企业信息安全规划
前言：想要写出一篇令人眼前一亮的文章吗？我们特意为您整理了5篇企业信息安全规划范文，相信会为您的写作带来帮助，发现更多的写作思路和灵感。
企业信息安全规划范文第1篇
【关键词】信息安全 管理 控制 构建
随着企业信息化水平的提升，大多数企业在信息安全建设上逐步添加了上网行为管理、内网安全管理等新的安全设备，但信息安全防护理念还停留在防的阶段，信息安全策略都是在安全事件发生后再补救，导致了企业信息防范的主动性和意识不高，信息安全防护水平已经越来越不适应当今企业IT运维环境和企业发展的需求。
2 企业信息系统安全防护的构建原则
企业信息化安全建设的目标是在保障企业数字化成果的安全性和可靠性。在构建企业信息安全体系时应该遵循以下几个原则：
2.1 建立企业完善的信息化安全管理体系
企业信息安全管理体系首先要建立完善的组织架构、制定信息安全管理规范，来保障信息安全制度的落实以及企业信息化安全体系的不断完善。基本企业信息安全管理过程包括：分析企业数字化资产评估和风险分析、规划信息系统动态安全模型、建立可靠严谨的执行策略、选用安全可靠的的防护产品等。
2.2 提高企业员工自身的信息安全防范意识
在企业信息化系统安全管理中，防护设备和防护策略只是其中的一部分，企业员工的行为也是维护企业数字化成果不可忽略的组成。所以企业在实施信息化安全管理时，绝对不能忽视对人的行为规范和绩效管理。在企业实施企业信息安全前，应制定企业员工信息安全行为规范，有效地实现企业信息系统和数字化成果的安全、可靠、稳定运行，保证企业信息安全。其次阶段递进的培训信息安全人才也是保障企业数字化成果的重要措施。企业对员工进行逐次的安全培训，强化企业员工对信息安全的概念，提升员工的安全意识。使员工的行为符合整个企业信息安全的防范要求。
2.3 及时优化更新企业信息安全防护技术
当企业对自身信息安全做出了一套整体完善的防护规划时，就应当考虑采用何种安全防护技术来支撑整个信息安全防护体系。对于安全防护技术来说可以分为身份识别、网络隔离、网络安全扫描、实时监控与入侵发现、安全备份恢复等。比如身份识别的目的在于防止非企业人员访问企业资源，并且可以根据员工级别分配人员访问权限，达到企业敏感信息的安全保障。
3 企业信息安全体系部署的建议
根据企业信息安全建设架构，在满足终端安全、网络安全、应用安全、数据安全等安全防护体系时，我们需要重点关注以下几个方面：
3.1 实施终端安全，规范终端用户行为
在企业信息安全事件中，数字化成果泄漏是属于危害最为严重的一种行为。企业信息安全体系建立前，企业员工对自己的个人行为不规范，造成了员工可以通过很多方式实现信息外漏。比如通过U盘等存储介质拷贝或者通过聊天软件传递企业的核心数字化成果。对于这类高危的行为，我们在建设安全防护体系时，仅仅靠上网行为管理控制是不能完全杜绝的。应该当用户接入企业信息化平台前，就对用户的终端系统进行安全规范检查，符合企业制定的终端安全要求后再接入企业内网。同时配合上网行为管理的策略对员工的上网行为进行审计，使得企业员工的操作行为符合企业制定的上网行为规范，从终端用户提升企业的防护水平。
3.2 建设安全完善的VPN接入平台
企业在信息化建设中，考虑总部和分支机构的信息化需要，必然会采用VPN方式来解决企业的需求。不论是采用SSL VPN还是IPSecVPN，VPN加密传输都是通用的选择。对于分支机构可以考虑专用的VPN设备和总部进行IPSec连接，这种方式更安全可靠稳定。对于移动终端的接入可以考虑SSL VPN方式。在这种情况下，就必须做好对于移动终端的身份认证识别。其实我们在设备采购时，可以要求设备商做好多种接入方式的需求，并且帮助企业搭建认证方式。这将有利于企业日常维护，提升企业信息系统的VPN接入水平。
