时间：2023-03-16 15:40:15
导语：在软件安全论文的撰写旅程中，学习并吸收他人佳作的精髓是一条宝贵的路径，好期刊汇集了九篇优秀范文，愿这些内容能够启发您的创作灵感，引领您探索更多的创作可能。
1.1网络的设计理念
计算机网络安全涉及到计算机技术中的各个方面，如网络技术、通信技术、密码技术等等。计算机网络安全的标准是网络中的硬软件、系统的安全受到保护，在发生恶意侵入时不受破坏。在网络刚产生时，人们对于网络的要求侧重于可用性以及其方便程度，那时对于网络安全性的认识和重视度都不高。因为最初的网络没有遍布全球，主要是局域网，所以基本不存在网络安全的问题，于是人们也没有做必要的防护。后来网络技术日渐进步，互联网遍布全球，将世界联系起来，网络安全问题便逐渐成为不可忽视的重大问题。网络具有关联性的特征，所以在进行网络上的操作时，很容易在安全方面受到威胁。目前的众多网络产品，也是基于基础网络协议进行发展开发的，与互联网有着同样的安全问题。
1.2网络开放性
开放性是互联网的最基本特征，互联网的基本准则之一就是自由开放。目前我们使用的网络，处于互联网产生以来开放性最强的状态。互联网从最初的局域网发展成为今天的世界性的网络，为的就是更加方便人与人之间的交流。网络的开放性为广大用户提供了丰富的资源，但也在同时为黑客提供了可乘之机。网络安全便成了开发者和用户共同关心的核心问题。
1.3网络的控制管理性
互联网将世界联系在一起，每个用户都是网络中的一个元素，个人计算机以及局域网都连接在公共网络中。网络具有的关联性使得对网络进行攻击时，只需要对网络中的关键点进行攻击，就可以对整个安全系统造成影响，就能够击溃整个安全系统。互联网中的关键点十分重要，若这个关键部位的安全保护做到位，互联网的安全便有了保障。若关键点丧失了安全性，整个互联网的网络安全就难以维持。安全系统被破坏后，网络运行环境就会变得复杂，缺乏可控性以及安全性。这对每个互联网中的用户都会造成严重的影响，轻则导致文件的丢失，重则造成金钱的损失。
2网络安全威胁
网络面临着多方面的威胁，一方面在于网络信息的威胁，另一方面在于网络设施的威胁。网络安全受到威胁的首要原因是人为的疏忽，在对计算机进行配置时，因为操作人员产生疏忽，产生安全漏洞，这样便给了不法分子攻击计算机的机会。用户在对计算机进行设置时，没有浓厚的安全意识，例如口令密码设置不够安全以及防火墙不能及时维护，这些因素都会给电脑带来安全危害。网络安全受到威胁的第二个原因是他人的恶意攻击，其中包括两个方面：第一，主动攻击，这种方式是人为对数据流进行修改、延迟、删除、插入以及复制的操作，通过这种操作读计算机安全进行攻击，主要是对信息进行篡改和伪造；第二，被动攻击，这种方式是截获信息，通过特殊手段监视或是偷听信息，以达到信息截获的目的，这种方法比主动攻击较难发现。网络安全受到威胁的第三个原因在于软件漏洞，软件的漏洞通常会成为黑客进行攻击的主要目标，通过攻击漏洞可以摧毁整个安全系统，除了软件漏洞，开发人员在研发软件时会留有一个“后门”，方便对软件进行升级，这也容易成为黑客攻击的对象。网络安全受到威胁的第四个原因在于管理疏漏。
3基于软件工程技术的网络安全防御
3.1防火墙
防火墙可以在硬件上进行建设，它起到了分离器、分析器和限制器的作用。它在两个网络进行连接和通信的时候发挥作用，对信息进行过滤和控制。防火墙包括很多类型，应用型、检测型和过滤型是最为常见的。使用防火墙，可以对内外网络正常运行提供保障，但防火墙也存在一定的弱点，它无法阻止LAN内部的攻击。
3.2访问控制
访问控制是通过对操作系统中访问权限进行设置，限制访问主体对访问客体的访问。访问控制是通过软件技术对网络安全进行防御的主要手段，它通过对网络资源进行保护，使网络资源避免非法的访问。访问控制技术主要包括入网访问控制、网络权限控制、属性控制以及目录级控制等。
3.3杀毒软件
病毒是主要以一个程序的方式存在和传播的，也有些病毒是以一段代码的形式。病毒运行后，会对计算机造成破坏，使计算机无法正常运行，严重的则会损伤计算机的操作系统，使整个系统崩溃，乃至使硬盘遭到损害。计算机病毒还有自我复制的功能，他们可以自身进行复制后，通过移动设备和网络大肆传播出去，感染网络内开放的其他计算机，对其他计算机也造成破坏。对于计算机病毒的防治，可以分为几个模块，分别是病毒检测、病毒防御和病毒清除。目前市面上有很多种类的杀毒软件，选择高质量并且及时更新的杀毒软件，是十分重要的。安装杀毒软件后，要及时对电脑进行病毒扫描，检测出病毒的存在后，要及时进行处理和清除，保障计算机不被病毒感染，达到保护计算机安全的目的。安装好的杀毒软件，不仅是对于一台计算机安全的维护，也是对网络安全的维护，杀毒软件及时清除病毒，防止了病毒通过网络传播出去，造成大批计算机系统遭到破坏。
4结语
会议拟请公安、工业和信息化、国家保密、国家密码管理主管部门、中国科学院、国家网络与信息安全信息通报中心等部门担任指导单位，同时将出版论文集，经专家评选的部分优秀论文，将推荐至国家核心期刊发表。现就会议征文的有关情况通知如下：
一、征文范围
1. 新技术应用环境下信息安全等级保护技术：物联网、云计算、大数据、工控系统、移动接入网、下一代互联网（IPv6）等新技术、环境下的等级保护支撑技术，等级保护技术体系在新环境下的应用方法；
2. 关键基础设施信息安全保护技术：政府部门及金融、交通、电力、能源、通信、制造等重要行业网站、核心业务信息系统等安全威胁、隐患分析及防范措施；
3. 国内外信息安全管理政策与策略：信息安全管理政策和策略研究，信息安全管理体制和机制特点，信息安全管理标准发展对策，网络恐怖的特点、趋势、危害研究；
4. 信息安全预警与突发事件应急处置技术：攻击监测技术，态势感知预警技术，安全监测技术，安全事件响应技术，应急处置技术，灾难备份技术，恢复和跟踪技术，风险评估技术；
5. 信息安全等级保护建设技术：密码技术，可信计算技术，网络实名制等体系模型与构建技术，漏洞检测技术，网络监测与监管技术，网络身份认证技术，网络攻防技术，软件安全技术，信任体系研究；
6. 信息安全等级保护监管技术：用于支撑安全监测的数据采集、挖掘与分析技术，用于支撑安全监管的敏感数据发现与保护技术，安全态势评估技术，安全事件关联分析技术、安全绩效评估技术，电子数据取证和鉴定技术；
7. 信息安全等级保护测评技术：标准符合性检验技术，安全基准验证技术，源代码安全分析技术，逆向工程剖析技术，渗透测试技术，测评工具和测评方法；
8. 信息安全等级保护策略与机制：网络安全综合防控体系建设，重要信息系统的安全威胁与脆弱性分析，纵深防御策略，大数据安全保护策略，信息安全保障工作评价机制、应急响应机制、安全监测预警机制。
二、投稿要求
1. 来稿内容应属于作者的科研成果，数据真实、可靠，未公开发表过，引用他人成果已注明出处，署名无争议，论文摘要及全文不涉及保密内容；
2. 会议只接受以Word排版的电子稿件，稿件一般不超过5000字；
3. 稿件以Email方式发送到征稿邮箱；
4. 凡投稿文章被录用且未作特殊声明者，视为已同意授权出版；
5. 提交截止日期： 2014年5月25日。
三、联系方式
通信地址：北京市海淀区首都体育馆南路1号
邮编：100048
Email：.cn
联系人： 范博、王晨
联系电话：010-68773930，
13717905088，13581879819
论文摘要：随着互联网技术的蓬勃发展，基于网络和多媒体技术的电子商务应运而生并迅速发展。所谓电子商务通常是指是在全球各地广泛的商业贸易活动中，在因特网开放的网络环境下，基于浏览器/服务器应用方式，买卖双方不谋面地进行各种商贸活动，实现消费者的网土购物、商户之间的网交易和在线电子支付以及各种商务活动和相关的综合服务活动的一种新型的商业运营模式。信息技术和计算机网络的迅猛发展使电子商务得到了极大的推厂，然而由于互联网的开放性，网络安全问题日益成为制约电子商务发展的一个关键性问题。
