期刊收录:知网收录(中) 万方收录(中) 维普收录(中) 国家图书馆馆藏 上海图书馆馆藏 CSCD 中国科学引文数据库来源期刊(含扩展版) 统计源期刊(中国科技论文优秀期刊)
期刊收录:维普收录(中) 万方收录(中) 知网收录(中) 国家图书馆馆藏 上海图书馆馆藏
期刊收录:维普收录(中) 国家图书馆馆藏 知网收录(中) 万方收录(中) 上海图书馆馆藏
期刊收录:知网收录(中) 维普收录(中) 万方收录(中) 国家图书馆馆藏 上海图书馆馆藏
期刊收录:CSCD 中国科学引文数据库来源期刊(含扩展版) 知网收录(中) 维普收录(中) 万方收录(中) 国家图书馆馆藏 上海图书馆馆藏 统计源期刊(中国科技论文优秀期刊)
网络信息安全研究:计算机网络信息安全及其防护策略的研究 摘 要 计算机网络信息安全在国民生活中受到越来越多的关注,原因在于:许多重要的信息存储在网络上,一旦这些信息泄露出去将造成无法估量的损失。之所以网络信息会泄露出去,一方面有许多入侵者千方百计想“看”到一些关心的数据或者信息;另一方面网络自身存在安全隐患才使得入侵者得逞。针对这些问题,该文归纳并提出了一些网络信息安全防护的方法和策略。 关键词 计算机网络 信息安全 黑客 网络入侵 1 引言 近年来,伴随着互联网技术在全球迅猛发展,人们在提供了极大的方便,然而,信息化在给人们带来种种物质和文化享受的同时,我们也正受到日益严重的来自网络的安全威胁,诸如网络的数据窃贼、黑客的侵袭、病毒者,甚至系统内部的泄密者。尽管我们正在广泛地使用各种复杂的软件技术,如防火墙、服务器、侵袭探测器、通道控制机制,但是,无论在发达国家,还是在发展中国家(包括我国),黑客活动越来越猖狂,他们无孔不入,对社会造成了严重的危害。与此同时,更让人不安的是,互联网上黑客网站还在不断增加,学习黑客技术、获得黑客攻击工具变得轻而易举。这样,使原本就十分脆弱的互联网越发显得不安全。针对各种来自网上的安全威胁,怎样才能确保网络信息的安全性,尤其是网络上重要的数据的安全性。本文通过对几起典型的网络安全事件的分析,以及对威胁网络安全的几种典型方法研究的结果,提出实现防护网络安全的具体策略。 2 计算机网络信息安全面临的威胁 近年来,威胁网络安全的事件不断发生,特别是计算机和网络技术发展迅速的国家和部门发生的网络安全事件越来越频繁和严重。一些国家和部门不断遭到入侵攻击,本文列举以下事例以供分析和研究之用。 2.1事件一: 2005年7月14日国际报道 英国一名可能被引渡到美国的黑客mckinnon表示,安全性差是他能够入侵美国国防部网站的主要原因。他面临“与计算机有关的欺诈”的指控,控方称,他的活动涉及了美国陆军、海军、空军以及美国航空航天局。 可以看出,一方面尽管这位黑客的主动入侵没有恶意,但是事实上对美国国防部的网络信息在安全方面造成威胁,假如这位黑客出于某种目的,那么后果将无法估量;另一方面网络技术很高的国家和部门也会被黑客成功入侵。 2.2事件二: 2005年6月17日报道万事达信用卡公司称,大约4000万名信用卡用户的账户被一名黑客利用电脑病毒侵入,遭到入侵的数据包括信用卡用户的姓名、银行和账号,这都能够被用来盗用资金。如果该黑客真的用这些信息来盗用资金的话,不但将给这些信用卡用户带来巨大的经济损失,而且侵犯了这些信用卡用户的个人隐私。 2.3事件三: 日本3家银行ebank、网络银行和瑞穗银行近日声称,有客户在不知情的情况下,存款被转账、盗领,在向银行查询后,才知道是遭黑客入侵。瑞穗银行已发生两件类似案件,遭到500万日元的损失。日本警视厅高科技犯罪对策中心接到报案后已展开调查,并从被害人的计算机中查到间谍软件,这种软件可自动记录输入计算机的资料,并透过网络传送给第三者。 入侵的黑客通常扮演以下脚色: (1)充当政治工具。非法入侵到国防、政府等一些机密信息系统,盗取国家的军事和政治情报,危害国家安全。 (2)用于战争。通过网络,利用黑客手段侵入敌方信息系统,获取军事信息、假信息、病毒,扰乱对方系统等等。 (3)非法入侵金融、商业系统,盗取商业信息;在电子商务、金融证券系统中进行诈骗、盗窃等违法犯罪活动;破坏正常的经济秩序。我国证券系统接二连三发生的盗用他人密码进行诈骗的案件,已经引起了网民的不安。 (4)非法侵入他人的系统,获取个人隐私,以便利用其进行敲诈、勒索或损害他人的名誉,炸毁电子邮箱,使系统瘫痪等。 基于以上事件的分析,一方面可以看到网络安全不仅影响到一个国家的政治、军事、经济及文化的发展,而且会影响到国际局势的变化和发展;另一方面网络自身存在安全隐患才会影响到网络的安全。目前,威胁网络安全的技术主要有病毒、入侵和攻击;而对网络信息失窃造成威胁的主要是黑客的入侵,只有入侵到主机内部才有可能窃取到有价值的信息。 3 计算机网络存在的安全问题 导致计算机网络信息安全受到威胁的根本原因在于网络存在安全问题,归纳为以下几点: 3.1固有的安全漏洞 现在,新的操作系统或应用软件刚一上市,漏洞就已被找出。没有任何一个系统可以排除漏洞的存在,想要修补所有的漏洞简直比登天还难。从cert(carnegiemellon 大学计算机紧急事件响应队)那里,可以找到相当全面的程序错误列表。另一个消息的来源就是诸如bugnet或ntbug traq一类的新闻组。 (1) 缓冲区溢出。这是攻击中最容易被利用的系统漏洞。很多系统在不检查程序与缓冲区间的变化的情况下,就接收任何长度的数据输入,把溢出部分放在堆栈内,系统还照常执行命令。这样破坏者便有机可乘。他只要发送超出缓冲区所能处理的长度的指令,系统便进入不稳定状态。假如破坏者特别配置一串他准备用作攻击的字符,他甚至可以访问系统根目录。 (2) 拒绝服务。拒绝服务 (denialofservice , dos) 攻击的原理是搅乱 tcp/ip 连接的次序。典型的 dos 攻击会耗尽或是损坏一个或多个系统的资源( cpu 周期、内存和磁盘空间),直至系统无法处理合法的程序。这类攻击的例子是 synflood 攻击。发动 synflood 攻击的破坏者发送大量的不合法请求要求连接,目的是使系统不胜负荷。其结果是系统拒绝所有合法的请求,直至等待回答的请求超时。 3.2合法工具的滥用 大部分系统都配备了用以改进系统管理及服务质量的工具软件,但遗憾的是,这些工具同时也会被破坏者利用去收集非法信息及加强攻击力度: 例如:nbtstat命令是用来给系统管理员提供远程节点的信息的。但是破坏者也用这一命令收集对系统有威胁性的信息,例如区域控制软件的身份信息、netbios的名字、iis名甚至是用户名。这些信息足以被黑客用来破译口令。 另一个最常被利用的工具是网包嗅探器(packetsniffer)。系统管理员用此工具来监控及分发网包,以便找出网络的潜在问题。黑客如要攻击网络,则先把网卡变成功能混杂的设备,截取经过网络的包(包括所有未加密的口令和其他敏感信息),然后短时间运行网包嗅探器就可以有足够的信息去攻击网络。 3.3不正确的系统维护措施 系统固有的漏洞及一大堆随处可见的破坏工具大大方便了黑客的攻击,但无效的安全管理也是造成安全隐患的一个重要因素。当发现新的漏洞时,管理人员应仔细分析危险程度,并马上采取补救措施。 有时候,虽然我们已经对系统进行了维护,对软件进行了更新或升级,但由于路由器及防火墙的过滤规则过于复杂,系统又可能会出现新的漏洞。所以,及时、有效地改变管理可以大大降低系统所承受的风险。 3.4低效的系统设计和检测能力 在不重视信息保护的情况下设计出来的安全系统会非常 " 不安全 " ,而且不能抵御复杂的攻击。建立安全的架构一定要从底层着手。这个架构应能提供实效性的安全服务,并且需要妥善的管理。 服务器的代码设计及执行也要进行有效管理。最近 , 有很多公开的漏洞报告指出:在输入检查不完全时, cgi bin 是非常脆弱的。黑客可以利用这一漏洞发动拒绝服务攻击,非法访问敏感信息或是篡改 web 服务器的内容。低效的设计最后会产生漏洞百出的入侵检测系统。这样的系统非常危险,它不能提供足够的信息,就连已提供的信息都可能是不真实、不准确的。 4 计算机网络信息安全的防护策略 尽管计算机网络信息安全受到威胁,但是采取恰当的防护措施也能有效的保护网络信息的安全。本文总结了以下几种方法并加以说明以确保在策略上保护网络信息的安全: 4.1隐藏ip地址 黑客经常利用一些网络探测技术来查看我们的主机信息,主要目的就是得到网络中主机的ip地址。ip地址在网络安全上是一个很重要的概念,如果攻击者知道了你的ip地址,等于为他的攻击准备好了目标,他可以向这个ip发动各种进攻,如dos(拒绝服务)攻击、floop溢出攻击等。隐藏ip地址的主要方法是使用服务器。 使用服务器后,其它用户只能探测到服务器的ip地址而不是用户的ip地址,这就实现了隐藏用户ip地址的目的,保障了用户上网安全。 4.2关闭不必要的端口 黑客在入侵时常常会扫描你的计算机端口,如果安装了端口监视程序(比如netwatch),该监视程序则会有警告提示。如果遇到这种入侵,可用工具软件关闭用不到的端口,比如,用“norton internet security”关闭用来提供网页服务的80和443端口,其他一些不常用的端口也可关闭。 4.3更换管理员帐户 administrator帐户拥有最高的系统权限,一旦该帐户被人利用,后果不堪设想。黑客入侵的常用手段之一就是试图获得administrator帐户的密码,所以我们要重新配置administrator帐号。首先是为administrator帐户设置一个强大复杂的密码,然后我们重命名administrator帐户,再创建一个没有管理员权限的administrator帐户欺骗入侵者。这样一来,入侵者就很难搞清哪个帐户真正拥有管理员权限,也就在一定程度上减少了危险性。 4.4杜绝guest帐户的入侵 guest帐户即所谓的来宾帐户,它可以访问计算机,但受到限制。不幸的是,guest也为黑客入侵打开了方便之门!禁用或彻底删除guest帐户是最好的办法,但在某些必须使用到guest帐户的情况下,就需要通过其它途径来做好防御工作了。首先要给guest设一个强壮的密码,然后详细设置guest帐户对物理路径的访问权限。 4.5封死黑客的"后门" 俗话说“无风不起浪”,既然黑客能进入,那我们的系统一定存在为他们打开的"后门",我们只要将此堵死,让黑客无处下手,岂不美哉! (1) 删掉不必要的协议 对于服务器和主机来说,一般只安装tcp/ip协议就够了。鼠标右击“网络邻居”,选择“属性”,再鼠标右击“本地连接”,选择“属性”,卸载不必要的协议。其中netbios是很多安全缺陷的源泉,对于不需要提供文件和打印共享的主机,可以将绑定在tcp/ip协议的netbios给关闭,避免针对netbios的攻击。 (2) 关闭“文件和打印共享” 文件和打印共享应该是一个非常有用的功能,但在我们不需要它的时候,它也是引发黑客入侵的安全漏洞。所以在没有必要"文件和打印共享"的情况下,我们可以将其关闭。即便确实需要共享,也应该为共享资源设置访问密码。 (3) 禁止建立空连接 在默认的情况下,任何用户都可以通过空连接连上服务器,枚举帐号并猜测密码。因此我们必须禁止建立空连接。 (4) 关闭不必要的服务 服务开得多可以给管理带来方便,但也会给黑客留下可乘之机,因此对于一些确实用不到的服务,最好关掉。比如在不需要远程管理计算机时,我都会将有关远程网络登录的服务关掉。去掉不必要的服务停止之后,不仅能保证系统的安全,同时还可以提高系统运行速度。 4.6做好ie的安全设置 activex控件和java applets有较强的功能,但也存在被人利用的隐患,网页中的恶意代码往往就是利用这些控件编写的小程序,只要打开网页就会被运行。所以要避免恶意网页的攻击只有禁止这些恶意代码的运行。ie对此提供了多种选择,具体设置步骤是:“工具”“internet选项”“安全”“自定义级别”。另外,在ie的安全性设定中我们只能设定internet、本地intranet、受信任的站点、受限制的站点。 4.7安装必要的安全软件 我们还应在电脑中安装并使用必要的防黑软件,杀毒软件和防火墙都是必备的。在上网时打开它们,这样即使有黑客进攻我们的安全也是有保证的。 4.8防范木马程序 木马程序会窃取所植入电脑中的有用信息,因此我们也要防止被黑客植入木马程序,常用的办法有: (1)在下载文件时先放到自己新建的文件夹里,再用杀毒软件来检测,起到提前预防的作用。 (2)在“开始”“程序”“启动”或“开始”“程序”“startup”选项里看是否有不明的运行项目,如果有,删除即可。 (3)将注册表里key_local_machine\software\microsoft\windows\currentversion\run下的所有以“run”为前缀的可疑程序全部删除即可。 4.9不要回陌生人的邮件 有些黑客可能会冒充某些正规网站的名义,然后编个冠冕堂皇的理由寄一封信给你要求你输入上网的用户名称与密码,如果按下“确定”,你的帐号和密码就进了黑客的邮箱。所以不要随便回陌生人的邮件,即使他说得再动听再诱人也不上当。 4.10防范间谍软件 如果想彻底把spyware拒之门外,请按照这几个步骤来做: (1)断开网络连接并备份注册表和重要用户数据。 (2)下载反间谍工具。 (3)扫描并清除。 (4)安装防火墙。 (5)安装反病毒软件。 4.11及时给系统打补丁 最后,建议大家到微软的站点下载自己的操作系统对应的补丁程序,微软不断推出的补丁尽管让人厌烦,但却是我们网络安全的基础。 5 结束语 尽管现在用于网络安全的产品有很多,比如有防火墙、杀毒软件、入侵检测系统,但是仍然有很多黑客的非法入侵。根本原因是网络自身的安全隐患无法根除,这就使得黑客进行入侵有机可乘。虽然如此,安全防护仍然必须是慎之又慎,尽最大可能降低黑客入侵的可能,从而保护我们的网络信息安全。 网络信息安全研究:计算机网络信息安全数据加密技术研究 摘要:互联网技术的发展带动了全球的发展,给人们的生活与工作带来了便捷,促进了社会的发展与进步。网络是把双刃剑,给人们带来便利的同时也带来了一些安全隐患,网络信息的恶意篡改、窃取、传播不良信息等给人们的生活也带来了一些困扰。文章主要分析了计算机网络信息安全常见的问题,介绍了计算机网络信息安全中数据加密技术,重点阐述了数据加密技术的方式,给人们提供合理化的建议。 关键词:网络安全;数据加密;策略 0引言 数据加密技术能够保证信息在通过网络渠道传播的过程中,具有一定的完整性与保密性。随着人们对于网络的挖掘,数据加密技术得到了广泛应用,针对不同类型的信息要选择合适的数据加密技术,让人们可以在网络交往过程中放心地传递信息[1]。 1计算机网络中进行数据加密的必要性 随着互联网技术的不断发展,网络的日益普及,很多互联网企业涌现在市场中,同时出现一些网络安全隐患问题,比如网络漏洞、黑客攻击,由此可见,对计算机网络数据进行加密是很有必要的[2]。科技改变了人们的生活,人们越来越依赖网络,无论是工作还是生活,人们都会使用到计算机网络来传递数据,尤其在电子商务领域。以淘宝为例,人们在使用淘宝时多是买家通过网络获得想要买的物品信息,然后与卖家进行联系,咨询后就可以下单购买商品,这一过程中,需要买家利用支付宝付款,当付款时,若泄露付款密码就很容易使用户遭受损失。除了个人信息容易泄露以外,一些国防机密和公司重要文件在传输的过程中,也需要利用数据加密技术,以防他人窃取文件,造成损失。计算机安全体系最重要的就是密码,密码泄露很容易让一些不法分子入侵计算机获得用户的个人信息。例如人们经常会在手机或者电脑上登录QQ和微信,当泄露密码之后,黑客就可以根据密码登录电脑,破坏整个服务器,盗取所需要的信息,用户再次登录时就会出现一些提醒登录异常或者是不在原地登录等信息。为了保证电脑中信息的安全性,人们需要利用数据加密技术来提高防护功能。比如人们在输入密码或者验证码时,可以通过数据加密技术,进一步提高网络数据传输的安全性。当前信息的传输分为线上和线下,很多线下活动都变为了线上活动,这就需要人们提供数据加密技术,这样才能够构建计算机网络安全体系。 2计算机网络信息安全常见的问题 在电脑或者手机上登录个人账户时,常会出现一些个人信息曝光的问题,很多个人信息被一些不法分子利用。除此之外,有些企业的数据也会出现泄漏。据不完全统计,网络信息安全问题正呈现上升趋势。 2.1网络安全信息被窃取 数据在传输的过程中需要利用网关节点和路由器节点,黑客一般都会在这两个节点中对计算机网络数据信息进行截获。如果网络数据信息没有被加密,就很容易出现信息泄露的情况,导致信息被窃取而用户却浑然不知[3]。 2.2网络安全信息被篡改 如果计算机网络信息数据在传输的过程中没有被加密,当入侵者在截取信息之后就可以随意地改变数据信息,让网络另一端的接收者获得错误的网络信息。 2.3计算机授权用户被伪造 计算机数据信息被窃取之后,窃取者多会对信息内容进行修改加以利用,网络攻击者可以冒充计算机授权用户侵入计算机系统内部。2.4恶意破坏当非授权计算机用户利用授权计算机用户的身份进入计算机系统内部之后,计算机系统就处于一个网络危险的状态,会给用户或社会带来不可预估的后果。 3计算机网络信息安全中的数据加密技术 3.1数据加密技术的原理 数据加密技术主要是由明文、密文、算法和秘钥构成的。明文是指一些没有进行转换的信息,比较容易读懂。密文是指通过一些信息技术把数据进行加工后的信息,提高了理解难度。明文到密文的转换就是一种数据的加密,主要是利用一些特定的算法来实现的。把密文转化为明文实际就是人们常说的数据解密,也是通过对加密数据算法进行解密来完成的。计算机网络信息数据加密与解密的过程中都要涉及发送方和接收方,二者缺一不可。明文处理变换成密文。把密文进行发送,发送者这时就被称为发送方,而接收到密文的人就是接收方。发送方在进行信息传输过程中就需要通过加密技术,把其形成密文进行传输,在这个基础上向接收方进行传递。接收方收到密文之后就可以通过解密的方式来读阅信息。当在传输过程中出现信息被窃取的情况,那么获取信息的人只会得到原始的密文,当没有相对应的密钥时就无法解密,通过这样的方式可以保证计算机网络信息的安全性。其中算法和秘钥对于计算机的加密很重要,加密算法是指把一些通俗易懂的明文进行转化,以秘钥的方式对其进行处理,通过信息技术的方式将其形成全新的密文。数据加密技术主要分为两种方式,一是对称加密技术,二是非对称加密技术,算法有很多种,但是在执行的过程中具有相应的标准[4]。秘钥与算法在计算机网络安全数据加密过程中非常重要,秘钥是解密的关键。在计算机程序中可以根据分类的不同对其进行封装,数据具有冗余性,为了保证操作流程的简洁就可以通过给数据加密的方式。当进行数据加密时,可以通过随机的方式抽取加密的参数,通过构成模型来筛选不同的数值。当密钥的数量为1时,就需要在数据加密与解密的过程中使用同一类型的秘钥,即共用秘钥,这样的方式也就是对称加密技术。在数据加密与解密的过程中,秘钥的类型可以有不同的方式,也就是非对称的加密技术。对称加密技术加密解密的速度比较快,但是容易被他人窃取、快速破解。非对称加密技术具有安全性能高的特点,所以人们在使用数据加密技术时可以根据不同的类型选择合适的加密方式。 3.2对称加密与非对称加密 对称加密是指针对具有相同密钥的单个用户进行加密和解密,在加密的过程中不会影响到其他网络用户的使用。在一般情况下,在对称加密的方式中,用户可以通过一个密钥对要传输的数据进行加密运算,还可以通过一个密钥来完成解密工作,当然在传输与接收的过程中,需要用户加强保密工作,在一定程度上可以减少网络数据的安全隐患问题。对称加密算法的方式比较简单,密钥的格式都很短,但是要想破解它需要一定的时间。密钥在这一过程中发挥了重要作用,直接影响了网络系统的安全性,所以需要人们对密钥进行严格的管理,尤其是在公共区域使用的计算机网络中。对称式加密方法是指接收方与传输方都使用一个相同的密钥,既能够快速地加密,也可以快速地解密,在算法方面比较简单,密钥的格式较短,是各行各业普遍使用的方式。但是由于单一密钥的管理方式难度较大,对于密钥的保管不当也会引发一些网络安全问题,所以在使用对称式加密的方法时也存在一些问题。非对称加密方式与对称加密方式存在一个很明显的区别,就是加密和解密所使用的密钥不同。就密钥来说,非对称加密的密钥主要有两种,一是公钥,二是私钥。在加密的过程中,公钥和私钥都是缺一不可的,需要人们在使用的过程中相互配合。其中公钥就是公开的,私钥是保密的,只有接收者和发送者知道。而在解密的过程中,接收者只要使用私钥就可以保证网络信息的安全性。非对称加密的方式具有很大的优势,即私钥的使用方式更加灵活,但是在加密与解密的过程中,也存在速度较慢等问题。 4计算机网络信息安全中数据加密传输的方式 4.1链路加密技术 链路加密指在计算机网络通信链路的基础上对信息加密,以确保网络信息传输的安全。这种加密的方式是在线加密,首先,在数据传输的过程中需要先对这些信息进行加密,在这一基础上可以根据网络节点来一步一步完成解密,接受者对这些信息进行解密之后,还可以对这些信息进行加密,能够保证数据信息传输的安全性能[5]。网络节点之间需要一定的通信来连接,在链路加密的过程中,很多信息都是被多次加密的,在不同节点接受消息时就会有不同的解密方式能够保证计算机网络信息数据的安全性能。递进式的密钥加密可以全方位、多层次地保证信息的安全性,能够在信息传输过程中,保证一条信息可以在多个渠道中传递。因为不同类型的传输节点可以根据数据解密之后的信息再对其进行加密,所以信息链路数据都会再以不同的方式变为密文。链路加密会使这些信息的覆盖面更广,保证信息传递给更多的用户。在传输的过程中可以利用相应的技术和字符来支撑信息的传递,通过消息频率和信息长度来保证传输给接收方。 4.2节点加密技术 节点加密技术指通过与节点设备的相互连接,完成密码的装置,对这些密文进行解密和再次加密。节点加密的方式能够保证网络数据传输的安全性,但是解密的方式与链路操作的方式是一致的。节点加密技术也是通过通道的方式保证信息的准确性,节点加密技术和链路加密技术都是通过节点对这些信息进行二次加密。由此可见,数据的不断加密能够保证整个计算机网络信息安全的透明化。但是需要注意一个问题,节点加密的方式与链路加密方式存在一个不同点,即节点加密技术在信息传输过程中不存在明文,节点加密技术能把接收到的信息进行全方面地解密,通过不同的密钥再对这些信息进行加密。利用节点加密技术能够保证计算机网络信息的安全,利用中间节点的方式可以保证信息的准确性,节点加密技术在针对网络攻击时,分析数据的能力相对较弱。节点加密技术在操作的过程中对节点两端和加密级别同步性的要求比较高,需要相互配合才能完成整个加密过程,比较容易出现信息数据丢失的情况。 4.3端到端加密技术 端到端加密技术指在数据传输的过程中,要先对本体的数据进行密文传输,当接收方接收到信息之前不能够对这些信息进行解密,这在一定程度上能够保证计算机网络的安全。端到端加密技术具有价格比较便宜、技术设计比较简洁、在技术维修方面比较方便、在操作方面比较人性化等优势。端到端加密技术在实际操作过程中,用户可以在使用网络时不受到其他因素的影响,但是在使用端到端加密技术时,要做好保密工作,这样才能够保证信息的安全性。端到端加密的技术成本较低,与前两个加密技术相比更具可靠性,设计和维护更容易。端到端加密技术有自己独立的公文包,能够被单独加密,不需要同步,在传输的过程中不会影响到数据的传输。用户使用端到端加密技术,不会影响到其他用户的正常使用,只要在使用该方法时保证节点的保密性即可。 5结语 综上所述,随着科技的不断发展,我们进入了信息时代,网络拉近了人与人的距离,但同时网络信息安全问题日益凸显,为了营造良好的网络环境,就需要保证信息在传输过程中不受威胁。近一年常出现一些网络诈骗、信息被盗的情况,这引起了人们的广泛关注,数据加密技术也在网络信息安全中不断发展,渗透到计算机网络信息安全管理的各个方面,在一定程度上给计算机安全提供了强有力的支撑。 作者:王雅峰 单位:盐城机电高等职业技术学校 网络信息安全研究:个人网络信息安全保护研究 一、透明的时代:个人网络信息保护的严峻挑战 在万物互联、人机交互的大数据时代,数据成为经济社会发展的新动力,前所未有地改变了我们的生活。同时,这也是一个“透明的时代”,我们在使用高效快捷便利的互联网工具时,不可避免地将自己的信息提供给平台使用、存储,乃至与他人共享,既享用数据,也产生数据。同时,我们对“为改进服务,需要收集、分析您使用手机的情况”等类似的提示并不陌生,出于使用软件和服务的需要,通常都会同意授权,于是我们在平台面前就不再具有隐私,我们的所思所想、习惯偏好、行程变化、关系网络等都暴露给了企业,我们变成“透明”的了。在大数据技术环境里,用户虽然产生数据但却不保存数据,而是企业保存和调用,有的企业将用户数据视作自有资产,甚至排斥了用户权利,造成信息权利主体错位。此外,随着移动互联网、物联网等新型应用的发展,用户数据采集的内容更加具体和广泛,个人将更多的信息“拱手”交给服务商,如生活习惯、身体特征、健康数据等,一旦被恶意传播和使用,后果将非常严重。携程重大安全漏洞事件、山东省2016年高考考生信息被窃等,一次又一次敲响个人网络信息保护的警钟。近期美国信用机构Equifax爆出涉及1.4亿用户的数据泄露事件,也引起轩然大波,个人网络信息保护是个跨国度的课题。 二、个人网络信息保护涉及信息全程 个人网络信息的权益贯穿收集、传输、存储、使用和提供给第三方等过程,有意或无意的过失都可能在任何一个环节损害用户信息的隐私性、完整性和安全性。个人网络信息受到损害的成因主要有四:一是用户信息本身具有使用价值,可以为使用者带来可观的利益,使得一些机构和个人铤而走险非法获取和使用个 人信息。如利用用户信息进行诈骗,扰乱行业正常发展秩序,危害人民群众财产安全,令人深恶痛绝。二是企业信息安全意识淡薄,管理防范不足,使得不法之徒对用户信息的窃取和使用有可乘之机。2014年,违法分子利用申通K8速运管理系统的漏洞,侵入公司服务器非法获取3万余条个人信息,就是典型案例。