企业网络安全管理三大原则

第一篇：企业网络安全管理三大原则

企业网络安全管理三大原则

2009-01-21 09:01 作者：千里草 来源：中国IT实验室

【简 介】

在企业网络安全管理中，为员工提供完成其本职工作所需要的信息访问权限、避免未经授权的人改变公司的关键文档、平衡访问速度与安全控制三方面分别有以下三大原则。

在企业网络安全管理中，为员工提供完成其本职工作所需要的信息访问权限、避免未经授权的人改变公司的关键文档、平衡访问速度与安全控制三方面分别有以下三大原则。原则一：最小权限原则

最小权限原则要求我们在企业网络安全管理中，为员工仅仅提供完成其本职工作所需要的信息访问权限，而不提供其他额外的权限。

如企业现在有一个文件服务器系统，为了安全的考虑，我们财务部门的文件会做一些特殊的权限控制。财务部门会设置两个文件夹，其中一个文件夹用来放置一些可以公开的文件，如空白的报销凭证等等，方便其他员工填写费用报销凭证。还有一个文件放置一些机密文件，只有企业高层管理人员才能查看，如企业的现金流量表等等。此时我们在设置权限的时候，就要根据最小权限的原则，对于普通员工与高层管理人员进行发开设置，若是普通员工的话，则其职能对其可以访问的文件夹进行查询，对于其没有访问权限的文件夹，则服务器要拒绝其访问。

最小权限原则除了在这个访问权限上反映外，最常见的还有读写上面的控制。如上面这个财务部门有两个文件夹A与B.作为普通员工，A文件夹属于机密级，其当然不能访问。但是，最为放置报销凭证格式的文件夹B，我们设置普通员工可以访问。可是，这个访问的权限是什么呢?也就是说，普通员工对于这个文件夹下的文件具有哪些访问权限?删除、修改、抑或只有只读?若这个报销凭证只是一个格式，公司内部的一个通用的报销格式，那么，除了财务设计表格格式的人除外，其他员工对于这个文件夹下的我文件，没有删除、修改的权限，而只有只读的权限。可见，根据最小权限的原则，我们不仅要定义某个用户对于特定的信息是否具有访问权限，而且，还要定义这个访问权限的级别，是只读、修改、还是完全控制?

不过在实际管理中，有不少人会为了方便管理，就忽视这个原则。

如文件服务器管理中，没有对文件进行安全级别的管理，只进行了读写权限的控制。也就是说，企业的员工可以访问文件服务器上的所有内容，包括企业的财务信息、客户信息、订单等比较敏感的信息，只是他们不能对不属于自己的部门的文件夹进行修改操作而已。很明显，如此设计的话，企业员工可以轻易获得诸如客户信息、价格信息等比较机密的文件。若员工把这些信息泄露给企业的竞争对手，那么企业将失去其竞争优势。

再如，对于同一个部门的员工，没有进行权限的细分，普通员工跟部门经理具有同等等权限。如在财务管理系统中，一般普通员工没有审核单据与撤销单据审核的权限，但是，有些系统管理员往往为了管理的方便，给与普通员工跟财务经理同等的操作权利。普通员工可以自己撤销已经审核了的单据。这显然给财务管理系统的安全带来了不少的隐患。

所以，我们要保证企业网络应用的安全性，就一定要坚持“最小权限”的原则，而不能因为管理上的便利，而采取了“最大权限”的原则，从而给企业网络安全埋下了一颗定时炸弹。

原则二：完整性原则

完整性原则指我们在企业网络安全管理中，要确保未经授权的个人不能改变或者删除信

息，尤其要避免未经授权的人改变公司的关键文档，如企业的财务信息、客户联系方式等等。完整性原则在企业网络安全应用中，主要体现在两个方面。

一是未经授权的人，不等更改信息记录。如在企业的ERP系统中，财务部门虽然有对客户信息的访问权利，但是，其没有修改权利。其所需要对某些信息进行更改，如客户的开票地址等等，一般情况下，其必须要通知具体的销售人员，让其进行修改。这主要是为了保证相关信息的修改，必须让这个信息的创始人知道。否则的话，若在记录的创始人不知情的情况下，有员工私自把信息修改了，那么就会造成信息不对称的情况发生。所以，一般在信息化管理系统中，如ERP管理系统中，默认都会有一个权限控制“不允许他人修改、删除记录”。这个权限也就意味着只有记录的本人可以修改相关的信息，其他员工最多只有访问的权利，而没有修改的权利。

二是指若有人修改时，必须要保存修改的历史记录，以便后续查询。在某些情况下，若不允许其他人修改创始人的信息，也有些死板。如采购经理有权对采购员下的采购订单进行修改、作废等操作。遇到这种情况该怎么处理呢?在ERP系统中，可以通过采购变更单处理。也就是说，其他人不能够直接在原始单据上进行内容的修改，其要对采购单进行价格、数量等修改的话，无论是其他人又或者是采购订单的主人，都必须通过采购变更单来解决。这主要是为了记录的修改保留原始记录及变更的过程。当以后发现问题时，可以稽核。若在修改时，不保存原始记录的话，那出现问题时，就没有记录可查。所以，完整性原则的第二个要求就是在变更的时候，需要保留必要的变更日志，以方便我们后续的追踪。

若是针对文件服务器，则完整性就要求文件服务器能够按时点进行恢复。对文件服务器中某个文件进行修改，我们可能很难记录下修改的内容。文件服务器日志最多记录某某时间、某某用户对某个文件夹下的某个文件进行了哪种操作。但是，不会记录下具体操作了什么内容。如把某个文件删除了或者修改了某个文件的内容。此时，我们就需要文件服务器实现按时点进行恢复的功能。当用户发现某个文件被非法修改时，要能够恢复到最近的时刻。当然这个恢复需要针对具体的文件夹甚至是特定的文件，若把文件服务器中所有的文件都恢复了，那其他用户就要叫死了。

