关键字：校园；网络；管理；信息；安全；保障
目前，校园网络信息安全性的问题逐渐得到高级技工学校的关注,学校在不断的完善校园网络的管理以及信息安全保障的政策。校园网络作为高级技工学校信息化建设的重点,确保网络信息安全的完整性、保密性、可控性、可用性、不可否认性成为了学校保障网络信息安全的重点工作。
一、校园网络信息安全的特征
校园网络信息安全需要具有完整性，确保信息在传输以及存储的过程中可能被恶意的篡改，应该确保网络信息的正确以及有效，避免被非授权人将信息的完整性破坏；校园网络信息安全需要具有保密性，通过密码技术对重要的信息采取保护措施或进行加密处理，避免重要信息的泄漏、丢失等，确保合法用户能够安全的使用信息；校园网络信息安全需要具有可控性，使授权机构能够控制信息的内容以及具备监控和管理传播流向和方式的能力；校园网络信息安全需要具有可用性，确保授权用户能够进入系统进行信息的访问，防止非授权者恶意访问系统，窃取、泄漏、破坏校园网络的信息安全。与此同时，还应该防止网络病毒引发的系统瘫痪，造成服务器拒绝用户使用或被入侵者所用；校园网络信息安全需要具有不可否认性，也可以称之为不可抵赖性，当信息传输结束以后,信息传输双方不能抵赖自身的行为，比如否认接收过对方的信息，通过信息源的证据，双方就无法对完成的操作进行抵赖，能够有效的防止发送方否认已经传输过的信息。
二、校园网络管理和信息安全保障的必要性
随着计算机网络的不断发展,强化学校网络安全管理的建设,不仅能够提升学校整体的形象，还是学校发展成为信息化的必然趋势。网络安全对于校园整体形象和未来发展趋势都有影响。校园网络信息安全对于学生来说，能够促进学生的全面发展，还能提高学校的整体经济效益。目前，学校的网络中储存了大量的文献信息,网络信息安全对于高级技校的教育工作有着重要的意义，教师进行教学越来越依赖计算机网络，如果网络的安全出现问题，信息资源被恶意篡改、丢失、删除、破坏等，对于学校来说是无法弥补的经济以及资源损失。因此，校园网络管理和信息安全保障对于高校来说十分重要，建设校园网络的过程中，应该重视网络运行的安全问题，引进先进的网络技术，严格按照网络安全管理规范，及时解决网络系统可能出现的问题，确保校园网络能够安全、可靠、正常的运行。
三、校园网络管理和信息安全保障的现状
3.1校园网络的安全受到威胁
目前，高级技工院校为了提高网络的安全性,通常会配置网络防火墙系统。然而防护墙是利用静态技术只能起到防范的作用,并且防护的范围不够全面，防护的效果也不是十分明显。为了采取更加有效的防护措施，高校需要采用动态防护技术，比如入侵检测技术。如今病毒的传播方式多种多样，具有很强的破坏能力，并且传播速度很快,一旦校园的某台计算机被病毒入侵,主机系统就会受到影响，导致整个校园的网络都会瘫痪。
3.2不重视校园网络的管理
大部分的高级技工院校对于网络管理问题，普遍是“重设备,轻管理”的理念，仅重视设备的购买,而忽视了对设备的管理。学校错误认为安装防火墙、电脑管家以及杀毒软件，就能起到信息安全防护的作用，其实信息安全还包含其他方面，安全防护设备在校园网络中虽然得到了普遍应用，然而对于软件的实践应用只能解决一部分的信息安全问题。学校应该重视安全设备安装后的管理问题，通过制定相关的管理规则，使用户能够合理的使用校园网络，从而确保网络信息的安全。
3.3用户的校园网络安全意识不够高
高级技工学校用户普遍缺乏网络安全意识，需要不断提高网络安全意识，才能从根本上保障校园网络信息的安全。对于学校来说，校园网络用户在网络信息管理和保障中起到十分关键的作用，用户的实践操作行为直接影响信息的安全。目前，大部分校园网络用户,进行口令的选取时,忽视自身操作的规范性，导致校园网络被恶意入侵。
四、校园网络管理和信息安全保障的实践策略
4.1完善校园网络的访问权限设置
校园网络为了保证信息的安全需要设置网络权限，通常校园网络只提供给本校师生使用，这样就能有效的减少不良信息传播的途径，避免病毒通过其他途径破坏系统，从而保障校园网络信息的安全。访问权限设置能够控制用户的非法访问，检测用户登陆的服务器以及用户查看过的信息，使用户的账号能够受到监管，避免用户信息被盗用，导致信息的泄漏。
4.2重要信息及时做好备份
校园网络如果遭受到病毒的侵害，计算机系统就会受到损害，导致用户的重要信息泄漏、丢失等，造成用户的损失。因此，学校网络的数据库需要及时进行重要信息的备份，确保用户的重要信息能够通过备份系统找回，避免给用户造成不便。
4.3监控校园网络的日志
做好校园网络日志的监控工作是高级技工学校的重点工作，对于保障信息安全起到了重要的作用。安全设备虽然能够保障信息的安全，但是不能仅仅停留在表面，作为校园网络的管理人员，应该不断提高自身的素质，进行安全设备性能、用途等多方面的深入研究，从而更好的管理校园网络的信息。监控校园网络信息安全的对象有防火墙、检测系统、服务器等，由于防护核心思想的差异，综合使用监控设备能够有效的进行用户访问时间的跟踪，了解用户的登陆地点，登陆设备、登陆时间等，这些信息有助于学校管理和保障信息安全，了解校园网络日志的具体来源和途径，从而提高校园网络的安全性。
4.4建立校园网络管理相关的制度
高级技工学校应该制定相关的政策，强化用户对信息安全防护的意识，提高自身的网络素养。制定完善的制度管理体系，使用用户能够严格按照相关规定约束自身的行为，避免由于自身错误的操作，造成校园网络信息的泄密、丢失等。由于校园网络使用的用户普遍为在校学生,因此学校可以结合学生的实际情况，设立网络相关的选修课程,提高学生的网络安全意识。与此同时，校园网络使用的用户还包括教师，学校应该对教师展开定期的培训，提高教师的综合素质，从而做到言传身教。通过不断提高校园网络用户的整体素质，网络不良信息的传播才能得到有效的控制，避免恶意入侵的非法用户危害校园网络的安全。
五、结语
综上所述，校园网络是一把双刃剑,虽然为学生和教师的学习和教学工作带来了方便，然而随着网络技术的不断发展，信息安全的问题接踵而至，为了有效确保校园网络信息的安全，学校需要不断的完善校园网络的访问权限设置，对重要的信息及时做好备份，监控校园网络的日志，建立校园网络管理相关的制度，从而提高校园网络用户的综合素质，提高校园网络的安全性。
参考文献
[1]杨梅,甘露,张林涛.校园网络管理和信息安全保障实践探讨[J].玉林师范学院学报,2013,01:112-116.
[2]王平,赵仕伟,赵义平.浅谈校园网络管理与信息安全保障对策研究[J].网友世界,2014,06:5.
[3]徐喆.高校网络安全存在的问题与对策研究[D].燕山大学,2012.
