保護建筑設計行業信息資產安全

◎

進入21世紀，信息化對全球經濟社會的發展產生深刻影響，信息化水平高低已成為一個國家、地區乃至企業現代化水平的重要標志之一。近年來，建筑設計行業的信息化建設工作在國家政策的指導下，緊隨行業發展腳步，以可持續發展為工作方針，不斷深化行業信息化建設，力求以信息化帶動整個行業的現代化。

以中國建筑設計研究院為例，中國建筑設計研究院作為以建筑設計項目為中心的重點集團化企業，始終重視企業信息化建設工作。中國建筑設計研究院是由原建設部四家直屬的建設部設計院、中國建筑技術研究院、中國市政工程華北設計研究院和建設部城市建設研究院組建的大型骨干科技型中央企業。前身為創建于1952年的中央直屬設計公司，改革開放后是第一批進入國際建筑市場并較早獲得對外經營權的設計企業之一。中國建筑設計研究院主營業務范圍涵蓋前期咨詢、規劃、設計、工程管理、工程監理、工程總承包、專業承包、環評和節能評價等固定資產投資活動全過程。

面對激烈的市場競爭，中國建筑設計研究院利用信息化工具推動設計研究院長效發展，重點從系統的整合和集成入手，加大信息化系統管理的規范性和固定性。利用信息化系統對設計研究院實施計劃管理、項目管理、圖檔管理和統計分析等日常工作，有效提高設計研究院工作效率、規范管理行為。

隨著信息化建設工作的不斷展開，信息安全問題逐漸暴露出來，系統的穩定性與信息安全等問題直接影響著中國建筑設計研究院的正常運營。信息化系統在給中國建筑設計研究院帶來高效率的同時，也對設計研究院的信息安全管理提出更高要求。中國建筑設計研究院擁有員工近4000余人，擔負著眾多大型項目的設計任務，其不斷擴張的業務規模，使信息化系統對文檔安全、設計圖紙等信息資產安全的要求越來越高。

由于工作需要，內部工作人員需要經常外出，身處不同的工作環境，面對的病毒及其他安全威脅也是多種多樣，普通的防范軟件很難做到病毒及時反饋，無法在最短時間內清除病毒的潛在威脅。同時，由于過去的信息安全防御手段較為單一，各個防御層面之間沒有形成信息互通互聯，病毒、木馬、惡意插件、釣魚網頁等等都在威脅著設計研究院的信息安全。為了抵制這些信息安全風險，中國建筑設計研究院安裝了許多防御軟件，使本就有限的電腦資源面臨過度消耗，而不同防御軟件之間也存在著兼容性等問題，為中國建筑設計研究院的信息安全管理工作帶來新的難題。

數據方面，中國建筑設計研究院的數據傳輸既要保證內部業務網絡較高的可用性、可靠性和保密性，又要對內部核心數據有較強的防御、管控能力。然而設計研究院原有的IT架構在安全性、應用兼容性以及管理成本方面，難以滿足現在的需求，不能做到高效管理、縱深防御的效果。原有的防御方式，需要協調多個系統，信息安全失去了靈活、快捷的功能。信息化管理人員不能實時掌握信息安全狀況，從而無法及時對設計研究院潛在的安全風險做出分析、評估，不能對信息安全進行全面防御，使設計研究院的核心信息遭受安全威脅。

為了解決中國建筑設計研究院存在的這些信息安全隱患，提高內部信息管理的安全性，實現信息資源流轉的安全可控，有效防止信息資產的擴散和外泄。中國建筑設計研究院進行了整體信息安全咨詢和規劃，并與專業軟件公司成功實施部署了文檔安全管理系統項目，為數據安全保駕護航。中國建筑設計研究院通過整合現有的各種應用及業務系統，構建更為穩定、高效、優化的信息化系統基礎架構，極大程度地利用硬件投資；在提升信息化系統服務的穩健、安全性同時，更能有效降低信息安全風險，提升中國建筑設計研究院在建筑設計領域的核心競爭力。

信息安全系統的有效運行，使中國建筑設計研究院文檔安全管理系統的防護效果也達到了預期效果，符合中國建筑設計研究院提出的文檔安全管理的需求。中國建筑設計研究院也由前期的60點的部署，增加至1000點部署，不僅為各業務部門部署了合理的數據安全防護體系，同時使得全院相關業務流程更為合理化、流程化、規范化。

在設計研究院內部組織方面實現分部門控制。如對研發、設計部門采用強制加密，對管理、財務和營銷等部門采用主動加密，實現重要文檔高效、安全管理。采用細分權限控制和權限回收技術，確保內部人員在權限范圍內對文檔進行操作，同時到期回收權限，使信息資源在可控前提下安全共享。此外，中國建筑設計研究院信息安全管理平臺成功防止內部員工通過郵件、MSN、QQ、FTP下載等網絡端口發送重要文檔，防止內部員工以復制、拖拽、拷屏、打印、另存為、剪貼板盜取和內存竊取等手段盜取信息資源。

中國建筑設計研究院利用文檔操作強制日志審計，確保一旦發生信息安全事故后可追溯源頭責任人，并成功解決防止硬盤被盜、筆記本和移動存儲設備丟失后導致的信息泄露；郵件發送可信對象時自動解密；員工出差或離開時，配置脫機策略設定時間并可補時，確保離線終端安全可控等問題。

通過全方位的信息安全保護，整合現有的信息資源，中國建筑設計研究院通過集中管理、快速部署、實時反饋安全威脅等手段，使該院輕松面對復雜的信息環境，成功解決信息安全問題。