信息安全服务体系精选(九篇)

前言：一篇好文章的诞生，需要你不断地搜集资料、整理思路，本站小编为你收集了丰富的信息安全服务体系主题范文，仅供参考，欢迎阅读并收藏。

第1篇：信息安全服务体系范文

关键词： 档案信息服务 隐私权 网络化

档案信息是一种重要的原始信息，也是记录隐私的重要载体，同时，作为历史的记录，档案中的许多内容涉及个人隐私，因此，档案工作和隐私权保护有着必然的联系。蓬勃发展起来的网络环境在改变档案信息收集、整理、贮存、传递、利用的传统模式的同时，也使隐私权保护呈现出新的特点。网络本身的安全性并不十分可靠，这是档案信息网络化服务进程中一个极为重要的问题，由于技术的不完善，第三方（如“黑客”等）对当事人隐私权的侵犯既可以发生在档案馆与用户通过网络传送个人资料或不同的档案网站之间共享个人资料的某个环节，又可以发生在档案网站贮存个人资料的过程中。这就从客观上推动了我们对档案信息（网络化）服务中的隐私权保护问题的探讨。

一、档案信息服务中涉及的隐私权问题分析

在档案信息服务中保护隐私权的意义不仅在于维护当事人的合法权益，而且在于为档案事业的发展营造良好的社会氛围，推动档案信息化进程，促进档案社会价值的实现。

（一）个人资料收集中的隐私权问题

档案是一种重要的原始信息，具有保密性，包括公民的一些重要的个人信息，大多数鲜为人知。虽然档案法对保密档案的管理和利用、密级的变更和解密都做了严格的规定，同时制定了档案的开放期限，但其法律相对方主要是机关、团体、企事业单位，对于个人重要档案信息没有给予明确的说明。事实上，在档案所有人向档案馆移交、捐赠、寄存或档案馆自行收集关于公民的档案之初，就应妥善处理好隐私权问题。

隐私权保护问题在传统的个人资料收集过程中并不太引人注目，但在网络化的今天，档案馆通过网络收集个人资料变得快捷化、自动化、详细化，隐私权问题相对更加突出。比如，档案网站在接受访问时往往要求用户提供若干个人资料，包括年龄、性别、身份证号、职业、收入、工作单位、研究方向、联系电话、传真、电子信箱等；档案网站可以利用一些追踪软件来持续掌握用户的网上行为，判断他们的档案信息消费特点。

档案网站采用先进的技术手段收集个人资料并非出于恶意，目的是通过对个人资料的分析与挖掘，找出可能连用户自己都没有意识到的档案信息消费习惯或消费需求，改进服务工作，这是网络环境中档案信息服务和信息产品开发“量身定制”的个性化、多样化的要求。但是，档案网站在用户毫不知情或无可奈何的情况下（例如有的网站拒绝为不提供个人资料的用户服务）收集个人资料，就是侵犯用户对其个人资料的占有权和支配权。

（二）个人资料传输和贮存中的隐私权问题

档案信息传输和贮存过程中所涉及的隐私权问题，主要出现在档案信息网络化过程中。

网络本身的安全性并不十分可靠，这是档案信息网络化服务中可能产生隐私权问题的又一个原因。由于技术的不完善，第三方（如“黑客”等）对当事人隐私权的侵犯既可以发生在档案馆与用户通过网络传送个人资料或不同的档案网站之间共享个人资料的某个环节，又可以发生在档案网站贮存个人资料的过程中。比如，第三方可以直接侵入档案网站的用户数据库，观看、篡改、传播个人资料，如果这种行为是出于恶意，那么当事人的隐私权无疑将受到极大的威胁。

（三）个人资料利用中的隐私权问题

不恰当地利用个人资料是档案信息服务中可能产生隐私权问题的第三个原因。

档案利用与隐私权保护之间存在着矛盾，档案利用必然涉及公民的隐私权保护问题。如果涉及隐私的档案被自由利用，就可能导致政治与经济活动的混乱，使社会公民产生生活危机感，给社会的安宁团结带来不利因素。因此，如何认识和正确处理好档案利用与保护公民隐私权问题，是档案利用工作在改革开放过程中的一个重要课题。因为这种侵权涉及档案馆的管理职能及档案馆对个人资料的常规使用，所以控制和防止此种侵权的困难较大。比如，档案馆将用户为了特定的目的提供的个人资料出于业务需要用于未经授权的另一目的上，包括但不限于向别的档案馆提供该资料，且未限制该档案馆对个人资料的合理使用——虽然这种利用个人资料的方法对用户的合法权益并无损害。

由于各种原因，目前在档案开放利用工作中公民的隐私权得不到应得的保护甚至被人们所忽视，这无疑给档案信息服务工作带来了一定隐患。在目前我国隐私权的观念尚未深入人心，人们在普遍缺乏隐私权保护意识的情况下，档案部门在开放利用中忽视隐私权保护的行为还能被社会所容忍，但伴随着我国法制化建设的进程，公民隐私权意识的增强，档案部门在实际工作中如不能很好地贯彻法律的规定，忽视对公民隐私权的保护，就会在很大程度上影响档案信息服务工作的开展。

二、档案信息服务中保护隐私权的对策

要使得公民的隐私权在档案信息服务过程中得到保护，就必须走依法治档的道路，进行相关方面的档案法律建设。目前我国《档案法》中没有明确规定档案信息所涉及的隐私权问题，仅在部分条款中有类似说明。

在档案信息服务过程中，档案利用是涉及隐私权的一个关键环节，在利用时应区别对待，通过控制使用这些涉及私益的档案，限制其利用范围，使隐私权受到必要的保护，做到合法利用。

做好档案信息服务中的隐私权保护，档案界和档案馆还应采取以下对策。

（一）制定档案行业的隐私权保护政策

1997年9月27日，国家档案局、国家保密局联合颁发了《各级国家档案馆馆藏档案解密和划分控制使用范围的暂行规定》，该文件对于有效预防在档案开放利用工作中发生对个人隐私的侵权有非常重要的作用。各级各类档案部门以此项规定作为政策指导和保障，结合各自的实际馆藏状况，制定了相关的规章制度，教学效果显著。不仅如此，档案学会和档案馆还应制定本行业的网络隐私权保护政策，并在网站主页的显眼位置予以明示，内容包括：告知网站收集个人资料的目的、方式、范围；对个人资料提供保密和安全措施的承诺；告知用户的请求阅览权、补充修正权、删除权、诉讼权等相关免责条款。

档案法律在以后的完善健全过程中，要着重注意解决一个问题，即档案信息开放服务过程中公民隐私权与知情权的关系问题。在档案利用实践中，我们有时不得不在保护公民隐私权和维护公民知情权之间做出选择。档案部门所作出的选择要符合法律利益最大化原则。如当档案中的隐私涉及共同利益、公共需求、政治利益时，档案部门就要偏向于后者，因为它符合大多数人的需要，从长远来看，根本上也符合隐私权主体的利益。

（二）加强对个人档案隐私权的管理与技术保护

1.在档案管理中采取措施

这是合法利用档案信息的前提条件，要求对涉及公民隐私权的档案进行鉴定与区分，使之与一般档案区别对待，分开保管，实现有关档案的完整、安全和保密。目前，档案法规对涉及公民隐私权档案的划分并不十分明确，在实际工作中不易操作，这种状况亟待改善。

利用者在利用涉及隐私的档案时，只限于达到既定目的，当按规定获得对档案的利用权后，可对这些档案进行阅览、复制和摘录，但不得将其以现行档案法规中明令禁止的形式对外公布，不得擅自传阅、散布、发表这些涉及他人隐私的档案内容。档案工作者有必要在提供档案信息服务过程中向利用者说明有关注意事项。

2.网络化过程中的保护手段

相对于传统的纸质档案而言，在档案信息网络化过程中，可以采取的技术保护手段可谓多种多样。现在已经有了Cookies软件管理工具、个人隐私偏好平台（P3P）、加密软件、自动删除个人资料软件等由用户自己保护个人资料的技术。档案网站保护个人资料的技术也有很多种，比如：档案馆为了禁止未获授权的人截取或查阅个人资料，可以通过设置本网站运行的服务器，自动使电子邮件传输到一个预先指定的服务器目录机密邮箱，只供获得授权的人查阅。

