网络安全成熟度评估精选(九篇)
前言：一篇好文章的诞生，需要你不断地搜集资料、整理思路，本站小编为你收集了丰富的网络安全成熟度评估主题范文，仅供参考，欢迎阅读并收藏。
第1篇：网络安全成熟度评估范文
【关键词】 网络会计； 风险分析； 会计内控指标体系； 模糊评价法； 绩效评价
中图分类号：F232；F272.35文献标识码：A文章编号：1004-5937（2014）16-0083-05目前，中国很多企业实施了网络会计信息系统，但对网络环境下产生的安全威胁不够重视，未及时完善自身的内控体系，增加了内部控制的不安全性，从而影响到会计信息的安全。因此，研究网络会计信息系统下内部控制的安全问题，帮助企业建立一个新的、更有效的内部控制指标体系很有意义。
文章基于传统内部控制评价体系网络化下赋予的新含义，重新构建了网络会计内部控制的安全评价体系，以实现对会计内控目标、会计内控环境、财务风险监控与管理控制、信息技术控制、财务监督问责、信息沟通等安全控制方面的评价。
一、网络会计内部控制体系的理论基础
（一）传统内部控制体系
2008年6月28日，财政部会同证监会、审计署、银监会、保监会制定并印发《企业内部控制基本规范》，要求企业建立实施的内部控制包括下列五个要素：内部环境、风险评估、控制活动、信息与沟通以及内部监督。这五个部分也可作为评价内部控制系统有效性的标准。
（二）网络会计内部控制风险分析
内部控制主要是控制好风险，因此，笔者首先对网络会计信息系统进行安全分析，然后运用各种方法和工具找出各个流程的潜在风险，最终建立起风险的详细清单，如表1所示。
二、构建网络会计内部控制安全评价体系
处于经济转型期的我国企业面临经营风险及外部环境的变化，内控体系应及时作出相应的调整，构建适应信息化环境的内部控制框架。其中控制网络会计带来的新变化是重点，所有内控要素都要从信息化会计系统的特征出发加以通盘考虑。内部安全控制框架如图1所示。
在网络会计内部控制体系之下，根据每一类控制因素的活动域，首先将其分解为关键过程域，然后将该过程域细化到具体的关键控制点。本文将对体系中六个控制因素的活动域，按照关键过程域到关键控制点的步骤来分别描述。
（一）会计内控目标
1.建立符合国内外法律、法规，面向会计部门并结合部门内部网络会计实际情况的内部控制体系。
2.梳理网络会计下的内部管理流程。
3.不断完善内部控制体系，与企业战略目标相融合，向全面风险管理体系过渡，建立风险管理和内部控制长效管理机制。
（二）会计内控环境
1.更新信息化观念
为了适应网络发展的新形势，企业领导要树立市场观念、竞争观念，重视会计信息化，同时企业要结合先进的管理理念和现代化方法，更新现有会计信息系统。
2.明确会计部门分工
财务部下应设置信息部门和业务部门。信息部门提供信息技术服务和系统运行监督；业务部门负责批准、执行业务和资产保管等。
3.提高财务人员安全意识
（1）将会计信息安全方针与安全考察方针形成书面文件；（2）与重要的会计人员签署保密协议；（3）对会计人员进行信息安全教育与培训。
（三）财务风险监控与管理
1.财务风险监控
（1）识别关键控制点；（2）更新预警模型。实时监控潜在的风险，将全方位的信息转换成财务指标，加入到预警模型中，实现资源共享和功能集成。
2.财务风险管理
（1）适当利用自动化控制来代替手工控制；（2）可在系统外部执行部分关键的手工操作。
（四）信息技术控制
1.系统构建控制
（1）制定信息系统开发战略；（2）选择合适的系统开发方式。
2.严密的授权审批制度
（1）操作权限与岗位责任制；（2）重点业务环节实行“双口令”。
3.系统操作控制
（1）数据输入控制；（2）数据处理控制；（3）数据输出控制。
4.会计数据安全管理
（1）会计数据备份加密；（2）会计数据传输加密；（3）用户访问控制；（4）服务器加密。
（五）财务监督与问责
主要是内部审计管理：
（1）定期审计会计资料，检查会计信息系统账务处理的正确性；（2）审查机内数据与书面资料的一致性；（3）监督数据保存方式的安全性和合法性，防止非法修改历史数据；（4）审查系统运行各环节，发现并及时堵塞漏洞等。
（六）信息沟通
会计信息的沟通与交流应贯穿整个内控体系中。
1.管理层重视
管理层应高度重视及支持信息系统的开发工作，确保各职能部门信息系统在信息交流上高度耦合。
2.严密的组织保障
各部门通过控制系统识别使用者需要的信息；收集、加工和处理信息，并及时、准确和经济地传递给相关人员。
3.体系化的制度保障
建立健全会计及相关信息的报告负责制度，使会计人员能清楚地知道其所承担的责任，并及时取得和交换他们在执行、管理和控制经营过程中所需的信息。
三、基于模糊评价法的内控评价体系应用 研究
网络会计信息系统内控体系绩效评价的应用研究主要利用成熟度模型来划分内部会计控制因素的等级，基于模糊评价法来进行安全绩效评价，最后得出相应的结论。
（一）模糊综合评价法的应用
模糊综合评价法是以模糊数学为基础，将一些不易定量的因素定量化，从多个因素对被评价事物隶属等级状况进行综合性评价。
一是对网络会计内控体系进行成熟度划分。
二是依据成熟度模型来确定评价因素和评价等级。设：U=｛?滋1，?滋2，?滋3，…，?滋m｝为被评价对象的m个评价指标V=｛v1，v2，v3，…，vn｝；为每一个因素所处的状态的n种等级。
三是确定权重分配。
四是进行全面的调查访问，并建立评价表。
五是建立模糊评价矩阵，得出多级模糊的综合等级。
六是得出关键控制点的评级表。
七是得出评价结果。
（二）模糊综合评价法的应用
本节针对上述内控体系中的信息技术控制因素，对其应用模糊评价法来进行分析，其他控制因素的评价方法与此例相同。
1.成熟度评价标准
借鉴能力成熟度模型（CMM），同时考虑网络会计信息系统的特点，将内控流程评价标准划分为六级：不存在级、初始级、已认识级、已定义级、已管理级、优化级。完善后的内部会计控制成熟度评价标准如表2所示。
表2中等级的划分是针对会计信息系统内部控制体系总体情况而言。具体到网络会计内部控制的每一级指标建立成熟度模型时，各个流程也分为以上六个等级。
2.成熟度模型
建立了成熟度评价标准之后，便可根据网络会计内部控制体系列出控制内容、关键过程域及关键控制点。本文以信息技术控制为例建立具体模型，该控制因素的成熟度模型如表3所示。
3.权重分配
我国学者辛金国、范炜采用德尔菲法，通过问卷调查的方式得到传统内部控制五要素中控制环境权重为30%、风险评估为12.9%、控制活动为25.2%、信息与沟通为28%、监督为3.9%。
本文赋权采用德尔菲法，并结合网络会计的特点，控制内容的权重分配如表4、表5所示。
4.评价表
建立起三级的指标体系结构之后，分别对审计机构、信息安全机构、公司管理层及普通员工四个方面进行调查。每一类对象都挑选10人（总共40人）进行调查访问，每位专家、管理者及员工分别运用实地观察法、流程图法、专业判断法或工作经验法，按照指标执行情况，对每一项关键控制点依照成熟度模型赋予安全等级分值，表格的内容代表选择该等级的人数，整理后得出评价表，如表6所示。
5.模糊评价矩阵
首先，用表6中每个级别的分值除以总人数40，得出的评价结果构成关键过程域的模糊评价矩阵R4j：
R41=0.7 0.2 0.1 000000.1 0.3 0.50.1
R42=00 00.20.7 0.100.10.6 0.20.1 0
R43=000.1 0.2 0.6 0.10000.1 0.3 0.600000.2 0.8
R44=000.20.7 0.1 00.8 0.2 00000.2 0.6 0.20000 0.30.50.200
其次，进行关键控制域模糊矩阵运算，B4j=A4j・R4j
B41=［0.5 0.5］・R41=［0.35 0.1 0.1 0.15 0.25 0.05］
B42=［0 0.05 0.3 0.2 0.4 0.05］
B43=［0 0 0.033 0.1 0.366 0.501］
B44=［0.25 0.275 0.225 0.225 0.025 0］
然后，计算控制内容的模糊矩阵运算，Vi=Ai・Bi
V4=［0.2 0.3 0.25 0.25］・B4=［0.1325 0.10375 0.1745 0.17125 0.26775 0.15025］
最后，计算信息技术控制的综合得分G4=V4・ ［0 1 2 3 4 5］T=2.78875。
6.评级表
对各关键控制点的分值进行加权平均计算，根据得出的数所靠近的级别，从而判断其成熟度级别，公式是：
单项关键控制点评价得分=Σ（该关键控制点的分值×对应的等级数）÷40
每一项关键控制点通过上述公式计算得出的评级表如表7所示。
依据内控流程的成熟度，对照单项关键控制点的评级，赋予其合适的等级区间。
7.评价结果
根据模糊矩阵法运算出的信息技术控制的综合评分为2.78875，在2―已认识级与3―已定义级之间，接近3―已定义级。
根据表7，可以针对公司的信息技术控制关键控制点的绩效作出如下评价：
公司在适当的信息系统开发方式、操作权限与岗位责任制、操作控制以及会计数据存储加密中做得较好，评级基本在3―已定义级以上。
公司在内部会计控制中的信息系统开发的战略规划、重点业务环节的安全控制、会计数据安全管理、对外来人员的访问控制、对内部服务器的安全管理均需要进一步加强。
四、结语
网络会计具有开放性、及时性、分散性与共享性的特点，根据其特点，本文建立了信息化内部会计控制体系，主要包含会计内控目标、会计内控环境、财务风险监控与管理、信息技术控制、财务监督问责、信息沟通六个方面。在安全分析过程中，列出了风险清单，让财务部门负责人更全面地了解到面临的各级风险。发现风险是第一步，第二步便是管理风险，公司应分别从内部会计控制的六个方面进行体系化的控制，其中最重要的便是利用信息技术控制来保障网络会计信息系统的内部安全和计算机网络安全。最后，本文运用模糊评价法，对网络会计信息系统内部控制评价体系进行应用研究，以信息技术控制为例，对其安全内控体系进行了评价及实证分析。
【参考文献】
［1］ 王晓玲.基于风险管理的内部控制建设［M］.北京：电子工业出版社，2010：100-102.
［2］ 陈志斌.信息化生态环境下企业内部控制框架研究［J］.会计研究，2007（1）：30-37.
［3］ 杜洪涛.网络环境下会计电算化信息系统安全探讨［J］.计算机光盘软件与应用，2010（9）：37-38.
［4］ 宫雪冰.基于内部控制的网络会计信息系统安全问题的控制［J］.中国管理信息化，2010，13（15）：2-3.
［5］ 李河君.会计信息系统风险控制体系研究［D］.首都经济贸易大学硕士学位论文，2010.
［6］ 财政部会计司.《企业内部控制应用指引第18号―信息系统》解读［J］.财务与会计，2011（6）：57-62.
［7］ 艾文国，王亚鸣.企业会计信息化内部控制问题研究［J］.中国管理信息化，2008，11（15）：14-16.
［8］ 张继德,刘盼盼. 会计信息系统安全性现状及应对策略探讨［J］. 中国管理信息化，2010，13（6）：3-5.
［9］ 陈秀伟.网络环境下会计信息系统的内部控制探析［J］.中国管理信息化，2011，14（5）：7-8.
