浅谈企业信息安全保障体系建设_基础信息化_IT综合
    信息安全保障工作是企业信息化建设的重要组成部分。信息安全无法保障，将直接影响企业的正常运作以及网上交互办公的有效性、稳定性和高效性，大大制约了企业的深入发展，严重影响企业工作的信息化进程。因此，企业的信息系统必须全面提高信息安全防护能力，创建安全健康的网络环境，维护企业形象，促进企业的全面发展。
1 指导思想
    企业信息安全保障体系的建设要针对网络现状、安全需求以及未来的发展趋势，进行安全风险分析，明确安全等级保护实施办法以及与保护等级相适应的安全策略。对全网进行合理的安全域划分，以实效和应用为主导，管理与技术并重，从物理、网络、系统、组织管理等方面，保障企业信息系统的安全，形成集防护、检测、响应、恢复于一体的整体安全保障体系。企业 信 息 安全保障体系要遵循如下指导思想:(1) 遵循国家相关政策、法规和标准(2) 三分技术，七分管理管理与技术并重，互为支撑，互为补充，相互协同，形成有效的综合预防、追查及应急响应体系。(3) 遵循集防护、检测、响应、恢复于一体的整体安全保障体系。(4)遵循分域防护的思想。结合实际应用，根据企业信息系统访问控制要求，进行合理的安全域划分，建立合理
有效的边界保护措施，实现安全域之间的访问控制，抵御非法攻击。(5)遵循深度防御的思想。要在企业信息系统可能面临的安全威胁进行风险评估的基础上，结合安全域的划分，从物理层、网络层、系统层、应用层和管理层等层面进行整体的安全设计，综合多种有效的安全防护措施，进行多层和多重防御，实现纵深防御。(6) 遵循等级保护的思想。根据企业信息系统各部分的安全要求，进行安全等级的划分，提出具体的安全等级保护实施办法，明确并解决信息系统目前必须解决的网络和安全问题。(7) 遵循动态发展的思想。在满足企业信息系统目前基本的、必须的安全需求的基础上，可以随着企业应用和网络安全技术的发展，不断调整安全策略，应对不断变化的网络安全环境。
2 总体目标和建设原则
    根据企业信息系统的实际情况和信息安全的特点，在安全建设方面应贯彻以下原则:(1) 整体设计，分步实施信息安全保障体系建设要结合企业信息系统建设的实际情况，同步规划，同步建设，在整体设计下分阶段、分步骤进行;(2) 综合防范，整体安全:在安全工程建设中，要管理与技术并重，建立综合防范机制，从网络、系统、数据和应用等方面保证企业信息系统的整体安全;(3) 分级保护，务求实效:要以应用为主导，根据不同应用的特点和安全需求，
综合衡量不同业务系统的重要性和所面临风险大小等因素，科学划分安全等级，并依据安全等级进行安全建设和管理，提高信息安全保障的有效性;(4)滚动发展，长抓不懈:信息安全是一个动态的、复杂的长期过程，要形成不断创新的机制，与时俱进地从手段、工具、制度、组织等方面共同努力，为企业信息系统建立恰当的安全保障机制。
3 安全风险分析
3.1物理安全风险分析
    物理安全是整个网络信息系统安全的前提，包括:地震、水灾、火灾、电源故障、电磁辐射、设备故障、人为物理破坏等，这些风险都可能造成系统的崩溃。
3.2网络安全风险分析
    由于网络拓扑结构及安全策略的配置不合理，易形成网络运行管理上的混乱。网络设备的使用不当带来的问题，比如不能正确使用其中的访问控制功能，会导致它受到各种威胁。因为网络层是网络入侵者攻击信息系统的重要通道，许多安全问题都集中体现在网络的安全方面。网络系统内运行的TPC/IP协议并非专为安全通讯而设计，所以网络系统可能存在大量安全隐患和威胁。网络人侵者一般采用预攻击探侧、窃听等搜集信息，然后利用IP欺骗、拒绝
服务攻击(SYN FLOOD，PING FLOOD等)、分布式拒绝服务攻击、篡改、堆栈溢出等手段进行攻击。
3.3系统安全风险及需求
    操作系统安全也称主机安全。一方面，由于操作系统的代码庞大，因而不同程度上都存在一些安全漏洞。一些广泛应用的操作系统，如Window、Unix，其安全漏洞更是广为流传。操作系统自身的脆弱性将直接影响业务应用系统的安全;另一方面，系统管理员或使用人员对复杂的操作系统和其自身的安全机制了解不够，配置不当也会造成安全隐患。
3.4 应用安全风险及需求
    企业信息系统有各种应用服务，如果不能防止未经验证的操作人员利用应用系统的脆弱性来攻击应用系统，会造成系统数据丢失、数据更改、非法获得数据等后果。另外，部分企业的外部网络是通过ISP来实现的，如果ISP内部管理出现问题，有可能造成连接处的安全隐患，对此必须使用防火墙系统来进行隔离和防护。
