企业信息安全保障

前言：想要写出一篇令人眼前一亮的文章吗？我们特意为您整理了5篇企业信息安全保障范文，相信会为您的写作带来帮助，发现更多的写作思路和灵感。

企业信息安全保障范文第1篇

 

1 综合治理信息安全的战略背景

 

IT管理技术发展历程，从被动管理转向主动管理，从服务导向转向业务价值。在科学的IT管理方法论方面形成了一系列标准：诸如ITIL/ITSM以流程为中心的IT管理行业标准;ISO20000ITIL 的国际标准; COBIT面向IT审计的IT管理标准;COSO企业内部控制框架，面向内部控制;ISO17799：信息安全管理国际标准。当前有很多非常好的综合性标准与规范可以参考，其中非常有名的就是ISO/IEC27000系列标准。ISO/IEC 27001通过PDCA过程，指导企业如何建立可持续改进的体系。

 

目前企业IT运维管理现状。需求变化：IT本身快速变更;管理目标多角度变换并存。资源不足：IT 复杂性成长快于人员成长;IT 人员持续流动。业务影响：难以判断事件对业务的影响和处理事件的优先级。信息孤岛：IT 资源多样性的，不能进行事件的关联分析，缺少统一的健康视图。IT网络与信息系统运维存在监测盲点，缺少主动预警和事件分析机制。

 

如何把此项复杂的工程进行细化与落地，建立信息安全保障框架?在企业有限的IT资源(包括人员、系统等)等的前提下，IT运营面临严峻的挑战，企业多半缺乏信息系统应用开发能力，在很大程度上依赖于产品开发商的支持，为此，要想实现从混乱到清晰、从被动到主动、从应付到实现价值取向的服务思想，自主加外包的混合运维方式无疑是一种好的服务方式。

 

2 建立和实施信息安全保障体系思路和方法

 

针对IT管理问题和价值取向的服务方式，借鉴PDCA工作循环原理和标准化体系建设方法，从建立安全目标和组织体系、制度体系和技术体系等三个主要层面构建实施信息安全保障体系，以规范引导人、以标准流程引导人，以业绩激励人，从而促被动变主动，坚持持续改善，促进工作效率，促进安全保障。

 

2.1 建立和推行目标管理

 

体系建设应以目标管理为先导、循序渐进，按顶层布局、中层发力、底层推动内容设计与构建，为此，借鉴当前IT运维管理目标演进方式，确立各阶段建设目标。

 

基础架构建设阶段(SMB)，手工维护阶段。主要实现IT基础架构建设。

 

网络和系统监控(NSM)阶段，重视自动化监控阶段。主要实现IT设备维护和管理。

 

IT服务管理(ITSM)阶段，重视流程管理阶段。主要实现IT服务流程管理。

 

业务服务管理(BSM)阶段，重视用户服务质量与满意度。主要实现IT与业务融合管理。

 

从IT投入和业务价值来看，前三个阶段是间接业务价值，第四阶段才是直接业务价值。

 

根据ITIL这个IT服务管理的方法论，先是搭建一个框架，借用工具的配合促进落地。如图1、IT运维管理系统参考模型。

 

从安全目标出发，结合IT运维管理系统参考模型，每个阶段的工作向着实现直接业务价值，不断消除或减轻对性能的约束，促进IT产品或服务满足确定的规范，实现企业效益最大化。服务好用属性通过最终的绩效和检验结果监视测量价值成分。如图2。

 

2.2 规划融合信息安全保障体系

 

通过从组织体系、制度体系、技术体系层面建立和实施纵深防御体系，实现稳健的信息安全保障状态。

 

①组织体系：通过企业中高层的支持实现业务驱动和共同推动信息安全体系建设。当然，需要提出的问题，组织有可能要依赖长期可靠的合作伙伴：通过长期可靠的合作关系，快速引进外部专业资源和先进技术，可以帮助企业推动信息安全建设工作。为了帮助组织内外信息系统人员更好地遵守行业规范及法律要求，企业实施IT网络与信息系统安全运维体系标准，组织应做到定期对全体员工进行信息安全相关教育，包括：技能、职责和意识，通过相关审核，证明组织具备实施体系的意识和能力。

