公司网络安全建设

前言：想要写出一篇令人眼前一亮的文章吗？我们特意为您整理了5篇公司网络安全建设范文，相信会为您的写作带来帮助，发现更多的写作思路和灵感。

公司网络安全建设范文第1篇

关键词：地市烟草；网络安全；技术；管理

中图分类号：TP393.08 文献标识码：A 文章编号：1674-7712 （2014） 02-0000-02

烟草行业自1985年有了第一台计算机以来，经过20多年行业信息化工作者孜孜不倦的努力，行业的信息化建设工作取得了长足的发展，建立了涵盖行业各个方面工作的完备的信息网络，为行业工作的便捷开展提供了可靠的信息化助力，为“卷烟上水平”做出了应有的贡献。但不可否认的是，在信息化建设之初，由于经验的缺乏及技术的限制，没有形成一个具有远见性及科学性，能与行业整体业务发展战略紧密融合的信息网络安全建设战略，导致多年来行业信息网络安全建设工作缺乏统一的导向和组织，虽然各省烟草公司都制定并出台了计算机网络建设与管理规范，指导各地市的信息网络建设，但因为制度出台时间较短，及网络改造需要流程与时间，可以说目前各地市网络安全建设水平仍不够理想，信息网络安全建设发展至今，越来越多的困难与矛盾开始逐渐凸显。

一、地市烟草公司信息网络安全建设现状

地市烟草信息网络是构成全省烟草信息网络的个体，因此地市信息网络安全建设水平便直接关系全省信息网络建设水平，是构成全省信息网络安全建设的一环，就像构成木桶的一板，依据管理学上“木桶效应”的短板理论，木桶的盛水量由构成木桶的最短的一板决定，当有一个地市信息网络安全建设水平大大低于平均水平，就将大大拉低全省烟草信息网络整体安全防护水平。可以说全省烟草的信息网路安全建设必将是环环相扣的，一环均不得松懈，一环均不得落后。

地市信息网络安全建设关系到全行业主干的网络的安全与稳定，而信息网络环境的复杂性、多变性以及系统的脆弱性、开放性和易受攻击性，决定了信息网络安全威胁的客观存在。当行业人员在享受着信息网络给日常办公带来便利性的同时，信息网络安全问题也日渐突出，信息网络安全建设形势日益严峻。结合地市烟草实际情况分析总结（某地市烟草信息网络安全结构图如下），以及笔者日常的实际工作体会，主要可以总结出当前地市烟草信息网络安全建设还主要存在着以下几方面问题：

（一）将信息网络安全建设理解为单纯的安全设备采购

经过多年的信息化网络安全建设投入，一种简单的理念容易令一些行业信息化工作从业者产生误解，即所谓的信息网络安全建设就是网络安全设备的采购，只要网络安全设备采购部署到位，信息网络安全便高枕无忧，从一定角度来说，这种观点并没有错误，随着信息技术的发展，日益先进强大的网络安全设备层出不穷，人性化的操作界面也使得设备使用与配置变得不再困难，对信息网络安全起到很好的保障。各地市烟草公司也在逐年增加着安全设备的采购数量，网络安全随着安全设备的增加看起来已经不再是问题。但实际情况是这样吗？在实际情况中我们仍然会发现，地市烟草在重视网络安全设备采购的时却较为忽视对网络安全设备采购的前期规划，导致亟需网络设备没有得到采购，或者采购的安全设备没有得到很好的实施。造成重复投资及资产浪费的局面，同时设备上线实施后期的运行维护及更新升级，随着时间的流逝，人为的懈怠与忽视，都导致购买的安全设备没有起到最大的作用。

（二）信网络安全建设偏重技术钻研，忽略日常管理

信息网络安全不能完全依赖技术手段来解决，更多的需要从信息安全日常管理上入手，毕竟信息网络的使用者是人，只有对人的管理到位，才能保证在技术手段搭建的网络安全保障平台下不出现人为操作引发的漏洞。当前地市信息化工作从业者在对信息安全技术钻研方面投以了很大的热情，但对信息网络安全日常管理方面却显得无能为力，或者说掌控能力还不够，虽然制定并颁布了涵盖网络安全各方面的信息化制度，但相关制度却没有得到很好的贯彻执行，很多制度名存实亡，而行业各级员工良好信息网络安全使用习惯始终没有得到养成，信息安全问责机制得不到很好实施，同时而信息中心作为相关信息安全管理制度的制定者，受限于部门职能及自身管理水平所限，导致对制度执行的监督管理能力低下。而在信息网络安全管理不力的情况下，致使再强大的技术防护都无法避免管理缺失形成的隐患。

