网络安全等级保护解决方案

前言：想要写出一篇令人眼前一亮的文章吗？我们特意为您整理了5篇网络安全等级保护解决方案范文，相信会为您的写作带来帮助，发现更多的写作思路和灵感。

网络安全等级保护解决方案范文第1篇

此次大会由杭州市人民政府、中国网络空间安全协会、浙江省网信办、浙江省公安厅、浙江省经信委、云栖大会组委会指导，中国信息产业商会信息安全产业分会、阿里云计算有限公司、杭州安恒信息技术有限公司主办，浙江省计算机信息系统安全协会、杭州市网络安全协会、北京洋浦伟业科技发展有限公司、飞塔信息科技（北京）有限公司、北京元支点信息安全技术有限公司、北京珊瑚灵御科技有限公司协办。

本届大会以“安若磐石，云之所栖”为主题，以全新的国际视野，洞悉全球云安全发展趋势；围绕“中国网络安全创新分享”这一主题，共同研讨探索适应我国国情的网络安全发展的道路，共商凝聚共识，整合资源的网络安全创新新模式。

大会由公安部第一研究所原所长、计算机安全专委会主任严明主持，并宣读了杭州市委副书记、市政府党组书记、市长张鸿铭对大会发来的贺信。参加本次大会的致辞和重要演讲的嘉宾有，中央网信办网络安全协调局副局长胡啸，浙江省公安厅副厅长石小忠，浙江省经信委总工程师厉敏，中国信息产业商会信息安全产业分会理事长朱胜涛，公安部网络安全保卫局总工程师郭启全，国家信息中心专家委员会副主任、国家信息化专家咨询委员会委员宁家骏等领导和专家。另外，来自全国各地政府机构、公安部门、信息安全科研单位、央企、金融、运营商、互联网、军工各行业信息安全决策人员、信息安全主管、CIO、媒体等1500余人出席了本次大会。

专家论道产业安全

郭启全总工在演讲“加强创新和能力协同 全力保卫国家关键信息基础设施安全”中提到，国家对网络安全提出了新的要求，首先就是要健全和完善国家信息安全等级保护制度，强化关键信息基础设施保护。《网络安全法（草案）》中也提出明确要求，国家实施网络安全等级保护制度。

等级保护在网络安全保障、网络强国建设方面起着至关重要的作用。基础信息网络与重要信息系统面临着日益严峻的威胁与挑战。

为适应新技术的发展，解决云计算、物联网、移动互联和工控领域信息系统的等级保护工作的需要，从2014年3月开始，由公安部牵头组织开展了信息技术新领域等级保护重点标准申报国家标准的工作，等级保护正式进入了2.0时代。

全新的《网络安全等级保护基本要求》涵盖了6个部分的内容：安全通用要求、云计算安全扩展要求、移动互联安全扩展要求、物联网安全扩展要求、工业控制安全扩展要求以及大数据安全扩展要求。

宁家骏指出，开展关键信息基础设施网络安全检查至关重要，安全检查是从涉及国计民生的关键业务入手，理清可能影响关键业务运转的信息系统和工业控制系统，准确掌握关键信息基础设施的安全状况，科学评估面临的网络安全风险，以查促管、以查促防、以查促改、以查促建，同时为构建关键信息基础设施安全保障体系提供基础性数据和参考。

他建议，充分借鉴国外关键基础设施网络安全保护相关法律，分析我国现有立法的不足和主要问题，抓紧建立我国关键基础设施网络安全法律体系，从法律层面明确关键基础设施的定义和范围、界定政府部门的职责、规范运营者何所有者的运营资质要求。同时通过关键基础设施网络安全态势感知、积极稳妥推动关键基础设施相关产品的国产替代、开展安全检查评测督促关键基础设施运营单位加强管理等方案促进我国关键基础设施网络安全与信息化的大发展。

聚焦G20杭州峰会安保

安恒信息CSO刘志乐在演讲中表示，杭州安恒信息技术有限公司作为本次大会网络安保和应急支撑工作的主要技术支撑单位，历经近360天精心准备、投入309位技术骨干参与到G20峰会网络安保任务。通过企业自主知识产权的最新大数据态势感知系统及应急处置工具箱、工控检查工具箱等二十多种产品平台，为G20峰会网络安保构建了全网全程网络安保和应急支撑监测体系、防御体系和服务体系，经过G20峰会全程考验，安恒信息圆满完成为本次峰会相关重要信息系统、关键基础设施、省市两级重要信息系统提供网络安全保障的安保任务。

安恒信息网络安保团队以远程和现场人员安全检测，结合部署基于云与大数据技术的远程安全监测、大会系统现场各重要驻点安全值守、会议安保指挥中心四方互联，多地支撑的形式，为大会召开保驾护航。他以本次峰会核心信息系统为例介绍道，安恒信息安保团队共发现高危以上漏洞438个，共拦截3300万次攻击。经风暴中心分析，攻击来自于41个国家和地区。

DT时代的云计算安全

阿里云安全资深总监肖力表示，云计算时代所面临的安全挑战并不比传统安全所面临的问题要少，甚至于相较之下更加复杂。通过10多年在安全领域的积累，阿里云建立了一支全球顶级的云计算安全团队，有完善的基础设施，并且有更快的安全应急时间，能及时发现高危的安全漏洞信息，用最短时间修复，帮助用户应对安全问题。

