信息安全的管理范文
时间：2023-10-12 17:46:29
信息安全的管理篇1
1.1岗位人员安全意识薄弱
岗位人员随便下载安装个人需要的软件程序，往往会在安装软件的过程中直接将一些安装程序中附带的插件也装在了操作系统中，如果是恶性插件，必然会造成系统的不稳定，严重者甚至会造成信息安全事件的发生，这些事件的发生很大程度上就是因为岗位人员安全意识薄弱所造成的。安全意识薄弱的因素有很多，一是相关技术部门没有长期的进行图书馆信息安全意识的思想灌输；二是岗位人员本身对信息安全意识重视不够。
1.2人员安全管理制度不完善，执行力不高
制度的制定给予管理提供依据，无制度便无章可循，相关工作就会混乱无章。虽然多数高职院校图书馆在人员安全管理方面都制定了相关的管理制度，但制度的内容不够完善，很多细节问题不够全面，甚至只是“白纸黑字”而已，形同虚设，而且执行起来也不够彻底，执行力不高。这大多数高职院校尤其是民办性质的高职院校图书馆都普通存在这样的现象。
2人员安全管理策略
要解决人员安全管理不当带来的信息安全问题，必须要比较全面地完善人员安全方面的管理制度，提高执行力。具体策略如下：
2.1技术人员岗位分工协作
对于技术人员充足的高职院校图书馆，可以将技术人员划分为三个岗位：硬件安全人员、软件安全人员和网络数据人员。根据图书馆的实际情况出发，将这三类技术人员进行分工协作，日常工作中完成各自岗位上的职责。具体划分可以参考附表。
2.2岗位人员安全管理
2.2.1岗位人员的聘用审核
大多数图书馆都会每年进行一次岗位人员的招聘，因此，每年岗位人员的聘用必须经过严格的政审并且考核其业务能力，尤其是安全保密方面的能力。对于信息安全意识强的，工作业务能力高的，要择优录取。严格的聘用审核可以将一些毫无信息安全意识的聘用人员扼杀在图书馆外。
2.2.2岗位人员工作机使用限制
保障图书馆数字信息的全面安全与岗位人员是否正确使用工作机有很大的关系，不法黑客就是利用非技术人员乱下载乱安装插件的陋习造成的系统漏洞进行系统的攻击。根据各馆的实际工作需要，可以对工作机的使用作必要的使用说明，例如可以这样限制：①不得随意下载安装存在安全隐患的插件或其他与图书馆工作无关的软件，例如：证券软件、视频软件等。②不得随意浏览不安全不健康的网页；③如有需要安装工作需要的软件，须联系技术人员为其下载安全；④遇到信息管理系统客户端无法正常使用的情况，不要自行卸载或重装，须联系技术人员解决问题；⑤其他的一些使用原则。
2.2.3岗位人员安全意识培训
信息安全意识对于信息至上的图书馆而言是非常重要的，如果岗位人员都安全意识高，完全可以避免很多信息安全事件的发生。安全培训可以根据图书馆制定信息安全培训制度与培训计划，有针对性地有重点地定时对不同岗位的工作人员进行培训。例如：X馆在每个学期末的全馆学期工作总结会议上，信息技术部主任都会对全馆的工作人员进行迫切高度强调信息安全意识的重要性。
2.2.4岗位人员功能账号统一管理
图书馆信息管理系统包括编目、流通、期刊、系统管理、检索、采访等几个子功能系统，不同岗位的工作人员拥有相应的子系统功能账号。为了保证数字信息的安全，岗位人员功能账号的使用必须统一由相关部门（信息技术部）分配管理，提出有效的管理分配原则，例如：一个岗位人员只能拥有该岗位的功能账号，不得拥有其他岗位的功能账号；对于某些岗位人员有业务工作需求，需要其他岗位的功能账号，可以设置多个公共功能账号提供使用，需求者必须向信息技术部门提出申请；新进的岗位人员需向信息技术部相关工作人员申请账号；岗位人员需要修改账号或密码，必须向技术部相关工作人员提出需求给予修改。
2.3读者用户安全管理
图书馆的信息是为读者用户服务的，信息访问量最大的群体就是读者用户，读者用户是否安全访问也直接影响着信息管理系统的信息安全。因此，图书馆有必要采取有效措施，制定确实可行的读者用户安全访问管理制度，确保读者用户访问图书馆信息的安全。可以通过以下方式提高读者的信息安全意识：①每年新生入学，图书馆可以通过开展新生入馆教育的形式对新生读者进行信息安全意识的提高，通过用户安全培训，提高用户安全意识，使其自觉遵守安全制度。②通过网络宣传、现场海报宣传，小册子派发宣传、讲座演讲宣传等形式对读者长期进行信息安全意识的宣传，提升读者的信息素养，让读者掌握简单有效的病毒攻击防护技巧。
3结束语
信息安全是数字图书馆业务工作稳定进行的基本保障，数字信息不安全，图书馆的信息服务工作就得不到保障。从图书馆技术人员的角度出发，必须要认清信息安全在人员管理方面存在的不足，并提出确实有效可行的人员安全管理措施，以保障数字图书馆信息服务工作的正常进行。
信息安全的管理篇2
关键词：高校；安全管理；信息化；应用
一、高校安全信息化管理的主要意义
信息化管理在高校安全管理工作当中的主要应用是借助于现代化网络技术来针对当前我国高校安全管理保卫工作进行全方位的管理，从而在一定程度上促进我国高校安全管理工作的质量。信息化管理在高校安全管理建设中主要的目的是加强对学校信息安全的保卫工作，能够让校园的信息安全得到保障。最近几年来，伴随着我国科学技术的不断发展，网络信息技术也得到了进步，现代化网络技术在高校教育中的应用越来越广泛，其能够为高校教师在教学工作中带来新的教学模式以及教学方法，在一定程度上能够提高高校教师的整体教学水平。目前，在我国高校安全保卫科部门中，信息化管理还相对落后，有很多的高校保卫部门还没有完全的建立起属于自己的安全管理网站，高校保卫部门的工作人员自身对于信息化安全管理的意识也没有跟随时代的脚步，都是属于较为落后的。除此之外，我国诸多高校安全保卫部门还在一定程度上承担着学校内部治安管理，政治保卫，消防管理以及学生安全教育等多种教育服务工作。当前，我国高校保卫部门工作人员大多还没有被纳入编制形式，据不完全统计调查，我国诸多高校中安全保卫部门的工作人员还没有达到常住校内人口的3%，这种情况的出现，会让我国高校中保卫部门的工作人员在某种程度上出现，人员不足等诸多问题。正是因为高校内部保卫人员的缺少，才在一定程度上让高校安全管理很难得到开展，高校保卫部门的各项服务工作其实是较为繁多的，事情较多，事件较繁杂。所以，高校领导人员必须要坚持以科学的力量，主动的去更新思想理念，要结合高校的实际情况，在一定程度上借助于现代化网络技术，只有这样才能让信息化管理在高校安全管理中的实际应用得到改善，要构建起完善的信息化管理系统，要推动安全保卫工作的信息化，科技化，智能化等方面的完善，充分运用信息化管理在高校安全管理中的应用，在一定程度上去实现高校保卫工作顺利开展以及效率上的提升。让信息化管理服务于高校安全管理，让其为我国诸多高校搭建一个优质的安全教育系统，为广大师生带来更为方便，更为快捷，更为有效的信息化管理服务。
二、完善信息化管理在高校安全管理中体系
（一）分层次的建立健全高校安全管理制度与手段
