网络信息安全计划范文

网络信息安全计划篇1

关键词：新一代；银行；计算机网络；规划

中图分类号：TP311.13 文献标识码：A 文章编号：1007-9599（2013）01-0146-02

1 引言

我国金融电子化经过“六五”时期的准备和“七五”时期的基础建设，从无到有，获得了长足的发展。经过20多年的努力，我国已建成金融数据通信网络的基本框架并已开始运行各类金融业务。中国人民银行建设的全国金融卫星通信网是金融系统信息的主干线，目前已建成1个中央卫星地面站和几百个远程地面卫星小站。中国人民银行已在175个城市建立了同城资金清算系统，并陆续建成并运行了十几个以中心城市为依托的区域网。我国各专业银行和商业银行均建立了从总行到基层行的基于分组交换网、电传电报、电话专线等多种通信方式的系统内全国远程通信网络系统。电子化营业网点发展迅速，金融电子化已从大城市扩展到中小城市、县和乡镇。现代化支付系统、新型电子化服务等均取得了较大的进展。

然而，限于技术条件，我国金融电子化还有很长的路要走。具体到银行计算机网络领域，当前还面临四个方面的问题：一是网络架构问题，网络架构难以适应业务融合发展的趋势；二是网络安全问题，缺乏总体的安全策略、关键区域的安全防护措施不够、多层面的协同安全防控不够；三是网络管理问题，网络管理手段不够先进、管理体系尚不健全；四是网络服务问题，对服务融合、应用承载变化等支持不够。

新一代银行计算机网络系统规划原则，应从全局、长远的角度出发，充分考虑网络的安全性、易用性、可靠性、扩展性和经济性等因素，要符合“更安全、更高效、更集约、更方便”的绿色智能发展趋势。

2 新一代银行计算机网络架构规划

2.1 网络架构总体规划

新一代银行计算机网络应建设以总行为核心的树型网络结构；将目前分离的各网进行融合；各类服务集中上收到总行和一级分行；提升一级骨干网的链路带宽及综合利用率；提升全行网络的安全性、可靠性。在网络路由规划方面，应充分考虑各地的情况，因地制宜地采用OSPF路由协议、BGP路由协议或静态路由协议。

2.2 数据中心局域网规划

新一代银行数据中心局域网应遵循水平分区、垂直分层的原则进行建设。水平分区是将承载相似业务、具有相似安全级别的网络设备归集为一个网络分区，便于实施安全策略和最优数据交互。分区是根据安全性、可扩展性原则进行的，包括主机区、开放平台区、开发测试区、运行管理区、Internet区、Extranet区、用户接入区、城域/广域区等，各分区均支持系统和业务的平滑、灵活扩展。由于每个分区内部仍然有不同业务，可继续通过VLAN和IP地址再细分，进而实现不同安全细微差别控制和传输保障。垂直分层是将不同网络功能界定清楚，独立成为一个层面，包括核心层、分布层、接入层。其中核心层与分布层紧耦合，高效可靠；分布层与接入层松耦合，可以很好的支撑虚拟化资源池技术。

2.3 广域网规划

新一代银行广域网规划，核心网可概括为高速转发、业务分离、降低耦合、控制风险；一级骨干网可概括为就近接入、提高效率、缩短距离、节省投资；二、三级广域网可概括为层次化、扁平化、按需配置、带宽动态扩展多业务承载。

3 新一代银行计算机网络安全规划

3.1 信息安全体系架构

信息安全体系架构，从技术维度上讲，包括安全技术体系，具体有应用安全、系统安全、网络安全、物理安全。从管理维度上讲，包括安全组织与制度体系，具体有安全流程相关制度、安全策略相关制度、人员安全、安全培训、安全组织与职责等。从运行维度上讲，包括安全运行体系， 具体有安全运维服务机制、长期安全监督检查机制、安全运行学习改进机制等。

具体到新一代银行计算机网络安全体系，依据国家信息安全等级保护的标准、银监会和人民银行的监管要求以及行业特点，应从以下方面进行规划：安全域划分、网络访问控制、防火墙、访问控制列表、防拒绝服务攻击系统、虚拟专用网、网络设备自身安全、身份鉴别、特权用户权限分离、边界完整检查/入网检测、网络入侵检测系统、网络入侵防御系统、异常流量监测和网络审计系统等。

3.2 网络安全策略

新一代银行计算机网络安全策略，概括讲主要包括四个方面：一是网络安全域的划分，根据信息资产的安全属性及安全防护需求的不同，划分成不同的安全层次（即安全域），安全域内可以根据安全等级再划分安全子域；二是网络安全技术部署，根据要保护的信息资产重要性，在各个安全域中部署多方面的网络安全防护措施，实现多方面协同防护、纵深防护；三是网络安全管理，对整个安全防护体系的所有安全措施实施有效的监控管理；四是多层面协同工作，与其他技术条线协同工作，共建网络安全体系，实现对信息资产的全方位的安全防护。

4 新一代银行计算机网络管理规划

新一代银行计算机网络管理体系，应具备网络管理平台（包括网络性能管理、业务影响管理、网络事件管理等）；网络服务平台（包括服务支持流程、服务提供流程等）；网络操作自动化平台（包括网络操作管控、网络配置管控、网络授权管控等）；网络运行质量分析平台（包括服务水平、网络可用性、网络连续性、网络容量规划等）。

5 新一代银行计算机网络服务规划

新一代银行计算机网络服务体系，应具备IP地址管理（包括IP地址管理规划等）；应用交付（包括内容分发平台和应用等）；网络应用规划（包括视频、语音、监控系统；无线网接入；Internet接入等）。其中，互联网与内部网有互联的应用系统（如网上银行），应用须在DMZ区落地；高安全等级接入用户（如境外机构接入），须增加VPN加密隧道等安全措施；外网邮件系统与内网严格物理隔离；严格执行网络准入策略，做好联网终端与信息点绑定等管理工作，保证联网终端的安全性。

6 结论

篇幅所限，本文仅阐述新一代银行计算机网络系统的宏观规划，具体的实施细节就不赘述了。在“科技创新、精细管理、持续改进、科学发展”的基础上，新一代银行计算机网络系统规划将为我国金融电子化的长期可持续发展打下坚实的基础，为我国银行业信息化建设作出新的贡献。

参考文献：

[1]黄杜英等.银行计算机系统[M].清华大学出版社.2011（2）.

[2]帅青红.银行信息系统管理概论[M].中国金融出版社.2010（7）.

[3]屈延文等.银行行为监管---银行监管信息化[M].电子工业出版社.2004（11）.

[4]屈延文等.银行行为控制---银行信息化与安全[M].电子工业出版社.2004（11）.

网络信息安全计划篇2

一、“*”成效与问题

“*”期间，河南省的人口和计划生育信息化建设工作，在各级党委、政府的高度重视下，全省各级人口计生部门努力工作，强力推进信息化建设，提升管理与服务水平，实现跨越式发展，全省已初步形成了以计算机网络为依托的现代化管理与服务体系，人口和计划生育信息化建设成效明显：

一是建成了人口和计划生育专网。建成了省到省辖市，市到县(市、区)的人口和计划生育系统广域网，所有乡镇（办事处）建立了WIS系统，省市两级基本实现办公自动化，信息传输网络化，大部分县（市、区）实现了上述目标。

二是促进了人口与计划生育管理水平和服务质量的提高。通过建立和应用育龄妇女信息系统，既起到指导工作和服务群众的作用，又提高了管理水平和服务质量；通过将育龄妇女信息系统用于平时专题调研和年度目标考核，简化了工作程序，增强了计划生育工作的针对性和有效性。

三是提高了办公效率和决策质量。全省计划生育系统信息专网的建成，使省、市、县级之间的通讯更加快捷便利。上级的重要文件和工作安排，在第一时间通过网络传输，为各级超前安排工作争得了主动权。各级计生工作人员逐步摆脱了传统的工作方式，政务信息、业务信息和统计信息等基本实现网络传输。随着“三网一库”的建立，各级计生部门用于决策的信息日益丰富，各级领导的决策质量也在不断提高，利用信息资源指导工作的作用日益增强。