（三）提高档案馆保护隐私权的自律性

“自律”是档案馆保护隐私权的一条重要原则，即通过档案馆采取自律措施来规范在个人资料收集、存贮、传输利用中的行为，达到保护隐私权的目的。

1.档案馆应开展档案开放利用的鉴定工作

组织鉴定小组及时鉴定需要开放利用的档案，着重分析档案涉及隐私的内容和本馆档案的类型，从而确定哪些档案涉及个人隐私，属于控制范围。对个人资料的重要程度划分等级，以决定采取不同的保护措施。档案馆还要建立一些规章制度，避免所有的档案馆人员都能接触到敏感的个人资料（如出身、种族、政治倾向、、犯罪记录等），确保只有经过批准的档案馆人员才能收集、查阅、传播这些个人资料。对于已到开放期的档案，要严格按照《各级国家档案馆开放档案办法》、《各级国家档案馆馆藏档案解密和划分控制使用范围的暂行规定》中的相关规定，对拟开放档案组织认真鉴定，以决定包含个人资料的档案的开放时间、开放方式和范围。

2.档案工作者要注意保护他人隐私

第2篇：信息安全服务体系范文

关键词：信息安全 空间信息 信息共享 社区信息化 福州市

一、引言

社区信息化是城市信息化的基石。保障信息安全，是让公众充分利用空间信息及网络技术对基层的公共事务和公益事业实行自我管理、自我服务、自我教育、自我监督的重要前提。本文结合福州市公众空间信息共享服务平台的建设情况，对信息安全保障问题进行初步探讨。

二、福州市公众空间信息服务共享平台的结构

福州市公众空间信息共享服务平台是福州市政府基于中国福州门户网站(政务外网)向公众提供空间信息的一站式服务平台，以数据服务的形式为社区提供需要的海量空间地理基础数据。公众不必关心空间地理基础数据的管理、维护、更新问题，保证了数据的现势性，节约了数据成本。不同权限的社区公众可以通过访问不同的地图服务达到访问不同数据图层的目的。社区公众经政府培训认证后,也可参与平台的建设，叠加标注所在社区的相关属性信息，以达到社区自治的目的。

福州市公众空间信息服务共享平台包括应用层、认证层、接口层、服务层、数据层和管理维护层等六个层次，相互形成一个有机的整体。

⒈应用层

应用层是各社区基于平台服务接口建立的社区应用服务展示系统,为社区公众使用各类空间数据及服务提供途径。从公众角度看，平台是一个信息服务机构，可以是一个传统意义上的桌面应用程序，也可以是Web应用程序或门户网站。此外，通过建立面向不同社区的元数据目录登记注册，可以实现各类共享空间信息的查找，将解决这些数据“如何发现”的问题。

⒉认证层

认证层是福州公众空间信息共享服务平台与政务专网的网络安全体系集成接口。利用PKI/CA证书等成熟安全技术，通过身份标识、授权控制，提供“统一认证管理”，实现“单点登录”。认证层的设计对于平台系统及其信息资源的安全保障非常必要，保证只有授权用户才可以访问和使用平台所提供的相关资源。

⒊接口层

接口层是提供给各类开发用户的Web API(网络应用程序接口)。信息服务、中介机构及社会公众可以使用这些API来和自己的业务应用进行集成，形成自己的业务空间信息应用系统，如商贸地理信息系统、三维旅游系统、现代物流系统、房产销售管理系统，等等；平台也可以使用这些API，来构建综合应用展示系统、多源数据桌面浏览器等系统，为平台使用者提供方便友好的接口。

⒋服务层

服务层是接口层的基础，接口层是服务层的对外表现，服务层实现诸如二维数据引擎、地址编码引擎、元数据引擎等，为接口层提供强大的后台实现支持，这二者合称为应用接口层。通过应用接口层，平成对各类空间地理基础信息资源的对外共享和，将解决空间信息资源“如何”的问题。

⒌数据层

数据层是整个平台的基础。平台的数据，从内容上是福州市空间地理基础信息数据，并将在平台运行后逐步扩大其覆盖面；从表现形式上是存储在于平台数据中心及其他多个行业部门数据中心的分布式数据库环境中。数据的完整性、实用性、精确性、动态更新能力等从根本上决定了平台的价值。根据不同的数据类型特点以及应用的需要，建立实用有效的数据采集、加工及处理流程与规范，通过对原始数据的加工整合，将解决数据“如何制作”的问题。

⒍管理维护层

管理维护层包括对平台数据的管理和应用及服务的管理，和上面五个层有着密切的联系，是整个平台正常运维的保证；有数据入库、更新维护、服务管理、运行监控、用户及权限管理等应用。对于社区公众的权限管理将分为三个级别，即功能权限控制(能使用哪些功能)、图层权限控制(能访问哪些图层)及区域范围权限控制(能访问什么范围)，系统管理员可以根据社区公众角色进行授权，控制其对共享平台的访问。

三、公众空间信息共享服务平台的安全保障体系设计

福州市公众空间信息共享服务平台安全保障体系就是要在中国福州门户网站（政务外网）和互联网环境下，以公众服务平台的安全需求和安全策略为依据，建立以系统可用性、完整性、机密性为目标的信息安全保障体系。建立服务平台安全保障体系是一项系统工程，它从安全策略、安全技术保障、安全组织、安全管理以及四个方面来系统考虑平台建设的安全保障。

⒈安全策略

安全策略主要从整体上提供全局性指导，为具体的安全措施和规定提供一个全局性的框架。公众空间信息共享服务平台是依托中国福州门户网站（政务外网）为互联网公众提供信息服务。根据电子政务系统业务特点和安全要求，按“分域防护、分级保护”的原则，要划分不同的安全域和业务保护安全等级，制定与之适应的安全防护措施和安全机制，通过集成相关的安全产品和安全服务，从物理安全、网络安全、系统安全、应用安全、安全管理等五个方面，构造多层防御的安全保障体系，以确保平台安全、高效、可靠运行。

⒉安全技术保障

⑴安全基础设施的建设

信息安全技术的设计必须满足平台建设的安全需求与安全策略。从技术保障体系结构上，是按照分层防护的原则来设计的。通常，把物理安全、网络安全和系统安全等安全措施统称为安全基础设施。安全基础设施的建设主要包括：安全管理维护系统、设备安全管理、边界访问控制系统、监控和检测系统、防病毒系统、主机加固和保护、容灾备份系统、远程安全接入（VPN）系统等。

安全网管和应用监控系统：实现对公众空间信息共享服务平台应用统一监控和预警，实现故障、事件统一管理。边界访问控制系统：根据各安全域具体的安全防护策略，实现各安全域的边界保护。在政务信息交换中心，政务外网和互联网直接使用防火墙设备，在政务外网和内网之间部署网闸设备。

监控检测系统：重点在于检测和修补安全漏洞，入侵行为。该系统包括脆弱性评估、入侵检测、web服务器防篡改等机制。

防病毒系统：防范病毒入侵和传播。

容灾备份系统：在服务平台信息中心对数据进行容灾和备份。

接入网VPN：在网络接入边界提供VPN接入服务。

⑵应用安全的建设

应用安全的建设是公众空间信息共享服务平台安全保障体系的重点建设内容，在建设过程中，必须考虑以下几个方面：

统一身份认证：通过跟福州市政务网建立统一接口，利用政务网已经建成的基于LDAP的统一身份认证系统、政务PKI/CA系统为共享服务平台提供统一的身份认证服务。

授权管理系统：提供授权管理服务，对服务访问用户、数据管理用户、空间信息资源共享平台用户及其权限进行统一管理。

数据安全：实现对机密文件进行加密、用访问控制列表限制数据的访问。建立关键数据的备份和恢复措施。

可信时间戳服务：公众空间信息共享服务平台上的应用都具有很强的时序性，可信时间戳服务将成为建立有效服务和监督机制的基石。

安全审计：安全审计对于应用系统安全事故的分析和取证具有重要的作用，已经成为信息系统安全的重要环节。⒊安全组织保障体系

电子政务信息安全的运作需要强有力的组织体系保障，使得有关信息安全管理和实施的政令通畅。通常，电子政务安全组织保障体系包括三个层次，即决策层、管理层和执行层。福州市政务信息中心负责制定全市公众空间信息共享服务平台建设规划、政策法规，负责平台的建设与管理工作。为了加强安全组织保障体系，必须进一步明确岗位安全职责，明确决策层、管理层和执行层三者的责任和权利，把安全措施落实到具体的岗位。

⒋安全管理流程控制

信息系统安全需要通过一系列科学规范的安全管理流程组织实施，安全管理流程明确了安全职责的划分，合理的人员角色定义，可以很大程度上降低安全隐患。因此，公众空间信息共享服务平台的建设、运行、维护、管理都要严格按制度执行，明确责任义务，规范操作，加强人员、设备的管理。

