時間：2023-10-11 10:17:36
導語：在信息系統安全運維服務的撰寫旅程中，學習并吸收他人佳作的精髓是一條寶貴的路徑，好期刊匯集了九篇優秀范文，愿這些內容能夠啟發您的創作靈感，引領您探索更多的創作可能。
【關鍵詞】外匯 信息安全 風險 保障措施
近年來，國家外匯管理局加大了信息化建設步伐，信息系統已基本替代了手工操作用于處理外匯管理日常工作，在外匯監管與服務的過程中發揮著越來越重要的作用，外匯業務信息系統的安全正常運行已成為外匯局開展業務開展的前提，任何一個環節的信息系安全管理缺失，都可能給外匯管理工作帶來嚴重的后果。
一、外匯信息系統和數據所面臨的風險
信息安全就是保護信息系統或信息網絡中的信息資源免受各種類型的威脅、干擾和破壞，即保證信息的保密性、完整性、可用性.可控性和平可否認性。
外匯管理信息系統和數據在采集、保存和使用等過程中存在諸多安全風險，例如硬盤損壞等物理環境風險，操作系統和網絡協議漏洞導致外匯信息數據被非法訪問、修改或惡意刪除，最終導致外匯信息喪失上述安全特性，從而影響了外匯業務的正常開展。本節僅結合外匯信息系統和數據實際情況，簡要介紹外匯信息常見的風險。
（一）電子設備存在軟件和硬件故障風險
外匯信息系統在運行過程往往會面臨硬件設備發生故障，軟件系統出現運行錯誤的風險，例如服務器電源設備老化、硬盤出現壞道無法讀寫、軟件崩潰、通訊網絡故障等問題。上述問題是外匯信息系統實際運維過程中最為常見風險源。
（二）人為操作風險
因人為操作外匯信息系統產生的未授權的數據訪問和數據修改、信息錯誤或虛假信息輸入、授權的終端用戶濫用、不完整處理等。產生該類風險的原因是用戶安全意識淡薄，未授權訪問數據造成外匯信息泄漏，數據手工處理導致的錯誤或虛假信息，未授權用戶操作等行為都會造成信息系統安全性風險。實際外匯信息系統運行中，人為事件造成損失的概率遠遠大于其他威脅造成損失的。
（三）系統風險
一般所用的計算機操作系統以及大量的應用軟件在組織業務交流的過程中使用，來自這些系統和應用軟件的問題和缺陷會對一系列系統造成影響，特別是在多個應用系統互聯時，影響會涉及整個組織的多個系統。例如，部分系統具有維護困難、結構不完善、缺乏文檔和設計有漏洞等多個隱患，有時就會在系統升級和安裝補丁的時候引入較高的風險。
（四）物理環境風險
由于組織缺乏對組織場所的安全保衛，或者缺乏防水、防火、防雷等防護措施，在面臨自然災難時，可能會造成極大的損失。
二、外匯信息安全基本準則和特性
外匯信息系統是一個以保障外匯業務系統正常運行的專用的信息系統，近年來在不斷加大信息科技方面投入、加快信息化建設的過程中得到了有效整合和完善。為有效應對外匯信息系統安全風險，科技部門應同步提升科技管理制度的完整性和執行力度、管理精細化程度。制定外匯信息系統安全的具體保障措施之前，首先需要我們認清信息安全的基本準則和一些特性：
（一）信息安全短板效應
對信息系統安全所涉及的領域進行安全保護即全面構筑外匯管理信息安全保障工作，重點加強對安全洼地、薄弱環節的安全防護。
（二）信息安全系統化
信息系統安全其實是一項系統工程，要從管理、技術、工程等層面總體考量，全面保障外匯管理局信息系統安全。
（三）信息安全動態化
信息安全保障措施所防范的對象是一個動態變化的過程，所以信息系統也應該隨著內外部安全形勢的變化不斷改進。
（四）信息安全常態化
信息安全從時間角度看是一個長期存在的問題，只有在信息安全技術方面嚴格把握重點，綜合信息安全體系的可持續構建，才能保障外匯管理局信息系統安全。
（五）系統操作權責明確
信息系統安全的前提是要嚴格內部授權，劃分各崗位職責，如加大內控風險防范和控制。使各系統角色操作者權限形成相互制約的控制機制。
三、外匯信息安全保障應對措施
外匯信息安全工作應以信息系統所面臨的安全威脅依據，遵循基本準則，以信息基礎設施建設和安全管理制度為我切入點制定相應的防護措施。
（一）建立系統性的安全管理制度
安全管理制度要包括人員管理、資產管理、數據管理、網絡管理、運維管理、應急管理、事后審查等方面內容
（二）建立良好的網絡信息安全防護體系
從物理環境安全、網絡邊界安全、設備安全、應用系統安全以及數據安全等方面部署相關的安全防護設備和措施。
（三）定期進行信息安全教育培訓
因信息技術行業快速發展，信息安全形勢也在不斷變化，外匯管理局科技部門可定期對轄內外匯信息系統維護和操作人員進行信息系統安全培訓，更新安全知識。為了有效防范未知威脅和隱患，外匯管理局科技部門可對轄內定期開展信息系統安全檢查，確保外匯信息系統安全有效運行，保障外匯信息的可控、可用和完整性。
（四）開展信息系統安全風險評估，進一步做好系統等保工作
首先對外匯信息系統安全進行風險評估，根據評估識別威脅外匯信息系統安全的風險，作為制定、實施安全策略、措施的基礎，風險評估同時也是外匯信息系統安全等級保護的重要前提與依據。其次確定信息系統安全級別，根據級別的不同，實施對應的保護措施，啟動對應級別的安全事件應急響應程序。
（五）運用入侵檢測等技術，預防惡意攻擊
隨著技術發展，當前惡意攻擊手段呈現越來越隱蔽的趨勢，需要科技部門采用具有預警功能的技術手段來應對，如入侵檢測、數據挖掘等技術，通過分析歷史數據，發現當前安全措施的缺陷，及時糾正和預防內外部風險再次發生。
（六）完善監督管理，實施信息安全自查與檢查相結合
查找現有信息化建設工作中的薄弱環節，井切實進行整改，建立良性的信息安全管理機制。開展信息安全檢查與自查是完善信息安全監督管理工作的有效方式之一，其中信息安全檢查方案的設計是安全檢查的核心，科技部門需要根據外匯業務實際情況，將外匯管理局有關要求進行梳理完善，對相應風險點進行總結和歸納，科學設計了信息安全檢查方案。
參考文獻
[1]林國恩.信息系統安全[M].北京：電子工業出版社.2010
民航是我國的基礎行業之一,對我國經濟發展有著重大而深遠的影響,尤其是現在航空公司的基本業務都已經實現電子化,信息系統安全本身的穩定、可靠成為整個航空公司業務開展的基礎。
萬事俱備,只欠東風
某航空公司作為全球最大航空聯盟――星空聯盟成員之一,是民航業一家非常有代表性的公司。在信息化建設上,該航空公司信息系統規模非常龐大,信息化工作人員就達到100多人,包括基礎IT設施保障人員、系統開發與維護人員、網絡運維管理人員等。相對信息系統安全保障而言,該航空公司目前還缺少專職專崗的安全運維人員。
面對未來世博會上大量客流及信息系統數據處理需求,該航空公司領導決定盡早提升系統的信息安全保障力度,提升整體團隊信息安全技術能力。
作為國家基礎性行業,民航業必須要遵從國家頒布的等級保護政策,所以,該航空公司領導非常注重信息安全等級保護體系的建設,并且面向社會進行信息安全服務供應商招標。東軟安全服務部部長席斐對記者說:“該航空公司信息系統基礎建設很好,技術人員團隊素質高,可以說萬事俱備,而獨缺專業安全體系這一塊的行業規劃。東軟NetEye憑借13年專業的安全技術積淀,全面、完善的實施方案贏得了為此用戶提供信息安全體系建設咨詢和評估服務的機會?！?/p>
“三業”保障信息系統安全
在信息化建設中,東軟一直注重業務系統和信息化建設的整體融合與推動,并致力于為客戶提供優秀且可操作的安全解決方案。
