企业安全信息系统建设研究
浅析企业会计信息系统安全建设
人 侵 网 络 财 务 软件 系统 ， 恶意破坏干扰企业正常运行 、 剽 窃 财 务 数 据 提 供 了条 件 ， 使 得 信 息有 着 被 拦 截 、 修 改 以及 泄 漏 等 风 险 。这 种 行 为 有 时 很 隐蔽 ， 尤 其 是 软 件 开 发商 ． 处 于 开 放 化 的 网络 环 境 之 中 的企 业 财 务 系 统非法入侵更不易被发现． 因此 应 值 得 我 们 注 意 防 范 。
信息化革命的时代产物． 而 且 随 着 网络 技 术 的 快 速 发 展 ， 很 多企 业 已步
入 到 基 于 网络 之 上 的 会 计 信 息 系统 时 代 。 企 业 进 行 会 计信 息化 建 设 。 不
经 验 兼 备 的人 才 比较 欠 缺 ，在 工作 中会 计 人 员 会 有 意无 意 的 引 发 安 全
一
机 系 统 安 全使 用 ，并 保 证 会 计 信 息 系 统 受 到 病 毒 破 坏 时 可 以 及 时 恢 复
其次， 使用不问断电源 。 系 统关 闭后 要 及 时切 断 电源 保 证 硬 件 设 备 电 源 安全 ， 通过建立数据备份 中心定期检查 、 备 份数 据 文 件 ， 来 保 证 会 计 信 息 系 统 的 数据 安 全 和 数 据 文 件 的 可 用 性 。 防 范 计 算 机 软 件 方 面 主 要 是
信息安全管理体系建设报告
信息安全管理体系建设报告随着信息技术的飞速发展，信息安全问题日益凸显。
信息安全不仅关乎企业的生存与发展，也关系到个人的隐私和权益。
为了有效应对信息安全风险，建立完善的信息安全管理体系成为当务之急。
本报告将详细阐述信息安全管理体系建设的重要性、目标、原则、实施步骤以及取得的成效。
一、信息安全管理体系建设的背景在当今数字化时代，企业和组织的运营高度依赖信息系统。
从业务流程的自动化到客户数据的管理，信息已经成为核心资产。
然而，伴随着信息的广泛应用，信息安全威胁也层出不穷。
网络攻击、数据泄露、恶意软件等问题给企业带来了巨大的损失和风险。
为了保障信息的保密性、完整性和可用性，提升组织的竞争力和信誉，我们启动了信息安全管理体系的建设工作。
二、信息安全管理体系建设的目标1、保障信息资产的安全通过有效的安全措施，确保企业的信息资产，如客户数据、商业机密、知识产权等，不受未经授权的访问、篡改或泄露。
2、符合法律法规要求确保企业的信息处理活动符合国家和地区的法律法规，避免因违规而面临法律责任。
3、提升业务连续性减少因信息安全事件导致的业务中断，保障业务的正常运行，提高组织的抗风险能力。
4、增强员工的信息安全意识通过培训和教育，使员工充分认识到信息安全的重要性，养成良好的信息安全习惯。
三、信息安全管理体系建设的原则1、风险管理原则对信息安全风险进行全面评估，根据风险的大小和可能性，制定相应的控制措施，确保将风险控制在可接受的范围内。
2、全员参与原则信息安全不仅仅是技术部门的责任，而是需要全体员工的共同参与。
每个员工都应在自己的工作中遵循信息安全的要求。
3、持续改进原则信息安全环境不断变化，信息安全管理体系也应随之不断优化和完善，以适应新的威胁和需求。
4、合规性原则严格遵守相关的法律法规、行业标准和合同要求，确保信息安全管理活动的合法性和规范性。
四、信息安全管理体系建设的实施步骤1、现状评估对组织的信息资产、信息系统、业务流程以及现有的信息安全措施进行全面的评估，识别存在的信息安全风险和漏洞。
企业信息安全体系建设之道
