網(wǎng)絡(luò)安全等級(jí)測(cè)評(píng)報(bào)告精選(九篇)

前言：一篇好文章的誕生，需要你不斷地搜集資料、整理思路，本站小編為你收集了豐富的網(wǎng)絡(luò)安全等級(jí)測(cè)評(píng)報(bào)告主題范文，僅供參考，歡迎閱讀并收藏。

第1篇：網(wǎng)絡(luò)安全等級(jí)測(cè)評(píng)報(bào)告范文

關(guān)鍵詞：信息安全；等級(jí)保護(hù)；等級(jí)測(cè)評(píng)；實(shí)踐教學(xué)；綜合實(shí)訓(xùn)

DOIDOI：10.11907/rjdk.161717

中圖分類號(hào)：G434

文獻(xiàn)標(biāo)識(shí)碼：A文章編號(hào)文章編號(hào)：16727800（2016）009017303

基金項(xiàng)目基金項(xiàng)目：貴州省科技廳社發(fā)攻關(guān)項(xiàng)目（黔科合SY字2012-3050號(hào)）；貴州大學(xué)自然科學(xué)青年基金項(xiàng)目（貴大自青合字2010-026號(hào)）；貴州大學(xué)教育教學(xué)改革研究項(xiàng)目（JG2013097）

作者簡(jiǎn)介作者簡(jiǎn)介：張文勇（1973-），男，貴州臺(tái)江人，碩士，貴州大學(xué)計(jì)算機(jī)科學(xué)與技術(shù)學(xué)院講師，研究方向?yàn)?a href="http://wda8f421.cn/haowen/250415.html" target="_blank">網(wǎng)絡(luò)與信息安全；李維華（1961-），男，貴州貴陽(yáng)人，貴州大學(xué)計(jì)算機(jī)科學(xué)與技術(shù)學(xué)院高級(jí)實(shí)驗(yàn)師，研究方向?yàn)榫W(wǎng)絡(luò)與信息安全；唐作其（1980-），男，貴州興義人，碩士，貴州大學(xué)計(jì)算機(jī)科學(xué)與技術(shù)學(xué)院副教授，研究方向?yàn)樾畔踩Ｕ象w系。

0引言

信息安全等級(jí)保護(hù)是國(guó)家信息安全保障工作的基本制度、基本策略、基本方法，開展信息安全等級(jí)保護(hù)工作是保護(hù)信息化發(fā)展、維護(hù)國(guó)家信息安全的根本保障，是信息安全保障工作中國(guó)家意志的體現(xiàn)。信息安全學(xué)科要求學(xué)生不僅要具備很強(qiáng)的理論知識(shí)，更應(yīng)具備較強(qiáng)的實(shí)踐能力?，F(xiàn)階段很多高校在理論教學(xué)上有較好的培養(yǎng)方法和模式，學(xué)生具備良好的理論基礎(chǔ)，但在實(shí)踐教學(xué)中由于各課程的銜接和關(guān)聯(lián)較少，盡管部分學(xué)校開設(shè)了信息安全實(shí)訓(xùn)或信息安全攻防實(shí)踐等課程，但基本都是做一些單元實(shí)驗(yàn)，僅局限于某一方面的技能訓(xùn)練，沒有從全局、系統(tǒng)的角度去培養(yǎng)學(xué)生綜合運(yùn)用各種信息安全知識(shí)解決實(shí)際問(wèn)題的能力[15]。從貴州大學(xué)信息安全專業(yè)畢業(yè)生就業(yè)情況調(diào)查反饋信息來(lái)看，絕大多數(shù)畢業(yè)生主要從事企事業(yè)單位的信息安全管理、信息安全專業(yè)服務(wù)等工作，少數(shù)畢業(yè)生從事信息安全產(chǎn)品研發(fā)，或繼續(xù)碩士博士深造，從事信息安全理論研究。用人單位普遍反映學(xué)生的基本理論掌握相對(duì)較好，但實(shí)際操作技能、綜合分析能力欠缺。為了解決目前這種狀況，筆者根據(jù)長(zhǎng)期從事信息安全等級(jí)保護(hù)項(xiàng)目實(shí)施工作實(shí)踐，提出在信息安全專業(yè)的實(shí)踐教學(xué)環(huán)節(jié)中引入信息安全等級(jí)保護(hù)相關(guān)內(nèi)容。

1信息安全等級(jí)保護(hù)對(duì)學(xué)生能力培養(yǎng)的作用

信息安全等級(jí)保護(hù)工作包括定級(jí)、備案、安全建設(shè)和整改、信息安全等級(jí)測(cè)評(píng)、信息安全檢查5個(gè)階段，信息系統(tǒng)安全等級(jí)測(cè)評(píng)是驗(yàn)證信息系統(tǒng)是否滿足相應(yīng)安全保護(hù)等級(jí)的評(píng)估過(guò)程。信息安全等級(jí)保護(hù)的知識(shí)體系完善，信息安全等級(jí)保護(hù)測(cè)評(píng)人員的技術(shù)要求涵蓋多個(gè)方面，包括物理環(huán)境、主機(jī)、操作系統(tǒng)、應(yīng)用安全、安全設(shè)備等，因此國(guó)家對(duì)于信息安全等級(jí)保護(hù)人員的技術(shù)要求十分綜合和全面[3]。如參照信息安全等級(jí)保護(hù)專業(yè)人員的技術(shù)要求對(duì)學(xué)生開展信息安全綜合實(shí)訓(xùn)將滿足社會(huì)對(duì)信息安全專業(yè)人員的技能和知識(shí)結(jié)構(gòu)要求，主要體現(xiàn)在以下4個(gè)方面：①培養(yǎng)學(xué)生了解國(guó)家關(guān)于非信息系統(tǒng)保護(hù)的基本方針、政策、標(biāo)準(zhǔn)；②培養(yǎng)學(xué)生掌握各種基本信息安全技術(shù)操作技能，熟悉各種信息系統(tǒng)構(gòu)成對(duì)象的基本操作，為將來(lái)快速融入到信息安全保護(hù)實(shí)踐工作奠定基礎(chǔ)；③培養(yǎng)學(xué)生具備從綜合、全面的角度去規(guī)劃、設(shè)計(jì)、構(gòu)建符合國(guó)家信息安全保障體系要求的信息安全防護(hù)方案能力；④培養(yǎng)學(xué)生建立信息安全等級(jí)保護(hù)的基本意識(shí)，在工作實(shí)踐中自覺按國(guó)家信息安全等級(jí)保護(hù)要求開展工作，有利于促進(jìn)國(guó)家信息安全等級(jí)保護(hù)政策實(shí)施。

2實(shí)訓(xùn)教學(xué)知識(shí)體系

信息安全等級(jí)保護(hù)的相關(guān)政策和標(biāo)準(zhǔn)是信息安全實(shí)訓(xùn)教學(xué)體系建立的基本依據(jù)，GB/T 22239-2008《信息安全等級(jí)保護(hù)基本要求》在信息安全等級(jí)保護(hù)標(biāo)準(zhǔn)體系中起基礎(chǔ)性作用。信息安全等級(jí)保護(hù)基本要求充分體現(xiàn)了“全面防御，縱深防御”的理念，遵循了“技術(shù)和管理并重”的基本原則，而不同級(jí)別的業(yè)務(wù)信息系統(tǒng)在控制點(diǎn)要求項(xiàng)上的區(qū)別體現(xiàn)了“適度安全”的根本原則[6]。信息安全保護(hù)測(cè)評(píng)是信息安全等級(jí)保護(hù)的一項(xiàng)重要基礎(chǔ)性工作，GB/T 28449-2012《信息安全等級(jí)保護(hù)測(cè)評(píng)過(guò)程指南》是對(duì)等級(jí)測(cè)評(píng)的活動(dòng)、工作任務(wù)以及每項(xiàng)任務(wù)的工作內(nèi)容作出了詳細(xì)建議，等級(jí)測(cè)評(píng)中的單元測(cè)評(píng)、整體測(cè)評(píng)、風(fēng)險(xiǎn)分析、問(wèn)題處置及建議環(huán)節(jié)體現(xiàn)了測(cè)評(píng)工程師對(duì)等保項(xiàng)目基本安全保障情況的綜合分析能力[610]。信息安全等級(jí)保護(hù)知識(shí)體系龐大，不可能兼顧所有方面，因而在信息安全實(shí)訓(xùn)教學(xué)知識(shí)體系制訂中采用兼顧全局、突出重點(diǎn)的基本原則；在實(shí)訓(xùn)教學(xué)知識(shí)體系的構(gòu)成中重點(diǎn)以《信息安全等級(jí)保護(hù)基本要求》和《信息安全等級(jí)保護(hù)測(cè)評(píng)過(guò)程指南》為基礎(chǔ)，包括基本理論培訓(xùn)、基本技能實(shí)訓(xùn)、安全管理培訓(xùn)、能力提高實(shí)訓(xùn)四大模塊；在實(shí)際操作中將重點(diǎn)放在基本技能實(shí)訓(xùn)和能力提高實(shí)訓(xùn)上。各實(shí)訓(xùn)模塊構(gòu)成及關(guān)系如圖1所示。

3實(shí)訓(xùn)教學(xué)實(shí)施

教學(xué)實(shí)施依據(jù)實(shí)訓(xùn)教學(xué)知識(shí)體系進(jìn)行，教學(xué)方式采用集中課堂基本理論教學(xué)、在信息系統(tǒng)模擬平臺(tái)實(shí)施現(xiàn)場(chǎng)測(cè)評(píng)數(shù)據(jù)采集的基本操作實(shí)訓(xùn)和以信息安全等級(jí)保護(hù)測(cè)評(píng)報(bào)告的編寫為基礎(chǔ)的數(shù)據(jù)分析、數(shù)據(jù)整理、安全方案編寫實(shí)訓(xùn)。

3.1基本理論教學(xué)

該環(huán)節(jié)采用集中課堂教學(xué)方式，講解的主要內(nèi)容是信息安全等級(jí)保護(hù)政策和標(biāo)準(zhǔn)。講解深度上應(yīng)有所側(cè)重，講解重點(diǎn)包括：①信息安全等級(jí)保護(hù)基本要求中層面的劃分原則和依據(jù)、控制點(diǎn)的構(gòu)成、控制點(diǎn)中要求項(xiàng)的解讀；②信息安全保護(hù)過(guò)程指南中單元測(cè)評(píng)、整體測(cè)評(píng)、風(fēng)險(xiǎn)分析、問(wèn)題處置和建議等部分的解讀。

理論教學(xué)在突出重點(diǎn)的同時(shí)，兼顧全局，讓學(xué)生對(duì)信息安全等級(jí)保護(hù)制度和標(biāo)準(zhǔn)有一個(gè)完整、清晰的認(rèn)識(shí)。

3.2基本技能實(shí)訓(xùn)

基本技能實(shí)訓(xùn)環(huán)節(jié)主要是強(qiáng)化學(xué)生各種信息安全技術(shù)的基本操作訓(xùn)練。首先，應(yīng)根據(jù)最真實(shí)的企業(yè)內(nèi)部環(huán)境搭建符合信息安全等級(jí)保護(hù)要求的模擬信息系統(tǒng)，并編寫好對(duì)應(yīng)的信息安全等級(jí)保護(hù)現(xiàn)場(chǎng)測(cè)評(píng)指導(dǎo)書；然后，指導(dǎo)學(xué)生在模擬系統(tǒng)上進(jìn)行現(xiàn)場(chǎng)測(cè)評(píng)實(shí)訓(xùn)，實(shí)訓(xùn)過(guò)程按信息安全等級(jí)保護(hù)現(xiàn)場(chǎng)測(cè)評(píng)指導(dǎo)書要求進(jìn)行，實(shí)訓(xùn)內(nèi)容以獲取信息系統(tǒng)安全配置和運(yùn)行狀態(tài)等原始數(shù)據(jù)為基礎(chǔ)?；炯寄軐?shí)訓(xùn)模塊包括網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全、數(shù)據(jù)備份及恢復(fù)、自動(dòng)化工具掃描這5個(gè)層面的訓(xùn)練項(xiàng)目。

（1）網(wǎng)絡(luò)安全。學(xué)生在模擬平臺(tái)上開展各種主流的網(wǎng)絡(luò)設(shè)備和安全設(shè)備的基本操作訓(xùn)練，要求學(xué)生理解網(wǎng)絡(luò)設(shè)備和安全設(shè)備的安全功能及安全設(shè)置，掌握設(shè)備的運(yùn)行狀態(tài)和信息數(shù)據(jù)采集方法。

（2）主機(jī)安全。學(xué)生在模擬平臺(tái)上開展各種主流系統(tǒng)軟件基本操作訓(xùn)練，包括操作系統(tǒng)、數(shù)據(jù)庫(kù)系統(tǒng)、中間件等，要求學(xué)生理解各種系統(tǒng)軟件的安全功能和安全設(shè)置。通過(guò)本環(huán)節(jié)的實(shí)訓(xùn)，學(xué)生應(yīng)具備系統(tǒng)軟件安全配置核查和運(yùn)行狀態(tài)信息采集能力。

（3）應(yīng)用安全。學(xué)生在模擬平臺(tái)上對(duì)所安裝的主流商用應(yīng)用軟件和自主開發(fā)軟件進(jìn)行安全配置核查和安全功能驗(yàn)證訓(xùn)練，要求學(xué)生理解應(yīng)用軟件的安全功能設(shè)計(jì)要求，掌握應(yīng)用軟件的安全配置核查和安全功能驗(yàn)證方法。

（4） 數(shù)據(jù)備份和回復(fù)。通過(guò)模擬系統(tǒng)的磁盤冗余陣列進(jìn)行基本操作訓(xùn)練，讓學(xué)生了解磁盤冗余陣列的驗(yàn)證方法；通過(guò)訓(xùn)練學(xué)生在操作系統(tǒng)和數(shù)據(jù)庫(kù)管理系統(tǒng)上配置計(jì)劃備份任務(wù)，使其理解系統(tǒng)軟件的數(shù)據(jù)備份安全功能，掌握系統(tǒng)軟件的備份操作計(jì)劃配置和驗(yàn)證方法。

（5）自動(dòng)化工具掃描。學(xué)生利用主流的開源掃描工具和商用的掃描工具對(duì)模擬系統(tǒng)上的網(wǎng)絡(luò)設(shè)備、安全設(shè)備、服務(wù)器主機(jī)等進(jìn)行掃描，獲取信息系統(tǒng)主要軟硬件的漏洞，并驗(yàn)證系統(tǒng)的脆弱性。本部分獲取的原始數(shù)據(jù)作為（1）、（2）、（3）部分的補(bǔ)充，通過(guò)本環(huán)節(jié)培訓(xùn)學(xué)生整理和分析漏洞掃描結(jié)果以及初步驗(yàn)證漏洞真實(shí)性的能力。

3.3能力提高實(shí)訓(xùn)

在學(xué)生掌握信息系統(tǒng)安全配置和運(yùn)行狀態(tài)數(shù)據(jù)采集的基本技能后實(shí)施能力提高實(shí)訓(xùn)，本模塊主要培訓(xùn)學(xué)生對(duì)原始數(shù)據(jù)的分析、整理，并編寫信息安全等級(jí)保護(hù)測(cè)評(píng)報(bào)告的能力。能力提高實(shí)訓(xùn)模塊主要包括單元測(cè)評(píng)、整體測(cè)評(píng)、風(fēng)險(xiǎn)分析、問(wèn)題處置和安全建議4個(gè)項(xiàng)目，各項(xiàng)目之間的關(guān)系流程如圖2所示。

（1）通過(guò)基本技能實(shí)訓(xùn)獲取到原始數(shù)據(jù)后，根據(jù)信息安全等級(jí)保護(hù)測(cè)評(píng)過(guò)程要求整理、分析原始數(shù)據(jù)，開展單元測(cè)評(píng)，并給出各單元層面內(nèi)控制點(diǎn)中檢查項(xiàng)的符合性，分析并給出單元測(cè)評(píng)結(jié)果，按信息安全等級(jí)保護(hù)報(bào)告模板編寫單元測(cè)評(píng)報(bào)告。

（2）在完成單元測(cè)評(píng)后，由于單元測(cè)評(píng)參照的信息相對(duì)獨(dú)立，未考慮原始數(shù)據(jù)間的關(guān)聯(lián)性，而實(shí)際信息系統(tǒng)的最終安全防護(hù)效力和面臨的風(fēng)險(xiǎn)是信息系統(tǒng)安全控制點(diǎn)間、安全層面間、安全區(qū)域間各組成要素共同作用的結(jié)果，因此在完成單元測(cè)評(píng)后還應(yīng)該進(jìn)行整體測(cè)評(píng)。整體測(cè)評(píng)主要是考慮單元測(cè)評(píng)中的各控制點(diǎn)間、安全層面間、安全區(qū)域間存在某種關(guān)聯(lián)性，這種關(guān)聯(lián)會(huì)對(duì)信息系統(tǒng)整體的安全防護(hù)效力、面臨的風(fēng)險(xiǎn)具有降低或增加的作用，應(yīng)從整體角度對(duì)信息系統(tǒng)安全的狀態(tài)進(jìn)行修正。

（3）風(fēng)險(xiǎn)分析結(jié)果是制訂信息安全系統(tǒng)防護(hù)措施的重要依據(jù)，風(fēng)險(xiǎn)分析能力是體現(xiàn)信息安全工程師水平的一項(xiàng)重要指標(biāo)。在風(fēng)險(xiǎn)分析實(shí)訓(xùn)項(xiàng)目中結(jié)合單元測(cè)評(píng)和整體測(cè)評(píng)結(jié)果利用風(fēng)險(xiǎn)分析計(jì)算工具對(duì)信息系統(tǒng)面臨的風(fēng)險(xiǎn)等級(jí)大小進(jìn)行定性或定量的分析計(jì)算，并編寫風(fēng)險(xiǎn)分析報(bào)告。

（4）確定信息系統(tǒng)存在的風(fēng)險(xiǎn)后，接著應(yīng)分析引起信息系統(tǒng)風(fēng)險(xiǎn)的因素，對(duì)不可接受風(fēng)險(xiǎn)因素或不能滿足等級(jí)保護(hù)要求的安全防護(hù)項(xiàng)提出完整的問(wèn)題處置和整改建議。問(wèn)題處置和整改建議環(huán)節(jié)要求信息安全工程技術(shù)人員具備扎實(shí)理論知識(shí)的同時(shí)還具備相當(dāng)豐富的實(shí)踐經(jīng)驗(yàn)，工程技術(shù)人員必須熟悉信息安全的各種防護(hù)技術(shù)和目前市場(chǎng)上相關(guān)的信息安全軟硬件安全產(chǎn)品。因此，本實(shí)訓(xùn)項(xiàng)目主要是訓(xùn)練并提高學(xué)生綜合運(yùn)用信息安全技術(shù)解決實(shí)際問(wèn)題的能力。

