企业信息安全重要性

前言：想要写出一篇令人眼前一亮的文章吗？我们特意为您整理了5篇企业信息安全重要性范文，相信会为您的写作带来帮助，发现更多的写作思路和灵感。

企业信息安全重要性范文第1篇

【关键词】企业；计算机网络信息；安全管理

中图分类号： F279 文献标识码： A

前言

文章对企业计算机网络安全存在的问题进行了介绍，对影响企业计算机网络系统安全的因素进行了阐述，通过分析，并结合自身实践经验和相关理论知识，对加强企业网络安全管理措施进行了探讨。

二、企业计算机网络安全存在的问题

1.安全意识淡薄

在企业网络系统中，每一台计算机的安全性都会影响整个系统的安全性能，网络安全与每个用户息息相关。内部员工了解公司的网络结构、数据存放方式和地点甚至掌握业务系统的密码。在具有严格访问权限的系统中，使用弱密码的用户有可能成为安全系统中的缺陷，甚至有些人随意改动系统注册表，使得整个网络安全系统失效。

2.网络安全体系不健全

当前很多企业尽管采取了一些安全措施，但安全保护措施较为零散，缺乏整体性与系统性，对于企业网络信息安全保护缺乏统一的、明确的指导思想，没有建立一个完善的安全体系，这是引发安全问题的主要源头。

3.网络黑客攻击

黑客肆意妄为，破坏的手段也越来越多样化。企业的内部资料对于整个企业经营来说相当重要，因为它关系到整个企业的生死存亡。企业存放信息会因网络黑客攻击而造成资料的泄密。

4.来自企业外部的感染

来自企业外部的计算机病毒具有传播性、破坏性、隐蔽性、潜伏性和可触发性等特点，通过入侵网络系统和设备，对数据进行破坏，使网络瘫痪，不能正常运作。网络蠕虫由于不需要用户干预就能触发，因而其传播速度要远远大于计算机病毒，其对网络性能产生的影响也更为显著和严重。木马是指附着在应用程序中或者单独存在的一些恶意程序，它可以利用网络远程控制安装有服务端程序的主机，实现对主机的控制或者窃取主机上的机密信息。

5.来自企业网络内部的攻击

企业防护重点是对外，往往忽视对内部防护的重视。利用企业内部计算机对企业局域网络进行攻击，企业局域网络也会受到严重攻击，当前企业内部攻击行为大大加强了企业网络安全的风险。

三、影响企业计算机网络系统安全的因素

1.病毒攻击

目前，计算机病毒的制造者大多利用Internet网络进行传播，因中小企业防范薄弱管理规范性有待提高，所以他们很大可能要遭到病毒的攻击。病毒可能会感染大量的机器系统，也可能会大量占用网络带宽，阻塞正常流量，如：发送垃圾邮件的病毒，从而影响企业计算机网络的正常运行。

2.软件漏洞

任何软件都有漏洞，这是客观事实。而同时中小企业在软件采用上大都以节约为本，不注重也不舍得花销来进行软件更新的后期升级服务，以至于非法用户正好通过这些需要升级的漏洞窃取用户信息和破坏信息，针对固有的安全漏洞进行攻击。

3.职员不当操作

中小企业计算机管理人员配置少，监督管理都难以细致，其它职工在信息化系统操作中容易出现工作马虎，不细心，不按成型的规范操作，不遵守制定的相应规章制度。中小企业中很多职工信息安全意识不强，将自己的生日或工号作为系统口令，或将单位的账号随意转借他人使用，从而造成信息的丢失或篡改。

四、加强企业网络安全管理措施

1.要加大对计算机网络与信息安全工作的投入。信息技术进步神速，我国在这一领域同发达国家比，并没有优势。因此我国更应加大投入，刻苦攻关，掌握一些关键的信息技术，以确保我国在信息安全方面的自主能力。可以毫不夸张地说，今年安全方面的自主能力，将制约我国的综合国力和国防实力，因此，我国应当像五六十年展“两弹一星”一样，集中力量，加大投入，迎接信息技术革命的挑战，保卫国家安全。这一点，我们不能幻想通过进口来解决问题。在信息安全技术方面，发达国家一方面极为重视研究开发，美国政府曾为了改进美国政府的计算机安全系统，投入巨大的资金；另一方面，又严格控制信息安全技术的出口。以美国为代表的发达国家，对信息安全产品出口，已作出许多严格限制，以维护其在信息技术领域的绝对优势。

2.关键数据采用加密手段。在企业计算机网络中关于数据安全的隐患无处不在。尤其是一些机密数据库、商业数据等一定要保证它的安全性，这时一般会采取对数据加密的手段，它是一种保护数据在存储和传递过程中不被窃取或修改的一种手段，该数据加密系统在使用的过程中需要综合考虑执行效率与安全性之间的平衡。

3.加强安全管理力度健全管理制度。首先，加强信息安全管理力度应积极采取宏观管理与重点监控相结合的方式，保证信息化项目的安全性。系统的实施及管理部门应该全面掌握各单位的计算机网络系统的相关情况，为企业统一管理提供可靠依据。同时，对重点工程实地考察，对信息安全进行检查，发现问题及时解决。

