企业安全标准化信息系统 [浅谈企业信息系统的安全管理]

　　摘要：随着信息技术的高速发展，企业对信息系统的依赖性也越来越强，铁路多元经营领域也不例外。该文根据企业信息系统的组成、特点及现状，将其安全管理分为硬件安全、网络安全、软件安全、数据安全、机房安全、管理安全等多个方面。对于每个方面，都提出了常见的安全管理措施。其中，管理安全可谓重中之重，更须引起重视。
　　关键词：信息系统；安全；管理
　　中图分类号：TP393文献标识码：A文章编号：1009-3044(2012)17-4081-04
　　信息系统是由计算机硬件、网络、软件、数据库，以及各种信息资源、用户、管理制度等组成的人机一体化系统，涉及计算机、通信、管理等多个专业领域。当前，随着信息技术的高速发展，信息系统已逐步融入到企业生产经营的各个环节，并在其中起着越来越重要的作用。同时，企业对信息系统的依赖性也越来越强，铁路多元经营领域也不例外。可以说，很多铁路多经、集经企业的日常经营已离不开信息系统的支持。
　　然而，与之相反的是，多数企业在日益依赖信息系统的同时，对于其安全管理却不够重视，在管理上存在着不少问题和隐患。这样，就直接导致信息系统频繁出现诸如硬件故障、网络攻击、软件失效、数据丢失甚至整个系统瘫痪等一系列问题。毕竟，任何事物都是双刃剑。信息系统在能给企业带来良好经济效益的同时，也同样会因为其安全问题而给企业带来各种各样的损失。因此，做好信息系统的安全管理，保证其正常、可靠地运行，对于每个企业来说都是一件至关重要的事。
　　根据企业信息系统的组成、特点及现状，并结合自身工作经验，笔者认为，可将其安全管理分为硬件安全、网络安全、软件安全、数据安全、机房安全、管理安全等多个方面。要保证信息系统的安全，就需要对以上的各个方面，都采取相应的安全管理措施。
　　1硬件安全
　　保证计算机及其外设、网络设备及线路、数据存储介质等各种物理设备的安全。主要防止因为各种自然环境、人为等因素，导致设备无法正常工作的情况发生。可以说，硬件安全是企业信息系统安全的前提。
　　1.1运行环境
　　各种硬件多为电子设备，而高温无疑是电子设备的大敌。因此，硬件设备的运行环境必须保证有良好的通风散热条件，特别在天气炎热时最好配备空调。还有，不要将各种杂物堆放在设备上，以防止其散热不良引起故障。另外，对于电子设备而言，做好防水、防潮、防尘、防震、防静电等工作都是必不可少的。特别是防水，设备一旦进水就可能立即烧毁，必须时刻警惕。
　　1.2电源供给
　　各种设备在运行过程中，如果突然遇到断电、欠压、浪涌等供电异常情况，则无疑会严重影响其正常工作并降低使用寿命（尤其是对于高速工作的硬盘而言）。因此，尽量为设备配备UPS。作为保护性的供电设备，UPS可以提供一个相对稳定可靠的电源，但是，它需要定期充电、放电才能使电池保持活性。值得注意的是，UPS所接负载不得超过其额定功率，特别是输出端尽量不要连接插线板，因为这样很容易造成UPS因过载而损坏。
　　1.3合理使用
　　比如：除特殊情况外，不要对任何部件进行超频；对于非USB设备，做到在断电的情况下插拔；在关闭计算机时，避免强行关机和立即重启；使用U盘等移动存储设备时，避免直接在其上面操作等。总之，要爱护设备，按规定合理正确地使用，尽可能延长其使用寿命，以避免因其过早损坏而带来不必要的损失和麻烦。
　　1.4防火防盗
　　做到工作区域内不吸烟、下班关机切断电源、不使用电茶壶等高功率电器、不乱堆乱放各种杂物等，杜绝一切可能的火险隐患。另外，各种硬件设备大都属于价值较高物品，存在被盗风险（特别是有的企业由于生产经营的需要，平日里各种业务及闲杂人员出入较多，更是容易引发“顺手牵羊”式的盗窃）。因此，要加强诸如机房、办公室、仓库、门卫等区域的防盗管理，并落实设备保管负责制，明确责任人。
　　1.5小结
