時間：2023-09-15 17:32:00
開篇：寫作不僅是一種記錄，更是一種創造，它讓我們能夠捕捉那些稍縱即逝的靈感，將它們永久地定格在紙上。下面是小編精心整理的12篇網絡安全等級劃分，希望這些內容能成為您創作過程中的良師益友，陪伴您不斷探索和進步。
關鍵詞：等級保護 信息系統 安全策略
中圖分類號：TP391.41 文獻標識碼：A 文章編號：1007-9416（2015）12-0000-00
隨著我國信息化建設的高速發展，信息技術水平的日益提高，眾多單位、組織都建立了自己的信息系統，以充分利用各類網絡信息資源。與此同時，各種非法入侵和盜竊、計算機病毒、拒絕服務攻擊、機密數據被篡改和竊取、網絡癱瘓等安全問題也時刻威脅著我國網絡的安全。因此，維護網絡信息安全的任務異常艱巨、繁重。信息安全等級保護制度的建立，可以有效地解決我國網絡信息安全面臨的威脅及存在的問題。
隨著信息安全等級保護工作的深入開展，不同等級信息系統之間的互聯、互通、互操作是當前研究的熱點和難點，其中，如何制定有效的安全策略，確保信息在多級互聯信息系統間安全流通，是亟待解決的關鍵問題。
1信息安全等級保護
信息安全等級保護是指對國家重要信息、法人和其他組織及公民的專有信息以及公開信息和存儲、傳輸、處理這些信息的信息系統分等級實行安全保護，對信息系統中使用的信息安全產品實行按等級管理，對信息系統中發生的信息安全事件分等級響應、處置。
等級保護環境下的信息系統一般由安全計算環境、安全區域邊界、安全通信網絡和安全管理中心構成。其中，安全計算環境是對信息系統的信息進行存儲、處理的相關部件；安全區域邊界是對信息系統的各個區域之間實現連接并實施訪問控制的相關部件；安全通信網絡是保障信息在系統內安全傳輸及安全策略實施的相關部件；安全管理中心是對信息系統的安全策略及安全計算環境、安全區域邊界和安全通信網絡上的安全機制實施統一管理的平臺。
2多級互聯信息系統
我國信息安全等級保護標準將信息系統按照安全保護能力劃分為五個安全等級，一些重要、大型的信息系統中可能存在多個不同等級的子系統，不同等級信息系統之間要實現可信互聯，由于信任體系和運行模式不盡相同，互聯互通會導致安全風險的進一步增加，尤其是低等級信息系統可能通過惡意授權給高等級信息系統帶來權限失控風險。
因此，需要建立一個總體的安全管理中心，將不同安全等級的子系統連接在一起，通過協同合作，實現特定的功能服務，這就是多級互聯信息系統。在多級互聯信息系統中，各個子系統和互聯系統本身，都需要實施信息分級分類保護，從而確保系統間的交互協作及信息流動，保障系統的安全。
本文將在信息安全等級保護的要求下，研究多級互聯信息系統安全策略的制定，從而較好地解決多級互聯系統的安全風險問題，確保系統安全。
3多級互聯信息系統安全策略的制定
安全策略是為規范網絡安全防護工作，保證網絡正常使用、發揮網絡效能所必須強制執行的一系列要求、規范或操作。其主要作用是針對被保護對象面臨的主要威脅，圍繞安全防護目標，提出網絡安全防護具體要求，指導安全管理行動。確定并實施網絡安全策略是對網絡進行有效安全管理的基礎和依據，是網絡信息系統安全保障的核心和起點，是實現網絡安全管理和技術措施的前提。因此，為了確保多級互聯信息系統安全有效地運行，制定明確和合理的安全策略就成為了關鍵。
3.1指導思想
根據不同應用類別和安全等級防護目標的需求，給出安全防護策略的框架，研究制定各類網絡相應的安全防護策略，并保證制定的安全策略具有較高的規范性、完備性和有效性。安全策略的制定與實施應當遵循“局部策略符合全局策略、下級策略符合上級策略”的原則。同時，隨著信息技術的發展以及系統的升級、調整，安全策略也應該隨之進行重新評估和制定，隨時保持策略與安全目標的一致性，確保信息系統安全有效地運行。
3.2基本原則
基于以上思想，制定多級互聯信息系統安全策略時應遵循以下原則：
（1）統一領導，分級負責。針對系統、數據、用戶等保護對象，按照同類、同級集中的原則進行等級保護級別的劃分，確定安全保護等級對應的適用范圍及具體組織實施單位。（2）廣域監察，局域管控。依托總體安全管理中心，建立多級互聯系統廣域安全監察機制，監督、檢查各安全域網絡節點和用戶網絡安全策略的配置執行情況，監測重要骨干網絡流量，預警網絡攻擊和入侵行為，形成網絡安全實時態勢；在各安全域網絡節點和用戶網絡建立局域安全管控機制，依托各級安全管理中心，對網絡節點和用戶網絡的安全設備、主機系統的安全策略和安全事件進行集中統一管理，實現網內各類資源的可控可管，提高系統整體防護能力和維護管理效率。（3）分區分域，適度防護。根據等級保護的思想，在劃分的安全域中，一方面要遵循等級保護要求，加強主動防范措施；另一方面要針對各安全域業務特點的保護強度，在不影響系統整體安全性的前提下，進一步對各域的安全策略進行設置，并確保這些策略的相對性、獨立性及關聯性。（4）區域自治，聯防聯動：各安全域根據總體安全管理中心下發的安全策略，結合自身特定的安全需求，實施本區域內的安全防護和管理。依托總體安全管理中心，建立廣域網上下一體的預警響應和聯防聯動機制；依托各級安全管理中心，建立局域網內各安全設備之間的檢測響應和聯防聯動機制；并在各級安全管理中心、重要骨干節點、用戶網絡之間建立安全事件響應和應急協調機制。
【關鍵詞】等級保護；虛擬專網；VPN
1.引言
隨著因特網技術應用的普及，以及政府、企業和各部門及其分支結構網絡建設和安全互聯互通需求的不斷增長，VPN技術為企業提供了一種低成本的組網方式。同時，我國現行的“計算機安全等級保護”也為企業在建設信息系統時提供了安全整體設計思路和標準。如何充分利用VPN技術和相關產品，為企業提供符合安全等級保護要求、性價比高的網絡安全總體解決方案，是當前企業信息系統設計中面臨的挑戰。
2.信息安全管理體系發展軌跡
對于信息安全管理問題，在上世紀90年代初引起世界主要發達國家的注意，并投入大量的資金和人力進行分析和研究。英國分別于1995年和1998年出版BS7799標準的第一部分《信息安全管理實施細則》和第二部分《信息安全管理體系規范》，規定信息安全管理體系與控制要求和實施規則，其目的是作為確定工商業信息系統在大多數情況所需控制范圍的唯一參考基準，是一個全面信息安全管理體系評估的基礎和正式認證方案的根據。國際標準化組織（ISO）聯合國際電工委員會（IEC）分別于2000年和2005年將BS7799標準轉換為ISO/IEC 17799《信息安全管理體系 實施細則》和ISO/IEC 27001《信息安全管理體系 要求》，并向全世界推廣。中國國家標準化管理委員會（SAC）于1999年了GB/T 17859《計算機信息系統安全保護等級劃分準則》標準，把信息安全管理劃分為五個等級，分別針對不同組織性質和對社會、國家危害程度大小進行了不同等級的劃分，并提出了監管方法。2008年制訂并下發了與ISO/IEC 17799和ISO/IEC 27001相對應的GBT 22081-2008《信息安全管理體系 實用規則》和GBT 22080-2008《信息安全管理體系 要求》。
3.信息系統安全的等級
為加快推進信息安全等級保護，規范信息安全等級保護管理，提高信息安全保障能力和水平，維護國家安全、社會穩定和公共利益，保障和促進信息化建設，國家公安部、保密局、密碼管理局和國務院信息化工作辦公室等，于2007年聯合了《信息安全等級保護管理辦法》，就全國機構/企業的信息安全保護問題，進行了行政法規方面的規范，并組織和開展對全國重要信息系統安全等級保護定級工作。同時，制訂了《信息系統安全等級保護基本要求》、《信息系統安全等級保護實施指南》、《信息系統安全等級保護測評準則》和《信息系統安全等級保護定級指南》等相應技術規范（國家標準審批稿），來指導國內機構/企業進行信息安全保護。
在《信息系統安全等級保護基本要求》中，要求從網絡安全、主機安全、應用安全、數據安全及備份恢復、系統運維管理、安全管理機構等幾方面，按照身份鑒別、訪問控制、介質管理、密碼管理、通信和數據的完整、保密性以及數據備份與恢復等具體要求，對信息流進行不同等級的劃分，從而達到有效保護的目的。信息系統的安全保護等級分為五級：第一級為自主保護級，第二級指導保護級，第三級為監督保護級，第四級為強制保護級，第五級為專控保護級。
針對政府、企業常用的三級安全保護設計中，主要是以三級安全的密碼技術、系統安全技術及通信網絡安全技術為基礎的具有三級安全的信息安全機制和服務支持下，實現三級安全計算環境、三級安全通信網絡、三級安全區域邊界防護和三級安全管理中心的設計。
圖1 三級系統安全保護示意圖
圖2 VPN產品部署示意圖
4.VPN技術及其發展趨勢
VPN即虛擬專用網，是通過一個公用網絡（通常是因特網）建立一個臨時的、安全的連接，是一條穿過混亂的公用網絡的安全、穩定的隧道。通常，VPN是對企業內部網的擴展，通過它可以幫助遠程用戶、公司分支機構、商業伙伴及供應商同公司的內部網建立可信的安全連接，并保證數據的安全傳輸。VPN可用于不斷增長的移動用戶的全球因特網接入，以實現安全連接；可用于實現企業網站之間安全通信的虛擬專用線路，用于經濟有效地連接到商業伙伴和用戶的安全外聯網虛擬專用網。
VPN使用三個方面的技術保證了通信的安全性：隧道協議、身份驗證和數據加密。VPN通道的加密方式成為主要的技術要求，目前VPN技術主要包括IPSec VPN，非IPSec VPN（如PPTP，L2TP等），基于WEB的SSL VPN等。
IPSec VPN是基于IPSec協議的VPN產品，由IPSec協議提供隧道安全保障，協議包括AH、ESP、ISAKMP等協議。其通過對數據加密、認證、完整性檢查來保證數據傳輸的可靠性、私有性和保密性。通過采用加密封裝技術，對所有網絡層上的數據進行加密透明保護。IPSec協議最適合于LAN到LAN之間的虛擬專用網構建。
SSL VPN是基于SSL協議的VPN產品。在企業中心部署SSL VPN設備，無需安裝客戶端軟件，授權用戶能夠從任何標準的WEB瀏覽器和互聯網安全地連接到企業網絡資源。SSL VPN產品最適合于遠程單機用戶與中心之間的虛擬網構建。
整個VPN通信過程可以簡化為以下4個步驟：
（1）客戶機向VPN服務器發出連接請求。
（2）VPN服務器響應請求并向客戶機發出身份認證的請求，客戶機與VPN服務器通過信息的交換確認對方的身份，這種身份確認是雙向的。
（3）VPN服務器與客戶機在確認身份的前提下開始協商安全隧道以及相應的安全參數，形成安全隧道。
（4）最后VPN服務器將在身份驗證過程中產生的客戶機和服務器公有密鑰將用來對數據進行加密，然后通過VPN隧道技術進行封裝、加密、傳輸到目的內部網絡。
目前國外公開的相關VPN產品多數采用軟件加密的方式，加解密算法也多使用通用的3DES、RSA加解密算法，不符合國家密碼產品管理和應用的要求。《商用密碼管理條例》（中華人民共和國國務院第273號令，1999年10月7日）第四章第十四條規定：任何單位或者個人只能使用經國家密碼管理機構認可的商用密碼產品，不得使用自行研制的或者境外生產的密碼產品。國家密碼管理局在2009年針對VPN產品下發了《IPSec VPN技術規范》和《SSL VPN技術規范》，明確要求了VPN產品的技術體系和算法要求。
5.VPN技術在等級保護中的應用
在三級防護四大方面的設計要求中，VPN技術可以說是在四大方面的設計要求中都有廣泛的應用：
在安全計算環境的設計要求中：首先在實現身份鑒別方面，在用戶訪問的中心，系統管理員都統一建立的有用戶的用戶組和用戶名，用戶會通過VPN的設備登錄訪問中心的應用系統，當身份得到鑒別通過時才可訪問應用系統；其次在數據的完整性保護和保密性保護上都能夠防止用戶的數據在傳輸過程中被惡意篡改和盜取。
在安全區域邊界的設計要求中：網絡邊界子系統的邊界控制與VPN功能一體化實現，在保證傳輸安全性的同時提高網絡數據包處理效率。