 

②制度体系：企业IT网络与信息系统安全运维系统建设的范围包括机房安全、数据安全、网络安全、服务器安全、业务应用安全、终端安全等。为此，企业应明确内部运维和外部协同的内容及其标准规范，包括绩效标准。建立实施IT网络与信息系统安全运维体系标准，首先把高效的信息安全做法固化下来形成规则制度或标准，成为组织中信息安全行为准则。保证事前预防、事中监控和事后审计等安全措施的得到有效执行与落实。

 

③技术体系：一般来说，网络设备技术体系可以按照从上到下信息所流经的设备来部署工具。即从数据安全、终端安全、应用安全、操作系统与数据库安全、网络安全、物理安全六个方面来选择不同的安全工具。按照“适度防御”原则，综合采用各种安全工具进行组合，形成企业“适用的”安全技术防线。适时根据风险评估的结果，采取相应措施，降低风险。

 

其中，需要采用1～2种综合管理的工具来帮助把所有的安全监控工具进行统一管控。例如SOC是给企业日常维护管理者使用，ITRM作为综合风险呈现，是给企业风险或安全管理层使用。

 

④体系运行和监控：体系的日常运行和监控就是从信息的生命周期进行流程控制，即在信息的创建、使用、存储、传递、更改、销毁等各个阶段进行安全控制。之前不能忽视在信息创建开发安全阶段的一个细化控制手段。在运行体系建设中，往往需要结合流程分析来关注信息的生命周期安全。运行过程中还有一个应急管理，包括灾备中心建设、业务连续性计划、应急响应等等都有相应的标准与理论支持。特别是BS25999标准的颁布，给如何建立一套完善的应急体系提供了参考。

 

3 企业建立和实施信息安全保障体系实践

 

面对网络系统互连，网络技术与设备的安全管理规范的完善这个复杂而且浩大的工程，井冈山卷烟厂不仅依靠个体分散的技术措施或者管理防护，而且结合国家、社会和个人的力量构建综合保障体系。

 

①依据ISO9000、ISO14000和OHSAS18000标准，国家计算机网络和信息安全相关法律法规，参考当前科学的IT管理方法论方面形成了一系列标准，结合YC/T384烟草企业安全生产标准等，识别这些与信息安全相关的法律法规及其它要求，将信息安全保障体系(框架)融合到企业质量、环境和职业健康安全(以下简称为三标)综合管理体系。

 

②确定信息安全管理目标并分步实施企业三年信息化发展规划。自2012年开始，企业对照YC/T384烟草企业安全生产标准要求，在梳理和评价2000年以来企业多个企业信息化三年实施规划实践环境以后，制订了新的三年信息安全管理目标和建设规划，将目标和规划分解到各年度实施，并纳入到企业年度三标综合管理体系建设目标和管理绩效考核。

 

③建立信息安全管理组织和工作标准，同时纳入三标综合管理体系管理考核。从体系结构上促成企业作业层、管理层(中间层)和决策层的信息化，实现企业的物资(服务)流、资金流和信息流的一体化，及时、准确和完整地传递企业的经营数据，保证企业的经营管理。利用信息化改进管理，形成企业信息安全文化，促进员工接受、理解和主动配合，不断提升全员的信息安全意识和技能，从而使信息安全管理真正落到实处。

 

④建立和实施信息安全保障体系文件标准。根据国家信息安全相关的法律法规及其它要求，结合行业和企业的特点和发展趋势，规范管理流程和模式。网络与信息系统建设“立足长远、分步实施、突出重点”，做到“统一规划、统一标准、统一平台、统一编码”，同步实施信息系统等级保护制度，促进企业与信息系统项目合作单位、地方通讯和公安等部门的社会化合作主要方式。企业内部各项工作实现规范化、信息化，做到一切工作都按照程序办，同时，事事处于相互制衡的环境之下、人人处于监督管理之中，从而形成职责明确、运转协调、相互制衡的工作机制，为企业内部信息安全监管提供强有力的保障。