4結(jié)語(yǔ)

在信息安全專業(yè)的實(shí)踐教學(xué)中引入信息安全等級(jí)保護(hù)內(nèi)容，實(shí)訓(xùn)教學(xué)知識(shí)體系完全參照信息安全等級(jí)保護(hù)要求來(lái)構(gòu)建，信息安全等級(jí)保護(hù)知識(shí)體系完善，保證了實(shí)訓(xùn)內(nèi)容的廣度和深度。通過(guò)信息安全等級(jí)保護(hù)現(xiàn)場(chǎng)測(cè)評(píng)環(huán)節(jié)訓(xùn)練學(xué)生的信息安全技術(shù)基本操作技能，通過(guò)信息安全等級(jí)保護(hù)測(cè)評(píng)報(bào)告的編制訓(xùn)練學(xué)生運(yùn)用信息安全等級(jí)保護(hù)基本知識(shí)、理論和方法去分析信息系統(tǒng)存在的漏洞、面臨的安全風(fēng)險(xiǎn)，并編制符合信息安全等級(jí)保護(hù)要求的安全防護(hù)方案，提高學(xué)生綜合運(yùn)用信息安全技術(shù)解決實(shí)際問(wèn)題的能力，較好地滿足了社會(huì)對(duì)信息安全人才的需求，深受信息安全等級(jí)保護(hù)技術(shù)服務(wù)機(jī)構(gòu)和已開展或擬開展信息系統(tǒng)安全等級(jí)保護(hù)的企事業(yè)及機(jī)關(guān)單位的歡迎，為學(xué)生畢業(yè)后盡快適應(yīng)工作要求奠定了基礎(chǔ)。

由于實(shí)驗(yàn)環(huán)境的限制，所制訂的基于信息安全等級(jí)保護(hù)的實(shí)訓(xùn)教學(xué)知識(shí)體系仍存在以下3點(diǎn)不足：①實(shí)訓(xùn)教學(xué)體系未涉及虛擬化、云計(jì)算、物聯(lián)網(wǎng)安全實(shí)訓(xùn)，而這些是當(dāng)前發(fā)展較快且正被廣泛運(yùn)用的信息技術(shù)；②由于滲透測(cè)試對(duì)測(cè)試環(huán)境搭建和學(xué)生基本技能要求較高，因而實(shí)訓(xùn)教學(xué)體系中并未涉及滲透測(cè)試項(xiàng)目；③信息安全管理在信息安全防護(hù)工作中是非常重要但卻最容易被忽視的工作內(nèi)容，可以說(shuō)一個(gè)組織的信息安全管理水平高低直接決定其信息系統(tǒng)的安全防護(hù)能力。因?yàn)榘踩芾頊y(cè)評(píng)基本上采用的是制度類、證據(jù)類、記錄類文檔性資料的核查和訪談，而在實(shí)訓(xùn)中難以模擬一個(gè)完整的安全管理體系實(shí)際案例，所以在實(shí)訓(xùn)中安全管理部分更多地是采用課堂教學(xué)講解，沒有操作實(shí)訓(xùn)。 這些在后續(xù)教學(xué)實(shí)踐工作中都有待改進(jìn)。

參考文獻(xiàn)參考文獻(xiàn)：

[1]楊冬曉，嚴(yán)曉浪，于慧敏.信息類特色專業(yè)建設(shè)的若干實(shí)踐[J].中國(guó)電子教育，2010（1）：3945.

[2]田秀霞.創(chuàng)新實(shí)踐項(xiàng)目驅(qū)動(dòng)的信息安全專業(yè)教學(xué)改革[J].計(jì)算機(jī)教育，2015（23）：3033.

[3]張勝生，呂緒銀.基于信息安全場(chǎng)景下的等級(jí)保護(hù)技術(shù)人才培養(yǎng)模式研究[C].第二屆全國(guó)信息安全等級(jí)保護(hù)測(cè)評(píng)體系建設(shè)會(huì)議論文集，2012：8385.

[4]李琳，陳東方，李濤，等.信息安全專業(yè)實(shí)踐教學(xué)體系研究[J].電腦知識(shí)與技術(shù).2014，10（35）：85148515.

[5]蔣煒.信息安全等級(jí)保護(hù)培訓(xùn)探討[J].現(xiàn)代企業(yè)研究，2015（2）：64.

[6]公安部信息安全等級(jí)保護(hù)評(píng)估中心.信息安全等級(jí)保護(hù)政策培訓(xùn)教程[M].北京：電子工業(yè)出版社，2015.

[7]公安部信息安全等級(jí)保護(hù)評(píng)估中心.信息安全等級(jí)測(cè)評(píng)師培訓(xùn)教程（中級(jí)） [M].北京：電子工業(yè)出版社，2015.

[8]公安部信息安全等級(jí)保護(hù)評(píng)估中心.信息安全等級(jí)測(cè)評(píng)師培訓(xùn)教程（初級(jí)） [M].北京：電子工業(yè)出版社，2015.

第2篇：網(wǎng)絡(luò)安全等級(jí)測(cè)評(píng)報(bào)告范文

兩個(gè)發(fā)展階段

衛(wèi)生監(jiān)督中心信息安全等級(jí)保護(hù)工作大致經(jīng)歷了兩個(gè)發(fā)展階段。

啟動(dòng)與探索階段（2007年～2008年）：2007年12月，原衛(wèi)生部組織專家組對(duì)部直屬機(jī)關(guān)報(bào)送的信息安全等級(jí)保護(hù)定級(jí)情況進(jìn)行了評(píng)審。衛(wèi)生監(jiān)督中心的衛(wèi)生監(jiān)督信息報(bào)告系統(tǒng)和衛(wèi)生行政許可受理評(píng)審系統(tǒng)確定為第三級(jí)保護(hù)，衛(wèi)生監(jiān)督中心網(wǎng)站確定為第二級(jí)保護(hù)。衛(wèi)生監(jiān)督中心在了解了信息安全等級(jí)保護(hù)制度的同時(shí)，啟動(dòng)了信息安全等級(jí)保護(hù)相關(guān)工作。為摸清信息安全隱患，2008年衛(wèi)生監(jiān)督中心聘請(qǐng)了具有信息安全相關(guān)資質(zhì)的信息安全咨詢公司對(duì)等保涉及的信息系統(tǒng)進(jìn)行了信息安全測(cè)評(píng)，并制定了相應(yīng)的整改方案。由于2008年信息安全整改資金等原因，未開展相關(guān)整改工作。

發(fā)展階段（2009年至今）：本著統(tǒng)籌考慮、分布實(shí)施的原則，在實(shí)施國(guó)家級(jí)衛(wèi)生監(jiān)督信息系統(tǒng)建設(shè)項(xiàng)目之初就參照等級(jí)保護(hù)有關(guān)要求規(guī)劃和設(shè)計(jì)業(yè)務(wù)應(yīng)用系統(tǒng)及其運(yùn)行環(huán)境，同時(shí)積極開展等級(jí)保護(hù)備案等工作。在國(guó)家級(jí)項(xiàng)目二期中，專項(xiàng)對(duì)信息安全進(jìn)行加固。并每年邀請(qǐng)公安部信息安全等級(jí)保護(hù)評(píng)估中心，對(duì)衛(wèi)生監(jiān)督中心的第三級(jí)保護(hù)系統(tǒng)進(jìn)行了安全等級(jí)測(cè)評(píng)。

截至目前，衛(wèi)生監(jiān)督中心共有3個(gè)信息安全等級(jí)保護(hù)第三級(jí)的信息系統(tǒng)，4個(gè)信息安全等級(jí)保護(hù)第二級(jí)的信息系統(tǒng)。

信息安全技術(shù)體系

衛(wèi)生監(jiān)督信息系統(tǒng)信息安全技術(shù)體系建設(shè)，嚴(yán)格遵循等級(jí)保護(hù)第三級(jí)的技術(shù)要求進(jìn)行詳細(xì)設(shè)計(jì)、技術(shù)選擇、產(chǎn)品選型、產(chǎn)品部署。技術(shù)體系從物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全、數(shù)據(jù)安全及備份恢復(fù)等5個(gè)方面進(jìn)行設(shè)計(jì)。

1.物理安全

衛(wèi)生監(jiān)督中心現(xiàn)有南北兩個(gè)機(jī)房，機(jī)房及相關(guān)配套設(shè)施面積總計(jì)160平方米。北機(jī)房部署等級(jí)保護(hù)第三級(jí)信息系統(tǒng)，南機(jī)房部署等級(jí)保護(hù)第二級(jí)信息系統(tǒng)，實(shí)現(xiàn)了第三級(jí)系統(tǒng)與第二級(jí)系統(tǒng)物理環(huán)境隔離。根據(jù)等級(jí)保護(hù)有關(guān)要求，機(jī)房均采用了精密空調(diào)、門禁系統(tǒng)、環(huán)境監(jiān)測(cè)系統(tǒng)等設(shè)備設(shè)施及技術(shù)手段，有效地保證了機(jī)房的物理安全。

2.網(wǎng)絡(luò)安全

主干網(wǎng)絡(luò)鏈路均采用雙鏈路連接，關(guān)鍵網(wǎng)絡(luò)、安全設(shè)備均采用雙機(jī)冗余方式，避免單點(diǎn)故障。采用防火墻、入侵防護(hù)系統(tǒng)、DDoS系統(tǒng)進(jìn)行邊界防護(hù)，各網(wǎng)絡(luò)區(qū)域之間采用防火墻進(jìn)行區(qū)域隔離，在對(duì)外服務(wù)區(qū)部署了入侵檢測(cè)系統(tǒng)，在交換服務(wù)區(qū)部署了網(wǎng)絡(luò)審計(jì)系統(tǒng)。在核心數(shù)據(jù)區(qū)部署了數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)，對(duì)網(wǎng)絡(luò)行為進(jìn)行監(jiān)控和記錄。在安全管理區(qū)部署安全管理系統(tǒng)，實(shí)現(xiàn)設(shè)備日志的統(tǒng)一收集及分析。

3.主機(jī)安全

所有服務(wù)器和管理終端配置了密碼安全策略；禁止用戶遠(yuǎn)程管理，管理用戶必須進(jìn)入機(jī)房通過(guò)KVM進(jìn)行本地管理；所有服務(wù)器和管理終端進(jìn)行了補(bǔ)丁更新，刪除了多余賬戶，關(guān)閉了不必要的端口和服務(wù)；所有服務(wù)器和管理終端開啟了安全審計(jì)功能；通過(guò)對(duì)數(shù)據(jù)庫(kù)的安全配置，實(shí)現(xiàn)管理用戶和特權(quán)用戶的分離，并實(shí)現(xiàn)最小授權(quán)要求。

4.應(yīng)用安全

衛(wèi)生監(jiān)督中心7個(gè)應(yīng)用系統(tǒng)均完成了定級(jí)備案，并按照等級(jí)保護(hù)要求開展了測(cè)評(píng)工作。應(yīng)用服務(wù)器采取了集群工作部署，保證了系統(tǒng)的高可用性，同時(shí)建立了安全審計(jì)功能模塊，記錄登錄日志、業(yè)務(wù)操作日志、系統(tǒng)操作日志3種日志，并實(shí)現(xiàn)查詢和審計(jì)統(tǒng)計(jì)功能，配置了獨(dú)立的審計(jì)賬戶。門戶網(wǎng)站也采用了網(wǎng)頁(yè)防篡改、DDoS等系統(tǒng)。信息安全等級(jí)保護(hù)第三級(jí)系統(tǒng)管理人員及高權(quán)限用戶均使用CA證書登錄相應(yīng)系統(tǒng)。

5.數(shù)據(jù)安全及備份恢復(fù)

衛(wèi)生監(jiān)督信息報(bào)告系統(tǒng)數(shù)據(jù)庫(kù)服務(wù)器使用了雙機(jī)熱備，應(yīng)用服務(wù)器采用多機(jī)負(fù)載均衡，每天本地備份，保證了業(yè)務(wù)系統(tǒng)的安全、穩(wěn)定和可靠運(yùn)行。其余等級(jí)保護(hù)第三級(jí)信息系統(tǒng)使用了雙機(jī)備份，無(wú)論是軟件還是硬件問(wèn)題，都可以及時(shí)準(zhǔn)確地進(jìn)行恢復(fù)并正常提供服務(wù)。同時(shí)，衛(wèi)生監(jiān)督中心在云南建立了異地?cái)?shù)據(jù)備份中心，每天進(jìn)行增量備份，每周對(duì)數(shù)據(jù)進(jìn)行一次全備份。備份數(shù)據(jù)在一定時(shí)間內(nèi)進(jìn)行恢復(fù)測(cè)試，保證備份的有效性。

信息安全管理體系

在開展信息安全等級(jí)保護(hù)工作中，我們深刻體會(huì)到，信息安全工作“三分靠技術(shù)，七分靠管理”。為保證信息安全等級(jí)保護(hù)工作順利進(jìn)行，參考ISO/IEC 27001《信息安全管理體系要求》，衛(wèi)生監(jiān)督中心建立了符合實(shí)際工作情況的信息安全管理制度體系，明確了“統(tǒng)一領(lǐng)導(dǎo)，技管并重；預(yù)防為主，責(zé)權(quán)分明；重點(diǎn)防護(hù)，適度安全”的安全方針，涵蓋等級(jí)保護(hù)管理要求中安全管理制度、安全管理機(jī)構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理、系統(tǒng)運(yùn)維管理五大方面的要求。

衛(wèi)生監(jiān)督中心建立了較為完善的信息安全責(zé)任制，設(shè)立了信息安全領(lǐng)導(dǎo)小組，領(lǐng)導(dǎo)小組組長(zhǎng)由衛(wèi)生監(jiān)督中心主任擔(dān)任，成員由衛(wèi)生監(jiān)督中心有關(guān)處室負(fù)責(zé)人組成，信息處作為信息安全工作辦公室負(fù)責(zé)衛(wèi)生監(jiān)督中心日常信息安全管理工作。信息處設(shè)立了信息安全管理崗位，分別為網(wǎng)絡(luò)管理員、系統(tǒng)管理員、應(yīng)用管理員、安全管理員、安全審計(jì)員、機(jī)房管理員，并建立了信息安全崗位責(zé)任制度。

此外，衛(wèi)生監(jiān)督中心依據(jù)上年度運(yùn)維中存在的信息安全隱患每年對(duì)其進(jìn)行修訂，確保信息安全工作落到實(shí)處。

信息安全運(yùn)維體系

在信息安全工作中，建立信息安全管理制度不是目的，要以信息安全等級(jí)保護(hù)有關(guān)要求指導(dǎo)信息安全運(yùn)維實(shí)踐。

衛(wèi)生監(jiān)督中心結(jié)合實(shí)際情況，編制了《國(guó)家級(jí)衛(wèi)生監(jiān)督信息系統(tǒng)運(yùn)行維護(hù)工作規(guī)范》，從運(yùn)行維護(hù)流程、資源管理和環(huán)境管理三個(gè)方面進(jìn)行了規(guī)范，將安全運(yùn)維理念落到實(shí)處。

運(yùn)維人員在實(shí)際工作中，嚴(yán)格按照工作規(guī)范要求。利用衛(wèi)生監(jiān)督中心OA系統(tǒng)，建立了統(tǒng)一的服務(wù)臺(tái)，實(shí)現(xiàn)了事件、問(wèn)題的全流程閉環(huán)管理（即：發(fā)現(xiàn)問(wèn)題、登記問(wèn)題、解決問(wèn)題、解決反饋、解決確認(rèn)）。年均處理信息安全事件近百件，將信息安全問(wèn)題消滅在萌芽階段，有效地保證了信息系統(tǒng)穩(wěn)定運(yùn)行，保證了衛(wèi)生監(jiān)督中心信息安全目標(biāo)和方針的實(shí)現(xiàn)。

信息安全等級(jí)保護(hù)實(shí)踐經(jīng)驗(yàn)

1.規(guī)范管理，細(xì)化流程

衛(wèi)生監(jiān)督中心從安全管理制度、安全管理組織機(jī)構(gòu)及人員、安全建設(shè)管理和安全運(yùn)維管理等方面建立了較為完善的安全管理體系。通過(guò)管理體系的建設(shè)，為國(guó)家級(jí)衛(wèi)生監(jiān)督信息系統(tǒng)運(yùn)維管理工作中安全管理提供了重要指導(dǎo)。

國(guó)家級(jí)衛(wèi)生監(jiān)督信息系統(tǒng)運(yùn)維工作從安全管理體系的建設(shè)中吸取了很多有益經(jīng)驗(yàn)，不僅合理調(diào)配了運(yùn)維管理人員，落實(shí)了運(yùn)維管理組織機(jī)構(gòu)和崗位職責(zé)，而且細(xì)化了運(yùn)維管理流程，形成了“二級(jí)三線”的運(yùn)維處理機(jī)制。

2.循序漸進(jìn)，持續(xù)完善

第3篇：網(wǎng)絡(luò)安全等級(jí)測(cè)評(píng)報(bào)告范文

1數(shù)據(jù)信息安全威脅信息數(shù)據(jù)

面臨的安全威脅來(lái)自于多個(gè)方面，有通過(guò)病毒、非授權(quán)竊取來(lái)破壞數(shù)據(jù)保密性的安全威脅，有因?yàn)椴僮飨到y(tǒng)故障、應(yīng)用系統(tǒng)故障等導(dǎo)致的破壞數(shù)據(jù)完整性的安全威脅，有因?yàn)橛脖P故障、誤操作等導(dǎo)致的破壞數(shù)據(jù)可用性的安全威脅，還有因?yàn)椴《就{、非授權(quán)篡改導(dǎo)致的破壞數(shù)據(jù)真實(shí)性的安全威脅，這些潛在的安全威脅將會(huì)導(dǎo)致信息數(shù)據(jù)被刪除、破壞、篡改甚至被竊取，給公共衛(wèi)生行業(yè)帶來(lái)無(wú)法彌補(bǔ)的損失。

2安全管理缺失公共衛(wèi)生行業(yè)

在信息化建設(shè)工作中，如果存在重應(yīng)用、輕安全的現(xiàn)象，在IT系統(tǒng)建設(shè)過(guò)程中沒有充分考慮信息安全的科學(xué)規(guī)劃，將導(dǎo)致后期信息安全建設(shè)和管理工作比較被動(dòng)，業(yè)務(wù)的發(fā)展及信息系統(tǒng)的建設(shè)與信息安全管理建設(shè)不對(duì)稱；或由于重視信息安全技術(shù)，輕視安全管理，雖然采用了比較先進(jìn)的信息安全技術(shù)，但相應(yīng)的管理措施不到位，如病毒庫(kù)不及時(shí)升級(jí)、變更管理松懈、崗位職責(zé)不清、忽視數(shù)據(jù)備份等現(xiàn)象普遍存在，很有可能會(huì)導(dǎo)致本不應(yīng)該發(fā)生的信息安全事件發(fā)生。