4.事务管理和故障恢复。事务管理和故障恢复主要是对付系统内发生的自然因素故障，保证数据和事务的一致性和完整性。故障恢复的主要措施是进行日志记录和数据复制。计算机同其他设备一样，都可能发生各种各样的故障，比如电源故障、软件故障、灾害故障以及人为破坏等，这些故障可能会造成数据库的数据丢失，因此为了保证计算机的安全运行，必须在发生故障时采取必要的措施恢复数据库，事务管理和故障恢复就是这个作用，它能够保障数据库在出现故障时，仍可以把数据库系统还原到正常状态。

五、企业信息安全新形势

网络信息安全工作始终是通信行业最为关键的工作之一，具有长期性、复杂性和艰巨性的特点。2010年3G及宽带网络蓬勃发展，三网融合开始实施操作，云计算和物联网产业方兴未艾，需求的个性化、数字的海量化、业务的复杂化给通信行业网络信息安全带来了新的更大的挑战，行业中企业要进一步提高对网络信息安全重要性的认识，发展与管理并重，加强部门协调配合，加强网络基础管理工作，加强网络信息安全保障能力建设，特别是要加快网络信息安全关键基础产业的研发应用和产业化，通过核心技术掌握自主知识产权，加快发展自主可控的信息安全产业，建设新时期通信行业网络安全、信息安全长城。

从国际国内出现的安全现象出发，应对多种复杂的安全新问题，应该借助于RFID等物联网新技术，并通过极主动地建立网络与信息安全的保障体系，技术和管理并重，加强立法建设、政策制订、技术研究、标准制订、队伍建设、人才培养、市场服务、宣传教育等多方面的工作，通过产业链各方的紧密合作共同构造一个全方位多层次的网络与信息安全环境，来共同改善全球的网络与信息安全问题。

结束语

随着科技的发展，一些不法份子和黑客通过计算机网络窃取企业商业机密的现象越来越多，因此，对于计算机网络信息安全管理应该予以高度重视，否则可能对企业造成不可预估的损失。

参考文献

[1]林延君.局域网企业信息安全系统的设计与实现[D].大连理工大学，2006年.

[2]阳威特.Web应用程序的安全维护[J].计算机应用，2000（05）.

企业信息安全重要性范文第2篇

【关键词】信息化建设；安全管理；授权

【中图分类号】TU714 【文献标识码】A 【文章编号】1672—5158（2012）08—0255-02

0.引言

随着信息技术的不断发展以及市场竞争的不断激烈，企业信息安全建设已经成为提高企业竞争力的重要途径，杜绝信息泄露可以避免巨大的经济损失。虽然大多数企业在信息安全管理方面采取了较多的措施，但是信息安全问题仍然频发，对于企业的经营活动带来巨大的损失。加强企业内部的计算机管理，提高对于信息安全的认识程度，保证信息数据库的安全，避免信息泄露的发生已经成为现阶段企业信息化建设亟待解决的管理问题。

1.企业信息化建设信息安全影响因素分析

（1）信息系统实体安全。信息实体主要包括用于企业信息化建设的计算机、网络连接、服务器等媒介硬件设施，对于信息实体安全影响因素主要包括火灾、水灾、失窃或者是其他事故造成设备硬件的损坏，从而造成企业信息库数据安全出现问题。

（2）信息系统运行安全。信息系统的安全是指为了保证企业信息数据库的安全，采取各种措施对系统运行进行安全保护。由于信息数据库有可能受到非授权的访问、泄露、数据纂改或者是被其他非法程序控制的威胁，因此确保信息系统运行安全主要是保证信息数据库的完整、保密以及时时可用性。

（3）信息系统管理人员安全责任意识。管理人员在日常工作中的安全管理意识、专业操作水平以及法律意识等均会对企业信息数据的安全产生影响。信息安全管理人员的日常管理工作责任心以及工作方式方法，对于保证信息数据库的安全十分重要。

2.企业信息安全管理问题分析

目前由于管理制度以及软硬件设施等一系列的问题，企业数据库破坏以及重要数据信息泄漏的现象时有发生，严重影响了企业的正常生产经营活动，通过分析发现影响企业信息化建设信息安全的问题主要由以下几方面：

（1）企业内部移动存储设备管理疏松，缺乏安全保密管理制度。由于许多企业在日常管理过程中，移动存储设备使用较多，员工可以随意对企业内部的各种信息资料进行备份，企业用于经营活动的客户信息、产品设计、财务管理等各项信息极易造成泄漏，带来巨大的信息安全损失。部分企业由于对于信息安全管理认识程度不足，企业内部信息安全管理缺乏必要的规章制度，安全管理职责权限不清，信息安全漏洞较多。

（2）对于内部信息共享控制不严格，信息安全管理权限混乱。由于企业在生产经营过程中为了提高生产经营效率以及加强企业内部各部门之间的沟通联系，对于一些设计企业销售计划、客户信息以及生产计划等文件采取共享的措施，因此企业员工的流动或者其他管理不当均会造成企业信息的泄露。

