前言：想要寫出一篇令人眼前一亮的文章嗎？我們特意為您整理了5篇企業(yè)信息安全應(yīng)急預(yù)案范文，相信會(huì)為您的寫作帶來幫助，發(fā)現(xiàn)更多的寫作思路和靈感。

企業(yè)信息安全應(yīng)急預(yù)案范文第1篇

【 關(guān)鍵詞 】 信息安全架構(gòu)；企業(yè)戰(zhàn)略；信息安全服務(wù)； 信息安全價(jià)值； 一致性；可追溯性

【 文獻(xiàn)標(biāo)識(shí)碼 】 A 【 中圖分類號(hào) 】 TP393.08

1 引言

信息安全技術(shù)和管理經(jīng)過不斷的發(fā)展和改善，已經(jīng)能夠比較有效地解決一些傳統(tǒng)信息安全問題，如信息安全風(fēng)險(xiǎn)管理、訪問控制，脆弱性管理、加密解密和災(zāi)難恢復(fù)等。隨著信息越來越成為組織的核心資產(chǎn)，保護(hù)信息的安全已不再只是局限于技術(shù)和日常管理層面的討論，信息的安全越來越關(guān)系到組織自身發(fā)展的安全。一次重大的信息泄露事故就能使企業(yè)的市值一落千丈。同時(shí)，一套合理的訪問控制解決方案能夠幫助企業(yè)快速推出核心產(chǎn)品（尤其是電子商務(wù)）和兼并其他企業(yè)。當(dāng)前信息安全發(fā)展呈現(xiàn)出新的趨勢(shì)和要求：（1）信息安全部門逐漸從成本中心轉(zhuǎn)向價(jià)值中心，信息安全的各項(xiàng)活動(dòng)越來越和企業(yè)戰(zhàn)略緊密相連；（2）企業(yè)內(nèi)部其他部門越來越多的要求信息安全部門提供清晰、可測(cè)量的服務(wù)來支持業(yè)務(wù)的運(yùn)行。

企業(yè)的信息安全部門在不斷增強(qiáng)其核心影響力的同時(shí)，也承擔(dān)著隨之而來的更多責(zé)任和挑戰(zhàn)。其一是如何將企業(yè)戰(zhàn)略轉(zhuǎn)化為信息安全計(jì)劃，將信息安全融入到組織的業(yè)務(wù)流程中，并且保持信息安全控制措施與企業(yè)戰(zhàn)略的一致性和可追溯性；其二是如何使信息安全的價(jià)值得到認(rèn)可并在組織內(nèi)部最大化；其三是如何滿足企業(yè)內(nèi)部各部門有計(jì)劃或無計(jì)劃的信息安全服務(wù)需求；其四是如何確保以一種系統(tǒng)主動(dòng)和集中統(tǒng)一的方式來管理業(yè)務(wù)和遵從性需求，并實(shí)現(xiàn)清晰的測(cè)量和不斷的改進(jìn)。

當(dāng)前各企業(yè)廣泛采用的標(biāo)準(zhǔn)或最佳實(shí)踐有幾種：ISO27001：2005，COBIT4.1，NISTSP800或PCIDSSv2.0等。這些標(biāo)準(zhǔn)各有優(yōu)點(diǎn)，但也有明顯的缺憾，如表1所示（缺憾部分用X表示）。

設(shè)計(jì)本信息安全架構(gòu)旨在解決上述問題并建立一種高效機(jī)制達(dá)到如下目標(biāo)。

* 將企業(yè)戰(zhàn)略轉(zhuǎn)化為信息安全計(jì)劃，確保信息安全的可追溯性、持續(xù)一致性和簡(jiǎn)潔性，以降低成本、減少重復(fù)和提高效率。將信息安全融入到組織的業(yè)務(wù)流程中，建立一致性和可追溯性；建立清晰的信息安全架構(gòu)和愿景，以減少重復(fù)和指導(dǎo)信息安全投入和解決方案的實(shí)施。

* 基于客戶服務(wù)理念，信息安全服務(wù)價(jià)值得到認(rèn)可，信息安全靠攏業(yè)務(wù)部門，為信息安全管理和業(yè)務(wù)管理建立共同語言。

* 全面管理信息安全，滿足目前絕大多數(shù)法律法規(guī)、標(biāo)準(zhǔn)的最佳實(shí)際的要求，并具有靈活的可擴(kuò)展性，當(dāng)新需求出現(xiàn)后能夠?qū)⑵淦交娜谌氲浆F(xiàn)有架構(gòu)中。

* 系統(tǒng)和集中統(tǒng)一的方式，使信息安全管理可預(yù)測(cè)和可測(cè)量，并不斷的改進(jìn)。

2 信息安全架構(gòu)設(shè)計(jì)

2.1 信息安全架構(gòu)設(shè)計(jì)所基于的原則

本信息安全架構(gòu)的設(shè)計(jì)遵循四大原則。

1） 業(yè)務(wù)驅(qū)動(dòng)：所有的信息安全目標(biāo)應(yīng)該從業(yè)務(wù)需求中來，從而保證信息安全管理總是做“正確的事”。

2） 整合、統(tǒng)一的架構(gòu)：現(xiàn)在有數(shù)以十計(jì)的信息安全相關(guān)的法律法規(guī)，標(biāo)準(zhǔn)和最佳實(shí)踐需要去符合或參考，且其各有不同的要求側(cè)重點(diǎn)和優(yōu)缺點(diǎn)。因此很有必要將所有相關(guān)的信息安全關(guān)注點(diǎn)整合到一個(gè)統(tǒng)一的架構(gòu)中，以保證所有要求都被滿足，同時(shí)避免不要的重復(fù)。例如，ISO27001關(guān)注全面安全控制和風(fēng)險(xiǎn)管理，PCIDSS側(cè)重支付卡環(huán)境中技術(shù)控制和策略管理等。

3） 系統(tǒng)化思維：運(yùn)用系統(tǒng)化思維可以幫助組織解決復(fù)雜且動(dòng)態(tài)的問題，適應(yīng)運(yùn)營(yíng)中的各種變化，減輕戰(zhàn)略上的不確定性和外部因素的影響。例如，需要整合機(jī)構(gòu)、人員、技術(shù)和流程；需要考慮安全、成本和易用性的權(quán)衡；需要靠持續(xù)改進(jìn)（Plan-Do-Check-Act）；需要考慮全面防護(hù)和縱深防護(hù)。

4） 易用性：信息安全架構(gòu)的最大價(jià)值在于被理解和廣泛應(yīng)用于組織的實(shí)踐當(dāng)中。因此，信息安全架構(gòu)必須易于理解并且實(shí)際可操作性要強(qiáng)，應(yīng)避免太過復(fù)雜和晦澀。

2.2 信息安全架構(gòu)實(shí)現(xiàn)

2.2.1 信息安全架構(gòu)-域試圖

基于上面的基本原則，本信息安全架構(gòu)由三個(gè)域組成（如圖1所示）：治理（Governance）、保障（Assurance）和服務(wù)（Services）。

治理（Governance）： 信息安全治理域強(qiáng)調(diào)戰(zhàn)略一致性，風(fēng)險(xiǎn)管理，資源管理和有效性測(cè)量。治理域又包括三個(gè)子域：愿景與戰(zhàn)略、風(fēng)險(xiǎn)與遵從性管理和測(cè)量。各子域主要功能如下所述。

* 愿景與戰(zhàn)略： 將遵從性要求，信息安全的發(fā)展趨勢(shì)，行業(yè)發(fā)展趨勢(shì)和業(yè)務(wù)戰(zhàn)略轉(zhuǎn)化為信息安全愿景、戰(zhàn)略和路線圖。

* 風(fēng)險(xiǎn)與遵從性管理： 管理信息安全風(fēng)險(xiǎn)使信息安全風(fēng)險(xiǎn)控制在組織可接受的范圍內(nèi)。

