与安全相关的结果进行改进，以提高信息系统的安全性。通过信息安全管理系统的构建，让银行业务数据的完整性、准确性与真实性得以保障;让信息系统、网络系统以及其它应用系统的安全性得以保障;让与信息系统相关的设备、环境与存储介质的安全性得以保障。
4.结语
银行在应用先进信息技术提高银行工作效率并方便大众的同时，也应该加强对信息安全的管理，从技术和管理层面构建完善、高效的信息安全管理体系，避免重要信息的泄露，以此有效降低安全事故的发生率，营造良好安全的银行服务环境。
参考文献
[1]赵小东.数据集中模式下银行业信息系统灾备体系的研究与应用[D].山西财经大学，2011.
[2]王阳.基于IS027001的风险评估系统的设计与实现[D].大连理工大学，2010.
[3]王令朝.创建铁路信息安全管理及其标准体系的探讨[J].铁道技术监督，2010，38（07）.
[4]石磊.金融业信息安全风险评估存在的问题及对策[J].中国金融电脑，2011，10（02）.
1．强化“制度”管理，为创建信息安全区提供制度保障。
我们根据《中国人民银行信息安全管理规定》和《河南省人民银行系统规范化管理办法》的相关要求，结合当地的实际，建立和完善组织机构建设、计算机安全设备管理、系统操作规程设计、网络建设的安全规划与立项、信息系统安全审计、应急处理预案建设、目标责任制落实等一整套涉及信息安全管理的规章制度，为各项工作创建的落实奠定一个完善的制度基础。与此同时，严格信息安全管理检查制度。科技部门每季会同保卫部门、人事部门、内审部门、纪委组织一次中支机关和辖内的信息安全检查，每次都制定了详细的检查方案，确保检查工作的可操作性和规范性。安全检查完成后及时形成检查报告，报中支信息安全领导小组，并经信息安全领导小组审阅后将检查整改报告送达被检查单位，限期整改并进行后续跟踪。
2．强化“组织”领导，为创建信息安全区提供组织保证。
一方面中支机关及所辖县（市）支行都按要求成立以行长为组长、其他领导班子成员任副组长、部门负责人为成员的信息安全领导小组。另一方面机关各部门设立信息安全管理岗位，指定一名责任心强，熟悉计算机相关知识的职工为信息安全员，具体负责本部门信息安全管理的有关事宜。信息安全领导小组下设办公室，由科技科具体负责协调机关及辖内信息安全管理工作，为信息安全领导小组提供重大事项决策的有关事宜，为信息安全管理提供高效的组织保证。
3．强化“操作”规程，确保信息安全区创建工作的规范化。
明确的岗位目标与操作规程是金融信息安全区创建的重要一环。我们对中支信息安全管理员（部门计算机安全员）、技术支持人员、业务操作人员、一般计算机用户等确定各自的岗位目标和操作规程及应当承担的安全义务。同时制订了明确的岗位操作规程，做到责权明晰，操作规范。同时，我们加强部门之间的协调，要求各部门都要制订业务应急预案和详细的操作规程，然后由科技科进行汇总、协调，形成有效的联防机制。
4．强化“责任”管理，加大金融信息安全区的创建力度。
按照“谁主管谁负责，谁运行谁负责，谁使用谁负责”的原则，根据不同层次制订不同内容的信息安全管理责任书，落实各项责任制，信息安全领导小组组长与副组长和各县（市）支行行长、副组长与分管部门负责人、部门负责人与岗位责任人层层签订信息安全责任书，对没有按照规定签订责任书的部门，在出现安全事故时，按照“上溯一级”的原则，追究当事人的直接责任和部门负责人的领导责任。
5．强化“技术”指导，为创建信息安全区的提供智力支持。
重点强化了中支各部门计算机信息安全人员及所辖县市支行安全管理人员的技术指导和信息安全知识的传播，通过举办不同形式的信息安全培训班，提高他们自觉防范的意识和技能，为信息安全打好第一道防线。
6．强化“监督”管理，巩固金融信息安全区创建成果。
关键词：信息安全等级保护；机构管理；信息中心随着《信息安全等级保护实施指南》和《信息安全等级保护管理办法》等一系列文件颁布以来，医院如何开展等级保护工作，确保信息安全，已经变成热门话题。其中，负责医院信息安全等级保护工作的组织管理机构，主要从管理层和用户层对医院信息安全等级保护进行管理建设。管理层的主要工作是制定医院信息安全等级保护工作的管理办法；用户层的主要工作是依据管办法要求，进行沟通合作以及运行监控和审查检查工作。
1信息安全机构管理目的
