摘要:介绍了国内外信息安全标准体系的现状,在对目前系统安全问题分析的基础上,提出了信息安全技术参考模型和标准体系框架,探讨了信息安全标准化工作存在的问题,并提出了建议。
关键词:信息安全标准体系标准
信息系统安全体系的研制和建设是一个非常复杂的过程,如果没有与之相配套的安全标准做支撑,就不能实现系统的安全可信,只有从系统的视角全面考虑信息系统的安全性,构建起合理的信息安全标准体系,才能保证各信息系统和平台的安全可控和高效运行,也只有建立起涵盖系统安全结构的完整的技术标准体系,才能促进安全组件之间的相互协作和关联操作,实现系统安全性的最大化。
1信息安全标准体系分类现状
1.1信息安全国际标准现状及分类体系
1.1.1美国国防部信息安全标准体系
美国国防部(DoD)将美军信息安全标准按安全部件与安全功能相结合的方法进行分类,其标准体系见图1,其中安全部件以信息流为主线贯穿始终,分为信息处理安全标准、信息传输安全标准、信息理解表示安全标准、安全管理标准和安全环境标准五类。安全功能从信息安全的基本要素(机密性、完整性、可用性、可控性、抗抵赖性)来进行划分,分为鉴别安全服务标准、访问控制安全服务标准、保密性安全服务标准、完整性安全服务标准、抗抵赖性安全服务标准和可用性安全服务标准六类。DoD的信息安全标准体系,虽然覆盖全面,但安全部件和安全功能之间的标准交叉重复比较多,层次不够清晰。
1.1.2联合技术参考模型(JTA 6.0)
JTA 6.0中的信息安全标准体系为实现对国防部信息系统的安全防护提供了支撑,包括(本地)计算环境、飞地边界、网络和基础设施、支撑性基础设施和安全评估五类标准。这种分类比较合理,但分类下面对应的标准大部分是国际标准和美国国家标准,因此,应在借鉴该分类的基础上,针对目前我国已有的国家标准,建立起合理的标准体系。
ISO信息安全工作组分类如图3所示。目前,ISO制定的信息安全标准按照工作组的分类分为信息安全管理体系(ISMS)标准、密码和安全机制、安全评价准则、安全控制与服务和身份管理与隐私技术五类。该分类方法比较粗糙,对于建立安全运行的信息系统,针对性不太强。
1.1.4国际电信联盟(ITU-T)标准
ITU-T SG17组负责研究网络安全标准,包括通信安全项目、安全架构和框架、计算安全、安全管理、用于安全的生物测定、安全通信服务,如图4所示该分类方法对信息安全技术分类比较粗糙,信息安全技术也只侧重于通信安全。
ITU-T颁布的比较有影响力的安全标准主要有:消息处理系统(X.400系列)、目录系统(X.500系列)、安全框架和模型(X.800系列)等,其中的X.509标准是PKI的重要基础标准,X.805是端到端通信安全的重要标准。
目前,ITU-T在安全标准化方面主要关注NGN安全、IPTV安全、身份管理(IDM)、数字版权管理(DRM)、生物认证、反垃圾信息等热点问题。
1.2国家信息安全标准体系
我国国家信息安全标准自1995年开始制定,至2002年共制定标准19项,全部由国际标准直接转化而来,主要是有关密码和评估的标准。在这19项中,2004年后已有12项进行了修订。自全国信息安全标准化技术委员会2004年成立以来至目前我国实际现存正式信息安全标准87项,这些标准中,既包括技术标准,如产品和系统(网络)标准,亦包括管理标准,如风险管理标准等,覆盖了当前信息安全主要需求领域。
由此可见,目前我国信息安全标准的制定工作已经取得了长足的进展,标准的数量和质量都有了很大的提升,本着“科学、合理、系统、适用”的原则,在充分借鉴和吸收国际先进信息安全技术标准化成果和认真梳理我国信息安全标准的基础上,经过全国信息安全标准化技术委员会各工作组的认真研究,初步形成了我国信息安全标准体系。该标准体系分类相对合理、全面,涵盖了体系结构、安全保密技术、安全管理和安全测评等方面的标准,但庞大繁杂的标准体系常常让开发人员无所适从,无法选取需要遵循的标准。因此,针对信息安全系统的开发工作要进一步精简标准体系,突出重点,尤其是影响系统集成方面的安全接口标准,进而增强各个安全组件之间的互操作和安全技术间的协作,提升整个信息系统的安全防护能力。
支撑性基础设施主要涉及到实现通信与网络、应用环境和数据安全所应用的支撑性技术,包括认证、授权、访问控制、公钥基础设施(PKI)和密码管理基础设施(KMI)。
通信与网络安全主要体现在网络方面的安全性,包括网络层身份认证、网络资源的访问控制、数据传输的保密与完整性、远程接入的安全、域名系统的安全、路由系统的安全、入侵检测的手段、网络设施防病毒等。
应用环境安全主要包括终端安全和应用系统安全。其中:
终端安全主要包括计算机和服务器的安全。其中服务器可以归结为广义上的终端,防火墙、IDS、服务器存储备份等技术可以为服务器提供安全服务。
应用系统的安全问题主要来自网络内使用的操作系统和数据库的安全,操作系统安全主要表现在三个方面:(1)操作系统本身的缺陷带来的不安全因素,主要包括身份认证、访问控制、系统漏洞等;(2)对操作系统的安全配置问题;(3)病毒对操作系统形成的威胁。数据库系统的威胁主要来自:非法访问数据库信息;恶意破坏数据库或未经授权非法修改数据库数据;用户通过网络进行数据库访问时受到各种攻击,如搭线窃听等。
系统中的数据是系统运行的核心,数据的安全性保障关系到整个系统能否正常运行和服务。数据安全通过数据容灾备份技术、网络隔离技术和加密技术保障数据的完整性、不受损坏、不被窃取。数据容灾备份主要通过对系统、数据、文件等进行快速、完整备份,保证数据的安全性,并支持快速恢复的机制。网络隔离技术主要通过隔离网络攻击来确保网间数据的安全交换。数据加密主要通过链路加密和节点加密来确保数据不被截获。
安全运维管理是在企业进行了一定的安全系统建设之后的工作,其目的是保证所应有的安全产品和技术能够真正、充分发挥其预期应有的效果和效率。安全运维管理包括安全设备的策略配置、安全测评、安全监控和审计、安全应急响应等方面的技术,主要完成安全风险的实时监控和安全问题的处理等系统安全保障工作。
3信息安全标准分类体系
信息安全技术参考模型是建立信息安全标准体系的基础和前提,只有在信息安全技术发展趋势的基础上建立起覆盖全面,分类合理的标准体系,才能科学地预见需要制/修订的标准,进一步明确信息安全标准化的研究方向,更好地支撑信息安全系统的开发和集成,确 保系统内部和系统之间形成安全可信的互连互通互操作。在前面提出的技术参考模型的基础上,进一步对信息安全标准体系进行了划分。
应用环境安全主要包括终端安全和应用系统安全。其中:
终端安全主要包括计算机和服务器的安全。其中服务器可以归结为广义上的终端,防火墙、IDS、服务器存储备份等技术可以为服务器提供安全服务。
应用系统的安全问题主要来自网络内使用的操作系统和数据库的安全,操作系统安全主要表现在三个方面:(1)操作系统本身的缺陷带来的不安全因素,主要包括身份认证、访问控制、系统漏洞等;(2)对操作系统的安全配置问题;(3)病毒对操作系统形成的威胁。数据库系统的威胁主要来自:非法访问数据库信息;恶意破坏数据库或未经授权非法修改数据库数据;用户通过网络进行数据库访问时受到各种攻击,如搭线窃听等。
系统中的数据是系统运行的核心,数据的安全性保障关系到整个系统能否正常运行和服务。数据安全通过数据容灾备份技术、网络隔离技术和加密技术保障数据的完整性、不受损坏、不被窃取。数据容灾备份主要通过对系统、数据、文件等进行快速、完整备份,保证数据的安全性,并支持快速恢复的机制。网络隔离技术主要通过隔离网络攻击来确保网间数据的安全交换。数据加密主要通过链路加密和节点加密来确保数据不被截获。
安全运维管理是在企业进行了一定的安全系统建设之后的工作,其目的是保证所应有的安全产品和技术能够真正、充分发挥其预期应有的效果和效率。安全运维管理包括安全设备的策略配置、安全测评、安全监控和审计、安全应急响应等方面的技术,主要完成安全风险的实时监控和安全问题的处理等系统安全保障工作。
3信息安全标准分类体系
信息安全技术参考模型是建立信息安全标准体系的基础和前提,只有在信息安全技术发展趋势的基础上建立起覆盖全面,分类合理的标准体系,才能科学地预见需要制/修订的标准,进一步明确信息安全标准化的研究方向,更好地支撑信息安全系统的开发和集成,确保系统内部和系统之间形成安全可信的互连互通互操作。在前面提出的技术参考模型的基础上,进一步对信息安全标准体系进行了划分。
论文关键词:军事信息 信息安全 网络环吮
论文摘要:在军事活动中,军事信息的交流行为越来越效繁,局城网,广城网等技术也逐步成为了军事活动中不可或缺的内容,信。息的劫持与反劫持等安全技术占据了一个举足轻重的地位。本文扰为了保证我军军事秘密这个大前提,对网络坏境下军事信息安全加以阐述.
1军事信息安全概述
军事信息安全一般指军事信息在采集、传递、存储和应用等过程中的完整性、机密性、可用性,可控性和不可否认性。为防止自身的意外原因,实现军事信息安全,起码要做到的是:提出有效策略,建立健全信息管理体制,使用可靠、安全的信息传输网络来保障信息采集、传递、应用过程中信息的机密性,完整性、可利用性以及可控制性,信息安全状态的确定性;信息的可恢复性等。
2网络环境下军事信息面临的安全威胁
网络军事安全从其本质上来说是网络计算机上的军事信息安全,是指计算机系统的硬件、软件、数据受到保护,不因偶然的或恶意的原因而遭到破坏、更改和显露,在确保系统能连续正常运行的同时,保证计算机上的信息安全。如何更有效地保护重要的信息数据、提高计算机网络系统的安全性已经成为所有计算机网络应用必须考虑和必须解决的一个重要问题。军事信息网络安全威胁主要有以下几点。
2.1计算机病毒
现代计算机病毒可以借助文件、邮件、网页、局域网中的任何一种方式进行传播,具有自动启动功能,并且常潜人系统核心与内存,利用控制的计算机为平台,对整个网络里面的军事信息进行大肆攻击。病毒一旦发作,能冲击内存、影响性能、修改数据或删除文件,将使军事信息受到损坏或者泄露。
2.2网络攻击
对于网络的安全侵害主要来自于敌对势力的窃取、纂改网络上的特定信息和对网络环境的蓄意破坏等几种情况。目前来看各类攻击给网络使用或维护者造成的损失已越来越大了,有的损失甚至是致命的。一般来讲,常见的网络攻击有如下几种:
(1)窃取军事秘密:这类攻击主要是利用系统漏洞,使人侵者可以用伪装的合法身份进入系统,获取军事秘密信息。
(2)军事信息网络控制:这类攻击主要是依靠在目标网络中植人黑客程序段,使系统中的军事信息在不知不觉中落人指定入侵者的手中。
(3)欺骗性攻击:它主要是利用网络协议与生俱来的某些缺陷,入侵者进行某些伪装后对网络进行攻击。主要欺骗性攻击方式有:IP欺骗,ARP欺骗,Web欺骗、电子邮件欺骗、源路由欺骗,地址欺骗等。
(4)破坏信息传输完整性:信息在传输中可能被修改,通常用加密方法可阻止大部分的篡改攻击。当加密和强身份标识、身份鉴别功能结合在一起时,截获攻击便难以实现。
(5)破坏防火墙:防火墙由软件和硬件组成,目的是防止非法登录访问或病毒破坏,但是由于它本身在设计和实现上存在着缺陷。这就导致攻击的产生,进而出现军事信息的泄露。
(6)网络侦听:它是主机工作模式,是一种被动地接收某网段在物理通道上传输的所有信息,并借此来截获该网络上的各种军事秘密信息的手段。
2.3人为因素造成的威胁
因为计算机网络是一个巨大的人机系统,除了技术因素之外,还必须考虑到工作人员的安全保密因素。如国外的情报机构的渗透和攻击,利用系统值班人员和掌握核心技术秘密的人员,对军事信息进行窃取等攻击;内部人员的失误以及攻击。网络运用的全社会广泛参与趋势将导致控制权分散。由于人们利益、目标、价值的分歧,使军事信息资源的保护和管理出现脱节和真空,从而使军事信息安全问题变得广泛而复杂。
3网络环境下军事信息安全的应对策略
3.1信息管理安全技术
军事信息存储安全最起码的保障是军事信息源的管理安全。随着电子技术的快速发展,身份证、条形码等数字密钥的可靠性能越来越高,为了验证身份,集光学、传感技术、超声波扫描技术等一体的身份识别技术逐渐应用到军事信息安全中来。
3.1.1指纹识别技术
自动指纹识别系统通过获取指纹的数字图像,并将其特征存储于计算机数据库中,当用户登录系统时,计算机便自动调用数据库中的信息,与用户信息进行比对,以此来保证用户对军事信息使用权的不可替代性。
3.1.2虹膜、角膜识别技术
虹膜识别系统是利用摄像机来采集虹膜的特征,角膜扫描则是利用低密度红外线来采集角膜的特征,然后将采集来的信息与数据库中的注册者信息进行比对,借此来保证登录的权限,进而起到保护军事信息安全的作用。
3.2防火墙技术
防火墙是指设置在不同网络或网络安全域之间的一系列部件的组合,它是不同网络或网络安全域之间信息的唯一出入口,能根据使用者的安全政策控制出入网络的信息流。根据防火墙所采用的技术和对数据的处理方式不同,我们可以将它分为三种基本类型:包过滤型,型和监测型。
3.3数据加密技术
数据加密是对军信息内容进行某种方式的改变,从而使其他人在没有密钥的前提下不能对其进行正常阅读,这一处理过程称为“加密”。在计算机网络中,加密可分为“通信加密”和“文件加密”,这些加密技术可用于维护数据库的隐蔽性、完整性、反窃听等安全防护工作,它的核心思想就是:既然网络本身并不安全、可靠,那么,就要对全部重要的信息都进行加密处理,密码体制能将信息进行伪装,使得任何未经授权者无法了解其真实内容。加密的过程,关键在于密钥。
