時間：2023-05-17 16:20:56
引言：易發表網憑借豐富的文秘實踐，為您精心挑選了九篇網絡安全總體規劃范例。如需獲取更多原創內容，可隨時聯系我們的客服老師。
去年5月9日，國務院就信息化和信息安全工作召開常務會議，會議審議通過了《關于大力推進信息化發展和切實保障信息安全的若干意見》 （國發23號）。這意味著在信息安全的頂層設計中更強調對關鍵信息基礎設施、重要信息系統、政府信息系統以及對個人信息、企業信息，乃至信息資源的保護。與《國家信息化領導小組關于加強信息處理安全保障工作的意見》（國發27號）文件相比，23號文件注入了新的政策設置，強調加強信息安全工作的頂層設計，并克服了這種誰主管、誰負責的局限性。
隨著今年國家級信息安全政策又密集出臺——8月，《國務院關于促進信息消費擴大內需的若干意見》，隨后，國家發改委在網站又公布了《國家發展改革委辦公廳關于組織實施2013年國家信息安全專項有關事項的》通知，明確行業重點，信息安全頂層設計再度成為熱議話題，
那么，久為業界討論的信息安全頂層設計究竟究竟該如何成型？為此，本刊采訪了部分業內專家，以饗讀者。
——國防大學戰略教研部 許蔓舒
隨著對網絡依賴度越來越高，網絡空間安全問題超越了專業技術層面，構成直接影響國家安全的綜合挑戰。因此，我國網絡安全防護也迫切需要走出技術維護和配合的低層次運行水平，上升到統一籌劃、綜合防護的戰略高度。
首先，應加快制定和頒布國家的網絡與信息安全戰略。趨勢表明，爭奪未來的焦點是戰略規劃之爭。誰能先知先覺、搶得先機，誰就有可能掌握戰略主動權。目前世界上已有40多個國家公開頒布國家級網絡空間安全戰略，并且隨著形勢的變化不斷出臺和調整相關政策。應加快制定相關的國家安全戰略及其配套政策。
同時，把戰略管理的著力點放在“跨域融合”上。立足于國家安全和現代化建設的全局，平衡好利益沖突，融合好利益訴求，研究解決好信息化發展和管理中那些跨部門、跨領域、超越局部利益和短期利益的瓶頸問題。
其次，在提高自身信息系統防御水平方面，多采取四條措施：成立國家級的協調管理機構；加大投入；加強立法，授權和擴大執法部門的監管；不斷更新技術手段。
——國家信息化專家咨詢委員會委員 曲成義
【關鍵詞】信息安全；數據庫；網絡應用；安全體系
1信息安全現狀
1.1目前醫院信息安全存在的問題根據衛生部關于印發《衛生行業信息安全等級保護工作的指導意見》的通知，三級甲等醫院的核心業務信息系統不得低于國家安全信息保護等級三級。據此我們對信息系統的各個方面進行了安全評估，發現主要有如下的問題：
（1）物理安全：機房管理混亂問題；機房場地效用不明確；機房人員訪問控制問題；
（2）網絡設備安全：訪問控制問題；網絡設備安全漏洞；設備配置安全；
（3）系統安全：補丁問題；運行服務問題；安全策略問題；訪問控制問題；默認共享問題；防病毒情況；
（4）數據安全：數據庫補丁問題；SQL數據庫默認賬號問題；SQL數據庫弱口令問題；SQL數據庫默認配置問題；（5）網絡區域安全：醫院內網安全措施完善；醫院內網的訪問控制問題；醫院內外網互訪控制問題；
（6）安全管理：沒有建立安全管理組織；沒有制定總體的安全策略；沒有落實各個部門信息安全的責任人；缺少安全管理文檔。
1.2當前醫院信息安全存在的問題，主要表現在如下的幾個方面
（1）機房所處環境不合格，場地效用不明確，人員訪問控制不足，管理混亂。
（2）在辦公外網中，醫院建立了基本的安全體系，但是還需要進一步的完善，例如辦公外網總出口有單點故障的隱患、門戶網站有被撰改的隱患。
（3）在醫院內網中，內網與辦公外網之間沒有做訪問控制，存在蠕蟲病毒相互擴散的可能。
（4）沒有成立安全應急小組，雖然有相應的應急事件預案，但缺少安全預案的應急演練；缺少安全事件應急處理流程與規范，也沒有對安全事件的處理過程做記錄歸檔。
（5）沒有建立數據備份與恢復制度；缺少對備份的數據做恢復演練，保證備份數據的有效性和可用性，在出現數據故障的時候能夠及時的進行恢復操作。
2醫院信息安全總體規劃
2.1設計目標、依據及原則
2.1.1設計目標
信息系統是醫院日常工作的重要應用，存儲著重要的數據資源，是醫院正常運行必不可少的組成部分，所以必須從硬件設施、軟件系統、安全管理等方面，加強安全保障體系的建設，為醫院工作應用提供安全可靠的運行環境。
2.1.2設計依據
（1）《信息安全等級保護管理辦法》；
（2）《信息技術安全技術信息技術安全性評估準則》；
（3）《衛生部衛生行業信息安全等級保護工作的指導意見》；
（4）《電子計算機場地通用規范》。
2.1.3設計原則
醫院信息安全系統在整體設計過程中應遵循如下的原則：分級保護原則：以應用為主導，科學劃分網絡安全防護與業務安全保護的安全等級，并依據安全等級進行安全建設和管理，保證服務的有效性和快捷性。最小特權原則：整個系統中的任何主體和客體不應具有超出執行任務所需權力以外的權力。標準化與一致性原則：醫院信息系統是一個龐大的系統工程，其安全保障體系的設計必須遵循一系列的標準，這樣才能確保各個分系統的一致性，使整個醫院信息系統安全地互聯互通、信息共享。多重保護原則：任何安全措施都不是絕對安全的，都可能被攻破。但是建立一個多重保護系統，各層保護相互補充，當一層被攻破時，其他層仍可保護系統的安全。易操作性原則：安全措施需要人去完成，如果措施過于復雜，對人的要求過高，本身就降低了安全性；其次，措施的采用不能影響系統的正常運行。適應性及靈活性原則：安全措施必須能隨著系統性能及安全需求的變化而變化，要容易適應、容易修改和升級。