經過對該航空公司系統業務情況以及安全現狀的充分溝通和詳細分析后,東軟NetEye安全服務團隊對其總部等幾個營業點進行了全面的信息安全風險評估,特別是對互聯網公開的B/S架構的電子商務業務系統和呼叫中心系統、運行準備系統、HR系統、招聘系統、貨運系統等進行了詳細的評估,全面了解系統安全狀況,明確當前風險,并完成壓力測試、滲透測試、等級保護差距分析、系統加固等。同時,在本次項目中,東軟NetEye團隊協助該航空公司對其原有的信息化管理規章進行了重新梳理,并制定和建立起一套信息安全專項管理手冊,提高了安全制度和安全管理規范的可操作性。
在完成信息安全風險評估工作之后,東軟還協助該航空公司一起制定了未來三年詳盡的信息安全整體建設規劃方案,為其在世博期間乃至今后的信息安全運維保障工作奠定了有力基石。
“更重要的是我們通過這一次項目為用戶培養了一支具備信息安全風險評估能力的技術團隊?！毕痴f,“這是用戶方領導對我們最為稱道的一項?！?/p>
1 綜合治理信息安全的戰略背景
IT管理技術發展歷程，從被動管理轉向主動管理，從服務導向轉向業務價值。在科學的IT管理方法論方面形成了一系列標準：諸如ITIL/ITSM以流程為中心的IT管理行業標準;ISO20000ITIL 的國際標準; COBIT面向IT審計的IT管理標準;COSO企業內部控制框架，面向內部控制;ISO17799：信息安全管理國際標準。當前有很多非常好的綜合性標準與規范可以參考，其中非常有名的就是ISO/IEC27000系列標準。ISO/IEC 27001通過PDCA過程，指導企業如何建立可持續改進的體系。
目前企業IT運維管理現狀。需求變化：IT本身快速變更;管理目標多角度變換并存。資源不足：IT 復雜性成長快于人員成長;IT 人員持續流動。業務影響：難以判斷事件對業務的影響和處理事件的優先級。信息孤島：IT 資源多樣性的，不能進行事件的關聯分析，缺少統一的健康視圖。IT網絡與信息系統運維存在監測盲點，缺少主動預警和事件分析機制。
如何把此項復雜的工程進行細化與落地，建立信息安全保障框架?在企業有限的IT資源(包括人員、系統等)等的前提下，IT運營面臨嚴峻的挑戰，企業多半缺乏信息系統應用開發能力，在很大程度上依賴于產品開發商的支持，為此，要想實現從混亂到清晰、從被動到主動、從應付到實現價值取向的服務思想，自主加外包的混合運維方式無疑是一種好的服務方式。
2 建立和實施信息安全保障體系思路和方法
針對IT管理問題和價值取向的服務方式，借鑒PDCA工作循環原理和標準化體系建設方法，從建立安全目標和組織體系、制度體系和技術體系等三個主要層面構建實施信息安全保障體系，以規范引導人、以標準流程引導人，以業績激勵人，從而促被動變主動，堅持持續改善，促進工作效率，促進安全保障。
2.1 建立和推行目標管理
體系建設應以目標管理為先導、循序漸進，按頂層布局、中層發力、底層推動內容設計與構建，為此，借鑒當前IT運維管理目標演進方式，確立各階段建設目標。
基礎架構建設階段(SMB)，手工維護階段。主要實現IT基礎架構建設。
網絡和系統監控(NSM)階段，重視自動化監控階段。主要實現IT設備維護和管理。
IT服務管理(ITSM)階段，重視流程管理階段。主要實現IT服務流程管理。
業務服務管理(BSM)階段，重視用戶服務質量與滿意度。主要實現IT與業務融合管理。
從IT投入和業務價值來看，前三個階段是間接業務價值，第四階段才是直接業務價值。
根據ITIL這個IT服務管理的方法論，先是搭建一個框架，借用工具的配合促進落地。如圖1、IT運維管理系統參考模型。
從安全目標出發，結合IT運維管理系統參考模型，每個階段的工作向著實現直接業務價值，不斷消除或減輕對性能的約束，促進IT產品或服務滿足確定的規范，實現企業效益最大化。服務好用屬性通過最終的績效和檢驗結果監視測量價值成分。如圖2。
2.2 規劃融合信息安全保障體系
通過從組織體系、制度體系、技術體系層面建立和實施縱深防御體系，實現穩健的信息安全保障狀態。
①組織體系：通過企業中高層的支持實現業務驅動和共同推動信息安全體系建設。當然，需要提出的問題，組織有可能要依賴長期可靠的合作伙伴：通過長期可靠的合作關系，快速引進外部專業資源和先進技術，可以幫助企業推動信息安全建設工作。為了幫助組織內外信息系統人員更好地遵守行業規范及法律要求，企業實施IT網絡與信息系統安全運維體系標準，組織應做到定期對全體員工進行信息安全相關教育，包括：技能、職責和意識，通過相關審核，證明組織具備實施體系的意識和能力。
②制度體系：企業IT網絡與信息系統安全運維系統建設的范圍包括機房安全、數據安全、網絡安全、服務器安全、業務應用安全、終端安全等。為此，企業應明確內部運維和外部協同的內容及其標準規范，包括績效標準。建立實施IT網絡與信息系統安全運維體系標準，首先把高效的信息安全做法固化下來形成規則制度或標準，成為組織中信息安全行為準則。保證事前預防、事中監控和事后審計等安全措施的得到有效執行與落實。
③技術體系：一般來說，網絡設備技術體系可以按照從上到下信息所流經的設備來部署工具。即從數據安全、終端安全、應用安全、操作系統與數據庫安全、網絡安全、物理安全六個方面來選擇不同的安全工具。按照“適度防御”原則，綜合采用各種安全工具進行組合，形成企業“適用的”安全技術防線。適時根據風險評估的結果，采取相應措施，降低風險。
其中，需要采用1～2種綜合管理的工具來幫助把所有的安全監控工具進行統一管控。例如SOC是給企業日常維護管理者使用，ITRM作為綜合風險呈現，是給企業風險或安全管理層使用。
④體系運行和監控：體系的日常運行和監控就是從信息的生命周期進行流程控制，即在信息的創建、使用、存儲、傳遞、更改、銷毀等各個階段進行安全控制。之前不能忽視在信息創建開發安全階段的一個細化控制手段。在運行體系建設中，往往需要結合流程分析來關注信息的生命周期安全。運行過程中還有一個應急管理，包括災備中心建設、業務連續性計劃、應急響應等等都有相應的標準與理論支持。特別是BS25999標準的頒布，給如何建立一套完善的應急體系提供了參考。
3 企業建立和實施信息安全保障體系實踐
面對網絡系統互連，網絡技術與設備的安全管理規范的完善這個復雜而且浩大的工程，井岡山卷煙廠不僅依靠個體分散的技術措施或者管理防護，而且結合國家、社會和個人的力量構建綜合保障體系。
①依據ISO9000、ISO14000和OHSAS18000標準，國家計算機網絡和信息安全相關法律法規，參考當前科學的IT管理方法論方面形成了一系列標準，結合YC/T384煙草企業安全生產標準等，識別這些與信息安全相關的法律法規及其它要求，將信息安全保障體系(框架)融合到企業質量、環境和職業健康安全(以下簡稱為三標)綜合管理體系。
②確定信息安全管理目標并分步實施企業三年信息化發展規劃。自2012年開始，企業對照YC/T384煙草企業安全生產標準要求，在梳理和評價2000年以來企業多個企業信息化三年實施規劃實踐環境以后，制訂了新的三年信息安全管理目標和建設規劃，將目標和規劃分解到各年度實施，并納入到企業年度三標綜合管理體系建設目標和管理績效考核。
③建立信息安全管理組織和工作標準，同時納入三標綜合管理體系管理考核。從體系結構上促成企業作業層、管理層(中間層)和決策層的信息化，實現企業的物資(服務)流、資金流和信息流的一體化，及時、準確和完整地傳遞企業的經營數據，保證企業的經營管理。利用信息化改進管理，形成企業信息安全文化，促進員工接受、理解和主動配合，不斷提升全員的信息安全意識和技能，從而使信息安全管理真正落到實處。
