引論：我們?yōu)槟砹?篇信息安全論文范文，供您借鑒以豐富您的創(chuàng)作。它們是您寫作時的寶貴資源，期望它們能夠激發(fā)您的創(chuàng)作靈感，讓您的文章更具深度。

信息安全論文:信息安全體系電子政務(wù)的論文

一電子政務(wù)信息安全的請求

從這個規(guī)定可以看出,在電子政務(wù)環(huán)境下,信息安全主要包含系統(tǒng)實體安全、人員安全、利用軟件安全、運行安全以及數(shù)據(jù)安全。電子政務(wù)系統(tǒng)中的實體是指系統(tǒng)運行所需要的計算機裝備、網(wǎng)絡(luò)裝備設(shè)施等,實體安全就是保障這些設(shè)施不受自然因素以及人為因素損壞以及影響,保障裝備的正常運行,通常分為人員安全、運行安全以及數(shù)據(jù)安全3部份。人員安全是指使用電子政務(wù)系統(tǒng)的政府工作人員、系統(tǒng)管理員的安全技巧、安全意識以及法律意識等;電子政務(wù)系統(tǒng)中開發(fā)了大量的利用軟件,要確保操作系統(tǒng)不存在安全漏洞以及缺點,能夠抵制外來的損壞;運行安全是指電子政務(wù)系統(tǒng)在運行進程中的安全,包含系統(tǒng)不受病毒以及網(wǎng)絡(luò)黑客的襲擊等;數(shù)據(jù)安全是指電子政務(wù)系統(tǒng)中的數(shù)據(jù)以及信息不被非法走訪、更改以及損壞,包含數(shù)據(jù)加密解密、數(shù)據(jù)備份與恢復(fù)、審計跟蹤、走訪節(jié)制、網(wǎng)絡(luò)安全以及數(shù)據(jù)庫安全等。

二電子政務(wù)信息安全保障體系

從電子政務(wù)系統(tǒng)安全的總需求來看,其中的網(wǎng)絡(luò)安全、信息內(nèi)容安全等可以通過開放系統(tǒng)互連安全部系提供的安全服務(wù)、安全機制及其管理取得,但所取得的這些安全性只解決了與通訊以及互連有關(guān)的安全問題,而觸及與信息系統(tǒng)形成組件,運行環(huán)境安全有關(guān)的其他問題(如物理安全、系統(tǒng)安全等)等,還需要從技術(shù)措施以及管理措施兩個方面來斟酌解決方案。1個的電子政務(wù)信息安全部系包含基礎(chǔ)設(shè)施體系、技術(shù)保障體系以及管理體系3部份組成,如圖一所示:

二.一基礎(chǔ)設(shè)施體系

電子政務(wù)系統(tǒng)的基礎(chǔ)設(shè)施包含政務(wù)內(nèi)網(wǎng)、政務(wù)外網(wǎng)、電子政務(wù)信息專用網(wǎng)3部份。政務(wù)內(nèi)網(wǎng)用于運行內(nèi)部辦公系統(tǒng)、基礎(chǔ)數(shù)據(jù)以及業(yè)務(wù)數(shù)據(jù)存儲管理,通過路由器接入電子政務(wù)信息專網(wǎng);電子政務(wù)信息專網(wǎng),實現(xiàn)國家、省、市、縣4級政府部門的信息同享與交流;政務(wù)外網(wǎng)通過防火墻接入國際互聯(lián)網(wǎng),為社會提供電子政務(wù)信息服務(wù)。電子政務(wù)系統(tǒng)的內(nèi)網(wǎng)是整個政務(wù)信息化的基礎(chǔ),負擔了大部份的政務(wù)信息以及政務(wù)信息系統(tǒng)。電子政務(wù)內(nèi)網(wǎng)與外部網(wǎng)絡(luò)通過網(wǎng)絡(luò)物理隔離,存在的安全要挾主要來自內(nèi)部區(qū)域的不安全因素,內(nèi)網(wǎng)安全集中表現(xiàn)在利用系統(tǒng)的安全以及數(shù)據(jù)信息的安全上。安全域是由1系列互相信任,擁有相同的信息安全需求的終端或者系統(tǒng)等組成的邏輯網(wǎng)絡(luò)區(qū)域,為到達安全目的,安全域基于信息安全標準,從系統(tǒng)信息安全的角度劃分,可將電子政務(wù)網(wǎng)絡(luò)劃分為多個文秘站:安全域。即便用交流機或者者網(wǎng)絡(luò)結(jié)構(gòu)劃分為不同的子網(wǎng)或者VLAN,并對于不同的子網(wǎng)或者VLAN進行安全策略設(shè)置,避免不同安全域之間的非授權(quán)互訪。電子政務(wù)網(wǎng)絡(luò)安全域劃分后,同1安全域的終端或者系統(tǒng)互相信任,并擁有相同信息安全走訪節(jié)制策略以及邊界節(jié)制策略。

二.二技術(shù)保障體系

信息安全部系的建設(shè)是1個繁雜的系統(tǒng)工程,需要從多角度、多層次進行分析以及節(jié)制,依據(jù)電子政務(wù)網(wǎng)絡(luò)的不同層次,采用有針對于性的技術(shù)措施,主要包含物理層安全、網(wǎng)絡(luò)層安全、系統(tǒng)層安全以及利用層安全等。物理層安全是指電子政務(wù)系統(tǒng)運行的物理環(huán)境的安全。通過對于電力供應(yīng)裝備和信息系統(tǒng)組成的抗電磁干擾以及電磁泄漏機能的選擇性措施;通過物理機械強度標準的節(jié)制使信息系統(tǒng)的建筑物、機房前提及硬件裝備前提知足信息系統(tǒng)的機械防護安全。網(wǎng)絡(luò)層安全就是確保該層的交流機,路由器、防火墻等裝備的安全性。通常采用的技術(shù)措施包含:網(wǎng)絡(luò)走訪節(jié)制、遠程接入節(jié)制、內(nèi)容安全等相干節(jié)制措施。網(wǎng)絡(luò)走訪節(jié)制是在網(wǎng)絡(luò)層實現(xiàn)走訪節(jié)制措施,以限制主體對于客體資源的走訪,適量的走訪節(jié)制能夠阻撓未經(jīng)許可的用戶成心或者無心地獲取敏感信息。遠程接入建議選擇較為安全的VPN接入方式,如果采取撥號接入,則建議在撥號后結(jié)合采取VPN進行遠程連接,然后通過對于安全策略的統(tǒng)1管理以及設(shè)置,確保所提供的安全功能患上到有效地施行。內(nèi)容安全包含對于歹意代碼及垃圾郵件等通過正常協(xié)定傳輸?shù)拇跻庑畔⒌倪^濾、攔截,可采取統(tǒng)1要挾管理、入侵防護系統(tǒng)、防火墻等安全措施措施。系統(tǒng)層安全是指電子政務(wù)平臺下操作系統(tǒng)的安全。它通過對于信息系統(tǒng)與安全相干組件的操作系統(tǒng)的安全性選擇措施或者自主節(jié)制,使信息系統(tǒng)安全組件的軟件工作平臺到達相應(yīng)的安全等級。1方面阻撓任何情勢的非授權(quán)行動對于信息系統(tǒng)安全組件的入侵或者接收系統(tǒng)管理權(quán);另外一方面防止操作平臺本身的懦弱性以及漏洞引起的風險。利用層安全主要是指電子政務(wù)平臺的安全以及運行在此平臺上的各利用系統(tǒng)的安全。它主要采用身份認證、走訪節(jié)制等安全措施,保障利用系統(tǒng)本身的安全性,和與其他系統(tǒng)進行數(shù)據(jù)交互時所傳輸數(shù)據(jù)的安全性;采用審計措施在安全事件產(chǎn)生前發(fā)現(xiàn)入侵妄圖或者在安全事件產(chǎn)生落后行審計追蹤。

二.三管理體系

電子政務(wù)信息安全管理體系的癥結(jié)在于樹立1個有效的安全管理組織機構(gòu)以及管理軌制。管理機構(gòu)以單位主管信息工作的負責人為首,有行使國家安全、公共安全、機要以及保密職能的部門負責人以及信息系統(tǒng)主要負責人介入組成。主要負責是計劃并調(diào)和各方面氣力施行信息系統(tǒng)的安全方案,制訂、修改安全策略,處理安全事故等。安全管理軌制包含安全責任軌制、系統(tǒng)運行保護管理軌制、計算機處理節(jié)制管理軌制、文檔資料管理軌制、管理以及操作人員管理軌制、機房安全管理軌制、按期安檢與安監(jiān)管理軌制、網(wǎng)絡(luò)通訊安全管理軌制、病毒防治管理軌制、信息維護軌制等。

三結(jié)語

不管采取甚么樣的網(wǎng)絡(luò)結(jié)構(gòu)以及利用體系,對于于電子政務(wù)來講,安全老是第1位的。因而,信息安全是電子政務(wù)的頭等大事,加強對于電子政務(wù)信息安全部系的鉆研,對于于推進我國電子政務(wù)建設(shè)擁有重大的現(xiàn)實意義。

信息安全論文:計算機信息安全論文的范文

隨著互聯(lián)網(wǎng)技術(shù)的不斷發(fā)展,互聯(lián)網(wǎng)的普及程度越來越高。網(wǎng)絡(luò)互聯(lián)應(yīng)用的增加也造成了一定的風險,特別是很多企業(yè)的跨地區(qū)的網(wǎng)絡(luò)應(yīng)用、政府部門的縱向分級網(wǎng)絡(luò)管理等都存在了非常嚴重的網(wǎng)絡(luò)信息安全的風險,虛擬專用網(wǎng)絡(luò)就是在這樣的情景下發(fā)展起來的,虛擬專用網(wǎng)絡(luò)的定義是在一個公共網(wǎng)絡(luò)中建立一個臨時的安全連接,并建立一條安全穩(wěn)定的信息通道。

本文從虛擬專用網(wǎng)絡(luò)技術(shù)特點出發(fā)研究其在計算機網(wǎng)絡(luò)信息安全中的應(yīng)用,為企業(yè)計算機網(wǎng)絡(luò)信息安全保障提供相應(yīng)的參考意見。

1 虛擬專用網(wǎng)絡(luò)技術(shù)分類

1.1 隧道技術(shù)

這里提到的隧道技術(shù)是針對于數(shù)據(jù)包的加密過程,通過隧道協(xié)議利用附加的報頭封裝幀,在報頭中通過添加路由的信息,所以數(shù)據(jù)包經(jīng)過封裝后能夠通過中間的公共網(wǎng)絡(luò),這個經(jīng)過封裝后的數(shù)據(jù)包所經(jīng)過的公共網(wǎng)絡(luò)中的這個信息通道就被稱為隧道,隧道中數(shù)據(jù)包的通信過程是從幀公網(wǎng)目的地后就會解除封裝并被繼續(xù)傳輸?shù)酵ㄐ诺淖罱K目的地。對于數(shù)據(jù)包的處理過程,隧道包含了幾個基本的要素,分別是隧道開通器、帶有路由能力的公共網(wǎng)絡(luò)、一個或多個隧道終止器以及一個為了增加靈活性而增加的隧道交換機[1].

1.2 加密技術(shù)

虛擬專用網(wǎng)絡(luò)的加密技術(shù)也是其在信息安全中應(yīng)用的重要技術(shù)特點,由于是在公共網(wǎng)絡(luò)中開通一個信息通信的邏輯路徑,因此兩個站點之間的信息的封裝加密技術(shù)是虛擬專用網(wǎng)絡(luò)保障信息安全的重要手段,為了更好的保護企業(yè)信息、個人信息的安全,加密技術(shù)是虛擬專用網(wǎng)絡(luò)重要的環(huán)節(jié)。

1.3 秘鑰管理技術(shù)

秘鑰管理技術(shù)是虛擬專用網(wǎng)絡(luò)確保數(shù)據(jù)在公共網(wǎng)絡(luò)中傳遞的完成,主要由 ISAKMP 和 SKIP 工程組成,其中 SKIP 是通過利用 Diffie 的驗算法則進行的,而在 ISAKMP 進行秘鑰傳輸?shù)倪^程中,秘鑰具備一定的公開性。

1.4 身份認證技術(shù)

身份認證技術(shù)是當前計算機網(wǎng)絡(luò)信息安全中常見的技術(shù),主要通過核對用戶設(shè)置的信息和密碼來完成對用戶身份的認證過程,如果密碼正確,并且信息相符的話,才能通過 VPN 網(wǎng)絡(luò)連接到信息系統(tǒng)中來[2].

2 虛擬專用網(wǎng)絡(luò)技術(shù)在計算機網(wǎng)絡(luò)信息安全中的應(yīng)用策略

2.1MPLSVPN 技術(shù)在網(wǎng)絡(luò)信息安全中的應(yīng)用

MPLSVPN 主要在寬帶 IP 網(wǎng)絡(luò)上實現(xiàn),主要的特點是能夠更加安全、高校的實現(xiàn)快點去之間的數(shù)據(jù)通信。這種技術(shù)還可以結(jié)合聯(lián)合流量工程技術(shù)和差別服務(wù)等實現(xiàn)安全的性能和較好的擴展。為用戶提供更為安全高效的信息服務(wù)。實現(xiàn)MPLSVPN 技術(shù)具體步驟有三步:首先,通過 CR-LDP 的方法在路由器中間建立一個分層服務(wù)提供商,LSP 中包含了第二層VPN 第三層 VPN 等多種業(yè)務(wù),是 MPLSVPN 服務(wù)關(guān)鍵的環(huán)節(jié)。

其次是通過路由器完成 VPN 信息通信,其中 PE 路由器主要的作用是在在網(wǎng)絡(luò)服務(wù)提供商骨干網(wǎng)絡(luò)的邊緣接入,這個步驟的關(guān)鍵是為了實現(xiàn) VPN 數(shù)據(jù)的通信過程,具體的操作是在 PE 路由器上建立一個能夠連接到 CE 設(shè)備的 VPN 轉(zhuǎn)發(fā)表數(shù)據(jù),主要的目的是在這個轉(zhuǎn)發(fā)表中加入 CE 設(shè)備的關(guān)鍵標識如識別碼和標記范圍等。然后將轉(zhuǎn)發(fā)表數(shù)據(jù)反分別安裝到每一個 CE 設(shè)備上,給每一個所要轉(zhuǎn)發(fā)的數(shù)據(jù)表的子接口地址進行標記,通過利用LDP 協(xié)議在信息網(wǎng)絡(luò)中向別的 VPN 接口發(fā)送帶有 ID 標記的連接表。是完成 VPN 的傳送過程。

2.2IPSecVPN 技術(shù)在計算機網(wǎng)絡(luò)信息安全中的應(yīng)用

IPSec 協(xié)議能夠為計算機的 IP 地址提供更為安全的系統(tǒng),而虛擬專用網(wǎng)絡(luò)也是 IPSec 協(xié)議中非常常見的應(yīng)用方式,IPSecVPN 技術(shù)就是利用 IPSec 協(xié)議實現(xiàn)虛擬專用網(wǎng)絡(luò)功能的一種方案。IPSec 協(xié)議有著非常廣泛的使用范圍,它采用的是一種框架的結(jié)構(gòu),主要有三種協(xié)議組成:及時種是 ESP 協(xié)議,ESP協(xié)議的主要特點是能夠在同一時間段內(nèi)提供完整的數(shù)據(jù),并且能夠提高數(shù)據(jù)的保密性和抗干擾等優(yōu)勢;第二種是端到端協(xié)議,IPSec 協(xié)議在兩個端口或者端點之間的數(shù)據(jù)通信進行保護,保護的方式與 ESP 不同;第三種是 PC 到網(wǎng)關(guān),主要通過保護兩個 PC 之間通信從網(wǎng)關(guān)到其他 PC 或者異地 IP 之間的信心傳輸。

IPSecVPN 技術(shù)有兩種重要的傳輸模式,分別是傳輸(Transport)模式和隧道(Tunnel)模式,兩種模式最主要的差距在于:在ESP 和 AH 處理完成后隧道模式又額外的封裝了一個外網(wǎng)的 IP頭地址,在站點于站點之間進行連接的時候,這種傳輸方式比較實用,而傳輸模式則是在這個過程前后部分,保持 IP 頭地址不變,主要適用于很多端口到端口的連接場景中[3].IPSecVPN技術(shù)中封裝結(jié)構(gòu)的示意圖如下:

3 結(jié)語

通過我們對 VPN 技術(shù)的特點和在計算機網(wǎng)絡(luò)信息安全中的應(yīng)用分析,我們知道 VPN 技術(shù)能夠?qū)崿F(xiàn)安全有效的遠程訪問過程,提高了數(shù)據(jù)傳輸?shù)陌踩?特別是應(yīng)用于企業(yè)信息安全管理的過程,大大的加強了企業(yè)網(wǎng)絡(luò)信息資源以及信息活動過程的安全性。

信息安全論文:信息安全防護下計算機網(wǎng)絡(luò)的論文

1.計算機網(wǎng)絡(luò)的信息安全防護策略

1.1網(wǎng)絡(luò)安全管理防范策略

法律和管理制度是維護網(wǎng)絡(luò)安全的最強有力的保障。建立完善的法律制度,頒布與保護計算機網(wǎng)絡(luò)信息安全相關(guān)的法律法規(guī)可以為打擊各種網(wǎng)絡(luò)犯罪提供有力的武器。而有效的管理是將法律訴諸于實際的手段,通過建立完善的計算機網(wǎng)絡(luò)信息安全的管理制度,制定相關(guān)的規(guī)章要求,對計算機使用人員、系統(tǒng)軟件、設(shè)備以及信息、介質(zhì)等進行制度化的管理,將網(wǎng)絡(luò)行為規(guī)范化,將對營造網(wǎng)絡(luò)安全環(huán)境,保障網(wǎng)絡(luò)的安全運行起著至關(guān)重要的作用。在進行網(wǎng)絡(luò)安全管理時,應(yīng)該任期有限原則、最小權(quán)限原則、職責分離原則和文秘站:多人負責制原則。具體的講,需要建立的管理制度包括安全漏洞檢測升級制度;信息登記、審查、清除、保存和備份制度;操作權(quán)限管理制度;安全責任制度;通報聯(lián)系制度;計算機機房和設(shè)備安全管理制度;用戶登記制度;網(wǎng)絡(luò)地址管理制度以及應(yīng)急措施和預(yù)案、保密制度等。除了在法律與管理制度層面進行安全防范之外,還很有必要對計算機的使用人員進行宣傳教育,讓他們了解并掌握具體的修復(fù)網(wǎng)絡(luò)安全漏洞,規(guī)避安全風險的技能,并努力使新型安全技術(shù)得到應(yīng)用和普及。另外要加強對計算機使用者在職業(yè)道德修養(yǎng)方面的教育,規(guī)范他們的職業(yè)行為,鼓勵他們積極勇敢的同利用計算機網(wǎng)絡(luò)進行破壞行為的犯罪行為作斗爭。

1.2網(wǎng)絡(luò)安全技術(shù)防護策略

1.2.1安裝殺毒軟件和主機防火墻殺毒軟件最初主要是對計算機病毒進行查殺,隨著殺毒軟件技術(shù)的更新與升級,如今的殺毒軟件還可以對特洛伊木馬和其他一些惡意程序進行預(yù)防。在正式開始使用計算機前,需要對其進行殺毒軟件的安裝,通過殺毒軟件對計算機的安全漏洞進行檢測、對存在的病毒進行掃描與清除,另外還有定期的及時對殺毒軟件自身進行更新和升級,以便能夠更早的發(fā)現(xiàn)問題,將安全隱患消滅在起始位置。而防火墻相當于一個過濾系統(tǒng),像一堵墻一樣可以將網(wǎng)絡(luò)安全攻擊阻擋在安全范圍之外。它可以對進出網(wǎng)絡(luò)的信息流向進行控制,還可以為網(wǎng)絡(luò)提供一部分使用細節(jié)。在網(wǎng)路通訊過程中,防火墻會指向訪問控制尺度,可以通過的只有被防火墻同意訪問的數(shù)據(jù)或人,而那些帶有攻擊破壞性質(zhì)的數(shù)據(jù)或人就會被拒絕通過。在計算機中安裝防火墻,可以在一定程度上降低由于網(wǎng)絡(luò)黑客或其他攻擊者的惡意來訪而造成的信息泄露、更改或刪除等風險的發(fā)生概率,并且還能利用防火墻對內(nèi)網(wǎng)的不良行為進行屏蔽和過濾,可以使網(wǎng)絡(luò)環(huán)境得到凈化,保障網(wǎng)路信息的正常運行。

