信息安全论文篇1

摘要：大数据共享时代是现代互联网时代的发展方向，大数据刺激互联网进步，大数据共享时代的到来，不仅产生了诸多便捷，同时也产生了信息风险。大数据共享时代信息安全保护是最为重要的工作，保障信息的安全性，以免信息泄露。本文主要探讨大数据共享时代的信息安全保护策略应用。

关键词：大数据；共享时代；信息安全保护

中图分类号：TP309；TP311.13文献标识码：A文章编号：1672-9129（2020）04-0051-01

随着我国互联网时代的发展，大数据成为互联网的主流技术，大数据在互联网中推陈出新，促使互联网有着新的高度。现阶段为大数据共享时代，大数据共享时代比较注重信息安全保护，主要是因为大数据共享时代有利有弊，其优势明显，弊端也很明显，必须要保证信息安全保护，这样才能提高信息的安全水平。

1大数据共享时代信息安全保护的重要性

大数据共享时代下信息安全保护非常重要，大数据中包含着诸多信息，而且信息为大数据的核心，落实信息安全更有助于实现大数据共享[1]。大数据共享时代提高了对信息安全保护的重视度，完善大数据信息的应用，更重要的是避免大数据信息发生泄漏和丢失，维护大数据内信息的安全性。大数据共享时代需积极落实安全保护措施，强调大数据共享时代中所有信息的安全性，防止出现信息风险，保障信息的安全使用。

2大数据共享时代信息泄露的几点原因

大数据共享时代信息泄露有几点原因，这几点原因诱发了信息丢失，例举这几点原因，如下：

2.1账户信息泄露。大数据共享时代下账户信息是指用户身份证、银行账号、支付宝信息等，这些信息涵盖了个人账户的所有信息，很多不法分子会主动窃取个人的账户信息，不法分子篡改账户信息之后就容易发生钱财丢失的问题，无法保障账户信息安全。

2.2信息控制权薄弱。大数据中的信息控制权比较薄弱，大数据共享时代下，用户信息授权到不同软件，而每个软件都有自己独特的安全保护方法，用户授权的软件越多，信息安全控制权就越薄弱[2]，比如用户手机中安装了微信、QQ、抖音、支付宝等APP，不同APP都需读取用户的信息，很多软件之间会有关联授权的情况，APP启动时会自动读取用户的信息，无法做到完全匿名，削弱了信息控制权。

2.3大数据为主攻目标。大数据共享时代的到来，大数据信息成为主要攻击的目标，大数据在互联网的作用下成为不法分子主攻的对象，大数据承载着大量的信息，信息含量越高，就越容易受到攻击，不法分子抓住大数据的信息优势，不断的进行攻击，以便获得多重效益。大数据内关联着大量的信息，这些信息均是黑客攻击的对象，无法保障信息的安全性。

3大数据共享时代信息安全保护措施的应用

大数据共享时代信息安全保护措施很重要，其可保障大数据共享时代的安全运营，为人们提供优质的网络环境，实现信息安全，例举大数据共享时代信息安全保护的几点措施，具体如下：

3.1实行立法监督。大数据共享时代中信息安全保护实行立法监督，主要是采用法律监管的方法监督个人信息[3]。大数据共享时代下信息量增长速度很快，信息数据日益更新，呈现出几何级数的增长趋势，这时政府就要出台法律法规，用于监管大数据共享时代中的信息数据。立法监督时以现有的法律法规为基础，成立专门保护个人信息的法律，规范大数据时代中的信息应用，协调信息的应用。立法保护时要细化法律法规，为信息安全保护提供有效的法律依据，同时还要学习国外一些比较好的监管经验，强化信息安全保護，避免大数据共享时代下有信息泄露、盗取的问题。

3.2构建自律公约。大数据共享时代的到来，为我国各行各业提供了机遇，大数据共享推进了行业之间信息共享的发展，为了保障行业内信息安全，就要构建行业内的自律公约，规范行业中的信息。自律公约保证了行业信息的安全性，让行业信息可以在大数据共享时代处于安全稳定的使用状态。行业之间可建立通用的自律公约，全面维护行业内信息的安全，让行业之间有信任感，以便在大数据共享时代中保持信息的安全性，防止信息泄露[4]。例举大数据共享时代中行业信息安全中自律公约的构建，其主要表现在两个方面，分别是：（1）行业内收集用户信息时不要采用秘密的方法，用户享有知情权，要在知情的情况下让用户自导自己的信息，包括授权信息、数据信息等，而且需在服务条款中向用户说明信息的具体使用，告知使用时间和使用方法；（2）大数据共享时代构建自律公约时，要全面收集用户的信息，要让和信息相关的提供者、消费者之间同时遵守自律公约，保证大数据共享时所有数据的合法性及安全性，要求第三方使用大数据信息时确保信息的安全性及隐私性。

3.3安全防护应用。大数据共享时代信息安全是很重要的，大数据共享时代中涉及到海量的信息，信息量不断的增加，这时就要采取安全防护的方法，从根本上实现大数据共享时代的信息安全。例举大数据共享时代信息安全防护措施的应用，如：大数据共享时代信息使用时要把大数据技术和信息安全技术结合起来，确保安全技术适用大数据环境，及时发现大数据中信息的安全风险，还要积极更新查杀病毒的软件，保证病毒查杀软件处于监督的运行状态，未来大数据技术中还需落实预测技术的应用，提供精准化的杀毒服务，避免大数据和信息之间产生矛盾。

4结语

大数据共享时代的信息安全保护工作很重要，落实信息安全保护才能提高大数据的应用，同时还能保障大数据融入到互联网、云计算中，体现大数据共享时代的优势。大数据共享时代信息安全保护中必须要落实相关的措施，保障大数据共享时代中各项操作的安全性。

信息安全毕业论文范文模板(二)：计算机网络信息安全及其防护策略的研究论文

摘要：计算机技术和网络技术持续更新和进步，应用范围逐渐扩大，深入影响到社会生产生活的各个方面。计算机网络运行过程中，还存在网络信息安全的问题，一旦产生信息泄露，将会造成巨大经济损失。因而现代人越来越重视计算机网络信息安全，积极开展防护工作，更好发挥计算机网络的优势和作用。

关键词：计算机；网络信息；安全；防护

中图分类号：TP393.08文献标识码：A文章编号：1672-9129（2020）05-0014-01

计算机网络的信息传播即时性和快速性，是其一个重要的技术特点，这种信息之间的广泛传播，就潜伏着一定的危险和隐患。因此在使用计算机网络的过程中，需要对信息安全的防护重视起来，提高安全理念并且采取相关的防护策略，能够最大程度上发挥计算机网络的作用。

1计算机网络信息安全影响因素

1.1病毒。计算机病毒原理上是一串恶意代码，但是与生物病毒相同的是，计算机病毒在网络世界以及局域网体系中拥有极强的传染性。但是不同的是，计算机病毒只是简单的数据，是可以运用专业的杀毒软件进行防御控制清除。计算机病毒有普通病毒、木马病毒、蠕虫病毒等，存在有各种各样的特征和感染方式，但是除却少数有着极强的特异性和破坏性的病毒外，使用杀毒软件、完善系统防护、封锁用户危险行为是预防计算机病毒感染的重要手段。

1.2黑客攻击。黑客攻击主要分为被动攻击和主动攻击，被动攻击主要指为了获取用户信息，黑客在计算机运行中进行信息截取、破译或者窃取，但是对计算机正常运行没有造成影响；主动攻击主要是指黑客有选择、有目的的进行计算机网络攻击，对网络信息的有效性、真实性以及完整性进行破坏。黑客攻击会导致用户的重要信息和数据丢失、泄漏，随着科学技术的快速更新，黑客攻击的手段也更加高明和先进，为用户安全防护带来了一定的困难。

1.3垃圾邮件。垃圾邮件会有三种展现形式：病毒邮件、广告邮件和恶意邮件。病毒邮件往往会带有一串不明连接或是看起来不算可疑的附件，只要一进入不明连接，病毒邮件就会自动在计算机中安装恶意程式或下载大量病毒。浏览器可以绕开部分系统底层防护，这在苹果系统中尤其严重，是重要的病毒高发地带；广告邮件和恶意邮件则一般会有网络邮箱运行商进行智能屏蔽，恶意邮件经常会带有黄赌毒方面的配图等，对精神文明建设造成不良的影响，甚至会危害人的生命安全。

2计算机网络信息安全防护策对策

2.1使用杀毒软件。当前，黑客的攻击手段更加高明和丰富，病毒木马的隐蔽性也更强，为计算机网络安全埋下了巨大隐患，杀毒软件作为一种重要的防护方式，其具有显著的防护效果，因此，用户要合理使用杀毒软件，发挥其防护价值。首先，用户要合理选择杀毒软件；其次，使用者需要定期对杀毒软件的运行状态进行查看，保证其处于正常运行中，起到有效防御的作用，并且定期更新杀毒软件；最后，在应用杀毒软件中，用户还要对养成正确的使用习惯，定期使用杀毒软件进行病毒和木马查杀，及时发现存在的病毒，消除潜在的安全隐患。