1）电气环境方面的要求。防电气干扰和防静电是控制机房电气环境工作的重要内容。在计算机机房的建设过程中，应当科学的设置接地的抗静电底板，进而保证设备免受静电的影响。与此同时还应当针对机房内壁进行防静电处理，严格避免化纤材质的应用。机房中部分设备需要二十四小时连续运行，这给清理造成了一定影响，为了避免设备因为清理不及时而产生问题，机房管理人员应当定期对这些设备进行清理。例如机房内的插电板在灰尘较多的情况下会产生发热的问题，通过彻底清理灰尘就能有效解决。同时应当科学的放置机房内的设备，由于很多设备在运行中会产生电磁辐射，进而会干扰其他设备的运行，最终产生设备相互影响的问题。因此机房设备抗电磁干扰问题是机房建设中应当考虑的重点问题。
2）湿度、温度方面要求。机房内设备的使用寿命很大程度上取决于机房内的温度高低，机房中交换机设备尤甚。这些设备在机房内温度过高的情况下无法进行正常的散热，进而使电路运行稳定性被严重影响，甚至于引导内部元器件损毁。通常情况下计算机机房温度保持19摄氏度至24摄氏度之间，最利于设备的稳定运行。此外机房设备对于环境湿度也有一定的要求，很多机房设备的裸漏插接件和金属件在湿度较大的情况下会发生生锈，进而产生短路证问题。但是机房湿度过低也会对设备造成影响，在过于干燥的情况下设备会受到静电效应应当出现问题，此时运用加湿器增加湿度。通常情况下具有40%至60%湿度的机房最利于机房设备的运行。
3）防尘方面要求。机房空气中的很多细微漂浮物都会影响机房内部设备运行，很多电子器件和金属接插件广泛存在于计算机机房内部，当其表面存在灰尘时就会产生接触不良或者绝缘性降低等问题，进而引发短路等严重危害计算机机房安全。落在电路板上的灰尘会带电长时间的累积后，大量带电灰尘就会对设备的使用造成影响。
二、计算机机房环境保障措施
1）UPS不间断电源系统。在停电时代替市电持续供给电能的设备就是UPS电源，电池组是电能的主要来源，反映速度快是电池组的重要特点，由于能够在非常短的时间内接替市电供给电放电能，所以人们通常很难察觉电网停电。网络设备和计算机获得的电流是经机房EPS设备传输的变电站工频交流电，由于UPS在计算机机房供给电流过程中具有较大的作用，因此信息系统设备中UPS地位可见一斑。三相输出三相输入和单相输出三相输入两类方式通常应用于计算机机房的大中功率UPS电源。计算机机房建设中应当以负载为依据确定UPS的型号，避免过小或者过大。最后在计算机机房的运行过程中，需要对UPS电池组进行定期放电，并且将UPS电源环境的湿度和温度控制在一定范围内[1]。
2）机房专用空调。计算机机房环境与普通的工作生活环境不同，应当运用恒湿、恒温空调。计算机机房设备能耗取决于机房内的主机设备工作状态，并会引发机房内10%至20%的热负荷变化。通过机房空调系统机房内的湿度和温度能够得到有效控制，让机房内的设备能够在适宜的湿度和温度环境下运行，进而为相应设备的有序稳定运行提供保证。若是在计算机机房使用普通空调，空气在机房内难以在有限的风力下产生较大的流速，机房中的尘埃就无法从空气中带到过滤器上，随着时间的延长在计算机机房设备中堆积的尘埃越来越多，进而影响到设备的正常运行和性能。专门应用于计算机机房的空调具有较大的风力，能够促进空气的有效流动，加之设置在空调中的空气过滤器更为专业，能够有效过滤掉空气中的灰尘，使得计算机机房具有符合要求的洁净度[2]。
3）防雷系统。防雷系统能够保证计算机机房在雷雨天气正常运行和不被破坏。通常雷电会从两个方面对计算机机房造成危害：首先是物体遭受雷击，计算机房中正在使用的设备和计算机流入沿着各种设备传入的雷击电流，进而严重损毁机房设备。其次是发生雷击时物体未被击中，但在相邻导体上产生电磁效应和静电效应，并通过导体非常快的向用电设备传播，进而使得用电设备受到影响。通常情况下应当采用以下措施给予解决：一方面可以在防雷保护区内部建设计算机机房，这样在雷雨多发季节就可以避免直接被雷电击中，另一方面增加防浪涌设备于业务系统的信号和供电连接点，这样能够使因设备启停和感应雷等引起的浪涌危害得到防治。雷雨多发季节机房内系统的安全运行能够通过严格的防雷措施得到避免。
三、计算机机房的安全管理措施
（一）消防措施
建设计算机机房应当选用防火材料和构架，并科学的设置火灾紧急通道。同时还应当在楼道和机房内安装防火报警探头和温度烟雾感应器，保证发生火灾报警的同时启动自动灭火系统，进而及时扑灭火灾。最后对于计算机机房内的灭火器应当进行定期检查，保证在发生火灾的情况下能够正常用于灭火，进而最大限度降低火灾造成了人员伤亡和设备损坏。
（二）配套电源保障
随着科技的进步，越来越多的智能电源设备被用于生产生活中，在建设计算机机房时，应当保证机房内相应设备具有合格的电气隔离性和电磁兼容性，这样才能够保证设备之间不会受到彼此的影响。同时主设备应当满足不间断供电要求，并且动力设备间能够利用通用或兼容的数据进行通信。完整的动力监控网购结构以各种数据协议有效兼容为前提，进而为相互控制提供保障。
（三）专用地线保障
(北京中油瑞飞信息技术有限责任公司北京100007)
摘要：通过对大中型跨国企业海外信息安全体系的研究，形成了一个完整的海外信息安全体系框架，包括安全策略、安全技术体系、安全管理体系、运行保障体系和建设实施规划等。依照该框架，企业可以针对各部分进行具体实施，从而完成整个的海外信息安全建设。
关键词 ：大中型企业；信息安全体系；框架；理论指导；安全模型
1海外信息安全体系建设原则
大中型企业海外信息安全体系的建设，涉及面广、工作量大，整体设计必须坚持以下的原则，以保证建设和运营的效果。
1.1统一规划管理
要对信息安全体系建设进行统一的规划，制定信息安全体系框架，明确保障体系中所包含的内容。同时，还要制定统一的信息安全建设标准和管理规范，使得信息安全体系建设遵循一致的标准、管理遵循一致的规范。
1.2分步有序实施
信息安全体系建设的内容庞杂，必须坚持分步有序的实施原则，循序渐进。
1.3技术管理并重
仅有全面的安全技术和机制是远远不够的，安全管理也具有同样的重要性。信息安全体系的建设，必须遵循安全技术和安全管理并重的原则，制定统一的安全建设管理规范，指导安全管理工作。
1.4突出安全保障
信息安全体系建设要突出安全保障的重要性，通过数据备份、冗余设计、应急响应、安全审计、灾难恢复等安全保障机制，保障业务的持续性和数据的安全性。
2海外信息安全体系建设目标
大型跨国企业海外信息安全的建设目标是：基于安全基础设施、以安全策略为指导，提供全面的安全服务内容，覆盖从物理、网络、系统直至数据和应用平台各个层面，以及保护、检测、响应、恢复等各个环节，构建全面、完整、高效的信息安全体系，从而提高企业信息系统的整体安全等级，为企业海外业务发展提供坚实的信息安全保障。
3海外信息安全体系框架
企业进行信息安全建设的目标是建立起一个全面、有效的信息安全体系，包括了安全技术、安全管理、人员组织、教育培训、资金投入等关键因素，信息安全建设的内容多，规模大，必须进行全面的统筹规划，明确信息安全建设的工作内容、技术标准、组织机构、管理规范、人员岗位配备、实施步骤、资金投入，才能够保证信息安全建设有序可控地进行，使信息安全体系发挥最优的保障效果。
同时还应该制定一系列的安全管理规范，指导信息安全建设和运营工作，使得信息安全建设能够依据统一的标准开展，信息安全体系的运营和维护能够遵循统一的规范进行。
3.1安全目标模型
根据大型跨国企业海外信息安全体系建设目标和总体安全策略，建立与之对应的目标模型，称为WP2DRR安全模型。该模型由预警（ Warning）、策略(Policy)、保护（Protectlon）、检测（Detection）、响应(Response)、恢复（Recovery）6个要素环节构成了一个基于时间的、完整的、动态的信息安全体系。WP2DRR模型在P2DR模型的基础上新增加了预警Warnlng和恢复Recover，增强了安全保障体系的事前预防和事后恢复能力，系统一旦发生安全事故，也能恢复系统功能和数据，恢复系统的正常运行。
安全目标模型是信息安全体系框架的基础，大型跨国企业的海外信息安全体系框架应该紧密围绕安全模型的6个要素环节进行设计，每个要素环节的功能都在安全技术体系、安全组织和管理体系以及运行保障体系中体现出来。
3.2信息安全体系框架组成
通过对企业的网络和应用现状、安全现状、面临的安全风险的分析，根据安全保障目标模型，制定了大型跨国企业海外信息安全体系框架。制定该框架的目的在于从宏观上指导和管理信息安全体系的建设和运营。
该框架由一组相互关联、相互作用、相互弥补、相互推动、相互依赖、不可分割的信息安全保障要素组成。此框架中，以安全策略为指导，融会了安全技术、安全管理和运行保障3个层次的安全体系，以达到系统可用性、可控性、抗攻击性、完整性、保密性的安全目标。大型跨国企业海外信息安全体系框架的总体结构如图1所示。
3.2.1安全策略
在这个框架中，安全策略是指导，与安全技术体系、安全组织和管理体系以及运行保障体系这3大体系相互作用。一方面，3大体系是在安全策略的指导下构建的，主要是要将安全策略中制定的各个要素转化成为可行的技术实现方法和管理、运行保障手段，全面实现安全策略中所制定的目标。另一方面，安全策略本身也有包括草案设计、评审、实施、培训、部署、监控、强化、重新评佶、修订等步骤在内的生命周期，需要采用一些技术方法和管理手段进行管理，保证安全策略的及时性和有效性。
按照要保障的资产对象的不同，总体策略划分为物理安全、网络安全、系统安全、病毒防治、身份认证、应用授权和访问控制、数据加密、数据备份和灾难恢复、应急响应、教育培训等若干方面进行阐述。
随着技术的发展以及系统的升级、调整，安全策略也应该进行重新评估和制定，随时保持策略与安全目标的一致性。
3.2.2安全技术体系
安全技术体系是整个信息安全体系框架的基础，包括了安全基础设施平台、安全应用系统平台和安全综合管理平台这3个部分，以统一的信息安全基础设施平台为支撑，以统一的安全系统应用平台为辅助，在统一的综合安全管理平台管理下的技术保障体系框架。
安全基础设施平台是以安全策略为指导，立足于现有的成熟安全技术和安全机制，从物理和通信安全防护、网络安全防护、主机系统安全防护、应用安全防护等多个层次出发，建立起的一个各个部分相互协同的完整的安全技术防护体系。