三是个人信息保护意识不强,轻易提供个人信息,被不法之人利用。据网络调查,39%的人平时不太在意个人信息保护,31%的人了解个人信息泄露危害,63%的人只是了解一点。四是个人信息保护的法规与制度不够完善,对信息保护不力和侵犯信息行为的震慑不够。 三、保护个人网络信息安全需要多元参与 个人信息从采集到使用,涉及各类主体和多种技术应用,信息安全的保护是一项综合性、系统性、全方位的工程。需要坚持“社会共治”的思维,政府、企业、社会组织、广大网民都要共同参与,多方联动、齐抓共管、协同治理、良性互动,构建多主体共同参与的治理模式。个人网络信息保护离不开法律的规范和保障。《网络安全法》规定,“网络运营者应当对其收集的用户信息严格保密,并建立健全用户信息保护制度”“网络运营者收集、使用个人信息,应当遵循合法、正当、必要的原则,公开收集、使用规则,明示收集、使用信息的目的、方式和范围,并经被收集者同意”“不得收集与其提供的服务无关的个人信息”。但实际是,个体在互联网公司面前过于单薄脆弱,如果拒绝提供个人信息,就不能使用网络产品和服务,比如地图导航、网络购物、共享单车等,甚至天气信息、手电筒、图像处理、记事本之类的App都要求用户提供或者不阻拦其收集通讯录、手机设置、地理位置等信息。这就需要进一步制定个人信息保护专门性立法,陆续推出配套的有关实施细则、专门规章、行业标准等,尽最大可能完善具体规则,最大限度地对互联网公司行为作出规范,如不得以提供个人相关信息或授予相应权限作为使用新闻软件、娱乐App的前置条件等,明确强制提供使用的种类和范围,避免“人为刀俎我为鱼肉”的权益失衡。封堵信息保护漏洞,企业责无旁贷。从近年来发生的多起航空公司、酒店、快递公司等泄露用户个人信息事件来看,一些企业在收集与利用用户个人信息时没有尽到应有的保护职责。有必要强化企业保护个人信息的社会责任,不允许忽视用户信息保护而追求利润最大化。政府有关部门要借助《网络安全法》实施的契机,加强执法检查,完善信息保护制度,明确企业在信息收集、存储、利用阶段的规则规范。从企业来说,务必要提高防范意识,升级防范等级,做到事前预防、事中阻断、事后追溯,堵塞监管漏洞,加强行业规制,提高自律水平,实现源头防范。要以技术防范为主,加强技术研发,完善信息系统安全设备诸,确保系统中的用户个人信息得到更加稳妥的安全技术防护。提高用户意识保护网络信息安全。在“互联网+”时代,用户喜好决定企业生死,如果用户具有强烈的个人信息保护意识,自觉抵制侵害个人信息的企业,形成“保护用户信息就是保护市场”的理念,倒逼企业重视用户信息保护。要培养用户良好的信息保护意识,养成良好的上网习惯,有意识地控制个人信息的使用范围,妥善保管个人信息,谨慎提供敏感信息,最小化地填写网络信息。牢固树立网络信息“主权”观念,自己就是网络信息的所有者,企业必须遵循知情同意和最小化利用原则,对违反规定和约定的行为主动维权,迫使企业不敢侥幸。此外,还要加大侵害个人网络信息行为的打击和惩处力度。对侵犯用户个人网络信息的,既要加强公安、工商、通信等联合打击力度,坚持执法零容忍,形成震慑,也要加大惩处力度,提高违法成本。除了司法惩治、行政处罚,还要加大对用户民事维权的支持力度。借鉴“网购收货地起诉”模式,建立便于用户维权的投诉、申诉、起诉机制,探索集体诉讼模式,推动用户共同维权。互联网具有全球即时传播的特点,个人信息一旦在网上泄露就会失去控制,“覆水难收”。只有让用户觉得自己的信息是安全的,才会积极参与网络生活,大胆尝试互联网新服务,推动互联网产业健康发展。 作者:宋昌发 单位:广东省通信管理局 网络信息安全研究:网络信息安全技术管理研究 摘要:如今已到了信息时代。计算机互联网对人们的影响越来越大,包括生活、学习等方面。网络技术虽然使人们的生活越来越便利,但同样也带来了不少问题,像是病毒软件等时刻危害着网络用户的安全。因此,网络安全管理技术也变得越来越重要。本文对此展开了分析讨论,以保证计算机使用的安全性. 关键词:网络信息安全;安全管理;计算机应用 网络通信在各个领域里的应用,对社会的发展有着很大的促进作用,而且已普遍得到了大家的认可。然而,总会有个别人为了达到一些不可告人的目的而肆意利用网络,侵入各网络用户的安全系统,使他们的隐私惨遭泄露。所以说,为了防止出现这种现象,技术人员应该加强计算机安全管理技术的创新,并且加强相关管理工作,使人们能在更安全的环境下应用计算机。 1威胁网络信息安全的行为 1.1信息盗窃 众所周知,信息盗窃与财务盗窃相同,都是属于违法行为。正是由于部分计算机用户没有对计算机的安全系统进行有效管理,使得很多不法分子钻孔传输病毒,对用户计算机上的信息进行实时监控,并且盗窃那些有利于他们的信息,给用户的利益造成了极大的损失,甚至会造成更加严重的后果。 1.2信息篡改 某些不法分子,利用病毒侵袭计算机之后,获取了用户们的真实信息,然后进行篡改。在篡改之后又以用户的名义将这些虚假信息出去,从中获取利益。这些虚假信息会使计算机用户上当受骗,他们的利益可能也会受到损失。像这样一种行为,不仅危害了被侵袭用户的利益,还牵连到了其他用户的利益,是一种极其恶劣的行为。 2网络信息资源该怎么与计算机相结合 2.1公布并收集信息 由于网络渠道多种多样,像是多媒体、新闻等,那么计算机可以利用这些渠道来获取并传播信息。计算机的信息采集率、准确率和劳动消耗率都是相对较高的。这样的工作可以借助留言板来进行。 2.2对于信息的传播进行管理 在信息传播的过程中,首先要保证的便是信息的安全性,加强计算机安全系统的管理,借助人力、物力、财力这三方面在进行计算机安全管理技术的完善与优化。尤其是对于政府机构或是其它企业、事业单位的计算机,更需要进行严密的安全管理措施,对于人力、物力、财力这三方面更要做到一个合理的分配,以提高安全管理效率。计算机可以便捷地上传和下载网络信息,在确保网络信息足够安全的前提下,借助邮箱、QQ、微信等传递信息与沟通交流,与传统方式相比是更加便捷的,能够大大提高工作效率。 3网络信息安全技术下的计算机应用 3.1全面应用加密的网络技术 如今,计算机网络技术越来越先进,然而这却给予了大批不法分子侵袭网络的途径。众多的计算机用户都一直被病毒、黑客侵扰着,如何安全使用网络已成为了人们迫切需要解决的问题。如今,网络加密技术的应用越来越普及。在进行交易时也尽量提倡使用实名制,目的就是为了能保证信息足够安全,足够完整。此次研发的加密技术相对来说较为先进,借助此加密技术加密过的信息是难以破解的,不法分子很难窃取相关信息。那么常用的加密方式大致有对称加密、对称密匙加密和公开加密这三种,对于网络信息的安全保护都是十分有利的。有些加密技术可以对多种文件信息进行加密,如pkzip技术,它既能加密保护信息,也能压缩加密数据包,还能加密各种软件包和复制类文件。这一类的加密技术不容易被黑客所侵袭,安全性较高,因此得到了用户的普遍认可。 3.2强化身份验证技术的管理 通过验证方法来达到公匙密码算法的身份认证要求,像这样的方法能够增强身份鉴定的准确性与安全性。该技术原理是利用密码验证技术验证多个对象的真实性,例如可验证对象有没有符合信息技术相关规定,能不能有效地发挥作用等。除了密码验证技术以外,还可以应用指纹验证技术。我们都知道,在通常情况下没有两个相同的指纹,因此可以利用该特性来验证身份,对信息进行区分等。以上所提到的两种技术都可以有效保障计算机用户的各类信息,然而,这两种网络安全技术还是有缺陷的,它们的研究成本和使用成本都普遍较高,一般的用户都难以承担。 3.3防火墙技术的普及应用 在常见的网络加密技术中,防火墙技术是十分常见且被普遍应用的一种。防火墙技术可以防止病毒入侵、对计算机进行实时监控等。当然,该技术也并不是完美的,它仍有较多不足点,例如它无法预防那些数据驱动式的攻击。所以,需要研发出更先进的防火墙技术,能够阻拦所有的信息流。而且,扩展应用功能,强化计算机的安全系统保障。,提高其安全性和完整性。 3.4强化入侵检测技术 对于计算机安全系统的保护,除了防火墙及杀毒软件的应用之外,还可以对计算机进行入侵检测来加以保护。本文中所提到的入侵检测技术大致可以分为三个过程,主要是信息收取、信息分析检测、结果处理,像这样一系列的流程能够保证信息的来源是绝对安全的。这一检测技术的实施要经过安全日志、安全行为和其他网络信息来完成。该技术可以检测计算机系统中的信息等是否安全,并且还能够检查计算机有无被黑客监控,以防止病毒的恶意袭击,保证计算机系统的安全。当发现计算机被黑客监控时,能够及时进行分析和处理,将有病毒或可能带来病毒的软件进行查杀。该技术主要能够分为两种检测模型,即误用检测模型和异常监测模型。下面来大致介绍一下这两种模型:首先异常监测模型只会在出现大面积入侵时才会进行检测处理,所以它容易出现误报的现象;误用检测模型主要是检测那些具有攻击性的数据,所以它的误报率也是非常高。还需要注意的是,在使用这种技术时,定期更新特征库,尽量减少误报现象以以影响到入侵检测。 4结语 本文主要是分析了网络信息安全技术下计算机的使用,来探讨计算机安全技术。另外,还讨论了信息安全的具体表现及网络与计算机相结合这两点,更加说明了网络安全的重要性。如今,计算机安全技术的更新越来越频繁,其安全管理技术也逐步优化,以尽最大努力来确保计算机地安全运用。 作者:吐尔逊艾力·巴孜力江 单位:伊犁州广播电视大学 网络信息安全研究:计算机虚拟网络信息安全研究 摘要: 随着科学技术的发展,数字时代的开始普及,这让信息化建设迎来了新的挑战,而计算机网络信息安全是信息化建设中的主要内容,也会迎来很多的挑战,计算机网络信息安全中的主要内容就是虚拟网络,虚拟网络的优点是比较安全可靠,而且延伸便利,成本的消耗也比较低,因此引起了很多研究学者的重视,本文主要对虚拟网络技术在计算机网络信息安全中的应用进行研究,并指出虚拟网络技术在计算机网络信息安全中的发展趋势。 关键词: 虚拟网络技术的介绍;信息安全中应用;发展趋势 1虚拟网络技术的介绍 1.1概念 虚拟网络技术主要是指主网络上在添加一个特殊网络的技术,是网络中的任意两个节点互相连接的状态,是使用者在专用网络平台上面传递信息的连接线路;虚拟网络技术与传统网络技术相比信息数据的资源共享、信息数据传递更快,成本不高还可以为用户带来不错的效益,而且传输的过程很安全很可靠,虚拟网络技术主要包括隧道技术、身份认证技术、加密技术等相关的网络技术,隧道技术在虚拟网络技术中占有重要的地位,它可以对局域网的数据包进行二次打包,然后在将数据传送到数据包中,让数据可以等到二次的密封,可以更加安全有效的完成数据之间的传输,保障了数据的真实性与安全性;虚拟网络技术中加密技术的主要作用是,加密技术可以是数据包其保护伞,让数据多一层保护更安全;虚拟网络技术中的身份认证技术是指用户通过帐户、密码进行身份验证的一种保密方式,有效的对用户的信息进行了保护;虚拟网络的每种技术,都应该是以确保数据信息在安全的环境下进行传输。 1.2主要的特点 虚拟网络技术可以通过不同的方式来确保信息网络的安全性,这个特点有利于企业、学校的内部线路等的建设;另一特点是网络精简的功能比较强,可以降低企业在网络上设立专门线路上的人力资源,节省了成本的开支。 2虚拟网络在计算机网络信息安全中的应用 2.1企业内部中的网络应用 目前,虚拟网络技术在很多公司的内部广泛应用,这种范围性的虚拟网络使用叫做虚拟局域网,企业员工通过虚拟网络技术利用计算机远程的方式进行对各地区分部的连接与沟通,他们可以在公司内部实时进行信息的共享和上传,像一些跨区或是跨国公司中使用的都是这种虚拟局域网络;虚拟网络中的网络工具加密性比较高,这可以让企业的信息数据更加的优化,因此虚拟网络技术应用是企业重要的网络连接管理。 2.2虚拟网络技术在企业与外部员工之间的应用 虚拟网络技术对于我国很多的企业来说,应用面积都非常的大,尤其是在以采购和销售为主的运营企业,这些企业的虚拟网络技术应用的主要范围包括在内部网络和分部人员之间,它方便分部员工可以时时的进行数据信息的分享,更有效地加强员工的工作效率,在企业总部设置虚拟网络的服务器,主要是为了方便总部通过防火墙等一些方法来实现对各分部门之间的网络信息控制,虚拟网络技术应用不需要大笔资金的投入,安全性还很高,因此比较适合公司、学校等相关企业中使用。 2.3企业和客户之间的网络应用 虚拟网络技术可以在企业和客户、合伙人、供应商之间应用,而且比较广泛,企业想要实现可持续的发展,就一定要找信誉度高的客户、合伙人以及供应商,良好的业绩一定会让业务数据不断增长,这时出现一个可以进行数据的上传和分享虚拟网络平台,为企业与合作伙伴之间减去了很多的麻烦,如果企业相对内部文件文件进行加密,防止泄漏,可以在企业内部网上设置防火墙,它保护了企业的合法权益不受侵害。 3虚拟网络在计算机网络信息安全中的发展趋势 企业的信息化技术在不断的发展和进步,这为虚拟网络技术也带来了很大的进步和发展,在信息化技术的发展过程中虚拟网络技术的各方面性能都不断成熟,安全稳定性更高,由于电信产业的没落让计算机网络信息安全相关的产品渐渐的向虚拟网络技术中转移着,这个因素使虚拟网络技术渐渐变成信息产业的主要力量之一,随着人们要求变得越来越苛刻让虚拟网络产品变得更加的丰富和具体,虚拟网络产品主要包括防火墙和复合型工具等一些产品,被广泛的使用着,因此虚拟网络技术未来在计算机网络信息安全中会被列为重点的研究对象。 4结语 综合上诉可知,虚拟网络技术的发展是促进信息化产业发展的重要助力,传统的网络技术中的信息安全隐患是其主要难题,运行不流畅的问题时常发生,这会减少用户对其的使用,虚拟网络技术的发展可以有效的解决这些问题,还具有很好的安全性和可靠性,操作方便,运行速度快,是未来网络技术发展的主要方向。 作者:弋建伟 单位:陕西职业技术学院 网络信息安全研究:网络信息安全项目驱动教学法研究 摘要: 针对《网络信息安全》课程中所存在的各种问题进行深入分析,提出将项目驱动教学法引入到该课程的教学活动之中,希望通过该方法在一定程度上解决这些问题。本文在介绍项目驱动教学法的基础上,重点讨论其在《网络信息安全》课程中的应用过程,并对该方法的优势和不足进行了分析。 关键词: 网络信息安全;项目驱动教学法;教学改革 《网络信息安全》是一门内容丰富、知识点众多的课程,既包含基础理论知识,也包括实践应用技术。本文针对《网络信息安全》课程教学过程中所存在的问题,深入分析课程内容特点,探讨如何将任务驱动教学法引入该课程的教学活动中来,并将教学改革活动的结果进行分析,总结课程教学改革过程中的经验和教训,为提高《网络信息安全》课程教学质量提供一定参考。 一《网络信息安全》课程现状与问题 目前,由于受各方面因素的制约,我国高校《网络信息安全》课程在开展过程中主要存在以下三方面问题,这些问题严重影响了该课程教学质量的提高。 (一)教学内容陈旧 多数高校《网络信息安全》课程均要求选取指定的教材,笔者对目前出版的包括21世纪教材等多本教材进行分析,发现教材内容基本都包括以下方面:网络信息安全概述、操作系统安全、网络实体安全、数据库安全、数据加密技术、防火墙技术、计算机病毒防治等。以计算机病毒防治技术为例,文中所列举的病毒示例多为“爱虫”、“求职信”、“灰鸽子”等多年以前的病毒,而对其相关变种病毒的防治却很少涉及。 (二)课程教学方法单一 由于受到教学习惯等因素的限制,《网络信息安全》的教学方法多采用讲授法。对于如计算机网络安全基础、数据加密等理论性较强的内容来说,讲授法是适合的;但是,对于网络攻防、实体安全等强调技术性和实践性的内容来说,讲授法并不合适。 (三)对实验教学环节重视不够 实验是《网络信息安全》课程的重要环节,但是在实际的教学活动中,实验教学并未受到足够的重视。长期以来,高校对于实验环节存在很多偏见,认为实验只是理论课教学的补充,在师资力量的投入以及课程安排方面均有所欠缺。为了解决《网络信息安全》课程中存在的各种问题,除了更新教学内容、加大师资投入外,必须在教学活动中引入新的教学方法,项目驱动教学法就是一种有益的尝试。 二项目驱动教学法应用 项目驱动教学法以建构主义学习理论为基础,它是教师制定或师生共同协商制定项目并且共同完成这些项目的教学活动过程。与其他教学方法不同,任务驱动教学法不再以教师为中心,学生成为了真正的学习中心,除了前期教师的带入、过程中的指导以及后期的检查外,更多的学习活动是学生完成。项目驱动教学法的执行必须经过精心的设计,每一个环节均需要教师做好备课工作。 (一)应用阶段 项目驱动教学法并不是一种独立的教学方法,在使用该教学方法时,应该注意与其他教学方法的配合,项目教学法的使用前提需要学生对《网络信息安全》课程的基本内容和关键理论知识有一个比较充分的认识之后进行。整个课程进行过程中可以将总学时划分为三个阶段:课程开始阶段应该以传统的讲授法、举例说明法等传统教学方法为主,让学生在短时间内获取足够多的专业知识。当总学时进行到三分之一时,开始在教学过程中加入项目驱动教学法,此阶段宜采用循序渐进的原则,项目难度由易到难,重点在于让学生在解决问题的过程中消化课程内容,掌握分析问题、解决问题的方法,同时激发学生学习热情。当总学时接近尾声时,重点采用项目驱动教学法,通过综合性项目让学生对课程整体内容进行综合运用,提高学生对知识的掌握水平。以上课程教学方法与学时关系的确定是根据特定教学目标、教学内容以及总学时安排制定的,其他教师在使用时可根据具体情况对比例划分进行调整。 (二)项目设计 项目设计是项目驱动教学法的关键内容,在教学项目设计阶段,我们以学生特点和教学目标为出发点,以教学大纲为依据,采用网络信息安全虚拟实验平台为总项目,以章节实验内容为分项目,让学生在构建实验平台的过程中掌握相关知识,同时在一定程度上也能缓解《网络信息安全》课程内容陈旧、实验环节重视不足的问题。《网络信息安全》项目驱动教学法相关项目可以包括以下部分: 1.配置虚拟机 VMwareWorkstation是一款优秀的虚拟机软件,目前其最新版本为12.X.X,该软件具有良好的适应性,支持所有的主流操作系统和CPU。为完成网络信息安全课程任务,需要在虚拟机软件中配置Windows2003和Ubuntu两种操作系统。 2.安全工具软件 主要包括网络监听工具(如WinSniffer、pswmonifor等)、密码破解工具(如PGP、MD5转换器等)、数据恢复工具(如EasyRecovery等)、网络扫描工具(如MyLanViewer、NetBScanner等)。由于安全工具软件种类较多,且发展较快,所以在安装时可以根据具体情况进行动态调整。 3.构建实验场景 根据课程内容安排,让学生根据各知识点构建实验场景,设计实验步骤,利用安全工具软件完成实验过程。以协议安全分析为例,我们这里要求学生设计一个实验,通过该实验可以了解DOS攻击过程,并分析TCP协议缺陷。 (三)项目实施 项目实施是指学生在教师的指导下,按照项目要求,完成相关任务。在这一过程中,学生是教学法的中心,教师的角色是指导者、组织者和监督者。学生应充分发挥主观能动性,在项目进行过程中不断提高知识的掌握水平。教师在项目实施过程中要掌握项目进展,及时为学生提供指导意见,积极组织学生进行讨论。 (四)项目评价 项目评价是整个教学法的最后阶段,评价方式包括学生自评、小组互评与教师评价相结合的方式,也可以采用项目答辩的方式进行。对于项目的评价,我们既要重视最后项目的实现效果,也要关注项目实施过程中学生的表现以及学生对于知识的掌握程度,切忌主观武断,要充分听取学生陈述,全面掌握项目完成情况,给予学生项目公正、合理的评价。 (五)实践效果分析 项目驱动教学法在长春理工大学计算机学院2013级网络专业两个班级的《网络信息安全》课程中进行试用,并将这两个班级年级的教学效果进行对比,结果发现,采用项目驱动教学法的学生在理解网络安全知识、掌握安全技能方面优势明显,尤其在动手实践能力方面更为突出。这些优势主要表现为:(1)成绩方面:分别对2012级和2013级网络专业同学使用相同知识点、相同难度水平的试卷进行考察,2013级同学的平均成绩明显高于2012级同学;(2)竞赛方面:分别对2012级和2013级网络专业同学的竞赛情况进行统计,2012级参加各类网络攻防大赛的人数仅为2人,2013级参加攻防大赛的人数达到了9人,并取得了不错的成绩。虽然以上的分析方法存在一定的片面性,但是却能在一定程度上体现项目驱动教学法的优越性。 作者:从立钢 王杨惠 祁晖 单位:长春理工大学计算科学技术学院 长春理工大学化学环境工程学院 网络信息安全研究:数字化校园网络信息安全研究 【摘要】 通过对数字化校园建设中的网络信息安全隐患,以及影响校园网络安全因素进分析,针对校园网安全需求,制定相应的安全策略、产品选择及部署方案,保障在数字化校园实施过程中的网络信息安全。 【关键词】 数字化校园;网络;信息安全 数字化校园[1]建设是高校信息化建设的重要内容,数字化校园以网络和数字化信息为基础,在校园网络的基础上建立起来的对教学、管理、科研、技术服务等校园网信息的集合、处理、存储、传输和应用,使得各种数字化的资源能够通过信息平台充分利用,实现学校教学管理的数字化,打破传统的校园网络概念,多维度拓展校园网的应用空间,提升校园网的运行效率,从而达到提高管理水平和效率的目的[2]。随着数字校园建设的不断深入发展,各大高校逐渐建立起了庞大的网络系统与信息系统,如何在此基础上构建一个安全的网络信息环境,抵御各种潜在的风险,保障整个系统安全可靠的运转,是数字化校园建设是最为重要的课题。 1.数字化校园网络信息安全隐患 数字化校园相对来说是一个封闭的内部运行环境,它的应用主要来至于内部教职员工和学生,但同时也是一个开放的环境,其应用打破了时间和空间的限制,对于使用者来说随时随地都可以对系统进行访问,所以其安全隐患既可来至学校内部也可以来至外部。通过分析数字化校园建设的安全隐患主要包括以下几个方面:(1)外部闯入闯入是一种最常见的攻击方式,不法分子为了达到某种不可告人的目的,闯入校园内部的计算机里,如普通合法用户一样使用学校内部的电脑,进行各种非法操作,如果闯进各种应用服务器里,其后果就不堪设想。(2)导致拒绝服务网络攻击者为了破坏学校各重要系统正常的运行,通过拒绝服务的方式攻击系统,使系统无法正常运行。拒绝服务的攻击方式原理就是攻击者利用大量的数据包“淹没”目标主机,耗尽可用的资源至系统崩溃,而无法对合法用户作出响应[5]。如:往某远程主机发大量数据或占用远程主机资源,从而导致远程主机瘫痪、重启、死机或蓝屏。(3)信息窃取攻击者通过病毒程序、木马程序、网络工具,窃取校园网重要的数据信息。比如使用网络嗅查器(Sniffer)监听系统中传输的如用户名、口令、或银行账号等重要信息等。在校园网络中通过信息窃取获得学校关键的数据,对数据的安全造成不可估量的损失。(4)内部泄密最危险的敌人潜伏在身边,数字化校园建设的推进的过程中,内部泄密已经成为校园信息安全最直接的威胁。经权威机构统计发现:来自企业内部安全威胁有超过85%;来自内部未授权的访问占16%;中国国内存网站存在安全隐患占到80%,其中20%的以上网站安全问题特别突出。 2.校园网安全考虑因素分析 通过对数字化校园的安全隐患的分析,结合现有网络的安全状况,在数字化校园建设过程中应主要从如下几个方面入手来考虑安全因素及防范措施: 2.1从物理安全方面考虑 校园网中物理硬件包括:各种服务器、工作站、交换机、路由器、存储器、通信设备、电源等,物理安全主要考虑的是避免这些设备人为的、自然环境的破坏。要保证校园网络的物理安全应从机房的安全管理措施及安全环境等入手来加以考虑。 2.2分段隔离技术 根据校园网的各个部门功能、安全、保密等不同水平,要求将校园网络进行差异分段隔离,通过安全隔离将攻击和入侵造成的威胁限制在较小的子网范围内,提高数字化校园网络的整体安全水平。校园网络可通过路由器、虚拟局域网VLAN、防火墙等技术分段来实现。 2.3信息加密认证 为了保证校园网内的数据、密码、文件、网络会话和控制信息等的完整性,信息加密的是必不可缺少的安全防护手段。通过各种认证与加密技术对数字化校园网络重要的数据信息访问请求进行认证加密,以防止重要信息的泄漏。 2.4安全漏洞扫描 安全漏洞扫描是校园网络安全防御中常用的手段,就是采用模拟攻击的方式对工作站、服务器、路由器、交换机、数据库等各种目标对象,可能存在的已知安全漏洞进行逐项检查。根据漏洞扫描结果提交安全性分析报告,供网络管理员参考,为提高整体网络安全水平提供依据。 2.5网络反病毒 随着新技术的进步,网络病毒向综合性方向发展,许多网络病毒兼具文件感染、木马、蠕虫、黑客攻击等功能,同时传播途径向多样化方向发展,可通过电子邮件、共享目录、浏览网页、网络漏洞进行传播,甚至有些网络病毒能够跨平台,可感染多种不同类型的操作系统。通过统计来看现在许多网络安全事件都是由网络病毒引起的,因此在数字化校园的建设中,可针对性的采用防毒软件,实时扫描监控、查杀病毒来保护校园网系统的安全。 2.6网络入侵检测 校园网络入侵检是通过一定的监测手段,对网络上发生的入侵行为进行监测,通过收集和分析网络行为、审计数据、日志及其它网络信息,检测系统是否存在有违反安全策略的行为和被攻击的对象,如果发现有攻击或其它不正常现象就截断网络连接、记录事件和报警。在校园网建设过程中网络入侵检测应结合防火墙、反病毒软件联动,有效的阻断黑客与病毒对系统的攻击。 2.7网络最小化原则 从网络安全的角度考虑问题,打开的服务越多,可能出现的安全问题就会越多,所以校园网安全应遵从“最小化原则”对服务器进行配置:首先在服务器上安装系统要最小化,一些可有可无的应用程序不要安装;在服务器部署单一的服务应用程序,这样可把服务器的风险降低到最小范围;在配置服务器使用权限时,有针对性的开放只需要的权限,从而限制用户的操作行为在最小的范围之内,不需要的账号要及时删除等。 3数字化校园安全策略 通过对数字化校园网络拓扑结构的分析,可知校园网构成了一个Intranet系统,学校本部的主干网络通过网络运营商DDN专线与外网相连,在其中运行有学校网站服务器系统,各部门的网站服务系统,教务管理系统,招生就业系统,OA办公自动化系统等及内部服务器系统。