企業網絡信息安全管理芻議

汪恒

摘 要 網絡技術帶來便利同時給企業的信息安全帶來巨大的挑戰，如何確保各種管理系統信息的保密性、完整性、未授權拷貝和所寄生系統的安全性，維護企業網絡信息的安全，以確保企業的現代化核心管理手段成為企業發展的支柱，成為擺在信息安全管理技術人員面前的重要任務。本文意在對企業網絡管理中的信息系統，特別是重要信息系統的安全信息安全防護的重要性做簡單的探討。

關鍵詞 企業； 網絡信息；安全管理

中圖分類號 TP3 文獻標識碼 A 文章編號 1674-6708（2017）186-0056-02

飛速發展的社會經濟將企業管理投入到信息技術的海洋之中，大中型企業管理的自動化水平正在不斷提高。現代企業的核心管理手段是將計算機網絡技術應用于業務管理系統，實現企業管理理念的宏觀化、管理手段的智能化、管理方式的網絡化，從而帶來的是管理效率的高速化。具體的管理系統包括外門戶網站系統、內部門戶網站系統、辦公自動化系統、營銷管理系統、配網管理系統、財務管理系統、生產管理系統等[ 1 ]。

1 企業網絡信息安全概述

1.1 網絡信息安全面臨的威脅

網絡信息的安全主要是系統漏洞帶來的病毒和黑客侵襲。漏洞是在硬件、軟件、協議的具體實現或系統安全策略上存在的缺陷，從而可以使攻擊者能夠在未授權的情況下訪問或破壞系統[ 2 ]。系統漏洞是危害網絡安全的最主要因素，特別是軟件系統的各種漏洞。黑客的攻擊行為都是利用系統的安全漏洞來進行的。許多系統都有這樣那樣的安全漏洞（Bugs），其中有些是操作系統或應用軟件由于設計缺陷本身所具有的，這些漏洞在補丁未被開發出來之前一般很難防御黑客的破壞，除非你不接入網絡。還有就是程序員在設計一些功能復雜的程序時，預留的用于測試和維護的程序入口，由于疏忽或者其他原因（如將它留在程序中，便于日后訪問、測試或維護）沒有去掉，這就可能被一些黑客發現并利用作為后門。到目前為止，還沒有出現真正安全無漏洞的產品，這也是當前黑客肆虐的主要原因[ 3 ]。

1.2 造成企業網絡信息安全威脅的原因

1.2.1 計算機系統原生漏洞

目前計算機所依賴的依然是普遍通用的微軟Windows系統。為了適應用戶的需求，這一系統的研發進展不斷進步，系統升級較為頻繁，每兩年左右便會有新系統推出面世。許多計算機用戶，特別是企業用戶，如果對新系統沒有全面、專業、深入的了解而盲目進行了系統更新，有可能造成安裝設置過程中缺陷導致的新系統帶來的弊端，從而埋下漏洞隱患，給信息安全造成威脅。

1.2.2 計算機軟件應用不當遭遇惡意軟件

在企業管理計算機軟件應用過程中，如果沒有專業的識別和下載安裝經驗，極有可能遇到惡意軟件。惡意軟件常常故意不對用戶做明確提示（如選項提示、退出安裝提示等）或者在未經用戶許可的情況下，在用戶的計算機上強行安裝；有的軟件難以卸載（設置卸載障礙）；還有的軟件通過瀏覽器劫持行為，肆意：指未經用戶許可，修改用戶瀏覽器或設置，迫使用戶訪問特定網站或導致用戶無法正常上網等。惡意軟件造成的計算機病毒感染，黑客的乘虛而入將嚴重威脅企業網絡信息安全，甚至導致系統崩潰，數據丟失。有的惡意軟件甚至自帶網絡數據運行監視裝置，被惡意使用后可以直接用于竊取商業數據和信息，給企業造成巨大損失。

1.2.3 企業網絡信息系統維護規范欠缺

企業網絡信息系統在運行過程中無論何種原因都難以避免可能產生的漏洞，而對信息系統的規范維護是信息安全保護的重要手段。但部分企業沒有對系統維護規范作出規定，如系統維護工程師、助理工程師的職責與權限并不明確，生產或銷售應用系統的監控記錄不能定期建檔，生產或辦公系統主機的日常故障處理不做登記，應用系統的數據庫啟動情況和數據庫設置得不到及時觀察，重要數據庫的變更操作，定期清理過期備份不能正常進行，應用數據庫癱瘓后的異地備份恢復記錄不完整等，都有可能造成企業網絡信息系統的安全隱患。