一、电子商务网络信息安全存在的问题
电子商务的前提是信息的安全性保障，信息安全，胜的含义主要是信息的完整性、可用性、保密险和可靠性。因此电子商务活动中的信安全问题主要体现在以两个方面:
1、网络信息安全方面
(l)安全协议问题。目前安全协议还没有全球性的标准和规范，相对制约了国际性的商务活动。此外，在安全管理方面还存在很大隐患，普遍难以抵御黑客的攻击。
(3)防病毒问题。互联网的出现为电脑病毒的传播提供了最好的媒介，不少新病毒直接以网络作为自己的传播途径，在电子商务领域如何有效防范病毒也是一个十分紧迫的问题。
(4)服务器的安全问题。装有大量与电子商务有关的软件和商户信息的系统服务器是电子商务的核心，所以服务器特别容易受到安全的威胁，并且一旦出现安全问题，造成的后果会非常严重。
2、电子商务交易方面
(1)身份的不确定问题。由于电子商务的实现需要借助于虚拟的网络平台，在这个平台上交易双方是不需要见面的，因此带来了交易双方身份的不确定性。攻击者可以通过非法的手段盗窃合法用户的身份信息，仿冒合法用户的身份与他人进行交易。
(2)交易的抵赖问题。电子商务的交易应该同传统的交易一样具有不可抵赖性。有些用户可能对自己发出的信息进行恶意的否认，以推卸自己应承担的责任。
(3)交易的修改问题。交易文件是不可修改的，否则必然会影响到另一方的商业利益。电子商务中的交易文件同样也不能修改，以保证商务交易的严肃和公正。
二、电子商务中的网络信息安全对策
1、电子商务网络安全的技术对策
(1)应用数字签名。数字签名是用来保证信息传输过程中信息的完整和提供信息发送者身份的认证，应用数字签名可在电子商务中安全，方便地实现在线支付，而数据传输的安全性、完整性，身份验证机制以及交易的不可抵赖性等均可通过电子签名的安全认证手段加以解决。(2)配置防火墙。防火墙是在两个网络通讯时执行的一种访问控制尺度，它能阻止网络中的黑客来访问你的网络，防止他们更改、拷贝、毁坏你的重要信息。它能控制网络内外的信息交流，提供接人控制和审查跟踪，是一种访问控制机制。在逻辑，防火墙是一个分离器、限制器，能有效监控内部网和工nternet之间的任何活动，保证内部网络的安全。
(3)应用加密技术。密钥加密技术的密码体制分为对称密钥体制和公用密钥体制两。相应地，对数据加密的技术分为对称加密和非讨称力日密两类。根据电子商务系统的特点，全面加密保护应包括对远程通信过程中和网内通信过程中传输的数据实施加密保护。一般来说，应根据管理级别所对应的数据保密要求进行部分加密而非全程加密。
2、电子商务网络安全的管理策略
(1)建立保密制度。涉及信息保密、口令或密码保密、通信地址保密、日常管理和系统运行状况保密、工作日记保密等各个方面。对各类保密都需要慎重考虑，根据轻重程度划分好不同的保密级别，并制定出相应的保密措施。
(2)建立系统维护制度。该制度是电子商务网络系统能否保持长期安全、稳定运行的基本保证，应由专职网络管理技术人员承担，为安全起见，其他任何人不得介人，主要做好硬件系统日常借理维护和软件系统日常管理维护两方面的工作。
(3)建立病毒防范制度。病毒在网络环境下具有极大的传染性和危害性，除了安装防病毒软件之外，还要及时升级防病毒软件版本、及时通报病毒人侵信息等工作。此外，还可将网络系统中易感染病毒的文件属性、权限加以限制，断绝病毒人侵的渠道，从而达预防的目的。
(4)建立数据备份和恢复的保障制度。作为一个成功的电子商务系统，应针对信息安全至少提供三个层面的安全保护措施:一是数据在操作系统内部或者盘阵中实现快照、镜像;二是对数据库及邮件服务器等重要数据做到在电子交易中心内的自动备份;三是对重要的数据做到通过广域网专线等途径做好数据的克隆备份，通过以土保护措施可为系统数据安全提供双保险。
三、电子商务的网络安全体系结构
电子商务的网络信息安全不仅与技术有关，更与社会因素、法制环境等多方面因素有关。故应对电子商务的网络安全体系结构划分如下:
1.电子商务系统硬件安全。主要是指保护电子商务系统所涉及计算机硬件的安全性，保证其可靠哇和为系统提供基础性作用的安全机制。
2.电子商务系统软件安全。主要是指保证交易记录及相关数据不被篡改、破坏与非法复制，系统软件安全的目标是使系统中信息的处理和传输满足整个系统安全策略需求。
3.电子商务系统运行安全。主要指满足系统能够可靠、稳定、持续和正常的运行。
4.电子商务网络安全的立法保障。结合我国实际，借鉴国外先进网络信息安全立法、执法经验，完善现行的网络安全法律体系。
“我的信息安全吗？”相信所有对信息技术有所了解的人都会存在这个担忧。就我们所使用的IT设备而言，软硬件的安全性将直接影响信息的安全。是否有什么手段来认定软硬件的安全性呢？答案是肯定的，那就是对其进行安全认证。
多年来，嘉兴市辰翔信息科技有限公司致力于IT软硬件安全检测认证，凭借着国际一流的技术，为IT软硬件“盖”上了信息安全的“合格章”。
权威认证覆盖全球
据国家工信部的《2013年电子信息产业统计公报》显示，我国2013年电子信息产业销售收入总规模达到12.4万亿元，同比增长12.7%。在信息安全日益受重视的今天，这意味着巨大的安全认证市场。就全球而言，反病毒软件的检测认证市场销售规模在2亿人民币左右，而安全硬件提供商全球多达几万家，销售额至少在几百亿人民币。检测认证行业作为IT软硬件方案服务提供商的服务商，市场前景巨大。如此大的“蛋糕”，此前一直被AV-TEST、ISCA LABs、Virus Bulletin等几家巨头垄断。
为了打破国外检测机构对计算机安全软硬件检测垄断的局面，辰翔科技通过多年来的理论研究和实践应用研发了一系列符合计算机安全技术潮流发展的检测技术和认证标准，并在一些关键的技术环节大量应用了新的检测标准和检测技术，是大中华区唯一专业从事计算机安全软硬件测试认证的公司，也是公安部计算机病毒应急响应中心的合作伙伴和唯一具有公安机关病毒分析备案的公司。除了自行研发外，辰翔科技还通过与国内高等院校的合作，研究如何将病毒流行度指标应用在计算机安全检测之上，相关论文也已经在国际会议上发表。另外，其关于计算机安全软硬件检测的专用认证标志已经在欧盟、美国和大陆成功注册。
辰翔科技作为全球主要的安全软件检测认证服务提供商，客户基本已经涵盖主要的杀毒软件提供商。值得一提的是，在手机Android操作系统安全测试领域，公司已经基本实现垄断。除了手机端的安全认证外，辰翔科技还与美国微软总部合作研发Windows安全认证体系。目前辰翔科技在全球安全软件测试认证行业主要竞争对手有6个，目标客户覆盖率基本达到国外同行水平。未来，辰翔科技将以电源产品作为切入点，进一步开展通用IT硬件（如CPU、内存、音响制品、显示器等）与安全硬件（如嵌入式反病毒硬件，硬件防火墙，邮件过滤器等）的检测认证工作。
打造全方位“防御体系”
通过从计算机软件到硬件，再加上手机与网站的安全测评，辰翔科技打造了一个全方位的安全防御圈。
安全软件测试
通过测试安全软件的多层防御能力来判断安全软件的综合防御能力。关键技术在于多层实时检测技术，传统的安全软件检测比较单一、一般都只检测安全的一个参数值，比如病毒的查杀率，误报水平等，而辰翔科技对测评体系进行了升级，摆脱单一功能检测无法反映软件综合性能的缺失，目前已经基本运用到日常检测认证中来。
云安全检测认证
辰翔科技采集最新最全的病毒样本，运用高性能的爬虫系统，通过大量的新出现的病毒和常用软件来判断云安全软件对未知病毒的响应能力、白名单库的收集能力和误报水平、云安全技术的稳定性判断，在国内率先提出了云安全检测技术的思路和测试基本框架。
