第一篇：构建企业信息安全保密技术防范体系
构建企业信息安全技术防范措施
杜洪伟
天津第七市政公路工程有限公司，天津（300113）
摘 要：随着计算机网络的快速发展，网络资源共享也更加广泛。计算机网络面临着信息泄露、黑客攻击、病毒感染等多种威胁,信息安全保密工作面临着严峻挑。本文结合我国企业信息安全保密工作的相关要求和实际情况，从技术防范的角度出发，对保障网络的信息安全进行了分析，探讨了构建满足企业信息安全保密工作需要的防范措施。
关键词：企业信息化；信息安全保密；技术防范措施； 引言
信息网络国际化、社会化、开放化和个人化的特点, 决定了,它在给人们提供高效率、高效益、高质量的“信息共享”的同时,也投下了不安全的阴影。随着企业和人民对网络环境和网络资源依赖程度的不断加深, 信息泄露、黑客入侵、计算机病毒传播甚至于威胁信息安全的问题会出现得越来越多。因此，如何在企业机构中做好信息安全保密工作，事关企业发展的战略安全与重要利益。试想一下如果有关我国企业技术研究的重要信息系统安全遭到泄漏、破坏，那么就会对我国企业技术研究开发的各方面工作造成严重影响，使企业在该技术领域的研究陷于被动的处境，甚至会牵连整个社会和经济的发展进程，引致灾难性的经济损失后果。总之，在企业机构中做好信息安全保密工作是一项系统工程，本文从技术角度出发，以未雨绸缪，预防为主，兼顾防御及修复的原则为指导，加强信息安全保密工作的重要意识，在构建防范体系的过程中把该安全意识落实到每个技术细节上。最终构建一个系统、全面、可靠、有针对性的技术防范体系。网络信息安全问题
信息安全实质上是信息系统安全，信息系统主要由计算机系统构成，包括软件、硬件等。国际标准化组织(ISO)将“信息安全”定义为: 为数据处理系统建立和采取的技术和管理的安全保护, 保护计算机硬件、软件数据不因偶然和恶意的原因而遭到破坏、更改和泄露。
网络信息安全面临的威胁是多方面的, 具有无边界性、突发性、蔓延性和隐蔽性等新的特点。网络模糊了地理、空间上的边疆概念, 使得网上的冲突和对抗更具隐蔽性。对计算机网络的攻击往往是在没有任何先兆的情况下突然发生的, 而且会沿着网络迅速蔓延。对网络信息安全防御的困难还在于, 一个攻击者仅需要发起一个成功的攻击, 而防御者则需要考虑所有可能的攻击;而且这种攻击是在动态变化的。因此,需从技术上采取综合、系统性的多种措施构建技术防范体系。
信息安全是一个综合、交叉的学科领域,要涉及到安全体系结构、安全协议、密码理论、信息分析、安全监控、应急处理等各个方面, 还要利用数学、电子、信息、通信、计算机等诸多学科的长期知识积累和最新发展成果。信息安全要综合利用数学、物理、通信和计算机诸多学科的长期知识积累和最新发展成果, 进行自主创新研究, 加强顶层设计, 提出系统的、完整的, 协同的解决方案。
实际上不论是局域网还是广域网, 都是一种系统, 所以系统安全问题的解决, 必然是一项系统工程, 必须采用系统工程学的方法、运用系统工程学的原理来设计网络信息安全体系。解决网络信息安全的基本策略是技术、管理和法制并举。技术是核心, 要通过关键技术的突破, 构筑起国家信息安全技术防范体系。管理是关键, 根据“木桶原理”, 信息安全链条中任何一个环节的脆弱都有可能导致安全防护体系的失效, 必须要加强各管理部门和有关人员间的密切合作。法制是保障, 通过建立信息安全法规体系, 规范信息化社会中各类主体的行为, 以维持信息化社会的正常运作秩序。
3.信息安全的技术体系构成
3.1信息安全技术基础 3.1.1边界隔离技术
边界隔离包括逻辑隔离、物理隔离、信息过滤、入侵检测、防火墙、防病毒网关等，其实就是一种用于信息系统边办防护的安全技术，以阻止来自网络系统外部的各种攻击。运用该项技术首先
巨大商业、社会价值，病毒的泛滥大有愈演愈烈之势，其危害的深度、广度和力度也越来越大。流行广泛、各类繁多、潜伏期长、破坏力大，对储存了大量科研数据的计算机信息系统构成了长期与现实的威胁。
其次就是黑客入侵。通过技术手段，非法侵入计算机信息系统，获取秘密信息或有选择地破坏信息的有效性与完整性。这是当前企业机构计算机信息系统所面临的最大威胁。黑客除了在网上编写程序利用软件进行直接的攻击和破坏，还采用信号截取和声像外露信号来获取秘密信息。
再者就是存储介质失密，特别是随着移动存储介质的广泛使用，使得利用存储介质窃取信息的事件日益增多。如涉密的优盘、硬盘、光盘、笔记本电脑等。
