信息技术
有关企业信息系统安全问题的研究
余凯
（广东电网公司东莞供电局）
复、快速恢复等：安全跟踪是指记录和分析安全审计数据，检查系统
信息安全问题，以及所采取的对策。总结了解决企业信息系统安全问题的需中出现的违规行为，判断是否违反企业信息系统安全保障体系的目采取管理手段和技术手段相结合的综合解决方案。动态调整旨在为改善系统性能而引入的智能反馈机制，使系统表标。
关键词：企业信息系统安全现出动态免疫力，取得较好的安全防护效果。在此安全体系模型中，0引言“风险评估+安全策略”体现了管理因素，“防御体系+实时检测+信息系统安全是指信息系统包含的所有硬件、软件和数据受到数据恢复”体现了技术因素，“安全跟踪”则体现了制度因素，并且系保护，不因偶然和恶意的原因而遭到破坏、更改和泄漏，信息系统连统还具备动态调整的反馈功能，使得该体系模型能够适应系统的动续正常运行。态性，支持信息系统安全性的动态提升。
信息系统本身存在着来自人文环境、技术环境和物理自然环境3信息安全管理中管理因素的应用的安全风险，其安全威胁无时无处不在。对于大型企业信息系统的安在安全保障体系中，“风险评估+安全策略”体现了管理因素全问题而言，不可能试图单凭利用一些集成了信息安全技术的安全3.1为保障企业信息系统的安全，企业必须成立专门的信息系产品来解决，而必须考虑技术、管理和制度的因素，全方位地、综合解统安全管理组织。由企业主要领导负责，通过信息安全领导小组对企决系统安全问题，建立企业的信息系统安全保障体系。业的信息安全实行总体规划及管理。具体的实施由企业的信息主管
1企业管理信息系统安全存在的普遍问题分析部门负责。随着信息科技的发展，计算机技术越来越普遍地被应用于企业，3.2企业应该出台关于保证信息系统安全管理标准。标准中应而企业的信息系统普遍都经历了由点及面，由弱渐强的发展过程，并该规定信息系统各类型用户的权限和职责、用户在操作系统过程中在企业内形成了较为系统的信息一体化应用。随着企业信息系统建必须遵守的规范、信息安全事件的报告和处理流程、信息保密；系统设的全面开展以及各种业务系统的逐步深入，企业的经营管理等对的帐号和密码管理、信息安全工作检查与评估、数据的管理、中心机信息系统的依赖也越来越强，甚至成了企业生存发展的基础和保证。房管理等信息安全的相关的标准，而且在系统运行管理过程中应该因此企业信息系统的安全可靠性越来越重要，信息系统安全成为企根根据发展的需要不断地补充及完善。业迫切需要解决的问题。因为信息专业人员面对的是一个复杂多变3.3积极开展信息风险评估工作。定期对系统进行安全评估工的系统环境，如：设备分布物理范围大，设备种类繁多；大部分终用户作，主动发现系统的安全问题。信息安全意识贫乏；系统管理员对用户的行为缺乏有效的监管手段；3.3.1信息网的网络基础设施(拓扑、网络设备、安全设备等)少数用户恶意或非恶意滥用系统资源；基于系统性的缺陷或漏洞无3.3.2信息网网络中的关键主机、应用系统及安全管理法避免；各种计算机病毒层出不穷等等，一系列的问题都严重威胁着3.3.3当前的威胁形势和控制措施。信息系统的安全。因此，如何构建完善的信息系统安全防范体系，以通过对企业信息网内支撑主要应用系统的IT资产进行调查，对保障企业信息系统的安全运行成为企业信息化建设过程中发展必须存在的技术和管理弱点进行识别，全面评估企业的信息安全现状，得面对并急需解决的课题。出企业当前的全面风险视图，为下一步的安全建设提供参考和指导