手机安全软件检测认证
通过手机操作系统模拟器或真机来模拟或者重现手机安全软件在各系统上的运行情况，包括对病毒的检测查杀能力、常用功能的比较和不同病毒对手机用户的危害。目前，辰翔科技建立了一套完整的病毒分析流程，可以为杀毒软件公司提供分析支持和软件配套服务。
软件安全性评估
通过代码和行为分析判断软件是否具有恶意行为，对验证无恶意行为的软件颁发认证标志。
非安全软件类软硬件检测认证
通过辅助软件对同类通用软件和硬件进行性能评估和检测认证，对达标产品相对应的认证标志。通用软硬件的测评和认证将由辰翔科技和中国计量学院、浙江质监局共同进行研发，远期将提供市场准入认证和产品改良服务。
网络挂马钓鱼分析系统的建立和网站认证
【关键词】网站服务器；安全维护
随着校园网络环境的不断改善和图书馆网络技术的飞速发展，依托校园网的各类资源也日益丰富和完善。为了确保信息系统的稳定运行，必须全面细致的进行服务器的管理和维护工作，一点点小的疏忽都可能会导致严重的后果。
1.网站服务器安全维护内容
为确保网站服务器的正常运行及使用应及对服务器进行及时的更新，及时对服务器上各种应用程序的安全补丁、安全隐患进行合理配置，及时修补服务器的安全漏洞，并及时解决服务器的相关不安全因素，通过这些手段使服务器的安全风险降底到最小。对网站服务器进行定期安全性设置、检查，对服务器上系统存在的各种木马、后门进行全面防御，让所有系统级、内核级感染的恶意黑客软件都无法正常使用，从而保障主机的安全稳定运行；避免网站服务器发生不安全的现象。具体的维护内容包括网站安全评估、网站安全检测、网站安全加固、网页木马检测、网页病毒清除、网站中毒解决方案、防sql注入、sql漏洞、清除木马、去除恶意代码、木马检测、木马检测工具、流氓软件清除、清除恶意软件、清除木马、网站程序漏洞修复、数据库漏洞处理、数据库漏洞加固、防数据库木马注入、网页病毒处理、挂木马、网站挂马、恶意代码清除、网站安全、病毒处理、病毒清除、病毒防范。本地帐户系统维护，包括帐户开通、停用及密码更改、本地日志维护、审计。本地安全策略维护，包括安全策略的启用、停用流量、服务及性能监控信息检查、系统配置维护、系统配置及注册表备份、故障排查与处理、系统崩溃状况下的系统重装及配置恢复、软件安全隐患排除、服务器系统木马防御。
2.网站服务器的维护技巧
2.1 终端服务器及固件出现故障
如果终端服务器以前工作正常而突然所有端口都不能工作，重新开启后仍然不行，要检查是否发生此类故障。这类故障大多可以通过机器前面板的指示灯如Alarm、Ready、Power等显示出来。例如Ready指示灯不断闪动，或Alarm灯持续亮，或者电源有电而Power灯不亮。此外当健入命令有误而不能恢复到提示符状态，也属这种情况。这时用户须和厂家技术人员联系维修，自己不要拆卸机器。
2.2 账号和密码保护
在很多时候一台服务器不仅运行了网站的应用，而且还会运行许多服务器和流媒体服务器之类的网络服务。在同一台服务器上使用多种网络服务很可能造成服务之间的相互感染。这也就是说攻击者只要攻击一种服务，就可以运用相关的技能攻陷其他使用。因为攻击者只需要攻破其中一种服务，就可以运用这个服务平台从内部攻击其他服务，一般来说，从内部执行攻击要比外部执行攻击方便得多。账号和密码保护可以说是系统的第一道防线，目前网上的大部分对系统的攻击都是从截获或猜测密码开始的。一旦黑客进入了系统，那么前面的防卫措施几乎就没有作用，所以对服务器系统管理员的账号和密码进行管理是保证系统安全非常重要的措施。
2.3 监测系统日志
通过运行系统日志程序，系统会记录下所有用户使用系统的情形，包括最近登录时间、使用的账号、进行的活动等。日志程序会定期生成报表，通过对报表进行分析，你可以知道是否有异常现象。
2.4 关闭不需要的服务和端口
服务器操作系统在安装的时候，会启动一些不需要的服务，这样会占用系统的资源，而且也增加了系统的安全隐患。对于假期期间完全不用的服务器，可以完全关闭；对于假期期间要使用的服务器，应关闭不需要的服务。另外，还要关掉没有必要开的TCP端口。
2.5 禁用与设备运行、维护等工作无关的服务
操作系统在安装后都会默认开启一些服务进程，其中许多的服务都是与设备运行和维护无关的。这些开启了却不使用的服务，由于存在着很多安全漏洞，就往往成为黑客访问或破坏系统的入口点。为此应该在不影响系统的正常使用和维护的前提下，禁用与设备运行、维护等工作无关的服务。
2.6 做好数据备份
为防止不能预料的系统故障或用户不小心的非法操作，必须对系统进行安全备份。除了对全系统进行每月一次的备份外，还应对修改过的数据进行每周一次的备份。同时，应该将修改过的重要系统文件存放在不同的服务器上，以便出现系统崩溃时，可及时地将系统恢复到正常状态。俗话说：“有备无患”，虽然大家都不希望系统突然遭到破坏，但是做好准备是必须的。作好服务器系统备份，万一遭破坏的时候也可以及时恢复。
3.结束语
综上所述，服务器在图书馆网站建设中具有举足轻重的地位。各高校图书馆应根据其具体情况选择合适的服务器。管理维护好它，这样才能更好的建设图书馆网站。更深入地开展图书馆网上信息服务。
参考文献
关键词：会计电算化 内部控制 内部审计
会计电算化，是把以电子计算机为代表的现代化数据处理工具和以信息论、系统论、控制论、数据库以及计算机网络等新兴理论和技术应用于会计核算和财务管理工作中，以提高财会管理水平和经济效益，进而实现会计工作的现代化。会计电算化对事业部门内部控制制度产生深刻的影响， 对事业单位内部控制制度提出了新要求。环境的改变必然要求有新的内部控制系统与之相匹配， 以全新的方法去建立一套行之有效的内部控制系统已是形势所需。
一、会计电算化对内部控制的影响
内部控制制度是企事业单位在会计工作中为维护会计数据的真实性、业务经营的有效性和财产的安全完整而制定的各项规章制度、管理方法等的总称。会计电算化使事业单位内部控制制度发生深刻变化，具体体现为：
（1）内部控制环境的变化
事业单位计算机处理会计和财务数据后，单位的会计核算环境发生了很大的变化，会计部门的组成人员从原来由财务、会计专业人员组成，转变为由财务、会计专业人员和计算机数据处理系统的管理人员及计算机专家组成。会计部门不仅利用计算机完成基本的会计业务，还能利用计算机完成各种原先没有的或由其他部门完成的更为复杂的业务活动，如销售预测、人力资源规划等。
（2）控制方式发生改变
计算机系统的内部控制也由单一人工控制转为人工和程序共同控制。例如，从前应由会计人员处理的有关业务事项，现在可由其他业务人员在终端机上一次完成；以往应由几个部门逐步完成的业务事项，现在能集中在一个部门甚至由一个人完成。实行会计电算化后，单位的内部控制是由会计人员通过会计软件实施的，由会计人员和计算机来共同完成。
（3） 内部控制的重点发生变化
实现会计电算化后，会计数据一般都集中由计算机数据处理部门进行处理，而财务部门人员往往只负责原始数据的收集、审核和编码，并对计算机输出的各种会计报表进行分析。这样，会计系统内部控制的重点就由对人的控制为主转变为对人、机控制为主。
（4） 内部控制的范围发生变化
传统的内部控制主要针对交易处理。计算机技术的引入，给会计工作增加了新的工作内容，同时也增加了新的控制措施。由于系统建立和运行的复杂性，内部控制的范围相应扩大，包含了传统手工系统所没有的控制，如网络系统安全的控制、系统权限的控制、修改程序的控制等，以及磁盘内会计信息安全保护、计算机病毒防治、计算机操作管理、系统管理员和系统维护人员的岗位责任制度等。
（5）会计档案发生变化
由各种纸质的原始单据、凭证、账簿、报表变为打印输出的各种凭证、账簿、报表和存储在计算机软盘、硬盘或其他介质中的会计数据。
