网络安全等级测评报告精选(九篇)

前言：一篇好文章的诞生，需要你不断地搜集资料、整理思路，本站小编为你收集了丰富的网络安全等级测评报告主题范文，仅供参考，欢迎阅读并收藏。

第1篇：网络安全等级测评报告范文

关键词：信息安全；等级保护；等级测评；实践教学；综合实训

DOIDOI：10.11907/rjdk.161717

中图分类号：G434

文献标识码：A文章编号文章编号：16727800（2016）009017303

基金项目基金项目：贵州省科技厅社发攻关项目（黔科合SY字2012-3050号）；贵州大学自然科学青年基金项目（贵大自青合字2010-026号）；贵州大学教育教学改革研究项目（JG2013097）

作者简介作者简介：张文勇（1973-），男，贵州台江人，硕士，贵州大学计算机科学与技术学院讲师，研究方向为网络与信息安全；李维华（1961-），男，贵州贵阳人，贵州大学计算机科学与技术学院高级实验师，研究方向为网络与信息安全；唐作其（1980-），男，贵州兴义人，硕士，贵州大学计算机科学与技术学院副教授，研究方向为信息安全保障体系。

0引言

信息安全等级保护是国家信息安全保障工作的基本制度、基本策略、基本方法，开展信息安全等级保护工作是保护信息化发展、维护国家信息安全的根本保障，是信息安全保障工作中国家意志的体现。信息安全学科要求学生不仅要具备很强的理论知识，更应具备较强的实践能力。现阶段很多高校在理论教学上有较好的培养方法和模式，学生具备良好的理论基础，但在实践教学中由于各课程的衔接和关联较少，尽管部分学校开设了信息安全实训或信息安全攻防实践等课程，但基本都是做一些单元实验，仅局限于某一方面的技能训练，没有从全局、系统的角度去培养学生综合运用各种信息安全知识解决实际问题的能力[15]。从贵州大学信息安全专业毕业生就业情况调查反馈信息来看，绝大多数毕业生主要从事企事业单位的信息安全管理、信息安全专业服务等工作，少数毕业生从事信息安全产品研发，或继续硕士博士深造，从事信息安全理论研究。用人单位普遍反映学生的基本理论掌握相对较好，但实际操作技能、综合分析能力欠缺。为了解决目前这种状况，笔者根据长期从事信息安全等级保护项目实施工作实践，提出在信息安全专业的实践教学环节中引入信息安全等级保护相关内容。

1信息安全等级保护对学生能力培养的作用

信息安全等级保护工作包括定级、备案、安全建设和整改、信息安全等级测评、信息安全检查5个阶段，信息系统安全等级测评是验证信息系统是否满足相应安全保护等级的评估过程。信息安全等级保护的知识体系完善，信息安全等级保护测评人员的技术要求涵盖多个方面，包括物理环境、主机、操作系统、应用安全、安全设备等，因此国家对于信息安全等级保护人员的技术要求十分综合和全面[3]。如参照信息安全等级保护专业人员的技术要求对学生开展信息安全综合实训将满足社会对信息安全专业人员的技能和知识结构要求，主要体现在以下4个方面：①培养学生了解国家关于非信息系统保护的基本方针、政策、标准；②培养学生掌握各种基本信息安全技术操作技能，熟悉各种信息系统构成对象的基本操作，为将来快速融入到信息安全保护实践工作奠定基础；③培养学生具备从综合、全面的角度去规划、设计、构建符合国家信息安全保障体系要求的信息安全防护方案能力；④培养学生建立信息安全等级保护的基本意识，在工作实践中自觉按国家信息安全等级保护要求开展工作，有利于促进国家信息安全等级保护政策实施。

2实训教学知识体系

信息安全等级保护的相关政策和标准是信息安全实训教学体系建立的基本依据，GB/T 22239-2008《信息安全等级保护基本要求》在信息安全等级保护标准体系中起基础性作用。信息安全等级保护基本要求充分体现了“全面防御，纵深防御”的理念，遵循了“技术和管理并重”的基本原则，而不同级别的业务信息系统在控制点要求项上的区别体现了“适度安全”的根本原则[6]。信息安全保护测评是信息安全等级保护的一项重要基础性工作，GB/T 28449-2012《信息安全等级保护测评过程指南》是对等级测评的活动、工作任务以及每项任务的工作内容作出了详细建议，等级测评中的单元测评、整体测评、风险分析、问题处置及建议环节体现了测评工程师对等保项目基本安全保障情况的综合分析能力[610]。信息安全等级保护知识体系庞大，不可能兼顾所有方面，因而在信息安全实训教学知识体系制订中采用兼顾全局、突出重点的基本原则；在实训教学知识体系的构成中重点以《信息安全等级保护基本要求》和《信息安全等级保护测评过程指南》为基础，包括基本理论培训、基本技能实训、安全管理培训、能力提高实训四大模块；在实际操作中将重点放在基本技能实训和能力提高实训上。各实训模块构成及关系如图1所示。

3实训教学实施

教学实施依据实训教学知识体系进行，教学方式采用集中课堂基本理论教学、在信息系统模拟平台实施现场测评数据采集的基本操作实训和以信息安全等级保护测评报告的编写为基础的数据分析、数据整理、安全方案编写实训。

3.1基本理论教学

该环节采用集中课堂教学方式，讲解的主要内容是信息安全等级保护政策和标准。讲解深度上应有所侧重，讲解重点包括：①信息安全等级保护基本要求中层面的划分原则和依据、控制点的构成、控制点中要求项的解读；②信息安全保护过程指南中单元测评、整体测评、风险分析、问题处置和建议等部分的解读。

理论教学在突出重点的同时，兼顾全局，让学生对信息安全等级保护制度和标准有一个完整、清晰的认识。

3.2基本技能实训

基本技能实训环节主要是强化学生各种信息安全技术的基本操作训练。首先，应根据最真实的企业内部环境搭建符合信息安全等级保护要求的模拟信息系统，并编写好对应的信息安全等级保护现场测评指导书；然后，指导学生在模拟系统上进行现场测评实训，实训过程按信息安全等级保护现场测评指导书要求进行，实训内容以获取信息系统安全配置和运行状态等原始数据为基础。基本技能实训模块包括网络安全、主机安全、应用安全、数据备份及恢复、自动化工具扫描这5个层面的训练项目。

（1）网络安全。学生在模拟平台上开展各种主流的网络设备和安全设备的基本操作训练，要求学生理解网络设备和安全设备的安全功能及安全设置，掌握设备的运行状态和信息数据采集方法。

（2）主机安全。学生在模拟平台上开展各种主流系统软件基本操作训练，包括操作系统、数据库系统、中间件等，要求学生理解各种系统软件的安全功能和安全设置。通过本环节的实训，学生应具备系统软件安全配置核查和运行状态信息采集能力。

（3）应用安全。学生在模拟平台上对所安装的主流商用应用软件和自主开发软件进行安全配置核查和安全功能验证训练，要求学生理解应用软件的安全功能设计要求，掌握应用软件的安全配置核查和安全功能验证方法。

（4） 数据备份和回复。通过模拟系统的磁盘冗余阵列进行基本操作训练，让学生了解磁盘冗余阵列的验证方法；通过训练学生在操作系统和数据库管理系统上配置计划备份任务，使其理解系统软件的数据备份安全功能，掌握系统软件的备份操作计划配置和验证方法。

（5）自动化工具扫描。学生利用主流的开源扫描工具和商用的扫描工具对模拟系统上的网络设备、安全设备、服务器主机等进行扫描，获取信息系统主要软硬件的漏洞，并验证系统的脆弱性。本部分获取的原始数据作为（1）、（2）、（3）部分的补充，通过本环节培训学生整理和分析漏洞扫描结果以及初步验证漏洞真实性的能力。

3.3能力提高实训

在学生掌握信息系统安全配置和运行状态数据采集的基本技能后实施能力提高实训，本模块主要培训学生对原始数据的分析、整理，并编写信息安全等级保护测评报告的能力。能力提高实训模块主要包括单元测评、整体测评、风险分析、问题处置和安全建议4个项目，各项目之间的关系流程如图2所示。

（1）通过基本技能实训获取到原始数据后，根据信息安全等级保护测评过程要求整理、分析原始数据，开展单元测评，并给出各单元层面内控制点中检查项的符合性，分析并给出单元测评结果，按信息安全等级保护报告模板编写单元测评报告。

（2）在完成单元测评后，由于单元测评参照的信息相对独立，未考虑原始数据间的关联性，而实际信息系统的最终安全防护效力和面临的风险是信息系统安全控制点间、安全层面间、安全区域间各组成要素共同作用的结果，因此在完成单元测评后还应该进行整体测评。整体测评主要是考虑单元测评中的各控制点间、安全层面间、安全区域间存在某种关联性，这种关联会对信息系统整体的安全防护效力、面临的风险具有降低或增加的作用，应从整体角度对信息系统安全的状态进行修正。

（3）风险分析结果是制订信息安全系统防护措施的重要依据，风险分析能力是体现信息安全工程师水平的一项重要指标。在风险分析实训项目中结合单元测评和整体测评结果利用风险分析计算工具对信息系统面临的风险等级大小进行定性或定量的分析计算，并编写风险分析报告。

（4）确定信息系统存在的风险后，接着应分析引起信息系统风险的因素，对不可接受风险因素或不能满足等级保护要求的安全防护项提出完整的问题处置和整改建议。问题处置和整改建议环节要求信息安全工程技术人员具备扎实理论知识的同时还具备相当丰富的实践经验，工程技术人员必须熟悉信息安全的各种防护技术和目前市场上相关的信息安全软硬件安全产品。因此，本实训项目主要是训练并提高学生综合运用信息安全技术解决实际问题的能力。

4结语

在信息安全专业的实践教学中引入信息安全等级保护内容，实训教学知识体系完全参照信息安全等级保护要求来构建，信息安全等级保护知识体系完善，保证了实训内容的广度和深度。通过信息安全等级保护现场测评环节训练学生的信息安全技术基本操作技能，通过信息安全等级保护测评报告的编制训练学生运用信息安全等级保护基本知识、理论和方法去分析信息系统存在的漏洞、面临的安全风险，并编制符合信息安全等级保护要求的安全防护方案，提高学生综合运用信息安全技术解决实际问题的能力，较好地满足了社会对信息安全人才的需求，深受信息安全等级保护技术服务机构和已开展或拟开展信息系统安全等级保护的企事业及机关单位的欢迎，为学生毕业后尽快适应工作要求奠定了基础。

由于实验环境的限制，所制订的基于信息安全等级保护的实训教学知识体系仍存在以下3点不足：①实训教学体系未涉及虚拟化、云计算、物联网安全实训，而这些是当前发展较快且正被广泛运用的信息技术；②由于渗透测试对测试环境搭建和学生基本技能要求较高，因而实训教学体系中并未涉及渗透测试项目；③信息安全管理在信息安全防护工作中是非常重要但却最容易被忽视的工作内容，可以说一个组织的信息安全管理水平高低直接决定其信息系统的安全防护能力。因为安全管理测评基本上采用的是制度类、证据类、记录类文档性资料的核查和访谈，而在实训中难以模拟一个完整的安全管理体系实际案例，所以在实训中安全管理部分更多地是采用课堂教学讲解，没有操作实训。 这些在后续教学实践工作中都有待改进。

参考文献参考文献：

[1]杨冬晓，严晓浪，于慧敏.信息类特色专业建设的若干实践[J].中国电子教育，2010（1）：3945.