据普华永道统计，目前69%的企业正在使用基于云的安全服务，阿里云保护云上37%的数百万的网站，每天防御8亿次各类攻击，每天识别并防御35000个恶意IP，每天防御2000次DDoS攻击。安全从来就不是云平台、用户或者安全厂商某一方的单打独斗。云计算厂商需要建立强大的生态让用户个性化的安全需求能够快速有效的解决，云上客户需要与SaaS服务商和安全厂商的虚拟化产品协同作战，目前阿里云安全生态市场已有包括安恒信息在内的79家生态厂商、168款安全产品。

阿里云首席安全研究员、云盾负责人吴翰清在大会上首次了“阿里云云盾混合云解决方案”，混合云解决方案由阿里云安全团队与数梦工场联合开发、交付，支持公共云、专有云、线下IDC全场景覆盖，让企业拥有与阿里云一样的世界级安全能力与体验效果：包括安全态势感知大屏、海量宽带和快速扩容、大数据安全分析、威胁情报支持和0DAY快速反应能力。

模块化是混合云云盾解决方案的一大体验亮点。阿里云云盾的安全能力和服务，用“可插拔”的模式，模块化输入。用户可以按需购买，按需启用，解决以往线下解决方案不灵活、投入大的缺点。

安恒密盾2.0

安恒密盾安全产品经理杨锦峰做题为“打造你的钉钉移动应用安全之路（密盾2.0）”的演讲。

网络安全等级保护解决方案范文第2篇

关键词：政府网络安全；网络安全；风险评估；应用模型；电子政务

中图分类号：TP393.08

在新的发展环境下，开放和互联的网络时代给各种信息资源的流通带来了便利的同时，也带来了安全隐患。尤其是政府部门的电子政务信息资产，若是受到非法使用，不但会对政府部门造成资源损失，甚至会威胁到国家、单位部门和个人的安全。因此，对政府网络系统进行安全风险评估，不但能够有效地预防和解决潜在的威胁，而且能够保障整个政府网络系统的安全，促进政府网络建设的发展。

1 政府网络安全风险评估的方法

在电子政务信息系统的建设和运行过程中，需要进行网络安全防御的相关措施，以防止系统中存在的漏洞、隐患，以及人为或非人为因素引起的风险对系统的影响。因此，采取安全风险评估的方法，通过安全风险评估的相关技术的支持，对系统的设备及数据进行分析、确定等级和检查，是有效防范这些情况发生的重要措施。

政府网络安全风险评估的方法主要有安全风险分析、安全等级评估和安全检查评估等三种。

1.1 安全风险分析。在进行政府网络安全风险评估的前期工作中，主要是通过建立评估数据模型的方式进行安全风险分析。其中，主要是根据概率分布、外推法、矩阵图分析、风险发展趋势评价方法、假设前提评价及数据准确度评估等方法，并通过专家评估预测和相关历史数据对指标的选取和数据的采集，估算政府网络安全系统所存在的风险。

1.2 安全等级评估。在此阶段，主要是在政府的电子政务系统建成或是运行的过程中，由第三方权威机构采取强制或非强制的方式，对政府网络安全进行定期安全等级评估，从而确定政府网络系统在建成后，或是在系统更新后是否达到防范风险的可靠级别。

1.3 安全检查评估。在此阶段，主要采用专门的模拟攻击、漏洞扫描等方式，对政府电子政务（包括网络设备、服务器、客户机、数据库和应用系统等）进行安全检查，找出其中可能存在的安全隐患并提供扫描后的相关数据，给予政府电子政务安全检查评估。在安全检查评估中，主要运用到基于主机的（硬件系统）和基于网络的（软件系统）两种技术。通过安全检查评估，能够起到预防网络系统中存在的隐患的作用，并提供科学有效的解决措施，从而更进一步提高网络安全的整体水平。

2 政府网络安全风险评估的模型与应用

2.1 安全风险评估应用模型三阶段。在电子政务系统建设的实施过程，主要分为规划与设计阶段、建设与实施阶段、运行与管理阶段等三个阶段。其中，安全风险分析主要作用于规划与设计阶段，安全等级评估主要作用于建设与施工阶段，安全检查评估主要作用于运行与管理阶段。

安全风险分析，主要是利用风险评估工具对系统的安全问题进行分析。对于信息资产的风险等级的确定，以及其风险的优先控制顺序，可以通过根据电子政务系统的需求，采用定性和定量的方法，制定相关的安全保障方案。

安全等级评估，主要由自评估和他评估两种评估方式构成。被评估电子政务系统的拥有者，通过结合其自身的力量和相关的等级保护标准，进行安全等级评估的方式，称为自评估。而他评估则是指通过第三方权威专业评估机构，依据已颁布的标准或法规进行评估。通过定期或随机的安全等级评估，掌握系统动态、业务调整、网络威胁等动向，能够及时预防和处理系统中存在的安全漏洞、隐患，提高系统的防御能力，并给予合理的安全防范措施等。若电子政务网络系统需要进行较大程度上的更新或变革，则需要重新对系统进行安全等级评估工作。

安全检查评估，主要是在对漏洞扫描、模拟攻击，以及对安全隐患的检查等方面，对电子政务网络系统的运行状态进行监测，并给予解决问题的安全防范措施。

2.2 安全风险分析的应用模型。在政府网络安全风险评估工作中，主要是借助安全风险评测工具和第三方权威机构，对安全风险分析、安全等级评估和安全检查评估等三方面进行评估工作。在此，本文重点要讲述的是安全风险分析的应用模型。在安全风险分析的应用模型中，着重需要考虑到的是其主要因素、基本流程和专家评判法。

