时间：2023-10-13 09:34:05
绪论：在寻找写作灵感吗？爱发表网为您精选了8篇关于企业信息安全措施，愿这些内容能够启迪您的思维，激发您的创作热情，欢迎您的阅读与分享！
随着油田信息化高速发展，大批业务系统集中部署在数据中心，信息资产呈现高度集中趋势，给企业信息安全保障工作提出了新的要求。信息安全态势日益严峻，黑客攻击手段不断翻新，利用“火焰”病毒、“红色十月”病毒等实施的高级可持续攻击活动频现，对国家和企业的数据安全造成严重威胁。因此，及时掌握信息系统保护状况，持续完善系统安全防护体系，对于保证信息资产的安全性和油田业务系统的连续性具有重要的现实意义。在信息安全领域中，安全评估是及时掌握信息系统安全状况的有效手段。而其中的信息安全风险评估是是一种通用方法，是风险管理和控制的核心组成部分，是建立信息系统安全体系的基础和前提，也是信息系统等级测评的有效补充和完善。因此，研究建立具有油田公司特色的信息安全风险评估模型和方法，可以为企业科学高效地开展信息安全风险评估工作提供方法指导与技术保障，从而提高油田勘探开发、油气生产和经营管理等数据资产的安全性，为油田公司信息业务支撑平台的正常平稳运行保驾护航。
1风险评估研究现状
从当前的研究现状来看，安全风险评估领域的相关研究成果主要集中在标准制定上。不同的安全评估标准包含不同的评估方法。迄今为止，业界比较认可的风险评估相关标准主要有国际标准ISO/IECTR13335IT安全管理、美国NIST标准SP800－30IT系统风险管理指南(2012年做了最新修订)、澳大利亚－新西兰标准风险管理AS/NZS4360等。我国也根据国际上这些标准制定了我国的风险评估标准GB/T20984－2007信息安全技术风险评估规范以及GB/Z24364－2009信息安全技术信息安全风险管理指南。
1．1IT安全管理ISO/IECTR13335
IT安全管理ISO/IECTR13335系列标准是最早的清晰描述安全风险评估理论及方法的国际标准，其主要目的是给出如何有效地实施IT安全管理的建议和指导，是当前安全风险评估与风险管理方面最权威的标准之一。ISO/IECTR13335(以下简称为IS013335)包括了五个部分:第一部分IT安全概念和模型(1996)主要描述了IT安全管理所用的基本概念和模型。IS013335介绍了IT安全管理中的安全要素，重点描述了:资产、威胁、脆弱性、影响、风险、防护措施、残留风险等与安全风险评估相关的要素。它强调风险分析和风险管理是IT安全管理过程的一部分，也是必不可少的一个关键过程。图1表示资产怎样潜在经受若干威胁。［2］如图1所示，某些安全防护措施在降低与多种威胁和/或多种脆弱性有关的风险方面可以是有效的。有时，需要几种安全防护措施使残留风险降低到可接受的级别。某些情况中，当认为风险是可接受时，即使存在威胁也不实施安全防护措施。在其他一些情况下，要是没有已知的威胁利用脆弱性，可以存在这种脆弱性。图2表示与风险管理有关的安全要素之间的关系。为清晰起见，仅表示了主要的关系。任何二个方块之间箭头上的标记描述了这些方块之间的关系。第二部分管理和规划IT安全(1997)主要提出了与IT安全管理和规划有关的各种活动，以及组织中有关的角色和职责。［2］第三部分IT安全管理技术(1998)本部分介绍并推荐用于成功实施IT安全管理的技术，重点介绍了风险分析的四种方法:基线方法、非正式方法、详细风险分析和综合方法。［2］第四部分安全防护措施的选择(2000)为在考虑商业需求和安全要素的情况下选择安全防护措施的指南。它描述了根据安全风险和要素及部门的典型环境，选择安全防护措施的过程，并表明如何获得合适的保护，如何能被最基础的安全应用支持。［2］第五部分网络的安全防护措施(2001)为关于网络和通信方面的IT安全管理指南，这一指南提供了根据建立网络安全需求来考虑的通信相关因素的识别和分析。［2］
1．2风险评估实施指南
SP800－30SP800－30(风险评估实施指南，2012年9月)是由NIST制定的与风险评估相关的标准之一，它对安全风险评估的流程及方法进行了详细的描述，提供了一套与三层风险管理框架结合的风险评估办法，用于帮助企业更好地评价、管理与IT相关的业务面临的风险。它包括对IT系统中风险评估模型的定义和实践指南，提供用于选择合适安全控制措施的信息。SP800－30:2012中的风险要素包括威胁、脆弱性、影响、可能性和先决条件。(1)威胁分析威胁源从利用脆弱性的动机和方法、意外利用脆弱性的位置和方法等方面进行分析。(2)脆弱性和先决条件考虑脆弱性时应注意脆弱性不仅仅存在于信息系统中，也可能存在于组织管理架构，可能存在于外部关系、任务/业务过程、企业/信息安全体系架构中。在分析影响或后果时，应描述威胁场景，即威胁源引起安全事件导致或带来的损害。先决条件是组织、任务/业务过程、企业体系架构、信息系统或运行环境内存在的状况，威胁事件一旦发起，这种状况会影响威胁事件导致负面影响的可能性。(3)可能性风险可能性是威胁事件发起可能性评价与威胁事件导致负面影响可能性评价的组合。(4)影响分析应明确定义如何建立优先级和价值，指导识别高价值资产和给单位利益相关者带来的潜在负面影响。(5)风险模型标准给出了风险评估各要素之间的关系的通用模型。［3］
1．3风险评估规范
GB/T20984－2007GB/T20984－2007是我国的第一个重要的风险评估标准。该标准定义了风险评估要素关系模型，并给出了风险分析过程，具体如图3所示：风险分析中涉及资产、威胁、脆弱性三个基本要素。首先识别出威胁、脆弱性和资产，然后根据威胁出现的频率和脆弱性的严重程度分析得到安全事件发生的可能性，再根据脆弱性严重程度和资产价值分析得到安全事件造成的损失，最后根据安全事件发生的可能性及造成的损失分析确定风险值。
2信息安全风险评估模型构建
结合某油田企业实际情况，在参考上述标准及风险分析方法风险分析的主要内容为:a)识别资产并对资产的价值进行赋值;b)识别威胁，并根据威胁出现的频率给威胁赋值;c)识别脆弱性，并将具体资产的脆弱性赋为2个值，一个是脆弱性严重程度，一个是脆弱性暴露程度;d)分析脆弱性被威胁利用可能导致的安全事件;e)分析确定出安全事件发生后带来的影响不能被单位所接受的那些安全事件;可以接受的安全事件对应的风险等级确定为低;f)针对不可接受安全事件，分析相应的威胁和脆弱性，并根据威胁以及脆弱性暴露程度，以及相关安全预防措施的效果计算安全事件发生的可能性;g)针对不可接受安全事件，根据相应脆弱性严重程度及资产的价值，以及相应预防措施的有效性计算安全事件造成的损失：的基础上，总结形成油田企业风险要素关系模型如图4所示，风险计算模型如图5所示:h)根据不可接受安全事件发生的可能性以及安全事件发生后的损失，计算安全事件发生会对企业造成的影响，即风险值，并确定风险等级。
3模型创新点及优势分析
信息安全风险评估方式和方法很多，如何建立适合油田企业当前安全需求的风险评估模型、评估要素赋值方法以及风险计算方法是本文要解决的技术难点和创新点。1)对于资产的赋值，从资产所支撑的业务出发，结合信息系统安全保护等级及其构成情况，提出了根据业务数据重要性等级和业务服务重要性等级确定资产的重要性，使得风险评估与业务及等级保护结合更加紧密。2)对于脆弱性赋值，将脆弱性细分为暴露程度及严重程度两个权重。其中暴露程度与威胁赋值确定安全事件发生可能性，严重程度与资产价值确定安全事件造成的影响。3)将现有安全措施进一步细化，分解为预防措施和恢复措施，并研究得到预防措施有效性会影响到安全事件发生可能性，而恢复措施有效性会影响到安全事件造成的损失。4)结合被评估单位的实际业务需求，提出了仅针对被评估单位的不可接受安全事件进行数值计算，减少了计算工作量，有助于提升风险评估工作效率。5)根据油田企业实际需求，将安全事件发生可能性和安全事件造成的损失赋予不同的权重，从而使得风险计算结果中安全事件损失所占比重更大，更重视后果;并通过实例验证等方式归纳总结出二者权重比例分配。
险评估模型应用分析
4．1资产识别
资产识别主要通过现场访谈的方式了解风险评估范围涉及到的数据、软件、硬件、服务、人员和其他六类资产相关的业务处理的数据及提供的服务和支撑业务处理的硬件设备和软件情况。4．1．1资产重要性分析资产重要性分析以信息系统的业务为出发点，通过对业务处理的数据以及提供的服务重要性赋值的方法确定信息系统资产价值。业务处理的数据以及业务提供的服务的重要性分析及赋值方法具体如下。4．1．1．1业务数据重要性分析业务数据资产的重要性主要根据业务数据的安全属性(即三性:保密性、完整性和可用性)被破坏对本单位造成的损失程度确定。油田企业各业务系统所处理的数据信息根据数据安全属性被破坏后可能对油田企业造成的损失严重程度进行赋值。一般赋值为1—5。4．1．1．2业务服务重要性分析服务资产的重要性根据其完整性和可用性被破坏对本单位造成的损失程度确定。通过与相关人员进行访谈，调查了解每种业务提供的服务和支撑业务处理的硬件设备和软件情况，根据服务安全属性被破坏后可能对油田企业造成损失的严重程度，为各种业务服务重要性赋值。一般赋值为1—5。4．1．2资产赋值通过分析可以看出，六类资产中数据资产和业务服务资产的重要性是决定其他资产重要性的关键要素，因此，六类资产的赋值原则如下:1)数据资产重要性根据业务数据重要性赋值结果确定。2)服务资产重要性根据业务服务重要性赋值结果确定。3)软件和硬件资产的重要性由其所处理的各类数据或所支撑的各种业务服务的重要性赋值结果中的较高者决定。4)人员的重要性根据其在信息系统中所承担角色的可信度、能力等被破坏对本单位造成的损失程度确定。5)其他资产重要性根据其对油田企业的影响程度确定。
