关于重工型企业信息安全保障体系建设研究_v03

《关于重工型企业信息安全保障体系建设研究_v03》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、关于重工型企业信息安全保障体系建设研究摘要：重工型企业信息安全保障工作仍处于初级阶段，信息安全缺乏整体规划，未形成常态化的安全工作机制。为进一步提升重工型企业信息安全，本文在分析重工型企业信息安全存在的风险和需求的基础上，结合重工型企业信息化建设的特点，提出重工型企业信息安全保障体系框架，论述重工型企业建设信息安全体系的重要内容。关键词：重工型企业信息化；信息妥全；信息妥全保障；1前言伴随着国际竞争的不断激烈，安全形势越來越严峻。政府、金融、电信等行业对信息安全重视度逐年提高。在国家信息系统等级保护政策的指导下，重工型企业已经逐渐

2、将风险评估工作纳入到口常工作屮，提高了现有信息系统抵御网络攻击的能力，规避了大量风险。但是冃前重工型企业的信息安全建设主要着重于修复现冇系统漏洞，存在较大脾端。如：只会针对某个安全问题进行单一的加固，按照国家或上级的某项要求开展工作，缺乏整体规划，忙于应付。2重工型企业信息安全现状与需求2.1重工型企业信息安全内容重工型金业信息安全是指保障重工型企业业务系统不被非法访问、利用和篡改，为重工型金业员工提供安全、可信的服务，保证信息系统的可用性、完整性和保密性。重工型企业企业信息安全保障对象包括：1）业务系统正常运行及数据的安全-包括

3、PDM系统、SCADAI控系统、0A系统和E-HR系统等。2）基础设施安全-网络与基础设施包括内部网络和心机房。2.2重工型企业信息安全存在的问题1）安全意识不够高信息安全在传统重工型企业屮由于管理人员认识不够等原因，工作无法量化，往往被忽视，许多部门的网络为系统缺乏必要的安全设置来进行安全防护；另外，重工型企业员工由于不了解安全威胁的严峻和当前的安全现状，在使用办公电脑、应用系统和网络时只关注易用性而忽视信息安全的存在。2）信息安全工作未纳入tl常工作信息安全保障工作需要以检查的形式进行推动，如上级部门的安全检查。但是企业相关管

4、理机构或组织，只是在发生网络安全事件时才发挥相应的作用，未将信息安全保障纳入到口常工作计划中。3）缺乏规范化运作重工型企业的系统运维、安全管理缺乏规范，往往存在信息安全隐患。2.3需求分析重工型企业信息系统面临的主要风险有病毒攻击、应川服务屮断和信息泄露。为应对上述风险,可从信息安全管理和信息安全技术出发，建立相应的安全保障体系。3重工型企业信息安全体系框架上述分析表明，重工型企业信息安全问题根源分布在技术、人员和管理等多个层而，须统一规划并建立金业信息安全保障体系，并最终落实到管理措施和技术措施，才能确保信息安全。3.1信息安全

5、模型信息安全是在企业信息安全策略指导下在企业管理体制下，借助技术手段来实现的。包括信息安全策略、安全管理、安全运行和信息安全技术措施，如下图：图1信息安全模型信息安全策略是一个组织机构中解决信息安全问题最重要的部分。一个组织的信息安全策略反映出一个纽织对于现实和未來安全风险的认识水平，对于组织内部业务人员和技术人员安全风险的假定与处理。信息安全管理是企业为了实现信息安全策略的管理行为，信息安全运行体现了安全管理成效，反映信息运行安全情况。信息安全技术是信息安全的基础支撑。信息安全模型运转后，会形成的一整套对信息安全的管理规定及运行

6、记录文档，即信息安全文件休系，分为四个层面，与安全面模型对应，如卜•图：*安全策略图2信息安全四要索与安全文件体系重工型企业信息安全保障体系建设应注重安全体系文件的建立，并定期对记录性文档进行审核,检査实际的运作情况；安排相关人员对安全管理制度、技术规范、操作章程进行年度评市，补充或修订其内容，以适M信息系统发展的需求；结合企业发展规划，定期对信息安全方针及策略进行评审修订，以适应企业发展需要。3.2重工型企业信息安全保障体系框架重工型企业信息安全保障休系建立在信息安全模型与重工型金业信息化的基础上，分为信息安全策略、安全管理、运

7、行安全、安全技术措施四个模块，框架如卜•图：图3垂工型企业信息安全保障体系框架重工型企业信息安全策略方针须结合重工型企业现有信息系统的特点，将信息安全与重工型企业信息系统安全生产相结合。信息安全管理涉及到安全组织架构、信息安全管理制度、安全监察评价机制、业务连续性计划和风险管理机制等。信息安全保障体系的运行是指相关安全管理制度在实际信息系统生产过程中得到落实，涉及安全巡检、运维技术规范和运维流程优化等内容，FI标是保障运维人员操作规范，降低运维人员操作所导致的安全风险。技术措施是企业采用的各种技术手段，从物理安全、网络安全、应用安

8、全、系统安全和数据安全出发，来建立完善的技术保障体系。4重工型企业信息安全保障体系建设4.1信息安全策略安全策略涉及的主要内容包括重工型企业信息系统的安全保护模型、总体安全策略、安全技术策略和安全管理策略等。安全保护模型方而具体内容涉及信息域的划分