信息化管理体系规划在当前高校安全管理体系中具有重要地位。高校安全体系建立的，主要的目的是识别安全问题所在，要在一定程度上明确安全管理的内容以及安全管理的范围，建立完善高校安全管理组织管理机制，完善机制必须要从高校管理和技术这两个方面去分析。其中分层次信息化管理规划在这两个环节的安全管理防范中，都能够在某种程度上形成可靠，完整的信息化管理系统体系。以下将信息化管理在高校安全管理中的过程分为七个环节。第一：识别保护对象。识别保护对象主要是识别高校当前所面临的网络安全风险，要分析这些风险的所在点和原因，然后再将所分析出的结果引入进高校安全管理体系规划当中。第二：完善高校安全管理组织体系。高校安全管理组织的成员必须要由专业人员来挑选，还要将各个层面的人员都进行合理的培训分配，要从IT，行政，管理，保卫等部门选取人员来担任这一主要职位。第三：完善高校安全管理工作机制。高校安全管理工作机制是能够形成文件资料形式的工作条例，要制定出校内各个岗位之间明确的具体责任和需要承担的义务、服务等，将工作职责分清楚能够确保高校各岗位员工在工作上的运行效率。第四：将高校安全管理归纳进校内建设规划，要充分了解到高校建设项目，比如教学楼，食堂等项目，要根据实际情况看其建设是否会影响到高校安全管理规划，若是在建设过程中，有一定程度上的影响，那么，就必须要将安全管理规划进高校建设规划当中。第五：根据实际情况来看待现有的高校安全管理预防措施，充分了解高校自身的安全管理措施，并且要在一定程度上去预估所能产生的作用。第六：必须要以长远的眼光来看待高校安全管理，不能只图眼前利益而忘记长远的考虑，因为信息化管理在高校安全管理中的应用是必不可少的。第七：将传统技术充分结合在现代化信息管理安全技术当中，这样能够有效的节约经济成本，还能让安全管理得到改善。
（二）高校安全管理体系框架的主要内容
上面所描述的规划信息化在高校安全管理体系中的步骤从组织，管理到技术等方面全面考虑高校信息化安全管理的相关问题，在一定程度上是能够完善高校安全信息化管理体系的。在高校安全管理工作中要提高师生对信息化安全管理重要性的认识，在高校整体教学工作中不能为了提高暂时的教学效率而放弃了信息化安全管理，要把管理目光放长远，从大局出发。要对学校教学中容易出现安全隐患的各个方面都要有一定的了解，提高其重要性的认识。其中高校安全管理体系框架可以详细的分为三个方面。安全组织体系。其能够确保高校信息安全工作得到落实。在一定程度上能够将决策，管理，运营以及应用的实际作用发挥出来。高校安全管理体系。安全管理体系是整个高校安全管理体系实际运行的重要保障，其最为基本的框架包含了安全制度的建立，运营工作条例的建立以及高校应急机制的完善和评审机制的建立等。高校信息化安全技术体系。信息化安全技术体系是保障高校信息资源以及应用系统不受外部任何形式的病毒攻击，其主要的基本框架式由系统层安全技术和网络层安全技术组成。其中系统层安全技术主要包含了高校内部数据库安全的保护，校内数据备份以及恢复和相关人员身份验证等功能；网络层安全技术主要是包含了对外来病毒的防范进入的检测，防火墙的运行等方面。
三、信息化管理在高校安全管理当中的问题成因
（一）高校安全管理方面的不足
高校安全管理是学校信息化安全的重要组成部分。我国诸多高校内部网络都存在很大的管理问题。据不完全统计调查，高校安全管理制度不完善也是校内网络安全风险的主要问题来源。在某种程度上因为校内网络设计的不规范，漏洞百出，在校内人员使用网络时有可能会因为某些网络陷阱，错误代码等原因，让其运用网络进入到不该进入的网站、页面等。此外还有很多的校内网络内部用户充分使用自己对信息网络的了解去随意的改动网络数据，让学校的网络受到损害，从而在一定程度上使学校信息化安全管理受到网络损害而不能及时的保护，导致学校信息丢失等。虽然我国诸多高校中没有很多的机密文件，但是某种非法访问也在某种程度上严重的破坏了信息化在高校安全管理中的秩序，这种情况的出现所引发后果是不堪设想的。根据相关不完全统计数据表明，我国高校中所出现的安全问题有70%都是来自于校内的内部网络使用人员，还有很多校内管理人员没有经过相关人员的同意擅自对校内信息进行改动或者删除，除此之外还有可能就是校外有人充分利用校内人员采取内外勾结的方式对高校安全管理系统进行破坏，让高校中诸多信息丢失等。
（二）高校安全管理技术较为落后
因为当前我国诸多高校校园网都是运用共享网络结构模式，网络用户和主机之间，用户和用户之间都是通过网络相连接的校内网络传输线路大多都是由双绞线线路和光纤线路所构成的。校园网络所覆盖的范围越大，那么网络的线路也会越多，其所覆盖的网络区域也会越广泛。这种形式的网络结构的本质特征也是构成校园网络安全问题的必要基础，在实际中所出现的网络病毒，校园网络受到黑客袭击以及用户的隐私曝光等问题，都是因为校园网络所受到的破坏，从而致使使用校内网络用户遭到相关的网络袭击。我国大多数高校的网络计算机用户都是采用的Win－dows操作系统，因为这个系统有一定程度上的缺点，所以其自身在防御病毒的能力上相对较弱，很容易受到网络中所附带的病毒破坏系统安全。高校各部门学院做出属于自己学院的网站数量相对较多，但是大多都是技术水平较低的网站，其安全性相对较多，这种情况的出现也会给那些入侵者提供一个较好的环境。除此之外，我国高校内部所使用的网校园网络都是由校园网络中心服务器所扩散出来的，高校网络中心服务器基本都是使用的Windows2003作为主机操作系统，这种操作系统在某种程度上其预防能力和抗入侵能力是相对较弱的，没有固定强悍的杀毒和防御系统，要想将病毒或者是入侵病毒解决掉，就必须要让高校安全管理部门将网络中心的服务器换成IIS让其作为校内网络的Web服务器，然后再将sqlserver作为校内网络数据库的安全系统服务器，这种方式能够在一定程度上将高校网络的安全程度提升，从而高校信息资料安全得到保障。
四、高校信息化安全管理的优化探索
（一）完善信息化安全管理系统和教学信息协调
要完成并做好高校安全管理系统和教学信息协调工作，要求高校在管理技术上和行政机构上做出优化措施。行政机构上要化繁为简，为高校安全管理系统和学校行政部门之间的协调工作，减少不必要的程序，各行政部门之间在协调工作上要由专门的工作部门统一指导，在协调工作的各个环节要有系统具体的工作计划并严格按照工作计划完成工作任务，既要有大方向又得有小目标。在技术上要积极引进先进的设备和方法，提高系统的工作能力和工作效率，保障信息管理系统的稳定性。
（二）全面提高信息化安全管理认识
现在高校学校的管理基层在管理工作中经常会忽略安全管理的工作，对学校上级管理部门所提出的安全管理方案的实施力度不够，管理工作人员在工作中没有全面、充分的认识到安全信息化管理工作的重要性，这就在很大程度上导致了安全问题的出现。因此在高校安全管理工作中首先要提高对信息化安全管理重要性的认识，在学校整体教学工作中不能为了提高暂时的教学效率而放弃了信息化安全管理，要把管理目光放长远，从大局出发。对学校教学中容易出现安全隐患的各个方面都要有一定的了解，提高其重要性的认识。把信息化安全管理工作提高到关系学校一流大学建设上的战略高度来把握、来布置工作，抓好各项制度和措施的落实。