　　保证硬件安全的措施还有很多。然而，根据笔者工作之所见，引起大多数硬件问题的原因都是人为因素，如盲目设置CPU超频、通电时随意插拔非USB设备、外接负载超出UPS额定功率、堆放杂物堵塞设备散热孔等，真正属于自然环境及设备本身的原因其实很少。因此，保证硬件安全的关键还是控制人为因素的发生，要重点加强对各种设备使用和维护的管理。
　　2网络安全
　　保证网络系统及其节点的安全。目的是及时发现网络中的异常情况，并采取相应的应对措施。通常，网络安全的最传统技术方法为“三巨头”：防火墙、入侵检测、防病毒。
　　2.1防火墙
　　作为一种隔离控制技术，防火墙主要用于保护企业内部网络免受来自外部网络的非法侵入。根据外在形式，可将其分为硬件防火墙和软件防火墙。前者功能更强但价格相对较高，对于一般的企业来说可以使用后者，如笔者所在企业使用Norton Internet Security，它包含了防火墙、入侵检测等多种功能。通常，防火墙能抵御大多数网络攻击，但是，它只能阻挡来自外部网络的侵扰，而对于内部网络的安全往往无能为力（这还需要通过内部有效控制和管理来实现）。还有，在定义和设置其安全策略时，要注意充分结合企业的具体业务和需求，以避免带来不必要的问题和麻烦。
　　2.2入侵检测
　　可对网络系统的各主要环节进行实时检测，一旦发现存在入侵迹象，则及时做出适当的响应。可以说，它是防火墙功能的延续。为了充分发挥它的作用，系统管理员要经常察看其的报警信息，并根据运行环境的变化适当更改其安全策略，以便能及时发现和预防潜在的攻击行为。另外，考虑到入侵检测通常存在只能被动检测等缺点，因此，入侵防护技术应运而生。它在入侵检测的基础上结合了防火墙，具有主动、积极的入侵防范及阻止功能，能更好地满足现代网络的安全需要。
　　2.3防病毒
　　此处所说的病毒包括了传统病毒、蠕虫、木马、恶意脚本、U盘病毒、间谍、广告等一系列通过网络及移动存储设备传播的恶意程序，其危害不言而喻。通常，可以使用防病毒软件（如Norton、McAfee、瑞星等）来对抗病毒，但必须要注意及时升级软件病毒库及扫描引擎，并开启实时监控。否则，即使是再好再强大的防病毒软件，也会如同少了轮子的保时捷，只能是摆设。另外，还可以使用一些辅助安全工具（如360、Arswp等），能够进一步提高安全性。不过，值得注意的是，防病毒软件无法防住所有病毒。笔者好几次碰到，防病毒软件在面对某些病毒时不但无法防御，反而会被反杀。因此，不能指望防病毒软件来完全解决病毒的威胁。一旦病毒突破防线进入内部网，则首先要将受感染的计算机隔离，切断网络。然后，再利用最新版本的其他防病毒软件、辅助安全工具、专杀工具等，采用常规模式、安全模式、DOS环境、PE环境、拆硬盘挂机、手工、格式化、分区、Debug等方法将病毒彻底消灭。
　　2.4其他常见的方法
　　包括统一威胁管理（把防火墙、入侵检测、防病毒等功能融合为一体）、数据加密、身份认证、物理隔离、划分VLAN、使用VPN、关闭不需要的端口与服务、漏洞扫描与修补、删除IPC$共享、IP地址与MAC地址绑定、关闭无线SSID广播等，对于提高网络的安全性都有较好的作用。
　　2.5小结
　　根据笔者经验，网络安全是企业信息系统中最容易出现问题的环节。随着计算机网络的不断发展，每时每刻都有大量新的网络安全威胁产生。对此，虽然我们不能保证能够完全防御各种各样的威胁，然而，却可以通过有效的预防和应对措施，将其对信息系统的影响降至最低程度。正如世界上没有永远坚不可摧的盾，但我们却可以通过自身努力，最大程度上提高盾的防御力。
　　3软件安全
　　保证系统软件、应用软件等各种工作所需软件的安全。即保证软件的正常运行和使用，使其免遭破坏、非法操作、功能失效等。
　　3.1设置登陆口令
