企业网络安全法规精选(九篇)

前言：一篇好文章的诞生，需要你不断地搜集资料、整理思路，本站小编为你收集了丰富的企业网络安全法规主题范文，仅供参考，欢迎阅读并收藏。

第1篇：企业网络安全法规范文

 

1、企业网络信息安全管理的现状分析

 

1.1、钢铁企业信息化的必要性分析

 

随着我国经济的发展和科技的进步，信息化已在越来越多的企业中被得到应用，而钢铁企业作为我国的经济支柱之一，在近年来也逐渐实现了钢铁企业的信息化建设。在钢铁企业中实施信息化建设，一方面是可以将钢铁企业的发展空间扩大，提高企业本身的在市场的竞争力，使其在如今竞争激励的市场中占有一席之地，对钢铁企业实施信息化建设是企业发展的需要;另一方面，由于钢铁企业的业务，其所涉及到数据、文档和图纸等的数量都是比较多的，想要将这些数据、文档和图纸储存起来是一件不容易的事，操作起来比较复杂，而通过信息化技术的支持则可以大大的简化了这个储存操作的过程，便于人员进行操作，使钢铁企业的运行效率得到大大的提高，对钢铁企业实施信息化建设是企业管理的需要。除此之外，随着生产链全球化和供应链全球化的日益紧密，钢铁企业作为我国的经济支柱之一，要求其利用信息化管理加强对钢铁生产建设的指导的迫切性已是越来越突出。因此，对钢铁企业实施信息化建设是非常有必要的，它不仅仅是钢铁企业本身发展的需要，也是钢铁企业管理的需要，同时也还是生产链全球化和供应链全球化对钢铁企业生产的要求所在。

 

1.2、当前存在的问题

 

上述信息化优势证明我国电力企业近年来关于网络信息化建设取得了一些成果，给行业信息化建设打下了良好的基础，但在网络信息安全管理方面仍普遍存在较多问题。

 

(1)信息化机构建设不健全

 

钢铁企业很少为信息管理部门专门设置机构，因而缺乏应有的规范的岗位及建制。大多信息部门附属在技术部、科技部或总经理工作部门下，甚至仅设置一个专责人员负责。信息化管理是一项系统性的工程，没有专门的部门负责是不能满足现代企业信息化安全的需求的。

 

(2)企业管理阻碍信息化发展

 

有些钢铁企业管理办法革新缓慢，大多采用较落后的、非现代信息化企业的管理模式。这样的企业即便引入最完善的信息管理系统、最先进的信息化设备，也只能受落后的企业管理模式所制约，无法发挥其应有的作用。

 

(3)内部监管不足，相关法规不够完善

 

内部网络安全监管对信息安全管理起着至关重要的作用。很多信息安全案件发生的根本原因都是缺乏有效的网络安全监管，即使许多信息安全管理者认识到了加强内部监管的重要性，但实施起来依然阻力重重。很多具体的危害信息安全的行为并没有在现行的信息安全法律、法规中做出明确的界定。

 

(4)身份认证缺陷

 

电力企业一般只建立内部使用的信息系统，而企业内部不同管理部门、不同层次员工有不同等级的授权，根据授权等级不同决定各部门和员工访问的数据和信息不同。这类授权是以身份认证为基础的信息访问控制，但在当前的企业身份认证系统中大多存在缺陷和漏洞，给信息安全留下隐患。

 

(5)软件系统安全风险较大

 

软件系统安全风险指两方面，一是编写的各种应用系统可能有漏洞造成安全风险，二是操作系统本身风险，随着近期微软停止对windowsXP系统的服务支持，大量使用windowsXP系统的信息管理软件都将得不到系统漏洞的修补，这无疑会给信息安全带来极大风险。

 

(6)管理人员意识不足

 

很多钢铁企业员工网络安全意识参差不齐，一方面是时代的迅速发展导致较年轻的管理人员安全意识较高，而对网络接触较少的中老年员工网络安全意识较为缺乏;另一方面也有电力企业管理制度不够完善、忽视对员工进行及时培训的原因。在这种人员背景下，如果管理人员配备不当、信息管理系统设置不合理都会给企业信息埋下安全隐患。

 

2、完善企业网络信息安全方案的具体实施

 

2.1、防火墙部署

 

防火墙是建立在内部专有网络和外部公有网络之间的。所有来自公网的传输信息或从内网发出的信息都必须穿过防火墙。网络访问的安全一方面我们要配置防火墙禁止对内访问，以防止互联网上黑客的非法入侵;另一方面对允许对内访问的合法用户设立安全访问区域。防火墙是在系统内部和外部之间的隔离层，可保护内部系统不被外部系统攻击。

 

通过配置安全访问控制策略，可确保与外界可靠、安全连接。防火墙的功能是对访问用户进行过滤，通过防火墙的设置，对内网、公网、DMZ区进行划分，并实施安全策略，防止外部用户或内部用户彼此之间的恶性攻击。同时防火墙支持VPN功能，对经常出差的领导、员工支持远程私有网络，用户通过公网可以象访问本地内部局域网一样任意进行访问。此外，防火墙还可以收集和记录关于系统和网络使用的多种信息，为流量监控和入侵检测提供可靠的数据支持。

 

2.2、防病毒系统

 

计算机网络安全建设中其中最为关键的一个部分即是加强对防病毒系统的建设，这就需要在实际工作中，通过科学合理对防病毒系统进行装置，从而实现对病毒的集中管理，利用中心控制室来对局域网的计算机和服务器进行有效的监视，从而加强病毒的防范。而对于进入到计算机系统内的病毒则需要做出及时的影响，预以及时清除。

 

2.3、流量监控系统

 

什么是流量监控?众所周知，网络通信是通过数据包来完成的，所有信息都包含在网络通信数据包中。两台计算机通过网络“沟通”，是借助发送与接收数据包来完成的。所谓流量监控，实际上就是针对这些网络通信数据包进行管理与控制，同时进行优化与限制。流量监控的目的是允许并保证有用数据包的高效传输，禁止或限制非法数据包传输，一保一限是流量监控的本质。在P2P技术广泛应用的今天，企业部署流量监控是非常有必要的。

 

2.4、合理的配置策略

 

通过将企业网络划分为虚拟网络VLAN网段，这样不仅可以有效的增加网络连接的灵活性，而且可以对网络上的广播进行有效的控制，减少没必要的广播，从而有效的释放带宽，不信有效的提高网络利用率，而且使网络的安全性和保密性能得到有效的提升，确保了网络安全管理的实现。

 

2.5、安全管理制度

 

目前我国还没有制订统一的网络安全管理规范，所以在当前网络安全不断受到威胁的情况下，需要我们首先在设计上对安全功能进行完善，其次还要加强网络安全管理制度的建立，并确保各种安全措施得以落实。对于企业中安全等级要求较高的系统，则需要由专人进行管理，实行严格的出入管理，利用不同手段对出入人员进行识别和登记管理，从而确保企业网络信息的安全性。

 

总之，在计算机技术、信息技术和网络技术的发展下，企业在生产活动中都建立了属于自己的局域网和企业办公平台，从而使企业在生产和经营过程中的数据传输速度加快，而且业务系统及管理系统以网络分支的情况下分布开来，这对于企业管理效率的提升起到了积极的作用。网络技术在企业中的应用，有效的改变了企业的生产方式，推动了企业的快速发展，但其也带来了一定的隐患，如果不能及时对网络的安全进行有效的防范，则会给企业带来严重的经济损失。

 

作者：施雅芳 来源：城市建设理论研究 2014年35期

第2篇：企业网络安全法规范文

论文摘要:计算机网络高速发展的同时，给信息安全带来了新的挑战。通过对国内企业信息安全面临的风险分析，有针衬性地提出常用技术防护措施。

随着信息技术迅猛发展，计算机及其网络、移动通信和办公自动化设备日益普及，国内大中型企业为了提高企业竞争力，都广泛使用信息技术，特别是网络技术。企业信息设施在提高企业效益的同时，给企业增加了风险隐患，网络安全问题也一直层出不穷，给企业所造成的损失不可估量。

