企業(yè)信息安全立體防護體系構(gòu)建及運行分析

李 濤

（云盾智慧安全科技有限公司，北京 100176）

1 企業(yè)信息安全立體防護體系特點

1.1 便利性

打印審計系統(tǒng)的運行是通過微軟操作系統(tǒng)打印服務(wù)框架完成相關(guān)運作，但因打印機種類相對較多，并且加多硬件廠商很難確保向操作系統(tǒng)報告真實輸出情況，那么如果打印審計系統(tǒng)在出現(xiàn)審計故障時，很難處于完全輸出狀態(tài)。為此，需要通過追加備注日志對問題進行解決，用戶提出追加備注日志申請，領(lǐng)導(dǎo)層審批后方可添加，可在文檔輸出打印管理中形成閉環(huán)管理，從而避免管理缺陷。

1.2 適用性

打印系統(tǒng)在運行之前需要進行認(rèn)證，一般使用IC卡認(rèn)證，從系統(tǒng)適用性角度進行分析，利用現(xiàn)有資源，并在此基礎(chǔ)上與指紋認(rèn)證系有效結(jié)合。在打印期間，系統(tǒng)需要采集指紋，同時與指紋庫中指紋對比，無誤后調(diào)取打印任務(wù)。由于指紋具有不變形、隨身性以及惟一性等特點，能夠提高身份認(rèn)證安全性，可確保用戶及時獲得所需的打印的資料，從而避免了數(shù)據(jù)泄露的問題。

1.3 實用性

在對信息系統(tǒng)業(yè)務(wù)進行審批的過程中，主要使用紙質(zhì)審批單，此種傳統(tǒng)方式存在較多弊端。通過使用電子審批流程后，主要是從申請單位與申請者入手，詳細(xì)分析辦理邏輯與申請及需求。再把不同審批單有效連接，簡化審批環(huán)節(jié)與流程，大大減少了審批數(shù)量，提升信息系統(tǒng)運行效率，確保辦理時間邏輯性。

2 企業(yè)信息安全立體防護體系構(gòu)建與運行的必要性

企業(yè)的發(fā)展直接影響我國整體經(jīng)濟的發(fā)展，尤其對于大型企業(yè)來說，關(guān)系到國計民生的重要產(chǎn)業(yè)，因此信息安全對提高人們生活質(zhì)量尤為重要。目前，工業(yè)企業(yè)已基本實現(xiàn)了自動化、網(wǎng)絡(luò)化發(fā)展，以網(wǎng)絡(luò)、數(shù)據(jù)庫以及自動控制技術(shù)等，逐漸成為經(jīng)營管理與生產(chǎn)中的基本要素，確保信息系統(tǒng)安全已成為企業(yè)發(fā)展的重要內(nèi)容。

目前，我國未掌握核心技術(shù)，核心設(shè)備主要是從其他國家采購，由于國產(chǎn)水平與國外相比相對較低，維護網(wǎng)絡(luò)安全、實現(xiàn)信息安全管控還有較長的路要走，在此過程中還應(yīng)投入更多資源研發(fā)核心技術(shù)，為我國信息安全奠定良好的基礎(chǔ)。

3 企業(yè)信息安全立體防護體系環(huán)境分析

網(wǎng)絡(luò)系統(tǒng)在運行的過程中，需要有良好的運行環(huán)境。隨著信息技術(shù)的不斷發(fā)展，信息防護環(huán)境復(fù)雜程度越來越高，并且在此基礎(chǔ)上信息安全防護需求也趨于多樣化，這就需要構(gòu)建信息安全防護的良好的環(huán)境。企業(yè)信息安全防護環(huán)境有政策、社會文化、技術(shù)等，其中社會文化環(huán)境包括行為習(xí)慣、教育程度以及道德準(zhǔn)則等；政府政策環(huán)境是根據(jù)企業(yè)信息安全防護提出的相關(guān)政策；行業(yè)技術(shù)實質(zhì)上是一種管理體制與技術(shù)[1]。

4 企業(yè)信息安全立體防護體系解釋結(jié)構(gòu)模型

4.1 ISM模型

ISM模型主要是一種結(jié)構(gòu)模型化技術(shù)，適用于經(jīng)濟系統(tǒng)中，在應(yīng)用的過程中應(yīng)對構(gòu)成要素進行提取，并且對邏輯進行運算，此種運算與其他運算有所不同，需要使用矩陣工具完成運算，將層次結(jié)構(gòu)與互相關(guān)系逐步清晰化，同時向多級階梯形式方向轉(zhuǎn)變。

