前言：中文期刊網精心挑選了網絡安全管理體系建設范文供你參考和學習，希望我們的參考范文能激發你的文章創作靈感，歡迎閱讀。
網絡安全管理體系建設范文1
1.企業信息化建設的重要性
信息化發展對于企業人員日常的管理，相比較原來舊的方法而言更方便快捷、更高效；對于企業的整體發展的影響，相比較原來用人來發現風險，信息化大數據管控更能提前預知風險并幫助企業更好地解決問題；對于企業組織結構和流程的影響，集成化的網絡信息系統是提高質效的一把利器。但現實使用中，企業的信息化進程存在安全度低、信息泄露嚴重和安全意識低等現象，導致企業和用戶損失大量人力物力，甚至受到巨大損失。由此可見，信息化建設對企業發展有著不可小覷的作用，能比原來的模式更有效處理問題、促進企業發展，是所有企業在發展過程中不可或缺的一個環節。
2.企業信息化建設中的網絡安全問題
2.1網絡安全意識不強
科學技術的不斷發展進步，對于企業發展的影響作用不言而喻，但是，相當一部分企業卻只看到益處卻忽略了“信息安全”的重要性。
近年來，在技術、社會和政府等多方面的努力下，企業的信息化建設發展速度加快，取得很大的進展，其重要作用毋庸置疑，各個企業都越來越重視信息化的進步。但在新聞報道中，經常見到有信息非法獲取、信息交易導致用戶信息泄露，這也是每個企業需要反思的問題。數據泄露、信息是否安全等問題并沒有引起所有企業的重視，嚴重的不僅會導致用戶信息泄露，如果發生企業數據庫被篡改、網絡系統崩潰等事件，給企業帶來的名譽和財產損失不可估量。
2.2技術水平不高
世界范圍內都存在一個不好處理的網絡難題———黑客。企業在信息化發展的過程中，免不了遇到技術問題，由于有關人員或團隊自身的水平不夠和相關方面的經驗的缺失，不可避免會存在某些漏洞和問題，這些漏洞和問題恰恰給了黑客絕佳的機會，讓他們有機會盜取信息。即使是市面上使用的各個“管家”與殺毒軟件也完全檢測不到，對企業的安全構成非常大的威脅。
2.3可使用的高水平軟件少
一方面是供研發企業使用的高水平軟件較少；另一方面是軟件安全度低，很多公司雖然看到信息化發展的好處，但卻貪圖低成本的小利益，花費小成本購買使用安全保護性低的工作軟件，結局只會帶來難以挽回的后果。
3.企業信息化建設提高網絡信息安全性的措施
3.1切實提高企業安全意識
科學技術的進步，促進企業重視信息安全，思考信息安全問題和公司發展之間不可分割的關系，因為信息泄露帶來損失還是小事，如果因此減少了企業競爭力，甚至阻礙了企業發展才是最可怕的結果。因此，企業應當提高安全意識，提前準備對策、制定應對突況的策略，防止信息泄露等潛在威脅，將威脅扼殺在搖籃之中。通過建立高技術水平的團隊，運用專業知識和工作經驗切實增強防火墻安全度，定期維護信息系統，從源頭的技術傳輸階段維護信息安全，建立完善的信息保護制度，以此來保護信息安全、促進企業發展。
3.2提高信息系統的管理水平
雖然現在大家都在普遍使用《金山毒霸》《騰訊管家》等安全防護軟件，但是這些軟件也不能保證絕對的安全。改革舊的風險評估模式，健全信息篩選管理安全體系，在一定程度上可以提高安全系統等級、減小信息被盜的風險，在信息系統建立過程中，及早發現風險并妥善處理對企業發展尤其重要。
3.3使用安全性高的軟件
歸根結底，所有的安全問題都是安全性低所導致的。雖然說沒有絕對安全的東西，但是相比于安全性低的軟件，安全性越高的軟件，保護能力也越強，能更好地保護信息安全。因此，企業千萬不能貪圖小利益使用低防護級軟件，保護信息安全，維護自身發展利益才是最重要的。
網絡安全管理體系建設范文2
為了貫徹國家對信息系統安全保障工作的要求以及等級化保護堅持“積極防御、綜合防范”的方針，需要全面提高信息安全防護能力。貴州廣電網絡信息系統建設需要進行整體安全體系規劃設計，全面提高信息安全防護能力，創建安全健康的網絡環境，保護國家利益，促進貴州廣電網絡信息化的深入發展。
1安全規劃的目標和思路
貴州廣電網絡目前運營并管理著兩張網絡：辦公網與業務網;其中辦公網主要用于貴州廣電網絡各部門在線辦公，重要的辦公系統為OA系統、郵件系統等;業務網主要提供貴州廣電網絡各業務部門業務平臺，其中核心業務系統為BOSS系統、互動點播系統、安全播出系統、內容集成平臺以及寬帶系統等。
基于對貴州廣電網絡信息系統的理解和國家信息安全等級保護制度的認識，我們認為，信息安全體系是貴州廣電網絡信息系統建設的重要組成部分，是貴州廣電網絡業務開展的重要安全屏障，它是一個包含貴州廣電網絡實體、網絡、系統、應用和管理等五個層面，包括保護、檢測、響應、恢復四個方面，通過技術保障和管理制度建立起來的可靠有效的安全體系。
1.1設計目標
