有关企业信息系统安全问题的研究

有关企业信息系统安全问题的研究发表时间：2009-12-07T15:56:37.640Z 来源：《中小企业管理与科技》2009年11月上旬刊供稿作者：余凯[导读] 信息系统本身存在着来自人文环境、技术环境和物理自然环境的安全风险，其安全威胁无时无处不在余凯（广东电网公司东莞供电局）摘要：本文阐述了企业的管理信息系统在运行维护过程中所遇到的各类信息安全问题，以及所采取的对策。

总结了解决企业信息系统安全问题的需采取管理手段和技术手段相结合的综合解决方案。

关键词：企业信息系统安全0 引言信息系统安全是指信息系统包含的所有硬件、软件和数据受到保护，不因偶然和恶意的原因而遭到破坏、更改和泄漏，信息系统连续正常运行。

信息系统本身存在着来自人文环境、技术环境和物理自然环境的安全风险，其安全威胁无时无处不在。

对于大型企业信息系统的安全问题而言，不可能试图单凭利用一些集成了信息安全技术的安全产品来解决，而必须考虑技术、管理和制度的因素，全方位地、综合解决系统安全问题，建立企业的信息系统安全保障体系。

1 企业管理信息系统安全存在的普遍问题分析随着信息科技的发展，计算机技术越来越普遍地被应用于企业，而企业的信息系统普遍都经历了由点及面，由弱渐强的发展过程，并在企业内形成了较为系统的信息一体化应用。

随着企业信息系统建设的全面开展以及各种业务系统的逐步深入，企业的经营管理等对信息系统的依赖也越来越强，甚至成了企业生存发展的基础和保证。

因此企业信息系统的安全可靠性越来越重要，信息系统安全成为企业迫切需要解决的问题。

因为信息专业人员面对的是一个复杂多变的系统环境，如：设备分布物理范围大，设备种类繁多；大部分终用户信息安全意识贫乏；系统管理员对用户的行为缺乏有效的监管手段；少数用户恶意或非恶意滥用系统资源；基于系统性的缺陷或漏洞无法避免；各种计算机病毒层出不穷等等，一系列的问题都严重威胁着信息系统的安全。

因此，如何构建完善的信息系统安全防范体系，以保障企业信息系统的安全运行成为企业信息化建设过程中发展必须面对并急需解决的课题。

2 企业信息安全解决方案的模型分析2.1 从关于对信息系统安全的几个认识上的问题：2.1.1 解决信息系统的安全问题要有系统的观念。

解决信息系统的安全问题必须是系统性的不能指望只从任何一方面来解决。

从系统的角度来看信息系统由计算机系统和用户组成，因此信息系统安全包括人和技术的因素；2.1.2 信息系统的安全问题是动态的、变化的；2.1.3 信息系统的安全的相对的；2.1.4 信息安全是一项目长期的工作，需制定长效的机制来保障，不能期望一劳永逸。

2.2 企业信息系统安全所采取的策略：根据以上的分析结合多年的实际系统管理经验我认为企业信息系统安全管理系统就是一个在充分分析影响信息系统安全的因素的基础上，通过制定系统完备的安全策略并采取先进、科学、适用的安全技术能对信息系统实施安全监控和防护，使系统具有灵敏、迅速的恢复响应和动态调整功能的智能型系统安全体系。

其模型可用公式表示为：系统安全=风险评估+安全策略+防御体系+实时检测+数据恢复+安全跟踪+动态调整其中，风险评估是指经过充分的分析找出各种可能影响信息系统安全的各种因素（包括技术的和管理的因素），以及这些因素可能对对信息系统安全产生的风险存在的安全风险及可能影响信息系统安全的各种因素进行的分析和报告，是安全策略制定的依据；安全策略是系统安全的总体规划和具体措施，是整个安全保障体系的核心和纲要：防御体系是根据系统存在的各种安全漏洞和安全威胁所采用的相应的技术防护措施，是安全保障体系的重心所在；实时检测是随时监测系统的运行情况，及时发现和制止对系统进行的各种攻击；数据恢复是在安全防护机制失效的情况下，进行应急处理和响应，及时地恢复信息，减少被攻击的破坏程度，包括备份、自动恢复、确保恢复、快速恢复等：安全跟踪是指记录和分析安全审计数据，检查系统中出现的违规行为，判断是否违反企业信息系统安全保障体系的目标。

动态调整旨在为改善系统性能而引入的智能反馈机制，使系统表现出动态免疫力，取得较好的安全防护效果。

在此安全体系模型中，“风险评估+安全策略”体现了管理因素，“防御体系+实时检测+数据恢复”体现了技术因素，“安全跟踪”则体现了制度因素，并且系统还具备动态调整的反馈功能，使得该体系模型能够适应系统的动态性，支持信息系统安全性的动态提升。

3 信息安全管理中管理因素的应用在安全保障体系中，“风险评估+安全策略”体现了管理因素3.1 为保障企业信息系统的安全，企业必须成立专门的信息系统安全管理组织。

由企业主要领导负责，通过信息安全领导小组对企业的信息安全实行总体规划及管理。

具体的实施由企业的信息主管部门负责。

3.2 企业应该出台关于保证信息系统安全管理标准。

标准中应该规定信息系统各类型用户的权限和职责、用户在操作系统过程中必须遵守的规范、信息安全事件的报告和处理流程、信息保密；系统的帐号和密码管理、信息安全工作检查与评估、数据的管理、中心机房管理等信息安全的相关的标准，而且在系统运行管理过程中应该根根据发展的需要不断地补充及完善。