应用信息系统通过使用安全基础设施平台所提供的各类安全服务，提升自身的安全等级，以更加安全的方式，提供业务服务和内部信息管理服务。安全综合管理平台的管理范围尽可能地涵盖安全技术体系中涉及的各种安全机制与安全设备，对这些安全机制和安全设备进行统一的管理和控制，负责管理和维护安全策略，配置管理相应的安全机制，确保这些安全技术与设施能够按照设计的要求协同运作，可靠运行。它在传统的信息系统应用体系与备类安全技术、安全产品、安全防御措施等安全手段之间搭起桥梁，使得各类安全手段能与现有的信息系统应用体系紧密的结合实现无缝连接，促成信息系统安全与信息系统应用的真正的一体化，使得传统的信息系统应用体系逐步过渡向安全的信息系统应用体系。
统一的安全管理平台有助于各种安全管理技术手段的相互补充和有效发挥，也便于从系统整体的角度来进行安全的监控和管理，从而提高安全管理工作的效率，使人为的安全管理活动参与量大幅下降。
3.2.3安全管理体系
安全组织和管理体系是安全技术体系真正有效发挥保护作用的重要保障，安全管理体系的设计立足于总体安全策略，并与安全技术体系相互配合，增强技术防护体系的效率和效果，同时也弥补当前技术无法完全解决的安全缺陷。
技术和管理是相互结合的。一方面，安全防护技术措施需要安全管理措施来加强，另一方面技术也是对管理措施贯彻执行的监督手段。在大型跨国企业海外信息安全体系框架中，安全管理体系的设计充分参考和借鉴了国际信息安全管理标准《BS7799 (IS017799)》的建议。
大型跨国企业海外信息安全管理体系由若干信息安全管理类组成，每项信息安全管理类可分解为多个安全目标和安全控制。每个安全目标都有若干安全控制与其相对应，这些安全控制是为了达成相应安全目标的管理工作和要求。
3.2.4运行保障体系
运行与保障体系由安全技术和安全管理紧密结合的内容所组成，包括了系统可靠性设计、系统数据的备份计划、安全事件的应急响应计划、安全审计、灾难恢复计划等，运行和保障体系对于企业网络和信息系统的可持续性运营提供了重要的保障手段。
3.2.5建设实施规划
建设实施规划是在安全管理体系、安全技术体系、运行保障体系设计的基础上进一步制定的建设步骤和实施方案。在建设实施规划中突出体现了分步有序实施的原则。
任何信息安全建设都需要人员负责管理和实施，因此，首先应该建立信息安全工作监管组织机构，明确各级管理机构的人员配备，职能和责任。其中信息安全管理机构负责信息安全策略的审核与颁布、统一技术标准和管理规范的制定、指导和监督信息安全建设工作、对信息安全系统进行监控与审计管理。
信息安全体系建设，应该首先从物理环境安全建设入手，确保机房建设按照的统一标准进行建设，并且按照统一的管理规范进行管理。
在接下来的网络安全建设中，应对计算机网络的安全域进行划分，对网络结构进行调整，以确保内部网络与外部网络、业务网络与办公网络边界清晰；在各安全域的边界处部署防火墙、网络入侵检测等安全产品，形成立体的区域边界保护机制，对各安全域进行逻辑安全隔离，禁止未授权的网络访问；在内部网络中部署网络脆弱性分析工具，定期对内部网络进行检查，并采取措施及时弥补新发现的安全漏洞。
在进行网络安全建设的同时，还可以进行系统安全建设，在内部网络中全面部署网络病毒查杀系统，有效抑制计算机病毒在内部网络中传播，避免对系统和数据造成损害。另外，主机系统管理员还应该按照主机系统管理规范的要求，借助主机脆弱性分析和安全加固工具，定期对主机系统进行检查，更新安全漏洞补丁的级别，修正不当的系统和服务配置，查看和分析系统审计日志，控制和保证主机系统的良好安全状态。
应用安全建设包括建立身份认证系统、应用授权和访问控制系统、数据安全传输系统等，对专业业务应用系统和内部信息管理系统提供各种安全服务。
按照统一标准，建立安全审计与分析系统、系统和数据备份计划、安全事件应急响应计划、灾难恢复计划等安全保障机制，重在保护业务数据等信息资产，保证内外应用服务的持续可用性。
对所有员工进行基本安全教育，为信息安全系统相关技术人员提供专门的安全理论和安全技能培训，提高全员的安全意识，打造一支高素质的专业技术和管理队伍。
4结论
海外信息安全体系是一个全方位的体系，从技术到管理、从网络到设备再到人。任何一个方面都要考虑周全，只有每一个部分的安全才是整体的安全。
参考文献
关键词：社会保障档案；档案管理；信息化建设
信息化是当前社会科技发展所呈现出的一种必然趋势，随着其被广泛运用于社会其他行业以及各个领域之中，其快捷性、系统性以及科学化的管理模式以及服务特点，逐渐被使用者高度重视。社会保障档案管理不仅是社保系统能够平稳、快速运营的重要基础，同时也是保障广大参保群众个人权益的重要依据和有效凭证，因此将信息化与社会保障档案管理二者相结合，不仅是顺应时展的必然要求，更是其发展的必然方向。
1社会保障档案管理信息化建设的必要性
从内容分类上来说，社会保障是由社会保险、社会救济、社会福利以及社会安抚等方面共同组成的，是基于法律而形成的一种国民收入再分配的形式。其不仅是能够保障各种低收入者、或是遭受一定意外灾害的群众能够继续生存，同时也是广大劳动者在养老、工伤、失业以及医疗和生育等情况下，依然能够享受到国家给予的一定保障补偿。作为提升社会公共服务水平以及居民生活质量的重要举措，社会保障涉及社会发展过程中的各个方面，不仅关系到民众的切身利益，更对社会经济的发展有着日益明显的作用与影响。由于广大群众在参与社保以及其他福利保障措施时，提交了大量的个人信息资料并生成了一定的档案文件，而随着民众社会保障意识的不断提升，这些档案资料的积累逐渐增加，最终形成了一个庞大而复杂的体系，在将信息化引入对其管理的过程中，不仅能够实现管理清晰化、服务流程规范化，同时还能推动广大工作人员综合素质的提升以及专业化能力的拔高。反之，如果一味地沿用传统、旧有的管理模式，片面排斥对信息化的引入，不仅会制约工作流程以及效率的提升，更会影响到广大档案信息的安全，甚至会让广大群众的个人权益受到损害，最终会影响到其科学的发展进程。
2社会保障档案管理的信息化建设策略
2.1应用策略
由信息科技快速发展所引发的巨大变革，不仅能够帮助人们更加清晰地认识社会保障档案管理工作，同时还将利用档案管理工作的各项成果以及所生成的信息素材，对社会保障工作的发展和推动产生积极的作用；不仅有助于其保障体系的进一步完善和科学化发展，还能推动整个社会以更加平稳、和谐的状态向前发展。相对于传统档案管理方式本身存在的片面性、滞后性以及宣传薄弱型的特征，信息化能够充分利用既定档案内容所生成的电子化、数据化信息，充分利用数据以及多媒体和网络平台，充分让处于不同地域、不同工作环境的工作人员能够使用统一的管理数据系统，在基于安全的情况下，实现网络共享。具体来说，社会保障档案管理的信息化建设的应用策略可以从以下两个方面来展开：首先，信息技术的引入改变了档案管理原有的工作方式，也让信息数据的更新变得更加全面和及时，档案管理的工作人员要充分利用这种即时性，以此为决策生成提供科学化的依据；其次，将档案管理过程中的先进技术纳入到日常工作过程当中，能够充分发挥网络技术对改善管理以及业务流程的作用，实现工作效率的提升。
2.2管理策略
随着当前社会经济的快速发展以及“十三五规划”背景下提出的有关健康保障和其他方面的保障措施要求，让现有的社会保障朝着服务范围逐渐扩大、服务要求逐渐提升的方向快速发展起来。在这种局面下，将信息化技术引入档案管理的过程当中，实现全国统一的网络管理是其未来的发展方向。而要想实现这一理想化的发展模式，笔者认为可以从以下几个角度来展开尝试：首先，通过计算机网络技术加强对于档案信息的管理，加强业务办理过程中的各项事务的操作与运营，保障信息技术的使用能够切实为广大民众展开细致而周到的服务，并贯彻于社会保障档案管理工作的各个流程当中，全面推动现代化的实施。其次，建立网络共享服务平台，按照档案信息的具体内容和所属区域进行分类归档，并提供非限制和非保密性文件的统一检索和管理服务，提高调档查询速度，提升工作效率。而在这一环节当中，电子档案的收集、转化以及上传是最不容忽视的问题，为保障工作效率。笔者认为可以建立自动上传的窗口及网络技术，在接受电子档案的同时完成自动上传，实现收集、上传、归档的链条式管理模式，以便日后查询。第三，在社会保障电子档案建立之后，还需要对其进行持续性和补充性的推动。由于社会保障档案与人事有着十分重要的关联性，会随着人员的流动而发生变化，所以在社会保障档案管理的过程中必须随时保持档案所有者的现单位与档案管理单位相一致，这样档案才能充分发挥其作用，而要想实现这一即时性和变化性的过程，就必须充分建立起企事业单位和社会保障中心之间的档案流动借口，保障文件信息电子档案的快速交换与信息共享，以最少的人力和物力完成保障信息传递和交换的过程，还要避免重复造成的步骤冗余。
2.3安全保障策略
在社会保障档案管理信息化推进的过程中，必然面临着网络的共享由此引发的安全保障问题，否则极易引发广大群众基本权益的缺失。关于这一环节，笔者认为具体需要采取以下几个措施：首先，加强社会保障档案管理信息化的法制建设，为各类电子档案、网络信息提供必要的法律保障和制度支持，为档案信息生成过程中所有收集、整理和传输、的真实性以及安全性提供必要的保障；其次，研究出能够保障档案信息安全的可靠方法，以资金支持或政策性文件内容保障其可靠安全和可持续性发展。并在创新档案管理理念的基础之上，制定出全新的适宜网络和信息化建设流程的档案管理法规。第三，全面提升档案管理人员的综合素质，加强对信息化以及网络安全化人才的培养和吸收，通过组建优质的档案管理工作人员队伍，为社会保障事业发展建设出准确化、专业化以及细致化的管理安全平台。
3结语
综上所述，推动社会保障档案管理的信息化建设不仅是其适应时展的需要，亦是全面提升其服务水平和工作质量、提升其工作效率的必要性举措之一。但是，需要注意的是，随着信息化内容以及工作方法和思想理念的引入，也必然会引发有关安全化以及信息内容共享的有关问题，只有基于目前社会保障档案管理工作的现状，采取有效的创新方法以及相关制度的合理引入才能保障信息化的同时又不会产生任何有害于安全的因素，才能更好地为广大群众展开服务。
作者:姜云鹤 单位:大理白族自治州人力资源和社会保障局信息中心
参考文献:
［1］陶世宏.档案管理电子化、信息化建设的应对策略［J］.学习月刊，2011（8）:136.
