信息安全管理大全11篇

绪论：写作既是个人情感的抒发，也是对学术真理的探索，欢迎阅读由发表云整理的11篇信息安全管理范文，希望它们能为您的写作提供参考和启发。

篇（1）

中图分类号：TP393 文献标识码：A 文章编号：1009-3044（2013）27-6080-03

人类进入信息化社会，社会发展对信息化的依赖程度越来越大，一方面信息化成果已成为社会的重要资源，在政治、经济、国防、教育、科技、生活等发面发挥着重要的作用，另一方面由于信息技术的迅猛发展而带来的信息安全事件、事故层出不穷，信息安全问题与矛盾日益突出。信息安全工程是一个多层面、多因素的、综合的、动态的系统工程，其包括关键基础设施及硬件安全、运行安全、软件安全、通信安全、人员安全、传输安全、网络安全、人员安全等。组织要实现信息安全目标，就必须建立一套行之有效信息安全管理与技术有机结合的安全防范体系。信息安全管理包括制定信息安全策略（包括计划、程序、流程与记录等）、风险评估、控制目标的选择、控制措施的实施以及信息安全管理测评等。管理大师德鲁克曾经说过“无法度量就无法管理”[1]，强调了测量对组织管理的重要意义，信息安全管理同样也离不开测评。如何对信息安全管理有效性等进行测量，根据测量的结果对组织信息安全管理情况进行评价并进一步指导信息安全管理，提高信息安全管理能力和水平，目前已经成为信息安全领域的一个研究热点[2]。

信息安全管理测评是组织围绕信息化持续发展与信息安全保障的现状和未来综合能力的反映，不仅是对过去和现在的能力展现，而且为未来发展提供保障和动力。在我国，目前关于信息安全管理测评研究刚处于起步阶段，还没有一套可供使用的信息安全测评体系标准、方法等。因此，开展信息安全管理测评研究，对组织信息化建设既具有重要的现实意义也具有长远的持续发展意义。

1 信息安全管理测评发展综述与需求

关于信息安全测评，美国早在2002年通过的《联邦信息安全管理法案》中就要求各机构每年必须对其信息安全实践进行独立测评，以确认其有效性。这种测评主要包括对管理、运行和技术三要素的控制和测试，其频率视风险情况而定，但不能少于每年一次。在独立评价的基础上，联邦管理与预算局应向国会上报评价汇总结果；而联邦审计署则需要周期性地评价并向国会汇报各机构信息安全策略和实践的有效性以及相关要求的执行情况。

2003年7月，美国国家标准与技术研究所（National Institute of Standards and Technology，NIST）了NIST SP 800-55《信息技术系统安全测量指南》，其包括以下内容[3]：

1） 角色和职责：介绍发展和执行信息安全测量的主要任务和职责。

2） 信息安全测量背景：介绍测量定义、进行信息安全测量的好处、测量类型、几种可以进行信息安全测量的控制、成功测量的重要因素、测量对管理、报告和决策的作用。

3） 测量发展和执行过程：介绍用于信息安全测量发展的方法。

4） 测量项目执行：讨论可以影响安全测量项目的技术执行的各种因素。

5） 以附件的形式给出的16种测量的模板。

2004年11月17日，美国的企业信息安全工作组（Corporate Information Security Working Group，CISWG）了CISWG CS1/05-0079《带有支撑管理测量的信息安全计划要素》[4]，2005年国际标准化组织（ISO/IEC SC27）提出了信息安全管理体系（Information Security Management Systems，ISMS）的系列标准——ISO27000系列。2005年1月10日又了修订版，并作为针对ISO/IEC 2nd WD27004 的贡献文档提交给ISO/IEC JTC1 SC27，该文档是根据CISWG的最佳实践和测量小组的报告改编。

2005年8月31日，美国国际系统安全工程协会（International System Security Engineering Association，ISSEA）针对ISO/IEC 2nd WD 27004向ISO/IEC JTC1 SC27提交了题为“ISSEA Contribution Background”[5]（ISSEA测量的贡献背景）和“ISSEA Metrics”[6]（ISSEA测量）两个贡献文档。

2009年国际标准化组织（ISO）了ISO/IEC 27004：2009（信息技术一安全技术一信息安全管理测量）标准，为如何建立及测量ISMS及其控制措施提供了指导性建议[7]。

信息安全管理体系是信息安全保障体系的重要组成部分。近年来，随着组织对信息安全保障工作重视程度的日益增强，不少组织都依据标准GB/T 22081-2008建立了一套比较完善的ISMS来保护组织的重要信息资产，但是体系建立起来了，不少管理者都对ISMS的运行效果极其控制措施的有效性，持怀疑的态度。故此组织很有必要建立一套相应的测评方法来全面的对ISMS的运行情况进行科学的评价，进一步提升ISMS的执行力。该文研究的信息安全管理测评将为确定ISMS的实现目标，衡量ISMS执行的效力和效率提供一些思想、方法，其结果具有客观的可比性，还可以作为信息安全风险管理、安全投入优化和安全实现变更的客观依据，有助于降低安全风险，减少安全事件的概率和影响，改进安全控制和管理过程的效率或降低其成本。

2 信息安全管理测评研究内容

信息安全管理测评是信息安全管理体系的重要部分，是信息安全管理测量与评价的综合。信息安全管理测量的结果是信息安全绩效评价的依据。信息安全管理测量比较具体，信息安全管理评价则通过具体来反映宏观。

2.1 信息安全管理测评要素及其框架

信息安全管理测评要素包括：测评实体及其属性、基础测评方式、基础测评变量、导出测评制式、导出测评变量、测评方法、测评基线、测评函数、分析模型、指示器、决策准则、测评需求和可测评概念等，其框架如图3.1信息安全测评框架所示，包括：基于什么样的需求来测评（即测评需求），对什么进行测评（即实体及其属性），用什么指标体系来测评（包括测评制式、测评变量和测评尺度），用什么方法来测评（即测评方法），用什么函数来计算测评结果（即测评函数），用什么模型来分析测评结果（即分析模型），用什么方式来使分析结果能够辅助决策（即指示器）等问题。

信息需求是测评需求方提出的对测评结果信息的需求。信息需求源自于组织的使命和业务目标，与相关利益者的利益诉求密切相关。指示器的生成和分析模型的选择是以信息需求为导向的。

决策准则是一种决定下一步行为的阈值。他有助于解释测评的结果。决策准则可能出自或基于对预期行为在概念上的理解和判断。决策准则可以从历史数据、计划和探索中导出，或作为统计控制限度或统计信心限度计算出来。

可测评概念是实体属性与信息需求之间的抽象关系，体现将可测评属性关联到信息需求以及如何关联的思想。可测评概念的例子有生产力、质量、风险、绩效、能力、成熟度和客户价值等。实体是能通过测评属性描述的对象。一个实体是测评其属性的一个对象，例如，过程、产品、系统、项目或资源。一个实体可能有一个或多个满足信息需求的属性。实践中，一个实体可被归类于多个上述类别。他可以是有形的也可是无形的。信息安全管理测评的实体包括信息安全管理体系建立过程中所有的控制项（信息安全管理测评要素）。属性是实体可测评的、物理的或抽象的性质。一个属性是能被人或自动手段定量或定性区分的一个实体的某一特性或特征。一个实体可能有多个属性，其中只有一些可能对测评有价值。测评模型实例化的第一步是选择与信息需求最相关的属性。一个给定属性可能被结合到支持不同信息需求的多个测评构造中。信息安全管理测评主要测评的是每一项控制措施的属性（信息安全管理测评指标）。

测评是以确定量值为目的的一组操作。信息安全管理测评是确定控制项的每一个具体指标的一组操作，可以有多种测评方法。基础测评是依照属性和定量方法而定义的测评方法，是用来直接测评某一属性的，是根据属性和量化他的方法来定义，他捕获单独属性的信息，其功能独立于其他测评。信息安全管理基础测评是对于控制项的指标可以直接测评出来的量。导出测评是通过测评其他属性来间接地测评某一属性的测评，是根据属性之间的关系来定义，他捕获多个属性或多个实体的相同属性的信息，其功能依赖于基础测评的，是两个或更多基础测评值得函数。