（3）信息权限管理混乱，企业的中介服务体系稳定性较差。对于加密的授权访问，权限管理则成为保护企业信息安全的重要因素。但是由于企业在信息安全管理过程中体系混乱，操作权限不清晰导致经常出现影响信息安全的非授权访问。而且对于部分中小企业由于信息化建设采取对外委托的方式，而中介第三方由于稳定性难以保证，随时更换或者退出的第三方极易造成企业有价值信息的泄漏，影响企业信息安全建设。

（4）信息管理安全防范体系不健全，缺乏针对信息安全管理的专业技术人才。虽然部分企业已经认识到信息化管理的重要性，并在企业网络内设置了必要的安全设备。但是缺乏一系列的安全管理机制，在信息安全管理方面缺乏行之有效的整体规划与具体落实措施。此外，由于大部分企业在信息安全管理工作中将重点放在软硬件设施上，而忽略了对于信息安全技术人员的培养，而且为了减少人力资源支出成本，信息安全管理人员少工作任务重，管理权限集中化程度高，影响了信息化建设的安全管理。

3.企业信息建设信息安全管理措施

（1）加强对于信息库硬件设备的保护管理。首先应保证计算机等硬件设备具有安全的工作环境，做好计算机设备的防火、防潮、防盗措施，并避免强磁环境对信息数据可能造成的损坏。其次，在对各种硬件设备进行检修时，硬组织企业内部相关技术人员进行监督管理，对于需要外送检修的设备，则应提前进行数据加密处理。

（2）提高企业内部的信息安全管理意识。企业信息安全管理对于提高企业竞争力，避免企业经济损失具有重要的意义。在企业的正常管理过程中，加强信息安全宣传工作，使员工充分认识到企业信息安全管理的重要性，并熟悉企业相关信息数据保密的规则制度，提高企业的整体信息安全防范水平。

（3）加强信息安全操作管理人员的管理。在企业信息日常管理过程中，应加强对于业务操作以及数据存取控制代码的管理。系统管理操作代码的获得应经过企业管理者授权，系统管理人员在进行企业相关信息数据库的整理以及维护过程中，必须通过授权进行。系统管理人员离开工作岗位后，相关责任人应及时更换管理员操作代码。

（4）加强企业信息数据库的密码与权限管理。对于涉及到企业信息数据库安全的密码，应分别设置用户密码以及操作密码，并提高密码的安全程度，及时定期更换登陆操作密码。对于组成企业内部局域网络的服务器、路由器等设施的设置管理工作，应严格按照相关管理规定进行设置。

（5）明确企业信息数据库管理制度。对于企业重要的数据应存放备份数据，并采取异地存放的方式对备份数据库进行管理。对于废弃或者需要销毁的数据信息，应严格依照程序采取逐级审批的方式，避免数据信息的泄露。需要进行数据恢复工作时，应严格按照相关技术手册，并对恢复的数据进行验证确认数据的完整可用。

（6）加强企业信息数据机房的管理。相关人员出入信息数据库机房进行数据查阅以及提取工作时，应经由相关主管人员的授权，并登记进入。在日常管理过程中，定期对硬件设备进行保养，同时研究违章操作在信息数据机房安装外部其他软件。

参考文献

[1]沈路铁路信息系统安全风险评估研究[J]-铁路计算机应用2011（6）

企业信息安全重要性范文第3篇

关键词：信息化；信息安全；安全管理

1企业信息安全现状

近几年，随着行业信息化建设逐步深入，伴随着OA办公自动化、ERP、卷烟生产经营决策管理和MES生产制造执行等系统相继投入使用，与生产经营息息相关的关键业务对信息系统的依赖程度越来越高，企业也逐步认识到信息安全的重要性，企业员工的安全意识也都得到逐步提高。行业也相继出台了烟草行业信息安全保障体系建设指南和各类信息安全制度，并通过这几年信息安全检查工作，促进企业的信息安全水平得到了进一步提高。由于企业信息安全意识不断提高，企业不断加大信息安全方面的投入，如建立标准化的机房、购买与部署各类信息安全软件和设备等。但是木马、病毒、垃圾邮件、间谍软件、恶意软件、僵尸网络等也随着计算机技术的发展不断更新，攻击手段也越发隐蔽和多样化。企业不仅要应对外部的攻击，也要应对来自于企业内部的信息安全威胁，安全形势不容乐观。企业的信息安全已不仅仅是技术问题，还需要借助管理手段来保障。企业如果不能正确树立信息风险导向意识，一味注重“技术”的作用，忽略“管理”的重要性，就很难发挥信息安全技术的作用，无法把企业的各项信息安全措施落到实处，企业的信息安全也就无从谈起。只有切实发挥管理作用，企业的信息安全才能得到有效保障。

