时间：2023-06-18 10:46:38
开篇：写作不仅是一种记录，更是一种创造，它让我们能够捕捉那些稍纵即逝的灵感，将它们永久地定格在纸上。下面是小编精心整理的12篇安全审计培训，希望这些内容能成为您创作过程中的良师益友，陪伴您不断探索和进步。
关键词：山区道路；安全审计；内容；步骤
道路安全审计(RoadSafelyAudits,简称RSA)是从预防交通事故、降低事故产生的可能性和严重性人手，对道路项目建设的全过程，即规划、设计、施工和服务期进行全方位的安全审核，从而揭示道路发生事故的潜在危险因素及安全性能，是国际上近期兴起的以预防交通事故和提高道路交通安全为目的的一项新技术手段。其目标是：确定项目潜在的安全隐患；确保考虑了合适的安全对策；使安全隐患得以消除或以较低的代价降低其负面影响，避免道路成为事故多发路段；保障道路项目在规划、设计、施工和运营各阶段都考虑了使用者的安全需求，从而保证现已运营或将建设的道路项目能为使用者提供最高实用标准的交通安全服务。
一、道路安全审计的起源与发展
1991年，英国版的《公路安全审计指南》问世，这标志着安全审计有了系统的体系。从1991年4月起，安全审计成为英国全境主干道、高速公路建设与养护工程项目必须进行的程序，使英国成为安全审计的重要发起与发展国。而我国则是在20世纪90年代中期开始发展安全审计，主要有两个渠道：①以高等院校为主的学者通过国际学术交流与检索国外文献，从理论体系的角度引入道路安全审计的理论；②通过世界银行贷款项目的配套科研课题。在工程领域开展道路安全审计的实践。
目前，在澳大利亚、丹麦、英国、冰岛、新西兰和挪威等国已定期地执行道路安全审计，德国、芬兰、法国、意大利、加拿大、荷兰、葡萄牙、泰国以及美国正处于实验或试行阶段，其他许多国家也在就道路安全审计的引入进行检验，比如希腊等国家。国外研究表明，道路安全审计可有效地预防交通事故，降低交通事故数量及其严重度，减少道路开通后改建完善和运营管理费用，提升交通安全文化，其投资回报是15～40倍。
道路安全审计在我们道路建设中的重要性，不仅仅是在提高安全性方面，对经济性也有帮助。而山区道路的安全比起一般道路来讲，就更应该引起我们的注意，毕竟山区道路的崎岖以及地势的高低相对与一般道路对驾驶者来说是一个很大的挑战，而且其发生事故的死亡率也比其他道路高很多，因此，审计对于山区道路来说是至关重要的。
二、山区道路安全审计内容
加拿大等国家认为，在项目建设的初步设计阶段进行道路安全审计最重要、最有效，因而早期的道路安全审计主要重点是在项目建设的初步设计阶段。现世界各国都普遍认为可在已运营的道路和拟建道路项目建设期的全过程实行安全审计，即在规划或可行性研究、初步设计、施工图设计、道路通车前期(预开通)和开通服务期(后评估阶段)都有所侧重地实行审计。山区道路安全审计同样与其他道路的安全审计工作内容一样。
三、审计要素
典型的道路安全审计过程为：组建审计组+设计队介绍项目情况及提供资料+项目实施考察－安全性分析研究－编写安全审计报告+审计组介绍项目审计结果+设计队研究、编写响应报告－审计报告及响应报告共同构成项目安全文件。
整个安全审计的时间一般为两周左右。为保证安全审计的质量，审计组人员的构成至关重要。审计组的人数依项目的规模大小一般由26人组成，审计组应由不同背景、不同经历、受过培训、经验丰富、独立的人员(与设计队无直接关联)组成。审计人员一般应具备交通安全、交通工程、交通运行分析、交通心理、道路设计、道路维护、交通运营及管理、交通法律法规等方面的知识，应保证审计组人员相互间能平等、自由地交流、讨论和商议安全问题。审计人员应本着对社会(用户)负责的态度、安全第一的观点，依据道路标准规范，对项目各种设计参数、弱势用户、气候环境等的综合组合，展开道路安全审计。道路安全审计人员(审计组)与设计人员(设计队)的区别在于：设计人员需要综合考虑项目投资、土地、政治、地理、地形、环境、交通、安全等方方面面的因数，限于经验、时间的约束，对安全问题难免有所偏颇。而安全审计人员不考虑项目投资、建设背景等因数，仅仅考虑安全问题，只提安全建议，最后由设计人员决定：采纳、改进或不采纳。因而可以说道路安全审计的关键点为：它是一个正式的、独立进行的审计过程，须由有经验的、有资格的人员从事这一工作，要考虑到道路的各种用户，最重要的一点是只考虑安全问题。
安全审计报告一般应包括：设计人及审计组简述、审计过程及日期、项目背景及简况、图纸等，对确认的每一个潜在危险因素都应阐述其地点、详细特征、可能引发的事故(类型)、事故的频率及严重度评估、改进建议及该建议的可操作性(实用性)等。审计报告应易于被设计人员接受并实施。响应报告应由项目设计人员编写，其内容—般应包括：对审计报告指出的安全缺陷是否接受，如不接受应阐述理由，对每一改进建议应一一响应，采纳、部分采纳或不采纳，并阐明原因。
四、现有山区道路的安全审计
对现状山区道路进行安全审计，主要评估现状道路潜在事故危险性，同时提出改进措施以降低未来发生事故的可能性。现状道路的安全审计与新建道路相类似，也需进行上面所提到的工作，但现场调查以及评估资料及文件这两步与新建道路有所不同。此时事故资料被作为欲审计资料的重要组成部分，同时该资料也包括可能导致事故发生潜在性的一些不利因素的详细资料。
理想的关于现状道路网的安全审计应该建立在有规律的基础之上。它可以以连续几年审计的结果为基础，采用滚动式的审计方式对路网中的每条道路都进行评估。对于里程较长的道路(一般>100km)，其安全审计工作可按两阶段进行，即初步审计阶段和详细审计阶段。前者主要对道路总体上进行粗略审计，给出存在的主要问题及所处位置，后者则对找到的问题进行进一步的详细分析并提出相应的改进建议。对里程较短的道路(<30km)可直接进行第二阶段的工作。而对里程在30km～100km的道路，两阶段审计工作可根据具体情况灵活进行。
由于欲审计道路已修建完成并已经运营，此时现场调查就显得非常重要。不管是拟建道路或已建道路、线内工程还是线外工程，安全审计工作必须全方位细致地进行。要考虑不同道路使用者对道路安全性能的不同需求。例如：①由于坡度太大或海拔高而使得驾驶员的心理产生恐惧；②半径太小可能使得驾驶员无法在规定视距范围内看到对方；③山体的稳定性也可能会影响到驾驶员。
另外，现状山区道路的安全审计工作还要调查不同的道路类型，例如白天、黑夜、干燥、潮湿等情况对道路的影响。此外，对现有道路网络的安全审计可结合养护工作同时进行，这样可减少相应的成本费用。
五、我国山区道路的审计现状及问题和解决方法
5.1审计现状及问题
由于目前审计这个名词在国内还算比较新鲜，国外从起步发展到现在也不过十来年的时间，各方面都只是处于实验或者是试行阶段，并没有固定的一套理论依据。而我国相对外国来说又是落后了好几年，因此我国现在总体的审计现状也就处于探索阶段，各个方面也是处于起步阶段，不可能对各个方面的审计工作做到非常的完善。而道路的审计不过是众多审计工作中的一小部分，由于其本身的“新鲜性”，又对审计人员的要求较高，西部一些贫困地区教育跟不上，审计的人才缺乏也不是没有可能，设备等亦未全部到位。山区道路安全审计工作的开展较一般道路可能要更加的困难，因为山区道路多是停山临崖，弯道又多，坡度又大等各方面因素是其工作的开展要难与一般道路；更有甚者像那些偏僻地区的山区道路，可能路面的质量都无法保证，更不要提进行什么安全审计。:
5.2解决方法
要改善我国目前的这种安全审计情况，需要全国各个方面的努力与配合，不过政府要有所规定，我们民间也要有这方面的意识。笔者简单列出几项：①国家应该颁布相关的法律制度，严格要求进行安全审计；②地方政府部门要加强管理；③加强对审计人员的培训；④提高我国的教育水平和人们的交通安全意识；⑤交通安全部门要深入到偏僻的山区；⑥提高我国的经济实力。
六、结束语
山区道路的安全审计工作与其他道路的安全审计总体上应该说差不多，当然山区的那种独特的环境使得审计工作的重点可能不仅仅局限与一般的道路，不要认为山区道路的流量没有城市道路那么多而忽视它，我国是个多山的国家，山区道路对于我国各个地区的经济往来的作用不言而誉。通过安全审计，加强了全国各地交流。对于我国的经济发展有百利而无一害。国内山区道路建设的实际情况对道路安全审计进行了较为系统的分析研究并得出以下结论：
(1)道路安全审计独立于设计和标准。是以安全为核心的审计，其对象为一切与交通安全相关的工程和设施，它可分阶段、按步骤的实施，审计的结果为安全审计报告。
近年来，我市各县市区、各部门在加强政府信息系统安全和保密管理方面做了大量工作，取得了明显成效。但也要看到，当前境内外敌对势力大肆利用各种手段对我各级行政机关进行网络攻击和窃密活动的事实，加之，政府信息系统安全和保密管理工作中还存在不少薄弱环节，一些单位和人员信息安全和保密意识淡薄，管理机制不健全，制度不落实，技术防护措施不完善，安全隐患比较严重，信息安全形势十分严峻。
根据省人民政府办公厅转发国务院办公厅关于加强政府信息系统安全和保密管理工作的通知（陕政办发〔〕79号）精神，为认真贯彻落实中、省通知精神，切实提高我市政府信息系统安全保障能力，现就进一步加强政信息系统安全和保密管理工作通知如下：
一、加强组织领导，健全信息安全责任制
各县市区政府、各部门要把信息安全和保密工作列入重要议事日程，加强领导，落实责任，完善措施，切实抓紧抓好。要按照“谁主管谁负责、谁运行谁负责、谁使用谁负责”的原则，健全信息安全和保密责任制，把责任落实到具体部门、具体岗位和个人。要明确一名主管领导，负责本单位信息系统安全和保密管理工作，根据国家法律法规和有关要求，结合实际组织制订信息安全保密管理制度和防护措施，开展信息安全、保密教育和监督检查。要指定一名安全观念强、富有责任心、懂防护技术的工作人员任信息系统安全员，负责日常督促、检查和指导工作。要建立健全岗位信息安全和保密责任制度，明确信息安全和保密责任。
二、强化教育培训，提高安全意识和防护技能