2.2總體信息安全規劃方案
2.2.1基礎保障體系
建設信息安全基礎保障體系，是一項復雜的、綜合的系統工程，是堅持積極防御、綜合防范方針的具體體現。目前醫院基礎保障體系已經初具規模，但是還存在個別問題，需要進一步的完善。
2.2.2監控審計體系
監控審計體系設計的實現，能完成對醫院內網所有網上行為的監控。通過此體系監控到的數據能對醫院內部網絡的使用率、數據流量、應用提供比例、安全事件記錄、網絡設備的動作情況、網絡內人員的網上行為記錄、網絡整體風險情況等有較全面的了解。
2.2.3應急響應體系
應急響應體系的主要功能是采取足夠的主動措施解決各類安全事件。安全事件可以被許多不同的事件觸發并破壞單個系統或整個網絡的可用性，完整性、數據的保密性。引發或可能引發本地小范圍破壞的安全問題應該就地解決，以避免加重整個醫院信息網絡的安全風險。
2.2.4災難備份與恢復體系
為了保證醫院信息系統的正常運行，抵抗包括地震、火災、水災等自然災難，以及戰爭、網絡攻擊、設備系統故障和人為破壞等無法預料的突發事件造成的損害，應該建立一個災難備份與恢復體系。在這個體系里主要包括下面三個部分：政務內網線路的冗余備份、主機服務器的系統備份與恢復、數據庫系統的備份與恢復。
3結論
通過對醫院的信息安全風險評估，我們發現了大量關于物理安全、操作系統、數據庫系統、網絡設備、應用系統等等方面的漏洞。為了達到對安全風險的長期有效的管理，我們進行了具有體系性和原則性并能夠符合醫院實際需求的規劃。
參考文獻
[1]王立，史明磊.醫院信息系統的建設與維護[J].醫學信息，2007，20（3）.
[2]王洪萍，程濤.醫院信息系統安全技術分析[J].醫院管理雜志，2011，18（11）.
[3]尚邦治.醫院信息系統安全問題[J].醫療設備信息，2004，19（9）.
課題研究主要內容包括智慧信息化整體架構特征、安全框架，安全保障管理要求、技術要求及保障機制等。
概述
智慧信息化整體架構與主要特征
智慧信息化整體架構模型主要包括物聯感知層，網絡通信層，計算與存儲層，數據及服務支撐層，智慧應用層，安全保障體系，運維管理體系，建設質量管理體系等。具有開放性、移動化、集中化、協同化、高滲透等主要特征。
智慧信息系統安全風險分析
根據智慧信息化特征，結合信息安全體系層次模式，逐層分析智慧信息化帶來新的安全風險。
物理屏障層，主要包括場地門禁、設備監控、警衛等。移動性特點帶來物理介質的安全新風險。移動設備和智能終端自身防御能力弱、數量大、分布散、采用無線連接、缺少有效監控等帶來的風險。
安全技術層，主要包括防火墻、防病毒、過濾等安全技術。云計算、物聯網、移動互聯網等技術的開放性、協同性等特征帶來的安全新風險。
管理制度層，主要包括信息安全人事、操作和設備等。智慧信息化環境下信息資源高度集中、服務外包等新模式帶來的管理制度上的新風險。
政策法規層，主要包括信息安全法律、規章和政策等。對各類海量數據整合、共享和智能化的挖掘利用等深度開發帶來的信息管理政策法規上的新風險。
安全素養層，主要包括民眾信息安全意識、方法、經驗等。智慧信息化帶來威脅快速傳播、波及范圍倍增擴大的風險，信息安全威脅的主體發生轉換，社會公眾的高度參與，用戶、技術與管理人員的安全意識和素養帶來的風險比傳統系統更大。
智慧信息系統安全框架
智慧信息系統安全框架如圖2所示。管理終端和其他經過認證授權的可信終端作為智慧信息系統可信組成部分，需要進行邊界防護，防止越權訪問，互聯網用戶等非可信組成部分，要采取安全隔離措施，使其只能訪問受限資源，防止內部數據非法流出。對數據區域、物聯網感知區域、物聯網控制區域以及基礎設施的管理區域進行嚴格的安全域劃分，針對不同的安全域實施安全產品的監測、防護、審計等不同的安全策略以保護數據安全，再配合同步進行的體系建設、安全培訓等安全服務措施，實現智慧信息系統的深度防御。
管理要求
安全保障規劃。信息化主管部門負責智慧信息化發展總體安全保障規劃，各相關領域主管部門負責專項領域安全保障規劃。確定安全目標，提出與業務戰略相一致的安全總體方針及方案。
安全保障需求分析。項目單位分析系統的安全保護等級并通過論證、審核、備案；根據安全目標，分析系統運行環境、潛在威脅、資產重要性、脆弱性等，找出現有安全保護水平的差距，提出安全保障需求。
安全保障設計。項目單位根據系統總體安全方案中要求的安全策略、安全技術體系結構、安全措施和要求落實到產品功能、物理形態和具體規范上。并形成指導安全實施的指導性文件。
安全保障實施。建立安全管理職能部門，通過崗位設置、授權分工及資源配備，為系統安全實施提供組織保障。對項目質量、進度和變更等進行全過程管控及評估。