2企业信息安全体系架构

在谈到信息安全时，大多数刚接触的人都比较疑惑，都说保障信息安全十分重要，那到底什么是信息安全呢？下面就简单介绍一下信息安全的概念以及企业的信息安全体系架构。2.1信息。对企业来说，信息是一种无形资产，具有一定商业价值，以电子、影像、话语等多种形式存在，必须进行保护。2.2信息安全。主要是指防止信息泄露、被篡改、被损坏或被非法辨识与控制，避免造成不良影响或者资产损失。2.3企业信息安全体系架构。在保障企业信息安全过程中，信息安全技术是保障信息安全的重要手段。通过上文对企业信息安全现状的分析，不难看出企业信息安全体系主要分为技术、管理两个重要体系，进一步细分则涉及安全运维方面。2.3.1信息安全技术体系作用。主要是指通过部署信息安全产品，合理制定安全策略，实现防止信息泄露、被篡改、被损坏等安全目标。信息安全产品主要是指实现信息安全的工具平台，如防火墙类产品、防攻击类产品、杀毒软件类产品和密码类产品等，而信息安全技术则是指实现信息安全产品的技术基础。2.3.2信息安全管理体系作用。完善信息安全组织机构、制度，细化职责分工，制定执行标准，确保日常管理、检查等制度有效执行，最大程度发挥信息安全技术体系作用，确保信息安全相关保护措施有效执行。通过上文简单介绍，对信息安全以及信息安全系统有了大概了解。可以看出单纯借助技术或管理无法保障企业信息安全，因此，建立企业信息安全管理体系的重要性也就不言而喻。

3信息安全管理体系概念

3.1信息安全管理。运用技术、管理手段，做好信息安全工作整体规划、组织、协调与控制，确保实现信息安全目标。3.2管理体系。体系是指相互关联和相互作用的一组要素，而管理体系则是建立方针和目标并实现这些目标的体系。3.3信息安全管理体系（ISMS）。在一定组织范围内建立、完成信息安全方针和目标，采取或运用方法的体系。作为管理活动最终结果，包含方针、原则、目标、方法、过程、核查表等众多要素。3.4建立信息安全管理体系的目的。作为企业总管理体系的一个子体系，目的是建立、实施、运行、监视、评审、保持和改进信息安全。3.5信息安全管理体系涉及的要素。3.5.1信息安全组织机构。明确职责分工，确保信息安全工作组织与落实。3.5.2信息安全管理体系文件。编制信息安全管理体系的方针、过程、程序和其他必需的文件等。3.5.3资源。提供体系运转所需的资金、设备与人员等。

4信息安全管理体系机构设置以及作用

在建立企业的信息安全管理体系之前，如果没有设置相应的信息安全组织机构，那么建立体系所需要的资源（资金、人员等）就无法得到保障，企业的信息安全制度和策略也就无法贯彻落实，企业的信息安全管理体系就形同虚设起不到任何作用。因此，企业在建立信息安全管理体系前必须建立健全信息安全组织机构，机构设置可以根据职责分为三个层次。4.1信息安全决策机构。信息安全决策机构处于安全组织机构的第一个层次，是本单位信息安全工作的最高管理机构。应以单位主要领导负责，对信息安全规划、信息安全策略和信息安全建设方案等进行审批，并为企业信息安全工作提供各类必要资源。4.2管理机构。处于安全组织机构的第二个层次，在决策机构的领导下，主要负责企业日常信息安全的管理、监督以及安全教育与培训等工作，此类工作大部分都由企业的信息化部门承担。4.3执行机构。处于信息安全组织机构的第三个层次，在管理机构的领导下，负责保证信息安全技术体系的有效运行及日常维护，通过具体技术手段落实安全策略，消除安全风险，以及发生安全事件后的具体响应和处理，执行机构人员可以由信息中心技术人员与各部门专职或兼职信息安全员组成。

5信息安全管理体系的建立

ISO/IEC27001:2005标准的“建立ISMS”章节中，已明确了信息安全管理体系建立的10项强制性要求和步骤。企业应结合自身实际情况，遵照这些内容和步骤，建立自己的信息安全管理体系，并形成相应的体系文件。5.1建立的步骤。（1）结合企业实际，明确体系边界与范围，并编制体系范围文件。（2）明确体系策略，构建目标框架、风险评价的准则等，形成方针文件。（3）确定风险评估方法。（4）识别信息安全风险，主要包括信息安全资产、责任、威胁以及造成的后果等。（5）进行安全风险分析评价，编制评估报告，确定信息安全资产保护清单。（6）明确安全保护措施，编制风险处理计划。（7）制定工作目标、措施。（8）管理者审核、批准所有残余风险。（9）经管理层授权实施和运行安全体系。（10）准备适用性声明。以上步骤解释不详尽之处，参看ISO/IEC27001:20054.2.1章节中A-J部分。5.2信息安全管理体系涉及的文件。文件作为体系的主要元素，必须与ISO/IEC27001:2005标准保持一致，同时也要结合企业实际，确保员工遵照要求严格执行。而且也要符合企业的实际情况和信息安全需要。在实际工作中，企业员工应按照文件要求严格执行。5.2.1体系文件类型主要涉及方针、程序与记录三类。方针类主要是指管理体系方针与信息安全方针，涵盖硬件、网络、软件、访问控制等；程序类主要是指“过程文件”，涉及输入、处理与输出三个环节，结果常以“记录”形式出现；记录类主要是记录程序文件结果，常以是表格形式出现。至于适用性声明文件，企业应结合自身情况，参照ISO/IEC27001:2005标准的附录A，有选择性地作出声明，并形成声明文件。5.2.2体系必须具备的文件。主要包括方针、风险评估、处理、文件控制、记录控制、内部审核、纠正与预防、控制措施有效性测量、管理评审与适用性声明等。5.2.3任意性文件。企业可以针对自身业务、管理与信息系统等情况，制定自己独有的信息方针、程序类文件。5.2.4文件的符合性。文件必须符合相关法律法规、ISO/IEC27001:2005标准以及企业实际要求，保证与企业其他体系文件协调一致，避免冲突，同时在文字描述准确且无二义。

