企业信息系统安全治理思考.docx

1、企业信息系统安全治理思考姜晓亮律师 国际法学硕士 响应式网站 每年都有一些企业发生服务器被挟持，网络瘫痪，密码被盗等网络信息安全案件。企业的正常营运离不开信息系统的支持，而信息安全案件一旦发生，可能会对企业造成灾难性的后果。企业加强网络运行安全与信息安全的防范，做好应对网络与信息安全突发公共事件的应急处理工作，从而最大限度地减轻或消除网络与信息安全突发事件的危害和影响，确保网络运行安全与信息安全。企业网络和信息安全主要是设备的信息安全，涵盖网络系统、计算机操作系统、数据库管理系统和应用软件系统；计算机病毒的防范、入侵的监控；以用户（包括公司职工和外部相关机构人员）为中心的安全管理，包括用户的身

2、份管理、身份认证、授权、审计等等。1. 信息安全案件的分类和风险分析1.1 网络安全风险 1）网络体系结构的安全风险。网络平台是一切应用系统建设的基础平台，网络体系结构是否按照安全体系结构和安全机制进行设计，直接关系到网络平台的安全保障能力。企业的网络由内网与外网组成。内网与外网之间应当进行隔离及如何进行隔离。外网的路由是否正确，网络的容量、带宽是否考虑客户上网的峰值，网络设备有无冗余设计等都与安全风险密切相关。 2）网络通信协议的安全风险。网络通信协议存在安全漏洞，网络黑客就能利用网络设备和协议的安全漏洞进行网络攻击和信息窃取。例如未经授权非法访问内部网络和应用系统；对其进行监听，窃取用户的

3、口令密码和通信密码；对网络的安全漏洞进行探测扫描；对通信线路和网络设备实施拒绝服务攻击，造成线路拥塞和系统瘫痪。 3) 漏洞及后门的安全风险。网络操作系统都存在安全漏洞；一些重要的网络设备，如路由器、交换机、电脑、其他存储设备，防火墙等，由于操作系统存在安全漏洞及后门，导致网络设备的不安全。1.2 系统安全风险1) 操作系统安全风险。操作系统的安全性是系统安全管理的基础。数据库服务器、中间层服务器，以及各类业务和办公客户机等设备所使用的操作系统，都存在信息安全漏洞，由操作系统信息安全漏洞带来的安全风险是较为普遍的安全风险。同时，计算机病毒的传播会破坏数据信息，占用系统资源，影响计算机运行速度，

4、引起网络堵塞甚至瘫痪。 2) 数据库安全风险。所有的业务应用、决策支持、行政办公的信息管理核心都是数据库，而涉及企业运行的数据都是昀需要安全保护的信息资产，不仅需要统一的数据备份和恢复以及高可用性的保障机制，还需要对数据库的安全管理，包括访问控制，敏感数据的安全标签，日志审计等多方面提升安全管理级别，规避风险。各种应用系统软件在数据的安全管理设计上也不可避免地存在或多或少的安全缺陷，需要对数据库和应用的安全性能进行综合的检测和评估。 3) 应用系统的安全风险。为优化整个应用系统的性能，无论是采用CS应用模式或是BS应用模式，应用系统都是其系统的重要组成部分，不仅是用户访问系统资源的入口，也是系

5、统管理员和系统安全管理员管理系统资源的入口，桌面应用系统的管理和使用不当，会带来严重的安全风险。例如当口令或通信密码丢失、泄漏，系统管理权限丢失、泄漏时。 4) 黑客入侵风险。有的入侵者利用嗅探程序通过网络探测、扫描网络及操作系统存在的安全漏洞，如网络 IP地址、应用操作系统的类型、开放哪些 TCP端口号、系统保存用户名和口令等安全信息的关键文件等，并采用相应的攻击程序对内网进行攻击。入侵者通过拒绝服务攻击，使得服务器超负荷工作以至拒绝服务甚至系统瘫痪。有的入侵者通过网络监听、用户渗透、系统渗透、拒绝服务、木马等综合手段获得合法用户的用户名、口令等信息，进而假冒内部合法身份进行非法登录，窃取内