测评尺度是一组连续或离散的数字量值（如小数/百分比/自然数等）或离散的可数量值（如高/中/低/等）。测评尺度是规范测评变量取值的类型和范围。测评方法将所测评属性的量级影射到一个测评尺度上的量值后赋给测评变量。

测评尺度根据尺度上量值之间关系的性质分为四种类型：

名义（Nominal） ：测评值是直呼其名。

序数（Ordinal） ：测评值是有等级的。

间隔（Interval） ：测评值是等距离的，对应于属性的等量，不可能是零值。

比率（Ratio） ：测评值是等距离的，对应于属性的等量，无该属性为零值。

测评单位是作为惯例定义和被广泛接受的一个特定量。他被用作比较相同种类量值的基准，以表达他们相对于此量的量级。只有用相同测评单位表达的量值才能直接比较。测评单位的例子有公尺、公斤和小时等。

测评函数是将两个或更多测评变量结合成导出测评变量的算法。导出测评变量的尺度和单位依赖于作为函数输入的测评变量的尺度和单位以及他们通过函数结合的运算方式。分析模型是将一个或多个测评变量转化为指示器的算法。他是基于对测评变量和/或他们经过一段时间的表现之间的预期关系的理解或假设。分析模型产生与信息需求相关的评估或评价。测评方法和测评尺度影响分析模型的选择。

测评计划定义了测评实施的目标、方法、步骤和资源。测评频率是测评计划的执行频率。测评计划应按规定的频度定期地或在必要的时候不定期地执行。定期执行的规定频度应建立在信息效益的需求与获得他的成本之间的折中，可以是每周、每月、每季度或每年等。不定期执行的必要时候包括ISMS初始规划和实施以及ISMS本身或运行环境发生重大变化。

2.2 信息安全管理测评量表体系

任何测评都必须具备参照点、单位和量表三个要素。信息安全测评指标体系是信息安全测评的基础，是对指定属性的评价，这些属性与测评需求方的信息保障需求相关联，对他们进行评价为测评需求方提供有意义的信息。其总是以满足其信息保障需求和方便易理解的方式呈现给测评需求方的。标准GB/T 22081-2008是进行信息安全管理所参照的标准，其从信息安全方针、信息安全组织、法律法规符合性等11个方面，提出了133个控制措施供使用者在信息安全管理过程中选择适当的控制措施来加强信息安全管理。该标准所提供的控制措施基本能覆盖信息安全管理的各个方面。在建立信息安全管理测评指标体系的实践中，通常以控制措施的实施情况作为指标，建立预选指标集，通过对预选指标集的分析，采用专家咨询的方式筛选出能全面反映信息安全管理有效性的具体指标。

3 信息安全管理测评方法探讨

测评方法通常影响到用于给定属性的测评尺度类型。例如，主观测评方法通常只支持序数或名义类型的测评尺度。测评方法是使用指定的测评制式量化属性的操作逻辑序列。操作可能包括计算发生次数或观察经过时间等。同样的测评方法可能适用于多个属性。然而，每一个属性和测评方法的独特结合产生一个不同的基础测评。测评方法可能采用多种方式实现。测评规程描述给定机构背景下测评方法的特定实现。

测评方法根据量化属性的操作性质分为两种类型：

主观：含有人为判断的量化。

客观：基于数字规则（如计数）的量化。这些规则可能通过人或自动手段来实现。

测评方法的可能例子有：调查观察、问卷、知识评估、视察、再执行、系统咨询、测试（相关技术有设计测试和操作有效性测试等）、统计（相关技术有描述统计、假设检验、测评分析、过程能力分析、回归分析、可靠性分析、取样、模拟、统计过程控制（SPC， statistical Process control） 图和时序分析等）。

4 结束语

当前，信息安全领域的测评研究多侧重于对技术产品、系统性能等方面的测评，其中信息安全风险评估可通过对重要信息资产面临的风险、脆弱性的评价掌握组织的信息安全状况；信息安全审计则只是对信息安全相关行为和活动提供相关证据；而信息安全管理评审则是符合性审核，他们都不能对信息安全管理的有效性以及信息安全管理中采取的控制措施的有效性做出评价。因此，非常有必要对信息安全管理的有效性进行测评，这将有助于了解信息安全管理过程中所采取的控制措施的有效性以及控制措施的执行情况，为管理者决策提供依据，也能为组织信息安全管理过程的持续改进提供足够的帮助，达到更好地管理信息安全的最终目的。

参考文献：

[1] 闫世杰，闵乐泉，赵战生.信息安全管理测量研究[J].信息安全与通信保密，2009，5：53.

[2] 朱英菊，陈长松.信息安全管理有效性的测量[J].信息网络安全，2009，1：87-88.

[3] Nist N. 800-55. security metrics guide for information technology systems[J]. NIST paper， 2003.

[4] CISWG CS1/05 -0079. Information Security Program Elements with Supporting Management Metrics ， Adapted from the report of the Best Practices and Metrics Teams ， Corporate Information Security Working Group （ CISWG ） ， 2004-11-17 （ Revised 2005-01-10 ）.

篇（2）

计算机网络信息安全的含义很广，随着情景的不同会发生一些变化。不同用户对网络信息安全的认识和要求也不尽相同，一般用户可能仅希望个人隐私或保密信息在网络上传输时不受侵犯，避免被人窃听，篡改或者伪造；对网络服务上来说，除关心网络信息安全问题外，还要考虑突发的自然灾害等原因对网络硬件的破坏，以及在网络功能发生异常时恢复网络通信和正常服务。

一般来讲，网络信息安全包括组成网络系统的硬件、软件及其在网络上传输的信息的安全。从技术上说，网络信息安全防范系统包括操作系统、应用系统、防病毒系统、防火墙、入侵检测、网络监控、信息审计、通信加密、灾难恢复、安全扫描等多个安全组件组成、单靠一项措施很难保证网络信息安全。因此，网络信息安全是一项非常复杂的系统工程，已成为信息技术的一个重要领域。

二、计算机网络信息安全问题的分类

1.自然灾害

与一般电子系统一样，计算机网络系统只不过是一种电子线路，网络信息实际上是一种电信号，温度、湿度、振动、冲击、污染等方面的异常因素都可影响网络的正常运行。网络中心若无较为完善的防震、防火、防水、避雷、防电磁泄漏或干扰等设施，抵御自然灾害和意外事故的能力就会很差。在网络的日常运行中，仅仅由非正常断电导致的设备损坏和数据丢失所造成的损坏就非常惊人。因为强烈噪音和电磁辐射，比如雷电、高压输电等，也会导致网络信噪比下降，误码率增加，威胁到网络信息安全。

2.计算机犯罪

计算机犯罪通常是利用窃取口令等手段非法侵入计算机信息系统，传播有害信息，恶意破坏计算机软硬件系统，以致实施贪污、盗窃、诈骗等重大犯罪活动。目前已报道的ATM机上的诈骗活动，就是利用高科技手段记录用户的银行卡信息，然后窃取用户存款；还有一些非法分子利用盗窃游戏帐号，进行牟利活动。

3.垃圾邮件和网络黑客

一些非法分子利用电子邮件地址的“公开性”进行商业广告、宗教宣传、政治蛊惑等活动，强迫别人接受无用的垃圾邮件。与计算机病毒不同，黑客软件的主要目的不是对系统进行破坏，而是窃取计算机网络用户的信息。目前黑客软件的概念界定还存在一些争议，一种较为普遍的被接受的观点认为黑客软件是指那些在用户不知情的情况下进行非法安装并提供给第三者的软件。

4.计算机病毒

计算机病毒是一种具有破坏性的小程序，具有很强的隐藏性和潜伏性，常常是依附在其他用户程序上，在这些用户程序运行时侵入系统并进行扩散。计算机感染病毒后，轻则系统工作效率降低，重则导致系统瘫痪，甚至是全部数据丢失，给用户造成巨大的损失。