（三）信息化管理模式推进管理制度的健全
在学校信息化管理制度上无论是网络还是其他方面的问题在工作中都要做到明确安全责任，建立责任追查制度，从学校层面将网络和信息安全的责任落实到每个部门，切实网络信息安全的责任，形成追责、补救机制。因为没有责任人就有安全漏洞，所以必须明确责任人和事故处置办法，以此整强对安全管理工作的认识。其次在管理制度上应用信息化管理系统，使管理工作更加高效快捷，管理程序大大简化，安全管理部门和学校二级部门之间的沟通和交流可以在保证快捷的前提下，做到真实准确。信息化安全管理体制在建设中要时刻做到以学生为本，并且服务于全体学生，实现安全信息互通，从而为学生提供了实时高效、个性化、全方位的管理服务，并全面实现了校园安全信息化系统。
（四）加强管理工作人员的培训工作
信息化安全管理模式的管理不仅需要管理人员有较强的安全管理意识、知识，还要对信息化管理有较强的操作技能，做到对计算机技术的应用的精通。这就要求高校要有一批高素质的信息化安全管理工作人员，加强工作人员的专业技能培训迫在眉睫。培训要让学习人员学到先进的管理方法，技能和系统管理工作思想，掌握并能在工作中应用信息化计算机网络技术。只有真正在工作人员上做到计算机技术的熟练应用，才能更好的在高校信息化安全管理工作中做到信息化。
（五）加强网络安全管理
网络是把双刃剑，传播速度快、信息量大，要对网络宣传工作格外的关注。网络安全与信息化是国家战略，也是学校的战略，办学重要的支撑，做好网路安全和信息化工作更是广大师生的愿望，希望引起大家高度重视。学校将进一步健全机制，加快管理队伍的建设，人才专业队伍的建设，推动学校从数字校园向智慧校园纵深发展。首先要善于利用网络进行正面的宣传，增加正能量，对学校的办学亮点、特色进行宣传，对炒作和诽谤要及时地处理、回击。要牢牢地掌握网络话语权，探索网络舆情引导管理新模式，及时发现处理网上的不良信息，主动加强与网信部门、公安部门和上级主管部门的联系，建立健全舆情沟通协作机制。其次校园网络已经成为教学、科研、办公等主要教学活动的支撑平台，是正常办学非常重要的一个平台，重要性不亚于课室和实验室。加强网络安全突发事件应急处置能力，保障学校教学秩序正常运行是我们面临的一个重要任务。面对突发事件，必须尽一切可能快速地恢复，要根据学校的具体情况制定并且完善网络信息安全预警和应急响应方案，明确应急处置的流程、权限、落实应急响应技术队伍，强化技能训练，开展网络防范应急演练，提高网络应急处置能力。
五、结束语
在当今社会现代化和信息化的大发展趋势下，高校安全管理系统应该紧跟时展的步伐。在信息化安全管理中要加强在管理工作中的信息技术应用，提高安全管理的技术水平，一方面充分运用信息技术手段，借助构建信息化平台保安全，科学论证、统筹考虑学校安全信息化建设的方案，另一方面加强和完善视频监控系统建设、网络系统建设，加强对学生信息的掌控能力，提高信息化的水平和质量。才会为学生提供更安全的学习生活环境，最优的发挥信息化给教育带来的便利，对学校的长远发展起到积极的作用。
参考文献：
[1]郑必舜.信息化管理在高校安全管理中的应用[J].中国管理信息化，2017，20（03）：228-229.
[2]朱海波.我国高校安全管理存在的问题与解决措施[J].长江大学学报（社科版），2014，37（04）：76-78.
信息安全的管理篇3
关键词：信息管理系统；信息资产安全；动力学模型
前言
信息安全仍然是企业信息化推进所面临的一个关键问题，通过调查，各类管理信息系统造成的泄密（主要设计商业机密）事件时有发生。随着移动互联网的发展，企业各类电子商务系统的接入导致内部管理信息系统处在风口浪尖，各类入侵、攻击等日趋增加。虽然大多数企业都采取了一系列措施来加强信息安全，但这仅仅通过预防威胁，而不是通过主动打击此类威胁的解决方案。企业往往需要从成本—收益角度来讲，按照施加的成本效益的方法来解决问题，因为许多模型倾向于省略定性或非金融的标准，但这种方法在信息安全层面有效性较差。信息安全管理者的任务包含安全规划、政策制定、人员配备、风险管理、安全技术选择、威胁评估、对策实施、性能监控和设备修理。信息安全管理者可以选择不同策略来对抗各种各样的威胁，包括检测、威慑、减少脆弱性、教育和培训等，然而，通过不同的策略组合明显优于采用单一的解决方案。对于管理者，每个安全战略的采用存在相异的成本，效益以及潜在效益，然而这些参数却都难以量化，往往一次信息泄露的危害性也是难以评估的。本文针对企业管理信息系统所面临的信息安全问题提出了一种基于动力学模型的信息安全监管方法。信息安全管理者对所辖管理信息系统资源按照模型进行监管并调整系统，通过对相应安全问题进行动态地捕捉，按照系统动力学的相关理论进行模型匹配，并且通过3个月的系统监控，证明模型对安全问题的调整和校准的有效性。
1相关研究介绍
管理信息系统信息安全问题的研究已经经历了几十年的发展，传统的系统信息安全研究主要针对个性化的网络攻击[3]、内部滥用[2]、法律法规漏洞。然而，近来一些学者倡导研究一套更全面的方法来解决信息安全问题，这些安全性地研究通过各类模型来解决相应安全问题，包含访问模型，经济模型、动态模型可以深入了解信息安全动态[4]。（1）信息安全访问模型信息安全访问模型的早期型号是贝尔LaPadula模型，它试图通过分配不同的安全级别人员和资产，通过控制访问来保持信息的保密性；同时还有通过形式化的模型在操作系统级别访问程序和其他对象进行了讨论，在这个扩展的前期研究中，通过添加和删除新的资产和人员，安全角度考虑来改变当前授权的能力。（2）信息安全经济模型信息安全的经济模型的研究一般采用定量方法。然而，安全性往往超越了并且通常包括定性和非功能两方面：一些研究人员采用层次分析法结合定量和定性标准[5]，此类研究往往采用信息安全问题的静态视图。然而，实际上，信息安全是一个复杂的系统，它由许多紧密耦合的变量决定最终的复杂度，比如，信息安全因素涉及人的因素，组织因素，防范技术因素，任务和工作环境因素等。此外，管理信息系统的安全子系统往往涉及多个控件，通过技术控制（正式的控制和非正式控制）建立一个更加动态的方法来建模信息安全。（3）信息安全动态模型信息安全动态模型研究采用系统动力学来研究一个组织（可认为公司级）的信息资产基础的安全决策对财务的影响，通过在时间段内关联构建体和跟踪进展跨越的时间段来作为选择系统动力学的模拟方法的重要因素。该模型旨在包括安全策略。漏洞和攻击，并将它们与安全成本和对系统破坏性作为评价标准。尽管该模型不能涵盖所有的安全攻击和方案，它为管理人员提供了相对风险的权衡策略，工件的效用是通过模型在各种条件下的仿真模型试验证明[6]。