在安全通信網絡的設計要求中：網絡安全通信的子系統主要是為跨區域邊界的通信雙方建立安全的通道，通過IPSEC協議建立安全的VPN隧道傳輸數據。完成整個應用系統中邊界或部門服務器邊界的安全防護，為內部網絡與外部網絡的間的信息的安全傳輸提供加密、身份鑒別及訪問控制等安全機制。在客戶端和應用服務器進出的總路由前添加網絡VPN網關，通過IPSEC協議或者SSL協議建立VPN隧道為進出的數據提供加密傳輸，實現應用數據的加密通信。
在安全管理中心的設計要求中：系統管理中，VPN技術在主機資源和用戶管理能夠實現很好的保護，對用戶登錄、外設接口、網絡通信、文件操作及進程服務等方面進行監視機制，確保重要信息安全可控，滿足對主機的安全監管需要。
在信息系統安全等級保護設計中VPN產品的部署示意圖如圖2所示。
關鍵詞：電子政務外網 安全保障體系 計算區域 網絡基礎設施 計算區域邊界 安全域 等級保護 風險評估
一、前言
國家電子政務外網（以下簡稱政務外網）是中辦發[2002]17號文件明確規定要建設的政務網絡平臺。政務外網是政府的業務專網，主要為黨委、人大、政府、政協、法院和檢察院各級政務部門服務，運行各級政務部門面向社會的專業業務和不需要在內網上運行的業務。
為保證電子政務外網的安全運行，中辦發[2003]27號文和[2006]18號文明確提出，電子政務外網與政務內網之間采用物理隔離，政務外網與互聯網之間采用邏輯隔離。政務外網的建設要按照信息安全等級保護的有關要求，分別采用相應的保護措施，通過建立統一的密碼和密鑰管理體系、網絡信任體系和安全管理體系，分級、分層、分域保障信息安全。
二、政務外網（一期工程）安全需求
⒈政務外網安全防護對象
政務外網的基礎網絡環境如圖1所示。
依據政務外網的網絡環境，政務外網的安全防護對象分為如下三類：計算區域、網絡基礎設施和計算區域邊界。
⑴計算區域
政務外網所涉及的計算環境有：中央網絡管理中心計算區域、各省市節點的二級網絡管理中心計算區域、中央城域網接入單位計算區域以及外網骨干網接入的各省市節點的計算區域。
在各計算區域內主要防護如下對象：
①數據資源，主要包括各應用系統管理的數據資源；
②軟件資源，包括系統軟件、網絡軟件、支撐軟件和應用系統等；
③中心計算機；
④存儲介質，包括數據備份磁帶、軟盤、可讀寫光盤等；
⑤用戶，包括普通操作員、業務管理員、高級業務管理員以及系統（數據庫）管理員和網絡管理員等。
⑵網絡基礎設施
政務外網所要防護的網絡基礎設施主要有：各計算區域的網絡基礎設施，以及實現各計算區域相聯的網絡基礎設施。
⑶計算區域邊界
由于計算區域與其他外部實體相聯而產生區域邊界，區域邊界與計算區域直接相關，與計算區域相聯的外部實體的性質直接決定區域邊界的保護的策略。
政務外網中的計算區域邊界主要有：與中央城域網相聯的各計算區域因與中央城域網相聯而產生的區域邊界以及這些區域與互聯網等外部實體相聯而產生的區域邊界、各省市節點計算區域因與政務外網骨干網相聯而產生的區域邊界以及這些區域與互聯網等外部實體相聯而產生的區域邊界。
⒉安全需求
根據政務外網的特點，政務外網的安全需求體現在如下幾方面：
①建設政務外網安全信任體系，確保政務外網資源不能被非法用戶訪問；
②建設政務外網數據交換中心，確保不同安全域之間的安全數據交換；
③確保政務外網的安全保障體系具有高可靠性，并具有可審計、可監控性；
④實現政務外網統一的安全管理體系；
⑤確保政務外網與互聯網的安全互連。
三、政務外網安全保障體系框架
政務外網要為政務部門的業務系統提供網絡、信息、安全等支撐服務，為社會公眾提供政務信息服務。從政務外網的實際出發，政務外網的安全保障體系設計應重點針對政務外網的如下特點：
①政務外網必須與互聯網邏輯隔離；
②政務外網主要運行面向社會的專業業務，這些業務所涉及的業務信息具有面向公眾的特性，所以保護業務信息的完整性、可鑒別性以及抗抵賴性十分重要；
③政務外網是國家電子政務的基礎性網絡環境，支持電子政務系統互聯互通、數據交換、信息共享、業務互動、便民服務的需求，所以政務外網要滿足公用網絡安全可信的需求；
根據以上分析，政務外網（一期工程）安全保障體系由網絡防護體系、網絡信任體系、安全管理體系、安全服務體系等構成，邏輯模型如圖2所示。
⒈網絡安全防護體系
網絡安全防護系統是政務外網安全保障體系中最重要的安全設施，主要保護電子政務外網的各子網網絡節點及整個電子政務外網，保證整個政務外網及相關業務系統的可用性、完整性、可控性等。網絡安全防護系統重點要考慮防火墻系統、入侵防御系統、防病毒系統、遠程安全接入系統、流量監測系統等的配置和建設。
政務外網的網絡安全防護體系將涵蓋以下幾個方面：
⑴物理安全
保證政務外網中各種骨干設備的物理安全是整個政務外網安全的前提。物理安全是保護計算機網絡設備、設施以及其它媒體免遭地震、水災、火災等環境事故以及人為操作失誤或錯誤及各種計算機犯罪行為導致的破壞過程。
⑵網絡安全
網絡安全主要考慮VPN、防火墻、入侵檢測系統、非法外聯監控系統、PKI接入認證網關等安全設備在政務外網中的配置與部署。
⑶系統層安全
系統層安全主要包括漏洞掃描、操作系統安全加固、數據庫安全加固。
⑷應用層安全
應用層安全主要考慮應用系統的鑒別、授權和訪問控制等安全機制。
⒉網絡信任體系
網絡信任體系是為網絡用戶、設備提供信息安全服務的具有普適性的信息安全基礎設施。該體系在統一的安全認證標準和規范基礎上提供在線身份認證、授權管理和責任認定。其核心是要解決信息網絡空間中的信任問題，確定信息網絡空間中各種經濟和管理行為主體(包括組織和個人)身份的唯一性、真實性和合法性，保護信息網絡空間中各種主體的安全利益。政務外網網絡信任體系的建設與政務外網的安全運營息息相關，是電子政務安全運行的支撐基礎設施。
政務外網（一期工程）的網絡信任體系，主要是在國家主管部門的指導下，建設政務外網身份認證系統，組建政務外網身份認證管理協調機構和技術保障隊伍，制定有關政務外網身份認證的相關標準體系、管理運行規章制度和規范，逐步形成統一的政務外網網絡信任體系。
⒊安全服務體系
政務外網安全服務體系主要由安全評估和安全培訓組成。安全評估主要是對政務外網及其處理的傳輸和存儲的信息的保密性、完整性和可用性等安全屬性進行科學識別和掃描評估的過程。安全評估的主要目的是定期對網絡系統進行安全性分析，及時發現并修正動態運行的網絡系統中存在的弱點和漏洞，認清信息安全環境、信息安全狀況，明確責任，采取或完善安全保障措施，并使信息安全策略保持一致性和持續性。
⒋安全管理體系
安全并非只是一個技術問題，它也是一個關于人和管理的問題。安全不是個產品，它是一個完整的過程。作為一個過程，它有人、技術、流程這3個組成部分，這些組成部分匹配得越好，過程進展得就越順利。
安全管理在政務外網的安全保密中占有非常重要的地位，即使有了較完善的安全保密技術措施，如果管理的力度不夠，將會造成很大的安全隱患。因此，必須加強安全保密管理，設置安全保密管理機構，制定嚴格的安全保密管理制度，采用適當的安全保密管理技術將政務外網中各種安全保密產品進行集成，并加強對人員的管理。
安全管理體系的建設包括安全保密管理機構的建立、安全保密制度的制定、安全保密管理技術的使用以及人員的管理等幾方面內容，這里不再予以贅述。只有通過建立科學、嚴密的安全管理體系，不斷完善管理行為，形成一個動態的安全過程，才能為政務外網提供制度上的保證。
四、幾個重要問題
在整個政務外網（一期工程）安全保障體系的規劃和建設當中，有幾個重要問題需要特別說明。
⒈安全域劃分
政務外網要為政務部門的業務系統提供網絡、信息、安全等支撐服務，為社會公眾提供政務信息服務，要滿足政府公用網絡安全可信的需求。所以，在政務外網內有必要劃分不同的安全域，定義每個安全域的物理或邏輯邊界，形成隸屬于由單一安全策略權威定義和執行的公共安全策略的安全要素的集合，有利于每個安全域共享相似的安全策略。
政務外網具有數據量龐大、業務復雜多樣、安全等級各異的特點，因此安全域的劃分遵循以下原則：
①根據信任等級劃分安全域。在政務外網中，要為政務信息資源和國家基礎信息資源的登記、備案、、交換和共享提供服務，同時相關的業務系統也要有連接到互聯網和有需求的其它單位，不同的系統由于處理的數據和交互的實體不同，需要在不同的位置或業務流程中，劃分不同的安全域。
②根據業務節點類型，對不同的節點劃分相應的安全域，并配置和節點業務量相匹配的安全措施和安全設備。在政務外網中，政務外網要連接不同類型的網絡節點，網絡節點的安全等級決定了安全域的劃分和安全設施的投資建設規模。
③依據數據的安全等級，在存儲和傳輸的不同區域，劃分安全域，并采用不同的安全策略，體現數據的分等級保護。
根據以上原則，在政務外網中，網絡各節點的局域網構成相對獨立的安全域，并在各節點內部進行安全域細化。政務外網中，按節點所劃分的安全域有中央網絡管理中心局域網、中央城域網接入節點單位、各省市節點的二級網絡管理中心局域網和各省市節點的各自的接入網絡。
⒉等級保護
根據公安部、國家保密局、國家密碼管理局、國務院信息化工作辦公室2007年聯合頒布的43號文件《信息安全等級保護管理辦法》的相關規定，為保障電子政務外網的網絡安全，對電子政務外網需采用等級保護機制。等級保護以網絡安全域劃分為基礎，電子政務外網包括網絡基礎設施，包括眾多接入網絡，各個子網絡又包括不同的應用系統。只有根據這些資產的重要性以及它們面臨的安全威脅的不同，結構化地劃分為安全域，才能有效地進行安全保護。
根據政務外網的邏輯結構、安全域劃分情況、面向對象及應用模式，中央網絡管理中心局域網、中央城域網接入節點單位二級網絡管理中心局域網和各省區市接入節點二級網絡管理中心局域網，至少要達到第三級（監督保護級）的要求。對于這類的安全域，將依照國家管理規范和技術標準進行自主保護，并接受信息安全監管職能部門的監督、檢查。
中央城域網接入節點單位接入網絡和各省區市接入節點單位接入網絡至少要達到第二級（指導保護級）的要求。對于這類安全域，將在信息安全監管職能部門的指導下，依照國家管理規范和技術標準進行自主保護。
⒊風險評估
在政務外網（一期工程）安全保障體系規劃和設計時，國家信息中心網絡安全部將風險管理的思想引入到政務外網的建設中，獲取規劃和設計階段的政務外網的安全風險，提出并確定外網安全建設的要求，改進規劃中的不合理因素，為后續的網絡建設的實施提供安全建設依據。此次事前評估范圍主要是政務外網一期工程第一階段工程初步設計規劃方案，評估著重考慮外網規劃中系統平臺的安全性。為支持整個風險評估過程的推進，國家信息中心網絡安全部成立了由領導層、相關業務骨干、外網相關人員等組成的風險評估小組。評估結束后，針對不可接受的風險，風險評估小組對規劃和設計做了相應的修改，很好地兼顧了風險與成本的平衡。
五、結語
根據政務外網（一期工程）安全保障體系整體規劃和一期工程建設進度安排，政務外網中央節點安全保障體系已初步建成。通過幾個月的試運行，整個政務外網安全保障體系運轉良好，初步達到了預期的設計目標。下一步的工作重點將是：進一步完善政務外網安全保障體系，建立健全政務外網安全管理機制，明確各級網管部門安全管理責任；開展信息安全風險評估工作，按照信息安全等級保護的要求，對全網分級、分層、分域確定信息安全等級；從技術和管理兩方面入手，不斷完善信息安全保障體系，初步建成統一的政務外網信任體系，形成面向外網用戶的服務能力。
作者簡介：
王勇，男，漢族，1977年生，山東鄄城人，國家信息中心網絡安全部工程師；研究方向：網絡安全。
[關鍵詞]信息安全等級保護分級分域網絡隔離安全防護
1網絡現狀及防護需求
福建省莆田電業局已構建了信息網絡,已經穩定運行有財務管理、安全生產管理、協同辦公、電力營銷、ERP等應用系統。隨著國家電網公司“SG186”工程的信息化建設的推進工作,網絡和信息系統情況復雜,迫切需要進行信息安全全面建設。
根據國家《信息安全技術信息系統安全等級保護實施指南》(GB/T22240-2008)、國家《信息安全技術信息系統安全等級保護基本要求》(GB/T-22239-2008)、《國家電網公司“SG186”工程安全防護總體方案》、《國家電網公司“SG186”工程信息系統安全等級保護基本要求》、《國家電網公司“SG186”工程信息系統安全等級保護驗收測評要求(試行)》等文件要求,按照統籌資源,重點保護,適度安全的原則,依據等級保護定級結果,采用“二級系統統一成域,三級系統獨立分域”的方法,對信息網絡系統進行分級分域。
