国土信息安全保障体系

关键词： 主干网 涉密 政务 简称

国土信息安全保障体系（共8篇）

篇1：国土信息安全保障体系

信息安全保障体系

组织体系

组织体系 1 范围 本标准规定了公司内部安全保障体系组织架构的要求，包括人员组成，责任和要求。

本标准适用于公司，各厂应依据本标准制订适用的标准。规范性引用文件 下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注版本（日期）的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。凡是不注版本（日期）的引用文件，其最新版本适用于本标准。术语和定义 无。职责 4.1 信息中心负责公司整体信息安全保障体系组织建设。

4.2 各厂负责在授权范围内开展安全组织建设，负责本单位信息安全日常管理、监督。信息安全管理组织架构 在组织架构方面，应依托企业现有的组织体系，赋予各层面的组织和个人以安全职责，使原有的组织架构具有信息安全的管理职能，同时应对企业安全管理的三层组织结构：决策层、管理层和执行层的机构建立、安全目标、岗位设置、安全职责进行确定，组织架构的建立和充分发挥职能是整个系统安全的前提和基础。

决策层管理层业务安全决策安全战略规划安全绩效考核信息安全领导小组信息安全管理部门安全管理系统安全工程安全绩效管理信息安全执行部门实施与运作运行管理安全审计实施执行层

图 1 信息安全管理组织架构层次图 组织架构

企业本部

企业下属各厂

决策层

公司信息化建设主管领导 各厂信息化建设主管领导 管理层

公司信息、办公室、财务、营销、人事、技术等各部门负责人 各厂信息、财务、生产、人事等业务部门负责人 执行层

公司具体负责信息系统管理和信息安全管理工作的技术人员及相关部门的专职（或兼职）信息安全员 各厂具体负责信息系统管理和信息安全管理工作的技术人员及相关部门的专职（或兼职）信息安全员

图 2 信息安全管理组织架构细化表信息安全组织架构各层职责说明 6.1 决策机构 信息安全决策机构处于安全组织机构的第一个层次，是企业公司信息安全工作的最高管理机构，按照国家和国家局的方针、政策和要求，对企业公司信息安全进行统一领导和管理。

其主要职责包括：

1)领导和督促全企业公司范围的信息安全工作； 2)制定企业公司信息安全战略、方针和政策，确定企业公司信息安全发展方向和目标； 3)为信息安全提供所需的资源； 4)批准整个组织内信息安全特定角色和职责的分配； 5)建立企业公司的总体安全规划方案； 6)制定企业公司统一的安全策略体系； 7)审批企业公司重大的信息安全活动； 8)重大技术事项或突发紧急问题的协调处理和事后调查仲裁等； 9)审批信息安全项目及安全产品的采购申请； 10)审阅下级的重要工作汇报和意见，并及时反馈批复意见； 11)监督管理层信息安全工作的管理和执行情况，协调管理队伍之间的关系； 12)负责组织企业公司范围的信息安全事件的调查，并听取相关汇报； 13)定期组织会议，了解企业公司信息系统的整体安全现状，讨论提高安全水平的整改措施。

14)启动计划和程序来保持信息安全意识； 15)信息安全领导小组应定期组织信息安全巡检和评审工作。

6.2 管理机构 信息安全管理机构处于安全组织机构的第二个层次，在决策机构的领导下，负责组织制订信息安全保障体系建设规划，以及信息安全的管理、监督、检查、考核等工作。日常的信息安全管理工作主要由信息化工作部门负责。

其主要职责包括：

1)根据决策层总体安全规划制定系统安全建设的详细安全计划并组织实施； 2)根据决策层统一的安全策略制定并落实信息安全管理制度； 3)监督和指导执行层信息安全工作的贯彻和实施； 4)组织技术人员和普通员工的安全技术交流与培训； 5)参与信息系统相关的新工程建设和新业务开展的方案论证，并提出安全方面的相应

建议； 6)在信息系统相关的工程验收时，对信息安全方面的验收测试方案进行审查并参与验收； 7)组织相关安全员定期进行信息安全巡检； 8)负责组织范围内的信息安全事件调查，并听取相关汇报； 9)审阅执行层的重要工作汇报和意见，并及时反馈批复意见； 10)定期组织会议，了解管辖系统的整体安全现状，讨论提高安全水平的整改措施； 6.3 执行机构 信息安全执行机构处于信息安全组织机构的第三个层次，在管理层的领导下，负责保证信息安全技术体系的有效运行及日常维护，通过具体技术手段落实安全策略，消除安全风险，以及发生安全事件后的具体响应和处理。

主要职责包括：

1)学习和执行企业公司制定的各项信息安全管理策略、制度、规范和指南； 2)企业公司信息安全规划、管理制度的落实和执行工作； 3)直接负责管理范围内各业务系统的安全管理和维护工作； 4)参与检查与国家信息安全相关的法律、法规、规章、标准等的符合性，参与企业公司安全方案的规划、设计； 5)具体安全项目的实施与支持； 6)根据管理层安全规划制定系统安全建设的详细安全计划并组织实施； 7)监督和指导管理范围内信息安全工作的贯彻和实施； 8)组织内部的安全技术交流与培训； 9)参与管理范围内工程建设和业务开展的方案论证，并提出相应的安全方面的建议； 10)提出的网络安全整改意见，提交管理层审批； 11)向管理层定期汇报系统当前安全现状以及安全事件的处理情况；安全职责的分配 为明确安全责任，划分（界定）安全管理与具体执行之间的工作职责，公司必须建立安全责任制度。

安全责任分配的基本原则是“谁主管，谁负责”。公司拥有的每项网络与信息资产，必须根据资产归属确定“责任人”。“责任人”对资产安全保护负有完全责任。“责任人”可以是个人或部门，但“责任人”是部门时，应由该部门领导实际负责。

“责任人”可以将具体的执行工作委派给“维护人”，但“责任人”仍然必须承担资产安全的最终责任。因此“责任人”应明确规定“维护人”的工作职责，并定期检查“维护人”是否正确履行了安全职责。“维护人”可以是个人或部门，也可以是外包服务提供商。当“维护人”是部门时，应由该部门领导实际负责。

