时间：2023-09-14 17:42:06
开篇：写作不仅是一种记录，更是一种创造，它让我们能够捕捉那些稍纵即逝的灵感，将它们永久地定格在纸上。下面是小编精心整理的12篇网络安全巡检制度，希望这些内容能成为您创作过程中的良师益友，陪伴您不断探索和进步。
关键词 消防；网络信息安全
中图分类号TN91 文献标识码A 文章编号 1674-6708（2014）121-0239-02
0引言
随着计算机和网络技术在消防部队的广泛应用，网络安全和信息保密问题也日益凸显。近几年，公安消防部队发生了一些网络违规事件、失泄密案件大多是通过计算机和网络途径发生的，网络攻击、网络窃密和网上违法犯罪等问题日渐突出。在中央网络安全和信息化领导小组第一次会议明确指出：没有网络安全就没有国家安全。下面，笔者就如何加强公安消防部队网络信息安全工作谈谈自己的看法。
1 当前基层公安消防部队网络信息安全现状
1.1网络安全意识普遍不强。
基层公安消防部队官兵在日常工作中要经常性接触互联网、公安信息网和调度指挥网，台式计算机、移动办公终端（笔记本电脑）基本普及，这给广大官兵日常办公带来了很大的方便。但由于部分官兵网络安全意识不强，甚至淡薄，导致出现以下方面：一是U盘、移动硬盘等移动数码存储介质普遍存在公安信息网和互联网交叉使用的问题，易使电脑感染病毒，甚至造成网络失泄密。二是工作用计算机未及时更新升级杀毒软件，致使杀毒软件无法发挥正常的监控和查杀功能。三是打开办公系统或网页浏览信息后，没有随手关闭的意识，致使一些重要内容被外来人员浏览。四是个别官兵网络安全防范知识匮乏，将个人智能手机等便携式上网设备连接公安网充电或下载资料，造成“一机两用”违规。五是公安网电脑和各类服务器密码设置过于简单，且不能定期更换，易遭到恶意登陆，造成重要信息的外泄。
1.2网络信息安全规章制度落实不力
《公安信息网“八条纪律”和“四个严禁”》、《禁止公安业务用计算机“一机两用”的规定》、《公安网计算机使用管理规定》、网络信息系统日巡检、系统日志周检查和数据库备份制度等一系列网络信息安全规章制度未有效落实在日常工作中，麻痹大意思想不同程度存在，造成了基层公安消防部队网络信息安全隐患事件。
1.3网络安全教育组织不到位
大多数基层部队官兵电脑、网络方面的维护知识较少，对于查杀病毒、杀毒软件升级、设置更改密码等一些基本操作都不精通，工作中普遍存在只使用、不懂维护现象，这些因素致使网络信息安全得不到保障有效。多数基层消防部队开展网络安全教育手段较为单一，多是照本宣科的传达上级规章制度，不少单位甚至将士兵上网行为视作洪水猛兽，这种一味去“堵”、“防”的安全教育管理模式，显然不能从根本上解决问题，也达不到提升官兵自身网络安全意识的效果。另外基层消防部队的合同制消防员和文职人员流动性大，也增加了消防部队网络安全教育的复杂因素。
1.4网络安全技术防范措施和手段较为单一
基层公安消防部队的网络信息安全系统建设普遍不到位，网络安全管理平台、威胁管理（UTM）、防病毒、入侵侦测、安全审计、漏洞扫描、数据备份等安全设备缺口较大。受经费制约，不少基层消防部队在信息化项目建设时不能按照有关规定进行网络安全设计，无法同步建设网络信息安全系统。这种现象致使基层部队网络安全技术防范措施和手段较单一，不能及早发现、消除一些网络安全隐患。
2 加强基层公安消防部队网络信息安全的对策
2.1加强网络信息安全教育
基层消防部队要组织官兵经常性地学习部队网络信息安全规章及禁令，积极开展反面警示及法制教育，从中汲取教训，举一反三，使官兵充分认识到网上违纪违规行为的严重性和危害性。针对网络违纪的倾向性问题，加强思想政治教育、革命人生观教育和忧患意识教育，让青年官兵做到正确认识看待网络技术，正确把握自己的言行。可以邀请保密部门进行专题培训、组织案例剖析以及窃密攻防演示等多种形式，进一步强化官兵依法保护国家秘密的自觉性。要加强对文员和合同制队员的岗前培训与安全保密教育工作，对于日常工作中经常接触公安网和内部信息的人员要严格监督和指导，贯彻落实各项安全管理制度，杜绝违纪泄密事件发生，最大限度地消除隐患，确保网络信息安全。
2.2规范日常网络安全检查
应配责任心强、计算机素质较高的官兵为单位网络安全管理员，严格落实网络信息系统日巡检、系统日志周检查和数据库定期备份制度，并将设备运行参数、安全运行情况、故障处理信息等检查、巡检结果造册登记。同时要定期组织开展计算机网络安全自查，确保不漏一人、一机、一盘、一网，对排查出来的问题要逐项登记，落实整改措施，消除隐患，堵塞漏洞。通过经常性的检查评比，在部队内部营造浓厚的网络信息安全氛围，不断提升官兵做好网络信息安全工作的自觉意识，杜绝各类网络信息违纪泄密事件发生，把隐患消灭在萌芽状态，确保网络信息安全稳定。
2.3加强公安信息网接入边界管理
每台接入公安网的计算机必须安装“一机两用”监控程序、防病毒软件，及时更新操作系统补丁程序，坚决杜绝未注册计算机接入公安网络。计算机、公安信息网、互联网必须实行物理隔离。严禁具有WIFI、蓝牙功能的3G手机连接公安网电脑。除移动接入应用外，严禁笔记本电脑接入公安网。严格落实各类应用系统和网站的登记、备案制度，严格上网内容的审批，防止非网管人员随意登录服务器篡改业务系统程序、开设论坛、聊天室、架设游戏网站、非工作视频下载等违规行为。
2.4加强网络信息安全技术保障
基层消防部队要依据《全国公安消防部队安全保障系统建设技术指导意见》，在建设信息化项目时，制定切实可行的网络安全保障规划，加大投入，确保用于网络安全与保密系统方面的投入不低于信息化建设项目投资总额的10%，逐步配备必要的网络信息安全系统，研究网络安全防范技术，建立网上巡查监控机制，提高计算机网络和信息系统的整体防范能力和
水平。
2.5建立健全网络信息责任机制
基层消防部队要按照“谁主管、谁负责”的原则，严格落实公安网络安全和保密工作军政主官负责制，加强公安网络安全和保密工作的组织领导和监督检查，及时研究解决网络信息安全工作中遇到的问题和困难，督促工作措施落实。要严格落实定期网络安全与保密形势分析制度，在内网网站建立网络安全管理专栏，通报网络运行情况和网络安全管理情况。同时加大对网络违规违纪的查处力度，将网络信息安全防范工作全面贯彻到部队日常安全管理工作中，逐步建立健全对网上违规行为的调查、取证、处罚、通报等查处工作联动机制。凡因管理不善、措施不力、工作不落实，发生网络违规违纪事件的，实行问责制和责任倒查制，对直接责任人进行严肃处理。
参考文献
[1]河南省公安消防部队网络与信息全安管理员管理规范.
关键词：信息安全；等级保护；漏洞扫描
中图分类号：TP315 文献标识码：A 文章编号：1007-9599 (2011) 23-0000-02
Use Vulnerability Scanning System to Improve the Level of Power Supply Enterprise Information Security Management
Chen Wan
(Guangdong Power Grid Corporation,Shantou Power Supply Bureau,Shantou 515041,China)
Abstract:The building vulnerability scanning system,and regulate their use of processes,thereby enhancing the power supply enterprise level and effectiveness of information security management.Shantou Power Supply Bureau introduced the use of the IDC deployment vulnerability scanning system,set up the server was added to the process specifications,thereby enhancing the information security management.
Keywords:Information security;Protection Level;Vulnerability scanning
引言：伴随着信息化的高速发展，信息安全的形势日趋复杂和严峻。国家政府对信息安全高度关注，信息安全等级保护是我国在新的信息安全形势下推行的一项国家制度，国家相关部门高度重视等级保护制度的落实与执行。信息系统是业务系统的支持平台，信息系统的安全是承载业务系统安全的基础，而在信息系统等级保护中，安全技术测评包括五个部分：分别是物理安全、网络安全、主机安全、应用安全、数据安全及备份恢复。其中所涉及到的主机系统安全控制点包括：身份鉴别、安全标记、访问控制、可信路径、安全审计、入侵防范、恶意代码防范和资源控制等九个控制点。怎么提前做好风险控制，利用现有的信息安全工具，规范信息系统主机上架前的检测，对信息安全的管理是一种创新的尝试，也是安全管理中位于未雨绸缪的体现。
一、漏洞扫描系统的构建
（一）漏洞扫描工具的作用
漏洞扫描工具采用高效、智能的漏洞识别技术，第一时间主动对网络中的资产进行细致深入的漏洞检测、分析，并提供专业、有效的漏洞防护建议。
我们采用的漏洞扫描工具的管理是基于Web的管理方式，用户使用浏览器通过SSL加密通道和系统Web界面模块进行交互，采用模块化设计。具有优化的专用安全系统平台，具有很高的安全性和稳定性。其专用硬件能够长期稳定地运行，很好地保证了任务的周期性自动处理。能够自动处理的任务包括：评估任务下发、扫描结果自动分析、处理和发送、系统检测插件的自动升级等。同时支持多用户管理模式，能够对用户的权限做出严格的限制，通过权限的划分可以实现一台设备多人的虚拟多机管理，并且提供了登录、操作和异常等日志审计功能，方便用户对系统的审计和控制。
在每次安全评估之前，用户需要根据自己的业务系统确定需要进行评估的资产，并且划分资产的重要性。漏洞扫描系统根据用户的资产及其重要性会自动在其内部对目标评估系统建立基于时间和基于风险等多种安全评估模型。在对目标完成评估之后，模型输出的结果数据不但有定性的趋势分析，而且有定量的风险分析，用户能够清楚地看到单个资产、整个网络的资产存在的风险，还能够看到网络中漏洞的分布情况、风险级别排名较高的资产、不同操作系统和不同应用漏洞分布等详细统计信息，用户能够很直观地了解自己网络安全状况。
