張偉

摘 要 隨著網(wǎng)絡與信息技術在我們經(jīng)濟和生活各個領域的快速發(fā)展，企業(yè)也紛紛打造自身的網(wǎng)絡信息平臺。信息技術正逐漸影響著我們生活和工作的方式，在信息技術帶給我們巨大便利的同時，網(wǎng)絡與信息安全的各類問題也在不斷攀升。面對眾多網(wǎng)絡攻擊行為，安全風險面臨重要的挑戰(zhàn)。因此，探討企業(yè)網(wǎng)絡與信息安全風險，強化安全防護管理措施，保障企業(yè)業(yè)務安全穩(wěn)定發(fā)展具有十分重要的意義。

關鍵詞 企業(yè)網(wǎng)絡；信息安全；防護

中圖分類號 TP3 文獻標識碼 A 文章編號 1674-6708（2016）162-0089-02

隨著網(wǎng)絡與信息技術在我們經(jīng)濟和生活各個領域的快速發(fā)展，企業(yè)也紛紛打造自身的網(wǎng)絡信息平臺。信息技術正逐漸影響著我們生活和工作的方式，在信息技術帶給我們巨大便利的同時，網(wǎng)絡與信息安全的各類問題也在不斷攀升。面對眾多網(wǎng)絡攻擊行為，安全風險面臨重要的挑戰(zhàn)。因此，探討企業(yè)網(wǎng)絡與信息安全風險，強化安全防護管理措施，保障企業(yè)業(yè)務安全穩(wěn)定發(fā)展具有十分重要的意義。

1 網(wǎng)絡與信息安全風險分析

面對日益增加，不斷涌現(xiàn)的網(wǎng)絡攻擊行為，企業(yè)在鞏固和加強基本的網(wǎng)絡與信息安全的基礎上，仍不同程度上存在一定的安全風險，主要包括以下方面。

1.1 物理安全風險

物理安全是網(wǎng)絡與信息系統(tǒng)安全的基礎。物理安全風險主要包括雷擊、水災、火災等環(huán)境事故導致大部分或整個系統(tǒng)的癱瘓；供配電系統(tǒng)故障導致設備斷電而造成的業(yè)務服務中斷；機房環(huán)控及報警系統(tǒng)缺失造成設備被盜、被損；電磁輻射可能造成重要數(shù)據(jù)的信息泄露或非法截獲；人為操作失誤或錯誤造成的系統(tǒng)宕機或數(shù)據(jù)庫信息丟失等。

1.2 網(wǎng)絡安全風險

企業(yè)在網(wǎng)絡平臺建設的初期，安全意識不高，沒有從整體網(wǎng)絡與信息安全的角度出發(fā)進行統(tǒng)籌規(guī)劃，網(wǎng)絡與信息安全風險主要存在網(wǎng)絡結(jié)構風險、網(wǎng)絡邊界風險、入侵檢測風險、流量管理風險、遠程安全接入風險5個方面。網(wǎng)絡結(jié)構風險方面，企業(yè)網(wǎng)絡結(jié)構中缺少冗余設計，網(wǎng)絡中關鍵設備易形成單點故障，影響了整體網(wǎng)絡系統(tǒng)故障恢復的能力。網(wǎng)絡邊界風險方面，企業(yè)網(wǎng)絡系統(tǒng)中不同網(wǎng)絡區(qū)域間通信管控能力不足，數(shù)據(jù)的安全訪問不能得到有效控制，存在非法訪問的風險。入侵檢測風險方面，在企業(yè)局域網(wǎng)內(nèi)缺少入侵檢測手段，無法對局域網(wǎng)內(nèi)引發(fā)的網(wǎng)絡安全攻擊事件進行有效檢測與報警。入侵者通過滲透以獲取用戶系統(tǒng)控制權，并傳播木馬病毒形成僵尸網(wǎng)絡，甚至發(fā)起拒絕服務攻擊，使企業(yè)的業(yè)務服務面臨中斷風險。流量管理風險方面，企業(yè)用戶在網(wǎng)絡帶寬使用過程中，存在過度資源濫用情況，業(yè)務流量帶寬受到擠壓，帶寬使用效率大幅降低。遠程接入風險方面，企業(yè)網(wǎng)絡系統(tǒng)沒有采取可信認證與加密遠程接入的訪問機制，造成非可信身份訪問企業(yè)內(nèi)部網(wǎng)絡，導致信息泄露風險。