2基于动力学模型的信息安全应用
信息安全管理模型涵盖了信息安全若干方面的研究内容，该模型从多个领域作为融合对象，包括软件的漏洞、风险评估、攻击动机、威胁检测、威慑和安全成本评价等[7,8]。该模型通过公式的重新校准和改进，对相应结构进行了改善用以确保潜在异常的避免，其流程结构如图1所示。如图1所示，对于大多数信息安全方面的投资，该流程通过控制人员对系统信息安全的威胁和攻击，并且通过形象与感知目标值相结合形成目标吸引力。显然，根据流程分析一些恶意组织的首选攻击目标要么是出于商业上的考虑或者成功攻击的感知恶名目标。攻击的概率由攻击者的动机决定，该模型的信息资产的感知脆弱性，并且通过地方威慑机制来结合目标所吸引类型。与后者构建体相关，所有其他因素对最终概率将产生积极地影响。感知漏洞是对攻击概率产生一个稳定增加的效果，它是利用负指数函数的近似模型来判断，同时针对适用于目标吸引力和攻击者的动机模型采用相类似的凹关系，尽管前者的影响更加明显。相反，威慑的影响与攻击的概率特性的反关系，模拟为一个简单的递减凸函数。
2.1模型应用
系统动力学模型的验证通常采用两种方法中进行。一种方式为是通过对模型结构的验证来确定其是否能准确反映真实的世界，在行为评估执行期间系统专注于模型的行为和评估结果的可信，这种采用结构进行结构验证核查和极端条件分析的方法，解决了区分模型结构是否与被模拟关于真实世界现象的陈述性知识是否一致，在模型中使用的结构包含攻击、破坏、风险、脆弱性和成本等结构因素；另一种是通过在极端条件分析评估模型中的参数是否正确的方式。为了评估这一参数属性，模型表面被编为各个内生变量，通过检测结果判断任何不协调的行为和逻辑期望是否一致，前者评估是否有任何参数已经在规定的范围以外的值,例如,评估概率大于1，后者通过检查内生变量来响应输入变化,通过核定不符合条件的限制和期望的行为来触发内省的评价。结构验证的大部分工作内容是针对一定时间周期内模型行为，而行为评估需要执行整个模型和检查结果。基于以上两种方法，参数的变化按照整个模型评估预期是否能够正在运行来判断。此外，个别构建体的行为是随时间跟踪，按照行为分析振荡和趋势趋向极端值，来判断是否存在异常行为引发的相关结构，并可追溯原因来判断各个造成威胁的可能。基于动力学模型的结构和行为验证，通过实验验证，按照攻击概率落在0-1范围之外的极端条件下取值可证明，试验预先设定的两股不安全行为，通过对结构方程式的重新校准（模型的自动验证过程），从而解决了这种不正常现象，证明了该模型在信息管理系统中应用的可行性。
2.2模型因素分析
安全攻击可以从系统内部或外部产生。在这一点上，该模型不区分内部或外部的攻击者；同样地，它不区分不同的信息资产攻击。据专业机构预计，内部攻击者和外部攻击者的成功率会不相同，也会对不同资产产生不同的影响。根据需要，该模型不深入到这个水平的细节；相反，它更侧重于总的层面，同样，模型不解析攻击分为不同类型，如拒绝服务攻击，黑客攻击，网络钓鱼，键击捕捉，病毒攻击和SQL注入攻击。根据相应机构地预计，大部分的攻击将通过现有的一些安全工具的监测，如防火墙、入侵检测系统、防病毒程序、恶意软件检测程序和垃圾邮件检测程序等，该类工具被表征为防止攻击。模型定义检测能力强弱取决于对安全工具的投资。在安全性工具上的投资是不需要连续的，因为在现有安全工具的投资将给公司带来来攻击检测效果，因此，安全投资工具的累积性是用来评估检测的能力。随着系统检测能力的增加，防止攻击的数量也随着增加，这样为了找到与成功攻击的平衡，根据实际应用，成功的攻击会以各种身份体现，并伴有显著不同的效果。损害幅度—损害即时性，以及成功攻击次数塑造的攻击报告的范围。公开的攻击报告将决定组织的信息资产的感知脆弱性，从而完成攻击循环。这是一个循环的增强，表明成功的破坏将导致更多的攻击和有效防止攻击会导致攻击者可以寻求其他更容易或更具吸引力的目标。在极端的情况下，增强环路驱动在循环到零或无穷大所有构建体的值。但是，如果该模型仔细构造，该行为可被控制，并在极端的情况下避免。该模型包括一个加强环和三个平衡循环。该加强环周围的安全攻击，感知为中心的宣传在成功的攻击就产生漏洞，从而吸引更多的攻击者。此行为将继续有增无减，但通过检查涉及系统漏洞的平衡环举行。攻击成功检测导致各种减少脆弱性活动,包括修补基础软件的缺陷、消除开发的软件缺陷,并实施新的安全程序。
2.3模型实验验证
本文采用Vensim1PLE仿真软件对模型进行性能仿真测试，该软件是美国Ventana系统公司用于系统动力学仿真软件，设置单位时限是一个月，然后将模型历时3个月运行。由于系统长期的运行无法确保安全性，因此该模型的模拟就选用周期较中和的长度作为测试周期，通过将该模型是在各种模拟条件下运行，用以了解对系统整体的攻击效果、损失、费用不同的安全策略和投资的影响，这样的测试对于信息安全管理人员能够做出更有效的信息安全有效决策[1]。如图2所示为按照模型参数（抗击威胁成本与安全造成资产损失）的测试对比图。图2（a）显示随着信息安全防范投资的增加，相应安全事故造成的损失也就越小；图2（b）显示主动攻击的增加对信息安全的造成的损失没有确定的线性关系。图3将信息安全防御投入、主动攻击投入与信息安全最终造成损失进行线性对比，如图显示，信息安全的最终损失量取决于其他多方面因素的共同决定。通过实验验证，模型的决定参数主要取决于对信息安全投入的多少，以及其他部分参数的小范围影响，这样就明确了在企业信息管理系统的信息安全管防策略中加强信息安全投入并增加对安全管理人员的培训投入才能从基础上降低由于信息泄露造成的损失。
3总结
对于企业来讲保护信息资产是至关重要的，虽然当前这种期望是很难实现的，并且会耗费大量资源才能降低资产危险性。本文通过结合基于动力学模型的思维从信息安全本身特点以及成本最优化，采用了多方面的安全威胁来测试模型的有效性，包括攻击、检测、回收、风险评估和漏洞减少等策略。通过实验证明，相比安全威胁造成的损失在检测攻击的安全工具的投资增加会导致更好的收益。总之，该模型提供了一个丰富的安全策略环境，以更好地在各种情况下理解各类安全决策研究影响。此外，它有助于信息安全管理者作出有关信息安全更好的决策。
信息安全的管理篇4
关键词：医疗卫生行业；信息安全；等级保护；管理制度
1引言
随着信息化、数字化、网络化的发展，大数据和换联网+也进入了医疗卫生行业，加快了医院信息化的发展。随着医院业务的发展，医院信息系统的应用也更加广泛，医院对其依赖性会越来越强，风险也随之会提高。但医疗服务的特殊性决定了医院信息系统需要24小时不间断运行，这就对医院的信息安全管理提出了更高要求。信息安全管理是指导和控制组织关于信息安全风险相互协调的活动，它是了解体系安全状态、实现信息安全目标的重要关口，主要包括信息安全风险评估、风险管理和技术措施的控制。如何更好地进行信息安全管理成为一个不可忽视的问题，因此，在医院信息化建设的同时加强信息安全管理建设是解决医院信息安全问题的必然选择。