系统漏洞，软件是编程人员设计编写的，有时因为疏忽，有时为了自便而专门设置，总是或多或少存在一些大大小小的漏洞。因此没有无懈可击，天衣无缝的软件系统。利用计算机操作系统、信息管理系统、网络系统的自身安全漏洞，进行窃取与破坏活动。
非法访问，企业机构以外人员利用非法手段进入安全保密防范措施不完善的信息系统，对企业信息系统进行的破坏活动。另外还有人为因素。例如个别人员利用合法身份与国外的网络非法连接，或者使用随身携带的摄像等装备进行的窃取行为。
以上所列举的情况是目前存在于企业机构的主要信息安全威胁，针对上述威胁我们应构建有针对性的、强健的技术防范体系。
3.2.2构建有针对性的技术防范体系
构建符合企业机构工作特点且有针对性的信息安全保密技术防范体系，实际上就是从信息系统和信息网络的不同层面保证信息的机密性、完整性、可用性、可控性，进而保障信息系统的安全，提高信息系统及网络的防御能力。安全保密技术是随着信息技术、网络技术，以及各种入侵技术的发展而不断完善和提高的，不断采用一些最新的安全防护技术，可以极大地弥补传统安全防护手段存在的不足。因此，信息安全保密的技术防范体系，是构建整个信息安全保密体系的重要组成部分，在资金允许和技术可行的条件下，应该尽可能采用先进的、且经得住实践检验的技术防护手段，这样才能有效抵御不断出现的信息安全威胁。
（1）物理安全防护
物理安全防护主要指内网借助于某些网络设备及软件系统等方式间接地连接到外网，另外还包括对网络设备保护层及电磁辐射的物理防护。物理安全防护的方法有以下几种：
1)抑制电磁泄漏（即TEMPEST技术）是物理安全防护的一个重要问题。目前主要防护措施有两类：一类是对传导发射的防护，主要对电源线和信号线加装性能良好的滤波器，减小传输阻抗和导线间的交叉耦合。另一类是对辐射的防护，既要采用各种电磁屏蔽手段，还要应对可能出现的干扰。
2）网络隔离卡：在终端机上加装网络安全隔离卡，并额外配备1块硬盘，这样就能根据使用者的需求，灵活切换内外网。
3）最直接的方法应是一人双机：如果经济条件允许，给专业管理人员配备2台终端机，1台接外网，1台只接内网。
（2）防火墙
目前，常见的防火墙主要有三类：
1）应用代理型防火墙是内部网与外部网的隔离点，起着监视和隔离应用层通信流的作用。2）包过滤型防火墙：数据分组的过滤或包过滤，其中包过滤原理和技术可以认为是各种网络防火墙的基础构件。
3）综合型防火墙将数据包过滤和代理服务结合起来使用。
混合使用数据包过滤技术、代理服务技术和其他一些新技术将是未来防火墙的发展趋势。（3）抗攻击、防病毒网关
在通讯网络中使用抗攻击防病毒网关可以有效避免“拒绝服务攻击（DoS）”和“连接耗尽攻击”
第二篇：构建信息安全保密体系
构建信息安全保密体系
摘 要：信息安全保密已经成为当前保密工作的重点。本文从策略和机制的角度出发，给出了信息安全保密的服务支持、标准规范、技术防范、管理保障和工作能力体系，体现了技术与管理相结合的信息安全保密原则。关键词：信息 安全 保密 体系
一、引言
构建信息安全保密体系，不能仅仅从技术层面入手，而应该将管理和技术手段有机结合起来，用规范的制度约束人，同时建立、健全信息安全保密的组织体制，改变现有的管理模式，弥补技术、制度、体制等方面存在的不足，从标准、技术、管理、服务、策略等方面形成综合的信息安全保密能力，如图1所示。图 1 信息安全保密的体系框架
该保密体系是以信息安全保密策略和机制为核心，以信息安全保密服务为支持，以标准规范、安全技术和组织管理体系为具体内容，最终形成能够满足信息安全保密需求的工作能力。
二、信息安全保密的策略和机制 所谓信息安全保密策略，是指为了保护信息系统和信息网络中的秘密，对使用者（及其代理）允许什么、禁止什么的规定。从信息资产安全管理的角度出发，为了保护涉密信息资产，消除或降低泄密风险，制订的各种纲领、制度、规范和操作流程等，都属于安全保密策略。例如：禁止（工作或技术人员）将涉密软盘或移动存储设备带出涉密场所；严禁（使用人员将）涉密计算机（连）上互联网；不允许（参观人员）在涉密场所拍照、录像等。
信息安全保密机制，是指实施信息安全保密策略的一种方法、工具或者规程。例如，针对前面给出的保密策略，可分别采取以下机制：为涉密移动存储设备安装射频标识，为涉密场所安装门禁和报警系统；登记上网计算机的（物理）地址，实时监控上网设备；进入涉密场所前，托管所有摄录像设备等。
根据信息系统和信息网络的安全保密需求，在制定其安全保密策略时，应主要从物理安全保密策略，系统或网络的访问控制策略，信息的加密策略，系统及网络的安全管理策略，人员安全管理策略，内容监管策略等方面入手。在安全保密机制方面，应主要从组织管理、安全控制和教育培训等方面，针对给出的安全保密策略，确定详细的操作或运行规程，技术标准和安全解决方案。
