时间：2023-10-12 09:45:56
导语：在企业信息安全现状的撰写旅程中，学习并吸收他人佳作的精髓是一条宝贵的路径，好期刊汇集了九篇优秀范文，愿这些内容能够启发您的创作灵感，引领您探索更多的创作可能。
【关键词】煤矿 信息网络信息系统 网络安全
随着信息技术、网络技术、自动化技术、视频技术、传感器技术等一系列先进技术的快速发展和融合，煤矿企业信息网络建设也取得了丰硕成果。目前国内大、中型煤矿企业基本上都已经构建和装备了企业互联网、工业以太网、监测监控、人员定位、工业控制等信息系统，这些信息系统已经深入到煤矿安全生产的方方面面，而且很多工业系统自动化程度非常的高，比如提升系统、选煤系统等已经实现了无人操作，远程开停、故障闭锁等，操作人员只需要对运行的参数进行观测和记录，大大提高了人员工作效率、增强了企业的核心竞争力。所以今天煤矿企业信息网安全就显得尤为重要，本文将就煤矿企业信息网络安全现状及重要性进行分析和探究。
1 现状分析
我国中、大型煤矿企业建设和应用了大量的信息系统和工业控制系统，并且这些信息系统已经深入到生产经营的方方面面，促使煤矿企业从传统的密集型、重体力生产模式向“采掘机械化、生产自动化、管理信息化”模式转变，有力地提升了煤矿企业管理效率，加速了煤矿的企业转型升级。但是煤矿企业在信息网络安全管理方面还存在诸多问题：
1.1 企业管理人员对信息网络安全的重要性认识不足
主要表现在四点，一是没有建立完善的信息网络组织体系，相关的制度建立和落实不到位。二是企业大都没有编制详实可行的信息网络安全预案，也没有进行相关的应急演练；三是信息网络安全方面的投入比较少，企业安全防护设施不全；四是企业管理人员对于信息网络安全的知识非常欠缺，只注重信息系统具体应用和预设功能，对于操作可能带来的网络威胁没有防范意识。
1.2 信息孤岛与信息网络安全之间的矛盾日益冲突
早期煤矿企业建设的信息系统和工业控制系统都是一个单一的个体，相互独立，之间没有任何联系，随着信息技术的发展和企业管控一体化进程的不断推进。“信息孤岛”的问题得到了很大程度的解决，但同时产生的信息网络安全问题也日益突出。“信息孤岛”的消除依赖网络的广泛应用，而网络正是信息安全的薄弱环节。消除“信息孤岛”势必使工业控制系统增加大量的对外联系通道，这使得信息网络安全面临更加复杂的环境，安全保障的难度大大增加。
1.3 信息安全管理人员信息安全知识和技能不足，主要依靠外部安全服务公司的力量
主要原因有三点：
（1）煤矿企业地处偏远山区、工作环境和生活环境相对都比较差，很难招聘到高科技人才，即是招到人也很难留下来。
（2）企业以煤炭生产、加工、销售为主业，信息技术人才发展空间小、大多数人员都只是从事信息维修工和桌面支持之类的工作。
（3）信息安全管理人员长期得不到培训和学习的机会，信息技术知识的储备量有限、业务水平处在较低的一个水平，所以只能依靠外部安全服务公司。
1.4 信息网络安全防护设备利用率低，很难发挥应有的功能
煤矿企业在信息网络建设初期都会做网络安全方面的布置，比如在网络边界架设防火墙、入侵检测设备，在内部部署杀毒软件，形成了软硬件相结合的防御模式，可是很多企业的防火墙和入侵检测设备从安装到被替换可能从来都没有做过配置更新，和漏洞修复、打补丁之类的操作，大多数的员工电脑也从不安装杀毒软件，这就做法无形中弱化了我们防御的盾牌和进攻的长矛，使网络安全防护设备长期处于半“休眠”状态。
2 重要性
“没有网络安全就没有国家安全”，在浙江乌镇世界互联网大会上提出的网络安全观，足以证明网络安全对于国家的重要性。那么同样对于现今充分利用信息网络和工业控制系统的现代化煤矿企业来说，如果没有足够的信息网络安全也就没有企业的安全生产。信息技术是一把“双刃剑”，它改变了企业的生产方式，优化了企业的管理流程，提高了企业管理效率，可是同样却又不得不将企业置身于互联网之中。互联网是一个“超领土”存在的虚拟空间，存在各种潜在的威胁，比如利用木马、病毒、远程攻击、控制等方式，泄露企业的商业机密、修改控制系统指令、攻陷服务器、盗取个人信息等，这些都有可能对企业造成严重安全事故和经济损失。这些还只是企业内部的损失，很多大、中型煤矿企业为了提升企业管理效率都开通与集团公司之间的专线VPN，承载了很多应用服务包括协同OA、生产调度、销售等等的数据都要进行通信，如果信息网络安全受到攻击瘫痪，都会对企业的生产经营造成影响，更有甚者可能通过煤矿企业本地发起攻击，致使整个集团的信息网络受到严重威胁，所以煤矿企业管理人员一定要树立正确的信息网络安全观，充分认知信息网络安全的重要性，加快构建关键信息基础设施安全保障体系，增强企业信息网络安全的防御能力。
3 总结
总之，信息网络技术发展的今天，信息网络安全已经是每一个煤矿企业必须面对和正视的问题，也是每一个企业管理者应该积极参与和考虑的问题。古人云“知己知彼 百战不殆”，煤矿企业应该立即行动起来，通过开展关键信息基础设施网络安全检查，准确掌握企业关键基础设施的网络安全状况，详细评估企业所面R的网络安全威胁，制定对应的防范措施，构建企业信息网络安全的“防火墙”，为企业安全生产经营、职工娱乐生活营造一个安全、稳定、健康的网络环境。
参考文献
[1]陈龙.煤炭企业网络安全建设与管理探究[J].煤炭技术，2013.
[2]刘永军.关于煤炭网络信息安全问题分析及对策研究[J].科技创新与应用，2014.