（1）主要因素

在资产上，政府的信息资源不但具有经济价值，还拥有者重要的政治因素。因此，要从关键和敏感度出发，确定信息资产。在不足上，政府电子政务网络系统，存在一定的脆弱性和被利用的潜在性。在威胁上，政府电子政务网络系统受到来自内、外部的威胁。在影响上，可能致使信息资源泄露，严重时造成重大的资源损失。

（2）基本流程

根据安全需求，确定政府电子政务网络系统的安全风险等级和目标。

根据政府电子政务网络系统的结构和应用需求，实行区域和安全边界的划分。

识别并估价安全区域内的信息资产。

识别与评价安全区域内的环境对资产的威胁。

识别与分析安全区域内的威胁所对应的资产或组织存在的薄弱点。

建立政府电子政务网络系统的安全风险评估方法和安全风险等级评价原则，并确定其大小与等级。

结合相关的系统安全需求和等级保护，以及费用应当与风险相平衡的原则，对风险控制方法加以探究，从而制定出有效的安全风险控制措施和解决方案。

（3）专家评判法

在建设政府电子政务网络系统的前期决策中，由于缺少相关的数据和资料，因此，可以通过专家评判的方法，为政府电子政务网络系统提供一个大概的参考数值和结果，作为决策前期的基础。

在安全区域内，根据网络拓扑结构（即物理层、网络层、系统层、应用层、数据层、用户层），应用需求和安全需求划分的安全边界和安全区域，建立起风险值计算模型。通过列出从物理层到用户层之间结构所存在的薄弱点，分析其可能为资产所带来的影响，以及这些薄弱点对系统薄弱环节外部可能产生的威胁程度大小，进而通过安全风险评估专家进行评判，得到系统的风险值及排序。

在不同的安全层次中，每个薄弱环节都存在着不同程度的潜在威胁。若是采用多嵌套的计算方法，能够帮助计算出特定安全区域下的资产在这些薄弱环节中的风险值。

3 结语

本文主要通过对政府电子政务网络系统的建设中，所进行的安全风险评估进行研究，分析和探讨在规划与设计阶段、建设与实施阶段、运行与管理阶段三个阶段中政府网络安全建设的相关问题。并在各阶段分别采用安全风险分析、系统建设完成后的安全等级评估。在系统建成后的运行和管理阶段，采用的安全检查评估等方法，保障政府电子政务网络系统的安全。此外，在安全风险分析中，可操作的方法并不多，需要有关部门加强力度，加以研究和探析。在等级安全评估和安全检查评估两个阶段，可以充分利用第三方权威机构的评测工具，来加强政府网络的安全性。

参考文献：

[1]杨志新.政府网络安全风险评估[J].系统工程，2005，4.

[2]王继晔.政府信息网络的安全措施及技术手段[J].交通与计算机，2003，2.

[3]黄炜.我国政府保护网络经济信息安全的现状和对策[J].华南理工大学，2010，5，6.

[4]夏义，李勇.政府网络安全问题分析[J].高校图书情报论坛，2003，2.

网络安全等级保护解决方案范文第3篇

WannaCry并没有因为世界各地的围追堵截而减轻它的破坏力。

刚刚过去的5月，WannaCry 勒索软件因向被锁定的 Windows PC 用户索取等值 300 美元的比特币赎金而登上各大媒体头条。不幸中招的英国卫生保健系统，其病房和急症室甚至一度无法正常开展业务。最统计数据显示，有100多个国家和地区、超过10万台电脑遭到了勒索病毒攻击、感染。

现在，WannaCry又卷土重来了。据澳大利亚的维多利亚州警方证实，WannaCry已经 感染了该州 55 个闯红灯和超速监控摄像头。无独有偶，WannaCry勒索病毒迫使本田在6月19日关闭其在东京西北部的工厂，该公司的计算机系统在全球范围内受到影响。

尽管网络安全专家正在争相解密，但目前还没有已知的可行方法恢复受影响文件。面对越来越复杂的网络安全形势，需要安全防御和数据备份两个层面的配合。

“随着企业将业务和架构迁徙至云端，企业需要重新认识和重视安全问题。无论企业规模大小，在这一领域的安全问题，需要关注两个维度：一方面是所选择云平台本身环境和架构的安全性，另外一方面是企业在云端的业务和数据的安全。”梭子鱼亚太区销售副总裁James Forbes-May在接受《计算机世界》 报记者独家专访时表示。

James认为，云平台的本身提供是一种“共享型安全模式”，为所有在云端的用户提供基本安全。但仅有这些安全措施是远远不够的，除此以外还需要更专业和全面的补充安全策略，来确保其在云端的业务和数据安全。对用户而言，认识到“云安全”的重要性和全面性是十分必要的，其安全等级不亚于数据中心的安全等级。

近些年，梭子鱼一直聚焦提供云环境下的安全和数据保护解决方案，帮助用户放心使用基于云的业务。梭子鱼能够提供一套全面的产品组合，帮助云端用户在应用程序、基础网络、数据保护、用户管理和设备访问等方面进行安全防御，并快速恢复。