2安全防護建設目標
通過項目的實施,按照“層層遞進,縱深防御”的思想,從邊界、網絡、主機、應用四個層次進行安全防護等級保護設計和施工,使莆田電業局信息系統符合國家和國家電網公司的網絡與信息系統等級保護建設要求。
3實施方法
信息系統分級分域安全防護建設一般分三個階段:
第一階段:合理進行安全域劃分和初步規劃,針對重要信息進行防護。主要表現在針對業務安全要求比較高的信息系統如ERP、財務系統域進行防護,以及針對互聯網出口的應用層防護。
第二階段:針對當前信息網絡狀態,按照等級保護要求進行等級化評估、安全評估和合理定級,全面獲取當前安全現狀以及企業信息化建設的特殊需求。在評估基礎上,全面從等級保護要求及企業信息化建設的安全需求出發,合理進行安全方案設計。
第三階段:根據設計方案,全面開展等級化改造,包括技術措施和管理措施的完善,建立完整的信息安全體系,并且根據相關要求進行運行維護。
4分級分域安全防護方解決方案
信息網絡系統分級分域安全防護建設應當按照國家標準和國家電網公司“SG186”工程相關規定的要求完成,通過項目建設實施保障莆田電業局信息化管理系統的安全運營。
4.1 分級分域設計方案及安全等級建設要求
莆田電業局信息網絡主要分為兩個部分:信息內網和信息外網,兩個網絡之間通過強制隔離設備進行隔離。
信息內網分級分域及安全等級建設要求:
4.1.1二級系統域
二級系統域是指協同辦公系統、財務管理系統、安全生產管理系統、人力資源管理系統、企業門戶、ERP等信息系統
安全建設等級:基于信息系統的整合,所有二級系統統一部署于二級系統域,并根據國家安全等級保護標準和國家電網公司“SG186”工程信息系統安全等級保護基本要求等規范要求,按照安全防護等級二級進行建設。
4.1.2內網桌面終端域
信息內網桌面終端是用于內網業務操作及內網業務辦公處理,通過對桌面辦公終端按業務部門或訪問類型進一步進行VLAN區域細分,實現不同的業務訪問需求指定訪問控制及其他防護措施,由于桌面終端的安全防護與應用系統不同,將其劃分為獨立區域進行安全防護。
安全建設等級:按照安全等級二級進行安全建設;
信息外網分級分域及安全等級建設要求:
4.1.3外網應用系統域
需與互聯網進行數據交換的系統統一部署為外網系統域。
安全建設等級:按照安全等級二級進行安全建設;
4.1.4外網桌面終端域
外網桌面終端用于外網業務辦公及互聯網訪問,對外網桌面辦公終端按業務部門或訪問類型進行區域細分,針對不同業務訪問需求進行訪問控制及其他防護措施。
安全建設等級:按照安全等級二級進行安全建設;
圖1改造后的網絡拓撲圖
4.2 安全防護部署方案
4.2.1防火墻等級保護部署方案
目前網絡中主要使用防火墻來保證基礎安全。它監控可信任網絡和不可信任網絡之間的訪問通道,以防止外部網絡的危險蔓延到內部網絡上。
項目在四個域與核心交換機的連接點分別部署了啟明星辰天清漢馬USG-FW-4000D防火墻(見圖1),并進行了相應的配置。
防火墻典型的網絡部署模式包括路由模式和透明模式,本項目中,考慮到防火墻負責轉發各個區域的用戶訪問,采取透明模式部署。
根據企業安全區域的劃分,部署防火墻對不同區域之間的網絡流量進行控制,基本原則為:高安全級別區域可以訪問低安全級別區域,低安全級別嚴格受控訪問高安全級別區域,進行如下基本配置策略:
防火墻設置為默認拒絕工作方式,保證所有的數據包,如果沒有明確的規則允許通過,全部拒絕以保證安全;
配置防火墻防DOS/DDOS功能,對Land、Smurf、Fraggle、Ping of death、udp flood等拒絕服務攻擊進行防范;
配置防火墻全面安全防范能力,包括arp欺騙攻擊的防范,提供arp主動反向查詢、tcp報文標志位不合法攻擊防范、超大ICMP報文攻擊防范、地址/端口掃描的防范、ICMP重定向或不可達報文控制功能、Tracert報文控制功能、帶路由記錄選項IP報文控制功能等。
4.2.2入侵防護系統等級保護部署方案
在傳統的安全解決方案中,防火墻和入侵檢測系統已經無法滿足高危網絡的安全需求,互聯網上流行的蠕蟲、P2P、木馬等安全威脅日益滋長,必須有相應的技術手段和解決方案來解決對應用層的安全威脅。以入侵防御系統為代表的應用層安全設備作為防火墻的重要補充,很好地解決了應用層防御的問題,并且變革了管理員構建網絡防御的方式。通過部署IPS,可以在線檢測并直接阻斷惡意流量。
項目在外網系統部署1臺啟明星辰天清NIPS3060入侵防護系統。
4.2.3服務器換機等級保護部署方案
服務器交換機采用華為QuidwayS9306高端多業務路由交換機,該產品基于華為公司自主知識產權的Comware V5操作系統,融合了MPLS、IPv6、網絡安全等多種業務,提供不間斷轉發、優雅重啟、環網保護等多種可靠技術,在提高用戶生產效率的同時,保證了網絡最大正常運行時間,從而降低企業的總擁有成本。
項目配置兩臺華為QuidwayS9306交換機分別用作內網二級系統域和外網應用系統域,配置冗余電源、雙引擎、2塊48端口千兆電口板、1塊48端口SFP千兆光口板卡,保證了服務器換機的安全可靠。
4.2.4終端匯聚交換機等級保護部署方案
終端匯聚交換機采用華為Quidway LS-S5328C交換機,實現信息內外網桌面終端域的安全接入。
華為QuidwayLS-S5300系列交換機是華為公司最新開發的增強型IPv6萬兆以太網交換機,具備業界盒式交換機最先進的硬件處理能力和豐富的業務特性。支持最多4個萬兆擴展接口;支持IPv4/IPv6硬件雙棧及線速轉發;出色的安全性、可靠性和多業務支持能力使其成為網絡匯聚和城域網邊緣設備的第一選擇。
配置2臺桌面終端匯聚交換機分別部署在信息內網和信息外網的桌面終端域接口上。
5網絡安全成果分析
福建省莆田電業局信息網絡系統分級分域安全防護建設項目從邊界、網絡、主機、應用四個層次進行了安全防護等級保護設計及工程實施,對原有網絡、安全設備進行了調整,實現了安全域的劃分,實現了對關鍵業務的安全防護,達到了國家和國家電網公司的網絡與信息系統等級保護建設要求,并通過了國家電網公司等級測評驗收。
參考文獻:
[1] 信息安全技術信息系統安全等級保護實施指南(GB/T22240-2008)
[2] 信息安全技術信息系統安全等級保護基本要求(GB/T-22239-2008)
［關鍵詞］信息安全;等級保護;云平臺
［中圖分類號］TP39［文獻標志碼］A［文章編號］1009－8054(2015)12－0116－04
0引言
國家對非信息系統實行等級保護制度，等級保護測評的目的在于提高國家重要信息系統的信息安全保障能力和水平，維護國家安全、社會穩定和公共利益，保障和促進信息化建設［1］。伴隨著信息安全等級保護制度的貫徹實施，信息系統的安全保護能力有了普遍提升，相關人員的信息安全意識同樣有了提高。等級保護測評工作是查找信息系統安全問題的重要手段，國家相繼出臺了相關的標準，來規范和指導信息安全等級保護測評，例如GB/T22239－2008、GB/T22240－2008、GB/T28449－2012等標準。筆者在對電子政務系統信息安全等級保護定級以及系統測評方面，根據在實際工作中遇到的問題，結合工程實踐，對測評中遇到的這些問題進行分析，并給出了具體的解決方法。這些問題包括:電子政務外網定級與測評、測評中常見的重要問題分析，以及云平臺下開展等級保護測評工作應關注的附加測評項等內容。
1電子政務外網定級與測評
對于電子政務外網的定級，對剛剛接觸等級保護測評的機構或測評人員來說，可能相對陌生。以往我們開展信息系統等級保護的定級和測評，都是以信息系統為測評單位，要對整個電子政務外網進行定級，是否可行，定級范圍又是如何界定，下文將給出具體的分析。對一個信息化平臺是可以定級的，下面就以電子政務外網為例，來說明具體情況。電子政務外網是國家電子政務重要基礎設施，是承載各級政務部門用于經濟調節、市場監管、社會管理和公共服務等非涉及國家秘密的業務應用系統的政務公用網絡。電子政務外網的定級對象為本級政務外網管轄范圍內(由邊界設備確定)的所有網絡、計算、存儲和安全防護等各類設備、各種用于網絡運維管理、安全保障的應用系統、各種通信線路及支持所有軟硬件正常運行的機房等基礎設施環境等。門戶網站系統、跨部門的數據共享與交換系統、數據中心內的各業務應用系統以及各級政務部門的各類應用系統不包括在政務外網的等級保護范圍內，這些系統的的定級標準依據GB/T2224－2008《信息安全技術信息系統安全等級保護定級指南》，測評標準依據GB/T22239－2008《信息安全技術信息系統安全等級保護基本要求》。在《國家電子政務外網安全等級保護實施指南》中，分別給出了等級保護二級和等級保護三級的定級范圍圖。其中，等級保護二級的定級范圍圖如圖1所示。圖中標識為紫色的區域，就是電子政務外網的定級范圍。對于電子政務外網的測評，要依據兩個方面的標準，其一是《國家電子政務外網安全保護等級基本要求》，在該標準中對IP承載網、業務區域網絡和管理區域網絡等方面提出了具體要求，包括結構安全、訪問控制等具體要求項;其二是GB/T22239－2008《信息安全技術信息系統安全等級保護基本要求》。電子政務外網按照功能區域劃分可以劃分出6個安全區域，即公用網絡區、互聯網接入區、專用網絡區、用戶接入區、網絡和安全管理區、電子認證區。在實際的測評工作工作中，要理解各個功能區域作用:互聯網接入區:是政務部門通過邏輯隔離安全接入互聯網的網絡區域，滿足政務部門連接互聯網的需求。網絡管理區:網絡管理區主要承載網絡管理信息系統，通過網絡管理系統實現對管轄區內網絡設備、服務器設備的狀態監控及相關管理等功能;安全管理區:安全管理區主要承載安全管理信息系統，通過安全管理區實現對管轄區內安全設備進行日志采集、實現對網絡中的攻擊行為進行報警等功能;公用網絡區:采用統一分配的公共IP地址，實現各部門、各地區之間的互聯互通，為跨地區、跨部門的業務應用提供數據共享與交換的網絡平臺。
2測評中常見的問題分析
2．1網絡結構方面根據調研，筆者發現目前一些單位的二級系統由于應用架構簡單，面對互聯網提供服務的應用服務器、數據庫服務器被部署在一個網段，而且部署在內網區域。很顯然，該種拓撲結構存在的問題主要體現在:1)應用服務器和數據庫部署在一個網段，存在安全隱患，一旦面對互聯網的應用服務器被惡意入侵，同網段的數據庫服務器將面臨很大的安全風險。2)面對互聯網的應用服務器部署在內網區域，一旦該服務器被惡意入侵，將給內網安全帶來安全風險。對于該類網絡拓撲結構，應將應用服務器設置在互聯網邊界防火墻的DMZ區域。在實際的測評工作中，我們也發現了個別單位擬對電子政務外網平臺進行網絡結構的改造，但往往又不清楚如何下手。據調研，現有的網絡拓撲圖互聯網出口過多，安全域劃分不合理，網絡區域的劃分非常分散，都是當前網絡結構方面面臨的問題。筆者建議這些單位負責網絡平臺運維的相關人員要仔細閱讀《國家電子政務外網安全等級保護等級基本要求》和《國家電子政務外網安全等級保護實施指南》這兩個標準，這個標準對電子政務外網功能區域的劃分，已經給出了明確的說明。在不了解上述標準的前提下，對現有的網絡結構進行盲目的調整，調整的結果仍然是網絡區域分散，互聯網出口過多、系統化不強。《國家電子政務外網安全等級保護實施指南》中給出的網絡功能區域的劃分圖如圖2所示。2．2重要網段防止地址欺騙為了做好重要網段防止地址欺騙工作。可以從雙向IP/MAC綁定入手。例如:重要的管理終端與該管理終端的接入網關之間，要實現雙向綁定。在管理終端上設置網關的靜態ARP信息，在網關上將管理終端的IP－MAC輸入到靜態表中。在實際的測評中發現，重要網段防止地址欺騙在網絡設置中做的不多。2．3訪問控制信息安全等級保護的兩個目的，其一是保護信息系統數據的安全性，其二是保證信息系統的業務連續性。顯然，對服務器的保護顯得重之又重。在具體的測評中，我們發現，在服務器區域邊界防火墻的訪問控制策略中，源地址范圍過大是常見的一類問題，而且該策略中，對應的端口限制粒度也往往過大。