第2篇：网络安全成熟度评估范文
关键词：银行网络；银行数据安全性；网络安全性
中图分类号：TP393文献标识码：A文章编号：1009-3044(2010)20-5422-02
当前，很多网络技术经过培训，都能被大部分人所理解和运用，利用成熟度的网络技术，对银行系统的网络做以改进，在对原系统不做大规模改变的情况下，提高银行网络数据传输的安全性，这是整个银行网络安全最为基础和关键的环节。
1 我国银行网络安全运行中存在的问题
1.1 银行网络自身的问题
1) 网络系统存在的不安全因素。由于网络化的银行业务中大部分的业务和风险控制工作都是由电脑中的大量程序完成的，所以，网络信息系统的安全性就成为银行网络运行中最重要的技术风险，虽然在银行网络系统的设计过程中有多层次的安全系统，但是随着新的技术不断发展，虽然可以保护银行网络柜台的顺利运行，但是银行的网络系统仍然是网络银行运行中最为关键的环节。
2) 网络特有的开放性，是病毒流传的渊源。由于因特网所具有的开放性，使得各种计算机病毒随着网络到处流传，这种病毒严重威胁到银行网络的各个系统的顺利运行，尤其是随着银行网络的不断开放，更加为病毒的传播提供了有效的传播途径，这位银行的网络安全带来了巨大的威胁。
3) 专业人才紧缺。当前的网络银行发展，需要的是集合金融业务知识与计算机技术知识为一体的综合型人才，要求这类人才必须要熟悉银行的各种业务，同时又要懂得网络技术，只有这种人才才是保证银行网络安全运行的重要保证，因此，在我国的银行网络发展中，急需的正是这样的人才，当前人才的紧缺，也是造成银行网络安全隐患的原因之一。
1.2 各种来自外部攻击手段所带来的安全问题
1) 来自网络黑客的攻击。近年来，网络银行不断遭到黑客的攻击，导致一部分银行将网上支付系统关闭，密码被窃取，和各种假冒的营业网点已经成为银行网络业务中最大的安全隐患。网络黑客通常的做法是利用各种木马程序，向用户发送一些促销活动的通知邮件，诱惑用户访问其事先预设的网站，用户一旦访问该网站，就会将账号和密码泄露，给犯罪分子可乘之机。
2) 犯罪分子的经济犯罪行为。由于网络银行的支付系统是由金钱进行支付和结算的，因此，很容易引起不法分子的注意，使很多犯罪分子利用网络银行进行各种诈骗行为，严重的会使银行和用户双方受到严重的损失。
3) 工作人员的内部职务犯罪。很多银行的内部工作人员利用工作之便，自行进入银行的网络系统，进行违法犯罪的活动，对银行的网络安全也是一种严重的威胁。
4) 越来越多的病毒威胁。计算机病毒是威胁网络安全的一个最为严重的威胁，普通的计算机病毒会导致数据丢失，使整个计算机网络和程序遭到破坏，很多正常的项目无法运行，甚至使计算机系统瘫痪。由于病毒的入侵，导致系统瘫痪的例子越来越多，各种层出不穷的计算机病毒存在于网络的各个角落，一触即发，令网络安全处于一个令人堪忧的环境。
2 银行网络数据传输系统建设的背景
当前的广域网中，银行所采用的内部网络一般都是营运商的专用路线，通常情况下，银行网络数据传输系统的数据链路层一般都是采用HDLC、PPP、ATM、帧中继等等通用的协议，在网络层一般采用IP 协议，并且在数据链路层和网络层之间不做安全处理，因此，在了解到银行网络系统的网络层IP 协议之后，就很容易根据IP协议的规划和访问控制等细节，获得其他信息，就会有不法之徒利用这些信息，模拟出银行网点极为相似的业务环境，实施其犯罪活动，比如在各个网点签到的柜员到了自己的岗位之后，从运营商的网站中模拟出网点的终端，就可以先显出交易画面，进行违法活动。
3 运用网络安全技术，提高网络数据安全性
网络安全技术是运用各种技术手段，增加网络安全的措施，一般包括防火墙技术，网络设备的安全技术，加密技术等等，下面简要分析各种安全技术。
1) 网络防火墙技术：网络防火墙是根据最小权限的原则。由于网络之间存在着访问控制权限，因此实现了网络隔离，设置网络防火墙，可以成功的隔离DMZ，有效保护网络内部的安全。防火墙一般有包过滤型防火墙，应用型防火墙等等，防火墙可以采用专门的硬件和专用的网络操作系统，也可以基于服务器软件实现。在银行网络系统中，应用的比较成熟的是状态包过滤的防火墙，可以对IP地址访问端口进行严格的控制，确保网络出入口的安全，在网络内部的重要区域也可以设置防火墙技术，以确保网络数据的安全传送。在防火墙的设计过程中，需要网络维护人员对业务流程和应用数据有着明确的认识，同时要了解访问关系和网络应用端口，实现网络安全与应用开发部门的有效结合。
2) 网络设备安全技术：网络设备安全技术一般是指访问控制列表技术，通过这种技术，实现传输层与网络层的访问控制，比如在银行办公网络中的交换机LAN接口，部署ACL，可以限制普通用户或者测试网络对服务器的访问权限，不会影响到网络内部数据的正常运行。网络设备的主要功能体现在转发和路由上，而对于访问控制权限较弱的网段，可以采用一些简单的网络控制，相对于硬件的防火墙技术，网络设备自身的安全访问权限功能更加专业，能够更好的维护网络数据的传输安全。
3) 加密技术：加密技术是维护网络和信息安全的重要保障，基于TCP/IP协议的加密技术，是与网络层相关联的一种技术，常见的有链路层加密，网络层加密以及传输层加密等等，加密产品有硬件也有软件。链路层加密一般是以硬件产品加密为主，在广域网中实施一点对一点或者一点对多点的加密和解密技术，保障数据在连路层的安全传输；而在网络层多使用的软件产品加密技术，这种软件产品加密技术成本小，可以在不同的网络层实施加密和解密技术，实现数据在各个网络层之间安全传输。
4) 审计网络日志：应用网络管理系统，实现网络中的事件管理，对日志进行管理和变更，这也是提高银行网络安全性的一个重要保障，因为网络系统中所包含的各种网络日志是进行日志审计的重要来源。日志审计是及时发展系统漏洞以及安全隐患的有效办法，网络系统中存在的事件日志、用户登录日志等等都是可以审计的内容。将日志进行收集和整理后，通过分析和审计，发挥其应有的作用。在银行网络系统中，可以采用仿真的模拟运行系统，记录攻击者的方式和端口，通过日志的审计功能，评估其面临的风险程度。
4 总结
网络安全是一个系统的，可控的，动态的工程，金融部门应当将增强网络安全意识，投入大量的人力物力，进行技术改进，打造专门的技术团队，对银行内部网络安全进行风险评估，购买安全产品，实施各种安全技术，建立多层次的安全体系，完善安全防范机制，确保银行网络数据的安全运行。
参考文献：
[1] 范平平.我国网络银行现状及安全性分析[J].内江职业技术学院学报,2008(4).
[2] 魏强.浅析增强银行网络数据传输安全性[J].企业技术开发：下,2009(7).
[3] 刘红.试析网络银行的安全性措施[J].北京市计划劳动管理干部学院学报,2006(3).
[4] 王惠君.银行网络数据通信安全与保密问题的研究[J].电脑与信息技术,2008(3).
[5] 姜慧群,师志勇.浅析从网络数据监测中获取实时数据的方法[J].华南金融电脑,2006(8).
第3篇：网络安全成熟度评估范文
随着宽带网络和用户规模的不断增长，用户对宽带接入业务的高可用性要求不断增强，对电信运营商在IP城域、接入网络和支撑系统提出了更高的安全性要求。本文从信息安全管理的理念、方法学和相关技术入手，结合电信IP城域网，提出电信IP城域网安全管理、风险评估和加固的实践方法建议。
关键字（Keywords）：
安全管理、风险、弱点、评估、城域网、IP、AAA、DNS
1信息安全管理概述
普遍意义上，对信息安全的定义是“保护信息系统和信息，防止其因为偶然或恶意侵犯而导致信息的破坏、更改和泄漏，保证信息系统能够连续、可靠、正常的运行”。所以说信息安全应该理解为一个动态的管理过程，通过一系列的安全管理活动来保证信息和信息系统的安全需求得到持续满足。这些安全需求包括“保密性”、“完整性”、“可用性”、“防抵赖性”、“可追溯性”和“真实性”等。
信息安全管理的本质，可以看作是动态地对信息安全风险的管理，即要实现对信息和信息系统的风险进行有效管理和控制。标准ISO15408－1（信息安全风险管理和评估规则），给出了一个非常经典的信息安全风险管理模型，如下图一所示：
图一信息安全风险管理模型
既然信息安全是一个管理过程，则对PDCA模型有适用性，结合信息安全管理相关标准BS7799(ISO17799),信息安全管理过程就是PLAN-DO-CHECK-ACT（计划－实施与部署－监控与评估－维护和改进）的循环过程。
图二信息安全体系的“PDCA”管理模型
2建立信息安全管理体系的主要步骤
如图二所示，在PLAN阶段，就需要遵照BS7799等相关标准、结合企业信息系统实际情况，建设适合于自身的ISMS信息安全管理体系，ISMS的构建包含以下主要步骤：
（1）确定ISMS的范畴和安全边界
（2）在范畴内定义信息安全策略、方针和指南
（3）对范畴内的相关信息和信息系统进行风险评估
a)Planning（规划）
b)InformationGathering（信息搜集）
c)RiskAnalysis（风险分析）
uAssetsIdentification&valuation(资产鉴别与资产评估)
uThreatAnalysis（威胁分析）
uVulnerabilityAnalysis（弱点分析）
u资产/威胁/弱点的映射表
uImpact&LikelihoodAssessment（影响和可能性评估）
uRiskResultAnalysis（风险结果分析）
d)Identifying&SelectingSafeguards（鉴别和选择防护措施）
e)Monitoring&Implementation（监控和实施）
f)Effectestimation（效果检查与评估）
（4）实施和运营初步的ISMS体系
（5）对ISMS运营的过程和效果进行监控
（6）在运营中对ISMS进行不断优化
3IP宽带网络安全风险管理主要实践步骤
目前，宽带IP网络所接入的客户对网络可用性和自身信息系统的安全性需求越来越高，且IP宽带网络及客户所处的信息安全环境和所面临的主要安全威胁又在不断变化。IP宽带网络的运营者意识到有必要对IP宽带网络进行系统的安全管理，以使得能够动态的了解、管理和控制各种可能存在的安全风险。
由于网络运营者目前对于信息安全管理还缺乏相应的管理经验和人才队伍，所以一般采用信息安全咨询外包的方式来建立IP宽带网络的信息安全管理体系。此类咨询项目一般按照以下几个阶段，进行项目实践：
3.1项目准备阶段。
a)主要搜集和分析与项目相关的背景信息；
b)和客户沟通并明确项目范围、目标与蓝图；
c)建议并明确项目成员组成和分工；
d)对项目约束条件和风险进行声明；
e)对客户领导和项目成员进行意识、知识或工具培训；
f)汇报项目进度计划并获得客户领导批准等。
3.2项目执行阶段。
a)在项目范围内进行安全域划分；
b)分安全域进行资料搜集和访谈，包括用户规模、用户分布、网络结构、路由协议与策略、认证协议与策略、DNS服务策略、相关主机和数据库配置信息、机房和环境安全条件、已有的安全防护措施、曾经发生过的安全事件信息等；
c)在各个安全域进行资产鉴别、价值分析、威胁分析、弱点分析、可能性分析和影响分析，形成资产表、威胁评估表、风险评估表和风险关系映射表；
d)对存在的主要风险进行风险等级综合评价，并按照重要次序，给出相应的防护措施选择和风险处置建议。
3.3项目总结阶段
a)项目中产生的策略、指南等文档进行审核和批准；
b)对项目资产鉴别报告、风险分析报告进行审核和批准；
c)对需要进行的相关风险处置建议进行项目安排；
4IP宽带网络安全风险管理实践要点分析
运营商IP宽带网络和常见的针对以主机为核心的IT系统的安全风险管理不同，其覆盖的范围和影响因素有很大差异性。所以不能直接套用通用的风险管理的方法和资料。在项目执行的不同阶段，需要特别注意以下要点：
4.1安全目标
充分保证自身IP宽带网络及相关管理支撑系统的安全性、保证客户的业务可用性和质量。
4.2项目范畴
应该包含宽带IP骨干网、IP城域网、IP接入网及接入网关设备、管理支撑系统：如网管系统、AAA平台、DNS等。
4.3项目成员
应该得到运营商高层领导的明确支持，项目组长应该具备管理大型安全咨询项目经验的人承担，且项目成员除了包含一些专业安全评估人员之外，还应该包含与宽带IP相关的“业务与网络规划”、“设备与系统维护”、“业务管理”和“相关系统集成商和软件开发商”人员。
4.4背景信息搜集：
背景信息搜集之前，应该对信息搜集对象进行分组，即分为IP骨干网小组、IP接入网小组、管理支撑系统小组等。分组搜集的信息应包含：
a)IP宽带网络总体架构
b)城域网结构和配置
c)接入网结构和配置
d)AAA平台系统结构和配置
e)DNS系统结构和配置
f)相关主机和设备的软硬件信息
g)相关业务操作规范、流程和接口
h)相关业务数据的生成、存储和安全需求信息
i)已有的安全事故记录
j)已有的安全产品和已经部署的安全控制措施
k)相关机房的物理环境信息
l)已有的安全管理策略、规定和指南
m)其它相关
4.5资产鉴别
资产鉴别应该自顶向下进行鉴别，必须具备层次性。最顶层可以将资产鉴别为城域网、接入网、AAA平台、DNS平台、网管系统等一级资产组；然后可以在一级资产组内，按照功能或地域进行划分二级资产组，如AAA平台一级资产组可以划分为RADIUS组、DB组、计费组、网络通信设备组等二级资产组；进一步可以针对各个二级资产组的每个设备进行更为细致的资产鉴别，鉴别其设备类型、地址配置、软硬件配置等信息。
4.6威胁分析
威胁分析应该具有针对性，即按照不同的资产组进行针对性威胁分析。如针对IP城域网，其主要风险可能是：蠕虫、P2P、路由攻击、路由设备入侵等；而对于DNS或AAA平台，其主要风险可能包括：主机病毒、后门程序、应用服务的DOS攻击、主机入侵、数据库攻击、DNS钓鱼等。
4.7威胁影响分析
是指对不同威胁其可能造成的危害进行评定，作为下一步是否采取或采取何种处置措施的参考依据。在威胁影响分析中应该充分参考运营商意见，尤其要充分考虑威胁发生后可能造成的社会影响和信誉影响。
4.8威胁可能性分析
是指某种威胁可能发生的概率，其发生概率评定非常困难，所以一般情况下都应该采用定性的分析方法，制定出一套评价规则，主要由运营商管理人员按照规则进行评价。
第4篇：网络安全成熟度评估范文
Abstract: ERP is the platform to achieve the integration, optimization, sharing of internal resources and external resources in business. The traditional ERP system can not meet the actual needs of SMEs. Based on the discussion on the concept of SaaS and ERP and the comparison of ERP system of SaaS model and the traditional model, this paper proposed the solutions of the ERP system under the SaaS model and the logical structure of SaaS ERP system, and pointed several problems in the development and construction of SaaS ERP system.