* 測(cè)量： 監(jiān)控和測(cè)量整體信息安全的有效性并持續(xù)提升信息安全對(duì)組織的價(jià)值。

保障： 保障域側(cè)重于信息安全的全面與縱深防護(hù)措施。保障域包含預(yù)防、監(jiān)測(cè)、響應(yīng)和恢復(fù)四個(gè)部分。各部分主要功能如下所述。同時(shí)保護(hù)的對(duì)象為不同層面的信息資產(chǎn)：數(shù)據(jù)層、應(yīng)用層、IT基礎(chǔ)設(shè)施層和物理層。

* 預(yù)防： 實(shí)施信息安全控制措施包括管理措施和技術(shù)措施，防止信息安全威脅損害組織的信息安全控態(tài)。

* 監(jiān)測(cè)： 部署信息安全監(jiān)測(cè)能力監(jiān)控正在發(fā)生或已經(jīng)發(fā)生的信息安全事態(tài)。

* 響應(yīng)：部署信息安全響應(yīng)體系迅速、高效的抑制信息安全事件。

* 恢復(fù)： 建立組織的可持續(xù)性能力，但重要信息系統(tǒng)不可用時(shí)，可以在計(jì)劃的時(shí)間內(nèi)恢復(fù)。

服務(wù)： 服務(wù)域顯示了面向客戶（內(nèi)部和外部），協(xié)作與知識(shí)更新對(duì)信息安全實(shí)踐非常重要。服務(wù)域包含三個(gè)部分：信息安全服務(wù)、知識(shí)管理、意識(shí)與文化。各部分主要功能如下所述。

* 信息安全服務(wù)： 信息安全團(tuán)隊(duì)?wèi)?yīng)對(duì)待組織內(nèi)部其他部門和對(duì)外部客戶一樣，基于服務(wù)基本協(xié)議，提供高質(zhì)量的信息安全服務(wù)。

* 知識(shí)管理： 知識(shí)是信息安全實(shí)踐和服務(wù)的基石。信息安全知識(shí)管理包括獲取、維護(hù)和利用知識(shí)去獲取最大的信息安全專業(yè)價(jià)值。信息安全知識(shí)應(yīng)不僅在信息安全團(tuán)隊(duì)內(nèi)部而且在整個(gè)組織被共享。

* 意識(shí)與文化： 信息安全意識(shí)與文化在組織內(nèi)部建立一個(gè)整體的信息安全氛圍。一個(gè)好的信息安全意識(shí)與文化意味著每個(gè)人都每個(gè)人都了解信息安全，關(guān)心信息安全、在日常工作中關(guān)注信息安全。信息安全意識(shí)與文化對(duì)提升組織整體信息安全成熟度和降低信息安全風(fēng)險(xiǎn)至關(guān)重要。

2.2.2 信息安全架構(gòu)-組件試圖

為支撐信息安全架構(gòu)的三個(gè)域，本信息安全架構(gòu)組件融合了不同標(biāo)準(zhǔn)和最佳實(shí)踐的精華部分，并自成一體，如圖2所示。本架構(gòu)參考的標(biāo)準(zhǔn)主要有如下一些：ISO27001：2005、PCIDSSv2.0、COBIT4.1、COBIT5.0、ITILv3 以及NIST SP-800系列等。

3 信息安全架構(gòu)在企業(yè)內(nèi)實(shí)際應(yīng)用效果分析

本信息安全架構(gòu)已被推廣和應(yīng)用到各個(gè)行業(yè)中，如保險(xiǎn)業(yè)、銀行業(yè)、教育和非盈利性機(jī)構(gòu)等。本文選取一個(gè)保險(xiǎn)企業(yè)的案例來說明本信息安全架構(gòu)給企業(yè)帶來的積極變化。

背景：此保險(xiǎn)公司有3000名員工，計(jì)劃在加拿大多倫多（Toronto）上市，因此需要符合加拿大和行業(yè)的一些法律法規(guī)的要求，如Bill198、PIPEDA、PCIDSS等。同時(shí)公司高層決定借鑒信息安全管理的最佳實(shí)踐標(biāo)準(zhǔn)，如ISO27002、NIST SP800、COBIT、ITIL、 FFIEC和 TOGAF等。因本信息安全架構(gòu)的特點(diǎn)就是融合各法規(guī)、標(biāo)準(zhǔn)和最佳實(shí)踐的要求，因此不需要做任何大的改動(dòng)的情況下（降低成本）就能應(yīng)用到此保險(xiǎn)公司中。

經(jīng)過9個(gè)月的實(shí)際運(yùn)行，公司進(jìn)行了各項(xiàng)測(cè)量指標(biāo)重新評(píng)估并與實(shí)施本信息安全架構(gòu)前的指標(biāo)進(jìn)行了對(duì)比分析。

3.1 平衡計(jì)分卡（Balanced Scorecard）[10]測(cè)評(píng)分析

平衡計(jì)分卡是衡量信息安全對(duì)企業(yè)貢獻(xiàn)價(jià)值的一種分析工具。平衡計(jì)分卡包括四個(gè)測(cè)量項(xiàng)目：對(duì)企業(yè)的貢獻(xiàn)，對(duì)愿景的規(guī)劃，內(nèi)部流程的成熟度和面向客戶。該保險(xiǎn)公司在實(shí)施本信息安全架構(gòu)前后分別進(jìn)行了兩次測(cè)評(píng)。測(cè)評(píng)方法是由公司高級(jí)管理人員和各部門經(jīng)理對(duì)信息安全部門進(jìn)行評(píng)估，0級(jí)表示無成績(jī)，5級(jí)表示完美，然后取平均值。2011年7月評(píng)估結(jié)果顯示“企業(yè)貢獻(xiàn)”為2.2，“愿景規(guī)劃”為2.5，“內(nèi)部流程”為2.8，“面向客戶”為2.1；2012年7月評(píng)估結(jié)果顯示“企業(yè)貢獻(xiàn)”為4.1，“愿景規(guī)劃”為3.9，“內(nèi)部流程”為3.8，“面向客戶”為4.1。如圖3所示。測(cè)評(píng)結(jié)果表明實(shí)施本信息安全架構(gòu)后企業(yè)高層及各部門對(duì)信息安全給企業(yè)帶來的價(jià)值的認(rèn)可度有較為明顯提升。

3.2 總體信息安全成熟度級(jí)別分析

本文采取的信息安全總體成熟度的評(píng)價(jià)是基于ISO27002的控制域和CMMI[11]的評(píng)估級(jí)別。0級(jí)是最低級(jí)，5級(jí)是最高級(jí)。該保險(xiǎn)公司在實(shí)施本信息安全架構(gòu)前后分別進(jìn)行了兩次自評(píng)估。2011年10月實(shí)施本信息安全架構(gòu)前成熟度水平是介于2.0-3.0之間， 2012年10月實(shí)施本信息安全架構(gòu)后成熟度水平是介于3.0-4.5之間，如圖4所示。成熟度級(jí)別分析結(jié)果表明實(shí)施本信息安全架構(gòu)后整體成熟度有較為明顯提升。

3.3 獨(dú)立審核發(fā)現(xiàn)點(diǎn)數(shù)量分析

第三方機(jī)構(gòu)獨(dú)立審核是從專業(yè)、客觀的角度來衡量整體信息安全控制措施，包括管理、技術(shù)和流程。審核發(fā)現(xiàn)點(diǎn)的數(shù)量越多，表明脆弱點(diǎn)越多，存在的風(fēng)險(xiǎn)越大。該保險(xiǎn)公司在實(shí)施本信息安全架構(gòu)前后分別邀請(qǐng)用一個(gè)第三方審核機(jī)構(gòu)對(duì)其進(jìn)行了全面審核與評(píng)估（依據(jù)上市公司的管控要求）。2011年9月審核結(jié)果顯示有4個(gè)高風(fēng)險(xiǎn)項(xiàng)，8個(gè)中風(fēng)險(xiǎn)項(xiàng)和13個(gè)第風(fēng)險(xiǎn)項(xiàng)；2012年9月審核結(jié)果顯示無高風(fēng)險(xiǎn)項(xiàng)，且只有2個(gè)中風(fēng)險(xiǎn)項(xiàng)和4個(gè)第風(fēng)險(xiǎn)項(xiàng)。如圖5所示。審核結(jié)果表明實(shí)施本信息安全架構(gòu)后整體風(fēng)險(xiǎn)水平有較為明顯降低。