    应用层安全问题的解决目前往往依赖于网络层、操作系统、数据库的安全，由于应用系统复杂多样，没有特定的安全技术能够完全解决一些特殊应用系统的安全问题。一些通用的应
用程序，如Webserver程序，FTP服务程序，E-mal服务程序，浏览器，MS 0ffice办公软件等，这些应用程序自身的安全漏洞和由于配置不当造成的安全漏洞会导致整个网络的安全性下降。
3.5管理安全风险分析
    企业应从管理的角度入手更好地促进系统运营，制订相关的管理制度，形成企业信息系统安全管理体系。这些制度的缺乏也将直接影响到安全事件预防和排障措施的顺利开展以及安全事件发生后的原因追查、损失及责任确定等方面的明确。
4 解决方案
    综合上述风险需求分析所得到的可预见隐患条目，解决方案将分别针对边界、纵深、服务、系统、应用、安全管理等几方面对企业信息安全保障体系进行规划和设计，实现企业信息安全保障体系的建设目标，并将具体实施建议体现在下文的叙述中。
    系统设计遵循国际公认的“三元论”，即信息安全有三个要素:策略、管理和技术。
    (1) 安全策略:包括法律法规、规章制度、技术标准、管理标准等，是信息安全的最核心问题，是整个信息安全建设的依据;
    (2) 安全管理:主要是人员、组织和流程的管理，是实现信息安全的落实手段;
    (3) 安全技术:包含工具、产品和服务等，是实现信息安全的有力保证。
    三元论将信息安全工作中的“管理中心”的特性突出地描述出来。根据三元论的指导，要建立一个一致的信息安全体系，也就是建立安全策略体系、安全管理体系和安全技术体系。
4.1安全策略
   4.1.1物理安全策略
    物理安全必须具备环境安全、设备安全和介质安全等物理支撑环境，保护网络设备、设施、介质和信息免受自然灾害、环境事故以及人为物理操作失误或错误导致的破坏、丢失，防止各种以物理手段进行的违法犯罪行为。在现有物理安全措施基础上，从环境、设备、介质、配电的故障切换、冗余等方面，完善物理安全保障措施，保障企业信息系统免受因上述内容破坏造成的服务停止或数据损失。
    4.1.2网络安全策略
    明确等级保护措施。合理划分安全域，确定各安全域的物理边界和逻辑边界，明确不同安全域之间的信任关系。在安全域的网络边界建立有效的访问控制措施。通过安全区域最大限度地实施数据源隐藏，结构化和纵深化区域防御，防止和抵御各种网络攻击，保证企业信息
系统各个网络系统的持续、稳定、可靠运行。
    4.1.3系统安全策略
    对操作系统、数据库及服务系统进行漏洞修补和安全加固，对关键业务的服务器建立严格的审核机制。最大限度解决由操作系统、数据库系统、服务系统、网络协议漏洞带来的安全问题，解决黑客人侵、非法访问、系统缺陷、病毒等安全隐患。
    4.1.4应用安全策略
    根据企业信息系统的安全需求特点，针对发布内容管理、更新和审核等方面的身份认证、权限控制、信息保密、数据完整性、责任认定、不可否认性等几个方面建立起相应的措施。
    4.1.5安全管理策略
    针对企业信息系统安全管理需求，在安全管理上需要在完善人员管理、资产管理、站点维护管理、灾难管理、应急响应、安全服务、人才管理等方面机制、制度的同时，与管理技术紧密结合，形成一套比较完备的企业信息系统安全管理保障体系。
4.2 安全技术
    4.2.1边界访问控制技术:防火墙系统
    防火墙是保证网络安全的重要屏障，也是降低网络安全风险的重要因素。防火墙根据网络
流的来源和访问的目标，对网络流进行限制，允许合法网络流，并禁止非法网络流。通过防火墙提供的基于TCP/IP协议中各个环节进行安全控制，生成完整安全的访问控制表，同时借助防火墙基于状态检侧的包过滤和应用层检测技术，对数据流向采用相应的技术策略，制定严格完善的访问控制策略，保证从数据链路层到应用层的数据传输安全。针对企业信息系统中的网络风险可以通过严格的访问控制来进行限制。
    4.2.2 先敌发现、未雨绸缪:漏洞扫描系统
    网络建成后，应该制定完善的网络安全和网络管理策略，但实际情况是，再有经验的网络管理者也不可能完全依靠自身的能力建立十分完善的安全系统。漏洞扫描技术可以帮助网络管理者对网络的安全现状进行评估，发现漏洞后提出具体的解决办法。通常网络安全漏洞扫描系统配有一个信息库，其中存放着大量有关系统安全漏洞和可能的黑客攻击行为的数据。扫描系统根据这些信息向网路上的主机和网络设备发送数据包，观察被扫描的设备是否存在与信息库中记录的内容相匹配的安全漏洞。扫描的内容包括主机操作系统本身、操作系统的配置、防火墙配置、网路设备配置以及应用系统等。通过网络扫描，系统管理者可以及时发现网路中存在的安全隐患，并加以必要的修补，从而减小网络被攻击的可能。