关键词：企业信息化；信息安全管理体系；信息安全保障
1 企业信息安全需求与目标
近年来随着企业信息系统建设的不断发展，企业的信息化安全也面临着前所未有的挑战。作为中国高速列车产业化制造基地和城轨地铁车辆定点制造企业，公司的发展对高速动车行业产生着举足轻重的作用；从企业信息安全现状分析，公司IT部门主管深深意识到，尽管从自身情况来看，在信息安全方面已经做了很多工作，如部署了防火墙、SSL VPN、入侵检测系统、入侵防御系统、防病毒系统、文档加密、终端安全管理系统等。但是安全系统更多的在于防堵来自某个方面的安全威胁，无法产生协同效应，距离国际同行业企业还存在一定的差距。
公司通过可行性研究及论证，决定借助外力，通过知名的咨询公司协助企业发现存在的信息安全不足点，以科研项目方式，通过研究国家安全标准体系及国家对央企和上市企业的信息化安全要求，分析企业目前的现状和国际标准ISO27001之间的差距，继而完善企业信息安全体系的规划与设计，最终建立一套适合企业现状的信息安全标准和管理体系。目标是使公司信息安全从管理到技术均得到全面加强，建立一个有责（职责）、有序（秩序）、有效（效率）的信息安全管理体系，预防信息安全事件的发生，确保更小的业务损失，提供客户满意度，获取更多的管理支持。在行业内树立标杆和示范，提升企业形象，赢取客户信任，增强竞争力。同时，使信息安全体系通过信息安全管理体系通过ISO 27001认证标准。
2 企业信息安全管理体系建设过程
凡事预则立，不预则废。对于信息安全管理建设的工作也先由计划开始。信息安全管理体系建设分为四个阶段：实施安全风险评估、规划体系建设方案、建立信息安全管理体系、体系运行及改进。也符合信息安全管理循环PDCA（Plan-Do-Check-Action）模型及ISO27001要求，即有效地保护企业信息系统的安全，确保信息安全的持续发展。本文结合作者经验，重点论述上述几个方面的内容。
2.1 确立范围
首先是确立项目范围，从机构层次及系统层次两个维度进行范围的划分。从机构层次上，可以考虑内部机构：需要覆盖公司的各个部门，其包括总部、事业部、制造本部、技术本部等；外部机构：则包括公司信息系统相连的外部机构，包括供应商、中间业务合作伙伴、及其他合作伙伴等。
从系统层次上，可按照物理环境：即支撑信息系统的场所、所处的周边环境以及场所内保障计算机系统正常运行的设施。包括机房环境、门禁、监控等；网络系统：构成信息系统网络传输环境的线路介质，设备和软件；服务器平台系统：支撑所有信息系统的服务器、网络设备、客户机及其操作系统、数据库、中间件和Web系统等软件平台系统；应用系统：支撑业务、办公和管理应用的应用系统；数据：整个信息系统中传输以及存储的数据；安全管理：包括安全策略、规章制度、人员组织、开发安全、项目安全管理和系统管理人员在日常运维过程中的安全合规、安全审计等。
2.2 安全风险评估
企业信息安全是指保障企业业务系统不被非法访问、利用和篡改，为企业员工提供安全、可信的服务，保证信息系统的可用性、完整性和保密性。
本次进行的安全评估，主要包括两方面的内容：
2.2.1 企业安全管理类的评估
通过企业的安全控制现状调查、访谈、文档研读和ISO27001的最佳实践比对，以及在行业的经验上进行“差距分析”，检查企业在安全控制层面上存在的弱点，从而为安全措施的选择提供依据。
评估内容包括ISO27001所涵盖的与信息安全管理体系相关的11个方面，包括信息安全策略、安全组织、资产分类与控制、人员安全、物理和环境安全、通信和操作管理、访问控制、系统开发与维护、安全事件管理、业务连续性管理、符合性。
2.2.2 企业安全技术类评估
基于资产安全等级的分类，通过对信息设备进行的安全扫描、安全设备的配置，检查分析现有网络设备、服务器系统、终端、网络安全架构的安全现状和存在的弱点，为安全加固提供依据。
针对企业具有代表性的关键应用进行安全评估。关键应用的评估方式采用渗透测试的方法，在应用评估中将对应用系统的威胁、弱点进行识别，分析其和应用系统的安全目标之间的差距，为后期改造提供依据。
提到安全评估，一定要有方法论。我们以ISO27001为核心，并借鉴国际常用的几种评估模型的优点，同时结合企业自身的特点，建立风险评估模型：
在风险评估模型中，主要包含信息资产、弱点、威胁和风险四个要素。每个要素有各自的属性，信息资产的属性是资产价值，弱点的属性是弱点在现有控制措施的保护下，被威胁利用的可能性以及被威胁利用后对资产带来影响的严重程度，威胁的属性是威胁发生的可能性及其危害的严重程度，风险的属性是风险级别的高低。风险评估采用定性的风险评估方法，通过分级别的方式进行赋值。
2.3 规划体系建设方案
企业信息安全问题根源分布在技术、人员和管理等多个层面，须统一规划并建立企业信息安全体系，并最终落实到管理措施和技术措施，才能确保信息安全。
规划体系建设方案是在风险评估的基础上，对企业中存在的安全风险提出安全建议，增强系统的安全性和抗攻击性。
在未来1-2年内通过信息安全体系制的建立与实施，建立安全组织，技术上进行安全审计、内外网隔离的改造、安全产品的部署，实现以流程为导向的转型。在未来的 3-5 年内，通过完善的信息安全体系和相应的物理环境改造和业务连续性项目的建设，将企业建设成为一个注重管理，预防为主，防治结合的先进型企业。
2.4 企业信息安全体系建设
企业信息安全体系建立在信息安全模型与企业信息化的基础上，建立信息安全管理体系核心可以更好的发挥六方面的能力：即预警（Warn）、保护（Protect）、检测（Detect）、反应（Response）、恢复（Recover）和反击（Counter-attack），体系应该兼顾攘外和安内的功能。
安全体系的建设一是涉及安全管理制度建设完善；二是涉及到信息安全技术。首先，针对安全管理制度涉及的主要内容包括企业信息系统的总体安全方针、安全技术策略和安全管理策略等。安全总体方针涉及安全组织机构、安全管理制度、人员安全管理、安全运行维护等方面的安全制度。安全技术策略涉及信息域的划分、业务应用的安全等级、安全保护思路、说以及进一步的统一管理、系统分级、网络互联、容灾备份、集中监控等方面的要求。
其次，信息安全技术按其所在的信息系统层次可划分为物理安全技术、网络安全技术、系统安全技术、应用安全技术，以及安全基础设施平台；同时按照安全技术所提供的功能又可划分为预防保护类、检测跟踪类和响应恢复类三大类技术。结合主流的安全技术以及未来信息系统发展的要求，规划信息安全技术包括：
2.5 体系运行及改进
信息安全管理体系文件编制完成以后，由公司企划部门组织按照文件的控制要求进行审核。结合公司实际，在体系文件编制阶段，将该标准与公司的现有其他体系，如质量、环境保护等体系文件，改归并的归并。该修订审核的再继续修订审核。最终历经几个月的努力，批准并实施了信息安全管理系统的文档。至此，信息安全管理体系将进入运行阶段。
有人说，信息系统的成功靠的是“三分技术，七分管理，十二分执行”。“执行”是要需要在实践中去体会、总结与提高。对于信息系统安全管理体系建设更是如此！在此期间，以IT部门牵头，加强宣传力度，组织了若干次不同层面的宣导培训，充分发挥体系本身的各项功能，及时发现存在的问题，找出问题根源，采取纠正措施，并按照更改控制程序要求对体系予以更改，以达到进一步完善信息安全管理体系的目的。
3 总结
总结项目，建立健全的信息安全管理制度是进行安全管理的基础。当然，体系建设过程中还存在不足，如岗位原有职责与现有安全职责的界定，员工的认知及接受程度还有待提高，体系在各部门领导重视程度、执行力度、审核效果存在差距等等。最终，在公司各部门的共同努力下，体系经历了来自国际知名品牌认证公司DNV及中国认可委（CNAS）的双重检验，并通过严格的体系审核。确认了公司在信息安全管理体系达到国内和国际信息安全管理标准，提升公司信息安全管理的水平，从而为企业向国际化发展与合作提供有力支撑。
[参考文献]
[1]沈昌祥.《信息系统安全导论》.电子工业出版社，2003.7.