貴州廣電網絡就安全域劃分已經進行的初步規劃，在安全域整改中初見成效，然而，安全系統建設不僅需要建立重要資源的安全邊界，而且需要明確邊界上的安全策略，提高對核心信息資源的保護意識。貴州廣電網絡相關安全管理體系的建設還略顯薄弱，管理細則文件亟需補充，安全管理人員亟需培訓。因此，本次規劃重點在于對安全管理體系以及目前的各個業務系統進行了全面梳理，針對業務系統中安全措施進行了重點分析，綜合貴州廣電網絡未來業務發展的方向，進行未來五年的信息安全建設規劃。
1.2設計原則
1.2.1合規性原則
安全設計要符合國家有關標準、法規要求，符合廣電總局對信息安全系統的等級保護技術與管理要求。良好的信息安全保障體系必然是分為不同等級的，包括對信息數據保密程度分級，對用戶操作權限分級，對網絡安全程度分級(安全子網和安全區域),對系統實現結構的分級(應用層、網絡層、鏈路層等)，從而針對不同級別的安全對象，提供全面、可選的安全技術和安全體制，以滿足貴州廣電網絡業務網、辦公網系統中不同層次的各種實際安全需求。
1.2.2技管結合原則
信息安全保障體系是一個復雜的系統工程，涉及人、技術、操作等要素，單靠技術或單靠管理都不可能實現。因此，必須將各種安全技術與運行管理機制、人員思想教育與技術培訓、安全規章制度建設相結合。
1.2.3實用原則
安全是為了保障業務的正常運行，不能為了安全而妨礙業務，同時設計的安全措施要可以落地實現。
1.3設計依據
1.3.1“原則”符合法規要求
依據《中華人民共和國計算機信息系統安全保護條例K國務院147號令)、《國家信息化領導小組關于加強信息安全保障工作的意見》(中辦發[20〇3]27號)、《關于信息安全等級保護工作的實施意見》(公通字[2004]66號)、《信息安全等級保護管理辦法》(公通字[2007]43號)和GB/T22240-2009《信息安全技術信息系統安全等級保護定級指南》、GB/T22239-2008《信息安全技術信息系統安全等級保護基本要求》、《廣播電視安全播出管理規定》(廣電總局62號令)、GDJ038-CATV|有線網絡。
2011《廣播電視播出相關信息系統等級保護基本要求》，對貴州省廣播電視相關信息系統安全建設進行規劃。
1.3.2“策略”符合風險管理
風險管理是基于“資產-價值-漏洞-風險-保障措施”的思想進行保障的。風險評估與管理的理論與方法已經成為國際信息安全的標準。
風險管理是靜態的防護策略，是在對方攻擊之前的自我鞏固的過程。風險分析的核心是發現信息系統的漏洞，包括技術上的、管理上的，分析面臨的威脅，從而確定防護需求，設計防護的措施，具體的措施是打補丁，還是調整管理流程，或者是增加、增強某種安全措施，要根據用戶對風險的可接受程度，這樣就可以與安全建設的成本之間做一個平衡。
1.3.3“措施”符合P2DR模型
美國ISS公司(IntemetSecuritySystem，INC)設計開發的P2DR模型包括安全策略(Policy)、檢測(Detection)、防護(Protection)和響應(Response)四個主要部分，是一個可以隨著網絡安全環境的變化而變化的、動態的安全防御系統。安全策略是整個P2DR模型的中樞，根據風險分析產生的安全策略描述了系統中哪些資源要得到保護，以及如何實現對它們的保護等，策略是模型的核心，所有的防護、檢測和響應都是依據安全策略實施的。
檢測(Detection)、防護(Protection)和響應(Response)三個部分又構成一個變化的、動態的安全防御體系。P2DR模型是在整體的安全策略的控制和指導下，在綜合運用防護工具(如防火墻、身份認證、加密等)的同時，利用檢測工具(如漏洞評估、入侵檢測等)了解和評估系統的安全狀態，通過適當的反應將系統調整至“最安全”和“風險最低”的狀態，在安全策略的指導下保證信息系統的安全[3]。
1.4安全規劃體系架構
在進行了規劃“原則”、“策略”、“措施”探討的基礎上，我們設計貴州廣電網絡的安全保障體系架構為“一個中心、兩種手段”。
“一個中心”，以安全管理中心為核心，構建安全計算環境、安全區域邊界和安全通信網絡，確保業務系統能夠在安全管理中心的統一管控下運行，不會進入任何非預期狀態，從而防止用戶的非授權訪問和越權訪問，確保業務系統的安全。
“兩種手段”，是安全技術與安全管理兩種手段，其中安全技術手段是安全保障的基礎，安全管理手段是安全技術手段真正發揮效益的關鍵，管理措施的正確實施同時需要有技術手段來監管和驗證，兩者相輔相成，缺一不可。
2安全保陳方案規劃
2.1總體設計
貴州廣電網絡的安全體系作為信息安全的技術支撐措施，分為五個方面：
邊界防護體系：安全域劃分，邊界訪問控制策略的部署，主要是業務核心資源的邊界，運維人員的訪問通道。
行為審計體系：通過身份鑒別、授權管理、訪問控制、行為曰志等手段，保證用戶行為的合規性。
