信息安全保护体系

关键词: 工业 现状

信息安全保护体系(精选十篇)

信息安全保护体系 篇1

本文通过对贵州省某国有企业的工业控制系统开展信息安全风险测评工作,掌握其安全现状,以该企业工业控制系统为例研究与探讨工业控制系统信息安全保护体系。

2 企业工业控制系统安全现状

目前该企 业主要采 用浙大中 控分布式 控制系统(DCS)4套、西门子可编程控制系统(PLC)2套、自主研发数据采集系统1套、就地测控设备(仪表)53台、应用软件国内4套(浙大中控)国外2套(西门子STEP6.5及Win CC2.0)、工程师站7台、操作员站及其它38台。用于生产现场物料计量数据采集的电子秤自动称重系统为自主研发, 关键生产流程采用浙大中控DCS系统进行控制,在运行DCS系统共计4套,目前均独立运行。其它一些小型控制系统较多采用西门子PLC系统构建。

该企业工业控制系统网络连接采取物理隔离的方式,不与互连网连接;各工业控制系统针对各车间需求独立运行,相互间无连接,分别负责温度、压力、传送与提升的监测与控制。

3 存在的主要安全问题

该企业的工业控制系统在信息安全管理体系、物理环境安全、技术安全等方面都存在薄弱环节和风险。

在信息安全管理体系方面:在管理安全工作中虽有相应制度的建立,但是制度不完善,记录不完整,管理安全风险属于中等。

物理环境安全方面:分布式控制系统(DCS)主要安装在各车间控制室,采集数据与控制设备的仪器仪表安置在车间里, 控制室对物理环境控制采取了一定措施但不完善,还缺少相关的环境监测与控制的设备,某些车间物理环境恶劣, 对仪器仪表抗腐蚀抗高温的要求高,其物理环境安全风险较高。

技术安全方面:存在操作系统的安全漏洞问题、防病毒软件安装及升级更新问题安全策略配置问题. 使用移动介质导致的病毒传播问题。设备维修时笔记本电脑的随便接入问题、工业控制系统被有意或无意控制的风险问题、缺乏自动监控系统及未建立相关的监控管理体系。

软硬件对国外的依赖程度方面:企业工业控制系统的主要设备与软件都采用国外产品,现缺少国外产品的升级更新服务,系统对国外依赖程度高。

其亟待解决的主要问题:对移动存储介质的使用和管理不够完善,控制室的主要设施与物理环境有安全隐患,工业控制系统的操作系统、组态软件未安装补丁程序,存在系统漏洞,有被震网病毒程序攻击的威胁。

4 设计基于纵深防御策略的工业控制系统信息安全保护体系

针对该企业生产特点并结合工业控制系统的网络结构,基于纵深防御策略,为今后各层间互连设计五个层面的安全防护。

(1)企业管理层和数采监控层之间的安全防护。该企业的企业管理层的ERP系统需要与制造执行层的数据采集监控系统相连, 直接互连会带来较高的安全风险,需在层间加入防火墙,一方面提升了网络的区域划分,另一方面更重要的是只允许两个网络之间合法的数据交换,阻挡企业管理层对制造执行层的未经授权的非法访问,同时也防止管理层网络的病毒感染扩散到制造执行层网络。

(2)制造执行层和工业控制层之间的安全防护。针对该企业的工业以太网应用的是OPC通讯协议, 需在制造执行层和工业控制层之间之间安装专业的工业防火墙再加上网闸, 解决OPC通讯采用动态端口带来的安全防护瓶颈问题,同时还可保障制造执行层和工业控制层间的单向传输, 阻止病毒和任何其它的非法访问提升网络区域划分能力的同时从本质上保证了网络通讯安全。

(3)保护关键控制器。由于常规的IT防火墙和网闸等安全防护产品都不支持工业通讯协议,因此,对该企业工业控制系统中各PLC的保护可采用专业的工业防火墙。一方面对防火墙进行规则组态时只允许制造商专有协议通过,阻挡来自操作员站的任何非法访问;另一方面可以对网络通讯流量进行管控,可以指定只有某个专有操作站才能访问指定的控制器;第三方面也可以管控局部网络的通讯速率,防止控制器遭受网络风暴及其它攻击的影响,从而避免控制器死机。

(4)隔离工程师站,保护操作员站。对于网络中存在的工程师站和操作员站,考虑到工程师站和操作员站在项目实施阶段通常需要接入第三方设备 (移动介质、数码设备及笔记本电脑等), 而且是在整个控制系统运行情况下实施,受到病毒攻击和入侵的概率很大,存在较高的安全隐患。通过在工程师站和操作员站前端部署工业防火墙,可以将工程师站和操作员站单独隔离,防止病毒扩散,保证网络的通讯安全。

(5)和第三方控制系统之间的安全防护。使用工业防火墙将该企业的安全仪表系统等第三方控制系统和网络进行隔离后,主要是为了确保两个区域之间数据交换的安全,管控通讯数据,保证只有合法可信的、经过授权的访问和通讯才能通过网络通信管道。同时也提升了网络安全区域划分能力,有效地阻止病毒感染的扩散。

5 结束语

信息安全保护体系 篇2

2012年05月14日10:12 it168网站原创 作者:太极 编辑:李伟 我要评论项目背景

为落实某部委党组“先从部机关信息化入手,带动全行业信息化发展”的有关部署,2001年、2005年和2007年,部机关先后实施了信息化一期、二期工程以及通信信息系统改造工程,建设了XX行业主管部门的涉密局域办公网,即某部委电子政务涉密信息系统,并与外网物理隔离,整体提高了部机关行政办公的信息化水平。为加强涉及国家涉密信息系统的保密管理,依据BMB相关国家标准,某部委对其内网电子政务涉密信息系统进行了相应等级的安全保密建设和管理。

2010年至2011年期间,先后开展了对分级保护建设的可研、方案设计、建设实施,并于2011年10月19日顺利通过了相关国家保密测评机构对某部委电子政务涉密信息系统的严格测评。建设路线

在某部委电子政务信息系统分级保护建设实施过程中,依据《某部委电子政务涉密信息系统分级保护工程详细设计方案》及国家相关标准规范等文件,严格按照PMP项目管理方法论,对项目启动后把实施过程分为设计(深化)过程、落地(建设)过程、监控过程三个过程组,并通过调研分析、体系规划、体系建设和体系完善(PDCA)的建设思路,运用岗位与职责、策略体系、流程体系、技术工具、人员培训、安全管控等方法进行落地实施。

在设计过程中,首先详细解读了《某部委电子政务涉密信息系统分级保护工程详细设计方案》,周密分析了客户信息系统应用环境,全面展开了对技术以及管理等的全面细致调研,分析现状与标准及客户需求的差距,逐项梳理实施建设任务,完成《分级保护深化设计及实施方案》、《安全保密策略总纲》、建设任务一览表、职责矩阵、《项目进度计划》等过程文档。在落地过程中,通过太极信息安全保障体系落地方法论,建立技术、管理、运维三大保障体系,按照《分级保护深化设计及实施方案》,分为安全域改造、应用系统改造、安全策略部署与试运行以及安全服务四个阶段,遵照“综合部署、分布落实、逐一核查”等原则,实现由标准紧扣方案、建设贴近客户需求的完美落地,从而完成某部委电子政务信息系统安全保护的建设工作。

在监控过程中,对常规项目落地过程中的内容进行监督管理,通过技术、工具和专家判断等方法对项目实施的内容,包括管理、技术方面的内容进行有效性检测,将不贴近客户需求、无法落地或由于条件限制暂时无法落地的内容进行记录,与客户沟通、交流,协调资源(人力资源、环境资源、必要的设备等)保障实施过程按照既定的项目计划进行,最关键的因素还是要取得客户认同和达到标准要求。监控手段包括有效性测量、不符合项记录、控制测量、内部审核、用户评审等。建设落地

通过基础调研,对某部委电子政务内网物理、网络、主机、终端、应用和制度等层面展开了全面了解及分析。基于此分析结果,编制体系完善的《某部委分级保护工程深化设计及实施方案》、《某部委涉密信息系统涉密安全保密策略总纲》、项目建设任务一览表、项目职责矩阵和《项目进度计划》等过程文档。