各县市区、各部门要认真组织信息安全和保密基本技能培训，开展信息安全和保密形势分析、典型案例分析和警示教育，并做到经常化、制度化。要把信息安全和保密教育作为工作人员上岗、干部培训、业务学习的重要内容，提高安全和保密意识，使主动做好信息安全和保密工作成为每个工作人员的自觉行动。加快研究建立行政机关工作人员信息安全技能考试制度，逐步做到工作人员持证上岗。当前，要针对存在的突出问题，深入学习宣传信息安全“五禁止”规定：一是禁止将信息系统接入国际互联网及其他公共信息网络；二是禁止在计算机与非计算机之间交叉使用U盘等移动存储设备；三是禁止在没有防护措施的情况下将国际互联网公共信息网络上的数据拷贝到信息系统；四是禁止计算机、移动存储设备与非计算机、非移动存储设备混用；五是禁止使用具有无线互联功能的设备处理信息。行政机关及其工作人员要切实遵守信息安全和保密管理各项规定，做到令行禁止，杜绝安全隐患。
三、完善安全措施和手段，夯实安全工作基础
一是加强对信息、人员、场所和设备的管理。严格执行保密要害部门、要害部位管理制度；严格执行人员管理和资格审查制度；严格执行计算机、设备登记管理和定期检查制度；严格执行计算机、信息系统软件和维护服务提供者资质审查及监管制度。
二是实行计算机配置管理和安全审计。加快对办公用计算机和移动存储设备实行配置管理，统一编号、统一标志、统一登记；对办公用计算机逐步加装安全审计工具，定期进行安全审计。市信息办要会同有关部门和单位抓紧制订行政机关办公用计算机配置指南、安全使用规范和安全审计办法。
三是规范电子文档的管理。统一电子文档命名规则，根据文件内容在文件名中标明密级、类别，便于识别和管理。建立并保留电子文档的创建、复制、删除等相关记录，为安全审计提供依据。规范电子文档的复制、传递，电子文档要严格按照同等密级纸质文件的有关规定进行。逐步采用加密等技术手段对电子文档的存储和传输进行保护。
四是加快信息安全防护设施建设。行政机关在规划建设政府信息系统时，要严格遵循同步规划、同步建设、同步运行的原则，按照国家有关法律法规和标准同步规划、设计、建设、运行、管理信息安全防护设施。要将信息安全防护设施建设、运行、维护、检查和管理费用纳入预算，保证资金落实。项目审批部门要将拟建政府信息系统是否具备信息安全防护设施作为重要审核内容。政府信息系统建成后，必须经保密工作部门审批后方可投入使用。
五是切实增强政府业务网络安全保障能力。政府业务网络是政府信息系统的重要组成部分，是推行电子政务的重要基础，必须采取切实有效的安全措施。要加快建立健全以身份认证、访问控制、安全审计、责任认定、病毒防护等为主要内容的网络安全体系，完善网络安全技术防护手段。抓紧制订网络对接、信息交换、安全技术及运行管理标准规范，实行严格的网络接入审批制度。行政机关要督促、指导业务网络管理单位完善相应的办法，保证网络安全运行。
六是严格信息技术产品的采购管理。按照政府采购法有关政策要求，行政机关要带头使用国产信息技术产品和服务，确保信息系统安全可控。其中，办公用计算机、公文处理软件、信息安全产品等应使用国产产品，信息安全服务应选择有相应资质的国内厂商，因特殊原因必须选用国外信息技术产品和信息安全服务的，应进行安全审查，并报本单位主管信息安全的领导同志批准。政府信息系统、保密要害部门和部位使用信息技术产品及服务，必须严格执行国家有关保密规定和标准。政府信息系统以及关系国家安全的重要信息系统的数据中心、灾难备份中心不得设立在境外，原则上不得接受在线远程服务。
四、做好信息安全检查工作，依法追究责任
各县市区、各部门每半年要对政府信息系统进行一次全面的安全检查，认真查找隐患，及时掌握信息安全状况和面临的威胁，及时采取应对措施，堵塞安全漏洞，减少安全风险。要提高应急处置能力，及时发现网络泄密隐患，迅速处置网络泄密事件。市信息办负责制定信息安全检查办法，各部门要定期向其报告检查落实情况。各县市区还要结合实际制订具体的信息安全检查和实施办法。
加大信息安全和保密执法工作力度。对违反信息安全和保密管理规定的，要给予严肃处理，对造成泄密事件和信息安全事故的，要依法追究当事人和有关负责人的责任，并以适当方式予以通报，以儆效尤。要建立网络泄密举报制度和奖惩制度。明确举报方式、受理机构和奖惩力度，充分发挥广大行政机关工作人员的监督作用。
一、信息化对内部控制影响分析
（一）信息化对组织内部控制环境的影响。计算机应用所带来的信息革命从许多方面改变了人们的思维、生活方式。组织的管理层和其他成员对计算机的认识程度决定了计算机在经营管理中的应用方式和程度。例如，仅仅把计算机作为一个复杂的机械化处理工具，还是能够认识到计算机作为管理工具的巨大潜在价值，所带来的结果将完全不同。这对组织控制环境将产生很大的影响。
（二）信息化对内部控制的信息与沟通产生影响。信息技术在信息处理能力、速度和准确性方面的优势，影响了内部控制的信息与沟通。在信息化环境下,会计业务集中化处理,依据会计程序制定计算机内部控制措施,如凭证借贷平衡校验,余额发生额平衡检查等。随着互联网环境的形成，会计业务处理范围变大使实时处理成为可能,原来应由几个部门按预定步骤完成的业务事项可集中在一个部门甚至由一个人完成。
（三）信息化对内部控制的风险管理产生影响。计算机技术在软、硬件方面的技术特点使组织面临新的风险，如计算机病毒、计算机技术被侵入等，这就要求组织在风险管理、控制活动和监督等方面做出相应的应对措施，确保在享受信息化带来的好处的同时，能够最大限度地消除由于信息技术的广泛使用带来的不利因素。
（四）信息化对审计方法和工作环境产生影响。成熟的计算机软、硬件技术，使得内部审计人员对文档、资料的处理更为快捷、方便，同时资料的储存也更为方便，因此计算机成为审计人员的得力助手。审计人员如果不熟悉电算化会计软件的特点和风险，就不能识别和审查其内部控制；如果不懂得利用计算机审计技术和方法进行审计，就必然会带来审计风险。
二、信息化下内部审计对策
（一）完善信息化环境下内部审计标准与准则。原有的标准和准则有的已经不适用于信息化下的信息系统审计，这给信息系统审计带来了一定的风险，有关部门应采取必要措施，大力加强对计算机审计的研究，尽快制定出适用于信息系统审计的标准和准则，来降低计算机审计风险。必须改变原手工会计系统中的审计标准、准则中不适合信息化审计要求的部分内容。同时，在制定具体准则时要侧重对信息化系统内部控制的评价、信息化审计人员应具备的资格、操作规程和相关的审计技术等方面做出规范。
（二）健全内部控制制度。健全的内部控制制度可以有效维护资产的安全，在会计电算化方式下，主要通过建立会计电算化软硬件管理制度、会计电算化岗位责任制度、上机操作管理制度以及会计档案管理制度等保证会计信息的真实性与正确性。在企业具体的审计实务中，可以充分利用已建立的会计电算化相关制度进行企业职能分离控制，对不相容职务加以分设，根据职责分明、互相制约原则建立相应职责分工，也可通过制定一套严谨的会计数据处理标准规程来控制数据流程。
（三）建立内部安全审计制度。为提高会计信息处理的准确性、真实性和合法性，强化企业的内部控制制度的落实，防止会计信息系统出现各种安全隐患，应建立起计算机网络环境下对会计信息系统实施监督的内部审计制度。网络系统内部安全审计是一种实时发现漏洞的机制，安全审计人员的日常审计工作将为会计信息系统的安全提供有效的保障。对于内部审计而言，在对计算机信息系统进行审计时，应当评估计算机对内部控制各个要素的影响，重点关注计算机系统所产生数据的可靠性、完整性和系统的安全性。内部审计应该对计算机信息系统的内部控制进行审查、评价。
关键词：安全；防范
中图分类号：TP391文献标识码：A文章编号：1009-3044(2011)23-5590-02
数据库是计算机重要的一个应用领域，随着计算机技术的飞速发展，数据库已广泛地深入到了各个领域，数据库技术在生产、生活、工作、学习等方面给人们带来了巨大的便利，但随之而来的数据安全问题也越来越凸显出来。数据库由于其储存大量重要的信息而成为某些人攻击的重点，数据库数据的丢失以及数据库被非法用户的侵入使得数据库安全性越来越重要，对计算机数据库安全技术进行探讨有助于我们加深对相关数据库知识的了解[1]，如何保障数据的私有性或保密性和安全性是一个十分重要的课题，有助于提高数据库安全防范意识，从而有助于实现数据库本身的安全。
1 数据库及其安全
数据库是当前计算机存储和操作数据的通常形式，也是目前数据存储和操作的最高形式，计算机数据库安全技术是伴随着计算机安全技术与数据库技术的发展而不断发展和提升的。数据库的安全就是保证数据库信息的保密性、完整性、一致性和可用性，数据库的安全是数据库系统的生命，当前，数据库系统经历了网状数据模型、层次数据模型和关系模型三个发展阶段，无论在哪个发展阶段，数据库的安全始终是我们所关注的重点。尤其是资源共享的今天，各种应用系统的数据库中大量数据的安全问题及敏感数据的防窃取和防篡改问题，越来越引起人们的高度重视[2]。
另外在互联网飞速发展的今天，数据库系统作为数据信息的存储，在网络服务中发挥巨大作用，同时我们还要注重数据库系统的网络安全性。主要指数据库系统自身安全性以及数据库所处的网络环境面临的安全风险。如病毒入侵和黑客攻击、网络操作系统、应用系统的安全，表现在开发商的后门以及系统本身的漏洞上。
2 计算机数据库安全技术
伴随着数据库的安全问题，数据库安全技术也随之发展起来，在数据库开放的环境下，数据的读取、共享暴露在外，通常我们采取访问控制和存取管理技术、安全审计、数据库加密等技术来解决这些问题，再者，数据库系统的应用也加强了数据库的安全，数据库系统作为信息的聚集体，是计算机信息系统的核心部件，其安全性至关重要。
2.1 访问控制和存取管理技术
计算机系统的活动主要是在主体进程、用户和客体资源、数据之间进行的。计算机安全的核心问题是保证主体对客体访问的合法性，即通过对数据、程序读出、写入、修改、删除和执行等的管理，确保主体对客体的访问是授权的，并拒绝非授权的访问，以保证信息的机密性、完整性和可用性。
系统通过比较客体和主体的安全属性来决定主体是否可以访问客体。存取管理技术是一套防止未授权用户使用和访问数据库的方法、机制和过程，通过正在运行的程序来控制数据的存取和防止非授权用户对共享数据库的访问。包括用户认证技术和存取控制技术。
2.2 安全审计
安全审计即是对安全方案中的功能提供持续的评估。安全审计应为审计管理员提供一组可进行分析的管理数据，以发现在何处发生了违反安全方案的事件。审计功能在系统运行时，自动将数据库的所有操作记录在审计日志中，攻击检测系统则是根据审计数据分析检测内部和外部攻击者的攻击企图，再现导致系统现状的事件，分析发现系统安全弱点，追查相关责任者利用安全审计结果，可调整安全政策，堵住出现的漏洞，为此，安全审计应具备记录关键事件、提供可集中处理审计日志的数据形式、提供易于使用的软件工具、实时安全报警等功能。