（二）漏洞扫描工具的部署
针对汕头供电局的网络情况，使用独立式部署方式。独立式部署就是在网络中部署一台漏洞扫描设备。在共享式工作模式下，只要将设备接入网络并进行正确的配置即可正常使用，其工作范围通常包含汕头供电局的整个网络地址，用户登录系统并下达扫描任务。下图是漏洞扫描系统独立式部署模式图。从图中可以看出，无论在汕头供电局何处接入设备，网络都能正常工作，完成对网络的安全评估。
图1：漏洞扫描系统独立式部署模式图
（三）漏洞扫描工具的定位
1.利用漏洞扫描工具定期对网络信息系统进行扫描，以便主动发现存在的安全隐患和防护漏洞。
2.巡检服务中对操作系统修补、加固和优化，根据提供出来的评估报告对相关系统进行打补丁、升级、修补、加固和优化，提供详细操作报告。
3.巡检服务过程中针对网络设备安全加固和优化；进行修补和加固，按照安全策略进行安全配置和优化，提供详细操作报告。包括：网络设备的安全配置，网络设备的安全加固，网络设备的优化配置等。
4.检服务过程中对网络安全设备，对所有网络边界进行梳理，对边界安全防护系统的策略进行优化。通过综合应用防火墙、IPS、防病毒网关等网络安全系统，在区域边界实施严密的控制措施，尽量在边界阻断来自区域外的安全威胁，从而最大化地提高电力信息数据的安全性和电力信息系统的可用性。
5.巡检服务过程中在安全评估的基础上，对桌面终端和服务器系统中存在的安全漏洞进行修复。对于无法修复的漏洞，评价其可能带来的安全风险，并采用周边网络防护系统（如防火墙、IPS等）阻断可能的攻击，或通过监控等手段对该风险进行控制管理。
二、服务器上架漏洞扫描规范编写
按照信息安全工作实际需要，以“制度化管理、规范化操作”为原则，完善信息安全管理策略规范，理顺信息工作内部安全控制流程规范，不断增强网络与信息安全整体管控效能。为更好的保障汕头供电局信息网络的安全、稳定运行，使得漏洞扫描工具能真正的用到实处，特制订漏洞系统管理流程。如下图：
图2：每季度漏洞扫描流程图
图3：新服务器上架前漏洞扫描流程图
（一）漏洞扫描管理员的职责
负责漏洞扫描软件（包括漏洞库）的管理、更新和公布；
负责查找修补漏洞的补丁程序，及时提出漏洞修复方案；
密切注意最新漏洞的发生、发展情况，关注和追踪业界公布的漏洞疫情；
每季度第一个月1-4日期间（节假日顺推）进行上季度安全扫描复查；
每季度第一个月5号（节假日顺推）生成上季度汇总报告；
新系统上线前，负责对系统管理员提出的申请的主机进行漏洞扫描检查，并提交漏洞扫描报告给系统管理员，并检查主机漏洞修补情况。
（二）系统管理员的职责
负责对漏洞扫描系统发现的漏洞进行修补工作；
遵守漏洞扫描设备各项管理规范。
新系统上线前，提交扫描申请，并负责对漏洞扫描系统发现的漏洞进行修补工作。
三、结束语
2006年在公司“效益质量年”的定位目标指导下，紧紧围绕公司“加强管理、保证质量，降低成本、提高效益，深化改革、强化支撑”的网络运维方针，确保网络运行质量，加强了基础管理、网络优化、大客户支撑以及安全生产等方面工作力度，积极开展降本增效活动，取得了一定的成绩，现对全年工作总结如下，。
一、加强基础管理工作
我班组负责全区的网络的维护、技术支持工作，为了更好的在数据网络中开展各项数据业务和增值业务，我班组在中心的领导下严格落实省公司精细化管理的要求，按照“共识、细化、落实”的六字方针，坚持严格基础管理工作，一年来，我班组坚持不断完善客户的资料工作、各种网络设备以及大客户的应急预案等各项基础管理工作，特别是随着三标一体以及内控工作的深入开展，更是要求我班组对担负的各项工作必须有记录，包括资料统计、障碍统计、网络分析统计等，并且按照部门的各项规章制度和管理办法，优化了各项工作流程，努力做到细化到人、优化到事、强化考核，确保提高员工工作效率，从管理中创造效益。
具体工作有：
1、按照维护规程严格执行各项维护作业计划，结合内控，加大了对作业计划、各种日志、记录表格、安检记录等各项维护作业计划和巡检的检查力度，保证内控审查可以顺利通过，并根据实际工作需要不断完善和更新相应的表格。
2、完善了对数据网络各种统计维护资料并及时更新，保证基础资料的准确性、完整性和及时性，安排专人制作了数据网络资料库程序并对该资料库进行不断完善和更新，特别对于光纤专线客户和vpn客户的资料管理，对涉及到的所有信息都在资料库中均有详细的体现。对全区的ip地址进行及时的备案并不断完善ip地址管理系统，这些都为今年的全区ip地址优化工作打下了坚实的基础。
3、为了更好地开展业务，理顺流程，制定并完善了fttx业务、基础数据业务、vpn业务、数据设备维护等各种流程和基础数据网、ip城域网的分析作业指导书，并结合内控和三标一体工作的要求对以上规范进行完善，并按照省运维文件的要求及时更新和调整各种数据网络设备的应急预案，强化细化了应急预案的执行功效。
4、为了提高班组员工的综合素质，我班组加强了对员工业务、技术、安全、保密、形势教育等各方面的培训，今年累计进行培训32次，内容涵盖业务、设备、维护经验及本专业最新技术等，并组织培训效果测试11次，取得了良好的效果，特别针对新员工，我班组制定了专门的培训计划并按照计划进行实施，有力的提高全班员工的维护素质。
5、在公司及部门领导下，积极参于公司举办的数据专业维护规程及宽带adsl技能竞赛，我中心取得了第一的优异成绩，并且选派两名技术骨干参加省公司组织的华为宽带adsl技能大赛，取得了全省三等奖的好成绩。
6、配合网运部组织开展了多次对各县公司及营销中心的维护知识培训，其中包括城域网交换机的培训、atm设备ip化改造的培训等技术培训，还安排专人去县局进行现场讲解，取得了良好的效果，提高了县公司维护人员的综合素质，为交换机权限下放打下了坚实的基础。
7、为了达到内控的要求，我班组通过对××*地区市内97个模块局进行巡检并在数据设备上粘贴了资产标签，满足了内控的要求。
二、强化维护手段，积极开展将本增效活动，积极优化网络，发挥网络最大效益
一年来，我中心维护工作未发生重大故障，各项考核指标均达标。其中省内考核互联网时延≤40ms，实际为≤10ms；本地ip客户考核接入认证平均响应时间≤8s，实际为≤3s；基础数据网用户电路考核故障修复及时率≥99%,实际为100%；数据设备考核故障修复及时率≥96%,实际为100%；大客户业务考核响应及时率≥99%,实际为100%；考核电路开通及时率100%,实际为100%；重大障碍上报及时率为100%，圆满地完成了上半年的各项维护指标。
1、通过充分利用现有的城域网网管，我中心加强了对网络流量、设备利用率、日志及网络安全的监控及分析，分析范围由原来城域网几台设备扩大到整个城域网汇聚层以上设备，并新增了对atm网络流量的分析。结合网络分析情况，及时地对网络进行优化和调整，三月份新增城域网出口ge中继一条，通过流量调整，缓解了城域网出口流量激增所带来的压力。由于宽带bras汇聚ip上行设备的lpuk板卡和lpuh板卡接入客户不同，××*地区局下挂各县宽带客户较多，××*地区局下挂各县宽带客户较少，通过将容量较大的lpuk板卡调整到××*地区局，并将武安ip上行的宽带客户及时的调整到××*地区bras，缓解了由于××*宽带客户激增带来的板卡利用率过高问题，保证了××*方向宽带业务的发展，随后又对××*地区bras资源进行了适当均衡，使得全区bras的资源得到了充分的利用。六月份对城域网核心层设备××*地区局7609新增加一条至××*地区方向的ge中继，充分缓解了西部流量大的问题，通过安排专人对网络中的各种设备定期观察，及时地发现网络中的安全隐患并给予解决，极大的保证了业务的顺利开展。
2、配合网运部做好宽带ma5300绑定用户端口工作，截至目前全区主要县市ma5300节点已实现用户帐号及端口绑定。为了实现pppoe+绑定测试，对全区ma5300设备的命名重新规范并进行命名更改，我中心××*根据端口绑定工作的需要发明了小程序，使得帐号绑定可以实现批量操作，将几十个人几天的工作量压缩到了一个人几个小时就可以完成，从人力成本上起到了将本增效的作用。
3、对××*地区路华为s8016交换机、华为s8512交换机及核心层7609路由器进行了升级打补丁操作，解决了由于客户网络攻击及版本不稳定而可能造成系统瞬断的隐患。并对华为ua5000宽带设备进行统一升级，保证软件版本的同一性。
4、在全省率先开展了华为ua5000和ma5300宽带设备帐号和端口的绑定测试工作，并初步测试成功。由于我中心测试工作进展较早，所以省公司指定我公司和沧州分公司作为试点单位对各型号的bras和dslam进行测试，测试成功后将在全省进行推广，通过测试为我公司下一步的宽带账号和端口绑定工作打下了坚实的基础。
5、完成了城域网设备具备mplsvpn条件的mpls的部署。通过此次部署，我公司今后可以开展跨域的vpn业务，对市场部门开展新的业务起了有力的支撑。
8、实施了ip地址回收工作，
三、面向用户、面向市场，做好业务支撑
我班组按照部门一贯倡导的“维护就是经营”的大经营观念，整个维护工作紧紧围绕以效益中心，加强对客户、对市场的支撑力度，全力作好后台支撑工作。
2、逐步建立了金银牌大客户电路资料台帐，并结合金牌大客户使用数据电路的实际情况分别为其制作了客户电路应急预案。为了实现大客户等级化我中心安排对大客户电路用不同颜色的插塞来进行识别;为了体现对大客户单位的差异化服务,我班组定期对金牌大客户进行巡检,并按月制作大客户单位的网络运行报告。
3、在省公司网管中心指导配合下完成了对宽带vpdn技术的测试工作，并对××*地区市体彩大客户利用该技术进行组网工作，涉及体彩客户约300余户。
4、全年为几十个大客户制作了大客户电路接入方案，并到各个大客户提供支撑数十次。配合大客户服务部积极对教育局校校通客户内网故障进行技术支持，并完成了多个校校通客户vpn改ip专线的工作，尤其是对于××*地区区电教站，我中心前后对该客户进行了10余次技术支持。
5、面对福彩窄带vpn客户不断增长的情况，我部积极协调设备维护中心，新增了窄带a8010接入服务器至××*地区、××*地区汇接局中继4条，满足了客户数量增长的需求。
6、为了及时了解县公司以及各营销中心宽带维护情况，我中心安排专人到中华南营销中心、××*地区、××*地区、××*地区等县分公司进行现场测试，并深入到客户家中进行了解，掌握了全区客户反映比较突出的问题并制定了相应的措施，取得了很好的效果。