三、信息安全保密的服务支持体系
信息安全保密的服务支持体系，主要是由技术检查服务、调查取证服务、风险管理服务、系统测评服务、应急响应服务和咨询培训服务组成的，如图2所示。其中，风险管理服务必须贯穿到信息安全保密的整个工程中，要在信息系统和信息网络规划与建设的初期，就进行专业的安全风险评估与分析，并在系统或网络的运营管理过程中，经常性地开展保密风险评估工作，采取有效的措施控制风险，只有这样才能提高信息安全保密的效益和针对性，增强系统或网络的安全可观性、可控性。其次，还要大力加强调查取证服务、应急响应服务和咨询培训服务的建设，对突发性的失泄密事件能够快速反应，同时尽可能提高信息系统、信息网络管理人员的安全技能，以及他们的法规意识和防范意识，做到“事前有准备，事后有措施，事中有监察”。
加强信息安全保密服务的主要措施包括： 借用安全评估服务帮助我们了解自身的安全性
通过安全扫描、渗透测试、问卷调查等方式对信息系统及网络的资产价值、存在的脆弱性和面临的威胁进行分析评估，确定失泄密风险的大小，并实施有效的安全风险控制。采用安全加固服务来增强信息系统的自身安全性 具体包括操作系统的安全修补、加固和优化；应用服务的安全修补、加固和优化；网络设备的安全修补、加固和优化；现有安全制度和策略的改进与完善等。部署专用安全系统及设备提升安全保护等级
借助目前成熟的安全技术和产品来帮助我们提升整个系统及网络的安全防护等级，可采用的产品包括防火墙、IDS、VPN、防病毒网关等。
运用安全控制服务增强信息系统及网络的安全可观性、可控性
通过部署面向终端、服务器和网络边界的安全控制系统，以及集中式的安全控制平台，增强对整个信息系统及网络的可观性，以及对使用网络的人员、网络中的设备及其所提供服务的可控性。
加强安全保密教育培训来减少和避免失泄密事件的发生 加强信息安全基础知识及防护技能的培训，尤其是个人终端安全技术的培训，提高使用和管理人员的安全保密意识，以及检查入侵、查处失泄密事件的能力。引入应急响应服务及时有效地处理重大失泄密事件
具体包括：协助恢复系统到正常工作状态；协助检查入侵来源、时间、方法等；对网络进行安全评估，找出存在的安全隐患；做出事件分析报告；制定并贯彻实施安全改进计划。采用安全通告服务来对窃密威胁提前预警 具体包括对紧急事件的通告，对安全漏洞和最新补丁的通告，对最新防护技术及措施的通告，对国家、军队的安全保密政策法规和安全标准的通告等。
四、信息安全保密的标准规范体系 信息安全保密的标准规范体系，主要是由国家和军队相关安全技术标准构成的，如图3所示。这些技术标准和规范涉及到物理场所、电磁环境、通信、计算机、网络、数据等不同的对象，涵盖信息获取、存储、处理、传输、利用和销毁等整个生命周期。既有对信息载体的相关安全保密防护规定，也有对人员的管理和操作要求。因此，它们是设计信息安全保密解决方案，提供各种安全保密服务，检查与查处失泄密事件的准则和依据。各部门应该根据本单位信息系统、信息网络的安全保密需求，以及组织结构和使用维护人员的配置情况，制定相应的，操作性和针对性更强的技术和管理标准。
五、信息安全保密的技术防范体系 信息安全保密的技术防范体系，主要是由电磁防护技术、信息终端防护技术、通信安全技术、网络安全技术和其他安全技术组成的。这些技术措施的目的，是为了从信息系统和信息网络的不同层面保护信息的机密性、完整性、可用性、可控性和不可否认性，进而保障信息及信息系统的安全，提高信息系统和信息网络的抗攻击能力和安全可靠性。安全保密技术是随着信息技术、网络技术，以及各种入侵与攻击技术的发展不断完善和提高的，一些最新的安全防护技术，如可信计算技术、内网监控技术等，可以极大地弥补传统安全防护手段存在的不足，这就为我们降低安全保密管理的难度和成本，提高信息系统和信息网络的安全可控性和可用性，奠定了技术基础。因此，信息安全保密的技术防范体系，是构建信息安全保密体系的一个重要组成部分，应该在资金到位和技术可行的情况下，尽可能采用最新的、先进的技术防护手段，这样才能有效抵御不断出现的安全威胁。
六、信息安全保密的管理保障体系
俗话说，信息安全是“三分靠技术，七分靠管理”。信息安全保密的管理保障体系，主要是从技术管理、制度管理、资产管理和风险管理等方面，加强安全保密管理的力度，使管理成为信息安全保密工作的重中之重。