2.3 数据库加密
数据库加密是防止数据库中数据泄露的有效手段，通过加密，可以保证用户信息的安全，减少因备份介质失窃或丢失而造成的损失。数据加密就是把数据信息即明文转换为不可辨识的形式即密文的过程，目的是使不应了解该数据信息的人不能够知道和识别。将密文转变为明文的过程就是解密。加密和解密过程形成加密系统。明文与密文统称为报文。任何加密系统通常都包括如下几个部分：
1) 需要加密的报文，也称为明文P。
2) 加密以后形成的报文，也称为密文Y。
3) 加密(解密)算法E(D)。
4) 用于加密和解密的钥匙，称为密钥K。
使用数据库安全保密中间件对数据库进行加密是最简便直接的方法。主要是通过系统中加密、DBMS内核层(服务器端)加密和DBMS外层(客户端)加密。
2.4 数据安全传输常用协议
在对数据库中储存的数据进行安全保护外，在数据的传输中我们也要确保数据的完整性与安全性，所以就有了以下这儿种安全传输协议。
SSL协议：SSL协议(Secure socket layer)现已成为网络用来鉴别网站和网页浏览者身份，以及在浏览器使用者及网页服务器之间进行加密通讯的全球化标准，SSL技术已建立到所有主要的浏览器和Web服务器程序中，因此仪需安装数字证书或服务器证书就可以激活服务器功能。
IPSec协议：IPSec(Internet Protocol Security)是由IETF定义的安全标准框架，用以提供公用和专用网络的端对端加密和验证服务。它指定了各种可选网络安全服务，而各组织可以根据自己的安全策略综合和匹配这些服务，可以在IPSec框架之上构建安全性解决方法，用以提高发送数据的机密性、完整性和可靠性。
HTTPS协议：HTTPS(Secure Hypertext Transfer Protoc01)安全超文本传输协议，它是由Netscape开发并内置于其浏览器中，用于对数据进行压缩和解压操作，并返回网络下传送网的结果。
另外，安全管理技术、信息流控制、推理控制、数据备份与恢复等技术都是数据库安全常用技术，它们也确实解决了不少数据库安全的问题。无论数据库应用哪种安全技术，多多少少都会有些漏洞，数据库系统的应用可加强数据库的安全，数据库系统作为信息的聚集体，其安全性毋庸置疑，所以数据库系统的安全防范便显得尤为重要。
3 数据库系统安全防范策略
3.1 物理安全防护策略
物理安全保证重要数据免受破坏或受到灾难性破坏时及时得到恢复，防止系统信息在空间的扩散。在物理安全方面应主要采取如F措施网络安全设计方案符合有关网络安全方面的规定。安全设计应根据不同网络、系统和信息要求分别采用不同的安全防护措施。建立良好的电磁兼容环境，安装防电磁辐射产品，对重要设备和系统设置备份系统数据库系统运行的服务器、网络设备、安全设备的安全防范，主要包括防水、防火、防静电等。
3.2 网络安全防护策略
总的来讲，数据库的安全首先依赖于网络系统。可以说网络系统是数据库应用的外部环境和基础，数据库系统要发挥其强大作用离不开网络系统的支持，数据库系统的用户如异地用户、分布式用户也要通过网络才能访问数据库的数据。网络系统的安全是数据库安全的第一道屏障，入侵首先就是从入侵网络系统开始的，所以此时数据库系统的安全防范变成了网络系统的安全防范。我们就从网络系统的安全防范说起。
1）防火墙技术
防火墙是应用最广的一种防范技术，作为数据库系统的第一道防线，其主要作用是监控可信任网络和不可信任网络之间的访问通道，可在内部与外部网络之间形成一道防护屏障，拦截来自外部的非法访问并阻止内部信息的外泄，但它无法阻拦来自网络内部的非法操作。它根据事先设定的规则来确定是否拦截信息流的进出，但无法动态识别或自适应地调整规则，因而其智能化程度很有限。
防火墙技术主要有三种数据包过滤器、和状态分析。现代防火墙产品通常混合使用这几种技术。事实上，在线的网站中，超过三分之一的网站都是由某种形式的防火墙加以保护，这是对黑客防范最严，安全性较强的一种方式，任何关键性的服务器，都建议放在防火墙之后。防火墙同时也是目前用得最广泛的一种安全技术。
2）网络防病毒技术
对于复杂的系统，其错误和漏洞是难以避免的，病毒就是利用系统中的漏洞，进行网络攻击或信息窃取，构成对网络安全的巨大威胁。因此，我们必须严防计算机病毒对网络的侵袭。管理上加强对工作站和服务器操作的要求，防止病毒从工作站侵人技术上可以采取无盘T作站、带防病毒芯片的网卡、网络防病毒软件，设立网络防毒系统和配备专用病毒免疫程序来进行预防。采用多重技术互为补充。
3）入侵检测
入侵检测(IDS)作为一种积极主动地安全防护技术，提供了对内部攻击、外部攻击和误操作的实时保护，在网络系统受到危害之前拦截和响应入侵。入侵检测系统是近年发展起来的一种防范技术，综合采用了统计技术、规则方法、网络通信技术、人工智能、密码学、推理等技术和方法，其作用是监控网络和计算机系统是否出现被入侵或滥用。1987年Derothy Denning首次提出了入侵检测的思想，经过不断发展和完善，作为监控和识别攻击的标准解决方案，IDS系统已经成为安全防御系统的重要组成部分。IDS包括基于网络和基于主机的入侵监测系统、基于特征的和基于非正常的入侵监测系统、实时和非实时的入侵监测系统等。在网络中同时采用基于网络和基于主机的入侵检测系统，则会构架成一套完整立体的主动防御体系。
3.3 管理安全防护策略
网络的使用与维护，数据库系统的安全运行，归根结底都离不开人，所以要时刻加强对操作人员的管理与培训。
4 结束语
随着数据库系统的发展，对数据库系统的攻击方式也在不断改变，数据库系统的安全和维护工作，也应该根据自身需求，跟随技术和管理的发展而合理升级、更新。计算机数据库安全是当前数据库技术研究的重点，加强数据库安全相关技术研究有助于保障计算机数据库的安全性，有助于保证数据库系统中信息的有效性。因此，针对数据库系统运行中不安全因素，应该时刻关注安全技术的发展，对安全防范系统进行必要升级，保障数据库系统运行安全。
参考文献：
一、信息系统审计简介
“审计”一词起源于财务审计，人们比较熟悉的审计是对财务报表或会计账册的监督，好像和信息系统没有必然联系。但随着经济管理和科学技术的不断结合以及日益渗透，现代审计已经远远超出了仅对财务会计进行审查的狭窄范围，不断向管理领域和技术领域渗透。
信息技术的广泛应用使信息系统实际上已经成为企业及社会的中枢，在一定程度上左右着企业的命运。美国、日本等发达国家在信息化过程中率先意识到信息系统审计的必要性并对此进行了研究，目前已得到普及。在我国，虽然也早就提出了“计算机审计”的概念，但这种审计更多的是偏向于“利用计算机进行审计”。实际上我国的信息系统审计工作还处在摸索阶段。
信息系统审计是技术审计的一个典型，它实质上是对计算机软件、硬件及整个信息系统的审计，是指遵照普遍接受的信息系统审计标准和指南对信息系统及其应用的安全性、稳定性和有效性进行监测、评估和控制的过程，以确保预定的业务目标得以实现。
按国际上通行的规范，信息系统审计主要有6个方面的内容：评估信息系统的管理、计划与组织方面的策略、政策、标准、程序和相关实务；评估技术基础设施的管理和运行实践方面的有效性及效率，以确保其充分支持组织的业务目标；评估信息资源在逻辑访问、运行环境与信息技术基础设施的安全性，以确保其满足组织的业务需要，防止信息资产在未经授权的情况下被使用、披露、修改、损坏或丢失；评估系统灾难恢复与保证业务连续性的能力，以确保组织能持续进行业务营运；评估应用系统开发、实施与维护的方式、方法及过程，以确保其满足组织的业务需求；评估业务处理流程的风险管理水平，确保根据组织的业务目标对相应风险实施管理。
二、国税信息系统面临的风险
国税部门作为行政执法部门，信息系统的安全与否直接关系到为纳税人提供服务的质量和效率，社会的和谐与稳定，因此国税信息系统的安全保护显得越来越重要。近年来，以数据省级集中为标志的新一轮国税信息化建设已成效凸显，为国税系统优化纳税服务，加强科学管理提供了广阔的技术平台，直接带来了税收理念的更新，征管机制的创新、管理手段的提高，但在数据由分散到集中的同时，原来分散的风险也随之集中。在这种模式下，虽然安全性事故、灾难的发生频率可能大大降低，但其潜在的风险不容忽视。
1、运行环境方面的风险。数据集中后，通过采用更高端的设备、技术等措施提高了系统的安全系数，故障概率大大低于分散式数据管理模式。但是应清醒地认识到数据集中后，其安全影响的范围也呈几何级数增长，一旦发生故障，可能影响全局。因此，必须建设、保障一流的运行环境，不仅要考虑供电、温湿度、洁净度、抗电磁干扰、火灾等常规因素，还要考虑到地震、洪水等自然灾害的影响。
2、数据备份中心及应急恢复机制方面的风险。电子化程度越高的行业，其对数据完整性和可用性的要求也越高。据美国的有关调查显示，如果公司在灾难过后两个星期内无法完全恢复信息系统的使用，75％的公司业务将会完全停顿，43％的公司将再也无法开业。对于依赖信息系统进行日常运作的国税部门而言，纳税人对于系统停机的可忍受时间甚至不能超过1天，而税收数据的丢失和破坏可能会导致税收秩序的混乱，影响社会的稳定与和谐。
3、软件开发及应用方面的风险。由于我国税收政策变动比较频繁，加之软件开发者水平参差不齐，软件开发的时间较紧，一些税收征管系统往往没有进行缜密的测试，因此有可能存在一定的缺陷和漏洞，让不法之徒有机可乘。
4、网络安全方面的风险。internet的迅猛发展为电子商务、电子政务提供了运作平台，但也带来了许多不安全隐患。各种迹象表明，网上申报、手机申报等信息系统已成为日益猖獗的网络攻击和计算机犯罪活动的主要目标。
三、国税信息系统审计的重点
国税信息化经过多年的建设，已初具规模，各种系统十分复杂、庞大，如对全部信息系统进行审计的话，工作量巨大，且目前信息系统审计的人员缺乏，因此，应先从部分重点系统、重要环节着手进行审计，审计的重点应该考虑以下内容：
（一）运行管理审计
作为一种人机交互系统，信息系统的服务质量和安全是建立在“三分技术，七分管理”的基础之上的，系统运行中的操作管理是否科学、规范直接影响到信息系统的服务质量和安全性。运行管理审计的重点包括：
1、机房管理审计。包括机房、设备间等重要运行环境选址、布局是否合理；是否设置了门禁、监控、气体灭火、防水、防雷、报警等安全设施；机房内部的温度、湿度、洁净度、电磁干扰等技术指标是否合格；机房的进出是否有切实有效的管理制度、是否有防止非正常行为的对策等。