2.2设置防火墙。随着科学技术的飞速发展，网络技术已经成为人们日常生活中不可缺少的一部分，人们工作、学习、生活都需要网络技术支持。尤其在支付宝付款、微信付款技术出现以后，越来越多人习惯手机支付以及网络购物，为此计算机信息网络必须加强网络安全管理。设置防火墙是当前网络通讯执行过程中最可靠的有效方式。也就是说，计算机信息网络安全管理设置防火墙，这样网络信息数据输入到内部网络系统中，就可以通过自己设置的防火墙保证网络数据不发生数据信息泄露，从而防止黑客进入网络设置，使其肆意改动、删除网络数据信息。一旦发现可疑信息侵入，防火墙技术需向系统管人员进行请示，询问是否允许继续访问，倘若计算机用户不了解该程序，大多情况都会选择禁止访问。这样防火墙就能充分发挥安全管理机制，禁止一切不安全因素入侵局域网，以便防火墙发挥最大的安全管理作用。

2.3入侵检测技术和文件加密技术。入侵检测技术是一种综合技术，它主要采用了统计技术、人工智能、密码学、网络通信技术和觃则方法的防范技术。它能有敁地监控云计算环境下的数据库系统，防止外部用戵的非法入，该技术主要可以分为统计分析方法和签同分析方法。文件加密技术可以提高计算机网络信息数据和系统的安全性和保密性，防止秘密数据被破坏和窃取。根据文件加密技术的特点，可分为：数据传输、数据完整性识别和数据存储三种。

2.4物理隔离与协议隔离。物理隔离和协议隔离主要是应用在企业中，物理隔离本质上就是建立内网或者是说局域网，使外部网络和内部网络进行隔离，仍而使黑客入侵失去相应的攻击渠道。物理隔离的方法需要企业管理人员对企业系统信息通讯网络进行合理的区域划分，也可以根据企业的发展情况，进行安全区域的划分和管理，通过实时的监控技术保证企业系统的通讯安全。协议隔离技术主要是利用协议隔离器对电力信息通信网络进行网络的分离，来保证内部系统的安全。这种方法主要是因为也系统的内部网络和外部网络有着一定的连接，协议隔离器能够保证内部网络和外部网络建立一个安全的连接通道，在需要进行接通是，输入内部专属的密码，就能够完成信息的传输，如果没有内外连接的需求，就直接断开连接。通过这样的方式能够在满足网络连通的同时，最大化地保护通讯网络的安全。

信息安全论文篇2

Mitcham提出工程哲学（EngineeringPhilosophy）词汇，并阐述哲学对工程的重要性，但是他认为工程处于技术之下，是技术的一部分，而李伯聪教授则认为科学、技术和工程是彼此独立的个体，彼此既有联系又有区别，科学、技术和工程“三元论”是工程哲学得以成立的基础。科学活动是以探索发现为核心的活动，技术活动是以发明革新为核心的活动，工程活动是以集成建构为核心的活动。人们既不应把科学与技术混为一谈，也不应把技术与工程混为一谈。工程并不是单纯的科学应用或技术应用，也不是相关技术的简单堆砌和剪贴拼凑，而是科学要素、技术要素、经济要素、管理要素、社会要素、文化要素、制度要素以及环境要素等多要素的集成、选择和优化。“三元论”明确承认科学、技术与工程存在密切的联系，而且突出强调它们之间的转化关系，强调“工程化”环节对于转化为直接生产力的关键作用、价值和意义，强调应努力实现工程科学、工程技术和工程实践的有机互动与统一。

1.2信息安全管理体系的工程本质及特点

信息安全管理体系是基于业务风险方法，来建立、实施、运行、监视、评审、保持和改进信息安全的，包括组织结构、方针策略、规划活动、职责、实践、程序、过程和资源等内容。信息安全管理体系的支撑标准为ISO/IEC27000标准族。在ISO/IEC27000标准族中，不但给出了“建立、实施、运行、监视、评审、保持和改进信息安全的”“基于业务风险（的）方法”，而且还给出了信息安全管理体系的要求、实用规则、审核指南以及相关安全域的具体指南等。例如，仅GB/T22081-2008/ISO/IEC27002:2005信息安全管理实用规则，就包括了11个控制域，39个控制目标，133项控制措施。信息安全管理体系可在不同的学科中找到其渊源，在实施框架上，信息安全管理体系应用了质量管理中的Plan-Do-Check-Act的戴明环，在具体的控制措施上，则包括了密码学、人员安全以及各类信息安全技术，其研究的特点是将科学思维、工程思维和社会思维相结合，但更强调工程思维的“设计”理论。工程研究活动不同于科学研究活动的基本特征就是“设计”。工程设计活动包括对象设计和过程设计。例如，建造水坝的坝体设计是对象设计，如何实施就是过程设计，在信息安全中，设计组织自己的信息安全管理体系是对象设计，设计如何部署是过程设计。

2信息安全管理体系的演化过程与规律

2.1信息安全管理体系的起源和发展

信息安全管理体系是建立在体系（System）化基础上的“最佳实践集”，到国际标准的正式公布，大致经历了3个阶段。第一阶段为过度关注技术，忽略人的作用的“技术浪潮”阶段，在这个阶段涌现出了大量的信息安全技术产品，例如，防火墙、防病毒和入侵检测系统（IDS）等。第二阶段为强调人的作用的“管理浪潮”阶段，在这个阶段大部分企业开始设置专职的信息安全管理岗位，以加强对个人行为的控制。第三阶段即“体系阶段”，在体系阶段信息安全以目标为导向，不再局限于手段的应用，而是技术、制度和人员管理等各个方面的有机结合。这个阶段是信息安全的工程化阶段，体现了工程的实践性、经验性、继承性、创造性和系统性等特点。

2.2信息安全管理体系的动力和机制分析

信息安全管理体系的产生和发展过程是一个“需求驱动”的过程。AlvinToffler在其经典著作《第三次浪潮》中，将人类发展史划分为第一次浪潮的“农业文明”，第二次浪潮的“工业文明”以及第三次浪潮的“信息社会”。在信息社会时代，“信息”成为重要的生产资料，价值非凡，因此面临诸多风险，为保护信息，安全需求的出现是必然的。科学与技术的进步是信息安全管理体系的推动力。新密码算法的产生，各类以“信息技术解决信息安全”的思路涌现，为信息安全管理体系的产生奠定了基础。信息安全产生的本质原因是信息技术的发展和应用，反过来，解决信息安全问题又依赖于信息技术的发展。例如，速度更快，与防火墙形成联动的入侵检测系统。国家政策是信息安全管理体系应用的导向力。任何工程活动都是在社会大系统中开展的，都要接受国家（政府）的引导和调控。对工程创新的应用，企业的认识往往是滞后的，因此，国家出台了一系列引导性政策。例如：商务部印发的商资发［2006］556号及商资函［2006］110号，以及各地方政府的鼓励引导政策。

2.3信息安全管理体系的工程演化特点、方式和规律

对比国外，信息安全管理体系在国内发展体现出了明显的跳跃性，这种跳跃性不但体现在信息工程领域，也表现在其他诸多领域。国内一般不会沿袭其循序渐进的路线，而是直接引用国外的先进经验或者在国外已有的原型上进行模仿开发。在科学、技术和工程3个领域内，与文化、制度、历史等环境因素联系最紧密的就是工程。在信息安全领域内，作为基础科学的密码学，其算法“放之四海而皆准”，不会因东西方文化的不同而显现不同的特征，绝大部分技术亦如此。但在工程层次，不同的文化制度有时会产生大相径庭的结果，例如，腾讯QQ本来是模仿国际聊天软件ICQ，但是经过十几年的发展后，ICQ，MSN等点对点国外聊天软件均濒临破产，但QQ在线用户却在2010年突破1亿。信息安全管理体系虽然修改自国际标准，但也显现出鲜明的文化特征。例如更强调保密性，和国外用户相比，更多的认证取向等。

3信息安全管理体系的工程思维与工程方法论

3.1信息安全管理体系的工程思维

科学思维是“反映性思维”“发现性思维”，体现理论理性的认识，工程思维是“构建性思维”“设计性思维”和“实践性思维”，体现实践理性的认识。科学家通过科学思维发现外部世界中已经存在的事物和自然规律，工程师在工程活动中创造出自然界中从来没有的工程构建物，工程设计是以价值当事人的特定需要为出发点,以构建某种与主体需要相符合的实体为归宿的筹划。信息安全管理体系标准族的GB/T22080-2008/ISO/IEC27001:2005原文别强调：“采用ISMS应当是一个组织的一项战略性决策。一个组织ISMS的设计和实施受其需求和目标、安全要求、所采用的过程以及组织的规模和结构的影响，且上述因素及其支持系统会不断发生变化。按照组织的需求实施ISMS是本标准所期望的，例如，简单的情况可采用简单的ISMS解决方案。”信息安全管理体系的部署过程也专门设有信息安全风险评估，目的就是找到企业实际存在的问题，然后“对症下药”。

