引论：我们为您整理了13篇企业信息安全服务范文，供您借鉴以丰富您的创作。它们是您写作时的宝贵资源，期望它们能够激发您的创作灵感，让您的文章更具深度。
篇1
参考七层OSI设计,我们设计了五层的智能企业信息安全体系结构。自下向上为安全数据库层、安全应用层、安全服务总线、集成和智能层、信息安全框架。(图1)说明了智能企业信息安全体系结构的结构。
(1)安全数据层。体系结构的底层是整个体系结构的基础层。这是因为安全数据易于被其它应用和服务使用。这一层的数据被分为两个部分:操作数据和分析数据。
(2)安全应用层。应用层包括所有的息安全系统,如防火墙、入侵防御系统、反病毒系统,以及被防护的设备,如网络设备、服务器和桌面环境等。它也包括这些系统上的各种各样的操作系统。
(3)安全服务总线。是基于SOA的信息安全体系结构的中枢。我们在这一层定义SOA服务总线的结构和需要的各种各样的信息安全服务。在面向服务的信息安全体系结构中,我们能够将当前和未来的安全需求定义为安全服务,但这些服务的实现是隐藏的。
(4)集成&智能层。体系结构中数据、过程和应用都是在这一层进行处理实现的,解决一个企业各种业务问题,满足快速变化的环境。集成层具有“应用之间”和“过程之间”进行通信的能力,通过适配器,它还能够与其他企业过程、服务提供者或数据提供者通信。
(5)信息安全辅助设计。这是信息安全对外的接口,主要是由匀衡器、关键风险指示仪以及监控接口。企业智能模型提供各种各样的服务,例如报告、查询、OLAP、数据挖掘和多维分析。规则引擎,作为工作流的一部分,可以结合到BPM模型。因为有了规则引擎,我们能够更加有效地执行信息安全管理和风险控制。PDCA适配器是一个特殊的工具,它利用人工智能能够帮助公司达到信息安全管理中持续提高和自我优化的目标。
1.2特点和优势
本文提出的企业信息安全体系结构具有以下特点。
(1)集成。它也能够将信息安全管理和风险控制联合起来作为一个集成的框架。
(2)可复用。体系结构是比较独立的,适合于企业和小型组织。服务的封装使得可复用,与其他服务联合使用。
(3)面向服务的体系结构。SOA体系机构的采用提供了服务的独立性、自我管理和自我弹性。
(4)集成的数据环境。集成的数据结构使之适合于各种数据库进行对接。
(5)企业智能。这个体系结构将企业智能应用到信息安全管理,信息安全管理主要使用了数据挖掘和模式识别技术。这可以大大减少由于人工误操作引起的损失,增强信息安全管理和风险控制操作。
(6)开放的体系结构。体系结构开放设计,以满足整个企业的安全需求;面向服务的特征使得体系结构式开放的,允许多个接口与外部应用通信。
篇2
1 引言
信息安全技术和管理经过不断的发展和改善，已经能够比较有效地解决一些传统信息安全问题，如信息安全风险管理、访问控制，脆弱性管理、加密解密和灾难恢复等。随着信息越来越成为组织的核心资产，保护信息的安全已不再只是局限于技术和日常管理层面的讨论，信息的安全越来越关系到组织自身发展的安全。一次重大的信息泄露事故就能使企业的市值一落千丈。同时，一套合理的访问控制解决方案能够帮助企业快速推出核心产品（尤其是电子商务）和兼并其他企业。当前信息安全发展呈现出新的趋势和要求：（1）信息安全部门逐渐从成本中心转向价值中心，信息安全的各项活动越来越和企业战略紧密相连；（2）企业内部其他部门越来越多的要求信息安全部门提供清晰、可测量的服务来支持业务的运行。
企业的信息安全部门在不断增强其核心影响力的同时，也承担着随之而来的更多责任和挑战。其一是如何将企业战略转化为信息安全计划，将信息安全融入到组织的业务流程中，并且保持信息安全控制措施与企业战略的一致性和可追溯性；其二是如何使信息安全的价值得到认可并在组织内部最大化；其三是如何满足企业内部各部门有计划或无计划的信息安全服务需求；其四是如何确保以一种系统主动和集中统一的方式来管理业务和遵从性需求，并实现清晰的测量和不断的改进。
当前各企业广泛采用的标准或最佳实践有几种：ISO27001：2005，COBIT4.1，NISTSP800或PCIDSSv2.0等。这些标准各有优点，但也有明显的缺憾，如表1所示（缺憾部分用X表示）。
设计本信息安全架构旨在解决上述问题并建立一种高效机制达到如下目标。
* 将企业战略转化为信息安全计划，确保信息安全的可追溯性、持续一致性和简洁性，以降低成本、减少重复和提高效率。将信息安全融入到组织的业务流程中，建立一致性和可追溯性；建立清晰的信息安全架构和愿景，以减少重复和指导信息安全投入和解决方案的实施。
* 基于客户服务理念，信息安全服务价值得到认可，信息安全靠拢业务部门，为信息安全管理和业务管理建立共同语言。
* 全面管理信息安全，满足目前绝大多数法律法规、标准的最佳实际的要求，并具有灵活的可扩展性，当新需求出现后能够将其平滑的融入到现有架构中。
* 系统和集中统一的方式，使信息安全管理可预测和可测量，并不断的改进。
2 信息安全架构设计
2.1 信息安全架构设计所基于的原则
本信息安全架构的设计遵循四大原则。
1） 业务驱动：所有的信息安全目标应该从业务需求中来，从而保证信息安全管理总是做“正确的事”。
2） 整合、统一的架构：现在有数以十计的信息安全相关的法律法规，标准和最佳实践需要去符合或参考，且其各有不同的要求侧重点和优缺点。因此很有必要将所有相关的信息安全关注点整合到一个统一的架构中，以保证所有要求都被满足，同时避免不要的重复。例如，ISO27001关注全面安全控制和风险管理，PCIDSS侧重支付卡环境中技术控制和策略管理等。
3） 系统化思维：运用系统化思维可以帮助组织解决复杂且动态的问题，适应运营中的各种变化，减轻战略上的不确定性和外部因素的影响。例如，需要整合机构、人员、技术和流程；需要考虑安全、成本和易用性的权衡；需要靠持续改进（Plan-Do-Check-Act）；需要考虑全面防护和纵深防护。
4） 易用性：信息安全架构的最大价值在于被理解和广泛应用于组织的实践当中。因此，信息安全架构必须易于理解并且实际可操作性要强，应避免太过复杂和晦涩。
2.2 信息安全架构实现
2.2.1 信息安全架构-域试图
基于上面的基本原则，本信息安全架构由三个域组成（如图1所示）：治理（Governance）、保障（Assurance）和服务（Services）。
治理（Governance）： 信息安全治理域强调战略一致性，风险管理，资源管理和有效性测量。治理域又包括三个子域：愿景与战略、风险与遵从性管理和测量。各子域主要功能如下所述。
* 愿景与战略： 将遵从性要求，信息安全的发展趋势，行业发展趋势和业务战略转化为信息安全愿景、战略和路线图。
* 风险与遵从性管理： 管理信息安全风险使信息安全风险控制在组织可接受的范围内。
* 测量： 监控和测量整体信息安全的有效性并持续提升信息安全对组织的价值。
保障： 保障域侧重于信息安全的全面与纵深防护措施。保障域包含预防、监测、响应和恢复四个部分。各部分主要功能如下所述。同时保护的对象为不同层面的信息资产：数据层、应用层、IT基础设施层和物理层。
* 预防： 实施信息安全控制措施包括管理措施和技术措施，防止信息安全威胁损害组织的信息安全控态。
* 监测： 部署信息安全监测能力监控正在发生或已经发生的信息安全事态。
* 响应：部署信息安全响应体系迅速、高效的抑制信息安全事件。
* 恢复： 建立组织的可持续性能力，但重要信息系统不可用时，可以在计划的时间内恢复。
服务： 服务域显示了面向客户（内部和外部），协作与知识更新对信息安全实践非常重要。服务域包含三个部分：信息安全服务、知识管理、意识与文化。各部分主要功能如下所述。
* 信息安全服务： 信息安全团队应对待组织内部其他部门和对外部客户一样，基于服务基本协议，提供高质量的信息安全服务。
* 知识管理： 知识是信息安全实践和服务的基石。信息安全知识管理包括获取、维护和利用知识去获取最大的信息安全专业价值。信息安全知识应不仅在信息安全团队内部而且在整个组织被共享。
* 意识与文化： 信息安全意识与文化在组织内部建立一个整体的信息安全氛围。一个好的信息安全意识与文化意味着每个人都每个人都了解信息安全，关心信息安全、在日常工作中关注信息安全。信息安全意识与文化对提升组织整体信息安全成熟度和降低信息安全风险至关重要。
2.2.2 信息安全架构-组件试图
为支撑信息安全架构的三个域，本信息安全架构组件融合了不同标准和最佳实践的精华部分，并自成一体，如图2所示。本架构参考的标准主要有如下一些：ISO27001：2005、PCIDSSv2.0、COBIT4.1、COBIT5.0、ITILv3 以及NIST SP-800系列等。
3 信息安全架构在企业内实际应用效果分析
本信息安全架构已被推广和应用到各个行业中，如保险业、银行业、教育和非盈利性机构等。本文选取一个保险企业的案例来说明本信息安全架构给企业带来的积极变化。
背景：此保险公司有3000名员工，计划在加拿大多伦多（Toronto）上市，因此需要符合加拿大和行业的一些法律法规的要求，如Bill198、PIPEDA、PCIDSS等。同时公司高层决定借鉴信息安全管理的最佳实践标准，如ISO27002、NIST SP800、COBIT、ITIL、 FFIEC和 TOGAF等。因本信息安全架构的特点就是融合各法规、标准和最佳实践的要求，因此不需要做任何大的改动的情况下（降低成本）就能应用到此保险公司中。