三、计算机网络信息安全防范措施

1.建立强有力的网络安全体系

要提高服务器的安全性，就必须建立一个整体的、完善的、强有力的计算机网络安全体系。只有对整个网络制定并实施统一的安全体系，才能有效的保护好包括服务器在内的每个设备。

对服务器而言，安全管理主要包括几个方面：严格保护网络机房的安全，必须注意做好防火防盗，切实从管理的角度保护好服务器的安全；服务器需要长时间不简断地工作，必须为服务器配备长时间的在线UPS；加强机房管理，非相关人员不准进入网络机房，尤其是要禁止除网络管理人员授权外的任何人员操作服务器；网络管理员在对网络进行日常维护和其他维护时，都必须进行记录。

另一方面，要尽可能利用现有的各种安全技术来保障服务器的安全。目前最常用的安全技术包括过滤技术、防火墙技术、安全套接层技术等。这些技术从不同的层面对网络进行安全防护，具体描述如下：

1.1包过滤

在网络系统中，包过滤技术可以防止某些主机随意访问另外一些主机。包过滤功能通常可以在路由器中实现，具有包过滤功能的路由器叫做包过滤路由器，由网络管理员进行配置。包过滤的主要工作是检查每个包头部中的有关字段（如数据包的源地址、目标地址、源端口、目的端口等），并根据网络管理员指定的过滤策略允许或阻止带有这些字段的数据包通过；此外，包过滤路由器通常还能检查出数据包所传递的是哪种服务，并对其进行过滤。

1.2防火墙

防火墙将网络分成内部网络和外部网络两部分，并认为内部网络是安全的和可信任的，而外部网络是不太安全和不太可信任的。防火墙检测所有进出内部网的信息流，防止为经授权的通信进出被保护的内部网络。除了具有包过滤功能外，防火墙通常还可以对应用层数据进行安全控制和信息过滤，具有人证、日志、记费等各种功能。防火墙的实现技术非常复杂，由于所有进出内部网络的信息流都需要通过防火墙的处理，因此对其可靠性和处理效率都有很高的要求。

1.3 SSL协议

安全套接层SSL协议是目前应用最广泛的安全传输协议之一。它作为Web安全性解决方案最初由Netscape 公司于1995年提出。现在SSL已经作为事实上的标准为众多网络产品提供商所采购。SSL利用公开密钥加密技术和秘密密钥加密技术，在传输层提供安全的数据传递通道。

2.采用信息确认技术

安全系统的建立都依赖于系统用户之间存在的各种信任关系，目前在安全解决方案中，多采用二种确认方式。一种是第三方信任，另一种是直接信任，以防止信息被非法窃取或伪造，可靠的信息确认技术应具有：具有合法身份的用户可以校验所接收的信息是否真实可靠，并且十分清楚发送方是谁；发送信息者必须是合法身份用户，任何人不可能冒名顶替伪造信息；出现异常时，可由认证系统进行处理。

3.入侵检测技术

入侵检测技术是一种网络安全技术，目的是提供实时的入侵检测及采取相应的防护手段，如记录证据用于跟踪和恢复，断开网络连接等。实时入侵检测能力之所以重要，首先是它能够作为防火墙技术的补充，弥补防火墙技术的不足，能对付来自内部网络的攻击，其次是它能够大大缩短“黑客”可利用的入侵时间。

人们应当清醒地认识到，安全只是相对的，永远也不会有绝对的安全。随着网络体系结构和应用的变化，网络会出现新的风险和安全漏洞，这就需要人们不断地补充和完善相应的解决方案，以期最大限度地保障网络信息的安全。

篇（3）

用户接口是用户操作界面以及用户私人信息管理。安全协议包括连接网络协议、用户个人身份确定协议等。通信接口的安全保障是依赖于安全协议的工作、在通常情况下，通信接口的实现方式包括两种：第一是用户在进入互联网时，才开启安全服务，并运行安全体制，用户所传输的信息都是经过系统的加密处理，然后被传输到互联网上，或者是数据链路，是比较透明的互联网信息传输与交换。此种方法很容易实现，而且不用对用户目前所使用的系统做一丝改动，用户所要投入的资金也比较少。第二种是修改目前的通信协议，在互联网与应用之间增加一个安全层，使信息的安全处理变得透明化以及自动化。安全管理系统是一个包含很多程序的软件包，主要负责用户界面上安全管理器的正常工作，可以使得用户很容易地控制计算机上信息的传输，保证安全。我们通常把这个系统安装在用户计算机的终端，或者是网络节点。安全支撑系统是整个安全管理系统最值得信任的一方，其物理安全以及逻辑安全是非常重要的，需要得到严密而全面的防护。

二、安全管理系统的实现

安全管理系统总共包括以上的内容，具体的实现有很多的问题，需要有条不紊的进行。以下是针对管理系统实现所采取的具体的实现步骤，按照这些步骤来一步一步进行，不会出现混乱的情况，而且条理清晰，可以降低出错的几率，也可以保证管理系统的质量。

（一）熟知互联网的状况，估计风险及各种木马攻击

互联网上的信息安全保障是很薄弱的一个环节，如果防护措施做不好，就会经常受到黑客的攻击，盗取信息，甚至泄露出去，造成个人或者是企业的损失。为了预防或者是击退这些攻击，需要全面地了解平时所有的攻击方式、攻击方位，还有要了解哪些部分是比较薄弱的地方，给予加强保护。只有掌握了攻击的全面资料，才可能有针对性地做出比较全面而可靠的保护措施。

（二）安全策略的制定与优化

安全管理系统需要一个明确的目标与原则，这就是安全策略。安全策略的优化需要考虑以下几个方面：第一需要从系统整体出发，咨询用户的需求，根据应用的环境来制定策略，这其中包含各个子系统的策略制定。第二需要考虑策略的制定会不会对原有的系统产生什么负面的影响，比如通信延时等。第三，策略的制定要方便用户对计算机的操作，包括控制，管理以及配置等。第四，用户界面要人性化。第五，投资的金额要少。

（三）安全模型

模型可以把抽象的问题具体化，使问题简单起来，不再那么复杂，寻求到更好地解决办法，制定更加完善的安全策略，就像是教师教学时经常使用各种模型，让学生容易理解深奥的问题。模型包括整个系统中的所有子系统，这些子系统在上面的内容已经有过阐述。

（四）安全服务的选择以及实现

应用密码技术，来实现向用户所保证的安全服务。这是一种现代的技术，能够保障整个系统的安全性，保护用户的私人信息，使用户不用再担心个人资料的泄漏，保障用户的个人利益。安全服务有两条实现的途径，分别为软件编程以及硬件芯片，其中在通过软件编程来实现安全服务时，需要注意机身的内存，优化系统的流程，增加程序运行时的稳定，以及降低运算时间。

篇（4）

2创新点

为顺应移动互联网时代，运营商从基础通信运营向流量运营转型的新趋势，湖北移动确定了“业务转型，安全先行”的发展思路，坚持“以安全保发展、以发展促安全”。在已有的网络与信息安全管理办法的基础上，积极开展适应移动互联网时代安全管理体系建设，不断推进科学的安全管理方法，做到六“注重”六“突出”，即：（1）注重整体规划，突出体系建设，促进职责高效履行。制定下发安全标准化管理与评价体系建设计划，内容涵盖安全工作方针目标、安全目标、各方职责、安全管理体系和模式、安全设施和机房环境保护设施标准、安全文明操作保证金、安全考核与奖惩、过程的主要控制措施、应急准备和响应等方面。严格按计划有序开展体系建设工作；严格按体系文件要求开展业务或系统试运行工作；加强保证与监督体系的建设。（2）注重文化建设，突出信息安全特色，促进习惯养成。以人为本，加强企业安全文化建设，促使安全文化落地，提高员工安全与风险防范意识。（3）注重教育培训，突出行业特色，达到安全管理效果。通过多种渠道、形式多样的安全教育和培训方式，组织各单位安全管理人员开展安全教育和培训工作：一是安排专家和行业资深人士进行专题讲座；二是在专题培训的基础上，做好网络与信息安全专项工作如何开展的培训。（4）注重设备管理，突出针对特色，实现安全管理精细化。首先，网络设备较多，加强网络安全管理提高设备安全可靠性是首要任务，为此各维护单位对每台设备均建立了安全技术台帐，台帐包括运行记录、检查保养记录和定期检验记录。其次，组织精干力量先后两次对所有设备、流程、机房进行全面的安全评估工作。第三，使隐患排查整改形成机制。（5）注重安全投入，突出专用特色，合理使用安全生产费用。认真落实安全管理费用投入长效机制，加大安全费用的管理，做到专款专用，确保安全生产费用规范化、合理化和足额投入。并加强安全生产保证金的管理，建立安全生产保证金并实行年底考核的机制，有效促进了安全管理工作。（6）注重应急预案，突出超前特色，安全管理赢在主动。在安全管理中，把预防工作落到实处，建立健全了应急处置机构，将应急处置工作进一步制度化，规范化，形成了完整的安全事故预防体系。同时，开展形式多样、符合实际的应急演练。