四是拓展了对外宣传的空间，初步实现了人口与计划生育信息资源的社会共享。随着国际互联网、公众信息网的开通，宣传教育的覆盖面进一步扩大，人口与计划生育工作的基本政策、基本知识、基本动态，伴随着信息网络传向社会各个领域，为加强与社会公众的联系，更好地接受社会监督建立了新的渠道。人口和计划生育信息系统已由过去单一的育龄妇女信息管理，逐步发展成为融政务信息、育龄妇女信息、计划统计信息、流动人口信息、财务管理信息、计生协会信息为一体的综合性信息资源，能够为社会有关部门提供婚姻、生育、节育、就业、老龄化等信息，实现资源共享。一方面树立了人口和计划生育部门的良好形象，提高了网络的社会效益和经济效益，另一方面，促进了与公安、统计、民政等部门的信息交流与共享，计生部门与其他部门的互通互联得到加强，为社会经济的发展作出了一定的贡献。

五是构筑了省级人口数据中心网络应用平台。20*年，我们抓住国家建设人口宏观管理与决策信息系统的有利时机，主动申请，争取到发改委的支持，成为全国六个项目省之一，并以信息化国家立项为契机，推进人口和计划生育信息化的健康发展。

同时，应当看到，河南省的人口和计划生育信息化建设还存在一定问题。一是计生业务应用系统建设滞后于人口计生信息化建设的发展速度，不适应新时期人口和计划生育工作发展的需要。二是市县人口计生信息化发展不平衡，应用深度和应用广度不够。特别是近几年，差距拉大更为明显。三是对信息化建设的投入偏低，网络应用效率不高。四是信息员队伍知识层次偏低，滞后于工作的发展。全省现有专职计算机技术员、操作员配备比例很高，但计算机专业毕业的人少，不能适应信息化发展的需要。

二、指导思想、基本原则、发展目标

（一）指导思想

人口和计划生育信息化工作要紧紧围绕新时期人口计生工作的主线和职能，以建立人口和计划生育工作新机制为核心，以建设应用系统为主导，以开发信息资源为目标，以信息化国家立项为契机，坚持“以需求为导向，以应用促发展，统一规划，协调建设，资源共享，安全保密”的原则，优化管理流程，规范工作程序，突出重点，分步实施，全面提升人口和计划生育信息化应用水平。要坚持开创性和继承性的有机统一，整合和利用现有的网络基础设施、业务应用系统和人口计生信息资源，发挥全省人口计生系统专网优势，以信息化手段带动人口计生工作的改革和发展，带动体制创新和机制创新。

(二)基本原则

一是统一管理，分步实施。要树立全省“一盘棋”的思想，统一领导、整体规划、归口管理、分步实施、协调推进。信息化是一项涉及面广、技术和资金密集的系统工程。涉及全系统的基础应用项目以及跨地区的项目，要由省人口计生委统一规划、统一规范、统筹推广应用。

二是突出应用，促进改革。把推进信息化与促进改革发展结合起来。要紧紧围绕新时期人口和计划生育工作的主线开展信息化建设，抓住信息化建设的契机，全面理清各项管理业务，优化管理流程，规范工作程序，提高行政效能和管理服务水平。坚持以人为本，把信息化建设融入管理与服务，不断增强为广大育龄群众服务的能力。以信息化手段带动人口和计划生育工作的改革和发展，推动体制创新和机制创新。

三是加强协调，资源共享。进一步加强同相关部门间、地区间的网络互联互通，注重综合协调，提高网络资源和信息资源的共享程度。

四是提高效益，保证安全。把握好速度、效益、质量、安全之间的关系。使用成熟、稳定的信息技术，优先采用集中建库的技术路线，降低建设和维护的成本。防止重复建设和资源浪费。

（三）总体目标

依托全省人口计生专网，加大信息技术推广应用；依托政府专网，推进电子政务建设，提高信息共享程度；大力开发信息资源，发展信息服务业；建成以人口宏观信息和育龄妇女个案信息为主体的省级人口数据中心，人口宏观管理与决策信息系统等业务应用系统建设取得显著成效；基本形成比较健全的信息安全体系和信息管理工作制度；人口和计划生育工作人员信息化知识水平和操作运用能力大幅度提高。“*”末，全省信息化应用水平高于全国平均水平，进入全国信息化先进行列。

（四）具体目标

1、机构设置和人员配置

省辖市人口计生委、县级人口计生委设立人口信息中心。省辖市人口信息中心，承担起本市的软件维护任务和计算机网络管理、维护及相关人员的培训等。

县级人口计生委或信息中心至少配备2名计算机专业技术人员，其中1名网络管理员、1名信息技术员。乡级计生办要配备信息技术员。专业技术人员要具有计算机相关专业学历。市级要求具备大学本科以上，县级具备大学专科以上，乡级要求中专以上学历。

各级人口计生系统信息技术人员每人每年不少于两次专业技术培训，培训时间不少于48小时。

县级及县级以上的网络管理员取得信息产业部及劳动和社会保障部颁发的“高级计算机网络管理员”证书和“数据库管理员（DBA）证书”。

2、基础建设

2006年，按照《河南省人口和计划生育信息化建设规范》要求，加强基础建设、网络环境、人员配备、数据库质量整顿，巩固和提高育龄妇女基础信息在基层经常性工作中的应用，增强市、县两级育龄妇女综合数据的分析、运用能力；各省辖市建立人口信息网站，各县在本市人口信息网上实现链接；市、县两级机房建设要达到规范化要求；建成设施配套完备及安全稳定的省、市、县、乡四级网络，建立全省人口和计划生育技术服务网络平台；省辖市和部分县建立数字化服务站；人口和计划生育业务信息系统在全省得到普及应用。

2007年，全省达到网络通讯方式的统一化管理，结合软件系统的要求对全省人口计生专网和网络设备进行整体改造，省、市、县带宽升级；结合省政府对电子政务网的要求，利用政府电子政务网逐步实现全系统的内网建设；实现省、市、县三级的内外网隔离；所有县建立数字化服务站；充分利用人口和计划生育业务应用系统开展工作。

2008、2009年，逐步建立省、市、县三级远程双向视频会议室；优化网络环境，拓展服务领域，开发实用性、针对性强的应用软件，实现与政府其他部门信息互联共享。

2010年，建成以省级人口数据库为中心，以人才资源为保障，集网络环境安全稳定、软件系统功能完备、信息纵向交流畅通、横向共享便捷为一体的人口和计划生育网络管理服务平台；人口和计划生育业务信息应用系统在村级普及推广；信息化建设进入全国先进行列。

3、软件开发及应用效果

2006年，《河南省人口和计划生育管理信息系统》、《河南省流动人口管理信息系统》及《河南省人口和计划生育技术服务管理系统》等软件在全省得到普及，所有县(市、区)数据纳入省级人口数据库集中管理；按照国家人口计生委要求初步实现《全国人口宏观管理与决策信息系统》（PADIS）软件有关功能的开发和应用工作。

2007年，开发《河南省人口和计划生育宣传政调评估系统》、《河南省人口和计划生育法规管理系统》、《OA办公系统》、《河南省人口和计划生育科技报表管理系统》等业务软件；全省人口计生专网作用发挥良好，公文、信息、值班、会议、督查等主要办公业务实现数字化和网络化。

2008、2009年，根据业务需要开发新的业务系统，实现政府部门间的信息交流与共享，信息共享程度明显提高，基本形成比较健全的信息安全体系和信息管理工作制度。

2010年，实现全省人口预测、统计分析信息和综合决策信息一体化。

4、资金投入

各级人口计生部门要将信息化建设经费纳入年度计划生育事业费预算，专款专用。按照建设与维护并重的原则，在规划项目建设资金时，要落实项目建成后的维护经费，建立科学、合理的维护机制。要加大对经济落后地区的支持，促进信息化建设的均衡发展。

三、保障措施

（一）加强对人口和计划生育信息化建设工作的领导

各级政府要将人口和计划生育信息化纳入政府信息化建设体系中，要把信息化工作摆到事关人口发展的重要战略位置，列入议事日程。要充分发挥人口计生信息化领导小组统筹、规划、调度、协调、督办的作用，及时发现和解决信息化建设中出现的新情况、新问题。要加大对信息化建设考核评估的力度，逐步将信息化建设纳入各级党政、人口计生部门工作目标责任制考核范围，严格奖惩。

（二）建立稳定的信息化建设财政投入机制

财政是人口和计划生育信息化建设投入的主渠道，各级政府要将人口信息化建设日常经费和项目经费纳入本地财政预算、并随着事业费投入的增加而增加，以保证信息化建设的需要。要严格按照有关法律法规进行政府采购和项目招标，使有限的资金发挥最大的效益。积极探索开展社会服务，建立投资的社会补偿机制。