安全工作人员的职责是指导、监督、管理、考核“责任人”的安全工作，不能替代“责任人”对具体网络与信息资产进行安全保护。

在资产的安全保护工作中，应重点关注以下内容：

a)应清楚地说明每个独立的网络与信息系统所包含的各种资产和相应的安全保护流程。

b)“责任人”与“维护人”都应明确接受其负责的安全职责和安全保护流程，并对该职责的详细内容记录在案。

c)所有授权的内容和权限应当被明确规定，并记录在案。职责分散与隔离 职责分隔（Segregation of Duties）是一种减少偶然或故意行为造成安全风险的方法。公司应分散某些任务的管理、执行及职责范围，以减少误用或滥用职责带来风险的概率。例如关键数据修改的审批与制作必须分开。

在无法实现职责充分分散的情况下，应采取其他补偿控制措施并记录在案。例如：活动监控、检查审计跟踪记录以及管理监督等。

为避免串通勾结等欺诈活动，公司应尽量隔离相应职责，并增加执行和监督人员，以降低串通的可能性。安全信息的获取和发布 信息技术的发展日新月异，安全工作愈发复杂和困难。公司必须建立有效可靠的渠道，获取安全信息，不断推进安全工作。例如：

a)从内部挑选经验丰富的安全管理和技术人员，组成内部专家组，制定安全解决方案，参与安全事件处理，解决实际安全问题，提供预防性建议等。为使内部专家组的工作更具成效，应允许他们直接接触公司的管理层。

b)与设备提供商、安全服务商等外部安全专家保持紧密联系，听取他们的安全建议。

c)从一些公开的信息渠道获取安全信息，例如专业出版物、定期公告等。

企业权威的安全信息发布机构为公司信息中心。公司负责收集和整理并向各厂信息部门发布安全信息；各厂负责厂内发布和信息上报。加强与外部组织之间的协作 公司应加强与国家安全机关、行业监管部门、其他运营商和信息服务提供商等外部组织的联系，并建立协作流程，以便在出现安全事件时，尽快获取信息、采取措施。

公司在加入安全组织或与其他组织进行交流时，应对信息交换予以严格限制，以确保公司信息的保密性。安全审计的独立性 安全审计是从管理和技术两个方面检查公司的安全策略和控制措施的执行情况，发现安全隐患的过程。

安全审计的独立性是指审计方与被审计方应保持相对独立，即不能自己审计自己的工作，以确保审计结果的公正可靠。

安全审计可由公司内部审计组织，或外聘的专业审计机构完成。审计人员应接受审计培训，掌握一定的技能和经验。当采用外聘审计机构时，应充分考虑其风险，并采取相应的控制措施。

篇2：国土信息安全保障体系

随身预见，动感互联。

处理资料要谨慎，安全第一最稳阵。

遇见一个连接的世界。

除网络陋习，讲勤学上进，树文明新风，建和谐校园。

维护网络安全，保护个人隐私。

个人信息勿泄露，安全意识存心头。

聚网络文明之风，传文明网络之行。

君子之于网事，于节于礼于制。

人人关心信息安全，家家享受智慧服务。

个人资料要小心，资讯安全勿轻心。

智取人生，先人一步。

未来世界，移动掌控。

智能移动，先行者立。

提高个人信息保护意识，保护个人合法权益。

共建网络安全，共享网络文明。

掌握网络安全知识，保护个人安全信息。

网络无边，青春有限，珍惜时间，文明上网。

筑牢网络安全基石，成就网络强国梦想。

妥善运用及保护个人信息，避免因个人信息泄露而让犯罪分子有机可乘。

预见未来，创新科技。

智拓人生，无限未来。

篇3：国土信息安全保障体系

1 分析我国国土资源经济安全保障体系的现状和其安全问题

国土资源经济安全保障体系不仅仅是我国高度关注的话题也是世界各国关注的问题, 立足整体, 在开展国土资源经济安全保障体系的相关工作中其都是朝前进方向发展, 并取得了良好效果, 在各级党委和政府正确指导下, 以促进经济建设为中心, 严格按照土地的调控政策, 从而达到制约土地情况的目的, 以便于为经济建设提供强大的理论支撑。

国土资源经济安全保障体系存在的问题相对较多其面临的形势严峻, 虽然在各级党委和政府的正确指导下取得的一定成效, 但是形势还是不容乐观。相应的国土资源安全部门在宏观调控中的地位和作用都有相应的提升, 与国土资源相关体制也逐渐健全, 工作人员工作效率和服务水平等方面相对于以前都有了一个质的飞跃, 但是在资源供求两方面存在的矛盾还没有得到解决, 国土资源经济发展保障的用地计划指标短缺, 以下就是对国土资源经济安全中存在问题分析:

(1) 资源供求矛盾突出。在国土资源经济安全保障体系中矛盾突出最明显的是资源供求矛盾突出, 其首要任务是解决用地空间问题, 随着我国经济的迅猛发展, 我国城市化水平也越来越高, 大量人员从农村进入城市, 而这也就意味着需要在原有的基础上扩大建筑面积, 需要通过压缩农村用地以及城镇附近的宅基地进行扩建, 满足社会发展的需要, 而各地对土地的需求量不断增加, 这也是导致土地资源供求矛盾的根本原因所在。

(2) 计划指标短缺。国土资源经济安全保障体系需要依据实际情况制定出行之有效的计划, 但是用地量超过计划指标, 这是导致计划指标短缺的根本性原因。尽管国家在政策上禁止对可利用土地的破坏和倡导盘活存量的土地进行再利用, 但是近几年来对农村土地方面的整合、厂矿整治等形式, 能够列入盘活存量土地范畴内的土地已经是极少数了。与此同时在土地审批真实性方面出现了很多问题, 尽管在很短时间内发现了这些问题的存在, 但是在处理这些问题的过程中造成了成本急剧上升, 且因为各种原因在执行方面受到诸多因素的阻扰, 这样也是导致用地指标短缺的根本性因素。