篇（5）

我国检察机关的信息化建设从2000年起步至今，经历了由点及面，由弱渐强的发展阶段，并在全国范围内初步形成了较为系统的信息一体化网络。随着“科技强检”进程的逐步深入，检察人的传统思维和工作模式势必会经历前所未有的变化。也正是在这种网络化日盛的趋势下，检察机关的信息化建设成为了检察事业发展的重要课题。

1、检察信息网络建设的现状

按照高检院“213”工程和全国检察机关信息化建设工作“统一规划、统一技术、统一规范、统一应用软件和统一归口管理”的原则，目前全国省市级检察机关的二级专线网络已经逐步进入应用阶段，市级院与省级院以及省级院与高检院之间的专线电话、视频会议和计算机数据传输的“三网合一”也基本能够实现，而且一些技术较为先进的地区也率先完成了三级专线网络的搭建。部分基层检察院的内部局域网络已经能够将检察业务、办公事务、综合业务和全面检索等应用系统运用于实际的检察工作中，同时依靠较为成型的网络系统，并辅之以充足的数据库资源，保证了上下级院之间直接的视频、数据、语音的传输，并基本满足了与其他兄弟院之间进行广泛数据交换的互联要求。

2、检察信息系统的应用状况与面临的困惑

检察信息系统是检察业务工作同以计算机技术为核心的信息技术相结合的产物，是管理科学与系统科学在检察业务实践中的具体应用。检察信息化水平的高低是判断检察工作的重要标尺。目前在我国，检察机关已不同程度地将计算机作为办公、办案的必要辅助工具，检察人员的计算机应用能力较之几年前有了相当程度的提高，检察业务软件、网络办公软件以及其他的辅助处理软件也普遍地应用于日常的工作之中。同时，相当一部分检察院已经开通了网站，并通过这一媒介，信息、收集反馈，形成了具有自身特色的网络工作平台。可以说，检察信息化的不断普及为全面建设和完善检察信息系统提供良好的契机，同时也奠定了应用与发展的必要基础。

当然，在肯定成绩的同时，我们也应清醒地认识到现阶段检察信息化建设中存在的诸多不足。首先，目前我国检察机关信息化建设还处于刚刚起步阶段，网络应用水平普遍不高，绝大多数的应用还仅局限于检察业务的某些小的领域，单项应用较为普遍，大而全、广而深的应用体系尚未成型。其次，检察信息技术主要仍以平民技术为主，专业化、职业化的应用并不理想，在缺乏相关专业人才的情势下，技术水平较为幼稚，系统的标准化、通用性和易用性都还处于较低的层面。再则，目前检察机关网络信息化建设与检察业务实际存在明显的脱节，检察业务软件的开发与维护还有许多不尽如人意之处，检察信息系统的网络互连效果以及安全保密功能还有待进一步加强。

客观地讲，当前的检察信息系统仍处于探索和成型阶段。做个不形象的比喻，如果将未来成熟的检察信息系统拟制为一个健康的成年个体的话，目前的检察信息网络则像一个处在哺乳期的婴儿，四肢俱全，生机无限，但未脱襁褓，需要给予更多的关注。

二、流行在检察信息系统中的sars――网络不安全因素。

网络中的不安全因素，之所以称其为sars，并非危言耸听。在当前的检察信息网络中，存在着种种高危的“致病”因素。这些因素往往显见的或潜在的、习惯的或不经意的影响着检察信息系统的稳定和安全。

1、病毒入侵与黑客攻击

网络病毒的入侵、感染与黑客的恶意攻击、破坏是影响当前检察信息网络安全的主要因素。目前，全球发现的病毒数以万计，并以每天十种以上的速度增长，可以说每时每刻网络都在经受着新的病毒或其变种的冲击。通过网络渠道传播的蠕虫病毒、木马程序以及脚本病毒，不管从传播速度、破坏性还是波及范围都让人不可小视。

而对于网络系统而言，黑客攻击较之病毒威胁则更加让人防不胜防。互联网20多万个黑客网站上，提供了大量的黑客技术资料，详细地介绍了黑客的攻击方法，并提供免费的攻击软件。在网络立法十分匮乏、跟踪防范手段有限的今天，面对网络黑客针对操作系统以及应用软件漏洞的频繁地、具有隐蔽性的攻击，我们所要承受的威胁往往是毁灭性的。

2、网络硬件、软件方面存在的缺陷与漏洞

检察信息网络主要是以各级检察机关的局域网作为其构成单元。与银行、邮电等行业相比，目前，检察机关的局域网建设还存在着明显的差距。从硬件上讲，检察系统的网络产品尤其是关键部位的配套设施还相对较为落后，核心部件的性能还不能完全满足检察机关信息化的发展要求。虽然，部分检察局域网络在某些应用功能上能够基本满足网上办公和无纸化办公的现实需要，但长远地讲，目前检察机关局域网内部的数据交换设备、服务器设备以及网络硬件环境的合理性与稳定性并不容乐观，如不给予足够地重视，势必会给网络运行的稳定和安全留下隐患。

在软件方面，由于网络的基础协议tcp/ip本身缺乏相应的安全机制，所以基与此存在的任何网络都无法摆脱不安全因素的困扰。而目前广泛运行在检察网络中的微软windows操作系统更是破绽百出，由于默认的情况下系统开放了绝大多数的端口，所以使得监听和攻击变得轻而易举、防不胜防。再加之相当数量的办公软件与网络软件自身开发的局限性，存在着这样或那样的bug，同时软件的后期服务又不可避免具有滞后性，所以形容当前的网络“风雨飘摇”一点也不为过。

3、使用人员的不良习惯与非法操作

如果将以上两点看作是病源和病毒的话，那么人的因素可能就要算作是将二者紧密结合，产生巨大破坏作用的主要媒介了。客观的讲，目前检察机关的网络操作水平仍处在相对较低的水平，网络使用者中普遍存在着操作不规范和软件盲目应用的现象。相当一部分检察网络用户对于网络存储介质的使用缺乏安全和保密意识，对硬件的维护缺少必要的常识，带来数据在存储与传递环节不必要的隐患。同时，由于操作熟练程度的原因，网络中的误操作率相对较高，系统宕机的情况时有发生，一方面造成了网络资源的浪费，另一方面也给本地数据带来了一定的危险。

此外，由于检察机关的业务工作与实际应用的需要，所以局域网用户的权限相对较高，使用者的操作空间相对较大。部分具有较高计算机水平的用户，会利用授权非法地进行系统设置或通过黑客软件的帮助突破权限获取其他用户信息乃至信息。这些恶意行为的出现，不仅扰乱了网络内部的正常秩序，同时也为更多“偷窥者”大开方便之门。

4、网络管理与相关制度的不足

网络信息系统三分靠建，七分靠管。严格的管理与健全的制度是保障检察信息系统安全的主要手段。但是事实上，目前各级检察机关的信息系统并没有建立起较为健全、完善的管理制度，网络管理缺乏严格的标准，大多数检察机关仍采取较为粗犷的管理模式。主要表现在：