安全檢測驗收。系統運行前進行安全審查，關注系統的安全控制、權限設置等的正確性、連貫性、完整性、可審計性和及時性等。上線進行安全測試和評估，包括安全符合性查驗，軟件代碼安全測試，漏洞掃描，系統滲透性測試等，確保系統安全性。
運維安全保障。建立系統安全管理行為規范和操作規程，包括機房安全管理制度，資產安全管理制度，介質安全管理制度，網絡安全管理制度，個人桌面終端安全管理制度等并嚴格按照制度監督執行。
優化與持續改進。在系統運行一段時間或重大結構調整后進行評估，對系統各項風險控制是否恰當，能否實現預定目標提出改進建議。
技術要求
計算環境安全要求
服務器、網絡設備、安全設備、終端及機房安全、操作系統、數據庫管理系統應遵循GB/T 22239-2008對應安全保護等級中相關安全控制項要求，并對重要設備的安全配置和安全狀態等進行嚴格的監控與檢測。
網絡虛擬化資源池應支持基于虛擬化實例的獨立的安全管理。多租戶環境下，租戶之間的網絡支持虛擬化安全隔離，各個租戶可以同時對自身的安全資源進行管理。
應提供以密碼技術為前提的安全接入服務，保證終端能夠選擇加密通信方式安全接入云計算平臺。
通信網絡安全要求
對應安全保護等級中網絡安全控制項要求，覆蓋結構安全、訪問控制、安全審計、邊界完整性檢查、入侵防范、惡意代碼防范、網絡設備防護等控制項要求。
虛擬網絡資源間的訪問，應實施網絡邏輯隔離并提供訪問控制手段。從區域邊界訪問控制、包過濾、安全審計及完整性保護等方面保護虛擬邊界安全。
智慧網絡應具備網絡接入認證能力，確保可信授權終端接入網絡。采取數據加密、信道加密等措施加強無線網絡及其他信道的安全，防止敏感數據泄漏，保證傳輸數據完整性。
終端安全要求
對應安全保護等級中終端安全及GAT671-2006的安全控制項要求，覆蓋物理安全、身份鑒別、訪問控制、安全審計、惡意代碼防范、入侵防范、資源控制等內容。
建設統一的終端安全管理體系，規范終端的各類訪問、操作及使用行為，確保接入終端的安全合規、可管理、可控制、可審計。在重要終端中嵌入帶有密碼性安全子系統的終端芯片。
應用安全要求
滿足對應安全保護等級中應用安全控制項要求，覆蓋身份鑒別、訪問控制、安全控制、通信完整性、通信保密性、抗抵賴、軟件容錯、資源控制等內容。
進行可信執行保護，構建從操作系統到上層應用的信任鏈，實現可執行程序的完整性檢驗，防范惡意代碼等攻擊，并在受破壞時恢復。建立統一帳號、認證授權和審計系統，實現訪問可溯。
遵循安全最小化原則，關閉未使用服務組件和端口；加強內存管理，防止駐留剩余信息被非授權獲取；加強安全加固，對補丁與現有系統的兼容性進行測試；限制匿名用戶的訪問權限，支持設置用戶并發連接次數、連接超時限制等，采用最小授權原則。
數據安全要求
滿足對應安全保護等級中數據安全控制項要求，覆蓋數據完整性、數據保密性、備份與恢復等內容。
將信息部署或遷移到云計算平臺之前，明確信息類型及安全屬性進行分類分級，對不同類別信息采取不同保護措施，重點防范用戶越權訪問、篡改敏感信息。
在多租戶云計算環境下，通過物理隔離、虛擬化和應用支持多租戶架構等實現不同租戶之間數據和配置安全隔離，保證每個租戶數據安全隱私。確保法律監管部門要求的數據可被找回。
虛擬存儲系統應支持按照數據安全級別建立容錯和容災機制，防止數據損失；建立災備中心，保證數據副本存儲在合同法規允許的位置。
全面有效定位云計算數據、擦除/銷毀數據，并保證數據已被完全消除或使其無法恢復。
密碼技術要求
物理要求。在系統平臺基礎設施方面使用密碼技術。
網絡要求。在安全訪問路徑、訪問控制和身份鑒別方面使用密碼技術。
主機要求。在身份鑒別、訪問控制、審計記錄等方面使用密碼技術。
應用要求。在身份鑒別、訪問控制、審計記錄和通信安全方面應當使用密碼技術。
數據要求。在數據傳輸安全、數據存儲安全和安全通信協議方面使用密碼技術。
安全域劃分與管理研究
智慧信息系統安全域可以分為安全計算域、安全用戶域、安全網絡域。
安全計算域：由一個或多個主機/服務器經局域網連接組成的存儲和處理數據信息的區域，是需要進行相同安全保護的主機/服務器的集合。安全計算域可以細分為核心計算域和安全支撐域。
安全用戶域：由一個或多個用戶終端計算機組成的存儲、處理和使用數據信息的區域。
安全網絡域：支撐安全域的網絡設備和網絡拓撲，防護重點是保障網絡性能和進行各子域的安全隔離與邊界防護。連接安全計算域和安全計算域、安全計算域和安全用戶域之間的網絡系統組成的區域。安全網絡域可以進一步細分為感知網接入域、互聯網接入域、外聯網接入域、內聯網接入域、備份網絡接入域。
安全管理平臺技術要求
對安全事件進行集中收集、高度聚合存儲及分析，實時監控全網安全狀況，并可根據需求提供各種網絡安全狀況審計報告。
智慧監測。針對大數據，通過預警平臺對流量監測分析，為管理者提前預警，避免安全事件擴大化；監聽無線數據包，進行網絡邊界控制，對智慧信息系統內部網絡實施安全保護。