（三）抓好各级信息技术机构和队伍建设

各级人口计生部门要稳定现有技术队伍，加强信息技术机构建设和人才队伍建设，积极培养和引进专业人才，建立切实可行的政策措施，鼓励信息化人才的稳定和引进。要加强信息化知识和技术的培训，把信息化知识和技术培训作为信息化建设的一个重要环节，常抓不懈。加强岗位练兵和继续教育，建立分层次、分类别、重实效的信息化技术培训制度，对各级领导、工作人员和信息化专业人员进行不同类型、不同层次的信息技术培训。争取用5年时间，使人人都能熟练操作计算机，培养一支掌握信息应用、熟悉业务工作的复合型人才队伍。

（四）健全制度，加强信息网络安全管理

各级人口计生部门要十分重视信息安全工作，建立健全信息安全组织机构和各项规章制度。牢固树立信息安全观念，严格执行国家信息安全的法律法规，建立安全策略、安全管理和安全技术三位一体的信息安全体系，做到信息安全与规划、建设和发展“三同步”。要对现有的信息系统安全进行测评，做好信息安全等级保护、信息安全风险评估、网络信任体系建设、信息安全产品测评论证和重要信息系统灾难备份与应急建设等工作。要制定有利于信息化建设和发展的政策、规范，统一信息化建设的技术标准。逐步推广应用网络资源安全证书认证系统工程，保证政府信息网络的信息安全和保密。同时，切实抓好各级人员的信息网络安全保密教育，增强信息网络安全防护意识，提高安全防护的技术水平。

(五)加强对信息化建设的统筹规划和综合评估

网络信息安全计划篇3

关键词：企业信息安全；网络安全；计算机网络；防火墙；防病毒

网络的普及和蔓延已经深入到日常生活的方方面面，一个不能忽略的问题也伴随着网络的普及渗入到人们的生活中，那就是网络安全问题。2017年5月一种名为“WannaCry”的勒索病毒全球范围内爆发，传播速度之快已经对全球网络安全构成了严重威胁。据权威机构研究显示，中国每年遭受600亿美元的网络损失，位居亚洲第一。目前在国内，网络安全威胁的行业范畴众多，如教育、医疗、企业、电力、能源、交通、政府等组织及机构均是网络安全的保障范围。

现阶段的网络安全已经不是单个组织、单一个人的防范行为，而是随着整个社会对信息安全的意识的觉醒形成的一个完整的网络安全产业。随着企业网络安全意识的提高，网络安全市场的规模也在逐年增长，伴随的安全产品和安全解决方案也是层出不穷，作为一般企业如何结合企业自身需求建立完善的网络安全策略，形成一个符合自身情况的网络安全方案是本文要讨论的重点。

1网络安全概述

随着网络技术的普及和蔓延，越来越多的企业都开始通过网络技术构建企业内部的信息平台，将企业的业务数据信息化以提升企业的综合实力，借助网络技术加速企业的发展在行业内取得技术上对的领先优势。其业务运营越来越依赖于对计算机应用系统，而计算机应用系统是建立在完善的技术网络环境中的。随着计算机网络规模不断扩大，网络结构日益复杂，对计算机网络的运维水平有着较大的挑战。而近年来的网络攻击事件频出，企业的信息安全防范意识也提高到了日常运维的日程中来了。从网络安全的管控模型来分析，网络安全一般采用动态的防御过程，一般要在安全事件发生的前、中和后均采用合理的技术方案，而网络安全管理流程则会在整个网络运营流程中起作用。企业的网络管理人员已经将网络安全纳入企业的IT规划发展的整体范畴，全面覆盖企业信息平台的各个层面，对整个网络及应用的安全防范通盘考虑。

从网络安全的发展历程来说，是由于网络自身的发展引发的安全问题才使得网络安全技术诞生了，目前而言有网络的地方就存在网络安全隐患。像黑客攻击、病毒入侵之类的网络安全事件，都是利用计算机网络作为主要的传播途径，其时间的发生频率可以说和信息的传播速度一样快，这也是网络安全的特点之一。除此之外，像非法用户的访问和操作，用户信息的非法截取和更改，恶意软件入侵和攻击等都是现今普遍存在于计算机网络的安全事件。显然，其所带来的危害也是让每一位计算机用户有着深刻的体会，例如：因为某种病毒让操作系统运行不稳定，导致文件系统中的数据损坏无法访问和读写，甚至导致磁盘、计算机、网络等硬件的损坏，造成极大的经济损失。

由于企业的网络环境建设过程一般历经了数年甚至数十年，网络中接人的设备数量和种类众多，网络中的应用和内部系统也繁多。再加上，一般要求企业的网络运行是7*24小时不间断作业运行，其产生的数据往往巨大，其中不乏大量的敏感信息。这样的网络环境，必然给恶意代码、病毒程序、网络攻击等恶意的攻击事件留下了隐患，可以毫不客气地说企业的网络环境往往是危机四伏。

2网络安全实践

2.1网络安全误区案例分析

目前针对网络安全事件频繁发作，不少企业采购了相关的安全产品并配合了相关的安全措施，但是缺乏对网络安全框架的理解存在不少误区，主要有以下几个方面。

1）部署网络防火墙就万事大吉了

防火墙主要原理是过滤封包与控制存取，因此对非法存取与篡改封包及DoS攻击等网络攻击模式是极其有效的，对于网络隔离和周边的安全防护效果明显。显然如果攻击行为绕开防火墙，或是将应用层的攻击程序隐藏在正常的封包内，防火墙就失效了，这是由于大多数防火墙是工作在W络层，并且其原理是“防外不防内”，对内部网络的访问不进行任何处理，显然这种原理就成为了安全隐患和漏洞。

2）定期更新杀毒软件就能够保护系统不受病毒侵扰

显然安装杀毒软件是避免系统被病毒破坏的主要手段之一，但是这仅仅只能对已知病毒进行查杀，对于未知病毒显然缺乏事先预防的能力。

3）病毒只会在万维网中传播

虽然目前万维网是病毒传播的主要途径，但是对于企业内部网络可能会通过u盘、刻录光盘、邮件、企业协同系统等从外部带人病毒，因此只要计算机运行了，就要需要做好防范病毒措施。

4）为了避免病毒感染只要设置文件属性为只读即可

通常操作系统的shell调用可以提供将文件的读写属性设置为只读，但是对于黑客来说完全可以用程序做反向操作，即将文件属性改为读写，并可以接管文件的控制权。

5）将敏感信息隔离于企业门户之外

不少企业都采用了网络隔离装置，控制外部对企业内部网络的访问，甚至完全隔离任何数据的读写均禁止。但是对于内部的安全管理疏于防范，导致某些账户或权限被外部窃取，最后网络敏感数据从内部流出，甚至导致内部网络瘫痪，系统无法正常运行。

显然上述误区都是因为网络管理员的思想局限在某些单一的网络场景导致的，缺乏全局的网络安全意识和合理的网络安全规划策略的指导。

2.2案例分析

针对上述误区，本文将以一个虚拟的公司网络环境展开案例分析，设计一个全局的网络防范框架。一般企业网络按服务器类型划分包括：AAA服务器、内部DNS服务器、FTP服务器、HTTP服务器等服务器。按职能部门划分包括：经理办公室、市场部、财政部、系统集成部、软件部以及前台接待部，一般各部门的网络会做隔离，另外对于财务部的网络只有经理办公室有权限访问其他部门不能访问，而前台接待部的网络作为企业门户不能访问公司内部网络，只能通过外网访问。

根据上述基本网络需求，在网络安全架构设计上还应考虑Intemet的安全性，以及网络隐私及专有性等一些因素，如NAT、VPN等。综合分析，一个完整的企业网络安全建设需求应该包括如下建设需求：1）网络基础设施建设；21网络基础的连通即访问规划；3）信息的访问控制；4）全网网络安全管理需求；5）各层次的网络攻防控制；6）各层次应用及系统的病毒防范；7）企业内部的跨部门的信息安全；8）敏感信息及网络安全控制。

根据上述基本网络需求，可以建立一个如图1所示的网络拓扑结构。

上图中的拓扑结构满足一般性的企业网络环境，包括服务器网络及网络隔离，各个职能部门的网络、计算机及办公设备，以及防范外部的防火墙设备，还包括各个层次的网络交换机等网络设备。