3.4数字签名技术
数字签名是通信双方在网上交换信息用公钥密码防止伪造和欺骗的一种身份认证。在传统密码中,通信双方用的密钥是一样的,既然如此,收信方可以伪造、修改密文,发信方也可以抵赖他发过该密文,若产生纠纷,将无法裁决谁是谁非。
由于公钥密码的每个用户都有两个密钥,所以实际上有两个算法,如用户A,一个是加密算法EA,一个是解密算法DA。
若A要向B送去信息m,A可用A的保密的解密算法DA对m进行加密得DA(m),再用B的公开算法EB对DA(m)进行加密得:C=EB(DA(m)); B收到密文C后先用他自己掌握的解密算DDB对C进行解密得:DB(C)=DB(EB(DA(m)))=DA(m);再用A的公开算法EA对DA(m)进行解密得:EA(DA(m))二m,从而得到了明文m。由于C只有A才能产生,B无法伪造或修改C,所以A也不能抵赖,这样就能达到签名的目的。
4总结
要确保军事信息网络安全,技术是安全的主体,管理是安全的灵魂.当前最为紧要的是各级都要树立信息网络安全意识,从系统整体出发,进一步完善和落实好风险评估制度,建立起平时和战时结合、技术和管理一体、 综合完善的多层次、多级别、多手段的军事安全信息网络。
随着互联网技术的迅猛发展,网络通信(如QQ及微信)、网络购物、网络银行、网络电影及网络游戏等已成为人们现代化的生活方式,这些都是网络信息技术带给人们带来的无限便利。但是,在网络资源共享及通信的同时,网络也伴随各种风险,如黑客入袭、病毒泛滥、数据丢失、信息被盗等网络安全问题的频繁出现,这些非法行为严重威胁着个人电脑网络信息的安全,也使电脑网络系统运行缓慢,甚至出现系统崩溃等安全状况。这些情况严重干扰了人们的正常生活,甚至给用户造成重大经济损失。本文结合多年电脑网络通信和使用经验,对个人电脑网络信息安全与防范方面展开研究。
1个人电脑网络信息安全面临的威胁
电脑上网运行过程中面临的威胁主要表现在以下几个方面:
1.1个人电脑操作系统本身存在缺陷与漏洞。目前绝大多数个人电脑使用的Windows操作系统本身存在或多或少的漏洞,漏洞是在硬件、软件、协议的具体实现或系统安全策略上存在的缺陷,黑客和病毒制造者利用漏洞让病毒或木马侵入他人电脑,从而在未被授权的情况下访问或破坏系统。
1.2人为恶意攻击。这是目前个人电脑网络面临的最大安全威胁,计算机犯罪就属于人为的恶意攻击。它以各种手段破坏个人电脑网络信息的完整性及有效性;窃取、截获、破译,从而获取个人电脑网络的数据信息。对个人电脑网络安全造成很大的威胁,并造成个人数据信息的外泄。
1.3人为主观因素。个人电脑用户对电脑网络的安全配置不当,而造成的安全威胁,用户的网络安全意识不高,对用户口令的设置不重视等。
1.4计算机病毒入侵。计算机病毒具隐蔽性和潜伏性,个人电脑一旦被病毒侵入,系统将长期遭到损伤、破坏。计算机病毒激发后会通过格式化、改写、删除、破坏设置等破坏计算机储存数据。窃取用户隐私信息(如银行密码、账户密码),盗用用户财产或利用被病毒控制的用户计算机进行非法行为。
2个人电脑网络信息安全性的有效防范措施
针对面临的各种威胁,我们必须采取相对应的有效防范措施,以保证我们的个人电脑网络信息安全。
2.1及时更新电脑操作系统。电脑操作系统要不定期地更新,而新的操作系统在之初往往存在着安全漏洞,这就要求用户在使用网络时对操作系统及时进行更新。系统漏洞就是指操作系统软件在开发过程中出现的缺陷,新出现的漏洞最先多由网络攻击者发现,微软为了完善操作系统,就会通过不定期地补丁的方式,对新发现的系统漏洞进行修补完善。漏洞修复补丁是为完善操作程序另外编制的小程序。为了保证电脑网络安全,使个人电脑网络处于相对安全的状态,就必须对操作系统进行及时的更新。因微软已经停止对WindowsXP提供补丁更新,建议用户使用Windows7以上的版本,并及时更新操作系统。
2.2部署网络防火墙。个人电脑网络系统在安装网络防火墙的情况下,一般能过滤掉一些非法攻击,降低病毒或非法者入侵的风险。除此之外,防火墙还具备关闭不常用端口、对特定端口流出的通信进行封锁等功能。最后,防火墙技术还可以识别特殊网站的访问,使计算机免遭不明攻击的侵入。
2.3安装杀毒软件。网络病毒是影响个人电脑网络安全系统的重要因素,因此安装杀毒软件势在必行。除了安装正版的防毒杀毒软件之外,用户在进行网络使用时还可以开启杀毒软件实时监控、定期更新、定时升级,坚持“防杀结合(防为主,杀为辅)、软硬互补、标本兼治”的原则,使个人电脑网络系统在安全、无毒的环境中得以快速运行。
2.4合理设置Administrator账号。个人电脑装上系统后,系统会自动新建一个叫administrator的管理计算机(域)的内置账户,是拥有计算机管理的最高权限,它的密码默认是空,很多用户习惯空密码使用这个账号登录系统,这是电脑上网的大忌。黑客入侵的常用手段之一就是试图获得Administrator帐户的密码。每一台计算机至少需要一个帐户拥有administrator(管理员)权限,但不一定非用“Administrator”这个名称不可。所以,无论在那个Windows系统中,最好创建另一个拥有全部权限的帐户,然后停用Administrator帐户或改名。用户帐户建议设置足够复杂的密码,应尽量设置为数字字母组合,密码的长度不应小于6位,最好在8位以上,避免使用纯数字或常用英语单词的组合。复杂的账号密码能够增加穷举破解软件的破解密码难度。
2.5合理使用文件共享与远程桌面。建议平时停止系统默认打开的共享文件夹,关闭不使用的远程连接端口。需要使用的必须有设置访问权限控制,在安全环境下合理使用文件共享和启用远程桌面也是避免攻击者侵入的有力措施。
2.6保护个人信息。个人电脑用户要自觉养成良好的防盗习惯,各种账号密码千万不要用文档保存在电脑硬盘,登录密码、支付密码以及证书密码不应该设置相同,也不适宜选择电话号码、生日等容易猜中的数字作为密码,密码应该数字和字母混合,并且交易密码与信用卡密码应该定期进行更改。登录网络银行系统交易过程遭遇的异常情况都需要格外重视,并及时查看已经发生的交易。用户还应该定期查看网络银行办理转账业务与支付业务的记录,也可以采用短信定制帐户变动通知,实时掌握帐户的变动情况。
2.7防范钓鱼网站。不少账户被盗的案例其实是因为访问了钓鱼网站。他们伪装成正规的银行页面或是支付页面,骗取你输入的帐户名和密码,利用ARP欺骗,可以在用户浏览网站时植入一段HTML代码,使其自动跳转到钓鱼网站。避免被钓一方面需要对别人发来的网络地址多留心,因为这个地址可能非常接近如淘宝、网上银行的域名地址,打开的页面也几乎和真实的页面完全一致,但是实际你进入的是一个伪装的钓鱼网站;另一方面,尽量选择具有安全认证功能的浏览器,这些浏览器能够自动提示你打开的页面是否安全,避免进入钓鱼网站。
2.8尽量避免浏览色情网站。众所周知,色情网站一般都会挂上各种各样的木马,确实很危险。木马传播者通常是以色情视频为诱饵,网民若想观看则需安装指定播放器,当下载这个播放器时便会将木马下载器也一同下载到自己的电脑,在观看视频的过程中,一些远程控制类木马也被捆绑进播放器,用于窃取用户的个人隐私信息,甚至于一些有价证券类的帐号密码也被窃取。因此,个人电脑用户要尽量避免浏览色情网站。
2.9选择安全方式下载软件。在互联网中,通信与共享是计算机网络的最基本应用,个人电脑用户通常从网站下载各种应用软件,但以欺骗手段窥探用户隐私、窃取个人信息的各种恶意软件及网络钓鱼活动严重威胁着网络信息安全。这类软件的制作者在对软件反编译后,进行重新封装,在程序安装时,隐藏在软件中的木马与不安全控件也会被装入计算机,程序在运行时,用户的信息隐私得不到保障,甚至网银、账号密码等重要信息也会被窃取。下载文件的安全风险主要是木马程序己被植入到文件中或是通过调用浏览器弹出网页的方式,把用户引入到含有木马的危险网站。因此,个人电脑用户应选择正版软件网站下载软件,在完成下载任务后应先利用杀毒软件对文件进行扫描,保证网络下载安全。
2.10对个人电脑存放的重要数据定期进行备份。尽管网络安全的防范措
施非常严密,也不能保证安全无忧,个人电脑在遭到攻击瘫痪时,应用软件程序和操作系统能够重装,而一些重要的数据却无法恢复,因此应对个人电脑存放的重要数据进行定期备份。 2.11网络支付配备U盾。目前的个人电脑的安全状况在网络支付的环境下已经不再值得信任,目前银行都会配备U盾。为进一步确保客户在支付领域的安全性,通用U盾设计了高级别、多层次的网络交易安全防护技术,保障客户资金安全,它内置微型智能卡处理器,采用1024位非对称密钥算法对网上数据进行加密、解密和数字签名,确保交易的保密性、真实性、完整性和不可否认性。它的最大特点就是同时配备有USB接口和音频接口,同时保障客户在电脑和手机支付上的双重安全,相当于为这两个支付渠道都装上了一道防火墙。
个人电脑已离不开网络,个人电脑网络信息安全与防范应该引起我们的重视。本文简要的分析了一些个人电脑网络中的一些主要的信息安全问题以及安全防范措施,可以根据这些措施定期或不定期的对个人电脑做一些检查,这样才能保证安全、高效的运行。
一、智能电网信息安全技术的作用
信息安全是智能电网高效稳定运营发展的重要保障基础,是电力通信安全技术研究的一个重要课题。智能电网配电自动化系统信息安全体系可有效提高智能电网信息安全水平,促进智能电网的高效稳定、节能经济的运营发展。我们所谓的智能电网信息安全技术,主要是保证信息的安全性,在保证安全性的同时,也提出了相应的技术要求,比如应用电网核心部件、建设业务系统安全、研究电网基础信息、安全保障技术等,另外,它也负责研究和开发安全存储和防范攻击以及防范网络病毒等方面,这些方面也需要高度重视。
二、智能电网信息安全体系的组成部分
2.1 基础硬件设备
发电、输电、配电、用电这四个环节中包括基础硬件。其中,发电所覆盖的范围极广,比如电源接入、电源光伏等,输电所覆盖的范围包括网架、超导、高压等;配电所涵盖的范围包括高级电表设备、虚拟电厂、配电微网等;用电所涵盖的范围包括电力供应站、自动控制设备、电力存储设施等。
2.2 感知测量层的组成
感知测量层必须在应用智能测控设备后,才能成功实现智能感知,进一步评估电网是否稳定和是否存在堵塞状况以及监控设备是否处于正常运行状况中。感知测量层主要由电磁信号测量系统、分析系统、数字继电器、智能读书系统等组成。通常情况下,上述所讲的仪器表都是运用射频加以识别,与智能电网进行连接。
2.3 信息通信层的组成
在信息通信层中,所使用的技术覆盖配电自动化、能量管理、数字移动通信、采集数据、光纤通信等领域范畴之内,真正实现交换数据和信息以及进行相应的控制,保证系统的稳定性和可靠性,充分运用资产利用率,实现信息的安全共享。
2.4 调度运维层的组成
智能电网还涉及其他方面很多因素,比如社会因素、自然因素、经济因素等,因此想要精确控制和管理,需要结合人工智能技术。为保证整个系统有序运行,并更好地进行协调控制管理,可将网状控制结构形式以及分布式智能化等设计理念与系统建设相结合。系统既可集中协调,也可实施分布式决策控制。
三、应用智能电网信息安全技术所涉及的内容
3.1 智能电网物理安全
智能电网系统在正常运行情况下,所需要的安全硬件设备称之为智能电网的物理安全。其中这些硬件设备通常包括测量仪器和智能流量计等类型的传感器,在通信系统中,各种计算机和网络设备以及存储数据等各种类型的存储介质。其所谓的物理安全实际指保证与智能电网系统有关的硬件安全以及硬件设备本身的安全等,这也是智能电网安全信息控制的主要工作内容。物理安全主要是指防止人为因素破坏业务系统的安全性,同时也防止有人通过各种方式入侵系统中,这就需要无论在信息事件发生前,还是在信息事件发生后,都应审查所有物理设备的接触行为。
3.2 网络的安全性
智能电网所具有的可靠性也就是指网络方面的安全性,这就要求通信网络应完善的二次系统防护措施。安全分区、横向隔离、纵向认证等是网络安全防护的标准。我国目前网络安全方面遭遇到黑客攻击,且黑客攻击的技能技术也在不断提高,传统的网络安全手段和方法已不能满足现代网络发展的要求。如果在这时应用大量的智能电网设备将十分困难,有可能面临电网瘫痪的局面。因此,在选择安全加密算法时和建设整个网络体系时,都要具有充足的前瞻性,做好设计以及计划工作。在网络信息系统正常运行中,要充分运用虚拟专用网和防火墙以及网络病毒查杀等技术进一步保证网络安全运行。
3.3 数据传送的安全
在应用智能电网过程中,一定要保证信息数据的传送安全,也需要掌握好数据的保密性、正确性、防复制等重要指标。对于整个数据的安全认证以及管理中心数据都要进行备份,防止数据库数据的丢失。恢复数据库以及备份数据库都需要系统管理员操作。一些经常变动的数据每天既要做好记录,也要做好备份。一些不常变化的数据,可定期或者不定期进行备份。另外,数据库中所存储的密钥信息和加密信息以及关键信息等,都需要进行加密存储。
3.4 业务安全的任务