3.2信息安全管理体系的工程方法论

信息安全管理体系应用了PDCA戴明环，与A.D.Hall的系统工程方法略有差别，但在本质上是遵循这个基本框架的。

信息安全论文篇3

二、完善档案建立信息安全设施，夯实基础，强化机制

为了确保档案信息安全，必须首先将建立档案信息安全体系作为第一要务，以科学、合理、完善的档案信息安全管理体制机制达到保障档案信息安全的目的。诸如建立档案信息安全危机预防与危机管理机制；实施重要档案信息备份制度，提高抵御各种突发事件影响的能力；处理好档案信息利用与保护的关系，提高档案利用过程中档案实体与信息安全的保障能力；完善受损档案抢救制度，采取抢救和保护措施，把损失降到最低等各项制度措施，认真做好档案信息化建设过程中的档案信息安全保障工作。

三、健全档案建立信息安全制度，明确责任，形成常态

对档案信息安全构成威胁的因素来自各个层面和各个领域。因此，需要构建一个全面的法规制度体系，即国家、地方和档案部门从三个不同的层面建立健全档案信息安全法律法规体系，来保障档案的绝对安全。当前，档案信息安全管理的条款分布在《保密法》、《国家安全法》、《档案法》、《档案法实施办法》和档案工作的各项条例条令等规范之中，尚未形成专门的档案信息安全管理制度或法律体系，需要我们依据国家的有关法规、结合档案信息安全保障的具体实际，建立一整套具体可行的档案信息安全管理制度，明确规定档案信息安全的管理职责、管理要求、管理目标、管理内容等，依法实施组织管理，并形成常态化的趋势。有了科学完善的档案信息安全管理的法规，关键就在于具体、有效落实。必须在建立健全各项规章制度的基础上抓好落实，要加强对档案资源监测，严格档案的管理和利用活动，依法管理，按章办事，科学有效地实现档案的管理与保护。依法严厉查处破坏档案、危害档案信息安全的行为，对污染环境、盗窃档案、破坏档案的重大事件要严肃查处，坚决打击。同时还应当注意到：档案信息安全是档案工作的中心内容，不但要确保档案在收集、整理、保管、编研中的信息安全问题，还要进一步强调责任意识，通过各级档案部门和业务人员的分层包干、分层负责，消除档案业务管理工作中可能出现的各种档案信息安全隐患，确保档案信息安全，努力做到万无一失。

信息安全论文篇4

网络是新生事物，很多人在利用网络学习、工作和娱乐的时候，常常忽略网络信息是否安全，他们不仅没有认识到信息安全不足的事实，还普遍存在安全意识淡薄的问题。与此同时，网络经营者在安全领域的投入远远不足，他们注重的都是网络的效应。在面对电子政务信息安全风险时，意识不到存在的风险才是真正最难解决的问题。值得庆幸的是，政府在发展过程中还是清楚的意识到安全问题的存在，只是使用者对自我信息安全保护还缺乏敏感的意识。

（二）管理体系不完善

田敏达在《电子政务信息安全策略研究》的论文中认为，电子政务信息安全不是单纯的技术问题。如果缺乏行之有效的安全检查保护措施，无法从技术、人员以及管理制度上建立电子政务信息安全防范体制，即使是再好的设备和技术也无法保证信息的安全。谭晓在《电子政务信息安全系统的设计与实现技术》中提出，管理体系也是电子政务安全体系的重要组成部分。管理作为网络安全的核心，要实现信息安全的有效管理，不仅需要技术手段的维护，还需要制定合理的管理制度，如日常系统操作及维护制度、审计制度、文档管理制度、应急响应制度等，这样才能发挥有效的作用。

（三）技术存在缺陷

田敏达在《电子政务信息安全策略研究》中也提出了存在的一些问题，包括我国网络安全技术落后、技术优势与相关行业脱节研究、计算机系统本身的脆弱性、我国对发达国家信息设备和信息技术存在着很强的依赖性。技术问题是支持电子政务信息系统稳定高效运行的关键手段，技术的问题是可以控制的，但是开发技术，实现高超的技术水平却是困难的。

（四）法律不健全

孟薇《电子政务信息安全研究》提出尽管一些既有的法律法规的出台和实施对于我国电子政务信息的安全起到相当积极的作用，但仍难以适应电子政务发展的需要，信息安全立法还存在相当多的盲区。在法律方面，基本的法律法规对电子政务信息安全有一定的约束作用，但是目前法律法规还存在不健全、覆盖有盲点、制度不协调等问题，这些为钻法律空缺的违法者提供了“正当”理由。

二、我国电子政务信息安全的防范策略

（一）增强政府部门的管理功能

对电子政务信息安全管理方面进行全方面的研究要从安全审计、数据库、电子邮件系统、浏览器、认证中心、安全产品的安全以及防火备份的安全管理等方面。通过建立和完善管理部门功能，增强管理业务操作，防范与避免不法分子对信息管理系统的侵犯。

（二）加强信息安全专门人才的教育培养

目前，我国信息安全系统及其产品不仅仅依靠向其他国家引进，而更多的是通过政府、行业以及企业在信息安全领域的投资开发，设计出经济合理以及具有自主知识产权的实用产品和适用技术。因此，建立信息安全产品技术研发的核心，即创造高水平的研究教育环境、培养高素质的信息安全人才以及提高信息安全理论基础知识的研究，另外，科研教育基地的大力支持和投入也为其奠定了基础。

（三）设置技术的远程访问的控制

通过路由访问策略和防火墙技术隔离内网与外网，在内网与外网相连通时，必须采取这样的措施才能避免安全隐患的存在。电子政务是开放，但又是封闭的，如何保证相应的客户访问到有权限涉及的资源，又能够保障对其限制的资料不被访问，就是电子政务的设计人员必须考虑的问题。针对此类问题，可以通过设置鉴别服务器来专门负责远程访问得到控制，至于是否设置鉴别服务器取决于该电子政务系统的规模。

（四）建立技术密钥分配中心

密钥的设立贯穿于网络的各个层次和级别，如负责访问控制以及证书、密钥等安全材料的产生、配置、更换和销毁等相应的安全管理活动，在身份认证机制和信息加密中，都要使用到加密体制，而无论什么加密体制都离不开密钥的使用、存储和传输的安全性。因此可以通过建立密钥分配中心负责信息加密、访问控制中心、安排鉴别服务器、授权服务器等活动。

（五）构建完善的安全法律体系

国家的政策法律要适应社会存在的需求和现实，通过为社会信息化发展提供全方面的指导思想以保障和促进国家的法制建设和信息化立法制度的建设。并且能够通过发展规范程度，继而实现更深层次的进步，同时促进国家信息化安全的环境构筑，为体现信息安全的法制文化做出有效的行动。针对存在缺陷的法律体系构建适合电子政务信息安全发展的法律法规，实现法律的约束。

信息安全论文篇5

随着中国电子政务建设与应用的进一步深入发展,信息安全问题不断突显,这就需要完善相关立法以保障电子政务的健康持续发展,电子政务信息安全方面的问题主要表现在以下四个方面、(1)电子政务信息网络安全隐患在我国严重存在。我国现有电子政务网络体系大多比较脆弱,一些掌握了一定技术的人很容易从网络服务器上获取各种隐秘信息和文件,并未经授权、非法的对重要数据文件进行下载、修改、删除,有可能导致系统被毁坏,严重时导致整个系统瘫痪,不仅影响正常的工作,而且有可能带来重大经济损失。(2)网络违法犯罪日益猖撅。例如,近年来,通过金融机构内部网站管理漏洞,进行犯罪的案件就比较突出。再如,通过互联网,泄露国家机密的案件也时有发生。这些网络犯罪,都严重影响我国电子政务的健康发展。(3)国内外网络攻击越来越来严重。从最近的爱德华#斯诺登事件来看,近些年,以美国为首西方国家,为了本国利益,大力采用通过黑客技术或非法程序侵入其它重要的信息系统,不仅非法盗取重要的科技、经济和军事信息,而且破坏信息系统的功能和数据,严重时可能造成数据损坏、丢失,导致系统瘫痪,给所在国家的社会经济发展造成重大影响和损失。92](4)国内外非法组织或的网络违法犯罪活动日趋猖撅。他们通过建立旨在进行反动反华宣传、煽动民众政治J隋绪的网络站点,利用新型网络媒体等平台,大事发表反动文章、散布政治谣言和反动言论、煽动反政府情绪,非法组党结社,有可能极大地危及到国家利益与安全。电子政务所包涵的政府信息系统,主要是指政府机构和单位应用于行使政府管理职能的信息系统。政府机构所承担的工作,不仅与国家层面的政治、经济、文化等紧密联系,而且所涉及的信息很大部分具有高度保密性,涉及到国防、军事、政治、经济、社会、文化等一些重大机密信息,以及公民个人的隐私信息和私有数据。如果这些信息被泄露,不仅有可能破坏到国家、国家安全和国家利益,而且也可能严重损害人民大众的利益,因此,为了妥善解决电子政务信息安全的问题,切实维护国家利益和充分保障公众权利,国家必须以法规形式将电子政务的安全加以固化,力求形成全国性的、人人遵守的规约。如果没有电子政务信息安全立法,电子政务安全就很有可能得不到保障,在没有安全保障下推行电子政务就有可能危及到国家利益和公众利益,电子政务也就难以推行,电子政务的便利与效率也就更难以实现。