随着企业信息化水平的提升，大多数企业在信息安全建设上逐步添加了上网行为管理、内网安全管理等新的安全设备，但信息安全防护理念还停留在防的阶段，信息安全策略都是在安全事件发生后再补救，导致了企业信息防范的主动性和意识不高，信息安全防护水平已经越来越不适应当今企业IT运维环境和企业发展的需求。
2企业信息系统安全防护的构建原则
企业信息化安全建设的目标是在保障企业数字化成果的安全性和可靠性。在构建企业信息安全体系时应该遵循以下几个原则：
2.1建立企业完善的信息化安全管理体系
企业信息安全管理体系首先要建立完善的组织架构、制定信息安全管理规范，来保障信息安全制度的落实以及企业信息化安全体系的不断完善。基本企业信息安全管理过程包括：分析企业数字化资产评估和风险分析、规划信息系统动态安全模型、建立可靠严谨的执行策略、选用安全可靠的的防护产品等。
2.2提高企业员工自身的信息安全防范意识
在企业信息化系统安全管理中，防护设备和防护策略只是其中的一部分，企业员工的行为也是维护企业数字化成果不可忽略的组成。所以企业在实施信息化安全管理时，绝对不能忽视对人的行为规范和绩效管理。在企业实施企业信息安全前，应制定企业员工信息安全行为规范，有效地实现企业信息系统和数字化成果的安全、可靠、稳定运行，保证企业信息安全。其次阶段递进的培训信息安全人才也是保障企业数字化成果的重要措施。企业对员工进行逐次的安全培训，强化企业员工对信息安全的概念，提升员工的安全意识。使员工的行为符合整个企业信息安全的防范要求。
2.3及时优化更新企业信息安全防护技术
当企业对自身信息安全做出了一套整体完善的防护规划时，就应当考虑采用何种安全防护技术来支撑整个信息安全防护体系。对于安全防护技术来说可以分为身份识别、网络隔离、网络安全扫描、实时监控与入侵发现、安全备份恢复等。比如身份识别的目的在于防止非企业人员访问企业资源，并且可以根据员工级别分配人员访问权限，达到企业敏感信息的安全保障。
3企业信息安全体系部署的建议
根据企业信息安全建设架构，在满足终端安全、网络安全、应用安全、数据安全等安全防护体系时，我们需要重点关注以下几个方面：
3.1实施终端安全，规范终端用户行为
在企业信息安全事件中，数字化成果泄漏是属于危害最为严重的一种行为。企业信息安全体系建立前，企业员工对自己的个人行为不规范，造成了员工可以通过很多方式实现信息外漏。比如通过U盘等存储介质拷贝或者通过聊天软件传递企业的核心数字化成果。对于这类高危的行为，我们在建设安全防护体系时，仅仅靠上网行为管理控制是不能完全杜绝的。应该当用户接入企业信息化平台前，就对用户的终端系统进行安全规范检查，符合企业制定的终端安全要求后再接入企业内网。同时配合上网行为管理的策略对员工的上网行为进行审计，使得企业员工的操作行为符合企业制定的上网行为规范，从终端用户提升企业的防护水平。
3.2建设安全完善的VPN接入平台
企业在信息化建设中，考虑总部和分支机构的信息化需要，必然会采用VPN方式来解决企业的需求。不论是采用SSLVPN还是IPSecVPN，VPN加密传输都是通用的选择。对于分支机构可以考虑专用的VPN设备和总部进行IPSec连接，这种方式更安全可靠稳定。对于移动终端的接入可以考虑SSLVPN方式。在这种情况下，就必须做好对于移动终端的身份认证识别。其实我们在设备采购时，可以要求设备商做好多种接入方式的需求，并且帮助企业搭建认证方式。这将有利于企业日常维护，提升企业信息系统的VPN接入水平。
3.3优化企业网络的隔离性和控制性
在规划企业网络安全边际时，要面对多个部门和分支结构，合理的规划安全网络边际将是关键。企业的网络体系可以分为：物理层；数据链路层；网络层；传输层；会话层；表示层；应用层。各体系之间的相互隔离和访问策略是防止企业信息安全风险的重要环节。在企业多样化网络环境的背景下，根据企业安全优先级及面临的风险程度，做出适合企业信息安全的防护策略和访问控制策略。根据相应防护设备进行深层次的安全防护，真正实现OSI的L2～L7层的安全防护。
3.4实现企业信息安全防护体系的统一管理
为企业信息安全构建统一的安全防护体系，重要的优势就是能实现对全网安全设备及安全事件的统一管理，做到对整个网络安全事件的“可视、可控和可管”。企业采购的各种安全设备工作时会产生大量的安全日志，如果单靠相关人员的识别日志既费时效率又低。而且不同安全厂商的日志报表还存在很大差异。所以当安全事件发生时，企业管理员很难实现对信息安全的统一分析和管理。所以在企业在构建信息安全体系时，就必须要考虑安全设备日志之间的统一化，设定相应的访问控制和安全策略实现日志的归类分析。这样才能做到对全网安全事件的“可视、可控和可管”。
4结束语
关键词：信息安全；影响因素；管理措施
中图分类号：TP393.08
信息技术的飞速发展在给社会经济带来巨大便利性的同时，也带来了巨大的风险，信息的安全已成为国际社会经济发展亟待解决的问题。现代企业在日常业务运营、行政管理、档案管理、数据交换等方面都离不开信息网络技术，然而，部分企业对自身信息安全的不重视以及在管理机制上的欠缺，致使社会重大信息安全事故频发，给社会与企业带来了不可估量的损失及危害。当然，企业的信息安全是一项艰巨的工作，它涉及到企业组织结构的各个方面，是一项系统的工程，无论是网络技术还是管理组织体系，或者企业信息硬件设备，都会影响到企业信息的安全，要保障企业信息的安全，就必须从信息技术安全以及信息管理制度两大方面入手，不断完善信息保密措施，如此，方可有效控制企业信息泄露。
1 企业信息安全风险的现状
企业在信息化建设的过程中，对信息安全的理解与重视并不相同，部分企业的对自身信息安全的防护级别较低，难以有效抵御外部信息窃取以及内部泄密。当前，我国企业在信息安全建设中主要存在如下三个问题：
1.1 企业信息安全管理机制不健全。信息安全是一个全新的领域，在过去，企业管理者对于自身信息的安全并没有高度重视，而在现代社会中，企业之间的竞争越来越激烈，任何有价值的信息泄露都可能会造成企业的重大损失，甚至破产倒闭，这也使得企业管理者不得不重视信息安全问题。然而，在社会法律法规、技术监管、安全标准等方面还存在诸多的不完善之处，同时，由于企业信息管理是一个不断发展的动态过程，企业的网络安全软硬件技术、管理人员的保密意识以及对商业间谍的防范措施等都会影响到企业的信息安全。从总体上来讲，信息安全管理机制的缺失是企业信息安全面临的最大问题。
1.2 企业信息安全技术不足。信息安全是当前社会共同面临的重大问题，企业的信息系统构建离不开计算机系统以及网络系统的支持，而通过网络传播的数据将面临极大的技术风险。现代信息安全技术是以密码技术、病毒技术、数据恢复技术、操作系统维护技术、数据库技术以及网络技术等所组成的系统技术。而由于企业对相关技术的认识和技术管理人才培养的局限性，导致在计算机信息应用过程中难免会出现一些漏洞缺陷。另外，在面对外部信息窃取攻击行为时，部分安全技术管理人员防范能力较弱，不能从根本上抵御黑客的攻击，这就导致企业的信息安全完面临严重的泄密危险。
