网络安全技术服务方案精选(九篇)

前言：一篇好文章的诞生，需要你不断地搜集资料、整理思路，本站小编为你收集了丰富的网络安全技术服务方案主题范文，仅供参考，欢迎阅读并收藏。

第1篇：网络安全技术服务方案范文

当前，随着生产智能化程度的不断提高，工业设备的深度互联和信息基础设施的广泛应用，对信息安全提出了更高层的要求，云计算、移动互联、大数据、工业控制和物联网等新技术也为工业领域带来了新的安全风险。从2010年到2015年期间，一系列的安全事件陆续发生，2010年震惊世界的Stuxnet病毒爆发、2011年的“Duqu”病毒、2012年的Flame火焰病毒、2014年蜻蜓组织利用havex恶意程序对欧美地区千余家能源企业所进行的攻击，以及2015年末的乌克兰变电站被攻击事件，都是典型的影响深远、波及广泛、造成经济损失惨重和社会危害性极高的工控安全事件。

据美国国家网络安全和通信综合中心（NCCIC）统计，近5年来，公开安全漏洞数达1300多个，其中2015年安全漏洞就有486个，呈明显增长趋势。《2016工业控制系统漏洞趋势报告》显示，工业控制系统漏洞正在逐步增多，在2014到2015年之间存在着49%的高速增长。

从国家相关政策颁布来看，自从工业和信息化部451号文之后，国内各行各业对工控系统安全的认识都达到了一个新的高度。电力、石化、制造和烟草等多个行业陆续制定了相应的指导性文件，来同步指导相应行业的安全检查与整改活动。由此看来，保障工控系统网络的安全性，实现工控安全的国产化应用是重中之重。

北京中科网威信息技术有限公司（以下简称中科网威）是国内最早从事工控安全研究的企业之一，在自主可控工控安全方面有着专业、深入的研究。中科网威认为，工控网络安全是传统网络安全在工控网络的延伸，指导工控安全建设的理念和方法论是相同的，即所谓的“老套路”。但工控系统又有别于传统的信息系统，具备一定的特殊性，如资产变化小、资产访问关系清晰、可靠性要求高、通信协议安全性差等。随之也产生了一些新问题，传统的安全防护手段是无法在工控现场环境中直接使用的，例如漏洞扫描、攻击测试等。这些新的问题只要采用新的方法和手段去解决即可，其整体的理念和方法论与传统的是相同的。

结合我国传统网络安全产品的发展状况，中科网威提出了自主可控的工控安全理念。网络安全产品自主化进程经历了三个阶段：无自主可控阶段、半自主可控阶段和全自主可控阶段。如今我国自主品牌的工控安全产品已经完全具备了直接进入第三阶段的技术水平，即不但软件要自主，处理器更要自主。

在愈发严峻的网络安全形势背景下， 2013年初，中科网威在与申威处理器深度合作的基础上，打造了基于申威的自主可控品牌――中科神威，以中科神威的自主可控防火墙为例，它已经成功替换了部分以国外x86芯片为技术核心的传统防火墙，并率先在党政军等行业的核心、敏感、要害部门有了批量应用。

网络安全产品采用自主可控的处理器，也就意味着在信息化时代掌握了事关国家经济安全的重大技术话语权。专注网络安全领域多年的中科网威，不仅坚信申威处理器的技术实力和发展潜力，而且敏锐地洞察到自主可控市场潜在的巨大发展空间，并迅速开展了市场推广工作。

随着自主可控网络安全行业的不断细分，用户需要的不仅仅是单一的安全产品，更是整体的解决方案与安全技术服务。在这个行业，如果还是一味的销售产品，不着眼于理念的革新，那么企业将越做越难，尤其是在国产化安全产品竞争如此激烈的时代。为了推动自主可控网络安全市场的发展，中科网威正与合作伙伴配合，共同推出自主可控的网络安全解决方案，与合作伙伴合作共赢，共同推动中国网络安全产业的发展。

中科网威作为网络安全民营企业，拥有多项工业控制系统安全产品发明专利和核心技术。对于网络安全行业的自主可控应用，有着自己的见解和应对之道，并在业内率先提出了“芯改变，更安全”的安全理念。正是凭借一系列的突破，中科网威在国内自主可控网络安全领域中占据了领跑者的地位。

第2篇：网络安全技术服务方案范文

所谓电子政务就是将机构的管理、服务职能通过计算机技术和网络技术放到网络上去完成，解决时间、空间和部门的分割制约，实现工作流程的优化。伴随着智能电网技术的快速发展，其承载的管理和服务任务日益庞杂，这就对智能电网网络系统的安全性提出了更高的要求，为此，需处理好共享信息与保密性、开放与隐私保护、互联与局部隔离的关系，以确保智能电网系统的安全。

二、智能电网的网络结构特点及其面临的安全问题

智能电网的网络结构一般采用“三网架构“，具体包括：内部的电子化和网络化办公，之间通过网络实现的信息共享和实时通信，通过网络与公众间进行的双向信息交流。智能电网系统选用的软硬件系统本身存在的安全弱点致使其易受到攻击，具体包括：1.网络硬件设备如服务器、网络设备等安全问题；2.操作系统、数据库系统、通用软件系统等操作平台的弱点和漏洞；3.应用软件系统的脆弱性、网络协议的开放性、系统的相互依赖性，这些问题都给智能电网网络安全带来了隐患。智能电网网络系统主要面临来自内部和外部的威胁，机关内部的主要威胁包括：恶意破坏或越权访问、职权滥用、操作失误、管理疏漏、软硬件缺陷及自然灾害等。Internet外网的主要威胁有：黑客攻击、病毒、信息间谍及恐怖活动、信息战等。

三、智能电网网络安全目标和安全方案设计原则

为了实现最佳的信息服务效果，智能电网系统必须使信息的拥有者用最小的风险获得最大的安全利益，并对网络实行全面访问控制。通过对网络流量、重要服务器进行全面监控，将安全策略、软硬件结合起来，形成统一的防御系统，减少安全风险。为此，网络安全建设需以实现系统的可用性、完整性、保密性、可记账性和保障性为目标。可用性：保证智能电网系统正常有效地运行，使用户得到准确的信息和安全的服务。完整性：保证数据和系统的完整性，杜绝未授权修改的发生。保密性：保证信息不暴露给未授权实体或进程，不向非授权个人或部门泄露信息。可记账性：智能电网系统保证能够对实体的全部行为作出记录，对出现的安全问题提供依据与手段，为拒绝否认、威慑违规、检测和防止入侵及法律诉讼等提供证据。保障性：在用户、软件出现无意差错或出现恶意入侵或破坏的时候，能够提供充分的保护。

同时，在智能电网网络系统的设计与建设中还需保证：第一，实现智能电网内网与外网的安全隔离与访问控制，保证网络的边界安全。第二，定期进行网络系统漏洞分析、减少恶意入侵的机会。第三，利用入侵检测系统阻止来自外部的攻击行为，并阻止内部的违规操作行为。第四，控制敏感信息的无序传播及对不合法站点资源的访问。

智能电网网络系统安全体系建设要在平衡整体与局部利益，避免重复建设，遵循当前目标和长远目标相结合的基础上，采用“ 统一规划、统筹安排、统一标准、相互配套”的原则进行。同时，安全方案要服务于业务需求，保证系统具有以下特性：实用性，在充分完成行政机关办公工作的业务需求的前提下，避免盲目建设，盲目追求新技术。先进性，保证采用成熟、先进的技术，系统能够持续发展，系统之间互联方便。可靠性，从系统结构、技术措施、设备选型、技术服务及维修响应能力等方面考虑，保证系统的可靠性。⑷扩展性，要着眼于当前现有的技术，用最小的代价适应网络技术不断的发展，使系统规模扩大时不需重新进行规划与设计。易用性，保证系统要易于理解、界面简单实用、功能强大、管理方便简洁、维护自动容易。规范性，系统的各种软、硬件应符合国际、国内标准，各子系统要保持业务、功能、标准的统一。

四、智能电网网络安全技术措施

为实现网络安全，可以根据ISO七层分层网络协议对网络系统进行安全分层，并采取相应的安全措施，具体如下：

（一）物理层安全。该层的安全主要包括环境安全、设备安全和线路安全。特别指出的是，由于智能电网网络系统各层之间存在着信息资源、服务对象、数据通信等方面的差异，需要把不同保密级别的网络隔离开。物理隔离就是让存有用户重要数据的内网和互联网从物理上断开，防止因网络互联而被攻击以及泄密事件的发生。同时，为了保证用户和互联网之间能够完成信息交换，避免信息联系被屏蔽，需要保证两个网络在逻辑上是连通的。

（二）数据链路层安全。为了防止入侵者在数据的传输过程中窃听、非法读取、恶意修改数据，保证数据的真实性、机密性、可靠性和完整性，必须使用数字签名及认证技术、加密技术对网络上的数据进行加密处理。另外，可以采用虚拟专用网技术在公网中建立专用网络，保证数据在安全的“加密通道”中传播，以有效解决外部用户安全访问网络内部资源的问题。

（三）网络层安全。防火墙技术：该技术通过建立网络通信监控系统，根据防火墙的访问控制策略对进出被保护网络的数据流进行监控、分析，进而达到保障网络安全的目的。防火墙系统能够拦截从被保护网络向外传送的信息，并保护网络资源不受外部的攻击，管理员根据安全控制策略建立包过滤的准则，并对该准则进行修改、增加或删除。利用防火墙可以实现以下功能：