而学校本部的网络系统和分校的子网络系统的通过Internet公网来完成连接通信。 3.1校园网安全需求分析 通过对校园网络安全因素及数字化校园体系结构分析,要保证校园网各重要服务器或部门子系统的安全,有如下安全需求:(1)保证服务器系统的安全。学校的服务器主要包括学校网站服务器、部门网站服务器、部门应用服务器、数据库服务器、内部服务器等。这些服务器上运行有重要的应用系统,如学院的OA系统、教务管理系统、招生就业管理系统、财务系统、科研管理系统,所有这些系统的安全防护对学校正常的工作运转起着关键作用。(2)学校总部和分部的内部网络安全。学校内部的网络会不时遭到黑客攻击,还有各种木马病毒的攻击,内部网络安全是数字系统能够正常运行基本保证;(3)网络用户身份识别与认定。学校用户量大,包括学校教职员工、学生、外访客,要求必须有一套完整统一的身份认证与识别系统,保证合法用户对系统的访问;(4)重要数据传输安全问题。在学校总部与分部之间、内部用户到服务器、应用服务器到数据库服务器之间,要求传输数据的安全性与完整性,不受第三方截取、破坏。(5)保护学校重要部门。如财务部门、教务部门、招生就业部门等重要应用系统及资料文件,如果这些部门系统遭到破坏造成数据丢失,会造成不可估量的损失。 3.2安全策略制定 根据学校数字化校园安全需求分析制定如下安全策略:(1)校园网物理安全策略:包括学校服务器机房环境保护措施、出入管理制度的制定、安全责任制度、灾难备份与恢复方案、应急电源启用,突发情况预警等;通信线路、路由器、交换机,无线通信设备安全策略。(2)内外访问控制策略:为学校本部与分部之间,学校内部网与互联网之间、外部网络用户与校园网络之间的实际需要制定访问控制规则,保证相互通信的安全,禁止非法访问;(3)安全配置及管理策略:对各服务器管理系统、安全产品、部署的应用服务系统,设置各级权限及信任关系,防止越权操作破坏系统;检测漏洞及修补、设置安全规则、安全审计及日志分析等。(4)认证安全策略:建立统一身份认证系统,并制定密码复杂规则,信息传输认证加密等规则;(5)突发事件应急策略:针对黑客攻击入侵、各网络病毒的破坏、自然灾难导致的结果制定应急处理法和恢复计划。 3.3选择安全产品及部署 针对校园网的安全需求及相应的安全策略,选择成熟有效的安全产品,把校园网的安全管理与安全产品有机的结合,解决数字化校园的网络安全,使网络的风险降到最低的限度。(1)交换机选择:根据交换机传输率及品质选择稳定可靠的交换机,部署在各个子网接点上,进行VLAN划分使各个子网隔离、抵抗各种病毒与工具软件的攻击,尽量把风险控制在各个子网中。(2)防火墙选择:防火墙是一种软件与硬件的结合体,通过访问规则控制内外网络之间的信息交换,把不符合访问规则的请求拒之于门外,从而保护系统的安全。在构建数字化校园的时,应选择功能强大的防火墙部署在校园网与外网之间,重要部门的子网与内部网之间,或安装个人防火墙于客户端,从而阻断各网络之间的非法访问,保障系统的最大安全。(3)建立虚拟私有网:在特殊情况下可以建立虚拟私有网(VPN)在两点之间建立可靠的安全连接,保证数据安全传输。(4)网络身份认证:网络认证包括静态密码、智能卡、短信密码、动态口令、生物识别等方式进行认证,可根据实际情况选择相应的产品,部署在专用认证服务器或需要认证的服务器系统中。(5)反病毒软件部署:包括金山、瑞星、360、卡巴斯基等防毒软件能够查杀大部分的各种流行病毒,可部署在校园网各应用服务器中及客户端个人计算机中,防范各种病毒对系统的破坏,从而保证系统的安全。(6)入侵检测系统:入侵检测系统是对网络安全攻击的一种主动防御设备,可对网络传输进行实时监控,对可疑的入侵采取主动反应措施或发出警报,主要部署在需要重点保护的服务器主机和子网中。 3.4安全教育与培训 在数字化校园安全方案里面,需要对学校的全体教职员工,特别是网络管理人员及部门负责人进行安全教育,掌握基本的安全知识,能够熟练的掌握和应用安全产品,从思想上提高安全意识,阻止或避免可能发生的安全事故。培训内容应包括以下知识:网络基本知识掌握;各种计算机网络病毒诊断与防治;掌握各种网络入侵手段,分析解决应对办法;各操作系统、应用服务器、安全产品的安装和安全配置;校园网络系统的安全管理和维护及重要数据备份与恢复。 4结束语 综上所述,数字化校园建设是利用现代网络科技手段实现学院信息化、管理科学化的重要手段,它是一个开放的过程,不断发展变化逐渐完善的过程,在这个过程中,对于信息安全因素的分析及安全策略的制定与实施,具有非常重要的意义与价值,制定合理的安全策略是整个信息化建设中是必不可少的环节。 作者:唐权 周蓉 单位:四川职业技术学院 网络信息安全研究:网络信息安全体系研究 摘要: 在社会经济和科技的不断发展下,我国社会进入到计算机网络信息时代。计算机网络信息系统以其自身强大的信息功能得到了人们的青睐。但在人们对计算机网络信息应用增多的情况下也出现了一些计算机网络信息安全问题。本文根据计算机网络信息安全体系结构特点,针对现阶段计算机网络信息安全存在的风险问题,为如何构建计算机网络信息安全体系结构进行策略研究。 关键词: 计算机网络信息;信息安全;安全体系结构;构建 0引言 如今世界发展步入了信息化时代,网络信息系统在国家的各个领域中得到了普遍应用,人们的生活生产充分认识到了计算机网络信息的重要性,很多企业组织发展加强了对信息的依赖。但在计算机网络信息类型增多和人们使用需求提升以及计算机网络系统自身存在的风险,计算机网络信息系统安全管理成为有关人员关注的重点。为了避免计算机使用用户信息泄露、信息资源的应用浪费、计算机信息系统软硬件故障对信息准确性的不利影响,需要有关人员构建有效的计算机网络信息安全结构体系,通过该结构体系的构建保证计算机网络信息系统运行的安全。 1计算机网络信息系统安全概述 1.1计算机网络信息系统安全内涵和发展目标 计算机网络信息系统安全是指计算机信息系统结构安全,计算机信息系统有关元素的安全,以及计算机信息系统有关安全技术、安全服务以及安全管理的总和。计算机网络信息系统安全从系统应用和控制角度上看,主要是指信息的存储、处理、传输过程中体现其机密性、完整性、可用性的系统辨识、控制、策略以及过程。计算机网络信息系统安全管理的目标是实现信息在安全环境中的运行。实现这一目标需要可靠操作技术的支持、相关的操作规范、计算机网络系统、计算机数据系统等。 1.2计算机网络信息系统安全体系结构概述 在计算机网络技术的不断发展下,基于经典模型的计算机网络信息安全体系结构不再适用,为了研究解决多个平台计算机网络安全服务和安全机制问题,在1989年的时候有关人员提出了开放性的计算机网络信息安全全体系结构标准,确定了计算机三维框架网络安全体系结构。 2计算机网络信息安全体系结构特点 2.1保密性和完整性特点 计算机网络信息的重要特征是保密性和完整性,能够保证计算机网络信息应用的安全。保密性主要是指保证计算机网络系统在应用的过程中机密信息不泄露给非法用户。完整性是指计算机信息网络在运营的过程中信息不能被随意篡改。 2.2真实性和可靠性特点 真实性主要是指计算机网络信息用户身份的真实,从而避免计算机网络信息应用中冒名顶替制造虚假信息现象的出现。可靠性是指计算机信息网络系统在规定的时间内完成指定任务。 2.3可控性和占有性特点 可控性是指计算机网络信息全系统对网络信息传播和运行的控制能力,能够杜绝不良信息对计算机网络信息系统的影响。占有性是指经过授权的用户拥有享受网络信息服务的权利。 3计算机网络信息安全体系存在的风险 3.1物理安全风险 计算机网络信息物理安全风险包含物理层中可能导致计算机网络系统平台内部数据受损的物理因素,主要包括由于自然灾害带来的意外事故造成的计算机系统破坏、电源故障导致的计算机设备损坏和数据丢失、设备失窃带来的计算机数据丢失、电磁辐射带来的计算机信息数据丢失等。 3.2网络系统安全风险 计算机信息网络系统安全风险包括计算机数据链路层和计算机网络层中能够导致计算机系统平台或者内部数据信息丢失、损坏的因素。网络系统安全风险包括网络信息传输的安全风险、网络边界的安全风险、网络出现的病毒安全风险、黑客攻击安全风险。 3.3系统应用安全风险 计算机信息网络系统的应用安全风险包括系统应用层中能够导致系统平台和内部数据损坏的因素,包括用户的非法访问、数据存储安全问题、信息输出问题、系统安全预警机制不完善、审计跟踪问题。 4计算机网络信息安全体系结构构建分析 4.1计算机网络信息安全体系结构 计算机网络信息安全结构是一个动态化概念,具体结构不仅体现在保证计算机信息的完整、安全、真实、保密等,而且还需要有关操作人员在应用的过程中积极转变思维,根据不同的安全保护因素加快构建一个更科学、有效、严谨的综合性计算机网络信息安全保护屏障,具体的计算机网络信息安全体系结构模式需要包括以下几个环节:(1)预警预警机制在计算机网络信息安全体系结构中具有重要的意义,也是实施网络信息安全体系的重要依据,在对整个计算机网络环境、网络安全进行分析和判断之后为计算机信息系统安全保护体系提供更为精确的预测和评估。(2)保护保护是提升计算机网络安全性能,减少恶意入侵计算机系统的重要防御手段,主要是指经过建立一种机制来对计算机网络系统的安全设置进行检查,及时发展系统自身的漏洞并予以及时弥补。(3)检测检测是及时发现入侵计算机信息系统行为的重要手段,主要是指通过对计算机网络信息安全系统实施隐蔽技术,从而减少入侵者发现计算机系统防护措施并进行破坏系统的一种主动性反击行为。检测能够为计算机信息安全系统的响应提供有效的时间,在操作应用的过程中减少不必要的损失。检测能够和计算机系统的防火墙进行联动作用,从而形成一个整体性的策略,设立相应的计算机信息系统安全监控中心,及时掌握计算机信息系统的安全运行情况。(4)响应如果计算机网络信息安全体系结构出现入侵行为,需要有关人员对计算机网络进行冻结处理,切断黑客的入侵途径,并做出相应的防入侵措施。(5)恢复三维框架网络安全体系结构中的恢复是指在计算机系统遇到黑客供给和入侵威胁之后,对被攻击和损坏的数据进行恢复的过程。恢复的实现需要三维框架网络安全体系结构体系对计算机网络文件和数据信息资源进行备份处理。(6)反击三维框架网络安全体系结构中的反击是技术性能高的一种模块,主要反击行为是标记跟踪,即对黑客进行标记,之后应用侦查系统分析黑客的入侵方式,寻找黑客的地址。 4.2基于三维框架网络安全体系结构计算机安全统平台的构建 (1)硬件密码处理安全平台该平台的构建面向整个计算机业务网络,具有标准规范的API接口,通过该接口能够让整个计算机系统网络所需的身份认证、信息资料保密、信息资料完整、密钥管理等具有相应的规范标准。(2)网络级安全平台该平台需要解决计算机网络信息系统互联、拨号网络用户身份认证、数据传输、信息传输通道的安全保密、网络入侵检测、系统预警系统等问题。在各个业务进行互联的时候需要应用硬件防火墙实现隔阂处理。在计算机网络层需要应用SVPN技术建立系统安全虚拟加密隧道,从而保证计算机系统重要信息传输的安全可靠。(3)应用安全平台该平台的构建需要从两个方面实现:第一,应用计算机网络自身的安全机制进行应用安全平台的构建。第二,应用通用的安全应用平台实现对计算机网络上各种应用系统信息的安全防护。(4)安全管理平台该平台能够根据计算机网络自身应用情况采用单独的安全管理中心、多个安全管理中心模式。该平台的主要功能是实现对计算机系统密钥管理、完善计算机系统安全设备的管理配置、加强对计算机系统运行状态的监督控制等。(5)安全测评认证中心安全测评认证中心是大型计算机信息网络系统必须要建立的。安全测评认证中心的主要功能是通过建立完善的网络风险评估分析系统,及时发现计算机网络中可能存在的系统安全漏洞,针对漏洞指定计算机系统安全管理方案、安全策略。 4.3计算机网络信息安全体系的实现分析 (1)计算机信息安全体系结构在攻击中的防护措施如果计算机网络信息受到了病毒或者非法入侵,计算机网络信息安全体系结构则是能够及时组织病毒或者非法入侵进入电脑系统。三维框架网络安全体系结构在对计算机网络信息系统进行综合分析的过程中,能够对攻击行为进行全面的分析,及时感知到计算机系统存在的安全隐患。(2)计算机信息安全体系结构在攻击之前的防护措施计算机网络信息支持下各种文件的使用也存在差异,越高使用频率的文件就越容易得到黑客的攻击。为此,需要在文件被攻击之前做好计算机网络信息安全防护工作,一般对使用频率较高文件的保护方式是设置防火墙和网络访问权限。同时还可以应用三维框架网络安全体系结构来分析计算机系统应用潜在的威胁因素。(3)加强对计算机信息网络的安全管理对计算机信息网络的安全管理是计算机系统数据安全的重要保证,具体需要做到以下几点:①拓展计算机信息网络安全管理范围。针对黑客在计算机数据使用之前对数据进行攻击的情况,有关人员可以在事先做好相应的预防工作,通过对计算机系统的预防管理保证计算机信息技术得到充分应用。②加强对计算机信息网络安全管理力度。具体表现为根据计算机系统,对计算机用户信息情况全面掌握,在判断用户身份的情况下做好加密工作,保证用户数据信息安全。(4)实现对入侵检测和计算机数据的加密入侵检测技术是在防火墙技术基础上发展起来的一种补充性技术,是一种主动防御技术。计算机信息系统入侵检测技术工作包含对用户活动进行分析和监听、对计算机系统自身弱点进行审计、对计算机系统中的异常行为进行辨别分析、对入侵模式进行分析等。入侵检测工作需要按照网络安全要求进行,基于入侵检测是从外部环境入手,很容易受到外来信息的破坏,为此需要有关人员加强对计算机数据的加密处理。 5结束语 综上所述,在现代科技的发展下,人们对计算机网络信息安全体系结构提出了更高的要求,需要应用最新技术完善计算机网络信息安全体系结构,从而有效防止非法用户对计算机信息安全系统的入侵、减少计算机网络信息的泄漏、实现对网络用户个人利益的维护,从而保证计算机网络信息安全系统的有效应用。 作者:黎斌 单位:广西职业技术学院 网络信息安全研究:中学计算机网络信息安全教育研究 【摘要】 网络是中学生获取知识的重要途径,也是他们应当掌握的一项重要能力。许多的知识和技能可以通过网络学习,既快捷又方便。互联网传播信息量大,而且内容及其复杂,有些内容极为不健康,不利于青少年的健康成长。甚至影响到他们的生活习惯、思维方式、价值判断,所以对中学生进行计算机网络信息安全教育也刻不容缓。 【关键词】 中学生;网络信息;安全教育 1.对中学生进行网络信息安全教育的必要性 加强中学生网络信息安全教育,能够促进他们健康成长,这是一种通识教育。由于现在中学生运用互联网数量的迅速增长,其对于中学生健康成长具有非常巨大的作用。中学生在运用互联网的过程中,必然受到其中一些信息的影响,而且中学生思想意识薄弱,辨别是非和真假的能力差,就很容易受到互联网上不良信息的影响。人们的思想意识影响着人们的行动,当互联网上这些不良信息被中学生所接受以后,他们的思想意识就受到了很大的影响,他们就会做出不道德的事情,甚至会走上违法犯罪的道路。净化网络文化环境,让中学生接触不到这些网络上的不良信息,也就避免了中学生受到不良信息诱惑的情况出出现。加强中学生网络信息安全教育,是规范网络文化环境的需要。网络文化环境当中,网络信息安全是一项非常重要的内容,网络信息的安全是网络文化环境的基础。没有网络信息的安全,各项其他的内容都无从谈起。随着互联网的兴起,中学生是互联网用户的很大的用户群,他们的文化素质,道德水平在很大程度上影响着整个网络文化环境的水平。因此,对他们进行网络信息安全教育是净化网络文化环境的第一步,也是最为关键的一步。网络文化环境的水平又影响着人们的生活适量和整个社会的思想文化水平,所以,加强网络信息安全教育关乎整个社会的发展。加强中学生网络信息安全教育,同时也是思想政治教育的需要。我们现在实行教育政策就是实行素质教育,要求德、智、体、美、劳全面发展,这更加提高了思想政治教育的地位。无论是在学校还是在将来工作以后,都会把一个人的道德水平作为判断一个人的重要标准。青少年时期是对一个人实行思想政治教育的关键时期,在这个时期一定要做好这一方面的工作,使之切实达到教育的要求。互联网是青少年接受教育的一个重要平台,也是对青少年进行思想政治教育的重要途径。加强中学生的网络安全信息教育,是进行中学生思想政治教育的前提。没有一个健康安全的网络文化环境,对中学生的思想政治教育就无从谈起。 2.对中学生进行网络信息安全教育的方法 对中学生的网络信息安全教育的方法和途径有很多,但是主要有理论教育和实践教育两种途径。在这两种方法和途径当中,又有多种多样的方法。 2.1理论教育。 第一,通过行政手段进行网络信息安全教育。政府对网络安全信息安全教育进行总体规划,并确定由某个政府部门整体负责,也可以通过会议的形式对中学生的网络信息安全意识进行教育。第二,通过在校的学习进行信息网络安全教育。学校作为学生学习文化知识的重要场所,理所应当是进行网络信息安全教育的重要地方。学校根据学校和学生的不同情况,开设不同的网络信息安全教育的课程。通过学生系统的学习来提高网络信息安全的意识和因对网络信息的能力。学校的老师还要不断研究网络信息安全的知识,开展网络信息安全研讨会。学生要努力学习网络安全知识,自发组织开展网络信息安全知识竞赛,以比赛的形式鼓励他们学习网络安全知识。学校之间还可以进行研究成果的交流,不定期的开展网络安全知识的讲座,让学生了解最新的网络安全知识。第三,通过媒体的力量来进行网络安全教育。各媒体可以推出网络信息安全教育的各种期刊杂志,校刊和广播,以学生可以接受的形式来传播网络信息安全知识。还可以鼓励学生自己发挥想象,例如,让学生利用出黑板报的形式来宣传网络信息安全知识。甚至,还可以鼓励学生利用网络来宣传网络安全知识,这样的方式既方便,又有效率,同时也是中学生乐于接受的方式。 2.2实践教育。 对中学生进行网络安全知识教育不仅要有理论知识的教育,而且还要开展第二课堂,进行实践教育。理论和实践总是存在很大的差距,理论的丰富并不意味着实践能力的水平高。任何看似简单的事情,做起来也未必简单。学到了网络信息安全的知识,未必就真正能够在运用互联网的时候使用。因此,需要组织学生对运用网络信息安全知识进行模拟,让他们动手操作,把网络信息安全知识真正的掌握。 3.对中学生网络安全教育的内容 3.1法律规范 互联网虽然是一个虚拟世界,没有实实在在的可以触摸到的事物。然而它和现实世界一样需要法律规范,对其进行有效的制约。在我国,有多部法律对互联网都进行了规定,所以,学习关于互联网的法律法规就变得很重要了。这些法律法规对网民在利用互联网的时候,什么事能做,什么事不能做,有些人能做什么事,有些人不能做什么事都有很明确的规定。学习这些知识对于自己健康的利用互联网友很大的帮助,而且也有利于网民利用法律武器维护自身的合法权益。 3.2伦理道德 法律具有一定的强制性和稳定性,同时也具有滞后性,因此只靠法律来规范网络信息安全显然还不够,还要依靠广大网民的自律,这就需要对网民进行伦理道德教育。中学生的伦理道德观念还比较薄弱,加强对中学生进行网络上的这一方面教育就变得更为迫切。由于网络与人们生活关系的密切,网络道德也越来越受到人们的重视。网络道德的建立是网络信息安全的一道重要屏障,特别是国家颁布《全国青少年网络文明公约》以来,网络道德大有所好转。《全国青少年网络文明公约》的制定是规范青少年网络道德的重要文件,具有里程碑性的意义,必将对中学生的网络道德教育产生深远的影响。 3.3防范技术 如果说伦理道德教育是让中学生自觉地不去接近不良的网络环境的话,那么进行防范技术的教育主要是为了让中学生不能接触到不良的网络信息。毕竟中学生的自制力还是比较差,只是让他们自己抵制这种诱惑是不太现实的,必须在技术上让他们接触不到不良的信息,这是进行网络信息安全教育重要的一环。 作者:赵尚毅 单位:衡水市第二中学 网络信息安全研究:网络信息安全监督权研究 摘要 网络的普及在给公民行使监督权提供新的条件和形式的同时,权利的滥用也带来了一定的问题。本文先是简单阐述何为网络信息安全和公民的网络监督权,接着说明两者之间所存有的冲突,通过分析冲突的表现以及产生冲突的原因,对如何解决两者的冲突提出几点试想,对此进行了简单的论证。 关键词 网络;监督权;信息安全 一、概述 (一)网络信息安全 网络信息安全(NetworkInformationSecurity)是一个综合性问题,不仅跟国家安全与社会稳定紧密挂钩,一定程度上还会影响到民族文化的继承发展与经济繁荣稳定。“网络信息安全是指信息网络的硬件、软件及其系统的正常运作和其中信息不受侵犯的法律制度。”网络信息安全可以从形态上进行划分,分为两个方面:一是网络信息存储的安全,二是网络信息传输的安全。由此可见,网络信息存储安全主要是信息在静态中的安全,而网络信息传输安全则是信息在动态运作中的安全。从网络信息的具体内容的角度看,可分为信息网络的本身安全,信息网络系统的安全和信息安全。从这个角度看,网络信息安全所涵盖的范围很大,包括生活中的各个方面,包括过的军事政治也包括到生活中的各类民事行业,甚至可以具体到一个家庭及个人的信息安全。 (二)公民宪法监督权 法国著名思想家卢梭在其《社会契约论》中指出:政府的权力来自于人民以契约形式的权利让渡,的确,在民主国家,人民才是国家的主人,享有管理国家的权利,政府的权力只是人民赋予给他们从事管理国家的工具。而政府对权力的运用,可能会给人民带来福祉,但也可能因为权力被滥用而给人民和社会带来危害。针对权力可能被滥用的问题,许多国家都建立了监督体系,其中也包括公民监。上述可以说是对监督权的概述,而网络监督权则是对于监督权的具体表现,现代社会的民众通过各种渠道获取各类信息,通过自己的理解和与网络的多种交互行为,得出对于社会事件和政府政策的中肯评价,从一定程度上能防止和纠正社会不良风气,发现政府决策瑕疵,是公民行使监督权的一种体现,这是网络时代对于公民监督权行使的积极影响。但是,溯及其本源来看,公民的网络监督权是宪法赋予公民行使宪法监督权的一种工具延伸。公民通过网络行使国家宪法所赋予的监督权是顺应网络时展的需要,这不仅使公民能够更好的行使自身监督权,也能使网络发挥积极的新作用,促进网络在中国的进一步普及应用。通过两者的互相影响,是我国的社会朝着更加良性的方向发展,引领网络新的发展方向。 二、公民宪法监督权与信息安全的冲突 (一)冲突的表现 从唯物辩证法的方法看,所有的事物都是一个对立又统一的矛盾物体,公民的网络监督权当然也在此列。虽然网络监督权在现阶段的行使确实给社会和国家带来了一系列积极影响,但是不能否认,我国也确实存在网络监督权滥用的情形。这也是本文即将探讨的问题。 1.对侵犯他人隐私侵犯:网络监督权得到公民的广泛认识和行使的一个重要原因是网络本身的自带属性,网络自带的开放性和匿名性是人们更愿意通过它行使权利和表达意见。例如,“人肉搜索”现在对于现在社会也不再陌生,近几年来,出现人肉搜索的次数越来越多,甚至可以说很多人已经见怪不怪了。这是否可以看作是对于公民个人隐私的侵犯呢?我们不否认它的积极作用,但是我们在揭露社会事实真相的同时不可避免的会公布搜索事件当事人的个人信息,由于网络的传播性和开放性,公众可以获得当事人一系列隐私信息,网民也会在短时间内获取到该类信息。不可否认,这是对当事人甚至其家庭隐私权的侵犯,这也是违反监督行为的初衷。 2.易引发网络暴力:监督权的行使主体是公民,作为其延伸的网络监督权的主体同样是公民,但是监督权的行使效果还是受到公民自身素质的影响,网络上公民素质水平参差不齐,某些公民的思想观点带有明显的偏颇和激进,但是有时这种观点很容易得到一些网民的认可,这很容易造成网络暴力。所谓网络暴力是不同于现实生活中的暴力伤害,但是他的危险程度不亚于现实暴力行为,有时甚尤过之。往往网络上一件热议事件捆绑上道德后迅速发酵,由此更多的网络力量加入进来,可能会带来各种对于事件当事人的各种攻击,最后造成网络暴力的不良后果。 3.对他人名誉权的侵犯:公民在网络上一定程度上因为网络的匿名性使其处于失控状态,公民在现实中发表言论可能会遭到打击报复或者是来自国家的制裁,但是公民在网络上则很少有这种顾忌。这使得公民在网络上发言有时只图一时之快,容易给社会带来不良的社会影响,违背现实社会生活中基本的道德准则。这种道德感的缺失也导致网络言论的信用度大幅下降,有时更会给不法分子带来可趁之机。一些极端的个人或者团体就会抓住这样的漏洞,从事一些伤害他人的事而从中获利。例如,编造一些网络谣言,大范围的在网络上传播,给当事人编造一些莫须有的道德事件,短时间内造成一定轰动,但是事实上会给当事人名誉权造成一系列苦果。这种行为不仅会给个人及家庭带来恶劣影响,而且情节恶劣的甚至会损害国家和政府的形象,影响国家和社会的稳定和发展。 4.破坏司法独立:网络一方面使公民能够接触到更多的社会上各类信息,特别是一些深受社会关注的法律案件的判罚,一旦获得社会的广泛关注,司法机关的审判就会受到社会因素的影响。这容易破坏司法的独立性。正常情况下的合理监督是有利于司法审判的公正进行,但是社会的过度关注可能会是法庭在判罚中为了安抚民意而做出违反司法逻辑的判决。其中最典型的是沈阳刘涌案,由于公民对于此案最终判决不服,在网络上大肆宣传不满情绪,认为此改判有黑幕。最高人民法院迫于舆论压力,决定依照审判监督程序对刘涌一案提起再审,最终判处刘勇死刑并立即执行。这不仅破坏了司法独立性,更是一定程度上对于司法尊严的践踏。 (二)冲突的原因 1.缺乏道德约束:网络迅速发展的同时,也带来了一系列的问题,其中最严重的事来自道德层面的批判。它的存在已被看作是对传统道德的冲击。最直接的表现是,人们在网络中利用网络的匿名性和虚拟性来摆脱道德约束,在网络中发言只顾自己的一时满足,不考虑现实后果,不会顾忌到自己的言行会给自己和他人带来的不利影响。网民认为在网络中他们不必承担现实中会产生的责任,言行过于随意,致使他们毫无顾忌的发表意见。总之,道德层面的缺失是网络监督权的行使陷入两难的境地。 2.行使载体缺乏真实性:公民网络监督权和社会现实中监督权存在差异。在社会现实中人们任意行使监督权是会承担相应法律后果的,人们也会因此谨慎行使自己权利。