二分析問(wèn)題產(chǎn)生的主要原因

1經(jīng)費(fèi)投入不足導(dǎo)致的安全防范技術(shù)

薄弱許多公共衛(wèi)生機(jī)構(gòu)的信息化基礎(chǔ)設(shè)施和軟硬件設(shè)備，都是在2003年SARS疫情爆發(fā)以后國(guó)家投入建設(shè)的，運(yùn)行至今，很多省級(jí)以下的公共衛(wèi)生單位由于領(lǐng)導(dǎo)認(rèn)識(shí)不足或經(jīng)費(fèi)所限，只重視疾病防控能力和實(shí)驗(yàn)室檢驗(yàn)檢測(cè)能力的建設(shè)，而忽視了對(duì)公共衛(wèi)生信息化的投入，很少將經(jīng)費(fèi)用于信息化建設(shè)和信息安全投入，信息化基礎(chǔ)設(shè)施陳舊、軟硬件設(shè)備老化，信息安全防范技術(shù)比較薄弱，因網(wǎng)絡(luò)設(shè)備損壞、服務(wù)器宕機(jī)等故障或無(wú)入侵檢測(cè)、核心防火墻等安全防護(hù)設(shè)備，導(dǎo)致信息數(shù)據(jù)丟失、竊取的現(xiàn)象時(shí)有發(fā)生，嚴(yán)重影響了重要信息數(shù)據(jù)的保密性、完整性和安全性，一旦發(fā)生信息安全事件后果將不堪設(shè)想。

2專業(yè)技術(shù)人才缺乏

建設(shè)信息化、發(fā)展信息化最大的動(dòng)力資源是掌握信息化的專業(yè)技術(shù)人才，人才的培養(yǎng)是行業(yè)信息化高速發(fā)展的基礎(chǔ)，然而，公共衛(wèi)生行業(yè)的人才梯隊(duì)主要以疾病控制、醫(yī)學(xué)檢驗(yàn)專業(yè)為主，信息化、信息安全專業(yè)技術(shù)人才缺乏，隊(duì)伍力量薄弱，不能很好地利用現(xiàn)有的計(jì)算機(jī)軟硬件設(shè)備，也很難對(duì)本單位現(xiàn)有的信息化、信息安全現(xiàn)狀進(jìn)行有效的評(píng)估，缺乏制定本行業(yè)長(zhǎng)期、可持續(xù)信息化建設(shè)發(fā)展規(guī)劃的能力，這也是制約公共衛(wèi)生行業(yè)信息化發(fā)展的重要因素。

3信息安全培訓(xùn)不足

職工安全保密意識(shí)不強(qiáng)信息安全是一項(xiàng)全員參與的工作，它不僅是信息化管理部門的本職工作，更是整個(gè)公共衛(wèi)生行業(yè)的重要工作職責(zé)，很多單位沒有將信息安全培訓(xùn)放在重要位置，沒有定期開展信息安全意識(shí)教育培訓(xùn)，許多職工對(duì)網(wǎng)絡(luò)安全不夠重視，缺乏網(wǎng)絡(luò)安全意識(shí)，隨意接收、下載、拷貝未知文件，沒有查殺病毒、木馬的習(xí)慣，經(jīng)常有意無(wú)意的傳播病毒，使得單位網(wǎng)絡(luò)系統(tǒng)經(jīng)常遭受ARP、宏病毒等病毒木馬的攻擊，嚴(yán)重影響了單位網(wǎng)絡(luò)的安全穩(wěn)定運(yùn)行；同時(shí)，許多職工對(duì)于單位的移動(dòng)介質(zhì)缺乏規(guī)范化管理意識(shí)，隨意將拷貝有信息的移動(dòng)硬盤、優(yōu)盤等介質(zhì)帶出單位，在其他聯(lián)網(wǎng)的計(jì)算機(jī)上使用，信息容易失竊，存在非常嚴(yán)重的信息安全隱患。

三如何促進(jìn)公共衛(wèi)生行業(yè)計(jì)算機(jī)網(wǎng)絡(luò)安全性提升

1強(qiáng)化管理

建立行業(yè)計(jì)算機(jī)網(wǎng)絡(luò)安全管理制度為了確保整個(gè)計(jì)算機(jī)網(wǎng)絡(luò)的安全有效運(yùn)行，建立出一套既符合本行業(yè)工作實(shí)際的，又滿足網(wǎng)絡(luò)實(shí)際安全需要的、切實(shí)可行的安全管理制度勢(shì)在必行。主要包括以下三方面的內(nèi)容：

1.1成立信息安全管理機(jī)構(gòu)

引進(jìn)信息安全專業(yè)技術(shù)人才，結(jié)合單位開展的工作特點(diǎn)，從管理、安全等級(jí)保護(hù)、安全防范、人員管理等方面制定統(tǒng)管全局的網(wǎng)絡(luò)安全管理規(guī)定。

1.2制定信息安全知識(shí)培訓(xùn)制度

定期開展全員信息安全知識(shí)培訓(xùn)，讓全體員工及時(shí)了解計(jì)算機(jī)網(wǎng)絡(luò)安全知識(shí)最新動(dòng)態(tài)，結(jié)合信息安全事件案列，進(jìn)一步強(qiáng)化職工對(duì)信息安全保密重要性的認(rèn)識(shí)。同時(shí)，對(duì)信息技術(shù)人員進(jìn)行專業(yè)知識(shí)和操作技能的培訓(xùn)，培養(yǎng)一支具有安全管理意識(shí)的隊(duì)伍，提高應(yīng)對(duì)各種網(wǎng)絡(luò)安全攻擊破壞的能力。

1.3建立信息安全監(jiān)督檢查機(jī)制

開展定期或不定期內(nèi)部信息安全監(jiān)督檢查，同時(shí)將信息安全檢查納入單位季度、年度綜合目標(biāo)責(zé)任制考核體系，檢查結(jié)果直接與科室和個(gè)人的獎(jiǎng)勵(lì)績(jī)效工資、評(píng)先評(píng)優(yōu)掛鉤，落實(shí)獎(jiǎng)懲機(jī)制，懲防并舉，確保信息安全落實(shí)無(wú)死角。

2開展信息安全等級(jí)保護(hù)

建設(shè)開展信息安全等級(jí)保護(hù)建設(shè)，通過(guò)對(duì)公共衛(wèi)生行業(yè)處理、存儲(chǔ)重要信息數(shù)據(jù)的信息系統(tǒng)實(shí)行分等級(jí)安全保護(hù)，對(duì)信息系統(tǒng)中使用的信息安全產(chǎn)品實(shí)行按等級(jí)管理，對(duì)信息系統(tǒng)中發(fā)生的信息安全事件分等級(jí)響應(yīng)、處置，建立健全信息安全應(yīng)急機(jī)制，定期對(duì)信息系統(tǒng)安全等級(jí)保護(hù)建設(shè)情況進(jìn)行測(cè)評(píng)，存在問(wèn)題及時(shí)整改，從制度落實(shí)、安全技術(shù)防護(hù)、應(yīng)急處置管理等各個(gè)方面，進(jìn)一步提高公共衛(wèi)生行業(yè)信息安全的防護(hù)能力、應(yīng)急處置能力和安全隱患發(fā)現(xiàn)能力。

3加強(qiáng)網(wǎng)絡(luò)安全技術(shù)防范

隨著信息技術(shù)的高速發(fā)展，信息網(wǎng)絡(luò)安全需要依托防火墻、入侵檢測(cè)、VPN等安全防護(hù)設(shè)施，充分運(yùn)用各個(gè)軟硬件網(wǎng)絡(luò)安全技術(shù)特點(diǎn)，建立安全策略層、用戶層、網(wǎng)絡(luò)與信息資源層和安全服務(wù)層4個(gè)層次的網(wǎng)絡(luò)安全防護(hù)體系，全面增強(qiáng)網(wǎng)絡(luò)系統(tǒng)的安全性和可靠性。

3.1防火墻技術(shù)

防火墻技術(shù)在公共衛(wèi)生行業(yè)網(wǎng)絡(luò)安全建設(shè)體系中發(fā)揮著重要的作用，按照結(jié)構(gòu)和功能通常劃分為濾防火墻、應(yīng)用防火墻和狀態(tài)檢測(cè)防火墻三種類型，一般部署在核心網(wǎng)絡(luò)的邊緣，將內(nèi)部網(wǎng)絡(luò)與Internet之間或者與其他外部網(wǎng)絡(luò)互相隔離，有效地記錄Internet上的活動(dòng)，將網(wǎng)絡(luò)中不安全的服務(wù)進(jìn)行有效的過(guò)濾，并嚴(yán)格限制網(wǎng)絡(luò)之間的互相訪問(wèn)，從而提高網(wǎng)絡(luò)的防毒能力和抗攻擊能力，確保內(nèi)部網(wǎng)絡(luò)安全穩(wěn)定運(yùn)行。

3.2入侵檢測(cè)

入侵檢測(cè)是防火墻的合理補(bǔ)充，是一種對(duì)網(wǎng)絡(luò)傳輸進(jìn)行即時(shí)監(jiān)視，在發(fā)現(xiàn)可疑傳輸時(shí)發(fā)出警報(bào)或者采取主動(dòng)反應(yīng)措施的網(wǎng)絡(luò)安全設(shè)備，檢測(cè)方法包括基于專家系統(tǒng)入侵檢測(cè)方法和基于神經(jīng)網(wǎng)絡(luò)的入侵檢測(cè)方法兩種，利用入侵檢測(cè)系統(tǒng)，能夠迅速及時(shí)地發(fā)現(xiàn)并報(bào)告系統(tǒng)中未授權(quán)或異?，F(xiàn)象，幫助系統(tǒng)對(duì)付內(nèi)部攻擊和外部網(wǎng)絡(luò)攻擊，在網(wǎng)絡(luò)系統(tǒng)受到危害之前攔截和響應(yīng)入侵，在安全審計(jì)、監(jiān)視、進(jìn)攻識(shí)別等方面進(jìn)一步擴(kuò)展了系統(tǒng)管理員的安全管理能力，提高了信息安全基礎(chǔ)結(jié)構(gòu)的完整性。

3.3虛擬專用網(wǎng)絡(luò)（VPN）技術(shù)

VPN技術(shù)因?yàn)榈统杀?、高度靈活的特點(diǎn)，在很多行業(yè)信息化建設(shè)中被廣泛應(yīng)用，公共衛(wèi)生行業(yè)也有很多信息系統(tǒng)都是基于VPN進(jìn)行數(shù)據(jù)傳輸?shù)?，如中?guó)疾病預(yù)防控制信息系統(tǒng)等，通過(guò)在公用網(wǎng)絡(luò)上建立VPN，利用VPN網(wǎng)關(guān)將數(shù)據(jù)包進(jìn)行加密和目標(biāo)地址轉(zhuǎn)換，以實(shí)現(xiàn)遠(yuǎn)程訪問(wèn)。VPN技術(shù)實(shí)現(xiàn)方式目前運(yùn)用的主要有MPLS、IPSEC和SSL三種類型，中國(guó)疾病預(yù)防控制信息系統(tǒng)VPN鏈路網(wǎng)絡(luò)采用的就是IPSECVPN模式，利用VPN鏈路隧道，實(shí)現(xiàn)國(guó)家到省、市、縣四級(jí)的互聯(lián)互通和數(shù)據(jù)傳輸共享。VPN通過(guò)使用點(diǎn)到點(diǎn)協(xié)議用戶級(jí)身份驗(yàn)證的方法進(jìn)行驗(yàn)證，將高度敏感的數(shù)據(jù)地址進(jìn)行物理分隔，只有授權(quán)用戶才能與VPN服務(wù)器建立連接，進(jìn)行遠(yuǎn)程訪問(wèn)，避免非授權(quán)用戶接觸或竊取重要數(shù)據(jù)，為用戶信息提供了很高的安全性保護(hù)。

四結(jié)語(yǔ)

第4篇：網(wǎng)絡(luò)安全等級(jí)測(cè)評(píng)報(bào)告范文

一、銀行業(yè)金融機(jī)構(gòu)信息系統(tǒng)等級(jí)保護(hù)現(xiàn)狀

人民銀行作為我國(guó)中央銀行，承擔(dān)著指導(dǎo)協(xié)調(diào)我國(guó)金融業(yè)信息安全工作的職責(zé)。2010年以來(lái)，人民銀行為全面落實(shí)國(guó)家信息安全等級(jí)保護(hù)制度，制定了《金融行業(yè)信息系統(tǒng)信息安全等級(jí)保護(hù)實(shí)施指引》、《金融行業(yè)信息系統(tǒng)信息安全等級(jí)保護(hù)測(cè)評(píng)指南》、《金融行業(yè)信息安全等級(jí)保護(hù)測(cè)評(píng)服務(wù)安全指引》三項(xiàng)行業(yè)標(biāo)準(zhǔn)，建立了金融業(yè)等級(jí)保護(hù)標(biāo)準(zhǔn)規(guī)范體系。在此基礎(chǔ)上，人民銀行圍繞定級(jí)、備案、安全建設(shè)整改、等級(jí)測(cè)評(píng)和監(jiān)督檢查等五個(gè)規(guī)定動(dòng)作，在人民銀行及銀行業(yè)全面部署實(shí)施信息安全等級(jí)保護(hù)工作,截至目前，全國(guó)銀行業(yè)金融機(jī)構(gòu)已基本完成重要信息系統(tǒng)的定級(jí)、備案和測(cè)評(píng)整改工作，等級(jí)保護(hù)工作取得了長(zhǎng)足進(jìn)步，信息系統(tǒng)的安全防護(hù)水平得到了全面提升，推動(dòng)了金融業(yè)信息化建設(shè)和業(yè)務(wù)發(fā)展，但在等級(jí)保護(hù)執(zhí)行過(guò)程中也面臨以下一些困難：一是金融機(jī)構(gòu)分支機(jī)構(gòu)多、分布廣，總部對(duì)分支機(jī)構(gòu)等級(jí)保護(hù)工作的可控管理水平有限。二是金融機(jī)構(gòu)信息系統(tǒng)數(shù)量多、運(yùn)行環(huán)境復(fù)雜，定級(jí)范圍廣且標(biāo)準(zhǔn)不統(tǒng)一，加大了等級(jí)保護(hù)的運(yùn)維難度。三是部分銀行分支機(jī)構(gòu)沒有認(rèn)識(shí)到信息系統(tǒng)等級(jí)保護(hù)工作的重要性，等級(jí)保護(hù)工作流于形式，使等級(jí)保護(hù)工作未能真正落到實(shí)處。四是缺少如何將信息安全等級(jí)保護(hù)工作與信息安全日常保障工作、風(fēng)險(xiǎn)測(cè)評(píng)等安全管理工作相結(jié)合的有效技術(shù)手段。引入安全基線管理機(jī)制，充分利用基線技術(shù)的特點(diǎn)和優(yōu)勢(shì),去化解當(dāng)前金融機(jī)構(gòu)等級(jí)保護(hù)所面臨的問(wèn)題，不失為一種有效的解決辦法。現(xiàn)就安全基線在基層人民銀行等級(jí)保護(hù)中的應(yīng)用實(shí)踐為例，談?wù)劙踩€技術(shù)在加強(qiáng)等級(jí)保護(hù)管理，促進(jìn)長(zhǎng)效管理機(jī)制形成中所發(fā)揮的作用。

二、安全基線在基層人民銀行等級(jí)保護(hù)管理中的應(yīng)用

1.人民銀行信息安全基線概述

人民銀行安全基線建立在《人民銀行信息安全綜合規(guī)范》基礎(chǔ)之上，《人民銀行信息安全綜合規(guī)范》主要吸收了金融行業(yè)信息系統(tǒng)信息安全等級(jí)保護(hù)及人民銀行內(nèi)部多類制度安全管理要求項(xiàng),涉及總行、省級(jí)行、地市中支、縣支行4級(jí)機(jī)構(gòu)，包含機(jī)房環(huán)境、網(wǎng)絡(luò)安全、應(yīng)用安全、保密技術(shù)管理、信息安全管理、安全運(yùn)維等10個(gè)方面的內(nèi)容，涵蓋了人民銀行所有信息系統(tǒng)等級(jí)保護(hù)定級(jí)管理要求，是人民銀行信息系統(tǒng)需要滿足的安全管理要求。它是由一組安全配置項(xiàng)組成，形成了針對(duì)不同信息系統(tǒng)的詳細(xì)CheckList及操作指南，為人民銀行分支行建立本單位的安全基線提供了統(tǒng)一規(guī)范。人民銀行分支行結(jié)合本單位最佳安全實(shí)踐，通過(guò)對(duì)《人民銀行信息安全綜合規(guī)范》進(jìn)行篩選、檢測(cè)、配平等操作，最終形成符合各單位實(shí)際情況、本地化的安全基線。

2.安全基線在基層人民銀行等級(jí)保護(hù)管理中的應(yīng)用過(guò)程

人民銀行分支行的安全基線包含了本單位已定級(jí)信息系統(tǒng)安全管理的各項(xiàng)要求，通過(guò)對(duì)安全基線進(jìn)行管理，能夠促進(jìn)等級(jí)保護(hù)各項(xiàng)措施的落實(shí)。安全基線在基層人民銀行等級(jí)保護(hù)中的應(yīng)用過(guò)程可分為三部分：建立安全基線、安全基線的檢測(cè)與控制、基線度量與報(bào)告。

（1）建立安全基線。人民銀行分支機(jī)構(gòu)在綜合考慮本單位等級(jí)保護(hù)定級(jí)管理要求及企業(yè)自身安全建設(shè)發(fā)展需求基礎(chǔ)之上，對(duì)IT設(shè)備及業(yè)務(wù)系統(tǒng)的安全目標(biāo)進(jìn)行識(shí)別和梳理，并對(duì)照《人民銀行信息安全綜合規(guī)范》進(jìn)行篩選，分離出不適用項(xiàng)，并對(duì)剩余適用本單位的配置項(xiàng)進(jìn)行安全檢測(cè)、配合平等操作，形成了符合本單位實(shí)際情況的一組安全配置項(xiàng)，即本單位的初始安全基線。初始安全基線被上級(jí)管理部門批準(zhǔn)確認(rèn)后，形成本單位的安全基線，變?yōu)槭芸貭顟B(tài)，作為當(dāng)前時(shí)期的安全基準(zhǔn)點(diǎn)，不允許隨便更改。

