监理公司管理系统 | 工程企业管理系统 | OA系统 | ERP系统 | 造价咨询管理系统 | 工程设计管理系统 | 签约案例 | 购买价格 | 在线试用 | 手机APP | 产品资料
X 关闭
重庆OA信息化

当前位置:工程项目OA系统 > 泛普各地 > 重庆OA系统 > 重庆OA信息化

如何研究建立企业信息系统安全策略

申请免费试用、咨询电话:400-8352-114

文章来源:泛普软件

信息系统的安全问题已经喊了许多年。人们对这个问题的关注度究竟如何?又有多少个单位建立了应有的对策?策略是否合适?带着这个问题,我和一些朋友作了交流,也实地走访了一些单位。结论是:时至今日,仍有不少朋友对此缺乏了解,不仅没有建立安全策略,甚至对如何研究建立这一策略,也是知之不多。

耐人寻味的“安全课”

9月1日,全国中小学生步入校园,开始了新学年的校园生活。新学年有两个新气象,一是安全课开讲。开学伊始,亿万中小学师生和家长一同收看央视播出的《开学第一课》“知识守护生命”节目。节目通过孩子们喜闻乐见的形式,教授学生如何避险、自救和救助他人。开学这天,安全教育成为全国中小学最为关注的话题。二是体育课多了。以北京为例,增加体育课程成为首都中小学新学年的最大亮点。各区县都要求学校把以往“零散”、“非正规”的体育活动“转正”为正式的体育课,列入课程表中,每天都要上一节体育课。在重庆等地,中小学生的体育课的课时也明显增加了。

新学期开办“两课”意义深远。 这次教育不仅是对学生,也是对广大公众的一次珍视生命、规避风险的知识普及。肆虐的冰雪灾害,汶川大地震,接踵而至的自然灾害,给我们带来巨大的生命和财产损失,也提醒我们早作准备,珍视健康、护卫生命。

现实社会存在风险,由信息和信息系统搭建的虚拟社会同样存在风险,我们在规划、建设和应用信息系统的时候,也要具备风险意识,建立安全策略。还要强化日常的抗风险“锻炼”,使信息系统的体魄更加健壮,发挥应有的经济社会效益。

系统风险如影随形

今年8月26日,美国联邦航空局向外界透露,该局一个航班排序中心的电脑系统当天下午因故障而瘫痪,导致全国20多个机场出现航班延误。此前,黑客攻陷美国国家安全部门信息系统,造成损失的报道屡见报端。类似事件在我国也有发生。某银行的信息终端出现问题,客户非法提现,最终招致一场轰动全国的诉讼案件。2006年7月26日,我国某国际机场离港系统突然整体瘫痪,无法给旅客办理登机手续。由此造成数十架次航班延误,数千人滞留机场。统计数据表明,近年来,涉及信息系统的违法犯罪活动在中国不断攀升,黑客的攻击手法更是花样翻新。层出不穷的这类事件和事故,都在向我们昭示,信息系统风险无时无处不在,加强安全防范,构筑安全堤坝已经是刻不容缓。

计算机信息系统面临的几大威胁

计算机信息系统由多种设备、设施构成,因为种种原因,其面临的威胁是多方面的。总体而言,这些威胁可以归结为3大类,一是对信息系统设备的威胁,二是对业务处理过程的威胁,三是对数据的威胁。因为信息系统与人们的现实经济生活关系日益密切,这些威胁,或早或晚、或大或小,都会转化为对人们现实经济生活的威胁。

要加强计算机信息系统的安全防范,就要研究上述威胁,查摆影响系统安全的因素。这些因素有哪些呢?