6体系实施与运行

主要包括策略控制措施、过程和程序，涉及制定和实施风险处理计划、选择控制措施与验证有效性、安全教育培训、运行管理、资源管理以及安全事件应急处理等。

7体系的监视与评审

主要指对照策略、目标与实际运行情况，监控与评审运行状态，主要涉及有效性评审、控制措施测试验证、风险评估、内部审核、管理评审等环节，并根据评审结果编制与完善安全计划。

8体系的保持和改进

主要是依据监视与评审结果，有针对性地持续改进。主要包括改进措施、制定完善措施、整改总结等，同时需相关方进行沟通，确保达到预计改进标准。

9结语

企业信息安全重要性范文第4篇

[关键词]电力企业；信息安全；运行维护

doi：10.3969/j.issn.1673 - 0194.2016.16.000

[中图分类号]TM73；TP309 [文献标识码]A [文章编号]1673-0194（2016）16-00-02

1 我国电力企业的信息系统存在的问题

1.1 电力企业的信息安全意识比较差

信息化给企业带来的各方面积极作用已经被人们熟知和认可，然而，信息技术的作用在被人们关注的同时，信息化安全方面的问题层出不穷。安全问题出现的原因主要是由电力企业基层员工的安全意识较差造成的。近几年来，随着信息安全事件的不断出现，电力企业的管理者加大了对安全问题的重视，其安全意识不断提高，但是电力企业的基层员工对于信息安全的重要性认识还不足，造成了企业的信息安全问题依然不断出现。一方面，电力企业信息安全问题直接影响企业的管理，对于基础员工的直接影响较小，因此，对于信息安全问题电力企业的管理者比较敏感，电力企业的基层员工的安全意识比较差。另一方面，电力企业的管理层虽然提高了对信息安全问题的重视，但是却很少有企业制定切实可行的规章制度或者解决措施，更没有把相关的规章制度有效的执行下去，落实到企业每个员工的身上，因此，电力企业的基层员工对于信息安全的认识不足，安全意识相对较差。

1.2 电力企业信息系统的技术性较差

信息技术随着社会的进步在不断的革新。因此电力企业的信息系统必须要随着信息技术的进步不断的变化，由此可知，电力企业的信息系统是动态的发展过程，因此，电力企业在应用全新的信息系统的过程中难免存在技术缺陷，这就为电力企业日常的经营与管理埋下了安全隐患，一旦出现安全问题，企业的重要信息资源可能被盗取，直接影响企业的经济利益以及长期稳定的发展。例如：TCP/IP协议设计如果不够全面、科学就会直接导致信息系统的软件和硬件存在安全隐患，严重时会导致企业的软件崩溃，企业的重要信息资源也将瞬间化为乌有，影响企业的日常管理，对于企业长期稳定的发展非常不利。

1.3 信息系统的管理水平相对较低

信息系统安全问题给电力企业带来的危害是巨大的，这一点已经引起了电力企业管理层的高度重视，然而，目前电力企业的信息系统管理水平不是很高，企业管理中的漏洞给信息系统带来了很多问题；部分管理人员在管理信息系统的过程中疏忽大意，增加了企业信息系统安全问题发生率；信息操作人员的操作程序不规范，一旦信息系统出现问题，企业的管理者不能第一时间知道是哪个程序出现了问题，从而不能及时解决信息安全问题，最终可能影响到企业的信息安全，给企业带来巨大的损失。

1.4 电力企业信息系统集成性低

电力企业的业务部门相对较多，各个部门之间缺乏必要的沟通和有效的渗透，因此，企业信息系统的集成性较低。企业的信息系统中，各个部门的相关业务相互独立，相互之间缺乏联系，使得企业的信息系统中各个部门之间的数据信息存在很大的差距，各种信息的相关性不高，数据信息之间的联系非常小，信息数据不能有效地衔接在一起。最终使企业信息化缺乏整体性，信息化应用的最终目的不能实现，电力企业及时信息化程度非常高，难以实现信息化给企业带来的优势。