2．4單點故障問題在測評中時常發現，一些三級系統未采用冗余技術設計網絡拓撲圖，因而造成關鍵節點存在單點故障。避免單點故障就是為了保障系統的高可用性。2．5非法外聯的問題在等保測評的技術要求中，要求采用技術手段限制非法外聯行為。一些剛剛邁進等級保護測評大門的相關人員可能會有如下錯誤的認識:“待評測的信息系統面向互聯網提供服務，而且被測評單位的所有計算機終端設備均允許連接互聯網，該測評項因此可以判定為不適用”。實際上，上面的理解是不正確的，盡管該單位所有的終端都可以連接互聯網，但是這些終端都是通過該單位統一的互聯網出口出去的，而且在互聯網邊界必定部署了相關安全設備，如放火墻、入侵防御設備等等。如果該單位某個終端用戶采用一個3G上網卡連接了互聯網，這等于就打開了一個新的通路，而且這條通路上沒有任何的安全防護設備，這就破壞了網絡的邊界完整性，給內網安全帶來了隱患。因此，限制終端用戶的非法外聯行為是十分必要的。2．6密碼加密的問題在測評中發現，一些數據庫的用戶表中，密碼字段仍然是明文存儲，顯然這是非常不安全的，建議對密碼字段進行加密，加密可采用md5(用戶名+密碼+隨機字符串)加密方式。2．7驗證碼繞過的問題在應用安全測評中，我們發現一些應用系統仍然存在admin這樣的管理員用戶，這就給密碼猜測提供了可能，建議重命名ad-min或administrator，此外，為了避免驗證碼繞過的問題，應及時更新驗證碼(在登錄失敗時也要更新驗證碼)，防止出現驗證碼被繞過問題的發生。2．8信息系統精確定級在進行信息系統等級保護定級時，信息系統的使用單位一般都做到了信息系統定級，但是沒有做到準確定級，也就是說沒有根據數據的安全性等級和業務連續性的安全等級來最終定位系統的安全保護等級。在一個三級系統的等級保護測評咨詢項目中，用戶將信息系統定為三級(S3G3A3)，根據我們實際的調研發現，該系統僅僅是一個數據備份系統，對數據安全性要求可以達到三級要求，但對于業務連續性的要求是不需要定為三級的，因此就建議用戶對信息系統定級為三級(S3G3A2)，這樣一來，既保證了信息系統安全性，也為使用單位設計、改造該系統的信息安全保護能力提供了準確的指導建議。
3云平臺環境下的信息系統信息安全測評
隨著云平臺的發展，一些單位將應用部署在云服務器上，當前云應用存在四個方面的安全風險，一是共享技術漏洞引入的虛擬化安全風險;二是云服務不可信帶來的信息安全風險;三是多租戶模式帶來的數據泄露風險;四是云平臺惡意使用帶來的運營安全風險。“虛擬化”和“分散處理”是云平臺下兩項關鍵技術，而云平臺是以虛擬機系統作為底層架構，因此虛擬機系統的安全是云安全的核心。這就給開展等級保護測評工作引入了新的要求。圖3給出了虛擬化環境層次分析模型［2］。圖中所示的Hypervisor為管理控制程序，負責對硬件資源的調度、管理VM(虛擬機)、響應VM。在該模型中，信息系統采用虛擬化技術，用戶使用的服務器資源、網絡設備資源、安全設備資源等資源，均被放置在云端。用戶通過客戶端的瀏覽器頁面訪問信息系統的WEB頁面，由云端的虛擬化管理層對用戶進行身份驗證，并分配相應的資源。結合圖3所示，在進行信息安全等級保護測評時，應充分考慮三個層次存在的安全風險［2］:對于用戶接入層:要關注終端安全、身份認證、通信加密、連接安全等安全風險點;虛擬化管理層:要關注Hypervisor自身的安全性、Hypervisor特權威脅、計算資源虛擬化等安全威脅;VM層:要關注數據集中風險、逃逸威脅、VM鏡像的安全性、殘余信息保護等。針對云平臺下的信息系統信息安全測評，筆者認為除了要依據GB/T22239－2008標準的基本要求對信息系統進行測評外，還應增加相應的附加要求。這些附加要求包括:3．1網絡安全(1)結構安全云服務提供商應能提供完整的虛擬網絡環境說明，包括網絡設備、安全設備的部署情況及作用說明，并提供給云平臺用戶備案;云服務提供商應能對虛擬網絡的運行狀況進行監控。(2)訪問控制應在虛擬網絡邊界部署訪問控制設備，并啟用訪問控制功能;應在客戶端到虛擬機之間部署訪問控制設備，并啟用訪問控制功能。3．2主機安全(1)身份鑒別對虛擬服務器進行遠程管理時，應采取必要措施，防止用戶鑒別信息在網絡傳輸中被竊聽。(2)訪問控制應采用技術手段控制虛擬機與物理主機之間、虛擬機之間的互訪。(3)剩余信息保護應采取技術措施保證虛擬資源回收時，對數據進行清除。(4)入侵防范物理主機中應采用監測技術，對同一物理主機上各虛擬主機之間的通信進行監測。(5)資源控制應限制每臺虛擬機資源使用的上限。(6)惡意代碼防范應采用技術手段對虛擬機鏡像文件進行保護;在物理機和虛擬機中均應安裝惡意代碼防范軟件，并及時更新惡意代碼軟件版本和惡意代碼庫。(7)剩余信息保護應采取技術措施保證虛擬資源回收時，對數據進行清除。3．3數據安全(1)數據完整性應采用技術手段對虛擬機鏡像文件進行完整性保護。(2)數據保密性應采用加密或者其他保護措施實現虛擬鏡像文件的保密性。(3)備份和恢復對VMM(即Hypervisor)的安全配置、訪問控制策略進行備份。
4結語
信息系統的等級保護測評工作是實踐性非常強的一項工作，由于新技術、新產品的應用都將給測評工作帶來新的挑戰。本文結合具體的工程實踐，對電子政務外網的定級進行了闡述，對測評中發現的一些重要問題進行了分析，并結合當前云應用的情況，對信息安全等級保護測評的基本要求進行補充。筆者也將在今后的文章中，對信息安全等級測評標準的理解與實踐，做更加詳細地陳述。
參考文獻:
［1］孫鐵．云環境下開展等級保護工作的思考［J］．信息網絡安全，2011(6):11－13．
【 關鍵詞 】 等級保護；信息系統；安全設計；安全實現
0 引言
強力安全部門等級化保護注重信息產品的安全性能和系統運行狀態安全檢測、評估和定級，更重要的是等級化保護是圍繞信息系統安全保障全過程的一項基礎性工作，是保障和促進信息化建設健康發展的一項基本制度。對于即將投入建設的信息系統，通過將等級化保護方法和安全體系方法有效結合，設計一套滿足信息系統安全需要的體系方案，是系統化解決信息系統安全的一個非常有效方法。
1 設計基礎
等級保護測評針對的是已經建設完成且運行中的系統。許多系統建設單位對系統建設中的信息安全不夠重視或設計思路不佳，導致建設完成的系統存在“先天不足”。通過實施等級保護評測，評估信息系統和相應的安全等級保護標準的差距和所面臨的安全風險。根據評測結果對系統進行技術類、管理類全方位整改，提高信息系統的安全性，達到國家和國際等級保護要求。然而，系統從上線運行至整改完成的一段時間內，長期暴露于安全缺陷的危險之中，而且用戶并不知曉，使信息系統在一段時間內面臨著極大的風險。針對這一問題，若信息系統在建設前先進行評估定級，依據該等級保護級別的標準指導系統建設，系統建設完成后便與國家信息安全技術標準要求“零差距”。與目前信息系統相比，上線運行時就不存在安全缺陷，有效地規避系統整改前所面臨的風險。
在信息系統建設中，如何設計和實施一個安全、穩定可靠同時又兼顧成本的架構是至關重要的事。關于系統質量與成本的關系，業界有一個著名的“1:10:100”成本法則，即假設信息系統在建設初期設計時發現一項缺陷并加以彌補，僅需1元錢；如果此缺陷在系統建設中被發現，需要10元錢代價來彌補；如果此缺陷在系統上線后在運行中被發現近，則需要花費100倍甚至上千倍的代價來彌補。這個觀點不難理解，根據經驗，對運行中的信息系統進行整改不僅需要極大的成本支撐，甚至難以實現。如物理安全整改，涉及機房環境等基礎設施的改造時，“傷筋動骨”且實施難度巨大；應用安全整改，在線的應用系統已經開發成型，如果涉及應用軟件功能模塊的增添或底層協議接口的改變，即便開發商支持，也將面臨系統停運等重大影響和損失。如果信息系統的設計和建設始終參照等級保護標準，經過科學的安全設計和實施，信息系統建設完成后便足夠“優秀”，不僅避免了目前信息系統普遍面臨的安全整改難題，而且節約成本，是投資資本效能最大化。更重要的是，系統上線即達到等級保護標準技術要求，同時降低和消除了可能發生在物理、網絡、應用和數據傳輸層面的安全威脅，從安全管理層面也大大降低了系統內部的脆弱性。如此一來，信息系統整體安全保障在設計、建設中逐一體現，良好的設計鑄就了安全。
2 方案總體設計
等級化保護貫穿信息系統設計和建設的整個生命周期，這是與已建系統等級保護實施過程的主要區別。結合自身信息化建設或改造的需要，在建設的整個生命周期中依據等級保護要求規劃與建設，符合建設單位和項目規劃的安全目標要求，保證信息系統上線后平穩、安全運行。
以等級保護標準指導信息系統方案設計，需遵循以下原則。
1）整體安全原則。按照國家信息安全保護標準，以整體設計安全為原則，分別從技術類和管理類共十個方面，指導系統設計與實施全過程。確保系統建設完成后即達到相應等級保護級別的要求。
2）資金效能最大化原則。保證信息系統高質量與安全目標的同時，力求在系統建設前設計時花“一元成本”和在建設中花“十元成本”解決安全問題原則，避免由于安全缺陷造成巨大損失和高成本整改漏洞。
3）擴展性原則。系統在設計時遵循可擴展性原則，可根據用戶信息系統及信息安全的要求，增加客服端和進行各種功能擴展。尤其是物理安全設計，采取比系統所定等級保護級別“高一級”的設計方案，用戶未來根據業務需求增添系統時或需要部署高一級的信息系統，物理安全部分不需要做相應的整改，可由當前物理機房做無縫承載。
新建等級保護系統，是保障系統信息安全的有效手段，也是落實國家信息化領導小組指示的“實行信息安全等級保護”的最佳實踐。該方案用于提高客戶信息系統的規范性和整改安全性。總體框架如圖1所示。
新建等級保護項目的實施主要步驟實現。
第一階段：定級階段
定級階段的主要目標是確定信息系統及其子系統的安全等級。定級結果是進行安全規劃與設計的基礎。定級階段主要包括兩個工作過程。
1）系統識別與描述：應準確識別并描述出整體的電子政務系統，以及系統可以分解的子系統。系統識別要確定系統的范圍和邊界，識別系統包含信息和系統提供的服務，作為后續定級工作的輸入。
2）等級確定：進行系統整體定級和子系統分別定級，形成系統的定級列表，作為后續階段的基礎，定級工作的流程如圖2所示。
第二階段：安全規劃和安全設計階段
1）需求分析：根據建設單位和項目規劃的安全目標，劃分信息系統及各層保護對象的安全等級，提出信息系統特殊的安全運行環境和威脅系統安全的保護要求，明確完整的系統安全需求。
（中國電子科技集團公司第二十研究所，陜西 西安 710068）
【摘 要】隨著信息化水平的不斷提高，各單位對其依賴程度前所未有的加大，然而隨著各種攻擊技術的發展，沒有防御的系統則顯得不堪一擊。針對此，每個單位信息系統的安全運行都相應的加大了信息安全的關注與投入。鑒于此，研究不同等級的信息系統所需的安全措施就變得很有意義。主要說明了信息系統的不同等級及其安全防護水平。
關鍵詞 信息化；風險；等級保護；安全
1 信息化發展背景
1.1 全球背景
信息化是充分利用信息技術，開發利用信息資源，促進信息交流和知識共享，提高經濟增長質量，推動經濟社會發展轉型的歷史進程。隨著信息技術發展，信息化對經濟社會發展的影響更加深刻。信息資源日益成為重要生產要素、無形資產和社會財富。與此同時，信息安全的重要性也與日俱增，成為各國面臨的共同挑戰。
1.2 我國目標
我國信息化發展戰略概括為：以信息化促進工業化，以工業化帶動信息化，走出中國特色的信息化道路。信息化是當今世界發展的大趨勢，是推動經濟社會變革的重要力量。到2020年，我國信息化發展的戰略目標是：綜合信息基礎設施基本普及，信息技術自主創新能力顯著增強，信息產業結構全面優化，國家信息安全保障水平大幅提高，國民經濟和社會信息化取得明顯成效，新型工業化發展模式初步確立，國家信息化發展的制度環境和政策體系基本完善，國民信息技術應用能力顯著提高，為邁向信息社會奠定堅實基礎。
2 等級保護標準及其具體范圍
信息安全等級保護是指對國家安全、法人和其他組織及公民的專有信息以及公開信息和存儲、傳輸、處理這些信息的信息系統分等級實行安全保護，對信息系統中使用的信息安全產品實行按等級管理，對信息系統中發生的信息安全事件分等級響應、處置。
