時(shí)間：2022-11-13 09:47:29
緒論：在尋找寫(xiě)作靈感嗎？愛(ài)發(fā)表網(wǎng)為您精選了8篇信息安全調(diào)查報(bào)告，愿這些內(nèi)容能夠啟迪您的思維，激發(fā)您的創(chuàng)作熱情，歡迎您的閱讀與分享！
根據(jù)市人民政府辦公室《關(guān)于開(kāi)展政府信息系統(tǒng)安全的檢查的通知》(天政電[2010]52號(hào))文件精神。我鎮(zhèn)對(duì)本鎮(zhèn)信息系統(tǒng)安全情況進(jìn)行了自查，現(xiàn)匯報(bào)如下：
一、自查情況
(一)安全制度落實(shí)情況
1、成立了安全小組。明確了信息安全的主管領(lǐng)導(dǎo)和具體負(fù)責(zé)管護(hù)人員,安全小組為管理機(jī)構(gòu)。
2、建立了信息安全責(zé)任制。按責(zé)任規(guī)定:保密小組對(duì)信息安全負(fù)首責(zé)，主管領(lǐng)導(dǎo)負(fù)總責(zé)，具體管理人負(fù)主責(zé)。
3、制定了計(jì)算機(jī)及網(wǎng)絡(luò)的保密管理制度。鎮(zhèn)網(wǎng)站的信息管護(hù)人員負(fù)責(zé)保密管理，密碼管理，對(duì)計(jì)算機(jī)享有獨(dú)立使用權(quán)，計(jì)算機(jī)的用戶名和開(kāi)機(jī)密碼為其專有，且規(guī)定嚴(yán)禁外泄。
(二)安全防范措施落實(shí)情況
1、計(jì)算機(jī)經(jīng)過(guò)了保密技術(shù)檢查，并安裝了防火墻。同時(shí)配置安裝了專業(yè)殺毒軟件，加強(qiáng)了在防篡改、防病毒、防攻擊、防癱瘓、防泄密等方面有效性。
2、計(jì)算機(jī)都設(shè)有開(kāi)機(jī)密碼，由專人保管負(fù)責(zé)。同時(shí)，計(jì)算機(jī)相互共享之間沒(méi)有嚴(yán)格的身份認(rèn)證和訪問(wèn)控制。
3、網(wǎng)絡(luò)終端沒(méi)有違規(guī)上國(guó)際互聯(lián)網(wǎng)及其他的信息網(wǎng)的現(xiàn)象，沒(méi)有安裝無(wú)線網(wǎng)絡(luò)等。
4、安裝了針對(duì)移動(dòng)存儲(chǔ)設(shè)備的專業(yè)殺毒軟件。
(三)應(yīng)急響應(yīng)機(jī)制建設(shè)情況
1、制定了初步應(yīng)急預(yù)案，并隨著信息化程度的深入，結(jié)合我鎮(zhèn)實(shí)際，處于不斷完善階段。
2、堅(jiān)持和計(jì)算機(jī)系統(tǒng)定點(diǎn)維修單位聯(lián)系機(jī)關(guān)計(jì)算機(jī)維修事宜，并商定其給予鎮(zhèn)應(yīng)急技術(shù)以最大程度的支持。
3、嚴(yán)格文件的收發(fā)，完善了清點(diǎn)、修理、編號(hào)、簽收制度，并要求信息管理員每天下班前進(jìn)行系統(tǒng)備份。
(四)信息技術(shù)產(chǎn)品和服務(wù)國(guó)產(chǎn)化情況
1、終端計(jì)算機(jī)的保密系統(tǒng)和防火墻、殺毒軟件等，皆為國(guó)產(chǎn)產(chǎn)品。
2、公文處理軟件具體使用金山軟件的wps系統(tǒng)。
3、工資系統(tǒng)、年報(bào)系統(tǒng)等皆為市政府、市委統(tǒng)一指定產(chǎn)品系統(tǒng)。
(五)安全教育培訓(xùn)情況
1、派專人參加了市政府組織的網(wǎng)絡(luò)系統(tǒng)安全知識(shí)培訓(xùn)，并專門(mén)負(fù)責(zé)我鎮(zhèn)的網(wǎng)絡(luò)安全管理和信息安全工作。
2、安全小組組織了一次對(duì)基本的信息安全常識(shí)的學(xué)習(xí)活動(dòng)。
二、自查中發(fā)現(xiàn)的不足和整改意見(jiàn)
根據(jù)《通知》中的具體要求，在自查過(guò)程中我們也發(fā)現(xiàn)了一些不足，同時(shí)結(jié)合我鎮(zhèn)實(shí)際，今后要在以下幾個(gè)方面進(jìn)行整改。
1、安全意識(shí)不夠。要繼續(xù)加強(qiáng)對(duì)機(jī)關(guān)干部的安全意識(shí)教育，提高做好安全工作的主動(dòng)性和自覺(jué)性。
2、設(shè)備維護(hù)、更新及時(shí)。要加大對(duì)線路、系統(tǒng)等的及時(shí)維護(hù)和保養(yǎng)，同時(shí)，針對(duì)信息技術(shù)的飛快發(fā)展的特點(diǎn)，要加大更新力度。
金融信息化是一個(gè)熱點(diǎn)話題，關(guān)系金融行業(yè)的穩(wěn)定性和發(fā)展。所謂金融信息化，是構(gòu)建在由通信網(wǎng)絡(luò)、計(jì)算機(jī)、信息資源和人力資源等四要素組成的國(guó)家信息基礎(chǔ)框架之上，由具有統(tǒng)一技術(shù)標(biāo)準(zhǔn)，能以不同速率傳送數(shù)據(jù)、語(yǔ)音、圖形圖像、視頻影像的綜合信息網(wǎng)絡(luò)，將具備智能交換和增值服務(wù)的多種以計(jì)算機(jī)為主的金融信息系統(tǒng)互連在一起，創(chuàng)造金融經(jīng)營(yíng)、管理、服務(wù)新模式的長(zhǎng)期系統(tǒng)工程。