7、全年网络维护班组受理各类客户技术咨询上千次，受理县市营销人员技术问题达3000余次，强有力的支撑了前台维护人员，由于机房人员服务水平高、服务态度热情，深受广泛的好评。为了保证增值业务的顺利开展，班组在部门安排下多次派专人到各县分公司和营销中心进行现场技术培训，通过多次的培训，有力的支持了各营销单位业务的顺利开展。
四、抓紧安全生产，强化安全意识
一年来，我班组认真贯彻公司对安全生产工作的一系列指示精神，牢牢把握安全生产工作原则，坚持“安全第一、预防为主”的方针，认真落实各项安全措施，积极开展安全隐患整改，广泛开展安全教育工作。，
1、全年圆满地完成了××*地区局、××*地区局、××*地区局数据设备的安全整治工作，并配合完成了市内模块局的整治工作，达到了安全生产的标准。
2、加大对员工的安全教育培训，在职工中树立“安全第一”的观念。组织员工进行保密制度、交通安全、安全生、消防安全、防汛安全等安全教育达40余次，安全知识答题8次，配合部门进行消防演练4次，并根据根据班组的情况坚持每周一次安全培训和每周一次安全检查的制度。通过采取检查、培训及实际演练相结合的办法，全面提高了员工的安全素质、安全意识和应变能力。在上半年生产楼电梯间着火事件中，我中心5名员工发现后按照消防要求及时向上级汇报并安全的将火扑灭，为公司挽回了损失。
4、加强了机房安全防火、防汛工作。始终把安全防火、防汛当作安全工作的重中之重，开展了经常性的安全检查，要求班组员工熟练“四懂、四会”，熟练掌握初期火灾扑救、防毒面具佩戴、消防水带连接、灭火器等操作。
5、加强网络设备巡检，通过充分发挥ids和扫描等网络安全系统在漏洞扫描、入侵检测等方面的作用，完善各项网络安全管理制度，细化日常维护、权限管理、检测分析和安全防范流程，有力地抵制了外界对网络的各类攻击。
第二部分：2007年工作思路
2007年我班组以内控工作为契机，不断完善基础管理制度，通过加强网络安全检测，健全综合分析、安全管理、故障分析等制度，强化维护支撑和服务，优化网络结构，强化网络质量，提高网络运行效率，提高维护效益，不断加强安全生产管理工作，深入开展员工培训教育，提高员工综合素质，积极开展将本增效活动，不断提高维护水平，保证各项生产指标。
1、结合内控工作和三标一体工作的开展，继续按照维护规程严格执行各项维护作业计划，加强基础管理，完善部门管理制度，优化管理流程，简化管理环节，努力实现部门维护工作效率最大化和效益的最大化，确保顺利通过各项审查。
2、持续深入开展各种形势的教育学习活动，为员工发展创造良好环境，鼓励员工勤于思考，敢于创新，深入开展学习型班组，加强维护队伍建设，提高维护人员的素质。
3、继续科学管理网络资源，提高网络资源的利用率，做好资源分析预警工作，充分利用网络的资源，使网络资源的效益尽量最大化。继续深入开展将本增效工作，从管理和技术入手，对现有设备进行优化和改造，有效地开展将本增效工作。
4、进一步完善各项应急预案，提高应急预案的可操作性。加强安全教育和应急演练，强化员工应急意识，提高全员应急操作能力。
5、积极配合计划建设部工程建设。配合完成港湾设备替换工作和中华路机房搬迁工作。结合各项工程的建设，优化城域网的网络结构，提高网络健壮性，进一步完善城域网、基础数据网等网络的网络监控工作，加强网络运行状况的分析，为业务发展提供有力支撑，继续不断对网络进行优化调整，使网络发挥最大效益，圆满完成各项维护指标。
6、积极发挥网络安全系统在漏洞扫描、入侵检测等方面的作用，不断完善各项网络安全管理制度，细化日常维护、权限管理、监测分析及安全防范流程，预防外界对网络的各类攻击。
7、坚持以人为本，继续作好安全生产工作，抓好行风建设，提供优质服务，为经营发展保驾护航。
关键词:民航通信网;工程建设;维护手段;新标准
随着新技术、新设备、新手段的广泛运用,民航通信网的建设水平、发展速度、建设规模还不能完全适应信息技术发展的要求,不能完全满足信息化发展对民航通信保障的要求。对此,我们必须加强通信网建设研究。
一、更新思维,确立工程建设的新模式
目前,国内电信事业发展迅猛,数字化、高速率的通信网已经覆盖全国。民航通信网采用开放模式,以自建、合建、租用等方式,与电信运营商骨干网建设融于一体。在使用上利用终端加密、多路由使用、交换组网等方式开发新的接口协议和网中网软件,做到开放而不公开,以最少的经费投入达成通信网建设工程的最快发展。与此同时,对原有通信工程应充分挖掘潜力、改制创新,建成多手段、全频域的栅格状通信网。随着通信网络的发展,信息共享和开放程度更高,网络可靠性和安全性问题也更加突出。这主要体现在:网络结构的变化促使信息源更具有开放性,使网络安全防卫措施的实施面临重重阻力。资源的共享和分布增加了网络受攻击的可能性。信息源不再是高度集中、绝对封闭的唯一源头,信息流的多渠道交叉反馈,使对信息的监控难度加大,因此,必须加强对网络安全管理和信息安全技术的研究,建立完善的网络安全管理体系,加强网络管理系统的技术改造,确保民航通信网的安全和高效运行。
二、注重效能,更新维护手段
一是组建通信设备维护管理中心,变单一维护为层次维护。由通信设备维护管理中心负责网络运行监控、网络组织调整、设备预检测试、故障设备维修及技术改造,并为一线台站提供技术支援。二是利用光缆巡检系统,改革传统线路巡检方式,该系统为计算机管理,对完成线路维护任务情况进行量化评定,为线路维护建立直观有效的管理模式。三是突出新装备的科学管理。与市电信运营商和设备厂家合建备品备件管理资料数据库,确定配备储存标准,为一线台站提供有力的物质保障。四是构筑集中监控平台,实行网络监管,变被动式经验维护为主动式科学维护。建立以各级通信网络技术管理中心为龙头的运行管理机制,是由网管中心在通信网络运行管理中所处的地位和作用决定的。实践证明,现代化的通信网络必须依靠现代化的手段来管理,必须运用现代管理理论和先进的网络管理技术,加强网管系统建设,全面推进网络管理机制的创新。
三、讲求效益,进一步深化维护制度改革
目前,民航通信设备的可靠性达到一定程度,主要通信设备都能达到平均开机近万小时无自然故障的水平,并且大都具备自动诊断功能,机房环境也日趋稳定,这些优势为实现集中维护和远程控管提供了可能。二是推行大机房工作方式。在加强机房维护人员一专多能训练的基础上,明确应急预案,保证紧急或突发事件时,相关电路畅通无阻。完善远程网络监控技术。要求远程网络监控技术即要互相兼容,还要功能强大。重点是完善远程网络故障管理技术,要能定期对监控的网络生成网络运行质量报告、告警监测、故障定位、故障修正、测试及障碍管理等功能集。对网络出现的损伤和设备运行障碍,要能及时作出反应,使监控指挥人员能够采取诸如紧急调度、抢修及远程技术支援等措施,以确保网络高效、安全运行。 wWw.gWyoO.Com
四、加强管理,制定各类新标准
一是在原有通信管理规定的基础上,不断增加、补充针对新型通信设备维护管理的相关内容;二是着眼新装备、新系统,制定通信网维护管理在岗制度;三是明确网络管理维护人员工作职责,进一步规范维护管理程序、业务处理程序、配合协作程序、线路故障检修程序、业务处理程序、配合协作程序、线路故障检修程序、技术支援与指导工作程序、器材备件供应保障程序等各项工作流程;四是保证层次维护有明确的依据,制定好各类标准;随着民航通信网络的高速发展及其它外部情况的变化,原有的法规有些已经不适应通信网络管理发展的要求,必须按照依法管理民航通信网的要求,建立健全民航通信网网络管理法规。各级网管中心必须明确职责,理顺业务协调关系。同时协调好各网管中心、维修中心和一线机房间的业务关系,使网管中心真正成为全网的技术协调、装备维修、应急抢修中心。要建立和完善各种突况下的应急通信保障预案,加强对重要通信系统设备的巡检巡修,建立故障预防处理机制,定期对全网进行质量分析,及时处理日常维护中存在的问题,结合设备及维护保养的实际情况,指定通信设备质量评定标准、通信网络运行质量评定标准、通信专业技术人员考核评定标准等一系列量化指标,为民航通信网的科学化管理打下良好的基础。
参考文献:
[1]关山,张新程,田韬,李坤江.HSDPA 网络技术.北京:机械工业出版社,2007
企业网络不安全因素主要分为来自企业内部和企业外部。人为造成的数据丢失和破坏;管理不规范导致的故障;技术不成熟造成的不安全因素，来自黑客的攻击和病毒的破坏;以及不可抗力造成的数据丢失等。
1.1现代企业管理上的不足
分工不明确，权责不清晰。一方面，很容易导致对网络运行安全的不重视，出现互相推卸责任的局面。另一方面，也容易造成操作人员的管理不严格，缺乏整体系统的培训，缺乏保密意识，从而带来安全威胁。
1.2现代企业人为上的破坏
(1)来自企业内部的攻击。企业内部人员非法访问企业内部资源，对企业网络进行攻击、破坏、恶意删除和损坏企业数据。
(2)来自企业外部的攻击。如黑客的攻击，病毒的破坏等。
1.3网络信患技术及应用上的漏洞
黑客主要是利用TCP/IP协议本身的漏洞，操作系统的漏洞，服务器的漏洞对企业网络进行攻击和破坏。
计算机病毒主要是通过电子邮件系统，万维网浏览，FTP下载，使用移动介质等途径对网络进行攻击和计算机病毒的传播，严重威胁企业的网络安全。
2.现代企迆网络安全的防护手段
现代企业网络安全管理的对象主要有网络上的信息资源，保护企业网络系统中的硬件、软件及其他业务应用系统的数据，确保不会因恶意的、不安全的因素而遭到破坏、更改、泄漏，保障各类系统可靠运行，网络服务不会中断。现代企业网络安全管理的内容主要是从管理和技术这两个方面人手。
2.1从组织管理层面进行规范
2.1.1设立专门的信息技术管理机构、落实信息管理人员的责任
(1)成立专门负责计算机、服务器及网络等设备的管理机构，明确各信息管理人员岗位分工和岗位职责，制定相应规章制度。
(2)加强对机房的监管，严格按照机房巡检要求，认真做好机房巡查工作，及时处理出现的故障，保障机房安全稳定运行。严格执行计算机房人员进出登记制度，进人机房人员登记具体时间、姓名及具体事由。
(3)各类信息管理人员根据岗位分工和岗位职责，每日对企业信息系统、网络、业务系统、数据库、安全设备、服务器等运行情况进行监控和管理，做好相应的监管和故障排查工作，确保能及时发现和解决问题。
2.1.2加强网络安全教育
定期在企业开展计算机网络知识、计算机应用及网络安全的宣传教育活动。普及相关知识，提高企业人员的计算机应用水平，及网络安全保密意识.
