时间：2023-09-13 17:14:29
关键词：电力信息系统：安全防范；措施
中图分类号：F407.61 文献标识码：A 文章编号：
前言
随着近年来自然灾害的发生，在我国极大地破坏了国家电网公司的属下电网，造成多个地方发生大面积停电事故。电力信息系统如不能正常工作(如技术故障、遭受人为破坏、遇到自然灾害等)，也将危及电网的安全运行。研究电力信息安全问题，开发相应的应用系统，设计出系统的安全防护方案，制定电力信息系统遭受外部攻击时的防范措施以及系统恢复措施等，进行信息安全应急预案是非常重要的。
1 电力信息安全存在的问题
国家电网已经构建了一个较完善的电力信息系统，并初步建立了电力信息系统的安全体系，实现了电力信息网络和电力运行实时控制网络的隔离，在网络间设置了防火墙，购买了网络防病毒软件，设有数据备份设备。但仍有很多单位没有网络防火墙，没有数据备份的观念，更没有对网络安全做统一长远的规划，信息网络中尚存在许多风险和问题。
(1)对计算机及信息网络的安全意识亟待提高。近年来计算机信息安全策略和技术取得了非常大的进展，但在电力系统各种计算机应用中，对信息安全的认识跟实际需要差距较大，对新出现的信息安全问题认识不足。
(2)缺乏统一的信息安全管理规范。电力系统虽然对计算机安全一直非常重视，但目前还没有一套统一、完善的能够指导整个电力系统计算机及信息网络系统安全运行的管理规范。
(3)缺乏与电力行业特点相适应的计算机信息安全体系。近年来，计算机在整个电力系统的生产、经营、管理等方面应用越来越多。但是，在计算机安全策略、安全技术、安全措施、安全体系建设方面投入相对较少。
(4)计算机网络化必须面对外部的安全攻击。电力系统较早的计算机系统一般都是内部的局域网，并没有同外界连接。所以，早期的计算机安全只是防止意外破坏或者确保内部人员的安全控制。在连成广域网后，就必须要面对国际互联网上各种安全攻击，如网络病毒和电脑“黑客”等。
(5)脆弱的身份认证。电力行业中计算机应用系统基本上基于商用软硬件系统设计和开发，用户身份认证基本上采用基于口令的鉴别模式，而这种模式很容易被攻破。有的应用系统还使用自己的用户鉴别方法，将用户名、口令以及一些安全控制信息以明文的形式记录在数据库或文件中。如今，这种脆弱的安全控制措施已不能再用了。
(6)没有完善的数据备份措施。目前，很多单位仅选择一台工作站备份一下数据，没有完善的数据备份设备，没有数据备份策略，没有数据备份的管理制度，没有对数据备份介质的妥善保管。
2 电力信息安全的防护措施
鉴于电力信息安全的重要性，国家电网公司及其属下各单位应制定一系列相关的防护措施，以保证电力信息系统的安全。
2．1建立电力信息安全体系的防护框架
应结合我国电力工业的特点和企业计算机及信息网络技术应用的实际情况，建立电力信息安全体系的防护框架(见图1)按照信息业务功能，电力信息系统可以划分为3层：第一层为自动化系统；第二层为生产管理系统；第三层为电力信息管理系统。针对电力信息业务的这种层次结构，电力信息安全体系的防护框架采用分层、分区进行防护。①进行分层管理，按照电力信息业务的3层功能，层间使用隔离装置实施网络间隔离。② 进行分区管理，将电力信息业务的3层功能与电力信息网结构对应起来，具体又可以分成实时控制区、非控制生产区、生产管理区和管理信息区4个区。各区之间使用网络物理隔离设备进行网络隔离，对实时控制区等关键业务实施重点防护，并采用不同强度的安全隔离设备使各安全区中的业务系统得到有效保护。
2．2采用各种安全防护技术措施
(1)信息加密技术。密码技术是信息安全领域的一种基本实用且非常重要的技术。密码技术主要分对称密码技术(如DES算法)和非对称密钥技术(也叫公开密钥技术，如RAS算法)。
(2)信息确认和网络控制技术。当前，成熟的信息确认和网络安全控制技术主要包括身份认证、存取控制、数据完整性、防止否认、防火墙技术，这些技术都是基于计算机网络开展的，涉及业务信息安全的主要技术，应根据电力企业业务系统的性质、任务，制定最优控制策略。
(3)计算机网络防病毒技术。计算机病毒已经向网络化、多态化、灾难化发展，应在省公司及区域电网建立计算机防病毒网络中心，实施网络化管理。
(4)防“黑客”攻击技术。“黑客”主要针对信息系统网络和主机存在的一些漏洞进行攻击。按照计算机应用环境及业务重要程度，制定相应的防“黑客”攻击措施，重点是要检测系统信息安全漏洞予以及时解决。对特别重要的系统(如电力实时运行控制系统)应采用物理隔离措施。
(5)数据备份与灾难恢复技术。采用多种备份措施，按重要程度确定数据备份等级，配置数据备份措施，建立省级和区域数据备份中心，采用先进灾难恢复技术，保证信息系统可靠性和数据完备性。
2．3加强各种安全防护管理措施
(1)人员管理。要加强信息人员的安全教育，保持信息人员特别是网络管理人员和安全管理人员的相对稳定，防止网络机密泄露，尤其要防范人员调离时的网络机密泄露。对网络设备、服务器、存储设备的操作要履行签字许可制度和操作监护制度，杜绝误修改和非法修改。
(2)密码管理。对各类密码要妥善管理，杜绝默认密码、出厂密码、无密码，不要使用容易猜测的密码。密码要及时更新，特别是有人员调离时密码一定要更新。
(3)技术管理。主要是指各种网络设备、网络安全设备的安全策略，如防火墙、物理隔离设备、入侵检测设备、路由器的安全策略要切合实际。
(4)数据管理。数据的备份策略要合理，备份要及时，备份介质保管要安全，要注意备份介质的异地保存。
(5)安全管理。建立电力系统信息安全各种标准、规范与制度。在安全组织，运行操作管理、场地与设施管理、操作系统与数据库、应用系统等方面进行安全管理。
2．4 建立完备的电力信息系统监控中心
为保证电力系统信息安全，建立一个综合、统一的信息安全监控中心是十分必要的。该监控中心设在各级信息网管中心，将各项信息安全应用技术有机进行整合，无论出现什么可能影响信息安全问题，均可尽快解决。对可能出现的异常或故障，按监视系统所提供信息，及时提出预防措施，消除可能发生问题的条件，防止发生系统异常或故障。
2．5 制订必要的应急措施
可根据国内外发生过的网络信息安全的案例，结合国家电网信息系统当前运行状态和可能存在的问题，设计安全应急措施，部署安全应对机制，奠定紧急控制的基础。一旦发生电力信息安全事件，可根据预防控制设定的安全应急措施，立即启动相应的安全机制，减小安全事件的波及范围，避免造成更大的损失。国家电网的黑启动方案就是一个很好的例子。
3 结束语
电力信息安全是电力系统安全运行和对社会可靠供电的保障，是一项涉及电网调度自动化、继电保护及安全装置、厂站自动化、配电网自动化、电力负荷控制、电力市场交易、电力营销、信息网络系统等有关生产、经营和管理方面的多领域、复杂的大型系统工程。电力信息的不安全，会造成电力系统的生产经营和管理巨大的损失。各电力企业应积极吸收国外信息安全领域的丰富经验和先进技术，结合各自电网的特点，建立完善的电力信息安全防护体系和监控中心，研究出相应的安全策略，制定相关的技术措施和管理措施，确保电力信息系统以及电力系统安全、可靠、稳定、高效的运行。
参考文献：
[1] 牛慧斌，李骏仁．企业内部网络信息安全与防御对策分析[J]．网络通信与安全，2007(2)：338―339．
【 关键词 】 企业网络；安全管理；防护策略
1 引言
如今，经济迅速发展带动网络技术的发展，企业网络化管理被广泛应用，给企业内部、企业与外界的联系以及企业的管理带来了便利，业务的灵活性被企业经营者广泛关注，同时也发展了企业信息网络。一系列诸如生产上网、办公自动化、远程办公以及业务上网的新的业务模式得到了开发与发展。但是与此同时，网络环境下的企业安全问题引发了管理者的担心，能否创建安全稳固的企业网络是企业管理者最为看重的问题，也逐渐变成一个企业能否正常运转的前提。因此，运用切实可靠的网络安全管理方法、提高网络的安全防护能力已经企业一个重要研究的内容。
2 影响企业网络安全的因素
网络安全关系到许多方面，不但涉及到网络信息系统自身的安全问题，而且囊括逻辑的和物理的技术策略等。WWW、TCP/IP、电子邮件数据库、数据库是当前企业网络通用标准和技术，其广域连接采用多种通信方式，大部分单位的系统被覆盖。行业内部信息存在于企业网络的传输、处理和存储各个环节。这些信息资源的保护和管理以及确保企业网络内部的各种信息在各个环节保持信息的完整、真实和防止非法截获非常重要。
影响企业网络安全的因素既有软硬件的因素，也有人为的因素，既有来自网络外部的，也来自网络内部的，归结起来主要有几方面。
2.1 网络硬件的安全隐患
网络中的的拓扑结构还有硬件设备两者均有对企业网络安全造成威胁可能，如一种硬件设备路由器的安全性较差的原因是其自身性能差。
2.2 软件缺陷和漏洞
在企业网络中有各种各样如应用软件、操作系统的软件，这些软件都有存在漏洞或缺陷的可能，而狡猾的黑客正是利用这些漏洞或缺陷从中获利，企业也由此蒙受巨大的损失，这样的例子在现实生活中层出不穷。比如，一些不为人知的软件研发者为了个人原因（升级或自便）而设置的“后门”，黑客一旦破解打开这些“后门”，便可以肆虐的操作，完全控制用户计算机，篡改数据，后果不堪设想，损失更是不可估量；又如以方便快捷应用为目的的TCP/IP协议为网络系统普遍应用，但是其并没有对安全性进行全面估计考虑，更是在认证和保密措施方面做得非常欠缺，若是一些IT高手对此很了解，便可以轻松利用其缺陷攻击网络。
2.3 计算机病毒与恶意程序
网络被普遍应用和告诉发展的时代，病毒传播的主要途径是网络。一些企业的内部网络很容易被蠕虫、病毒侵入，其特点是范围广、变化快、种类多、传播速度快、破坏性大，其破坏性是巨大的。在网络安全领域，病毒问题一直难以从根本上解决，原因总结为两点：其一，技术原因，杀毒软件总是在病毒出现后给用户或是企业造成巨大损失后更新，滞后性和被动性不言而喻；其二，用户的安全防范意识不高，对病毒的了解不够，不主动安装杀毒软件，或是不及时升级杀毒软件，给传播病毒提供了机会，巨大的威胁了网络安全。
2.4 网络入侵
网络人侵的意思是网络攻击者在非授权的情况下获得非法的权限，并通过这些非法的权限对用户进行非法的操作，获得网络资源或是文件访问，入侵进入公司或是企业内部网络，极大地危害计算机网络，给社会带来巨大财产或是信息损失。
2.5 人为因素
用户安全意识淡薄，企业内局域网应用不规范。企业内网在实际运行中没有限制，木马、病毒等破坏性信息在p2p下载过程中传播到企业内网中，系统的安全应用收到影响；接入网络没有很好地限制，如没有限制接入的人员、时间方面，随意、随时上网不但容易使系统容易传染上病毒，还有信息泄露、丢失的可能；不完善的专用虚拟系统安全防范措施；管理措施不到位；复杂的用户人群，很多不是本系统专业的工作者，约束和监管困难；卫星信号很容易就被泄密，在空中传输无限信号的过程中，无线信号很容易被黑客截获并利用；在很多企业中，没有制定规范的管理网络和生产网络的隔离措施，一旦管理网络沾染病毒，生产网络也很容易被传染。
2.6 其它的安全因素
威胁网络安全的因素还有很多，比如，传输过程中的数据很容易被电磁辐射物破坏；非授权的恶意删除或攻击数据、破坏系统；非法窃取复制或是盗用系统文件、资料、数据、信息，导致企业或是公司泄密等，其后果非常严重。
3 企业网络的安全管理
企业网络安全管理是保证网络安全运行的基石，一些人为因素导致的网络安全问题可以通过加强和敦促管理工作可以尽最大可能的避免。企业应把建立健全企业网络安全管理制度作为安全管理的重点，制定系统的安全管理方案，采取有效切实的管理政策。
企业的网络管理主要从几点努力。