安全管理制度要通过安全管理流程来系统化实施，共享服务平台在建立自己的信息安全体系时，其安全管理流程应遵循著名的Plan―Do―Check―Action（PDCA），即“计划―实施―检查―措施”四个循环周期来实施。PDCA过程模式可简单描述如下：

计划：依照整个方针和目标，建立与控制风险、提高信息安全有关的安全方针、目标、指标、过程和程序。

实施：实施和运作方针（过程和程序）。

检查：依据方针、目标和实际经验测量，评估过程业绩，并向决策者报告结果。

措施：采取纠正和预防措施进一步提高过程业绩。

四个步骤成为一个闭环，通过这个环的不断运转，使信息安全管理体系得到持续改进，使信息安全绩效螺旋上升。

作者简介：

第3篇：信息安全服务体系范文

区域信息生态系统是一个具有多样性、复杂性的有机系统。近几年来，我国许多区域的信息污染、信息垄断、信息超载、信息孤岛、信息侵犯、网络安全等问题较为严重。加深对区域信息生态系统及服务体系的研究，有利于其保持良性运行，也有助于信息生产和消费之间的平衡，完善媒体信息资源公益性开发机制。

区域信息生态系统概念模型

区域信息生态系统是一个在某一地区信息生态循环中，由信息人、信息和信息环境三大要素及其内部各生态因子组成的动态而开放的系统。其中，信息人不仅包括参与信息活动的单个个体，也包括从事信息工作的政府、媒体机构、民间团体、行业协会、社区等，这是信息生态系统的核心。其参与信息活动是使生态系统维持“平衡失衡平衡”螺旋式上升的主导力量。信息主要指区域内所有的数据资源，也包括与之相关的区域外信息资源，其具有价值性、时效性、传递性、可处理性、服务性、共享性、增值性等特征。信息环境涵盖信息基础设施、信息资源、信息技术、信息政策与法规等，其中，信息技术是获取、传递、处理、存储、再生和利用信息的主导因子，包括计算机技术、网络技术、通信技术、感测技术、自动控制技术、数据库技术和多媒体技术，以及由这些技术分解出的其他相关技术。区域信息生态系统内部各生态因子之间相互联系、相互作用、相互依存、共生共进。在系统中，信息人、信息与信息环境之间存在着动态的相互适应过程，持续的动态适应过程维持着系统的有序平衡。

基于上述认知，本课题建立了区域信息生态系统的概念模型（如下页图1）。

在系统中，信息人是生态的主体，信息资源是生态的客体，信息环境不仅是生态的背景和场所，而且是所有与信息相互关联的外部因素之和。信息人从其所处的信息环境中获取与利用信息资源，又发挥自己的能动性通过实践活动改造信息环境，从而实现不断变化的目标。事实上，信息社会是以信息的收集、开发、传播、利用为主要特征的，信息作用的发挥必须借助于信息技术，同时也由于信息技术的进步促进信息生态系统的改善。信息人通过一定的信息技术与外界信息环境之间进行信息交换，构成了一个信息生态循环。

区域信息生态系统服务体系构建

本课题构建的区域信息生态系统服务体系框架，包括四大平台和两大体系（如图2）。

四大平台包括：1.数字政府。改革政府行政管理方式，建设统一的政务网络平台。通过网上审批、网上审计、网上、网上监督考核等多种信息技术手段，降低行政成本，提高行政效能，实现网上互动；建设完善一批重点业务下台，并将以传统载体保存的政务信息资源数字化、网络化。2.数字企业。以建设区域先进制造业基地为目标，加快信息化带动工业化，提升产业集群、企业及产品信息化水平，加强自主创新，掌握信息化核心技术，从而促进企业生产经营和管理方式变革。3.数字城市。围绕着如何提高城市综合管理能力和公共服务水平这个目标，完善城市信息基础设施建设，发展技术含量高、关联度大的现代服务行业，促进政府公共管理、社会公共服务和便民商业服务的融合。同时注重数字图书馆建设。4.数字新农村。为了增强服务“三农”的能力，在农村建立信息网络服务体系，加快现代农业信息技术应用，并积极开展农业信息技术培训服务，不断提高农民信息应用技能，切实加强农户、农村合作社与企业的联系，促进农产品的销售、深加工，提高农民收入。

两大体系包括：1.信息安全体系。在各级政府有关部门的统一领导下，根据国家有关信息安全的法律法规，建立起信息安全监管机制及其保障体系。有关人员要提高对电子政务、电子商务、信息资源开发利用、信息服务、信息市场、资源共享等方面的安全风险管控能力，强化等级保护和风险评估，使得信息安全管理更加科学有效。2.社会诚信体系。建立涉及社会诸多领域的信用信息记录、信用产品使用、守信受益及失信惩戒的信用制度，形成各部门协同推进、社会和企业广泛参与的诚信工作格局；诚信体系覆盖信用服务产业链各个环节，包括社会信用制度建设、信用服务体系建设、个人信用联合征信系统、企业联合征信系统和信用服务行业协会等。

第4篇：信息安全服务体系范文

本报讯 在日前召开的国务院常务会议上，国务院总理主持并研究部署推进信息化发展、保障信息安全工作。会议要求健全信息安全防护和管理，切实提高防攻击、防篡改、防病毒、防瘫痪、防窃密能力。

会议指出，当前，世界各国信息化快速发展，信息技术的研发和应用正在催生新的经济增长点，以互联网为代表的信息技术在全球范围内带来了日益广泛、深刻的影响。加快推进信息化建设，建立健全信息安全保障体系，对于调整经济结构，转变发展方式，保障和改善民生，维护国家安全，具有重大意义。今后一段时期，要以促进资源优化配置为着力点，构建现代信息技术产业体系，全面提高经济社会信息化发展水平；加强统筹协调和顶层设计，健全信息安全保障体系，切实增强信息安全保障能力，维护国家信息安全，促进经济平稳较快发展和社会和谐稳定。

会议还讨论通过《关于大力推进信息化发展和切实保障信息安全的若干意见》，确定了实施“宽带中国”工程；推动信息化和工业化深度融合；加快社会领域信息化；推进农业农村信息化；健全安全防护和管理；加快安全能力建设等六项重点工作。其中，对于“宽带中国”工程，《意见》要求加快信息网络宽带化升级，推进城镇光纤到户，实现行政村宽带普遍服务。加快部署下一代互联网，重点研发下一代互联网关键芯片、设备、软件和系统，推动产业化。加快推进电信网、广电网、互联网三网融合，培育壮大相关产业和市场；对于推动信息化和工业化深度融合，《意见》要求重点推动企业信息化水平全面提升，推广节能减排信息技术，增强信息产业核心竞争力，引导电子商务健康发展，推进服务业信息化；对于社会领域信息化，《意见》要求继续深化电子政务应用，加快电子政务服务向街道、社区和农村延伸，建设服务型政府。提高社会管理和城市运行信息化水平，加快推进教育、医疗、就业、社会保障和减灾救灾等民生领域信息化。发展先进网络文化；对于推进农业农村信息化，《意见》要求重点提高农业生产经营信息化水平，完善农业农村综合信息服务体系；对于健全安全防护和管理，《意见》要求重要信息系统和基础信息网络要与安全防护设施同步规划、同步建设、同步运行，强化技术防范，严格安全管理，切实提高防攻击、防篡改、防病毒、防瘫痪、防窃密能力。加强地理、人口、法人、统计等基础信息资源的保护和管理，强化企业、机构在网络经济活动中保护用户数据和国家基础数据的责任；对于加快安全能力建设，《意见》要求完善网络与信息安全基础设施，加强信息安全应急等基础性工作，提高风险隐患发现、监测预警和突发事件处置能力。加大信息安全技术研发力度，支持信息安全产业发展。

会议要求，对于各项工作，要明确分工，落实责任，加快法规制度和标准建设，加大财税政策扶持，以确保各项工作顺利推进。

（李娜）

第5篇：信息安全服务体系范文

一、建设现状

（一）基础设施体系日趋完善

我市各大电信运营商已建成以光缆通信为主，数字微波和卫星通信为辅的大容量、高速率，能为政府、市民、企业提供安全、可靠的通信传输网和相应的有线、和无线通信服务，一批国家级的信息网络在我市均建有节点。目前，全长共计32356.74芯公里，2067.23皮长公里的光纤通信线路已遍布三亚市的每一个角落，真正实现了光缆到大楼（fttb）、光缆到户（ftth），覆盖全市100％的乡镇和农场，四通八达的光缆网络为三亚信息化建设应用的接入打造了坚实的基础。