使用IP与MAC地址绑定功能，保证控制用户访问权限到最低限度，但又不影响用户的正常访问；通过防火墙实现对服务器的全面监控，发现并阻止非法操作；利用防火墙采集网络使用率统计数字和试探的证据。

（四）系统层安全。该层次的安全问题包括操作系统、数据库及相关应用系统的安全。当前的网络操作系统存在着“后门“和安全漏洞，为此，应采用具有自主知识产权且源代码对公开的系统并进行合理的配置，同时要利用漏洞扫描工具定期扫描漏洞及配置更改情况，并进行漏洞的修补和配置的重新优化。而数据库则必须进行有效的加固以保证重要信息的安全，进而从根本上保证整个信息系统的安全。

（五）应用层安全。身份认证技术：在智能电网系统中，计算机只能识别数字身份，而用户只有物理身份，为了实现操作者数字身份与物理身份的对应，必须使用身份认证系统。该系统通过绑定证据和实体来标识和鉴别用户身份，进而实现用户身份的判别和确认。

第3篇：网络安全技术服务方案范文

1.1国家卫生部文件

文件明确规定了信息安全等级保护工作的工作目标、工作原则、工作机制、工作任务、工作要求，工作任务别强调了“三级甲等医院的核心业务信息系统”应进行定级备案。

1.2浙江省卫生厅文件

为加强医疗卫生行业信息安全管理，提高信息安全意识，以信息安全等级保护标准促进全行业的信息安全工作，提高全省卫生系统信息安全保护与信息安全技术水平，强化信息安全的重要性。2011年6月7日，浙江省卫生厅和浙江省公安厅联合下发《关于做好全省医疗卫生行业重要信息系统信息安全等级保护工作的通知》（浙卫发〔2011〕131号），并一同下发了《浙江省医疗卫生行业信息安全等级保护工作实施方案》和《浙江省卫生行业信息系统安全等级保护定级工作指导意见》。为进一步指导我省卫生行业单位开展信息安全等级保持工作，浙江省卫生信息中心于2012年4月6日下发了《关于印发<浙江省卫生行业信息安全等级保护工作指导意见细则>的函》。上述文件详细规定了工作目标、工作流程和工作进度，并明确了医疗卫生单位重要信息系统的划分和定级，具有很强的指导性和操作性。

2医院信息安全等级保护

依据上述行业文件要求，全省医院重要信息系统信息安全等级保护工作由省卫生厅和各级卫生局、公安局分级负责，按照系统定级、系统备案、等级测评、安全整改[1]四个工作步骤实施。

2.1系统定级

2.1.1确定对象

我省医院信息化发展较早，各类系统比较完善，但数量繁多。将出现多达几十甚至上百个定级对象的状况，这与要求重点保护、控制建设成本、优化资源配置[2]的原则相违背，不利于医院重要信息系统开展信息安全等级保护工作。依据《计算机信息系统安全保护等级划分准则（GB17859-1999）》等标准，结合我省医院信息化现状及发展需要，经卫生信息化专家和信息安全专家多次论证，本着突出重点、按类归并、相对独立、节约费用的原则，从系统管理、业务使用者、系统服务对象和运行环境等多方面综合考虑，把医院信息系统划分为以下几类，如表1所示。

2.1.2等级评定

医院重要信息系统的信息安全和系统服务应用被破坏时，产生的危害主要涉及公民的个人隐私、就医权利及合法权益，对社会秩序和公共利益的损害属于“损害”或“严重损害”程度。参考《信息安全等级保护管理办法》及省卫生信息中心指导意见细则要求[3]，即属于“第二级”或“第三级”范畴。因此医院信息系统对信息安全防护和服务能力保护的要求较高，结合业务服务及系统应用范畴，实行保护重点、以点带面原则，参考定级如表2所示。

2.2系统定级备案

省卫生厅及省级医疗卫生单位信息系统、全省统一联网或跨市联网运行的信息系统由省公安厅受理备案；各市卫生局及其下属单位、辖区内医院信息系统由属地公安机关受理备案。各市卫生局应将辖区内医疗卫生单位备案汇总情况和《信息系统安全等级保护备案表》等材料以电子文件形式向省卫生厅报备。定级备案流程示意图如图1所示。

2.3等级保护测评

医院重要信息系统完成定级备案后，应依据《浙江省信息安全等级保护工作协调小组关于公布信息安全等级报测评机构的通知》（浙等保〔2010〕9号）选择浙江省信息安全等级保护工作协调小组办公室推荐的等级测评机构，启动等级测评工作，结合所属等级要求对系统进行逐项测评。通过对医院系统进行查验、访谈、现场测试等方式收集相关信息，详细了解信息安全保护现状，分析所收集的资料和数据，查找发现医院重要信息系统漏洞和安全隐患，针对测评报告结果进行分析反馈、沟通协商，明确等级保护整改工作目标、整改流程及注意事项，共同制定等级保护整改建议方案用于指导后续整改工作。对第二级以上的信息系统要定期开展等级测评。信息系统测评后，医院应及时将测评机构出具的《信息系统等级测评报告》向所属地公安机关报备。

2.4等级保护规划建设整改

根据《信息系统安全等级保护实施指南》及省实施方案，结合医院信息系统的安全需求分析，判断安全保护现状，设计合理的、满足等级保护要求的总体安全方案，并制定出安全实施规划[4]等，用以指导信息系统安全建设工程实施。引进第三方安全技术服务商，协助完成系统安全规划、建设及整改工作。建设，整改实施过程中按照详细设计方案，设置安全产品采购、安全控制开发与集成、机构和人员配置、安全管理制度建设、人员安全技能培训等环节[5]，将规划设计阶段的安全方针和策略，切实落实到医院系统的信息安全规划、建设、评估、运行和维护等各个环节。其核心是根据系统的实际信息安全需求、业务特点及应用重点，并结合医院自身信息安全建设的实际需求，建设一套全面保护、重点突出、持续运行的安全保障体系，确保医院系统的信息安全。等级保护工程及管理体系建设整改流程如图2所示。

3医院重要信息系统安全等级保护成效

各级医院按照国家有关信息安全等级保护政策、标准，结合卫生行业政策和要求，全面落实信息系统信息安全等级保护工作，保障信息系统安全可靠运行，提高安全管理运维水平。

3.1明确系统安全保护目标

通过推行各级医院信息安全等级保护工作，梳理卫生信息系统资产、网络边界、网络安全设备部署及运行状况。根据系统风险评估、危害的覆盖范围及影响性判定安全等级，从而根据标准全面、系统、深入地掌握系统潜在的风险隐患，安全漏洞。明确需要重点保护的应用系统及信息资产，提出行之有效的保护措施，有针对性地提高保护等级，实现重点目标重点保护。

3.2建立安全管理保障体系

安全管理保障体系是开展信息安全工作的保障，指导落实各项安全指标要求。信息安全等级保护基本要求中明确要求加强主管及安全责任部门领导，配备信息安全专员督导安全检查、维护、培训工作。建立健全信息安全管理保障制度体系，包括机房安全管理制度、人员安全管理制度、运维安全管理规范。建立行之有效的安全应急响应预案及常规化的信息安全培训及预防演练，形成长期的安全风险管控机制。

3.3加强安全意识和管理能力

通过落实等级保护制度的各项要求，认识安全意识在信息安全工作中的重要性和必要性，调动安全保护的自觉主动性，加大安全保护的资金投入力度，优化安全管理资源及策略，主动提升安全保护能力。同时重视常规化的信息安全管理教育和培训，强化安全管理员和责任人的安全意识，提高风险分析和安全性评估等能力，信息系统安全整体管理水平将得到提高。

3.4强化安全保护技术实施

医院开展信息安全等级保护工作可加深分级、分域的纵深防御理念，进一步结合终端安全、身份认证、网络安全、容灾技术，建立统一的安全监控平台和安全运行中心。根据测评报告及建设整改建议，增强对应用系统的授权访问，终端计算机的安全控制，网络流量的异常监控，业务与数据安全保障，恶意软件和攻击行为的防御、发现及阻击等功能，深层次提高抵御外部和内部信息安全威胁的能力。

3.5优化第三方技术服务

与安全技术服务机构建立长期稳定的合作关系，引进并优化第三方技术资源，搭建安全保护技术的学习桥梁与交流平台。在安全技术与管理方面加固信息安全防护措施，完善信息安全管理制度，同时通过安全技术管理培训强化医院工作人员信息安全保护意识，提高信息安全队伍的技术与管理水平，共同为医院系统信息化建设的快速发展保驾护航。总之，医院开展信息安全等级保护工作将有效提高医院信息化建设的整体水平，有利于医院信息化建设过程中同步建设信息安全设施，保障信息安全与信息化建设相协调；有利于为信息系统安全建设和管理提供系统性、针对性、可行性的指导和服务；有利于优化信息安全资源的配置，重点保障基础信息网络、个人隐私、医疗资源和社会公共卫生等方面的重要信息系统的安全[6]。