近期，梭子鱼还了高级威胁防御解决方案（简称：BATP），这是梭子鱼推出的基于云的集成服务，由多层威胁检测以及智能机器学习组成，可以针对勒索软件、恶意软件和高级网络攻击提供深入防御，通过特征扫描、静态分析、动态行为分析等多层检测后综合到沙箱中，以提供对各种多态攻击的准确检测。这种基于云的服务已经集成到所有梭子鱼安全解决方案中，可跨多种部署形态保护如Web、用户、网络、电子邮件和应用程序等多个威胁途径。此外，BATP自动连接到一个全球威胁情报网络，该网络从世界各地的各种来源收集威胁数据，为所有入侵提供实时保护。

据统计，梭子鱼BATP平均每天阻止20000起攻击。WannaCry出现的这一天，BATP阻止了134万起攻击，较日常增长近7400%。截止到目前为止，梭子鱼没有收到一起客户因为遭受WannaCry攻击而寻求的售后服务支持。

“目前全球有超过15万家用户部署梭子鱼产品，从某种程度上来说这也是一种威胁情报信息收集来源。所有搜集到的威胁都会被记录，放至梭子鱼整体防御体系里，从而促使梭子鱼安全产品能抵御多样的威胁且反应快速。”James说。

从传统的终端设备到云平台的迁移是企业数字化转型的必经之路，对于梭子鱼来说，自身也正在经历着一场从安全扩展到存储再到聚焦“云端”的转型。

过去3年，梭子鱼一直紧追市场发展的脚步进行业务和策略的调整。目前看，其主要有云安全、Office365领域、安全与存储4个核心业务方向。

在存储领域，梭子鱼强调数据备份和数据保护两个核心。因为抓住了实际市场用户的需求痛点，同时产品高效经济，梭子鱼的备份产品在IDC的备份市场报告中连续蝉联全球销量第一。在Office365领域，梭子鱼是第一家提供全面的基于Office365的数据安全、保护和归档解决方案供应商。

“大多滴颐堑挠没Ф疾晒3种或者以上的不同梭子鱼产品，来进行其全面的安全和数据保护策略。梭子鱼的产品和解决方案适应灵活部署，可以是硬件，也可以是部署在虚拟环境和任意云环境中。”James说。

IDC的报告预计，2017年亚太地区（除日本以外）数字化转型技术投资额度最高，占全球总额37%。巨大的市场空间让全球企业纷纷将市场拓展的终点放在了这一区域。

网络安全等级保护解决方案范文第4篇

关键词：中小型企业；信息网络安全；网络安全架构

Abstract; network security problem to the small and medium-sized enterprise universal existence as the background, analyzes the main network security problems of small and medium enterprises, aiming at these problems, a small and medium enterprises to solve their own problems of network security are the road. And put forward the concept of the rate of return on investment, according to this concept, can be a preliminary estimate of the enterprise investment in network security.

Keywords: small and medium-sized enterprises; network security; network security architecture

中图分类号：TN915.08文献标识码：A文章编号：2095-2104（2013）

1、中小型企业网络安全问题的研究背景

随着企业信息化的推广和计算机网络的成熟和扩大，企业的发展越来越离不开网络，而伴随着企业对网络的依赖性与日俱增，企业网络的安全性问题越来越严重，大量的入侵、蠕虫、木马、后门、拒绝服务、垃圾邮件、系统漏洞、间谍软件等花样繁多的安全隐患开始一一呈现在企业面前。近些年来频繁出现在媒体报道中的网络安全案例无疑是为我们敲响了警钟，在信息网络越来越发达的今天，企业要发展就必须重视自身网络的安全问题。网络安全不仅关系到企业的发展，甚至关乎到了企业的存亡。

2 、中小型企业网络安全的主要问题

2.1什么是网络安全

网络安全的一个通用定义：网络安全是指网络系统中的软、硬件设施及其系统中的数据受到保护，不会由于偶然的或是恶意的原因而遭受到破坏、更改和泄露。系统能够连续、可靠地正常运行，网络服务不被中断。网络安全从本质上说就是网络上的信息安全。广义地说，凡是涉及网络上信息的保密性、完整性、可用性、真实性（抗抵赖性）和可控性的相关技术和理论，都是网络安全主要研究的领域。

2.2网络安全架构的基本功能

网络信息的保密性、完整性、可用性、真实性（抗抵赖性）和可控性又被称为网络安全目标，对于任何一个企业网络来讲，都应该实现这五个网络安全基本目标，这就需要企业的网络应用架构具备防御、监测、应急、恢复等基本功能。

2.3中小型企业的主要网络安全问题

中小型企业主要的网络安全问题主要体现在3个方面.

1、木马和病毒

计算机木马和病毒是最常见的一类安全问题。木马和病毒会严重破坏企业业务的连续性和有效性，某些木马和病毒甚至能在片刻之间感染整个办公场所从而导致企业业务彻底瘫痪。与此同时，公司员工也可能通过访问恶意网站、下载未知的资料或者打开含有病毒代码的电子邮件附件等方式，在不经意间将病毒和木马带入企业网络并进行传播，进而给企业造成巨大的经济损失。由此可见，网络安全系统必须能够在网络的每一点对蠕虫、病毒和间谍软件进行检测和防范。这里提到的每一点，包括网络的边界位置以及内部网络环境。

2、信息窃取

信息窃取是企业面临的一个重大问题，也可以说是企业最急需解决的问题。网络黑客通过入侵企业网络盗取企业信息和企业的客户信息而牟利。解决这一问题，仅仅靠在网络边缘位置加强防范还远远不够，因为黑客可能会伙同公司内部人员（如员工或承包商）一起作案。信息窃取会对中小型企业的发展造成严重影响，它不仅会破坏中小型企业赖以生存的企业商誉和客户关系。还会令企业陷入面临负面报道、政府罚金和法律诉讼等问题的困境。