经过9个月的实际运行，公司进行了各项测量指标重新评估并与实施本信息安全架构前的指标进行了对比分析。
3.1 平衡计分卡（Balanced Scorecard）[10]测评分析
平衡计分卡是衡量信息安全对企业贡献价值的一种分析工具。平衡计分卡包括四个测量项目：对企业的贡献，对愿景的规划，内部流程的成熟度和面向客户。该保险公司在实施本信息安全架构前后分别进行了两次测评。测评方法是由公司高级管理人员和各部门经理对信息安全部门进行评估，0级表示无成绩，5级表示完美，然后取平均值。2011年7月评估结果显示“企业贡献”为2.2，“愿景规划”为2.5，“内部流程”为2.8，“面向客户”为2.1；2012年7月评估结果显示“企业贡献”为4.1，“愿景规划”为3.9，“内部流程”为3.8，“面向客户”为4.1。如图3所示。测评结果表明实施本信息安全架构后企业高层及各部门对信息安全给企业带来的价值的认可度有较为明显提升。
3.2 总体信息安全成熟度级别分析
本文采取的信息安全总体成熟度的评价是基于ISO27002的控制域和CMMI[11]的评估级别。0级是最低级，5级是最高级。该保险公司在实施本信息安全架构前后分别进行了两次自评估。2011年10月实施本信息安全架构前成熟度水平是介于2.0-3.0之间， 2012年10月实施本信息安全架构后成熟度水平是介于3.0-4.5之间，如图4所示。成熟度级别分析结果表明实施本信息安全架构后整体成熟度有较为明显提升。
3.3 独立审核发现点数量分析
第三方机构独立审核是从专业、客观的角度来衡量整体信息安全控制措施，包括管理、技术和流程。审核发现点的数量越多，表明脆弱点越多，存在的风险越大。该保险公司在实施本信息安全架构前后分别邀请用一个第三方审核机构对其进行了全面审核与评估（依据上市公司的管控要求）。2011年9月审核结果显示有4个高风险项，8个中风险项和13个第风险项；2012年9月审核结果显示无高风险项，且只有2个中风险项和4个第风险项。如图5所示。审核结果表明实施本信息安全架构后整体风险水平有较为明显降低。
3.4 信息安全事件发生数量分析
信息安全事件（特别是1级与2级事件）发生的数量标志着信息安全控制措施的全面性和有效性。信息安全事件数量越少，表明整体控制措施越有效。该保险公司统计了实施本信息安全架构前后发生的信息安全事件数量。2011年1月-10月期间有4个一级安全事件（重大），12个二级安全事件（严重），25个三级安全事件和40个四级安全事件；2012年1月-10月期间有1个一级安全事件（重大），2个二级安全事件（严重），10个三级安全事件和16个四级安全事件。如图6所示。信息安全事件数量分析结果表明实施本信息安全架构后安全控制措施的全面性和有效性有较为明显增强。
3.5 鱼叉式网络钓鱼模拟攻击测试结果分析
模拟钓鱼攻击测试是对企业员工整体信息安全意识水平一种比较客观的考核方式。收到攻击（点击链接）的人数越少，表明整体信息安全水平越高。该保险公司采用ThreatSim的模拟攻击测试平台，在实施本信息安全架构前后分别选取了5个分支机构（共200人）进行了模拟攻击测试。测试的主要方法是注册一个与该保险公司类似的网络域名，然后伪造一份看似从信息安全管理员发出的E-mail，此E-mail的大致内容是说该保险公司于近期对相关系统进行了升级，将会影响到原有的帐户和密码，要求终端用户尽快修改密码。此E-mail包含一个链接到修改密码的伪网页。
2011年5月测试结果显示有47%的员工点击了有害链接，点击有害链接的员工中有18%的人输入了密码，点击有害链接的员工中有68%的人完成了在线培训内容；2012年5月测试结果显示有14%的员工点击了有害链接，点击有害链接的员工中有3%的人输入了密码，点击有害链接的员工中有98%的人完成了在线培训内容。如图7所示。模拟攻击测试分析结果表明实施本信息安全架构后该保险公司员工整体信息安全意识水平有较为明显进步。
3.6 信息安全服务客户满意度调查结果分析
客户满意度调查是从被服务客户的角度来衡量信息安全团队的服务能力，以及给公司带来的实际价值。满意度百分比值越高，表明信息安全团队的能力和服务价值越被认可。该保险公司在实施本信息安全架构前后分别对精算部、个人保险部、商业保险部、索偿部、渠道与销售部做了信息安全服务满意度调查。
2011年8月调查结果显示对服务专业质量的满意度为72%，对服务请求响应速度的满意度为46%，对服务态度的满意度为67%，整体满意度为60%；2012年8月调查结果显示对服务专业质量的满意度为95%，对服务请求响应速度的满意度为85%，对服务态度的满意度为92%，整体满意度为88%；如图7所示。客户满意度分析结果表明实施本信息安全架构后企业各部门对信息安全服务价值的认可度有较为明显提升。
4 结束语
现阶段信息安全管理着重在信息安全的风险控制，随着信息安全管理角色的转变，信息安全需要跟多的与组织战略结合，为组织创造更多的价值，并通过提供信息安全服务使组织内部各部门享受到信息安全给组织带来的价值并认可这些价值。当前被广泛采用的一些标准和最佳实践有其优点，但同时无法满足一些新的挑战。目前缺乏一种高效可执行的信息安全架构来将企业战略转化为信息安全计划、基于客户服务理念使信息安全服务价值最大化以及全面系统化管理信息安全。本文针对上述问题提出的一种面向企业战略和服务的信息安全架构。通过将本信息安全架构应用到实际的企业中，验证了本信息安全架构能够为企业提供更多的价值、增强客户满意度、提升整体安全成熟度和员工信息安全意识水平。
参考文献
[1] International Organization for Standardization， International Electrotechnical Commission. ISO/IEC 27001：2005 Information Technology - Security Techniques - Information Security Management Systems - Requirements. Switzerland： ISO copyright office， 2005.
[2] IT Governance Institute. Control Objectives for Information and related Technology 4.1，USA： IT Governance Institute， 2007.
[3] National Institute of Standards and Technology， U.S. Department of Commerce. NIST Special Publication 800 series.
[4] PCI Security Standards Council LLC. PCI DSS Requirements and Security Assessment Procedures， Version 2.0. 2010.
[5] National Security Agency Information Assurance.
[6] Solutions Technical Directors. Information Assurance Technical Framework （IATF） version3.0. 2010.
[7] IT Governance Institute. Control Objectives for Information and related Technology 5.0，USA： IT Governance Institute， 2012.
[8] Sharon Taylor， Majid Iqbal， Michael Nieves， 等. Information Technology Infrastructure Library ， England： Office of Government Commerce， ITIL Press Office， 2007.
[9] Federal Financial Institutions Examination Council. IT Examination Handbook， information security Booklet. USA： FFIEC， 2006
[10] The Open Group's Architecture Forum. The Open Group Architecture Framework version 9.1， 2012.
[11] Howard Rohm. Using the Balanced Scorecard to Align Your Organization. Balanced Scorecard Institute， a Strategy Management Group company， 2008.
[12] Software Engineering Institute， Carnegie Mellon University. Capability Maturity Model Integration （CMMI） Version 1.3. USA： Carnegie Mellon University， 2010.
[13] STRATUM SECURITY. Proactive Phishing Defense. 2012.