4结束语

第4篇：网络安全技术服务方案范文

关键词：电子政务；信息安全

一、电子政务概述

近几年来，在很多国家越来越多的政府官员与技术专家采用e-government或e-governance来代表政府信息化。美国档案管理员协会认为：e-government是指利用信息技术，通过简化流程，整合和减少冗余的系统，进而改进政府对公民、企业和政府不同部门的服务以及它们之间的互动。在我国，电子政务多数情况下被定义为借助于电子信息技术而进行的，即政府机构运用现代计算机技术和网络技术，将其管理和服务职能转移到网络上进行，在网络上实现政府组织结构和工作流程的优化重组，超越时间、空间与部门分隔的制约，全方位的向社会提供高效、优质、规范、透明、符合国际惯例的管理与服务。该定义包含三方面的信息，即电子政务必须借助于电子信息和数字网络技术，离不开信息基础设施和相关软件技术的发展；电子政务处理的是与政权有关的公开事务，除了政府机关的行政事务外，还包括立法、司法部门及其它一些公共组织的管理事务；电子政务并不是简单地将传统的政府管理事务原封不动地搬到互联网上，而是要对其组织结构进行重组，并对业务流程进行再造。

二、电子政务系统信息安全框架

国务院办公厅已为我国电子政务制订了“三网一库”体系，“三网”指政府机关的办公业务网、政府部门间用于信息交换的办公业务资源网、以互联网为依托的政府公众信息网；“一库”指政府系统共建共享的信息资源数据库。从安全的角度出发，电子政务的整个系统框架可规划为一个四层的安全控制域，第一层是核心决策层，主要为领导决策和指挥提供信息支持和技术服务，这是国家的、最核心、最机密的一层，是政务信息集中存储与处理的域；第二层是政府办公业务处理层，是政府内部的电子办公环境，该层的信息只能在内部流动。一、二层合起来就是内网；第三层是信息交换层，可实现同一领域各个分支部门间的信息传输，还可以将信息从一个内网传送到另一个内网区域，即专网。所涉及的信息主要包括各类公文、一般数据以及政府部门之间的各类交换信息，这些信息必须依据政府内部的各类管理权限传输，防止来自内部或外部的非法入侵；第四层是最外层，即公共服务层，是政府部门公共信息的外部网。它面向社会提供的一般应用服务及信息，包括各类公开信息和一般的、非敏感的社会服务。

三、常用的电子政务信息安全技术

1、防火墙技术。在网络入口处检查网络通讯，根据客户设定的安全规则，在保护内部网络安全的前提下，保障内外网络通讯。虽然防火墙技术可提高内部网络的安全性，但它侧重于网络层至应用层的策略隔离，在安全上仍存在着缺陷，如不能防范网络内部的威胁，也不能保护网络免受病毒或其它方式的攻击。

2、加密/解密技术。目的是防止消息的非授权泄漏，避免各种存储介质上的或通过网络传送的敏感数据被攻击者窃取。按照密钥的不同，常用的有对称密钥加密技术和非对称密钥加密技术。前者的加密密钥和解密密钥相同，使用的算法比较简便高效，密钥简短，计算时间短，处理速度快，适合加密/解密大文件，且保密强度高；后者的加密方和解密方使用的密钥互不相同，它便于密钥的管理和分发，从而消除了密钥的安全隐患，加强了保密性，适于对少量数据加密/解密。

3、入侵检测技术。通过网络监控软件或硬件对网络上的数据流进行实时检查，并与系统中的入侵特征数据库进行比较，一旦发现有被攻击的迹象，立刻根据用户所定义的动作做出反应，如切断网络连接，或通知防火墙系统对访问控制策略进行调整等。入侵检测技术虽然能作为防火墙技术的补充，对付来自网络内部的攻击，但由于其侧重点在于发现网络攻击，因此不能代替防火墙执行整个网络的访问控制策略。

4、安全扫描技术。通过范围宽广的穿透测试检测潜在的网络漏洞，评估系统安全配置，以提前主动地控制安全危险，它是整个安全系统不可缺少的组成部分。能协助管理者及早发现网络上可能存在的安全漏洞，是一种主动的防范措施。

5、防病毒技术。病毒历来对电子政务的信息安全威胁最大，它往往通过软盘、光盘、磁带和Ftp、Email、Web浏览等传播。电子政务网络设计中的防病毒技术及防病毒产品对网络安全的影响至关重要。防病毒技术主要通过病毒防火墙，阻止病毒的传播，检查和清除病毒。

6、数字签名技术。为了防止他人对传输的电子公文进行破坏，确定发信人的身份，避免假、错文件的出现，需要采用数字签名技术。数字签名是通过一个单向函数对传送的报文进行处理得到的，用以认证报文来源并核实报文是否发生变化的一个字母数字串。它能够代替书写签名或印章，起到与之相同的法律效用，确定信息发送方身份。采用数字签名能够确认信息是由签名者发送的，以及确认信息自签名后到收到为止未曾作过任何修改。

参考文献：

1、朱方洲,李旭军.电子政务安全保障体系的研究[J].电脑学习,2006(6).

2、侯安才.电子政务安全中的三网隔离技术及应用[J].网络安全技术与应用,2006(6).

3、李青.电子政务安全策略研究[J].中国人民公安大学学报,2005(4).

4、夏阳,唐亮,张强.电子政务安全及其解决方案[J].计算机工程与设计,2005(1).

第5篇：网络安全技术服务方案范文

【 关键词 】 工控设备；风险评估；安全隐患；安全防护

Security Risk Assessment and Practice for Industrial Equipment

Xie Bin He Zhi-qiang Tang Fang-ming Zhang Li

（Institute of Computer Application， China Academy of Engineering Physics SichuanMianyang 621900）

【 Abstract 】 Security information incidents occur recently shows， industrial system has become the main target of foreign information security attacks， safety protection for industrial control system must be strengthen. Industrial control system， is not office system， it has many intelligent devices、embedded operating system with various special protocols， especially intelligent equipments which has more high integration、specialty-industry， private kernel and lack efficient control technology for data interface， security risk assessment method and standard for industrial control system has not informed. In this paper， security confidential risk assessment model and process for industrial equipment is proposed. For 840D industrial system， security risk assessment method is given to assess the full life of 840D.Last，some safety protections for confidential security is advised to adopted to protect industrial system.

【 Keywords 】 industrial equipment； risk assessment； security threat； safety protection

1 引言

近年来，越来越多的数控设备和工控系统应用到工业生产中，它们更多地采用了开放性和透明性较强的通用协议、通用硬件和通用软件，并通过各种方式与企业管理网、互联网等公共网络连接。根据CNNVD搜集的漏洞数据和CNCERT的网络安全态势报告，这些工控系统中存在的各种漏洞、病毒、木马等威胁正在向工业控制系统扩散，工业控制系统信息安全问题日益突出。

近期披露的信息安全事件表明，信息安全问题已经从软件延伸至硬件，从传统的网络信息系统延伸至工业控制系统、大型科研装置、基础设施等诸多领域。对于工控系统以及工控设备的安全性测试和风险评估也变得重要起来。

工控系统与办公系统不同，系统中使用智能设备、嵌入式操作系统和各种专用协议，尤其是智能设备具有集成度高、行业性强、内核不对外开放、数据交互接口无法进行技术管控等特点，工控系统的安全风险不能直接参照办公系统的风险评估标准，其评估方法、标准还在不断研究和探索中。

2 工控设备风险评估模型和流程

2.1 工控设备风险评估模型

工控设备安全保密风险需求主要涉及到三大方面：一是工控设备所处的物理环境安全，如防偷窃、非授权接触、是否有窃听窃视装置等；二是工控设备自身的安全，主要分析包括硬件、软件、网络和电磁等方面的安全；三是工控设备的安全保密管理问题，包括其管理机构、人员、制度、流程等。在对工控设备安全保密需求分析的基础上，本文结合工控设备安全检测的需求，提出了工控设备安全风险评估框架，如图1所示。

2.2 工控设备安全保密风险评估流程

针对上述评估模型，本文按照检测对象、风险分析、检测方案、结果评估的流程开展工控设备安全保密风险评估，如图2所示。

1）检测对象：确定设备用途，分析基本组成；

2）风险分析：根据不同设备类型，按照风险评估模型进行风险分析；

3）检测方案：依据根据风险分析结果制定检测方案，准备检测工具、环境，明确检测项目、要求和方法；

4）结果评估：依据检测方案执行检测，完成所有检测项，依据检测结果进行评估，对发现的可疑风险点进行深入检测，修订检测方案，综合评估。

3 数控设备安全保密风险评估实践

3.1 检测对象

数控机床主要用于各种零部件的生产加工，机床包括机床主体和核心控制系统。840D控制系统是西门子公司推出的一款功能强大、简单开放的数控系统，本次数控设备安全保密风险评估的主要内容也是针对该控制系统。

840D sl将数控系统（NC、PLC、HMI）与驱动控制系统集成在一起，可与全数控键盘（垂直型或水平型）直接连接，通过PROFIBUS总线与PLC I/O连接通讯，基于工业以太网的标准通讯方式，可实现工业组网。其各部分硬件组成结构、拓扑结构、软件系结构统如图3、4、5所示。