1.2.2隱藏IP地址如果IP地址泄露被黑客掌握的話,那么他們常常將攻擊的目標定位在IP地址上,展開對這個IP的惡意攻擊,例如Floop溢出攻擊和DoS攻擊,就是在黑客們通過對網(wǎng)絡(luò)探測技術(shù)尋求到主機的IP地址之后展開的惡性攻擊。因此將IP地址隱藏是規(guī)避安全風險,防止黑客入侵的一個重要舉措。隱藏IP地址最有效的做法是使用服務(wù)器,因為計算機用戶使用服務(wù)器的話,即使黑客利用網(wǎng)絡(luò)探測技術(shù)來探測主機的IP地址,他們探測到的也只是服務(wù)器的IP地址,對于用戶真正的IP地址是探測不到的,這樣一來就可以很有效的防止黑客的攻擊,保障用戶的上網(wǎng)安全。

1.2.3防止黑客入侵黑客的攻擊活動不僅僅只是對用戶的IP地址進行入侵,他們的攻擊活動幾乎無處不在,為防止網(wǎng)絡(luò)黑客的惡意入侵還需要做好一下幾點防范措施。及時,不要隨意對陌生郵件進行回復(fù)。有些網(wǎng)絡(luò)黑客會通過釣魚網(wǎng)站冒充別人的身份向計算機使用者發(fā)送一些看上去很正規(guī)的郵件,在郵件中會常常會要求用戶填寫用戶名、密碼等個人信息。由于有些計算機用戶自身的網(wǎng)路安全意識較為淡薄,對郵件發(fā)出者的身份深信不疑就會將個人信息輸入到郵件之中并進行回復(fù),這樣一來網(wǎng)絡(luò)黑客就可以隨意進入這些計算機使用者的郵箱開展破壞性活動,因此對于陌生的郵件不要輕信和回復(fù)。第二,黑客入侵的另一個常用手段就是利用字典攻擊技術(shù)獲取Administrator帳戶的密碼,因此計算機用戶要注意將Administrator帳戶進行重新配置,可以選擇比較復(fù)雜的密碼對Administrator帳戶進行密碼保護,并且進行重命名,之后再創(chuàng)建一個新的普通權(quán)限的Administrator帳戶用來迷惑網(wǎng)絡(luò)黑客。這樣一來,網(wǎng)路黑客同樣不能確定哪個才是真正的擁有管理員權(quán)限的Administrator帳戶,從而減少他們的侵入破壞。

2.小結(jié)

計算機網(wǎng)絡(luò)已經(jīng)成為如今人們生活、學(xué)習(xí)、工作中十分重要的組成部分,發(fā)揮著舉足輕重的作用,但是其自身存在的安全隱患會對人們甚至整個社會帶來較大的破壞,維護干凈安全的網(wǎng)絡(luò)環(huán)境是每個計算機工作者共同努力的方向。針對計算機網(wǎng)絡(luò)存在的信息安全問題進行具體的了解,制定切實有效的防范策略則是提高網(wǎng)絡(luò)信息安全性的關(guān)鍵所在。

信息安全論文:社保信息安全論文

隨著參保人數(shù)的不斷增多，人口流動的加快，__縣社會保險業(yè)務(wù)管理的信息量急劇膨脹，社會保險信息系統(tǒng)數(shù)據(jù)存儲、處理能力所面臨挑戰(zhàn)的不斷升級。社會保險信息系統(tǒng)的運行穩(wěn)定與否影響著社會保險經(jīng)辦機構(gòu)社會服務(wù)及自身管理水平。如何更好地理順各險種之間的關(guān)系，更好地服務(wù)于社會，確保信息系統(tǒng)更高效、安全地運行，充分發(fā)揮信息系統(tǒng)在社會保險方面的巨大作用，是推動__社會保障事業(yè)進一步發(fā)展的當務(wù)之急。因此，適時升級社會保險信息系統(tǒng)，提高其安全性，信息處理速度，數(shù)據(jù)存儲能力成為社會保險經(jīng)辦機構(gòu)推進信息化建設(shè)的重要課題。

目前，隨著__社會保險信息系統(tǒng)建設(shè)的不斷深入以及網(wǎng)絡(luò)技術(shù)的發(fā)展，基于因特網(wǎng)的網(wǎng)上應(yīng)用已開展。如參保單位的網(wǎng)上申報、網(wǎng)上繳費、網(wǎng)上年審以及信息查詢等。這好比一把雙刃劍，一方面提高了工作效率，受到經(jīng)辦機構(gòu)和參保單位的歡迎。另一方面也容易造成利用互聯(lián)網(wǎng)進行信息的篡改、竊取成為可能。如果一旦出現(xiàn)安全風險，將會大范圍影響正常業(yè)務(wù)工作的開展，影響人民群眾的切身利益，甚至引發(fā)社會不穩(wěn)定問題。因此，確保信息系統(tǒng)安全，不僅僅是一個簡單的技術(shù)問題，而是一個重大的政治和社會問題。我們還要清醒地看到，隨著互聯(lián)網(wǎng)技術(shù)的發(fā)展，為滿足人民群眾在互聯(lián)網(wǎng)辦理業(yè)務(wù)的需求，內(nèi)外網(wǎng)之間要進行數(shù)據(jù)交互，必然要增加接口，風險點也隨之增加。在方便人民群眾的同時，也使基金安全和信息安臨新的挑戰(zhàn)。因此，系統(tǒng)的安全性將直接影響系統(tǒng)的正常運作與其政務(wù)辦公的有效性、穩(wěn)定性以及高效性，所以系統(tǒng)的安全體系建設(shè)至關(guān)重要。

目前社會保險覆蓋面逐漸擴大，參保人數(shù)、范圍向規(guī)模化方向發(fā)展，社會保險業(yè)務(wù)量和資料數(shù)量也在與日俱增。社會保險工作的信息量正以前所未有的速度急劇膨脹，服務(wù)內(nèi)容越來越廣泛，沒有數(shù)據(jù)存儲能力的信息系統(tǒng)支撐，必然會影響許多業(yè)務(wù)的順利開展。如何更好地理順各險種之間的關(guān)系，更好地服務(wù)于社會，確保信息系統(tǒng)更高效、安全地運行，充分發(fā)揮信息系統(tǒng)在社會保險方面的巨大作用，是推動社會保障事業(yè)進一步發(fā)展的當務(wù)之急。一是統(tǒng)一管理，建立一個中心。按照“統(tǒng)一建設(shè)，應(yīng)用為先，體制創(chuàng)新”的建設(shè)原則，將分散在各鄉(xiāng)鎮(zhèn)和各經(jīng)辦機構(gòu)的設(shè)備、數(shù)據(jù)全部集中起來，數(shù)據(jù)向上集中是縣委、政府的要求，在現(xiàn)有數(shù)據(jù)大集中的基礎(chǔ)上，積極創(chuàng)造條件，逐步將城鎮(zhèn)基本養(yǎng)老保險數(shù)據(jù)向縣級集中；將原有的“部分集中、部分分散”管理的模式，向統(tǒng)一集中管理的模式邁進。二是擴大中心的數(shù)據(jù)存儲設(shè)備的存儲能力。通過增加存儲設(shè)備實現(xiàn)數(shù)據(jù)存儲的穩(wěn)定性。三是對業(yè)務(wù)專網(wǎng)上的所有業(yè)務(wù)數(shù)據(jù)實行每日數(shù)據(jù)級備份。通過備份軟件自動備份，定期檢查數(shù)據(jù)備份的日志文件是否正確無誤。

一是加快數(shù)據(jù)中心建設(shè)。數(shù)據(jù)集中后數(shù)據(jù)量將非常龐大，這就需要一個非常強大的數(shù)據(jù)庫來支撐，所以數(shù)據(jù)中心一定要配備好、最強的硬件設(shè)施才能支撐起所有數(shù)據(jù)的處理能力。二是建立專網(wǎng)，架構(gòu)三重防護。使用光纖建立與其他網(wǎng)絡(luò)物理隔離的獨立的金保工程專網(wǎng)，形成數(shù)據(jù)安全及時重防護。三是形成覆蓋全部參保人員的“五險合一”的社會保險資源數(shù)據(jù)庫管理系統(tǒng)。徹底解決社會保險各險種數(shù)據(jù)不集中、標準不統(tǒng)一，管理“粗放”、“簡單”的落后管理方式，建立存放集中、標準統(tǒng)一，管理“精細”、“嚴密”技術(shù)先進的社保數(shù)據(jù)庫系統(tǒng)，規(guī)范社保業(yè)務(wù)的數(shù)據(jù)流和信息流。

總之，社會保險關(guān)系到千家萬戶，關(guān)系到__每位參保人員的切身利益。社會保險管理信息系統(tǒng)的建設(shè)是建立和完善社會保障體系的技術(shù)支撐，一套完整的社會保障體系的建立不是一蹴而就的事情，需要循序漸進。社會保險信息系統(tǒng)的建立和不斷完善，需要從上到下全體社保人員齊心協(xié)力，共同推進。高效、安全的社保新系統(tǒng)不僅實現(xiàn)了社會保險業(yè)務(wù)的全程信息化管理，而且將提高社會保險對社會公眾的服務(wù)水平。可以預(yù)見，以公共信息服務(wù)和提高社會化管理將成為社保信息化建設(shè)的重點。社會保險經(jīng)辦機構(gòu)將逐步實現(xiàn)以無紙化辦公、網(wǎng)上異地辦公、網(wǎng)上召開不同地區(qū)的可視會議等一系列現(xiàn)代化辦公方式，將管理和服務(wù)水平邁上一個嶄新的臺階。隨著日新月異的信息技術(shù)手段的廣泛深入的應(yīng)用，社會保險信息系統(tǒng)也將隨之不斷發(fā)展完善，社會保險事業(yè)必將會有更廣闊的發(fā)展前景。

信息安全論文:網(wǎng)絡(luò)信息安全管理策略論文

摘要：

在網(wǎng)絡(luò)盛行的今天，其重要作用不言而喻。但網(wǎng)絡(luò)中也存在著很多的漏洞，這些漏洞的存在嚴重威脅著信息的安全。文章針對網(wǎng)絡(luò)信息安全以及保障信息安全的技術(shù)進行了詳細論述，并提出了合理的建議。

關(guān)鍵詞：

網(wǎng)絡(luò)信息 問題處理 管理策略 安全措施

網(wǎng)絡(luò)的使用使人們的生活更加快捷方便，也使得人們的視野更加寬廣，甚至使事業(yè)蒸蒸日上，在網(wǎng)絡(luò)給人們帶來好處的同時，也帶來了一定程度上的嚴重后果。例如：加密數(shù)據(jù)的損失以及安全系統(tǒng)的崩潰等，因此解決網(wǎng)絡(luò)安全隱患就顯得尤為重要。

1網(wǎng)絡(luò)信息安全的具體描述

在科技尚不發(fā)達的年代，人們并不關(guān)注網(wǎng)絡(luò)，更不了解何為網(wǎng)絡(luò)信息安全，但隨著電腦的普及，網(wǎng)絡(luò)深入人心，網(wǎng)絡(luò)信息安全愈發(fā)受到重視。但何為網(wǎng)絡(luò)信息安全，其實并沒有很明確的定義，因為不同的領(lǐng)域或國家有不同的規(guī)定。同時，隨著時代的發(fā)展，人們對信息安全的要求也更深一步，再加上現(xiàn)有網(wǎng)絡(luò)信息不光只是單純的信息，還混合人和技術(shù)，所以現(xiàn)代信息安全更加嚴謹、慎重。本文所說的信息安全一般是指一個獨立國家的社會信息化狀態(tài)及其信息技術(shù)不受到外來的影響與侵害。所以要確定信息是否安全就要充分了解信息所在的這個傳遞載體及網(wǎng)絡(luò)，同時也要明白信息安全本身的具體特性。信息安全的特性有：（1）完整性。即信息在存儲和傳輸過程中不存在任何的破壞遺漏等現(xiàn)象。（2）可用性。即所屬信息是合法的。（3）保密性、可控性。即授權(quán)方可以有效控制信息的去向等。（4）性。即信息真實質(zhì)量保障受到客戶認可。簡單來說，信息安全就是在保障信息安全不損壞的基礎(chǔ)上傳輸?shù)街付ǖ攸c。

2常見的網(wǎng)絡(luò)信息安全問題

網(wǎng)絡(luò)信息安全問題主要分為2類：一種針對信息本身的安全，另一種針對傳輸載體網(wǎng)絡(luò)的安全。任何一種都會造成網(wǎng)絡(luò)信息安全問題。綜合來看，主要分為人為影響和軟件或是系統(tǒng)本身存在的不足。人為影響有無意識行為，如操作出問題或者不會使用隨意與人共享密碼等；惡意攻擊行為，主要代表是電腦黑客的存在，如利用編寫的病毒程序刻意攻擊用戶電腦，或是在客戶正常使用時，對信息進行攔截等。現(xiàn)有情況下，對網(wǎng)絡(luò)信息安全傳輸?shù)挠绊懛绞街饕行畔⒌臄r截破譯、信息的偽造、信息的中斷和信息的篡改。主要信息出現(xiàn)一丁點的紕漏都不能保障其完整性，所以都會造成信息安全問題。

3現(xiàn)有維護網(wǎng)絡(luò)安全的技術(shù)

3.1“防火墻”安全保障技術(shù)

防火墻是一個針對多個網(wǎng)絡(luò)中訪問權(quán)限控制的網(wǎng)絡(luò)設(shè)備，主要為了保護本地網(wǎng)絡(luò)安全不受外來網(wǎng)絡(luò)攻擊。簡單地說，防火墻就像二極管，對己方網(wǎng)絡(luò)起到趨利避害的作用，而對外來網(wǎng)絡(luò)則詳細檢查，在確保信息安全的情況下才會允許進入，若不安全則會阻止進入。相對地，防火墻也存在特有屬性：首先是針對數(shù)據(jù)的雙向篩選，即不僅是從外部網(wǎng)絡(luò)進來的數(shù)據(jù)要審查，內(nèi)部網(wǎng)絡(luò)流出的數(shù)據(jù)也同樣要接受審查。其次，符合規(guī)定的信息數(shù)據(jù)才能通過。再有，具有防侵入作用，即在未知來源的軟件或是數(shù)據(jù)進入時會自動阻止，防止攻擊原有網(wǎng)絡(luò)信息。這樣就能在一定程度上保障網(wǎng)絡(luò)信息安全。當然，防火墻技術(shù)的使用也存在一定的問題，主要是在使用防火墻時會對網(wǎng)速等造成影響，所以在使用防火墻技術(shù)前應(yīng)考慮清楚是否要安裝。

3.2針對數(shù)據(jù)的加密技術(shù)

數(shù)據(jù)尤其是一些機密的數(shù)據(jù)非常重要，所以要重視數(shù)據(jù)的安全，而加密技術(shù)的產(chǎn)生就是為了保障數(shù)據(jù)不被竊取或者銷毀。數(shù)據(jù)加密就像是為數(shù)據(jù)在原有基礎(chǔ)上重新加上一把鎖。只有使用者才擁有打開保護數(shù)據(jù)的鎖的鑰匙，而其他非法者都沒辦法解讀其中的數(shù)據(jù)。一般數(shù)據(jù)加密有2種：即線路加密和端對端加密。2種方法的區(qū)別就在于一種是針對傳輸線路進行加密，而另一種則是在端的兩頭加密。具體分為對稱加密和非對稱加密。對稱加密就是加密解密密鑰，這種加密方式在一定程度上簡化了操作過程，但其安全性就有一定程度的下降。非對稱加密就是一對密鑰一個負責加密另一個負責解密，2個密鑰不一樣，這樣提高了數(shù)據(jù)安全性，因為要想破譯加密數(shù)據(jù)就要同時解讀2個密鑰，相對地，難度就會增加很多。其中非對稱加密的典型代表就是數(shù)字簽名，通過“簽名”對數(shù)據(jù)進行加密，在通過給定密鑰解讀簽名來達到解鎖數(shù)據(jù)。其中最主要的是密鑰，因此對于密鑰的管理就很重要。無論是從其產(chǎn)生作用到銷毀都要嚴格管理。對于對稱型密鑰來說，只要買賣雙方達成共識，互相保障交易過程的安全保密性，就能使對稱加密過程更加簡單，同時還使原有的難以區(qū)分的問題得到解決。

3.3控制訪問權(quán)限的技術(shù)

顧名思義就是對所有的要求訪問的用戶按照自己的意愿進行對應(yīng)的權(quán)限控制，對于那些帶有惡意的用戶杜絕訪問，減少了本地網(wǎng)絡(luò)信息的泄漏，更好地保護了信息的完整性。該技術(shù)是保護信息安全的重要手段，也是網(wǎng)絡(luò)中比較基礎(chǔ)的保護方式。但是，也存在一定的不足之處，如沒有阻止被授權(quán)組織的能力。現(xiàn)今主要常見的控制訪問權(quán)限的技術(shù)有：自主訪問控制、強制訪問控制及基于角色的訪問控制。所謂自主訪問控制即現(xiàn)有信息所屬者擁有想讓誰能訪問的設(shè)置權(quán)限，即可以根據(jù)自己的情況按照自己的意愿來設(shè)置。這樣就能在一定程度上過濾出一些不安全因素。再有，為保護個人信息等還可以自行設(shè)定額外的保護鎖，就像騰訊QQ中空間相冊可以有選擇的另行設(shè)定密碼是一個道理。而強制訪問控制就是不受用戶控制的，直接聽命于生產(chǎn)方的那些。通俗來說就像你買一臺電腦，電腦本身有很多系統(tǒng)是買來就帶有的，且自己無法更改或刪除的，這些系統(tǒng)就稱為強制訪問權(quán)限。基于角色的訪問控制就是根據(jù)各部分數(shù)據(jù)或信息的不同，將之指定為不同的角色，在使用時直接根據(jù)角色的不同選擇對應(yīng)的訪問權(quán)限，從而達到控制權(quán)限的效果。區(qū)別于常見類型的主要是中間角色的加入。認識到了所謂的訪問控制，不得不看看訪問控制機制又是怎樣工作的。常見的技術(shù)支持有入網(wǎng)訪問控制，就是對于登錄使用時的權(quán)限控制；權(quán)限控制，即設(shè)定所擁有數(shù)據(jù)信息哪些能被訪問，哪些不能被訪問的技術(shù)；目錄級安全控制，即在一定的級別區(qū)間內(nèi)只能對此區(qū)間的數(shù)據(jù)等起到效果，沒辦法越級控制；屬性安全控制，服務(wù)器安全控制，一般可鎖定服務(wù)臺或是鎖定登錄時間，只能在規(guī)定時間登錄。這樣就能有效保護數(shù)據(jù)安全不被破壞。

3.4虛擬網(wǎng)專業(yè)技術(shù)

就目前來看，針對網(wǎng)絡(luò)信息安全問題最有效的就是虛擬專用網(wǎng)技術(shù)的研發(fā)，所謂虛擬專用網(wǎng)技術(shù)簡單來說就是在公共網(wǎng)絡(luò)中建立一個專用的信息通道，使得所需傳遞的信息能夠安全的傳遞。

3.5針對是否有入侵現(xiàn)象的檢測系統(tǒng)

就是隨時隨地對網(wǎng)絡(luò)信息進行保護防范作用，及時檢測是否有不安全因素的闖入，保障信息的安全。其操作流程是：首先對安全行為進行分析了解，然后查看系統(tǒng)各部分是否有漏洞，再掃描到已有攻擊時應(yīng)作出提醒，并將其記錄在案，看所傳輸數(shù)據(jù)是否安全完整等。當然，還有很多維護網(wǎng)絡(luò)安全的技術(shù)如身份認證技術(shù)、安全隔離技術(shù)等，正因為這些技術(shù)的存在才能使現(xiàn)在網(wǎng)絡(luò)信息的安全。

4頻發(fā)網(wǎng)絡(luò)安全事故及其應(yīng)對策略

由于網(wǎng)絡(luò)系統(tǒng)的開發(fā)過程中總是伴有漏洞的產(chǎn)生，而漏洞不能及時安裝補丁加以修復(fù)，往往會遭受網(wǎng)絡(luò)攻擊，但是網(wǎng)絡(luò)攻擊又有很多種攻擊方法，有拒絕服務(wù)的攻擊，就是攻擊者使計算機不能正常提供服務(wù)，此類攻擊一般伴有特定現(xiàn)象如被攻擊對象中有很多TCP連接在運行，或是網(wǎng)速被拖慢導(dǎo)致無法有效與外界溝通交流等。還有利用型的攻擊，對于此類攻擊一般采用設(shè)置晦澀的口令或是下載安裝特洛伊木馬等方式來預(yù)防。再有就是收集信息類的攻擊，其主要包括信息掃描技術(shù)即專門針對網(wǎng)絡(luò)地址，連接端口的掃描并根據(jù)反響映射來找出自己所需要的信息的技術(shù)總和；對于體系結(jié)構(gòu)的試探檢測，是利用不同的信息服務(wù)。還有就是利用虛假信息來進行有效攻擊的手段，像虛假的郵件、系統(tǒng)軟件等。在網(wǎng)絡(luò)安全事件多發(fā)的時候，為保障信息安全性就一定要進行有效的防治。首先要隨時預(yù)防病毒的進入，對于重要數(shù)據(jù)信息要及時進行備份與恢復(fù)，要認識到網(wǎng)絡(luò)安全的重要性。在對木馬病毒的防治上，應(yīng)首先認識到病毒侵入的常見表現(xiàn)，有運行速度變慢，莫名的死機或是有異常的電腦顯示等。其次就是要安裝殺毒軟件。再有就是要把各個磁盤里的無用東西進行徹底的清除，則是把各系統(tǒng)硬盤中的垃圾等無用的東西清理掉，保障電腦的通暢運行，這樣才能減少病毒藏匿于各垃圾軟件中的概率，只有將這些無用軟件都清理掉才能有效防止病毒的入侵，保障網(wǎng)絡(luò)信息的安全。