2.2从技术应用层面进行管理
2.2.1防火墙技术和网络隔离技术
防火墙是设置在两个或多个网络之间的安全阻隔，用于保证本地网络资源的安全,通常是包含软件部分和硬件部分的一个系统或多个系统的组合。处于企业或网络群体计算机与外界通道之间，限制外界用户对内部网络的访问，及管理内部用户访问外界网络的系统。
网络隔离是指根据数据的保密要求，将内部网络划分为若千个子网。确保把有害的攻击隔离，在可信的网络之外和保®可信网络内部信息不泄漏的前提下，完成网间数据的安全交换。网络隔离的形式可分为:物理隔离、协议隔离和VPN隔离等。
2.2.2加密与认证技术-
为了防止线路窃取，保证网络会话完整性，将所有需要通过网络传输的数据、文件、口令和控制信息进行加密。对于接收数据方在客户端和服务器上要进行身份认证，只有提供有效的安全密码、信息卡，通过验证信息后才能获取数据信息。通常加密方法有节点加密，端点加密，链路加密3种,加密是通过加密算法来实现。加密算法可分为私钥加密算法和公钥加密算法。
2.2.3网络安全漏洞扫描
网络攻击、网络人侵等安全事故的频发，多数是由于系统存在安全漏洞导致的。网络安全扫描实际上是根据模拟网络攻击的方式,提前获取可能会被攻击的薄弱环节，为系统安全提供可信的分析报告，发现未知漏洞并且及时修补已发现的漏洞。
2.2.4网络入侵检测
为了有效的弥补防火墙在某些方面的弱点和不足，入侵检测系统作为一种积极主动的安全防护工具，为网络安全提供内部攻击、外部攻击和误操作的实时和动态检测，在计算机网络和系统收到危害之前进行报餐、拦截和响应。人侵检测可以分为基于主机、基于网络和混合型入侵检测系统三类。混合型是基于主机和基于网络的入侵检测系统的结合，为前两者提供了互补，还提供了人侵检测的集中管理，采用这种技术能实现对人侵行为的全方位监测。
2.2.5客户端的防护
⑴为了减少病毒和防止病毒在企业网络内部中传播,主要釆取病毒预防、病毒检测及杀毒技术。客户端必须安装杀毒及木马查杀软件，及时查杀病毒和木马。
(2)要及时下载和安装补丁程序，修复系统和软件漏洞，有效的减少安全漏洞的隐患。
(3)做好移动介质使用防护，在使甩前必须进行杀毒。
2.2.6最小授权原则
最小特权原则是系统安全中最基本的原则之一。所谓最小特权(LeastPrivilege),指的是"在完成某种操作时所赋予网络中每个主体(用户或进程)必不可少的特权”。最小特权原则，则是指”应限定网络中每个主体所必须的最小特权，确保可能的事故.错误、网络部件的篡改等原因造成的损失最小。
2.2.7远程访问控制
建立虚拟专用网(VPN)是目前实现远程访问的最佳选择。VPN即虛拟专用网，是通过一个公用网络(通常是因特网)建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。
对于远程客户端接入来说，只有允许经过授权鉴别的用户才能进行接入，并设置权限级别来控制每个用户可以访问的网络资源范围。
2.2.8数据备份与恢复
数据备份是容灾的基础，当系统出现灾难性事件时,成为了企业重要的数据恢复手段。数据备份与恢复是为了防止系统出现操作失误、系统故障而导致数据丢失，将全部或部分数据集合从应用主机的硬盘或阵列，复制到其它的存储介质的过程。建立并严格实施完整的数据备份方案，就能确保系统或数据受损时，能够迅速和安全地将系统和数据恢复。
结论
【关键词】地铁、AFC系统、安全管理
中图分类号：TU714 文献标识码：A 文章编号：
一、前言
随着国民经济的快速发展，目前国内很多城市都加快了地铁建设的步伐，部分城市线路开工建、发时问提前，施工周期缩短，系统调试的时间相应压缩，而AFC系统作为最后一个进场调试的系统，时间更短。磁卡票方式AFC系统于20世纪70年代开始进入中国，由于其存在系统维护成本高、使用不便等方面的不足，各国持续对其进行研究和改进，在20世纪90年代，国际上的AFC系统出现了以非接触式的IC卡为车票介质的技术，2000年我国深圳地铁采用了MFI非接触式IC卡作为储值车票载体的AFC系统，成为我国首家使用MFI非接触式IC卡系统。
AFC系统能够完成地铁票务运营的车票制作、售票、检票、统计分析等全过程自动化业务的管理工作，扮演着售票员、检票员、会计员的角色，实现了票务管理的高度自动化，是地铁运营收益管理的重要手段。因此AFC系统与票务收益具有密切的关系，需要具有高度安全、保密、可靠的特点。本文主要从AFC系统设备保障及管理、AFC系统运营安全性等两个大方面来对其安全性进行分析与研究。
二、AFC系统设备保障
加强了一线员工的安全教育、提高了安全意识，AFC系统的巡检人员由票务中心和班组两级开展安全方面的培训、交流和宣导。在AFC系统日常维护工作中，与承包商共同制定各项维保工作计划，做好设备的保养维护和检修工作。为保障AFC系统的稳定、安全的运行，积极进行系统各项缺陷整改和安全隐患整改工作。
在各类大型活动和节假日之前，对设备进行全面检查，对大客流重点车站驻点，安排巡检人员和管理人员加班，配合大客流期间票务保障工作的顺利实施，做到隔日故障为零的高标准，有效保证AFC系统设备安全。
三、系统安全性
系统的安全性AFC系统的安全性既关系到乘客的切身利益，也关系到运营方的经济收益，在系统设计时必须把系统安全性放在首位，建立一套严格的安全管理体系与规范要求。从防范对卡的攻击、健全密钥管理体系、强化没备及网络安全等方叫着手，全面保证系统安全。AFC系统是一个相对封闭的系统，系统与外部的接口主要是清分中心与各种外来卡、银行系统的接口以及读卡器与各种票卡的接口；系统内部通信节点多，针对票务管理流程、系统内部数据流程以及数据类型复杂，而这些数据直接关系到票务统汁、清分等，因此保证AFC系统的数据安全非常重要．主要体现在硬件接口安全、网络安全、软件及人员管理等几个方面。
1、硬件接口安全。整个AFC系统对外部的接口安全主要体现在两个方面：首先小清分中心通过防火墙与银行系统相连，这是通过电信传输网建立起来的连接，对外部基本没有留internet接口，避免了网络遭受攻击，进而侵入各层服务器。破坏票据数据；其次读卡器与各种卡的接口（包括将来进入地铁的外来卡)，非接触式IC卡在进行交易时，读卡器和卡要进行三次相互认证，然后读写数据．再由读卡器把数据传给控制器。在整个过程中必须满足两个安全保证条件：一是卡的结构和软件必须得到权威安全认证；二是卡与读卡器及控制器之间通信要有安全加密措施；尤其是在开发地铁周边物业．考虑使用地铁储值卡拓展业务等方面更要考虑这些安全措施；另外，新型付费方式(如手机付费等)的安全问题也是我们考虑的重点。
2、网络安全。AFC系统虽然是一个相对封闭的网络，但在网络传输的数据量较大、类型较多，因此保证数据的完整性、安全性就很重要。在结构没汁上小清分中心与线路计算机系统采用双机冗余以及两路以太网传输，在线路计算机与各车站计算机组成的双路100Mbpt以太局域网的传输采取的是双骨干通信刚，从而保证网络传输数据的完整性；在没备的选择上，要选择知名品牌的M络没备和产品，保证数据传输的稳定性和可靠性：在I卅络管理上采用加入防火墙、设置访问控制、使用防杀毒软件等技术保证各服务器与时络的安全。
AFC 系统的运行，必然将受到系统以外的网络影响，外部网络对系统具有多种入侵方式，如通过网络远程进入系统进行移植病毒，通过软件的下载实施木马攻击。为了使AFC系统更加强有力地抵抗外部入侵，可以采取如下措施。
1）防火墙控制。防火墙是用来阻止网络中黑客访问某个机构网络的屏障。通过在本网络边界设置防火墙，可以隔离本网络与外部网络，从而阻挡外部网络的入侵。
2）入侵检测。入侵检测技术是指通过对网络进行监控与分析计算机网络中若干点的信息，确定是否有危害该系统的行为与迹象，从而提高信息安全基础结构的完整性。
3、软件及人员管理。对于AFC系统来说，核心是软件，系统设备的各个生产厂家都有其各自特点，但中标单位必须掌握该系统核心技术，否则将给地铁今后的运营造成诸多不便。例如在运营过程中，有可能调整票务政策、调整站名等，这些都涉及到软件的修改、维护与升级，在系统建设调试之初，接触该系统的人员比较复杂，有地铁员工、系统商工作人员、还会有一些合I司工．这些人员对系统结构比较熟悉。因此，做好施工管理，避免失误操作和恶意破坏，保证服务器的安全和记录的完整性也是非常重要的环节，
四、结语
AFC系统的安全性问题包括的不仅仅是通常所认知的网络安全、数据安全等问题，还包含了设备、管理等安全问题，涵盖的内容非常广泛。总之，为了保证AFC系统正确无误地平稳运行，不但需要从设计角度出发，关注硬件、软件、网络的设计问题，也要根据系统架构制定相应的安全管理制度予以配合，才能保证AFC系统良好地运行，真正成为地铁公司的现金流，成为地铁的一个亮丽的窗口。
参考文献：
[1] 韦琳珊 关于地铁票务收益安全管理的分析和探讨[J]-现代商业2007(26)
[2] 王春燕 成都地铁储值票芯片选型分析[J]-机电信息2010(18)
[3] 王春元.公共网络信息系统安全管理的研究[M].合肥工业大学,2009.