（二）建立了结构化程度较高的信息资源开发应用体系

我市在底完成公务电子邮箱系统与舆情监控系统的建设，目前运行良好；市政府投资的五块大型户外led全彩电子显示屏系统在4月份建成，收到较好的经济效益和社会效益。建成了具备了宽带交换和高速接入能力的三亚市电子政务核心机房，政府办公自动化系统、电子公文交换系统等一批跨部门的信息共享平台已投入建设。

明年我市将建设城市公共信息触摸屏查询系统等信息服务项目，为市民游客提供多元化的信息查询平台。为了积极发挥在公共基础建设中的主导作用，将“无线数字三亚纳入到政府重点建设项目中进行管理。同时，我市分别和中国电信海南分公司、中国移动海南分公司、中国联通海南分公司签署全面战略合作框架协议，重点推进三亚信息惠民、信息强政、信息服务体系建设。

“金桥”、“金卡”、“金税”等一批重大信息工程在我市的全面实施初步形成了政务、商用、公众三大信息资源体系。金融、财税、保险、公安、教育、卫生、农业等行业性内部网络功能日趋完善。电信网、广电网在三亚已建成了国内先进的网络平台，可满足社会不同层次对通信和信息服务的需求。

企业信息化组织体系基本确定，40%的企业建立了专门的信息化机构。企业计算机网络系统初步建立，全市规模以上企业中，约有60%左右建立了计算机局域网或广域网，重点企业中，cad/cam应用较广泛，erp正在成为信息技术应用的重点。

1、积极推进电子政务工程建设

我市电子政务项目工程按照“统一建设，统一管理，互联互通，资源共享”的建设原则，分期安排实施项目，并于底启动了“信息三亚”项目。目前全市统一的政务门户网站集群、全市统一的电子政务核心机房和全市统一的政务信息处理平台的建设已形成基本的框架。

加强政府门户网站服务体系建设。新版“中国三亚”门户网站于4月改版完成投入使用，在全省政府门户网站绩效评估中，获省政务门户网站评比中二等奖。于12月开通市政府英文网，俄文网也已今年8月份开通运行，韩文网将2010年初开通。

政府门户网站服务体系初显成效，70%的部门网站都已建立，市财政局、发改委、民政局、物价局等一批重要部门网站相继建成，初步实现以政府网为核心，以电子政务平台为基础，以政府网数据库为依托、以市直各机关各专业网站为子网站的网站群体系。

构建我市统一电子党政内网。三亚市党政内网以实现市委、市政府办公自动化、公文流转、公共信息资源化、数据传输证书化和决策科学化为前提，按照“一个城市，一个党政内网，一个政务数据中心”的建设框架，构建一个安全的覆盖全市各部门各级政府至基层单位的数据共享、流程同步、综合性信息化办公基础网络平台。三亚党政内网工程于今年9月份启动，工程分三阶段进行，目前进入基础设计阶段，预计2010年初投入使用。

构建多功能政务中心。市政务中心工程是根据我市电子政务发展的实际需要及未来可持续发展，以“系统资源大整合、数据大集中、信息高共享”为原则，依托党政内网、党政中心机房，集中管理政务中心电子政务系统和综合信息数据交换平台业务设备，整合政府部门的窗口服务流程与部门业务系统的政务信息处理平台。对建设服务型政府、加快行政管理体制改革和加强政府自身建设具有重要意义。目前我市已启动政务中心信息化建设工作，预计在2010年3月投入使用。

逐步建成数字城市综合监管系统平台。根据我市国际化旅游城市建设管理的需要，我市启动了市数字城市综合监管项目的规划项目，整合三亚市属各机关、单位、部门、行业、社区的监控系统，快速提高我市国际化旅游城市管理水平，提高城市核心竞争力。其总体设计目标是：标志景点国际化，社会安保常态化，行业监控精细化，部门监控规范化。该项目于2010年初启动，一期建设将在2010年底完成。

积极推动市政府12345服务热线建设。市政府12345服务热线负责处理社会公众向各机关单位的咨询、投诉、批评、建议、求助等来电，使政府公开电话服务范围覆盖到政府公共服务的全部领域，为社会公众提供全方位、全天候、高效率24小时不间断服务。该项目今年初启动，预计2010年初可开通。

2、加快社会事业信息化建设进程

财政管理综合信息系统建设收效明显。配合国家“金财工程”建设，我市加强财政信息资源规划和整合，建立以预算编制、国库集中收付和宏观经济预测为核心应用的政府财政管理综合信息系统。全面开展国库集中支付改革，实现财政资金的全过程规范管理，科学掌握宏观经济和财政收支增减因素，为政府财政预算编制、财政支出管理、财政政策调整提供辅助决策依据，提高政府宏观调控水平。

建立覆盖全市、资源共享的综合应用视频监控网络，构建全市电子防控报警系统。实施科技强警战略，深入推进金盾工程建设，已投入建设资金1058万元，相继完成了省厅下达的44项“金盾工程”一期建设任务中的42项，完成率达95.5%，同时建设了具有信息化特色11个项目。在全市建成完备的公安信息化基础设施、动态综合的公安信息资源库、高度集成的公安信息化应用体系，基本实现公安工作信息化、现代化。

教育信息服务系统建设逐步完善。初步建立以市级教育网站为核心，面向社会公众的“一站式”教育信息服务系统。加强了数字化教育资源的建设、整合和共享，优化教育管理信息系统，为社会公众提供优质教育资源的网络服务。构建学校—社区—家庭互联互动的教育信息化平台，利用学校和社区丰富的教育资源，形成学校教育向家庭延伸、社区教育支持学校教育的大教育体系，为社会公众提供灵活多样、开放的网络化教育和终身教育服务。

劳动保障信息系统不断完善。为配合国家“金保工程”的建设，我市构建覆盖市、区、街道、社区劳动保障信息网，建立全市劳动保障数据中心和专业数据库，优化劳动保障业务流程，整合、改造社会保险系统和劳动力市场系统，实施包括劳动就业、社会保险、医疗保险、社会救助等功能的社会保障卡工程，以信息化手段提供就业与失业救助服务、社会保险金的发放与偿付服务。

公共医疗卫生服务信息系统建设不断推进。初步建立以人为本、以服务患者为中心的卫生信息系统。实现医疗卫生信息实时共享和充分利用,推进公共卫生事件应急指挥、预防控制、卫生监督执法、医疗救治、妇幼保健、健康教育、社区健康中心等信息系统建设，提高医疗卫生的服务、管理、决策水平和资源使用效益。

实施防汛指挥系统建设。建立了以水雨工灾情信息采集系统为基础、通信系统为保障、计算机网络系统为依托、决策支持系统为核心的三亚市防汛抗旱指挥系统，搭建了三亚市水务信息系统计算机网络、决策支持系统的结构框架和工作平台，在我市防汛抗旱工作中发挥了重要作用，取得了巨大的经济效益和社会效益。

推进征管改革。为贯彻落实省局以信息化建设推进征管改革的要求，并结合实际制定了征管改革方案，以信息化建设为契机，逐步建立并运行税收一体化征管信息系统，加快全省“金税工程（三期）海南地税项目”的建设。

3、严把党政信息化项目审核论证工作质量关

根据《三亚市电子政务工程建设管理办法》文件精神，市科工信局负责我市党政信息化项目审核论证工作及市直机关信息化项目建设资金的统筹管理。各部门根据全市电子政务规划和本部门实际，制定本部门电子政务近期建设规划，并提出具体的电子政务工程项目和建设内容并组织前期论证，报市科工信局。市科工信局审核各部门近期电子政务工程项目建设，对符合全市电子政务规划和建设要求并通过前期论证的项目，纳入全市电子政务规划项目库。

4、完善高效的建设项目管理制度

加强项目管理制度建设是落实电子政务建设决策和规划，确保电子政务取得实效的关键一环。为推进三亚市党政信息化建设，完善有关信息化建设制度，我市相继出台了《三亚市政府网信息员管理暂行规定》、《三亚市政务信息网上公开规定》、《三亚市公务电子邮箱使用管理规定》、《三亚市社区政务信息化管理办法》、《三亚市政务信息资源共享管理办法》、《三亚市电子政务工程建设管理办法》等信息化建设法规。