保证智能电网业务应用的可靠性、稳定性、完整性、科学性等是应用业务安全的重要任务,也更加要保证业务工作流程的可操作性和完整性。对于电力系统安全防护方面的特征,可运用强制性的控制技术来提高网络信息的安全性,防止网络信息被损坏或者操控,进一步加强电网信息业务系统的安全性。
3.5 加强网络通信的安全
支撑智能电网基础平台运行的是信息安全通信。一方面既需要有计划和有目标部署对应的安全通信产品,做到通信技术与通信管理的要求相统一,另一方面也要提高网络通信管理的安全性,规范管理员工的各项操作行为。通过对信息通信和重要网络所进行的主动控制,比如网络边界保护系统、防御系统、数据传输系统等重要技术,实现对网络数据的交换和控制,加强网络数据通信的安全。
四、结 语
在智能电网的快速发展下,虽然网络信息的安全性得到进一步保证,但还存在很多问题,这需要深入分析和研究信息安全技术,在研究的同时,也需要与智能电网信息系统相结合,建立健全信息安全系统,保证网络通信的安全,提高网络业务的可信性和操作性。
科学技术的产生与实际广泛运用总是在矛盾中发展,计算机网络通信技术也不例外。21世纪是计算机技术蓬勃发展的时代,人们的日常生活极大程度的依赖其技术的发展与完善。然后,伴随着计算机科学技术的不断发展,我们也看到网络信息技术的各种漏洞对人们个人信息和财产安全带来的实际威胁。同时,我国的政治、经济、国防等部分的正常运作也依赖于计算机科学技术,若出现安全漏洞对国家财产和公民安全所造成的危害是不可估量的。所以,无论是国家部门、企事业单位、集体组织以及个体都需高度重视计算机信息安全管理问题。
1 计算机信息安全的相关概念
计算机信息安全是指现代计算机网络通信所需要的内部和外部环境,主要的保护对象为计算机信息通信系统中硬件及软件等数据信息,在运行过程中使其免受木马、盗号、恶意篡改信息等黑客行为,从而保障计算机网络服务的安全、稳定运行。因此,计算机信息安全指的是保障信息在网络传输是能抵御各种攻击,并对系统产生的各种安全漏洞进行自我修复或发出预警指示提醒信息管理人员及时采取相应措施。计算机信息安全所涉及的系统信息数据极为庞大,主要包括计算机ID信息、硬件资源、网络服务器地址、服务器管理员密码、文件夹密码以及计算机系统不断变换与更新的各类登录用户名和密码信息等内容。从整体来来归类,可以将计算机信息安全划分为信息的存储安全和传输安全两大类。
2 计算机信息安全技术防护的内容
计算机信息安全防护技术所包含的内容较为繁杂,从现阶段安全技术应用的实际情况来看,强化计算机安全防护技术可以从安全技术管理入手。安全管理包含的主要内容为:对计算机系统进行安全检测和漏洞修补、分析系统数据、安装系统防火墙、设置管理员密码、安装正版杀毒软件、对系统进行定期不定期的入侵检测扫描等。同时,计算机安全防护管理人员应积极的研究并完善信息安全管理制度,严格根据管理条列规范安全防护行为,加强对管理人员的安全知识培训,提高其安全防护意识。
3 提高计算机信息安全的策略
为了提高计算机信息安全防护水平,保护国家和个人的信息与财产安全,以充分发挥计算机科学技术的社会和经济效益,我们应从以下几个方面来加强计算机信息安全防护工作。
3.1 提高计算机信息安全防护意识,加强法律立法
随着计算机网络技术的高速发展以及个人PC机、移动终端的大众化使用,随之而来的信息安全威胁与日俱争,一方面是由于计算机操作使用者的技术门槛要求过低;另一方面是计算机安全防护技术与黑客技术的发展所呈现出的矛盾性。无论是国家部门还是企事业组织对职工的安全防护知识力度的不足,更导致计算机安全事故频发。因此,要提高计算机信息安全防护技术水平,首要加强法律立法,对各种黑客入侵和人为恶意破坏行为进行法律上的制裁;同时,国家应出台并完善计算机安全防护管理条例,使计算机信息安全防护工作有法可依,有法可循。针对认为操作失误而导致的计算机安全事故,应做好对相关人员的安全防护知识教育工作,提高其安全防护意识,从思想上认知到计算机安全防护知识对维护个人和集体财产安全的重要性。企事业单位应将掌握一定的计算机安全防护知识作为职工聘任标准之一,并将这一标准加入到职工考核之中,在各类组织结构内容构建计算机信息安全管理条例,以规范人们的日常行为。
3.2 计算机信息安全防护的具体技术
1)设立身份验证机制。身份验证机制即是确认访问计算机信息系统的具体个人是否为系统所允许,最主要的目的是防止其他个人的恶意欺诈和假冒攻击行为。对身份验证通常有三种方法:①设立管理员登陆密码和私有密钥等;②通过特殊的媒介进行身份验证,如网银登陆所需要的U盾,管理员配置的IC卡和护照等;③通过验证用户的生物体征来达到密码保护的功能,如IPHONE的HOME键指纹识别功能,或者其他的视网膜识别和笔迹识别等。
2)设定用户操作权限。结合计算机信息数据的具体应用,设置不同的个体访问、修改、保存、复制和共享权限,以防止用户的越权行为对信息安全系统所带来的潜在威胁。如设置计算机PC端的管理员和访客密码,文件的可修改、可复制权限等。
3)加密计算机信息数据。信息数据的加密即是通过美国改变信息符号的排列足组合方式或设置对象之间的身份识别机制,以实现只有合法用户才能获取信息的目的。计算机信息加密方法一般分为:信息表加密、信息记录加密以及信息字段加密等。其中计算机信息记录的加密处理方式因其操作方式便利、灵活性高、选择性多而受到较为广泛的应用。如网络聊天工具的异地登录聊天信息查询的密码登录功能。
3.3 网络安全监测
对计算机网络传输带宽进行合理分配,并预留相应的空间,以满足网络使用高峰期的资源需求,并控制网络IP访问,设置IP过滤和黑名单功能,关闭系统的远程控制与拨号功能。局域网内设置用户访问、复制、修改与共享权限,有WIFI的局域网设置相应的密钥。同时,要监测端口扫描、木马攻击、服务攻击、IP碎片攻击、恶意插件下载与安装等潜在的信息安全威胁。对操作终端安装杀毒软件,定期的进行全盘扫描和杀毒,以及时的检测系统是否存在恶意攻击代码,系统不能删除的文件要进行手动清除。
4 结束语
随着计算机信息网络技术的不断发展,对计算机信息安全防护工作也提出了更多的挑战,我国的计算机信息安全防护技术已然取得了一定的成绩,但仍存在着诸多的不足,这就需要科研人员不断吸收更多先进的技术并积极的进行自主研发,在实践工作中不断的提高与完善计算机信息安全防护机制,使计算信息网络技术更好的服务于人们的日常工作与生活。
1、提高企业信息系统的策略及措施解决企业信息安全方案分析
解决信息系统安全要有以下几点认识:要解决信息系统要有统筹全局的观念。解决信息系统的安全问题要树立系统观念,不能光靠一个面。从系统的角度分析信息系统是由用户和计算机系统两者组成,这包括人和技术两点因素。使用和维护计算机安全信息系统可以根据信息系统具有动态性和变化性等特点进行调整。信息系统是一项长期属于相对安全的工作,必须制订长销机制,绝不能以逸待劳。企业信息系统安全可以采取的策略是采用一套先进、科学及适用的安全技术系统,在对系统进行监控和防护,及时适当的分析信息系统的安全因素,使这套系统具有灵敏性和迅速性等响应机制,配合智能型动态调整功能体系。需要紧记的是系统安全来自于风险评估、安全策略、自我防御、实时监测、恢复数据、动态调整七个方面。其中,通过风险评估可以找出影响信息系统安全存在的技术和管理等因素产生的问题。在经过分析对即将产生问题的信息系统进行报告。
安全策略体现着系统安全的总体规划指导具体措施的进行。是保障整个安全体系运行的核心。防御体系根据系统中出现的问题采用相关的技术防护措施,解决各种安全威胁和安全漏洞是保障安全体系的重心。并且通过监测系统实时检测运行各种情况。在安全防护机制下及时发现并且制止各种对系统攻击的可能性,假设安全防护机制失效必须进行应急处理,立刻实现数据恢复。尽量缩小计算机系统被攻击破坏的程度。可以采取自主备份,数据恢复,确保恢复,快速恢复等手段。并且分析和审理安全数据,适时跟踪,排查系统有可能出现的违归行为,检查企业信息系统的安全保障体系是否超出违反规定。
通过改善系统性能引入一套先进的动态调整智能反馈机制,可以促进系统自动产生安全保护,取得良好的安全防护效果。可以对一台安全体系模型进行分析,在管理方面,对安全策略和风险评估进行测评,在技术层面,实时监测和数据恢复形成一套防御体系。在制度方面,结合安全跟踪进行系统排查工作。系统还应具备一套完整的完整的动态自主调整的反馈机制,促进该体系模型更好的与系统动态性能结合。
信息安全管理在风险评估和安全策略中均有体现,将这些管理因素应用与安全保障体系保护信息安全系统十分重要。企业必须设立专门的信息系统安全管理部门,保障企业信息系统的安全。由企业主要领导带头,组织信息安全领导小组,专门负责企业的信息安全实行总体规划及管理。在设立信息主管部门实施具体的管理步骤。企业应该制订关于保证信息系统安全管理的标准。标准中应该明确规定信息系统中各类用户的职责和权限、必须严格遵守操作系统过程中的规范、信息安全事件的报告和处理流程、对保密信息进行严格存储、系统的帐号及密码管理、数据库中信息管理、中心机房设备维护、检查与评估信息安全工作等等信息安全的相关标准。而且在实际运用过程中不断地总结及完善信息系统安全管理的标准。
相关部门应该积极开展信息风险评估工作。通过维护信息网的网络基础设施有拓扑、网络设备和安全设备,对系统安全定期的进行评估工作,主动发现系统存在的安全问题。主要针对企业支撑的信息网和应用IT系统资产进行全方位检查,对管理存在的弱点进行技术识别。对于企业的信息安全现状进行全面的评估,可以制作一张风险视图表现企业全面存在的问题。为安全建设提供指导方向和参考价值。为企业信息安全建设打下坚实的基础。
最后,加强信息系统的运行管理。可以通过以下措施进行:规范系统电子台帐、设备的软件及硬件配置管理、建立完善的设备以及相关的技术文档。系统日常各项工作进行闭环管理,系统安装、设备运营管理等。还要对用户工作进行规范管理,分配足够的资源和应用权限。防御体系、实时检测和数据恢复三方面都体现了技术因素,信息安全管理系统技术应用于安全保障体系中。在建设和维护信息安全保障体系过程中,需要多方面,多角度的进行综合考虑。采用分步实施,逐步实现的手法。在信息安全方面采取必要的技术手段,加强系统采取冗余的配置,提高系统的安全性。
对中心数据库系统、核心交换机、数据中心的存储系统、关键应用系统服务器等。为了避免重要系统的单点故障可以采取双机甚至群集的配置。另外,加强对网络系统的管理。企业信息系统安全的核心内容之一是网络系统。同样也是影响系统安全因素最多的环节。网络系统的不安全给系统安全带来风险。接下来重点谈网络安全方面需要采取的技术手段。网络安全的最基础工作,是加强网络的接入管理。
与公用网络系统存在区别的是,企业在网络系统中有专门的网络,系统只准许规定的用户接入,因此必须实现管理接入。在实际操作过程中,可以采取边缘认证的方式。笔者在实际工作经验总结出公司的网络系统是通过对网络系统进行改造实现支持802.1X或MAC地址两种安全认证的方式。不断实现企业内网络系统的安全接入管理。网络端口接入网络系统时所有的工作站设备必须经过安全认证,从而保证只有登记的、授权记录在册的设备才能介入企业的网络系统,从而保证系统安全。根据物理分布可以利用VLAN技术及使用情况划分系统子网。这样的划分有以下益处:首先,隔离了网络广播流量,整个系统避免被人为或者系统故障引起的网络风暴。其次是提高系统的管理性。通过划分子网可以实现对不同子网采取不同安全策略,可以将故障缩小到最低范围。根据一些应用的需要实现某些应用系统中的相对隔离。
2、结语
本文结合了笔者实际工作经验对企业信息系统的安全问题提出了系统性的思考,对长期存在相对动态的信息系统安全解决的方法进行探讨。可以用一句话进行概括总结:系统安全六要素是组成的系统安全的必要因素。同时,抓好规范管理,实现信息系统的安全技术。
一、计算机网络信息所面临的安全威胁分析
(一)网络本身弱点
信息网络具有开放性的显着特点,既为网络用户提供了便捷高速的服务方式,也成为网络信息需要面临的一项安全威胁。同时,运用于信息网络的相关通信协议,不具备较高的安全性能,极易让用户遭受欺骗攻击、信息篡改、数据截取等安全问题。
(二)人为恶意攻击
人为恶意攻击是网络信息中,用户所面临的最大安全威胁。人为恶意攻击具有较强的针对性,是有目的地进行网络信息数据完整性、有效性等方面的破坏,其攻击方式较为隐蔽,包括对网路信息数据的窃取、破译、篡改等,主要威胁到用户的经济利益。
(三)计算机病毒
计算机病毒存在隐蔽性、传染性、破坏性等特点,往往隐藏或伪装为正常程序,随着计算机程序的启动而被运行。计算机病毒通过破坏、窃听等方式,实现对网络信息的操作。相比于其他安全威胁而言,其整体威胁程度较大,轻则影响操作系统的运行效率,重则破坏用户的整体系统数据,且难以被恢复,形成不可挽回的损失。
二、网络信息技术安全现状分析
目前,国内绝大部分企业、单位都已建立了相关的信息系统,实现了对各类丰富信息资源的充分利用。但随着各行各业信息网络系统的逐步成型,网络信息所面临的黑客、恶意软件与其他攻击等安全问题越来越多,虽已研发、改进了许多信息安全技术,用于网络信息安全防护,但仍旧存在许多问题,究其原因,主要表现在以下三方面:
第一,未建立健全的安全技术保障体系。当前大部分企业、单位,在信息安全设备上投入较多资金,以确保网络信息系统的安全可靠。但是,没有建立健全相应的技术保障体系,预期目标难以被实现。
第二,缺乏制度化与常规化的应急反应体系。现阶段,许多行业领域内,在网络信息技术安全方面,还未建立健全相应的应急反应系统,而对已有应急反应系统,没有进行制度化、常规化改进。
第三,企业、单位的信息安全标准与制度滞后。在网络信息安全的标准与制度建设方面,企业与单位都为进行及时的调整与改进。同时,用户缺乏信息安全意识,网络信息安全管理员为经历科学、系统的安全技术培训,安全管理水平不高。而用于信息安全的经费投入较少,难以达到信息安全标准与要求。
三、现行主要信息安全技术及应用分析
(一)通信协议安全
作为下一代互联网通信协议,IPv6安全性较高,强制实施Internet安全协议IPSec,由认证协议、封装安全载荷、Internet密钥交换协议三部分组成,即AH、ESP、IKE。IPSec确保IPv6拥有较高的互操作能力与安全性能,让IP层多种安全服务得到有效实现。
(二)密码技术
确保网络信息安全的核心与关键为信息安全技术中的密码技术,其密码体质包括单钥、双钥、混合密码三种。其中,单钥为对称密码;双钥为不对称密码;混乱密码为单双钥的混合实现。在网络系统中,采用加密技术能避免使用特殊网络拓扑结构,便于数据传输的同时,确保网络路径的安全可靠,为网络通信过程提供真正的保障。现阶段,在网络信息中,所采用的密码技术主要为双钥与混合密码。
1、公钥密码
为了加强公钥密码的安全性能,公钥的长度均≥600bit。目前,基于Montgomery算法的RSA公钥密码,排出了已有的除法运算模式,通过乘法与模减运算的同时进行,大程度提升了运算速度,被广泛使用。同时,部分厂商已成功研制出与IEEEPl363标准相符合的椭圆曲线公钥密码,并成功运用于电子政务中,具备较强的保密性与较高的运行速度。
2、Hash函数
关于SHA-0碰撞与SHA-1理论破解的提出,降低了SHA-1破解的计算量,在很大程度上影响了Hash函数安全现状的评估及其今后设计。同时,由于MD5和SHA-1的破解,让数字签名的现有理论根基遭到质疑,给正在使用中的数字签名方法带来巨大威胁。
3、量子密码
量子加密技术采用量子力学定律,让用户双方产生私有随机数字字符串,以代表数字字符串的单个量子序列传递信息,并通过比特值进行信息接收,确保通信不被窃听。一旦窃听现象发生,通信就会结束,并生成新的密钥。
(三)防火墙技术
防护墙技术是一组软硬件的有机组合,为控制内部与外部网络访问的有效手段,能确保内部网安全稳定运行。防火墙技术为用户提供存取控制与信息保密服务,具有操作简单、透明度高的优点,在保持原有网络应用系统功能的基础上,最大限度满足用户的网络信息安全要求,受到用户的广泛推崇。防火墙技术的应用,让外部与内部网络必须通过防火墙实现相互通信。企业、单位在关于防火墙技术的应用上,需制定合理、科学的安全策略,在此基础上设置防火墙,隔绝其它类型信息。目前,防火墙技术主要分为以下三类:
第一,包过滤技术(Packet filtering)。其技术主要作用于网络层,结合不同数据包源IP地址、目的IP地址、TCP/UDP源端口号与目的端口号等进行区分、判断,分析数据包是否符合安全策略,予以通行,其设计为过滤算法。
第二,(Proxy)服务技术。其技术主要作用于应用层,通过转接外部网络对内部网络的申请服务,有效控制应用层服务。内部网络无法接受外部网络其它节点申请的直接请求,其接受的服务请求只能为模式。应用网关即为服务运行的主机,具备较强的数据流监控、过滤、记录等相关功能。
第三,状态监控(State Inspection)技术。其技术主要作用于网络层,通过网络层实现包过滤与网络服务。现阶段,较为可行的为虚拟机方式(即:Inspect Virtual Machine)。
防护墙技术作为网络信息安全技术之一,操作简单且实用性较强,被广泛应用。但受其特点限制,缺乏对动态化与复杂化攻击手段的主动响应,只能进行静态安全防御,无法保障对所有外部攻击都能进行有效阻挡。一些计算机水平较高的黑客便能翻过防火墙,达到攻击目的。同时,防火墙无法阻挡内部攻击。因此,为实现网络安全,需进行数据的加密处理,加强内部网络控制与管理。
论文关键词:电子信息安全 安全技术 安全要素
论文摘要:随着我国信息技术的不断发展,对中小企业电子信息安全的保护问题也成为人们关注的焦点。本文以电子信息安全为主体,介绍中小企业信息化建设,对电子信息安全技术进行概述,提出主要的安全要素,找出解决中小企业中电子信息安全问题的策略。
在企业的管理信息系统中有众多的企业文件在流转,其中肯定有重要性文件,有的甚至涉及到企业的发展前途,如果这些信息在通用过网络传送时被竞争对手或不法分子窃听、泄密、篡改或伪造,将会严重威胁企业的发展,所以,中小企业电子信息安全技术的研究具有重要意义。
一、中小企业的信息化建设意义
在这个网络信息时代,企业的信息化进程不断发展,信息成了企业成败的关键,也是管理水平提高的重要途径。如今企业的商务活动,基本上都采用电子商务的形式进行,企业的生产运作、运输和销售各个方面都运用到了信息化技术。如通过网络收集一些关于原材料的质量,价格,出产地等信息来建立一个原材料信息系统,这个信息系统对原材料的采购有很大的作用。通过对数据的分析,可以得到跟多的采购建议和对策,实现企业电子信息化水准。有关调查显示,百分之八十二的中小企业对网站的应还处于宣传企业形象,产品和服务信息,收集客户资料这一阶段,而电子商务这样关系到交易的应用还不到四分之一,这说明企业还未充分开发和利用商业渠道信息。中小企业信息化时代已经到来,企业应该加快信息化的建设。
二、电子信息安全技术阐述
1、电子信息中的加密技术
加密技术能够使数据的传送更为安全和完整,加密技术分为对称和非对称加密两种。其中对称加密通常通过序列密码或者分组机密来实现,包括明文、密钥、加密算法以及解密算法等五个基本组成成分。非对称加密与对称加密有所不同,非对称加密需要公开密钥和私有密钥两个密钥,公开密钥和私有密钥必须配对使用,用公开密钥进行的加密,只有其对应的私有密匙才能解密。用私有密钥进行的加密,也只有用其相应的公开密钥才能解密。
加密技术对传送的电子信息能够起到保密的作用。在发送电子信息时,发送人用加密密钥或算法对所发的信息加密后将其发出,如果在传输过程中有人窃取信息,他只能得到密文,密文是无法理解的。接受着可以利用解密密钥将密文解密,恢复成明文。
2、防火墙技术
随着网络技术的发展,一些邮件炸弹,病毒木马和网上黑客等对网络的安全也造成了很大的威胁。企业的信息化使其网络也遭到同样的威胁,企业电子信息的安全也难以得到保证。针对网络不安全这种状况,最初采取的一种保护措施就是防火墙。在我们的个人电脑中防火墙也起到了很大的作用,它可以阻止非黑客的入侵,电脑信息的篡改等。
3、认证技术
消息认证和身份认证是认证技术的两种形式,消息认证主要用于确保信息的完整性和抗否认性,用户通过消息认证来确认信息的真假和是否被第三方修改或伪造。身份认证使用与鉴别用户的身份的,包括识别和验证两个步骤。明确和区分访问者身份是识别,确认访问者身份叫验证。用户在访问一些非公开的资源时必须通过身份认证。比如访问高校的查分系统时,必须要经过学号和密码的验证才能访问。高校图书馆的一些资源要校园网才能进行访问,非校园网的不能进入,除非付费申请一个合格的访问身份。
三、中小企业中电子信息的主要安全要素
1、信息的机密性
在今天这个网络时代,信息的机密性工作似乎变得不那么容易了,但信息直接代表着企业的商业机密,如何保护企业信息不被窃取,篡改,滥用以及破坏,如何利用互联网进行信息传递又能确保信息安全性已成为各中小企业必须解决的重要问题。
2、信息的有效性
随着电子信息技术的发展,各中小企业都利用电子形式进行信息传递,信息的有效性直接关系的企业的经济利益,也是个企业贸易顺利进行的前提条件。所以要排除各种网络故障、硬件故障,对这些网络故障带来的潜在威胁加以控制和预防,从而确保传递信息的有效性。
3、信息的完整性
企业交易各方的经营策略严重受到交易方的信息的完整性影响,所以保持交易各方的信息的完整性是非常重要对交易各方都是非常重要的。在对信息的处理过程中要预防对信息的随意生成、修改,在传送过程中要防止信息的丢失,保持信息的完整性是企业之间进行交易的基础。
四、解决中小企业中电子信息安全问题的策略
1、构建中小企业电子信息安全管理体制
解决信息安全问题除了使用安全技术以外,还应该建立一套完善的电子信息安全管理制度,以确保信息安全管理的顺利进行。在一般中小企业中,最初建立的相关信息管理制度在很大程度上制约着一个信息系统的安全。如果安全管理制度出了问题,那么围绕着这一制度来选择和使用安全管理技术及手段将无法正常进行,信息的安全性就得不到保证。完善,严格的电子信息安全管理制度对信息系统的安全影响很大。在企业信息系统中,如果没有严格完善的信息安全管理制度,电子信息安全技术和相关的安全工具是不可能发挥应有的作用的。
2、利用企业的网络条件来提供信息安全服务
很多企业的多个二级单位都在系统内通过广域网被联通, 局域网在各单位都全部建成,企业应该利用这种良好的网络条件来为企业提供良好的信息安全服务。通过企业这一网络平台技术标准,安全公告和安全法规,提供信息安全软件下载,安全设备选型,提供在线信息安全教育和培训,同时为企业员工提供一个交流经验的场所。
3、定期对安全防护软件系统进行评估、改进
随着企业的发展,企业的信息化应用和信息技术也不断发展,人们对信息安全问题的认识是随着技术的发展而不断提高的,在电子信息安全问题不断被发现的同时,解决信息安全问题的安全防护软件系统也应该不断的改进,定期对系统进行评估。
总之,各中小企业电子星系安全技术包含着技术和管理,以及制度等因素,随着信息技术的不断发展,不仅中小企业 办公室逐渐趋向办公自动化,而且还确保了企业电子信息安全。
摘 要:本文首先对传统木桶理论和其在信息安全中的运用作了简单的介绍,并结合作者在实际工作中对信息安全的理解,提出了对传统木桶理论几点思考,通过对几点思考的阐述,指出了在信息安全工作中如何更好地结合木桶理论。
关键词:木桶理论 信息安全 运用
引言
说到木桶理论,可谓众所周知:一个由若干块长短不同的木板箍成的木桶,决定其容水量大小的并非是其中最长的那块木板或全部木板长度的平均值,而是取决于其中最短的那块木板。要想提高木桶的整体效应,不是增加最长的那块木板的长度,而是要下功夫补齐最短的那块木板的长度。这个理论由谁提出,目前已经无从考究了,但这个理论的应用范围却十分广泛,从经济学、单位管理到人力资源,到个人发展。这个理论也被引进了安全领域,在信息安全中,认为信息安全的防护强度取决于安全体系最为薄弱的一环,因此出现的一个状况是发现哪个安全问题严重就买什么样的产品。这个理论的意义在于使我们认识到整个安全防护中最短木块的巨大威胁,并针对最短木块进行改进。
根据这个理论,我们会发现有些单位找出安全防护中的最短木块,并买了很多安全产品进行防护:发现病毒对单位影响很大,就买了最好的反病毒软件;发现边界不安全,就用了最强的防火墙;发现有黑客入侵,就部署了最先进的入侵检测系统。这其实只是一种头痛医头,脚痛医脚的做法,是治标不治本的方法。
1.木桶理论新解
经分析,传统的木桶理论存在一定的缺陷,实际上一个木桶能不能容水,容多少水,除了看最短木板之外,还要看一些关键信息:这个木桶是否有坚实的底板、木板之间是否有缝隙。
1.1 木桶底板是木桶能否容水的基础
一个完整的木桶,除了木桶中长板、短板,木桶还有底板。正是这谁也不太重视的底板,决定了这只木桶能不能容水,能容多大重量的水。这只底板正是信息安全的基础,即单位的信息安全架构、安全管理制度和安全流程。对于多数单位而言,目前还没有整体的信息安全规划和建设,也没有完善的制度和流程。信息安全还没有从整体上进行考虑,随意性相当强。这就需要对单位进行一次比较全面的安全评估,然后结合单位的业务需求和安全现状来做安全信息架构和安全建设框架,制订符合单位的安全制度和流程。而在另外一些单位里,信息安全制度不是没有,也不是不完备,最大的问题在于执行不力。目前在大型单位和运营商中,安全的最大问题是无法贯彻执行单位的安全政策和流程。所以可以说:“安全是一把手工程,只有得到领导的强有力支持,才可能把安全策略进行推广;安全是全民工程,只有全民参与,才能有效地贯彻安全策略和制度。”同时需要注意的是,由于单位不断发展,安全是动态变化的,因此也就需要我们不定期的检查信息安全这个“木桶”的桶底是否坚实,一个迅速长大的单位,正如一只容纳了相当水量的木桶,越来越大的水容量将构成木桶底板的巨大挑战,如果不时关注底板,最后可能因为不能承受之重而导致所有的蓄水都丢失。
1.2 木桶是否有缝隙是木桶能否容水的关键。
木桶能否有效地容水,除了需要坚实的底板外,还取决于木板之间的缝隙,这个是大多数人不易看见的。对于一个安全防护体系而言,其不同产品之间的协作和联动有如木板之间的缝隙,通常为我们所忽视,但其危害却最深。安全产品之间的不协同工作有如木板之间的缝隙,将致使木桶不能容纳一滴水!如果此时,单位还把注意力放在最短的木板上,岂非缘木求鱼?