第一，网络管理仅仅作为后勤保障工作的一部分，缺乏必要的领导机制，重视程度有待进一步加强。

第二，网络管理人员充当“消防员”，以“排险”代“管理”，缺乏全民“防火意识”，干警的信息安全责任感亟待提高。

第三，网络管理缺乏必要的程序性规则，在遇到突发事件时，往往容易造成网络系统的内部混乱。

第四，网络信息收集、整理工作不够细致，网络内部机器的跟踪机制还不尽如人意。在用户应用相对随意性的条件下，往往出现“用而不管，管却不能”的尴尬局面。

第五，与安全级别相适应的网络安全责任制度还没有完全建立，使用者的网络操作安全风险没有明确的承担主体，所以使用中缺少必要的注意。网络管理在“使用免责”的情况下，很难形成安全防护的有效底线。

三、构想中的检察信息系统安全防范体系

针对以上问题，笔者认为，要建立、健全检察信息系统的安全防护体系首先需要从检察机关信息安全性的要求出发，充分结合当前检察信息网络的建设现状，从整体上把握，重规划，抓落实。其次，要摒弃一劳永逸的短期行为，在网络项目投入、网络设施建设上做好长期的规划，同时应具有适当的超前性，从检察信息化长远的发展趋势着眼，保持投入的连续性，积极追求网络效能的最大化。其次，在信息化建设的过程中，检察机关还应充分重视制度化的建设，形成较为完善的保障体系，使得网络的运行与管理能够在正确的轨道上持续发展。当然，强调整体规划与设计的同时，我们还应认真做好网络应用技术的普及与网络安全意识的培养工作，将检察信息系统中源于技术局限以及使用者主观因素而产生的种种隐患和损失降到最低程度。

基于上述几点构想，下面笔者将从实际的应用出发，对检察信息安全防范体系的具体实现，作细化论述：

第一，做好检察信息系统整体的安全评估与规划，为安全防范体系的构建奠定基础。

检察机关的网络信息化建设有别于其他应用网络的一个显著特征就是对于安全性有着更为严格的要求。在构造安全防范体系的过程中，我们需要全面地了解自身网络可能会面临怎样的安全状况，这就使得我们不得不对譬如网络会受到那些攻击，网络系统内部的数据安全级别是何等级，网络遭遇突发性安全问题时应如何反应，局域网络内部的域应怎样设定，用户的权限应给予哪些控制等问题进行初步地认定和判断。通过进行安全评估，确定相应的安全建设规划。

当然，在加大投入的同时，也应当正确处理安全成本与网络效能之间的辩证关系，切忌将安全问题绝对化，不能让安全设备和手段的使用降低网络应用的实际效果，寻求可用行与可靠性的平衡点。在安全建设中要注重网络安全的整体效果，尽量运用较为成熟、稳定的软、硬件及技术，同时，针对目前检察网络所采用的微软系统平台，借助于win2000操作系统的域控制功能，对网络的内部结构进行划分、管理，从而既满足了对内部用户的管理要求，同时又在双向信任关系的域－森林结构中实现同级、上下级院之间的安全信息交流。

第二，加强网络安全组织、管理的制度化建设，从制度的层面构造安全防范体系。

健全检察机关网络安全管理的关键在于将其上升到制度的层面，以制度化促进管理的规范化。网络安全管理的制度化建设需要做好两方面的工作，首先要建立明确的安全管理组织体系，设置相应的领导机构，机构以院主管领导、技术部门领导、网络管理人员、网络安全联络员组成，全面负责局域网的日常维护、管理工作。网络安全联络员由各科室选定，负责本部门网络应用过程中的信息上报和反馈工作。网络管理领导小组可以根据全院的实际情况，协调管理人员进行及时的维护，这样不仅有利于人员分工、整合，同时也保证了网络管理的有序进行。其次，要加快网络安全管理的规范性章程的制定，将网络管理的各项工作以制度化的形式确定下来。具体来讲，要尽快形成信息系统重要场所、设施的安全管理制度，例如服务器机房的管理制度；要尽快制定网络安全操作的管理制度，尤其是网络用户的软件使用与技术应用的规范化标准；同时，也要进一步研究网络遭遇突发事件时的安全策略，形成网络安全的应急保障制度，并针对网络安全责任事故进行制度化约束，追究责任人的主观过错。

当然，制度化建设应当包含检察信息网络管理的各个方面，远非以上几点，它需要我们在补充、修订的过程中不断健全、完善。

第三，提高网络应用与管理的技术水平，弥补自身缺陷，减少外来风险。

在当前检察信息网络的安全威胁中，病毒及恶意攻击可能是其最主要的方面。但我们应清醒地认识到，任何的病毒与黑客技术都是针对网络系统的漏洞而发起的。而在网络应用过程中，大多数使用者对于病毒及外来攻击的恐惧往往要大于对自身系统漏洞的担心。要解决这一问题，首先要使网络用户对网络病毒及黑客攻击有必要的认识，并了解病毒感染的主要渠道，同时要加强网络应用的规范化培训，整体提高操作的技术水平，最大程度地减少人为因素造成的安全隐患。此外，在网络管理中，对操作系统的漏洞应及时的安装安全补丁，并留意微软定期的安全公告，关闭操作系统中并不常用的默认端口，防止为恶意攻击留下“后门”。同时，对网络中的应用软件进行全面检查，尽量避免使用来历不明的盗版软件，将软件的选择导向正版化、网络化的轨道，逐渐减少对于盗版软件、试用版软件以及共享版软件的依赖。

同时，充分利用win2000系统的域功能，严格控制网络客户端机器的超级用户帐号，设定所有用户必须登录域中进行网络操作，设定所有用户（预留guest帐号可以另外处理）的ip地址和网卡物理地址进行绑定、所有无需移动办公的用户帐号和ip地址绑定，实施严密的身份识别和访问控制。

第四，加强应急策略下的物理安全、数据保护与日志管理，健全安全保障体系。

篇（6）

2.缺乏综合性的安全解决方案。在实践过程中，高校图书馆为了保证信息安全运行，使用了大量的硬件防火墙、入侵监测系统和杀毒软件。从长远讲，这些措施还不能远远不能解决问题，高校图书馆在信息安全管理方面依然缺乏综合性的解决方案，虽然也有各种信息安全管理规章制度和某些解决方案，没有一个系统来组织这些规章制度和解决方案。

二、信息时代条件下创新高校图书馆信息安全管理的主要措施

（一）必须要对管理信息系统进行科学规划。对于高校图书馆来讲，进行管理信息系统创新，也离不开这个步骤，也必须做好前期的调查研究工作，研究拟开发设计的管理信息系统在本馆的可行性、以及使用后的效果性等内容。科学规划所设计到的主要内容有：制定前期科学、完善的主要目标，并对管理信息系统长期发展方案进行编，以确定管理信息系统在整个组织中发展方向、使用规模以及发展进程；开展初步调查，其目的是为了合理地确定系统目标，进行系统总体分析以及可行性研究，摸清本图书馆在管理信息系统建设存在的迫切性、主要不足、可行性和可能性；在初步调查的基础上，形成详实的调研报告，为后期系统详细调研奠定基础。

（二）对图书馆管理信息安全管理系统实施可行性分析。在前期初步调查的过程中，严格执行调查内容，明确图书馆管理信息系统的目标，对现行系统的基本情况作出初步了解、明确可行性。结合管理信息系统对运行环境、资源要求等条件进行考量，判断出图书馆所拟上管理信息系统是否具有必要性和可能性。对管理信息系统现存的主要不足、问题、紧迫性、希望新的管理系统所能够带来主要功能、开发态度、资金保障、专业人员配备、后期维护与管理等方面进行全方位了解。