4．2威胁识别
4．2．1威胁分类对威胁进行分类的方式有多种，针对环境因素和人为因素两类威胁来源，可以根据其表现形式将威胁进行分类［4］。本论文采用GB/Z24364－2009信息安全技术信息安全风险管理指南中基于表现形式的威胁分类方法。4．2．2威胁赋值根据威胁出现的频率确定威胁赋值，威胁赋值一般为1～5。对威胁出现频率的判断根据风险评估常规做法获得，比如安全事件报告、IDS、IPS报告以及其他机构的威胁频率报告等。
4．3脆弱性识别
4．2．1脆弱性分类脆弱性识别所采用的方法主要有:问卷调查、配置核查、文档查阅、漏洞扫描、渗透性测试等。油田企业脆弱性识别依据包括:GB/T22239信息安全技术信息系统安全等级保护基本要求的三级要求以及石油行业相关要求。4．2．2脆弱性赋值原则脆弱性赋值时分为脆弱性暴露程度和脆弱性严重程度。暴露程度根据其被利用的技术实现难易程度、流行程度进行赋值。对脆弱性的暴露程度给出如下5个等级的赋值原则:脆弱性的严重程度根据脆弱性被利用可能对资产造成的损害程度进行赋值。脆弱性的严重程度分为5个等级，赋值为1～5。
4．4现有安全措施识别
4．4．1现有安全措施识别方法信息系统环境中的现有安全措施根据其所起的安全作用分为预防措施和恢复措施。预防措施用于预防安全事件的发生(例如入侵检测、网络访问控制、网络防病毒等)，可以降低安全事件发生的概率。因此针对每一个安全事件，分析现有预防措施是否能够降低事件发生的概率，其降低发生概率的效果有多大。恢复措施可以在安全事件发生之后帮助尽快恢复系统正常运行，可能降低安全事件的损失(例如应急计划、设备冗余、数据备份等)，因此针对每一个安全事件，分析现有恢复措施是否能够降低事件损失，其降低事件损失的效果有多大。4．4．2现有安全预防措施有效性赋值原则通过识别信息系统现有安全措施及其有效性验证，针对每一个安全事件，分析现有预防措施中可能降低事件发生概率的情况，并对预防措施的有效性分别给出赋值结果。评估者通过分析安全预防措施的效果，对预防措施赋予有效性因子，有效性因子可以赋值为0．1～1。4．4．3现有安全恢复措施有效性赋值原则通过识别信息系统现有安全措施及其有效性验证，针对每一个安全事件，分析现有恢复性安全措施中可能降低事件损失的情况。评估者通过分析安全恢复措施的有效性作用，对安全恢复措施赋予有效性因子，有效性因子可以赋值为0．1～1。
4．5安全事件分析
4．5．1安全事件关联综合识别出的脆弱性及现有安全措施识别出的缺陷，结合油田企业信息系统面临的各种威胁，将各资产的脆弱性与威胁相对应形成安全事件。分析这些安全事件一旦发生会对国家、单位、部门及评估对象自身造成的影响，分析发生这些安全事件可能造成影响的严重程度，从中找出部门(或单位)对发生安全事件造成影响无法容忍的那些安全事件，即确定不可接受安全事件。4．5．2安全事件发生可能性分析(1)计算威胁利用脆弱性的可能性针对4．5．1中分析得出的不可接受安全事件，综合威胁赋值结果及脆弱性的暴露程度赋值结果，计算威胁利用脆弱性导致不可接受安全事件的可能性，采用乘积形式表明其关系，即安全事件发生的可能性的初始结果计算公式如下:L1(T，V)1=T×V1其中，L1(T，V1)代表不可接受事件发生的可能性的初始结果;T代表威胁赋值结果;V1代表脆弱性的暴露程度赋值结果。(2)分析现有预防措施的效果通过对企业信息系统的现有安全措施的识别和有效性验证，针对4．5．1分析得到的不可接受安全事件，分析描述现有预防措施中可能降低事件发生概率的情况，并给出有效性因子赋值结果。(3)计算安全事件发生的可能性考虑到现有安全措施可能降低安全事件发生的可能性，因此安全事件发生的可能性的最终计算公式为:L2(T，V)1=L1(T，V1)×P1其中，L2(T，V1)为最终安全事件发生的可能性结果;L1(T，V1)为安全事件发生的可能性初始结果;P1代表安全预防措施有效性赋值结果。然后，形成调节后的安全事件可能性列表。4．5．3安全事件影响分析(1)计算脆弱性导致资产的损失将各资产的脆弱性(管理类脆弱性除外，管理类脆弱性采用定性方式进行主观分析)与威胁相对应形成安全事件(4．5．1不可接受安全事件列表)，根据资产的重要性及脆弱性的严重程度，计算脆弱性可能导致资产的损失，即:F1(A，V2)=A×V2其中，F1(A，V2)代表安全事件可能导致资产的损失的初始计算结果;A代表资产价值，即资产赋值结果;V2代表脆弱性严重程度，即脆弱性严重程度赋值结果。(2)分析现有安全恢复措施的有效性通过对油田企业信息系统的现有安全措施的识别和有效性验证，针对4．5．1分析得到的不可接受安全事件，分析描述现有恢复措施中可能降低事件发生的概率的情况，并根据表9的赋值原则分别给出安全恢复措施的有效性赋值结果。(3)计算安全事件的损失考虑到恢复措施可能降低安全事件带来的损失，因此安全事件损失可以根据安全恢复措施的有效性予以调整。采用乘积形式表明关系，即:F2(A，V2)=F1(A，V2)×P2其中，F2(A，V2)为安全事件可能造成的损失的最终计算结果;F1(A，V2)为安全事件可能造成损失的初始计算结果;P2代表安全恢复措施有效性赋值结果。然后，形成调节后的安全事件损失计算结果列表。
4．6综合风险计算及分析
4．6．1计算风险值结合油田企业关注低可能性重性的安全事件的需求，参照美国关键信息基础设施风险评估计算方法，采用安全事件发生的可能性以及安全事件可能带来的损失的加权之和方式计算风险值。这种方法更加重视安全事件带来的损失，使得损失在对风险值的贡献中权重更大。在使用油田企业以往测评结果试用的基础上，将安全事件可能带来的损失的权重定为80%。具体计算公式为:R(L2，F)2=L2(T，V)1×20%+F2(A，V)2×80%其中，R(L2，F2)代表风险值，L2(T，V1)为安全事件发生可能性的最终结果，F2(A，V2)为安全事件可能造成的损失的最终计算结果。4．6．2风险结果判断计算出风险值后，应对风险值进行分级处理，将风险级别划分为五级。4．6．3综合分析根据风险计算结果，从多个不同方面综合汇总分析被评估信息系统存在的安全风险情况。例如可从以下几方面汇总分析:1)风险较高的资产统计:汇总存在多个脆弱性可能导致多个中等以上风险等级安全事件发生的资产，从资产角度综合分析被评估信息系统存在的安全风险情况;2)引起较高风险的脆弱性统计:汇总会给被评估信息系统带来中等以上安全风险的脆弱性及其影响的资产及严重程度，分析可能带来的危害后果;3)出现频率较高的脆弱性统计:汇总中等以上脆弱性在资产中的出现频率，从而反映脆弱性在被评估系统中的普遍程度，出现频率越高，整改获取的收益越好。4)按层面划分的风险点分布情况汇总:汇总网络、主机、应用、数据、物理、管理等各层面存在的脆弱性及其严重程度，对比分析风险在不同层面的分布情况。
5结语
关键词：信息安全；需求；分析
中图分类号：TP309.2文献标识码：A 文章编号：1009-3044(2008)36-2844-02
The Requirement of Information Security the Analysis for An Enterprise of Fujian
CHEN Rong-sheng, GUO Yong, ZHAN Gui-bao, ZENG Zhong-cheng, LU Teng-zu, LI Zhuang-xiang
(Fujian Xindong Network Technology Co., Ltd. Fuzhou 350003,China)
Abstract: For information on the degree of rising-to-business information security threats are increasing, according to the standards of information security framework for an enterprise's information security status of the analysis, come to conclusions, and the enterprise in the information security requirement.