2.1 美國可信計算機安全評價標準
美國可信計算機安全評價標準(Trusted Computer System Evaluation Criteria，TCSEC)，該標準是世界范圍內計算機系統安全評估的第一個正式標準，具有劃時代的意義。該準則于1970年由美國國防科學委員會提出，并于1985年12月由美國國防部公布。TCSEC最初只是軍用標準，后來延至民用領域。TCSEC將計算機系統的安全劃分為4個等級、7個級別。
D類安全等級：D類安全等級只包括D1一個級別。D1的安全等級最低。
C類安全等級：該類安全等級能夠提供審計的保護，并為用戶的行動和責任提供審計能力。C類安全等級可劃分為C1和C2兩類。
B類安全等級：B類安全等級可分為B1、B2和B3三類。B類系統具有強制性保護功能。
A類安全等級：A系統的安全級別最高。目前，A類安全等級只包含A1一個安全類別。A1系統的顯著特征是，系統的設計者必須按照一個正式的設計規范來分析系統。
2.2 歐洲的安全評價標準
歐洲的安全評價標準ITSEC（Information Technology Security Evaluation Criteria）是英國、法國、德國和荷蘭制定的IT安全評估準則，是歐洲多國安全評價方法的綜合產物，應用領域為軍隊、政府和商業。該標準將安全概念分為功能與評估兩部分。功能準則從F1～F10共分10級。1～5級對應于TCSEC的D到A。F6至F10級分別對應數據和程序的完整性、系統的可用性、數據通信的完整性、數據通信的保密性以及機密性和完整性的網絡安全。
與TCSEC不同，它并不把保密措施直接與計算機功能相聯系，而是只敘述技術安全的要求，把保密作為安全增強功能。另外，TCSEC把保密作為安全的重點，而ITSEC則把完整性、可用性與保密性作為同等重要的因素。ITSEC定義了從E0級(不滿足品質)到E6級(形式化驗證)的7個安全等級，對于每個系統，安全功能可分別定義。
2.3 我國計算機信息系統安全保護等級劃分準則
我國根據世界范圍內信息安全及計算機系統安全評估等技術的發展，并結合我國自身情況，制定并頒發了我國計算機信息系統安全保護等級劃分準則（GB 17859-1999），在該準則中將信息系統分為下面五個等級：
第一級：用戶自主保護級；
第二級：系統審計保護級；
第三級：安全標記保護級；
第四級：結構化保護級；
第五級：訪問驗證保護級。
3 風險分析和安全保護措施
3.1 漏洞、威脅、風險
在實際中，計算機信息系統在確定保護等級之前，首先要對該計算機信息系統進行風險分析。風險是構成安全基礎的基本觀念，風險是丟失需要保護的資產的可能性。如果沒有風險就不需要安全。威脅是可能破壞信息系統環境安全的行動或事件。漏洞是各種攻擊可能的途徑。風險是威脅和漏洞的綜合結果。沒有漏洞的威脅沒有風險，沒有威脅的漏洞也沒有風險。識別風險除了識別漏洞和威脅之外，還應考慮已有的策略和預防措施。識別漏洞應尋找系統和信息的所有入口及分析如何通過這些入口訪問系統和信息。識別威脅是對目標、動機及事件的識別。一旦對漏洞、威脅以及預防措施進行了識別，就可確定該計算機信息系統的風險。綜合這些信息，開發相應的風險管理項目。風險永遠不可能完全去除，風險必須管理。
風險分析是對需要保護的資產及其受到的潛在的安全威脅的鑒別過程。風險是威脅和漏洞的組合。正確的風險分析是保證計算機信息系統的網絡環境及其信息安全及其重要的一步。風險分析始于對需要保護的資產（物理資源、知識資源、時間資源、信譽資源等）的鑒別以及對資產威脅的潛在攻擊源的分析。采用等級保護策略可以有效的降低各種資產受危害的潛在代價以及由于采取安全措施付出的操作代價。一個性能良好的安全系統結構和安全系統平臺，可以以低的安全代價換取高的安全強度。
3.2 一種保護重要秘密安全的方法
在具體實施過程中，根據計算機信息系統不同的安全等級要求，制定不同的等級保護策略，用最小的代價來保證計算機信息系統安全。在一些重要情況下，為了確保安全與萬無一失，都必須由兩人或多人同時參與才能生效，這時就需要將秘密分給多人掌管，并且必須有一定數目的掌管秘密的相關人員同時到場才能恢復這一秘密。針對這種特別重大和及其敏感的信息可采用秘密分割門限方案來確保安全。
設秘密m被分成n個部分的信息，每一部分信息稱為一個子密鑰，由一個參與者持有，使得：
①由k(k<n)個或多于k個參與者所持有的部分信息可重構該消息m；
②由少于k個參與者所持有的部分信息無法重構消息m；
稱這種方案為（k，n）秘密分割門限方案，k稱為方案的門限值。
如果一個參與者或一組未經授權的參與者在猜測秘密m時，并不比局外人猜測該秘密m時有優勢。
③由少于k個參與者所持有的部分信息得不到秘密m的任何信息。
則稱這個方案是完整的，即（k，n）秘密分割門限方案是完整的。
其中最具代表性和廣泛應用的門限方案是基于中國剩余定理的門限方案。
通過這種秘密分割的方法就能達到秘密多人共享，多人共同掌管的局面，確保該信息安全。這種方案也可以用于特別的（下轉第73頁）（上接第78頁）重要部位和場所的出入控制等方面。
3.3 具體措施
針對企業信息系統，應當健全針對各單位或業務部門在日常工作中產生和接觸的信息的敏感程度不同，區分等級，分門別類，堅持積極防御、綜合防范，探索和把握信息化與信息安全的內在規律，主動應對信息安全挑戰，力爭做到辦公方便與安全保密同時兼顧，實現信息化與信息安全協調發展，保證企業信息安全。
加強信息安全風險評估工作。建設和完善信息安全監控體系，提高對網絡安全事件應對和防范能力，防止有害信息傳播。高度重視信息安全應急處置工作，健全完善信息安全應急指揮和安全通報制度，不斷完善信息安全應急處置預案。從實際出發，促進資源共享，重視災難備份建設，增強信息基礎設施和重要信息系統的抗毀能力和災難恢復能力。
4 結束語
隨著信息安全事件的頻繁曝光，信息安全越來越受到人們的重視。為此，越來越多的工作人員投身到安全領域的研究之中。然而當今的現狀卻是各種各樣的不安全事件層出不窮，各類攻擊及其變種也在不斷發展。所有的這些就要求我們必須更加努力地投入到工作中去。不僅要針對一些已經出現且危害較大的一些安全問題提出相應的解決方案，還應該站在安全領域的前沿，積極地投身去防御各種可能會引發安全問題的漏洞及脆弱點。只有這樣我們才能更好地保障人們放心的使用信息技術的發展帶來的便捷。
參考文獻
［1］胡道元,閔京華.網絡安全[M].清華大學出版社,2007.
［2］baike.baidu.com/view/488431.htm.TCSEC全稱與安全等級分類[OL].
［3］baike.baidu.com/view/488448.htm.ITSEC[OL].
［4］楊波.現代秘密學[M].2版.清華大學出版社,2007.
［5］baike.baidu.com/view/21730.htm#sub5031999.CC國際通用標準[OL].
關鍵詞：信息安全；等級保護；等級測評；實踐教學；綜合實訓
DOIDOI：10.11907/rjdk.161717
中圖分類號：G434
文獻標識碼：A文章編號文章編號：16727800（2016）009017303
基金項目基金項目：貴州省科技廳社發攻關項目（黔科合SY字2012-3050號）；貴州大學自然科學青年基金項目（貴大自青合字2010-026號）；貴州大學教育教學改革研究項目（JG2013097）
作者簡介作者簡介：張文勇（1973-），男，貴州臺江人，碩士，貴州大學計算機科學與技術學院講師，研究方向為網絡與信息安全；李維華（1961-），男，貴州貴陽人，貴州大學計算機科學與技術學院高級實驗師，研究方向為網絡與信息安全；唐作其（1980-），男，貴州興義人，碩士，貴州大學計算機科學與技術學院副教授，研究方向為信息安全保障體系。
0引言
信息安全等級保護是國家信息安全保障工作的基本制度、基本策略、基本方法，開展信息安全等級保護工作是保護信息化發展、維護國家信息安全的根本保障，是信息安全保障工作中國家意志的體現。信息安全學科要求學生不僅要具備很強的理論知識，更應具備較強的實踐能力。現階段很多高校在理論教學上有較好的培養方法和模式，學生具備良好的理論基礎，但在實踐教學中由于各課程的銜接和關聯較少，盡管部分學校開設了信息安全實訓或信息安全攻防實踐等課程，但基本都是做一些單元實驗，僅局限于某一方面的技能訓練，沒有從全局、系統的角度去培養學生綜合運用各種信息安全知識解決實際問題的能力[15]。從貴州大學信息安全專業畢業生就業情況調查反饋信息來看，絕大多數畢業生主要從事企事業單位的信息安全管理、信息安全專業服務等工作，少數畢業生從事信息安全產品研發，或繼續碩士博士深造，從事信息安全理論研究。用人單位普遍反映學生的基本理論掌握相對較好，但實際操作技能、綜合分析能力欠缺。為了解決目前這種狀況，筆者根據長期從事信息安全等級保護項目實施工作實踐，提出在信息安全專業的實踐教學環節中引入信息安全等級保護相關內容。
1信息安全等級保護對學生能力培養的作用
信息安全等級保護工作包括定級、備案、安全建設和整改、信息安全等級測評、信息安全檢查5個階段，信息系統安全等級測評是驗證信息系統是否滿足相應安全保護等級的評估過程。信息安全等級保護的知識體系完善，信息安全等級保護測評人員的技術要求涵蓋多個方面，包括物理環境、主機、操作系統、應用安全、安全設備等，因此國家對于信息安全等級保護人員的技術要求十分綜合和全面[3]。如參照信息安全等級保護專業人員的技術要求對學生開展信息安全綜合實訓將滿足社會對信息安全專業人員的技能和知識結構要求，主要體現在以下4個方面：①培養學生了解國家關于非信息系統保護的基本方針、政策、標準；②培養學生掌握各種基本信息安全技術操作技能，熟悉各種信息系統構成對象的基本操作，為將來快速融入到信息安全保護實踐工作奠定基礎；③培養學生具備從綜合、全面的角度去規劃、設計、構建符合國家信息安全保障體系要求的信息安全防護方案能力；④培養學生建立信息安全等級保護的基本意識，在工作實踐中自覺按國家信息安全等級保護要求開展工作，有利于促進國家信息安全等級保護政策實施。
2實訓教學知識體系
信息安全等級保護的相關政策和標準是信息安全實訓教學體系建立的基本依據，GB/T 22239-2008《信息安全等級保護基本要求》在信息安全等級保護標準體系中起基礎性作用。信息安全等級保護基本要求充分體現了“全面防御，縱深防御”的理念，遵循了“技術和管理并重”的基本原則，而不同級別的業務信息系統在控制點要求項上的區別體現了“適度安全”的根本原則[6]。信息安全保護測評是信息安全等級保護的一項重要基礎性工作，GB/T 28449-2012《信息安全等級保護測評過程指南》是對等級測評的活動、工作任務以及每項任務的工作內容作出了詳細建議，等級測評中的單元測評、整體測評、風險分析、問題處置及建議環節體現了測評工程師對等保項目基本安全保障情況的綜合分析能力[610]。信息安全等級保護知識體系龐大，不可能兼顧所有方面，因而在信息安全實訓教學知識體系制訂中采用兼顧全局、突出重點的基本原則；在實訓教學知識體系的構成中重點以《信息安全等級保護基本要求》和《信息安全等級保護測評過程指南》為基礎，包括基本理論培訓、基本技能實訓、安全管理培訓、能力提高實訓四大模塊；在實際操作中將重點放在基本技能實訓和能力提高實訓上。各實訓模塊構成及關系如圖1所示。
3實訓教學實施
教學實施依據實訓教學知識體系進行，教學方式采用集中課堂基本理論教學、在信息系統模擬平臺實施現場測評數據采集的基本操作實訓和以信息安全等級保護測評報告的編寫為基礎的數據分析、數據整理、安全方案編寫實訓。
3.1基本理論教學
該環節采用集中課堂教學方式，講解的主要內容是信息安全等級保護政策和標準。講解深度上應有所側重，講解重點包括：①信息安全等級保護基本要求中層面的劃分原則和依據、控制點的構成、控制點中要求項的解讀；②信息安全保護過程指南中單元測評、整體測評、風險分析、問題處置和建議等部分的解讀。