智慧審計。通過運維審計與風險控制系統對系統運維人員的集中賬號和訪問通道管控；通過數據庫審計系統對數據庫訪問流量進行數據報文字段級解析操作，應對來自運維人員或外部入侵的數據威脅；通過綜合日志審計系統實現對違規行為監控，追蹤非法操作的直接證據，推動監測防護策略、管理措施的提升，實現信息安全閉環管理；針對應用層的實時審計、監測及自動防護。
智慧日志分析。對海量原始日志，按照策略進行過濾歸并，減輕日志數據傳輸存儲壓力。對來自各資源日志信息，提供多維關聯分析功能，包括基于源、目的、協議、端口、攻擊類型等多種統計項目報表。多租戶環境支持，支持虛擬化實例，能夠區分不同租戶的日志以及為不同租戶提供統計報表。
智慧協同。根據開放性及應急響應技術要求，安全管理平臺需考慮和周邊系統互聯互通，支持開放的API，相互傳遞有價值安全信息，以進行協同聯動。
除了以上八個技術方面的要求外，智慧信息化安全保障體系還對安全產品、產品安全接口等方面也做出了相關要求。
保障機制
建立責任人體制。建設單位指定信息安全保障第一責任人，明確各環節主體責任，制定安全保障崗位責任制度，并監督落實。
建立追溯查證體系。建立全流程追溯查證體系，對存在的違法入侵進行有效取證，保證證據數據不被改變和刪除。參照ISO/IEC 27037：2012、ISO/IEC27042。
建立監督檢查機制。由信息安全監管部門，通過備案、檢查、督促整改等方式，對建設項目的信息安全保護工作進行指導監督。
建立應急處理機制。參照GB/Z 20986-2007將安全事件依次進行分級，按照分級情況制定應急預案，定期對應急預案進行演練。
建立服務外包安全責任機制。安全服務商的選擇符合國家有關規定，確保提供服務的數據中心、云計算服務平臺等設在境內。
建立風險評估測評機制。對總體規劃、設計方案等的合理性和正確性以及安全控制的有效性進行評估。委托符合條件的風險評估服務機構，對重要信息系統檢查評估。定期對系統進行安全自查與測評。
1現狀與問題
1.信息安全現狀
隨著信息化建設的推進，我校信息化建設初具規模，軟硬件設備配備完成，運行保障的基礎技術手段基本具備。網絡中心技術力量雄厚，承擔網絡系統管理和應用支持的專業技術人員達20余人;針對重要應用系統采用了防火墻、IPS/IDS、防病毒等常規安全防護手段，保障了核心業務系統在一般情況下的正常運行，具備了基本的安全防護能力|6];日常運行管理規范，按照信息基礎設施運行操作流程和管理對象的不同，確定了網絡系統運行保障管理的角色和崗位，初步建立了問題處理的應急響應機制。由網絡中心進行日常管理的主要有六大業務應用系統，即網絡通信平臺、認證計費系統、校園一卡通、電子校務系統、網站群、郵件系統。
網絡通信平臺是大學各大業務平臺的基礎核心，是整個校園網的基礎，其他應用系統都運行在高校的基礎網絡環境上;認證計費系統是針對用戶接入校園網和互聯網的一種接入認證計費的管理方式;校園一卡通系統建設在物理專網上，主要實現學生校園卡消費管理，校園卡與大學網絡有3個物理接口;電子校務系統是大學最重要的業務應用系統，系統中存儲著重要的教務工作數據、學生考試信息、財務數據等重要數據信息;大學主頁網站系統為大學校園的互聯網窗口起到學校對外介紹宣傳的功能;郵件系統主要為大學教師與學生提供郵件收發服務，目前郵件系統注冊用1.2面臨的主要問題
通過等級保護差距分析和風險評估，目前大學所面臨的信息安全風險和主要問題如下：
(1)高校領域沒有總體安全標準指引，方向不明確，缺少主線。
(2)對國際國內信息安全法律法規缺乏深刻意識和認識。
(3)信息安全機構不完善，缺乏總體安全方針與策略，職責不夠明確。
(4)教職員工和學生數量龐大，管理復雜，人員安全意識相對薄弱，日常安全問題多。
()建設投資和投入有限，運維和管理人員的信息安全專業能力有待提高。
(6)內部管理相對松散，缺乏安全監管及檢查機制，無法有效整體管控。
(7)缺乏信息安全總體規劃，難以全面提升管理
(8)缺乏監控、預警、響應、恢復的集中運行管理手段，無法提高安全運維能力。
2建設思路
2.1建設原則和工作路線
學校信息安全建設的總體原則是:總體規劃、適度防護，分級分域、強化控制，保障核心、提升管理，支撐應用、規范運維。
依據這一總體原則，我們的信息安全體系建設工作以風險評估為起點，以安全體系為核心，通過對安全工作生命周期的理解從風險評估、安全體系規劃著手，并以解決方案和策略設計落實安全體系的各個環節，在建設過程中逐步完善安全體系，以安全體系運行維護和管理的過程等全面滿足安全工作各個層面的安全需求，最終達到全面、持續、突出重點的安全保障。
2.2體系框架
信息安全體系框架依據《信息安全技術信息系統安全等級保護基本要求》GBT22239-2008、《信息系統等級保護安全建設技術方案設計要求》(征求意見稿)，并吸納了IATF模型[7]中“深度防護戰略，，理論，強調安全策略、安全技術、安全組織和安全運行4個核心原則，重點關注計算環境、區域邊界、通信網絡等多個層次的安全防護，構建信息系統的安全技術體系和安全管理體系，并通過安全運維服務和itsm[8]集中運維管理(基于IT服務管理標準的最佳實踐)，形成了集風險評估、安全加固、安全巡檢、統一監控、提前預警、應急響應、系統恢復、安全審計和違規取證于一體的安全運維體系架構(見圖2)，從而實現并覆蓋了等級保護基本要求中對網絡安全、主機安全、應用安全、數據安全和管理安全的防護要求，以滿足信息系統全方位的安全保護需求。