(3) 耕地占补平衡难度相对较大。国家经济的高速发展对耕地方面的需求也随之增长, 建筑工程占用耕地的现象屡见不鲜, 再者, 国家在实行退耕还林和调整农业结构等政策的贯彻落实, 结合耕地是不可再生资源这个鲜明特点, 大部分质量好的耕地已经被占用, 而新开发的耕地因为各方面因素导致其在一段时间内很难形成生产力, 例如:质量监督、后期改良潜力小, 这些都是造成耕地占补平衡难度大的根本性因素, 立足整体, 鉴于耕地是以生态环境代价而实施的围湖造田等, 致使河床等形势日趋严峻, 造成生态恶化等不良影响, 不仅仅造成资源的巨大浪费, 还背离了其初衷。

2 关于建立国土资源经济安全保障体系的设想分析

随着我国国民经济的迅猛发展, 其直接作用于耕地的需求量, 土地矛盾已经成为了社会各阶层普遍关注的话题, 土地资源管理面临着社会给予的重大考验, 换一句话来说, 国土资源经济安全保障体系是保障民生利益, 在促进经济发展等方面都起到了重大作用, 为了能够更加科学化的利用土地, 走可持续发展之路, 以下是关于建立国土资源经济安全保障体系的设想:

(1) 服务是发展的前提条件。国土资源经济安全保障体系在发展过程中要充分考虑到市场化需要, 考虑到一些存在因素或者可能出现的问题, 积极主动服务, 严格按照国家相关政策, 确保工作有效开展, 为其作用最大限度发挥出来奠定坚实基础。与此同时, 还要努力参与到宏观调控的过程中, 才能够根本性提升国土资源的服务水平, 为重点项目和招商引资等提供全方位服务, 明确各项责任, 确保各项工作都得到有效落实, 最终作用于经济的发展, 自然而然的也就缓解了土地供求矛盾。在执法方面, 也要优质执法服务, 充分遵循优质服务的理念, 最终在服务能力和监管水平等方面都有一个质的飞跃。例如:可以实行动态巡查责任制, 整体性的提升资源管理队伍的管理水平, 促使问题的最终解决。

(2) 强化监管责任。国土资源经济安全保障体系应当在现有的基础上进行拓展, 逐步覆盖到全国, 为实现全程监管, 用相关科技作为坚强后盾, 构建出一体化的综合监管体系。在国土资源经济安全保障体系相关工作开展过程中, 不仅仅要保障发展, 还要保障资源, 也只有这样才能够强化监管责任。对耕地实行全面保护, 可以用建设项目或者项目的形式实施, 促使与耕地紧密联系在一起的制度的建立。在项目建设上, 要正确处理好耕地占补平衡等存在的问题, 才能够将监管效用最大限度发挥出来。再有, 在耕地保护责任制方面要加大创新力度, 为其更好的纳入到地方经济发展的评价体系中创造前提条件, 只有强化监管责任, 才能够保障经济的可持续发展。

(3) 加大基础设施的建设力度。国土资源经济安全保障体系的建立, 不仅仅体现在坚实的基础上, 还需要在保障民生等方面发挥作用, 有利于后续工作的开展, 在促进经济发展等方面都起到了积极作用。再者, 在农村用地上要加强协调, 从某种意义上来说能够减少耕地的浪费和保护生态环境。从国家方面来说, 要有效运用经济手段调动广大农民保护耕地的积极性, 可以依据当地实际情况设立专门的耕地保护专项基金, 实施耕地保护经济补偿机制, 从而制定出科学化和系统化的管理计划。对不同土地应当采取不同的办法, 例如:在衡量征地标准时, 要全面考虑到对征土地的补偿和被征土地的农民, 并将其合理安置等多方面因素。对农村余地整治工作也要加大力度, 实行农田、村庄、工矿废弃地等土地的整治来提升可用耕地, 保障其能够在最短时间内投入到生产过程中。在农村完善土地供求方面, 要保障居民的合理用地要求, 加强土地储备工作, 既是考虑到未来发展的需要, 也是保护资源不被浪费的重要举措, 增加土地的盘活存量, 对闲置的土地进行合理利用, 确保其效用最大限度的发挥出来。

3 结语

国土资源经济安全保障体系工作的有效开展涉及到方方面面, 仅仅依靠其自身努力效果甚微, 需要相关部门的相互支持和配合, 在处理国土资源当前存在问题的过程中, 只有充分依据实际情况找出行之有效的解决措施, 才能够保障有限的土地资源发挥无限的作用, 最终作用于我国经济的发展。

参考文献

[1]曾洪云, 赵俊三, 王庆龙.基于投影寻踪法的滇中经济区土地资源生态安全评价[J].云南地理环境研究.2013 (01) .

[2]闫沛禄, 陶涛.酒泉市矿产资源开发利用的实践与探索[J].开发研究.2012 (03) .

[3]傅世锋, 张平, 蒋金龙.基于开发区规划环评的土地资源承载力评价[J].应用生态学报.2012 (02) .

[4]朱红波.我国耕地资源安全的动态变化与空间分异规律[J].国土资源科技管理.2011 (02) .

篇4：信息安全保障体系探讨

关键词：信息安全；安全技术；网络

中图分类号：TP393.08 文献标识码：A 文章编号：1674-7712 (2012) 06-0085-01

一、信息安全的定义

20世纪70年代以前，信息安全的主要研究内容是计算机系统中的数据泄漏控制和通信系统中的数据保密问题。然而，今天计算机网络的发展使得这个当时非常自然的定义显得非常不恰当。首先，随着黑客、特洛伊木马及病毒的攻击不断升温，人们发现除了数据的机密性保护外，数据的完整性保护以及信息系统对数据的可用性支持都非常重要。其次，不断增长的网络应用中所包含的内容远远不能用“数据”一词来概括。综上分析，信息安全是研究在特定的应用环境下，依据特定的安全策略对信息及其系统实施防护检测和恢复的科学。

二、信息安全面临的威胁

由于信息系统的复杂性、开放性以及系统软件硬件和网络协议的缺陷，导致了信息系统的安全威胁是多方面的：网络协议的弱点、网络操作系统的漏洞、应用系统设计的漏洞、网络系统设计的缺陷、恶意攻击、病毒、黑客的攻击、合法用户的攻击、物理攻击安全、管理安全等。