2我国卫生行业信息安全管理政策
2010年原卫生部制定的《卫生信息化建设指导意见与发展规划（2011-2015）》（“十二五”规划）明确提出了我国医疗信息化发展的蓝图和发展方向“35212工程”，建设信息安全体系即是最后一个“2”中的一项。按照《卫生部办公厅关于全面开展卫生行业信息安全等级保护工作的通知》（卫办综函〔2011〕1126号）的要求，三级甲等医院应于2015年12月30日前全部完成信息安全等级保护建设整改工作，并通过等级测评。这标志着我国卫生行业开始通过信息安全等级保护加强对医院信息安全的管理。原卫生部、国家中医药管理局在2012年6月15日的《关于加强卫生信息化建设的指导意见》指出，要加强卫生信息安全保障体系建设，落实国家信息安全等级保护制度。国家卫生计生委规划信息司在2014中国健康大会上也指出，医疗卫生信息化是国家信息化发展的重点，已纳入“十三五”国家网络安全和信息化建设重点。
3医院信息安全管理需求
据《南方都市报》报道，2008年5月以来，香港连续爆出泄密事件：先是医管局下属医院陆续发现患者资料遗失，共涉及1.6万名患者，此事立刻轰动了全港。2010年5月23日，一张神秘的清单在网上曝光，其中列出了宁波市某医院45名医生的工号、名字和所属科室，后面还注明了他们使用药品氨曲南的数量和总价，虽然腐败得到惩戒，大快人心，但所暴露的医院的潜在威胁值得警惕。2013年7月，宁波两家医院挂号系统瘫痪事件，同样也引起了社会各界对医院信息系统安全的高度关注。2015年10月份的澳门山顶医院最大泄密事件，患者资料随街散落，也折射出医疗卫生行业信息安全问题的严峻性。信息化在给医院带来便利的同时，也带来了医院信息安全的隐患，上述严重的信息安全事件给医院的信息安全管理敲响了警钟。医院信息系统承担着整个医院的内外各项业务，其安全状况直接关乎患者隐私和健康、社会秩序及稳定等。加强信息安全、消除信息安全隐患，已经成为医院当前必须要面对的问题。
4医院信息安全管理制度的发展对策
在《信息系统安全等级保护基本要求》和医院评审的相关标准中都提到了信息管理部分，都强调了信息安全管理，并且都是对医院进行此两方面评审时的重要的评审部分。结合这两方面的评审要求，可以分别从安全管理制度、安全管理机构、人员安全管理、系统建设安全管理、系统运行安全管理五个方面，对医院信息安全进行管理。
4.1建立完善的总体安全管理制度
医院应根据自身的实际情况制订总信息安全管理制度，总信息安全管理制度是一个医院的根本管理制度，规定医院信息安全管理的根本任务和根本制度，是医院信息安全工作的总体方针、总体目标、总体原则，是其他信息安全管理制度制订的依据和基本要求。总信息安全管理制度中应严格明确制度制定与的流程、方式、范围等，应定期组织相关部门对安全管理制度进行评审与修订，以满足医院信息化不断发展的需要。
4.2应建立稳固的安全管理机构
医院应根据总体安全管理制度的基本要求设置安全管理机构和安全管理岗位，并制定《岗位设置与职责管理制度》，应明确“三员”（系统管理员、网络管理员、安全管理员）岗位与职责。医院信息安全管理不是某一个部门的职责，而是全医院相关部门都要参与，从自身做起，从上述某医院的信息安全管理机构图来看，信息安全领导小组对医院信息安全管理进行定期评审，再由医院最高领导的支持，然后直到一线的人员，每个岗位都有明解的岗位职责，达到稳固的管理，责任到人，能满足医院信息化不断发展的需要。
4.3配备专业的信息化人员，制定完善的员工信息安全管理制度
医院人事主管部门，应针对医院的实际情况例如可制定《人员录用制度》、《人员离岗制度》、《人员考核制度》、《安全教育和培训制度》、《外部人员参观访问制度》等人员工信息安全管理制度。在人员录用方面应按照制度流程对被录用人员进行资格审查，对于在医院从事关键岗位的人员应当签署保密协议等，在离职时应按照制度流程办理离职手续，例如应回收医院发放的各种身份证件、钥匙、秘钥并注销一切其所拥有的信息系统账号等；在人员考核方面应定期对各个岗位的人员进行信息安全技术及信息安全认知的考核，确保在岗人员都有维护医院信息安全的义务；在人员的安全教育和培训方面，应对各类人员定期进行信息安全教育和培训，提高其安全意识，明确责任和奖惩措施；在外部人员来医院参观访问方面，应用按照制度进行授权和审批，确保医院运行安全。
4.4完善医院各类信息系统的建设，制定切实可行的信息系统安全管理制度
信息化数字化医院建设只有起点没有终点，医院在各类信息系统建设方面应根据自身的实际情况，制定完善可行的信息系统建设规章，可保障医院相关部门在信息系统建设过程有据可依、有规可循。例如医院可制定如下关于医院信息系统建设的管理制度：《医院信息系统定级管理制度》、《医院信息系统安全方案设计管理制度》、《医院信息系统产品采购和使用制度》、《医院信息系统自行软件开发制度》、《医院信息系统外包软件开发制度》、《医院信息系统工程实施管理制度》、《医院信息系统测试验收管理制度》、《医院信息系统交付管理制度》等。
4.5制定切实可行的医院各类信息系统运行管理制度，满足医院各类业务的适时访问需求
医院各类信息系统建设的目的是为了更好地满足各类业务的需求，保障建设好的各类信息系统更好的运行。医院信息系统管理者应从管理方面制定切实可行的管理制度，同时针对不同的医院使用人员，制定不同的使用操作手册，让医院的使用者达到规范操作，这样可以大大减少人为误操作导致的系统故障，方便运维人员对系统的维护。例如医院可根据信息系统的实际情况制定如下运行管理制度：《医院信息系统环境管理制度》、《医院信息系统资产管理制度》、《医院信息化介质管理制度》、《设备管理制度》、《医院网络安全管理制度》、《医院信息系统安全管理制度》、《医院恶意代码防范管理制度》、《医院信息系统密码管理制度》、《医院信息系统备份与恢复管理制度》、《医院信息系统安全事件处置制度》、《医院信息系统应急预案管理制度》等。
5总结
信息化、数字化医院建设只有起点没有终点，医院信息系统安全伴随着信息化数字化医院建设同样没有终点。医院需要高度重视信息安全管理，制定一套切实可行的信息安全管理制度和措施，才能更好地保证医院信息系统安全、高效、稳定的运行。
参考文献：
[1]蔡文涛.浅谈医院信息系统网络安全[J].中国现代医生,2009(32):116-117.
[2]李刚.医院信息系统安全管理问题浅析[J].中国管理信息化,2013(1):39.
[3]杨栋,刘立辉,任志刚.医院信息安全管理与措施[J].中国医疗设备,2011,26(6):70-72.
[4]相海泉.等级保护促进信息安全[J].中国信息界:e医疗,2013(10):81-82.