技术管理主要包括对泄密隐患的技术检查，对安全产品、系统的技术测评，对各种失泄密事件的技术取证；制度管理主要是指各种信息安全保密制度的制定、审查、监督执行与落实；资产管理主要包括涉密人员的管理，重要信息资产的备份恢复管理，涉密场所、计算机和网络的管理，涉密移动通信设备和存储设备的管理等；风险管理主要是指保密安全风险的评估与控制。
现有的安全管理，重在保密技术管理，而极大地忽视了保密风险管理，同时在制度管理和资产管理等方面也存在很多问题，要么是管理制度不健全，落实不到位；要么是一些重要的资产监管不利，这就给失窃密和遭受网络攻击带来了人为的隐患。加强安全管理，不但能改进和提高现有安全保密措施的效益，还能充分发挥人员的主动性和积极性，使信息安全保密工作从被动接受变成自觉履行。
七、信息安全保密的工作能力体系
将技术、管理与标准规范结合起来，以安全保密策略和服务为支持，就能合力形成信息安全保密工作的能力体系，如图4所示。该能力体系既是信息安全保密工作效益与效率的体现，也能反映出当前信息安全保密工作是否到位。它以防护、检测、响应、恢复为核心，对信息安全保密的相关组织和个人进行工作考评，并通过标准化、流程化的方式加以持续改进，使信息安全保密能力随着信息化建设的进展不断提高。
八、结论
技术与管理相结合，是构建信息安全保密体系应该把握的核心原则。为了增强信息系统和信息网络的综合安全保密能力，重点应该在健全上述保密体系，尤其是组织体系、管理体系、服务体系和制度（技术标准及规范）体系的基础上，规范数据备份、密钥管理、访问授权、风险控制、身份认证、应急响应、系统及应用安全等管理方案，努力提高系统漏洞扫描、信息内容监控、安全风险评估、入侵事件检测、病毒预防治理、系统安全审计、网络边界防护等方面的技术水平。
参考文献：
[1]信息与网络安全研究新进展．全国计算机安全学术交流会论文集．第二十二卷[C]．合肥：中国科技大学出版社, 2007 [2]中国计算机学会信息保密专业委员会论文集．第十六卷[C]．合肥：中国科技大学出版社, 2006 [3]胡建伟．网络安全与保密[M]．西安：西安电子科技大学出版社, 2003
第三篇：构建信息安全保密体系.
构建信息安全保密体系
摘要:信息安全保密已经成为当前保密工作的重点。本文从策略和机制的角度出发,给出了信息安全保密的服务支持、标准规范、技术防范、管理保障和工作能力体系,体现了技术与管理相结合的信息安全保密原则。
关键词:信息安全保密体系
一、引言
构建信息安全保密体系,不能仅仅从技术层面入手,而应该将管理和技术手段有机结合起来,用规范的制度约束人,同时建立、健全信息安全保密的组织体制,改变现有的管理模式,弥补技术、制度、体制等方面存在的不足,从标准、技术、管理、服务、策略等方面形成综合的信息安全保密能力,如图1所示。
图1 信息安全保密的体系框架
该保密体系是以信息安全保密策略和机制为核心,以信息安全保密服务为支持,以标准规范、安全技术和组织管理体系为具体内容,最终形成能够满足信息安全保密需求的工作能力。
二、信息安全保密的策略和机制
所谓信息安全保密策略,是指为了保护信息系统和信息网络中的秘密,对使用者(及其代理允许什么、禁止什么的规定。从信息资产安全管理的角度出发,为了保护涉密信息资产,消除或降低泄密风险,制订的各种纲领、制度、规范和操作流程等,都属于安全保密策略。例如:禁止(工作或技术人员将涉密软盘或移动存储设备带出涉密场所;严禁(使用人员将涉密计算机(连上互联网;不允许(参观人员在涉密场所拍照、录像等。
信息安全保密机制,是指实施信息安全保密策略的一种方法、工具或者规程。例如,针对前面给出的保密策略,可分别采取以下机制:为涉密移动存储设备安装射频标识,为涉密场所安装门禁和报警系统;登记上网计算机的(物理地址,实时监控上网设备;进入涉密场所前,托管所有摄录像设备等。
根据信息系统和信息网络的安全保密需求,在制定其安全保密策略时,应主要从物理安全保密策略,系统或网络的访问控制策略,信息的加密策略,系统及网络的安全管理策略,人员安全管理策略,内容监管策略等方面入手。在安全保密机制方面,应主要从组织管理、安全控制和教育培训等方面,针对给出的安全保密策略,确定详细的操作或运行规程,技术标准和安全解决方案。
三、信息安全保密的服务支持体系