企业信息安全体系建设之道一、安全生产方针、目标、原则企业信息安全体系建设之道，旨在确保企业信息资产的安全，防范信息安全风险，保障企业持续稳定发展。
安全生产方针如下：1. 全面贯彻落实国家有关信息安全法律法规，严格执行企业信息安全管理制度。
2. 以人为本，预防为主，强化安全意识，提高全员安全素质。
3. 全过程、全方位、全天候监控信息安全，确保信息资产安全。
4. 持续改进，追求卓越，提高信息安全水平。
安全生产目标：1. 杜绝重大信息安全事故，降低一般信息安全事故。
2. 保障企业信息系统正常运行，确保业务不受影响。
3. 提高全员信息安全意识，降低人为因素导致的安全风险。
安全生产原则：1. 责任明确，分工协作，共同维护信息安全。
2. 预防为主，防治结合，消除安全隐患。
3. 依法依规，严格执行，确保信息安全。
二、安全管理领导小组及组织机构1. 安全管理领导小组成立以企业主要负责人为组长，各部门负责人为成员的安全管理领导小组，负责组织、协调、监督企业信息安全工作。
2. 工作机构（1）设立安全管理办公室，负责日常信息安全管理工作，包括制定和修订信息安全管理制度、组织安全培训、开展安全检查等。
（2）设立信息安全技术部门，负责企业信息系统安全防护、监测、预警和应急处置等技术支持工作。
（3）设立信息安全审计部门，对企业信息安全管理制度执行情况进行审计，发现问题及时督促整改。
（4）设立信息安全运维部门，负责企业信息系统运维工作，确保系统安全稳定运行。
三、安全生产责任制1、项目经理安全职责项目经理作为项目安全生产的第一责任人，其主要安全职责包括：- 贯彻执行国家和企业的安全生产方针、政策、法规和标准。
- 组织制定项目安全生产目标和计划，并确保实施。
- 负责项目安全生产资源的配置，包括人员、设备、资金等。
- 定期组织安全生产检查，及时发现和整改安全隐患。
- 组织开展项目安全教育和培训，提高员工安全意识和技能。
- 对项目发生的安全生产事故负责，组织事故调查和处理。
电力企业信息安全技术督查管理系统研究
计算机安全技术
电力企业信 息安全技术督查管理 系统研 究
余 萍
（ ｌ 四ＪＩ 省宜宾 电业局 ，宜宾 ６４ ０ ） ４ ０ ２
摘
要 ： 介 绍 了信 息安全及信 息安全技 术督查的基 本概念、特点和 目前 管理上 的问题 ，详细阐述 了ＪＥ ２ Ｅ开发平 台
技术督查ｌ 丁作已成为电力企业安全管理 的迫切需要。
信息 安全技 术督 查工 作在 国网公 司采取 两级 管理 体 系 ，
２ 信 息 安全 与信息 安全 技术 术督查 执行 队伍 由中 国电科 院和 国网 电科 院信息
安全试验 室承担 ，受 国 网公 司委 托 ，负责对公 司信息 系统全 生 命周期 的信息安全 技术督查 ，承担公 司范 围内信息 内外 网 安 全监测与 预警分析 、系统评测 和风 险评 估 ，对 网省级督 查 机 构 的技术 支持 和培训 ，公 司 日常监督 工作 的统计 、分 析 、 汇 总等 。网省级信息 安全技术督查 工作 由各 网省 公司制定 的 本单位 电科 院 （ 中试院所 ） 、技 术中心 、信通公 司或其 他具 体
督 促改进等 工作。信息 安全技术督 查 的主要 目的是 监督 、检 查 、督 促信 息安全技术要 求和保 障措 施落 实 ，健全 信息安 全
防护体 系 ，全 面提高信息 安全防护水 平 ，实现对信 息安全 的
可 控 、 能 控 、再 控 ，实 现 全 面 、全 员 、全 过 程 、全 方 位 的 安 全管理 。
信 息安全技 术督查是 电力企 业根 据国家信 息安全 管理体