2、操作管理审计。包括是否有详尽的操作规范；是否对系统操作人员进行上岗前培训；操作人员是否严格按规范进行操作；系统的登录代码及密码是否具备一定的安全防护对策、是否按规定更新；是否记录操作日志并保存一定期限；操作人员的交接是否按规定进行；是否及时发现、记录、报告事故及故障；是否及时采取措施排除故障，防止再次发生等。
3、硬件管理审计。包括是否制定并遵守硬件管理规范；硬件的运行环境是否达到相应的技术要求；是否定期对硬件进行检修、维护；对硬件故障的维修对策是否合理；是否有硬件维护日志；检查业务设备送出修理时是否对设备所存业务数据进行删除。
4、软件管理审计。包括是否制定并遵守软件管理规范；软件的拷贝是否有严格的控制措施和技术防范对策；软件的保管和废止是否按机密资料予以保护；是否有完善的软件版本管理规范；对软件源程序的控制是否严格，生产环境与测试环境是否严格分开。
（二）系统开发审计
信息系统的开发审计通常应该包括系统规划审计、系统分析审计、系统设计审计、系统编码审计、系统测试审计和系统试运行审计等部分。当前国税信息系统开发审计的重点包括：
1、预期效益审计。主要包括是否提供了新的服务；是否实现了新的功能；是否提高了纳税服务的质量；是否提高了本单位的工作效率等社会效益方面的评估；是否通过流程整合减少了人员、降低了税收成本。
2、编码及文档管理审计。编码审计主要包括编程语言、编程工具的选择是否合理；是否制定了统一的编程规则；是否对数据的类型、结构、长度作统一的说明；程序逻辑是否清晰、易懂；是否按照结构化的方法进行编程等。文档管理审计主要包括是否制定、遵守文档管理规范并按规范编制文档；文档的数量是否齐全；文档的编制内容是否完整、齐全；文档的质量是否符合要求；文档的版本管理是否严格；是否有文档的保密管理对策等。
3、控制措施审计。包括将业务流程进行整合后，新系统是否重新设置了与之相适应的内部控制措施；是否遵循“职责分离”的原则，对人员的职责权限和变动进行合理的控制；信息系统是否具备一定的识别和防御攻击的能力（如登录控制、加密、拒绝访问等手段）；是否具备一定的自适应能力（如根据攻击方的意图调整控制措施，隔离破坏范围的能力）和恢复能力；是否专门设计了系统审计功能或预留了系统审计接口等。
4、系统测试审计。包括有无完整的系统测试计划；测试案例的编写是否合理、全面；参与测试人员的选择是否符合公正、客观的要求；测试方法是否合理；测试结果是否得到参与人员的认可；测试文档是否齐备等。
5、试运行审计。包括有无切实可行的试运行方案；针对新系统的人员培训是否落实；新系统的运行环境（包括软件、硬件、网络等）是否符合实际运行要求；新系统的实际运行效率、功能是否达到预期设想等。
（三）网络安全审计
网络安全审计的根本目的就是防止通过计算机网络传输的信息被非法占用。网络安全审计应重点针对网络安全管理、网络安全技术、网络安全策略等内容。
1、网络安全管理审计。包括是否建立有效的网络安全防御体系；安全及密码产品是否具有合法性、是否经过国家有关管理部门的认可或认证；是否建立了有关网络安全的规章制度、在实际工作中是否严格执行；是否进行了网络安全教育、安全培训；对网络安全工作是否进行动态管理等。
2、网络安全技术审计。包括是否使用了严格的身份验证技术控制系统用户；是否使用了访问控制技术并配置访问控制策略；是否利用密码技术对数据进行安全加密；与外部单位连接时是否安装了防火墙进行有效隔离以确保安全；是否使用了系统漏洞扫描技术来检测系统的脆弱性；是否使用入侵检测技术对网络系统进行实时监测；是否制定了有效的防病毒策略，如不使用不明来历的软盘、光盘；是否安装了有效的防、杀病毒软件；是否及时更新最新的病毒码以保证防病毒软件的有效性；是否采用网络安全审计措施等。
（四）灾难对策审计
为保证信息系统的正常运行，开发人员在系统设计上已经采取了各种措施来防止信息系统被破坏，但这并不能完全杜绝系统的各种故障和一些不可抗力的灾难，而灾难一旦发生，往往导致信息系统完全瘫痪，造成巨大损失。所以，必须对信息系统的灾难对策进行审计。国税信息系统的灾难对策审计应抓住以下重点：
1、灾难应急对策审计。包括是否事先制定了灾难应急对策；灾难应急对策是否切实可行；灾难应急对策是否定期进行演练；灾难应急对策是否根据实际情况及时调整。
2、数据备份审计。包括是否制定信息系统及数据的备份策略；数据备份策略是否切实可行；数据备份的强度是否足够；数据备份的范围是否全面；数据备份的恢复方法及恢复效果是否经过验证；使用备份数据进行恢复的时间是否可以控制在可以忍受的范围之内；数据备份的存储介质管理是否按要求执行等。
3、设备冗余审计。包括是否为信息系统提供冗余运行环境（灾难备份中心，包括电力、通讯线路等设施）；是否为信息系统的核心设备（生产机）提供冗余设备（备机）；生产机和备机上的信息系统和数据是否同步；生产机和备机之间的切换方案是否可靠并经过验证等。
四、开展信息系统审计需要解决的几个问题
（一）组织问题
虽然，目前部分国内企业已经意识到利用信息系统审计可以有效地管理信息及与信息相关的技术，保障企业信息系统可靠运行，并开始关注信息系统审计，但整个社会对信息系统审计的认识还不够，信息系统审计远未达到普及的程度。国内还没有专门的信息系统（技术）审计机构，在各单位内部目前也没有设置相关的信息系统（技术）审计部门。国税系统目前主要采取各级信息中心进行自查、互查的方式来解决信息系统的安全性问题，往往是就某一专项内容进行检查，带有一定的局限性，且一般情况下检查的深度不够，因此迫切需要具有专门知识和技术的、与系统没有直接关系的信息系统审计专业机构和专职人员介入。
（二）标准化问题
目前，国内开展信息系统审计主要是参考信息系统审计与控制协会isaca（information system audit and control association）这个国际上唯一的信息系统审计师专业组织制定和颁布的信息系统审计标准。该标准是一套以管理为核心、以法律法规为保障、以技术为支撑的框架体系，为实施信息系统审计提供了一套执业规范和操作指南。但由于国内系统集成业发展的不成熟以及客观应用环境的差异、法律法规上不完善等原因，处在起步阶段的国内信息系统审计工作不能完全照搬此标准，必须尽快形成适合国税系统的信息系统审计标准体系。
关键词：信息系统开发；安全策略；网络技术
中图分类号：TP399文献标识码：A文章编号：1007-9599 (2012) 02-0000-02
Analysis of Security Policy of Information Systems Development
Ling Bin1,Wang Donghong1,Chi Yan2
(1.Northeast Forestry University,Harbin150040,China;2. Heilongjiang University of Chinese Medicine,Harbin150040,China)
Abstract:Along with our country to the application of computer network technology and the deepening of information system.has gradually become the planning construction and management process is the most important one of systems.And the system to have strict security requirements. security goal is very clear.Based on the information system to conduct a comprehensive safety management and construction safety plan.can satisfy the management and technology of double security needs.Therefore.how the information system development process of application security strategy.in order to improve the information system for the overall safety performance also gradually become information system developers and builders focus.In this paper,the information system development process of the safety planning and building construction safety management are analyzed.Presents practical information system security strategy.
Keywords:Information system development;Security strategy;Network technology
现阶段，计算机网络技术已经在设计、科研、生产和办公能方面得到了较为广泛的应用，且发挥出了越来越重要的作用。计算机网络技术中，信息系统的广泛应用给人们的工作和生活带来了极大的便利，但与此同时，也对其保密性和安全性提出了较大的挑战，如何提高信息系统的安全性也成为了信息系统开发者工作的重点。在信息系统的规划建设过程中，建设前的安全规划与实施后持续、完善的安全管理都是提高信息系统安全性较为有效的措施。
一、信息系统的建设安全规划
信息系统中的建设安全规划应主要体现在数据安全、运行安全、系统安全和物理安全这四个方面。
第一，数据安全，即在信息系统使用过程中，尤其是传输数据时，要通过适当的密码措施来对数据的安全性进行保护，防止数据泄露问题发生。在数据加密后，即使数据在传输过程中被截获或是入侵，由于截获的是密文，所获信息也是无效的。