[2]田秀霞.创新实践项目驱动的信息安全专业教学改革[J].计算机教育，2015（23）：3033.

[3]张胜生，吕绪银.基于信息安全场景下的等级保护技术人才培养模式研究[C].第二届全国信息安全等级保护测评体系建设会议论文集，2012：8385.

[4]李琳，陈东方，李涛，等.信息安全专业实践教学体系研究[J].电脑知识与技术.2014，10（35）：85148515.

[5]蒋炜.信息安全等级保护培训探讨[J].现代企业研究，2015（2）：64.

[6]公安部信息安全等级保护评估中心.信息安全等级保护政策培训教程[M].北京：电子工业出版社，2015.

[7]公安部信息安全等级保护评估中心.信息安全等级测评师培训教程（中级） [M].北京：电子工业出版社，2015.

[8]公安部信息安全等级保护评估中心.信息安全等级测评师培训教程（初级） [M].北京：电子工业出版社，2015.

第2篇：网络安全等级测评报告范文

两个发展阶段

卫生监督中心信息安全等级保护工作大致经历了两个发展阶段。

启动与探索阶段（2007年～2008年）：2007年12月，原卫生部组织专家组对部直属机关报送的信息安全等级保护定级情况进行了评审。卫生监督中心的卫生监督信息报告系统和卫生行政许可受理评审系统确定为第三级保护，卫生监督中心网站确定为第二级保护。卫生监督中心在了解了信息安全等级保护制度的同时，启动了信息安全等级保护相关工作。为摸清信息安全隐患，2008年卫生监督中心聘请了具有信息安全相关资质的信息安全咨询公司对等保涉及的信息系统进行了信息安全测评，并制定了相应的整改方案。由于2008年信息安全整改资金等原因，未开展相关整改工作。

发展阶段（2009年至今）：本着统筹考虑、分布实施的原则，在实施国家级卫生监督信息系统建设项目之初就参照等级保护有关要求规划和设计业务应用系统及其运行环境，同时积极开展等级保护备案等工作。在国家级项目二期中，专项对信息安全进行加固。并每年邀请公安部信息安全等级保护评估中心，对卫生监督中心的第三级保护系统进行了安全等级测评。

截至目前，卫生监督中心共有3个信息安全等级保护第三级的信息系统，4个信息安全等级保护第二级的信息系统。

信息安全技术体系

卫生监督信息系统信息安全技术体系建设，严格遵循等级保护第三级的技术要求进行详细设计、技术选择、产品选型、产品部署。技术体系从物理安全、网络安全、主机安全、应用安全、数据安全及备份恢复等5个方面进行设计。

1.物理安全

卫生监督中心现有南北两个机房，机房及相关配套设施面积总计160平方米。北机房部署等级保护第三级信息系统，南机房部署等级保护第二级信息系统，实现了第三级系统与第二级系统物理环境隔离。根据等级保护有关要求，机房均采用了精密空调、门禁系统、环境监测系统等设备设施及技术手段，有效地保证了机房的物理安全。

2.网络安全

主干网络链路均采用双链路连接，关键网络、安全设备均采用双机冗余方式，避免单点故障。采用防火墙、入侵防护系统、DDoS系统进行边界防护，各网络区域之间采用防火墙进行区域隔离，在对外服务区部署了入侵检测系统，在交换服务区部署了网络审计系统。在核心数据区部署了数据库审计系统，对网络行为进行监控和记录。在安全管理区部署安全管理系统，实现设备日志的统一收集及分析。

3.主机安全

所有服务器和管理终端配置了密码安全策略；禁止用户远程管理，管理用户必须进入机房通过KVM进行本地管理；所有服务器和管理终端进行了补丁更新，删除了多余账户，关闭了不必要的端口和服务；所有服务器和管理终端开启了安全审计功能；通过对数据库的安全配置，实现管理用户和特权用户的分离，并实现最小授权要求。

4.应用安全

卫生监督中心7个应用系统均完成了定级备案，并按照等级保护要求开展了测评工作。应用服务器采取了集群工作部署，保证了系统的高可用性，同时建立了安全审计功能模块，记录登录日志、业务操作日志、系统操作日志3种日志，并实现查询和审计统计功能，配置了独立的审计账户。门户网站也采用了网页防篡改、DDoS等系统。信息安全等级保护第三级系统管理人员及高权限用户均使用CA证书登录相应系统。

5.数据安全及备份恢复

卫生监督信息报告系统数据库服务器使用了双机热备，应用服务器采用多机负载均衡，每天本地备份，保证了业务系统的安全、稳定和可靠运行。其余等级保护第三级信息系统使用了双机备份，无论是软件还是硬件问题，都可以及时准确地进行恢复并正常提供服务。同时，卫生监督中心在云南建立了异地数据备份中心，每天进行增量备份，每周对数据进行一次全备份。备份数据在一定时间内进行恢复测试，保证备份的有效性。

信息安全管理体系

在开展信息安全等级保护工作中，我们深刻体会到，信息安全工作“三分靠技术，七分靠管理”。为保证信息安全等级保护工作顺利进行，参考ISO/IEC 27001《信息安全管理体系要求》，卫生监督中心建立了符合实际工作情况的信息安全管理制度体系，明确了“统一领导，技管并重；预防为主，责权分明；重点防护，适度安全”的安全方针，涵盖等级保护管理要求中安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理五大方面的要求。

卫生监督中心建立了较为完善的信息安全责任制，设立了信息安全领导小组，领导小组组长由卫生监督中心主任担任，成员由卫生监督中心有关处室负责人组成，信息处作为信息安全工作办公室负责卫生监督中心日常信息安全管理工作。信息处设立了信息安全管理岗位，分别为网络管理员、系统管理员、应用管理员、安全管理员、安全审计员、机房管理员，并建立了信息安全岗位责任制度。

此外，卫生监督中心依据上年度运维中存在的信息安全隐患每年对其进行修订，确保信息安全工作落到实处。

信息安全运维体系

在信息安全工作中，建立信息安全管理制度不是目的，要以信息安全等级保护有关要求指导信息安全运维实践。

卫生监督中心结合实际情况，编制了《国家级卫生监督信息系统运行维护工作规范》，从运行维护流程、资源管理和环境管理三个方面进行了规范，将安全运维理念落到实处。

运维人员在实际工作中，严格按照工作规范要求。利用卫生监督中心OA系统，建立了统一的服务台，实现了事件、问题的全流程闭环管理（即：发现问题、登记问题、解决问题、解决反馈、解决确认）。年均处理信息安全事件近百件，将信息安全问题消灭在萌芽阶段，有效地保证了信息系统稳定运行，保证了卫生监督中心信息安全目标和方针的实现。

信息安全等级保护实践经验

1.规范管理，细化流程

卫生监督中心从安全管理制度、安全管理组织机构及人员、安全建设管理和安全运维管理等方面建立了较为完善的安全管理体系。通过管理体系的建设，为国家级卫生监督信息系统运维管理工作中安全管理提供了重要指导。

国家级卫生监督信息系统运维工作从安全管理体系的建设中吸取了很多有益经验，不仅合理调配了运维管理人员，落实了运维管理组织机构和岗位职责，而且细化了运维管理流程，形成了“二级三线”的运维处理机制。

2.循序渐进，持续完善

第3篇：网络安全等级测评报告范文

1数据信息安全威胁信息数据

面临的安全威胁来自于多个方面，有通过病毒、非授权窃取来破坏数据保密性的安全威胁，有因为操作系统故障、应用系统故障等导致的破坏数据完整性的安全威胁，有因为硬盘故障、误操作等导致的破坏数据可用性的安全威胁，还有因为病毒威胁、非授权篡改导致的破坏数据真实性的安全威胁，这些潜在的安全威胁将会导致信息数据被删除、破坏、篡改甚至被窃取，给公共卫生行业带来无法弥补的损失。

2安全管理缺失公共卫生行业

在信息化建设工作中，如果存在重应用、轻安全的现象，在IT系统建设过程中没有充分考虑信息安全的科学规划，将导致后期信息安全建设和管理工作比较被动，业务的发展及信息系统的建设与信息安全管理建设不对称；或由于重视信息安全技术，轻视安全管理，虽然采用了比较先进的信息安全技术，但相应的管理措施不到位，如病毒库不及时升级、变更管理松懈、岗位职责不清、忽视数据备份等现象普遍存在，很有可能会导致本不应该发生的信息安全事件发生。

二分析问题产生的主要原因

1经费投入不足导致的安全防范技术

薄弱许多公共卫生机构的信息化基础设施和软硬件设备，都是在2003年SARS疫情爆发以后国家投入建设的，运行至今，很多省级以下的公共卫生单位由于领导认识不足或经费所限，只重视疾病防控能力和实验室检验检测能力的建设，而忽视了对公共卫生信息化的投入，很少将经费用于信息化建设和信息安全投入，信息化基础设施陈旧、软硬件设备老化，信息安全防范技术比较薄弱，因网络设备损坏、服务器宕机等故障或无入侵检测、核心防火墙等安全防护设备，导致信息数据丢失、窃取的现象时有发生，严重影响了重要信息数据的保密性、完整性和安全性，一旦发生信息安全事件后果将不堪设想。