关键词：软件即服务；企业资源计划系统；中小企业
Key words: Software is service；planning system of enterprise resource；SMEs
中图分类号：TP31文献标识码：A文章编号：1006-4311（2011）08-0154-03
0引言
中小企业已经占据我国经济总量的半壁江山，在调整产业结构，促进科技创新，解决城镇就业和农村劳动力转移，提高国民生活水平，维护社会稳定，构建和谐社会等方面发挥着日益重要的作用，是保增长、保民生和保稳定的坚实基础。但是，近年来，中小企业的生存空间正在受到挤压，经营上的困难也不断增加，严重影响了中小企业的发展。从企业外部来讲，融资环境不公平，行业准入条件不公平，缺乏充裕、优质的技术、人才和信息等要素供给。从内部来讲，大部分中小企业缺乏科学的管理理念和运作方式，很多企业的组织形式都是直线职能制，相当一部分企业管理粗放、不规范，存在着管理制度不健全、管理手段缺乏、管理方式落后等状态。对于大型企业来说，具有资金、技术和人力资源优势，通过IT公司定制符合自身企业特点的管理系统，提升企业的管理水平，而对于处于劣势的广大中小企业来说，更需通过求新求异整合管理资源，促使管理活动适应内外环境的变化，增强整体竞争力。中小企业只有不断进行管理上的创新，才能使企业拥有一个良好的发展机制，使企业真正发挥其小而精、适应性强的优势，提高企业的市场竞争力。但是，中小企业要开发定制―个ERP系统，价格高昂、实施复杂，以及运行、维护和升级所需要投入的大量人力和物力都是绝大部分中小企业很难承受。近年席卷而来的SaaS软件模式，为中小企业应用ERP系统带来了新的希望。探索基于SaaS模式在中小企业ERP系统的应用对于推动中小企业转变发展方式、调整优化结构、提高经营管理水平和竞争力具有重要的意义。
1SaaS与ERP系统
1.1 SaaS的概念SaaS提供商为企业搭建信息化所需要的所有网络基础设施及软件、硬件运作平台，并负责所有前期的实施、后期的维护等一系列服务，企业无需购买软硬件、建设机房、招聘IT人员，即可通过互联网使用信息系统。企业根据实际需要，向SaaS提供商租赁软件服务。SaaS提供商通过有效的技术措施，可以保证每家企业数据的安全性和保密性。SaaS采用灵活租赁的收费方式，企业可以按需增减使用帐号，也可以按实际使用账户和实际使用时间付费。由于降低了成本，SaaS的租赁费用较之传统软件许可模式更加低廉。企业采用SaaS模式在效果上与企业自建信息系统基本没有区别，但节省了大量资金，从而大幅度降低了企业信息化的门槛与风险。在这种模式下，客户不再象传统模式那样花费大量投资用于硬件、软件、人员开资，而只需要支出一定的租赁服务费用，通过互联网便可以享受到相应的硬件、软件和维护服务，享有软件使用权和不断升级，这是网络应用最具效益的营运模式。
国内ICT领域权威研究机构计世资讯（CCW Research）在其最新的《软件业的下一个十年――中国软件运营服务（SaaS）市场发展趋势研究报告》中指出，2006中国软件运营服务（SaaS）产业的规模为68亿元，2011年将突破400到406亿元，未来五年的复合增长率达到43％。
1.2 ERP的概念简单地讲ERP就是企业资源计划系统。ERP是由美国著名的计算机技术咨询和评估集团Garter Group公司提出的一整套企业管理系统体系标准，是指建立在信息技术基础上，以提高企业资源效能为系统思想，为企业提供业务集成运行中的资源管理方案。ERP不仅仅是一个软件，更重要的是一个管理思想，它实现了企业内部资源和企业相关的外部资源的整合。通过软件把企业的人、财、物、产、供、销及相应的物流、信息流、资金流、管理流、增值流等紧密地集成起来，实现资源优化和共享。
1.3 SaaS模式与传统模式ERP系统比较SaaS的兴起是IT行业的一场新革命，SaaS模式将促进整个传统软件产业大的变革。SaaS模式和传统模式的软件服务主要有以下两点区别：
1.3.1 SaaS是对传统软件开发模式和交互模式的变革。传统管理软件的开发模式，是以软件产品为中心，通过市场推广不断寻找更多的客户购买产品来实现业务增长。传统软件一般通过光盘等磁盘介质或者以软件下载方式交互客户，然后由厂商技术人员完成服务器和客户端的安装以及一系列的配置等。在SaaS模式中，客户端可以不需要安装任何类似传统模式的客户端软件。客户端只要有设备能够连接并浏览互联网，客户就可以“随时随地”通过电脑、手机等多种互联网接入方式连接到互联网，通过互联网进行应用软件的管理和操作。
1.3.2 SaaS是对传统软件运营模式的变革。首先是软件付费方式的改变，传统管理软件付费模式是客户需要一次性投入整个项目高昂的项目资金，除管理软件产品本身外，还有整个系统的服务器机群、网络平台、系统软件，如数据库系统等，软件提供商主要靠销售软件产品盈利。SaaS模式通过租赁方式，定期支付租用的在线软件服务，客户大大降低了项目投资风险和资金投入压力，而SaaS提供商主要依靠为大量客户提供软件租用服务获取企业利润。SaaS运营模式以“服务”为核心，销售的内容从软件的许可证转变为服务，软件产品成为服务的载体。软件供应商与客户的关系从软件产品的买卖关系转变为服务关系，这种关系的彻底改变，也改变了人们对软件的认识。
1.3.3 SaaS模式改变了传统ERP系统部署方式。ERP软件的部署和实施比软件本身的功能、性能更为重要，万一部署失败，所有的投入几乎全部白费，这样的风险是每个企业用户都希望避免的。通常的ERP项目的部署周期至少需要一两年甚至更久的时间，而SaaS模式的软件项目部署最多也不会超过90天，而且用户无需在软件许可证和硬件方面进行投资。传统软件在使用方式上受空间和地点的限制，必须在固定的设备上使用，而SaaS模式的软件项目可以在任何可接入Internet的地方使用。相对于传统软件而言，SaaS模式在软件的升级、服务、数据安全传输等各个方面都有很大的优势。
2基于SaaS模式的ERP系统的优势
中小型企业固有的特点和弱点，使得采用SaaS模式来实施ERP系统在IT投资、业务流程、技术支持等方面具备了许多优势。
2.1 在投资层面上中小企业资金实力相对薄弱，在IT预算方面较低。而SaaS模式是由服务商统一部署软硬件，一定程度上实现了软硬件资源的共享。中小企业仅仅通过支付软件的租赁费用来获得ERP系统的使用权限，而不用向传统ERP系统那样的需要大量前期投资。
2.2 在业务层面上中小企业整体运营情况的稳定性较差，主营业务灵活多变，能够对市场变化做出快速反应。SaaS模式的ERP系统提供个性化功能模块定制，可以灵活适应中小企业的业务特点，及时调整系统功能。
2.3 在技术层面上中小企业自身的软硬件技术设备基础较差，相对缺乏专业的信息化人才，没有足够的能力自己承担ERP项目实施及后期维护任务。而SaaS服务商可以完全提供ERP系统的上线及运行维护，软件升级等服务，对用户自身的技术要求降到最低。
2.4 实施周期上中小企业的运营目标倾向于短期利益，看重即时效果。相对于传统ERP系统漫长的实施周期，SaaS模式的ERP系统由于软硬件资源的共享程度高，上线速度快，可大大缩减项目的实施周期，符合中小企业的时间要求。
3基于SaaS模式的ERP系统架构设计
3.1 SaaS模式的软件成熟度模型根据SaaS应用是否具有可配置性、高性能、可伸缩性的特性，SaaS成熟度模型可以分为四级，如图1所示。
第一级软件成熟度模型下，软件服务提供商为每个客户定制一套软件。每个客户使用一个独立的数据库实例和应用服务器实例，数据库中的数据结构和应用的代码可能根据客户需求做定制化修改。SaaS应用提供商通过整合软硬件资源，在降低软硬件以及专业化的维护成本方面取得了一定的规模效应，从而在一定程度上降低用户使用软件的综合成本。
第二级成熟度模型相对于最初级的成熟度模型，增加了可配置性。希望通过不同的配置来满足不同客户的需求，而不需要为每个客户进行特殊定制，以降低定制开发的成本。在这种模式下，软件提供商负责其软件的硬件部署、网络环境以及后续的维护。通过软件本身提供的配置功能可以满足不同客户特定的需求，而客户则仅需按年或按月支付相应的服务费即可。
在第三级软件成熟度中，实现了多租户单实例的应用架构。通过一定的策略来保证不同租户间的数据隔离，确保不同租户既能共享同一个应用的运行实例，又能为用户提供独立的应用体验和数据空间。
在第四级软件成熟度模型中，SaaS服务提供商将通过运行―个负载均衡的具备权限验证功能的平台来为众多的客户同时服务，每个客户的业务数据将被单独存放，同时提供使用可配置的元数据来为每―个客户提供其自身需要的独特的用户体验。符合这样―个成熟度的SaaS系统具备可扩展性，可易支持大规模客户的需要。用户首先通过接入客户负载均衡层，再分配到不同的实例上。通过多个实例来分担大量用户的访问，可以让应用实现近似无限的水平扩展。
虽然从应用架构的角度，同时具备可配置性、高性能和可伸缩性的第四级SaaS成熟度模型是最为理想的应用架构。但是，综合商业需求、实现成本及复杂程度等各方面的考虑，可以合理选择SaaS成熟度模型。
3.2 基于SaaS模式解决方案的逻辑体系结构SaaS模式可以实现“拿来即用”，将SaaS ERP软件安装和部署在软件商的服务器上，用户无需关心软件安装的问题。在SaaS ERP提供商的部署中，首先需要在系统边界部署防火墙确保整个系统的安全。身份认证能够实现对客户的识别和验证，通过严格的身份认证，防止非法用户使用系统，或伪装其他用户来使用系统，这也是保证整个系统应用安全的基础。只有合法用户并通过身份认证后才能根据用户的请求重定向到相应的服务器获得相应的服务。ERP系统安装在ERP应用服务器上，Web服务器对外提供服务接口。SaaS ERP软件的逻辑结构如图2所示。
对于用户来说，不需要安装任何额外的软件，用户通过手机、电脑等手持上网设备通过Internet连接到软件提供商的服务平台上。首次使用客户初始化后，就可以定制需要的模块和功能。用户的注册、身份认证、付费、授权等通过身份认证服务器来实现。
在实施SaaS ERP系统时需要注意以下几个问题：
3.2.1 应用安全SaaS ERP系统中首先需要考虑的问题是应用安全问题，使得基于SaaS模式的用户能够像使用传统ERP软件一样具有良好的可用性和可靠性。为了保证SaaS ERP系统的安全可用，可以通过身份认证、权限管理、应用监控、日志管理等措施保证系统的安全。身份认证可以采用集中式认证、非集中式认证或混合认证方式，通过严格的身份认证，防止非法用户使用系统或伪装成其他用户来使用系统。权限管理实现用户使用系统功能的访问控制，保证有效用户正常使用系统的同时，防止非法用户和无权用户对系统功能的使用。由于SaaS ERP是基于Internet的应用，很容易受到来自网络的各种攻击，因此，需要监控SaaS ERP系统的软硬件使用情况，防止系统出现不正常的停机、死机和拒绝服务等情况。在此基础上，还要对系统的可靠性和稳定进行监控，确保系统安全、可靠和稳定的运行。
3.2.2 数据安全对于SaaS ERP系统来说，客户最关心的问题莫过于数据的安全。要保证客户的数据安全，需要对客户的数据进行隔离，以确保各租户数据的完整性和保密性，对敏感数据采取必要的加密措施。