3.4 信息安全事件發(fā)生數(shù)量分析

信息安全事件（特別是1級(jí)與2級(jí)事件）發(fā)生的數(shù)量標(biāo)志著信息安全控制措施的全面性和有效性。信息安全事件數(shù)量越少，表明整體控制措施越有效。該保險(xiǎn)公司統(tǒng)計(jì)了實(shí)施本信息安全架構(gòu)前后發(fā)生的信息安全事件數(shù)量。2011年1月-10月期間有4個(gè)一級(jí)安全事件（重大），12個(gè)二級(jí)安全事件（嚴(yán)重），25個(gè)三級(jí)安全事件和40個(gè)四級(jí)安全事件；2012年1月-10月期間有1個(gè)一級(jí)安全事件（重大），2個(gè)二級(jí)安全事件（嚴(yán)重），10個(gè)三級(jí)安全事件和16個(gè)四級(jí)安全事件。如圖6所示。信息安全事件數(shù)量分析結(jié)果表明實(shí)施本信息安全架構(gòu)后安全控制措施的全面性和有效性有較為明顯增強(qiáng)。

3.5 魚叉式網(wǎng)絡(luò)釣魚模擬攻擊測(cè)試結(jié)果分析

模擬釣魚攻擊測(cè)試是對(duì)企業(yè)員工整體信息安全意識(shí)水平一種比較客觀的考核方式。收到攻擊（點(diǎn)擊鏈接）的人數(shù)越少，表明整體信息安全水平越高。該保險(xiǎn)公司采用ThreatSim的模擬攻擊測(cè)試平臺(tái)，在實(shí)施本信息安全架構(gòu)前后分別選取了5個(gè)分支機(jī)構(gòu)（共200人）進(jìn)行了模擬攻擊測(cè)試。測(cè)試的主要方法是注冊(cè)一個(gè)與該保險(xiǎn)公司類似的網(wǎng)絡(luò)域名，然后偽造一份看似從信息安全管理員發(fā)出的E-mail，此E-mail的大致內(nèi)容是說該保險(xiǎn)公司于近期對(duì)相關(guān)系統(tǒng)進(jìn)行了升級(jí)，將會(huì)影響到原有的帳戶和密碼，要求終端用戶盡快修改密碼。此E-mail包含一個(gè)鏈接到修改密碼的偽網(wǎng)頁。

2011年5月測(cè)試結(jié)果顯示有47%的員工點(diǎn)擊了有害鏈接，點(diǎn)擊有害鏈接的員工中有18%的人輸入了密碼，點(diǎn)擊有害鏈接的員工中有68%的人完成了在線培訓(xùn)內(nèi)容；2012年5月測(cè)試結(jié)果顯示有14%的員工點(diǎn)擊了有害鏈接，點(diǎn)擊有害鏈接的員工中有3%的人輸入了密碼，點(diǎn)擊有害鏈接的員工中有98%的人完成了在線培訓(xùn)內(nèi)容。如圖7所示。模擬攻擊測(cè)試分析結(jié)果表明實(shí)施本信息安全架構(gòu)后該保險(xiǎn)公司員工整體信息安全意識(shí)水平有較為明顯進(jìn)步。

3.6 信息安全服務(wù)客戶滿意度調(diào)查結(jié)果分析

客戶滿意度調(diào)查是從被服務(wù)客戶的角度來衡量信息安全團(tuán)隊(duì)的服務(wù)能力，以及給公司帶來的實(shí)際價(jià)值。滿意度百分比值越高，表明信息安全團(tuán)隊(duì)的能力和服務(wù)價(jià)值越被認(rèn)可。該保險(xiǎn)公司在實(shí)施本信息安全架構(gòu)前后分別對(duì)精算部、個(gè)人保險(xiǎn)部、商業(yè)保險(xiǎn)部、索償部、渠道與銷售部做了信息安全服務(wù)滿意度調(diào)查。

2011年8月調(diào)查結(jié)果顯示對(duì)服務(wù)專業(yè)質(zhì)量的滿意度為72%，對(duì)服務(wù)請(qǐng)求響應(yīng)速度的滿意度為46%，對(duì)服務(wù)態(tài)度的滿意度為67%，整體滿意度為60%；2012年8月調(diào)查結(jié)果顯示對(duì)服務(wù)專業(yè)質(zhì)量的滿意度為95%，對(duì)服務(wù)請(qǐng)求響應(yīng)速度的滿意度為85%，對(duì)服務(wù)態(tài)度的滿意度為92%，整體滿意度為88%；如圖7所示?？蛻魸M意度分析結(jié)果表明實(shí)施本信息安全架構(gòu)后企業(yè)各部門對(duì)信息安全服務(wù)價(jià)值的認(rèn)可度有較為明顯提升。

4 結(jié)束語

現(xiàn)階段信息安全管理著重在信息安全的風(fēng)險(xiǎn)控制，隨著信息安全管理角色的轉(zhuǎn)變，信息安全需要跟多的與組織戰(zhàn)略結(jié)合，為組織創(chuàng)造更多的價(jià)值，并通過提供信息安全服務(wù)使組織內(nèi)部各部門享受到信息安全給組織帶來的價(jià)值并認(rèn)可這些價(jià)值。當(dāng)前被廣泛采用的一些標(biāo)準(zhǔn)和最佳實(shí)踐有其優(yōu)點(diǎn)，但同時(shí)無法滿足一些新的挑戰(zhàn)。目前缺乏一種高效可執(zhí)行的信息安全架構(gòu)來將企業(yè)戰(zhàn)略轉(zhuǎn)化為信息安全計(jì)劃、基于客戶服務(wù)理念使信息安全服務(wù)價(jià)值最大化以及全面系統(tǒng)化管理信息安全。本文針對(duì)上述問題提出的一種面向企業(yè)戰(zhàn)略和服務(wù)的信息安全架構(gòu)。通過將本信息安全架構(gòu)應(yīng)用到實(shí)際的企業(yè)中，驗(yàn)證了本信息安全架構(gòu)能夠?yàn)槠髽I(yè)提供更多的價(jià)值、增強(qiáng)客戶滿意度、提升整體安全成熟度和員工信息安全意識(shí)水平。

參考文獻(xiàn)

[1] International Organization for Standardization， International Electrotechnical Commission. ISO/IEC 27001：2005 Information Technology - Security Techniques - Information Security Management Systems - Requirements. Switzerland： ISO copyright office， 2005.

[2] IT Governance Institute. Control Objectives for Information and related Technology 4.1，USA： IT Governance Institute， 2007.

[3] National Institute of Standards and Technology， U.S. Department of Commerce. NIST Special Publication 800 series.

[4] PCI Security Standards Council LLC. PCI DSS Requirements and Security Assessment Procedures， Version 2.0. 2010.

[5] National Security Agency Information Assurance.

[6] Solutions Technical Directors. Information Assurance Technical Framework （IATF） version3.0. 2010.

[7] IT Governance Institute. Control Objectives for Information and related Technology 5.0，USA： IT Governance Institute， 2012.

[8] Sharon Taylor， Majid Iqbal， Michael Nieves， 等. Information Technology Infrastructure Library ， England： Office of Government Commerce， ITIL Press Office， 2007.

[9] Federal Financial Institutions Examination Council. IT Examination Handbook， information security Booklet. USA： FFIEC， 2006

[10] The Open Group's Architecture Forum. The Open Group Architecture Framework version 9.1， 2012.

[11] Howard Rohm. Using the Balanced Scorecard to Align Your Organization. Balanced Scorecard Institute， a Strategy Management Group company， 2008.

[12] Software Engineering Institute， Carnegie Mellon University. Capability Maturity Model Integration （CMMI） Version 1.3. USA： Carnegie Mellon University， 2010.

[13] STRATUM SECURITY. Proactive Phishing Defense. 2012.