1.3 企业员工缺乏安全管理的责任心和防范意识。企业的信息安全并不只是管理人员的责任，而是全体员工共同的责任，不过在企业信息安全建设过程中，往往忽略了企业员工环节，导致信息安全建设难以达到预期的目的。目前，企业信息安全事件最突出的便是信息泄密，其主要表现为员工的无意泄密、故意泄密以及离职后信息资源的自我利用，可以说，企业内部的信息安全风险远远大于外部风险。然而，针对内部信息安全问题，企业却并无一个全面、系统、有效的保障体系，尤其是在员工责任心建设以及信息安全防范意识建设方面，一直是企业信息安全体系建设的弱点所在。
2 影响企业信息安全的主要因素分析
企业的信息安全一直是现代企业管理中的难点，尤其是通信类企业以及严重依赖网络的电子商务类企业，其在信息安全环节的投入往往最大，但仍然是面临风险最大的环节。根据美国FBI以及CSI对其国内部分企业的调查显示，信息安全内部威胁占85%，外部入侵占15%，专利信息被窃取占14%，内部人员的财务欺骗占12%，资料或网络数据的破坏占11%。由此可见，企业内部信息安全已成为企业信息安全管理的重中之重，其泄密的途径主要包括互联网泄密，如电子邮件、即时通讯工具、网页空间、ftp、病毒黑客攻击等方式；局域网络泄密，包括内网与外网的连通、私人电脑与内部电脑的连接等；终端设备的泄密等等。企业信息安全是企业稳定与发展的基础，但是，企业信息安全形势却不容乐观，在现实中，影响企业信息安全的因素较多，其主要包括如下几种：
2.1 实体环境安全因素。（1）信息技术承载硬件安全。信息网络技术的硬件设备是支撑企业信息安全建设的基础，包括硬盘设备、内存设备、I/O控制器、电源等。（2）机房环境安全。机房是企业信息网络的管理中枢，其环境的好坏将直接影响企业信息的安全。一般来说，机房管理必须要专人专管，对于出入人员应该有记录，并且，机房应具有防火、防水、防静电、防鼠害、防雷击等设施，还要安装空调设备，以确保机房运行温度和湿度的稳定。（3）传输线路安全。网络线路以及电缆线路在传输过程中都具有一定的辐射性，其对信息具有一定的干扰，我们在安装时要采用屏蔽布线或者光缆传输，并采取技术手段，阻止线路对信息的干扰，以确保传输线路的安全。
2.2 内部环境因素。影响企业信息安全的内部因素主要包括：（1）软件因素。软件是企业信息化建设的重要工具，但同时也是信息安全风险较大的环节，它包括系统软件和应用软件。系统软件的是信息系统的运行平台，其本身就存在漏洞，若系统软件遭到攻击，将极可能导致信息的损坏或者泄密。而应用软件在设计过程中的不周全以及对数据校验的不完善，都将威胁到企业的信息安全。（2）人为因素。企业内部人的因素是影响信息安全的最大部分，员工对数据的操作或者对相关威胁处理的不合理、不及时都会直接影响信息的可靠性。（3）网络因素。企业的一切信息交换几乎都是通过网络来实现的，包括外部网络和局域网，而由于网络故障所导致的信息丢失情况比比皆是，另外，网络中一些非授权访问行为也容易造成敏感数据的泄密或者丢失。（4）硬件因素。硬件主要是指存储设备以及电源、显示设备、网络设备等，其中储存硬件设备对企业信息安全影响最大，我们在硬件储存设备的管理中要注重防霉变、防辐射、防雷击等等，及时做好数据备份和数据恢复。
2.3 外部环境因素。现代企业信息安全不仅面临着内部安全风险，还遭受着严重的外部隐患，其主要包括病毒风险、黑客攻击风险以及意外事故，如火灾、爆炸、水灾等，其对企业的信息安全影响甚大。
3 加强企业信息安全防范的措施
面对着如此众多的信息安全隐患，企业的信息安全管理形势十分严峻，要想真正做好信息的安全管理，保障信息安全，那么企业必须系统地进行改革，从根本上阻止信息的泄漏。
3.1 建立健全信息安全管理制度。企业必须根据内部信息的安全级别，建立一套适合其技术规范的管理标准，尤其注重在人员组织结构以及培训，要建立完善的信息安全管理制度规范，并严格执行。
3.2 采取新型网络安全技术，及时更新软硬件系统。企业要对内部计算机及服务器系统进行及时更新换代，尤其是其软硬件系统，要做好防病毒措施，并及时做好数据备份，加强网络密码建设以及入侵检测技术建设，为信息安全上一把“锁”。
3.3 加强内部信息的监管，对非授权访问以及敏感接入进行严格的控制。企业必须加强对内部数据的有效监管，在与外界进行数据交换过程中，有必要对敏感数据或者有威胁的行为进行干预、阻止、监控等措施，控制非法接入与攻击行为。
3.4 定期巡查与评估，不断改善和调整安全防护策略。企业的信息安全管理是一个动态的过程，我们的信息安全防范也必须做好及时的评估和调整，对计算机硬件设备、机房环境等定期进行巡查，发现并及时解决潜在的安全威胁，并根据最新的信息安全形势来调整防护策略，未雨绸缪，做好信息安全的预防工作。
参考文献：
[1]罗庆云，赵巾帼.企业网信息安全的探讨[J].网络安全技术与应用，2005.
[2]姜桦，郭永利.企业信息安全策略研究[J].焦作大学学报，2009.
【关键词】信息安全；电力企业；防护措施
前言
当前，电力企业在生产运行过程中离不开信息技术的支持，尤其是电力企业在建立了复杂的数据网和信息网后，信息技术的在电力企业中的地位日益提高，同时，信息安全也影响着电力企业的生产经营。
1电力网络和信息安全管理的主要内容
电力网络和信息安全管理主要包括三方面的内容：①安全策略；②风险管理；③安全教育。具体浅析如下：
1.1安全策略
信息安全策略根据企业规模、安全需求和业务发展的不同而不同，但是都具有简单易懂、清晰通俗的特点，由高级管理部门制定并形成书面文字，属于企业安全的最高方针，广泛到企业所有员工手中。
1.2风险管理
评估威胁企业信息资产的风险，首先事先假定风险可能会给企业带来的风险和损失，然后再通过各种手段，如：风险的规避、风险的转嫁、降低风险和接受风险等多种方法为相关部门提供网络和信息安全的对策建议。
1.3安全教育
所谓安全教育，就是对直接关联企业安全生产的人员进行的教育活动，其对象是安全策略执行人员，具体来说就是与安全工作相关的技术人员、管理人员和客户，并对其进行安全培训，让其了解和掌握信息安全对策。安全管理是企业管理的重要内容，必须引起企业领导层的高度重视，切实将安全相关教育纳入到企业文化的组成中，确保信息安全管理的有效执行。
2电力企业信息化发展的特征
随着我国电力企业信息化的发展，与其他企业相比，在网络信息安全方面具有以下优势特征。
2.1信息化基础设施完善
经过多年的发展，电力企业的信息化建设与其他行业的信息化建设水平相比，具有明显的比较优势，进程相对领先，各个部门工作中计算机的使用率为100%，电力企业局域网覆盖率90%以上。
2.2营销管理系统广泛应用
电力企业的营销管理系统经过多年的研究探索已基本建成，实现了用电管理信息化、业务受理计算机化，并建立了相应的客户服务中心。
2.3生产、调度自动化系统应用熟练
电力企业信息化建设的重点是提高电网运行质量和电力调度的自动化水平，现阶段，从电力企业发展的自动化水平上来看，其生产已基本达到国际先进水平。
2.4管理信息系统的建设逐步推进
电力企业积极建设管理信息系统，开发了设备、生产、电力负荷、安全监督、营销管理等信息系统，并将企业信息化建设放到重要位置，利用信息化推动企业现代化发展。