篇3
1 当前企业信息化建设中的信息安全问题
1.1 信息安全管理问题
目前企业的信息安全管理上存在的问题，首先，信息管理人员缺乏或者人员经验不足：计算机信息安全很大程度上取决于管理人才，调查显示，我国七成IT企业信息安全系统保障不足，主要原因是管理人员没有及时更新系统补丁程序、没有及时维护系统。企业信息安全是上不断完善的动态过程，需要不断对现有系统进行安全检查、评估，及时发现新的问题，跟踪最新安全技术，及时调整安全策略，增强企业信息安全性。其次，在企业的信息化建设中信息安全管理系统不完善，信息安全管理系统，如果没有一个很好的保障体系，会使得信息的管理错乱，无秩序，重复管理、漏管等现象发生，使得信息系统出现漏洞，安全性降低。最后，安全以人为本，如果管理不善，人为原因，造成的操作失误，误用或滥用关键、敏感数据或资源等导致信息丢失泄露，外部人员和硬件的商家等对于企业的系统有一定的了解，有权限合法访问，这也会造成信息的安全问题。
1.2 信息化建设中的硬件问题
近年来，由于信息化发展较快，企业信息化建设的成本也在不断提高，由于信息化建设投资大、回报慢，一些企业虽然有信息化建设的意愿，但是在实际投入上比较小，这就使得企业信息化建设过程中，企业的硬件设施跟不上时代的不发，导致企业信息化建设止步不前，计算机硬件设施的老化，对企业信息化建设过程中的安全问题存在这一定的隐患，而且，计算机的硬件决定着信息化建设的稳定性。另外在链路传输、网络设备（路由器、交换机、防火墙、通讯线路故障）等以及物量的一些不可抗力造成的地震、水灾、火灾等环境事故使系统毁灰。
1.3 信息化建设中的软件问题
（1）国内的软件水平与世界先进水平还存在较大的差距，更容易受到黑客和病毒的攻击。这样就会造成使用这些软件的企业信息化建设中存在信息安全问题。
（2）配置中存在的问题，很多的系统和应用软件在初装后会使用默认的用户名和口令以及开放的端口，而这些都容易造成信息的泄露。
（3）Web服务中的安全问题，www体系的主要特点是开放、共享、交互，这使得信息安全问题增加，安全漏洞多样，如果服务器的保密信息被窃取，信息系统就会受到攻击，获取Web主机信息，使机器暂时不能使用，使机器暂时不能使用，服务器和客户端之间的信息被监听等。
（4）路由器信息的不安全行为，路由器简单的密码或共享密码、安全功能没有设置会导致信息的泄露。
2 企业信息化建设中信息安全的对策
信息安全是企业信息化建设中的重要问题，只有保证信息的安全才能使企业在信息化建设中走得更远。企业在信息化建设进行信息安全的建设，主要可以从强化信息安全观念、加强硬件建设安全防护、提升软件建设安全措施三个方面进行。
2.1 强化信息安全观念
在企业信息化建设中，一旦企业信息被盗取或丢失，对企业肯定会造成损失甚至是致命的打击。要从企业的基层员工到管理者都要正确认识信息安全的重要性，强化信息安全的观念，提高信息安全意识，从思想上认识提高信息安全的必要性。
2.2 加强硬件建设安全防护
加强企业信息化建设过程中的硬件建设安全，首先要保证计算机的安全。企业的信息化建设离不开计算机，要保证计算机的安全就要对计算机进行定期的维护与保养，避免计算机在运行过程中出现突发性故障而导致企业信息的丢失。
另外，企业的信息化建设中，要加强网络硬件的建设。目前，市场上应用比较广泛的企业网络协议就是TCP/IP协议，硬件组成有服务器、通信设备、网络安全设备，主要应用技术是网络交换、网络管理、WEB数据库技术、防火墙等技术，同时还有支持网络运行的支撑系统，整个硬件建设安全、稳定、可靠。
2.3 提升软件建设安全措施
要解决企业信息化建设过程中的信息安全问题还需要加强企业信息系统的软件安全防御措施，要采用高性能的安全软件对系统进行防护，使用防护软件要使其发挥其价值所在，不要因小失大。目前，大多数企业的软件防护措施不到位，主要原因就在于软件防护措施不到位，例如企业在公共区域设置无密码的无线路由器，等于是向所有人公开企业的信息，安全无法保证。因此，企业在信息化建设过程中有必要采取高性能的安全防护软件来保证信息的安全。
3 小结
企业在信息化建O过程中的信息安全问题，有着很广泛的内容，企业信息化建设中信息安全的监控、维护等涉及的面比较广。在信息安全问题上主要应该以防护为主，从良好的管理开始，将信息安全风险扼杀在摇篮中，形成安全保障体系。信息时代，企业的信息化建设是企业发展和提高竞争力的基础，我国的企业信息系统长期处于不安全状态，没有足够认识到企业信息安全的重要性，希望通过本文的探索和论述，能够引起企业的关注，加强信息安全的防护。
参考文献
[1]艾戬.企业信息化建设中的信息安全探究[J].网络安全技术与应用，2015（03）.
[2]辛玉红.企业信息化建设中的信息安全问题[J].现代情报，2004（11）.
[3]马良.企业信息化建设中的信息安全问题[J].才智，2014（01）.
[4]张耀辉.关于企业信息化建设中的信息安全探讨[J].电子技术与软件工程，2013（14）.
篇4
新时期下，信息化技术在各行业中运用日渐深入，给企业现代化建设与快速发展带来了无限动力。企业信息化建设已成为我国经济信息化建设能否成功的关键所在，也是提升企业自身市场竞争力与企业升级进步的重要保证和标志[1]。但是，企业信息化建设过程中不可避免的出现信息安全问题，给企业正常生产经营带来诸多不利影响。因此，加强企业信息化建设中信息安全管理，已成为现代企业经营管理的一个至关重要的工作。
1企业信息化概述
所谓的企业信息化，指的是实现企业的资金流、物流、作业流、信息流的数字化、网络化管理，实行企业运行的自动化和企业制度的现代化[2]。企业信息化建设涉及了企业生产经营中的各个部门，其主要利用现代化信息技术，通过完善企业内外网络信息系统，实现对企业内外知识与信息资源的开发。可见，建设企业信息化体系，不但可以及时有效的提供各种数据信息给企业决策层，也为企业未来规划设计提供参考依据，而且还有利于企业满足瞬息万变的市场需求，为企业市场核心竞争力的提升带来动力。
2当前企业信息化建设中信息安全问题
企业信息化建设与发展为企业持续、健康、稳定发展发挥了显著作用，但同时也存在着诸多信息安全问题，具体分析主要有以下几方面[3]：（1）当前，绝大多数企业缺乏完善的安全防御系统，导致企业内部使用的信息系统易遭受外部网络系统的攻击，引发企业信息资料被他人截获、篡改与伪造等问题，甚至企业信息系统中出现通信线路、硬盘设施以及其他文件系统遭恶意破坏现象，上述问题的发生不但致使企业信息系统无法正常运行，而且其内部机密信息易发生泄漏，造成企业严重的社会经济损失。（2）针对邮件系统攻击防不甚防。在企业信息系统中电子邮件具有重要的作用，通过电子邮件接收与传送，极大的方便了企业内部间与外部间信息交流与沟通。然而，电子邮件安全问题也日益突出，典型的如电子邮件病毒、垃圾邮件、机密信息泄露以及电子邮件炸弹等，给企业信息传输带来了巨大安全隐患。因此，电子邮件安全问题不可忽视。（3）漏洞攻击日益严重。按照漏洞问题发生原因可分为软件漏洞和协议漏洞两种，其中软件漏洞主要是受外部不法分子攻击软件自身存在的漏洞，造成企业信息泄露等问题；而协议漏洞则主要是由于TCP/IP协议自身在安全机制方面存在的诸多漏洞问题导致，外部不法人员通过攻击TCP/IP协议漏洞，致使企业信息系统遭受破坏。目前情况，很多企业对自身信息系统缺乏成熟的漏洞检测手段和能力，往往事发后才采取补救措施。（4）是Web服务安全问题突出，根据Web服务流程，其发生安全问题的主要组成包括Web服务端安全问题、浏览器客户端安全问题两种。其中，Web服务端安全问题主要是企业Web主机遭受外部不法分子侵入，导致企业保密信息遭窃或者企业部分信息遭受非法篡改等；浏览器客户端安全问题则是企业浏览器客户端遭外部非法分子侵入，致使部分机密信息与数据遭窃等。
3导致企业信息化建设中信息安全问题因素
企业信息化建设中信息安全问题发生受诸多因素影响，具体分析主要有以下几方面[4]：（1）目前，绝大多数企业在信息化建设过程中，对于信息安全问题重视度严重不足。一方面，受传统经营观念影响，企业管理层偏重于对企业生产经营中的有形资产给予关注与重视，而忽略了企业知识与信息资料等无形资源，导致在企业信息安全管理方面各项投入严重不足，进而造成信息安全问题日益凸显；另一方面，多数企业在面对信息安全问题时，存在着盲目乐观现象，认为信息安全问题不至于导致企业正常生产经营，使得信息安全管理无法上升至企业发展规划战略之中，进而造成信息安全问题得不到及时有效解决。（2）由于企业信息化建设在我国尚处于起步阶段，各方面配套管理制度不够完善，特别是缺乏健全的企业信息安全管理体制。受此影响，企业信息化建设中信息安全问题一方面无法得到有效的预防措施，另一方面是一旦发生信息安全问题，无法采取及时有效的补救与解决对策。同时，由于缺乏科学、合理、有效的企业信息安全防护策略，使得企业信息管理人员缺乏必要的安全防护意识与业务素质能力，致使企业信息安全防护软硬件工作质量与效率明显不足。上述两个因素，导致企业无论是从人员配置，还是资金与技术投入方面都严重不足，受企业信息管理人员业务素质能力不足、信息安全技术方法落后以及配套的资金缺乏等影响，企业信息安全防护的措施、手段偏低，造成企业信息化建设存在着严重安全隐患。
4提升企业信息化建设中信息安全对策
针对当前企业信息化建设中存在的信息安全问题，为加强企业信息安全管理，提升企业信息安全保障，可通过采取以下几方面对策，具体有[5]：（1）转变传统企业信息化建设观念，在企业内部管理层从上至下加强对企业信息安全的重视，并树立正确的安全意识。一方面，通过组织各种信息安全管理培训等，增强全体企业员工信息安全意识，确保企业保密信息不外漏；另一方面，逐步加大企业信息化建设中信息安全管理各项资金、技术、人力投入，并建立科学、合理、有效的企业信息安全防护策略，保障企业信息系统安全稳定。（2）不断的推进网络信息技术的发展与运用，促进企业组织结构网络化的实现，同时引进先进的安全防护技术，确保企业信息化系统安全稳定运行。任何网络信息系统都存在着或大或小的安全漏洞问题，而保证其不受外部不法分子侵入的一个关键方法就是安全防护技术的运用。通过选用先进的安全防护技术，可以有效的提高企业信息系统抵抗外来攻击，避免企业信息遭受窃取、篡改甚至破坏等，对于保障企业持续、健康、稳定发展具有显著作用。（3）结合企业信息化建设实际情况，建立健全企业内部信息系统管理体制。一方面，针对信息安全问题，应建立科学、合理、规范的信息安全管理体制，保证企业信息系统安全运行；另一方面，建立健全企业安全风险评估机制，针对不同系统找出影响其安全的因素和漏洞，并制定出最佳的对策，降低企业信息安全风险；此外，加强相应的网络管理，防止外来不法分子通过网络侵入企业信息系统。（4）根据新时期企业信息化建设需要，加强企业信息技术人才、信息管理人才队伍建设，为企业信息安全管理奠定坚实的人才基础。一方面，在企业内部，加强信息技术人才培训，提高企业内部相关人才业务素质能力；另一方面，在企业外部，采取有效措施，积极招聘人才，引进具有先进信息技术型人才；此外，建立健全企业信息安全管理用人机制，激发员工工作积极性，提高工作质量与效率。
5小结
总而言之，企业信息安全事关企业信息化建设是否成功，对于企业持续、健康、稳定发展具有至关重要的作用。因此，应提高企业信息安全管理意识，增强企业信息安全管理机制，促进企业信息安全管理工作质量与效率，保障企业信息化建设顺利开展。
参考文献
[1]毛志勇.企业信息化建设的信息安全形势与对策研究[J].科技与产业，2008，8，（1）：43~45.