在信息安全中,目前攻击手法已经是融合了多种技术,比如蠕虫就融合了缓冲区溢出技术、网络扫描技术和病毒感染技术,这时候,如果我们的产品还却还是孤军作战,防病毒软件只能查杀病毒,却不能有效地组织病毒地传播;IDS可以检查出蠕虫在网络上的播,却不能清除蠕虫;补丁管理可以防止蠕虫的感染,却不能查杀蠕虫。各个安全产品单独工作,无法有效地查杀病毒、无法组织病毒的传播。而且更为严重的是,每个系统都会记录这些安全日志,这些日志之间没有合并和关联,大量的日志将冲垮管理员,导致无法看到真正关心的日志。
目前出现的SOC产品可以说是木桶的桶箍,它能把各种安全技术、安全产品、安全策略、安全措施等各种目标等箍在一起,共同形成一个坚实的木桶,保护里面的水资源。SOC包含安全事件收集、事件分析、状态监视、资产管理、配置管理、策略管理以及长期形成的知识中心,并通过流程优化、系统联动、事件管理等方式减少木板与木板之间的缝隙,协调各方面资源,最高效率地处理安全问题,保护整体安全。
2.木桶理论与信息安全的几点阐述
2.1 如何处理木桶中的最短木板
通过上面的分析,我们可以知道木桶的底板是基础,桶箍是关键,而最短木板决定了能容水的最大容量。但是如何处理这块最短木板,通常做法是看准了单位的最短木板,并且花大力气去提高,但效果往往不明显。其实这陷入了一种惯性思维,如果要提高木桶的容量,有时候不一定非要提高最短木板不可,只要那块最短木板的范围不是很宽,我们只要干脆去掉那个最短木板,然后重新用桶箍围成桶,这个新桶的容量就有可能大于原来的旧桶。
这种做法其实在单位运作中经常会使用,对于一些非核心业务,一些单位领导往往会采用外包的方式来处理,自己做最擅长的事情。但是在信息安全领域,这块目前做的并不够,这其中的原因一部分可能是由于信息安全比较重要,要找一个可靠的外包供应商才可以,另外的原因也可能是还没有意识到这个问题。目前越来越多的单位开始重视安全,都在建立自己的政策体系和人员队伍,但是由于信息安全具有专业性强,知识面广的特点,要建立一个完善的体系和队伍是比较困难的。
2.2 木桶理论与安全等级保护法
《国家信息化领导小组关于加强信息安全保障工作的意见》中认为,不同的信息系统有着不同的安全需求,必须从实际出发,综合平衡安全成本和风险,优化信息安全资源的配置,确保重点,要重点保护基础信息网络和关系信息安全、经济命脉、社会稳定等方面的重要信息系统,抓紧建立信息安全等级保护制度,制定信息安全等级保护的管理办法和技术指南。
信息安全领域中,密级分类、等级保护就是把信息资产分为不同等级,根据信息资产不同的重要等级,采取不同的措施进行防护。它的出发点就是要突出重点,要突出重点要害部位,分级负责,分层实施。在单位的安全建设过程中,我们可以根据等级保护法,把系统分成几个等级,不同等级采用不同的“木桶”来管理,然后对每一个木桶再进行安全评估和安全防护,这样就可以在投入
有限的情况下,确保重要信息的安全性。
2.3 木桶理论与内核加固
如何在木桶有缝隙的情况下,还能保护桶里面的水吗?有一个一个思路:把水降温变成冰块,这样即使有缝隙,水也不会马上流走,可以为我们进一步修复木桶提供时间。对于系统来说,加固操作系统内核就是这个作用,比如在某个系统上发现了一个很严重的漏洞,但是如果内核是进行了加固的,那么就不容易被利用进行攻击。
3.总结
传统的木桶理论在信息安全中的运用,让我们了解了什么是当前最为严重的问题,但是如果只着眼于最短木板,而忽视了木桶的底板这个基础,忘记了使木块能成为木桶的桶箍的作用,那么信息安全这个木桶还是很不成熟、不完善的。
一、实施数字化档案信息安全管理的意义
随着我国信息化水平的迅速提升,我国对数字化档案信息安全管理也有了更为深刻的认识。信息安全管理是维护数字化信息安全的重要手段,正所谓“三分技术,七分管理”,由此可见信息安全管理的重要性。数字化档案信息保障体系建设过程中必须有一套较为完善的制度,只有这样才能保证信息保障体系建设各个环节开展的规范性与合理性,而在信息保障体系建设中运用信息安全管理制度就能够达到保障信息安全的目的。对数字化档案信息进行安全管理,能够使所有人员主动参与到数字化档案信息保障建设过程中,不仅能够大大提高员工工作质量,同时还能够提高员工工作效率,因为科学有效的安全管理能够提高企业员工的凝聚力与向心力,对维护数字化信息安全及企业发展都有一定的积极作用。
二、数字化档案的信息安全问题分析
数字化档案信息与计算机中其他普通数据一样,都会受到多种不安全因素的影响。数字化档案信息主要是以信息数据的形式储存在于计算机内部系统中,若出现安全问题会直接影响档案信息的完整性与安全性。据调查了解所知,目前数字化档案信息主要存在的安全问题有以下几个方面:
(一)计算机硬件故障
现在大部分计算机中各个部件都采用了一定的保护机制,但这并不能阻止一些硬件故障的出现。硬件故障对数字化档案信息的危害性很大,比如若计算机中的硬盘磁道出现损坏或者严重故障,那么在很大程度上会造成信息数据破坏或者丢失,导致数字化档案信息的不完整。近年来,随着计算机设备的应用量越来越大,其内部硬件故障发生的频率也随之不断增高。
(二)计算机软件故障
要实现计算机对各项数字化档案数据的处理,有赖于计算机操作系统及数据信息处理相关软件。计算机软件的性能高低直接关系着数字化档案信息数据的安全性与完整性。随着数字化档案信息系统的不断完善,信息系统对软件的要求也越来越高,在这种情况下就出现了计算机软件功能性无法满足数字化信息系统的要求,在软件使用中无法确保其性能的稳定性。虽然在数字化档案信息系统操作中存在一些计算机软件故障,但与硬件故障相比,其发生故障的机率较小。
(三)病毒及黑客侵袭
病毒及黑客入侵是影响数字化档案信息安全的主要问题之一,这种问题较为常见,虽然一些计算机用户设置了防火墙,安装了多种杀毒软件,但依然无法完全避免病毒及黑客的非法入侵。
(四)系统更换操作或者停机
硬软件本身的兼容问题或者系统中包含的诸多无用资源,很容易导致计算机出现停机或死机状况,这是导致信息数据丢失的一个原因。
(五)人为操作引起的故障
在数字化信息数据安全维护过程中由于信息管理人员计算机操作不当,会对数字化档案信息安全造成一定的威胁,比如误删除信息数据的现象在日常工作中时有发生。
三、数字化档案的信息安全管理策略
针对上述问题在数字化档案信息安全维护中不仅要选择可靠的硬件设备,采用先进的信息安全保障技术,更要进行全方位的数字化档案信息安全管理,只有这样才能有效解决数字化档案信息安全问题,提高数字化档案的安全性。以下是笔者结合目前数字化档案信息安全问题所提出的安全管理策略:
(一)硬件设备安全管理
据调查了解所知,计算机硬件故障发生率十分频繁,严重影响了数字化档案信息安全,因此在信息安全管理工作中的首要任务就是对硬件设备进行科学选择与管理。应根据数字化档案信息系统的实际情况选择合适且性能良好的硬件及软件设备。另外在选择过程中应重点考虑计算机服务器的品牌及客户机,全面审核硬件设备的兼容性及拓展性,这样做的目的是为了当系统升级时避免数据信息丢失。
(二)信息技术安全管理
在数字化档案信息安全管理过程中仅靠管理人员的力量是不够的,还需要信息技术的协助。为了保证数字化档案信息数据的安全性,在管理工作中可以运用一些先进的信息技术来提高数字化档案信息安全。比如可以设置信息访问身份验证、防病毒体系,还可以对相对机密的数据进行加密操作,采取数据加密的方式可以有效防止信息数据在传输过程中被一些木马病毒及非法网站入侵,对保护数字化档案信息十分奏效。
(三)完善信息安全管理制度
在数字化档案信息安全管理工作中需要一套完善的信息安全管理制度,原因在于数字化档案信息种类较多,且具有一定的复杂性,若不制定完善制度,实行全面的制度化管理,很容易导致信息安全管理内部一片混乱,为了避免这种状况,企业应积极建立并完善信息安全管理制度。一般建立完善的信息安全管理制度需要从二个方面入手:
1.建立数字化文档管理制度。对于已储存在计算机中的信息应进行分类管理,大致应将其分为秘密、机密、绝密与非保密等几种保护类型。另外对于一些相对机密及敏感信息不仅要采取加密措施,还要将其储存在脱机的安全环境中,以免信息被他人非法窃取、破坏或修改。
2.建立人员安全管理制度。首先要将信息安全管理贯彻落实到实际信息维护中,让管理人员对信息安全管理有一个清晰客观的认识。这样一来,管理人员就会在工作中认真贯彻执行,极力维护数字化档案的安全。信息安全管理部门总负责人应对各个管理人员的工作进行考核,对于一些管理操作不当或管理不够严格的人员应给予相应的警告或处罚,让其从思想上意识到信息安全管理的重要性。其次应对信息安全管理人员进行定期培训,让其及时学习其他企业及国外优秀的信息安全管理方法及理念,为信息安全管理工作注入新的血液。这样一来,不仅能够大大提高信息安全管理的时效性与合理性,同时还能够提升信息安全管理人员的综合素质,对数字化档案信息安全管理工作的有效开展具有一定的积极意义。在数字化档案信息安全管理中,要想充分发挥管理的作用,全面维护档案信息安全,保障档案信息的完整性,就要结合数字化档案信息系统的实际运行特点,全面考虑信息安全问题,从而有针对性的采取相应的管理策略,实现数字化档案信息的制度化管理。
一、我国电子金融领域信息安全的现状
全国相关的金融机构陆续成立了专门的安全防范机构,并重点加强对系统需求设计、投产、推广和软件开发等重点程序的监管和保护以及风险防范;在系统设计开发、防火墙选用、认证密码等方面加大了投入。但是,当前的金融电子行业仍然存在着一些隐患,具体是传递信息的安全隐患和业务系统维护的风险防范隐患。
二、信息安全防护措施
(一)行业自律
行业或是客户自身的信息包括最敏感机密部分对金融机构而言往往是公开的,金融机构可以轻松的获取这部分信息,其中有部分信息具有相当的经济价值。对信息保护,行业的自律有着相当重要的意义,政府的监管只是被动的行为,防患于未然更多的在于金融结构的自律行为。电子金融行业需制定一个有效的行业自律规范,从行业内部规范从事人员的行为总则,争取将非法信息来源斩断。国外大多数国家在立法上对行业自律机制给予较高的肯定,我国其实也可以借鉴,进一步发挥行业自律在信息安全上的作用。
(二)金融信息监管
完善的信息安全法律法规是做好信息安全工作的基础。我国在信息安全法律法规建设方面已经做了很多工作,如今与信息安全有关的法律法规包括法律、行政法规、部门规章及规范性文件三个层面。但是,我国的信息安全法律法规仍然不够完善,管理机构存在多头管理,要求从金融信息监督开始为信息安全做好第一步。同时,中国人民银行对网上银行业务的监管尚处于起步阶段,应在《人民银行法》等相关法规中将网上银行明确纳入中国人民银行、银监会监管的对象。其次,金融服务业消费者安全保障的投诉与受理机制欠缺,监管机构中缺乏专门负责金融消费者安全保障方面事务的部门,对于投诉问题没有从自律或者强制性法律机制角度进行规范。建议在我国因成立一个独立的电子金融监管机构,它独立于各个行政体系,采用直接负责制,这是由于电子金融领域如出现信息安全事故,它所牵扯的相关行政部门较多,地域范围较广,现有职能部门无法对它进行有效的监管,该机构应对电子金融机构信息可审查,可回溯并构建一个评价体系,将其评价结果对外公示,对于那些信息安全保护不当的机构应给予惩罚,改变我国对信息泄露或是保护不当的金融机构只罚不惩的局面。
(三)信息安全体系
电子金融主要的运行手段是基于计算机网络或是通信网络,必须要技术层面上保护其安全,传统的金融交易手段是基于柜台式、盘点式,早期电子金融只是较为粗犷的将原有的业务照搬于网络环境中,又由于网络是个开放的平台,所以造成了较多的信息安全事故,在近几年的发展中有了迅猛的进步,但还存在诸多问题:用户认证手段单一、支付手段繁杂、内网权限过大、设备更新过于频繁、客户端保护不够、异常行为监管不到位、标准不统一等问题。现应构建一个统一标准网络信息安全体系。将用户权限分割,将用户不常用或是对其信息保护有隐患的功能部分需转为传统的柜台办理,用户可对其权限进行缩减,提供用户常用功能及其权限。用户认证需多层次的,一般的安全层次认证简单快捷,高层次需提供较多有效凭证方可使用。网络模型要做到有效的内外分离,对外网要设置多层安全防范,不能以单一的防火墙形式存在,应具有动态更新、行为分析、危害恢复等功能。对内网必须将权限分割,无单一权限,在很多核心内容上应采用多人协同开启权限功能,防止某一个体权限过大造成过多损失等。客户端应该附加对客户端安全的监察,如发现客户端存在隐患则尽到提醒义务,保护客户信息安全。
三、结束语