二、存在的问题

对信息化与工业化融合，信息化建设带动三亚经济发展的认识高度不够；信息技术应用总体水平偏低，“信息孤岛”现象严重；在投资结构上“重硬轻软”、“重网轻源”、“重建轻用”现象较为严重，信息化对经济的带动作用还未充分发挥，信息化对传统产业尤其是服务业的改造力度急需加强；信息化建设质量和进度缺乏监督考核，组织体制与协调机制仍然偏弱，电子商务的基础设施条件不完善，运作大项目、引进大企业经验不足，信息产业实现跨越式发展缺乏动力，信息技术领域人才严重匮乏，结构性矛盾突出，高层次信息化人才储备不足；投融资渠道和项目运营理念有待于创新。

三、措施

1、加大政府投入，创新多元化的信息化建设、管理模式

加大财政部门对信息化建设的支持力度，市直各部门新建的信息化项目必须纳入统一规划和管理，对于确需建设的项目依据“先易后难、急用先建、效益显著”的原则，统筹规划，分级建设；对于跨年度的建设项目须按实施进度分年度分批规划、拨款。合理确定信息化引导资金的规模和投向，积极探索“政府投入、政策补贴、税收优惠、资源补偿”的多方位政府支持渠道，建立“政府引导、市场运作、企业管理”的信息化建设运营模式；设立信息化服务体系专项基金，支持中小企业信息化重点服务平台工程建设，加强对服务体系关键环节的支持。建立和完善适应信息发展的多渠道投融资体制，建立风险投资机制，鼓励国内外风险投资基金来海南设立机构发展业务。

鼓励社会资金对信息化建设的投入，对适合社会投资的项目，通过规范的市场运作，吸引社会资金投资信息化建设；采用信息技术外包（ito）、业务流程外包（bpo）、公私合作建设（ppp）等市场化运作模式，降低建设和运行成本，提高信息化建设和运行效率。

对于非政府投入为主建设的信息化公共服务平台，以及提供软硬件产品、维护服务、系统集成、解决方案和信息服务的供应商，按照创造经济效益、自主创新程度、典型示范作用等原则，通过先评估、后补贴方式予以支持。鼓励企业以合资、合作、特许经营等多种方式，兼顾经济效益与社会效益，参与公益平台建设和运营。:

2、组建专业技术研发团队

随着我市信息化的发展，高级专业技术人员缺口加大，我市目前已启动筹建城市信息化研发中心及组建一支高素质专业技术研发团队，以便更好的完成各类攻坚克难任务，如项目规划、方案设计、项目审核、技术甄别、项目实施、制定规范及前期项目调研。另外还要肩负着重点基础平台、应用软件的开发、组织及各系统软件技术的融合工作。

3、加强行业监管，创新信息化项目运营机制

加强三亚数字城市建设的行业监管，尽快形成有效的市场竞争格局。对于信息化平台和重大工程专项，要在统一监督管理下，实行适度开放，适合独立运营的项目，采用“政府授权、投资受益、市场竞争”等方式，进行独立的商业化运营；推进信息资源的深度开发利用，逐步分离政府、企业的信息化运行部门，鼓励第三方信息服务机构采用商业化运营模式为政府或企业提供信息化服务；本着“谁投资谁受益”的原则，鼓励社会资本进入大型信息化项目和重大工程专项的建设和运营市场。

第6篇：信息安全服务体系范文

论文摘要:作为未来最适应时代要求的政府工作形态，电子政务建设是我国当前信息化工作的重，点，未来政府办会发展的趋势。本文探论了综合电子政务平台的棍念、结构和相关技术，分析了电子政务所面临的安全威胁，并提出了相应的解决方案。

1综合电子政务平台概述

    电子政务是指政府机构应用信息技术提高政府事务处理的信息流效率，对政府机构和职能进行优化，改善政府组织和公共管理能力。通常由核心网络、接人网络及访问网络三部分组成。建设内容一般包括:电子政务网络平台、政府门户网站、电子政务主站点、“一站式”行政审批系统、视频会议系统、公文交换和信息报送系统、电子邮件系统、办公自动化系统等。

    电子政务网络平台网络结构中，核心网络拥有重要的信息资源，并处理政府部门间的核心业务。政府部门间的数据交换流程是闭环的，即任何一个节点既是用户又是数据源。因此，核心网络节点之间的业务流程应该是高速、严密、安全的，并且有严格的审核机制。核心网络与接人网络形成上下级关系的协同工作平台，进行信息、数据的交换。它们之间的信息往来必须具备信任安全体系。政府核心网络面向社会公众提供信息服务，对外宣传政府信息，与访问网络建立连接。

2综合电子政务平台的安全风险

2.1网络安全域的划分和控制问题

    电子政务中的信息涉及国家秘密、国家安全，因此它需要绝对的安全。但是同时电子政务现在很重要的发展方向是要为社会提供行政监管的渠道，为社会提供公共服务，如社保医保、大量的公众咨询、投诉等等，它同时又需要一定程度的开放。因此如何合理地划分安全域显得非常重要。

2.2内部监控、审核问题

    目前绝大部分单位都没有系统可以实时地对内部人员除个人隐私以外的各项具体操作进行监控和记录，更不用谈对一些非法操作进行屏蔽和阻断了。

2.3电子政务的信任体系问题

    电子政务要做到比较完善的安全保障体系，第三方认证是必不可少的。只有通过一定级别的第三方认证，才能说建立了一套完善的信任体系。

2 .4数字签名(签发)问题

    在电子政务中，要真正实行无纸化办公，很重要的一点是实现电子公文的流转，而在这之中，数字签名(签发)问题又是重中之重。

2.5电子政务的灾难响应和应急处理问题

    很多单位在进行网络规划的时候，没有考虑到作为系统核心部分一一数据库本身的安全问题，完全依赖干整个网络的防护能力，一旦网络的安全体系被穿破或者直接由内部人员利用内网用户的优势进行破坏，“数据”可以说无任何招架之力

3综合电子政务平台安全体系建设方案

3 .1技术保障体系

    技术保障体系是安全管理体系的重要组成部分。它涉及两个层面的问题，一是信息安全的核心技术和基本理论的研究与开发，二是信息安全产品和系统构建综合防护系统。

    信息安全技术。信息安全的核心技术主要包括数据加密技术、信息隐藏技术和信息认证技术。数据加密是把有意义的信息编码为伪随机性的乱码，以实现信息保护的目的。数字签名是指只有发送者才能产生的别人无法伪造的一段数字串，这段数字串同时也是对发送者信息真实性的证明。

    信息安全防护体系。目前，主要的信息安全的产品和系统包括防病毒软件、防火墙、入侵检测系统、漏洞扫描、安全审计系统、物理隔离系统等。我们可采用屏蔽子网体系结构保证核心网络的安全。屏蔽子网体系结构通过添加额外的安全层到被屏蔽主机体系结构，即通过添加周边网络更进一步地把内部网络与internet隔离开。在这种结构下，即使攻破了堡垒主机，也不能直接侵人内部网络，它将仍然必须通过内部路由器。

3.2运行管理体系

    安全行政管理。电子政务的安全行政管理应包括建立安全组织机构、安全人事管理、制定和落实安全制度。

    安全技术管理。电子政务的安全技术管理可以从三个方面着手:硬件实体、软件系统、密钥。

    风险管理。风险管理是对项目风险的识别、分析和应对过程。它包括对正面事件效果的最大化及对负面事件影响的最小化。

3.3社会服务体系

    安全管理服务。目前，一些信息安全管理服务提供商(managed  security service providers, mssp)正在逐步形成，它们有的是专门从事安全管理服务达到增值目的的，有的是一些软件厂商为弥补其软件系统的不足而附加一些服务的，有的是一些从it集成或咨询商发展而来提供信息安全咨询的。

    安全测评服务。测评认证的实质是由一个中立的权威机构，通过科学、规范、公正的测试和评估向消费者、购买者即需方，证实生产者或供方所提供的产品和服务，符合公开、客观和先进的标准。

    应急响应服务。应急响应是计算机或网络系统遇到安全事件如黑客人侵、网络恶意攻击、病毒感染和破坏等时，所能够提供的紧急的响应和快速的救援与恢复服务。

3.4基础设施平台

    法规基础建设。主要有以下几方面:在国家宪法和各部门法中对各类法律主体的有关信息活动涉及国家安全的权利和义务进行规范，形成国家关于信息及信息安全的总则性、普适性的法规体系;针对各类计算机和网络犯罪，制订直接约束各社会成员的信息活动的行为规范，形成计算机、网络犯罪监察屿防范体系;对信息安全技术、信息安全产品(系统)的授权审批应制订相应的规定，形成信息安全审批与监控体系;针对信息内容的安全与保密问题，制订相应规定，形成信息内容的审批、监控、保密体系;从国家安全的角度，制订网络信息预警与反击体系等。