第二，运行安全。要恰当处理信息系统应用所面对的安全问题，在系统开发时应采取病毒防护、身份鉴别、安全审计、漏洞扫描、入侵检测、防火墙等保护措施。防火墙能够在网络的出口部位对网络通讯的安全性进行检查，按照安全规则的要求，信息系统不仅要确保内部的安全性，还要保证系统外部的安全性，将网络的外部与内部相隔离，从而提高整个系统的安全性。通过设置与防火墙相关联的病毒入侵检测系统，能够对信息数据进行实时保护，对进出系统的数据都要进行实时分析，及时发现并阻断外界的攻击，从而降低网络隐患。漏洞扫描系统能够对口令/账号、服务器主机、网络系统等存在的威胁、漏洞和安全隐患进行扫描和报告，并及时地采取主动的安全措施和补救行动，从而提高系统安全性。安全审计系统能够对使用信息系统的所有用户的活动进行监控和数据收集，供系统管理者审查用，从而提高系统的管理效率。身份鉴别系统是安全系统的关键部分，能够对用户是否合法进行主动的判断，且口令与智能卡相结合的鉴别方法能够大大提高系统安全性，也便于应用。为应对计算机病毒问题，信息系统还应设计病毒防护措施，实时监控病毒的攻击和入侵情况，对整个系统进行全面的监控，但要注意在使用时要及时更新病毒信息，定时对计算机运行环境进行检测。
第三，系统安全，主要包括应用系统与操作系统的安全性。在选择应用系统时，要对定制软件和通用软件都进行风险检测，及时发现和处理系统中存在的问题和安全隐患。而对于操作系统，则要选用具有较高安全性的系统，同时进行必要的安全设置。
第四，物理安全，这一部分是保证整个系统安全性的基础，因而要符合国家的相关规定。首先该系统要满足防静电、防雷、温湿度、配电、布线、电力、防震、防水、防火、场地等的要求。其次，要保证整个系统能够安全使用，且符合国家相关标准。最后，还要保证该系统所使用的安全设施，必须是符合国家标准的设备，并具有国家保密部门的审批合格证明。
二、系统的安全管理
安全的系统管理能够为信息系统的安全有效运行提供保障，也是系统安全运行的基础，要提高信息系统的安全性，保障其顺利稳健的运行，在管理和设计方面应做到以下几点：
（一）人员管理
人员管理主要涉及外部人员的管理和内部人员的管理两个部分，系统内部的操作使用者和管理者是造成信息系统安全隐患的关键因素，因此，在选择内部管理人员时，必须要对其职业道德、政治思想状况、社会关系、个人经历等进行核查，保证系统人员的可靠性和安全性。同时，还要使其明确工作职责，在进行系统操作时按照职责要求进行。除此之外，还要对系统操作者和使用者的安全知识和安全意识进行培训，如退出和登录等基本操作的规范化和保密意识的培养等。对于系统管理者来说，其所掌握的安全知识和相应的安全管理水平要更加完善，包括对于违法入侵的防范和鉴别能力、系统的管理和维护能力等。外部人员指能够进入该系统进行服务和维修的人员，对于这部分人员的管理包括旁站陪同控制、携带物品限制、安全控制区域隔离、保密要求知会等几方面。
（二）安全管理制度的制定
系统安全策略和安全管理制度的制定能够提高系统运行的可靠性和安全性。安全管理制度主要包括：人员安全管理、应急响应措施、安全审计管理、开发与运行管理、恢复与备份管理、恶意代码防护措施、病毒防护措施、移动设备管理措施和运行环境管理措施等。系统安全策略主要包括：应急响应策略、保护信息完整性策略、系统安全管理策略、系统安全检测策略、运行管理策略、身份鉴别策略、恶意代码防护策略、病毒防护策略、恢复与备份策略和安全审计策略等。
（三）设置安全管理机构
安全管理机构的设置目的主要在于：第一，对信息系统的保密性和安全性进行定期的检测和提升。第二，安全保密措施的制定和实施管理。第三，制定和实施信息系统的安全策略和保密管理制度，主要包括管理策略和技术策略两部分。
三、总结
综上所述，信息系统通常主要由网络通信、共享服务和应用操作三个基本部分组成，全过程的网络通信保护系统、资源共享的边界保护和可靠的操作应用平台，三方面共同组成了具有固定工作和使用流程的生产和信息管理系统，能为信息的安全性提供充分的保障。在今后的信息系统开发中，还可在检测引擎中适当加入检测隐通道，从而避免信息生产系统存在隐蔽通道的问题，这也是今后信息系统开发工作的重点内容。
参考文献：
[1]闫树.信息系统的安全策略及若干技术研究[D].武汉理工大学硕士学位论文,2009
[2]薛丽.综合信息管理系统中的安全策略及其应用研究[D].大连理工大学硕士学位论文,2008
从安全技术架构来说，网站群的安全问题主要在于网络层、操作系统、数据库的安全。高职院校一般都具备独立的数据中心。以浙江医药高等专科学校为例，目前已建有MIS+S(基本信息安全保障)系统架构，随着硬件驱动已转变为应用驱动，网络信息基础设施和服务都有了大幅度的提升，能够从物理安全、网络安全、系统安全、应用安全四个环节，打造网站群安全防范技术体系，实现动态防御、主机安全、备份和恢复、安全审计、安全测试配置、安全监控，应用分析等目标。
1．1动态防御
网站群安全防范技术体系以往，我们通常利用防火墙、双核心网络设备以及DMZ区来实现应用防护，防范恶意攻击和病毒入侵的能力有限。在网络安全问题日趋严重和复杂的情况下，需要加固原有的网络拓扑结构，增加应用防护系统、统一防恶意代码软件、网络管理系统，与防火墙一起建立动态防御体系。只有为网站群和服务建立访问控制体系，才能将绝大多数攻击阻止在到达攻击目标之前，或攻击者在突破第一道防线后，延缓或阻断其到达攻击目标，最终提升网站群系统的物理安全、网络安全和应用安全。我们将网站群系统所在区域从原DMZ区划分出来，与其他Web应用一起规划为安全级别较高的WebServer服务区域。同时，在该区域部署统一恶意代码防范管理系统，建立安全的病毒防护措施。在核心交换和WebServer服务区域间，通过串联部署方式，增加一台WAF(应用防护系统)，起到防护Web应用、漏洞检测作用，确保网站群在内的Web应用完整性。同时，开启硬件防火墙上的网站防篡改、IPS功能、日志功能，建立攻击监控体系，实时检测出绝大多数攻击，并采取相应的行动(如断开网络连接、记录攻击过程、跟踪攻击源，等)。网站群系统管理员在统一恶意代码防范管理平台上，对网站群主机进行远程控制。包括:远程启动或停止实时监控、手动扫描、实时更新、功能组件配置、设定分组任务或策略，等，以有效阻隔外来病毒入侵及内部病毒清除，有效保障系统安全。众所周知，网络攻击也可以来自于局域网内部，如内网DoS攻击、ARP等病毒攻击。对于内网攻击的防范，通常采取的应对方法有:为内网终端安装病毒防护软件、加强用户病毒查杀意识，在网络设备上划分VLAN进行逻辑隔离、设置ACL访问控制。现阶段，我们还启用硬件防火墙上的IPS、DDoS/DoS内网防护、病毒防御策略等功能来加强防范。同时，利用上网行为管理设备，对内网终端实施安全检查、网络准入控制、行为审计、危险流量封堵、木马病毒查杀等安全防护措施，针对内网攻击事件查看分析用户行为记录并定位，并且依据学校相关规章制度进行处置处理(如《校园网用户守则》、《校园网联网安全保护管理办法》、《校园网系统安全管理制度》，等)，提高局域网内部的综合防范能力，减少内网攻击事件的发生。
1．2主机安全
主机安全是网站群系统安全的保障。可以采用双机热备的方式来解决主机冗余问题。但是，由于网站群系统应用的重要性和网络安全的复杂性，为提高主机安全能力，还需要构建主机集群环境，以保障网站群系统的持续运行。目前，高职院校为提高数据中心的利用率和采购运行成本，通常会采用服务器虚拟化软件规划虚拟数据中心。在该环境中，统一存储设备部署在后端，为物理服务器(虚拟主机)提供空间资源，并为前端虚拟机提供数据存储资源;数台高性能服务器作为虚拟主机，随时划分前端虚拟机，并提供虚拟机所需的CPU、内存资源、存储器访问权和网络连接能力，满足各项应用的服务器需求。采用虚拟机(VM)部署网站群双机热备，在降低采购成本的同时，提高了网站群主机的灵活性、冗余保障和容灾迁移能力，保障网站群主机操作系统的安全需求。为了减少网站群所在虚拟主机(物理服务器)的单点故障，实现网站群系统的不间断运行，我们利用vSphere集群功能，在虚拟数据中心内，配置HA(highavailability)高可用集群(如图4所示)。HA允许一个集群中在资源许可的情况下，将一台出现故障的虚拟主机上面的网站群虚拟机切换到集群中另一台虚拟主机上运行(如192．168．0．116和192．168．0．118)。应用业务时间间断由VM系统启动时间、应用启动时间、心跳检测时间构成。
1．3备份和恢复
数据资料是整个网站群系统运作的核心，建立良好的备份和恢复机制，可以在应用系统遭受攻击时，尽快地恢复数据和系统服务。以往，为降低备份容灾成本，会采用纯软件模式，通过编辑脚本文件，连接两台热备服务器，将数据实时复制到另一台服务器上，如果一台服务器出现故障，可以及时切换到另一台服务器，避免了磁盘阵列的单点故障。在网络安全的新形势下，为实现应用数据及业务存储系统的完整性和可靠性，我们在网络拓朴的DMZ区域，接入存储备份一体机(浙江医药高等专科学校采用SymantecBE3600)，构建高可用性的存储备份环境。利用其存储空间及备份管理系统，实现有效的异地备份，为网站群的容灾备份提供了进一步的安全保障。通过制定备份策略，选择合适的备份频率，采用完全备份、增量备份、差分备份或按需备份的组合方式，确保及时恢复失败的网站群虚拟机，快速恢复丢失的应用程序服务，全面提升网站群的数据安全及备份恢复能力，避免在各种极端情况下造成的重大损失和恶劣影响。
1．4安全审计
网站群要达到可控性与可审查性，就必须对站点的访问活动进行多层次的记录。安全审计是网站群主机安全和应用安全中的重要环节，审计范围要覆盖到主机上的每个操作系统用户和数据库用户，审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等安全相关事件，及时发现非法入侵行为。以旁路方式部署了一台审计设备，并接入核心交换。审计设备通过对交换机的镜像口进行旁路监听。网站群系统管理员可通过B/S方式使用日志管理综合审计系统，从网络运行维护、数据库安全及系统安全审计等方面，采集所有网站群的数据库访问行为记录，收集客观、实时的分析数据。一旦发生网站群网络信息安全事件，系统管理员可根据网站群用户对数据库系统的所有操作信息，进行准确快速定位，并排除安全隐患。此外，为确保安全审计，还应要求网站群开发人员去除或隐藏程序中的删除日志功能。
1．5安全测试与配置
