企业网络安全的现状分析及对策.doc

企业网络安全的现状分析及对策 　　0 引言 　　互联网络深入到生产生活的各方面，改变了传统的生产模式，对促进生产力的提高发挥着重要的作用；中石化也正是看到了这一点，在近几年加快了信息化建设的步伐。网络也在不断调整和优化，几乎每个加油站网点都被纳入公司局域网之内；而且陆续投入使用了ERP系统、V20系统、视频监控系统、加油卡系统等。这些系统的推广和使用对提高中国石化的生产、经营和管理水平发挥了很大的作用。随着中石化信息化不断深入，网络安全已成为维持日常经营活动正常开展的前提。中石化网络信息安全管理架构的形成，既是企业业务需求形成的结果，也是网络安全领域向全方位、纵深化、专业化方向发展的结果，无论从经济效益还是社会影响考虑，我们都应该重视我们企业的网络安全管理及系统建设情况。 　　1 网络安全的含义及特征 　　1.1 网络安全定义 　　网络安全指的是：为保证网络正常平稳的运行，而采取使其免受各种侵害的保护措施。 　　1.2 网络安全特征 　　1）完整性：指信息不能在未得到授权的情况下擅自修改，不能被破坏、信息确保完整和及时传送，确保承载企业信息的网络系统完整性和有效性； 　　2）机密性：指网络能够阻止未经授权的用户读取保密信息，能够保证为授权使用者正常的使用，并能防止非授权用户的使用，而且有防范黑客，病毒等； 　　3）可用性：要保证系统时刻能正常运行，确保各种业务的顺利开展。 　　2 企业网络安全的需求 　　企业对信息网络安全方面的需求主要包含： 　　1）实现网络安全首先要保证机房能为各种核心设备提供符合标准的运行环境，要有门禁系统、防火、防雷、防静电、防潮、防鼠防虫等设备，有冗余供电线路和后备电源甚至发电系统，有空调设备保证机房恒温，每天定时巡检，及时发现问题及时解决。 　　宿迁分公司机房于2009年底进行改造，改造后较改造前有较大改观；但还存在一些问题，比如UPS电池组使用超过期限，防潮防鼠防虫不到位，没有冗余供电线路和发电设备等等；但这些问题相对于泗阳、泗洪、沭阳、黑鱼汪油库、南关荡油库来讲就不是问题了，因为这三县两库根本就没有机房，网络设备随意堆放，没有任何防护措施，人员可以随意出入，网络布线杂乱无章。不过省信息处已经意识到此问题，准备在两个油库建立标准化机房，希望尽快改造，早日消除风险。 　　2）要实现网络安全首先要实现承载公司各种业务系统的操作系统的安全，这有许多工作要做，比如：及时升级系统补丁堵住漏洞，关闭不必要的端口，配置系统安全策略，有选择性限制用户对系统的使用权限等；这些一系列复杂的操作，要按期望的结果执行，则必须制定一定的规范，将所有需要执行的步骤程序化，这样可以规范一线信息人员的操作行为，减少误操作的可能性，为网络安全奠定坚实的基础。 　　3）公司关键业务数据必须按照内控要求及时备份，并定期对备份介质进行可读性检查；公司移动办公用户接入内网办公时，数据需要加密传输；保证业务系统正常运行，即使在业务中断情况下也能迅速恢复。 　　省公司在保证数据安全性方面并没有统一的解决方案，这对一个企业来讲是非常危险的，数据的价值对企业的重要性是不言而喻的，因此我们不仅要制定有效的数据丢失防范策略，而且还要有相应的设备的支持。 　　4）公司关键网络设备应该有冗余线路和冗余设备，以便在网络中断或设备停止工作时能自动切换，保证系统平稳运行；但我们还是冷备，断网时需要手动切换，存在单点故障，需要改进。 　　5）加强对系统操作人员的培训，通过培训加深相关人员对业务系统的理解和认识，从而可以减少误操作可能性，最大程度减少内部原因引起的各种不稳定因素。对安全性要求较高的场合，采用数字证书等认证方式，代替传统的不安全的用户名口令授权模式。对业务系统和内部网络进行严格监控，防止异常情况的发生，并在发现异常时能及时采取相应措施。 　　3 企业网络安全现状及主要威胁 　　3.1 来自企业内部的威胁 　　在所有对网络安全造成威胁的事件中，来自企业内部的占绝大多数。据统计，来自企业外部的威胁只有不到1/4，而3/4以上的网络安全威胁事件来自企业内部。且这些来自于企业内部的网络安全事件中，源自企业内部制度不健全、安全意识较差等自身管理问题占3/5；企业内部未经授权的访问所造成的威胁占1/5；剩下的1/5则是由于设备老化或者相关人员操作失误而导致。 　　由此可知，源于企业内部的安全威胁所占比重最大，所以对企业内部采取必要的安全措施是非常必要的。内部员工了解公司网络结构、数据存放方式和地点、甚至掌握业务系统的密码。因此从内部攻击是最难预测和防范的。另一方面商业竞争可导致更多的恶意攻击事件的发生。特别是个别员工安全意识不高，有意或无意泄露企业商业机密、甚至为了谋取个人利益将其出售给竞争对手，最终给企业造成重大损