实施落地过程从安全域改造、网络割接到应用系统改造、集成部署、策略实施及安全服务全环节实现分级保护体系建设的落地过程。

(1)安全域改造

依据BMB标准要求,综合考虑信息密级、信息分类、信息交换、行政级别、功能需要和业务需求等方面,将原有内网结构及连接信息作备份,通过网络割接、区域调整、VLAN划分等方式,重新调整某部委涉密内网安全策略,包括内网中的网络、主机、终端、存储等密级标识、访问控制、权限绑定等策略,使不同密级的信息资源、用户不能互联互通,且需要物理隔离,安全域边界采用访问控制、入侵监测和网络审计等边界防护设备。通过划分安全域,可将传统的“按最高密级防护原则”转变为“分域分级防护策略”,大幅度降低建设成本和运营管理成本。

(2)应用系统改造

应用系统中严格遵照“最小授权原则”和“强制访问控制要求”,安全认证实现统一身份管理,统一身份认证,统一权限管理,统一访问控制、统一责任认定和统一信息交换“六个统一”等。对应用系统中产生的涉密文件进行密级标识,并与认证账户相关联实现抗抵赖性和不可否认性设计。改造应用系统实现账户管理和口令管理功能,根据账户授予其相应的访问权限,实现三权分立。对应用系统设计实现系统安全审计功能,进行系统启动和关闭,账户登录和修改,以及对涉密文件的操作:建立、复制、修改、删除、打印等进行审计内容设计和实现。

(3)集成部署

集成部署分为三个阶段,包括软、硬件产品集成采购、硬件设备安装、上架、软硬件系统配置,集成期间太极对人力资源进行优化配置,通过项目质量管理和沟通管理等手段协调各厂商工程师现场支持集成部署工作。

(4)安全策略实施与试运行

1.安全保密管理制度

成立推进信息化安全保密管理工作的管理机构,明确电子政务涉密信息系统中系统管理员、安全保密管理员和安全审计员三大员职责分工,设置三大员的具体负责人员。

某部委涉密信息系统保密管理制度以安全保密策略总纲为基石,以人员、终端管理为核心,围绕环境安全管理、设备与介质管理、运行与开发管理和信息保密管理等方面,制定满足安全保密合规性的三级制度体系,包括制度规定、细则、流程和表单等:第一级强调宏观:安全保密管理策略总纲。第二级强调合规:安全保密管理制度文件。第三级侧重可执行和可落地:安全保密管理制度细则及管理流程、表单类文件。

2.联调测试与试运行

系统联调测试及试运行时,对前期改造的结果进行验证性测试,监控信息系统运行的稳定性和安全性,记录在试运行发现的问题,分析并与客户达成一致,在获得环境条件的允许

下,调整某些安全策略,满足系统环境要求和客户需求,提高信息系统的安全合规性和可用性。

(5)安全服务

1.安全加固

严格遵照PMP项目管理理论框架,通过统筹规划、综合协调、实效性落实、人员考核等管控过程,将安全加固实施落地。对于网络及安全设备,提供专业加固建议和策略,防止大规模蠕虫病毒的攻击,将网络病毒的攻击影响降至最低;对于操作系统和应用,关闭远程桌面服务、禁用Windows共享、停止Windows自动更新、加装主机审计与补丁分发系统等安全加固策略;对于终端在涉密终端操作系统部署安全登录、主机监控与审计、补丁分发及网络准入控制系统,并对所有涉密终端进行IP与MAC地址绑定。每次加固都遵从规范化原则,确保加固过程的可控性、有效性、安全性。

2.风险评估

风险评估是对某部委电子政务内网中的服务器/网络设备/安全设备等资产进行威胁性和脆弱性分析,针对特定威胁利用资产一种或多种脆弱性,导致资产丢失或损害的潜在可能性评估分析,本项目中主要风险评估服务包括资产识别、威胁分析、脆弱性分析、已有安全措施分析和风险分析。经过量化评估后,形成风险评估报告,制定风险处理计划实施风险管控措施。

3.安全培训

安全及保密培训是本项目的一个重要组成部分,展开对全员主要是三大员安全意识和保密意识培训。培训落实到决策层、管理层和执行层各个层面,不仅是安全管理、使用、维护的一体化应用上,更重要的是通过对各层级的政策、制度、标准,使客户了解并掌握安全趋势,把握信息安全战略规划在信息化建设规划中的重要性,做好短中长期安全规划。培训工作主要包含现场培训、集中培训、安全保密培训和认证培训四个部分。项目价值

(1)响应贯彻政策要求

党中央、国务院高度重视新形势下的保密工作。某部委电子政务涉密信息系统分级保护工程的建设良好地贯彻上级指示,积极应对新形势下的保密工作开展。

(2)实现对内安全保护需求

当前,随着我国经济快速发展和国际地位不断提高,我国已成为各种情报窃密活动的重点目标。信息技术的发展和我国信息化建设的推进,涉密载体呈现出多样性和复杂性,泄密渠道随之增多,窃密与反窃密越来越具有高技术抗衡的特点。某部委电子政务涉密信息系统分级保护建设工程为维护国家秘密安全、保障国家涉密信息、推进XX行业系统保密工作,发挥重要作用。

(3)顺利通过安全保密测评

体系落地实施覆盖技术的物理、网络、主机、应用、数据等层面,管理覆盖策略、制度、流程、表单四级体系,做到技管并重,日常安全运维还包括了安全加固和风险评估,具有全面性、合规性和前瞻性,较好的通过职责、策略、流程、工具等进行落地,最终以较好的成绩通过安全保密测评。项目特点

大数据体系中的安全保护研究 篇3

【关键词】大数据 安全体系 隐私保护

一、大数据体系存在的安全隐患

1、容易受到黑客、病毒的攻击。由于人们的日常生活以及各种事务的运行都离不开互联网,因此网络黑客由此诞生。大数据的快速发展使网络黑客有了新的攻击目标,因为大数据中的数据系统的信息更有价值,数据链也更大。而且目前大数据信息系统的架构方式是外部数据与内部数据并行并发的存储和传输方式,因此数据的隐秘性较差,对进入系统的用户没有筛查过程,因此也是黑客的侵入更加简单。这就造成了大数据系统中的重要信息非常容易被泄露,对相关企业和个人造成严重的利益侵害。

2、大数据体系中信息资源极易外泄。在我们日常的生活中,大数据系统也很容易造成信息资源的外泄。由于大量的信息数据存储在大数据体系当中,加之大数据体系的安全机制不健全,很容易造成信息资源的外泄。而这种信息外泄会经常出现在我们身边,比如我们平时在网购中留下了了自己的浏览商品的痕迹,那么你会发现在你浏览网页时弹出的各种广告都是与你最近浏览的商品相关的产品,这就是一种信息资源的外泄。信息资源的外泄不仅会使我们的生活受到各种垃圾信息的骚扰,更严重的会造成经济的巨大损失。

3、大数据体系中网络漏洞多。网络漏洞是造成信息安全问题的最重要隐私,网络漏洞包括协议漏洞、运行漏洞以及软件漏洞,这些漏洞都存在与大数据体系当中。大数据体系中的协议漏洞由与互联网通信协议不够完善而导致的信息安全隐患,TCP/IP协议就是比较常见的网络协议安全隐患。运行漏洞主要是由于工作人员在运用系统时出现了错误或者管理欠完善的问题。软件漏洞主要体现在主要是由于网络系统在设计过程中出现了编程错误或者功能设置不全的问题。

二、大数据系统中能够运用的安全保护技术

1、基于大数据的分析技术。在大数据体系的运行过程中,可以通过大数据自身的分析技术,形成PDRR模式,从而自动扫描系统中可能存在的漏洞和安全威胁。目前已经有如微软等企业开始研发这种安全功能,这种安全功能可以嵌入到大数据系统之中,从而使企业能够自己检测系统中的外部威胁,以及内部的安全漏洞,在发现问题之后及时的对漏洞进行修补,完善自身的数据体系。