系要求 、结 合 电力企业 信息技术 监督规 范的要求 建立 的 日常 工 作机 制 ，负责各 单位 的信息 安全 技术 指导 、监督 、检 查 、
信息安全管理体系建设报告
信息安全管理体系建设报告一、引言在当今数字化时代，信息已成为企业和组织的重要资产。
然而，随着信息技术的飞速发展和广泛应用，信息安全面临的威胁也日益严峻。
信息泄露、网络攻击、数据篡改等安全事件屡见不鲜，给企业和组织带来了巨大的经济损失和声誉损害。
为了有效应对信息安全风险，保障信息的保密性、完整性和可用性，建立一套完善的信息安全管理体系已成为当务之急。
二、信息安全管理体系建设的目标和原则（一）目标1、保护企业和组织的信息资产，确保其保密性、完整性和可用性。
2、满足法律法规和行业规范的要求，降低合规风险。
3、提高企业和组织的信息安全管理水平，增强应对安全威胁的能力。
4、促进业务的持续发展，提升客户和合作伙伴的信任度。
（二）原则1、风险管理原则：识别和评估信息安全风险，并采取相应的控制措施，将风险降低到可接受的水平。
2、全员参与原则：信息安全不仅仅是技术部门的责任，需要全体员工的共同参与和协作。
3、持续改进原则：信息安全管理体系是一个动态的过程，需要不断地监测、评估和改进，以适应不断变化的安全威胁和业务需求。
三、信息安全管理体系建设的过程（一）现状评估1、对企业和组织的信息资产进行全面的清查和分类，包括硬件、软件、数据、人员等。
2、识别现有的信息安全控制措施，评估其有效性。
3、分析信息安全风险，确定风险的等级和影响范围。
（二）体系规划1、根据现状评估的结果，制定信息安全管理体系的框架和策略。
2、明确信息安全管理的组织机构和职责分工。
3、制定信息安全管理的流程和制度，包括安全策略、安全标准、操作流程等。
（三）体系实施1、按照规划的方案，实施信息安全控制措施，包括技术措施（如防火墙、入侵检测系统、加密技术等）和管理措施（如人员培训、安全审计、应急响应等）。
2、建立信息安全监测和评估机制，定期对信息安全状况进行监测和评估。
3、对信息安全事件进行及时的响应和处理，降低事件的影响。
（四）体系审核1、定期对信息安全管理体系进行内部审核，检查体系的运行情况和有效性。
企业信息安全分析及整体应用管理的研究
用 而 又 比较 敏 感 的 端 １等 ， 么 技 术 高 超 ３ 那 的 入 侵 者 虽 然 也 有 可 能 破 坏 系 统 ， 这 需 但 要 相 当 高 的 技 术 水 平 及 比较 长 时 间 。
Ｑ：！
Ｓｃ ｅｎ ａｎｄ ｉ ｃｅ Ｔｅｃｈ ｎｏｌ ｏｇｙ ｎｎｏｖ ｉ ｎ Ｉ ａｔ ｏ Ｈｅｒ ｄ ａｌ
管 理 科 学
企 业信 息 安全 分 析 及 整 体 应 用 管 理 的研 究
赵耀 何 晓燕 孙晋 （ 华北 煤炭 医学 院信息 中心 河北 唐山
０３０ ） ６ ０ ０
所 有主机 ， 能造成信 息泄漏 、 件丢 失、 可 文 机 器死 机 等 不 安 全 因 素 。 １． ４管理 安全 风险 分 析
１网络信息系统安全风 险的分析
１１ ． 物理 安全 风 险分析 网 络 物 理 安 全 是 整 个 网络 系 统 安 全 的 前 提 。 理安 全 的 风 险 主 要 有 ： 震 、 灾 、 物 地 水 火 灾 等环 境 事故 造成 整 个 系统 毁 灭 ； 源故 电 障 造 成 设 备 断 电 以 至操 作 系统 引导 失 败 或 数据库信息丢失 ； 备被盗、 设 被毁 造 成 数 据 丢 失 或信 息泄 漏 ， 电磁 辐射 可 能造 成 数据 信 息 被 窃取 或偷 阅 ； 警 系统 的 设计 不 足可 能 报 造 成 原 本 可 以 防止 但 实 际 发 生 了 的 事 故 。 １． 系统安 全风 险分 析 ２ 所 谓 系统 安 全通 常 是指 网络操 作 系 统 、 用 系统 的 安 全 。 应 目前 的操 作 系统 或 应 用 系统 无论是 Ｗｉ ｄ ｗｓ 还 是其 它任 何商 用 ｎｏ ＵＮＩ 操 作 系统 以 及其 他 厂商 开 发 的应 用 Ｘ 系统 ， 其开 发 厂商 必然 有 其 Ｂ ｃ Ｄ ｏ 。 ａｋ ｏ ｒ 而 且 系统 本 身 必 定 存 在 安 全 漏 洞 。 些 “ 这 后 门 ” 安 全 漏 洞 都 将 存在 重大 安 全 隐 患 。 或 掌 握一般攻击技 术的人都可 能入侵得手 。 如
电网信息安全体系建设及实践探讨
改造与优化 、制度建设与梳理 以及责任制落 实几个方面，已经初步形成了管理制度加技术手段 配套的信息安全保障体系。但是， 随着信息技 术飞速发展 ，应用环境 日 益复杂 ，以及企业应用需求 的日益增 加，国家、企业对信息安 全的要求不断提高，信息安全
Ｔ作也 暴露出许多问题和不足，主要体现在 ： 随着信息化大集 中的建设 ，信息安 全基础设施需要进一步进行系统化 的优化整合；
及利 用 ＩＯ１４ ８ Ｓ ５０ 的技 术规 范推 演和搭 建 电网信 息安 全技 术 防护 架构 。通 过研 究与 落地全 方
，
本 文提 炼 并给 出电 网信 息安全 体 系建 设和 国 际标 准结合 可借 鉴的 思路和 方法 。
网；Ｉ ７ ０ ；Ｉ ５ ０ ；信息安 全体 系 Ｓ ０ １ Ｓ ４８ Ｏ２ Ｏ１
目前信息安全监管水平和能力不足 ，需要建设 高自动化水平的集 中监管 平台 ；电网企业普遍缺乏体系化的安全管理 策略 ，无法有
效指导信息化建设、运维与监管 中的安全工作 ； 现有的信息安全组织架构 、人 员数量 及素质与整体信息化 规模不匹配 。因此，电
网需要 建设 具有前瞻性 、战略性的企业信 息安全 体系去指导信息安全工作 的开展。
Ｉ０ ７ ０ 是关于信息安全管理 的标 准，达到这些标准的 Ｓ ２０ １ 要求 并不 难，重 要的是用什 么方 法去实 现，以求 通 过实施 标 准全面改 善内部 管理 ，而不是将标 准作为一种简单 的模式 对 现有运作流程进行套用 。为建立有责、有序、高效 的信息安全
管理体系 ，只有对现有组 织运作 流程 进行详 细分析 ，有针对 性地设 计并改善现 有管理 体系、改善 薄弱环 节、提 高员工的 信息安 全意识 ，并有效 地将先 进的管理 思想 融合 到具 体的实 施过程中。才能不断获取并运用先进 的管 理方法和技术手段 ， 才能使企 业信息安全 管理水平得 以持 续发 展和提升，才 能发
网络安全系统建设方案
网络安全系统建设方案网络安全系统建设方案随着互联网的快速发展和普及，网络安全问题也日益凸显。
为了保障企业的信息安全，建立一套完善的网络安全系统至关重要。
下面是一个网络安全系统建设方案，旨在提高企业的网络安全防护能力。
一、风险评估：网络安全系统建设的第一步是对企业的网络安全现状进行评估和风险分析。
通过对企业内部的IT系统进行全面扫描和检测，识别网络安全风险和潜在漏洞，并评估可能遭受攻击的风险程度。
二、建立防火墙：防火墙是一个网络安全系统的核心组成部分，它可以监测和控制进出企业网络的数据流量，同时阻挡未授权的访问和恶意软件。
建立一套优质的防火墙，可以帮助企业防御来自外部的网络攻击。
三、建立入侵检测和防御系统：入侵检测和防御系统可以监测和警报关键网络和服务器上的异常活动。