总之，完整性原则要求我们在安全管理的工作中，要保证未经授权的人对信息的非法修改，及信息的内容修改最好要保留历史记录。

原则三：速度与控制之间平衡的原则

我们在对信息作了种种限制的时候，必然会对信息的访问速度产生影响。如当采购订单需要变更时，员工不能在原有的单据上直接进行修改，而需要通过采购变更单进行修改等等。这会对工作效率产生一定的影响。这就需要我们对访问速度与安全控制之间找到一个平衡点，或者说是两者之间进行妥协。

为了达到这个平衡的目的，我们可以如此做。

一是把文件信息进行根据安全性进行分级。对一些不怎么重要的信息，我们可以把安全控制的级别降低，从而来提高用户的工作效率。如对于一些信息化管理系统的报表，我们可以设置比较低的权限，如在部门内部员工可以察看各种报表信息，毕竟这只是查询，不会对数据进行修改。

二是尽量在组的级别上进行管理，而不是在用户的级别上进行权限控制。我们试想一下，若公司的文件服务器上有50个员工帐户，若一一为他们设置文件服务器访问权限的话，那么我们的工作量会有多大。所以，此时我们应该利用组的级别上进行权限控制。把具有相同权限的人归类为一组，如一个部门的普通员工就可以归属为一组，如此的话，就可以把用户归属于这个组，我们只需要在组的级别上进行维护，从而到达快速管理与控制的目的。如我们在进行ERP等信息化管理系统的权限管理时，利用组权限控制以及一些例外控制规则，就可以实现对信息的全面安全管理，而且，其管理的效率也会比较高。

三是要慎用临时权限。有时候，可能某个员工需要某个权限，如其需要导出客户基本信息的权限，此时我们该怎么办呢?一般情况下，为了防止客户信息的泄露，我们是不允许用户成批的导出客户信息。但是，有时候出于一些诸如客户信息备档等方面的需要，用户提出这方面权限的申请的时候，我们该如何处理呢?有些人喜欢给他们设置临时权限来解决。我个人不怎么赞成这么处理。因为临时权限比较难于管理，而且，一旦开了这个口的话，下次遇到类似问题的时候，他们就会频繁的申请这些临时权限。我遇到这种情况时，一般就让他们去找有这种权限的人。如普通销售员没有客户信息成批导出的权限，但是，销售经理又这个权限，那么就让销售员告知他们的销售经理，让他们的销售经理帮助其导出。而且如此处理的话，销售经理也知道确实有这么一回事情。若我们盲目的给员工走后门、开绿色通道，那么就会增加数据泄露的风险。

第二篇：企业网络安全管理技术分析

企业网络安全管理技术分析

网络技术的发展，促进了涉密网络技术的应用和人们安全防范意识的增强。各种内外网安全管理的技术也随之增多。加强安全的身份识别，个人行为管理的软件，涉密文件的保护加密软件，为了保护计算机系统而开发的防病毒软件等，已经逐步被人们认识和接受，例如我们熟知的小草上网行为管理软路由能有效对局域网加强监控，内容审计，防止企业信息信息泄露。

但是，这各种应用软件都需要在个人的系统中安装一个管理程序，都有一套自己独立的工作方式和策略，都需要进行不同的分别化管理。这些系统独立性明显，各自的管理功能往往不够全面，以点带面的情况严重。在实际的应用中会产生负效应，比如：不同的软件之间的功能重叠。不同的软件都需要消耗额外的系统资源，导致冲突，引发系统稳定性下降;安全系统各自独立，没有统一的管理方式，出现安全事件的时候不具备联合“作战”的能力。

因此，表面看涉密网络的安全管理软件是实现了一定的防护功能，但是其增加的管理复杂性，又很难保证整体安全性的完整和统一。按照动态安全模式，一个安全系统的信息处理系统应具备：检测、保护，效应这三个基本环节，以此保证系统的独立工作的安全性。总之现代的涉密网络安全管理技术缺乏一个整体性的平台，将各种保护软件进行必要的整合和优化，形成完整的保护及信息处理体系。

涉密网络安全管理，主要的管理对象就是在网络中威胁涉密网络信息安全的用户所采取的“非法”获取数据的行为。这些“非法”主要是指利用技术手段违反安全规则，并以此获得涉密信息。因此要进行安全管理就应当将不安全的用户行为进行分类并进行相应的措施进行管理才能达到保证安全的目的。

首先网络安全涉及的概念有这样几个：(1)涉密网络，即存在有机密数据传输的内部网络。(2)网络行为，即用户通过网络的技术支持所实现的各种操作。(3)安全事件，即违反了某个个网络安全规则，对网络机密数据产生威胁的网络事件，其中包括用户、行为、时间这三个必备的属性。4)安全行为，即针对产生网络威胁安全事件的管理行为。包括的是时间，对象，动作这三个基本属性。

通过对网络安全事件的记录和统计，可以发现违反网络安全规则的行为可以是访问敏感信息，窃听、误用、机密文件传输等。这些行为可以是主动的也可以足被动的，而其具体的行为就是窃听、传输、访问。具体看安全事件的行为有这样几个实例：(1)主动的访问敏感的信息，包括HTTP、BBS、聊天软件等。(2)误用的网络行为，包括误用物理链接。将内外网络连通，木马病毒感染，导致内外信息被盗。(3)网络窃听，主要就是sniff行为。(4)机密文

件的传输，涉密网络中的机密文件被非法的进行传输，包括邮件，聊天软件、ftp文件等。

涉密网络的安全管理系统构建

安全管理硬件结构

针对不同的网络安全事件，涉密信息网络的安全管理应当从几个层面进行全面的安全防护体系的构建。其涉及的网络系统包括，服务器、信息服务系统、数据库服务系统，网络存储器等。