3.3 优化企业网络的隔离性和控制性
在规划企业网络安全边际时，要面对多个部门和分支结构，合理的规划安全网络边际将是关键。企业的网络体系可以分为：物理层；数据链路层；网络层；传输层；会话层；表示层；应用层。各体系之间的相互隔离和访问策略是防止企业信息安全风险的重要环节。在企业多样化网络环境的背景下，根据企业安全优先级及面临的风险程度，做出适合企业信息安全的防护策略和访问控制策略。根据相应防护设备进行深层次的安全防护，真正实现OSI的L2～L7层的安全防护。
3.4 实现企业信息安全防护体系的统一管理
为企业信息安全构建统一的安全防护体系，重要的优势就是能实现对全网安全设备及安全事件的统一管理，做到对整个网络安全事件的“可视、可控和可管”。企业采购的各种安全设备工作时会产生大量的安全日志，如果单靠相关人员的识别日志既费时效率又低。而且不同安全厂商的日志报表还存在很大差异。所以当安全事件发生时，企业管理员很难实现对信息安全的统一分析和管理。所以在企业在构建信息安全体系时，就必须要考虑安全设备日志之间的统一化，设定相应的访问控制和安全策略实现日志的归类分析。这样才能做到对全网安全事件的“可视、可控和可管”。
4 结束语
信息安全的主要内容就是保护企业的数字化成果的安全和完整。企业在实施信息安全防护过程中是一个长期的持续的工作。我们需要在前期做好详尽的安全防护规划，实施过程中根据不断出现的情况及时调整安全策略和访问控制，保证备份数据的安全性可靠性。同时全体企业员工一起遵守企业制定的信息安全防护管理规定，这样才能为企业的信息安全提供生命力和主动性，真正为企业的核心业务提供安全保障。
参考文献
[1]郝宏志.企业信息管理师[M].北京：机械工业出版社，2005.
[2]蒋培静.欧美国家如何培养网络安全意识[J].中国教育网络，2008（7）：48-49.
作者简介
常胜（1982-），男，回族，天津市人。现为中国市政工程华北设计研究总院有限公司工程师。研究方向为网络安全与服务器规划部署。
企业信息安全规划范文第2篇
关键词信息安全；等级保护；系统管理水平；思路与机制
现代企业信息系统在取得飞速发展的过程中，也普遍存在着一系列的安全故障，这些安全问题存在于信息系统运行的各个阶段，比如在规划阶段缺乏对于信息系统的整体安全保护意识，就会直接影响到设计阶段安全方案的有效实行。其次在正式上线运行之后，缺乏对安全测试机制的设置以及各项等级测评和运行环境测试的忽略，将对企业整体信息系统造成危害。因此我们必须从信息系统规划的整个生命周期出发，不断加强安全等级保护意识。
1信息安全等级保护管理的提升思路
（1）信息安全等级保护的管理现状。随着现代信息社会的智能化飞速发展和人们对工作高效性的不断追求，企业信息系统的发展取得飞速进步，但是不可否认的是信息安全等级相关措施的设置仍存在着一定缺陷，主要体现在首先企业信息系统在规划设计阶段过于侧重专业应用功能的效能发挥和实际应用，而在很大程度上忽略了信息系统安全保护和等级设置的巨大作用，因此在具体的设计方案上也就缺少相关配套安全措施的同步规划设计。其次就体现在测试和正式上线运行阶段，没有建立十分完善的安全性测试机制，因此关于一系列的测评环节也就失去了具体的实际意义。关于恶意软件代码的审查、源代码的后门查询认证以及相关关系统漏洞的查找和运行等级测评等安全隐患环节，都难以实现正常环节下的系统维护。以上关于企业信息系统运行过程中存在的安全故障，要求相关技术人员必须通过安全等级设置和维护不断提升信息系统的安全建设，为实现信息网络社会的长远发展提供安全保障[1]。