通过使用入侵检测系统，可以及时发现并报告可疑的网络活动和攻击行为，并采取措施进行阻止和防御。
四、加强身份验证和访问控制：建立一个严格的身份验证和访问控制措施，可以限制哪些用户可以访问企业的敏感数据和系统。
采用强密码策略、多因素身份认证和实施访问权限管理，可以有效防止未经授权的访问。
五、加密与数据保护：加密是保护数据安全的重要手段，在数据传输和存储过程中使用加密技术可以有效防止数据泄露。
建立数据备份和恢复机制，定期备份重要数据，确保在发生数据丢失或损坏时能够快速恢复。
六、安全教育培训：建立一个持续的安全教育培训计划，通过培训员工识别和避免网络威胁，增强其网络安全意识。
员工是企业网络安全的第一道防线，只有当员工具备了充分的网络安全知识和技能，才能更好地帮助企业抵御网络攻击。
七、持续监控与漏洞管理：持续监控企业的网络和系统，及时发现和处理潜在的漏洞和安全问题，以减少网络被攻击的风险。
建立一个漏洞管理系统，及时更新并修复操作系统和应用程序的漏洞，确保系统始终处于最新的安全状态。
八、建立事件响应计划：建立一个完善的网络安全事件响应计划，包括处理网络攻击、数据泄露和系统瘫痪等紧急事件的步骤和流程，以迅速响应和恢复正常运营。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
企业安全信息系统建设研究 黄斌 （江苏自动化研究所，江苏连云港２２２００６）
摘要：主要从物理安全、运行安全、信息安全及安全管理四个方面阐述了安全信息系统的建设方案，重点阐述了安全建设所 采取的技术防范措施。 关键词：信息系统；信息安全；安全建设
Ｂｒｉｅｆ Ｄｉｓｃｕｓｓｉｏｎ ｏｎ Ｂｕｉｌｄｉｎｇ Ｓｏｌｕｔｉｏｎｓ ｆｏｒ Ｅｎｔｅｒｐｒｉｓｅ Ｓｅｃｕｒｉｔｙ Ｉｎｆｏｒｍａｔｉｏｎ Ｓｙｓｔｅｍｓ ＨＵＡＮＧ Ｂｉｎ （￣ａｎｇｓｕ Ａｕｔｏｍａｔ／ｏｎ ｔ￣ｅｓｅａｒｃｈ／ｎｓ＃ｔｕｔｅ，Ｌｌａｎｙｕｎｇａｎｇ，Ｊ／ａ＃ｇｓｕ ２２２００￣ ｍａ） Ａｂｓｔｒａｃｔ：Ｔｈｅ ｐａｐｅｒ ｍａｉｎｌｙ ｄｅｓｃｒｉｂｅｓ ｔｈｅ ｓｅｃｕｒｉｔｙ－ｂｕｉｌｄｉｎｇ ｓｏｌｕｔｉｏｎｓ ｆｏｒ ｓｅｃｒｅｔ ｉｎｆｏｒｍａｔｉｏｎ ｓｙｓｔｅｍｓ ｉｎ ｔｅｒｍｓ ｏｆ ｐｈｙｓｉｃａｌ ｓｅｃｕｒｉｔｙ，ｏｐｅｒａｔｉｏｎａｌ ｓａｆｅｔｙ，ｉｎｆｏｒｍａｔｉｏｎ ｓｅｃｕｒｉｔｙ ａｎｄ ｓｅｃｕｒｉｔｙ ｍａｎａｇｅｍｅｎｔ，ｗｉｔｈ ｔｈｅ ｅｍｐｈａｓｉｓ ｏｎ ｔｈｅ ｔｅｃｈｎｉｃａｌ ｐｒｏｔｅｃｔｉｏｎ ｍｅａｓｕｒｅｓ． Ｋｅｙ ｗｏｒｄｓ：ｉｎｆｏｒｍａｔｉｏｎ ｓｙｓｔｅｍ；ｉｎｆｏｒｍａｔｉｏｎ ｓｅｃｕｒｉｔｙ；ｓｅｃｕｒｉｔｙ ｂｕｉｌｄｉｎｇ
１引言 信息化网络化水平的提高促进了企业信息化发 展，各种信息系统有效地提升了企业的信息化管理 水平，但信息安全也成了企业信息化棘手的问题。 信息管理制度不完善、软硬件平台缺陷、信息系统 自身安全性的不足，还有一些别有企图的人，试图 通过各种手段，非法获得重要数据，达到其特定的 目的。近年来，数据信息泄露时有发生，大到国家 政治经济决策、军事机密，４，Ｎ企业的核心技术数 据、客户数据丢失，给国家和企业造成许多不必要 的损失。 因此信息安全防护工作一直是企业信息化工作 的一个重点和难点。信息系统安全设施的建设必须 与信息化建设同步规划、实施与发展，采取切实可 行的安全策略，确保企业信息运行稳定和有效管控。 ２建设原则 ２．