首先，应当明确应用服务器是内网络实现连接和数据传输的重要通道。信息服务器、网络存储、数据服务器与应用服务器相互联系实现涉密信息的封闭式传输。这里的应用服务器采用的服务运算模式，主要是远程接入技术和软件操作系统组成的策略技术为主导，专门负责基于网络封闭计算的应用交互，是具备独立计算模式应用的服务器，也是整个专网涉密信息安全传输的基础。信息服务器和网络存储、数据库服务器都是通过这个服务器所建立起来的通道进行涉密信息的传递，在一个封闭内网环境中接受指定用户对涉密信息的应用请求，分别提供相应的浏览、存储、交互等服务。同时也识别和拒绝某些非法的安全事件的发生，并利用自身的软件系统来抵御主动的安全事件的访问。

安全管理的软件系统构建

(1)操作系统和应用软件。这些软件是最基本的网络访问接入软件，而网络访问应用接入软件可以对操作系统进行深入的访问。为此，安全化管理从操作系统的基本运行机制入手将应用逻辑和操作界面分开，以实现整个内部网络的封闭和安全。

(2)应用程序的完善，应用程序主要是在操作系统的基础上形成的具有特定功能的用于程序，实际上在内部网络是远程接入软件实现功能的对象，即远程接入软件实现连接后，就会使用这些应用程序完成某项操作，而达到访问的目的。

(3)是最高级别的安全管理组件的应用，有：基本安全管理组件;传输监测组件，主要包括网络数据捕获、协议数据还原、敏感信息过滤及结果处理等四个子模块;窃听检测组件，窃听监测安全组件主要包括共享式网络Sniff行为。

安全管理的具体措施

(1)客户端卸载限制，客户端经控制台授权安装，未经授权用户将无法卸载，即卸载程序的存放和发起均在控制端，且客户端的权限为使用权。(2)网络连接限制，即客户端通过控制台分配的IP地址访问内网，且1P地址与客户端对应计算机的MAC地址绑定，做到一个IP地址对应一个MAC地址，从而将计算机进行户籍管理，客户端每次访问内网时均自动与控制台存储的该计算机信息进行核对，既防止了非授权计算机接入内网，又能够在违规事

件发生的第一时间锁定违规计算机，控制或限制其行为。(3)登陆限制，可以采用KEY登陆方式，可以是USB KEY，也可以是密码KEY，也可以将二者绑定，结合使用。设置密码复杂度策略和控制密码输入次数策略，对登陆进行限制。(4)移动存储器限制，移动存储器在使用时应当在控制台上进行注册，并设计其经过控制台的验证方可使用。对没有注册的移动存储器不予以验证而无法使用。同时应保证没有客户端的计算机不能对其进行验证，以此避免客户利益非客户端网络进行数据的转移和下载，保证涉密信息的安全。(5)客户端的硬件限制，客户端用户在计算机上安装的硬件设备可能存在失密隐患，诸如光驱，带蓝牙，红外等无线收发数据的模块。可以通过在控制台配置策略将光驱、蓝牙，红外等接口关闭，策略下发到客户端后即可控制相应端口的使用。以此保证非安全的硬件接入到涉密网络中。

第三篇：网络安全管理

摘 要

随着计算机信息技术时代的飞速发展，计算机技术已经成为我们日常生活中的各种方面不可缺少的。无论是在商业、工业、农业、生活等方面都起着重大的作用，计算机信息技术是我们每个人生活中不可缺少的一部分。计算机网络在为人们提供便利、带来效益的同时，也使人类面临着信息安全的巨大挑战。计算机的广泛应用是我们新时代的通讯工具。由于计算机网络具有联结形式多样性、终端分布不均匀性和网络的开放性、互连性等特征，无论是在局域网还是在广域网中，都存在着自然和人为等诸多因素的潜在威胁，病毒扩散、黑客攻击、网络犯罪等违法事件的数量迅速增长，网络的安全问题越来越严峻。因此，如何提高计算机网络的防御能力，增强网络的安全措施，已成为当前急需解决的问题。否则网络不仅不能发挥其有利的作用，甚至会危及国家、企业及个人的安全。

关键词：计算机技术； 应用技术 网络安全

绪论

计算机网络的普及和网络技术的发展深刻地改变了传统的生产、经营、管理和生活方式，在构建信息防卫系统时，应着力发展自己独特的安全产品，要想真正解决网络安全问题，要从系统的规划上去考虑它，从技术上、产业上、政策上来发展它。网络安全是一个系统的概念，有效的安全策略或方案的制定，是网络信息安全的首要目标。通过运用多种网络安全技术，如数据加密技术、访问控制、认证授权、防火墙、入侵检测和防病毒等来实现信息安全。计算机网络的高速发展带给人类巨大利益的同时，也带来了许多负面的影响，在网络安全体系中，为了弥补 TCP/IP协议等各种安全漏洞，防火墙技术是很常用、很有效的防御系统，是网络安全防护的重要组成部分。

一、网络技术的安全性非常脆弱由于网络技术

本身存在着安全弱点、系统的安全性差、缺乏安全性实践等缺陷，加上一些人为的因素，使得网络信息的安全受到很大威胁。首先，TCP/IP 的协议集就存在安全缺点。由于在每一层，数据存在的方式和遵守的协议各不相同，而这些协议在开始制定时就没有考虑到通信路径的安全性，从而导致了安全漏洞。从纯技术的角度上说，缺乏安全防护设备与管理系统、缺乏通信协议的基本安全机制、基于 HTTP 与FTP 上的应用软件问题以及不够完善的服务程序等都是产生系统安全漏洞的主要原因。其次，由于信息安全还处在初期发展阶段，缺少网络环境下用于产品评价的安全性准则和评价工具。加上许多网络系统管理人员素质不高，缺乏安全意识，当系统安全受到威胁时，缺少应有的安全管理方法、步骤和安全对策，如事故通报、风险评估、改正安全缺陷、评估损失、相应的补救恢复措施等。