 

几年来，企业坚持企业信息安全方针目标，以迅速响应服务为宗旨。企业信息安全保障体系建设紧紧围绕建立科学、规范、和谐、统一、开放的管理体系，全面融入了质量、安全和环境管理体系一体化建设和实践，截止到2015年底，企业共梳理建立或整合并实施安全保障类文件包括企业管理标准、技术标准和工作标准共计31个标准文件。通过创新与改善和体系审核、管理评审和提高文件执行率及持续改进方式保持了信息安全保障管理体系的持续改进和有效运行。

企业信息安全保障范文第2篇

关键词：金融行业 计算机 信息安全 保障体系

随着社会的不断进步和发展，信息系统改变人们的生活方式，推动了整个社会的发展，金融行业也不例外。信息化虽然给人们带来了极大的便利，然而计算机信息技术的发展也存在潜在的信息安全问题。在这一背景下，计算机网络的开放性与金融信息的私密性又具有直接的矛盾，金融行业信息安全形势也不容乐观，加强金融行业计算机信息保护，构建更加安全可靠的金融信息安全保障体系显得尤为重要。

一、金融行业计算机信息存在的风险

（一）计算机数据被攻击窃取

计算机病毒和木马依然是目前金融行业信息风险的主要因素。计算机病毒和木马在计算机程序中潜伏，被激活后会对其他程序进行感染和破坏，轻者造成数据毁坏、丢失，严重者甚至可能使整个信息系统瘫痪，是破坏计算机数据的一个主要因素，也是计算机面临的一个主要安全问题。一旦金融计算机数据传输系统被破坏，就可能会导致数据被窃或者客户资料泄露，甚至导致客户资金或证券交易价值损失。

（二）系统设计维护的缺陷

金融行业的各项信息系统设计不可能做到完美无缺，任何一个系统都具有固有的缺陷，这就为不法分子留下攻击的漏洞，并且无效的安全管理也是造成安全隐患的重要因素，将直接影响客户和银行的资金安全。通常情况下，金融计算机系统都有管理人员对其进行监视，若发现漏洞则应对其危险程度进行分析，并应积极采取相应措施进行补救。然而即使是维护过的系统，在软件更新或者升级后又可能会产生新的漏洞，依然会危及金融系统的安全。

二、金融行业计算机信息安全保障体系的构建

为了确保金融行业计算机信息安全体系的有效运行，就必须要构建一个安全、有效的信息安全体系对其进行保护，从而在计算机技术内部形成有效的防火墙，并加强系统的维护和管理，以预防和阻止由于非法入侵、攻击、盗用等造成的信息遗失安全问题。

（一）推进金融科技标准化体系

近几年，标准化体系建设已经成为人民银行科技主管部门的一项重要工作，为金融行业信息技术发展的做出了行业规范。在实际发展中，金融行业在计算机信息管理，专业研发、维护和管理部门和人才等方面做了大量的工作。金融机构既建立计算机信息系统规划、开发、建设、维护等相关技术部门，也设立风险管理部门和安全管理部门。为了更好地推进金融科技标准化工作，各金融行业风险管理部门要加强对安全风险进行监视，从组织监督检查的角度，由金融系统内部审计部门，对其业务流程及系统运作情况进行安全监督检查，及时将监视结果提供给其他相关部门；安全管理部门要加强对管理制度、法规、安全细则等进行规定，并通过监督、指导、管理等使制度得到落实，从信息安全管理层面使金融信息安全体系的防范级别得到切实提高。