3.1 健立健全企业规章制度
要保证网络的相对安全，就务必制定详细系统的安全制度，了解并认识网络安全的重要性，一旦出现网络安全事故，其相应处罚力度就必须严格按照处罚条例执行到位，绝不能姑息手软。为了做到切实保证企业的机密不泄露，建立对应的详细的安全保密制度势在必行，管理者还要经常不断检查制度的实施情况。记录出现违规的人员及情况、相应处罚情况、检查的结果报告，做到今后有据可循，为以后出现类似情况提供管理依据。
3.2 树立员工网络安全意识
网络安全工作要想做好，树立企业工作人员的信息安全意识是首要任务，只有员工切身真正认识到信息安全对企业发展和前进的重要性，才能切实在实际工作中重视起来。企业要实常加强员工相应的信息安全的知识培训，采用各种形式来增强员工的网络安全意识，促使员工养成健康的使用计算机的习惯。
4 企业网络安全防护措施
为了使企业网络保持安全状态，企业网络的安全防护措施必须与其具体需求要相结合，整合各种安全方案，创立一个多层次、完整的企业网络防护体系，在为企业网络安全设计防护措施时，应主要从几点考虑：其一是要选择进行安全策略的工具，但安全风险是不可避免的也是必须承担的；其二是要注意企业网络的可访问性以及安全性平衡的保持；其三是考虑安全问题是在系统管理的多个层次、多个方面都存在的。在企业网络中，主要有几种安全防护的措施。
4.1 防火墙技术
防火墙技术是当下一种被广泛应用的也是最为流行的网络安全技术，其核心主题是在外界网络环境不安全的大前提下创建一个相对安全有保证的子网。防火墙能实时监测进出于企业网络的通讯交流数据，允许安全合法的访问的数据和计算机进入到企业网络的内部，把非授权的非法的数据和计算机挡在网络，企业内网及特殊站点应限制企业一般人员或是无关人员访问，最大可能地阻止外部社会网络中的黑客访问链接企业内部的网络，阻止或是制止他们复制、篡改、破坏重要的或是机密信息。所以，防火墙是一道屏障，是在被保护的企业内部网络和社会外界网络之间设置的，在网络内部网络合外部非授权的网络之间，企业内部网不同的网络安全环境之间，达到隔离和控制的目标，外部网络的攻击合截获被有效控制。
4.2 数据加密技术
如果一些重要的机密的数据需要通过外部网络传送的，该数据的加密工作则需运用加密技术。防火墙技术以及数据加密技术两者结合使用，增强网络信息系统及内部数据的保密性和安全性，谨防外部破坏重要的机密数据。
4.3 入侵检测技术
安装入侵监测系统在企业内部网络中，信息从企业内部计算机网络中若干关键点中收集，并分析数据，从中检查企业内部网络中是否存在与安全策略相违背的行为或是入侵现象，如果检测到可疑的未授权的IP地址，则来自此入侵地址的信息就会被自动切断、同时给网络管理员发送警告，企业内部动态的网络安全保护就可以实现。
4.4 网络蠕虫、病毒防护技术
尽管无法避免来自蠕虫、病毒对企业内部网络的危害，但采取切实有效的防护方案还是有帮助的，尽最大可能阻止病毒的传播，减小它的危害范围，或是没有危害。在企业内部网络内，由于网络节点不但存在于局域网中，又有接入到互联网中的可能，一般的防护技术是很难做到把蠕虫、病毒的威胁降低很多，在防病毒方面、通常要设计多层次阻止病毒体系。在企业安装一般的常见的杀毒软件时，通常要定时自动扫描系统，另外，用户在收发邮件时一定要打开杀毒软件的实时监控邮件病毒功能，实时地同步地对检查邮件，抑制传播邮件病毒。如果用户安装的网络版杀毒软件，那么全部网络环境中每一个节点的病毒检测情况可以被企业网络的安全管理员如实准确的掌握，当然越先进的防病毒产品或是技术效果也就越好。
4.5 系统平台与漏洞的处理
网络安全管理员可以运用安全漏洞扫描技术了解掌握网络的安全设备和正在进行的应用进程，提前得到有可能被截获的脆弱步骤，准时检查安全漏洞，尽快改正网络安全系统存在漏洞和网络系统存在的有误差配置，防范措施应该在黑客攻击之前提早进行。
5 结束语
企业网络安全不是最终的目的，更恰当和准确地说只是一种保障。随着企业自身的发展和规模的壮大，企业网络的普及也是势在必行，网络安全管理变得也就越来越复杂，网络的安全管理和防护是企业发展的一项重要和艰巨的任务。在执行维护网络安全任务的同时，我们一定要注意把网络安全防护技术、影响网络安全的因素结合起来，制定有效的管理措施和技术方案，采取可行性高的防护措施，建立健全防护体系，增强企业内部员工的网络安全意识，从源头上解决网络安全问题。
参考文献
[1] 宋军.浅谈企业网络安全防护策略[J].TECHNOLOGY AND MARKET，2011，（18）；116-117.
[2] 赵尹琛，马国华，文开丰.企业信息安全防护策略的研究[J].电脑知识与技术，2011，（7）；5346-5347.
[3] 邵琳，刘源.浅谈企业网络安全问题及其对策[J].科技传播，2010，（10）；186.
[4] 王希忠，曲家兴，黄俊强等.网络数据库安全检测与管理程序设计实现[J].信息网络安全，2012，（02）：14-18.
[5] 黄俊强，方舟，王希忠.基于Snort-wireless的分布式入侵检测系统研究与设计[J].信息网络安全，2012，（02）：23-26.
关键词 企业；网络管理；网络维护
中图分类号：TP3 文献标识码：A 文章编号：1671-7597（2013）13-0104-02
随着企业信息化建设的不断推进，大部分企业都实现了信息化系统管理。而信息化是以计算机网络为基础的，所以企业的计算机网络管理与维护就变得尤为重要。
1 加强企业的网络管理
针对目前企业网络管理中存在的管理制度不健全，网络的拓扑结构不合理，用户管理不到位和网络管理手段落后等问题，本文提出了应该强化企业网络管理的具体措施。
1.1 完善企业的网络管理制度
企业网络管理的首要条件是，管理者和使用者有规可依、依规管理、按规使用。所以应该结合企业的实际情况，按照国家网络管理的相关标准，制定出可行的、全面的、合理的企业网络规章制度。这些制度主要包括网络设备选购及使用管理制度、计算机安全管理制度、管理员网络设备保养维修制度、信息系统使用规范和网络安全的基础防护工作等。企业的网络管理制度制定完成后，最关键是切实有效的执行，从而彻底改变企业网络管理工作的混乱、责权不明的现状，保障网络的正常运行。
1.2 优化企业网络的拓扑结构
目前，大多数企业的网络结构基本上都是在一台主交换机下连接多台普通交换机和若干个计算机终端。随着网络规模的扩大和通信量的增加，这种结构将导致企业网络性能的下降和网络故障的增加。所以企业应该根据自身生产管理的具体需求和特点，对企业的网络系统进行科学、合理的分析和配置。例如，使用VLAN对网络结构进行优化，在交换机上通过软件将整个企业网络划分成大小不一的若干个逻辑子网VLAN。VLAN划分限制了广播组的大小和位置，有效控制网络内的广播风暴；限制了特定用户的访问范围，增强了网络安全性；加强了对网络的管理能力。
1.3 加强网络用户管理
首先，对企业中不同层次的网络用户进行权限管理，把相同级别的用户划归到同一组中，对于相同或不同的资源，不同的用户或组具有不同的访问权限，防止越权访问；删除所有非法用户，禁止Guest用户；对于Administrator进行改名操作并设置足够复杂的密码。管理员用户不要随意存放关键设备的口令，应由信息部门主管及设备配置人员保管，以防泄露和丢失。其次，利用SQL Server或Oracle的用户管理实现对企业内部数据的安全性访问，通过数据库加密技术提高重要数据的安全性和保密性，防止非法用户对数据进行窃取和篡改。
1.4 积极引进网络管理软件
网络管理人员应该加强对新技术的了解和学习，积极引进和利用网络管理软件，提高网络管理能力。网络管理软件可以有效地监控和管理整个网络的实时运行状态，及时发现异常问题，快速进行故障定位和处理，有效地提高了网络管理工作的效率。
总之，企业的网络管理工作不仅要管理好企业网络，确保网络的畅通，同时还要以全局的视角，围绕企业经营决策和业务发展，加强网络运行分析，提供高附加值的网络应用服务，为企业市场策略的制订和调整提供有力的支持。
2 企业的网络维护措施
本文从企业的网络环境保养、软硬件维护和两级网络安全维护以及监测日志系统等方面进行分析，提出了应该全面的、定期的进行企业网络维护工作。
2.1 网络环境的保养和硬件设备的维护
企业的计算机房的电压、湿度、温度和灰尘等因素都会影响计算机的运行和网络设备的性能，所以计算机房的通风、散热和定期除尘等日常保养是设备正常工作的前提条件。硬件设备主要包括网络传输设备和计算机终端设备，维护人员要对其进行定期的检测与维护。同时，在机房的维护过程中可以使用一些系统命令和管理软件对硬件设备的运行状态进行实时监控。
2.2 企业网络的软件维护
网络的软件维护是指受各种因素影响，需要对网络中使用的各种软件系统进行修改或采取保护措施。软件维护主要措施如下。
2.2.1 及时安装系统的补丁程序
补丁程序即修复系统漏洞的程序。软件开发者针对软件在使用过程中不断暴露出的自身存在的问题，相应的补丁。维护人员为了防止漏洞被非授权人员利用，及时下载和安装新的补丁程序进行系统修复，并配置好自动升级功能。
2.2.2 建立完善的网络数据备份方案
由于各种自然的或人为的因素，造成系统瘫痪、数据丢失或破坏的情况时有发生。所以，采取系统保护措施，建立完善的制度化、科学化的网络数据定期备份方案是十分必要的。数据备份一般分为系统备份和服务器备份。首先，系统保护可以通过硬盘还原卡和系统备份恢复工具来完成。Ghost技术提供了一种便捷、高效的重新安装操作系统的途径。其次，系统管理员需要定期备份服务器上的重要文件。可以采用RAID方式对服务器中各种信息数据进行备份，特别重要的资料应该保存在其他服务器上或备份在光盘中。
2.2.3 做好病毒防范工作
病毒是网络安全的最大危害。企业的重要数据一般都保存在服务器上，所以必须做好病毒防范工作，保证服务器免受病毒攻击。1）以网关防毒为整个防毒体系的首要防线；2）加强对病毒源头的控制管理，包括安装最新正版的杀毒软件，及时更新病毒库；根据企业的具体情况对防火墙的配置进行设定，阻止外部非法用户的入侵，同时对接入的互联网数据进行过滤；3）加强对企业员工上网行为的管理，倡导健康安全的使用网络。总之，我们要把各种网络安全设备和软件结合起来，有效防止病毒和黑客等不安全因素的破坏和入侵，建立完善的病毒防范和网络入侵检测的防护体系。
2.3 维护企业两级网络的安全
网络安全维护主要分为局域网和广域网的维护。针对局域网，维护人员应根据企业各部门的需要核查网络中用户权限的分配是否正确，有些长期闲置的账号应暂时封存；数据库服务器启用审计功能，同时定期检查服务器中的日志记录。针对广域网，维护人员应重点检查路由器是否设置控制列表，防火墙是否进行地址过滤和转换，拨入设备是否使用安全认证等。
2.4 监测服务器的系统日志
服务器的系统日志记录了系统中操作系统、应用程序及用户的行为，利用日志记录可以监视用户对系统的使用情况，捕捉到系统中异常事件的发生。维护人员通过监测日志系统所记录的数据信息，分析错误发生原因，为系统进行排错；或者寻找系统受到攻击时攻击者留下的活动痕迹，找出当前系统漏洞，并采取相应的措施加强网络控制。
3 总结
计算机网络是企业实现信息化的基本要素。为了解决和防范网络中出现的各种问题，企业必须从管理制度、管理技术和手段，以及网络软硬件维护、网络安全维护和病毒防范等多方面进行全方位的规划，进一步加强企业网络的管理和维护，保障网络系统高效、安全、稳定地运行。
参考文献
[1]李健昆.试析企业网络的管理与维护[J].电脑编程与维护，2011（12）：61-63.