3.2 风险分析及评估

3.2.1 物理安全

通过对840D数控机床设备所处的房间进行物理安全检查，区域控制符合要求；窃听窃照检测，未发现有窃听窃照装置；通过对房间的进行声光泄漏检测，符合相关安全要求。

3.3.2 系统自身安全

1） 操作系统

脆弱点分析：

* 基本情况

> SINUMERIK 840D PCU采用Windows XP平台

> 一般不会对Windows平台安装任何补丁

> 微软停止对Windows XP的技术服务

> NCU系统为黑盒系统

* PCU

> RPC远程执行漏洞（MS08-067）

> 快捷方式文件解析漏洞（MS10-046）

> 打印机后台程序服务漏洞（MS10-061）

> 系统未安装任何防火墙软件和杀毒软件

* NCU（CF卡）

> SINUMERIK 840D系统的NCU采用的西门子自有的内嵌式Linux系统，该系统在编译时经过特殊设计，只能在SINUMERIK系统环境下运行；

> 可以对CF卡进行映像和重建，而且新建的CF卡可以在SINUMERIK 840D系统上成功启动；

> NCU系统中设定了不同的用户及权限，但内置的用户及口令均以默认状态存在系统存在默认用户及口令；

> SNMP服务存在可读口令，远程攻击者可以通过SNMP获取系统的很多细节信息。密码可暴力猜解，snmp服务密码为弱口令“public”。

风险：

* 攻击者可以利用漏洞入侵和控制SINUMERIK 840D系统的PCU，获取到相应操作权限，对下位机下达相应指令；

* 由于在CF卡上有用户数据的存放、HMI应用程序显示的数据以及系统日志文件，因此通过对CF卡的复制和研究可还原用户存放数据、PLC加工代码等信息；

* 只要通过PCU或者直接使用PC安装相应的管理软件，通过网络连接到NCU，即可使用以上用户和口令进行各类操作；

* 攻击者一旦得到了可写口令，可以修改系统文件或者执行系统命令。

2） 应用系统

* 基本情况

> 应用软件多种多样，很难形成统一的防范规范；

> 开放应用端口，常规IT防火墙很难保障其安全性；

> 利用一些应用软件的安全漏洞获取设备的控制权。

* 重要应用――Winscp

脆弱点分析：是一款远程管理软件，其可通过ssh、SCP、SFTP等加密协议对下位机进行一定权限的系统命令操作； 通过winscp软件可以对NCU进行远程管理，需要相应的用户账户和密码。账户和密码可通过协议漏洞获取，如表1所示。

风险评估：攻击者机器上直接登录winscp远程控制NCU。进一步，可对下位机NCU进行信息的窃取（G代码等相关数据均存于此）、系统破坏、上传病毒、木马、后门等作进一步攻击。

* 重要应用――VNC Viewer

脆弱点分析：VNC是一款功能强大的远程管理软件。可接受管理人员键盘、鼠标等几乎全部本地的控制操作；840d工控系统上位机所采用的VNC远程管理软件为通用软件，不需要登录认证。

风险评估：在内网的攻击者只需一款普通VNC就可以实现对下位机的远程的、完全的控制。

* 重要应用――HMI

脆弱点分析：HMI（直接发出指令操控机器的计算机软件），可装在任何符合条件的PC上，通过工程调试模式（直连管理口）连接NCU，进行配置信息的查看修改。

风险评估：物理接触、调试，不仅存在信息泄露、甚至可能存在致使系统崩溃，或者植入软件后门的风险。也可通过网络配置实现对下位机的控制操作 。

3） 通信协议

> SINUMERIK 840D采用TCP/IP 协议和OPC 协议等通信，通信协议存在潜在威胁；

> 网络传输的信息是否安全；

> 容易读取到网络上传输的消息，也可以冒充其它的结点。

* 协议――MPI

脆弱点分析：MPI MPI是一种适用于少数站点间通信的多点网络通信协议，用于连接上位机和少量PLC之间近距离通信。MPI协议为西门子公司内部协议，不对外公开。

风险评估：尚未发现MPI多点通讯协议的安全问题。

* 协议――G代码传输协议

脆弱点分析：G代码是数控程序中的指令，它是数控系统中人与制造机床的最本质桥梁，是上位机对下位机及加工部件最直接最根本控制；G代码传输采用的是基于TCP/IP协议之上的自定义协议，其传输过程中的G代码装载、卸载，PC_Panel上按键操作等都是进行明文传输。

风险评估：攻击者不仅可以嗅探到完全的G代码及上位机操作信息。而且可以对传输过程中的G代码进行篡改、重放，致使下位机接收错误的命令和数据，从而使得工业控制系统不可控，生产制造不合格甚至带有蓄意破坏性的工件。

4） 其他部分

* 数据存储

脆弱点分析：生产加工数据明文存放于PCU上，缺少必要的安全增加及保护措施。

风险评估：数据存在被非法获取的隐患。

* 特定部件

脆弱点分析：G代码在CF卡上有临时备份，通过数据处理，有可能获取到加工参数。

风险评估：可通过非法拷贝等方式对加工数据进行获取。

* 硬件安全

脆弱点分析：是否存在危险的硬件陷阱，如逻辑锁等安全问题。

风险评估：目前尚未发现。

3.3.3 管理安全

1）人员安全意识 工业控制系统在设计时多考虑系统的可用性，普遍对安全性问题的考虑不足，缺乏相应的安全政策、管理制度以及对人员的安全意识培养。

2）安全审计 缺少对系统内部人员在应用系统层面的误操作、违规操作或故意的破坏性等方面的安全审计。

3）安全运维与管理 缺少对账号与口令安全、恶意代码管理、安全更新（补丁管理）、业务连续性管理等关键控制领域实施制度化/流程化、可落地的、具有多层次纵深防御能力的安全保障体系建设。

4）核心部件使用管理 缺乏对类似NCU的CF卡这些核心部件的使用、复制和保管进行安全管理，防止非信任人员的接触的管理规定。

4 工控设备安全防护建议

1）建立纵深防御安全体系，提高工控系统安全性； 2）针对核心部件加强安全管理，进行严格的访问控制；3）加强网络脆弱性的防护、采用安全的相关应用软件 、严格控制NCU服务； 4）加强对工业控制系统的安全运维管理； 5）建立有效的安全应急体系；6）从设备采购、使用、维修、报废全生命周期关注其信息安全，定期开展风险评估，工控系统全生命周期如图6所示。

5 结束语

随着信息技术的广泛应用，工控系统已经从封闭、孤立的系统走向互联体系的IT系统，安全风险在不断增加。做好工控系统安全保密风险评估非常重要，研究工控设备的风险评估模型、流程，开展数控设备的安全保密风险评估实践，可以为工控系统的安全保密风险评估奠定重要的基础。

参考文献

[1] CNNVD. China National Vulnerability Database of Information Security [Z/OL]. （2011205221）， http： //.cn/.

[2] CNCERT. 2010年中国互联网安全态势报告[Z/OL].（2011205221）， CERT. 2010 report on the Internet Security Situation of China [Z/OL]. （2011205221）， .cn.（in Chinese）.

[3] NIST SP800-30.Risk Management Guide for Information Technology Systems[S]. Gary Stoneburner， Alice Goguen， and Alexis Feringa. National Institute of Standards and Technology（NIST），2002.

[4] GB/T 20984―2007.信息安全技术信息安全风险评估规范[S].北京：中华人民共和国国家质量监督检验检疫总局，2007.

[5] GB/T 20984―2007. Information Security Technology―Risk Assessment Specification for Information Security [S].Beijing： General Administration of Quality Supervision，Inspection and Quarantine of the Peopleps Republic of China，2007. （in Chinese）

[6] 赵冬梅，张玉清，马建峰.网络安全的综合风险评估[J].计算机科学， 2004，31（7）： 66-69.

作者简介：

谢彬（1966-），女，四川安岳人，中国纺织大学，大学本科，副主任，高级工程师；长期从事信息系统软件测评、信息系统安全保密相关的技术研究，负责了多个项目的技术安全保密检测、安全保密防护方案设计以及相关技术研究工作；主要研究方向和关注领域：信息安全相关技术、信息系统安全、工控系统安全。

贺志强（1983-），男，四川绵阳人，四川大学，硕士，测评工程师，工程师；主要研究方向和关注领域：信息安全技术、信息安全及相关技术。

第6篇：网络安全技术服务方案范文

In-Stat分析师李敏：融合通信现在已经成为一个公认的理念，它为企业和行业部门提供了良好的沟通平台。

IDC中国电信研究部研究主管经理鹿强：对于厂商而言，目前第一步并不是竞争问题，而是应该合力推广融合通信这个理念，把融合通信炒火，一起将市场打开，形成产业链，做大市场。

北京金融街威斯汀大酒店电脑部经理张立兴：融合通信系统的应用为用户带来的裨益必然不能直接体现在收入上，但是在改善企业内部协调水平、提高服务质量方面，却能够带来革命性的变化。

2006年整个IT业和通信业界曝光率最高的名词，或许非“融合通信”莫属。从有志于融合通信的设备厂商和解决方案提供商发出的声音看来，融合通信尽管尚未市场化，却已经是一块巨大的蛋糕。

一系列数据为融合通信的应用和推广的必要性提供了解释。据Sage数据研究机构的统计，平均每个人身上共携带6.4种不同的通信设备,包括固定电话、手机、电邮、即时通信、Skype、办公电话等。其中企业内部约有27％的员工需要到外地洽谈生意；即使坐在办公室，也需要使用工作时间的52％选择不同的方式同人联络，但有36％的几率无法在第一时间联系上对方。累积下来，平均每月有22％的工作会被拖延。