（三）信息网络安全建设重视对外防护，忽视对内防护

当前网络安全建设更多的针对外来攻击的防护，而忽视对内的安全防护，更多的是在网络边界搭设安全设备抵御从外部而来的非法入侵及非法访问，而针对内部终端用户的审计及跟踪则较为缺失。根据统计结果标明，99.9%的网络安全事件来源于网络内部，而只有0.1%安全事件来自于外部，绝大多网络安全事件来自于以内部客户端为跳板进行的网络攻击。当企业内部存在有恶意的攻击者，他们就能较好的规避防火墙等安全设备的安全策略，并把安全策略转向对于他们有利的一面，对内部网络进行攻击。同时外部的黑客，也能通过木马，能让内部用户运行他们指定的程序，操纵主机，窃取数据，这些都源于当前的信息网络建设对来自网络内部攻击防护较为薄弱，同时对内部网络准入控制把控力度做得较为不足，虽部署有桌面终端管理系统，但在相应策略部署上，没有及时到位，而该系统特殊的技术阻断方式，也在一定程度容易导致其阻断率无法达到100%。

（四）网络安全建设应急机制不健全

目前地市信息网络安全建设更多的是重视的日常安全巡检等日常检查工作，但是对网络突发事件的应急处置则较为欠缺，地市网络安全建设应急机制建立不健全，缺乏相应网络事故应急预案及相关演练，对突况的应变不熟练，导致出现突发的网络安全事故时则会变得手忙脚乱，无法很好应对突发事件带来的异常，促使事故造成的损失愈发严重，同时没有良好的容灾备份机制，一旦信息安全事故发生，是否能快速有效的恢复关键数据成为疑问。

二、针对当前网络安全建设现状的一些建议

针对当前地市烟草信息网络安全建设过程中存在的问题，通过一定的分析总结，参照最新的技术规范及管理理念，以及上级的制度规定，我们试提出以下几条改进建议，以达到全面提升信息网络安全建设实用性、科学性、全面性、稳定性的效果，具体如下：

（一）加强网络安全设备采购的前期规划及合理配置实用

网络安全设备的采购应加强前期规划及需求分析工作，不能无目的，无原则的一味追求高新设备，当前的现状是各地市对网络安全的设备采购均存在着档次及匹配性问题，存在过大及追高的弊病，形成投资浪费，同时由于项目管控能力较弱，前期规划不足，购置的设备在配置实施后等不到很好的使用，或起不到原先预想的效果。因此要加强项目前期规划，做好需求调研与需求分析工作，对网络安全设备应起到的效果及采购设备级别有准确的预估，加强采购项目的整体实施管控，并重点关注设备采购后的实施上线工作，做好安全策略的制定和部署，要充分利用设备、活用设备，充分达到应起的效用，在设备正式上线运行后，要做好安全防护策略的及时更新与修订，作好安全设备的日常巡检工作，保证安全设备始终发挥作用，而不是上线运行一段时间后就闲置不管。通过对购置网络安全设备活用、善用，提升资产投资价值，搭建坚固稳妥信息网络安全环境，促进信息网络安全建设的实用性。

（二）建立完善的信息网络安全日常管理体系

加强网络安全建设的日常管理工作，应以培养员工的良好的网络安全习惯为工作重点。所谓信息网络安全建设“三分技术，七分管理”，管理到位，信息网络安全建设也将事半功倍。一味单纯的依靠技术进行网络安全防护，而管理上存在漏洞，再强大的技术也将一无所用。好的技术，加上完善严密的管理，才能确保信息网络安全、坚固、稳妥。因此要注重建立完善信息安全管理保障体系，加强安全监管和信息安全等级保护工作，要对网络设备的安全性和信息安全专用产品实行强制认证。同时在加强对员工日常信息安全理念培训的同时，要与接入网内的计算机终端使用者签订信息安全责任状，树立“谁使用、谁负责”、“谁管理、谁负责”的信息安全理念，严格落实信息安全责任制，确保员工不敢轻易触碰信息安全底限，养成良好信息网路安全使用习惯。通过建立全面多级信息网络安全管理体系，增进信息网络建设的科学性。

（三）加强信息网络安全建设对内防护工作

地市公司目前均在互联网出口及边界架设了硬件防火墙等安全设备，但由于防火墙的特殊技术架构，其对内部通过防火墙外部的数据是不进行检测的，这就导致黑客可以利用内网主机上的后门程序，建立隐蔽信道，攻破防火墙，因此其在抵御外部攻击上起到较好作用，但面对来自网络内部的攻击就显得束手无策，针对这一情况，在进行信息网络安全建设的同时，应重点加强信息网络安全的内部防护工作，而加强对客户端的上网行为审计及网络准入控制，就成了加强信息网络内部安全建设的必然选择。客户端接入网络的同时，通过对其安全状况及授权情况进行检测，只有安全状况符合要求，得到合理授权的客户端才能正常接入办公网络。应在互联网出口处，防火墙之前，部署上网行为管理设备，对客户端出互联网的数据进行检测及筛选，降低客户端进行危险的互联网访问，感染病毒，遭受攻击的分险。通过加强信息网络安全建设的内部防护，提升信息网络安全的全面性。