关键词：火电厂工控系统；安全分区；网络专用；横向隔离；纵向认证；综合防护
DOI：10.16640/ki.37-1222/t.2017.03.138
0 引言
在我国电力系统是由发电、输电、变电、配电、用电和调度组成。其中发电企业是整个电力系统中起始环节，是整个能源闭环系统中最主要的生产环节。发电企业通常情况下，主要的发电形式为火力发电、水利发电和核能发电。其中火力发电占据整个发电企业发电量的比重最高。而新型的火力发电控制系统已向数字化、智能化、网络化和人性化进行转变，这势必会将更多的IT技术应用到传统的逻辑控制和数字控制中。相比互联网信息安全领域的热络，工控安全作为信息安全的重要领域却一直“备受冷落”。直到近期国外发生多起因黑客网络攻击导致工控系统瘫痪的事件，才引起人们对工控系统信息安全得以重视。
2015年国家能源局下发36号文《电力监控系统安全防护总体方案》，通过认真学习发现安全防护的总体原则与之前的电力二次安全防护原则增加了“综合防护”。而“综合防护”是对工控系统从主机、网络设备、恶意代码防范、应用安全控制、审计、备用及容灾等多个层面进行信息安全防护的过程，目前在绝大多数火电厂都是未开展的工作，主要原因有两个，一是：国内工控安全产品研发刚刚起步，火电厂也没有成功实施的案例；二是：投资费用较高，风险预控把握不大。
1 工控系统信息安全方案的解决思路
在开展工控系统信息安全解决方案之前，有两件准备工作需要做，即定期进行安全意识培训和安全评估。
1.1 安全意识
生产系统的安全是建立在人员安全意识之上，一线生产人员应该保持一个良好的网络安全防范意识和和安全操作习惯，这需要借助工控网络安全培训来形成安全意识。
1.2 安全评估
在充分了解和掌握现场工控系统存在的风险和安全隐患之后，才能制定符合现场实际的防护措施。电力生产安全防护评估工作要贯穿整个电力生产系统的规划、设计、实施、运维和废弃阶段。
1.3 结构安全
“横向隔x、纵向认证”在火电厂工控系统结构已经做的很好了，即在生产大区与管理信息大区采用单向隔离装置，安全一区与安全二区之间有逻辑隔离的防火墙，而此防火墙只是基于四层以下进行访问控制，对于报文负载部分没有进行过滤，现实中的APT攻击完全可以利用防火墙的不足，在一区、二区之间进行传播。
2 火电厂工控系统信息安全现状及应对措施
2.1 火电厂工控系统安全及现状
典型的火电厂工控系统通常由控制回路、HMI（人机接口）、远程诊断与维护工具三部分组件共同完成，控制回路用以控制逻辑运算，HMI执行信息交互，远程诊断与维护工具确保出现异常的操作时进行诊断和恢复。与传统的信息系统安全需求不同，工控系统设计需要兼顾应用场景与控制管理等多方面因素，以优先确保系统的高可用性和业务连续性。在这种设计理念的影响下，缺乏有效的工业安全防御和数据通信保密措施是很多工业控制系统所面临的通病。
2.2 火电厂工控系统安全风险分析及应对措施
（1）安全风险一：操作系统与外接设备交互的风险性。追求可用性而牺牲安全，这是很多工业控制系统存在普遍现象，缺乏完整有效的安全策略与管理流程是当前我国工业控制系统的最大难题，很多已经实施了安全防御措施的工控网络仍然会因为管理或操作上的失误，造成系统出现潜在的安全短板。应对措施：制定关键设备信息安全的评测制度，防范关键设备中的预留后门及多余功能。对工控系统的设备、系统进行评测和检测，确保关键设备、软件没有预埋的、不为我们所知的一些功能。落实工控系统的信息安全检查制度，定期进行自查，这是加强信息安全工作的常规手段。加强工控系统病毒防治工作，落实工控系统防治病毒管理规定，控制系统访问权限严格控制，移动存储介质的使用应当符合管理规定。
（2）安全风险二：工控平台的风险性。随着TCP/IP等通用协议与开发标准引入工业控制系统，开放、透明的工业控制系统同样为物联网、云计算、移动互联网等新兴技术领域开辟出广阔的想象空间。理论上，绝对的物理隔离网络正因为需求和业务模式的改变而不再切实可行。目前，多数工控网络仅通过部署防火墙（隔离网闸）来保证工业网络与办公网络的相对隔离，各个工业自动化单元之间缺乏可靠的安全通信机制。应对措施：传统的IT防火墙已无法满足工业控制系统的需求，但越来越多的控制系统厂家注重网络安全，在控制层面就加装了防火墙。工业级防火墙的出现可以针对控制层的网络协议作出相应的防护，对Modbus和OPC的协议内容进行检查和连接管理。不管是控制系统本身自带的防火墙还是专业的工业级防火墙，都可以针对工控平台的风险性起到弥补作用。
（3） 安全风险三：网络的风险性。通用以太网技术的引入让工控系统变得更智能，也让工控网络愈发透明、开放、互联，TCP/IP存在的威胁同样会在工业网络中重现。当前工控网络主要的风险性集中体现为：边界安全策略缺失；系统安全防御机制缺失；管理制度缺失或不完善；网络配置规范缺失；监控与应急响应制度缺失；网络通信保障机制缺失。应对措施：针对TCP/IP存在的威胁只用运用原有的防火墙及防护方法采取应对措施，而工控网络的专属控制协议防护则应更加有针对性：控制层和数据层的隔离防护，控制层网络的冗余化等，都是可以有针对性的起到保护作用。
3 结语
其实不管是火电厂工控企业还是传统企业，随着信息化的深入，企业或多或少会遇到信息安全的问题，而随着数据价值的不断提高，这种影响对于企业来说也会越来越明显。所以保护企业的核心数据安全是未来所有企业面临的同样问题，而面对不同企业不同的防护需求，采用灵活而具有针对性的安全防护设施或许才是最好的选择。
参考文献：
关键词：计算机安全；网络安全；计算机管理；安全防护体系；工业控制系统
中图分类号：TP393.08
企业的计算机技术迅猛发展，计算机在生产中发挥着越来越重要的作用，同时，计算机安全面临前所未有的威胁，普通的网络连通是无法满足要求的，针对企业计算机网络安全方面存在的缺陷，简单的技术防范措施已无法解决。必须采用先进的技术、加强先进设施和有效的计算机安全技术手段，形成保证计算机信息安全的各项防护措施，只有这样，才能提高企业的生产效率，保证企业的快速发展。
1建立计算机网络安全架构
计算机信息安全架构必须按照计算机安全防护措施体系建立，但仅依靠技术的防范是保证不了信息的安全，只有根据计算机安全的自身特点，建立先进的计算机安全运行机制，完善企业计算机安全技术和管理机制，才能从技术和管理上保证企业计算机信息安全。
1.1计算机安全防护关键技术
由操作系统安全技术、防火墙（Firewall）、入侵检测技术、应用系统安全技术、身份认证技术、网络反病毒技术、漏洞扫描技术、虚拟局域网（VLAN）和电磁泄漏发射防护技术等构成了网络安全的关键技术。
1.2企业计算机安全防护措施
企业计算机安全防护措施是由安全操作系统、应用系统、防火墙、入侵检测系统、漏洞扫描系统、身份认证技术、计算机防病毒及电磁泄漏发射防护等多个安全组件共同组成的，每个组件只能完成其中部分功能。
（1）操作系统安全。Windows操作系统的安全由以下内容：
1）Windows的密码系统。使用安全帐户管理器，建立系统用户名和密码。
2）Windows操作系统安全配置。有选择地安装组件，关闭危险的服务和端口，正确的设置和管理账户，正确的设置目录和文件权限，设置文件访问权限，禁止建立空连接。
3）Windows系统更新和日常维护。通过本地安全策略中的Windows组件服务，设定Windows系统更新时间、更新源以及相关信息，建立补丁分布服务器器系统 WSUS （Windows Server Up Services）实现操作系统的升级服务。Windows操作系统是一个非常开放，同时非常脆弱的系统，需用维护人员定期和日常维护。
（2）应用系统安全技术。应用系统是信息系统重要组成部分，目前，针对应用系统B/S架构建立应用系统的数据库防护措施，如：数据库加密、数据库安全配置，这样才能避免因受攻击而导致数据破坏或丢失。
（3）防火墙。防火墙主要用于提供计算机网络边界防护和构建安全域，可防止“非法用户”进入网络，可以限制外部用户进入内部网，同时过滤掉危及网络的不安全服务，拒绝非法用户的进入。同时可利用其产品的安全机制建立VPN（Virtual Private Networks）。通过VPN，能够更安全地从异地联入内部网络。但防火墙的防护是有限的需要配合其他安全措施来协同防范。
（4）入侵检测系统（IDS/Intrasion Detection System）。入侵检测系统是一种计算机网络安全系统，当入侵者试图通过各种途径进入网络甚至计算机系统时，它能够检测出来，进行报警，采取相应措施进行响应。它的功能和防火墙有很大的区别，它是防火墙的合理补充，帮助识别防火墙通常不能识别的攻击，提高信息系统基础结构的完整性。其主要功能有：监控并分析用户和系统的活动、异常行为模式的统计分析、对操作系统的校验管理、检查系统配置和漏洞、识别已知攻击的活动模式等。入侵检测系统是作为一种主动的安全防护技术，通过技术手段，进行实时的入侵检测和事后的完整性分析。
（5）漏洞扫描系统。通过漏洞扫描软件对漏洞进行预警，发现漏洞进行相应修复。
（6）计算机防病毒系统。近年来，计算机病毒通过多种途径进入企业计算机，因此，企业计算机的防病毒工作形式日益严峻，针对计算机病毒的威胁，建立防病毒系统的防护策略，定期进行病毒库升级、查杀，有效地控制病毒的传播，保证计算机网络的安全稳定。
（7）电磁泄漏发射防护。为了保证计算机信息安全必须建立电磁泄漏发射防护措施，确保计算机设备不被具有无线发射与接受功能的设备如：手机、无线网络装置等侵入。