6、部网重要信息，或使系统终止服务。1.3 管理层安全风险安全的网络设备要靠人来实施，责权不明、管理失控、安全管理制度不健全及缺乏可操作性等都可能引起管理安全的风险。当网络出现攻击行为或网络受到其它一些安全威胁时（如内部人员的违规操作等），无法进行实时的检测、监控、报告与预警。当故障发生后，也无法提供黑客攻击行为的追踪线索及破案依据，即缺乏对网络的可控性与可审查性。必须对站点的访问活动进行多层次的记录，及时发现非法入侵行为。2. 预防与风险管理 目前一些企业网络安全管理的误区：重技术轻管理；重视产品功能，轻视人为因素；重视对外安全，轻视内部安全；缺乏整体性信息安全体系的考量，头痛医头脚痛医脚。企业

7、网络安全风险管理必须整合企业管理体系与流程、技术手段及法律手段三个方面，设计适合本企业的完整安全架构、并持续实施，从而获得理想的安全管控效果。2.1 完善网络与信息安全突发事件监测、预测和预警制度。加强对各类网络与信息安全突发事件和可能引起突发网络与信息安全突发事件的有关信息的收集、分析、判断和持续监测。企业的网管当检查到有网络与信息安全突发事件发生或可能发生时，应及时对发生事件或可能发生事件进行调查核实、保存相关证据，并立即向应急安全生产管理委员会报告。报告内容主要包括信息来源、影响范围、事件性质、事件发展趋势和采取的措施建议等。2.2 制定信息安全管理规定之规章制度 通过规章制度的规定，利

8、用信息安全技术及管理手段，防范公司信息系统安全风险，保护商业秘密信息在采集、传输、交换、处理和存储等过程中的保密性、完整性和唯一性，从而保障信息系统的安全、稳定运行。信息安全管理规定的参考文本，可以登入企业与法网站以授权会员的身份查询（）。2.3 将外包纳入企业的风险管理体系对涉及公司商业秘密和客户隐私等敏感信息系统内容进行外包时，应根据风险控制和实际需要，进行评估审核与监督管理。对承包方财务状况、技术实力、安全资质、风险控制水平和诚信记录等进行评估，确保其设施和能力满足外包要求。可以参照上海市网络与信息安全服务外包指引，更新完善信息外包服务合同，特别是合同中的安全保密、知识产权、服务连续性要

9、求、争议解决、违约责任等条款，应当有利于企业的信息安全管理。2.4 设定信息安全等级保护，实行信息安全风险评估。通过相关设备实时监控网络工作与信息安全状况。各基础信息网络和重要信息系统建设要充分考虑抗毁性和灾难恢复，制定并不断完善信息安全应急处理预案。针对信息网络的突发性、大规模安全案件，建立制度优化、程序化的处理流程。企业需要建立控制系统防病毒和恶意软件入侵管理机制，对控制系统及临时接入的设备采用必要的安全预防措施。安全预防措施包括定期扫描病毒和恶意软件、定期更新病毒库、查杀临时接入设备（如临时接入U盘、移动终端等外设）等。企业windows客户端安装杀毒软件，如企业资金许可可以用360天擎

10、杀毒软件；或者用免费的360企业版杀毒软件。2.5 做好服务器及数据中心的数据备份及登记工作，建立灾难性数据恢复机制。 对于重要网络与信息系统，在建设系统时应事先预留一定的应急设备，建立信息网络硬件、软件、应急救援设备等应急物资库。在网络与信息安全突发公共事件发生时，由应急工作组负责统一调用。重要信息系统均应建立容灾备份系统和相关工作机制，保证重要数据在遭到破坏后，可紧急恢复。各容灾备份系统应具有一定的兼容性，在特殊情况下各系统间可互为备份。2.6 网络安全检查聘请有资质的信息安全服务商，对企业的信息系统安全进行检查，包括：1）系统漏洞检查;：扫描企业网络系统，检测存在的弱点与漏洞；并提出相应