5加強網(wǎng)絡(luò)安全建設(shè)

隨著科技的進步，使用網(wǎng)絡(luò)的人也越來越多，通過網(wǎng)絡(luò)進行交易的人也越來越多，此時的網(wǎng)絡(luò)不單只是娛樂休閑的代名詞，網(wǎng)絡(luò)中所傳輸?shù)男畔⒏又匾现羾乙拢轮涟傩丈疃寂c網(wǎng)絡(luò)有著千絲萬縷的關(guān)系。因此網(wǎng)絡(luò)安全就成為關(guān)注的重點。只有網(wǎng)絡(luò)安全，網(wǎng)絡(luò)中所傳輸?shù)闹匾畔⒉拍塬@得好的保障，才能使社會和諧，國泰民安。基于此，應(yīng)針對現(xiàn)在網(wǎng)絡(luò)中存在的潛在威脅及常見漏洞提出相對應(yīng)的解決方式，借此加強網(wǎng)絡(luò)安全建設(shè)。首先，應(yīng)從國家層面重視網(wǎng)絡(luò)安全，制定有效的政策制度來規(guī)范網(wǎng)絡(luò)運行及保障網(wǎng)絡(luò)環(huán)境。但網(wǎng)絡(luò)問題又是千奇百怪的，所以需要政府采用適當?shù)姆绞椒椒▉斫鉀Q問題，并提高網(wǎng)絡(luò)防御力。只有網(wǎng)絡(luò)環(huán)境安全健康了，信息安全才能得到有效的保障。其次，應(yīng)針對網(wǎng)絡(luò)的使用者，即深刻認識網(wǎng)絡(luò)安全的重要性。在購買電腦設(shè)備時就應(yīng)該保障其質(zhì)量，不要貪圖便宜吃大虧，還有就是在買入設(shè)備后一定要及時下載安裝防毒殺毒軟件，預(yù)防病毒的入侵，保障網(wǎng)絡(luò)環(huán)境的干凈。再有就是要及時清理電腦各硬盤磁盤中不使用的軟件安裝包等，保障電腦的運行，也減少病毒的藏匿。，網(wǎng)絡(luò)系統(tǒng)的開發(fā)者應(yīng)認真編寫系統(tǒng)程序，減少系統(tǒng)漏洞的產(chǎn)生，這樣就能加強網(wǎng)絡(luò)安全建設(shè)。

6結(jié)語

綜上所述，現(xiàn)在有很多針對網(wǎng)絡(luò)信息安全的科技，減少了網(wǎng)絡(luò)問題，而且更多的新科技也在研發(fā)中。也就是說，網(wǎng)絡(luò)安全問題的加強指日可待，但就目前來說，只要從各個方面提高保護意識，就能從一定程度上提高網(wǎng)絡(luò)安全性。只有保障網(wǎng)絡(luò)安全，人們才能更加放心地使用網(wǎng)絡(luò)創(chuàng)造更多的財富與文明，使這個社會更加穩(wěn)定和諧，使國家繁榮昌盛。

作者：李蟾膺 單位：民航西南空管局

信息安全論文:信息安全專業(yè)操作系統(tǒng)課程教學(xué)論文

一、引言

信息是社會發(fā)展的重要戰(zhàn)略資源。隨著信息技術(shù)的發(fā)展，國際上圍繞信息獲取、使用和控制的爭斗愈演愈烈，信息安全已成為維護國家安全和社會穩(wěn)定的重要因素之一，并且國內(nèi)外都給予了極大的關(guān)注和投入。因此，如何加強信息安全學(xué)科建設(shè)，促進信息安全專業(yè)課程改革，為國家和社會培養(yǎng)出符合社會需要的復(fù)合型、應(yīng)用型信息安全專業(yè)人才是當務(wù)之急。操作系統(tǒng)課程是計算機科學(xué)與技術(shù)、信息與通信工程的核心課程之一，信息安全專業(yè)設(shè)置后，操作系統(tǒng)課程也是信息安全專業(yè)的核心主干課程之一，其重要性是毋庸置疑的。為了適應(yīng)信息安全專業(yè)的需要，高校應(yīng)對操作系統(tǒng)課程進行改革，結(jié)合信息安全專業(yè)的培養(yǎng)目標，將信息安全專業(yè)知識滲透到操作系統(tǒng)的教學(xué)內(nèi)容中，做到課程間的有機結(jié)合，使學(xué)生能夠?qū)⑿畔踩碚撊谌氲讲僮飨到y(tǒng)設(shè)計中，為后續(xù)的課程打好專業(yè)基礎(chǔ)。本文將從理論教學(xué)和實踐教學(xué)兩個方面，討論信息安全專業(yè)操作系統(tǒng)課程的教學(xué)改革。

二、理論教學(xué)改革

操作系統(tǒng)是計算機中最重要的軟件，它能夠?qū)τ嬎銠C的硬件和軟件進行有效的統(tǒng)一管理，便于用戶使用計算機。操作系統(tǒng)課程是計算機類專業(yè)一門重要的基礎(chǔ)課程，其教學(xué)內(nèi)容主要包括進程管理、處理機調(diào)度與死鎖、存儲器管理、設(shè)備管理和文件系統(tǒng)五大部分。系統(tǒng)安全問題是信息安全的一個重要研究方向，但是在傳統(tǒng)的操作系統(tǒng)課程中并沒有涉及到信息安全的相關(guān)知識，信息安全專業(yè)學(xué)生在學(xué)習(xí)完操作系統(tǒng)課程后，無法將其所學(xué)的知識與現(xiàn)有的系統(tǒng)安全問題相結(jié)合。因此，針對信息安全專業(yè)的特點，理論教學(xué)改革應(yīng)先從教學(xué)內(nèi)容入手，將信息安全中的系統(tǒng)安全技術(shù)與操作系統(tǒng)課程的現(xiàn)有內(nèi)容整合，通過講授操作系統(tǒng)各個部分的實現(xiàn)原理，讓學(xué)生深入了解對應(yīng)系統(tǒng)安全產(chǎn)生的原因和解決方法。如在講授內(nèi)存管理時，傳統(tǒng)操作系統(tǒng)課程的教學(xué)內(nèi)容需要學(xué)生掌握操作系統(tǒng)是如何對內(nèi)存進行分配、回收和調(diào)度。在信息安全專業(yè)的操作系統(tǒng)課程中，可以將緩沖區(qū)溢出的原理加入其中，使學(xué)生真正了解緩沖區(qū)溢出攻擊的實現(xiàn)方法和預(yù)防手段。通過上述將操作系統(tǒng)教學(xué)內(nèi)容和信息安全知識有機的結(jié)合起來、相互滲透，學(xué)生對操作系統(tǒng)原理和系統(tǒng)安全知識的理解會更加透徹，同時為后續(xù)的計算機病毒與原理、網(wǎng)絡(luò)攻擊與防御、逆向工程等信息安全專業(yè)課程打下了堅實的基礎(chǔ)。

三、實踐教學(xué)改革

實踐教學(xué)內(nèi)容是信息安全專業(yè)課程的一個重要環(huán)節(jié)。為了培養(yǎng)符合社會需求的工程性應(yīng)用人才，在信息安全專業(yè)課程的教學(xué)過程中，強調(diào)理論和實際相結(jié)合的教學(xué)方法，在保障理論教學(xué)的基礎(chǔ)上，強調(diào)實踐教學(xué)，提高學(xué)生的工程實踐能力。本節(jié)將從實驗教學(xué)、課程設(shè)計和實踐活動三個方面來討論如何對操作系統(tǒng)課程的實踐教學(xué)內(nèi)容進行改革。

1.實驗教學(xué)。

為操作系統(tǒng)課程開設(shè)合適的實驗項目是非常困難的，主要問題在于很難找到合適的實驗環(huán)境，大多數(shù)的操作系統(tǒng)相對于學(xué)生來說，太大、太復(fù)雜，學(xué)生很難在短時間內(nèi)將操作系統(tǒng)的設(shè)計結(jié)構(gòu)和實現(xiàn)代碼弄清楚。盡管可以讓學(xué)生分塊的實現(xiàn)操作系統(tǒng)的各個功能，如CPU調(diào)度、內(nèi)存管理等，但是在復(fù)雜操作系統(tǒng)中，改變其中的一個功能模塊，其工作量也是非常巨大的。因此，在選擇操作系統(tǒng)作為課程環(huán)境時，需要考慮以下問題：（1）所選操作系統(tǒng)的體系結(jié)構(gòu)和實現(xiàn)方法要盡量簡單，便于學(xué)生快速掌握系統(tǒng)的實現(xiàn)框架，理解各部分的實現(xiàn)思路和方法。（2）所選的操作系統(tǒng)源代碼完整且公開。學(xué)生可以通過在學(xué)習(xí)現(xiàn)有操作系統(tǒng)源碼的基礎(chǔ)上，深入理解操作系統(tǒng)的設(shè)計原理。（3）所選操作系統(tǒng)有相應(yīng)的說明文檔，便于學(xué)生學(xué)習(xí)，培養(yǎng)學(xué)生的程序設(shè)計思維。（4）所選操作系統(tǒng)允許程序員修改，可以重新編譯、運行。允許學(xué)生對操作系統(tǒng)代碼進行修改，是對學(xué)生實踐能力培養(yǎng)的重要手段。學(xué)生根據(jù)課上所學(xué)的理論知識，可以自行修改操作系統(tǒng)功能，并且便于教師添加信息安全的相關(guān)實驗。根據(jù)以上幾點，Minix系統(tǒng)是較適合作為操作系統(tǒng)課程實驗環(huán)境的系統(tǒng)，而且Minix系統(tǒng)中已經(jīng)包含了一些安全機制，如特權(quán)管理和訪問控制。在操作系統(tǒng)課程的實驗教學(xué)環(huán)節(jié)中，首先要求學(xué)生根據(jù)所學(xué)理論知識讀懂對應(yīng)的Minix系統(tǒng)源代碼，然后要求學(xué)生分模塊的實現(xiàn)對應(yīng)功能。操作系統(tǒng)原理課程與教學(xué)內(nèi)容同步的實驗學(xué)時為20學(xué)時，除了傳統(tǒng)操作系統(tǒng)實驗內(nèi)容：進程管理（4學(xué)時）、進程通信（2學(xué)時）、內(nèi)存管理（4學(xué)時）、文件系統(tǒng)（2學(xué)時）之外，實驗內(nèi)容中還添加了信息安全相關(guān)實驗緩沖區(qū)溢出（2學(xué)時）、訪問控制（2學(xué)時）、加密文件系統(tǒng)（2學(xué)時）、資源競爭（2學(xué)時）。實驗內(nèi)容包括驗證性和設(shè)計型兩類實驗，培養(yǎng)了學(xué)生的實際動手能力。

2.課程設(shè)計。

除了與操作系統(tǒng)課程同步的實驗教學(xué)之外，還可以開設(shè)課程設(shè)計，讓學(xué)生能夠利用所學(xué)操作系統(tǒng)知識，開發(fā)、實現(xiàn)相關(guān)工具，培養(yǎng)學(xué)生的綜合設(shè)計、開發(fā)能力。操作系統(tǒng)課程的實驗教學(xué)內(nèi)容是讓學(xué)生分模塊的設(shè)計、實現(xiàn)操作系統(tǒng)功能，此類實驗對學(xué)生理解操作系統(tǒng)的整體架構(gòu)和工作原理幫助不大，學(xué)生無法將各個小的功能模塊聯(lián)系成為一個完整的管理軟件，即操作系統(tǒng)。而課程設(shè)計的目的是將操作系統(tǒng)課程和其他信息安全相關(guān)課程的教學(xué)內(nèi)容相整合，最終實現(xiàn)能夠滿足實際需求的工程項目。課程設(shè)計相對實驗教學(xué)來說內(nèi)容較豐富，需要學(xué)生組隊、合作完成對應(yīng)的課程設(shè)計項目。針對信息安全專業(yè)的特點，可以考慮添加與信息安全相關(guān)的實驗項目，如PE（PortableExecutable）文件分析、Windows病毒開發(fā)、系統(tǒng)安全工具開發(fā)等。通過上述實驗項目，讓學(xué)生在了解操作系統(tǒng)原理的基礎(chǔ)上，開發(fā)實用的信息安全軟件和工具。通過開設(shè)課程設(shè)計，既能鍛煉學(xué)生的實際動手能力，又能培養(yǎng)學(xué)生的團隊協(xié)作能力。

3.實踐活動。

除了課堂教學(xué)之外，鼓勵學(xué)生參加各項實踐活動也是非常有必要的。組織學(xué)生成立大學(xué)生創(chuàng)新團隊，指導(dǎo)學(xué)生申報大學(xué)生創(chuàng)新性實驗項目，參加校內(nèi)外舉辦的信息安全競賽都是提高學(xué)生實踐能力的途徑。本校每年都組織本專業(yè)內(nèi)、校內(nèi)、省內(nèi)及全國信息安全競賽，同時積極鼓勵學(xué)生參加校外信息安全競賽。在此類競賽中一個重要的考核部分是關(guān)于系統(tǒng)安全，即對操作系統(tǒng)漏洞地挖掘和利用，通過以學(xué)科競賽為平臺，將操作系統(tǒng)教學(xué)引向縱深方向，實現(xiàn)了理論與實踐的有機結(jié)合，優(yōu)化了學(xué)生的知識結(jié)構(gòu)，促進了學(xué)生與其他高校學(xué)生和教師的交流，以比賽來使學(xué)生得到進步。此外，學(xué)院還邀請其他高校、公司有經(jīng)驗的教師、的校友和技術(shù)人員來校講座，增加學(xué)生對外溝通和交流的機會，讓學(xué)生能夠接觸到新的、實用的業(yè)界動態(tài)，為今后工作做準備。從實踐活動效果來看，學(xué)生的實際開發(fā)能力提升很快，能夠?qū)⒗碚撝R更好地融合到實際開發(fā)中。此外，實踐活動還可以促進學(xué)生創(chuàng)新團隊建設(shè)，通過高年級帶動低年級學(xué)生，使新生能更早、更快地融入到專業(yè)學(xué)習(xí)中。本校通過幾年的嘗試，取得了初步成績，學(xué)生在各項信息安全賽事中取得了優(yōu)異的成績，培養(yǎng)出來的學(xué)生也受到了用人單位的認可。

四、結(jié)論

信息安全學(xué)科是一個交叉學(xué)科，它需要以計算機、電子、數(shù)學(xué)等學(xué)科的基礎(chǔ)知識作為支撐。如何在其他學(xué)科的課程基礎(chǔ)上，針對信息安全專業(yè)特點，獨立建設(shè)和發(fā)展信息安全專業(yè)相關(guān)課程是需要不斷探索的課題。本文從信息安全專業(yè)核心課程操作系統(tǒng)出發(fā)，針對該課程的理論教學(xué)和實踐教學(xué)兩方面進行探討，提出了對該課程改革的思路。此項改革，在實際教學(xué)過程中取得了良好的教學(xué)效果，培養(yǎng)了學(xué)生的專業(yè)興趣，學(xué)生不但獲得了扎實的理論基礎(chǔ)，而且掌握了較強的專業(yè)技能，同時也提高了學(xué)生以操作系統(tǒng)知識為基礎(chǔ)，應(yīng)用信息安全相關(guān)知識解決實際問題的能力。

作者：閆麗麗 昌燕 張仕斌 單位：成都信息工程大學(xué)信息安全工程學(xué)院

信息安全論文:中學(xué)生信息安全教育探究論文

一、中學(xué)生學(xué)習(xí)信息安全的必要性

1．中學(xué)生在信息活動中的重要角色。

在最近公布的網(wǎng)絡(luò)調(diào)查報告中，我國網(wǎng)民已達到6.49億，其中有38.8%的新增網(wǎng)民仍處在受教育的階段。根據(jù)年齡來看，處在10～19歲的網(wǎng)民在總數(shù)中已經(jīng)達到24.1%，網(wǎng)民呈現(xiàn)出低齡化的趨勢，中學(xué)生已經(jīng)越來越多地使用網(wǎng)絡(luò)，并參與到網(wǎng)絡(luò)信息的各種活動之中。由于中學(xué)生年齡較小，辨別能力和對問題的應(yīng)急處理能力也比較弱，很容易被網(wǎng)絡(luò)世界豐富的信息所吸引，在信息活動中被不法分子所利用。另外，中學(xué)生對社會的認知不夠，很容易輕信網(wǎng)絡(luò)上的有害信息并不自覺地傳播它們。這不僅對青少年自身的發(fā)展造成了嚴重的影響，同時也會對社會造成危害，增加社會不安定因素。

2．中學(xué)生信息安全意識缺失。

當前，許多中學(xué)生沒有信息安全意識。首先，學(xué)校相關(guān)教育缺失導(dǎo)致他們沒有了解信息安全知識的機會。其次，信息安全教育整體處于初級發(fā)展階段，不規(guī)范、不成熟、許多已開展的活動也都是形式主義，不能真正幫助中學(xué)生應(yīng)對網(wǎng)絡(luò)環(huán)境中會出現(xiàn)的種種問題。，學(xué)生家庭也沒有認識到信息不安全的嚴重后果，家長對學(xué)生的網(wǎng)絡(luò)行為缺乏必要的管理和約束，從而導(dǎo)致中學(xué)生在不知情的情況下信息安全受到侵害，或是對他人的信息安全造成侵犯。

二、提升中學(xué)生信息安全教育的方法

1．提升中學(xué)生的安全意識。

首先學(xué)校可以開展相關(guān)校本課程，或邀請專家來校講座，讓學(xué)生了解信息安全的相關(guān)法律、法規(guī)。其次，應(yīng)讓學(xué)生明辨在何時信息安全會受到侵犯，并學(xué)著如何規(guī)避有可能帶來的風險。教師向?qū)W生展示具體的案例，幫助學(xué)生更好地理解信息活動中隱藏的威脅和可能導(dǎo)致的嚴重后果，從而提升他們的安全意識。

2．使用多種教學(xué)方式。

首先，學(xué)生在課堂上的精力集中，要充分發(fā)揮課堂教學(xué)的優(yōu)勢。如編寫安全手冊、制作微視頻、或是在正常教學(xué)時使用相關(guān)素材等，讓學(xué)生有充分機會了解信息安全的相關(guān)內(nèi)容。其次，中學(xué)生興趣比較廣泛，可以在第二課堂中滲透信息安全教育。如組建相關(guān)學(xué)生課題研究小組，讓學(xué)生開展研究活動或社區(qū)調(diào)查，使學(xué)生在實踐中提升安全意識、增強防范能力。，還可以開展相關(guān)知識競賽、電腦作品競賽、技能大賽等，讓學(xué)生更加積極地參與到信息安全活動中來。

3．要充分借助安全機構(gòu)的力量。

我們現(xiàn)階段對學(xué)生的信息安全教育滯后于飛速發(fā)展的信息技術(shù)，并不是未雨綢繆。然而亡羊補牢，猶未晚矣。教師不僅要重視信息安全教育的基礎(chǔ)問題，也要充分借助安全機構(gòu)的力量，對于滲透、釣魚和當前各種網(wǎng)絡(luò)環(huán)境下的熱點問題要有清醒的認識并及時把相關(guān)信息傳播給學(xué)生。只有這樣，才能做到防患于未然。

4．要提高學(xué)生的信息安全素養(yǎng)。

西塞羅說，“習(xí)慣的力量是巨大的”。教師要從培養(yǎng)學(xué)生習(xí)慣入手，提高他們的信息安全素養(yǎng)。如:要在及時安裝殺毒軟件、防火墻、安全組件并定時更新、升級;不要將自己與他人的隱私隨便泄露;重要賬戶要使用復(fù)雜的密碼保護并經(jīng)常更換;不要盲信各種免費服務(wù)、中獎廣告;不要打開陌生郵件、短信或網(wǎng)絡(luò);嘗試無痕使用網(wǎng)絡(luò)服務(wù);對重要的數(shù)據(jù)文件進行定期備份等。只有這樣，才能較大限度地避免信息安全風險。