④建立和實施信息安全保障體系文件標準。根據國家信息安全相關的法律法規及其它要求，結合行業和企業的特點和發展趨勢，規范管理流程和模式。網絡與信息系統建設“立足長遠、分步實施、突出重點”，做到“統一規劃、統一標準、統一平臺、統一編碼”，同步實施信息系統等級保護制度，促進企業與信息系統項目合作單位、地方通訊和公安等部門的社會化合作主要方式。企業內部各項工作實現規范化、信息化，做到一切工作都按照程序辦，同時，事事處于相互制衡的環境之下、人人處于監督管理之中，從而形成職責明確、運轉協調、相互制衡的工作機制，為企業內部信息安全監管提供強有力的保障。
幾年來，企業堅持企業信息安全方針目標，以迅速響應服務為宗旨。企業信息安全保障體系建設緊緊圍繞建立科學、規范、和諧、統一、開放的管理體系，全面融入了質量、安全和環境管理體系一體化建設和實踐，截止到2015年底，企業共梳理建立或整合并實施安全保障類文件包括企業管理標準、技術標準和工作標準共計31個標準文件。通過創新與改善和體系審核、管理評審和提高文件執行率及持續改進方式保持了信息安全保障管理體系的持續改進和有效運行。
如今，伴隨著科學技術的迅猛發展，我國電力企業各個方面的工作，也得到了大幅度的進步。電力信息安全保障體系，是電力發展事業各組成部分中的重要環節，在維持電力企業的正常運行、日常管理和營銷管理等方面，起著至關重要的作用。因此，電力信息的安全問題，一直是電力企業所關注的重要內容之一，各個企業對于電力信息也逐漸重視起來。以下是筆者結合當前電力信息安全保障體系建設的實際情況，就在電力企業中，電力信息系統的安全領域出現的問題，進行有效詳細的研究與分析，希望通過此次研究，能夠對電力信息安全保障體系的建設領域的發展，起到一定的促進作用，為我國電力工作的發展，獻計獻策。
【關鍵詞】
電力信息；安全保障；體系建設；探討研究
所謂的電力信息系統，主要的內容包括信息網絡、應用系統、網絡服務系統、存儲與備份系統、安全系統、輔助系統等。除此以外，上述系統的附屬設備也在電力信息系統的行列內。本系統所涉及的技術，大致有數據加密技術、防火墻、入侵檢測技術、網絡掃描技術，以及訪問控制技術等。雖然安全架構在設計上出現問題與管理方面出現問題，是引發信息系統安全問題的主要因素，但還是有其他因素存在。因此，在電力信息系統安全保障體系的建設，要考慮電網運行安全方面以外，還要經過信息安全系統的的建設、信息安全管理的建設和信息安全策略的建設三個階段。
一、電力信息安全保障體系存在的問題
隨著科學技術的不斷發展，計算機技術也在不斷進步，黑客是擺在我們面前不可忽視的問題。因此電力系統在正常運行的情況下，就很容易受到黑客的攻擊，造成病毒的侵入，所以對電力信息的安全保障體系的建設予以加強，變得迫在眉睫?，F如今，電力信息安全存在的主要問題，大致包括信息安全意識薄弱、信息安全運作機制不完善、信息安全保障工作沒有常態化、系統安全設計不足，以及短板現象顯著等。在大多數電力企業中，信息安全問題常常被忽視，有的甚至處于不防御狀態。信息安全運作機制不完善，在不完善的業務連續性計劃，不規范的信息文檔和測試數據的管理中，有所體現。那么，怎么樣去應對這些問題呢？使這些問題能夠迎刃而解呢？主要從信息安全管理和信息安全技術兩方面入手。其中，信息安全評估、建立安全管理組織、信息安全運行管理、安全策略規劃和安全監督審計等，均屬于信息安全管理范疇。而信息安全技術大致包括通用信息安全技術手段，也就是安全服務，比如訪問管理、防惡意代碼、身份認證和審核跟蹤等等。
二、電力信息安全保障體系的策略與管理
結合當前形勢與公司實際,要不斷進行管理的創新與技術的實踐。從管理層面講，要對組織機構、系統運行維護、規章制度、相關工作人員教育等進行全面控制和管理；而從技術的層面出發，做到防護物理、主機系統、網絡、數據應用等等各方面的安全性,同時在安全可靠前提下，建設一套高效、先進、實用的信息安全保障體系，支撐助力生產專業化與管理現代化，保障電力信息的安全性。制定電力信息安全策略，應該保證在國家信息安全等級保護政策的前提下進行，本著提升電力企業整體防篡改、防泄密、防攻擊等綜合能力的原則，進行策略的制定。電力信息安全的運行，在保證對基礎環境、主營業務系統、軟硬件平臺等等運行維護的同時，還要確保運維技術規范、運維流程和定檢等標準或機制的建立。另外，訪問控制和身份認證，可以將主機系統、安全設備、應用系統，網絡設備等的身份認證，進行統一管理。審計和監控，也可提高信息的安全性，對問題發生時的反應速度，也能夠得以提升，對安全問題的發生，起到了有效的預防。在電力管理信息大區網絡內部，還應建立能夠對病毒進行預防、隔離、檢測和清除的機制。這樣，可以大大降低未知病毒的入侵率。
三、結論
總而言之，加強電力信息安全保障體系的建設，是新時期電力工作者熱衷研究的一大科題，更是今后的工作方向。在電力信息系統安全保障體系建設的過程中，我們必須要以“堅持實事求是、以人為本”的方針為原則，系統性的分析影響電力信息系統運行安全與管理的因素，結合如今電力信息系統安全保障的實際情況，以最佳的建設原則與思路，對電力信息系統安全保障體系進行完善，為電力企業的健康長遠發展做出突出的貢獻。
作者：唐勇 單位：國網四川省電力公司電力科學研究院
參考文獻
[1]李志茹,張華峰,黨倩.電網企業信息系統安全防護措施的研究與探討[J].電力信息化.2012(04)。
[2]香柱平.有關電力企業信息中心網絡安全及防護措施的探討[J].中小企業管理與科技(下旬刊).2010(05)。
[3]張建華,王昕偉,蔣程,于雷,俞悅,余加喜.基于蒙特卡羅方法的風電場有功出力的概率性評估[J].電力系統保護與控制.2014(03)。
[4]丁冬,劉宗歧,楊水麗,吳小剛,李婷婷.基于模糊控制的電池儲能系統輔助AGC調頻方法[J].電力系統保護與控制.2015(08)。
進入21世紀，信息化高速發展，隨著醫療體制改革的逐步普及和深化，醫療衛生信息化正在步入一個信息化全覆蓋、信息化無所不在的時代。
信息化全覆蓋，意味著信息化遍布醫院各個部門和科室，信息化無所不在，意味著信息化貫穿醫院各個環節和流程。也即，醫院信息部門的責任無邊界；信息人員的任務無限延伸。目前的現實是：信息系統已經成為醫院的“神經系統”，系統越來越復雜，范圍越來越大，待解難題層出不窮，各種需求永無止境，信息人員實際工作越來越多，每天疲于奔命，而不滿之聲卻此起彼伏，不絕于耳。
如何突破這種困境？這是醫院信息主管必須思考的一個問題，也是醫院管理者面對的難題。醫院信息主管（CIO）集管理、技術和服務等于一身，是醫院信息工作的直接責任者，必須從自身做起，面對挑戰，轉變觀念，創新管理思路，實現360°服務，將是突破困境的途徑之一。下面從四個方面談談四個360°。
1 具備360°視野
醫院越大，信息系統越復雜，涉及面廣，面對的服務對象多，工作內容復雜，需求多樣化，信息主管首先要具備360?°視野。只有視野開闊了，才能統籌兼顧，管理到位，服務全面。
1.1 360°關注醫院外部視野：指醫院外部相關政府管理部門、社會各方及患者等對醫院的管理、監督和要求。如圖1所示。
面對如此眾多的服務對象，每一個對象對信息化都有特殊要求，信息化必須具備全方位外聯服務功能，例如：患者預約掛號的需求，醫保數據上傳下載功能，衛生統計信息平臺直報功能，藥監網藥品申報和管理，以及網上視頻會議、網上繼續教育和遠程醫療等。外部視野要求：完善信息化硬件基礎設施建設，構建軟件系統平臺，頓悉各方需求，全方位提供服務。