安全監控體系：監控網絡中的異常，維護業務運行的安全基線，包括安全事件與設備故障，也包括系統漏洞與升級管理。
公共安全輔助：作為整個網絡信息安全的基礎服務系統，包括身份認證系統、補丁管理系統以及漏洞掃描系統等。
IT基礎設施：提供智能化、彈能力的基礎設施，主要的機房的智能化、服務器的虛擬化、存儲的虛擬化等。
2.2安全域劃分
劃分安全域的方法是首先區分網絡功能區域，服務器資源區、網絡連接區、用戶接入區、運維管理區、對外公共服務區;其次是在每個區域中，按照不同的安全需求區分不同的業務與用戶，進一步劃分子區域;最后，根據每個業務應用系統，梳理其用戶到服務器與數據庫的網絡訪問路徑，通過的域邊界或網絡邊界越少越好。
Z3邊界防護體系規劃
邊界包括網絡邊界、安全域邊界、用戶接口邊界(終端與服務器)、業務流邊界，邊界上部署訪問控制措施，是防止非授權的“外部”用戶訪問“里面”的資源，因此分析業務的訪問流向，是訪問控制策略設計的依據。
2.3.1邊界措施選擇
在邊界上我們建議四種安全措施：
1.網絡邊界：與外部網絡的邊界是安全防護的重點，我們建議采用統一安全網關(UTM),從網絡層到應用層的安全檢測，采用防火墻(FW)部署訪問控制策略，采用入侵防御系統(IPS)部署對黑客入侵的檢測，采用病毒網關(AV)部署對病毒、木馬的防范;為了方便遠程運維工作，與遠程辦公實施，在網絡邊界上部署VPN網關，對遠程訪問用戶身份鑒別后，分配內網地址，給予限制性的訪問授權。Web服務的SQL注入、XSS攻擊等。
3.業務流邊界：安全需求等級相同的業務應用采用VLAN隔離，采用路由訪問限制策略;不同部門的接入域也采用VLAN隔離，防止二層廣播，通知可以在發現安全事件時，開啟不同子域的安全隔離。
4.終端邊界：重點業務系統的終端，如運維終端，采用終端安全系統，保證終端上系統的安全，如補丁的管理、黑名單軟件管理、非法外聯管理、移動介質管理等等。
2.3.2策略更新管理
邊界是提高入侵者的攻擊“門檻”的，部署安全策略重點有兩個方面：一是有針對性。允許什么，不允許什么，是明確的;二是動態性。就是策略的定期變化，如訪問者的口令、允許遠程訪問的端口等，變化的周期越短，給入侵者留下的攻擊窗口越小。
2.4行為審計體系規劃
行為審計是指對網絡用戶行為進行詳細記錄，直接的好處是可以為事后安全事件取證提供直接證據，間接的好處乇兩方面：對業務操作的日志記錄，可以在曰后發現操作錯誤、確定破壞行為恢復時提供操作過程的反向操作，最大程度地減小損失;對系統操作的日志記錄，可以分析攻擊者的行為軌跡，從而判斷安全防御系統的漏洞所在，亡羊補牢，可以彌補入侵者下次入侵的危害。
行為審計主要措施包括:一次性口令、運維審計(堡壘機)、曰志審計以及網絡行為審計。
2.5安全監控體系規劃
監控體系不僅是網絡安全態勢展示平臺，也是安全事件應急處理的指揮平臺。為了管理工作上的方便，在安全監控體系上做到幾方面的統一：
1.運維與安全管理的統一：業務運維與安全同平臺管理，提高安全事件的應急處理速度。
2.曰常安全運維與應急指揮統一：隨時了解網絡上的設備、系統、流量、業務等狀態變化，不僅是日常運維發現異常的平臺，而且作為安全事件應急指揮的調度平臺，隨時了解安全事件波及的范圍、影響的業務，同時確定安全措施執行的效果。
3.管理與考核的統一：安全運維人員的工作考核就是網絡安全管理的曰常工作與緊急事件的處理到位，在安全事件的定位、跟蹤、處理過程中，就體現了安全運維人員服務的質量。因此對安全運維平臺的行為記錄就可以為運維人員的考核提供一線的數據。
安全監控措施主要包括安全態勢監控以及安全管理平臺，2.6公共安全輔助系統
作為整個網絡信息安全的基礎服務系統，需要建設公共安全輔助系統：
1.身份認證系統：獨立于所有業務系統之外，為業務、運維提供身份認證服務。
2.補丁管理系統：對所有系統、應用的補丁進行管理，對于通過測試的補丁、重要的補丁，提供主動推送，或強制執行的技術手段，保證網絡安全基線。
3.漏洞掃描系統：對于網絡上設備、主機系統、數據庫、業務系統等的漏洞要及時了解，對于不能打補丁的系統，要確認有其他安全策略進行防護。漏洞掃描分為兩個方面，一是系統本身的漏洞，二是安全域邊界部署了安全措施之后，實際用戶所能訪問到的漏洞(滲透性測試服務)。
2.7IT基礎設施規劃
IT基礎設施是所有網絡業務系統服務的基礎，具備一個優秀的基礎架構，不僅可以快速、靈活地支撐各種業務系統的有效運行，而且可以極大地提高基礎IT資源的利用率，節省資金投入，達到環保的要求。
IT基礎設施的優化主要體現在三個方面：智能機房、服務器虛擬化、存儲虛擬化。
3安全筐理體系規劃
在系統安全的各項建設內容中，安全管理體系的建設是關鍵和基礎，建立一套科學的、可靠的、全面而有層次的安全管理體系是貴州省廣播電視信息網絡股份有限公司安全建設的必要條件和基本保證。