    4.2.3 网络纵深防御:入侵检测系统
    在安全系统中，防火墙相当于网络系统人口的门卫，能按照我们设定的规则判断他人是否可进人，把攻击、恶意的数据包挡在门外，而入侵检测系统则相当于摄像机，可以监控网络或者重要的主机，监控入侵行为，尤其可以发现潜在攻击特征，必要时可与防火墙联动，及时阻断入侵行为。当黑客试探攻击时，大多采用一些已知的攻击方法来试探。通过入侵检测系统的“实时监测”功能，发现黑客攻击的企图，对于网络安全来说也是非常有意义的。也就是说，如果黑客攻破系统所需要的时间大于发现黑客攻击并响应的时间，则系统就是安全的。通过该系统可以快速定位来自网络内部和外部的攻击行为以及网络内部的异常流量等。

    4.2.4 实现数据的加密技术:VPN系统
    VPN (虚拟专用网)可以通过一个公用网络(通常是互联网)建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。虚拟专用网是对企业内部网的扩展，可以帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信的安全连接，并保证数据的安全传输。它可用于不断增长的移动用户的全球互联网接入，以实现安全连接;也可用于实现企业网站之间安全通信的虚拟专用线路，用于经济有效地连接到商业伙伴和用户的安全外联网虚拟专用网。
    4.2.5 恶意软件防护:安全网关和网络版防病毒软件根据
    来自国际计算机安全协会(简称ICSA)的统计，现在全球有90%以上的病毒是通过SMTP和HTTP协议进入用户的计算机的。通过安全网关技术可以做到未雨绸缪，形成对企业网络系统的第一道病毒防护屏障，安全网关产品可以过滤HTTP、FTP、SMTP、POP3、IMAP4及NNTP等6种常用的通信协议，第一时间把来自互联网的病毒、垃圾邮件、非法内容过滤掉，尽可能保证为内部营造一个洁净的安全网络，提升网络内部的交换性能，提高用户访问的速度。网络管理员还可以随时随地管理和监控网关处的防病毒状况，以便及时响应，调整相应的防病毒策略，抑制病毒传播与危害，维护网络的正常运行。
    通过在网络边界部署安全网关产品可以解决网络边界的病毒传播问题，但是对于通过其他通信协议或方式进入网络内部的病毒，其破坏性也是不可忽视的。考虑到服务器和工作站之间的文件交换，通过U盘、软驱等本地病毒对网络系统的危害，可通过在网络中所有的计算机和服务器上部署企业版防病毒软件以实现对本地病毒有效查杀，与安全网关一起构建分层次的立体防病毒体系，大大增强信息系统的病毒免疫能力。
    4.2.6 拒绝服务的克星:防DDOS系统
    DDoS 攻击是很多网络管理人员非常头痛的问题，DDOS攻击的结果将出现两种情况:一是
对外提供服务的服务器将会终止服务，如Web页面不能正常访问;二是网络带宽全部被耗尽，导致不能进行内部正常访问。DDoS是一个致命的攻击，后果非常严重，会导致整个网络处于瘫痪状态，借助专业的防DDoS系统，可以有效阻止这类攻击。由于防火墙对分布式拒绝服务攻击的防御能力是有限的，所以建议在对外发布服务的重要主机前面部署专业的防DDoS设备，采取桥接方式部署到用户网络中，无需更改网络结构。
    4.2.7 内网安全管理系统
    据美国安全软件公司Camdot和eWEEK电子杂志联合进行的一项调查显示，网络安全问题在很多情况下都是由“内部人士”而非外来黑客引发的。内部的攻击是最可怕的，而对内部的攻击很多都是由于管理不到位、没有及时打补丁、没有及时更新病毒库等造成，通过部署内网安全管理软件，可以对内部的工P、补丁、资产等进行很好的管理，具体功能如下:(1) 工P和MAC绑定、客户端注册管理，软件安装管理、桌面消息通知、远程协助、外设及端口控制、点对点客户端控制;(2) 终端非法外联行为监控，非法外联行为告警，终端接人撤离网络监控;(3)硬件设备信息统计、软件资产统计、设备变更信息统讯(4)终端漏洞自动侦测，补丁下载、补丁完整性和安全性测试，补丁增量更新导入、补丁策略集制订分发;(5)终端流量管理、进程运行管理、终端服务管理，运行资源监控、流量异常监控、进程异常监控、网络拓扑扫描。

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。