1.2 360°統觀醫院內部視野：指在信息化全覆蓋前提下，滿足醫院內各個部門、各項工作對信息化的要求。如圖2所示。 信息化不僅要滿足醫療需求，還要實現管理、后勤、財務、醫保、科研、教學等諸多功能，同時要有輔助決策功能。
2 實現360°服務
具備了360°視野，在把控全局，了解全部的基礎上，不斷提升管理能力，優化服務措施，力爭實現360°服務。圖3是一個醫院日常工作與服務對象的關系示意圖，它體現了管理與服務對象的密不可分。
具體要求如下：1）洞悉需求：對客戶化需求進行合理化分析，合理的予以修正，不合理的給予原因解釋；主動了解使用者的需求，耐心聽取各方意見，主動征求客戶化修改意見。2）流程優化：通過對醫療流程的深入了解和分析，不斷改進，通過軟件修正和行政干預，使流程盡量優化。3）簡便操作：基于醫療最終服務于患者的宗旨，醫院信息系統應該操作簡便，桌面操作應當人性化、簡捷化、便利化，不能使醫務人員的操作成為負擔。4）界面友好：一個合格的醫院信息系統應該界面友好，既符合使用者的使用習慣，又符合醫療流程；既簡單明了，又全面合理，友好的界面可以減輕使用者視覺疲勞。
3 實施360°管理
內部管理是保障醫院信息系統安全、穩定、有效運行的前提和基礎。一個龐大的系統，如果沒有嚴格規范的管理，就不會有安全穩定的運行，也難以避免重大災難事故的發生。作為一所大型醫院，重大網絡故障造成的損失和影響無法估量，將會造成整個業務的癱瘓。而實施360°管理的前提是理順信息部門的管理體制和機制，明確管理框架和職責。360°管理內部結構組成大致包括人員分工管理、設備采購管理、網絡運維管理、硬件運維管理、軟件管理、業務流程管理、安全管理和應急管理部分，如圖4所示。
內部360°管理基本要求如下：
1）完善制度：建立健全一整套規范、科學、完善的內部管理規章制度，并不斷改進；2）安全管理：加強安全管理是一切工作的前提和保障；3）應急預案：制訂一套全面的應急管理措施，并定期演練；4）加強溝通：加強部門與部門、醫院與HIS開發商、醫院與設備供應商的溝通和協調；5）博采眾長：廣泛聯絡，汲取兄弟單位及各家之所長，取長補短；6）團結協作：應加強醫院內部團結協作，不推委，不扯皮，宗旨是把工作做得更好，更好地為患者服務；7）集思廣益：營造良好工作氛圍，鼓勵建言獻策，發揮集體的智慧，采納合理建議，提升工作質量；8）隊伍建設：通過吸引優秀人才，建立人員培養機制，不斷進行知識更新，擁有一支有戰斗力的技術隊伍。
4 加強360°管控
信息部門不僅是信息技術的掌握者、服務的提供者和信息化進程的推動者，還應成為信息系統安全、穩定、持續運行的看護者和保護神。
關鍵詞：分布式；信息安全；規劃；方案
中圖分類號：TP309.2文獻標識碼：A 文章編號：1009-3044(2008)36-2848-03
An Information Security Program for a Distributed Enterprise
GUO Yong, CHEN Rong-sheng, ZHAN Gui-bao, ZENG Zhong-cheng, LU Teng-zu, LI Zhuang-xiang
(Fujian Xindong Network Technology Co., Ltd. Fuzhou 350003,China)
Abstract: Based on the specific conditions of the distributed enterprise, information security architecture in accordance with the relevant standards, a distributed enterprise information security planning principles and objectives. And based on the principles and objectives of the meeting, according to the organization, management and technical aspects of three specific design specifications with the principle. Finally, based on the objective of planning services, a category of information distributed enterprise information security services, planning and design examples.
Key words: distributed; information security; planning; program
1 引言
據來自eWeek 的消息，市場研究機構Gartner 研究報告稱，很對企業目前仍缺乏完整的信息安全規劃和規范。盡管目前很多企業在信息安全方面的投入每年都在緩慢增長，但由于推動力以外部法律法規的約束和商業業務的壓力為主，因此他們對安全技術和服務的選擇和使用仍停留在一個相對較低的水平。尤其對于機構構成方式為分布式的企業而言，因為信息安全需求和部署相對更加復雜，投入更多，因此這類企業的信息安全規劃就更加缺乏。
本文根據這類分布式企業的特點提出了一種符合該類企業實際的信息安全規劃方案。
2 總體規劃原則和目標
2.1 總體規劃原則
對于分布式企業的信息安全規劃，要遵守如下原則：適度集中，控制風險；突出重點，分級保護；統籌安排，分步實施；分級管理，責任到崗；資源優化，注重效益。
這個原則的制定主要是根據分布式企業的實際機構構成情況、人員素質情況以及資源配置情況來制定的。
2.2 總體規劃目標
信息系統安全規劃的方法可以不同、側重點可以不同，但是需要圍繞組織安全、管理安全、技術安全進行全面的考慮。信息系統安全規劃的最終效果應該體現在對信息系統與信息資源的安全保護上，下面將分別對組織規劃、管理規劃和技術規劃分別進行闡述。信息安全規劃依托企業信息化戰略規劃，對信息化戰略的實施起到保駕護航的作用。信息系統安全規劃的目標應該與企業信息化的目標是一致的，而且應該比企業信息化的目標更具體明確、更貼近安全。信息系統安全規劃的一切論述都要圍繞著這個目標展開和部署。
3 信息安全組織規劃
3.1 組織規劃目標
組織建設是信息安全建設的基本保證，信息安全組織的目標是：
1）完善和形成一個獨立的、完整的、動態的、開放的信息安全組織架構，達到國際國內標準的要求；
2）打造一支具有專業水準的、過硬本領的信息安全隊伍。對內可以保障企業內部網安全，對外可以向社會提供高品質的安全服務；
3）建設一個 “信息安全運維中心（SOC）”，能夠滿足當前和未來的業務發展及信息安全組織運轉的支撐系統，能夠對外提供安全服務平臺。
3.2 組織規劃實施
對于組織規劃這個方面，是屬于一個企業信息安全規劃的上層建筑，需要用一種由上而下的方法來實現，其主要是在具體人事機制、管理機制和培訓機制上做工作。對于分布式企業而言，需要主導部門從上層著手，建章立制，強化安全教育，加大基礎人力、財力和物力的投入。
4 信息安全管理規劃
4.1 管理規劃目標
信息安全管理規劃的目標是，完善和形成“七套信息安全軟措施”，具體包括：一套等級劃分指標，一套信息安全策略，一套信息安全制度，一套信息安全流程規范，一套信息安全教育培訓體系，一套信息安全風險監管機制，一套信息安全績效考核指標。“七套信息安全軟措施”關系如圖1所示。
