浅谈管理信息系统安全策略研究

第一篇：浅谈管理信息系统安全策略研究

浅谈管理信息系统安全策略研究

本文重点探讨信息系统的安全措施，及影响计算机网络安全的主要因素，增强防范意思，确保计算机网络信息安全性、保密性、完整性和可靠性。

关键词: 管理系统 系统安全 信息科学 加密技术 防火墙

随着信息时代的发展，计算机网络得到了广泛应用，网络的安全性已成为不同使用层次的用户共同关心的问题。人们都希望自己的网络系统能更加安全可靠地运行。但随着网络信息传输量的急剧增长，一些机构和部门上网的数据也会遭到不同程度的破坏。攻击者可以窃取网络上的信息，窃用口令、篡改数据库内容，释放计算机病毒等。这致使数据的安全性和自身的利益受到了严重的威胁，所以解决好网络的安全性、可靠性问题，是确保网络正常运行的前提和保障，更好地为企事业单位提供信息咨询、信息检索、信息存取等服务。

一、管理信息系统的发展历史

管理信息系统的概念起源很早。早在20世纪初，随着科学技术和社会经济的迅速发展，人们迫切要求文献信息管理工作的发展速度与之相互适应。20世纪30年代，柏德就强调了决策在组织管理中的作用。50年代，西蒙提出了管理依赖于信息和决策的概念。同一时代维纳发表了控制论与管理，他把管理过程当成一个控制过程，此时计算机已用于会计工作。

管理信息系统已经逐步成为一个独立的学科分支，它继承了其他众多学科的理论及其应用技术，它与信息科学、系统科学、计算机科学、控制理论、统计学、会计学、经济学、管理科学有着十分密切的联系。同时，它又广泛地应用于工业、农业、交通、运输、文化、教育、卫生、体育以及各种社会经济活动的信息管理之中，并起着极其重要的作用，显示出强大的生命力。

随着社会的不断进步、科学技术快速发展，管理工作越来越重要。在现代管理科学体系中，管理信息系统正不断发展、逐步完善，它已被公认为是一门不可替代的崭新学科。计算机作为现代化的工具与手段，已成为信息处理的重要工具。计算机的应用范围越来越广，最终导致了管理信息系统的产生。

管理信息系统依赖于管理和科学技术的发展而形成、依赖于电子计算机的发展而发展的，管理信息系统是与电子计算机同步发展的，它是现代化管理的标志。

二、国内信息系统发展现状、存在问题

企业是国民经济的基础，而企业信息系统建设是企业走向现代化的必由之路。我国目前各类企业在近20年来，不同程度上都遇到了企业信息系统建设的问题。80年代以来，国家有关部门就一直非常重视企业信息化的推进。90年代以后，随着微型计算机、互连网等迅速普及，计算机技术对企业的影响越来越大，企业信息化进一步为人们所重视。

在信息化快速发展的时代，我们在充分肯定这些已经取得的成果同时也不能忽视一些普遍存在的问题。在过去10年左右，我国企业信息系统建设虽然轰轰烈烈地发展，但其成功率并不是很理想。一些企业已经投入使用的模块，实际中并未发挥作用，它只是针对一些局部系统，或特定类型的产品处于试运行阶段。一些企业中的计算机的97%是用来做文字处理工作，有1/5的计算机是经常用来玩游戏的。这些调查、结果分析都说明：我国企业目前虽然使用计算机已经比较普遍，但许多信息系统的应用情况却并没有达到预想的效果。

三、信息系统开发的紧迫性

随着企业规模的扩大和市场竞争的更加激烈，各行各业都愈来愈认识到人力资源管理的重要性及提升企业自身人力资源管理水平的迫切性，而人力资源管理水平的提升不仅需要高素质的管理人员，而且也需要信息化工具进行辅助。随着中国企业管理水平的提高，人才的争夺与管理已成为中国所面临的严重问题。要面对高强度的竞争无疑是需要优秀的管理人才，而科学管理的实施是离不开数字化的工具做辅助。特别在组织规模不断扩大的今天，做为管理人员和单位领导者要想对单位进行有效的管理和正确的决策就必须借助于数字化管理工具。

四、网络安全应具备的功能及影响信息系统安全的主要因素

1、计算机网络应用系统必须具备以下功能：

（1）访问控制（2）检查安全漏洞（3）攻击监控（4）加密通讯（5）认证（6）备份和恢复（7）多层防御（8）?设立安全监控中心

2、影响信息系统安全的主要因素

(1)信息系统在稳定性和可扩充性方面存在。由于设计系统的不规范、不合理以及缺乏安全性考虑，因而使其受到影响。

(2)网络硬件的配置不协调。主要是文件服务器，它是网络的中枢，其运行稳定性、功能完善性直接影响信息系统的质量。设计和选型考虑欠周密，影响网络的可靠性、扩充性和升级换代。