1企业面临的网络安全威胁

1.1来自企业内部的攻击

大量事实表明，在所有的网络攻击事件当中，来自企业内部的攻击占有相当大的比例，这包括了怀有恶意的，或者对网络安全有着强烈兴趣的员工的攻击尝试，以及计算机操作人员的操作失误等。内部人员知道系统的布局、有价值的数据放在何处以及何种安全防范系统在工作。因内部人员攻击来自区域内部，常常最难于检测和防范。

1.2来自企业外部的恶意攻击

随着黑客技术在互连网上的扩散，对一个既定目标的攻击变得越来越容易。一方面，对攻击目标造成的破坏所带来的成就感使越来越多的年轻人加人到黑客的行列，另一方面商业竞争也在导致更多的恶意攻击事件的产生。

1.3网络病毒和恶意代码的袭击

与前几年病毒和恶意代码传播情况相比，如今的病毒和恶意代码的传播能力与感染能力得到了极大提升，其破坏能力也在快速增强，所造成的损失也在以几何极数上升。WwW.lw881.com如何防范各种类型的病毒和恶意程序，特别是网络病毒与邮件病毒，是任何一个企业都不得不面对的一个挑战。

2企业网络安全常用的防护措施

目前，不同种类的安全威胁混合在一起给企业网络的安全带来了极大的挑战，从而要求我们的网络安全解决方案集成不同的产品与技术，来有针对性地抵御各种威胁。我们的总体目标就是通过信息与网络安全工程的实施，建立完整的企业信息与网络系统的安全防护体系，在安全法律、法规、政策的支持与指导下，通过制定适度的安全策略，采用合适的安全技术，进行制度化的安全管理，保障企业信息与网络系统稳定可靠地运行，确保企业与网络资源受控合法地使用。

2.1部署统一的网络防病毒系统

在网络出口处部署反病毒网关。对邮件服务器安装特定的防病毒插件以防范邮件病毒，保护邮件服务器安全。在服务器及客户端上部署统一的防病毒软件客户端，实现对系统、磁盘、光盘、邮件及internet的病毒防护。

2.2部署安全可靠的防火墙

企业为了在互联网上信息，共享资源，就不得不将自己的内部网络在一定程度上对外开放，这就在无形中增加了安全隐患，使有不良企图的人有机可乘。为了使信息系统在保障安全的基础上被正常访问，需要一定的设备来对系统实施保护，保证只有合法的用户才可以访问系统‘就目前看，能够实现这种需求的性能价格比最优的设备就是防火墙。防火墙的目的是要在不同安全区域(如:内部，外部、dmz、数据中心)网络之间建立一个安全控制点，通过允许、拒绝或重新定向经过防火墙的数据流，实现对进、出内部网络的服务和访问的审计和控制。具体地说，设置防火墙的目的是隔离内部和外部网，保护内部网络不受攻击。

2.3部署入侵检测系统

作为防火墙的补充，入侵检测系统(工ds)用于发现和抵御黑客攻击。人侵检测系统是一种网络/计算机安全技术，它试图发现入侵者或识别出对计算机的非法访问行为，并对其进行隔离。攻击者可能来自外部网络连接，如互联网、拨号连接，或来自内部网络。攻击目标通常是服务器，也可能是路由器和防火墙。

入侵检测系统能发现其他安全措施无法发现的攻击行为，并能收集可以用来诉讼的犯罪证据。一般入侵检侧系统有两类:基于网络的实时入侵检测系统和基于主机的实时人侵检测系统。

2.4配置漏洞扫描工具

漏洞扫描是一项重要的安全技术，它采用模拟攻击的形式对网络系统组成元素(服务器、工作站、路由器、防火墙、应用系统和数据库等)可能存在的安全漏洞进行逐项检查，根据检查结果提供详细的漏洞描述和修补方案，形成系统安全性分析报告，从而为网络管理员来完善网络系统提供依据。通常，我们将完成漏洞扫描的软件、硬件或软硬一体的组合称为漏洞扫描器。

2.5部署综合审计系统

通俗地说，网络安全审计就是在企业的网络环境下，为了保障网络和数据不受来自外网和内网用户的入侵、破坏、窃取和失泄，而运用各种技术手段实时收集和监视网络环境中每一个组成部分的系统状态、操作以及安全事件，以便集中报警、分析、处理的一种技术手段。

网络审计分为行为审计和内容审计，行为审计是对上网的所有操作的行为(诸如:浏览网页、登录网站从事各种活动、收发邮件、下载各种信息、论坛和博客发表言论等)进行审计，内容审计是在行为审计的基础上，不仅要知道用户的操作行为，而且还要对行为的详细内容进行审计。它可以使关心内容安全的管理人员清晰地知道通过网络有无没有采用加密处理就在网上传送的重要数据或内部和涉密文件被发出(用户行为)和被盗取(黑客行为);有无浏览不良网页;有无在论坛和博客上发表不负责的言论;有无使用即时通信工具谈论内部或涉密的话题。

2.6部署终端安全管理系统

由于企业内部终端数量多，人员层次不同，流动性大，安全意识薄弱而产生病毒泛滥、终端滥用资源、非授权访问、恶意终端破坏、信息泄密等安全事件不胜枚举。通过部署终端安全管理系统杜绝了非法终端和不安全终端的接人网络;对有权访问企业网络的终端进行根据其账户身份定义的安全等级检查和接入控制;对相关的内部人员的行为进行审计，通过严格的内部行为审计和检查，来减少内部安全威胁，同时也是对内部员工的一种威慑，有效强化内部信息安全的管理，将企业的信息安全管理规定通过技术的手段得到落实。

2.7建立企业身份认证系统

传统的口令认证方式虽然简单，但是由于其易受到窃听、重放等攻击的安全缺陷，使其已无法满足当前复杂网络环境下的安全认证需求，因此涌现了诸如:数字证书、动态口令、智能卡、生物识别等多种认证方式。目前，基于pki(publickeyinfrastructure)技术体系的身份

认证系统能够为企业的敏感通信和交易提供一套信息安全保障，包括保密性、完整性、真实性和不可否认。确保企业信息资源的访问得到正式的授权，验证资源访问者的合法身份，将风险进一步细化，尽可能地减轻风险可能造成的损失。

2.8安全服务与培训

任何安全策略的制定与实施、安全设备的安装配置与管理，其中最关键的因素还是人。因此根据相关的法律、法规、政策，制定出符合企业自身特点的安全战略并加以实施，对企业的网络安全人员进行相关的专业知识及安全意识的培训，是整个网络安全解决方案中重要的一个环节。

2.9完善安全管理制度

俗话说“信息安全，三分技术，七分管理”，企业除了做好应用安全，网络安全，系统安全等保障措施外，还必须建立相应的管理机构，健全相应的管理措施，并利用必要的技术和工具、依据有效的管理流程对各种孤立、松散的安全资源的日常操作、运行维护、审计监督、文档管理进行统一管理，以期使它们发挥更大的功效，避免由于我们管理中存在的漏洞引起整个信息与网络系统的不安全。

第3篇：企业网络安全法规范文

主动攻击是指攻击者利用网络与系统设计中存在的漏洞进行恶意的侵入和破坏，其中当今最突出的恶意攻击----拒绝服务攻击就是主动攻击的典型。它通过对信息服务资源进行超负荷使用或干扰使计算机功能或性能崩溃来阻止提供服务。主动攻击主要分为中断、篡改和伪造3种。中断是指攻击者通过干扰计算机阻止计算机网络用户进行正常通信。篡改是指攻击者截获网络用户传输的数据，对该数据进行恶意修改，然后再将修改后的数据传输给接收者。伪造指攻击者伪造成甲用户与乙用户建立通信，从而非法获得信息。