二、计算机网络安全面临的威胁影响计算机网络安全的因素很多。

归结起来，主要有 4 个方面： 1自然因素。主要包括自然灾害的破坏，如地震、雷击、洪水及其他不可抗拒的天灾造成的损害。以及因网络及计算机硬件的老化及自然损坏造成的损失。2无意失误。误操作引起文件被删除，磁盘被格式化，或因为网络管理员对网络的设置不当造成的安全漏洞，用户安全意识不强，用户口令选择不慎，用户将自己的帐号随意转借他人或与别人共享等，都会给网络安全带来威胁。3黑客攻击。这是计算机网络所面临的最大威胁。此类攻击又可分为两种：一种是网络攻击，就是以各种方式有选择地破坏对方信息的有效性和完整性；另一种是网络侦察，就是在不影响网络正常工作的情况下，进行截获、窃取、破译以获得对方重要的机密信息。4利用网络软件的漏洞和“后门”进行攻击。软件的“后门”都是软件公司的编程设计人员为了自己方便而设置的，一般不为外人所知，一旦“后门”被洞开，所造成的后果不堪设想。

三、当今网络攻击的手段及发展趋势

1.拒绝服务攻击。攻击的主要目的是使计算机及网络无法提供正常的服务。它会破坏计算机网络的硬件设备，破坏计算机网络的各种配置，消耗计算机及网络中不可再生的资源等。2.欺骗攻击。黑客会利用 TCP/IP 协议本身的缺陷进行攻击，或者进行 DNS 欺骗和 Web 欺骗。

3.通过协同工具进行攻击。各种协同工具使用的增长，可能导致泄漏机密商业数据。4.对移动设备的攻击。2005 年以来，手机、PDA 及其他无线设备感染恶意软件的数量在激增，但因为其不能靠自身传播，所以还没有大规模爆发。但今后仍需要关注它的发展趋势。5.电子邮件攻击。2005 年，英国电子邮件安全公司MessageLabs 每周拦截大约 2 至 3 次有目标的电子邮件攻击，而 2004 年这一数字还小得几乎可以忽略，这标志着网络攻击的性质和目的都发生了转变。这些攻击常常针对政府部门、军事机构及其他大型组织。总而言之，根据攻击能力的组织结构程度和使用的手段，可以将威胁归纳为四种基本类型：无组织结构的内部和外部威胁与有组织结构的内部和外部威胁。

四、网络信息安全的技术保障策略不安全的网络一旦遭到恶意攻击，将会造成巨大的损失。目前，技术措施仍是最直接、最常用和有效的的屏障。技术保障策略主要有如下几种。

1.密码技术。包括加密与解密技术。加密是网络与信息安全保密的重要基础。它是将原文用某种既定方式规则重排、修改，使其变为别人读不懂的密文。解密则是将密文根据原加密方法还原。目前，已成熟的加密方法有很多，如替换加密、移位加密、一次性密码本加密、序列密码等。2.数字签名。对于网络上传输的电子文档，可使用数字签名的方法来实现内容的确认。签名有两个键，一是签名不能被仿照，二是签名必须与相应的信息捆绑在一起。保证该信息就是签名欲确认的对象，以解决伪造、抵赖、冒充和篡改等安全问题。数字签名采用一种数据交换协议，使得收发数据的双方能够满足两个条件：接受方能够鉴别发送方的身份；发送方不能否认他发送过数据这一事实。数据签名一般采用不对称加密技术，发送方对整个明文进行加密变换，得到一个值，将其作为签名。接收者使用发送者的公开密钥对签名进行解密运算，如其结果为明文，则签名有效，证明对方的身份是真实的。3.鉴别。鉴别的目的是验明用户或信息的正身。对实体声称的身份进行惟一识别，以便验证其访问请求，或保证信息来源以验证消息的完整性，有效地对抗非法访问、冒充、重演等威胁。按照鉴别对象的不同，鉴别技术可以分为消息鉴别和通信双方相互鉴别；按照鉴别内容不同，鉴别技术可以分为用户身份鉴别和消息内容鉴别。4.网络访问控制策略。访问控制是网络安全防范和保护的主要策略，主要任务是保证网络资源不被非法使用和访问。一般采用基于资源的集中式控制、基于资源和目的地址的过滤管理以及网络签证等技术来实现。目前进行网络访问控制的方法主要有：MAC 地址过滤VLAN 隔离、IEEE802.1Q 身份验证、基于 IP 地址的访问控制列表和防火墙控制等。

五、网络安全任重道远据国际调查显示，目前有 55的企业网没有自己的安全策略。

仅靠一些简单的安全措施来保障网络安全，这些安全措施可能存在互相分立、互相矛盾、互相重复、各自为战等问题，既无法保障网络的安全可靠，又影响网络的服务性能，并且随着购物运行而对安全措施进行不断的修补，使整个安全系统变得臃肿，难以使用和维护。这些都是迫切需要解决的问题，只有加强网络与信息安全管理，增强安全意识，不断改进和发展网络安全保密技术，才能防范于未然，避免国家、企业或个人的损失。所以，网络安全仍任重道远。

六、企业信息化为管理者提供了一个和员工面对面交流的平台，能具体了解到员工的想法和工作情况，有效的保证了管理的规范化。

1企业通讯运用了计算机网络技术，从而缩短了企业空间距离，实现了各部门“近距离”联系和控制。许多现代企业管理中运用了腾讯通和 OA 系统等一些计算机技术，大大拉近了