(3)缺乏安全策略。许多站点在防火墙配置上无意识地扩大了访问权限，忽视了这些权限可能会被其他人员滥用。

(4)管理制度不健全，网络管理、维护不力。

五、?网络安全应具备的防范措施

1.信息系统结构设计合理与否是网络安全运行的关键。全面分析信息系统设计的每个环节是企事业单位建立安全可靠的信息工程的首要任务。在总体设计方面要注意以下几个问题：对接入以太网上任一节点进行侦听，捕获发生在这个以太网上的所有数据包，对其进行解包分析，窃取关键信息。为了解除这个信息系统固有的安全隐患，可采取以下措施：(1)网络分段技术的应用从源头杜绝网络的安全隐患问题。局域网采取物理分段与逻辑分段，来实现对局域网的安全控制，目的就是将非法用户与敏感的网络资源相互隔离，防止非法侦听，保证信息的安全畅通。(2)解除隐患的另一方法是交换式集线器代替共享式集线器。

2.强化计算机管理是信息系统安全的保证

(1)加强设施管理，确保计算机网络系统实体安全。健全安全管理制度，防止非法用户进入计算机控制室和其它各种非法行为的发生。在保护计算机系统、打印机、网络服务器等外部设备和能信链路上下大功夫，并不定期的对运行温度、湿度、清洁度、供电接头、三防措施、志线、设备等进行检查、测试和维护。着力改善抑制、防止电磁泄漏的能力，确保计算机系统有一个良好的电磁兼容的工作环境。

(2)强化访问控制，力求计算机网络系统正常运行。

第一，建立入网访问功能模块。通过对特定网段、服务建立的访问控制体系，将绝大多数攻击阻止在到达攻击目标之前。入网访问控制为网络提供了第一层访问控制。它允许哪些用户可以登录到网络服务器并获取网络资源，控制准许用户入网的时间和准许他们在哪台工作站入网。用户的入网访问控制可分为3个过程：用户名的识别与验证；用户口令的识别与验证；用户账号的检查。在3个过程中如果其中一个不能成立，系统就视为非法用户，则不能访问。

第二，建立网络的权限控制模块。网络的权限控制是针对网络非法操作所提

出的一种安全保护措施。可以根据访问权限将用户分为3种类型：特殊用户、一般用户、审计用户。

第三，建立属性安全服务模块。属性安全控制可以将给定的属性与网络服务器的文件、目录和网络设备联系起来。网络属性可以控制以下几个方面的权限：向某个文件写数据、拷贝一个文件、删除目录、文件的查看、执行、隐含、共享及系统属性等，还可以保护重要的目录和文件，防止用户对目录和文件的误删除、执行修改、显示等。

第四，建立档案信息加密制度。主动地加密通讯，可使攻击者不能了解、修改敏感信息。良好的认证体系可防止攻击者假冒合法用户，防止数据非法泄漏。第五，建立完善的备份及恢复机制。良好的备份和恢复机制，可在攻击造成损失时，尽快地恢复数据和系统服务。同时，建立强大的数据库触发器和恢复重要数据的操作以及更新任务，确保在任何情况下使重要数据均能最大限度地得到恢复。

第六，建立网络服务器安全设置模块。网络服务器的安全控制包括设置口令锁定服务器控制台；设置服务器登录时间限制、非法访问者检测和关闭的时间间隔；安装防火墙。

第七、建立安全监控设施。为信息系统提供安全体系管理、监控、保护及紧急情况服务。

综上所述，对于计算机网络传输的安全问题，我们必须要做到以下几点。第一，应严格限制上网用户所访问的系统信息和资源，这一功能可通过在访问服务器上防火墙来实现。第二，应加强对上网用户的身份认证，使用RADIUS等专用身份验证服务器。可以实现对上网用户帐号的统一管理；在身份验证过程中采用加密的手段，避免用户口令泄露的可能性。第三，在数据传输过程中采用加密技术，防止数据被非法窃取。VPN在提供网间数据加密的同时，也提供了针对单机用户的加密客户端软件，即采用软件加密的技术来保证数据传输的安全性。

参考文献

[1]??计算机网络技术.西安电子科技大学出版社,?2001

[2]??计算机网络与通信.北京大学出版社,?1999.[3]??计算机学报.?2001-2006.[4]?电脑报.?2000-2002.??