尊敬的领导：
2018年，xx严格按照集团公司“稳中提质、改革创新”总要求，围绕安全生产、经营管控、风险防控等工作重点，从信息化管控、系统建设、应用推广、运行维护等方面开展信息化工作，较好的发挥了信息系统在生产监控、过程管理和辅助决策方面的作用。现将主要工作情况汇报如下：
第一部分 信息化管控
一、信息化管理制度建设情况
公司共制定有《xx信息化管理办法》、《xx网络安全管理制度》、《xx计算机管理办法》、《xx软件正版化管理办法》、《xx办公自动化系统使用管理办法》、《xx应用系统数据管理办法》等有关规划、项目、基础设施、应用系统和运行维护的信息化管理制度18项，较好的指导和规范了公司信息化建设。
2018年重新修订完善了硬件资产管理办法、应用系统运维管理办法、信息化管理办法、微信、QQ群组管理办法、报废计算机和计算机耗材废旧污染物品管理办法、网络信息安全管理办法等6项信息化管理制度。
二、信息化资本支出计划情况
（一）2018年信息化资本支出计划完成情况。
按《xx关于下达2018年度资本支出计划（信息化专项）的通知》要求，严格监控审核各类信息化资本支出项目的执行情况，督导各单位资本支出计划按进度完成。2018年各类信息化计划资本支出费用为537.2万元，截至10月底，完成了346.43万元，预计11-12月份完成122.13万元，全年总计完成468.56万元，计划完成率为87.22%。
1、审核类项目
xx审核类项目共计8项，分别为工艺动画展示软件、SaaS门户网站防护软件、龙软地测空间信息管理系统、病案管理系统、生化检验血库管理软件、预防保健数字化门诊系统、远程控制软件、综合管理系统（二期）。
（1）综合管理系统（二期），合同额120万，2018年计划完成80万元，按合同约定，已完成第一阶段付款36万元，按照开发进度及合同约定，12月份将完成第二阶段付款36万元，完成了预算目标。
（2）山不拉煤矿龙软地测空间信息管理系统，预算金额为30万元，实际支出30万元，完成了预算目标。
（3）职工医院病案管理系统预算金额为15万元，计划12底前购置完成。
（4）职工医院生化检验血库管理软件预算金额4万元，实际支出4万元，完成了软件的购置。
（5）职工医院预防保健数字化门诊系统软件预算金额为8万元，实际支出为7.51万元，完成了系统软件的购置。
（6）特凿公司工艺动画展示软件预算金额为15万元，实际支出15万元，完成了软件的购置。
（7）特凿公司SaaS门户网站防护软件预算金额为8万元，计划12月底前购置完成。
（8）培训中心远程控制软件预算金额为2万元，计划12月底前购置完成。
2、备案类项目
备案类重点项目有3项，分别为笔记本电脑购置38台，24.58万元，台式机购置116台，74.89万元，打印机购置71台，23.43万元，合计占备案总预算的62.48%。
3、费用类项目
重点费用类项目有1项，为线路租赁费用，公司共有广域网专线9条，互联网线路13条，年租赁费用为87.64万元。
（二）2019年信息化资本支出计划情况。
1、基本情况。2019年各类信息化资本支出费用预计为1261.9419万元，其中审核类费用预计773.15万元，备案类费用预计320.78万元，费用类预计168.0119万元。
审核类中，BIM分中心建设项目318.55万元，BIM分中心配套机房及网络改造项目139.6万元，山不拉煤矿安全监控系统升级改造项目186万元（说明：地方政府要求在2018年底完成，专项请示在2018年增列计划，由于时间太紧，只能将计划在2019年列支）。
第二部分 信息系统建设应用
三、综合管理系统（二期）建设应用
（一） 建设目标：流程固化、数据共享、全程追溯。
（二） 建设原则：围绕资金、业务主导、横向到边、纵向到底。
（三） 保障措施：
1、成立了综合管理系统应用推进领导小组，公司主要领导亲自抓。明晰系统应用推进中的职责、责任到人。
2、定期不定期的召开项目协调例会，及时协调解决系统开发、应用过程中的各类问题。
3、全员培训。已开展用户培训12场次，培训用户2200余人次，涵盖公司领导、部门负责人、关键用户和业务人员。
4、日常指导。通过电话、QQ群、远程桌面、面对面交流等方式解答系统使用中的各类问题，平均日处理各类解答300余人次。
5、督导考核。从组织机构、用户培训、系统操作、数据质量四方面对各单位、各项目部已上线业务开展督导考核。通过督导考核来看，数据质量基本可靠。
（四）开发进度：
自7月份正式开发以来，完成了物资、技术质量、科技、安全、党建、市场开发、法律事务和监察审计业务的开发上线，完成了财务、人力、经营、机电业务部分功能（资金、税务、人事、薪酬、结算、分包、租赁等）的开发上线，完成了整体开发计划的80%。
（五）应用效果
1、用户可通过手机APP，企业微信处理系统业务。
2、用户日平均登录2000余人次，7日上线率为54.7%（系统注册用户数2558人）。
3、打通了从业务到财务的各个环节，财务核算与业务过程互相约束、互相校验，实现了业务过程可控、资金流向可控。
4、提高了工作效率、提升了管理水平。流程平均审批效率29小时，较之前的以周计算或以月计算，工作效率成倍提高。管理模式逐渐从结果导向转变为过程控制，建筑行业的粗放型管理得到明显改观。
四、云视频会议系统建设应用
云视频会议系统采用SaaS模式建设，省却了基础设施、网络安全、系统运维等方面的工作。
系统可以通过PC、手机、硬件终端召开会议。系统有三个会议室，一个100账号和两个25账号，一个账号在一台设备中使用，一台设备可以在实体会议室供多人参会。
系统上线以来，平均月召开云视频会议10余次，平均参会人数200余人/次，年节省差旅费、油费、会议费约120万元（按每项目部每次节省1000元计算，10x12x1000x10=1200000）。
系统的成功应用，不但提高了会议效率,降低了费用，还减少了路途中的安全风险。
五、BIM技术应用情况
在建设集团、集团公司的领导和统一部署下，xx有条不紊的开展了BIM系统的应用和推广工作。完成了与建设集团BIM云平台对接和公司BIM平台建设；完成了各专业族库的建立、施工工艺视频的制作及BIM5D平台学习与试用。截至目前，公司BIM平台已经具备了质量、安全和进度管理、匹配成本信息和施工进度模拟等功能，能够实现数据和信息的有效共享。
六、安全监控监测系统
按照国家煤矿安监局及内蒙古煤矿安监局相关文件要求，配合山不拉煤矿完成了瓦斯监控系统升级改造方案制定、预算编制和前期筹备工作，协调完成了专项费用计划增列的申报工作。
按照集团公司要求，配合山不拉煤矿完成了工业视频监控高清改造方案的调研、方案制定、预算编制工作。
完成了小回沟项目部瓦斯监控系统升级改造后的数据联网上传工作。
七、推进各应用系统的使用
（一）年度考核系统应用。开展考核系统的配置、值守等工作，协助人力资源部完成年度考核工作。
（二）OA系统应用。继续优化涉及办公、财务、经营、人力、机电等各方面各类电子签章审批工作流，指导各单位梳理建立使用OA签章审批工作流。截至目前，优化、修改工作流程50个，制作电子签章100余人次。
（三）视频会议系统的应用。截至目前，公司召开视频会议121次，参会人数12000多人次；召开云视频会议100余次，参会人数20000余人次。保障了会议精神实时、全面、有效的传达，节约了大量交通、住宿、会议等费用。
（四）安全培训系统的应用。协助公司职工教育培训中心开展特种作业人员和项目部安管人员的取证培训、岗位复训，使用系统进行培训、考核10场次，参培人员800余人次。
（五）推进集团公司ERP等系统的应用。定期跟踪各部门对集团财务、采购、库存、人力资源、合同管理、安全管理等系统的应用情况。定期收集相关部门对系统的使用意见和建议，督促系统实施进度和培训。
第三部分 基础设施建设应用
八、数据中心机房建设情况
公司数据中心机房建于2009年，安装有门禁、供电、UPS、制冷、新风、消防、监测等机房系统，其中UPS按照供电8小时设计，现由于电池组老化，仅能满足供电2小时。机房内有服务器14台，分别承载OA、综合项目管理、档案管理、安管培训模拟、视频会议、用友财务等使用中的应用系统；有存储设备1台，承担综合项目管理系统的数据存储任务；有核心交换机、IDS、防火墙、路由器、网络行为管理、VPN等网络设备14台，分别承载公司局域网和广域网的数据传输和网络安全任务。
九、广域网建设情况
公司广域网连接的单位有10处、31处、49处、特凿处、南阳坡分公司、内蒙古分公司、山不拉煤矿和两级集团公司。到南阳坡分公司和内蒙古分公司广域网带宽为2Mbps，到集团公司的广域网带宽为8Mbps，其余为4Mbps。广域网主要承载视频会议系统、ERP系统等需要专线连接的应用系统。
十、局域网建设情况
局域网采用星型拓扑，接入交换机到电脑终端为百兆带宽，接入交换机汇聚到核心交换机为千兆带宽。
公司局域网包括公司办公楼、培训中心和物业管理公司丛台基地，共有电脑终端200余台。电脑按楼层、部门划分为10个VLAN，起到疏导流量、隔离广播风暴和防止病毒大范围扩散的作用。
根据具体实际，对各单位机房和局域网的建设提出了最基本的标准，并指导各单位信息专业人员逐步完善。
十一、互联网建设
公司机关及各单位均有互联网接入线路。公司机关接入带宽为中国电信的50Mbps互联网专线，31处、49处、特凿公司和山不拉矿今年均变更为100Mbps，其他各单位互联网接入带宽为50Mbps。
十二、BIM分中心基础设施建设情况
配合建设集团完成了BIM中心建设总体方案的制定工作和xxBIM分中心建设方案的制定工作，围绕BIM分中心建设方案，结合公司机房及网络现状，制定了BIM分中心机房、网络配套设施改造方案。
第四部分 信息化运维
开展桌面运维，定期对用户计算机安装的软件进行维护，监督正版软件的使用。定期维护计算机硬件，保障计算机正常工作。
开展网络运维，定期检查网络设备的配置、日志，保障设备运行正常。定期对网络线路巡检，及时排除断网隐患。不定期开展用户网络排错培训，提高用户常见网络故障的自我解决能力。
开展应用系统运维，督促或组织制定应用系统管理办法，从系统用户、系统运行、系统安全等方面加强日常检查，保障各系统安全运行。
开展机房运维，严格执行每日巡检制度，明确了机房温度、湿度、供电等环境要素标准。加强运维人员操作系统、服务器组成等软硬件知识学习，每日必须登录服务器分析运行日志，及时发现问题、解决问题。
第五部分 信息安全
网络与信息安全方面管控主要从安全制度、安全技术、安全教育和安全评测等方面进行，力保信息的可信性、可用性和完整性。
安全制度方面。公司成立有保密与网络安全委员会，领导公司的网络安全工作。下发了《党委网络安全责任制实施细则》、《网络安全管理制度》、《信息安全岗位职责管理办法》等制度，明确了安全职责、任务、措施等内容，经常性的在用户中宣传网络安全的重用性、必要性，指导用户使用常用网络安全技术措施。
安全技术方面。遵照ISO七层网络模型，针对每层容易暴露的安全问题，采取有针对的防护措施。在网络边界部署了防火墙、入侵检测、上网行为管理等安全设备。在服务器区部署了防火墙，并在服务器中安装了杀毒软件和终端防护软件。在用户端按楼层划分了VLAN、IP地址和MAC地址进行了登记并绑定，用户计算机也安装了杀毒软件、软件防火墙。
安全教育方面。通过专题讲座、发放宣传资料、安全事件案例等多种形式开展信息安全知识普及工作，提高员工的安全防范意识，减少安全事件的发生。要求用户口令长度不小于8位，且必须由大写、小写字母与数字共同组成，并定期提醒用户更换密码，必要时强制更改密码。要求用户不得将账号密码转借他人。
安全评测方面。定期开展应用系统和基础网络自评，加强了计算机终端、局域网络、服务器主机、服务器操作系统、应用系统等安全制度、安全策略和安全行为管理，进一步提高了公司信息系统的安全水平。定期委托专业公司开展安全评测，按照评测整改报告及时完成整改。对新开发的应用系统，需通过安全测评后才允许验收。
第六部分 对外网站
制定了《xx门户网站管理办法》，明确了网站管理的权利、责任。
要求各单位对外网站需完成备案工作、安装政府网站防护软件、在国家重大活动期间强化安全监控，必要时关闭网站。
公司网站采用PaaS模式建设，采用的阿里云平台的专有云，并采购了安骑士云盾、WAF防火墙和态势感知安全服务，还安装了公安部网防G01 V3.0防护软件。专有云提供安全风险短信预警功能，能动态提醒操作系统、网站系统、恶意攻击等安全风险事件。
第七部分 存在的问题和不足
一、专业人才短缺。软件、网络、安全和数据库等方面相关专业人才短缺，制约了应用系统自主运维和开发。
二、系统集成难度大。系统种类多、功能重合多，系统间数据集成共享难度大，造成了业务和数据的割裂，形成了实际上的信息孤岛，有违信息化建设的初衷。建议能有系统建设和系统集成的顶层设计，形成标准规范。
第八部分 2019年重点工作
【关键词】 供电 网络终端 计算机 信息安全
1 信息网络安全面临形势
所谓信息安全是一个广泛而抽象的概念，建立在网络基础之上的现代信息系统，其安全定义较为明确，那就是：保护信息系统的硬件、软件及相关数据，使之不因为偶然或者恶意侵犯而遭受破坏、更改及泄露，保证信息系统能够连续、可靠、正常地运行。