(1)安全策略：明確信息安全工作目的、信息安全建設目標、信息安全管理目標等，是信息安全各個方面所應遵守的原則方法和指導性策略。
(2)安全組織：是信息安全體系框架中最重要的
各級組織間的工作職責，覆蓋安全管理制度、安全管理機構和人員安全管理3個部分。
(3)安全運行：是信息安全體系框架中最重要的安全管理策略之一，是維持信息系統持續運行的保障制度和規范。主要集中在規范信息系統應用過程和人員的操作執行，該部分以國家等級保護制度為依據，覆蓋系統建設管理、系統運維管理2個部分。
(4)安全技術:是從技術角度出發，落實學校組織機構的總體安全策略及管理的具體技術措施的實現，是對各個防護對象進行有效地技術措施保護。安全技術注重信息系統執行的安全控制，針對未授權的訪問或誤用提供自動保護，發現違背安全策略的行為，并滿足應用程序和數據的安全需求。安全技術包含通信網絡、計算環境、區域邊界和提供整體安全支撐的安全支撐平臺。該部分以國家等級保護制度為依據，覆蓋物理層、網絡層、主機層、應用層和數據層5個部分。
()安全運維:安全運維服務體系架構共分兩層，實現人員、技術、流程三者的完美整合，通過基于ITIL[9]的運維管理方法，保障基礎設施和生產環境的正常運轉，提升業務的可持續性，從而也體現了安全運3重點建設工作
3.1安全滲透測試
2009年4月，學校對38個網站、2個關鍵系統和6臺主機系統進行遠程滲透測評。通過測評，全面、完整地了解了當前系統的安全狀況，發現了20個高危漏洞，并針對高危漏洞分析了系統所面臨的各種風險，根據測評結果發現被測系統存在的安全隱患。滲透測試主要任務包括:收集網站信息、網站威脅分析、脆弱性分析和滲透入侵測評、提升權限測評、獲取代碼、滲透測評報告。
3.2風險評估和安全加固
2009年5月，依據安全滲透測試結果，對大學的六大信息系統進行了安全測評。根據評估結果得出系統存在的安全問題，并對嚴重的問題提出相應的風險控制策略。主要工作任務包括:系統調研、方案編寫、現場檢測、資產分析、威脅分析、脆弱性分析和風險分析。通過風險評估最終得出了威脅的數量和等級，表1、表2為威脅的數量和等級統計。2009年6月和9月，基于風險評估結果，對涉及到的網絡設備(4臺)和主機設備(14臺)進行了安全加固工作。
3.3安全體系規劃
根據前期對全校的網絡、重要信息系統及管理層面的全面評估和了解整理出符合大學實際的安全需求，并結合實際業務要求，對學校整體信息系統的安全工作進行規劃和設計，并通過未來3年的逐步安全建設，滿足學校的信息安全目標及國家相關政策和標準學校依據國際國內規范及標準，參考業界的最佳實踐ISMS[10](信息安全管理體系)，結合我校目前的實際情況，制定了一套完整、科學、實際的信息安全管理體系，制定并描述了網絡與信息安全管理必須遵守的基本原則和要求。
通過信息安全管理體系的建立，使學校的組織結構布局更加合理，人員安全意識也明顯提高，從而保證了網絡暢通和業務正常運行，提高了IT服務質量。通過制度、流程、標準及規范，加強了日常安全工作執行能力，提高了信息安全保障水平。
4未來展望和下一步工作
4.1安全防護體系
根據網絡與信息系統各節點的網絡結構、具體的應用以及安全等級的需求，可以考慮使用邏輯隔離技術(VLAN或防火墻技術)將整個學校的網絡系統劃分為3個層次的安全域：第一層次安全域包括整個學校網絡信息系統;第二層次安全域將各應用系統從邏輯上和物理上分別劃分;第三層次安全域主要是各應用系統內部根據應用人群的終端分布、部門等劃分子網或子系統。
公鑰基礎設施包括：CA安全區：主要承載CAServer、主從LDAP、數據庫、加密機、OCSP等;KMC管理區:主要承載KMCServer、加密機等;RA注冊區:主要承載各院所的RA注冊服務器，為各院所的師生管理提供數字證書注冊服務。
應用安全支撐平臺為各信息系統提供應用支撐服務、安全支撐服務以及安全管理策略，使得信息系統建立在一個穩定和高效的應用框架上，封裝復雜的業務支撐服務、基礎安全服務、管理服務，并平滑支持業務系統的擴展。主要包括:統一身份管理、統一身份認證、統一訪問授權、統一審計管理、數據安全引擎、單點登錄等功能。
4.2安全運維體系
ITSM集中運維管理解決方案面對學校日益復雜的IT環境，整合以往對各類設備、服務器、終端和業務系統等的分割管理，實現了對IT系統的集中、統一、全面的監控與管理;系統通過融入ITIL等運維管理理念，達到了技術、功能、服務三方面的完全整合，實現了IT服務支持過程的標準化、流程化、規范化，極大地提高了故障應急處理能力，提升了信息部門的管理效率和服務水平。
根據終端安全的需求，系統應建設一套完整的技術平臺，以實現由管理員根據管理制度來制定各種詳盡的安全管理策略，對網內所有終端計算機上的軟硬件資源、以及計算機上的操作行為進行有效管理。實現將以網絡為中心的分散管理變為以用戶為中心集中策略管理;對終端用戶安全接入策略統一管理、終端用戶安全策略的強制實施、終端用戶安全狀態的集中審計;對用戶事前身份和安全級別的認證、事中安全狀態定期安全檢測，內容包括定期的安全風險評估、安全加固、安全應急響應和安全巡檢。