（8）路由器和交换机。路由器和交换机是网络安全防护的基础设备，路由器是黑客通过互联网对内部网络首要攻击的目标，因此路由器必须在技术上安装必要的安全规则，滤掉安全隐患的IP 地址和服务。例如：首先屏蔽所有的IP 地址，然后有选择地允许打开一些地址进入网络。路由器也可以过滤服务协议，放行需要的协议通过，而过滤掉其他有安全隐患的协议。目前企业内部网大多采用以三层网络为中心、路由器为边界的内部网络格局。对于交换机，按规模一般大型网络分为核心、汇聚、接入；中小型分为核心和接入架构。核心交换机最关键的工作是访问控制功能。访问控制就是交换机就是利用访问控制列表ACL对数据包按照源和目的地址、协议、源和目的端口等各项的不同要求进行过滤和筛选。此外，为实现网络安全的运行通常采用一项非常关键的工作就是划分虚拟局域网（VLAN），通过使用网络交换机管理软件，对交换机进行配置完成，有利于计算机网络的安全防护。
（9）身份认证系统。通常为了能够更好地保护应用服务器不被非法访问，可以将身份认证系统串接在终端与应用服务器之间，用户需要访问身份认证系统后面的应用系统服务器时，首先需要通过身份认证系统的认证，认证通过后，身份认证系统自动将用户身份传递给应用系统。
2计算机安全防护管理
计算机安全防护技术对保障信息安全极其重要，但是，要确保信息安全还很不够，有效的技术手段只是计算机安全的基础工作。只有建立严格的企业计算机安全管理制度，按制度进行严格周密的管理，才能充分发挥计算机安全防护的效能，才能真正使计算机及网络安全信息得到最可靠的保证。
3工业控制系统的安全防护
工信部2011年10月下发了“关于加强工业控制系统信息安全管理的通知”，要求各级政府和国有大型企业切实加强工业控制系统的安全管理，否则将影响到我国重要生产设施的安全。根据工业控制系统安全防护的特点，在实施安全防护中，提出了分层、分域、分等级，构建三层架构，二层防护的工业控制系统安全体系架构思想。三层架构分别是计划管理层，制造执行层，工业控制层。二层防护指管理层与制造执行（MES）层之间的安全防护；再就是制造执行（MES）与工业控制层之间的安全防护。
4结束语
目前企业计算机安全已经深入到企业生产管理、客户服务、物流和营销及工业控制等各个领域。建立计算机信息安全防护措施是一个复杂而又庞大的系统工程，涉及的问题也比较多。只有不断对计算机安全措施进行深入的研究和探讨，提高信息安全专业人员的技术技能。更重要的是加强计算机安全管理，管理不到位，再多的技术也无能为力，只有充分发挥了人的作用，才能更好地实现信息系统安全，保证企业信息化建设的持续发展。
参考文献：
[1]严体华,张凡.网络管理员教程[M].第三版.北京:清华大学出版社,2009.
[2]林柏钢.网络与信息安全教程[M].北京:机械工业出版社,2004.
[3]季一木,唐家邦,潘俏羽,匡子卓.一种云计算安全模型与架构设计研究[J].信息网络安全,2012,6:6-8.
【关键词】 烟草 信息安全 体系 建设
随着烟草行业的不断发展，企业对信息化建设的要求越来越高。目前，烟草行业，尤其是以地市级烟草企业为代表的卷烟销售终端企业，在信息安全建设上给予的重视越来越高，资金的投入也越来越大，地市级烟草企业信息安全工作有了保障。
1 信息安全体系规划原则
根据国家和行业信息安全相关政策和标准，安全体系规划与设计工作遵循以下的建设原则：
（1）重点保护原则。针对核心的服务支撑平台，应采取足够强度的安全防护措施，确保核心业务不间断运行。
（2）灵活性原则。因信息技术日新月异的发展，而相应的安全标准滞后，应灵活设计相应的防护措施。
（3）责任制原则。安全管理应做到“谁主管，谁负责”，注重安全规章制度、应急响应的落实执行。
（4）实用性原则。以确保信息系统性能和安全为前提，充分利用资源，保障安全运行。
2 信息安全体系管理范围
以地市级烟草企业中心机房核心网络和系统为主，覆盖市局（公司）、各县级局（营销部）、基层专卖管理所等，安全体系包括范围：应用安全、网络安全、主机安全、数据安全、终端安全等。
3 信息安全体系规划框架
按照等级化保护“积极防御、综合防范”的方针，地市级烟草企业信息化建设需要进行整体安全体系规划设计，全面提高信息安全防护能力。
在综合评估信息化安全现状的基础上，从管理和技术来进行信息安全管理工作。信息安全体系建设思路是：以保护信息系统为核心，严格参考等级保护的思路和标准，满足地市级烟草企业信息系统在物理层面、网络层面、系统层面、应用层面和管理层面的安全需求，为各项业务的开展提供有力保障。信息安全体系框架如图1所示：
4 信息安全管理体系建设
从实际情况出发，体系包括安全组织机构、安全管理制度、人员安全、安全教育培训在内的安全管理体系。
4.1 组织机构
由决策机构、管理机构、和执行机构三个层面组成信息安全组织机构，并通过合理的组织结构设置、人员配备和工作职责划分，对信息安全工作实行全方位管理。
4.2 安全制度
信息安全规章制度是所有与信息安全有关的人员必须共同遵守的行为准则。应从信息安全组织机构和岗位职责、人员管理制度、信息系统管理制度、机房管理制度、网络管理制度等。
4.3 人员安全
通过管理控制手段，确保单位内部人员以及第三方人员的安全意识，包括人员的岗前安全技能培训、保密协议的签订等几个方面。
4.4 安全教育培训
通过有计划培训和教育手段，确保工作人员充分认识信息安全的重要性，具备符合要求的安全意识、知识和技能，提高其进行信息安全防护的主动性、自觉性和能力。
5 信息安全技术体系建设
按照等级保护方法，对信息系统进行安全区域的划分，并根据保护强度来采用相应的安全技术，实行分区域、分级管理。基础性保护措施实现后，建立地市级烟草企业的信息安全管理平台，对地市级烟草企业整体信息系统的统一安全管理。
5.1 划分安全区域
根据信息化资产属性，可划分为服务器区域、终端区域。目前，各业务域的服务器直接连接至核心交换机，无法对各个服务器区之间划分明确边界，在服务器区和核心交换机之间增加汇聚交换机，服务器经过汇聚交换机的汇聚再上联至核心交换机。对局域网按照业务功能区建立不同的VLAN，分别赋予相应级别的服务访问权限和安全防护措施。安全域网络拓扑如图2示：
一级安全域包括范围：地市级烟草企业办公区域、县公司办公区域、移动访问用户区域。部署上网行为管理、杀毒软件等防护措施。二级安全域包括对象：业务与管理服务器区域、网站服务器区域、公共平台服务器区（防病毒服务器、网管服务器）等。部署操作系统加固、身份认证、漏洞扫描、文件数据加密以及安全审计等措施。三级安全域包括数据服务器区域、存储备份区域以及核心交换机、主干路由器等。部署核心交换设备、链路冗余备份，加载广域网路由QOS策略，采用数据库高强度口令访问等措施。
5.2 保护计算环境
“云计算”和虚拟化技术的发展，打破了传统意义上按物理位置划分的计算环境。依照不同的保护等级，分别进行加强用户身份鉴别、标记和强制访问控制、系统安全审计、用户数据完整性保护、保密性保护、系统安全监测等措施。
5.3 区域边界保护
边界保护是一组功能的集合，包括边界的访问控制、包过滤、入侵监测、恶意代码防护以及区域边界完整性保护等。在技术上通过防火墙、入侵防护、病毒过滤、终端安全管理等措施来实现保护。
5.4 通信网络防护
信息系统的互联互通是建立在安全畅通的通信网络基础之上。通讯网络的构成主要包括网络传输设备、软件和通信介质。保护通信网络的安全措施有：网络安全监控、网络审计、网络冗余或备份以及可靠网络设备接入。一是利用入侵防护系统以及UTM在关键的计算环境边界，进行安全监控，防止非法的访问；二是对骨干网中的防火墙设备进行配置，制定安全访问控制策略，设置授信的访问区域；启用安全审计功能，对经过防火墙访问关键的IP、系统或数据进行记录、监控；通过网闸技术，对不同网络进行物理隔离。通过VLAN技术对内部网络进行逻辑隔离。
5.5 数据安全防护
建立数据安全备份和恢复机制，部署数据备份和恢复系统，制定相应的数据备份与恢复策略，完成对数据的自动备份，并建立数据恢复机制。建立异地数据级灾备中心，在系统出现灾难事故时，能够恢复数据使系统应用正常运行。
5.6 信息安全平台
现在企业很多商业业务、商业活动和财务管理系统协同工作等，都需要借助计算机网络进行。如果没有网络安全性的保障，就会发生系统延迟、拒绝服务、程序错误、数据篡改等现象，甚至很多情况下会发生木马病毒的侵蚀。过去企业数据是以文本文件的形式存在，虽然处理和操作不具有便捷性，但是能够起到保密性和可靠性的作用。计算机网络时代财务数据流能够实现财务数据的快速传递，但是在数据传输的过程中安全性难以得到有效的保障。所以在企业数据信息管理的过程中需要有保密性和可靠性的保障，维护企业的商业机密。其次，网络交易渠道容易发生数据信息丢失或损坏，交易双方的信息结果发生差异的现象时有发生，严重影响了企业数据的精准性。所以企业急需完整性的交易信息凭证，避免交易信息的篡改或者删除，保证交易双方数据的一致性[1]。
2企业网络面临的安全风险
2.1物理安全风险
近年来，很多现代化企业加大信息建设，一些下属公司的网络接入企业总网络，企业网路物理层边界限制模糊，而电子商务的业务发展需求要求企业网络具有共享性，能够在一定权限下实现网络交易，这也使得企业内部网络边界成为一个逻辑边界，防火墙在网络边界上的设置受到很多限制，影响了防火墙的安全防护作用。
2.2入侵审计和防御体系不完善
随着互联网的快速发展，网络攻击、计算机病毒不断变化，其破坏力强、速度快、形式多样、难以防范，严重威胁企业网络安全。当前，很多企业缺乏完善的入侵审计和防御体系，企业网络的主动防御和智能分析能力明显不足，检查监控效率低，缺乏一致性的安全防护规范，安全策略落实不到位。
2.3管理安全的风险
企业网络与信息的安全需要有效的安全管理措施作为制度体系保障，但是企业经常由于管理的疏忽，造成严重的网络信息安全风险。具体管理安全的风险主要表现在以下几个方面：企业没有健全和完善的网络安全管理制度，难以落实安全追责；技术人员的操作技术能力缺陷，导致操作混乱；缺乏网络信息安全管理的意识，没有健全的网络信息安全培训体系等。