2造成计算机网络安全风险的因素

2．1系统本身存在的漏洞

系统漏洞存在的原因主要有：编程人员能力、技术和当时安全监控技术的限制；编程人员无法弥补的硬件漏洞问题通过软件表现出来；编程人员为某种利益驱动故意留存的漏洞。这些因素给攻击者带来了有机可成的机会。尽管微软等公司一直致力于漏洞的修复技术，但系统的某一微小的漏洞就可造成就计算机系统巨大损失。是计算机网络安全十分重要的环节。

2．2病毒及恶意软件防范能力薄弱

根据目前某公司的分析报告：目前全世界拥有200万程序员具有能力写较成熟电脑病毒。而黑客的攻击方法完全超出了病毒的种类，并且计算机病毒的具有强大的传播能力，在短时间内就可攻击到Internet网络上的所有计算机，令人防不胜防。造成计算机及网络系统的瘫痪。特洛伊木马、蠕虫病毒等因其强大的破坏力被网络用户所熟悉，而其却显示越演越烈之势，黑客的攻击手段层出不穷，向计算机网路安全发起了强有力的挑战。

2．3计算机用户问题

计算机操作者水平参差不齐，由于其防范意识薄弱，在应用过程中的误操作，误判断也会给计算机带了安全隐患。

2．4缺乏科学准确的评估、分析手段

科学准确的安全评估和分析手段是应对黑客入侵的基础，它是通过对整个网络存在的威胁、影响和薄弱点进行评估，从而确认安全风险及其危害程度的计算机网络防范手段。网络安全评估是计算机网络安全维护的基础，是对计算机网络安全性能分析的前提，它为网络管理人员提供了降低风险，实施风险管理和风险控制的依据。它通过扫描目前网络信息系统中的漏洞，分析系统的安全状况，并对已发现的问题提出可行性建议。安全评估和分析技术是应对网络黑客攻击行之有效的方法。

3计算机网络安全防范措施

3．1漏洞扫描

漏洞扫描是计算机网络防护的重要手段，及时准确地发现自己工作中的弱点，信息平台中漏洞和问题，才能抢占先机，处于不败之地。漏洞检测的功能主要有：定期自我检查和评估网络安全；检查安装的新软件和开启的新服务的安全性；网络建设和改造前后安全规划评估和效果检测。主要的漏洞扫描工具有Qualys，FoundStone，Rapid7和Nessus等。其中专门提供Saas服务的Qualys工具被广泛推广和应用，它能够为各类企业提供企业网络、网站应用等多个方面的特定的扫描方法和报告服务。漏洞扫描能及时准确地检查系统中的安全隐患，从而能保证用户的业务能安全迅速地开展，维护了国家所有信息资产、公司和企业资产的安全。

3．2防火墙技术

防火墙是由多个硬件设备及其相应软件组成的系统，它位于不可信的外部网与需要保护的内部网之间，起到屏障作用。它通过在Internet与Intranet之间建立一个SecurityGateway（网关），保护内部网络免受没有授权的非法用户的攻击并执行用户规定的访问控制策略。它主要有4部分组成：服务访问政策、应用网关、验证过滤和包过滤。从应用原理上可以分为以下4类：（1）包过滤防火墙，用户常见的路由器就是一个传统型的包过滤防火墙，它主要是根据数据包的源地址、目的地址、协议、端口等决定是否转发收到的网络包。包网络防火墙将数据包的信息与其设定的规则匹配，若没有任何符合的规则与该数据包符合则防火墙就会丢弃该包。包过滤防火墙提供的端口检查服务能够有效地控制外部非信任主机对内部客户端和服务器连接请求。（2）应用级网关。该类网关能够解析应用层协议，可做复杂的访问控制，并能够做出精细的注册和稽核。它能够检查网络中传输的数据包，通过复制传递数据，阻止不受信任的主机与受信任的主机和服务器进行通信。（3）电路级网关。主要通过监控TCP会话的3次握手信息。从而确定受信任的主机和服务器与非信任的主机之间建立的对话是否合法。电路级网关提供的服务器（ProxyServer）功能，能够允许网络管理员对特定的应用程序或该应用程序的特定功能进行使用或屏蔽。该功能主要由计算机的硬件来承担实现。（4）规则检查防火墙。此类防火墙集成以上3种防火墙的特点，能够检查传输中的数据包，能够检查ACK和SYN标记和序列数字在逻辑上是否有序，并且能够检查数据包内容是否符合网络安全规约。

3．3数据加密与身份认证

数字加密和认证技术是进行计算机网络防护的有效手段之一，数据加密是对传输的数据进行加密，并以密文的形式传输信息数据的方法。数据加密能够保护用户数据不会被恶意获取或篡改，只有具有相应密钥的用户才能获取该数据包的信息。但是密钥管理在此技术中就显得尤为重要，必须以安全的形式进行传输。在对计算机网络安全进行维护时适当采用数据加密算法进行安全通信是可行的。身份认证是指外部用户对内部资源进行访问时，需要首先在门户服务器上进行认证和授权。只有身份认证通过的授权用户才能对内网进行数据访问。

3．4加强防范意识

对用户加强计算机网络安全教育，建立网络安全管理部门，对重要部门、重要设备进行集中管理，并设立专职维护人员，做到定期自查，及时发现，立刻修复；建立健全计算机安全法律法规，对计算机网络用户进行法律知识培训，使用户从思想上培养计算机安全防范意识；定期对计算机及其网络设备进行漏洞扫描、修复和计算机系统维护，建议安装适合的防病毒软件，并加强用户防病毒技术能力培训。

4结语

第4篇：企业网络安全法规范文

1 移动互联网的安全现状

自由开放的移动网络带来巨大信息量的同时，也给运营商带来了业务运营成本的增加，给信息的监管带来了沉重的压力。同时使用户面临着经济损失、隐私泄露的威胁和通信方面的障碍。移动互联网由于智能终端的多样性，用户的上网模式和使用习惯与固网时代很不相同，使得移动网络的安全跟传统固网安全存在很大的差别，移动互联网的安全威胁要远甚于传统的互联网。

⑴移动互联网业务丰富多样，部分业务还可以由第三方的终端用户直接运营，特别是移动互联网引入了众多手机银行、移动办公、移动定位和视频监控等业务，虽然丰富了手机应用，同时也带来更多安全隐患。应用威胁包括非法访问系统、非法访问数据、拒绝服务攻击、垃圾信息的泛滥、不良信息的传播、个人隐私和敏感信息的泄露、内容版权盗用和不合理的使用等问题。

⑵移动互联网是扁平网络，其核心是IP化，由于IP网络本身存在安全漏洞，IP自身带来的安全威胁也渗透到了移动专业提供论文写作和写作论文的服务，欢迎光临dylw.net互联网。在网络层面，存在进行非法接入网络，对数据进行机密性破坏、完整性破坏；进行拒绝服务攻击，利用各种手段产生数据包造成网络负荷过重等等，还可以利用嗅探工具、系统漏洞、程序漏洞等各种方式进行攻击。

⑶随着通信技术的进步，终端也越来越智能化，内存和芯片处理能力也逐渐增强，终端上也出现了操作系统并逐步开放。随着智能终端的出现，也给我们带来了潜在的威胁：非法篡改信息，非法访问，或者通过操作系统修改终端中存在的信息，产生病毒和恶意代码进行破坏。

综上所述，移动互联网面临来自三部分安全威胁：业务应用的安全威胁、网络的安全威胁和移动终端的安全威胁。

2 移动互联网安全应对策略

2010年1月工业和信息化部了《通信网络安全防护管理办法》第11号政府令，对网络安全管理工作的规范化和制度化提出了明确的要求。客户需求和政策导向成为了移动互联网安全问题的新挑战，运营商需要紧紧围绕“业务”中心，全方位多层次地部署安全策略，并有针对性地进行安全加固，才能打造出绿色、安全、和谐的移动互联网世界。