二、会计电算化对事业单位内部控制制度的新要求
会计电算化使事业部门内部控制制度发生深刻变化， 对事业单位内部控制制度提出了新要求，具体体现为：
1. 要确保原始数据操作的准确度
在电算化会计中， 确保输入数据的精确度是最基本的前提。电脑中的原始数据必须是由人工事先进行审核和输入计算机的， 一旦原始数据在输入中发生错误， 计算机无法识别， 只会将错就错地进行各种计算工作。正因为会计电算化的这一固有弱点， 所以对内部控制提出了一些新的具体要求: 一切数据的处理方法和过程都必须规范化， 并保持准确性和相对的稳定性， 这样才能保证会计信息质量的真实性、完整性和准确性。为保证机房设备的安全， 计算机的正常运行， 会计数据和会计软件的安全保密， 对应用计算机的单位， 要求制订硬、软件管理制度， 修改会计核算软件的审批和监督制度。
2.要制定严格的操作管理制度
严格的操作管理制度，也是会计电算化对内部控制提出的新要求。电算化功能和知识的高度集中导致了职责的集中， 特别是会计人员的职能开始从核算型向管理型转移。某些人员既可从事数据的输入， 又可负责数据的输出和报送；未经授权的人员有可能通过计算机和网络浏览全部数据文件，复制、伪造、销毁单位重要的数据。
3、规范档案管理制度
手工条件下，会计数据和信息记录在纸介质的单、证、账、表上，修改困难，修改会留有明显痕迹，从而便于查证、控制。实行了电算化会计后， 传统手工会计系统下的有形记录大为减少， 凭证、经济业务事项的说明和账簿等大多要依赖计算机方可录入、阅读或查询，而且众多信息都转化为数字形式存储在磁（光）介质上，因此极易被篡改甚至伪造而不留任何痕迹。另外，电磁介质易受损坏，所以会计信息也存在丢失或毁坏的危险。因此，如何使磁性介质上的数据安全可靠、防止数据被非法修改是一个非常重要的问题。
4、网络环境下的网络控制能力
网络技术无疑是目前IT发展的方向，电算化会计信息系统也不可避免受到其深远的影响，特别是Internet在财务软件中的应用对电算化会计信息系统的影响将是革命性的。网络的广泛应用在很大程度上弥补了单机电算化系统的不足，使电算化会计系统的内控制度更加完善。
三、加强事业单位会计电算化条件下内部控制制度的措施
会计电算化系统的内部控制是一项范围大、程序复杂的系统工程，完善事业单位会计电算化系统内部控制的具体措施主要体现为：
1、加强对会计电算化的重视
《内部会计控制规范》规定“单位负责人对本单位内部会计控制的建立健全及有效实施负责”因此，要保证会计电算化内部控制的事实，首要问题就是要求各级领导加强对会计电算化的重视，自觉强化对电算化内部控制的认识，更新管理观念。会计电算化内部控制的执行程度很大程度上取决于领导层对会计电算化的重视程度。只有领导管理层真正认识和重视会计电算化内部控制的重要性，才能够以身作责，从上到下组织力量去认真贯彻和执行，才能充分发挥会计电算化信息系统内部控制作用。
2、会计数据准确性控制
首先， 控制数据输入的准确性与可靠性。事 业单位可以建立起一整套内部控制制度以便对输入的数据进行严格的控制，保证数据输入的准确性。数据输入控制要求输入的数据应经过必要的授权，并经有关的内部控制部门检查；同时可以采用各种技术手段对输入数据的准确性进行校验，如总数控制校验、平衡校验、数据类型校验、重复输入校验等。
其次，控制输出数据的完整性与准确性。数据输出控制是单位为了保证输出信息的准确、可靠而采取的各种控制措施，包括输出数据正确性控制与输出结果的处理、分发控制。
3、会计操作系统的安全控制
这项控制是为了保证计算机系统的运行安全， 保证机房设备的安全， 保证会计数据和会计软件安全保密， 避免由于外部环境因素导致系统运行错误的不安全隐患。其内容主要包括接触控制、实体安全控制、硬件安全控制、软件安全控制、病毒的防范与控制等。
接触控制是为了保证非系统维护人员不得接触到程序的技术资料、源程序和加密文件，以减少程序被修改的可能性。实体安全控制涉及到计算机机房的环境、光和磁介质等数据存储体的存放和保护。硬件安全控制要求硬件设备的质量必须有充分保证，为防万一，关键性的硬件设备可采用双系统备份。
4、会计操作人员的权限与职能控制
为建立相互监督和相互制约的机制保障会计信息的真实、可靠，需要从制度上对操作人员的工作职责和工作权限加以规定， 制订相应的组织和管理控制制度， 明确职责分工， 加强组织控制， 实现操作人员职能控制制度的创新。会计电算化所要求的完善的人员职能控制制度就是职责分工。首先是将会计电算化部门与用户部门的职责相分离， 明确规定每个岗位的职责， 以防止对处理过程的不适当干预。
5.加强内部审计
内部审计通过检查、评价内部控制的健全、有效程度，来促成建立好的控制环境，它是单位内部控制系统的重要组成部分。电算化内部审计是内部会计控制的一种特殊形式，在会计电算化中，由于是会计人员操作电脑进行大量数据运算，因而对内部审计提出了更高、更严格的要求， 主要包括: 对会计资料定期进行审计， 审查机内数据与书面资料的一致性， 监督数据保存方式的安全、合法性以及对系统运行各环节进行审查等。加强内部审计，可以对不妥或错误的账表处理进行及时调整， 可以监督数据保存方式的安全性、合法性， 防止发生非法修改历史数据的现象， 对系统运行各环节进行审查， 防止出现漏洞。
6.加强会计队伍建设
高素质的会计队伍是实施内部控制的关键，会计电算化系统的应用不仅要求会计人员具有良好的职业道德和专业素质，更要具有计算机操作技能，严格和规范系统操作，因此需要加强具有扎实的会计专业基础，熟练的外语与计算机水平等综合能力的高水平的复合型人才的培养。会计人员应持证上岗，并经常对会计人员进行计算机系统培训，提高会计人员对电算化系统的认识和理解，了解会计电算化系统运行程序和内部控制制度，加强会计电算化警戒教育和日常操作技能，对电算化会计信息树立良好的思想认识和风险防范意识，减少人为操作和系统运行出错的可能性。
参考文献:
1、 加强事业单位会计电算化条件下内部控制制度刍议 薛康蓉 沿海单位与科技 2007（8） 129-130
2、 浅谈会计电算化条件下的内部控制制度。秦华 财会月刊 2006（2）77-78
【 关键词 】 新版ISO27000；软件行业；信息安全管理体系；PDCA模型
Based on the New ISO27000 to the Understanding of the Software Industry， Information Security
Wen Yan-ge Chen Wen-e Wang Gang
（Tianjin University of Commerce Tianjin 300134）
【 Abstract 】 The effective corporate security system will become the basic requirement of modern enterprise development. As the software industry， good information security system was the core of enterprise competitiveness. This article from the ISO27000 redesign is interpreted accordingly-the enterprise will how to adjust and improve their information security management system to the new standard and new control measures.