[2]纂振法，徐福缘.浅析企业信息化建设的意义、问题与对策[J].吉林省经济管理干部学院学报，2001，3：24~28.
[3]谢志宏.企业信息化建设中的信息安全问题研究[J].企业导报，2014（06）：132~133.
篇5
供水企业信息集成系统；等级保护；信息安全
供水行业对国计民生很重要的一个行业，供水企业的业务性质要求以信息的整体化为基本立足点，集中管理所有涉及运营的相关数据，针对供水企业运行的特殊要求，进行集中的规划和架构，将不同专业的应用系统进行整合，最终形成完整的供水企业综合信息平台。[1]而集成系统中最重要的一个要求就是信息安全。
随着大数据时代的到来，网格、分布式计算、云计算、物联网等新技术相继推出，对供水企业信息集成与应用也提出了更高的要求。而随着应用的扩展，应用中存在着大量的安全隐患，网络黑客、木马、病毒和人为的破坏等将大量的安全威胁带给信息系统。根据美国Radicati公司于2015年3月的调查报告，截至2014年12月，网络攻击已经为全球计算机网络安全造成高达上万亿美元的损失。而且随着网络应用的规模进一步上升，计算机网络信息安全威胁造成的损失正在呈几何级数增长。根据2015年的中国网络安全分析报告，2014年报告的网络安全攻击事件比2013年增加了100多倍。2014年，搜狗由于网络黑客攻击导致搜索服务在全国各地都出现了长达25分钟无法使用。2014年7月，某域名服务商的域名解析服务器发生了网络黑客的集中式攻击，造成在其公司注册的13%的网站无法访问，时间长达17个小时，经济损失不可估量。因此，从信息安全的角度，要对供水企业信息集成系统进行防护，降低信息安全事故的发生的概率，降低其危害，是本文需要研究的内容。
1当前供水企业信息集成系统安全防护的现状和存在的问题
伴随着科技的不断发展，供水企业的信息化建设也得到了很大的发展，主要是从深度和广度两个层面做进一步拓展。典型的供水企业信息集成系统涵盖了生产调度系统、销售系统、管网信息系统、财务管理系统、人事管理系统、办公自动化系统等子系统。其中多个系统数据需要接受外部访问，存在大量的安全隐患。目前，威胁到供水企业信息安全的风险因素主要分为三个大类：1）人为原因，如恶意的黑客攻击、不怀好意的内部人员造成的信息外泄、操作中出现低级错误等。2）数据存储位置位置的风险。可能由自然灾害引发的问题，缺乏数据备份和恢复能力。3）不断增长的数据交互放大了数据丢失或泄漏的风险。包括未知的安全漏洞、软件版本、安全实践和代码更改等。
2有关分级防护的要求
尤其是供水企业信息集成系统中，存在大量涉及公民个人隐私的信息，也存在像生产调度这样涉及国计民生的信息。因此，需要按照国家有关信息安全的法律法规，明确企业的信息安全责任。提升供水企业信息管理区内的业务系统信息安全防护。依据《信息安全等级保护管理办法》（公通字[2007]43号）第十四条，信息系统建设完成后，运营、使用单位或者其主管部门应当选择符合本办法规定条件的测评机构，依据《信息系统安全等级保护测评要求》等技术标准，定期对信息系统安全等级状况开展等级测评。定级标准按照国家标准《信息系统安全等级保护定级指南》（GB/T22240—2008）实施，根据等级保护相关管理文件，信息系统的安全保护等级分为以下五级：第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。
第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。等级保护对象受到破坏后对客体造成侵害的程度归结为以下三种：1）造成一般损害；2）造成严重损害；3）造成特别严重损害。
3分别防护实施步骤
根据有关法律法规，建设完成并投入使用的信息系统，其有关使用此系统的单位需要对其系统的等级状况做定期的测评。供水企业要遵照要求选择具有资质的测评机构来对管理信息区的业务系统做等级保护的测评工作。其所得到的结果如下表1所示：通常情况下，供水企业信息系统中不会出现第四级和第五级的系统。根据测评结果，有必要对供水企业内部的局域网进行系统化整改。具体的整改内容包括两项主要内容：细化各业务系统服务器的物理位置；按照需求设置信息安全区域。根据供水企业信息集成系统的具体实际，主要有等级包括三个业务区域，以及一个公共业务区和测评业务区。按照上述原则对供水企业信息集成系统服务器做物理划分如图1所示。不同等级的系统服务器针对不同级别的信息安全区进行设置。等级为一、二、三的业务区分别安装着对应的服务器，而公共业务区域的服务器主要是DNS服务器或者是域服务器。公共业务区服务器主要为基础服务提供非业务系统服务，不需要进行保护分级。测评业务区提供是投入正式使用前的测试服务器。
依据表1的测评结果，将安全区域进行细化表2所示的就是企业管理信息区，其主要业务系统对安全区域存放问题的展示。根据表2得到的结果，可以将信息安全设备存放在不同信息区域边界内，以此达到服务器分级防护目的。信息安全设备设置在信息安全区域边界，也就是局域网与信息安全区域之间的连接部。信息安全设备主要是防火墙、查杀病毒、攻击防护、服务防护禁止、授权等。对于不同区域边界的信息安全的部署建议，供水企业要遵照各自的实际情况做周密的设置。供水企业管理信息安全区域边界防护表见表3。将信息安全防护设备部署在所在的区域边界内，如此可以初步实现对供水企业管理信息区的信息安全防护。
4结束语
随着大数据的发展，对供水企业信息集成系统在数据的交互和应用方面会提出更高的要求，也大大加强了安全防护措施的重要性和迫切性。在安全防护措施基本到位的前提下，还需要加强信息审计，及时发现和补救系统缺陷，加强数据库安全防护，维护管理系统的隐患。
参考文献：
篇6
目前企业的信息安全管理上存在的问题，首先，信息管理人员缺乏或者人员经验不足：计算机信息安全很大程度上取决于管理人才，调查显示，我国七成IT企业信息安全系统保障不足，主要原因是管理人员没有及时更新系统补丁程序、没有及时维护系统。企业信息安全是上不断完善的动态过程，需要不断对现有系统进行安全检查、评估，及时发现新的问题，跟踪最新安全技术，及时调整安全策略，增强企业信息安全性。其次，在企业的信息化建设中信息安全管理系统不完善，信息安全管理系统，如果没有一个很好的保障体系，会使得信息的管理错乱，无秩序，重复管理、漏管等现象发生，使得信息系统出现漏洞，安全性降低。最后，安全以人为本，如果管理不善，人为原因，造成的操作失误，误用或滥用关键、敏感数据或资源等导致信息丢失泄露，外部人员和硬件的商家等对于企业的系统有一定的了解，有权限合法访问，这也会造成信息的安全问题。
1.2信息化建设中的硬件问题
近年来，由于信息化发展较快，企业信息化建设的成本也在不断提高，由于信息化建设投资大、回报慢，一些企业虽然有信息化建设的意愿，但是在实际投入上比较小，这就使得企业信息化建设过程中，企业的硬件设施跟不上时代的不发，导致企业信息化建设止步不前，计算机硬件设施的老化，对企业信息化建设过程中的安全问题存在这一定的隐患，而且，计算机的硬件决定着信息化建设的稳定性。另外在链路传输、网络设备（路由器、交换机、防火墙、通讯线路故障）等以及物量的一些不可抗力造成的地震、水灾、火灾等环境事故使系统毁灰。
1.3信息化建设中的软件问题
（1）国内的软件水平与世界先进水平还存在较大的差距，更容易受到黑客和病毒的攻击。这样就会造成使用这些软件的企业信息化建设中存在信息安全问题。
（2）配置中存在的问题，很多的系统和应用软件在初装后会使用默认的用户名和口令以及开放的端口，而这些都容易造成信息的泄露。
（3）Web服务中的安全问题，www体系的主要特点是开放、共享、交互，这使得信息安全问题增加，安全漏洞多样，如果服务器的保密信息被窃取，信息系统就会受到攻击，获取Web主机信息，使机器暂时不能使用，使机器暂时不能使用，服务器和客户端之间的信息被监听等。
（4）路由器信息的不安全行为，路由器简单的密码或共享密码、安全功能没有设置会导致信息的泄露。
2企业信息化建设中信息安全的对策
信息安全是企业信息化建设中的重要问题，只有保证信息的安全才能使企业在信息化建设中走得更远。企业在信息化建设进行信息安全的建设，主要可以从强化信息安全观念、加强硬件建设安全防护、提升软件建设安全措施三个方面进行。
2.1强化信息安全观念
在企业信息化建设中，一旦企业信息被盗取或丢失，对企业肯定会造成损失甚至是致命的打击。要从企业的基层员工到管理者都要正确认识信息安全的重要性，强化信息安全的观念，提高信息安全意识，从思想上认识提高信息安全的必要性。
2.2加强硬件建设安全防护
加强企业信息化建设过程中的硬件建设安全，首先要保证计算机的安全。企业的信息化建设离不开计算机，要保证计算机的安全就要对计算机进行定期的维护与保养，避免计算机在运行过程中出现突发性故障而导致企业信息的丢失。
另外，企业的信息化建设中，要加强网络硬件的建设。目前，市场上应用比较广泛的企业网络协议就是TCP/IP协议，硬件组成有服务器、通信设备、网络安全设备，主要应用技术是网络交换、网络管理、WEB数据库技术、防火墙等技术，同时还有支持网络运行的支撑系统，整个硬件建设安全、稳定、可靠。
2.3提升软件建设安全措施
要解决企业信息化建设过程中的信息安全问题还需要加强企业信息系统的软件安全防御措施，要采用高性能的安全软件对系统进行防护，使用防护软件要使其发挥其价值所在，不要因小失大。目前，大多数企业的软件防护措施不到位，主要原因就在于软件防护措施不到位，例如企业在公共区域设置无密码的无线路由器，等于是向所有人公开企业的信息，安全无法保证。因此，企业在信息化建设过程中有必要采取高性能的安全防护软件来保证信息的安全。