2.1 业务安全

移动互联网业务可以分为3类：第一类是传统互联网业务在移动互联网上的复制；第二类是移动通信业务在移动互联网上的移植，第三类是移动通信网与互联网相互结合，适配移动互联网终端的创新业务。主要采用如下措施保证业务应用安全：

⑴提升认证授权能力。业务系统应可实现对业务资源的统一管理和权限分配，能够实现用户账号的分级管理和分级授权。针对业务安全要求较高的应用，应提供业务层的安全认证方式，如双因素身份认证，通过动态口令和静态口令结合等方式提升网络资源的安全等级，防止机密数据、核心资源被非法访问。

⑵健全安全审计能力。业务系统应部署安全审计模块，对相关业务管理、网络传输、数据库操作等处理行为进行分析和记录，实施安全设计策略，并提供事后行为回放和多种审计统计报表。

⑶加强漏洞扫描能力。在业务系统中部署漏洞扫描和防病毒系统，定期对主机、服务器、操作系统、应用控件进行漏洞扫描和安全评估，确保拦截来自各方的攻击，保证业务系统可靠运行。

⑷增强对于新业务的检查和控制，尤其是针对于“移动商店”这种运营模式，应尽可能让新业务与安全规划同步，通过SDK和业务上线要求等将安全因素植入。

2.2 网络安全

移动互联网的网络架构包括两部分：接入网和互联网。前者即移动通信网，由终端设备、基站、移动通信网络和网关组成；后者主要涉及路由器、交换机和接入服务器等设备以及相关链路。网络安全也应从以上两方面考虑。

⑴接入网的网络安全。移动互联网的接入方式可分为移动通信网络接入和Wi-Fi接入两种。针对移动通信接入网安全，3G以及未来LTE技术的安全保护机制有比较全面的考虑，3G网络的无线空口接入采用双向认证鉴权，无线空口采用加强型加密机制，增加抵抗恶意攻击的安全特性等机制，大大增强了移动互联网的接入安全能力。针对Wi-Fi接入安全，Wi-Fi的标准化组织IEEE使用安全机制更完善的802.11i标准，用AES算法替专业提供论文写作和写作论文的服务，欢迎光临dylw.net代了原来的RC4，提高了加密鲁棒性，弥补了原有用户认证协议的安全缺陷。针对需重点防护的用户，可以采用VPDN、SSLVPN的方式构建安全网络，实现内网的安全接入。

⑵承载网网络及边界网络安全。1）实施分域安全管理，根据风险级别和业务差异划分安全域，在不同的安全边界，通过实施和部署不同的安全策略和安防系统来完成相应的安全加固。移动互联网的安全区域可分为Gi域、Gp域、Gn域、Om域等。2）在关键安全域内部署人侵检测和防御系统，监视和记录用户出入网络的相关操作，判别非法进入网络和破坏系统运行的恶意行为，提供主动化的信息安全保障。在发现违规模式和未授权访问等恶意操作时，系统会及时作出响应，包括断开网络连接、记录用户标识和报警等。3）通过协议识别，做好流量监测。依据控制策略控制流量，进行深度检测识别配合连接模式识别，把客户流量信息捆绑在安全防护系统上，进行数据筛选过滤之后把没有病毒的信息再传输给用户。拦截各种威胁流量，可以防止异常大流量冲击导致网络设备瘫痪。4）加强网络和设备管理，在各网络节点安装防火墙和杀毒系统实现更严格的访问控制，以防止非法侵人，针对关键设备和关键路由采用设置4A鉴权、ACL保护等加固措施。

2.3 终端安全

移动互联网的终端安全包括传统的终端防护手段、移动终端的保密管理、终端的准入控制等。

⑴加强移动智能终端进网管理。移动通信终端生产企业在申请入网许可时，要对预装应用软件及提供者 进行说明，而且生产企业不得在移动终端中预置含有恶意代码和未经用户同意擅自收集和修改用户个人信息的软件，也不得预置未经用户同意擅自调动终端通信功能、造成流量耗费、费用损失和信息泄露的软件。

⑵不断提高移动互联网恶意程序的样本捕获和监测处置能力，建设完善相关技术平台。移动通信运营企业应具备覆盖本企业网内的监测处置能力。

⑶安装安全客户端软件，屏蔽垃圾短信和骚扰电话，监控异常流量。根据软件提供的备份、删除功能，将重要数据备份到远程专用服务器，当用户的手机丢失时可通过发送短信或其他手段远程锁定手机或者远程删除通信录、手机内存卡文件等资料，从而最大限度避免手机用户的隐私泄露。

⑷借鉴目前定期PC操作系统漏洞的做法，由指定研究机构跟踪国内外的智能终端操作系统漏洞信息，定期官方的智能终端漏洞信息，建设官方智能终端漏洞库。向用户宣传智能终端安全相关知识，鼓励安装移动智能终端安全软件，在终端厂商的指导下及时升级操作系统、进行安全配置。

3 从产业链角度保障移动互联网安全

对于移动互联网的安全保障，需要从整体产业链的角度来看待，需要立法机关、政府相关监管部门、通信运营商、设备商、软件提供商、系统集成商等价值链各方共同努力来实现。

⑴立法机关要紧跟移动互联网的发展趋势，加快立法调研工作，在基于实践和借鉴他国优秀经验的基础上，尽快出台国家层面的移动互联网信息安全法律。在法律层面明确界定移动互联网使用者、接入服务商、业务提供者、监管者的权利和义务，明确规范信息数据的采集、保存和利用行为。同时，要加大执法力度，严专业提供论文写作和写作论文的服务，欢迎光临dylw.net厉打击移动互联网信息安全违法犯罪行为，保护这一新兴产业持续健康发展。

⑵进一步加大移动互联网信息安全监管力度和处置力度。在国家层面建立一个强有力的移动互联网监管专门机构，统筹规划，综合治理，形成“事前综合防范、事中有效监测、事后及时溯源”的综合监管和应急处置工作体系；要在国家层面建立移动互联网安全认证和准入制度，形成常态化的信息安全评估机制，进行统一规范的信息安全评估、审核和认证；要建立网络运营商、终端生产商、应用服务商的信息安全保证金制度，以经济手段促进其改善和弥补网络运营模式、终端安全模式、业务应用模式等存在的安全性漏洞。

⑶运营商、网络安全供应商、手机制造商等厂商，要从移动互联网整体建设的各个层面出发，分析存在的各种安全风险，联合建立一个科学的、全局的、可扩展的网络安全体系和框架。综合利用各种安全防护措施，保护各类软硬件系统安全、数据安全和内容安全，并对安全产品进行统一的管理，包括配置各相关安全产品的安全策略、维护相关安全产品的系统配置、检查并调整相关安全产品的系统状态等。建立安全应急系统，做到防患于未然。移动互联网的相关设备厂商要加强设备安全性能研究，利用集成防火墙或其他技术保障设备安全。

⑷内容提供商要与运营商合作，为用户提供加密级业务，并把好内容安全之源，采用多种技术对不合法内容和垃圾信息进行过滤。软件提供商要根据用户的需求变化，提供整合的安全技术产品，要提高软件技术研发水平，由单一功能的产品防护向集中统一管理的产品类型过渡，不断提高安全防御技术。

⑸普通用户要提高安全防范意识和技能，加装手机防护软件并定期更新，对敏感数据采取防护隔离措施和相关备份策略，不访问问题站点、不下载不健康内容。

4 结束语

解决移动互联网安全问题是一个复杂的系统工程，在不断提高软、硬件技术水平的同时，应当加快互联网相关标准、法规建设步伐，加大对互联网运营监管力度，全社会共同参与进行综合防范，移动互联网的安全才会有所保障。