2、基于大数据的认证技术。针对大数据系统在身份认证方面存在的问题,为了更好的保护大数据体系的安全性,要从身份认证方面加以改善。一般的身份认证都是在用户端进行的,通过用户输入个人的信息,系统进行认证,吻合则可以进入系统。但是这种方法存在着较大的弊端,主要体现在第一黑客为了能够进入系统首先会通过钓鱼等方式对用户的身份进行盗取,这样一来系统就无法辨别用户的真实身份。另一方面,在一般的认证过程中嵌入更多的安全功能可能造成的后果就是用户的操作愈加繁琐。比如为了能使进入系统的密码信息不会被盗取,因此系统会强制用户设置非常复杂不便记忆的密码,除此之外还会要求用户携带外置的安全终端。这种方式无疑给用户带来了很多的负担。因此,新型的安全认证技术往往采用了生物科学的方式,利用人体特殊的生理特点进行认证,比如人脸识别或者指纹识别等等,这种人体生物层面的加密方式无法通过数据来传输,因此就能大大降低。此外,通过大数据分析用户的行为特点,采纳用户行为的数据进行分析,也可以用来作为系统认证的方式。

3、基于大数据的数据真实性分析。基于大数据的数据真实性分析技术的优势在于能够更好的筛出垃圾信息。我们都知道,很多病毒是通过垃圾信息传递的,因此对垃圾信息的防控对于系统的信息安全来说至关重要。一方面可以大大减少垃圾信息对系统功能的占用,提高信息辨识的准确程度。另一方面,在进行大数据分析时,通过机器学习技术,可以发现更多具有新特征的垃圾信息。然而该技术仍然面临一些困难,主要是虚假信息的定义、分析模型的构建等。

信息安全保护体系 篇4

关键词:信息系统,等级保护,管理

前言

自信息系统安全等级保护机制推行以来, 科学、有效、全面的管理一直被视为保障信息系统安全运行的重要组成部分。GBT 22239《信息安全技术信息系统安全等级保护基本要求》和GDJ 038《广播电视相关信息系统安全等级保护基本要求》两个国家和行业最高级别的标准中都明确了对信息系统的安全等级保护由技术和管理组成, 并分别就技术和管理层面提出了具体要求。此外, 针对广播电视行业, 根据广播电视安全播出管理规定等文件的要求, 全国各级播出单位在播出管理和机房环境等方面必须进行统一的要求。

如果说技术层面的措施是对信息系统进行被动地加固防御, 那么管理层面的措施则是对信息系统主动地约束。人员是信息系统运行的第一主体, 对人员的管理约束是保证信息系统相对安全运行至关重要的因素。在管理层面提起足够的重视, 建立健全符合信息安全等级保护要求的运行管理体系, 保证管理制度和流程在信息系统运行维护过程中有效地落实, 对提升信息系统的整体安全性具有极其重要的作用。

1. 信息系统安全管理需求分析

根据《广播电视相关信息系统安全等级保护基本要求》的要求, 信息系统安全管理层面的内容主要包括总要求、安全管理机构、人员安全管理、系统建设管理和系统运维管理五类。

1.1 总要求类

总要求方面从宏观角度对信息安全管理工作提出要求。信息安全主管部门应针对信息系统的安全工作要具备总体方针和策略, 其内容应明确信息安全管理工作的目标、范围、原则和框架;组建指导部门工作的信息安全领导小组, 并设置具体职能部门;针对信息系统管理制定全面的制度和规程, 规范信息系统安全管理工作长期有效开展。

1.2 安全管理机构类

安全管理机构方面要求信息安全主管部门应明确信息系统的责任部门和责任岗位的职责, 针对敏感工作流程需建立逐级审批制度;增强各级管理人员、部门之间的沟通与合作, 并聘请信息安全领域专家作为长期技术顾问指导信息安全工作;信息安全管理制度应全面覆盖信息系统的整个生命周期, 从系统建设、系统运维、人员管理等方面规范各项工作流程;第三级以上信息系统应设置三权分立的管理员角色。

1.3 人员安全管理类

人员安全管理方面要求信息安全主管部门应在人员上岗方面要求通过审查人员身份、资质等情况规范人员上岗, 并针对系统内部的敏感岗位可以根据需要签署保密、安全等方面的协议;应在人员离岗后及时终止员工对信息系统的访问权限;对涉及信息系统安全的岗位员工进行安全意识和安全技能的培训和考核;应具备完善的审批流程, 并使外部人员的访问受控。

1.4 系统建设管理类

系统建设管理方面要求信息安全主管部门应根据系统应用领域和特点按照国家和行业标准, 确定系统边界和保护等级, 并进行定级报备工作;规范系统建设流程, 规范密码类产品、自行开发软件和外包软件的使用;规范工程实施、测试验收、系统交付、培训等一系列工程周期内的活动;按主管部门和公安机关的要求规范系统备案、等级测评、安全服务商选用等流程。

1.5 系统运维管理类

系统运维方面要求信息安全主管部门应针对环境、资产、介质、设备、网络安全管理等方面制定一系列操作规范和要求;注重访问控制策略规划和使用, 在恶意代码防范、备份与恢复、安全事件处理、应急预案等方面的规范性管理。

2. 信息系统安全管理中需要特别注意的一些问题

信息系统安全管理需要完善详实的管理体系文件作为支撑, 根据以上对信息系统安全管理进行的需求分析结果, 下面就信息系统安全管理建设中经常被遗漏的问题加以详细的说明, 这些问题在管理体系中经常被忽略或弱化, 对管理安全的完整性和系统性造成不良的影响。

以下说明针对总要求、安全管理机构、人员安全管理、系统建设管理和系统运维管理五个类别 (详细内容见表1-表5) 提出了管理体系中容易被忽略的文件组成部分, 并对文件逐一进行了的说明和解释。广播电视信息系统在生命周期中在遵照GDJ 038《广播电视相关信息系统安全等级保护基本要求》的同时, 要特别注意以下文件体系的建立。

以上提出的管理体系文件的建议是根据我国信息系统安全等级保护相关标准, 针对管理层面的要求从文档组织结构角度提出的基线解决方案中的一部分。信息系统使用和运维单位可根据系统特点和实际情况在GDJ038《广播电视相关信息系统安全等级保护基本要求》的基础上对管理体系进行自身所需的扩展和调整, 使之更加契合系统运行的需要。

3. 结束语

随着信息系统安全在保证系统业务顺利正常开展方面起到的作用越来越大, 系统使用和运维单位在提升技术安全保障能力的同时, 不能忽视对系统进行完善、全面的安全管理。信息系统安全等级保护对技术层面和管理层面的要求是一个有机的整体, 管理到位才能保证技术措施的落实, 才能覆盖技术层面无法涉及的系统安全运行薄弱环节, 进一步提升信息系统安全的整体保护能力。

参考文献

[1]GBT 22239信息安全技术信息系统安全等级保护基本要求[S].北京:中华人民共和国国家质量监督检验检疫总局.2008

信息安全风险与信息安全体系论文 篇5

信息安全风险与信息安全体系论文【1】

摘要:信息概念是由信息论的创立者申农提出的,他把信息定义为在信宿中用来消除对于在信源中发出的消息的不确定性的东西。

它包含的两个特质也揭示了成熟的信息的存在与能动主体的目的性行为是不可分的,本文就信息安全进行讨论主要包括信息安全风险与体系结构、漏洞扫描技术与信息安全管理等。

关键词:信息;安全

信息是客观世界中物质和能量存在和变动的有序形式,和组织系统对这个形式的能动的反映及改组。

其中前一个表语表述了信息概念的广义内涵,后一个表语表述了信息概念的狭义内涵。

一、信息的概述

信息是物质的普遍性,是物质运动的状态与方式。

信息的一般属性主要包括普遍性、客观性、无限性、动态性、异步性、共享性 、可传递性等。

信息的功能是信息属性的体现 ,主要可以分为两个层次:基本功能和社会功能。

信息的功能主要体现在以下几个方面:信息是一切生物进化的导向资源,是知识的来源,是决策的依据,是控制的灵魂,是思维的材料。

二、信息安全的重要性

在当今的信息时代,必须保护对其发展壮大至关重要的信息资产,因此,保护信息的私密性、完整性、真实性和可靠性的需求已经成为企业和消费者的最优先的需求之一。

安全漏洞会大大降低公司的市场价值,甚至威胁企业的生存。

当今世界已进入信息社会,随着计算机、通信技术的迅猛发展,计算机信息系统的广泛应用,促使它渗透到社会各个行业和部门,人们对它的依赖性越来越大。

在军事、经济、科学技术、文化教育商业等行业中,重要的信息资源是通过计算机网络进行输入、处理、存储、传递、输出, 给人们提供迅速、高效的各种信息服务,因此如果不重视计算机信息系统的保护,国家的机要信息资源如不加保护,势必容易被非法窃取、更改、毁坏,将会造成国民经济的巨大损失,国家安全的严重危害。