4.2 企業(yè)信息安全立體防護體系要素分析

信息安立體防護體系要素主要表現(xiàn)在以下幾個方面：

（1）網(wǎng)絡(luò)安全：實現(xiàn)網(wǎng)絡(luò)平臺與訪問模式。

（2）操作系統(tǒng)安全。

（3）數(shù)據(jù)安全：在對數(shù)據(jù)進行存儲與傳輸期間，確保不能受到非授權(quán)用戶的竊取與破壞。

（4）應(yīng)用安全：確保應(yīng)用系統(tǒng)、應(yīng)用程序以及應(yīng)用接入的安全，以此需采取有效措施實施控制。

（5）物理安全：保護相關(guān)設(shè)備免受損壞，若出現(xiàn)損壞需要能夠及時修復(fù)或者更換。

（6）用戶安全：用戶在使用數(shù)據(jù)之前，應(yīng)當(dāng)以正確的方式授權(quán)，不能出現(xiàn)越權(quán)或者出現(xiàn)不同業(yè)務(wù)系統(tǒng)授權(quán)矛盾問題。

（7）終端安全：終端安全主要包含的內(nèi)容相對較多，比如補丁升級、桌面終端管理以及預(yù)防病毒等。

（8）信息安全風(fēng)險管理是對安全風(fēng)險以及代價全面評估。

（9）信息安全策略管理主要有評價、實施以及安全措施制定等。

（10）標(biāo)準(zhǔn)規(guī)范體系：標(biāo)注單規(guī)范體系對提高信息安全防護體系安全性發(fā)揮著重要作用，有安全技術(shù)、產(chǎn)品以及措施等。

（11）管理制度體系：管理制度體系有上崗制度、培訓(xùn)制度等。

4.3 企業(yè)信息安全立體防護結(jié)構(gòu)

由上文那個能夠發(fā)現(xiàn)，在企業(yè)信息安全立體防護結(jié)構(gòu)中有不同要素，不同要素之間相互作用與聯(lián)系，能夠形成不同層級結(jié)構(gòu)的模型。企業(yè)信息安全防護體系主要分為4個等級結(jié)構(gòu)。第一層主要闡述了企業(yè)信息安全防護中相關(guān)制度，不同因素之間在Ism結(jié)構(gòu)中處于獨立狀態(tài)，可有效提高企業(yè)信息安全防護效果。第二層是在保障的基礎(chǔ)上對企業(yè)信息安全管理活動實時確定，可作為立體防護的有效措施。第三層主要是從不同方面，比如傳輸過程、物理條件等，體現(xiàn)企業(yè)信息安全防護過程中的可控點，在此過程中能夠進行物理安全控制。第四層是企業(yè)對信息安全防護的需求，是信息的表現(xiàn)形式，信息數(shù)據(jù)在安全防護需求中重要參數(shù)。由此可以看出，企業(yè)為了提高信息安全性，構(gòu)建信息安全防護體系期間，以上四級遞階結(jié)構(gòu)，能夠體現(xiàn)出該體系的層級性、整體性以及交互性。

4.4 企業(yè)信息安全立體防護過程

首先，認(rèn)識到行業(yè)標(biāo)準(zhǔn)規(guī)范體系對信息安全防護的重要性，并對其進行綜合分析，從企業(yè)人員組織結(jié)構(gòu)、資金實力等方面進行安全防護目標(biāo)的構(gòu)建，并在此基礎(chǔ)上把安全防護內(nèi)容等劃分為不同等級。其次，監(jiān)督防護內(nèi)容主要包含分析其他公司近段以來出現(xiàn)的安全事故，形成預(yù)警，以此對公司信息系統(tǒng)實施監(jiān)測，分析與評估系統(tǒng)中存在的風(fēng)險。再次，若系統(tǒng)中存在一定風(fēng)險，需要對風(fēng)險來源進行確定，同時評估風(fēng)險程度，并在此基礎(chǔ)上判斷能否采取有效措施解決。最后，平衡時效性與成本之間的關(guān)系，分析效用形成內(nèi)部信息防護手冊。