[参考文献]

第5篇：企业网络安全法规范文

【 关键词 】 大数据；电网安全；防护策略

1 引言

电力系统在国家基础设施建设中具有十分重要的地位。随着云计算、大数据等新兴技术的不断发展，电力系统的数字化、信息化、智能化程度越来越高。新技术在推动电网企业不断发展的同时，也带来了一系列安全问题，构成了较大的威胁与挑战。本文着眼于大数据时代下的电网企业安全，系统分析了电网企业面临的主要威胁，并针对性地提出安全防护策略，为电网企业安全建设与应用提供指导。

2 大数据发展现状

2.1 大数据推动社会进步

大数据（Big Data）是指所涉及的数据量规模巨大到无法通过人工在合理时间内达到截取、管理、处理，并整理成为帮助企业经营决策更积极目的信息。

2011年，全球知名咨询公司麦肯锡的研究报告，引起了IT界的广泛关注。Google、IBM、EMC、Facebook等公司相继开展了大数据技术研究，并纷纷推出各自的大数据解决方案和相关产品，例如Google公司的MapReduce、GFS，Apache组织推出的Hadoop大数据分析框架等。 2012年，美国政府联合六大部门了高达2亿美元的“大数据研究和发展计划”，标志着美国政府在政策层面将大数据提升到国家战略层面，该计划共投入了155个项目种类，涉及国防、医疗、能源等多个领域。

我国也在不断提高对大数据的认识与应用，认为大数据在降低经济社会运行成本和提高政府决策效率方面具有广阔的应用空间，许多呼声要求尽快出台中国的大数据发展战略。能源、医疗、工业制造、金融、电信等行业率先投入了大量的人力物力进行大数据创新实践与应用，着力解决本领域数据资源积累与有效转换，辅助优化企业运营与效率提升。

2.2 大数据推动电网企业转型发展

近年来，随着互联网技术的不断突破，智能电网成为电网企业发展的重要方向，并多次出现在政府工作报告中。智能电网（Smart Grid）是以物理电网为基础，将现代先进的传感测量技术、通信技术、信息技术、计算机技术和控制技术与物理电网高度集成而形成的新型电网。智能电网能够优化整个电网企业的资源配置，实现电力的可靠、安全、经济、高效运行和安全使用，支撑新一代电网安全生产和管理发展。随着智能电网的加快部署与业务应用的深化拓展，电网业务数据不断丰富与扩增，结构化和非结构化的电力数据中心不断运行，形成了规模庞大且结构复杂的数据集合，这为智能电网优化配置、电力服务行业发展提供了宝贵的数据资源，对电网企业“以电力生产为中心”的工作模式，向“以用户为中心”的服务模式的转型发展起了极大的推动作用。

当前，国家电网企业大数据建设尚处于试点研究阶段，其主要涉及的领域与业务主要集中在电网企业的运检、营销、运监等各个环节，通过挖掘数据之间的关系与规律，提高电网企业在生产、经营、管理等方面的质量与效率。例如开展电网设备状态监测的大数据应用，实现电网设备状态的智能监测，实时分析电网线损、配电负载等数据，及时发现电网企业运行异常，为电网调度、交易和检修提供支撑，提高电网企业的资源合理优化。开展用电信息与客户服务的数据分析，实时反馈客户购电与用电信息，建立合理的分时阶梯电价模型，促进电力效能的整体优化。同时，电网企业数据还能够与其他互联网、交通、经济等社会数据相融合，为经济宏观发展、产业分布情况调查、公共事业管理提供有力支持。

3 电网企业大数据分析

3.1 电网企业大数据概念与特征

电网企业大数据旨在对电力生产与使用过程中产生的大规模数据进行分析与处理，实现大数据对电网企业效能的“增值”。电网企业的数据主要包括三类：一是电网企业的设备运行数据，主要包括电网设备监测数据、状态数据等；二是电网企业的管理数据，主要包括跨单位、跨部门的电网企业职工数据、财务数据等；三是电网企业的运营数据，主要包括客户信息、客户用电数据、电费数据等。电力信息化委员会进行了专项研究，并提出电网企业大数据具有3V、3E特征。

（1）数据体量大（Volume）：电网企业数据体量超大，并随着智能电网的发展不断扩增。当前，中国电网企业已经采集了135TB的数据，并以每年90TB的数据在不断增长，规模十分庞大。

（2）数据类型多（Varity）：随着智能电网的不断发展，电网企业大数据类型也在不断扩增，除了传统的结构化数据，以视频、音频、文本为主的非结构化数据也在迅速增长，这对现有的数据分析技术提出了新的挑战。

（3）数据速度快（Velocity）：电力生产、传输、使用速度十分迅速，其产生的相关数据对“实时性”需求也十分紧迫，例如电力调度、运维数据必须进行实时处理，这直接关系到电网企业的公共服务质量。

（4）数据即能量（Energy）：电网企业大数据的产生与应用，就是电力能量不断的释放过程，对电网企业大数据的分析、处理与优化，就是对基础能源与基础设施的优化改进。

（5）数据即交互（Exchange）：电网企业大数据的生产与利用，实质上是与外部国民经济、社会成员不断的数据交互，其具有显著的交互特性。

（6）数据即共情（Empathy）：电网企业作为基础服务行业，应不断改进电网企业工作模式，建立电网企业与用户的情感联系，增进两者共情。

3.2 电网企业大数据安全威胁分析

大数据在电网企业具有广阔的应用前景与市场需求，电网企业大数据势必会推动电网企业向着更为优质、高效的服务方向前进。同时，大数据时代的到来，对电网企业的安全带来了一些新的威胁与挑战，如何构建多层次的安全防护体系，是未来电网企业发展中必须面临的重要问题。

大数据时代下电网企业工作模式如图1所示：（1）电网企业物理设施采用分布式的物理部署方式，主要维持日常的电力生产、输电、变电、配电、用电等操作，并利用设备监控系统不断实时采集所需数据，传输至电网企业大数据中心。同时，企业应用平台所需的非设备数据也将不断采集与传输至电网企业大数据中心，为应用平台的运行提供数据支撑；（2）电网企业大数据中心提供云存储与云计算功能（也可将两者分离），为企业应用平台提供所需的数据与计算服务；（3）面向不同的应用（电力运维、电力分配、企业管理、市场分析等），企业应用平台进行相应的数据分析与处理，自动优化与管理电力物理设施，提高电网企业的运行效率。本文对电网企业存在的主要安全威胁进行了系统分析，主要包括三个方面内容。

（1）电网企业物理安全威胁。电网企业拥有大量的物理设备，包括变电站、输配电线路等物理设备，这些设备是电网企业的核心，其安全性必须得到高度重视。随着网络物理系统（CPS：Cyber Physical Systems）与大数据在电网企业的不断应用，越来越多的安全问题随之产生。监控与数据采集系统（SCADA）是承载电力物理实体与网络空间的连接纽带，往往成为物理攻击的重点突破方向。2010年，“震网”病毒武器通过网络对伊朗布什尔核电站发动攻击，导致伊朗浓缩铀工程约1/5的离心机报废，极大延迟了伊朗的核进程，并开启了世界各国对网络物理系统安全的重视与管控。

（2）电网企业平台安全威胁。电网企业的信息化程度越来越高，除了传统的电力调度管理信息系统（DMIS）、企业管理信息系统（MIS）、企业办公自动化系统（OAS）等信息平台之外，电网企业大数据平台将会成为未来电网企业的核心公共平台，它将对现有电网企业信息系统进行数据接入，通过统一的数据融合、分析挖掘、可视化等功能服务建设，实现对电网企业的优化配置。同时，以上电网企业平台连接于不同安全等级的网络中，在安全建设方面仍然存在一定的技术缺陷与安全隐患，随着病毒、木马、DDOS攻击、APT攻击等先进网络攻击手段的技术提升，电网企业平台安全成为未来电力系统能够高效、稳定运行的关键。