【 Keywords 】 the new iso27000； software industry； information security management system； the pdca model
1 引言
如今随着信息化的步伐日益加速以及信息相关技术的飞猛发展，信息资源也日渐成为所有企业维持正常运转的重要资源。信息以及载体信息系统、网络等已经成为了企业生存和发展的重要资产。然而企业的信息安全和数据泄露仍然是企业管理者关注的主要问题之一。大部分企业基于企业实际情况，通过引入国际信息安全管理体系IS027000以及通过最佳的业务实践，建立、实施、运行、监视、评审、保持和改进文件化的信息安全管理体系（即ISMS），实现对信息安全的预控、在控、可控、能控。
而随着2013年的ISO27000的改版，各行各业势必会根据自身信息安全的情况对信息安全体系作出调整。本文将针对软件行业在调整下的信息安全管理体系下，如何更好地保持和改进信息安全体系作出解读，使企业更好地依据标准体系和方法论，制定出符合企业长久发展的信息安全管理体系。
2 ISO标准
2.1 ISO标准及变化
ISO/IEC27000（Information Security Management System Fundamentals And Vocabulary）是信息安全管理体系基础和术语，ISO/IEC 27000提供了ISMS标准族中所涉及的通用术语及基本原则，是ISMS标准族中最基础的标准之一。最新版本于2013年9月25日。
相对于2005版，新版本对于ISMS建立的基础进行了调整和明确，相较于2005年版本以资产和技术为主题，新版标准则把更多的目光投向组织业务关系，更多地考虑到组织自身及利益相关方的需求，这也是时展的整体趋势。新版控制措施ISO27002从旧版的11个领域更新为14个领域，删除了旧版中一些重复的和操作级的控制项。具体是旧版通信与操作管理被划分成为两个独立的领域操作安全和通信安全，足以见新版对这两个领域的重视；新增密码学和供应关系两个独立领域。新版ISO27001将旧版中4.1章节即有关建立和管理ISMS的总要求独立成出来；为了使逻辑性更加严谨，人力资源安全、资产管理以及访问控制位置发生一定改变；从章节上讲，由8个章节拓展到10个章节，重新构建了ISO标准PDCA的章节构架。
2.2 关于PDCA模型
此处对于PDCA模型以及新版标准的划分做一简单说明：PDCA模式是国际认可的模型，很多著名的标准和管理体系都遵循这一模式。该模型是一个很好的周期性框架，每个阶段都与其他阶段相关联。
PDCA模型分别由四部分组成：P（Plan）――建立ISMS， 根据组织的整体策略和目标，确定活动的计划，包括第四至七章（组织背景、领导力、计划、支持）；D（Do）――实施和运作ISMS，实际地去完成计划中的内容，包括第八章（运行）；C（Check）――监视和评审ISMS，总结实施和运作的结果，查找问题，包括第九章（绩效评价）；A（Action）――保持和改进ISMS，对评审的结果做出处理，成功的经验要进行保持和推广，失败的教训要寻找原因，避免下次再出现同样的错误，没有解决的问题放到下一个PDCA循环中，包括第十章（改进）。
PDCA模型是管理学中常用的一个模型。该模型在运作过程中，按照P-D-C-A 的顺序依次进行，一次完整的循环可以看作是管理学上的一个管理周期，每经过一次循环，管理情况就会得到改善，同时进入更高的P-D-C-A周期循环，组织的管理体系不断的得到提升，管理水平也不断提高。而这四个步骤成为一个闭环，通过这个环的不断运转，使信息安全管理体系得到持续改进，使信息安全绩效螺旋上升。
新的内容将使企业的侧重点不同，从上面的论述中明显可以看出新标准在企业建立信息安全体系之前加重了对企业内外环境信息安全的重视，在构建信息安全体系之前需要企业全方位考虑其组织环境、企业资源、管理现状，了解其发展所面临的机遇与风险，从而高标准、高精度、高要求来对待信息安全管理工作。
对于软件行业来说，信息安全体系已初步建立和实施，主要是监视评审并持续改进自身信息安全体系的工作――PDCA模型的C和A。
3 软件行业信息安全现状及新标准变化下应对策略
软件行业是对信息安全要求最高的行业，也是企业引入国际信息安全管理体系IS027000通过认证最多的行业。前面已经提到，软件行业已经初步建立和实施自己的信息安全体系，面对新版ISO27000的要求，大刀阔斧地重新开始构建体系势必会给企业带来大的浪费和困扰。因此，在新的要求下如何监视并改进ISMS是软件行业中企业面临的最大的问题。ISO27001新标准中把旧版4.1独立成章作为建立体系之前的组织环境的了解，将原来的领导力、可实现信息安全的计划、资源等的支持都放入构建ISMS之前，也就是说软件行业在监控并改进信息安全管理体系上要从这些方面完善自身。而这些方面在其信息安全管理措施上简单归纳为两个方面：管理和技术。企业需要通过管理和技术的双方面进行控制和管理来改善信息安全体系。
3.1 管理角度分析
从管理角度考虑，企业信息安全管理体系中所需采取的安全管理方面的措施主要包括物理安全管理、数据安全管理、人员安全管理、软件安全管理、运行安全管理、系统安全管理、技术文档安全管理，通过对风险的技术性控制和管理的实施、部署后，在风险控制管理中能保证防御大量存在的威胁，技术性的控制管理手段不仅包括从简单直至复杂的各种具体的技术手段，还包括系统架构、系统培训以及一系列的软件、硬件的安全设备，这些措施和方式应该配套使用，从而保护关键数据、敏感信息及信息系统的功能。而这些也是ISO27001中第四章组织的背景、第五章领导力、第六章计划、第七章支持对企业的具体要求。
主要管理措施可以从几个方面出发。
（1）建立信息安全管理体系监督机制、在体系运行期间，要进行有效的检查、监督、反馈和沟通，保证信息安全管理体系能够按照公司制订的方针策略，满足公司业务的需求。
（2）根据企业自身的特点，制订可行的奖惩制度，将信息安全的管理纳入到绩效考核，直接与工作和奖金挂钩，将对违反信息安全管理体系规定进行惩罚。
（3）建立内部审核制度，各部门应按照信息安全管理体系的要求，进行自查和由负责部门进行随时抽查，并在每年定期组织检查，对表现好的单位给予嘉奖，同时对违反的单位进行惩罚，并进行公示；同时对信息安全审计、安全事件处理和外部组织进行反馈沟通，检查信息安全管理体系的有效性和合理性。
（4）考虑组织和技术等的变化对信息安全管理体系的影响，应实时更新相关的规章制度，具体变化情况如：组织变化、技术变革、业务目标流程的改变、新的威胁和风险点的出现、法律法规的变化等；通过不断的优化和改善，使信息安全管理体系能够永远适合企业业务的需要。
3.2 技术角度分析
新版ISO270002控制措施中新增和调整了一些措施，涉及信息系统开发、信息安全事件管理、业务连续性管理等部分，这些要求对软件行业中企业的具体实行至关重要。从技术角度考虑，软件行业企业信息安全管理体系中所需采取的安全技术体系包括几个方面。
3.2.1物理环境安全信息系统硬件安全
这是无论旧版控制措施还是新版都没有丝毫改变的控制项，也是软件行业中企业应加强管理的基础。在公司的信息系统硬件管理上，首先对机房的硬件环境进行安全管理，包括温度、湿度、消防、电力等安全管理，对关键的应用需要采取UPS供电，同时采取相应的备份，对硬件的使用率进行实时地监控，避免硬件的使用率过高造成业务持续性的影响，另外需要对硬件的物理环境进行监控，避免非法人员的进入，同时也是对管理员的日常行动进行监控，最后需要对机房人员和物品的出入进行权限的管理和等级制度。
3.2.2操作系统与应用程序安全
这是新版控制措施新增的安全开发策略和系统开发程序等对企业新的要求，保证操作系统与应用程序的安全会保护企业在系统开发和集成工作的安全开发环境，使企业整个开发周期安全。
（1） 操作系统安全。除了进行必要的补丁和漏洞的管理和更新外，最主要的是进行防病毒管理，通过杀毒软件来防止非法的木马、恶意代码、软件对操作系统的安全影响；应用程序安全――直接关系信息系统的安全性，通过硬件、软件的安全保护来保证应用程序的安全。
（2） 密码算法技术。密码学在新版控制措施中独立成为一个领域，这就是企业必须要引起重视的理由，密码算法技术，密码算法技术应用主要是确保信息在传送的过程中不被非法的人员窃取、篡改和利用，同时接收方能够完整无误的解读发送者发送的原始信息。
（3） 安全传输技术与安全协议技术。这是针对新增供应关系领域企业需要加强的技术。为减缓供应商以及其他用户访问企业资产带来的风险，对于重要的系统和对外的访问，进行安全的传输技术，以此来保证信息在传输过程中的安全，避免被非法用户窃取、篡改和利用。
（4） 安全协议技术。主要是指身份认证功能，目前企业系统的安全保护主要都是依赖于操作系统的安全，这样入侵系统就非常容易，因此需要建立一套完善的身份认证系统，其目的是保证信息系统能确认系统访问者的真正身份，身份认证协议都是使用数据加密或数字签名等方法来确认消息发送方的身份。
（5） 信息处理设备冗余部署。这在新版控制措施第十七章信息安全方面的业务连续性管理中作为新增的控制措施，要求企业识别信息系统可用性的业务需求，如果现有系统框架不能保证可用性，应该考虑冗余组建或架构。在适当情况下，对冗余信息系统进行测试，保证在发生故障时可以从一个组件顺利切换到另外一个组件。
4 结束语
信息安全管理体系的建设改进工作是持续进行的，是会随着公司业务的发展、技术的更新、以及新标准的要求等不断变化的。它需要采用科学的方法来保证体系的持续稳定运行，从而使信息安全管理体系化、常态化的保持下去。而新版ISO27000在信息安全体系的工作上，使各行各业都有了新的指导。本文主要针对软件行业做出一定解读。总体来讲，我们需要对己经建立的信息安全管理体系进行监督、完善、优化，这实际上还是要求企业贯彻执行PDCA模型，无论从管理还是具体操作上不断进行PDCA循环，才能使得企业信息安全管理体系不断改进和优化。
参考文献
[1] 高仁斗.企业安全工作中存在的问题与对策[J].中国职业安全卫生管理体系认证，2004（05）.