第二篇：管理信息系统安全策略

管理信息系统安全策略

对于企业竞争来说，资料的保密和安全是非常重要的。资料的保密和安全涉及以下几个方面：

1、资料自身的完整性和规范性；

2、资料存储的安全性；

3、资料的维护（更新）和引用（查阅）的管理手续（即流程）的规范性及权力限定的严谨性。

用一句通俗的话来归纳，在企业中，只有通过授权的人（岗位）才可使用（包括维护和引用）相关的资料，严禁未经过授权的人（岗位）非法使用资料。而对于（计算机）管理信息系统应用来说，资料包括基础（技术）数据和业务数据。首选要求数据（即资料）要具有良好的共享性，其次要求流程（即业务）处理具有连贯性。

基于上述两者之间的需求，要求（计算机）管理信息系统本身应具有下列基本功能：

1、保证企业资料的完整性和一致性（关系数据库本身功能可解决）；

2、资料存储的安全可靠性（可通过配置高性能的数据库服务器、备份及加强服务器的保安管理可解决）；

3、通过强有力的权限管理功能，将企业所有的数据根据实际情况定义出所有者（机构）。同时授权（控制）每个人（岗位）的功能模块（业务操作）使用权限，所能查阅及维护的数据的范围（即能查阅哪些机构的数据，在软件系统中表现为数据表中的记录行），以及查阅及维护数据的哪些明细属性（在软件系统中表现为数据表的列）；

4、结合企业运作的实际情况和未来需要，可定义出各业务之间的工作（操作）流程。

第三篇：网络安全策略研究论文

计算机网络是一个开放和自由的网络，它在大大增强了网络信息服务灵活性的同时，也给黑客攻击和入侵敞开了方便之门。不仅传统的病毒借助互联网加快了其传播速度并扩大了其传播范围，而且各种针对网络协议和应用程序漏洞的新型攻击方法层出不穷。这些黑客把先进的计算机网络技术，当成一种新式犯罪工具和手段，不仅影响了网络稳定运行和用户的正常使用，造成重大经济损失，而且会威胁到国家安全。如何更有效地保护重要的信息数据、提高计算机网络系统的安全性已经成为影响一个国家的政治、经济、军事和人民生活的重大关键问题。近年来，网络系统的安全性和可靠性开始成为世界各国共同关注的焦点。文章分析了几种常见的网络入侵方法以及在此基础上探讨了网络安全的几点策略。

一、常见的几种网络入侵方法

由于计算机网络的设计初衷是资源共享、分散控制、分组交换，这决定了互联网具有大跨度、分布式、无边界的特征。这种开放性使黑客可以轻而易举地进入各级网络，并将破坏行为迅速地在网络中传播。同时，计算机网络还有着自然社会中所不具有的隐蔽性：无法有效识别网络用户的真实身份；由于互联网上信息以二进制数码，即数字化的形式存在，所以操作者能比较容易地在数据传播过程中改变信息内容。计算机网络的传输协议及操作系统也存在设计上的缺陷和漏洞，从而导致各种被攻击的潜在危险层出不穷，这使网络安全问题与传统的各种安全问题相比面临着更加严峻的挑战，黑客们也正是利用这样的特征研发出了各种各样的攻击和入侵方法：

1.通过伪装发动攻击

利用软件伪造Ip包，把自己伪装成被信任主机的地址，与目标主机进行会话，一旦攻击者冒充成功，就可以在目标主机并不知晓的情况下成功实施欺骗或入侵；或者，通过伪造Ip地址、路由条目、DNS解析地址，使受攻击服务器无法辨别这些请求或无法正常响应这些请求，从而造成缓冲区阻塞或死机；或者，通过将局域网中的某台机器Ip地址设置为网关地址，导致网络中数据包无法正常转发而使某一网段瘫痪。

2.利用开放端口漏洞发动攻击

利用操作系统中某些服务开放的端口发动缓冲区溢出攻击。这主要是由于软件中边界条件、函数指针等方面设计不当或缺乏限制，因而造成地址空间错误的一种漏洞。利用软件系统中对某种特定类型的报文或请求没有处理，导致软件遇到这种类型的报文时运行出现异常，从而导致软件崩溃甚至系统崩溃。

3.通过木马程序进行入侵或发动攻击

木马是一种基于远程控制的黑客工具，具有隐蔽性和非授权性的特点，一旦被成功植入到目标主机中，计算机就成为黑客控制的傀儡主机，黑客成了超级用户。木马程序可以被用来收集系统中的重要信息，如口令、账号、密码等。此外，黑客可以远程控制傀儡主机对别的主机发动攻击，如DDoS攻击就是大量傀儡主机接到攻击命令后，同时向被攻击目标发送大量的服务请求数据包。

4.嗅探器和扫描攻击

嗅探器是利用计算机的网络接口截获目的地为其他计算机的数据报文的一种技术。网络嗅探器通过被动地监听网络通信、分析数据来非法获得用户名、口令等重要信息，它对网络安全的威胁来自其被动性和非干扰性，使得网络嗅探具有很强的隐蔽性，往往让网络信息泄密变得不容易被发现。扫描，是指针对系统漏洞，对系统和网络的遍历搜寻行为。由于漏洞普遍存在，扫描手段往往会被恶意使用和隐蔽使用，探测他人主机的有用信息，作为实施下一步攻击的前奏。