2专业技术人才缺乏

建设信息化、发展信息化最大的动力资源是掌握信息化的专业技术人才，人才的培养是行业信息化高速发展的基础，然而，公共卫生行业的人才梯队主要以疾病控制、医学检验专业为主，信息化、信息安全专业技术人才缺乏，队伍力量薄弱，不能很好地利用现有的计算机软硬件设备，也很难对本单位现有的信息化、信息安全现状进行有效的评估，缺乏制定本行业长期、可持续信息化建设发展规划的能力，这也是制约公共卫生行业信息化发展的重要因素。

3信息安全培训不足

职工安全保密意识不强信息安全是一项全员参与的工作，它不仅是信息化管理部门的本职工作，更是整个公共卫生行业的重要工作职责，很多单位没有将信息安全培训放在重要位置，没有定期开展信息安全意识教育培训，许多职工对网络安全不够重视，缺乏网络安全意识，随意接收、下载、拷贝未知文件，没有查杀病毒、木马的习惯，经常有意无意的传播病毒，使得单位网络系统经常遭受ARP、宏病毒等病毒木马的攻击，严重影响了单位网络的安全稳定运行；同时，许多职工对于单位的移动介质缺乏规范化管理意识，随意将拷贝有信息的移动硬盘、优盘等介质带出单位，在其他联网的计算机上使用，信息容易失窃，存在非常严重的信息安全隐患。

三如何促进公共卫生行业计算机网络安全性提升

1强化管理

建立行业计算机网络安全管理制度为了确保整个计算机网络的安全有效运行，建立出一套既符合本行业工作实际的，又满足网络实际安全需要的、切实可行的安全管理制度势在必行。主要包括以下三方面的内容：

1.1成立信息安全管理机构

引进信息安全专业技术人才，结合单位开展的工作特点，从管理、安全等级保护、安全防范、人员管理等方面制定统管全局的网络安全管理规定。

1.2制定信息安全知识培训制度

定期开展全员信息安全知识培训，让全体员工及时了解计算机网络安全知识最新动态，结合信息安全事件案列，进一步强化职工对信息安全保密重要性的认识。同时，对信息技术人员进行专业知识和操作技能的培训，培养一支具有安全管理意识的队伍，提高应对各种网络安全攻击破坏的能力。

1.3建立信息安全监督检查机制

开展定期或不定期内部信息安全监督检查，同时将信息安全检查纳入单位季度、年度综合目标责任制考核体系，检查结果直接与科室和个人的奖励绩效工资、评先评优挂钩，落实奖惩机制，惩防并举，确保信息安全落实无死角。

2开展信息安全等级保护

建设开展信息安全等级保护建设，通过对公共卫生行业处理、存储重要信息数据的信息系统实行分等级安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置，建立健全信息安全应急机制，定期对信息系统安全等级保护建设情况进行测评，存在问题及时整改，从制度落实、安全技术防护、应急处置管理等各个方面，进一步提高公共卫生行业信息安全的防护能力、应急处置能力和安全隐患发现能力。

3加强网络安全技术防范

随着信息技术的高速发展，信息网络安全需要依托防火墙、入侵检测、VPN等安全防护设施，充分运用各个软硬件网络安全技术特点，建立安全策略层、用户层、网络与信息资源层和安全服务层4个层次的网络安全防护体系，全面增强网络系统的安全性和可靠性。

3.1防火墙技术

防火墙技术在公共卫生行业网络安全建设体系中发挥着重要的作用，按照结构和功能通常划分为滤防火墙、应用防火墙和状态检测防火墙三种类型，一般部署在核心网络的边缘，将内部网络与Internet之间或者与其他外部网络互相隔离，有效地记录Internet上的活动，将网络中不安全的服务进行有效的过滤，并严格限制网络之间的互相访问，从而提高网络的防毒能力和抗攻击能力，确保内部网络安全稳定运行。

3.2入侵检测

入侵检测是防火墙的合理补充，是一种对网络传输进行即时监视，在发现可疑传输时发出警报或者采取主动反应措施的网络安全设备，检测方法包括基于专家系统入侵检测方法和基于神经网络的入侵检测方法两种，利用入侵检测系统，能够迅速及时地发现并报告系统中未授权或异常现象，帮助系统对付内部攻击和外部网络攻击，在网络系统受到危害之前拦截和响应入侵，在安全审计、监视、进攻识别等方面进一步扩展了系统管理员的安全管理能力，提高了信息安全基础结构的完整性。

3.3虚拟专用网络（VPN）技术

VPN技术因为低成本、高度灵活的特点，在很多行业信息化建设中被广泛应用，公共卫生行业也有很多信息系统都是基于VPN进行数据传输的，如中国疾病预防控制信息系统等，通过在公用网络上建立VPN，利用VPN网关将数据包进行加密和目标地址转换，以实现远程访问。VPN技术实现方式目前运用的主要有MPLS、IPSEC和SSL三种类型，中国疾病预防控制信息系统VPN链路网络采用的就是IPSECVPN模式，利用VPN链路隧道，实现国家到省、市、县四级的互联互通和数据传输共享。VPN通过使用点到点协议用户级身份验证的方法进行验证，将高度敏感的数据地址进行物理分隔，只有授权用户才能与VPN服务器建立连接，进行远程访问，避免非授权用户接触或窃取重要数据，为用户信息提供了很高的安全性保护。

四结语

第4篇：网络安全等级测评报告范文

一、银行业金融机构信息系统等级保护现状

人民银行作为我国中央银行，承担着指导协调我国金融业信息安全工作的职责。2010年以来，人民银行为全面落实国家信息安全等级保护制度，制定了《金融行业信息系统信息安全等级保护实施指引》、《金融行业信息系统信息安全等级保护测评指南》、《金融行业信息安全等级保护测评服务安全指引》三项行业标准，建立了金融业等级保护标准规范体系。在此基础上，人民银行围绕定级、备案、安全建设整改、等级测评和监督检查等五个规定动作，在人民银行及银行业全面部署实施信息安全等级保护工作,截至目前，全国银行业金融机构已基本完成重要信息系统的定级、备案和测评整改工作，等级保护工作取得了长足进步，信息系统的安全防护水平得到了全面提升，推动了金融业信息化建设和业务发展，但在等级保护执行过程中也面临以下一些困难：一是金融机构分支机构多、分布广，总部对分支机构等级保护工作的可控管理水平有限。二是金融机构信息系统数量多、运行环境复杂，定级范围广且标准不统一，加大了等级保护的运维难度。三是部分银行分支机构没有认识到信息系统等级保护工作的重要性，等级保护工作流于形式，使等级保护工作未能真正落到实处。四是缺少如何将信息安全等级保护工作与信息安全日常保障工作、风险测评等安全管理工作相结合的有效技术手段。引入安全基线管理机制，充分利用基线技术的特点和优势,去化解当前金融机构等级保护所面临的问题，不失为一种有效的解决办法。现就安全基线在基层人民银行等级保护中的应用实践为例，谈谈安全基线技术在加强等级保护管理，促进长效管理机制形成中所发挥的作用。

二、安全基线在基层人民银行等级保护管理中的应用

1.人民银行信息安全基线概述

人民银行安全基线建立在《人民银行信息安全综合规范》基础之上，《人民银行信息安全综合规范》主要吸收了金融行业信息系统信息安全等级保护及人民银行内部多类制度安全管理要求项,涉及总行、省级行、地市中支、县支行4级机构，包含机房环境、网络安全、应用安全、保密技术管理、信息安全管理、安全运维等10个方面的内容，涵盖了人民银行所有信息系统等级保护定级管理要求，是人民银行信息系统需要满足的安全管理要求。它是由一组安全配置项组成，形成了针对不同信息系统的详细CheckList及操作指南，为人民银行分支行建立本单位的安全基线提供了统一规范。人民银行分支行结合本单位最佳安全实践，通过对《人民银行信息安全综合规范》进行筛选、检测、配平等操作，最终形成符合各单位实际情况、本地化的安全基线。

2.安全基线在基层人民银行等级保护管理中的应用过程

人民银行分支行的安全基线包含了本单位已定级信息系统安全管理的各项要求，通过对安全基线进行管理，能够促进等级保护各项措施的落实。安全基线在基层人民银行等级保护中的应用过程可分为三部分：建立安全基线、安全基线的检测与控制、基线度量与报告。

（1）建立安全基线。人民银行分支机构在综合考虑本单位等级保护定级管理要求及企业自身安全建设发展需求基础之上，对IT设备及业务系统的安全目标进行识别和梳理，并对照《人民银行信息安全综合规范》进行筛选，分离出不适用项，并对剩余适用本单位的配置项进行安全检测、配合平等操作，形成了符合本单位实际情况的一组安全配置项，即本单位的初始安全基线。初始安全基线被上级管理部门批准确认后，形成本单位的安全基线，变为受控状态，作为当前时期的安全基准点，不允许随便更改。

（2）安全基线的检测与控制。安全基线建立后，将定期对目标业务开展合规性检测，找出不符合项，并通过整改、加固等措施，消除安全风险，逐步达到安全基线标准要求。随着业务的不断调整变化，对已建立的安全基线进行评估，整理出需要补充、维护和完善配置项后，提出“变更请求”（checkrequest），在变更请求得到批准的情况下，允许配置项从安全基线中检出（实施check-out），待变更完成，并经评审后，确认无误，方可重新进入安全基线，使其恢复到受控状态，从而实现安全基线动态更新。对安全基线的检测与控制，可以有效监控各单位等级保护管理整体安全状态，跟踪信息系统等级保护工作中的未达标项，把未达标项纳入信息安全基线控制范围，通过对本单位信息安全基线的定期检测和整改，可以逐步提升信息系统等级保护的安全保障能力。