3、业务有效性

计算机木马和病毒并不是威胁业务有效性的唯一因素。随着企业发展与网络越来越密不可分，网络开始以破坏公司网站和电子商务运行为威胁条件，对企业进行敲诈勒索。其中，以DoS(拒绝服务)攻击为代表的网络攻击占用企业网络的大量带宽，使其无法正常处理用户的服务请求。而这一现象的结果是灾难性的：数据和订单丢失，客户请求被拒绝……同时，当被攻击的消息公之于众后，企业的声誉也会随之受到影响。

3如何打造安全的中小型企业网络架构

通过对中小型企业网络存在的安全问题的分析，同时考虑到中小型企业资金有限的情况，我认为打造一个安全的中小型企业网络架构应遵循以下的过程：首先要建立企业自己的网络安全策略；其次根据企业现有网络环境对企业可能存在的网络隐患进行网络安全风险评估，确定企业需要保护的重点；最后选择合适的设备。

3.1建立网络安全策略

一个企业的网络绝不能简简单单的就定义为安全或者是不安全，每个企业在建立网络安全体系的第一步应该是定义安全策略，该策略不会去指导如何获得安全，而是将企业需要的应用清单罗列出来，再针对不同的信息级别给予安全等级定义。针对不同的信息安全级别和信息流的走向来给予不同的安全策略，企业需要制定合理的安全策略及安全方案来确保网络系统的机密性、完整性、可用性、可控性与可审查性。对关键数据的防护要采取包括“进不来、出不去、读不懂、改不了、走不脱”的五不原则。

“五不原则”：

1.“进不来”——可用性： 授权实体有权访问数据，让非法的用户不能够进入企业网。

2.“出不去”——可控性： 控制授权范围内的信息流向及操作方式，让企业网内的商业机密不被泄密。

3.“读不懂”——机密性： 信息不暴露给未授权实体或进程，让未被授权的人拿到信息也看不懂。

4.“改不了”——完整性： 保证数据不被未授权修改。

5.“走不脱”——可审查性：对出现的安全问题提供依据与手段。

在“五不原则”的基础上，再针对企业网络内的不同环节采取不同的策略。

3.2 信息安全等级划分

根据我国《信息安全等级保护管理办法》，我国所有的企业都必须对信息系统分等级实行安全保护，对等级保护工作的实施进行监督、管理。具体划分情况如下：

第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。

第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。

第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。

第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。

第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。

因此，中小型企业在构建企业信息网络安全架构之前，都应该根据《信息安全等级保护管理办法》，经由相关部门确定企业的信息安全等级，并依据界定的企业信息安全等级对企业可能存在的网络安全问题进行网络安全风险评估。

3.3 网络安全风险评估

根据国家信息安全保护管理办法,网络安全风险是指由于网络系统所存在的脆弱性，因人为或自然的威胁导致安全事件发生所造成的可能性影响。网络安全风险评估就是指依据有关信息安全技术和管理标准，对网络系统的保密性、完整想、可控性和可用性等安全属性进行科学评价的过程。

网络安全风险评估对企业的网络安全意义重大。首先，网络安全风险评估是网络安全的基础工作，它有利于网络安全的规划和设计以及明确网络安全的保障需求；另外，网络安全风险评估有利于网络的安全防护，使得企业能够对自己的网络做到突出防护重点，分级保护。

3.4确定企业需要保护的重点

针对不同的企业，其需要保护的网络设备和节点是不同的。但是企业信息网络中需要保护的重点在大体上是相同的，我认为主要包括以下几点：

1.要着重保护服务器、存储的安全，较轻保护单机安全。

企业的运作中，信息是灵魂，一般来说，大量有用的信息都保存在服务器或者存储设备上。在实际工作中，企业应该要求员工把相关的资料存储在企业服务器中。企业可以对服务器采取统一的安全策略，如果管理策略定义的好的话，在服务器上文件的安全性比单机上要高的多。所以在安全管理中，企业应该把管理的重心放到这些服务器中，要采用一切必要的措施，让员工把信息存储在文件服务器上。在投资上也应着重考虑企业服务器的防护。

2.边界防护是重点。

当然着重保护服务器、存储设备的安全并不是说整体的防护并不需要，相反的边界防护是网络防护的重点。网络边界是企业网络与其他网络的分界线，对网络边界进行安全防护，首先必须明确到底哪些网络边界需要防护，这可以通过网络安全风险评估来确定。网络边界是一个网络的重要组成部分，负责对网络流量进行最初及最后的过滤，对一些公共服务器区进行保护，VPN技术也是在网络边界设备建立和终结的，因此边界安全的有效部署对整网安全意义重大。

3.“”保护。

企业还要注意到，对于某些极其重要的部门，要将其划为，例如一些研发部门。类似的部门一旦发生网络安全事件，往往很难估量损失。在这些区域可以采用虚拟局域网技术或者干脆做到物理隔离。

4.终端计算机的防护。

最后作者还是要提到终端计算机的防护，虽然对比服务器、存储和边界防护，终端计算机的安全级别相对较低，但最基本的病毒防护，和策略审计是必不可少的。

3.5选择合适的网络安全设备

企业应该根据自身的需求和实际情况选择适合的网络安全设备，并不是越贵越好，或者是越先进越好。在这里作者重点介绍一下边界防护产品——防火墙的性能参数的实际应用。

作为网络安全重要的一环，防火墙是在任何整体网络安全建设中都是不能缺少的主角之一，并且几乎所有的网络安全公司都会推出自己品牌的防火墙。在防火墙的参数中，最常看到的是并发连接数、网络吞吐量两个指标.