“融合通信这个理念的出现，其实是要解决用户在联系方面的困难。现在的通信方式太多了，虽然有许多的方法可以和对方联系，但是又不知道用哪种方法最为便捷，这样就造成时间损耗，融合通信能够让这些通信方式更加有效。”In-Stat分析师李敏说。

尽管各厂商对“融合通信”的包装形式略有差异，但分析师认为，以“融合通信”为代表的一系列新名词背后蕴涵的主旨，却都是指将话音业务、在线状态、实时通信（即时消息、视频和应用共享）和准实时通信（电子邮件、语音邮件和短消息业务）等通信手段融为一体的新型通信方式。

在设备厂商和解决方案提供商的摇旗呐喊之下，融合通信所带来的种种便利迅捷的理念正在迅速被植入行业用户的脑海中，在2006年更是进一步深入人心。融合通信的应用似乎已经时不我待。

融合通信提升企业效率

“融合通信现在已经成为一个公认的理念，它为企业和行业部门提供了一个沟通的良好平台，为企业工作效率的提高锦上添花，具有很好的发展前景。”对于融合通信为行业用户带来的变革，李敏并不吝赞美之词。

李敏认为，除了减少沟通的时间损失，融合通信还可以有多种应用，比如融合通信还可以改进传统call-center（呼叫中心）的应用。通过分布式的call-center，本地用户可以直接接通本地服务，节约了资源。另外，行业用户网络内部、外部的沟通非常频繁，可以通过IP融合通信增进通信的有效性。此外，融合通信还可将通信系统和企业CRM等应用系统集成，平台化的程度非常高。

“通过融合通信，企业在基于一个良好的虚拟局域网基础上，实现了短信互通、VoIP等多种沟通方式，这对企业来说是有一定吸引力的，尤其对于公安、交通等政府部门和一些垂直行业用户而言，融合通信整体解决方案对提高政府部门和企业的工作效率提供了很好的业务平台。”李敏说。

尽管大部分行业用户还在逐渐接受和理解融合通信的理念，但是有一部分敢于吃螃蟹的行业和企业已经开始了对融合通信的初步运用。

北京威斯汀金融街大酒店采用IP和无线技术，为客人提供一系列快速、灵活、个性化的通信服务。采用融合通信解决方案后，入住威斯汀大酒店的客人可通过电话、笔记本电脑、掌上电脑等多种设备实现随时随地的通信互连。“我们将酒店传统的电话系统、客房宽带网络及酒店管理通信网络加以整合，集成于统一的融合网络之中，以便客人和酒店员工随时随地享用通信服务，实现网络连接。”威斯汀大酒店电脑部经理张立兴说。

使用融合通信技术提高管理效率的还有安利（中国）、北京东城区城市管理监督中心、新疆国税、广东省中山市的小榄人民医院等企事业单位。安利（中国）采用IP解决方案后，从安利总部打电话到180多家店铺所在的任何一个城市，都不再需要付长途费用：所有的语音呼叫先通过安利企业网络“零成本”地与目标城市连接，然后再通过该城市的IP电话网关实现本地呼叫。而北京东城区城市管理监督中心使用的基于无线移动网络技术、用于现场信息采集和传送的专用工具――城管通，集成了电话接听、短信群呼、位置定位、图像采集等多项功能，实现了城市数字化管理。

融合通信为率先运用新技术的用户带来了甜头。张立兴认为，融合的通信网络为威斯汀酒店带来的效益不仅体现在避免硬件资源的浪费、节约重复建设的成本和提高设备利用率及管理效率这些方面，更体现在对酒店服务质量的提升上。“作为第一家采用全IP通信的五星级酒店，我们的客房IP电话在为客人提供更好的服务的同时，还提高了入住客人的体验感，给予客人全新的科技享受，这样就提升了客人的满意度和威斯汀的竞争优势。”张立兴说。

概念推广阻力重重

但是，融合通信的现实发展是否真的如数据显示的如此时不我待？融合通信解决方案提供商们的各种产品对于行业用户是否真的具有巨大的吸引力？

分析师认为，融合通信离被用户普遍接受到规模应用至少还需要2～3年的时间。“对于融合通信市场来说，IP-PBX从2006年开始有一定量的销售，但是融合通信前期的推广和最后的市场销售中间还有一个时间过渡和用户接受的过程，因此预计到2008年才会出现融合通信的规模应用。”李敏说。

“对于融合通信，业界还有一种提法是‘统一通信（Unified Communications）’。”IDC中国电信研究部研究主管经理鹿强指出。通信和IT行业的发展，从当初的解决方案，发展到集成系统，而后又是融合的概念，提的概念逐渐宽泛。为了使融合这个概念进一步落地，一些厂商提出了统一通信的概念，这是使融合进一步得到实现的步骤。统一通信得到了思科，北电等电信设备系统厂商的支持，同时也有微软等软件厂商进一步加入。“我认为，融合通信和统一通信是两个不同的概念，统一通信的概念相对融合通信来得更具体些。统一通信对一些因办公需要进行的语音、电邮、短信、即时通信等沟通方式进行统一。”鹿强认为。

李敏认为，用户对于融合通信这种IP应用目前的认知度并不是很高。“用户都知道融合通信能够提高效率，但是毕竟提高效率是一个不能够被感知的东西。因此，在一些垂直行业用户、特别是大用户间，融合通信的接受程度并不高。”

鹿强则从用户使用意愿角度指出了融合通信推广所面临的困境。“融合通信作为一个更大的工作平台，看似无时无处的方便也要求更为复杂的应用过程，而目前我国真正熟练使用计算机的人群是有限的，这对用户的能力是一个挑战。”此外，鹿强还指出，融合通信对用户的使用习惯也存在挑战，用户是否真的愿意无时无刻工作，还是保持一定生活空间？而且如果一个用户能够充分使用统一通信带来的各种应用，这样自然会带来公司的效率提高，以及一些潜在的回报，但如果使用不够充分，则相应的设备等投资反而会有所浪费。

成本问题也许是困扰融合通信厂商的最重要因素。李敏指出，融合通信推广的困难在于用户对于这种新事物的接受程度上，其所宣扬的节约通信资费等概念目前对用户的吸引力正在减小，运营商也为企业提供打包的通信服务，价格很有竞争力。目前行业用户在选择设备商和解决方案提供商时所看重的是其是否做过一些成功的案例。

对于融合通信推广面临的用户认识问题，率先应用融合通信解决方案的用户表示理解。 张立兴认为，融合通信系统的应用为用户带来的裨益必然不能直接体现在收入上，但是在改善企业内部协调水平、提高服务质量方面，却能够带来革命性的变化。“其实现在不少新建的高级酒店都开始规划融合通信应用。”张立兴说。

诸多厂商谁领先机？

尽管融合通信尚未打开市场，但意图在融合通信业务分得一块大蛋糕的众厂商们已经摩拳擦掌，迫不及待地想要做先入为主者，并纷纷推出自己的产品。对此分析师李敏指出，由于业务方向的不同，不同厂商的融合通信优势和侧重点也会有所不同。

在通信设备厂商方面，李敏认为，基于自己的电信背景和本身的技术特点的阿尔卡特等通信设备厂商，由于考虑到了企业网和电信网络的结合等方面的很多问题，将来可能做得会好比网络设备厂商和IT厂商好些。

对于网络设备厂商，李敏指出，Avaya作为传统PBX厂商，在从传统PBX到IP-PBX的转化过程中，开发的企业应用相对比较丰富，因此对于call－center的应用会比较有优势。而对于以生产路由器为主的思科，由于它有一套自己的Call Manager软件系统，因此基于自己的路由器、交换机和软件来做融合通信或VoIP，优势也比较明显。

作为传统软件厂商，微软并没有自己的硬件优势。分析师认为，微软可能会利用自己的桌面优势，采用粘制性的方法推广其融合通信产品。由于微软融合通信解决方案的底层设备需要硬件支撑，所以它如果想在中国推融合通信，必然需要寻找一些合作伙伴。

设备厂商和解决方案提供商各有优势，但融合通信的技术应以何为关键？鹿强指出，融合通信主要以IP技术为核心技术，而其中IP－PBX是核心设备。目前我国的IP核心技术正在以每年两位数的幅度在增长，市场潜力巨大。

尽管中国的IP核心技术增长迅速，但根据IDC对地区的IP-PBX（IP分组交换机）进行评估分析，中国的IP关键技术尚未完善，发展仍旧不容乐观。“根据我们的分析，如果一个地区的IP交换机占该地交换机比例的30％以上，那么这个地区具有较好的推广融合通信的基础，2006年亚洲这个比例已经超过50％，而其中，中国的IP-PBX比例是相对比较低的。”鹿强说。

IP核心技术水平较低，再加上设备厂商和解决方案厂商们在融合通信的定义和理念上存在分歧，造成了原本就面临用户推广困境的融合通信市场化进程更为艰辛。对此分析师建议，其实目前各厂商应该合力推广融合通信，而不是相互竞争。“对于厂商而言，目前第一步并不是竞争问题，而是应该合力推广融合通信这个理念，把融合通信炒火，一起将市场打开，形成产业链，做大市场。市场做起来、有了规模之后，再考虑竞争问题并不迟。”鹿强说。