1.3 系統(tǒng)安全風險

系統(tǒng)安全風險一般指主機或終端自身系統(tǒng)防護能力不足導致容易發(fā)生病毒和惡意代碼攻擊、非法使用、數(shù)據(jù)截取等安全事件。系統(tǒng)安全風險主要包括身份認證風險、系統(tǒng)安全配置風險、系統(tǒng)漏洞風險、病毒和惡意代碼風險這4個方面。身份認證風險方面，企業(yè)在網(wǎng)絡系統(tǒng)中由于采用單一身份鑒別技術，導致攻擊者易假冒合法用戶獲得資源的訪問權限，對系統(tǒng)和數(shù)據(jù)安全造成威脅。系統(tǒng)漏洞與安全配置風險方面，由于系統(tǒng)補丁未得到及時更新，安全配置未能形成統(tǒng)一化、標準化安全部署，導致企業(yè)網(wǎng)絡與信息系統(tǒng)存在大量的安全盲點。病毒和惡意代碼風險方面，企業(yè)網(wǎng)絡中主機及終端系統(tǒng)中防病毒軟件升級滯后，導致防護軟件存在查殺能力不足，系統(tǒng)易受病毒和惡意代碼的攻擊。

1.4 應用安全風險

應用安全風險涉及很多方面，并且與具體的應用有關。應用系統(tǒng)的安全是動態(tài)的、不斷變化的，需要我們針對不同的應用進行安全漏洞的檢測，從而采取相應的安全措施，降低應用的安全風險。應用安全風險主要包括文件及數(shù)據(jù)庫安全風險、病毒侵害風險、未經(jīng)授權的訪問、數(shù)據(jù)信息篡改，破壞了數(shù)據(jù)的完整性等。

1.5 管理安全風險

安全管理是網(wǎng)絡與信息安全得到保證的重要組成部分，從管理層面分析，管理安全風險主要包括：安全管理制度不夠健全，關鍵活動的審批流程未建立或不夠明確，導致責權不明；工作人員的操作權限缺乏合理的劃分與分配，操作混亂；網(wǎng)絡安全管理和技術人員缺乏必要的安全意識、安全知識和教育的培訓；安全管理體系有待健全和完善，在主動防范網(wǎng)絡與信息安全風險的管理手段有所不足，安全控制措施有待進一步有效發(fā)揮。

從上述網(wǎng)絡與信息安全風險分析，由此所引發(fā)的安全事件，一般情況下將會導致網(wǎng)絡與信息系統(tǒng)在可用性、可靠性、可恢復性方面大幅下降。因此，針對安全風險制定切實可行的解決措施，提高網(wǎng)絡與信息安全的整體防護能力和水平，是保障企業(yè)網(wǎng)絡與信息系統(tǒng)安全穩(wěn)定運行的關鍵所在。

2 網(wǎng)絡與信息安全防護的主要措施

參照信息系統(tǒng)安全等級保護基本要求，根據(jù)網(wǎng)絡與信息安全建設存在的主要問題，切實結(jié)合企業(yè)自身實際需求，逐步建設形成多層保護、重點突出、持續(xù)運行的安全保障體系，將企業(yè)網(wǎng)絡與信息安全防護工作落實到建設、防護、管理等的各個環(huán)節(jié)，保障企業(yè)網(wǎng)絡與信息安全的整體性。因此，根據(jù)此主要思路提出保障企業(yè)網(wǎng)絡與信息安全的總體原則與主要措施意見。

2.1 總體原則

1）統(tǒng)籌規(guī)劃，分步實施。建立健全完善企業(yè)網(wǎng)絡與信息整體安全防護體系是一項長期的系統(tǒng)工程，其所涉及到各層面、各系統(tǒng)的安全問題要在國家信息安全法律法規(guī)及標準規(guī)范框架內(nèi)，根據(jù)對信息安全風險分析的綜合考慮進行統(tǒng)籌規(guī)劃，制定統(tǒng)一、完整、動態(tài)，可控的安全防護系統(tǒng)設計，分步驟、分階段的進行實施。