3.2.3 网络安全应用数据在传输过程中很容易遭受网络的攻击，应用的稳定性也更容易受到网络的影响。需要重视用户数据在网络中的安全传输，保证数据的完整性和保密性。
3.2.4 离线应用SaaS ERP系统还需要考虑的另外一个问题是：在网络不稳定的情况下，如何避免数据保存时不丢失问题。在这种情况下，需要一个能够支持离线使用的应用，确保系统在网络不稳定的情况下，系统能够自动切换到离线状态，将数据保存在本地数据库，当网络连接恢复后，通过数据同步向Internet服务器提交等待提交的数据。
4结束语
SaaS 模式不仅仅是软件提供形式的转变，最重要是SaaS提供了一整套解决软件生产和消费的思想和方法。随着SaaS ERP系统的应用安全性、数据安全性、可靠性和稳定性的提升，以及用户在认识上的转变，必将迎来SaaS ERP软件的春天。以SaaS模式的ERP系统也将为广大中小企业在企业管理、资源合理配置等方面提供强大的支持，为企业参与激烈的市场竞争插上腾飞的翅膀。
参考文献：
[1]尹峰.ERP在我国中小企业中的应用[J].合作经济与科技，2009，9.
[2]向坚持，陈晓红.SaaS模式的中小企业客户关系管理研究[J].计算机工程与应用，2009，45.
[3]王樨，汤伟等.ERP现状及未来发展趋势[J].化工自动化及仪表，2009，36（3）.
[4]田维珍，郭欢欢等.SaaS安全技术研究[J].计算机安全，2010.
第5篇：网络安全成熟度评估范文
关键词:企业信息化;SaaS;关键技术;PaaS
中图分类号:TP311文献标识码:A文章编号:1009-3044(2010)11-2647-03
Study of Key Technique of SaaS
LIN Xuan
(Department of Math and Information Tech, Hanshan Normal University, Chaozhou 521041, China)
Abstract: Software-as-a-Service (SaaS) is a new software delivery mode.Firstly,the status and development of SaaS are introduced.Then the paper emphasizes on the key technique of Saas and proposes the view about the SaaS solution on the basis of research summary lastly.
Key words: enterprise informationize; SaaS; key technique; PaaS
随着信息经济时代的到来,软件及其相关的信息服务产业已成为引导未来经济的核心力量,企业信息化水平则是衡量软件产业的重要指标。现在企业管理软件已经历了由Mainframe结构、Client/Server结构、B/S多层分布式结构到SOA的演变,变得越来越分散、越来越开放和强调互操作性[1]。软件交付方式也从传统的IT外包转为了应用服务提供商模式(Application service Providers,ASP)模式[2],独立软件开发商逐步发展为应用服务联盟。而相比传统的ASP 模式,软件即服务模式(Software-as-a-Service , SaaS)更适合中小企业应用。
SaaS是一种通过Internet 提供软件的模式, 用户不用再购买软件,而改为向服务提供商租用基于Web 的软件来管理企业经营活动,服务提供商会全权管理和维护软件[3]。自2003年Salesforce首次推出SaaS概念以来,SaaS取得了很大的发展,已成为当前的研究热点。本文首先介绍SaaS的发展趋势,然后重点分析构建SaaS平台的关键技术,最后提出了对SaaS解决方案的看法。
1 SaaS的现状和发展
据Gartner预测,到2010年全球SaaS市场将占整个软件行业市场份额的25%[4]。国外出现了包括Salesforce、Rightnow、Taleo以及Google、Microsoft、SAP等从事SaaS业务的公司,已形成包括支撑平台与网络环境提供商、软件运营服务平台提供商、SaaS软件提供商、SaaS软件集成商、咨询、实施、维护提供商、软件运营商和用户在内的SaaS生态系统,并呈现从中小应用往大型应用过度的趋势。
在国内,也涌现了包括用友、金蝶、金算盘、800CRM和阿里软件等SaaS服务提供商,SaaS生态系统中的各种角色都已出现,但是角色的分工尚不明晰,总体处于市场发展阶段初期。据“计世资讯”统计,SaaS市场2007年比2006年增长104.5%,2008年将达8亿元的规模,未来3-5年是SaaS市场发展的黄金时期,2015年之后,将进入成熟期[5]。在2007年,管理型SaaS中制造、服务、流通领域占的市场份额为20%、16%和21%,服务内容主要针对企业的通用性应用,软件流程简单。往后,应用趋势将朝着行业化、个性化、集成化和多功能渗透发展。
未来SaaS的发展呈现几个趋势:
1)所涉及的领域不断扩大,所提供的功能也不断深化。技术上快速地从基于云计算的垂直应用过渡到多种应用功能架构和服务集成。中小企业的医疗、法律、财务和旅行等领域也开始受到关注[6]。
2)应用服务供应商逐渐趋向于提供API(应用编程接口),在SaaS平台上帮助用户拓展功能,而不仅仅是提供成熟的应用软件。平台即服务(Platform as a service,PaaS)是这种趋势的典型代表,体现了互联网低成本、高效率和规模化应用的特性[7]。目前的产品包括Salesforce的、Google的App Engine和Amazon的EC2。
2 SaaS的关键技术
2.1 系统架构
系统结构是SaaS中最重要的部分,以下是几种典型的方案:
2.1.1 成熟度模型
文献[8]认为SaaS结构应该至少满足以下三个特点中的一个或多个,即
1)可扩展性:指能最大限度提高并行性,以便更高效地利用应用资源。
2)可配置性:指让每个客户能用元数据配置应用的外观和行为,同时保证配置的使用简易和零费用。
3)多用户高效性:指能最大化不同用户间的资源共享,但要区分不同用户的数据。
根据是否满足这三个特点,可以建立SaaS的四级成熟度模型,每一级都比前一级增加了上述三种成熟特性中的一种。
1)成熟度Ⅰ: 如应用程序提供商(ASP)提供的模式,每一个用户运行一个不同的实例。
2)成熟度Ⅱ:所有的用户提供相同的实例。但是在这个模式下,实例具有可配置性,用户可以根据自己的需要配置自己运行的实例。
3)成熟度Ⅲ:这种模式具有可配置性及多用户效率,所有的用户运行在同一个实例下。
4)成熟度Ⅳ:这种模式下,供应商在负载平衡的服务器群上为不同的顾客提供服务
每种成熟度的特点看参考文献[1]。文献[9]则提出了可根据业务模型、架构模型和运营模型来选择成熟度模型的策略。
2.1.2 三层模型
文献[10]认为SaaS系统可以分为表现层、接口层和应用实现层,表现层侧重于管理流和业务流的分离,在接口层必须提供统一的用户远程调用接口,而应用实现层则计算能力共享、存储能力共享、个性化配置能力和大容量支持能力。
2.1.3 标准SaaS体系结构
文献[11]提出一个标准的SaaS体系结构,包括数据中心、硬件层、OS平台、应用基础设施、应用服务层以及系统监控管理等部分,微软、谷歌和IBM等公司的SaaS方案基本涵盖了该结构的主要部分。
2.2硬件方案
解决方案包括HTML静态化、图片服务器分离、数据库集群、库表散列、缓存、镜像、负载均衡、CDN加速技术、分布式服务器集群、链路聚合技术、更高层交换技术等等[12]。当前,集群技术是主流的解决方法。而服务器集群的负载平衡问题则是当前研究人员关注的重要问题。主流的集群系统有:LVS是通用的集群系统,MOSIX集群系统主要是针对于科学计算;EDDIE主要是针对于WEB服务,它使用了DNS负载调度策略。KTCPVS主要介绍了一种基于内容请求分发的集群体系结构[13-14]。近年来,服务器虚拟化成为新的研究热点,它和云计算结合也引起了很多讨论[15],但是相关研究刚刚起步。
2.3 集成技术
因为SaaS平台致力于为各类不同企业集中提供信息化特色服务,具有多行业、多架构、多模式、跨地域、跨平台、多语言的特点,要求灵活开放易扩展的集成方式。现有很多ASP平台的系统集成方案以及体系结构可以使用于SaaS,这些系统一般都采用多层模型,建立统一的集成框架,如平台与应用层的“基于统一安全认证的应用集成模式”,数据层、功能层和过程层的“基于企业服务总线的应用集成模式”等[16]。但是SaaS更强调软件服务的组合以提供个性化和灵活性的支持,因此采用基于服务组合的思想来构建SaaS平台正成为趋势。这种思想是:基于SOA的思想,采用ESB技术,在平台与应用系统之间建立中间层,将所有应用作为服务用XML模板来描述,使用SOAP协议传递与调用,从而不仅可以实现平台与应用系统的整合,还可以方便地整合应用系统间的数据和流程[17]。基于SCA(Service Component Architecture)的SaaS平台以及IBM的SaaS平台是其中的代表[18]。另外SaaS平台还综合了基于CORBA、XML、Agent、工作流等技术的集成方法[19]。但是服务软件的编制和集成缺乏统一标准。
2.4 安全
目前SaaS没有统一的安全标准,热点的安全问题涉及到了数据中心、硬件、操作系统和软件服务客户端等,许多信息安全领域的理论和技术被引进来,包括基于角色、网络安全、信任关系和风险评估等[20-21]。
2.5 个性化支持
主要技术有建立动态联盟,提供不同灵活的应用组合;灵活的角色权限控制;数据管理;用户界面;报表自定义等等。基于平台的服务(PaaS)则允许用户不写代码而组合出适合自己的应用系统,现在处于试验阶段。在个性化方面,有很多的技术和方法问题尚在研究之中。
可以看到,SaaS不仅是软件交付模式的改变,管理思想的革新,而且还给理论和技术研究带来了很多新的课题。
3 结束语
SaaS的应用中,选型很重要。如第四级成熟度很好,但是它需要负载均衡技术的支持,成本较高,因此必须结合各方面的能力和应用的要求来确定SaaS解决方案。第三级成熟度模型则比较适合我国的情况,因为可以在资源的利用率和成本间取得较好的平衡。该模型中,SaaS平台提供单个实例来满足不同客户的需求,并采用可配置的元数据为不同的用户提供独特的用户使用体验和特性集。相同的实例能最大化不同用户间的资源共享,并且从最终用户的角度来看,不会察觉到应用是与多个用户共享的。不同用户的数据彼此分开,通过授权和安全策略来确保不同的用户访问各自权限范围内的数据,以及区分不同用户的数据。
从该文的论述可看到,无论从技术领域研究,还是应用前景来看,SaaS都是值得关注的。往后,SaaS将会吸引其他学科的注意,如管理学、协同学等。
参考文献:
[1] 张静.软件即服务模型的研究与实现[D].南昌:南昌大学,2007:9,12.