　　包括开机、BIOS、操作系统、各种应用软件系统等登陆口令，以防止各种非法操作。作为身份认证中最简单、也是用得最多的方法，口令要尽量复杂（如字母、数字、符号等多种排列组合），并定期更换。还有，要做到自己牢记，避免随意泄露。笔者发现部分企业员工经常使用如123456、111111、生日时间等极易被破解的弱口令，而有的员工虽然设置了复杂口令，却将其写在纸上并随意放置在键盘下，这等于口令成了摆设。另外，在离开计算机时最好注销操作系统，或者开启屏幕保护程序（须启用恢复密码保护）。这对于财务人员来说更是特别重要。
　　3.2不要安装无关软件
　　包括各种游戏软件、聊天软件、炒股软件、下载软件、视频播放软件等。这些软件安装在操作系统中，既降低整体性能，又可能导致一系列的问题。有时，它们还会携带木马、广告、间谍等恶意插件，部分软件还具有“请神容易送神难”的特点，安装很容易，卸载却非常麻烦。笔者多次遇见由于部分员工安装了这些软件，从而引起死机、丢失文件、运行冲突、篡改注册表等问题。所以，应该牢记：建立企业信息系统的目的是用于日常工作，而不是各种娱乐和私人活动。因此，与工作无关的软件不应该出现在计算机中。
　　3.3慎用优化软件
　　不可否认，使用优化软件对操作系统进行优化（如系统加速、软件卸载、垃圾清理等），有时确实能收到一定的效果。然而，事实上大多数优化软件都是非官方提供，往往缺少严格的测试，同时又不可避免地存在某些缺陷。这样，直接导致了在某些时候优化不仅达不到目的，反而带来始料未及的副作用（如造成部分应用软件甚至操作系统无法正常运行）。因此，建议优化软件还是谨慎使用为妙。
　　3.4其他常见的方法
　　包括做好软件的必要升级和更新、禁止运行格式化等危险命令、避免频繁安装/卸载软件（特别是各种硬件的驱动）、不要随意操作注册表和删除文件、取消或屏蔽不需要的接口等，对于保证各种软件的安全都有好处。
　　3.5小结
　　软件安全往往和网络安全联系密切，很多网络安全的技术方法（如防病毒、身份认证、漏洞扫描与修补等）也同样适用于软件安全。另外，值得注意的是，有时某些软件的版本并不一定是越新就越好，补丁也不一定是安装得越多就越好。在更新软件及补丁时，应在保证稳定的前提下，根据实际需求、运行环境等情况来灵活选择，要避免盲目安装。
　　4数据安全
　　保证文档、图档、数据库文件、安装包等各种数据文件的安全，以防止其遭到破坏、泄露、丢失等。除了以上所提到的诸如存储介质安全、防病毒、身份认证等安全技术方法之外，还特别要注意做好数据库的保障及数据的备份等工作。
　　4.1做好数据库的保障
　　数据库往往存储了大量宝贵数据，一旦出现安全问题后果不堪设想。所以，必须采取有效措施来确保数据库的安全。首先，在数据库的选择上，建议采用SQL Server、Oracle等技术较为成熟的产品。其次，在数据库的日常管理及维护中，要从网络系统、宿主操作系统、数据库管理系统等多层次出发，做好数据库的用户识别、存取控制、加密、审计、备份及恢复等安全管理工作，以保证其完整性、保密性、可用性。另外，由于数据库的记录往往处于动态变化之中，所以如果仅仅依靠系统管理员的定时备份，显然无法满足安全的需要。因此，通常可以采用RAID（独立冗余磁盘阵列）的方法。如笔者所在企业中，在财务数据库服务器上采用了RAID1，因为它的安全性相对最高（虽然其磁盘空间利用率只有50%，但却提供了100%的数据实时备份）。而在其他的服务器上则采用了目前流行的RAID5，在保证数据安全的同时也兼顾存储成本。
　　4.2做好其他数据的备份
　　对于其他重要的数据文件，可先对其压缩及加密（压缩能减少磁盘空间的占用，并一定程度上降低被病毒感染的几率），然后存储于多个位置，比如本机其他盘符或其他计算机中。有条件的话，也可以刻录成光盘保存。但是，尽量不要使用U盘做备份，因为很多U盘的质量实在是难以恭维。笔者在工作中多次遇到U盘中的数据无法读取、甚至U盘本身无法识别的情况，因此U盘不是备份的理想位置。值得注意的是，在做备份之前应首先确保要备份的数据文件本身没有问题（如未感染病毒、未被篡改等），否则，可能会带来新的安全威胁。
