以網絡安全建設為契機全面提高員工風險防范意識

尹若光

中圖分類號：F61 文獻標識碼：A 文章編號：1673-5811（2013）03-0183-01

一、網絡安全現狀

企業的省內信息網主要包括三部分：信息網省中心、十個信息網市中心和各市同城及所轄機構（包括分支機構和第三方機構）。在省內各級信息技術部門，從事計算機專業技術的人員總共不過百人，維護的信息化設備數千臺套，面向的終端用戶上萬人，而專業技術人員中只有十余名兼職的信息網安全管理員，眾多的信息化設備中只有十余臺網絡防火墻（用于隔離省中心和各市中心連接的第三方機構），信息網安全因子占比之低由此可以見一斑。

目前，企業信息網主要有兩種安全漏洞：第一 ，用戶對移動介質的依賴和濫用，包括U盤、盜版操作系統光盤、影碟等未經殺毒就直接用在信息網內的計算機上；第二，在技術手段上，信息網自身沒有威脅檢測和過濾設備，無法發現包括電子郵件、OA系統、路由可達的網絡上存在的任何威脅。

各類威脅對信息網的入侵過程可以這樣來描述：出于工作需要和設備條件的限制，為了方便，很多用戶都使用U盤拷貝來自互聯網的形形色色文件，一旦U盤被病毒感染，病毒程序就會自我復制、自動傳播到讀取U盤的計算機上，其中的網絡病毒還能自動傳播到染毒計算機所在的網絡上，對于只部署了邊界防御能力的信息網，網內的威脅僅在網絡帶寬的限制下自由傳播，不僅影響網內個人計算機的運行性能，而且嚴重威脅染毒計算機的數據安全和染毒網絡的傳輸性能，甚至能夠盜取涉密信息。

可見，企業信息網安全面臨的形勢已經十分嚴峻。

二、提高員工風險防范意識的意義

十余年來，由于發展業務、謀求生存空間的需要，一直比較注重業務系統的培訓，一直比較注重技術人才的引進和培養，一直比較注重鍛煉業績優、技能高的員工的管理能力，這些人才為企業的發展壯大做出了突出貢獻，然而信息安全如同普遍服務一般，也需要從企業的細枝末節做起。隨著業務不斷發展，業務種類日益細分、技能要求日益提高，各項工作都向“專、精”方向發展；政企分開，使企業完全暴露于市場競爭之中，為滿足市場需求，業務結構因地制宜、相時而變，各項業務的技能和知識含量不斷增加，風險防范越來越集中在企業信息安全上，缺乏信息安全防范意識勢必會影響服務的質量和信譽。

經過十余年建設的企業信息網，如今為企業發展提供著不可替代的支撐作用，而信息網的每位使用者，從網點到機關，從鄉鎮到城市，都既是這一成果的受益者，也是信息網安全的守護者，從這一點講，加強信息網安全管理是提高企業人才素質的一個重要方面。

三、加強員工的信息安全管理

加強員工的信息安全管理是實現信息網安全的根本，針對信息安全管理力量不足，網絡安全設備品種單一、數量稀少的問題，建議：

（一）各級領導干部要正確認識培養信息安全意識的長期性

信息網安全必須層層推進，各級領導干部是企業各項方針政策的決策者，掌握著企業的核心資源。只有充分認識企業信息安全的重要性，才能以身作則，為提高員工的信息安全防范意識提高支撐，才能保障信息安全落實到位。

加強信息安全必須與行業發展趨勢和業務流程相結合，明確信息安全防范的各個環節，在信息網用戶處理各項業務的同時滲透信息安全防范措施，使信息安全意識貫穿企業各項工作開展的各個環節中，在各級單位內部形成重發展、保安全的環境，建立信息安全防范機制及相應員工獎罰、監督檢查、日常培訓等方面的規章制度。各級領導必須對此項工作給予足夠的重視，杜絕弄虛作假，力求實事求是，以集團公司、省公司每月的信息網安全通報為準繩，有效督促信息安全防范工作的落實，不做表面文章。

（二）培養員工信息安全意識的舉措

堅持以人為本的管理理念，認真總結企業獨立運營十余年來，信息安全工作方面暴露的問題、發生的事件，用先進人物和事跡感人員工，用慘重的經濟代價喚醒員工，加強對新進和在職工作的員工的教育引導：

1.針對信息安全威脅的不斷變化，建立長效的培訓機制、宣傳機制。成立內部培訓師隊伍，是各省普遍采用的人力保障措施，不僅培訓普通員工，也要培訓專業技術人員。

2.針對廣大普通用戶技術能力不足的情況，建立長期有效的現場技術服務體系。信息化設備的使用已經遍及城鄉網點，信息安全的觸角卻還停留省市中心等樞紐環節，要切實推廣信息安全防范措施必須加大用戶終端的維護力度，一方面及時發現信息安全隱患，及時糾正用戶不規范的信息網使用習慣，另一方面，協助用戶解決信息安全防范遇到的障礙，保證用戶正常使用業務系統，每個月都對每一臺信息網PC提供至少一次現場技術服務，保證用戶設備的可用性，保證信息安全軟件安裝到位，保證業務和技術的共同進步。

（三）引進網絡安全設備，有效監控信息安全事件

目前，信息網內的防火墻設備僅能起到隔離不同區域，按策略過濾用戶數據，防范傳統網絡威脅的能力，對于新興的很多網絡威脅，如各種蠕蟲、木馬，不具備任何防范能力；對用戶終端的用途，更不能提供任何檢測能力。

在集團公司部署的信息網安全設備中，Landesk桌面管控產品，可以實現專機專用，由管理員統一定制策略，限制用戶終端軟硬件的安裝使用；趨勢網絡防病毒解決方案，該方案包括查（TDA）、防（IWSA）、阻（NVWE）、殺（OfficeScan）四部分，典型案例如下圖：

TDA用于監聽、掃描流經核心交換機的數據，發現威脅及其來源；NVWE可以檢測用戶終端是否安裝防病毒軟件，及其病毒庫更新情況（個別品牌），依策略予以準入；IWSA針對http、ftp等協議進行過濾，能夠基于“web信譽度和URL分類”攔截來自外網的威脅，如防釣魚、病毒、間諜等；OfficeScan是網絡防病毒軟件，提高對終端威脅發現的及時性，并在第一時間消滅病毒碼。