（3）基线度量与报告。对本单位安全基线检测后得到的数据是安全基线配置项的状态表，它反映了本单位在某一时点上的整体信息安全状态，是信息安全总体水平的量化表述，可以度量企业安全现状与安全基线之间的差距，为后续的整改提供依据。人民银行分支机构的安全基线是上级单位管理决策的重要依据之一，安全基线建立后，实行季报制度，每个季度向上级行上报本辖区的安全基线报告，人民银行总行安全管理部门则可以不定期查看分支机构的安全基线报告，方便了解分支机构的整体安全状况及安全变动趋势。

3.安全基线在基层人民银行等级保护管理中的应用效果

（1）实现了信息安全工作可控、可管、可操作。通过安全基线技术，将本单位信息安全管理工作统一转化为一组可操作的配置项，便于数据汇总和分析安全变动趋势，可以有效监控本单位的整体信息安全状态，跟踪整改未达标的信息安全要求、消除存在的信息安全隐患。

（2）综合了多方运维管理内容。安全基线实际上已经综合了等级保护、风险评估、内部管理制度等多方面的管理要求，与人民银行信息安全保障工作有机结合，建立了集中统一的安全运维管理体系。

（3）提升等级保护测评符合率。安全基线管理，通过采用“填平补齐”的方式，逐步完善各单位安全状况，较全面地解决各单位（特别是技术力量比较薄弱的分支机构）中存在的信息安全管理问题，能有效提升各单位等级保护测评符合率。

（4）促进了安全长效机制形成。安全基线管理过程遵循“生命环”管理体系，通过对安全基线的定期检查、更新、报告及风险跟踪，周而复始，持续改进，形成螺旋上升的良性循环态势，促进了安全长效机制形成。

第5篇：网络安全等级测评报告范文

【关键词】 政务云 云安全 IaaS服务

信息化建设是我国现阶段发展的主要内容和方向，但同时也就面临着信息安全的众多问题。根据国家互联网应急中心的报告，15年接收境内外报告的网络安全事件同比增长125.9%，主要遭受攻击的对象就包括政府。因此在电子政务云建设时信息安全方面的内容必须作为重点进行考虑。

一、电子政务云安全问题分析

云计算服务采购方式作为电子政务基础设施建设的主要方式，而IaaS服务模式是目前常用的政务云服务提供模式。

政务云面临的安全风险呈现出3个主要特点。需要管控的角色更多：除一般的系统建设者和访问用户外，还有服务提供商、政府内部政务云的统一管理人员等。需要解决的管控问题更多：虚拟化安全的问题、对资源管控能力减弱的问题、过渡依赖和锁定的问题等。影响更深远：政务云上的信息出现安全问题时存在影响面更广、更敏感、政府公信力受损等问题。

二、建设方案探讨

按照我国政府对信息安全的要求，境内的计算机信息系统实行安全等级保护制度。除此外国家还下发党政部门云计算服务网络安全管理的相关要求，明确了安全管理责任不变、数据归属关系不变、安全管理标准不变、敏感信息不出境、要参照信息安全国家标准等的要求。

2.1安全防范需求分析

整体要求：满足等保要求外，还需满足党政内部的信息管理要求。

监管要求：对云服务提供商各方面的管理和监督较一般企业用户强、要求更高。

数据要求：对数据的安全性、机密性、完整性的要求更高，对残余数据的处置也更谨慎，对服务商数据管理的流程和制度提出更高要求。

物理要求：υ浦行牡慕ㄉ栉恢煤透衾攵纫求更敏感。

分工要求：对于服务合同中的责任义务要求更明晰，对云服务商内部的各项管理、监测、检查、配合度等有更高的要求。

2.2设计思路及方案探讨

从其本质上看，政务云仍是一类信息系统，其防护体系应当是以等级保护为指导思想，并考虑虚拟化等新的技术和运营方式所带来的安全问题，从技术和管理两个层面全方位保护信息安全，将安全理念贯穿政务云建设、整改、测评、运维全过程。

设计方案时建议可从以下几个内容考虑：

等保等级划分：按照等保定级要素和一般流程进行分析定级，并参考云计算服务安全指南确定是一般保护或增强保护。

责任范围划分：云服务商和政府客户间基于IaaS的服务，以虚拟化计算资源层为界线，以上由政府客户负责，以下由云服务商负责，虚拟化计算资源层安全措施由双方分担。

物理安全：根据等保要求，对机房位置、环境、管理等进行规范。

网络安全：这里主要讨论区域的划分，边界部分则按要求部署FW、IPS/IDS等设备。功能区划分：政务云一般设计时按业务承载类型划分为互联网区和电子政务外网区，之间有安全设备进行区间信息的交换管控，确保互联网用户不能直接访问公用网络区的系统。安全域划分：各个区内根据需求划分安全域，各域之间根据业务需求进行隔离。一般可划分为：完成对外安全控制的安全边界区；完成业务部署的业务区；完成运维管理系统部署的运维管理区；完成安全管控设备部署的安全管理区。

主机安全：除部署传统的漏扫、配置核查、安全审计等主机安全系统外，还需要考虑传统安全设备对物理主机内部虚拟化主机的管控缺失问题。目前业界一般以两种模式解决：集中部署虚机安全设备或在虚机内部署安全软件。前一种方式主要是流量迂回问题，后一种方式主要是服务器资源占用问题，后一种方式一般采用较多。

应用安全：云服务商通过网管系统和安全系统对应用进行资源监测，但应用的主要安全由云服务使用者完成。应用安全审计则各自收集所控制部分的审计数据，云服务商以云资源应用为主，上层应用由云服务使用者完成审计。

数据安全：主要包括数据隔离与访问控制、剩余数据删除、数据加密和数据备份。政务云比较特殊的是剩余数据问题，各子系统之间分配各自的物理空间，虚机迁移或释放时，虚拟机内的所有信息应该被清空，确保数据的不泄露。当双方合作终止时，云服务商需在政府方相关管理部门的监督下，进行信息销毁。

结束语：政务云安全的保障是一个较复杂的问题，设计方案时需从政府业务特殊性、云计算技术的特点等进行多视角的分析，进行全局化的设计。

参 考 文 献

[1] GBT 31167-2014，信息安全技术 云计算服务安全指南，中国标准出版社，2015-04-01；

第6篇：网络安全等级测评报告范文

 

随着云计算、大数据等新兴技术的不断发展，企业信息化、智能化程度、网络化、数字化程度越来越高，人类社会进入到以大数据为主要特征的知识文明时代。大数据是企业的重要财富，正在成为企业一种重要的生产资料，成为企业创新、竞争、业务提升的前沿。大数据正在成为企业未来业务发展的重要战略方向，大数据将引领企业实现业务跨越式发展;同时，由此带来的信息安全风险挑战前所未有，远远超出了传统意义上信息安全保障的内涵，对于众多大数据背景下涉及的信息安全问题，很难通过一套完整的安全产品和服务从根本上解决安全隐患。

 

自2008年国际综合性期刊《Nature》发表有关大数据(Big Data)的专刊以来，面向各应用领域的大数据分析更成为各行业及信息技术方向关注的焦点。大数据的固有特征使得传统安全机制和方法显示出不足。本文系统分析了大数据时代背景下的企业信息系统存在的主要信息安全脆弱性、信息安全威胁以及信息安全风险问题，并有针对性地提出相应的信息安全保障策略，为大数据背景下的企业信息安全保障提供一定指导的作用。

 

1 大数据基本内涵

 

大数据(Big Data)，什么是大数据，目前还没有形成统一的共识。网络企业普遍将大数据定义为数据量与数据类型复杂到在合理时间内无法通过当前的主流数据库管理软件生成、获取、传输、存储、处理，管理、分析挖掘、应用决策以及销毁等的大型数据集。大数据具有4V特征(Volume，Varity，Value，Velocity)，即数据量大、数据类型多、数据价值密度低、数据处理速度快。

 

2011年麦肯锡咨询公司了《大数据：下一个创新、竞争和生产力的变革领域》[1]的研究报告，引起了信息产业界的广泛关注。美国谷歌公司(Google)、国际商业机器公司(IBM)、美国易安信公司(EMC)、脸书(Facebook)等公司相继开始了大数据应用、分析、存储、管理等相关技术的研究，并推出各自的大数据解决框架、方案以及产品。例如，阿帕奇软件基金会(Apache)组织推出的Hadoop大数据分析框架，谷歌公司推出的BigTable、GFS(Google File System)、MapReduce等技术框架等，这些研究成果为随后的大数据应用迅猛发展提供了便利的条件。2012年3月，美国奥巴马总统了2亿美元的“Big Data Initiative”(大数据研究和发展计划)，该计划涉及能源、国防、医疗、基础科学等领域的155个项目种类，该计划极大地推动了大数据技术的创新与应用，标志着奥巴马政府将大数据战略从起初的政策层提升到国家战略层。

 

同时，我国对大数据的认识、应用及相关技术服务等也在不断提高，企业界一致认同大数据在降低企业经营运营成本、提升管理层决策效率、提高企业经济效益等方面具有广阔的应用前景，相继大数据相关战略文件，同时国家组织在民生、国防等重要领域投入大量的人力物力进行相关技术研究与创新实践。

 

中国移动通信公司在已有的云计算平台基础上，开展了大量大数据应用研究，力图将数据信息转化为商业价值，促进业务创新。例如，通过挖掘用户的移动互联网行为特征，助力市场决策;利用信令数据支撑终端、网络、业务平台关联分析，优化网络质量。商业银行也相继开展了经融大数据研究，提升银行的竞争力。例如，通过对用户数据分析开展信用评估，降低企业风险;从细粒度的级别进行客户数据分析，为不同客户提供个性化的产品与服务，提升银行的服务效率。总而言之，大数据正在带来一场颠覆性的革命，将会推动整个社会取得全面进步。

 

2 大数据安全研究现状

 

在大数据计算和分析过程中，安全是不容忽视的。大数据的固有特征对现有的安全标准、安全体系架构、安全机制等都提出了新的挑战。目前对大数据完整性的研究主要包括两方面，一是对数据完整性的检测;二是对完整性被破坏的数据的恢复。在完整性检测方面，数据量的增大使传统的MD5、SHA1等效率较低的散列校验方法不再适用，验证者也无法将全部数据下载到本地主机后再进行验证。