信息安全保密的服务支持体系,主要是由技术检查服务、调查取证服务、风险管理服务、系统测评服务、应急响应服务和咨询培训服务组成的,如图2所示。其中,风险管理服务必须贯穿到信息安全保密的整个工程中,要在信息系统和信息网络规划与建设的初期,就进行专业的安全风险评估与分析,并在系统或网络的运营管理过程中,经常性地开展保密风险评估工作,采取有效的措施控制风险,只有这样才能提高信息安全保密的效益和针对性,增强系统或网络的安全可观性、可控性。其次,还要大力加强调查取证服务、应急响应服务和咨询培训服务的建设,对突发性的失泄密事件能够快速反应,同时尽可能提高信息系统、信息网络管理人员的安全技能,以及他们的法规意识和防范意识,做到“事前有准备,事后有措施,事中有监察”。
加强信息安全保密服务的主要措施包括: 借用安全评估服务帮助我们了解自身的安全性
通过安全扫描、渗透测试、问卷调查等方式对信息系统及网络的资产价值、存在的脆弱性和面临的威胁进行分析评估,确定失泄密风险的大小,并实施有效的安全风险控制。
采用安全加固服务来增强信息系统的自身安全性
具体包括操作系统的安全修补、加固和优化;应用服务的安全修补、加固和优化;网络设备的安全修补、加固和优化;现有安全制度和策略的改进与完善等。
部署专用安全系统及设备提升安全保护等级
借助目前成熟的安全技术和产品来帮助我们提升整个系统及网络的安全防护等级,可采用的产品包括防火墙、IDS、VPN、防病毒网关等。
运用安全控制服务增强信息系统及网络的安全可观性、可控性
通过部署面向终端、服务器和网络边界的安全控制系统,以及集中式的安全控制平台,增强对整个信息系统及网络的可观性,以及对使用网络的人员、网络中的设备及其所提供服务的可控性。
加强安全保密教育培训来减少和避免失泄密事件的发生
加强信息安全基础知识及防护技能的培训,尤其是个人终端安全技术的培训,提高使用和管理人员的安全保密意识,以及检查入侵、查处失泄密事件的能力。
引入应急响应服务及时有效地处理重大失泄密事件
具体包括:协助恢复系统到正常工作状态;协助检查入侵来源、时间、方法等;对网络进行安全评估,找出存在的安全隐患;做出事件分析报告;制定并贯彻实施安全改进计划。
采用安全通告服务来对窃密威胁提前预警
具体包括对紧急事件的通告,对安全漏洞和最新补丁的通告,对最新防护技术及措施的通告,对国家、军队的安全保密政策法规和安全标准的通告等。
四、信息安全保密的标准规范体系
信息安全保密的标准规范体系,主要是由国家和军队相关安全技术标准构成的,如图3所示。这些技术标准和规范涉及到物理场所、电磁环境、通信、计算机、网络、数据等不同的对象,涵盖信息获取、存储、处理、传输、利用和销毁等整个生命周期。既有对信息载体的相关安全保密防护规定,也有对人员的管理和操作要求。因此,它们是设计信息安全保密解决方案,提供各种安全保密服务,检查与查处失泄密事件的准则和依据。各部门应该根据本单位信息系统、信息网络的安全保密需
求,以及组织结构和使用维护人员的配置情况,制定相应的,操作性和针对性更强的技术和管理标准。
五、信息安全保密的技术防范体系
信息安全保密的技术防范体系,主要是由电磁防护技术、信息终端防护技术、通信安全技术、网络安全技术和其他安全技术组成的。这些技术措施的目的,是为了从信息系统和信息网络的不同层面保护信息的机密性、完整性、可用性、可控性和不可否认性,进而保障信息及信息系统的安全,提高信息系统和信息网络的抗攻击能力和安全可靠性。安全保密技术是随着信息技术、网络技术,以及各种入侵与攻击技术的发展不断完善和提高的,一些最新的安全防护技术,如可信计算技术、内网监控技术等,可以极大地弥补传统安全防护手段存在的不足,这就为我们降低安全保密管理的难度和成本,提高信息系统和信息网络的安全可控性和可用性,奠定了技术基础。因此,信息安全保密的技术防范体系,是构建信息安全保密体系的一个重要组成部分,应该在资金到位和技术可行的情况下,尽可能采用最新的、先进的技术防护手段,这样才能有效抵御不断出现的安全威胁。
六、信息安全保密的管理保障体系
俗话说,信息安全是“三分靠技术,七分靠管理”。信息安全保密的管理保障体系,主要是从技术管理、制度管理、资产管理和风险管理等方面,加强安全保密管理的力度,使管理成为信息安全保密工作的重中之重。
技术管理主要包括对泄密隐患的技术检查,对安全产品、系统的技术测评,对各种失泄密事件的技术取证;制度管理主要是指各种信息安全保密制度的制定、审查、监督执行与落实;资产管理主要包括涉密人员的管理,重要信息资产的备份恢复管理,涉密场所、计算机和网
络的管理,涉密移动通信设备和存储设备的管理等;风险管理主要是指保密安全风险的评估与控制。