當(dāng)今世界經(jīng)濟(jì)全球化趨勢(shì)日益明顯，經(jīng)濟(jì)全球化，首先是信息全球化，隨著人類社會(huì)進(jìn)入信息時(shí)代，金融信息化進(jìn)程加快，因特網(wǎng)在信息全球化中扮演著非常重要的角色。通信、計(jì)算機(jī)技術(shù)等高科技手段在銀行業(yè)廣泛運(yùn)用，外資銀行大舉進(jìn)入，網(wǎng)絡(luò)銀行迅速發(fā)展，給人們帶來(lái)方便的同時(shí)，利用信息網(wǎng)絡(luò)技術(shù)犯罪也在迅速增長(zhǎng)。曾幾何時(shí)，銀行存折和信用卡明明在自己手里，銀行支票和印章明明鎖在保險(xiǎn)柜里，計(jì)算機(jī)操作密碼慎之又慎，賬戶上的存款卻不翼而飛。
安全是金融信息系統(tǒng)的生命。在金融信息系統(tǒng)日益發(fā)展，信息越來(lái)越向上集中，規(guī)模越來(lái)越大，金融業(yè)對(duì)它的依賴性不斷增加的同時(shí)，金融信息化系統(tǒng)安全的重要性也與日俱增。它關(guān)系到金融機(jī)構(gòu)的生存和經(jīng)營(yíng)的成敗，所以，應(yīng)把金融信息化系統(tǒng)的安全視同資金的安全一樣作是金融機(jī)構(gòu)的生命。金融信息系統(tǒng)的安全不僅是金融行業(yè)本身的問(wèn)題，它與我國(guó)的經(jīng)濟(jì)安全、社會(huì)安全和國(guó)家安全緊密相連，是保障金融業(yè)穩(wěn)定發(fā)展、增強(qiáng)競(jìng)爭(zhēng)力和生存能力的重要組成部分，金融信息系統(tǒng)的安全已成為我國(guó)金融信息化建設(shè)中具有戰(zhàn)略意義的關(guān)鍵問(wèn)題。
鑒于金融信息化安全的重要性，對(duì)陽(yáng)泉市農(nóng)村信用社信息化建設(shè)進(jìn)行了初步調(diào)查，發(fā)現(xiàn)存在以下幾方面的安全問(wèn)題：
(1)內(nèi)網(wǎng)與外網(wǎng)沒(méi)有安全隔離。
目前，我們的業(yè)務(wù)網(wǎng)絡(luò)與外網(wǎng)沒(méi)有完全隔離，并未采取有效的安全措施、運(yùn)行業(yè)務(wù)系統(tǒng)的計(jì)算機(jī)在沒(méi)有相應(yīng)安全措施的情況下與外網(wǎng)進(jìn)行連接。
(2)一些拓展服務(wù)沒(méi)有相應(yīng)的安全保障措施。
我們的一些拓展服務(wù)，沒(méi)有相應(yīng)的安全措施。如網(wǎng)上對(duì)賬系統(tǒng)，服務(wù)器運(yùn)行于外網(wǎng)環(huán)境中，沒(méi)有相應(yīng)的安全措施，那么可能造成客戶信息的泄密;對(duì)賬系統(tǒng)運(yùn)行于HTTP協(xié)議下，此協(xié)議不具備數(shù)據(jù)加密等要求，同樣在數(shù)據(jù)傳輸中可能造成客戶信息的泄密。
(3)員工信息化安全意識(shí)淡薄。
員工對(duì)業(yè)務(wù)系統(tǒng)、計(jì)算機(jī)密碼的設(shè)置、保管、更換沒(méi)有引起高度的重視。很多人的密碼較簡(jiǎn)單，還有很多人的密碼為系統(tǒng)預(yù)設(shè)密碼。
(4)計(jì)算機(jī)外設(shè)的使用沒(méi)有安全保障措施。
對(duì)于大多數(shù)的計(jì)算機(jī)外設(shè)的使用，我們沒(méi)有相應(yīng)的安全制度和措施。外設(shè)的隨意使用，可能造成我們信息的泄密，如：移動(dòng)硬盤(pán)。
針對(duì)以上問(wèn)題，經(jīng)過(guò)分析研究，覺(jué)得以下幾方面的措施，可以有力的保障信息安全：
(1) 內(nèi)網(wǎng)與外網(wǎng)進(jìn)行有效隔離。
針對(duì)內(nèi)網(wǎng)與外網(wǎng)有效隔離，可以采取運(yùn)行內(nèi)網(wǎng)業(yè)務(wù)計(jì)算機(jī)上安裝殺毒軟件、防火墻，并及時(shí)更新病毒庫(kù)、定時(shí)查殺;對(duì)計(jì)算機(jī)進(jìn)行定期掃描系統(tǒng)及應(yīng)用漏洞;避免安裝未知軟件，軟件均由內(nèi)網(wǎng)FTP服務(wù)器下載;外網(wǎng)出口架設(shè)硬件防火墻，并配置訪問(wèn)控制列表，防止計(jì)算機(jī)被攻擊、下馬。
(2) 拓展業(yè)務(wù)采取安全保障措施。
對(duì)于拓展業(yè)務(wù)采取相應(yīng)的安全保障措施。接入外網(wǎng)的服務(wù)器，安裝殺毒軟件、防火墻，并及時(shí)更新病毒庫(kù)、定時(shí)查殺;進(jìn)行定期掃描系統(tǒng)及應(yīng)用漏洞;禁止安裝非業(yè)務(wù)相關(guān)軟件;外網(wǎng)出口架設(shè)硬件防火墻，并配置訪問(wèn)控制列表，除業(yè)務(wù)應(yīng)用外所有端口封閉;WEB應(yīng)用采用安全的傳輸模式，如HTTPS，制作訪問(wèn)證書(shū)，并對(duì)相應(yīng)客戶頒發(fā)相應(yīng)的訪問(wèn)證書(shū)，否則無(wú)法訪問(wèn)到業(yè)務(wù)服務(wù)器，并對(duì)證書(shū)進(jìn)行定期撤銷、更新;修改應(yīng)用及數(shù)據(jù)庫(kù)常用端口、避免端口被掃描及攻擊;WEB應(yīng)用的用戶名密碼采取MD5方式加密，該加密方式為不可逆，防止客戶用戶名與密碼被竊取;
(3)加強(qiáng)員工信息安全培訓(xùn)。
分批、分級(jí)對(duì)員工進(jìn)行信息安全培訓(xùn)，加強(qiáng)員工對(duì)信息安全的重視程度、培養(yǎng)信息安全方面的基礎(chǔ)知識(shí)。