 

面向大数据的高效隐私保护方法方面，高效、轻量级的数据加密已有多年研究，虽然可用于大数据加密，但加密后数据不具可用性。保留数据可用性的非密码学的隐私保护方法因而得到了广泛的研究和应用。这些方法包括数据随机化、k-匿名化、差分隐私等。

 

这些方法在探究隐私泄漏的风险、提高隐私保护的可信度方面还有待深入，也不能适应大数据的海量性、异构性和时效性。在隐私保护下大数据的安全计算方面，很多应用领域中的安全多方计算问题都在半诚实模型中得到了充分的研究，采用的方法包括电路赋值(Circuit Evaluation)、遗忘传输(Oblivious Transfer)、同态加密等。通过构造零知识证明，可以将半诚实模型中的解决方法转换到恶意模型中。而在多方参与、涉及大量数据处理的计算问题，目前研究的主要缺陷是恶意模型中方法的复杂度过高，不适应多方参与、多协议执行的复杂网络环境。

 

企业大数据技术是指大数据相关技术在企业的充分应用，即对企业业务、生产、监控、监测等信息系统在运行过程中涉及的海量数据进行抽取、传输、存储、处理，管理、分析挖掘、应用决策以及销毁等，实现大数据对企业效率的提升、效益的增值以及风险的预测等。

 

企业的大数据类型通常主要包括业务经营数据即客户信息数据、企业的生产运营与管理数据以及企业的设备运行数据等，即客户信息数据、员工信息数据、财务数据、物资数据、系统日志、设备监测数据、调度数据、检修数据、状态数据等。企业大数据具有3V、3E特征[2]，3V即数据体量大(Volume)、数据类型多(Varity)与数据速度快(Velocity)，3E即数据即能量(Energy)、数据即交互(Exchange)与数据即共情(Empathy)。

 

3 大数据时代企业信息安全漏洞与风险并存

 

大数据时代，大数据在推动企业向着更为高效、优质、精准的服务前行的同时，其重要性与特殊性也给企业带来新的信息安全风险与挑战。如何针对大数据的重要性与特殊性构建全方位多层次的信息安全保障体系，是企业发展中面临的重要课题。大数据背景下，结合大数据时代的企业工作模式，企业可能存在的信息安全风险主要表现在以下三个方面：

 

(1)企业业务大数据信息安全风险：由于缺乏针对大数据相关的政策法规、标准与管理规章制度，导致企业对客户信息大数据的“开放度”难以掌握，大数据开放和隐私之间难以平衡;企业缺乏清晰的数据需求导致数据资产流失的风险;企业数据孤岛，数据质量差可用性低，导致数据无法充分利用以及数据价值不能充分挖掘的风险;大数据安全能力和防范意识差，大数据人才缺乏导致大数据分析、处理等工作难以开展的风险;管理技术和架构相对滞后，导致数据泄露的风险。

 

(2)企业基础设施信息安全风险：2010年，震网病毒[3]通过网络与预制的系统漏洞对伊朗核电站发起攻击，导致伊朗浓缩铀工程的部分离心机出现故障，极大的延缓了伊朗核进程。从此开启了世界各国对工业控制系统安全的重视与管控。对于生产企业，工业生产设备是企业的命脉，其控制系统的安全性必须得到企业的高度重视。随着物理设备管理控制系统与大数据采集系统在企业的不断应用，监控与数据采集系统必将成为是物理攻击的重点方向，越来越多的安全问题随之出现。

 

设备“接入点”范围的不断扩大，传统的边界防护概念被改变; 2013年初，美国工业控制系统网络紧急响应小组(ICS-CERT)预警，发现美国两家电厂的发电控制设备在2012年10月至12月期间感染了USB设备中的恶意软件。该软件能够远程控制开关闸门、旋转仪表表盘、大坝控制等重要操作，对电力设备及企业安全造成了极大的威胁。

 

(3)企业平台信息安全风险： 应用层安全风险主要是指网络给用户提供服务所采用的应用软件存在的漏洞所带来的安全风险，包括： Web服务、邮件系统、数据库软件、域名系统、路由与交换系统、防火墙及网管系统、业务应用软件以及其他网络服务系统等;操作系统层的安全风险主要是指网络运行的操作系统存在的漏洞带来的安全风险，例如Windows NT、UNIX、Linux系列以及专用操作系统本身安全漏洞，主要包括访问控制、身份认证、系统漏洞以及操作系统的安全配置等;网络层安全风险主要指网络层身份认证，网络资源的访问控制，数据传输的保密性与完整性、路由系统的安全、远程接入、域名系统、入侵检测的手段等网络信息漏洞带来的安全性。

 

4 企业大数据信息安全保障策略

 

针对大数据时代下企业可能存在的信息安全漏洞与风险，本文从企业的网络边界信息安全保障、应用终端信息安全保障、应用平台信息安全保障、网络安全信息安全保障、数据安全信息安全保障等多方面提出如下信息安全保障策略，形成具有层次特性的企业信息安全保障体系，提升大数据时代下的企业信息安全保障能力。

 

4.1企业系统终端——信息安全保障策略

 

对企业计算机终端进行分类，依照国家信息安全等级保护的要求实行分级管理，根据确定的等级要求采取相应的安全保障策略。企业拥有多种类型终端设备，对于不同终端，根据具体终端的类型、通信方式以及应用环境等选择适宜的保障策略。确保移动终端的接入安全，移动作业类终端严格执行企业制定的办公终端严禁“内外网机混用”原则，移动终端接入内网需采用软硬件相结合的加密方式接入。配子站终端需配置安全模块，对主站系统的参数设置指令和控制命令采取数据完整性验证和安全鉴别措施，以防范恶意操作电气设备，冒充主站对子站终端进行攻击。

 

4.2企业网络边界——信息安全保障策略

 

企业网络具有分区分层的特点，使边界不受外部的攻击，防止恶意的内部人员跨越边界对外实施攻击，在不同区的网络边界加强安全防护策略，或外部人员通过开放接口、隐蔽通道进入内部网络。在管理信息内部，审核不同业务安全等级与网络密级，在网络边界进行相应的隔离保护。按照业务网络的安全等级、实时性需求以及用途等评价指标，采用防火墙隔离技术、协议隔离技术、物理隔离技术等[4]对关键核心业务网络进行安全隔离，实现内部网与外部网访问资源限制。

 

4.3企业网络安全——信息安全保障策略

 

网络是企业正常运转的重要保障，是连接物理设备、应用平台与数据的基础环境。生产企业主要采用公共网络和专用网络相结合的网络结构，专用网络支撑企业的生产管理、设备管理、调度管理、资源管理等核心业务，不同业务使用的专用网络享有不同安全等级与密级，需要采取不同的保障策略。网络弹性是指基础网络在遇到突发事件时继续运行与快速恢复的能力。采用先进的网络防护技术，建立基础网一体化感知、响应、检测、恢复与溯源机制，采取网络虚拟化、硬件冗余、叠加等方法提高企业网络弹性与安全性;对网络基础服务、网络业务、信息流、网络设备等基础网络环境采用监控审计、安全加固、访问控制、身份鉴别、备份恢复、入侵检测、资源控制等措施增强网络环境安全防护;在企业网络中，重要信息数据需要安全通信。针对信息数字资源的安全交换需求，构建企业的业务虚拟专用网。在已有基础网络中采用访问控制、用户认证、信息加密等相关技术，防止企业敏感数据被窃取，采取建立数据加密虚拟网络隧道进行信息传输安全通信机制。

 

4.4企业应用系统平台——信息安全保障策略

 

应用系统平台安全直接关系到企业各业务应用的稳定运行，对应用平台进行信息安全保障，可以有效避免企业业务被阻断、扰乱、欺骗等破坏行为，本文建议给每个应用平台建立相应的日志系统，可以对用户的操作记录、访问记录等信息进行归档存储，为安全事件分析提供取证与溯源数据，防范内部人员进行异常操作。企业应用平台的用户类型多样，不同的应用主体享有不同的功能与应用权限，考虑到系统的灵活性与安全性，采用基于属性权限访问控制[5]、基于动态和控制中心访问权限控制[6]、基于域访问权限控制[7]、基于角色访问控制等访问控制技术;确保企业应用平台系统安全可靠，在应用平台上线前，应邀请第三方权威机构对其进行信息安全测评，即对应用平台系统进行全面、系统的安全漏洞分析与风险评估[8]，并制定相应的信息安全保障策略。

 

4.5企业大数据安全——信息保障策略

 

大数据时代下，大数据是企业的核心资源。企业客户数据可能不仅包含个人的隐私信息，而且还包括个人、家庭的消费行为信息，如果针对客户大数据不妥善处理，会对用户造成极大的危害，进而失信于客户。目前感知大数据(数据追踪溯源)、应用大数据(大数据的隐私保护[9]与开放)、管控大数据(数据访问安全、数据存储安全)等问题，仍然制约与困扰着大数据的发展。大数据主要采用分布式文件系统技术在云端存储，在对云存储环境进行安全防护的前提下，对关键核心数据进行冗余备份，强化数据存储安全，提高企业大数据安全存储能力。为了保护企业数据的隐私安全、提高企业大数据的安全性的同时提升企业的可信度，可采用数据分享、分析、时进行匿名保护已经隐私数据存储加密保护措施来加强企业数据的隐私安全，对大数据用户进行分类与角色划分，严格控制、明确各角色数据访问权限，规范各级用户的访问行为，确保不同等级密级数据的读、写操作，有效抵制外部恶意行为，有效管理云存储环境下的企业大数据安全。

 

5 结束语

 

随着信息技术的快速革新，数据正以惊人的速度积累，大数据时代已经来临了;智能终端和数据传感器成为大数据时代的数据主要来源。大数据在推动企业不断向前发展给企业提供了更多机遇的同时，也给企业的应用创新与转型发展带来了新的信息安全威胁、信息安全漏洞以及信息安全风险。传统的信息安全保障策略已经无法满足大数据时代的信息安全保障需求。怎样做好企业大数据信息安全保障、加强信息安全防护、建设相关法律法规将是大数据时代长期研究的问题。