5．師范院校應(yīng)該重視信息安全教學(xué)人才的培養(yǎng)。

從時間上推斷，現(xiàn)階段的在校教師在大學(xué)時代很少有接觸到信息安全教育的相關(guān)知識，學(xué)校缺乏相關(guān)專業(yè)教師，兼任教師難以勝任相關(guān)教育教學(xué)工作，信息安全教學(xué)效果很低。而信息安全這門學(xué)科需要教師具有較強的專業(yè)素養(yǎng)和實踐操作能力，已有部分院校開始逐漸重視信息安全教育，也開設(shè)了信息安全的相關(guān)課程和專業(yè)。我們呼吁，師范院校應(yīng)該重視信息安全教育專業(yè)的建設(shè)，為培養(yǎng)相關(guān)專業(yè)型人才而努力。

三、結(jié)語

作為網(wǎng)絡(luò)時代的必然產(chǎn)物，信息安全威脅已經(jīng)越來越多地滲透在人們的生活中。許多案例都是由于個人信息泄露被不法分子利用而導(dǎo)致的。因此，積極開展信息安全教育很有必要。對于中學(xué)生來講，只有明確各種法規(guī)、從思想上重視并養(yǎng)成良好的信息習(xí)慣，才能在網(wǎng)絡(luò)活動中較大限度地保護自身和他人的信息不受侵犯。我們每個人都應(yīng)當充分認識到信息安全教育的重要性并積極參與相關(guān)活動，才能更安全地享受泛網(wǎng)絡(luò)時代下的各項網(wǎng)絡(luò)服務(wù)。

作者：陳雪林 單位：徐州市第三十七中學(xué)

信息安全論文:檔案開放信息安全管理論文

一、檔案開放

（一）檔案開放的必要性。

進入現(xiàn)代社會，互聯(lián)網(wǎng)科技十分發(fā)達，人們了解獲得信息的渠道，方式多種多樣。無論國家政府的檔案，還是企業(yè)公司的檔案，都可以通過合法或者非法的方式進入互聯(lián)網(wǎng)，為公眾所知。對于各種檔案，進行嚴密的保管是很難做到的，在當下我們這個信息開放的社會，將檔案開放，方便社會群眾進行了解，使用，對于維護社會穩(wěn)定，提升檔案的利用價值，提品質(zhì)案的真實度都有重要的意義。當然，筆者本文所言的具有開放必要性的檔案是具有公共利益性質(zhì)的檔案，是能夠為人民提供一定服務(wù)的檔案。對于國家檔案，很多在一定時期屬于國家機密，是無法對外開放的，但是這并不代表這種檔案沒有開放的必要性，開放的必要性依舊存在，國家的人民有權(quán)利了解國家的相關(guān)事務(wù)，隨著時期的過渡，這些檔案會慢慢解密為社會公眾所了解；對于企業(yè)檔案，開放的必要性是針對企業(yè)工作的工作人員。企業(yè)的領(lǐng)導(dǎo)層以及員工階層能夠方便調(diào)取個人以及企業(yè)的相關(guān)檔案對于提高企業(yè)工作效率，團結(jié)企業(yè)有著重要的意義。

（二）檔案開放的風險性。

當然，檔案的開放具有很大的危險性，存在很大的安全風險。對于國家政府相關(guān)的檔案，即使在開放之前，考慮再三，十分謹慎，度過了某一敏感的時期，但是，一些檔案公之于眾之后還是會引起一些波瀾。甚至，政府類的檔案還容易被心懷叵測的社會主義敵對分子利用，借之進行歪解胡說，蠱惑一批無知又容易沖動的民眾，對我們的社會穩(wěn)定產(chǎn)生很多不利的因素。此外，對于企業(yè)或者機關(guān)單位的很多檔案，為了方便業(yè)內(nèi)人士提取，使用，進行開放后，往往容易造成個人隱私泄密，單位機密泄密，為不法分子提供可乘之機。總之，開放檔案，既有方便，積極的一面，同時也面臨著很大的風險，存在很大的安全隱患問題。即使開放檔案存在這樣或者那樣，可預(yù)知以及不可預(yù)知的風險，筆者還是認為，我們不能因噎廢食，還是應(yīng)該將應(yīng)該開放的檔案，大膽進行開放。

（三）檔案開放的程序。

所謂的檔案開放程序，就是指檔案開放所需要進行的必要操作，所必須經(jīng)歷的方法，步驟。只有確立嚴格的檔案開放程序，并且嚴格按照程序辦事，開放符合要求的相關(guān)檔案，才能降低開放檔案帶來的風險，同時滿足檔案開放的必要性，發(fā)揮開放性檔案的積極作用。不同性質(zhì)的檔案，開放程序不同，有嚴密繁瑣的程序步驟，也有簡單章程性的程序，這主要根據(jù)檔案的重要性來決定。確立明確，嚴明的檔案開放程序，對于檔案的有序、科學(xué)使用，檔案信息的保密都有著重要的意義。

二、信息安全管理的方法策略

（一）管理工作人員的培養(yǎng)。

做好信息安全管理的工作我們首先需要一批具備安全管理信息才能的人才。互聯(lián)網(wǎng)時代的飛速發(fā)展，為我們的社會培養(yǎng)了很多具有互聯(lián)網(wǎng)知識，IT行業(yè)技術(shù)的高端人才。我們只要對這些人才進行短期的信息安全管理的培訓(xùn)工作，就能夠使這些人才勝任信息安全管理的工作。做好信息安全管理工作的首要一步是引進綜合素質(zhì)過硬的人才，并對這些人才進行必要的職前培訓(xùn)，只有這樣，企業(yè)單位的信息部門才能做到信息的科學(xué)，安全管理。既為企業(yè)單位提供開放信息帶來的便利，同時還要保障信息的安全。

（二）嚴格管理制度的確立。

確立嚴格，完善的安全管理信息的相關(guān)規(guī)章制度，并嚴格遵守，一切按照規(guī)章制度辦事，任何人在一般情況下都不能破壞規(guī)章制度，調(diào)取信息。企業(yè)和單位為了做好信息安全管理的工作，就要自上而下嚴格遵守企業(yè)制定的信息安全管理的規(guī)章制度。現(xiàn)代企業(yè)和事業(yè)單位的管理，都要以嚴格的，先進科學(xué)的管理制度進行管理，在信息管理部門同樣是如此，好的制度為信息安全管理提供有效的保障。

（三）安全的設(shè)備。

檔案的管理人員在對檔案進行收集與整理的過程中就應(yīng)該對文件做一個明確的分類，并進行的編號。同時要隊文件的資料做一個科學(xué)合理的分類與陳列，或者是可以依照不同的部門而對其進行分類。提高報關(guān)信息設(shè)備的安全性。企業(yè)和事業(yè)單位的信息部一定要完善處理，保管信息的設(shè)備，提高信息管理工作需要的硬件以及軟件設(shè)備的水平。高水平的硬件，軟件設(shè)備不僅能夠提高信息利用的效率，同時還能夠提高對信息的保護層級，防治外來黑客對信息進行竊取。

（四）監(jiān)督審查措施的常態(tài)開展。

為了保障信息的安全，要確立嚴格的監(jiān)督制度，對單位的信息進行嚴格的監(jiān)督，并且做到自下至上的，分工明確，責任明確。成立專門的信息監(jiān)督小組，通過互聯(lián)網(wǎng)以及其他相關(guān)的技術(shù)設(shè)備對信息進行監(jiān)督，管理。對單位的信息要做到定期系統(tǒng)管理，每隔一段時間，對單位所有的信息進行分門別類，系統(tǒng)的管理，淘汰無用的信息，保障信息的時效性。同時，要確立嚴格的審查，追責制度。首先，定期對信息進行審查，保障信息管理工作的安全，其次，對于信息被濫用，泄露等惡劣事件，要做到嚴格追責，嚴厲懲罰。

三、結(jié)束語

有些檔案具有開放的必要性，在當今互聯(lián)網(wǎng)時代，將部分檔案開放，有利于提品質(zhì)案的使用價值，提升人民群眾的法治觀念，維護社會以及互聯(lián)網(wǎng)環(huán)境的文明，合法。同時，將檔案信息開放面臨著很多的風險，但是我們不能因噎廢食，該開放的檔案信息還是要積極地進行開放，只是我們必須要完善我們的信息安全管理制度，并且培養(yǎng)大批從事信息安全管理工作的人才。只有做到嚴明制度，謹慎管理，我們才能夠一面發(fā)揮檔案信息開放的積極作用，同時還能保障檔案信息的安全，防止檔案信息被非法濫用。

作者：劉曉峰 單位：洮南市中小企業(yè)服務(wù)中心

信息安全論文:工程哲學(xué)信息安全論文

1以“三元論”的視角審視信息安全管理體系

1.1科學(xué)、技術(shù)和工程“三元論”

Mitcham提出工程哲學(xué)（EngineeringPhilosophy）詞匯，并闡述哲學(xué)對工程的重要性，但是他認為工程處于技術(shù)之下，是技術(shù)的一部分，而李伯聰教授則認為科學(xué)、技術(shù)和工程是彼此獨立的個體，彼此既有聯(lián)系又有區(qū)別，科學(xué)、技術(shù)和工程“三元論”是工程哲學(xué)得以成立的基礎(chǔ)。科學(xué)活動是以探索發(fā)現(xiàn)為核心的活動，技術(shù)活動是以發(fā)明革新為核心的活動，工程活動是以集成建構(gòu)為核心的活動。人們既不應(yīng)把科學(xué)與技術(shù)混為一談，也不應(yīng)把技術(shù)與工程混為一談。工程并不是單純的科學(xué)應(yīng)用或技術(shù)應(yīng)用，也不是相關(guān)技術(shù)的簡單堆砌和剪貼拼湊，而是科學(xué)要素、技術(shù)要素、經(jīng)濟要素、管理要素、社會要素、文化要素、制度要素以及環(huán)境要素等多要素的集成、選擇和優(yōu)化。“三元論”明確承認科學(xué)、技術(shù)與工程存在密切的聯(lián)系，而且突出強調(diào)它們之間的轉(zhuǎn)化關(guān)系，強調(diào)“工程化”環(huán)節(jié)對于轉(zhuǎn)化為直接生產(chǎn)力的關(guān)鍵作用、價值和意義，強調(diào)應(yīng)努力實現(xiàn)工程科學(xué)、工程技術(shù)和工程實踐的有機互動與統(tǒng)一。

1.2信息安全管理體系的工程本質(zhì)及特點

信息安全管理體系是基于業(yè)務(wù)風險方法，來建立、實施、運行、監(jiān)視、評審、保持和改進信息安全的，包括組織結(jié)構(gòu)、方針策略、規(guī)劃活動、職責、實踐、程序、過程和資源等內(nèi)容。信息安全管理體系的支撐標準為ISO/IEC27000標準族。在ISO/IEC27000標準族中，不但給出了“建立、實施、運行、監(jiān)視、評審、保持和改進信息安全的”“基于業(yè)務(wù)風險（的）方法”，而且還給出了信息安全管理體系的要求、實用規(guī)則、審核指南以及相關(guān)安全域的具體指南等。例如，僅GB/T22081-2008/ISO/IEC27002:2005信息安全管理實用規(guī)則，就包括了11個控制域，39個控制目標，133項控制措施。信息安全管理體系可在不同的學(xué)科中找到其淵源，在實施框架上，信息安全管理體系應(yīng)用了質(zhì)量管理中的Plan-Do-Check-Act的戴明環(huán)，在具體的控制措施上，則包括了密碼學(xué)、人員安全以及各類信息安全技術(shù)，其研究的特點是將科學(xué)思維、工程思維和社會思維相結(jié)合，但更強調(diào)工程思維的“設(shè)計”理論。工程研究活動不同于科學(xué)研究活動的基本特征就是“設(shè)計”。工程設(shè)計活動包括對象設(shè)計和過程設(shè)計。例如，建造水壩的壩體設(shè)計是對象設(shè)計，如何實施就是過程設(shè)計，在信息安全中，設(shè)計組織自己的信息安全管理體系是對象設(shè)計，設(shè)計如何部署是過程設(shè)計。

2信息安全管理體系的演化過程與規(guī)律

2.1信息安全管理體系的起源和發(fā)展

信息安全管理體系是建立在體系（System）化基礎(chǔ)上的“實踐集”，到國際標準的正式公布，大致經(jīng)歷了3個階段。及時階段為過度關(guān)注技術(shù)，忽略人的作用的“技術(shù)浪潮”階段，在這個階段涌現(xiàn)出了大量的信息安全技術(shù)產(chǎn)品，例如，防火墻、防病毒和入侵檢測系統(tǒng)（IDS）等。第二階段為強調(diào)人的作用的“管理浪潮”階段，在這個階段大部分企業(yè)開始設(shè)置專職的信息安全管理崗位，以加強對個人行為的控制。第三階段即“體系階段”，在體系階段信息安全以目標為導(dǎo)向，不再局限于手段的應(yīng)用，而是技術(shù)、制度和人員管理等各個方面的有機結(jié)合。這個階段是信息安全的工程化階段，體現(xiàn)了工程的實踐性、經(jīng)驗性、繼承性、創(chuàng)造性和系統(tǒng)性等特點。

2.2信息安全管理體系的動力和機制分析

信息安全管理體系的產(chǎn)生和發(fā)展過程是一個“需求驅(qū)動”的過程。AlvinToffler在其經(jīng)典著作《第三次浪潮》中，將人類發(fā)展史劃分為及時次浪潮的“農(nóng)業(yè)文明”，第二次浪潮的“工業(yè)文明”以及第三次浪潮的“信息社會”。在信息社會時代，“信息”成為重要的生產(chǎn)資料，價值非凡，因此面臨諸多風險，為保護信息，安全需求的出現(xiàn)是必然的。科學(xué)與技術(shù)的進步是信息安全管理體系的推動力。新密碼算法的產(chǎn)生，各類以“信息技術(shù)解決信息安全”的思路涌現(xiàn)，為信息安全管理體系的產(chǎn)生奠定了基礎(chǔ)。信息安全產(chǎn)生的本質(zhì)原因是信息技術(shù)的發(fā)展和應(yīng)用，反過來，解決信息安全問題又依賴于信息技術(shù)的發(fā)展。例如，速度更快，與防火墻形成聯(lián)動的入侵檢測系統(tǒng)。國家政策是信息安全管理體系應(yīng)用的導(dǎo)向力。任何工程活動都是在社會大系統(tǒng)中開展的，都要接受國家（政府）的引導(dǎo)和調(diào)控。對工程創(chuàng)新的應(yīng)用，企業(yè)的認識往往是滯后的，因此，國家出臺了一系列引導(dǎo)性政策。例如：商務(wù)部印發(fā)的商資發(fā)［2006］556號及商資函［2006］110號，以及各地方政府的鼓勵引導(dǎo)政策。

2.3信息安全管理體系的工程演化特點、方式和規(guī)律

對比國外，信息安全管理體系在國內(nèi)發(fā)展體現(xiàn)出了明顯的跳躍性，這種跳躍性不但體現(xiàn)在信息工程領(lǐng)域，也表現(xiàn)在其他諸多領(lǐng)域。國內(nèi)一般不會沿襲其循序漸進的路線，而是直接引用國外的先進經(jīng)驗或者在國外已有的原型上進行模仿開發(fā)。在科學(xué)、技術(shù)和工程3個領(lǐng)域內(nèi)，與文化、制度、歷史等環(huán)境因素聯(lián)系最緊密的就是工程。在信息安全領(lǐng)域內(nèi)，作為基礎(chǔ)科學(xué)的密碼學(xué)，其算法“放之四海而皆準”，不會因東西方文化的不同而顯現(xiàn)不同的特征，絕大部分技術(shù)亦如此。但在工程層次，不同的文化制度有時會產(chǎn)生大相徑庭的結(jié)果，例如，騰訊QQ本來是模仿國際聊天軟件ICQ，但是經(jīng)過十幾年的發(fā)展后，ICQ，MSN等點對點國外聊天軟件均瀕臨破產(chǎn)，但QQ在線用戶卻在2010年突破1億。信息安全管理體系雖然修改自國際標準，但也顯現(xiàn)出鮮明的文化特征。例如更強調(diào)保密性，和國外用戶相比，更多的認證取向等。

3信息安全管理體系的工程思維與工程方法論

3.1信息安全管理體系的工程思維

科學(xué)思維是“反映性思維”“發(fā)現(xiàn)性思維”，體現(xiàn)理論理性的認識，工程思維是“構(gòu)建性思維”“設(shè)計性思維”和“實踐性思維”，體現(xiàn)實踐理性的認識。科學(xué)家通過科學(xué)思維發(fā)現(xiàn)外部世界中已經(jīng)存在的事物和自然規(guī)律，工程師在工程活動中創(chuàng)造出自然界中從來沒有的工程構(gòu)建物，工程設(shè)計是以價值當事人的特定需要為出發(fā)點,以構(gòu)建某種與主體需要相符合的實體為歸宿的籌劃。信息安全管理體系標準族的GB/T22080-2008/ISO/IEC27001:2005原文中特別強調(diào)：“采用ISMS應(yīng)當是一個組織的一項戰(zhàn)略性決策。一個組織ISMS的設(shè)計和實施受其需求和目標、安全要求、所采用的過程以及組織的規(guī)模和結(jié)構(gòu)的影響，且上述因素及其支持系統(tǒng)會不斷發(fā)生變化。按照組織的需求實施ISMS是本標準所期望的，例如，簡單的情況可采用簡單的ISMS解決方案。”信息安全管理體系的部署過程也專門設(shè)有信息安全風險評估，目的就是找到企業(yè)實際存在的問題，然后“對癥下藥”。

3.2信息安全管理體系的工程方法論

信息安全管理體系應(yīng)用了PDCA戴明環(huán)，與A.D.Hall的系統(tǒng)工程方法略有差別，但在本質(zhì)上是遵循這個基本框架的。

4結(jié)語

信息安全管理體系既包括數(shù)論、密碼學(xué)和近世代數(shù)等科學(xué)元素，也包括軟件開發(fā)技術(shù)、單片機技術(shù)和網(wǎng)絡(luò)技術(shù)等技術(shù)元素，在工程哲學(xué)的視野下，是建立在一系列科學(xué)與技術(shù)基礎(chǔ)上的集成創(chuàng)新。在工程創(chuàng)新成為創(chuàng)新活動主戰(zhàn)場的今天，對其進行哲學(xué)分析，顯得尤為重要。這其中包括以下幾點。首先，要辯證地對待便利性與安全性的問題。正確利用信息系統(tǒng)，不僅是技術(shù)問題，也是哲學(xué)命題。堅持用“兩點論”的觀點看待便利性和安全性，在信息化發(fā)展的不同階段，正確分析主要矛盾和次要矛盾。在信息化發(fā)展初期，信息系統(tǒng)尚未大規(guī)模使用，主要矛盾是便利性，提高效率，但到現(xiàn)在，信息安全事件層出不窮，美國甚至成立了網(wǎng)絡(luò)戰(zhàn)爭司令部，信息戰(zhàn)成為攻擊手段之一，安全性就成了主要矛盾，“兩點論”是有重點的兩點論，要在看到主次矛盾和矛盾的主次方面的同時，分清主次，抓住主要矛盾和矛盾的主要方面。其次，從信息安全管理體系演化規(guī)律中發(fā)現(xiàn)集成創(chuàng)新的一般規(guī)律。科學(xué)、技術(shù)轉(zhuǎn)化為現(xiàn)實生產(chǎn)力的功能一般都要通過工程這一環(huán)節(jié)，因此，在我國建設(shè)創(chuàng)新型國家戰(zhàn)略的實施過程中，工程創(chuàng)新是一個關(guān)鍵性的環(huán)節(jié)。只有從大量的工程中發(fā)現(xiàn)工程創(chuàng)新的一般規(guī)律，從工程哲學(xué)的角度加以分析、歸納和引導(dǎo)，才能創(chuàng)新信息安全管理體系建設(shè)，發(fā)揮我國信息化發(fā)展的后發(fā)優(yōu)勢。