这一方面规范了监督权的行使,但是另一方面也会制约监督权发挥其实际作用,人们不敢对于不良的社会现象进行斗争,但是在网络中,公民可以随意举报类似现象。这也是网络自身属性所带来的影响,它暴露了网络监督权的行使缺乏真实的载体和有效的手段,继而造成了更多弊端。 3.缺乏相应的法律法规的约束:早在公民行使网络监督权的开始就已经暴露了它的不足。我国虽然早在上世纪已经对网络的发展制定了一系列的法律法规,但是这些法律法规不成体系,分散在各个部门法中,再加上网络监督权具有其特殊性,现阶段的立法不能完全满足它的发展。这就造成了关于网络立法的滞后性。这相较现阶段处于高速发展的网络来说,明显不足。这就致使法律不能发挥它的规范作用,造成了法律一定程度的缺失,制约了网络监督权的完善发展。所以,我们需要通过专门的立法机关和正当的立法程序,制定一部符合现阶段网络监督权发展需要的法律,进一步规范权力行使的权利和义务。只有这样才能更有效的行使网络监督权。 三、构建网络信息安全与公民网络监督的冲突协调机制 (一)制定网络监督法 网络现阶段在中国大范围的普及,但是由于法律本身的滞后性,致使中国相应的法律存在一定程度的缺失。随着世界全球化趋势的加强,我国的相关法律相较于其他发达国家也存在着不小的差距,这些都是我国立法所急需解决的问题。这也不难理解我国公民的网络监督权存在一些消极影响,甚至有些偏激分子利用网络对社会施加不良影响。所以制定一部可行的相关法律是中国网络发展不可缺少的。所以本文作者希望可以制定相应的《网络监督法》,规范公民网络监督权的行使,明确公民行使网络监督权的权利以及由此会产生的法律责任。这不仅会优化网络监督权的行使,也会一定程度推动网络在中国的发展和普及,创造更良好的社会环境。 (二)建立专门的网络监督监管机构 大部分权利的运行都是会受到相应机构的监管,这样有利于更好的行使权利。我国的网络监督权的行使,明显没有考虑到这个层面。我国现阶段并不存在专门的网络监管部门,所以为了我国公民此项权利的更好行使,建立相应的监管机构是必不可少的。当然,较发达的欧美国家在这方面是走在中国前面的,我国在建立监管机构时完全可以在考虑自身情况的同时,合理借鉴国外的先进经验。如:英国网络观察基金会、新加坡的传媒发展局、美国的联邦通讯管理委员会及印度的网络警察局。这些国家的监管机构也一直推动着这些国家网络的健康发展。我国也因此取得过阶段性发展:2004年,我国开通了“互联网违法和不良信息举报中心”。通过这个网站可以了解网络上的不法行为,还可以针对不法行为进行威慑。这样通过此类监管机构,公民可以维护自己的权利,一方面优化了监督权行使的环境,另一方面也防止了公民网络监督权的滥用,更能为实际的执法部门提供更多的便利条件。 (三)提高网民素质 网络监督权作为公民监督权的延伸,它的行使主体仍然是人(网民),网民自身的素质修养不可避免的会影响监督权行使,所以在发展公民网络监督权时,提高网民的素质修养,是优化公民网络监督权行使的一个重要途径。其中首要的是公民的自律意识和责任意识。归结到网络本身属性,网民在网络中可以畅所欲言,致使网络时常出现反动、偏激的言辞,不利于营造良好的网络环境。为了使公民能够更好地行使网络监督权,要加强对于网民责任意识和自律意识的培养,使网民能充分认清到自己的行为,由此在网民心中形成自身的网络道德,是网民可以自律。在此种背景下,我们应当采取有效的措施积极引导广大网民文明上网,通过各种途径提高网民的思想道德修养,树立正确的网络权利观。 作者:奚涛涛 单位:江苏师范大学 网络信息安全研究:企业网络信息安全防护研究 摘要 随着网络与信息技术在我们经济和生活各个领域的快速发展,企业也纷纷打造自身的网络信息平台。信息技术正逐渐影响着我们生活和工作的方式,在信息技术带给我们巨大便利的同时,网络与信息安全的各类问题也在不断攀升。面对众多网络攻击行为,安全风险面临重要的挑战。因此,探讨企业网络与信息安全风险,强化安全防护管理措施,保障企业业务安全稳定发展具有十分重要的意义。 关键词 企业网络;信息安全;防护 随着网络与信息技术在我们经济和生活各个领域的快速发展,企业也纷纷打造自身的网络信息平台。信息技术正逐渐影响着我们生活和工作的方式,在信息技术带给我们巨大便利的同时,网络与信息安全的各类问题也在不断攀升。面对众多网络攻击行为,安全风险面临重要的挑战。因此,探讨企业网络与信息安全风险,强化安全防护管理措施,保障企业业务安全稳定发展具有十分重要的意义。 1网络与信息安全风险分析 面对日益增加,不断涌现的网络攻击行为,企业在巩固和加强基本的网络与信息安全的基础上,仍不同程度上存在一定的安全风险,主要包括以下方面。 1.1物理安全风险 物理安全是网络与信息系统安全的基础。物理安全风险主要包括雷击、水灾、火灾等环境事故导致大部分或整个系统的瘫痪;供配电系统故障导致设备断电而造成的业务服务中断;机房环控及报警系统缺失造成设备被盗、被损;电磁辐射可能造成重要数据的信息泄露或非法截获;人为操作失误或错误造成的系统宕机或数据库信息丢失等。 1.2网络安全风险 企业在网络平台建设的初期,安全意识不高,没有从整体网络与信息安全的角度出发进行统筹规划,网络与信息安全风险主要存在网络结构风险、网络边界风险、入侵检测风险、流量管理风险、远程安全接入风险5个方面。网络结构风险方面,企业网络结构中缺少冗余设计,网络中关键设备易形成单点故障,影响了整体网络系统故障恢复的能力。网络边界风险方面,企业网络系统中不同网络区域间通信管控能力不足,数据的安全访问不能得到有效控制,存在非法访问的风险。入侵检测风险方面,在企业局域网内缺少入侵检测手段,无法对局域网内引发的网络安全攻击事件进行有效检测与报警。入侵者通过渗透以获取用户系统控制权,并传播木马病毒形成僵尸网络,甚至发起拒绝服务攻击,使企业的业务服务面临中断风险。流量管理风险方面,企业用户在网络带宽使用过程中,存在过度资源滥用情况,业务流量带宽受到挤压,带宽使用效率大幅降低。远程接入风险方面,企业网络系统没有采取可信认证与加密远程接入的访问机制,造成非可信身份访问企业内部网络,导致信息泄露风险。 1.3系统安全风险 系统安全风险一般指主机或终端自身系统防护能力不足导致容易发生病毒和恶意代码攻击、非法使用、数据截取等安全事件。系统安全风险主要包括身份认证风险、系统安全配置风险、系统漏洞风险、病毒和恶意代码风险这4个方面。身份认证风险方面,企业在网络系统中由于采用单一身份鉴别技术,导致攻击者易假冒合法用户获得资源的访问权限,对系统和数据安全造成威胁。系统漏洞与安全配置风险方面,由于系统补丁未得到及时更新,安全配置未能形成统一化、标准化安全部署,导致企业网络与信息系统存在大量的安全盲点。病毒和恶意代码风险方面,企业网络中主机及终端系统中防病毒软件升级滞后,导致防护软件存在查杀能力不足,系统易受病毒和恶意代码的攻击。 1.4应用安全风险 应用安全风险涉及很多方面,并且与具体的应用有关。应用系统的安全是动态的、不断变化的,需要我们针对不同的应用进行安全漏洞的检测,从而采取相应的安全措施,降低应用的安全风险。应用安全风险主要包括文件及数据库安全风险、病毒侵害风险、未经授权的访问、数据信息篡改,破坏了数据的完整性等。 1.5管理安全风险 安全管理是网络与信息安全得到保证的重要组成部分,从管理层面分析,管理安全风险主要包括:安全管理制度不够健全,关键活动的审批流程未建立或不够明确,导致责权不明;工作人员的操作权限缺乏合理的划分与分配,操作混乱;网络安全管理和技术人员缺乏必要的安全意识、安全知识和教育的培训;安全管理体系有待健全和完善,在主动防范网络与信息安全风险的管理手段有所不足,安全控制措施有待进一步有效发挥。从上述网络与信息安全风险分析,由此所引发的安全事件,一般情况下将会导致网络与信息系统在可用性、可靠性、可恢复性方面大幅下降。因此,针对安全风险制定切实可行的解决措施,提高网络与信息安全的整体防护能力和水平,是保障企业网络与信息系统安全稳定运行的关键所在。 2网络与信息安全防护的主要措施 参照信息系统安全等级保护基本要求,根据网络与信息安全建设存在的主要问题,切实结合企业自身实际需求,逐步建设形成多层保护、重点突出、持续运行的安全保障体系,将企业网络与信息安全防护工作落实到建设、防护、管理等的各个环节,保障企业网络与信息安全的整体性。因此,根据此主要思路提出保障企业网络与信息安全的总体原则与主要措施意见。 2.1总体原则 1)统筹规划,分步实施。建立健全完善企业网络与信息整体安全防护体系是一项长期的系统工程,其所涉及到各层面、各系统的安全问题要在国家信息安全法律法规及标准规范框架内,根据对信息安全风险分析的综合考虑进行统筹规划,制定统一、完整、动态,可控的安全防护系统设计,分步骤、分阶段的进行实施。 2)以用促建,合理投入。为保障企业网络系统长期、安全、稳定运行,依据企业网络不同时期所面临威胁的严重程度,在考虑安全防护经费投入与数据及其应用系统防护价值的性价比基础上实施安全防护体系的建设。安全设备在性能功能的选择上,要安全适度,不盲目超前,既要满足业务应用当前安全防护需求,又能适应未来安全防护的调整升级。 3)主动预防为主,应急恢复为辅。考虑到现代网络安全防护的复杂性和多变性,企业网络与信息安全防护,应以主动预防为主,尽量将安全隐患消除在安全事件发生之前。要提前制定好安全事件处理的应急预案,熟悉并掌握应对各种事件发生的安全措施及办法,最大限度地降低安全事件的损失程度。 4)动态管理,持续改进。企业网络与信息安全防护是一个动态的变化过程,要对安全风险实施动态管理,针对不断出现的新的安全威胁与漏洞持续改进完善企业网络安全措施,始终将网络与信息安全风险控制在可接受的范围。 2.2主要措施意见 1)合理划分网络安全区域。企业从整体网络与信息安全角度出发,综合分析网络系统中存在的普遍问题,采取结构化网络设计思想,结合网络安全域划分原则,对企业网络系统进行合理的安全区域划分。依据安全域划分,建议采取相应的网络边界安全防护措施,实现网络安全隔离,边界间联合防御,对病毒进行有效拦截及区域管控。在应对渗透攻击方面也能积极起到纵深防御效果,完善企业网络系统抗攻击,抗风险的能力。 2)规范网络资源的有效使用。规范企业网络资源的有效使用,增强局域网终端用户的安全审计,有效对网络中的各种行为采取更加细粒度的安全识别和控制的措施。同时,可对网络流量、终端上网行为进行实时分析和审计,做到有据可查。从而,有效优化网络资源使用效率,帮助企业管理层全面了解网络应用状况与趋势,增强网络资源对企业业务服务提供强支撑能力。 3)增强终端用户的网络安全防护措施。增强企业网络安全意识,提高终端用户安全防护措施,采取网络防病毒、终端安全优秀配置等措施,通过安全策略的统一分发及部署,企业管理人员可全面直观掌握网络中的安全状况,如终端漏洞、终端病毒、终端升级等情况一目了然。有助于管理人员提高企业安全风险分析的能力及快速解除安全威胁的响应能力。 4)创新开展具有自身特色的网络运维管理服务新模式。面对信息化技术的飞速发展及网络应用的不断深入,在增强自身网络安全意识的同时,应不断学习新的防范技术,丰富防范手段;不断借鉴成熟的技术成果,对照自身网络特点,研究符合自身网络安全防护技术,不断深入实践,总结经验教训,把技术理论与实践经验有效结合,创新开展具有自身特色的网络运维管理服务新模式。 总之,我国网络与信息技术取得了快速发展,建设一个安全可靠的网络系统,是企业决策者和信息部门亟待解决的问题,需要我们持续深入的研究,这样才能将网络安全问题最小化,确保企业经营活动具备安全可靠的网络环境。 作者:张伟 单位:天津市信息中心 网络信息安全研究:银行网络信息安全保护优化研究 【摘要】 银行借助于网络技术获得了飞速发展,借助于网络技术,催生了网络银行。与此同时,银行网络信息安全受到了威胁,用户信息安全不能得到保障,需要加强对银行网络信息安全保护,探索优化途径。本文对银行网络信息安全的保护措施和优化途径进行研究,旨在提高银行网络信息的安全性。 【关键词】 银行;网络信息;安全保护;优化 引言: 网络技术的发展中产生了网络银行,网络银行的发展有赖于网络技术,但是与传统银行相比,网络银行有更多的风险和隐患。现阶段,银行网络信息安全系统还不够完善,其信息安全也得不到完善的法律保护,使得银行网络信息安全存在很大隐患,需要加强对银行网络信息安全保护,确保银行用户信息安全,促进银行健康稳定发展。 一、产生网络银行信息安全问题的原因 产生网络信息安全的原因主要有:①银行借助于网络技术业务范围不断扩大,网络银行优势得到了充分发挥,但是银行信息管理系统不完善,使得银行信息安全出现问题。②网络犯罪者攻击银行系统,窃取银行机密信息和资金,并且其攻击手段借助于网络技术在不断提高,银行信息安全技术出现了很多漏洞和弊端。③很多网络银行用户信息安全意识不强,并且不重视安全知识,不懂得如何规避网络风险,这也是网络犯罪案件不断增多的原因。 二、银行网络信息安全保护措施 2.1要建立健全银行的信息管理系统 银行要定期进行隐患排查和入侵检测,目的在于确保交易网络和服务器的安全。银行要及时对数据进行备份,合理利用加密和访问控制技术,与客户签订网银安全协议证书,全面检测系统漏洞。针对网络病毒要建立网络病毒安全防御体系,并且在银行信息系统运行过程中,实时进行查杀病毒,以便随时应对。 2.2加强网络技术人员队伍的建设 着眼于长远可持续发展,增加网络技术安全工作人员的数量,提高网络运维技术人员的技术水平,以提高信息安全意识作为出发点,对其加强网络安全培训和新技术的学习,激发其的工作热情。 2.3建立一套完备的应急处置系统 银行应该在考虑自身网络环境的前提下,从自身实际出发,通过缜密的测试工作,形成一套操作性较强的应急处理系统,一旦银行内部管理系统遭到外部攻击,能够以最快的反应速度抵挡外来攻击,减少攻击带来的损失。 2.4建立健全有关法律法规 网络银行中存在较多交易凭据,如:电子账单、电子凭证、收支明细等资料,但是,目前该交易凭据的保护,暂时没有完整的法律保护体系,这是制约网络银行发展的一个重要因素。此外,我国在银行网络信息安全方面的立法还不够健全,因此,需要充分加强在保护银行网络信息安全方面的立法力度,确保银行网络信息安全。 三、银行网络安全问题优化策略 3.1解决系统漏洞 以光大银行-网上银行为例,广大银行的手机银行系统,设置了超时自动退出功能,如果在15分钟内不对手机银行进行任何操作,操作系统会自动退出手机银行客户端,客户要进行手机银行操作需要再次登录手机银行。此外,广大银行为了确保手机银行客户端的安全,还专门设置了阳光令牌动态密码,每分钟自动刷新一次,使得手机银行的使用更加安全可靠。 3.2解决手机银行漏洞 为了确保手机银行的安全,很多银行采用的方法是绑定客户信息与手机号,客户要想登录手机银行就必须使用开户时使用的银行预留手机号,同时还需要输入正确的登录密码,为了出现恶意探秘现象,手机银行一般会设置输错累积次数,一般手机银行错输三次密码就会自动锁定。 3.3双密码措施 很多银行为了避免恶意攻击,都设置了双密码功能。对此,建设银行的做法是设置登录密码以及交易密码两种控制方式,并且对错输次数进行限制,超出错输次数,当日就无法正常登录系统。首次登录网上银行,会提示用户设置交易密码,系统会对用户设置的交易密码进行自动检测,太简单的密码会提示重新设置,确保用户的账户安全。此外,部分银行在用户登录网银系统时,提供了附加码和小键盘服务,防止用户信息泄露。 总结: 综上所述,我们应该提高银行网络信息安全防范意识,确保网络银行使用过程的安全。对于银行网络信息存在的安全隐患,我们要仔细分析原因,并且采取保护措施,探索优化途径,不断提高银行网络信息的安全性,确保银行用户信息安全。 作者:周奉强 单位:中国人民银行济南分行 网络信息安全研究:社交网络个人信息安全研究 摘要: 当前,智能设备逐渐深入,互联网技术不断发展,因特网已经逐渐渗透到我们的日常生活中,成为我们生活的便捷助手。社交网络就是通过互联网将全球的个人联系在一起,组建一个开放性的社交平台。社交网络在一定程度上拉近了朋友之间的友谊,与此同时,社交网络中用户个人信息的安全受到越来越多人的关注,成为影响互联网发展的一道屏障,为了保护社交网络中用户个人信息安全,本文通过对当前社交网络个人信息安全现状进行分析,对当前一些较为流行的互联网保护措施进行研究,并提出一些保护用户个人信息安全的措施。 关键词: 社交网络;隐私保护;个人信息安全;信息安全举措 引言 社交网络平台是互联网应用中非常重要的组成部分,随着当前科技的发展,移动互联终端迅速普及,智能手机、移动电脑等设备充实人们的生活。社交平台为社会上的个人创建了一个平台,在这个平台上,用户可以逐渐发展自己的人脉关系,扩充自己的人脉网络,寻找曾经的朋友;用户还可以通过这个平台分享自己的照片等;还有就是近两年逐渐流行的朋友圈之间互发红包等等,通过该平台逐渐拉近了朋友间的友谊。但是,分享的同时,个人信息也被上传到网络平台,成为一些不法分子注意的对象,近年来,网络犯罪的比例日益变大,社交网络中个人信息安全的保护迫在眉睫。 一、社交网络安全性分析 社交网络是一种基于因特网的网络使用方式,它为用户提供了一个扩充人脉的平台,在这个平台上,用户相当于整个社交网络中的节点,用户之间通过交流与沟通,将节点与节点之间的连线越来越复杂,互联沟通面得到不断扩展,社交网络普及面越来越广阔。当前,Android系统和IOS系统中的聊天通讯应用更新频率不断加快,应用软件层出不穷,因此,为社交网络的进一步发展和普及提供了良好的条件基础。因此,未来社交网络的覆盖面将会更加广泛,用户活跃度将会更加高昂。但是,正是由于社交网络的开放性,使得网络上的虚拟人物良莠不齐,相关用户很难从表面上去进行辨伪,很容易上当受骗;此外,当前许多通讯聊天应用为了实现更加精准化的交友条件选择,对用户的个人信息完全透明化,虽然在一定程度上使得用户能够更加轻松的找到自己需要找的人,但是也为网络犯罪创造了绝佳的搜索平台;还有,当前许多人过分依赖网络,为了让别人相信自己的真实存在,对自己的信息毫无忌惮地展现在社交网络上,希望通过这种方法来提高自己的空间浏览量和关注度,用户在进行分享的同时,用户个人的信息有可能会被不法分子所关注,进而进行违法犯罪行为。据调查,2014年我国因网络犯罪造成的经济损失将近万亿元人民币,高达90%的互联网用户都受到过网络犯罪的攻击。因此,增强社交网络中用户个人信息安全保护势在必行。 二、隐私保护控制方法 为了在社交网络中保护用户个人信息安全,许多专家学者提出了许多理论研究,常见的有以下几种技术:①Sweeney专家提出的K-匿名技术,该技术将用户信息数据库的部分信息数据进行泛化处理,使得其中包含个人敏感信息的K个位置的信息数据形成匿名集,进而实现对用户隐私的保护;②Chen等人提出的生成虚假信息的隐私保护方法,在用户位置信息的服务器中形成多种不同位置信息,进而使得攻击者难以正确识别用户信息;③MatsuuraK和HuangL提出的基于区域划分的轨迹隐私保护理论,将用户的轨迹进行分析分类,对用户经过的敏感区域进行用户个人信息的保护,防止用户个人信息的泄漏;④Gabrial提出基于分布式协议的prive方法等等。 三、用户个人信息安全保护措施 3.1建立健全相关法律条文 在当前法制社会里,通过建立健全对用户个人信息保护的法律条文非常必要,通过法律保护社交网络中用户个人信息安全不受侵犯,是立法机构当前非常紧要的事务。对于当前有些不法分子通过非法手段搜集个人信息,然后通过各种渠道用于违法犯罪的行为,相关法律应该给予严惩,对于一些通过设计开发包含有非法搜集个人信息漏洞的应用软件,然后用于从事非法商业活动的商家个人,相关法律条文也应该严厉惩罚。 3.2社交网络企业加强用户信息保护管理 社交网络企业应用实名制注册,在一定程度上能够减少不法分子通过注册一些非法账号用于网络诈骗,防止个人信息的泄漏,但是,这种情况下,注册的用户需要填写的信息更为透明化,如果账号被盗泄漏的信息将会更严重。在这种矛盾下,这就需要社交网络企业加强对用户信息的保护和管理。通过不断优化相关软件应用,对其中的漏洞进行不断修复升级,提升系统稳定性,运用先进手段对网络攻击者进行拦截。 3.3提高社交网络用户安全意识 除了需要国家和相关企业提高对用户个人信息的保护以外,用户个人也需要了解一些保护个人信息的方法。虽然社交网络是一个开放性的社交平台,但相关用户也不能过于放开自己,将自己的全部信息全盘透露给好友,将自己的一举一动都分享给好友,这样就会存在许多安全隐患。所以,作为社交网络用户,需要时刻提防社交网络的局限性,及时对自己的软件进行升级,完善系统漏洞,对自己的一些敏感性信息有防范保护意识,对自己的信息安全负责。 四、结论 社交网络有利有弊,它在拉近朋友间距离的同时,也拉近了用户与网络犯罪的距离,为了保护社交网络中用户个人信息安全,立法机构、相关网络管理企业、用户本人都应该具备时刻保护用户个人信息安全的意识,通过相应的措施不断完善社交网络,使得社交网络平台更加安全、便捷、实用。 作者:刘伟彦 单位:武汉市第六中学 网络信息安全研究:计算机网络信息安全体系结构研究 摘要: 信息化社会,互联网和计算机获得了发展,并取得了巨大的成就。计算机网络极大的促进了各个领域的发展,但是它所承载的信息量不可估算,在计算机技术不断发展的今天,信息安全已经成为困扰计算机网络发展的重要问题。在计算机应用的过程中,牵扯到的资料和信息是爆炸式的,常常会出现泄露和窃取的情况,给国家、社会、企业和个人带来了巨大的困扰和麻烦。本文中,笔者针对计算机网络的信息安全问题进行了探究,并对信息安全的体系构建提出了自己的建议,希望能对计算机网络信息安全的保护起到一定的促进作用。 关键词: 计算机网络;信息安全;结构体系建设;健康发展 一、计算机信息安全存在的威胁问题 在使用计算机和计算机网络的过程中,存在信息泄露、偷窃和暴漏的问题,给社会、企业和个人的发展带来了严重的影响。计算机技术的使用其中最为主要的目的就是实现信息的共享,在网络技术的管理中存在制度不完善和技术漏洞的问题,这就为不法分子和黑客人员提供了破解机会,给计算机信息安全的保护带来了一系列的问题。现在的互联网比较的开放,人们的安全意识还比较淡薄,在使用计算机网络的过程中,其实很多的信息已经暴露出来,并且很多的信息是可以很简单的获得的,信息的不安全诱因随时都可能威胁到企业或者个人。计算机的基本操作是非常简单的,但是其他的操作也存在一定的难题,但是不可能每一个社会公民都能非常熟练地进行计算机网络操作,在复杂的操作系统背后也存在信息的不安全问题。计算机资源存在一定的共享性,在使用计算机网络的时候,网络的安全边界有可能会受到损伤,严重的时候也会出现信息不安全的情况。在使用计算机网络的时候,也存在操作路径的不确定性问题。在内部资料进行传送的过程中,从启发点到终结点当中会流经多个路径,或者说会被多个渠道所接收,这样因此中间节点的可靠性很难得到保证。 二、建构计算机网络技术信息安全的结构形式探究 计算机技术已经得到了一定的普及,大量的信息在计算机网络得到共享,新形势下确保计算机信息的安全已经成为社会性的问题。随着计算机互联网的广泛使用,信息的安全保障势在必行,为了有效提升计算机信息系统和计算机网络的抗攻击性,提升数据信息的不可确认性、可控性、完整性和可用性,就需要建构信息安全保障体系。比如安全监测软件、杀毒软件、计算机防火墙等,这样计算机本身也会得到保护,也会减少外来的黑客攻击等。目前比较成熟的信息安全体系建设如WPDRRC模型,这也是确保计算机网络技术信息安全的有效结构。 (一)使用预防警示。 在使用计算机网络的过程中,信息量是比较大的,并且人们的计算机技术参差不齐,对信息进行安全提醒是非常必要的,可以有效的预防信息的泄露,为保障信息的安全提供必要的提醒、预防和评估。 (二)PKI和防火墙技术。 这种技术的主要作用就是提升计算机网络的安全性能,实现计算机信息的安全,它能主动的防御,对创建的新机制上予以应用,能自动的检查网络的安全情况,反馈网络的安全性能,在提升网络安全和网络防御能力上主要使用了保护装置,比如安装PKI和防火墙。 (三)使用入侵检测。 一旦计算机网络信息受到攻击,要尽快地使用相关的技术检测出来,对主机的IDS和网络进行应用,将技术性的隐蔽应用到检测系统当中,这样方能有效地起到防御的功能,对入侵者进行有效的抵制,并做好相关的监测和管理。在对攻击进行防止的时候,检测是非常重要的一个环节。 (四)响应系统的构建。 计算机网络的信息受到攻击的时候,要有所响应,做到迅速有效。做好相关的取证、激活反击系统,查找入侵源。 (五)恢复和反击。 防范体系构建的多么完善,都可能存在一定的纰漏。对信息的内容利用完善的备份机制进行保障的时候,有一定的恢复功能。可以实现对已经破坏的信息进行有效的管理和补修。采用有效的计算机技术,可以实现对入侵的依据、线索提供出来,通过有效的法律手段使用在入侵者身上,并对它进行有力有效的打击。由于证据在数字形式的影响下很难获得,一定要对证据保全、取证等技术进行发展与应用,在破译、追踪、恢复、修复的方式上进行使用。计算机网络信息的安全需要依靠完善的制度和高超的基础作为支撑,但是更离不开计算机工作人员,他们才是确保 三、总结 计算机信息技术和信息安全的优秀要素,人是计算机网络信息技术安全体系构建的有机组成部分,为此还需要提升计算机使用人员和专业护理人员的综合素质,这样才能从根本上提升网络信息的安全。 作者:熊晶 单位:长江工程职业技术学院 网络信息安全研究:图书馆网络资源信息安全研究 关键词: 网络资源;信息安全;保障体系 摘要: 文章分析了图书馆网络资源信息安全现状和图书馆网络资源信息安全保障体系的内容,构建了图书馆网络资源信息安全保障体系,并指出该安全保障体系的实施策略。网络信息技术大爆炸的今天,随着网络技术的不断深入应用,图书馆出现了越来越严重的网络资源信息安全难题,如病毒的攻击、黑客的入侵、素养较低馆员的操作失误等[1]。为此,图书馆必须加强建设与现在网络技术相匹配的图书馆网络资源信息安全保障体系,笔者以广西大学图书馆网络资源信息安全为例,进行了研究。 