（2）安全基線的檢測(cè)與控制。安全基線建立后，將定期對(duì)目標(biāo)業(yè)務(wù)開展合規(guī)性檢測(cè)，找出不符合項(xiàng)，并通過(guò)整改、加固等措施，消除安全風(fēng)險(xiǎn)，逐步達(dá)到安全基線標(biāo)準(zhǔn)要求。隨著業(yè)務(wù)的不斷調(diào)整變化，對(duì)已建立的安全基線進(jìn)行評(píng)估，整理出需要補(bǔ)充、維護(hù)和完善配置項(xiàng)后，提出“變更請(qǐng)求”（checkrequest），在變更請(qǐng)求得到批準(zhǔn)的情況下，允許配置項(xiàng)從安全基線中檢出（實(shí)施check-out），待變更完成，并經(jīng)評(píng)審后，確認(rèn)無(wú)誤，方可重新進(jìn)入安全基線，使其恢復(fù)到受控狀態(tài)，從而實(shí)現(xiàn)安全基線動(dòng)態(tài)更新。對(duì)安全基線的檢測(cè)與控制，可以有效監(jiān)控各單位等級(jí)保護(hù)管理整體安全狀態(tài)，跟蹤信息系統(tǒng)等級(jí)保護(hù)工作中的未達(dá)標(biāo)項(xiàng)，把未達(dá)標(biāo)項(xiàng)納入信息安全基線控制范圍，通過(guò)對(duì)本單位信息安全基線的定期檢測(cè)和整改，可以逐步提升信息系統(tǒng)等級(jí)保護(hù)的安全保障能力。

（3）基線度量與報(bào)告。對(duì)本單位安全基線檢測(cè)后得到的數(shù)據(jù)是安全基線配置項(xiàng)的狀態(tài)表，它反映了本單位在某一時(shí)點(diǎn)上的整體信息安全狀態(tài)，是信息安全總體水平的量化表述，可以度量企業(yè)安全現(xiàn)狀與安全基線之間的差距，為后續(xù)的整改提供依據(jù)。人民銀行分支機(jī)構(gòu)的安全基線是上級(jí)單位管理決策的重要依據(jù)之一，安全基線建立后，實(shí)行季報(bào)制度，每個(gè)季度向上級(jí)行上報(bào)本轄區(qū)的安全基線報(bào)告，人民銀行總行安全管理部門則可以不定期查看分支機(jī)構(gòu)的安全基線報(bào)告，方便了解分支機(jī)構(gòu)的整體安全狀況及安全變動(dòng)趨勢(shì)。

3.安全基線在基層人民銀行等級(jí)保護(hù)管理中的應(yīng)用效果

（1）實(shí)現(xiàn)了信息安全工作可控、可管、可操作。通過(guò)安全基線技術(shù)，將本單位信息安全管理工作統(tǒng)一轉(zhuǎn)化為一組可操作的配置項(xiàng)，便于數(shù)據(jù)匯總和分析安全變動(dòng)趨勢(shì)，可以有效監(jiān)控本單位的整體信息安全狀態(tài)，跟蹤整改未達(dá)標(biāo)的信息安全要求、消除存在的信息安全隱患。

（2）綜合了多方運(yùn)維管理內(nèi)容。安全基線實(shí)際上已經(jīng)綜合了等級(jí)保護(hù)、風(fēng)險(xiǎn)評(píng)估、內(nèi)部管理制度等多方面的管理要求，與人民銀行信息安全保障工作有機(jī)結(jié)合，建立了集中統(tǒng)一的安全運(yùn)維管理體系。

（3）提升等級(jí)保護(hù)測(cè)評(píng)符合率。安全基線管理，通過(guò)采用“填平補(bǔ)齊”的方式，逐步完善各單位安全狀況，較全面地解決各單位（特別是技術(shù)力量比較薄弱的分支機(jī)構(gòu)）中存在的信息安全管理問(wèn)題，能有效提升各單位等級(jí)保護(hù)測(cè)評(píng)符合率。

（4）促進(jìn)了安全長(zhǎng)效機(jī)制形成。安全基線管理過(guò)程遵循“生命環(huán)”管理體系，通過(guò)對(duì)安全基線的定期檢查、更新、報(bào)告及風(fēng)險(xiǎn)跟蹤，周而復(fù)始，持續(xù)改進(jìn)，形成螺旋上升的良性循環(huán)態(tài)勢(shì)，促進(jìn)了安全長(zhǎng)效機(jī)制形成。

第5篇：網(wǎng)絡(luò)安全等級(jí)測(cè)評(píng)報(bào)告范文

【關(guān)鍵詞】 政務(wù)云 云安全 IaaS服務(wù)

信息化建設(shè)是我國(guó)現(xiàn)階段發(fā)展的主要內(nèi)容和方向，但同時(shí)也就面臨著信息安全的眾多問(wèn)題。根據(jù)國(guó)家互聯(lián)網(wǎng)應(yīng)急中心的報(bào)告，15年接收境內(nèi)外報(bào)告的網(wǎng)絡(luò)安全事件同比增長(zhǎng)125.9%，主要遭受攻擊的對(duì)象就包括政府。因此在電子政務(wù)云建設(shè)時(shí)信息安全方面的內(nèi)容必須作為重點(diǎn)進(jìn)行考慮。

一、電子政務(wù)云安全問(wèn)題分析

云計(jì)算服務(wù)采購(gòu)方式作為電子政務(wù)基礎(chǔ)設(shè)施建設(shè)的主要方式，而IaaS服務(wù)模式是目前常用的政務(wù)云服務(wù)提供模式。

政務(wù)云面臨的安全風(fēng)險(xiǎn)呈現(xiàn)出3個(gè)主要特點(diǎn)。需要管控的角色更多：除一般的系統(tǒng)建設(shè)者和訪問(wèn)用戶外，還有服務(wù)提供商、政府內(nèi)部政務(wù)云的統(tǒng)一管理人員等。需要解決的管控問(wèn)題更多：虛擬化安全的問(wèn)題、對(duì)資源管控能力減弱的問(wèn)題、過(guò)渡依賴和鎖定的問(wèn)題等。影響更深遠(yuǎn)：政務(wù)云上的信息出現(xiàn)安全問(wèn)題時(shí)存在影響面更廣、更敏感、政府公信力受損等問(wèn)題。

二、建設(shè)方案探討

按照我國(guó)政府對(duì)信息安全的要求，境內(nèi)的計(jì)算機(jī)信息系統(tǒng)實(shí)行安全等級(jí)保護(hù)制度。除此外國(guó)家還下發(fā)黨政部門云計(jì)算服務(wù)網(wǎng)絡(luò)安全管理的相關(guān)要求，明確了安全管理責(zé)任不變、數(shù)據(jù)歸屬關(guān)系不變、安全管理標(biāo)準(zhǔn)不變、敏感信息不出境、要參照信息安全國(guó)家標(biāo)準(zhǔn)等的要求。

2.1安全防范需求分析

整體要求：滿足等保要求外，還需滿足黨政內(nèi)部的信息管理要求。

監(jiān)管要求：對(duì)云服務(wù)提供商各方面的管理和監(jiān)督較一般企業(yè)用戶強(qiáng)、要求更高。

數(shù)據(jù)要求：對(duì)數(shù)據(jù)的安全性、機(jī)密性、完整性的要求更高，對(duì)殘余數(shù)據(jù)的處置也更謹(jǐn)慎，對(duì)服務(wù)商數(shù)據(jù)管理的流程和制度提出更高要求。

物理要求：υ浦行牡慕ㄉ櫛恢煤透衾攵紉求更敏感。

分工要求：對(duì)于服務(wù)合同中的責(zé)任義務(wù)要求更明晰，對(duì)云服務(wù)商內(nèi)部的各項(xiàng)管理、監(jiān)測(cè)、檢查、配合度等有更高的要求。

2.2設(shè)計(jì)思路及方案探討

從其本質(zhì)上看，政務(wù)云仍是一類信息系統(tǒng)，其防護(hù)體系應(yīng)當(dāng)是以等級(jí)保護(hù)為指導(dǎo)思想，并考慮虛擬化等新的技術(shù)和運(yùn)營(yíng)方式所帶來(lái)的安全問(wèn)題，從技術(shù)和管理兩個(gè)層面全方位保護(hù)信息安全，將安全理念貫穿政務(wù)云建設(shè)、整改、測(cè)評(píng)、運(yùn)維全過(guò)程。

設(shè)計(jì)方案時(shí)建議可從以下幾個(gè)內(nèi)容考慮：

等保等級(jí)劃分：按照等保定級(jí)要素和一般流程進(jìn)行分析定級(jí)，并參考云計(jì)算服務(wù)安全指南確定是一般保護(hù)或增強(qiáng)保護(hù)。

責(zé)任范圍劃分：云服務(wù)商和政府客戶間基于IaaS的服務(wù)，以虛擬化計(jì)算資源層為界線，以上由政府客戶負(fù)責(zé)，以下由云服務(wù)商負(fù)責(zé)，虛擬化計(jì)算資源層安全措施由雙方分擔(dān)。

物理安全：根據(jù)等保要求，對(duì)機(jī)房位置、環(huán)境、管理等進(jìn)行規(guī)范。

網(wǎng)絡(luò)安全：這里主要討論區(qū)域的劃分，邊界部分則按要求部署FW、IPS/IDS等設(shè)備。功能區(qū)劃分：政務(wù)云一般設(shè)計(jì)時(shí)按業(yè)務(wù)承載類型劃分為互聯(lián)網(wǎng)區(qū)和電子政務(wù)外網(wǎng)區(qū)，之間有安全設(shè)備進(jìn)行區(qū)間信息的交換管控，確?；ヂ?lián)網(wǎng)用戶不能直接訪問(wèn)公用網(wǎng)絡(luò)區(qū)的系統(tǒng)。安全域劃分：各個(gè)區(qū)內(nèi)根據(jù)需求劃分安全域，各域之間根據(jù)業(yè)務(wù)需求進(jìn)行隔離。一般可劃分為：完成對(duì)外安全控制的安全邊界區(qū)；完成業(yè)務(wù)部署的業(yè)務(wù)區(qū)；完成運(yùn)維管理系統(tǒng)部署的運(yùn)維管理區(qū)；完成安全管控設(shè)備部署的安全管理區(qū)。

主機(jī)安全：除部署傳統(tǒng)的漏掃、配置核查、安全審計(jì)等主機(jī)安全系統(tǒng)外，還需要考慮傳統(tǒng)安全設(shè)備對(duì)物理主機(jī)內(nèi)部虛擬化主機(jī)的管控缺失問(wèn)題。目前業(yè)界一般以兩種模式解決：集中部署虛機(jī)安全設(shè)備或在虛機(jī)內(nèi)部署安全軟件。前一種方式主要是流量迂回問(wèn)題，后一種方式主要是服務(wù)器資源占用問(wèn)題，后一種方式一般采用較多。

應(yīng)用安全：云服務(wù)商通過(guò)網(wǎng)管系統(tǒng)和安全系統(tǒng)對(duì)應(yīng)用進(jìn)行資源監(jiān)測(cè)，但應(yīng)用的主要安全由云服務(wù)使用者完成。應(yīng)用安全審計(jì)則各自收集所控制部分的審計(jì)數(shù)據(jù)，云服務(wù)商以云資源應(yīng)用為主，上層應(yīng)用由云服務(wù)使用者完成審計(jì)。

數(shù)據(jù)安全：主要包括數(shù)據(jù)隔離與訪問(wèn)控制、剩余數(shù)據(jù)刪除、數(shù)據(jù)加密和數(shù)據(jù)備份。政務(wù)云比較特殊的是剩余數(shù)據(jù)問(wèn)題，各子系統(tǒng)之間分配各自的物理空間，虛機(jī)遷移或釋放時(shí)，虛擬機(jī)內(nèi)的所有信息應(yīng)該被清空，確保數(shù)據(jù)的不泄露。當(dāng)雙方合作終止時(shí)，云服務(wù)商需在政府方相關(guān)管理部門的監(jiān)督下，進(jìn)行信息銷毀。

結(jié)束語(yǔ)：政務(wù)云安全的保障是一個(gè)較復(fù)雜的問(wèn)題，設(shè)計(jì)方案時(shí)需從政府業(yè)務(wù)特殊性、云計(jì)算技術(shù)的特點(diǎn)等進(jìn)行多視角的分析，進(jìn)行全局化的設(shè)計(jì)。

參 考 文 獻(xiàn)

[1] GBT 31167-2014，信息安全技術(shù) 云計(jì)算服務(wù)安全指南，中國(guó)標(biāo)準(zhǔn)出版社，2015-04-01；

第6篇：網(wǎng)絡(luò)安全等級(jí)測(cè)評(píng)報(bào)告范文

 

隨著云計(jì)算、大數(shù)據(jù)等新興技術(shù)的不斷發(fā)展，企業(yè)信息化、智能化程度、網(wǎng)絡(luò)化、數(shù)字化程度越來(lái)越高，人類社會(huì)進(jìn)入到以大數(shù)據(jù)為主要特征的知識(shí)文明時(shí)代。大數(shù)據(jù)是企業(yè)的重要財(cái)富，正在成為企業(yè)一種重要的生產(chǎn)資料，成為企業(yè)創(chuàng)新、競(jìng)爭(zhēng)、業(yè)務(wù)提升的前沿。大數(shù)據(jù)正在成為企業(yè)未來(lái)業(yè)務(wù)發(fā)展的重要戰(zhàn)略方向，大數(shù)據(jù)將引領(lǐng)企業(yè)實(shí)現(xiàn)業(yè)務(wù)跨越式發(fā)展;同時(shí)，由此帶來(lái)的信息安全風(fēng)險(xiǎn)挑戰(zhàn)前所未有，遠(yuǎn)遠(yuǎn)超出了傳統(tǒng)意義上信息安全保障的內(nèi)涵，對(duì)于眾多大數(shù)據(jù)背景下涉及的信息安全問(wèn)題，很難通過(guò)一套完整的安全產(chǎn)品和服務(wù)從根本上解決安全隱患。

 

自2008年國(guó)際綜合性期刊《Nature》發(fā)表有關(guān)大數(shù)據(jù)(Big Data)的?？詠?lái)，面向各應(yīng)用領(lǐng)域的大數(shù)據(jù)分析更成為各行業(yè)及信息技術(shù)方向關(guān)注的焦點(diǎn)。大數(shù)據(jù)的固有特征使得傳統(tǒng)安全機(jī)制和方法顯示出不足。本文系統(tǒng)分析了大數(shù)據(jù)時(shí)代背景下的企業(yè)信息系統(tǒng)存在的主要信息安全脆弱性、信息安全威脅以及信息安全風(fēng)險(xiǎn)問(wèn)題，并有針對(duì)性地提出相應(yīng)的信息安全保障策略，為大數(shù)據(jù)背景下的企業(yè)信息安全保障提供一定指導(dǎo)的作用。

 

1 大數(shù)據(jù)基本內(nèi)涵

 

大數(shù)據(jù)(Big Data)，什么是大數(shù)據(jù)，目前還沒有形成統(tǒng)一的共識(shí)。網(wǎng)絡(luò)企業(yè)普遍將大數(shù)據(jù)定義為數(shù)據(jù)量與數(shù)據(jù)類型復(fù)雜到在合理時(shí)間內(nèi)無(wú)法通過(guò)當(dāng)前的主流數(shù)據(jù)庫(kù)管理軟件生成、獲取、傳輸、存儲(chǔ)、處理，管理、分析挖掘、應(yīng)用決策以及銷毀等的大型數(shù)據(jù)集。大數(shù)據(jù)具有4V特征(Volume，Varity，Value，Velocity)，即數(shù)據(jù)量大、數(shù)據(jù)類型多、數(shù)據(jù)價(jià)值密度低、數(shù)據(jù)處理速度快。

 

2011年麥肯錫咨詢公司了《大數(shù)據(jù)：下一個(gè)創(chuàng)新、競(jìng)爭(zhēng)和生產(chǎn)力的變革領(lǐng)域》[1]的研究報(bào)告，引起了信息產(chǎn)業(yè)界的廣泛關(guān)注。美國(guó)谷歌公司(Google)、國(guó)際商業(yè)機(jī)器公司(IBM)、美國(guó)易安信公司(EMC)、臉書(Facebook)等公司相繼開始了大數(shù)據(jù)應(yīng)用、分析、存儲(chǔ)、管理等相關(guān)技術(shù)的研究，并推出各自的大數(shù)據(jù)解決框架、方案以及產(chǎn)品。例如，阿帕奇軟件基金會(huì)(Apache)組織推出的Hadoop大數(shù)據(jù)分析框架，谷歌公司推出的BigTable、GFS(Google File System)、MapReduce等技術(shù)框架等，這些研究成果為隨后的大數(shù)據(jù)應(yīng)用迅猛發(fā)展提供了便利的條件。2012年3月，美國(guó)奧巴馬總統(tǒng)了2億美元的“Big Data Initiative”(大數(shù)據(jù)研究和發(fā)展計(jì)劃)，該計(jì)劃涉及能源、國(guó)防、醫(yī)療、基礎(chǔ)科學(xué)等領(lǐng)域的155個(gè)項(xiàng)目種類，該計(jì)劃極大地推動(dòng)了大數(shù)據(jù)技術(shù)的創(chuàng)新與應(yīng)用，標(biāo)志著奧巴馬政府將大數(shù)據(jù)戰(zhàn)略從起初的政策層提升到國(guó)家戰(zhàn)略層。

 

同時(shí)，我國(guó)對(duì)大數(shù)據(jù)的認(rèn)識(shí)、應(yīng)用及相關(guān)技術(shù)服務(wù)等也在不斷提高，企業(yè)界一致認(rèn)同大數(shù)據(jù)在降低企業(yè)經(jīng)營(yíng)運(yùn)營(yíng)成本、提升管理層決策效率、提高企業(yè)經(jīng)濟(jì)效益等方面具有廣闊的應(yīng)用前景，相繼大數(shù)據(jù)相關(guān)戰(zhàn)略文件，同時(shí)國(guó)家組織在民生、國(guó)防等重要領(lǐng)域投入大量的人力物力進(jìn)行相關(guān)技術(shù)研究與創(chuàng)新實(shí)踐。

 

中國(guó)移動(dòng)通信公司在已有的云計(jì)算平臺(tái)基礎(chǔ)上，開展了大量大數(shù)據(jù)應(yīng)用研究，力圖將數(shù)據(jù)信息轉(zhuǎn)化為商業(yè)價(jià)值，促進(jìn)業(yè)務(wù)創(chuàng)新。例如，通過(guò)挖掘用戶的移動(dòng)互聯(lián)網(wǎng)行為特征，助力市場(chǎng)決策;利用信令數(shù)據(jù)支撐終端、網(wǎng)絡(luò)、業(yè)務(wù)平臺(tái)關(guān)聯(lián)分析，優(yōu)化網(wǎng)絡(luò)質(zhì)量。商業(yè)銀行也相繼開展了經(jīng)融大數(shù)據(jù)研究，提升銀行的競(jìng)爭(zhēng)力。例如，通過(guò)對(duì)用戶數(shù)據(jù)分析開展信用評(píng)估，降低企業(yè)風(fēng)險(xiǎn);從細(xì)粒度的級(jí)別進(jìn)行客戶數(shù)據(jù)分析，為不同客戶提供個(gè)性化的產(chǎn)品與服務(wù)，提升銀行的服務(wù)效率?？偠灾髷?shù)據(jù)正在帶來(lái)一場(chǎng)顛覆性的革命，將會(huì)推動(dòng)整個(gè)社會(huì)取得全面進(jìn)步。