4.2 信息安全管理設計
基于對管理目標的分析，信息安全管理的原則以風險管理為主，集中安全控制。管理要素由管理對象、安全威脅、脆弱性、風險、保護措施組成。
4.2.1 信息安全等級劃分指標
信息安全等級保護是國家在國民經濟和社會信息化的發展過程中，提高信息安全保障能力和水平，維護國家安全、社會穩定和公共利益，保障和促進信息化健康發展的基本策略。
4.2.2 信息安全策略
信息安全安全策略是關于保護對象說明、保護必要性描述、保護責任人、保護對策以及意外處理方法的總和。
4.2.3 信息安全制度
信息安全制度是指為信息資產的安全而制定的行為約束規則。
4.2.4 信息安全規范
信息安全規范是關于信息安全工作應達到的要求，在信息安全規范方面，根據調查，建立信息安全管理規范、信息安全技術規范。其中，安全管理規范主要針對人員、團隊、制度和資源管理提供參照性準則；信息安全技術規范主要針對安全設計、施工、維護和操作提供技術性指導建議。
4.2.5 信息安全管理流程
信息安全流程是指工作中應遵循的信息安全程序，其目的是減少安全隱患，降低風險。
4.2.6 信息安全績效考核指標
信息安全績效考核指標是指針對信息安全工作的質量和態度而給出的評價依據，其目的是增強信息安全責任意識，提高信息安全工作質量。
4.2.7 信息安全監管機制
信息安全監管機制是指有關信息安全風險的識別、分析和控制的措施總和。其主要目的加強信息安全風險的控制，做到“安全第一，預防為主”。
4.2.8 信息安全教育培訓體系
其主要目的加強的信息安全人才隊伍的建設，提高企業人員的信息安全意識和技能，增強企業信息安全能力。
5 信息安全技術規劃
5.1 技術規劃目標
信息安全技術規劃目標簡言之是：給業務運營提供信息安全環境，為企業轉型提供契機，構建信息安全服務支撐系統。具體目標如下：
1）打造信息安全基礎環境，調整和優化IT基礎設施，建立安全專網，設置兩個中心（信息安全運維中心、災備中心）；
2）建立一體化信息安全平臺，綜合集成安全決策調度、安全巡檢、認證授權、安全防護、安全監控、安全審計、應急響應、安全服務、安全測試、安全培訓等功能，實現的集中安全管理控制，快速安全事件響應，高可信的安全防護，拓展企業業務，開辟信息安全服務新領域。
5.2 信息安全運維中心(SOC)
SOC 是信息安全體系建設的基礎性工作，SOC 承載用于監控第一生產網的安全專網核心基礎設施，提供信息安全中心技術人員的辦公場所，提供“7×24”小時連續不斷的安全應用服務,提供實時監控、遠程入侵發現、事件響應、安全更新與升級等業務，SOC 要求具有充分保障自身的安全措施。除了SOC 的組織建設、基礎工程外，SOC 的技術性工作還要做以下幾個方面：
1）硬件基礎建設，主要內容是SOC 的選址、布局、布線、系統集成，實現SOC 自身的防火、防潮、防電、防塵、安全監控功能；
2）軟件基礎建設，包括SSS 系統、機房監控子系統、功能小組及中心組劃分。
圖1 信息安全軟措施關系
圖2 信息安全總體框架
圖3 資產、組織、管理和安全措施的關系
5.3 信息安全綜合測試環境
隨著分布式企業信息化程度的日也加深，需要部署到大量IT 產品和應用系統，為了保障安全，必須對這些IT 系統和產品做入網前安全檢查，消除安全隱患。基于此，綜合測試環境建設的內容包括：安全測試網絡；測試系統設備；安全測試工具；安全測試分析系統；安全測試知識庫。
其中，安全測試網絡要求能夠模擬企業網絡真實的帶寬；測試系統設備能夠提供典型的網絡服務流量模擬、典型的應用系統流量模擬；安全測試工具覆蓋防范類、檢測類、評估類、應急恢復類、管理類等，并提供使用說明、漏洞掃描、應用安全分析；安全測試分析系統能夠提供統計分析、圖表展現功能；安全知識庫包含以下內容：漏洞知識庫，補丁信息庫，安全標準知識庫，威脅場景視頻庫，攻擊特征知識庫，信息安全解決案例庫，安全產品知識庫，安全概念和術語知識庫。
5.4 安全平臺建設規劃
參照國際上PDRR 模型和國家信息安全方面規范，建議信息安全總體框架設計如圖2所示。
主要目的，以資產為核心，通過安全組織實現資產保護，以安全管理來約束組織的行為，以技術手段輔助安全管理。其中，資產、組織、管理、安全措施的關系如圖3所示，核心為資產，圍繞資產是組織，組織是管理，最外層是安全措施。
在平臺中集成十個安全機制，它們分別是：信息安全集中管理；信息安全巡檢；信息安全認證授權；信息安全防護；信息安全監控；信息安全測試；信息安全審核；信息安全應急響應；信息安全教育培訓；信息安全服務。
6 信息安全服務業務規劃
6.1 服務業務規劃目標
信息安全服務業務規劃目標簡言之是：以信息安全服務為切入點，充分發揮企業優勢資源，引領信息安全市場，為企業轉型創造時機。具體目標如下：
1）推出面向客戶安全（檢查、教育、配置）產品；2）推出面向大型企業的信息安全咨詢產品；3）推出面向家庭安全上網產品；4）推出面向企業安全運維產品；5）推出面向企業災害恢復產品。
6.2 服務業務規劃設計
服務業務規劃主要針對具體業務而言，在此列舉信息類分布式企業業務作為示例：
1）信息安全咨詢類產品，其服務功能主要有：信息安全風險評估；信息安全規劃設計；信息安全產品顧問。
2）信息安全教育培訓類產品，其服務功能主要有：提供信息安全操作環境；提供信息安全知識教育；提供信息安全運維教育。
3）家庭類安全服務產品，其服務功能主要有：推出“家庭綠色上網”安全服務；家庭上網防病毒服務；家庭上網機器安全檢查服務；家庭上網機數據備份服務。
4）企業類安全服務產品，其服務功能主要有：企業安全上網控制服務；企業安全專網服務；安全信息通告；企業運維服務。
5）容災類安全服務產品，其服務功能主要有：面向政府數據災備服務；面向政府信息系統災備服務；面向企業數據災備服務；面向企業信息系統災備服務。
7 結束語
通過結合分布式企業的具體實際，按照信息安全體系結構相關標準，提出了分布式企業的信息安全規劃原則和目標。并依據次原則與目標，按照組織、管理和技術三個方面提出了具體的實現與設計規范原則。最后，依據服務規劃目標，提出了信息類分布式企業的信息安全服務規劃設計實例。
參考文獻：
[1] 周曉梅. 論企業信息安全體系的建立[J]. 網絡安全技術與應用，2006，3：62～64，57.
[2] Harold F. Tipton，Micki Krause. Information Security Management Handbook[M]. Fifth Edition.US：Auerbach Publications，2004.
[3] 魏永紅,李天智,張志. 網絡信息安全防御體系探討[J].河北省科學院學報，2006,23,(1):25～28.
[4] 張慶華. 信息網絡動態安全體系模型綜述[J].計算機應用研究，2002,10:5～7.
[5] ISO/IEC 15408，13335，15004，14598，信息技術安全評估的系列標準[S].
[6] BS7799-1，7799-2，ISO/IEC 17799，信息安全管理系列標準[S].
[7] BS7799-2，Information Security Management Systems-Specification With Guidance for use[S].
[8] 李瑋. 運營商IT系統網絡架構的安全域劃分[J]. 通信世界,2005,30:41～41,45～45.