（2）提升信息系统安全等级保护的具体思路。众所周知企业信息系统的生命周期包括规划、设计、开发、测试、实施和应用上线与上架以及运行维护等环节，而要想不断提升信息系统安全等级保护水平，就必须将其五个工作阶段，也就是定级、备案、安全建设和整改信息、安全等级测评以及信息安全检查融入信息系统的生命周期中。还要根据目前信息系统管理过程中存在的一系列问题，设置安全等级保护的重点内容，最大程度上降低安全隐患，为信息系统的安全稳定运行提供基础保障。
首先是企业信息系统的规划阶段，技术人员要从企业具体实际情况出发，计算相应的信息安全等级开发和维护的费用清单，为后续的规划设计和运行维护提供物质上的保障。还要对相应的信息系统安全等级管理的整体体系和工作任务以及具体流程进行宏观上的规划，为后续的等级设计和系统维护提供保障。接下来是设计阶段，系统建设部门要根据公司的具体要求组织设计方案，并提交相关部门审核通过。对于需要设置安全等级保护的系统来说，在定级之后系统建设部门人员要对系统运维和开发单位进行合理组织，科学设计安全等级保护总体方案和相关的运行维护规划。在开发阶段，系统建设部门作为用户方必须严格遵守相关的规范来进行等级设置和运行维护。在具体过程中要绝对使用正版合格的操作系统、并严格检测强口令和系统测试的合格证明，从而有效保证信息安全和等级管理过程中的有效性和实用性。在测试阶段，主要侧重于对安全等级保护管理工作和安全测评进行合理有效的评估。在这一过程中仍然涉及对国家相关法律规定的遵守和行业标准的执行，在必要条件下要向当地公安机关进行备案。接下来是安全等级保护的实施和上线运行阶段，在工作过程中系统介绍部门要合理敦促有关机构和部门合理维护等级保护管理工作的进行，对测评整改的工作成果进行合理验收。并且还要在最大程度上实现安全等级工作对信息系统整体的安全维护和故障排查，为实现企业信息管理的科学性提供基础的智力保障[2]。最后是关于信息系统的运行维护阶段，运维阶段是安全等级保护的关键输出阶段，要本着“谁主管谁负责，谁运行谁负责”的原则，对相关的安全隐患进行分配和整改。此外对于信息安全等级保护中的关键环节，也就是数据备份、安全隐患分析排查等要分配专门的技术人员进行跟踪，确保企业运行的长远性。
2设置安全等级保护管理下的信息系统工作机制
首先是信息安全考评机制的设置，这一环节的工作过程指的是由信息职能部门对公司的各项信息专业工作进行合理的检查和考核，根据具体的安全等级分配实施效果和开展情况，对相关部门和机构进行评估。并将评估结果进行反馈和整改，这样就建立了完善的信息管理系统的监督和评估制度，更有利于企业合理的绩效分配和长远的发展。其次是信息安全等级的协同机制，这个主要通过建立明确的信息化领导小组来协调实现。通过具体文件来明确信息安全工作的职责和具体环节的任务分配，不断明确信息系统测评和评估过程中所发现的问题，通过协调配合不断建立完善的安全整改方案，并交由相关部门进行落实。最后是例会机制，通过开展定期例会的形式来对信息系统安全等级保护过程中存在的相关问题进行系统探讨，集中开展相关的信息保护提升会议，为最大程度上改善企业信息管理系统运行过程中存在的故障问题提供解决方案[3]。
3结束语
安全等级管理需要相关的工作机制来进行维持和保障，比如相应的例会机制、协同机制和考评机制就在很大程度上优化了等级保护的整体水平。通过过程渗透和机制维护，不但加固了信息系统的安全防护水平，而且还有助于企业整体管理效率和质量的提升，从而为企业经济收益和社会影响力的提升提供了基础保障。
参考文献
[1] 周寅晴，欧阳资春.浅谈信息系统安全等级保护测评的实施管理[J].数字通信世界，2018（8）：155-156.
[2] 王丙飞. 信息系统安全等级保护综合管理系统设计与实现[D].北京：电子科技大学，2017.