2、我国电子政务信息安全立法所存在的主要问题

电子政务是一种政府行为,必然要接受政府的管理,必须依靠相应的法律法规和组织机构作为保障。9别近些年,我国颁布了一些保障信息安全方面的法律法规,如5关于维护互联网安全的决定6、5商用密码管理条例6、5中华人民共和国计算机信息系统安全保护条例6、5计算机信息系统安全专用产品分类原则6、5计算机信息系统国际联网保密管理规定6等等。94]但是,我国目前还没有设立专门的5电子政务法6,与电子政务有关的一些法规虽涉及到了电子的规范,但对电子政务本身的效力、地位等重要问题却没有任何规定,95]不利于更有效地保障电子政务的网络安全。这些问题具体表现为四个方面:

(1)立法相对滞后

我国电子政务信息安全立法相对于电子政务的快速发展较为落后,这主要体现在我国目前的电子政务信息安全立法比较宽泛、笼统,对于信息化建设中的信息化目标、建设规划、发展策略等具体方面,都还没有或很少制定明确的法律法规,这就使得我国目前的信息安全保障无法可依。当然,我国目前也没有出台直接保护电子政务发展和确保信息安全的法律。现有的立法大多是对电子政务所依赖的计算书日言息系统的安全进行保护的法律法规,这种对于电子政务间接性的保护显然缺乏针对性。[6]

(2)立法层次不高,涉及内容分散

我国大多数有关电子政务的信息安全立法,或者是国务院制订的行政法规,或者是国务院职能部门制订的部门规章和各省市等地方政府制订管理条例与管理规范等。这种立法形式机关具有针对性、应用性强等特点,同时,也因为立法者与受制者的同一性,而很容易丧失制度的权威性、中立性和公正性Q另外,我国现有的有于计算机或网络信息安全法律法规和强制性标准,内容分散、逻辑性差甚至相互矛盾,这就给实际工作与实践带来了很大的不便,也不利于电子政务的信息安全的保护和实现。

(3)立法过于抽象,可操作性差

目前我国的电子政务信息安全立法过于概括,缺乏可操作性,不利于电子政务实践过程中的贯彻实施。因此,电子政务信息安全立法应当尽力贯彻可操作性的原则,克服一些传统的立法思路如“宜粗不宜细”,应该从细处着手,否则法律规定就会形同虚设,影响我国电子政务的进一步发展和完善。

(4)立法不够灵活,缺乏适应能力

随着电子政务的飞速发展,信息安全技术也在迅猛发展,而我国现存的不少法律法规对不断发展的信息安全技术重视不够,没有跟上日_新月异的信息技术发展的新趋势,应对新情况、新问题的适应能力比较弱,甚至有的还成为阻碍电子政务进步的堡垒。

3、如何进一步完善我国电子政务的信息安全立法

电子政务信息安全是推进我国电子政务健康、快速发展的前提和保障,要保障电子政务建设与应用的信息安全,就离不开法律法规的保障作用。在不断发展的网路信息技术中,电子政务对信息安全也会不断提出更新的要求、更高的标准,而相应的信息安全立法还存在很多的空白,需要加以充实和完善。因此,为了维护中国电子政务发展与建设的信息安全,就要注重以下四点：

(1)提高电子政务信息安全立法的针对性认识为了适应电子政务发展与应用的现实需求,使法律法规充分有妙探障电子政务的信息安全,就要高度重视电子政务的信息安全立法,树立科学合理的电子政务信息安全立法理念,充分认识到:法制建设可以保障和促进国家的信息化发展,并为其提供全面服务。同时,我们要从过去的规范与控制为主,转变为以保障与促进为主,从规范发展达到保障发展,由控制发展到促进发展,营造促进电子政务发展的法治环境和法治文化。

(2)构建与完善我国电子政务信息安全的法律体系一方面,信息化所依赖的技术是多方面的,包括计算机技术、通讯通信技术、网路技术、安全技术、电子商务技术、知识管理技术等等。另一方面,网络信息社会所特有的社会关系,是以往社会管理所没有涉及到的,产生的种社会关系主要包括民事信息法律关系、行政信息法律关系、经济信息法律关系、刑事信息法律关系、科技信息法律关系等等。因此,所建设与完善的电子政务信息安全立法体系应该切实应对这两个方面。

信息安全论文篇6

电子文件是按照确定的某种标准规则，记录在特定载体上的编码信息集合，需要特定的软硬件系统环境才能翻译阅读。脱离了这种特定环境，就根本无法看到电子文件的存在和记录的信息内容，所以电子文件对产生的标准规则及软硬件系统环境有极强的依赖性。随着信息技术的发展，原标准规则及计算机软硬件技术发展更新，就有可能导致原有电子档案信息无法读识。电子档案信息对软硬件系统的过度依赖性给今后的安全问题带来了很大的困难。

1.2存储的高密度性

电子信息的发展和数量，呈几何倍数增涨，海量的数据需要大容量的存储介质，随着记录技术的快速发展，数字信息由早期的纸带打孔到后来的磁带、磁盘再到现在的光盘等，存储密度不断提高。目前一块硬盘容量已达数个TB，一张蓝光光盘通过纳米级波长的蓝光激光光源及多层记录技术的应用，可以记录数百GB数据。光盘上构成0和1数据刻痕直径小于0.15μm，1张光盘可存数百万张打印在纸上的文字信息。电子档案的高密度，一方面对节约空间、拓展应用带来有利条件，另一方面却对电子档案的保护提出了严格的要求，任何一个小的失误或一条轻微的划痕都有可能导致数量巨大的档案信息遭到破坏。

1.3信息与载体之间的可分离性

传统档案是固化在某种载体上，不能分离，称之为档案实体，有明显的原始性特征，不易被复制加工。而电子档案，虽然依赖于软硬环境，但按一定的规则可以非常轻易地被复制、更改，传输，可以做到迅速而不留任何痕迹。因此电子档案的原始性、真实性、凭证作用就受到威胁和质疑。这种信息与载体之间的可分离性，给电子档案信息的安全提出了前所未有的挑战，档案管理人员不仅要保护电子档案实体不受破坏，同时也要保护信息内容不被人为篡改。

2档案信息的保护目标

电子文件技术随着整个计算机信息技术的发展而发展，电子文件的产生环境、文件格式、存储介质在不断更新，而作为档案的电子文件却需要长期或永久保存并被查询利用。因此，如何确保电子档案的长期可用性是保护电子档案安全的主要任务之一。同时，电子档案的真实性、完整性、安全保密性也是主要保护目标。

3电子档案保护的技术措施

3.1电子档案系统安全

电子档案系统安全，一般是由硬件系统和软件系统构成。硬件系统本身的安全称为物理安全，软件系统的安全主要有操作系统的安全、网络系统的安全、数据库系统安全及各种功能的应用软件系统安全等。因此，这种保护措施可分以下几类：1）设备层的安全管理。设备层的安全主要通过采用物理防范，解决机房场地的防灾保护，电源的稳定与净化，重要服务设备的冗余设计，安全可靠的存储，以及信息系统的异地存储保护，不低于3套的脱机光盘保存等，同时制定完整物理层面的管理规范和措施提供安全技术方案，使设备免受外来攻击造成意外损失。2）网络层的安全管理。网络层的安全任务主要是防止病毒、木马、黑客的攻击，防止档案数据被非法访问。最有效的办法就是运行档案信息系统的网络与外界实行物理隔离，但电子档案的最大优势，如远程查讯利用、共享资源等受到局限。而在公共网络上，资源虽可以得到充分利用，但安全问题又成为难题。近年来，随着政务信息的公开，档案资源的逐步开放，公共网上出现了越来越多的应用。外网的安全是必须面对并努力解决的问题，目前可以通过使用路由器及交换技术设置、防火墙、入侵防御系统等网络安全策略的制定提供相对安全的解决方案。3）应用层的安全管理。应用层的安全主要通过使用网络监控与恢复技术，防病毒、漏洞检测，入侵检测技术，上网行为管理等对网络安全进行扫描、实时监控、权限控制、自动报警，并对计算机信息网络系统的使用情况建立日志记录，及时发现系统中的异常情况。

3.2电子档案信息内容安全

确保电子档案真实性、完整性、长期可读性，是档案信息内容安全的基本要求。电子文件的存放寿命依赖于存储介质的寿命，理论上光盘的寿命可达百年，但实际上谁也不能保证该光盘数据10年后还能够完整读出。尤其文件格式技术上的发展与改进，软件环镜与硬件系统的更新，都需要档案人员对存档的电子文件进行备份转存、文件存储格式的转换等维护。这一过程，要建立制度，明确责任，严格审核、评估、管理，以延续电子档案保存期限，确保档案内容的安全。另外，应用软件系统中针对用户权限的管理；档案数据密级划分，目录和文件的读写权限，开放范围的划控等，是对在线档案信息内容安全管理的必要手段，是任何一个档案信息管理系统重点思考解决的问题。