2 加强电力信息安全运行维护与管理的措施

2.1 提高企业信息安全意识，不断完善企业的安全管理制度

电力企业必须认识到应用信息技术的前提就是要保证企业信息的安全性，如果不能有效地保证企业信息的安全，那么电力企业应用信息技术的初衷将不能很好的实现。为了有效提高企业的安全意识，首先，电力企业的管理者人员应该加强对企业员工信息安全知识的教育，让每个工作人员都能意识到信息安全的重要性，积极地为企业提高信息安全出谋划策。其次，电力企业应该积极地学习西方先进的安全防范措施，根据自身的实际情况制定有效的措施。最后，电力企业应该制定完善的安全管理制度，合理保证企业信息的安全性。在制定安全管理制度的过程中一定要保证责任到人，一旦出现信息安全问题，电力企业能够第一时间找到问题的所在，及时解决相关问题，同时还能追究直接责任人的相关责任，保证企业安全制度落实到实处。

2.2 提高信息系统技术水平

面对技术缺陷，电力企业应该积极的提高信息系统的技术水平，采取有效措施避免系统缺陷导致的安全问题。首先，电力企业应该设置有效的应急措施，一旦信息系统出现技术上的问题，必须要保证信息的完整性，防止不法分子利用技术缺陷来危害企业的信息系统。例如：企业可以安装自动报警系统，一旦发现有人利用技术缺陷盗取企业的数据信息，第一时间报警，让相关人员采取应急措施防止企业信息泄露。其次，电力企业应该不断提升信息系统的技术水平，加强对信息技术的研究与探索，利用高级、精密、尖端的技术来规避企业信息系统中的技术缺陷，保证企业信息的安全。再次，电力企业要加强网络防护技术在信息系统中的应用，安装IDS以及IPS技术系统加强企业信息系统的网络防护能力。最后，电力企业应该启动安全审计系统，对企业信息系统进行严格的审计，一方面，企业能够第一时间发现信息系统的问题，及时解决相关问题；另一方面，通过审计系统的分析，企业能够全面了解信息系统的运行情况，帮助企业更好地查看信息系统的运行状况。

2.3 提高信息管理的水平

电力企业的管理者在重视信息安全问题的同时，必须加强对信息的管理，提升企业的信息管理水平。制定严格的工作责任制，一旦发现信息安全问题，做到责任到人，防止管理人员由于麻痹大意而导致的信息安全问题。作为信息管理人员，如果自身的管理范围内出现了信息安全问题，企业一定会追究其管理责任，这对于提高管理人员的警惕性，减少其麻痹大意的作用非常有效。电力企业对于信息系统的操作人员要进行定期培训，强调信息操作标准的重要性，对于不严格按照信息操作标准操作的工作人员进行严厉处罚，情节严重的给予开除。另外，电力企业要加强对信息系统的维护，及时修复信息系统的漏洞，提高企业的信息管理水平。

2.4 提升电力企业信息系统的集成水平

信息系统的集成性是指企业在一定的技术指导下，能够实现对企业各个部门的有效调配，从整体上掌握企业日常运行情况以及企业在日常管理中存在的问题，满足客户对于企业的不同需求，在提高企业管理水平的同时，实现企业的高速发展。电力企业针对目前集成水平低的问题，必须要引起高度重视，采取有效措施提高企业集成水平。首先，电力企业应该加强各个部门之间的沟通与联系，保证企业各个部门数据信息的衔接度。其次，电力企业应该加强企业信息系统的一体化建设，站在企业的高度对企业中的财务系统、生产系统以及办公系统进行统一的管理与应用，提升企业信息系统的集成水平。

3 结 语

电力是我国经济发展的基础。电力企业必须拥有足够的安全意识，保证企业长期稳定的发展。我国电力企业采用信息技术来帮助企业更好的运营和管理是很有必要的，其出发点与落脚点都非常符合我国市场经济发展的要求。然而，如果电力企业的安全防范不能及时地跟上企业信息技术的应用步伐，那么电力企业应用信息技术的目的不但不能实现，很可能会适得其反，使电力企业降低经济效益。

主要参考文献

企业信息安全重要性范文第5篇

关键词 信息安全事故；安全管理；事故致因理论

中图分类号 F49

文献标识码 A

文章编号 1006-5024（2013）01-0055-04

一、引言

在信息化浪潮席卷全球的今天，信息的重要性不言而喻。我国国民经济和社会信息化建设进程全面加快，网络与信息系统的基础性、全局性作用日益增强，信息技术在提高企业服务水平、促进业务创新、提升核心竞争力等方面发挥了重要作用。但是，在进行信息化建设的同时，各种信息安全事故却频繁发生。据普华永道2010年度全球信息安全调查报告显示，中国企业信息安全事故发生率远远高于世界平均水平。网络事故、数据事故及系统事故是中国企业常见的三大信息安全事故，发生率分别为51%、45%和40%，而相同事故在全球范围内的发生率则为25%、27%与23%。

大量文献和事实表明，信息的特殊性决定了信息安全事故的高发性。信息具有易传播、易扩散、易毁损的特点，信息资产比传统的实物资产更加脆弱，而其运作的风险、收益和机会却比实物资产大得多。企业对信息系统不断增强的依赖性也增大了重要信息受到严重侵扰和破坏的风险，而这些风险常导致企业资产受损或业务中断。