链 接：融合从哪里入手？

多WAN宽带路由器从2005年开始即渐渐为国内网吧所采用，随着2006年政府规范网吧的政策朝着大型化、合法化、规范化的方向发展，多WAN宽带路由器已成为新设网吧的标准宽带接入设备。在企业市场方面，众多企业用户也开始渐渐接受多WAN VPN的概念，以多条线路作为VPN建设的平台，采用多WAN宽带路由器实现宽带接入。

然而由于各种网络攻击的肆虐，如今路由器的概念已经不再是只提供接入，而必须在安全方面提供防护，否则连路由器本身的基本功能也无法发挥。除了强调传统的多WAN接入功能之外，由于定位为中高级的宽带接入设备，因此多WAN宽带路由器也需要增加网络安全方面的相关功能，如防攻击、权限控管等。

市场上的安全产品如今五花八门、种类繁多，防病毒、防火墙、信息加密、入侵检测、安全认证等无所不有，但从其应用范围来看，安全厂商们所提供的方案大多是面向政府、电信、教育、银行、证券等行业用户和大型企业用户，针对中小企业的安全解决方案寥寥无几。由于分布较散，购买力相对较弱，这部分用户一直没有得到各大安全厂商的重视。

“多WAN宽带路由器提供安全功能，是回应市场需求的一个必然发展趋势。”在网吧路由器市场占据很高市场份额的侠诺科技公司行销总监张建清认为。

据了解，侠诺科技的产品在网络安全方面就提供“适当”的安全功能，其中包括：BT及大量下载防制功能、蠕虫防制功能、冲击波防制功能、常见即时应用一指键防制功能、ARP防制功能、ARP侦测机制等。“事实上，侠诺科技一直是市场上加入网络安全功能的领头羊，除了防火墙外，还提供各种网络安全功能。侠诺科技的技术服务人员也在随时关注并研究新发生的攻击软件及手法，提供防制方式的指导。”张建清告诉记者。

第7篇：网络安全技术服务方案范文

    关键词 网络金融;特征一、网络金融概述

    一)网络金融内涵所谓网络金融,又称电子金融(e-finance),从狭义上讲是指在国际互联网(Internet)上开展的金融业务,包括网络银行、网络证券、网络保险等金融服务及相关内容;从广义上讲,网络金融就是以网络技术为支撑,在全球范围内的所有金融活动的总称,它不仅包括狭义的内容,还包括网络金融安全、网络金融监管等诸多方面。它不同于传统的以物理形态存在的金融活动,是存在于电子空间中的金融活动,其存在形态是虚拟化的、运行方式是网络化的。它是信息技术特别是互联网技术飞速发展的产物,是适应电子商务(e-commerce)发展需要而产生的网络时代的金融运行模式。

    二)网络金融的特征1、业务创新。网络金融以客户为中心的性质决定了它的创新性特征。为了满足客户的需求,扩大市场份额和增强竞争实力,网络金融必须进行业务创新。2、管理创新。管理创新包括两个方面:一方面,金融机构放弃过去那种以单个机构的实力去拓展业务的战略管理思想,充分重视与其他金融机构、信息技术服务商、资讯服务提供商、电子商务网站等的业务合作,达到在市场竞争中实现双赢的局面。另一方面,网络金融机构的内部管理也趋于网络化,传统商业模式下的垂直官僚式管理模式将被一种网络化的扁平的组织结构所取代。3、市场创新。由于网络技术的迅猛发展,金融市场本身也开始出现创新。一方面,为了满足客户全球交易的需求和网络世界的竞争新格局,金融市场开始走向国际联合。另一方面,迫于竞争压力一些证券交易所都在制定向上市公司转变的战略。4、监管创新。由于信息技术的发展,使网络金融监管呈现自由化和国际合作两方面的特点:一方面过去分业经营和防止垄断传统金融监管政策被市场开放、业务融合和机构集团化的新模式所取代。另一方面,随着在网络上进行的跨国界金融交易量越发巨大,一国的金融监管部门已经不能完全控制本国的金融市场活动了。

    二、网络金融的风险从某种意义上来说,网络金融的兴起使得金融业变得更加脆弱,网络金融所带来的风险大致可分为两类:基于网络信息技术导致的技术风险和基于网络金融业务特征导致的经济风险。首先,从技术风险来看,网络金融的发展使得金融业的安全程度越来越受制于信息技术和相应的安全技术的发展状况。第一,信息技术的发展如果难以适应金融业网络化需求的迅速膨胀,网络金融的运行无法达到预想的高效率,发生运转困难、数据丢失甚至非法获取等,就会给金融业带来安全隐患。第二,技术解决方案的选择在客观上造成了技术选择失误风险,该风险表现在两个方面:一是所选择的技术系统与客户终端软件不兼容,这将会降低信息传输效率;二是所选择的技术方案很快被技术革新所淘汰,技术落后将带来巨大的经济损失。其次,从经济风险来说,网络金融在两个层面加剧了金融业的潜在风险:其一,网络金融的出现推动了混业经营、金融创新和全球金融一体化的发展,在金融运行效率提高,金融行业融合程度加强的同时,实际上也加大了金融体系的脆弱性;其二,由于网络金融具有高效性、一体化的特点,因而一旦出现危机,即使只是极小的问题都很容易通过网络迅速在整个金融体系中引发连锁反应,并迅速扩散。

    三、网络金融发展存在的问题务规模有限,收入水平不高,基本上处于亏损状况。第二,网上金融业务具有明显的初级特征。我国的网络金融产品和服务大多是将传统业务简单地“搬”上网,更多地把网络看成是一种销售方式或渠道,忽视了网络金融产品及服务的创新潜力。在主观方面,主要存在两点问题:第一,未能进行有效的统一规划。我国网络金融的发展因缺乏宏观统筹,各融机构在发展模式选择、电子设备投入、网络建设诸方面不仅各行其道,甚至还相互保密、相互设防,造成信息、技术、资金的浪费和内部结构的畸形,不仅不利于形成网络金融的发展,还有可能埋下金融业不稳定的因素。第二,立法滞后。一方面与市场经济发达国家相比,我国网络金融立法滞后。我国此类法律极为有限,只有《网上证券委托暂行管理办法》、《证券公司网上委托业务核准程序》等几部法规,并且涉及的仅是网上证券业务的一小部分。另一方面与传统金融业务健全的法律体系相比,网络金融立法同样滞后。面对网络金融的发展和电子货币时代的到来,需要进一步研究对现行金融立法框架进行修改和完善,适当调整金融业现有的监管和调控方式,以发挥其规范和保障作用,促进网络金融积极稳妥地发展。

    四、建议应采取的对策针对上述风险和问题,提出以下几点对策。(1)确立传统金融与网络金融并行发展的战略。(2)建立专门的指导和管理机构。(3)加快网络金融立法。(4)造就复合型金融人才。(5)改革分业管理体制。(6)加快电子商务和网络银行的立法进程。(7)银监会应提高对网络银行的监管水平。(8)大力发展先进的、具有自主知识产权的信息技术,建立网络安全防护体系。(9)建立大型共享型网络银行数据库。(10)建立网络金融统一的技术标准。

    【参考文献】

第8篇：网络安全技术服务方案范文

【关键词】信息安全;风险;应对

随着计算机应用范围日益广泛，社会发展和人们生活已经离不开信息网络。信息技术成为行政机构中重要的资源之一，很多行政机构都大量引入了信息化办公手段，运行于系统、网络和电脑的数据安全成为了行政机构信息安全面临的重大问题。尽管很多行政机构都认识到信息安全风险管理的重要性，也纷纷从人员配置、资金投入、技术更新等多方面加强对信息安全风险的管理，但是行政机构信息安全风险并没有随之消失，相反却在不断地增长。现在，机构在越来越多的威胁面前显得更为脆弱。网络攻击日益频繁、攻击手段日益多样化，从病毒到垃圾邮件，这些方式都被用来窃取机构信息，如不提前防范，一旦被袭，网络阻塞、系统瘫痪、信息传输中断、数据丢失等等，无疑将给行政机构业务带来极大的负面影响和经济损失。因此，行政机构信息安全风险控制势在必行，它不仅是行政机构需要关注的问题，也是涉及到国家安全的重要课题。

1.行政机构信息安全的风险分析

1.1 黑客的入侵和攻击

行政机构面临着一系列的信息安全威胁，其中最普遍的一种信息安全威胁就是病毒入侵。黑客技术的网络资源随处可见，很多年轻人处于好奇或者出于牟利目的，从网上购得黑客技术，对行政机构网站进行攻击。

1.2 行政机构不重视信息安全的风险问题

目前，很多行政机构都加强了信息化建设，通过资金投入、技术改造等多方面来加强行政机构信息安全。但是信息风险不仅仅是技术层面的东西，更重要是人的意识层面对安全风险的认识。在行政机构中，很多部门和个人依然对信息安全风险问题不重视，有的认为信息风险安全是网络部门的事情，与其他部门或者员工没有关系，而且也帮不上忙;有的人认为对信息安全的宣传有夸张的嫌疑，真正遭受过网络攻击的行政机构屈指可数，肯定不会发生在自己身上;有的行政机构缺乏信息安全风险管理的制度建设，没有出台具体的故障制度，造成员工无章可循，不知道怎么应对网络信息风险，出现问题也不知道如何化解和处理。有的行政机构尽管已经制定了规章制度，但很多都是流于形式，没有针对性，也没有操作性，长年累月不进行更新和修改，滞后于信息化时展的要求。