由于网络安全不是绝对的，因此，在建立技术防范体系后，我们按照《信息安全技术信息系统安全等级保护基本要求》中的第二级基本要求，对网站群的操作系统、数据库和应用系统进行集成测试和配置。主要包括身份鉴别、访问控制、入侵防范、资源控制、数据完整性和保密性，从而确保信息和管理安全。我们采用Centos和Oracle来构建网站群的操作系统和数据库环境，相关配置如下:
1．5．1身份鉴别良好的身份认证体系可防止攻击者假冒合法用户。为此，须对登录操作系统、数据库系统、网站群的用户进行身份标识和鉴别，操作系统和数据库系统管理用户身份标识应具有不易冒用的特点，并确保用户名具有惟一性。因此，我们做了相关配置:编辑操作系统文件etc/login．defs文件，应达到密码定期更换要求。如:PASS_MAX_DAYS90#新建用户的密码最长使用天数PASS_MIN_DAYS0#新建用户的密码最短使用天数PASS_WARN_AGE7#新建用户的密码到期提前提醒天数PASS_MIN_LEN6#最小密码长度6编辑操作系统文件/etc/pam．d/system-auth文件，应达到密码复杂度要求，如:passwordrequisitepam_cracklib．sominlen=6dcr-edit=2ocredit=2#限制密码最小长度6位和至少包含2数字、至少包含2个特殊字符数编辑操作系统文件etc/pam．d/system-auth文件，采取结束会话、限制非法登录次数和自动退出等措施，实现登录失败处理功能。如:authrequiredpam_tally．soonerr=faildeny=6un-lock_time=300#设置密码连续错误6次锁定，锁定时间300s。对于数据库的身份鉴别，我们通过配置Oracle公司提供的验证密码复杂度的函数来实现。对于网站群系统，后台管理用户密码复杂度设置高级别，对密码的长度、大小写、特殊字符都方面都要做要求，同时设置口令有效期。
1．5．2访问控制访问控制更侧重于管理层面，要求操作系统和数据库管理帐号和实际操作都必须为不同人员。我们制定相关岗位职责文件，实现权限分离，责任分离。如:依据安全策略控制用户对资源的访问;实现操作系统和数据库系统用户权限期的分离;限制默认帐户的访问权限，重命名系统默认帐户，修改帐户的默认口令;应及时删除多余的、过期的帐户，避免共享帐户的存在。此外，我们对网站群的角色权限进行细分，做到权限相互制约。如超级管理员具有所有功能的操作权限，二级网站管理员只能具有自己站点的操作权限，审计员只能查看安全日志。
1．5．3入侵防范做好入侵防范措施。在操作系统方面，我们遵循最小安装的原则，仅安装需要的组件和应用程序，使得端口和服务实现最小化;通过对安全漏洞的周期检查，设置升级服务器等方式保持系统补丁及时得到更新，从而使绝大多数攻击无效。
1．5．4资源控制系统资源控制主要指终端接入的方式、IP地址范围及登录次数限制。我们做了相关配置。
2网站群安全防范措施
单纯期望某一个安全技术或体系架构就能够全面消除或解决网络安全威胁和风险的想法是不现实的。高职院校网站安全问题突出，还归结于学校对网站安全不重视，网站信息保护意识差，网站日常维护缺失，等。我们只能通过大量实践，在网络安全实战对抗中不断完善，明确责任和义务，建立管理制度和安全制度。管理是网络安全的重要部分，在对网站群部署进行有效的安全风险(安全威胁)识别和评估后，我们还围绕技术层面、组织层面、管理层面、服务层面，完善网站群安全防范措施。建立学校、部门两级运行维护的组织体系，按集中建站、分级管理、制度约束、服务保障的原则，通过统一策划、统一标准、统一资源、统一平台来实现集中建站。按照国家有关规章制度和安全办法(策略)，形成制度约束机制，确保网站群在高效、安全、有序的体系下运作。理顺管理体制与职责，构建主站和子站间的垂直管理体系，制定网站群管理办法、建立网站群管理和信息员制度、制定安全规范及操作手册、建立内容管理与审核制度、明确各网站内容管理与运行管理岗位职责、规范工作流程、完善信息等环节，全面做好网站群安全管理工作。通过提升服务管理水平，构建健全的网站群服务体系。我们参考ISO/IEC20000-1采用的PDCA方法论，从规划(P)、实施(D)、检查(C)、改进(A)四个方面着手，根据学校技术、政策和资源等实际环境，加强安全服务管理，确保网站群服务水平。并参考信息安全服务体系，从安全评估服务、安全修复服务、安全保障服务、安全信息服务、安全培训服务、数据恢复服务、产品集成服务八个方面，加强安全服务。
3网站群保障体系构建效果
因为经济的飞速发展，电力事业发展水平也随之稳步提升。其中电力的变电运行对整个电力系统的运行有着至关重要的作用，在实际运行中，为了确保运行的效率和安全性，需要对信息管理技术方面加以重视，以促进电力系统发展。本文对其在电力变电运行中的应用进行了简要的分析。
关键字：
信息管理技术；变电运行；应用
0引言
安全性对于变电运行来说是非常重要的。目前电力系统的安全管理已由物理方面转向网络方面，目的就是防止互联网所带来的一些侵害，消除网络因素所造成的安全隐患。信息管理技术是在计算机技术的基础上发展而来的一种管理方式，应用范围颇广，为了保证变电系统的更好运行，就要有效地利用信息管理技术。
1信息管理技术与电力信息化简述
随着科学技术的不断进步和企业管理者经验的积累，电力企业开发了多种关于电压管理及有效运行的相关系统，促使生产管理效率的提升，并确保变电运行的安全性，信息管理技术已在变电运行中得到了广泛应用。通过信息管理技术，能解决组织环境问题，提高信息利用率，以实现信息价值最大化，而这一技术的主要目标就是使信息价值实现最大化。现代的电力企业需要建设具有科学性的电力系统，因而需要建立信息化系统来达到这一目标。电力信息化的建设目标是不但使电力系统科学性更强，而且实用性、安全性也因此增加。不管是在电能的生产还是传输，这一过程的完成都是瞬间的，由于电能的连续性特点，若在其中的任何一个环节出现终端现象，都会影响整个供电系统。为保证电力系统的正常运行，需要相关的指令来调动各环节在瞬间作出反应，并对相关环节进行掌控，保证数据信息能够及时得到处理，为实现电力信息化这一过程，需要应用信息管理技术。
2信息管理技术存在优势
2.1实用性较强
对于在变电运行中出现的一些问题，能够解决二次部分相关数据源的使用和共享，对于变电技术人员而言，意义重大，可以有效地利用数据进行统计分析工作，使电力系统更好地运行。
2.2可靠性较高
升级维护工作简单易行，因为采用的是数据库及方法库来进行信息管理，整个运行系统的可靠性不是分别在各级用户中，而是相对集中在网络中心的数据库和规则库，如果实际工作中出现意外情况，也不会对整个电力系统的运行带来严重的影响，而且能够轻易恢复。那么软件开发人员的工作就是对方法库进行更新换代，而且方便快捷。
2.3具有开放性和先进性
先进的数据仓库技术使得数据有极其广泛的来源，使用起来相对便捷，利于与MIS系统的接口，并且结合了互联网模式，应用前景非常广阔。
3变电运行中采用的安全策略
3.1设备安全策略
设备的安全对于信息网络的安全至关重要，攻击者主要通过控制网络相关设备对系统进行攻击破坏，只有保证所以环节都安全，才能保证整个系统的安全。可以把某些相对重要的设备，比如主机及路由器等尽可能做到集中管理，一些相关的通信线路尽可能将其深埋、架空或穿线，并作上明显的标记，以防意外损坏。对于一些终端设备（小型交换机、工作站或其他转换设备等）要由相关人员进行严格管理。
3.2安全技术策略
（1）防火墙技术。在信息系统安全性方面，防火墙一直处于第一位。防火墙技术相当于一个屏障，将非信任网络与信任网络进行隔离，适当隔离嫩能够减小系统被破坏攻击的风险，可以很好地保护系统，入侵者要穿过防火墙这道安全防线，才可攻击目标计算机。电力企业可对防火墙设置相应的保护级别，级别高的保护有可能禁止视频流等服务，可以根据企业自身需要而设置。防火墙技术是信息管理技术的一个方案，将公共数据及相关服务隔离在外，限制了对内部数据资源的访问，保证变电运行安全[1]。（2）病毒防护技术。为了避免系统遭到计算机病毒的破坏和传染，需要在各个环节采取相应的技术手段来预防，是通过对病毒规则作分类处理，在以后程序运作过程中，若是出现类似规则即可视为病毒。在计算机病毒的预防和检测等方面统一管理，并不断进行病毒库的更新升级，以更准确识别病毒文件并及时清除，从而保障系统的安全。（3）数据与系统备份技术。电力相关企业的数据库要进行定期备份，依据重要程度的不同，确定数据的备份等级及备份策略，建立专门的备份中心，应用先进的数据恢复技术，对一些关键业务的数据及系统实行备份，并制定相应的应用数据备份及故障时数据库恢复方案，且要定期预演，以保证在意外发生时能快速恢复系统及数据，保证系统的可靠性和实用性[2]。（4）安全审计技术。安全审计技术可以自动评估用户的合法性，对于一些非法访问或者攻击能够做到及时发现并处理，中止其操作。大部分多用户操作系统或一些正规软件都具有日志功能，可以用来检查用户登录、统计流量、调试软件等。通过集中智能的安全审计系统，能自动对多种日志进行集中审计，查找错误发生的原因，及时弥补性能上的不足并加以强化和改进。
3.3组织管理策略
（1）安全意识与技能。通过培训相关的安全知识，能够强化企业员工的安全意识，使其具备基本的安全防范意识及处理一些常见的安全问题的技能，再充分利用其他安全技术或产品，将其有效结合，促使信息安全防护工作效率得到提升。（2）安全制度及策略。电力企业可以根据自身发展需要制定系列政策方针，且要具有统一性和指导性，以指导企业的信息管理工作。信息的安全需要一个合理的衡量标准，才利于形成一套安全防护体系。（3）安全组织与岗位。以确保企业信息的安全为根本目的，应设立相关安全部门对企业信息进行管理和维护。安全岗位是负责安全事宜的职位，由信息系统的安全管理部门根据需要而设定，因此在企业内部就可以形成良好的信息安全管理的专项工作，促进其他技术部门的配合，使各岗位工作高效有序地进行[3]。
4总结
在变电运行中合理运用信息管理技术，可以保障电力系统的可靠性，并提高运行效率及稳定性，对于变电运行有重要的辅助作用，还应对可能出现的不足加以完善和研究，为变电运行的发展奠定基础。
参考文献：
[1]范慧青,魏艳玲.试论电力工程变电运行的安全技术及管理[J].中国新技术新产品,2015(01):185.
[2]陈娟.电力系统变电运行中的信息管理技术分析[J].数字技术与应用,2015(08):198.
