浅谈企业信息安全技术

浅谈企业信息安全技术

作者：肖伟

来源：《电脑知识与技术》2012年第15期

摘要：信息化是时代的潮流，信息化的产生对社会的发展产生了巨大的冲击，包括企业安全理念。本文介绍了信息安全保护的发展历程，从最初的信息保密过渡到业务安全保障到目前的多业务平台安全保护。针对企业信息系统现状，笔者从硬件、技术以及人员行为三个角度来对目前企业信息安全存在的问题进行分析，指出了目前企业信息系统安全的症结所在。结合问题所在，从三个角度出发，分别提出改进建议，希望能够对企业信息安全水平的提高起到有效的帮助。

关键词：信息安全；信息安全管理

中图分类号：TP393文献标识码：A文章编号：1009-3044(2012)15-3491-03

计算机、网络已经逐渐成为我们工作生活中必不可少的一部分了，企业办公自动化已经成为普遍现象。但是我们在享受信息化带来诸多便利的同时，也要看到信息化给企业带来的诸多不便。2011年上半年，花期银行由于遭受黑客攻击，二十多万客户资料信息外泄，为银行和客户带来巨大的损失，同期国际著名的安全解决方案提供商RSA遭受黑客的恶意攻击，对其超过五百家客户造成潜在风险，给该企业带来高达数百万的损失。信息安全是企业整体安全的重要方面，一旦企业重要的信息外泄，会给企业带来巨大的风险，甚至有可能将企业带入破产的境地。

1企业信息系统安全的发展

随着信息技术的产生，信息系统安全的保护也随之而来，并且随着信息技术的不断更新换代，信息系统安全保护的战略也不断发展，接下来我们可以简要地分析一下信息安全系统的发展历程。

信息系统安全的第一步是保障信息的安全，当时各个电子业务系统较为独立，互联网还不太流行，这时主要技术是对信息进行加密，普遍运用风险分析法来对系统可能出现的漏洞进行分析，合理地填补漏洞，消除威胁，这是一种基于传统安全理念指导下的系统安全保护。

随着互联网技术的深入，信息系统安全开始逐步向业务安全转化，开始从信息产业的角度出发来考虑安全状况，此时的互联网已经成为工作生活的一个组成部分。这时候我们需要保护的不再仅仅是相关信息了，我们需要对整个业务流程进行保护，分析其可能出现的问题。本阶段的安全防护理念关注整个业务流程的周期，对流程的每一个节点进行综合考虑。信息保护在此时只是整个系统安全的一部分，是作为最为基础的防护技术，除此之外，还强调对整个流程

的监控，防止某个节点可能出现的不安全因素，一旦出现任何风吹草动的现象我们可以立即予以控制。此外，审计技术在这个时候也被引入，通过对技术操作的跟踪，可以对攻击发起者进行责任追究，对攻击者起到一种震慑的效果。

到目前为止，业务系统的独立性和边界已经逐步弱化，系统间的融合更为常见。以矿业企业为例，在大型集团中，往往存在财务系统、生产系统、销售系统、统计分析系统等，这些系统之间需要相互勾稽，系统与系统之间需要互相取数，因此大量的系统集中到了一个业务平台中，由该平台来提供整体服务。这样的话，我们对于信息系统安全的需求也从单系统向多系统转换，我们在关心单个系统安全的同时，还要对其系统平台服务给予更多的关注。这样的话，企业信息安全也开始由业务流程向服务转换。

2企业信息安全存在的问题分析

信息安全问题我们可以将其进行进一步细分为物理、技术以及人为等三类因素。

首先来看物理方面，物理安全主要指的是机器设备以及网络线路出现的问题。一般企业在进行信息设备设置时最先考虑的因素是人员安全，即在保证信息设备不会对企业员工人身安全造成威胁的前提下再进行设备本身考虑。信息设备一般属于电气设备，容易受到打雷、水电等灾害的影响。如果服务器主机受到严重破坏，有可能导致企业整个信息系统崩溃。相对于其他电气设备而言，信息设备耐压数值比较小，企业需要其持续不断地运行，并且磁场的干扰对网络影响比较明显，这些都对信息设备的物理安全提出了要求，需要防止可能出现的问题。

其次是技术方面，对于大量企业而言，可以分为内部网络和外部网络，内部网络相对安全性较高。对于绝大多数企业而言，局域网都会通过一定途径与外部网相连接。这样内部网路安全性就受到内部网络设备与外部网络进行的沟通的威胁。同时，操作系统的安全以及应用程序的安全都是技术上所面临的困扰。

在操作系统方面，我们的选择比较狭窄，大多数企业只能选择微软操作系统，每个系统都存在一定的漏洞，都会造成信息的外泄。其实操作系统同样是软件，微软为系统安全会不定期推出安全更新与漏洞补丁，虽然我们可以通过系统的Windows Update或其他辅助软件来给系统修修补补，但这还不是100%的安全保证。随着微软在安全技术上的逐渐改进，系统漏洞出现的次数越来越少，现在很多黑客开始把注意力转移到常用的第三方软件上来，也就是要利用这些软件的漏洞来进行攻击。相对于操作系统而言，应用软件方面我们选择性比较大，但目前流行的各种病毒、木马都会给我们企业的信息安全带来极大的影响。

尤其是现在大部分企业都建立有自己的官方网站，保存着企业的重要数据和客户资料等，而如果网站存在一个通用漏洞，就会被恶意的黑客攻击，甚至黑客还会进行木马的上传来得到WebShell，添加隐藏超级账号，使用远程桌面连接等操作，从而导致网络沦落为黑客手中的“肉鸡”。因此，如果使用网站模板代码，必须要时刻关注该网站模板是否有最新的漏洞被曝

光，及时到官网上下载并打上相关的漏洞补丁程序。另外，网管务必要有经常查看网站登录日志的习惯，检查后台登录的IP是否有异地的可疑信息，或者是否被添加了异常的管理账号等等，永远绷紧安全这根弦。

对局域网进行妥善管理，让网络运行始终安全、稳定，一直是所有网络管理员的主要职责。为了保证局域网的安全性，不少网络管理员开动脑筋，并且不惜花费重金，“请”来了各式各样的专业安全工具，来为局域网进行保驾护航。然而在实际工作过程中，如果没有现成的专业安全防范工具，也可以利用客户端系统自带的安全功能，保护自己的上网安全。

最后是人员方面，人员是企业信息外泄的重要途径，其中我们可以将其分为两大类，一类是内部人员的泄密。这往往体现在员工将企业核心机密通过硬盘等设备将其带出公司信息设备，并且造成遗失等现象，最终导致公司机密为外界所获取，信息安全受到严重威胁。另一部分是黑客攻击，这类攻击对公司造成的损失非常大。该行为的目标就是获取相应的信息。随着黑客技术的发展，传统的防火墙甚至物理网闸断开都难以完全避免黑客的攻击。目前企业繁多的保护程序对黑客的防护效果不佳，反倒给用户带来了诸多不便。

3企业信息安全改进建议

3.1物理安全防护

网络结构设计直接影响到企业的信息安全，局域网的网络拓扑设计也成了信息防护的关键所在，一般情况下，企业的网络拓扑结构图如下：

图1内部网拓扑结构图

在整个流程中，核心交换机是关键，首先它必须满足国家相关的规定标准，可以承载相应的功能。机房设计要考虑到防盗、防火等，必须实行24小时监控。硬件防火墙是我们进行信