（三）开发创新高校图书馆信息安全管理的新型系统。管理信息系统开发创新是更好提高管理效能的重要手段。当前高校图书馆生存发展的宏观、微观环境已经发生了深刻变化；高校图书馆职能的发挥必须要建立在充分随时随地取得准确而及时的管理决策方面的内部信息与外部信息，甚至是与高校图书馆管理过程中各项决策决议执行情况的反馈信息，以实现对高校图书馆业务与管理的及时调控。管理信息系统主要的功能不但能够有效进行数据与信息的搜集、处理、而且还具备了预测和控制功能；在高校图书馆实施管理信息系统创新，对于高校图书馆管理曾来讲，能够有效解决在管理中所面临的半结构化问题和非结构化问题，有效提高一种定性与定量分析的方法，有效提高管理效率和决策的科学化水平。

篇（7）

GB/T28449—2012《信息安全技术信息系统安全等级保护测评过程指南》规定了信息系统安全等级保护测评工作的测评过程，既适用于测评机构、信息系统的主管部门及运营使用单位对信息系统安全等级保护状况进行的安全测试评价，也适用于信息系统的运营使用单位在信息系统定级工作完成之后，对信息系统的安全保护现状进行的测试评价，获取信息系统的全面保护需求。GB/T28448—2012《信息安全技术信息系统安全等级保护测评要求》针对信息系统中的单项安全措施和多个安全措施的综合防范，对应地提出单元测评和整体测评的技术要求，用以指导测评人员从信息安全等级保护的角度对信息系统进行测试评估。GB/T22239—2008《信息安全技术信息系统安全等级保护基本要求》根据现有技术的发展水平，提出和规定了不同安全保护等级信息系统的最低保护要求，即基本安全要求，包括基本技术要求和基本管理要求，该标准适用于指导不同安全保护等级信息系统的安全建设和监督管理。

2整合实施的思路

2.1审核与测评的过程整合整合是为了在组织内部建立一套信息安全管理体系及制度，而且该制度既符合信息安全管理体系又符合信息系统安全等级保护的管理要求，并给组织带来收益，避免不必要的冲突和资源浪费。根据对审核和测评的过程分析得知审核从表面上执行了测评的管理内容，但从整个审核和测评活动可得出，两者的活动内容和组织方式非常相似，因此具备很强的整合条件，两者的具体活动如表1所示。

2.2审核与测评的控制措施整合整合GB/T22239—2008中的控制措施部分与GB/T22080—2008的附录A完全可行，且整合后可避免多余、重复的管理资源。如GB/T22239—2008三级信息系统对资产管理的要求和GB/T22080—2008中的“A.7资产管理”基本保持了一致，具体标准条款映射如表2所示。若组织内存在等级保护三级或三级以上的信息系统，则该组织应建立信息安全管理制度体系，这与组织单独建立ISMS所达到的目标基本一样，从整合的角度来看，通过实施整合，可以取得“一举两得”的效果。具体的整合检查表如表3所示。

篇（8）

在社会经济发展的冲击下，电子信息技术在社会生活与生产中已被广泛应用，给社会生产注入了新的力量。电子信息技术在为人们的生活带来便利的同时，其发展也面临一定的挑战。在科学技术快速发展的冲击下，电子信息安全管理成为电子信息技术发展中的重点，也成为发展需要重点解决的问题。因此，研究电子信息安全管理具有很大的现实意义，可以为电子信息技术更好的发展提供有利条件。

1电子信息、信息安全的相关概念

电子信息技术是时展下一门新型的计算机技术，主要负责对电子信息进行处理与控制，是对计算机现代化技术的灵活应用。电子信息技术需要收集、存储与传输信息，实现对信息数据的传输与共享，对电子设备的运行也发挥着很大的作用，充分发挥信息数据的优势。电子信息技术在应用过程中，需要形成一个体系完善的信息系统，设计与开发信息系统，使得电子信息可以更好发挥作用。信息安全主要是指利用一种加密技术，对电子信息进行管理，并且保持信息的保密性、完整性和有效性，从而更好保证电子信息的安全。电子信息在收集、存储与传输的过程中，易受到外界条件的影响与一些不法侵害而导致信息的流失，因此，就需要重点加强电子信息安全管理，对信息进行安全管理，更好地保护信息。

2电子信息的安全因素

2.1完整性

在电子信息技术的发展中，电子信息的完整性是其中较为重要的部分，也是电子信息发展的关键。在电子信息的收集、存储与传输过程中，电子信息会被随意篡改，从而使得电子信息的完整性遭到破坏。在电子信息收集、存储与传输的过程中，还需要重点注意电子信息的流失问题，避免电子信息被盗取，而对电子信息造成不好的影响。电子信息的完整性是电子信息发展的基础，可以为电子信息更好发展提供有利条件。

2.2机密性

电子信息的机密性是电子信息发展的核心所在，也是发展中不可忽视的问题。在企业与各部门之间的信息传输与交流过程中，一些电子信息的机密性是比较强的，信息的泄露对其生存与发展有着直接的影响，严重的还会导致企业与部门发展停滞。为了保证电子信息的机密性，就需要重点应用电子信息安全管理技术，通过一些技术手段来对电子信息进行加密，从而防止出现一些篡改、破坏、窃取信息的行为，增强电子信息的安全性。

2.3有效性

电子信息的传播价值就在于电子信息的有效性，为各方面工作更好进行提供更好的条件。电子信息的传输是为了更好实现信息的传递与共享，从而为一些社会生活与生产中的交易提供优势，也可以充分发挥信息传输的作用。对于信息传输的有效性，就需要强化电子设备，保证硬件与网络的安全，使得信息的传输更加安全，保证信息的有效性的同时，也为信息传输的时效性提供保障。

3电子信息安全的隐患

3.1窃取信息

在信息传输的过程中，会有一些窃取信息的行为，会导致信息泄露与流失，从而对电子信息保密性与完整性造成影响。一些技术手段较高的黑客可以在信息传输过程中拦截信息，就可以获取一定的信息量。信息数据是有一定的规律的，黑客往往通过所盗取的信息就可以分析出全部的信息，进而完成对信息的窃取。黑客窃取电子信息是有一定手段的，对电子信息的安全影响比较大，一些信息的泄露与流失会对企业造成很大的影响，甚至会威胁到企业的生存与发展。

3.2篡改信息

在信息传输的过程中，除了盗取信息外，还会随意篡改信息。随意篡改信息，在很大程度上会破坏信息的完整性。信息被随意篡改，就会使得信息不准确，接收者就会接收到错误的信息，从而对接收者造成很大的影响，接收者可能会作出一些错误的判断与决策。随意篡改信息，主要对接收者造成影响，不能充分发挥信息的优势。

3.3信息假冒

信息假冒是冒充合法用户接收与传输信息，向接收者发送自己编造的信息，从而对接收者造成误导。信息假冒一般是拦截合法的信息，然后再以信息传输的合法用户的身份编造信息，继而将假的信息传输给接收者。或者可以不用拦截信息，可以直接冒充身份编造信息，例如伪造用户或商户的收、定货单据等。

3.4信息破坏

信息破坏是一种破坏性较大的行为，一般破坏者会直接侵入用户的网络，通过一些病毒来控制用户的网络，从而可以修改权限，对用户的网络造成较为严重的破坏。信息破坏所造成的影响是比较大的，严重的会造成网络瘫痪，后期的网络修复工作难度也比较大，极不利于电子信息的传输。

4电子信息安全技术

4.1防火墙技术

随着社会的进步、科学技术的发展，网络成为人们社会生活与生产中较为重要的部分，在社会生活与生产中也发挥着很大的作用。防火墙技术在网络中的应用比较广泛，主要用于防止黑客与病毒对网络安全造成威胁与破坏。网络黑客与病毒会入侵网络，而防火墙技术在一定程度上可以对其进行拦截，这是网络安全运行最基础的保障措施。对于网络运行中随意篡改信息的现象，防火墙技术也可以发挥作用，避免这种现象的发生，在一定程度上保证网络运行的安全。