（二）加强计算机信息数据的保护

金融行业服务业已进入大数据时代，要求数据存储系统具有较高的可靠性，只有完善的数据存储才能更好的保障其访问和交易过程的顺利进行。若系统出现故障，可能会出现业务中断、客户流失，甚至资金链断裂等等诸多问题，会很多大程度影响客户体验和企业信誉度。金融行业不仅要开发适合本机构的金融产品和完整有效的信息系统，更应该加强备用数据中心的建设，强化减灾容灾能力。这样，在数据中心无法继续正常运行时，可以通过使用备用数据中心通道来维持系统的正常工作，从而更好的防范数据问题引起的服务事故，为网络信息安全保障体系建立强大的服务后盾。

（三）积极跟进新型信息安全技术

计算机信息安全技术是维持信息安全体系的关键，合理运用安全机制，积极探索和采用新型信息安全技术，可以保障系统的顺利运行和广大人民的资金财产安全。一是要加强网络访问者身份认证。金融行业要采用静态密码认证、动态密码认证、指纹识别、数字证书以及其它新型认证方式，做好客户身份认证工作，同时也要避免客户相关隐私信息被盗用。二是加强网络病毒木马的实时监测。坚持金融行业计算机网络安全以防护为主的原则，做好病毒防护系统升级工作，主动强化对病毒木马进行实时监测，分析病毒木马最新动态，制定合理的防护机制和预警机制，从而更好的 对其进行防范；三是加强计算机信息系统软硬件管理、维护和升级工作。计算机信息系统的正常运行是以软硬件设备为基础的，其安全性设计和优化配置对于保障系统信息安全都尤为重要。在实际工作中既要积极解决信息系统安全设计、生产、测试、运营、维护等方面的问题，提高系统设备安全性，从而更好的保障计算机网络安全策略的顺利执行，也要做好系统的更新和升级工作，要把用户体验好，安全防护好各类新型金融信息产品投入运行。

三、结束语

在信息化愈加普及的今天，金融机构更应重视计算机信息安全系统的构建，不仅要加强对信息资源的保护，同时还要建立完善、可靠的金融信息安全体系，以安全技术以及防护手段作为安全体系构建的支撑，确保信息体系的安全运行和实施，保障监视、评审信息安全，从而切实保障客户的个人信息安全，最终才能不断推动推动金融业的快速发展。

参考文献：

[1]韦雪江.我国金融行业计算机信息安全形势分析和研究[J].计算机光盘软件与应用，2013

企业信息安全保障范文第3篇

（1）适应电力企业发展的需要，遵循现行电力企业管理体制；

（2）管控平台涉及技术和管理，须对技术手段和管理手段的实现方式进行决择；

（3）须考虑不同级别单位以及不同使用对象需求的侧重点；

（4）管控平台自身须具有一定安全性；

（5）基于管控平台的工具特性，须配套推出数据初始化等服务及制度来实现平台的正常运转。

2管控平台角色需求分析

管控平台设置的用户角色必须与电力企业现有信息安全相关组织架构相匹配。一般来讲，电力行业自身信息安全相关组织架构包括上级信息安全主管单位、本地信息安全主管单位以及本地信息安全实施单位此外，电力行业在实际信息安全工作中，需要外部信息安全产品厂商、安全服务厂商、安全咨询机构、相关公共信息安全机构以及科研机构支持。管控平台将外部信息安全产品厂商、安全服务厂商、安全咨询机构统一定义为外部信息安全支持单位，将相关公共信息安全机构以及科研机构定义为应急联动及专家机构。管控平台各角色职能需求分析如下：

（1）上级信息安全主管单位上级信息安全主管单位负责企业整体信息安全保障，掌握整体信息安全态势，评估网络和信息系统安全机制的有效性情况。在信息安全突发事件发生时，负责事件决策、监控、协调。

（2）本地信息安全主管单位本地信息安全主管单位负责本单位信息安全保障，掌握所辖网络及其业务信息系统的安全态势，协调安全事件的处理。

（3）本地信息安全实施单位本地信息安全实施单位负责本单位信息安全保障具体实施工作。在管控平台中本地信息安全实施单位设置的角色包括负责人、安全主管、安全运维人员等，如表1所示。负责风险评估、实时监控、应急演练、安全预警以及信息安全突发事件处置各项工作的具体实施。