安全建设的研究一定要考虑到多方面,找到多种技术和管理方法,而不能只局限到某一种策略。单一的安全技术和产品已满足不了行业用户保障网络安全的需求,防火墙、隔离卡、防病毒技术、信息加密技术、入侵检测技术、安全评估技术、等级管理体系、安全认证技术、漏洞扫描等相互配合,构成网络安全整体解决方案,并能在稳定性及协同性整体配合上加强。信息的安全建设如今不仅仅只是技术的问题,更需要管理与技术相融合而发挥作用的一项系统工程。当然,不断完善的规章制度、科学系统的管理以及高素质、高执行力的团队也是安全建设所必不可少的。
1计算机信息安全技术存在的弊端
1.1缺乏核心技术
目前,我国使用的计算机核心技术,像操作系统、网关、数据库等大多是国外进口而来的,我国自主研发的产品比较少。CPU芯片是计算机的核心,目前使用最多的品牌是由我国台湾与美国共同研发的,同样缺乏自主性。在操作系统方面,国外操作系统本身会存在一些漏洞,且设计上并不是根据我国居民上网操作习惯来设定的,因此容易让一些病毒有机可乘。操作系统中的安全隐患主要表现在可恢复密钥、嵌入式病毒以及隐性通道方面,且由于系统是由国外引进,因此即使我国发现了漏洞也没有资格进行大范围整改,只能够等到国外补丁再引入国内进行安装。这些漏洞让计算机的安全性大大降低,使得信息在传输过程中处于被监视以及干扰的状态,安全级别较弱。
1.2传输过程中安全风险较多
信息在通过网络进行传输的过程中,隐秘信息以及涉密信息与普通信息一样,都是存在于网络这个开放性较强地区之中的,因此同样容易造成泄密。信息在传输过程中会经过多个外节点,在其中一个节点出现问题就会影响到信息传输的安全性,一旦发生安全事故,对出现故障的信息点是难以查证的。且传输环节中,任意一个节点都可能会被恶意修改,对数据进行假冒或是篡改。
1.3外部攻击较多
现如今,黑客已经不再是犯罪的象征,在一定程度上,黑客也意味着着计算机能力较高,是现代少部分年轻人追逐的目标。随着计算机的全面普及,我国计算机用户在年龄上呈现出下降趋势,且计算机能力越来越高。黑客有时并不是要进行利益上的获取,大多数情况下,他们只是希望通过这种方式来证明自己的能力。黑客们对用户电脑中植入木马,进行数据信息的获取,或是在网络中伪装成管理员进行信息的有效拦截,另外,黑客们还会对一些网站进行攻击来发泄自身的不满。据日本新闻网2012年8月18日消息,日本奈良国立博物馆的网站17日遭到黑客攻击,博物馆网站主页上用英文打上了“还我钓鱼岛”之类的标语。记者18日登陆该博物馆网站主页时发现,页面已恢复正常。据报道,日本国立文化财机构发表的消息说,奈良国立博物馆的馆员于17日下午一点左右,发现博物馆的网站主页最上方的画像检索画面遭到篡改,页面上出现了“还我钓鱼岛”之类的英文标语口号。一个小时后,该英文标语口号又换成了其他的英文词句。另外,还有一些黑客进行网站信息攻击是为了从中谋取利益。在今年5月底,南京市公安局接到报警,报案人称自己公司经营的游戏网站遭到了黑客攻击。与以往不同的是,在网站被攻击后,发动攻击的黑客会主动现身,通过网站客服QQ主动联系被攻击者,承认自己破坏了网站。他们并不是在炫耀自己的能力,而是以此为要挟收取“保护费”。据该公司工作人员介绍,黑客实施的是大流量攻击,就是通过网络向公司服务器IP短时间内发送大流量访问,导致公司服务器瘫痪,网络堵塞,用户无法正常访问。该公司网络游戏的IP地址随即被租赁公司停用两天,造成公司间接经济损失达10万余元。1.4内部操作人员素质欠缺在利益的驱使下,网络管理人员并不能够保证自己完全不被金钱所诱惑。另外,在计算机网络建设过程中,人们大多将重点放在网络功能的建设上,很少会在安全性能方面加大投入。一些网络执行领导认为,对网络进行安全性能的加强并不能够在短期内为网站带来经济效益,且这种投资若是没有碰到安全事故就相当于无回报投资,因此觉得在网络安全方面不投资影响也不大。正是因为这种思想,网络安全事故屡禁不止,且在问题发生之后,由于没有进行相应投入,因此在补救措施上缺乏行之有效的管理,只能够采取直接将网络关闭的消极手段来应对,不能让安全隐患得到实质性的有效解决。
2信息安全改进措施
2.1安装防火墙及杀毒软件
现如今,各项杀毒软件与防火墙充斥着网络资源市场,用户只需根据自己平时在计算机上进行的主要操作来选取需要用到的软件即可。防毒软件的安装能够自动检测出浏览网站的不良信息,确保用户不会进行点击操作,这样一来,一些病毒或是恶意程序就不会侵入到个人电脑中,也不会对电脑中信息造成损害了。同时,杀毒软件可以定期、定时的对计算机中的软件进行扫描,对于会修改计算机操作的程序或是目的地不明确的程序能够及时找出并向用户通报。同时,杀毒软件会将用户在网络上自行下载的资源进行自动扫描,对于含有病毒的程序或是发现有异常的程序能够自动将其毁灭,保障用户计算机安全。
2.2信息备份
就目前网络安全问题而言,许多病毒都是以破坏用户计算机内的资料数据为目的的。因此要做好数据的备份工作,保障在数据丢失之后能够被及时找回,不影响后续工作、学习。并且,数据的备份还需进行技术上的完善,让数据在丢失之后还能够及时的被找回与回复,这样一来,即使没有及时进行备份,也能够避免丢失造成的损失。
2.3定期进行补丁更新
对于局域网内的计算机而言,病毒很容易就会通过局域网进行传播,因此要定期进行网络软件以及计算机操作系统的维护工作。对于一般的维护而言,通常是以补丁形式的,省去了安装的时间。若是没有及时安装补丁,一些系统的漏洞就容易被利用,相应的病毒会进入到系统内部进行攻击。像是蠕虫病毒、冲击波病毒,在补丁安装之后就失去了进入的通道,自然不会威胁到计算机网络安全。
2.4身份认证
用户对信息读取的身份认证是非常重要的。由于网络是一个较为开放的平台,因此黑客能够利用其开放性对信息进行拦截、读取与篡改。在这个过程中,文件是处于不被保护状态的,因此就应该提高文件传输的安全性,对文件进行访问的用户需要进行身份验证才能够继续访问。这种身份的认证一般是以用户安装安全密钥或是协议的方式完成的。对于计算机信息中心管理人员而言,通过身份的鉴别能够有效发现黑客的存在,并且设置文件的读取权限,像一些加密的文件,权限范围就要比不加密文件有效,保障加密文件的安全性。
3小结
随着计算机的普及以及网络化的不断发展,我国计算机信息安全越来越受到用户的广泛关注。信息安全关系到信息传输双方以及个人电脑的安全管理,因此应该加大对这方面的重视程度,让计算机在带来方便快捷的同时,不会对人们的工作、 生活、学习造成负面影响。相信通过各方面的不断努力以及投入力度的增加,我国计算机信息安全能够得到更好的改进。
近年来,随着我省林业信息化建设进程不断加快,信息系统在政府服务企业人民群众中得到广泛应用,使得生产效率大幅提高。然而,随着社会经济对信息化依赖性不断增长,信息系统的脆弱性日益暴露,信息安全问题日益凸出。从我省林业信息安全现状来看,不论是软硬件系统本身还是组织和管理方面,都还不同程度地存在着各种安全隐患,因重大故障而引发系统停机、业务停顿的现象也时有发生,被黑客攻击、病毒传染致使系统瘫痪和数据丢失也不乏其例。因此,信息安全保障工作是一项关系我省国民经济和社会信息化全局的长期性任务。在省内的推广和应用对全省信息安全保障体系建设具有重要意义。本文全面地介绍了我省林业系统信息安全现状,分析了我省林业信息安全保障取得的成果和存在的问题,在通过参会、走访、调研多种形式的基础上,得到充分的信息安全保障资料,结合国家各信息安全相关标准,提出林业系统信息安全保障的下一步工作研究。
1我省林业信息化安全形势严峻
我省林业系统信息安全面临的形势不容乐观,从省直机关及部分地市单位的调查结果看,有39%的单位发生过信息安全事件,说明我省林业系统网络和信息安全基础还比较薄弱,保障机制尚待健全。主要有以下四个方面表现。
1.1从发生信息安全事件的结构上看,超过半数的属于感染病毒、木马。引起事件的原因35.5%来自于单位外部,主要原因是未修补或升级软件漏洞。42.2%的事件损失比较轻微,只有0.9%的事故属于比较严重。而对于事件的觉察,36%是通过网络管理员工作监测发现,22.7%是事后分析发现。这说明,我省林业网络安全形势总体上是好的,但也说明网络与信息安全事件总体防范能力不足,缺乏对安全事件的提前预防。
1.2从信息安全管理来看,有74%的单位制定了安全管理规章制度,78%的单位能做到随时进行安全检查,61.1%的部门在管理中采取口令加密。这说明林业系统内大部门单位已经认识到了信息安全的重要性,但管理手段单一,技术落后,缺乏有效的身份认证、授权管理和安全审计手段。
1.3从信息安全投资来看,只有14.70%的单位信息安全投入达到了15%,70%的单位信息安全投资低于信息化项目总投资的10%,甚至还有7%的单位在信息安全方面从来没有过投资。说明整体网络与信息安全投入明显不足。
1.4从专职人员配备情况来看,只有46%的部门有专职的信息安全人员,大部分是兼职人员或外包服务。仅有3.8%的单位组织了对单位全体员工的信息安全培训,而对于网络安全管理技术人员的培训也只有46%的单位搞过。从业人员不足,安全培训少,也是影响信息安全的一个重要因素。上述现状,反映出我省林业系统网络与信息安全意识淡薄,信息系统综合防范手段匮乏,信息安全管理薄弱,应急处理能力不强,信息安全管理和技术人才缺乏。随着我省林业信息化建设和应用的加快,多样化的侵害和信息安全隐患将会不断地暴露出来,使我省林业网络与信息安全工作面临着更大的威胁和风险。
2我省林业系统信息安全保障思路及主要任务
省委省政府关于建设“平安山东”的决定,提出了把我省建设成为全国最稳定、最安全的地区之一的明确目标和任务,切实加强网络与信息安全保障工作是大力推进国民经济和社会信息化的重要保障,是平安山东建设的重要内容。省政府印发的山东省国民经济和社会信息化的十二五规划,把信息安全保障体系作为主要内容之一。在此基础上,林业信息化建设以全面提高网络与信息安全的保障能力为己任,努力开创了我省信息化建设与信息安全保障体系相互适应、共同进步的新局面。
2.1信息安全保障工作的思路以科学发展观为指导,认真贯彻“积极防御,综合防范”的方针,加强网络信任体系、信息安全监控体系和应急保障体系建设,全面提高林业系统网络与信息安全防护和应急事件处置能力,重点保障我省林业基础信息网络和重要信息系统安全;强化林业信息安全制度建设和人才队伍建设,充分发挥各方面的积极性,协同构筑我省网络与信息安全保障体系。
2.2信息安全保障工作的主要任务
2.2.1建立健全我省信息安全管理体制,充分发挥网络与信息安全建设的作用,建立了信息安全的通报制度,形成我省林业信息安全相关部门密切配合的良好机制。
2.2.2积极推进了信息风险评估和等级保护制度的建立。省信息办制定了山东省信息安全风险评估实施办法,介绍了实施风险评估的方法和流程,十一五期间,已选取了多家单位作为试点,下一步将根据自己工作实施风险评估,并争取在全省范围内推广。
2.2.3大力促进网络与信息安全的制度建设,积极贯彻有关信息安全标准的应用和推广,出台了林业系统网络信息安全建设的指导意见。
2.2.4加强信息安全应急处置体系建设,利用现有的专业队伍和技术资源,规划和建设林业数据备份中心,启动建设信息化应急技术处理中心,逐步实现为我省林业网络信息安全提供预警、评测等服务,按照“谁主管谁负责、谁运营谁负责”的要求,各部门出现问题及时处理,如果处理不了,可以呼叫应急中心通过技术手段判断突发事件的原因。
2.2.5加强人才队伍培养和建设。不定期的举办了面向工作人员提高安全意识、防范意识的培训,对从事信息化的专业人员建立管理培训的制度。
3加快我省林业信息安全保障体系建设进程的建议林业信息安全保障体系的建设是关系我省民生的大事,做好这项工作十分重要。
3.1充分认识做好信息安全保障工作的重要意义。目前对信息安全问题不少人仍然缺乏全面的、深刻的认识,现有各个部门在安全工作中缺乏安全防范的意识,安全防护注重于系统外部,忽略了系统内部的安全管理措施,安全保障缺乏循环、良性的提高,不能自主发现和及时消除安全隐患,对安全工作仍然不同程度的存在“说起来重要,忙起来次要,干起来不要”的问题。各单位各部门要从经济发展、社会稳定的高度充分认识信息安全的重要性,增强紧迫感、责任感和自觉性。
3 .2正确把握加强信息安全保障工作的总体要求。要坚持积极防御、综合防范的方针,正确处理发展与安全的关系,坚持以发展求安全、以安全保发展,同时管理与技术并用,大力发展信息技术的同时,切实加强信息安全管理工作,努力从预防、监控、应急处理和打击犯罪等环节在法律、管理、技术、人才各方面采取各种措施全面提升信息安全的防护水平。