4电子档案信息的灾难恢复

4.1灾难恢复含义

《信息安全技术信息系统灾难恢复规范》（GB/T20988—2007）中表述灾难恢复是指将信息系统从灾难造成的故障或瘫痪状态恢复到可正常运行状态，并将其支持的业务功能从灾难造成的不正常状态恢复到可接受状态。将灾难圈定为由于人为或自然灾害，技术风险、设备故障等原因，造成信息系统运行严重故障或瘫痪。主要涉及的技术和方案有数据的存储、备份和恢复；本地的高安全防护和远程异地防护方案等。

4.2灾难恢复前的存储备份方式

信息数据的存储、备份，是灾难恢复的前提，没有安全可靠的存储、备份，无从谈起恢复。备份的方式有多种多样，最常用的主要是全备份、增量备份、差分备份。全备份是将整个系统中相关软件、数据全部备份一遍；增量备份就是每次备份的数据只是相当于上一次备份后增加的和修改过的数据；差分备份就是备份上一次全备份之后新增加的和修改过的数据。全备份所需时间最长，占用的空间最大，但恢复操作最简单，当系统中数据量不大时，采用全备份是可行可靠的；增量备份恢复起来比较麻烦，但每次的备份任务少，系统资源占用最少；差分备份相对节省存储空间，恢复较方便，但备份时较麻烦。因此，在备份时要根据他们各自的特点灵活使用。在实际应用中，采用的备份方式常是以上几种的结合。

信息安全论文篇7

2应对措施

建立良好的信息安全管理模式是铁路信息系统安全稳定运行的根本保障，有利于铁路行业信息系统的发展。针对上述铁路信息安全管理面临的挑战，建立铁路行业信息安全管理新模式，结合铁路行业现有组织管理架构，借鉴已有的信息安全管理制度，明确信息安全工作的地位、目标、原则以及策略，从组织管理、制度及应急管理、运行维护管理和等级保护管理几个方面来深入考虑和分析，采用体系化管理方式保障信息系统的安全稳定运行。

2.1健全组织管理机构

信息安全组织管理方面，建立并逐步健全一套自上而下的安全组织机构，成立铁路信息系统安全管理领导机构，作为系统安全管理的常设组织。同时，采用分层结构，以适应铁路行业铁路总公司、铁路局、站段3级管理机制。铁路总公司领导机构作为全路信息系统安全管理的常设领导机构，负责制定全路信息系统安全管理制度及办法，铁路信息系统安全防护技术的标准，制定安全管理制度。区域安全管理机构主要职责有：负责各铁路局的信息安全管理中心的日常管理工作，及时与安全专家协商讨论安全执行方案，执行安全响应中心制定的具体安全策略，定期向上级汇报信息安全管理相关工作，下设多个安全管理决策小组和管理执行小组，管理执行小组主要负责监督和协调铁路局下设各车站的信息安全管理执行工作。车站级信息安全执行分组包括安全监督员、安全检查员、安全执行员3类安全工作人员。

2.2强化制度建设及工作流程管理

2.2.1管理制度

铁路信息系统安全不仅要强化系统建设，更要做好内部安全管理建设，具体要做好以下工作：

（1）建立专门的安全防御组织：针对铁路信息系统整体安全，铁路总公司应成立专门的机构，负责网络的安全管理和应急响应。铁路局、基层站段相应的部门，对铁路基础网实施自顶向下的实时监控与管理。

（2）建立健全安全保密制度：各部门应制定严格的安全保密条例，杜绝不必要的人员接触和了解铁路核心网络设备与技术，防止敏感信息泄露。对有权了解、处理关键信息的内部人员制定更严格、更详细的安全责任制度，明确个人在信息安全方面应该承担的职责以及发生责任事故后的处罚。

（3）建立健全数据安全保护措施：针对铁路核心业务系统的关键数据，需要建立完备的本地和异地备份制度，同时，采用双机备份、物理隔离的技术方案，定时增量备份。

（4）定期实施漏洞扫描和系统补丁升级：系统管理人员需定期对网络进行扫描，以检测和评估网络漏洞。检测范围包括所有的网络设备和终端设备，同时扫描网络内所有主机系统的配置及安全漏洞。

（5）定期实施计算机安全检查：针对处理关键数据的计算机，应建立完善的日志，记录所有与安全有关的事件。安全日志不仅要完整的记录安全事件，而且需要具备防篡改、抗抵赖功能。

2.2.2标准制度

以信息安全相关管理和技术规范及不同层次的信息安全制度为重点，构建科学严谨、有效适用、系统规范的信息安全管理标准制度体系。制定相应的技术标准、作业办法等，明确工作标准，流程，落实管理责任，规范作业行为。按照信息安全风险管理的要求，对各项管理规章制度进行全面的清理和完善，不断加强铁路信息安全标准制度体系建设，使铁路信息安全风险管理工作制度化、规范化和标准化。

2.2.3工作流程管理

信息安全管理流程包括信息安全培训工作流程、信息安全运行维护工作流程、信息安全风险控制流程、信息安全应急处置流程、信息安全监督检查与改进流程等各项管理工作流程。应根据工作实际情况，建立健全、持续改进、推广应用先进的信息安全管理工作流程，使铁路信息安全管理和运行维护工作专业化、标准化、规范化。

2.3建立信息安全运行维护管理体系

2.3.1安全风险管理

铁路信息系统安全管理中心采用风险评估的方法，分析和评估系统的风险源和安全威胁源，并根据各类信息资产的重要程度和价值，选择适当的控制措施减缓风险。铁路局要组织建立安全风险管理体系，进行信息资产风险评估和风险处理。从理论上，风险只能降低或减少而不能完全消除。选择控制措施的原则是既能使铁路信息系统受到与其价值和保密等级相符的保护，将其所受的风险降低到可接受的水准，又能使所需要的费用在预算范围之内，使铁路行业能够保持良好的竞争力和成功运作的状态。另外，系统的风险是动态的，风险评估活动应定期进行，特别是在系统的核心功能及技术发生重大变化和内外环境发生重大变化时，风险评估应重新进行。

2.3.2安全运行维护

铁路信息系统安全运行维护管理依托安全管理中心实现系统的安全运行维护。铁路总公司信息系统安全管理中心运行维护平台可实现对系统中的网络、主机、安全系统、数据库、中间件、存储备份设备和应用系统的可视、可控、可管理，协助运行维护人员监控系统和及时发现问题。各铁路局安全管理部门运行维护人员应通过使用运行维护平台，积极开展运行维护管理工作，实现铁路局安全监管监察部门与铁路总公司安全运行维护工作的有效连接。对各地区安全管理部门能够处理的事件，按照路局区域内管理流程执行，并定时向铁路总公司安全管理中心上报故障情况并提交运行维护处理单。

2.3.3安全应急响应

铁路信息系统安全应急响应体系的建立应做好以下5个阶段工作。

（1）保护阶段：制定应急反应工作流程计划、确定预警和报警的方法、建立备份的体系和流程、建立安全的系统、进行应急反应事件处理的预演。

（2）预警与报警：识别和发现各种安全的紧急事件。在紧急情况发生前，产生安全的预警报告，在紧急情况发生时，产生安全警报给应急反应中心。应急反应中心将根据事件的级别，采取相应措施。

（3）牵制与反馈：在确认紧急事件发生的情况下，应急反应中心将根据预先制定的反应计划，进入应急反应流程。同时，应急反应系统本身将根据预先制定的规则，采取相应的措施，把紧急事件的影响降到最小。

（4）消除阶段：对于系统内部病毒，应该采用最新的病毒专杀工具清除。对于系统的外部入侵和非法授权访问等，应该通过专用的漏洞扫描工具发现系统存在哪些漏洞，然后采用相应的手段消除漏洞安全隐患。对于入侵攻击或超量访问要采用有效的拦截和限量访问措施，使系统资源处于可控范围。

（5）恢复阶段：在数据或者系统被破坏，无法修复的情况下，应进行系统的恢复，且恢复要依据预先制定的恢复流程严格进行。

2.3.4安全策略优化

制定有效的安全策略，当原有安全策略无法满足现有系统的安全需求时，要结合实际情况对系统安全管理策略进行调整优化，以适应新的安全管理制度。制定出符合铁路信息系统的安全管理策略，以确保系统的信息安全保密性为主，采用多层次保护、最小授权、综合保护和严格管理等措施。