其次，非技术的社会工程攻击也是信息安全面临的威胁，通常把基于非计算机的欺骗技术成为社会工程。社会工程中，攻击者设法伪装自己的身份让人相信就是某个人，从而去获得密码和其他敏感的信息。目前社会工程攻击主要包括的方式为打电话请求密码和伪造E-mail。

三、信息安全相关的防护理念及其技术

计算机信息安全技术是针对信息在应用环境下的安全保护而提出的。是信息安全基础理论的具体应用。安全技术是对信息系统进行安检和防护的技术，其包括：防火墙技术、路由器技术、入侵检测技术、扫面技术等。

（一）防火墙技术

防火墙是指设置在不同网络（如可信任的企业内部和不可信任的公共网）或网络安全域之间的一系列部件的组合。它是不同网络或网络安全域之间信息的惟一出入口，能根据个人的安全政策（允许、拒绝、检测）出入网络的信息流，且本身具有较强的抗攻击能力。一个防火墙能极大地提高一个内部网络的安全性，并通过过滤不安全的服务而降低风险。通过防火墙为中心的安全方案配置，能将所有安全软件（如口令、加密、身份认证和审计等）配置在防火墙上。

（二）路由器技术

随着网络各种领域应用的日益普及，网络信息安全问题趋于复杂化和多样话。针对网络存在各种安全隐患，安全路由器必须具有如下的安全特性：

（1）可靠性与线路安全（2）身份认证（3）访问控制（4）信息隐藏

（5）数据加密（6）攻击探测和防范（7）安全管理

（三）物理隔离器技术

隔离卡技术是将一台计算机划分成两个独立的虚拟计算机，分别连接公共网络和涉密网络。通过隔离卡，用户的硬盘被划分为公共区和安全区，装有独立的操作系统和应用软件。当用户在公共区启动时，计算机连接公共网络；当用户在安全区启动时，计算连接涉密网。

（四）防病毒技术

1.虚拟机技术

虚拟机技术是国际反病毒领域的前沿技术。这种技术更接近于人工分析，智能化极高，查毒的准确性也极高。虚拟技术的主要执行过程如下：

在查杀病毒时，在计算机内存中模拟出一个“指令执行虚拟计算机”，在虚拟环境中虚拟执行可疑带毒文件在执行过程中，从虚拟机环境内截获文件数据如果含有可疑病毒代码，则说明发现了病毒。殺毒过程是在虚拟环境下摘除可疑代码然后将其还原到原文件中，从而实现对各类可执行文件内病毒的杀除

2.监控病毒源文件

密切关注、侦测和监控网络系统外部病毒的动向，将所有病毒源堵截在网络入口处，是当前网络防病毒技术的一个重点。趋势科技针对网络防病毒所提出的可以远程中央空管的趋势病毒监控系统不仅可完成跨网域的操作而且在传输过程中还能保障文件的安全。

3.无缝隙连接技术

无缝隙连接技术也叫嵌入式杀毒技术。通过该技术，我们可以对病毒经常攻击的应用程序和信息提供重点保护。它利用操作系统或应用程序提供的内部接口来实现对使用频度高、范围广的主要应用软件提供被动式的保护

4.检查压缩文件技术

检查压缩文件中的病毒有两种思路。第一种思路：首先必须搞清压缩文件的压缩算法，然后根据压缩管理算法将病毒码压缩成病毒压缩码，最后根据病毒压缩码在压缩文件中查找以判断该文件是否有病毒。另一种检查压缩文件中病毒的思路：在搞清压缩文件的压缩算法和解压算法的基础上，首先解压待检查的压缩文件。随后在解压后的文件中检查病毒码来判断该文件是否有病毒，以此来说明原压缩文件是否有病毒。最后将文件还原成原来的压缩格式。

四、建立网络安全体系的必要性和发展信息安全体系的重要性

国际上信息安全研究起步较早，力度大，积累多，应用广，在70年代美国的网络安全技术基础理论研究成果“计算机保密模型”的基础上，指定了“可信计算机系统安全评估准则”（TCSEC），其后又制定了关于网络系统数据库方面和系列安全解释，形成了安全信息系统体系结构的准则。安全协议作为信息安全的重要内容，其形式化方法分析始于80年代初，目前有基于状态机、模态逻辑和代数工具的三种分析方法，但仍有局限性和漏洞，处于发展的提高阶段。

完整的信息安全保障体系建设是信息安全走向成熟的标记，也受到了国家和众多企事业单位的重视。信息安全保障体系的建设，必须进行科学的规划，以用户身份认证为基础，信息安全保密为核心，网络边界防护和信息安全管理为辅助，建立全面有机的安全整体，从而建立真正有效的、能够为信息化建设提供安全保障的平台。

参考文献：

[1]徐茂智，雏维.信息安全概论.人民邮电出版社,2007

[2]张同光.信息安全技术实用教程.电子出版社,2008

篇5：国土信息安全保障体系

【摘要】随着社会的现代化发展，促进了信息技术的提高。在 管理中，传统的 管理模式存在着较多的问题，受各种安全隐患的影响，给 信息资料的保存带来了一定的安全威胁。

具有凭证的价值，是信息传递的重要途径，影响着我国的可持续发展。在疾控中心，的管理具有一定的特殊性，具有专业性、机密性、政策性等特点。本文叙述了疾控中心 信息安全保障体系建设的重要性，还阐述了构建 信息安全保障体系的措施。

【关键词】疾控中心； 信息；安全保障体系

1.疾控中心 信息安全保障体系建设的重要性

在我国，疾控预防控制中心的发展历史悠久，而疾控中心的前身是防疫站，在防疫站时期，我国的信息化建设还未得到良好的发展，那个时期主要以纸质 为主，从而增加了 管理的难度。随着国家信息化建设的推进，近年来，我国疾控中心的工作量不断的加大，管理难度越来越大，国家对公共卫生事业十分的重视，对疾控中心的 安全管理工作提出了明确的要求。在这种艰难的环境下，疾控中心若想实现信息化的稳步发展，需要结合时代的特点，加强 管理的信息化建设，并着力构建 信息安全保障体系，以确保疾控中心的可持续发展。上文提到，疾控中心的 管理具有机密性的特点，信息一旦被泄露，不仅是疾控中心的损失，还会对国家造成危害，其影响极其恶劣，因此，在疾控中心建设中，加强 信息安全保障体系的构建是十分重要的。

