隨著網絡技術在各行各業的廣泛應用和各行各業對信息依賴程度的增強，建立單位局域網、地區城域網以及跨地區的廣域網已是工作所需，但在帶來方便、快捷的同時，也給信息保密工作帶來了新的挑戰。網絡信息安全保密問題日益凸顯，信息安全保密要求進一步提高。
一、加強信息安全保密的必要性
隨著我國政治地位的提高、國防力量的加強、信息技術的迅速發展和國際國內形勢的復雜多變，網絡信息的安全保密工作日益緊迫，已經成為影響國家安全的重要因素。十一屆全國人民代表大會確定并審議通過的“中華人民共和國國民經濟和社會發展第十二個五年規劃綱要”，描述了今后五年國民經濟發展的宏偉藍圖，對信息安全保密作出了戰略規劃，明確要求“推進信息安全保密基礎設施建設，構建信息安全保密防護體系”。我們一定要充分認識當前信息安全保密工作面臨的嚴峻形勢，切實把思想和行動統一到中央決策部署上來，進一步增強政治意識、憂患意識和責任意識，采取有效措施，確保信息安全。
信息安全保密面臨的威脅是多方面的，主要來源于自然災害、意外事故、計算機犯罪、人為錯誤、“黑客”行為、內部泄密、外部泄密、信息丟失，電子諜報、信息竊取，等等。加強信息安全保密管理，提高技術防護能力，全面筑牢安全保密防線是落實胡錦濤總書記和中央領導同志關于加強保密工作重要指示的有力舉措。
二、信息安全的基本屬性
信息安全的基本屬性涵蓋兩個層次：第一，從信息層次來看，信息安全要保證信息的完整性(Integrity)和保密性(Confidentiality)。完整性即保證信息來源、去向內容真實無誤；保密性即保證信息不會被非法泄露與擴散。第二，從網絡層次來看，要達到可用性(Availability)、可控性(Con—trollability)和不可否認性(Non—repudiation)。可用性即保證網絡和信息系統隨時可用，運行過程中不出現故障，并且在遇到意外情況時盡量減少損失，并盡早恢復正常；可控性即對網絡信息的傳播具有控制能力；不可否認性是在網絡信息系統的信息交互過程中，使得所有參與者都不能否認和抵賴曾經完成的操作。
不同單位和不同的應用服務系統，對信息安全的屬性要求是不同的，如軍工科研生產單位對保密性要求很高，金融部門對可用性要求很高，因此對于信息系統安全屬性的保障，要根據實際需要區別對待。
三、建立必要的技術防護體系
運用信息技術和信息資源，實現全方位、多層次的信息服務和信息資源共享，必須有效解決技術防護問題，確保信息安全。確保信息安全，就必須解決好物理傷害、安全漏洞與安全策略問題，網絡攻擊與攻擊檢測問題，病毒防治問題，數據備份號恢復問題，災難恢復問題，實體保護問題，等等。
加強信息體系防護，建立信息安全保密的技術防護體系，應著眼于物理安全、運行安全、信息安全等方面，借助電磁防護技術、信息終端防護技術、通信安全技術、網絡安全技術和其他安全技術共同構成技術防護體系。采取這些技術措施的目的，是為了從信息系統和信息網絡的不同層面保護信息的機密性、完整性、可用性、可控性和不可否認性，進而保障信息及信息系統的安全，提高信息系統和信息網絡的抗攻擊能力和安全可靠性。
1．物理安全
物理安全主要是指一個單位的物理設施、設備和物理區域的安全，防止其受到非授權的訪問以及因誤操作、過失操作造成的危害。物理安全包括環境安全、設備安全、介質安全、電磁輻射等。
(1)環境安全
地震、雷電、火災、水災等不可抗拒的環境事故的影響，應按照GB50348中3．8和3．9條規定執行。系統環境要求配備專用的機房，保持通風良好、潔凈、恒溫、恒濕，有良好的采光照明和噪聲控制，機房還要有防雷系統，具有防潮、防震、防火、防盜、防塵的安全設施。
(2)設施設備安全
網絡中的設備，特別是安全類產品在使用過程中，必須能夠從生產廠家或供貨單位得到迅速的技術支持服務，設施設備生產廠家的資質應符合相關要求。對一些關鍵設備和系統，應設置備份系統，配備專用電源、過電保護、備用UPS電源和良好的接地系統，確保設備正常運行。同時加強防盜和防毀管理，保護有價值的程序和數據，可通過在關鍵部位和區域配備入侵報警系統、入口控制系統、視頻安防監控系統、聲音復核系統、電子巡查系統，以及在計算機等網絡設備中設置鎖定裝置等來實現。
(3)介質安全