4.2加密技术

加密技术在电子信息安全管理中的应用也比较广泛，一般主要对电子信息进行加密处理。加密技术主要有公开密钥和私用密钥，私用密钥主要用于信息的加密，而公开密钥主要用于信息的解密，两者是相匹配的，如果两者不能匹配，则没有查看信息的权限。加密技术对电子信息的安全保障程度较高，因为私用密钥加密信息是以密文的形式进行的，在对信息进行解密时，公开密钥就会把密文翻译为文字，从而加强对信息安全的管理，在发生信息被窃取现象时，也不用担心信息泄露与流失。

4.3认证技术

认证技术分为消息认证、身份认证和生物认证三种类型，每个类型的作用都是不同的。消息认证是通过用户名与密码的形式对信息进行加密的认证方式，这种方式的安全没有保障，用户名与密码易被窃取。身份认证的针对性比较强，一般用于特殊身份的认证，如学校学生这种用户身份，只有符合身份特征的人，才可以查看信息。生物认证的安全性比较高，一般用人的身体特征如虹膜、指纹等作为认证特征。身份认证的安全性是最高的，但是其投资建设成本比较高，在当前的电子信息安全管理中并没有被广泛应用。

5提高电子信息安全性的策略

5.1提高电子信息安全认识

网络在社会生活与生产中已被广泛应用，加强网络中信息安全管理工作是十分重要的，也发挥着很大的作用。首先，要对电子信息安全管理有正确的认识，并且提高对其的重视，根据网络发展的现状与其中存在的问题，优化电子信息安全管理技术。其次，要根据电子信息安全管理的需要，灵活应用电子信息安全管理技术，充分发挥技术的优势，为电子信息安全提供保障。

5.2构建电子信息安全管理体制

电子信息安全管理工作的进行离不开较为完善且全面的安全管理体制，安全管理体制是工作进行的前提，可以为电子信息安全管理工作更好进行提供基础与指导。在对电子信息进行安全管理的过程中，要加强对电子信息的研究，并且深入了解电子信息安全管理技术的实质与要求。首先，制定较为科学合理的制度规范网络行为与现象，避免网络混乱而对信息安全造成影响。其次，通过较为合理的制度，综合各方面的影响因素，再根据信息安全管理技术的要求，形成较为具体、全面的管理体制。一种较为系统的管理体系，可以使得工作的进行更加有序，也可以避免一些病毒和黑客的入侵，促进电子信息安全管理工作更好进行。

5.3培养电子信息安全专业人才

专业人才对于工作的进行有着直接的影响，也需要重点关注。电子信息安全管理技术在当前的发展中取得了很大的成效，但是，电子信息安全专业人才相对较为缺乏，使得技术的应用与管理受到了一定的限制。随着科学技术的发展，电子信息安全管理技术对于人才的要求提高，需要有较强的专业性。在电子信息安全专业人才培养中，首先对人才的选拔有严格要求，继而对人才进行重点的培训，提高其专业水平。还可以将一定的资金用于国外技术的学习，根据自身发展的实际情况，提高人才的综合能力。还需要对人才进行思想教育，提高其对信息安全管理的重视，并且提高其责任感。在日常的工作中，定期对人才进行审核，规范其行为，促进综合素质的提高。

5.4定期评估、改进安全防护软件系统

评估工作在电子信息安全管理工作的进行与发展中是十分重要的，也是非常关键的。社会在不断发展，技术也在不断更新，评估工作可以为改进工作提供依据与方向。在电子信息安全管理中，定期评估安全防护软件系统，可以发现安全管理中存在的不足与发展的优势，对于存在的不足，可以以人们的评估为依据，对问题进行处理，更好满足人们的需要。在工作中还需要不断积累经验，改进与优化电子信息安全管理技术，充分发挥技术的优势，促进管理工作更好进行。

6结语

在时展潮流的冲击下，电子信息存在一定的安全隐患，电子信息安全管理引起了人们的关注。在电子信息安全管理工作中，需要深度研究电子信息发展的情况与安全影响因素，并且有针对性地解决，为电子信息提供安全保障。网络技术也是在不断发展与更新的，也需要创新网络技术，为电子信息安全管理工作的进行提供有利条件。

参考文献

篇（9）

一、电子信息安全管理中存在的问题

1.安全防范意识落后

我国的信息技术迅猛发展，人们沉浸在便利的喜悦中，忽略了安全管理。由于电子商务处于初步发展阶段，很多技术方面尚不成熟，一些高标准的电子商务平台尚还没有搭建起来，对黑客缺乏防御的小型电子商务平台虽然随处可见，但其缺乏有效的安全管理，经营者麻痹大意，心存侥幸，认为“黑客”虽然存在，但是自身未必遭受攻击，他们更多地关注业务的发展，重视平台规模的扩大和系统功能的开发。在这种情况下，系统缺乏安全防御，一旦受到攻击，立即瘫痪不能运转和造成损失。此外，有些管理者为了防御黑客，在市场上购买了一些大众化的安全管理软件，便觉得安装了这些“高新”产品，就会高枕无忧，永远安全的使用电子商务。结果，常常事与愿违，造成巨大的损失。

2.信息安全技术匮乏

经过一段时间的努力，国内的信息安全管理技术不断提升，连续迈上新的台阶，情况喜人。但是，我们也要有自知之明，因为和许多西方国家相比，信息安全防御与控制技术相对落后很多，并且，我们在经费的投入方面，有明显的差距；自主研发技术存在的不足之处多多，亟需改善。我们更要清楚的一点是：我们的技术，很多都是借鉴国外的经验，缺乏独创。如此步人后尘，电子信息安全管理质量难以有质的突破。

3.信息安全产品鉴定混乱无序

为了安全起见，很多企业花费不菲，购买了一些安全方面的软件，殊不知，这些产品在一般情况下，确实能够起到电子信息使用平台的安全作用，但如果病毒强大，绝对的安全便难以保证。纵观市场上的安全软件产品，良莠不齐，并且，目前市场上对于安全产品的鉴定没有统一标准，各执一说，很多都是主观判断，由此产生隐患。

二、电子信息安全管理的有效措施

在电子信息安全管理方面，一旦出现问题，就会造成损失，一些企业“吃一堑长一智”，采取了相关措施，不过，调查表明，大多数企业存在“重技术，轻管理”的情况，而且由于一些企业尚未造成重大损失，管理层对安全问题漠不关心，或重视不够。下面针对加强电子信息安全管理的主要措施做一探讨。

1.构建完善的管理组织机构，加强管理

电子信息安全管理组织机构的完善有力地促进了企业的发展，从安全决策到认真执行，层层构架，发挥职能。管理框架的构建要集思广益，审慎剀切；安全制度的审批须一丝不苟，审查入微；安全职责的分配必须认真到位，监督有力；遵照网络系统安全制度，严肃执行，进行网络系统的日常维护。如属于大型的电子商务平台或者集团企业，更加需要增加投入，比如聘请有造诣的专家成立顾问组织，以便企业进行疑难咨询，或是参照出现的问题出列解决方案，尔后进一步对责任进行调查、评估。

2.电子信息安全管理制度有待进一步完善

电子信息安全管理制度主要包括两方面的内容，第一点就是构建电子信息控制制度，第二点是出现问题之后的解决策略。关于第一点，需要明确责任，注重细节，出现任何情况都要严格审核，并且定期检查；至于第二点，注意信息传递过程中的信息维护，密切跟踪，及时报告，达到有效监督。最后，备份数据文件储存。

3.专业亟待提升

互联网的发展突飞猛进，普及千家万户，安全技术的研发相对于互联网的发展远远落后，原因诸多，最重要的一点就是缺乏过硬的技术人员。一般而言，电子商务规模越大，电子信息安全管理队伍的阵容也要随之扩充，只有电子信息安全管理队伍强大，才能够产生无穷的智慧与应对措施，保证电子商务平台的安全。

4.系统安全检测

黑客一词被用于泛指那些专门利用电脑网络和系统安全漏洞对网络进行攻击破坏或窃取资料的人。病毒与黑客不断变换手段，频频对电子商务系统采取攻击行动，有时候能导致整个系统瘫痪。出现意外情况，要立即检测，要经常更换密码，设置复杂一些的密码，要经常对防火墙进行检查，系统功能是否保持，是否出现漏洞等，要细致入微，不能有一丝一毫的疏忽，严防黑客侵入。