2 企業信息系統安全管理存在的問題

2.1 企業對信息系統管理重視不足

許多企業頂層決策缺乏長久觀念，比較重視信息網絡的建設而較易忽視信息網絡和系統的管理。在企業網絡建設初期往往偏重于硬件設施的投資和技術成本的投入，盲目追求管理系統的高性能、高配置，忽略了硬件設施與實際應用的差距，認為高層次的網絡系統一旦建成便萬事大吉。這種認識不但造成了不必要的資金浪費，更容易形成輕視系統維護管理工作的狀況。由于缺乏管理意識，許多企業在規章制度、人事安排、專業培訓、技術隊伍等幾方面沒有形成企業信息系統的專業團隊，更沒有針對系統癱瘓、數據丟失等突發事件的應急預案，往往是問題發生后臨時應急解決，“頭痛治頭足痛治足”，致使現代化信息系統不能充分發揮在企業運行管理中應有的作用。

2.2 企業網絡信息安全性難以保障

由于信息安全管理意識淡薄，部分企業沒有專業的網絡管理團隊。現有網管人員維護、管理網聯絡信息技術沒有保障，或者責任心不強。例如，民營生產銷售企業由于操作不規范銷售報表和潛在客戶資料數據丟失現象時有發生；部分縣級以上醫院分科或多或少都存在體統停滯現象；中小型企業中財務資料的誤刪時有發生。雖然這些單位有的也具備系統維護應急預案，部分數據得到恢復，但依然給企業造成一定損失。

3 企業網絡信息安全防范措施

3.1 建立系統安全檢查制度

企業的規章制度要重視系統安全的保護，對重要信息系統的安全檢查要建章立制，不能松懈。首先要對系統安全負責的團隊人員構成和崗位職責進行明文規定。其次要確定具體的安全檢查目標，如企業的基礎網絡是否完善、主服務器配置是否異常，對外門戶網站防火墻是否堅固，數據中心的設置是否可靠，內部辦公系統（包括財務、銷售、服務等）更新是否正常等等。第三，信息安全檢查規章制度中要具化檢查重點內容，如安全管理保障系統方面，對崗位制度是否建全，人員負責是否落實，信息數據是否安全，應急響應是否穩妥等項目要做出詳細檢查記錄。技術保障方面：服務器（包括操作系統、數據庫、應用系統）的各項指標，網絡設備和安全設備的各種配置，網站建設和終端等組織策略和運行維護等內容都要落實到檢查實處。

3.2 加大企業網絡信息安全的管理力度

第一，要增強網絡信息管理人員的技術培訓，使企業信息系統得到可靠的技術維護和管理，組件一只責任心強、分工明確、技術精湛的網管團隊，以保障企業網絡信息系統正常運轉不出紕漏。

第二，提高企業核心機密資料的加密層次，在這方面要投入資金購買保密程度較有保障的計算機軟件裝備，防止黑客攻擊和病毒感染。

第三，對企業信息管理和維護工作進行定期記錄、責任到人，記錄保護存檔以備可查。

第四，要建立安全可靠的計算機數據異地備案和應急預案機制，有專門制定人員負責，定期檢測數據，嚴格管理制度，以確保企業網絡信息系統出現異常時得到有效維護和修復。

4 結論

高速發展的社會經濟需要現代企業具備高效能的網絡信息系統，信息安全成為企業信息系統管理的核心問題。面對計算機系統漏洞及病毒或黑客的侵襲，企業加強信息安全管理意識，增強企業信息系統安全隊伍建設和技術投資刻不容緩。其中建立健全企業信息安全管理規章制度是重中之重，定期的信息系統安全工作大檢查是強有力的管理手段之一，責任落實到人的系統維護規范操作和記錄，是保護企業核心機密的重要手段，網絡管理人員的思想道德和責任心是信息安全保障的前提，縝密有效的信息系統應急預案和恢復操作是信息安全保護最終的有力保障。企業要從制度、監督、資金投入等方面加強網絡信息安全的管理，使信息管理系統為企業的行業競爭助力，為企業健康發展發揮應有的作用。

參考文獻

[1]黃立文.淺談網絡與重要信息系統安全管理[J].計算機安全，2008（12）：128-130.

[2]王雨晨.系統漏洞原理與常見攻擊方法[J].計算機工程與應用，2001（3）：62-64，92.

[3]瞿英，彭靜，等.系統漏洞大曝光：常見漏洞攻防經典實戰手冊[M].重慶：重慶出版社.1版，2003：3.