1 引言
新时期，结合信息安全技能培训现状，构建完善的教学体系，明确技能培训目标，完善教学管理体制，改进人才考核方式，加强质量保障建设，有利于提高信息安全人才培养的规范化、科学化和标准化，提高信息安全人才队伍整体质量和水平，对保障国家信息安全都有着非常重要的现实意义。
2 信息安全技能培训的现状分析
信息安全人才培养对社会发展意义重大，它不仅是企业正常运营与发展的根本前提，而且是国家信息安全保障体系构建的先决条件。但就现状来讲，我国信息安全人才技能培训还存在着认识度不高和人才短缺的问题，严重制约了我国信息安全的现代化建设步伐。
信息化时代。企业的业务和管理已经离不开互联网，这也决定了信息安全对企业生存与发展的重要性。据调查，有九成以上的企业完全或高度以来互联网开展业务，企业安全问题十分常见，大到企业商业机密，小到个人隐私信息。但即便如此，大部分企业决策者依然没有充分意识到信息安全保障的重要性，错误地认为一个杀毒软件、一道防火墙、一个IT部门，就可以完全解除这种风险存在。可以说，信息化时代企业的“生产”安全指标通常是个未知数。
此外，信息安全人才短缺是当前普遍存在的一个问题。当企业逐步意识到信息安全保障重要性，并开始着手进行体系构建的时候。却“意外”地发现信息安全人才是异常短缺。保障信息系统的安全，人才始终是根本，信息安全人才培养是为适应信息化时展的现实要求，是一种时代催生的全新职业导向。当前，全球各国都急需业务能力过硬、综合素养较高的信息安全人才。拿美国来讲，信息安全人才供需比为1：4，而我国在这方面的人才缺口更是惊人。据最新的权威数据调查显示，2015年我国网络安全人才缺口高达上百万。截止2014年，我国高校设有信息安全专业的才仅仅103所，而硕士点和博士点更是少得可怜，总人数不到50个，而每年我国信息安全专业毕业的人才数量不足1万人。由此可见，人才供需存在着严重失衡。
但是，人才需求与人才数量是不能划等号的，信息安全教育因其专业独特性，企业在信息安全人才的引进方面也存在许多问题：信息安全人才技能培训体系不健全，人才引进机制不合理，高校教育重理论轻实践，安全人员大部分都是“纸上谈兵”等。可以说，面对社会认识度不足和信息安全人才短缺等问题，信息安全人才培训体系的构建已迫在眉睫。
3 信息安全技能培训的体系构建
3.1 教学内容体系构建
信息安全培训教学体系的构建，主要包括基本概念、操作系统安全、防火墙技术、应用密码技术、入侵检测技术、网络服务安全技能、病毒分析与防御和安全审计等方面，这是结合信息安全专业特征，在充分教学目标的基础上所确定的内容，具有非常强的适用性。
首先，合理选择培训教学内容。通过对信息安全职业的全面分析，并基于信息安全的职业导向，明确各个工作环节的任务。然后针对具体任务确定相应的教学内容，包括病毒特点与机制、安全数据库设计、扫描软件的使用、安全审计的基本概念、Web应用服务等。
其次。合理安排培训教学内容。结合不同行业对安全信息保障的不同要求，构建灵活、开放、多元的教学模块，并将其分为前导性模块和独立性教学模块，前者主要是信息安全的基本概念和法律法规，后者则主要上述所讲的不同工作环节所涉及的教学点。这些教学点的课时与顺序是由教师自行安排的，以更为全面的满足不同行业领域的个性需求。
3.2 教学管理体系构建
信息安全技能培训的管理体系，主要包括组织结构的管理和档案信息的管理。一方面，信息安全人才技能培训组织要在统一规划、分级实施的原则指导下，按照国家相关部门的部署和计划有步骤地开展相关培训工作。此外，要成立培训工作指导委员会，对安全信息人才技能培训进行质量管理，以确保其高效、规范、合理地开展。各级信息安全人才技能培训机构要负责组织和知道相关工作的开展;行业主管部门则负责制定培训标准、发展计划，指导运营使用单位相关工作的顺利开展，以确保上级政策的全面贯彻与执行;而信息系统运营使用单位则负责具体的培训工作，确保信息安全人才按计划参加具体培训活动，同时保证经费投入。
另一方面，要构建完善的培训档案管理机制。做好信息安全技能培训的档案管理，不仅是技能培训规范化开展的有力保障，而且是对培训教育重视程度的具体体现，也是后续教学经验总结和管理策略调整的重要依据。具体地说，档案管理主要包括培训规章制度资料管理、培训理论教材管理、培训教学计划管理、培训考核管理、培训辅助资料管理等。在培训档案管理过程中，要注重对相关档案的搜集、整理、保存，并成立专门的资料库，以便后续的开发与利用。
3.3 教学评价体系构建
信息安全培训既要强调理论教学，又要做好实训教学，所以其评价方式也分为两部分，即理论知识考核和实践操作考核，两者所占比应为4：6。理论知识考核主要是基本知识点掌握程度的考核，并结合重难点进行考核权重的合理分配，如操作系统安全和网络应用技术都是需要熟练掌握的内容，因此其考核权重各占6%，数据库安全、入侵检测技术和安全审计技术是需要掌握的内容，其考核权重可设为5%，信息安全的基本概念、基本法规和密码技术是需要理解的内容，其考核权重可设为2%，而剩下知识点则可酌情分配。这样一来，就构建了层次分明、灵活性强的评价体系，有利于帮助信息安全人员理解信息安全的内涵，提高培训教学的针对性和实效性。
3.4 教学保障体系构建
信息安全技能培训教学的保障体系构建，主要是指培训的质量监督和评估体系构建。培训的质量监督主要包括，对各类人员培训考核情况的监督、对计划实施情况的监督、对档案管理情况的监督、对技能培训机构的监督、对技能培训制度制定和落实的监督等。而培训的质量评估。就是在公正公平的原则指导下，结合相关制度标准和发了法规，合理制定质量评估标准。信息安全技能培训教学的质量评估，是一种对培训效果的综合性评估，可通过直接评估、间接评估和现场评估等形式，对参训人员的行为态度、学习效果、实际改进等方面展开动态评估。可以说，完善的教学保障体系很大程度上决定着信息安全技能培训能否达到预期效果。
4 结束语
为推进国家信息安全保障建设的深入开展，也为提高信息安全从业人员的整体水平，以及降低信息安全事件的发生率。
本文初步构建了信息安全技能培训的教学体系，希望能够为信息安全保障建设提供实际帮助。信息安全技能培训是一项复杂的工程，还有很长的一段路要走，我们必须加强创新，不断探索，以促进信息安全教育的可持续发展。
信息化不仅促进当今世界的发展，也推动着经济社会各领域的变革。大力推进信息化，是覆盖我国现代化建设全局的战略举措，是贯彻落实科学发展观、全面建设小康社会、构建社会主义和谐社会和建设创新型国家的迫切需要和必然选择。科研信息化（e-Science）的概念首先由英国提出，是要对普遍意义上的科研工作进行信息化提高，其研发和应用涉及到所有学科的各个领域。发达国家经过长期发展基本完成了科研信息化的基础设施建设，如美国的cyber-infrastructure以及欧盟的e-infrastructure。由此可见，科研信息化是我国在信息化时代背景下进行科研活动的必然方向。我国科研信息化虽然起步较晚，水平较低，但是发展迅速。科研信息化高速发展的过程中，信息安全问题也日益突出。由于信息技术是科研信息化的基础，随着二者的联系愈发紧密，对信息与网络技术的安全要求也越来越高。
二、信息安全“信息安全”概念的出现与发展经历了漫长的过程
虽然世界各国早已开始实践信息安全的相关活动，然而一直到上世纪四十年代学术界才开始出现“通信保密”的概念。上世纪五十年代，“信息安全”等用词才开始进入相关的科技文献。国际信息系统安全认证组织（InternationalInformationSystemsSecurityConsor-tium）将信息安全划分为十大领域，包括物理安全、商务连续和灾害重建计划、安全结构和模式、应用和系统开发、通信和网络安全、访问控制领域、密码学领域、安全管理实践、操作安全、法律侦察和道德规划。由此可知，信息安全所包含的领域十分广泛。“通信与网络安全”的内容开始逐渐与各类物理安全的内容一样得到同等重视。21世纪以来，“信息安全”出现的频率不断增加，使用的范围和领域也不断扩大，并且进入了各个国家、地区的各类组织机构的政策法规之中，受到人们越来越多的关注与重视。本文中所涉及的信息安全主要限制于高校科研项目管理过程中的“信息空间、信息载体和信息资源不受来自内外各种形式的危险、威胁、侵害和误导。”高校科研管理系统包括其硬件、软件、数据。保障高校科研信息安全就是保障其软硬件不受非法侵害、破坏，其数据不受非法更改、泄露，系统及其服务维持正常运行不中断。
三、高校科研项目管理的信息安全需求
高校科研项目管理信息安全问题较为突出。首先，这是由高校科研活动自身特点所决定的。高校作为我国科研力量最为集中的单位，同时也是集科研、教学为一体的单位，其公开性与保密性并存。第一，办学的公开性导致人员的流动性，交流与引进人才的同时也造成信息的流动；此外，学生也具有较大的流动性，包括学生参与不同教师的科研项目，出国交流学习、毕业、就业等，增加保密信息泄露的风险。第二，科研项目本身具有公开性，科研项目产生成果时需要进行及时的应用和转化。由此可知，科研项目从产生到应用的过程就是一个信息传递、交流与共享的过程。其次，从高校科研项目管理过程角度出发，主要分为科研项目立项管理、项目实施管理、项目验收管理三个阶段。其中科研项目立项管理又包括项目建议书、项目可行性论证、签订项目合同等内容；项目实施管理包括科研项目计划、项目跟踪管理、项目中期评估等；项目验收管理包括合同考核指标、项目组织与管理、项目绩效管理等。科研项目管理的这些环节在高校中大部分已实现系统化、信息化、网络化管理。由此可知，高校的科研管理部门在进行科研项目管理的过程中有以下三个方面的安全需求。
第一，科研项目保密性的安全需求。
由于高校人员的流动性、频繁的交流活动以及科研活动本身具有一定的公开性，对项目的保密工作提出了更高的要求。一是出于对涉及国家安全与经济安全的科研项目的保护；二是出于对知识产权的保护，因此如何加强项目保密性与保密范围的管理至关重要。
第二，管理人员的信息安全需求。
据统计，在所有计算机安全事件中，人为因素造成的约占52％，而组织内部人员作案占10％，由外部不法人员的攻击造成的安全事件仅有3％左右。可见，项目管理人员自身的安全意识淡薄，安全素质较低，有可能导致科研项目管理过程出现安全事故，例如保密信息外泄，访问不受控制，系统崩溃后无法修复，甚至导致科研活动停滞。
第三，新技术的发展对信息安全提出了更高要求。
目前信息技术发展突飞猛进，已进入云计算、大数据、移动互联等广泛应用的新阶段。滞后的信息技术，脆弱的信息网络注定无法在利用信息技术破坏基础网络，攻击网络节点等不法行为日益猖獗的今天得以生存。然而，在及时应用如超级计算机及其网格技术、云服务等新技术的同时，科研项目管理同样会面临一系列新的问题，例如使用第三方云服务商所提供的产品，进行海量数据获取、分析、处理的过程中所存在的安全隐患等。
四、高校科研项目管理信息安全实施策略
通过分析高校科研项目管理的特点及其对信息安全方面的需求可知，高校科研项目信息安全管理是一项复杂的系统工程。本文从管理、人员、技术、审计四个角度为保障高校科研项目管理的信息安全提供策略。
1.管理。
基于信息安全的科研项目管理工作，也是高校信息化建设的一部分。为打破“信息孤岛”的局面，应将科研项目信息安全管理纳入到高校信息化的整体规划中去。从体制机制的角度出发，应重点关注信息安全管理制度的建立和健全以及信息安全管理组织或人员的设立。高校科研项目的信息安全管理制度应通过相应规章制度的制定，实现项目过程管理、人员管理、组织管理、风险管理等。同时，高校科研管理部门还应设立专门的信息安全管理组织或人员，负责对信息进行及时、全面、准确的甄别、筛选、收集、掌握、保管、分析、运用。