（4）外部信息安全支持单位外部信息安全支持单位承担信息安全支撑服务职能，其职责包括外部信息安全事件预警监控，风险评估、应急演练及应急处置的外协支持等。

（5）应急联动及专家机构应急联动及专家机构由各相关公共信息安全机构、科研机构信息安全相关领域专家组成，为电力企业信息安全保障提供技术支持和资源保障。应急联动专家机构人员在管控平台中通过设置呼叫树和专家角色，参与应急等各项事务的处置。

3系统功能设计

通过管控平台的定位以及上述角色需求分析，可明确管控平台的功能模块设置及关系如图1所示，下面依次对关键模块内容进行阐述。

3.1基础安全数据管理

基础安全数据管理模块对企业信息系统相关的网络设备、服务器、通用软件等基本信息和策略配置信息，漏洞库、事件特征库、补丁库、安全配置知识库和应急响应知识库，以及风险评估、应急演练等工作中产生的过程数据进行汇总存储并详细分类，支持多种查询和修改。

3.2预案管理

预案管理模块实现对各级单位信息安全应急预案的编制、审批、、更新，以及预案的执行（及演练）和事件处置等功能。其中应急预案编制、审批在管控平台上进行统一规范，各单位人员在管控平台上只需要参考应急预案模板并调用本单位的实际数据内容即可完成编制任务。预案管理模块功能设计如图2所示。在预案管理模块中，应急预案执行是一种复杂的业务流程，通常基于工作流引擎来实现。这种实现方式可确保相应的演练和事件处置活动能够全程可监控、可记录。图3是基于工作流引擎实现应急预案某一操作规程的实例。

3.3风险评估

风险评估模块为各单位信息安全风险评估工作提供全过程支撑，并能够根据评估过程和结果数据（例如将资产调研结果，威胁、漏洞分析等评估结果）通过内定的矩阵型风险计算方式自动计算得出各单位总体风险和高危风险状况，为各单位编制应急预案的方向提供依据。风险评估模块功能设计如图4所示。

3.4业务影响分析

业务影响分析模块同样是为编制应急预案提供依据，与风险评估模块类似。但考虑到信息系统业务的差异性，管控平台不对业务影响分析进行全过程管理和支撑。图险评估模块功能设计示意图

3.5公告管理

公告管理模块向管控平台各级角色提供通知信息、浏览、查阅、管理功能。公告从编制、审批、到反馈的整个流程均通过管控平台来实现。公告的类别包括：

（1）企业发文：企业带正式文号的信息安全类文档的、管理、显示；

（2）通知通报：企业不带正式文号但须告知各级单位的信息安全相关文档的、管理、显示；

（3）企业动态：企业各级单位参与的信息安全相关活动、新闻的、管理、显示；

（4）业界安全动态：国内外安全事件，尤其是电力行业安全相关动态的、管理、显示。

3.6预警管理

预警管理模块包含漏洞预警和威胁预警两类功能，级别分为高、中、低三级。预警信息来源分为两类，一类是国内外安全评测机构、厂商的安全预警及漏洞，另一类是源自风险评估模块和业务影响分析模块的计算结果。与公告类似，预警管理的整个流程通过管控平台来实现。各单位接收到管控平台自动发送的提示短信，登录平台，即可处理预警信息。

3.7安全事件管理

安全事件管理模块对信息安全事件的分级分类以及事件响应处理进行管理。信息安全事件的分级分类基于国家有关标准与行业实际情况。安全事件响应方式分为自动响应和事件工单管理两类。自动响应包括屏幕、邮件、声音、工单、对话框、设备控制、短信、脚本操作、SNMPTrap等响应方式，并通过其设置实现自定义用户响应策略。事件工单管理则通过与第三方统/平台的接口与例如IT服务管理平台进行联动来实现。