2016年11月29日，普華永道2017年全球信息安全狀況調(diào)查報(bào)告（以下簡(jiǎn)稱“調(diào)查”）。此次調(diào)查是2016年4月至6月由普華永道和CIO與CSO雜志聯(lián)合在互聯(lián)網(wǎng)上開(kāi)展的全球范圍調(diào)查研究。調(diào)研對(duì)象來(lái)自CIO和CSO雜志的讀者與普華永道的客戶群體，涵蓋133個(gè)國(guó)家，其中超過(guò)10，000份調(diào)研來(lái)自CEO（首席執(zhí)行官）、CFO（首席財(cái)務(wù)官）、CIO（首席信息官）、CISO（首席信息安全官）、CSO（首席安全官）、VP（副總裁）以及IT與安全總監(jiān)，48%的受訪企業(yè)年收益超過(guò)5億美元。
調(diào)查顯示，在過(guò)去12個(gè)月中，中國(guó)內(nèi)地及香港企業(yè)檢測(cè)到的信息安全事件平均數(shù)量高達(dá)2，577起，是前次調(diào)查記錄的兩倍，較2014年更是攀升969%。
同時(shí)，調(diào)查發(fā)現(xiàn)，在過(guò)去一年中，全球各行業(yè)檢測(cè)到的信息安全事件平均數(shù)量有所下降，為4，782起，比2014年減少3%。
中國(guó)受訪企業(yè)在信息安全方面的投資預(yù)算比去年削減了7.6%。值得注意的是，88%的中國(guó)受訪企業(yè)認(rèn)為，他們?cè)谛畔踩系耐度胧艿搅藬?shù)字化的影響，而投入的重點(diǎn)主要集中在那些與企業(yè)自身的商業(yè)戰(zhàn)略及安全監(jiān)管相匹配的網(wǎng)絡(luò)安全方面。此外，31.5%的中國(guó)受訪企業(yè)表示其有意在人工智能、機(jī)器學(xué)習(xí)等先進(jìn)安全技術(shù)領(lǐng)域進(jìn)行投資。
對(duì)此，普華永道中國(guó)網(wǎng)絡(luò)安全與隱私保護(hù)服務(wù)合伙人冼嘉樂(lè)認(rèn)為，“國(guó)內(nèi)一些有前瞻性的企業(yè)已經(jīng)在調(diào)整信息安全的投資方向，通過(guò)加大對(duì)先進(jìn)網(wǎng)絡(luò)信息安全技術(shù)的投入，來(lái)明確并加強(qiáng)其獨(dú)有的商業(yè)價(jià)值，為業(yè)務(wù)增長(zhǎng)保駕護(hù)航?！?/p>
根據(jù)調(diào)查反饋，針對(duì)信息安全事件的攻擊途徑，49%的中國(guó)內(nèi)地及香港受訪者表示，網(wǎng)絡(luò)釣魚(yú)欺詐是主要手段，而商務(wù)郵件首先成為重災(zāi)區(qū)。44%的中國(guó)受訪企業(yè)認(rèn)為，內(nèi)部原因是網(wǎng)絡(luò)安全的最大威脅。同時(shí)，商業(yè)競(jìng)爭(zhēng)對(duì)手也是不可忽視的因素。34%的中國(guó)受訪企業(yè)將攻擊歸因于競(jìng)爭(zhēng)對(duì)手，高于全球數(shù)值（23%）。
在商業(yè)機(jī)會(huì)和風(fēng)險(xiǎn)不斷演變的大環(huán)境中，如何加強(qiáng)物聯(lián)網(wǎng)中各個(gè)連接設(shè)備的網(wǎng)絡(luò)安全，如何利用云科技來(lái)部署企業(yè)敏感職能已成為企業(yè)探索的主要方向。本期調(diào)查顯示，57%的中國(guó)內(nèi)地及香港受訪企業(yè)正在對(duì)物聯(lián)網(wǎng)安全策略進(jìn)行投資（全球?yàn)?6%），并且已有約45%的IT系統(tǒng)是基于云技術(shù)運(yùn)行的（全球?yàn)?8%）。
與此同時(shí)，根據(jù)調(diào)查反饋，75%的中國(guó)內(nèi)地及香港受訪企業(yè)在使用開(kāi)源軟件（全球?yàn)?3%）。受訪企業(yè)認(rèn)為安全管理服務(wù)和開(kāi)源軟件能夠有效提升企業(yè)信息安全水平。
冼嘉樂(lè)表示，企業(yè)在信息安全方面，應(yīng)當(dāng)重視員工的信息安全意識(shí)培訓(xùn)，同時(shí)做好企業(yè)數(shù)據(jù)的分類工作、對(duì)數(shù)據(jù)分類進(jìn)行風(fēng)險(xiǎn)評(píng)估，并按照級(jí)別對(duì)信息采取相應(yīng)的保護(hù)措施；采用科技數(shù)據(jù)保護(hù)方案是十分必要的；企業(yè)應(yīng)該加強(qiáng)信息安全的管理，并提高對(duì)受訪者身份的識(shí)別能力。
根據(jù)BSA|軟件聯(lián)盟的一項(xiàng)調(diào)查顯示，全球范圍內(nèi)，每7分鐘就有一家企業(yè)遭到惡意攻擊。而根據(jù)普華永道的一項(xiàng)調(diào)查，2015年在中國(guó)內(nèi)地和香港企業(yè)監(jiān)測(cè)到的信息安全事件比2014年上升了5倍之多。僅在2015年，網(wǎng)絡(luò)攻擊給全球經(jīng)濟(jì)造成損失超過(guò)4000億美元，同時(shí)，超過(guò)4910億美元用于解決與非授權(quán)軟件相關(guān)的惡意軟件問(wèn)題；全球31%的高管表示他們的品牌或聲譽(yù)因?yàn)榘踩录艿綋p害。而在這些觸目驚心的數(shù)字中，金融等關(guān)鍵行業(yè)更是重點(diǎn)攻擊和侵?jǐn)_目標(biāo)。
軟件資產(chǎn)管理（SAM）：超互聯(lián)時(shí)代信息安全的重要防線
超互聯(lián)環(huán)境下，信息安全建設(shè)是一個(gè)巨大的系統(tǒng)工程，需要整體調(diào)研、布局、部署、實(shí)施與維護(hù)，步步為營(yíng)，方能將威脅與漏洞拒之于外。而在這個(gè)巨大的系統(tǒng)工程中，軟件資產(chǎn)管理（SAM）占據(jù)著極其重要地位。