随着云计算、大数据等新兴技术的不断发展，企业信息化、智能化程度、网络化、数字化程度越来越高，人类社会进入到以大数据为主要特征的知识文明时代。大数据是企业的重要财富，正在成为企业一种重要的生产资料，成为企业创新、竞争、业务提升的前沿。大数据正在成为企业未来业务发展的重要战略方向，大数据将引领企业实现业务跨越式发展;同时，由此带来的信息安全风险挑战前所未有，远远超出了传统意义上信息安全保障的内涵，对于众多大数据背景下涉及的信息安全问题，很难通过一套完整的安全产品和服务从根本上解决安全隐患。
自2008年国际综合性期刊《Nature》发表有关大数据(Big Data)的专刊以来，面向各应用领域的大数据分析更成为各行业及信息技术方向关注的焦点。大数据的固有特征使得传统安全机制和方法显示出不足。本文系统分析了大数据时代背景下的企业信息系统存在的主要信息安全脆弱性、信息安全威胁以及信息安全风险问题，并有针对性地提出相应的信息安全保障策略，为大数据背景下的企业信息安全保障提供一定指导的作用。
1 大数据基本内涵
大数据(Big Data)，什么是大数据，目前还没有形成统一的共识。网络企业普遍将大数据定义为数据量与数据类型复杂到在合理时间内无法通过当前的主流数据库管理软件生成、获取、传输、存储、处理，管理、分析挖掘、应用决策以及销毁等的大型数据集。大数据具有4V特征(Volume，Varity，Value，Velocity)，即数据量大、数据类型多、数据价值密度低、数据处理速度快。
2011年麦肯锡咨询公司发布了《大数据：下一个创新、竞争和生产力的变革领域》[1]的研究报告，引起了信息产业界的广泛关注。美国谷歌公司(Google)、国际商业机器公司(IBM)、美国易安信公司(EMC)、脸书(Facebook)等公司相继开始了大数据应用、分析、存储、管理等相关技术的研究，并推出各自的大数据解决框架、方案以及产品。
例如，阿帕奇软件基金会(Apache)组织推出的Hadoop大数据分析框架，谷歌公司推出的BigTable、GFS(Google File System)、MapReduce等技术框架等，这些研究成果为随后的大数据应用迅猛发展提供了便利的条件。2012年3月，美国奥巴马总统发布了2亿美元的“Big Data Initiative”(大数据研究和发展计划)，该计划涉及能源、国防、医疗、基础科学等领域的155个项目种类，该计划极大地推动了大数据技术的创新与应用，标志着奥巴马政府将大数据战略从起初的政策层提升到国家战略层。
同时，我国对大数据的认识、应用及相关技术服务等也在不断提高，企业界一致认同大数据在降低企业经营运营成本、提升管理层决策效率、提高企业经济效益等方面具有广阔的应用前景，相继发布大数据相关战略文件，同时国家组织在民生、国防等重要领域投入大量的人力物力进行相关技术研究与创新实践。中国移动通信公司在已有的云计算平台基础上，开展了大量大数据应用研究，力图将数据信息转化为商业价值，促进业务创新。
例如，通过挖掘用户的移动互联网行为特征，助力市场决策;利用信令数据支撑终端、网络、业务平台关联分析，优化网络质量。商业银行也相继开展了经融大数据研究，提升银行的竞争力。例如，通过对用户数据分析开展信用评估，降低企业风险;从细粒度的级别进行客户数据分析，为不同客户提供个性化的产品与服务，提升银行的服务效率。总而言之，大数据正在带来一场颠覆性的革命，将会推动整个社会取得全面进步。
2 大数据安全研究现状
在大数据计算和分析过程中，安全是不容忽视的。大数据的固有特征对现有的安全标准、安全体系架构、安全机制等都提出了新的挑战。目前对大数据完整性的研究主要包括两方面，一是对数据完整性的检测;二是对完整性被破坏的数据的恢复。在完整性检测方面，数据量的增大使传统的MD5、SHA1等效率较低的散列校验方法不再适用，验证者也无法将全部数据下载到本地主机后再进行验证。
面向大数据的高效隐私保护方法方面，高效、轻量级的数据加密已有多年研究，虽然可用于大数据加密，但加密后数据不具可用性。保留数据可用性的非密码学的隐私保护方法因而得到了广泛的研究和应用。这些方法包括数据随机化、k-匿名化、差分隐私等。这些方法在探究隐私泄漏的风险、提高隐私保护的可信度方面还有待深入，也不能适应大数据的海量性、异构性和时效性。
在隐私保护下大数据的安全计算方面，很多应用领域中的安全多方计算问题都在半诚实模型中得到了充分的研究，采用的方法包括电路赋值(Circuit Evaluation)、遗忘传输(Oblivious Transfer)、同态加密等。通过构造零知识证明，可以将半诚实模型中的解决方法转换到恶意模型中。而在多方参与、涉及大量数据处理的计算问题，目前研究的主要缺陷是恶意模型中方法的复杂度过高，不适应多方参与、多协议执行的复杂网络环境。
企业大数据技术是指大数据相关技术在企业的充分应用，即对企业业务、生产、监控、监测等信息系统在运行过程中涉及的海量数据进行抽取、传输、存储、处理，管理、分析挖掘、应用决策以及销毁等，实现大数据对企业效率的提升、效益的增值以及风险的预测等。
企业的大数据类型通常主要包括业务经营数据即客户信息数据、企业的生产运营与管理数据以及企业的设备运行数据等，即客户信息数据、员工信息数据、财务数据、物资数据、系统日志、设备监测数据、调度数据、检修数据、状态数据等。企业大数据具有3V、3E特征[2]，3V即数据体量大(Volume)、数据类型多(Varity)与数据速度快(Velocity)，3E即数据即能量(Energy)、数据即交互(Exchange)与数据即共情(Empathy)。3 大数据时代企业信息安全漏洞与风险并存
大数据时代，大数据在推动企业向着更为高效、优质、精准的服务前行的同时，其重要性与特殊性也给企业带来新的信息安全风险与挑战。如何针对大数据的重要性与特殊性构建全方位多层次的信息安全保障体系，是企业发展中面临的重要课题。大数据背景下，结合大数据时代的企业工作模式，企业可能存在的信息安全风险主要表现在以下三个方面：
(1)企业业务大数据信息安全风险：由于缺乏针对大数据相关的政策法规、标准与管理规章制度，导致企业对客户信息大数据的“开放度”难以掌握，大数据开放和隐私之间难以平衡;企业缺乏清晰的数据需求导致数据资产流失的风险;企业数据孤岛，数据质量差可用性低，导致数据无法充分利用以及数据价值不能充分挖掘的风险;大数据安全能力和防范意识差，大数据人才缺乏导致大数据分析、处理等工作难以开展的风险;管理技术和架构相对滞后，导致数据泄露的风险。
(2)企业基础设施信息安全风险：2010年，震网病毒[3]通过网络与预制的系统漏洞对伊朗核电站发起攻击，导致伊朗浓缩铀工程的部分离心机出现故障，极大的延缓了伊朗核进程。从此开启了世界各国对工业控制系统安全的重视与管控。对于生产企业，工业生产设备是企业的命脉，其控制系统的安全性必须得到企业的高度重视。随着物理设备管理控制系统与大数据采集系统在企业的不断应用，监控与数据采集系统必将成为是物理攻击的重点方向，越来越多的安全问题随之出现。
设备“接入点”范围的不断扩大，传统的边界防护概念被改变; 2013年初，美国工业控制系统网络紧急响应小组(ICS-CERT)发布预警，发现美国两家电厂的发电控制设备在2012年10月至12月期间感染了USB设备中的恶意软件。该软件能够远程控制开关闸门、旋转仪表表盘、大坝控制等重要操作，对电力设备及企业安全造成了极大的威胁。
(3)企业平台信息安全风险： 应用层安全风险主要是指网络给用户提供服务所采用的应用软件存在的漏洞所带来的安全风险，包括： Web服务、邮件系统、数据库软件、域名系统、路由与交换系统、防火墙及网管系统、业务应用软件以及其他网络服务系统等;操作系统层的安全风险主要是指网络运行的操作系统存在的漏洞带来的安全风险，例如Windows NT、UNIX、Linux系列以及专用操作系统本身安全漏洞，主要包括访问控制、身份认证、系统漏洞以及操作系统的安全配置等;网络层安全风险主要指网络层身份认证，网络资源的访问控制，数据传输的保密性与完整性、路由系统的安全、远程接入、域名系统、入侵检测的手段等网络信息漏洞带来的安全性。
4 企业大数据信息安全保障策略
针对大数据时代下企业可能存在的信息安全漏洞与风险，本文从企业的网络边界信息安全保障、应用终端信息安全保障、应用平台信息安全保障、网络安全信息安全保障、数据安全信息安全保障等多方面提出如下信息安全保障策略，形成具有层次特性的企业信息安全保障体系，提升大数据时代下的企业信息安全保障能力。
4.1企业系统终端——信息安全保障策略
对企业计算机终端进行分类，依照国家信息安全等级保护的要求实行分级管理，根据确定的等级要求采取相应的安全保障策略。企业拥有多种类型终端设备，对于不同终端，根据具体终端的类型、通信方式以及应用环境等选择适宜的保障策略。确保移动终端的接入安全，移动作业类终端严格执行企业制定的办公终端严禁“内外网机混用”原则，移动终端接入内网需采用软硬件相结合的加密方式接入。配子站终端需配置安全模块，对主站系统的参数设置指令和控制命令采取数据完整性验证和安全鉴别措施，以防范恶意操作电气设备，冒充主站对子站终端进行攻击。
4.2企业网络边界——信息安全保障策略
企业网络具有分区分层的特点，使边界不受外部的攻击，防止恶意的内部人员跨越边界对外实施攻击，在不同区的网络边界加强安全防护策略，或外部人员通过开放接口、隐蔽通道进入内部网络。在管理信息内部，审核不同业务安全等级与网络密级，在网络边界进行相应的隔离保护。按照业务网络的安全等级、实时性需求以及用途等评价指标，采用防火墙隔离技术、协议隔离技术、物理隔离技术等[4]对关键核心业务网络进行安全隔离，实现内部网与外部网访问资源限制。