3.8信息安全状况监视（应急值班室）

信息安全状况监视模块可向各级人员提供不同的管理界面，分为宏观态势监视与应急监视两类。宏观态势监视能够根据风险评估结果、安全预警信息以及当前安全状况（是否有安全事件发生以及处理情况），对企业整体安全态势进行研判，为安全决策提供支持。应急监视能够通过安全模型分析及人工比对分析，将安全事件、威胁、漏洞等数据与管控平台中业务数据进行关联，得出研判信息，并结合国家有关标准，为应急人员提供应急相应实施依据。信息安全状况监视模块功能设计如图5所示。

4结语

企业信息安全保障范文第4篇

如今，伴随着科学技术的迅猛发展，我国电力企业各个方面的工作，也得到了大幅度的进步。电力信息安全保障体系，是电力发展事业各组成部分中的重要环节，在维持电力企业的正常运行、日常管理和营销管理等方面，起着至关重要的作用。因此，电力信息的安全问题，一直是电力企业所关注的重要内容之一，各个企业对于电力信息也逐渐重视起来。以下是笔者结合当前电力信息安全保障体系建设的实际情况，就在电力企业中，电力信息系统的安全领域出现的问题，进行有效详细的研究与分析，希望通过此次研究，能够对电力信息安全保障体系的建设领域的发展，起到一定的促进作用，为我国电力工作的发展，献计献策。

【关键词】

电力信息；安全保障；体系建设；探讨研究

所谓的电力信息系统，主要的内容包括信息网络、应用系统、网络服务系统、存储与备份系统、安全系统、辅助系统等。除此以外，上述系统的附属设备也在电力信息系统的行列内。本系统所涉及的技术，大致有数据加密技术、防火墙、入侵检测技术、网络扫描技术，以及访问控制技术等。虽然安全架构在设计上出现问题与管理方面出现问题，是引发信息系统安全问题的主要因素，但还是有其他因素存在。因此，在电力信息系统安全保障体系的建设，要考虑电网运行安全方面以外，还要经过信息安全系统的的建设、信息安全管理的建设和信息安全策略的建设三个阶段。

一、电力信息安全保障体系存在的问题

随着科学技术的不断发展，计算机技术也在不断进步，黑客是摆在我们面前不可忽视的问题。因此电力系统在正常运行的情况下，就很容易受到黑客的攻击，造成病毒的侵入，所以对电力信息的安全保障体系的建设予以加强，变得迫在眉睫。现如今，电力信息安全存在的主要问题，大致包括信息安全意识薄弱、信息安全运作机制不完善、信息安全保障工作没有常态化、系统安全设计不足，以及短板现象显著等。在大多数电力企业中，信息安全问题常常被忽视，有的甚至处于不防御状态。信息安全运作机制不完善，在不完善的业务连续性计划，不规范的信息文档和测试数据的管理中，有所体现。那么，怎么样去应对这些问题呢？使这些问题能够迎刃而解呢？主要从信息安全管理和信息安全技术两方面入手。其中，信息安全评估、建立安全管理组织、信息安全运行管理、安全策略规划和安全监督审计等，均属于信息安全管理范畴。而信息安全技术大致包括通用信息安全技术手段，也就是安全服务，比如访问管理、防恶意代码、身份认证和审核跟踪等等。

二、电力信息安全保障体系的策略与管理

结合当前形势与公司实际,要不断进行管理的创新与技术的实践。从管理层面讲，要对组织机构、系统运行维护、规章制度、相关工作人员教育等进行全面控制和管理；而从技术的层面出发，做到防护物理、主机系统、网络、数据应用等等各方面的安全性,同时在安全可靠前提下，建设一套高效、先进、实用的信息安全保障体系，支撑助力生产专业化与管理现代化，保障电力信息的安全性。制定电力信息安全策略，应该保证在国家信息安全等级保护政策的前提下进行，本着提升电力企业整体防篡改、防泄密、防攻击等综合能力的原则，进行策略的制定。电力信息安全的运行，在保证对基础环境、主营业务系统、软硬件平台等等运行维护的同时，还要确保运维技术规范、运维流程和定检等标准或机制的建立。另外，访问控制和身份认证，可以将主机系统、安全设备、应用系统，网络设备等的身份认证，进行统一管理。审计和监控，也可提高信息的安全性，对问题发生时的反应速度，也能够得以提升，对安全问题的发生，起到了有效的预防。在电力管理信息大区网络内部，还应建立能够对病毒进行预防、隔离、检测和清除的机制。这样，可以大大降低未知病毒的入侵率。