但實(shí)際上，不少企業(yè)并沒(méi)有高度重視這自我檢查和管理的過(guò)程，導(dǎo)致企業(yè)信息系統(tǒng)面臨病毒和網(wǎng)絡(luò)攻擊等各種安全隱患。據(jù)BSA|軟件聯(lián)盟今年5月的一個(gè)軟件調(diào)查報(bào)告顯示，在全球所有已經(jīng)安裝的軟件當(dāng)中，39%的軟件沒(méi)有經(jīng)過(guò)授權(quán)，而在金融、證券、保險(xiǎn)等關(guān)鍵行業(yè)中，高達(dá)25%的軟件未經(jīng)過(guò)授權(quán)；全球49%的CIO意識(shí)到安全威脅來(lái)自于未經(jīng)許可的軟件，但是僅35%的企業(yè)制定了相關(guān)的書(shū)面政策。
對(duì)于金融證券業(yè)來(lái)說(shuō)，如果不能合理有效的管理軟件資產(chǎn)，不能確保網(wǎng)絡(luò)中運(yùn)行的軟件100%合法或已經(jīng)得到充分授權(quán)，無(wú)疑于是“引狼入室”般的行為――雖然金融證券業(yè)的正版軟件使用率一直領(lǐng)先于各行業(yè)，但25%的缺漏仍是讓人觸目驚心：這25%的背后更代表著軟件資產(chǎn)管理的巨大缺失與不足。當(dāng)企業(yè)無(wú)法對(duì)與自身核心業(yè)務(wù)水融的軟件資產(chǎn)實(shí)現(xiàn)100%正版化時(shí)，這說(shuō)明企業(yè)未能完全了解自身所面臨的各種安全風(fēng)險(xiǎn)，更未從軟件的采購(gòu)、授權(quán)、部署、維護(hù)到回收的全生命周期管理著手，未雨綢繆，未能將這種風(fēng)險(xiǎn)防范于未然。
如何筑就網(wǎng)絡(luò)安全的重要防線
一般來(lái)說(shuō)，僅需四步即可初步創(chuàng)建一個(gè)有效的軟件資產(chǎn)管理體系：
首先，需要對(duì)企業(yè)現(xiàn)有軟件資產(chǎn)進(jìn)行審計(jì)，對(duì)所有的軟件及其合法性了然在胸，并確認(rèn)這些軟件是否應(yīng)該安裝，所有用戶是否都擁有適當(dāng)許可。
第二步即是確定企業(yè)需要什么樣的軟件資產(chǎn)，這是對(duì)未來(lái)軟件資產(chǎn)布局的一個(gè)瞻望與部署。在了解企業(yè)已擁有什么樣的軟件資產(chǎn)之后，需要預(yù)測(cè)未來(lái)的需求，從這樣的執(zhí)行步驟中，或能發(fā)現(xiàn)可能的成本節(jié)約途徑，并更好地利用軟件許可協(xié)議中的維護(hù)條款。
第三步是制定健全的軟件政策和管理流程，涵蓋企業(yè)的IT前沿與核心部分，從采購(gòu)流程開(kāi)始，管理軟件資產(chǎn)的全生命周期。
而最后一步則是讓軟件資產(chǎn)管理成為企業(yè)的一個(gè)工作流程，必須監(jiān)控并確保企業(yè)始終遵守自己的軟件政策，并對(duì)員工開(kāi)展持續(xù)的培訓(xùn)。
針對(duì)網(wǎng)絡(luò)營(yíng)銷中存在的一些問(wèn)題，不僅要從技術(shù)手段上進(jìn)行防止，更要從法律上面進(jìn)行建設(shè)。市場(chǎng)的健康有序的發(fā)展和運(yùn)行需要一個(gè)良好的法制環(huán)境。我國(guó)目前在網(wǎng)絡(luò)營(yíng)銷和交易上的立法還較薄弱，法律的不完善是制約我國(guó)網(wǎng)絡(luò)營(yíng)銷的一大瓶頸。因此應(yīng)盡快完善立法，建立有序的網(wǎng)絡(luò)市場(chǎng)。
加強(qiáng)信息安全的立法，制定相應(yīng)的法律、法規(guī)打擊利用網(wǎng)絡(luò)技術(shù)手段收集、竊取企業(yè)和個(gè)人信息，并利用這些信息進(jìn)行非法牟利的行為。完善經(jīng)濟(jì)合同法，保護(hù)企業(yè)和消費(fèi)者的交易行為，避免消費(fèi)欺詐的發(fā)生。加強(qiáng)知識(shí)產(chǎn)權(quán)保護(hù)的立法，保護(hù)個(gè)人和企業(yè)的信息權(quán)益和無(wú)形的資產(chǎn)，規(guī)范網(wǎng)絡(luò)信息收集、加工、行為，以消除網(wǎng)絡(luò)營(yíng)銷中虛假、泛濫、冗余的信息。
(二)建立信息可靠性級(jí)別
針對(duì)網(wǎng)絡(luò)營(yíng)銷中存在大量虛假和失效信息的現(xiàn)象，可以通過(guò)建立信息可靠性級(jí)別的認(rèn)定和審查的制度。規(guī)范企業(yè)和個(gè)人信息的行為，用以增強(qiáng)消費(fèi)者對(duì)網(wǎng)絡(luò)信息的信心。對(duì)能夠真實(shí)、有效信息的企業(yè)和個(gè)人進(jìn)行肯定，以提高企業(yè)信息和維護(hù)的質(zhì)量。組織行業(yè)協(xié)會(huì)，定期網(wǎng)上商家信息的可靠程度情況，就好像酒店的星級(jí)評(píng)比，有一個(gè)統(tǒng)一的標(biāo)準(zhǔn)，這樣就在很大程度上，減少了消費(fèi)者對(duì)不可靠信息的擔(dān)憂。