2.3.5安全检查审计

安全检查审计依托安全管理平台，通过对铁路信息系统中相关信息的收集、分析和报告，判定现有系统安全控制手段的有效性，检查系统的误用和滥用行为，统计系统的安全事件，并按照安全事件的影响和危害程度进行等级划分，从而验证当前安全策略的合规性，为以后的归纳总结，安全系统的进一步改善提供依据。安全管理平台根据从专项的日志审计产品、终端审计产品、数据库审计产品和应用审计产品中收集上来的信息进行关联分析，进行审计规则匹配，发现违规行为并进行告警和响应。通过安全审计与安全管理平台的融合，使得安全审计体系的建设与安全管理平台的建设目标达成了一致，有助于铁路信息系统整体安全体系的形成和完善，并通过对安全事件的分析，把握系统安全威胁的发展趋势，形成日报告或周报告进行定期安全信息通报，为系统的安全策略优化提供决策性指导。

2.4建立等级保护管理制度

为切实做好信息安全管理工作，铁路行业需要借助等级保护这一安全抓手，将等级保护与信息安全日常管理紧密结合，将信息安全管理全面纳入铁路运输安全生产管理体系，按照“谁主管谁负责、谁运行谁维护”和属地化管理原则，逐级落实信息安全责任，建立地方与总公司信息化发展相适应的信息安全监督管理机制。同时，为了在纵向上实现对等级保护的控制，铁路行业主管部门在国家文件政策指导下，应制定符合本行业安全需求的等级保护行业标准、行业等级保护实施方法等文件，用以指导本行业的等级保护工作，保障铁路运输及生产安全管理。

2.5建设铁路信息安全综合管理平台

为保证铁路信息安全等级保护工作的有序展开，需要建设信息安全综合管理平台，旨为铁路总公司及下属单位开展与信息安全管理相关工作的综合工作平台，功能将覆盖铁路总公司及其下属单位的信息安全管理工作的主要内容，并支持公安部等级保护管理工作。平台主要提供以下3类功能：

（1）以信息系统定级、备案、整改、测评和检查等规定步骤为主线，实现等级保护工作任务的下发、执行、进度监控和督办；

（2）风险管理、应急管理、安全检查和事故通报等专项管理功能；（3）日常办公的综合管理、培训教育、标准管理等。

信息安全论文篇8

2防病毒技术

计算机病毒难以根除，具有强大的攻击性，可以破坏计算机中的应用程序，甚至可以删除文件、格式化硬盘，因此现阶段防范计算机病毒是保障信息网络安全的重点。通过多年的科学研究，现阶段已经有三种常见的病毒防范技术，分别是预防病毒、检测病毒和网络消毒。

3施行身份认证

通过确认操作者身份来保证网络安全的技术称之为身份认证技术。常见的身份认证有两种方式，分别是主机之间的认证、主机与用户间的认证。主机与用户之间的认证可以通过设置密码、用户生理特征、智能卡等多种方式进行设置。

4防火墙技术

防火墙技术是现阶段使用频率最高的安全防范技术。防火墙技术的技术核心就是通过构建一个比较安全的环境来尽量保证用户的网络安全。防火墙可以根据用户的个人需求来控制网络域间的信息安全，并且防火墙本身也具有一定的攻击能力。现阶段防火墙主要有三种，分别是：全状态包过滤型、包过滤型以及服务器型。

5采用入侵检测技术

用户采用入侵检测技术后，就可以及时检测到系统中的异常现象，并及时报告，继而达到保障网络安全的目的。漏洞扫描技术。通过对电脑进行全方位的检测，及时更新漏洞补丁，完成修复就可以减少黑客利用漏洞发动攻击的几率，继而达到保护用户网络的目的。

6合理的管理措施

通过多方面的安全管理措施，例如：完善计算机管理技术，建立管理机构，加强用户安全教育等方式来预防和控制病毒与黑客给用户带来的影响。使用信息加密技术。在网络中，每个用户都使用了大量的应用程序以便于工作、生活，因此为了保证个人、工作方面的隐私被泄露要采用信息加密技术来保障网络安全。

信息安全论文篇9

其次，相关执法部门应当加大执法力度，做到违法必究，依法治党，有效保障档案信息化中电子文件的信息安全。再次，我国相关立法部门应当深入了解目前国内档案信息化中电子文件的信息安全问题，加大对相关法律法规的理论研究力度，更好地修订完善法律法规。最后，我国应当建立健全与档案信息化中电子文件的信息安全相关的法律体系，找出目前法律有待完善的地方，修改不适时宜的法律条款，增强对电子档案信息安全的保护与执法力度，制定专门的电子档案信息安全法。

二、采用先进的现代信息技术

信息安全论文篇10

按照《重庆烟草行业“十二五”信息化总体规划》的部署，重庆烟草“智慧渝烟”应用平台于2012年正式上线，实现了“系统集成、资源整合、信息分享”的目标。“智慧渝烟”平台实现了“一个看板、两个空间、三类集成、五大中心”的功能集成(图2)。移动云平台是“智慧渝烟”在移动互联网端的扩展，基于智慧渝烟应用平台的云中心，构建移动管控平台，实现客户端五大应用(图3)，集成了移动OA、内网信息、数据看板、日程管理、企业邮箱、沟通协作、网盘、云笔记等功能。

(二)重庆烟草行业网络现状

重庆烟草行业建设了覆盖全市所有区县的广域网，中心机房设置在重庆市公司，在物流公司设置了灾备中心。主要链路有三条:VPN主链路和备用链路，ATM灾备链路。各单位一般又设置专线到基层业务单位，Internet互联网接入由各单位自行选择运营商接入。在管理手段上，行业要求各单位按照规定使用固定IP地址，部署了网络防病毒软件，投资更新了防火墙等网络安全设备，各单位网站不对互联网开放统一由智慧渝烟集成等措施。

二、可能存在的信息安全风险

从行业信息化及网络现状来看，行业对于信息安全的重视程度以及管理措施足够到位，多年来行业也未发生严重的信息安全事件。但自从“棱镜门”事件发生以来，国内信息安全形势面临前所未有的考验，从居安思危、防范未然的角度，笔者尝试分析行业依然可能存在的信息安全风险以供探索。

(一)因接入方式增多带来的风险

1．广域网层次过多监管复杂

行业广域网从市公司到区县分公司再到各下属站点，接入层次大多在三层以上，每层级之间主要通过运营商提供VPN连接。自主的安全防护主要是在市公司和区县公司的防火墙等设备。此网络连接方式的主要风险在于:第一，最下层的接入点只能借助区县公司的防火墙与互联网隔离，但若下层计算机被入侵或者设置被他人盗用则很难从内部监控中发现异常。内部员工如果访问非法网站、不合适的言论等行为也不易被发现和追查。第二，各层次间的VPN连接主要由运营商提供，对行业用户而言完全透明，但隐患却在于我们把安全防护完全交给了运营商，一旦对方发生安全事件也有可能会波及行业。

2．接入方式发生剧变

近年来，移动互联网的飞速发展造成智能手机等移动终端的上网需求激增，有些单位也部署了无线WI－FI以满足员工的需求。但同时因为无线网络不受特定场所限制的特性，安全风险随之而来:有些WI－FI热点密码过于简单甚至没有密码，造成单位外部的设备也进入了行业网络;WI－FI广播名称太暴露自身，可能会引起一些“黑客”的兴趣尝试破解接入口令;可能还存在一切员工使用360随身WI－FI之类设备来方便自身上网，但又忽略信息安全造成设备被其他人“蹭网”接入行业网络。以上风险都很难通过行业现有的网络安全设备进行监控和防范。

(二)使用不安全设备或者软件系统造成后门和漏洞的风险

“棱镜门”事件以来，被爆料受到美国“棱镜”监控的主要有10类信息:电邮、即时消息、视频、照片、存储数据、语音聊天、文件传输、视频会议、登录时间和社交网络资料的细节。通过棱镜项目，美国安局甚至可以实时监控一个人正在进行的网络搜索内容。美国几大主要的IT公司微软、雅虎、谷歌、Facebook、YouTube、Skype、苹果都牵涉其中，硬件巨头英特尔和网络设备巨头思科也遭受严重怀疑。大量的软硬件后门、漏洞尚未被完全列出。再看行业内部虽然网络设备大量采用国产设备，但仅限于核心设备，各单位二层交换机、无线设备等尚未统一管理。而其他软硬件则更加依赖英特尔、微软、谷歌、苹果等巨头提供的设备以及服务。移动云平台的推广普及带来了大量苹果和谷歌设备的接入，这是以前行业网络中很少存在的。如何在普适性和安全性之间做出最好的抉择，是行业需要深思的问题。

(三)非统一的互联网接口带来的风险

目前行业各单位的互联网接口均为自行选择运营商接入。各单位的接入类型、带宽、服务都有区别，不同的运营商在互联网端的防护和审核方式也各有不同。真正在风险在于如果某个单位的互联网接入因为其自身或者运营商防护等级过低造成网络安全事件，则很有可能“城门失火，殃及池鱼”，造成影响其他单位甚至整个行业的信息安全事件。