篇7
随着市场经济的不断发展，企业竞争越来越激烈，国际化合作不断增多，随之而来的企业信息安全是目前我国企业普遍存在的问题。对企业来说，信息安全是一项艰巨的工作，关系到企业的发展。近年来，围绕企业信息安全问题的话题不断，企业信息安全事件也频频发生，如何保证企业信息的安全，保证信息系统的正常运转，已经成为信息安全领域研究的新热点。
1 企业信息安全的意义
信息安全是一个含义广泛的名词，是指防止信息财产被故意的或偶然的非授权泄露、更改、破坏，或防止信息被非法辨识、控制，即确保信息的保密性、可用性、完整性和可控性。企业的正常运转，离不开信息资源的支撑。企业信息安全建设对企业的发展意义重大。
首先，信息安全是时展的需要。计算机网络时代的发展，改变了传统的商务运作模式，改变了企业的生产方式和思想观念，极大推动了企业文化的发展。企业信息安全的建设将使得企业的管理水平与国际先进水平接轨，从而成长为企业向国际化发展与合作的有力支撑。
其次，信息安全是企业发展的需要。企业的信息化建设带来了生产效率提高、成本降低、业务拓展等诸多好处。当前越来越多的企业信息和数据，都是以电子文档的形式存在，对企业来说，信息安全是使企业信息不受威胁和侵害的保证，是企业发展的基本保障，所以，在积极防御，综合防范的方针指导下，有效地防范和规避风险，建立起一套切实可行的长效防范机制，逐步建立起信息安全保障体系，有利于企业的发展。
最后，信息安全是企业稳定的必要前提。信息安全成为保障和促进企业稳定和信息化发展的重点，要充分认识信息安全工作的紧迫感和长期性，从企业的安全、经济发展、企业稳定和保护企业利益的角度来思考问题，扎扎实实地做好基础性工作和基础设施建设，在建立信息安全保障体系的过程中，必须搞好链接信息安全保障体系建设安全、建设健康的网络环境，关注信息战略，保障和促进信息化的健康发展。
2 企业信息安全的现状
我国企业信息安全包括计算机系统的硬、软件及系统中的数据受到保护，不受偶然的或恶意的原因而遭到破坏、更改、泄露，使得系统连续、可靠、正常的运行，网络服务不中断。计算机和网络技术具有复杂性和多样性，使得企业信息安全成为一个需要持续更新和提高的领域。就目前来看，主要存在以下三个方面的隐患。
2.1 企业缺少信息安全管理制度
企业信息安全是一个比较新的领域，目前还缺少比较完善的法规，现有的法规，由于相关安全技术和手段还没有成熟和标准化，法规也不能很好地被执行，安全标准和规范的缺少，导致无从制定合理的安全策略并确保此策略能被有效执行。企业的信息系统安全问题是一个系统工程，涉及到计算机技术和网络技术以及管理等方方面面，同时，随着信息系统的延伸和新兴技术集成应用升级换代，它又是一个不断发展的动态过程。因此对企业信息系统运行风险和安全需求应进行同期化的管理，不断制定和调整安全策略，只有这样，才能在享受企业信息系统便利高效的同时，把握住信息系统安全的大门。
2.2 员工缺少安全管理的责任心
一个企业的信息系统是企业全体人员参与的，不考虑全员参与的信息安全方案，恰恰忽视信息安全中最关键的因素――人，因为他们才是企业信息系统的提供者和使用者，他们是影响信息安全系统能否达到预期要求的决定因素。在众多的攻击行为和事件中，发生最多的安全事件是信息泄露事件。攻击者主要来自企业内部，而不是来自企业外部的黑客等攻击者，安全事件造成最大的经济损失主要是内部人员有意或无意的信息泄露事件。针对内部员工的泄密行为，目前还没有成熟的、全面的解决，对于来自企业信息内部信息泄密的安全问题，一直是整个信息安全保障体系的难点和弱点所在。
2.3 信息系统缺乏信息安全技术
计算机信息安全技术是一门由密码应用技术、信息安全技术、数据灾难与数据恢复技术、操作系统维护技术、局域网组网与维护技术、数据库应用技术等组成的计算机综合应用学科。由于认识能力和技术发展的局限性，在硬件和软件设计过程中，难免留下技术缺陷，网络硬件、软件系统多数依靠进口，由此可造成企业信息安全的隐患，现在黑客的攻击并不是为了破坏底层系统，而是为了入侵应用，窃取数据，带有明显的商业目的，许多黑客就是通过计算机操作系统的漏洞和后门程序进入企业信息系统。随着网络应用要求的越来越多，针对应用的攻击也越来越多，除了在管理制度上确保信息安全外，还要在技术上确保信息安全。
3 企业信息安全中存在的问题
信息时代的到来，从根本上改变了企业经营形式，企业实施信息化为其带来便利的同时也产生了巨大的信息安全风险。由于我国企业信息安全工作还处于起步阶段，基础薄弱，导致信息安全存在一些亟待解决的问题。比较常见的问题有病毒危害、“黑客”攻击和网络攻击等，这些问题给企业造成直接的经济损失，成为企业信息安全的最大威胁，使企业信息安全存在着风险因素。
3.1 病毒危害
计算机病毒是指编制或者在计算机程序中插入的破坏计算机功能或者数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码，它是具有破坏作用的程序或指令集合。计算机病毒已经泛滥成灾，几乎无孔不入，据统计，计算机病毒的种类已经超过4万多种，而且还在以每年40%的速度在递增，随着Internet技术的发展，病毒在企业信息系统中传播的速度越来越快，其破坏性也越来越来越强。
3.2 “黑客”攻击
“黑客”是英文Hacker的谐音，黑客是利用技术手段进入其权限以外的计算机系统的人。黑客破解或破坏某个程序、系统及网络安全，或者破解某系统或网络以提醒该系统所有者的系统安全漏洞的过程。通常采用后门程序、信息炸弹、拒绝服务、网络监听、密码破解等手段侵入计算机系统，盗窃系统保密信息，进行信息破坏或占用系统资源，黑客攻击已经成为近年来经常出现的问题。
3.3 网络攻击
网络攻击就是对网络安全威胁的具体表现，利用网络存在的漏洞和安全缺陷对系统和资源进行的攻击。尤其是在最近几年里，网络攻击技术和攻击工具有了新的发展趋势，使借助Internet运行业务的企业面临着前所未有的风险。由此可知，企业的信息安全问题、以及对信息的安全管理都是至关重要的。要保证企业信息安全，就必须找出存在信息安全问题的根源，并具有良好的安全管理策略。
4 企业信息安全的解决方案
为确保企业信息安全，要坚持积极防御，综合防范的方针，全面提高信息安全防护能力。因此，面对企业信息安全的现状和企业信息安全发展中出现的问题，必须实施对企业的信息安全管理，建设信息安全管理体系，只有建立完善的安全管理制度，将信息安全管理自始至终贯彻落实于信息管理系统的方方面面，企业信息安全才能得以实现。企业信息安全的解决方案，具体表现在以下三个方面：
4.1 建立完善的安全管理体系
完整的企业信息系统安全管理体系首先要建立完善的组织体系，完成制定并信息安全管理规范和建立信息安全管理组织等工作，保障信息安全措施的落实以及信息安全体系自身的不断完善。并建立一套信息安全规范，详细说明各种信息安全策略。一个详细的信息安全规划可以减轻对于人的因素带来的信息安全问题。最基本的企业安全管理过程包括：采用科学的企业信息资产评估和风险分析模型法、设计完备的信息系统动态安全模型、建立科学的可实施的安全策略，采取规范的安全防范措施、选用可靠稳定的安全产品等。安全防范体系的建立不是一劳永逸的，企业网络信息自身的情况不断变化，新的安全问题不断涌现，必须根据暴露出的一些问题，进行更新，保证网络安全防范体系的良性发展，
4.2 提高企业员工的安全意识
科技以人为本，在信息安全方面也是靠人来维护企业的利益，我们在企业信息网络巩固正面防护的时候不能忽视对人的行为规范和绩效管理。企业员工信息安全意识的高低是一个企业信息安全体系是否能够最终成功实施的决定性因素。企业应当制定企业人员信息安全行为规范，必须有专门管理人才，才能有效地实现企业安全、可靠、稳定运行，保证企业信息安全。教育培训是培训信息安全人才的重要手段，企业可以对所有相关人员进行经常性的安全培训，强化技术人员对信息安全的重视，提升使用人员的安全观念，有针对性的开展安全意识宣传教育，逐步提高员工的安全意识，强调人的作用，使他们明确企业各级组织和人员的安全权限和责任，使他们的行为符合整个安全策略的要求。
4.3 不断优化企业信息安全技术
企业一旦制定了一套详细的安全规划来武装自己，保护其智力资产，它就开始投入到选择采用正确信息安全技术上。可供企业选择的防止信息安全漏洞的安全技术有很多。当企业选择采用何种技术时，首先了解信息安全的三个领域是十分有帮助的，这三个领域变得：验证与授权、预防和抵制、检测和响应。其中，用户验证是确认用户身份的一种方法，一旦系统确认了用户身份，那么它就可以决定该用户的访问权限，比如使用用户名和密码。预防和抵抗技术是指企业阻止入侵者访问。对于任何企业，必须对那些故障做好准备和预测，目前可以帮助预防和建设抵抗攻击的技术主要有内容过滤、加密和防火墙，在选用防火墙的时候，需要对所安装的防火墙做一些攻击测试。此外，企业信息安全的最后一道屏障是探测和反应技术，最常见的探测和反应技术是杀毒软件。
5 结语
总之，企业信息安全是一项复杂的系统工程，企业要适应现代化发展的需要，要提高自身信息安全意识，加强对信息安全风险防范意识的认识，重视安全策略的施行及安全教育，必须做到管理和技术并重，安全技术必须结合安全措施，并加强信息安全立法和执法的力度，建立备份和恢复机制， 为企业设计适合实际情况的安全解决方案，制定正确和采取适当的安全策略和安全机制，保证企业安全体系处于应有的健康状态。
参考文献：
[1]张帆，企业信息安全威胁分析与安全策略[J].网络安全技术与应用，2007（5）.