一般性的场景是根据图1中的网络拓扑设计，根据企业的实际网络规划考虑企业网络建设的安全需求，在网络建设的基础上进行安全改造，目的是保证企业各种设计信息的安全性，提高企业网络系统运行的稳定性，避免设计文档、图纸的外泄和丢失。对于客户端的计算机的保护一般是通过软件或安全流程进行保护，记录用户对客户端计算机中关键目录和文件的操作，使企业有手段对用户在客户端计算机的使用情况进行追踪，防范外来计算机的侵入而造成破坏。通过网络的改造，使管理者更加便于对网络中的服务器、客户端、登陆用户的权限以及应用软件的安装进行全面的监控和管理。一般采用以下安全手段：1）在现有网络中加入网络安全设备设施；2）lP地址规划及管理；3）安装防火墙体系；4）划分VLAN控制内网安全；5）建立VPN（虚拟专用网络）确保数据安全；6）提供网络杀毒服务器；7）加强企业对网络资源的管理；8）做好访问控制权限配置；9）做好对网络设备访问的权限。

一般情况下在企业的网络环境中，会由ISP供应商提供公网的人口，而本文的重点为安全问题，因此采用虚拟的公网入口。目前IPv6技术还不是很成熟，IPv4地址依旧广泛应用于企业内部网络，因此公司内部使用IPv4的私有地址网段，假设公司内部共拥有800部终端，所以由172.28.0.0/22网络段划分，ip地址和VLAN规划如下表1。

根据上表1的规划依旧满足了连通性和VLAN的控制划分，在图1中的规划建立经理办公室和财务部的VPN就保证了隔离性。再在服务器集群中安装专门的防病毒服务器，监管所有计算机的防病毒程序，防止病毒人侵。根据一般安全权限控制还需建立专用的AAA服务器，保证认证（Authentication）：、授权（Authorization）和审计（Accounting）。最后，图l中IDS（IntrusionDetection Systems）即“入侵检测系统”，用户可以根据企业安全需求设置一组安全策略，IDS可以对网络中的计算C、软件、磁盘、网络等新设备监控运行状态，根据运行状态预测各种网络攻击事件，从而起到网络安全的防范作用，IDS也是根据安监事件的事前、事中和事后的动态过程设计的模型。

3总结

网络信息安全计划篇4

关键词：边界防护；安全域划分；入侵检测；等级保护

中图分类号： TM247 文献标识码： A 文章编号：

0 引言

随着电网公司SG186工程的实施和信息化建设的逐步推进，重要应用系统已集中部署到省公司，市级电力企业将主要负责数据采集和网络实时传输工作，信息网络的安全稳定性将直接影响信息系统的安全、可靠。电力企业通过网络分区分域、边界防护、规范安全配置及部署网络监测防护等手段，建立信息网络安全防护体系，提高了信息安全运行水平。

1 企业信息网分区分域

1.1 信息网络分区

电力企业信息网络分为信息外网区和信息内网区。结合资金、通道资源等因素考虑，省、地、县信息广域骨干网将做内外网逻辑隔离，全部骨干网节点上投运具备MPLS-VPN功能的高端路由器设备，信息外网以信息内网为承载网，开通MPLS-VPN通道到各地、县本地网接入点，地、县本地局域网以物理隔离方式分别组建信息内网和信息外网实现内外网隔离。

1.2 安全域建设

网络安全的基本策略是进行安全区域划分，根据信息业务安全等级差异可划分不同安全等级的区域，实现对安全风险的有效隔离。市级电力企业主要的营销管理系统、生产管理系统、协同办公系统等已全部集中部署在省公司，因此在市公司中，系统均为二级系统。根据网络安全域与网络功能区相匹配的原则，信息内网安全域可划分为系统服务器域和内网终端域两个，并通过防火墙实现安全风险隔离。信息外网因没有对外业务应用系统，全部为外网终端，因此外网只有外网终端域。信息内网网络示意图如图1所示:

图1 信息内网网络示意图

2 网络边界防护

边界防护是指网络区域间和区域内所有网络流量必须在明确的策略允许下进行传输，数据流进行严格的控制，包括数据流的源和目的地址，控制精度达到端口级，默认拒绝所有不确定的数据流。边界的隔离防护功能可以从物理上实现，也可在网络层和系统层实现。市级电力企业信息内外网实现物理隔离方式，信息内网不存在第三方边界，信息内网的网络边界根据区域网络数据流向划分为纵向边界、横向边界和终端接入边界。划分示意图如图2所示。

图2 边界划分示意图

2.1 纵向边界防护

市级信息网络纵向边界分为上联省公司边界和下联县级公司边界两部分，边界划分和隔离方式基本相同，采用BGP协议划分不同的自治系统域网络边界，以口字形方式双机冗余连接，部署防火墙做网络边界隔离，通过防火墙的访问控制策略实现数据流的纵向访问控制防护。

2.2 横向边界防护

市级信息网络横向边界分为安全域间边界防护和网段间防护。安全域边界防护采用防火墙作边界安全策略配置，实现服务器域和内网终端域间的安全访问控制；网段间防护包括服务器网段VLAN划分和内网终端域网段VLAN划分，通过在网络设备层上配置详细的VLAN访问控制策略实现网段间的边界防护。

2.3 终端接入边界防护

终端接入边界防护主要是计算机终端和接入层交换机的安全接入控制，包括设备接入许可控制和外联阻断。设备接入控制采用网络层的IP-MAC地址绑定功能做接入许可控制，并在网络设备端作端口访问控制策略；外联阻断控制是部署终端管理系统实时对设备外联进行检测，如有连接外网可主动发起阻断操作并告警，通过应用系统层做边界接入防护。

3 规范网络安全配置

网络安全威胁是实际存在的，网络本身的安全性配置是网络系统的安全基础，可最大程度地降低网络层的攻击威胁。如何正确有效地启用各类网络安全配置是网络日常维护深入的重点。网络设备安全配置总体包括网络服务、网络协议和网络访问控制三方面。以cisco网络设备为例，列举以下安全配置：

4 网络安全监测防护

4.1 网络管理系统

网管系统可对网络设备进行远程管理和状态监控，实现对网络内所有网络设备的告警监测和故障定位，使用运行管理功能能提供网络故障预警、故障定位。同时能确定网络设备CPU、内存的负荷、站点的可到达性、网络链路流量、传输速率、带宽利用率、时延、丢包等。并发现系统的物理连接和系统配置的问题，进而优化网络性能、提高网络运行效益。是网络管理员管理网络的重要手段。

4.2 入侵检测系统

人侵检测系统能提供安全审计、监视、攻击识别和防攻击等多项功能；具有事前警告、事中防护和事后取证等特点；可以监视用户和系统的运行状态，查找非法用户和合法用户的越权操作；检测系统配置的正确性和安全漏洞，并提示管理员修补漏洞。通过入侵检测系统，管理员能实时检测到用户网络受攻击行为，并即时采取应急措施。

4.3 漏洞扫描系统

漏洞扫描系统将网络、主机和桌面终端的系统配置信息进行漏洞规则匹配分析，能即时检测到网络上各设备的系统漏洞，发现系统隐患及脆弱点，能通过补丁更新系统更新。

4.4 日志审计系统

日志审计系统能将网络设备、防火墙设备、入侵检测及主机系统的日志数据进行采集、分析和识别，对各类事件归类汇总分析，实时定位网络安全事件的准确性，并进行报警响应。

4.5 防病毒系统

计算机病毒是造成网络大规模瘫痪的重要原因，通过防病毒系统对病毒感染传播的遏制，是网络安全的重要防护手段。终端防病毒软件安装率是电力企业信息安全考核的重要指标。

5 结语

网络信息安全计划篇5

关键词：计算机；网络安全；对策

0 引言

计算机应用发展迅速，加强计算机网络安全性的管理是极其重要的。计算机网络安全技术是一项复杂的工作，需要明确计算机网路系统技术的多方面管理步骤，明确计算机安全运行操作的基础性管理标准要求，按照计算机网络安全运行标准，对可能涉及需要防范的管理措施和管理标准进行技术分析，明确计算机相关设备的技术应用要素，根据计算机的网络安全性要点进行合理的分析，提出有效完善网络安全防范管理的技术措施，为计算机网络的安全化管理进行有效的技术水平提升。