　　4.3建立容灾备份
　　与传统的本地备份不同，容灾备份一般在距离较远的异地建立多套功能相同的系统。这样，一旦当本地发生诸如火灾、盗窃、地震等灾难时，它就可以通过异地的系统来提供本地关键数据的实时备份，甚至提供不间断的应用服务。通常，容灾备份可基于SAN、NAS、远程镜像、虚拟存储、快照等技术来实现。虽然，由于建设及维护成本较高等因素，目前它在中小企业中的应用相对较少。但是，随着技术的不断发展和企业对数据安全要求的日益提高，相信它的应用将会越来越广泛。
　　4.4其他常见的方法
　　包括专业软件备份、双机容错、数据迁移等，都是保证数据安全的可行方法之一。
　　4.5小结
　　可以说，建立完善的数据备份方案（特别是容灾备份）是保证数据安全的最重要、最有效的方法。毕竟，当不可预料的数据灾难突然发生时，它无疑将成为“救命稻草”，能最大程度上地减少损失。因此，在任何时候都必须重视数据的备份工作，并根据企业的实际情况来选择合适的备份方案，要真正地做到有备无患。
　　5机房安全
　　机房是企业信息系统的核心位置所在，一旦出现问题可能会带来极其严重的后果（如整个信息系统瘫痪等）。为此，除了要做到常见的硬件、网络、软件、数据等安全措施之外，还必须注意：
　　5.1保证机房设备环境
　　机房放置着服务器、路由器、交换机、UPS等关键设备，通常是24小时运行。因此，机房必须保持干净整洁，有专门的防火、防盗、防水、防鼠、防震、防雷击、防静电等措施，并配备相应的应急设备（如气体灭火器、应急灯等）。考虑到机房中设备架和线缆比较多，所以设备架之间要留出足够空间，线缆要按规程正确布线（保持良好的排放顺序）并贴好标签。同时，在各种设备、强电弱电线缆之间要保持一定距离，以防止干扰。
　　5.2保证供电安全
　　机房必须使用稳定可靠的UPS。根据实际情况，可为各种设备分别提供小型UPS，或者为整套设备提供一个大型UPS系统。另外，可采用配电箱给不同的设备分配不同的电力输入。这样，当某路电源断路或短路时不会影响其他设备的工作。还有，机房必须良好接地，可采用将交流接地、直流接地、保护接地、防雷接地共用一组的联合接地方式。笔者所在企业的机房就是采用了这种接地方式。
　　5.3严格机房保卫制度
　　机房门可加双锁，并规定双人进出制度，禁止单人在机房操作。各种服务器要专机专用，不允许兼作其他用机。并且，除了系统管理员、安全检查员、值班操作人员等相关工作人员因工作需要之外，其他无关人员未经许可一律禁止擅自进出机房。
　　5.4严格控制机房使用
　　机房内不得堆放任何与信息系统日常管理及维护无关的杂物（如纸箱、无关的资料、淘汰的设备、私人物品等），也不得做与工作无关的私事。笔者在不少企业都遇到过：有的员工可能是因为找不到地方或贪图方便，将机房当作了仓库，将平时用得不多的杂物堆放在机房。而有的系统管理员也将机房当作了休息间，在服务器上做与工作无关的事。这些都是严格禁止的。切记：机房是企业信息系统的核心位置所在，是用来放置各种关键设备的。它既不是仓库，也不是休息间。
　　5.5小结
　　保证机房安全的措施还有很多，这里就不一一举例了。机房安全的重要性不言而喻，然而，事实上多数企业对此还是不够重视。比如，有的企业机房几乎没有任何应急设备，甚至连UPS也没有；而有的虽然表面上配备了应急设备，但设备却早已失灵或老化，基本上就是摆设。因此，对于机房安全，企业要真正地从心里面重视，而不能只是为了应付检查而做做样子。否则，一旦发生突发事件，后果难以预料。
　　6管理安全
　　相对于其他方面而言，管理安全往往最容易被忽视，但是，它却是最重要的。管理安全直接关系到各种安全问题能否得到有效预防和解决，是贯穿企业信息系统安全管理的主线和基础。在管理的诸多要素之中，人的因素是最重要、最关键、也是最难控制的。因此，必须做好对人的管理，严格控制人为因素的发生。