3电力企业网络和信息安全管理中存在的问题
电力企业网络和信息安全管理虽然具有以上优势特征，但同样还是存在一定的问题，具体如下：
3.1信息化机构建设不完善
部分电力企业还未设置专门的信息部门，信息科室有的在科技部门下，有的在综合部门下，缺乏规范的制度与岗位设置，这种情况下，势必会影响到网络和信息安全的管理工作。
3.2网络信息安全管理未成为企业文化的一部分
电力网络信息贯穿于生产的全过程，涉及到电力生产的各层面，但是仍然处于从属地，没有纳入电力企业安全文化建设中，进而影响到安全管理的实施力度。
3.3企业管理革新跟不上信息化发展的步伐
电力企业管理革新与信息技术的发展与应用相比还较为滞后，企业不能及时的引入先进的管理与业务系统，导致企业信息系统不能发挥预期的作用。
3.4网络信息安全存在风险
电力企业网络信息安全与一般企业网络信息相比，有共同点，也有自自身的特殊性，实践中必须认真分析研究，具体表现为：①网络的结构不够合理，电力网络建设要求，网络建设要区分外网和内网，且内外部网络要保持物理隔离，但是部分电力企业的核心交换机选择不合理，导致在网络中所有网络用户的地位是平等的，因而很容易出现安全问题。②企业内部风险，由于企业内部网络管理人员对于企业的网络信息结构与系统应用十分熟悉，一旦泄漏重要信息，就会带来致命的信息安全威胁。③现阶段互联网使用存在的风险，目前很多电力企业的网络已经与互联网发生了关系，一些客户甚至可以直接访问电力系统的网络资源，在提供方便之门的同时也要高度关注其可能带来的信息安全和计算软硬件安全风险。④网络管理专业技术人员带来的风险，主要是网络管理人员的素质风险，现阶段电力企业的网络建设还存在重建轻管，重技轻管的问题。出现了诸如专业技术人员综合素质不高，一些安全管理制度不健全、落实不够有力、安全意识不强、管理员配备不当等威胁到电力企业网络信息安全性的问题。⑤计算机病毒侵害，计算机病毒的扩散速度快，网络一旦感染病毒，整个电力网络系统就会处于崩溃的状况。⑥系统出现的安全风险，这方面主要指操作系统、数据库系统以及内部各种应用软件系统等存在的风险，这些系统很容易导致外界的攻击，一些黑客采取专业手段可以很轻易获取管理员权限，实施拒绝服务攻击。
4电力企业网络和信息安全管理对策
4.1建立健全网络和信息安全管理组织架构
网络和信息安全管理实行统一领导、分级管理原则，企业的决策层组成领导小组，由企业各部门的管理者作为安全小组的管理层。网络和信息安全管理实行专业化管理，包含信息安全规划、信息安全监督审计、信息安全运行保障等职能小组。
4.2构建网络和信息安全管理体系框架
在网络信息安全模型与电力信息化的基础上，科学构建网络和信息安全管理体系框架，主要区分信息安全策略、安全运行、安全管理、安全技术措施四个模块，
4.3建立网络信息安全防护对策，合理划分安全域
网络信息安全防护实行双网双机管理，分为信息内网和信息外网，内外网采用独立的服务器及桌面终端，通过逻辑强隔离装置隔离内外网。按照业务类型进行安全区域划分为边界、网络、主机、应用四个层次，实现不同区域防护的差异化及独立性。对于网络安全的核心区域必须实施重点安全防范，比如该区域的服务器、重要数据、数据库服务器，一般用户无法直接访问，安全级别高。电力企业内部计算机和网络技术的应用，划分为管理信息区和生产控制区，建立电力调度数据网专用网络，采用不同强度的安全设备隔离各安全区，数据的远方安全传输采取加密、认证、访问控制等技术手段，实现纵向边界的整体安全防护。
4.4网络信息安全管理制度建设
为确保电力企业网络信息安全，必须做好网络信息安全管理制度建设，具体要做好以下几个方面的内容：①建立计算机资产管理制度、网络使用管理制度、健全变更管理制度，对资产进行标识和管理，执行密码使用管理制度。②实施信息的安全分级保护举措，依据国家相关规定，开展网络信息系统审批、定级、备案工作，严格执行等级保护制度，严格保密核心程序和数据。③做好网络信息安全运行保障管理，对信息系统设备实行规范化管理，及时升级防病毒软件，严格系统变更，及时报告信息系统事故情况，分析原因并落实整改。④建立病毒防护体系，安装的防病毒软件必须具有远程安装、远程报警、集中管理等多种功能，不可将来历不明或是随意从互联网上下载的数据在联网计算机上使用，一旦发现病毒的存在，员工应熟练掌握发现病毒后的处置办法。
4.5信息安全技术保障举措
为切实有效的落实信息安全防护要求，必须根据信息安全等级防护制度落实好“分级、分区、分域”的防护策略，从而更有效的落实信息安全防护预案，根据信息系统定级水平，实施强逻辑隔离措施，做好安全区域的隔离和划分工作。
4.6规范企业人员的管理
规范人员管理首要的是用制度管好人：①企业高层应以身作则，这样员工才可以遵循信息安全管理的要求，由于高层掌握着企业更多的信息资源，密级也高，一旦出现泄漏，会给企业带来更大的损失。②对于关键岗位人员管理要尤其重视，比如：开发源代码人员，直接接触商业机密的人员，从事信息安全管理的人员，需要进行严格管理，定期检查，避免出现“堡垒从内部突破”的机会。③对于离职人员这个群体也不可忽视，必须做好离职人员信息安全审计工作，离职前，必须要求其变更其访问权限，与接手人员一起清点和交接好信息资产，避免信息泄漏事件的发生。④加强与供应商和合作伙伴信息安全的管理，在日常的交流中严格遵守规定，不得随意公开和透露相关信息。
4.7做好对企业信息资产管理分析
依据信息资产价值，实现根据载体性质不同、形式不同、来源不同做好资产的识别，提高企业劳动生产率，强化信息资产观念，树立企业良好形象。全面、系统、科学的管理信息资产，完善资产管理手段。利用信息资产资源使生产力要素保值增值，推动信息资产共享共建，实现实现外源信息资产的再增值，信息资产的再创新。4.8建立信息安全应急保障机制有风险的地方就要有应急预案，对于电力企业网络信息安全尤其应该如此，要不断健全电力企业信息安全预案，确保设备、人力、技术等应急保障资源切实可用，要加强系统的容灾建设，建立恢复和备份管理制度，妥善保存相关的备份记录。
5结束语
电力网络信息安全与企业的生产经营管理密切相关，电力企业网络信息安全涉及到技术与管理，无论是硬件还是软件出现问题都会威胁到整个网络系统，电力企业网络信息安全管理涉及到人、硬件设备、软件、数据等多个环节，所以其必须着眼整个电力企业的网络信息系统加强顶层建设，实施统一规划，搞好统筹兼顾，建立一套完整的信息安全管理体系，切实做好安全防范工作，解决电力企业信息安全管理问题，才能确保电力信息系统安全、稳定、可靠、高效地运行，有效避免安全问题的存在，保证电力企业的正常生产经营。
参考文献
[1]何隽文.电力企业网络和信息安全管理策略思考[J].中国高新技术企业，2016，28.
[2]郭建，顾志强.电力企业信息安全现状分析及管理对策[J].信息技术，2013，01.
[3]牛斐.电力企业网络信息安全的防范措施[J].科技传播，2012，16.
[4]吴青.浅析网络信息安全管理在电力企业中的应用[J].中国新通信，2013，23.
[5]向继东，黄天戊，孙东.电力企业信息网络安全管理[J].电力系统自动化，2003，15.