公司管理者和员工之间的距离。这种管理不但使公司更加的和谐，还是决策层的决策更加的正确。企业实行这种管理和监控有效的保障了公司的运作，加快了公司的管理结构的优化，甚至是加快管理层次的转变，从而实现企业的扁平化管理。公司会议有传统的人人到场转向现在的视频会议和网络会议，这样不但节约了参与者的时间，还加快了整个企业的运行效率。网络会议正逐渐的代替传统的会议模式成为企业会议主要方式，它的出现不仅为企业节约了成本，还在很大某种程度上促进了企业管理的进步以及提高员工自身素质。随着计算机网络技术的进步，各行各业的企业使用的通讯软件也不断更新，这些软件的作用也日益凸显。快速传递信息的软件使企业各部门间的沟通更加顺畅。2计算机技术能够准确而快速的分析企业信息。对信息的准确把握和分析是企业决策层做出正确决策的可靠依据。企业的规模不断扩大，其内部信息量也会逐步扩大，各层的信息汇集量也会越来越大，而大量的信息需要专门的人员进行管理和分析。传统的信息的汇总和分析都是依靠人力来解决的，但其效率和效果都不能让人满意。此外，通过人力来汇总会导致信息丢失和信息失真，进一步导致企业决策层做出错误决策，给企业带来巨大的经济损失。计算机技术具备运行效率高，计算准确等优点，真好弥补了人为的不足。计算机技术的这些优势真好符合企业对信息的处理。企业信息的收集和处理利用大量计算机技术，将会是企业介绍大量的成本和人力。利用现代信息技术处理信息给企业决策层提高可靠的依据。使决策更加的科学和合理，这也是现代企业健康发展的具体表现。

七、计算机技术在财务工作中的应用

1企业财务数据监控 利用计算机技术，从而保证了企业财务信息的准确性。企业的核心部门就是财务系统，其对企业起着着重要的作用，财务系统的数据准确性将直接关系到企业的决策和发展方向。转贴 计算机技术的集成性能对企业的财务数据进行全面监控，从而决策层能够随时的获取正确的财务数据，并能做出正确科学的决策。2企业的财务分析 运用计算机技术，从而保证了企业财务分析的合理性和准确性。计算技术利用其自身的逻辑性，用于财务分析，为企业提供科学的分析数据和分析结果，实现财务分析数据的科学化，避免人工误差，帮助企业朝着正确的方向健康发展。

八、计算机技术在企业运营方面的应用

1计算机技术的集成性使得企业人力管理更加安全和顺畅。企业的人力资本是企业发展的核心资本因而备受企业关注，计算机技术通过集成人力管理的各个模块，实现人力的动态管理和数据化分析，保证企业可以及时得到企业人力的状况和前景分析，提高企业对于人才的预警能力和风险防范能力，从而使得决策层可以快速做出反应，保障企业人力安全。计算机技术在人力资本管理上的应用还表现在其先进的信息收集系统，可以为企业收集和储备大量的备用人才，在企业发展过程中不断为企业提供强有力的人才保障和人力资本输入。企业人力资源部门可以利用计算机技术大规模的减少工作量，从而减少人力管理成本，实现企业利润的最大化和企业人力资本储备的最大化以及人力资本运用的科学化。在人力成本核算上，计算机技术可以集成财务与人力的双重功效，实现资源和信息的共享，从而提高企业的运作效率，提高人力决策的准确性和科学性。2计算机技术为企业采购及物流储运提供有序的保障。企业的采购及物流储运系统需要顺畅的流程和密切的协同才能发挥其作用，为企业发展提供强有力的保障。计算机技术通过各类系统集成，可以实现采购、储运、物流的最优化配置，实现效益的最大化和成本的最低化，从而在保障企业产品供应的前提下，实现利润最大化。科学的计算机技术在运营调配中起着以往人力无法达到的作用，强大的运算能力保障了其作为调配中心的作用，安全快速的调配方案保证了企业在高速发展的同时降低自身成本，获得客户认同。

结束语

计算机信息管理技术是新时代的管理系统，计算机信息管理的应用事首要的出发点，也是我们生活的不可缺的。计算机信息管理专业具有知识覆盖面广的特点，对学生素质的要求绝不仅仅局限于技术层面。随着我们社会经济生活的发展，不断提高计算机的管理应用水平，应采用各种有效的创新方法技术来提高计算机在生活中的工作效益。在建立现代化发展的社会进程中，在新的经济和管理环境中，为使计算机信息管理技术在我们的工作生活中发挥其应有的作用，有必要对其进行不断的创新，进行改革，完善激励机制，才能促进计算机信息管理的实施和发展。

第四篇：加强网络安全管理

加强网络安全管理提升网络应用效率

马王堆中学近年来的改造、扩建工程，为学校的腾飞奠定了基础。这几年，我校校园网建设飞速发展，各种硬软件设备配套齐全，学校于2005年成功申报长沙市现代教育技术实验学校，2006年又获得了湖南省现代教育技术实验学校称号，马王堆中学已成为一所全新的现代教育技术实验学校。有了这样良好的条件，怎样加强网络安全管理使之发挥最大效率，为教育教学搞好服务，成为了学校行政和网络管理员共同面对和思考的问题。基如上述思考，我们做了下列几方面工作：

1、积极支持网管员工作，妥善处理好网络安全问题。

因特网的迅速发展，给我们的教育教学工作提供了许多方便，但学校网络毕竟与家庭电脑存在着很大的差异。如果没有一套完善的上网制度，将会出现很多麻烦，甚者将导致整个校园网瘫痪。因此，我校领导和网管员经过认真讨论研究，加强了校园网使用权限的管理，每位老师必须用自己的姓名和密码登陆电脑，网管员对每位老师上网作了一定权限的限制，例如，不能修改电脑的设置，不能安装软件，不能上在线游戏等。一开始，老师们不能理解接受这些限制，也不支持网管员的工作，经常为此事，网管员和老师们之间产生矛盾。但学校领导亲自带头执行规定，并且在教职工大会上多次做解说工作，反复强调校园网络的特殊性和网络安全的重要性。使老师们认识到校园网是一个有机的系统，如果任由大家随便下载安装软件，玩网络游戏等，势必给网络管理员的工作带来很大的麻

烦，给学校网络安全使用带来隐患。学校提倡健康上网，绿色上网，有序上网。经过一段时间的磨合，全体教职工适用且乐意地接收了这些限制，并积极配合网管员对校园网进行维护，老师们在使用电脑时自己能查毒杀毒，学校网管员也定时在周一、周三、周五中午对校园网统一杀毒。