一是计算机信息系统软硬件的内在缺陷。这些缺陷不仅直接造成系统停摆,还会为一些人为的恶意攻击提供机会。最典型的例子就是微软的操作系统。相当比例的恶意攻击就是利用微软的操作系统缺陷设计和展开的,一些病毒、木马也是盯住其破绽兴风作浪。由此造成的损失实难估量。应用软件的缺陷也可能造成计算机信息系统的故障,降低系统安全性能。

二是恶意攻击。攻击的种类有多种,有的是对硬件设施的干扰或破坏,有的是对数据的攻击,有的是对应用的攻击。前者,有可能导致计算机信息系统的硬件一过性或永久性故障或损坏。对数据的攻击可破坏数据的有效性和完整性,也可能导致敏感数据的泄漏、滥用。对应用的攻击会导致系统运行效率的下降,严重者会会导致应用异常甚至中断。

三是使用不当。如误操作,关键数据采集质量存在缺陷,系统管理员安全配置不当,用户安全意识不强,用户口令选择不慎甚至多个角色共用一个用户口令,等等。因为使用不当导致系统安全性能下降甚至系统异常、停车的事件也有报道。

四是自然灾害。对计算机信息系统安全构成严重威胁的灾害主要有雷电、鼠害、火灾、水灾、地震等各种自然灾害。此外,停电、盗窃、违章施工也对计算机信息系统安全构成现实威胁。

安全策略助力安全

计算机信息系统安全保护工作的任务,就是不断发现、堵塞系统安全漏洞,预防、发现、制止利用或者针对系统进行的不法活动,预防、处置各种安全事件和事故,提高系统安全系数,确保计算机信息系统安全可用。要实现上述任务,需要结合各单位、各项业务及其计算机信息系统实际,研究制订6个方面的安全策略。

•物理安全

旨在保护计算机服务器、数据存贮、系统终端、网络交换等硬件设备免受自然灾害、人为破坏,确保其安全可用。制定物理安全策略,要重点关注存放计算机服务器、数据存贮设备、核心网络交换设备的机房的安全防范。其选址与规划建设要遵循GB 9361 计算机场地安全要求和GB2887 计算机场地技术条件,保证恒温、恒湿,防雷、防水、防火、防鼠、防磁、防静电,加装防盗报警装置,提供良好的接地和供电环境,要为核心设备配置与其功耗相匹配的稳压及UPS不间断电源。

根据计算机信息系统应用需求,要兼顾系统的可靠性和经济性,设计和配备必要的冗余设备。对那些可靠性要求高的系统,可考虑采用服务器主机双机热备、磁盘阵列,甚至配备备用网络,建立异地容灾备份中心。中小企事业单位的一些信息系统,也可考虑以较少的投入,实现冗余设计。笔者就曾在西部某地一个政府部门见到,机房里闲置着一台PC服务器,系统管理员介绍说:这台PC服务器安装了一套信息系统,数据定时更新。当主机出现故障时,他只需简单切换,就可实现系统的恢复,这样也为主机维修提供了时间。

加强计算机硬件设备的日常检查也很必要,可惜,因其相当繁琐,往往容易被人忽视。笔者曾经走访一些单位,发现其机房在新启用时还算整齐、洁净,日子一长,设备和器具摆放、各类线缆走向日趋零乱,因为维护不力,UPS电源等设备成了摆设,甚至蓬头垢面。以这样的管理水平,系统安全实在堪忧。

•网络安全

旨在防范和抵御网络资源可能受到的攻击,保证网络资源不被非法使用和访问,保护网内流转的数据安全。

访问控制是维护网络安全、保护网络资源的重要手段,是网络安全核心策略之一。访问控制包括入网访问控制、网络授权控制、目录级安全控制、属性安全控制、网络服务器安全控制、网络监测和锁定控制、网络端口和节点的安全控制以及防火墙控制。安全检查(身份认证)、内容检查也是保护网络安全的有效措施。

在加强访问控制的同时,可考虑对网络传输的数据进行加密。网络加密手段包括链路加密、端点加密和节点加密,链路加密是保护网络节点之间的链路数据安全,端到端加密是对从源端用户到目的端用户之间传输的数据提供保护,节点加密是对源节点到目的节点之间的传输链路提供保护。数字认证在一定程度上保证了网上交易信息的安全。