作者簡(jiǎn)介：

企業(yè)信息安全應(yīng)急預(yù)案范文第2篇

一、加強(qiáng)企業(yè)信息網(wǎng)絡(luò)安全優(yōu)化的重要性

1.1提升現(xiàn)代企業(yè)的管理質(zhì)量

在現(xiàn)代企業(yè)的發(fā)展過程中，信息安全具有不可或缺的重要作用。因此，加強(qiáng)現(xiàn)代企業(yè)信息網(wǎng)絡(luò)安全優(yōu)化管理，可保障企業(yè)信息的安全性和真實(shí)性，同時(shí)也可保障現(xiàn)代企業(yè)信息系統(tǒng)的可用性和機(jī)密性。企業(yè)信息網(wǎng)絡(luò)的安全性得以保障，可為信息系統(tǒng)工作質(zhì)量提供重要的參考數(shù)據(jù)。此外，信息網(wǎng)絡(luò)管理人員要對(duì)信息網(wǎng)絡(luò)優(yōu)化和管理中體現(xiàn)出的實(shí)際問題進(jìn)行總結(jié)，并針對(duì)信息系統(tǒng)管理中反饋出的實(shí)際問題，在企業(yè)內(nèi)部制定針對(duì)性的應(yīng)對(duì)方案和措施。最終，接提升現(xiàn)代企業(yè)的管理質(zhì)量，提升整體管理水平。

1.2為現(xiàn)代企業(yè)獲得更大的經(jīng)濟(jì)利益

任何一個(gè)企業(yè)發(fā)展的最終目的均為獲得經(jīng)濟(jì)利益，利潤(rùn)是企業(yè)發(fā)展的主要?jiǎng)恿?。作為現(xiàn)代企業(yè)而言，保障企業(yè)的信息安全，并保障信息系統(tǒng)的正常運(yùn)行，方可在有效安全技術(shù)的支持，為企業(yè)后期發(fā)展創(chuàng)造更大的利潤(rùn)空間。通過對(duì)企業(yè)近年來的發(fā)展情況進(jìn)行分析和總結(jié)，利用數(shù)據(jù)和統(tǒng)計(jì)分析的方法，為企業(yè)的發(fā)展制定全面的發(fā)展方案[1]。同時(shí)，在進(jìn)行數(shù)據(jù)分析和總結(jié)的過程中，可及時(shí)發(fā)現(xiàn)企業(yè)發(fā)展中存在的問題，并針對(duì)具體存在的問題，提出針對(duì)性的解決對(duì)策，保障現(xiàn)代企業(yè)獲得更大的經(jīng)濟(jì)利益，獲得更大的利潤(rùn)空間。

二、現(xiàn)代企業(yè)信息網(wǎng)絡(luò)中存在的安全問題

2.1企業(yè)信息網(wǎng)絡(luò)安全管理制度不健全

縱觀目前我國(guó)現(xiàn)代企業(yè)的信息網(wǎng)絡(luò)安全管理現(xiàn)狀，仍存在較多的安全問題，其中，最為顯著的安全問題就是企業(yè)內(nèi)部尚未建立健全的網(wǎng)絡(luò)安全管理制度。管理制度的不健全勢(shì)必造成企業(yè)信息網(wǎng)絡(luò)安全出現(xiàn)問題，例如，企業(yè)的網(wǎng)絡(luò)管理工作中頻繁出現(xiàn)違規(guī)操作的現(xiàn)象，造成信息網(wǎng)絡(luò)的正常運(yùn)行受到影響。

2.2企業(yè)信息網(wǎng)絡(luò)安全管理人員的綜合素質(zhì)相對(duì)較低

從現(xiàn)代企業(yè)的網(wǎng)絡(luò)安全人員配置上看，大部分現(xiàn)代企業(yè)在發(fā)展過程中仍存在技術(shù)人員缺乏的現(xiàn)象。企業(yè)在缺乏專業(yè)的技術(shù)人員和管理人員，導(dǎo)致企業(yè)在發(fā)展的過程中難以及時(shí)發(fā)現(xiàn)信息網(wǎng)絡(luò)中存在的問題和漏洞。在網(wǎng)絡(luò)信息技術(shù)不斷發(fā)展的當(dāng)今社會(huì)，企業(yè)信息網(wǎng)絡(luò)安全面臨著新的發(fā)展機(jī)遇[2]。當(dāng)一些先進(jìn)的技術(shù)、管理方式和操作方式引入到企業(yè)中，而企業(yè)內(nèi)缺乏相關(guān)的專業(yè)人才，將造成企業(yè)信息系統(tǒng)的安全性和操作規(guī)范化受到影響。因此，現(xiàn)代企業(yè)的發(fā)展過程中，需要解決信息網(wǎng)絡(luò)安全管理人員專業(yè)技能差、綜合素質(zhì)相對(duì)較低的問題，保障網(wǎng)絡(luò)管理人員可及時(shí)解決信息系統(tǒng)在安全維護(hù)方面的問題，方可促進(jìn)現(xiàn)代企業(yè)的全面發(fā)展。但就目前我國(guó)大部分企業(yè)的信息網(wǎng)絡(luò)安全管理人員配置情況上看，解決此問題仍需要經(jīng)歷較長(zhǎng)的一段時(shí)間，也需要企業(yè)付出更多的精力和財(cái)力。

2.3尚未制定完善的網(wǎng)絡(luò)安全事故應(yīng)急處理預(yù)案

在現(xiàn)代企業(yè)的發(fā)展過程中，加強(qiáng)對(duì)企業(yè)信息和信息系統(tǒng)安全運(yùn)行的管理至關(guān)重要。企業(yè)出現(xiàn)網(wǎng)絡(luò)信息安全是不可避免的，但企業(yè)可通過分析總結(jié)出現(xiàn)信息網(wǎng)絡(luò)安全問題的原因，制定針對(duì)性的解決對(duì)策，預(yù)防信息網(wǎng)絡(luò)安全事故的發(fā)生。但縱觀現(xiàn)階段我國(guó)大多數(shù)企業(yè)的發(fā)展現(xiàn)狀，大多數(shù)企業(yè)僅僅意識(shí)到了加強(qiáng)網(wǎng)絡(luò)信息安全管理的重要性，但并未在實(shí)際行動(dòng)上體現(xiàn)出來。通過對(duì)現(xiàn)代企業(yè)的調(diào)查，發(fā)現(xiàn)大部分企業(yè)尚未制定完善的網(wǎng)絡(luò)安全事故應(yīng)急處理預(yù)案，當(dāng)信息網(wǎng)絡(luò)安全事故發(fā)生后，企業(yè)在面對(duì)安全問題上顯得手足失措，難以有效應(yīng)對(duì)。而這樣的問題，對(duì)于信息網(wǎng)絡(luò)的安全維護(hù)和安全管理而言，將造成較大的負(fù)面影響，不利于現(xiàn)代企業(yè)的長(zhǎng)足發(fā)展。

三、實(shí)現(xiàn)現(xiàn)代企業(yè)信息網(wǎng)絡(luò)安全優(yōu)化的策略

3.1加強(qiáng)現(xiàn)代企業(yè)信息網(wǎng)絡(luò)系統(tǒng)的規(guī)范化管理

在現(xiàn)代企業(yè)信息網(wǎng)絡(luò)安全管理中，要實(shí)現(xiàn)企業(yè)信息網(wǎng)絡(luò)的規(guī)范化和系統(tǒng)化，首先需要在企業(yè)內(nèi)部制定嚴(yán)格的責(zé)任管理制度，加強(qiáng)安全管理。在網(wǎng)絡(luò)管理中，通過建構(gòu)多層防御和等級(jí)保護(hù)體系，加強(qiáng)對(duì)信息網(wǎng)絡(luò)安全的控制和規(guī)范化管理。與此同時(shí)，企業(yè)要在現(xiàn)代化的發(fā)展過程中，要保障自身信息網(wǎng)絡(luò)系統(tǒng)的安全性，要加強(qiáng)對(duì)網(wǎng)絡(luò)性能的檢測(cè)力度，并將外網(wǎng)和內(nèi)網(wǎng)進(jìn)行有效隔離[3]，為信息網(wǎng)絡(luò)系統(tǒng)提供安全管理，并在企業(yè)的各部門實(shí)現(xiàn)信息系統(tǒng)安全管理。

3.2提升現(xiàn)代企業(yè)信息網(wǎng)絡(luò)管理人員的綜合素質(zhì)