企业信息安全规划范文第3篇
【关键词】电力企业；网络；信息安全管理；研究；建议
当下时代，网络信息技术应用十分广泛而且方便，而作为各种行业之中最为重要的电力企业同样也需要网络信息技术，运用网络信息技术，可以给电力企业带来快速，高额的经济效益，但是一旦发生网络信息泄露，或者是信息数据被别人盗取或者修改，经济效益将会受到很大的损失。所以说当务之急是所有的电力企业，都应该仔细地面对和研究现在网络信息安全的问题，然后提出合理的措施来预防事故的发生，保护保护我国电力企业网络信息安全刻不容缓。
1当下中国电力企业网络信息安全的问题与现状
1.1网络信息技术对于电力企业的重要性
如今是21世纪，网络信息技术迅速发展，作为国家重中之重的电力企业对于网络技术的应用更是十分完善，而具体到各个部门各个机关，也会有他们自己相应的局域网进行日常的工作和管理，网络信息技术，可以说是，电力企业的燃料，一种不可缺失的依靠。据资料显示，电力企业的各大岗位对于，网络的使用率将近达到了百分之百，例如，发电生产自动化监控系统，就是利用网络信息技术与电力企业的结合，很大的提高了生产过程和电力调度的自动化水平，而我国各大电力企业，都在，尽快地规划企业信息化发展，全力建设我们的企业信息化工程，从而实现电力工业现代化，信息化。
1.2目前我国电力企业网络信息安全的现状
以时间为线，我们可以发现全球那计算机犯罪，屡发不止，虽然为了维护网络信息安全，都在努力升级和维护防卫系统，但是黑客们的电脑病毒，也是随着时代的发展而不断更新，我们电力企业对于网络信息安全的维护，是一个长久的计划，1分1秒都不能松懈，然而近年来经常发生的信息安全受损事件可以充分证明，我们对于硬件和软件的更新，还未能做到完善，对于网络信息的安全管理措施落实的还不到位，我们电力企业的网络安全防护能力还没有跟得上时代与技术的发展，维护工作并没有做好。
1.3目前我国电力企业网络信息安全的问题
首先最明显的一点问题，就是我国电力企业对于网络安全的意识不高，极度缺少负责网络安全的人才，网络信息安全问题未能在员工们之间得到重视，员工只注重网络系统是否方便快捷，认为信息安全隐患不会发生在自己的身边，于是让计算机犯罪有了可乘之机。还有我们电力企业内的硬件设施，和软件，看似性能配置都极佳，但是还有可能有一部分设备本身，就有着缺陷和安全漏洞的存在，部分技术先进的黑客轻而易举的就能入侵到我们的电力企业内部之中，黑客技术娴熟的网络黑客常常最先攻击涉及国计民生的电力企业系统。最后一点问题就是我们的网络安全防护能力虽然日益增强，但是还不能完全防止网络安全信息事故的发生，一旦受到黑客的攻击，电力企业内部的数据损失，或者被盗窃，很难找回这些数据，因为我们没有一个完善的系统来备份或者恢复数据。
1.4电力企业网络信息安全问题出现的原因
对于企业内部信息系统的访问应该局限于内部员工，身份认证这一关没有把好关就会带来漏洞。众所周知微软已经停止了对WindowsXP的技术服务，所以系统本身的漏洞无法修补，然而我们国内很多电力企业的计算机应用着这个系统，风险自然会增加。另一方面我国电力企业管理层人员的网络安全意识极度贫乏，虽然部分岁数较小的管理员工具有一定的网络安全意识，但是由于缺乏电力企业网络信息安全方面的知识，也无法保证企业信息的安全，管理层尚且如此，员工们得不到企业的管理和培训，更无法有效地保护好企业信息。最重要的是电力企业很少专门的为信息安全部门设置机构，缺乏信息安全管理机制，部分电力企业甚至只让一名相关人员负责。这样是远远无法满足一个企业信息安全的需要。
2管理电力企业信息安全的措施
2.1加强网络信息安全意识的宣传和培训
电力企业信息安全管理应以人为本，把网络信息安全的重要性落实到每个人，切实加强各个层次员工的信息安全意识，同时培训提高工作在信息安全管理一线的员工的技能水平，只有提高了工作人员的意识，下一步计算机程序的完善才有了意义。网络信息安全意识应该被写入电力企业文化之中。尤其是专业做电力企业网络数据安全的更为稀少，所以还应加强对于此类人才的招聘与培养，为长久的安全防护工作埋下种子。