同時(shí)建立虛假信息的舉報(bào)和監(jiān)督機(jī)制，依靠廣大網(wǎng)民的力量建立網(wǎng)絡(luò)信息秩序。在從事網(wǎng)絡(luò)銷售的網(wǎng)站上通常商品評(píng)論，商品評(píng)論給了消費(fèi)者充分的話語(yǔ)權(quán)，加強(qiáng)了消費(fèi)者與企業(yè)之間的互動(dòng)，有助于用戶選擇商品。CNNIC的調(diào)查表明目前超過(guò)一半的網(wǎng)購(gòu)用戶表示買(mǎi)每種商品前都會(huì)看相關(guān)商品評(píng)論，已有近8成的網(wǎng)購(gòu)網(wǎng)民買(mǎi)大多數(shù)商品前都會(huì)看看商品評(píng)論。購(gòu)物網(wǎng)站的商品評(píng)論管理良好與否會(huì)成為影響網(wǎng)民購(gòu)物的重要因素。目前已有部分購(gòu)物網(wǎng)站非常重視商品評(píng)論，采取了各種措施鼓勵(lì)網(wǎng)民發(fā)表商品評(píng)論。可見(jiàn)采取群眾監(jiān)督的方式能夠有效規(guī)范企業(yè)的信息行為，提高信息的可靠性。
(三)提高產(chǎn)品和服務(wù)的信息化程度
網(wǎng)絡(luò)營(yíng)銷的優(yōu)勢(shì)歸根到底是信息傳遞、處理上的優(yōu)勢(shì)?；ヂ?lián)網(wǎng)的虛擬性使得消費(fèi)者在購(gòu)買(mǎi)行為發(fā)生前無(wú)法像傳統(tǒng)的交易行為那樣對(duì)產(chǎn)品和服務(wù)以及提品和服務(wù)的企業(yè)和個(gè)人有一個(gè)完整的認(rèn)識(shí)。因此企業(yè)在網(wǎng)絡(luò)營(yíng)銷中應(yīng)盡可能運(yùn)用各種技術(shù)手段增加產(chǎn)品和服務(wù)的信息量，從而增加消費(fèi)者對(duì)產(chǎn)品及服務(wù)的認(rèn)識(shí)，提高消費(fèi)者對(duì)產(chǎn)品和服務(wù)的認(rèn)同度，減少消費(fèi)者對(duì)產(chǎn)品和服務(wù)的歧義，進(jìn)而提高消費(fèi)者的滿意度。
(四)加強(qiáng)企業(yè)品牌建設(shè)
摘 要 企業(yè)信息化程度發(fā)展到一定水平，從防火墻、入侵檢測(cè)等安全硬件到文檔防泄密、行為管理等安全軟件，技術(shù)上都比較成熟且大部分企業(yè)都已實(shí)施部分安全項(xiàng)目。但實(shí)施安全項(xiàng)目之后并不是高枕無(wú)憂，管理是否到位及企業(yè)員工安全意識(shí)成為企業(yè)信息安全的短板，如何從管理角度提高企業(yè)的信息安全水平，已成為一個(gè)重要的課題。
關(guān)鍵詞 信息安全；管理；意識(shí)
中圖分類號(hào)TP39 文獻(xiàn)標(biāo)識(shí)碼A 文章編號(hào) 1674-6708（2012）70-0171-02
從安全軟硬件出發(fā)，大多安全實(shí)施廠家已有較成熟的方案，一旦項(xiàng)目實(shí)施完成后，企業(yè)往往容易忽略人員意識(shí)、IT審計(jì)、后續(xù)管理等因素對(duì)信息安全的影響。本文就如何解決企業(yè)信息安全短板，從管理角度進(jìn)行探討。
1 管理安全的含義和IT審計(jì)的特點(diǎn)
從大的方面來(lái)說(shuō)，信息安全是指信息網(wǎng)絡(luò)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)受到保護(hù)，不受偶然的或者惡意的原因而遭到破壞、更改、泄露，系統(tǒng)連續(xù)可靠正常地運(yùn)行，信息服務(wù)不中斷。直接反映到企業(yè)來(lái)說(shuō)，就是要通過(guò)實(shí)施一整套適當(dāng)?shù)目刂拼胧?shí)現(xiàn)企業(yè)各業(yè)務(wù)系統(tǒng)正常運(yùn)行，確保安全目標(biāo)的實(shí)現(xiàn)。本文從管理角度探討企業(yè)的信息安全，可以簡(jiǎn)稱為管理安全，它是指建立并有效落實(shí)企業(yè)規(guī)章制度、安全管理規(guī)定等，來(lái)保證系統(tǒng)安全生存與運(yùn)行。
企業(yè)安全管理的規(guī)章制度是否運(yùn)行有效直接關(guān)系到企業(yè)安全目標(biāo)能否保障，在此管理過(guò)程中需要引入IT審計(jì)。IT審計(jì)重點(diǎn)內(nèi)容之一就是發(fā)現(xiàn)信息系統(tǒng)的潛在風(fēng)險(xiǎn)，可以說(shuō)企業(yè)信息中心對(duì)潛在的IT風(fēng)險(xiǎn)是比較重視的。IT審計(jì)相對(duì)技術(shù)而言，更多側(cè)重于管理，比如在安全策略方面更側(cè)重于訪問(wèn)授權(quán)的控制，以及定期核查是否按相關(guān)信息化制度辦事，還有就是有無(wú)進(jìn)行過(guò)適當(dāng)?shù)臐B透去檢驗(yàn)系統(tǒng)的可靠性等。實(shí)施IT審計(jì)能夠提高企業(yè)信息系統(tǒng)的安全性，能夠客觀評(píng)價(jià)信息系統(tǒng)安全現(xiàn)狀。
2 從管理角度看企業(yè)中存在的主要信息安全威脅
1）企業(yè)日常信息化管理中，會(huì)碰到以下一些現(xiàn)象，如：明知計(jì)算機(jī)病毒無(wú)孔不入，卻不安裝殺毒軟件；個(gè)人認(rèn)證的物品（如員工門(mén)禁卡）隨意借用他人；進(jìn)入門(mén)禁系統(tǒng)之后，對(duì)他人尾隨不理不問(wèn)；移動(dòng)存儲(chǔ)介質(zhì)外借他人，卻不知可能造成感染病毒或泄密；打印服務(wù)器、掃描服務(wù)器等公用電腦臨時(shí)存放許多信息卻不刪除。