[2] Tebboune.Application service Provision:origins and development[J].Business process management Journal,2003,9(6):722-734.
[3] 马晓杰.软件作为服务模式的创新研究[D].北京:对外贸易经济大学,2006:26.
[4] Pettey C.Gartner Says 25 Percent of New Business Software Will Be Delivered As Software As A Service by 2011[EB/OL].(2006-10-03)./.
[5] 田梦.中国SaaS路在何方[EB/OL].(2007-09-08)..cn/.
[6] WEST M.Progress Software: Pointing Toward SaaS 2.0[EB/OL].(2007-02-14)..
[7] 800app.SaaS和云计算的技术与市场趋势[EB/OL].(2008-09)./.
[8] Chong F,Carraro G.Architecture Strategies for Catching the LongTail[EB/OL].(2006-08)..
[9] Rowell J.A step-by-Step guide to starting up Saas operations[EB/OL]..
[10] 赵立君,范晓晖.SaaS 技术的发展和演进[J].现代电信科技,2007(11):47.
[11] 范春莹.SaaS可信平台的搭建[J].程序员,2008(8):55.
[12] 提升大型网站并发访问性能[EB/OL].(2008-09)..
[13] 戴刚.服务器集群关键技术的研究与实现[D].长沙:国防科学技术大学,2002:30.
[14] 熊盛武,王鲁,杨婕.构建高性能集群计算机系统的关键技术[J].微计算机信息,2006(5):38-39.
[15] 用云计算提升企业计算能力[EB/OL].计算机世界,2008-09-22.
[16] 袁晓舟.ASP平台应用集成模式研究与实现[J].制造业自动化,2005(12):41-43.
[17] Sathyan J,Shenoy K.Realizing Unified Service Experience with SaaS on SOA[C].IEEE Software,2008:23-28.
[18] Mietzner R,Leymann F.Defining Composite Configurable SaaS Application Packages Using SCA,Variability Descriptors and Multi-Tenancy Patterns[C].The Third International Conference on Internet and Web Applications and Services,2008:156-161.
[19] Mietzner R,Leymann F.Generation of BPEL Customization Processes for SaaS Applications from Variability Descriptors[C].2008 IEEE International Conference on Services Computing,2008:178-182.
第6篇：网络安全成熟度评估范文
一、电力企业信息安全风险分析
信息安全风险和信息化应用情况密切相关，和采用的信息技术也密切相关，电力公司信息系统面临的主要风险存在于如下几个方面：（1）计算机病毒的威胁最为广泛：计算机病毒自产生以来，一直就是计算机系统的头号敌人，在电力企业信息安全问题中，计算机病毒发生的频度大，影响的面宽，并且造成的破坏和损失也列在所有安全威胁之首。病毒感染造成网络通信阻塞，系统数据和文件系统破坏，系统无法提供服务甚至破坏后无法恢复，特别是系统中多年积累的重要数据的丢失，损失是灾难性的；（2）网络安全问题日益突出：企业网络的联通为信息传递提供了方便的途径。企业有许多应用系统如:办公自动化系统，用电营销系统，远程教育培训系统等，通过广域网传递数据。企业开通了互联网专线宽带上网，企业内部职工可以通过互联网方便地收集获取信息，发送电子邮件等；（3）信息传递的安全不容忽视：随着办公自动化，财务管理系统，用电营销系统等生产，经营方面的重要系统投入在线运行，越来越多的重要数据和机密信息都通过企业的内部广域网来传输。同时电力公司和外部的政府，研究院所，以及国外有关公司都有着许多的工作联系，日常许多信息，数据都需要通过互联网来传输。网络中传输的这些信息面临着各种安全风险，例如被非法用户截取从而泄露企业机密；被非法篡改，造成数据混乱，信息错误从而造成工作失误。非法用户还有可能假冒合法身份，发送虚假信息，给正常的生产经营秩序带来混乱，造成破坏和损失。因此，信息传递的安全性日益成为企业信息安全中重要的一环；（4）用户身份认证和信息系统的访问控制急需加强：企业中的信息系统一般为特定范围的用户使用，信息系统中包含的信息和数据，也只对一定范围的用户开放，没有得到授权的用户不能访问。为此各个信息系统中都设计了用户管理功能，在系统中建立用户，设置权限，管理和控制用户对信息系统的访问。这些措施在一定能够程度上加强系统的安全性。但在实际应用中仍然存在一些问题。一是部分应用系统的用户权限管理功能过于简单，不能灵活实现更细的权限控制，甚至简单到要么都能看，要么都不能看。二是各应用系统没有一个统一的用户管理，企业的一个员工要使用到好几个系统时，在每个应用系统中都要建立用户账号，口令和设置权限，用户自己都记不住众多的账号和口令，使用起来非常不方便，更不用说账号的有效管理和安全了；（5）实时控制系统和数据网络的安全至关重要：电网的调度指挥，自动控制，微机保护等领域的计算机应用在电力企业中起步早，应用水平高，不但实现了对电网运行状况的实时监视，还实现了对电网一次设备的遥控，遥调以及保护设备的远方管理。随着数据网的建设和应用，这些电网监视和控制方面的系统逐步从采用专线通道传输数据转移到通过数据网络来传送数据和下发控制指控令。由于这些计算机系统可以直接管理和操作控制电网一次设备，系统的安全可靠，数据网的安全可靠，信息指令传输的实时性等直接关系着电网的安全，其安全等级要求高于一般的广域网系统。随着电子商务在电力企业中的应用逐步推广和深入，如何保障电子交易的安全，可靠，即电子商务安全问题也会越来越突出。
二、解决信息安全问题的基本原则
（一）采用信息安全新技术，建立信息安全防护体系。企业信息安全面临的问题很多，我们可以根据安全需求的轻重缓急，解决相关安全问题的信息安全技术的成熟度综合考虑，分步实施。技术成熟的，能快速见效的安全系统先实施
（二）计算机防病毒系统。计算机防病毒系统是发展时间最长的信息安全技术，从硬件防病毒卡，单机版防病毒软件到网络版防病毒软件，到企业版防病毒软件，技术成熟且应用效果非常明显。防病毒软件系统的应用基本上可以防治绝大多数计算机病毒，保障信息系统的安全。在目前的网络环境下，能够提供集中管理，服务器自动升级，客户端病毒定义码自动更新，支持多种操作系统平台，多种应用平台杀毒的企业版杀毒软件，是电网公司这样的大型企业的首选。个人版本的杀毒软件适合家庭，小规模用户。
（三）网络安全防护系统。信息资源访问的安全是信息安全的一个重要内容，在信息系统建设的设计阶段，就必须仔细分析，设计出合理的，灵活的用户管理和权限控制机制，明确信息资源的访问范围，制定信息资源访问策略。对于已经投入使用的信息系统，可以通过采用增加安全访问网关的方法，来增强原有系统的用户管理和对信息资源访问的控制，以及实现单点登陆访问任意系统等功能。这种方式基本上不需要改动原来的系统，实施的技术难度相对小一些。对于新建系统，则最好采用统一身份认证平台技术，来实现不同系统通过同一个用户管理平台实现用户管理和访问控制。
三、解决信息安全问题的对策
（一）依据国家法律，法规，建立企业信息安全管理制度。国家在信息安全方面了一系列的法律法规和技术标准，对信息网络安全进行了明确的规定，并有专门的部门负责信息安全的管理和执法。企业首先必须遵守国家的这些法律法规和技术标准，企业也必须依据这些法律法规，来建立自己的管理标准，技术体系，指导信息安全工作。学习信息安全管理国际标准，提升企业信息安全管理水平。信息安全是企业信息化工作中一项重要而且长期的工作，为此必须各单位建立一个信息安全工作的组织体系和常设机构，明确领导，设立专责人长期负责信息安全的管理工作和技术工作，长能保证信息安全工作长期的，有效的开展，才能取得好的成绩。
第7篇：网络安全成熟度评估范文
然而，虽然网络营销作为一种新生事物具有诸多不可替代的优势，从另类角度诠释了现代企业的竞争规则，给企业带来滚滚财源和新的发展契机，但它与传统营销模式相比，有其自身的局限性和风险性。在技术信息的成熟度、金融法律体系的完善以及物流配送等方面还有待于进一步完善。目前，企业网络营销模式的运作障碍和经营风险仍然是不可回避的难题，本文基于此对企业网络营销风险管理体系展开论述。
一、企业网络营销风险的含义
所谓风险，是指在一定条件下和一定时期内可能发生的各种结果变动程度的不确定性。这种不确定性表现在主观对客观事物运作规律认识的不完全确定和事物结果的不确定性。网络营销风险，是指在网络营销活动过程中，由于各种事先无法预料的不确定因素带来的影响，使网络营销的实际收益与预期收益产生一定的偏差，从而带来蒙受损失和获得额外收益的机会或可能性。因此，企业要在网络营销活动中要客观地识别、评估和判断网络营销风险，并采取一定的规避措施把这种损失降低到最低程度。
二、企业网络营销风险的类型
（一）技术风险
以计算机为平台的虚拟网络交易平台在带给人们便捷服务的同时，也给人们的生活带来诸多不安全隐患，技术风险是最重要的风险之一，主要是由于企业的网络技术手段不成熟、不稳定而给交易双方带来的风险。造成技术风险的因素很多，既有系统自身缺陷造成的也有人为因素造成的。目前，由于我国网络发展水平不高、网络基础设施差、线路少、安全性低等原因，再加上很多企业的资金和技术有限，网络运行时经常发生上网速度慢、网络易堵塞、信息传递出错、交易平台混乱等现象，进而造成信息传输风险、数据交换风险、信息确认风险、交易者身份不确定等风险。另外，随着黑客技术手段的不断翻新和病毒感染的不断升级，网站被攻击、数据库崩溃、密码被盗窃等现象时有发生，这些都加剧了网络交易的风险。基于此，企业需要建立一个WEB数据库安全体系，及时进行漏洞检测、风险评估，不断完善现有的网络开发技术和数据加密手段，才能防患于未然。
（二）支付风险
在网络营销领域，支付风险是网络营销的最直接的风险。由于网络具有虚拟性，给不法之人以可乘之机，他们通过自己对网络知识的掌握虚假信息，造成了极坏的影响。另外，目前金融领域仍然缺乏满足网络营销所要求的交易费用支付和结算手段。由于很多银行的电子化办公水平弱，安全性差，而且银行之间的业务分割、交叉少，没有统一的接口，虽然有一些银行提出了一些改进措施，但距离网络营销的要求还有差距，信用卡号码被盗用、个人隐私被泄露等现象时有发生。