2企业信息安全解决方案的模型分析方向。为企业信息安全建设打下了扎实的基础。2.1从关于对信息系统安全的几个认识上的问题：3.4加强信息系统(设备)的运维管理，包括如下几方面的措施:2.1.1解决信息系统的安全问题要有系统的观念。解决信息系3.4.1建立完善的设备、系统的电子台帐，包括设备的软、硬件统的安全问题必须是系统性的不能指望只从任何一方面来解决。从配置以及其它相关的技术文档；系统的角度来看信息系统由计算机系统和用户组成，因此信息系统3.4.2规范系统管理的日常各项工作，包括设备安装、系统安装安全包括人和技术的因素；以及各项操作都进行闭环管理；
2.1.2信息系统的安全问题是动态的、变化的；3.4.3建立完善的工作日志，日常的各项操作、系统运行等都必2.1.3信息系统的安全的相对的；须有记录；2.1.4信息安全是一项目长期的工作，需制定长效的机制来保3.4.4规范普通用户的行为，只分配给各种用户足够应用需要障，不能期望一劳永逸。的资源、权限。
2.2企业信息系统安全所采取的策略：根据以上的分析结合多4信息安全管理系统技术应用年的实际系统管理经验我认为企业信息系统安全管理系统就是一个在安全保障体系中，“防御体系+实时检测+数据恢复”体现在充分分析影响信息系统安全的因素的基础上，通过制定系统完备了技术因素。在信息安全保障体系统建设过程中，需从多个方面，多的安全策略并采取先进、科学、适用的安全技术能对信息系统实施安个角度综合考虑。采用了分步实施，逐步实现的方法。结合多年来在全监控和防护，使系统具有灵敏、迅速的恢复响应和动态调整功能的信息安全方面采取的技术手段觉得可以采取的技术手段如下：智能型系统安全体系。其模型可用公式表示为：4.1关键的系统采取冗余的配置，以提高系统的安全性。如对核
系统安全=风险评估+安全策略+防御体系+实时检测+数心交换机、中心数据库系统、数据中心的存储系统、关键应用系统的据恢复+安全跟踪+动态调整服务器，可以采取双机甚至群集的配置以避免重要系统的单点故障。
其中，风险评估是指经过充分的分析找出各种可能影响信息系加强对网络系统的管理。网络系统是企业信息系统安全的最核心内统安全的各种因素（包括技术的和管理的因素），以及这些因素可能容之一，也是影响系统安全因素最多的，很多系统安全的风险都首先对对信息系统安全产生的风险存在的安全风险及可能影响信息系统是由于网络系统的不安全引起的。在此重点谈一下在网络安全方面安全的各种因素进行的分析和报告，是安全策略制定的依据；安全策需采取的技术手段。略是系统安全的总体规划和具体措施，是整个安全保障体系的核心4.1.1加强网络的接入管理。这是网络安全的最基础工作，与公和纲要：防御体系是根据系统存在的各种安全漏洞和安全威胁所采用网络系统不同，企业的网络系统是企业专有的网络，系统只允许规用的相应的技术防护措施，是安全保障体系的重心所在；实时检测是定的用户接入，因此必须实现接入管理。在实际的工作中采取边缘认随时监测系统的运行情况，及时发现和制止对系统进行的各种攻击；证的方式。在笔者的实际工作中是通过对所在公司的网络系统进行数据恢复是在安全防护机制失效的情况下，进行应急处理和响应，及改造后实现了支持基于MAC地址或802.1X两种方式的安全认证，
自动恢复、确保恢实现企业内网络系统的安全接入管理。使所有的工作站设备从网络时地恢复信息，减少被攻击的破坏程度，包括备份、
摘要：本文阐述了企业的管理信息系统在运行维护过程中所遇到的各类
262
信息技术
端口接入网络系统时必须经过安全认证，从而保证只有授权的、登记在册的设备才能接入企业的网络系统以保证系统的安全。