(四)“智慧渝烟”平台集成应用可能造成数据泄露的风险

“智慧渝烟”平台极大地提高了员工的工作效率，但部分员工信息安全意识不到位，存在忘记退出登录、离开时不锁定电脑等习惯，造成“智慧渝烟”单点登录成为数据泄露的风险。如果一名关键岗位的员工因为没有退出“智慧渝烟”登录并锁定电脑而离开，被别有用心的人使用其计算机盗取行业各个系统中的行业机密，其损失将十分严重。

(五)操作系统陈旧带来的风险

2014年4月8日，微软公司正式停止了对于Windowsxp的技术服务。在中国使用人数最多的操作系统将不再会得到其开发者的更新，因而Windowsxp成了很多黑客团体心目中的“肥肉”，任何Windowsxp中尚未被发现及修复的漏洞都可能会成为被攻击入侵的目标。就笔者所在的单位来说，使用Windowsxp的计算机比例达60%以上，这些计算机都有可能成为黑客攻击的“肉鸡”或者数据泄露的后门。

(六)系统架构陈旧带来数据损坏的风险

行业开展信息化建设十多年来，通过各类使用的系统积累了大量的烟农、零售客户、烟叶种植、生产、销售、物流等环节的数据，大部分的系统都是基于传统的B\S或者C\S架构大量数据都保存在服务器上。随着技术的进步、每日海量数据要求系统具备极高的处理能力和吞吐量，从目前行业各大系统的用户体验看，诸如网络营销平台、财务系统已经存在高峰期操作卡顿、数据丢失等问题，同时单一的或者简单的镜像服务器在遭受严重网络攻击或者自然灾害时的抵抗力会比较弱容易造成数据损坏或者泄露等风险。

三、可供参考的解决思路

针对以上提到的安全隐患，本文提出一些粗浅的解决思路。首先需要明确一个概念:所谓的信息安全是相对的，不安全或者风险才是绝对的。要想实现最大程度的安全，绝对不是一套生硬的办法就能解决的，而是需要与时俱进、实时调整的。安全是人、流程和技术三合一体的产物，这三方面的因素都需要考虑，而针对目前情况可考虑采取的措施有以下几点。

(一)建立灵活的信息安全管理机制和严格的信息安全管理办法

首先，是机制问题。行业的信息安全管理机制尚比较传统，应对如今一日千里、瞬息万变的信息化动态可能已显反应不足。在如今人人都是信息设备的使用者的情况下，建立一套人人都能用好信息系统、理解信息风险、做到信息安全的机制才是重中之重。其次，是制度问题。随着信息安全日新月异的发展，行业的信息安全制度应与时俱进，突出“新”字，着重解决当前出现的新问题、新风险，至少应每年完成一次修订，根据当前面临的信息安全形势做到合理增减。同时，在制度执行上应严格，涉及安全的诸多项目应实行“一票否决制”，解决安全上的短板，重要的项目要与考核挂钩。最后，面对可能出现的信息风险，还应做好必要的应急演练，帮助员工明白遇到信息安全事件时第一时间该如何正确应对，以免出现手足无措甚至造成事件升级的情况。

(二)行业广域网的安全防范

针对广域网层次多涉及可能的入侵和盗用等问题，行业使用的基于包过滤的传统防火墙很难起到充分的防护作用，可考虑增加行为审计管理，网络安全审计设备具备针对互联网行为提供有效的行为审计、内容审计、行为报警、行为控制及相关审计功能。从管理层面提供互联网的有效监督，预防、制止数据泄密。能满足用户对网络行为审计备案及安全保护措施的要求，提供完整的上网记录，便于信息追踪、系统安全管理和风险防范。配合防火墙既可以识别外部的非法入侵和内部的非常规操作，也可以防范和审查合法内部用户的非正常行为，确保不发生行业员工利用行业网络进行非法活动的事件，也增强了抵御因运营商VPN出现问题被波及的能力。针对如WI－FI等接入方式增多的问题，首先应充分尊重员工移动办公的合理诉求，利用移动云平台管控平台等系统加强后台管理。其次应在信息安全制度中规定好合规的WI－FI信号，尝试使用WI-FI准入登记系统，做好移动接入者的登记审核并针对移动终端做出相应的限制，如尽可能地减少写入权限、限制核心资源的访问等等。最后对于部分员工私自建立的WI－FI、上网共享等应禁止，防止不可预料的风险发生。

(三)提高国产网络设备的使用率减少“后门”等漏洞

目前如华为、中兴等国产网络设备在性能上完全可以替代美国的思科等设备，安全性更有保障，还具备更好的性价比。行业应适时建立网络设备准入制度将有监听后门的设备拒之门外。在使用微软、谷歌、苹果等在市场尚难替代的软硬件服务商的设备或服务时，应尽量关闭其不必要的功能。为预防可能发生的系统漏洞应做好网络监控和信息取证，在必要的时候用法律武器来保护自身权益。对于极其保密的信息，必要的时候甚至可以自主开发加密协议和程序，这样以来即是数据被盗取也增加了对方破解的难度减少行业产生损失的可能。

(四)建立统一的行业互联网接口

针对目前行业互联网出口不统一带来的各种风险，行业可考虑建立统一的互联网接口，方案有两种可参考:

1．取消行业各单位的互联网接口，由市公司统一接入。

其优点在于全行业互联网接口统一管理，市公司可以在网关处布置性能强大的防火墙和行为审计系统，全行业的上网行为可以得到规范统一的管理。只有一个互联网接口，受网络攻击的风险相对较小，即使遇到攻击也更容易应对。缺点是行业现有广域网负载会极大的增加以至于成为整个网络的瓶颈，需要较大投入进行升级改造同时日常网络费用开销也会增加。

2．依旧在各单位设置互联网接口，但是由行业统一确定运营商，并要求其按照集团客户的需求对各单位的互联网接口作统一的设置和安全部署。

其优点是网络不存在瓶颈，费用较方案1低廉。缺点是统一管理相对复杂，需要各单位网络管理人员配合管理，因为互联网接口更多，风险也相对方案1高一些。

(五)培养员工更高的信息安全意识和良好的工作习惯

安全是人、流程和技术三合一体的产物，这三方面的因素都需要考虑，但最关键的因素还是人。行业用户需要具备辨别不安全的应用以及了解一些针对设备的潜在的威胁，同时还应具备应对这些风险的能力。用户培训的建议:不要使用盗版或者破解的应用程序;不要与陌生人共享应用程序;设备当前不使用的功能应尽量关闭;离开计算机时应退出智慧渝烟系统并锁定计算机;及时更新计算机及移动设备的操作系统程序和安全程序。必要的场合行业可以考虑安装视频监控等设备防止行业办公计算机被他人非法使用及盗取信息。

(六)加快操作系统更新步伐和建立异地灾备中心

Windowsxp注定将很快结束其生命进程，行业也应该加快更新老旧操作系统的步伐。暂时还在使用xp的计算机应尽量不配备在关键岗位，应安装国内第三方支持更新补丁的安全软件。行业还应未雨绸缪，新一代的Windows8并未得到政府采购的许可，说明其系统安全可能存在隐患，需考虑将来采取Linux等其他操作系统的可能。加快异地灾备中心的建设，防止因为自然灾害等因素造成的数据丢失。

信息安全论文篇11

2计算机信息安全的技术层面对策

2.1提升服务器安全

一个网络的服务器的安全与否关系到整个网络的生存能力，承担着对网络上其他用户提交的服务请求的侦听，并负责完成相应的数据传输，并保障整个过程的正常进行。因此，我们除了加大对服务器的权限管理外，还应为服务器配备专门防毒软件，进行不间断的病毒监测及扫描，将病毒拒之门外。

2.2提升PC端的安全

在个人PC端，用户应该避免对共享文档及文件夹的任意设置，非要进行共享的文档应该被设置为只读属性，避免病毒数据的植入。尤其对共享的系统文件也要做到防修改，从而隔断病毒的持续传播。用户在访问内网其他计算机时，也不要上传可执行文件。当PC端已经感染病毒时应该，应该及时通知网络管理员，利用broadcast进行网络广播，同时断开网络及服务器。系统管理员用无毒的引导盘进入管理员模式，启动服务器，并利用杀毒软件进行病毒的扫描及查杀，将染毒文件进行删除，同时修复遭到破坏的系统文件及软件程序，对接入PC的外部存储设备进行病毒查杀。最后再确保网络病毒被清楚的情况下对网络进行重新连接。

2.3备份

备份包含两部分的内容：数据备份和系统备份。数据备份主要是针对个人PC。由于多种原因，常会出现电脑中部分数据丢失的现象，这种情况下可能给用户带来不必要的麻烦，有时甚至造成无可挽回的损失。为了保证数据不丢失，最好的方法就是要将重要的数据进行备份。通常建议采用正常备份和增量备份相结合的备份方式，这中备份技术不但可以缩短备份时间，提高备份效率，而且可以使得备份所占用的磁盘空间最小。做好备份工作，可以确保数据的安全性，当计算机受到病毒攻击导致软件或是数据的破坏，或是意外情况下数据的误删时，都可以利用已经备份好的数据，进行数据的回复。系统备份更多的是指对网络服务器相关的FTP服务、DNS等原始数据进行备份，这样可以保证服务器受到黑客攻击或是病毒攻击时，能够及时的恢复数据，使得服务器可以继续完成基本的服务，确保整个网络的正常运转。