3构建企业网络安全防护体系
3.1加强规划、预防和动态管理
首先，企业需要建立完善的网络信息安全防护体系，保证各项安全措施都能够满足国家信息安全的标准和要求。对自身潜在的信息安全风险进行统筹规划，针对性的展开安全防护系统的设计。其次，企业应该加强对安全防护系统建设的资金投入，建立适合自己网络信息应用需求的防护体系，并且定期进行安全系统的维护和升级。最后，加强预防与动态化的管理，要制定安全风险处理的应急预案，有效降低网络信息安全事故的发生。并且根据网络信息动态的变化，采取动态化的管理措施，将网络与信息安全风险控制在可接受的范围。
3.2合理划分安全域
现代化企业网络可以按照系统行为、安全防护等级和业务系统这三种方式来划分安全域。由于企业网络在不同区域和不同层次关注的内容不同，因此在划分企业网络安全域时，应结合业务属性和网络管理，不仅要确保企业正常的生产运营，还应考虑网络安全域划分是否合理。针对这个问题，企业网络安全域划分不能仅应用一种划分方式，应综合应用多种方式，充分发挥不同方式的优势，结合企业网络管理要求和网络业务需求，有针对性地进行企业网络安全域划分。
首先，根据业务需求，可以将企业网络分为两部分：外网和內网。由于互联网出口全部位于外网，企业网络可以在外网用户端和内网之间设置隔离，使外网服务和内网服务分离，隔离各种安全威胁，确保企业内网业务的安全性。其次，按照企业业务系统方式，分别划分外网和内网安全域，企业外网可以分为员工公寓网络、项目网络、对外服务网络等子网，内网可以分为办公网、生产网，其中再细分出材料采购网、保管网、办公管理网等子网，通过合理划分安全域，确定明确的网络边界，明确安全防护范围和对象目标。最后，按照网络安全防护等级和系统行为，细分各个子网的安全域，划分出基础保障域、服务集中域和边界接入域。基础保障域主要用来防护网络系统管理控制中心、软件和各种安全设备，服务集中域主要用于防护企业网络的信息系统，包括信息系统内部和系统之间的数据防护，并且按照不同的等级保护要求，可以采用分级防护措施，边界接入域主要设置在企业网络信息系统和其他系统之间的边界上。
3.3信息安全技术的应用
（1）防火墙技术
防火墙主要的作用是对不安全的服务进行过滤和拦截，对企业网络的信息加强访问限制，提高网络安全防护。例如，企业的信息数据库只能在企业内部局域网网络的覆盖下才能浏览操作，域外访问操作会被禁止。并且防火墙可以有效记录使用过的统计数据，对可能存在的攻击、侵入行为精心预测预警，最大限度地保障了企业内部网络系统的安全。随着业务模式的不断发展，简单的业务（端口）封堵已经不能适应动态的业务需要，需要采用基于内容的深度检测技术对区域间的业务流进行过滤。并借助于大数据分析能力对异常业务流进行智能分析判断。
（2）终端准入防御技术
终端准入防御技术主要是以用户终端作为切入点，对网络的接入进行控制，利用安全服务器、安全网络设备等联动，对接入网络的用户终端强制实施企业安全策略，实时掌控用户端的网络信息操作行为，提高用户端的风险主动防御能力。
4结束语
综上所述，计算机网络有效提高了企业业务工作的效率，实现企业计算机网络数据库中的数据分类、整理、资源的共享。但是，系统数据的保密、安全方面还存在技术上的一些欠缺，经常会发生数据被非法侵入和截取的现象，造成了严重的数据安全风险。企业应该科学分析网络与信息安全风险类型，加强规划、预防利用防火墙技术、终端准入防御技术等，提高企业网络与信息安全防护效率。
参考文献
[1]戴华秀.移动互联网时代信息安全应对策略分析[J].科技与创新，2016，（1）：36.
[摘要]实施网络财务给企业带来利益的同时也给企业内部控制带来新问题。建立适应互联网环境的内部控制，其措施应基于企业的内部网络和外部网络两大方面来进行。
随着网络财务的逐步实施，企业会计核算与会计管理的环境发生了很大变化，传统会计系统的内部控制机制和手段已不适应于网络环境，从而建立适合于网络环境下的内部控制体系是目前企业急需解决的问题。为建立和加强网络财务系统的内部控制，首先必须要弄清网络财务为企业的内部控制带来的新问题与新要求。
一、网络财务时代企业内部控制面临的新问题
（一）网络财务的应用扩大了企业会计核算范围企业实施网络财务以后，会计核算环境发生了很大的变化。第一，会计部门的组成人员结构发生变化，由原来的财务、会计人员转变为由财务、会计人员和计算机操作员、网络系统维护员、网络系统管理员等组成。第二，会计业务处理范围变大，除完成基本的会计业务外，网络财务同时还集成许多管理以及财务的相关功能，诸如网上支付、网上催账、网上报税、网上报关、网上法规及财务信息查询，以及网上询价、网上采购、网上销售、网上服务、网上银行、网上理财、网上保险、网上证券投资和网上外汇买卖等等。第三，网络财务提供在线办公等服务，从而使会计信息的网上实时处理成为可能，原来由几个部门按预定步骤完成的业务事项可集中在一个部门甚至一个人完成。因此，要保证企业会计系统对企业经济活动反映的正确可靠，达到企业内部控制目标，企业内部控制制度的范围和控制方法较原来系统将更加广泛和复杂。
（二）网络财务使会计信息储存方式和媒介发生变化
网络财务的应用使各类会计凭证和报表的生成方式、会计信息的储存方式和储存媒介发生变化。原始凭证在网络业务交易时自动产生并存入计算机，不再存在传统的原始凭证。会计电算化的第一阶段促进了介质的改变，从账本到磁盘文件。网络财务使会计介质继续发生变化，不仅账表，更多的介质将电子化，出现各种电子单据（如各种发票、结算单据）。存贮形式主要以网络页面数据存贮。发生业务交易时系统不一定打印原始记录；网页数据只能在计算机及相应的程序中阅读；原来在核算过程中进行的各种必要的核对、审核等工作大部分由计算机自动完成。因此，网络环境下会计内部控制的重点由对人的控制为主转变为对人、计算机和互联网的控制。
（三）网络财务使企业面临的安全风险加大
网络财务的应用将原来封闭的局域会计系统面临开放的互联网世界，给财务系统的安全提出了严重的挑战。第一，在网络环境下，过去以计算机机房为中心的“保险箱”式安全措施已不适用，大量的会计信息通过开放的internet传递，途经若干国家与地区，置身于开放的网络中，存在被截取、篡改、泄漏机密等安全风险，很难保证其真实性与完整性。第二，由于互联网的开放特性，给一些非善意访问者以可乘之机。目前黑客肆虐，世界上的各类网站每天都受到成千上万次攻击，网络财务系统无疑也面临巨大的安全风险。第三，计算机病毒的猖撅也为互联网系统带来更大的风险。在互联网中，计算机病毒可以通过E-mail或用户下载文件进行传播，其传播速度是单机的20倍。有效地防治计算机病毒对保障网络财务系统的安全性至关重要。因此，网络财务系统的内部控制不仅难度大、复杂，而且还要有各种控制的先进技术手段。
二、网络财务内部控制措施
（一）基于企业内部网（intranet）的控制措施
1.会计信息资源控制。会计信息来源于网络服务器的数据库系统中，所以网络数据库系统是整个网络财务系统控制的重点目标。威胁数据库系统的安全主要有两个方面：一是网络系统内外人员对数据库的非授权访问；二是系统故障、误操作或人为破坏数据库造成的物理损坏。针对上述威胁，会计信息资源控制应采取以下措施：（1）采用三层式客户机/服务器模式组建企业内部网，即利用中间服务器隔离客户与数据库服务器的联系，实现数据的一致性；（2）采用较为成熟的大型网络数据库产品并合理定义应用子模式。子模式是全部数据资料中面向某一特定用户或应用项目的一个数据处理集，通过它可以分别定义面向用户操作的用户界面，做到特定数据面向特定用户开放；（3）建立会计信息资源授权表制度；（4）采取有效的网络数据备份、恢复及灾难补救计划。
2.系统开发控制。它是一种预防性控制，目的是确保网络财务系统开发过程及内容符合内部控制的要求。财务软件的开发必须遵循国家有关机关和部门制订的标准和规范。（1）在网络财务系统开发之初，要进行详细的可行性研究；（2）在系统开发过程中，内审和风险管理人员要参与系统控制功能的研究与设计，制订有效的内部控制方案并在系统中实施；（3）在系统测试运行阶段，要加强管理与监督，严格按照《商品化会计核算软件评审规则》等各种标准进行；（4）系统运行前对有关人员进行培训，不仅培训系统的操作，还要使受训人员了解系统投入运行后新的内部控制制度和网络财务提供的高质量会计信息的进一步分析与利用等；（5）及时做好新旧系统转换。企业应在系统转换之际采取有效的控制手段，做好各项转换的准备工作，如旧系统的结算、汇总，人员的重新配置，新系统初始数据的安全导入等。
3.系统应用控制。是指具体的应用系统中用来预防、检测和更正错误，以及防止不法行为的内部控制措施。（1）在输入控制中，要求输入的数据应经过必要的授权，并经有关内部控制部门检查，还要采用各种技术手段对输入数据的准确性进行校验，如总数据控制校验、平衡校验、数据类型校验、二次录入校验等；（2）在处理控制中，对数据进行有效性控制和文件控制。有效性控制包括数字的核对、字段和记录长度检查、代码和数值有效范围的检查、记录总数的检查等。文件控制包括检查文件长度、标识和是否染毒等；（3）在输出控制中，一要验证输出结果是否正确和是否处于最新状态，以便用户随时得到最新准确的会计信息；二要确保输出结果能够送发到合法的输出对象，文件传输安全正确。转4.系统维护控制。系统维护包括软件修改、代码结构修改和计算机硬件与通讯设备的维修等，涉及到系统功能的调整、扩充和完善。对网络财务系统进行维护必须经过周密计划和严格记录，维护过程的每一环节都应设置必要的控制，维护的原因和性质必须有书面形式的报告，经批准后才能实施修改。软件修改尤为重要，网络财务系统操作员不能参与软件的修改，所有与系统维护有关的记录都应打印后存档。