 

2 大數(shù)據(jù)安全研究現(xiàn)狀

 

在大數(shù)據(jù)計(jì)算和分析過(guò)程中，安全是不容忽視的。大數(shù)據(jù)的固有特征對(duì)現(xiàn)有的安全標(biāo)準(zhǔn)、安全體系架構(gòu)、安全機(jī)制等都提出了新的挑戰(zhàn)。目前對(duì)大數(shù)據(jù)完整性的研究主要包括兩方面，一是對(duì)數(shù)據(jù)完整性的檢測(cè);二是對(duì)完整性被破壞的數(shù)據(jù)的恢復(fù)。在完整性檢測(cè)方面，數(shù)據(jù)量的增大使傳統(tǒng)的MD5、SHA1等效率較低的散列校驗(yàn)方法不再適用，驗(yàn)證者也無(wú)法將全部數(shù)據(jù)下載到本地主機(jī)后再進(jìn)行驗(yàn)證。

 

面向大數(shù)據(jù)的高效隱私保護(hù)方法方面，高效、輕量級(jí)的數(shù)據(jù)加密已有多年研究，雖然可用于大數(shù)據(jù)加密，但加密后數(shù)據(jù)不具可用性。保留數(shù)據(jù)可用性的非密碼學(xué)的隱私保護(hù)方法因而得到了廣泛的研究和應(yīng)用。這些方法包括數(shù)據(jù)隨機(jī)化、k-匿名化、差分隱私等。

 

這些方法在探究隱私泄漏的風(fēng)險(xiǎn)、提高隱私保護(hù)的可信度方面還有待深入，也不能適應(yīng)大數(shù)據(jù)的海量性、異構(gòu)性和時(shí)效性。在隱私保護(hù)下大數(shù)據(jù)的安全計(jì)算方面，很多應(yīng)用領(lǐng)域中的安全多方計(jì)算問(wèn)題都在半誠(chéng)實(shí)模型中得到了充分的研究，采用的方法包括電路賦值(Circuit Evaluation)、遺忘傳輸(Oblivious Transfer)、同態(tài)加密等。通過(guò)構(gòu)造零知識(shí)證明，可以將半誠(chéng)實(shí)模型中的解決方法轉(zhuǎn)換到惡意模型中。而在多方參與、涉及大量數(shù)據(jù)處理的計(jì)算問(wèn)題，目前研究的主要缺陷是惡意模型中方法的復(fù)雜度過(guò)高，不適應(yīng)多方參與、多協(xié)議執(zhí)行的復(fù)雜網(wǎng)絡(luò)環(huán)境。

 

企業(yè)大數(shù)據(jù)技術(shù)是指大數(shù)據(jù)相關(guān)技術(shù)在企業(yè)的充分應(yīng)用，即對(duì)企業(yè)業(yè)務(wù)、生產(chǎn)、監(jiān)控、監(jiān)測(cè)等信息系統(tǒng)在運(yùn)行過(guò)程中涉及的海量數(shù)據(jù)進(jìn)行抽取、傳輸、存儲(chǔ)、處理，管理、分析挖掘、應(yīng)用決策以及銷毀等，實(shí)現(xiàn)大數(shù)據(jù)對(duì)企業(yè)效率的提升、效益的增值以及風(fēng)險(xiǎn)的預(yù)測(cè)等。

 

企業(yè)的大數(shù)據(jù)類型通常主要包括業(yè)務(wù)經(jīng)營(yíng)數(shù)據(jù)即客戶信息數(shù)據(jù)、企業(yè)的生產(chǎn)運(yùn)營(yíng)與管理數(shù)據(jù)以及企業(yè)的設(shè)備運(yùn)行數(shù)據(jù)等，即客戶信息數(shù)據(jù)、員工信息數(shù)據(jù)、財(cái)務(wù)數(shù)據(jù)、物資數(shù)據(jù)、系統(tǒng)日志、設(shè)備監(jiān)測(cè)數(shù)據(jù)、調(diào)度數(shù)據(jù)、檢修數(shù)據(jù)、狀態(tài)數(shù)據(jù)等。企業(yè)大數(shù)據(jù)具有3V、3E特征[2]，3V即數(shù)據(jù)體量大(Volume)、數(shù)據(jù)類型多(Varity)與數(shù)據(jù)速度快(Velocity)，3E即數(shù)據(jù)即能量(Energy)、數(shù)據(jù)即交互(Exchange)與數(shù)據(jù)即共情(Empathy)。

 

3 大數(shù)據(jù)時(shí)代企業(yè)信息安全漏洞與風(fēng)險(xiǎn)并存

 

大數(shù)據(jù)時(shí)代，大數(shù)據(jù)在推動(dòng)企業(yè)向著更為高效、優(yōu)質(zhì)、精準(zhǔn)的服務(wù)前行的同時(shí)，其重要性與特殊性也給企業(yè)帶來(lái)新的信息安全風(fēng)險(xiǎn)與挑戰(zhàn)。如何針對(duì)大數(shù)據(jù)的重要性與特殊性構(gòu)建全方位多層次的信息安全保障體系，是企業(yè)發(fā)展中面臨的重要課題。大數(shù)據(jù)背景下，結(jié)合大數(shù)據(jù)時(shí)代的企業(yè)工作模式，企業(yè)可能存在的信息安全風(fēng)險(xiǎn)主要表現(xiàn)在以下三個(gè)方面：

 

(1)企業(yè)業(yè)務(wù)大數(shù)據(jù)信息安全風(fēng)險(xiǎn)：由于缺乏針對(duì)大數(shù)據(jù)相關(guān)的政策法規(guī)、標(biāo)準(zhǔn)與管理規(guī)章制度，導(dǎo)致企業(yè)對(duì)客戶信息大數(shù)據(jù)的“開放度”難以掌握，大數(shù)據(jù)開放和隱私之間難以平衡;企業(yè)缺乏清晰的數(shù)據(jù)需求導(dǎo)致數(shù)據(jù)資產(chǎn)流失的風(fēng)險(xiǎn);企業(yè)數(shù)據(jù)孤島，數(shù)據(jù)質(zhì)量差可用性低，導(dǎo)致數(shù)據(jù)無(wú)法充分利用以及數(shù)據(jù)價(jià)值不能充分挖掘的風(fēng)險(xiǎn);大數(shù)據(jù)安全能力和防范意識(shí)差，大數(shù)據(jù)人才缺乏導(dǎo)致大數(shù)據(jù)分析、處理等工作難以開展的風(fēng)險(xiǎn);管理技術(shù)和架構(gòu)相對(duì)滯后，導(dǎo)致數(shù)據(jù)泄露的風(fēng)險(xiǎn)。

 

(2)企業(yè)基礎(chǔ)設(shè)施信息安全風(fēng)險(xiǎn)：2010年，震網(wǎng)病毒[3]通過(guò)網(wǎng)絡(luò)與預(yù)制的系統(tǒng)漏洞對(duì)伊朗核電站發(fā)起攻擊，導(dǎo)致伊朗濃縮鈾工程的部分離心機(jī)出現(xiàn)故障，極大的延緩了伊朗核進(jìn)程。從此開啟了世界各國(guó)對(duì)工業(yè)控制系統(tǒng)安全的重視與管控。對(duì)于生產(chǎn)企業(yè)，工業(yè)生產(chǎn)設(shè)備是企業(yè)的命脈，其控制系統(tǒng)的安全性必須得到企業(yè)的高度重視。隨著物理設(shè)備管理控制系統(tǒng)與大數(shù)據(jù)采集系統(tǒng)在企業(yè)的不斷應(yīng)用，監(jiān)控與數(shù)據(jù)采集系統(tǒng)必將成為是物理攻擊的重點(diǎn)方向，越來(lái)越多的安全問(wèn)題隨之出現(xiàn)。

 

設(shè)備“接入點(diǎn)”范圍的不斷擴(kuò)大，傳統(tǒng)的邊界防護(hù)概念被改變; 2013年初，美國(guó)工業(yè)控制系統(tǒng)網(wǎng)絡(luò)緊急響應(yīng)小組(ICS-CERT)預(yù)警，發(fā)現(xiàn)美國(guó)兩家電廠的發(fā)電控制設(shè)備在2012年10月至12月期間感染了USB設(shè)備中的惡意軟件。該軟件能夠遠(yuǎn)程控制開關(guān)閘門、旋轉(zhuǎn)儀表表盤、大壩控制等重要操作，對(duì)電力設(shè)備及企業(yè)安全造成了極大的威脅。

 

(3)企業(yè)平臺(tái)信息安全風(fēng)險(xiǎn)： 應(yīng)用層安全風(fēng)險(xiǎn)主要是指網(wǎng)絡(luò)給用戶提供服務(wù)所采用的應(yīng)用軟件存在的漏洞所帶來(lái)的安全風(fēng)險(xiǎn)，包括： Web服務(wù)、郵件系統(tǒng)、數(shù)據(jù)庫(kù)軟件、域名系統(tǒng)、路由與交換系統(tǒng)、防火墻及網(wǎng)管系統(tǒng)、業(yè)務(wù)應(yīng)用軟件以及其他網(wǎng)絡(luò)服務(wù)系統(tǒng)等;操作系統(tǒng)層的安全風(fēng)險(xiǎn)主要是指網(wǎng)絡(luò)運(yùn)行的操作系統(tǒng)存在的漏洞帶來(lái)的安全風(fēng)險(xiǎn)，例如Windows NT、UNIX、Linux系列以及專用操作系統(tǒng)本身安全漏洞，主要包括訪問(wèn)控制、身份認(rèn)證、系統(tǒng)漏洞以及操作系統(tǒng)的安全配置等;網(wǎng)絡(luò)層安全風(fēng)險(xiǎn)主要指網(wǎng)絡(luò)層身份認(rèn)證，網(wǎng)絡(luò)資源的訪問(wèn)控制，數(shù)據(jù)傳輸?shù)谋Ｃ苄耘c完整性、路由系統(tǒng)的安全、遠(yuǎn)程接入、域名系統(tǒng)、入侵檢測(cè)的手段等網(wǎng)絡(luò)信息漏洞帶來(lái)的安全性。

 

4 企業(yè)大數(shù)據(jù)信息安全保障策略

 

針對(duì)大數(shù)據(jù)時(shí)代下企業(yè)可能存在的信息安全漏洞與風(fēng)險(xiǎn)，本文從企業(yè)的網(wǎng)絡(luò)邊界信息安全保障、應(yīng)用終端信息安全保障、應(yīng)用平臺(tái)信息安全保障、網(wǎng)絡(luò)安全信息安全保障、數(shù)據(jù)安全信息安全保障等多方面提出如下信息安全保障策略，形成具有層次特性的企業(yè)信息安全保障體系，提升大數(shù)據(jù)時(shí)代下的企業(yè)信息安全保障能力。

 

4.1企業(yè)系統(tǒng)終端——信息安全保障策略

 

對(duì)企業(yè)計(jì)算機(jī)終端進(jìn)行分類，依照國(guó)家信息安全等級(jí)保護(hù)的要求實(shí)行分級(jí)管理，根據(jù)確定的等級(jí)要求采取相應(yīng)的安全保障策略。企業(yè)擁有多種類型終端設(shè)備，對(duì)于不同終端，根據(jù)具體終端的類型、通信方式以及應(yīng)用環(huán)境等選擇適宜的保障策略。確保移動(dòng)終端的接入安全，移動(dòng)作業(yè)類終端嚴(yán)格執(zhí)行企業(yè)制定的辦公終端嚴(yán)禁“內(nèi)外網(wǎng)機(jī)混用”原則，移動(dòng)終端接入內(nèi)網(wǎng)需采用軟硬件相結(jié)合的加密方式接入。配子站終端需配置安全模塊，對(duì)主站系統(tǒng)的參數(shù)設(shè)置指令和控制命令采取數(shù)據(jù)完整性驗(yàn)證和安全鑒別措施，以防范惡意操作電氣設(shè)備，冒充主站對(duì)子站終端進(jìn)行攻擊。

 

4.2企業(yè)網(wǎng)絡(luò)邊界——信息安全保障策略

 

企業(yè)網(wǎng)絡(luò)具有分區(qū)分層的特點(diǎn)，使邊界不受外部的攻擊，防止惡意的內(nèi)部人員跨越邊界對(duì)外實(shí)施攻擊，在不同區(qū)的網(wǎng)絡(luò)邊界加強(qiáng)安全防護(hù)策略，或外部人員通過(guò)開放接口、隱蔽通道進(jìn)入內(nèi)部網(wǎng)絡(luò)。在管理信息內(nèi)部，審核不同業(yè)務(wù)安全等級(jí)與網(wǎng)絡(luò)密級(jí)，在網(wǎng)絡(luò)邊界進(jìn)行相應(yīng)的隔離保護(hù)。按照業(yè)務(wù)網(wǎng)絡(luò)的安全等級(jí)、實(shí)時(shí)性需求以及用途等評(píng)價(jià)指標(biāo)，采用防火墻隔離技術(shù)、協(xié)議隔離技術(shù)、物理隔離技術(shù)等[4]對(duì)關(guān)鍵核心業(yè)務(wù)網(wǎng)絡(luò)進(jìn)行安全隔離，實(shí)現(xiàn)內(nèi)部網(wǎng)與外部網(wǎng)訪問(wèn)資源限制。

 

4.3企業(yè)網(wǎng)絡(luò)安全——信息安全保障策略

 

網(wǎng)絡(luò)是企業(yè)正常運(yùn)轉(zhuǎn)的重要保障，是連接物理設(shè)備、應(yīng)用平臺(tái)與數(shù)據(jù)的基礎(chǔ)環(huán)境。生產(chǎn)企業(yè)主要采用公共網(wǎng)絡(luò)和專用網(wǎng)絡(luò)相結(jié)合的網(wǎng)絡(luò)結(jié)構(gòu)，專用網(wǎng)絡(luò)支撐企業(yè)的生產(chǎn)管理、設(shè)備管理、調(diào)度管理、資源管理等核心業(yè)務(wù)，不同業(yè)務(wù)使用的專用網(wǎng)絡(luò)享有不同安全等級(jí)與密級(jí)，需要采取不同的保障策略。網(wǎng)絡(luò)彈性是指基礎(chǔ)網(wǎng)絡(luò)在遇到突發(fā)事件時(shí)繼續(xù)運(yùn)行與快速恢復(fù)的能力。采用先進(jìn)的網(wǎng)絡(luò)防護(hù)技術(shù)，建立基礎(chǔ)網(wǎng)一體化感知、響應(yīng)、檢測(cè)、恢復(fù)與溯源機(jī)制，采取網(wǎng)絡(luò)虛擬化、硬件冗余、疊加等方法提高企業(yè)網(wǎng)絡(luò)彈性與安全性;對(duì)網(wǎng)絡(luò)基礎(chǔ)服務(wù)、網(wǎng)絡(luò)業(yè)務(wù)、信息流、網(wǎng)絡(luò)設(shè)備等基礎(chǔ)網(wǎng)絡(luò)環(huán)境采用監(jiān)控審計(jì)、安全加固、訪問(wèn)控制、身份鑒別、備份恢復(fù)、入侵檢測(cè)、資源控制等措施增強(qiáng)網(wǎng)絡(luò)環(huán)境安全防護(hù);在企業(yè)網(wǎng)絡(luò)中，重要信息數(shù)據(jù)需要安全通信。針對(duì)信息數(shù)字資源的安全交換需求，構(gòu)建企業(yè)的業(yè)務(wù)虛擬專用網(wǎng)。在已有基礎(chǔ)網(wǎng)絡(luò)中采用訪問(wèn)控制、用戶認(rèn)證、信息加密等相關(guān)技術(shù)，防止企業(yè)敏感數(shù)據(jù)被竊取，采取建立數(shù)據(jù)加密虛擬網(wǎng)絡(luò)隧道進(jìn)行信息傳輸安全通信機(jī)制。

 

4.4企業(yè)應(yīng)用系統(tǒng)平臺(tái)——信息安全保障策略

 

應(yīng)用系統(tǒng)平臺(tái)安全直接關(guān)系到企業(yè)各業(yè)務(wù)應(yīng)用的穩(wěn)定運(yùn)行，對(duì)應(yīng)用平臺(tái)進(jìn)行信息安全保障，可以有效避免企業(yè)業(yè)務(wù)被阻斷、擾亂、欺騙等破壞行為，本文建議給每個(gè)應(yīng)用平臺(tái)建立相應(yīng)的日志系統(tǒng)，可以對(duì)用戶的操作記錄、訪問(wèn)記錄等信息進(jìn)行歸檔存儲(chǔ)，為安全事件分析提供取證與溯源數(shù)據(jù)，防范內(nèi)部人員進(jìn)行異常操作。企業(yè)應(yīng)用平臺(tái)的用戶類型多樣，不同的應(yīng)用主體享有不同的功能與應(yīng)用權(quán)限，考慮到系統(tǒng)的靈活性與安全性，采用基于屬性權(quán)限訪問(wèn)控制[5]、基于動(dòng)態(tài)和控制中心訪問(wèn)權(quán)限控制[6]、基于域訪問(wèn)權(quán)限控制[7]、基于角色訪問(wèn)控制等訪問(wèn)控制技術(shù);確保企業(yè)應(yīng)用平臺(tái)系統(tǒng)安全可靠，在應(yīng)用平臺(tái)上線前，應(yīng)邀請(qǐng)第三方權(quán)威機(jī)構(gòu)對(duì)其進(jìn)行信息安全測(cè)評(píng)，即對(duì)應(yīng)用平臺(tái)系統(tǒng)進(jìn)行全面、系統(tǒng)的安全漏洞分析與風(fēng)險(xiǎn)評(píng)估[8]，并制定相應(yīng)的信息安全保障策略。

 

4.5企業(yè)大數(shù)據(jù)安全——信息保障策略

 