[2]谌晓欢，企业信息安全问题及解决方案[J].企业技术开发，2008（8）.
[3]付沙，企业信息安全策略的研究与探讨[J].商场现代化，2007（26）.
篇8
1、 引言
随着信息化建设的发展，信息安全越来越多的受到人们的重视，企业信息安全重点面临的问题主要表现在[1]：1）网络受到外部的恶意攻击，部分单位无终端接入控制措施，使企业的正常业务无法开展或相关重要数据被盗取；2）网站受到黑客攻击，由于部分掌握网络技术的不法人员查询到破解网站所存在的漏洞，加以利用并篡改网站信息及获取网站管理权限，使得网站陷入瘫痪；3）信息的监管不利产生不良的影响，通常情况下信息没有主管部门负责审核导致监管不到位，那么不良信息就可能由于工作人员的疏忽而上传到网站上，造成不良影响；4）计算机病毒的危害，相关系统不及时更新补丁和升级，受到病毒入侵并加以利用，篡改应用系统信息或获取管理权限，使得应用系统丢失重要信息。
当前，有关信息系统的安全评价虽然存在着多种多样的具体实践方式，但在目前还没有形成系统化和形式化的评价理论和方法。评价模型基本是基于灰色理论（Gray Theory）或者模糊（Fuzzy）数学，而评价方法基本上用层次分析法AHP[2]（Analytic Hierarchy Process）或模糊层次分析法Fuzzy AHP[3]将定性因素与定量参数结合，建立了安全评价体系，并运用隶属函数和隶属度确定待评对象的安全状况。上述各种安全评估思想都是从信息系统安全的某一个方面出发，如技术、管理、过程、人员等，着重于评估网络系统安全某一方面的实践规范。在操作上主观随意性较强，其评估过程主要依靠测试者的技术水平和对网络系统的了解程度，缺乏统一的、系统化的安全评估框架，很多评估准则和指标没有与被评价对象的实际运行情况和信息安全保障的效果结合起来。
大型企业信息安全管理体系的研究，就是为了寻找一个科学、合理的管理体系，并根据该体系和方法对大型企业的信息安全状况和水平进行评价，对信息安全管理绩效进行考核。
2、 大型企业信息安全管理体系的内涵
通过管理体系的应用，将对大型企业信息安全产生非常重要的作用。一是可以对企业信息安全的水平做出客观的反应，认识企业信息安全存在的不足之处，发挥考评体系的指导作用，引导企业“信息安全”工作健康科学发展；二是可以为企业信息安全的建设指明方向，为信息安全的发展提供有力支撑；三是可以帮助企业管理者建立起一套科学的信息安全管理系统，有效控制信息化活动的进程，提高信息安全级别，减少因信息安全事件引起的损失，有利于正确引导和规范企业的信息化建设，指导企业科学发展具有重要的意义。
3、 大型企业信息安全管理体系的主要做法
为了大型企业信息安全管理体系的建立，提出了管理体系的目标：对于信息安全方面出现的问题，达到防范目的；对于信息安全工作进行查漏补缺，加强管理；通过评估体系的考核，落实相关信息安全文件、推进信息安全工作，为企业信息安全的建设指明方向，同时注重管理体系整体的时效性，根据信息安全发展的不同阶段进行及时更新。
1） 建立大型企业信息安全体系
信息安全体系总体设计。信息安全体系设计共分为三级，包含9个一级指标，14个二级指标，27个三级指标。一级指标和二级指标为共性指标，三级指标为数据采集项。一级指标包括：网络安全管理、环境安全管理、应用系统安全管理、数据安全管理、终端安全管理、操作安全管理、网络信息安全、移动信息化安全、服务器扫描情况。一级和二级指标结构图如下：
2）信息安全考评指标的权重设计
指标权重理论思路。具体权重根据德尔菲法[4]、层次分析法，结合政策导向确定。
管理体系的指标权重确定方法设计过程中，选取两组技术、管理等方面的专家，其中一组专家根据各指标在企业信息化中的重要程度，确定各指标的相对重要性，采用层次分析法确定各指标的权重。另外一组专家根据各指标在企业信息化中的重要程度，对各指标按百分制进行赋值，确定各指标的权重。综合两组专家的意见，初步确定各指标的权重，再组织专家研讨会，最终确定各指标的权重。
企业信息安全考评指标总分计算方法：
I=Σ（Pi*Wi） （1）
I表示指标体系的总得分；Pi表示第i个指标的得分，各指标得满分都是100分；Wi表示第i个指标的权重，所有指标权重的和为100%。
3）建设大型企业信息化评价管理系统
为了实施信息安全措施体系，以信息安全体系、信息安全文件和考评制度为基础，研发包括信息安全在内的大型企业信息化评价管理系统。通过使用该系统，将减轻信息化管理部门的负担，填报和汇总数据的效率显著提高，最为突出的是以上报数据为基础，可以自动、实时地形成各种统计、分析图表，从而完成以往需要信息化管理人员几天才能完成的大量统计工作，大大减轻了信息化管理部门的工作强度，增加了信息化管理部门对新情况快速反应能力。
系统整体架构由数据库层、框架服务层、应用逻辑层、界面表现层组成，系统部署了tomcat下运行的I@Report和BI@Report作为框架服务层，并在此基础上开发了业务系统。
系统主要实现了如下功能：
编码同步、基层权限管理、评价初始化、基层初评、数据提交、部门权限管理（含单位、指标项）、管理部门复评、信息稽核、数据计算、统计管理、查询管理、决策模型。
建立统一的数据报送平台，提高企业信息整合水平。
建立在线交流及公告平台。
系统根据建立的数学模型进行综合分析，可自动、实时地形成各种统计分析图表、报告等，例如：信息化评级、信息化水平评测报告。
4、 结束语
通过大型企业信息安全管理体系的实施，使企业信息化水平评估体系更加完善，在考评信息化建设水平的同时，又对信息安全水平等级有所提升。
参考文献
[1] 周学广，刘艺.信息安全学[M].北京：机械工业出版社，2003.