2.2建立完善的信息安全管理制度
为了维护电力企业信息网络安全，必须建立完善的网络信息安全管理制度，企业中每个部门的领导都应重视起来，向自己属下的各个部门施压，促使各个部门重视并落实网络信息安全的有关工作。管理层应严格要求员工做好自己相应的工作。企业内部还应设立一个专门的网络小组，能够全天候地进行网络信息安全的检查和管理，及时的做出反应维护网络信息安全。还应设置专门的人员对设备进行定期的统计和检查，电力企业内部的数据还应该有专人进行备份。各个部门各司其职才能安全的维护好企业内部的数据安全。
2.3做好规划和分区管理
解决网络安全问题不能治标不治本，要从根本上解决问题就需要从长远的角度出发，做好详细的全面的规划，系统地去调研和思考怎样能够有效维护企业网络信息安全，因此建立一套完善的网络企业信息安全管理系统是尤为重要的。信息安全管理体系建立好以后就需要着手于分区的工作了，规划是以时间为线，而分区是以部门为线。据资料显示，当下电力企业内部的网络安全系统，对于安全区域的划分是分为三个重点划分对象，分别为防范区域重点区域和开放区域，这三个重点划分对象，应该要进行严格的措施来进行防护，应该设置严格的规则来限制访问，提高安全级别，另外对于一些非常重要的数据服务器还有数据库，更要加强管理并放置在安全区域。
2.4做好定期更新和检查工作
制定的管理制度要求员工必须要严格遵守，管理人员本身也应该严格的按照工作制定计划进行，电力企业方面也应该组织专门的小组，来进行定期的检查，用高频的更新工作来更好地进行防范。对于网络信息安全管理系统也应该定时的进行更新完善，不断地加强信息安全的技术和应用，对于工作工资工作中出现的问题进行定点定时的解决，例如数据的恢复与备份，病毒防御的应用，访问权限的限制等方面，都需要不断的探索进行技术更新才能增加企业内部网络信息安全系统的防御力，为企业的运行打下坚实的基础。只有这样才能使电力企业的网络信息安全管理系统持续焕发活力，持续地为企业的运行保驾护航。
3结束语
根据上文，要想有效地维护好电力企业网络的信息安全，系统完善地做好安全管理工作，使我国的电力企业可持续发展，首先应该了解到网络信息技术对于电力企业的重要性，以及目前我国电力企业网络信息安全的现状，和我国电力企业网络信息安全面对的问题，对于上文提到的电力企业网络信息安全问题出现的原因，对症下药，通过加强网络信息安全意识的宣传和培训，建立完善的信息安全管理制度，做好规划与分区管理，以及定期的更新和检查工作，治标且治本的，使网络信息安全管理系统持续地为维护电力企业网络信息安全工作。电力企业管理层与各部门协同合作，不断地发展和更新技术，从而有效地落实网络和信息安全管理工作。
参考文献
[1]杨天坤.发电企业网络信息安全管理分析[J].电子制作，2013（10）：102.
[2]朱琳娜，盛海港.网络信息安全管理在电力企业中的应用[J].中国电力教育，2010，S2：132~136.
企业信息安全规划范文第4篇
信息技术的飞速发展冲击着各行各业,给全球房地产业也带来一场深刻的变革和发展的契机。在政府的牵头和推动下,在房地产业各界积极参与和实践下,中国房地产业已取得卓有成效的成果,呈现全面信息化的发展势头。具体表现在:
(1)房地产政务信息化成效显着。
许多城市利用信息技术开发了房地产政务管理软件,有效地改进了行政管理,提高了工作效率,完善了政府对房地产市场的监控和预测能力。
(2)房地产企业信息化取得长足进展。
房地产经营方式开始打上信息时代的烙印。一些房地产企业建立了企业内部网站,提高了信息传输速度,加快了企业决策速度,提高了办事效率。此外,各种针对房地产企业的计算机软件,如房屋销售软件、物业管理软件、租赁软件、房地产可行性分析软件、房地产开发管理软件等,也得到了广泛的开发和应用。
(3)初步建立了房地产宏观监测系统。