为了应对不断更新的网络攻击手段，网络安全技术也经历了从被动防护到主动检测的发展过程。主要的网络安全技术包括：防火墙、VpN、防毒墙、入侵检测、入侵防御、漏洞扫描。其中防病毒、防火墙和VpN属早期的被动防护技术，入侵检测、入侵防

御和漏洞扫描属主动检测技术，这些技术领域的研究成果已经成为众多信息安全产品的基础。

二、网络的安全策略分析

早期的网络防护技术的出发点是首先划分出明确的网络边界，然后通过在网络边界处对流经的信息利用各种控制方法进行检查，只有符合规定的信息才可以通过网络边界，从而达到阻止对网络攻击、入侵的目的。主要的网络防护技术包括：

1.防火墙

防火墙是一种隔离控制技术，通过预定义的安全策略，对内外网通信强制实施访问控制，常用的防火墙技术有包过滤技术、状态检测技术、应用网关技术。包过滤技术是在网络层中对数据包实施有选择的通过，依据系统事先设定好的过滤逻辑，检查数据据流中的每个数据包，根据数据包的源地址、目标地址、以及包所使用的端口确定是否允许该类数据包通过；状态检测技术采用的是一种基于连接的状态检测机制，将属于同一连接的所有包作为一个整体的数据流看待，构成连接状态表，通过规则表与状态表的共同配合，对表中的各个连接状态因素加以识别，与传统包过滤防火墙的静态过滤规则表相比，它具有更好的灵活性和安全性；应用网关技术在应用层实现，它使用一个运行特殊的“通信数据安全检查”软件的工作站来连接被保护网络和其他网络，其目的在于隐蔽被保护网络的具体细节，保护其中的主机及其数据。

2.VpN

VpN（Virtual private Network）即虚拟专用网络，它是将物理分布在不同地点的网络通过公用骨干网连接而成的逻辑上的虚拟子网。它可以帮助异地用户、公司分支机构、商业伙伴及供应商与内部网建立可信的安全连接，并保证数据的安全传输。为了保障信息的安全，VpN技术采用了鉴别、访问控制、保密性和完整性等措施，以防止信息被泄露、篡改和复制。VpN技术可以在不同的传输协议层实现，如在应用层有SSL协议，它广泛应用于Web浏览程序和Web服务器程序，提供对等的身份认证和应用数据的加密；在会话层有Socks协议，在该协议中，客户程序通过Socks客户端的1080端口透过防火墙发起连接，建立到Socks服务器的VpN隧道；在网络层有IpSec协议，它是一种由IETF设计的端到端的确保Ip层通信安全的机制，对Ip包进行的IpSec处理有AH（Authentication Header）和ESp（Encapsulating Security payload）两种方式。

3.防毒墙

防毒墙是指位于网络入口处，用于对网络传输中的病毒进行过滤的网络安全设备。防火墙能够对网络数据流连接的合法性进行分析，但它对从允许连接的电脑上发送过来的病毒数据流却是无能为力的，因为它无法识别合法数据包中是否存在病毒这一情况；防毒墙则是为了解决防火墙这种防毒缺陷而产生的一种安全设备。防毒墙使用签名技术在网关处进行查毒工作，阻止网络蠕虫(Worm)和僵尸网络(BOT)的扩散。此外，管理人员能够定义分组的安全策略，以过滤网络流量并阻止特定文件传输、文件类型扩展名、即时通信信道、批量或单独的Ip/MAC地址，以及TCp/UDp端口和协议。

三、网络检测技术分析

人们意识到仅仅依靠防护技术是无法挡住所有攻击，于是以检测为主要标志的安全技术应运而生。这类技术的基本思想是通过监视受保护系统的状态和活动来识别针对计算机系统和网络系统，或者更广泛意义上的信息系统的非法攻击。包括检测外界非法入侵者的恶意攻击或试探，以及内部合法用户的超越使用权限的非法活动。主要的网络安全检测技术有：

1.入侵检测

入侵检测系统（Intrusion Detection System,IDS）是用于检测任何损害或企图损害系统的保密性、完整性或可用性行为的一种网络安全技术。它通过监视受保护系统的状态和活动来识别针对计算机系统和网络系统，包括检测外界非法入侵者的恶意攻击或试探，以及内部合法用户的超越使用权限的非法活动。作为防火墙的有效补充，入侵检测技术能够帮助系统对付已知和未知网络攻击，扩展了系统管理员的安全管理能力（包括安全审计、监视、攻击识别和响应），提高了信息安全基础结构的完整性。