篇9
二是数据安全风险。数据安全风险包括竞争性业务的经营和管理数据泄漏，数据被人为恶意篡改或破坏等。
三是网络安全风险。网络安全风险包括病毒造成网络瘫痪与拥塞、内部或外部人为恶意破坏造成网络设备瘫痪、来自互联网黑客的入侵威胁等。
二、保证企业信息安全的基本对策
2.1正确认识企业信息安全问题。
企业的信息安全问题，绝不仅仅是一个仅靠防火墙、密码等等技术就能解决的问题，它还与人们的职业道德、社会道德以及企业管理等问题密切相关。因此，在维护企业信息安全时，我们必须站在宏观的角度对问题进行考虑。在过去看来，一个企业信息的安全问题，是领导层或者IT单个部门的事情，但是凭少数人或部门的工作，对于保障公司的信息不被泄漏，防护信息存储不被破坏、攻击和偷盗是很难的事。笔者认为，意识指导行动，信息安全问题首先要解决的是员工的思想认识问题，只有企业的每一个人都认识到信息安全的重要性，才能在工作中自觉地维护信息安全。因为在任何一个体系中，人都是最活跃、最具有影响力和决定意义的因素，因此对于企业的信息安全问题而言，企业内部员工才是保护信息安全的最可靠、最有效的重大保障。此外，还可以加强引进信息安全技术人才以及信息安全管理人才，并在日常工作中，加强对队伍专业知识以及工作技能的培训，从而为企业建设一支强有力的信息安全保卫队伍。其次信息管理部门要全面作好专业技术支持与防范工作，根据业务的需求采取适当的保护措施，实施专业应用系统。例如，保护企业信息安全的技术可以采用主动反击、网络入侵陷阱、密码、取证、防火墙、安全服务、防病毒、可信服务、PKI服务、身份识别、备份恢复、网络隔离等等保护产品以及保护技术，通过确保信息安全的最大化，来实现企业生产经营持续发展以及经济效益的最大化。此外，还可以在工作的过程中，进一步优化企业信息安全管理，并进行管理监控以及安全风险评估，分析入侵防范、服务器架构等等关键问题，以全面性、多角度的掌控，确保企业信息系统的安全性、稳定性，因为信息安全问题不具有静态性，信息管理始终处在一个不停变动的动态性过程，因此即使我们不可能确保信息的绝对安全，也必须做到相对安全，从而最大限度的降低企业风险。
2.2建立健全信息安全管理制度。
信息安全不仅是技术问题，更主要是管理问题。任何技术措施只能起到增强信息安全防范能力的作用，俗话说“三分技术，七分管理”，只有良好的管理工作才能使保障技术措施得到充分发挥，是能否对信息网络实施有效信息安全保障的关键。现在中国石油股份有限公司内控体系中涉及信息内部控制的《信息系统总体控制办法》（以下简称“GCC”）就很好的涵盖了信息安全的各个方面，包括了机房管理、服务器管理、网络管理和系统管理等。因此在实际的工作中，我们可以通过“三步骤”来实现企业信息的安全管理制度的健全化、完善化。第一，结合企业自身的实际，分析企业存在的问题以及预期的目标，制定具有科学性、合理性、实效性、可行性的信息安全管理制度，使保护信息安全工作做到有法可依，有章可循。第二，建立信息安全管理机构，明晰信息安全管理负责人的职务和责任，并建立相应的考核机制和激励机制，以督促、鼓励相关负责人的工作，提高信息管理工作质量。第三，真正贯彻管理措施，加强制度的执行力度，只有这样，才能从根本上实现管理工作以及工作目标，最终提高企业的信息安全管理水平。
三、加强企业信息安全保障的几点措施
如何有效地解决企业信息安全的专业性管理与技术性防范，笔者认为可从以下几个方面着手。
3.1实行严格的网络管理。企业网与互联网的物理隔离、防火墙设置以及端口限制，与互联网相比安全性较高，但在日常运行管理中我们仍然面临网络链路维护、违规使用网络事件等问题，具体而言：一是在IP资源管理方面，采用IP+MAC捆绑的技术手段防止用户随意更改IP地址和随意更换交换机上的端口。这样，就不会出现IP地址被盗用而不能正常使用网络的情况；二是在网络流量监测方面，使用网络监测软件查看数据、视频、语音等各种应用的利用带宽，防止频繁进行大文件的传输，甚至发现病毒的转移及传播方向。三是加强服务器管理。常见应用服务器安装的操作系统多为WindowsServer，可利用其自带的安全管理功能进行设置，包括服务器安全审核、组策略实施、服务器的备份策略以及系统补丁更新等。
3.2加强客户端监管。对大多数单位的网管来说，客户端的管理都是他们最头痛的问题。只有得力的措施才能解决这个问题，这里推荐以下方法：
（1）将客户端都加入到域中，使客户端强制性纳入管理员集中管理的范围。
（2）只给用户以普通域用户的身份登录到域，这样就可以限制他们在本地计算机上安装有安全隐患软件的权利。
（3）实现客户端操作系统补丁程序的自动安装。
（4）利用企业IT部门的工作职能，设置热线帮助和技术支持人员，统一管理局域网内各客户端问题。
篇10
信息就是财富，安全才有价值。企业信息安全决定企业存亡，是市场竞争的利器。企业信息安全涉及到多个方面，如信息网络的硬件、软件及其系统中的数据等。安全防护包括四个方面，如实体安全，是指物理安全，包括环境、设备和介质等企业硬件设施的安全；运行安全，是为保证计算机网络信息系统连续不断地运行所应采取的一系列安全措施，包括风险分析、检测、监控与审计跟踪、应急计划和应急措施、计算机病毒检测与预防等；信息安全，是指对企业信息系统中以各种形式存在的信息提供有效的保护，保证信息的准确性，使其不会因为企业内部或外部的原因而遭到泄露、破坏、删除或篡改；管理安全，主要是指在实现信息安全管理的整个过程中，人应该做什么，如何做，主要是对人的管理。通常把实体安全看作是企业信息安全的基础，把运行安全看作是对企业信息安全强有力的支持，对信息本身的保护则是信息安全的核心和最终目标，而管理安全则是贯穿整个信息安全工作的生命线。
2 企业信息安全问题分析
今天，信息已成为企业的重要资源之一，随着计算机技术应用的普及，各个组织机构的运行越来越依赖和离不开计算机，各种业务的运行架构于现代化的网络环境中。企业信息系统作为信息化程度高、与外界联络广泛的一个特殊系统，其业务也同样越来越依赖于计算机网络，企业信息安全随之面临严峻的考验。
2009年以来，我国对发生网络安全事件的调查得出以下数据：从可能的攻击来源来看，来自外部的攻击约占40.2%，来自内部的攻击约占6.6%，内外均有的攻击约占24.8%，还有28.3%的攻击来历不明。[1]可见，过半的攻击来自企业外部，企业信息安全建设重点应放在外部攻击的防御上，同时也应加强企业内部信息安全管理以及对其他因素进行控制。
威胁企业信息安全的外部因素很多，包括黑客攻击、病毒传播、技术缺陷及突发事件如停电、自然灾害等不可抗因素。
在常见的内部安全威胁中，一些是由工作人员不慎造成的，如安全配置不当造成安全漏洞，以及员工某些不经意行为对企业信息资产造成破坏而引起安全问题；另一些信息安全问题是由于被授权人员为了某种利益，将企业信息泄露给非授权人或企业争竞对手。
造成企业内部信息安全问题的因素，主要包括：员工缺乏安全意识，企业管理人员对信息安全的认知和管理决策水平不高；缺乏一套完善的安全管理制度，更缺乏对安全制度执行的严格管理；缺乏既懂技术又精通信息安全的专业人才，也缺乏合适的信息安全防护设施；企业对信息安全领域的资金和人员投入不够。
3 企业信息安全问题的防范
3.1 技术防范
2009年公安部的调查结果显示，在网络安全产品的使用上，防火墙约占30.8%，防病毒约占28.5%，入侵检测和漏洞扫描约占18.2%，信息内容和垃圾邮件约占9.2%，安全审计约占7.4%，其他约占6.0%。综合运用这些手段，防范效果更佳。
(1) 防火墙技术
防火墙技术是通过对网络拓扑结构和服务类型上的隔离来加强网络安全的一种手段。它所保护的对象是网络中有明确闭合边界的一个网块，而它所防范的对象是来自被保护网块外部的安全威胁。目前，防火墙产品主要有如下几种：
包过滤防火墙：通常安装在路由器上，根据网络管理员设定的访问控制清单对流经防火墙信息包的IP源地址、IP目标地址、封装协议(如TCP/IP等)和端口号等进行筛选。
服务器防火墙：包过滤技术可以通过对IP地址的封锁来禁止未经授权者的访问。服务器通常由服务端程序和客户端程序两部分构成，客户端程序与中间节点(Proxy Server)连接，这样，从外部网络就只能看到服务器而看不到任何的内部资源。
状态监视防火墙：通过检测模块(一个能够在网关上执行网络安全策略的软件引擎)对相关数据的监测后，从中抽取部分数据(即状态信息)，并将其动态地保存起来作为以后制定安全决策的参考。采用状态监视器技术后，当用户的访问到达网关操作系统之前，状态监视器要对访问请求抽取有关数据结合网络配置和安全规定进行分析，以做出接纳、拒绝鉴定或给该通信加密等的决定。一旦某个访问违反了上述安全规定，安全报警器就会拒绝该访问，并向系统管理器报告网络状态。
(2) 病毒防范技术
计算机病毒实际上是一种在计算机系统运行过程中能够实现传染和侵害计算机系统的功能程序。互联网已经得到广泛应用的今天，一个新型的病毒能通过网络迅速传遍世界。为有效保护企业的信息资源，要求杀毒软件能支持所有企业可能用到的互联网协议及邮件系统，能适应并及时跟上瞬息万变的时代步伐。
(3) 加密型技术
以数据加密为基础的网络安全系统的特征是：通过对网络数据的可靠加密来保护网络系统中(包括用户数据在内)的所有数据流，从而在不对网络环境作任何特殊要求的前提下，从根本上解决了网络安全的两大要求(即网络服务的可用性和信息的完整性)。加密技术按加密密钥与解密密钥的对称性可分为对称型加密、不对称型加密、不可逆加密。在网络传输中，加密技术是一种效率高而又灵活的安全手段。
(4) 入侵检测技术
篇11
2.1电子信息的加密技术
所谓电子信息的加密技术也就是对于所传送的电子信息能够起到一定的保密作用，也能够使信息、数据的传递变得更加安全和完整。电子信息的加密技术是保障电子科技企业信息安全的重要保证。加密技术也主要分为对称以及非对称两类，对称的加密技术一般都是通过序列密码或是分组机密的方式来实现的。这其中还包括了明文、密钥、加密算法以及解密算法五个基本的组成部分。而非对称加密与对称加密也存在一定的差异，非对称加密必须要具备公开密钥和私有密钥两个密钥，同时，这两种密钥只有配对使用，这样才能解密。因此加密技术对于电子信息的安全具有很大的保障。如果在发送电子信息的时候，发送人是使用加密技术来发送邮件的，那么有人窃取信息的时候，也只能够得到密文，不能得到具体的信息。这样就大大加强了信息传送的安全性。加快推进国内关键行业领域信息系统的安全评估测试。在安全评估方面，主要针对主机安全保密检查与信息监管，采取文件内容检索、恶意代码检查、数据恢复技术、网络漏洞扫描、互联网网站检测、语意分析等技术，评估分析重要信息是否发生泄漏，并找出泄漏的原因和渠道。