隨著商業銀行業務的快速發展，信息系統在促進商業銀行提高工作效率、提升服務水平、拓展業務范圍等方面的作用越來越明顯。信息系統在帶來便利的同時，也帶來了一定的風險。信息系統安全問題日漸成為商業銀行內、外部監管的重點。研發風險是在信息系統研發階段可能引入的，導致信息系統出現安全性問題的風險。研發風險管理工作是從安全和風險角度對信息系統安全設計、實施情況進行統籌管理的一項工作，旨在保障和提高新研發信息系統的安全性。
研發風險管理工作特點
商業銀行信息系統所承載的業務服務和數據都很重要，一旦受到破壞將對商業銀行及其客戶的利益造成嚴重損害。因此商業銀行對信息系統的安全性、穩定性要求很高。但隨著業務的快速發展，商業銀行信息系統的種類和數量也在快速增加。這些信息系統需要采用不同的語言、平臺和架構來實現，其關聯關系和技術復雜度越來越高。同時，隨著IT技術的發展和互聯網開放程度的加深，新的攻擊手段不斷出現，安全攻防技術不斷演變，且有愈演愈烈之勢。因此商業銀行研發風險管理工作具有管理要求高，管理難度大的特點。
為加強對商業銀行的風險管理，人民銀行、銀監會等監管機構了一系列指引，其中包括了信息系統研發相關的合規性要求。這些要求也是監管機構進行檢查的重點，如果未能在研發階段落實，信息系統上線后仍需進行整改，將增加不必要的成本和變更風險。因此，研發風險管理工作不但應落實信息系統的安全性要求，還應將合規性要求納入考慮范圍之內。
研發風險的分類
《巴塞爾新資本協議》已將操作風險納入資本監管，并將信息科技風險劃歸操作風險范疇。研發風險屬于信息科技風險的組成部分，具體細分，又可以分為管理風險和技術風險。
管理類風險是指由于未做好研發風險管理相關工作，間接對信息系統安全性造成影響的風險，主要有合規性風險、管理環節缺失、管理力度不足等。合規性風險是指未落實監管部門關于研發風險的監管要求而形成的風險，例如未落實《銀監會非現場監管報表》對“項目代碼安全檢查完成率”、“代碼安全檢查方法”的要求等。
技術類風險是指因各種技術原因引入的，影響信息系統安全性的風險，主要包括安全設計問題、代碼漏洞。安全設計問題是指信息系統安全設計不到位，例如用戶口令復雜度不足、敏感數據未加密存儲等；代碼漏洞是指由于開發人員疏忽或者編程語言的局限性，導致程序存在可以被黑客利用的邏輯錯誤，例如SQL注入、跨站腳本、緩沖區溢出等。
我國商業銀行研發風險管理工作現狀
我國商業銀行雖然在規模、業務特性與管理模式上存在差異，但由于同處于我國經濟大環境下，其信息系統研發風險管理工作面臨相似的環境和挑戰。目前我國銀行的系統研發模式有自主研發、合作開發、外包和外購等幾種。大型國有商業銀行一般以自主研發為主，大中型股份制商業銀行一般采用合作開發方式為主，大多數小型和地方性金融機構則主要采用外包或外購的方式。
隨著我國商業銀行信息化建設的不斷深入，目前大多數商業銀行都加強了信息科技風險管理，建立了包括組織、制度、技術等方面的信息科技風險管理體系，涵蓋了基礎架構、研發、測試、運維、外包、應急等各方面。在研發風險管理方面，采用了必要的管理和技術手段，加強了系統安全設計，在一定程度上滿足了業務連續性需求。但是由于起步較晚和重視程度不夠，研發風險管理水平整體滯后于信息科技管理水平，因安全設計不充分所引發的安全事件或整改仍不時出現，危害著商業銀行的安全。因此，我國商業銀行信息系統研發風險管理水平還有待進一步提高。
存在的問題和不足
研發風險管理組織不完善、流程機制不健全。研發風險管理工作的開展需要相關的組織和角色作為支撐。目前，各商業銀行的整體信息科技風險管理組織較為完善，但很少能夠深入到研發風險管理環節，主要表現在缺少研發風險管理的統籌部門，缺少對研發風險管理進行決策的組織機構，項目組中缺少研發風險管理角色等方面。我國商業銀行信息系統研發工作大多以項目的形式進行，普遍擁有完整的項目管理流程，但流程中涉及安全和風險的內容較少，對系統安全設計、實現的審核機制不健全，難以保證在研發階段提高信息系統安全性。
研發風險管理依據多、信息系統安全設計不規范。當前商業銀行的信息系統面臨著多方面的監管要求，既有行內的，也有行外的；既有監管機構的，也有業界的；既有管理要求，也有技術要求。這些要求的來源不同，側重點不同，粗細顆粒度不同，甚至有的相互沖突，給研發人員造成一定困擾，亟待統籌規范。現有信息系統一般都有身份鑒別、訪問控制等設計，能夠滿足基本的安全需要。但由于缺乏整體規范指導，信息系統研發過程中難以避免安全需求不完整，安全設計水平良莠不齊，安全編碼不規范等問題，導致信息系統仍然可能存在安全漏洞。
安全技術不能重復利用、安全技術支持服務不足。商業銀行信息系統具有一些共性的安全設計，例如身份認證、數據加密、日志審計等。在現有模式下，各個項目組缺少溝通協調，往往自行開發，造成重復開發和資源浪費，也不利于企業安全架構整合與管理。研發出安全的信息系統，必須以相應的技術手段作為支撐，但現有商業銀行研發團隊往往缺少這方面的支持和服務，影響了信息系統安全研發水平。
此外， 為了應對業務的發展變化，商業銀行必須不斷提高信息系統研發速度。在業務需求緊急和工作量的壓力下，研發團隊往往會不自覺地重效率輕安全，形成了安全工作人員的數量不足，開發人員的安全意識和安全技能不足等問題。
研發風險管理目標及主要依據
研發風險管理工作是從安全和風險角度對信息系統安全設計、實施情況進行統籌管理的一項工作，主要目標是提升信息系統的安全性，避免安全事件發生，保證商業銀行業務連續性。同時，也應關注信息系統合規性，避免系統上線后因各類檢查發現問題而進行整改，減少不必要的變更。商業銀行開展研發風險管理工作的最理想狀態，是實現對所有信息系統研發風險的統籌管理和良性循環，實現外部監管要求、信息安全技術發展變化與信息系統研發之間的有效銜接，做到對最新安全要求的快速響應、準確解讀、全程跟蹤、有效落地。
為做好研發風險管理工作，有效提升信息系統的安全性、合規性，商業銀行在信息系統研發過程中需遵從多方面的要求。這些要求一方面是對研發風險管理工作的指導和規范，另一方面也是開展研發風險管理工作的依據。從大的方面來說，我國關于商業銀行信息安全、保密等方面的法律法規均屬于研發風險管理依據范圍，這些法律法規的層次較高，不適合指導具體工作開展。從執行角度來看，研發風險管理工作的依據主要有監管要求和信息安全標準，同時還應參考業界最佳實踐。
監管要求?！栋腿麪栃沦Y本協議》將信息科技風險劃歸操作風險，而研發風險屬于信息科技風險范疇。因此，當前我國商業銀行遵從的信息科技風險監管要求，包括：《商業銀行信息科技風險管理指引》、《商業銀行內部控制指引》、《中國銀行業信息科技“十二五”發展規劃監管指導意見》等，通常涵蓋研發風險管理相關內容，是開展研發風險管理工作的有力依據。人民銀行、銀監會等監管機構對商業銀行開展的信息科技檢查，以及商業銀行接受的其他內外部科技審計、風險評估發現的問題，是從各個角度對現有監管要求的細化和解讀，屬于未來新建信息系統應規避的問題，也應納入研發風險管理工作依據范圍。
信息安全標準。信息系統安全問題是整個IT行業普遍關注的問題，經過業界多年探索和經驗積累形成的信息安全標準，是商業銀行開展信息系統研發風險管理工作的另一重要依據。目前國內外信息安全標準種類、數量較多，比較有代表性和有指導意義的包括：信息系統安全等級保護標準、ISO27001標準、CC標準、Cobit標準等。此外，我國國家密碼管理部門、人民銀行等部委針對各專業技術領域頒布的標準，例如《網上銀行系統信息安全通用規范》、《銀行卡聯網聯合安全規范》、國產加密算法標準等，可作為各專業領域信息系統研發風險管理的工作依據。