大數(shù)據(jù)時(shí)代下，大數(shù)據(jù)是企業(yè)的核心資源。企業(yè)客戶數(shù)據(jù)可能不僅包含個(gè)人的隱私信息，而且還包括個(gè)人、家庭的消費(fèi)行為信息，如果針對(duì)客戶大數(shù)據(jù)不妥善處理，會(huì)對(duì)用戶造成極大的危害，進(jìn)而失信于客戶。目前感知大數(shù)據(jù)(數(shù)據(jù)追蹤溯源)、應(yīng)用大數(shù)據(jù)(大數(shù)據(jù)的隱私保護(hù)[9]與開放)、管控大數(shù)據(jù)(數(shù)據(jù)訪問(wèn)安全、數(shù)據(jù)存儲(chǔ)安全)等問(wèn)題，仍然制約與困擾著大數(shù)據(jù)的發(fā)展。大數(shù)據(jù)主要采用分布式文件系統(tǒng)技術(shù)在云端存儲(chǔ)，在對(duì)云存儲(chǔ)環(huán)境進(jìn)行安全防護(hù)的前提下，對(duì)關(guān)鍵核心數(shù)據(jù)進(jìn)行冗余備份，強(qiáng)化數(shù)據(jù)存儲(chǔ)安全，提高企業(yè)大數(shù)據(jù)安全存儲(chǔ)能力。為了保護(hù)企業(yè)數(shù)據(jù)的隱私安全、提高企業(yè)大數(shù)據(jù)的安全性的同時(shí)提升企業(yè)的可信度，可采用數(shù)據(jù)分享、分析、時(shí)進(jìn)行匿名保護(hù)已經(jīng)隱私數(shù)據(jù)存儲(chǔ)加密保護(hù)措施來(lái)加強(qiáng)企業(yè)數(shù)據(jù)的隱私安全，對(duì)大數(shù)據(jù)用戶進(jìn)行分類與角色劃分，嚴(yán)格控制、明確各角色數(shù)據(jù)訪問(wèn)權(quán)限，規(guī)范各級(jí)用戶的訪問(wèn)行為，確保不同等級(jí)密級(jí)數(shù)據(jù)的讀、寫操作，有效抵制外部惡意行為，有效管理云存儲(chǔ)環(huán)境下的企業(yè)大數(shù)據(jù)安全。

 

5 結(jié)束語(yǔ)

 

隨著信息技術(shù)的快速革新，數(shù)據(jù)正以驚人的速度積累，大數(shù)據(jù)時(shí)代已經(jīng)來(lái)臨了;智能終端和數(shù)據(jù)傳感器成為大數(shù)據(jù)時(shí)代的數(shù)據(jù)主要來(lái)源。大數(shù)據(jù)在推動(dòng)企業(yè)不斷向前發(fā)展給企業(yè)提供了更多機(jī)遇的同時(shí)，也給企業(yè)的應(yīng)用創(chuàng)新與轉(zhuǎn)型發(fā)展帶來(lái)了新的信息安全威脅、信息安全漏洞以及信息安全風(fēng)險(xiǎn)。傳統(tǒng)的信息安全保障策略已經(jīng)無(wú)法滿足大數(shù)據(jù)時(shí)代的信息安全保障需求。怎樣做好企業(yè)大數(shù)據(jù)信息安全保障、加強(qiáng)信息安全防護(hù)、建設(shè)相關(guān)法律法規(guī)將是大數(shù)據(jù)時(shí)代長(zhǎng)期研究的問(wèn)題。

第7篇：網(wǎng)絡(luò)安全等級(jí)測(cè)評(píng)報(bào)告范文

關(guān)鍵詞：廣播電視；安全播出；調(diào)度

引言

為更好地適應(yīng)廣播電視機(jī)構(gòu)改革新形勢(shì)，進(jìn)一步做好全省廣播電視安全播出管理工作，河南省廣播電視安全播出調(diào)度指揮中心開展了河南省廣播電視安全播出指揮調(diào)度系統(tǒng)項(xiàng)目建設(shè)。系統(tǒng)采用云服務(wù)，通過(guò)互聯(lián)網(wǎng)和設(shè)備終端，連接省市縣3級(jí)廣播電視行政部門。系統(tǒng)建成后，將有效提高全省廣播電視安全播出管理和應(yīng)急調(diào)度工作效能，更好的適應(yīng)從管腳下向服務(wù)監(jiān)管社會(huì)廣播電視相關(guān)行業(yè)轉(zhuǎn)變。指揮調(diào)度系統(tǒng)包括信息處理系統(tǒng)和可視調(diào)度系統(tǒng)兩個(gè)部分。信息處理系統(tǒng)具備通知公告?zhèn)鬟_(dá)、文件信息交換、重保期情況上報(bào)和臨時(shí)停播請(qǐng)示備案等功能，可視調(diào)度系統(tǒng)具備遠(yuǎn)程可視調(diào)度、遠(yuǎn)程應(yīng)急演練、網(wǎng)絡(luò)視頻會(huì)議等功能。下面分別詳述兩個(gè)系統(tǒng)業(yè)務(wù)功能和技術(shù)優(yōu)勢(shì)。

1信息處理系統(tǒng)

信息處理系統(tǒng)采用B/S（瀏覽器/服務(wù)器）架構(gòu)，各單位只需在瀏覽器上登錄網(wǎng)站，輸入用戶名和密碼即可使用該系統(tǒng)業(yè)務(wù)功能，業(yè)務(wù)功能包括首頁(yè)、日常業(yè)務(wù)、安播資源、重要保障、全情查看五大業(yè)務(wù)版塊，系統(tǒng)架構(gòu)如圖1所示，具體業(yè)務(wù)功能和應(yīng)用特點(diǎn)如下。

1.1業(yè)務(wù)功能

1.1.1首頁(yè)首頁(yè)用來(lái)展示安全播出相關(guān)通知、公告等，包括新聞、重要通知、公告、學(xué)習(xí)資料和行業(yè)通報(bào)5個(gè)子版塊。新聞子版塊展示國(guó)家、省內(nèi)重要會(huì)議和重大活動(dòng)有關(guān)新聞。重要通知子版塊展示國(guó)家廣電總局、省廣電局安全播出工作重要通知。公告子版塊展示信息處理系統(tǒng)用戶使用手冊(cè)和常用配套軟件。學(xué)習(xí)資料子版塊展示安全播出規(guī)章制度和業(yè)務(wù)培訓(xùn)資料。行業(yè)通報(bào)子版塊展示全省近期安全播出情況通報(bào)。

1.1.2日常業(yè)務(wù)（1）收發(fā)文收發(fā)文用于系統(tǒng)內(nèi)各單位之間收發(fā)郵件，包括寫郵件、收件箱、已發(fā)送、草稿箱、已刪除5個(gè)模塊。寫郵件模塊可編寫正文、加載附件、選收件人后發(fā)送郵件。收件箱模塊存放已收郵件。已發(fā)送模塊存放已發(fā)郵件。草稿箱模塊存放尚未完成的郵件。已刪除模塊存放收件箱、已發(fā)送、草稿箱模塊中刪除的郵件，亦可徹底刪除上述郵件。收件箱、已發(fā)送、草稿箱、已刪除模塊均可通過(guò)標(biāo)題、發(fā)件人、正文等關(guān)鍵字搜索相應(yīng)郵件。（2）操作備案操作備案主頁(yè)面展示本單位權(quán)限內(nèi)可查看的操作備案信息，可根據(jù)需要搜索相應(yīng)操作備案信息。操作備案填報(bào)頁(yè)面設(shè)置操作單位、開始結(jié)束時(shí)間、操作內(nèi)容、影響頻率頻道、措施等字段。備案單位按規(guī)定填完后提交備案，上級(jí)單位查看到下級(jí)單位提交的操作備案信息后，在系統(tǒng)內(nèi)進(jìn)行批準(zhǔn)、轉(zhuǎn)呈或退回操作，下級(jí)單位按照上級(jí)單位的處理結(jié)果開展相應(yīng)的停播檢修工作。（3）事件事故事件事故主界面展示本單位權(quán)限內(nèi)可查看的安全播出事件事故，可根據(jù)需要搜索相應(yīng)事件事故信息。事件事故填報(bào)頁(yè)面設(shè)置事件事故單位、臺(tái)站類型、發(fā)生日期、停播時(shí)長(zhǎng)、影響節(jié)目、故障環(huán)節(jié)、事件事故起因、事件事故性質(zhì)等字段。填報(bào)單位按規(guī)定填完事件事故信息后保存，該條事件事故即保存在系統(tǒng)內(nèi)，上級(jí)單位可審核、修正下級(jí)單位事件事故信息。

1.1.3安播資源（1）組織機(jī)構(gòu)庫(kù)組織機(jī)構(gòu)庫(kù)以樹狀結(jié)構(gòu)的形式展示廣播電視單位基本信息和單位詳細(xì)信息。單位基本信息包括單位名稱、級(jí)別、類型、業(yè)務(wù)、地址等字段，單位詳細(xì)信息包括內(nèi)設(shè)部門信息，直屬單位信息和人員信息三個(gè)部分。內(nèi)設(shè)部門信息包括部門名稱、電話、傳真、職能等字段，直屬單位信息與單位基本信息字段相同，人員信息包括姓名、職務(wù)、座機(jī)、手機(jī)等字段。各單位可登錄查看、修改本單位或者所轄單位的組織機(jī)構(gòu)信息。（2）臺(tái)站資源庫(kù)臺(tái)站信息庫(kù)以樹狀結(jié)構(gòu)的形式展示廣播電視單位系統(tǒng)和設(shè)備信息，包括自查表管理、系統(tǒng)管理、設(shè)備管理和節(jié)目管理四個(gè)部分。在自查表管理版塊，各單位可填寫自查表，協(xié)助本單位做好安播自查相關(guān)工作。在系統(tǒng)管理版塊，各單位可新建、編輯本單位技術(shù)系統(tǒng)相關(guān)信息。新建完成技術(shù)系統(tǒng)后，各單位可在設(shè)備管理版塊為技術(shù)系統(tǒng)添加系統(tǒng)組成設(shè)備并填寫相關(guān)信息，在節(jié)目管理版塊為技術(shù)系統(tǒng)添加播出節(jié)目相關(guān)信息。（3）頻道資源庫(kù)頻道資源庫(kù)展示全省頻道資源信息，包括頻道名稱、所屬地區(qū)、頻道類型、頻道級(jí)別等字段，各單位可通過(guò)上述字段查詢需要的頻道信息。同時(shí)頻道資源庫(kù)作為基礎(chǔ)數(shù)據(jù)庫(kù)，還為事件事故、操作備案的填報(bào)提供數(shù)據(jù)支撐。

1.1.4重要保障重要保障主頁(yè)面展示重要保障期信息，各單位可輸入關(guān)鍵字搜索相應(yīng)的重要保障期信息。管理員負(fù)責(zé)新建重保期，包括重保期名稱、開始時(shí)間、結(jié)束時(shí)間、保障內(nèi)容，以及零報(bào)告名稱、日期、上報(bào)時(shí)間、重點(diǎn)保障時(shí)段等字段。各單位應(yīng)每日填寫上報(bào)重保期情況（零報(bào)告），上級(jí)單位可查看下級(jí)單位上報(bào)的零報(bào)告。

1.1.5全情查看全情查看展示全省地圖，可以按照系統(tǒng)內(nèi)外、單位類別、單位級(jí)別、單位類型、專業(yè)類型等字段，在地圖上搜索需要查找的單位。能夠正確查找到目標(biāo)單位的前提是，該單位組織機(jī)構(gòu)庫(kù)地址信息中的經(jīng)緯度坐標(biāo)填寫正確。

1.2技術(shù)優(yōu)勢(shì)

信息處理系統(tǒng)采用云服務(wù)，服務(wù)器部署在云端，免除設(shè)備物理維護(hù)，設(shè)置防火墻，全面保障服務(wù)器網(wǎng)絡(luò)安全和業(yè)務(wù)運(yùn)行安全。建立收發(fā)文業(yè)務(wù)模塊，要求安全播出業(yè)務(wù)文件使用該模塊進(jìn)行文件交換，有效提高安播文件交換效率、準(zhǔn)確性和安全性。建立操作備案業(yè)務(wù)模塊，要求臨時(shí)停播備案材料使用該模塊填報(bào)和流轉(zhuǎn)，切實(shí)提高備案工作的規(guī)范性，有效節(jié)省紙張、油墨和傳真通訊線路等資源。建立安播資源庫(kù)，可及時(shí)查詢轄區(qū)內(nèi)機(jī)構(gòu)、人員、技術(shù)系統(tǒng)、設(shè)施設(shè)備以及節(jié)目等各類安播資源，為安全播出調(diào)度指揮和應(yīng)急處置工作提供信息支撐。建立重要保障版塊，要求重保期零報(bào)告使用該版塊填報(bào)，極大地提高零報(bào)告報(bào)送接收效率，有效節(jié)省電話線路資源。

2可視調(diào)度系統(tǒng)

2.1業(yè)務(wù)功能

2.1.1硬件配置和組會(huì)能力終端設(shè)備部署在省、市、縣三級(jí)廣播電視行政機(jī)構(gòu)，分別設(shè)置為一級(jí)、二級(jí)和三級(jí)會(huì)場(chǎng)。一級(jí)會(huì)場(chǎng)配置高清攝像機(jī)、全向麥克風(fēng)、高清視訊終端和2臺(tái)顯示設(shè)備，具備150方會(huì)議組織能力；二級(jí)會(huì)場(chǎng)配置一體化視頻會(huì)議終端和1臺(tái)顯示設(shè)備，具備視音頻編解碼、麥克風(fēng)和攝像機(jī)功能，具備25方會(huì)議組織能力，也可參加會(huì)議；三級(jí)會(huì)場(chǎng)配置已安裝視頻會(huì)議軟終端的計(jì)算機(jī)，計(jì)算機(jī)上內(nèi)置攝像頭、麥克風(fēng)和揚(yáng)聲器，只能參加會(huì)議。

2.1.2會(huì)議管理功能具備會(huì)議組織能力的終端設(shè)備可發(fā)起會(huì)議并可使用會(huì)控平板或微信小程序管理會(huì)議，會(huì)議管理具體功能如下：（1）會(huì)議發(fā)起后，為保障會(huì)場(chǎng)音效環(huán)境，可將全體參會(huì)單位靜音，有可自行解除和不可自行解除2種設(shè)置以供選擇。會(huì)議進(jìn)行中，為使需要對(duì)話的會(huì)場(chǎng)能夠互相聽到聲音，可解除相應(yīng)會(huì)場(chǎng)的聲音禁止。（2）可使用焦點(diǎn)功能，將主會(huì)場(chǎng)鎖定在主畫面上，也可使用會(huì)場(chǎng)輪巡功能，順序查看所有會(huì)場(chǎng)情況。（3）會(huì)議開始前或會(huì)議間隙，為保障主會(huì)場(chǎng)私密性，可將全向麥靜音，將攝像頭關(guān)閉。（4）在應(yīng)參會(huì)單位已全部入會(huì)后，可鎖定會(huì)議，避免無(wú)關(guān)單位獲取會(huì)議號(hào)碼和密碼后進(jìn)入會(huì)議。若無(wú)關(guān)單位已進(jìn)入會(huì)議，也可將其從會(huì)議中移除。（5）為保障主講人順利講解演示PPT，可關(guān)閉共享，避免參會(huì)人員誤用共享功能，將本機(jī)屏幕投入主畫面。

2.1.3軟終端功能可與其他會(huì)場(chǎng)進(jìn)行視音頻交流；可管理本機(jī)攝像頭和麥克風(fēng)開啟、關(guān)閉狀態(tài)；可將PPT、屏幕共享至?xí)h主畫面，供會(huì)議使用；可與其他計(jì)算機(jī)進(jìn)行文字交流。

2.2技術(shù)優(yōu)勢(shì)

2.2.1視音頻處理視頻方面，系統(tǒng)采用帶寬自適應(yīng)機(jī)制、視頻多碼率支持、視頻圖像平滑處理等算法，保證視頻流暢、清晰。音頻方面，系統(tǒng)采用回音消除、自動(dòng)增益、背景降躁、靜音檢測(cè)等算法，保證音頻流暢、清晰。此外，在帶寬/網(wǎng)絡(luò)質(zhì)量下降時(shí)，系統(tǒng)自動(dòng)優(yōu)先保證語(yǔ)音通信，確保會(huì)議的連續(xù)性。

2.2.2終端支持支持視訊終端、計(jì)算機(jī)、平板電腦、手機(jī)等不同類型、不同操作系統(tǒng)終端設(shè)備，在不同場(chǎng)景接入網(wǎng)絡(luò)視頻會(huì)議，參會(huì)方式靈活便捷，移動(dòng)性強(qiáng)。

2.2.3系統(tǒng)安全（1）架構(gòu)安全：系統(tǒng)采用多點(diǎn)云中心搭配分布式低延時(shí)路由器的方式向參會(huì)方提供實(shí)時(shí)的視頻、音頻及數(shù)據(jù)通信服務(wù)。若正在服務(wù)的云中心失效，可在極短時(shí)間內(nèi)自動(dòng)切換到其他云中心，保證服務(wù)的有效性和連續(xù)性。（2）通信安全：系統(tǒng)對(duì)客戶端與路由器之間的會(huì)話加密后，建立可靠、安全的專屬通信鏈路。參會(huì)方通過(guò)專屬鏈接接入通信網(wǎng)絡(luò)，其通信被嚴(yán)格控制在專屬通信鏈路中，無(wú)關(guān)人員無(wú)法獲取鏈路中的信息。同時(shí)，會(huì)議進(jìn)行中的會(huì)話數(shù)據(jù)為臨時(shí)數(shù)據(jù)，云平臺(tái)不存儲(chǔ)任何會(huì)話數(shù)據(jù)。會(huì)議結(jié)束后，會(huì)話數(shù)據(jù)即從系統(tǒng)中消除。（3）平臺(tái)安全：可視調(diào)度系統(tǒng)采用的云視頻系統(tǒng)所在的云平臺(tái)為信息安全等級(jí)保護(hù)第3級(jí)系統(tǒng)，已在公安機(jī)關(guān)取得備案證明，并通過(guò)了相應(yīng)的信息安全等級(jí)保護(hù)測(cè)評(píng)。

第8篇：網(wǎng)絡(luò)安全等級(jí)測(cè)評(píng)報(bào)告范文

近幾年，信息泄漏事件頻發(fā)，數(shù)據(jù)安全將迎來(lái)巨大的挑戰(zhàn)，尤其是涉及師生個(gè)人隱私的數(shù)據(jù)及涉密數(shù)據(jù)應(yīng)進(jìn)行重點(diǎn)保護(hù)。數(shù)據(jù)平臺(tái)是高校日常信息管理的重要陣地，為高校的正常工作提供有力的數(shù)據(jù)支撐，保障信息數(shù)據(jù)的安全，提高系統(tǒng)的穩(wěn)定性，為學(xué)校師生提供來(lái)源可靠、準(zhǔn)確無(wú)誤的基礎(chǔ)數(shù)據(jù)，避免或減少數(shù)據(jù)損壞、丟失是高校信息安全工作的頭等大事兒。

1 利用數(shù)據(jù)平臺(tái)管理信息是高校發(fā)展的必然趨勢(shì)