并发连接数：是指防火墙或服务器对其业务信息流的处理能力，是防火墙能够同时处理的点对点连接的最大数目，它反映出防火墙设备对多个连接的访问控制能力和连接状态跟踪能力，这个参数的大小直接影响到防火墙所能支持的最大信息点数。由于计算机用户访问页面中有可能包含较多的其他页面的连接，按每个台计算机发生20个并发连接数计算（很多文章中提到一个经验数据是15，但这个数值在集中办公的地方往往会出现不足），假设企业中的计算机用户为500人，这个企业需要的防火墙的并发连接数是：20*500*3/4=7500，也就是说在其他指标符合的情况下，购买一台并发连接数在10000~15000之间的防火墙就已经足够了，如果再规范了终端用户的浏览限制，甚至可以更低。

网络吞吐量：是指在没有帧丢失的情况下，设备能够接受的最大速率。随着Internet的日益普及，内部网用户访问Internet的需求在不断增加，一些企业也需要对外提供诸如WWW页面浏览、FTP文件传输、DNS域名解析等服务，这些因素会导致网络流量的急剧增加，而防火墙作为内外网之间的唯一数据通道，如果吞吐量太小，就会成为网络瓶颈，给整个网络的传输效率带来负面影响。因此，考察防火墙的吞吐能力有助于企业更好的评价其性能表现。这也是测量防火墙性能的重要指标。

吞吐量的大小主要由防火墙内网卡，及程序算法的效率决定，尤其是程序算法，会使防火墙系统进行大量运算，通信量大打折扣。因此，大多数防火墙虽号称100M防火墙，由于其算法依靠软件实现，通信量远远没有达到100M,实际只有10M-20M。纯硬件防火墙，由于采用硬件进行运算，因此吞吐量可以达到线性90-95M,才是真正的100M防火墙。

从实际情况来看，中小型企业由于企业规模和人数的原因，一般选择百兆防火墙就已经足够了。

3.6投资回报率

在之前作者曾提到的中小企业的网络特点中资金少是最重要的一个问题。不论企业如何做安全策略以及划分保护重点，最终都要落实到一个实际问题上——企业网络安全的投资资金。这里就涉及到了一个名词——投资回报率。在网络安全的投资上，是看不到任何产出的，那么网络安全的投资回报率该如何计算呢?

首先，企业要确定公司内部员工在使用电子邮件和进行WEB浏览时，可能会违反公司网络行为规范的概率。可以将这个概率称为暴光值(exposure value (EV))。根据一些机构对中小企业做的调查报告可知，通常有25%—30%的员工会违反企业的使用策略，作者在此选择25%作为计算安全投资回报率的暴光值。那么，一个拥有100名员工的企业就有100x 25% = 25名违反者。

下一步，必需确定一个因素——当发现单一事件时将损失多少人民币。可以将它称为预期单一损失(single loss expectancy (SLE))。由于公司中的100个员工都有可能会违反公司的使用规定，因此，可以用这100个员工的平均小时工资作为每小时造成工作站停机的预期单一最小损失值。例如，作者在此可以用每小时10元人民币作为预期单一最小损失值。然后，企业需要确定在一周的工作时间之内，处理25名违规员工带来的影响需要花费多少时间。这个时间可以用每周总工作量40小时乘以暴光值25%可以得出为10小时。这样，就可以按下列公式来计算单一预期损失值：

25x ￥10 x 10/ h = ￥2500 (SLE)

最后，企业要确定这样的事情在一年中可能会发生多少次。可以叫它为预期年均损失(annualized loss expectancy (ALE))。这样的损失事件可能每一个星期都会发生，一年有52周，如果除去我国的春节和十一黄金周的两个假期，这意味着一个企业在一年中可能会发生50次这样的事件，可以将它称之为年发生率(annual rate of occurrence (ARO))。预期的年均损失(ALE)就等于年发生率(ARO)乘以预期单一损失(SLE)：

￥2500 x 50 = ￥125,000 (ALE)

这就是说，该公司在没有使用安全技术防范措施的情况下，内部员工的违规网络操作行为可能会给公司每年造成12.5万元人民币的损失。从这里就可以知道，如果公司只需要花费10000元人民币来实施一个具体的网络行为监控解决方案，就可能让企业每年减少12.5万元人民币的损失，这个安全防范方案当然是值得去做的。

当然，事实却并不是这么简单的。这是由于安全并不是某种安全技术就可以解决的，安全防范是一个持续过程，其中必然会牵扯到人力和管理成本等因素。而且，任何一种安全技术或安全解决方案并不能保证绝对的安全，因为这是不可能完成的任务。

就拿本例来说，实施这个网络行为监控方案之后，能够将企业内部员工的违规行为，也就是暴光值(EV)降低到2%就已经相当不错了。而这，需要在此安全防范方案实施一段时间之后，例如半年或一年，企业才可能知道实施此安全方案后的最终效果，也就是此次安全投资的具体投资回报率是多少。