第7篇：信息安全服务体系范文

关键词：安全保障；民航；空管信息系统

0 前言

随着社会不断进步，我国已经处于较为高速的发展阶段，信息化进程不断加深，渗透到人们生活的各个领域。于是，信息安全问题成为困扰人们的主要问题，对人们顺利进行信息传递具有重要的意义。民航在发展的过程中，对信息技术的依赖逐渐增强，各种导航、气象以及检测等都需要信息技术作为支撑，必须按照国家的规定，加强空管信息系统的建设，使得各项活动能够在安全的环境下顺利进行。

1 民航空管信息系统安全体系安全现状

近几年，信息化技术在民航空管系统中的应用逐渐加深，用户和系统规模不断扩大。新形势下，针对空管系统的安全要求更加严格，利用电子信息技术以及网络技术针对空管信息系统加强建设，是信息安全的必然要求。当前，一些民航已经开展了信息管理系统的建设，但是在信息传输的过程中仍然存在较多不足。基础设施建设的不足，安全技术方面较为薄弱，信息孤岛效应较为显著，无法对民航的信息安全管理以及监控等工作提供良好的保障[1]。

空管技术较为繁复，在对其进行应用的过程中，必须具备较高的技术素养。其实，如果空管信息系统如果遭受安全事件，其造成的负面影响较大。正因如此，北京奥运会召开阶段，各个方面对此非常重视。长久以来，负责导航和气象观测等环节都是独立进行，在其发挥作用的过程中，彼此互不干涉，以此防范信息风险，也导致了信息安全管理存在缺陷的状况，但是这种信息风险防范方式已经不能适应民航信息安全的现实需求，必须寻找新的模式对其进行替换[2]。

2 民航空管信息系统安全体系设计原则

（1）借鉴性

当前，我国的民航部门在空管信息系统方面的技术较为落后，与国外发达国家之间存在较大差距，面对这种情况，我国可以考虑引进国外先进的技术，借鉴其中的关键设计理念。但是，在借鉴的过程中，应该针对现实情况进行考量，结合我国当期的实际情况，与我国民航空管系统的现状相结合，设计出符合我国发展特点的空管信息系统，使其具备较高的安全性[3]。

（2）创新性

电子信息领域的更新速度较快，各种信息技术的发展使得计算机技术的更新较为频繁。同时，民航空管系统也面临诸多新的情况，需要处理的事务越来越多，在较短时间内已经发生较大变化。为了适应这些方面的变化，必须在进行设计的过程中，针对各种变化信息进行搜集，以创新的理念指导整个设计过程。

（3）可靠性

空管信息系统的使用对象是飞行部门，对其存在的安全隐患进行排除，对于保障飞机飞行安全具有重要的现实意义。在这种情况下，必须确保设计质量能够符合现实要求，整个系统的性能指标必须控制在较高的范围内，确保系统能够应用的过程中表现出较佳的性能。基于此，针对系统的规格以及选材、工艺等方面都要具备较强的安全性能，确保系统运行的可靠性以及操作的稳定性。

3 民航空管信息系统安全体系整体架构设计

在参考信息安全文献、按照我国规定的安全标准、民航现实情况进行详细考察的基础上，利用现有技术，引进外国先进技术，借鉴外国先进理念，针对民航空管信息系统进行设计。

建立信息安全管理平台，假设信息风险防范体系，使得信息能够依托物理环境、系统、数据库等组成部分实现信息的安全管理。对系统服务器中的重要数据信息进行保护。在安全管理方面，必须明确安全组织的功能，使其能够在运作的过程中发挥现实作用。建立安全监督小组，负责对系统信息网络的安全状况进行监督，搜集各种安全隐患信息，确保整个系统能够在较为可靠的环境下运行安全；民航信息监控以及技术设施建设属于技术方面的支撑因素，对于信息安全起到较为良好的保障作用，其中，监控系统应该设计网络安全体系，比如路由器管理等，软件层面的安全防护，如防火墙等；还应该建立服务体系，对于针对安全方面的信息进行提供，针对系统的运作状况进行检查，对民航单位的信息安全状况进行调查，搜集安全方面的信息，并对其进行分析，确保整个空管信息系统的安全隐患被及时发现，同时还应该针对工作人员进行定期培训，宣传讲解信息安全知识。

4 总结

社会的发展使得信息安全成为人们重视的话题，民航空管信息信息系统的安全对我国的民航事业发展具有重要的现实意义。由于当前民航系统的信息传递方式较为封闭，已经不能适应时展的需求。寻求新的信息风险防范模式，改变民航信息安全管理现状，能够为我国的信息安全事业起到重要的推动作用。

参考文献：

[1]徐超.网御神州立体护航"金安"工程[J].通信世界.2010（31）：142-143.

第8篇：信息安全服务体系范文

【 关键词 】 物联网；信息安全；检测体系

1 引言

随着国家信息网络基础设施基本完成，信息化应用全面展开，物联网广泛应用于公共事业/服务、交通运输、个人用户、批发零售、工业、制造业、商业、服务业、农业、建筑业、金融业等。目前来看，物联网虽然给人们带来便利，但物联网在信息安全方面还存在一定的局限性。一是存在信号受到干扰的可能。如果安置在物品上的传感设备信号受到恶意干扰，很容易造成重要物品损失以及重要信息被篡改、丢失的隐患。二是恶意入侵的隐患。如果病毒、黑客、恶意软件绕过了相关安全技术的防范，对物联网的授权管理进行恶意操作，掌控他人的物品，就会造成对用户隐私权的侵犯。如果爆炸物、枪支等危险物品被其它人掌控，后果会十分严重。因此，物联网安全问题如果得不到有效解决，将严重阻碍物联网产业发展。由于物联网感知节点和传输设备具有能量低、计算能力差、运行环境恶劣、通信协议庞杂等特点，使得传统安全技术无法直接应用于物联网，由此引发物联网特有的安全问题，而物联网安全技术和安全状况缺乏有效的检测和评价手段。

我国政策环境较好，物联网已成为国家发展战略，初步明确了未来发展方向和重点领域。国家高度重视物联网安全建设。2013年初，国务院了《关于推进物联网有序健康发展的指导意见》（国发[2013]7号）中明确提出以工业和信息化部、发展改革委、公安部牵头承担物联网安全保障专项行动计划：提高物联网信息安全管理与数据保护水平，建立健全监督、检查和安全评估机制。加强物联网重要应用和系统的安全测评、风险评估和安全防护工作。加快物联网相关标准、检测、认证等公共服务建设，完善支撑服务体系，有效保障物联网信息采集、传输、处理、应用等各环节的安全可控。

2 物联网一体化安全检测体系

各类物联网示范工程进行大规模应用之前，应充分考虑和评测其安全性，从源头保证物联网安全措施有效性、功能符合性、安全管理的全面性以及给出安全防护评估。在建设实施阶段，将所有的安全功能模块（产品）集成为一个完整的系统后，需要检查集成出的系统是否符合要求，测试并评估安全措施在整个系统中实施的有效性，跟踪安全保障机制并发现漏洞，完成系统的运行程序和全生命期安的安全风险评估报告。在运行维护阶段，要定期进行安全性检测和风险评估以保证系统的安全水平在运行期间不会下降，包括检查产品的升级和系统打补丁情况，检测系统的安全性能，检测新安全攻击、新威胁以及其它与安全风险有关的因素，评估系统改动对安全系统造成的影响。

物联网关键安全问题：一是感知设备安全；二是物联网系统安全和风险评估，重点是接入问题；三是业务应用安全。目前，各行业均提出了相应的安全防护体系，如智能电网系统、工业控制系统等。本文依据相关的安全防护体系提出物联网一体化安全检测体系，即“一中心、两库、五平台”，如图1所示。即开放式场景检测支撑平台、感知设备安全检测服务平台、物联网系统安全检测服务平台、物联网系统风险评估服务平台、物联网集成化安全管理检查服务平台、物联网安全检测标准及指标库、物联网信息安全漏洞与补丁库以及一体化安全检测管理中心。在此基础上，结合物联网具体业务需求，进行物联网安全检测方法、规范、指标体系、专业化检测技术研究与积累。同时，形成一支服务于物联网安全检测的多层次、复合型、专业化人才队伍，全面保障物联网系统安全稳定运行。

3 “五平台”

