《浅谈企业信息安全》由会员分享，可在线阅读，更多相关《浅谈企业信息安全（7页珍藏版）》请在金锄头文库上搜索。
1、 浅谈企业信息安全 摘要：信息作为一种资源，它的普遍性、共享性、增值性、可处理性和多效用性，使其对于人类具有特别重要的意义。信息安全的实质就是要保护信息系统或信息网络中的信息资源免受各种类型的威胁、干扰和破坏，即保证信息的安全性。信息安全越来越受到人们的重视，信息安全和其他商品一样有价值，如何保证信息的安全性和保密性成为企业建设过程中需要解决的重要问题。 关键词：信息；信息安全；重要性 1 信息安全综述 信息作为一种特殊资源与其他资源相比具有其特殊的性质，主要表现在知识性、中介性、可转化性、可再生性和无限应用性。由于其特殊性质造成信息资源存在可能被篡改、伪造、窃取以及截取等安全隐患，造成信息的
2、丢失、泄密，甚至造成病毒的传播，从而导致信息系统的不安全性，给企业的信息化建设带来不利影响。因此，如何保证信息安全成为亟须解决的重要问题。 信息安全包括以下内容：真实性，保证信息的来源真实可靠；机密性，信息即使被截获也无法理解其内容；完整性，信息的内容不会被篡改或破坏；可用性，能够按照用户需要提供可用信息；可控性，对信息的传播及内容具有控制能力；不可抵赖性，用户对其行为不能进行否认；可审查性，对出现的网络安全问题提供调查的依据和手段。与传统的安全问题相比，基于网络的信息安全有一些新的特点： 一是由于信息基础设施的固有特点导致的信息安全的脆弱性。由于因特网与生俱来的开放性特点，从网络架到协议以及
3、操作系统等都具有开放性的特点，通过网络主体之间的联系是匿名的、开放的，而不是封闭的、保密的。这种先天的技术弱点导致网络易受攻击。 二是信息安全问题的易扩散性。信息安全问题会随着信息网络基础设施的建设与因特网的普及而迅速扩大。由于因特网的庞大系统，造成了病毒极易滋生和传播，从而导致信息危害。 三是信息安全中的智能性、隐蔽性特点。传统的安全问题更多的是使用物理手段造成的破坏行为，而网络环境下的安全问题常常表现为一种技术对抗，对信息的破坏、窃取等都是通过技术手段实现的。而且这样的破坏甚至攻击也是“无形”的，不受时间和地点的约束，犯罪行为实施后对机器硬件的信息载体可以不受任何损失，甚至不留任何痕迹，给
4、侦破和定罪带来困难。 随着计算机网络规模的迅猛发展，网络环境变得日趋复杂，在人们享乐的同时，风险也随之而来，因为Internet上的任何人之间都有可能存在利益关系，这些风险从信息丢失到信息盗用，网络安全问题的数量也不断增加。世界各家机构都希望他们的网络安全功能能够用更加强大的设备来实施，使安全性得到增强。在现在更加复杂的网络环境中，更需要全面且综合的网络安全解决方案。特别是在企业中，面临的各种安全威胁，物理威胁，网络威胁，操作系统威胁等等所带来的损失将不可计量。网络安全已经不再是网络中的一项可有可无的技术了。它需要保证网络的高安全性，使石油等企业缓解大量的网络攻击。2 信息的脆弱性信息安全威胁
5、主要来源于自然灾害、意外事故；计算机犯罪；人为错误，比如使用不当，安全意识差等；“黑客”行为；内部泄密；外部泄密；信息丢失；电子谍报，比如信息流量分析、信息窃取等；信息战；网络协议自身缺陷等等。信息的脆弱性依赖于网络表现在2.1单点失效多在没有冗余的网络中，就是不安全的网络。当分支机构的路由出现故障时，分支机构将无法与总行交换数据。总行的出口路由出现故障时，将导致办公网络无法联网及业务网络无法服务。办公网络的防火墙亦会导致单点失效。2.2易遭病毒攻击在整个网络中，没有提供很好的防病毒网络安全设备。整个网络容易受病毒的攻击，使网络处于相当不安全的环境。轻则数据丢失，重则网络瘫痪，所有工作与业务将