高校數(shù)據(jù)的采集、錄入、存儲(chǔ)、提取工作較為頻繁，將數(shù)據(jù)信息上傳至數(shù)據(jù)平臺(tái)，方便信息的整合共享、反復(fù)交叉利用，將大量結(jié)構(gòu)復(fù)雜、類型各異的數(shù)據(jù)匯集在一起，為高校的數(shù)據(jù)匯總、統(tǒng)計(jì)分析、信息共享、發(fā)展規(guī)劃提供了準(zhǔn)確詳實(shí)的數(shù)據(jù)基礎(chǔ)，促進(jìn)高校信息管理的數(shù)字化，為建設(shè)智慧校園打開方便之門。歸納分析數(shù)據(jù)平臺(tái)信息管理的優(yōu)勢(shì)有以下幾點(diǎn)：

1）信息數(shù)據(jù)的上傳、查詢、檢索、管理等操作不限時(shí)間、地點(diǎn)。

只要能上網(wǎng)信息數(shù)據(jù)就可以上傳收集到數(shù)據(jù)平臺(tái)，支持電腦、手機(jī)、ipad等各種終端設(shè)備隨時(shí)隨地查詢、檢索數(shù)據(jù)信息，校內(nèi)可以通過(guò)學(xué)校內(nèi)部網(wǎng)絡(luò)，校外可以通過(guò)VPN等方式訪問(wèn)獲取數(shù)據(jù)。

2）為統(tǒng)計(jì)分析提供了數(shù)據(jù)支持

高校通過(guò)大數(shù)據(jù)的統(tǒng)計(jì)分析可以有針對(duì)性的調(diào)整招生計(jì)劃、專業(yè)設(shè)置、就業(yè)方向，不斷完善辦學(xué)理念，開拓辦學(xué)思路，為學(xué)校的前途發(fā)展、決策制定、人才需求分析提供了數(shù)據(jù)支持。

3）推動(dòng)高校數(shù)字化的進(jìn)程

高校數(shù)字化是智慧校園建設(shè)的前提，推動(dòng)高校云服務(wù)、網(wǎng)絡(luò)教學(xué)、慕課等教學(xué)形式的發(fā)展，提高學(xué)校的教學(xué)水平，為學(xué)校進(jìn)一步發(fā)展網(wǎng)絡(luò)教學(xué)提供了技術(shù)支持。高校數(shù)字化對(duì)社會(huì)發(fā)展起到引領(lǐng)作用，促進(jìn)地方經(jīng)濟(jì)建設(shè)，提高地方數(shù)字化水平。

4）提升高校信息管理和服務(wù)水平

借助數(shù)據(jù)平臺(tái)實(shí)現(xiàn)數(shù)據(jù)共享，多部門共享數(shù)據(jù)信息，提高信息管理的效率，使學(xué)校的管理和服務(wù)水平又上新臺(tái)階。由此可見，通過(guò)數(shù)據(jù)平臺(tái)進(jìn)行信息管理是大勢(shì)所趨，而數(shù)據(jù)平臺(tái)的安全保障工作成了重中之重。

2 數(shù)據(jù)平臺(tái)信息的安全問(wèn)題及防范措施

2.1 物理環(huán)境安全

物理環(huán)境安全主要指數(shù)據(jù)機(jī)房的溫度、濕度等物理環(huán)境以及靜電、磁場(chǎng)干擾等因素的影響，高職院校數(shù)據(jù)中心應(yīng)按照相應(yīng)的安全等級(jí)建設(shè)，中央機(jī)房的建設(shè)應(yīng)考慮將來(lái)在發(fā)展過(guò)程中可能遇到的問(wèn)題。

2.2 硬軟件環(huán)境安全

硬件安全是指數(shù)據(jù)中心設(shè)備的安全，包括服務(wù)器、存儲(chǔ)、網(wǎng)絡(luò)設(shè)備等，中央機(jī)房的硬件維護(hù)應(yīng)有專人負(fù)責(zé)，定期查看硬件運(yùn)行是否穩(wěn)定，是否有過(guò)熱、風(fēng)扇故障或其他問(wèn)題出現(xiàn)，對(duì)硬件進(jìn)行必要的維護(hù)是保證學(xué)校工作正常進(jìn)行的前提。

軟件安全是指服務(wù)器中各軟件及組件的正常使用，利用虛擬化軟件合理配置服務(wù)器資源，對(duì)存儲(chǔ)系統(tǒng)、災(zāi)備系統(tǒng)及網(wǎng)絡(luò)設(shè)備等進(jìn)行有機(jī)整合，通過(guò)對(duì)web環(huán)境配置、服務(wù)器環(huán)境搭建、防火墻、常用組件、數(shù)據(jù)庫(kù)等系統(tǒng)的調(diào)試運(yùn)行，滿足用戶數(shù)據(jù)上傳、存儲(chǔ)、檢索、提取、共享等各項(xiàng)日常工作需要。

2.3 常見的信息安全問(wèn)題

2.3.1 病毒攻擊、黑客入侵問(wèn)題

高級(jí)可持續(xù)性威脅（APT）通過(guò)網(wǎng)絡(luò)漏洞入侵、分布式拒絕服務(wù)（DDoS）、Phishing、Botnet、木馬、惡意代碼等網(wǎng)絡(luò)攻擊。一些不懷好意的黑客入侵計(jì)算機(jī)系統(tǒng)，竊取或是篡改用戶的個(gè)人信息和重要數(shù)據(jù)，給用戶帶來(lái)嚴(yán)重危害[1]。我們應(yīng)定期掃描系統(tǒng)安全漏洞，安裝服務(wù)器補(bǔ)丁并定時(shí)更新防火墻病毒庫(kù)，提高系統(tǒng)的防御能力。

2.3.2 數(shù)據(jù)信息的完整性保護(hù)

通過(guò)終端審計(jì)、身份認(rèn)證、分級(jí)管理、行為追蹤等措施，確保數(shù)據(jù)信息的完整性、真實(shí)性、一致性，保護(hù)數(shù)據(jù)信息的可控性及可用性。

2.3.3 數(shù)據(jù)信息泄漏

近年來(lái)，數(shù)據(jù)信息泄漏事件呈上升趨勢(shì)，個(gè)人隱私泄漏、盜取敏感數(shù)據(jù)等事件頻發(fā)，通過(guò)數(shù)據(jù)加密技術(shù)、信息訪問(wèn)權(quán)限的控制、安全審計(jì)等措施防止數(shù)據(jù)泄漏。

2.3.4 數(shù)據(jù)中心抗風(fēng)險(xiǎn)能力有待提高

數(shù)據(jù)平臺(tái)的穩(wěn)定性是由系統(tǒng)自的完備程度決定的，系統(tǒng)容災(zāi)、冗余備份工作不夠完善，對(duì)風(fēng)險(xiǎn)的認(rèn)識(shí)不夠充分，出現(xiàn)問(wèn)題的時(shí)候就會(huì)造成較大范圍的損失，提高風(fēng)險(xiǎn)意識(shí)，加強(qiáng)系統(tǒng)管理，提升數(shù)據(jù)平臺(tái)的抗風(fēng)險(xiǎn)能力。

3 安全管理策略

3.1 數(shù)據(jù)安全策略

數(shù)據(jù)可以通過(guò)加密來(lái)保證數(shù)據(jù)的安全性，有必要也可以采用動(dòng)態(tài)加密技術(shù)。為保障數(shù)據(jù)傳輸安全，從外網(wǎng)訪問(wèn)高校數(shù)據(jù)平臺(tái)信息，可以通過(guò)VPN、PPTP等方式訪問(wèn)。

3.2 日志管理策略

服務(wù)器、防火墻及網(wǎng)絡(luò)軟件在運(yùn)行過(guò)程中都會(huì)產(chǎn)生日志，用來(lái)記錄自身運(yùn)行情況、相關(guān)事件的發(fā)生時(shí)間及有價(jià)值的信息，加強(qiáng)日志的記錄管理，通過(guò)收集、存儲(chǔ)、匯總、分析等方法及時(shí)發(fā)現(xiàn)操作系統(tǒng)及網(wǎng)絡(luò)的異常，利用日志監(jiān)控系統(tǒng)、審計(jì)行為、分析原因并生成調(diào)查報(bào)告。

3.3 權(quán)限設(shè)置策略

根據(jù)管理級(jí)別，設(shè)置管理權(quán)限，高級(jí)權(quán)限有?L問(wèn)、下載、管理數(shù)據(jù)權(quán)限，低級(jí)權(quán)限僅可以查看及部分操作與自己工作相關(guān)的信息。對(duì)于已提交審核確認(rèn)后的內(nèi)容僅有訪問(wèn)權(quán)，沒有修改權(quán)，如學(xué)生成績(jī)管理，教師在規(guī)定時(shí)間上傳完學(xué)生的期末成績(jī)之后，就只能查看成績(jī)而不能修改，而學(xué)生只有查看權(quán)限。

3.4 密鑰管理策略

密鑰可與權(quán)限同步設(shè)置，通過(guò)密鑰管理一方面可以識(shí)辨人員身份，另一方面可以實(shí)行上網(wǎng)人員的權(quán)限控制，防止非法人員訪問(wèn)系統(tǒng)。

3.5 行為管理策略

信息管理人員的行為從認(rèn)證開始，辨識(shí)身份，監(jiān)控行為，發(fā)現(xiàn)有病毒、木馬、惡意程序等或涉及信息安全行為的賬號(hào)要果斷采取有效措施，并追蹤來(lái)源，查找原因，避免此類事件再次發(fā)生。

4 信息安全保障體系建設(shè)

4.1 病毒防治

病毒入侵會(huì)導(dǎo)致數(shù)據(jù)信息被?閡獯鄹?、锁幍、?失，病毒的擴(kuò)散傳播會(huì)造成系統(tǒng)大面積癱瘓，對(duì)軟硬件環(huán)境安全構(gòu)成威脅。我們不但要提高防毒意識(shí)，還要加強(qiáng)防控技術(shù)水平。

4.1.1 提高系統(tǒng)的防護(hù)能力

檢測(cè)系統(tǒng)漏洞，及時(shí)安裝漏洞補(bǔ)丁，掃描病毒及木馬，通過(guò)入侵檢測(cè)防御系統(tǒng)（IDS）進(jìn)行主動(dòng)的安全防護(hù)，加強(qiáng)防御與入侵檢測(cè)工作，提高系統(tǒng)的健壯程度，增強(qiáng)系統(tǒng)穩(wěn)定性。

4.1.2 防止網(wǎng)絡(luò)攻擊及黑客入侵

通過(guò)防火墻阻斷外部病毒的入侵，防火墻可根據(jù)實(shí)際需要采取不同技術(shù)，如過(guò)濾型防火墻、型防火墻，同時(shí)提高校園內(nèi)網(wǎng)使用者的安全意識(shí)，防范來(lái)自內(nèi)部的攻擊，避免病毒通過(guò)內(nèi)網(wǎng)上傳平臺(tái)。

網(wǎng)絡(luò)安全不僅需要技術(shù)上的進(jìn)步，同時(shí)需要通過(guò)規(guī)范制度、人員培訓(xùn)、責(zé)任落實(shí)等手段齊抓共管。

4.2 規(guī)章制度建設(shè)

建立健全完善的數(shù)據(jù)機(jī)房管理制度，責(zé)任落實(shí)到人頭，定期對(duì)系統(tǒng)進(jìn)行漏洞查找，安裝系統(tǒng)補(bǔ)丁、更新病毒庫(kù)。為避免人為因素的影響，對(duì)工作人員進(jìn)行定期培訓(xùn)及安全教育，對(duì)上網(wǎng)人員進(jìn)行實(shí)名身份認(rèn)證管理，并進(jìn)行行為跟蹤。建立上網(wǎng)賬號(hào)數(shù)據(jù)庫(kù)，禁止非法訪問(wèn)，保證數(shù)據(jù)信息的安全。

4.3 安全管理體系建設(shè)

相關(guān)管理部門制定安全策略和管理制度，認(rèn)真做好安全管理組織工作，加強(qiáng)工作人員的安全管理，提高信息管理人員的安全責(zé)任意識(shí)，經(jīng)常進(jìn)行信息安全管理的業(yè)務(wù)培訓(xùn)，提高安全管理的執(zhí)行能力。

4.4 安全技術(shù)體系建設(shè)

通過(guò)識(shí)別用戶身份、訪問(wèn)權(quán)限、行為控制等策略營(yíng)造安全的平臺(tái)信息環(huán)境，過(guò)濾網(wǎng)絡(luò)信息，打造安全的區(qū)域邊界。為防止網(wǎng)絡(luò)入侵、非法訪問(wèn)、惡意代碼攻擊等行為，采取漏洞掃描、安全檢測(cè)、物理隔離、升級(jí)防火墻等技術(shù)，支持系統(tǒng)安全測(cè)評(píng)、風(fēng)險(xiǎn)測(cè)評(píng)體系，防范信息篡改、假冒等事件發(fā)生。

4.5 數(shù)據(jù)安全體系建設(shè)

在保證供電的基礎(chǔ)上，高校數(shù)據(jù)中心可采用一用二備或三備的配置，并對(duì)重要數(shù)據(jù)定期備份。在容災(zāi)備份技術(shù)的選擇上可以根據(jù)實(shí)際采用雙歸屬技術(shù)或IuFlex技術(shù)，如1+1主備或互備，有條件的也可以采用N+1主備或互備。一旦出現(xiàn)問(wèn)題，數(shù)據(jù)備份可以減少處理問(wèn)題的時(shí)間，及時(shí)解決問(wèn)題并降損。

4.6 運(yùn)行維護(hù)體系建設(shè)

信息的安全維護(hù)體系建設(shè)是系統(tǒng)安全穩(wěn)定運(yùn)行的有力保障，控制訪問(wèn)、鑒別認(rèn)證、監(jiān)控?cái)?shù)據(jù)、安全管理、系統(tǒng)配置等大量工作提前做好，才能使信息資源規(guī)避風(fēng)險(xiǎn)，減少損失，定期安裝補(bǔ)丁，檢查接口安全，利用數(shù)據(jù)加密技術(shù)應(yīng)對(duì)黑客竊取數(shù)據(jù)或各種攻擊性行為。

4.7 應(yīng)急處理方案

準(zhǔn)備切實(shí)可行的應(yīng)急處理預(yù)案，確保出現(xiàn)問(wèn)題時(shí)第一時(shí)間做出反應(yīng)，減少損失，盡快處理出現(xiàn)的問(wèn)題。備服的安全管理也應(yīng)同步進(jìn)行，數(shù)據(jù)熱備份，做好應(yīng)急預(yù)案，防止出現(xiàn)問(wèn)題時(shí)忙中出錯(cuò)。

第9篇：網(wǎng)絡(luò)安全等級(jí)測(cè)評(píng)報(bào)告范文

隨著近年來(lái)信息安全話題的持續(xù)熱議，越來(lái)越多的企業(yè)管理人員開始關(guān)注這一領(lǐng)域，針對(duì)黑客入侵、數(shù)據(jù)泄密、系統(tǒng)監(jiān)控、信息管理等問(wèn)題陸續(xù)采取了一系列措施，開始構(gòu)筑企業(yè)的信息安全防護(hù)屏障。然而在給企業(yè)做咨詢項(xiàng)目的時(shí)候，還是經(jīng)常會(huì)聽到這樣的話：

“我們已經(jīng)部署了防火墻、入侵檢測(cè)設(shè)備防范外部黑客入侵，采購(gòu)了專用的數(shù)據(jù)防泄密軟件進(jìn)行內(nèi)部信息資源管理，為什么還是會(huì)出現(xiàn)企業(yè)敏感信息外泄的問(wèn)題？”

“我們的IT運(yùn)營(yíng)部門建立了系統(tǒng)的運(yùn)行管理和安全監(jiān)管制度和體系，為什么卻遲遲難以落實(shí)？各業(yè)務(wù)部門都大力抵制相關(guān)制度和技術(shù)措施的應(yīng)用推廣?！?/p>

“我們已經(jīng)在咨詢公司的協(xié)助下建立了ISMS體系，投入了專門的人力進(jìn)行安全管理和控制，并且通過(guò)了企業(yè)信息安全管理體系的認(rèn)證和審核，一開始的確獲得了顯著的成效，但為什么經(jīng)過(guò)一年的運(yùn)行后，卻發(fā)現(xiàn)各類安全事件有增無(wú)減？”

這些問(wèn)題的出現(xiàn)往往是由于管理人員采取了“頭痛醫(yī)頭，腳痛醫(yī)腳”的安全解決方案，自然顧此失彼，難以形成有效的安全防護(hù)能力。上述的三個(gè)案例，案例一中企業(yè)發(fā)生過(guò)敏感信息外泄事件，于是采購(gòu)了專用的數(shù)據(jù)防泄密軟件，卻并未制定相關(guān)的信息管理制度和進(jìn)行員工保密意識(shí)培訓(xùn)，結(jié)果只能是防外不防內(nèi)，還會(huì)給員工的正常工作帶來(lái)諸多不便；案例二中企業(yè)管理者認(rèn)識(shí)到安全管理的重要性，要求相關(guān)部門編制了大量的管理制度和規(guī)范，然而缺乏調(diào)研分析和聯(lián)系業(yè)務(wù)的落地措施，不切實(shí)際的管理制度最終因?yàn)闃I(yè)務(wù)部門的排斥而束之高閣；案例三中ISMS的建立有效地規(guī)范了公司原有的技術(shù)保障體系，然而認(rèn)證通過(guò)后隨著業(yè)務(wù)發(fā)展卻并未進(jìn)行必要的改進(jìn)和優(yōu)化，隨著時(shí)間的推移管理體系與實(shí)際工作脫節(jié)日益嚴(yán)重，各類安全隱患再次出現(xiàn)也就不足為奇。

其實(shí)，企業(yè)面臨的各種安全威脅和隱患，與人體所面臨的各種疾病有諸多類似之處，我們常說(shuō)西醫(yī)治標(biāo)不治本，指的就是采取分片分析的發(fā)現(xiàn)問(wèn)題―分析問(wèn)題―解決問(wèn)題的思路處理安全威脅，通過(guò)技術(shù)手段的積累雖然可以解決很多問(wèn)題，但總會(huì)產(chǎn)生疲于應(yīng)付的狀況，難以形成有效的安全保障體系；類比于中醫(yī)理論將人體看為一個(gè)互相聯(lián)系的整體，信息安全管理體系的建立正是通過(guò)全面的調(diào)研分析，充分發(fā)現(xiàn)企業(yè)面臨的各種問(wèn)題和隱患，緊密聯(lián)系業(yè)務(wù)工作和安全保障需要，形成系統(tǒng)的解決方案，通過(guò)動(dòng)態(tài)的維護(hù)機(jī)制形成完善的防護(hù)體系。