三、信息安全体系结构

(1)息安全的保护机制

信息安全保护存在的主要问题与政策: 正确的信息安全政策和策略是搞好国家信息安全保护工作的关键, 引发信息安全问题的因素有有外部因素和内部两方面,主要的因素在于内部如信息安全政策不确定;信息安全保护工作组织管理制度不健全,安全责任制不落实,导致管理混乱、安全管理与技术规范不统一;信息安全市场和服务混乱、不规范;国家监管机制不健全,监管手段缺乏等。

信息安全等级保护要贯彻国家保护重点和基础信息网络与重要信息系统内分区重点兼顾一般的原则。

(2)信息安全体系框架

依据信息安全的多重保护机制,信息安全系统的总要求是物理安全、网络安全、信息内容安全、应用系统安全的总和,安全的最终目标是确保信息的机密性、完整性、可用性、可空性和抗抵赖性,以及信息系统主体对信息资源的控制。

完整的信息系统安全体系框架由技术体系、组织机构体系和管理体系共同构建。

为了适应信息技术的迅速发展以及信息安全的突出需求,国际上许多标准化组织和机构很早就开始了信息安全标准的研究和制定工作,如美国的国防部DOD(Department Of Defense),国际标准化组织ISO,英国标准化协会BSI(British Standards Institute)等。

四、漏洞扫描技术与信息安全管理

(1)漏洞扫描技术

一般认为,漏洞是指硬件、软件或策略上存在的安全缺陷,从而使得攻击者能够在未授权的情况下访问、控制系统。

随着Internet的不断发展,信息技术已经对经济发展、社会进步产生了巨大的推动力。

不管是存储在工作站、服务器中还是流通于Internet上的信息,都已转变成为一个关系事业成败的策略点,因此,保证信息资源的安全就显得格外重要。

目前,国内网络安全产品主要是以硬件为主,防火墙、入侵检测系统、VPN应用较为广泛。

漏洞扫描系统也是网络安全产品中不可缺少的一部分,有效的安全扫描是增强计算机系统安全性的重要措施之一,它能够预先评估和分析系统中存在的各种安全隐患。

换言之,漏洞扫描就是对系统中重要的数据、文件等进行检查,发现其中可被黑客所利用的漏洞。

随着黑客入侵手段的日益复杂和通用系统不断发现的安全缺陷,预先评估和分析网络系统中存在的安全问题已经成为网络管理员们的重要需求。

漏洞扫描的结果实际上就是系统安全性能的一个评估报告,因此成为网络安全解决方案中的一个重要组成部分。

(2)信息安全管理

随着社会信息化的深入和竞争的日益激烈,信息安全问题备受关注。

制定信息安全管理策略及制度才能有效的保证信息的安全性。

制定信息安全管理策略及制度

目前关于信息安全的理论研究,一个是信息安全问题不仅仅是保密问题,信息安全是指信息的保密性、完整性和可用性的保持,其最终目标是降低组织的业务风险,保持可持续发展;另一个观点是,信息安全问题不单纯是技术问题,它是涉及很多方面如历史,文化,道德,法律,管理,技术等方面的综合性问题,单纯从技术角度考虑是不可能得到很好解决的。

这里讨论的组织是指在既定法律环境下的盈利组织和非盈利组织,其规模和性质不足以直接改变所在国家或地区的信息安全法律法规。

作为这样一个组织实体应该有一个完整的信息安全策略。

信息安全策略也叫信息安全方针,是组织对信息和信息处理设施进行管理,保护和分配的原则,以及使信息系统免遭入侵和破坏而必须采取的措施,它告诉组织成员在日常的工作中哪里是安全区,哪里是敏感区,就像交通规则之于车辆和行人,信息安全策略是有关信息安全的行为规范。

制定信息安全管理制度应遵循如下统一的安全管理原则:

(1)规范化原则。

各阶段都应遵循安全规范要求,根据组织安全信息需求,制定安全策略。

(2)系统化原则。

根据安全工程的要求,对系统个阶段,包括以后的升级、换代和功能扩展进行全面统一地考虑。

(3)综合保障原则。

人员、资金、技术等多方面 综合保障。

(4)以人为本原则。

技术是关键,管理是核心,要不断提高管理人员的技术素养和道德水平。

(5)首长负责原则。

(6)预防原则。

安全管理以预防为主,并要有一定的超前意识。

(7)风险评估原则。

根据实践对系统定期进行风险评估以改进系统的安全状况。

(8)动态原则。

根据环境的改变和技术的进步,提高系统的保护能力。

(9)成本效益原则。

根据资源价值和风险评估结果,采用适度的保护措施。

(10)均衡防护原则。

信息安全系统工程

安全系统工程运用系统论的观点和方法 ,结合工程学原理及有关专业知识来研究生产安全管理和工程的新学科,是系统工程学的一个分支。

其研究内容主要有危险的识别、分析与事故预测;消除、控制导致事故的危险;分析构成安全系统各单元间的关系和相互影响,协调各单元之间的关系,取得系统安全的最佳设计等。

目的是使生产条件安全化,使事故减少到可接受的水平。

安全系统工程不仅从生产现场的管理方法来预防事故,而且是从机器设备的设计、制造和研究操作方法阶段就采取预防措施,并着眼于人——机系统运行的稳定性,保障系统的安全。

信息安全风险评估与安全预算【2】

随着我国信息化建设进程不断加速,各类企事业都在积极运用网络带来的便利,对各种信息系统的依赖性也在不断增强,但是信息系统的脆弱性也日益暴露,如何通过有效的手段,保证有限的安全预算发挥出最大的效果,以保证信息安全,成为大家共同面临的问题。

网络个人信息安全与保护 篇6

网络隐私权指人在网上享有的私人生活安宁和私人信息依法受到保护,不被他人非法侵犯、知悉、收集、复制、利用和公开的一种人格权利;网络个人信息是其主要内容之一。[1]网络时代,个人隐私被侵犯已经成为很多网民的隐忧与困扰。公民个人信息通过网络被泄露,个人电脑被黑客入侵,网上购物清单被人留底等情况时有发生。如何既恰当地保护隐私权,又不妨碍网络的正常发展,已经成为网络健康发展面临的重大课题。

二、“方周大战”对网络个人信息保护的冲击

“方周大战”是方舟子和360之间的“口水战”。2012年10月9日,方舟子建议用户卸载“360安全浏览器”,称该浏览器窃取用户数据、侵犯个人隐私。360安全浏览器通过远程控制用户电脑,搜集用户各种隐私数据。“方周大战”被互联网行业视为国内互联网首个针对个人网络隐私安全保护的案例,这不仅是因为普通网民对网络个人信息不甚了解,还由于我国对网络个人信息侵权并无专项司法解释,这可能造成司法审判上的困难。“方周大战”的主要争论点在于“360是否侵犯网友的网络个人信息”。对于360侵犯用户网络个人信息的行为,在2010年底,一些谷歌用户就发现,通过谷歌可以搜索到大量用户使用互联网的隐私记录,而这些数据来源都指向360。对于360浏览器被指侵犯隐私的案例,是否属于网络个人信息保护的范畴,具体侵权事实的认定需根据双方提供的证据来认定,具体案件具体分析。