（四）加强信息网路安全建设应急机制建设及演练

要加强信息网络安全建设的应急机制建设，加强应急预案的实施演练，增强对网络安全突发事件的应急处理能力。每年应进行定期仿真度高的应急方案演练，模拟网络安全事故发生时可能发生的情况，进行针对性演习。在方案演练前，要做好演练前期的方案策划，演练过程的完全记录，演练过后的总结分析工作。并以此来不断改进现有的应急预案。同时应做好容灾备份工作，进行关键网络设备的冗余配置及重要数据库的备份工作，确保发生突发事件后，能够及时进行网络及数据恢复工作，将突发事件带来的影响降到最低，不过多的影响正常办公业务的开展，确保信息网络安全的稳定性。

四、结束语

烟草是个比较特殊的行业，在专卖体制下实行“统一领导?垂直管理?垄断经营”，处于一种行政限产型的垄断状态。行业的特殊性要求我们必须克服特殊体制带来的缺陷，高效的开展行业信息化建设工作。地市信息网络安络，作为全省信息网络的组成部分，其信息安全建设水平决定了全省信息网络安全性与稳定性，其重要性不言而喻，只有重视信息网络安全建设，重视当前信息网络安全建设过程中发现的问题，通过科学的规划，合理的布局，周密的实施，去逐渐改变当前的不利局面，才能确保信息网络安全建设的科学性、全面性、稳定性与实用性，确保日常信息网络的平稳运转，为全行业的快速发展提供稳定强大的信息化助力！

参考文献：

[1]福建省烟草公司.计算机网络建设与管理规范[Z].2012.

[2]卢昱，王宇.信息网络安全控制[M].北京：国防工业出版社，2011.

公司网络安全建设范文第2篇

关键词：企业；网络安全；对策

一、企业网络安全的内涵

企业网络安全是指企业网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者恶意的原因而遭受到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断。企业网络安全从其本质上来讲就是企业网络上的信息安全。从广义来说，凡是涉及到企业网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论都是网络安全的研究领域。

二、企业网络安全存在的问题

（一）安全意识淡薄

在企业网络系统中，每一台计算机的安全性都会影响整个系统的安全性能，网络安全与每个用户息息相关。内部员工了解公司的网络结构、数据存放方式和地点甚至掌握业务系统的密码。在具有严格访问权限的系统中，使用弱密码的用户有可能成为安全系统中的缺陷，甚至有些人随意改动系统注册表，使得整个网络安全系统失效。

（二）网络安全体系不健全

当前很多企业尽管采取了一些安全措施，但安全保护措施较为零散，缺乏整体性与系统性，对于企业网络信息安全保护缺乏统一的、明确的指导思想，没有建立一个完善的安全体系，这是引发安全问题的主要源头。

（三）网络黑客攻击

黑客肆意妄为，破坏的手段也越来越多样化。企业的内部资料对于整个企业经营来说相当重要，因为它关系到整个企业的生死存亡。企业存放信息会因网络黑客攻击而造成资料的泄密。

（四）来自企业外部的感染

来自企业外部的计算机病毒具有传播性、破坏性、隐蔽性、潜伏性和可触发性等特点，通过入侵网络系统和设备，对数据进行破坏，使网络瘫痪，不能正常运作。网络蠕虫由于不需要用户干预就能触发，因而其传播速度要远远大于计算机病毒，其对网络性能产生的影响也更为显著和严重。木马是指附着在应用程序中或者单独存在的一些恶意程序，它可以利用网络远程控制安装有服务端程序的主机，实现对主机的控制或者窃取主机上的机密信息。

（五）来自企业网络内部的攻击

企业防护重点是对外，往往忽视对内部防护的重视。利用企业内部计算机对企业局域网络进行攻击，企业局域网络也会受到严重攻击，当前企业内部攻击行为大大加强了企业网络安全的风险。

三、企业网络安全对策的思考

（一）强化信息安全意识

网络安全必须要靠企业全体人员的意识提高才能形成一种好的氛围。每个人在主观上有一种“我要安全”的意识才能不断提高网络的安全水平。要有专职部门负责管理企业网络安全，其它各部门服从专职部门的统一规划，统一部署。树立“网络安全无小事”的理念，落实建立健全各项各项规章制度。要把职责、标准、流程落实到实处，实现网络安全管理精细化。