作者：劉鵬照 官海濱 謝宗曉 單位：青島職業(yè)技術(shù)學(xué)院南開大學(xué)商學(xué)院

信息安全論文:大數(shù)據(jù)時代信息安全論文

一、“大數(shù)據(jù)”時代概述

1.定義

大數(shù)據(jù)作為新的經(jīng)濟資產(chǎn)類別，與土地、石油、黃金、貨幣等并列成為經(jīng)濟運行的根本資源，關(guān)于其概念定義不是最近出現(xiàn)的，只是在信息化時代的驅(qū)動下，重新進入人們的視野，甚至被稱為第三次浪潮的華彩樂章。而關(guān)于“大數(shù)據(jù)”的定義，顧名思義就是指數(shù)量很大的數(shù)據(jù)，包含了數(shù)量大、結(jié)構(gòu)復(fù)雜、類型眾多的多種數(shù)據(jù)，因此又被成為海量資料，是一個大型的數(shù)據(jù)集合。美國早在2012年就正式啟動了大數(shù)據(jù)研究與開發(fā)計劃，投資2億美元提升收集、分析、萃取數(shù)據(jù)信息的能力。由此可見，大數(shù)據(jù)時代的到來，使得數(shù)據(jù)成為各個國家以及各大企業(yè)競爭的核心，更可能取代人才成為具價值的重要載體，利于進一步優(yōu)化運營企業(yè)發(fā)展。

2.特點

根據(jù)大數(shù)據(jù)的定義可以明顯看出其具有數(shù)據(jù)量大、形式多樣、運算高效、產(chǎn)生價值等4個特點，業(yè)界更多使用4V來概括，即Volume、Variety、Velocity、Value。其中數(shù)據(jù)量大是大數(shù)據(jù)的顯著特點，也是計算機網(wǎng)絡(luò)存儲技術(shù)發(fā)展必然結(jié)果，在計算機相當普及的今天，計算機網(wǎng)絡(luò)滲透人們的生活、工作、休閑，不但的產(chǎn)生新的數(shù)據(jù)，此外傳感器、探測器等也在產(chǎn)生數(shù)據(jù)，致使開始使用PB、EB甚至ZB等計數(shù)單位。同時，大數(shù)據(jù)又是多種多樣不同類型的數(shù)據(jù)構(gòu)成，如：字符、日期、聲音、視頻、數(shù)值、動畫等，加速數(shù)據(jù)量增長的同時，提升了大數(shù)據(jù)的利用價值。由于大數(shù)據(jù)數(shù)量的巨大以及形式的多種多樣，因此在進行數(shù)據(jù)處理時，更多的要求實時與高效，便于及時根據(jù)數(shù)據(jù)結(jié)果決策。當然，大數(shù)據(jù)的大量使用及推廣，不僅僅是因為其具有大量的數(shù)據(jù)，更重要的是通過對數(shù)據(jù)的深度采集、分析、處理、挖掘，可以對大數(shù)據(jù)的數(shù)量、多樣性、速度進行分析，萃取更多深入的職能的有價值的真正有用信息，最終產(chǎn)生價值。而對大數(shù)據(jù)進行信息萃取的過程包括數(shù)據(jù)輸入、數(shù)據(jù)處理與數(shù)據(jù)輸出三階段。

二、“大數(shù)據(jù)”時代背景下信息安全存在的主要問題

大數(shù)據(jù)時代的到來，對全球經(jīng)濟發(fā)展來說既是機遇又是挑戰(zhàn)，在推進國家與企業(yè)發(fā)展的基礎(chǔ)上，也潛藏著信息安全風險。

1.缺乏對大數(shù)據(jù)時代的正確認識

計算機信息網(wǎng)絡(luò)的大規(guī)模普及推廣，是促使大數(shù)據(jù)時代到來的主要推力，無論是人們在生活工作中的郵件傳遞，還是網(wǎng)購、下載視頻音樂等都會產(chǎn)生新的數(shù)據(jù)，也存在著個人信息泄露的可能性。進入大數(shù)據(jù)時代后，信息泄露事件層出不窮，甚至導(dǎo)致個人數(shù)據(jù)的權(quán)利邊界都更加模糊，在這樣的環(huán)境下，人們對大數(shù)據(jù)時代的認識還不夠。通過對大數(shù)據(jù)時代人們最關(guān)注的調(diào)查分析，發(fā)現(xiàn)74.91%選擇了個人隱私被侵犯，9.97%選擇了經(jīng)濟損失，8.93%選擇了浪費時間與精力，5.84%選擇了危害個人聲譽，0.34%選擇了沒有損失。根據(jù)這一調(diào)查可見，人們對于個人隱私被侵犯的選擇率較高，最為關(guān)注，相對其他的還認識不足。大數(shù)據(jù)時代的到來，對各方面的信息安全都造成了一定的威脅。

2.集中的大數(shù)據(jù)庫存在安全威脅

全球互聯(lián)網(wǎng)用戶高達3億，移動上網(wǎng)終端有20億，聯(lián)網(wǎng)設(shè)備更是多達500億個，每天產(chǎn)生的數(shù)據(jù)信息近1EB。如：每天使用谷歌搜索次數(shù)近100億次，淘寶網(wǎng)產(chǎn)生3000萬筆交易，2500萬張照片共享，加上電話、短信等消息軟件產(chǎn)生的數(shù)據(jù)，更是不可估計。根據(jù)相關(guān)數(shù)據(jù)統(tǒng)計，2012年我國在各類媒體上花費的時間較多，其中互聯(lián)網(wǎng)、手機等占絕大部分。大數(shù)據(jù)時代信息多集中在幾大互聯(lián)網(wǎng)巨頭手中，而互聯(lián)網(wǎng)的開放性特點又決定了其數(shù)據(jù)存在一定的泄露風險。目前大數(shù)據(jù)集群應(yīng)用數(shù)據(jù)庫并沒有采用“圍墻花園”模式，并沒有對內(nèi)部數(shù)據(jù)庫進行隱藏，避免其他程序隨意訪問，因此大數(shù)據(jù)的架構(gòu)極其容易暴露。這樣集中的大數(shù)據(jù)庫，使得客戶端在進行程序操作間，可以同不同節(jié)點進行通信，避免驗證客戶是否具有訪問權(quán)，加大了信息泄露的可能。

3.大數(shù)據(jù)技術(shù)自身存在風險

當前，大數(shù)據(jù)技術(shù)還不太成熟，自身平臺較為脆弱，大數(shù)據(jù)存儲處理技術(shù)多采用分布式與大規(guī)模結(jié)合處理，增大了被攻擊的范圍。同時，在進行數(shù)據(jù)分布式處理時，節(jié)點處的存儲數(shù)據(jù)多為碎片，難以進行集中統(tǒng)一的安全機制部署。當然在大數(shù)據(jù)技術(shù)中，普遍缺乏一定的內(nèi)生性安全保障機制設(shè)計，多通過外部保障技術(shù)來確保信息的安全性，這樣的大數(shù)據(jù)技術(shù)在實際應(yīng)用過程中多缺省配置，失去了對信息的基本安全防護。

4.加大了黑客攻擊的可能性

大數(shù)據(jù)自身的4V特點，增大了黑客攻擊的吸引力，刺激黑客實施非法攻擊。黑客多是有組織有目的的對確定的數(shù)據(jù)進行攻擊，在大數(shù)據(jù)海量數(shù)據(jù)信息存儲的環(huán)境下，黑客更容易通過攻擊，獲取更多有價值的信息內(nèi)容，給受攻擊方帶來名譽、財產(chǎn)等不可預(yù)估的損失。如：Android系統(tǒng)使用用戶越來越多，產(chǎn)生的數(shù)據(jù)信息也是海量的，成為黑客攻擊的重要對象，當移動設(shè)備感染木馬被黑客攻擊后，當用戶使用APP提供的服務(wù)后，就會泄露相關(guān)的數(shù)據(jù)信息和訪問權(quán)限。甚至有的黑客行為主要是針對國家的，給國家社會帶來不可估量的后果，因此必須采取措施積極預(yù)防黑客的攻擊。

三、提升信息安全的途徑分析

1.提高公眾的安全意識

大數(shù)據(jù)是一種新興的寶貴資源，在法律法規(guī)的約束下要充分尊重數(shù)據(jù)所有者權(quán)利，這才能充分顯示出大數(shù)據(jù)時代的真正魅力所在。而公眾無論在什么情況下，只要將信息到網(wǎng)絡(luò)上，就會成為大數(shù)據(jù)的一部分，也就存在信息泄露，被盜用的可能。為了更好的防止大數(shù)據(jù)信息泄露，確保信息安全，就必須提高公眾的安全意識。在進行個人信息公布時格外小心，注意保護與個人信息相關(guān)的大數(shù)據(jù)，避免成為黑客攻擊的對象，導(dǎo)致信息泄露造成不要的損失，盡量做到防患于未然。

2.建立異構(gòu)數(shù)據(jù)中心安全體系

傳統(tǒng)的數(shù)據(jù)存儲通常都會建立完善的防護措施，但大數(shù)據(jù)的架構(gòu)較為復(fù)雜，多采用虛擬化海量存儲技術(shù)來進行數(shù)據(jù)信息資源的存儲，用服務(wù)的形式提供數(shù)據(jù)信息操作存儲，更需要進一步完善數(shù)據(jù)的隔離與調(diào)用。同時，大數(shù)據(jù)利用云計算存儲數(shù)據(jù)，為了方便所有者對數(shù)據(jù)進行存儲、分析、挖掘、控制，可以構(gòu)建一個異構(gòu)數(shù)據(jù)中心安全體系，從管理上來增強對大數(shù)據(jù)信息安全的防護。尤其是，集中的大數(shù)據(jù)庫，更需要格外主要防護，降低出現(xiàn)“棱鏡門”事件。

3.加強大數(shù)據(jù)安全技術(shù)的研發(fā)

經(jīng)過無數(shù)實踐證明，傳統(tǒng)的信息安全技術(shù)無法適應(yīng)大數(shù)據(jù)時代，尤其是大數(shù)據(jù)時的到來，加速了云計算、物聯(lián)網(wǎng)以及移動互聯(lián)網(wǎng)等多種新技術(shù)的發(fā)展，反而加大了大數(shù)據(jù)收集、存儲、分析、處理的難度。為了進一步從技術(shù)上加強對大數(shù)據(jù)信息安全的防護，應(yīng)當加大大數(shù)據(jù)技術(shù)研發(fā)資金投入，提高相關(guān)技術(shù)產(chǎn)品，包括信息訪問控制、數(shù)據(jù)加密、數(shù)據(jù)備份等技術(shù)手段的發(fā)展，促進大數(shù)據(jù)安全技術(shù)的研發(fā)，才能真正有效的推動國家社會的高速發(fā)展。

4.完善大數(shù)據(jù)信息安全體系建立

大數(shù)據(jù)作為新興的數(shù)據(jù)類別，需要相關(guān)政策措施進行維護，在“十二五”計劃上，工業(yè)信息化部將信息處理技術(shù)作為新工程提上日程，包含了大數(shù)據(jù)中的數(shù)據(jù)存儲、分析，以及圖像視頻分析挖掘等方面。因此，為了防止黑客的攻擊，造成信息泄露，必須進一步完善大數(shù)據(jù)信息安全體系的建立，以實現(xiàn)對大數(shù)據(jù)信息安全防護的目的。同時，要進一步加快大數(shù)據(jù)安全防護技術(shù)的研發(fā)，可以通過在網(wǎng)絡(luò)設(shè)備或是節(jié)點上設(shè)置訪問權(quán)限，或是使用SSL技術(shù)對登錄傳輸數(shù)據(jù)實現(xiàn)加密保護。當然，針對重要的大數(shù)據(jù)信息，還應(yīng)當實現(xiàn)端對端的數(shù)據(jù)保護，及時備份相關(guān)數(shù)據(jù)，避免因為系統(tǒng)出現(xiàn)故障造成數(shù)據(jù)損害、泄露等情況。

四、結(jié)語

綜上所述，在大數(shù)據(jù)到來的背景下，不僅帶來新的發(fā)展機遇，也帶來更多的信息安全風險。為了更好的利用大數(shù)據(jù)時代的優(yōu)勢，就必須采取相應(yīng)的對策提升對信息的安全防護，以便尋找到新的突破口，確保大數(shù)據(jù)時代的更好發(fā)展。

作者：黃雋 單位：黔南民族師范學(xué)院計算機科學(xué)系

信息安全論文:變電站以太網(wǎng)信息安全論文

一、以太網(wǎng)在變電站通信系統(tǒng)中的應(yīng)用

以太網(wǎng)具有很多特有的優(yōu)勢,使之能夠在包括變電站通信系統(tǒng)中成為主流應(yīng)用。具體優(yōu)勢如下：(1)以太網(wǎng)的數(shù)據(jù)傳輸速率高,越高的速率就能在通信工作量相同的前提下減少時間，大大減輕通信網(wǎng)絡(luò)的負荷。(2)以太網(wǎng)具有強大的開放性,能夠很大程度提高設(shè)備互相之間的操作性,簡化用戶的工作，同時可以避免使用者被制造商的自身通信協(xié)議所限制。(3)以太網(wǎng)技術(shù)資源共享能力很強大，能輕易實現(xiàn)與其他控制網(wǎng)絡(luò)無縫銜接。(4)可以實現(xiàn)各種遠程訪問技術(shù)、遠程監(jiān)控技術(shù)以及遠程維護等技術(shù)難題。(5)以太網(wǎng)具有極強的擴展性,能對各種網(wǎng)絡(luò)拓撲結(jié)構(gòu)有很好的支持,同時能夠支持眾多主流的的物理傳輸介質(zhì)。(6)以太網(wǎng)價格便宜，應(yīng)用廣泛，可以推進系統(tǒng)發(fā)展。以太網(wǎng)雖有很多優(yōu)勢，但在實時性和安全性上仍存在一定的不足，在數(shù)字化技術(shù)下，變電站自動化系統(tǒng)包括變電站與控制中心,變電站內(nèi)李燕國網(wǎng)河南省電力公司檢修公司454100部各層之間時刻都有信息在傳遞,還有各種報文根據(jù)不同情況進行交流，對于信息的實時性和安全性要求極高。在滿足實時性要求的情況下，提高以太網(wǎng)的安全性，發(fā)展一種更為安全的加密方案是一個亟待解決的問題。

二、以太網(wǎng)中的DES和RSA加密算法的優(yōu)缺點

在以太網(wǎng)中使用加密技術(shù)，可以極大的提高其安全性，同時減少了對CPU資源的占用，提高了系統(tǒng)的處理效率。加密技術(shù)是對明文采用特定的計算方式,使之變成一段沒有實際意義的，不可讀的“密文”,要想獲得原始的內(nèi)容則必須有與加密算法對應(yīng)的密鑰,通過這樣的手段來實現(xiàn)對原始對象的保護。加密技術(shù)一般有以下兩類:1）對稱加密算法，經(jīng)典是DES；2）非對稱加密算法，經(jīng)典是RSA。DES又叫數(shù)據(jù)加密算法(DataEncryptionAlgorithm,DEA)。密鑰在發(fā)送密文前，雙方互相交換，接收方在收到了發(fā)送方的密文之后采用相同的密鑰和算法可以進行逆向處理，進而得到明文,否則數(shù)據(jù)不具有實際意義。隨著計算機計算能力的不斷提高,DES的攻擊常被一種稱為暴力破解（也叫徹底密鑰搜索）方式破解攻擊,實際上是不斷地嘗試所有可能的密明直到找出合適的為止，所以DES目前的安全性不斷下降。而RSA算法被國際標準化組織推薦成為公鑰數(shù)據(jù)加密標準，基本上能夠抵御己知的所有惡意攻擊。RSA算法與DES算法的原理不盡相同,核心是加密/解密密鑰在使用時是不同的，但可以相互匹配。相比DES算法而言,RSA算法極大的強化了信息的安全性。出于安全性考慮,RSA算法的密鑰一般要求500-1024比特。RSA算法的較大弊端因此產(chǎn)生,其計算量無論基于何種手段實現(xiàn)，都是極其龐大的。和DES算法相比,DES算法計算量幾乎將高出RSA算法好幾個數(shù)量級，RSA算法勢必會減慢變電站信息的傳遞效率，影響實時性。

三、基于DES和RSA混合加密方案的變電站通信安全

通過對各自加密算法的分析,我們可以看出無論DES算法還是RSA算法都存在著一定的缺點，這些缺點在某些特殊情況下是致命的。DES算法一般加密以64比特為單位的數(shù)據(jù)塊,因為其算法簡單相對來說多應(yīng)用在大量數(shù)據(jù)下,在計算量上具有很大的優(yōu)勢，缺點是相對容易破解，密鑰管理也成為了問題，容易被第三方非法獲得。RSA出現(xiàn)稍晚于DES,這種算法不對稱。兩密鑰同時關(guān)聯(lián)產(chǎn)生,并不能通過算法推算,其安全性要遠比DES好。但RSA缺點是計算量龐大,而且在對明文進行加密時,明文長度也會有一定的限制,所以RSA算法一般只應(yīng)用于重要敏感的場合的一些小量數(shù)據(jù)加密。一種混合DES和RSA算法的混合加密方案被提出，優(yōu)勢十分明顯。一是密鑰匙管理上的優(yōu)勢，密鑰的管理模式對于加密技術(shù)的性能有極大的影響，本方案中中DES算法的密鑰Ks屬于一次性密鑰，在使用之后即被舍棄,而被傳輸?shù)臅捗荑€由于經(jīng)過了RSA算法加密不需要在通信前將密鑰發(fā)送給接受方,只要斷路器保管好自己的私鑰就可以了；二是安全性能上的優(yōu)勢，該方法的安全等級和單純使用RSA時等價。RSA算法對DES算法的密鑰進行再次加密,極大程度的確保了DES算法的安全性。三是時間上的優(yōu)勢，之前提到了該方案的安全性其實與單獨運用RSA算法一樣的,但是這個方案比單純RSA算法的較大優(yōu)勢就在于時間上的優(yōu)勢。RSA算法本身會產(chǎn)生大量冗余,計算量較大,對于變電站通信過程中實時性要求是致命的。本方案對明文使用了DES算法,這樣加密和解密不僅使所占用的時間較少,而且明文的長度不會受限，然后只對DES的會話密鑰使用RSA加密,數(shù)據(jù)并不大,從而節(jié)省了大量時間，提高運算效率。

四、結(jié)論

變電站與其外部或變電站本身的通信基本上都基于以太網(wǎng)，以太網(wǎng)進行的單一加密技術(shù)存在弊端，然而一種新的基于以太網(wǎng)的混合DES和RSA加密方案，可以很好滿足實時性的要求，提高以太網(wǎng)的安全性，從而可以提高變電站自動化系統(tǒng)及其信息的安全性，具有一定的應(yīng)用價值。

作者：李燕 單位：國網(wǎng)河南省電力公司檢修公司

信息安全論文:國際法規(guī)制網(wǎng)絡(luò)信息安全論文

一、維護網(wǎng)絡(luò)信息安全的必要性

相較傳統(tǒng)的國際關(guān)系，網(wǎng)絡(luò)空間引發(fā)的利益沖突關(guān)系更為復(fù)雜。一方面，由于網(wǎng)絡(luò)技術(shù)和應(yīng)用的不斷創(chuàng)新，網(wǎng)絡(luò)信息將整個世界緊密聯(lián)系在一起，網(wǎng)絡(luò)信息安全可能涉及所有的網(wǎng)絡(luò)使用者，一旦發(fā)生侵權(quán)行為就突破了傳統(tǒng)國際法的管轄權(quán)，影響范圍涉及多國家。另一方面，由于國際法體系并不存在普遍公認的國際法規(guī)則，并且各國網(wǎng)絡(luò)信息技術(shù)發(fā)展的不對稱性使得各國網(wǎng)絡(luò)立法存在界定是否構(gòu)成網(wǎng)絡(luò)信息侵權(quán)的標準不一。難免出現(xiàn)網(wǎng)絡(luò)信息技術(shù)發(fā)展強國依靠自身的先進技術(shù)肆意侵害他國網(wǎng)絡(luò)信息安全，干涉他國內(nèi)政，對他國的政治、經(jīng)濟、社會秩序甚至是國家安全產(chǎn)生重大影響。伴隨著全球化進程的不斷加強，網(wǎng)絡(luò)信息安全的管理面臨新的挑戰(zhàn)。首先，當前網(wǎng)絡(luò)并非由政府機構(gòu)掌控。現(xiàn)今由于市場激烈的競爭環(huán)境使得網(wǎng)絡(luò)信息安全管理自身就面臨著很大的威脅。其次，網(wǎng)絡(luò)信息系統(tǒng)的不斷發(fā)展，使得原有對網(wǎng)絡(luò)信息的傳統(tǒng)管轄模式無法應(yīng)對當前的新趨勢。，互聯(lián)網(wǎng)全球化的加強，現(xiàn)今網(wǎng)絡(luò)服務(wù)都是跨國性的，網(wǎng)絡(luò)信息內(nèi)容安全風險的解決要考慮到各國不同的國情。因此，網(wǎng)絡(luò)信息內(nèi)容安全管理的對策必須要符合國際慣例。