三、我国网络个人信息保护现状及困境

今年3月15日,中国电子信息产业发展研究院、中国软件评测中心发布的《公众个人信息保护意识调研报告》显示,超过60%的被访者遇到过个人信息被盗用的情况。“方周大战”中,用户的网络隐私看起来无异于在互联网世界中“裸奔”,但除了技术带来的监管难题外,立法的滞后性也使得网络个人信息侵权案件无法可依,这使得保护网络个人信息成为数据时代的难题。根据互联网信息中的最新统计,有84.8%的网民遇到过信息安全事件,在这些网民中,平均每人遇到2.4次信息安全事件。[2]如果有确切证据证明360浏览器侵犯了用户网络个人信息,那么如此庞大的用户群体的网络隐私就是在网络上“裸奔”。试想,没有专业技术背景,又没有完善法律知识的普通网民,该如何判断是否被侵权,又该如何取证,如何有时间、精力打官司,如何索赔,这些都是大难题。下面我们从以下几个方面来分析我国网络个人信息面临的困境:

(一)网络个人信息侵权主体的确定

在网络中,用户的身份绝大部分是自己虚拟出来的,同时这种形式也使得在侵害行为发生时难以找到真实的侵害主体,而且互联网中的侵害证据可以通过技术手段删除,这使得在取证时根本找不到明显的侵害现场,更难知道有多少人参与,以及侵权的时间等情况。现实社会中大部分侵权者都具有丰富的网络技术知识,他们在发明侵犯网络隐私技术的同时,也为自己创造了隐匿技术。“方周大战”中虽然方舟子矛头直指360浏览器,但是在网络隐私侵权过程中,网络服务商、网络提供商和网络用户都有侵权的可能性,如何具体确定侵权人,明确侵权责任承担还是面临巨大的挑战。

(二)网络个人信息侵权举证责任分配

在网络个人信息侵权案件中,事实认定如果根据传统民法侵权案件的一般规则原则的过错原则即“谁主张,谁举证”来分配举证责任的话,则由主张自己权利被侵害的主体承担举证责任。[3]但是网络个人信息侵权案件的被侵权方大多是没有网络专业技术的普通网民,对于自己的网络隐私侵权证据无法通过技术手段取得,而相反网路服务提供商和网络提供商具有专业的互联网技术,在提供技术证据方面能较网民而言容易得多。并且由于网络个人信息侵权没有专项的司法解释,隐私权的精神赔偿没有统一的标准,导致最终审判结果对赔偿金额以及赔偿方式的判决会有较大的不同。

(三)网络个人信息格式合同普遍存在

本人于2013年4月13日在hao123网址之家对其所列网站中选择了20个比较知名的网站做了一项调查,如表1。有的网站在首页已经制定了隐私权声明,而对于网络用户来说,访问这些网站要么只能接受,要么就只能拒绝,从而放弃访问,而网络提供商和网络服务提供商在赚取流量的同时又将用户的网络隐私截取,这样明显是不公平的。网络个人信息声明在一定意义上具有合同性质,其内容就应该由双方协商达成,而不是网站单方面制定。

Table1 the Situation List of 20 Sites’ Online Privacy Statements

四、我国网络个人信息保护的完善建议

(一)实行网络实名制

要求以真实姓名从事各种活动的“实名制”,似乎正在成为解决许多社会问题的终极良方。如存款实名制、手机卡实名制、买火车票实名制等。[4]网络实名制并非我国独有,印度在很早之前就已经实行了火车票实名制,2007年韩国实行网络实名制,要求网络用户以真实姓名发帖。网络兴起后,由于网络匿名的特点,使网络言论空前繁荣。在现实生活中不习惯发表意见的“沉默的大多数”,都会在网上勇敢的发表自己的言论。这也使得一些网络侵权者可以利用此漏洞,收集大量网络个人隐私,从而牟取暴利。2012年12月24日,全国人大常委会审议加强网络信息保护决定草案,草案规定实行网络身份管理,网络服务提供者对用户发布信息的网络身份管理,从而加强网络社会管理,保障网络信息安全。利用实行后台的身份管理办法,用户在发布信息时可以使用其他名称。对于网络个人信息保护而言,实行网络实名制可以通过后台程序确定网络个人信息侵权主体的身份,从而为网络个人信息保护提供更好的条件,也有利于互联网的健康发展。

(二)确立过错归责原则为一般情形

对于传统隐私权侵权中的归责原则,学界一般认为适用过错归责原则。然而对于网络个人信息侵权而言,由于网络的虚拟性,变化性,使得在具体案件中的证据取得变得尤为困难,尤其是作为网络个人信息主体,普通网民不具有专业的互联网知识,所以要根据不同情况来确定网络个人信息侵权的归责原则。首先,对于一般网民侵权来讲,归责原则可以适用一般过错规则原则;其次对于网络服务商而言,其在提供网络服务方面具有专业的技术支持和强大的公司财力支持,如果其实施侵犯网络个人信息的行为在一般公众看来是零容忍的,那么对于这种网络服务商侵权而言,我倾向于适用无过错原则。

(三)制定网络个人信息协商性声明

通过表1中有隐私权声明的网站中的声明条款可以看出,现阶段网站的隐私声明只是单方面的,而且没有统一形式,甚至有些网站还没有保护隐私的声明。声明具有合同的性质,根据订立合同时的平等自愿原则,就要求网络提供商与网民在平等自愿的基础上通过协商订立网络个人信息保护声明,而不是由网络提供商单方面的提供。这就要求我国须成立行业自律组织以加强对网络个人信息的保护,制定统一形式的隐私保护声明,使网络用户在涉及网络隐私方面可以与网站进行协商,协商内容可以具体到哪些上网数据是可以公开并且允许网站搜集的,哪些是不允许的等。

五、结论

网络个人信息的保护是一项重大的课题,完善我国网络个人信息法律保护只是网络个人信息保护的一个措施,它可以提供网络个人信息的权利来源、网络个人信息侵权主体的认定依据及侵权责任的规则原则等法律依据。但是,它不可能覆盖所有网络个人信息保护问题,所以只有要求我们加强行业自律,提供政府监管等多方面的合作,才能使网络个人信息保护取得实际的效果。

参考文献

[1] 赵华明.论网络隐私权的法律保护[J].北京大学学报.2002,(专刊):165.

[2] 中国互联网信息中心.2012年中国网民信息安全状况研究报告[DB/OL]. http://www.cnnic.net.cn/hlwfzyj/hlwxzbg/mtbg/201212/t20121227_38418.htm.[2012/12/27][2013/4/14].

[3] 卢爱国.论网络隐私权的法律保护[D].吉林大学硕士论文.2007,6.

信息安全保护体系 篇7

关键词:信息共享,信息隐私,保密性,完整性,可用性

一、信息共享系统与信息隐私保护

信息共享系统综合利用了计算机网络技术、Web数据库技术、知识元数据技术以及其他相关技术将需要共享的信息通过整理、分类记录到数据库中, 同时为用户获取网络上的各类信息提供网络接口、公共的信息通道和数据库检索功能, 是实现信息共享的操作平台和技术支撑。信息共享系统是个有着多层结构的信息管理系统, 它的共享特性决定了其特殊的体系结构, 根据信息传输和应用网络的现状和结构, 信息共享系统的参考模型由四层构成, 即物理层、系统层、网络层、应用层。物理层是指为信息共享系统提供基本的底层支撑和保障的外界环境、基础设施、介质等方面。系统层是指信息共享系统中的服务器、客户机等计算机设备上运行的操作系统和数据库等系统软件。网络层是为信息共享系统在开放网络环境中的运行提供有效服务。一方面, 确保信息共享系统安全运行, 提供有效的共享服务;另一方面, 确保在网络上传输的隐私信息的保密性、完整性和可用性。应用层直接为用户提供应用服务, 如Web服务、FTP服务、电子邮件服务、共享业务服务等。

为促进信息共享可持续发展, 基于信息共享系统的信息隐私保护至关重要, 通过信息共享系统采用相关技术, 对信息共享中不宜公开的隐私信息实施保护。信息隐私保密性保护是指保证隐私信息在信息共享过程中不泄露给未经授权的用户。信息隐私完整性保护是指保持隐私信息在信息共享过程中不被修改、不被破坏、不被插入及不延迟、不乱序、不丢失。信息隐私可用性保护是指保障隐私信息在信息共享过程中能够被合法授权用户正常使用。

二、基于信息共享系统的信息隐私保护

基于信息共享系统的信息隐私保护是一项复杂而庞大的系统工程, 源于信息共享系统特有的多层结构体系, 可从物理层、系统层、网络层、应用层分层采用适宜的保护技术, 对信息隐私实施相关保护, 以此建立信息隐私的多重技术保护体系。