5.管理控制。是指企业为加强和完善对网络财务系统涉及的各个部门和人员的管理和控制所建立的内部控制制度。由于网络财务系统是一种分布式处理结构，计算机网络分布于企业各业务部门，实现财务与业务协同处理，因此原来集中处理模式下的行政控制转变为间接业务控制。主要应做好如下几方面的工作：（1）设置适应于网络下作业的组织机构并设置相应的工作站点；（2）合理建立上机管理制度，包括轮流值班制度、上机记录制度、完善的操作手册和上机时间安排并保存完备的操作日志文件等；（3）建立完备的设备管理制度，对硬件设备所处的环境进行温度、湿度、防静电控制，做好网络的绝缘、接地和屏蔽工作，同时对人文环境进行控制，防止无关人员上机操作；（4）建立完备的内审制度。
（二）基于企业外部网（extranet）的控制措施
1.周界控制。是指通过安全区域的周界实施控制来达到保护区域内部系统安全的目的。它是预防外来攻击措施的基础，主要内容包括：（1）设置外部访问区域，明确企业内部网络的边界，防止“黑客”通过电话网络进入系统；（2）建立防火墙（firewall），在内部网和外部网之间的界面上构造保护屏障，防止非法入侵、非法使用系统资源，执行安全管理措施，记录所有可疑事件。
2.大众访问控制。大众访问包括文件传递、电子邮件、网上会计信息查询等。由于互联网络系统是一个全方位开放的系统，对社会大众的网上行为实际上是不可控的，因此，企业应在网络财务系统外部访问区域内采取相应防护措施。外部网络的访问控制主要有：（1）在网络财务系统中设置多重口令，对用户的登录名和口令的合法性进行检查；（2）合理设置网络资源的属主、属性和访问权限。资源的属主体现不同用户对资源的从属关系，如建立者、修改者等；资源的属性表示资源本身的存取特性，如读、写或执行等；访问权限体现用户对网络资源的可用程度；（3）对网络进行实时监视，找出并解决网络上的安全问题，如定位网络故障点、捉住非法入侵者、控制网络访问范围等；（4）审计与跟踪，包括对网络资源的使用、网络故障、系统记账等方面的记录和分析。
3.电子商务控制。网络财务是电子商务的基石，是电子商务的重要组成部分，因此，对电子商务活动也必须进行管理与控制。主要措施有：（1）建立与关联方的电子商务联系模式；（2）建立网上交易活动的授权、确认制度，以及相应的电子会计文件的接收、签发验证制度；（3）建立交易日志的记录与审计制度。
4.远程处理控制。网络财务系统的应用为跨国企业、集团企业实现远程报表、远程报账、远程查账、远程审计以及财务远程监控等远程处理功能创造了条件。这些功能的启用必须采取相应的控制措施，主要有：（1）合理设计网络财务系统各分支系统的安全模式并实施；（2）进行远程处理规程控制。
5.数据通讯控制。数据通讯控制是企业为了防止数据在传输过程中发生错误、丢失、泄密等事故而采取的内部控制措施。企业应采取各种有效手段来保护数据在传输过程中准确、安全、可靠。主要措施有：（1）保证良好的物理安全，在埋设地下电缆的位置设立标牌加以防范，尽量采用结构化布线来安装网络；（2）采用虚拟专用网（VPN）线路传输数据；（3）对传输的数据进行加密与数字签名。在系统的客户端和服务器之间传输的所有数据都进行两层加密保证数据的安全性，使用数字签名确保传输数据的保密性和完整性。
6.防病毒控制。在系统的运行与维护过程中应高度重视计算机病毒的防范及相应的技术手段与措施。可以采用如下控制措施：（1）对不需要本地硬盘和软盘的工作站，尽量采用无盘工作站；（2）采用基于服务器的网络杀毒软件进行实时监控、追踪病毒；（3）在网络服务上采用防病毒卡或芯片等硬件，能有效防治病毒；（4）财务软件可挂接或捆绑第三方反病毒软件，加强软件自身的防病毒能力；（5）对外来软件和传输的数据必须经过病毒检查，在业务系统严禁使用游戏软件；（6）及时升级本系统的防病毒产品。
[参考文献]
[1]严绍业。互联网-改变财务软件的十个方面[J].中国会计电算化，2000，（1）：10-12.
[关键词]网络时代电算化 企业 财务控制制度
一、网络时代电算化会计已对企业内部控制制度发起挑战
1.电子商务时代是日新月异的时代。企业会计核算与会计管理的内外部环境均发生了巨大变化,传统会计电算化系统的内部控制机制和手段已不能适应互联网环境。会计业务处理范围扩大,网络会计同时还集成许多管理及财务功能。因此,建立与互联网环境下相匹配的内部控制体系已是迫在眉睫。
2.会计信息储存方式和媒介发生变化。从数据和交易层次看,网络会计采用高度电子化的交易方式,对数据的正确性、交易及其轨迹均带来新的变化。网络环境下会计内部控制的重点由对人的控制转变为对人、计算机和互联网的控制。
3.企业面临的安全风险加大。网络会计的应用使原来封闭的局域网会计系统面临开放的互联网世界,给财务系统的安全提出了严峻的挑战,企业面临的安全风险日益增多。
4.法律法规建设滞后。网络会计、电子商务的迅猛发展远远超出了现有法律体系的规范,电子交易可能引发的法律争端,如何取证、合同的履行以及可靠性问题等,成为企业内部控制棘手问题。
二、对网络环境企业内部控制应采取的措施
1.基于企业内部网的控制措施
(1)程序控制。这是指依靠计算机程序(软件)对会计核算进行内部控制,以实现系统地自我保护。这种自我保护的内部控制往往比通过各种管理制度实现的控制更为有效,主要包括:输入控制,保证输入到计算机中的会计数据都经过了严格的审核,并且所有的会计信息都是正确的。输出控制,输出控制最重要的目标是保证各种输出结果的正确性、真实性、完整性,保证输出的接触人员仅限于经过授权的人员。
(2)制度控制。一般以管理制度形式实施,监督会计部门实行,以保证会计软件的正常、安全运行,免遭外界干扰破坏。主要包括:组织和人事管理制度、操作管理制度、文档管理制度、机房管理制度、系统开发和维护制度等。
(3)严格机构和人员的管理与控制。会计核算软件投入正式使用后,对原有会计机构必须做相应调整,对各类人员制定岗位责任制度,会计电算化后的工作岗位可分为基本会计岗位和电算化会计岗位,机构调整必须同组织控制相结合,以实现职权分离,有效地限制和及时发现错误或违法行为。
(4)严格系统操作环境管理和控制系统。操作环境包括系统操作过程以及系统的维护,操作过程控制主要通过制订一套完整而严格的操作规定来实现,操作规程应明确职责,操作程序和注意事项,并形成一套电算化系统文件。
(5)建立计算机房管理制。本具体措施包括:对进入机房内的人员进行严格审查;保证机房设备安全的措施,防火、防潮、防磁及恒温等方面的规定等;会计数据和会计软件安全保密的措施;修改会计核算软件的审批监督制度。
(6) 会计信息资源控制。对数据库系统的安全威胁主要有两个方面:一是网络系统内外人员对数据库的非授权访问;二是系统故障、误操作或人为破坏数据库造成的物理损坏。针对上述威胁,会计信息资源控制应采取以下措施:①采用三层式客户机/服务器模式组建企业内部网。②采用较为成熟的大型网络数据库产品并合理定义应用子模式,子模式是全部数据资料中面向某一特定用户或应用项目的一个数据处理集。③建立会计信息资源授权表制度。④采取有效的网络数据备份、恢复及灾难补救计划。
(7) 内部审计。内部审计应包括:①对会计资料定期进行审计,会计电算化系统账务处理是否正确,是否遵照《会计法》及有关法律、法规的规定。②监督数据保存方式的安全、合法性,防止发生非法修改历史数据的现象。③对系统运行各环节进行审查,防止存在漏洞。
除了上述措施外,还有建立健全档案管理制度、 系统开发控制、系统维护控制等。
2.基于企业外部网的控制措施
(1)周界控制。周界控制是通过对安全区域的周界实施控制来达到保护区域内部系统安全的目的,它是预防一切实行外来攻击措施的基础,主要内容包括:①设置外部访问区域,明确企业内部网络的边界,防止“黑客”通过电话网络进入系统;②建立防火墙,在内部网和外部网之间的界面上构造保护屏障,防止非法入侵、非法使用系统资源,执行安全管理措施,记录所有可疑事件。
(2)大众访问控制。由于互联网络系统是一个全方位开放的系统,对社会大众的网上行为实际上是不可控的。因此,企业应在网络会计系统外部访问区域内采取相应防护措施。①在网络会计系统中设置多重口令,对用户的登录名和口令的合法性进行检查;②合理设置网络资源的属主、属性和访问权限;③对网络进行实时监视,找出并解决网络上的安全问题。④审计与跟踪,包括对网络资源的使用、网络故障、系统记账等方面的记录和分析。
(3)电子商务控制。网络会计是电子商务的基石,是电子商务的重要组成部分,对电子商务活动也必须进行管理与控制。主要措施有:①建立与关联方的电子商务联系模式;②建立网上交易活动的授权、确认制度,以及相应的电子会计文件的接收、签发验证制度;③建立交易日志的记录与审计制度。
(4)远程处理控制。网络会计系统的应用为跨国企业、集团企业实现远程报表、远程报账、远程查账、远程审计以及财务远程监控等创造了条件。启用也必须采取相应的控制措施。
(5)防病毒控制。①对不需要本地硬盘和软盘的工作站,尽量采用无盘工作站;②采用基于服务器的网络杀毒软件进行实时监控、追踪病毒;③在网络服务上采用防病毒卡或芯片硬件,能有效防治病毒;④财务软件可挂接或捆绑第三方反病毒软件,加强软件自身的防病毒能力;⑤对外来软件和传输的数据必须经过病毒检查,在业务系统严禁使用游戏软件;⑥及时升级本系统的防病毒产品。
(6)数据通讯控制。①保证良好的物理安全,在埋设地下电缆的位置设立标牌加以防范,尽量采用结构化布线来安装网络;②采用虚拟专用网(VPN)线路传输数据,开辟安全数据通道;③对传输的数据进行加密与数字签名,确保传输数据的保密性和完整性。
参考文献:
[1]黄正瑞.论计算机会计的内部控制及其审计[J].财务与会计,2001,(2).
[2]王京文,胡进平.网络财务时代扑面而来[J].会计研究.
