中小企业信息系统安全设计方案

中

小

企

业

信

息

系

统

安

全

设

计

方

案

班级：计算机082002 姓名：李永峰

学号：200820010211

一、中小型企业安全背景与现状

1.信息系统简介

中小企业是我国国民经济的重要组成部分，与大型企业相比明显存在着人才缺乏、资金短缺、技术落后、信息滞后，管理水平低和协同能力差等一系列问题，严重影响着中小企业的快速、稳定和持续发展。

2.所面临的主要风险

随着以Internet为代表的全球性信息化浪潮日益深刻，信息技术应用的日益普及和广泛，中小企业对信息系统的依赖性日益增强，但对信息系统的安全意识还不够全面，这对信息系统应用和安全提出了更高的要求。如何保障信息高速公路的畅通，如何完善和深化信息系统的应用，已成为信息化健康发展所要考虑的重要事情之一。其中主要面临以下风险：

2.1 病毒泛滥。

有关调查显示全国有78%的中小型企业局域网中都存在病毒威胁，网络版杀毒软件的使用率不带两成。

2.2 黑客攻击

目前中小型企业的电脑已成为黑客散步垃圾邮件和“钓鱼”信息、传播间谍软件和广告软件、集体攻击组织团体、盗取机密信息的重要手段。

2.3 垃圾邮件

中小企业一般没有自己的邮件服务器，而是租用网络邮箱，对垃圾邮件更是不胜其扰。

2.4 混合型威胁

与一般的蠕虫病毒相比，混合型威胁的传播更加容易和更加快速，因为这种病毒的传播并不需要计算机用户人和主动的操作。

2.5 来自内部的威胁

据统计超过85%的安全威胁来自公司内部，不法员工可以通过网络泄露企业机密，攻击企业网络，形成内部网络的安全隐患。

二、安全需求分析

中小企业要构筑信息系统安全防御机制首先必须了解存在和潜在的安全威胁，然后制定相应的安全策略，选择符合企业安全要求的软硬件产品。

1．物理安全风险分析

物理安全的风险是多种多样的。物理安全主要是指地震、水灾、火灾等环境事故；电源故障；人为操作失误或错误；设备被盗、被毁；电磁干扰；线路截获等。

它是整个信息系统安全的前提，需要制定健全的安全管理制度，做好备份，加强信息系统的管理，重点设备系统重点保护，避免物理安全风险的发生。

2．网络安全风险分析

网络结构的安全涉及到网络拓扑结构、网络路由状况及网络的环境等。有来自与公网互联的安全威胁、内部网络与系统外部网互联安全威胁、内部局域网的安全威胁。

3．系统安全风险分析

所谓系统安全通常是指网络操作系统、应用系统的安全。

对于中国来说，恐怕没有绝对安全的操作系统可以选择，无论是Microsoft的Windows NT或者其他任何商用UNIX操作系统，其开发厂商必然有其Back-Door，而且系统本身必定存在安全漏洞。这些“后门”或安全漏洞都将存在重大安全隐患。但是从实际应用上，系统的安全程度跟对其进行安全配置及系统的应用面有很大关系，操作系统如果没有采用相应的安全配置，则其是漏洞百出，掌握一般攻击技术的人都可能入侵得手。如果进行安全配置，比如，填补安全漏洞，关闭一些不常用的服务，禁止开放一些不常用而又比较敏感的端口等，那么入侵者要成功进行内部网是不容易，这需要相当高的技术水平及相当长时间。因此应正确估价自己的网络风险并根据自己的网络风险大小作出相应的安全解决方案。

4．应用安全风险分析

应用系统的安全跟具体的应用有关，它涉及很多方面。应用系统是动态的、不断变化的，应用的安全性也是动态的。这就需要我们对不同的应用，检测安全漏洞，采取相应的安全措施，降低应用的安全风险，当然保证应用系统的安全也是一个随网络发展不断完善的过程。

4.1资源共享

资源共享是常见的一种局域网应用，比如文件共享、打印机共享等。由此就可能存在着：员工有意、无意把硬盘中重要信息目录共享，长期暴露在网络邻居上。可能被轻易窃取并传播出去造成泄密。

4.2电子邮件

电子邮件为用户提供电子邮件应用。局域网用户通过宽带进行电子邮件发送和接收时就存在被黑客跟踪或收到一些特洛伊木马、病毒程序等问题，由于许多用户安全意识比较淡薄，对一些来历不明的邮件，没有警惕性，给入侵者提供机会，给系统带来不安全因素。5．管理安全风险分析

管理是网络中安全最最重要的部分。责权不明，管理混乱、安全管理制度不健全及缺乏可操作性等都可能引起管理安全的风险。如无关人员随意出入技术重地，或者员工有意无意泄露他们所知道的一些重要信息。或者网络出现攻击行为或受到其它一些安全威胁时无法得到及时的处理。

6．病毒和黑客

网络是病毒传播的最好、最快的途径之一。病毒程序可以通过网上下载、电子邮件、使用盗版光盘或软盘、人为投放等传播途径潜入局域网。因此，病毒的危害是不可以轻视的。网络中一旦有一台主机受病毒感染，则病毒程序就完全可能在极短的时间内迅速扩散，传播到网络上的所有主机，可能造成信息泄漏、文件丢失、机器死机等不安全因素。

黑客们的攻击行动是无时无刻不在进行的，而且会利用系统和管理上的一切可能利用的漏洞。可以综合采用防火墙技术、web页面保护技术、入侵检测技术、安全评估技术来保护网络内的信息资源，防止黑客攻击。

三、安全解决方案

影响信息系统安全的因素有这么多，保护信息安全的手段也不只一种。而且，在绝大多数情况下，必须综合使用这些技术手段，才能达到良好的安全效果。

1．计算机安全

对于单独运行的计算机系统而言，计算机安全的主要目标是保护计算机资源免受毁坏、替换、盗窃和丢失。这些资源涵盖计算机设备、储存介质、软件、计算机输出材料和数据等。

计算机安全主要包括以下几个方面：

1)访问控制

计算机级：如设置开机口令和登录口令。实行离机屏幕保护。

目录级：如对硬盘分区或目录进行用户访问控制。

文件级：如对Word、Excel等文件进行密码保护。

需要保持口令的安全，不要选取显而易见的信息作为口令，妥善保存口令．定期进行修改。

2)病毒防护