在电力企业，信息安全主要强调的是消减并控制风险，保持电力生产经营业务操作的连续性，并将风险造成的损失和影响降低到最低程度。
供电企业信息化的快速发展特别SG-ERP系统的实施，为工作带来便利的同时也带来了极大的安全风险，统一坚强智能电网的建设和“三集五大”体系的建设对信息安全提出了更高的要求。
2 信息网络桌面终端存在的安全隐患和风险分析
供电企业经过多年的信息安全建设，已建成了“双网双机、分区分域、等级防护、多层防御”的信息安全防护总体架构，网络隔离及网络横纵向边界的信息安全防护措施已日趋完善。由于网络用户人员数量庞大、情况复杂、分布广泛等问题的存在，信息安全的防护重点逐渐从网络层面向终端用户计算机层面转移。
涉及信息网络终端计算机的常见威胁、隐患和风险主要包括：恶意访问、信息泄露、破坏信息的完整性、非法使用、窃听、业务流分析、内部攻击、特洛伊木马、陷阱门、抵赖、电脑病毒、业务欺骗等。
上述风险对于供电企业信息安全产生巨大威胁，任何一台网络终端计算机出现信息风险漏洞，将直接波及到整个网络的信息安全，已经采取的网络边界、数据审计等防护措施将形同虚设，黑客或恶意破坏者就能轻而易举绕过所有安全防护、长驱直入、大肆破坏，对供电企业内部应用系统安全、网络安全、数据安全和生产经营业务造成不可估量的损失。
3 网络桌面终端信息安全防范措施
3.1 信息安全防范重在管理
由于网络终端计算机分布的复杂性可知，在当前的新形势下，信息安全并不仅仅是信息专业管理部门和运行维护单位要面对的问题，因此，全面加强信息安全管理是确保信息安全的首要解决措施。
（1）建章立制，规范信息安全全过程管理。针对信息网络和终端安全风险，针对性地制定《信息安全管理规定》等规章制度，固化信息安全管理工作流程，建立网络终端接入-调整-拆除-报废的全过程控制体系，遵循“谁主管谁负责、谁运行谁负责、谁使用谁负责”原则，将信息安全责任和压力层层下放，可以有效促进信息安全标准要求的贯彻落实。
（2）强化信息网络运行维护。采取对信息内外网终端计算机的人工抽检和技术巡检方式，定期开展对网络的全面核查，以及时发现安全隐患。高密度检查路由器、交换机等信息网络设备和防火墙、IPS等安全设备的策略配置，确保与业务需求相匹配。
（3）开展信息安全风险评估。作为信息安全保障基础性工作，针对信息系统的潜在威胁、薄弱环节、等级化防护措施、信息内外网隔离措施等进行综合评估分析，有效指导各单位系统地开展信息安全防护体系建设和安全整改加固工作。
（4）严防网络终端计算机违规外联。违规外联是指信息网络及终端计算机设备违反相关规定连接了包括互联网在内的其他网络。具体措施包括：计算机不得使用双网卡、严禁“一机双网”、内网计算机严禁外借、内部计算机统一外修出口、内部网络严禁私设路由器、严禁使用无线上网卡、手机、无线路由器等方式私自接入互联网、严禁任何单位和个人私设任何形式的互联网出口、严禁外来人员使用内部计算机等。
（5）加强宣传培训，将信息安全要求传达到每位终端用户。信息安全并不仅是信息专业部门要面对的问题，如果大家不严格遵守相关的信息安全要求，信息安全事件就可能发生在每个人身上。考虑到网络用户的参培时间不可控的因素，可以采取分层级、多批次培训的方式，将信息安全知识和相关要求层层传达到每位用户。
3.2 充分利用信息安全技术手段
（1）部署桌面终端安全管理软件。桌面终端管理系统是确保桌面终端计算机安全的最有效的技术手段之一，基本功能应包括：内网计算机资产管理、运维管理、非法外联监控、注册基本管理、安全管理、安全监控强审计、网络接入控制、补丁管理、文件分发管理等。通过桌面终端管理系统的部署，可以全面掌控网络终端计算机的安全运行状况，有效提升信息安全管理效率。
（2）实行网络安全准入。综合采用设备监控、隔离检查、网络协议检测等多种技术，通过入网安全审核、账号弱口令检测、桌面管理系统客户端和防病毒软件安装更新检查等，及时保证终端达到安全入网要求。
（3）架设网络版杀毒软件和补丁更新。为了确保杀毒软件安装率100%，确保病毒库和操作系统补丁随时更新，在网络内部架设网络版杀毒软件和补丁更新服务器，以服务器-客户端的方式主动推送病毒库和操作系统、应用系统补丁，及时封堵终端计算机安全漏洞。
（4）利用安全移动存储介质交换数据。应用实施范围界定为接入信息网络的所有计算机设备，在终端计算机上安装安全移动介质系统客户端，通过服务器端平台进行安全策略配置，使终端计算机上的移动介质使用符合相关安全要求，最大程度地封堵通过移动介质非法外传或导入信息的漏洞。
（5）加强网络边界处防火墙、IPS、上网行为审计等系统防护。一方面防范外部网络对于信息内网的安全攻击和恶意入侵，另一方面可以全面核查内网计算机的上网行为，对于敏感信息、发送敏感邮件等违规行为予以自动阻断。
4 结语
随着信息技术的飞速发展，影响网络安全的各种因素也会不断变化，网络安全不仅仅是技术问题，同时也是一个安全管理问题，是一个动态发展变化的过程，不是一劳永逸的，也不可能一蹴而就，这就要求每位终端计算机设备使用人员要在日常工作中时刻牢记信息安全，杜绝安全隐患，严格遵守信息安全规定，共同维护信息网络和终端计算机的安全稳定运行。
参考文献：
[1]邵波，王其和.计算机网络安全技术及应用[M].北京：电子工业出版社，2005.
关键词:图书馆;计算机网络;安全;维护
随着社会的日益信息化及计算机技术的飞速发展,计算机系统、计算机网络越来越多地应用于社会生产、生活的各个方面,并发挥着举足轻重的作用。现代图书馆的各项业务工作也离不开计算机网络。目前,我国乃至全球的计算机网络的安全状况令人忧虑,图书馆计算机网络所存贮、传输、处理的信息的重要性较低,但其中的书目数据库、读者信息库、流通数据库等信息是现代图书馆工作的重中之重,若受非正常因素的侵扰,造成数据丢失、篡改、恶意增加,计算机系统无法正常工作乃至全面瘫痪的后果,会严重破坏图书馆工作,造成经济损失,影响图书馆声誉。为此,我们应该重视图书馆计算机网络安全问题,未雨绸缪,及早做好防护措施,尽量减少损失。图书馆计算机网络安全,指的是图书馆网络系统的硬件、软件及系统中的数据受到保护,不受偶然的或者恶意的原因而遭到破坏、更改或泄漏,系统连续可靠正常地运行,网络服务不中断。为在较大程度上保证图书馆计算机网络安全,可以从几方面综合考虑。
一、图书馆计算机网络中心机房的物理环境的安全
(1)空调系统与防静电
机房内空调系统使机房的温度、湿度和洁净度得到保证,从而使系统正常工作。机房温度一般控制在(20±2)℃,相对湿度控制在(50±5)%。温度控制与湿度控制都应与空调系统联系在一起,并采取一定的除尘、防尘措施。为避免静电的影响,机房应铺设静电地板。
(2)使用不间断电源
为保障机房供电系统的稳定性和可靠性,须配备大功率、长备用时间、具有防雷击功能的双机冗并联运行的在线式UPS系统。
(3)机房应采取比其它部门更严密的防盗措施,除加固门窗外,可安装全场视频监视系统。防火方面,主要措施有安全隔离,安装火灾报警系统,装备不会造成二次污染的专用灭火器、灭火工具。
二、软件系统的防护
系统的安全主要包括计算机操作系统、数据库系统和访问控制等方面的安全,实施有效的软件系统安全策略。
(1)图书馆关键的服务应选择技术成熟、安全性高的操作系统。对系统和数据安全要求较高的图书馆信息管理系统应尽量选用UNIX及其衍生版本作为服务器的操作系统平台,其抗黑客、病毒攻击性能要大大优于Windows系列操作系统平台。
(2)在完成操作系统和应用软件的安装后,不应将服器立即连入网络。须先安装操作系统、数据库系统的所有补丁,再安装病毒监控、查杀软件和防火墙软件,并将有关软件升级到最新版本。
(3)关闭系统不用的服务端口。如Windows操作系统的各种服务都对应特定的端口,安装系统后,这些端口都是默认开启的,使黑客和病毒的攻击有机可乘。
(4)以系统安全为出发点,结合实际需要,指定各部门、各级用户对数据库的不同访问权限。
(5)加强账号密码的设置与管理。操作系统、数据库、应用软件的用户密码的设置不要太短太简单,最好使用大写字母、数字、特殊符号混和组成的密码,长度应在8位以上。
三、网络系统的安全
(1)计算机网络维护,首先要全面了解图书馆的网络组成,包括网络的拓扑结构、网络结点分布、广域网接入方式、局域网弱电系统设备分布等。定期巡检弱电竖井内网络交换设备和线路。
常规的网络维护是定期对客户端进行的维护,利用防火墙和路由器、各级交换机更好地管理网络。同时,通过配置路由器来限制图书馆内部各个部门甚至是具体某台工作站对Internet的使用权限等。
在局域网内划分VLAN,以部门为单位在交换机上划分VLAN,一方面可以限制广播风暴;另一方面可以将地理位置上相隔很远的工作站划分在一个子网,提高子网内信息流通的安全性。
定期对本馆的网站进行维护与网络信息更新,及时对网站进行安全升级,进行网站安全防护。
(2)加强对计算机病毒的防范。计算机病毒是一种人为制造的、对计算机系统进行破坏的程序。目前在防止计算机病毒方面,一种较好的方法是安装杀毒软件。合格的防病毒软件应该具备以下条件:①较强的查毒、杀毒能力。在当前全球计算机网络上流行的计算机病毒有4万多种,在各种操作系统中包括Windows、UNIX和Net-ware系统都有大量能够造成危害的计算机病毒,这就要求安装的防病毒软件能够查杀多种系统环境下的病毒,具有查毒、杀毒范围广、能力强的特点。②完善的升级服务。与其它软件相比,防病毒软件更需要不断地更新升级,以查杀层出不穷的计算机病毒。③实时的监控能力。这使得计算机系统在启动、运行过程中都能得到防病毒软件的保护。图书馆计算机网络防病毒工作可以与建立防火墙结合起来,可单独构造或将功能附加到网络防火墙之中,设置具有防病毒功能的防火墙,使病毒与内部网络隔离。所有计算机都应安装可实时监测、查杀病毒的防病毒软件和防止网络攻击、查找系统漏洞的防火墙软件,并及时更新到最新的版本。服务器可设置成每天晚上12时之后自动更新和自动查杀病毒。原则上禁止使用服务器上网浏览网页、从网上下载文件、打开电子邮件。从其他存储介质中复制文件前,也应对其进行查毒处理。馆内使用的计算机一旦发现病毒,应及时予以清除,以防在网上传播。
四、图书馆计算机网络数据安全策略
图书馆计算机网络数据备份策略:由于软硬件故障、意外或恶意地使用Delete或Update语句、具有破坏性的病毒、自然灾难(如火灾、水灾、地震等)盗窃等情况都可以导致数据丢失。为了使数据丢失最小化和恢复丢失的数据,必须对数据库进行安全管理、定期数据备份。对数据备份建议采用RAID技术。RAID(独立磁盘冗余阵列)是由多个磁盘驱动器(阵列)组成的磁盘系统,将磁盘阵列当作一个磁盘来对待。RAID设备允许数据在RAID条带集上展开,将数据库物理地放置在RAID相应的磁盘驱动器上,使更多读/写磁头同时读取数据。因此,利用RAID技术既保证数据的安全性,又实现数据的并行操作,从而达到提高数据库性能的目的。并且用户在不关闭系统的情况下能够替换发生故障的驱动器。
图书馆计算机网络数据加密策略:这是一种基本的安全技术,是所有数据通信安全的基石,保证信息在网络传输中不被非法查看、篡改、窃取和复制。数据加密过程由众多的、具体的加密算法实现,常用的有对称密钥加密算法和公共密钥算法。数据加密主要分为数据传输、数据存储、数据完整性鉴别及密钥管理等几方面。
①数据传输加密。对传输的数据流加密,常用方法有线路加密和端到端加密。前者侧重传输线路,对加密信息通过各线路采用不同的加密密钥提供安全保护;后者则是信息在发送端被自动加密,进行数据包回封,然后作为不可阅读和不可识别的数据在网上传送,当到达目的地时,被自动重组、解密,成为可读数据。
②数据存储加密。防止数据在存储上的失密,分为密文存储和存取控制两种。前者一般通过加密算法转换、附加密码、加密模块实现;后者则是对用户资格、权限加以审查和限制,防止非法用户存取或合法用户越权。
③数据完整性鉴别。对介入信息的传输、存取、处理者身份和相关数据内容进行验证。一般包括口令、密钥、身份、内容等的鉴别,通过对比验证对象输入的特征值是否符合预先设定的数值,实现安全保护。
④密钥管理。为了使用数据的方便,密钥已得到了广泛应用,包括密钥的生成、分发、存储、更换和销毁等环节。
五、建立安全管理规章制度并加以实施
针对图书馆计算机网络系统和数据资源安全的要求,建立和健全一系列安全管理规章制度。如管理人员、操作人员责任制度;计算机主机房管理制度;对数据日常备份、备份管理与数据恢复制度;口令的设置、保密和保管制度;用户权限分配和管理病毒监控和防范制度等。这些规章制度的建立,能为规范图书馆计算机网络系统的设备管理、加强系统管理人员的安全责任制、图书馆计算机网络系统的安全提供管理和制度方面的保证,提高相关技术人员高度的责任心,做好计算机网络系统的安全工作。要通过强化规章制度的执行,真正做到用制度规范行为,按职责实施管理,依标准进行防护。
参考文献
〔1〕莫付江,等.浪涌抑制与电磁兼容[J].电网技术,2004,(5).
