基層企業(yè)的信息安全管理探索

韋會琪 周曉梅

（國網(wǎng)樂山供電公司，四川樂山 614000）

基層企業(yè)的信息安全管理探索

韋會琪 周曉梅

（國網(wǎng)樂山供電公司，四川樂山 614000）

隨著科學(xué)技術(shù)的不斷發(fā)展，辦公自動化的應(yīng)用已普及到各行各業(yè)，本文主要分析了在信息社會里加強(qiáng)基層企業(yè)信息安全管理工作的必要性，結(jié)合基層企業(yè)辦公自動化的實際，對基層企業(yè)信息安全工作進(jìn)行探索，望能更好地推進(jìn)基層的信息安全管理工作。

辦公自動化 基層企業(yè) 信息安全管理

信息技術(shù)的發(fā)展改變了我們的生活，計算機(jī)或平板電腦早已成為我們的辦公伴侶，甚至智能化手機(jī)等通信產(chǎn)品有時也成為我們信息通訊和辦公不可缺少的工具。隨著信息技術(shù)的進(jìn)一步推廣應(yīng)用，信息數(shù)據(jù)的安全和保密變得越來越重要，形勢也越來越嚴(yán)峻。目前我國的信息安全管理工作還存在法制不健全、員工信息安全意識淡薄、管理手段缺乏等諸多問題，各行各業(yè)都有必要加強(qiáng)信息安全管理工作。

1 加強(qiáng)信息安全的必要性

現(xiàn)代信息技術(shù)的迅猛發(fā)展，計算機(jī)信息系統(tǒng)的廣泛應(yīng)用已與我們基層企業(yè)每位員工的日常辦公、工作效率息息相關(guān)。隨著各集成業(yè)務(wù)系統(tǒng)的推廣應(yīng)用，在業(yè)務(wù)數(shù)據(jù)的采集、存儲、處理、傳輸?shù)拳h(huán)節(jié)中，如不加強(qiáng)信息安全管理，未對辦公終端和網(wǎng)絡(luò)進(jìn)行合理的配置或采取有效的防護(hù)技術(shù)，泄密和竊密現(xiàn)象難免會發(fā)生。

計算機(jī)終端、移動存儲介質(zhì)等辦公自動化設(shè)備存在使用人員多、設(shè)備數(shù)量大、管理分散，信息數(shù)據(jù)存在傳輸環(huán)節(jié)繁雜、傳輸過程監(jiān)管難等因素，已對信息數(shù)據(jù)的安全和保密工作構(gòu)成了極大威脅。如計算機(jī)終端的安全配置低、系統(tǒng)沒有及時打補(bǔ)丁、殺毒軟件未及時升級病毒庫代碼、員工隨意安裝來歷不明的軟件等，辦公設(shè)備均可能會遭受木馬病毒感染、非法訪問、敏感或涉密信息的泄密等嚴(yán)重后果；如缺乏嚴(yán)格的設(shè)備接入、啟停管理，非授權(quán)終端可能會隨意接入，給企業(yè)的辦公網(wǎng)絡(luò)和信息安全帶來的安全隱患，可能造成極大的負(fù)面影響和經(jīng)濟(jì)損失。

承載在網(wǎng)絡(luò)上的數(shù)據(jù)信息正在受到嚴(yán)重的安全影響和威脅，傳統(tǒng)的信息安全和保密管理模式缺乏現(xiàn)代的技術(shù)手段和防護(hù)思想，已不能適應(yīng)現(xiàn)代的信息安全管理。從近幾年發(fā)生的計算機(jī)病毒感染、黑客入侵、商業(yè)秘密失竊等事件的調(diào)查中，我們不難看出信息安全隱患已危及到企業(yè)的正常經(jīng)營秩序，甚至影響到國家或企業(yè)的聲譽(yù)，嚴(yán)重的已造成經(jīng)濟(jì)損失。因此，在信息技術(shù)飛速發(fā)展的新形勢下，強(qiáng)化信息的安全和保密管理工作有著充分的必要性。

2 信息安全的管理途徑

2.1 建立健全信息安全組織，強(qiáng)化信息安全保密意識

各單位要堅持“誰主管誰負(fù)責(zé)、誰使用誰負(fù)責(zé)”的原則，信息安全是安全生產(chǎn)工作的必要組成部分，基層單位要成立信息安全管理組織機(jī)構(gòu)?！耙话咽帧眻猿钟H自抓，花大力氣抓，要將信息安全管理的工作日程與生產(chǎn)經(jīng)營工作同步部署、同步落實、同步考核。基層要組織廣大員工學(xué)習(xí)《中華人民共和國保守國家秘密法》、《中國計算機(jī)信息網(wǎng)絡(luò)國際聯(lián)網(wǎng)安全保護(hù)管理辦法》等相關(guān)信息安全管理法律法規(guī)，增強(qiáng)所有員工的信息安全和保密意識，做到企業(yè)各環(huán)節(jié)人員都知法、守法、護(hù)法。