Key words: information security; requirement; analysis
1 引言
随着信息化程度的不断提高和互联网应用的不断发展，新的信息安全风险也随之不断暴露出来。原先由单个计算机安全事故引起的损害可能传播到其他系统和主机，引起大范围的瘫痪和损失。根据CNCERT 统计报告指出，2007年接受网络安全事件报告同比2006年增长近3倍，目前我国大陆地区约1500多万个IP 地址被植入木马程序，位居全球第二位（其中福建省占10%，居全国第三位）；有28477个网站被篡改（其中政府网站占16%）；网站仿冒事件占居全球第二位；拒绝服务攻击事件频繁发生。
针对于次，为福建企业制定一个统一、规范的信息安全体系结构是迫在眉睫的。本文根据福建企业特点，参照国内外有的规范和理论体系，制定了企业信息安全需求调研计划，并对调研结果进行分析，为进一步制定信息安全体系结构和具体实施建议奠定坚实基础。整个分析报告按照图1的步骤形成。
2 分析报告指导理论模型框架
2.1 总体指导模型
一个完整的信息安全体系由组织体系、技术体系和管理体系组成，如图2所示。
其中，组织体系是有关信息安全工作部门集合，这些部门负责信息安全技术和管理资源的整合和使用；技术体系则是从技术的角度考察安全，通过综合集成方式而形成的技术集合，技术体系包含内容有安全防护、安全检测、安全审计、应急响应恢复、密码、物理安全、安全机制与安全服务等；管理体系则是根据具体信息系统的环境，而采取管理方法和管理措施的集合，管理体系涉及到的主要内容管理制度、管理规范、教育培训、管理流程等。
2.2 ISO/IEC 15408 标准
图1 分析报告形成流程
图2 信息安全体系结构
图3 GB/T18336 标准要素关系
信息技术安全性评估通用准则ISO15408已被颁布为国家标准GB/T18336，简称通用准则（CC），它是评估信息技术产品和系统安全性的基础准则。该标准提供关于信息资产的安全分析框架，其中安全分析涉及到资产、威胁、脆弱性、安全措施、风险等各个要素，各要素之间相互作用，如图3所示。资产因为其价值而受到威胁，威胁者利用资产的脆弱性构成威胁。安全措施则是对资产进行保护，修补资产的脆弱性，从而可降低资产的风险。
3 分析报告素材获取
作为分析报告，必须要有真实的分析素材才能得出可靠的分析结论。我们在素材获取方法、获取内容、获取对象和最后素材整理上都有具体规范。
3.1 获取方法
在素材获取方法上，采取安全访谈、调查问卷、文档资料收集等3种工作方法来获取信息安全需求。
3.2 获取对象与内容
素材获取对象为两种类型，分别为部门领导和普通员工。其中：部门领导主要侧重于信息安全管理、岗位、流程、资产和培训方面的信息获取；普通员工主要侧重于信息安全岗位责任、操作习惯和安全配置与管理方面的信息获取。
素材获取内容分三个方面：一是管理调研；二是业务；三是的IT技术调研。素材获取内容安排有五种类型，其中：管理类2种，分别为高层管理访谈和中层部门领导访谈；技术类2种，分别为网络安全访谈和主机及数据库信息安全访谈；业务类1种，为业务及应用系统安全访谈。
最后的素材资料整理分为管理和技术两大类资料。
4 目前信息安全现状的分析
4.1 组织现状分析
通过对最后资料的分析看出，目前有一些企业对信息安全的管理还是十分重视的，很多成立了自己的安全小组，安全小组也定义了各个岗位，并明确了职责。安全小组目前的还存在着几点不足的地方：
1）安全小组的人员大部分是兼职工作，安全工作往往和本职工作之间存在的工作上时间冲突问题；2）安全小组的侧重于生产安全，信息安全的工作内容不够突出，信息安全的专业性不够强；3）信息的安全的监督机制有，并有一些安全考核的指标，较难执行，执行力不够；4）信息安全的人事培训管理已经作得比较好，可以增加信息安全方面专家的培训内容，更好的提高每个员工的信息安全意识。
4.2 信息安全管理现状
目前，许多已经有IT支持能力的企业在信息安全管理方面还有以下地方可以完善：对信息安全策略定义可以进一步完善；控制方式比较分散，不够统一；制度上可进一步细化，增强可操作性；在项目的安全管理上还有很多可以完善的地方；增加人力投入，加强安全管控。
4.3 信息安全技术现状
通过对最后技术资料的分析，得知以下信息安全基本情况：
1）主机的安全运行有专门的技术人员支持和维护，建立了比较全面的安全操作规范，具备应对突发事件的能力，能够比较好的保障主机系统工作的连续性和完整性；2）主机系统的安全管理主要涉及到服务器硬件、操作系统、数据库系统、应用服务系统等内容，密钥管理手段不科学，主机系统的日志缺乏定期的安全分析，主机的安全风险依赖于管理者的安全配置，缺少安全管理工具和安全监测措施；3）主机安全人员配备上没有专职的系统安全管理员，一个人需要管理多台主机设备，主要靠人工监视主机系统的运作管理；4）用户安全管理方面，口令管理手段不科学；5）主机漏洞修补方面不及时，已知漏洞不能完全堵上；6）主机系统的安全管理手段主要依赖系统自身提供的安全措施；7）主机系统的日志没有无远程备份日志服务器；8）主机设备类型多，监测和管理手段依靠人工方式，没有自动工具；9）系统人员管理一般从远程管理主机，没有全部采取远程安全措施；10）部门分工按职能划分，未按系统划分。
5 分析结论：信息安全需求
基于以上分析，得出了以下结论，主要分为信息安全整体需求和集体归纳。
5.1 信息安全整体需求
大部分的企业没有建立起完善的信息安全组织、管理团队，技术方面欠缺。从总体上考虑，信息安全管理需要解决以下问题：
1）企业内部的信息安全组织结构的协调一致性；2）技术和管理方法的发展均衡性；3）公司内部的业务发展急迫性与信息安全建设周期性之间的矛盾；4）员工之间对信息安全认知的差异性；5）与第三方机构（供应商、服务商、应用开发商）之间的信息安全管理关系。
5.2 信息安全需求的集体归纳
5.2.1 信息安全组织与管理
根据上述对信息安全组织和管理现状的分析，安全组织与管理总体需求可以归纳为：在组织方面，建立打造一支具有专业水准和过硬本领的信息安全队伍；在管理方面建立相应的信息安全管理措施。
5.2.2 网络安全需求
网络安全，其目标是网络的机密性、可用性、完整性和可控制性，不致因网络设备、网络通信协议、网络管理受到人为和自然因素的危害，而导致网络传输信息丢失、泄露或破坏。集体为：
1）集中统一的网络接入认证、授权、审计安全技术；2）集中统一的网络安全状态监测技术；3）针对通讯网络系统的网络开发安全检查工具集，包括网络安全策略执行检查、网络漏洞扫描、网络渗透测试等；4）能够支持网络的安全综合管理平台，能够支持网络用户安全管理。
5.2.3 主机系统安全需求
主机系统的安全需求归纳如下：
1）诸多主机的集中认证、授权、审计安全管理技术；2）针对主机系统的安全状态监测技术；3）针对主机系统的安全检查工具包；4）能够支持主机的安全综合管理平台。
5.2.4 数据安全需求
数据安全，是指包括数据生成、数据处理、数据传输、数据存储、数据利用、数据销毁等过程的安全。其目标是保证数据的保密性、可用性、完整性、可控制性，确保不因数据操作、操作系统、数据库系统、网络传输、管理等因素受到人为的或自然因素的危害而引起数据丢失、泄露或破坏。具体需求要求如下：
1）需要建立一个支持认证、授权、审计、安全等功能的数据生命周期管理机制；2）需要建立一套数据攻击防范系统，包括非法行为监控、威胁报警、数据垃圾过滤等；3）需要建立一套数据容灾系统，能够提供数据应急响应、防止失窃、损毁和发霉变质。
5.2.5 应用系统安全需求
应用系统安全，是指包括需求调查、系统设计、开发、测试、维护中所涉及到的安全问题。其目标是应用信息系统的保密性、可用性、完整性、可控制性，不致因需求调查、系统设计、开发、测试、维护过程受到人为和自然因素的危害，从而导致应用信息系统数据丢失、泄露或破坏。应用方面的安全需求归纳如下：
1）需要建立一套关于应用系统分类、应用系统安全接口、应用系统操作流程等方面的应用系统管理规范；2）需要建立一套独立的应用系统安全测试环境，满足应用系统上线前能够得到充分的安全测试；3）需要建立一个基于角色认证、授权、审计的授权管理系统，能够支持按员工的工作岗位授权管理，能够支持事后责任追查的法律依据；4）需要建立一个统一集中的应用系统监控管理平台，能够支持检测到异常的操作。
6 结束语
文章通过对福建某企业的信息安全现状进行相关素材获取，依照信息安全体系相关标准对整理后资料进行分析，得出了该企业的信息安全现状的评估结论，并提出了此类企业在信息安全体系建设上的需求分析。本文的结论，对此类企业的信息安全体系建设有一定的参考意义。
参考文献：
[1] 张世永.网络安全原理与应用[M].北京:科学出版社,2003.