〔2〕 叶晓燕,等.计算机机房的环境要求及解决方法[J].信息技术,2004,(1).
〔3〕戴红,王海泉,黄坚.计算机网络安全〔M〕.北京:电子工业出版社, 2004: 6-9.
〔4〕林晓勇,曾庆荣. Windows 2000系统管理与网络安全〔M〕.北京:机械工业出版社, 2003: 221.
摘要：中国建材集团内部业务信息系统应用较多、外部门户网站访问量大，网络与信息系统的日常管理存在着较大的病毒入侵和恶意网络攻击风险。中国建材集团严格按照网络安全保卫工作总体部署，以全面达到国家信息安全等级保护工作要求为目标，以完善信息安全保障体系为手段，从企业战略安全的高度来看待和落实信息和网络安全工作，各级机构在运营管理过程中高度重视网络安全的资金和人员投入，确保机构组织保障，坚决防止发生网络安全事故，切实维护了国家和企业利益。
关键词：信息安全；技术架构；保障体系
1基本情况
中国建材集团核心机房按照国家信息安全等级保护三级标准部署网络及安全防护设备，网络主干为双链路结构，采用电信+联通专线入网,具备冗余性，满足业务高峰期需求，2台网络核心交换机构成双机热备，用于连接网络边界区域、服务器区域、楼层等各个区域。机房内，各区域之间部署防火墙进行访问控制,网络边界部署防病毒网关、IPS入侵防御系统等安全设备对来自Internet的攻击行为进行防护,服务器区域部署入侵检测系统，核心交换机上部署网络审计系统以及审计服务器，对网络行为进行审计，办公网络部署上网行为管理，规避网络违法违规风险，强化内网安全率。门户网站及电子邮箱系统的安全防护体系按照中央企业网络与信息安全防护标准进行设计和部署，并依据国资监管网规划方案建设了一套专网专机分散部署的非信息系统。主要业务管理信息系统按照国家信息安全等级保护二级进行定级，重点信息系统达到国家信息安全等级保护三级管理标准，核心机房内独立运行的信息系统全部满足公安部对中央企业信息系统安全等级保护要求。同时定期组织内、外部专业技术力量开展信息安全检查、信息系统安全测评、信息系统等级保护备案以及信息安全培训工作，确保信息系统和门户网站运行稳定，安全监控到位，杜绝发生安全责任事故。
2技术体系架构
中国建材集团严格按照《信息安全技术信息系统等级保护安全设计技术要求》和《信息安全技术信息系统安全等级保护基本要求》设计、采购和部署符合等级保护基本要求的安全产品，从安全计算环境、安全通信网络、安全区域边界、安全管理中心等方面构建起有效的安全技术保障体系。根据实际业务情况，将网络划分Internet接入区、DMZ区、办公区、安全管理区、核心交换区、业务服务区共计6个安全区域，并根据业务系统的要求进行安全区域合理性划分，各区域到核心交换机之间为独立线路连接，数据处理系统以单机模式部署，同时按照安全风险和安全策略，具体从物理安全、网络安全、主机安全、应用安全、数据安全进行信息安全控制。物理安全。核心机房依据国家标准GB50173－93《电子计算机机房设计规范》、GB2887－89《计算站场地技术条件》、GB9361－88《计算站场地安全要求》,从环境安全、设备安全和媒体安全三个方面进行详细设计，严格按照计算机等各种微机电子设备和工作人员对温度、湿度、洁净度、电磁场强度、噪音干扰、安全保安、电源质量、备用电力、振动、防漏、防火、防雷和接地等要求建设，以此保证计算机信息系统各种设备的物理环境安全，同时采用有效的区域监控、防盗报警系统，阻止非法用户的各种临近攻击。网络安全。网络主干采用双链路结构，考虑业务处理能力的数据流量，冗余空间充分满足高峰期需要，并根据业务系统服务的重要次序定义带宽分配的优先级。合理规划路由，业务终端与业务服务器之间建立安全路径保证网络结构安全。网络区域边界之间部署防火墙安全设备，制定严格的安全策略实现内外网络和内网不同信任域之间的隔离与访问控制，服务器区域部署防病毒网关来拦截病毒、检测病毒和杀毒，保护操作系统安全稳定。应用IPS入侵防御系统实时监控进出网段的所有操作行为从而防止针对网络的恶意攻击行为，同时以满足国家等级保护二级标准要求，通过人工加固的方式对网络安全设备进行配置加固，实现包括身份鉴别、访问控制、安全审计等多个方面的安全技术要求。主机安全。部署防火墙、入侵检测、防病毒网关和漏洞扫描等安全产品进行被动主机安全防护，同时根据国家信息安全等级保护二级标准，为系统信息交换的主客体分别加安全标记，制约了操作系统原有的自主访问控制策略（DAC），达到了强制访问控制（MAC)，对服务器进行安全加固配置，进行资源监控、监测报警，避免服务器自身的安全漏洞被攻击者利用，实现统一管理的主机安全防护。应用安全。应用网络设备和安全设备自身审计功能，对设备管理日志、设备状态日志、用户登录行为等进行审计。核心交换机上部署网络审计系统和审计服务器，办公网络部署上网行为管理，对网络系统中的网络设备运行状况、网络流量等进行日志记录，同时应用服务器不开放远程协议端口号。系统全部采用正版WindowsServer2008和LinuxAS5操作系统并进行必要的安全配置、关闭非常用安全隐患的应用、对一些保存有用户信息及其口令的关键文件（如WindowsNT下的LMHOST、SAM等）使用权限进行严格限制。加强口令字的使用，并定期给系统打补丁、系统内部的相互调用不对外公开，同时通过配备漏洞扫描系统，并有针对性地对网络设备重新配置和升级。数据安全。数据库系统全部购买有效授权，采取数据库系统强口令、登录失败次数、操作超时等方式实现数据库系统对身份鉴别、访问控制要求，采用技术手段防止用户否认其数据发送和接收行为，为数据收发双方提供证据。应用系统针对数据存储开发加密功能实现系统管理数据、鉴别信息和重要业务数据传输完整性和保密性。同时建立热备和冷备结合的数据备份系统，保证在安全事件发生后及时有效地进行重要数据恢复。
3保障措施
一是统一领导、分级管理、安全运维。领导高度重视信息和网络安全工作，各级企业在运营管理过程中确保网络安全的资金、人员投入和机构组织保障。建立网络信息安全保障工作组织领导机构和相关专项工作组，层层强化责任，形成多专业协作的网络信息安全风险防控体系，对重点专线、重要网络进行重点保障，特殊时期专人现场值守，全天候密切监控网络运行情况，同时建立事件上报与信息共享机制，执行7×24小时值班备勤、安全事件“零报告”制度，确保突发重大安全事件及时有效处置。二是坚持“三同步”原则。在各信息系统开发建设过程中，对立项、设计、采购、开发、实施、测试、验收、交付等环节进行了规范化管理，严格执行信息系统建设和网络安全“同步规划、同步建设、同步运行”措施，机房规划初期即按照国家信息安全等级保护三级的硬件标准进行规划建设，坚持以安全保建设、以建设促安全，保障网络安全和信息化建设持续健康发展。三是坚持专业化运作。在信息化建设和网络安全管理方面逐步建立了一支专业化内部技术团队，同时聘请专业技术服务团队作为公司常年技术咨询支撑力量，开展安全检查，协助排查网络安全风险和隐患。特别是在节假日及社会重大活动期间，加强部署定时巡检、安全监测、应急处置等工作，确保网络安全。四是坚持国产化、正版化。在信息化建设过程中，高度重视国产化、正版化工作。特别在棱镜门事件发生后，集团公司对机房网络进行全面检查，对应用的国外软硬件设备进行国产化替换，目前网络与信息系统基础设施均为国产产品（服务器除外），国产化率100%。信息系统开发软件及数据库应用软件均为公安部、国资委相关部门统一指定的产品品牌。
作者:修 瑞 林振森 单位:中国建材集团有限公司
关键词：信息安全；防护体系
随着企业各个业务系统的深化应用，企业的日常运作管理越来越倚重信息化，越来越多的数据都存储在计算机上。信息安全防护变得日益重要，信息安全就是要保证信息系统安全、可靠、持续运行，防范企业机密泄露。信息安全包括的内容很多，包括主机系统安全、网络安全、防病毒、安全加密、应用软件安全等方面。其中任何一个安全漏洞便可以威胁全局。随着信息化建设地不断深入和发展，数据通信网改造后，市县信息网络一体化相互融合，安全防护工作尤显重要。如何保障县公司信息网络安全成为重要课题。信息安全健康率主要由两方面体现，一是提升安全防护技术手段，二是完善安全管理体系。安全防护技术手段主要侧重于安全设备的应用、防病毒软件的部署、安全策略的制定、桌面终端的监管、安全移动介质、主机加固和双网双机等方面，安全管理则侧重于信息安全目标的建立、制度的建设、人员及岗位的规范、标准流程的制定、安全工作记录、信息安全宣传等方面[1]。因此，企业要提升信息安全，必须从管理机制、技术防护、监督检查、风险管控等方面入手，并行采取多种措施，严密部署县公司信息安全防护体系，确保企业信息系统及网络的安全稳定运行，主要体现在以下几方面：
1机制建立是关键
企业信息安全防护“七分靠管理，三分靠技术”，没有严谨的管理机制，安全工作是一纸空谈，因此，做好防护工作必须先建立管理体系。一是完善组织机制。在企业信息安全工作领导小组之下，设立县公司数据通信网安全防护工作组，由信通管理部门归口负责日常工作，落实信息安全各级责任。将信息安全纳入县公司安全生产体系，进而明确信息安全保障管理和监督部门的职责。建立健全信息安全管理等规章制度，加强信息安全规范化管理。二是强化培训机制。根据近年来信息安全的研究，企业最大信息安全的威胁来自于内部，因此，企业应以“时时讲信息安全，人人重信息安全，人人懂信息安全”为目标，开展“教育培训常态化、形式内容多样化、培训范围全员化、内容难度层次化”培训工作，为信息安全工作开展提供充分的智力保障。企业应充分利用网络大学、企业门户、即时通讯等媒介，充实信息安全内容，营造信息安全氛围，进而强化全员信息安全意识。三是建立应急机制。完善反应灵敏、协调有力的信息安全应急协调机制，修订完善县公司数据网现场应急处置预案，加强演练。严格执行特殊时期领导带班和骨干技术人员值班制度，进一步畅通安全事件通报渠道，规范信息安全事件通报程序，做好应急抢修人员、物资和车辆准备工作，及时响应和处理县公司信息安全事件。重点落实应对光缆中断、电源失去、设备故障应急保障措施，确保应急处置及时有效。杜绝应急预案编制后束之高阁和敷衍应付的行为。