（3）电网企业数据安全威胁。电网企业大数据中心的建设旨在将电网企业数据进行集中汇总，实现数据采集、存储、分析与应用等服务。同时，大数据自身存在的安全威胁不可避免的影响未来电网企业的安全建设与应用，主要包括电网企业大数据云存储环境安全、电网企业大数据用户隐私安全、电网企业大数据可控共享安全等众多问题，这对未来电网企业大数据的建设应用提出了较高的需求。

4 电网企业纵深防护策略

针对大数据时代下电网企业的安全威胁，根据常见的网络攻击及电网企业信息化建设情况，本文从电网企业的物理环境安全防护、终端安全防护、边界安全防护、网络安全防护、应用平台安全防护、数据安全防护等技术层面提出如图2所示的纵深防护策略，形成具有层次特性的电网企业安全防护体系，提高大数据时代下的电网企业安全。与此同时，在管理层面开展相关的保障措施以保证防护工作的顺利开展。

4.1 物理环境安全防护

电网企业物理环境根据设备部署安装位置的不同，选择相应的防护措施。大数据时代下的电网企业物理环境安全防护策略具体所述。

（1）室内物理环境要按照国家电网公司信息化工程的安全防护总体方案，并按照等级保护对应安全等级的物理安全要求进行防护，确保电网企业室内物理设备安全。

（2）室外物理设备如采集器、集中器、表计、信息采集类终端等，其主体需安装于室外设备机柜/机箱中，其安全防护要求应遵循国家相关工业安全标准。同时，室外物理设备还需满足国家对于电气、环境、噪音、电磁、防腐蚀、防火、防雷、电源等要求。

4.2 终端安全防护

电网企业拥有配电网子站、信息内外网办公计算机、移动作业类设备等多种类型终端，对于不同终端，需要根据具体终端的类型、应用环境以及通信方式等选择适宜的防护措施，具体的终端安全防护策略如下所述。

（1）配电网子站终端需要配置安全模块，对来源于主站系统的控制命令和参数设置指令采取安全鉴别和数据完整性验证措施，以防范冒充主站对子站终端进行攻击，恶意操作电气设备。

（2）信息内外网办公计算机终端需按照国家信息安全等级保护的要求实行分类分级管理，根据确定的等级实施必要的安全防护措施。例如，内网终端关闭FTP、Telnet等具有安全风险的服务，统一安装杀毒软件，定时更新病毒库与漏洞补丁，有效防范木马、蠕虫等恶意程序入侵。

（3）移动作业类终端严格执行公司办公终端严禁“内外网机混用”原则，移动终端接入内网需采用软硬件相结合的加密方式接入，确保移动终端的接入安全。

4.3 边界安全防护

电网企业网络具有分层分区的特点，例如用于电力生产的电网生产控制大区，用于企业管理的管理信息大区等，在不同区的网络边界需要加强安全防护，使边界的内部不受来自外部的攻击，具体的防护策略涉及几个方面。

（1）在电网生产控制大区与管理信息大区之间必须设置经国家指定部门检测认证的电力专用横向单向安全隔离装置，隔离强度应接近或达到物理隔离。对于重点防护的调度中心、发电厂、变电站，在生产控制大区与广域网的纵向连接处，应当设置经过国家指定部门检测认证的电力专用纵向加密认证装置，或者加密认证网关及相应设施，实现双向身份认证、数据加密和访问控制。

（2）在管理信息大区内部，审核不同业务网络密级与安全等级，在网络边界进行相应的隔离保护。按照业务网络的安全等级、用途以及实时性需求等评价指标，对关键核心业务网络与其他网络进行安全隔离，实现内部网与外部网的资源访问限制。其中，可以采用的安全隔离技术包括三类：（a）物理隔离技术，在物理上将内部网与外部网分离，阻断内外网之间的连接；（b）协议隔离技术，在内外网的连接端点处，配置协议隔离器实现内外网的连通与阻断；（4）防火墙隔离技术，在内外网之间设置防火墙，利用防火墙配置实现数据流的检测、限制与阻断，实现内外网之间的逻辑隔离。

4.4 网络安全防护

网络是连接电网企业物理设备、应用平台与数据的基础环境，是整个电网企业正常运转的重要保障。当前电网企业主要采用专用网络和公共网络相结合的网络结构，其中专用网络用以支撑电网企业的设备管理、调度管理、生产管理、资源管理等核心业务，并且不同业务的基础网络享有不同密级与安全等级，需要采取不同的防护策略。大数据时代下，电网企业的业务网络将会不断拓展，安全风险不断增加，具体的防护策略如下所述。

（1）对网络设备、网络基础服务、网络业务信息流等基础网络环境加强安全防护，采用访问控制、安全加固、监控审计、身份鉴别、入侵检测、资源控制等措施进行网络环境安全防护。

（2）针对信息资源的安全交换需求，构建电网企业的业务虚拟专网（VPN）。在电网企业网络中，有些重要数据与信息需要安全通信，考虑成本因素，建议在已有基础网络中建立安全通信机制，此时应采用VPN技术。VPN采用隧道、信息加密、用户认证、访问控制等相关技术，建立数据加密的虚拟网络隧道进行信息传输，能够有效防止敏感数据的窃取。

（3）采用先进的网络防护技术，增强网络的安全性与弹性。网络弹性是指网络在遇到灾难事件时快速恢复和继续运行的能力，建立电网企业基础网络的一体化感知、检测、响应和恢复机制，采取硬件冗余、网络叠加、虚拟化等方法提高企业网络弹性。

4.5 应用平台安全防护

电网企业应用平台安全直接关系到各业务应用的稳定运行，对电网企业应用平台进行安全防护，可以有效避免电力业务的阻断、扰乱、欺骗等破坏行为。为此，本文提出几种防护策略。

（1）加强应用平台的安全测评，确保应用平台的安全可靠。在应用平台投入使用前，应依赖第三方开展测评，对应用系统进行全面、系统的安全风险评估，并制定相应的安全保障措施，确保应用平台的安全可靠。

（2）加强应用平台的访问权限与访问控制。可以选择采用下列访问控制技术：基于动态和控制中心的访问控制、基于属性的访问控制、基于域的访问控制、基于角色的访问控制等。

（3）记录应用平台操作日志，便于调查取证与追踪溯源。可以对用户的访问记录、操作记录等信息进行归档存储，防范内部人员进行异常操作，为安全事件分析提供取证与溯源数据。

4.6 数据安全防护

大数据时代下电网企业，是以数据为中心进行电力的生产、传输与应用，因此，数据是电网企业的核心资源，需要受到高度重视。目前，大数据的应用尚不成熟，相关技术产品也存在很多安全问题，尤其是大数据的隐私保护、数据存储安全、数据访问安全、数据追踪溯源等问题，仍然制约与困扰着大数据的发展。本文提出如下安全策略，用以提升电网企业大数据的安全应用。

（1）加强电网企业数据的隐私安全，提高电网企业的可信度。电网企业拥有近乎国家人口规模的用户数据，这些数据不仅包含个人的隐私信息，而且还包括个人、家庭的电力消费行为信息，如果数据不妥善处理，会对用户造成极大的危害。为了保护电网企业数据的隐私安全，此处可采用的措施包括：（a）数据分享、分析、时进行匿名保护；（b）隐私数据存储加密保护。

（2）强化数据存储安全，提高大数据的应用安全。大数据一般在云端存储，主要采用分布式文件系统技术。为了提高电网企业大数据的安全性，在对云存储环境进行安全防护的前提下，还需要对电网关键数据与核心数据进行冗余备份，提高电网企业大数据存储的安全性能。