（三）道德风险
道德风险，也称道德危机或信用风险，是指从事经济活动的人在最大限度地增进自身效用的同时做出不利于他人的行动。如果从委托—双方信息不对称的理论出发，道德风险是指契约的甲方（通常是人）利用其拥有的信息优势采取契约的乙方（通常是委托人）所无法观测和监督的隐藏性行动或不行动，从而导致委托人损失或人获利的可能性。现实生活中，消费行为是人类社会经济活动的重要行为和过程，也是人类社会经济生活的一个重要领域。在21世纪这个蕴涵无限商机的消费时代，网络营销显示出强大的生命力。道德风险是网络营销的一大难题，由于网络营销是建立在道德信用的基础上的，即交易双方相互信任，信守承诺。网络营销的假设是：买方假设卖方提供的商品质量合格不存在缺陷；卖方假设买方有足够的支付能力，双方都会履行交易时达成的承诺。但是，目前有很多企业置消费者的利益和身心安全于不顾，假冒伪劣盛行，如果没有任何信用做保证，网络营销是难以为继的。今后，在很长的时期内道德风险将在很大程度上制约网络营销的发展。
（四）物流配送风险
在网络经济日益繁荣的今天，物流问题成为了制约网络营销的一个重要问题。网上交易一般顺序如下：网上信息传递——网上交易——网上结算（下订单）——物流配送。在整个链条中，物流配送才是唯一的实体行为。由于产品销售具有分散性、不确定性和不可预测性，这些都增加了物流配送的难度：配送点的布局、人员的配备数量、商品的库存量等很难合理地确定；保证配送的时效以满足用户的即时需求；保证配送的数量。因此，一个畅通的物流配送体系，应该从接到定单时起，就开始了采购、配送和分拨物流的同步流程。每一步都以最合理的时间、最合理的分配、最合理的路线来构建，从而在最大程度上减少产品的积压和库存开支。物流配送的好与坏，直接影响到企业网的运作效率、企业的信誉、客户的满意度。而目前很多企业的物流能力不强，不能及时与网络用户实物交割，产生物权转移的风险，这已经成为阻碍网络营销发展的主要原因。
（五）法律风险
20世纪90年代以来，互联网的兴起为现代企业的经营和管理提供了新思路，网络营销收到普遍关注。一方面，互联网是跨地域、国界的全球性信息网络，在这个虚拟空间里无法向现实空间那样规定国家和地区的界限和管辖范围。另一方面，网络营销的双方主体可以在不同国家和地区的企业和个人之间展开，但各国的适用法律不同，社会文化、风俗习惯又迥然相异，因此造成双方的交易冲突不可避免。更确切地说，虽然互联网的飞速发展促进了网络营销的强劲增长，但是与之相应的法律法规并没有同步配套，这些法律法规主要包括：网络经济贸易中的法律法规、网站建设中的法律程序、在线交易主体的认定中的法律和程序、电子签名与认证的操作、电子合同的法律确认、在线电子支付的规则、网络广告争议解决、网上知识产权保护及网络营销中消费者权益保护等。由于很多法律存在空白，从而造成一定的风险隐患。
（六）客户风险
美国著名体验经济学家约瑟夫·派恩指出：体验事实上是当一个人达到情绪、智力、甚至精神的某一特定水平时，其意识中所产生的美好感觉。它涉及人们的感官、情感、情绪等感性因素，也涵盖知识、智力、思考等理性因素和身体的一些活动。在现代营销理念中普遍认为：体验就是企业以服务为舞台，以产品为道具，以消费者为中心，能够创造使消费者参与、值得同忆的活动。在传统的营销模式中，消费者往往通过视觉、触觉、味觉等多种感觉来判断商品的优劣并决定取舍，而在当前虚拟的网络环境当中只能通过商品的图片及少量的文字说明来甄别。在这一购买活动中，一旦消费者由于判断失误而对购买的商品不满意，一种可能就是发生消费者漂移现象。所谓消费者漂移，就是消费者从一个产品漂移到另一个产品；从一个场所漂移到另一个场所，从一个品牌漂移到另一个品牌。因而采用动态的、发展变化的视角研究消费心理和消费者漂移问题是科学的、可行的。另一种可能就是，一旦消费者因购物不满意就会对网上购物产生质疑，进而做出不规范的市场行为，带给企业的影响和损失也是巨大的。例如，有45％的人认为网上购物没有真实体验感，对其质量安全不放心，而宁可花更多的价钱去商场购买，这种消费心理造成了企业网络营销过程中的风险。
三、规避企业网络营销风险的策略
企业网络营销风险的规避，建立在企业准确认识网络营销风险基础之上．而科学的营销战略和战术可以减少网络营销企业的经营风险和机会成本。通过对企业网络营销风险的具体分析，可以考虑以下几种防范规避策略：
（一）加强信息安全技术研究
在全球化经济浪潮中，网络营销要取得实质性进展，就必须突破信息安全这一道关卡，加强信息安全研究是我国发展网络营销亟待解决的关键问题。信息安全体系的重点是必须有先进的技术系统来支持。在安全技术方面，涉及技术标准、关键技术、关键设备和安全技术管理等环节。国家要组织力量选择符合我国国情的网络交易安全技术，积极开发我国自己的网络安全产品。另外，要加大支付技术上的攻关力度，进一步提高网上支付安全保障。通常系统的安全主要受到假冒，报文被截取（读取或复制）、修改、重播，报文丢失，报文发送方或接收方否认等威胁。针对这些不安全因素应做好以下防范：（1）安全登入和选择服务；（2）防止第三方冒充；（3）防止第三方截取报文；（4）使第三方无法修改、替换报文内容，或者使接收方可以发现报文在传输的过程中被修改；（5）防止报文的重播和丢失；（6）在系统内进行交换的报文被复制存储，与报文交换有关的各种活动及其发生的时间均被记录；（7）相关安全责任的分离，即一人不能负责多项安全事务。最重要的事，要防范网络营销中可能存在的风险，必须加强网络技术研究，改善网络基础设施，加快宽带光缆的建设，全面提高网络的运行速度，保证信息传递的准确、及时与安全。
（二）进行网络营销可行性分析
企业战略是指企业为求得生存和稳定发展而设计的行动纲领或方案，营销战略是企业战略的重点，是对企业市场营销工作做出的全局性、长期性和方向性的谋划，从而实现企业目标、资源能力和经营环境三者之间的动态平衡。一个有实际操作价值的网络营销战略，不仅对企业网络营销活动意义重大，而且对于制定与网络营销活动密切相关的生产、财务、研发、人力资源等计划也有指导意义。企业网络营销可行性分析包括：企业发展的整体战略、市场潜力、发展方向预测以及风险和可能收益。只有根据企业生产经营的环境因素和内部的经营状况进行综合评价和预测，才能得到科学、恰当的分析和评估结果，才能使企业规避风险走向成功。
（三）加强企业经营管理工作
科学化、规范化和制度化是营销系统管理的方向，营销系统成员工作质量的好坏直接关系到企业的兴衰。为了有效规避网络营销风险，企业应加强以下方面的管理工作：首先，企业必须高度关注公司产品质量，做好营销体系的质量管理工作，包括总部与各分部的工作联系与沟通，也包括与经销商、商之间的种种业务来往等，还涉及到产品线与价格体系的规划、市场需求计划以及长期和实时营销策略的制定等。其次，要提升网络多媒体表现水平，让消费者真切地感知商品的质量、安全付款，合理选择物流公司并保证及时完好的把商品送到消费者手中。再次，要提高企业在风险决策、交易管理、危机应急等状况下提供规范的处理方法和操作机制的能力。最后，网络营销中最重要的因素是人的因素，企业要规范员工行为，各司其职、各负其责，从而不断提高员工的风险防范意识和能力。总之，加强企业的经营管理是有效防范各类风险、减少风险损失的重要手段。
（四）完善网络营销的法律法规及信用评估体系
建立完善的立法监督及信用评估体系是促进网络营销的关键环节。网络营销的顺利实施离不开法律法规的支撑，国家必须在立法和执法上加大力度。要强化网络交易安全管理，制定相关的网络交易标准和管理标准。例如，在网络商场的市场准入制度、网络交易的合同认证、执行和赔偿、反欺骗、知识产权保护、税收征管、广告管制、交易监督，以及网络有害信息过滤等方面制定规则，规范买卖双方和中介方的交易行为，严厉打击利用网络营销进行欺诈的行为。另外，国家应组建独立、公正的评级机构，并建立一套科学的信用评级体系，遵循国际惯例与中国国情相结合、传统研究方法与现代先进评级技术和互联网技术相结合的原则，对企业的信用进行评估，合格者可以颁发证书并通过媒体或其他方式公示。通过建立完善的立法监督及信用评估体系，从而为网络营销健康、有序、高速、和谐地发展提供一个公平规范的法律环境，最大程度地降低网络营销风险。
第8篇：网络安全成熟度评估范文
一、引言
狭义上的区块链技术是基于密码学中椭圆曲线数字签名算法（ECDSA）实现去中心化的数据库技术，将区块以链的方式组合在一起形成数据结构，以参与者共识为基础存储有先后关系的、能在系统内验证的数据。广义的区块链技术则是利用加密链式区块结构来验证与存储数据、利用分布式节点共识算法来生成和更新数据、利用自动化脚本代码（智能合约）来编程和操作数据的一种全新的去中心化基础架构与分布式计算范式（Kavanagh D，2015）。区块链的概念首次由Satoshi Nakamoto（2009）在论文《比特币：一种点对点的电子现金系统》中提出。O’Dwyer（2014）提出应用区块链技术来保护敏感数据、个人隐私等。Kishigami J（2015）等提出将区块链应用到数字内容版权的保护上，改变传统的CAS和DRM模式。R.Dennis（2015）提出了一种基于区块链的声誉系统。国内对区块链技术研究刚刚起步，相关著作较少。从实际应用来看，除个别应用开始小范围推广外，绝大部分运用仍未走出实验室。
区块链技术具有去中心化、分布式账单、可靠安全以及透明公开等特点，使其在数字加密货币、金融和社会系统中有广泛的应用前景，给金融机构带来巨大的潜力和价值。多国央行、国际金融巨头、交易所及IT行业巨头纷纷涌入区块链领域，其投资规模呈现爆发式增长。在经济金融全球化时代，加强区块链技术在金融领域的应用问题研究，对探索我国金融业务创新与发展具有重要的理论和现实意义。
二、国内外区块链技术研发与应用前景
区块链作为拥有巨大应用潜力的新技术，必将给全球金融业带来革命性的变革。如何在金融业务创新发展中发挥用武之地，全球金融界正以各种形式开展一系列探索（见表1、表2）。
三、区块链技术对金融业务创新的主要潜在影响
（一）冲击现有支付机构的平台功能，改变支付体系和架构
区块链技术具有灵活的架构，可能重塑信用形成机制，尤其是区块链的去中心化机制，即第三方支付的资金监管功能可由“智能合约”自动替代，将冲击第三方支付的根基，在保证信息安全的同时有效提升系统的运营效率和降低成本，大大提高资金利用率（侯本旗和赵飞，2015）。区块链会使第三方支付逐步被边缘化，目前已涌现了Ripple和Circle等多种支付清算类应用，特别是像R3CEV联盟机构，冲击现有机构如支付宝的平台功能，并将可能改变现有金融体系中的交易、清算和结算流程（见图1）。据麦肯锡预测，如在全球范围内应用区块链技术开展B2B跨境支付与结算业务，则其每笔交易成本可将从约26美元降至15美元。
（二）数据信息不可篡改，弥补现有金融服务功能的不足
区块链系统通过公钥和私钥的加密、解密对交易进行处理，交易的主体及交易内容都被记录在区块链上，任何交易都可被追踪和查询，数据信息不可篡改，具有更强的公信力。借鉴区块链和加密技术，核查外部数据源、确认满足特定触发条件后激活并执行合约，促进不同系统间的协调，提升数据交换效率（见图2）。2015年末，纳斯达克首次利用区块链技术完成和记录了一项私人证券交易，从股权交易市场标准结算时间的3天，区块链技术的应用将交易时间从股权交易市场标准时间3天缩短至10分钟、结算风险降低99%，从而有效降低资金成本和系统性风险。