为适应我国房地产业发展的内在要求,针对市场信息零散、盲目投资行为大量存在等状况,我国已建立包括中房预警系统、中房指数、国房景气指数等在内的房地产宏观监测系统。
(4)智能化小区和网络小区建设步伐加快。
近年来,住宅的智能化功能被列为评价楼盘综合性能的不可缺少的一个重要指标,智能化住宅已逐步进入普通人的生活。社区提供与外界进行数据交换的软硬件设施和服务是家居功能向外拓展的必要条件。智能化的物业管理深入到各单位住宅,真正实现建筑智能化到社区管理的智能化。
(5)房地产网站发展迅速。
由于房地产业自身的行业特点,使其在网上具有更大的优势,房地产业各界都以最快的速度建立或准备建立自己的网站,将网络作为房地产信息的主要渠道。房地产网站建设提供了全天候、全方位市场服务的新模式,建立房地产在线咨询服务系统,引入城市电子地图,实现网上售楼,改变了传统的购房方式。同国外相比,我国房地产信息化整体水平较低,地区差异较大,东西部发展不平衡,仍存在诸多制约因素,还有很长的路要走。但是,房地产业唯有实现信息化,唯有与网络结合,才能焕发出新的活力。建立和完善房地产企业的网络系统,实现总公司与下属子公司之间的双向沟通和信息共享。通过信息平台的整合,为企业管理决策提供全方位、完整的信息数据,使企业的管理逐步走向信息化,建立企业网站,使其向房地产行业和管理信息服务方向转化,加强与员工的沟通,将信息化手段应用于具体管理工作的流程中。以国家信息化工作的指导方针“统一规划、联合建设、推广应用、发展产业、资源共享”为房地产企业信息化工作的指导思想,将房地产企业的管理全部数字化,充分利用先进的信息技术,使本企业集团形成一个管理对象数字化、管理专业网络化、数据动态实时化、管理决策科学化的现代企业,走一条结合自身特点,依托信息技术发展房地产信息化产业的振兴之路。
二、企业信息安全防范
随着企业信息化的发展,办公自动化、财务管理系统,企业相关业务系统等生产经营方面的重要系统投入在线运行,越来越多的重要数据和机密信息都通过企业内外部网络来传输。这在提高生产效率和管理水平的同时,也带来了不同以往的安全风险和问题。通过网络传输的数据信息如被非法用户截取,导致泄露企业机密;如被非法篡改,造成数据混乱,信息错误,造成工作失误等。另一方面,病毒感染造成网络通信阻塞,系统数据和文件系统破坏,系统无法提供服务甚至破坏后无法恢复,特别是系统中多年积累的重要数据丢失,对企业的生产管理以及经济效益等造成不可估量的损失。因此,如何保护企业机密,保障企业信息安全,成为企业信息化发展中需要面临和解决的问题,提上了企业的议事日程。企业信息安全管理即针对当前企业面临的病毒泛滥、黑客入侵、恶意软件、信息失控等复杂的应用环境制定相应的防御措施,保护企业信息和企业信息系统不被未经授权的访问、使用、泄露、中断、修改和破坏,为企业信息和企业信息系统提供保密性、完整性、真实性、可用性、不可否认。企业信息安全是一项复杂的系统工程,涉及技术、设备、管理和制度等多方面的因素,安全解决方案的制定需要从整体上进行把握。首先,企业必须根据实际情况全面做好安全风险评估。第二,采用信息安全新技术,建立信息安全防护体系。综合各种计算机网络信息系统安全技术,将安全操作系统技术、防火墙技术、病毒防护技术、入侵检测技术、安全扫描技术等综合起来,形成一套完整的、协调一致的网络安全防护体系。企业根据自身信息系统建设和应用的步伐,建立完整的信息安全防护体系,统筹规划,分步实施。第
企业信息安全规划范文第5篇
关键词：信息安全；管理体系；PKI/CA；MPLSVPN；基线
在供电企业现代信息技术广泛运用生产经营、综合管理之中，实现资源和信息共享，为领导提供相关辅助决策。保障企业信息安全是企业领导层、专业人员及企业全员共同面对的。信息安全是集管理、人员、设备、技术为一体系统工程，木桶原理可以很好地诠释信息安全，一个企业安全不取决于最强项，而取决最短板。信息安全需从制度建设、体系架构、一体化防控体系、人员意识、专业人员技术水平等多方面共同建设，才能有效提高企业信息安全，才能为企业生产、经营保驾护航。