文件、磁盤、光盤、u盤等介質，須根據需要配備必要的密碼文件柜、密 碼保險柜等，介質報廢，應到有資質的單位進行處理。介質的管理，可結合單位的實際情況，實行集中管理和專人管理，建立管理臺賬，同時對介質進行編號或標識，確保介質身份的唯一性，必要時還需及時清理介質上儲存的信息和對儲存的信息進行備份，以保護信息的安全和保證介質不被非法使用。
(4)電磁輻射
迅馳技術和無線聯網功能模塊，使電磁輻射成為泄密的一個重要環節，具有保密性要求的計算機、交換機等網絡設備必須拆除具有無線功能的模塊，并根據需要建立電磁屏蔽室、電磁屏蔽門、電磁屏蔽柜、電波暗室等；同時為降低信號傳輸過程中的泄密隱患，可設置視頻信號干擾器、電源濾波插座和線路干擾器等。手機具有互聯網功能，設置手機信號干擾器，避免傳遞涉密信息。
2．運行安全
運行安全是為保證系統功能的實現和系統中硬件、軟件及其中的數據不受偶然或惡意原因而遭受更改、破壞、泄露，系統連續可靠正常運行，網絡不中斷。
(1)配備必要的技術人員和管理人員
網絡信息系統安全防護的組織建設是安全管理的根本保證，在網絡運行中應根據工作需要成立專門的安全防護機構和安全管理機構，做到領導、技術人員和管理人員三結合。技術人員應采用必要的技術手段，對各種安全設施設備定期進行檢查，保證其功能的正常發揮，并對當前易遭受的攻擊進行分析和預測，采取適當措施進行防護。管理人員應定期組織對本單位計算機信息管理制度執行情況的監督檢查，發現問題及時解決，并組織建立健全各項管理制度。
(2)系統備份和應急響應
系統備份包括關鍵設備備份、設備主要配件備份、電源備份、軟件備份及數據備份(其他備份在前面物理安全的時候均有描述，這里的備份主要指軟件和數據備份)。為了防止存儲設備的異常損壞，可采用由熱插拔SCSI硬盤所組成的磁盤容錯陣列，以RAID5的方式進行系統的實時熱備份，同時建立強大的數據庫觸發器和恢復重要數據的操作以及更新任務，確保在任何情況下使重要軟件和數據均能最大限度地得到恢復；還可以采取數據容災即通過IP容災技術來保證軟件和重要數據的安全，數據容災使用兩個存儲器，在兩者之間建立復制關系，一個放在本地，另一個放在異地，本地存儲器供本地備份系統使用，異地容災備份存儲器實時復制本地備份存儲器的關鍵數據。二者通過IP相連，構成完整的數據容災系統，也能提供數據庫容災功能。一旦事故發生，應立即啟動備份和應急預案，完成應急響應，使計算機和信息系統盡快恢復至正常工作狀態。
(3)安全審計和風險分析
安全審計是網絡信息系統中用來監視、記錄和控制網絡用戶行為的一種手段，它的主要作用是檢測和阻止非法用戶對計算機系統的入侵并顯示合法用戶的誤操作。網絡安全審計主要包括對終端計算機操作進行記錄、對網外設施設備連接進行記錄、對網絡流量和網絡設備的工作狀態進行記錄以及對重要數據庫、重要應用系統、重要網絡區域客戶機和重要服務器的主機操作訪問和操作進行記錄。通過定期對審計日志文件進行分析，及時發現操作系統、數據庫、Web、郵件系統、網絡設備和防火墻等項目存在的風險，采取措施排除隱患，阻止非法訪問，并為事后分析和追查責任提供依據。可采用非法外聯監控軟件、互聯網行為安全審計軟件對違規連接互聯網的事件、連接互聯網的設備、人員的操作行為和操作內容進行審計，采用終端安全設計系統，對硬件設備、文件輸出、可移動存儲進行審計，形成審計日志。
3．信息安全
信息安全是針對信息系統的脆弱性、可擴散性和智能性、隱蔽性而采用的補丁管理、病毒防范、訪問控制、身份鑒別以及防火墻技術，確保信息來源真實可靠、信息內容完整可用，并確保用戶對其行為負責。
(1)補丁管理和漏洞掃描
漏洞掃描是自動檢測遠端或本地主機安全的技術，它查詢TCP／IP各種服務的端口，并記錄目標主機的響應，收集關于某些特定項目的有用信息。這項技術的具體實現就是安全掃描程序。掃描程序可以在很短的時間內查出系統、數據庫其他網絡設備現存的安全脆弱點，以查找安全隱患和可能被攻擊者利用的漏洞。掃描程序開發者利用可得到的攻擊方法，并把它們集成到整個掃描中，掃描后以統計的格式輸出，便于參考和分析，排除隱患，防止攻擊者入侵。
(2)訪問控制和防火墻
對信息的非授權訪問、非法使用無權使用的網管軟件或修改重要的網絡數據是這一安全隱患的具體表現，是導致信息泄露的主要手段。通過控制主體對網絡的訪問，在識別身份的基礎上，根據身份控制對資源的訪問，對內外網通信實施訪問控制，阻止網絡黑客或間諜通過網絡技術避開系統訪問控制的目的。