3_1安全管理標準依據
以GBAT22239-2008《信息安全技術信息系統安全等級保護基本要求》中二級、三級安全防護能力為標準，對貴州廣電網絡安全管理體系的建設進行設計。
3.2安全管理體系的建設目標
通過有效的進行貴州廣電網絡的安全管理體系建設，最終要實現的目標是：采取集中控制模式，建立起貴州廣電網絡完整的安全管理體系并加以實施與保持，實現動態的、系統的、全員參與的、制度化的、以預防為主的安全管理模式，從而在管理上確保全方位、多層次、快速有效的網絡安全防護。
3.3安全管理建設指導思想
各種標準體系文件為信息安全管理建設僅僅提供一些原則性的建議，要真正構建符合貴州廣電網絡自身狀況的信息安全管理體系，在建設過程中應當以以下思想作為指導：“信CATV丨有線網絡息安全技術、信息安全產品是信息安全管理的基礎，信息安全管理是信息安全的關鍵，人員管理是信息安全管理的核心,信息安全政策是進行信息安全管理的指導原則，信息安全管理體系是實現信息安全管理最為有效的手段?！?/p>
3.4安全管理體系的建設具體內容
GB/T22239-2008《信息安全技術信息系統安全等級保護基本要求》(以下簡稱《基本要求》)對信息系統的安全管理體系提出了明確的指導和要求。我們應以《基本要求》為標準，結合目前貴州廣電網絡安全管理體系的現狀，對廣電系統的管理機構、管理制度、人員管理、技術手段四個方面進行建設和加強。同時，由于信息安全是一個動態的系統工程，所以，貴州廣電網絡還必須對信息安全管理措施不斷的加以校驗和調整，以使管理體系始終適應和滿足實際情況的需要，使貴州廣電網絡的信息資產得到有效、經濟、合理的保護。
貴州廣電網絡的安全管理體系主要包括安全管理機構、安全管理制度、安全標準規范和安全教育培訓等方面。
通過組建完整的信息網絡安全管理機構，設置安全管理人員，規劃安全策略、確定安全管理機制、明確安全管理原則和完善安全管理措施，制定嚴格的安全管理制度，合理地協調法律、技術和管理三種因素，實現對系統安全管理的科學化、系統化、法制化和規范化，達到保障貴州廣電網絡信息系統安全的目的。
3.5曰常安全運維3.5.1安全風險評估
安全風險評估是建立主動防御安全體系的重要和關鍵環節，這環的工作做好了可以減少大量的安全威脅，提升整個信息系統的對網絡災難的免疫能力;風險評估是信息安全管理體系建立的基礎，是組織平衡安全風險和安全投入的依據，也是信息安全管理體系測量業績、發現改進機會的最重要途徑。
3.5.2網絡管理與安全管理
網絡管理與安全管理的主要措施包括：出入控制、場地與設施安全管理、網絡運行狀態監控、安全設備監控、安全事件監控與分析、提出預防措施。
3.5.3備份與容災管理
貴州廣電網絡主要關鍵業務系統需要雙機本地熱備、數據離線備份措施;其他相關業務應用系統需要數據離線備份措施。
3.5.4應急響應計劃
通過建立應急相應機構，制定應急響應預案，通過建立專家資源庫、廠商資源庫等人力資源措施，通過對應急響應有線網絡ICATV預案不低于一年兩次的演練，可以在發生緊急事件時，做到規范化操作，更快的恢復應用和數據，并最大可能的減少損失
3.6安全人員管理
信息系統的運行是依靠在各級黨政機構工作的人員來具體實施的，他們既是信息系統安全的主體，也是系統安全管理的對象。所以，要確保信息系統的安全，首先應加強人事安全管理。
安全人員應包括：系統安全管理員、系統管理員、辦公自動化操作人員、安全設備操作員、軟硬件維修人員和警衛人員。
其中系統管理員、系統安全管理員必須由不同人員擔當。3.7技術安全管理
主要措施包括：軟件管理、設備管理、備份管理以及技術文檔管理。
4安全規劃分期建設路線
信息安全保障重要的是過程，而不一定是結果，重要的是安全意識的提高，而不一定是安全措施的多少。因此，信息安全建設也應該從保障業務運營為目標，提高用戶自身的安全意識為思路，根據業務應用的模式與規模逐步、分階段建設，同時還要符合國家與廣電總局關于等級保護的技術與管理要求。
4.1主要的工作內容
根據安全保障方案規劃的設計，貴州廣電網絡的信息安全建設分為如下幾個方面的內容：
1.網絡優化改造:主要是安全域的劃分，網絡結構的改造。
2.安全措施部署:邊界隔離措施部署，行為審計系統部署、安全監控體系部署。
3.基礎設施改造：主要是數據大集中、服務器虛擬化、存儲虛擬化。
4.安全運維管理:信息安全管理規范、日常安全運維考核、安全檢查與審計流程、安全應急演練、曰常安全服務等。
4.2分期建設規劃
4_2.1達標階段(2015-2017)
1.等保建設
2.信任體系：網絡審計、運維審計、日志審計
3.身份鑒別(一次口令)
4.監控平臺：入侵檢測、流量監測、木馬監測