（二）构建健全的网络安全体系

网络安全体系不是一劳永逸地能够防范任何攻击的完美系统。企业力图建立的是一个网络安全的动态防护体系，是动态加静态的防御，是被动加主动的防御甚至抗击，是管理加技术的完整安全观念，是一个科学、系统、全面的网络安全结构体系。该网络安全体系的设计必须采用多层次、多维度的设计思路，才能有效地保障企业网络的安全。企业网络安全体系的构建目标是使在企业网络中，信息的自由性、秘密性、完整性、共享性等都能得到良好保护的一种状态，在网络传递的信息没有被故意的或偶然的非法授权泄露、更改、破坏或使信息被非法系统辨识、控制，网络信息的保密性、完整性、可用性、可控性得到良好保护的状态。

（三）强化企业办公电脑的安全管理

经常删除垃圾文件，把木马和病毒消灭，以防止黑客攻击。防御黑客失败，可能会导致硬盘上的所有重要数据被破坏甚至删除。用恢复技术对硬盘数据进行恢复，如要恢复的数据涉及一些商业机密，准备新的空白硬盘作为数据恢复后的载体，千万不能将数据恢复到别人的机器上，因为他们既然能恢复您硬盘上的数据，也一定也能恢复暂存在他们的硬盘上的相关数据，恢复数据的过程最好有人全程监控，以避免泄密。及时进行入侵检测，如发现有被攻击的迹象，要迅速根据用户事先定义的动作做出相关反应，检查系统上存在的可能拒绝服务攻击检测系统中是不是被安装了某些窃听的程序，防火墙系统有没有存在配置错误和安全漏洞问题。

（四）加强企业外部网络和内部网络的管理

对企业的外部和内部网络进行相关的控制是必要的，尤其是访问控制，可以根据企业的实际情况和需要设置防火墙，加强必要的防护设施，把安全漏洞控制好。做好防护工作，关掉一些敏感端口和一些不必要的服务，那么一些想要入侵的人就会受到一定的限制，以阻挡外部网络不法分子的侵入，防止偷窃或起着破坏性作用的恶意攻击。同时企业还应在基础的防火墙体系上建立入侵检测系统，利用交换机处所布置的入侵检测系统实时监控企业内网的安全事件，以此为网络管理员的管理工作奠定基础，便于管理员及时针对情况做出反应。针对企业移动办公人员的移动需求，企业还应建立VPN加密系统。为移动办公人员通过互联网络访问企业内网奠定基础。通过科学的网络安全设置以及相应体系的建立提高企业网络安全防护性能。

四、结语

现代企业网络安全建设是现代企业经营与管理中的重要工作之一。网络安全建设关系到企业信息的安全，关系到企业信息化管理工作的开展，关系到企业管理工作的有效传达。通过网络安全建设能够保障企业信息流畅以及企业经营、财务等信息的安全。

参考文献：

[1]陈静.关于企业网络系统安全防护的探讨[J].企业信息化，2009，6

[2]柳叶，魏立国.企业信息化建设中网络安全建设的分析[J].计算机网络资讯，2010，07

公司网络安全建设范文第3篇

目前，企业信息安全的建设现状，存在的明显特征是“重外轻内，重技术轻管理”。针对日益泛滥的黑客、病毒、蠕虫、间谍软件等威胁，很多企业把精力大都集中在部署如防火墙、入侵检测、防病毒网关等安全设备上，但这些只是防护手段的一方面，偏重于“防外”。

同时，目前很多企业没有建立完善的信息安全规章制度，也缺少必要的安全合规意识，尤其在终端用户规模较大的企业，内网安全存在诸多隐患。

如果把企业的网络安全比作一只完整木桶的话，内网安全似乎是目前相对较短的那块，因此，完善企业的网络安全，内网安全建设显得尤为重要。

内网风险越来越大

据统计，外部入侵事件占到所有信息安全事件的20％～30％，而70％～80％的信息安全事件来自于内部，而且内部人员犯罪难抵御、难发现。此外，在企业整体的安全建设投入中，内网部分往往占了过半。

事实上，随着USB、移动存储等工具的频繁使用并逐渐形成病毒入侵的途径之一，来自内部网络的攻击有愈演愈烈之势。更重要的是，一些重要的企业信息资料被内部员工非法拷贝、篡改、盗取等，也成为内网安全的重要隐患。

在保密要求甚高的机构尤其如此。目前，随着电子政务的大力实施，作为向老百姓处理日常事务的政府部门，如地税局、气象局、银监会、证监会等，都不可避免的要通过移动方式进行现场办公，其中，U盘、光盘、笔记本电脑等移动存储设备也被大量使用。

而对于企业机构的内网用户，如果缺少较好的身份认证和访问控制机制，那么也会因访问权限的混乱而造成信息泄露风险，比如企业内部服务器，有的用户能只能访问服务器提供的Web服务，有的用户只能访问服务器提供的FTP服务。