（3）严格控制数据访问权限，有效抵制外部恶意行为。针对电网企业大数据的应用现状，对大数据用户进行分类与角色划分，明确各角色的数据访问权限，规范各级用户的访问行为，确保不同等级密级数据的读、写操作，有效管理云存储环境下的电网企业大数据安全。

4.7 大数据安全技术

应该大力发展基于大数据信息安全技术的研究，提升企业网络与信息安全水平。在网络安全防范方面，内部威胁大于外部威胁，应积极研究网络内部人员威胁探测技术、异常检查技术以及运用图形分析和认知主动发现威胁技术等；另外针对那些使用过程中保持加密状态的数据，开发加密数据编程计算技术，使加密数据状态的数据仍然能使用在云环境中，客服大数据云计算环境中的信息安全问题；开发数据管理架构和处理工具，包括用于自动识别重大异常事件的大数据云存储与分析技术，提供电网持续监控系统的安全性，任务数据的可用性与可靠性性，减少对审计日志的时间和资源消耗，实现多种分析方法，提供日志脚本的实现、开发与支持；针对外部威胁，定义恶意软件和定向攻击等漏洞，创建通过分析Web、防火墙等其它硬件设备日志来应对恶意软件和网络漏洞威胁的分析方法等技术。

4.8 管理层面

在以数据为中心的新型电力系统构建与应用过程中，应首先从电力大数据政策法规层面建立相应的安全防护策略，规范电力企业的总体安全防护能力，约束与管理整个行业的安全操作行为，确保物理安全与管理安全。

（1）着眼统一认识，明确安全防护遵循原则，制定相应管理规定。为确保电力企业的安全管理，应从战略的角度开展行业整体安全理论研究，从安全认识、建设原则、工作思路等多个方面进行专项研究，制定整个行业的安全管理规定，宏观指导大数据时代下各电力企业的建设、管理与工作。

（2）制定行业标准，指导与规范电力系统安全管理。从技术的角度出发，制定电力行业信息安全系列标准，对不同的应用与系统进行分类，并设置不同的安全等级与防护措施，指导电力系统安全建设与管理。

（3）聚焦关键设施，建设专职安全防护力量，确保电力系统稳定运行。为了有效防护电力系统安全，应对电力系统关键基础设施进行隔离保护，设置安全管理机构，建立专职的安全运维与防护力量，保证电力系统的稳定运行。

（4）加强岗位培训，提高电力员工信息安全防护能力。严格执行电力企业员工岗位培训制度，分别对管理层、技术层和职工层进行针对性的安全教育与培训，对关键岗位人员、专业防护人员进行信息安全知识和安全法规教育，并定期进行安全检查与考核。

5 结束语

大数据在推动电网企业不断向前发展的同时，也为电网企业的转型发展与应用创新带来了新的威胁与安全隐患。本文对电网企业面临的安全威胁进行了系统分析，从电网企业的物理环境安全防护、终端安全防护、边界安全防护、网络安全防护、应用平台安全防护、数据安全防护等技术层面，提出了相应的安全防护策略。本文的研究能够为未来电网企业大数据的安全建设与应用提供有效的指导，相应的防护策略与方法有待在进一步探索与实践中不断优化与改进。

参考文献

[1] James Manyika，MichaelChui，BradBrown，etc. Big data：The next frontier for innovation， competition， and productivity[R]. USA：McKinsey Global Institute，2011.

[2] 中国电机工程学会电力信息化委员会.中国电力大数据发展白皮书[R].中国电力出版社，2013.

[3] 张培，杨华飞，许元斌.电力大数据及其在电网公司的应用[J].中国电机工程学报，2014（z1）：85-92.

[4] 高新华，王文，马晓.电力信息网络安全隔离设备的研究[J].电网技术，2003，27（9）69-72.

[5] 王保义，王蓝婧电力信息系统中基于属性的访问控制模型的设计[J].电力系统自动化，2007，31（7）：81-84.

[6] Celia Li，Cungang Yang，Todd Mander，Richard Cheung.Advanced Security Model for Power System Computer Networks[C].Power Engineering Society General Meeting，2005，1115-1122.

作者简介：

蒋明（1979-），男，安徽淮北人，华北电力大学计算机科学与技术专业，工学学士，现任国网安徽省电力公司信通公司信息通信运检中心副主任，高级工程师；主要工作业绩： 负责电力信息化运行和管理工作，多次获得安徽省电力公司科技进步奖和群众性创新奖。

第6篇：企业网络安全法规范文

[关键词]电子商务；安全体系；敏感数据流

一、引言

电子商务是伴随着网络计算而被人们所认识，并随着互联网的发展而日益蓬勃成长起来。可以说，目前电子商务已经成为全球最具活力的经济增长拉动力量。虽然随着2008年金融危机的爆发，全球经济景气度迅速下降，但作为世界商务领域重要力量的电子商务却一枝独秀，愈加显示出其蓬勃的生命力。

然而，由于电子商务的数据中有许多非常重要的商业信息和财务信息，这使它自诞生之初就成了众多不法分子觊觎的目标。大多数的电子商务企业(以下简称企业)每天都要面临众多的电子病毒攻击，并蒙受不同程度的损失。据赛门铁克公司的《全球互联网安全威胁报告》，2007年下半年全球平均每天发现有6.19万台计算机受到攻击，比上半年增长17％。在运用电子商务模式进行贸易的过程中，安全问题已成为电子商务最核心的问题，它包括有效保障通信网络、信息系统的安全，确保信息的保密性、完整性、认证性、不可否认性、不可拒绝性和访问控制性等。

二、电子商务面临的威胁

电子商务的基础环境是计算机和Internet网络。由于计算机具有脆弱性，Internet网络具有开放性和不可控制性，以及电子商务交易对象、交易凭证、交易结算方式均与传统的商务模式具有根本性的差别，这就使得电子商务的安全性问题成为开展网络电子商务所面临的巨大挑战。电子商务面临的威胁可以概括为三类：

1内部的威胁。包括内部人员有意或无意的泄密以及蓄意破坏和更改信息系统、内部非授权人员窃密和更改信息。

2外部网络连接者的威胁。包括截获机密信息、通过电信号推出有用信息、外部网络连接者的非法攻击、合法用户的非授权操作、合法用户的抵赖行为和合法用户的无意泄密。

3其他威胁。包括各种灾害、网络故障、操作失误和计算机病毒等。

三、电子商务安全体系架构

电子商务的安全不仅是技术性问题，而且它具有社会的复杂性。因此，要系统有效地解决电子商务的安全问题，就必须从技术和管理两个方面来构架其安全体系。

(一)技术方面。技术方面是本文所要阐述的主要方面，因为它能够依靠企业自身的努力来达到令人满意的安全保障效果。目前，关于电子商务安全体系的研究比较多，有基于层次的体系，也有基于对象的体系，还有基于风险管理的体系，等等。在我国，虽然电子商务发展比较快，但整体发展水平还是比较低，大部分企业对电子商务的认识和实际的开展情况都不尽如人意，多数的企业网站仅有主页和E—mail地址，这其中安全是十分突出的问题。本文研究了基于敏感数据流的安全体系，通过跟踪敏感数据流来构建安全体系，既可以从全程保证所有敏感数据的安全，又可以减掉各种不必要的安全投入，提高资源使用效率。

1客户机的数据安全。从第一个电子商务的客户通过电子网络向企业的电子设备发送信息的那一刻起，敏感数据便产生了。客户机的安全不仅是电子商务安全的第一步，而且是电子商务安全密不可分的重要部分。客户机的安全应考虑以下几个方面：

(1)Cookies。Cookies能够存储客户机信息、客户的登录信息和一些历史商务信息，以方便客户再次登录时提交给电子商务服务器。避免这些敏感信息泄露的最彻底力、法就是关闭cookie功能。但这有时会使打开一些网页受到影响。大部分浏览器既可以提供cookie的管理功能，也可以利用第三方软件来管理cookie。