1.3 行政机构信息安全权限的规定不严谨

很多行政机构在实际工作制定了大量的安全管理规定，但是在实际操作中，对行政机构员工以及信息服务人员的口令卡、数据加密等要求很难得到落实。部分员工长期使用初始口令、加密强度较弱的口令，有的员工登陆系统时使用别人的账号，使用完毕后也没有及时关闭账号，也不关电脑，外来人员很容易登陆电脑窃取行政机构机密文件，机构内部也缺乏信息安全风险管理的意识，员工可以任意下载行政机构资料，可以随意将行政机构资料设置成共享状态，在拷贝行政机构文件或者数据时，也没有经过杀毒过程，直接下载或者用邮件发送。甚至很多行政机构员工在上班时间看电影、玩游戏、下载文件比较普遍，员工随意打开一些不安全的网站，随意接受一些来源可疑的邮件，成病毒传播、木马下载、账号及密码被盗，自己还浑然不知。这些不良行为都严重威胁行政机构的信息安全，加上现代行政机构人员流动比较频繁，员工跳槽很普遍，很多员工离职后也没有上交机构账号和口令卡，依然可以登录原机构系统，给行政机构网络风险带来隐患。行政机构废弃不用的一些安全设备也没有及时进行加密和保护处理，里面的数据没有及时进行删除，安全设备随意放置，外人很容易从这些设备中还原和复制原有的信息资源。

1.4 行政机构缺乏对信息技术装备和设施的监控与维护

很多行政机构为了加强信息安全风险管理，都有针对性的部署了一些信息安全设备，然后这些从安装上就很少有人问津，设备的运行状况和参数设置都不合理，都是根据系统提示采用默认设置，由于行政机构与行政机构之间有很大的不同，行政机构之间的信息安全风险也相差迥异，采用默认状态无法照顾行政机构的真实情况，不能从源头上有针对性的加强信息安全风险管理。很多行政机构缺乏对安全设备以及运行日志的监控，不能有效的根据设备运行状况进行细致分析，从而采取适当措施加强信息风险管理。总之，在行政机构信息安全风险管理中被动保护的情况比较普遍，缺乏主动防御的意识，而且对于大多数中小行政机构而言，行政机构资金和规模都比较小，面临激烈的市场竞争，行政机构将主要精力用于市场开拓和产品的影响，以期在短时间内获得可观的利润，行政机构在信息安全风险上的投人比较少，很多设备都老化了，线路都磨损严重，却没有得到及时更新和维护，为行政机构安全风险管理埋下了隐患。

2.行政机构信息安全风险的应对

2.1 机构人员须提高个人信息安全意识

维护行政机构计算机网络信息安全是行政机构每一位员工都应该关注的课题，行政机构要加强信息安全风险防范的宣传，让每一位员工都对基本得到网络安全信息技术有所了解，对计算机风险的重要性有清楚的认识，每位员工尤其是网络技术服务人员要把口令卡和账号管理好，不能泄露或者遗失，使用者的网络操作行为和权限都要进行一定的控制，防止行政机构员工越权浏览机构信息，对于一些涉及行政机构机密的文件要及时进行加密，对文件是否可以公开访问进行限制，减少不合法的访问。还要及时清理文件，一些废弃的或者没有价值的文件要及时进行删除，要彻底删除不能仅仅放到回收站，保证其他人无法通过复制或者还原电脑设备中的信息。对于行政机构电脑设备要注意防磁、防雷击等保护措施，行政机构职工要对电脑设备的基本保养和维护措施有了解，不要在过于潮湿、气温过高的地方使用电脑，要懂得如何对电脑系统继续软件更新和漏洞的修补，从而保证计算机处在最优的防护状态，减少病毒入侵。

2.2 加强信息安全基础设施建设资金投入

行政机构要加强信息安全风险防范的资金投入，资金投入主要用于行政机构日常安全信息管理、技术人员的培训以及安全设备的购置等等，每年行政机构从行政机构利润中拿出一定比例的资金来加强信息安全的投入，投入的资金与行政机构规模、行政机构对信息安全的要求息息相关。针对很多机构信息化设备老化，线路损耗严重的现实情况，行政机构要加强线路的维护和改造，购买新的防火墙和杀毒软件等等，在采购和使用信息安全产品时，行政机构一定要重视产品的管理功能是否强大、解决方案是否全面，以及行政机构安全管理人员的技术水平。例如行政机构可以购入UPS电源，突然停电时可以利用该电源用来应急，以保证机构信息化建设中系统的正常运行和设备技术的及时更新。

2.3 加强行政机构网络的防火墙设计

由员工网络操作不当造成的黑客入侵、商业机密泄露也威胁着行政机构的生存和发展。一直以来，行政机构信息安全解决方案都需要来自多个制造商的不同产品，需要多个工具和基础结构来进行管理、报告和分析。不同品牌、不同功能的信息安全设备被杂乱无章地堆叠在行政机构网络中，不但兼容性差，还容易造成行政机构网络拥堵。正确地部署和配置这些复杂的解决方案十分困难，而且需要大量时间。另外，大量安全产品互操作性不足，无法与已有的安全和IT基础结构很好的集成。这样组成的解决方案难以管理，增加了拥有者总成本，并可能在网络上留下安全漏洞。行政机构可以引入终端安全管理系统进行信息安全风险的防范，例如瑞星终端安全管理系统采用了统一系统平立功能模块的设计理念，集病毒查杀双引擎、专业防火墙和信息安全审计等于一身，具有网络安全管理、客户端行为审计、即时通讯管理和审计、客户端漏洞扫描和补丁管理等功能;行政机构信息安全新品还采用了模块化的新形式，行政机构可以根据自己的需求定制相应的功能组合;通过瑞星在线商店，行政机构也可以随着信息安全需求的变化添加所需模块，减轻首次购买的支付成本及后续的升级成本。

总之，随着网络应用的日益普及，行政机构信息安全风险问题日益复杂。要切实加强对信息安全风险的认识，从规章制度、技术手段以及宣传教育等多方面加强行政机构信息安全风险防范，确保网络信息的保密性、完整性和可用性。

参考文献

[1]徐玮晟，张保稳，李生红.网络安全评估方法研究进展[J].专家新论，2009（10）：50-53.

[2]张，慕德俊，任帅等.一种基于风险矩阵法的信息安全风险评估模型[J].计算机工程与应用，2010，46（5）：93-95.

第9篇：网络安全技术服务方案范文

关键词：信息安全；等级保护；等级测评；实践教学；综合实训

DOIDOI：10.11907/rjdk.161717

中图分类号：G434

文献标识码：A文章编号文章编号：16727800（2016）009017303

基金项目基金项目：贵州省科技厅社发攻关项目（黔科合SY字2012-3050号）；贵州大学自然科学青年基金项目（贵大自青合字2010-026号）；贵州大学教育教学改革研究项目（JG2013097）

作者简介作者简介：张文勇（1973-），男，贵州台江人，硕士，贵州大学计算机科学与技术学院讲师，研究方向为网络与信息安全；李维华（1961-），男，贵州贵阳人，贵州大学计算机科学与技术学院高级实验师，研究方向为网络与信息安全；唐作其（1980-），男，贵州兴义人，硕士，贵州大学计算机科学与技术学院副教授，研究方向为信息安全保障体系。

0引言

信息安全等级保护是国家信息安全保障工作的基本制度、基本策略、基本方法，开展信息安全等级保护工作是保护信息化发展、维护国家信息安全的根本保障，是信息安全保障工作中国家意志的体现。信息安全学科要求学生不仅要具备很强的理论知识，更应具备较强的实践能力。现阶段很多高校在理论教学上有较好的培养方法和模式，学生具备良好的理论基础，但在实践教学中由于各课程的衔接和关联较少，尽管部分学校开设了信息安全实训或信息安全攻防实践等课程，但基本都是做一些单元实验，仅局限于某一方面的技能训练，没有从全局、系统的角度去培养学生综合运用各种信息安全知识解决实际问题的能力[15]。从贵州大学信息安全专业毕业生就业情况调查反馈信息来看，绝大多数毕业生主要从事企事业单位的信息安全管理、信息安全专业服务等工作，少数毕业生从事信息安全产品研发，或继续硕士博士深造，从事信息安全理论研究。用人单位普遍反映学生的基本理论掌握相对较好，但实际操作技能、综合分析能力欠缺。为了解决目前这种状况，笔者根据长期从事信息安全等级保护项目实施工作实践，提出在信息安全专业的实践教学环节中引入信息安全等级保护相关内容。

1信息安全等级保护对学生能力培养的作用

信息安全等级保护工作包括定级、备案、安全建设和整改、信息安全等级测评、信息安全检查5个阶段，信息系统安全等级测评是验证信息系统是否满足相应安全保护等级的评估过程。信息安全等级保护的知识体系完善，信息安全等级保护测评人员的技术要求涵盖多个方面，包括物理环境、主机、操作系统、应用安全、安全设备等，因此国家对于信息安全等级保护人员的技术要求十分综合和全面[3]。如参照信息安全等级保护专业人员的技术要求对学生开展信息安全综合实训将满足社会对信息安全专业人员的技能和知识结构要求，主要体现在以下4个方面：①培养学生了解国家关于非信息系统保护的基本方针、政策、标准；②培养学生掌握各种基本信息安全技术操作技能，熟悉各种信息系统构成对象的基本操作，为将来快速融入到信息安全保护实践工作奠定基础；③培养学生具备从综合、全面的角度去规划、设计、构建符合国家信息安全保障体系要求的信息安全防护方案能力；④培养学生建立信息安全等级保护的基本意识，在工作实践中自觉按国家信息安全等级保护要求开展工作，有利于促进国家信息安全等级保护政策实施。