1基于企业内部网的控制措施
1.1会计信息资源控制。
会计信息来源于网络服务器的数据库系统中,因而网络数据库系统是整个网络会计系统控制的重点目标。对数据库系统的安全威胁主要有两个方面:一是网络系统内外人员对数据库的非授权访问,二是系统故障、误操作或人为破坏数据库造成的物理损坏。针对上述威胁,会计信息资源控制应采取以下措施:采用三层式客户机/服务器模式组建企业内部网,即利用中间服务器隔离客户与数据库服务器的联系,实现数据的一致性;采用较为成熟的大型网络数据库产品并合理定义应用子模式,子模式是全部数据资料中面向某一特定用户或应用项目的一个数据处理集,通过它可以分别定义面向用户操作的用户界面,做到特定数据面向特定用户开放;建立会计信息资源授权表制度;采取有效的网络数据备份、恢复及灾难补救计划。
1.2系统开发控制。
系统开发控制是一种预防性控制,目的是确保网络会计系统开发过程及内容符合内部控制的要求。财务软件的开发必须遵循国家有关部门制订的标准和规范。在网络会计系统开发之初,要进行详细的可行性研究;在系统开发过程中,内审和风险管理人员要参与系统控制功能的研究与设计,制定有效的内部控制方案,并将定制的控制方案在系统中实现;在系统测试运行阶段,要加强管理与监督,严格按照《商品化会计核算软件评审规则》等各种标准进行。
1.3系统应用控制。
应用控制是指具体的应用系统中用来预防、检测和更正错误,以及防止不法行为的内部控制措施。在输入控制中,要求输入的数据应经过必要的授权,并经有关内部控制部门检查,还要采用各种技术手段对输入数据的准确性进行校验;在处理控制中,对数据进行有效性控制和文件控制,有效性控制包括数字的核对、字段和记录长度检查、代码和数值有效范围的检查、记录总数的检查等,文件控制包括检查文件长度、标识和是否染毒等;在输出控制中,一要验证输出结果是否正确和是否处于最新状态,以便用户随时得到最新准确的会计信息,二要确保输出结果能够送发到合法的输出对象,文件传输安全正确。
1.4系统维护控制
系统维护包括软件修改、代码结构修改和计算机硬件与通讯设备的维修等,涉及到系统功能的调整、扩充和完善。对网络会计系统进行维护必须经过周密计划和严格记录,维护过程的每一环节都必须设置必要的控制,维护的原因和性质要有书面形式的报告,经批准后才能实施修改。软件修改尤为重要,网络会计系统操作员不能参与软件的修改,所有与系统维护有关的记录都应该打印后存档。
1.5管理控制。
管理控制是指企业为加强和完善对网络会计系统涉及的各个部门和人员的管理和控制所建立的内部控制制度。由于网络会计系统是一种分布式处理结构,计算机网络分布于企业各业务部门,实现财务与业务协同处理,因此原来集中处理模式下的行政控制转变为间接业务控制。主要应采取如下几方面的措施:设置适应于网络下作业的组织机构并设置相应的工作站点;合理建立上机管理制度,包括轮流值班制度、上机记录制度、完善的操作手册和上机时间安排并保存完备的操作日志文件等;建立完备的设备管理制度。
2基于企业外部网的控制措施
2.1周界控制
周界控制是通过对安全区域的周界实施控制来达到保护区域内部系统的安全性目的,它是预防一切实行外来攻击措施的基础,主要内容包括:设置外部访问区域,明确企业内部网络的边界,防止"黑客"通过电话网络进入系统;建立防火墙,在内部网和外部网之间的界面上构造保护屏障,防止非法入侵、非法使用系统资源,执行安全管理措施,记录所有可疑事件。
2.2大众访问控制。
大众访问包括文件传递、电子邮件、网上会计信息查询等,由于互联网络系统是一个全方位开放的系统,对社会大众的网上行为实际上是不可控的。因此,企业应在网络会计系统外部访问区域内采取相应防护措施。外部网络的访问控制主要有:在网络会计系统中设置多重口令,对用户的登录名和口令的合法性进行检查;合理设置网络资源的属主、属性和访问权限,资源的属主体现不同用户对资源的从属关系,如建立者、修改者等,资源的属性表示资源本身的存取特性,如读、写或执行等,访问权限体现用户对网络资源的可用程度;对网络进行实时监视,找出并解决网络上的安全问题,如定位网络故障点、捉住非法入侵者、控制网络访问范围等;审计与跟踪,包括对网络资源的使用、网络故障、系统记帐等方面的记录和分析。
2.3电子商务控制
网络会计是电子商务的基石,是电子商务的重要组成部分,对电子商务活动也必须进行管理与控制。主要措施有:建立与关联方的电子商务联系模式;建立网上交易活动的授权、确认制度,以及相应的电子会计文件的接收、签发验证制度;建立交易日志的记录与审计制度。
2.4远程处理控制
网络会计系统的应用为跨国企业、集团企业实现远程报表、远程报帐、远程查帐、远程审计以及财务远程监控等远程处理功能创造了条件。这些功能的启用也必须采取进行相应的控制措施,主要有:合理设计网络会计系统各分支系统的安全模式并实施;进行远程处理规程控制。
2.5数据通讯控制
数据通讯控制是企业为了防止数据在传输过程中发生错误、丢失、泄密等事故而采取的内部控制措施,企业应采取各种有效手段来保护数据在传输过程中准确、安全、可靠。主要措施有:保证良好的物理安全,在埋设地下电缆的位置设立标牌加以防范,尽量采用结构化布线来安装网络;采用虚拟专用网(VPN)线路传输数据,开辟安全数据通道;对传输的数据进行加密与数字签名,在系统的客户端和服务器之间传输的所有数据都进行两层加密保证数据的安全性,使用数字签名确保传输数据的保密性和完整性
近几年，由于计算机网络的出现，导致各国的联系日益密切，经济全球化趋势不可阻挡，在计算机不断进步的同时，一些不法分子利用恶意软件、计算机病毒等威胁计算机的网络安全。我国目前额信息化进程还远落后于西方发达国家，但是我国的计算机犯罪发生率却不断提升。因此，我们应该认真对待企业信息安全存在的问题，清楚企业安全现状。首先，我国网络安全维护人员的技术水平整体不高，因为我国计算机起步较晚，相关技术不太成熟，且实际工作中对计算机安全技术人员的需求不断加大，各种安全隐患层出不穷、日新月异。导致目前我国的安全技术工作无法满足社会需求。其次，我国普遍缺乏安全意识，并没有认识到网络信息泄露带来的严重后果，缺少自我保护意识和能力，多数计算机使用者并不做相关的防护措施，只凭借计算机自身安全防护系统进行保护，基本上处于一种无保护状态。
2企业计算机网络存在的隐患
2.1计算机安全系统不足
目前我国自主创新能力还不是很强，很多硬件核心技术不能自主研发，还要依靠其他国家。一旦发生硬件方面的故障导致信息泄露，将会给企业带来无法想象的损失。例如：文件服务器不能正常运行，功能不完善等都会对网络系统造成一定的影响。由于很多企业对计算机的使用只限于对工作业务的办理，基本就应用很少的网络功能，限制了其他功能的使用。我们现在所使用的操作系统存在漏洞，这样的计算机一旦联网就很容易被病毒和不法分子留下可乘之机，导致计算机中毒。
2.2操作系统和软件没有及时升级、修补
我国大多数企业使用的都是局域网，企业内部的办公网络并没有和外界互联网相连，因此对于系统和软件的升级工作不能及时进行处理，因此要想避免因操作系统未能及时更新带来的问题，就需要企业安排专门的技术人员对系统软件定期进行升级处理。如果企业计算机系统不能及时升级就会导致网络留下安全隐患。软件的升级处理需要借助一定的软件升级程序，网络升级软件的选择同样重要，如果选择不当，那么就会给企业计算机网络带来更大的威胁。
2.3缺乏网络安全意识、管理制度有待提高
虽然有些企业加强了网络管理，但是对于网络安全问题的严重性认识不足，网络建设工作起步较晚，虽然企业建立了相关系统，但专业性不强。由于我国建立企业内部网还处于不成熟，因此企业缺乏专业的技术人员进行维护工作，有的维护人员并没有接受过正规培训，安全意识不强。企业管理人员也不够重视网络安全问题，管理工作不到位，导致企业各种信息受到威胁或损坏，并对企业的发展造成不利影响。
3企业计算机网络安全防范策略
3.1物理安全策略
为了保护企业计算机网络免受不法分子的攻击，需要对其采取一定的防范策略，首先介绍一下物理安全策略。主要是对计算机硬件系统进行保护，防止由于外部撞击或者是自然灾害等损害计算机设备。物理保护是对计算机最基本也是最重要的保护，物理安全策略阻止非法用户进入和访问，加强计算机系统安全设置。
3.2信息加密策略
企业日常工作很多需要文件传送，因此才会导致信息安全泄露现象严重。因此，对信息进行加密工作就变得很重要，加密工作可以提高企业内部文件的机密性，防止一些不法分子随意进入，有了密码保护，增大了不法分子进入企业内部网络的难度。企业可以设置繁琐的密码钥匙，阻止非法用户进入，保护企业信息免受破坏。
3.3控制访问策略
控制访问策略是目前最有效的保护措施。访问控制有多种形式。如：入网控制、授权控制、属性控制等。近几年来又新兴起一种防火墙控制，防火墙也是一种很有效的阻止黑客攻击的控制策略。它是网络的保护伞，防火墙控制不仅安全性高，而且经济有效。
3.4提高安全检测技术
提高计算机网络的安全检测技术，及时发现存在网络中的病毒、恶意软件等，并及时采取有效措施排除故障，做好防护措施，从而减少企业的网络系统遭到破坏。提高企业的信息安全度，保障企业各项工作顺利开展。
4结束语
关键词:病毒防治;黑客入侵;数据恢复
中图分类号:TP393.08 文献标识码:A 文章编号:1009-3044(2009)15-3906-03
Enterprise Network Security Protection Strategy and Discussion
PAN Li-fu
Abstract: The modern enterprise network security protection common security issues and their implications, explore ways to solve these problems of network security, provides network-based security policy.