目前，对于信息安全的研究大多集中于技术层面，从早期的加密技术、数据备份、防病毒到近期网络环境下的防火墙、入侵检测、身份认证等，而从管理方面和流程优化方面研究的较少。Ross Anderson（2001）认为，信息安全的经济管理研究在某种程度上比技术研究更为重要。傅毓敏（2010）认为，中国企业对信息安全管理人员和流程的重视不足是导致相关安全事故率居高不下的主要原因。因此，有必要系统分析企业信息安全事故发生的机理，以管理因素研究为核心，找出事故发生的根本原因。通过控制事故致因因素预防企业信息安全事故的发生，将对企业的信息安全管理有一定的指导意义。

本文将生产领域的事故致因理论应用到信息安全事故分析中，系统分析企业信息安全事故的形成机理，将信息安全事故致因因素分为四部分，即环境因素、人员因素、技术因素和设备因素，分析各因素对信息安全事故的影响，构建信息安全事故致因因素鱼刺图，并提出针对性的防范措施。

二、理论基础

（一）国内外从管理角度对信息安全事故的研究

国内外的学者从不同角度对信息安全事故原因进行了研究。Van Niekerk（2010）认为企业信息安全文化氛围是减少人为因素所导致的信息安全事故的关键；Knapp（2009）等先后对信息安全政策和信息安全事故之间的关系进行了研究；Herath（2009）通过问卷调研的实证研究验证了惩罚力度、压力和员工的效果认知会对其安全行为产生影响；Albrechtsen（2010）发现员工参与、集体反思和群体作用可以提高员工的信息安全意识，并改善其安全行为；Stanton（2005）研究发现终端用户的安全行为会对企业信息安全管理产生影响；Ashenden（2008）通过实证研究发现信息安全管理人员、高层管理者和终端用户之间存在信息鸿沟，双方在理解上的差异会对企业的信息安全管理产生不利影响，增加了信息安全事故发生的几率。此外，Vroom（2004）、Flowerday（2005）等学者也先后对此进行了研究。

与国外相比，国内对于信息安全的研究多集中于技术层面，涉及管理层面的研究较少。沈昌祥、张焕国、冯登国（2007）系统地阐述了信息安全理论及相关技术的发展；官巍、胡若（2007）从社会环境、商业、组织和个人的角度分析了电子商务的信息安全问题；刘福来（2010）对中小企业信息化管理中存在的安全隐患和原因进行了分析。

通过阅读文献发现，国外学者大多通过实证研究验证了一个或几个因素对信息安全事故的影响，但是缺乏对信息安全事故的系统分析。国内的研究多用于构建信息安全管理体系，对信息安全事故的分析则鲜有研究。

（二）事故致因理论

在信息安全事故分析方法的选择上，本文选择了在生产领域广泛应用的事故致因理论。事故致因理论是研究分析导致事故发生原因因素的科学理论。它是描述事故成因、经过和后果的理论，是研究人、物、环境、管理及事故处置等基本因素如何起作用而形成事故并造成损失的理论。

在早期的事故致因理论中，海因里希（W.H.Heinrich）的事故因果连锁论最具代表性，它最先提出了物的不安全状态和人的不安全行为是导致伤亡事故发生的两个直接因素。在海因里希事故因果连锁论的基础上，博德（F.Bird）等又进一步提出了把安全管理作为背后深层次的间接事故致因因素的现代安全科学观点，认为任何安全事故发生的深层次原因，都可以归结为管理的失误，人的不安全行为或物的不安全状态不过是其背后的深层原因的征兆和管理失误的反映。

本文依据博德（F.Bird）的现代安全科学观点，提出如图1所示的信息安全事故模型。信息安全事故的发生是由于人的不安全行为和物的不安全状态作用在能量物质/载体上的结果，而企业的管理因素是导致物的不安全状态和人的不安全行为发生作用的直接因素。

三、信息安全事故分析

通过对各类型信息安全事故致因因素的分析，企业信息安全事故的致因因素大体可分为两类，即人的因素和物的因素。其中，物的因素可进一步分为环境因素、技术因素、设备因素等。根据实地调研和文献梳理可以得出，企业文化的缺失、安全规章制度的不完善等环境因素是造成事故的深层原因。因此，本文将企业信息安全事故的可控致因因素整理归纳后分为四类，即环境因素、人员因素、技术因素和设备因素，并构建了信息安全事故鱼刺图（见图2）。

（一）环境因素分析

在信息化建设过程中，很多企业由于急需开展业务，往往出现“先业务，后安全”的现象，安全管理严重滞后于业务的发展。在企业的内部环境中，企业业务的符合性直接决定了信息系统的设计、运行、试用和管理是否超出法律规定和合同规定的安全要求的约束范围。另外，很多企业安装了一定的安全设备，但缺乏统一的安全体系规划和安全防范机制，企业安全责任不明确，这些都大大增加了信息安全事故发生的风险。由于缺乏业务连续性计划和事故处理机制，发生信息安全事故之后，企业的业务往往会出现中断，此时，信息管理人员又变成“救火员”恢复业务，最终信息安全建设变成一种“头痛医头，脚痛医脚”的亡羊补牢式的行为。此外，企业惩戒措施和审计机制的缺乏也是导致信息安全事故频繁发生或重复发生的重要因素。