有数据表明在国外，安全投入一般占企业基础投入的5%～20%，在国内一般很少超过2%，而网络安全事件不论在国内外都层出不穷，企业可能在安全方面投入了很多，但是仍然频频发生网络安全事故。很多企业的高层管理者对于这个问题都比较头疼。其实网络安全理论中著名的木桶理论，很好的解释了这种现象。企业在信息安全方面的预算不够进而导致了投资报酬不成比例，另外很多企业每年在安全产品上投入大量资金，但是却不关注内部人员的考察、安全产品有效性的审核等安全要素。缺乏系统的、科学的管理体系的支持，也是导致这种结果产生的原因。

网络安全等级保护解决方案范文第5篇

论文摘要：互联网技术给我们带来很大的方便，同时也带来了许多的网络安全隐患，诸如陷门、网络数据窃密、木马挂马、黑客侵袭、病毒攻击之类的网络安全隐患一直都威胁着我们。计算机网络信息管理工作面临着巨大的挑战，如何在计算机网络这个大环境之下，确保其安全运行，完善安全防护策略，已经成为了相关工作人员最亟待解决的问题之一。该文首先分析了计算机网络信息管理工作中的安全问题，其次，从多个方面就如何有效加强计算机网络信息安全防护进行了深入的探讨，具有一定的参考价值。

1概述

互联网技术给我们带来很大的方便，同时也带来了许多的网络安全隐患，诸如陷门、网络数据窃密、木马挂马、黑客侵袭、病毒攻击之类的网络安全隐患一直都威胁着我们。为了确保计算机网络信息安全，特别是计算机数据安全，目前已经采用了诸如服务器、通道控制机制、防火墙技术、入侵检测之类的技术来防护计算机网络信息安全管理，即便如此，仍然存在着很多的问题，严重危害了社会安全。计算机网络信息管理工作面临着巨大的挑战，如何在计算机网络这个大环境之下，确保其安全运行，完善安全防护策略，已经成为了相关工作人员最亟待解决的问题之一。

2计算机网络信息管理工作中的安全问题分析

计算机网络的共享性、开放性的特性给互联网用户带来了较为便捷的信息服务，但是也使得计算机网络出现了一些安全问题。在开展计算机网络信息管理工作时，应该将管理工作的重点放在网络信息的和访问方面，确保计算机网络系统免受干扰和非法攻击。

2.1安全指标分析

（1）保密性

通过加密技术，能够使得计算机网络系统自动筛选掉那些没有经过授权的终端操作用户的访问请求，只能够允许那些已经授权的用户来利用和访问计算机网络信息数据。

（2）授权性

用户授权的大小与其能够在计算机网络系统中能够利用和访问的范围息息相关，我们一般都是采取策略标签或者控制列表的形式来进行访问，这样做的目的就在于能够有效确保计算机网络系统授权的正确性和合理性。

（3）完整性

可以通过散列函数或者加密的方法来防治非法信息进入计算机网络信息系统，以此来确保所储存数据的完整性。

（4）可用性

在计算机网络信息系统的设计环节，应该要确保信息资源具有可用性，在突然遇到攻击的时候，能够及时使得各类信息资源恢复到正常运行的状态。

（5）认证性

为了确保权限所有者和权限提供者都是同一用户，目前应用较为广泛的计算机网络信息系统认证方式一般有两种，分别是数据源认证和实体性认证两种，这两种方式都能够得到在当前技术条件支持。

2.2计算机网络信息管理中的安全性问题

大量的实践证明，计算机网络信息管理中存在的安全性问题主要有两种类型，第一种主要针对计算机网络信息管理工作的可用性和完整性，属于信息安全监测问题；第二种主要针对计算机网络信息管理工作的抗抵赖性、认证性、授权性、保密性，属于信息访问控制问题。

（1）信息安全监测

有效地实施信息安全监测工作，可以在最大程度上有效消除网络系统脆弱性与网络信息资源开放性二者之间的矛盾，能够使得网络信息安全的管理人员及时发现安全隐患源，及时预警处理遭受攻击的对象，然后再确保计算机网络信息系统中的关键数据能够得以恢复。

（2）信息访问控制问题

整个计算机网络信息管理的核心和基础就是信息访问控制问题。信息资源使用方和拥有方在网络信息通信的过程都应该有一定的访问控制要求。换而言之，整个网络信息安全防护的对象应该放在资源信息的和个人信息的储存。

3如何有效加强计算机网络信息安全防护

（1）高度重视，完善制度

根据单位环境与特点制定、完善相关管理制度。如计算机应用管理规范、保密信息管理规定、定期安全检查与上报等制度。成立领导小组和工作专班，完善《计算机安全管理制度》、《网络安全应急预案》和《计算机安全保密管理规定》等制度，为规范管理夯实了基础。同时，明确责任，强化监督。严格按照保密规定，明确涉密信息录入及流程，定期进行安全保密检查，及时消除保密隐患，对检查中发现的问题，提出整改时限和具体要求，确保工作不出差错。此外，加强培训，广泛宣传。有针对性组织开展计算机操作系统和应用软件、网络知识、数据传输安全和病毒防护等基本技能培训，利用每周学习日集中收看网络信息安全知识讲座，使信息安全意识深入人心。 　（2）合理配置，注重防范