现代科学技术的发展与壮大，科学技术产物不断改变着人类社会生活，而网络技术更甚，网络像一个无形的网，连接着社会各个地方，便利着人类社会。现代企业的发展或多或少依赖着网络，企业依靠网络进行信息的传递与处理。有了网络的支撑，企业的竞争力量在不断加强。
1 网络安全技术
就目前而言，常见的网络安全技术包括防火墙技术、虚拟局域网技术、入侵检测与防御技术以及计算机防病毒技术。
1.1 防火墙技术
防火墙顾名思义就是保护屏障，即通过软件与硬件设备的组合，在内部网与外部网之间搭建一个保护屏障，通过在网络边界上建立网络通信监控系统来隔绝内外网络，阻挡外网的不良入侵。防火墙主要针对的是网络上的不安全因素。通过利用防火墙技术，可以有效保护企业内部网的主要信息资源。
1.2 虚拟局域网技术
虚拟局域网是通过因特网将网络设备划分成多个子网，是对企业内部网的扩展，实现了企业在虚拟环境下的数据交换。虚拟局域网正如它的名字“虚拟”两个字一样，是看不见的，但是它能够很好的防控广播风暴，有效提高网络的速度，增强网络的整体性能和安全性能。
1.3 入侵检测与防御技术
入侵检测与防御是对防火墙技术的补充与升级，依靠设定的安全策略，对计算机系统与入侵网络的行为进行检测，类似于“安检”，并对相应的检测做出响应，以此来确保网络信息的完整性，提高网络监控与识别攻击等能力，拓展了防火墙安全管理范围。入侵防御技术是对检测技术的又一次开拓，是一个智能且主动的防御技术，紧密的串联在网络边界，对进出的数据信息进行监控与处理。
1.4 计算机防病毒技术
计算机防病毒技术应用比较广泛，通过建立有效的计算机病毒防护系统与制度，及时准确的监控处理病毒的入侵，如果发现病毒迹象，会立刻采取相应措施阻断病毒的破坏，同时迅速的对遭到破坏的部分进行修复，高效稳定的保障信息的安全。
2 企业信息管理中的网络安全问题
2.1 缺乏网络安全防范意识
网络应用的不断深化，办公方式网络化受到越来越多企业的欢迎。很多企业对网络应用近乎痴迷，办公自动化成为当下企业主流。由于过度的依赖于网络办公，往往忽视企业内部的安全防护问题。落后的网络防御系统、充满漏洞的安全机制，低下的网络恢复能力等等都会造成企业信息资源的破坏，严重影响企业的正常运行。
2.2 非法网络入侵现象频发
网络的应用，使不良居心的有了新的破坏手段。一些居心叵测的人利用网络，非法入侵企业内部，盗取网络信息或者冒充内部人员进行网络诈骗，或者盗取网络信息进行泄露勒索，那些非法入侵行为无处不在，成为威胁企业信息的不安全因素。
2.3 肆虐的网络病毒
从我国出现的第一个网络病毒开始，网络病毒就不断改变感染途径，比如常见的下载软件、打开文件、电子邮件等网络行为，都有可能感染病毒，病毒以其告诉的传染性让人措手不及。当人们还在唏嘘这个网络病毒的危害时，比这个病毒更厉害的病毒也许正在散播中，病毒也会以看不见的形式被携带传染，造成更大范围的信息损失。
2.4 管理人员技术水平不足
网络管理人员是直接管理企业网络信息的技术人物，网络管理人员的技术水平是影响企业网络安全的关键因素。企业信息的运行与管理都有网络管理人员进行，但在很多企业中，网络管理岗位的从业人员，存在技术水平有限，专业度不足的现象，有的网络管理人员职业素养不足，随意泄露本公司的账号等会造成企业信息安全受到伤害。
3 企业信息管理网络安全措施
3.1 先进技术
先进的技术手段是应对企业信息危机的基础，只有不断提高技术技能，利用先进的技术手段才能对企业信息的威胁做到防范，才能提高企业信息安全管理水平。
3.1.1 信息加密技术
信息加密是针对信息泄露采取的保护性措施，能够有效的提高企业信息数据的安全性能，防止数据泄露。就目前信息加密技术来讲，主要应用在信息的存储、传输以及鉴别方面。信息加密是目前企业信息安全管理的重要手段，在企业信息安全管理上作用显著。
3.1.2 防火墙技术
防火墙技术在上过解释，在企业信息管理中，防火墙能够阻止网络中人为产生的信息破坏与攻击，防火墙能够帮助企业拦截很多不良或者恶意病毒与垃圾。但是防火墙也有局限性，就是不能够阻止来自内网的网络病毒与恶意文件。
3.1.3 数据备份
网络病毒很多会造成企业的重要信息数据永久失去，无法恢复，对企业造成不可估量的损失。数据备份就是通过对企业信息数据复制，作为备用，即使企业信息收到损坏，无法恢复，有了备用信息就不会造成损失。
3.2 企业管理
3.2.1 企业局域网管理
加强对企业局域网的管理是企业信息管理的关键。企业局域网管理不仅是对企业内部使用网络进行隔离，同时也要对企业所接触到的网页进行安全把控。在企业员工工作时，要根据员工实际状况进行内外网权限设置，隔离内外网，有效降低感染病毒的机会。
3.2.2 网络管理人员管理
提高网络管理人员专业素养是企业信息管理的核心。首先要对网络管理人员进行专业培训，提高管理人员专业水平与素养，另外，要进行权责制度，按照需求对人员进行划分，责任到人，提高网络管理人员对企业信息安全的重视。
4 结语
通过从技术的手段与企业管理两个方面进行企业信息管理，严格把握企业信息的每个关卡，责任到人，同时要不断地对企业信息安全系统进行检查，更新技术支持，完善信息防御与修复系统，创造一个稳定、安全的企业信息环境。
关键词：信息安全管理；信息资产；模型；推广方案
中图分类号：TP309 文献标识码：A 文章编号：1674-7712 （2013） 02-0175-01
所谓的信息安全就是指信息的可用性、完整性、安全性以及保密性。信息安全管理主要是指组织为了确保信息的安全而进行的控制、领导、组织、计划的相关过程。随着企业的飞速发展以及信息技术的不断完善，各类企业的信息化程度也在不断地提高，信息安全已经成为了企业发展过程中的核心内容之一。
一、企业信息安全管理的现状
目前，绝大部分企业在发展的过程中已经开始对企业的信息安全工作制定出了一系列的管理措施，不过，企业在对那些信息进行安全管理的过程中，基本上是部署或购买信息安全产品。而这些产品基本上是为了达到某项安全功能而研发生产的、针对性较强的硬件或软件产品。当前市场上所出售的信息安全产品主要有四个层次：系统安全设备、网络安全设备、终端安全设备、基础安全设备。
企业通过这些信息安全产品虽然在某些方面具有一定的安全效果，不过企业自身的信息安全度仍没有得到提高。所谓的企业信息安全管理就是指针对当前企业所面临的信息失控、恶意软件、人为因素等复杂环境给予相应的防护，确保企业的信息系统以及相关信息不会被非授权使用、访问、中断或修改。这样做的目的主要是对企业的信息安全进行适当的保护，并确保其具有可用性、真实性、完整性以及保密性。就目前的情况而言，绝大部分企业的信息安全管理存在下列问题：（1）缺乏足够的安全防护意识，员工的信息安全教育力度较为薄弱；（2）管理过程中对于人为因素的管理较为缺乏；（3）只重视技术而忽略了管理；（4）缺乏系统性的管理方案；（5）缺乏专业的信息安全管理人员。
二、企业信息资产的安全管理方式
一般情况下，企业的信息资产具有以下三个重要属性：即可用性、完整性以及保密性。在对企业的信息进行管理的过程中，这三者缺一不可。在企业发展的不同时期以及不同阶段，这三者的属性以及地位也大不相同。对于绝大部分企业而言，对企业信息进行安全管理的主要目的就是确保企业的信息资产具有较好的保密性，因此，信息的可用性以及完整性在信息安全管理过程中基本上就成为了附属品。由此可见，对于绝大多数企业来说，信息的保密性更为重要。
由于企业的信息安全管理活动通常会涉及到企业的所有员工以及各个管理阶层，因此，企业在开展此项活动的过程中，一定要注重全员参与的重要性，让企业的各项工作以及每个员工都对企业的信息安全引起高度重视，并将企业的信息安全管理与企业文化融为一体，以便于从根本上实现企业的信息安全管理目标。不过对于绝大部分企业而言，经济指标才是员工以及管理层关注的重点内容，而信息安全管理需要投入大量的人力、物力以及财力方能实现，因此，这对于大部分企业来说其操作性相对较低。由此可见，在对企业的信息安全进行管理的过程中，一定要尽最大可能确保信息安全管理的简洁性。
三、企业在进行信息安全管理时所涵盖的具体内容
目前，信息安全管理过程中的内容经简化和提炼后主要有“执行力”、“堵”、“护”，在不同企业或同一企业发展过程中的不同阶段，信息安全管理的计划实施先后顺序以及侧重点也会有所不同。对于企业的普通员工以及管理人员而言，通过简单地宣传教育就很容易让他们牢记“执行力”、“堵”、“护”，而对于专业的信息安全管理人员则必须从以下几个方面着手。
（一）构建与企业文化相符合的安全体系
企业在构建信息安全管理体系的过程中，它与企业文化的适应程度有着十分密切的联系，不同的企业有着不同的企业文化，因此，在进行信息安全管理的过程中，其管理思路以及管理方法也会大不相同。一些执行力较强的单位，通常会采用强制手段来进行管理，且管理的效果相对较好，而对于执行力相对较差的单位，通过制定出科学合理的管理方法，并加以相应的监控管理、审计以及技术支持也会取得相对较好的效果。
（二）对信息传递渠道进行严格的管理
企业在对信息资产进行安全管理时，一定要强化对信息传递渠道的管理，对信息资产的各个传输渠道进行严格的分析，严禁出现非授权或授权范围外的传递或访问。在此过程中，“堵”的核心内容就是人员的安全管理，这主要是因为企业的信息资产都是通过人来进行控制、管理的。在所有的信息安全管理过程中，对人的管理难度最大，因此，在开展信息安全管理活动时，一定要对员工的调动以及离职情况进行严格的审计，以此来防止信息资产的不合理传递。
（三）核心信息资产的保护
所谓的核心信息资产的保护主要是指对企业的核心信息资产进行科学有效的保护，这对于企业的发展有着至关重要的作用，同时它还是企业进行信息资产安全管理的有效手段。由于企业的资源具有一定的有限性，因此，企业的信息安全也具有一定的相对性，基于此，在对企业的信息资产进行安全管理的过程中，对核心信息资产进行保护就显得尤为重要了。所谓的核心信息资产就是指一旦泄露就有可能对企业造成严重的损失，或者是价值相对较高的信息。
四、结束语
随着市场经济的不断发展以及信息技术的日渐完善，企业在发展过程中的信息资产保护所面临的形式也变得越来越严峻。为此，企业在发展的过程中，一定要根据自身的实际情况，建立相应的管理体系，并将其纳入企业的风险管理中，尽量降低信息泄露对企业发展所造成的影响。
参考文献：
[1]齐峰.COBIT在企业信息安全管理中的应用实践[J].计算机应用与软件，2009，26（10）：282-285.