1 计算机的网络化安全

计算机的网络化安全管理是根据实际需要采取的相关技术要点、处理措施、管理要求等内容进行合理的分析，充分研究计算机网路系统安全中的软件、硬件、数据资源内容，加强计算机网络系统的安全化运行管理，对网络化信息系统的相关处理过程和处理效果进行准确的分析，完善计算机网络内部、外部、数据网络信息之间的管理要点，结合互联网，不断提升计算机网络发展速度水平，为人们的日常生活提供良好的物质条件，不断完善计算机网络信息的安全化管理，提升网路数据信息的内部安全性水平，确保数据信息的及时调取和分析，不断完善计算机网络数据信息的安全性，防止可能出现的各种安全威胁，明确计算机应用安装的相关软件，对可能发生的各种类似事件进行预警分析，提升计算机的安全可靠性。

2 计算机网络安全隐患

2.1 计算机病毒

随着计算机病毒的发展，计算机网络受到严重的威胁，计算机信息数据受病毒的侵害，造成计算机的工作效率下降，严重的影响计算机系统的稳定性，部分计算机文件数据丢失，甚至造成计算机主板损坏。计算机病毒种类泛滥，传播速度快，种类复杂，对计算机网络的攻击性大，破坏性强，很难彻底的清除，这对于计算机网络的安全性造成严重的威胁。

2.2 IP盗用

计算机网络是利用局域网的IP地址进行区域的划分，如果这些IP地址被盗用，计算机的原始IP用户就无法登录使用网络，盗用者以隐藏的身份使用这些IP地址，对用户造成严重的威胁，影响网络信息的安全性。

2.3 黑客对计算机网络的威胁

计算机网络安全受黑客的攻击影响，系统出现运行错乱的现象。通常黑客采用破坏性的方式入侵目标用户的电脑，盗取、破坏用户的电脑数据信息，达到获取不良有益的目的。黑客往往对用户的电子邮件、登录口令进行攻击，设置欺骗性病毒，造成计算机网络系统出现漏洞，实现黑客的非法入侵行为。

2.4 垃圾邮件信息

电子计算机网络的垃圾信息极多，垃圾邮件是具有特点的一个类别。用户对每日的邮件只有接收的权利，而没有拒收的权利。网络邮件泛滥，入侵人们的工作生活信箱，根据人们日常操作的信息，窃取人们的个人信息内容。垃圾邮件占用服务器的内容，占用带宽，影响网络信息的有效传播。

2.5 计算机网络监管不足

计算机网络信息的安全管理不足，管理结构制度不够规范，岗位职责不够明确，这直接影响网络信息的安全化管理，对计算机的网络化安全运行造成一定的破坏，计算机病毒、黑客、计算机犯罪等问题严重的影响计算机数据平台，对计算机的网络信息造成严重的威胁问题。

3 激素啊你就网络安全的改进对策

3.1 建立防火墙软件

根据计算机网络安全的规划要求，建立防火墙软件。利用网络计算机硬件和软件的基本配置组合，明确网络公共信息的安全性水平，按照网络资源的私有规划制度进行合理的分析。防火墙可以极大程度的提升网络信息的安全级别，利用网络过滤的方式，降低网络信息的风险问题，制定合理的防火墙信息协议管理标准，确定网络环境的安全水平，提升计算机全方位的安全管理，提升对病毒的抵御水平。例如，使用360卫士、金山毒霸软件进行杀毒处理。

3.2 黑客的防御

制定安全用户管理标准，设置准确高级别的密码，结合用户权限制定智能卡，生物卡，指纹识别系统，尽可能的避免黑客的入侵。采用防火墙技术，通过对网络信息的限制访问，控制网络数据信息的访问级别，设置内外网络管理及时，确定数据访问级别，设置合理的网络黑客抵御防护标准。

3.3 口令设置

采用智能卡标注进行口令设置，采用生物特征对信息进行口令的分析，记录系统相关用户的信息内容，对不可以公开的信息进行限定。采用有效的用户信息管理系统，不断完善用户信息的数据内容，确定符合用户信息的口令表，提升信息系统准入级别。

3.4 网络安全意识的管理

在网路信息安全化技术管理上，不断完善网络信息技术人才的规划和管理，提升网络信息技术人才的安全意识管理水平，避免他们可能出现的各种失误问题，提升网络信息的安全性和有效可靠性级别。建立符合计算机网络应用的管理岗位，加强网络系统的信息安全管理级别，不断提升网络信息的管理水平和管理能力，做好数据信息的有效备份，提升数据信息的加密性，制定黑维护计算机网路信息安全管理运行的技术标准，逐步提升网络信息用户的管理意识，实现对网络信息安全的准确意识管理。

3.5 数据加密的处理方案

对高级别保密数据信息进行加密处理，提升数据信息传输的伪装性，提升数据信息的安全级别。在数据信息传递过程中，对于专用的高级别数据信息，采用单一线路的加密传输方式，不断完善数据信息的加密管理级别，设置准确的密钥，提升数据信息的安全级别，对TCP/IP进行封装管理，提升数据信息的保密性，传递成功后及时对保密数据进行恢复处理，确保数据信息的有效性。

4 结语

综上所述，计算机网络信息的安全管理是一项复杂而多项的内容，需要针对网络信息的发展管理目标，逐步完善网络计算机的网络信息安全性管理意识，提升网络信息的安全性技术水平，避免可能出现的黑客攻击问题，提高杀毒和预防管理工作，确保计算机网络信息的安全运行，实现计算机网络的阿全快速发展。

参考文献：

[1]张伟，庞永清.计算机网络安全现状及防治措施研究[J].计算机光盘软件与应用.2012（19）

[2]肖玉梅.探讨计算机网络安全现状及应对策略[J].计算机光盘软件与应用.2012（23）

网络信息安全计划篇6

【关键词】 烟草 信息安全 体系 建设

随着烟草行业的不断发展，企业对信息化建设的要求越来越高。目前，烟草行业，尤其是以地市级烟草企业为代表的卷烟销售终端企业，在信息安全建设上给予的重视越来越高，资金的投入也越来越大，地市级烟草企业信息安全工作有了保障。

1 信息安全体系规划原则

根据国家和行业信息安全相关政策和标准，安全体系规划与设计工作遵循以下的建设原则：

（1）重点保护原则。针对核心的服务支撑平台，应采取足够强度的安全防护措施，确保核心业务不间断运行。

（2）灵活性原则。因信息技术日新月异的发展，而相应的安全标准滞后，应灵活设计相应的防护措施。

（3）责任制原则。安全管理应做到“谁主管，谁负责”，注重安全规章制度、应急响应的落实执行。

（4）实用性原则。以确保信息系统性能和安全为前提，充分利用资源，保障安全运行。

2 信息安全体系管理范围

以地市级烟草企业中心机房核心网络和系统为主，覆盖市局（公司）、各县级局（营销部）、基层专卖管理所等，安全体系包括范围：应用安全、网络安全、主机安全、数据安全、终端安全等。

3 信息安全体系规划框架

按照等级化保护“积极防御、综合防范”的方针，地市级烟草企业信息化建设需要进行整体安全体系规划设计，全面提高信息安全防护能力。

在综合评估信息化安全现状的基础上，从管理和技术来进行信息安全管理工作。信息安全体系建设思路是：以保护信息系统为核心，严格参考等级保护的思路和标准，满足地市级烟草企业信息系统在物理层面、网络层面、系统层面、应用层面和管理层面的安全需求，为各项业务的开展提供有力保障。信息安全体系框架如图1所示：

4 信息安全管理体系建设

从实际情况出发，体系包括安全组织机构、安全管理制度、人员安全、安全教育培训在内的安全管理体系。

4.1 组织机构

由决策机构、管理机构、和执行机构三个层面组成信息安全组织机构，并通过合理的组织结构设置、人员配备和工作职责划分，对信息安全工作实行全方位管理。

4.2 安全制度

信息安全规章制度是所有与信息安全有关的人员必须共同遵守的行为准则。应从信息安全组织机构和岗位职责、人员管理制度、信息系统管理制度、机房管理制度、网络管理制度等。

4.3 人员安全

通过管理控制手段，确保单位内部人员以及第三方人员的安全意识，包括人员的岗前安全技能培训、保密协议的签订等几个方面。

4.4 安全教育培训

通过有计划培训和教育手段，确保工作人员充分认识信息安全的重要性，具备符合要求的安全意识、知识和技能，提高其进行信息安全防护的主动性、自觉性和能力。

5 信息安全技术体系建设

按照等级保护方法，对信息系统进行安全区域的划分，并根据保护强度来采用相应的安全技术，实行分区域、分级管理。基础性保护措施实现后，建立地市级烟草企业的信息安全管理平台，对地市级烟草企业整体信息系统的统一安全管理。

