论企业信息设备的安全与防范

张滨荣

天津市大港油田信息中心

论企业信息设备的安全与防范

张滨荣

天津市大港油田信息中心

随着信息化建设步伐的不断加快，信息系统在我油田各类企业的应用日趋广泛。但从整体情况看，企业对于信息系统的应用还存在一些安全问题，尤其体现在设备安全防范工作包括服务器、应用系统、用户终端等明显滞后于系统建设。针对目前企业信息系统安全存在的问题，作者从系统应用安全及设备物理安全管理提出了相应的解决方案。

应用系统；物理设备；运行环境； 漏洞；病毒

一、引言

随着油田信息化建设的高速发展，信息系统的应用软件建设水平也日趋提高和完善，同时信息系统的安全问题变得日益突出。工业信息化在为人们带来种种物质和资源享受的同时，来自于网络的日益严重的各种威胁接踵而来，包括数据库威胁、系统应用威胁，诸如数据窃取、网络黑客、病毒木马等等。本文将通过对企业信息设备几类典型的安全问题进行分析，并提出具体的防范策略。

二、企业信息设备系统存在的问题

1、信息系统安全存在的技术问题

(1)正版的软件匮乏问题。目前油田生产运行中随着自建应用系统发展迅速，因为购买的正版软件用户数量限制问题，大部分使用与开发者，在信息系统均架设中存在重复利用翻版的操作系统资源问题，这一现象较为普遍，尤其在经费相对紧张的中小型企业中，这种现象更为广泛。网络安全、应用系统安全令人堪忧。

(2)操作系统和信息系统的安全漏洞问题。网络黑客日益张狂，造成众多的操作系统、应用系统、用户终端存在大量的安全漏洞，这就对安全管理工作带来的一定难度，不仅要求管理员不停的去查杀、修补漏洞，还要在确保应用系统安全的常态化下，时刻升级系统补丁。同时还要加固防火墙等安全规则、策略，但是仍然存在很大的风险。

(3)被病毒感染的风险问题。病毒可以借助文件、拷贝、网页、下载软件等诸多方式在网络中进行传播和蔓延，对处于网络正在运营中的信息系统构成严重威胁。同时很多病毒具有木马、后门和自动运行功能，常常潜入各类系统的核心中，若处于网络中的一台服务器系统遭受病毒感染，很可能会利用被控制的服务器为平台，破坏企业网数据信息，影响整个网络，造成网络拥塞、瘫痪，甚至毁损物理设施。

(4)涉密信息在网络中传输的安全可靠性低的问题。日常工作中，很多涉密信息需要存储在网络介质上，比如服务器硬盘、移动硬盘等介质。传输中很多是不加密的传输，这样很容易被搜集而造成泄密，发生泄密事件。

(5)网络攻击的潜在威胁问题。企业信息设备系统大都属于生产运营，数据传输依赖于网络，面对网络侦听与病毒，假如未进行详细全面的安全策略和复杂的密钥，信息系统很容易遭受到入侵。例如：非法用户破译系统口令，冒用合法用户的口令以管理员合法身份登录系统，查看并窃取机密信息，破坏应用系统的运行，甚至修改硬盘数据种下木马等威胁。

2、信息系统设备安全存在的管理问题

在企业信息设备系统的建设过程中，研发人员对于应用系统建设与开发、基础设施的建设上相对关注度较高，从主观意识上对系统安全的加固工作缺乏认识，与信息安全管理部门在业务流程上产生脱节。

虽然一些企业在网络信息安全管理方面有所关注，但由于工作流程不顺畅、管理与技术上还不能很好融合，管理技术专业。系统运行管理存在缺陷，例如：企业信息安全管理人才匾乏，导致整个信息系统一旦发生故障，在迅速反应、快速行动和预防防范等主要方面，缺少全面高效的应对能力。

三、防范对策

俗话说，三分技术，七分管理。解决企业信息系统、网络设备的安全问题，关键是要建立和完善企业信息系统的安全防护体系，在管理层面上加大管理与监督机制，制定和落实一系列合规、合法的严格的网络安全管理制度，加强人员的管理和培训机制，加强管理监督机制与实施开展案例分析。

1、网络安全技术对策

(1)采用安全性较高的操作系统并进行系统漏洞修补。在技术层面上建立完整的网络安全解决方案，信息设备安装必须监管购买正版的操作系统，提供安全的开发平台。及时更新信息系统、服务器最新发现的漏洞，减少系统威胁。

(2)加强WEB系统的程序漏洞扫描。每一个信息系统的搭建，都基于一种程序语言，而在利用这些程序语言对某个信息系统的编辑设计中，或多或少的存在BUG，及时发现WEB层面漏洞，减少因程序漏洞造成的威胁。

(3)安装防病毒软件和防火墙。在系统设备主机上安装防病毒软件，安装系统防火墙，它可以帮助企业内部网系统进行有效的网络安全隔离，通过安全过滤规则严格控制外网用户非法访问内网，保护内部信息安全。更重要的是，防火墙不但将大量的恶意攻击直接阻挡在外面，同时也屏蔽来自网络内部的不良行为。

(4)使用内部网传输和IP限制技术。对于企业的涉密信息，要求网络有足够的私密性，为了保障信息安全，不能把相关系统直接接入到互联网当中，这需要我们设计并搭建足够安全的内部网络体系，使这些系统的应用有且仅有内部网络可以授权访问；此外对于一些要求开通公网访问的系统，为了提高系统安全，可开通IP授权访问机制，进行IP访问限制，不允许非授权IP用户进行系统访问。

(5)进行系统安全策略设置。

2、网络安全管理对策

(1)强化思想教育是网络安全管理工作的基础。搞好企业信息设备安全管理工作，首要的是做好人的工作。我们须加强全员信息安全素质教育，通过举办信息安全技术培训，增强员工信息安全意识，增长系统安全保护知识，提高员工个人PC泄密风险。

(2)制定严格的信息安全管理制度。1.设立专门的信息安全监管理部门，负责制定企业信息系统安全防范措施，包括方针、政策、策略等，并协调、监督、检查各信息系统使用单位安全措施的具体实施；2.设立管理员分级权限机制，包括信息管理员、信息保密员和系统管理员等都要有明确的管理权限划分，并签订管理责任状，设立管理帐号，未被授权不允许进行系统操作。3.应有具体的负责人负责整个网络信息系统的安全管理；最后各单位根据自身的特点制定系列的规章制度。

(3)重视信息系统安全人才的培养。加强企业信息设备、系统安全知识的普及与培训，通过对不同层面的系统信息安全管理人员进行深层次安全培训，使各个系统在用人员能够通过熟练的安全设置与防范，对企业信息系统进行有效的管理，保证信息系统的安全性。