防火墻技術是指網絡之間通過預定義的安全策略，采用包過濾、應用層網關及虛擬網技術防止諸如協議實現漏洞、源路由、地址仿冒等多種攻擊手段；通過安全過濾規則嚴格控制外網用戶非法訪問，并只打開必需的服務，防范外部的拓絕服務攻擊；同時，防火墻可以支持安全規則的變化，控制內網用戶訪問外網時間，并通過設置IP地址與MAC地址綁定，防止目的IP地址的欺騙。更重要的是，防火墻不但將大量的惡意攻擊直接進行阻擋，同時也屏蔽來自網絡內部的不良行為，讓其不能把某些保密的信息散播到外部的公共網絡上去。
(3)身份鑒別
身份鑒別技術主要包括以下幾種方式：個人識別碼與密碼身份鑒別，感應式的IC卡證件身份鑒別、USB key+密碼身份鑒別、生理特征識別身份鑒別。各種鑒別方式有它自己優越性和局限性，成本也各有不同，各單位應根據實際情況選擇適合自己的身份鑒別方式。
(4)入侵檢測和網絡誘騙
入侵檢測規則包括在庫規則，對連續行為進行實時的檢測和報警，詳細記錄入侵行為并進行行為日志數據庫備份，為事后的追查提供必要的線索和證據。入侵檢測的軟件和硬件共同組成了入侵檢測系統。強大的、完整的入侵檢測系統可以彌補網絡防火墻相對靜態防御的不足，可以對內部攻擊、外部攻擊和誤操作進行實時防護，在計算機網絡和系統受到危害之前進行攔截和響應，為系統及時消除威脅。網絡誘騙系統是通過構建與欺騙環境真實的網絡、主機，或用軟件模擬的網絡和主機，誘騙入侵者對其進行攻擊或在檢測出對實際系統的攻擊行為后，將攻擊定向到該嚴格控制的環境中，從而保護實際運行的系統；同時收集入侵信息，借以觀察入侵者的行為，記錄其活動，以便分析入侵者的水平、目的、所用工具、入侵手段等，并對入侵者的破壞行為保留證據。
(5)可信介質管理
通過可信介質管理系統，對各種介質和計算機系統采用不同的策略進行綁定，以實現介質的有效控制和防止非法使用。
(6)病毒防護
配置瑞星、金山、諾頓等防病毒軟件，定期更新病毒庫，對網絡終端進行防護。通過開機查殺、定時查殺和實時監控對文件、網頁、郵件進行病毒查殺；通過啟用主動防御，完成系統加固、應用程序控制、木馬行為防御、木馬行為攔截等。配備中間機，外來盤先經過中間機進行病毒查殺再進行數據交換。
(7)密碼技術
密碼技術按作用不同可分為數據存儲、數據傳輸、數據完整性的鑒別以及密匙管理技術4種。數據存儲加密技術是以防止存儲環節上的數據失密為目的，可分為密文存儲和存取控制兩種；數據傳輸加密技術的目的是對傳輸中的數據流加密，常用的有線路加密和端口加密兩種方法；數據完整性鑒別技術的目的是對介入信息的傳送、存取、處理人的身份和相關數據內容進行驗證，達到保密的要求，系統通過對比驗證對象輸入的特征值是否符合預先設定的參數，實現對數據的安全保護。數據加密在許多場合集中表現為密匙的應用，密匙管理技術事實上是為了數據使用方便。密匙的管理技術包括密匙的產生、分配保存、更換與銷毀等各環節上的保密措施。
四、信息安全保密的管理保障體系
信息安全“三分靠技術，七分靠管理”。信息安全保密的管理保障體系，主要是從技術管理、制度管理、資產管理和風險管理等方面，加強安全保密管理的力度，使管理成為信息安全保密工作的重中之重。技術管理主要包括對泄密隱患的技術檢查，對安全產品、系統的技術測評和對各種失泄密事件的技術取證；制度管理主要是指各種信息安全保密制度的制定、審查、監督執行與落實；資產管理主要包括人員的管理，重要信息資產的備份恢復管理，涉密場所、計算機和網絡的管理，移動通信設備和存儲設備的管理等；風險管理主要是指保密安全風險的評估與控制。
五、結語
技術與管理相結合，是確保信息安全保密應該把握的核心原則。為了增強ERP信息系統和信息網絡的綜合安全保密能力，重點應該在健全上述保密體系，尤其是組織體系、管理體系、服務體系和制度(技術標準及規范)體系的基礎上，規范數據備份、密鑰管理、訪問授權、風險控制、身份認汪、應急響應、系統及應用安全等管理方案，努力提高系統漏洞掃描、信息內容監控、安全風險評估、入侵事件檢測、病毒預防治理、系統安全審計、網絡邊界防護等方面的技術水平。
轉載請注明出處：拓步ERP資訊網http://www.guhuozai8.cn/
本文標題：筑牢安全防線 確保信息保密
相關文章