第7篇：网络安全等级测评报告范文

关键词：广播电视；安全播出；调度

引言

为更好地适应广播电视机构改革新形势，进一步做好全省广播电视安全播出管理工作，河南省广播电视安全播出调度指挥中心开展了河南省广播电视安全播出指挥调度系统项目建设。系统采用云服务，通过互联网和设备终端，连接省市县3级广播电视行政部门。系统建成后，将有效提高全省广播电视安全播出管理和应急调度工作效能，更好的适应从管脚下向服务监管社会广播电视相关行业转变。指挥调度系统包括信息处理系统和可视调度系统两个部分。信息处理系统具备通知公告传达、文件信息交换、重保期情况上报和临时停播请示备案等功能，可视调度系统具备远程可视调度、远程应急演练、网络视频会议等功能。下面分别详述两个系统业务功能和技术优势。

1信息处理系统

信息处理系统采用B/S（浏览器/服务器）架构，各单位只需在浏览器上登录网站，输入用户名和密码即可使用该系统业务功能，业务功能包括首页、日常业务、安播资源、重要保障、全情查看五大业务版块，系统架构如图1所示，具体业务功能和应用特点如下。

1.1业务功能

1.1.1首页首页用来展示安全播出相关通知、公告等，包括新闻、重要通知、公告、学习资料和行业通报5个子版块。新闻子版块展示国家、省内重要会议和重大活动有关新闻。重要通知子版块展示国家广电总局、省广电局安全播出工作重要通知。公告子版块展示信息处理系统用户使用手册和常用配套软件。学习资料子版块展示安全播出规章制度和业务培训资料。行业通报子版块展示全省近期安全播出情况通报。

1.1.2日常业务（1）收发文收发文用于系统内各单位之间收发邮件，包括写邮件、收件箱、已发送、草稿箱、已删除5个模块。写邮件模块可编写正文、加载附件、选收件人后发送邮件。收件箱模块存放已收邮件。已发送模块存放已发邮件。草稿箱模块存放尚未完成的邮件。已删除模块存放收件箱、已发送、草稿箱模块中删除的邮件，亦可彻底删除上述邮件。收件箱、已发送、草稿箱、已删除模块均可通过标题、发件人、正文等关键字搜索相应邮件。（2）操作备案操作备案主页面展示本单位权限内可查看的操作备案信息，可根据需要搜索相应操作备案信息。操作备案填报页面设置操作单位、开始结束时间、操作内容、影响频率频道、措施等字段。备案单位按规定填完后提交备案，上级单位查看到下级单位提交的操作备案信息后，在系统内进行批准、转呈或退回操作，下级单位按照上级单位的处理结果开展相应的停播检修工作。（3）事件事故事件事故主界面展示本单位权限内可查看的安全播出事件事故，可根据需要搜索相应事件事故信息。事件事故填报页面设置事件事故单位、台站类型、发生日期、停播时长、影响节目、故障环节、事件事故起因、事件事故性质等字段。填报单位按规定填完事件事故信息后保存，该条事件事故即保存在系统内，上级单位可审核、修正下级单位事件事故信息。

1.1.3安播资源（1）组织机构库组织机构库以树状结构的形式展示广播电视单位基本信息和单位详细信息。单位基本信息包括单位名称、级别、类型、业务、地址等字段，单位详细信息包括内设部门信息，直属单位信息和人员信息三个部分。内设部门信息包括部门名称、电话、传真、职能等字段，直属单位信息与单位基本信息字段相同，人员信息包括姓名、职务、座机、手机等字段。各单位可登录查看、修改本单位或者所辖单位的组织机构信息。（2）台站资源库台站信息库以树状结构的形式展示广播电视单位系统和设备信息，包括自查表管理、系统管理、设备管理和节目管理四个部分。在自查表管理版块，各单位可填写自查表，协助本单位做好安播自查相关工作。在系统管理版块，各单位可新建、编辑本单位技术系统相关信息。新建完成技术系统后，各单位可在设备管理版块为技术系统添加系统组成设备并填写相关信息，在节目管理版块为技术系统添加播出节目相关信息。（3）频道资源库频道资源库展示全省频道资源信息，包括频道名称、所属地区、频道类型、频道级别等字段，各单位可通过上述字段查询需要的频道信息。同时频道资源库作为基础数据库，还为事件事故、操作备案的填报提供数据支撑。

1.1.4重要保障重要保障主页面展示重要保障期信息，各单位可输入关键字搜索相应的重要保障期信息。管理员负责新建重保期，包括重保期名称、开始时间、结束时间、保障内容，以及零报告名称、日期、上报时间、重点保障时段等字段。各单位应每日填写上报重保期情况（零报告），上级单位可查看下级单位上报的零报告。

1.1.5全情查看全情查看展示全省地图，可以按照系统内外、单位类别、单位级别、单位类型、专业类型等字段，在地图上搜索需要查找的单位。能够正确查找到目标单位的前提是，该单位组织机构库地址信息中的经纬度坐标填写正确。

1.2技术优势

信息处理系统采用云服务，服务器部署在云端，免除设备物理维护，设置防火墙，全面保障服务器网络安全和业务运行安全。建立收发文业务模块，要求安全播出业务文件使用该模块进行文件交换，有效提高安播文件交换效率、准确性和安全性。建立操作备案业务模块，要求临时停播备案材料使用该模块填报和流转，切实提高备案工作的规范性，有效节省纸张、油墨和传真通讯线路等资源。建立安播资源库，可及时查询辖区内机构、人员、技术系统、设施设备以及节目等各类安播资源，为安全播出调度指挥和应急处置工作提供信息支撑。建立重要保障版块，要求重保期零报告使用该版块填报，极大地提高零报告报送接收效率，有效节省电话线路资源。

2可视调度系统

2.1业务功能

2.1.1硬件配置和组会能力终端设备部署在省、市、县三级广播电视行政机构，分别设置为一级、二级和三级会场。一级会场配置高清摄像机、全向麦克风、高清视讯终端和2台显示设备，具备150方会议组织能力；二级会场配置一体化视频会议终端和1台显示设备，具备视音频编解码、麦克风和摄像机功能，具备25方会议组织能力，也可参加会议；三级会场配置已安装视频会议软终端的计算机，计算机上内置摄像头、麦克风和扬声器，只能参加会议。

2.1.2会议管理功能具备会议组织能力的终端设备可发起会议并可使用会控平板或微信小程序管理会议，会议管理具体功能如下：（1）会议发起后，为保障会场音效环境，可将全体参会单位静音，有可自行解除和不可自行解除2种设置以供选择。会议进行中，为使需要对话的会场能够互相听到声音，可解除相应会场的声音禁止。（2）可使用焦点功能，将主会场锁定在主画面上，也可使用会场轮巡功能，顺序查看所有会场情况。（3）会议开始前或会议间隙，为保障主会场私密性，可将全向麦静音，将摄像头关闭。（4）在应参会单位已全部入会后，可锁定会议，避免无关单位获取会议号码和密码后进入会议。若无关单位已进入会议，也可将其从会议中移除。（5）为保障主讲人顺利讲解演示PPT，可关闭共享，避免参会人员误用共享功能，将本机屏幕投入主画面。

2.1.3软终端功能可与其他会场进行视音频交流；可管理本机摄像头和麦克风开启、关闭状态；可将PPT、屏幕共享至会议主画面，供会议使用；可与其他计算机进行文字交流。

2.2技术优势

2.2.1视音频处理视频方面，系统采用带宽自适应机制、视频多码率支持、视频图像平滑处理等算法，保证视频流畅、清晰。音频方面，系统采用回音消除、自动增益、背景降躁、静音检测等算法，保证音频流畅、清晰。此外，在带宽/网络质量下降时，系统自动优先保证语音通信，确保会议的连续性。

2.2.2终端支持支持视讯终端、计算机、平板电脑、手机等不同类型、不同操作系统终端设备，在不同场景接入网络视频会议，参会方式灵活便捷，移动性强。

2.2.3系统安全（1）架构安全：系统采用多点云中心搭配分布式低延时路由器的方式向参会方提供实时的视频、音频及数据通信服务。若正在服务的云中心失效，可在极短时间内自动切换到其他云中心，保证服务的有效性和连续性。（2）通信安全：系统对客户端与路由器之间的会话加密后，建立可靠、安全的专属通信链路。参会方通过专属链接接入通信网络，其通信被严格控制在专属通信链路中，无关人员无法获取链路中的信息。同时，会议进行中的会话数据为临时数据，云平台不存储任何会话数据。会议结束后，会话数据即从系统中消除。（3）平台安全：可视调度系统采用的云视频系统所在的云平台为信息安全等级保护第3级系统，已在公安机关取得备案证明，并通过了相应的信息安全等级保护测评。

第8篇：网络安全等级测评报告范文

近几年，信息泄漏事件频发，数据安全将迎来巨大的挑战，尤其是涉及师生个人隐私的数据及涉密数据应进行重点保护。数据平台是高校日常信息管理的重要阵地，为高校的正常工作提供有力的数据支撑，保障信息数据的安全，提高系统的稳定性，为学校师生提供来源可靠、准确无误的基础数据，避免或减少数据损坏、丢失是高校信息安全工作的头等大事儿。

1 利用数据平台管理信息是高校发展的必然趋势

高校数据的采集、录入、存储、提取工作较为频繁，将数据信息上传至数据平台，方便信息的整合共享、反复交叉利用，将大量结构复杂、类型各异的数据汇集在一起，为高校的数据汇总、统计分析、信息共享、发展规划提供了准确详实的数据基础，促进高校信息管理的数字化，为建设智慧校园打开方便之门。归纳分析数据平台信息管理的优势有以下几点：

1）信息数据的上传、查询、检索、管理等操作不限时间、地点。

只要能上网信息数据就可以上传收集到数据平台，支持电脑、手机、ipad等各种终端设备随时随地查询、检索数据信息，校内可以通过学校内部网络，校外可以通过VPN等方式访问获取数据。

2）为统计分析提供了数据支持

高校通过大数据的统计分析可以有针对性的调整招生计划、专业设置、就业方向，不断完善办学理念，开拓办学思路，为学校的前途发展、决策制定、人才需求分析提供了数据支持。

3）推动高校数字化的进程

高校数字化是智慧校园建设的前提，推动高校云服务、网络教学、慕课等教学形式的发展，提高学校的教学水平，为学校进一步发展网络教学提供了技术支持。高校数字化对社会发展起到引领作用，促进地方经济建设，提高地方数字化水平。