業界最佳實踐。隨著IT行業對信息系統安全問題的越來越重視，各大公司和機構紛紛進行了廣泛而積極的探索，積累了許多最佳實踐和解決方案，對商業銀行信息系統研發風險管理工作具有一定的啟發和借鑒意義。其中，微軟的SDL方法關于全生命周期安全管理的理念，值得研發風險管理工作借鑒；OWASP的CLASP方法將安全融入現有項目開發流程的理念，與商業銀行在現有條件下推動研發風險管理工作開展的需求相吻合；McGraw的TouchPoints方法在關鍵點切入安全管理的理念，對研發風險管理工作具有借鑒意義。
研發風險管理策略分析
構建研發風險管理體系、全生命周期防范研發風險。針對商業銀行研發過程風險管理工作特點和現狀，要想從根本上解決當前存在的問題，應統籌考慮，博采眾長，從體系化的角度進行整體規劃，構建符合商業銀行自身實際情況的研發風險管理體系。在具體操作上，建議從組織、管理、技術三個方面入手。其中，組織方面應由專職部門牽頭，設置項目安全員、安全專家等角色，分別履行評審、督導、執行等工作職責；管理方面做好管理制度、安全開發標準的制定維護，以及培訓考核等整體推動工作；技術方面要采取多種手段，為項目組提供安全公共組件、安全技術平臺、安全工具等技術支持和服務。信息系統安全問題是整個系統級的問題，包括物理、網絡、系統、應用等很多方面。同時，安全問題也是一個連續不斷地出現的問題，在信息系統研發生命周期的每一個階段都有可能引入風險，無論是選擇的工具、實現技術還是編碼的質量。因此，研發風險防控工作應貫穿信息系統建設全生命周期，在信息系統研發過程中同步做好安全需求分析、安全設計、安全編碼、安全測試、安全審核等工作，使研發風險管理活動與項目管理流程緊密結合，避免引入風險隱患。
做好關鍵階段的安全審核、堅持定制化和個性化原則。商業銀行信息系統種類多、數量多，從安全和合規的角度來看，每個信息系統均應落實研發風險管理要求，但商業銀行的投入和能力畢竟有限，必須結合信息系統研發工作特點，準確把握工作重點。在信息系統研發生命周期中，需求分析階段處于初始階段，且與業務聯系緊密，并為后續工作量估算、系統設計等工作奠定基礎。做好需求分析階段的安全評審，能夠保證安全要求在后續工作中得到貫徹執行，具有特別的重要性。同時，在信息系統測試階段，應對信息系統整體安全情況進行審核，以驗證安全需求實現情況，及時修復發現的問題。通過一頭一尾兩個關鍵階段的安全審核，有效保證新研發信息系統的安全性。
雖然研發風險管理工作的管理依據多，可參考標準多，但是現代商業銀行發展迅速，信息科技發展也是日新月異，任何一個標準或指引均不能保證普遍適用，永不過時。商業銀行在開展研發過程風險管理工作中，應準確把握和靈活運用各類工作依據和標準，堅持定制化和個性化原則，結合自身工作特點，制定符合自身實際情況的管理辦法和技術標準。對于各類安全工具或服務，也應根據工作需要做出選擇，并在實際工作中進行個性化改進，尤其是對安全工具的個性化配置維護，將成為研發風險管理工作的主要內容之一。
安全與效率兼顧、管理和技術相結合。商業銀行的業務擴張和發展速度很快。為搶占市場先機，商業銀行信息科技服務的變化速度也很快，且時效性要求很高。這就使得商業銀行必須提高信息系統研發效率。研發風險管理工作屬于提升信息系統安全性的強化工作，主要表現在增加信息系統的非功能性需求，增加研發工作量，因此可能會影響研發效率。商業銀行在開展研發過程風險管理工作時，要緊緊圍繞信息系統研發這個核心工作任務，堅持服務研發、防控風險的原則，妥善處理安全和效率之間的關系，找到安全和效率之間的最佳結合點，爭取以最小的投入產生最大的安全效益。
研發風險管理工作的主要落腳點是加強信息系統研發全生命周期的風險管理，做好需求、設計、編碼、測試等階段風險管理工作，落實安全技術措施。因此，與傳統的項目風險管理不同，研發風險管理不但重視風險管理，還重視安全技術設計和實現。這就要求在開展研發風險管理工作過程中，必須將管理和技術相結合，在提出研發風險管理要求的同時，必須為項目組提供安全技術支持和服務，指導和協助項目組解決技術難題，使研發風險管理要求得到切實貫徹執行。
【 關鍵詞 】 系統；安全；策略
1 引言
近年來隨著氣象信息技術的發展和氣象服務領域的不斷擴大，氣象部門新建或已建的氣象信息系統所承載的業務、服務范圍、安全需求經常發生變化，各種信息系統的安全問題也逐漸暴露出來，很多單位和部門針對信息安全也作了大量的工作。本文在結合遼寧省氣象信息系統等級保護工作現狀的基礎上，通過對三級氣象信息系統進行測評，對其中發現的系統安全的共性問題做一些探討，提出了安全防護策略，對開展氣象信息系統等級保護工作和提高氣象信息系統安全性方面具有重要的意義。
2 氣象信息系統測評
信息等級保護測評即確定信息系統的安全保護等級，發現信息系統存在的漏洞與風險，提出針對性的整改措施；根據各信息系統安全保護等級的不同，確定其不同的能力目標以及所能應對的不同級別的安全威脅。
遼寧省氣象局三級氣象信息系統等級保護測評工作主要針對遼寧省氣象部門內部的重要信息系統，包括遼寧省氣象信息綜合分析處理系統（Micaps系統）、全國氣象寬帶網遼寧分系統、國內氣象通信系統遼寧分系統。測評工作主要分測評準備、測評方案方案編制、現場測試和測評分析與報告編制四個階段進行，內容涵蓋終端設備情況調查、網絡局域環境調查、業務應用服務情況調查、數據備份情況調查及相關安全人員訪談等多項內容，測評于7個工作日內完成。
2.1 測評準備
測評工作具體由遼寧省信息安全測評中心（具備等級測評資質）組織實施，在測評前，首先進行測評準備，確認了遼寧省三級氣象信息系統的功能組件，技術功能組件為232個，管理功能組件為154個，提交了具體的測評方案，簽訂了測評合同。
2.2 現場測試
現場測試主要是對網絡設備、主機設備、應用軟件的安全功能/策略的驗證性測試。在測試的廣度上，覆蓋到不同類型，在數量、范圍上進行抽樣；在測試的深度上，進行了系統功能測試，主要涉及到功能規范、高級設計和操作規程等內容。
2.3 單元測評
單元測評是把測評指標和測評方式等結合到氣象信息系統的功能組件上，構成了一個個可以具體測評實施的工作單元。從技術上的物理安全、網絡安全、主機安全、應用安全和數據安全五個層面和管理上的安全管理機構、安全管理制度、人員安全管理、系統建設管理和系統運維管理五個方面分別逐一進行測評。
2.4 系統整體測評
系統整體測評主要是在單元測評的基礎上，通過測評分析系統在安全控制間、層面間和安全區域間三個方面存在的關聯作用，驗證和分析不符合項是否影響系統的安全保護能力，同時分析系統與其他系統邊界安全性是否影響系統的安全保護能力，綜合測試分析系統的整體安全性是否合理。具體內容包括：安全控制間安全測評、層面間安全測評、區域間安全測評和系統結構安全測評。
在上述工作結束后，最終出具三級氣象信息系統等級保護測評報告。
3 氣象信息安全現狀及存在的問題
在對上述氣象信息系統測評過程中發現三類共性的安全問題。
3.1 信息安全問題
首先，是未在核心區與樓層接入區、下聯邊界區采取訪問控制措施；其次，是系統內未部署了入侵檢測系統，對服務器的網絡訪問進行監控；最后，是缺少必要的安全策略和操作規程，未形成完備的安全管理體系。
3.2 氣象信息安全需要多方參與
遼寧省氣象信息安全工作由省氣象信息中心承擔。在這種情況下，信息安全問題很可能沒有得到充分研究和支持。負責信息安全工作的管理及技術人員應在深入理解氣象信息系統的業務流程和目標的基礎下，積極參與分析系統所面臨的風險，及時了解可能給系統造成潛在影響的最新威脅和漏洞，提供權威的信息風險評估。省氣象信息中心通過對風險評估的正確理解，制定安全策略、標準和準則，進而保障信息系統的完整性、機密性和可用性。
3.3 氣象信息網絡內外網分離
為了有效地降低氣象信息系統遭受攻擊的風險，信息網絡應將信息內網和信息外網物理隔離。
黑客可以通過Internet公共信息網采用木馬、蠕蟲和病毒等攻擊手段，破壞辦公系統、竊取機密氣象資料、篡改氣象網站信息等等。所有這些攻擊行為都會對氣象信息系統造成損害。