2.影响疾控中心 信息安全的因素

在疾控中心内，信息的内容十分复杂，其中包含了：疫情信息、科研、传染病 资料、突发性流行病资料、公共卫生信息、艾滋病信息等方面，所涉及的信息内容具有特殊性和机密性。在国家的现代化建设中，保障 信息的安全是疾控中心的重要工作内容。在疾控中心 信息安全管理中，信息的安全仍然会受到多个方面因素的影响，例如：网络安全，随着我国的信息化，促进了 管理的信息化发展，电子 成为了 信息的重要组成部分，受网络安全问题的影响，电子 可能会受到病毒、黑客等不良因素攻击，造成 丢失或外泄，引发 管理安全问题；系统软件安全，在管理电子 的过程中，若发生硬件故障等问题，则可能造成信息的丢失；人员安全问题，工作人员责任意识和安全意识不高，在管理中存在监守自盗的行为，引发信息安全问题。

3.构建 信息安全保障体系的措施

为了确保疾控中心 信息的安全，加强安全保障体系的建设是重要的安全保障措施，建设安全保障体系的措施主要有以下几点：

3.1 完善安全管理制度保障体系

完善的制度管理是规范工作人员行为的重要措施，工作人员是 信息管理中重要的组成部分，承担着重要的安全责任。在安全保障体系的建设中，完善安全管理制度，可以提高工作人员的责任意识和安全意识，有利于工作人员将 信息的安全管理工作落到实处，从而降低安全问题的发生率，提升我国疾控中心 信息管理的安全性。结合我国对 信息管理的相关要求和规范，例如：《 信息系统安全等级保护定级工作指南》，根据疾控中心的实际情况，制定出合理的、科学的安全管理制度。在建设之前，工作人员需要对 信息进行合理的统筹规划，加强 信息的数字化建设，结合各个工作环节的要求和功能，制定完善的安全管理制度。

3.2 重视工作人员的安全教育

在疾控中心内，管理人员承担着重要的责任，是 信息安全管理的中心，是实际的运行者和操作者，亦是安全保障体系建设的核心。疾控中心应该加强管理人员安全意识培训，可以在中心内，定期开展有关安全知识讲解的培训会，鼓励并组织管理人员积极的参与培训，并加强对管理人员的考核，以提高管理人员对安全知识学习的重视程度。另外，给予管理人员更多有关专业技能和素养的培训机会，提高管理人员的整体素质，提升管理人员的业务能力，有利于提高管理人员 信息安全管理的水平。

3.3 完善安全技术保障体系

提高安全技术是维护疾控中心 信息安全管理的重要途径，随着我国 信息管理的信息化发展，信息系统的安全管理需要安全技术的大力支持，以降低发生安全问题的概率。结合疾控中心的实际发展情况，加强系统安全技术、技术创新、数据安全技术、物理安全技术等方面的研究，以强化 信息的数据备份和恢复、数据库防火墙、数据加密、信息的安全储存、云数据的安全处理等方面，从而降低文件信息被篡改或泄露、病毒攻击、硬件故障等方面的发生率，保障 信息管理的安全。

结语

综上所述，在新时代的背景下，我国 信息管理正面临着巨大的挑战，在信息化建设中，信息管理不仅需要加强 信息化建设，还需要重视 信息的安全管理，重视安全保障体系的构建。通过完善安全管理制度保障体系、重视工作人员的安全教育、完善安全技术保障体系等方面，提高疾控中心 信息安全管理的水平，降低安全问题的发生率，有利于促进疾控中心 管理的可持续发展。

参考文献：

[1]骆念.疾控中心 信息化建设与管理初探[J].职业卫生与病伤.2016.31(2):127-128

篇6：国土信息安全保障体系

智慧城市在国内进行的如火如茶，浩瀚的大工程需要建设者考虑到可能注意的每一个细节，根据智慧城市运营商贝尔信多年来在智慧城市落地实施上的经验总结，建立信息安全保障纵深防御体系是智慧城市建设的主要任务。智慧城市信息安全保障体系应是从智慧城市业务系统概念设计和建设实施，到后期运维各个环节充分保障智慧城市建设的信息安全，形成一个只会成好似建设信息安全保障的完整闭环。

建设信息安全组织保障体系。建立合理、有效的安全组织架构，配备和设立安全决策、管理、执行以及监管的主要责任人员岗位和机构，明确各级机构的角色与责任。建设信息安全制度保障体系。贝尔信认为，建立智慧城市建设信息安全总体方针框架、标准规范和信息安全管理规范、流程、制度体系，作为智慧城市建设信息安全保障的行为准则、依据和指导。

建设信息安全管理保障体系。在信息安全组织、运行和技术体系等标准化、制度化后形成一整套对信息安全有效管理的规定，完善信息安全管理与控制的流程，将高层人员参与、安全绩效考核、人员信息安全意识与技能培训和安全人员上岗/离岗控制等纳入信息安全管理保障体系，保证智慧城市建设安全运行。

建设信息安全技术保障体系。综合利用各种成熟的信息安全技术与产品，与时俱进不断开发适应信息安全新形势的新技术与产品，实现不同层次的身份鉴别、访问控制、数据完整性、数据保密性和抗抵赖等安全功能，从物理、网络、主机、应用、终端和数据几个层面建立起强健的智慧城市信息安全技术保障体系。

建设信息安全灾难恢复体系。建设灾备中心，建立业务连续性计划、应急响应和灾难恢复计划等，定期对相应计划进行有效性评测和完善，定期开展会员参与的应急演练，保证只会成好似运行的业务连续性。