5.安全管理平臺建設
6.等保測評通過(2級3級系統)
7.安全服務：建立定期模式
8.滲透性測試服務(外部+內部)
9.安全加固服務，建立服務器安全底線
10.信息安全管理
11.落實安全管理細則文件制定
12.落實安全運維與應急處理流程
13.完善IT服務流程，建設安全運維管理平臺
14.定期安全演練與培訓
4.2.2持續改進階段(2018?2019)
1.等保建設
2.完善信息安全防護體系
3.提升整體防護能力
4.深度安全服務
5.有針對性安全演練，協調改進管理與技術措施
6.源代碼安全審計服務(新上線業務)
7.信息安全管理
8.持續改進運維與應急流程與制度，提高應急反應能力
9.提高運維效率，開拓運維增值模式
5結東語
網絡安全管理體系建設范文3
認識網絡安全保障體系
1而目前，隨著互聯網和網絡技術的發展，對于政府或企業的信息系統來講，更是面臨著更大的風險和挑戰。這就使得更多的用戶、廠商和標準化組織都在尋求一種完善的體系，來有效的保障信息系統的全面安全。于是，網絡安全保障體系應運而生，其主要目的是通過信息安全管理體系、信息安全技術體系以及信息安全運維體系的綜合有效的建設，讓政府或企業的網絡系統面臨的風險能夠達到一個可以控制的標準，進一步保障網絡信息系統的安全穩定運行。
網絡安全保障體系是針對傳統網絡安全管理體系的一種重大變革。它依托安全知識庫和工作流程驅動將包括主機、網絡設備和安全設備等在內的不同資產和存放在不同位置中的大量的安全信息進行范式化、匯總、過濾和關聯分析，形成基于資產/域的統一等級的威脅與風險管理，并對威脅與風險進行響應和處理，該系統可以極大地提高網絡信息安全的可控性。
2網絡安全保障體系的作用。網絡安全保障體系在網絡信息安全管理中具有十分重要的作用，主要體現在如下三個方面：首先，網絡安全保障體系可以對整個網絡系統中不同的安全設備進行有效的管理，而且可以對重要的網絡通信設備資產實施完善的管理和等級保護；其次，網絡安全保障體系可以有效幫助網絡安全管理人員準確分析現有網絡信息系統所面臨的安全威脅，從而可以幫助管理人員制定合理的網絡安全應急響應流程；最后，網絡安全保障體系可以通過過對網絡風險進行量化，實現對網絡風險的有效監控和管理。
網絡安全保障體系的構建策略
1確定網絡安全保障體系構建的具體目標。網絡安全保障體系建設是組織在整體或特定范圍內建立信息安全方針和目標，以及完成這些目標所用方法的體系。它包括信息安全組織和策略體系兩大部分，通過信息安全治理來達到具體的建設目標。其中，信息安全的組織體系是指為了在某個組織內部為了完成信息安全的方針和目標而組成的特定的組織結構，主要包括決策、管理、執行和監管機構四部分組成；信息安全的策略體系是指信息安全總體方針框架、規范和信息安全管理規范、流程、制度的總和。
2確定適合的網絡安全保障體系構建的方法。（1）網絡安全管理基礎理論。網絡安全保障體系的安全管理方法就是通過建立一套基于有效的應用控制機制的安全保障體系，實現網絡應用系統與安全管理系統的有效融合，確保網絡信息系統的安全可靠性。（2）建立有效的網絡安全保障體系。一是網絡信息安全組織保障體系作為網絡信息安全組織、運作、技術體系標準化、制度化后形成的一整套對信息安全的管理規定，建立的網絡安全保障體系可以在完善信息安全管理與控制的流程上發揮重要作用；二是網絡信息安全技術保障體系作為網絡安全保障體系的重要支撐，有效利用訪問控制、身份鑒別、數據完整性、數據保密性等安全機制，是實現網絡安全防護的重要技術手段；三是網絡信息安全運維保障體系可以通過對網絡信息系統的安全運行管理，實現整個網絡信息系統安全監控、運行管理、事件處理的規范化，充分保障網絡信息系統的穩定可靠運行。
網絡安全管理體系建設范文4
【關鍵詞】 煙草 信息安全 體系 建設
隨著煙草行業的不斷發展，企業對信息化建設的要求越來越高。目前，煙草行業，尤其是以地市級煙草企業為代表的卷煙銷售終端企業，在信息安全建設上給予的重視越來越高，資金的投入也越來越大，地市級煙草企業信息安全工作有了保障。
1 信息安全體系規劃原則
根據國家和行業信息安全相關政策和標準，安全體系規劃與設計工作遵循以下的建設原則：
（1）重點保護原則。針對核心的服務支撐平臺，應采取足夠強度的安全防護措施，確保核心業務不間斷運行。
（2）靈活性原則。因信息技術日新月異的發展，而相應的安全標準滯后，應靈活設計相應的防護措施。
（3）責任制原則。安全管理應做到“誰主管，誰負責”，注重安全規章制度、應急響應的落實執行。
（4）實用性原則。以確保信息系統性能和安全為前提，充分利用資源，保障安全運行。
2 信息安全體系管理范圍