在現(xiàn)代企業(yè)的發(fā)展過程中，信息網(wǎng)絡(luò)安全優(yōu)化和管理是一項(xiàng)相對(duì)較為復(fù)雜且系統(tǒng)的工作。因此，在信息網(wǎng)絡(luò)安全優(yōu)化中，網(wǎng)絡(luò)管理人員的專業(yè)能力和綜合素質(zhì)對(duì)安全優(yōu)化管理的工作質(zhì)量均可產(chǎn)生決定性作用。這則要求企業(yè)要對(duì)信息網(wǎng)絡(luò)管理人員進(jìn)行定期培訓(xùn)，通過在企業(yè)內(nèi)部開展培訓(xùn)項(xiàng)目可使管理人員的管理能力提升，同時(shí)也可培養(yǎng)網(wǎng)絡(luò)安全管理人員嚴(yán)謹(jǐn)?shù)墓ぷ鲬B(tài)度，讓其意識(shí)到信息網(wǎng)絡(luò)安全優(yōu)化工作的重要性和必要性。與此同時(shí)，現(xiàn)代企業(yè)還可組織相關(guān)技術(shù)人員和專家，對(duì)企業(yè)信息網(wǎng)絡(luò)安全優(yōu)化的相關(guān)措施進(jìn)行專題分析。通過系列的專題分析，可了解企業(yè)信息網(wǎng)絡(luò)運(yùn)行的實(shí)際情況，從而激發(fā)現(xiàn)代企業(yè)網(wǎng)絡(luò)管理人員的工作熱情和工作積極性。最終，可提升網(wǎng)絡(luò)管理人員的綜合能力，提升現(xiàn)代企業(yè)信息網(wǎng)絡(luò)安全管理質(zhì)量，提升整體管理水平。

3.3制定企業(yè)信息網(wǎng)絡(luò)安全事故的應(yīng)急方案

現(xiàn)代企業(yè)在發(fā)展的過程中，難免會(huì)遇到各種各樣的信息網(wǎng)絡(luò)安全問題。鑒于此種情況，不僅要提升網(wǎng)絡(luò)管理人員的綜合素質(zhì)，加強(qiáng)對(duì)信息網(wǎng)絡(luò)的規(guī)范化管理。還需要針對(duì)企業(yè)自身的信息網(wǎng)絡(luò)安全管理現(xiàn)狀，制定完善的現(xiàn)代企業(yè)信息網(wǎng)絡(luò)安全事故應(yīng)急預(yù)案。在制定應(yīng)急預(yù)案的過程中，企業(yè)要將目標(biāo)性、針對(duì)性、合理性以及全面化、規(guī)范化等特征融入其中。同時(shí)，在信息網(wǎng)絡(luò)的運(yùn)行過程中，要針對(duì)具體的運(yùn)行情況，適當(dāng)增加安全事故模擬演習(xí)和模擬訓(xùn)練等，提升信息網(wǎng)絡(luò)管理人員的警惕性，保持認(rèn)真的工作態(tài)度。只有在日常工作中，加強(qiáng)管理和訓(xùn)練，方可在事故發(fā)生時(shí)從容應(yīng)對(duì)，最大限度降低信息網(wǎng)絡(luò)安全事故對(duì)現(xiàn)代企業(yè)信息安全和自身發(fā)展造成的負(fù)面影響。

企業(yè)信息安全應(yīng)急預(yù)案范文第3篇

（一）技術(shù)手段實(shí)現(xiàn)

即利用一系列較為先進(jìn)的管理硬件和軟件，提升信息安全防護(hù)水平目前一般電力企業(yè)采用的技術(shù)手段有：

1）防病毒技術(shù)。信息管理人員通過在防病毒服務(wù)器安裝殺毒軟件服務(wù)器端程序，在用戶終端安裝客戶端殺毒軟件，實(shí)現(xiàn)以防病毒服務(wù)器為核心，對(duì)客戶端殺毒軟件的統(tǒng)一管理，部署安全策略等。實(shí)現(xiàn)病毒庫的定時(shí)更新和定時(shí)對(duì)全網(wǎng)內(nèi)計(jì)算機(jī)設(shè)備進(jìn)行掃描和查殺，達(dá)到全系統(tǒng)、全網(wǎng)絡(luò)防毒的目的。

2）防火墻技術(shù)。防火墻是企業(yè)局域網(wǎng)到外網(wǎng)互聯(lián)的唯一出口，通過網(wǎng)絡(luò)防火墻，可以全面監(jiān)視外網(wǎng)對(duì)內(nèi)部網(wǎng)絡(luò)的訪問活動(dòng)，并進(jìn)行詳細(xì)的記錄，確保內(nèi)網(wǎng)核心數(shù)據(jù)的安全性。通過對(duì)訪問策略控制，關(guān)閉與工作無關(guān)的端口，拒絕一切未經(jīng)許可的服務(wù)。所有的訪問都將通過防火墻進(jìn)行，不允許任何繞過防火墻的連接。

3）入侵檢測(cè)技術(shù)。入侵檢測(cè)是防火墻的合理補(bǔ)充，幫助系統(tǒng)對(duì)付網(wǎng)絡(luò)攻擊，擴(kuò)展了系統(tǒng)管理員的安全管理能力（包括安全審計(jì)、監(jiān)視、進(jìn)攻識(shí)別和響應(yīng)），提高了信息安全基礎(chǔ)結(jié)構(gòu)的完整性。它從計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)中的若干關(guān)鍵點(diǎn)收集信息，并分析這些信息，看看網(wǎng)絡(luò)中是否有違反安全策略的行為和遭到襲擊的跡象。入侵檢測(cè)被認(rèn)為是防火墻之后的第二道安全閘門，在不影響網(wǎng)絡(luò)性能的情況下能對(duì)網(wǎng)絡(luò)進(jìn)行監(jiān)測(cè)，從而提供對(duì)內(nèi)部攻擊、外部攻擊和誤操作的實(shí)時(shí)保護(hù)。

4）桌面管理系統(tǒng)。桌面管理系統(tǒng)方便信息安全管理員管理企業(yè)內(nèi)部計(jì)算機(jī)的信息安全軟件。利用桌面管理系統(tǒng)，可以收集計(jì)算機(jī)臺(tái)賬信息與IP占用情況、分發(fā)漏洞補(bǔ)丁、實(shí)現(xiàn)對(duì)移動(dòng)存儲(chǔ)管理，自動(dòng)阻斷非法外聯(lián)、對(duì)弱口令賬戶進(jìn)行掃描、對(duì)客戶端進(jìn)行控制，強(qiáng)制性阻斷其聯(lián)網(wǎng)功能或進(jìn)行遠(yuǎn)程維護(hù)等功能。

5）虛擬局域網(wǎng)（VLAN）技術(shù)?；贏TM和以太網(wǎng)交換技術(shù)發(fā)展起來的VLAN技術(shù)，把傳統(tǒng)的基于廣播的局域網(wǎng)技術(shù)發(fā)展為面向連接的技術(shù)，從而賦予了網(wǎng)管系統(tǒng)限制虛擬網(wǎng)外的網(wǎng)絡(luò)節(jié)點(diǎn)與網(wǎng)內(nèi)的通信，防止了基于網(wǎng)絡(luò)的監(jiān)聽入侵。

（二）管理手段實(shí)現(xiàn)

做好網(wǎng)絡(luò)信息安全工作，除了采用上述的技術(shù)手段外，還必須建立安全管理機(jī)制。良好的管理有助于增強(qiáng)網(wǎng)絡(luò)信息的安全性，只有切實(shí)提高網(wǎng)絡(luò)意識(shí)，建立完善的管理制度，才能保證網(wǎng)絡(luò)信息的整體安全性。

1）通過全員培訓(xùn)，提升員工信息安全水平。信息管理人員除了要制止員工的不安全操作，也應(yīng)該告知員工要如何做。讓員工明白使用弱口令、不安全賬戶、隨意共享等對(duì)企業(yè)信息安全的危害，教育員工正確使用終端設(shè)備、重要備份數(shù)據(jù)、利用壓縮軟件加密等操作，從源頭入手，堵塞信息安全漏洞。