2.入侵防御

入侵防御系统（Intrusion prevention System,IpS）则是一种主动的、积极的入侵防范、阻止系统。IpS是基于IDS的、建立在IDS发展的基础上的新生网络安全技术，IpS的检测功能类似于IDS，防御功能类似于防火墙。IDS是一种并联在网络上的设备，它只能被动地检测网络遭到了何种攻击，它的阻断攻击能力非常有限；而IpS部署在网络的进出口处，当它检测到攻击企图后，会自动地将攻击包丢掉或采取措施将攻击源阻断。可以认为IpS就是防火墙加上入侵检测系统，但并不是说IpS可以代替防火墙或入侵检测系统。防火墙是粒度比较粗的访问控制产品，它在基于TCp/Ip协议的过滤方面表现出色，同时具备网络地址转换、服务代理、流量统计、VpN等功能。

3.漏洞扫描

漏洞扫描技术是一项重要的主动防范安全技术，它主要通过以下两种方法来检查目标主机是否存在漏洞：在端口扫描后得知目标主机开启的端口以及端口上的网络服务，将这些相关信息与网络漏洞扫描系统提供的漏洞库进行匹配，查看是否有满足匹配条件的漏洞存在；通过模拟黑客的攻击手法，对目标主机系统进行攻击性的安全漏洞扫描，如测试弱势口令等，若模拟攻击成功，则表明目标主机系统存在安全漏洞。发现系统漏洞的一种重要技术是蜜罐(Honeypot)系统，它是故意让人攻击的目标，引诱黑客前来攻击。通过对蜜罐系统记录的攻击行为进行分析，来发现攻击者的攻击方法及系统存在的漏洞。

四、结语

尽管传统的安全技术在保障网络安全方面发挥了重要作用，但在一个巨大、开放、动态和复杂的互联网中技术都存在着各种各样的局限性。安全厂商在疲于奔命的升级产品的检测数据库，系统厂商在疲于奔命的修补产品漏洞，而用户也在疲于奔命的检查自己到底还有多少破绽暴露在攻击者的面前。传统的防病毒软件只能用于防范计算机病毒，防火墙只能对非法访问通信进行过滤，而入侵检测系统只能被用来识别特定的恶意攻击行为。在一个没有得到全面防护的计算机设施中，安全问题的炸弹随时都有爆炸的可能。用户必须针对每种安全威胁部署相应的防御手段，这样使信息安全工作的复杂度和风险性都难以下降。为了有效地解决日益突出的网络安全问题，网络安全研究人员和网络安全企业也不断推出新的网络安全技术和安全产品。

参考文献:

[1]周碧英:浅析计算机网络安全技术[J].甘肃科技,2008,24(3):18～19

[2]潘号良:面向基础设施的网络安全措施探讨[J].软件导刊, 2008,(3):74～75

[3]刘爱国李志梅谈:电子商务中的网络安全管理[J].商场现代化,2007,(499):76～77

[4]孙晓南:防火墙技术与网络安全[J].科技信息,2008,(3): 199～120

[5]赵立志林伟:浅析网络安全技术[J].民营科技,2008,(3):193

第四篇：浅析基于供应链的企业物流管理信息系统及其安全策略

摘要: 企业物流管理信息系统(MIS)是应用于企业物流管理的一种先进的管理思想和方法。在企业物流MIS中，企业可以随时查询库存的动态信息，进行库存物流信息化管理，在企业信息构成的基础上，构建库存管理信息系统设计的各个模块的运行界面，系统的安全设计策略尤为重要。所以对供应链进行研究分析，强化企业物流管理信息系统的安全策略具有决定性的意义。

关键词: 物流;管理信息系统;库存管理;决策系统

现代物流是社会化大生产和科技发展到一定阶段产生的新兴服务业，现代物流是将采购、生产、销售等传统物流中各环节予以综合考虑，追求包含采购、生产、销售等在内的货物流转的整体最佳状态，最大限度地优化从制造者到消费者之间的运输和运输流动信息的分配，并利用先进信息技术和专业能力尽可能地减少商品库存、英语论文开题报告降低运输费用，加快交货时间并提高客户服务水平。所谓企业物流，即企业中实物流动，是实现物料(包括全部原材料，半成品，成品)物理位置转移的经济活动。

企业物流中的供应链管理是把供应链上的各个企业作为一个不可分割的整体，使供应链上各企业分担的采购、生产、分销和销售的职能成为一个协调发展的有机体。它最关键的是采用集成的思想和方法，而不仅仅是节点企业、技术方法等资源简单的连接，而现代物流的重点仍然是放在管理库存上，把库存作为平衡有限的生产能力和适应用户变化的缓冲手段。供应链管理关心的并不仅仅是货物实体在供应链中的流动，除了企业内部与企业之间的运输和实物分销之外，供应链管理还包括:（1）战略性供应商和用户合作伙伴的关系管理；（2）供应链产品需求预测和计划；