4）提升高校信息管理和服务水平

借助数据平台实现数据共享，多部门共享数据信息，提高信息管理的效率，使学校的管理和服务水平又上新台阶。由此可见，通过数据平台进行信息管理是大势所趋，而数据平台的安全保障工作成了重中之重。

2 数据平台信息的安全问题及防范措施

2.1 物理环境安全

物理环境安全主要指数据机房的温度、湿度等物理环境以及静电、磁场干扰等因素的影响，高职院校数据中心应按照相应的安全等级建设，中央机房的建设应考虑将来在发展过程中可能遇到的问题。

2.2 硬软件环境安全

硬件安全是指数据中心设备的安全，包括服务器、存储、网络设备等，中央机房的硬件维护应有专人负责，定期查看硬件运行是否稳定，是否有过热、风扇故障或其他问题出现，对硬件进行必要的维护是保证学校工作正常进行的前提。

软件安全是指服务器中各软件及组件的正常使用，利用虚拟化软件合理配置服务器资源，对存储系统、灾备系统及网络设备等进行有机整合，通过对web环境配置、服务器环境搭建、防火墙、常用组件、数据库等系统的调试运行，满足用户数据上传、存储、检索、提取、共享等各项日常工作需要。

2.3 常见的信息安全问题

2.3.1 病毒攻击、黑客入侵问题

高级可持续性威胁（APT）通过网络漏洞入侵、分布式拒绝服务（DDoS）、Phishing、Botnet、木马、恶意代码等网络攻击。一些不怀好意的黑客入侵计算机系统，窃取或是篡改用户的个人信息和重要数据，给用户带来严重危害[1]。我们应定期扫描系统安全漏洞，安装服务器补丁并定时更新防火墙病毒库，提高系统的防御能力。

2.3.2 数据信息的完整性保护

通过终端审计、身份认证、分级管理、行为追踪等措施，确保数据信息的完整性、真实性、一致性，保护数据信息的可控性及可用性。

2.3.3 数据信息泄漏

近年来，数据信息泄漏事件呈上升趋势，个人隐私泄漏、盗取敏感数据等事件频发，通过数据加密技术、信息访问权限的控制、安全审计等措施防止数据泄漏。

2.3.4 数据中心抗风险能力有待提高

数据平台的稳定性是由系统自的完备程度决定的，系统容灾、冗余备份工作不够完善，对风险的认识不够充分，出现问题的时候就会造成较大范围的损失，提高风险意识，加强系统管理，提升数据平台的抗风险能力。

3 安全管理策略

3.1 数据安全策略

数据可以通过加密来保证数据的安全性，有必要也可以采用动态加密技术。为保障数据传输安全，从外网访问高校数据平台信息，可以通过VPN、PPTP等方式访问。

3.2 日志管理策略

服务器、防火墙及网络软件在运行过程中都会产生日志，用来记录自身运行情况、相关事件的发生时间及有价值的信息，加强日志的记录管理，通过收集、存储、汇总、分析等方法及时发现操作系统及网络的异常，利用日志监控系统、审计行为、分析原因并生成调查报告。

3.3 权限设置策略

根据管理级别，设置管理权限，高级权限有?L问、下载、管理数据权限，低级权限仅可以查看及部分操作与自己工作相关的信息。对于已提交审核确认后的内容仅有访问权，没有修改权，如学生成绩管理，教师在规定时间上传完学生的期末成绩之后，就只能查看成绩而不能修改，而学生只有查看权限。

3.4 密钥管理策略

密钥可与权限同步设置，通过密钥管理一方面可以识辨人员身份，另一方面可以实行上网人员的权限控制，防止非法人员访问系统。

3.5 行为管理策略

信息管理人员的行为从认证开始，辨识身份，监控行为，发现有病毒、木马、恶意程序等或涉及信息安全行为的账号要果断采取有效措施，并追踪来源，查找原因，避免此类事件再次发生。

4 信息安全保障体系建设

4.1 病毒防治

病毒入侵会导致数据信息被?阂獯鄹摹⑺鸹怠⒍?失，病毒的扩散传播会造成系统大面积瘫痪，对软硬件环境安全构成威胁。我们不但要提高防毒意识，还要加强防控技术水平。

4.1.1 提高系统的防护能力

检测系统漏洞，及时安装漏洞补丁，扫描病毒及木马，通过入侵检测防御系统（IDS）进行主动的安全防护，加强防御与入侵检测工作，提高系统的健壮程度，增强系统稳定性。

4.1.2 防止网络攻击及黑客入侵

通过防火墙阻断外部病毒的入侵，防火墙可根据实际需要采取不同技术，如过滤型防火墙、型防火墙，同时提高校园内网使用者的安全意识，防范来自内部的攻击，避免病毒通过内网上传平台。

网络安全不仅需要技术上的进步，同时需要通过规范制度、人员培训、责任落实等手段齐抓共管。

4.2 规章制度建设

建立健全完善的数据机房管理制度，责任落实到人头，定期对系统进行漏洞查找，安装系统补丁、更新病毒库。为避免人为因素的影响，对工作人员进行定期培训及安全教育，对上网人员进行实名身份认证管理，并进行行为跟踪。建立上网账号数据库，禁止非法访问，保证数据信息的安全。

4.3 安全管理体系建设

相关管理部门制定安全策略和管理制度，认真做好安全管理组织工作，加强工作人员的安全管理，提高信息管理人员的安全责任意识，经常进行信息安全管理的业务培训，提高安全管理的执行能力。

4.4 安全技术体系建设

通过识别用户身份、访问权限、行为控制等策略营造安全的平台信息环境，过滤网络信息，打造安全的区域边界。为防止网络入侵、非法访问、恶意代码攻击等行为，采取漏洞扫描、安全检测、物理隔离、升级防火墙等技术，支持系统安全测评、风险测评体系，防范信息篡改、假冒等事件发生。

4.5 数据安全体系建设

在保证供电的基础上，高校数据中心可采用一用二备或三备的配置，并对重要数据定期备份。在容灾备份技术的选择上可以根据实际采用双归属技术或IuFlex技术，如1+1主备或互备，有条件的也可以采用N+1主备或互备。一旦出现问题，数据备份可以减少处理问题的时间，及时解决问题并降损。

4.6 运行维护体系建设

信息的安全维护体系建设是系统安全稳定运行的有力保障，控制访问、鉴别认证、监控数据、安全管理、系统配置等大量工作提前做好，才能使信息资源规避风险，减少损失，定期安装补丁，检查接口安全，利用数据加密技术应对黑客窃取数据或各种攻击性行为。

4.7 应急处理方案

准备切实可行的应急处理预案，确保出现问题时第一时间做出反应，减少损失，尽快处理出现的问题。备服的安全管理也应同步进行，数据热备份，做好应急预案，防止出现问题时忙中出错。

第9篇：网络安全等级测评报告范文

随着近年来信息安全话题的持续热议，越来越多的企业管理人员开始关注这一领域，针对黑客入侵、数据泄密、系统监控、信息管理等问题陆续采取了一系列措施，开始构筑企业的信息安全防护屏障。然而在给企业做咨询项目的时候，还是经常会听到这样的话：

“我们已经部署了防火墙、入侵检测设备防范外部黑客入侵，采购了专用的数据防泄密软件进行内部信息资源管理，为什么还是会出现企业敏感信息外泄的问题？”

“我们的IT运营部门建立了系统的运行管理和安全监管制度和体系，为什么却迟迟难以落实？各业务部门都大力抵制相关制度和技术措施的应用推广。”

“我们已经在咨询公司的协助下建立了ISMS体系，投入了专门的人力进行安全管理和控制，并且通过了企业信息安全管理体系的认证和审核，一开始的确获得了显著的成效，但为什么经过一年的运行后，却发现各类安全事件有增无减？”

这些问题的出现往往是由于管理人员采取了“头痛医头，脚痛医脚”的安全解决方案，自然顾此失彼，难以形成有效的安全防护能力。上述的三个案例，案例一中企业发生过敏感信息外泄事件，于是采购了专用的数据防泄密软件，却并未制定相关的信息管理制度和进行员工保密意识培训，结果只能是防外不防内，还会给员工的正常工作带来诸多不便；案例二中企业管理者认识到安全管理的重要性，要求相关部门编制了大量的管理制度和规范，然而缺乏调研分析和联系业务的落地措施，不切实际的管理制度最终因为业务部门的排斥而束之高阁；案例三中ISMS的建立有效地规范了公司原有的技术保障体系，然而认证通过后随着业务发展却并未进行必要的改进和优化，随着时间的推移管理体系与实际工作脱节日益严重，各类安全隐患再次出现也就不足为奇。

其实，企业面临的各种安全威胁和隐患，与人体所面临的各种疾病有诸多类似之处，我们常说西医治标不治本，指的就是采取分片分析的发现问题―分析问题―解决问题的思路处理安全威胁，通过技术手段的积累虽然可以解决很多问题，但总会产生疲于应付的状况，难以形成有效的安全保障体系；类比于中医理论将人体看为一个互相联系的整体，信息安全管理体系的建立正是通过全面的调研分析，充分发现企业面临的各种问题和隐患，紧密联系业务工作和安全保障需要，形成系统的解决方案，通过动态的维护机制形成完善的防护体系。

总体来说，信息安全管理体系是企业在整体或特定范围内建立信息安全方针和目标，以及完成这些目标所用方法的体系。它是基于业务风险方法，来建立、实施、运行、监视、评审、保持和改进企业的信息安全系统，目的是保障企业的信息安全。它是直接管理活动的结果，表示成方针、原则、目标、方法、过程、核查表（Checklists）等要素的集合，涉及到人、程序和信息系统。