4.3安全審計體系
一、搞好信息安全防護是確保國家安全的重要前提
眾所周知，未來信息化戰爭將在陸、海、空、天、電多維空間展開，網絡空間的爭奪尤其激烈。如果信息安全防護工作跟不上，在戰爭中就可能造成信息被竊、網絡被毀、指揮系統癱瘓、制信息權喪失的嚴重后果。因此，信息安全防護不僅是贏得未來戰爭勝利的重要保障，而且將作為交戰雙方信息攻防的重要手段，貫穿戰爭的全過程。據有關報道披露，海灣戰爭前，美國特工曾在伊拉克從法國購買的打印機的引導程序中預埋了病毒，海灣戰爭一開始，美國就通過衛星激活病毒，導致后來伊軍防空指揮通信系統陷入癱瘓。戰爭和軍事領域是這樣，政治、經濟、文化、科技等領域也不例外。根據美國加利弗尼亞州銀行協會的一份報告，如果該銀行的數據庫系統遭到網絡“黑客”的破壞，3天就會影響加州的經濟，5天就能波及全美經濟，7天會使全世界經濟遭受損失。鑒于信息安全如此重要，美國國家委員會早在初的《國家安全戰備報告》里就強調：執行國家安全政策時把信息安全放在重要位置。俄羅斯于6月討論通過的《國家信息安全學說》，首次把信息安全正式作為一種戰略問題加以考慮，并從理論上和實踐上加強準備。
二、我國信息安全面臨的形勢十分嚴峻
信息安全是國家安全的重要組成部分，它不僅體現在軍事信息安全上，同時也涉及到政治、經濟、文化等各方面。當今社會，由于國家活動對信息和信息網絡的依賴性越來越大，所以一旦信息系統遭到破壞，就可能導致整個國家能源供應的中斷、經濟活動的癱瘓、國防力量的削弱和社會秩序的混亂，其后果不堪設想。而令人擔憂的是，由于我國信息化起步較晚，目前信息化系統大多數還處在“不設防”的狀態下，國防信息安全的形勢十分嚴峻。具體體現在以下幾個方面：首先，全社會對信息安全的認識還比較模糊。很多人對信息安全缺乏足夠的了解，對因忽視信息安全而可能造成的重大危害還認識不足，信息安全觀念還十分淡薄。因此，在研究開發信息系統過程中對信息安全問題不夠重視，許多應用系統處在不設防狀態，具有極大的風險性和危險性。其次，我國的信息化系統還嚴重依賴進口，大量進口的信息技術及設備極有可能對我國信息系統埋下不安全的隱患。無論是在計算機硬件上，還是在計算機軟件上，我國信息化系統的國產率還較低，而在引進國外技術和設備的過程中，又缺乏必要的信息安全檢測和改造。再次，在軍事領域，通過網絡泄密的事故屢有發生，敵對勢力“黑客”攻擊對我軍事信息安全危害極大。最后，我國國家信息安全防護管理機構缺乏權威，協調不夠，對信息系統的監督管理還不夠有力。各信息系統條塊分割、相互隔離，管理混亂，缺乏與信息化進程相一致的國家信息安全總體規劃，妨礙了信息安全管理的方針、原則和國家有關法規的貫徹執行。
三、積極采取措施加強信息安全防護
為了應付信息安全所面臨的嚴峻挑戰，我們有必要從以下幾個方面著手，加強國防信息安全建設。
第一，要加強宣傳教育，切實增強全民的國防信息安全意識。在全社會范圍內普及信息安全知識，樹立敵情觀念、紀律觀念和法制觀念，強化社會各界的信息安全意識，營造一個良好的信息安全防護環境。各級領導要充分認識自己在信息安全防護工作中的重大責任，一方面要經常分析新形勢下信息安全工作形勢，自覺針對存在的薄弱環節，采取各種措施，把這項工作做好；另一方面要結合工作實際，進行以安全防護知識、理論、技術以及有關法規為內容的自我學習和教育。
第二，要建立完備的信息安全法律法規。信息安全需要建立完備的法律法規保護。自國家《保密法》頒布實施以來，我國先后制定和頒布了《關于維護互聯網安全的決定》、《計算機信息網絡國際聯網安全保護管理辦法》、《中華人民共和國計算機信息系統安全保護條例》、《計算機信息系統國際聯網保密管理規定》、《計算機信息系統安全專用產品檢測和銷售許可證管理辦法》、《計算機信息系統安全專用產品分類原則》、《金融機構計算機信息系統安全保護工作暫行規定》等一系列信息安全方面的法律法規，但從整體上看，我國信息安全法規建設尚處在起步階段，層次不高，具備完整性、適用性和針對性的信息安全法律體系尚未完全形成。因此，我們應當加快信息安全有關法律法規的研究，及早建立我國信息安全法律法規體系。
2007年石油石化行業按照年初國資委下發的《關于加強中央企業信息化工作的指導意見》，進一步規劃和部署企業信息化工作，為企業做強做大做出了應有的貢獻。
2007年石油石化行業信息化工作在集成和深化應用、信息安全、信息系統運維、IT治理和完善內控制度等方面都做了大量工作，成效顯著。中石化通過深化應用和集成，已經使ERP、MES等系統在監控企業運作，掌控企業動態方面的作用得到顯現。中海油、中石油在ERP系統的建設過程中就實現了ERP與MES、EAM等系統的集成，實現下屬企業和總部之間的縱向集成。
石油石化行業重視信息安全，積極落實四部委頒發的《信息安全等級保護管理辦法》，根據要求對信息系統進行安全評估，確定各系統的安全等級，信息系統安全已成為信息系統設計和建設的重要組成部分。信息系統的運維越來越受到石油石化行業的重視。