從上述現(xiàn)象中可以得知，企業(yè)員工信息安全意識(shí)淡薄會(huì)產(chǎn)生較多安全漏洞。據(jù)《2011年度中國(guó)企業(yè)員工信息安全意識(shí)調(diào)查報(bào)告》顯示，30%的受訪者從來(lái)沒(méi)有接受過(guò)信息安全培訓(xùn)，只有30%的企業(yè)會(huì)進(jìn)行定期的信息安全培訓(xùn)[1]；
2）企業(yè)信息安全項(xiàng)目做的深度是與企業(yè)信息化發(fā)展水平相關(guān)的，一般企業(yè)會(huì)根據(jù)本身的信息化水平發(fā)展程度分步驟進(jìn)行。企業(yè)初始階段會(huì)通過(guò)封USB端口，不配置光驅(qū)等形式防止電子文檔傳播至外界。現(xiàn)階段已有部分企業(yè)關(guān)注電子文檔防泄密的軟件，同時(shí)配以相應(yīng)的制度，從一定程度上能達(dá)到預(yù)期的效果。項(xiàng)目實(shí)施后往往會(huì)發(fā)現(xiàn)效果難以保持，因?yàn)槠髽I(yè)缺少相關(guān)的信息安全審計(jì)人員，在審計(jì)工作不到位的情況下，安全軟件的審計(jì)功能無(wú)法體現(xiàn)其價(jià)值；
3）企業(yè)通過(guò)安全軟件對(duì)電子文檔進(jìn)行管理，在實(shí)物管理方面缺乏措施。辦公室文印區(qū)域是企業(yè)信息泄密的源頭之一，外單位人員進(jìn)入企業(yè)進(jìn)行交流時(shí)，通常會(huì)經(jīng)過(guò)辦公室文印區(qū)域，員工打印文件后如不及時(shí)拿取，容易將技術(shù)資料留在在打印機(jī)上，給有心之人獲取，容易造成泄密。計(jì)算機(jī)、筆記本等辦公設(shè)備故障外移送修，送修前未經(jīng)過(guò)審核批準(zhǔn)，不對(duì)硬盤(pán)做處理，上述這些日常辦公現(xiàn)象存在著信息安全漏洞[2]。
3 信息安全短板的對(duì)策措施——強(qiáng)管理
盡管企業(yè)防火墻、防毒墻等安全硬件設(shè)施或安全軟件都較齊全，但是采取恰當(dāng)?shù)墓芾泶胧┮材苡行У奶岣咝畔踩?，最終有效地保護(hù)企業(yè)信息資產(chǎn)。本文總結(jié)了以下幾種管理方法并加以說(shuō)明。
1）提高員工安全意識(shí)，關(guān)鍵是做好培訓(xùn)。一方面企業(yè)信息中心要組織好講師及培訓(xùn)素材。培訓(xùn)素材可結(jié)合生活中的信息安全案例或者通過(guò)動(dòng)畫(huà)情景介紹等較生動(dòng)的方式，寓教于樂(lè)，讓每個(gè)企業(yè)員工明白數(shù)據(jù)等無(wú)形資產(chǎn)的重要性，理解數(shù)據(jù)信息安全是企業(yè)的生存發(fā)展壯大的法寶。在培訓(xùn)方式上，可采用循序漸進(jìn)的培訓(xùn)方式，不急于求全，可從最基本的啟用標(biāo)準(zhǔn)的計(jì)算機(jī)密碼（如大小寫(xiě)字母+數(shù)字）、離開(kāi)座位時(shí)使用屏保等開(kāi)始培養(yǎng)。后續(xù)可陸續(xù)完善公司規(guī)章制度，同時(shí)認(rèn)真落實(shí)，要讓員工真正懂得防止泄密的辦法；
2）通過(guò)IT審計(jì)嚴(yán)把信息安全管理關(guān)。企業(yè)做好IT審計(jì)，從以下幾方面入手：一方面是人才培養(yǎng)，企業(yè)審計(jì)部門(mén)需要引入類似IT審計(jì)師的角色，盡管現(xiàn)階段大部分中小企業(yè)未能做到這一點(diǎn)，但可參照國(guó)際上通用的認(rèn)證培訓(xùn)——國(guó)際信息系統(tǒng)審計(jì)師，把企業(yè)信息管理人員送出外培，提高兼職型IT審計(jì)人員的技術(shù)水平及能力；另一方面是IT審計(jì)人員職責(zé)要明確，從實(shí)踐上看，IT審計(jì)人員工作內(nèi)容包括查看企業(yè)人員是否按照已有的規(guī)章制度進(jìn)行審批手續(xù)、定期將審計(jì)報(bào)表反饋給高層，監(jiān)督整改落實(shí)的情況及效果驗(yàn)證，使企業(yè)自上而下重視信息安全管理；
3）讓安全軟件的審計(jì)功能發(fā)揮作用。市場(chǎng)上的電子文檔防泄密系統(tǒng)提供日志審計(jì)功能。日志系統(tǒng)主要用來(lái)跟蹤和記錄用戶對(duì)受控文件的操作、記錄管理員設(shè)定的策略和操作。企業(yè)系統(tǒng)管理員要對(duì)文件日志、部門(mén)日志、計(jì)算機(jī)日志、申請(qǐng)審批日志等進(jìn)行定期檢查，同時(shí)發(fā)揮IT審計(jì)人員的監(jiān)督作用，才可讓安全軟件的審計(jì)記錄發(fā)揮作用；
4）利用刷卡認(rèn)證方式管理文檔輸出。辦公類信息安全管理方面，涉及到各類業(yè)務(wù)系統(tǒng)的賬戶管理、文檔輸出管理、存儲(chǔ)設(shè)備管理等。現(xiàn)有企業(yè)一般是通過(guò)制度約束，但效果不明顯，這里結(jié)合新的管理方式對(duì)文檔輸出管理進(jìn)行說(shuō)明。一般我們不會(huì)一直等在打印機(jī)旁，沒(méi)有把打印好的資料及時(shí)拿走。而所打印的資料大多是技術(shù)圖紙、商務(wù)合同、計(jì)劃等資料，讓人不經(jīng)意地看到相關(guān)內(nèi)容及敏感信息。要減少因遺忘而將已輸出的文檔滯留在文印設(shè)備上，可結(jié)合IC刷卡認(rèn)證的方式，企業(yè)通過(guò)為文印設(shè)備配備一些讀卡器，只有當(dāng)刷員工卡時(shí)，文檔才從文印設(shè)備輸出，員工可即刻拿走。