现有的安全管理,重在保密技术管理,而极大地忽视了保密风险管理,同时在制度管理和资产管理等方面也存在很多问题,要么是管理制度不健全,落实不到位;要么是一些重要的资产监管不利,这就给失窃密和遭受网络攻击带来了人为的隐患。加强安全管理,不但能改进和提高现有安全保密措施的效益,还能充分发挥人员的主动性和积极性,使信息安全保密工作从被动接受变成自觉履行。
七、信息安全保密的工作能力体系
将技术、管理与标准规范结合起来,以安全保密策略和服务为支持,就能合力形成信息安全保密工作的能力体系,如图4所示。该能力体系既是信息安全保密工作效益与效率的体现,也能反映出当前信息安全保密工作是否到位。它以防护、检测、响应、恢复为核心,对信息安全保密的相关组织和个人进行工作考评,并通过标准化、流程化的方式加以持续改进,使信息安全保密能力随着信息化建设的进展不断提高。
八、结论
技术与管理相结合,是构建信息安全保密体系应该把握的核心原则。为了增强信息系统和信息网络的综合安全保密能力,重点应该在健全上述保密体系,尤其是组织体系、管理体系、服务体系和制度(技术标准及规范体系的基础上,规范数据备份、密钥管理、访问授权、风险控制、身份认证、应急响应、系统及应用安全等管理方案,努力提高系统漏洞扫描、信息内容监控、安全风险评估、入侵事件检测、病毒预防治理、系统安全审计、网络边界防护等方面的技术水平。
参考文献: [1]信息与网络安全研究新进展.全国计算机安全学术交流会论文集.第二十二卷[C].合肥:中国科技大学出版社, 2007 [2]中国计算机学会信息保密专业委员会论文集.第十六卷[C].合肥:中国科技大学出版社, 2006
[3]胡建伟.网络安全与保密[M].西安:西安电子科技大学出版社, 2003
第四篇：企业信息安全保密管理办法
企业信息安全保密管理办法
1.目的作用
企业内部的“信息流”与企业的“人流”、“物流”、“资金流”，均为支持企业生存与发展的最基本条件。可见信息与人、财、物都是企业的财富，但信息又是一种无形的资产，客观上使人们利用过程中带来安全管理上的困难。为了保护公司的利益不受侵害，需要加强对信息的保密管理，使公司所拥有的信息在经营活动中充分利用，为公司带来最大的效益，特制定本制度。2.管理职责
由于企业的信息贯穿在企业经营活动的全过程和各个环节，所以信息的保密管理，除了领导重视而且需全员参与，各个职能部门人员都要严格遵守公司信息保密制度，公司督察部具体负责对各部门执行情况的检查和考核。3.公司文件资料的形成过程保密规定 拟稿过程
拟稿是文件、资料保密工作的开始，对有保密要求的文件、资料，在拟稿过程应按以下规定办理：
初稿形成后，要根据文稿内容确定密级和保密期限，在编文号时应具体标明。草稿纸及废纸不得乱丢，如无保留价值应及时销毁。
文件、资料形成前的讨论稿、征求意见稿、审议稿等，必须同定稿一样对待，按保密原则和要求管理。印制过程
秘密文件、资料，应由公司机要打字员打印，并应注意以下几点：
要严格按照主管领导审定的份数印制，不得擅自多印多留。要严格控制印制工程中的接触人员。
打印过程形成的底稿、清样、废页要妥善处理，即使监销。复制过程
复制过程是按照规定的阅读范围扩大文件、资料发行数量，要求如下：
复制秘密文件、资料要建立严格的审批、登记制度。复制件与正本文件、资料同等密级对待和管理。严禁复制国家各种秘密文稿和国家领导人的内部讲话。绝密文件、资料、未经原发文机关批准不得自行复制。
4.公司文件资料传递、阅办过程保密规定
收发过程
收进文件时要核对收件单位或收件人，检查信件封口是否被开启。
收文启封后，要清点份数，按不同类别和密级，分别进行编号、登记、加盖收文章。发文时要按照文件、资料的类别和文号及顺序号登记清楚去向，并填写好发文通知单，封面要编号并加盖密级章。
收发文件、资料都要建立登记制度和严格实行签收手续。递送过程
企业内部建有文件、资料交换站的，可通过交换站进行，一律直送直取。递送外地文件、资料，要通过机要交通或派专人递送。
凡携带秘密文件、资料外出，一般要有两人以上同行，必须装在可靠的文件包或箱内，做到文件不离人。
递送的秘密文件、资料，一律要包装密封，并标明密级。阅办过程
呈送领导人批示的文件、资料、应进行登记。领导人批示后，要及时退还或由经管文件部门当日收回。领导人之间不得横向传批文件、不得把文件直接交承办单位（人）。凡需有关部门（人）承办的文件、资料，一律由文件经管部门办理。
绝密文件、资料，一般不传阅，应在特别设立的阅文室内阅读。
秘密文件、资料，不得长时间在个人手中保留，更不能带回家或公共场所。要控制文件、资料阅读范围，无关人员不能看文件、资料。
5.公司文件资料归档、保管过程中的保密规定
归档过程