（3）供应链的设计(全球节点企业、资源、设备等的评价、选择和定位)；（4）企业内部与企业之间货物供应与需求管理；

（5）基于供应链管理的产品设计与制造管理、生产集成化计划、跟踪和控制；（6）企业间资金流管理(汇率、成本)；

（7）基于供应链的用户服务与物流(运输、库存、包装等)管理；（8）基于Internet的供应链交互信息管理等。由此可见，供应链管理不但涵盖了现代物流管理的全部内容，而且从更高的层次上解决了物流管理问题。物流被广泛认为是当今影响企业竞争力的一个重要因素，因此对企业物流实施现代化的管理是企业一个强有力的发展空间。依托高新技术作为强有力的支撑，建设企业物流管理信息系统不仅有利于实现企业物流供应链的一体化和信息化，提高物流管理的系统性和集成性，也将为企业与供应商、销售商、客户间物流信息网络的建设和供应链一体化奠定良好的基础圈。

一般MIS系统采用Microsoft公司的SQL Server 7.0。其出入库管理模块设计主要包括采购入库管理主从明细表(HUOWRUKXINX,HUOWRUKMXB)、成品销售出库管理主从明细表(HUOWCHUKXINX,CAIGTUIKMXB)、采购退货管理主从明细表(CAIGTUIKXINX,CAIGTUIKMXB)、销售退库管理主从明细表(XIAOSTUIKXINX,XIAOST-UIKMXB)、仓库设置(CANGKSHEZ)等。数据库中的设计采用主从明细表，方便对表的修改。当用户录入、修改、删除主表数据时，从表中对应的数据也相应地被更新。例如，当用户删除采购入库管理中入库单号为“1234”所在行的数据时，采购入库管理从表中入库单号为“1234”所在行的数据也将被删除，那么在当前库存表中货物编号为C9654所在行的数据也将被删除。极大地方便了管理员对于数据的采集管理工作。

企业物流库存管理系统的安全性包括数据操作安全和数据存储安全。数据操作安全主要是为了防止人为因素对数据的破坏，防止非法用户进入系统，盗取数据；保证合法用户安全操作系统，所以在MIS系统中应考虑用户权限分配策略和安全日志策略。另外在选用操作平台时对系统安全性进行综合考虑，全面保证系统的数据操作安全。数据存储安全是为了防止系统故障(如软件病毒、机器物理损坏、误操作等因素造成的系统故障)引起的数据丢失在这方面主要采取数据备份策略。其中权限分配策略旨在使用户只能按给定的权限对指定的数据对象进行操作。权限分配策略可以在前端(应用程序)和后台(数据库管理系统)分别实现。后台的权限分配是通过数据库管理系统的功能来实现的。较大型的数据库管理系统(如:MS SQL Server)都设计了功能强大的数据安全体系。数据对象的增、删、改、查看、运行等操作权限都可以分配给相应的用户。通过后台的权限分配，用户只能对数据对象行使权限允许范围内的操作行为，而不能越权。前端的权限分配一般都是在客户端时通过设置一定的程序使用的。用户的操作行为通常是从用户界面开始的，各种操作行为往往又和各个界面对象是绑定在一起的，用户访问不到数据对象，也就执行不了数据对象所对应的操作行为。将用户的各种操作行为按需要进行详细的划分，并将这些操作行为绑定在对应的界面对象上，将界面对象的访问权力分配给用户，就可以有效地将数据对象的操作权限分配给用户。对于访问权限的设置有两种备选方案，两种方案各有特色。第一种方案从数据底层限制对数据的访问，数据操作更加安全，但它一般都只在网络数据库中采用，适用于较大型的数据库应用中，如ERP(企业资源规划)。第二种方案是从界面对象上来限制用户对数据的访问，高级用户往往都可以绕过界面对象而直接访问数据文件来访问数据，因此，为了保证其安全性，一般都和其它措施一起使用(如文件系统安全策略)。一般在中小型系统中采用。数据库中的安全日志记录了每一位用户对系统的每一步操作行为，它就象一双眼睛，时刻监视着用户对它的操作，如某用户多次试图登录系统而未能进入，某用户试图越权操作某些数据，包括用户的误操作等，都会记录到日志中。通过查看日志，就可以知道用户是否有非法操作行为，误操作行为和系统的异常情况。日志也记录下了用户对系统的操作端点，便于在系统异常的情况下及时恢复系统数据。