以地市級煙草企業中心機房核心網絡和系統為主，覆蓋市局（公司）、各縣級局（營銷部）、基層專賣管理所等，安全體系包括范圍：應用安全、網絡安全、主機安全、數據安全、終端安全等。
3 信息安全體系規劃框架
按照等級化保護“積極防御、綜合防范”的方針，地市級煙草企業信息化建設需要進行整體安全體系規劃設計，全面提高信息安全防護能力。
在綜合評估信息化安全現狀的基礎上，從管理和技術來進行信息安全管理工作。信息安全體系建設思路是：以保護信息系統為核心，嚴格參考等級保護的思路和標準，滿足地市級煙草企業信息系統在物理層面、網絡層面、系統層面、應用層面和管理層面的安全需求，為各項業務的開展提供有力保障。信息安全體系框架如圖1所示：
4 信息安全管理體系建設
從實際情況出發，體系包括安全組織機構、安全管理制度、人員安全、安全教育培訓在內的安全管理體系。
4.1 組織機構
由決策機構、管理機構、和執行機構三個層面組成信息安全組織機構，并通過合理的組織結構設置、人員配備和工作職責劃分，對信息安全工作實行全方位管理。
4.2 安全制度
信息安全規章制度是所有與信息安全有關的人員必須共同遵守的行為準則。應從信息安全組織機構和崗位職責、人員管理制度、信息系統管理制度、機房管理制度、網絡管理制度等。
4.3 人員安全
通過管理控制手段，確保單位內部人員以及第三方人員的安全意識，包括人員的崗前安全技能培訓、保密協議的簽訂等幾個方面。
4.4 安全教育培訓
通過有計劃培訓和教育手段，確保工作人員充分認識信息安全的重要性，具備符合要求的安全意識、知識和技能，提高其進行信息安全防護的主動性、自覺性和能力。
5 信息安全技術體系建設
按照等級保護方法，對信息系統進行安全區域的劃分，并根據保護強度來采用相應的安全技術，實行分區域、分級管理?；A性保護措施實現后，建立地市級煙草企業的信息安全管理平臺，對地市級煙草企業整體信息系統的統一安全管理。
5.1 劃分安全區域
根據信息化資產屬性，可劃分為服務器區域、終端區域。目前，各業務域的服務器直接連接至核心交換機，無法對各個服務器區之間劃分明確邊界，在服務器區和核心交換機之間增加匯聚交換機，服務器經過匯聚交換機的匯聚再上聯至核心交換機。對局域網按照業務功能區建立不同的VLAN，分別賦予相應級別的服務訪問權限和安全防護措施。安全域網絡拓撲如圖2示：
一級安全域包括范圍：地市級煙草企業辦公區域、縣公司辦公區域、移動訪問用戶區域。部署上網行為管理、殺毒軟件等防護措施。二級安全域包括對象：業務與管理服務器區域、網站服務器區域、公共平臺服務器區（防病毒服務器、網管服務器）等。部署操作系統加固、身份認證、漏洞掃描、文件數據加密以及安全審計等措施。三級安全域包括數據服務器區域、存儲備份區域以及核心交換機、主干路由器等。部署核心交換設備、鏈路冗余備份，加載廣域網路由QOS策略，采用數據庫高強度口令訪問等措施。
5.2 保護計算環境
“云計算”和虛擬化技術的發展，打破了傳統意義上按物理位置劃分的計算環境。依照不同的保護等級，分別進行加強用戶身份鑒別、標記和強制訪問控制、系統安全審計、用戶數據完整性保護、保密性保護、系統安全監測等措施。
5.3 區域邊界保護
邊界保護是一組功能的集合，包括邊界的訪問控制、包過濾、入侵監測、惡意代碼防護以及區域邊界完整性保護等。在技術上通過防火墻、入侵防護、病毒過濾、終端安全管理等措施來實現保護。
5.4 通信網絡防護
信息系統的互聯互通是建立在安全暢通的通信網絡基礎之上。通訊網絡的構成主要包括網絡傳輸設備、軟件和通信介質。保護通信網絡的安全措施有：網絡安全監控、網絡審計、網絡冗余或備份以及可靠網絡設備接入。一是利用入侵防護系統以及UTM在關鍵的計算環境邊界，進行安全監控，防止非法的訪問；二是對骨干網中的防火墻設備進行配置，制定安全訪問控制策略，設置授信的訪問區域；啟用安全審計功能，對經過防火墻訪問關鍵的IP、系統或數據進行記錄、監控；通過網閘技術，對不同網絡進行物理隔離。通過VLAN技術對內部網絡進行邏輯隔離。
5.5 數據安全防護
建立數據安全備份和恢復機制，部署數據備份和恢復系統，制定相應的數據備份與恢復策略，完成對數據的自動備份，并建立數據恢復機制。建立異地數據級災備中心，在系統出現災難事故時，能夠恢復數據使系統應用正常運行。
5.6 信息安全平臺
網絡安全管理體系建設范文5
在國網公司“三集五大”體系建設的大環境下，信息化全業務覆蓋將滲透到縣公司各個環節，縣公司信息化建設有了重大進展和顯著成效，尤其是在省電力公司信息系統全面推廣應用后，建立合理、高效地信息安全管理體系顯得尤為重要。西平縣電業公司結合自己的實際情況，實施了一系列的信息安全方面的建設和管理，有效地保證了我公司的信息安全，提高了公司信息系統整體安全防護水平。
一、工作思路
（一）現狀分析