理論教學在突出重點的同時，兼顧全局，讓學生對信息安全等級保護制度和標準有一個完整、清晰的認識。
3.2基本技能實訓
基本技能實訓環節主要是強化學生各種信息安全技術的基本操作訓練。首先，應根據最真實的企業內部環境搭建符合信息安全等級保護要求的模擬信息系統，并編寫好對應的信息安全等級保護現場測評指導書；然后，指導學生在模擬系統上進行現場測評實訓，實訓過程按信息安全等級保護現場測評指導書要求進行，實訓內容以獲取信息系統安全配置和運行狀態等原始數據為基礎。基本技能實訓模塊包括網絡安全、主機安全、應用安全、數據備份及恢復、自動化工具掃描這5個層面的訓練項目。
（1）網絡安全。學生在模擬平臺上開展各種主流的網絡設備和安全設備的基本操作訓練，要求學生理解網絡設備和安全設備的安全功能及安全設置，掌握設備的運行狀態和信息數據采集方法。
（2）主機安全。學生在模擬平臺上開展各種主流系統軟件基本操作訓練，包括操作系統、數據庫系統、中間件等，要求學生理解各種系統軟件的安全功能和安全設置。通過本環節的實訓，學生應具備系統軟件安全配置核查和運行狀態信息采集能力。
（3）應用安全。學生在模擬平臺上對所安裝的主流商用應用軟件和自主開發軟件進行安全配置核查和安全功能驗證訓練，要求學生理解應用軟件的安全功能設計要求，掌握應用軟件的安全配置核查和安全功能驗證方法。
（4） 數據備份和回復。通過模擬系統的磁盤冗余陣列進行基本操作訓練，讓學生了解磁盤冗余陣列的驗證方法；通過訓練學生在操作系統和數據庫管理系統上配置計劃備份任務，使其理解系統軟件的數據備份安全功能，掌握系統軟件的備份操作計劃配置和驗證方法。
（5）自動化工具掃描。學生利用主流的開源掃描工具和商用的掃描工具對模擬系統上的網絡設備、安全設備、服務器主機等進行掃描，獲取信息系統主要軟硬件的漏洞，并驗證系統的脆弱性。本部分獲取的原始數據作為（1）、（2）、（3）部分的補充，通過本環節培訓學生整理和分析漏洞掃描結果以及初步驗證漏洞真實性的能力。
3.3能力提高實訓
在學生掌握信息系統安全配置和運行狀態數據采集的基本技能后實施能力提高實訓，本模塊主要培訓學生對原始數據的分析、整理，并編寫信息安全等級保護測評報告的能力。能力提高實訓模塊主要包括單元測評、整體測評、風險分析、問題處置和安全建議4個項目，各項目之間的關系流程如圖2所示。
（1）通過基本技能實訓獲取到原始數據后，根據信息安全等級保護測評過程要求整理、分析原始數據，開展單元測評，并給出各單元層面內控制點中檢查項的符合性，分析并給出單元測評結果，按信息安全等級保護報告模板編寫單元測評報告。
（2）在完成單元測評后，由于單元測評參照的信息相對獨立，未考慮原始數據間的關聯性，而實際信息系統的最終安全防護效力和面臨的風險是信息系統安全控制點間、安全層面間、安全區域間各組成要素共同作用的結果，因此在完成單元測評后還應該進行整體測評。整體測評主要是考慮單元測評中的各控制點間、安全層面間、安全區域間存在某種關聯性，這種關聯會對信息系統整體的安全防護效力、面臨的風險具有降低或增加的作用，應從整體角度對信息系統安全的狀態進行修正。
（3）風險分析結果是制訂信息安全系統防護措施的重要依據，風險分析能力是體現信息安全工程師水平的一項重要指標。在風險分析實訓項目中結合單元測評和整體測評結果利用風險分析計算工具對信息系統面臨的風險等級大小進行定性或定量的分析計算，并編寫風險分析報告。
（4）確定信息系統存在的風險后，接著應分析引起信息系統風險的因素，對不可接受風險因素或不能滿足等級保護要求的安全防護項提出完整的問題處置和整改建議。問題處置和整改建議環節要求信息安全工程技術人員具備扎實理論知識的同時還具備相當豐富的實踐經驗，工程技術人員必須熟悉信息安全的各種防護技術和目前市場上相關的信息安全軟硬件安全產品。因此，本實訓項目主要是訓練并提高學生綜合運用信息安全技術解決實際問題的能力。
4結語
在信息安全專業的實踐教學中引入信息安全等級保護內容，實訓教學知識體系完全參照信息安全等級保護要求來構建，信息安全等級保護知識體系完善，保證了實訓內容的廣度和深度。通過信息安全等級保護現場測評環節訓練學生的信息安全技術基本操作技能，通過信息安全等級保護測評報告的編制訓練學生運用信息安全等級保護基本知識、理論和方法去分析信息系統存在的漏洞、面臨的安全風險，并編制符合信息安全等級保護要求的安全防護方案，提高學生綜合運用信息安全技術解決實際問題的能力，較好地滿足了社會對信息安全人才的需求，深受信息安全等級保護技術服務機構和已開展或擬開展信息系統安全等級保護的企事業及機關單位的歡迎，為學生畢業后盡快適應工作要求奠定了基礎。
由于實驗環境的限制，所制訂的基于信息安全等級保護的實訓教學知識體系仍存在以下3點不足：①實訓教學體系未涉及虛擬化、云計算、物聯網安全實訓，而這些是當前發展較快且正被廣泛運用的信息技術；②由于滲透測試對測試環境搭建和學生基本技能要求較高，因而實訓教學體系中并未涉及滲透測試項目；③信息安全管理在信息安全防護工作中是非常重要但卻最容易被忽視的工作內容，可以說一個組織的信息安全管理水平高低直接決定其信息系統的安全防護能力。因為安全管理測評基本上采用的是制度類、證據類、記錄類文檔性資料的核查和訪談，而在實訓中難以模擬一個完整的安全管理體系實際案例，所以在實訓中安全管理部分更多地是采用課堂教學講解，沒有操作實訓。 這些在后續教學實踐工作中都有待改進。
參考文獻參考文獻：
[1]楊冬曉，嚴曉浪，于慧敏.信息類特色專業建設的若干實踐[J].中國電子教育，2010（1）：3945.
[2]田秀霞.創新實踐項目驅動的信息安全專業教學改革[J].計算機教育，2015（23）：3033.
[3]張勝生，呂緒銀.基于信息安全場景下的等級保護技術人才培養模式研究[C].第二屆全國信息安全等級保護測評體系建設會議論文集，2012：8385.
[4]李琳，陳東方，李濤，等.信息安全專業實踐教學體系研究[J].電腦知識與技術.2014，10（35）：85148515.
[5]蔣煒.信息安全等級保護培訓探討[J].現代企業研究，2015（2）：64.
[6]公安部信息安全等級保護評估中心.信息安全等級保護政策培訓教程[M].北京：電子工業出版社，2015.
[7]公安部信息安全等級保護評估中心.信息安全等級測評師培訓教程（中級） [M].北京：電子工業出版社，2015.
[8]公安部信息安全等級保護評估中心.信息安全等級測評師培訓教程（初級） [M].北京：電子工業出版社，2015.
信息安全等級保護建設背景
信息安全等級保護制度是我們國家在國民經濟和社會信息化的發展過程中，提高信息安全保障能力和水平，維護國家安全、社會穩定和公共利益，保障和促進信息化建設健康發展的一項基本制度。實行信息安全等級保護制度，能夠充分調動國家、法人和其他組織及公民的積極性，發揮各方面的作用，達到有效保護的目的，增強安全保護的整體性、針對性和實效性，使信息系統安全建設更加突出重點、統一規范、科學合理，對促進我國信息安全的發展將起到重要推動作用。
2011年，原衛生部了《關于全面開展衛生行業信息安全等級保護工作的通知》（衛辦綜函〔2011〕1126號）。針對醫療衛生行業的信息系統，原衛生部辦公廳于2011年下發了《衛生行業信息安全等級保護工作的指導意見》（衛發辦〔2011〕85號）要求三級甲等醫院的核心業務信息系統信息安全等級保護定級不低于第三級，并且要求2015年12月30日前完成信息安全等級保護建設整改工作，并通過等級測評。
醫療行業面臨的主要風險
1.醫療行業特點
隨著我國醫療衛生事業的迅速發展，醫學科學的不斷進步，醫藥衛生事業體制改革的逐步深入，醫院生存和發展的外部環境和內部機制都發生了很大的變化。當今計算機信息和網絡通信技術的深入發展為提高醫院管理水平創造了良好的條件，醫院信息化建設也因此逐漸在我國各級醫院中迅猛發展。目前醫療行業信息化有如下特點：系統運行連續性要求高，要求7×24小時不間斷服務；網絡間斷時間不允許超過2小時；信息高度集成，所有信息需要集中使用；異構系統多，系統復雜度高；系統間接口復雜，涉及廠家多；系統內存儲資料價值較高，存儲著醫院大量運用數據，其中包含大量患者隱私；存儲的數據內容本身具備法律效力；核心網絡采用網絡物理隔離。
2.信息系統的威脅來源
信息系統的威脅來源主要可以分為兩個方面，一個是環境因素造成的威脅，另一個方面是人為因素造成的威脅，而人為因素所帶來的損失往往是不可估量的。
在環境因素方面，威脅主要來自于斷電、靜電、灰塵、潮濕、溫度、鼠蟻蟲害、電磁干擾、洪災、火災、地震、意外事故等環境危害或自然災害，以及軟件、硬件、數據、通訊線路等方面的故障。
在人員因素方面又可以分為有意和無意兩種情況，對于有意而為之的人，通常指惡意造成破壞的人，懷不滿情緒的或有預謀的內部人員對信息系統進行惡意破壞，采用自主或內外勾結的方式盜竊機密信息或進行篡改，獲取利益。而外部人員也可以利用信息系統的脆弱性，對網絡或系統的保密性、完整性和可用性進行破壞，以獲取利益或炫耀能力。對于無意的情況來說，通常指管理人員沒有意識到問題或者沒有盡心盡責的工作。例如，內部人員由于缺乏責任心，或者由于不關心或不專注，或者沒有遵循規章制度和操作流程而導致故障或信息損壞；內部人員由于缺乏培訓、專業技能不足、不具備崗位技能要求而導致信息系統故障或被攻擊。
3.信息系統負面影響
醫院內部的信息系統如果受到威脅、入侵或被破壞等，會給國家、醫院以及人民的利益帶來嚴重的影響。
系統如果出現宕機的現象，首先會造成患者情緒激動，耽誤治療流程，甚至會威脅到患者生命的安危。其次會造成門診業務人員、主治醫生、護士等工作人員的工作慌亂，甚至成為情緒激動患者的放矢對象。門診辦主任、主管院領導、醫院院長電話問詢，信息中心則會電話不斷、手忙腳亂。醫院業務停頓，從經濟上受損失，而媒體也會曝光醫院，使得醫院信譽受損。
如果醫院信息系統的內部信息丟失，則會造成員工信息被公開、患者信息泄露等風險。例如，據《勞動報》報道，一名負責開發、維護市衛生局出生系統數據庫的技術部經理利用工作之便，在2011年至2012年4月期間，每月兩次非法進入該院數據庫，偷偷下載新生兒出生信息并進行販賣，累計達到了10萬條，給醫療衛生行業帶來了嚴重的負面影響。
信息安全等級保護建設體系
由于醫院信息系統復雜的特點、面臨的威脅及產生負面影響的嚴重性，醫院開展信息安全等級保護建設工作就尤為重要，急需一套適合醫院的等級保護安全防御體系。
信息安全等級保護體系主要包括技術與管理兩方面，在安全技術方面包括：物理安全、網絡安全、主機安全、應用安全、數據安全；在安全管理方面包括：安全管理機構、安全管理制度、人員安全管理、系統建設管理、系統運維管理。這10個方面里每一項都有若干控制項，順利通過測評至少要達到控制項的80%以上（表1）。
如表1所示，控制項中G表示基本要求類，三級必須達到G3標準；S表示業務信息安全類，A表示系統服務保證類，三級標準中S與A任選一項達到三級即可。
根據信息安全等級保護標準，我院主要建設經驗如下：
1.信息安全技術
（1）物理安全：數據中心機房是物理安全的核心，機房的裝修工程、動力配電系統、空調新風系統、消防系統、綜合布線系統等均需按照A級機房標準進行建設。此外，日常的管理工作也尤為重要，在物理權限控制方面應配備門禁系統，并且應做到兩種或兩種以上的身份識別機制，如指紋加密碼或IC卡加密碼等。環境監控方面除了每天定時的人員巡檢還應在機房及各設備間部署監控系統，利用傳感器監控溫濕度、漏水、電壓、設備狀態等信息，一旦發生異常通過短信及時告知機房管理人員。
（2）網絡安全：按照等級保護思路進行安全域的劃分，將不同級別的信息系統通過防火墻和網閘進行隔離，根據每個安全域的特點設定不同的安全策略。服務器安全域制定細粒度訪問控制列表，僅開放必要的端口，并在旁路架設網絡流量審計設備和入侵檢測系統，對所有流量進行記錄及審計，能夠及時發現攻擊行為；客戶端安全域制定網絡準入和非法外聯策略，禁止未經授權的計算機隨意接入醫院網絡，并且通過管理軟件和網閘控制內網的計算機隨意訪問外網或互聯網；架設安全管理域，該區域主要用于對網絡設備、服務器、安全設備的管理，并集中收集設備的日志，及時通過分析日志發現安全隱患。