“五平台”提供检测、检查和评估三类专业化服务，其中物联网集成化安全管理检查服务平台可作为独立平台对外提供检查服务；开放式场景检测支撑平台为感知设备安全检测服务平台与物联网系统安全检测服务平台提供安全符合性检测环境，此三个平台提供技术检测服务；物联网系统风险评估服务平台在前述四个平台基础上，关联外在威胁，分析自身脆弱性，提供风险评估服务。“五平台”结构关系如图2所示，“五平台”既可独立提供检测服务，也可互为补充，为用户提供定制化的检测服务，形成开放式检测服务体系架构。

3.1 开放式场景检测支撑平台

开放式场景检测支撑平台实现物联网感知设备、接入系统、业务应用三层检测环境，如图3所示。通过多部件的灵活组建，实现其感、传、知、用的安全功能检测，灵活支持用户个性化的检测需求。

3.2 感知设备安全检测服务平台

感知设备安全检测服务平台实现一个通用的感知设备安全检测系统，由开放式场景检测支撑平台为被测设备提供运行检测环境，其从感知操作安全、感知数据处理安全、感知数据存储安全和感知节点设备安全、感知节点通信安全等五方面检测安全功能和性能，其检测框架如图4所示。

3.3 物联网系统安全检测服务平台

物联网系统安全检测服务平台以系统、整体的视角对智能感知层访问控制、身份认证等策略配置进行符合性测试；对接入传输层的AKA机制的一致性或兼容性、跨域认证和跨网络认证等进行检测；对业务应用层数据库安全、应用系统和网站安全、应用系统稳定性、业务连续性等进行符合性和有效性检测。检测框架如图5所示。

3.4 物联网系统风险评估服务平台

物联网系统风险评估服务平台对可能遭受到的威胁和自身脆弱性进行安全分析，然后根据安全事件的可能性以及安全事件造成的损失计算出风险值、对安全事件进行风险等级定级，最后结合安全事件所涉及的资产价值来判断安全事件一旦发生对物联网系统造成的影响。风险评估框架如图6所示。

3.5 集成化安全管理检查服务平台

集成化安全管理检查服务基于物联网多类型终端、多网融合、海量数据处理和全面感知等特点。从防范阻止、检测发现、应急处置、审计追查和集中管控五个方面，对物联网系统智能感知层、接入传输层和业务应用层的安全管理情况进行检查，其安全管理检查框架如图7所示。

4 “两库”

4.1 标准及指标库

基础库“标准及指标库”通过构建物联网安全检测标准子库与指标子库为“五平台”提供支撑。标准子库建设来源：一是从物联网国际标准组织IEEE、ISO、ETSI、ITU-T、3GPP、3GPP2了解国际最新标准，研究制订适合国情的物联网标准；二是从国内标准组织：WGSN、CCSA和RFID标准工作组获取最新标准；三是随着业务开展，编制了物联网安全标准。物联网一体化安全检测标准体系框架，按照标准服务性质的区分，分为物联网产品安全检测标准、物联网系统安全检测标准、物联网风险评估标准以及集成化安全管理检查标准。其框架如图8所示。

指标库为各种类型的被测设备和系统提供相应的检测指标项目，同时支持用户自定义新的检测指标。指标库依据各服务平台检测内容划分四类，即物联网产品检测指标、物联网系统安全检测指标、物联网风险评估指标以及集成化管理检查指标。其涵盖功能检测、性能检测、抗毁性检测、符合性检测、有效性检测和可用性检测等指标。

4.2 漏洞与补丁库

漏洞与补丁库采用云存储方式，包括海量数据融合漏洞，TinyOS操作系统漏洞，异构网络认证协议漏洞，感知信息传输协议漏洞等。 漏洞与补丁库一方面为产品、系统检测，风险评估、安全检查提供支撑服务，另一方面对外提供咨询服务，网上漏洞信息，定制客户漏洞处理方案，提供漏洞补丁和专用杀毒工具下载等。

5 “一中心”

一体化安全检测管理中心完成上述“二库、五平台”的互联互通和信息共享，实现检测项目统一管理，检测数据统一汇总，检测结果统一判定，形成感知设备检测报告、物联网系统检测报告、物联网系统风险评估报告以及集成化安全管理检查报告等。

一体化安全检测管理中心由项目管理、场景管理、感知设备检测、系统检测、风险评估、集成化安全管理检查、工具集、基础库管理八个核心模块组成，整个平台由项目库、标准及指标库、方法库、漏洞与补丁库四个数据库支撑，管理中心框架设计如图9所示。

6 技术特点

（1）提供开放式检测环境

物联网应用的广泛性和复杂性，仅依赖单一场景无法满足客户的多层次需求，通过开放式检测环境，可实现感知设备、接入方式、业务应用的检测环境，使得检测手段更丰富、更精准。

（2）提供多类型、多元化的检测

一体化安全检测体系通过感知设备检测、系统检测、风险评估、管理检查的一体化检测服务，提品检测和系统检测、实验室检测和现场检测服务，满足物联网复杂多变的检测需求，使得安全检测更全面性，帮助客户准确评估物联网安全性。

（3）提供技术与管理全方位检测

物联网安全包含技术与管理两方面，技术与管理并重，本体系通过“五平台”实现产品、系统技术类检测/风险评估与安全管理检查，全方位、整体评估物联网安全性。

（4）提供技术符合性和关联外在风险评估相支撑的检测

物联网安全问题是动态发展的，在安全技术符合性检测的基础上，提供适用于动态评估物联网工程的风险评估服务。风险评估旨在通过关联外在风险，结合自身脆弱性评估系统和工程的安全性，与技术符合性检测相支撑。

（5）提供一体化服务模式

提供一个灵活、规范的信息组织管理平台和全网范围的网络协作环境，实现集成的信息采集、内容管理、信息搜索，能够直接组织各类共享信息和内部业务基础信息，实现信息整合应用，同时也提供管理中心支撑下的统一项目管理、统一数据汇总、统一结果判定的一体化服务系统。

7 结束语

目前，我国政策环境好，物联网已成为国家发展战略，初步明确了未来发展方向和重点领域，但产业和行业标准正在建立，是机遇也是挑战。经济环境上，中国企业正在随着国家的快速发展，持续提升竞争力和国际影响力，对物联网安全性的需求逐步增强，企业对物联网安全问题的认知提高，经济支付能力也在增强。通过对各行业物联网建设方面的调查发现，当前已有的物联网应用对其安全性的检测和技术支持需求十分迫切，物联网安全检测产业市场前景乐观。

上述“一中心、二库、五平台”形成专业的平台，加上精专的人才、全面的服务内容和敏捷的反应，构建物联网一体化安全检测专业化服务体系架构。从而提升价值、方便客户、节约成本、提高效率，满足物联网安全检测集成化、规模化的需求。

参考文献

[1] T Grobler， Prof B Louwrens. New Information Security Architecture[J]. 2005， University of Johannesburg.

[2] 范红， 邵华等. 物联网安全技术体系研究[J].第26次全国计算机安全学术交流会，2011（09），5-8.

[3] 谭建平， 柔卫国等. 基于物联网的一体化安全防范技术体系研究[J].湖南理工学院学报， 2011，第24卷 第4期 46-51.

[4] Jackie Rees， Subhajyoti Bandyopadhyay etc. a policy framework for information security. Communication of the ACM， Volume 46 Issue7， 2003， P101-106.

[5] 郎为民，杨德鹏，李虎生.智能电网WCSN安全体系架构研究[J].信息网络安全，2012，（04）：19-22.

[6] 余勇，林为民.工业控制SCADA系统的信息安全防护体系研究[J].信息网络安全，2012，（05）：74-77.