1图书馆网络资源信息安全现状 现代图书馆的很多服务内容都是利用网络技术去完成的,而且这些服务大都具有开放性、网络化等[2]特点,由此产生的图书馆网络资源信息安全问题,如病毒攻击、黑客入侵、版权争议、数字资源丢失等也越来越多,不少高校图书馆都受此困扰。 1.1蓄意的病毒攻击 图书馆管理者、广大网络用户、盗版制造者、网络黑客等[3]都可能发展成为病毒攻击者,而且伴随着网络信息技术的不断发展更新,这些电脑病毒、黑客程序的扩散程度及对网络资源的破坏性越来越严重,手段方式也越来越复杂多变。这些入侵者不但能盗窃网络资源信息数据,而且还能非法使用这些网络资源,最终会使图书馆网络系统崩溃。网络时代图书馆大多是利用多样化的网络服务模式为网络用户提供丰富多样的网络资源信息和个性化的网络资源服务,黑客很容易入侵图书馆网络系统并篡改信息资源数据,造成系统数据失窃、数据库崩溃等后果。另外,现代图书馆基本上都是利用具有文献图书借阅、图书数量和读者个人信息等相关数据资源的网络自动服务系统,一旦网络系统遭到攻击,那么图书馆资源财产将遭受巨大损失,如果攻击者再把系统数据卖出去,很可能使用户信息及隐私暴露,严重影响用户生活。 1.2安全管理意识薄弱 安全管理意识薄弱是图书馆网络资源信息安全现状的又一大问题。一方面,图书馆用户参差不齐的电脑操作水平、个性化的阅读需求、较薄弱的网络安全意识等最终会造成网络信息系统的安全隐患。另一方面,图书馆员安全意识和专业知识不强,以及电脑操作水平有限等都会影响系统安全。此外,图书馆网络资源信息安全系统自身也有问题,如没有健全的信息安全管理措施、对违反规定者的惩罚不严格、责任主体不明确、有些措施实施困难、可操作性差等安全管理问题有很大的安全隐患和漏洞,使攻击者有机可乘。同时,图书馆网络资源信息安全系统本身的开放性、软硬件系统的薄弱点等都会使图书馆网络资源信息安全出现隐患,造成系统崩溃。 2图书馆网络资源信息安全保障体系内容 2.1信息安全标准与法律保障体系 图书馆网络资源信息安全最基本的优秀是安全技术和安全管理,其法律化基本保障是标准和法律法规,这些都强烈地表现了技术立法的最基本特点:①安全技术和安全管理是对网络资源信息安全所采用的强制手段,包含有关图书馆网络资源信息安全的多种多样的法律法规与技术标准。②网络资源信息安全最有保障的制度条件是健全完善合理的安全标准和条例制度等[4]。有关信息安全的国内外标准都适用我国图书馆网络资源信息安全标准。③法律法规包含的内容较多,主要有知识产权、个人信息安全及网络数据安全等多种方面。图书馆信息安全标准、法规不但保护网络资源信息资产,还担负着指导网络资源信息安全管理系统正常运作的重任。其具有国家强制实施性,又能利用法律法规手段对图书馆信息安全服务者与网络资源使用者进行调节和制裁,从而保障用户及工作人员的网络操作方式方法在法律法规规定的正常区域中,最终达到监督并制裁非法的、故意的、无权的操作与网络活动的目的。 2.2信息安全管理保障体系 随着网络技术的不断发展及普及,图书馆网络资源信息安全面临的风险和破坏越来越多变且复杂,信息安全管理在此体系内的作用和地位不容忽视。因此,图书馆制定了保护信息安全管理的措施、政策、方针以及机构、组织、分工和信息资产的安全保障等级,并限定了管理者规范、组织及利用信息安全管理设备、工具及技术手段的范围及方式。图书馆网络资源信息安全管理制度主要有:①图书馆馆员的聘用、学习、培训、管理、绩效评定等。②馆员在对信息安全系统保障体系软、硬件和网络资源信息情况等资产进行使用、管理、保护过程中所必须遵循的操作规定等。网络资源信息安全管理从一定程度上来说是馆员在资产操作时必须依据的标准规范,目的是为了杜绝馆员工作过程中操作错误或者故意泄露图书馆网络资源信息等情况的发生。 2.3信息安全技术保障体系 网络资源信息安全技术是各个领域都十分关注且对预防信息安全隐患有很大作用的最有效且难掌握的工具,图书馆信息安全技术也不例外。如:防火墙、防黑客与防病毒等信息安全技术可以很好地降低病毒、黑客、恶意软件等对图书馆网络攻击的危害;数字密码信息安全技术能够保障网络资源信息必须有授权才可以访问的权利;入侵检测技术可以记录并监控图书馆网络资源使用过程中破坏安全规范的活动及入侵的路径等。信息安全技术保障体系结构的基础支撑模块是技术资源信息,其按信息安全等级分为硬件实体、使用运行与数据资源安全技术三类,每一个安全等级设置有对应的信息安全技术。由于这些信息安全技术产品独立运行时安全性不能得到很好的保证,故提出了“信息安全技术整合管理模式”,以其为优秀进而将其他各种安全技术进行整合并使所有技术共同作用,以保证整个体系的运作,以此来构建图书馆网络资源信息安全保障体系,达到从技术角度增强信息安全性的目的[5]。 3图书馆网络资源信息安全保障体系构建 3.1图书馆网络资源信息安全保障体系模型 广西大学图书馆共有35个综合性大型数据库,5个具有特殊意义的数据库,150多个专业专题数据库,26个在线网络资源数据库;13个外文电子期刊数据库,有外文全文电子期刊7,840多种,16,981个电子期刊,其中2/5是外文全文电子期刊;400多种中文全文报纸,123万多册电子图书(含学位论文等)[6]。广西大学图书馆构建“图书馆网络资源信息安全保障体系模型”迫在眉睫。网络资源信息安全的数据安全、操作运行安全和软硬件协调安全等方面是“图书馆网络资源信息安全保障体系模型”建立的基础层面。保障图书馆网络数字资源信息安全的最基本需求是内容及系统保密性、系统功能完整性、实际方便使用性、操作安全可控性与对事实不否认性。操作网络系统时,图书馆应遵守国内外实行的有关标准、条例和法规等,并严格执行信息安全的管理规定、技术手段与网络资源三个层面。该体系模型构建优秀要素是网络资源信息安全策略,对体系运行起到了调节调整作用,并在信息安全管理与技术层面对模型进行了体系化建设。图书馆网络资源信息安全保障体系是以管理和技术作为主体内容进行构建的。 3.2二次开发网络资源信息安全产品 由论文《广西大学图书馆网络信息资源开发与利用情况分析》可知,2014年广西大学图书馆Elsevier数据库的访问量为91,800人次,全文下载量为182,711篇;中国期刊数据库的访问量为1,151,391人次,全文下载量为6,108,999篇(平均日均下载量达22,625篇)。由此可知,针对网络资源信息安全问题,广西大学图书馆开发信息安全产品是一项艰巨的任务。图书馆网络资源信息是国家信息基础设施建设的重要组成内容,现阶段我国网络资源信息安全产品开发机构较多,但技术成熟度不同,故所开发的各种产品种类虽多但实际可用性有限[7]。在这种情况下,图书馆应有目标、有组织、有针对性地二次开发信息安全产品,并将其应用到图书馆网络资源信息安全保障体系的构建之中,最终达到提高其信息安全系数的目标。在对旧的信息安全管理方式进行变革时,信息安全产品运营中心能把分散在不同区域位置、不同作用方式、不同设备资产(计算机、网络设施、系统中心及安全设备等)里的各种各样的安全信息进行归总、汇合、分析、标准化及总结归类,最终形成在安全产品资产范围内能达到的一致级别的潜在危害与风险,然后利用网络资源信息安全产品知识库与相关运行操作方式响应以上危害和风险,并进行处理和安全预防。 4图书馆网络资源信息安全保障体系的实施 4.1应用数字水印和指纹技术 广西大学图书馆馆藏网络资源的数字化程度越来越高,方便了用户对图书馆信息资源的使用,大大提高了馆藏资源的使用效率。但是,在馆藏网络资源数字化的同时,图书资源的复印、打印与扫描工作可能会引起文献资源的知识版权侵权与盗窃。因此,利用数字水印与指纹技术来保护网络数字化资源的著作版权就显得特别重要。数字水印技术是把文献文字、符号、数字、图表等最基本的版权信息嵌入网络数据资源当中,从而在使用过程中能够辨识文献、文本或图像数据的出处、版本信息、第一作者、归属、使用者情况、信息发行者及有权使用者等,这样可以保护信息的版权,分辨网络资源数据的真假等。指纹技术能够为图书馆所有文献制定唯一标识,可以辨别真伪文献及是否为非法盗窃资源。 4.2优化共享共建信息资源的途径 网络环境下,现代信息技术的大范围使用给图书馆馆藏网络资源规模与信息安全保障带来了巨大的负面影响,因此图书馆必须特别地关注和重视新技术的开发利用,使用新技术并保护网络资源信息,同时依靠较强的开发创新水平在满足用户需求的前提下衡量图书馆信息服务水平。现代图书馆必须转变网络资源信息共享模式为全社会共同利用的方式,达到信息安全保障系统内部和外部的网络共同协作,最大范围地使用已有的图书馆内部信息资源,与外部网络资源进行信息共享。所以,为了保障信息安全,图书馆不但要充分利用已有设施构建内部信息资源网络,还必须积极使用现达的共建共享条件,最大限度地实现网络资源利用,保障信息传输的安全。 4.3发挥虚拟专用网络技术的优势 图书馆网络资源信息所使用的虚拟专用网络技术VPN(VirtualPrivateNet)主要是为了连接系统网络组件模块与网络资源,实现他们在系统内部的虚拟联系。VPN不但可以为读者提供和其他系统一样的专用网络的安全及最基本的功能保障,还能提供物联网或安全的公共Internet网络最基本的设备基础建设信息专用通道。VPN可以大范围地使用现有公共网络资源,然后在此基础上开发设计图书馆专用的网络的现代高科技信息技术,最终达到把图书馆网络资源系统局域网络推向全球各个行业的目的,从而保障图书馆网络资源在全球的共建共享。 作者:罗绘秀 单位:广西大学图书馆
期刊收录:上海图书馆馆藏 维普收录(中) 国家图书馆馆藏 知网收录(中) 万方收录(中)
个人信息安全论文:移动智能终端个人信息安全论文 一、移动移动智能终端信息安全的发展现状 目前信息安全是一个所有人都比较关注的问题,作为唯一一个对用户的移动业务体现形式的移动终端,同时作为载体存储用户个人的信息,是要与移动网络配合以保证安全的移动业务,实现移动终端与移动网络之间可靠安全的通信通道,同时还要使具有机密性、完整性的用户个人信息得以保证。不断强大的和逐渐普及的移动终端功能,不可或缺的用品逐渐成为移动终端在日常生活中人们的普遍共识,而同时在带给用户便利的这些具有强大功能的智能终端,也导致了一系列日益突显的信息安全的问题。一方面,越来越多的个人信息存储在智能终端中;而另一方面,信息的泄露与病毒的传播也会为数据交换功能和丰富的通信所引起。在管理进网检测中,分析现有的信息安全威胁,并对移动智能终端通过专业的安全检测工具检测操作系统,让终端自身的防护能力被移动智能终端的制造商所提高,以保护原本没有防护能力的智能终端。使用户在使用通过行业标准规范的应用程序时可知、可控。但是,目前仍有水平不足的自我管理、意识不强的信息安全的一部分用户,同样会导致暴露部分用户在移动智能终端上的个人信息。 二、分析个人信息安全的技术问题 随着不断发展的科学技术,越来越多的新业务集成在移动终端之上,对信息安全来说,部分的新业务是有其特殊的要求的,新的安全隐患可能伴随着用户的部分新的业务。例如移动终端集成了定位业务,其自身的位置信息时可以随时随地获得的,而个人用户的私密信息也是包含位置信息的;例如移动终端集成了生物识别的技术,则可以记性保护用户的个人信息的,但是在终端设备上同样会缓存生物识别的信息的,所以移动终端具备定位业务是有特殊的要求的,尤其是在对于信息安全方面。不存在绝对安全的软件系统,应在做好相关工作的同时规避不同的风险,可从以下几方面来实施防范个人信息安全受到威胁: (1)应用程序的权限进行限制。 安装应用程序的时候,该应用程序的最小权限必须得以确认,应遵循的原则是最小权限的原则,将大大降低受到恶意软件攻击的可能性。但是对于不一定懂得如何验证是否合理权限要求的应用程序的广大普通用户,用户在大多数情况下对于系统所要求的权限会直接授予。所以则需要在设定权限或申请权限时的开发者,使最小权限的原则严格的执行。 (2)认证程序应用。 最有效的手段之一就是认证并防范恶意的程序。审查相关的代码经过应用程序以及完整的测试,可得到权威机构的认证并确认其合理的使用权限,这力的防范了恶意程序。 (3)设置数据信息的加密功能。 用户在使用浏览具有个人隐私性质的信息或是应用时,硬通过设置一系列的登录用户口令来使某些移动智能终端的功能解锁,以减少威胁安全的情况发生。 (4)备份私有数据以及做好防护措施。 用户在使用私有数据时,应提早及时的做好数据的备份以及防护措施能,以免在数据发生损毁或是泄漏时能够有效的找回,而且做好数据的防护措施例如密码找回。则可防止信息的二次泄露以免造成巨大的损失。 三、结语 加强宣传培养用户信息的安全意识是个持续性的战略,安全的智能终端的信息常识的普及,只到正规的应用程序商店下载安装、避免安装来源不明的软件、只安装通过认证的应用程序、避免连接不明的网络以及不明的终端设备、只连接可信的主机或其他终端设备、设置用户口令、加密隐私数据、安装防病毒软件等,从而实现智能终端的个人信息安全。使自我的管理水平得到显著地提升。 作者:林春 李瑞 单位:南京邮电大学 互联网背景下个人信息安全论文 一、个人信息概念的界定 对于个人信息,解释繁多。一般认为是可识别的所有本人信息的总和。1995年欧盟公布的《欧洲联盟数据保护规章》定义:“个人信息是有关一个被识别或可识别的自然人(数据主体)的任何信息:可识别的自然人是指一个可以被证明,即可以直接或间接地,特别是通过对其身体的、生理的、经济的、文化的或身份的一项或多项识别”。国颁布的《个人数据保护法》定义:个人信息是指可识别的、活着的个人的数据组合,包括数据控制者占有或可能占有的其他个人信息、任何关于该个人观点的表述、数据控制者或与该个人有关的其他个人意图的表述。我国学者杨立新认为:“个人信息是隐私权保护的内容,凡属于个人的与公共利益无关的个人资讯、资料,包括计算机存储的个人资料、域名、网名、电子邮件地址等都是个人信息。”在我国的公共范围内对于个人信息大体范围可以概述为可以直接或间接识别的本人的信息。其中能够直接识别的个人信息是可以单独识别的本人信息如姓名、肖像、身份证号、基因等;而那些与其他个人信息相结合才能被识别的信息则称之为间接个人信息,如性别、爱好、生活习惯、兴趣、学历、职业、收入等等。我们日常所使用的个人信息的范围为以上两者的总和,这些信息包括了一个人从生理到心理、从个体到社会、从经济到文化的方方面面,它涵盖一个真正社会意义上的人所有的内在面与呈现面,包括了一个人的健康状况、家庭结构、社会活动以及名誉等涉及人格权的事项并囊括了著作和财产等关涉财产权的事项。需要引起注意的是个人信息并不等同于个人信息本人所知的全部。无论是本人了解的还是不了解的,在我国个人信息法中都明确其为个人信息的范畴,如被网络服务商非法收集的个人信息以及那些掌握在医生手中的绝症患者未知的医疗信息等等。在互联网时代,当人们的日常生活高度依赖于网络的时候,这些个人信息以个人数据的形式存载于计算机中,当大数据时代的到来,云计算等先进的信息共享技术的开发,使得存储于虚拟网络中的真实信息成了随时可供提取查阅的“待宰羔羊”,这些涵盖了个人隐私的相关信息的安全性也就变得岌岌可危,鉴于网络的开放性与共享性,以及当前技术方面的某些漏洞,使得个人数据一旦进入互联网就有可能在全球范围内无限制的被转载、复制、传播,而在当前市场利益的驱使下,被某些人窥视到了个人信息中所蕴藏的巨大商业价值。个人信息的污染与破坏、被窃取与侵权等种种道德失范的行为使个人信息安全的问题成了当下“新技术时代”特殊的存在于虚拟世界却对人们的现实生活产生深入影响的社会道德问题,也是伦理学发展到当下所应面对和亟待解决的学术问题。 二、个人信息安全道德失范行为的表现形式 当下我们所处的信息时代为人类信息的利用与传播开启了一个崭新的模式,尤其是电子计算技术的普及与发展,网络生活中的虚拟技术将网络活动主体的个人信息数字化和符号化发展成为人们信息交往的实践手段。这种模式极大地丰富了人们在网络社会中的活动但与此同时负面效应也接踵而至,正如恩格斯曾预言的那样,人类每进步一次就加大一步对自己的惩罚力度,我们在网络共享这一平台,可以接收到来自于世界各地的信息,但与此同时我们的个人信息也有可能被世界各地的任何人传播或复制,信息的“贩卖”、“丢失”“、陷阱”,等等失范行为,使我们在网络生活的每一分一秒都如履薄冰。 (一)、信息“贩卖” 进入当下的电子商务时代,很多社交网站、电子商务网站都采用“会员制”,用户需要注册会员后才能享受相关服务,而注册会员需要填写大量的个人信息,这写个人信息关涉到个人的姓名、职业、收入、爱好、兴趣、个人家庭状况甚至于真实的身份证号就相当于在这个虚拟的网络界面内注册了一个真实身份,这些真实的信息存储的网站数据库中;此外为了得到更多便利的服务,很多用户不得不将个人信息存储于网站的数据库中,比如电子商务网站,用户将自己的信用卡号、住址、联系电话等信息存储在数据库中,可以款素地完成交易。由于会员信息具有很好的商业价值,因此,很多网站以及网站的内部工作人员都觊觎这一块的利益,有些网站甚至将贩卖会员信息作为公司的主要收入来源之一。目前,由于网店、快递公司等需要用户填写详细的家庭住址、工作单位地址、固定电话、身份证号、信用卡号等高质量的个人信息,故而成为会员信息泄露的一个主要源头。如淘宝网站就有通过一元秒杀活动,借机猎取个人信息,在当事人全不知情的情况下将这些具象的个人信息以低价批量出卖;在网络的环境里人们缺乏明确的约束力,放纵了自己对于利益的盲目冲动,这也是一些潜在的道德异化进而外化的现实恶行。 (二)信息“丢失” 不仅网络的“内部人”觊觎会员信息,社会上的一些黑客和黑客组织也对各大网站的会员信息抱有极大的兴趣,想方设法通过网站服务器,窃取会员信息并贩卖或用作其他用途。2011年底,中国知名的“天涯社区”1.7G的会员数据被黑客窃取,并被散播到互联网上,这些会员资料包含4000万天涯用户的账号、密码、邮箱等信息,给用户造成的损失无法估量。除了贡献网站服务器之外,一些黑客也通过手工或专门的软件破解特定用户名和密码,盗取用户存在网站上的信息。更有甚者,有些黑客通过“钓鱼”网站或发送有“木马”的电子邮件,诱导用户点击后,将木马或病毒植入用户电脑中,窃取用户电脑中的隐私信息,如各种账号和密码、聊天记录、文件等,并将这些信息打包,悄悄地发送出去。2011上半年,共有1.21亿中国网民的账号或密码被盗,占中国网民总数的24.9%。2012年,瑞星公司的《中国信息安全报告》中指出,我国共有超过7亿网名被病毒感染过。这种运用技术窃取个人信息的失范行为给很多网络用户带来了巨大的经济利益的损失,甚至是私生活的曝光,造成当下众网民在某些技术者的“迫害”下的当众“裸奔”。 (三)信息“陷阱” 当下,有很多软件厂商在其发售的软件中内置窃取用户信息的程序,如有网络“小甜饼”之称的软件cookies,用户安装后,软件就会将用户的信息发送到软件厂商的服务器上。在智能手机快速普及的今天,由于android系统安全门槛很低,因此,安装android系统的智能手机成为个人信息泄露的“重灾区”。比如,有一款名为“高德地图”的导航软件,就有窃取用户登录账号、密码等信息的“后门”,该软件将窃取到的账号、密码等信息以明文的方式发送到高德地图的服务商手中,以作他用。复旦大学计算机科学技术学院的研究团队曾对某款主流智能手机的系统300余款应用软件进行分析,发现58%的软件存在泄露用户隐私的风险。从网民储存于电脑中、网站中、手机中的个人信息,每一种可以登录网络的电子设备都存在着无可规避的风险,种种道德失范行为的产生使网民在网络活动中的所有社会性行为都显得犹如刀尖上的行走,可这种种并非是技术发展的必然产物,而是在网络时代,人性的一种恶性异化的表现,当下网络环境中所呈现的这些道德负面现象真是伦理学多应研究并攻克的一道难题。 三、针对失范行为伦理层面的分析 当代的信息技术是一个特殊的统一体,它涵盖了特定的知识体系和行动过程,一方面被当下的社会价值观念所影响,又同时对社会价值观念产生反作用。主体人这一概念在网络社会中的丧失,使得数据鸿沟的不断拉大,技术的工具理性与价值理性的断裂,使人们在应用信息技术的同时不断沉沦,沉沦于技术的工具性而丧失了主体的思维,超越了道德的禁忌,使得人们在网络社会中的生活如同困于囹圄,人们逐渐迷失、在无意识的情况下渐被技术异化,技术之于伦理,伦理之于技术,两者并轨而行才能完成人类于当下社会更健康的发展。 (一)网络活动中人主体性的丧失 海德格尔提出现代技术的在实质层面上来讲就是一种展现方式,在信息化的社会下,信息技术通过编码化、数据化的展现,通过“强制”、“限定”是人进入到了一种非自然的状态也就是一种失去了主体性意识的人,加之网络的匿名性,是网络中生活的主体人处于一种不被现实社会道德约束的假象之中,导致了人们现实与虚拟世界中分饰二角的分裂性人格,海德格尔指出在现代技术的作家中,一切事物包括人都成了必不可分的东西,而当人被吸纳入这种系统之后,他“就被一股力量安排着、要求着,这股力量是在技术的本质中显现出来的而又是人自己所不能控制的力量”,当技术操作者在运用自身掌握的网络技术进行示失范的行为时,完全没有意识到他并非技术的操作者,反而成了技术的奴役者,在这种技术的异化下逐渐失去了一个主体人本身所具有的自我约束能力和所有遵守的道德规约,逐渐沦为技术符号的附属品,由主动变为了被动,有操控者变为了被控制者。 (二)技术的工具理性与道德价值理性的断裂 针对技术的本身其使用的限度是受自然属性的制约的,而现代的信息技术又带有社会属性,人们在带有自身价值观念去使用技术时就意味着人类多余技术的使用有可能超过所能承受的限度范围。当人们在出于自身利益考量来过度开发的同时也就埋下了技术异化的因子。作为技术发展的最新形态,信息技术也同样具有这两种属性,它的工具理性就如同其自然属性一样,其实质是呈现世界的实然状态,但是在人们应用信息技术的过程中,把其工具理性推到一个至高的地位上,而其社会属性也即是具有一定正向约束力的价值理性却被“束之高阁”。技术的工具理性与道德价值理性本应并轨而行才能保证技术在发展的过程中能呈现一种自然的状态,造福社会而又不违背其自身发展的规律,可人们为了谋取自身的利益,把技术本身视为一种客体,对其任意球取,沉浸在胜利的喜悦中却毫无背德意识,“这种理性化的潜在逻辑,是加强支配与压迫的逻辑。人对自然的支配变成了人对人的支配,而且最终会堕入自我支配的噩梦之中”。如此,工具理性与价值理性就此在人为的作用下发生了断裂,“技术的‘真’与伦理的‘善’也就此断裂,在空间上:技术则具有开放性和前瞻性,以获取足够的利润支持,从而研发更先进的技术;伦理则具有封闭性和保守性,以获取本体论意义上的家园感和安全感,即技术的‘利’与伦理的‘善’之间的断裂。”信息技术的发展过程中若不将伦理的价值观念纳入考量的范围之内,那么信息技术的工具理性就会与其价值理性就会分轨而行,造成工具理性的无限放大性的畸形发展,也就造成当下人们道德失范的种种后果。 (三)网络信息技术使人的异化 马克思曾指出:“劳动所产生的对象,即劳动的产品,作为一种异己的存在物,作为不依赖于生产者的力量,同劳动相对立。劳动的产品就是固定的某个对象中,物化作为对象的劳动,这就是劳动的对象化。劳动的实现就是劳动的对象化。在被国民经济学作为前提的那种状态下,劳动的这种实现表现作为工人的失去现实性,对象化表现为对象的丧失和被对象的奴役,占有表现为异化、外化。”人们在网络社会中所掌握的信息技术,对人类的生活所产生的影响的范围必然不会超出生产力与生产关系这一维度“,在异化的状态下,信息技术成为统治人和剥夺人的异己和敌对力量,这时的人成了信息技术的附属物。所以信息技术的异化的实质就是人与信息技术矛盾的激化,网络信息在被滥用的情况下没成了人的异己力量。记载信息社会中变成了数据化、符号化的人,人被异化成信息产品。人们不断被信息同化、物化。”这种信息技术的异化使网络社会中的人渐渐失去了其原有的价值品格,加之利益的驱使,使其原有道德品格丧失,在操纵他人个人信息时,自己也变为网络社会中一个传输数据的中介,将其自身也数据化、符号化了。海德格尔曾言“和机器一样,工业化时代的人本身也依赖于技术系统,人与其说是利用技术,不如说是为技术所用,因而人本身成了技术体系的职员、附属、辅助,甚至是它的手段。”海德格尔的语言不仅适用于工业社会,在当下的网络时代,信息社会里也同样适用,在信息社会里,作为主体的人在进入这个虚拟化的网络社会里,在信息技术的操纵下,在改造社会的同时,也改造了自己,由主体人变为数据人,这种技术的异化,改变了以往的社会结构,更对人们已然约定俗成的伦理道德构成了威胁。 四、针对失德行为的对策分析 网络社会的迅速发展,信息化进程的加快,加之网络空间的虚拟性与开方向,使得网络社会生活的秩序出现的管理失控,信息的泄露与侵权已成为当下不可规避的难题之一,也逐渐从网络社会中演化为现实生活中的矛盾,既对传统的伦理规法发起了挑战,也制约着网络社会自身的平衡发展。因此网络社会的健康发展呼吁建立是应用于当下的伦理道德规范,增进责任机制的培养,加大法律的保护力度,同时引导自律机制来调整当下社会的伦理困境,从而建立一个良好的网络环境。 (一)责任机制的培养 网络社会中信息技术的飞速发展使得人们原有的生活格局发生了翻天覆地的变化,而这种变化的发生可以说是于潜移默化中的一种彻底颠覆,人们从开始对信息技术的折服发展到当下对信息技术的崇拜,进而迅速沉沦,可是在这种环境下生存的道德观念却没有及时梳理成型,就如美国学者理查德•斯皮内洛指出的:“技术往往比伦理学理论发展得快,而这方面的之后效应往往会给我们带来相当大的危害。”当下网络生活中道德相对主义盛行、无政府主义泛滥、人际关系淡漠以及道德人格的扭曲皆由因此而生,归其本质是道德责任的淡漠,责任伦理遂成为信息技术时代的必然诉求,引导责任机制的建立成为当下解决道德失范行为的一个先导机制“,责任伦理”的概念是德国社会学家马克思•韦伯于1919年在其所著的题为《作为职业的政治》一文中所提出的概念。随着当下伴随着网络社会出现的一系列伦理范畴内的失范行为,责任伦理成为当下的必然诉求,面对利益与道德之间的矛盾时,全社会都应肩负起自身的责任来,不仅要注重个人对其职业的责任理念,更应该注重社会团体的责任意识,进而整个社会的责任观念才会得以树立,唤起我们这一时代的责任观念,自身的本我价值观念才能与社会公共的价值观念才得以统一。