[2]伏原.网络信息安全管理在电力企业中的应用[J].中华民居，2011，（8）：385-386.
[3]孟洁.国有企业中的信息安全管理和应用[J].科技信息，2012，（2）：252.
【关键词】桌面安全管理；信息建设；桌面终端；应用
在信息技术飞速发展的大背景下，桌面终端已经成为企业生产运营的重要组成部分并被广泛应用于企业之中。但是受到种种原因的影响，桌面终端增多带来了许多安全问题，威胁着企业的信息安全。基于此，桌面安全管理系统应运而生。桌面安全管理系统简称BES，是一种基于企业桌面客户端内网安全管理系统，对客户端系统安全漏洞和安全隐患进行评估的管理控制平台。本文简要分析了目前我国企业桌面计算机系统的安全现状，主要研究桌面安全管理系统在企业信息建设中的应用，这对于企业的信息建设而言具有重要现实意义。
1目前企业桌面计算机系统的安全状况
桌面终端系统因为操作方便等优点而被广泛应用，但由于计算机数目过多过杂、内部员工的不当操作等因素导致目前企业桌面计算机系统存在着许多问题：（1）没有严格对待外网接入工作，容易让外网接入盗取企业信息。很多企业为了更好地管理，便将许多电脑连成一个整体来进行高效运营。但是这么做也存在一个弊端：给外网入侵带来可乘之机，由于计算机管理人员不能使每台计算机都能得到合理配置，因此容易让外网接入，造成企业信息泄露等损失。（2）缺乏有序规划，设备配置良莠不齐。现阶段我国很多企业计算机系统设备配置混乱且质量参差不齐，给维修以及耗材的配备增加了成本。（3）随着信息技术的飞速发展，涌现出来的许多操作系统以及软件给企业系统安全管理带来巨大的压力。（4）缺乏统一的手段统计分析桌面运行状况，缺乏跟踪监督桌面设备受到侵害的状况，缺乏跟踪监测安全漏洞的修复状况。（5）一些企业的网络结构复杂，十分难管理。加上一些内部员工的不良操作以及对移动存储介质使用的随意性容易导致企业信息泄露。基于目前企业桌面计算机系统的安全现状，企业需要实施桌面安全管理系统来解决桌面终端存在的问题，有效地保护企业的信息安全。
2桌面安全管理系统在企业信息建设中的具体应用
2.1系统补丁管理
目前我国很多企业操作人员在应用桌面安全管理系统过程中会出现安装完系统后就没有再打过补丁的现象，很多用户也缺乏系统升级的意识，对数据库系统以及应用程序不打补丁升级。桌面安全管理系统的补丁管理是及时地更新系统漏洞的特征以及系统补丁源，保证补丁服务器能够及时获取新的系统漏洞特征和补丁源。桌面安全管理系统自动地收集、统计以及检测所管理桌面终端系统的漏洞信息和补丁安装进度，随后根据每一台桌面终端操作系统以及已经安装的补丁情况，打包、分配、安装所需要的补丁。桌面安全管理系统可以自动对漏洞进行及时检测修复，保障系统的安全。
2.2IT资产管理
桌面安全管理系统根据所管理范围的桌面终端系统的软件和硬件资产变更进行管理，以小时、天、周为周期通过软件或者人工只能收集资产信息，然后再将所收集的信息纳入资产信息库。桌面安全管理人员根据资产编号、资产所归属部门、资产使用人等信息进行查询和管理，最后定时生成资产信息报表。在桌面安全管理系统控制台管理中，管理人员可以清楚地了解有多少计算机没有安装桌面安全管理系统，利于管理人员掌握网络资产数据。
2.3软件分发
在安装软件时，很多企业用户因为计算机水平良莠不齐等原因无法自行完成。一些通用软件或者专业软件覆盖范围广，因此利用软件分发功能便可以自动化部署网络客户机的各个软件，确保版本软件以及配置保持同一性。桌面安全系统维护人员还要根据企业的实际需要来研究分析桌面安全管理系统的软件开发功能，编写包含工具软件、系统软件、补丁等常用软件的自动安装包以及自动卸载包，最后根据客户的实际需要进行软件分发，这极大地降低了管理人员的工作强度，提高了工作效率。
2.4外接设备的管理
统一管理所有安装了客户端主机的外接设备，管理人员只要在控制中心进行相应配置后便可以控制是否允许USB接口、光驱、串口等外接设备的接入。同时值得注意的是，在管理人员对USB接口进行管理时，用户使用USB键盘、鼠标不会受到限制，只有当使用USB硬盘等存储设备时才会受到限制。
2.5病毒防护管理
桌面安全管理系统可以很好地对客户机的病毒防护情况进行监控，包括是否安装了病毒防护软件、是否将病毒代码库升级为最新等。在系统控制台上，所有客户机的信息都集合在一起，管理人员可以更好地管理。一些客户机违规安装了某些病毒防护软件，或者是同时安装了两种病毒防护软件，可能会导致系统运行速度缓慢，增加了管理人员和维护人员的工作负担。针对这种情况，桌面安全管理系统可以识别计算机属性，统计违规客户机信息，并采取限制使用网络资源等方法来使用户卸载违规安装的病毒防护软件，促进病毒防护管理的规范化、合理化。
2.6远程维护
桌面安全管理系统的远程维护有两种方式，分别是远程桌面查看以及远程桌面控制，通过远程维护方式，管理维护人员可以进行远程诊断以及修复，极大提高了工作效率。与此同时，远程维护还支持客户端确认的过程，如遇客户没有确认就不能接管客户终端。终端远程维护服务只在需要时开启，此外使用动态密码可以确保远程维护服务的安全性。
3结语
综上所述，桌面安全管理系统充分运用了信息安全管理技术来提高企业信息建设水平和安全管理效率，加强对网络客户端的控制并进行实时监控，集成其他网络安全设备为可靠的、安全的局域网络，极大地巩固加强了对企业信息安全的保障。此外，桌面安全管理系统虽然越来越受到重视，但其在应用领域仍处于比较不成熟状态，需要企业进行进一步探究。
参考文献
[1]卢绪平.桌面安全管理系统在企业信息建设中的应用研究[J].化工管理,2015(11).