二、解決網(wǎng)絡(luò)信息安全的國際法途徑

(一)通過雙邊會議、多邊會議建立區(qū)域網(wǎng)絡(luò)信息安全維護組織

由于國際社會不存在一個超國家政府，所以使得國家單邊主義威脅網(wǎng)絡(luò)信息的安全性。不同類型的國家，無論其大小與網(wǎng)絡(luò)信息技術(shù)的優(yōu)劣，都理應(yīng)處于平等位置，平等的享有被保護網(wǎng)絡(luò)信息安全的權(quán)利。當前已經(jīng)有國家和地區(qū)通過交流達成共識，希望通過制定協(xié)議共同促進信息安全的保護，可以在此基礎(chǔ)上根據(jù)政治或地理位置的相近形成區(qū)域網(wǎng)絡(luò)信息安全維護組織。區(qū)域網(wǎng)絡(luò)信息安全維護組織作為國際組織，其有助于解決集體的困境和相互依賴的選擇問題，并且其具有組織制定統(tǒng)一區(qū)域網(wǎng)絡(luò)信息安全維護組織章程的權(quán)利。該網(wǎng)絡(luò)信息安全維護組織內(nèi)的成員可以實現(xiàn)獲取信息、網(wǎng)絡(luò)信息技術(shù)共享、聯(lián)合打擊非法利用、濫用信息技術(shù)及加強網(wǎng)絡(luò)關(guān)鍵信息技術(shù)設(shè)施的建設(shè)等權(quán)利，但同時網(wǎng)絡(luò)信息安全維護組織內(nèi)的各成員也必須履行相應(yīng)的義務(wù)。例如，使用網(wǎng)絡(luò)獲取信息必須避免將其用于破壞國家穩(wěn)定和安全的目的，避免給各成員國國內(nèi)基礎(chǔ)設(shè)施的完整性帶來不利影響，危害各國的安全。除此之外，各成員國有合作打擊利用信息通信技術(shù)從事犯罪和恐怖活動或者破壞成員國政治、經(jīng)濟和社會穩(wěn)定行為的義務(wù)。各個成員之間必須加強互聯(lián)網(wǎng)技術(shù)的共享，相互之間轉(zhuǎn)讓網(wǎng)絡(luò)信息技術(shù)，相互彌合數(shù)字鴻溝，提升區(qū)域網(wǎng)絡(luò)信息安全維護組織應(yīng)對威脅的能力。針對區(qū)域組織內(nèi)成員的網(wǎng)絡(luò)信息安全實行統(tǒng)一的監(jiān)管，制定統(tǒng)一的涉密信息交換的標準和程序。組織內(nèi)成員共享使用信息，必須嚴格遵守程序，其目的在于使各成員提高保障信息安全的能力，一方面可以相互放心安全地使用網(wǎng)絡(luò)，另一方面在本國以外多了一層區(qū)域網(wǎng)絡(luò)信息安全維護組織內(nèi)其余成員國的保護。使得本國公民的信息得到更多的保護，并且保障國家的信息安全，使得網(wǎng)絡(luò)安全性提高。區(qū)域性網(wǎng)絡(luò)信息安全維護組織的成立需建立在各成員國相互信任，平等互惠的原則上。一旦組織內(nèi)部成員實施了違反組織章程侵害成員國網(wǎng)絡(luò)信息安全的行為將受到區(qū)域組織成員國一致的制裁，例如限制該國在成員國公司的經(jīng)營業(yè)務(wù)等。

(二)建立全球范圍內(nèi)廣泛適用維護網(wǎng)絡(luò)信息安全的國際公約

在2015年1月9日，中國、哈薩克斯坦、吉爾吉斯斯坦、俄羅斯、塔吉克斯坦、烏茲別克斯坦常駐聯(lián)合國代表呼吁各國在聯(lián)合國框架內(nèi)就網(wǎng)絡(luò)信息的保護展開進一步討論，盡早就規(guī)范各國在信息和網(wǎng)絡(luò)空間行為的國際準則和規(guī)則達成共識，建立一個具有廣泛適用性的國際公約。國際公約的目的是在各方利益主體博弈的過程中，通過保障網(wǎng)絡(luò)信息安全使網(wǎng)絡(luò)信息時代下的各行為主體可以公平占有使用網(wǎng)絡(luò)資源共享網(wǎng)絡(luò)發(fā)展帶來的利益并且保障各國的主權(quán)安全，維護各主體的合法權(quán)益。首先， 國際公約需遵循《聯(lián)合國憲章》，根據(jù)《聯(lián)合國憲章》國際公約應(yīng)明確指出國家應(yīng)尊重主權(quán)原則，要求國家行為應(yīng)尊重其他國家的主權(quán)，不得以非法手段侵害其他國家主權(quán)，這里不僅包含了傳統(tǒng)國際法所稱的主權(quán)平等、主權(quán)安全和不干涉內(nèi)政，也包含了非傳統(tǒng)安全的網(wǎng)絡(luò)信息安全，國家應(yīng)當尊重主權(quán)國家之間彼此的核心利益，并且尊重與網(wǎng)絡(luò)信息安全有關(guān)的國家政策問題的安全。例如“國家不應(yīng)以竊取、監(jiān)聽等不文明手段獲得他國信息”。其次，公民的網(wǎng)絡(luò)信息也屬于公民的隱私，并且隨著網(wǎng)絡(luò)技術(shù)的不斷發(fā)展，網(wǎng)絡(luò)信息的安全涉及到公民的財產(chǎn)，所以公民的網(wǎng)絡(luò)信息也是公民的財產(chǎn)權(quán)利，保障公民網(wǎng)絡(luò)信息安全同樣是對公民財產(chǎn)權(quán)利的保護。國際公約應(yīng)尊重公民的基本權(quán)利，所以國家應(yīng)在“充分尊重信息空間的權(quán)利和自由，包括在遵守各國法律法規(guī)的前提下尋找、獲得、傳播信息權(quán)利和自由”;對他國公民通訊的監(jiān)控和信息的獲取，應(yīng)取得合法手續(xù)，并且必須出于合法目的。網(wǎng)絡(luò)信息技術(shù)的不斷發(fā)展是科技不斷創(chuàng)新的產(chǎn)物，未來全球化進程不斷加劇，網(wǎng)絡(luò)信息技術(shù)將會涉及方方面面，只有保障網(wǎng)絡(luò)信息技術(shù)的安全性才能使得各國不斷運用創(chuàng)新。否則無法保障網(wǎng)絡(luò)信息技術(shù)的安全，國家就會喪失建設(shè)全球網(wǎng)絡(luò)時代的信心，科技的發(fā)展將會倒退。再次，國際公約的制定旨在維護網(wǎng)絡(luò)信息安全，避免國家實施違反國際法原則的侵權(quán)行為。例如對別國公民、企業(yè)組織、政府機關(guān)進行監(jiān)控，對主權(quán)國家進行監(jiān)聽和非商業(yè)用途收集信息。出于對各國共同安全利益的考量，國際公約應(yīng)該本著平等互助的原則制定統(tǒng)一的監(jiān)管網(wǎng)絡(luò)信息的標準，保護國家間共同的利益，統(tǒng)一制定評價國家行為需要參考的因素，明確國家網(wǎng)絡(luò)信息安全不可侵犯的界限。，由于網(wǎng)絡(luò)信息技術(shù)涵蓋范圍廣泛涉及了信息收集、監(jiān)聽監(jiān)控、國家安全等領(lǐng)域，所以內(nèi)容的特殊性和復(fù)雜性使得國際公約在實施過程中其約束力存在不足，故而要結(jié)合國際法以及其他國際公約。例如《聯(lián)合國憲章》、反恐領(lǐng)域的國際公約、人權(quán)保護公約、《國家對國際不法行為的責任條款》《跨國公司和其他商業(yè)企業(yè)關(guān)于人權(quán)責任的準則》并且配合聯(lián)合國國際法委員、人權(quán)委員會等機構(gòu)相互合作。

(三)在聯(lián)合國的框架內(nèi)建立網(wǎng)絡(luò)信息安全的監(jiān)管機構(gòu)和執(zhí)行機構(gòu)

從網(wǎng)絡(luò)信息安全的侵權(quán)事件中可以發(fā)現(xiàn)，跨國公司成為政府的侵權(quán)工具。此時追究侵權(quán)責任時會涉及到網(wǎng)絡(luò)信息侵權(quán)責任的歸因問題。從國際法的角度，歸因的目的在確定某一行為可否歸于一個國家而成為該國的國家行為。就已發(fā)生的網(wǎng)絡(luò)信息侵權(quán)行為進行分析，不難發(fā)現(xiàn)確定實施侵權(quán)行為的主體是國家還是個人將直接影響到當事國的國家責任以及受害國采取何種法律救濟的途徑。例如侵權(quán)行為的實施主體歸因為企業(yè)或者個人發(fā)起的則通常屬于網(wǎng)絡(luò)犯罪行為，這將涉及到有關(guān)國家國內(nèi)法的管轄以及國家間的司法合作來加以解決。由此可見網(wǎng)絡(luò)信息安全侵權(quán)主體的復(fù)雜性和特殊性，涉及領(lǐng)域的廣泛性，并非能簡單通過單個機構(gòu)來解決，需要多個領(lǐng)域機構(gòu)的共同合作。當前主流學(xué)者的觀點是，由于平等國家之間無管轄權(quán)，全球網(wǎng)絡(luò)空間并不存在超國家機構(gòu)的實體可以系統(tǒng)的對網(wǎng)絡(luò)侵權(quán)行為實施強制性管轄。因此，不同的行為體試圖通過拓展自身網(wǎng)絡(luò)空間的行動范圍，渴望獲得更多的網(wǎng)絡(luò)資源，掌握網(wǎng)絡(luò)管理的主動權(quán)，為自身謀取利益。此種競爭將對未來國際網(wǎng)絡(luò)信息安全的發(fā)展造成隱患。所以可以在聯(lián)合國框架下成立網(wǎng)絡(luò)信息安全保護有關(guān)的專門機構(gòu)。該機構(gòu)一方面建立國家網(wǎng)絡(luò)信息安全行為的監(jiān)管機制，可以借鑒“世界貿(mào)易組織的貿(mào)易政策評審機制”，定期對各國的信息安全行為等進行評議并公開報告，另一方面建立解決國家網(wǎng)絡(luò)信息安全爭端糾紛的解決機制。由于網(wǎng)絡(luò)信息安全涉及的領(lǐng)域并非國際法傳統(tǒng)的領(lǐng)土、領(lǐng)海領(lǐng)域，一旦發(fā)生糾紛難以訴求專門法院解決。所以應(yīng)當借鑒WTO的爭端解決機制，針對網(wǎng)絡(luò)信息安全的特殊性成立專門的解決機制，使得糾紛得到公平的裁決。

作者：劉璐琦 單位：華中師范大學(xué)

信息安全論文:供電企業(yè)信息安全管理論文

1電力信息安全

信息安全是指計算機網(wǎng)絡(luò)系統(tǒng)中的硬件、軟件和其他數(shù)據(jù)等不受非法用法的破壞，主要指未經(jīng)授權(quán)的訪問者無法使用訪問數(shù)據(jù)和修改數(shù)據(jù)，而只給授權(quán)的用戶提供數(shù)據(jù)服務(wù)和可信信息服務(wù)，并保障服務(wù)的完整性、可信性和機密性。電力信息安全是指供電系統(tǒng)中提供給用戶或公司內(nèi)部員工的數(shù)據(jù)是安全的、可信的。供電公司管理系統(tǒng)是個繁雜的系統(tǒng)，涉及用電客戶和公司內(nèi)部員工及第三方托管服務(wù)公司，系統(tǒng)的信息安全一直是公司發(fā)展的瓶頸。正確評估供電公司信息安全系統(tǒng)的合理性和安全性，針對安全風險進行分析，制訂供電公司信息安全的策略非常重要，也是至關(guān)重要的。

2供電企業(yè)信息安全的影響因素

盡管供電公司投入了大量的財力、物力建設(shè)電網(wǎng)信息安全系統(tǒng)，但供電企業(yè)內(nèi)部網(wǎng)絡(luò)仍不健全，存在許多安全隱患。另外，供電公司信息化水平不高，信息安全保障措施薄弱也制約了其信息安全系統(tǒng)的建設(shè)。要構(gòu)建一個健全的供電公司信息安全保障體系，就要首先分析供電公司信息安全的影響因素，對癥下藥，進一步提出供電企業(yè)加強信息安全管理的對策。

2.1不可抗拒因素

所謂“不可抗拒因素”，就是由于火災(zāi)、水災(zāi)、供電、雷電、地震等自然災(zāi)害影響，供電公司的供電線路、計算機網(wǎng)絡(luò)信號、計算機數(shù)據(jù)等受到破壞，并威脅到供電公司的信息安全。

2.2計算機網(wǎng)絡(luò)設(shè)備因素

供電公司計算機系統(tǒng)中使用大量的網(wǎng)絡(luò)設(shè)備，包括集線器、網(wǎng)絡(luò)服務(wù)器和路由器等，其正常運行關(guān)系著供電公司內(nèi)部網(wǎng)絡(luò)的正常運行，而計算機網(wǎng)絡(luò)設(shè)備的安全直接關(guān)系著供電公司的正常運行。

2.3數(shù)據(jù)庫安全因素

供電公司計算機系統(tǒng)監(jiān)控用戶峰值，管理用電客戶信息及其他用戶繳費等情況，計算機數(shù)據(jù)庫的系統(tǒng)安全決定了供電企業(yè)的調(diào)度效率，也決定了供電公司公共信息的安全。供電公司應(yīng)該使用專用網(wǎng)絡(luò)設(shè)備，確保企業(yè)內(nèi)部網(wǎng)絡(luò)與外部互聯(lián)網(wǎng)的隔離。

2.4管理因素

供電公司員工的業(yè)務(wù)素質(zhì)和職業(yè)修養(yǎng)參差不齊，直接影響到供電公司的網(wǎng)絡(luò)安全。供電公司應(yīng)該建立過錯追究制度，提高員工的信息化素質(zhì)，有效防止和杜絕管理因素造成的信息安全問題。

3供電企業(yè)加強信息安全管理的對策

3.1提升員工信息安全防患意識

開展信息安全管理工作，并非僅僅是系統(tǒng)使用或者管理部門的事，而是企業(yè)所有職工的事，因此，要增強全體員工的信息安全和防患意識。通過采取培訓(xùn)和考核等有力措施，進一步提升全體員工對企業(yè)信息安全的認識，讓信息安全成為企業(yè)日常工作業(yè)務(wù)的一個組成部分，從而提升企業(yè)整體信息安全水平。

3.2采用知識型管理

傳統(tǒng)的安全管理大部分采取的是一種硬性的管理手段。在當今知識經(jīng)濟的時代，安全管理應(yīng)當以知識管理為主，從而使得安全管理措施與手段也越來越知識化、數(shù)字化和智能化，促使信息安全管理工作進入一個嶄新的階段。

3.3設(shè)置系統(tǒng)用戶權(quán)限

為了預(yù)防非法用戶侵入系統(tǒng)，應(yīng)按照用戶不同的級別限制用戶的權(quán)限，并投入資金開展安全技術(shù)督查和安全審計等相關(guān)活動。信息安全并非一朝一夕就能完成的事，它需要一個長期的過程才能達到較高的水平，需建立并完善相應(yīng)的管理制度，從平時的基礎(chǔ)工作著手，及時發(fā)現(xiàn)問題，匯報問題，分析問題并解決問題。

3.4防范計算機病毒攻擊

加速信息安全管控措施的建設(shè)，在電力信息化工作中，辦公自動化是其中一項非常重要的內(nèi)容，而核心工作業(yè)務(wù)就是電子郵件的發(fā)送與接收，這也正是計算機病毒一個非常重要的傳播渠道。因此，必須大力促進個人終端標準化工作的建設(shè)，實現(xiàn)病毒軟件的自動更新、自動升級，不得隨意下載并安裝盜版軟件；加強對木馬病毒等的安全防范措施，對用戶訪問實施嚴格的控制。

3.5完善信息安全應(yīng)急預(yù)案

嚴格規(guī)范信息安全事故通報程序，對于隱瞞信息事件的現(xiàn)象，必須嚴肅查處。對于國家和企業(yè)信息安全運行動態(tài)，要及時通報，分析事件，及時信息安全通告。對于己經(jīng)制定的相關(guān)預(yù)案和安全措施，必須落到實處。另外，還要進一步加強信息安全技術(shù)督查隊伍的建設(shè)，提高信息安全考核與執(zhí)行的力度。

3.6建立信息安全保密機制

加強信息安全保密措施的落實，禁止將涉密計算機連接到互聯(lián)網(wǎng)及其他公共信息網(wǎng)絡(luò)，完善外部人員訪問的相關(guān)授權(quán)、審批程序。定期組織開展信息系統(tǒng)安全保密的各項檢查工作，切實做好涉密文檔的登記、存檔和解密等環(huán)節(jié)的工作。

4結(jié)束語

為了保障國民經(jīng)濟的快速發(fā)展，就要確保供電系統(tǒng)的穩(wěn)定安全，就要合理應(yīng)用計算機網(wǎng)絡(luò)管理供電公司網(wǎng)絡(luò)，科學(xué)管理供電網(wǎng)絡(luò)信息，促進企業(yè)的可持續(xù)發(fā)展。供電公司要充分利用好企業(yè)內(nèi)部網(wǎng)絡(luò)，提高勞動生產(chǎn)率，并加強網(wǎng)絡(luò)信息安全監(jiān)控，加強企業(yè)內(nèi)部優(yōu)化，創(chuàng)新供電企業(yè)服務(wù)意識，加強供電企業(yè)信息安全管理對策，適當提高供電企業(yè)信息化管理水平，保障供電企業(yè)的信息安全。

作者：吳金文 程麗琴 單位：國網(wǎng)贛西供電公司安全監(jiān)察質(zhì)量部

信息安全論文:大學(xué)生信息安全論文

一、文獻簡述

關(guān)于國家信息安全問題，國內(nèi)外學(xué)者關(guān)注度極高。筆者通過查找發(fā)現(xiàn)，與本文相關(guān)的文獻共1471篇，資料顯示針對如何提高國家信息安全方面，國內(nèi)研究相較之不夠深入。例如，國外學(xué)者建議對用戶進行網(wǎng)絡(luò)安全意識培訓(xùn)，從工作、學(xué)習(xí)等領(lǐng)域來制訂提高網(wǎng)絡(luò)用戶的框架，并建議建立國家網(wǎng)絡(luò)防御系統(tǒng)。國內(nèi)則側(cè)重分析信息安全教育的一些問題并提出方案。無論是國內(nèi)還是國外，國家信息安全越來越受到政府和組織的關(guān)注，在以信息技術(shù)為交流工具的時代，特別是大學(xué)生，我們需要對其進行國家信息安全意識教育。因此，本文從實證調(diào)查研究角度，對當代大學(xué)生國家信息安全意識問題進行研究，以警醒和培養(yǎng)他們的國家信息安全意識，使他們將來成為國家和社會的有用人才。

二、數(shù)據(jù)描述

（一）樣本數(shù)據(jù)

2014年秋筆者對全國25個高校隨機抽取113位大學(xué)生進行有關(guān)國家信息安全意識的調(diào)查，共發(fā)放問卷113份，分析和篩選得出有效問卷108份，返回率95．58％，其中女性大學(xué)生占51．85％，男性占48．15％，滿足計量統(tǒng)計數(shù)據(jù)要求。從大學(xué)生的受教育階段來說研究生占38．89％，大四學(xué)生占11．11％，大三學(xué)生占33．33％，以研究生和大三、大四學(xué)生較多，高年級學(xué)生更有利于反映大學(xué)生對國家信息安全意識強弱的表現(xiàn)。Cronbach′sAlpha的值是0．662，在探索分析中，該值至少要0．6，本題是0．7左右，說明該問卷的信度較高，可以對問卷進行分析。

（二）變量描述

本文在分析大學(xué)生國家信息安全意識時，主要從家庭特征、網(wǎng)絡(luò)特征、日常生活和學(xué)校管理等四個維度進行。

（三）相關(guān)系數(shù)分析

在多元回歸分析中，預(yù)測變量之間的相關(guān)性越低，回歸分析的預(yù)測力越強，這樣，也說明變量之間的共線性越小。通過Pearson相關(guān)系數(shù)檢驗，大部分變量相關(guān)性都處于0．05以下，屬于低度相關(guān)，共線性可能性較小，故可以進行回歸分析。

三、實證分析

1．家庭特征，文化是關(guān)鍵。

父母的文化程度對子女的國家信息安全意識影響非常顯著，因為父母文化程度高，從小對子女就有潛移默化的影響過程，對子女的教育關(guān)注更多，其中就包括對國家的信息安全教育。相比之下，有關(guān)個人的家庭經(jīng)濟狀況等方面對信息安全意識的影響不是很顯著。