6、无法进行。并会感染其他的设备。2.3易受非法入侵在分支机构与业务网络中，没有较好的访问控制设备，只有一个边界路由器作为保护，而边界路由器易受攻击。如利用IP欺骗即可。当边界路由器被攻击，分支机构与业务网络将沦陷，容易导致非法的入侵，从而引起被授权的攻击及数据窃取。2.4数据通讯不安全在整个传输网络中，容易发现数据通信的不安全，在传输过程中以明文传输，容易受到窃听，及对信息的内容进行非法修改、重放等。破坏其完整性、影响银行的正常运作2.5访问控制力度小在整个网络中，访问控制存在着严重的不足，不同的用户有着相同的访问，这样不能区分不同用户的访问权限，容易导致数据流失，不合理的访问2.6没有集中的网
7、络管理总行中不能集中的管理设备，检测设备的运行状况，当某台设备出现故障时，将不能及时检测出2.7局域网过大业务网络局域网过大则导致广播域过大，网络容易出现拥塞。并且之间能够私自进行访问，容易造成不安全事故。3信息安全的目标 3.1保密性。保密性是指信息不泄露给非授权人，或供其使用的特性。 3.2完整性。完整性是指信息未经授权不能被修改、不被破坏、不被插入、不迟延、不乱序和不丢失的特性。对网络信息安全进行攻击的最终目的就是破坏信息的完整性。 3.3可用性。可用性是指合法用户访问并能按要求顺序使用信息的特性，即保证合法用户在需要时可以访问到信息。 3.4可控性。可控性是指授权机构对信息的内容及传播
8、具有控制的能力的特性，可以控制授权范围内的信息流向以及方式。 3.5可审查性。在信息交流过程结束后，通信双方不能抵赖曾经做出的行为，也不能否认曾经接收到对方的信息。 4我国企业信息化中的信息安全问题 近年来，随着国家宏观管理和支持力度的加强、信息安全技术产业化工作的继续进行、对国际信息安全事务的积极参与以及关于信息安全的法律建设环境日益完善等因素，企业在信息安全管理上的进展是迅速的。但是，由于我国的信息化建设起步较晚，相关体系不完善，法律法规不健全等诸多因素，我国企业的信息化仍然存在不安全问题。 4.1信息与网络安全的防护能力较弱。我国企业的信息化建设发展迅速，各个企业纷纷设立自己的网站，特别
9、是“政府上网工程”全面启动后，各级企业已陆续设立了自己的网站，但是由于许多网站没有防火墙设备、安全审计系统、入侵监测系统等防护设备，整个系统存在着相当大的信息安全隐患。4.2对引进的国外设备和软件缺乏有效的管理和技术改造。由于我国信息技术水平的限制，很多单位和部门直接引进国外的信息设备，并不对其进行必要的监测和改造，从而给他人入侵系统或监听信息等非法操作提供了可乘之机。4.3我国企业基础信息产业薄弱，核心技术严重依赖国外，缺乏自主创新产品，尤其是信息安全产品。我国企业信息网络所使用的网管设备和软件基本上来自国外，这使我国的网络安全性能大大减弱，被认为是易窥视和易打击的“玻璃网”。由于缺乏自主技
10、术，我国许多企业的网络处于被窃听、干扰、监视和欺诈等多种信息安全威胁中，网络安全处于极脆弱的状态。 4.4信息犯罪在我国有快速发展趋势。除了境外黑客对我国信息网络进行攻击，国内也有部分人利用系统漏洞进行网络犯罪，例如传播病毒、窃取他人网络银行账号密码等。 4.5在研究开发、产业发展、人才培养、队伍建设等方面与迅速发展的形势极不适应。 造成以上问题的相关因素在于：首先，我国企业的经济基础薄弱，在信息产业上的投入还是不足，尤其是在核心和关键技术及安全产品的开发生产上缺乏有力的资金支持和自主创新意识。其次，企业员工信息安全意识淡薄，警惕性不高。大多数计算机用户都曾被病毒感染过，并且病毒的重复感染率相
11、当高。 5相关解决措施 5.1加强计算机网络安全的防范工作5.1.1加强内部网络治理人员以及使用人员的安全意识很多计算机系统常用口令来控制对系统资源的访问，这是防病毒进程中，最轻易和最经济的方法之一。网络治理员和终端操作员根据自己的职责权限，选择不同的口令，对应用程序数据进行合法操作，防止用户越权访问数据和使用网络资源。在网络上，软件的安装和治理方式是十分关键的，它不仅关系到网络维护治理的效率和质量，而且涉及到网络的安全性。好的杀毒软件能在几分钟内轻松地安装到组织里的每一个NT服务器上，并可下载和散布到所有的目的机器上，由网络治理员集中设置和治理，它会与操作系统及其它安全措施紧密地结合在一起，
