大型企業(yè)桌面安全管理建設(shè)

1、百度文郵-讓每個人平零地捉升口我關(guān)于大型企業(yè)桌面安全管理建設(shè)探索摘要桌面安全是各個大型企業(yè)納入重點納入建設(shè)的信息安 全內(nèi)容，木文通過對影響桌而安全的因素進行分析，以中石汕為例, 通過組織體系、安全管理體系及桌而安全技術(shù)三方而建設(shè)，全而進 行桌而安全建設(shè)，強化桌面安全管理，取得了良好效果，供其他單 位借鑒關(guān)鍵詞桌面安全；大型企業(yè)；中國石油經(jīng)過數(shù)十年的信息安全建設(shè)，國內(nèi)大型企業(yè)的網(wǎng)絡(luò)及應(yīng)用系統(tǒng)的 安全防護能力己經(jīng)達到一定水平。但是信息安全故障并沒有隨著信 息安全投入的增加而下降。經(jīng)過統(tǒng)計發(fā)現(xiàn)，內(nèi)部網(wǎng)絡(luò)和應(yīng)用系統(tǒng)發(fā) 生故障的原因少部分是由于網(wǎng)絡(luò)設(shè)備和應(yīng)用系統(tǒng)自身的問題所引 起，更多的是因為內(nèi)網(wǎng)的其他

2、安全因素導(dǎo)致，如病毒爆發(fā)、資源濫 用、惡意接入、用戶誤操作等。而這些安全因素，大多來源于用戶 桌而計算機，桌而安全管理己經(jīng)是各個企業(yè)迫在眉睫的安全建設(shè)內(nèi)影響桌而安全的因素企業(yè)安全組織體系不健全，專職人員缺失大型企業(yè)的業(yè)務(wù)跨度大，地域分布廣。各個二級單位的信息安全 水平發(fā)展不一有的二級單位信息部門職工上千名，有的單位卻沒 有獨立的信息部門。但所有的二級單位都統(tǒng)一在企業(yè)內(nèi)網(wǎng)中運行， 各類統(tǒng)建系統(tǒng)在所有二級單位中運行。對于沒有沒有獨立的信息部 門的二級單位，更沒有負責(zé)安全體系建設(shè)、運行和管理的專職機 構(gòu)及人員，兼職安全管理員有責(zé)無權(quán)的現(xiàn)象普遍存在，依據(jù)“短板” 理論，極易從信息安全力量較弱的單位為突

3、破口，進而影響到整個 企業(yè)信息安全。特別是信息安全技術(shù)的快速發(fā)展，信息安全人員需 不斷提升自身素質(zhì)，加強業(yè)務(wù)水平，才能保證桌面安全運行。企業(yè)職工計算機缺乏安全加固手段盡管多數(shù)大型企業(yè)對桌而計算機的安全加固己經(jīng)采取了部分安全措施，如安裝防病毒軟件和個人防火墻軟件，甚至部署了漏洞掃 描系統(tǒng)定期對桌而計算機進行漏洞掃描，督促用戶及時更新操作系 統(tǒng)補丁。但是，首先由于企業(yè)規(guī)模較大，管理者無法保證所有的終 端用戶都安裝了防病毒軟件和防火墻軟件。其次，即便安裝了這些 防護軟件，用戶也常常因為各種原因無法及時更新病毒庫。另外， 系統(tǒng)漏洞掃描雖然可以獲得桌而計算機的補丁缺失情況，但是卻缺 乏有效的補丁安裝手段

4、。所有這些因素，均導(dǎo)致桌而計算機的安全 無法得到有效的保障。企業(yè)職工計算機缺少有效的接入控制手段對于大型企業(yè)，內(nèi)網(wǎng)計算機數(shù)量眾多且分布地域廣闊。網(wǎng)絡(luò)管理 人員很難統(tǒng)計內(nèi)網(wǎng)計算機的確切數(shù)量，也無法區(qū)分哪些是內(nèi)網(wǎng)授權(quán) 使用的計算機，哪些是外來的非授權(quán)使用的計算機。這種狀況下， 很難控制外來人員隨意的計算機接入。很容易導(dǎo)致企業(yè)內(nèi)網(wǎng)機密信 息的泄漏，往往等泄密事件發(fā)生了，卻還無法判斷到底是哪一個環(huán) 節(jié)出了差錯。另外，對于內(nèi)網(wǎng)授權(quán)使用的計算機，任何一臺感染了 病毒和木馬，網(wǎng)絡(luò)管理人員也無法及時定位和自動阻斷該計算機的 破壞行為。往往需要花費很長的時間才能判斷和定位該計算機，然 后再通過手動的方式斷網(wǎng)。對

5、安全強度差的桌而計算機缺乏有效的 安全狀態(tài)檢測和內(nèi)網(wǎng)接入控制，是導(dǎo)致內(nèi)網(wǎng)安全事件不斷發(fā)生的重 要原因之一。3大型企業(yè)桌而安全管理建設(shè)中國石油信息化建設(shè)處于我國大型企業(yè)領(lǐng)先地位，在國資委歷年 信息化評比中都名列前茅，“十一五”期間，將企業(yè)信息安全保障 體系建設(shè)列入信息化整體規(guī)劃中，并逐步實施，其中桌面安全管理 建設(shè)是信息安全保障體系建設(shè)的重點工作，從組織、管理及技術(shù)3 個方而進行全而建設(shè)。完善安全組織體系建設(shè)中國石油建立三級的終端安全組織架構(gòu)，分別為石油總部、地區(qū) 公司、地區(qū)二級單位。終端安全組織在每一級設(shè)立專門的組織，明 確主管領(lǐng)導(dǎo)，確定組織責(zé)任，設(shè)置相應(yīng)崗位，配備必要人員。其中 集團信息化領(lǐng)