[2] 蒋永康，朱冬林，潘丰.我国中小企业法律法规体系建设现状及对策[J].管理工程师，2012（06）.
[3] 杨爱民.电子商务安全的现状及对策探讨[J].科技资讯，2006.6.
作者简介：
文艳阁（1993-），女，山西孝义人，天津商业大学，本科（在读）。
论文关键词：金融信息化；信息安全；计算机犯罪
随着金融信息化的加速，金融信息系统的规模逐步扩大，金融信息资产的数量也急剧增加，如何对大量的信息资产进行有效的管理，使不同程度的信息资产都能得到不同级别的安全保护，将是金融信息系统安全管理面临的大挑战同时，金融信息化的加速，必然会使金融信息系统与国内外公共互联网进行互联，那么，来自公共互联网的各类攻击将对金融信息系统的可用性带来巨大的威胁和侵害：
一、计算机网络安全威胁及表现形式
计算机网络具有组成形式多样性、终端分布广泛性、网络的开放性和互联性等特征，这使得网络容易受到来自黑客、恶意软件、病毒等的攻击
(一)常见的计算机网络安全威胁
1．信息泄露：指信息被透漏给非授权的实体。它破坏了系统的保密性。能够导致信息泄露的威胁有网络监听、业务流分析、电磁、射频截获、人员的有意或无意、媒体清理、漏洞利用、授权侵弛、物理侵入、病毒、术马、后门、流氓软件、网络钓鱼等：
2．完整性破坏。可以通过漏洞利用、物理侵犯、授权侵犯、病毒、木马、漏洞等方式文现。
3．拒绝服务攻击：对信息或资源可以合法地访问，却被非法地拒绝或者推迟与时间密切相关的操作：
4．网络滥用：合法刚户滥用网络，引入不必要的安全威胁，包括非法外联、非法内联、移动风险、设备滥用、业务滥用。
(二)常见的计算机网络络安全威胁的表现形式
1．窃听。攻击者通过监视网络数据的手段获得重要的信息，从而导致网络信息的泄密。
2．重传。攻击者事先获得部分或全部信息，以后将此信息发送给接收者。
3．篡改。攻击者对合法用户之间的通信信息进行修改、删除、插入，再将伪造的信息发送给接收者，这就是纯粹的信息破坏，这样的网络侵犯者被称为积极侵犯者。积极侵犯者的破坏作用最大。
4．拒绝服务攻击：攻击者通过某种方法使系统响应减慢甚至瘫痪，阻止合法用户获得服务。
5．行为否认。通信实体否认已经发生的行为。
6．电子欺骗。通过假冒合法用户的身份进行网络攻击，从而达到掩盖攻击者真实身份，嫁祸他人的目的：
7．非授权访问。没有预先经过同意，就使用网络或计算机资源
8．传播病毒。通过网络传播计算机病毒，其破坏性非常高，而且用户很难防范：
二、金融计算机犯罪的特征和手段
由于计算机网络络安全威胁的存存，不法分子通过其进行金融犯罪。金融计算机犯罪，已经引起我国立法部门的高度重视，在新《刑法》中已将金融计算机犯罪列为重点，第285，286，287条有明文规定。
(一)银行系统计算机犯罪的特征：
1．涉案人多为内部人员。由于金融业务都是通过内部计算机网络完成的，所以了解金融业务流程、熟悉计算机系统运行原理、对金融内部控制链上存在的漏洞和计算机程序设计上的缺陷比较清楚的内部职员，往往比其他人员更容易了解软件的“硬伤”，更容易掌握犯罪的“窍门”以达到犯罪的目的。据有关部门统计，我国金融系统发生的计算机犯罪案件，九成以上是内部人员或内外勾结作案的。
2．手段隐蔽，痕迹不明显：计算机犯罪智能化程度高，大多数犯罪分子熟悉计算机技术，可运用正常的操作规程，利用合法的账户进入金融计算机网络，篡改计算机源程序或数据。这种犯罪短时期内不易被发觉。同时，犯罪分子作案迅速，所留痕迹甚少，隐蔽时间较长，一时不易暴露。
3．犯罪情节严重：犯罪分子突破计算机安全防护系统后，盗窃多少资金完全由犯罪分子任意输人，动辄十几万、上百万元，行为肆无忌惮，数目触目惊心，导致了金融资金的巨大损失。
4．社会危害严重。由于金融的特殊地位和其在保持社会稳定方面所起的审要作用，一旦发生计算机犯罪，会带来一系列的连锁反应，引起储户的不满，再加上舆论导向的渲染，有可能造成堪设想的后果。
(二)银行系统计箅机犯罪的手段
1．终端机记账员作案。记账员利用其直接在终端操作计算机，熟悉记账过程及账务处理过程的作方便，进行犯罪。
2．终端复核员(包括出纳员)作案。终端复核员利用与记账员一同办理终端业务的机会，进行犯罪。
3．系统管理员(包括主任、主机管理员)作案。系统管理员借助管理系统的特殊权限，利用系统正常命令、程序反向错误操作作案；自编程序进行作案；修改账务及数据资料作案；利用系统终端私自记账、复核作案；为犯罪分子提供方便。
4．软件人员作案：软件人员利用t作之便伪造干旱序及熟悉操作程序，进行作案
5．硬件人员作案硬件人员利用t作之便，进行犯罪作案。
6．行内其他人员作案。分理处、储蓄所的其他人员利用接近计算机业务柜的机会，伺机作案：
7．行外人员作案：利用银行管理中的某些漏洞作案；与行内人员相互勾结作案：
三、金融计算机信息泄密途径
金融行业是具备特有的高保密性的行业，然而随着信息技术的迅猛发展与广泛应用，窃密手段更加隐蔽，泄密的隐患增多，泄密所造成的危害程度加大，保密工作面临许多新情况、新问题。具体而言，金融汁箅机信息泄密的途径主要有以下几个方面。
(一)计算机电磁波辐射泄密
计算机设备工作时辐射出的电磁波，可以借助仪器设备在一定范围内收到，尤其是利用高灵敏度的仪器可以稳定、清晰地看到计算机正在处理的信息。因此，不法分子只要具有相应的接收设备，就可以将电磁波接收，从中窃取秘密信息。
(二)计算机剩磁效应泄密
计算机的存储器分为内存储器和外存储器两种。存储介质中的信息被删除后有时仍会留下可读信息的痕迹，存有秘密信息的磁盘被重新使用时，很可能被犯罪分子非法利用磁盘剩磁效应提取原记录的信息。比如，计算机出故障时，存有秘密信息的硬盘不经处理或无人监督就带修殚，就会造成泄密。此外，在有些信息系统中，删除文件仅仅只删掉文件名，原文还原封不动地保留在存储介质中，一旦被利用，就会造成泄密。
(三)计算机联网泄密
计算机网络化使我们可以充分地享受网上的信息资源，然而联网后，计算机泄密的渠道和范围大大增加，主机与用户之间、用户与用户之间通过线路联络，使其存在许多泄密漏洞。窃密者只要在网络中任意一条分支信道上或某一个节点、终端进行截取，就可以获得整个网络输送的信息。如果在计算机操作中，入网口令不注意保密和及时更换，入网权限不严密，超级用户无人舱管，信息传输不进行加密处理，局域网和互联网没有做到完全的物理隔离，等等，都有可能使计算机遭到黑客、病毒等的攻击，导致严重的泄密事件发生。
四、金融计算机网络犯罪的成因
(一)防范意识和能力差
不少计算机主管领导和系统管理人员对计算机犯罪的严重危害性认识不足，防范意识低，堵截能力差，同时，计算机安全组织不健全，安全教育不到位，没有彤成强有力的安全抵御防线。这些是导致计算机犯罪案件发生的重要原因：
