落實等保要求提升信息安全保障能力

曹俊啟，黎 偉

（南水北調中線水源有限責任公司，丹江口 442700）

企業對于保護信息安全的工作始終保持著高度重視，通過國家相關部門的科學指導，努力進行信息系統的安全保護整改、測評、定級等工作，對信息安全技術的等保體系進行不斷完善與優化，增加信息安全方面的投入，健全管理信息安全的流程，不斷提升工作人員的安全技能與安全意識。

1 開展等級保護測評

企業應根據政府監管機構的要求與相關法律法規，積極進行信息系統的等級保護測評工作，邀請相關測評機構來測評已定級信息系統，確保全部備案系統都符合測評要求和國家信息系統的相關安全要求。與此同時，應把公司的最終測評報告進行公示，讓公司有關部門根據測評報告給出的建議與意見，對公司信息保護的安全體系進行優化與完善。應頒布信息安全相關文件，根據文件的要求對各個部門的定級備案進行指導，重新定級公司的信息系統，并確保定級結果能被專家組審核通過。此外，公司還應定期對信息系統進行等級保護的測評。

2 做好信息系統建設

要想使信息的安全保障能力得以提高，需要把等級化的需求歸納到非功能的需求規范中，從而對建設信息系統的工作進行指導。公司應制定非功能的需求制度規范，把等級保護的需求當作重中之重，把信息系統的安全策略設計、安全保護需要、定級分類等和不同內容以模板的形式進行編制，加入到項目管理的過程中，對測試環節、設計系統環節、分析需求環節、提出需求等環節的工作進行安全指導[1]。在進行信息系統的安全保護工作時，應從安全監控、安全加固、防泄密、加密、訪問控制、身份認證等多方面入手，提出相應安全要求指標。設計信息系統的安全策略時，應從安全審計、安全監控、防惡技術、安全加固、加密技術、訪問控制、身份認證、產品管理、建設平臺等多方面入手，提出相應安全策略。

3 完善等級保護體系

首先，應設計信息系統的等級定級標準。公司應以信息系統價值為主要的出發點確定定級的要素，量化評級信息系統。定級要求應設計信息系統的業務連續性、服務能力、服務方式、服務范圍、服務對象、業務功能等多個方面與評估指標，通過量化的科學方法評估信息系統價值，讓公司分級評估信息系統有理有據。其次，應設計等級保護的分級原則。公司在劃分信息系統等級時應將自身情況與國家、國際劃分等級的制度及方法進行有機結合，將信息系統劃分成低保護級、中保護級、高保護級這三個安全保護等級。設計定級要素時，不但要從國家角度出發，加強對侵害國家、社會、公民程度的重視，還應從公司層面加強對信息系統價值的重視，在定級時盡可能量化指標，從而使由于理解差異導致的定級結果差異現象得以減少。

4 搭建安全技術平臺

企業應按照信息系統的安全技術結構，對搭建安全技術平臺的原則進行明確，將基礎平臺應用于信息系統的建設，給優化與整合安全技術指明方向，使整個公司應用信息系統的安全技術擁有具體指導細則。應通過集中建設共性任務策略，對安全基礎平臺進行搭建。應進行用戶授權與認證平臺的開發，將權限控制服務與身份認證服務提供給整個公司的系統與網絡。應對安全服務的加密平臺進行統一開發，使加密服務應用于公司的不同應用系統，應設計數據管理的安全系統，使公司的各項數據獲得數據防泄漏、訪問控制、安全策略等服務。進行信息系統的管理與運維時，應對事件監控、日志管理、管理運維等系統進行建設，為運維提供全面的審計、監控、授權等服務[2]。

公司應按照安全技術的等級化架構，通過縱深防御戰略的使用對信息安全運維保障的體系進行建設，和公安、電信等多個部門合作，構建協防的機制，通過國家手段對大范圍、惡性攻擊行為進行防范。應對外聯網與互聯網兩者的防護安全標準進行合理規劃，對行為檢測、信息過濾、入侵檢測、防火墻等系統進行科學部署，對邊界的風險隱患進行防范。應做好網站安全威脅的研究、分析、跟蹤等工作，在網站系統中積極使用新產品與新技術，定期檢測假冒網站，進行安全滲透的測試。應對內部的網絡區域進行科學劃分，對測試網、辦公網、生產網進行隔離，對桌面防護的安全體系進行部署，使整個公司的計算機終端獲得管理漏洞補丁與防范病毒等多種服務。應加快作業調度系統的推進，轉變原有的系統與手工命令調度方法，使管理運維平臺朝著自動化的方向發展，使重復性工作更加規范化、集約化、自動化，減少信息系統的人為安全隱患，構建一個監控運維系統，動態監控公司的系統設備。

5 結束語

總而言之，做好信息安全保障工作具有十分重要的意義。公司應貫徹落實等級保護的要求，開展等級保護測評，做好信息系統建設，完善等級保護體系，搭建安全技術平臺，從而使自身的信息安全保障能力得到提升，有效處理自然因素、系統因素、人為因素對信息系統造成的負面影響，促進公司的可持續發展。