2实训教学知识体系

信息安全等级保护的相关政策和标准是信息安全实训教学体系建立的基本依据，GB/T 22239-2008《信息安全等级保护基本要求》在信息安全等级保护标准体系中起基础性作用。信息安全等级保护基本要求充分体现了“全面防御，纵深防御”的理念，遵循了“技术和管理并重”的基本原则，而不同级别的业务信息系统在控制点要求项上的区别体现了“适度安全”的根本原则[6]。信息安全保护测评是信息安全等级保护的一项重要基础性工作，GB/T 28449-2012《信息安全等级保护测评过程指南》是对等级测评的活动、工作任务以及每项任务的工作内容作出了详细建议，等级测评中的单元测评、整体测评、风险分析、问题处置及建议环节体现了测评工程师对等保项目基本安全保障情况的综合分析能力[610]。信息安全等级保护知识体系庞大，不可能兼顾所有方面，因而在信息安全实训教学知识体系制订中采用兼顾全局、突出重点的基本原则；在实训教学知识体系的构成中重点以《信息安全等级保护基本要求》和《信息安全等级保护测评过程指南》为基础，包括基本理论培训、基本技能实训、安全管理培训、能力提高实训四大模块；在实际操作中将重点放在基本技能实训和能力提高实训上。各实训模块构成及关系如图1所示。

3实训教学实施

教学实施依据实训教学知识体系进行，教学方式采用集中课堂基本理论教学、在信息系统模拟平台实施现场测评数据采集的基本操作实训和以信息安全等级保护测评报告的编写为基础的数据分析、数据整理、安全方案编写实训。

3.1基本理论教学

该环节采用集中课堂教学方式，讲解的主要内容是信息安全等级保护政策和标准。讲解深度上应有所侧重，讲解重点包括：①信息安全等级保护基本要求中层面的划分原则和依据、控制点的构成、控制点中要求项的解读；②信息安全保护过程指南中单元测评、整体测评、风险分析、问题处置和建议等部分的解读。

理论教学在突出重点的同时，兼顾全局，让学生对信息安全等级保护制度和标准有一个完整、清晰的认识。

3.2基本技能实训

基本技能实训环节主要是强化学生各种信息安全技术的基本操作训练。首先，应根据最真实的企业内部环境搭建符合信息安全等级保护要求的模拟信息系统，并编写好对应的信息安全等级保护现场测评指导书；然后，指导学生在模拟系统上进行现场测评实训，实训过程按信息安全等级保护现场测评指导书要求进行，实训内容以获取信息系统安全配置和运行状态等原始数据为基础。基本技能实训模块包括网络安全、主机安全、应用安全、数据备份及恢复、自动化工具扫描这5个层面的训练项目。

（1）网络安全。学生在模拟平台上开展各种主流的网络设备和安全设备的基本操作训练，要求学生理解网络设备和安全设备的安全功能及安全设置，掌握设备的运行状态和信息数据采集方法。

（2）主机安全。学生在模拟平台上开展各种主流系统软件基本操作训练，包括操作系统、数据库系统、中间件等，要求学生理解各种系统软件的安全功能和安全设置。通过本环节的实训，学生应具备系统软件安全配置核查和运行状态信息采集能力。

（3）应用安全。学生在模拟平台上对所安装的主流商用应用软件和自主开发软件进行安全配置核查和安全功能验证训练，要求学生理解应用软件的安全功能设计要求，掌握应用软件的安全配置核查和安全功能验证方法。

（4） 数据备份和回复。通过模拟系统的磁盘冗余阵列进行基本操作训练，让学生了解磁盘冗余阵列的验证方法；通过训练学生在操作系统和数据库管理系统上配置计划备份任务，使其理解系统软件的数据备份安全功能，掌握系统软件的备份操作计划配置和验证方法。

（5）自动化工具扫描。学生利用主流的开源扫描工具和商用的扫描工具对模拟系统上的网络设备、安全设备、服务器主机等进行扫描，获取信息系统主要软硬件的漏洞，并验证系统的脆弱性。本部分获取的原始数据作为（1）、（2）、（3）部分的补充，通过本环节培训学生整理和分析漏洞扫描结果以及初步验证漏洞真实性的能力。

3.3能力提高实训

在学生掌握信息系统安全配置和运行状态数据采集的基本技能后实施能力提高实训，本模块主要培训学生对原始数据的分析、整理，并编写信息安全等级保护测评报告的能力。能力提高实训模块主要包括单元测评、整体测评、风险分析、问题处置和安全建议4个项目，各项目之间的关系流程如图2所示。

（1）通过基本技能实训获取到原始数据后，根据信息安全等级保护测评过程要求整理、分析原始数据，开展单元测评，并给出各单元层面内控制点中检查项的符合性，分析并给出单元测评结果，按信息安全等级保护报告模板编写单元测评报告。

（2）在完成单元测评后，由于单元测评参照的信息相对独立，未考虑原始数据间的关联性，而实际信息系统的最终安全防护效力和面临的风险是信息系统安全控制点间、安全层面间、安全区域间各组成要素共同作用的结果，因此在完成单元测评后还应该进行整体测评。整体测评主要是考虑单元测评中的各控制点间、安全层面间、安全区域间存在某种关联性，这种关联会对信息系统整体的安全防护效力、面临的风险具有降低或增加的作用，应从整体角度对信息系统安全的状态进行修正。

（3）风险分析结果是制订信息安全系统防护措施的重要依据，风险分析能力是体现信息安全工程师水平的一项重要指标。在风险分析实训项目中结合单元测评和整体测评结果利用风险分析计算工具对信息系统面临的风险等级大小进行定性或定量的分析计算，并编写风险分析报告。

（4）确定信息系统存在的风险后，接着应分析引起信息系统风险的因素，对不可接受风险因素或不能满足等级保护要求的安全防护项提出完整的问题处置和整改建议。问题处置和整改建议环节要求信息安全工程技术人员具备扎实理论知识的同时还具备相当丰富的实践经验，工程技术人员必须熟悉信息安全的各种防护技术和目前市场上相关的信息安全软硬件安全产品。因此，本实训项目主要是训练并提高学生综合运用信息安全技术解决实际问题的能力。

4结语

在信息安全专业的实践教学中引入信息安全等级保护内容，实训教学知识体系完全参照信息安全等级保护要求来构建，信息安全等级保护知识体系完善，保证了实训内容的广度和深度。通过信息安全等级保护现场测评环节训练学生的信息安全技术基本操作技能，通过信息安全等级保护测评报告的编制训练学生运用信息安全等级保护基本知识、理论和方法去分析信息系统存在的漏洞、面临的安全风险，并编制符合信息安全等级保护要求的安全防护方案，提高学生综合运用信息安全技术解决实际问题的能力，较好地满足了社会对信息安全人才的需求，深受信息安全等级保护技术服务机构和已开展或拟开展信息系统安全等级保护的企事业及机关单位的欢迎，为学生毕业后尽快适应工作要求奠定了基础。

由于实验环境的限制，所制订的基于信息安全等级保护的实训教学知识体系仍存在以下3点不足：①实训教学体系未涉及虚拟化、云计算、物联网安全实训，而这些是当前发展较快且正被广泛运用的信息技术；②由于渗透测试对测试环境搭建和学生基本技能要求较高，因而实训教学体系中并未涉及渗透测试项目；③信息安全管理在信息安全防护工作中是非常重要但却最容易被忽视的工作内容，可以说一个组织的信息安全管理水平高低直接决定其信息系统的安全防护能力。因为安全管理测评基本上采用的是制度类、证据类、记录类文档性资料的核查和访谈，而在实训中难以模拟一个完整的安全管理体系实际案例，所以在实训中安全管理部分更多地是采用课堂教学讲解，没有操作实训。 这些在后续教学实践工作中都有待改进。

参考文献参考文献：

[1]杨冬晓，严晓浪，于慧敏.信息类特色专业建设的若干实践[J].中国电子教育，2010（1）：3945.

[2]田秀霞.创新实践项目驱动的信息安全专业教学改革[J].计算机教育，2015（23）：3033.

[3]张胜生，吕绪银.基于信息安全场景下的等级保护技术人才培养模式研究[C].第二届全国信息安全等级保护测评体系建设会议论文集，2012：8385.

[4]李琳，陈东方，李涛，等.信息安全专业实践教学体系研究[J].电脑知识与技术.2014，10（35）：85148515.

[5]蒋炜.信息安全等级保护培训探讨[J].现代企业研究，2015（2）：64.

[6]公安部信息安全等级保护评估中心.信息安全等级保护政策培训教程[M].北京：电子工业出版社，2015.

[7]公安部信息安全等级保护评估中心.信息安全等级测评师培训教程（中级） [M].北京：电子工业出版社，2015.

[8]公安部信息安全等级保护评估中心.信息安全等级测评师培训教程（初级） [M].北京：电子工业出版社，2015.