1. 物理层的信息隐私保护。

物理层的信息隐私保护是通过保护计算机网络设备、设施以及其他媒体免遭自然灾害、人为的破坏以及各种计算机犯罪行为所导致的破坏来实现, 是整个信息隐私保护体系的基础。它主要包括对信息共享系统的物理环境和设备的保护。

物理环境的保护主要是采取适宜的防护措施尽可能地避免自然灾害和人为损害对信息共享系统的安全威胁, 由于物理上的破坏可能导致隐私信息的丢失, 从而直接影响到信息隐私的保密性保护、完整性保护和可用性保护。首先, 机房应选在具备防震、防火、防水、防雷的地方;其次, 应做好对电源的防护, 在给设备供电前加上UPS和稳压器, 防止突然断电对设备的损害, 最好能准备好发电机等, 保证在突发情况下仍可继续进行共享。

设备的保护主要是防止非法者利用电磁辐射来窃取隐私信息, 以保证信息隐私受到保密性保护。因此可通过屏蔽、隔离、滤波、吸波、接地等措施, 提高计算机信息共享系统的抗干扰能力。

2. 系统层的信息隐私保护。

系统层的信息隐私保护是保障服务器、终端、工作站等在内的计算机设备不受外界影响, 能在操作系统及数据库系统层面正常可靠地运行, 主要包括对操作系统和数据库管理系统的保护, 其中对数据库管理系统的保护建立在对操作系统的保护基础之上。系统层的信息隐私保护是信息共享系统中隐私信息保护的软件保障, 是网络层和应用层的隐私信息得以共享的基础。

为了较好地实现信息隐私的保密性保护和可用性保护, 尽可能地减少操作平台自身的脆弱性和漏洞所引发的风险, 同时能最大限度地阻塞任何形式的非授权行为对操作系统的入侵, 可通过标识、鉴别和访问控制等关键技术来实施对操作系统的保护。标识是操作系统为了要标识每个用户的身份而取的名称, 它必须是唯一的。鉴别是将用户标识符与用户相联系的过程。首先, 用户提供一个唯一的用户标识符给可信计算基 (TCB) , 然后TCB对用户进行认证, 确保只有认证通过的用户才有权进行相应的操作。标识和鉴别主要从保密性保护的角度出发, 要求用户提供能证明其身份的秘密信息, 才能进行下一步操作。访问控制可限制用户对隐私信息的访问权限, 以便合理合法使用信息共享系统来进行信息共享。通过访问控制必须能识别和确认访问信息共享系统的用户, 还要能决定该用户可以对共享资源进行何种类型的访问。可使用自主存取控制技术, 有效地保护信息共享系统的信息隐私不被非法访问, 且隐私信息的拥有者可以按照自己的意愿精确指定信息共享系统中的其他用户对其隐私信息的访问权, 从而较好地实现对信息隐私的保密性保护和可用性保护。

数据库系统是信息共享系统的核心, 作为信息共享系统中隐私信息的聚集体, 担负着集中处理大量隐私信息的任务, 因此对它的保护更为复杂。数据库系统的技术保护主要有三种:一是保护隐私数据避免被非法用户窃知。可设置特定的密钥对相关数据进行加密, 并对明文进行相应的加密操作, 使非法用户不能读取明文和密文之间、密文和密钥之间的内在关系进行解密。二是防范数据库被有意或无意地破坏, 以维持隐私数据的完整性和可用性。采用访问控制策略来确保用户对数据库只能进行经过授权的有关操作, 允许命名用户以用户或用户组的身份规定并控制隐私信息的共享, 阻止非授权用户读取敏感信息, 控制访问权限扩散, 使得没有存取权的用户只被允许由授权用户指定对隐私信息的访问权。三是对数据库系统的保护必须能在系统发生故障后利用已有的隐私数据备份, 恢复到隐私数据库原来的状态, 并保持隐私数据的完整性和一致性。利用运行时日志文件, 在系统发生故障而导致事务中断时, 重新装入隐私数据库的副本, 从而把隐私数据库恢复到上一次备份时的状态。然后系统自动正向扫描日志文件, 将故障发生前所提交的事务放到重做队列, 将未提交的事务放到撤销队列执行, 使隐私数据库恢复到故障前的一致性状态, 实现信息隐私的完整性保护。

3. 网络层的信息隐私保护。

网络层的保护需要被动防御与主动防御相结合, 即信息共享系统中, 既要有防火墙、网络隔离等防御手段, 还需要有能够对网络进行实时监控的网络入侵检测系统, 实现系统内外的联合防范, 从而为网络层的信息隐私保护提供良好的保障。

防火墙可将内部网与互联网分开, 是在内外网通信时执行的一种访问控制手段。它能最大限度地阻止网络中的黑客访问信息共享系统, 以防他们更改、复制和毁坏信息共享系统中的隐私信息, 还可以加强网络间的访问控制, 防止外部用户非法使用内部网的资源, 以防内部网络的敏感数据被窃取, 因此对信息隐私的可用性保护和保密性保护起到了积极作用。

网络隔离则可与防火墙互为补充, 防火墙是在保障互联互通的前提下, 尽可能保护信息隐私, 而网络隔离的思路是在必须保护信息隐私的前提下, 尽可能互联互通, 否则就断开连接。可利用网闸及其嵌入式系统制定相应的保护策略, 保证专用隔离硬件交换单元在任一时刻仅连通内部网或外部网, 从而既使得信息共享系统中的信息隐私不受侵犯, 又保障了数据传输和资源共享。

入侵检测技术是实施积极防御的重要手段, 可针对信息共享系统本身所存在的脆弱性, 通过及时发现入侵行为提供相应的实时响应措施, 从而实施信息共享系统的动态防御和深度防御来对隐私数据进行完整性保护。可使用基于网络的入侵检测技术, 通过监听网络上的数据流、分析相关协议的使用情况、进行特征分析和统计分析等, 来发现网络上的异常行为, 以便及时采取措施实施保护。

4. 应用层的信息隐私保护。

应用层的保护是指对应用软件的保护, 如果应用层的保护没有做到位, 那么之前几层的保护做得再好, 所做的一切仍将是毫无意义。因为所有用户都是通过该层来进行访问的, 必须保障应用层的正常服务, 尽可能地做到信息隐私的可用性保护和保密性保护, 即一方面允许合法用户访问授权数据, 另一方面防止合法用户以及非法用户访问非授权数据。应用软件系统是直接面对用户提供各种业务处理的应用程序, 可从Web服务、电子邮件系统和病毒对系统的威胁三个方面来实施应用层面的保护。

Web服务器为了防止存放用户名的文件被破解, 可将用户认证的隐私信息放在普通用户访问不到的保护区域内, 并且对其进行信息加密, 以便为敏感数据提供保密性保护措施。可以使用Java2中类似沙盒的权限限制机制对Web程序组件实施防护, 根据Applet和应用程序的来源和签名者标志确定Applet和应用程序允许的访问权限, 从而避免因程序的漏洞而使服务器受到攻击。同时应注意使用加密的Cookie来记录访问者的状态及必要信息。不要使用Get方式传输数据, 以免上传的重要隐私信息被看到或篡改, 尤其当访问者使用的机器是多人公用时, 还可以防止其隐私泄露。

电子信箱系统的核心是存储转发服务, 利用存储转发可进行非实时共享, 属于异步通信方式。但是因为邮件能携带Word文档或EXE可执行文件等附件, Word文档可能携带宏病毒, EXE文件可能携带的病毒种类更多, 所以附带传送二进制文件时很可能包含有病毒。因此, 不要轻易打开和使用来意不明的邮件附件, 系统管理员还可以在邮件系统中安装SkyMail等软件来防止病毒传播。用户应及时升级软件的补丁程序来修正电子邮件程序中本身存在的问题, 同时应结合邮件加密和数字签名技术来防止电子邮件泄密。

计算机病毒是某些人利用计算机软硬件所固有的脆弱性所编制的具有特殊功能的程序, 通过修改其他程序将自己的精确副本或其他可能的演化形式放入其他程序中, 从而感染它们, 窃取或破坏隐私数据。比较典型的病毒有ARP病毒、U盘病毒、QQ病毒、鬼影病毒等, 解决它们的方法就是要养成良好的电脑使用习惯且必须安装杀毒软件, 比如诺顿、卡巴斯基、瑞星等, 而且尽量要与防火墙和防恶意软件配合使用, 比如卡巴斯基+360安全卫士或诺顿+金山卫士等。

随着信息技术不断发展, 信息隐私技术保护也备受关注。基于信息共享系统物理层、系统层、网络层、应用层构建的信息隐私多重技术保护体系, 正是应目前信息隐私保护之现实需求所作的粗浅研究, 尚待在实际应用中不断深入和完善, 并最大限度地发挥其应用价值。

参考文献

[1]薛惠锋.信息安全系统工程[M].北京:国防工业出版社, 2008.