(2)活动内容。活动内容是嵌入网页可以自动或激发执行的代码，包括Cookies、Java小程序、Java脚本、VB脚本和ActiveX控件。他们是植入木马病毒的重要途径。

(3)插件。它多半是与多媒体播放有关的程序，但它会导致一些嵌入影音文件的恶意代码被执行。

(4)病毒。它的危害程序很大，常通过E-mail、office文档和各种程序等多种形式进行传播。

(5)物理安全。利用数字证书技术、加密技术可以有效保障敏感数据的安全。还应该通过防火墙、杀毒软件、下载补丁和对各种软件的正确设置和使用等技术手段来最大程度减少其中的威胁。对于物理安全，除了使用传统技术，还可以使用一些识别设备，如指纹设备可以通过较小的代价提供比传统密码登录强大得多的保护。此类设备还有签名识别器、虹膜扫描器、掌纹扫描器等。

2信息传送安全。传送信息可以分为两类，一类是非敏感信息，另一类是敏感信息。非敏感信息包括客户的点击信息、查询和咨询信息以及一些操作信息。敏感信息则包括客户的银行账号、账户密码、重要的电子邮件和其他一些需要保密的信息。为了降低成本，只对敏感信息的传送采取严格的安全措施，这是企业必须做好的。

对于重要的电子邮件，大体可以分为两种解决方案：一种是端到端的安全电子邮件技术。应用比较广泛的端到端的安全电子邮件标准是PGP和S／MIME，他们都采用了公开的RSA公钥体制加密算法，基于以上标准的邮件系统大都采用了公钥基础设施PKI模式，遵循了X.509证书标准。目前，已开发出基于ECC加密算法的安全邮件加密系统，它有很好的前景。端到端的安全电子邮件技术是对邮件内容进行加密和签名，从而保证了电子邮件的安全性、完整性和不可否认性。另一种解决方案是传输层的安全电子邮件技术，它不仅能对邮件内容进行保密，也能对信头进行保密。但是，这在某些应用环境下是有要求的，这种方案又有两种方式：一种是利用SSLSMTP和SSLPOP，另一种是利用VPN或者其他的IP通道技术。

对于其他通过万维网传送的敏感信息，大体可以分为两种解决方案：一种是存储加密技术，即依据机密信息的秘密等级设定文件的加密级别，然后，将机密信息用对称加密算法如DES、IDEA、RC4等算法加密后存储，加密密钥用Web服务器的公钥，采用RSA算法加密并附加在文件中。访问者只有在通过身份认证后，并且具有同等访问权限，系统才能用Web服务器的私钥解密加密文件后传送给访问者。这一技术使用比较普遍，它可在不对网络环境做特殊要求的前提下根本解决网络安全的两大要求(网络服务的可用性和信息的完整性)。另一种常用的方案是SSL技术，它采用公开密钥和私人密钥两种加密体制，可以保证两个应用间通信的保密性和完整性及其认证。现行Web浏览器普遍将HTYP和SSL相结合来实现安全通信。

3电子商务企业内部的数据安全。当敏感数据进入企业服务器中，他们将被解密，然后再经过多次存储、再传送、分析等操作过程。这些处理将在企业内部进行，这就涉及到企业内部的电子商务信息安全。此时，这些信息受到的攻击最多，所以，这里是信息安全最重要的环节和最主要的战场。敏感信息将分置于多个服务器和工作站中，它将受到来自外部和内部的双重威胁，这时要做好以下工作：

(1)基础性工作

①针对安全漏洞，必须至少在这些计算机上及时安装各种软件的补丁程序，这不仅包括操作系统，也包括其他可能有漏洞的软件。可能的话，应选用安全性较高的软硬件。

②针对各种病毒感染，必须至少在这些计算机上安装杀毒软件，及时升级病毒库，并定期查杀病毒。由于计算机病毒对电子商务所信赖的网络环境有巨大的破坏力，因此，对网络计算机病毒的防范，是电子商务安全体系建设中极为重要的一环。

③针对木马病毒和非法扫描等黑客攻击，必须根据实际情况进行防火墙软硬件的安装和部署，并进行尽可能严格的防火墙设置和防火墙的及时升级。

④对重要的数据、软件和计算机有备份措施。针对自然灾害、物理损坏、设备故障等要有容灾技术措施和快速恢复方案，如使用RAID技术、远程磁盘镜像技术或数据库复制技术等。

⑤环境、设备设施应符合相应的技术规范。

(2)加强性工作

①对敏感数据要进行加密存储和传送，以确保其安全。

②加强重要计算机用户权限和数据存取权限及方式的管理，如采用分级访问控制技术，即通过PKI的认证安全服务，对客户端用户提供的X.509证书进行合法性、有效期的验证，再根据用户证书中的信息得到该用户的访问权限，从而决定是否允许该用户对某目录或文件的访问。通过它可以有效地维护系统的保密性、完整性和可用性。还应使用安全性高的文件系统，设置高强度的口令，并加强口令管理。

③加强日志管理，防止日志被非法修改或清除，加强安全审计和安全跟踪措施。

④加强网络监控，对网络异常流量变化也要加以监控和分析。

⑤配备相应的入侵检测系统并制定相应的对策。入侵检测系统的一个特征是具有基于规则的参考引擎，因此，需要在第一时间更新模式数据库。

(3)可选工作

①采用web页面原始性鉴别技术。即对原始页面文件通过Hash算法生成数据摘要，再对数据摘要用私钥进行加密。当Internet用户每次访问页面时，对页面再生成数据摘要，与解密的原数据摘要进行比对，从而避免被入侵黑客修改的页面传给Internet用户的可能。

②加强共享的管理，以避免SMB攻击。

③加强各类程序运行的管理，以避免缓冲区溢出等攻击。

④加强环境干扰的技术防范措施，如对电磁辐射的防护等。

⑤加强重要计算机操作系统的安全性设置，如采取屏保、痕迹销毁和操作失误检测及报警等技术。

以上这些技术方面的措施应该尽量实施，但实施的程度要视自身情况区别对待。我们知道，这些电子商务的安全措施是有成本的。安全度越高，相应的投入和效率等方面的代价就越大。因此，必须在可接受的安全和成本之间寻求相对平衡。从管理方面来讲，也是如此。

(二)管理方面。管理在电子商务安全体系中的地位并不次于技术方面，甚至因为较容易出问题而显得更为重要。管理可以分为对企业的管理和对社会的管理。也就是说，一方面，企业必须就电子商务安全管理制定全面系统的规章制度，这是主要方面。另一方面，国家也应就此制定和完善相应的法律法规。

1企业方面

(1)总体上必须参照相关国际安全管理标准来建立企业的信息安全管理体系，即明确包括信息安全管理的任务、目标、对象、原则、程序和方法在内的管理策略，然后可以遵循管理的一般循环模式，即PDCA模式开展管理活动。

(2)在物理安全方面，应通过安装门禁系统、监控系统等，加强对计算机系统、网络设备、通信线路等关键设备及信息的安全防范措施。

(3)在人员安全方面，应通过人员审查、培训和权限管理，加强业务人员和专业人员的安全意识和安全能力，并明确安全责任。建立有领导层参加的安全管理论坛，建立提出信息安全建议的渠道，保持与业界的紧密联系。新晨

(4)电子商务的安全既是相对的，也是发展的，没有一劳永逸的安全，要有电子商务的风险意识。为此，必须进行电子商务安全评估。可以参照国际上常用的安全成熟度模型，对计划、布局和配置、运行过程进行评估。通过评估不仅可以了解本企业电子商务的安全状况，而且更重要的是可以发现一些隐含的安全问题，通过改进来提高安全程度。

2社会方面