中石化已逐漸形成完整的兩層三級運維體系和有一定規模的運維隊伍。繼中海油之后，中石油也進行了ISO 20000的認證，建立了自己的運維服務體系和平臺。石油石化行業加大IT治理方面的投入力度，研究IT治理體系、完善內控流程和管理制度，加強對信息系統的風險防范。2007年石油石化行業各大企業加快建設覆蓋全集團的集成化的信息系統，強化各項業務之間的協同和對下屬企業的實時管控能力。信息系統正從分散的局部應用，逐步向跨部門、跨企業的全局性的集成應用發展。
中石油: 建設統一集成的信息系統
2007年中國石油繼續按照信息技術總體規劃全面建設集團公司級統一的信息系統。各信息系統的陸續建成和應用，對主營業務的支撐作用逐漸顯現出來，成為企業領導經營決策和業務人員日常業務處理必不可少的工具和手段，各部門、各單位信息系統建設和應用的積極性空前提高。
中國石油把信息化作為集團公司實施資源、市場和國際化三大戰略，提高管理水平與核心競爭力的強有力支撐。明確了“統一、成熟、兼容、實用、高效”的十字方針，確定了“統一規劃、統一標準、統一設計、統一投資、統一建設、統一管理”的六統一原則，全面、集中、統一、共享始終貫穿于信息化建設全過程。以ERP系統、專業應用系統和IT基礎設施為重點，加快推進全局性的信息系統建設。
ERP系統整體推進步伐加快，銷售、煉油與化工、天然氣與管道和集團公司未上市部分的試點和推廣進展順利，應用范圍涵蓋財務、采購、銷售、生產和庫存等業務。股份公司生產型企業推廣實施了健康安全環保（HSE）系統，地理信息系統開始推廣實施，企業級數據倉庫系統搭建起統一、集成的平臺。
電子商務平臺“能源一號”，五年累計實現電子交易額近千億元，節約采購資金數十億元。地球科學與鉆井系統、上游生產系統完成了試點和推廣，油田服務生產運行管理系統制定了系統實施標準化流程和模板，完成開發和測試，已在企業上線應用。管道生產系統全面建成應用，成為支持管道運營日常業務管理的重要工具。
煉油與化工運行系統穩步推廣，先進計劃系統在公司總部及所有煉化企業全面建成應用，實現了從原油采購到生產計劃、加工方案等方面的優化，為快速準確地編制煉油生產計劃，優化原油采購、生產加工、產品調合方案提供了先進手段和工具。加油站管理系統的試點實施工作按計劃推進，形成標準系統模板，為下步推廣奠定了基礎。積極推進網絡體系和基礎應用系統建設，開展總部和區域網絡中心、數據中心建設，啟動了災難恢復和統一身份認證等項目。建設了一批海外區域網絡中心，將電子郵件等基礎應用拓展到國際業務中。采用統一平臺建成的中國石油統一信息門戶、統一域名的電子郵件系統已成為員工日常工作的信息平臺。視頻會議系統大幅度提高了會議效率，節省了費用。
加強信息系統運行維護管理，保證了網絡和應用系統的安全穩定運行。信息化管理工作邁上新臺階，修改完善了統一的信息技術總體規劃，制定了一系列信息化工作管理制度。強化信息技術隊伍建設，形成了一批專業化定位清晰、任務分工明確的信息技術支持中心。開展了信息網絡安全風險評估，編制了信息安全總體規劃及實施計劃。
中石化: 信息化規模效應顯現
2007年中石化加大系統集成力度，深化信息系統應用。信息化建設已經從各企業、部門的局部、分散建設與應用，發展為集團公司自上而下全局性、集成化的建設與應用。重大項目、各業務板塊信息系統建設與應用取得重大進展，規模效應越來越明顯。
ERP系統推廣與應用按計劃進行。已有上中下游70多家下屬單位的ERP系統上線，基本完成股份公司下屬企業和科研院所的ERP建設。對已上線ERP系統繼續進行完善提升，培養應用典型，開展應用達標創優活動。通過數據倉庫和財務報表合并、物資管理、銷售統計、審計信息系統等總部層面應用系統，已經能夠逐步實現利用ERP生成的信息監控企業運作情況，掌控企業動態。
ERP系統的實施與應用，促進了物資集中采購和統一儲備、財務一級核算等管理體制的改革，為各體制改革和實現資金集中管理提供了有效支撐。加快供應鏈優化系統的推廣與深化應用。建設原油營運管理系統，優化原油采購、運輸，深化應用煉油企業級計劃優化系統，建設化工物流優化系統，提升原油評價數據庫系統，成品油一次物流優化投用，二次物流配送優化系統全面提升。應用供應鏈技術實現資源優化配置，形成大物流格局，庫存水平顯著下降，資金占壓明顯減少。
開展生產營運指揮系統建設。提升完善了油田調度指揮系統，原油管網配送系統實現了對原油管輸沿線油庫、油罐的庫存情況、管網原油的輸送情況的動態跟蹤、監控、實時調度和優化，煉油生產調度指揮系統實現了對煉油企業生產情況的動態跟蹤和對主要生產裝置、原油和成品油資源的有效監控，化工調度指揮系統和成品油銷售營運指揮系統，完成系統主要功能和統一集成平臺的建立，啟動HSE監控和應急指揮系統建設，逐步實現實時監控企業重要生產過程和對生產事故的動態跟蹤，動態收集企業生產安全、環保信息。