2.2 完善保密制度，簽訂保密承諾

公司要制定和完善信息安全管理相關(guān)制度，將信息安全責(zé)任落實到每位員工?；鶎樱ú块T）主要負(fù)責(zé)人與公司保密委員會簽訂《保密工作責(zé)任書》，員工與各單位（部門）負(fù)責(zé)人簽訂《員工保密承諾書》，涉密人員與公司保密委員會簽訂《涉密人員保證書》，涉密人員離崗時與公司保密委員會簽訂《涉密人員離崗保密保證書》。責(zé)任書和承諾書中應(yīng)對業(yè)務(wù)數(shù)據(jù)的采集、處理、傳輸?shù)刃袨檫M(jìn)行必要的規(guī)范，增強(qiáng)廣大員工的信息安全責(zé)任和意識感。

2.3 加強(qiáng)涉密設(shè)備的管理，確保涉密設(shè)備安全

辦公自動化設(shè)備的接入、啟停必須嚴(yán)格遵守信息設(shè)備接入管理規(guī)定，實行接入和啟停審批制度，采取將設(shè)備的MAC地址在網(wǎng)絡(luò)參數(shù)配置中進(jìn)行綁定、認(rèn)證，避免非法設(shè)備的接入；與底層操作系統(tǒng)軟件商合作，辦公設(shè)備務(wù)必安裝專業(yè)的信息安全監(jiān)控管理軟件，系統(tǒng)具備拒絕非法移動存儲設(shè)備的接入、強(qiáng)制規(guī)范系統(tǒng)的必要安全策略配置等相關(guān)功能；移動存儲介質(zhì)的使用均要進(jìn)行認(rèn)證管理制度，存儲設(shè)備認(rèn)證到人，使信息數(shù)據(jù)在采集、處理、傳輸、拷貝的過程中均能有痕跡可查證。

2.4 加強(qiáng)內(nèi)、外網(wǎng)管理，杜絕內(nèi)、外網(wǎng)互聯(lián)

當(dāng)前在外部網(wǎng)絡(luò)上，惡意軟件、計算機(jī)病毒、信息發(fā)布監(jiān)管難等安全隱患越來越多，建議將企業(yè)的內(nèi)部辦公網(wǎng)絡(luò)與互聯(lián)網(wǎng)進(jìn)行物理隔離，不能進(jìn)行互聯(lián)。加強(qiáng)外部互聯(lián)網(wǎng)出口管理，統(tǒng)一互聯(lián)網(wǎng)出口，與企業(yè)內(nèi)部網(wǎng)路進(jìn)行同安全級別的管理和認(rèn)證。如公司因營業(yè)需要，外部互聯(lián)網(wǎng)站確需訪問內(nèi)部的營業(yè)數(shù)據(jù)時，可考慮建立中間數(shù)據(jù)庫加防火墻、網(wǎng)絡(luò)隔離器方式，配置專用的、單向的數(shù)據(jù)通道訪問策略，避免內(nèi)部網(wǎng)絡(luò)遭受黑客攻擊和非法訪問。公司應(yīng)將可能造成非法外連、非法拷貝數(shù)據(jù)的行為列舉出來，避免員工誤操作造成內(nèi)、外網(wǎng)互聯(lián)，并制定相應(yīng)的管理制度，對違規(guī)互聯(lián)行為進(jìn)行必要的安全處罰和教育。

2.5 自查與檢查結(jié)合

公司應(yīng)加強(qiáng)信息安全的檢查和督導(dǎo)作用，加強(qiáng)信息設(shè)備接入與啟用、停用管理，把控信息傳輸和信息發(fā)布的各個管理環(huán)節(jié)。基層單位每季度應(yīng)至少進(jìn)行一次信息安全的自查活動，對自查出來的違規(guī)行為、隱患點進(jìn)行排查、糾正，總結(jié)信息安全相關(guān)經(jīng)驗和教訓(xùn)，杜絕信息安全事件發(fā)生。

3 結(jié)語

基層企業(yè)要保證信息安全，不僅要求在系統(tǒng)建設(shè)、終端設(shè)備接入、信息數(shù)據(jù)傳輸?shù)认嚓P(guān)環(huán)節(jié)加強(qiáng)管理，還要求全體員工在日常工作和生活中時刻牢記信息安全責(zé)任，規(guī)范上網(wǎng)行為，杜絕違規(guī)外聯(lián)、非法拷貝、非法信息發(fā)布等行為。企業(yè)要建立和完善全過程的信息安全長效管理機(jī)制，切實消除信息安全隱患，才能持續(xù)改進(jìn)信息安全管理工作。

［1］國家電網(wǎng)公司辦公計算機(jī)信息安全和保密管理規(guī)定（國家電網(wǎng)信息【2009】434號）.

［2］關(guān)于加強(qiáng)信息安全管理和內(nèi)外網(wǎng)隔離管理的通知（樂電安監(jiān)〔2010〕23號文件）.

［3］施峰.信息安全保密基礎(chǔ)教程.北京理工大學(xué)出版社出版，2008.

［4］韓祖德.計算機(jī)信息安全基礎(chǔ)教程.人民郵電出版社，2008.9.1.