至于如何防止网络办公环境下，因移动办公所带来的电子邮件被截获、修改等风险，以及在知识的共享和管理已经成为企业信息系统建设重要的应用的今天，如何有效地分类、安全存储、管理和使用文件、档案等，也都需要在内网安全建设上进一步完善。

内网安全整体防护

应该说，无论通过怎样的技术产品和保护方式，“企业内网安全的追求不外乎五个关键点，非法用户进不来，有效信息拿不走，信息读不懂，非法行为跑不掉，数据设备不怕丢。”卫士通公司副总经理李学军如此总结。

事实上，目前市场针对内网安全的产品已有众多，有重在防数据泄露的终端防护解决套件，有重在统一管理的安全管理平台，还有重在身份认证的加密方案。卫士通的一Key通综合安全防护系统，则是通过每个用户持有的一个USBKey硬件密码模块，实现终端设备、身份认证、访问控制、邮件保密等方面的综合防护。

其实，一Key通是以密码技术为核心，将单机Windows认证登录的“用户名+密码”完善为“用户名+密码+Key+PIN”的多重身份认证，并通过对平台底层技术的控制，防止单机在运行模式、安全模式甚至离线模式下非授权者对外设进行访问。

公司网络安全建设范文第4篇

[关键词]油田；网络信息；安全体系

doi：10.3969/j.issn.1673 - 0194.2016.06.043

[中图分类号]TP393.08 [文献标识码]A [文章编号]1673-0194（2016）06-00-01

近年来，中国的石油企业得到了飞速发展，石油企业的逐年增加，推动了经济的快速发展，但随着经济全球化步伐的加快，中国的石油企业也面临风险与挑战。尤其是在油田信息安全管理方面存在诸多问题。因此，加强网络信息安全建设、提高安全管理水平，成为石油企业的当务之急。

1 油田安全环保管理存在的问题

1.1 油田网络信息安全意识薄弱

大多数油田企业管理人员对安全环保不甚了解，造成网络信息安全管理不受重视。针对油田施工中存在的问题，虽然油田企业管理人员也会向施工单位提出，但是却“虎头蛇尾”，不关心问题解决的后来走向，如果施工单位实际上没有解决问题，就会造成很大的隐患。此外，一些企业缺乏对员工培训的重视，仅仅通过宣传教育向员工输送网络信息安全知识，员工对安全环保工作仍然一知半解，更不用说将网络信息安全管理意识应用于实际工作中。长久下去，员工的工作积极性与工作热情难以调动，工作效率与质量得不到提高，企业更加难以实现长久稳定的发展。

1.2 安全隐患众多

第一，一些油田企业为降低成本，不愿意更换设备，让设备处于长时间的超负荷运转中，造成使用寿命大大减少，这些都是安全隐患的组成因素；第二，油田开采中会产生较多的报废井，并且会随年限逐渐增多，对于长停井、位于环境敏感区的报废井等，油田企业缺乏重视，没有投入足够的资金进行治理或者没有封井，导致安全隐患的产生。另外，石油企业作为密集型企业，设备众多、种类复杂、更新换代快。在专用的设备和运输设备上，投入的资金比重较大。但是由于企业的特殊性，设备资金的投入是非常必要的。此外，设备具有维修难度大，维修成本高的特点，在石油设备的经济管理上，很难做到全面管理。油田安全隐患得不到解决，建设质量不佳，更加体现了网络信息安全体系建设的重要性。

2 改革油田网络信息安全体系的措施

2.1 建立专门的网络信息管理组织

对于石油企业网络信息安全体系的改革，首先，要改变以往的以部门为单位的建设组织，将任务更加细致地分配下去，落实到每一个人。对网络信息体系进行重新的定位划分，提高信息安全体系管理的效率与质量。其次，依据相关人员的能力与技术的特点，明确网络安全体系建设部门的责任，做到权责明确、权责对等。建立专门网络信息管理组织，在细微之处体现和谐发展观的理念，调动工作人员的积极性与热情，将石油开采、勘探、设备管理等方面工作完成得更加顺利、出色，促进中国石油企业不断进步与发展。

2.2 完善油田网络安全体制

油田网络安全体制包括设备采购管理制度、设备运行制度、设备维护制度、运作成本审查制度等，只有建立完善的石油企业网络信息安全体制，完善管理系统，才能在日常的油田勘探工作中，真正将网络信息安全体系建设落到实处。完善的油田网络安全体制可以提高石油企业的经济效益，提高中国石油企业管理水平，同时为中国石油企业的发展打下坚实基础。一个良好的石油网络安全体系，是石油企业长效发展的关键之处，更是推动中国石油发展事业的动力。