5.1 划分安全区域

根据信息化资产属性，可划分为服务器区域、终端区域。目前，各业务域的服务器直接连接至核心交换机，无法对各个服务器区之间划分明确边界，在服务器区和核心交换机之间增加汇聚交换机，服务器经过汇聚交换机的汇聚再上联至核心交换机。对局域网按照业务功能区建立不同的VLAN，分别赋予相应级别的服务访问权限和安全防护措施。安全域网络拓扑如图2示：

一级安全域包括范围：地市级烟草企业办公区域、县公司办公区域、移动访问用户区域。部署上网行为管理、杀毒软件等防护措施。二级安全域包括对象：业务与管理服务器区域、网站服务器区域、公共平台服务器区（防病毒服务器、网管服务器）等。部署操作系统加固、身份认证、漏洞扫描、文件数据加密以及安全审计等措施。三级安全域包括数据服务器区域、存储备份区域以及核心交换机、主干路由器等。部署核心交换设备、链路冗余备份，加载广域网路由QOS策略，采用数据库高强度口令访问等措施。

5.2 保护计算环境

“云计算”和虚拟化技术的发展，打破了传统意义上按物理位置划分的计算环境。依照不同的保护等级，分别进行加强用户身份鉴别、标记和强制访问控制、系统安全审计、用户数据完整性保护、保密性保护、系统安全监测等措施。

5.3 区域边界保护

边界保护是一组功能的集合，包括边界的访问控制、包过滤、入侵监测、恶意代码防护以及区域边界完整性保护等。在技术上通过防火墙、入侵防护、病毒过滤、终端安全管理等措施来实现保护。

5.4 通信网络防护

信息系统的互联互通是建立在安全畅通的通信网络基础之上。通讯网络的构成主要包括网络传输设备、软件和通信介质。保护通信网络的安全措施有：网络安全监控、网络审计、网络冗余或备份以及可靠网络设备接入。一是利用入侵防护系统以及UTM在关键的计算环境边界，进行安全监控，防止非法的访问；二是对骨干网中的防火墙设备进行配置，制定安全访问控制策略，设置授信的访问区域；启用安全审计功能，对经过防火墙访问关键的IP、系统或数据进行记录、监控；通过网闸技术，对不同网络进行物理隔离。通过VLAN技术对内部网络进行逻辑隔离。

5.5 数据安全防护

建立数据安全备份和恢复机制，部署数据备份和恢复系统，制定相应的数据备份与恢复策略，完成对数据的自动备份，并建立数据恢复机制。建立异地数据级灾备中心，在系统出现灾难事故时，能够恢复数据使系统应用正常运行。

5.6 信息安全平台

随着信息安全体系的建设，各种安全设备以及安全技术手段的引入，给管理带来极大的挑战，信息安全需要建立一套平台，按照统一安全策略、统一安全管理，来对全网进行统一的安全管理，以最低限度地减少由于安全事件带来的损失。

网络信息安全计划篇7

关键词：铁路；信息系统；安全隐患；对策

1、铁路信息系统建设现状

经过30多年的发展，铁路信息系统从无到有、从小到大，从单机版本到多层次的网络应用，全路信息技术人员总数已达5500多人，拥有大、中、小型计算机1600余台，微型计算机近10万台，建立了覆盖铁道部、铁路局和主要站段的计算机网络及传输网、交换网、数据通信网3大通信基础网，先后开发了以列车调度指挥系统、客票发售与预订系统、铁路运输管理信息系统为代表的一大批应用信息系统，铁路信息系统建设取得了很大成就。

列车调度指挥系统(trainopera-tiondispatchingcommandsystem，TDCS)是一个采用现代信息技术改造传统落后的调度方式，建立集通信、信号、计算机网络、数据传输、多媒体为一体的3级4层(即铁道部、铁路局、原铁路分局3级再加上基层信息采集层)分散控制、集中管理的运输调度指挥系统。TDCS按照计划调度台编制的日、班行车计划，生成和下达阶段计划，并实时自动采集列车运行信息及现场信号设备状态信息，自动调整滚动阶段计划，实现对列车运行的实时追踪、实时调整和集中透明指挥。经过10多年的建设，哈尔滨、呼和浩特、柳州、成都、兰州、乌鲁木齐、青藏公司7个铁路局(公司)全面完成TDCS的建设，郑州、济南、上海、武汉、昆明铁路局主要干线实现了计算机自动绘制列车运行图。

客票发售和预订系统(ticketreservationsys-tem，TRS)是覆盖全国铁路的大型计算机网络应用系统。TRS由铁道部客票中心、地区客票中心和车站客票系统3级构成，车站售票系统主要负责售票的实时交易服务，地区客票中心主要负责以座席为核心的调度控制和客运业务管理，铁道部客票中心主要负责全路客运的协调管理、营销分析，并保障全路的联网售票。目前全路已建成铁道部客票中心1个、地区客票中心22个、计算机售票车站2183个，联网车站1385个，通过联网售票系统发售的客票约占全路客运发送量的90%以上、客票收入的95%以上。

铁路运输管理信息系统(transportationmanagementinformationsystem，TMIS)是一个规模庞大、结构复杂、功能众多、实时性强的网络型计算机应用系统。1994年开始实施，2004年底TMIS各子系统全面建成。整个信息系统在TMIS网络平台上主要架构货票制票、列车预确报、车站综合管理、货运营销与生产管理、集装箱管理、大节点追踪、运输调度7大系统，基本覆盖了铁路货运生产的全过程。1)货票制票系统。货票制票系统是在全路日均装卸超过60车的大、中、小型货运站和所有车务段范围内实现微机编制货票，并通过计算机网络上报给铁路局软件的系统。目前全路2674个车站实现了微机制票，制票率达99.27%，路局货票信息入库率近100%。货票制票工程不仅实现了货票信息的实时处理，满足了铁路管理的需要，同时还为财务、收入、运输统计等部门提供了所需信息，实现了资源共享。2)列车预确报系统。列车预确报系统利用计算机网络实现车站发报，路局、铁道部按照既定原则转报的自动处理过程。路局、铁道部建立预确报信息库，为相关部门提供一系列统计、分析和查询功能，可供其它信息系统共享。目前全路开通预确报系统的车站已达912个，覆盖了全路所有的编组站，大、中、小型区段站和主要中间站以及所有的路局调度所。列车预确报系统的投入运行，为运输调度、车辆追踪奠定了良好基础。3)车站综合管理系统。车站综合管理系统是将货运管理、现车管理、集装箱管理、货运制票、营销计划、货运安全等功能融为一体的信息系统。目前已在全路1230个大、中、小型车站建成并投入运用。其功能涵盖车站作业生产和管理的各个环节，用现代管理取代了经验管理，对车站压缩列车中途停时，加速车辆周转，降低劳动强度，提高运输效率，发挥了重要作用，实现了铁路货车及货物原始信息的收集和共享。4)货运营销与生产管理系统。货运营销与生产管理系统主要包括货运计划和技术计划两大系统。货运计划系统在全路1487个货运站全面投产，完成货主提报的货运计划的受理，并通过网络将受理的货运计划原提实时上报铁路局、铁道部，各级按规定的权限对提报的货运计划原提进行审批并将审批信息自动下达。所有原提和批准信息在铁道部集中建库，为货源原始信息的统计分析和货运营销策略的制定提供依据。技术计划系统利用已批准的货运计划信息，编制车辆运用计划，通过合理安排各区段车辆，提高车辆运用效率和铁路运输能力，压缩铁路运输成本。5)集装箱管理系统。集装箱管理系统在全路600多个集装箱办理站投产使用，通过网络实时采集集装箱装车清单、卸车清单、空箱回送清单和集装箱运输日况表等信息，在铁道部按箱号建立集装箱动态库，通过与车号自动识别系统信息相结合来掌握集装箱运行位置。6)大节点追踪系统。根据车号自动识别系统实时采集的机车、车辆的车号、车次、属性和位置等信息，结合预确报、货票、集装箱等系统提供的信息，实现列车、机车、车辆、集装箱和货物的追踪。使运输调度指挥人员能及时、准确地掌握列车运行状态、车辆分布和使用情况，更有效地组织运输生产、进行车辆的调度和管理。同时可面向社会，为货主提供及时的信息服务。货车追踪系统已在全路投入运用，并在铁道部、铁路局分别建立车辆、列车、机车、集装箱的动态库、轨迹库和历史库，提供各种统计和分析，为铁路各级管理部门提供辅助决策支持。7)运输调度信息系统。铁路调度在管理上体制上由铁道部、铁路局和站段3级构成，在业务分工上，分为计划调度、列车调度、机车调度、货运调度、客运调度和统计分析等。