[2] Christopher Alberts, Audrey Dorofee. Managing Information Security Risks. Pearson Education, Inc. 2003:10,80~82.
[3] 董良喜,王嘉祯,康广.计算机网络威胁发生可能性评价指标研究[J]. 计算机工程与应用，2004,40(26):143~148.
电力企业信息系统是基于电脑和网络，实现电力制造、管理等信息的收集、存储、分析及传输的综合性的有机系统。［1］信息作为一种重要的企业资源必须要对其进行全面的安全管理，企业信息安全管理是引导和协调组织的关于信息化安全风险的互相协调的活动，即企业管理层对企业相关信息和活动安排进行合理的规划和协调。一直以来，很多人特别是对于信息行业出身的工作人员，都受环境影响而陷入“技术就是一切”的误区中，即人们把企业信息安全的全部希望都寄托在加密技术上，他们认为只要通过加密技术，任何信息安全问题都能够解决。随着网络防火墙技术的诞生，我们又常听到“防火墙是网络安全的有力保障”的论调。经此之后，入侵检测、VPN等更多新的概念及技术纷至沓来，但无论技术怎样变化，终究还是突破不了技术统领信息安全的枷锁。实际上，对企业信息安全技术的选择及应用只是企业信息系统安全化的一部分，它只是实现企业安全运营的一个方法而己。大家之所以产生这样的误区，其原因是多方面的，站在企业安全技术提供商的角度来说，其侧重点在于销售，因此向相关客户输送的大多都是以技术为核心的理念和信息。站在客户角度来说，只有企业的产品才是真实的、有形的，对投资方来说，这是十分重要的。因此，正是对于企业信息系统的错误认识，导致一些极端现象的产生，比如：许多企业的信息化设备使用了防火墙、网络云扫描等技术，但却没有设定出一套以安全策略为核心的合理的安全管理方案，从而造成安全技术及企业的产品生产十分混乱，不能做到技术及相关产品的及时、有效的更新。还有一些电力企业即使设定了一些安全管理措施，却没有使用有效的实施、监督机制来执行，这让安全管理措施徒有其表，名存实亡。经过研究及调查，现阶段我国电力企业信息系统面临的风险主要有：（1）信息系统缺陷。随着信息化的不断发展，电力企业信息系统也一直在不断完善中，目前，我国的电力企业在设计、制造及产品装配中仍存在着许多安全隐患与风险，比如来自软硬件组件的安全隐患等，这些信息系统固有的缺陷对电力企业信息系统的安全造成了严重的威胁。（2）信息系统安全管理不规范。现阶段，我国电力企业对电力信息系统的安全愈来愈重视，很多电力企业都采取了各种风险管理及预防措施，但是由于系统数据备份设备的不完善、数据丢失等信息系统安全管理不规范现象的出现，建立一套完善、合理的电力企业信息系统安全管理体系尤为重要。（3）网络安全意识薄弱。由于电力企业的安全宣传力度不够，相关技术人员的安全意识薄弱而导致的信息系统安全问题时有发生，比如不能及时修补信息系统漏洞及补丁，相关人员不正确的操作、或通过U盘导致重要信息泄露等，处理不好都很有可能造成整个电力系统的不稳定甚至系统瘫痪。（4）恶意人为破坏。随着网络共享度的提高，我国的电力企业信息系统逐渐向开放型及共享型发展，这使得一些不法分子有机可乘，他们为了自己的利益，通过各种手段非法入侵电力企业的信息系统，如植入病毒、窃听、干扰阻断等，这对我国电力企业信息系统的安全构成了极大的威胁。
2电力企业信息系统安全管理研究
信息安全是一个复杂的、不断变化的动态过程，如果电力企业只根据一时需要而忽略了信息安全的动态性，只是主观的来制定一些风险管理措施，就会造成在企业信息管理中顾此失彼，进而导致企业的安全管理水平止步不前甚至有失偏颇。［2］其正确的做法是，电力企业要遵守相关信息安全标准及实践总结，结合企业自身对信息系统安全的实际需求，在进行完善的风险分析及风险管理的基础上，通过一些合理的、可行的安全风险管理措施来使电力企业信息系统一直处于安全状态。除此之外，不断更新的过程是电力企业进行信息安全管理的最基本出发点，该过程还应该是动态的、变化的，即安全措施要随着环境的变化及信息技术的提高而不断改进和完善，坚决拒绝一成不变，这可以将信息系统的风险降到最低。［3］所以说，基于风险的评估及控制角度来说，电力企业信息系统的安全风险与其他领域的风险具有相似性，与此同时，电力系统信息系统安全风险又具有其独特性。将其他领域内的风险控制过程引入电力企业的信息风险管理领域，需要同时考虑到其共性和个性。安全管理主要分为网络级、系统级和应用级3个部分：（1）网络级安全管理。电力企业信息系统的网络级安全管理主要是指解决企业信息系统与网络互联而产生的安全风险问题，其主要从网络防火墙及网络结构两个方面采取安全管理措施。网络防火墙对企业内部网络及外部网络起到安全隔离作用，它可以有效预防潜在的破坏性入侵，同时可以对即将进入企业内部网络的数据进行严格的检测，并对非法、错误的网络信息进行隔离，从而保护电力企业内部网络的安全。对于网络结构，根据电力企业信息系统的实际情况，相关技术人员结合网络结构，设计出一种介于混合型和网状型结构之间的分布式网络结构，该分布式网络系统具有较高的可靠性及容错能力，从而对已有的网络结构进行了优化。（2）系统级安全管理。在企业信息系统风险管理中，系统级安全设计与用户的具体应用具有密切的联系，具体而言，其分为操作系统与数据处理两个方面。在操作系统方面，利用有效的网络安全扫描对信息系统的安全风险进行合理评估，及时分析操作系统已有的漏洞，同时结合信息系统的漏洞自动修补技术，实现定期为相关用户消除网络中的安全隐患。在数据处理方面，企业要善于利用信息系统平台再次对数据库进行数据安全加密，从而将信息系统的数据库风险降到最低。（3）应用级安全管理。应用级安全设计具有直观、具体的特点，它是在设计电力企业的信息系统时，通过技术手段将相应的安全技术加入到信息系统中，从而有效保证系统的安全稳定运行。具体来说，电力企业信息系统的应用系统访问控制是根据访问信息性质的不同，分别进行公开信息和私密信息的传送、存储及管理，从而实现在应用层次上的访问控制；而数字签名技术可以通过对文件签发者、日期等提供准确的不可更改的历史记录，来保证系统所有文件的完整性。因此，我们得知，为了确保电力企业信息系统的安全，要采取合理、有效的管理手段来最大程度地降低风险，即相关人员不仅要从技术层面来进行安全管理的设计，还要从管理层面进行安全管理设置。［4］具体来说可以从以下方面着手：（1）定期对企业系统的技术人员进行安全教育，增强其信息系统的安全意识；（2）保持相关人员特别是管理层的人员稳定，若有人员调离，需及时更换系统密码，避免企业机密泄露；（3）设置合理的电力企业信息系统安全标准及企业制度等。
3结语
【关键词】煤矿企业；计算机网络；管理；安全措施
企业计算机系统是一个分级分散的大型城域性网络，网络管理不是局部性的工作，仅仅依赖于集中式的网管系统也难以对整个网络实施有效管理的。为确保整个网络的通畅，及时定位、快速修复网络故障，一定要对整个网络实行全面管理，掌握整个网络的运行状况。煤矿企业这样的地域宽广、用户量较大的大型计算机网络，进行分布式管理是较好的解决方案，分布式管理系统不但能提高管理效率，保障管理的安全可靠性，也有利于逻辑集中，关于协作关系的分布系统，使全局性的管理工作更明确、简单、实用。
1、网络管理
1.1网管中心的总体建设目标
（1）煤矿企业网管中心一般负责骨干网和核心服务器群的管理，并具备对下级网管中心进行监督指导的技术手段和工具。
（2）二级网管中心的主要职能是确保煤矿企业总部与工作单位的网络畅通和数据的完整接收与上传，并具备对三级网管中心进行监督指导的技术手段和工具，同时在网络管理上发挥承上启下的作用。
通过各级网管中心的分工协作，对整个企业计算机网络的配置、故障、性能、状态实现集中指导下的分级分布式管理。
1.2网络管理系统总体要求
（1）网络管理功能。全网管理中心设在煤矿企业总部网络中心，在二级下属单位设立二级网管中心，进行分布式管理。计算机网络管理软件可以实现对网络的拓扑管理、状态监控、性能管理、故障管理等；支持煤矿企业计算机网络信息系统跨地域的各分支机构局域网内部可能存在的IP地址重叠状况，还具有分布式管理的能力。
（2）服务器监控。在各级网管中心对计算机应用系统的服务器进行监控，主要包括服务器状态、重要的性能参数、进程状态、文件变化等内容，确保服务器的正常运行。在发生问题时，可以及时报警，并按其需要，对不同的管理员采用不同的报警方式，确保在最短时间内查出问题出现的原因。