信息安全的管理篇5
[关键词] 医院信息平台；信息安全；信息资源整合
doi ： 10 . 3969 / j . issn . 1673 - 0194 . 2017. 13. 088
[中图分类号] R197.324 [文献标识码] A [文章编号] 1673 - 0194（2017）13- 0203- 03
0 引 言
随着信息技术的快速发展，新医改的逐步深入，人们对卫生信息化的要求不断提高，建立区域卫生信息平台成为卫生医疗系统迫在眉睫的重要工作。作为医院层次，为了配合区域卫生信息平台建设的要求，实现以人为本、提高服务水平，建立医院信息平台，将医院内部应用系统互联互通，形成全院级的病人主索引和电子病历，并在此基础上实现对医院信息资源的二次利用，为患者提供公众服务，建立与外部系统互联的统一接口，满足区域的信息共享与协同。
1 信息安全的重要性
对医院信息资源的整合，实现全院全体病人电子病历的共享，是医院发展的必然趋势。但是，在网络化的过程中，信息安全若不能被维持，一旦受到威胁或者崩溃，不但会对医院的日常工作造成很大的影响，还会产生一系列问题，诸如：不良的医疗服务、造成医疗纠纷、失去民众信任、医院声誉损害、巨额赔偿等。因此，保障信息的安全是医院信息平台建设的重要工作。
由于因特网的方便性，使得民众可以在网络上进行各种交易与查询数据，但网络是开放的结构，在网络上传送数据时，安全性是最为重要的考虑。在方便医疗的同时，病人隐私的保护也成了信息平台安全建设的重中之重。
2 信息安全体系
2.1 安全管理
安全管理建设需要基于电子病历的医院信息平台所服务对象为基础来建立完善的安全管理体系，即建立相应的信息安全管理机构、制定相应的信息安全管理制度、设置平台运行所需的人员、岗位，建立对系统在运行开发过程中的制度，同时通过日常巡检、咨询、评估等运行管理来发现安全隐患并予以改进与提升。
同r，还应该完善系统活动记录内部稽核机制与程序、健全不同用户的用户权力等级政策及程序文件记录、授权具备安全管理知识的人员负责权限管理，并应保留完整授权记录、确保授予使用者适当的权限、建立员工离职后移除授权程序、建立并维护员工安全策略及程序、确保系统用户接受与安全常识有关的培训等。
2.2 技术安全服务
2.2.1 安全计算环境
安全计算环境解决基于电子病历的医院信息平台的计算机系统硬件和系统软件以及外部设备及其连接部件的系统安全问题，包括用户身份真实有效、资源的访问控制、主机安全审计、重要数据的完整和可用性及数据的存储与备份恢复方面的安全问题。同时，需确定医院信息平台所在的安全计算环境与安全通信网络之间部件的安全，包括网络结构、边界的访问控制、协议过滤、安全审计、恶意代码防护及边界的入侵监控等。
2.2.2 网络通信的安全
安全通信网络解决基于电子病历的医院信息平台所在的安全计算环境、用于信息传输实施安全保护的部件的安全，包括数据传输的完整性和保密性、网络可信接入等问题。
为了保障信息在网络上传输的安全性，需要对原有技术落后且可靠性与安全性都较差的网络结构进行改造，借助相关技术对医院内部局域网扩展和延伸，实现资源共享。结合目前的应用主流，可通过VPN、SDH、建立医院专网等方式实现。
（1）VPN 虚拟专用网络，是在公众网络上所建立的企业网络，且此企业网络拥有与专用网络相同的安全、管理及功能等特点。以SSL安全传输协议为技术核心，结合USB KEY、网络协议转换等实现VPN传输网络的可靠性，SSL安全通道是在客户到所访问的资源之间建立的，确保端到端的真正安全。无论在内部网络还是在因特网上数据都不是透明的，且采用了认证、存取控制、机密性、数据完整性等措施，以保证信息在传输中不被偷看、篡改、复制。
（2）SDH 同步数字体系，是一个将复接、线路传输及交叉功能结合在一起并由统一网管系统进行管理操作的综合信息网络技术，系统采用“无单点故障”设计，当光纤发生中断或单点故障时，不会造成网络其他部分的业务受到影响，可靠性大大提高。
（3）自行建立本医院的专网。这就需要有完备的安全设备与技术相配套，如高性能的数据中心防火墙、运用隔离闸等技术保证局域网与互联网的物理隔离、绑定MAC地址、安装网络监控系统等。
2.2.3 数据安全
医院信息平台中的数据在传输过程中主要依靠VPN系统来保障数据包的数据完整性、保密性、可用性。目前VPN的组建主要采用两种方式，基于IPSec协议的VPN以及基于SSL协议的VPN。IPSec VPN适用于组建site-to-site形态的虚拟专有网络，IPSec协议提供的安全服务包括：保密性、完整性、真实性、防重放。SSL VPN适用于远程接入环境，例如：移动办公接入。它和IPSec VPN适用于不同的应用场景，可配合使用。
数据是最重要的系统资源。数据丢失将会使系统无法连续正常工作；数据错误则意味着不准确的事务处理；可靠的系统要求能立即访问准确信息，这势必要求对数据进行备份与恢复。数据备份系统应该遵循稳定性、全面性、自动化、高性能、操作简单、实时性等原则。广泛的选件和能将数据保护扩展到整个系统，并提供增强的功能，其中包括联机备份应用系统和数据文件，选进的设备和介质管理，快速、顺利的灾难恢复以及对光纤通道存储区域（SAN）的支持。本地完全数据备份至少每天一次，且备份介质要场外存放。提供能异地数据备份功能，利用通信网络将关键数据定时批量传送至异地备用场地。
2.3 人员安全管理
对相关人员的规范管理在信息安全建设中也是不可忽视的内容，需要建设完善可行的方案，可以从下面几方面考虑：
（1）对各级使用人员建立规范，依使用者或职务区分，必要时对账号数据进行加密；授权控制包括身份确认、自动注销账号及使用者唯一标识符；确认为避免数据遭受未授权的变动或删除，可建立数据确认机制；避免冒名顶替情况发生，建立身份确认机制，以防授予不恰当的权限。
（2）对包括管理阶层人员的所有员工进行安全培训，倡导安全管理理念，训练用户加强其防毒与个人密码管理知识及意识，确保其账号与密码不被偷窥窃用。
（3）对于员工离职，也应有相应的管理程序，诸如更换门禁密码、移除该员工的系统权限、移除该员工的使用者账号等。
3 结 语
有效可行的安全管理规范对于医院信息平台的建设有着极为重要的作用。要确保医院数字化网络的安全性、可靠性和保密性，必须制备完善的网络安全保密和应急方案，这不仅仅是技术的问题，同时还需要采取必要的行政手段，需要相关部门的共同努力。
主要参考文献
[1]卫生部.基于电子病历的医院信息平台建设技术解决方案（1.0版）[S].2011.
[2]刘涛.区域卫生平台信息安全设计[J].消费电子，2012（8X）：76.
[3]王龙宝，张利宏，翟东亮.基于VPN和SDH技术实现医院异地网络通信及资源共享[J].中国数字医学，2011，6（3）：73-75.
[4]杨栋，刘立辉，任志刚，等.医院信息安全管理与措施[J].中国医疗设备，2011，26（6）：71-72.