2．網(wǎng)絡(luò)特征，安全要防范。

大學(xué)生認為網(wǎng)絡(luò)安全對國家信息安全影響非常顯著，例如“棱鏡門”事件，說明網(wǎng)絡(luò)是一些國家機密信息泄露的重要途徑。而大學(xué)生的上網(wǎng)時間長短對信息安全影響不顯著，說明信息安全與時間長短無關(guān)。

3．日常生活，學(xué)習(xí)促提高。

調(diào)查了解大學(xué)生都認為每個公民都有責任維護國家的信息安全，無論是大學(xué)生還是其他公民，維護國家信息安全是每個公民應(yīng)盡的義務(wù)和責任。大學(xué)生應(yīng)自覺地、積極主動地了解和關(guān)注國家信息安全的知識，這對提高他們的信息安全意識影響顯著。

4．學(xué)校管理，教育是根本。

教師的強調(diào)和教育對大學(xué)生國家信息安全意識的提高影響較顯著，大多數(shù)教師都會對學(xué)生進行始業(yè)教育、安全教育。此外任課教師對安全意識的強調(diào)也會對學(xué)生安全意識和行為的規(guī)范起到較大作用。調(diào)查中，大學(xué)生普遍認為高校培養(yǎng)學(xué)生信息安全意識方面的工作做得還夠，對他們安全意識的提高影響不明顯。五、結(jié)論與建議

（一）立足現(xiàn)狀———總結(jié)與思考

本文利用全國108份大學(xué)生的調(diào)查數(shù)據(jù)，對大學(xué)生的國家信息安全意識狀況和影響因素進行分析，得出以下主要研究結(jié)論：

1．環(huán)境———潛移默化影響安全意識。

大學(xué)生的國家信息安全意識的強弱與家庭特征、網(wǎng)絡(luò)特征、日常生活和學(xué)校管理有關(guān)，其中父母的文化程度、網(wǎng)絡(luò)安全、公民的責任、日常關(guān)注和教師的強調(diào)對其影響顯著，其他因素對其影響不顯著，或影響較小。

2．學(xué)校———多維教育強化安全意識。

大學(xué)生安全意識的薄弱與高校對國家信息安全知識的普及有一定的影響。較前幾年來說，大學(xué)生的國家信息安全意識已有一定的提高，這與國家、學(xué)校、家庭的共同努力是分不開的，其對大學(xué)生國家信息安全意識的影響各有不同，相較之下，高校相關(guān)教育的影響更為顯著。

3．立法———完善法規(guī)健全安全意識。

我國大學(xué)生的國家信息安全意識有一定的提高，但我國的相關(guān)法律還不夠完善，涉及網(wǎng)絡(luò)犯罪的種類還不夠，目前為止，我國共出臺或修訂相關(guān)互聯(lián)網(wǎng)的法律法規(guī)共20次。2001年中國互聯(lián)網(wǎng)協(xié)會在北京成立，相比國外而言起步較晚。

（二）展望未來———措施與方向

由于國家信息安全直接威脅了國家的穩(wěn)定發(fā)展，基于此，國家各部門要想辦法提高公民的國家信息安全意識，尤其是對肩負著社會建設(shè)發(fā)展重任的當代大學(xué)生們進行信息安全意識的培養(yǎng)。

1．自力更生，人才為先。

隨著互聯(lián)網(wǎng)的普及、國內(nèi)外各種資源的共享、多元文化的攝入等等，計算機方面的人才也在不斷地增多，對于處在計算機發(fā)展初級階段的中國來說，繼續(xù)要培養(yǎng)自己的計算機人才，通過對相關(guān)軟件和系統(tǒng)的完善、更新及開發(fā)自己的系統(tǒng)和相關(guān)軟件以保護我國的重要信息，不再依賴國外的技術(shù)支持，將更加有利于保護國家的信息安全。

2．安全教育，納入常規(guī)。

學(xué)校作為培養(yǎng)新型人才的搖籃，應(yīng)盡早將國家信息安全教育納入教學(xué)規(guī)劃中。目前，高校對大學(xué)生國家信息安全教育的觀念還相對滯后。高校要充分借助學(xué)校的基礎(chǔ)設(shè)施和設(shè)備多種途徑開展規(guī)范的信息安全教育，讓大學(xué)生在日常生活和學(xué)習(xí)中收獲正確的信息安全知識。從專業(yè)化角度來說，學(xué)校還可開展網(wǎng)絡(luò)信息安全課程，為大學(xué)生提供、專業(yè)地了解、掌握信息安全常識的機會和平臺。

3．以點帶面，共護安全。

從家庭的角度來說，更要提高家庭成員的國家信息安全意識。我們都知道“先有國，才有家；沒有國，哪有家”。這個家可以是高校中的寢室，當然也是我們出生、長大的家，在這個家庭中，我們也要時刻提高自己的信息安全意識，把在學(xué)校中學(xué)到的相關(guān)理論知識運用到實踐中，不斷地與身邊的親人交流，共同促進對國家信息安全意識的提高。

作者：沈張一 單位：杭州電子科技大學(xué)通信工程學(xué)院

信息安全論文:企業(yè)級移動應(yīng)用信息安全論文

一、企業(yè)級移動應(yīng)用信息安全體系

1.1研究思路

為了克服企業(yè)級移動應(yīng)用面臨的各類安全問題，降低安全威脅，本文認為移動應(yīng)用安全體系應(yīng)從硬件、軟件結(jié)構(gòu)入手，結(jié)合移動互聯(lián)網(wǎng)特征，設(shè)計企業(yè)級移動應(yīng)用安全技術(shù)架構(gòu)及安全規(guī)范、制定一系列安全防護策略來保障移動應(yīng)用的安全。

1.2企業(yè)級移動應(yīng)用安全體系

在充分分析企業(yè)級移動應(yīng)用信息化的建設(shè)現(xiàn)狀和安全需求基礎(chǔ)上，根據(jù)國家等級保護要求，從物理安全，網(wǎng)絡(luò)安全，系統(tǒng)安全，應(yīng)用安全以及安全監(jiān)管五個方面構(gòu)建企業(yè)級移動應(yīng)用安全防護體系。1、物理安全：涉及設(shè)備和環(huán)境安全，主要通過移動終端本身硬件標識信息、接口監(jiān)測、外接插件設(shè)備來保障移動終端設(shè)備安全。2、網(wǎng)絡(luò)安全：涉及到網(wǎng)絡(luò)接入安全、數(shù)據(jù)傳輸安全等，主要從硬件、軟件兩方面保障，如防火墻保護策略、認證策略、數(shù)據(jù)加密等。3、系統(tǒng)安全：主要包括系統(tǒng)、數(shù)據(jù)存儲、操作等，通過建立安全加固，對業(yè)務(wù)數(shù)據(jù)分級存儲、重要數(shù)據(jù)安全隔離、數(shù)據(jù)傳輸加密、完整性和一致性校驗，保障系統(tǒng)安全。4、應(yīng)用安全：通過多種手段保障移動應(yīng)用安全，可從應(yīng)用準入、應(yīng)用授權(quán)、應(yīng)用監(jiān)控審核、應(yīng)用數(shù)據(jù)管控、操作行為安全審計等方面保障應(yīng)用安全。5、安全監(jiān)管：從制度管理、軟件輔助管理對移動終端進行安全管理。制定相應(yīng)的移動終端、移動應(yīng)用管理規(guī)范。

二、企業(yè)級移動應(yīng)用信息安全實現(xiàn)

2.1物理安全

按照安全體系要求，可從終端管理、一致性校驗、接口監(jiān)測、存儲卡加密等領(lǐng)域?qū)崿F(xiàn)物理安全。1、設(shè)備啟動。通過設(shè)置啟動密碼、動態(tài)口令等控制設(shè)備啟動驗證。2、校驗一致性。終端啟動后，后臺根據(jù)設(shè)備回傳的參數(shù)進行一致性校驗，對操作系統(tǒng)內(nèi)核、硬件配置、關(guān)鍵應(yīng)用和配置策略信息等進行驗證，確保啟動過程中各應(yīng)用的完備性和一致性。3、設(shè)備硬件監(jiān)測。對移動設(shè)備硬件接口管理，包括網(wǎng)絡(luò)（含WIFI/藍牙等）啟停，USB啟停、以及攝像頭屏幕輸出等啟停等，從而有效防止移動終端數(shù)據(jù)泄漏。4、存儲卡加密。根據(jù)存儲卡與移動設(shè)備的關(guān)聯(lián)關(guān)系，存儲卡上的數(shù)據(jù)就不能被其它移動設(shè)備讀取，從而有效地保護移動終端上的數(shù)據(jù)。

2.2網(wǎng)絡(luò)安全

在網(wǎng)絡(luò)安全方面，可從硬件、軟件兩方面保障網(wǎng)絡(luò)接入安全、數(shù)據(jù)傳輸安全。1、接入安全。建立專用的VPN接入通道連接到特定服務(wù)端。建立DMZ反向保護，通過反向防止移動設(shè)備直接和web服務(wù)器直接連接帶來的安全隱患。2、設(shè)置防火墻及路由器防護策略，通過制定路由器、防火墻防護策略，實現(xiàn)內(nèi)外網(wǎng)絡(luò)安全。安全策略確保網(wǎng)絡(luò)訪問、服務(wù)訪問、用戶認證、輸入輸出、磁盤和數(shù)據(jù)加密、病毒防護措施等。3、移動設(shè)備安全認證和接入。建立終端準入機制，通過后臺移動設(shè)備管理功能，記錄所有設(shè)備詳細信息，如編碼，類型及使用者等信息，在登錄時實現(xiàn)按特定信息核對驗證設(shè)備合法性。4、數(shù)據(jù)傳輸安全。企業(yè)級移動應(yīng)用一般需要和后臺業(yè)務(wù)傳輸數(shù)據(jù)，為了避免惡意攻擊、竊取、篡改，需要在數(shù)據(jù)傳輸中引入數(shù)據(jù)安全管理，如數(shù)字證書加密等。

2.3系統(tǒng)安全

為保障移動應(yīng)用正常運行，主要通過建立安全加固、業(yè)務(wù)數(shù)據(jù)分類存儲管理、數(shù)據(jù)安全隔離、數(shù)據(jù)傳輸加密解密、完整性檢查以及一致性檢查，保障系統(tǒng)安全。1、安全加固。按等級保護要求，制定嚴格的安全加固措施，保障系統(tǒng)安全；2、建立移動數(shù)據(jù)庫安全管控，支持離在線數(shù)據(jù)庫訪問、支持數(shù)據(jù)的備份和恢復(fù)，保障用戶數(shù)據(jù)的安全；3、開展安全域隔離，通過物理和邏輯隔離策略，對系統(tǒng)資源和各類數(shù)據(jù)進行分區(qū)分域管理。4、建立移動設(shè)備在線備份和恢復(fù)策略。實現(xiàn)自動備份和恢復(fù)數(shù)據(jù)、配置文件與配置策略。可以設(shè)置規(guī)定備份目錄或文件、備份頻率、周期，通過統(tǒng)一管理界面實現(xiàn)選擇性恢復(fù)或全恢復(fù),可恢復(fù)移動終端上丟失或損壞數(shù)據(jù)。5、升級包推送。實現(xiàn)對移動設(shè)備系統(tǒng)版本管理，禁止使用者擅自修改系統(tǒng)，后臺統(tǒng)一開展升級包推送，保障操作系統(tǒng)安全。

2.4應(yīng)用安全

在應(yīng)用安全方面，主要通過應(yīng)用密碼、登錄、非授權(quán)操作管理、數(shù)據(jù)庫加密、應(yīng)用安全審計等措施保障移動應(yīng)用安全。1、密碼保護，對移動應(yīng)用建立密碼保護策略，如密碼長度、復(fù)雜度限制、密碼認證、錯誤鎖定等機制，防止非法人員登錄終端應(yīng)用，造成業(yè)務(wù)數(shù)據(jù)外泄。2、單點登錄，通過建立統(tǒng)一單點登錄平臺，實現(xiàn)統(tǒng)一用戶身份管理、統(tǒng)一用戶身份驗證、統(tǒng)一用戶權(quán)限管理。3、權(quán)限控制，對企業(yè)級移動應(yīng)用建立細致的明確的功能權(quán)限控制，不同職責的終端用戶只能使用指定的部分功能，有效控制關(guān)鍵數(shù)據(jù)外泄。4、移動數(shù)據(jù)庫加密。移動數(shù)據(jù)庫庫訪問按系統(tǒng)安全要求提供安全憑證，選擇敏感信息加密，輔以校驗保障所存儲數(shù)據(jù)的保密性和完整性，防止數(shù)據(jù)被未經(jīng)授權(quán)訪問和修改。5、非法操作管理。建立應(yīng)用配置授權(quán)管理策略，控制未經(jīng)取得授權(quán)的非法移動應(yīng)用進行控制，可以禁止非法移動應(yīng)用安裝、禁止非法移動應(yīng)用使用，可以遠程對非法移動應(yīng)用進行卸載。6、移動應(yīng)用安全審計。開展實時統(tǒng)計核查應(yīng)用安裝、使用、運行、操作記錄等，有效監(jiān)測各類操作行為。

2.5安全管理

按照移動信息安全體系，安全管理從制度規(guī)范管理、軟件輔助管理、設(shè)備管控等領(lǐng)域?qū)崿F(xiàn)。1、建立統(tǒng)一應(yīng)用管理規(guī)范和管理制度，建立移動終端、移動應(yīng)用管理規(guī)范，如檔案管理、行為規(guī)范、作業(yè)規(guī)范等。2、操作記錄日志。增加終端操作的記錄日志機制，實現(xiàn)日志追蹤引入問題的原因，采用應(yīng)對措施避免同類問題反復(fù)出現(xiàn)。3、實時管控機制。移動終端實時回傳當前位置的經(jīng)緯度，可實時監(jiān)控移動設(shè)備實際地理位置，如若遇到平板丟失，則啟動數(shù)據(jù)爆炸功能，保障業(yè)務(wù)數(shù)據(jù)不外泄。

三、結(jié)論

隨著移動技術(shù)飛速發(fā)展以及移動硬件平臺的技術(shù)改進和價格的不斷下降，企業(yè)級移動應(yīng)用的需求必將會快速增長。基于本文所述的信息安全思路和實現(xiàn)，能有效保障企業(yè)級移動應(yīng)用信息安全，并有效減少建設(shè)和運行風險。

作者：盧有飛 單位：廣州供電局有限公司

信息安全論文:運營商資產(chǎn)信息安全論文

1運營商的資產(chǎn)面臨的信息安全威脅

（1）2014年10月，“沙蟲”漏洞（CVE-2014-4114），攻擊者利用WindowsOLE遠程代碼執(zhí)行漏洞，通過精心構(gòu)造誘使用戶執(zhí)行文件觸發(fā)遠程代碼執(zhí)行漏洞，進而控制用戶操作系統(tǒng)主機。

（2）2014年9月，“破殼”漏洞（CVE-2014-6271），攻擊者利用Bash漏洞可繞過環(huán)境限制遠程執(zhí)行服務(wù)器shell命令，獲取服務(wù)器當前用戶權(quán)限。

（3）2014年4月，“心臟出血”漏洞（CVE-2014-0160），攻擊者利用OpenSSL內(nèi)存越界，可以遠程讀取存在漏洞版本的OpenSSL服務(wù)器內(nèi)存中的數(shù)據(jù)。通過調(diào)研和分析發(fā)現(xiàn)，運營商擁有信息系統(tǒng)資產(chǎn)具有幾個特征：分布廣、種類繁、數(shù)量多。這就帶來了運維繁雜和管理困難等主要問題，信息安全工作的管理者無法從全局把握信息資產(chǎn)情況，存在信息資產(chǎn)孤島，面對全網(wǎng)的信息安全風險，缺乏全生命周期的安全管控能力。因此，本文重點從資產(chǎn)的維度對信息安全預(yù)警技術(shù)探討，研究分析現(xiàn)有預(yù)警技術(shù)的缺失，提出一種基于軟件模型的資產(chǎn)信息安全預(yù)警技術(shù)，實現(xiàn)運營商對信息系統(tǒng)的綜合治理和全網(wǎng)防護等安全預(yù)警能力的提升，做到知己知彼、精準預(yù)警，從而保障電信運營商在移動互聯(lián)網(wǎng)時代健康高效的發(fā)展。

2現(xiàn)有主要預(yù)警技術(shù)分析

現(xiàn)有的信息系統(tǒng)已經(jīng)部署了大量的信息安全設(shè)備，比如防火墻、入侵檢測系統(tǒng)、掃描器等，而這些系統(tǒng)主要的預(yù)警技術(shù)包括入侵檢測和安全掃描等方式。

2.1入侵檢測技術(shù)

入侵檢測：通過對行為、安全日志或?qū)徲嫈?shù)據(jù)或其它網(wǎng)絡(luò)上可以獲得的信息進行操作，檢測到對系統(tǒng)的闖入或闖入的企圖。入侵檢測技術(shù)是為保障計算機系統(tǒng)的安全而設(shè)計與配置的一種能夠及時發(fā)現(xiàn)并報告系統(tǒng)中未授權(quán)或異常現(xiàn)象的技術(shù)，是一種用于檢測計算機網(wǎng)絡(luò)中違反安全策略行為的技術(shù)。按檢測方法區(qū)分，入侵檢測技術(shù)主要可以分為誤用檢測和異常檢測。異常檢測模型：檢測與可接受行為之間的偏差。如果可以定義每項可接受的行為，那么每項不可接受的行為就應(yīng)該是入侵。首先總結(jié)正常操作應(yīng)該具有的特征，當用戶活動與正常行為有重大偏離時即被認為是入侵。這種檢測模型漏報率低，誤報率高。因為不需要對每種入侵行為進行定義，所以能有效檢測未知的入侵。誤用檢測模型：檢測與已知的不可接受行為之間的匹配程度。如果可以定義所有的不可接受行為，那么每種能夠與之匹配的行為都會引起告警。收集非正常操作的行為特征，建立相關(guān)的特征庫，當監(jiān)測的用戶或系統(tǒng)行為與庫中的記錄相匹配時，系統(tǒng)就認為這種行為是入侵。這種檢測模型誤報率低、漏報率高。對于已知的攻擊，它可以詳細、地報告出攻擊類型，但是對未知攻擊卻效果有限，而且特征庫必須不斷更新。

2.2安全掃描技術(shù)

安全掃描：是一類重要的網(wǎng)絡(luò)信息安全技術(shù)。通過對資產(chǎn)的掃描，資產(chǎn)管理員可以了解資產(chǎn)的安全配置和運行的應(yīng)用服務(wù)，及時發(fā)現(xiàn)安全漏洞，客觀評估網(wǎng)絡(luò)風險等級。資產(chǎn)管理員可以根據(jù)掃描的結(jié)果更正網(wǎng)絡(luò)安全漏洞和系統(tǒng)中的錯誤配置，在黑客攻擊前進行防范。安全掃描是一種主動的防范措施。按檢測方法區(qū)分，安全掃描技術(shù)主要可以分為插件技術(shù)和漏洞庫匹配技術(shù)。插件技術(shù)：由腳本語言編寫的子程序，掃描程序可以通過調(diào)用它來執(zhí)行漏洞掃描，檢測出系統(tǒng)中存在的一個或多個漏洞。添加新的插件就可以使漏洞掃描軟件增加新的功能，掃描出更多的漏洞。插件編寫規(guī)范化后，甚至用戶自己都可以用C、Python或自行設(shè)計的腳本語言編寫的插件來擴充漏洞掃描軟件的功能。這種技術(shù)使漏洞掃描軟件的升級維護變得相對簡單，而專用腳本語言的使用也簡化了編寫新插件的編程工作，使漏洞掃描軟件具有強的擴展性。漏洞庫的匹配方法：基于網(wǎng)絡(luò)系統(tǒng)漏洞庫的漏洞掃描的關(guān)鍵部分就是它所使用的漏洞庫。通過采用基于規(guī)則的匹配技術(shù)，即根據(jù)安全專家對網(wǎng)絡(luò)系統(tǒng)安全漏洞、黑客攻擊案例的分析和系統(tǒng)管理員對網(wǎng)絡(luò)系統(tǒng)安全配置的實際經(jīng)驗，可以形成一套標準的網(wǎng)絡(luò)系統(tǒng)漏洞庫，然后再在此基礎(chǔ)之上構(gòu)成相應(yīng)的匹配規(guī)則，由掃描程序自動的進行漏洞掃描的工作。如上分析發(fā)現(xiàn)，現(xiàn)有技術(shù)方法主要是從安全檢測和安全評估的角度去分析資產(chǎn)的信息安全問題，但都有其局限性。入侵檢測技術(shù)的安全預(yù)警方法由于檢測方法主要基于特征庫的模式存在一定缺陷很容易導(dǎo)致安全預(yù)警的漏報和誤報情況，預(yù)警的精度不高，而且在性能上也有影響。安全掃描技術(shù)主要通過模擬黑客的攻擊手法進行安全預(yù)警。以探測的路徑和系統(tǒng)配置規(guī)則庫為基礎(chǔ)，但是，基于黑盒的方式進行探測很容易造成遺漏，而系統(tǒng)配置規(guī)則庫也存在局限性，這樣將導(dǎo)致預(yù)報的度不高。