信息安全等级保护工作是解决信息安全问题的基本方法，而信息安全不仅靠物理安全、网络安全、主机安全等具体技术上的实现，还需要建立健全的信息安全机构管理制度，贯彻信息安全工作和维持信息安全的建设成果，在技术和管理两个维度下保障信息安全保护体系在持续的运营工作中发挥应有的信息安全保护作用[1]。
2信息安全机构管理思路
2.1加强安全管理建设是实现等级保护组织机构管理的基础 医院信息安全管理需要由医院信息化领导机构协调进行。为了完成和强化信息安全的管理，需要建立相应的信息安全管理机构，这是医院信息安全等级保护实施的必要条件[2]。同时，安全组织管理建设也是重要组成内容，包括健全组织体系，明确负责安全管理的主要领导、主管部门、技术支持部门和宣传部门，制定系统安全保障方案，实施安全宣传教育、安全监管和安全服务等。
2.2相关管理办法制定是规范等级保护组织机构管理的根本保证 医院信息系统存在着来自社会环境、技术环境和物理自然环境的安全风险，其安全威胁无时无处不在。对于医院信息系统的安全问题，不能企图单凭利用一些集成了信息安全技术的安全产品来解决，而必须配合等级保护的信息系统安全保障体系，制定相关管理办法，全方位综合解决系统安全问题。
2.3定期审查监控是实施等级保护组织机构管理的具体表现 根据医院对于信息安全等级保护的要求，安全等级保护除重视技术解决方案外，更应明确定期审查、检查和监控的必要性。包括：指定专员定期对系统进行安全巡查，检查的内容包含例如系统运行情况、系统漏洞确认、系统数据备份、现有安全技术措施有效性、安全配置与安全策略一致性、安全管理制度的执行情况等等。
3信息安全机构管理措施
医院信息安全管理体系依赖于信息安全等级保护管理建设的机构管理。根据医院当前信息安全管理需要和机构管理特点，和信息安全等级保护管理所要求的系统建设管理、系统运维管理、安全管理机构、安全管理制度和人员安全管理，笔者从岗位设置、人员配备、授权、审批、审查和沟通交流等方面分析医院信息管理机构建设，切实做到提升医院信息等级保护管理的能力。
3.1岗位设置 信息中心内部根据岗位划分不同，设置多个安全管理岗位包括系统管理员、网络管理员、安全管理员、安全审计员岗位，各岗位人员应按照自己的岗位职责，落实本岗位的信息安全工作[3]。
以我院为例，我院信息安全管理工作由院领导负责指导和管理，同时成立了医院级别的信息安全工作领导小组，由党委书记担任领导小组组长，由信息中心负责管理工作的具体落实，制定各信息系统相关岗位的岗位职责和工作标准并形成文件。
3.2人员配备 信息中心采用安全责任层层落实制，中心主任对医院所有信息化相关系统负责，网络工程师对医院所有网络建设及维护负责，系统工程师对医院服务器、数据库、存储和信息系统负责，信息安全工程师对医院网络安全、信息安全、机房物理安全负责，安全审计工程师对所有人的信息安全工作进行监督和审计，保证信息安全工作层层做实。
3.3授权和审批 医院信息中心对于外部厂商人员的相关操作均需进行审批流程，通过软件记录其所有操作行为，并保存进档。对于中心内部工作人员执行严格的离岗流程，由所在部门主管负责回收本部门负责的相关权限，所有权限回收后方可办理正常的离职手续。
信息中心对于客户端操作系统权限、应用系统操作权限、数据库操作权限进行分级控制。内网客户端硬盘分区全部使用NTFS，管理员密码由信息中心网络组每月定时更换；对所有应用系统功能进行编号，对功能进行模块化管理，并对模块进行分级控制；同时，设置数据库用户，将不同应用的数据分别管理，赋予创建、修改、删除表及表内数据权限。
3.4审查和检查 医院信息中心日常检查由信息安全管理员进行，自检内容包括终端安全自检和软件管理自检，终端安全自检包括检查是否每台计算机安装防病毒软件，病毒库是否为最新版本，终端操作系统是否安装最新补丁，是否设置6位以上口令；软件管理自检包括检查软件是否为正版软件，软件管理的各项记录是否完整等。
构建信息安全综合防护体系保证医院各系统能够长期稳定安全运行，满足了医院不断扩展的业务应用和管理需要。本文对信息安全机构管理的目的、思路和措施进行了详细的分析阐述，对相关工作人员和机构具有一定的启示意义。同时，通过梳理分析业务特点和管理流程，依据等级保护相关政策和标准，明确安全管理需求，笔者所在医院信息管理中心整理并制定出符合医院信息系统实际情况的一套信息安全管理体系文件，并在2012年公安局等级保护测评中被评为三级。
参考文献：
[1]苏丹.医院信息系统安全与管理[J].中国信息界(e医疗),2013,(05):58-59.