信息安全的管理篇6
关键词：信息化；网络安全；管理对策
0 引言
在信息化社会建设的进程中，网络的应用和开发已成为衡量一个国家政治、经济和军事综合能力水平的重要标志，网络的作用和地位越来越重要。网络为信息交换、存储和处理提供了极大的便利。计算机网络因其开放性、互联性的体系结构使网络扩展更加便利，信息利用更加快捷高效，网络的服务性和需求日益提高，社会、经济、军事等领域对网络信息作用的依赖日益增强。然而，也正是网络开放、互联等特点增加了网络的复杂性和脆弱性，网络信息遭受来自网络内部和外部的各种安全威胁。因此，网络安全问题已成为信息时代人类共同面临的挑战，越来越被重视。就其本质而言，网络安全就是信息安全。网络安全是指通过各种技术和管理措施，使网络系统正常运行，保护网络数据（信息）的可用性、完整性、私密性和可控性。网络安全是一个完整的体系，其防护主要包含技术方面和管理方面，二者相互补充，缺一不可。加强网络安全不仅要从技术防护着手，更要注重网络安全管理工作。本文试对网络安全管理存在的问题简要分析，并就加强网络安全管理提出几点措施。
1 网络安全现状及存在的原因
1.1 现状
经过长期的努力，我国在信息安全管理上取得了一些成就，制定了一系列信息安全的制度法规，建立了专门的加强法制信息安全管理机构，出台了一系列信息安全技术标准。从国家互联网应急中心（CNCERT）的2011年互联网网络安全态势报告，显示我国基础网络防护水平明显提升，政府网站安全事件显著减少。其中，2011年我国大陆被篡改的政府网站数量较2010年下降39.4%。但由于缺乏自己的计算机网络及信息安全核心技术，互联网新技术和新应用快速发展而网络安全法规建设相对滞后，加之人们对网络信息安全的认识存有误区，网络信息安全事件频繁发生。数据泄露事件层出不穷，钓鱼网站数量持续增加，虚假信息和垃圾信息泛滥，用户信息安全保障难度加大；病毒、木马、蠕虫变化多、更专业，其破坏性和危害性更强。有数据表明，我国2011年遭受境外网络攻击持续增多，网上银行面临的钓鱼威胁、手机恶意程序、应用软件漏洞、工业控制系统安全事件等也呈增长态势。其中，2011年CNCERT捕获移动互联网恶意程序6249个，较2010年增加超过两倍。为此这些将成为网络安全管理工作的主要难点。
1.2 主要原因
1.2.1 网络安全意识淡薄。
网络安全实质就是要保障网络信息安全。影响网络安全的因素有许多，既有网络硬件、软件或系统等问题造成；也有人为因素造成。但是一些企事业单位机关对网络安全的认识存在误区，过度依赖网络设备和技术方面的防御，把防范的重点放在外部，忽视从内外结合上，技术和管理上构建网络信息系统的安全防范体系；对网络管理制度、管理队伍建设重视不够；网络工作人员和用户安全意识淡薄，导致疏于安全管理的网络安全问题时有发生。大量的调查表明，因人为因素或自然灾害所造成的计算机信息系统的损失事件中，至少有70%是因为管理措施不得力或管理不善所致，而其中95%是可以通过正确的信息安全配置管理来消除的。增强网络安全管理意识，强化管理措施是做好网络信息系统安全保护工作不可缺少的保障。
1.2.2 网络信息安全管理体系建设滞后于网络技术的发展。
网络安全是以安全技术为支撑，以安全管理为手段。虽然随着网络信息技术运用的不断深入，网络信息安全管理工作有所改进，但是由于没有及早认识到网络信息安全管理的重要性，网络信息安全管理工作还存在诸多不足。一是我国安全管理法规制度建设不健全。相对网络信息发展，我们在网络立法方面明显落后于信息技术的发展，难于满足网络信息发展的需要，不能有效地适应各类网络非法行为。二是网络建设处于分散管理状态。信息安全管理条块分割，各管理部门之间缺乏有效的沟通和联系，网络信息安全的多头领导，极易引起信息安全管理的混乱。三是网络信息管理队伍建设发展不平衡。从整体而言，网络信息管理队伍重视程度远低于网络硬件建设，网络安全管理的人才无论是数量还是质量都达不到信息发展及信息安全管理的需要。
2 加强网络安全管理几点建议
2.1 重视管理在网络安全的作用
加强网络信息安全必须从管理上着手，有人提出“网络信息安全的工作是三分技术、七分管理”。诸多事实证明，仅从防火墙、密码机单一设备加强信息安全已不能适应当今网络安全的需要，尽管目前已经有成百上千种的安全产品，但人们仍然越来越感觉不安全。网络的规模、复杂性、日趋增多的应用等，是造成这种状况的主要原因之一。要保证真正的意义安全，必须从管理上着手，加强对网络安全的防范意识、法规制度建设，加强网络技术、市场和人员等管理。
2.2 完善网络管理的法规制度
法规制度建设是管理运行的基本依据和最有效手段。经过长期的努力，我国在信息安全管理取得了一些成就，制定了一系列信息安全的制度法规，建立了专门的加强法制信息安全管理机构，出台了一系列信息安全技术标准。但是，与信息技术发展比较，我们的信息安全管理工作相对落后，加之网络发展速度迅速导致了法制的滞后性，使有关部门在打击网络犯罪的过程中面临无法可依的尴尬局面。所以法制建设应该不断健全，做到规范网络运行商、企事业单位和用户的行为，规范网络信息与资源的管理制度，切实做到有法可依、有法必依、违法必究。
2.3 加大舆论宣传
加强思想上网络安全意识建设，文化和法制等部门在社会主要加大基本网络安全知识的普及。同时加强网络用户的安全意识的宣传，要求网络用户在思想上要引起高度重视，既要他们认识到网络犯罪的概念与危害，增强法律意识；也要增进他们的自我安全意识，主动规避风险，最大限度地预防与减少网络犯罪的发生。
2.4 制定切实可行的网络安全管理策略
网络的安全是保证网络使用安全为前提，安全策略的制定应是建立在信息使用足够方便的基础上，寻求最有效的安全措施。第一，明确本网络的开放性要求和安全性要求，寻求二者的均衡点，对两者间有矛盾的根据实际情况决定取舍。第二，对本网络拓扑结构和能够承受的安全风险进行评估，从网络安全技术方面为保证信息基础的安全性提供了一个支撑。第三，要建立全网统一、有效的身份识别系统。遵循最小特权、最小泄露和多级管理的授权原则，未经授权相关信息和资源不允许访问、引用和使用。第四，建立网络信息监控机制。对信息、传输和使用等，需要有较全面的审计、记录的机制，以便于事后的调查和处理。第五，制定各种网络安全事件的应急预案，一旦网络安全事故发生，能在第一时间予以控制，防止事态的扩大，减少损失。
参考文献：
[1] 龙冬阳.网络安全技术及应用[M].广州：华南理工大学出版社，2006.
[2] 杨力平.网络安全管理概要探讨[J].信息网络安全，2008（2）.