三、结论

总而言之，加强电力信息安全保障体系的建设，是新时期电力工作者热衷研究的一大科题，更是今后的工作方向。在电力信息系统安全保障体系建设的过程中，我们必须要以“坚持实事求是、以人为本”的方针为原则，系统性的分析影响电力信息系统运行安全与管理的因素，结合如今电力信息系统安全保障的实际情况，以最佳的建设原则与思路，对电力信息系统安全保障体系进行完善，为电力企业的健康长远发展做出突出的贡献。

作者：唐勇 单位：国网四川省电力公司电力科学研究院

参考文献

[1]李志茹,张华峰,党倩.电网企业信息系统安全防护措施的研究与探讨[J].电力信息化.2012(04)。

[2]香柱平.有关电力企业信息中心网络安全及防护措施的探讨[J].中小企业管理与科技(下旬刊).2010(05)。

[3]张建华,王昕伟,蒋程,于雷,俞悦,余加喜.基于蒙特卡罗方法的风电场有功出力的概率性评估[J].电力系统保护与控制.2014(03)。

[4]丁冬,刘宗歧,杨水丽,吴小刚,李婷婷.基于模糊控制的电池储能系统辅助AGC调频方法[J].电力系统保护与控制.2015(08)。

企业信息安全保障范文第5篇

随着信息化的高速发展，为企业及社会带来了显而易见的效益：提高的工作效率、减少的纸张浪费、快捷方便的通讯等等。但信息化也是一柄"双刃剑"，尤其是在企业管理、商业保密等工作中，还存在着令人堪忧的隐患：

一是物理安全风险。物理安全风险包括计算机系统的设备、设施和信息面临因自然灾害、环境事故（如断电）、人为物理操作失误以及不法分子进行违法犯罪等风险。

二是数据安全风险。数据安全风险包括竞争性业务的经营和管理数据泄漏，数据被人为恶意篡改或破坏等。

三是网络安全风险。网络安全风险包括病毒造成网络瘫痪与拥塞、内部或外部人为恶意破坏造成网络设备瘫痪、来自互联网黑客的入侵威胁等。

二、保证企业信息安全的基本对策

2.1正确认识企业信息安全问题。

企业的信息安全问题，绝不仅仅是一个仅靠防火墙、密码等等技术就能解决的问题，它还与人们的职业道德、社会道德以及企业管理等问题密切相关。因此，在维护企业信息安全时，我们必须站在宏观的角度对问题进行考虑。在过去看来，一个企业信息的安全问题，是领导层或者IT单个部门的事情，但是凭少数人或部门的工作，对于保障公司的信息不被泄漏，防护信息存储不被破坏、攻击和偷盗是很难的事。笔者认为，意识指导行动，信息安全问题首先要解决的是员工的思想认识问题，只有企业的每一个人都认识到信息安全的重要性，才能在工作中自觉地维护信息安全。因为在任何一个体系中，人都是最活跃、最具有影响力和决定意义的因素，因此对于企业的信息安全问题而言，企业内部员工才是保护信息安全的最可靠、最有效的重大保障。此外，还可以加强引进信息安全技术人才以及信息安全管理人才，并在日常工作中，加强对队伍专业知识以及工作技能的培训，从而为企业建设一支强有力的信息安全保卫队伍。其次信息管理部门要全面作好专业技术支持与防范工作，根据业务的需求采取适当的保护措施，实施专业应用系统。例如，保护企业信息安全的技术可以采用主动反击、网络入侵陷阱、密码、取证、防火墙、安全服务、防病毒、可信服务、PKI服务、身份识别、备份恢复、网络隔离等等保护产品以及保护技术，通过确保信息安全的最大化，来实现企业生产经营持续发展以及经济效益的最大化。此外，还可以在工作的过程中，进一步优化企业信息安全管理，并进行管理监控以及安全风险评估，分析入侵防范、服务器架构等等关键问题，以全面性、多角度的掌控，确保企业信息系统的安全性、稳定性，因为信息安全问题不具有静态性，信息管理始终处在一个不停变动的动态性过程，因此即使我们不可能确保信息的绝对安全，也必须做到相对安全，从而最大限度的降低企业风险。