秘密文件、资料在归档时，要在卷宗的扉页标明原定密级，并以文件资料中最高密级为准。不宜于保留不属于企业留存的“三密”文件、资料，要及时清理上交或登记销毁，防止失散。
有密级的档案，要按保密文件、资料管理办法进行管理。保密过程 秘密文件、资料应集中管理，个人不得保存。
存放处应装有保密设置，专室、专柜及一切设施要能防盗，安全可靠，钥匙应专人保管。文件资料每半年要进行一次清理，清理时应将无用的上级发文交主管部门或上级发文机关；借出的文件应做好清退，清退中如发现缺份，要及时向主管领导报告，认真查处。每年底要组织一次对作废的秘密文件、资料的销毁工作。该项工作要按程序规定进行，经领导复核后，在有专人监督下销毁，严禁向废品收购部门出售“三密”文件、资料。
6.宣传报告工作工程中的保密规定
宣传报道保密，就是对宣传报道中可能发生的泄密，采取一系列措施，确保企业秘密的安全。主要应做好以下几方面工作： 建立健全宣传报道中的保密制度，要明确规定“三密”文件、资料的内容都不能擅自公开或在报导中引用。
公司对外宣传报道的稿件，主管领导要认真进行保密审查。
做好确定密级的工作，使全体干部职工特别是领导和负责进行宣传报导的工作人员能了解掌握。因特殊需要，涉及到“三密“文件资料内容时，必须向总经理汇报请示，公司其他任何人均无权批准。公司管理层应经常向下属部门人员进行保密教育，提高全员保密意识，对违规者，应按制度进行处罚。
7.办公自动化设备（设施）使用的保密措施
随着企业办公自动化的普及，文件、资料保密工作面临新的挑战，为了消除办公自动化应用中所产生的保密领域问题，应抓好以下几个方面工作。
加强对工作人员的保密教育，树立以下思想观念：
树立配有加密设施的微机网络传递与机要通信收发的文件、资料同属正式文件、资料的保密观念。
树立复印文件、资料与正式文件、资料都具有相同作用的保密观念。
树立机要室登记、分发的文件、资料与各部门自行登记、分发的文件、资料都同等重要的保密观念。
树立以纸张为材料的秘密载体与软（硬）件为材料的秘密载体同样重要的保密观念。完善规章制度，认真抓好落实
办公自动化的设备（设施）要指定专人使用与保管。要履行严格的审批手续，控制好文件、资料的制作数量。要根据保密原则，制定严格的违规处罚规定。抓好专业技术培训
要通过专业技术培训，提高工作人员对各种办公自动化设备的操作技术与知识水平，懂得泄密途径和防范的办法。
改善各类设备的环境条件，防止技术性泄密。
8.计算机的保密管理措施
电子计算机已经广泛应用于工业，企业经营的信息、数据源源不断地被输入电脑。因此必须要做好计算机应用中的保密工作。企业的各级主管人员应学习和掌握计算机知识
首先要知道计算机方面的基础知识，掌握和学会对它的运用技能，才能了解到计算机信息系统的不安全因素，才能有针对性地做好保密管理。
造成计算机信息系统不安全因素的一般有以下方面：
8.1.1 计算机系统工作人员泄露计算机信息的秘密。8.1.2 直接从计算机电子文档中窃取信息、资料。8.1.3 电磁辐射泄密。
8.1.4 冒名顶替和越权偷用，暗藏非法程序，定时破坏，篡改。8.1.5 复制和窃取磁介质中的数据、信息。8.2 严格信息管理
除了加强对计算机工作人员经常进行保密教育之外，在信息管理中还应有以下措施：
8.2.1 对计算机工作人员采取分工负责制的办法，防止因一人的疏忽而影响整个系统的安全。
8.2.2 规定信息资源共享的等级和范围，明确使用各密级信息的权限和人员。8.2.3 对存取秘密的信息，计算机网络系统要自动登记存取情况，以便查阅。8.2.4 对含有密级信息的磁记录介质（如磁带、软盘、硬盘、光盘等）要由专人负责保管。8.2.5 含有密级的打印纸要及时处理，对网络系统中软件清单要妥善保管，调试中的软件清单要及时销毁。
8.2.6 对新购买的软件和其他机器拷贝的软件必须进行检查、消毒，以防计算机病毒带入系统。
8.3 完善系统功能
8.3.1 系统应有用户存取资格检查和用户身份识别功能，对非法的操作和无资格存取的用户要及时警告和登记。
8.3.2 用户和网络系统的界面要清晰，采用多层控制，以防用户非法进入系统而破坏整个系统的功能。
8.3.3 系统应有很强的数据加密软件，对需要保存在外存储介质上存贮介质上的秘密信息和上信道传输的秘密信息必须进行加密。
8.3.4 要有多种经受得住专业密码分析人员攻击的加密算法，对不同用户使用不同的加密算法。
8.4 加强对计算机房的安全管理
8.4.1 对计算机房出入的要加以限制，非工作人员不得进入，出入的物品也要进行严格管理。