西平縣電業公司原來的局域網網絡，由于內外網沒有隔離，制度制定不全面，管理比較混亂，局域網內的計算機終端可以隨意上網，由于沒有桌面管理軟件，私自接入路由器、交換機的情況比較嚴重，嚴重威脅到了公司局域網的網絡安全。
（二）工作思路
為進一步加強我公司的信息安全管理，強化日常信息安全的監督、防控及應急處理體系，杜絕發生信息安全事故，有效提升全我公司整體信息安全防護水平，消除安全隱患，解決信息安全短板，強化信息安全建設，重新制定各種信息安全規章制度，明確信息安全責任人，對引起信息安全責任事故的，從嚴處罰；實施內網物理隔離，局域網內所有計算機終端安裝省公司統一部署的北信源桌面管理系統和趨勢殺毒軟件，配備安全移動存儲介質，最大限度消除各類信息安全隱患，確保公司局域網的安全。
二、主要做法
（一）加強組織機構與制度建設
我公司成立信息安全組織，以公司經理為組長，主管副經理為副組長，各部室主任為成員的安全信息管理網絡體系，分級負責信息安全工作；信息安全管理實行統一領導、分級管理，各部門主要負責人是本單位信息安全第一責任人，公司信息化領導小組負責本單位信息安全重大事項決策和協調工作。公司負責人與各部室及各單位簽訂信息安全責任書，全體員工簽訂信息安全保密承諾書，對員工宣傳“八不準、三個不發生”的安全要求，明確“誰使用、誰負責”的信息安全原則。信息安全納入公司安全管理體系，實行專業管理、歸口監督，科技信息部負責管理信息大區（信息內網和信息外網）的安全保障，負責指導、協調和檢查各單位信息安全工作，組織落實公司信息系統等級保護制度，統籌開展公司信息系統風險評估和安全檢查工作，負責規范公司信息系統安全產品的測評和選型工作。組織本單位信息系統安全的宣傳和培訓，建立健全信息系統安全管理體系，設立系統管理員、網絡管理員、安全管理員等崗位。一是完善制度，制定包括各級信息安全崗位職責、值班制度、巡視檢修制度、機房管理制度、業務受理制度、數據備份制度、信息與審核制度、信息安全審計制度等在內的各項制度；二是建立健全監督考核機制，嚴格系統分級權限分配、監督與管理；三是加強流程控制，數據錄用前，必須要保證信息系統數據的合法性、安全性以及處理后數據的正確性，更重要的是對各環節人員操作程序進行安全管理，同時還要引進和強化計算機自動控制系統，以保證計算機系統及數據的安全性和數據處理的可靠性。四是建立完善了信息安全責任制度、信息系統日志管理制度、賬號與口令管理制度、數據備份制度及應急預案制度等。
（二）加強硬件與軟件及信息安全技術建設
為保障信息系統的安全，實施了內外網物理隔離，使互聯網和局域網成為兩個獨立的網絡，并配合省、市公司，對縣—市—省三級聯網通道進行改造，建設成了主通道為100M、備用通道為20M的光纖通道，與省、市公司互聯。在各計算機終端安裝了北信源桌面管理系統和趨勢殺毒軟件，啟用桌面管理系統的補丁安裝功能，對存在漏洞的計算機進行了補丁安裝，對于個別無法安裝補丁的計算機進行了重新安裝操作系統，并實施了弱口令專項治理工作，堅決杜絕弱口令的發生。指派專人實時監控桌面管理系統，確保殺毒軟件安裝率、桌面管理系統注冊率等達到100％。嚴格執行“不上網、上網不”的紀律要求。在內外網的網絡終端上安裝安全管理終端，登記內外網終端使用信息，監控網絡終端基本信息。嚴禁違規上國際互聯網及其他的信息網的現象；嚴禁內外網互聯現象；嚴禁使用未登記備案的外網接口；嚴禁安裝、使用未經批準的無線網絡等，杜絕違規外聯的發生。加強移動存儲介質的使用和管理，專門配備了安全移動存儲介質，保證了病毒、木馬依靠移動存儲介質進行傳播。在各信息系統服務器上增加軟件防火墻，取消不必要的協議及遠程登錄功能。對于遠抄、集抄、智能手機抄表等信息系統，把原來的互聯網接入方式更換為APN接入方式，保證了信息系統服務器的安全。對于入網及互聯網用戶實行嚴格的審批制度，并對其進行了MAC地址綁定，使局域網安全得以保障。
三、對實踐過程的思考和對效果的評價
網絡安全管理體系建設范文6
所謂檔案信息安全保障體系，主要是指通過信息安全技術與信息安全管理等，來對信息系統和信息的安全進行防御，以此使檔案信息系統運行的可靠性、安全性得到保障，并時刻確保檔案信息的實用性、完整性，以及真實性等等。此外，檔案信息安全保障體系還要具備保護檔案綜合性信息系統動態安全的能力。檔案信息安全保障體系可以分為宏觀和微觀兩個方面。就宏觀角度而言，檔案信息安全保障體系是以國家的信息安全保障體系為前提的；而微觀的檔案信息安全保障體系，是單位信息系統中的一個分支，能夠保護單位中相關人員的檔案信息安全。
2檔案信息安全保障體系宏觀框架
2.1檔案信息安全管理體系