（3）故障管理。在各级网管中心建立故障管理系统，收集各种管理功能产生的故障事件，并按照事件类型、事件源对事件进行分类显示。
（4）软件分发管理。在各级网管中心对煤矿企业计算机应用系统的服务器进行集中的软件分发管理，管理员在中心完成软件的打包、下发、确认等软件更新管理，以实现快速软件部署。
（5）资源管理。在各级网管中心对计算机应用系统的资源进行统计，主要包括软件、硬件配置信息。资源信息存放在关系数据库中，人员能运用资源管理系统进行资源查询。
（6）远程控制管理。在各级网管中心对各级应用系统的服务器进行远程控制，实现远程技术支持。通过远程控制，中心管理员能够获得远程机器的键盘、鼠标和屏幕，监视或控制其操作，并能与对方通信，远程下发给对方需要的文件，以实现对远程服务器的支持。远程控制管理要在广域网上工作。
（7）存储备份管理。在各级网管中心对主要应用系统的服务器进行数据备份，主要包括重要文件和应用数据，如数据库数据，以确保在发生故障时，能够进行数据恢复。
（8）决策分析管理。在各级网管中心对网络系统的管理信息进行汇总和相关的决策分析，以全面了解网络系统运行的状况，发现隐患，为提高管理水平提供决策信息。
1.3网络管理系统的功能
它主要包含网络配置管理、网络故障管理、网络性能管理、网络安全管理和网络自动化管理等功能。
2、网络安全措施
煤矿企业的信息网络系统在规划、设计和建设开发应用初期，一定要重视网络安全和信息安全，通常需要网络信息安全方面的技术人员及专业公司进行规划设计。煤矿企业网络与信息系统的安全必须解决以下几个问题：物理链路安全问题；网络平台安全问题；系统安全问题；应用安全问题；管理安全问题。
（1）网络和信息安全体系设计原则。即整体安全；有效管理；合理折中；责权分明；综合治理。
（2）网络和信息安全体系结构。此模型由安全服务、协议层次和系统单元三个层面描述，在每个层面上，均包含安全管理的内容。此模型在整体上表现为一个三线立体框架结构。
3、实施措施方法
在煤矿企业信息系统的安全实施中，需要综合使用备份技术（数据镜像、备份线路、备份设备）、VLAN技术、lP地址绑定、ACL技术、负载均衡技术、防火墙技术、NAT技术等构建企业网络安全防范系统。使用VPN技术，实现企业驻外机构和移动用户访问企业Intent资源的数据保密通信，构建企业内部保密通信子网。
（1）网络安全防范。①网络优化；②防火墙设备配置；③安全策略的实施。
（2）网络数据保密。①互联网、ADSL和拨号用户的VPN解决方案。②构建保密通信子网。
（3）入侵检测系统。选用金诺网安入侵检测系统，分别放置在SSN区域、中心交换机的监控目上，重点保护子网所在的VLAN网段。
（4）安全评估系统。在煤矿企业网络系统中，需要配备一套安全评估软件，定期对局域网内的服务器、网络设备、安全设备进行扫描，及时发现网络系统中存在的弱点和漏洞，并采取相应的补救措施。扫描内容主要包括服务器的设置合理与否、防火墙的规则配置状况、路由器的路由表是否能被轻易修改等。此安全评估软件能从不同角度对网络进行扫描，能安装在管理网段的一台机器上，也能安装在笔记本电脑上，从外部网络扫描内部网络。
4、煤矿企业数据中心系统
在煤矿企业信息化中，建立安全、可靠、高效的数据中心系统非常重要。
（1）主机系统。基于系统软件和可靠性等多方面的具体情况，数据中心服务器：一是数据库服务器，二是应用服务器。其中，数据库服务器由于要求高性能和高可靠性可由多台小型机组成集群系统，提供24小时不间断的数据存取服务；应用服务器要按各个应用系统需求不同，分别配置不同性能的PC服务器。
（2）操作系统平台。煤矿企业中心机房小型机使用UNIX操作系统；其他PC服务器-般可采用MS，Windows或LINUX服务器版操作系统，工作站及个人微机可使用几个桌面操作系统。
关键词：信息安全；计算机；安全
我国信息安全发展的大环境目前已日臻完善，成立了全国信息技术标准化技术委员会、国家计算机病毒应急处理协调中心等机构。另外，我国信息安全政策法规、标准制定也已经走入规范化进程。但信息安全是一个征途而不是一个目的地。新的技术，新的业务需求和新的安全威胁不断地改变环境。
由于计算机和国际互联网的飞速普及，中国目前已经成为炙手可热的黑客攻击目标。全球每天约有200万台PC机处于随时可能被攻击的失控状态，而其中有20%的PC机来自中国。据公安部对全国信息网络安全状况和计算机病毒疫情调查显示，我国信息网络安全事件发生比例为62.7%，计算机病毒感染率为85.5％，多次发生网络安全事件的比例为50％，多次感染病毒的比例为66.8％，可见，我国信息安全体系安全性何等脆弱。笔者通过对目前信息安全体系安全现状进行分析并初探解决对策，希望能对信息安全体系的发展有所作用。
一、信息安全存在的几大安全现状和威胁
第一，前期，微软对中国Winxp、office用户反盗版黑屏事件已炒得沸沸扬扬，但反思后可得知：计算机网络系统使用的软、硬件很大一部分是国外产品，我国电脑制造业对许多硬件核心部件的研发、生产能力很弱，关键部件完全处于受制于人的地位。并且对引进的信息技术和设备缺乏保护信息安全所必不可少的有效管理和技术改造。一旦发生重大情况，那些隐藏在电脑芯片和操作软件中的后门就有可能在某种秘密指令下激活，造成国内电脑网络、电信系统瘫痪。
第二，全社会的信息安全意识虽然有所提高，但将其提到实际日程中来的依然很少。国家计算机病毒应急处理协调中心进行的多次安全普查和评估中发现许多公司和企业，甚至敏感单位的计算机网络系统基本处于不设防状态。有的即使其网络系统已由专业的安全服务商为其制定了安全策略，但在一定时间后，由于在网络的使用中发现没有以前的方便，便私自更改安全策略，等一旦遭到攻击已是悔之晚矣。
第三，目前关于网络犯罪的法律还不健全。比如盗窃、删改他人系统信息属于犯罪行为，但仅仅是观看，既不进行破坏，也不谋取私利算不算犯罪？还比如网上有很多BBS，黑客在上边讨论软件漏洞、攻击手段等，这既可以说是技术研究，也可以说是提供攻击工具，这又算不算犯罪呢？国内很多网站在遭到攻击后损失惨重，为保证客户对其的信任，为名誉起见往往并不积极追究黑客的法律责任，这种“姑息养奸”的做法就进一步助长了黑客的嚣张气焰。
第四，信息安全人才培养体系虽已初步形成，但随着信息化进程加快和计算机的广泛应用，电子商务、电子政务和电子金融的发展，对信息安全专门人才的培养提出了更高要求，目前我国信息安全人才培养还远远不能满足需要。
第五，我国信息安全产业水平有待提高。一是安全应用需求不明，产业技术推动性、应用针对性不够，国内安全需求得不到很好满足；二是产品过度集中，低水平重复严重。三是核心技术仍然受到制约，产业化水平较低，产品安全质量令人担忧。
二、解决方案初探：
象火灾防范工作的防消结合一样，合理的信息安全系统需要满足两方面的要求，首先是要把计算机网络安全事件的发生率和损失可能性控制在可以接受的较低范围内，其次是要使信息安全事故可以得到及时处理。
1、信息安全基础设施的必要性
尽管安全产品不是万能的，配置各种安全产品并不能解决安全问题，但计算机网络系统需要一些基础的保护设施。任何安全措施都建立在一定软硬件环境基础下，有很多安全机制是操作系统和网络软件产品本身已经具备的，而也有很多安全功能是需要专门安全产品才能实现的。因此需要根据用户的实际网络环境和应用情况，决定配置那些安全产品。
2、信息安全专业服务的必要性
任何一种安全产品所能提供的服务都是有限的，也是不全面的，要有效发挥操作系统、应用软件和安全产品的安全功能，必须进行全面的检测、合理的配置和适当的优化，才能使整个安全系统良好地运转起来。而实现这些严密的安全措施需要第三方的专业信息安全人员的参与并发挥主要作用。鉴于未来网络威胁的严重性和信息战的可能性，建立主动性的信息安全防御体系已经成为先进国家的研究重点之一，而主动性安全防御体系中最重要的环节是一支专业化的信息安全服务力量。
三、结论：信息安全问题具有动态性，必须统筹兼顾，常抓不懈。
计算机网络系统软硬件和应用情况在不断更新。引入新设备、新软件和新的应用，都会带来新的安全问题。攻击技术每天都在发展，新的攻击机制不断出现，新的攻击机制决定了新病毒和新的黑客攻击手段会对原本已经比较安全的系统造成新的威胁。只有坚持对计算机网络系统进行有计划的，长期进行的评估和审计工作，才能保证最新的技术隐患会被及时识别和解决。如果不结合这些新的技术动态、人员动态和管理动态进行定期的安全性评估，原本搭建好的安全体系将处于不可控的状态。
参考文献：
[1] 徐国芹. 浅议如何建立企业信息安全体系架构[J]. 中国高新技术企业, 2009, (05) .