(二)内控机制不完善，管理制度不落实
主管部门对计算机安全检查不到位，监督检查不力，不能及时发现和堵塞安全漏洞；不少单位在系统开发运行过程中，缺乏有效的内部制约机制。
(三)现代管理手段滞后
金融电子化项目从立项、开发，到验收、运行等各环节没有形成一套完整、科学的安全防范体系，从而使犯罪分子有机会利用计算机进行作案。
(四)密级不分，人人都是“千手观音”
通过案发后，案件侦破时，案发单位员工都是怀疑对象这点，更反映出金融系统计算机管理的薄弱环节。只要是工作人员，都能轻车熟路进入计算机系统进行操作。而且使用的密码和程序简单易猜，造成人人都能使用，致使现问题后不能锁定固定知情人。
五、金融计算机犯罪的防范措施
(一)制度保障
一定要根据本单位的实际情况和所采用的技术条件，参照有关的法规、条例和其他单位的版本，制定出切实可行又比较全面的各类安全管理制度，主要包括操作安全管理制度、场地与实施安全管理制度、设备安全管理制度、操作系统和数据库安全管理制度、计算机网络安全管理制度、软件安全管理制度、密钥安全管理制度、计算机病毒防治管理制度等。
制度的建立切忌流于形式，重要的是落实和监督。尤其是在一些细小的环节上更要注意，如系统管理员应定期及时审查系统日志和记录；重要岗位人员调离时，应进行注销，并更换业务系统的口令和密钥，移交全部技术资料，但不少人往往忽视执行这一措施的及时性；又如防病毒制度规定，要使用国家有关主管部门批准的正版查毒杀毒软件适时查毒杀毒，而不少人仍使用盗版杀毒软件，使计算机查杀病毒时又染上了其他病毒。
(二)技术保障
1．减少辐射：为了防止电磁波辐射泄密，在选购计算机产品时，要使用低辐射计算机设备。根据辐射量的大小和客观环境，对计算机机房或主机内部件加以屏蔽，在专用的计算机上安装微机视频保护机等设施，并采取一定的技术措施，对计算机的辐射信号进行十扰，增加接收还原解读的难度，保护计算机辐射的秘密信息。
2．物理隔离：涉及国家秘密的计算机信息系统，不得直接或间接地与围际互联网或其他公共信息网络相连接，必须实行物理隔离。与外部网相连的计算机不得存储、处理和传递内部信息，在互联网上提取的信息也必须经杀毒处理后再接入局域网内供内部使用。
3．加强存储介质管理。对涉密信息进行清除处理时所采用的信息清除技术、设备和措施，应符合国家相关保密规定。使用u盘时应注意修改计算机系统中的注册表，将系统各个磁盘的自动运行功能禁止；使用u盘进行数据文件存储和拷贝时，打开计算机系统巾防病毒软件的“实时监控”功能，避免病毒文件入侵感染，同时打开“文件夹”选项中“隐藏受保护的操作系统文件”选项，并选择“显示所有文件和文件夹”选项，以便u盘被感染后能及时发现病毒；外来u盘接人计算机系统时，切勿双击打开，一定要先经过杀毒处理，或是采用具有u盘病毒免疫功能的杀毒软件查杀后，再接入计算机系统，同时关闭“自动播放”功能。
4．数据加密。在软件方面，应加大在开发过程中加密软件的开发投入，对重点涉密的应用软件，加密设计要达到网络级水平，从而最大限度地保证信息的全与保密。对涉密信息要做到加密保存，对存储有涉密信息的计算机要设置开机密码、屏保密码等。
5．设置权限。将内部计算机维护权限与操作权限、数据权限分开，对不同的操作人员设置等级不同的权限，根据实际权限来分配查阅、修改文件内容等业务范围。
(三)管理保障
1．提高安全管理意识。一是要加强对“物”的管理。对录有秘密文件的硬盘、软盘，要明确标示密级标志和编号，执行统一的登记和销毁制度；对涉密较多的场所如打字室、机要室要设立相应的保密控制区，明确专人负责维护与保障；严格执行“上网信息不涉密、涉密信息不上网”的规定，明确专人负责信息的审查与审核。二是要加强对人的管理。要抓好涉密人员的选配和日常的考察，做到不合格的人员坚决不用；对有问题的人员要及时处理，严明纪律。
2．加大安全管理力度。金融系统各级领导要充分认识到计算机犯罪对金融信誉和资金的危害，认真部署计算机安全防范工作，提高系统、网络的管理能力；强化系统开发、管理、操作人员的政治思想和安全教育，严格要害岗位人员的审查和管理。
[关键词]信息安全 项目 教学改革
[中图分类号] G642 [文献标识码] A [文章编号] 2095-3437（2013）09-0009-03
一、引言
积极为地方经济服务，在服务中求生存与发展，对于地方高校，特别是新建本科院校的生存和发展，具有很强的现实意义。例如，梧州学院的办学目标是成为广西与粤港澳科技文化教育交流与合作的桥梁，成为一所适应梧州市和泛珠三角经济区、中国-东盟自由贸易区支柱产业发展需要，特色和优势鲜明，充满活力的综合性、实用性本科院校。因此，在人才的知识结构和能力体系培养方面，应强调培养理论基础扎实、知识结构合理、动手能力强、具有创新精神的应用型人才。
二、梧州学院2012年大学生学风建设的调研对实践教学改革的启示
2012年10月-11月，学生工作部共发放问卷1200份，回收有效问卷1084份，问卷回收率为90.33%。其中，学生代表共753人，包括本科、专科，覆盖一、二、三、四年级，每个年级所发数目均等。问卷的主要内容是学习状态、学习动力、学习困难、学习习惯、读书、自习、学风中需要改进的问题。其中与实践教学有关的调研结果如下：
（一）你认为我校学风方面目前存在的最主要的问题是（多选）
A.缺乏学习动力，厌学，为考试而学。（选择A项的占总数的45.95%）
B.没有学习、学术气氛。（选择B项的占总数的26.56%）
C.迷恋上网游戏。（选择C项的占总数的8.63%）
D.学习纪律意识差，迟到旷课现象严重。（选择D项的占总数的11.42%）
E.浮躁不踏实，考试突击。（选择E项的占总数的9.56%）
F.满于现状，进取心不强。（选择F项的占总数的8.23%）
G.创新性不强，缺乏实践能力。（选择G项的占总数的15.14%）
H.考试作弊。（选择H项的占总数的5.71%）
I.其他（为文字填充项）。（选择I项的占总数的3.19%）
（二）你认为目前学习中最大的问题（此项为多选）
A.不喜欢所学专业，负担太重。（选择A项的占总数的13.15%）
B.学习方法不科学，效率不高。（选择B项的占总数的30.68%）
C.所学内容过于枯燥、陈旧，学习兴趣不浓。（选择C项的占总数的20.19%）
D.只掌握了书本知识、缺乏实践能力。（选择D项的占总数的28.82%）
E.没有明确目标，很迷茫，不知道未来在哪里。（选择E项的占总数的18.33%）
从结果中可以看到，为考试而学、缺乏学习气氛、缺乏实践能力会极大影响学生的学习积极性。而学习方法不科学、学习内容枯燥、缺乏实践能力是目前学习中遇到的主要问题。所以，在信息安全专业教学中，提高信息安全实践性教学比例，加强培养学生的实践动手能力，对专业教学效果的提升会有明显作用。