2.2建立健全信息安全管理制度。

信息安全不仅是技术问题，更主要是管理问题。任何技术措施只能起到增强信息安全防范能力的作用，俗话说“三分技术，七分管理”，只有良好的管理工作才能使保障技术措施得到充分发挥，是能否对信息网络实施有效信息安全保障的关键。现在中国石油股份有限公司内控体系中涉及信息内部控制的《信息系统总体控制办法》（以下简称“GCC”）就很好的涵盖了信息安全的各个方面，包括了机房管理、服务器管理、网络管理和系统管理等。因此在实际的工作中，我们可以通过“三步骤”来实现企业信息的安全管理制度的健全化、完善化。第一，结合企业自身的实际，分析企业存在的问题以及预期的目标，制定具有科学性、合理性、实效性、可行性的信息安全管理制度，使保护信息安全工作做到有法可依，有章可循。第二，建立信息安全管理机构，明晰信息安全管理负责人的职务和责任，并建立相应的考核机制和激励机制，以督促、鼓励相关负责人的工作，提高信息管理工作质量。第三，真正贯彻管理措施，加强制度的执行力度，只有这样，才能从根本上实现管理工作以及工作目标，最终提高企业的信息安全管理水平。

三、加强企业信息安全保障的几点措施

如何有效地解决企业信息安全的专业性管理与技术性防范，笔者认为可从以下几个方面着手。

3.1实行严格的网络管理。企业网与互联网的物理隔离、防火墙设置以及端口限制，与互联网相比安全性较高，但在日常运行管理中我们仍然面临网络链路维护、违规使用网络事件等问题，具体而言：一是在IP资源管理方面，采用IP+MAC捆绑的技术手段防止用户随意更改IP地址和随意更换交换机上的端口。这样，就不会出现IP地址被盗用而不能正常使用网络的情况；二是在网络流量监测方面，使用网络监测软件查看数据、视频、语音等各种应用的利用带宽，防止频繁进行大文件的传输，甚至发现病毒的转移及传播方向。三是加强服务器管理。常见应用服务器安装的操作系统多为WindowsServer，可利用其自带的安全管理功能进行设置，包括服务器安全审核、组策略实施、服务器的备份策略以及系统补丁更新等。

3.2加强客户端监管。对大多数单位的网管来说，客户端的管理都是他们最头痛的问题。只有得力的措施才能解决这个问题，这里推荐以下方法：

（1）将客户端都加入到域中，使客户端强制性纳入管理员集中管理的范围。

（2）只给用户以普通域用户的身份登录到域，这样就可以限制他们在本地计算机上安装有安全隐患软件的权利。

（3）实现客户端操作系统补丁程序的自动安装。

（4）利用企业IT部门的工作职能，设置热线帮助和技术支持人员，统一管理局域网内各客户端问题。

3.3坚持进行数据备份。由于应用系统的加入，各种数据库日趋增长，如何确保数据在发生故障或灾难性事件情况下不丢失，是当前面临的一个难题。从成本及易操作性考虑，这里推荐以下两种数据备份方法：一种是用硬盘进行数据备份；另一种是采用本地磁盘阵列来分别实现各服务器的本地硬盘数据冗余。