2.3 提高油田建设人员素质

建立专门的石油网络信息安全体系，完善设备管理制度，最终还要提高相关建设人员的自身素质。在油田网络信息安全体系建设的过程中，将任务落实到每一个人，提高其管理水平，才能保证设备管理工作的正常开展。要提高油田建设人员的素质，就要做好以下几点：首先，加强相关管理培训，一个合格的企业需要定期为员工进行相关的网络安全管理培训，在宣传与教育中，提高每个员工的实际操作能力；其次，建立奖励机制，对于一些表现出色的员工进行奖励，激发员工之间的竞争意识，提高石油网络安全建设人员工作的积极性与热情。

3 结 语

随着社会经济的变化与发展，石油企业更应重视油田网络信息安全体系的建设，在细微之处，将油田网络信息安全管理落实到实处。从一点一滴做起，践行“以人为本”的思想，以促进石油企业不断发展与进步。

主要参考文献

[1]刘锋.吐哈油田企业信息化模型与方法研究[D].北京：中国地质大学，2013.

公司网络安全建设范文第5篇

最近，国内某造船厂发生了一起有惊无险的网络安全事件。由于该造船厂的计算机系统内储存有大量的重要设计数据，某一天，系统突然报警，显示某个电脑终端正在非法拷贝这些重要文件数据，而网管人员通过内网审计系统的跟踪，立刻锁定了拷贝文件的电脑和登陆系统的用户名，从而在重要文件还没被外传之前，及时制止了该行为，避免了无谓的经济损失。

事实上，类似的内网安全事件在很多企业都有发生，但由于内网安全的完善程度不同，并非每个企业都能避免损失发生。有调查显示，超过85.0％的安全威胁来自企业内部，其中16.0％来自企业内部未经授权的非法访问，40.0％来自电子文件的泄露，由此可见，内网安全问题已是企业网络安全建设的重头戏。

为了确保网络安全，防火墙、杀毒软件、IPS等产品早已成为企业用户的普遍部署，但是，这些主要针对外网的安全防护在面对内网安全威胁时，往往形同虚设，因为“内忧”胜于“外患”，企业不仅需要坚固的边界安全，更需要稳定的内网安全。

那么，目前企业CIO们对于内网安全的认识是否到位，他们在内网安全部署方面处于何种程度，还存在哪些有待完善之处，内网安全在产品技术上又存在哪些发展趋势。

为此，《中国计算机用户》杂志社实施了为期一个月的用户调查，以期通过用户反馈呈现内网安全的现状及趋势。

过半企业重视内网安全

网络安全威胁层出不穷，网络安全问题无处不在，但是，事情总有轻重缓急之分，哪个领域的安全问题是企业用户当前首需解决的呢?调查反馈显示，“内网安全”以54.9％的比例占据第一位置，其次，25.7％的用户选择外网安全，10.6％的用户选择了终端安全，8.8％的用户选择了Web安全。

显然，企业网络安全建设行进之今，过半用户已经将“内网安全”设定为首需解决的问题。同时，这也表明用户对于内网安全重要性的认识已经达到相当程度。

北京互联通网络科技有限公司产品项目部顾问黄毅就明确表示，内网的安全管理，很多时候比外网安全管理更加重要，因为企业的机密信息泄漏、业务系统被如侵等，往往就是透过内部的非授权访问和木马泛滥导致的，所以，保障内网安全势在必行。

作为内网安全建设领域的专家，北京鼎普科技股份有限公司战略市场部经理万俊告诉记者，一直以来，企业安全防御的理念更多局限在常规的网管级别(防火墙等)、网络边界(漏洞扫描、安全审计、防病毒、IDS)等方面，主要的安全设施大多集中于机房、网络入口处。应该说，在这些安全设备的严密监控下，来自网络外部的安全威胁得到显著缓解。

然而，随着企业信息化的不断深入，来自网络内部的安全威胁开始逐步凸显出来，网络的内部安全问题大于外部问题渐渐成为业界共识。

对此，我们可以从企业用户当前对于安全细节问题的关注度得到印证。在“哪些安全细节问题是贵公司当前比较重视的”这一问题中，83.2％的用户选择了病毒查杀，69.0％的用户选择了数据库安全，46.9％的用户选择了网络设备安全，31.9％的用户选择了补丁升级管理，31.0％的用户选择了网站运维安全，27.4％的用户选择了身份认证，22.1％的用户选择了信息加密。

可以看出，不论是常见的病毒查杀，还是身份认证或信息加密，用户对此都持有相当的关注。

“提高意识管理到位”是首要

为什么需要管理内网安全，我们从企业员工的日常小事即可明白。如今，很多员工在上班闲暇时，偶尔聊聊QQ或MSN，要不上开心网玩“偷菜”或观看在线电影，要不干脆打开BT电驴等下载软件下载大容量文件。这些在大小企业中普遍存在的现象不仅影响了员工的工作效率，而且还会占用企业网络流量，从而影响其他正常业务的开展。