2、铁路信息系统面临的安全隐患

铁路信息系统建设虽然取得了很大成绩，但还面临一些安全隐患，主要是计算机病毒和黑客攻击。

2.1计算机病毒

计算机病毒是一种人为制造的在计算机运行中对计算机信息或系统产生破坏作用的程序。它并不独立存在，而是寄生于其他程序之中，隐蔽性很强，只要带病毒的电脑在运行过程中满足设计者所预定的条件，病毒便突然发作，破坏系统资料；计算机病毒的侵入在严重的情况下，会使网络系统瘫痪，重要数据无法访问甚至丢失。计算机病毒的主要特点主要表现在以下几方面：一是传播速度快，制毒周期短。1995年全世界平均每星期有10多种新病毒，至1999年平均每天出现6种新病毒。目前，全世界平均每隔20分钟产生一个新病毒，制毒周期明显缩短；二是扩散范围广，感染途径多。计算机病毒的传播途径不仅可由磁盘和光碟的读、写操作感染计算机，进而蔓延扩散，而且还可借助网络广为传播；其传播新途径有网络中的磁盘共享、网络中的共享文件夹、网络服务器访问、电子邮件等；三是种类繁多，数量巨大。计算机病毒种类以几何数增长，其活体病毒达14000种，病毒机理和变种不断演变，从最初的简单引导型、文件型或混合型发展成多形性、欺骗性、非文件型病毒；四是破坏严重，损失巨大。以CIHv1 2病毒为例，在每年4月26日被触发后，对被感染计算机的BIOS芯片和硬盘驱动器发起攻击，将硬盘上最起决定性作用的部分用垃圾代码覆盖，同时，试图改写BIOS。一旦BIOS被破坏，系统将由于无法启动而不能使用，造成系统崩溃，甚至损坏硬件，构成对计算机毁灭性的打击。如果铁路信息系统感染了破坏力巨大的病毒，可能会造成巨大的损失。

2.2黑客攻击

黑客是网络中的一个复杂群体，其对的安全威胁主要包括发现和攻击网络操作系统的漏洞和缺陷，利用网络安全的脆弱性进行非法活动，如修改网页、非法进入主机破坏程序，窃取网上信息，进行电子邮件骚扰，阻塞网络和窃取网络用户口令等。其主要特点：一是手段多样，作案隐蔽；黑客采用穷举法，借助电脑和简单程序，在较短时间内逐个查验；启动破译和监听程序等，以盗窃口令和密码，修改、增删、破坏系统功能，甚至在远端控制整个系统使用权，从而制造不安和混乱；二是预谋作案，造成的经济损失大。随着信息技术的迅速发展，所有与互联网连结的计算机都可能遭受黑客的攻击。如果铁路信息系统遭到黑客攻击，其造成的后果将不堪设想。因此，必须采取有力措施，确保铁路信息系统安全。

3、保护铁路信息系统安全的建议

3.1反计算机病毒措施

对计算机病毒运用“预防为主，防杀结合”的战略，以预防、检测、清除等防治手段综合治理。首先查找病毒来源，堵塞传播渠道，把病毒拒于千里之外。例如，将所有EXE和COM文件赋予“R”只读属性；接收远程文件输入时，勿将文件直接写入本地硬盘；;严禁随意下载软件和非法拷贝文件；不使用来历不明的软盘、U盘，不轻易打开来历不明的邮件及其附件。其次，利用杀毒软件对付已侵入的病毒，例如，KV300系列、瑞星杀毒软件等，将其封杀在最小范围，不致危害整个铁路信息系统。注意对杀毒软件的升级工作，提高消毒能力；还可采用手工杀毒方法。再次，安装具有实时监控、报警功能的防杀毒软件，合理设置硬盘分区，对重要文件备份等。

3.2 安装防火墙，防止黑客攻击铁路信息系统

对于黑客而言，他们的主要目的在于窃取数据和非法修改系统，其手段之一是窃取合法用户的口令，在合法身份的掩护下进行非法操作；其手段之二是利用网络操作系统的某些非法但不为系统管理员和合法用户所知的操作指令。目前，安装防火墙是一种比较有效的防止黑客攻击的手段。防火墙技术是近年来发展起来的一种保护计算机网络安全的访问控制技术。它在要求保护的内部网络与开放系统之间建立安全站点，阻止对信息资源的非法访问和外部不可预料的潜在破坏，也可防止内部网络重要信息向外泄露，在内外网间发挥隔离、检查、有选择有限度的沟通作用，实现网络安全策略。一般来说，铁路信息系统内部网络相连的各台计算机上，应该安装防火墙，以防止公司内部数据的外泄。

3.3加强人才培养和培训的力度

信息系统的安全性很重要的一点是人员素质，管理人员的安全意识和技术水平直接影响到整个系统的安全性。目前，已有许多成熟的安全技术、安全产品，但能否让这些技术和产品在实际应用中充分发挥作用，关键还在于我们如何规划、组织及配置，这些都是和管理人员与工程技术人员的素质分不开的，因此，应该加强人才培养力度，根据信息安全的特殊性和各种不同人才需求层次，进行有针对性的培养和培训，为确保铁路信息安全，培养一支实力强劲的专业队伍。

参考文献:

［1］马建军，许红，杨浩.铁路信息化发展战略规划研究［J］. 交通与计算机，2006年第3期.

［2］ 杨生强.防火墙的安全机制研究［J］. 航空计算技术，2000年第3期.

［3］ 冯登国.关于发展我国信息安全的几点建议［J］. 中国科学院院刊，2002年第四期.

网络信息安全计划篇8

关键词：一体化；安全域；信息安全

1.引言：

随着全国信息化建设的发展和消防信息化的深入，消防业务应用系统数量和提供服务的用户数不断增加，同时，公安部消防局统一开发的一体化消防业务信息系统逐步在各总队深入推广应用，因此，为保障总队信息系统的稳定可靠运行，总队在部局规划指导下，开展一体化信息系统信息安全保障项目建设，构建设计动态积极安全防御体系，保障全局一体化业务系统稳定可靠地运行。

2.系统特点

一体化消防业务信息系统是公安部消防局根据十一五期间信息化建设项目总体实施方案统一规划设计，根据整体业务进行需求分析研发的信息系统，系统实现了纵贯部局，总队，支队，大队，中队各级，横跨各业务部门的信息资源共享，互联互通。系统以基础数据及公众服务两大平台为建设核心，包含灭火救援指挥系统，消防监督管理系统，部队管理系统，公众服务平台，综合统计分析信息系统五大业务系统。并针对一体化业务平台，提供二次开发接口，保证和其他业务信息系统的衔接。系统采用面向服务的SOA的设计理念，最终实现音频，视频，数据的综合集成，使一体化业务系统能实现互联互通互操作。

系统建设主要依托“金盾工程”，利用“金盾工程”的现有公安网基础网络和信息资源，按照网络应用环境不同，分为公安信息网（以下简称“公安网”）应用系统、互联网应用系统、公安网与互联网同步应用系统。公安网应用系统是指仅在公安网上运行的消防业务信息系统，互联网应用系统是指在非公安网运行的消防业务信息系统。公安网与互联网同步应用系统是指同时在公安网和非公安网开展业务应用、并且相互间有数据交换要求的消防业务信息系统。

根据部局的一体化系统建设指导方案和系统设计架构，总队结合当前实际情况，对一体化消防业务信息系统暂采用混合部署模式，即整个总队的一体化业务系统的应用及服务均部署于总队信息中心，由总队统一规划，统一管理，开展一体化消防业务信息系统体系建设。