（3）安全：服務器進行統一安全策略的制定，部署網絡版殺毒系統、補丁分發系統、入侵防范系統等，并結合服務器承載的業務特點制定詳細的資源控制列表，按照最小授權原則，授予最低資源訪問權限。
（4）應用安全：部署數據庫審計系統，對所有流經數據庫的網絡流量進行數據分析，制定審計策略，發生違規數據操作及時通過短信報給安全審計人員；同時部署CA數字簽名系統，醫生通過USBKEY進行系統登錄，并對其所有操作進行數字簽名，有效保證了應用系統的安全性及數據的不可抵賴性。
（5）數據安全：利用專業的數據備份軟件在異地部署數據備份中心，對各系統數據庫和文件繼續高頻率集中加密備份，并且應至少六個月進行一次數據還原演練，保證在出現問題是可以有效進行恢復。
2.信息安全管理
（1）安全管理制度：從醫院層面制定信息安全管理制度，對信息安全制度進行重新整理修改，規定信息安全的各方面應遵守的原則、方法和指導策略，指定具體管理規定、處罰措施。制度應具備可操作性，同時應由專人負責隨時進行修正，并由信息安全領導小組進行評審，最終進行。
（2）安全管理機構：組織建立信息安全工作領導小組，設置信息安全管理崗位，設立獨立的系統管理員、網絡管理員、安全管理員、安全審計員等崗位，制定各崗位的工作職責，與各崗位相關人員簽署保密協議。同時制定溝通協作機制，內部定期組織會議進行信息安全工作部署，外部每日向公安局上報備案信息系統的安全情況，與數據庫、存儲、網絡設備、安全設備等廠商簽署協議，提供所有設備的備機備件，每月進行設備巡檢，并要求在發生緊急事件時及時到場提供技術支持。
（3）人員安全管理：在人員錄用方面，嚴格審查人員的背景、身份，并簽署保密協議，人員離崗時執行離崗流程，各部門主管負責回收本部門負責的相關權限，所有權限回收后方可辦理離職手續。同時定期對人員進行相關培訓，每周進行一次內部培訓，每年進行兩次外部培訓。對于外部廠商人員，其對設備的相關操作均需進行審批流程，并通過技術手段記錄所有操作行為，做好操作記錄，并不定期進行行為審計。
關鍵詞：數據加密技術；計算機網絡安全；應用
在第四次產業革命的推動下，互聯網取代其他技術成為社會發展的主要動力。互聯網時代的到來為商業貿易，信息傳播，資金流轉提供了新途徑，使公眾的社會生活更加便利，實現生產的轉型升級。但是計算機網絡具有較高的技術性和復雜性，其對公眾的個人信息，資金安全等構成威脅。因此針對現存的計算機網絡安全漏洞，要就加密技術進行升級，采用規范網絡安全管理，檢修數據庫漏洞，定期清理網絡木馬病毒的方式，提高計算機網絡的安全等級，營造良好的網絡環境。綜上，本文旨在對數據加密技術在計算機網絡安全中的應用進行討論分析。
1數據加密技術在網絡安全中的重要性
隨著經濟社會的不斷發展進步，計算機網絡技術也隨之不斷成熟，互聯網時代的到來成為助推經濟進步的重要動力。計算機現已走進千家萬戶，與公眾的生活息息相關，成為不可或缺的組成部分。其最大限度地打破了時間和空間對信息傳播的限制，為商業貿易，資金流轉提供新的渠道，將世界連成一個有機整體。“互聯網+”是社會的大勢所趨，其與各行各業的緊密結合，實現了生產方式的轉型升級。因此計算機網絡安全問題也日益受到社會的廣泛關注，雖然當前我國的電子信息技術已經有一定成就，但是仍存在著諸多安全漏洞。計算機分為硬件系統和軟件系統兩部分，其中硬件系統常因使用者的不當利用，軟件系統受到黑客惡意入侵，病毒垃圾查殺不及時，安全等級低等，而產生不可估量的經濟損失。因此為保障計算機網絡的持續健康運行，營造良好的網絡環境，技術人員應提升數據加密技術，提高網絡安全系數。防止公眾個人信息泄露，資金非法流轉的問題，發揮計算機網絡的經濟和社會價值。
2數據加密技術種類
互聯網時代的來臨，為社會發展提供了新動力。“互聯網+”產業成為社會的大勢所趨，其在交通，教育，信息傳播等領域的應用廣泛，有助于產業轉型升級的實現。但是電子信息技術在為公眾帶來便利的同時，也因技術漏洞，使用不規范等問題，導致了信息泄露等安全隱患頻發。因此為保障公眾的利益，營造良好的網絡環境，應注重計算機網絡安全應用數據加密技術。對稱數據加密技術和分對稱加密技術是常見的兩種數據加密技術。對稱加密技術在信息的傳播者和接受者之間建立起一座隱秘的溝通橋梁，通過密鑰進行數據的加密和解讀，二者了解對方的相關信息。非對稱加密技術與其相反，信息的接受者與傳播者互相不知情，雙方只能在達成密鑰使用協議后才能交換密鑰，其保密系數等級更高。技術人員應就具體的使用情況選擇數據加25密技術，并在使用過程中依據出現的新問題，及時進行技術升級和安全保障鞏固。
3影響網絡安全的因素
（1）計算機病毒入侵危機計算機已經走進千家萬戶，成為公眾日常生活中不可缺少的一部分。“互聯網+”教育，信息傳播，經濟貿易等方面的應用日趨成熟，具有良好的發展前景，經濟效益和社會效益較高。但是由于使用者自身，技術漏洞等的問題，導致計算機病毒入侵問題頻發，造成的經濟損失不可估量。木馬病毒種類多，可依附的媒介多且潛伏期長不易被發現。使用者違規進入非法網站，防火墻漏洞都使計算機受到病毒以及黑客的惡意襲擊，引發信息泄露，資金流失等問題。使用者長期未升級防火墻安全系統，以及隨意注冊各類需要填寫詳細個人信息的應用軟件都給計算機病毒以可乘之機。因此要采用數據加密技術對使用者的私密數據信息進行保存處理，在傳播的各個環節進行安全加固。
（2）數據庫管理漏洞數據庫與操作系統構成了計算機的軟件系統，也就是其核心部件，操作系統就信息的傳播，軟件應用等進行管理調動，數據庫旨在將信息保存至云端以便永久留存，防止病毒黑客的惡意入侵。操作系統和數據庫相輔相成，操作系統為數據流轉提供途徑，也是最容易受到病毒黑客攻擊的關鍵部位。當安全防護系統出現漏洞，將會對使用者及整個社會帶來不可估量的經濟損失。病毒會附著在操作系統傳播的信息媒介上，一旦傳入數據庫中將肆意盜取用戶的私密信息，最終導致計算機網絡的全盤崩潰。數據庫在內外部的雙重打擊下，出現大規模的漏洞，使用者未能及時發現并采取措施進行彌補。因此應采用多種數據加密技術，針對不同種類的漏洞進行專門的補救。
（3）網絡系統安全等級低計算機分為硬件系統和軟件系統兩個部分，硬件系統主要指主機，顯示屏，音響等，軟件系統則是指各種應用軟件和網絡系統。其中軟件系統作為計算機的核心中樞部件，直接操縱著硬件系統，進而對整個計算機運行起到決定性作用。雖然我國當前的計算機網絡技術已經有了一定的發展，但是仍因使用者的不規范操作，網絡安全系統的等級低等問題的影響，導致數據信息泄露頻發經濟損失巨大。其中網絡安全系統作為計算機的第一重防火墻，對公眾的信息安全具有重要作用。在遇到黑客的惡意攻擊以及攜帶病毒的網站應用時，由于計算機網絡安全等級低且沒有及時升級更新，導致其鑒別阻攔不到位。數據加密技術也應使用與防火墻系統中，采用雙重加密技術，設置多重關卡逐層削減安全隱患爆發的風險。
（4）非法信息篡改問題互聯網時代的到來，計算機網絡在公眾日常生活中的應用日益廣泛，電子信息技術也日趨成熟。其在為社會帶來利益的同時也對公眾的信息安全構成威脅，因此要不斷提升計算機網絡的安全系數等級。其中非法信息篡改是公眾信息泄露的主要原因，網絡系統自身漏洞以及服務器信息泄露都是由此導致。現階段計算機信息的等級皆由人工錄入，由于錄入登錄端的安全意識不高，相關意識不足使得在錄入中信息泄露問題嚴重。同時黑客的技術水平與普通使用者相比更高，使用者在瀏覽網站以及下載應用軟件的過程中，通過非法篡改信息的方式，獲取到使用者計算機安全防火墻的準入，達到竊取私密數據的目的。同時，當多個系統軟件一起運轉時，信息被上述幾個軟件記錄，安全防火墻無法實現全覆蓋。
（5）核心組件存在漏洞數據信息的傳播，溝通，編輯，管理都由計算機的核心組件進行統一的安排，對整個計算機的運行起到決定性作用。因此一旦核心組件被病毒或黑客攻擊，將會造成不可估量的經濟損失。所以為保障計算機的健康運行，營造良好的網絡環境，要及時彌補核心組件漏洞。核心部件出現漏洞被病毒侵占極易引發使用者數據意識問題。使用者應采用信息認證加密技術，在識別使用者信息的基礎上，防止流通，存儲途徑中攜帶的病毒，引發計算機系統崩潰。
4數據加密技術在網絡安全中的應用
（1）采用端端數據加密技術在較為簡易的信息傳遞中，可以采用短短數據加密技術，在傳播者與接受者之間實現點到點的網絡安全控制。端端數據加密技術將傳輸的兩個端口納入數據加密系統的嚴密監視之下，層層把關防止病毒附著在數據信息媒介上，給黑客入侵以可乘之機。短短數據加密技術要在已有的密文基礎上，開辟一條新的私密的信息傳播路徑，降低受到其他傳播途徑的影響，進一步降低安全風險。節省了多個數據信息傳播流程，為使用者降低使用和檢修的投入成本。
（2）采用節點數據加密技術由于病毒具有形式的多樣，傳播媒介種類多，潛伏期長不易被發現的特點，所以為了降低病毒入侵的風險，應嚴格控制傳播鏈條中安全問題的發生風險。其中節點數據加密技術主要應用于信息的傳輸階段，對于整個計算機網絡運行起到關鍵性作用。其將所傳輸的內容轉化為密鑰并反復加密，只有在信息接收與傳輸方都得知密文的基礎上才能破解，有效規避了病毒侵入問題。
（3）采用雙重加密技術隨著計算機的廣泛應用，其在為公眾日常生活帶來便利的同時，也因使用者的不規范利用，以及安全系統等級等的問題，導致信息泄露問題頻發。依據現有的數據加密技術主要分為對稱和分對稱兩類，因此應根據具體情況選擇適合的加密技術。當在特定主體之間傳輸信息時，可以采用對稱加密技術結合使用密文與密鑰，加強信息的保密性。當在不特定主體之間傳輸信息時，應采用暗文密鑰和密文，只有知道密鑰的主體才能破解信息。
（4）采用鏈路數據加密技術信息泄露的一個重要原因在于數據過于繁雜，且端口未起到鑒別作用，因此為保障計算機網絡安全，應使用鏈路數據加密技術對數據進行劃分，對傳輸途徑和存儲區域的信息在特定密文的基礎上加密保存。一旦遇到黑客惡意入侵，鏈路加密技術可以實現破除虛假信息，補充固有信息的作用，防止數據的遺失泄露。（5）采用信息認證加密技術端口的安全防火墻鑒別能力有限的問題，技術人員應采用信息認證加密技術，使用者將私密數據加蓋密文，方便端口識別，防止非法篡改信息的流入，降低安全風險等級。
2008年中華人民共和國國家質量監督檢驗檢疫總局了GB/T22239-2008《信息安全技術-信息系統安全等級保護基本要求》后，信息安全等級保護制度已經成為我國信息安全保護工作的基本國策，實行信息安全等級保護具有重大的現實和戰略意義。根據公安部的相關文獻，從近些年來年來等級保護安全測評的結果分析中可以看出，信息系統中容易出問題的部分主要是賬號管理、權限管理和審計分析等幾個方面。例如：多人共用一個賬號；用戶權限分配沒有遵循最小化原則；未限制設備管理方式；未開啟審計或未進行審計分析等。為解決上述問題，可以通過修改服務器配置信息以及網絡設備的配置可以進行防范，隨著智能終端的出現，網絡傳播技術的不斷提高，交換機、路由器等網絡設備的管理將便捷許多，操作人員可以通過網絡對網絡設備進行遠程操作。然而，由于復雜的網絡環境存在著大量的潛在攻擊行為，在方便快捷的同時，操作人員通過網絡與網絡設備通信存在著嚴重的安全隱患。針對這種情況，需要對現有服務器進行改造，涉及到大量信息系統的安全維護操作，其復雜性和環境的不確定性造成這種方式的實施起來極其困難。
1企業應用中的安全問題
在企業應用中，目標設備之間通過互聯網絡進行通訊，操作人員也通過互聯網遠程訪問目標設備。目標設備需要對操作人員開放相應的接口，由于互聯網的開放性，非法操作人員或潛在非法操作人員很容易通過相應的接口登入系統進行操作，給網絡安全帶來隱患。通過對現有系統在應用中出現問題進行分析，目前系統中存在的安全隱患主要有：
（1）存在潛在非法操作人員對網絡終端進行非法操作；
（2）目標設備與操作人員無法進行統一管理；
（3）操作人員的誤操作無法有效避免；
（4）操作人員的操作記錄歷史追蹤無法實現。通過對現有信息系統以及網絡安全需求分析，結合企業現狀，選取部署相關安全產品到網絡中，作為安全模塊對整個網絡進行安全保護，即堡壘主機。
2堡壘主機