4.3企业网络安全——信息安全保障策略
网络是企业正常运转的重要保障，是连接物理设备、应用平台与数据的基础环境。生产企业主要采用公共网络和专用网络相结合的网络结构，专用网络支撑企业的生产管理、设备管理、调度管理、资源管理等核心业务，不同业务使用的专用网络享有不同安全等级与密级，需要采取不同的保障策略。网络弹性是指基础网络在遇到突发事件时继续运行与快速恢复的能力。
采用先进的网络防护技术，建立基础网一体化感知、响应、检测、恢复与溯源机制，采取网络虚拟化、硬件冗余、叠加等方法提高企业网络弹性与安全性;对网络基础服务、网络业务、信息流、网络设备等基础网络环境采用监控审计、安全加固、访问控制、身份鉴别、备份恢复、入侵检测、资源控制等措施增强网络环境安全防护;在企业网络中，重要信息数据需要安全通信。针对信息数字资源的安全交换需求，构建企业的业务虚拟专用网。在已有基础网络中采用访问控制、用户认证、信息加密等相关技术，防止企业敏感数据被窃取，采取建立数据加密虚拟网络隧道进行信息传输安全通信机制。
4.4企业应用系统平台——信息安全保障策略
应用系统平台安全直接关系到企业各业务应用的稳定运行，对应用平台进行信息安全保障，可以有效避免企业业务被阻断、扰乱、欺骗等破坏行为，本文建议给每个应用平台建立相应的日志系统，可以对用户的操作记录、访问记录等信息进行归档存储，为安全事件分析提供取证与溯源数据，防范内部人员进行异常操作。
企业应用平台的用户类型多样，不同的应用主体享有不同的功能与应用权限，考虑到系统的灵活性与安全性，采用基于属性权限访问控制[5]、基于动态代理和控制中心访问权限控制[6]、基于域访问权限控制[7]、基于角色访问控制等访问控制技术;确保企业应用平台系统安全可靠，在应用平台上线前，应邀请第三方权威机构对其进行信息安全测评，即对应用平台系统进行全面、系统的安全漏洞分析与风险评估[8]，并制定相应的信息安全保障策略。4.5企业大数据安全——信息保障策略
大数据时代下，大数据是企业的核心资源。企业客户数据可能不仅包含个人的隐私信息，而且还包括个人、家庭的消费行为信息，如果针对客户大数据不妥善处理，会对用户造成极大的危害，进而失信于客户。目前感知大数据(数据追踪溯源)、应用大数据(大数据的隐私保护[9]与开放)、管控大数据(数据访问安全、数据存储安全)等问题，仍然制约与困扰着大数据的发展。大数据主要采用分布式文件系统技术在云端存储，在对云存储环境进行安全防护的前提下，对关键核心数据进行冗余备份，强化数据存储安全，提高企业大数据安全存储能力。
为了保护企业数据的隐私安全、提高企业大数据的安全性的同时提升企业的可信度，可采用数据分享、分析、发布时进行匿名保护已经隐私数据存储加密保护措施来加强企业数据的隐私安全，对大数据用户进行分类与角色划分，严格控制、明确各角色数据访问权限，规范各级用户的访问行为，确保不同等级密级数据的读、写操作，有效抵制外部恶意行为，有效管理云存储环境下的企业大数据安全。
5 结束语
随着信息技术的快速革新，数据正以惊人的速度积累，大数据时代已经来临了;智能终端和数据传感器成为大数据时代的数据主要来源。大数据在推动企业不断向前发展给企业提供了更多机遇的同时，也给企业的应用创新与转型发展带来了新的信息安全威胁、信息安全漏洞以及信息安全风险。传统的信息安全保障策略已经无法满足大数据时代的信息安全保障需求。怎样做好企业大数据信息安全保障、加强信息安全防护、建设相关法律法规将是大数据时代长期研究的问题。
信息化是信息技术系统与社会系统相互作用、紧密耦合，且有大量人的行为参与其中的综合发展进程。然而安全因素和系统因素相互制约，使得信息安全具有很大的综合性、复杂性和不确定性[1-3。同时，信息安全保障会伴随信息化的发展而不断变化。为了保证国家基础网络设施和重要信息系统等关键部门所建设的信息安全保障体系的长效机制，迫切需要针对不同重要行业、业务系统研宄建立科学的、可度量的、可操作的信息安全保障评价指标体系(Indicator)1-3]，对其信息安全保障的整体状态进行科学的、客观的评价与描述，从而确定所建设的信息安全保障体系的保障水平、保障实效和保障周期等问题。因此，信息安全保障评价指标体系就是用一组科学的、可度量的指标作对信息安全保障系统的保障功能、保障效果和保障周期进行综合的考核和评价。
2相关工作
现有的安全评估方式可以大致归结为4类:安全审计、风险分析、安全测评和系统安全工程能力成熟度模型SSE-CMM等D大部分通用的信息安全标准，如ISO17799ISO13335等，其核心思想都是基于风险的安全理念。信息技术先进的国家，例如美国、俄罗斯和日本等在信息安全保障评价指标体系方面己经率先开展了研宄工作。特别是美国，利用卡内基梅隆大学系统安全工程能力成熟度模型SS&CMM4]较早地建立了信息安全保障评价指标体系RayfordB.Vaughn[7]和NabilSeddigh[8等人研宄了信息安全保障评价的概念和范畴，给出了信息安全保障评价的框架。在国内，国家信息中心研宄了网络信息系统的信息安全保障理论和评价指标体系;更多的研宄针对网络安全的评价指标体系[11]。在评估方面，魏忠提出了从定性到定量的系统性信息安全综合集成评估体系;肖道举等113进行了网络安全评估模型的研宄;黄丽民等提出了网络安全多级模糊综合评价方法;李雄伟等[15]在采用模糊层次分析法Fuzzy-AHP评估网络攻击效果方面取得了一定的成果。有些研宄己经应用到具体的行业中[1(-18]。最近，中国工业与信息产业部推出了“中国信息安全产品评测指标体系”。
目前，有关网络信息系统的安全评价虽然存在着多种多样的具体实践方式，但在世界上还没有形成系统化和形式化的评价理论和方法。评价模型基本是基于灰色理论(GrayTheory)或者模糊(Fuzzy)数学，而评价方法基本上用层次分析法AHP(Analy或模糊层次分析法Fuzz：-AHP，将定性因素与定量参数结合，建立了安全评价体系，并运用隶属函数和隶属度确定待评对象的安全状况。
上述各种安全评估思想都是从信息系统安全的某一个方面出发，如技术、管理、过程、人员等，着重于评估网络系统安全某一方面的实践规范，在操作上主观随意性较强，其评估过程主要依靠测试者的技术水平和对网络系统的了解程度，缺乏统一的、系统化的安全评估框架，很多评估准则和指标没有与被评价对象的实际运行情况和信息安全保障的效果结合起来.在目前的评估方法中，基础指标(技术、管理、工程和战略)是相互独立的，技术、管理、工程和战略措施是并行的，评价指标之间相互独立，从而导致评价精度下降和评价准确性出现偏差。
本文从中国信息安全保障的国家战略、管理策略、工程规范和技术措施方面出发，提出以“安全基线政策MSecurityBaselinePolicy)为核心的信息安全评价指标体系(Indicator)
3基于安全基线政策的信息安全保障评价指标体系
研宄信息安全保障评价指标体系的主要目的是保证信息安全保障体系的战略完备性、管理先进性、工程成熟性和技术有效性。如何对这4个方面进行评价，则需要参照相关标准规定，即安全基线政策(SecurityBaselinePolicy)
3.安全基线政策的定义和含义
安全基线政策是为了保障互联网的信息安全，国家政府职权部门、行政管理部门和技术支撑单位从宏观、中观和微观3个角度，在国家、企事业和用户3个层次上，根据战略、管理、工程和技术4个方面制定的法律依据、标准规范、实施手段和技术方法的具体内容的统称。安全基线政策制定了保障和维护国家信息安全的办法。它实际上规定了信息系统安全的边界，是个封闭的、不可逾越的警示线。信息系统的信息安全保障系统基线政策核心。
国家(宏观)的政策是从上而下贯穿到底的，它是行业(中观)和企事业单位(微观)必须坚决执行的。也就是，行业(中观)和企事业单位(微观)制定的发展战略、行政管理、规划工程和实施技术必须以国家(宏观)的相关政策为基础、以此为目标的。其中，
(1)战略保障为信息安全保障提供法律依据，包括法规、政策和标准。即根据信息社会发展的需要界定法律边界、规划发展蓝图和指明策略方向，例如《全国人大常委会关于维护互联网安全的决定》，以及国家和各相关部委的标准和规定等;
(2)管理保障为信息安全保障提供制度保证，包括条例和规范。即根据中国国情制定实施规范，颁布具体条例和说明执行程序，例如国家公安部、工业和信息部颁发的标准和规范等;
(3)工程保障为信息安全保障提供实施方法包括实施和运行。即根据具体的保障情况要求实施质量监督和状态监控，例如国家对信息化工程实施指南的细则;
(4)技术保障为信息安全保障提供具体措施，包括需求、设计和方法。即根据美国安全工程能力成熟度模型分析系统的功能需求，设计系统的整体方案，建立系统的协同机制，进行系统的安全运行管理，完成系统的安全时间审计和实施系统的安全态势监视，例如国家计算机安全管理中心和国家病毒中心推出的具体措施。
由安全基线政策的定义和含义可以得出安全基线(SecurityBaseline)的定义为：从安全基线政策中抽取具体的量化值，用以具体表示安全基线政策，安全基线就是在安全基线政策的“圏”上通过抽样选取的具有代表性的点。
3.信息安全保障评价框架和流程
随着信息化的快速发展，面临着许多安全威胁，比如病毒侵入、恶意入侵和蓄意攻击等。为了保证信息化快速健康地发展，必须建立长效机制的信息安全保障系统。为了保证和检验信息系统的信息安全保障系统的有效性和长久性，建立信息安全保障评价指标体系用于对信息安全保障系统进行综合性评价.