关键词：企业；信息网络；安全体系；安全技术
大中型企业作为我国国民经济的骨干企业，在国家经济发挥举足轻重的作用，现代经济活动离不开信息和网络，大中型企业对网络和信息技术的依赖性很强，企业员工多、信息化互联设备多、种类多样，企业的关键业务大多架构在IT系统之上，网络环境的稳定性、安全性、高效性直接影响公司信息化应用。目前，许多大中型企业提出了建立“数字化企业”的目标，在企业信息化建设中，信息安全问题是必须要首先考虑的问题，可见，建立企业信息安全体系势在必行。
1 企业信息网络安全威胁及风险
近年来,许多大中型企业十分重视信息网络建设的应用和开发，但是对于信息网络安全的防护并没有得到足够重视。根据调研机构的调查报告显示，国内企业中63%经常遭受病毒或蠕虫攻击，而41%的企业受到恶意间谍软件或恶意软件的威胁。主要体现在：病毒和蠕虫攻击、黑客入侵、恶意攻击、完整性破坏、网络资源滥用、员工信息安全意识淡薄等。
目前企业面临着网络攻击的“外部威胁”及内部人员信息泄露的“内部威胁”的双重考验，垃圾邮件、企业机密泄露、网络资源滥用、病毒泛滥以及网络攻击等问题成为企业最为头疼的网络安全问题，企业网络环境日趋严峻。
2 企业网络安全体系
大中型企业网络面临严峻的安全形势，迫使各企业意识到构建完备安全体系的重要性，随着网络攻击的多样化，只针对网络层以下的安全解决方案已经不足以应付各种各样的攻击，同时还要随时注重操作系统、数据库、软硬件设备的安全性；企业安全体系建设不仅要有效抵御外网攻击，而且要能防范可能来自内部的安全泄密等威胁。企业必须采用多层次的安全系统架构才能保障企业网络安全，最终建立一套以内外兼防为特征的企业安全保障体系。
企业信息网络安全体系由物理安全、链路安全、网络安全、系统安全、信息安全五部分构成。
物理安全：物理安全主要是保护企业数据库服务器、应用服务器、网络设备、数据介质及其他物理实体设备的安全，提供一个安全可靠的物理运行环境。
链路安全：数据链路层（第二协议层）的通信连接就安全而言，是较为薄弱的环节。目的是保证网络链路传送的数据不被窃听和篡改。
网络安全：网络安全主要包括：通过防火墙隔离内外网络，不同区域的访问控制，部署基于网络的身份认证及入侵检测系统、VPN、网络集中防病毒等手段实现网络设备自身的安全可靠。
系统安全：系统安全主要指数据库、操作系统的安全保护。保证应用系统的可靠性、完整性和高效性。
信息安全：主要通过数据加密、CA认证、授权等手段保证信息处理、传递、存储的保密性、完整性和可用性。
典型企业信息网络安全管理体系拓扑结构如图一所示：
3 信息安全体系设计原则
企业安全设计应遵循如下原则：
3．1保密性：信息不能够泄露给非授权用户、实体或过程，或供其利用的特性。
3．2完整性：信息完整性是指信息在输入和传输的过程中，不被非法授权修改和破坏，保证数据的一致性。
3． 3可用性：保障授权用户在需要时可以获取信息并按要求使用的特性。
3．4可控性：对信息的处理、传递、存储等具有控制能力。
信息安全就是要保障维护信息的机密性、完整性、可用性以及保障维护信息的真实性、可问责性、不可抵赖性、可靠性、守法性。
4 企业网络安全防范技术手段
目前企业信息网络布署的安全技术手段主要方式有：
4.1防火墙系统
防火墙系统作为企业网络安全系统必不可少的组成部分，用于防范来自外部interne非法用户对企业内部网络的主动威胁。防火墙系统搭建在内部网络与外部公共Internet网络之间，通过合理配置访问控制策略，管理Internet和内部网络之间的访问。其主要功能包括访问控制、信息过滤、流量分析和监控、阻断非法数据传输等。企业在外部攻击的频度和攻击流量非常严重的情况下，建议配置专用的DDOS防火墙。
4.2入侵检测系统
入侵检测系统（简称“IDS”）是一种对网络传输进行即时监视，在发现可疑传输时发出警报或者采取主动反应措施的网络安全设备。IDS是一种积极主动的安全防护技术，可以弥补防火墙相对静态防御的不足，通过对来自外部网和内部的各种行为进行实时检测，及时发现未授权或异常现象以及各种可能的攻击企图，记录有关事件，以便网管员及时采取防范措施，为事后分析提供依据的依据。
4.3漏洞扫描系统
企业内部部署漏洞扫描系统，不间断地对企业工作站、服务器、防火墙、交换机等进行安全检查，提供记录有关漏洞的详细信息和最佳解决对策，协助网管员及时发现和堵绝漏洞、降低风险，防患于未然。
4.4网页防篡改系统
网页防篡改系统主要是防止企业对外Web遭受黑客的篡改，保证企业外部网站的正常运行。防篡改系统利用先进的Web服务器核心内嵌技术，将篡改检测模块（数字水印技术）和应用防护模块（防注入攻击）内嵌于Web服务器内部，并辅助以增强型事件触发检测技术，不仅实现了对静态网页和脚本的实时检测和恢复，更可以保护数据库中的动态内容免受来自于Web的攻击和篡改，彻底解决网页防篡改问题。
4.5上网行为管理系统
上网行为管理系统主要部署在企业外部防火墙和内部核心交换机之间，针对企业内部员工访问Internet行为进行集中管理与控制。其主要功能有：网页过滤、应用控制（IM聊天、P2P下载、在线娱乐、炒股软件、论坛发帖等）、带宽管理、内容审计（邮件收发、论坛发帖、FTP、HTTP文件传输等）、用户管理、日志管理等功能。
4.6内网安全管理平台
据FBI/CSI中国CNISTEC调查报告：来自企业外部威胁占20%，内部威胁高达80%。针对大型企业日益复杂的内部网络环境以及基于企业保密管理的需求，必须构造一套内网安全管理平台，规范和管理内部网络环境，提高内部网络资源的可控性。其功能应包括：用户认证与授权、IP与MAC绑定、网络监控、桌面监控、安全域管理、 存储介质管理、补丁分发、文档安全管理、资产管理、日志报表管理等。
4.7企业集中防病毒系统
在病毒肆虐的时代，反病毒已经成为企业信息安全非常重要的一环，企业网络情况比较复杂，由于员工计算机水平大多不高，构造一套完整的企业集中防病毒网络系统平台，可以强化病毒防护系统的应用策略和统一管理策略，并且使企业员工电脑的病毒库及时得到更新，增强病毒防护有效性，降低病毒对安全带来的威胁。
集中防病毒系统应具有：集中管控、远程安装、智能升级、远程报警、分布查杀等多种功能。
4.8建立健全企业安全管理组织体系及制度，加强企业信息安全意识
企业在建设信息网络安全建设技术手段的同时，更需要考虑管理的安全性，不断完善企业信息安全制度。通过培训，增强每个员工的安全意识，为大中型企业信息安全管理奠定基础。
随着信息技术的发展，企业无线接入、电子商务交易、数字签名、数字证书等安全管理也应逐步纳入企业信息安全体系范畴。
五、 结束语
目前，大中型企业信息进程的深入和互联网的快速发展，网络化已经成为企业信息化的发展大趋势，针对各种网络应用的攻击和破坏方式也变得异常频繁，信息化发展而来的网络安全问题日渐突出，网络安全问题已成为信息时代人类共同面临的挑战，同时，网络信息安全是一个系统工程，涉及人员、硬软件设备、资金、制度等因素，没有绝对可靠的安全技术，科学有效的管理可以弥补技术安全漏洞的缺陷。
参考文献：
［1］向宏，傅鹂，詹榜华 著 信息安全测评与风险评估 电子工业出版社 2009-01
［2］谢宗晓，郭立生 著 信息安全管理体系应用手册中国标准出版社 2008-10
购物车(0)