2）通過應(yīng)急演練，提升面對(duì)信息安全事故的反應(yīng)能力。突發(fā)事件應(yīng)急演練是為了提高應(yīng)對(duì)突發(fā)事件的綜合水平和應(yīng)急處置能力，以防范信息系統(tǒng)風(fēng)險(xiǎn)為目的，建立統(tǒng)一指揮、協(xié)調(diào)有序的應(yīng)急管理機(jī)制和相關(guān)協(xié)調(diào)機(jī)制，以落實(shí)和完善應(yīng)急預(yù)案為基礎(chǔ)，全面加強(qiáng)信息系統(tǒng)應(yīng)急管理工作，并制定有效的問責(zé)制度。堅(jiān)持以預(yù)防為主，建立和完善信息系統(tǒng)突發(fā)事件風(fēng)險(xiǎn)防范體系，對(duì)可能導(dǎo)致突發(fā)事件的風(fēng)險(xiǎn)進(jìn)行有效地識(shí)別、分析和控制，減少重大突發(fā)事件發(fā)生的可能性，加強(qiáng)應(yīng)急處置隊(duì)伍建設(shè)，提供充分的資源保障，確保突發(fā)事件發(fā)生時(shí)反應(yīng)快速、報(bào)告及時(shí)、措施得力操作準(zhǔn)確，降低事件可能造成的損失。

3）通過管理制度，提升信息安全管理水平。信息安全需要制度化、規(guī)范化。把信息安全管理真正納入公司安全生產(chǎn)管理體系，并能夠得到有效運(yùn)作，就必須使這項(xiàng)工作制度化、規(guī)范化。要制定出相應(yīng)的管理制度。如建立用戶權(quán)限管理制度、口令保密制度、網(wǎng)絡(luò)與信息安全管理制度、上網(wǎng)行為規(guī)范制度等一系列的安全管理制度和規(guī)定，并強(qiáng)化考核力度，確保嚴(yán)格執(zhí)行。

企業(yè)信息安全應(yīng)急預(yù)案范文第4篇

[關(guān)鍵詞] 網(wǎng)絡(luò)環(huán)境； 現(xiàn)代企業(yè)； 信息安全； 問題； 對(duì)策

[中圖分類號(hào)] F208 [文獻(xiàn)標(biāo)識(shí)碼] A [文章編號(hào)] 1673 - 0194（2013）04- 0084- 02

現(xiàn)代企業(yè)的信息安全是指在管理上和技術(shù)上對(duì)數(shù)據(jù)處理系統(tǒng)進(jìn)行安全的保護(hù)，使計(jì)算機(jī)的軟件、硬件、保密數(shù)據(jù)等不會(huì)遭到破壞、更改、泄露。通過對(duì)企業(yè)信息安全的管理，能夠保護(hù)企業(yè)信息的機(jī)密性和完整性，保護(hù)企業(yè)的生產(chǎn)運(yùn)營(yíng)安全，是企業(yè)發(fā)展的必不可少的環(huán)節(jié)。

1 網(wǎng)絡(luò)環(huán)境下現(xiàn)代企業(yè)信息安全存在的問題

1.1 人為因素造成的安全問題

現(xiàn)代企業(yè)之間的競(jìng)爭(zhēng)十分激烈，企業(yè)管理者把精神都集中在企業(yè)的生產(chǎn)和經(jīng)營(yíng)上，對(duì)計(jì)算機(jī)的管理不夠重視，加上網(wǎng)絡(luò)屬于新生事物的一種，人們會(huì)利用網(wǎng)絡(luò)進(jìn)行娛樂活動(dòng)，卻忽視了網(wǎng)絡(luò)的安全性，缺乏網(wǎng)絡(luò)安全意識(shí)，企業(yè)員工在工作時(shí)間利用網(wǎng)絡(luò)進(jìn)行娛樂活動(dòng)的行為十分普遍，由于自身的安全意識(shí)匱乏，不但浪費(fèi)了企業(yè)的網(wǎng)絡(luò)資源，也加大了病毒侵害的可能性，威脅了企業(yè)的信息安全。企業(yè)信息安全的管理需要管理部門重視起來，現(xiàn)實(shí)中，企業(yè)對(duì)信息安全的管理投入很少，安全防范做得不好，管理者對(duì)信息安全管理的認(rèn)識(shí)不足，下面的員工安全意識(shí)也淡薄，規(guī)章制度不完善，信息安全管理無據(jù)可依，管理者也沒有對(duì)信息安全進(jìn)行有效的監(jiān)督，沒有在第一時(shí)間發(fā)現(xiàn)網(wǎng)絡(luò)存在的問題，甚至在網(wǎng)絡(luò)不能正常運(yùn)行了才去解決問題，給公司發(fā)展帶來不利影響。

1.2 網(wǎng)絡(luò)技術(shù)自身存在的安全問題

隨著網(wǎng)絡(luò)技術(shù)的發(fā)展，各種軟件也不斷更新?lián)Q代，現(xiàn)在Windows 7正在大規(guī)模地進(jìn)軍國(guó)內(nèi)市場(chǎng)，微軟不斷推出新的產(chǎn)品，各種操作系統(tǒng)的漏洞也一直存在，為病毒的滋生提供了機(jī)會(huì)，很多網(wǎng)絡(luò)軟件存在后門，這些后門原本是編程人員為了軟件的擴(kuò)展和維護(hù)設(shè)置的，如果被不法分子發(fā)現(xiàn)，對(duì)公司的信息安全有很大的威脅。計(jì)算機(jī)犯罪中最典型的就是黑客的攻擊，黑客攻擊也分為主動(dòng)攻擊和被動(dòng)攻擊兩種，主動(dòng)攻擊直接為企業(yè)的信息完整性、機(jī)密性造成破壞，被動(dòng)攻擊雖然能夠保證公司電腦的正常運(yùn)行，但企業(yè)的重要信息可能會(huì)被截獲、竊取，都嚴(yán)重影響了企業(yè)信息安全。

1.3 設(shè)備環(huán)境造成的安全問題

從網(wǎng)絡(luò)環(huán)境來說，外部環(huán)境對(duì)企業(yè)信息安全也構(gòu)成威脅，企業(yè)的計(jì)算機(jī)房的位置不能是隨便設(shè)置的，需要有一定的安全技術(shù)要求。網(wǎng)絡(luò)的線纜等通信設(shè)施容易被人為破壞，或者受到自然環(huán)境如地震、雷雨、電磁場(chǎng)等環(huán)境的影響發(fā)生破壞，并且自然環(huán)境的影響是不可預(yù)測(cè)的，一旦出現(xiàn)問題，會(huì)給企業(yè)的信息造成直接的破壞，影響信息的完整性。計(jì)算機(jī)的硬盤、內(nèi)存的運(yùn)行狀況也應(yīng)該得到管理人員的注意，計(jì)算機(jī)設(shè)備的防盜等都是問題，企業(yè)員工在工作過程中往往會(huì)拷數(shù)據(jù)回家，或者加班后在用U盤等移動(dòng)設(shè)備把資料拷貝到公司電腦中，增加了企業(yè)計(jì)算機(jī)中毒的危險(xiǎn)。

2 解決企業(yè)信息安全問題的對(duì)策研究

2.1 重視信息安全管理，加強(qiáng)制度建設(shè)

首先，企業(yè)管理者應(yīng)該認(rèn)識(shí)到企業(yè)信息安全的重要性，認(rèn)識(shí)到網(wǎng)絡(luò)保護(hù)的重要性，提高信息安全意識(shí)，這樣才能加強(qiáng)制度建設(shè)，做好信息安全管理與監(jiān)督工作。計(jì)算機(jī)房是重要場(chǎng)所，它的設(shè)置也需要一定的隱蔽性，一般不要設(shè)置在公司一樓。企業(yè)應(yīng)該建立和完善信息安全管理制度，幫助員工樹立信息安全意識(shí)，明確信息安全保護(hù)的對(duì)象和目標(biāo)，保證各項(xiàng)管理制度的落實(shí)執(zhí)行，制訂明確科學(xué)的操作流程，規(guī)范員工的日常操作行為，制訂應(yīng)急預(yù)案和網(wǎng)絡(luò)維護(hù)制度，計(jì)算機(jī)管理人員應(yīng)該每天對(duì)計(jì)算機(jī)系統(tǒng)進(jìn)行檢查或者更新，及時(shí)發(fā)現(xiàn)網(wǎng)絡(luò)運(yùn)行中出現(xiàn)的問題，防止病毒的產(chǎn)生，在發(fā)生問題后把損失降到最低。