2技术防护是基础
技术防护要从基础管理、边界防护、安全加固等方面入手[2]。（1）基础管理方面。一是技术资料由专人负责组织归类、整理，设备或接线如有变化，其图纸、模拟图板、设备台帐和技术档案等均应及时进行修正。二是将设备或主要部件进行固定，并设置明显的不易除去的标识，屏（柜）前后屏眉有信息专业统一规范的名称。三是设备自安装运行之日起建立单独的设备档案，有月度及年度检修计划并按计划进行检修，检修记录完整。所有设备的调试、修复、移动及任一信息线或网络线的拔插和所有设备的开关动作，都按有关程序严格执行，并在相应的设备档案中做好记录。四是加强运行值班监视和即时报告，确保系统缺陷和异常及时发现，及时消除。（2）安全隔离方面。安全隔离与信息交换系统（网闸）由内、外网处理单元和安全数据交换单元组成。安全数据交换单元在内外网主机间按照指定的周期进行安全数据的摆渡，从而在保证内外网隔离的情况下，实现可靠、高效的安全数据交换，而所有这些复杂的操作均由隔离系统自动完成，用户只需依据自身业务特点定制合适的安全策略，既可以实现内外网络进行安全数据通信，在保障用户信息系统安全性的同时，最大限度保证客户应用的方便性。（3）边界防护方面。一是部署防火墙，做好网络隔离。在路由器与核心交换机之间配置防火墙，并设置详细的安全防护策略。防火墙总体策略应是白名单防护策略（即整体禁止，根据需要开放白名单中地址）。将内部区域（下联口）权限设置为禁止、外部区域（上联口）权限设置为允许。定义防火墙管理地址范围，针对PING、Webui、Gui三种服务进行设置：只允许特定管理员地址远程管理。二是严格执行防火墙策略调整审批程序，需要进行策略调整的相关单位，必须填写申请单，且必须符合相关安全要求，经审批后进行策略调整。三是严禁无线设备接入。（4）安全加固方面。一是应以最小权限原则为每个帐号分配其必须的角色、系统权限、对象权限和语句权限，删除系统多余用户，避免使用弱口令。二是安装系统安全补丁，对扫描或手工检查发现的系统漏洞进行修补。三是关闭网络设备中不安全的服务，确保网络设备只开启承载业务所必需的网络服务。四是配置网络设备的安全审计功能和访问控制策略。五是开展风险评估工作中，认真分析网络与信息系统安全潜在威胁、薄弱环节，综合运用评估工具，在常规评估内容基础上，加强渗透性验证测试和密码脆弱性测试，重视对系统结构与配置的安全评估。根据评估结果，及时提出并落实整改方案，实施安全加固措施。
3监督检查是保障
全面落实“按制度办事，让标准说话”的信息安全管理准则，在企业指导下，由县公司信通专业牵头，业务部门主导，分工协作建立督查机制，加强过程安全管控与全方位安全监测，推进安全督查队伍一体化管理，完善督查流程和标准，开展好安全督查工作，以监督促进安全提升。一是全面提升责任部门安全人员专业技术水平，加强督查队伍建设。二是完善督查机制，对督查中发现的问题督促落实整改，并开展分析总结，通报相关情况。三是开展常态督查，通过软件扫描、终端监测等手段，确保监测全方位。四是加强考核，开展指标评价。保障督查管理水平和工作质量。
险管控是对策
为确保公司信息化网络安全，公司要将被动的事件驱动型管理模式转变为主动的风险管控模式，主动地对威胁和风险进行评估，主动地采取风险处置措施。通过资源的调控实现对信息安全工作的调控。公司应在信息安全治理过程中大量借鉴管理学方法，进行动态的控制和治理，通过治理的流程控制措施进行资源的调配，实现对关键项目、关键技术、关键措施的扶持，对非关键活动的控制，确保公司信息化网络安全。数据通信网升级改造为企业信息化发展扩展了领域，同时，对信息安全工作提出了新的课题和更高的要求。本文通过分析企业信息化安全管理过程中的一些薄弱环节，提出了安全防护经验的措施，从管理机制、技术防护、监督检查、风险管控等方面入手，提高了县公司全体人员信息化安全意识，极大地保障了企业系统（含县公司）信息网络系统的安全、稳定运行，完善了县公司信息安全策略及总体防护体系，密织信息安全防护网，保障数据网不失密、不泄密，不发生信息安全事件。公司下一步将加强信息化常态安全巡检，加强信息化相关资料的管理，加强单位干部员工的信息化安全培训力度，进一步完善信息安全策略及总体防护体系。提高全体人员信息化安全意识，保障信息化网络安全。企业信息安全建设是一项复杂的综合系统工程，涵盖了公司员工、技术、管理等多方面因素。企业要实现信息安全，必须加强安全意识培训，制定明确的规章制度，综合各项信息安全技术，建立完善的信息安全管理体系，并将信息安全管理始终贯彻落实于企业各项活动的方方面面，做到管理和技术并重，形成一套完善的信息安全防护体系。
参考文献：
[1]马贵峰,马巨革.构建网络信息安全防护体系的思路及方法——浅谈网络信息安全的重要发展方向[J].信息系统工程,2010(6).
我自2018年5月15号入职以来已有半年多，在这半年中，在公司领导及各部门各同事的帮助下，严格要求自己，遵守公司各项规章制度及管理程序，与同事之间相处融洽;工作上，尽职尽责。严格履行外协系统运维工程师的岗位职责，认真学习，努力工作，较好地完成了本职工作和领导交给的各项任务，为了今后更好的工作，总结经验、吸取教训 ;本人就本年度的工作做出总结。
一、工作总结：
工作内容：
1、负责非核心信息化系统的日常运维（视频监控系统、集中文印管控系统后端、邮件系统、B角等）。
2、负责信息系统的监控系统和日志服务器的搭建、维护、管理工作（zabbix、360安全卫士企业版、FTP等）。
3、协助云管理平台的运维工作。
4、负责小型IT项目的部署实施工作。
5、负责非核心网络设备故障处理及日常运维。
6、协助核心网络、服务器、机房设备的管理工作。
7、协助信息安全建设工作。
8、负责厂区视频监控系统的运维。
9、完成上级领导安排的其它工作。
工作完成情况:
1、完成公司360安全卫士企业版部署并在安保部安装运行，运行情况良好，根据公司需求可随时启动全面安装360企业版，并短时间能够完成提升个人电脑防护病毒能力。
2、完成公司FTP服务器搭建，利用三级用户特权机制及虚拟目录清晰简练地完成SER-U用户权限设置，方便以后扩展用户使用，并成功应用于ERP系统的升级服务中，运行稳定，可用性高。
3、完成跟进公司商务谈判室录音录像工程项目建设、地磅室监控系统安装测试。
4、完成机房路由器设备升级，优化路由双线热备配置，针对最近半年电信网络不稳定，实际影响公司生产经营、行政办公的情况，信息管理部门策划并组建了上网宽带双线热备。上网宽带线路全部正常时，有线应用走电信出口，无线应用走联通出口；电信线路异常时，所有应用走联通出口。并对当前网络病毒较多，不同攻击状态进行路由进行安全加固，进一步加强网络安全。
5、完成办公楼6-7楼新办公室调网络设备增加及安装调试使用。
6、完成FZL-2 FZL-2机柜搬迁及监控拆除及改网事宜。
7、完成机房服务器增加上架及系统调试，协助ERP服务器迁移。
8、完成zabbix设备监控增加新服务器及联通出口故障监控，并进行日常检查维护。
9、完成邮件系统升级及数据迁移，进一步提高邮件系统安全性、稳定性，解决境外邮件收发问题，并进行日常管理与维护。
10、在日常工作中及时响应各部门邮件系统、集中文印管理系统、监控系统及网络的维护。
11、完成办公楼、生产楼电脑软件正版化检查
12、完成机房日常巡检工作及领导安排的任务。
二、查找不足反思改进：
半年来，我始终坚持严格要求自己，勤奋努力，在自己平凡而普
通的工作岗位上，努力做好本职工作，从不把情绪带到工作中。回顾
半年来的工作，我在思想上、学习上、工作上取得了新的进步。但我
也认识到自己的不足之处：
1、自己的思路还很窄对现代网络技术的发展认识的不够全面，
自己对新技术掌握速度还不够快。
2、有时候在一些突发故障比较集中时，没有分清轻重缓急，科
学的去安排时间，导致少数问题处理不及时。
3、对于领导交办的任务，办事心切，处事不够干练，想问题不够全面，不够深刻，虽然能基本完成上级交办的任务，但在工作中面对困难面对压力也感到力不从心，缺乏工作动力。
4、有时面对问题过于急躁，一心想干点事情，做点成绩，但缺少全盘筹划，工作不够谨慎周密，工作的方式方法也有待领导同事的进一步指导改进。
三、展望2019：
1、争取信息系统项目管理师考试通过，在来年的项目中锻炼自己的项目全程把控能力。
2、努力完成专升本学业，全面提升个人各方面技能，更高效的解决工作上的问题。
3、进一步加强公司网络状况全局监控，并做出定制的优化及故障处理提升网络安全工作，公司电脑安装企业版杀毒软件进行统一管理管理，对局域网进行监测，及时发现网络故障和排错，使网络快速高效的运行。
4、进一步加强公司数据备份及异地容灾建设工作。
5、积极做好本职工作，及领导交办的每一项工作，分清轻重缓急，科学安排时间，按时、按质、按量完成任务。
6、希望能转入重工大家庭中，以便更好为公司处理工作上各种问题。