[2]王兰成.论档案信息共享中的隐私保护及新技术[J].档案学研究, 2010 (4) .

[3]刘可静.关于数字资源共享与隐私保护的冲突与影响[J].情报理论与实践, 2011 (9) .

信息安全保护体系 篇8

为了加强对本企业所拥有的个人信息的保护, 提升企业的市场竞争力和社会信誉度, 一些企事业单位依据《软件及信息服务业个人信息保护规范》 (DB21/T 1522-2007) , 开展了个人信息保护工作, 并构建了本单位的个人信息保护管理体系。目前国内已有大连、北京、上海、沈阳等城市的近50家企事业单位通过了个人信息保护评价 (Personal Information Protection Assessment, PIPA) 。

在《软件及信息服务业个人信息保护规范》的第7.2节明确了单位的个人信息保护管理体系应建立内部监查机制, 内部监查关系到个人信息保护管理体系能否正确运行的关键所在。其重要的职能在于:首先, 通过监查发现本单位个人信息保护管理体系的不符合事项, 对不符合事项提出改进的意见和纠正的措施, 并对实施的效果进行跟踪;其次, 为单位个人信息保护管理体系的改善提供参考依据, 监查负责人应有责任在国家相关的法律法规颁布和修改、单位业务领域及经营范围发生变化等情况下, 向单位领导者提出为适应社会的发展和业务的变化需要改进的内容, 以保证管理体系适应于新法令、新形势。因而, 内部监查机制是保障单位个人信息保护管理体系正常运行的不可或缺的重要环节。

已通过PIPA评价的单位均按照《软件及信息服务业个人信息保护规范》的要求, 在个人信息保护组织机构中设立了个人信息保护监查人员, 实施对本单位个人信息保护管理体系运行状况的监查, 但由于对监查工作重要性认识不足或缺乏一定的工作经验, 不少单位的个人信息保护监查工作存在着一定的问题, 为了指导企业做好监查, 本文向已运行或正准备运行个人信息保护管理体系的单位提供一些工作参考。

企业个人信息保护监查体系的四大要点

对企业个人信息保护管理体系的监查究竟应该从什么时间开始, 监查的对象和监查的范围是什么, 监查体制的核心工作是什么, 这是企业开展个人信息保护监查工作首先应该明确的问题。

监查对象。监查工作应首先明确监查的对象, 监查的对象及范围应确保没有遗漏, 可以从以下三个方面来考虑:从信息的角度来考虑, 应包括本单位进行处理的全部个人信息;从业务的角度来考虑, 应包括与个人信息相关的全部业务;从部门的角度来考虑, 应包括涉及个人信息处理业务的所有部门。

实施时间。运行个人信息保护管理体系的单位应按照《软件及信息服务业个人信息保护规范》的要求有计划地实施监查, 监查工作启动的时间应与个人信息保护管理体系运行的时间是相辅相成的, 即个人信息保护体系开始的时间, 就是监查实施的时间。监查时间确定的原则是:按照计划, 对运行情况做定期监查 (每年至少一次) ;根据需要, 对必要的事项进行随时监查。

监查人员责任及义务。监查负责人具有独立性, 与个人信息保护负责人一样直接受单位领导者的领导, 并站在客观、公正的立场上开展工作, 其责任和义务是:

(1) 由监查负责人负责制定监查计划, 并按照计划进行监查, 监查结束后提交监查报告, 监查报告应指出在监查中发现的问题, 并提出改进意见及建议, 跟踪改进结果。

(2) 为确保工作质量, 要求监查人员不得兼任个人信息保护组织机构中的其它职务, 且不得监查其所在的部门。

(3) 监查人员有责任监查个人信息泄漏、不正当使用等现象或隐患, 但对相关内容有保守秘密的义务, 且离职后仍应保守秘密。

实施流程。个人信息保护监查工作是在监查负责人的组织协调下完成的, 应有计划、有目标、有组织地实施, 其实施流程是:

(1) 制定监查计划。监查负责人负责制定年度监查计划, 并要得到单位领导者的同意。年度计划经单位领导者批准后备案并发送到各部门。在无法预知的紧急情况下, 监查负责人应具有对监查必要性的判断能力, 并决定监查的时间和场所。

(2) 监查前的准备工作。实施内部监查前, 监查负责人应在基本监查计划的基础上, 制定各部门的监查计划书, 明确监查的内容并报单位领导者批准。同时, 监查负责人向被监查部门发送监查通知书, 明确具体的监查时间, 被监查部门在接到通知后应做好监查前的准备工作, 并在本部门指定专人配合监查人员的工作。

(3) 实施监查工作。实施监查工作时, 监查人员应做好如下工作:由监查负责人主持召开监查小组会议, 按照已制定的监查计划书, 布置本次监查工作的任务及分工;监查人员根据监查计划书的项目进行现场监查, 监查结束后将监查记录提交监查负责人及被监查部门的主管进行确认;由监查负责人主持召开讲评会, 宣读监查报告, 报告中应提出单位在个人信息保护方面的优缺点, 有关部门及相关人员参加会议, 并对监查报告的内容进行评审及认可;对监查中发现的不符合事项应记载在不符合事项记录表中, 不符合事项记录表应详细叙述不符合事项及针对该不符合事项制定的纠正措施及改进的跟踪, 监查报告与不符合事项记录表应提交单位领导者审核, 批准后发放给相关部门。

(4) 跟进。对监查中发现的问题, 相关部门应按照单位领导者已认可的纠正措施进行改进, 监查负责人有责任帮助其改进与完善, 并对所采取措施的符合性做出评价。

企业个人信息保护管理体系的监查内容

监查对象确定后, 那么针对监查对象需要审查的内容是什么?这是监查负责人在制定监查计划书时涉及到的重要问题。对已通过PIPA认证的单位的现场评审中不难看出, 几乎所有的单位在内部监查时都有或多或少的漏项, 这一现象不仅影响了监查的工作质量, 而且直接影响了个人信息保护管理体系的运行效果, 因此, 保证内部监查不漏项是监查负责人的第一责任。

为保证监查工作的完整性和全面性, 监查负责人应以国家相关的法律法规及行业规范 (目前在软件及信息服务业有《软件及信息服务业个人信息保护规范》可参考) 为基准, 精通单位的个人信息保护规章制度, 并以此为切入点, 使监查工作能够涵盖本单位涉及个人信息的所有岗位、所有事项, 具体的考虑以下几个方面的因素:

对个人信息保护方针宣传的监查。个人信息保护方针是单位实施个人信息保护的基本准则, 是以文档的形式对内、对外宣传的主要方式, 监查人员应监查个人信息保护方针对内、对外的宣传是否到位, 目前公布的方针是否是最新版本。

对个人信息保护培训教育质量与效果的监查。个人信息保护培训教育是提高全体员工个人信息保护意识、增强员工个人信息保护责任的主要途径, 培训教育的范围应包括全体员工 (正式员工、外派人员、临时工、清洁工等) 。该工作是由培训教育负责人组织和实施的, 为保证培训教育的质量, 监查人员应对参加培训教育的人员情况、培训教育的效果及跟踪教育等项内容列为监查对象。

对个人信息岗位责任的监查。对个人信息岗位责任的监查是个人信息监查的重要环节, 应按照风险分析中涉及的风险点监查相应岗位是否按照已制定的安全保护措施运行, 如网络 (设备) 管理岗位、人事管理岗位、业务处理岗位、出入管理岗位等等, 要保证不遗漏一个岗位。