第一，加强病毒防护。单位中心机房服务器和各基层单位工作端均部署防毒、杀毒软件，并及时在线升级。严格区分访问内、外网客户端，对机房设备实行双人双查，定期做好网络维护及各项数据备份工作，对重要数据实时备份，异地储存。同时，严格病毒扫描。针对网络传输、邮件附件或移动介质的方式接收的文件，有可能携带病毒的情况，要求接收它们之前使用杀毒软件进行病毒扫描。第二，加强强弱电保护。在所有服务器和网络设备接入端安装弱电防雷设备，在所有弱电机房安装强电防雷保护器，保障雷雨季节主要设备的安全运行。第三，加强应急管理。建立应急管理机制，完善应急事件出现时的事件上报、初步处理、查实处理、责任追究等措施，并定期开展进行预演，确保事件发生时能够从容应对。第四，加强“两个隔离”管理。即内、外网物理彻底隔离和通过防火墙进行“边界隔离”，通过隔离实现有效防护外来攻击，防止内、外网串联。第五，严格移动存储介质应用管理。对单位所有的移动存储介质进行登记，要求使用人员严格执行《移动存储介质管理制度》，杜绝外来病毒的入侵和泄密事件的发生。同时，严格安全密码管理。所有工作用机设置开机密码，且密码长度不得少于8位，定期更换密码。第六，严格使用桌面安全防护系统。每台内网计算机都安装了桌面安全防护系统，实现了对计算机设备软、硬件变动情况的适时监控。第七，严格数据备份管理。除了信息中心对全局数据定期备份外，要求个人对重要数据也定期备份，把备份数据保存在安全介质上。

（3）坚持以信息安全等级保护工作为核心

把等级保护的相关政策和技术标准与自身的安全需求深度融合，采取一系列有效措施，使等级保护制度在全局得到有效落实，有效的保障业务信息系统安全。

第一，领导高度重视，组织保障有力。单位领导应该高度重视信息化和信息安全工作，成立专门的信息中心，具体负责等级保护相关工作，统筹全局的信息安全工作。建立可靠的信息安全基础设施，重点强化第二级信息系统的合规建设，加强了信息系统的运维管理，对重要信息系统建立了灾难备份及应急预案，有效提高了系统的安全防护水平。

第二，完善措施，保障经费。一是认真组织开展信息系统定级备案工作。二是组织开展信息系统等级测评和安全建设整改。三是开展了信息安全检查活动。对信息安全、等级保护落实情况进行了检查。

第三，建立完善各项安全保护技术措施和管理制度，有效保障重要信息系统安全。一是对网络和系统进行安全区域划分。按照《信息系统安全等级保护基本要求》，提出了“纵向分层、水平分区、区内细分”的网络安全区域划分原则，对网络进行了认真梳理、合理规划、有效调整。二是持续推进病毒治理和桌面安全管理。三是加强制度建设和信息安全管理。本着“预防为主，建章立制，加强管理，重在治本”的原则，坚持管理与技术并重的原则，对信息安全工作的有效开展起到了很好的指导和规范作用。

（4）采用专业性解决方案保护网络信息安全

大型的单位，如政府、高校、大型企业由于网络信息资源庞大，可以采用专业性解决方案来保护网络信息安全，诸如锐捷网络门户网站保护解决方案。锐捷网络门户网站保护解决方案能提供从网络层、应用层到Web层的全面防护；其中防火墙、IDS分别提供网络层和应用层防护，ACE对Web服务提供带宽保障；而方案的主体产品锐捷WebGuard（WG）进行Web攻击防御，方案能给客户带来的价值：

防网页篡改、挂马

许多大型的单位作为公共信息提供者，网页被篡改、挂马将造成不良社会影响，降低单位声誉。目前客户常用的防火墙、IDS/ IPS、网页防篡改，无法解决通过80端口、无特征库、针对动态页面的Web攻击。WebGuard DDSE深度解码检测引擎有效防御SQL注入、跨站脚本等。

高性能，一站式保护各院系网站

对于大型单位客户，往往拥有众多部门，而并非所有大型单位都将各部门网站统一管理。各部门网站技术运维能力相对较弱，经常成为攻击重点。WebGuard利用高性能多核架构，提供并行处理。支持在网络出口部署，一站式保护各部门网站。

“零配置”运行，简化部署

WebGuard针对用户，集成默认配置模板，支持“零配置”运行。一旦上线，即可防护绝大多数攻击。后续用户可以根据网络情况，进行优化策略。避免同类产品常见繁琐配置，毋须客户具备专业的安全技能，即可拥有良好的体验。

满足合规性检查要求

继08年北京奥运、09年国庆60周年后，10年上海世博会、广州亚运会先后举行。在重大活动前后，各级主管单位和公安部门，纷纷发文，要求针对网站安全采取措施。WebGuard恰好能很好的满足合规性检查的需求，帮助用户顺利通过检查。

4结束语

新时期的计算机网络信息管理工作正向着系统化、集成化、多元化的方向发展，但是网络信息安全问题日益突出，值得我们大力关注，有效加强计算机网络信息安全防护是极为重要的，具有较大的经济价值和社会效益。

参考文献

[1]段盛.企业计算机网络信息管理系统可靠性探讨[J].湖南农业大学学报:自然科学版，2000(26):134-136.

[2]李晓琴.张卓容.医院计算机网络信息管理的设计与应用[J].医疗装备，2003.(16):109-113.

[3]李晓红.妇幼保健信息计算机网络管理系统的建立与应用[J].中国妇幼保健，2010(25):156-158.

[4]罗宏俭.计算机网络信息技术在公路建设项目管理中的应用[J].交通科技，2009.(1):120-125.

[5] Bace Rebecca.Intrusion Detection[M].Macmillan Technical Publishing，2000.