3. 系统信息安全管理体系设计

为保证一体化消防业务信息系统的高可用性和高可控性，总队按照武警消防部队信息化建设总体方案的要求，对全总队网络信息安全设备配备及部署进行统一规划、设计，购买相应设备，利用信息安全基础设施和信息系统防护手段，构建与基础网络相适应的信息安全管理体系。

3.1总队信息安全管理体系安全域划分

由于总队内部计算机数量众多，并涉及到公安网，互联网以及政务网多个网络的应用，为便于管理和控制网络广播风暴的发生，应根据计算机所属部门、物理位置、重要性的不同，把局域网划分为多个虚拟子网（VLAN1…VLANn）。根据各VLAN间的安全访问级别不同，实现各VLAN间的安全访问控制。

根据各类软硬件设备提供应用的范围、面向的用户群以及影响面、重要性的不同，站在全局的高度，合理划分安全域，确定安全需求和访问控制策略、安全硬件部署策略。

总队安全域划分：

（1）核心业务处理区：涉及一体化消防业务信息系统中的部分业务系统。该安全域中的业务系统支持本地内网的业务应用，无需与外部实体进行数据或业务的交互。

（2）119接处警系统区：涉及119接处警系统所有应用服务器、数据库服务器、数字录音仪、接处警终端以及其它附属设备。本区域设备支撑119报警的受理、处置、调度、反馈以及灾后数据分析等全流程业务应用，为全内网应用。总队119接处警系统将与一体化消防业务信息系统的灭火救援系统开发数据接口。

（3）特殊业务受理区：涉及一体化消防业务信息系统中部分业务系统，主要是面向移动终端的业务接入，包括灭火救援、消防监督的业务受理系统，特殊业务受理区的受理服务器可以将受理的业务数据“摆渡”到业务处理区进行处理，在得到处理区服务器的反馈后，再将反馈信息回传到移动终端上，完成整个业务处理流程。

（4）特殊业务处理区：涉及灭火救援指挥、消防监督的业务处理系统，实时处理由业务受理平台“摆渡”过来的数据，在处理后反馈给特殊业务受理区的受理服务器。

（5）内网终端区：由内网中的办公终端组成，内网终端区用户可以访问网络中授权访问的业务系统。

（6）内网管理区：将内网中的各类管理服务器置于内网管理中，集中进行安全策略的定制、下发，集中监控各类系统运行状态。主要包括设备管理、终端管理、防病毒管理等。内网管理区由内网中具备相应管理权限的管理员来访问。

3.2信息安全保障体系构成

总队信息系统安全保障技术体系由物理安全、通信网络安全、计算环境安全、数据安全、安全基础支撑和安全管理构成。其中，安全基础支撑为物理安全、网络安全、计算环境安全和数据安全提供支持，安全管理为整个安全保障体系提供全面的管理。

安全基础支撑主要涉及总队一体化系统中的身份认证与授权系统，包括服务器计算机硬件设备以及安全认证网关设备。通过部署身份认证与授权系统及安全认证网关于核心业务处理区，确保总队认证服务及CA系统正常运行，利用数字证书登录访问一体化消防业务信息系统的模式，加强一体化系统的访问控制安全，提高一体化系统的安全级别，是整个系统的基础和支撑，是实现总队信息系统安全保障的共性设施。

数据安全包括数据库入侵检测系统、数据库访问控制系统、数据库审计系统、数据容灾备份系统等，用于保障消防信息系统中的所有数据库安全。

总队通过在涉及到一体化消防业务信息系统的业务区对一体化业务系统数据库部署磁盘阵列以及硬盘自备份和移动存储备份方式，设置全量备份，增量备份策略，执行方式为日备份，周备份，月备份以及临时应急备份，确保一体化系统的数据安全可靠。同时通过部署数据库入侵监测及审计系统，加强系统的数据库安全，确保数据库无故障和稳定运行 。在核心业务信息系统和需要重点保护的信息系统中部署数据审计系统，实时监控数据库各种账户的数据库操作行为（如插入、删除、更新、用户自定义操作等），从而降低数据库安全风险，保护数据库安全。

网络安全包括隔离防火墙、网络入侵检测设备、信息内容审计监控等设备，主要在各级区域网络互连的边界位置进行安全防护和访问控制，对进出网络的数据进行实时的检测与访问控制，以发现异常流量，并进行分析、阻断和报告。

根据安全域划分，总队在各安全域间部署防火墙，并在防火墙上设置相应策略，实现安全域间的访问控制。在核心交换机上部署网络安全审计系统，在网络边界部署一台入侵防护系统，实现对外部流入数据的监测，一旦发现入侵行为及时报警并依据策略进行阻断。同时利用IPS系统的恶意代码防护模块对网络出口处的数据进行恶意代码防护。在核心交换机上利用入侵检测系统针对所要监控流量端口做镜像，实现对流经核心交换机的流量进行监测，一旦发现入侵行为或恶意行为，及时进行报警。

计算环境安全：通过公安网一机两用监控系统以及互联网一机两用监控两套终端安全管理监测系统对安全域内的终端设备进行监测管理及系统补丁集中分发工作，结合部署在公安网和互联网上的防病毒软件系统服务器进行集中控制和病毒防控升级工作，对部署在总队局域网的计算机终端、服务器、及其运行的应用系统进行安全防护。

物理安全包含环境安全，设备安全，介质安全三个方面。通过信息中心机房的门禁系统、防雷设施、防火设施、稳压UPS电源,机房温、湿度监控系统及LED显示，声光报警等多种手段及措施，构筑我总队一体化消防业务信息系统的物理安全防护体系。

安全管理主要指综合安全管理中心，通过集中的安全管理，保障整个安全系统在统一的安全策略指导下运作，通过制定统一的安全管理协议、安全管理接口规范和安全管理数据格式，实现对用户、设备、事件的统一集中管理，实现信息系统中各类安全设备的统一管理，安全服务的实时监控和安全审计，并提供安全策略的实施和维护。

目前，总队通过部署NCC网络监控和BCC业务系监控平台，对安全域的网络设备以及各业务服务器应用，数据库等设置阀值和策略，进行集中管理，通过NCC和BCC进行每日巡检。下一步将通过COSS管理平台并平台的二次开发接口，拟对一体化系统的深入推广应用进行全方位监控管理。

3.3信息安全管理体系应急预案制定演练

信息安全管理体系建设的最终目标是保障一体化业务的正常稳定运行，各类防护措施的应用最大程度的降低了安全风险，但由于各种新的病毒、黑客技术层出不穷，制订完善的应急预案，确保系统遭受安全攻击后的可恢复性就成了系统防御的最后保障。

在应急预案中，应明确从单机故障到全网络瘫痪、从影响个人办公到全单位业务乃至造成重大社会影响的不同级别网络安全事件的定义，逐一制订对应的技术措施和管理、处置、上报机制，明确每一个步骤的责任人、责任单位。在应急预案制订完成后，必须通过至少两到三次的不同级别、层级安全事件应急处置演练进行检验，查找缺陷，完善不足，同时根据单位信息系统建设、应用的发展和网络设备的更新不断进行调整，确保应急预案的最后保障作用。

4.结束语

通过安全技术措施及各类软硬件设备组合构筑一体化消防业务信息系统信息安全管理体系，确保系统稳定运行。但安全事故很多时候不是因为技术原因造成的，二是人们没有认识到信息安全，以至于忽视了安全流程或者躲避技术控制措施，对于各类与外网逻辑隔离或物理隔离的专用网络（如公安网）来说，其源自于内部的网络安全威胁比例更高。因此，建立健全单位内部网络安全管理制度，加强网络安全教育，提升内部人员的信息安全意识就成为了增强内部网络安全管理水平的首选措施。

总队在加强信息化建设过程中必须加强安全保密管理，设置安全保密管理机构，制定严格的安全保密管理制度，采用适当的安全保密管理技术将消防信息系统中的各种安全保密产品进行集成，并加强对涉密人员的管理，形成完整的安全管理体系。同时将各类网路安全技术手段和硬件设备进行有机组合，充分发挥各自的技术特长，以物理安全、通信网络安全、计算环境安全、数据安全、安全基础支撑和安全管理六大模块构成一体化信息安全保障管理体系，并辅之以具有高度可行性和可操作性的应急预案和规范的运维机制，做到网络不断，业务不瘫，数据不丢。

参考文献：

[1]石雄等 构建管理内网安全保障体系探析 ，《信息网络安全》2009.03