篇7：国土信息安全保障体系

中国正在努力构建一个更加完善和缜密的国家安全体系，这反映在日前提交全国人大常委会审议的国家安全法草案，出于维护国家安全的需要，新增加了包括经济、金融、文化、网络信息在内的条例。尤其是在维护网络与信息安全方面，新增的“建设国家网络与信息安全保障体系，提升网络与信息安全保护能力”“维护国家网络空间主权”的规定，让外界猜测中国将进一步通过网路管控舆论，不得不说这是长期以来海外舆论对中国网络管理的一个误读。

正在提交审议的国家安全法草案有关新增的网络安全部分，是中国适应当前网络发展新环境的必然之举。其最终目的是为这个国家和民众构筑一道网络与信息安全的“长城”，而非网络封锁和舆论管控，这也是任何一个深度倚赖互联网业态的国家顺应安全新形势的通行做法。据悉，制定专门的网络安全法也已列入全国人大常委会2015年立法工作重点。“谁掌握了信息、控制了网络，谁就将拥有整个世界。”著名未来学家托夫勒的判断并非夸大其词。当今世界正在向着信息化快速迈进，网络空间其实已经成为陆、海、空、天之外的“第五大疆域”。

随着网络技术的日新月异和应用的迅速发展，互联网越来越多地嵌入制造、服务等传统业态，并广泛运用于从政府、社会到个人，政治、金融到军事的信息管理中，触角之深让网络信息与主权的保护不可避免地成为世界各国安全领域的新命题。无论是发达国家还是发展中国家，都在加速构建各自的网络与信息安全保护体系。作为世界互联网头号大国的美国，一向将互联网安全视为头等大事。仅在去年12月，就签署了数项涉及网络安全的法案，包括《网络安全人员评估法案》《2014网络安全加强法案》《2014国家网络安全保护法》和《2014联邦信息安全现代化法案》等。

英国则以维护国家安全为出发点，自2009年出台首个国家网络安全战略后，连续多年发布此领域战略方案，英国政府还成立了网络安全办公室和网络安全运行中心。德国亦在2011年出台“网络安全战略”，以保护关键基础设施为核心，建立了一系列相关机构，为网络安全提供多重制度保证。

由于技术演进和发展周期的制约，目前网络系统从硬件到软件直至各种标准都由发达国家制造和制定。“信息霸权”概念下的“信息富国”和“信息穷国”分化已然出现。无形中，发展中国家面临的网络安全问题更加突出，中国就是网络攻击的主要受害国。根据中国国家互联网应急中心数据，仅今年2月，境内感染网络病毒的终端数近221万个，境内被篡改网站数量达9708个，境内被植入后门网站数为2607个，针对境内网站的仿冒页面有6776个。

众所周知，网络与信息安全不仅关乎一个国家的主权不被干犯、政权不被颠覆、国家机密不被泄露窃取、国防能力不被侵蚀、金融体系不被破坏，更因其与公民个人信息、财产信息等联系密切，在有着超6亿网民的中国，拥有庞大且繁荣的互联网及移动支付、购物市场，公民的个人信息和资产数据同网络有着深入的交互，不管是来自境外的网络攻击，还是来自境内外的网络诈骗、盗窃、色情、赌博等犯罪行为，都将对公民利益造成极大危害。

因此，中国网络安全和信息化安全问题是事关国家安全和发展、人们工作和生活的重大战略问题。中国国家主席习近平去年2月主持召开中央网络安全和信息化领导小组第一次会议时指出，没有网络安全就没有国家安全，没有信息化就没有现代化。网络无国界，但网络安全有边界。在继续坚持开放的互联网发展环境下，中国以法律形式界定网络安全、维护网络空间主权，用法治规范网络空间的行为，是与国际社会同步，是为了优化互联网治理体系，确保国家利益、国民利益不受侵害。

篇8：国土信息安全保障体系

0概述

通过实施金土工程, 江西省建设了基于省政务内网覆盖省、市、县三级的国土资源业务网, 依托部主干网, 实现了国家、省、市、县四级国土资源信息共享和交换。目前, 全省国土资源系统已全部实行行政审批网上运行, 业务数据和基础数据都已存放在省级国土资源数据中心。

鉴于国土资源数据的重要性, 网络安全成为了当前的突出问题, 为了实现省厅应用系统数据的完整性、真实性、保密性、可用性, 严格控制对省厅信息资源的访问, 构建一套网络和信息安全保障体系就迫在眉睫。现就如何进行构建省厅业务网络和信息安全保障体系进行探讨。

1 省厅业务网络和信息安全存在的风险分析

1.1 部分工作人员网络安全意识不强

一是部分工作人员缺乏网络安全意识, 计算机知识和操作技能水平较低, 对自己危及信息网络安全的违规行为一无所知;二是接入国土资源业务网后的计算机在操作上受限较多, 一些工作人员抱着饶幸心理, 不执行业务网计算机管理规定, 违规使用业务网计算机, 使业务网络出现了许多安全隐患;三是电脑在发生故障后没有采取安全措施, 直接将电脑外送维修, 存在信息泄露等严重的安全隐患;四是缺少网络与信息安全知识培训, 大家虽然认识到网络与信息安全的重要意义, 却不懂得如何防范。

1.2 省厅业务网内的计算机终端存在风险

提起网络安全, 人们自然就会想到来自网络外部病毒破坏和黑客攻击, 其实不然。省厅业务网基于省政务内网来构建, 物理上与互联网实现物理隔离, 逻辑上与其他接入省政务内网的横向单位业务网实现逻辑隔离。因此, 省厅业务网主要是来自网络内部的计算机客户端的安全威胁。主要的风险有:客户端设备的系统存在安全漏洞;业务网内计算机终端不能及时更新病毒库;移动电脑和存储设备随意接入业务网;业务网计算机终端非法外联 (一机双用, 既上互联网, 又上省厅业务网) ;客户端设备随意更换IP地址访问省厅业务网;客户端设备恶意修改成与服务器相同信息造成服务器中断服务;占用内部带宽较大及非法下载行为;误删系统文件夹及系统文件等。