2、用差异化管理做好网络资源共享工作。

要保存个人资料，我们都会想到使用“U“盘，但我校教职工除此外还有其他方法，把资料保存在学校校园网上。我校100多位教职工人人都有一个文件夹，需要保存的资料都可以存储在里面，不但自己可以查看，别人也可以参考，但只有本人才有权限进行提交和修改。学校行政人员有专用资料文件夹，教育处、教务处、教研室、也有各处室的文件夹，这些特殊的文件夹只有相关人才能打开，其它与该处室无关的老师不能进入。这样既保证了资源的共享，又保证了资源的私密。还有，我校各备课组的课件整理得相当好，网管员授权各备课组长，只有他们才有修改该备课组下的课件资料的权利，其他老师只可以运用这些资料，这样为我校的教育教学提供了许多方便。上述使用方法既方便了教师资源的备份和共享，又有效地防止了计算机病毒的破坏。

3、加强培训，强调应用，促进全体教职工网络技术水平的提高 从2005年校园网的建立起，我校就注重教师信息技术水平的培训工作，网管员利用周三、周四的下午对全体教职员工进行上网技巧的培训，先后举办专题培训达20多次，现在我校计算机高级证获得率为应拥有人数的100%。在加强信息技术培训的同时，强调对多

媒体设备和校园网的应用，到现在为止，日常课堂使用多媒体课件进行辅助教学达到70%以上，85 %以上的教师都会制作和修改课件，现代教育技术设备不是摆设，真正成为了教师提高教育教学的有效工具。

上述介绍，仅仅是我校校园网管理和应用方面的一些尝试，还有很多不尽人意的地方，还需要进一步完善，欢迎各位多提出宝贵意见，我们一定虚心听取。让我们一起携手，加强研究和探讨，为芙蓉区城域网和各校校园网更趋成熟和日臻完善而努力。

芙蓉区马王堆中学

2007-12-20

第五篇：企业网络安全方案设计

信息安全课程设计

企业网络安全方案的设计企业网络安全方案设计

摘 要：在这个信息技术飞速发展的时代，许多有远见的企业都认识到很有必要依托先进的IT技术构建企业自身的业务和运营平台来极大地提升企业的核心竞争力，使企业在残酷的竞争环境中脱颖而出。经营管理对计算机应用系统的依赖性增强，计算机应用系统对网络的依赖性增强。计算机网络规模不断扩大，网络结构日益复杂。计算机网络和计算机应用系统的正常运行对网络安全提出了更高的要求。本文主要通过安全体系建设原则、实例化的企业整体网络安全方案以及该方案的组织和实施等方面的阐述，为企业提供一个可靠地、完整的方案。

关键词： 信息安全、企业网络安全、安全防护

一、引言

随着国内计算机和网络技术的迅猛发展和广泛普及，企业经营活动的各种业务系统都立足于Internet/Intranet环境中。但随之而来的安全问题也在困扰着用户。Internet所具有的开放性、国际性和自由性在增加应用自由度的同时，对安全提出了更高的要求。一旦网络系统安全受到严重威胁，甚至处于瘫痪状态，将会给企业、社会、乃至整个国家带来巨大的经济损失。应此如何使企业信息网络系统免受黑客和病毒的入侵，已成为信息事业健康发展所要考虑的重要事情之一。

一般企业网络的应用系统，主要有WEB、E-mail、OA、MIS、财务系统、人事系统等。而且随着企业的发展，网络体系结构也会变得越来越复杂，应用系统也会越来越多。但从整个网络系统的管理上来看，通常包括内部用户，也有外部用户，以及内外网之间。因此，一般整个企业的网络系统存在三个方面的安全问题：

（1）Internet的安全性：随着互联网的发展，网络安全事件层出不穷。近年来，计算机病毒传播、蠕虫攻击、垃圾邮件泛滥、敏感信息泄露等已成为影响最为广泛的安全威胁。对于企业级用户，每当遭遇这些威胁时，往往会造成数据破坏、系统异常、网络瘫痪、信息失窃，工作效率下降，直接或间接的经济损失也很大。

（2）企业内网的安全性：最新调查显示，在受调查的企业中60%以上的员信息安全课程设计

企业网络安全方案的设计工利用网络处理私人事务。对网络的不正当使用，降低了生产率、阻碍电脑网络、消耗企业网络资源、并引入病毒和间谍，或者使得不法员工可以通过网络泄漏企业机密，从而导致企业数千万美金的损失。所以企业内部的网络安全同样需要重视，存在的安全隐患主要有未授权访问、破坏数据完整性、拒绝服务攻击、计算机病毒传播、缺乏完整的安全策略、缺乏监控和防范技术手段、缺乏有效的手段来评估网络系统和操作系统的安全性、缺乏自动化的集中数据备份及灾难恢复措施等。

（3）内部网络之间、内外网络之间的连接安全：随着企业的发展壮大及移动办公的普及，逐渐形成了企业总部、各地分支机构、移动办公人员这样的新型互动运营模式。怎么处理总部与分支机构、移动办公人员的信息共享安全，既要保证信息的及时共享，又要防止机密的泄漏已经成为企业成长过程中不得不考虑的问题。各地机构与总部之间的网络连接安全直接影响企业的高效运作。

二、以某公司为例，综合型企业网络简图如下，分析现状并分析需求：

信息安全课程设计

企业网络安全方案的设计

图说明 图一 企业网络简图

对该公司的信息安全系统无论在总体构成、信息安全产品的功能和性能上也都可能存在一定的缺陷，具体表现在：

（1）系统性不强，安全防护仅限于网络安全，系统、应用和数据的安全存在较大的风险。

（2）原有的网络安全产品在功能和性能上都不能适应新的形势，存在一定的网络安全隐患，产品亟待升级。

（3）经营管理对计算机应用系统的依赖性增强，计算机应用系统对网络的依赖性增强。计算机网络规模不断扩大，网络结构日益复杂。计算机网络和计算机应用系统的正常运行对网络安全提出了更高的要求。