针对ISMS的建立，我们可以从中医“望闻问切对症下药治病于未病”的三个角度来进行分析和讨论：

第一，“望闻问切”，全面的业务、资产和风险评估是ISMS建设的基础；

第二，“对症下药”，可落实、可操作、可验证的管理体系是ISMS建设的核心；

第三，“治病于未病”，持续跟踪，不断完善的思想是ISMS持续有效的保障。

望闻问切

为了完成ISMS建设，就必然需要对企业当前信息资源现状进行系统的调研和分析，为企业的健康把把脉，毕竟我们需要在企业现有的信息条件下进行ISMS建设。

首先，自然是对企业现有资源的梳理，重点可以从以下几个方面入手：

1.业务主体（设备、人员、软件等）。

业务主体是最直观、最直接的信息系统资源，比如多少台服务器、多少台网络设备，都属于业务主体的范畴，按照业务主体本身的价值进行一个估值，也是进行整个信息系统资源价值评估的基础评估。由于信息技术日新月异的变化，最好的主体未必服务于最核心的信息系统，同时价值最昂贵的设备未必最后对企业的价值也最大。在建立体系的过程中，对业务设备的盘点和清理是很重要的，也是进行基础业务架构优化的一个重要数据。

2.业务数据（服务等）。

业务数据是现在企业信息化负责人逐步关注的方面，之前我们只关注设备的安全，网络的良好工作状态，往往忽略了数据对业务和企业的重要性。现在，核心的业务数据真正成为信息工作人员最关心的信息资产，业务数据存在于具体设备的载体之上，很多还需要软件容器，所以，单纯地看业务数据意义也不大，保证业务数据，必须保证其运行的平台和容器都是正常的，所以，业务数据也是我们重点分析的方面之一。

3.业务流程。

企业所有的信息资源都是通过业务流程实现其价值的，如果没有业务流程，所有的设备和数据就只是一堆废铜烂铁。所以，对业务流程的了解和分析也是很重要的一个方面。

以上三个方面是企业信息资源的三个核心方面，孤立地看待任何一个方面都是毫无意义的。

其次，当我们对企业的当前信息资产进行分析以后需要对其价值进行评估。

评估的过程就是对当前的信息资产进行量化的数据分析，进行安全赋值，我们将信息资产的安全等级划分为 5 级，数值越大，安全性要求越高，5 级的信息资产定义非常重要，如果遭到破坏可以给企业的业务造成非常严重的损失。1 级的信息资产定义为不重要，其被损害不会对企业造成过大影响，甚至可以忽略不计。对信息资产的评估在自身价值、信息类别、保密性要求、完整性要求、可用性要求和法规合同符合性要求等 5 个方面进行评估赋值，最后信息资产的赋值取 5 个属性里面的最大值。

这里需要提出的是，这里不仅仅应该给硬件、软件、数据赋值，业务流程作为核心的信息资源也必须赋值，而且几个基本要素之间的安全值是相互叠加的，比如需要运行核心流程的交换机的赋值，是要高于需要运行核心流程的交换机的赋值的。很多企业由于历史原因，运行核心业务流程的往往是比较老的设备，在随后的分析可以看得出来，由于其年代的影响，造成资产的风险增加，也是需要重点注意的一点。

最后，对企业当前信息资产的风险评估。

风险评估是 ISMS 建立过程中非常重要的一个方面，我们对信息资产赋值的目的就是为了计算风险值，从而我们可以看出整个信息系统中风险最大的部分在哪里。对于风险值的计算有个简单的参考公式：风险值 = 资产登记 + 威胁性赋值 + 脆弱性赋值（特定行业也有针对性的经验公式）。

ISMS 建设的最终目标是将整个信息系统的风险值控制在一定范围之内。

对症下药

经过上阶段的调研和分析，我们对企业面临的安全威胁和隐患有一个全面的认识，本阶段的ISMS建设重点根据需求完成“对症下药”的工作：

首先，是企业信息安全管理体系的设计和规划。

在风险评估的基础上探讨企业信息安全管理体系的设计和规划，根据企业自身的基础和条件建立ISMS，使其能够符合企业自身的要求，也可以在企业本身的环境中进行实施。管理体系的规范针对不同企业一定要具体化，要和企业自身具体工作相结合，一旦缺乏结合性ISMS就会是孤立的，对企业的发展意义也就不大了。我们一般建议规范应至少包含三层架构，见图1。

图1 信息安全管理体系

一级文件通过纲领性的安全方针和策略文件描述企业信息安全管理的目标、原则、要求和主要措施等顶层设计；二级文件主要涉及业务工作、工程管理、系统维护工作中具体的操作规范和流程要求，并提供模块化的任务细分，将其细化为包括“任务输入”、“任务活动”、“任务实施指南”和“任务输出”等细则，便于操作人员根据规范进行实施和管理人员根据规范进行工作审核；三级文件则主要提供各项工作和操作所使用的表单和模板，以便各级工作人员参考使用。

同时，无论是制定新的信息管理规章制度还是进行设备的更换，都要量力而行，依据自己实际的情况来完成。例如，很多公司按照标准设立了由企业高级领导担任组长的信息安全领导小组和由信息化管理部门、后勤安全部门和审计部门组成的信息安全办公室，具体负责企业的信息安全管理工作，在各级信息化技术部门均设置系统管理员、安全管理员、安全审计员，从管理结构设计上保证人员权限互相监督和制约。但是事实上繁多的职能部门和人员不仅未能提升企业信息系统安全性，反而降低了整个信息系统的工作效率。

其次，是企业信息安全管理体系的实施和验证

实施过程是最复杂的，实施之后需要进行验证。实施是根据 ISMS 的设计和体系规划来做的，是个全面的信息系统的改进工作，不是单独的设备更新，也不是单独的管理规范的，需要企业从上至下，全面地遵照执行，要和现有系统有效融合。

这里的现有系统既包含了现有的业务系统，也包含了现有的管理体制。毕竟ISMS是从国外传入的思路和规范，虽然切合国人中医理论的整体思维方式，但在国内水土不服是正常的，主要表现就在于是否符合企业本身的利益，是否能够和企业本身的业务、管理融合起来。往往最难改变的还是企业管理者的固有思维，要充分理解到进行信息安全管理体系的建设是一个为企业长久发展必须进行的工程。

到目前为止，和企业本身业务融合并没有完美的解决方案，需要企业领导组织本身、信息系统技术人员、业务人员和负责 ISMS 实施的工程人员一同讨论决定适合企业自身的实施方案

最后，是企业信息安全管理体系的认证和审核

针对我们周围很多重认证，轻实施的思想，这里有必要谈一下这个问题，认证仅代表认证过程中的信息体系是符合 ISO27000（或者其他国家标准）的规范要求，而不是说企业通过认证就是一个在信息安全管理体系下工作的信息系统了。更重要的是贯彻实施整个体系的管理方式和管理方法。只有安全的思想深入人心了，管理制度才能做到“不只是挂在墙上的一张纸，放在抽屉里的一本书”。

“治病于未病”

企业信息安全管理体系需要动态改进和和优化，毕竟企业和信息系统是不断发展和变化的，ISMS 是建立在企业和信息系统基础之上的，也需要有针对性地发展和变化，道高一尺魔高一丈，必须通过各种方法，进行不断地改进和完善，才有可能保证ISMS 系统的持续作用。

就像我们前面案例中提到的某公司一样，缺乏了持续改进和跟踪完善的手段，经过测评的管理体系仅仅一年之后就失去了大部分作用。对于这些企业及未来即将建立ISMS的企业，为了持续运转ISMS，我们认为可以主要从以下三个方面着手：

第一，人员。

人员对于企业来讲是至关重要且必不可缺的，在ISMS建立过程中，选择合适的人员参与体系建立是ISMS建立成功的要素之一。在持续运转过程中，人员都应该投入多少呢？通常在体系建立过程中，我们会建议所有体系管理范围内的部门各自给出一名信息安全代表作为安全专员配合体系建立实施，且此名专员日后要持续保留，负责维护各自部门的信息资产、安全事件跟踪汇报、配合内审与外审、安全相关记录收集维护等信息安全相关工作。

但很多事情是一种企业文化的培养，需要更多的人员甚至全员参与，例如面向全员的定期信息安全意识培训，面向专业人员的信息安全技术培训等，因此对于企业来讲，除了必要的体系维护人员，在ISMS持续运转过程中，若能将企业内的每名员工都纳入到信息安全管理范围内，培养出“信息安全，人人有责”的企业氛围，则会为企业带大巨大的潜在收益。且有些企业在面向自身员工展开信息安全各项活动的同时，还会纳入客户、合作伙伴、供应商等需要外界相关人员的参与，对外也树立起自身对重视信息安全的形象，大力降低外界给企业带来的风险。

第二，体系。

ISMS自身的持续维护，往往是企业建立后容易被忽视的内容，一套信息安全管理文档并不是在日益变化的企业中一直适用的，对于信息资产清单、风险清单、体系中的管理制度流程等文档每年至少需要进行一次正式的评审回顾，这项活动由于也是在相关标准中明确指出的，企业通常不会忽略；但日常对于这些文档记录的更新也是必不可少的，尤其是重要资产发生重大变更，组织业务、部门发生重大调整时，都最好对ISMS进行重新的评审，必要时重新进行风险评估，有助于发现新出现的重大风险，并且可以将资源合理调配，将有限的资源使用到企业信息安全的“短板”位置。

唯一不变的就是变化，企业每天所面临的风险同样也不是一成不变的，在更新维护信息资产清单的同时，对风险清单的回顾也是不可疏忽的，而这点往往是很多信息安全专员容易忽视的内容。持续的维护才能保证ISMS的运转，有效控制企业所面临的各种风险。

第三，工具。

工具往往是企业在建立ISMS过程中投入大量资金的方面，工具其实是很大的一个泛指，例如网络安全设备、备份所需设备、防病毒软件、正版软件、监控审计等各类工具，即使没有实施ISMS，企业在工具方面的投入也是必不可少的，但往往缺乏整体的规划及与业务的结合，经常会出现如何将几种类似工具充分利用，如何在各工具间建立接口，使数据流通共用，哪些工具应该替换更新，数据如何迁移，甚至出现新购买的工具无人使用或无法满足业务需求等问题，导致资金资源的浪费，因此在持续运转ISMS过程中，根据风险评估报告，及信息安全专员反映的各部门业务需求各种信息数据的收集，应对工具进行统一规划，尽量减少资源的浪费。