12、成为网络安全治理的一部分，并且自动提供最佳的网络病毒防御措施。当计算机病毒对网上资源的应用程序进行攻击时，这样的病毒存在于信息共享的网络介质上，因此就要在网关上设防，在网络前端进行杀毒。5.1.2网络防火墙技术是一种用来加强网络之间访问控制，防止外部网络用户以非法手段通过外部网络进入内部网络，访问内部网络资源，保护内部网络操作环境的非凡网络互联设备。它对两个或多个网络之间传输的数据包如链接方式按照一定的安全策略来实施检查，以决定网络之间的通信是否被答应，并监视网络运行状态。虽然防火墙是目前保护网络免遭黑客袭击的有效手段，但也有明显不足：无法防范通过防火墙以外的其它途径的攻击，不能防止来自内部变
13、节者和不经心的用户们带来的威胁，也不能完全防止传送已感染病毒的软件或文件，以及无法防范数据驱动型的攻击。5.1.3安全加密技术加密技术的出现为全球电子商务提供了保证，从而使基于Internet上的电子交易系统成为了可能，因此完善的对称加密和非对称加密技术仍是21世纪的主流。对称加密是常规的以口令为基础的技术，加密运算与解密运算使用同样的密钥。不对称加密，即加密密钥不同于解密密钥，加密密钥公之于众，谁都可以用，解密密钥只有解密人自己知道。5.1.4网络主机的操作系统安全和物理安全措施防火墙作为网络的第一道防线并不能完全保护内部网络，必须结合其他措施才能提高系统的安全水平。在防火墙之后是基于网络主
14、机的操作系统安全和物理安全措施。按照级别从低到高，分别是主机系统的物理安全、操作系统的内核安全、系统服务安全、应用服务安全和文件系统安全;同时主机安全检查和漏洞修补以及系统备份安全作为辅助安全措施。这些构成整个网络系统的第二道安全防线，主要防范部分突破防火墙以及从内部发起的攻击。系统备份是网络系统的最后防线，用来遭受攻击之后进行系统恢复。在防火墙和主机安全措施之后，是全局性的由系统安全审计、入侵检测和应急处理机构成的整体安全检查和反应措施。它从网络系统中的防火墙、网络主机甚至直接从网络链路层上提取网络状态信息，作为输人提供给入侵检测子系统。入侵检测子系统根据一定的规则判定是否有入侵事件发生，假
15、如有入侵发生，则启动应急处理措施，并产生警告信息。而且，系统的安全审计还可以作为以后对攻击行为和后果进行处理、对系统安全策略进行改进的信息来源。5.2针对我国企业信息安全存在的问题，要实现信息安全不但要靠先进的技术，还要有严格的法律法规和信息安全教育。 5.2.1加强全体员工的信息安全教育，提高警惕性。从自身做起，有效利用各种信息安全防护设备，保证个人的信息安全，提高整个系统的安全防护能力，从而促进整个系统的信息安全。 5.2.2发展有自主知识产权的信息安全产业，加大信息产业投入。增强自主创新意识，加大核心技术的研发，尤其是信息安全产品，减小对国外产品的依赖程度。 5.2.3创造良好的信息化安全支撑环境。完善我国信息安全的法规体系，制定相关的法律法规，例如信息安全法、数字签名法、电子信息犯罪法、电子信息出版法、电子信息知识产权保护法、电子信息个人隐私法、电子信息进出境法等，加大对网络犯罪和信息犯罪的打击力度，对其进行严厉的惩处。 5.2.4高度重视信息安全基础研究和人才的培养。为了在高技术环境下发展自主知识产权的信息安全产业，应大力培养信息安全专业人才，建立信息安全人才培养体系。 5.2.5加强国际防范，创造良好的安全外部环境。由于网络与生俱有的开放性、交互性和分散性等特征，产生了许多安全问题，要保证信息安全，必须积极参与国际合作，通过吸收和转化有关信息网