（4）计算机应用系统涉及越来越多的企业关键数据，这些数据大多集中在公司总部数据中心，因此有必要加强各计算机应用系统的用户管理和身份的认证，加强对数据的备份，并运用技术手段，提高数据的机密性、完整性和可用性。

由以上分析可知该公司信息系统存在较大的风险，信息安全的需求主要体现在如下几点：

（1）某公司信息系统不仅需要安全可靠的计算机网络，也需要做好系统、应用、数据各方面的安全防护。为此，要加强安全防护的整体布局，扩大安全防护的覆盖面，增加新的安全防护手段。

（2）网络规模的扩大和复杂性的增加，以及新的攻击手段的不断出现，使某公司计算机网络安全面临更大的挑战，原有的产品进行升级或重新部署。（3）信息安全工作日益增强的重要性和复杂性对安全管理提出了更高的要求，为此要加快规章制度和技术规范的建设，使安全防范的各项工作都能够有序、规范地进行。

（4）信息安全防范是一个动态循环的过程，如何利用专业公司的安全服务，做好事前、事中和事后的各项防范工作，应对不断出现的各种安全威胁，也是某公司面临的重要课题。

三、设计原则

安全体系建设应按照“统一规划、统筹安排、统一标准、分步实施”的原则进行，避免重复投入、重复建设，充分考虑整体和局部的利益。具体如下： 1.标准化原则 信息安全课程设计

企业网络安全方案的设计2.系统化原则 3.规避风险原则 4.保护投资原则 5.多重保护原则 6.分步实施原则

四、企业网络安全解决方案的思路

1.安全系统架构

安全方案必须架构在科学网络安全系统架构之上，因为安全架构是安全方案设计和分析的基础。

随着针对应用层的攻击越来越多、威胁越来越大，只针对网络层以下的安全解决方案已经不足以应付来自应用层的攻击了。举个简单的例子，那些携带着后门程序的蠕虫病毒是简单的防火墙VPN安全体系所无法对付的。因此我们建议企业采用立体多层次的安全系统架构。这种多层次的安全体系不仅要求在网络边界设置防火墙VPN，还要设置针对网络病毒和垃圾邮件等应用层攻击的防护措施，将应用层的防护放在网络边缘，这种主动防护可将攻击内容完全阻挡在企业内部网之外。2.安全防护体系

信息安全防范应做整体的考虑，全面覆盖信息系统的各层次，针对网络、系统、应用、数据做全面的防范。信息安全防范体系模型显示安全防范是一个动态的过程，事前、事中和事后的技术手段应当完备，安全管理应贯穿安全防范活动的始终。如图二所示：

图说明 图二 网络与信息安全防范体系模型 信息安全课程设计

企业网络安全方案的设计3.企业网络安全结构图

通过以上分析可得总体安全结构应实现大致如图三所示的功能:

图说明 图三

总体安全结构图

五、整体网络安全方案

1.网络安全认证平台

证书认证系统无论是企业内部的信息网络还是外部的网络平台，都必须建立在一个安全可信的网络之上。目前，解决这些安全问题的最佳方案当数应用PKI/CA数字认证服务。PKI(Public Key Infrastructure，公钥基础设施)是利用公开密钥理论和技术建立起来的提供在线身份认证的安全体系，它从技术上解决了网上身份认证、信息完整性和抗抵赖等安全问题，为网络应用提供可靠的安全保障，向用户提供完整的PKI/CA数字认证服务。通过建设证书认证中心系统，建立一个完善的网络安全认证平台，能够通过这个安全平台实现以下目标：

1）身份认证(Authentication)：确认通信双方的身份，要求通信双方的身份不能被假冒或伪装，在此体系中通过数字证书来确认对方的身份。信息安全课程设计

企业网络安全方案的设计

2）数据的机密性(Confidentiality)：对敏感信息进行加密，确保信息不被泄露，在此体系中利用数字证书加密来完成。

3）数据的完整性(Integrity)：确保通信信息不被破坏(截断或篡改)，通过哈希函数和数字签名来完成。

4）不可抵赖性(Non-Repudiation)：防止通信对方否认自己的行为，确保通信方对自己的行为承认和负责，通过数字签名来完成，数字签名可作为法律证据。2.VPN系统

VPN(Virtual Private Network)虚拟专用网，是将物理分布在不同地点的网络通过公用骨干网(如Internet)连接而成的逻辑上的虚拟专用网。和传统的物理方式相比，具有降低成本及维护费用、易于扩展、数据传输的高安全性。

通过安装部署VPN系统，可以为企业构建虚拟专用网络提供了一整套安全的解决方案。它利用开放性网络作为信息传输的媒体，通过加密、认证、封装以及密钥交换技术在公网上开辟一条隧道，使得合法的用户可以安全的访问企业的私有数据，用以代替专线方式，实现移动用户、远程LAN的安全连接。

集中的安全策略管理可以对整个VPN网络的安全策略进行集中管理和配置。

3.网络防火墙

采用防火墙系统实现对内部网和广域网进行隔离保护。对内部网络中服务器子网通过单独的防火墙设备进行防护。其网络结构一般如下：

图说明 图四 防火墙

此外在实际中可以增加入侵检测系统，作为防火墙的功能互补，提供对监控信息安全课程设计

企业网络安全方案的设计网段的攻击的实时报警和积极响应等功能。4.病毒防护系统

应强化病毒防护系统的应用策略和管理策略，增强勤业网络的病毒防护功能。这里我们可以选择瑞星网络版杀毒软件企业版。瑞星网络杀毒软件是一个专门针对网络病毒传播特点开发的网络防病毒软件，通过瑞星网络防病毒体系在网络内客户端和服务器上建立反病毒系统，并且可以实现防病毒体系的统一、集中管理，实时掌握、了解当前网络内计算机病毒事件，并实现对网络内的所有计算机远程反病毒策略设置和安全操作。5.对服务器的保护