信息安全保障系统必须是在达到安全基线政策的要求下，根据中办发|2003丨27号文的精神，结合实际信息系统而设计的。它是在针对安全威胁(病毒、入侵和攻击等)进行风险评估，判断现在的安全形势的基础上，研宄安全策略，制定具体的安全措施，形成系统的安全保障，达到一定的安全保障效果(安全属性:安全性、机密性和不可抵赖性等)因此，可以得出信息安全保障体系由3部分组成：
(1)信息安全保障措施，包括战略、管理、工程和技术措施;
(2)信息安全保障系统框架，是将信息安全保障措施综合集成为系统的保障体系，应用到实际信息系统的保障中;
(3)安全属性，是信息安全保障效果最终的体现，具体反映出信息安全保障体系在信息和信息系统的安全属性方面的效果。
根据信息安全保障系统的组成，可以得到信息安全保障评价的3个角度。
(1)保障角度：根据具体信息系统的应用功能，以及面临的安全威胁分析，确定相应的信息安全保障策略和方法;
(2)运行角度：根据保证信息系统正常运行的要求，进行必要的数据统计和监控手段;
(3)效果角度：根据信息系统安全保障的重点，针对具体的保障内容进行保障效果的检验。
通过以上所述，可以得到信息安全保障评价框架，如图2所示。从系统的角度来说，信息安全保障的目的就是使整个信息系统保持动态平衡(安全)的状态。
(1)静态评估：评价纸面上的东西，即评价信息安全保障设计的方案文档、制定的安全措施档案和安全管理的标准规范等。主要评价内容为安全方案的合理性、安全措施的正确性和标准规范的科学性。
静态评估的主要手段有两种。第一种为专家打分：要求一定数目的专家组成员独立针对每项安全方案、措施和规范的设计和内容进行评分，采用层次分析法(AHP)或者模糊层次分析法(F-AHP)将评分进行综合，得到评价结果;第二种为问卷调查:专家组成员根据具体信息系统的应用功能，事先有针对性地准备好一些问题，让被评估单位的专业人员进行回答，然后评估专家根据问卷的得分，对评估对象给出评价结论。
(2)动态评估:是对信息系统和信息安全保障系统的运行情况做出判断。该过程需要统计信息系统和安全保障系统曰常运行的记录数据，包括信息安全值班的所有记录和安全审计的日志等，例如网络流量、网络带宽、协议，以及入侵检测、防病毒、防火墙和安全审计等原始记录数据和统计显示数据。对记录数据进行统计和处理，以得到信息安全的评价结论。
(3)状态评估：是检验信息安全保障的效果。主要表现在对信息和信息系统的安全属性(保密性、完整性、真实性、可用性、不可抵赖性、抗毁性、生存型和有效性)进行测试和检验。主要手段包括两种:第一种为渗透测试，模拟黑客攻击的渗透测试技术，有助于查找信息系统的脆弱点和检验信息安全保障系统的效果;第二种为专项测试，针对信息和信息系统的某个安全属性，采用专业技术进行单项测试，检验信息安全保障在某个功能上的保障效果。
针对上述3个评估过程可以得到3种信息安全评价指标:静态(功能)指标、动态(运行)指标和状态(属性)指标。
评估过程是通过2个反馈关联起来的.其中，第一个反馈是内反馈，它将静态(功能)指标的评价结果反馈到信息系统的安全方案设计、安全措施实施和安全管理标准规范制定这个环节上，以对相关的文档进行修改，通过调整达到静态(功能)指标的要求;第二个反馈是外反馈，它是将动态(运行)指标和状态(属性)指标的评价结果送入到战略、管理、工程和技术调节单元中，把相关的调整变化也反馈到安全方案设计、安全措施实施和安全管理标准规范制定这个环节上，以保证从源头开始，满足信息系统的信息安全保障的要求。
通过3个评估过程和2个反馈，从系统化的角度，信息系统和信息安全保障系统形成一个动态平衡的系统，即在一定时间内保持相对安全的系统(安全是相对的，它在某一时段是安全的，而在另外一个时段就可能不安全了)该系统可以根据安全威胁的变化，通过调节安全策略和措施，使整个系统长期达到动态的平衡状态，即安全状态。
3.3信息安全保障评价指标体系
由信息安全保障评价框架和流程可以得知，信息安全保障评价指标的核心为静态(功能)指标、动态(运行)指标和状态(属性)指标。信息安全保障评价指标体系(1)总体指标
总体指标为信息安全保障评价指标，表示信息安全保障整体的安全态势、保障效果、经济和社会效益。
(2)1级指标
分别采用静态评估、动态评估和状态评估3种手段对信息安全保障系统进行评价，得到3个1级指标，即静态、动态和状态指标。
(2)1级指标
由3个1级指标延伸出如下11个1丨级指标：
a)静态指标包括战略完备性、管理先进性、工程成熟性和技术有效性;
b)过程指标包括预警、检测和防御;
c)效果指标包括状态监控、安全基线、保障效果和保障效益。
指标为基础指标，它是在信息系统上通过技术手段和管理手段可以直接或者间接采集或者统计得到的数据和信息，即为底层的信息安全保障运行数据。
基础指标的组成如下：
a)静态指标包括安全政策、安全条例、安全实施和安全措b)过程指标包括预警、检测和防御;
c)效果指标包括整体安全性、安全运行最小要求、信息和信息系统的安全属性以及社会效益和经济效益。
4比较分析
本文提出的基于安全基线政策的信息安全保障评价指标体系与常用的信息安全评估方法存在以下区别：
(1)目前的评估方法都是采用专家打分，利用层次分析法(AHP)进行评估。这个方法的缺点十分明显：
a)评价结果的指标单一，不能形成一个指标体系，所以评估的结果片面性较强;
b)评价对象相对比较独立，而且结构形式不能太复杂，对于复杂的计算机网络则不太适合。
因此，本文提出评价指标体系的思想，采用一组多级的评价指标，构成对信息安全保障系统评价的指标体系，采用关联判定和综合评估的方法对复杂的信息安全保障系统进行综合评价。
(2)现有的评估方法都是将保障系统中的功能模块进行划分，单独评估，最大的问题在于没有考虑每个模块之间的关系，或者将每个模块之间的关系简单化，导致评估的结果精确度下降。而之所以采用模块划分的评估方法，是因为没有一个统一的评估流程模型可以综合评估过程中的众多因数。
因此，本文在系统控制理论的基础上，从安全性评估的角度，利用反馈技术，提出一个基于反馈控制系统的信息安全保障系统安全性评估流程模型。
(3)现有的评估方式是在系统设计完成后再进行评估，而不是对每个环节都加以考虑，这样使评估的效果不好，修改空间和可能性很小，导致系统存在安全性设计缺陷。
本文提出的评价指标体系是在系统设计、实施和运行的每个阶段均进行评估，采用SSE-CMM模型6个方面的问题来进行综合评估，保证了信息系统及其信息保障体系在建设、使用和更新等各个过程中的安全。
(4)目前的系统安全性评估往往与系统可靠性评估联系起来，利用可靠性指标代替安全性评价。
本文提出的思想，是在保证信息系统的可靠性前提下，针对信息和信息数据的安全方面问题提出评估的指标和方法。
(5)现有的信息安全评估框架，没有给出具体的评估流程，重要的是没有与信息系统的业务关联，没有明确面向业务流程的评估方法，可操作性较差。
本文提出的评价指标体是将信息系统的各种业务和业务流程联系起来，根据具体业务的传输和应用，提取不同的信息安全评价指标，具有操作方便的特点。
结束语本文从战略、管理、工程和技术4个方面，在宏观、中观和微观层面建立了互联网信息安全保障系统的评价指标体系，提出了综合评价的思想，给出了评价的具体流程，并与现有的评估方法进行了比较。
本文的主要工作集中在以下两点：
(1)研宄了信息安全保障安全基线政策，在此基础上提取了安全基线指标。战略、管理、工程和技术的基线指标提取是基于安全系统工程成熟度模型SSE-CMM的安全基线制定的6条原则。
①战略基线战略基线包括安全需求基线和安全输入基线。
②管理基线管理基线包括协同安全基线和安全管理基线。
③工程基线工程基线包括安全实施基线和质量管理基线。
④技术基线技术基线包括安全保证参数基线和监视安全态势基线。(2)建立了信息安全保障系统的评价指标体系^
①研宄思路总结a)从一个实体的3个角度评价功能角度——评价采用的技术、管理和战略措施的水平(战略完备性、管理先进性、工程成熟性和技术有效性)运行角度——保障系统的功能完善和强大(预警、保护、检测、反应、恢复、反击)和能力(6个能力指标)效果角度——属性(信息：保密性、完整性、真实性、可用性和不可抵赖性;信息系统:抗毁性、生存性和有效性)和目的(8个属性指标)
b)两个反馈支路大反馈支路:在针对信息系统实验战略、管理、工程和技术上的信息安全保障措施后，根据体现在被保护对象上的具体效果情况，进行反馈调节，使信息系统的运行状态达到动态平衡(安全)状态。
小反馈支路:用于调节战略、管理、工程和技术措施之间的平衡。
【 关键词 】 高校；科研机构；信息安全；对策
Discussion on Scientific Research Institution of Universities in
Information Security Management and Measures
Zhang Jian-hua
(President Office, Beijing University of Aeronautics and Astronautics Beijing 100191)
【 Abstract 】 In the light of the information security management problems of scientific research institution of universities, the measures are put forward to enhance the construction of information security level strategy from management and technology two respects.