同时随着系统的运行，数据库中的数据是不断变动的，为防止意外，须定期备份数据。数据备份的方式有硬盘阵列，光盘刻录，专用数据备份机等，这些技术己经相当成熟。在企业物流库存管理系统中，采用的是硬盘阵列的方式。这种方式成本低，性能可靠，而且还可以方便地实现数据定期自动备份。标准是一种极限:零库存，即原材料和外购件库中库存为零。这是一个理想的状态，在实际企业经营活动中，这个极限是不可能达到的。因为供应链是一个整体，需要协调各方活动才能取得最佳的整体绩效。协调的目的是使满足一定服务质量要求的信息可以无缝地、流畅地在供应链中传递，从而使整个供应链能够根据用户的要求步调一致，形成更为合理的供需关系，适应复杂多变的市场环境。如果企业间缺乏协调与合作，就会导致交货期的延迟和服务水平的下降，同时库存水平也会因此而增加。为了应付不确定性，结合JTT管理模式，供应链上各个节点企业都设有一定的安全库存，可以很好的解决企业达不到“零库存”的问题。安全库存SS(Safe Stock)是一种统计数据，它包含了人们的实际作业经验和统计计算结果。它与物料采购周期、统计月份需求量，最大差异量标准差有直接关系。安全库存的数学模型与以下因素相关：(1)安全系数

由于供货概率服从正态分布，在系统设计中，考虑到企业因为货物供应不足而导致缺货的概率小于5%，企业不会因为缺货而导致订单消失，由正态分布表查得，当安全系数为1.65时，从经济及较安全得角度出发，企业可以在不考虑缺货损失的情况下，可以做到库存数量的合理设置和控制，而不是越多越好。当然，安全系数可以根据不同的企业、不同的外部环境选用不同的系数值。(2)订货周期 订货周期一般以月为单位，如果需要一周的，可以取T=0.25(月)。其中△M为差异量，它是在己知各月份需求量的条件下的需求量的最大差异量。修正系数C是企业历史数据的数学统计结果。在系统中，利用上述公式和数据对企业的安全库存进行了设置。同时，对企业库存实行监控。当货物出现积压或缺货情况时，英语论文开题报告系统会自动提示相应报警信息。

基于物流供应链的企业物流管理信息系统(MIS)正是应用于企业物流管理的一种先进的管理思想和方法。在企业物流MIS中，企业应充分重视供应物流管理、生产物流管理、销售物流管理三个环节。不仅以保证供应为目标，而且还是在以最低成本、最少消耗、以大保证来组织供应，缩短整个生产的物流时间和物流距离，选取适宜的送货方式、包装方式、包装水平、运输路线等并采取各种方法实现销售。基于远程操作平台的企业物流库存管理系统(MIS)，运用面向对象技术，实行多层分布式结构，使系统便于网络化。界面采用多文档窗体MDI，运行可靠、界面友好、操作方便，将日益为企业物流管理过程信息化提供更加强有力的技术支持。

参考文献：

[1]现代物流课题组.物流成本管理.广州:广东经济出版社.2002.[2]黄洁纲.存贮论理论及其应用.上海:上海科学技术文献出版社.1999.[3]李德.运筹学.北京.清华大学出版社.2005.[4]秦明森.物流决策分析技术.北京:中国物资出版社.2003.[5]吴清一.物流学.北京:中国建材工业出版社.1996.[6]顾基发.库存控制管理.北京:煤炭工业出版社.2000.[7]刘志学.现代物流手册.北京:中国物资出版社.2002.[8]韩平.现代物流技术.北京:中国物资出版社.2002.

第五篇：信息安全策略

信息安全策略

是一个有效的信息安全项目的基础。从信息安全领域中发生的事件来看，信息安全策略的核心地位变得越来越明显。例如，没有安全策略，系统管理员将不能安全的安装防火墙。策略规定了所允许的访问控制、协议以及怎样记录与安全有关的事件。尽管信息安全策略是廉价的实施控制方式，但它们也是最难实施的。策略花费的仅仅是创建、批准、交流所用的时间和精力，以及员工把策略整合形成日常行为规范所用的时间和精力。即使是雇佣外部顾问来辅助制定策略，与其它控制方法（特别是技术控制）相比，其花费也是较小的。策略的制定需要达成下述目标：减少风险，遵从法律和规则，确保组织运作的连续性、信息完整性和机密性。

信息安全策略应主要依靠组织所处理和使用的信息特性推动制定。组织为高层主管、董事会成员、战略伙伴以及员工提供了内部信息系统，对信息系统中信息特性的理解，能为策略制定提供有用的依据。应当重视对信息系统了解深刻的员工，所提出的组织当前信息的主要特性，具体包括：什么信息是敏感的、什么信息是有价值的以及什么信息是关键的。