5 企業(yè)信息安全立體防護體系分析與對策

5.1 企業(yè)層面

5.1.1 強化系統(tǒng)整體性

企業(yè)在發(fā)展的過程中，企業(yè)信息安全立體防護體系中的不同要素處于統(tǒng)一系統(tǒng)環(huán)境中運作，如果資源受到一定限制，需要采取有效措施提升信息數(shù)據(jù)保存與傳輸?shù)陌踩浴榇耍瑧?yīng)當(dāng)遵循整體目標(biāo)原則，確保信息安全防護的合理性，并且對原有產(chǎn)品進行升級，同時在同一規(guī)劃的過程中實現(xiàn)效能與投入產(chǎn)出。

5.1.2 明確系統(tǒng)層急性

企業(yè)信息安全防護工作效率層級管理質(zhì)量密切相關(guān)，由于企業(yè)信息安全防護中，策略與技術(shù)在其中尤為重要，并且在此基礎(chǔ)上制度之間相互作用。企業(yè)信息安全防護涉及到制度層面防護、策略層面防護以及技術(shù)層面防護，其中技術(shù)是基礎(chǔ)、策略是支撐、技術(shù)是必要的手段。為此，為了提高企業(yè)信息安全性，需要處理不同體系的縱向關(guān)系，在應(yīng)用技術(shù)的過程中提高管理質(zhì)量，并且對不同管理內(nèi)容進行協(xié)調(diào)。

5.1.3 降低系統(tǒng)交互性

若信息安全防護體系處于同級水平，能夠增強要素之間關(guān)聯(lián)性，在此環(huán)境中會增加系統(tǒng)運行過程中的復(fù)雜性。為此，企業(yè)需要及時制定技術(shù)規(guī)范以及規(guī)章制度，對不同工作環(huán)節(jié)中的邊界實施界定，對風(fēng)險源準(zhǔn)確定位，以此保證信息安全策略有效落實，從而能夠避免風(fēng)險交叉，擴大防范范圍。

5.1.4 關(guān)注系統(tǒng)動態(tài)性

由于信息安全防護具有較高的動態(tài)性，是一個循環(huán)過程。隨著信息技術(shù)的不斷發(fā)展而發(fā)展，企業(yè)在信息安全的情況下，從時間維度角度全面認(rèn)識信息安全狀態(tài)，并且在此基礎(chǔ)上對企業(yè)信息安全防護所處的階段準(zhǔn)確定位，限定處理信息安全風(fēng)險的時間界限，對不同時間段中的延續(xù)性引起重視，并且采取有效措施識別風(fēng)險，同時評估風(fēng)險程度，以此采取防范措施對企業(yè)信息安全過程動態(tài)實施全面管理。

5.2 政府層面

政府需要通過宣傳的方式讓企業(yè)認(rèn)識到信息安全的重要性，提升全民信息安全素質(zhì)，從道德角度避免信息安全事故。還需要讓企業(yè)認(rèn)識到信息安全、思想教育對企業(yè)發(fā)展的重要性，主要包括技能教育、法制教育以及職能教育等，從不同角度提升社會信息安全防護意識。其次，重視信息安全以及延伸問題。政府需要完善與信息安全有關(guān)的法律法規(guī)以及行業(yè)標(biāo)準(zhǔn)，并且構(gòu)建監(jiān)督機制以及多元化監(jiān)管模式，確保不同法律法規(guī)以及標(biāo)準(zhǔn)的公平、公正，為企業(yè)信息安全創(chuàng)造良好環(huán)境。最后，加大信息安全產(chǎn)業(yè)投入，政府應(yīng)當(dāng)采取有效措施培養(yǎng)社會技術(shù)人才，提高核心技術(shù)自主研發(fā)能力，為信息安全服務(wù)行業(yè)的發(fā)展奠定良好的基礎(chǔ)。

6 結(jié)束語

綜上所述，企業(yè)在發(fā)展的過程中，構(gòu)建立體防護體系，不但能夠保證企業(yè)信息安全，而且還可使各個環(huán)節(jié)安全生產(chǎn)，避免產(chǎn)生重大損失。在進行立體防護體系構(gòu)建時，應(yīng)當(dāng)以信息安全防護為出發(fā)點，構(gòu)建安全防護模型，對落實信息安全工作有效指導(dǎo)，可大大降低體系的投入，這對企業(yè)信息安全起到較大促進作用。