建立健全完善的檔案信息安全管理體系，是檔案部門的首要任務，不僅可以保證檔案信息的保密性，還可以提高檔案信息的質量。為了檔案信息安全管理工作的有效實施，相關的檔案部門應該設立一個專門的檔案信息管理處，主要監督檔案信息安全管理工作。在全國范圍之內宣傳檔案信息安全管理工作的重要性，以此推動其在我國的進一步發展，并逐步建立符合我國基本國情的檔案信息安全管理體系。另外，還可以針對我國現階段的方針政策以及建設目標制定檔案信息安全管理的規范標準，以便為檔案信息安全管理工作提供組織保障。宏觀上的檔案信息安全管理，其主要工作內容是組織有關部門的專家制定檔案信息安全管理保障的規范制度和標準，并要求個地方檔案部門在此法規制度的基礎上，制定符合地方狀況的規范制度和實施辦法，并按照制定后的標準嚴格執行檔案信息安全管理工作。
2.2檔案信息安全技術體系
技術是一個國家前進的動力。檔案工作要想不斷向前發展，除了加強管理之外，提高檔案信息安全的技術也是檔案部門工作人員義不容辭的責任。檔案信息安全技術體系是以檔案信息安全為目標，換句話說，就是要從技術上確保信息的實用性、可控制性，以及保密性等等。由于檔案信息安全技術隨著科學技術的發展不斷的改進，而檔案信息安全的目的具有穩定性，所以可以根據不同的信息安全屬性選擇相對應的安全技術進行保障。然而，有時同一種安全技術也可以保護不同安全屬性，比如，數字簽名在保障檔案信息保密性的同時，也能夠保障它的真實性、完整性，以及不可抵賴性與可追溯性。就目前來講，我國可以使用到檔案信息安全技術體系的有以下幾方面：系統安全技術、數據安全技術、網絡安全技術、用戶安全技術等等。需要注意的是，因為很多檔案信息具有保密性、檔案信息要長期或者永久性保存、要確保檔案信息的真實性等因素，所以在檔案信息使用安全技術時，必須要考慮其特殊性。在這種情況下，就要加強對內外網物理隔離技術、數據備份與容災技術、數字簽名技術等的強制性使用。并不是每一個檔案信息系統都要采取全部的信息安全技術的，比如檔案館與檔案室就需要采用不同的信息安全技術，在采取信息安全技術時要根據我國制定的等級保護標準規范進行選擇，根據不同等級的安全需求使用不同的信息安全技術。
2.3檔案信息安全法規標準體系
為了確保檔案信息系統的安全性，促進檔案信息化健康穩定的發展，檔案部門要建立完善完整的檔案信息安全標準規范體系，避免出現互相推諉責任的現象。現階段，我國涉及檔案信息安全方面的法律法規還不是很全面，與其他西方發達國家還存在一定的差距，嚴重阻礙了檔案工作在我國的發展步伐。標準制度的制定可以防止相關的工作人員盲目和重復地建設檔案信息安全體系。因此，我國只有制定符合我國發展目標的科學合理的法規制度，才能保障檔案信息的安全，并且從宏觀角度上確保和規范檔案信息安全。
3檔案信息安全保障體系微觀框架
3.1檔案信息安全管理體系
就檔案信息安全管理體系的建設是個復雜而又極其重要的系統工程，作為檔案工作的重要組成部分，它關系到檔案信息的質量，關系到檔案工作的效益與社會滿意度。檔案部門應該以檔案信息安全管理體系建設為重點，堅持以檔案信息質量為發展核心，以信息管理建設為契機，努力提高檔案工作水平，實現檔案工作在我國的可持續發展。
3.2檔案信息安全技術體系
與宏觀相比，微觀的檔案信息安全技術體系更加細致，主要以實現把現有的檔案信息安全技術應用于檔案信息系統中的過程為目標。信息安全技術比比皆是，在選擇適當的信息安全技術是檔案工作人員現在面臨的重要難題。若想科學合理地選擇信息安全技術，就要根據檔案信息的安全等級、系統構成，以及信息安全的風險評估結果等因素進行選擇，即依據系統所面臨的外部威脅、檔案信息系統的資產價值，以及自身存在的漏洞、評估中存在的安全風險，從而得出信息安全需要，最終確定檔案信息安全應用合適的技術。另外，微觀檔案信息安全技術體系中也要含有宏觀信息安全技術體系中的相應安全技術部分，只有這樣，才能使宏觀和微觀保持一致性。檔案價值的高低，決定著它所面臨威脅風險的大小，這也間接地決定著檔案信息安全技術的等級。與此同時，由于檔案信息安全出現威脅時間的不確定性，所以信息安全技術保障體系具有很強的動態性。在使用信息安全技術與評估安全風險的過程中，要根據實際情況不斷地調整安全技術。因此，在使用檔案信息安全技術時，必須按照由信息安全風險評估的實際結論及相應的安全規范標準采取合適的信息安全技術。
3.3檔案信息安全法規標準應用體系
不同于宏觀框架，微觀框架中的法規標準應用體系主要指檔案信息管理人員根據現有的檔案信息安全標準規范，指導開展檔案信息安全管理與安全技術應用。由于我國沒有健全的有關檔案信息安全保障制度的標準體系，所以要借鑒國外的完善法規標準，以便實現我國檔案信息安全保障的合法化、標準化。除此之外，檔案工作人員在加強自身學習的同時，更要不斷與其他地方的工作人員相互學習、相互交流，使專業技術水平和業務能力得到不斷提高，從而為提高檔案信息安全打下堅實基礎。
4結束語