事实当然不仅如此，根据本次调查反馈，70.8％的企业存在“员工随便登陆MSN、QQ、BT等内容”，37.2％的企业存在“经常有人改动IP地址从而造成冲突”，62.8％的企业存在“经常出现某台电脑没有打补丁或补丁不全”，31.0％的企业存在“经常受到非法入侵”，48.7％的企业存在“不能完全限制内网的设备与重要信息的保管”。

可以看出，近七成左右的企业存在“员工随便登陆MSN、QQ、BT等内容”和“经常出现某台电脑没有打补丁或补丁不全”的现象，另外三项困扰也有近五成企业有所遭遇。

另外，根据调查反馈，目前企业网络主要遭遇的安全威胁中，76.1％的用户选择木马病毒，14.2％的用户选择蠕虫，8.8％的用户选择电子邮件攻击，0.9％的用户选择网络钓鱼／欺骗。可见，木马泛滥的确到了人人喊打的地步。

需要指出的是，木马病毒除了可以跟随Web应用从外网进入内网之外，还有一个重要的传播渠道，即通过移动U盘直接在内网终端上蔓延开来。

对此，在诸多安全厂商的内网安全产品中，都或多或少存在防止移动终端传播病毒的功能。比如鼎普科技的安全U盘系统，它是通过智能判断和权限访问控制技术，使数据信息在U盘上实现存取控制，同时也具备对U盘进行身份认证、敏感信息外带时防止非授权访问和病毒窃取等功能。目前，金融、电信等行业用户大多应用了类似系统以杜绝终端隐患。

抛开行业特殊性，抛开单一内网安全产品或功能，目前企业用户针对网络安全的部署现状如何呢。根据调查反馈，96.5％的用户选择了杀毒软件，78.8％的用户选择了防火墙，24.8％的用户选择了VPN(安全传输)，20.4％的用户选择了身份认证系统，27.4％的用户选择了内网安全管理，8.8％的用户选择了IDS／IPS。

很明显，虽然近八成企业都部署了杀毒软件和防火墙，但这正好说明企业在网络安全建设过程中，外网安全是优先经历的阶段，而接下来的重点则在内网安全。

那么，内网安全建设应该从何处下手呢，首先，我们可以从“企业网络中发生安全事件的原因通常包括有哪些”这一问题的调查结果看，有48.7％的用户选择“网络或软件配置错误”，28.3％的用户选择“管理员弱口令”，62.8％的用户选择“系统漏洞”，74.3％的用户选择“员工安全意识淡薄、管理不到位”，15.0％的用户选择“DDoS攻击”。

显然，“员工安全意识淡薄、管理不到位”是企业发生网络安全事件的最普遍原因，这与很多企业CIO的看法也是一致。

山西省大同市阳高县畜牧服务中心饲料牧草管理站站长杭军表示，影响内网安全管理的因素很多，其中，用户

的认识水平、重视程度及使用习惯，尤其是普通用户的安全意识和相关管理人员的管理水平，尤为重要。

同样，在吉林吉恩镍业股份有限公司信息中心主任周军利看来，保障内网安全，首先需要制订科学完善的内网安全管理制度，从制度上规范员工的上网行为，其次要加大制度的执行和考核力度，让员工自觉地树立信息安全意识，最后就是使用先进的内网安全管理产品，从技术上保障内网的安全。

从“偏安全”到“偏管理”

从技术角度讲，内网安全包含的内容其实很多，比如如何发现客户端设备的系统漏洞并自动分发补丁，如何防范移动存储设备随意介入内网、如何防范内网设备非法外联，如何点对点控制异常客户端的运行，如何防范内部信息泄露等。

换句话说，与防范外网安全主要集中于边界部署不同，保障内网安全需要涉及的环节较多，相应的产品部署也相对更加多样。比如有的侧重内网终端防护，有的侧重流量和上网行为控制，有的侧重监控审计，有的侧重身份认证或信息加密等。

万俊介绍，过去几年，人们对于内网安全的管理主要偏向于防止信息泄密，因此，严格控制电脑终端的外设及各类端口成为各大厂商产品方案的重点诉求。

然而，随着网络安全形势的不断演变，企业用户开始不仅满足于对电脑终端的监控，而是希望从管理的角度对内网安全进行防护。比如本文开头所说的那家造船厂，通过内网审计系统锁定非法操作，再比如统计网络流量、补丁分发以及系统软硬件的升级管理等。