堡壘主機是一種運維管理系統，可以完成賬戶管理、授權管理和綜合審計等功能，完成集中認證和運維審計的作用。該類產品對操作人員提供多種遠程管理方式，并能夠對操作人員以遠程方式對服務器主機、網絡設備、數據庫的操作行為過程進行監控和審計管理，以及對違規操作行為進行實時報警、阻斷。通過堡壘主機可以有效的提高操作人員與網絡設備之間通信的安全性，并且可以對操作人員及遠程操作進行集中管理，在確保通信安全的基礎上，實現管理的統一。本文所述的堡壘主機產品為軟件堡壘主機，沒有運輸成本，部署簡單，升級簡便，性能及功能可定制。在部署前，僅需要找到一臺信任主機即可。堡壘主機被部署到內網主機上，并且對要訪問的目標設備進行綁定，設定僅堡壘主機才可以對目標設備進行訪問。所有操作人員都要先登錄到堡壘機上，然后才可以訪問目標設備。堡壘主機自身具有認證及授權等功能，可以有效的屏蔽非法操作人員的訪問。
3主要功能
本文所述的堡壘主機的主要功能有賬戶管理、角色管理、設備管理、黑名單管理和操作記錄查詢等。
（1）賬戶管理。對于堡壘主機的賬戶，采用"一用戶一賬號"的原則，用戶需要通過自己的賬戶才能登錄堡壘主機。不存在用戶共享同一個賬戶，有效避免出現事故時無法追述問題原因和責任人的問題。另外，在用戶的身份認證時，對用戶的賬號及所在IP進行綁定，如果賬戶與登錄的IP不匹配，將無法登錄，加強了身份認證機制。實現集中身份認證和訪問控制，避免冒名訪問，提高訪問安全性。
（2）角色管理。針對不同的操作人員進行角色管理。不同類別的角色具有不同的操作權限，操作人員需要根據自身賬戶的角色等級來訪問可操作的目標主機及該目標主機的資源。在便于任務分工及責任劃分的同時，有效的降低操作人員錯誤操作的可能。
（3）設備管理。管理目標設備信息，堡壘主機對管理目標設備的數量無限制，可以任意添加。
（4）黑名單管理。堡壘主機將對操作人員的操作進行實時監測，如果某些操作被管理員禁止，那么該操作將無法完成。如：關機、重啟等操作，通過黑名單管理，指定人員將不具備該操作權限，提高操作的安全性。訪問記錄查詢通過該功能可查詢目標主機在某個時間段內，有哪人操作人員登錄過。當目標主機因操作不當而引發障礙時，結合操作記錄查詢，可快速排查障礙原因，并找到責任人，解決問題，避免不必要的損失
關鍵詞：證券行業 信息安全 網絡安全體系
近年來，我國資本市場發展迅速，市場規模不斷擴大，社會影響力不斷增強．成為國民經濟巾的重要組成部分，也成為老百姓重要的投資理財渠道。資本市場的穩定健康發展，關系著億萬投資者的切身利益，關系著社會穩定和國家金融安全的大局。證券行業作為金融服務業，高度依賴信息技術，而信息安全是維護資本市場穩定的前提和基礎。沒有信息安全就沒有資本市場的穩定。
目前．國內外網絡信息安全問題日益突出。從資本市場看，近年來，隨著市場快速發展，改革創新深入推進，市場交易模式日趨集巾化，業務處理邏輯日益復雜化，網絡安全事件、公共安全事件以及水災冰災、震災等自然災害都對行業信息系統的連續、穩定運行帶來新的挑戰。資本市場交易實時性和整體性強，交易時問內一刻也不能中斷。加強信息安全應急丁作，積極采取預防、預警措施，快速、穩妥地處置信息安全事件，盡力減少事故損失，全力維護交易正常，對于資本市場來說至關重要。
1 證券行業倍息安全現狀和存在的問題
1．1行業信息安全法規和標準體系方面
健全的信息安全法律法規和標準體系是確保證券行業信息安全的基礎。是信息安全的第一道防線。為促進證券市場的平穩運行，中國證監會自1998年先后了一系列信息安全法規和技術標準。其中包括2個信息技術管理規范、2個信息安全等級保護通知、1個信息安全保障辦法、1個信息通報方法和10個行業技術標準。行業信息安全法規和標準體系的初步形成，推動了行業信息化建設和信息安全工作向規范化、標準化邁進。
雖然我國涉及信息安全的規范性文件眾多，但在現行的法律法規中。立法主體較多，法律法規體系龐雜而缺乏統籌規劃。面對新形勢下信息安全保障工作的發展需要，行業信息安全工作在政策法規和標準體系方面的問題也逐漸顯現。一是法規和標準建設滯后，缺乏總體規劃；二是規范和標準互通性和協調性不強，部分規范和標準的可執行性差；三是部分規范和標準已不適應，無法應對某些新型信息安全的威脅；四是部分信息安全規范和標準在行業內難以得到落實。
1．2組織體系與信息安全保障管理模型方面
任何安全管理措施或技術手段都離不開人員的組織和實施，組織體系是信息安全保障工作的核心。目前，證券行業采用“統一組織、分工有序”的信息安全工作體系，分為決策層、管理層、執行層。
為加強證券期貨業信息安全保障工作的組織協調，建立健全信息安全管理制度和運行機制，切實提高行業信息安全保障工作水平，根據證監會頒布的《證券期貨業信息安全保障管理暫行辦法》，參照iso／iec27001：2005，提出證券期貨業信息安全保障管理體系框架。該體系框架采用立方體架構．頂面是信息安全保障的7個目標(機密性、完整性、可用性、真實性、可審計性、抗抵賴性、可靠性)，正面是行業組織結構．側面是各個機構為實現信息安全保障目標所采取的措施和方式。
1．3 it治理方面
整個證券業處于高度信息化的背景下，it治理已直接影響到行業各公司實現戰略目標的可能性，良好的it治理有助于增強公司靈活性和創新能力，規避it風險。通過建立it治理機制，可以幫助最高管理層發現信息技術本身的問題。幫助管理者處理it問題，自我評估it管理效果．可以加強對信息化項目的有效管理，保證信息化項目建設的質量和應用效果，使有限的投入取得更大的績效。
2003年lt治理理念引入到我國證券行業，當前我國證券業企業的it治理存在的問題：一是it資源在公司的戰略資產中的地位受到高層重視，但具體情況不清楚；二是it治理缺乏明確的概念描述和參數指標；是lt治理的責任與職能不清晰。
1．4網絡安全和數據安全方面
隨著互聯網的普及以及網上交易系統功能的不斷豐富、完善和使用的便利性，網上交易正逐漸成為證券投資者交易的主流模式。據統計，2008年我同證券網上交易量比重已超過總交易量的80％。雖然交易系統與互聯網的連接，方便了投資者。但由于互聯網的開放性，來自互聯網上的病毒、小馬、黑客攻擊以及計算機威脅事件，都時刻威脅著行業的信息系統安全，成為制約行業平穩、安全發展的障礙。此，維護網絡和數據安全成為行業信息安全保障工作的重要組成部分。近年來，證券行業各機構采取了一系列措施，建立了相對安全的網絡安全防護體系和災舴備份系統，基木保障了信息系統的安全運行。但細
追究起來，我國證券行業的網絡安全防護體系及災備系統建設還不夠完善，還存存以下幾方面的問題：一是網絡安全防護體系缺乏統一的規劃；二是網絡訪問控制措施有待完善；三是網上交易防護能力有待加強；四是對數據安全重視不夠，數據備份措施有待改進；五是技術人員的專業能力和信息安全意識有待提高。
1．5 it人才資源建設方面
近20年的發展歷程巾，證券行業對信息系統日益依賴，行業it隊伍此不斷發展壯大。據統計，2008年初，在整個證券行業中，103家證券公司共有it人員7325人，占證券行業從業總人數73990人的9．90％，總體上達到了行業協會的it治理工作指引中“it工作人員總數原則上應不少于公司員工總人數的6％”的最低要求。目前，證券行業的it隊伍肩負著信息系統安全、平穩、高效運行的重任，it隊伍建設是行業信息安全it作的根本保障。但是，it人才隊伍依然存在著結構不合理、后續教育不足等問題，此行業的人才培養有待加強。
2 采取的對策和措施
2．1進一步完善法規和標準體系
首先，在法規規劃上，要統籌兼顧，制定科學的信息技術規范和標準體系框架。一是全面做好立法規劃；二是建立科學的行業信息安全標準和法規體系層次。行業信息安全標準和法規體系初步劃分為3層：第一層是管理辦法等巾同證監會部門規章；第二層是證監會相關部門制定的管理規范等規范性文件；第三層是技術指引等自律規則，一般由交易所、行業協會在證監會總體協調下組織制定。其次，在法規制定上．要兼顧規范和發展，重視法規的可行性。最后，在法規實施上．要堅持規范和指引相結合，重視監督檢查和責任落實。
2．2深入開展證券行業it治理工作
2．2．1提高it治理意識
中國證券業協會要進一步加強it治理理念的教育宣傳工作，特別是對會員單位高層領導的it治理培訓，將it治理的定義、工具、模型等理論知識納入到高管任職資格考試的內容之中。通過舉辦論壇、交流會等形式強化證券經營機構的it治理意識，提高他們it治理的積極性。
2．2．2通過設立it治理試點形成以點帶面的示范效應
根據it治理模型的不同特點，建議證券公司在決策層使用cisr模型，通過成立lt治理委員會，建立各部門之間的協調配合、監督制衡的責權體系；在執行層以cobit模型、itfl模型等其他模型為補充，規范信息技術部門的各項控制和管理流程。同時，證監會指定一批證券公司和基金公司作為lt試點單位，進行it治理模型選擇、剪裁以及組合的實踐探索，形成一批成功實施it治理的優秀范例，以點帶面地提升全行業的治理水平。
2．3通過制定行業標準積極落實信息安全等級保護
行業監管部門在推動行業信息安全等級保護工作中的作用非常關鍵．應進一步明確監管部門推動行業信息安全等級保護工作的任務和工作機制，統一部署、組織行業的等級保護丁作，為該項丁作的順利開展提供組織保證。行業各機構應采取自主貫徹信息系統等級保護的行業要求，對照標準逐條落實。同時，應對各單位實施信息系統安全等級保護情況進行測評，在測評環節一旦發現信息系統的不足，被測評單位應立即制定相應的整改方案并實施．且南相芙的監督機構進行督促。
2．4加強網絡安全體系規劃以提升網絡安全防護水平
2．4．1以等級保護為依據進行統籌規劃
等級保護是圍繞信息安全保障全過程的一項基礎性的管理制度，通過將等級化的方法和安全體系規劃有效結合，統籌規劃證券網絡安全體系的建設，建立一套信息安全保障體系，將是系統化地解決證券行業網絡安全問題的一個非常有效的方法。
2．4．2通過加強網絡訪問控制提高網絡防護能力
對向證券行業提供設備、技術和服務的it公司的資質和誠信加強管理，確保其符合國家、行業技術標準。根據網絡隔離要求，要逐步建立業務網與辦公網、業務網與互聯網、網上交易各子系統間有效的網絡隔離。技術上可以對不同的業務安全區域劃分vlan或者采用網閘設備進行隔離；對主要的網絡邊界和各外部進口進行滲透測試，進行系統和設備的安全加固．降低系統漏洞帶來的安全風險；在網上交易方面，采取電子簽名或數字認證等高強度認證方式，加強訪問控制；針對現存惡意攻擊網站的事件越來越多的情況，要采取措施加強網站保護，提高對惡意代碼的防護能力，同時采用技術手段，提高網上交易客戶端軟件使朋的安全性。
2．4．3提高從業人員安全意識和專業水平
目前在證券行業內，從業人員的網絡安全意識比較薄弱．必要時可定期對從業人員進行安全意識考核，從行業內部強化網絡安全工作。要加強網絡安全技術人員的管理能力和專業技能培訓，提高行業網絡安全的管理水平和專業技術水平。
2．5扎實推進行業災難備份建設
數據的安全對證券行業是至關重要的，數據一旦丟失對市場各方的損失是難以估量的。無論是美國的“9·11”事件，還是我國2008年南方冰雪災害和四川汶川大地震，都敲響了災難備份的警鐘。證券業要在學習借鑒國際經驗的基礎上，針對自身需要，對重要系統開展災難備份建設。要繼續推進證券、基金公司同城災難備份建設，以及證券交易所、結算公司等市場核心機構的異地災難備份系統的規劃和建設。制定各類相關的災難應急預案，并加強應急預案的演練，確保災難備份系統應急有效．使應急工作與日常工作有機結合。
2．6抓好人才隊伍建設
證券行業要采取切實可行的措施，建立吸引人才、留住人才、培養人才、發展人才的用人制度和機制。積極吸引有技術專長的人才到行業巾來，加強lt人員的崗位技能培訓和業務培訓，注重培養既懂得技術義懂業務和管理的復合型人才。要促進從業人員提高水平、轉變觀念，行業各機構應采取采取請進來、派出去以及內部講座等多種培訓方式。通過建立規范有效的人才評價體系，對信息技術人員進行科學有效的考評，提升行業人才資源的優化配置和使用效率，促進技術人才結構的涮整和完善。