针对当下网络中的信息技术本身,本无善恶之分,技术的最初职能即是呈现实物的自然面,但当网络的虚拟空间的独特属性,人置身于网络社会中,在运用信息技术的过程中人为附加了人性化的元素于其中,有加之隐匿性的掩护,使人的劣根性不断放大。若要在网络空间这一亚社会领域里构建一个完整的价值观体系,那么首先要构建的就是人们的责任意识,这是至关重要的,用责任意识去约束相关人员的行为“,因为伦理精神不仅仅是指信念或良心,责任是更为重要的,而用责任意识去衡量相关人员的行为,较以至善的信念作标准更为明确具体。”而对于我们前文所提到的针对个人信息安全,相关执业人员的一些违反自身职业道德或者社会规约的失范行为来讲,最需要的就是对自身的责任机制的架构,在发挥其才能的同时又承担相应的社会责任。西方的责任伦理大师尤纳斯认为“:‘责任与谦逊’是最重要的伦理精神,由于科技行为对人和大自然的长远和整体形象很难为人全面了解和预见,存在一种‘责任的绝对命令’”,所以,符合当下网络时代,信息技术时间主体的新的责任意识必须是与技术的发展并轨而行的,这要求专业的技术人员在设计与应用技术的同时担负起自身的责任,参与相关活动的运营团队也同样承担起自身的社会责任,形成上行下效的责任机制,从而实现技术的健康发展,为社会的进步提供优化的保障。 (二)加强个人信息权的立法保护 针对于个人信息的保护除了我们之前提到的道德伦理和技术手段的保护之外,还有一个比较优秀的保护手段也是约束力最强的手段即是法律手段,在针对个人信息处理过程中造成的个人权利伤害的种种行为中,最能对个人提供保护并对相关人员起到强制约束力的有效手段。在我国针对个人信息权益的保护立法还只是台湾地区和香港特别行政区有专门的个人信息保护法,而我国大陆的个人信息保护法尚在制定之中。在没有专法保护的情况下,有关个人信息的问题是被拆分为保护人格与保护隐私等法律规范内来实施保护的。换言之,我国大陆地区还没有出具保护个人信息权益的专法。从全球范围看,绝大部分的大陆法系国家,包括少部分的英美法系国家都选择了统一立法模式。统一立法模式是在立法上将个人信息保护法作为基本法对待。其特点在于充分考虑到个人信息保护的统一性,照顾到行政机关和私人机关处理个人信息行为的内在联系,同时也主语在司法上采用同一标准。美国的分散式立法模式是在针对不同领域定制单行法,此种模式的最大优点在于立法明确,内容界定清晰。其弊端是无论从立法角度还是司法角度都容易造成法治的不统一。基于对一两种立法模式的考量,在结合我国的法律体制和一贯法律传统,我国的个人信息保护法应该选择同一立法的模式为立法基础,并在此基础上引入自律模式,相互融合取长补短。针对我国的个人信息保护法的制定除了其基本的立法模式外,我国还应在各国立法的基本原则上梳理适合我国实际情况的立法基本原则。在梳理了各个指导原则后,笔者认为,OECD指针的第二部分适用于国内法律的实际范畴,而该部分规定的个人资料保护的八大原则也可为我国立法所借鉴。即,限制收集原则、资料品质原则、目的特定原则、限制利用原则、安全保护原则、公开原则、个人参与原则、责任原则,实践证明,指针确立的原则对其后的国家立法以及国际文件都产生了示范作用,同样为我国个人信息保护法的确立提供一个优良的基础。一部完善的个人信息保护法就如同一面没有漏洞的天网,能够为个人信息的保护提供一道难以跨越的屏障同时也会让诸多破坏个人信息安全的行为无所遁形,成为一种无懈可击的保障力。 (三)完善个人自律机制 鉴于网络社会的虚拟性、开放性等特质,网络主体的行为带有一定的隐匿性,使人们逐渐背离了现实社会中那些已然被大家接受并遵守的道德规约,加之法律、规范的约束力的滞后,使人们的劣根性不断放大,以为可以在这个虚拟空降为所欲为。从心理学的角度来讲,当人们认为自己在一个隐蔽的环境里,自己的行为不易被察觉,或者认为可以不受时时约束,可以逃避监督的情况下,行为主体就会自行卸下道德法规的“包袱”,而此时道德准则也就丧失其原有的作用。由此看来,完善自律机制是继责任机制与法律保障后,又一需要架构的针对个人信息安全的保障机制。在信息社会中,网络中的行为主体大多处于“独处”的状态之中,每个人都如穿着隐形衣一般,这时道德规约的贯彻实施就要求更高层次的自律。《礼记•中庸》有云:“道也者不可须臾离也,可离非道也。是故君子戒慎乎其所不睹,恐惧乎其所不闻。莫见乎隐,莫见乎微,是故君子慎其独也》。”鉴于国人思想体系中儒家思想根深蒂固的地位,针对网络社会中自律机制的建立,应以儒家“慎独”思想为“入德之方”。“慎独”思想所倡导的“独处时坚守道德准则”对应于我们当下于网络社会中的“独处”状态的道德戒律达成契约,强调我们在网络社会中必须审慎的行动,在这种强烈的道德感的感召下,严于律己,恪守道德信念,进而达到网络社会中个体人格与道德情操的高度统一。网络社会是一个真正意义上的数字化与虚拟化的生存空间,在这一空间的道德理论的建立需要每个网络活动主体的慎独精神力,才能将外在的道德规约转化为内在的一种约束体系,就如编写程序一般编入每个操作者的操作流程中,将道德内化为一种习惯、一种网络生活中自然的状态,将规范转化为一种责任感,才能尽可能从根源上规避失范行为的产生,当每个网络活动主体都对自己的网络行为审慎于独处,戒其于微小,这种内在维系力便结成,道德的自律意识也便成型。 五、结论 在人类的历史上普通民众,从未有过像今天一样,如此担忧和害怕自己的个人信息安全,各种道德失范行为的肆意横行,不仅给人们造成巨大的心理压力更干扰其正常生活也会造成经济损失,甚至是造成人身伤害,本文从伦理的角度出发深入地探究了道德失范行为的根源并从社会团体、法律机制及网络主体个角度提出了解决这一难题的预想策略,希望对这一问题的理论研究供以微薄之力,先贤黑格尔曾提醒世人:成为一个人,并尊重他人为人。笔者这样理解这句话:尊重他人是自己为人的前提。 作者:刘焱 单位:燕山大学文法学院 个人信息安全论文:微信平台中个人信息安全论文 1网络环境下档案信息的特征 档案信息化以计算机技术为基础,与以往的纸质档案资料相比,具有以下特征: 1.1设备依赖性。 不同于过往的档案记载,信息化的档案资料再也不是一支笔、一份纸记录的过程,从输入到输出都是经由计算机与其辅助设备实现,管理与传输也都依赖各种软件与网络资源共享,信息处理速度与质量在某些程度上依赖于计算机的性能与软件的适应性。 1.2易控性和可变性。 信息化的档案资料一般是以通用的文档、图片、视频、音频等形式储存下来,这给信息共享带来了便利,但也增加了档案资料的易控性和可变性,对于文档资料可以通过office工具删除修改文字、对于图片资料可以通过photoshop轻易地改变其原有的面貌、对于音频和视频资料可以通过adobeaudition和premiere工具的剪辑变成完全不同的模样,这些都造成了档案信息易丢失的现象。 1.3复杂性。 档案信息量不断增加、信息存储形式也变得丰富多样,不仅有前文所述的文档、图像、视频、音频等形式,不同格式之间的信息资料还可以相互转换,如视频与图片、文字与图片的转换等等,进一步增加了档案信息的复杂性。 2目前网络环境下档案信息安全管理存在的问题 2.1网络环境下档案信息安全问题的特性。 档案信息化有其显著特征,在此基础上的档案信息安全问题属性也发生了较大变化。首先表现在信息共享的无边界性,发达的网络技术使得整个世界变成一张巨大的网,上传的信息即使在大洋彼岸也能及时查看,一旦信息泄露,传播的范围广、造成的危害难以估量。同时,在某种程度上档案信息化系统也存在着脆弱性问题,计算机病毒可以入侵系统的众多组成部分,而任何一部分被攻击都可能造成整个系统的崩溃。此外,网络安全问题还存在一定的隐蔽性,无需面对面交流,不用对话沟通,只需打开一个网页或是鼠标轻轻点击,信息就会在极短时间内被窃取,造成严重后果。 2.2网络环境下档案信息安全面临的主要问题。 1)档案信息化安全意识薄弱。很多情况下,档案信息被窃取或损坏并不是因为入侵者手段高明,而是档案信息管理系统自身安全漏洞过多,其本质原因是档案信息管理安全意识不够。受传统档案管理观念的桎梏、自身技术水平的限制,很多管理人员并未将档案信息看作极为重要的资源,对相关资料处理的随意性大,也无法觉察到潜在的风险,日常操作管理不规范,增加了档案安全危机发生的可能性。2)档案信息化安全资金投入不够。现代信息环境复杂多变,数据量急剧增加,信息管理难度也越来越大,对各种硬件、软件设备的要求也进一步提高,需要企业在档案信息管理方面投入更多的人力、物力,定期检查系统漏洞。而就目前情况而言,大部分企业在这方面投入的资源还远远达不到要求,档案信息管理的安全性得不到有效保障。3)档案信息化安全技术问题。技术问题首先表现在互联网自身的开放性特征中,互联网的基石是TCP/IP协议,以效率和及时沟通性为第一追求目标,必然会导致安全性的牺牲,诸如E-mail口令与文件传输等操作很容易被监听,甚至于不经意间计算机就会被远程操控,许多服务器都存在可被入侵者获取最高控制权的致命漏洞。此外,网络环境资源良莠不齐,许多看似无害的程序中夹杂着计算机病毒代码片段,隐蔽性强、传染性强、破坏力大,给档案信息带来了严重威胁。 3网络环境下实现档案信息安全保障原则 3.1档案信息安全的绝对性与相对性。 档案信息安全管理工作的重要性是无需置疑的,是任何企业特别是握有优秀技术的大型企业必须注重的问题,然而,档案信息管理并没有一劳永逸的方法,与传统档案一样,不存在绝对的安全保障,某一时期看起来再完善的系统也会存在不易发现的漏洞,随着科技的不断发展,会愈来愈明显地暴露出来。同时,档案信息安全维护技术也没有绝对的优劣之分,根据实际情况的需求,简单的技术可能性价比更高。 3.2管理过程中的技术与非技术因素。 档案信息管理工作不是单一的网络技术维护人员工作,也不是管理人员的独角戏,而需要技术与管理的有机结合。档案管理人员可以不具备专业网络技术人才的知识储备量,但一定要具备发现安全问题的感知力与责任心,对于一些常见入侵迹象要了然于心,对于工作中出现的自身无法解决的可疑现象应及时通知更专业的技术人员查看。可根据企业实际情况建立完善的档案安全管理机制,充分调动各部门员工的力量,以系统性、全面性的理念去组织档案信息管理工作。 4网络环境下档案信息安全管理具体保障方法 4.1建立制度屏障。 完善的制度是任何工作顺利进行的前提与基础,对于复杂网络环境下的档案信息安全管理工作来说更是如此。在现今高度发达的信息背景下,档案管理再不是锁好一扇门、看好一台计算机的简单工作,而是众多高新技术的集合体,因此,做好档案信息安全管理工作首先要加强安全意识的宣传,包括保密意识教育与信息安全基础教育,加强档案管理人员特别是技术操作人员的培训工作。同时,应注重责任制度的落实,详细规定库房管理、档案借阅、鉴定、销毁等责任分配,详细记录档案管理培训与考核工作、记录进出档案室的人员信息,具体工作落实到人。在实际操作中,应严格记录每一个操作步骤,将档案接收、借阅、复制等过程完整、有条理地编入类目中,以便日后查阅。 4.2建立技术屏障。 网络环境下的信息安全技术主要体现在通信安全技术和计算机安全技术两个方面。1)通信安全技术。通信安全技术应用于档案资料的传输共享过程中,可分为加密、确认与网络控制技术等几大类。其中,信息加密技术是实现档案信息安全管理的关键,通过各种不同的加密算法实现信息的抽象化与无序化,即使被劫持也很难辨认出原有信息,这种技术性价比高,较小的投入便可获得较高的防护效果。档案信息确认技术是通过限制共享范围达到安全性要求,每一个用户都掌握着识别档案信息是否真实的方案,而不法接收者难以知晓方案的实际内容,从而预防信息的伪造、篡改行为。2)计算机安全技术。从计算机安全角度入手,可采用芯片卡识别制度,每一名合法使用者的芯片卡微处理机内记录特有编号,只有当编号在数据库范围内时方可通过认证,防止档案信息经由计算机存储器被窃的现象发生。同时,应加强计算机系统的防火墙设计,注意查找系统漏洞。 4.3建立法律屏障。 面对如此复杂的网络环境,法律条令是最为有力的防护武器,建立系统完备、结构严谨的法律体系将极大地促进档案信息安全管理工作的进行,应从维护网络资源、维护用户正当权益方面入手,以法律的强制力为档案信息安全管理保驾护航。 作者:徐丽艳 单位:鹤岗市林业局 个人信息安全论文:论大数据征信个人信息安全保护对策 摘要:大数据征信使个人信息安全处于空前的威胁与挑战,本文简述了大数据征信的概念与发展,探讨其在个人信息安全的保护过程中存在的主要问题,并为完善大数据征信中个人信息保护提出对策与建议。 关键词:大数据征信;保护;个人信息 一、大数据征信的概念与发展 大数据征信是指对海量在线交易记录、社交网络数据等个人的信息进行收集整理,并运用大数据分析和刻画出信用主体的违约率和信用状况,进而控制金融信用风险。解决了传统征信因信息分散导致的采集成本高,效率低下等问题,与传统征信天然互补。由于大数据采集的覆盖面广、信息维度丰富,评估个人信息的信用风险全面而广泛,成为互联网金融和众多相关行业的基石。 二、大数据征信中个人信息安全保护现状及存在的问题 由于互联网征信企业极度依赖于大数据技术的收集与分析,一切信息皆信用,使得个人信息的安全性受到了空前挑战和威胁。近年来违法倒卖、泄露个人信息事件屡见不鲜,极大地影响了社会正常的经济秩序。由于个人信息在我国立法中仍处于薄弱环节,相关法规的制定存在较大的不足与滞后,商业化的大数据征信可能会成为侵害个人信息的工具,需用法律手段加以规制。 (一)立法保护滞后于现实需要 我国目前尚未出台专门的个人信息保护法,尽管个人信息安全保护不断出现在各种法律法规、司法解释中,但相关法律法规的制定过于分散且层次效力不一,在实践中缺乏可操作性,无法满足当前对个人信息保护的高质量法规的需求。现行的《征信业管理条例》与大数据征信的发展不适配,对于大数据征信中个人信息的采集、整理、保存、加工和公布等环节缺乏明确的界定,条例规范范围过于狭窄,对于涉及网络个人信息保护问题未作出合理规范。 (二)征信信息泄露严重监管缺乏 大数据征信涉及大量用户敏感信息,随着越来越多的数据被采集利用,用户面临着面临的信息安全风险变得更加严峻。与普通个人信息相比,征信信息由于价值和敏感性,泄露的危害更为严重。当前信息泄露已经形成产业链,数据黑市犯罪成本低利润高。再加上互联网征信公司内部管理制度不完善,存在业务操作和人员道德双重风险,近年来许多互联网公司人员存在监守自盗的风险,例如京东泄露了12G的用户数据造成其严重后果。2016年的“5•26信息泄露案”,湖南银行行长非法出售个人信息257万余条,包括身份证号、征信记录、账户明细等众多敏感信息。而在国外全球第一大个人征信机构益博睿涉及2亿的身份信息泄露,涉案金额超过6500万美元。 (三)个人维权法律救济困难 随着未来信息开发和利用的日益成熟,个人信息尤其是信用信息具备相当的商业、社会和法律价值。大数据时代使个人信息的权利边界消失,给个人信用信息主体维护自己合法权益带来巨大的挑战。由于个人信息主体往往处于弱势地位,与征信信息管理机构存在着信息和技术不对称,让受侵害的个人信息举证维权之路难上加难。在个人信息受到非法收集泄露等侵害时,由于通过法律救济途径解决纠纷可能产生的成本和风险过高,只好选择放弃诉讼维权,使得本应该成为最终保障的司法救济渠道起不到应有的保护作用。 三、大数据征信中保护个人信息安全的对策与建议 (一)完善个人信息立法保护 针对大数据征信的特点,以征信业规制和网络个人信息保护的专门立法现有成果出发,通过立法出台统一的个人信息国家技术标准,给已有的普遍分散立法以操作的指引,制定最低标准网络个人信息保护法,明确规定个人隐私的信息、个人信息采集基本原则和使用目的,采集收集的负面清单制度,防止个人信息被滥用。通过构建完善的个人信息保护法律体系,为征信体系安全建设提供更有力的法律支撑。 (二)加强行政监督管理与行业自律 加强数据安全体系和信息监管体系建设,防范非法入侵造成信息泄露,对于信息泄露问题完善危机应急预案和补救措施。加强信息安全执法监管,严厉打击非法泄露、买卖信用数据的行为,加大对泄露个人信息企业的问责和处罚。对征信管理机构开展内部安全认证和行业自律机制建设,充分发挥征信行业协会其协调沟通征信机构与监管机构的作用,加强征信行业业务交流和制定技术标准,开展征信信息保护宣传提高民众意识。 (三)探索多元化个人信息保护救济方法 建立征信机构内部的纠纷处理机制,完善信息异议处理解决机制,缩短错误征信数据信息的更正时限,提高征信信息录入质量。完善个人对征信机构的投诉渠道,引入征信行业调解、仲裁和第三方纠纷非诉解决的法律机制。对于公民维护个人合法权益面临取证难、诉讼难等问题,完善互联网情景中个人信息侵权赔偿制度,并在个人信息保护中引入举证责任倒置和集体诉讼机制,优化个人信息司法保护程序,提供便捷高效的法律救济渠道。 作者:林周 单位:武汉工程大学 个人信息安全论文:个人信息安全风险与防范 摘要:云计算时代的个人信息安全体系初步形成,但个人信息安全技术风险和管理风险还大量存在,可能导致个人信息的违法收集、利用和处理,因而有必要构建云计算下的个人信息安全监控机制、侦查机制和应急机制,确保个人信息安全可控和云计算产业健康发展。 关键词:云计算;个人信息;安全风险 一、云计算及其潜在风险概述 云计算是继分布式计算、网格计算、对等计算之后的一种新型计算方式,通过互联网上异构、自治的服务,为用户提供定制化的计算。云计算是将网络储存技术、虚拟化技术、网格计算技术、并行处理技术、分布式处理技术等软硬件技术融合发展的集大成者,也是集合了网络、服务器、计算、储存、应用软件等资源并提供快速便捷、即需即取服务的共享平台。云计算具有按需服务、广泛的网络接入、资源池化、快速弹性以及按使用量计费等5个特点;涵盖私有云、社区云、公有云、混合云等4种开发模式]。云计算有3大优势: 一是具有强大的存储和计算能力,能提供即需即取的服务。最大的云计算平台的服务器数量达到百万级别,一般的云计算企业的服务器数量在几十万台,比较小的企业私有云服务器数量也要数百上千台。另外,云计算还能够弹性配置、动态伸缩,以满足用户规模和计算量增长的需要。二是具有开放性,能实现资源共享。云计算将虚拟化技术、分布式计算技术、效用计算技术和定制、计量、租用的商业模式相结合,最大效率地利用了随时连接、随时访问、分布存取的各个服务器,实现了资源的共享。三是具有管理成本最小化以及与服务供应商的交互最小化的优势,能降低使用成本。云计算具有规模效应和网络效应,在硬件成本、管理成本、电力成本、资源利用率方面都有极大的成本优势,企业和个人也省去了服务器的磨损、闲置和管理成本,只需按需要使用相应功能、按服务量支付费用。云计算潜在的安全风险与云计算的技术优势和经济效益总是如影随形。用户对于个人信息安全的担忧是云计算服务推广应用的首要障碍,云计算的理念是开放和共享,而个人信息安全注重封闭和私权,两者之间存在一定的矛盾。个人信息是指个人姓名、住址、出生日期、身份证号码、医疗记录、人事记录、照片等单独或与其他信息对照可识别特定个人的信息[5]。个人信息涉及用户的人身自由、人格尊严、财产权利等基本权利,事关重大,一般具有极高的敏感性。用户在决定是否使用云计算之前会对云计算的安全风险加以衡量。使用云计算功能在线存储的文档、图片、视频等文件大量涉及个人信息,一旦云计算的安全体系被攻破,则可能发生个人信息泄露、贩卖等事件,严重危及用户的人身财产安全,甚至会造成社会恐慌。与传统的互联网技术相比,云计算环境下保护个人信息的必要性更加突出。一是因为云计算下个人信息脱离了用户的控制范围,一旦云计算服务商的数据中心发生事故,用户无法知悉,也无法及时采取措施,只能被动挨打。 二是因为云计算的交互式、参与性、网络化的特点,用户几乎将所有个人信息被动或者主动地全部暴露在云计算服务商平台上,存在信息不对称和能力不对称的问题,一旦发生侵权事件,用户损失巨大,而且难以维权。 三是因云计算的普及性和规模性,小的漏洞都会造成巨大的破坏,损害具有连锁反应。比如,2011年亚马逊的EC2业务由于出现一点小的漏洞,整个云计算数据中心出现全范围宕机;2012年微软的WindowsAzure平台由于个人服务的设置问题,导致所有集群的功能不能使用。目前,研究云计算时代个人信息安全保护的学者大多从国家立法、行业立规的角度展开。针对个人信息保护的建章立法固然重要,特别是构建规制云计算环境下个人信息保护问题的法律规范和行业标准正当其时,法律的具体执行,特别是建立个人信息安全风险的防控机制和措施更是迫在眉睫,本文拟从这一角度进行探析。 二、云计算中的个人信息安全体系与技术风险 云计算架构分为基础设施层、平台层和软件服务层3个层次,分别对应简称IaaS、PaaS和SaaS3个服务类型。IaaS是由政府或者企业建立的大规模服务器和网络传输连接装置等基础设施,同时采用虚拟技术将分散到各个数据中心的服务器集中起来。PaaS包括基本硬件、基础软件、储存设备等,起到应用支持的作用。SaaS的作用是制定一系列标准和协议,构建公共平台,提供最终的应用服务。分层是横向的、纵向的管理系统将这些资源进行统一的配置和统一运行,实现一站式的服务。不同的云计算服务模式意味着不同的个人信息安全体系,目前大多数个人信息安全体系就是基于云计算服务模型构建的。 (一)IaaS层的个人信息安全体系与技术风险IaaS服务提供商将基础设施,包括服务器、储存、网络等IT设施进行组合,形成不同规模、不同用途的服务产品,大到集网络、数据计算、数据处理于一体的应用系统,小到一台处理简单业务的服务器,然后以套餐的形式提供给用户。用户可以像在麦当劳点餐一样,租用产品目录上的IT基础设施服务套餐,将自己的应用部署在上面,开展各种业务。使用IaaS服务的信息安全风险比较大,无论是物理设施、虚拟化技术、接口设施、还是应用程序,如果发生自然灾害或者操作错误,将会对信息安全造成釜底抽薪般的巨大影响。其中,虚拟化安全风险是防范重点。一方面是虚拟机自身存在的安全风险,包括可能面临用户劫持、脆弱的防火墙等;另一方面是虚拟化软件带来的安全风险,包括未经授权的访问、非法删除、非法添加等[6]。在传统计算机技术下,对于个人信息的保护已经有比较成熟的技术,包括加密和密钥管理、身份识别和访问控制、安全事件管理等。云计算环境更加复杂,更加开放。云计算环境下的IaaS个人信息安全体系的关键是将这些技术进行融合,按照一定的技术标准,形成兼容的、完备的安全闭环,确保物理安全、网络安全、虚拟化安全、接口安全。一是要加入安全防护技术,利用防火墙、病毒防护墙等对整个IaaS进行防护;二是要加入访问控制技术,利用加密和解密管理、身份识别等技术为用户提供用户登录管理、用户认证、数字签名等安全管理服务;三是要加入审计技术,对用户的登录和使用情况进行统计分析,按照不同的风险级别区分不同的安全域,实施不同等级的安全干预[7]。 (二)PaaS层的个人信息安全体系与技术风险 PaaS层处在云计算的中间层,具有承上启下的作用,其对于个人信息的整体安全具有重要作用。PaaS服务商提供的是应用基础设施服务,即中间件服务。PaaS用户可以将其应用系统布置到PaaS平台上,应用系统服务器、网络、操作系统、信息管理等应用系统运行的环境,由PaaS服务商提供保障。所有PaaS服务商不仅提供平台,还提供安全服务。他们的职责是提供安全可靠的运行环境,保证用户的信息安全。PaaS个人信息安全体系要求数据处理符合国家法律法规的要求,主要包括:数据存放位置、数据删除或持久性、数据备份和恢复重建、数据发现;同时禁止一些不当的个人信息处理行为,比如:不同客户数据的混合、数据聚合和推理。PaaS个人信息安全体系重点在于对价值较高的个人信息的保护,尤其是防范对个人信息的交叉查询。 (三)SaaS层的个人信息安全体系与技术风险 与等软件服务模式类似。在SaaS平台上,用户不用购买软件,也不用维护管理,只需要按照服务类型和服务时间支付费用,就可以选择使用符合自己需求的软件。SaaS服务商不仅要管理维护自身的软件,而且要将用户的个人信息储存在自己的服务器上,以便用户随时随地可以接着使用软件。个人信息违法犯罪的概率总是与管理权限成正比。特别是在SaaS层下,存在一个基本的矛盾,一方面,SaaS需要将用户的个人信息进行备份,保存在多个不同位置的服务器上,防止数据丢失、数据删除,提供及时的数据恢复服务;另一方面,SaaS可能涉嫌秘密保存和永久保存用户的个人信息,在用户不知情或者已经删除软件上的个人信息的情况下,仍然保留电子痕迹并随时可以恢复数据。所以SaaS应该提供给用户透明的个人信息储存、删除和保护方案。当然,由于SaaS的共享性,用户的个人信息安全风险主要来自第三方的攻击、窃取和篡改等。SaaS层的个人信息安全体系应该包括以下4个方面内容: 一是应用的安全,软件运行的环境安全可靠,软件能够及时更新换代,确保没有漏洞; 二是个人信息数据库的安全,数据库与应用软件数据应该隔离分开,多个服务器进行分别储存,并使用防火墙、密钥管理等技术进行数据库的保护; 三是个人信息的传输安全,采用加密的传输协议,确保用户在客户端和云计算服务器之间传输个人信息时不被截留;四是访问控制机制,由于多个用户共用云计算服务器,需要对个人信息进行分块隔离,采用身份识别、数字签名和访问控制技术对访问登录进行严格管理。上述分析是着眼于云计算平台3个层次本身的技术漏洞,除此之外,云计算用户的服务终端也是个人信息安全风险的重要源头。一方面,云计算环境下,服务终端与云计算平台连为一体,构成一个统一的系统,具有极强传染性和破坏性的病毒很可能从服务终端侵入到整个云平台,导致整个云的崩溃或者瘫痪。特别是现在手机服务端日益普及,APP使用率日益增高,手机病毒的传播更加猖獗,也极易侵入云计算网络。另一方面,黑客也很可能通过云计算网络对服务端发起攻击,即使用户的计算机采取防火墙、杀毒软件等安全措施,但毕竟防范投入和水平有限,未必能阻挡病毒的侵袭。恶意代码制作者、病毒邮件发送者以及其他恶意攻击者可能直接窃取用户服务端的个人信息,这种窃取采取各个击破、蚂蚁搬家的形式,更加难以觉察和防范。他们也可能破解或者盗取用户在云计算平台上的登录名称和登录密码,盗取用户储存在云计算数据中心上的海量个人信息。 