在一个企业中对服务器的保护也是至关重要的。在这里我们选择电子邮件为例来说明对服务器保护的重要性。

电子邮件是Internet上出现最早的应用之一。随着网络的快速发展，电子邮件的使用日益广泛，成为人们交流的重要工具，大量的敏感信息随之在网络上传播。然而由于网络的开放性和邮件协议自身的缺点，电子邮件存在着很大的安全隐患。

目前广泛应用的电子邮件客户端软件如 OUTLOOK 支持S/MIME(Secure Multipurpose Internet Mail Extensions)，它是从 PEM(Privacy Enhanced Mail)和 MIME(Internet 邮件的附件标准)发展而来的。首先，它的认证机制依赖于层次结构的证书认证机构，所有下一级的组织和个人的证书由上一级的组织负责认证，而最上一级的组织(根证书)之间相互认证，整个信任关系基本是树状的。其次，S/MIME 将信件内容加密签名后作为特殊的附件传送。保证了信件内容的安全性。下图五是邮件系统保护的简图（透明方式）: 信息安全课程设计

企业网络安全方案的设计

图说明

图五

邮件系统保护 6.关键网段保护

企业中有的网段上传送的数据、信息是非常重要的，应此对外应是保密的。所以这些网段我们也应给予特别的防护。简图如下图六所示。

图说明

图六

关键网段的防护 7.日志分析和统计报表能力

对网络内的安全事件也应都作出详细的日志记录，这些日志记录包括事件名称、描述和相应的主机IP地址等相关信息。此外，报表系统还应自动生成各种形式的攻击统计报表，形式包括日报表，月报表，年报表等，通过来源分析，目信息安全课程设计

企业网络安全方案的设计标分析，类别分析等多种分析方式，以直观、清晰的方式从总体上分析网络上发生的各种事件，有助于管理人员提高网络的安全管理。8.内部网络行为的管理和监控

除对外的防护外，对网络内的上网行为也应该进行规范，并监控上网行为，过滤网页访问，过滤邮件，限制上网聊天行为，阻止不正当文件的下载。企业内部用户上网信息识别度应达到每一个URL请求和每一个URL请求的回应。通过对网络内部网络行为的监控可以规范网络内部的上网行为，提高工作效率，同时避免企业内部产生网络安全隐患。因此对于桌面微机的管理和监控是减少和消除内部威胁的有效手段。

桌面安全系统把电子签章、文件加密应用和安全登录以及相应的智能卡管理工具集成到一起，形成一个整体，是针对客户端安全的整体解决方案。分别有以下几种系统：

1)电子签章系统

利用非对称密钥体系保证了文档的完整性和不可抵赖性。采用组件技术，可以无缝嵌入OFFICE系统，用户可以在编辑文档后对文档进行签章，或是打开文档时验证文档的完整性和查看文档的作者。

2)安全登录系统

安全登录系统提供了对系统和网络登录的身份认证。使用后，只有具有指定智能密码钥匙的人才可以登录计算机和网络。用户如果需要离开计算机，只需拔出智能密码钥匙，即可锁定计算机。

3)文件加密系统

文件加密应用系统保证了数据的安全存储。由于密钥保存在智能密码钥匙中，加密算法采用国际标准安全算法或国家密码管理机构指定安全算法，从而保证了存储数据的安全性。

则内网综合保护简图如下图七所示： 信息安全课程设计

企业网络安全方案的设计

图说明

图七

内网综合保护 9.移动用户管理系统

对于企业内部的笔记本电脑在外工作，当要接入内部网也应进行安全控制，确保笔记本设备的安全性。有效防止病毒或黑客程序被携带进内网。10.身份认证的解决方案

身份认证是指计算机及网络系统确认操作者身份的过程。基于PKI的身份认证方式是近几年发展起来的一种方便、安全的身份认证技术。它采用软硬件相结合、一次一密的强双因子认证模式，很好地解决了安全性与易用性之间的矛盾。USB Key是一种USB接口的硬件设备，它内置单片机或智能卡芯片，可以存储用户的密钥或数字证书，利用USB Key内置的密码算法实现对用户身份的认证。

基于PKI的USB Key的解决方案不仅可以提供身份认证的功能，还可构建用户集中管理与认证系统、应用安全组件、客户端安全组件和证书管理系统通过一定的层次关系和逻辑联系构成的综合性安全技术体系，从而实现上述身份证、授权与访问控制、安全审计、数据的机密性、完整性、抗抵赖性的总体要求。

六、方案的组织与实施方式

由以上的分析及设计，可知网络与信息安全防范体系流程主要由三大部分组成：攻击前的防范、攻击过程中的防范和攻击后的应对。具体的安全管理贯穿全信息安全课程设计

企业网络安全方案的设计流程图，如图八所示。安全管理贯穿全流程图不仅描述了安全防范的动态过程，也为本方案的实施提供了借鉴。

图说明

图八 安全管理贯穿全流程图

因此在本方案的组织和实施中，除了工程的实施外，还应重视以下各项工作：

(1)在初步进行风险分析基础上，方案实施方应进行进一步的风险评估，明确需求所在，务求有的放矢，确保技术方案的针对性和投资的回报。

(2)把应急响应和事故恢复作为技术方案的一部分，必要时可借助专业公司的安全服务，提高应对重大安全事件的能力。

(3)该方案投资大，覆盖范围广，根据实际情况，可采取分地区、分阶段实施的方式。

（4）在方案实施的同时，加强规章制度、技术规范的建设，使信息安全的日常工作进一步制度化、规范化。

七、总结

本设计以某公司为例，分析了网络安全现状，指出目前存在的风险，随后提出了一整套完整的解决方案，涵盖了各个方面，从技术手段的改进，到规章制度的完善；从单机系统的安全加固，到整体网络的安全管理。也希望通过本方案的信息安全课程设计

企业网络安全方案的设计实施，可以建立较完善的信息安全体系，有效地防范信息系统来自各方面的攻击和威胁，把风险降到最低水平。