11、的修补方案。2）数据库安全检查：对数据库配置的安全进行检测。3）主机安全检查：通过提取操作系统的关键机制，如系统服务，注册表，启动进程，检测操作系统的访问控制，授权与审计；反馈系统的安全配置，文件访问，引导等系统深度信息。4）网络安全检查：通过对目标网站进行完整扫描，检测WEB应用安全弱点；对网页木马和各类网页被篡改后植入恶意代码进行检测分析等。2.7 法律风险管理按照计算机信息网络国际联网管理暂行规定、计算机信息网络国际联网安全保护管理办法、商用密码管理条例、计算机信息系统国际联网保密管理规定刑法等法律法规的规定，完善企业与客户的用户协议；与供应商的采购合同，信息系统服务合同；企业与职工的保

12、密协议与竞业限制协议，预防信息安全的法律风险。3. 信息安全案件的处置流程3.1 预案启动 在发生网络与信息安全案件后，信息中心应尽昀大可能迅速收集事件相关信息，鉴别事件性质，确定事件来源，弄清事件范围和评估事件带来的影响和损害，一旦确认为网络与信息安全案件后，立即将事件上报工作组并着手处置。3.2 应急处理1） 局域网中断紧急处理措施（1）信息安全负责人员立即判断故障节点，查明故障原因，及时汇报。（2）若是线路故障，重新安装线路。（3）若是路由器、交换机等设备故障，应立即从指定位置将备用设备取出接上，并调试畅通。（4）若是路由器、交换机等配置文件损坏，应迅速按照要求重新配置，并调试畅通。2）

13、 广域网线路中断（1）信息安全负责人员应立即判断故障节点，查明故障原因。（2）如是我方管辖范围，由信息安全负责人员立即维修恢复。（3）如是电信部门管辖范围，应立即与电信维护部门联系修复。（4）做好事件记录。3） 核心交换机故障（1）检查、备份核心交换机日志。（2）启用备用核心交换机，检查接管情况。（3）备份核心交换机配置信息。（4）将服务器接入备用核心交换机，检查服务器运行情况，将楼层交换机、接入交换机接入备用核心交换机，检查各交换机运行情况。（5）联系维修核心交换机。4） 计算机病毒爆发（1）关闭计算机病毒爆发网段上联端口。（2）隔离中病毒计算机。（3）关闭中病毒计算机上联端口。（4）根据病

14、毒特征使用专用工具进行查杀。（5）系统损坏计算机在备份其数据后，进行重装。（6）通过专用工具对网络进行清查。（7）做好事件记录，及时上报。5） 服务器设备故障（1）主要服务器应做多个数据备份。（2）如能自行恢复，则立即用备件替换受损部件，如：电源损坏更换备用电源，硬盘损坏更换备用硬盘，网卡、主板损坏启用备用服务器。（3）若数据库崩溃应立即启用备用系统。并检查备用服务器启用情况。（4）对主机系统进行维修并做数据恢复。（5）如不能恢复，立即联系设备供应商，要求派维护人员前来维修。（6）汇报有关领导，做好事件记录。6） 黑客攻击事件（1）若通过入侵监测系统发现有黑客进行攻击，立即通知相关人员处理。（

15、2）将被攻击的服务器等设备从网络中隔离出来。（3）及时恢复重建被攻击或被破坏的系统（4）记录事件，及时上报，若事态严重，应及时向信息化主管部门和公安部门报警。7） 数据库安全案件（1）平时应对数据库系统做多个备份。（2）发生数据库数据丢失、受损、篡改、泄露等安全案件时，信息安全人员应查明原因，按照情况采取相应措施：如更改数据库密码，修复错误受损数据。（3）如果数据库崩溃，信息安全人员应立即启用备用系统，并向信息安全负责人报告；在备用系统运行期间，信息安全人员应对主机系统进行维修并作数据恢复。8） 关键人员不在岗的紧急处置措施（1）对于关键岗位平时应做好人员储备，确保一项工作有两人能够操作。对于关键账户和密码进行密封保存。（2）一旦发生系统安全案件，关键人员不在岗且联系不上或 1小时内不能到达机房的情况，首先应向安全生产管理委员会汇报情况。（3）经安全生产管理委员会批准后，启用企业备份管理员密码，由备用人员上岗操作。（4）如果备用人员无法上岗，请求软件公司技术支援。（5）关键人员到岗后，按照相关规定进行密码设定和封存。3.3 后续处理 安全案件进行应急处置以后，应及时采取行动，抑制其影响的进一步扩大