4.1.2利用VLAN技术根据物理分布及应用情况适当划分系统子网。这样有多方面的好处：首先对网络广播流量进行了隔离，避免人为或系统故障引起的网络风暴影响整个系统；其次是提高系统的可管理性。通过子网的划分可以实现对不同的子网采取不同的安全策略、将故障定位在更小的范围内等；再次是可以根据应用的需要实现某些应用系统的相对隔离。
4.1.3加强对网络出口的管理。如在企业内部网络与Internet（或其它不可信任的网络）连接的边界架设防火墙作安全网关，并制定了安全的访问策略；架设了防病毒网关，尽可能将计算机病毒堵在企业内部网络之外。
4.1.4采用网络运维管理网管平台，实现对企业网络系统监控、IP地址与服务分布查询定位、网络数据流异动报警功能。
4.1.5在系统上部署网络入侵和安全审计系统，如采用旁路方式接入网络，对网络内部和外部的用户活动进行监控，侦察系统中存在的现有和潜在的安全威胁，对与安全有关的活动信息进行识别、记录、存储和分析。
4.2通过桌面管理系统等实现对企业的PC等外围以及终端用户的行为进行集中的管理。数据表明企业的系统安全事件大部分来自于企业内部网络。如何实现对内部用户的有效管理，防止用户有意或无意的滥用系统资源而对整个信息系统造成危害是企业系统信息系统安全需解决的重要问题。根据笔者的经验在边缘认证系统的支持下对PC等外围设备进行集中的监控和管理、对用户行为能有效（上接第261页）
书馆的文献信息资源建设要走特色之路，这是高校图书馆事业发展的需要。图书馆在未来的竞争中主要体现在它的“特色性”上。可以说，谁拥有特色，谁就拥有自己的读者及发展空间。随着网络化的发展，没有特色藏书的图书馆就无法起到网上文献资源节点的作用，从而失去其在网上存在的价值。因此，高校图书馆要切实采取特色化发展馆藏的策略。为了实施特色化策略，中文图书采访工作一定要认准
同时为了特色化目标，着重采购能够满足读者信息需求的特色文献。
做到有计划地提供文献信息服务，要跟踪重点学科与重点科研项目，加强与院系学科带头人、项目负责人的对口联系，了解他们对图书资源和服务的新需求及反馈信息，及时调整采访工作计划，充分满足他们对文献信息的需求。
2.2采访质量控制策略。要想在有限经费下确保图书采访质量，极大地满足教学科研的需求，必须对选书质量实行控制。所谓控制，就是按采访计划办事，按图书质量标准选书，做好订购查重工作。
2.2.1制定好图书采访计划。采访计划是图书文献采访的指南和依据，也是藏书发展目标和采购原则的具体体现。制定采购计划时，首先应坚持“以需定进”的原则，将有限的经费用到最需要的方面；其次，应根据本馆的服务对象，充分考虑师生读者的信息需求和学校的专业设置及未来发展方向；再次，还应参考馆藏的现状，注重馆藏的特色建设。在内容上主要涉及图书与期刊的比例，社科类文献与理工科类文献的比例，重点学科与新设专业的比例，纸质图书与电子图书的比例，对重点学科、重点研究项目的图书应重点保障，对新设专业要适度倾斜等。只有制定了采访计划，才能加强针对性，避免随意性和盲目性，使整个采访工作做到循序渐进，突出重点，兼顾一般。
2.2.2确定图书采访质量的标准。大学图书馆选书的质量标准，应在紧紧围绕专业特色这个前提下抓质量，切实遵循实用性、系统性、价值性。所谓实用性，是在选书时，要有针对性，要讲求实用，符合图书馆的性质与任务，符合读者的需求，符合本校的实际需要。系统性是指按藏书内容系统完整、结构科学合理、重点和特色藏书系统完整的要求选订图书。价值性是指选购图书时要注意图书的学术价值、理论价值和文化价值、艺术价值，尽量减少一般化、科普性、选题雷同、内容重复和平庸的图书，力求选择那些学术价值高、内容科学严谨的著作充实馆藏。
2.3采购渠道与方式选择策略。近年来，图书市场空前繁荣，图
跟踪是最有效的方法。而桌面管理系统能帮助系统管理人员实管理、