3.3 积极开展信息风险评估工作。

定期对系统进行安全评估工作，主动发现系统的安全问题。

3.3.1 信息网的网络基础设施(拓扑、网络设备、安全设备等)3.3.2 信息网网络中的关键主机、应用系统及安全管理3.3.3 当前的威胁形势和控制措施。

通过对企业信息网内支撑主要应用系统的IT资产进行调查，对存在的技术和管理弱点进行识别，全面评估企业的信息安全现状，得出企业当前的全面风险视图，为下一步的安全建设提供参考和指导方向。

为企业信息安全建设打下了扎实的基础。

3.4 加强信息系统(设备)的运维管理，包括如下几方面的措施:3.4.1 建立完善的设备、系统的电子台帐，包括设备的软、硬件配置以及其它相关的技术文档；3.4.2 规范系统管理的日常各项工作，包括设备安装、系统安装以及各项操作都进行闭环管理；3.4.3 建立完善的工作日志，日常的各项操作、系统运行等都必须有记录；3.4.4 规范普通用户的行为，只分配给各种用户足够应用需要的资源、权限。

4 信息安全管理系统技术应用在安全保障体系中，“防御体系+实时检测+数据恢复” 体现了技术因素。

在信息安全保障体系统建设过程中，需从多个方面，多个角度综合考虑。

采用了分步实施，逐步实现的方法。

结合多年来在信息安全方面采取的技术手段觉得可以采取的技术手段如下： 4.1 关键的系统采取冗余的配置，以提高系统的安全性。

如对核心交换机、中心数据库系统、数据中心的存储系统、关键应用系统的服务器，可以采取双机甚至群集的配置以避免重要系统的单点故障。

加强对网络系统的管理。

网络系统是企业信息系统安全的最核心内容之一，也是影响系统安全因素最多的，很多系统安全的风险都首先是由于网络系统的不安全引起的。

在此重点谈一下在网络安全方面需采取的技术手段。

4.1.1 加强网络的接入管理。

这是网络安全的最基础工作，与公用网络系统不同，企业的网络系统是企业专有的网络，系统只允许规定的用户接入，因此必须实现接入管理。

在实际的工作中采取边缘认证的方式。

在笔者的实际工作中是通过对所在公司的网络系统进行改造后实现了支持基于MAC地址或802.1X两种方式的安全认证，实现企业内网络系统的安全接入管理。

使所有的工作站设备从网络端口接入网络系统时必须经过安全认证，从而保证只有授权的、登记在册的设备才能接入企业的网络系统以保证系统的安全。

4.1.2 利用VLAN技术根据物理分布及应用情况适当划分系统子网。

这样有多方面的好处：首先对网络广播流量进行了隔离，避免人为或系统故障引起的网络风暴影响整个系统；其次是提高系统的可管理性。

通过子网的划分可以实现对不同的子网采取不同的安全策略、将故障定位在更小的范围内等；再次是可以根据应用的需要实现某些应用系统的相对隔离。

4.1.3 加强对网络出口的管理。

如在企业内部网络与Internet（或其它不可信任的网络）连接的边界架设防火墙作安全网关，并制定了安全的访问策略；架设了防病毒网关，尽可能将计算机病毒堵在企业内部网络之外。

4.1.4 采用网络运维管理网管平台，实现对企业网络系统监控、IP地址与服务分布查询定位、网络数据流异动报警功能。

4.1.5 在系统上部署网络入侵和安全审计系统，如采用旁路方式接入网络，对网络内部和外部的用户活动进行监控，侦察系统中存在的现有和潜在的安全威胁，对与安全有关的活动信息进行识别、记录、存储和分析。

4.2 通过桌面管理系统等实现对企业的PC等外围以及终端用户的行为进行集中的管理。

数据表明企业的系统安全事件大部分来自于企业内部网络。

如何实现对内部用户的有效管理，防止用户有意或无意的滥用系统资源而对整个信息系统造成危害是企业系统信息系统安全需解决的重要问题。

根据笔者的经验在边缘认证系统的支持下对PC等外围设备进行集中的监控和管理、对用户行为能有效管理、跟踪是最有效的方法。

而桌面管理系统能帮助系统管理人员实现这些目标。

通过该系统对企业的IT资源进行动态的跟踪收集，动态生成最新的IT资源清单；对设备异动进行报告。

实现硬件、软件资源的远程维护及管理。

主动的基于系统的安全漏洞的扫描功能。

实现快速的系统安全评估及系统补丁的自动分发，提高IT资源的有效使用率。

4.3 选择合适的防病毒产品，部署安全而有适用的防病毒系统。

计算机病毒近年来是威胁信息系统安全的重要因素，层出不穷的计算机病毒严重威胁着企业的信息系统。

根据应用的不同选择合适的防病毒产品来部署企业的防病毒系统是非常重要的。

根据笔者的经验可以根据应用系统的安全等级要求不同可以采取多种防病毒产品、对不同的应用系统采取不同的查、杀、拦截策略。

如对服务器、重要的系统就应当采取以保护系统的数据安全、系统运行的稳定性为前提的病毒防护策略，而对PC等终端设备则要采取以不能因它而威胁整个系统安全为原则的病毒防护策略；相反一台工作站的连续运行能力就不是要重点考虑的，如最好能实现PC等工作站的防病毒产中是否安全使用与边缘认证结合起来，不安全的工作站不能接入系统从而保证系的安全。

5 结语本文结合笔者的实际工作认为企业信息系统的安全是系统性的问题、相对的、动态的、长期存在的，因此企业信息系统安全的解决模型是系统安全=风险评估+安全策略+防御体系+实时检测+数据恢复+安全跟踪+动态调整，简单来说就是规范管理是基础，各种安全技术的使用是手段。