2.2 加強(qiáng)企業(yè)信息安全的網(wǎng)絡(luò)技術(shù)控制

依靠網(wǎng)絡(luò)技術(shù)來保護(hù)現(xiàn)代企業(yè)信息安全是十分有效的方式，網(wǎng)絡(luò)技術(shù)手段主要有防火墻、信息加密與認(rèn)證、病毒防控、數(shù)據(jù)備份等方式。防火墻是網(wǎng)絡(luò)技術(shù)中保護(hù)信息安全最重要的技術(shù)之一，它通過設(shè)置屏障阻止黑客的訪問，能夠有效防止病毒的侵入，企業(yè)應(yīng)該按照質(zhì)量可靠的防火墻，并時(shí)刻關(guān)注防火墻的問題與升級(jí)情況。直接對(duì)企業(yè)信息進(jìn)行加密也是有效的方法之一，企業(yè)可以設(shè)置專門的訪問密碼，僅供本公司員工使用，或者每個(gè)員工都有自己的上網(wǎng)編號(hào)，輸入之后才能訪問公司網(wǎng)絡(luò)，公司也可以根據(jù)瀏覽記錄查看哪些員工上網(wǎng)，能夠有效防止企業(yè)人員泄密行為，對(duì)重要文件采取多種加密措施。企業(yè)應(yīng)該注意對(duì)防病毒軟件的更新?lián)Q代，提高防毒、殺毒的效率，保證系統(tǒng)的安全。電腦一旦中毒，一些文件就可能丟失或者被更改，企業(yè)需要對(duì)重要文件進(jìn)行備份，這樣在發(fā)生中毒之后能夠?qū)p失降到最低。

2.3 加強(qiáng)法制建設(shè)，運(yùn)用法律武器保護(hù)企業(yè)信息安全

現(xiàn)代企業(yè)的信息安全應(yīng)該受到法律的保護(hù)，公司的機(jī)密文件關(guān)系到公司的生死存亡，關(guān)系到社會(huì)公平競(jìng)爭(zhēng)，關(guān)系到個(gè)人隱私，應(yīng)該受到法律的保護(hù)。國(guó)家應(yīng)該完善企業(yè)信息安全的法律法規(guī)，為企業(yè)保護(hù)自己的權(quán)益提供法律武器，企業(yè)也應(yīng)該具有法律意識(shí)，在公司的信息惡意遭到破壞和侵害時(shí)，不是采用同樣的方法對(duì)待競(jìng)爭(zhēng)企業(yè)，而是應(yīng)該拿起法律武器保護(hù)自己，用國(guó)家法律來抵制侵犯，保護(hù)自己企業(yè)的信息安全與完整。

3 結(jié) 語

網(wǎng)絡(luò)的發(fā)展是一把雙刃劍，在給社會(huì)進(jìn)步和發(fā)展帶來巨大益處的同時(shí)，也帶來了一些負(fù)面影響，企業(yè)應(yīng)該辯證對(duì)待網(wǎng)絡(luò)時(shí)代的發(fā)展，充分利用網(wǎng)絡(luò)環(huán)境帶來了優(yōu)勢(shì)，通過技術(shù)手段創(chuàng)新、管理加強(qiáng)、法律法規(guī)的完善等措施來保護(hù)企業(yè)信息安全，為企業(yè)的發(fā)展創(chuàng)造安全的環(huán)境。

主要參考文獻(xiàn)

[1] 薛偉蓮. 保證信息與網(wǎng)絡(luò)安全的網(wǎng)絡(luò)倫理規(guī)范體系的構(gòu)建[J]. 網(wǎng)絡(luò)與信息，2010（11）.

[2] 費(fèi)宏偉. 保證電算化時(shí)代會(huì)計(jì)信息安全的幾點(diǎn)思考[J]. 東西南北·教育觀察，2010（11）.

[3] 張紅，金永利，邱大成. 網(wǎng)絡(luò)環(huán)境下會(huì)計(jì)信息安全的技術(shù)控制措施[J]. 中國(guó)高新技術(shù)企業(yè)，2009（10）.

企業(yè)信息安全應(yīng)急預(yù)案范文第5篇

關(guān)鍵詞：供電企業(yè)；網(wǎng)絡(luò)信息；安全管理

作者簡(jiǎn)介：趙孔燕（1980-），女，山東淄博人，山東惠民供電公司調(diào)度所，工程師；索玉海（1961-），男，山東惠民人，山東惠民供電公司調(diào)度所主任，工程師。（山東惠民251700）

中圖分類號(hào)：F270.7     文獻(xiàn)標(biāo)識(shí)碼：A     文章編號(hào)：1007-0079（2012）12-0138-02

隨著電力系統(tǒng)信息化的全面推進(jìn)，信息化已經(jīng)成長(zhǎng)為增強(qiáng)供電企業(yè)核心競(jìng)爭(zhēng)力的重要驅(qū)動(dòng)力。目前，“SG186”信息化工程不斷完善，國(guó)家電網(wǎng)資源計(jì)劃系統(tǒng)（ERP）上線運(yùn)行，相繼接入企業(yè)信息網(wǎng)絡(luò)平臺(tái)的應(yīng)用系統(tǒng)越來越多，各應(yīng)用系統(tǒng)間的數(shù)據(jù)交換日益頻繁。因此確保供電企業(yè)內(nèi)部網(wǎng)絡(luò)信息系統(tǒng)的安全穩(wěn)定運(yùn)行，適應(yīng)當(dāng)前建設(shè)智能電網(wǎng)和“三集五大”體系建設(shè)新的工作要求，成為擺在我們面前的一個(gè)艱巨任務(wù)。為此，從九方面著手，來保障網(wǎng)絡(luò)信息系統(tǒng)的安全運(yùn)行。

一、完善機(jī)制，落實(shí)責(zé)任

企業(yè)的健康發(fā)展離不開嚴(yán)格的企業(yè)制度和明確的責(zé)任分工，信息安全保障工作的開展也不例外。為提高網(wǎng)絡(luò)信息系統(tǒng)整體安全防護(hù)能力，強(qiáng)化公司內(nèi)部信息安全，山東惠民供電公司成立了信息安全組織機(jī)構(gòu)，組織機(jī)構(gòu)分為領(lǐng)導(dǎo)小組和工作小組，其中領(lǐng)導(dǎo)小組的主要職責(zé)是：全面負(fù)責(zé)公司信息安全管理工作，領(lǐng)導(dǎo)實(shí)施各項(xiàng)信息安全各種規(guī)章制度，指導(dǎo)公司各種信息安全工作的開展，確保本單位不發(fā)生重大信息泄露事故。工作小組的主要職責(zé)是：負(fù)責(zé)信息安全基礎(chǔ)防護(hù)知識(shí)的宣貫、普及工作；負(fù)責(zé)做好公司信息安全防護(hù)體系建設(shè)準(zhǔn)備及實(shí)施工作，落實(shí)信息安全“八不準(zhǔn)”和“五禁止”，確保不發(fā)生任何信息安全事件；負(fù)責(zé)公司信息安全技術(shù)監(jiān)控及運(yùn)行、維護(hù)和管理工作，堅(jiān)決貫徹執(zhí)行各項(xiàng)信息安全規(guī)章制度和領(lǐng)導(dǎo)小組的各項(xiàng)指令。

二、統(tǒng)一部署、雙網(wǎng)雙機(jī)