[2] 陈伟,向丽,刘爽,郭伟,谢明政. 企业信息安全体系架构[J]. 石油地球物理勘探, 2008, (S1) .
关键词：烟草行业;信息安全;安全管理
随着网络技术的日趋成熟，烟草行业的信息安全问题日益凸显，网络非法攻击对烟草行业的发展造成了重大威胁，因此维护烟草行业信息安全管理工作具有重大意义。本文从烟草行业信息安全管理的现状入手，对加强烟草行业信息安全管理，推进信息安全体系建设提出一些可行性建议。
一、烟草行业信息安全管理概述
信息安全是指对网络的硬件、软件以及系统中储存的数据进行一定的保护。避免它们受到恶意的攻击、恶意篡改或者泄露。对于一个网络系统而言，其安全维护系统是非常重要的，信息安全管理是信息安全的关键。随着烟草行业并入经济全球化的格局，我国的烟草行业竞争日益增大。为了使其发展更好，烟草行业开始在制造环节及销售环节引入信息化建设管理。而随着对信息化管理的依赖程度的日益增加，信息安全对整个烟草行业具有决定性的影响。信息安全管理主要包括信息的私密性、保密性、真实性以及完整性。任何一个信息方面的安全漏洞都有可能对烟草行业安全造成灭顶之灾。然而烟草行业的网络拓扑结构复杂，其信息化结构也不完善，因此难以实现对整个行业的集成管理，这为烟草行业的安全造成了巨大威胁。在当前的烟草行业网络系统中，本身存在许多设计的薄弱环节，这将造成一些不法分子通过信息系统的漏洞攻入信息安全系统，从而使得重要的信息数据丢失，并造成整个管理系统瘫痪等问题。这些都对烟草行业的发展埋下了重大隐患。
二、当前烟草行业信息安全管理现状与问题
(一)网络技术设施不完善。近年来，尽管烟草行业已经意识到安全管理的重要性，但是烟草行业的内部网络是极其不完善的，因此信息网络容易遭受攻击。这是由于信息网络过于脆弱时会产生大量的安全漏洞。而且，信息网络管理人员对企业的信息网络安全防范意识过于薄弱，当内部网络的应用程序越来越多时，系统的终端将存在大量安全问题。除此之外，信息网络的操作系统安全问题也值得重视。而且操作系统可以通过建立远程链接进行控制，这也给外部入侵提供了一个缺口，许多黑客就通过建立远程服务终端来窃取企业信息。
(二)缺乏整体防护措施。由于对于信息网络的不够重视以及建立信息网络时间过短，因此缺乏相应的信息网络安全管理意识，管理松散。同时由于过于注重对网络相应硬件设备的维护，缺乏对软件资源的管理意识。甚至没有意识到信息网络安全的重要性，因此造成管理规章制度不够完善，管理力度不够，这些都不利于维护信息网络安全。而且由于不同用户拥有不同的信息网络使用权限，难以实现对整体进行统一管理。除此之外，由于使用人员的不同，造成数据存储较为分散，从而无法将其统一存储在同一服务器内。因此无法对其进行统一的管理，使得信息的泄露风险大大增加。一些人员在工作时，对于传递的数据往往没有加密意识，这也给窃取机密的不法分子提供了攻击的机会。
(三)信息安全管理难以贯彻落实。当前，为了维护烟草行业的健康稳定发展，我国的烟草管理部门颁布了一系列的关于建设烟草行业信息安全管理的制度以及企业的信息安全管理制度。这些制度规划了烟草行业的最佳实践效果蓝图，然而烟草行业现状还远不能达到这些要求。我国当前的行业现状与最佳实践对比图如图1所示。这些制度对于维护烟草行业信息安全是十分有效的。然而从当前的执行力度来看，其效果不容乐观。一些烟草行业的规模较小，缺乏对信息安全的了解，因此往往这些信息安全管理制度流于形式，对于安全信息的存储也极其随意。另外，烟草行业的信息具有一定的流动性。因此对于维护信息安全的管理人员的技术要求较高。但是在大多数的烟草企业中，这一点并没有得到重视，因此操作人员的技术和素质都难以使信息安全得到保证。同时企业管理系统的落后也导致烟草企业的信息化发展难以适应企业发展，因此难以进行信息安全维护。
三、新形势下烟草行业信息安全管理的要点与措施
(一)管理层面。对于信息安全而言，黑客及病毒对其产生的不良后果是巨大的，因此烟草企业必须使用最为安全可靠的防火墙技术，使信息网络隔离开来，减少外来攻击。同时，企业应当根据国家制定的相应规范来制定适用于企业本身的网络安全制度规范，使得信息网络的安全程度和保密程度都大大增强。
(二)重视安全防范的日志功能和审查制度。在大多数烟草企业中，由于缺乏对于信息网络使用的日志记录，对信息网络使用监测不到位，这一方面导致信息网络出现安全事故时，企业难以找到事故发生的原因，从而不能快速解决问题，也难以追回损失的资料;另一方面也造成企业难以找到事故的责任人。因此，在信息网络中，必须做好信息使用的安全记录，同时要对企业中使用网络的人员进行详细的数据库登记，对于每一用户登录或退出网络都进行详细的记载，当发现可疑的登录人员时，应立即采取相应的安全防控措施，以减少企业的损失。
(三)确保终端用户合法操作。在企业中，不同人员对于信息网络的使用权限不同。因此为了统一管理信息网络用户，需要对一些拥有极大权限的账号进行相应的权限分割以及监测。这些用户在登录时必须设置相应的安全措施，例如安全卡和电子证书等。这些用户在登录时，如果发生密码多次输入错误等情况，应立即启动相应安全措施，如限制登录等，从而杜绝超级权限用户泄密。必要时启动相应的审计功能，使网络监控人员了解跟踪所有对系统进行的操作。网络设备系统、服务器系统、数据输入、输出系统、机密数据系统、网络设备间等重要房间都配备有磁卡门，磁卡门上配多个磁卡阅读器，这样必须多个人同时进入房间才可允许进入，进行正常操作。
四、结语
对于烟草行业而言，充分利用网络的优势，同时避免网络带来的威胁是非常必要的。网络安全与烟草行业发展息息相关，因此烟草行业信息的安全防控不可忽视，随着科学技术的发展，烟草行业的安全防控措施也会逐渐增强，这将极大促进烟草行业的稳定发展。
作者:宋朋飞 单位:安徽省烟草公司宿州市公司
参考文献:
［1］杨欣．烟草行业信息安全应对策略探讨［J］．中小企业管理与科技，2013，5
［2］陈宇明．烟草行业信息安全管理的研究与探索［J］．计算机安全，2011，9
关键词 ERP系统 企业 电子系统 管理
一 、ERP在我国企业实施的现状
ERP（Enterprise Resource Planning，企业资源规划）是指建立在信息技术基础上，通过对企业销售、生产、采购、物流等各个环节以及人力资源、生产设备、资金等企业内部资源的有效控制和管理，实现企业内部资源的优化配置，提高企业生产效率和市场响应能力的管理平台。
在20世纪80年代，人们把生产、财务、销售、采购、人力资源等各个信息子系统集成为一个一体化的系统，并成为制造资源计划，MRPⅡ的基本原理就是把企业作为一个有机整体，以生产计划为主线，从整体最优的角度出发，通过运用科学方法对企业各种制造资源和产、供、销、材各个环节进行统一有效的计划、组织和控制，使物流、信息流、资金流流动畅通的动态反馈系统，成为以生产制造为主线，即物流、信息流、资金流为一体的全面制造资源计划。
在MRPⅡ管理模式下，可以有生产活动与财务活动有关的数据，把实物形态的物料流动直接转化为价值形态的资金流动，从而保证了生产与财务数据的事实性和一致性，使财务部门得到及时、准确的资金信息，用于控制成本，参与决策，指导和控制生产经营活动。
由于国外MRPⅡ供应商的热情.媒体的宣传和众人的盲从，MRPⅡ在我国的应用曾经有一个，但终因不具备MRPⅡ生长的环境而平息。