现这些目标。通过该系统对企业的IT资源进行动态的跟踪收集，动态生成最新的IT资源清单；对设备异动进行报告。实现硬件、软件资源的远程维护及管理。主动的基于系统的安全漏洞的扫描功能。实现快速的系统安全评估及系统补丁的自动分发，提高IT资源的有效使用率。
4.3选择合适的防病毒产品，部署安全而有适用的防病毒系统。计算机病毒近年来是威胁信息系统安全的重要因素，层出不穷的计算机病毒严重威胁着企业的信息系统。根据应用的不同选择合适的防病毒产品来部署企业的防病毒系统是非常重要的。根据笔者的经验可以根据应用系统的安全等级要求不同可以采取多种防病毒产品、对不同的应用系统采取不同的查、杀、拦截策略。如对服务器、重要的系统就应当采取以保护系统的数据安全、系统运行的稳定性为前提的病毒防护策略，而对PC等终端设备则要采取以不能因它而威胁整个系统安全为原则的病毒防护策略；相反一台工作站的连续运行能力就不是要重点考虑的，如最好能实现PC等工作站的防病毒产中是否安全使用与边缘认证结合起来，不安全的工作站不能接入系统从而保证系的安全。
5结语
本文结合笔者的实际工作认为企业信息系统的安全是系统性的问题、相对的、动态的、长期存在的，因此企业信息系统安全的解决模型是系统安全=风险评估+安全策略+防御体系+实时检测+数据恢复+安全跟踪+动态调整，简单来说就是规范管理是基础，各种安全技术的使用是手段。
书出版发行改革不断深入，使得中文图书的采购渠道不断扩大。同时，计算机网络技术的应用，使得图书购人方式出现了多种模式。这些新的变化，为高校图书馆的图书采访工作提供了更多的选择。
2.3.1开辟多种采购渠道。高校图书馆选购图书具有专业性强、品种多、复本量少和出版社广的特点。要摆脱传统的单一的供求关系，开辟多种进书渠道。新华书店、民营书店以及出版社特别是一些大型专业出版社出版的图书专业性较强，方便图书馆对某一方面或某一学科的学术性专业图书的选择，在新书的提供上也较新华书店
如果图书馆能选择一部分符合本馆文献资源建设的要求，且出书快。
品种较多的出版社建立稳定的直接购书关系，就可以减少中间周转环节，使图书价格更优惠，购书速度更快捷。
2.3.2采用多种采购方式。如订购、现购、邮购等。购入图书选择哪些方式，对图书到馆的时效性和到馆率有很大关系。
2.4读者参与策略。让读者参与采访工作，共同精选图书文献，能提高购书质量。
2.4.1健全选书机制，请学科专家选书。不少高校都成立了校图书情报工作委员会或图书馆工作委员会。委员会的成员大都是各专业领域里的专家，评价专业图书最有发言权，应把相关书目交给他们圈选。另外，还可请一批基本固定的教师、博士生为图书馆圈选和推荐图书。
2.4.2广泛征求意见，进行读者调查。可在图书馆每个阅览室设立读者意见簿，请读者推荐图书和对馆藏建设提出意见和建议。也可在各学院、系发放新书推荐表，请教师们随时提供购书意见。还可在对读者开放的图书馆网页上，开辟网上读者论坛，让读者随时随地发表意见。同时，可进行读者问卷调查，使采访工作更有针对性。毫无疑问，走读者路线，是确保图书采访质量的有效保证，它可使图书采访真正体现读者第一的思想，使采访工作更有针对性，有利于提高文献利用率，从而达到提高采访质量的目的。
参考文献：
[1]卢丹.新时期图书馆中文图书采访工作琐谈[J].图书馆学刊.20O4(1)：38-39.
[2]袁明华.改革机制突显优势———中文图书采访模式新探索[J].图书馆建设.2005(1)：32-33.
[3]李珊珊，白建明.大学图书馆中文图书采访的几种策略[J].图书情报知识.2003(5)：70-71.
263