2.2防火墙技术
随着网络技术的不断发展，虽然对于信息安全问题已经不断的得到加强，但是一些信息的不安全因素也在逐级的提高。有一些黑客或者是病毒木马也在不断的入侵，而这些不安全的因素会极大的威胁到电子科技企业信息的安全。而针对这种情况，一种比较有效的防护措施就是防火墙技术的使用。这种技术可以有效的防止黑客的入侵以及电脑中的信息被篡改等情况的发生。这样就能够有效的保障电子科技企业信息的安全。加强企业信息基础设施和重要信息系统建设，建设面向企业的信息安全专业服务平台。重点开展等级保护设计咨询、风险评估、安全咨询、安全测评、快速预警响应、第三方资源共享的容灾备份、标准验证等服务；建设企业信息安全数据库，为广大企业提供快速、高效的信息安全咨询、预警、应急处理等服务，实现企业信息安全公共资源的共享共用，提高信息安全保障能力。
3解决电子科技企业信息安全问题的方法
3.1构建电子科技企业信息安全的管理体系
如果要想有效的保障电子科技企业的信息安全，除了要不断的提高安全技术水平，还要建立起一套比较完善的信息安全管理体系。这样才能使整个信息安全工作更加有条不紊的进行。在很多电子科技企业当中，最初所建立的相关信息制度在很大程度上都制约着信息系统的安全性。如果一旦安全管理制度出现了问题，那么一系列的安全技术都无法发挥出来。很多信息安全工作也无法正常进行下去。因此，严格的信息安全管理体系对于信息安全的保障具有十分重要的作用。只有当信息安全管理形成了一个完善的体系，那么信息安全工作才能够更加顺利的进行，同时也能够大大的提升信息安全的系数。
3.2利用电子科技企业自身的网络条件来提供信息安全服务
一般来说，电子科技企业都拥有自己的局域网，很多企业也可以通过局域网来相互连通。因此，电子科技企业应该充分的利用这一特点为自身的企业提供良好地信息安全服务。通过局域网的连通，不仅能够在这个平台上及时的公布一些安全公告以及安全法规，同时还可以进行一些安全软件的下载，为员工提供一些关于信息安全的培训。这样不仅能够为企业之间的员工提供一个安全的互相交流的平台，同时还能够很好的保障企业信息安全。针对企业主机安全保密检查与信息监管，采取文件内容检索、恶意代码检查、数据恢复技术、网络漏洞扫描、互联网网站检测、语意分析等技术，评估分析重要信息是否发生泄漏，并找出泄漏的原因和渠道。
篇12
随着企业的信息化建设，企业信息系统在纵、横向的耦合程度日益加深，系统间的联系也日益紧密，因此企业的信息安全影响着企业信息系统的安全、持续、可靠和稳定运行。此外，美国明尼苏达大学Bush-Kugel的研究报告指出企业在没有信息资料可用的情况下，金融业至多只能运作2天，商业则为3天，工业则为5天。而从经济情况来看，25%的企业由于数据损毁可能随即破产，40%会在两年内破产，而仅有7%不到的企业在5年后继续存活。伴随着监管机构对信息安全日趋严格的要求，企业对信息安全的关注逐渐提高，并对信息安全投入的资源不断增加，从而使得信息安全越来越为公司高级管理层所关注。
2 信息安全问题
目前企业信息安全问题主要包括几个方面。
（1）信息质量底下：无用信息、有害信息或劣质信息渗透到企业信息资源中， 对信息资源的收集、开发和利用造成干扰。
（2）信息泄漏：网络信息泄漏和操作泄漏是目前企业普遍存在的信息安全困扰。网络信息泄漏是信息在获取、存储、使用或传播的时候被其他人非法取得的过程。而操作泄漏则是由于不正当操作或者未经授权的访问、蓄意攻击等行为，从而使企业信息泄漏。
（3）信息破坏：指内部员工或者外部人员制造和传播恶意程序， 破坏计算机内所存储的信息和程序， 甚至破坏计算机硬件。
（4）信息侵权：指对信息产权的侵犯。现代信息技术的发展和应用， 导致了信息载体的变化、信息内容的扩展、信息传递方式的增加， 一方面实现了信息的全球共享， 但同时也带来了知识产权难以解决的纠纷。
3 信息安全治理的困惑
基于信息安全的重要性，企业在信息安全治理方面投入了诸多资源，但是在信息安全治理成效方面仍不尽如人意，主要问题在于几个方面。
（1）信息安全治理的范围不明确：目前企业都在尽力实现良好的信息安全治理，但是由于无法正确理解信息安全治理和信息安全管理的区别，导致了信息安全治理无法与企业的安全规划和企业战略形成一致性。表1从工作内容、执行主体和技术深度三个层面分析了两者的区别。
从表1中可以明确：信息安全治理是为组织机构的信息安全定义一个战略性的框架，指明了具体安全管理工作的目标和权责范围，使信息系统安全专业人员能够准确地按照企业高层管理人员的要求开展工作。
（2）企业信息安全治理路径的错误理解：企业在信息安全治理的过程中，最常用的手法是采用信息安全的技术措施，如使用加密和防伪技术、认证技术、防病毒技术、防火墙技术等方式来进行，但是往往企业投入很多，却没有达到预想的效果，问题在于，信息安全治理并不单单是技术问题，信息安全治理也包含了安全战略、风险管理、绩效评估、层级报告以及职责明确等方面。
4 信息安全治理关注的领域
（1）战略一致性：信息安全治理需与企业的发展战略和业务战略相一致，建立相互协作的解决方案。
（2）价值交付：衡量信息安全治理价值交付的基准是信息安全战略能否按时、按质并在预算内实现预期的价值目标。因此需要设计明确的价值目标，对信息安全治理的交付价值进行评估。
（3）资源管理：实现对支持信息运行的关键资源进行最优化投资和最佳管理。
（4）风险管理：企业管理层应具备足够的风险意识，明确企业风险容忍度，制定风险管理策略，将风险管理融入到企业的日常运营中。
（5）绩效度量：利用科学的管理方法，将信息安全治理转换为可评价的目标的行动，便于对信息安全各项工作的绩效进行有效管理。
5 信息安全治理框架
通过良好的信息安全治理， 可以保护企业的信息资产，避免遭受各种威胁，降低对企业之伤害，确保企业的永续经营，以及提升企业投资回报率及竞争优势。
通过长期的实践经验以及结合COBIT标准和GB/T 22080-2008，总结出信息安全治理的框架主要由四部分组成，如图1所示。
（1）信息安全战略：结合企业的整体信息技术战略规划和信息安全治理现状，制定信息安全战略。
（2）信息安全组织架构：根据企业层面在决策、管理和执行机制对组织结构的要求，建立信息安全治理框架和决策沟通机制，明确公司各级管理层及相关部门在信息安全组织架构中的工作职责与角色定位。
（3）信息安全职责：根据公司信息安全组织架构，进一步明确信息安全相关岗位的工作职责、分工界面和汇报路径等。
（4）信息安全管理制度：信息安全管理制度通过建立一个层次化的制度体系，针对不同的需求方（管理者、执行者、检查者等）从政策、制度、流程、规范和记录等方面进行信息安全活动相关的规定，实现信息安全的功能和管理目标。
6 信息安全治理评估
企业信息安全治理评估有助于提高信息安全治理投资的效益和效果。企业的最高管理层和管理执行层可以使用信息安全治理成熟度模型建立企业的安全治理级别。该模型，如表2所示，被应用为几个方面。
（1）在市场环境中，相对于国际信息安全治理标准、行业最佳实践，以及直接竞争对手，了解企业在信息安全治理上的级别。
（2）进行差距分析，为改进措施提供明确的路径。
（3）了解企业的竞争优势和劣势。
（4）有利于对信息安全治理进行绩效评估。
7 结束语
本文从企业信息安全治理的实践出发，概述了目前企业信息安全治理存在的问题和困惑，总结了企业实现有效的信息治理的关注领域和实施内容，为企业建立良好的信息安全治理提供了基本框架。
参考文献
[1] 马峰辉，刘寿强.企业信息安全治理的经济性探析.计算机安全，2003：70-71.
[2] 娄策群，范昊，王菲.现代信息技术环境中的信息安全问题及其对策.中国图书馆学报，2000（11）：33-37.
[3] 刘金锁，李筱炜，杨维永.企业实现有效的信息安全治理之路.中国管理信息化，2012（11）：37-39.
[4] 黄华军，钱亮，王耀钧.基于异常特征的钓鱼网站URL检测技术[J].信息网络安全，2012，（01）：23-25.
篇13
瑞星企业专属“私有云”为每个企业单独构建，提供专属的云应用和云服务。它主要有两个功能：一，为企业提供了安全应用软件平台，便于企业获取经过瑞星安全认证的各类应用软件，便于管理员分发、管理和监控。二，为每个企业定制专属的安全服务，企业客户端无需存放病毒库，也无需进行复杂杀毒运算，大大降低了对系统资源的占用，同时可进行最快速、最及时、最轻便的病毒扫描和防护。
智能动态资源分配技术优化了杀毒引擎的核心技术，使其变得更加轻便，突破了传统杀毒软件一次性将病毒库加载到内存中，使用高负荷CPU进行运算的方式，并对病毒库进行了细化，同时优化其存储和加载方式，在杀毒时，实现化整为零、按需加载，从而达到降低资源占用的目的，使更多的老旧电脑也可以流畅运行最先进的杀毒软件。
大型企业在遇到安全问题时，最为头疼的是管理员很难在短时间内定位到具体出现问题的电脑，从而使问题变得更加复杂，延迟解决时间。在新一代瑞星网络版杀毒软件中，增加了第二代身份识别标示，对用户标示进行升级，加入了CPU、主板、硬盘串号、Mac地址、微软身份标示等信息，管理员可精确定位每台电脑。
5S服务诠释高端企业安全理念
将“私有云”、智能动态资源分配等领先的技术迅速落地，转化为产品并与专业的企业信息安全服务相结合，这是瑞星一直追求的目标。在瑞星新一代企业级整体解决方案中，用户不仅可享受到“私有云”技术带来的安全成果，而且能够得到国内首家5S专业级企业信息安全服务。
瑞星公司客服中心总经理齐勇表示，在企业信息安全领域，瑞星向企业用户提供了信息安全评估服务、信息安全预警服务、信息安全专家服务、信息安全应急响应服务、信息安全培训服务。
1、信息安全评估服务：信息安全始于评估，作为拥有CSP认证的安全厂商，瑞星将为用户全面评估面临的各种安全风险、提供专业评估报告。
2、信息安全预警服务：可以通过专属手机通道、邮件通报、网站挂马预警、网站漏洞检测等方式，第一时间发出预警信息，为企业提供信息安全服务。
3、信息安全专家服务：通过对口信息安全顾问、专家常驻支持等方式提供技术支持。