5.建立保护系统的方案

时常进行安全检测，一旦系统的安全检测失灵，必须立即建立系统安全防护措施。系统安全管理极其复杂，缺乏安全可靠的保护，电子商务在网络平台失去有效的依靠，随时会出现漏洞。反之，安全策略严谨，防护得力，即便系统遭受攻击，也会及时发现，能将损失最小化。

6.管理培训的重要性

防护系统的工作人员，要进行考试录用、上岗培训，企业经常进行人员培训，定期学习安全策略和规章制度。让每一个员工加强安全观念，提升对信息安全的重视，认识到防护的重要性，坚守岗位，忠于职守，明了企业安全规章制度的含义。

三、结语

综上所述，近年来经济腾飞，经济全球化进程不断加快，计算机技术无所不在，网络畅通无极，人们在网络平台上进行商务管理、学习、游戏、查找资料、购物汇款等等，网络信息交互平台已经深入大家的生活，人们已经一日不可没有网络的存在。网络如此不可或缺，随着计算机病毒造成的一次次的损失，人们对电子信息安全管理质量忧心忡忡。

在这一背景下，很多电子信息安全管理研究机构纷纷推出各类电子信息安全管理产品，尽管其对确保信息安全起到了一定的功效，但是，一切并不是万能的。这也使得人们明白了技术产品并不仅仅是安全管理工作的全部。本文结合当前电子信息安全管理现状，提出了一些相应的应对措施，希望能够有效提升电子信息安全管理的质量。

参考文献：

篇（10）

1.1 管理者的安全意识不强

档案信息化水平不断提升，这也使档案信息安全问题越来越突出。当前很多档案管理人员对于档案信息安全的重要性和紧迫性缺乏有效的认知，特别是当前档案网站安全、计算机系统安全等问题普遍得不到重视。由于档案管理者对数字档案信息安全意识缺乏，这也导致普遍民众对数字档案信息的安全问题更是一无所知。很大一部分档案管理人员在日常工作中都没有意识到数字档案存在的安全隐患，这些数字档案信息可能随时消失不见，对风险缺乏有效的认知，这也造成数字档案信息安全问题始终存在，这对于数字档案信息安全管理工作带来了较大的挑战和难度。

1.2 数字档案信息安全管理技术滞后

随着信息技术的快速发展，数字档案档案安全技术也紧跟信息技术发展步伐取得了较快的发展，但在发展过程中存在着技术层面专业问题的制约，这就导致数字档案信息安全管理技术相对滞后。在实际工作中，往往都是档案信息安全问题出现后，数字档案信息安全技术才能针对出现的问题进行改进，从而取得技术上的发展。即在数字档案信息管理工作中，安全隐患一直存在，风险一直管观存在，数字档案信息安全时刻受到威胁，因此要??际工作中需要有效的降低风险，即应用数字档案信息安全技术来将风险降至最低水平。

1.3 数字档案信息安全管理制度不完善

现今我国在数字档案信息安全领域的制度不够健全，所以才会在实际的数字档案信息安全管理中出现许多纰漏。由于数字信息安全管理制度的残缺导致我国的数字档案信息安全管理水平普遍偏低。从实际出发，我国大部分的档案管理部门都制定了相应的数字档案信息管理制度，许多制度都是为了应付检查才制定的，相互抄袭的情况比较多，这样的情况就会造成所制定的制度并不能与实际的数字档案信息安全管理工作相匹配。对实际的数字档案信息安全管理工作起不到任何制约与指导作用，甚至可能造成安全隐患给数字档案信息安全管理工作带来不必要的麻烦。

2 加强数字档案信息安全管理的策略分析

2.1 加强对工作人员的培训，树立安全防范意识

随着档案信息化的不断发展，档案数字化全面普及率已成为档案工作发展的必然趋势。为了能够更好的提高数字档案信息管理的安全，需要遵循以人为本原则，重视档案管理人员的培训工作，努力提高档案管理人员的专业技能。在具体培训过程中，要加强对档案管理人员信息安全知识的讲解，使档案管理人员树立安全防范意识，认识到数字档案安全管理的重要性，并能够在实际工作中利用安全技术来维护数字档案信息的安全。培训过程中还要重视档案管理人员计算机技术水平的提升，这样在实际工作中才能更熟练的应用档案管理系统，提高档案管理系统的先进性，从而更好的实现对数字档案信息的有效管理。

2.2 提高重要信息的加密性和计算机的安全性

网络环境的不安全会影响数字档案信息的安全性，因此要加大对网络环境的保护力度，提高计算机环境的安全性。为防止重要信息被黑客入侵盗取，要加强对信息的加密保护，保证数字档案信息的保密性，在网络层能够安全、自由的传递，特别是对带有密级的数字档案信息系统，更应该加强文件的加密保护能力，保护重要的档案信息。对计算机要定期的清理，防止留下的浏览记录被别有用心的人利用，可能会从中得到很多私人信息，提高计算机系统的安全性。因此在计算机上必然安全可靠的杀毒软件和防火墙，做好安全防范工作，降低计算机系统受到病毒破坏及黑客攻击的可能性，提高计算机系统的安全水平。同时档案管理人员还要熟练应用计算机软件，并定期对病毒库进行更新，强化计算机系统的安全防范，有效的提高数字档案信息的安全性和可靠性。

2.3 健全数字档案信息安全管理制度与法律

篇（11）

二、健全法律法规

加强法律法规的完善性，保证数字化档案信息安全管理工作的规范执行。在该执行期间，需要从法律法规角度对其进行研究，基于信息化时展需要，为民营企业的档案信息安全管理工作营造良好的发展氛围。执行过程中，需要根据信息化发展要求、档案信息的主要特征，为其制定完善的法律法规。在该体系执行时，不仅能加强民营企业数字化档案信息管理工作的?范化，实现信息的开放性发展，还能保证民营企业档案信息完整、真实使用。在现代化发展背景下，民营企业面临较大的挑战，为了提高档案信息管理能力，还需要建立完善的管理制度，分析数字化档案信息安全管理工作中存在的一些影响因素，保证制度的有效执行，保证在具体实施工作中，能够将安全理念渗透到企业档案信息管理工作中去。在实施工作中，还要为数字化档案信息管理工作提供备份制度，其中，需要包括登记、异地使用制度等。不仅如此，还要促进数字化档案开放工作的执行期间，保证能够开放一些信息。还需要为档案信息的数字化管理建立维护制度，促进管理工作流程的规范发展，保证工作中各个环节的人员职责都能充分落实，实现任务分布明确，职责合理等，在不同岗位上，遵循不同的工作事项和流程，这样才能使档案信息管理工作符合新时期的发展要求，维持民营企业的健康进步。

三、利用先进手段

在民营企业不断进步与发展的背景下，为了提升数字化档案信息安全管理水平，需要引进先进执行手段。先进手段的引入能够为民营企业的档案信息管理工作提供有效保障，在内部管理工作中，需要相关部门根据自身的发展条件，借鉴一些成功经历，引入有效的数字化档案信息安全软件，促进信息安全设备的有效配置，保证企业在数字化档案管理工作中，提高其中的技术含量。不仅如此，在具体执行期间，还需要根据企业建立的数字化管理系统化，分析运行的实际情况，对计算机的硬件和软件进行优化选择，提高其使用性能。在对计算机软件与硬件进行选择过程中，要重视计算机的品牌和服务器，以全方位的角度对计算机硬件的兼容性、可扩展性进行思考、严格审核，在该工作中，不仅能避免产生数据丢失现象，还能实现计算机系统的优化升级。并且，还需要为其设置信息访问认证工作，开发防病毒软件，为数字化档案信息执行加密工作，这样不仅能防止数据信息被非法侵入，还能促进数字化档案信息的安全管理。

四、提高人员素质