•数据安全

旨在防止数据被偶然的或故意的非法泄露、变更、破坏,或是被非法识别和控制,以确保数据完整、保密、可用。数据安全包括数据的存储安全和传输安全两个方面。

数据的存储安全系指数据存放状态下的安全,包括是否会被非法调用等,可借助数据异地容灾备份、密文存储、设置访问权限、身份识别、局部隔离等策略提高安全防范水平。

•软件安全

旨在防止由于软件质量缺陷或安全漏洞使信息系统被非法控制,或使之性能下降、拒绝服务、停机。软件安全策略分为系统软件安全策略和应用软件安全策略两类。

系统软件包括操作系统和数据库软件。当前,主流操作系统软件均存在漏洞,在设计信息系统时,选用相对成熟、稳定和安全的系统软件固然重要,更重要的是保持与其提供商的密切接触,通过其官方网站或合法渠道,密切关注其漏洞及补丁发布情况,争取“第一时间”下载补丁软件,弥补不足。

无论是通用的应用软件,还是量身定做的应用软件,都存在安全风险。对前者,可参照前款作法,通过加强与软件提供商的沟通,及时发现、堵塞安全漏洞。对后者,可考虑优选通过质量控制体系认证、富有行业软件开发和市场推广经验的软件公司,加强软件开发质量控制,加强容错设计,安排较长时间的试运行等策略,以规避风险,提高安全防范水平。

•系统管理

旨在加强计算机信息系统运行管理,提高系统安全性、可靠性。俗话说,“三分建设,七分管理”,要确保系统稳健运行,减少恶意攻击、各类故障带来的负面效应,有必要建立行之有效的系统运行维护机制和相关制度。比如,建立健全中心机房管理制度,信息设备操作使用规程,信息系统维护制度,网络通讯管理制度,应急响应制度,等等。

要根据分工,落实系统使用与运行维护工作责任制。要加强对相关人员的培训和安全教育,减少因为误操作给系统安全带来的冲击。要妥善保存系统运行、维护资料,做好相关记录,要定期组织应急演练,以备不时之需。

信息系统相对复杂的用户、对信息系统依存度较高的用户,与系统集成商签订系统服务外包合同,由其提供专业化的、一揽子安全护航服务,是个不错的策略。近年来,笔者所在行业,已经有越来越多的单位采用这一安全策略,既有效保障了系统安全,又节省了资金和人力资源投入,收效良好。

•灾难恢复

墨菲定理说,会出错的事总会出错,如果你担心某种情况发生,那么它就更有可能发生。这个定理用到信息系统安全上,就是“再稳健的系统也会出问题。”这时候,我们老祖宗的那句话就派上了用场:凡事予则立,不予则废。我们得趁着系统还在运行的时候,制定一个灾难恢复计划,将灾难带来的损失降低到最小,这也许是系统安全保障的最后一个策略。这个策略说起来比较复杂,容日后专门表述,这里只提几点原则意见,即根据本单位及信息系统的实际情况,研究系统遇到灾害后对业务的影响,设计灾后业务切换办法,定期备份数据,根据灾难类型,制订灾难恢复流程,建立灾难预警、触发、响应机制,组织相关培训和练习,适时升级和维护灾难恢复计划,等等。(IT168)

发布:2007-04-22 09:11    编辑:泛普软件 · xiaona    [打印此页]    [关闭]

泛普重庆OA信息化其他应用

重庆OA软件 重庆OA新闻动态 重庆OA信息化 重庆OA客户 重庆OA快博 重庆OA行业资讯 重庆软件开发公司 重庆网站建设公司 重庆物业管理软件 重庆餐饮管理软件 重庆仓库管理系统 重庆门禁系统 重庆微信营销 重庆ERP 重庆监控公司 重庆金融行业软件 重庆B2B、B2C商城系统开发 重庆建筑施工项目管理系统开发