1基层供电信息安全现状
基层供电企业信息安全建设方面，在制度建设、安全分区、网络架构、一体化防护、人员意识、专业人员技术水平等多方面存在不同程度问题。
1.1管理制度不健全，制度多重化
信息安全制度建设方面较为被动，大多数都是现实之中出现某一问题，然后一个相关制度，制度修修补补。同一类问题有时出现不同管理规定里，处理办法不一，甚至发生冲突。原有信息安全管理制度宽泛，操作性较差。信息系统建设渠道不同，未提前进行信息安全方面考虑，管理职责不明，导致部分信息安全工作开始不顺畅。
1.2安全区域划分不明，网络架构不清晰
基层供电企业系统建设主要由上级推广系统和自建系统，系统建设时候相当部分系统未充分考虑系统，特别是业务部门自建系统更甚。网络建设需要什么就连接什么，存在服务器、终端、外联区域不明显，网络架构不清晰。
1.3未建立一体化安全防护体系
从近些年已经发生的各类信息安全事件来看，内部客户端问题造成超过将近70%。内部终端用户网络行为控制不足，存在网络带宽滥用；终端接入没有相应准入控制，不满足网络安全需求用户接入办公网络，网络环境安全构成极大风险；内部人员对核心服务器和网络设备未建立统一内部控制机制；移动介质未实施注册制管理等问题。
1.4未建立行之有效设备基线标准
网络安全设备、操作系统、数据库、中间件、应用系统等厂家为了某种方便需求，在设备和系统中常常保留有默认缺省安全配置项，这些恰恰是别人利用漏洞。基层供电企业在部署设备和系统时，没有统一基线标准，没有对设备和系统进行相应基线加固，企业存在潜在风险。1.5信息安全意识较差，技术水平参差不齐企业信息安全认识存在认识上误区，常常认为我们有较强信息安全保护设备，外部不易攻破内部，事实上堡垒常常是从内部攻破的。比如企业员工弱口令、甚至空口令、共用相同密码、木马、病毒、企业机密泄露等，这恰恰是基层供电企业全员信息安全意识较为薄弱表现。专业技术人员缺乏必要自我学习和知识主动更新，未取得专门信息安全专业人员资质，处理问题能力表现参差不齐。
2必要性
信息安全为国家安全重要组成部门，电力企业信息安全为国家信息安全的重要元素，电网安全事关国计民生。2014年2月，国家成立中央网络安全和信息化领导小组，将网络信息安全提升前所未有高度。近年发生的“棱镜门”事件，前几年发生伊朗核电站“震网”病毒（Stuxnet病毒）网络攻击，其中一个关键问题就是利用移动介质摆渡来进行攻击，造成设备瘫痪，这一系列信息安全事件都事关国家安全，因此人人都要有信息安全意识。首先要防止企业机密数据（财务、人资、投资、客户等）泄漏；其次，保持数据真实性和完整性，错误的或被篡改的不当信息可能会导致错误的决策或商业机会甚至信誉的丧失；最后，信息的可用性，防止由于人员、流程和技术服务的中断而影响业务的正常运作，业务赖以生存的关键系统如失效，不能得到及时有效恢复，会造成重大损失。建立严格的访问控制，前面数据分级时有制定数据的“所有者”及给敏感数据进行分级，按照分级的要求制定严格的访问控制策略，基本的思想是最小特权原则和权限分离原则。最少特权是给定使用者最低的只需完成其工作任务的权限；权限分离原则是将不同的工作职能分开，只给相关职能有必要让其知道的内容访问权限。通过对内部网络行为的监控可以规范内部的上网行为，提高工作效率，保护企业有限网络资源应用于主要生产经营上来。
3特点探析
通过我们对基层供电企业在信息安全存在问题及必要性来看，主要是管理制度、网络信息安全技术、人员意识等方面存在问题，有以下特点。
3.1管理制度方面
常说信息安全“三方技术、七分管理”，制度建设对信息安全保障至关重要。信息安全管理制度应该有上级主管部门建立一套统一管理制度，基层供电企业遵照执行，可以根据各单位具体情况进一步细化，让管理制度落地。从企业总体信息安全方针到具体专业制度管理上，实现全网一体化，规范化。
3.2网络信息安全技术方面