在信息安全管理的外部环境中，与企业密切相关的是第三方服务机构或个人。企业选择第三方服务机构为企业提供服务，就意味着将企业的部分信息转移至第三方。企业与第三方的外包合约不完善、第三方的服务质量不高以及对第三方数据访问权限的不明确易导致企业关键数据的泄露，容易引发外部攻击。

（二）人员因素分析

人员是信息安全管理中最为活跃的因素，不同类别的人员对信息安全事故的影响不尽相同。（1）管理人员。高层管理者是企业资源投入的决策者，也是企业信息安全管理的核心，高层对信息安全的支持和重视不够是导致企业信息安全文化欠缺和员工信息安全意识淡漠的关键因素。中层管理者作为衔接企业高层和基层的桥梁，其对上级决策的执行力度直接决定了企业信息安全管理实施的效果。（2）技术人员。在企业中，技术人员可以保证企业信息系统的日常运营和维护。但大多数企业，尤其是中小企业缺乏信息技术人才和安全监察、审计人员。由于受人员及技术的限制，往往一个管理员既要负责系统的配置，又要负责系统的安全管理，安全设置和安全监督都是“一肩挑”。这种情况使得管理权限过于集中，一旦管理员的权限失控，极易导致重要信息泄露。（3）基层人员。目前，我国企业的基层员工普遍缺乏信息安全的教育、培训，对信息安全意识淡漠，每天都在以不安全的方式处理着企业的大量重要信息，如随意使用移动设备、上网不限制等，这些不安全的行为都对企业的信息系统构成了潜在的威胁。

（三）技术因素分析

信息安全技术是企业防范信息安全事故的基本因素，也是我国企业在信息安全管理中投入较多的一部分。具体而言，导致信息安全事故技术方面的因素可以分为两大类：（1）软件因素，包括软件设计缺陷或存在技术漏洞、杀毒软件不及时更新以及突发的软件故障等。（2）信息系统设计因素，包括信息系统设计时没有以风险评估为基础、业务流程描述错误或遗漏、前期测试不充分、数据访问权限设置不清晰、关键数据没有备份、信息资产安全等级不明确以及信息资产没有保护措施等因素。这些不安全的技术因素导致了信息安全漏洞存在的必然性和普遍性。在目前互联网普及的开放网络环境中，这些漏洞无疑会给外部攻击者留下可乘之机，导致信息安全事故的发生。

（四）设备因素分析

企业信息安全管理的设备主要包括中心机房、服务器、网络设备、线路等方面，这些是企业信息安全保障系统的基础。由于设备因素引起的信息安全事故包括硬件自身故障、保障设施故障、人为破坏事故、其他设备设施故障等四种，其致因因素可以归纳为三类：（1）物理安全方面，包括物理安全边界不明确、非授权的物理访问、设备或存储介质缺乏安全措施、设施设备的非授权使用或移动、硬件失效等。（2）保障设施方面，包括供电或空调中断、电气故障、电缆损坏等。（3）外界不可抗力，包括水灾、台风、地震等自然灾害和恐怖袭击、战争等外界不可抗力因素。这些因素往往会造成设施设备硬件的损坏，导致存储于设备上的数据受到干扰和破坏，容易引发企业业务的中断。

四、防范措施

针对上述造成信息安全事故的因素分析，可以从人员培训、制度完善以及硬件改进三个方面进行防范。具体而言：

（一）建立有效的“人力防火墙”，减少人为因素导致的信息安全事故

信息安全是企业每个员工都要面对的问题，通过建立“人力防火墙”能真正调动企业实现长治久安的内在动力。因此，必须加强信息安全宣传工作，增强所有员工对信息安全重要性的认识。通过增强管理人员对信息安全的重视，营造企业的安全文化氛围，提高企业员工的信息安全意识；通过对员工进行安全教育与培训，增强员工的安全技能；通过法律法规、安全政策、访问权限与惩戒措施来约束员工的行为，减少不安全行为的发生。最终在企业内部形成一种“信息安全，人人有责”的企业文化氛围，减少人为因素导致的信息安全事故。

（二）完善企业信息安全管理体系，减少由于环境、技术因素导致的信息安全事故

信息安全管理体系是依据企业信息安全需求、业务流程分析和风险评估的结果，综合利用各种信息安全技术与产品，在统一的综合管理平台上建立的信息安全管理机制和防范体系。建立并完善信息安全管理体系，可以为企业的信息管理提供来自策略、设计以及运行等各个层面和阶段的安全保障，有效减少由于环境因素和技术因素引起的信息安全事故。建立灾难恢复与业务持续性计划，强化重要信息数据备份，在信息安全事故发生时能确保业务持续开展，将损失降到最低程度；建立集中化的管理控制机制，将数据安全控制进行集中化管理，建立一个具有全局性的网络管理平台，以确保安全防范策略能够由上至下全面贯彻执行，减少数据安全风险；以“适度防范”为原则，选择合适的安全技术与产品，制定相应的访问控制策略，在考虑成本和投资回报的基础上满足企业业务安全的需求。