１适度安全原则 没有绝对安全的信息系统，企业信息系统应按 自身风险评估报告确定需要建立的安全防护措施， ４７；姻豳圜豳２ ０ １｛ ｊ ２ ＷＷｘ￣Ｖ ｎｓｃ ｏ ｒｇ ｃ 注意新建的安全措施应不明显影响网络系统运行效 率，并满足工作要求。 ２．２按最高安全防护原则 企业信息系统往往涉及多种安全信息，应按最 高安全要求确定为信息系统的安全级别，并采取相 应安全防护措施。 ２．３最小化授权原则 企业信息系统包括信息网络系统、信息资源系 统和信息应用系统。最小化授权就是要求信息网络 系统建设规模最小化、信息资源知悉范围最小化、 信息应用系统权限分配最小化 ２．４内外网物理隔离原则 在高安全保密的企业，为确保企业信息不被非 法获取和访问，信息网络必须单独布线，采用独立 交换机和专用服务器，与其他公共网络之间物理隔 离，这是防止黑客入侵最有效的措施。 ２．５适用性原则 在符合安全需求的前提下，系统功能设计尽可 能采用成熟技术，适当使用领先技术，这样既可以 降低工程建设风险，又能够节约成本。 ２．６安全产品选型原则 企业在信息系统中建设中必须选用可靠有效的 安全产品。
３建设目标 建设一个适度领先、可靠、经济、适用、配套 的综合信息安全防范系统，满足信息安全要求，全 面提升企业信息安全防范能力。让企业信息化安全 地服务于企业的发展。
４建设内容 随着信息化的高速发展，企业信息安全日趋严 峻，信息系统安全建设应包括两方面的内容，即原 有基于较为落后基础条件的信息系统的安全改造和 新建信息系统的安全建设，除了按照上述建设原则 进行安全建设外，信息系统安全保障体系建设方案 还需在物理安全、运行安全、信息安全和安全管理 方面进行综合考虑。 ４．１物理安全 物理安全是保护信息系统中的设备和介质免遭 地震、水灾、火灾等环境事故和其他人为事故的破 坏。主要包括： ４。１．１环境安全 按照国家相关规范安装防火、防水 防震、防 雷、防静电等各方面的设施，确保环境安全，重点 是系统中心机房工程建设和边界安防体系建设。 ４．１．２设备安全 ， 配备相应安全防范设施，确保设备安全，重点 是对重要安全部位、部门采取监控、报警、门禁等 安防技术措施，通过安全产品对关键设备输入／输 出端口进行控制，如为加强打印输出的安全控制， 防止输出结果被非授权查看和获取，采用安全电子 文档管理系统，实现重要文件在单位集中的打印服 务器上打印输出，普通文件在部门集中的打印服务
器上打印输出。 ４．１．３介质安全 为防止信息通过介质泄漏，按照相关规范对介 质使用和管理采取相应标识、介质认证等安全管控 措施。 ４．２运行安全 ４．２．１备份与恢复 企业信息系统的关键业务设备、数据、软件、 电源等应配有备份。关键业务（如办公自动化系统、 邮件系统等）应配置备份服务器，可按系统实时性 的不同要求采用双机热备或冷备的方式，确保关键 业务及时恢复与稳定运行；为保证数据安全，应 建立数据中心存储备份系统，通过存储备份服务器、 盘阵、磁带机定期备份关键业务数据，同时在异地 应建立容灾备份系统。 ４．２．２病毒防护 企业信息系统的各用户终端、服务器都必须安 装杀毒软件网络版客户端，建立一个全方位的病毒 和恶意代码防护体系，由管理人员定期上互联网下 载病毒库升级包，经信息转换后进入企业信息系统， 再从中心控制台统一下发安全策略，强制用户终端 定期查毒、杀毒，确保系统安全性。 ４．２．３应急响应 建立系统应急响应体系，明确对系统瘫痪或重 要信息失窃等异常事件采取应急响应的基本步骤、 基本处理办法和汇报流程。 ４．２．４运行管理 建立系统运行管理制度，保证系统正常运行； 管理人员应明确职责，各司其职。 ４．３信息安全 信息安全是企业信息系统安全建设的重点，为 确保企业信息的安全，须采用一系列安全产品和采 取多种技术措施进行有效安全防护。 ４．３．１边界安全防护和密码保护措施