總體來(lái)說(shuō)，信息安全管理體系是企業(yè)在整體或特定范圍內(nèi)建立信息安全方針和目標(biāo)，以及完成這些目標(biāo)所用方法的體系。它是基于業(yè)務(wù)風(fēng)險(xiǎn)方法，來(lái)建立、實(shí)施、運(yùn)行、監(jiān)視、評(píng)審、保持和改進(jìn)企業(yè)的信息安全系統(tǒng)，目的是保障企業(yè)的信息安全。它是直接管理活動(dòng)的結(jié)果，表示成方針、原則、目標(biāo)、方法、過(guò)程、核查表（Checklists）等要素的集合，涉及到人、程序和信息系統(tǒng)。

針對(duì)ISMS的建立，我們可以從中醫(yī)“望聞問(wèn)切對(duì)癥下藥治病于未病”的三個(gè)角度來(lái)進(jìn)行分析和討論：

第一，“望聞問(wèn)切”，全面的業(yè)務(wù)、資產(chǎn)和風(fēng)險(xiǎn)評(píng)估是ISMS建設(shè)的基礎(chǔ)；

第二，“對(duì)癥下藥”，可落實(shí)、可操作、可驗(yàn)證的管理體系是ISMS建設(shè)的核心；

第三，“治病于未病”，持續(xù)跟蹤，不斷完善的思想是ISMS持續(xù)有效的保障。

望聞問(wèn)切

為了完成ISMS建設(shè)，就必然需要對(duì)企業(yè)當(dāng)前信息資源現(xiàn)狀進(jìn)行系統(tǒng)的調(diào)研和分析，為企業(yè)的健康把把脈，畢竟我們需要在企業(yè)現(xiàn)有的信息條件下進(jìn)行ISMS建設(shè)。

首先，自然是對(duì)企業(yè)現(xiàn)有資源的梳理，重點(diǎn)可以從以下幾個(gè)方面入手：

1.業(yè)務(wù)主體（設(shè)備、人員、軟件等）。

業(yè)務(wù)主體是最直觀、最直接的信息系統(tǒng)資源，比如多少臺(tái)服務(wù)器、多少臺(tái)網(wǎng)絡(luò)設(shè)備，都屬于業(yè)務(wù)主體的范疇，按照業(yè)務(wù)主體本身的價(jià)值進(jìn)行一個(gè)估值，也是進(jìn)行整個(gè)信息系統(tǒng)資源價(jià)值評(píng)估的基礎(chǔ)評(píng)估。由于信息技術(shù)日新月異的變化，最好的主體未必服務(wù)于最核心的信息系統(tǒng)，同時(shí)價(jià)值最昂貴的設(shè)備未必最后對(duì)企業(yè)的價(jià)值也最大。在建立體系的過(guò)程中，對(duì)業(yè)務(wù)設(shè)備的盤點(diǎn)和清理是很重要的，也是進(jìn)行基礎(chǔ)業(yè)務(wù)架構(gòu)優(yōu)化的一個(gè)重要數(shù)據(jù)。

2.業(yè)務(wù)數(shù)據(jù)（服務(wù)等）。

業(yè)務(wù)數(shù)據(jù)是現(xiàn)在企業(yè)信息化負(fù)責(zé)人逐步關(guān)注的方面，之前我們只關(guān)注設(shè)備的安全，網(wǎng)絡(luò)的良好工作狀態(tài)，往往忽略了數(shù)據(jù)對(duì)業(yè)務(wù)和企業(yè)的重要性?，F(xiàn)在，核心的業(yè)務(wù)數(shù)據(jù)真正成為信息工作人員最關(guān)心的信息資產(chǎn)，業(yè)務(wù)數(shù)據(jù)存在于具體設(shè)備的載體之上，很多還需要軟件容器，所以，單純地看業(yè)務(wù)數(shù)據(jù)意義也不大，保證業(yè)務(wù)數(shù)據(jù)，必須保證其運(yùn)行的平臺(tái)和容器都是正常的，所以，業(yè)務(wù)數(shù)據(jù)也是我們重點(diǎn)分析的方面之一。

3.業(yè)務(wù)流程。

企業(yè)所有的信息資源都是通過(guò)業(yè)務(wù)流程實(shí)現(xiàn)其價(jià)值的，如果沒有業(yè)務(wù)流程，所有的設(shè)備和數(shù)據(jù)就只是一堆廢銅爛鐵。所以，對(duì)業(yè)務(wù)流程的了解和分析也是很重要的一個(gè)方面。

以上三個(gè)方面是企業(yè)信息資源的三個(gè)核心方面，孤立地看待任何一個(gè)方面都是毫無(wú)意義的。

其次，當(dāng)我們對(duì)企業(yè)的當(dāng)前信息資產(chǎn)進(jìn)行分析以后需要對(duì)其價(jià)值進(jìn)行評(píng)估。

評(píng)估的過(guò)程就是對(duì)當(dāng)前的信息資產(chǎn)進(jìn)行量化的數(shù)據(jù)分析，進(jìn)行安全賦值，我們將信息資產(chǎn)的安全等級(jí)劃分為 5 級(jí)，數(shù)值越大，安全性要求越高，5 級(jí)的信息資產(chǎn)定義非常重要，如果遭到破壞可以給企業(yè)的業(yè)務(wù)造成非常嚴(yán)重的損失。1 級(jí)的信息資產(chǎn)定義為不重要，其被損害不會(huì)對(duì)企業(yè)造成過(guò)大影響，甚至可以忽略不計(jì)。對(duì)信息資產(chǎn)的評(píng)估在自身價(jià)值、信息類別、保密性要求、完整性要求、可用性要求和法規(guī)合同符合性要求等 5 個(gè)方面進(jìn)行評(píng)估賦值，最后信息資產(chǎn)的賦值取 5 個(gè)屬性里面的最大值。

這里需要提出的是，這里不僅僅應(yīng)該給硬件、軟件、數(shù)據(jù)賦值，業(yè)務(wù)流程作為核心的信息資源也必須賦值，而且?guī)讉€(gè)基本要素之間的安全值是相互疊加的，比如需要運(yùn)行核心流程的交換機(jī)的賦值，是要高于需要運(yùn)行核心流程的交換機(jī)的賦值的。很多企業(yè)由于歷史原因，運(yùn)行核心業(yè)務(wù)流程的往往是比較老的設(shè)備，在隨后的分析可以看得出來(lái)，由于其年代的影響，造成資產(chǎn)的風(fēng)險(xiǎn)增加，也是需要重點(diǎn)注意的一點(diǎn)。

最后，對(duì)企業(yè)當(dāng)前信息資產(chǎn)的風(fēng)險(xiǎn)評(píng)估。

風(fēng)險(xiǎn)評(píng)估是 ISMS 建立過(guò)程中非常重要的一個(gè)方面，我們對(duì)信息資產(chǎn)賦值的目的就是為了計(jì)算風(fēng)險(xiǎn)值，從而我們可以看出整個(gè)信息系統(tǒng)中風(fēng)險(xiǎn)最大的部分在哪里。對(duì)于風(fēng)險(xiǎn)值的計(jì)算有個(gè)簡(jiǎn)單的參考公式：風(fēng)險(xiǎn)值 = 資產(chǎn)登記 + 威脅性賦值 + 脆弱性賦值（特定行業(yè)也有針對(duì)性的經(jīng)驗(yàn)公式）。

ISMS 建設(shè)的最終目標(biāo)是將整個(gè)信息系統(tǒng)的風(fēng)險(xiǎn)值控制在一定范圍之內(nèi)。

對(duì)癥下藥

經(jīng)過(guò)上階段的調(diào)研和分析，我們對(duì)企業(yè)面臨的安全威脅和隱患有一個(gè)全面的認(rèn)識(shí)，本階段的ISMS建設(shè)重點(diǎn)根據(jù)需求完成“對(duì)癥下藥”的工作：

首先，是企業(yè)信息安全管理體系的設(shè)計(jì)和規(guī)劃。

在風(fēng)險(xiǎn)評(píng)估的基礎(chǔ)上探討企業(yè)信息安全管理體系的設(shè)計(jì)和規(guī)劃，根據(jù)企業(yè)自身的基礎(chǔ)和條件建立ISMS，使其能夠符合企業(yè)自身的要求，也可以在企業(yè)本身的環(huán)境中進(jìn)行實(shí)施。管理體系的規(guī)范針對(duì)不同企業(yè)一定要具體化，要和企業(yè)自身具體工作相結(jié)合，一旦缺乏結(jié)合性ISMS就會(huì)是孤立的，對(duì)企業(yè)的發(fā)展意義也就不大了。我們一般建議規(guī)范應(yīng)至少包含三層架構(gòu)，見圖1。

圖1 信息安全管理體系

一級(jí)文件通過(guò)綱領(lǐng)性的安全方針和策略文件描述企業(yè)信息安全管理的目標(biāo)、原則、要求和主要措施等頂層設(shè)計(jì)；二級(jí)文件主要涉及業(yè)務(wù)工作、工程管理、系統(tǒng)維護(hù)工作中具體的操作規(guī)范和流程要求，并提供模塊化的任務(wù)細(xì)分，將其細(xì)化為包括“任務(wù)輸入”、“任務(wù)活動(dòng)”、“任務(wù)實(shí)施指南”和“任務(wù)輸出”等細(xì)則，便于操作人員根據(jù)規(guī)范進(jìn)行實(shí)施和管理人員根據(jù)規(guī)范進(jìn)行工作審核；三級(jí)文件則主要提供各項(xiàng)工作和操作所使用的表單和模板，以便各級(jí)工作人員參考使用。

同時(shí)，無(wú)論是制定新的信息管理規(guī)章制度還是進(jìn)行設(shè)備的更換，都要量力而行，依據(jù)自己實(shí)際的情況來(lái)完成。例如，很多公司按照標(biāo)準(zhǔn)設(shè)立了由企業(yè)高級(jí)領(lǐng)導(dǎo)擔(dān)任組長(zhǎng)的信息安全領(lǐng)導(dǎo)小組和由信息化管理部門、后勤安全部門和審計(jì)部門組成的信息安全辦公室，具體負(fù)責(zé)企業(yè)的信息安全管理工作，在各級(jí)信息化技術(shù)部門均設(shè)置系統(tǒng)管理員、安全管理員、安全審計(jì)員，從管理結(jié)構(gòu)設(shè)計(jì)上保證人員權(quán)限互相監(jiān)督和制約。但是事實(shí)上繁多的職能部門和人員不僅未能提升企業(yè)信息系統(tǒng)安全性，反而降低了整個(gè)信息系統(tǒng)的工作效率。

其次，是企業(yè)信息安全管理體系的實(shí)施和驗(yàn)證

實(shí)施過(guò)程是最復(fù)雜的，實(shí)施之后需要進(jìn)行驗(yàn)證。實(shí)施是根據(jù) ISMS 的設(shè)計(jì)和體系規(guī)劃來(lái)做的，是個(gè)全面的信息系統(tǒng)的改進(jìn)工作，不是單獨(dú)的設(shè)備更新，也不是單獨(dú)的管理規(guī)范的，需要企業(yè)從上至下，全面地遵照?qǐng)?zhí)行，要和現(xiàn)有系統(tǒng)有效融合。

這里的現(xiàn)有系統(tǒng)既包含了現(xiàn)有的業(yè)務(wù)系統(tǒng)，也包含了現(xiàn)有的管理體制。畢竟ISMS是從國(guó)外傳入的思路和規(guī)范，雖然切合國(guó)人中醫(yī)理論的整體思維方式，但在國(guó)內(nèi)水土不服是正常的，主要表現(xiàn)就在于是否符合企業(yè)本身的利益，是否能夠和企業(yè)本身的業(yè)務(wù)、管理融合起來(lái)。往往最難改變的還是企業(yè)管理者的固有思維，要充分理解到進(jìn)行信息安全管理體系的建設(shè)是一個(gè)為企業(yè)長(zhǎng)久發(fā)展必須進(jìn)行的工程。

到目前為止，和企業(yè)本身業(yè)務(wù)融合并沒有完美的解決方案，需要企業(yè)領(lǐng)導(dǎo)組織本身、信息系統(tǒng)技術(shù)人員、業(yè)務(wù)人員和負(fù)責(zé) ISMS 實(shí)施的工程人員一同討論決定適合企業(yè)自身的實(shí)施方案

最后，是企業(yè)信息安全管理體系的認(rèn)證和審核

針對(duì)我們周圍很多重認(rèn)證，輕實(shí)施的思想，這里有必要談一下這個(gè)問(wèn)題，認(rèn)證僅代表認(rèn)證過(guò)程中的信息體系是符合 ISO27000（或者其他國(guó)家標(biāo)準(zhǔn)）的規(guī)范要求，而不是說(shuō)企業(yè)通過(guò)認(rèn)證就是一個(gè)在信息安全管理體系下工作的信息系統(tǒng)了。更重要的是貫徹實(shí)施整個(gè)體系的管理方式和管理方法。只有安全的思想深入人心了，管理制度才能做到“不只是掛在墻上的一張紙，放在抽屜里的一本書”。

“治病于未病”

企業(yè)信息安全管理體系需要?jiǎng)討B(tài)改進(jìn)和和優(yōu)化，畢竟企業(yè)和信息系統(tǒng)是不斷發(fā)展和變化的，ISMS 是建立在企業(yè)和信息系統(tǒng)基礎(chǔ)之上的，也需要有針對(duì)性地發(fā)展和變化，道高一尺魔高一丈，必須通過(guò)各種方法，進(jìn)行不斷地改進(jìn)和完善，才有可能保證ISMS 系統(tǒng)的持續(xù)作用。

就像我們前面案例中提到的某公司一樣，缺乏了持續(xù)改進(jìn)和跟蹤完善的手段，經(jīng)過(guò)測(cè)評(píng)的管理體系僅僅一年之后就失去了大部分作用。對(duì)于這些企業(yè)及未來(lái)即將建立ISMS的企業(yè)，為了持續(xù)運(yùn)轉(zhuǎn)ISMS，我們認(rèn)為可以主要從以下三個(gè)方面著手：

第一，人員。

人員對(duì)于企業(yè)來(lái)講是至關(guān)重要且必不可缺的，在ISMS建立過(guò)程中，選擇合適的人員參與體系建立是ISMS建立成功的要素之一。在持續(xù)運(yùn)轉(zhuǎn)過(guò)程中，人員都應(yīng)該投入多少呢？通常在體系建立過(guò)程中，我們會(huì)建議所有體系管理范圍內(nèi)的部門各自給出一名信息安全代表作為安全專員配合體系建立實(shí)施，且此名專員日后要持續(xù)保留，負(fù)責(zé)維護(hù)各自部門的信息資產(chǎn)、安全事件跟蹤匯報(bào)、配合內(nèi)審與外審、安全相關(guān)記錄收集維護(hù)等信息安全相關(guān)工作。

但很多事情是一種企業(yè)文化的培養(yǎng)，需要更多的人員甚至全員參與，例如面向全員的定期信息安全意識(shí)培訓(xùn)，面向?qū)I(yè)人員的信息安全技術(shù)培訓(xùn)等，因此對(duì)于企業(yè)來(lái)講，除了必要的體系維護(hù)人員，在ISMS持續(xù)運(yùn)轉(zhuǎn)過(guò)程中，若能將企業(yè)內(nèi)的每名員工都納入到信息安全管理范圍內(nèi)，培養(yǎng)出“信息安全，人人有責(zé)”的企業(yè)氛圍，則會(huì)為企業(yè)帶大巨大的潛在收益。且有些企業(yè)在面向自身員工展開信息安全各項(xiàng)活動(dòng)的同時(shí)，還會(huì)納入客戶、合作伙伴、供應(yīng)商等需要外界相關(guān)人員的參與，對(duì)外也樹立起自身對(duì)重視信息安全的形象，大力降低外界給企業(yè)帶來(lái)的風(fēng)險(xiǎn)。

第二，體系。

ISMS自身的持續(xù)維護(hù)，往往是企業(yè)建立后容易被忽視的內(nèi)容，一套信息安全管理文檔并不是在日益變化的企業(yè)中一直適用的，對(duì)于信息資產(chǎn)清單、風(fēng)險(xiǎn)清單、體系中的管理制度流程等文檔每年至少需要進(jìn)行一次正式的評(píng)審回顧，這項(xiàng)活動(dòng)由于也是在相關(guān)標(biāo)準(zhǔn)中明確指出的，企業(yè)通常不會(huì)忽略；但日常對(duì)于這些文檔記錄的更新也是必不可少的，尤其是重要資產(chǎn)發(fā)生重大變更，組織業(yè)務(wù)、部門發(fā)生重大調(diào)整時(shí)，都最好對(duì)ISMS進(jìn)行重新的評(píng)審，必要時(shí)重新進(jìn)行風(fēng)險(xiǎn)評(píng)估，有助于發(fā)現(xiàn)新出現(xiàn)的重大風(fēng)險(xiǎn)，并且可以將資源合理調(diào)配，將有限的資源使用到企業(yè)信息安全的“短板”位置。

唯一不變的就是變化，企業(yè)每天所面臨的風(fēng)險(xiǎn)同樣也不是一成不變的，在更新維護(hù)信息資產(chǎn)清單的同時(shí)，對(duì)風(fēng)險(xiǎn)清單的回顧也是不可疏忽的，而這點(diǎn)往往是很多信息安全專員容易忽視的內(nèi)容。持續(xù)的維護(hù)才能保證ISMS的運(yùn)轉(zhuǎn)，有效控制企業(yè)所面臨的各種風(fēng)險(xiǎn)。

第三，工具。

工具往往是企業(yè)在建立ISMS過(guò)程中投入大量資金的方面，工具其實(shí)是很大的一個(gè)泛指，例如網(wǎng)絡(luò)安全設(shè)備、備份所需設(shè)備、防病毒軟件、正版軟件、監(jiān)控審計(jì)等各類工具，即使沒有實(shí)施ISMS，企業(yè)在工具方面的投入也是必不可少的，但往往缺乏整體的規(guī)劃及與業(yè)務(wù)的結(jié)合，經(jīng)常會(huì)出現(xiàn)如何將幾種類似工具充分利用，如何在各工具間建立接口，使數(shù)據(jù)流通共用，哪些工具應(yīng)該替換更新，數(shù)據(jù)如何遷移，甚至出現(xiàn)新購(gòu)買的工具無(wú)人使用或無(wú)法滿足業(yè)務(wù)需求等問(wèn)題，導(dǎo)致資金資源的浪費(fèi)，因此在持續(xù)運(yùn)轉(zhuǎn)ISMS過(guò)程中，根據(jù)風(fēng)險(xiǎn)評(píng)估報(bào)告，及信息安全專員反映的各部門業(yè)務(wù)需求各種信息數(shù)據(jù)的收集，應(yīng)對(duì)工具進(jìn)行統(tǒng)一規(guī)劃，盡量減少資源的浪費(fèi)。