信息安全的管理篇7
关键词：信息安全管理；信息资产；模型；推广方案
中图分类号：TP309 文献标识码：A 文章编号：1674-7712 （2013） 02-0175-01
所谓的信息安全就是指信息的可用性、完整性、安全性以及保密性。信息安全管理主要是指组织为了确保信息的安全而进行的控制、领导、组织、计划的相关过程。随着企业的飞速发展以及信息技术的不断完善，各类企业的信息化程度也在不断地提高，信息安全已经成为了企业发展过程中的核心内容之一。
一、企业信息安全管理的现状
目前，绝大部分企业在发展的过程中已经开始对企业的信息安全工作制定出了一系列的管理措施，不过，企业在对那些信息进行安全管理的过程中，基本上是部署或购买信息安全产品。而这些产品基本上是为了达到某项安全功能而研发生产的、针对性较强的硬件或软件产品。当前市场上所出售的信息安全产品主要有四个层次：系统安全设备、网络安全设备、终端安全设备、基础安全设备。
企业通过这些信息安全产品虽然在某些方面具有一定的安全效果，不过企业自身的信息安全度仍没有得到提高。所谓的企业信息安全管理就是指针对当前企业所面临的信息失控、恶意软件、人为因素等复杂环境给予相应的防护，确保企业的信息系统以及相关信息不会被非授权使用、访问、中断或修改。这样做的目的主要是对企业的信息安全进行适当的保护，并确保其具有可用性、真实性、完整性以及保密性。就目前的情况而言，绝大部分企业的信息安全管理存在下列问题：（1）缺乏足够的安全防护意识，员工的信息安全教育力度较为薄弱；（2）管理过程中对于人为因素的管理较为缺乏；（3）只重视技术而忽略了管理；（4）缺乏系统性的管理方案；（5）缺乏专业的信息安全管理人员。
二、企业信息资产的安全管理方式
一般情况下，企业的信息资产具有以下三个重要属性：即可用性、完整性以及保密性。在对企业的信息进行管理的过程中，这三者缺一不可。在企业发展的不同时期以及不同阶段，这三者的属性以及地位也大不相同。对于绝大部分企业而言，对企业信息进行安全管理的主要目的就是确保企业的信息资产具有较好的保密性，因此，信息的可用性以及完整性在信息安全管理过程中基本上就成为了附属品。由此可见，对于绝大多数企业来说，信息的保密性更为重要。
由于企业的信息安全管理活动通常会涉及到企业的所有员工以及各个管理阶层，因此，企业在开展此项活动的过程中，一定要注重全员参与的重要性，让企业的各项工作以及每个员工都对企业的信息安全引起高度重视，并将企业的信息安全管理与企业文化融为一体，以便于从根本上实现企业的信息安全管理目标。不过对于绝大部分企业而言，经济指标才是员工以及管理层关注的重点内容，而信息安全管理需要投入大量的人力、物力以及财力方能实现，因此，这对于大部分企业来说其操作性相对较低。由此可见，在对企业的信息安全进行管理的过程中，一定要尽最大可能确保信息安全管理的简洁性。
三、企业在进行信息安全管理时所涵盖的具体内容
目前，信息安全管理过程中的内容经简化和提炼后主要有“执行力”、“堵”、“护”，在不同企业或同一企业发展过程中的不同阶段，信息安全管理的计划实施先后顺序以及侧重点也会有所不同。对于企业的普通员工以及管理人员而言，通过简单地宣传教育就很容易让他们牢记“执行力”、“堵”、“护”，而对于专业的信息安全管理人员则必须从以下几个方面着手。
（一）构建与企业文化相符合的安全体系
企业在构建信息安全管理体系的过程中，它与企业文化的适应程度有着十分密切的联系，不同的企业有着不同的企业文化，因此，在进行信息安全管理的过程中，其管理思路以及管理方法也会大不相同。一些执行力较强的单位，通常会采用强制手段来进行管理，且管理的效果相对较好，而对于执行力相对较差的单位，通过制定出科学合理的管理方法，并加以相应的监控管理、审计以及技术支持也会取得相对较好的效果。
（二）对信息传递渠道进行严格的管理
企业在对信息资产进行安全管理时，一定要强化对信息传递渠道的管理，对信息资产的各个传输渠道进行严格的分析，严禁出现非授权或授权范围外的传递或访问。在此过程中，“堵”的核心内容就是人员的安全管理，这主要是因为企业的信息资产都是通过人来进行控制、管理的。在所有的信息安全管理过程中，对人的管理难度最大，因此，在开展信息安全管理活动时，一定要对员工的调动以及离职情况进行严格的审计，以此来防止信息资产的不合理传递。
（三）核心信息资产的保护
所谓的核心信息资产的保护主要是指对企业的核心信息资产进行科学有效的保护，这对于企业的发展有着至关重要的作用，同时它还是企业进行信息资产安全管理的有效手段。由于企业的资源具有一定的有限性，因此，企业的信息安全也具有一定的相对性，基于此，在对企业的信息资产进行安全管理的过程中，对核心信息资产进行保护就显得尤为重要了。所谓的核心信息资产就是指一旦泄露就有可能对企业造成严重的损失，或者是价值相对较高的信息。
四、结束语
随着市场经济的不断发展以及信息技术的日渐完善，企业在发展过程中的信息资产保护所面临的形式也变得越来越严峻。为此，企业在发展的过程中，一定要根据自身的实际情况，建立相应的管理体系，并将其纳入企业的风险管理中，尽量降低信息泄露对企业发展所造成的影响。
参考文献：
[1]齐峰.COBIT在企业信息安全管理中的应用实践[J].计算机应用与软件，2009，26（10）：282-285.
[2]伏原.网络信息安全管理在电力企业中的应用[J].中华民居，2011，（8）：385-386.
[3]孟洁.国有企业中的信息安全管理和应用[J].科技信息，2012，（2）：252.
[4]朱琳娜，盛海港.网络信息安全管理在电力企业中的应用[J].中国电力教育，2010，（z2）：132-136.
信息安全的管理篇8
随着信息技术的不断发展，我国信息安全管理工作质量不断提高，但是，目前仍然存在着一些问题，阻碍了信息安全管理的发展。首先，我国信息安全管理法规体系不够完善，相关方面的法律规定较少，导致信息安全管理的实施得不到有效的法律保障。其次，我国信息安全管理片面注重技术层面的维护，缺乏有效的管理手段，信息安全管理比较薄弱。最后，信息安全管理主要采取被动手段，科学性不高，不能实现全面性管理，而且一些高层领导对信息安全管理工作的重视程度偏低，信息安全管理工作比较薄弱。
二、信息安全管理体系的构建
2.1策划准备
在构建信息安全管理体系前，需要做好各种准备工作，包括计划的制定、相关培训安排、组织调研活动、职责划分等内容。
2.2确定范围
根据组织中IT技术水平、信息资产、工作人员等实际情况，进行信息安全管理体系适用的安全范围，既可以选择部分区域，也可选择整个区域。确定合理的安全范围后，信息的安全管理更加方便。
2.3风险评估
构建信息安全管理体系时，要做好信息处理、存储等工作的安全性调查，预测可能发生的危害信息安全性的事件，并对可能性危害事件会造成的影响做出判断，然后根据评估结果做好信息风险管理工作。
2.4建立框架
要完成信息安全管理体系的构建，离不开信息安全管理框架的建立，这就需要我们要做到全方面考虑，根据信息系统的实际情况，结合组织特点、技术水平等条件建立相应的信息清单，对信息管理做好风险分析、需求分析等内容，并提出相应的问题解决方案，进一步保证信息的安全性。
2.5文件编写
要构建信息安全管理体系，还需要对范围确定、安全方针、风险评估等内容进行相应的文件编写，建立各种文档，为风险管理、体系改进等工作提供依据。
2.6体系运行
以上步骤完成后，信息安全管理体系开始运行。在运行时期，我们要进一步提高体系运作力度，使体系的整体功能得到有效发挥。一旦发现体系存在问题，要尽快找出解决措施，及时解决相关问题，不断完善信息安全管理体系。
2.7体系审核
信息安全管理体系的审核主要是对体系进行客观评价，通过内部审核及外部审核两种方式对体系的运行及相关文件进行全方面检查。其中内部审核主要是组织内部的自我审核，外部审核主要由外部相应的组织对体系进行检查，通过内外审核进一步确定信息安全管理体系的安全性。
三、总结
综上所述，信息对于部队来说非常重要，作为信息安全管理者，确保部队信息的安全性是我们的主要职责。信息安全管理需要从技术和管理两个方面入手，时代环境在不断变化，信息管理技术也要不断创新，从而适应当前时代的需求。目前，我国信息安全管理存在一定的问题，需要我们采取积极的手段构建并完善相关体系，进一步提高信息的安全管理质量。