三、云计算中的个人信息安全管理风险 除了云计算技术风险,云计算的管理不善也可能带来个人信息的安全风险。天灾易避,人祸难防,云计算时代个人信息安全管理风险更大,后果也更为严重。技术风险多为概率事件,偶然性较强,而管理风险存在主观故意,发生的可能性更高。技术风险可能造成个人信息的破坏或者丢失,但不一定立即引起直接损失,而管理风险一般伴随着恶意商业目的,紧接着就可能造成用户财产的损失或者人格权利的侵害。技术风险可以由云计算服务商通过技术改进进行补漏,通过人工操作进行补救,但是,在信息不对称的现状下,道德缺失造成的云计算服务商监守自盗所带来的风险几乎是难以防范的。下面笔者将从个人信息的收集、利用、处理3个方面归纳总结各种安全风险。 (一)道德的失范导致的个人信息收集风险 在云计算产业巨大利益的驱使下,云计算服务商可能有意或者无意地大量收集用户的个人信息。云计算的主要商业模式是由云计算服务商运用数据挖掘技术,海量收集各类政府机关、企事业单位、个人用户的信息,进行储存、信息交换、个性服务、定向营销等。信息量越大,服务功能越强,商业价值就越大,这直接激发了云计算服务商收集个人信息的动力。首先,用户在使用云计算上的软件时,并不知悉个人信息已经被计算服务商获取。虽然法律规定服务商必须履行告知义务,但是软件的告知明细往往过于复杂,用户如果不仔细阅读一般都难以发现。特别是信息收集技术的不断进步,云计算服务商的信息收集能力不断增强,信息收集的种类和数量往往超出了用户能够知晓的范围。有时候,云计算服务商秘密收集或者备份用户的个人信息,但有时用户知道自己的个人信息要被收集,为了享有便利的服务,不得不放弃个人信息权。其次,由于数据挖掘、数据比对等众多信息收集技术的出现,云计算服务商具备了强大的信息比对、分析、归纳、推理、整理能力,能够将用户在不同平台不同服务中的碎片化个人信息整理成完整的个人信息图谱,能够掌握用户完整的特征和清晰的活动轨迹。虽然这些个人信息能够更方便地为用户提供优质的个性化服务,但这些脱离信息主体的个人信息,往往处于事实上的权利失控状态,信息主体并不知道谁收集、处理和利用了他们的信息,以及以何种手段收集、处理和利用他们的信息,这构成了巨大的个人信息收集风险[8]。第三,不同云计算平台之间可能存在不正当的个人信息交换,秘密签订个人信息共享协议,实现云计算服务商的商业利益最大化。特别是在云计算不区分国界的情况下,个人信息的跨境传输更难以管控。斯诺登事件就曝光了一些云计算企业在国家力量的支持下,收集其他国家公民的个人信息。这样的跨境收集个人信息的行为,不仅侵害了公民的民事权利,还侵害了一个国家的信息主权。 (二)规则的缺失导致的个人信息利用风险 云计算产业发展迅猛,但是云计算领域的规则和标准的建构与完善却相对滞后,这种不对称的发展造成了个人信息安全领域的无序状况,容易造成个人信息利用的违法和犯罪。首先,云计算安全技术标准还有待强化和细化。没有统一的云安全技术标准,无法强制要求云计算服务商布设有关安全技术措施,导致一些服务商重视能够带来盈利的商业技术,而忽视了不能带来直接利益的安全技术。没有安全技术标准的约束,一些云计算服务提供商还可能在云计算系统中插入秘密收集个人信息的软件,比如等等。其次,云计算行业的制度规范也尚未制定。云计算产业需要一套关于个人信息保护的完整的行为准则,确立个人信息数据库的管理制度,明确个人信息处理人员、安全管理人员、系统开发人员和系统操作人员的职责范围和操作规程。云安全规则的缺失极其容易造成个人信息的滥用。云计算服务商可能将个人信息应用于定向推送广告、不断骚扰下的强迫交易、信息销售等。在现实生活中,用户将身份证复印件提供给服务商时,往往在身份证上注明“仅限用作……”等字样,确保身份证复印件的有限使用和特定用途使用。但是电子数据形式的个人信息极易被复制,很难保证服务商不将其挪作他用。第三,由于个人信息相关法律不够健全,云计算环境下个人信息的保护法更是少之又少,个人信息缺乏有力的司法强制力的保护。云计算用户在个人信息遭受侵犯时,往往难以获得有效的救济。云计算没有地域性,个人信息案件的管辖难以明确,造成立案难;云计算具有虚拟性,电子数据极易篡改,造成个人信息案件的取证难;另外,个人信息具有非物质性,其价值难以计量,造成个人信息案件的赔偿难。 (三)管理的失位引发的个人信息处理风险 我国云计算产业刚刚起步,无论是监管机构还是云计算企业,都尚未建立完整有效的管理机制。一方面,政府监管力度不够。目前,我国云计算的监管部门是国家工信部,由于其职能主要是促进产业发展,因此往往重发展而轻安全。个人信息的违法犯罪涉及司法权和行政执法权,信息化管理部门还无法行使调查取证、强制措施、搜查冻结、罚款没收等权力。另外,由于条件的限制,信息化管理部门进行个人信息安全执法的力量较为薄弱。另一方面,企业管理动力不足。云计算服务商利用个人信息的利益和用户保护个人信息的权利存在一定的矛盾,企业没有足够的动力投入更多的人力物力进行个人信息的管理。云计算企业对于能够产生经济价值的个人信息的利用较为重视,而对于不能直接产生经济效益,甚至有可能产生负效益的个人信息的管理重视不够。云计算服务提供商如果不加强内部操作人员的管理,不加强个人信息保护内部控制的建设,操作人员违规处理个人信息的现象将不断出现。云计算时代,所有IT设备或数据被放到一起集中管理,内部人员拥有的权限让其能轻易获取重要个人信息甚至得到整个云服务平台的完全控制权。用人失察或监管缺位都会给个人信息安全带来灾难性的损失。 四、云计算下的个人信息安全防控措施 云计算下的个人信息安全已经不是一个纯技术问题,仅仅依靠云计算企业采用先进的云安全技术去遏制个人信息的违法犯罪是不够的。唯有法律才能明确管理责任,才能明晰处理个人信息的权限,才能惩罚和防范一些犯罪分子利用个人信息谋取私利。违法收集、利用、处理行为主要承担民事责任、行政责任和刑事责任[9]。个人信息相关法律法规的制定非常重要,而且迫在眉睫。但是个人信息安全防控机制的构建、个人信息安全防范措施的完善同样非常重要。作为以保障公共安全、保护人民生命财产安全为职能的公安机关,在防范和控制个人信息安全违法犯罪中,具有得天独厚的优势。我国应该构建以公安机关为主,信息化管理部门协调配合,法律规制与行业管理相结合的个人信息安全防控体系,构建并完善云计算下的个人信息安全监控机制、侦查机制和应急机制。 (一)云计算下的个人信息安全监控机制 信息的公开具有不可逆性,云计算个人信息安全事故一旦发生,造成的损害无法恢复原状。因而个人信息的保护不能依赖事后的被动处理,而应该着重于监控与预警,从事后救济、被动维护向事前设计、事中报告、主动监控转移,形成常态的监控机制[10]。首先,应该制定统一的技术标准,要求云计算服务商在系统中植入安全监控技术;制定统一的行业规范,要求云计算服务商建立完善的内部控制制度。利用安全监控技术,公安机关、信息化管理部门和云计算服务商都能及时了解云计算系统运行状态。监控技术不仅起到预警作用,也为云计算安全的内部控制提供数据支撑。其次,应该建立常态的个人信息安全报告机制,要求云计算服务商及时报告个人信息流动的异常情况。个人信息安全的报告机制可以借鉴我国《反洗钱法》中的“大额交易和可疑交易监控与报告”制度,要求云计算服务商将可疑的个人信息流动报告给公安机关和信息化管理部门。可疑的个人信息流动是指个人信息流动在数量、频率、流向和性质等方面表现异常,或与客户身份、登录状况、活动规律不符,存有个人信息违法犯罪嫌疑的流动。 (二)云计算下的个人信息安全侦查机制 严格的侦查机制和过硬的侦查能力是个人信息安全保护的根本保障。要整合公安机关、信息化管理部门、行业自律组织的资源,司法、行政与行业之间无缝对接,协调配合,共同执法。在行政和刑事执法过程中,取证难严重降低了打击违法犯罪行为的力度。在云计算环境下,某些电子证据依靠目前的侦查技术,还难以充分侦测与提取。如在云应用服务中,有许多服务通过运行的虚拟专用网络(VPA)访问,现有侦查技术几乎检测不到[11]。对此,可以采用面向取证的现场迁移技术等进行侦查,采取迁移取证监管来调度和监控镜像证据提取层的每一次迁移操作,并记录下全部的迁移过程信息,保证取证数据符合证据法要求的可靠性和完整性[12]。 (三)云计算下的个人信息安全应急机制 云计算服务提供商应当设置个人信息安全监控中心,负责系统安全的全面维护、个人信息安全的总体监控、个人信息安全情况报告和个人信息安全事件的处置等[13]。公安机关和信息化管理部门要根据云计算服务商提交的可疑个人信息流动报告,进行认真研判、仔细甄别。对筛选出来的违反法律规定的个人信息安全事件,要根据严重程度,启动个人信息安全应急机制。应急机制分为轻微、一般、重大、特别重大等不同等级。不同等级的警报对应不同级别的应急方案。应急方案包括提醒客户、数据隔离、数据恢复、停止运行等。其中数据隔离可以保证用户的个人信息运行于封闭且安全的范围内,防止进一步地泄露,避免用户间的相互影响,减少用户错误操作或受到计算机病毒攻击时对整个系统带来的安全风险。数据恢复是针对计算机病毒攻击的重要应急措施,包括恢复个人信息和遭受病毒侵害的软件等。数据恢复是典型的事后应急措施,可以保证云计算服务可靠性和可用性。 五、结语 技术的进步必然引起法律制度的变革,产业的发展必须依赖法律机制的完善。云计算时代,个人信息安全的法律规制迫在眉睫。随着云计算成为人类基本的工作、生活环境,个人信息都无法避免地集中到云上,海量个人信息的安全问题是公安机关必须面对的难题。个人信息安全监控机制旨在防范犯罪,个人信息安全侦查机制旨在打击犯罪,个人信息安全应急机制则是处理已经发生的犯罪。建立系统的个人信息安全防控机制,多方位协同发挥效力,方能最大程度确保个人信息安全可控和云计算产业健康发展。 作者:魏光禧 单位:华中科技大学法学院 个人信息安全论文:公民个人信息安全的刑法保护 一、公民个人信息安全问题概述 (一)公民个人信息的基本概念 从基本概念进行分析的话,首先,个人信息的主体是公民,根据我国宪法规定,凡具有中华人民共和国国籍的人都是中华人民共和国的公民,国家尊重和保障人权,任何公民享有宪法和法律规定的权利,同时必须履行宪法和法律规定的义务。通过法律规定我们可以了解到,个人信息的主体并不仅限于居住在国内的中国公民,还包括获得中国国籍的外国人和无国籍人士,在这些人的个人信息权受到不法分子侵害时,一律享有我国刑法的保护。其次,关于个人信息的解读,各学派一直存在着争议,无论哪种观点,都没办法准确涵盖个人信息的全部。笔者认为,公民个人信息是公民个人所拥有的,能够直接或间接的识别本人的特定资料所反映出的内容。如姓名、性别、年龄、身高、体重、肖像、身份证号码、职业、教育状况、联系方式、家庭背景等等和本人人身密切相关的信息,还包括着隐私范畴内的如既往病史、财产收入等信息。与此同时,对于个人信息的定义,还需要根据社会的发展,在日后的立法过程中进一步完善。 (二)公民个人信息的法律属性 在公民个人信息的保护中,其法律属性一直颇具争议,成为法学界研究的重点。就目前来说,关于个人信息的法律属性,主要有三种观点:一是所有权学客体说,他们认为个人信息具有实际利用价值,所有者对其具有支配权,可以作为商品买卖出售,从而为信息的所有者带来经济上的收益,具备财产属性,因此被列入所有权范畴;二是以隐私权客体说,认为个人信息属于个人隐私,个人隐私包含个人信息,在这方面美国是最早将个人信息纳入隐私范畴进行立法的国家,比如《隐私权法》和《联邦电子通讯隐私权法案》中对个人信息都有详尽的保护措施;三是人格权客体说,将个人信息划分到人格权中,认为保护公民的个人信息安全就是维护公民作为人最基本的尊严,体现的是公民个人的人格利益,因此应该受宪法和其他法律的严格保护。 (三)公民个人信息与相关概念的区别和联系 公民的个人信息涉及内容较广,和很多专有名词的概念都有着相似之处,通过分析,笔者主要将目光集中在个人隐私上面。个人隐私指私人生活安宁与私人信息秘密依法受到保护,不被他人非法侵扰、知悉、收集、利用和公开。比如我国在《侵权责任法》中明确规定:“未经公民许可,公开其姓名、肖像、住址和电话号码”以及“私拆他人信件,偷看他人日记,刺探他人私人文件内容,以及将他们公开”等行为,都属于侵犯公民的隐私权。由此可见,个人隐私大多是公民不希望被外人所知的、敏感的信息,而个人信息不仅包括禁止他人干涉的敏感信息,还包括可以向大众公开的信息。因此,个人信息与个人隐私是两个相互交叉,又在外延方面相互区别的名词概念。就对公民的立法保护工作来说,个人信息的保护比个人隐私的保护更加全面。 二、公民个人信息安全的法律保护现状 (一)公民个人信息安全受侵害的具体表现 当今社会,互联网的使用,让人们的生活被手机、电脑等各种电子产品包绕,在这种大环境下,人们在从事购物、交友、出行、入住宾馆等各种社会活动时,很多情况下都会将自己的个人信息告知与商家,进行登记,这就造成了个人信息泄露的可能和隐患。对于商家而言,信息就是资源,信息就是商机,那么利用信息进行违法犯罪的活动就应运而生了。一些机构疏于管理再加上一些不法分子的违法犯罪行为,致使我国公民信息泄露的情况非常严重,大量兜售车主房主信息、大学毕业生应聘人员信息、商务人士信息、患者信息、电信用户信息的现象在社会上层出不穷,一些商家将自己搜集到的客户信息进行出售,甚至形成了一个新兴的“信息倒卖”产业。商家利用这些信息进行推销,违法犯罪分子利用这些信息进行诈骗,甚至通过“人肉搜索”对当事人进行名誉侵害,通过某些编程窃取网银密码盗取用户存款等等,这些行为已经严重影响到人们正常的工作和生活,应当给予严厉的打击和制裁。 (二)现有法律对公民个人信息安全的保护 宪法、民法、行政法和刑法是构建我国法律框架的四个关键部位,对于公民个人信息安全保护的相关法律法规,也应该由这四个方面进行分析。首先是国家的根本大法———宪法明确规定:“公民个人尊严不容侵犯,任何侵犯公民的行为都要受到法律制裁。”这一规定虽然没有出现“个人信息”的字眼,但个人尊严与个人信息紧密相关,从此种意义上来讲,宪法对公民的个人信息安全提供了原则性的保护;其次是民法,对与公民的个人信息有关的姓名权、名称权、肖像权和荣誉权做出了相关的司法解释,任何人如果侵害公民的这四项权益,都将受到民法的制裁;另外,涉及公民个人信息保护的行政法近些年才开始颁布施行,有《居民身份证法》、《物业管理法》、《电信条例》等等;直到《刑法修正案(七)》的出台,才首次将侵害公民个人信息安全的行为定罪入刑,填充了我国刑法保护公民个人信息的空白。 (三)刑法保护公民个人信息安全的必要性 刑法作为法律的最底线,只有在其他法律都无效的前提下,才会实行刑事处罚,给予犯罪分子最沉重的打击。在我国现有阶段,对公民的个人信息安全的相关法律的制定还不到位,虽然宪法、民法以及行政法都对公民的个人信息安全保护有所涉及,但通过施行效果可知,宪法作为国家的根本大法,其中的法律条文尽是原则性的规定,没有触及到根本,仅仅提供了一些原则性的间接性的保护;民法虽然明确提出了对姓名权、名称权、肖像权以及名誉权的保护,但公民的个人信息涉及的内容远远不止于此,过于零散的法律规定,削弱了民法的可操作性,针对公民个人信息的犯罪行为得不到应有的制裁;行政法对于破坏公民个人信息安全的实施主体限制范围相对狭小,主要针对行政机关人员,而且处罚力度较小,不能对公民的个人信息提供全方位的保护。因此,加强刑事立法,对公民的个人信息安全保护有着显著的现实意义。 三、公民个人信息安全的刑法完善建议 (一)明确公民个人信息的概念和犯罪主体范围 要解决公民个人信息安全的刑事立法问题,首先要明确个人信息的基本概念和犯罪主体范围。现阶段,我国在这方面的刑事法律还不够完善,新出台的《刑法修正案(七)》中规定:“国家机关或者金融、电信、交通、教育、医疗等单位的工作人员,违反国家规定,将本单位在履行职责或者提供服务过程中获得的公民个人信息,出售或者非法提供给他人情节严重的,处三年以下有期徒刑或者拘役,并处或者单处罚金。”虽然指出犯罪对象是公民的个人信息,但同宪法、民法、行政法一样,没有对公民的个人信息做出具体的解释,不管是公开信息还是属于个人隐私的信息,在量刑规定中没有针对不同的犯罪情节做出清晰的界定,以至于不法分子得不到相应的惩罚。同时,在条文规定中使用“等”字,也让犯罪主体模糊化。为了避免法律上的漏洞,给犯罪分子以严厉的打击,明确公民个人信息的概念以及犯罪主体的范围,是当前完善刑法的重中之重。 (二)根据犯罪的行为和情节细致刑罚 《刑法修正案(七)》中,第七条增设了出售、非法提供公民个人信息罪及非法获取公民信息罪,根据刑法规定,区别本罪“罪与非罪”的界限就是情节是否严重。而根据我国的立法情况来看,当前并没有任何法律条文对情节是否严重划分出明确的界定范围。因此,在裁判过程中,对于“罪与非罪”就存在争论,司法机关必须根据案情酌情评判情节的轻重,给司法机关的案件处理带来不小的难度。如果出台的法律能够将犯罪行为细致量化,司法机关审判案件的压力将会大大减小,比如立法机关可以根据公民个人信息被出售的份额,或者非法提供公民个人信息所得利益对刑事处罚的幅度进行划分,份额由小到大对应犯罪情节由轻到重,相应的刑罚也会逐渐增加,尤其是给当事人带来重大人身或财产损失时,犯罪行为更不可姑息。如此一来,犯罪主体都能够得到与之犯罪情节相对应的惩罚,不会出现钻法律漏洞的现象,实现司法的公平性。 (三)构建立法司法执法部门工作一体化机制 在保护公民个人信息安全的过程中,必须要贯彻“有法可依、有法必依、执法必严、违法必究”的基本要求。因此,首先从立法层面上讲,立法机关要深入社会调查,根据实际情况构建法律条文,尤其要充分听取群众的意见和建议,对于刑法的完善有着积极的现实意义;其次从执法层面而言,公安机关要严格按照法律规定处理对公民个人信息进行侵害的犯罪分子,绝不姑息养奸,让犯罪分子有机会逃脱法网;从司法层面来说,法院及检察院在裁定犯罪结果的过程中,要秉承公平公正的原则,给受害者一个满意的答复。同时,立法、执法、司法机构要互相监督,互相制约,才能有效打击此类犯罪。 (四)借鉴学习国外在公民个人信息保护方面的立法经验 在公民的个人信息安全保护中,不仅要完善刑法,宪法、民法、行政法都要同时完善,只有构建完备的法律体系,才能为公民的个人信息安全提供坚实的堡垒。将来随着立法的逐步完善和条件的逐步成熟,借鉴国外的先进经验无疑是明智的选择。从立法模式上,笔者比较倾向于以德国为代表的统一交叉立法模式,制定专门的法律条案,对公民的个人信息进行整体归类,同时视情节轻重给予相应的处罚措施,避免了法律零散化带来的不便。 四、结语 综上所述,刑法作为保护公民个人信息安全的最后一道屏障,它的完善对于公民个人权益的保护有着极为重要的意义。对于刑法涉及到的“国家机关或者金融、电信、交通、教育、医疗等单位的工作人员”,要切实做好法律宣传,对优秀的工作人员做好监督工作。同时,有关部门也要加强对公民保护个人信息安全的宣传教育,只有提高公民个人信息安全自我保护的法律意识,才能从根本上遏制犯罪行为的产生。 作者:王晓 单位:河南理工大学 个人信息安全论文:社交网络中用户个人信息安全初探 【摘要】社交网络已经成为我们生活和学习中不可或缺的重要组成部分,在这一背景下,信息安全问题已经受到了社会各界的广泛关注。本文主要分析社交网络中用户个人信息安全的保护措施。 【关键词】社交网络;用户个人信息;安全保护 在科技的发展下,我们已经步入了大数据时代,社交网络开始兴起,越来越多的人利用社交网络来分享自己的所见所闻,我们也开始通过电脑、手机来记录信息,社交网络中的个人信息也开始成为商家博弈的焦点,在开发社交网络的过程中如何保护个人信息是大数据时代亟待解决的一个问题。 1社交网络用户个人信息安全存在的挑战 社交网络运营商必须要在掌握大量数据的基础上来分析用户、预测市场走向,这样才能够在激励的竞争中一直都处在不败之地,但是,这同时也是一把双刃剑,虽然能够帮助商家准确的预测信息,但是也给个人信息安全性带来了巨大的挑战。其风险主要表现在以下几个方面: 1.1账号被盗的风险 账号安全是我们使用社交网络的基本要求,在大数据环境下,人们的社交网络账号越来越多,为了方便记忆,常常使用同一个手机号与邮箱进行认证,为了便于后续的操作,网络运营商之间也在不断的进行合作,同一个账户可以享受多个网站的服务。同时,数据的关键性非常强,一旦其中一个账户被盗,就会波及其他的账户,账户安全问题是非常严峻的。 1.2个人信息控制权问题 与传统环境相比而言,人们对于个人信息的控制权变得越来越低,在传统环境下,信息控制需要付出较高的代价,但是在现阶段的时代,个人的信息很容易被收集、访问以及传播,对不同社交网络的信息进行分析与整合,能够建立起一种包括朋友圈、喜好、个人履历、信仰的信息体系。如果这些信息被黑客获取,很容易影响我们的信息控制权。 1.3隐私安全问题 隐私安全问题是目前个人信息安全面临的最严峻威胁,人们的地理位置、日程、情绪已经被数据化,与传统互联网时代相比,大数据时代数据之间的关联性更加高,虽然运营商对于这些信息都会进行匿名处理,但是,不安好心的人可以通过软件将这些分离的数据关联起来,导致数据匿名性失效。 2在社交网络中如何保护个人信息的安全性 如何保障个人信息的安全性是使用社交网络必须要考虑到的重要问题,需要从行业、国家与用户层面进行应对,充分发挥出创新用户的优势: 2.1要有法律保障 大数据在我国还属于一种新生事物,行业需要不断的前进和努力,关于大数据还没有完善的法律制度,这是无法保障个人信息安全的。目前,《信息安全技术、公共及商用服务信息系统个人信息指南》是保护个人信息的最高标准,其实施时间是2013年3月份,对于相关信息予以了明确的界定,但是这是无法保护个人信息安全性的。同时,散落的信息也难以满足用户的信息控制权,为了最大限度的保障个人信息安全,必须要及早制定好完善的法律法规,出台《个人信息保护法》。 2.2完善行业自律公约 良好的行业自律公约是保障这一行业和谐发展的前提条件,要让社交网络之路走得更加长远,就需要构建起关于本行业的规章制度。这可以采取几个措施:第一,尊重每一个用户的知情权,为他们提供授权的方式,在服务条款中阐述信息数据的使用期限和使用方式;第二,寻求个人信息的拥有者,为数据服务商、数据消费者以及个人信息拥有者制定出完善的行业自律公约,保障数据应用的科学性,保障用户个人信息的安全性和隐蔽性,为他们营造出良好的数据使用环境。 2.3提升用户的信息安全素养 用户是使用社交网络的主人,要真正保证个人信息的安全,用户必须要具备一定的安全素养,信息安全素养主要由信息安全知识以及信息安全能力有机组成。实际上,信息安全知识是非常丰富的,作为使用者的我们需要加强学习,积极主动的了解病毒、木马的特性,提升自己的信息安全意识,明确自己的责任与义务。同时,在使用社交网站的过程中,要遵循相关的法律法规,对于重要资料,要定期进行备份,此外,还要定期对自己的移动设备和电脑进行更新,避免使用公共网络,这样才能够最大限度的保障个人信息的安全性。 2.4提升社交网络企业信息安全管理水平 无论是法律制度与行业自律,都离不开外部力量的保障,社交网络企业必须要采取合理的措施提升用户信息安全性,用户信息安全保护的主体主要针对社交网络企业,他们为了开展业务,需要收集大量的信息,各个社交网络企业必须要将保障用户信息的安全提升到一定的高度,加强管理力度。目前,大多数社交网站都采用了Ajax技术,在运行过程中,必须要关注CSRF以及XSS的攻击,在网站成立初期,可以限制用户的输入内容,对页面开展代码测试。同时,还要具备良好的信息伦理道德,注重对用户信息的保护,细化隐私条款,制定出安全的网站访问指南,在收集以及利用信息时,应该设置好限制,明确收集目的,对于涉及财产安全和用户隐私的信息,必须要加大保密级别,严格限制其利用和访问。此外,还要注意到的问题是,目前很多社交网站都开始与第三方应用程序进行协作,这些程序能够获取到用户的信息,社交网站是无法对此进行监控的,因此,相关部门需要进一步推出与第三方应用程序相关的安全保护准则。 3结语 社交网络的不断普及和广泛应用,使人们的个人信息与日常活动在网络上得到越来越多的展现。但是,社交网络为用户提供交流和展示平台的同时,如果不能对涉及用户切身利益的个人隐私信息加以保护和控制,将会给用户带来严重的困扰和损失。提高社交网络的信息安全,需要用户提高信息安全意识,从自身做起,保护隐私信息,社交网站则需要坚守保护用户隐私的承诺,加强对自身以及第三方的监控和管理。同时,政府也需要制定相关的法律政策,创造良好的法律环境,为社交网络用户提供有效的法律保障。 作者:徐子琳 单位:湖南省长沙市第一中学 个人信息安全论文:手机个人信息安全问题研究 一、引言 信息与网络安全是当今计算机研究领域的一个重要研究方向,随着信息技术的发展,特别是互联网的迅速普及和广泛应用,信息安全的地位越来越重要,已经引起各政府、企业部门的高度重视。目前,我国在信息安全技术方面的起点还较低,国内只有少数高等院校开设信息安全技术专业,信息安全技术人才奇缺。特别是在政府机关、国家安全、银行、金融、证券等部门和领域,对信息安全人才的需求量更是惊人。因此信息安全变得至关重要,信息安全已成为信息科学的热点课题。因此信息安全技术的专业人才培养在高校计算机专业中的重要性日益凸显。从市场需求来看,需要大量的熟悉信息安全产品销售、推广、安装、维护与用户培训的信息安全人才,也需要从事网络安全管理、保证企业网络安全运行的信息安全人才,还需要能够迅速排除或解决网络故障的信息安全人才。由此而论,信息安全专业的市场需求是潜力无限的。我院信息安全技术专业自开设以来,就以培养技能型安全技术应用人才为目标,经过专家委员会指导,结合社会市场调研,制定培养计划和教学计划,力求让培养体系达到科学合理。我校作为应用型本科人才的培养基地,在计算机本科各专业中逐渐开设了“信息安全技术”课程,其中有课内实践环节。早在教育部教高[2001]4号文件中就明确提出“实践教学对于提高学生的综合素质、培养学生的创新精神与实践能力具有特殊作用。”。基于目前的课程设置,对“信息安全技术”课程中实践教学环节的教学研究和改革任务非常迫切。信息安全技术课程是“软件工程”专业和“计算机科学与技术”专业分别在大学三年级上学期和下学期开设的专业必修课。