3基于軟件模型的信息安全預(yù)警技術(shù)

3.1技術(shù)方案

基于軟件模型的資產(chǎn)信息安全預(yù)警技術(shù)主要針對軟件資產(chǎn)進行元數(shù)據(jù)建模，對不同軟件信息資產(chǎn)進行概括和抽象，不涉及各類資產(chǎn)資源的特征。在軟件模型的基礎(chǔ)上，結(jié)合各類資產(chǎn)的特性和相關(guān)規(guī)則可以生成專業(yè)資產(chǎn)核心模型。基于統(tǒng)一的軟件模型，有效實現(xiàn)各類資產(chǎn)的歸一化處理，通過資產(chǎn)建模和分析，為資產(chǎn)預(yù)警算法提供綜合資源信息。通過對機構(gòu)的漏洞信息進行整理及歸一化處理得到特征漏洞庫。通過模板引擎和預(yù)警引擎生成預(yù)警信息，由于借助資產(chǎn)本身進行建模和預(yù)警，本方法能夠達到精準預(yù)警的目的，有效地幫助資產(chǎn)管理人員進行安全防護，從根本上解決資產(chǎn)的信息安全問題。技術(shù)方案主要包括采集組件、信息庫（資產(chǎn)庫和漏洞庫）、預(yù)警分析和預(yù)警展示。采集組件：包含資產(chǎn)信息的采集和漏洞信息的采集，而資產(chǎn)采集又分為本地的資產(chǎn)巡檢和遠程的資產(chǎn)爬蟲兩部分。資產(chǎn)采集通過特征指紋庫和機器學(xué)習(xí)技術(shù)分析資產(chǎn)使用的軟件信息已完成數(shù)據(jù)的采集入庫操作。信息庫：主要維護底層核心數(shù)據(jù)庫資產(chǎn)庫和漏洞庫。資產(chǎn)庫是按照軟件元數(shù)據(jù)模型進行資產(chǎn)信息的存儲。預(yù)警分析：借助基于向量相似性算法完成資產(chǎn)預(yù)警信息的分析，并根據(jù)預(yù)警規(guī)則設(shè)置不同的觸發(fā)條件。預(yù)警展示：依賴大數(shù)據(jù)可視化組件，可以實現(xiàn)多維跨域的信息呈現(xiàn)，以最直觀和有效的方式告知資產(chǎn)運維和管理人員。主要依賴JavaEE的技術(shù)，基于MVC（ModelViewController）設(shè)計模式和REST風格，包括預(yù)警分析層、預(yù)警算法層和模型庫。其中模型庫由資產(chǎn)庫和漏洞庫構(gòu)成；預(yù)警算法層由UX引擎、分析引擎、預(yù)警引擎和模板引擎組成；預(yù)警分析層由預(yù)警可視化、資產(chǎn)可視化、風險可視化和TOPN組成。

3.2主要功能及效果

基于軟件模型的資產(chǎn)信息安全預(yù)警技術(shù)主要包含如下功能，總體態(tài)勢：多維展示資產(chǎn)總體安全情況，健康值、歷史趨勢、數(shù)字地圖顯示等；預(yù)警分析：根據(jù)資產(chǎn)維度、漏洞維度進行精準和模糊預(yù)警；實時預(yù)警：支持以天為粒度進行預(yù)警，實時顯示預(yù)警風險、重要資產(chǎn)威脅信息等；資產(chǎn)分析：資產(chǎn)明細數(shù)據(jù)、資產(chǎn)排行榜、資產(chǎn)分布及資產(chǎn)類型占比；漏洞分析：漏洞明細數(shù)據(jù)、漏洞趨勢、漏洞分布及漏洞類型占比。基于軟件模型的資產(chǎn)信息安全預(yù)警技術(shù)推動從信息安全治理工作從現(xiàn)有的事后檢查向事前預(yù)防為主的機制轉(zhuǎn)變，實現(xiàn)了平臺化運營能力，為公司的資產(chǎn)管理、業(yè)務(wù)運營、安全管控等方面提供了方便快捷的支撐服務(wù)。使信息安全治理工作基本達到資產(chǎn)可管控、信息可共享、安全可度量、預(yù)警可感知。資產(chǎn)可管控：整合信息資產(chǎn)，關(guān)注重要基礎(chǔ)設(shè)施，實現(xiàn)管理集中化、運營專業(yè)化。信息可共享：實現(xiàn)安全漏洞、安全通告的集中共享，完成集團公司和分公司的信息聯(lián)動。安全可度量：實現(xiàn)現(xiàn)有安全問題多維情況的指標化度量。預(yù)警可感知：通過智能算法，結(jié)合歷史大數(shù)據(jù)分析實現(xiàn)預(yù)警感知，豐富的可視化組件，友好界面。

4總結(jié)

本技術(shù)方案能夠較好地提升現(xiàn)有資產(chǎn)的安全性并且能夠及時進行預(yù)警，具備以下優(yōu)點：精準性通過預(yù)警引擎的快速匹配算法能夠精準的發(fā)現(xiàn)信息資產(chǎn)中的安全漏洞，并發(fā)出預(yù)警信息；自動化對于傳統(tǒng)的通過人工排查和滲透測試方式，能夠做到自動發(fā)現(xiàn)批量預(yù)警信息。但由于電信運營商擁有大量的信息系統(tǒng)和軟件資源，在資產(chǎn)獲取方面還難以實現(xiàn)自動化，后續(xù)將重點研究基于主機的資產(chǎn)識別技術(shù)，實現(xiàn)對主機資產(chǎn)信息發(fā)現(xiàn)、特征提取、資源歸集等功能，從而提升電信運營商的資產(chǎn)信息安全預(yù)警和感知能力.

作者：張高山 杜雪濤 孟德香 單位：中國移動通信集團設(shè)計院有限公司

信息安全論文:移動業(yè)務(wù)客戶信息安全論文

1客戶信息安全保護背景

（1）客戶基本資料包括但不限于集團客戶資料、個人客戶資料、渠道及合作伙伴資料、營銷目標客戶群數(shù)據(jù)和各類特殊名單。

（2）客戶身份鑒權(quán)信息包括但不限于客戶的服務(wù)密碼和客戶登錄各種業(yè)務(wù)系統(tǒng)的密碼。

（3）客戶通信信息包括但不限于詳單、原始話單、賬單、客戶位置信息、客戶消費信息、基本業(yè)務(wù)訂購關(guān)系、增值業(yè)務(wù)（含數(shù)據(jù)業(yè)務(wù)）訂購關(guān)系、增值業(yè)務(wù)信息、客戶通信行為信息和客戶通信錄等。

（4）客戶通信內(nèi)容信息包括但不限于客戶通信內(nèi)容記錄、客戶上網(wǎng)內(nèi)容及記錄和行業(yè)應(yīng)用平臺上交互的信息內(nèi)容。客戶信息安臨的風險和威脅主要包括因為權(quán)限管理與控制不當，導(dǎo)致客戶信息被隨意處置；因為流程設(shè)計與管理不當，導(dǎo)致客戶信息被不當獲取；因為安全管控措施落實不到位，導(dǎo)致客戶信息被竊取等。

2客戶信息安全保護的目標

客戶信息安全保護的目標如下。

（1）利用安全保護手段和審計系統(tǒng)對業(yè)務(wù)支撐網(wǎng)客戶信息的數(shù)據(jù)泄漏及篡改做到事前預(yù)防、事中控制、事后審計。

（2）通過管理制度及細化管理流程強化客戶信息安全的日常管理和審核，及時處理客戶信息泄密事件的處理，落實信息泄露的懲罰措施。

3客戶信息安全保護的要求

客戶信息安全保護的總體要求如下。

（1）對業(yè)務(wù)支撐網(wǎng)客戶信息按數(shù)據(jù)價值、數(shù)據(jù)安全需求兩方面進行分級管理。

（2）對業(yè)務(wù)支撐網(wǎng)客戶信息的所有存儲方式及獲取途徑應(yīng)進行深入分析，及時發(fā)現(xiàn)并彌補業(yè)務(wù)層面和系統(tǒng)層面中可能導(dǎo)致客戶信息被篡改和泄漏的漏洞。

（3）利用安全技術(shù)和管理手段加強客戶信息管控，避免數(shù)據(jù)泄露和非法篡改。

4總體設(shè)計

結(jié)合業(yè)務(wù)支撐網(wǎng)客戶信息安全保護要求給出安全保護體系架構(gòu)、功能模塊。主要從客戶信息授權(quán)鑒權(quán)、電子審批、數(shù)據(jù)提取控制、維護工具管理、數(shù)字水印、文檔管控、操作行為審計等方面加強客戶信息安全控制，提高業(yè)務(wù)支撐系統(tǒng)的客戶信息安全保障能力。

4.1體系架構(gòu)

整個體系由數(shù)據(jù)層、應(yīng)用層、服務(wù)層構(gòu)成，每個層次分別對應(yīng)客戶信息安全保護的主要功能模塊。

4.2功能模塊設(shè)計

整個客戶信息安全保護體系功能模塊設(shè)計和系統(tǒng)交互。下面針對每個部分進行詳細功能設(shè)計。

4.2.1授權(quán)與訪問控制

通過4A管理平臺實現(xiàn)維護終端集中化授權(quán)與訪問控制。4A管理平臺上采用堡壘主機的技術(shù)，基于用戶的權(quán)限，進行統(tǒng)一的資源層和應(yīng)用層訪問控制，避免維護人員使用不安全的終端直接訪問客戶信息。4A管理平臺進行統(tǒng)一的審計操作，原有系統(tǒng)功能和性能不會受到影響，在減輕管理員負擔的同時，提高了賬號控制和操作審計。

4.2.2客戶信息鑒權(quán)控制

客戶信息鑒權(quán)控制首先對業(yè)務(wù)支撐網(wǎng)中所存儲的數(shù)據(jù)進行梳理調(diào)研，根據(jù)數(shù)據(jù)機密性把數(shù)據(jù)分為敏感數(shù)據(jù)和非敏感數(shù)據(jù)兩大類，并對敏感數(shù)據(jù)按機密程度級別進行分類。鑒權(quán)控制模塊包括數(shù)據(jù)屬性綜合分析、實體敏感度定義、內(nèi)容敏感度定義、屬性敏感度定義、敏感度分級、敏感度分級核查和數(shù)據(jù)安全鑒權(quán)控制調(diào)度等7部分；本文工程數(shù)據(jù)安全鑒權(quán)控制主要實現(xiàn)以下目標。

（1）數(shù)據(jù)屬性綜合分析：制定敏感數(shù)據(jù)定義原則，并對全網(wǎng)的數(shù)據(jù)進行分析整理，分析出當前業(yè)務(wù)支撐網(wǎng)中的所有敏感數(shù)據(jù)的存儲位置和訪問方式。

（2）實體敏感度：實體敏感度是根據(jù)實體的保密程度來劃分的敏感度。數(shù)據(jù)庫表實體根據(jù)業(yè)務(wù)內(nèi)容和行業(yè)背景等視角的不同，其敏感級別也有所不同。

（3）內(nèi)容敏感度：根據(jù)實體內(nèi)容的保密程度來設(shè)定的敏感度。根據(jù)數(shù)據(jù)庫實體關(guān)鍵屬性值的不同，其相對的保密程度也有所不同。如按月周期（或其它周期）屬性來劃分，將數(shù)據(jù)分為當月、3個月內(nèi)、6個月內(nèi)，并分別設(shè)置不同的敏感級別，擁有不同級別的用戶所能查看的KPI周期范圍就會不同。內(nèi)容敏感度的優(yōu)先級低于實體敏感度。

（4）屬性敏感度：屬性敏感度是根據(jù)實體屬性（如字段）的保密程度來劃分的敏感度。梳理系統(tǒng)的所有數(shù)據(jù)庫表及其字段信息，運用這些集中管理的實體屬性內(nèi)容，給每個屬性設(shè)置相應(yīng)的敏感級別。在數(shù)據(jù)敏感度控制方面，屬性敏感度的優(yōu)先級僅次于實體敏感度。用戶首先要有實體的瀏覽權(quán)限，才進一步考慮屬性敏感度。

（5）敏感度分級：根據(jù)敏感數(shù)據(jù)的實體敏感度、內(nèi)容敏感度、屬性敏感度來計算出數(shù)據(jù)的敏感度級別。

（6）敏感度分級核查：根據(jù)預(yù)訂的檢查策略和規(guī)則對敏感數(shù)據(jù)的分級進行核查。

（7）數(shù)據(jù)安全鑒權(quán)控制調(diào)度：實現(xiàn)對數(shù)據(jù)安全鑒權(quán)控制的整體調(diào)度管理，負責對敏感數(shù)據(jù)模塊的整體控制。

4.2.3電子審批管理

電子審批模塊包括自管理模塊、審批內(nèi)容管理、審批時間管理、電子審批引擎、電子審批服務(wù)支撐、審批賦權(quán)管理、電子驗證碼管理、臨時訪問審批管理、長期賦權(quán)審批管理和審批任務(wù)管理等。用戶訪問業(yè)務(wù)支撐網(wǎng)時，如需要臨時性獲得直接上級某個功能點的用戶權(quán)限，訪問用戶需進行權(quán)限升級的電子審批，將電子驗證碼傳給業(yè)務(wù)支撐門戶，由業(yè)務(wù)支撐應(yīng)用門戶向訪問用戶的直接上級發(fā)送。直接上級如同意該申請則轉(zhuǎn)發(fā)電子驗證碼到訪問用戶，訪問用戶輸入該電子驗證碼通過審批，用戶通過審批后在限定時間內(nèi)獲得查看權(quán)限；如直接上級不同意該申請則不進行轉(zhuǎn)發(fā)。

4.2.4數(shù)字水印管理

數(shù)字水印模塊包括自管理模塊、敏感度內(nèi)容配置、數(shù)字水印生成引擎、數(shù)字水印調(diào)用管理、用戶數(shù)據(jù)采集、數(shù)字水印配置服務(wù)、條形碼規(guī)則管理、水印校驗服務(wù)和流程管理接口等。主要實現(xiàn)以下目標。（1）自管理模塊：負責數(shù)字水印服務(wù)自身的配置管理，主要包括用戶管理、敏感數(shù)據(jù)內(nèi)容控制等功能。（2）敏感度內(nèi)容配置：負責數(shù)字水印服務(wù)自身的配置管理，主要包括用戶管理、敏感數(shù)據(jù)內(nèi)容控制等功能。（3）數(shù)字水印生成引擎：水印生成引擎給請求的應(yīng)用返回數(shù)字水印圖片文件，數(shù)字水印圖片文件由用戶的條碼圖多次重復(fù)出現(xiàn)形成，用戶條碼圖用請求應(yīng)用的用戶ID計算得出的，不同的用戶ID生成不同的條碼圖。（4）數(shù)字水印調(diào)用管理：負責對業(yè)務(wù)支撐系統(tǒng)提供數(shù)字水印服務(wù)的整套調(diào)度和支撐管理。（5）用戶數(shù)據(jù)采集：根據(jù)數(shù)字水印的生成需要，采集業(yè)務(wù)支撐系統(tǒng)的訪問員工ID、時間日期、登錄IP及菜單ID等信息。（6）數(shù)字水印配置服務(wù)：負責用戶訪問頁面時調(diào)用數(shù)字水印服務(wù)的配置管理，通過配置來定義哪些業(yè)務(wù)支撐網(wǎng)內(nèi)容需要提供數(shù)字水印服務(wù)。（7）條形碼規(guī)則管理：定義數(shù)字水印的條形碼規(guī)則，根據(jù)規(guī)則實現(xiàn)計算、加密、編碼并進一步生成用戶條碼。（8）水印校驗服務(wù)：提供后臺服務(wù)，管理人員可以通過該功能解讀條形碼并找出真正的用戶姓名。用戶訪問頁面時可以根據(jù)訪問員工ID、時間日期、登錄IP及菜單ID生成數(shù)字水印信息內(nèi)容，將數(shù)字水印信息內(nèi)容傳送給業(yè)務(wù)支撐系統(tǒng)，由業(yè)務(wù)支撐系統(tǒng)門戶進行水印展現(xiàn)。

4.2.5客戶信息取數(shù)控制

4A管理平臺針對客戶信息訪問提供了圖形化工具與審計相結(jié)合的集中管理，構(gòu)建了一個完整的用戶管理、用戶鑒權(quán)、操作審計和訪問控制的體系。不再允許用戶對數(shù)據(jù)庫后臺資源的直接訪問；需要將通過數(shù)據(jù)庫的堡壘取數(shù)控制主機來訪問，由堡壘主機預(yù)裝的圖形化工具訪問數(shù)據(jù)庫的后臺資源。

4.2.6維護工具集中管理

客戶信息的維護工具通過4A管理平臺進行統(tǒng)一的Web，將系統(tǒng)運行維護工作所涉及的應(yīng)用軟件或工具集中部署在4A管理平臺服務(wù)器上。通過Web方式來向不同用戶或用戶群并僅其所需應(yīng)用；用戶在客戶端通過IE瀏覽器訪問權(quán)限訪問內(nèi)的客戶信息。

4.2.7客戶信息文檔管控

針對業(yè)務(wù)支撐網(wǎng)中涉及客戶信息訪問的維護人員都建立一個個人文件夾，個人文件夾的文件存放在4A文檔服務(wù)器上，通過4A管理平臺訪問每個賬號的文件夾。文件夾設(shè)置權(quán)限為只能某個主賬號訪問。管理中心通過FTP協(xié)議訪問文檔服務(wù)器的目錄，客戶端通過HTTP協(xié)議管理文件夾，上傳下載通過HTTP/FTP協(xié)議。實現(xiàn)客戶信息批量文檔下載操作行為的可控化，如果維護人員的確因業(yè)務(wù)需要下載用戶數(shù)據(jù)，則需要根據(jù)事先約定的申請、審批等環(huán)節(jié)，同時通過短信通知上級主管，形成基于信息安全監(jiān)察機制的閉環(huán)控制體系。

4.2.8客戶信息訪問審計

通過4A管理平臺任何用戶使用和應(yīng)用的過程可以被全程監(jiān)控，其審計的內(nèi)容包括錄像審計、SecurerCRT審計、Sql訪問審計、客戶信息批量下載審計等。任何用戶使用維護功能的過程將被全程監(jiān)控：用戶的操作行為及顯示器上的內(nèi)容變化可以存放到集中存儲上，然后在需要的時候像看電影一樣回放。為有效利用資源和保護隱私，客戶信息訪問審計允許靈活定制以時間、角色、應(yīng)用名稱、位置為參數(shù)的錄像策略來控制錄像的開始和停止。業(yè)務(wù)支撐系統(tǒng)從各環(huán)節(jié)層次抽取的審計日志信息，按照4A管理平臺的要求對其進行重新過濾和格式化整理，并最終進行日志信息入庫。整個過程需實現(xiàn)處理的流程化及自動調(diào)度機制，以保障4A管理平臺能夠及時地獲取日志數(shù)據(jù)。4A管理平臺提供統(tǒng)一日志采集接口（API或WebServices），所有應(yīng)用系統(tǒng)都可以調(diào)用該接口，記錄日志信息。

5意義

客戶信息保護體系的建設(shè)是以強化業(yè)務(wù)支撐系統(tǒng)數(shù)據(jù)安全管理，實現(xiàn)信息安全審計、數(shù)據(jù)安全保護為最終目的。通過對系統(tǒng)權(quán)限、操作日志、訪問控制等安全措施，滿足中國移動在客戶信息安全保護方面的需求，提升業(yè)務(wù)支撐系統(tǒng)抗客戶信息安全風險能力，更進一步推動業(yè)務(wù)支撐系統(tǒng)的持續(xù)、健康發(fā)展。

6結(jié)束語

本文在分析了中國移動客戶信息安全保護的需求基礎(chǔ)上，對客戶信息保護體系的關(guān)鍵實現(xiàn)機制進行了研究，并對客戶信息保護體系的實現(xiàn)架構(gòu)、功能要求、管控方法進行了分析和描述。在客戶信息保護體系的實際應(yīng)用中需要緊密地與業(yè)務(wù)支撐系統(tǒng)的實際情況，形成CRM系統(tǒng)、經(jīng)營分析系統(tǒng)客戶信息安全管控策略，提高了安全機制的推廣效率。隨著用戶的深入使用，功能將越來越強大。

作者：徐黨生 單位：中國移動通信集團吉林有限公司