基金项目：

国家863高技术研究发展计划资助项目（2009AA01Z437）和国家863高技术研究发展计划资助项目（2009AA01Z439）。

第9篇：信息安全服务体系范文

 

1现状与问题

 

1.信息安全现状

 

随着信息化建设的推进，我校信息化建设初具规模，软硬件设备配备完成，运行保障的基础技术手段基本具备。网络中心技术力量雄厚，承担网络系统管理和应用支持的专业技术人员达20余人;针对重要应用系统采用了防火墙、IPS/IDS、防病毒等常规安全防护手段，保障了核心业务系统在一般情况下的正常运行，具备了基本的安全防护能力|6];日常运行管理规范，按照信息基础设施运行操作流程和管理对象的不同，确定了网络系统运行保障管理的角色和岗位，初步建立了问题处理的应急响应机制。由网络中心进行日常管理的主要有六大业务应用系统，即网络通信平台、认证计费系统、校园一卡通、电子校务系统、网站群、邮件系统。

 

网络通信平台是大学各大业务平台的基础核心，是整个校园网的基础，其他应用系统都运行在高校的基础网络环境上;认证计费系统是针对用户接入校园网和互联网的一种接入认证计费的管理方式;校园一卡通系统建设在物理专网上，主要实现学生校园卡消费管理，校园卡与大学网络有3个物理接口;电子校务系统是大学最重要的业务应用系统，系统中存储着重要的教务工作数据、学生考试信息、财务数据等重要数据信息;大学主页网站系统为大学校园的互联网窗口起到学校对外介绍宣传的功能;邮件系统主要为大学教师与学生提供邮件收发服务，目前邮件系统注册用1.2面临的主要问题

 

通过等级保护差距分析和风险评估，目前大学所面临的信息安全风险和主要问题如下：

 

(1)高校领域没有总体安全标准指引，方向不明确，缺少主线。

 

(2)对国际国内信息安全法律法规缺乏深刻意识和认识。

 

(3)信息安全机构不完善，缺乏总体安全方针与策略，职责不够明确。

 

(4)教职员工和学生数量庞大，管理复杂，人员安全意识相对薄弱，日常安全问题多。

 

()建设投资和投入有限，运维和管理人员的信息安全专业能力有待提高。

 

(6)内部管理相对松散，缺乏安全监管及检查机制，无法有效整体管控。

 

(7)缺乏信息安全总体规划，难以全面提升管理

 

(8)缺乏监控、预警、响应、恢复的集中运行管理手段，无法提高安全运维能力。

 

2建设思路

 

2.1建设原则和工作路线

 

学校信息安全建设的总体原则是:总体规划、适度防护，分级分域、强化控制，保障核心、提升管理，支撑应用、规范运维。

 

依据这一总体原则，我们的信息安全体系建设工作以风险评估为起点，以安全体系为核心，通过对安全工作生命周期的理解从风险评估、安全体系规划着手，并以解决方案和策略设计落实安全体系的各个环节，在建设过程中逐步完善安全体系，以安全体系运行维护和管理的过程等全面满足安全工作各个层面的安全需求，最终达到全面、持续、突出重点的安全保障。

 

2.2体系框架

 

信息安全体系框架依据《信息安全技术信息系统安全等级保护基本要求》GBT22239-2008、《信息系统等级保护安全建设技术方案设计要求》(征求意见稿)，并吸纳了IATF模型[7]中“深度防护战略，，理论，强调安全策略、安全技术、安全组织和安全运行4个核心原则，重点关注计算环境、区域边界、通信网络等多个层次的安全防护，构建信息系统的安全技术体系和安全管理体系，并通过安全运维服务和itsm[8]集中运维管理(基于IT服务管理标准的最佳实践)，形成了集风险评估、安全加固、安全巡检、统一监控、提前预警、应急响应、系统恢复、安全审计和违规取证于一体的安全运维体系架构(见图2)，从而实现并覆盖了等级保护基本要求中对网络安全、主机安全、应用安全、数据安全和管理安全的防护要求，以满足信息系统全方位的安全保护需求。

 

(1)安全策略：明确信息安全工作目的、信息安全建设目标、信息安全管理目标等，是信息安全各个方面所应遵守的原则方法和指导性策略。

 

(2)安全组织：是信息安全体系框架中最重要的

 

各级组织间的工作职责，覆盖安全管理制度、安全管理机构和人员安全管理3个部分。

 

(3)安全运行：是信息安全体系框架中最重要的安全管理策略之一，是维持信息系统持续运行的保障制度和规范。主要集中在规范信息系统应用过程和人员的操作执行，该部分以国家等级保护制度为依据，覆盖系统建设管理、系统运维管理2个部分。

 

(4)安全技术:是从技术角度出发，落实学校组织机构的总体安全策略及管理的具体技术措施的实现，是对各个防护对象进行有效地技术措施保护。安全技术注重信息系统执行的安全控制，针对未授权的访问或误用提供自动保护，发现违背安全策略的行为，并满足应用程序和数据的安全需求。安全技术包含通信网络、计算环境、区域边界和提供整体安全支撑的安全支撑平台。该部分以国家等级保护制度为依据，覆盖物理层、网络层、主机层、应用层和数据层5个部分。

 

()安全运维:安全运维服务体系架构共分两层，实现人员、技术、流程三者的完美整合，通过基于ITIL[9]的运维管理方法，保障基础设施和生产环境的正常运转，提升业务的可持续性，从而也体现了安全运3重点建设工作

 

3.1安全渗透测试

 

2009年4月，学校对38个网站、2个关键系统和6台主机系统进行远程渗透测评。通过测评，全面、完整地了解了当前系统的安全状况，发现了20个高危漏洞，并针对高危漏洞分析了系统所面临的各种风险，根据测评结果发现被测系统存在的安全隐患。渗透测试主要任务包括:收集网站信息、网站威胁分析、脆弱性分析和渗透入侵测评、提升权限测评、获取代码、渗透测评报告。

 

3.2风险评估和安全加固

 

2009年5月，依据安全渗透测试结果，对大学的六大信息系统进行了安全测评。根据评估结果得出系统存在的安全问题，并对严重的问题提出相应的风险控制策略。主要工作任务包括:系统调研、方案编写、现场检测、资产分析、威胁分析、脆弱性分析和风险分析。通过风险评估最终得出了威胁的数量和等级，表1、表2为威胁的数量和等级统计。2009年6月和9月，基于风险评估结果，对涉及到的网络设备(4台)和主机设备(14台)进行了安全加固工作。

 

3.3安全体系规划

 

根据前期对全校的网络、重要信息系统及管理层面的全面评估和了解整理出符合大学实际的安全需求，并结合实际业务要求，对学校整体信息系统的安全工作进行规划和设计，并通过未来3年的逐步安全建设，满足学校的信息安全目标及国家相关政策和标准学校依据国际国内规范及标准，参考业界的最佳实践ISMS[10](信息安全管理体系)，结合我校目前的实际情况，制定了一套完整、科学、实际的信息安全管理体系，制定并描述了网络与信息安全管理必须遵守的基本原则和要求。

 

通过信息安全管理体系的建立，使学校的组织结构布局更加合理，人员安全意识也明显提高，从而保证了网络畅通和业务正常运行，提高了IT服务质量。通过制度、流程、标准及规范，加强了日常安全工作执行能力，提高了信息安全保障水平。

 

4未来展望和下一步工作

 

4.1安全防护体系

 

根据网络与信息系统各节点的网络结构、具体的应用以及安全等级的需求，可以考虑使用逻辑隔离技术(VLAN或防火墙技术)将整个学校的网络系统划分为3个层次的安全域：第一层次安全域包括整个学校网络信息系统;第二层次安全域将各应用系统从逻辑上和物理上分别划分;第三层次安全域主要是各应用系统内部根据应用人群的终端分布、部门等划分子网或子系统。

 

公钥基础设施包括：CA安全区：主要承载CAServer、主从LDAP、数据库、加密机、OCSP等;KMC管理区:主要承载KMCServer、加密机等;RA注册区:主要承载各院所的RA注册服务器，为各院所的师生管理提供数字证书注册服务。

 

应用安全支撑平台为各信息系统提供应用支撑服务、安全支撑服务以及安全管理策略，使得信息系统建立在一个稳定和高效的应用框架上，封装复杂的业务支撑服务、基础安全服务、管理服务，并平滑支持业务系统的扩展。主要包括:统一身份管理、统一身份认证、统一访问授权、统一审计管理、数据安全引擎、单点登录等功能。

 

4.2安全运维体系

 

ITSM集中运维管理解决方案面对学校日益复杂的IT环境，整合以往对各类设备、服务器、终端和业务系统等的分割管理，实现了对IT系统的集中、统一、全面的监控与管理;系统通过融入ITIL等运维管理理念，达到了技术、功能、服务三方面的完全整合，实现了IT服务支持过程的标准化、流程化、规范化，极大地提高了故障应急处理能力，提升了信息部门的管理效率和服务水平。

 

根据终端安全的需求，系统应建设一套完整的技术平台，以实现由管理员根据管理制度来制定各种详尽的安全管理策略，对网内所有终端计算机上的软硬件资源、以及计算机上的操作行为进行有效管理。实现将以网络为中心的分散管理变为以用户为中心集中策略管理;对终端用户安全接入策略统一管理、终端用户安全策略的强制实施、终端用户安全状态的集中审计;对用户事前身份和安全级别的认证、事中安全状态定期安全检测，内容包括定期的安全风险评估、安全加固、安全应急响应和安全巡检。

 

4.3安全审计体系