对技术及物理安全的监查。技术物理安全主要是针对办公环境和办公设备的监查, 如员工桌面及四周有无随意摆放与个人信息相关的资料、PC机及存储设备的管理是否妥当、网络安全及病毒预防是否到位、业务数据收发是否安全等相关内容。

对个人信息保护相关记录的监查。单位的个人信息保护管理制度中都有一套相应的管理表格, 它是个人信息保护管理体系运行过程的重要记录, 是管理制度中重要的组成部分。然而, 不少单位的监查人员往往忽略或不重视对管理表格的审查, 导致了管理上的漏洞。为提高对管理表格的监查质量, 监查人员应熟知本单位所使用的与个人信息保护相关的所有管理表格, 应对记录的实时更新、妥善管理等项目实施监查。

信息时代:如何保护个人信息安全? 篇9

个人信息泄露:无处不在

“白领名录”、“股民信息”、“豪车车主名单”、“老板手机号码”甚至“家长信息”、“新生婴儿信息”……, 电信机构、需要注册的网站、银行、保险公司、各类中介、教育机构乃至政府部门和医院……, 你若历数自己的信息可能被泄的“端口”, 能列出一长串名字。你能不注册天涯、淘宝、途牛, 但你能不办银行卡、不办手机业务、不买房买车吗?个人重要信息, 联系方式, 家庭住址, 手机号码, 身份证号码, 邮箱与QQ号等。这种信息我们多数是通过一个特定的场合和环境小范围公开, 您把自己的个人信息提供给了他们。如果将这些数据卖给其他组织而从中谋利, 则变成了个人信息泄露。快递公司手里有成千上万的客户具体信息, 如何规范这些行业企业不利用客户信息谋利, 将是未来一段时间的大问题。据公安部有关负责人近日介绍, 近年来, 非法出售、提供和获取公民个人信息犯罪迅速蔓延, 不仅严重危害国家和公民信息安全, 而且极易引发多种犯罪。不法分子借助互联网实时、快捷地交易个人信息数据, 已构成覆盖全国的巨大信息交易犯罪网络。

依法保护个人信息

《关于加强网络信息保护的决定》明确规定, 任何组织和个人不得窃取或者以其他非法方式获取公民个人电子信息, 不得出售或者非法向他人提供公民个人电子信息。同时规定, 网络服务提供者和其他企业事业单位在业务活动中收集、使用公民个人电子信息, 应当遵循合法、正当、必要的原则, 明示收集使用信息的目的、方式和范围, 未经被收集者同意, 不得违反法律、法规的规定和双方的约定收集、使用信息。

注重提高公民的个人信息保护意识

网上填写表格须慎重:加强个人信息保护, 应该从自身做起, 比如, 在网上不要随意填写表格, 应该选择安全防范能力较强的网站存储重要个人信息;在马路上接受市场调查, 或者在商店里填写贵宾卡等时, 要留个心眼, 别随便将自己的资料泄露给他人。遇到介绍、推荐保险业务、房产业务、理财投资以及冒充公安、检察、法院、银行工作人员的点对点电信诈骗案件, 要时刻提高警惕, 以防上当受骗。遇到个人信息被非法使用时, 市民应通过各种途径维权, 别任由自己的个人信息外泄。

实名车票不要随意丢:铁路部门表示, 实名制车票不要随意处置, 丢弃之前, 可将二维码、身份证号码和姓名等部位涂黑或者粉碎处理。

快递收件单要撕干净:很多市民都会网购, 很少有人会留意快递箱上的收件单, 那上面可是赫然印着你的真实姓名、住址和手机号码。假如你撒手不管, 那你的有关信息就有可能经这条“路”径传出去。

信息安全保护体系 篇10

1 等级保护概述

信息安全等级保护,是指对国家秘密信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护,对信息系统中使用的信息安全产品实行按等级管理,对信息系统中发生的信息安全事件分等级响应、处置。信息系统的安全保护等级共分五级。第一级为用户自主保护级,第二级为系统审计保护级,第三级为安全标记保护级,第四级为结构化保护级,第五级为访问验证保护级。

2 需求分析

根据《关于开展全国重要信息系统安全等级保护定级工作的通知》(公信安[2007]861 号])和《信息安全技术信息系统安全等级保护定级指南》(GB/T 22240-2008)文件要求,市政府网站群属于重要信息系统,当网站群的业务信息安全被破坏时,公民、法人和其他组织的合法权益会受到严重损害。因此,网站群的业务信息安全保护等级定为第二级;当网站群系统服务安全被破坏时,社会秩序、公共利益受到严重损害,因此,网站群的系统服务安全等级定为第三级。信息系统的安全保护等级由业务信息安全和系统服务安全等级较高者决定,所以网站群的安全保护等级定为第三级。

根据《信息安全等级保护安全建设整改工作指南》和《信息系统安全等级保护基本要求》中等级保护第三级要求,结合网站群的现状,坚持技术和管理并重原则,建立网站群的安全防护体系,提高网站群整体安全防护能力。

3 安全技术要求

3.1 物理安全

物理安全包括:物理访问控制、防盗窃和防破坏,防雷击、防火、防水、防潮、温湿度控制和电力供应。

网站群的服务器都放置于数据中心机房内,参照等级保护第三级要求,网站群在物理环境上基本符合等级保护第三级要求,需要安全整改的内容:加强机房硬件的标签管理,采用难以去除的标签对重要设备进行标记;安装红外报警器,结合现有的门禁系统、视频监控系统、24 小时不间断保安值班、运维人员和工作人员值班等措施,对数据中心加强安全管理;按照功能划分物理功能区,将数据中心划分为:网络区、数据库区、托管区、刀片服务器区和存储区等;使用消防认可的防火铯钾玻璃进行隔离,并安装气体消防灭火设施。

3.2 网络安全

网络安全包括:结构安全、访问控制、安全审计、边界完整性检查、入侵防范、恶意代码防范和网络设备防护。

网站群系统属于重要应用系统,在网络发生拥堵时,要优先保护网站群的业务不受影响,所以需要增加网络流控设备,通过设置带宽优先级策略,来保证网站群的业务带宽;将所有网站群涉及的服务器、安全设备和网络设备的IP地址和MAC地址进行绑定,防止造成ARP欺骗攻击等网络攻击行为的发生;在网络内部部署入侵检测系统,对来自网络内部的网络攻击行为进行监控,监测内部区域之间各种网络攻击行为;网络边界部署防病毒网关,可以监测、识别和阻断网络中包含恶意代码的数据流,防止病毒、木马等恶意程序进入网内,从而对网络中的用户资源进行保护;网络设备、完全设备使用两种以上的鉴别方式,关闭交换机的Telnet远程登录,采用SSH和https等加密方式进行远程登录管理,并结合数字证书来鉴别登录。

4 安全管理要求

4.1 安全管理制度

制定信息安全工作的总体方针,建立和健全信息安全管理体系;制定一系列安全管理制度,如《信息安全与保密管理制度》《门禁卡和人员出入管理制度》等;做好管理台账,如《机房日常巡检记录表》《人员出入机房记录表》等;制定服务器、网络设备、安全设备以及机房主要基础设施的操作规程,如《数据备份与恢复手册》《交换机操作手册》等;指定专门的部门和人员负责安全管理制度的制定、评审和发布,定期对安全管理制度进行修订;定期对应急预案进行演练,通过演练来修改和完善应急预案。

4.2 安全管理机构

成立信息安全等级保护工作领导小组,指导和管理信息安全工作,并专门设立信息安全工作职能部门;按照工作职责划分资产管理员、系统管理员、网络管理员、安全管理员、数据库管理员和备份管理员等岗位;对系统变更、资源申请、重要维护操作和物理访问等事项建立审批制度,按照审批制度执行审批流程,对重要活动建立逐级审批制度;加强各部门之间的沟通合作,加强交流,并聘请信息安全专家作为信息安全顾问。

5 总结与展望

注:本文为网友上传,旨在传播知识,不代表本站观点,与本站立场无关。若有侵权等问题请及时与本网联系,我们将在第一时间删除处理。E-MAIL:66553826@qq.com

上一篇:二次安全保护 下一篇:病案安全保护制度