2）以用促建，合理投入。為保障企業(yè)網(wǎng)絡系統(tǒng)長期、安全、穩(wěn)定運行，依據(jù)企業(yè)網(wǎng)絡不同時期所面臨威脅的嚴重程度，在考慮安全防護經(jīng)費投入與數(shù)據(jù)及其應用系統(tǒng)防護價值的性價比基礎上實施安全防護體系的建設。安全設備在性能功能的選擇上，要安全適度，不盲目超前，既要滿足業(yè)務應用當前安全防護需求，又能適應未來安全防護的調(diào)整升級。

3）主動預防為主，應急恢復為輔?？紤]到現(xiàn)代網(wǎng)絡安全防護的復雜性和多變性，企業(yè)網(wǎng)絡與信息安全防護，應以主動預防為主，盡量將安全隱患消除在安全事件發(fā)生之前。要提前制定好安全事件處理的應急預案，熟悉并掌握應對各種事件發(fā)生的安全措施及辦法，最大限度地降低安全事件的損失程度。

4）動態(tài)管理，持續(xù)改進。企業(yè)網(wǎng)絡與信息安全防護是一個動態(tài)的變化過程，要對安全風險實施動態(tài)管理，針對不斷出現(xiàn)的新的安全威脅與漏洞持續(xù)改進完善企業(yè)網(wǎng)絡安全措施，始終將網(wǎng)絡與信息安全風險控制在可接受的范圍。

2.2 主要措施意見

1）合理劃分網(wǎng)絡安全區(qū)域。企業(yè)從整體網(wǎng)絡與信息安全角度出發(fā)，綜合分析網(wǎng)絡系統(tǒng)中存在的普遍問題，采取結(jié)構化網(wǎng)絡設計思想，結(jié)合網(wǎng)絡安全域劃分原則，對企業(yè)網(wǎng)絡系統(tǒng)進行合理的安全區(qū)域劃分。依據(jù)安全域劃分，建議采取相應的網(wǎng)絡邊界安全防護措施，實現(xiàn)網(wǎng)絡安全隔離，邊界間聯(lián)合防御，對病毒進行有效攔截及區(qū)域管控。在應對滲透攻擊方面也能積極起到縱深防御效果，完善企業(yè)網(wǎng)絡系統(tǒng)抗攻擊，抗風險的能力。

2）規(guī)范網(wǎng)絡資源的有效使用。規(guī)范企業(yè)網(wǎng)絡資源的有效使用，增強局域網(wǎng)終端用戶的安全審計，有效對網(wǎng)絡中的各種行為采取更加細粒度的安全識別和控制的措施。同時，可對網(wǎng)絡流量、終端上網(wǎng)行為進行實時分析和審計，做到有據(jù)可查。從而，有效優(yōu)化網(wǎng)絡資源使用效率，幫助企業(yè)管理層全面了解網(wǎng)絡應用狀況與趨勢，增強網(wǎng)絡資源對企業(yè)業(yè)務服務提供強支撐能力。

3）增強終端用戶的網(wǎng)絡安全防護措施。增強企業(yè)網(wǎng)絡安全意識，提高終端用戶安全防護措施，采取網(wǎng)絡防病毒、終端安全核心配置等措施，通過安全策略的統(tǒng)一分發(fā)及部署，企業(yè)管理人員可全面直觀掌握網(wǎng)絡中的安全狀況，如終端漏洞、終端病毒、終端升級等情況一目了然。有助于管理人員提高企業(yè)安全風險分析的能力及快速解除安全威脅的響應能力。

4）創(chuàng)新開展具有自身特色的網(wǎng)絡運維管理服務新模式。面對信息化技術的飛速發(fā)展及網(wǎng)絡應用的不斷深入，在增強自身網(wǎng)絡安全意識的同時，應不斷學習新的防范技術，豐富防范手段；不斷借鑒成熟的技術成果，對照自身網(wǎng)絡特點，研究符合自身網(wǎng)絡安全防護技術，不斷深入實踐，總結(jié)經(jīng)驗教訓，把技術理論與實踐經(jīng)驗有效結(jié)合，創(chuàng)新開展具有自身特色的網(wǎng)絡運維管理服務新模式。

總之，我國網(wǎng)絡與信息技術取得了快速發(fā)展，建設一個安全可靠的網(wǎng)絡系統(tǒng)，是企業(yè)決策者和信息部門亟待解決的問題，需要我們持續(xù)深入的研究，這樣才能將網(wǎng)絡安全問題最小化，確保企業(yè)經(jīng)營活動具備安全可靠的網(wǎng)絡環(huán)境。