總之，企業(yè)信息安全是一個(gè)多點(diǎn)因素的難題，涉及技術(shù)、管理、應(yīng)用等方面，隨著企業(yè)信息化的發(fā)展，各類信息系統(tǒng)及軟件資產(chǎn)不斷增多，從管理角度保障信息安全，增強(qiáng)企業(yè)員工安全意識(shí)，成為企業(yè)成長(zhǎng)的重中之重。
參考文獻(xiàn)
中小企業(yè)數(shù)量和信息化的程度越高，尾巴就越長(zhǎng)；針對(duì)中小企業(yè)的攻擊越多，尾巴的厚度也就越大。
簡(jiǎn)單來(lái)講，安全中的長(zhǎng)尾現(xiàn)象是由信息安全攻守雙方的交錯(cuò)制衡而產(chǎn)生的，具體表現(xiàn)有兩個(gè)：安全風(fēng)險(xiǎn)長(zhǎng)尾和安全市場(chǎng)長(zhǎng)尾。
安全風(fēng)險(xiǎn)長(zhǎng)尾
2011年工信部的《“十二五”中小企業(yè)的成長(zhǎng)規(guī)劃》中表明，到2010年末我國(guó)的中小企業(yè)數(shù)量是1100萬(wàn)家，如果再加上個(gè)體工商戶，總共會(huì)達(dá)到4500萬(wàn)家，這些中小企業(yè)在國(guó)家的國(guó)民生產(chǎn)總值，包括就業(yè)崗位累計(jì)起來(lái)已經(jīng)超過(guò)了大型企業(yè)。另?yè)?jù)CNNIC的調(diào)查報(bào)告，中小企業(yè)使用計(jì)算機(jī)的比例在90%以上，使用互聯(lián)網(wǎng)的比例在85%以上。而這些中小企業(yè)目前的信息安全防范手段非常薄弱。國(guó)內(nèi)曾經(jīng)有一家公司做過(guò)調(diào)查，問(wèn)中小企業(yè)安裝企業(yè)級(jí)殺毒軟件的比例有多少？調(diào)查結(jié)果是只有20%的中小企業(yè)用了企業(yè)級(jí)的殺毒軟件。而企業(yè)殺毒軟件僅僅是企業(yè)安全防御最基本的一種，由此可見(jiàn)國(guó)內(nèi)中小企業(yè)的安全防范水平非常低下，導(dǎo)致了廣泛存在的安全風(fēng)險(xiǎn)。
簡(jiǎn)單講，中小企業(yè)面臨的風(fēng)險(xiǎn)有三種：第一、顯性風(fēng)險(xiǎn)，指安全問(wèn)題會(huì)導(dǎo)致這個(gè)企業(yè)發(fā)生的直接損失，包括經(jīng)濟(jì)損失、名譽(yù)受損等。第二、隱性風(fēng)險(xiǎn)，指由于產(chǎn)業(yè)鏈條上不同企業(yè)具有的安全問(wèn)題給鏈條之上其它企業(yè)帶來(lái)的安全風(fēng)險(xiǎn)。第三、社會(huì)風(fēng)險(xiǎn)，是指由于中小企業(yè)自身的計(jì)算機(jī)等設(shè)備被黑客控制后可能對(duì)社會(huì)造成的潛在風(fēng)險(xiǎn)。如果我們按照風(fēng)險(xiǎn)大小作為縱軸，將企業(yè)按照規(guī)模大小排列在橫軸上，因?yàn)樵谥袊?guó)的中小企業(yè)數(shù)量非常巨大，所以橫軸就會(huì)非常長(zhǎng)，并且形成了一個(gè)風(fēng)險(xiǎn)的長(zhǎng)尾。中小企業(yè)數(shù)量和信息化的程度越高，尾巴就越長(zhǎng)；針對(duì)中小企業(yè)的攻擊越多，尾巴的厚度也就越大，而這些就是目前的趨勢(shì)。我們有理由相信，位于長(zhǎng)尾部分的中小企業(yè)的安全風(fēng)險(xiǎn)隨著目前這種趨勢(shì)會(huì)越來(lái)越大，甚至累加起來(lái)的總和會(huì)超過(guò)大型企業(yè)的累積風(fēng)險(xiǎn)。如果針對(duì)這部分安全風(fēng)險(xiǎn)長(zhǎng)尾我們沒(méi)有進(jìn)行適當(dāng)?shù)目刂?，它?duì)我們整個(gè)國(guó)家的社會(huì)環(huán)境和經(jīng)濟(jì)環(huán)境就可能會(huì)造成直接影響。
2011年CNCERT中國(guó)網(wǎng)絡(luò)安全狀況報(bào)告，表示經(jīng)抽樣調(diào)查發(fā)現(xiàn)在中國(guó)網(wǎng)絡(luò)中有890萬(wàn)臺(tái)計(jì)算機(jī)是僵尸計(jì)算機(jī)，就是已經(jīng)被人惡意控制了。2012年，CDN廠商Akamai全球互聯(lián)網(wǎng)狀況分析報(bào)告，表示全球網(wǎng)絡(luò)攻擊來(lái)源地區(qū)第一名是中國(guó)。來(lái)源于中國(guó)的攻擊未必是中國(guó)人在背后操控，但是這樣會(huì)給人一種印象，認(rèn)為中國(guó)的互聯(lián)網(wǎng)環(huán)境是不安全的。
安全市場(chǎng)長(zhǎng)尾
既然中小企業(yè)數(shù)量這么大、風(fēng)險(xiǎn)這么高，那么為什么他們沒(méi)有實(shí)現(xiàn)有效的信息安全防護(hù)呢？其主要原因非常簡(jiǎn)單，第一是沒(méi)有錢(qián)，第二是沒(méi)有人。即使企業(yè)規(guī)模很小，按照傳統(tǒng)的建設(shè)方式，企業(yè)也往往要一次性投入幾萬(wàn)、幾十萬(wàn)才可能建立相對(duì)完備的信息安全體系。此外，信息安全維護(hù)需要緊跟安全威脅的趨勢(shì)，但是中小企業(yè)很難有合適的安全技術(shù)人才對(duì)這些安全產(chǎn)品進(jìn)行維護(hù)。中小企業(yè)自身沒(méi)有條件，那么安全廠商為什么不把這個(gè)目標(biāo)瞄準(zhǔn)這幾千萬(wàn)家中小企業(yè)這個(gè)非常巨大的市場(chǎng)呢？作為一個(gè)安全廠商或安全集成商，給企業(yè)提供安全的產(chǎn)品和服務(wù)是有成本曲線的，包括推廣成本、銷售成本、運(yùn)營(yíng)成本。這些成本不隨著中小企業(yè)服務(wù)對(duì)象規(guī)模的縮小而降低為零，這個(gè)成本是相對(duì)固定的，而且在一定程度下會(huì)超過(guò)目標(biāo)企業(yè)的預(yù)算。成本曲線和企業(yè)的預(yù)算曲線有一個(gè)交叉點(diǎn)，這個(gè)交叉點(diǎn)右側(cè)這部分對(duì)于安全從業(yè)者來(lái)講就無(wú)利可圖了。