3.3突出重点,抓好落实。各部门要制定工作重点,加强信息安全体系建设和管理,最大限度的控制和限制安全风险,重点保障基础信息网络和重要信息系统的安全,做好应急服务工作,尽可能的防止因信息安全问题造成的重要信息系统的大面积的出现问题。防止数据丢失和错误,避免对社会造成的损失。
3.4建立相应的信息安全管理体制。明确信息安全的综合建设和管理思路,搞好信息安全保障体系的建设,目前省级部门已经按照国家要求做了落实,现在要求地市的信息安全管理部门、相关人员也要按照要求做好这项工作。
3.5加快网络信任体系、监控及应急保障体系等信息安全基础设施建设。促进重要信息系统容灾备份和灾难存储的建设,建立全覆盖、多层次、高性能的全省林业信息安全保障基础架构,深化在我省林业系统电子政务、电子商务中的应用,结合数字证书的应用,保证网上信息的安全和法律效力。信息安全保障体系的建设是一件大事,也是一件新兴事物,将面临着许多难以想象的困难和挑战,我们一定要转变观念,一手抓信息化推进,一手抓网络的信息安全,共同服务于社会发展的大局,全面提高我省信息安全保障的能力和水平,为国民经济和社会信息化做好保障,为“平安山东”做出应有的贡献。
一、计算机信息安全
计算机网络技术不断发展,应用较为广泛,但是也存在安全性问题,使个人或者企事业单位面临威胁。如果计算机信息管理的方法不恰当,会使机密的信息被窃取,引起经济损失。对计算机信息进行安全管理成为重要的问题。计算机安全保护的目的主要是进行信息的安全管理,保证计算机在存储信息方面具备完整性以及机密性,信息的效用价值被激发出来。
二、计算机信息安全存在的问题
信息安全威胁主要指的是人、事、物对某一资源信息造成的威胁,主要安全威胁表现在以下方面:机密性;完整性;可用性;真实性;可控性。安全威胁可以分为两类:主动威胁、被动威胁。主动威胁指的是对信息作出修改,被动威胁指的是对信息只做监听不做修改。
2.1攻击方式
信息的安全问题一直受到人们的关注,对计算机进行侵袭的方式花样百出。典型的方式包括:()l信息泄露;(2)重放;(3)拒绝服务。无法访问信息资源,延迟操作。(4)窃听:(5)否认:(6)业务流分析:(7)病毒。
2.2网络外部因素出现问题
网络外部因素是出现信息安全的重要原因,在信息安全问题中处于关键地位。主要表现在:()l借助技术手段进行网络干扰;(2)借助先进的设备,植人病毒等,威胁信息系统。
2.3网络内部因素出现的问题
网络系统具有脆弱性,是信息安全问题的内因。主要表现在:(l)安全策略与安全管理有待完善;(2)软件系统存在漏洞;(3)网络协议体系存在问题。
三、计算机信息安全管理的方法
3.1进行信息加密
在安装防火墙软件后,不能有效防御系统内部的威胁,在这种情况下,可以采用信息加密的技术,把明文文件、数据信息等进行优质化处理,进行密文的传送,到达目的地后,录人密钥,重现原来的信息内容,对信息文件设置安全保护,使数据资源保持安全性。与加密过程相反的是解密,主要是转化已经编码的信息,还原本来的信息。根据系统功能的要求,选择信息加密的手段,保证信息的安全性以及可靠性。
3.2采用安全性较高的系统软件
安全性较高的系统软件指的是操作系统以及数据库等具有很高的安全性。在系统终端,操作系统应当版本统一,为维护以及管理提供了很大的方便。对系统的终端进行安全管理,主要指的是针对应用软件进行远程操控,对于不安全的端口以及软件进行屏蔽。在系统的终端,安装杀毒软件,对系统的补丁进行自动的更新,便于进行集中的控管。对客户端的操作系统进行定期的扫描杀毒。
3.3访问控制技术
访问控制主要指的是对用户的访问权限进行控制,允许特定的用户进行网络访问,人网的用户需要进行身份确认,用户访问系统的特定资源,规定资源的使用程度等等。访问控制可以加强网络系统的安全,对网络资源进行有效的保护。访问控制的措施包括:第一,设置口令;第二,应用数字证书等。通过以上方法,验证、确认用户的信息,设定访问的权限,进行网络跟踪,并对网络系统采取防护措施。为了确保口令的安全性,要注重口令的选取以及保护。进行访问控制,主要是为了确保访问操作的合法性,避免非授权的访问。
3.4进行风险分析
采用信息加密算法可以增加计算机信息整体的安全性。从传统的加密方法来看,主要是把密匙作为核心,也就是对称加密。在进行解密和加密时,用户可以采用相同的密钥。近年来,加密算法发展较快,公开密钥得到了广泛的应用,也称为非对称加密。进行加密、解密,采用不同的密钥,主体涵盖的技术包括RsA以及DsA技术。现在比较常用的是DES、RSA算法,与PGP加密的方式相混合,能够进行优质运用。与此同时,还要进行病毒的防御。计算机技术在不断进步,病毒的形式更加多样,分辨存在很大的难度,产生很大的危害。
因此,为了保证计算机信息的安全性,我们应当更新技术,不断研发防御病毒的方式,使功能更加优质全面。我们必须进行风险分析,分析利弊,制定适当的管理方法,使计算机信息安全有所保证。养成规范操作的习惯,加强密钥的管理。
四、结语
随着计算机技术的广泛应用,计算机信息安全受到了严重的威胁。在现阶段,计算机网络存在问题,网络自身具有脆弱性,并容易受到潜在的威胁,注重管理,在必要的情况下,需要加强法律的治理,保证网络系统的安全性。针对个人的使用,采取一定的管理方法。加强计算机的信息安全管理,保证网络信息的安全性。
论文关键词：经济信息安全 国家经济安全 信息化 法律保护
论文摘要：信息时代，信息资源的占有率已成为影响一国生产力发展的核心要素之一。面对日益激烈的市场竞争，世界各国对经济信息的争夺加剧。完善我国经济信息安全的法律保护体系是维护国家经济安全，保障生产力健康发展的重要任务。文章对经济信息安全的概念进行了界定，通过分析我国经济信息安全面临的挑战与现有法律保护的不足，提出完善经济信息安全法律保护的对策。
一、信息化挑战我国经济信息安全
与西方发达国家相比，我国的经济安全保障体系非常脆弱，对于经济信息安全的保护更是一片空白。国家经济数据的泄露，泄密案件的连续出现昭示着我国经济信息安全面临前所未有的严峻挑战。
(一)对经济信息的争夺日益加剧
经济竞争的白炽化与信息高速化在推动世界经济迅速发展的同时也使得业已存在的窃取经济信息活动更为猖獗，无论是官方的经济情报部门还是各大财团、公司都有自己的情报网络。世界各国在千方百计地保护本国经济信息安全的同时也在千方百计地获取他国的经济情报。目前我国正处于泄密高发期，其中通过计算机网络泄密发案数占泄密法案总数的70％以上，并呈现逐年增长的趋势；在商业活动中，商业间谍与经济信息泄密事件频繁发生，据业内人士透露泄密及损失最渗重的是金融业；其次是资源行业，大型并购很多，而十次并购里面九次会出现信息泄密事故；高科技、矿产等领域也非常严峻，很多行业在经济信息安全保护上都亮起了红灯。
(二)窃密技术先进，手段多样化
一方面，发达国家及其情报组织利用信息技术优势，不断监听监视我国经济情报，非法获取、篡改我国信息或传播虚假信息造成经济波动，以获取经济乃至政治上的收益；另一方面，除技术手段，他们还通过商业贿赂、资助学术研究、举办研讨会、派专人在合法范围内收集企业简报、股东报告甚至是废弃垃圾通过仔细研究，分析出有价情报等方式大量收集我国经济信息。正如哈佛大学肯尼迪政治学院的一位中国专家认为：“在中国，当前贿赂最主要的形式不再是支付现金，更多可能由公司付费途经洛杉矶或拉斯维加斯到公司总部考察。这种费用可以被看做是合法的营业支出，也可以为官员设立奖学金。”窃密技术日益先进与手段日趋多样化、合法化对我国经济安全，特别是经济信息的安全造成严重威胁。
(三)经济信息安全保密意识淡薄
近年来，每当政府机构公布国民经济运行数据前，一些境外媒体或境外研究机构总是能准确“预测”；许多重要的经济信息，包括经济数据、经济政策等伴随学术报告、会议研讨甚至是一句家常闲聊便被泄露出去；载有核心经济信息的移动存储介质被随意连接至互联网导致信息泄露等问题严重。有调查显示，我国有62％的企业承认出现过泄密现象；国有以及国有控股企业为商业秘密管理所设立专门机构的比例不到20％，未建立任何机构的比例高达36．5％；在私营企业中，这样的情况更加严峻。经济信息安全保密意识的薄弱已成为威胁我国经济安全，影响社会经济稳定发展的制约因素之一。
二、经济信息安全法律保护的缺失
安全的实质是一种可预期的利益，是法律所追求的价值主张。保障经济信息的安全是信息时代法律在经济活动中所追求的最重要的利益之一。法律保障经济信息安全，就要维护经济信息的保密性、完整性以及可控性，这是由信息安全的基本属性所决定的。然而，由于我国立法上的滞后，对经济信息安全的法律保护仍存在相当大的漏洞。
(一)缺乏对保密性的法律保护
保密性是指保证信息不会泄露给非授权者，并对需要保密的信息按照实际情况划分为不同等级，有针对性的采取不同力度的保护。现行《保密法》对于国家秘密的范围以及分级保护虽有相关规定，但其内容主要针对传统的国家安全，有关经济信息安全方面仅出现“国民经济和社会发展中的秘密事项”这样原则性的规定，对经济秘密的划定、保密范围和措施等缺乏相应条款；对于跨国公司或境外利益集团等窃取我国经济政策、产业关键数据等行为也缺乏法律上的界定，以至要追究法律责任却没有相应法律条款可适用的情况屡屡发生。
在涉及商业秘密的法律保护上，法律规定分散而缺乏可操作性，不同部门对商业秘密的定义不统一，商业秘密的概念模糊而混乱，弱化了商业秘密的保密性；①另一方面，与TRIPS协议第39条规定的“未披露的信息(undiscoveredinformation)”即“商业秘密”相比，我国《反不正当竞争法》要求商业秘密须具有秘密性、价值型、新颖性与实用性且经权利人采取保密措施，并将构成商业秘密的信息局限于技术信息和经营信息，这样的规定不以商业秘密在商业上使用和继续性使用为要件，使不具实用性却有重大价值或潜在经济价值的信息得不到保护，不利于经济信息的保密。此外，人才流动的加快也使商业秘密伴随着员工的“跳槽”而流失的可能性激增，但对商业秘密侵权威胁(ThreatenedMisappropriationofTradeSecrets)我国尚无没有明确法律依据；对于泄露或窃取他人商业秘密的行为，《刑法》第219条虽增加了刑事处罚，但处罚力度过轻而又缺乏处罚性赔偿规定，导致权利人的损失无法得到弥补。
(二)缺乏对完整性的法律保护
完整性是指信息在存储或传输过程中保持不被未授权的或非预期的操作修改和破坏，它要求保持信息的原始面貌，即信息的正确生成、正确存储和正确传输。目前，我国保障信息与信息系统完整性主要依靠《刑法》与《计算机信息系统安全保护条例》等法律法规，总体而言层级较低又缺乏统一性。《计算机信息系统安全保护条例》第4条规定了“计算机信息系统的安全保护工作，重点维护国家事务、经济建设、国防建设、尖端科学技术等重要领域的计算机信息系统的安全”，但在第23和25条却只规定对破坏和危害计算机信息系统安全造成财产损失的承担民事责任，并对个人处以5000元以下罚款，对单位处以15000元以下罚款的较轻处罚规定；现行《刑法》第285条也只规定入侵国家事务、国防建设、尖端科学技术领域的计算机信息系统的行为构成非法侵入计算机信息系统罪。这就是说，行为人非法侵入包括经济信息系统在内的其他信息系统并不构成本罪。可见，法律对信息安全的保障依然侧重于政治、军事等传统安全领域，而忽略了对经济信息安全的保护。
(三)缺乏对可控性的法律保护
可控性是对经济信息的内容和信息的传播具有控制能力，能够按照权利人的意愿自由流动。网络的盛行使得经济间谍、商业贿赂等窃密手段的频繁出现而使得经济信息不能按照权利人的意愿流动。面对日趋“合法化”的窃密行为，《刑法》第110条的间谍罪与第11l条的为境外的机构、组织、人员窃取、刺探、收买、非法提供国家秘密或情报罪都只是笼统的规定了“危害国家安全”和“窃取、刺探、收买、非法提供国家秘密或情报”，缺乏有关经济间谍罪的专门规定；而《国家安全法》也只是笼统的规定了国家安全整体的法律条文，并且侧重的是传统安全的政治和军事领域，对于经济安全，尤其是经济信息安全这样一个新的非传统安全领域的存在的威胁仍缺乏适当的法律规制。