【 Keywords 】 universities; scientific research institution; information security; measures
1 引言
随着信息技术的发展和信息化应用的日趋深入，信息安全建设及其应用正在成为教育科研单位日常教育管理和科研生产不可或缺的一环。高校等科研单位对信息安全管理的认识程度越来越高，研究院等单位的信息系统规模和水平也在不断攀升，然而随着高校各系统建设程度的不断完善，以高校为代表的科研机构的信息安全管理问题也愈加突出。
2 高校科研机构存在的信息安全管理问题
近年来，高校等科研机构逐步认识到信息安全对于自身的重要性，于是不少单位成立了“信息管理部门”来推行统一的管理规范和进行信息安全知识普及，其主要目的是为了从安全技术和管理两个方面来解决高校中科研机构的信息安全问题，充分提高机构人员的信息安全管理意识和保密工作的能力。当下，虽然有一些高校的科研单位在信息安全和管理建设方面已经取得了长足的进步，但其科研单位内部仍然存在着很多问题。
(1)首先，在以往长期封闭的科研环境影响下，相关科研人员目前依然不具备良好的安全意识，对于信息安全的认识水平不高。同时高校等相关管理部门较容易忽视信息安全在其科研系统中的发展战略和计划，这些都间接导致了信息安全管理制度推行力度不够，实施安全教育的硬性条件有限。其次，由于学科建设和专业水平所限，也使得国内技术过硬的信息安全专业人才供应不足，间接影响了相关单位的人才储备水平。
(2)当下许多高校等科研单位在信息系统不断增加的情况下，对以往基础设施配备水平存在着一定的依赖性，不能够很好的适应新环境。在信息系统运作业务的安全风险和意识提升上，又缺乏有效性验证与评估办法。现实中的任何信息系统都是一连串复杂的环节，信息安全措施必须渗透到信息系统的每一个部位，其中一些问题的解决方案，需要信息系统的设计人员、测试人员和使用人员都熟知并能够成为规范来遵守。
(3)不安全因素对于信息系统而言总是存在的，没有任何一个信息管理方法能提供绝对的保障。因此，高校等科研单位在认识和进行信息系统安全管理教育的时候，应该着重加强基层人员的信息安全管理实践教育，应让相关人员充分意识到，虽然信息安全建设并非意在建设一个创收的平台，但它是一个保障科研成果和提升工作效率的平台。管理者有必要做出适合科研单位进行教育实施的信息安全教育发展战略和计划，充分加强信息安全教育在管理实践上的投入，严格有效地执行相应的安全策略、安全措施和安全管理制度，以最大限度避免使用和管理信息系统时的固有风险。
(4)近年来，我国大型科研单位相继出现过不同程度的泄密事件，这些事件的直接后果是不仅导致了科研成果的流失，还造成了较大程度的经济损失和不良的社会影响。虽然各大信息系统工程和信息化程度要求非常高的相关行业，也都出台了对信息安全技术产品的应用标准和规范，但只有建立一个严格的信息安全管理策略，才能全面的保障其安全性。
3 解决高校科研机构存在的信息安全的对策
3.1 技术层面
在技术层面上：高校科研管理系统是以计算机和数据库通信网络为基础的应用管理系统，是一个开放式的互联网络系统，与网络系统连接的任何终端用户都可以进人和访问网络中的资源。作为信息通讯数据平台，其所受到的安全威胁主要存在于信息通信传输、存储和加工的各个阶段。因此在制定技术对策方面就需要制定统一全面的安全策略，同时也注重建设统一认证和授权管理系统，通过硬件接入设备和定制化管理软件的配合部署，加强网络层面和应用层面的安全资源整合，形成覆盖全网的科研信息化安全保障能力，并充分利用自主创新的科研信息化安全技术，不断增强基础运行平台的网络安全能力，为科研信息化基础环境和应用系统提供有力的安全保障。
在保障网络基础设施和重要应用系统的安全方面，一方面需要构建身份认证管理系统、网络安全管理平台、恶意代码防护系统、安全审计平台等面向全网用户的网络安全基础设施，实现实时预警、事件分析、决策支持、资源调度等功能；另一方面需要建立起包括安全咨询、安全规划、安全检测、安全培训等环节在内的安全服务体系，引入除技术体系和管理体系以外的第三方服务支持，实现安全事件的及时发现。
3.2 管理和教育层面
在管理和教育层面上：以企业为参考标度，对高校科研机构工作人员进行信息安全意识以及管理实践知识的普及，将信息安全管理理念提到战略高度来看待。充分遵循信息安全流程制定相应管理制度，除技术保障外，将人员、网络、环境有关的技术和管理规程的有机集合充分纳入其中。充分认识到信息安全管理实践是保障信息实现有效管理与控制的重要途径。所在部门应客观评估实现信息安全管理的需求水平，落实安全的组织和管理人员，明确每个人的角色与职责；制定并开发安全规划和策略，定期开展培训和工作会议；实施风险管理制度，制定业务持续性计划和灾难环境下恢复计划；选择实施安全措施；保证配置、变更的正确与安全；进行安全审计；保证维护支持；进行监控、检查、处理安全事件。针对专业人员的培训和绩效需要有效结合目标管理和信息安全管理两方面来展开。
3.3 管理政策层面
在整个管理策略的制定上：建议采用分级策略，如果高校对于自身科研信息安全风险水平认定为较高，而自身建设能力有限，则可以考虑与相关专业咨询机构合作，引入专家机制来完成相关工作，提升建设效率。
4 结束语
在国家大力推行科教兴国与自主创新发展战略的今天，信息安全建设对于保障科技创新自有成果，确保自主知识产权的创造价值，都有着极其重要的作用。而如何确保其信息安全能够实现自主可控的目标，也是以高校为代表的科研机构行使和保障自身合法权益的重要途径。因此我们必须综合多方因素，系统考量，尽可能提供全面的、多方位的信息安全建设策略和信息安全管理与教育规范，以切实满足高校等科研单位对信息安全保障体系的需求，降低科研成果的安全风险，发挥高效的科研效率，保障科研生产的安全顺利进行。
参考文献
[1] 张广钦．信息管理教程[M]．北京：北京大学出版社，2005.
[2] 徐茂智．信息安全概论[M]．北京：人民邮电出版社，2007.
[3] 彭盛宏.浅析校园网存在的安全隐患及其对策[J].信息安全与技术，2012，(1).
论文关键词:信息系统;安全管理;体系
现代金融业是基于信息、高度计算化、分散、相互依存的产业,有人形象地把信息系统归结为银行业的“核心资本”。金融信息化带来的是银行业务信息系统在网络结构、业务关系、角色关系等方面的复杂化。而越是复杂的系统,其安全风险就越高。在系统中每增加一种访问的方式就增加了一些入侵的机会;每增加一些访问的人群就引入了一些可能受到恶意破坏的风险。据2003年一项对全球前500家金融机构的安全调查(2003GlobaleS curity Survey,Deloitte Touche Tohmat—su),39%受调查的机构承认2002年曾受到一定形式的系统攻击;美国联邦法院2004年所作的一系列有关信息犯罪的案件中,有多件涉及金融机构。这些统计数字和报道出的事件,只是我们面临信息系统安全威胁的冰山一角,因此加速建设金融信息系统中的安全保障体系变得更加紧迫。
长期以来,人们对保障信息系统安全的手段偏重于依靠技术,从早期的加密技术、数据备份、防病毒到近期网络环境下的防火墙、入侵检测、漏洞扫描、身份认证等等。但事实上,仅仅依靠安全技术和安全产品保障信息系统安全的愿望却往往难尽人意,许多复杂、多变的安全威胁和隐患靠安全产品是无法消除的。据有关部门统计,在所有的计算机安全事件中,约有52%是人为因素造成的,25%由火灾、水灾等自然灾害引起,技术错误占10%,组织内部人员作案占10%,仅有3%左右是由外部不法人员的攻击造成。简单归类,属于管理方面的原因比重高达6O%以上,而这些安全问题中的95%是可以通过科学的信息安全管理来避免。因此,加强安全管理已成为提高信息系统安全保障能力的可靠保证,是金融信息系统安全体系建设的重点。
1安全管理体系构建
信息安全源于有效的管理,使技术发挥最佳效果的基础是要有一定的信息安全管理体系,只有在建立防范的基础上,加强预警、监控和安全反击,才能使信息系统的安全维持在一个较高的水平之上。因此,安全管理体系的建设是确保信息系统安全的重要基础,是金融信息系统安全保障体系建设最为重要的一环。为在金融信息系统中建立全新的安全管理机制,最可行的做法是技术与管理并重,安全管理法规、措施和制度与整体安全解决方案相结合,并辅之以相应的安全管理工具,构建科学、合理的安全管理体系。
金融信息系统安全管理体系是在金融信息系统安全保障整体解决方案基础上构建的,它包括信息安全法规、措施和制度,安全管理平台及信息安全培训和安全队伍建设,其示意图如图1所示。
2安全管理平台
安全管理平台是通过采用技术手段实施金融信息系统安全管理的平台,它包括安全预警管理、安全监控管理、安全防护与响应管理和安全反击管理。
2.1安全预警管理
安全预警管理的功能由预警系统实现,通过该系统,可以在安全风险动态威胁和影响金融信息系统前,事先传送相关的警示,让管理员采取主动式的步骤,在安全风险影响运作前加以拦阻,从而预防全网业务中断、效能损失或对其公众信誉造成危害,达到提前保护自己的作用。安全预警系统通过追踪最新的攻击技术,分析威胁信息以辨识出真正潜在的攻击,迅速响应并提供定制化威胁分析及个性化的漏洞和恶意代码告警服务,帮助降低风险,防患于未然。
2.2安全监控管理
通过安全监控功能可以实时监控金融信息系统的安全态势、发生了哪些攻击、出现了什么异常、系统存在什么漏洞以及产生了哪些危险日志等,因此安全监控功能对于金融信息系统的安全保障体系来说是至关重要的。
1)基于实时性的安全监控。通过在线方式管理金融信息系统中的资源状态和实时安全事件,及时关注IT资源和安全风险的现状和趋势,通过实时监控来提高系统的安全性和IT资源的效能。
2)基于智能化的安全监控。利用智能信息处理技术对信息网络中的各种安全事件进行智能处理,实现报警信息的精炼化,提高报警信息的可用信息量,降低安全设备的虚警和误警,从而有效地提高安全保障系统中报警信息的可信度。
3)基于可视化的安全监控。通过对安全事件分析过程与分析报告的可视化手段,如图表/曲线/数据表/关联关系图等,提供详细的入侵攻击信息乃至重现攻击场景,实现对入侵攻击行为的追踪,使得对安全事件的分析更为直观,从而有效提高安全管理人员对于入侵攻击的监控理解,使安全系统的管理更为有效。