我国ERP真正的运用是20世纪90年代，从90年代中后期开始，为了确立竞争优势，各国企业更加关注进入市场的时间，产品的质量，服务的水平和运营成本的降低，并且为适应市场全球化的要求，组织结构和投资结构也趋向于分布式和扁平化，ERP就是在这种时代背景下面市的，在ERP系统设计中，考虑到仅靠自己企业的资源不可能有效地参与市场竞争，还必须把经营过程中的有关各方，如：供应商、制造工厂、分销网络、客户等纳入一个紧密的供应链中，才能有效的安排企业的产、供销活动。满足企业利用一切市场资源，快速高效地进行生产经营的需求，并准确及时的反映各方的动态信息，监控经营成本和资金流向，以其进一步企业对市场反映的灵活性和财务效率，并在市场上获得竞争优势。
ERP是一种面向企业供应链的整体资源的管理和利用，可对供应链上的所有环节进行有效的管理。从90年代起，全球ERP/MRPⅡ软件产品市场排名最前的一些公司纷纷进入我国市场，国内著名的几家财务公司也联名宣布进军ERP领域在企业中掀起一场ERP热潮。2002年3月7日，国家经贸委和信息产业部联合发出《关于大力推进企业管理信息化的指导意见》，对企业管理信息化提出具体要求“国家重点企业管理信息化的起点要求，步伐要快。到‘十五’末期，大多数国家重点企业要基本实现企业信息化，制造类企业可以应用ERP为主”，“其他国有大中型企业要努力实现比较完善的财务、营销管理信息化”。这一指导意见对ERP的应用起到了推动作用，目前有一千多家企业在应用ERP，客观上达到了利用计算机辅助管理的目的，并在一定程度上促进了企业管理的改进、提高和创新。
但是，从应用效果上看，无论我国政府还是企业，在这方面投入不少，其应用效果令人担忧。在我国ERP实施的成功率不足50%，同西方国家相比存在很大的差距。据美国生产与库存控制协会统计，企业成功应用ERP后，库存下降30%～50%；延期交货减少80%，采购提前期缩短50%，停工待料减少50%，制造成本减少12%，管理水平提高，管理人员减少10%，生产能力提高10%～15%。从这些数据可以看出，ERP的成功应用可以为企业带来很乐观的利益和前景，其在国外应用的也相当成功，已经成为国外企业进行日常工作流程管理和决策支持必不可少的工具。但在我国在应用和实施ERP软件中遇上很多问题。
二、ERP在我国企业实施中存在的问题
ERP在我国实施的成功率低下或者说ERP项目的实施不能达到我国企业期望的目标，主要原因在于：
1.企业管理者和员工的管理思想落后。ERP系统本身蕴涵着先进的管理思想，实施ERP是一项管理系统工程，涉及企业运营的方方面面，且要求对企业的业务流程进行重组，变革现行的管理模式。然而，我国企业由计划经济的时间不长，由于历史的惯性，企业中的一些人员还习惯于计划经济下的传统的管理模式，包括管理方式、组织机构、工作方式等，市场意识不强，难以接受新的管理思想和方式，更不愿意变革。虽然在某种程度上使用了IT，但是并没有辅之以新的管理理念，只是“穿新鞋走老路”，ERP的应用效果不能凸显，甚至阻碍了ERP进一步发展。
管理思想是ERP的灵魂，实施业务流程重组和管理信息化后，企业管理思想和管理模式将发生革命性的质的变化，不能正确认识的管理思想就不可能很好地去实施和应用ERP系统，因此，管理者和员工的管理理念和工作方式必须进行相应调整。
2.ERP环境下信息系统内部控制存在的问题。（1）信息系统非授权访问的风险。对企业信息系统的使用必须经过授权，非授权的访问，将带来对企业重要信息的泄漏或丢失的风险。企业信息系统非授权访问的威胁主要来自于：系统内部和系统外部，如：黑客入侵和病毒攻击，尤其是有意图的、有目的的攻击行为。将给企业带来巨大的伤害，严重威胁企业信息的机密性、完整性和可用性。（2）信息系统管理部门内职责分离的控制风险。职责分离，是企业内部控制的基础控制手段，主要目标是防范内部人员的舞弊行为带给企业的灾难。在ERP的环境下，信息系统不相容的职责分离主要有：系统设计人员和系统操作人员的职责分离，系统维护人员与系统操作人员的职责要分离，系统操作人员、系统设计人员与数据档案管理人员职责要分离，数据库管理员与信息系统管理部门的其他职责要分离。（3）不同信息系统之间信息传递的控制风险。ERP系统需要与原有的生产管理系统、网上电子采购系统以及已停止使用但保留历史数据的用友财务会计系统进行沟通，虽然R/3软件提供了系统外部接口，但是，企业很难直接将它们和ERP系统进行接口连接，进行集成管理。
3.ERP系统中的信息不对称。我国大多数企业信息化基础比较弱，各个信息系统之间相互不匹配、不融合，如销售部门、财务部门、行政部门等部门之间信息系统数据不统一。这主要是由于：（1）基础数据的准确性差。如生产系统运行不规范、生产过程不稳定、企业管理机制和市场环境不完善等，破坏了基础数据的统一性、完整性、和流畅性，最终导致基础数据的准确性下降。（2）物流、资金流和信息流不一致。物流、资金流和信息流不是紧密联系的， 企业内部的信息不一致，许多部门之间的数据不一致，对同一个问题得出的结论不同，甚至完全相反。这些造成企业管理资源的浪费，给企业带来损失。
三、我国ERP应用率低下的解决对策
1.革新管理理念。ERP不仅仅对企业带来的ERP软件，更重要的是给企业带来了先进的管理理念，企业实施ERP过程，也是将ERP的管理理念引入企业的过程。那么ERP的实施必然涉及企业的业务流程、组织机构设置、人员配置等方方面面的配套改革。也必然涉及各方面利益关系的调整，所有这些仅仅依靠企业的某个功能，都没有办法解决，都需要企业关键领导出面对企业业务流程重组和变革以适应ERP的实施给企业带来的先进管理理念，可以说，企业的高层领导，革新理念、积极参与是成功实施ERP的关键。
2.改革ERP环境下信息系统的内部控制。防范ERP信息系统的风险，保证系统的安全，必须采取全面有效的控制措施。（1）建立信息安全管理委员会，完善组织控制。企业可以设立独立的信息安全管理委员会，主要用于指导、协调和评价企业信息系统。实施过程中的安全控制措施，该委员会应该于信息系统的维护和使用部门相独立，负责确认企业管理层的信息安全方针，并在企业组织中指派安全角色。协调企业安全措施的实施。以达到对信息系统的监管和有效的风险防范的作用。该委员会可以和企业审计部门合作，对企业信息系统的是使用和信息安全管理的效果，进行综合评价，促进企业信息系统的改进。（2）加强网络安全管理。为抵制恶意软件的入侵，企业应该实施一系列控制措施来保证网络安全，例如：运行专用的网关软件进行网络监控，采用专用内容过滤技术，组织各种恶意内容的入侵等，并通过对防火墙扫描器入侵检测等系统安全的支撑产品，信息的采集与信息系统的事故报告进行关联分析，以便于更准确的了解信息系统，受到非授权访问或攻击的信息。以及控制措施和控制效果，有利于企业控制重点的调整，加强网络风险的防范。（3）加强员工的信息安全意识。进行信息安全的再交易，企业信息系统的安全管理，离不开人的作用，企业从上至下都建立起信息安全的概念，并由管理层从战略高度出发，根据企业集团的需要和特点，制定一套清晰的信息安全指导方针，并向企业内部各组织，表明管理层对信息安全的支持和承诺。同时对员工信息安全的再教育，培养员工的信息安全意识。使员工在处理业务处理时，能够依据企业的信息安全方针，进行信息安全控制和风险防范。
3.进行ERP与电子商务的整合。一个有效的企业管理信息系统应该具有智能性，具备一定分析和提炼综合分析能力，能提供准确的、及时的、可供决策的信息。实现这一系统功能离不开电子商务。电子商务的实质是企业经营管理的各个环节的信息化过程，电子商务的开展对ERP思想的实质将起到一个桥梁作用。电子商务是建立在ERP的基础之上的应用，ERP是企业实施电子商务的支撑系统，具体关系体现为：基于供应链的兼容性。企业中存在三种流，物流、资金流和信息流。其中信息流不是孤立的，它与物流和资金流紧密联系。反映了物资和资金流动前、中、后的状况。对基于这三种流分别存在的物资供应链，资金供应链和信息供应链。由于电子商务主要涉及采购和销售业务，因此网上采购部和网上销售部成为企业的物流和资金流的一部分。虽然ERP首先使用了供应链管理思想，但供应链并不依赖于ERP而存在。供应链是企业一种客观存在。任何企业应用系统都可以使用供应链管理的思想和方法。