上级专业主管部门，站在企业高度，制定专业技术标准和技术细则。从网络安全分区、网络技术架构、互联网接入和访问方式、终端安全管理、网络准入控制等方面统一规划，分布实施，最终实现企业网络信息安全防控一体化。
3.3信息安全意识培养方面
企业员工信息安全意识培养是个长期的过程，不是通过一次两次培训就能解决的，采取形式多样化方式来培养员工安全意识，可以通过集中培训讲课、视频宣传、张贴宣传画等方式进行。针对专业人员，要让他们养成按照制度办事习惯，用户需要申请某项资源，严格按照制度执行，填写相应资源申请，有时候领导打招呼也要按照制度流程来执行。长此以往，人人都会知道自己该做什么，不该做什么，该怎么做，企业信息安全意识就会得到极大提高。
3.4专业技术人员水平方面
信息安全技术日新月异，不学习就落后，不断收集信息安全方面信息，共同讨论相关话题，建立相应培训机制，专业人员实行持证上岗，提升专业人员实际解决问题能力，有效提高人员专业素养，成为企业信息安全方面专家。
4实施和开展
从2009年开始，先后进行一系列信息安全建设，涉及到信息安全制度建设、网络信息安全体系架构、信息安全保障服务、人员培训等方面，整体提高基层供电企业信息安全状况。
4.1信息安全制度建设
2010年开始信息安全体系ISO27001、27002建设，结合企业情况，形成30个信息安全相关文件，涵盖企业信息安全方针、等级保护、人员管理、机房管理、网络信息系统运行维护管理、终端安全、病毒防护、介质管理、数据管理、日志管理、教育培训等诸多方面。2013年为进一步提示公司信息化管理水平，先后增加修改建设管理、实用化管理、项目管理、信息安全管理、运维管理、综合管理5个方面14个管理细则。经过这一系列制度建设，基层供电企业有章可循，全网信息安全依据统一，明确短板情况。
4.2建设一体化网络与信息安全防控
首先依据电监会5号文件要求，网络架构按照三层四区原则进行部署建设，生产实时控制大区（Ⅰ、Ⅱ区）与信息管理大区（Ⅲ、Ⅳ区）之间采用国家强制认证单向数据隔离装置进行强制隔离，网络架构采用核心、汇聚、接入部署。网络接入按照功能划分服务器区、网管区、核心交换区、用户办公区、外联区、互联网接入区，在综合数据网上，利用MPLSVPN，根据划分不同VPN业务、隔离相互间数据交叉。建立全网PKI/CA系统，构建企业员工在企业数字身份认证系统，已建成系统进行未采用PKI登陆系统，进行相应改造结合PKI/CA系统，采用PKI登陆，在建系统用户登陆必须集成PKI登陆。根据企业信息安全要求，进行互联网统一出口，部署统一互联网防控设备，建立统一上网行为管理策略，规范员工上网行为，合理使用有限互联网资源，审计员工上网日志，以备不时之需。建立企业统一病毒防护系统，实现病毒软件统一安装，病毒库自动更新，防护策略统一下发，定期统计病毒分布情况，同时作为终端接入内网必备选项，对终端病毒态势比较严重用户进行督促整改，有效防止病毒在企业内部蔓延，进一步进化内网环境。建立统一网络边界安全防护，在企业内网边界合理部署防火墙、IPS、UTM，并将其产生日志发送到统一安全管理平台，进行日志管理分析，展现企业内部信息安全态势，预警企业内部信息安全存在问题。利用AD域或PKI/CA进行用户身份认证，建设统一桌面管理，所有内网用户必须满足最基本防病毒、安全助手、IT监控要求方可接入内网，系统启用强制安全策略，终端采用采用DHCP，用户不能自动修改IP地址，在DHCP服务器上实现IP与MAC地址及人员绑定，杜绝用户私自更换IP地址引起冲突。安全认证方面可以采用NACC或交换机802.1x方式进行，不满足要求用户，自动重定向到指定网站进行安全合规性检查，满足要求后自动接入内网，强制所有用户采用统一网络安全准入规则。实行移动介质注册制，极大提高终端安全性，有效保护企业信息资产。建立内部运维控制机制，实现4A统一安全管理，认证、账号、授权、审计集中管控。规划统一服务器、网络设备资源池，按照用户需求，提交相应申请材料，授权访问特定设备和资源，并对用户访问行为全程记录审计。
5结语