1.3 省厅业务网与外部网络存在数据交换

一是省厅业务网与部主干网存在数据交换, 两套网络建设方式不同, 网络安全策略也有所不同。二是省厅业务网内部省、市两级存在数据交换。市级数据上报至省级审批, 省级审批完成后返回市级存档, 省级也相应备份一份。三是省厅业务网与横向单位业务网存在物理连接, 存在数据传输风险和网络入侵风险。

1.4 缺乏详细的访问日志

目前对于用户访问省厅业务网内部系统和数据没有比较完整的日志信息, 对于一些可能存在的非法访问行为无法从日志里面做出判断, 对于出现问题后的根源追究难以实现。主要体现在:非授权更改网络配置、非授权更改服务器配置、非授权更改业务系统配置, 非授权访问数据库并更改数据库内容。

2 省厅业务网络和信息安全防护体系建设

按照部金土工程的统一部署, 国土资源信息化建设按照总体规划、分步实施的总体要求进行建设。因此, 网络和信息安全设计也实行分阶段进行部署, 现阶段主要完成了以下几个方面建设。

(1) 建立一套行之有效的网络安全管理体系和管理制度;

(2) 使用网闸进行实现部业务网与省政务网的数据交换;

(3) 部署防火墙, 阻挡非授权用户的非法访问;

(4) 设立入侵防御, 查明任何非法访问或偶然访问的入侵者, 阻挡恶意攻击;

(5) 安装一套网络版杀毒软件, 并及时更新病毒库;

(6) 建立内网安全管理及补丁分发系统;

(7) 省厅业务网核心服务器实现负载均衡和SAN存储实行镜像备份;

2.1 建立一套行之有效的网络安全管理体系和管理制度

网络和信息安全工作繁杂, 涉及面广, 必须建立一套网络和信息安全管理体系, 将网络和信息安全管理的日常工作明确到具体岗位, 努力做到未雨绸缪、防患未然, 以管理保安全, 以安全促发展。一是目前省、市、县三级都已成立了信息化领导小组, 单位一把手担任领导小组组长, 下设信息化领导小组办公室。各级国土资源单位信息中心主要具体承担本级的信息化工作, 其中省厅业务网的网络和信息安全就是其中的重要工作职责。二是实行多人负责, 一岗双责, 职责明确。每一项与安全有关的活动, 都必须有两人以上同时在场。并对本岗位的安全负责, 明确自己在与安全有关的工作中充当的角色, 履行自己所应承担的职责。三是制订了一系列的管理制度和应急措施。网络与信息安全工作, “三分技术、七分管理”, 规范、科学的网络安全管理体系是信息化安全应用的保障。目前, 我们已制定了严格的操作规程和中心机房管理制度;制定国土资源系统网络信息安全管理办法和国土资源网络和信息安全应急预案等, 明确责任、落实到人。四是定期开展国土资源系统的信息化安全建设专项检查, 经常排查存在的安全隐患, 不断改进管理中的薄弱环节, 加强网络和信息安全培训, 建立健全多种形式的网络和信息的岗位培训, 促进国土资源网络和信息安全建设。

2.2 加强技术手段, 建立安全防护措施

省厅业务网依托省政务内网划分的纵向MPLS VPN网络, 连接全省省、市、县三级国土资源管理部门内部办公局域网的全省统一网络平台, 因此, 省厅业务网与横向单位业务网虽然存在物理连接, 但逻辑上已实现隔离, 互相不能访问, 只允许省、市、县三级国土资源部门之间的网络连接和信息访问, 避免了非省厅业务网的其他用户访问。

2.2.1 基于省政务内网与省厅业务网之间部署边界防火墙

为实现省厅业务网内省、市两级基于省政务内网的数据交换, 保证授权用户的正常访问, 限制非授权用户的非法访问, 选用性能较好的硬件防火墙, 配置超过4个LAN端口。我们使用其中的3个端口, 从省政务内网过来的光缆经光电转换后接入内网路由器, 再由路由器连入到防火墙的入口, 其余两个端口, 一个连接省厅业务网, 一个连接DMZ (非军事区) 。三个端口因为连接了不同的网络区域, 因此, 制订了不同的安全策略。DMZ区域连接了服务器群, 如业务应用服务器等。而业务应用数据库和基础数据库等则是连接在省厅局域网中, 由于DMZ区域和省厅局域网的安全策略不同, 避免了业务应用服务器遭受非法攻击时, 不会影响到内部数据库服务器。

防火墙设置在省政务内网与省厅业务网之间, 对流经它的网络通信进行扫描、监测和限制, 过滤攻击。根据我厅业务的实际情况, 开放相应的服务器端口, 关闭不使用的端口;指定特定端口的单向通信;授权某些地址对某个应用服务器的访问, 限制对其他服务器和省厅局域网的非法访问, 从而有效地防止来自非授权者的通信, 来实现网络和信息的安全保护。

2.2.2 在省政务内网和省厅业务网之间部署入侵防御系统

防火墙仅具有四层封包解析[3-4]的功能, 对于利用四层以上的非法的网络行为便无法有效管控。透过IPS的保护, 对于所有进出的封包均进行详细的七层分析, 有效防止各类攻击和扫描。目前, IPS部署于防火墙与省厅局域网之间, 双进双出, 一条路径是防火墙-IPS-服务器群, 另一条路径是防火墙-IPS-核心交换机-内部局域网, 实现了针对服务器群和内部局域网实施不同的安全策略。这样, 既可以防御来自于外部和内部针对核心数据库服务器等的攻击, 也能有效防御外部针对内部局域网某台客户端的攻击。

入侵防御系统提供了对各种入侵威胁行为的防御, 通过下发内置默认策略, 可以实现对如下攻击行为的阻断:溢出攻击、木马后门、即时通讯行为、SQL注入攻击、间谍软件、网络游戏行为、流行蠕虫攻击、僵尸程序、异常协议行为、数据库漏洞攻击、恶意代码、脆弱口令行为、操作系统漏洞攻击、扫描探测行为。另外, 通过开放与禁止不同的网络应用访问行为, 针对不同的应用予以不同的带宽使用以及传输总量限制, 让网络带宽得到最有效的利用。