基于客户关系管理的关联性。客户关系管理（CRM）是ERP系统的一个发展方向。面向客户的客户关系管理。不仅仅是将销售过程自动化，而且帮助企业充分利用关键客户和企业数据来优化商业决策过程。CRM赋予客户与企业进行交流的能力。而这种交流是通过电子商务来实现的。电子商务系统的运行为客户和企业之间的交流提供中介。向ERP提高最直接的数据资料。
整合是根据企业发展战略和业务流程合并、撤消或增加一些业务部门。包括水平整合和垂直整合。同时也要求应用软件各模块的合理划分和有机集成。而且还必须有数据库层和操作层来支持。具体的实现途径如下：
（1）功能整合。基于Internet的ERP系统应满足企业及伙伴库存管理与销售管理的基本功能。库存管理包括入库盘点等。销售管理包括发货、发票管理等。
（2）观念和人才整合。整合必须牵动全局，会影响企业现行的管理思想、管理制度和管理方法。更为重要的是，将会引起许多人利益的再分配。因而必然会遇到许多阻力。这就要求最高决策层全力推动转变观念，接受先进的管理理念，要求企业的所有员工必须在思想上有正确的认识，以便于在有机组织中，充分发挥每个员工的主观能动性与全能，提高企业对市场动态变化的响应速度。同时要求，商业管理人员要有计算机知识，IT技术人员要有管理理论和商务知识，这样企业才能对电子商务下的ERP有哪些需求，技术上应该怎么实现，有个清楚的认识。企业如果缺乏复合型人才，便无法有效的实施ERP与电子商务的融合。
电子商务与ERP的无缝整合可以最大限度地提高企业对市场的快速反应能力和满足客户的个性化服务，最终实现以供应链管理为目标，使企业能在激烈的市场竞争中，立于不败之地。
参考文献
[1]诺伯特・韦尔蒂.成功的ERP项目实施.北京：机械工业出版社.2001.
[2]Alexis leon.企业资源规划.北京：清华大学出版社.2001.
[3]杨雄胜.内部控制面临的困境及出路.会计研究，2006.02.
关键词：企业；网络安全；对策
一、企业网络安全的内涵
企业网络安全是指企业网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者恶意的原因而遭受到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断。企业网络安全从其本质上来讲就是企业网络上的信息安全。从广义来说，凡是涉及到企业网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论都是网络安全的研究领域。
二、企业网络安全存在的问题
（一）安全意识淡薄
在企业网络系统中，每一台计算机的安全性都会影响整个系统的安全性能，网络安全与每个用户息息相关。内部员工了解公司的网络结构、数据存放方式和地点甚至掌握业务系统的密码。在具有严格访问权限的系统中，使用弱密码的用户有可能成为安全系统中的缺陷，甚至有些人随意改动系统注册表，使得整个网络安全系统失效。
（二）网络安全体系不健全
当前很多企业尽管采取了一些安全措施，但安全保护措施较为零散，缺乏整体性与系统性，对于企业网络信息安全保护缺乏统一的、明确的指导思想，没有建立一个完善的安全体系，这是引发安全问题的主要源头。
（三）网络黑客攻击
黑客肆意妄为，破坏的手段也越来越多样化。企业的内部资料对于整个企业经营来说相当重要，因为它关系到整个企业的生死存亡。企业存放信息会因网络黑客攻击而造成资料的泄密。
（四）来自企业外部的感染
来自企业外部的计算机病毒具有传播性、破坏性、隐蔽性、潜伏性和可触发性等特点，通过入侵网络系统和设备，对数据进行破坏，使网络瘫痪，不能正常运作。网络蠕虫由于不需要用户干预就能触发，因而其传播速度要远远大于计算机病毒，其对网络性能产生的影响也更为显著和严重。木马是指附着在应用程序中或者单独存在的一些恶意程序，它可以利用网络远程控制安装有服务端程序的主机，实现对主机的控制或者窃取主机上的机密信息。
（五）来自企业网络内部的攻击
企业防护重点是对外，往往忽视对内部防护的重视。利用企业内部计算机对企业局域网络进行攻击，企业局域网络也会受到严重攻击，当前企业内部攻击行为大大加强了企业网络安全的风险。
三、企业网络安全对策的思考
（一）强化信息安全意识
网络安全必须要靠企业全体人员的意识提高才能形成一种好的氛围。每个人在主观上有一种“我要安全”的意识才能不断提高网络的安全水平。要有专职部门负责管理企业网络安全，其它各部门服从专职部门的统一规划，统一部署。树立“网络安全无小事”的理念，落实建立健全各项各项规章制度。要把职责、标准、流程落实到实处，实现网络安全管理精细化。
（二）构建健全的网络安全体系
网络安全体系不是一劳永逸地能够防范任何攻击的完美系统。企业力图建立的是一个网络安全的动态防护体系，是动态加静态的防御，是被动加主动的防御甚至抗击，是管理加技术的完整安全观念，是一个科学、系统、全面的网络安全结构体系。该网络安全体系的设计必须采用多层次、多维度的设计思路，才能有效地保障企业网络的安全。企业网络安全体系的构建目标是使在企业网络中，信息的自由性、秘密性、完整性、共享性等都能得到良好保护的一种状态，在网络传递的信息没有被故意的或偶然的非法授权泄露、更改、破坏或使信息被非法系统辨识、控制，网络信息的保密性、完整性、可用性、可控性得到良好保护的状态。
（三）强化企业办公电脑的安全管理
经常删除垃圾文件，把木马和病毒消灭，以防止黑客攻击。防御黑客失败，可能会导致硬盘上的所有重要数据被破坏甚至删除。用恢复技术对硬盘数据进行恢复，如要恢复的数据涉及一些商业机密，准备新的空白硬盘作为数据恢复后的载体，千万不能将数据恢复到别人的机器上，因为他们既然能恢复您硬盘上的数据，也一定也能恢复暂存在他们的硬盘上的相关数据，恢复数据的过程最好有人全程监控，以避免泄密。及时进行入侵检测，如发现有被攻击的迹象，要迅速根据用户事先定义的动作做出相关反应，检查系统上存在的可能拒绝服务攻击检测系统中是不是被安装了某些窃听的程序，防火墙系统有没有存在配置错误和安全漏洞问题。
（四）加强企业外部网络和内部网络的管理
对企业的外部和内部网络进行相关的控制是必要的，尤其是访问控制，可以根据企业的实际情况和需要设置防火墙，加强必要的防护设施，把安全漏洞控制好。做好防护工作，关掉一些敏感端口和一些不必要的服务，那么一些想要入侵的人就会受到一定的限制，以阻挡外部网络不法分子的侵入，防止偷窃或起着破坏性作用的恶意攻击。同时企业还应在基础的防火墙体系上建立入侵检测系统，利用交换机处所布置的入侵检测系统实时监控企业内网的安全事件，以此为网络管理员的管理工作奠定基础，便于管理员及时针对情况做出反应。针对企业移动办公人员的移动需求，企业还应建立VPN加密系统。为移动办公人员通过互联网络访问企业内网奠定基础。通过科学的网络安全设置以及相应体系的建立提高企业网络安全防护性能。
四、结语
现代企业网络安全建设是现代企业经营与管理中的重要工作之一。网络安全建设关系到企业信息的安全，关系到企业信息化管理工作的开展，关系到企业管理工作的有效传达。通过网络安全建设能够保障企业信息流畅以及企业经营、财务等信息的安全。
参考文献：
[1]陈静.关于企业网络系统安全防护的探讨[J].企业信息化，2009，6
[2]柳叶，魏立国.企业信息化建设中网络安全建设的分析[J].计算机网络资讯，2010，07
购物车(0)