電子商務與ERP系統實現數據共享和動態交換，積累了大量信息，為科學采購決策提供了依據。辦公綜合業務處理系統（OA）覆蓋總部和下屬企業，實現了雙向公文無紙傳輸。開展企業數據整合，建立統一的數據集成平臺，實現對ERP、MES、PIMS、LIMS等現有主要系統的數據交換和整合。油田企業在油氣勘探開發方面信息技術應用基本形成了地震資料處理、解釋、數值模擬等技術系列，在生產運行方面進行勘探開發決策支持系統建設，推廣勘探開發源頭數據采集系統，啟動企業數據資源中心建設，逐步實現油田企業數據的集中統一管理，國際勘探開發綜合信息系統初步形成了適應國際化業務特色的綜合業務功能和標準規范體系架構。
煉化企業各信息系統的推廣應用在生產優化、過程控制、精細化管理等方面取得良好效果。生產執行系統（MES）為ERP系統提供準確的日平衡、旬確認、月結算數據，生產調度優化系統為生產調度作業計劃編制、優化，停工預案處理提供了輔助工具，提高了生產調度人員對工作的預見性、工作效率和排產的精度，化驗室信息管理系統（LIMS）規范了化驗分析工作流程，提高了企業化驗室業務自動化水平，先進控制（APC）技術提高了裝置操作水平和平穩率。
銷售企業應用效果顯著。加油卡工程已在19個省市石油分公司推廣完成，基本實現一卡在手，各地加油的目標，加油卡、二次物流及ERP三大系統的集成，實現了多系統數據共享，加強了監控力度，油品運輸車輛GPS定位系統，實現了對油罐車的遠程實時監控、調度、跟蹤和安全行車監督。工程建設單位在異地協同設計以及項目管理方面采用信息技術和科研單位的自主軟件產品的開發與應用、化驗室信息管理系統應用都取得重大進展。
信息系統運行維護水平進一步提高。完成了信息安全體系的總體規劃，信息基礎設施的安全工作持續開展，應用系統安全受到高度重視，強化了應用系統的用戶訪問控制，全面部署統一的桌面管理系統。
中海油: 有效支持集團戰略發展
2007年中國海油緊密圍繞生產經營管理需要、以服務海上生產為目標，堅持統一規劃、統一建設、統一管理、分步實施、逐步替代的原則，有效地支持集團戰略發展。統一集成的集團信息管理平臺，集團ERP系統和集團戰略、投資管理、決策支持系統，總部的人、財、物系統，各單位的生產管理、設備維護、銷售管理和專業應用系統，構成一個平臺、兩個重點、三縱四橫的集團信息化體系架構。中國海油的信息系統應用在戰略決策、經營管理、生產科研三個層面都取得良好效果。
ERP系統第二批推廣單位已按計劃上線運行。中國海油的ERP項目按照“國際一流、國內領先、海油特色”的要求，利用咨詢公司的實施經驗，采用國際先進的實施方法論，先做標準模板，再穩步推廣。在集中統一的軟硬件系統平臺和共享服務支持體系的支撐下，二級單位的ERP既是一個獨立的系統又是整個集團系統中的有機組成部分。集團負責制定統一的標準模板、統一的數據標準和規范，管理模板和標準的更新與維護，各公司按統一的模板和標準實施。
通過建設ERP系統，提升了集團管理控制能力，實現了業務流程軌道化、財務業務一體化、系統數據標準化、決策支持模式化的目標。ERP項目在降低成本、提高效率、提升公司治理和風險控制水平等方面發揮了重要的作用。全面預算系統采用全球企業績效管理軟件領域中的領先產品，選擇國際著名的咨詢公司提供服務和技術支持，實施范圍包括集團本部、二級單位和三級單位。全面預算系統與ERP之間的有效集成將構成科學的預算編制和管理平臺，提高預算編制與分析效率，為企業管理注入新的動力。
中國海油在專業應用信息化中注重實效和自主創新，獲國家科技進步二等獎的《海上中深層高分辨率地震勘探技術》成為海洋油氣勘探的主要手段之一，地面測試數據采集系統利用信息技術提升了油田服務的作業能力，綜合利用各種信息技術建立起應急指揮中心，實現了海上重大設施的動態應急管理。建立起了世界一流的三維可視化地質綜合研究中心。地震數據庫、鉆井數據庫、生產動態數據庫、油氣儲量評估及管理系統、鉆井遠程控制系統、測井數據傳輸系統、MES系統、計劃和預算管理系統、倉儲管理系統、項目管理系統等專業系統取得進展。
信息技術基礎設施采用成系列的產品、擴展能力和性能良好。作為信息系統體系的重要組成部分，建立了集團的業務服務管理系統（BSM），形成集團內統一的IT/業務服務接入平臺，實現了基于ITIL的三級運維體系。建立服務流程持續優化的管理流程，不斷完善管理制度。實施IT內控管理規劃項目，按照國際標準進一步規范集團各單位的信息化建設行為。
2008: 將以應用為主
2008年石油石化行業將在黨的十七大精神指引下，按照國資委的要求，利用信息化手段加強集團控制力，為企業加強管理、集中資源做強做大主業、規避經營風險做出貢獻。
信息化將從以信息系統建設為主向更加重視應用發展，將更加重視信息系統應用的深化，更加重視管好用好已有的信息系統和IT資產，通過集成已有系統和建設配套系統提升信息系統和信息資源的應用價值。應用管理與應用隊伍建設、安全與運維、集成與信息資源增值應用將成為2008年石油石化行業信息化工作的重要內容。節能減排領域的信息技術應用和以信息系統支持企業應對歐盟REACH（Registration、Evaluation、Authorization of Chemicals，關于化學品注冊、評估、授權）法規的實施將受到關注。
作者簡介