6、導(dǎo)小組是信息系統(tǒng)安全工作的最高決策機構(gòu)，信息管 理部是集團公司信息系統(tǒng)安全的歸口管理部門，負責(zé)落實信息化工 作領(lǐng)導(dǎo)小組的各項決策。企事業(yè)單位信息部門負責(zé)木單位信息系統(tǒng) 安全的管理，并設(shè)立信息系統(tǒng)安全管理、審計、技術(shù)崗位，包括信 息系統(tǒng)安全、應(yīng)用系統(tǒng)、數(shù)據(jù)庫、操作系統(tǒng)、網(wǎng)絡(luò)等負責(zé)人和管理 員，重要崗位設(shè)置兩名員工互為備份。強化安全管理體系建設(shè)安全管理體系從管理制度、培訓(xùn)教育、運行管理及檢查考核4方 而進行強化。管理制度。根據(jù)中國石油信息安全的需求，分階段 逐步制定并完善信息系統(tǒng)安全管理的規(guī)章制度，加大整個信息安全 制度體系的貫徹執(zhí)行力度，才能使安全防護能力得到不斷的提高， 整體信息安全才能落到實

7、處。培訓(xùn)教育。信息安全培訓(xùn)涉及信息 安全法律法規(guī)、信息安全事件案例等多方而，通過培訓(xùn)一方面提高 企業(yè)員工的安全意識，使員工自覺約束自我行為，遵守各項信息安 全規(guī)章制度、標(biāo)準(zhǔn)規(guī)范；另一方面及時掌握必要的信息安全技術(shù)知 識和技能，在實際工作中充分利用技術(shù)手段保障信息安全。運行 管理。通過統(tǒng)一設(shè)計、統(tǒng)一平臺，統(tǒng)一硬件體系架構(gòu)，建立中石 油桌而運行管理系統(tǒng)。采用三級架構(gòu)，分別在總部、區(qū)域數(shù)據(jù)中心 部署服務(wù)器和管理軟件，各企事業(yè)單位的桌而計算機安裝客戶端軟 件，整個運行管理由防病毒子系統(tǒng)、補丁分發(fā)子系統(tǒng)、端點準(zhǔn)入子 系統(tǒng)、電子文檔保護子系統(tǒng)、后臺管理子系統(tǒng)組成。其中通過端點 準(zhǔn)入防御系統(tǒng)，只有符合安全要

8、求且通過用戶認(rèn)證的計算機才能接 入內(nèi)部網(wǎng)絡(luò)使用，防止“危險”、“易感”終端接入網(wǎng)絡(luò)，控制病毒、 蠕蟲的蔓延。補丁管理系統(tǒng)與防病毒系統(tǒng)相結(jié)合，實時監(jiān)測和殺除 病毒，實現(xiàn)對漏洞、病毒及惡意代碼的管理和控制，電子文檔保護 子系統(tǒng)、后臺管理子系統(tǒng)增強系統(tǒng)及電腦文檔的安全性。檢查考 核。信息管理部門定期進行信息系統(tǒng)安全檢查與考核，包括信息系 統(tǒng)安全政策與標(biāo)準(zhǔn)的培訓(xùn)與執(zhí)行情況、重大信息系統(tǒng)安全事件及整 改措施落實情況、現(xiàn)有信息系統(tǒng)安全措施的有效性、信息系統(tǒng)安全 技術(shù)指標(biāo)的完成情況。各企事業(yè)單位信息部門按照木辦法和集團 公司信息系統(tǒng)運行維護管理辦法進行信息系統(tǒng)安全自我考核，信 息管理部進行綜合評價，形成年度

9、考核報告，報信息主管領(lǐng)導(dǎo)。增強桌面安全技術(shù)建設(shè)桌而安全技術(shù)指物理安全、邏輯安全及運行安全三大模塊，通過 與企業(yè)內(nèi)控管理進行有機結(jié)合，依據(jù)中國石油天然氣集團公司信 息系統(tǒng)總體控制實施要求，嚴(yán)格執(zhí)行相關(guān)操作規(guī)范，其中物理安 全指進入機房的物理安全訪問控制機制、設(shè)備的物理安全管理、敏 感的紙質(zhì)系統(tǒng)文件管理。邏輯安全包括系統(tǒng)登錄身份驗證、用戶賬 號及特權(quán)用戶賬戶管理、密碼管理、用戶權(quán)限管理、終端合規(guī)性管 理等。運行安全包括病毒防護及病毒事件的處理、安全系統(tǒng)的備份 與恢復(fù)、應(yīng)急事件的處理。4 結(jié)束語隨著信息技術(shù)應(yīng)用的不斷深入，國內(nèi)大型企業(yè)信息系統(tǒng)集中程度 不斷提高，業(yè)務(wù)對信息系統(tǒng)依賴程度的不斷加大，迫切需要建立與 業(yè)務(wù)發(fā)展和信息化水平相適應(yīng)的信息安全體系。與此同時，國家發(fā) 布了一系列相關(guān)文件，提出對涉及國家安全、經(jīng)濟命脈、社會穩(wěn)定 的重點行業(yè)、企業(yè)的關(guān)鍵信息系統(tǒng)實施信息安全等級保護等要求。 桌而安全責(zé)任也H益增大。只有通過從組織、管理、技術(shù)全面建設(shè), 才能有效提升桌而計算機抵御安全威脅的能力，提高桌面安全管理 水平，達到桌面計算機有防護、有檢測、可控制、可審計，建設(shè)統(tǒng) 一桌而安全管理系統(tǒng)，中石油通過兩年的桌而安