现代企业信息安全建设研究.pdf

Research on information security construction of modern enterprises Li Yan （Research Center for Computer and Microelectronics Industry Development MIIT ，Beijing 100048，China ） 现代企业信息安全建设研究 李焱 （工业和信息化部计算机与微电子发展研究中心，北京100048） 摘 要 为应对现代企业信息安全需求，现代企业从信息安全的基 础防护能力建设入手，逐步打造整体信息安全能力。本文重点从信息 安全策略体系、信息安全保障手段、信息安全防护等角度进行分析。 关键词 网络安全 主机系统安全 物理安全 应用系统安全 Abstract To response the security needs of the modern enterprise, the modern enterprise from the basic protective capacity building of information security protection to start, and gradually build the whole information security capabilities. This article focuses on the analysis from the information security strategy system, information security guarantee means, information security protection and other aspects. Keywords Network security Host System Security Physical Security Application Security 1 / 31 随着十八大精神的贯彻落实，工业化和信息化的深度融合，企业的信息安全 问题越来越引起了人们的重视，从当前的现实情况来看，企业面临的信息安全形 势相当严峻，如何解决这一问题，已经成为企业乃至于整个社会应该深入思考的 问题。 一、信息安全综述 信息安全是保障现代企业信息系统顺利运行的关键安全保障因素。随着系 统、数据的集中，多级共享数据必须具备相应的信息安全保障能力，以应对可能 的信息安全隐患。 信息化安全防护的总体目标是确保现代企业业务数据在存储、传输和使用过 程中的安全、准确，确保现代企业业务系统持续、稳定的运行，确保重要业务操 作行为的可审计，抵御黑客、恶意代码、病毒等对现代企业信息系统的攻击与破 坏，防止对信息系统资源的非法、非授权访问。 现代企业信息安全工作总体还处在比较薄弱的阶段，信息安全还未被提升至 应有的高度。信息安全标准、流程、制度、技术手段在各层级单位正在逐步增强， 但还未形成完整的体系，未能完全反映到建设实施层面，表现在：  还未把信息安全的重要性提升到应有的高度，普遍不具备信息安全管理 组织及对应的岗位职能  缺乏信息安全建设的整体架构与策略  信息安全标准、信息安全流程、信息安全制度正在逐步增加，但还未形 成完整的体系，未能完全反映到建设实施层面 2 / 31  由于资金投入限制，普遍缺乏基本的信息安全管控手段，尤其是网络安 全管理手段 现代企业应首先建立起信息安全的初始体系，并在未来逐渐完善的基础上通 过国际信息安全标准（ISO17799）。规划将以现代企业现状为基础，从组织、策 略、保障手段等维度进行总体规划：  组织：建立安全组织架构对信息安全进行管控，并加强在企业内部的推 行力度  策略体系：在已有的信息安全规章制度的基础上，完善信息安全策略、 标准和操作流程  通过各项手段对企业的应用安全、运维安全等安全能力进行管理，部署