3基于网络信息安全技术的相关设计思考

除了上述安全技术方面的对策外，还应利用防火墙技术、防病毒技术、入侵检测技术等较为成熟网络安全技术，构建更为实效性与科学性的信息防护系统。本课题笔者主要列举一种混合型防火墙系统，它是在组合结构的基础上完成的，主要有四大部分构成。基于内部网络与外部网络间，内部防火墙与外部防护墙产生了一个安全网络，即为“屏蔽子网”。屏蔽子网中设备布置具备诸多供给服务器，例如：堡垒主机、电子邮件服务器及数据库服务器等。以组合结构为基础的混合型防火墙系统，其主要功能是以内、外部防火墙对不同级别的过滤进行设置，只认可通过认证的内部子网和基站主机进行连接，若数据信息绕过该流程，那么所有数据将会被过滤。此过滤程序还可以进行保密数据的传递，基站主机在对保密数据信息接收后，可对外部过滤规则进行修改。另外，以组合结构为基础的混合型防火墙系统是以过滤管理系统以及智能认证系统将整个控制工作完成的。

信息安全论文篇12

企业信息网络比较复杂和繁琐，不仅包括受理人的资料，而且还有相关产品的详细资料以及企业内部员工的资料等，信息网络系统能否正常运行，直接关系到通讯企业发展的好与坏[1]。但是由于计算机网络和信息技术不断的发展，经常存在各种各样的要素威胁着系统的安全，从而损坏甚至丢失内部的重要信息，从而影响通信企业内部正常的运作，最终导致一系列损失[2]。因此，对于通信企业信息网络安全的控制刻不容缓，应该加大力度提高系统的安全性能。

1.信息网络安全概述

信息网络安全是指通过各种各样的网络技术手段，保证计算机在正常运行的过程中处于安全的状态，避免硬件及软件受到网络相关的危险因素的干扰与破坏，同时还可以阻止一些危险程序对整个系统进行攻击与破坏，从而将信息泄露和篡改等，最终保证信息网络在互联网的大环境中正常运行[3]。信息网络安全的维护主要是以信息与数据的完整性与可控性作为核心，并且能够通过用户的操作，实现基本的应用目的。在信息网络的安全维护中，主要包括两个方面。一是设备安全，包括计算机系统的稳定、硬件实体的安全以及软件的正常运行。二是信息安全，主要指的是数据的备份、数据库的安全性等。

2.通信企业信息网络面临的主要安全威胁

2.1人为的恶意攻击

目前信息网络所面临的最大的威胁和挑战就是认为的恶意攻击，人们采取各种各样的方式对于信息进行选择性的破坏和控制，从而造成机密信息的丢失和篡改。

2.2人为的无意失误

通讯企业通过对专门的管理人员进行管理与培训从而保证信息网络系统的正常运行，在日常管理和培训的过程中，会无意的使相应的措施处理不当，这是在所难免的，当工作人员因为自己的原因导致操作不当，会使信息网络系统出现或多或少的漏洞，还有可能造成设备的损坏，这些都是由于人为的无意失误造成的后果[4]。

2.3计算机病毒

由于计算机网络的复杂性及联系性，在工作过程中会尽可能的实现资源共享，因此所接收的结点会有很多。由于无法检测每个结点是否是安全的，因此极容易造成系统的病毒感染。而一旦信息网络受到病毒的感染后，病毒会在信息网络中以非常快的速度进行再生并且传染给其他系统，最终将波及整个网络，后果将不堪设想[5]。

3.通信企业做好信息网络工作的措施

3.1对内部网的访问保护

（1）用户身份认证。如果用户想要进入网络必须经过三个步骤即首先进行用户名进行验证，其次进行用户口令进行验证，最后依据用户帐号进入网络。在这三个步骤中最关键的操作就是用户口令，用户口令需要同时进行系统的加密从而保护网络的安全，并且还应控制同一个账户同时登陆多个计算机的这种现象[6]。（2）权限控制。管理员及用户在进入网络前需要履行某一个任务因此必须遵守所谓的权限原则，这种控制方法可以有效的防止一些非法的用户在一定时间内访问网络资源，从而从根本上阻断这条途径。在进行权限设置的过程中，一定要遵守一些原则，第一，一定要合理的设置网络权限，确保网络权限设置的准确性，不能因为所设置的权限从而影响了整个网络的正常工作，影响了工作的整体效率；第二应该增加一些先进的合理的加密操作技术来减少病毒的入侵，从而从一定程度上保证网络的正常运行，对网络信息数据使用系统性的加密来确保网络安全性和合理性，最终实现对计算机所有结点信息的实时保护。（3）加密技术。通过合理准确的数学函数转换的方法对系统以密文的形式代替明文的现象称之为数据加密，当数据加密后，只有特定的管理人员可以对其进行解密，在数据加密的过程中主要包含两大类：对称加密和不对称加密。

3.2对内外网间的访问保护

（1）安全扫描。互联网互动过程中，及时的对计算机安全卫士和杀毒软件等进行升级，以便及时的对流动数据包进行检测，以便及时有效的对网络中发现的木马和病毒采取有效的防护措施。（2）防火墙系统。防火墙作为计算机网络信息安全防护的第一道屏障，是一种加强网络之间访问控制，以此来决定网络之间传输信息的准确性、真实性及安全性，对于计算机的安全与正常运行具有重要的意义[7]。（3）入侵检测。计算机当中的病毒传播的速度较快且危害性极大，为此应该对网络系统进行病毒的预防及统一的、集中管理，采用防病毒技术及时有效的进行杀毒软件系统的升级，以便对网络互动中发现的木马或病毒程序采取及时的防护措施。

3.3网络物理隔离

在进行信息网络安全控制的过程中不能单一的采用一种安全控制对其保护，而应该根据网络的复杂性采取不同的安全策略加以控制，因此管理人员可以依据密保的等级的程度、各种功能的保护以及不同形式安全设施的水平等差异，通过网络分段隔离的方式提高通信企业信息网络安全。这样的形式及控制方法将以往的错综复杂的控制体系转变成为细化的安全控制体系，能够对于各种恶意的攻击和入侵所造成的危害降低到最小。我们通常所说的物理隔离是指能满足物理隔离的安全性要求的、相对的物理隔离技术。物理隔离的原理是使单个用户在同一时间、同一空间不能同时使用内部网和外部网两个系统。如果两个系统在空间上物理隔离，在不同的时间运行，那么就可以得到两个完全物理隔离的系统[8]。

3.4安全审计及入侵检测技术

安全审计技术对于整个信息网络安全的控制起到了关键性作用，它可以针对不同的用户其入侵的方式、过程以及活动进行系统精密的记录，主要分为两个阶段即诱捕和反击。诱捕是一种特异安排出现的漏洞，可以在一定程度允许入侵者在一定时间内侵入，以便在今后能够获得更多的入侵证据及入侵的特征；当获得足够多的特征及证据的基础上开始进行反击，通过计算机精密的系统对用户的非法入侵的行为进行秘密跟踪并且在较快的时间里查询对方的身份以及来源，从而将系统与入侵者的连接切断,还可追踪定位并对攻击源进行反击。

3.5制定切实可行的网络安全管理策略

要想使通信企业信息网络安全正常运行其前提必须保证整个网络系统的安全，必须针对网络安全提出相应的安全策略，应该使信息网络使用起来安全方便，从而寻找最方便有效的安全措施。在工作的过程中管理人员一定要熟知对于开放性和安全性的具体要求，并且在工作过程中试图寻求两者的共同点和平衡点，当两者出现矛盾的时候应该考虑事情的实际情况有进行准确的取舍。对本网络拓扑结构和能够承受的安全风险进行评估，从网络安全技术方面为保证信息基础的安全性提供了一个支撑。

信息网络的发展需要计算机技术具有跟高的要求，特别是针对通信企业的信息网络安全的控制问题应该加以关注，这直接关系到整个企业的发展。信息网络工程是一个巨大而又复杂的动态的系统工程，需要从多角度进行思索与探讨从而进行综合性的分析，才能选择出更好地安全网络设备，并且对其进行有针对的系统的优化，从而提高管理人员及工作人员的业务水平，最终全面提高整个通讯企业信息网络安全。

作者:王春宝 于晓鹏 单位:吉林师范大学计算机学院

参考文献

[1]卢昱.网络控制论浅叙[J].装备指挥技术学院学报,2002,3(6):60-64.

[2]王雨田,控制论、信息论、系统科学与哲学[M].北京:中国人民大学出版社,1986.

[3]南湘浩,陈钟.网络安全技术概论[M].北京:国防工业出版社,2003.

[4]涂华.医院信息系统的网络安全与防范[J].中山大学学报论丛,2011,04(12).

[5]王芸《.电子商务法规》.高等教育出版社,2010年版.