4)基于分布式的安全监控。通过系统分布式的多级部署方式,可以实现对金融信息系统内各个子系统的监控和综合分析能力,同时对不同安全保护等级的用户提供相应的监控界面和信息,从而严格满足其安全等级划分的用户级要求。
2.3安全防护与响应管理
在金融信息系统的安全系统中由于安全的异构属性,因此会采用不同的安全技术和不同厂家的安全产品来实现安全防护的目的。通过安全防护与响应管理可以及时响应和优化整个系统安全防护策略;最直接的响应就是提供多种方式,如报警灯、窗日、邮件、手机短信等向安全管理员报警,然后日志保存在本地数据库或者异地数据库中。
1)优化安全策略分析。通过实时掌握自身的安全态势,及各种安全设备、网络设备、安全系统和业务系统的处理情况,输出正常和非法个性化的安全策略报表,然后直接通知相应的安全管理人员或厂商对其自身策略进行优化调整。
2)动态响应策略调整。通过对各种安全响应协议的支持,如SNMP、TOPSEC、联动协议等,实现相关的安全防护技术策略的自动交互,同时通过专家知识库能从全局的角度去响应安全事件很好地解决安全误报问题。
3)安全服务自动协调。当智能分析和安全定位功能确认出安全事件或安全故障时,及时调派安全服务人员小组(或提供安全服务的供应商)进行相应的安全加固防护。
2.4安全反击管理
安全反击管理包括安全事件的取证管理和安全事件的追踪反击。
1)安全事件的取证管理。取证在网络与信息系统安全事件的调查中是非常有用的工具,通过对系统安全事件的存储和分析,实现对安全事件的取证管理,给相关调查人员提供安全事件的直接取证。
2)安全事件的追踪反击。通过资源状态分析、关联分析、专家系统分析等有效手段,检测到攻击类型,并定位攻击源。随后,系统自动对目标进行扫描,并将扫描结果告知安全管理员,并提示安全管理员查询知识库,从中提取有效手段对攻击源进行反击控制。
3安全管理措施建议
在安全管
理技术手段的基础上,还要提高安全管理水平。俗话说“三分技术,七分管理”,由于金融信息系统相对比较封闭,对于金融信息系统安全来说,业务逻辑和操作规范的严密程度是关键。因此,加强金融信息系统的内部安全管理措施,建立领导组织体系,完善落实内控制度,强化日常操作管理,是提升安全管理水平的根本。
1)完善安全管理机构的建设。目前,我国已经把信息安全提到了促进经济发展、维护社会稳定、保障国家安全、加强精神文明建设的高度,并提出了“积极防御、综合防范”的信息安全管理方针,专门成立了网络与信息安全领导小组、国家计算机网络应急技术处理协调中心(简称CNCERT/CC)、中国信息安全产品测评认证中心(简称CNITSEC)等,初步建成了国家信息安全组织保障体系。为确保金融信息系统的安全,在金融信息系统内部应组建安全管理小组(或委员会),安全管理小组制定出符合企业需要的信息安全管理策略,具体包括安全管理人员的义务和职责、安全配置管理策略、系统连接安全策略、传输安全策略、审计与入侵安全策略、标签策略、病毒防护策略、安全备份策略、物理安全策略、系统安全评估体系等内容。安全管理应尽量把各种安全策略要求文档化和规范化,以保证安全管理工作具有明确的依据或参照。
2)在保证信息系统设备的运行稳定可靠和信息系统运行操作的安全可靠的前提下,增加安全机制,如进行安全域划分,进行有针对性的安全设备部署和安全策略设置,以改进对重要区域的分割防护;增加入侵检测系统、漏洞扫描、违规外联等安全管理工具,进行定时监控、事件管理和鉴定分析,以提高自身的动态防御能力;完善已有的防病毒系统、增加内部信息系统的审计平台,以便形成对内部安全状况的长期跟踪和防护能力。
3)制定一系列必须的信息系统安全管理的法律法规及安全管理标准,狠抓内网的用户管理、行为管理、应用管理、内容控制以及存储管理;进一步完善互联网应急响应管理措施,对关键设施或系统制定好应急预案,并定期更新和测试,全面提高预案制定水平和处理能力;建立一支“信息安全部队”,专门负责信息网络方面安全保障、安全监管、安全应急和安全威慑方面的工作。
4)坚持“防内为主,内外兼防”的方针,加强登录身份认证,严格限制登录者的操作权限,充分利用操作系统和应用系统本身的日志功能,对用户所访问的信息进行跟踪记录,为系统审计提供依据。
5)重视和加强信息安全等级保护工作,对金融信息系统中的信息实施一般保护、指导保护、监督保护和强制保护策略,尤其对重要信息实施强制保护和强制性认证,以确保金融业务信息的安全。
6)加强信息安全管理人才与安全队伍建设,特别是加大既懂技术又懂管理的复合型人才的培养力度。通过各种会议、网站、广播、电视、报纸等媒体加大信息安全普法和守法宣传力度,提高全民信息安全意识,尤其是加强企业内部人员的信息安全知识培训与教育,提高员工的信息安全自律水平。
1.1研究思路
为了克服企业级移动应用面临的各类安全问题，降低安全威胁，本文认为移动应用安全体系应从硬件、软件结构入手，结合移动互联网特征，设计企业级移动应用安全技术架构及安全规范、制定一系列安全防护策略来保证移动应用的安全可靠。
1.2企业级移动应用安全体系
在充分分析企业级移动应用信息化的建设现状和安全需求基础上，根据国家等级保护要求，从物理安全，网络安全，系统安全，应用安全以及安全监管五个方面构建企业级移动应用安全防护体系。1、物理安全：涉及设备和环境安全，主要通过移动终端本身硬件标识信息、接口监测、外接插件设备来保障移动终端设备安全。2、网络安全：涉及到网络接入安全、数据传输安全等，主要从硬件、软件两方面保证，如防火墙保护策略、认证策略、数据加密等。3、系统安全：主要包括系统、数据存储、操作等，通过建立安全加固，对业务数据分级存储、重要数据安全隔离、数据传输加密、完整性和一致性校验，保障系统安全。4、应用安全：通过多种手段保障移动应用安全，可从应用准入、应用授权、应用监控审核、应用数据管控、操作行为安全审计等方面全面保障应用安全。5、安全监管：从制度管理、软件辅助管理对移动终端进行安全管理。制定相应的移动终端、移动应用管理规范。
二、企业级移动应用信息安全实现
2.1物理安全
按照安全体系要求，可从终端管理、一致性校验、接口监测、存储卡加密等领域实现物理安全。1、设备启动。通过设置启动密码、动态口令等控制设备启动验证。2、校验一致性。终端启动后，后台根据设备回传的参数进行一致性校验，对操作系统内核、硬件配置、关键应用和配置策略信息等进行验证，确保启动过程中各应用的完备性和一致性。3、设备硬件监测。对移动设备硬件接口管理，包括网络（含WIFI/蓝牙等）启停，USB启停、以及摄像头屏幕输出等启停等，从而有效防止移动终端数据泄漏。4、存储卡加密。根据存储卡与移动设备的关联关系，存储卡上的数据就不能被其它移动设备读取，从而有效地保护移动终端上的数据。
2.2网络安全
在网络安全方面，可从硬件、软件两方面保障网络接入安全、数据传输安全。1、接入安全。建立专用的VPN接入通道连接到特定服务端。建立DMZ反向保护，通过反向防止移动设备直接和web服务器直接连接带来的安全隐患。2、设置防火墙及路由器防护策略，通过制定路由器、防火墙防护策略，实现内外网络安全。安全策略确保网络访问、服务访问、用户认证、输入输出、磁盘和数据加密、病毒防护措施等。3、移动设备安全认证和接入。建立终端准入机制，通过后台移动设备管理功能，记录所有设备详细信息，如唯一编码，类型及使用者等信息，在登录时实现按特定信息核对验证设备合法性。4、数据传输安全。企业级移动应用一般需要和后台业务传输数据，为了避免恶意攻击、窃取、篡改，需要在数据传输中引入数据安全管理，如数字证书加密等。
2.3系统安全
为保障移动应用正常运行，主要通过建立安全加固、业务数据分类存储管理、数据安全隔离、数据传输加密解密、完整性检查以及一致性检查，保障系统安全。1、安全加固。按等级保护要求，制定严格的安全加固措施，保障系统安全；2、建立移动数据库安全管控，支持离在线数据库访问、支持数据的备份和恢复，保证用户数据的安全可靠；3、开展安全域隔离，通过物理和逻辑隔离策略，全面对系统资源和各类数据进行分区分域管理。4、建立移动设备在线备份和恢复策略。实现自动备份和恢复数据、配置文件与配置策略。可以设置规定备份目录或文件、备份频率、周期，通过统一管理界面实现选择性恢复或全恢复,可恢复移动终端上丢失或损坏数据。5、升级包推送。实现对移动设备系统版本管理，禁止使用者擅自修改系统，后台统一开展升级包推送，保障操作系统安全。
2.4应用安全
在应用安全方面，主要通过应用密码、登录、非授权操作管理、数据库加密、应用安全审计等措施保障移动应用安全。1、密码保护，对移动应用建立密码保护策略，如密码长度、复杂度限制、密码认证、错误锁定等机制，防止非法人员登录终端应用，造成业务数据外泄。2、单点登录，通过建立统一单点登录平台，实现统一用户身份管理、统一用户身份验证、统一用户权限管理。3、权限控制，对企业级移动应用建立细致的明确的功能权限控制，不同职责的终端用户只能使用指定的部分功能，有效控制关键数据外泄。4、移动数据库加密。移动数据库库访问按系统安全要求提供安全凭证，选择敏感信息加密，辅以校验保证所存储数据的保密性和完整性，防止数据被未经授权访问和修改。5、非法操作管理。建立应用配置授权管理策略，控制未经取得授权的非法移动应用进行控制，可以禁止非法移动应用安装、禁止非法移动应用使用，可以远程对非法移动应用进行卸载。6、移动应用安全审计。开展实时统计核查应用安装、使用、运行、操作记录等，有效监测各类操作行为。
2.5安全管理
按照移动信息安全体系，安全管理从制度规范管理、软件辅助管理、设备管控等领域实现。1、建立统一应用管理规范和管理制度，建立移动终端、移动应用管理规范，如档案管理、行为规范、作业规范等。2、操作记录日志。增加终端操作的记录日志机制，实现日志追踪引入问题的原因，采用应对措施避免同类问题反复出现。3、实时管控机制。移动终端实时回传当前位置的经纬度，可实时监控移动设备实际地理位置，如若遇到平板丢失，则启动数据爆炸功能，保证业务数据不外泄。
三、结论
