信息安全管理提升的分析與研究的論文

　　引言

　　歷經(jīng)多年的信息通信基礎設施建設，管道公司信息通信網(wǎng)絡(luò )已覆蓋分布在全國14個(gè)省市的二級單位、輸油站庫、碼頭和項目部，承載著(zhù)工業(yè)電視、視頻會(huì )議、移動(dòng)可視化等網(wǎng)絡(luò )應用以及智能化管線(xiàn)系統、ERP系統、OA系統等信息系統，成為公司生產(chǎn)運營(yíng)、經(jīng)營(yíng)管理、綜合辦公的中樞神經(jīng)�；�于日趨完善的信息安全防護建設和日益豐富的信息安全管理手段，逐步建立了信息安全管理體系，部署了常規的技術(shù)防護措施，初步落實(shí)了信息安全等級保護要求，并定期開(kāi)展信息安全風(fēng)險評估。但是，必須看到，公司信息安全工作仍然面臨十分嚴峻的形勢。

　　1信息安全面臨的形勢與挑戰

　�。�1）國際上圍繞網(wǎng)絡(luò )空間主導權與控制權的爭奪日趨激烈，信息基礎設施和社會(huì )基礎數據面臨新時(shí)期嚴峻的網(wǎng)絡(luò )攻擊風(fēng)險；云計算、物聯(lián)網(wǎng)、移動(dòng)互聯(lián)和大數據等新技術(shù)的快速發(fā)展使網(wǎng)絡(luò )安全邊界更加模糊，給信息安全帶來(lái)了新的更大的風(fēng)險和挑戰。

　�。�2）國家層面在不斷加強信息安全監管力度，專(zhuān)門(mén)成立了中央網(wǎng)絡(luò )安全與信息化領(lǐng)導小組�！熬W(wǎng)絡(luò )強國戰略”在十八屆五中全會(huì )上被納入國家十三五規劃的戰略體系，網(wǎng)絡(luò )信息安全逐漸被提升至國家安全戰略的新高度。國內先進(jìn)企業(yè)也在體系化的全面推進(jìn)信息安全風(fēng)險管控工作，傳統的“被動(dòng)靜態(tài)防護”逐漸被“主動(dòng)動(dòng)態(tài)防御”所取代。

　�。�3）管道公司在信息安全管理、技術(shù)保障和合規性建設方面取得了一定的進(jìn)展，但仍然存在以下不足：信息安全組織機構不健全，缺乏專(zhuān)業(yè)技術(shù)人才；部分員工缺乏信息安全意識，信息安全責任落實(shí)不到位；信息系統建設沒(méi)有完全落實(shí)信息安全防護同步規劃、同步建設、同步運行的“三同步”原則，信息系統等級保護沒(méi)有全面開(kāi)展；互聯(lián)網(wǎng)出口尚未統一，信息安全整體防御能力相對薄弱；無(wú)線(xiàn)網(wǎng)絡(luò )應用、終端入網(wǎng)審計及系統用戶(hù)權限管控還有待進(jìn)一步規范。

　　2信息安全管理體系與技術(shù)保障體系建設[1]

　　2.1健全信息安全管理體系

　　成立公司網(wǎng)絡(luò )安全和信息化領(lǐng)導小組，建立公司、二級單位兩級的信息安全管理與應急處置組織體系，建立安全方針政策、安全管理制度、技術(shù)標準規范、流程控制表單四個(gè)層級的信息安全標準與制度體系框架；以信息安全等級保護為主線(xiàn)，抓好信息化項目立項、驗收等關(guān)鍵節點(diǎn)，建立信息系統安全風(fēng)險管控體系；按年度開(kāi)展信息安全評估檢查，以問(wèn)題為導向提升信息安全防護水平；建立信息安全通報機制，強化信息安全意識宣教與信息安全技術(shù)培訓、技能競賽，形成良好的信息安全氛圍。

　　2.2完善信息安全技術(shù)保障體系

　　在終端安全方面，部署網(wǎng)絡(luò )準入控制系統、桌面安全管理系統、防病毒系統；在應用系統安全方面，對關(guān)鍵服務(wù)器主機設備進(jìn)行冗余部署，建立主機弱點(diǎn)分析機制、主機系統軟件備份和恢復機制、主機入侵檢測機制和主機系統操作規范。同時(shí)，通過(guò)實(shí)施現有網(wǎng)絡(luò )優(yōu)化改造、網(wǎng)關(guān)部署等措施，實(shí)現公司生產(chǎn)網(wǎng)和辦公網(wǎng)的業(yè)務(wù)安全隔離，提升網(wǎng)絡(luò )邊界安全防護能力。

