浅谈企业信息安全建设

网络天地

144 浅谈企业信息安全建设

◆徐晓丽

(上海航空工业（集团）有限公司 201210)

摘要：在互联网技术高速发展的今天，网络为企业带来了成本降低、效率提高、业务开拓和形象提升等诸多好处，使得企业信息化成为现代企业的必由之路。然而，事物往往是伴随矛盾而至的，不少信息化的企业在享受便利的同时，也体验到了病毒、黑客等网络负面因素带来的困扰，所以，建立完备的信息安全防护体系，确保信息系统网络得以正常运转，以保护企业的信息资源不受侵害，已经成为企业信息化进程中的重要举措。

关键词：机密性；可用性；完整性；总风险；剩余风险；风险控制；风险管理

企业信息安全是一项跨学科的综合性信息系统工程，它涉及安全技术和安全管理两大范畴。就安全技术而言，它就涵盖了通信技术、计算机技术、操作系统、网络技术和密码学等多个领域，远非个人或小团队所能具备的，它需要有专门的组织或单位投入大量的人力、物力和财力致力于这方面的研究和开发，才有可能做的比较完备。有关安全的技术与管理哪个更重要的问题，是大家所关心的，也是人们一直在探讨的话题，其实，我们不能陷入这样很难有答案的讨论中去，而更应该分析企业的安全需求，根据需求制定相应的技术和管理方案来满足它。事实上，在有些企业技术用的多些，管理起的作用相对要小些，而有些企业管理就比技术要重要的多，不可同一而足，要视不同的情况而定。并且，在部署安全方案的过程中还要坚持“安全与方便”和“投入与效果”等原则，比如用系统总投资的一半以上作为安全投入或施加安全方案后却造成了系统的瓶颈，显然都是不合适的。

一、安全的基本原则

每家企业都会有大的小的安全计划，但是所有的安全计划都必须包括三个主要的原则：可用性、完整性和机密性。实现这些原则所需的安全级别因公司而异，因为每家企业的安全目标和需求会有所不同。

可用性（Availability）

可用性保证经过认证的用户能够对数据和资源进行适时和可靠的访问。系统和网络应该提供适当的能力，从而能够在可以接受的性能级别下以一种可以预见的方式运行。通过采取备份措施，冗余机制，可以将来自环境组件的负面影响消除。

完整性（Integrity）

完整性是指保证信息和系统的准确性和可靠性，并禁止对数据非授权的修改。实现和提供这种属性的安全系统能够保证数据在传输或存储的过程中被攻击者或者用户的误操作损害。严格的访问控制、入侵检测和加密可以抗击这些威胁。

机密性（Confidentiality）

机密性提供了保证在每一个数据处理和防止未经授权的信息泄露的交叉点上都能够加强必要级别的安全保护的能力。机密性可以通过以下途径获得：在存储和传输数据的时候进行加密，网络流量监控，严格的访问控制管理，数据分级以及对员工进行安全意识培训。

不是所有企业都需要按照统一的标准来执行这三个指标。如今火热的电商网站追逐利润，自然更关心可用性，这直接影响他们的营业收入。而军工单位则必然将重心放在机密性上以防止敌人窃取军事机密给国家造成损失。作为企业管理者需要充分认识各种机制如何提供这些原则以及缺少这些原则将对系统造成什么负面影响，如此才能更好的明确问题并提供合理的解决方案。

二、风险的来源与管理

不存在100%的安全环境。每种环境都具有某种程度的脆弱性，

都面临一定的危险。我们要做的就是能够识别并评估风险、将它降低到可接受的水平、执行正确的机制来维持这种水平的过程。

相对个人网络用户而言，企业的信息网络要复杂的多，多个网络通讯节点、众多的网络设备和多种操作系统平台及应用等，决定了其所面临的网络威胁更大更多。在这里纠正一个错误的观点，那就是把信息安全认为就是防范黑客，甚至把安全防护说成是黑客防范，这是很可怕的想法，也是非常狭隘的，发生在去年美国的911事件正是推翻这一说法的明证。事实上，企业的信息网络所面临的威胁是多方面的，包括自然灾害、突发事件、电源中断、计算机病毒、网络蠕虫、黑客入侵、管理混乱等诸多因素，忽视任何一个方面都可能带来灭顶之灾，但在这些安全问题中有些是一次性就可以解决的，而有些是需要不断维护的，比如：装备多个UPS 和备用发电机一般来说就不用再担心电源中断的问题，而计算机病毒防范就需要不断的升级病毒代码库，否则就失去了防护效果。恰当的风险管理需要高级管理层的坚定承诺以及一个文本化的过程，这个过程为机构的使命、风险控制管理策略和委任的风险控制管理团队提供支持。企业或组织在公司规模、安全需求以及安全预算方面各有差异，然而最终目标是以最低预算确保公司安全。

三、安全防护的程度

作为企业的决策者，他们可能更关心实施风险管理后最终能为企业带来什么效益，说的更直白些就是投入收益比，以决定应该保护哪些财产以及保护的程度。这就是文章开头关心的问题，企业信息安全的管理者应该评估一下可用安全措施的功能，确定哪些安全措施对环境最有利。然后评估一下安全措施的成本，并做出比较。这些步骤和信息能够帮助管理人员在选择和购买防护措施上做出最明智和最有远见的决定。

一个公司实行安全对策的原因是将整体风险减小到一个可以接受的水平。前面已经说过，没有100%安全的系统和环境，这就意味着我们总是漏掉一些需要预防的风险，这就称为剩余风险。

剩余风险和总风险不同，总风险是指某个公司或组织不实施任何安全防护措施。这种情形存在的原因是源于成本/收益的分析结果。例如，某个公司的web 服务器发生问题的可能性很小，而提供更高级别的保护将会超过该风险造成的损失，那么该公司就会选择不实行安全措施，因而就承担了总风险。

在总风险和剩余风险之间存在着重要差别，那就取决于公司愿意承担的风险大小。

结束语：

安全问题是一个商业问题，因此也应该被相应处理。安全问题需要被合理的融入公司全盘的目的和目标之中，因为安全问题是很重要的，而且他依赖于一些公司的资源、财产、信息和雇员。越来越多的公司都因为没有对安全问题给予正确的重视、支持和投资而不得不付出惨痛的代价。生活在这个世界中是很令人愉快的，但是会发生糟糕的事情。意识到这一点的人不但能够生存下去，而且会茁壮成长。

参考文献：

[1]（美）海吉著，田果，刘丹宁译《网络安全技术与解决方案》2010

[2]Garfinkel, Simson. PGP Pretty Good Privacy O'Reilly & Associates, Inc., 1995.