除了经济间谍外，跨国公司对我国实施商业贿赂获取经济信息与商业秘密的案件不断增加，经济信息的可控性无法得到有效保证，在造成严重经济损失的同时也威胁着我国经济信息安全。目前我国尚无一部完备的《反商业贿赂法》，对于商业贿赂的法律规制主要体现在《刑法》与《反不正当竞争法》、《关于禁止商业贿赂行为的暂行规定》等法律法规上。然而，现行《刑法》并未直接对商业贿赂行为作出罪行定义，而《反不正当竞争法》第8条虽然规定商业贿赂的对象既可包括交易对方，又可包括与交易行为有关的其他人，但《关于禁止商业贿赂行为的暂行规定》中却又将商业贿赂界定为“经营者为销售或购买商品而采用财物或者其他手段贿赂对方单位或者个人的行为”缩小了商业贿赂对象的范罔，将除交易双方以外能够对交易起决定性作用或产生决定性影响的单位或个人被排除在外。另外，对于商业贿赂的经济处罚力度畸轻，根据《反不正当竞争法22条，不构成犯罪的商业贿赂行为处以10000元以上200000元以下的罚款，并没收违法所得。但事实上，通过商业贿赂手段所套取的经济信息往往可以带来高达上百万的经济利益，过轻的处罚完全不能发挥法律应有的威慑力。与美国的《反海外贿赂法》和德国的《反不正当竞争法》相比，我国对于商业贿赂，特别是跨国商业贿赂的治理仍存在不足。
三、完善我国经济信息安全法律保护的对策
法律保护经济经济信息安全，既要求能预防经济信息不受侵犯，也要求能通过国家强制力打击各种侵犯经济信息安全的行为，从而达到经济信息客观上不存在威胁，经济主体主观性不存在恐惧的安全状态。因此，维护经济信息安全需要构建全方位的法律保护体系。
(一)修订《保密法》，增加保护经济信息安全的专门条款
《保密法(修订草案)》增加了针对涉密信息系统的保密措施以及加强涉密机关、单位和涉密人员的保密管理等五方面内容，总体上得到了专家学者的肯定，但仍存在许多值得进一步斟酌与完善的问题。特别是对于经济领域的信息安全保密问题，应增设专门条款明确规定经济秘密的保密范同，明确哪些经济信息属于国家经济秘密，通过明确“密”的界限强化保密意识，维护经济信息的安全。因此，在修订《保密法》时，我们可以在保证法律的包容性与原则性的基础上，可以借鉴俄罗斯的《联邦国家秘密法》，采取列举的方式将属于国家秘密的经济信息以法律的方式予以规定，将对国家经济安全有重大影响的、过早透露可能危害国家利益的包括财政政策、金融信贷活动以及用于维护国防、国家安全和治安的财政支出情况等经济信息包含在内，以具体形象的样态将国家经济秘密明确的归属于法律控制范畴，避免因法律缺乏明确性与可操作性而带来的掣肘。
(二)制定《商业秘密保护法》，完善商业秘密的保护
针对我国商业秘密泄密案件的日益频繁，商业秘密保护立法分散的问题，尽快制定专门的《商业秘密保护法》是维护经济信息安全的重要措施。在制定《商业秘密保护法》时，可以借鉴国外以及国际组织的先进经验，但应当注意以下问题：(1)在对商业秘密进行界定时，应采用列举式与概括式相结合的体例明确商业秘密的内涵。同时在商业秘密的构成要件中剔除“实用性”的要求，使那些不为本行业或领域人员普遍知悉的，能为权利人带来经济利益或竞争优势，具有“经济价值”以及“潜在价值”并经权利人采取合理保护措施的信息也能纳入法律的保护范围；(2)要明确规定各种法律责任，包括民事责任、行政责任以及刑事责任。由于商业秘密侵权行为是一种暴利行为，但给权利人造成的损失却往往十分巨大，如不以刑事责任方式提高违法成本便难以遏制其发生；(3)在制定《商业秘密保护法》时应当引入不可避免泄露规则(InevitableDisclosureDoctrine)。该原则主要是针对商业秘密潜在的侵占行为采取的保护方式，旨在阻止离职员工在新的工作岗位上自觉或不自觉地泄露前雇主商业秘密的问题。引入不可避免泄露原则更能有效地保护商业秘密，避免因人才流动为保密性带来的威胁。
(三)制定统一《反商业贿赂法》，确保经济信息的正向流动
随着信息在经济活动中作用加重，商业贿赂的目的不再局限于获取商品销售或购买的机会，通过商业贿赂获取竞争对手经济秘密已成为信息时代非法控制经济信息流动的重要手段之一。制定统一的《反商业贿赂法》将分散在各法律法规中的有关条例加以整合，实现对国内外商业贿赂行为的有效监管，是堵截经济信息非法流动、维护我国经济信息安全与公平竞争市场环境的必然选择。因此，在制定统一《反商业贿赂法》时首先应当对商业贿赂的概念进行准确的界定，借鉴《布莱克法律词典》的解释将商业贿赂定义为经营者通过不正当给予相关单位、个人或密切相关者好处的方式，获取优于其竞争对手的竞争优势；④其次，对于商业贿赂的管辖范围应当适当扩大。根据《经合组织公约》与《联合国反腐败公约》的规定，缔约国应确立跨国商业贿赂法律的域外管辖权制度，对故意实施的跨国商业行为予以制裁。因此，制定《反商业贿赂法》要求将我国经营者或该商业活动的密切相关者无论是向国内外公职人员、企业、相关个人以及国际组织官员行贿行为或是收受来自国内外企业、个人的财务或其他利益优惠的受贿行为都应列入该法管辖范围内，并针对商业贿赂这种贪利性违法行为，完善民事、行政以及刑事法律责任；此外，在立法时还应借鉴国外的成功经验加大制裁力度，取消现行法律中固定处罚数额的不合理规定，采用相对确定的倍罚制，并制定对不构成犯罪的商业贿赂行为的资质罚(指取消从事某种职业或业务的资格的处罚)，使得经营者在被处罚后不再具备从事相同职业或业务再次进行商业贿赂的条件，从而有效遏止商业贿赂行为的蔓延，以确保经济信息的合理正向流动。
(四)完善《刑法》，维护经济领域信息安全
“只有使犯罪和刑罚衔接紧凑，才能指望相联的刑罚要领使那些粗俗的头脑从诱惑他们的、有利可图的犯罪图景中立即猛醒过来”。故此，完善《刑法》并加重处罚力度，是维护经济领域信息安全的必要保证。
首先，计算机与网络的广泛使用使得计算机信息系统安全成为影响经济信息安全的关键因素。面对《刑法》对经济领域计算机信息系统保护的缺位，增加维护经济信息安全的专门条款是当务之急。因此，应首先对《刑法》第285条进行调整，规定凡侵入具有重大价值(包括经济价值、科技价值与政治价值等)或者涉及社会公共利益的计算机信息系统的行为都构成犯罪；同时，针对目前窃取计算机信息系统中不属于商业秘密或国家秘密但却具有知识性或重大价值，特别是经济价值的数据、资料现象日益严重，《刑法》中还应增设窃取计算机信息资源罪，对以非法侵入计算机信息系统为手段，以窃取他人信息资源为目的且造成严重后果的行为予以规制；此外，在《刑法》还中还应增设财产刑、资格刑，适当提高法定刑幅度，从多维角度预防和制裁危害计算机信息系统犯罪。
其次，在对商业秘密的保护上，应完善相关刑事责任与刑事诉讼中的保密规定。现行《刑法》规定了侵犯商业秘密的行为，但在刑罚的表述中并没有详细的划分。纵观国外立法，大多根据侵权行为社会危害程度的不同规定了多种量刑幅度。因此，对侵犯商业秘密罪的设置应根据危害程度的不同规定不同的刑罚，对侵犯商业秘密情节恶劣，后果严重者从重处罚，确保罪责刑相适应的同时保证法律的威慑力。此外，针对目前在审理涉及商业秘密案件除规定不公开审理外，没有对参与商业秘密的诉讼人员规定保密义务的问题，在刑事诉讼中还应设置相关保密义务条款，在司法解释中也应规定配套的保密措施，以确保权利人在伸张权利时其商业秘密的保密性不会因法律的漏洞而丧失。
最后，借鉴美国《经济间谍法》，在《刑法》中增设经济间谍罪。与侵犯商业秘密罪不同，经济间谍罪重在预防和制裁图利于外国政府、外国机构或外国政府的人且使之获得不局限于经济之上的利益的行为。因此，增设经济间谍罪，应明确经济间谍罪的界定、构成要件、刑罚以及及于域外的法律效力等，从立法的价值取向上注重从国家安全角度保护商业秘密，特别是经济信息类秘密，对经济间谍行为予以严惩，维护国家经济信息安全。
总之，以法律预防和制裁各种侵犯经济信息安全行为，是维护国家经济安全，促进生产力健康发展的有效保证。针对信息安全的基本特性，建立健全经济信息安全法律保护体系，实乃理论界与实务界当务之急。
论文摘要：利用网络信息技术进行科研管理，加强了信息共享与协同工作，提高了科研工作的效率，但与此同时也存在一些安全隐患。介绍了科研网络信息安全的概念和意义，分析了其存在的安全隐患的具体类型及原因，为保证科研网络信息的安全，提出了加强网络风险防范、防止科研信息被泄露、修改或非法窃取的相应控制措施。
论文关键词：科研网络信息；安全隐患；控制策略
1引言
随着计算机网络技术的普及，利用网络信息技术来改造传统科研管理模式已经成为一种历史潮流。由于计算机网络的互联性和开放性，在提供信息和检索信息的同时，也面临着一些安全隐患，科研信息一旦泄露，会给科研项目的实施带来致命的打击。因此，加强网络安全、防止信息泄露、修改和非法窃取已成为科研单位普及与应用网络迫切需要解决的问题，及时掌握和控制网络信息安全隐患是十分必要的。
2科研网络信息安全的概念和意义
2．1概念
科研网络信息安全主要包括以下两个方面的内容：①科研数据的完整性，即科研数据不发生损坏或丢失，具有完全的可靠性和准确性。②信息系统的安全性，防止故意冒充、窃取和损坏数据。
2．2意义
根据信息安全自身的特点以及科研的实际情况。
网络信息安全在科研单位的实施应该以信息安全技术做支撑，通过流程、审查和教育等的全面协同机制，形成一个适合科研管理的完整的信息安全体系，并依靠其自身的持续改进能力，始终同步支持科研项目发展对网络信息安全的要求。
3科研网络信息存在的安全隐患
3．1网络管理方面的问题
科研网络的信息化，由于覆盖面大、使用人员多以及涉密资料、信息系统管理存在漏洞．有关人员缺乏保密意识，往往不能保证工作文稿、科研资料、学术论文等在网络上安全、正确、实时的传输和管理。
3．2外部威胁
网络具有方便、快捷的特点。但也面临着遭遇各种攻击的风险。各种病毒通过网络传播，致使网络性能下降，同时黑客也经常利用网络攻击服务器，窃取、破坏一些重要的信息，给网络系统带来严重的损失。
4科研网络信息安全的控制策略
4．1建立完善的网络信息管理体系
4．1．1制定并网络信息安全管理制度这是科研网络信息安全工作的指导准则，信息安全体系的建立也要以此为基础。
4．1．2建立网络信息安全管理组织这为网络信息安全体系的建立提供组织保障，也是网络信息安全实施的一个重要环节，没有一个强有力的管理体系，就不能保证信息安全按计划推进。
4．1．3加强网络信息保密审查工作坚持“谁公开、谁负责、谁审查”的原则，落实保密审查责任制，规范各科室、部门分工负责的保密审查制度，不断完善和细化保密审查的工作制度、工作程序、工作规范和工作要求。
4．2开展充分的信息安全教育
工作人员信息安全意识的高低，是一个科研单位信息安全体系是否能够最终成功实施的决定性因素，所以需要对员工进行充分的教育，提高其信息安全意识，保证信息安全实施的成效。
科研单位可以采取多种形式对工作人员开展信息安全教育，充分利用科研单位内部的舆论宣传手段，如观看警示教育片、保密知识培训、签订保密承诺书、保密专项检查等，并将工作人员的信息安全教育纳入绩效考核体系。
4．3选择合适的网络信息安全管理技术
网络信息安全管理技术作为信息安全体系的基础，在信息安全管理中起到基石的作用。
4．3．1设置密码保护设置密码的作用就是安全保护，主要是为了保证信息免遭窃取、泄露、破坏和修改等，常采用数据备份、访问控制、存取控制、用户识别、数据加密等安全措施。
4．3．2设置防火墙防火墙在某种意义上可以说是一种访问控制产品，它能强化安全策略，限制暴露用户点，它在内部网络与不安全的外部网络之间设置屏障，防止网络上的病毒、资源盗用等传播到网络内部，阻止外界对内部资源的非法访问，防止内部对外部的不安全访问。
4．3．3病毒防范和堵住操作系统本身的安全漏洞为了防止感染和传播病毒，计算机信息系统必须使用有安全专用产品销售许可证的计算机病毒防治产品。同时任何操作系统也都存在着安全漏洞问题，只要计算机接人网络，它就有可能受到被攻击的威胁，还必须完成一个给系统“打补丁”的工作，修补程序中的漏洞，以提高系统的性能。防止病毒的攻击。
4．3．4使用入侵检测技术人侵检测系统能够主动检查网络的易受攻击点和安全漏洞。并且通常能够先于人工探测到危险行为，是一种积极的动态安全检测防护技术，对防范网络恶意攻击及误操作提供了主动的实时保护。
4．4加强涉密网络和移动存储介质的管理
科研管理系统安全是由多个层面组成的，在实际的操作过程中．也要严格遵守操作规程。严禁在外网上处理、存储、传输涉及科研秘密信息和敏感信息，严禁涉密移动存储介质在内外网上交叉使用，严格上网信息保密审查审批制度，严格执行涉密计算机定点维修制度。
5结束语
为了确保科研网络的信息安全，只有通过有效的管理和技术措施，使信息资源免遭威胁，或者将威胁带来的损失降到最低限度，保证信息资源的保密性、真实性、完整性和可用性．才能提高信息安全的效果，最终有效地进行科研管理、降低信息泄露风险、确保各项科研工作的顺利正常运行。