下面，我們分析為什么我們可以利用云安全服務(wù)這種新興的安全建設(shè)方式來(lái)解決這個(gè)問(wèn)題，將眾多中小企業(yè)原來(lái)由于成本問(wèn)題而制約的需求釋放出來(lái)，形成一個(gè)新的安全長(zhǎng)尾市場(chǎng)。首先從用戶投資角度分析，他們只需要按需租用云安全服務(wù)，而且可以根據(jù)公司規(guī)模進(jìn)行彈性地租用。從用戶維護(hù)來(lái)講，是不需要企業(yè)客戶來(lái)費(fèi)心的，基本所有維護(hù)都是由云安全服務(wù)商進(jìn)行，這樣，困擾中小企業(yè)的錢(qián)和人的問(wèn)題就解決了。從云安全服務(wù)商來(lái)講，采用SaaS這種模式的安全服務(wù)非常類似于互聯(lián)網(wǎng)產(chǎn)品，它的渠道建設(shè)、銷售、服務(wù)等都可以采用在線的方式，因此成本曲線會(huì)下降，從而降低到了中小企業(yè)客戶可以承擔(dān)的程度，這樣就形成了一個(gè)巨大的新的安全市場(chǎng)。
目前越來(lái)越多的安全廠商和服務(wù)商開(kāi)始在云安全服務(wù)市場(chǎng)發(fā)力。McAfee在全球聯(lián)合很多運(yùn)營(yíng)商和服務(wù)合作伙伴企業(yè)提供多種類型的云安全服務(wù)，在這個(gè)領(lǐng)域具有超過(guò)十年的經(jīng)驗(yàn)，在中國(guó)也聯(lián)合國(guó)內(nèi)的合作伙伴落地了部分云安全服務(wù)。之前數(shù)月內(nèi)，中國(guó)電信安全服務(wù)中心了網(wǎng)站保護(hù)“安全云服務(wù)”，進(jìn)入了這個(gè)廣闊的市場(chǎng)。安全行業(yè)先驅(qū)、原Netscreen創(chuàng)始人鄧峰先生投資了云安全服務(wù)企業(yè)安全寶，為這個(gè)市場(chǎng)添加了濃墨重彩的一筆。
最近一項(xiàng)旨在調(diào)查評(píng)估SMB市場(chǎng) 的《2008年中國(guó)企業(yè)信息安全現(xiàn)狀調(diào)查報(bào)告》指出，如何確保Windows平臺(tái)安全和最大限度地降低IT風(fēng)險(xiǎn)已經(jīng)成為企業(yè)必須真接面對(duì)的問(wèn)題。但是更多有關(guān)中小企業(yè)信息安全的白皮書(shū)卻指出，防范機(jī)制往往比加密技術(shù)本身更重要，常用來(lái)佐證的觀點(diǎn)包括“企業(yè)信息安全隱患的重心由防范外網(wǎng)攻擊轉(zhuǎn)向防范內(nèi)部泄密”，以及“以大量資金購(gòu)置防火墻、防病毒等安全產(chǎn)品只是在企業(yè)信息化初期給予安全一定保障?！?/p>
一種比較激進(jìn)的觀點(diǎn)認(rèn)為，內(nèi)網(wǎng)安全已經(jīng)成為信息安全的主要威脅，“現(xiàn)有的IT技術(shù)難以控制員工在操作權(quán)限內(nèi)對(duì)電子文檔的修改”以及“拷貝和打印不留痕跡”都成為泄密的主要通道。最著名的一個(gè)例子來(lái)自摩根斯坦利亞太區(qū)前任首席經(jīng)濟(jì)學(xué)家謝國(guó)忠的離職事件，評(píng)價(jià)新加坡腐敗的郵件沒(méi)有通過(guò)電子渠道向外傳送，而是采取了打印后帶出公司散布的做法，最終導(dǎo)致了對(duì)摩根公司聲譽(yù)的國(guó)際影響以及謝本人的黯然離職。
在軍事情報(bào)部門(mén)，很多國(guó)家采用這樣的做法：在所有的復(fù)印機(jī)上加密。加密后的復(fù)印機(jī)有各自的編號(hào)，影印出來(lái)的文件上會(huì)出現(xiàn)該部門(mén)名稱及復(fù)印機(jī)編號(hào)，一旦文件外泄，憑借這些編號(hào)就可以很容易地查出外泄密件的出處。
這種衍生于電子政務(wù)、從復(fù)印和打印出口進(jìn)行安全控制，已經(jīng)成為被重視的一種信息安全手段。就職于日立(.cn)與北京工業(yè)大學(xué)()合資公司的一位工程師表示，這也是其研發(fā)團(tuán)隊(duì)正在致力于推出的新產(chǎn)品：“針對(duì)打印文件的各種威脅實(shí)現(xiàn)切實(shí)的安全對(duì)策，比如在拷貝檢測(cè)的同時(shí)，可以得知文件在打印輸出時(shí)嵌入的信息以及打印出的文件在被不正當(dāng)改寫(xiě)或添加時(shí)也能被檢測(cè)出?！贝致钥瓷先?，名為“證書(shū)衛(wèi)士”的這款安全產(chǎn)品并沒(méi)有太過(guò)出奇之處，不過(guò)“安全的要點(diǎn)是實(shí)用”，日立北工大信息系統(tǒng)的總經(jīng)理郭慶栓則表示，“類似的產(chǎn)品在日本早有應(yīng)用，這是日立公共系統(tǒng)的打印安全軟件進(jìn)行本土化開(kāi)發(fā)后的中文軟件?！?/p>