（三）优化共识机制，提高系统的安全性和私密性
高安全性的智能合约可编程，实现主动或被动的处理数据，接受、储存和发送价值，以及控制和管理各类链上智能资产等功能，即区块链使用散列算法加时间戳（Timestamping），既可保证交易信息的真实性、独立性和保密性，又为交易提供时间上的证明。如供应链金融借助区块链技术的“智能合约”功能自动进行支付，大大降低人工成本并减少因人工交易造成失误的可能性，极大提高交易效率和安全性。据麦肯锡测算，从全球范围来看，在供应链金融业务中广泛开展区块链技术应用，可使银行一年风险成本缩减11―16亿美元。
（四）大幅改变信用风险管理模式，具有广泛金融业务创新的潜力
区块链技术是使用全新的加密认证技术和去中心化的机制，通过新的信用创造方式，大幅改变信用风险管理模式，降低交易风险与成本，实现金融资源优化配置。从技术特性来看，区块链与传统数据库既有紧密的联系又存在显著差异（见表3），为涉及数据库应用的行业发展提供了新的技术选择，两者的有机结合必将产生强大的融合效应，形成全新的发展模式，在主数据管理、复杂资产交易管理等领域具有广泛开发的潜力。
（五）降低金融监管的难度与成本，规范市场行为与秩序
区块链的分布式系统具有透明、公开、不可篡改等特性，可做到实时平账，避免事后审计，降低企业成本，降低结算与支付的出错率，实时监控每一笔资金的流入流出情况，适用于合规、审计和风控领域，从而为审计和监管单位提供数据透明性。银行业基于区块链技术可监测分析、识别异常交易，及时发现并能有效防止欺诈、洗钱等犯罪行为。近?啄昀矗?世界各国商业银行和金融公司为应对日趋严格的金融监管要求，不断加大人力和物力的投入。根据高盛测算，区块链可以驱动全行业因减少人力开支和反洗钱监管罚款而实现30―50亿美元的成本节约（见表4）。
四、我国区块链金融业务创新所面临的困难与挑战
（一）相关法律法规建设相对滞后
一是区块链的去中心化机制，冲击了现行的国家监管体制，对现有业务监管体系形成挑战。将该技术整合至银行现有制度的成本较高，当数据规模增大时，低效的查询和挖掘分析将使其数据透明性的优势形同虚设，链状的数据结构和大量内容的直接记录将使得拥有反洗钱职能的监管机构也无法在可接受的时间内完成对数据的解读。二是区块链相关的制度规范、法律法规建设相对滞后，导致市场主体相关活动风险无形中被放大。如智能合约涉及的法律责任界定不明确。智能合约利用计算机代码在合约方之间阐述、验证和执行合同，是用代码来表述，而典型合同是用自然语言起草。当智能合约执行和典型合同之间出现相应纠纷时，涉及法律责任界定就不明确。同时，成熟资本市场和传统交易所，任何一个金融创新产品上线都有业务所有权人（owner），而智能合约一旦有漏洞，归属智能合约开发者负责还是由运行智能合约的平台来负责，难以界定。
（二）绝大部分运用仍未走出实验室，建立完善的区块链应用仍面临众多技术挑战
从区块链实践进展来看，大部分仍处于构想与测试进程中，要获得市场和监管部门的认可还面临不少的困难。一是大规模交易与区块链膨胀处置能力问题。由于区块链采用分布式的存储方式，占用存储的巨大空间，且去中心化的确认机制，交易时间延迟较长，导致在实际应用中交易量低、对存储空间膨胀的抗压能力差。二是智能合约的循环执行与灵活性差。智能合约具有自我循环执行特性，与高频交易类似，导致显著放大价格波动；且区块链数据信息一旦写入，不可篡改，交易后无法退回，灵活性较差，需事先设置例外追索机制。三是竞争性技术挑战。如在通信领域应用区块链技术，信息传递的安全性会大大增强。量子技术也可做到，量子通信――利用量子纠缠效应进行信息传递，同样具有高效安全的特点，近年来更是取得了不小的进展，很可能与区块链技术形成竞争态势。
（三）区块链技术的监管标准不统一，生态体系较为脆弱
1.区块链缺乏生态体系。目前区块链的各种技术方案五花八门，超级账本、以太坊等大项目也都缺乏统一的技术标准体系，均处于“各自为政、群雄争霸”的状态，甚至与区块链相关的去中心化存储协议管理、网络安全性管理等也均尚未形成较为完善的标准方案，许多项目缺乏可靠的实践数据测试，整个区块链生态体系较为脆弱，仍需进一步健全完善。
2.区块链开发技术、监管标准不统一。由花旗银行、瑞士银行等共同组成的R3区块链联盟试图制定适合全球金融业使用的区块链技术领域的统一标准，强化在全球金融业中的领先地位。如2016年5月区块链技术提供商Chain和第一资本、花旗集团等金融机构了区块链方面的开放标准，在智能合约框架等方面实现了突破。然而，在全球层面尚缺乏一个统一的技术开发标准，智能合约使用的兼容性等方面将受限制，目前仍缺乏具有可操作性的国际标准促进在区块链上的创新。而我国金融业中针对区块链的标准研究和制订基本还没有真正起步，与国际发展存在较大的差距。
（四）风险防范机制尚有待于更深入的研究和设计
1.以天河二号目前的算力来说，产生比特币SHA256哈希算法的一个哈希碰撞大约需要248年，但随着量子等新计算技术和各类反匿名身份甄别技术的快速发展，未来非对称加密算法具有一定的破解可能性，因而需要研究并设计更为安全和有效的共识机制。
2. 我国大量在实际中应用的密码学产品都来自欧美国家。区块链技术的核心基础掌握在欧美国家手中，若关乎国家命脉的核心系统构筑在区块链技术之上，则存在着潜在安全风险。如去中心化的运作机制一定程度上削弱了中央政府对金融的控制，有可能危及国家的金融安全。由于区块链的运行节点位于公开网络上，面向所有参与者，传统防范网络攻击的物理隔离策略已不再适用，对网络安全防范也必将提出更高的技术处理要求。如2016年6月DAO遭遇黑客攻击，黑客正常解读DAO智能合约代码，利用其中一个递归调用函数盗取用户资金，累计损失360万个以太币，近6000万美元。
（五）颠覆性替代仍具高成本和局限性
1.颠覆性替代仍具高成本和局限性。区块链技术应用初期，将区块链中的智能合约平台用于现代金融领域，其投入成本与收益之间的关系尚处于未知；区块链去中心化、自我管理、集体维护的特性颠覆了人们目前的生产生活方式，冲击了现行法律安排，且与现有的运行模式、管理模式还有一段摩擦的过程。如区块链网络作为去中心化的分布式系统，其各节点在交互过程中不可避免地会存在相互竞争与合作的博弈关系。
2.智能合约代码向所有参与方公开，影响参与方利益。就许多金融交易形式而言，网络中非参与方可能会利用智能合约，在其金融交易中囤积或出售智能资产，进而损害参与方的利益。如何设计激励相容的共识机制，提高系统内非理性行为的成本以抑制安全性攻击和威胁，是区块链有待解决的重要问题。同时，跨界人才匮乏。从全球来看，既懂区块链又懂金融、法律的跨界人才极度匮乏，均制约了新产品的研发和创新（李钧和孔华威，2014）。
五、政策建议
（一）加强同业交流合作，积极参与前瞻性创新和国际标准制定
1.积极参与，制定标准。区块链技术仍属新生事物，需要监管部门牵头，加强金融机构和互联网企业的合作，开展区块链技术在金融领域的应用场景研究，并允许个别技术条件较为成熟的金融企业联合开展实验性应用，做好相关技术研究储备。同时，积极参与国际区块链组织的研究交流和标准规则讨论，力争参与研究制定区块链的行业标准，探索应用场景，制定有利于自身发展的区块链应用标准。
2.抓住机遇，投资合作。高度关注国际区块链发展与创新动向，及时调整发展战略，力争加入国际区块链系列产品的研究和开发。在?⒓恿?盟制定标准的同时，成立相对独立的区块链创新实验室，如与金融科技公司合作成立研发实验室，重点研究区块链的运用；并可选择与较为成熟的区块链公司强强联手，积极推进金融同业的区块链技术应用交流和合作。
（二）?c时俱进，改进金融业监管方式与手段
一是积极开展区块链技术在金融领域应用的立法研究。应加强新技术与金融创新的相关法律法规的国际交流和研究，制定相关标准规范和操作规范，鼓励商业银行、非银行机构和金融交易所联合开展区块链相关技术合作研究，探索区块链应用场景，制定区块链技术的相关行业标准。二是避免监管过度。监管部门应与时俱进，密切关注行业政策引导与跟进，充分利用区块链金融技术，改进金融业监管方式与手段，规范市场秩序，提高监管的有效性，实现市场各方共存和共赢。
（三）探索和完善区块链技术方案，推进金融业务创新
密切关注并评估区块链技术应用的成熟度、安全性、时效性等，协同开发区块链应用架构，如基于区块链技术探索推动票据、股票等的应用场景模拟实验，提升票据交易和证券交易的安全性和效率。进一步探索和完善各种技术方案、应用场景和商业模式，探索基于区块链技术的金融创新业务应用场景，选择交易关联简洁、业务成熟度高、技术应用提升效果明显的应用场景作为切入点，尽快打造适合我国金融体系特点的区块链技术方案。重点在跨行结算、跨境支付、证券发行和数字票据等方面加强研发，构筑若干通用型的应用服务平台，为金融业务创新提供相应的应用支持。
（四）完善相应的保障体系，为金融业务创新提供可靠的支撑
第9篇：网络安全成熟度评估范文
智能电网从提出至今，尚没有一个统一的概念.不同国家和地区根据自身电网的特点和发展的需要，制定了相应的智能电网发展规划H;不同科研机构和学者根据自己的理解阐述了具有学科特色的智能电网;不同的公司作为参与智能电网建设的商业主体，从自身的业务范围和经营利益出发描绘了智能电网应具备的功能和特点.
虽然各方对智能电网的定义并不相同，但其基本思想大体上可以表述为通过数字化和信息化将电能的生产、输送、分配和使用等各个环节紧密联系在一起，通过智能化的控制实现“经济高效、灵活互动、友好开放、清洁环保”的新一代电力系统.其中，信息化是实现智能电网基础功能的重要前提.随着信息技术在电力系统基础设施和高级应用中的深度渗透，相互依存的信息网和电力网将成为未来智能电网的重要组成部分.
可以预见，随着智能电网实践的深入，电力企业和电力用户侧的信息化将得到极大的提高.对电力企业而言，信息化的深入为企业带来更高的生产效率和管理水平;对电力用户而言，信息化的普及则意味着更经济的用电方式和更好的用户体验.然而，信息化的深入和普及在为电力企业和用户带来众多利好的同时，也给智能电网的运行安全埋下诸多隐患.一方面，信息技术发展十分迅速，许多技术发展过程中遗留的安全漏洞并没有得到有效解决，甚至还有不少尚未发现的安全隐患[13-16],近年来发生的利用信息网络攻击工业系统的重大事件更是引发了广泛的关注和担忧[1748];另一方面，信息网和电力网相互影响和作用的机理目前尚不明确，针对二者构成的相互依存复合网络脆弱性的恶意攻击很有可能造成大范围的连锁停电事故.因此，有必要分析智能电网运行过程中的信息安全隐患，并从复合网络的角度探讨信息安全对电力系统生存性的影响.需要说明的是,有关智能电网信息安全的研究，笔者在文献中已从复杂网络的角度予以综述和展望，而本文则从电力信息安全的角度思考未来电网安全性问题，即可认为是对文献的有益补充和深入.
本文首先介绍了智能电网信息化条件下的网络特征，分析了信息化背景下智能电网中存在的安全性问题,并针对各类隐患预想了特定攻击条件下可能的安全性事故场景.进一步,探讨了信息网络安全对电力系统生存性的影响.最后，讨论了提高智能电网信息安全水平和电力系统生存性的可行对策和改进措施.