2.2.3 在部主干网和省厅业务网以网闸隔离连接

网闸的设计目的与防火墙不同, 防火墙的是在保证网络连通的前提下提供有限的安全策略, 而网闸就是要在确保安全的前提下实现有限的数据交换。网闸强调隔离, 多采用2+1的硬件设计方式, 即内网主机+专用隔离硬件 (也称隔离岛) +外网主机。在报文到达一侧主机时, 网闸对报文的每个层面进行监测, 符合规则的将报文拆解, 形成所谓的裸数据, 交由专用隔离硬件摆渡到另一侧, 摆渡过程则采用非协议方式, 逻辑上内外主机在同一时刻不存在连接, 起到彻底切断协议连接的目的。数据摆渡过来后, 再由另一侧主机对其进行应用层监测, 符合规则的由该主机从新打包将数据发送到目标主机。

在部主干网与省厅业务网连接时, 网闸的一侧连接了部主干网, 另一侧连接了省厅业务网, 并配置相应的前置服务器。由于厅里需要访问部业务系统, 因此, 针对需要访问的业务系统, 在网闸中为每个业务系统的访问地址定制相应的内部地址, 做到部主干网业务系统服务器地址与省厅业务网分配的地址一一映射, 实现非协议方式的数据交换, 确保网闸双方网络和信息的安全。

2.2.4 在省厅业务网内部署网络版杀毒服务

在省厅业务网部署网络杀毒服务器, 为省厅业务网提供防病毒服务。

网络版的杀毒服务与单机版杀毒相比, 最大的特点就是可进行统一的管理和及时病毒库更新, 杜绝漏杀, 避免由于不能一次性地同时将局域网络中的病毒全部杀灭干净, 而造成大面积染毒事件。

防病毒服务器架设在省厅业务网内, 实时更新客户端的病毒库、监测网络状态, 并处理来自客户端的异常报告。客户端主要是对主机本地的运行进行实时的监测与病毒防护, 并及时上报异常状态信息。为解决省厅业务网病毒服务器不能上互联网而造成病毒库不能及时升级的问题, 目前, 采取了专用计算机下载病毒库, 然后使用专用计算机刻录光盘的方式手动升级的办法加以解决。

2.2.5 部署内网安全管理及补丁分发系统

提起网络安全, 人们自然就会想到病毒破坏和黑客攻击, 其实不然。常规安全防御理念往往在网关级别、网络边界 (防火墙、漏洞扫描、防病毒、IPS) 等方面的防御, 而往往忽视了来自网络内部的计算机客户端的安全威胁。相反, 上述威胁却是众多安全管理人员所普遍反映的问题。

在省厅业务网部署一套内网安全管理及补丁分发系统, 该系统具有接入管理、补丁及文件分发管理、桌面管理、移动存储管理、非法外联行为监控、限制更改IP、保护重要文件夹等功能, 并提供详细的事件报表查询分析。

在部署完该套系统后, 大大增强了省厅业务网客户端的安全。主要体现在:

(1) 对未安装客户端的计算机阻断其访问省厅业务网, 迫使其强制性安装客户端, 受控于服务端, 但也允许例外的客户端可以不安装客户端访问外网, 服务器能灵活通过IP来给予控制。

(2) 有效的控制受限的计算机 (未在信息中心登记备案) 超出其网络访问权限, 进行非法联接, 如接入省厅业务网的计算机非法接入INTERNET网, 接入INTERNET网的计算机非法接入省厅业务网。

(3) 对客户端限制其更改IP地址, 并对IP地址和MAC地址进行绑定。如更改IP能马上发警告消息并恢复原有IP地址。

(4) 对终端的输入输出设备如光驱、U盘等设备进行管理, 限制未授权的移动存储访问省厅业务网, 已授权的移动存储不能访问互联网等。

(5) 对网络中占用带宽超过一定阀值的客户端, 发警告消息并能阻断其网络连接。

(6) 对我们需要受限的应用程序进行控制, 如业务外的应用程序。

(7) 对客户端的操作系统漏洞进行自动补丁分发, 并且补丁分发后不会造成客户端出现故障。

(8) 对访问省厅业务网的服务器行为进行管理, 如内部访问限制等, 也能够对其访问行为进行审计。

内网安全管理及补丁分发系统强化了对网络计算机客户端状态、行为以及事件的管理, 成为一个实时的可控内网管理平台。

2.2.6 核心服务器实现负载均衡和SAN存储实行镜像备份

整个系统采用SAN架构, 数据库服务器和业务应用服务器通过4Gb/s的HBA卡连入SAN网络, 并与光纤交换机实现双FC连接。数据库服务器采用Linux操作系统和Oracle RAC的方式实现负载均衡, 当其中一台服务器发生故障宕机时, 另一台服务器将自动接管所有业务, 保证数据通信应用的不间断运行。所有数据保存在主SAN存储, 通过镜像软件将数据同步镜像到备份SAN存储, 保证了两台存储的数据实时一致, 避免了当其中某一台存储发生故障时影响数据的丢失等问题, 保证了数据的安全性。

3 总结

通过建立安全防护体系, 规范了访问业务网的终端只能进行相应的操作, 禁止使用U盘等外部介质, 禁止更改IP、禁止一机两用等违规行为, 可以在业务网内下载各类补丁和杀毒软件, 感染病毒的计算机终端大大的减少。通过设定策略, 使得不同用途的服务器授权给相应的IP地址来访问, 避免了很多非授权访问和攻击行为, 各类数据实现了备份冗余。通过技术+管理的组合措施, 大大地增强了省厅业务网络和信息的安全性, 提高了干部职工的网络安全意识, 增强了保护网络安全的责任感。

参考文献

[1]顾炳中.国土资源内网数据安全交换方式探讨.国土资源信息化, 2010.

[2]石志国.计算机网络安全教程[M].北京:清华大学出版社, 2008.

[3]尹晓雷等.公安内部网络安全问题及解决方法.信息技术与信息化.2010 (1) .

[4]鲁林鑫.企业计算机网络安全防护措施和对策研究.科技创新导报.2010 (4) .

[5]彭云峰, 沈明玉.入侵防御系统在应急平台网络中的应用研究.计算机技术与发展, 2009 (2) .