在制定一整套信息安全策略时，应当参考一份近期的风险评估或信息审计，以便清楚了解组织当前的信息安全需求。对曾出现的安全事件的总结，也是一份有价值的资料。也需要召开相关人员会议，比如首席信息官、物理安全主管、信息安全主管、内部审计主管和人力资源主管等。

为了确定哪些部分需要进一步注意，应收集组织当前所有相关的策略文件，例如计算机操作策略、应用系统开发策略、人力资源策略、物理安全策略。也可以参考国际标准、行业标准来获得指导。

资料收集阶段的工作非常重要，很多时候因为工作量和实施难度被简化操作。资料收集不全，调研不够充分会导致新建的信息安全策略无法与组织的真正需求一致。也无法确保策略中的要求与管理目标相一致。如果提出一套与组织文化明显不一致的策略，更是一件很尴尬的事情。

在制定策略之前，对现状进行彻底调研的另一个作用是要弄清楚内部信息系统体系结构。信息安全策略应当与已有的信息系统结构相一致，并对其完全支持。这一点不是针对信息安全体系结构，而是针对信息系统体系结构。信息安全策略一般在信息系统体系结构确立以后制定，以保障信息安全体系实施、运行。例如，互联网访问控制策略可使安全体系结构具体化，也有利于选择和实施恰当的防火墙产品。

收集完上面所提到的材料后，也就是调研阶段完成后，开始根据前期的调研资料制定信息安全策略文档初稿。初稿完成后，应当寻找直接相关人员对其进行小范围的评审。对反馈意见进行修改后，逐渐的扩大评审的范围。当所有的支持部门做出修改后，交由信息安全管理委员会评审。

信息安全策略的制定过程有很高的政策性和个性，反复的评审过程能够让策略更加清晰、简洁，更容易落地，为此在评审的过程中需要调动参与积极性，而不是抵触。

评审过程的最后一步一般由总经理、总裁、首席执行官签名。在人员合同中应当表明能予遵守并且这是继续雇佣的条件。也应当发放到内部服务器、网页以及一些宣传版面上的显眼位置，并附有高层管理者的签名，以表明信息安全策略文档

得到高层领导强有力的支持。如果让首席执行官签名不现实，由首席信息官签名也可以。要注意仅有信息安全部门主管或同级的部门主管签名，一般不足以表明高层管理者的同意和支持。虽然获得高层管理者的同意很难实施，但经验表明，高层的支持对策略的实施落地是非常重要的。

一般来说，在信息安全策略文件评审过程中，会得到组织内部各方多次评审和修订，其中最为重要的是信息安全管理委员会。信息安全委员会一般由信息部门人员组成，参与者一般包括以下部门的成员：信息安全、内部审计、物理安全、信息系统、人力资源、法律、财政和会计部。这样一个委员会本质上是监督信息安全部门的工作，负责筛选提炼已提交的策略，以便在整个组织内更好的实施落地。如果组织内还没有信息安全管理委员会，在制定信息安全策略的时候正是建立管理委员会的好时机，或由组织内已存在的同职能部门担任职责。

虽然制定了新的安全策略，还必须有一个适当的实施过程，如果这些策略不能得到实施，将起不到任何作用，不能得到执行的策略，可能比完全没有策略更糟糕，因为这样会教会员工作假和质疑组织内部执行力，这也可能麻痹管理者认为信息安全为题已经处理虽然现实是另外一回事。

管理层常以为员工行为当然以组织利益为重，这是一个欠考虑的想法。虽然策略不可能影响员工的个人价值观，但管理层可以运用策略给员工提供机会，引导他们和组织的利益一致。策略告诉员工组织对他们的期望是什么。

新策略发布前，应在内部信息技术部门或审计部门内讨论如果具体实施。新策略的执行可能会遇到多样化的问题。可以通过绩效评估和相应奖惩制度来保证策略的执行有效性。发现和惩罚违反策略的员工并不是目的。如果大量的人都不遵守，这就表明策略和相关的意识提升是无效的。在此情形下，需要寻找更有效的方式实施，或修改策略，以便更好的反映组织文化。

另有一些策略实施的建议：

在组织内部网站或一些媒体发布策略—新策略应发布在组织内部网站上，加入相关链接让用户能很快定位感兴趣的材料。

制定自我评估调查表—在新的策略实施时，制定评估表，填写实施情况，就能明确哪些部门没有遵守好、哪些地方需要额外加强控制。

制定遵守信息安全策略的员工协议表——应当编辑一个反映员工该如何遵守信息安全策略的法律协议表，或直接体现在员工合同中。

建立考察机制检查员工是否理解策略——调查员工是否理解安全策略文档中的重点。通过考试确定是否要增加培训和通告。

基础信息安全培训课程——培训课程通过录像或培训软件存档。不同策略对象可能要不同的培训课程。

分配策略落实负责人——按部门或实际情况分配负责人，落实责任。