為了保障氣象信息系統的安全，應分別建立兩套獨立的信息網絡。信息內網承載氣象核心業務系統、財務系統、辦公系統、內部視頻會議系統以及與上級機構的專線互聯系統。信息外網承載門戶網站系統、移動辦公系統以及對Internet公共信息網的訪問等等。信息內外網分離的方式有效地降低了來自Internet公共信息網對氣象信息系統的攻擊風險。
4 氣象信息安全分區分域和縱深防護策略
根據信息網絡的構成，信息網絡可以分為系統邊界、桌面終端域和應用系統域。根據國家等級保護工作的規范，應用系統域可以定級為二級系統域或三級系統域。我們可以在分區分域的基礎上，采用縱深的安全防護策略。
4.1 信息系統邊界
信息系統邊界是氣象信息系統和外界數據交互的邊界區域，是保障數據安全的第一道屏障。為了保障信息系統邊界的數據安全，需要部署安全設備和措施：
一要設置高效、安全的防火墻設備，通過訪問策略和阻斷策略對通過邊界的雙向流量進行網絡側過濾，阻止不明身份黑客對信息系統的訪問；
二要部署先進的IPS主動防攻擊設備，通過配置網絡常見攻擊匹配包對雙向流量進行應用層的檢測，可以有效地降低病毒、蠕蟲和木馬等攻擊風險；
三要配備主流的流量控制設備，通過檢查異常流量，保護邊界出口帶寬的正常使用；
四要部署邊界設備審計系統和日志分析系統，定期采集網絡設備和安全設備的操作日志和運行日志，出具日志報告。通過對日志報告的分析，信息安全管理人員可以對信息系統遭受的攻擊、網絡邊界的規則效用以及設備運行狀況進行評估，從而制定下一步相應的安全規劃。
4.2 桌面終端域
桌面終端域由氣象職工桌面工作終端構成，是信息安全事件的溫床。桌面終端域安全防護是安全防御的第二道屏障，主要包括三方面。
一是桌面終端操作系統安全。單位內部大部分PC機所使用的操作系統是微軟公司的Windows XP或者Windows Vista，針對黑客攻擊行為，微軟公司會定期系統安全補丁包。信息內外網應各部署一套微軟WSUS補丁服務器，定期統一下載操作系統安全補丁。
二是系統防病毒策略。計算機病毒是電腦系統癱瘓的元兇，防病毒策略由部署在信息內外網的防病毒服務器來實現。在信息內外網各部署一套防病毒服務器，信息內外網PC機設備安裝防病毒客戶端，定期自動從防病毒服務器更新防病毒庫。
三是移動存儲介質安全。缺乏有效保護的移動介質是傳播病毒的有效載體，是泄密的罪魁禍首。在單位可以部署安全移動存儲系統，對U盤進行加密處理。所有員工均使用安全U盤，規避移動介質風險。
4.3 應用系統域
應用系統域由運行應用系統的服務器和存儲應用數據的數據庫組成。應用系統域安全防護是安全防御的第三道屏障。應用系統域和系統邊界以及桌面終端之間需要部署防火墻設備，不同安全防護等級的應用系統域之間也需要部署防火墻設備。應用系統維護人員需要認真統計系統的應用情況，提供詳實的端口應用情況，制定實用的訪問和阻斷策略。
5 結束語
信息網絡已成為氣象部門開展氣象預報、業務應用運行和內部辦公的承載平臺，氣象信息安全也成為安全生產管理中不可或缺的一環。各種信息安全防護技術在氣象部門得到了比較廣泛的應用，也取得了很好的效果，為保障氣象業務安全、可靠、穩定運行，提供了有力的技術支撐。
但同時也應該看到將各種安全設備簡單地堆砌起來并不能達到預期的目標，必需根據氣象信息系統的特點、結合本單位的實際情況，做好中長期規劃。要以適度安全為原則，有針對性、分階段地部署適合本單位的安全防護技術，并強化管理措施，才能在成本投入和安全目標之間取得最佳平衡點，才能建設好具有氣象特色的信息安全防護系統。
參考文獻
[1] 信息安全技術信息系統安全等級保護基本要求GB-T 22239-2008，中華人民共和國國家質量監督檢驗檢疫總局，中國國家標準化管理委員會，2008-11-01.
[2] 周國勇，陳磊.信息系統安全檢查工作體系設計研究[J].信息網絡安全，2012（8）：167-169.
[3] 韓阜業，陳震，梁勇等.基于覆蓋網的協同式網絡安全防護與分析系統[J].信息網絡安全，2012 （4）：7-13.
作者簡介：
服務產品化
北京高院在運維實踐中，創新編制服務級別協議（以下簡稱SLA）的編制方法，實現運維任務與運維成本的可視化管理。解決了以下幾個問題：
有利于清晰工作任務?？梢暬芾淼暮诵氖且肓恕胺债a品”的概念，通過運維工作持續產生信息內容、提供技術支持是“服務產品”的主要形態。實踐中，北京高院根據業務需求確定252個 “服務產品”，為了保證產品質量，制定了2983項運維工作任務，依據技術難易程度，考量這項運維工作是由高級、中級還是初級工程師承擔的，并將工作逐項分解落實到責任人，促使每位工程師都清晰各自的工作職責和任務。
有利于考核運維質效。既然是“服務產品”，就有了數量、質量要求，也有了優劣之分，既能檢驗產品質量，也能考量服務質效。
有利于核算運維成本。運維機構投入的人力、智力和財力資源是生產信息“服務產品”的主要成本。將SLA作為統計年度運維人力資源需求的依據，將運維過程投入的各項綜合成本封裝成以“服務產品”為計價單位的費用計算方式，為科學測算年度運維成本費用提供了翔實的成本構成依據。
有利于促進績效管理?？冃Ч芾砭褪嵌讲檫\維工作質量和效率。在電子政務運維工作中引入績效管理工程師是機制創新。
服務全外包
全外包就是將電子政務資產的維修更換、軟件的升級優化、人員的工時費用等一攬子工作任務通過定額全部外包。北京高院運維管理工作的目標和任務概括起來，就是通過電子政務系統，向業務部門提供及時、準確、優質、高效的信息“服務產品”，促進實現信息與業務深度融合。
有利于激發運維機構責任心。全外包是既包工也包料，是以提供合格的“信息產品”為運維服務的工作目標。這賦予了運維機構更大的自主管理權，責任心強、管理到位，不僅能夠節約人力成本，還能減少設備維護更換的費用，管理越規范、工作越嚴謹，就能獲得更好的經濟效益。
有利于提高運維服務質量。對于包工不包料的運維模式，當信息網絡出現設備故障、信息系統遇到問題時，運維機構為了減輕工作責任，減少成本投入，大多情況會向甲方提出更新設備或升級系統的請求。他們的價值取向是甲方設備越新、輔助管理功能越完善，運維工作則越輕松，所承擔的風險也越小?；谶@種思路，他們在運維工作中自然產生了等、靠、要的習慣，當然也不會更多地考慮如何提高運維服務質量和效率的問題。
有利于規范運維管理工作。既包工也包料的運維全外包模式，賦予了運維機構更大的管理權限和利潤空間，激發了他們優化流程、創新機制、協同工作、自律管理的積極性。
有利于信息與業務有效融合。全外包確定了以提供優質、高效的信息“服務產品”為運維服務目標。信息內容是為業務工作服務的，從這個角度講，運維服務機構就必須在保障信息系統安全穩定運行的基礎上，將重點放在“服務產品”的質量方面，研究業務工作對信息的需求，提高信息“服務產品”質量。
有利于保證系統安全穩定運行。全外包模式運維費用既包括了設備維修更換，也包括了人工一攬子費用，由運維機構全權負責設備維修和更換以及人員配置工作。甲方就像購置了電子政務系統安全穩定運行的保險，無需更多擔憂運維成本問題。
駐場服務
全外包模式既然是以提供信息“服務產品”為運維工作目標，運維服務機構就應該采取駐場服務的工作方式，這為保障信息系統穩定運行、滿足業務部門的及時需求提供了重要保障。
駐場服務的必要性。掌握技術優勢的專業運維機構駐場服務，成為電子政務運維服務的常備隊伍。他們不但有條件了解甲方電子政務基礎設施、系統環境和應用系統情況，而且長期為業務部門提供貼身服務，進行實地業務調研，既了解業務流程，也清晰工作程序。
駐場服務技術保障。駐場服務機制有效促進了信息與業務的深度融合。實踐中，北京高院與設備維護和系統管理、應用策劃和內容提供、通信、視頻、信息存儲、信息安全和資源共享等不同專業的運維機構簽訂駐場服務協議，實行8小時現場工作和24小時值班制度。
觀點
“全外包”必須“貼身服務”
運維服務全外包管理工作機制，為業務工作提供貼身的信息服務成為可能。貼身服務對提高電子政務運行績效，促進信息與業務深度融合具有重要意義。