8.4.2 经监测发现有辐射的机器和部件，要采取屏蔽措施。
8.4.3 对进入机房的各类设备、仪器都要经过监测，以防在使用这些设备和仪器时，将计算机内的信息辐射或传导出去。
第五篇：长治久安区积极构建安全防范体系
安全防范体系建设
政府安全工作，是一切工作的前提和基础。为切实有效地保障广大师生的生命财产安全，创造良好的学习、工作、生活环境是政府的头等大事。只有坚持“预防为主、防治结合、加强教育、群防群治”的原则，有效构建政府安全防范体系，才能增强学生的安全意识和自我防护能力，维护政府正常的教育、教学秩序。
一、提高认识，加强组织领导，明确职责
政府工作树立“安全第一”的思想意识，形成齐抓共管的局面。成立以区长为组长，分管安全的副书记为常务副组长、各科室负责人为成员的区综治安全领导小组，进一步明确了“谁主管、谁负责”的安全管理原则，各责任人认真履行职责，切实落实《福建省政府安全“党政同责、一岗双责”工作机制》。区长是街道安全工作的第一责任人，对街道安全工作负全面领导责任。分管街道安全工作的副职负责人是街道安全工作的综合监管责任人，对街道安全工作负组织协调和综合监管责任。党政班子成员对分管业务范围内的安全工作负直接领导责任。各职能部门负责人是本部门职责范围内安全工作监管第一责任人，对本部门安全工作负全面领导责任。在这基础上，政府将安全工作摆上重要议事日程，纳入工作计划，按照制度规定对安全目标执行情况进行监督、考核，各岗位人员掌握本岗位的安全职责。
二、建立健全各项安全管理制度和安全教育培训 为维护政府正常教育教学秩序，创造良好的教书育人环境，确保师生员工生命财产安全，杜绝、减少安全事故的发生，政府建立一套完善的各类安全管理制度体系。政府各种有关安全日常工作事项记录、安全会议记录、隐患排查整改记录、各种安全管理制度与预案、安全设备设施等检维修记录齐全。政府积极组织开展安全管理法律法规、标准规范、规章制度、操作规程执行情况检查、评估。明确了各自安全工作责任制度和事故责任追究制度；各科室负责人还与科室部门人员及各社会化经营场所管理员签订安全生产责任书，明确各岗位安全职责，并检查其执行情况，督促落实安全职责。并按有关规定制定并实施岗位安全生产操作规程，并张贴上墙。保卫科建立完整的安全工作记录档案，档案内容涵盖了安全文件、国旗下讲话、主题班会班主任例会等内容，结合“六五”普法宣传工作，利用多种方式组织师生学习《未成年人保护法》、《预防未成年人犯罪管理条件》、《教师职业道德规范》、《街道安全管理办法》、《防震减灾法》等；通过街道网、宣传栏、黑板报、广播台及LED屏广泛开展安全宣传教育活动。通过以上措施，在区内营造出良好的安全文化氛围。
三、建立警区共建机制，强化联防联控，注重安全设施建设
我区高度重视安全工作,成立政府安全保卫科，按照相关规定建立了与政府安全管理工作相适应的安全工作管理机构，并配备专（兼）职安全工作管理人员。切实做好街道治安保卫工作，强化政府保安门卫管理，督促保安员认真履职，规范执勤。各部门明确了专兼职安全联络员，班主任加强对学生日常行为规范和安全守纪的管理。为进一步加强安全保卫设施建设，目前，全区共安装200多个高清探头使街道安保水平更上一个台阶。在此基础上，政府本着“以政府保卫为主，治安防范指导为辅”的原则，加强与相关部门、派出所、社区、周边政府联防联控、杜绝外来危险源进入政府，以优势互补、全方位共建的形式，以拓宽共建领域、丰富共建内容、提高共建水平为重点，注重实效的“警区共建”平安街道的治安联防工作机制。
四、加强隐患排查和治理
为促进街道安全形势持续稳定好转。政府坚持每月及重要时段开展安全隐患排查治理活动，建立隐患排查治理长效机制，进一步落实政府的安全主体责任，全面排查街道事故隐患和薄弱环节及重点部位，切实解决存在的突出问题、疑难问题，建立健全安全防范措施和管理制度，健全和落实工作责任。我区全面落实“一岗双责”机制，积极推进安全隐患排查治理工作，落实整改资金和专职人员负责，制订隐患监控措施，确保机构、人员、措施、资金四到位。
我区高度重视隐患排查治理工作，强化隐患排查和整改，做到排查不留死角，整改不留后患。突出政府安全隐患排查重点，对排查中发现的安全隐患，能够立即整改排除的，立即整改，建立隐患管理信息台账，做到“一患一档”；对治理难度大、自身无力解决的，及时向上级有关部门书面报告，加强沟通和紧密配合，确保安全隐患排查工作形成齐抓共管机制。进一步强化修订和完善应急预案。我区每半年至少开展5次以上灾害事故紧急疏散演练，确实提高师生逃生技能和自救互救能力。
点击咨询 