按照國(guó)家電網(wǎng)公司要求和山東電力集團(tuán)公司及市公司統(tǒng)一部署安排，公司實(shí)行信息外網(wǎng)統(tǒng)一出口，實(shí)現(xiàn)了集團(tuán)公司層面的統(tǒng)一。信息內(nèi)外網(wǎng)實(shí)現(xiàn)物理分開，雙網(wǎng)雙機(jī)，網(wǎng)絡(luò)專用。嚴(yán)禁辦公終端計(jì)算機(jī)私自使用撥號(hào)、移動(dòng)無線連接等任何方式接入因特網(wǎng)。在信息外網(wǎng)出口安裝IPS入侵防御設(shè)備，可以實(shí)時(shí)主動(dòng)攔截各類黑客攻擊和惡意行為，保護(hù)信息網(wǎng)絡(luò)架構(gòu)免受侵害，阻斷非授權(quán)用戶的使用，降低了不安全因素。

信息內(nèi)網(wǎng)統(tǒng)一安裝桌面管理系統(tǒng)，能有效控制內(nèi)網(wǎng)計(jì)算機(jī)。計(jì)算機(jī)實(shí)名注冊(cè)并進(jìn)行IP地址和MAC地址綁定，計(jì)算機(jī)管理員可以實(shí)時(shí)查看內(nèi)網(wǎng)計(jì)算機(jī)的應(yīng)用情況，插件的安裝以及殺毒軟件的運(yùn)行等。啟用移動(dòng)存儲(chǔ)審計(jì)策略和違規(guī)外聯(lián)策略，嚴(yán)格控制內(nèi)網(wǎng)設(shè)備違規(guī)外聯(lián)，對(duì)公司的移動(dòng)存儲(chǔ)介質(zhì)進(jìn)行實(shí)名注冊(cè)，嚴(yán)格控制信息的流入流出。

三、分區(qū)分域、等級(jí)防護(hù)

對(duì)公司的信息系統(tǒng)分成生產(chǎn)控制大區(qū)和管理信息大區(qū)，并對(duì)所有的業(yè)務(wù)系統(tǒng)進(jìn)行等級(jí)劃分，實(shí)現(xiàn)不同安全域之間的獨(dú)立化和差異化的防護(hù)。其中生產(chǎn)控制大區(qū)又可以分為控制區(qū)和非控制區(qū)，調(diào)度數(shù)據(jù)網(wǎng)絡(luò)作為專用的數(shù)據(jù)網(wǎng)絡(luò)，劃分為安全區(qū)I，它使用不同的網(wǎng)段單獨(dú)組網(wǎng)，它與安全區(qū)II之間采用國(guó)家指定部門檢測(cè)認(rèn)定的電力專用正向單向隔離裝置。WEB服務(wù)與管理信息大區(qū)之間分別安裝硬件防火墻，并嚴(yán)格控制相互之間訪問。

四、注重口令設(shè)置和數(shù)據(jù)備份

口令設(shè)置是信息安全管理中重要的一環(huán)。要求所有的服務(wù)器和每一臺(tái)辦公計(jì)算機(jī)都要設(shè)置開機(jī)密碼，密碼長(zhǎng)度不小于8位，并且是字母和數(shù)字或特殊字符混合而成，密碼不得與用戶名相同并要求定期更換。另外要求每臺(tái)計(jì)算機(jī)都要設(shè)屏幕保護(hù)，屏保時(shí)間設(shè)在15分鐘左右，并開啟恢復(fù)時(shí)使用密碼功能；關(guān)閉遠(yuǎn)程桌面。這樣可以有效防止外來人員訪問他人電腦或內(nèi)部心懷不軌的人員通過遠(yuǎn)程訪問他人電腦。數(shù)據(jù)備份和恢復(fù)計(jì)算機(jī)管理員必須定期對(duì)重要的數(shù)據(jù)進(jìn)行備份，這是保護(hù)信息安全的重要手段，它可以有效防止病毒入侵、操作人員誤刪除和設(shè)備磁盤故障等帶來的數(shù)據(jù)丟失，備份要保存在當(dāng)?shù)卮疟P和異地磁盤兩份。個(gè)人辦公計(jì)算機(jī)中重要的文件資料可以加密存放，并形成備份。

五、加強(qiáng)防病毒軟件部署及管理

根據(jù)公司的計(jì)算機(jī)數(shù)量，統(tǒng)一購(gòu)買安裝企業(yè)版殺毒軟件。為避免防病毒軟件之間的沖突導(dǎo)致一些插件不能正常安裝和運(yùn)行以及文件的誤刪除，要求一臺(tái)機(jī)器只能安裝一款防病毒軟件，禁止使用任何規(guī)定之外的防病毒軟件。公司設(shè)專人負(fù)責(zé)定期進(jìn)行病毒庫的更新，并通過桌面管理系統(tǒng)統(tǒng)一發(fā)放病毒庫升級(jí)通知，對(duì)機(jī)器病毒庫自動(dòng)進(jìn)行升級(jí)，能有效防范網(wǎng)絡(luò)病毒、木馬。

六、漏洞掃描和隱患排查

漏洞掃描系統(tǒng)是一個(gè)自動(dòng)化的安全風(fēng)險(xiǎn)評(píng)估工具，對(duì)公司的信息系統(tǒng)進(jìn)行定期、全面、系統(tǒng)的信息安全風(fēng)險(xiǎn)評(píng)估，發(fā)現(xiàn)和分析信息系統(tǒng)中存在的漏洞，并及時(shí)進(jìn)行整改。定期開展自測(cè)評(píng)與整改。通過自測(cè)評(píng)，及時(shí)發(fā)現(xiàn)信息系統(tǒng)中存在的問題和隱患，針對(duì)發(fā)現(xiàn)的問題制定相應(yīng)的措施進(jìn)行整改，可以有效降低信息系統(tǒng)安全隱患，進(jìn)而將風(fēng)險(xiǎn)評(píng)估工作常態(tài)化、制度化。這也充分印證了信息管理也是遵循PDCA的過程模式，是一個(gè)動(dòng)態(tài)的持續(xù)改進(jìn)的過程。信息安全管理流程圖如下圖1所示。

七、物理安全和主機(jī)安全

公司每位職工都有保護(hù)自己辦公電腦的義務(wù)，要求下班后關(guān)閉主機(jī)和顯示器，這不僅可以增長(zhǎng)機(jī)器的使用壽命也可以保護(hù)主機(jī)硬件設(shè)備，特別是雷雨天氣，最好拔掉電源開關(guān)。對(duì)機(jī)房的服務(wù)器設(shè)備，首先，機(jī)房的環(huán)境應(yīng)滿足防風(fēng)、防雨、防雷、防震等要求。其次，在機(jī)房出入口配置電子門禁系統(tǒng)，對(duì)進(jìn)入機(jī)房的外來人員要嚴(yán)格登記，并有專人陪同。再次，在機(jī)房?jī)?nèi)安裝機(jī)房環(huán)境監(jiān)控系統(tǒng)，對(duì)機(jī)房的火災(zāi)自動(dòng)報(bào)警，最好能夠自動(dòng)消防，如果不能也要配備足夠的消防設(shè)備，保證機(jī)房設(shè)備的運(yùn)行安全。最后，機(jī)房的溫濕度也是影響設(shè)備安全運(yùn)行的重要因素，因此配置溫濕度調(diào)節(jié)設(shè)施，滿足機(jī)房管理制度中規(guī)定的“夏季機(jī)房溫度控制在23±2℃、冬季控制在20±2℃”的要求。

計(jì)算機(jī)管理員對(duì)機(jī)房服務(wù)器訪問管理要嚴(yán)格控制，為操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的不同用戶分配不同的用戶名和訪問權(quán)限，限制默認(rèn)賬戶的訪問權(quán)限。在不影響應(yīng)用系統(tǒng)正常運(yùn)行和訪問的情況下，在服務(wù)列表中關(guān)閉有可能導(dǎo)致系統(tǒng)遭受侵害的一些服務(wù)。

八、應(yīng)急響應(yīng)和災(zāi)難恢復(fù)

建立切實(shí)可行的應(yīng)急預(yù)案和災(zāi)難恢復(fù)預(yù)案，可有效預(yù)防和正確、快速應(yīng)對(duì)網(wǎng)絡(luò)及信息安全突發(fā)事件，最大限度地減少影響和損失，確保網(wǎng)絡(luò)系統(tǒng)安全、穩(wěn)定運(yùn)行。