这在本次调查也有所反映。“在内网安全管理方面，贵公司期望在哪个部分得到加强”，有51.3％的用户选择了“监控审计”，26.5％的用户选择了“桌面管理”，14.2％的用户选择了“文档加密”，8.0％的用户选择了“磁盘加密”。

事实上，为了满足用户需求，厂商的产品策略上也在随之跟进。“当然，我们在产品策略上也从最初单纯的监控审计，到现在把监控审计和管理相结合，走向偏重管理的方向。”万俊表示，“毕竟，内网安全的重心已经从偏重安全转移到偏重管理，内网的概念已不仅集中在这块，许多非企业、非业务也开始从管理的角度落实内网安全。”

在实践应用中，偏重管理就是要求企业在运用内网功能的时候，不是为了在事后进行补救，而是一方面可以做到预防危险的发生，另一方面把公司一些理念、文化都能在计算机内网监控中得到体现。

比如鼎普科技最新研发的“猎隼”网络信息监测系统，这个系统通过对所有网络的内容进行解析，能够及时阻止内部的计算机通过互联网发生的敏感信息泄露，快速定位追查源头，防止违规事件发生。它还能对整个网络及计算机用户上网行为、网络流量进行监控，帮助网络高效、稳定、安全的运行，为信息化建设及管理提供有效的技术支撑。

打造立体防御体系

“未来一年，贵公司是否制定了进一步加强内网安全管理的计划”，结果显示，41.6％的企业表示有，32.7％的用户表示暂时没有，25.7％的用户表示不确定。可见，有四成多的用户打算加强内网安全部署。

不过，涉及内网安全的因素非常多，产品形式也比较多样，在哪些环节如何部署就显得非常重要。

总体而言，内网安全集中关注的对象包括引起信息安全威胁的内网用户、应用环境、应用环境边界和内网通信安全。

因此，如何在企业内网构建一个有机统一的安全控制系统，实现立体式实时监管，才是实施内网安全部署的关键所在。

在万俊看来，保障内网安全不能仅靠各种功用安全产品的堆叠，而需要由单纯的安全产品部署上升到如何实现可信、可控的立体防护体系。比如通过四级可信认证机制，则可以让系统既突出安全性，又注重管理性。

第一级认证：基于硬件级别的安全防护和访问控制。在最底层实现对计算机终端进行物理安全加固，例如使用鼎普计算机安全防护卡从BIOS级实现登录认证和全盘数据保护，一方面可以杜绝非法用户从光盘启动绕过软件防护窃取数据，同时还可令用户不能随意安装操作系统、卸载已安装的软件系统改变现有安全环境。

第二级认证：基于操作系统的身份认证和文件保护。采用基于USB-KEY的双因素认证技术实现操作系统登录的可信可控，即在计算机硬件启动之后，可以限制用户权限，如是否可以进一步登录操作系统，以及可以进行何种权限的文件操作，文件如何安全存放以及安全删除。

第三级认证：实现对程序安装运行的授权控制。对应用程序进行黑白名单控制，只有经过管理员签名授权的程序才能在单机终端上运行使用，进一步规范终端用户的软件程序使用行为，可以最大程度防止程序的随意安装使用带来的病毒、木马的传播。

第四级认证：实现可信计算机接入内网的认证管理。网络边界的安全可控是内网安全的基本问题，通过基于802.1X认证协议的可信终端认证子系统，实现网络的安全接入――只有经过授权许可的可信、可控、健康计算机才能接入到内网，并对人终端的运行、健康状态进行实时监控，通过创新的技术理念打造出一个信得过、进得来、控得住的健康可信内部网络。如果不健康，防护系统会采取进一步措施，如报警、断阿等。

在建立以上四级可信认证机制的纵深防御体系基础上，企业用户还要实现身份鉴别、介质管理，数据保护、安全审计、实时监控等防护要求，如此才能达到扎实有效的安全效果。

用户声音

对于完善企业内网安全管理，您认为哪些因素比较重要?

吉林吉恩镍业股份有限公司信息中心主任　周军利

首先要制订科学完善的内网安全管理制度，从制度上有所保障；要加大制度的执行和考核力度，要让员工自觉树立信息安全意识；要有先进的内网安全管理软件，从技术上保障内网安全。

中国石化管道储运公司技术作业分公司科研所高级工程师杨家琳

1、规范内网用户上网行为；2、堵塞系统漏洞；3、加强防范措施(网络监控和预警、防病毒、木马与非法入侵)

山东省泰安市国家税务局　胡志京

1、提高全员对信息安全的防护意识，建章立制，落实制度，规范操作；2、提高领导层的高度重视意识，每年要有一定投入，进行一些安全设备和杀毒软件的更新换代，以保证将病毒、不安全隐惠消灭在萌芽状态。3、加强日常管理，抓好制度落实，做到勤检查，常督促，把网络信息安全工作落到实处。