2.人员。
科研项目信心安全管理活动中存在着一般行政管理人员以及专业信息技术人员。提升这两类人员的信息安全素养的方式方法既有相同点，也有不同点。相同点在于都需要对其进行充分的信息安全知识教育与培训，可采用多种形式的舆论宣传，岗前培训与在职培训、商业培训与公益培训相结合的方式。同时，可将员工的信息安全教育培训纳入到个人绩效考核体系中去。不同点在于对一般行政管理人员应加强其信息技术基本知识、实践技能方面的教育与培训，对专业信息技术人员应加强法律法规，规章制度方面的知识普及。
3.技术。
如何掌握和运用较为先进和成熟的计算机信息技术，是保障科研项目管理过程中信息安全的重要支撑和基础保障条件。目前在较为广泛使用的项目管理信息技术包括科研管理系统（MIS）、决策支持系统（DSS）、办公自动化（OAS/OA）;信息安全管理技术包括防火墙技术、VPN技术、入侵检测系统（IDS）、入侵防御系统（IPS）、安全服务器等。选择适合于高校科研管理部门的信息安全技术，需要综合评估成本与安全风险，同时需要保证优先和重点，优化信息安全资源配置。此外，还应对已有的信息安全软、硬件不断进行优化、升级，引进和应用国际先进技术，拥有和掌握自己的核心技术。
4.审计。
信息安全审计是对高校科研项目管理过程中的风险进行评估以及提出应对措施的系统过程。在选择了合适的信息安全技术，建立了信息安全保障体系之后，这并不意味着信息安全管理工作已经结束。它是一个需要不断完善的长期过程。信息安全审计包括对人员身份与访问审计、网络访问控制审计、入侵防御审计、漏洞管理审计。首先，应对访问信息系统的人员身份进行核准，并依据信息保密层级对准入人员进行分级；其次，应使用可以对访问者以及系统安全性进行检查的网络访问控制审计；最后，应对网络入侵及系统防御情况进行审计监控，以便于发现系统、管理的漏洞，并对风险进行分析和处理。
五、结语
摘 要 企业信息化程度发展到一定水平，从防火墙、入侵检测等安全硬件到文档防泄密、行为管理等安全软件，技术上都比较成熟且大部分企业都已实施部分安全项目。但实施安全项目之后并不是高枕无忧，管理是否到位及企业员工安全意识成为企业信息安全的短板，如何从管理角度提高企业的信息安全水平，已成为一个重要的课题。
关键词 信息安全；管理；意识
中图分类号TP39 文献标识码A 文章编号 1674-6708（2012）70-0171-02
从安全软硬件出发，大多安全实施厂家已有较成熟的方案，一旦项目实施完成后，企业往往容易忽略人员意识、IT审计、后续管理等因素对信息安全的影响。本文就如何解决企业信息安全短板，从管理角度进行探讨。
1 管理安全的含义和IT审计的特点
从大的方面来说，信息安全是指信息网络的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，信息服务不中断。直接反映到企业来说，就是要通过实施一整套适当的控制措施实现企业各业务系统正常运行，确保安全目标的实现。本文从管理角度探讨企业的信息安全，可以简称为管理安全，它是指建立并有效落实企业规章制度、安全管理规定等，来保证系统安全生存与运行。
企业安全管理的规章制度是否运行有效直接关系到企业安全目标能否保障，在此管理过程中需要引入IT审计。IT审计重点内容之一就是发现信息系统的潜在风险，可以说企业信息中心对潜在的IT风险是比较重视的。IT审计相对技术而言，更多侧重于管理，比如在安全策略方面更侧重于访问授权的控制，以及定期核查是否按相关信息化制度办事，还有就是有无进行过适当的渗透去检验系统的可靠性等。实施IT审计能够提高企业信息系统的安全性，能够客观评价信息系统安全现状。
2 从管理角度看企业中存在的主要信息安全威胁
1）企业日常信息化管理中，会碰到以下一些现象，如：明知计算机病毒无孔不入，却不安装杀毒软件；个人认证的物品（如员工门禁卡）随意借用他人；进入门禁系统之后，对他人尾随不理不问；移动存储介质外借他人，却不知可能造成感染病毒或泄密；打印服务器、扫描服务器等公用电脑临时存放许多信息却不删除。
从上述现象中可以得知，企业员工信息安全意识淡薄会产生较多安全漏洞。据《2011年度中国企业员工信息安全意识调查报告》显示，30%的受访者从来没有接受过信息安全培训，只有30%的企业会进行定期的信息安全培训[1]；
2）企业信息安全项目做的深度是与企业信息化发展水平相关的，一般企业会根据本身的信息化水平发展程度分步骤进行。企业初始阶段会通过封USB端口，不配置光驱等形式防止电子文档传播至外界。现阶段已有部分企业关注电子文档防泄密的软件，同时配以相应的制度，从一定程度上能达到预期的效果。项目实施后往往会发现效果难以保持，因为企业缺少相关的信息安全审计人员，在审计工作不到位的情况下，安全软件的审计功能无法体现其价值；
3）企业通过安全软件对电子文档进行管理，在实物管理方面缺乏措施。办公室文印区域是企业信息泄密的源头之一，外单位人员进入企业进行交流时，通常会经过办公室文印区域，员工打印文件后如不及时拿取，容易将技术资料留在在打印机上，给有心之人获取，容易造成泄密。计算机、笔记本等办公设备故障外移送修，送修前未经过审核批准，不对硬盘做处理，上述这些日常办公现象存在着信息安全漏洞[2]。
3 信息安全短板的对策措施——强管理
尽管企业防火墙、防毒墙等安全硬件设施或安全软件都较齐全，但是采取恰当的管理措施也能有效的提高信息安全水平，最终有效地保护企业信息资产。本文总结了以下几种管理方法并加以说明。
1）提高员工安全意识，关键是做好培训。一方面企业信息中心要组织好讲师及培训素材。培训素材可结合生活中的信息安全案例或者通过动画情景介绍等较生动的方式，寓教于乐，让每个企业员工明白数据等无形资产的重要性，理解数据信息安全是企业的生存发展壮大的法宝。在培训方式上，可采用循序渐进的培训方式，不急于求全，可从最基本的启用标准的计算机密码（如大小写字母+数字）、离开座位时使用屏保等开始培养。后续可陆续完善公司规章制度，同时认真落实，要让员工真正懂得防止泄密的办法；
2）通过IT审计严把信息安全管理关。企业做好IT审计，从以下几方面入手：一方面是人才培养，企业审计部门需要引入类似IT审计师的角色，尽管现阶段大部分中小企业未能做到这一点，但可参照国际上通用的认证培训——国际信息系统审计师，把企业信息管理人员送出外培，提高兼职型IT审计人员的技术水平及能力；另一方面是IT审计人员职责要明确，从实践上看，IT审计人员工作内容包括查看企业人员是否按照已有的规章制度进行审批手续、定期将审计报表反馈给高层，监督整改落实的情况及效果验证，使企业自上而下重视信息安全管理；
3）让安全软件的审计功能发挥作用。市场上的电子文档防泄密系统提供日志审计功能。日志系统主要用来跟踪和记录用户对受控文件的操作、记录管理员设定的策略和操作。企业系统管理员要对文件日志、部门日志、计算机日志、申请审批日志等进行定期检查，同时发挥IT审计人员的监督作用，才可让安全软件的审计记录发挥作用；
4）利用刷卡认证方式管理文档输出。办公类信息安全管理方面，涉及到各类业务系统的账户管理、文档输出管理、存储设备管理等。现有企业一般是通过制度约束，但效果不明显，这里结合新的管理方式对文档输出管理进行说明。一般我们不会一直等在打印机旁，没有把打印好的资料及时拿走。而所打印的资料大多是技术图纸、商务合同、计划等资料，让人不经意地看到相关内容及敏感信息。要减少因遗忘而将已输出的文档滞留在文印设备上，可结合IC刷卡认证的方式，企业通过为文印设备配备一些读卡器，只有当刷员工卡时，文档才从文印设备输出，员工可即刻拿走。
总之，企业信息安全是一个多点因素的难题，涉及技术、管理、应用等方面，随着企业信息化的发展，各类信息系统及软件资产不断增多，从管理角度保障信息安全，增强企业员工安全意识，成为企业成长的重中之重。
参考文献
目前政府行业、企业集团网络所面临的安全威胁在日益扩大，其中包括各种垃圾邮件、网络病毒的肆意破坏，黑客攻击造成的信息丢失，非授权访问所造成的资源滥用和信息泄密，内部员工未经允许外联拨号造成的信息被窃、木马程序入侵以及事后不可审查和追踪等各种问题。
面对这样严峻的安全形式，为了构建一个完善的安全防御体系，必须在网络中应用各种安全技术和相关的安全产品。建立起层层防护，让外部各类攻击的影响降低到最低限度。
1. 防火墙系统的作用
防火墙系统通常部署在内、外两个网络或者两个网络安全域的边界处，对经过防火墙系统的数据进行检测，判断是否符合制定的通信策略，从而决定是否进行数据转发，这样有效地对内、外网络实施隔离，能严格保护内部网络不受非授权信息的入侵和访问。
2. 网络入侵检测系统的作用
网络入侵检测系统(Intrusion Detection System)是从计算机网络中的关键点（数据交换设备）收集信息，并分析这些数据，查看网络中是否存在违反安全策略的行为。网络入侵检测系统通常部署在内部的数据交换设备上，如核心交换机或者集线器等。
3. 漏洞扫描系统的作用
网络漏洞扫描评估系统用于分析网络上的设备安全性，它可以检查路由器、Web服务器、Unix服务器、Windows 服务器、桌面系统等弱点，从而识别能被入侵者用来非法进入网络的漏洞，并及时生成综合性的评估报告，提交检测到的漏洞信息、详细描述和建议的改进方法。
4. 网络防病毒系统的作用
目前，网络病毒的增长遵循“莫尔定律”，网络病毒的数量每18个月也会翻一番。因此，建立完善的防病毒体系同样是当务之急。首先，必须在网络内部配备网络版的防病毒软件系统进行文件病毒的防护; 其次，对于网络病毒来说（特别是电子邮件病毒、蠕虫病毒），如果能够做到在网络出口处就将其封杀、截留的话，不仅能够降低病毒进入网络内部所造成的安全损失风险，更重要的是防止了病毒进入内部所带来的带宽阻塞或损耗，有效地保护了网络带宽的利用率。
5. 防垃圾邮件系统的作用
对于政府行业、企业集团的用户而言，垃圾邮件不但降低了工作效率，严重的还有可能出现泄密事件，甚至导致法律纠纷。因此，阻止垃圾邮件攻击的最直接、最有效的方式就是建立主动防御的反垃圾邮件机制――部署防垃圾邮件系统。
6. 信息审计系统的作用
信息审计系统是一个安全的防御体系必须具备的功能特性。信息审计是记录用户使用计算机网络系统所访问的所有资源和访问的过程，它是提高安全性的重要工具。它不仅能够识别谁访问了系统，还能够成功地还原系统的相关协议，同时对于发现是否有网络攻击的情况，直至确定问题和攻击源也十分重要。
7. 内网安全管理系统的作用
如今，很多企业集团90％的数据信息是以电子文档的形式存放在内部网络中。而大部分企业集团的内部网络常常存在种种隐患，使企业面临机密信息被泄露的危险。如员工有意无意地泄密、跳槽时带走机密资料等种种泄密途径，考验着企业内网的每一根神经，稍有不慎，公司就有可能一夜之间处在商业危机的边缘。为此，内网安全成为一个被热门讨论的问题，也成为了在信息社会推动企业发展的前沿动力。
另外，很多外界力量还在为这股动力起到助推作用。美国已经颁布并实施了著名的SOX（萨班斯-奥克斯利）法案，该法案第404条明确强调企业的信息技术策略和系统中的内部控制，以及对审计过程存档的要求，即企业的内控活动（不论是人还是机器）的操作流程都必须明白地定义并保存相关记录，然后才能实施。同时，企业集团的CEO必须将财务信息保存8年以上，供随时审计，其中过程、由网络产生的数据都作为审计对象，并对企业财务数据的真实性负责，否则要承担最多被监禁25年的刑事责任。
而内网安全管理系统则可以将内网安全管理、内网安全审计与内网安全监控有机地结合在一起，运用多种技术手段， 全面保护网络、系统、应用和数据，并从源头上阻止了敏感信息泄漏事件的发生。