2智能电网网络特征(Networkcharacteris¬ticsofsmartgrid)
未来智能电网从总体上可以视为由信息网和电力网这两个相互依存的网络构成的一个复合网络,如图1所示.
为了叙述方便，将电力网中的节点简化为电源节点和负荷节点两大类，二者通过输电线进行连接.在双向通信的条件下,将信息网络中的节点也简化为两类：一类是信息釆集/指令执行节点，负责对控制范围内的负荷和电源的状态信息进行釆集和上传，并根据接收到的控制指令对负荷和电源节点的状态执行调整操作；另一类是信息处理/指令生成节点，负责对釆集到的信息进行汇总分析和生成控制指令.信息网络中的节点通过光纤和无线网等实现连接.
电力网和信息网的相互依存主要体现在两个方面：信息网络中节点的正常运行需要电力网中邻近的电源节点提供工作电源；电力网络的安全、可靠、经济运行有赖于信息网中各节点的正常工作.
从网络的规模来看，电力网和信息网均属于超大规模的复杂网络.文献指出，复合网络的运行安全风险在某些情况下远大于单一的复杂网络.从这个角度来看，智能电网的安全性不容忽视,这其中,信息网络的安全性则是重中之重.主要原因如下：
1) 从网络发展的成熟度来看，信息网存在的安全隐患更多.即使在信息技术高度发达的今天，信息网络中仍有许多已知的安全漏洞尚未解决,且还会出现更多的新漏洞，这为攻击提供了许多可能的渠道.与之不同的，对电力网的攻击往往需要借助于物理手段,攻击的成本比较高，且受天气和地理条件的限制较多.
2) 从运行过程中的相互依赖关系来看，电力网的正常运行对信息网的依赖程度更高.电力网中电源节点出力的调整和负荷节点的投切等操作均是借助于信息网络来实现.如果信息网络出错或崩溃，电力网络一般很难保持正常运行.另一方面，信息网络虽然需要借助于电力网络的电源支持，但由于重要的信息网络通常配有不间断电源系统，短时停电并不会对信息网络造成大的影响.
3) 从网络故障的传播特性来看,信息网的故障更容易造成大范围的停电.由于信息流动的成本远低于能量流动的成本,这使得信息网络比电力网络具有更强的互联互通性，信息流可以在较大的范围内频繁地进行交互.因此，信息网络出现故障时受影响的范围将更为广泛.
智能电网的网络结构决定了其运行风险既来源于电力网络的安全性,也来源于信息网络的安全性,而这其中，信息网的安全及其对电网带来的运行风险需要引起大家的高度重视.
3智能电网信息安全(Smartgridinformationsecurity)
智能电网信息化的主要特点可以归纳为两个方面，一是对传统电力系统中发电、输电、配电、用电等各个环节的高度信息化，二是促进“售电”和“受电”参与各方的信息互动化.信息化为未来智能电网的安全运行带来了许多问题：
1)信息釆集环节的安全性.在智能电网中，各类高级传感器和测量表计将广泛用于对电力系统和电力用户状态进行监测.电力系统和用户状态的高度信息化为保障智能电网的安全、可靠和经济运行提供了重要基础.比如，借助于各类智能表计釆集的大量数据，可以对电网设备的健康状况和电网的完整性进行评估，对潜在的危险进行预警和有效的规避，还可以通过智能表计实时电价和优惠政策，实现与用户的沟通，协助用户制定经济的用电策略.
未来的智能电网将取消所有的电磁表计及其读取系统,取而代之的是可以使电力公司与用户进行双向通信的智能固态表计.出于成本的考虑，智能表计一般不会加入复杂的加密技术，这导致智能表计比较容易被破解和控制.一旦这些设备受到控制，则攻击者既可以利用其向电网提供虚假用电信息，影响电网供给;又可以通过其向用户提供不合理的电价信息，影响用户侧的用电方式.极端情况下，还可以使大量智能表计与电网断开通信，使电网无法实时掌握系统用电情况，从而造成更大的事故.
2) 信息传输环节的安全性.建立高速、双向、实时、集成的通信系统是实现智能电网的基础.一方面，大量从智能表计获得的数据需要通过高速通信网络及时地传输到数据处理中心；另一方面，电力企业也需要将电价信息和相关优惠政策通过通信系统实时地进行.相比于传统电网，智能电网中需要监测和控制的设备数量更多，分布更广.为了实现全面和实时的监控，成本低廉的无线通信网和分布广泛的公用因特网将在智能电网通信系统中占有越来越多的比重.通过无线网络和公用因特网可以方便地构建多通道的冗余通信网络，从而实现可靠的通信.然而，电力系统中公用网络的大量接入为恶意攻击提供了更多的入口.由于无线网络的安全标准目前尚处在早期应用阶段，有许多已经暴露出来的安全性漏洞还没有得到妥善解决，信息传输的安全性还有待进一步提高.文献[13]指出，只需要70美元左右的成本即可对基于IEEE802.15.4无线传感器网络发起一次拒绝服务攻击.此外，对于专业的攻击者而言，多入口的公用因特网环境为发起多点协调的攻击提供了可能性，这将为电网和用户带来更大的危害.
3) 智能控制的安全性.从电网侧来看，智能控制系统可以利用搜集到的各类信息对电网状态进行分析、诊断和预测，并及时采取适当的措施对电网运行状态进行调节，使之运行在安全、可靠和经济的状态;从用户侧来看，内嵌有智能控制技术的家用电器，如热水器、空调和电动汽车等，可以根据电网状态自动调节用电计划，从而获得实实在在的经济利益.此外，公共用电场合，如公交汽车充电站、写字楼等还可以通过其中用电设备之间的智能协调控制来降低整体用电成本.然而，上述应用成功的前提条件是智能电器的控制权得到正确的使用，如果智能电器之间的信息交互安全性缺乏保障，则很有可能被攻击者利用，不仅电器不能正常工作，还很有可能因大量电器的控制权被攻击者获取用于对电网负荷形成较大规模的冲击.
4) 电网和用户互动环境下的安全性.智能电网的重要特征之一是鼓励用户参与，实现电网和用户的互动化.电网通过将用户纳入电力系统的运行和管理以更好地实现供需平衡关系，提高系统运行的可靠性和经济性.而用户则根据其电力需求和电力系统当前的状态来制定科学的用电方式，从而获得经济上的收益.这一互动过程使得用户用电行为受系统状态的影响也越来越广泛.专业的攻击者可以利用互动过程对电力系统造成更大的破坏.比如通过信息网络向用户侧虚假的低电价信息，使得大量智能负荷，如电动汽车充电站、智能热水器和智能空调等，同时启用造成系统过负荷；与此同时，通过控制传感器网络向电网侧提交伪造的低负荷信息使得电网减少电力供应，从而对电力系统的稳定和用户的用电安全造成巨大的危害.
5)其他安全性问题.出于信息交互的需要，每个家庭的用电负荷、设备构成以及用电规律等个人隐私将出现在信息网上.同时，电力市场化的需要使得电力企业的实时电价政策等重要信息也将在网络上传输.这些信息均有可能被不法分子截获、篡改甚至用于其他非法用途.
4信息安全与电力系统生存性(Informationsecurityandpowersystemsurvivability)
一般而言，生存性是指系统在遭受攻击、出现故障或发生意外事故时，依然能够及时完成任务的能力[22].未来智能电网从宏观上看将演变成一个由信息网和电力网为主体的复杂交互网络.在发生系统内部故障、恶意攻击以及自然灾害等情况时均有可能导致电网瓦解，进而引发大面积停电事故.因此，为了保障电力系统的安全运行，不仅要控制和消除电力系统信息化新元素带来的安全隐患，还要从系统完整性的角度研究系统局部失效或遭受攻击之后整个系统的生存性.
信息安全对电力系统生存性的影响主要表现在以下两个方面：
1)网络间功能的强耦合性.一方面，分布广泛的信息网络需要与之配套的电力网络为其提供工作电源.另一方面，电力网络中几乎所有功能的实现都需要借助于信息网络提供的服务.电力网和信息网的这种强耦合性，使得大停电事故更加容易发生.例如，通过对信息网中的关键节点发动攻击，使得相应的电力网络中的关键电厂停机或重要输电线出现过载，可以造成与该信息节点对应的电力节点失效.换言之，在智能电网条件下，信息网络和电力网络之间的故障可以相互转化.由于信息网络目前具有许多已知安全漏洞，可以用来发起攻击的入口很多，且不受时间、地点和天气等因素的影响，所需成本极低且攻击手段更为隐蔽，因而对电力系统的危害性也更大.因此，未来对智能电网的攻击形式很有可能从传统的对物理电力系统的直接攻击转为对与之相对应的信息系统的攻击.
2)网络间故障的传播性.目前，关于电力系统连锁故障的研究已有了许多成果，但研究对象大多局限于电力系统内部传播的故障.在信息网和电力网相互依存的智能电网中，故障的传播形式有了更多的可能性.对于相互依存两个网络，当其中一个网络中的某个节点失效时，将会引发另一个网络中相关节点的失效.随着这一过程在两个网络中的交替出现，失效节点数将迅速增加，网络出现大面积故障，最终导致全网崩溃.值得担忧的是，未来的智能电网为网络间故障的传播提供了很好的平台.文献[21]指出，相互依存网络和单一网络的复杂性特征也有很大的不同.比如对于单一网络而言，网络的度分布越平均，则其对于随机故障越鲁棒，而对于相互依存的网络而言，网络的度分布越平均则其对于随机故障越脆弱.这表明，对于由相互依存网络构成的智能电网，其内部故障传播的条件也与以往研究中的单一电力网有了很大的不同.需要指出的是，文献[21]中构成复合网络的两个子网络均采用的是随机图模型，而对于智能电网这一具体的复合网络，其中的信息网多为无标度网，电力网则多呈小世界网，一旦信息网络出现连锁故障，更容易造成全网出现崩溃.
5建议和对策(Suggestions)
1) 加强信息安全技术研究.智能电网的信息安全需要从信息的采集、传输、处理和交互等各个环节加强保障.针对智能仪表数据采集和储存开展数据加密存储和传输的研究;开展对无线网络中安全传输协议以及有线网络中防火墙技术和安全认证技术的研究;完善网络与信息安全预警、通报、监控和应急处置平台，形成有效的安全技术防护体系.
2) 制定信息安全标准体系.目前，国外关于智能电网信息安全标准体系的研究已经走在了前列.在加强对国外相关安全标准的研究和借鉴先进的研究成果的同时，还应由既了解我国电网实际情况，又了解信息安全的专家组对我国信息安全标准体系进行科学的规划，以此为指导制定信息安全标准体系.同时，还要推进信息安全标准在行业内的合理部署和实施.如此，则有望避免智能电网的无序建设引入的大量安全隐患.
3) 完善相关的政策法规.智能电网的建设牵涉到政府、用户、电力企业、IT公司和设备制造商等众多参与者.政府需要根据参与各方在智能电网中扮演的角色制定合理的政策.通过出台政策规定各方应承担的责任和义务，同时要制定相应的法律法规来规范参与各方的行为，切实保护用户隐私和电力企业关键信息的安全，使智能电网的建设和运营更加的科学、有序.
4) 建立信息安全培训体系.对于大多数用户而言，信息安全还是一个十分复杂的概念，而用户作为智能电网中参与数量最多的一个主体，其安全意识的高低直接影响到智能电网运行的整体安全水平.因此，完善的信息安全培训体系是提高智能电网信息安全的重要保障.
5) 加强对相互依存网络相关理论的研究.如前所述，全面地掌握相互依存网络的行为特性是防止未来智能电网发生大停电事故的前提，为此需要研究并解决很多关键科学问题.如相互依存网络的静态和动态特性的数学描述模型；相互依存网络故障传播的理论和分析方法；相互依存网络的脆弱性、可靠性等指标评价体系.此外，不同国家和地区的电力网和信息网的发展水平和网络特点也不尽相同，需要结合实际情况进行建模和分析.