≥０｛１ １ ２弱 凰４８ Ｗｗ ５Ｃ ｏ ｒ，ｃｊ ｃ ｒ 边界安全防护是指按实际情况划分安全域，在 系统或安全域边界的关键点采用安全防护措施，如 防火墙、安全网关等。密码保护措施是要求在不受 控区域，对传输的信息须采取密码保护措施。 因工作拓展的需要，信息系统可能并不仅局限 在一处。如图ｌ所示，按地理位置的不同，该企业 信息系统分为本区和新区两个安全域，两个安全域 通过光纤相连，在安全域边界处采用密码机、防火 墙的防护措施。同时，由于本区是包含所有服务器 的中心区域，为用户终端提供各种应用服务，新区 只有用户终端，因此，本区安全域又进一步划分为 服务器安全子域和用户终端子域，子域问的边界防 护措施为防火墙、安全认｝正网关。 删 ｛ ｝ ∞ 冉 ｚ ｝ 溪 飘 Ｉ Ｉ ｌ踅鸯 鼹 警 ｝收戡 ‘ ５∞＾蛾 ０置§ 毽 ％ ； 图１异地信息系统网络拓扑图 ４．３．２身份鉴别与访问控制 信息系统服务器、用户终端及应用程序的本地 登录和远程登录都应进行用户身份鉴别。若采用口 令鉴别方式，口令的长度、复杂度、重鉴别方式、 口令锁定时间等都应按照信息系统最高安全防护要 求进行设置。访问控制是对用户终端访问应用系统 的操作权限的限制。身份鉴别和访问控制是信息安 全的重点和难点。 息应用服务器区。系统中心管理人员授权访问安全 管理软件，通过下发安全策略对用户终端进行有效 管理；用户终端只能通过安全认证网关授权访问应 用信息系统，通过防火墙授权访问非应用信息系统。 对于关键业务系统（如办公自动化系统），在设 计上应考虑采取多种安全控制措施，如用户账号与 计算机硬件信息的绑定、信息安全级别与人员安全 标识的分开、系统进行“三员”管理、传输与存储 信息的完整性校验，防止信息抵赖的时间戳等技术， 增强应用程序内部的安全性和可控性。 ４．３．３电磁泄漏发射防护 为了防止企业信息通过电磁泄漏发射出去，通 常在物理上采取一定的防护措施，按照信息系统建 设工程规范进行电磁泄漏发射防护。 系统中心机房需采用屏蔽机房或以电磁屏蔽机 柜保存服务器、存储、交换机等关键设备。所有红 设备需外接红黑电源隔离插座。对于原有安全信息 系统，在临近不可控公共区域的计算机应加装视频 干扰器；针对以往红黑线路共用同一桥架的现状， 在各建筑物主交换机和配线架之问加装线路传导干 扰器，对各楼层不同方向上的远端与次远端非屏蔽 双绞线进行相关干扰，防止重要信息通过电磁波扩 散出去。对于新建企业信息系统，建议内外网均采 用光纤到用户终端的方式，避免因双绞线电磁泄漏 发射防护而考虑在土建和后期信息化安全建设上的 防护要求。 ４．３．４信息完整性校验 用户终端本地登录采用双因子认证的身份鉴别 自主研发或外购的信息系统应具有对传输、存
方式，采用ＵＳＢ ＫＥＹ认证和交换机端口绑定等技 术手段控制用户终端接入网络，通过建立安全控制 策略和利用ＶＬＡＮ，取消网络共享和点对点通讯服 务，用户终端只能通过授权访问服务器应用系统交 互数据。为加强用户终端访问应用系统的访问控制 粒度，服务器子域应细分为安全管理服务器区、信
４９ 隧圈２ ０ １ ｌ｛２ Ｗ啦 ｎｓｉ—ｏｒｇ ｃ
储的数据信息进行完整性校验的措施，防止关键信 息被篡改、删除、插入等情况的发生。 ４．３．５系统安全性能检测 配置安全性能检测工具，定期对整个系统进行 漏洞扫描，并通过补丁分发工具及时填补系统漏洞。 ４．３．６安全审计