三、地方高校信息安全专业实践教学需要解决的关键问题
（一）实践教学基础较为薄弱
对信息安全专业实践教学要求认知不足，早期教学计划中实践环节内容覆盖不够全面，多数信息安全实践教学依托软件工程等传统的计算机专业教学环境。例如开设汇编语言、Java语言等课程时有相应的实验教学。而在网络安全编程、入侵检测、专业安全防御软件实践能力培养方面的实践性教学比例偏低。另外，受实验设备等客观条件限制，信息安全硬件开发设计方面的教学在地方高校中缺少实践教学环节；对常用网络安全设备安装与配置等网络安全实践教学，也由于缺少专门的信息安全设备很难进行。
（二）实验室教学人员和任课教师需要提高专业技术水平
在地方高校由于缺乏足够的培训和对外交流，以及对实验室教学人员在高校中的地位和作用缺乏足够认识，一般实验室教学人员不具备实践教学所需的管理能力，工作积极性也不高，对特殊实验中使用的仪器设备了解很少，无法对实验设备进行有效管理和充分利用，比如某些病毒、木马实验根本无法完成。实验室教学人员要课前与任课教师做好充分沟通与测试评估，做好实验环境规划与安全防范措施。
（三）缺少实验仪器设备以及未能对现有设备有效维护
梧州学院计算机教学实验室配置的主要设备有台式电脑、曙光服务器等。随着信息安全技术的快速发展，对信息安全专业实践教学要求的不断提升，需要更复杂的软硬件环境，不仅需要计算机、三层交换机、二层高性能交换机、路由器等网络平台设施，还需要防火墙、IDS等在实际商用环境中常见的专用信息安全设备系统。而作为地方高校的财力投入，未能一步到位购置最新的完整软硬件实践教学平台是正常情况，这对培养应用型人才有一定制约作用。另外在设备出现故障时，经常遇到本地设备提供商快速响应能力不足、维修技术有限，导致售后不能进行及时有效的维修，造成一些精密仪器设备破损。
（四）实践教学体系不够完善
早期制定的信息安全专业培养计划侧重于理论教学，实践教学的内容是作为理论教学的辅助和补充，没有结合自身办学特点建立有针对性的信息安全专业实践教学体系。实践教学内容只是单一地围绕课程知识点进行验证性实验，缺少专门的实验课程和增强性的实践环节。由于实验内容偏重于验证，结论已知，学生只是按照课本所示得到最终结果，没有自主发挥的地方，造成学生的学习兴趣下降，容易敷衍完成。这样的实践教学不容易培养学生的创新能力、动手能力和解决实际问题的能力，缺乏师生之间的互动，不利于教师了解教学效果，改进教学方法。
四、依托科研项目建立科学合理的信息安全专业实践教学体系
在信息安全本科专业应用型人才培养中，强调理论与实践的结合，要求培养的人才具有宽阔的知识面、较强的实践动手能力、快速的知识更新能力。[5]因此，基于实践能力培养的规律性，按强化基础、循序渐进、重视创新的原则，根据梧州学院人才培养目标是为地方经济建设培养高级应用型人才的特点，依托学院与政府部门和企事业单位签订的大量科技开发项目，我们研究探索了依托科研项目来建设信息安全专业实践教学体系。主要包含以下三个部分。
（一）项目团队建设与实验室建设并重
2010年以来信息安全专业分别引进博士，从中国移动公司引进有丰富实践经验的高级工程师，参与实践教学环节，充实了实践教学的一线教师队伍。
同时，学院还设立网络与信息安全研究所，给予一定启动经费，资助年轻教师依托各级科研项目和本地科技开发项目锻炼团队，有效提升了教师队伍解决实际问题，进行科技攻关的能力，为实践教学提供很多真实案例和经验。而且在项目开发过程当中，需要针对客户需要，构建出各种适合业务要求的网络与硬件测试运营环境，通过沟通，实验室教学人员从中可得到很好的综合型实验思路，有效完成对相关知识的更新，进一步推动了实验室教员自身素质的提高。
（二）课程实验与项目产品研发配合
基本课程实验依据具体课程设立，要求学生必须完成。综合实验面向高年级本科生开设，需要综合运用多门专业课知识。部分综合实验由任课教师融入项目产品的测试环节，将产品测试流程、测试技术与测试工具使用说明编入实践教学内容，利用教学实验平台，锻炼学生的专业实践能力，让学生实际参与项目产品的测试。
为了满足信息安全专业实践教学工作需求，要建立信息安全实验环境。考虑到应该优先利用现有硬件条件，在学院网络中心进行服务器虚拟化操作，建立集中且易于管理的资源池给原来分散的学院各个业务系统使用，然后把剩余的服务器，跟软件实验室组成封闭的网络。因为网络信息安全专业课程实验具有一定破坏性，建立封闭的实验环境很有必要，这样实验时不会对其他网络系统带来影响。信息安全实验环境所需要的软件平台，学院给予教学改革项目立项，由专业课程任课教师承担，根据专业课程要求，指导学生开发各门课程的实验软件，这个过程能够加强学生理解专业知识。利用上述方法建成的信息安全专业基础实验平台，主要承担密码学、入侵检测技术、计算机病毒原理等课程中的基础验证项目，如密码学实验中的DES、AES、RSA密码、数字签名、计算机文件加密、通信加密等实验项目，计算机病毒原理及软件安全实验中的软件漏洞机理分析、软件漏洞利用实例分析、安全防护工具分析等实验项目。
（三）推进项目研发成果产业化与本地网络安全服务外包
为了培养学生的实践能力和创新意识，利用学过的知识及积累经验，针对各级业余科研项目、校内外科研竞赛项目、校外实践基地项目、信息安全应用领域科研子课题，鼓励学生以团队方式提出有创意的设计方案并加以实现，从而提高实践创新能力，培养团队合作与协作能力。这些项目研发成果的产业化过程，为学生自主创业提供了动力。
除了利用各级科研项目，学生还能依靠梧州学院校内实践平台――大学生综合发展中心，通过课程体系、模训体系、实践体系和行动体系进行教育实践活动，承接本地企事业单位的网络安全服务外包项目，在实践中得到更大的成长空间。
五、结束语
针对学院信息安全专业实践教学方面存在的不足之处，通过将项目团队建设与实验室建设并重，课程实验与项目产品研发配合，推进项目研发成果产业化与本地网络安全服务外包等措施，推动为项目服务的实践教学改革，提高信息安全专业实践性教学比例。
[ 参 考 文 献 ]
[1] 顾纯祥，徐洪，郑永辉.信息安全专业实践教学方法探讨[J].Proceedings of 2011 National Teaching Seminar on Cryptography and Information Security，2011，（1）.
[2] 王小军，刘顺兰，黄骞儒.信息安全专业实践教学体系的构建与探索[J].杭州电子科技大学学报（社会科学版），
2011，（7）：66-68
[3] 延霞，关于高职信息安全技术专业实践教学体系建设的思考[J].职业教育研究，2011，（10）：116-117
购物车(0)