　　3信息安全管理提升

　　3.1建立信息安全責任制

　　分解落實(shí)信息化歸口管理部門(mén)、業(yè)務(wù)主管部門(mén)、建設運維單位、應用部門(mén)在信息系統全生命周期中的安全責任。明確各單位、部門(mén)的主要領(lǐng)導為信息安全第一責任人，明確各級信息安全管理員及各專(zhuān)業(yè)人員的信息安全崗位職責，強調像對待生產(chǎn)安全一樣對待信息安全，營(yíng)造人人有責、人人盡責、齊抓共管的信息安全管控環(huán)境。

　　3.2加強信息系統安全等級

　　保護與信息化項目全生命周期的信息安全閉環(huán)管理，抓好過(guò)程管控，切實(shí)落實(shí)“三同步”要求。在立項階段確定安全等級，編制安全方案；在建設實(shí)施階段實(shí)施安全方案；在上線(xiàn)驗收階段嚴格安全檢查，杜絕系統“帶病”上線(xiàn)運行。同時(shí)，梳理檢查已投入運行維護的系統，確保全部納入信息系統安全等級保護管理。

　　3.3建立健全信息安全應急響應機制

　　豐富信息安全應急資源，完善信息安全應急預案并加強演練，提升信息安全事件的響應速度和處置水平。通過(guò)技術(shù)培訓和人才引進(jìn)，加強信息安全技術(shù)團隊建設，提升信息安全態(tài)勢感知能力和動(dòng)態(tài)主動(dòng)防御水平，促使信息安全管理由“救火型”向“預防型”轉變。

　　3.4建立健全信息安全分析和通報制度

　　結合國內外及石化行業(yè)信息安全形勢，開(kāi)展信息安全分析，查擺問(wèn)題，研究制定解決方案。擴大《信息安全通報》影響面，充實(shí)通報內容，充分發(fā)揮通報發(fā)布信息安全信息、傳播信息安全知識、安排信息安全工作、通報信息安全考核結果的綜合作用。

　　3.5統一公司互聯(lián)網(wǎng)出口

　　按業(yè)務(wù)需要嚴格管控，互聯(lián)網(wǎng)訪(fǎng)問(wèn)實(shí)行實(shí)名制管理，互聯(lián)網(wǎng)訪(fǎng)問(wèn)資源實(shí)行白名單管理。對外應用發(fā)布統一至公司云平臺的對外發(fā)布區，建立統一遠程接入區。建立公司統一的無(wú)線(xiàn)網(wǎng)絡(luò )的認證系統，取締私自接入的無(wú)線(xiàn)路由器，規范無(wú)線(xiàn)網(wǎng)絡(luò )應用，為移動(dòng)應用提供安全通道。

　　3.6加強用戶(hù)弱口令管理

　　全面啟用強密碼策略，提升用戶(hù)登錄認證的安全強度；將統一身份管理系統與HR系統集成，實(shí)時(shí)同步人員信息，強化用戶(hù)賬號的實(shí)名制管理。加強終端安全管理，實(shí)施用戶(hù)終端準入實(shí)名制管理，全面提高統一防病毒軟件和桌面管理軟件的安裝率，并積極推進(jìn)虛擬桌面的普及應用。

　　3.7建立完善公司信息安全基線(xiàn)

　　以基線(xiàn)為基礎實(shí)現信息安全的全面管控，降低局部信息安全事件對整體信息安全形勢的影響，采取主動(dòng)的防御思想，建設信息安全防護體系，并適時(shí)對基線(xiàn)進(jìn)行調整，實(shí)現對信息安全事件的有效防御，切實(shí)提升信息安全管理和防護水平。

　　4結束語(yǔ)

　　信息安全管理要堅持技術(shù)與管理并重[1]，在提高信息安全技術(shù)防護能力、做好適度防護的同時(shí)，注重信息安全組織體系、風(fēng)險控制和運行服務(wù)等方面的管理，形成信息安全動(dòng)態(tài)長(cháng)效管理機制以及預防為主的主動(dòng)式信息安全保護模式；既要作為一個(gè)單項重要工作來(lái)抓，更要融入各項日常信息化工作，特別是信息系統全生命周期管理中去，才能保障企業(yè)信息化的健康有序發(fā)展。

　　參考文獻

　　[1]劉希儉等.企業(yè)信息化實(shí)務(wù)指南[M].北京：石油工業(yè)出版社；2011.

【信息安全管理提升的分析與研究的論文】相關(guān)文章：

信息安全管理論文06-20

信息安全管理論文11-10

探析電力企業(yè)網(wǎng)絡(luò )和信息安全管理的分析論文10-25

信息安全管理論文(通用)06-14

關(guān)于網(wǎng)絡(luò )信息安全問(wèn)題及對策分析論文07-02

關(guān)于物聯(lián)網(wǎng)的信息安全技術(shù)研究論文09-29

信息安全管理論文經(jīng)典15篇06-21

部隊信息安全保密風(fēng)險管理探究論文06-04

安全管理提升方案12-11

信息安全管理論文(實(shí)用15篇)06-22