　　6.1建立企业信息系统安全管理制度
　　①组织和人员制度：企业领导层、部门负责人、系统管理员、普通员工等的职责、分工、培训、考核等制度。
　　②运行维护和管理制度：包括信息系统硬件、网络、软件、数据等安全管理制度、机房出入和值班守则、各种操作规程、领导定期检查和监督等。尤其要真正落实“谁使用谁负责，谁保管谁负责”的原则。
　　笔者认为，制度不在于数量，而在于执行。因此，必须做好各种安全管理制度的宣传、讲解，使企业每个员工都清楚了解、彻底明白。不管什么制度，都要根据实际情况来制订，并根据企业的发展状况适时更新，要真正地适合于本企业。制度一旦制订，就要严格执行（如对于违反制度的员工，严肃处理；而对于认真执行的员工，适当奖励）。如果只是制订却不执行，或者执行时仅仅走走形式、做做样子，那即使是再多、再完美的制度也没有什么意义。
　　6.2加强对员工的教育培训，并纠正观念
　　某些员工缺少IT专业知识，观念落后且安全意识淡薄。笔者在工作中经常碰到此类现象。有的是因为技术水平不高，比如：以为装了防病毒软件就百毒不侵、把各种网络设备混为一谈、将有用的文件误删除等；而有的则是因为观念落后和责任心不强，比如：登录口令太简单或干脆为空、随意上网和下载而没有安全意识、出了问题（死机、中毒、无法开机等）通知系统管理员就行了（认为这些都是系统管理员的职责）等。因此，必须加强对全体员工的教育培训，包括信息系统硬件、网络、软件、数据等安全知识以及各种应急处理技术等，提高其技术水平。并且，还要纠正其观念，使之认识到企业中每个人都是信息系统安全管理的一分子，都有对信息系统的安全负责的责任，而这绝不仅仅只是系统管理员的职责。
　　6.3发现问题立即处理，并做好后期工作
　　一旦信息系统出现问题，立即采取相应措施。首先要防止问题进一步扩大，比如：发现各种异常情况即刻告知系统管理员、遇到严重网络攻击时立即切断网络、各种有用数据丢失时及时起用备份、某些重要设备出现故障无法迅速修复时先予以更换（确保系统可用）再进行处理等。在采取有效措施的同时，要及时查找并分析问题产生的原因，总结经验和教训，制订相应的预防措施。另外，做好应急预案的编制，以便在紧急情况下能及时正确地处理，将可能的损失降到最低程度。
　　6.4其他常见的方法
　　包括涉外业务人员的管理、风险评估和管理、信息安全标准化等，都是保证管理安全的可行方法之一。
　　6.5小结
　　对于管理安全，笔者认为重点还在于强化自上而下的管理。企业领导层作为管理层的核心，首先要重视信息系统的安全管理。只有领导层重视了，才会相应带动广大各级员工的重视和支持。这样，才能在企业内部真正有效地推行信息系统安全管理的理念和技术，从而形成自上而下、齐抓共管的良好局面。
　　7结束语
　　综上所述，企业信息系统的安全管理是一项涉及多方面的综合性系统工程，它的实现不仅涉及到多种技术问题，而且还离不开人、制度等诸多因素的配合。因此，可以说硬件安全、网络安全、软件安全、数据安全、机房安全、管理安全等各个方面都是紧密相连、缺一不可，且管理安全更是其中的重中之重。随着信息化建设的不断深入，信息系统已成为企业经营发展的最重要基础之一。而做好安全管理，无疑是保证其正常有效发挥作用的前提。因此，我们必须高度重视，做到理论与实际相结合，对于信息系统安全管理的各个方面都采取有效的预防和应对措施，同时不断积累经验并提高管理水平，切实保证企业信息系统的安全。
　　参考文献：
　　[1]许远.信息系统安全管理实务[M].北京:电子工业出版社，2009.
　　[2]牛少彰.信息安全导论[M].北京:国防工业出版社,2010.
　　[3]胡国胜,张迎春.信息安全基础[M].北京:电子工业出版社,2011.