对于进一步提高信息安全的保障能力和防护水平来说，实行信息安全等级保护无疑是一种好的方法，因为它能充分调动国家、法人和其他组织及公民的积极性，增强安全保护的整体性、针对性和实效性，使信息系统安全建设重点更加突出、规范，更加统一。
但是，电子政务重在政务，由于政务部门的职能不同，信息系统的结构、功能和安全要求也不尽相同，信息安全等级保护工作的侧重点也不同。然而从总体上来说，都需要做好以下几点：
落实好“四个把握”
把握等级保护的建设进程。按照等级保护程序规定，做好定级、备案、整改、评测与监管工作。
把握等级划分的合理性和准确性。要认真分析电子政务系统在国家安全、经济建设、社会生活中的重要性程度，即电子政务系统遭受破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素，合理准确地确定系统安全等级。具体来说，安全等级的确定要根据信息系统的综合价值和综合能力保证的要求不同以及安全性被破坏造成的损失大小，综合考虑信息系统的经济价值、社会价值以及信息服务的服务范围和连续性。
把握好不同等级的基本安全要求。基本要求是针对不同安全保护等级信息系统，应该具有的基本安全保护能力提出的安全要求。例如：第三级信息系统要具有抵御来自外部组织的恶意攻击能力和防内部人员攻击能力，不仅要对安全事件有审计记录，还要能追踪与响应处理，要实现多重保护制度。
把握好基本技术要求和基本管理要求。基本技术要求包括物理安全、网络安全、主机安全、应用安全与数据安全等方面。基本管理要求是通过控制信息系统中各种角色参与的活动，包括安全管理机构、安全管理制度、人员安全管理、系统建设管理、系统运维管理等方面，从政策、制度、规范、流程以及记录等方面做出规定。对于电子政务系统要特别关注基础设施监控与管理、网络安全监控与管理、业务应用系统的监控与管理、应急响应与备份恢复管理。
引入风险评估机制
信息安全等级保护必须树立风险管理的思想，而风险评估是风险管理的基础，因此，三级以上电子政务系统必须定期进行信息安全风险评估。风险评估贯穿于等级保护周期的系统定级、安全实施和安全运维三个阶段：
系统定级。由于不同的电子政务系统具有自身的行业和业务特点，且所受到的安全威胁均有所不同。因此，可以依据信息安全风险评估国家标准对所评估资产的重要性、客观威胁发生的频率、系统自身脆弱性的严重程度进行识别和关联分析，判断信息系统应采取什么强度的安全措施，然后将安全事件一旦发生后可能造成的影响控制在可接受的范围内。即将风险评估的结果作为确定信息系统安全措施的保护级别的一个参考依据。
安全实施。安全实施是根据信息安全等级保护国家标准的要求，从管理与技术两个方面选择不同强度的安全措施，来确保建设的安全措施满足相应的等级要求。风险评估在安全实施阶段就可以直接发挥作用，那就是对现有电子政务系统进行评估和加固，然后再进行安全设备部署等。在安全实施过程中也会发生安全事件并可能带来长期的安全隐患，如安全集成过程中设置的超级用户和口令没有完全移交给用户、防火墙部署后长时间保持透明策略等都会带来严重的问题，风险评估能够及早发现并解决这些问题。
安全运维。安全运维是指按照系统等级进行安全实施后开展运行维护的安全工作。安全运维包括两方面：一是维护现有安全措施等级的有效性。二是根据客观情况的变化以及系统内部建设的实际需要，对等级进行定期调整，以防止过度保护或保护不足。在安全运维的过程中，通过信息安全风险评估工作可以对已有信息系统的安全等级保护情况进行评估，依据已确定等级的相关保护要求，对系统的保护效果、潜在风险进行评价，评估是否达到等级保护的要求；当信息系统或外部环境发生变更时，可以通过风险评估工作了解和确定风险的变更，为再次定级和等级保护措施的调整提供依据。
建立有效的信息安全管理组织
信息安全管理组织是建立信息安全保障体系，做好信息安全等级保护工作的必要条件。当前很多政务部门的信息安全工作均有信息化部门兼任，没有足够的权威性。等级保护工作的开展，要求在组织内部建立信息系统安全方面的最高权力组织，并有明确的安全目标，目的是在管理层的承诺和拥有足够资源的情况下开展信息安全工作。因此，建立有效的信息安全管理组织必须明确以下内容：
要遵循分权制衡原则。制度的建立、制度的执行、执行情况的检查与监督要分开考虑。在目前的等级保护测评工作中，时常发现有系统管理员、网络管理员、安全员与审计员兼任的情况，甚至一人包揽所有的信息系统运维工作。但从等级保护的基本要求来看，依据分权制衡的原则，建议在电子政务系统中，系统管理员与审计员不得兼任，审计员不能从事所有日常信息的维护与管理工作，系统管理员不能从事审计日志的查看与处理工作。
要坚持从上而下的垂直管理原则。上一级机关信息系统的安全管理组织指导下一级机关信息系统的安全管理组织的工作，下一级机关信息系统的安全管理组织接受并执行上一级机关信息系统的安全管理组织的安全策略。
应常设信息系统安全管理组织办公机构，负责信息安全的日常事务工作。信息系统安全管理组织应由系统管理、系统分析、软硬件维护、安全保卫、系统稽核、人事与通信等有关方面的人员组成。
信息安全管理组织部门不能隶属于技术部门或运行部门，各级信息系统的安全组织不能隶属于同级信息系统管理和业务机构。信息安全管理组织部门只有不隶属于技术或运维部门，才能站在较高的层次上制定信息安全的整体框架与策略、有效的处理安全事件，启动应急预案。
购物车(0)