Key words: HIV prevention; hacking; data recovery
1 引言
当我们需要和他人通过计算机协作处理问题的时候,就需要将计算机接入网络。通过网络,用户可以发送电子邮件(E-mail)、上传数据,下载文件等等,使用极其方便。但其开放性和复杂性却带来了黑客入侵、病毒感染等安全性问题。一旦安全问题得不到很好地解决,就可能出现商业秘密泄漏、设备损坏、数据丢失、系统瘫痪等严重后果(如帐户信息,敏感数据,客户资料),给正常的企业经营活动造成极大的负面影响。因此企业需要一个更安全的网络系统。
企业的网络系统的安全包括网络设备、配套设备的安全、数据的安全、通讯的安全、运行环境的安全,还包括网络内部每台计算机的安全、计算机功能的正常发挥等部分。
2 影响企业网络安全的因素
1)病毒:计算机病毒是指那些具有自我复制能力的计算机程序,它能影响计算机软件、硬件的正常运行,破坏数据的正确与完整。
随着计算机和网络的进步和普及,计算机病毒也不断出现,总数已经两万多种,并以每月四百多种的速度增加,其破环性也不断增加,而网络病毒破坏性就更强。一旦文件服务器的硬盘被病毒感染,就可能造成系统损坏、数据丢失,使网络服务器无法起动,应用程序和数据无法正确使用,甚至导致整个网络瘫痪,造成不可估量的损。网络病毒普遍具有较强的再生机制,可以通过网络扩散与传染。一旦某个公用程序染了毒,那么病毒将很快在整个网络上传播,感染其它的程序。由网络病毒造成网络瘫痪的损失是难以估计的。一旦网络服务器被感染,其解毒所需的时间将是单机的几十倍以上。
2)恶意攻击:是指任何试图危及计算机资源的完整性、机密性、或是可用性的行为。
企业的网络基本上都采用以广播为技术基础的以太网。在同一以太网中,任何两个节点之间的通信数据包,不仅可以为这两个节点的网卡所接收,也同时能够为处在同一以太网上的任何一个节点的网卡所截取。另外,为了工作方便,企业的办公自动化网络都备有与外网和国际互联网相互连接的出入口,因此,外网及国际互联网中的黑客只要侵入企业的ERP系统或是办公自动化网络中的任意节点进行侦听,就可以捕获发生在这个以太网上的所有数据包,对其进行解包分析,从而窃取关键信息;而本网络中的黑客则有可能非常方便的截取任何数据包,从而造成信息的失窃。
3)非授权访问:指对网络设备及信息资源进行非正常使用或越权使用等。
4)冒充合法用户:主要指利用各种假冒或欺骗的手段非法获得合法的使用权限,以达到占用合法资源的目的。
5)破坏数据的完整性:指利用非法手段,删除、修改、重发某些重要信息,以干扰用户的正常使用。
在现代企业网络系统中,有多种因素可能导致数据的破坏,首先是黑客侵入,黑客基于各种原因侵入网络,其中恶意侵入对网络的危害可能是多方面的。其中一种危害就是破坏数据,可能破坏服务器硬盘引导区数据、删除或覆盖原始数据库、破坏应用程序数据等。其次是病毒破坏,病毒可能攻击系统数据区,包括硬盘主引导扇区、Boot扇区、FAT表、文件目录等;病毒还可能攻击文件数据区,使文件数据被删除、改名、替换、丢失部分程序代码、丢失数据文件;病毒还可能攻击CMOS,破坏系统CMOS中的数据。再就是灾难破坏,由于自然灾害、突然停电、强烈震动、误操作等造成数据破坏。重要数据遭到破坏和丢失,会造成企业经营困难、人力、物力、财力的巨大浪费。
6)干扰系统正常运行:指改变系统的正常运行方法,减慢系统响应时间等手段。
7)线路窃听:指利用通信介质的电磁泄漏或搭线窃听等手段获取非法信息。
3 确保企业网络安全的策略
企业的网络安全问题的解决主要应从预警、防护、灾难恢复等三方面入手,下面就安全预警、数据安全防护、入侵防范、病毒防治以及数据恢复等方面分别探讨。
3.1 网络安全预警
现代企业网络安全预誓系统分为入侵预警和病毒预警两部分。入侵预警系统中,入侵检测可以分析确定网络中传输的数据包是否经过授权。一旦检测到入侵信息,将发出警告,从而减少对网络的威胁。它把包括网络扫描、互联网扫描、系统扫描、实时监控和第三方的防火墙产生的重要安全数据综合起来,提供内部和外部的分析并在实际网络中发现风险源和直接响应。它提供企业安全风险管理报告,报告集中于重要的风险管理范围,如实时风险、攻击条件、安全漏洞和攻击分析;提供详细的入侵告警报告,显示入侵告警信息(如入侵IP地址及目的IP地址、目的端口、攻击特征),并跟踪分析入侵趋势,以确定网络的安全状态;信息可以发往相关数据库,作为有关网络安全的决策依据。病毒预警系统通过对所有进出网络的数据包实施不间断的持续扫描,保持全天24小时监控所有进出网络的文件,发现病毒时可立即产生报警信息,通知网络管理员,并可以通过IP地址定位、端口定位追踪病毒来源,并产生功能强大的扫描日志与报告,记录规定时间内追踪网络所有病毒的活动。
3.2 数据安全保护
3.2.1 针对入侵的安全保护
对于数据库来说,其物理完整性、逻辑完整性、数据元素完整性都是十分重要的。数据库中的数据有纯粹信息数据和功能文件数据两大类,入侵保护应主要考虑以下几条原则:
1)物理设备和安全防护,包括服务器、路由器、交换机、有线、无线通信线路的安全防护;
2)服务器安全保护,不同类型、不同重要程度的数据应尽可能在不同的服务器上实现,重要数据采用分布式管理,服务器应有合理的访问控制和身份认证措施保护,并记录访问日志。系统中的重要数据在数据库中应有加密和验证措施。
3)用户对数据的存取应有明确的授权策略,保证用户只能打开自己权限范围之内的文件;通过审计和留痕技术避免非法者从系统外取得系统数据或是合法用户为逃避系统预警报告的监督而从系统中取得数据;客户端安全保护,客户端的安全主要是要求能配合服务器的安全措施,提供身份认证、加密、解密、数字签名和信息完整性验证功能,并通过软件强制实现各客户机口令的定期更换,以防止口令泄漏可能带来的损失。
3.2.2 针对病毒破坏及灾难破坏的安全保护
对于病毒和灾难破坏的数据保护来说,最为有效的保护方式有两大类:物理保护和数据备份。
要防止病毒和灾难破坏数据,首先要在网络核心设备上设置物理保护措施,包括设置电源冗余模块和交换端口的冗余备份;其次是采用磁盘镜像或磁盘阵列存储数据,避免由于磁盘物理故障造成数据丢失;另外,还要使用其他物理媒体对重要的数据进行备份,包括实时数据备份和定期数据备份,以便数据丢失后及时有效地恢复。
3.3 入侵防范
要有效地防范非法入侵,应做到内外网隔离、访问控制、内部网络隔离和分段管理。
3.3.1 内外网隔离
在内部办公自动化网络和外网之间,设置物理隔离,以实现内外网的隔离是保护办公自动化网络安全的最主要、同时也是最有效、最经济的措施之一。
第一层隔离防护措施是路由器。路由器滤掉被屏蔽的IP地址和服务。可以首先屏蔽所有的IP地址,然后有选择的放行一些地址进入办公自动化网络。
第二层隔离防护措施是防火墙。大多数防火墙都有认证机制,无论何种类型防火墙,从总体上看,都应具有以下五大基本功能:过滤进、出网络的数据;管理进、出网络的访问行为;封堵某些禁止的业务;记录通过防火墙的信息内容和活动;对网络攻击的检测和告警。
3.3.2 访问控制
现代企业网络应采用访问控制的安全措施,将整个网络结构分为三部分,内部网络、隔离区以及外网。每个部分设置不同的访问控制方式。其中内部网络是不对外开放的区域,它不对外提供任何服务,所以外部用户检测不到它的IP地址,也难以对它进行攻击。隔离区对外提供服务,系统开放的信息都放在该区,由于它的开放性,就使它成为黑客们攻击的对象,但由于它与内部网是隔离开的,所以即使受到了攻击也不会危及内部网,这样双重保护了内部网络的资源不受侵害,也方便网络管理员监视和诊断网络故障。
3.3.3 内部网络的隔离及分段管理
内部网络分段是保证安全的一项重要措施,同时也是一项基本措施,其指导思想在于将非法用户与网络资源相互隔离,从而达到限制用户非法访问的目的。
企业网络可以根据部门或业务需要分段。网络分段可采用物理分段或逻辑分段两种方式。物理分段通常是指将网络从物理层和数据链路层上分为若干网段,各网段相互之间无法进行直接通讯;逻辑分段则是指将整个系统在网络层上进行分段。并能实现子网隔离。在实际应用过程中,通常采取物理分段与逻辑分段相结合的方法来实现隔离。
采取相应的安全措施后,子网间可相互访问。对于TCP/IP网络,可把网络分成若干IP子网,各子网间必须通过路由器、路由交换机、网关或防火墙等设备进行连接,利用这些中间设备(含软件、硬件)的安全机制来控制各子网间的访问。在这里,防火墙被用来隔离内部网络的一个网段与另一个网段,可以限制局部网络安全问题对全局网络造成的影响。
3.4 病毒防治
相对于单机病毒的防护来说,网络病毒的防治具有更大的难度,网络病毒防治应与网络管理紧密结合。网络防病毒最大的特点在于网络的管理功能,如果没有管理功能,很难完成网络防毒的任务。只有管理与防范相结合,才能保证系统正常运行。
计算机病毒的预防在于完善操作系统和应用软件的安全机制。在网络环境下,病毒传播扩散快,仅用单机防杀病毒产品已经难以清除网络病毒,必须有适用于局域网、广域网的全方位防杀病毒产品。为实现计算机病毒的防治,可在企业网络系统上安装网络病毒防治服务器,并在内部网络服务器上安装网络病毒防治软件,在单机上安装单机环境的反病毒软件。安装网络病毒防治服务器的目标是以实时作业方式扫描所有进出网络的文件。本地网络与其它网络和各种局域网间的数据交换、本地网络工作站与服务器间的数据交换、本地网络各工作站之间的数据交换都要经过网络病毒防治服务器的检测与过滤,这样就保证了网络病毒的实时查杀与防治。
3.5 数据恢复
企业的数据遭到破坏之后,其数据恢复程度依赖于数据备份方案。
数据备份的目的在于尽可能快地全盘恢复运行计算机系统所需的数据和系统信息。根据系统安全需求可选择的备份机制有实时高速度、大容量自动的数据存储、备份与恢复;定期的数据存储、备份与恢复;对系统设备的备份。备份不仅在网络系统硬件故障或人为失误时起到保护作用,也在入侵者非授权访问或对网络攻击及破坏数据完整性时起到保护作用,同时亦是系统灾难恢复的前提之一。
4 提高现代企业网络安全的几个重要步骤
1)限制对网关的访问。限制网关上的帐号数。不要允许在网络上进行根注册。
2)不要信任任何人。网关不信任任何机器。没有一台机器应该信任网关。
3)不要用NFS向网关传输或接收来自网关的任何文件系统。
4)不要在网关上使用NIS(网络信息服务)。
5)制订和执行一个非网关机器上的安全性方针。
6)关闭所有多余服务和删除多余程序。
7)删除网关的所有多余程序(远程登录、rlogin、FTP等等)。
8)定期阅读系统记录。
5 结束语
无论是现实世界还是在数字世界都存在各种各样的威胁和安全问题,认为只要购买了防火墙,防病毒软件等安全产品,就可以万事大吉,那是不可能的。企业各部门之间、企业和企业之间、国际间信息交流的日益频繁,现代企业网络的安全问题已经提到重要的议事日程上来。所以,一个技术上可靠、设计上可行、投资上合理的网络安全防护措施已经成为成功的现代企业网络策略。
参考文献:
[1] 蔡立军.计算机网络安全技术[M].北京:中国水利水电出版社,2002.