课程的目的与任务是使学生了解信息与网络安全的基本知识,理解现代主流的信息加密与解密方法,掌握当前常用的信息与网络安全技术。由于信息安全技术是一门实践性较强的课程,如果仅仅通过书本内容,没有动手操作,学生是不可能深入地掌握信息安全的常用技术。因此如何合理安排有限的实验课时,如何编写合适的实验项目指导是实践教学环节中的重要任务。 二、实践方案设计 在确定软件工程专业为卓越计划试点专业后,软件工程专业的培养计划进行了较大调整,特别是“信息安全技术”课程结合“卓越工程师”培养目标,减少了理论课时数,而实践环节从无到有,总学时数减至40,其中实践环节课时数为8。依据此调整,向卓越班开设的“信息安全技术”课程需要重新组织,而其中新增加的仅8个学时实践课,如何与理论课结合,创新地进行实践设计和编写实验项目指导,的确需要深入细致的探讨和设计。首先,由于课程开设时间短,课时数有限,要想将信息安全技术的全部知识都灌输给学生,是不可能的任务。教师的第一要务是授之以渔,而不是授之以鱼。计算机专业的日新月异是大家面对的常态,今天教会学生某种程序语言,可能过几年后早已被淘汰。因此在设计实验方案时,不能过于注重具体的某种软件环境,而应该关注教给学生设计思路和方法,具体实现和执行可以有多种表现形式。其次,在设计实践方案时,参考和借鉴了国内外同行们的教学理念,基于教与学是一个双方互动的过程,在实验方案的设计中采用了“任务驱动模式”,在实验项目中安排一些需要学生思考或者课后完成的任务。这也是对学生实践进行考评的重要依据。在测评学生实践成绩时,不是简单地看实验报告或结果,而是注重实验过程和学生自己查找问题、解决问题的创新能力。第三,实践教学中要充分发挥学生的主观能动性。编写实验项目时不能只有规定好的步骤和参数,学生简单地重复实验指导的内容。这样的弊端是学生做完后容易遗忘。因此实验项目的编写要有创新性,不再是从实验数据到实验结果都与老师做的一模一样的“死的实验”,而是每个学生可能有不同答案的实验。由于结果是未知的,学生更能兴致盎然地投入其中。在实验中还可以安排一些学生可能感兴趣的选做内容,以便自己去研究探索。 三、实验项目实现 在新的指导思想下,创新地设计了六个实验项目,包含了必做实验和选做实验,学生可以根据自己的兴趣方向和实践能力选择完成4个实验项目。实验项目具体内容在新编写的实验指导书中描述,下表是新建实验项目简介。由于课程的理论基础是不变的,在理论课时中已介绍了目前常用的加密和解密方法,体现在实验中分别是古典加密算法实验和现代加密算法实验。在古典加密算法实验中选取了相对较易编程实现的凯撒密码,给出了加密和解密公式,并且有关键实现语句的提示,这样学生在编程实现时比较容易完成。在思考任务中,要求学生扩展思路,改变密钥关键值,从而得出不一样的密文,使得算法更具有扩充性。学生可以用不同的流程图和编程语言,只要有正确的算法思想,无论什么样的软件开发环境,都可以加以实现,也体现出了更具个体化的教学特点。现代加密算法实验由于算法复杂,加密过程庞大,学生较难独立编程完成,因此在授课时采取了简化的DES算法(Simple-DES)讲解和作业,讲清算法原理,在加密步骤中用S-DES让学生完成作业。实验项目中选取了非对称加密体制的RSA算法,学生只要掌握了加密原理,可以采用较简单的可分解小素数来编程实现加密和解密过程。在实验中还增加了让学生自行查找如何判断大素数的算法任务,学生可能会找到不同的检验算法,这也是实践成绩评价的重要组成部分。“信息安全技术”课程内容广泛,既涵盖基础密码理论,还有当前与每个人息息相关的计算机安全。这部分内容又包含着计算机系统安全、网络安全、软件安全、Web安全等等丰富的内涵,在有限的课时内不可能全部讲深讲透。因此在介绍理论知识之后,实践内容中安排了系统安全实验和Web安全实验,这2部分内容可以让学生根据每个人对计算机操作系统和软件的熟悉程度,自行选做部分实验,体现出因材施教的特点。随着计算机网络和网上购物的普及,网络安全问题被越来越多地重视。因此在设计实践方案时,将网络安全实验和网上支付作为必做实验,帮助学生了解常用的网络服务工具,掌握基本的网络安全技能,培养课后对网络安全的重视和研究。现在基本上学生都有接触网络的条件,但是很多人还没有建立网络安全的意识,在上网时面临着巨大的风险。实验项目中选择常见网络问题,常用网络工具,来帮助学生掌握网络安全基础知识。在实践教学中我们欣喜地看到,学生的潜力是无穷的,当他们喜欢钻研某件事,某个问题时,不需要老师太多的帮助,学生会废寝忘食地研究,激发出巨大的潜能。在以往的教学和实践中,我们已经看到了这样的成果。这也是在“信息安全技术”实践教学中探索的重要课题。教育的目的是通过教学的过程去唤醒受教育者的内力,而不是灌输无尽的知识。只有当学生主动地“我想要知道它”时,而不是老师主动地“我要你知道它”时,才是回归教育的本源。 四、结束语 相对于其他课程,“信息安全技术”实际上是综合性极强的一门计算机技术,课程内容也极为丰富。此次通过增加实践教学环节,迈出了改革和探索的第一步。设想今后能否增加“信息安全技术”的课程实践环节,要求学生在学习了理论和实践知识后,分组为自己的宿舍或者校园机房设计一套综合安全防御体系,提交的课程设计结果可以有多种方案,只要能利用所学知识,将加密算法、访问控制、入侵检测、病毒防范等技术应用到信息安全的不同层次。这样对于提高学生的创新能力和动手实践能力,提高实践教学效果无疑有着极大的益处。 作者:张成姝 林捷 于万钧 单位:上海应用技术学院 个人信息安全论文:网络环境下计算机个人信息安全问题研究 摘要:随着互联网科技信息技术的发展,越来越多的人使用计算机进行工作,已经成为了人们生活中不可或缺的一部分,作为计算机的使用者来说,个人信息的保护很重要,但是在目前网络环境下计算机个人信息安全保护做得还不够到位,很多的制度、技术还不能完全的满足人们对个人信息保护的需要,而且人们的个人保护意识也不是很强,因此,本文针对目前计算机个人信息安全的保护现状,对存在的问题进行分析,进而提出相关的解决对策。 关键词:网络;计算机;信息安全 1网络环境下个人信息概述 1.1网络环境下个人信息内涵 网络环境下个人信息主要是指利用互联网技术对个人相关信息进行识别和获取,涉及了邮件、账号、IP地址、域名、身份、地址等等信息,也包括个人的姓名、电话、身份、社交信息、标志、指纹、基因、身份证等,网络环境下个人信息受到了窃取,本质上是侵犯了个人的隐私权,所谓的隐私权主要是个人的秘密、姓名以及肖像、私生活以及真实的社会形象。很多的不法分子通过互联网等相关技术对个人信息进行窃取,为了一已私利,不但影响到个人的安全,也是触犯法律的行为。[1] 1.2网络环境下个人信息侵犯的种类 1)IP地址IP地址属于目前最容易被侵犯的个人信息途径之一,通过计算机服务器记录,犯罪分子便可以据此攻击个人的计算机,进而控制他人的计算机,以便获取所想要的信息,或者植入病毒,损害个人计算机。2)账号密码现在计算机网络用户想要使用互联网提供的服务,一般都需要注册账号,比如求职网站、人人网、微信、QQ等社交媒介、或者会员等账号,这尽管对于规范网络秩序有了一定的积极作用,但是不法分子通过一些技术手段可以窃取个人的账号密码,导致了个人大量的社交信息被泄露。[2]3)个人的姓名、电话、照片、身份证等泄露这些与个人比较贴近的信息如果被泄露,就会给人们的日常生活带来极大的困扰,比如推销电话、电信诈骗、广告等信息接连不断,这些信息一部分是人们在生活中需要办理各种业务也无意间被泄露的,大部分是通过网络注册或者填写一些资料而泄露的,这是目前个人信息泄露比较普遍的方式之一。4)社会关系以及职业信息泄露当前很多的诈骗都是通过冒充受骗人的亲戚朋友或者同学同事进行钱财诈骗,现在人们相互之间联系主要是微信、微博、QQ以及一些主流的贴吧等等,很多时候由于疏忽大意,就会被犯罪分子获取到了个人的社交信息以及相关职业信息,以此对受骗人进行诈骗、敲诈、勒索等等,使得受害人的生活受到了极大的干扰,对受害人的个人身体健康以及心理、精神健康都产生了极大的打击。 2网络环境下计算机个人信息安全的主要问题 2.1不正当手段收集个人信息 很多人在进行浏览网页、查询、下载、购物、参与论坛以及竞拍的时候就可能存在信息泄露的风险,特别是很多的软件和网站,需要验证身份方可进入,所以在整个过程中就容易被不法分子利用相关技术软件窃取了个人的信息。同时,也有利用不同的追踪软件进行手机的,这类软件存在着非法检测用户的行为,在访问、浏览、社交聊天等网络环境下,对个人的信息进行记录和追踪,因此造成了人们的个人信息泄露,这些行为极大地损害了人们的个人权益。 2.2不合理利用个人信息资料 对于获取到的个人信息,很多的不法分子对其进行储存,建立数据库,比如今夜,可以用来调查消费者的消费行为,或者分析市场,或者房地产企业、银行等对消费者进行电话营销,甚至很多的不法分子可以利用这些获取来的信息进行敲诈、勒索、诈骗等等,在日常的生活中,很多的人都会接到莫名的陌生电话,比如办理信用卡、小额贷款、找工作等等,人们甚至都不知道是什么时候自己的电话、姓名、身份被泄露,因此这类问题如果不加以处理,或产生很严重的后果。[3] 2.3非法交易获取的个人信息 现在由于很多的商业需要,在个人信息方面,已经形成了巨大的利益链,很多网民在上网过程中浏览安全性较低的网站并在这类网站上注册时留下的个人信息很容易被窃取或转卖。很多的不法分子在获取个人信息之后,找到买主对其进行转卖,而且价格很高,尤其是一些利用电话来进行营销的企业,比如教育机构、培训学校、咨询公司等等,都会利用买卖得来的个人信息进行交易,在行业内称之为“名单”,这样的现象已经屡见不鲜,如果个人信息在未经过允许的情况被转卖,属于违法的行为,因此,必须加强对这类的行为控制,保证人们的个人信息安全,维护社会良好的只需。 2.4未经允许非法传播个人信息 在社交聊天软件盛行的今天,很多的个人照片、姓名、电话、甚至视频都会在网上被搜索到,比如很多明星的“艳照”、视频等,这类信息不但损害了当今社会的文明,同时也对当事人的个人心理、精神产生了很大的影响,再比如“人肉搜索”这是典型的可以利用网络中的个人信息保护不当而进行传播,进而能够使得通过互联网即可搜索到当事人的具体住址、电话、工作单位等等,因此,非法的个人信息传播给当事人造成了极大的伤害,有必要加大对其的惩治力度,建设健康、绿色、和谐的网络秩序。[4] 3网络环境下计算机个人信息安全问题的主要原因 3.1信息资料用户对个人信息泄露 人们过分的相信网络运营商,相信各大网站以及软件开发者、经营者会坚守协议中所遵循的条例,但是事实并不是这样,少数的软件开发商、运营商因为个人利益或者信息保护不当,很容易将个人信息进行非法的使用或者被盗取,这主要是软件开发商以及网络运营商缺乏对用户个人信息的保护意识,也不重视管理用户个人信息,比如购物网站、医院、银行、房地产企业,屡屡出现这类问题,因此必须加强对网络运营商以及软件开发者的管理和约束,对于违反法律的行为必须给予严重的惩罚。 3.2计算机相关保护技术运用不足 随着社会科技的发展,互联网信息技术层出不穷,但是在保护个人信息方面却还是做的不到位,很多的木马、病毒、黑客肆意而为,可以窃取个人的信息、盗用软件,为一已私利进行犯罪,很多的网络环境都是窃取个人信息的地方,因此这为网民使用网络进行工作和生活带来了很大的不便,甚至诚惶诚恐,影响了互联网环境和正常的网络秩序,通过网络下载、浏览、局域网、邮件、社交媒体很多的木马、病毒、黑客就会攻击进来,因此给个人的财产和健康造成了极大的影响。 3.3网络环境下个人信息保护立法欠缺 相对于发达的国家来说,我们的网络起步比较晚,尽管是世界使用互联网最多的国家,但是在个人信息保护方面却是相对比较落后的,针对于一些个人信息窃取以及传播的行为还没有细化,很多的行为只是进行民事、行政处罚,缺乏有力度的刑事处罚,因此也助长了不法分子的犯罪行为,同时在处罚过程中,很多是以罚金、拘留、协商为主,极少数的犯罪是通过量刑进行处罚的,因此在法律制度方面的缺失,也是导致个人信息泄露行为得不到制止的主要原因。 3.4人们对个人信息保护意识不强 对于目前新接触网络的人们来说,由于在认识上缺乏很多,所以很少注重个人信息的保护,随意在网站平台上注册账号留下个人信息,主要是相信网络运营商,这是主要原因,其次是对于很多的网民来说,为了能够急切达到自己的需求,也很少顾及自己的个人信息安全,比如注册游戏账号、购物网站、社交聊天软件及网站,在这个时候很多的网民缺乏这种保护的意识,同时,很大部分也是由于没有相关的渠道进行验证或者了解关于个人信息安全或者注册风险等途径,因此导致了很多人在无意中泄露了个人信息。 4网络环境下计算机个人信息安全的解决对策 4.1完善网络安全协议、约束管理人员 针对网络运营商以及软件开发者,必须对内部的管理人员进行普法教育,对计算机个人信息泄露的问题进行宣传,企业的管理者也应该担负起这些责任,确保数据信息管理人员能够对用户的信息负责,不要因为个人的利益损害企业和消费者的利益,同时对用户协议也应该有明确的规定,制定相关的泄密惩罚措施,使得有法可依,也在用户个人信息泄露以后,能够依据相关协议规定维护自己的合法权益。目前Internet中各网站所采取的安全防卫方式,网络安全防卫方式也就是将注意力集中在控制不同主机的网络通道和所提供的服务上,网络安全防卫包括建立防火墙来保护内部系统和网络、运用各种可靠的认证手段(如:一次性密码等),对敏感数据在网络上传输时,采用密码保护的方式进行。 4.2使用先进的网络保护技术,保护个人信息安全 用户应选取健壮完善的操作系统,这样的工作平台可以有效地避免黑客的入侵,应选取软件工具齐全、丰富、缩放性强,如果有多种的操作系统应选取使用人群最少的一种,这样可以有效地减少入侵者攻击计算机的可能性。政府应该加大对计算机个人信息保护方面的技术投入,加强在资金以及政策上给予帮助,鼓励相关的技术人员对计算机个人信息保护方面研发出有效的技术,来制止黑客、病毒、木马等程序和软件的攻击,保护人们的财产和个人信息不受到非法的侵害,为人们的生活和正常地使用网络提供一个安全、健康的环境。 4.3加强对侵犯个人信息侵犯的违法犯罪的打击 国家应该在法律上进行严惩个人那些泄露的不法分子,加大打击的力度,对于违法犯罪的行为给予坚定的回击,结合国内外先进的法律制度,结合我国目前的互联网环境的具体状况,在个人信息违法犯罪方面,不缺法律的空白,保护个人的合法权益,制止类似事情的发生,这对于保障社会的和谐有着至关重要的作用。 4.4扩大宣传,培养个人信息保护意识 在当下社会,每个人都离不开互联网,因此国家应该在教育方面入手,比如在小学、初中、高中乃至大学的课本或者课程中,假如关于网络犯罪或者个人信息相关的知识宣传和学习;对于社会人员,在小区内进行相关的宣传,同时在网络上也要给予一定的警示,保证人们了解个人信息的重要性以及了解犯罪分子的犯罪方式和行为特征,将这类事情扼杀在发生之前,数据显示目前有60%的网民受到网络安全威胁的直接攻击,这个数据还在不断增加。所以加强个人信息的保护意识很重要。 5结论 通过文中对网络环境下,计算机个人信息安全的问题分析,我们可以了解到,随着信息技术逐渐发达的今天,人们的个人信息保护的确是刻不容缓的事情,我们不但要从法律上对其进行管理,也要从道德上对其进行约束,同时加强在技术上的研发和投入,提高人们的自我保护意识,对违法犯罪的行为给予极大的打击,为建设健康、和谐的网络环境而努力,保障人们的人身、财产的安全,维护良好的社会秩序,同时,希望通过本文的研究,能够让人们知道泄露和不合理的利用、交易、传播个人信息是属于不道德且违法的事情,我们要约束好自己的言行,为社会主义社会的健康发展做出自身应有的贡献。 作者:朝鲁 单位:辽宁对外经贸学院 个人信息安全论文:大数据时代个人信息安全保护探讨 摘要:数据引领生活的新变化,我们生活在一个“数据”的时代。但与此同时,大数据在收集、保存、利用等环节中仍存在着许多信息安全风险问题。该文就在大数据下个人信息安全问题提出三种有效保护措施,社会网络企业的信息安全管理水平,加强立法安全和行业自律,提高用户信息安全素养。 关键词:大数据;信息安全;保护机制 1引言 “无论你认不认同,大数据时代都已经来临,并将改变我们的工作和生活”中程院高文院士说。近年来,大数据一直是业界的热门话题。在2015年5月给国际教育信息化大会的贺信中说,“当今世界,科技进步突飞猛进,互联网、云计算、大数据等现代信息技术深刻改变着人类的思维、生产、生活、学习方式,深刻展示了世界发展的前景。”世界已经进入数据驱动的时代。我们生活在一个“数据”的时代,我们在网络上的行为也在不断地产生数据量,例如淘宝购物,微信朋友圈,网上挂号,都在不断填充大数据中的数据库。也可以说大数据已经与我们形影不离。 2大数据的重要性 无论学术界还是产业界都在试图分析大数据挖掘其潜在价值。据统计,在使用谷歌搜索用户平均每秒200万次,用户数每天在脸谱网上的份额超过40亿。同时,其他行业也有大量的数据在不断地产生。有数据显示2012年产生了2.7zb的信息量,在其后3年可能会达到8zb的信息量,这将是何等大的数据量。在在大数据环境下,数据成为原材料,已成为一种新型能源,为经济创造了巨大的价值,促进了创新,提高了生产力和效率,做出了重大贡献。在中科院视察时就指出“大数据是工业社会的重要资源,数据被谁掌握了,谁也就获得了优先权,获得了主动权。”大数据将会是推动社会经济发展的又一新动力。 2.1大数据影响生活方式 “大数据”并不神秘。事实上,大数据每时每刻都在影响着我们的生活,或许你并不在意它,关注它。但是它确确实实的就在我们的身边。如今我们生活在一个充满“数据”的世界,我们的生活在不断地产生数据,和访问英国帝国理工学院时,学校赠送给的羊绒披肩就有大数据的功劳,该校用计算机图像分析技术计算披肩的尺寸。运用大数据的方法学校还为演示分析了“一带一路”政策的国际影响力,国内人口迁移情况,以及应用大数据进行医疗的推广等。对这种利用技术帮助人民提高生活质量的做法十分赞赏。我们日常中的各个领域都在使用着大数据。飞机的未来票价走势可以通过大数据将其预测出来;谷歌使用用户搜索记录来判断美国流感疫情的状态,比美国疾病预防控制中心的预测早了近两个星期;股市的表现也可以通过剖析网络推特来预测未来走势;实时路况也同样可以通过大数据来完成;沃尔玛通过利用大数据来监测自己超市商品的销售情况,商品的销售速度,以及各个商品的摆放位置所引起的销售变化。与此来制定最有利与库存使用率,销售数量,大大提高了超市运营效率。这足以反映出大数据对我们带来影响是多么的巨大。 2.2大数据引领新的发展方向 数据是发展的产物,同时数据也会带动社会的发展,发展与数据相辅相成,互相促进。大数据时代,数据成为一种生产资料,成为一种稀有资产和新兴产业。无论哪个行业和领域都会有数据的产生,而这些数据的统计、分析、挖掘都会创造出意想不到的价值和财富。面对大数据时代,强调:“机遇是短暂的,抓住了就是机遇,抓不住就是挑战。” 2.3大数据是每个人的大数据 大数据是整个国家的大数据,也是我们每个人的大数据。大数据时代,我们应该拥抱大数据,五年计划中的提案已经说明了在大数据的到来,必须抓住机遇,抓住大数据、促进大数据的发展,实施大数据国家战略。创造一个基于大数据的生活,城市。大数据有利于整合与共享管理信息。我们每个人都会因大数据的爆发而受益匪浅。 3大数据带来的安全风险 科学技术是把双刃剑,大数据的收集给我们带来隐形的财富的同时,也在悄悄地给我们带来信息危机,和对信息保护的挑战。这是我们不得不面对的问题,也是需要我们亟待解决的问题。如果我们仅仅是沉浸在大数据带来的利益,而不想面对其带来的麻烦,日后我们必将会为此受到其惩罚。例如,“棱镜门”事件更加剧了人们对大数据安全的担忧,大数据下的信息安全战争一定会是不可避免的。大数据威胁的根本原因是归结到最后,是在市场经济和信息社会条件下,用户的个人信息已经成为其重要的市场资源之一,也就是说,信息对市场来说有刚性需求。这种需求是商业活动和犯罪分子实施的“下游”的犯罪活动。信息泄露的元凶主要是网络服务商、管理员、网站经营者、黑客、通信运营商。本文将对大数据的安全分析划分为2个部分,一是拥有数据的组织内部问题;二是数据外部环境。 3.1拥有数据组织的内部环境 3.1.1非人为因素 非人为因素带来的大数据信息安全主要是指自然因素和网络本身硬件因素所带来的信息安全。(1)自然因素自然因素指不可抗力因素包括地震、水灾、火灾、台风等。大数据所依赖的服务器一旦出现自然灾害,便会导致服务器损坏,严重则会导致数据丢失,无法恢复。(2)硬件设备如今已经进入大数据时代,数据量与日俱增,增长迅速。数据的存储需求越来越大,而硬件存储不在能满足要求,都有可能会引起数据的无从存储,得不到很好的利用,另外系统的漏洞会使数据数据在计算机中存储的数据风险加大,还有可能会造成计算机服务器的崩溃,造成已存储数据流失。 3.1.2数据管理问题 大数据时代数据管理对数据安全起着至关重要的作用,数据在收集管理过程中造成的风险主要有操作失误,恶意泄露两个方面。(1)操作失误数据收集之后,数据管理人员面对繁多的数据或多或少会出现操作失误的情况。或许删除重要的信息,或许更改重要的信息。面对众多的数据,操作失误的情况会各种各样。这样势必会影响数据的完整性。从而影响数据的安全。还有就是组织内部没有严格的管理规章制度,使工作人员工作时没有规范,造成数据的泄露。(2)恶意泄露组织即使想要保护数据的不外流和用户的权益不被泄露,但是有时候还是会落入不法分子手中,并且被其滥用,从事不法活动。这样就会造成客户信息的泄露。 3.1.3技术漏洞 大数据时代数据的爆炸性增长,现在的技术难以确保大数据被安全的保存,加大数据的安全风险。 3.2数据的外部环境 大数据时代数据安全的外部环境是指除内部环境外有可能因潮流所导致的信息泄露,外部环境主要包括:行业自律,法律法规,黑客攻击以及用户自己的个人隐私意识。 3.2.1行业自律和法律法规 行业自律和法律法规也尤为重要,目前,关于信息安全方面的法律法规还没有健全和完善,这就导致了拥有数据的公司企业利用她们已有的客户资料进行非法交易,使自己牟利。现在目前约束企业对信息使用的权限,也仅仅是自己公司对自己制定的有利于自己的规章制度,并不能实际有效的对信息实行安全掌控,企业们仍然有可能会为了自己的利益而去肆意出卖用户信息。也就是说目前还没有真正有效措施来保护数据安全。这些都使数据安全受到了极大的威胁。 3.2.2黑客攻击 黑客攻击也将会是影响大数据的信息安全的重要因素。因为大数据下信息变得越来越重要,黑客受到利益的驱使会去窃取有价值的信息。大数据下,数据的繁多,背景的复杂,组织数据内部的缺陷,都为黑客的攻击创造了有机可乘的机会。这也就导致了大数据下信息安全的风险加大。 4面对大数据个人信息的保护措施 个人信息保护的挑战,自古至今都存在着,在大数据的时代下,使个人信息的泄露更加容易,成本更加廉价。已经不再是政府在暗中监视着我们。例如,淘宝监视着我们的购物情况,百度监视着我们的搜索记录,微信、qq似乎对我们的情况更是了如指掌,在大数据时代下这种情况势必会加深这种威胁。近年来,非法泄露个人信息,网上诈骗、谣言等现象不胜枚举,严重地影响了我们每个人的生活安宁和生活秩序,甚至还会造成个人的人身财产损失。因此,在大数据时代,我们应该保护好自己的个人信息。 4.1完善相关法律法规 完善大数据时代的法律法规迫在眉睫,必须纳入个人信息安全保护的相关法律规定。虽然在2005,已经完成了“个人信息保护法”的专家咨询,但今天的“个人信息保护法”仍然没有颁布。所以我们必须加快个人信息保护法的出台,充分保护个人信息安全。 4.2严厉打击非法窃取个人信息的行为 由于《个人信息保护法》到目前还没有颁布,所以在大数据的时代下,各种数据发生爆炸性增长,个人信息也发生着空前的泄露。加强严厉打击非法窃取个人信息的行为尤为重要。 4.3健全监督机制 大数据时代,个人的信息是种无形资产。许多企业可能会对保留在其公司的个人信息进行商业化利用,从而泄露用户的个人信息,侵害用户权益。因此,建立健全政府的监督机制尤为重要,不容忽视。一是建立监督检查机构,专门对互联网的个人信息使用的情况进行监督。二是制定严格的监督制度,限制个人信息拥有者对信息的使用权限,严格规范个人信息使用的标准,确保个人信息不被肆意使用。 4.4提高自我保护意识 在《个人信息保护法》未出台,相关法律法规未健全,我们应该提高自己的保护意识,加强自我保护。在网络上尽量不随意输入个人信息,不随意共享个人信息,删除跟踪行为的临时文件,养成良好习惯。加强日常学习,学习互联网相关安全知识。提高维权意识,当发现自己的个人信息被泄露时,要及时维权,必要时可采取诉讼手段。5结语安全问题不仅仅是个人问题,企业问题,而是关乎国家的每一个方面,不容忽视。在大数据时代的到来,一方面我们在获得了巨大收益,另一方面我们也要注意个人信息的安全风险。如何降低安全风险保障自己的个人信息不被泄漏,就要综合从组织所处的内部环境和外部环境考虑。在自然因素,数据管理,技术漏洞,法律法规,行业自律,黑客攻击以及个人的安全防范意识等几个方面来应对风险。 作者:张豪爽 单位:辽宁对外经贸学院 个人信息安全论文:社交网络中用户个人信息安全保护探讨 摘要:当前,智能设备逐渐深入,互联网技术不断发展,因特网已经逐渐渗透到我们的日常生活中,成为我们生活的便捷助手。社交网络就是通过互联网将全球的个人联系在一起,组建一个开放性的社交平台。社交网络在一定程度上拉近了朋友之间的友谊,与此同时,社交网络中用户个人信息的安全受到越来越多人的关注,成为影响互联网发展的一道屏障,为了保护社交网络中用户个人信息安全,本文通过对当前社交网络个人信息安全现状进行分析,对当前一些较为流行的互联网保护措施进行研究,并提出一些保护用户个人信息安全的措施。 关键词:社交网络;隐私保护;个人信息安全;信息安全举措 社交网络平台是互联网应用中非常重要的组成部分,随着当前科技的发展,移动互联终端迅速普及,智能手机、移动电脑等设备充实人们的生活。社交平台为社会上的个人创建了一个平台,在这个平台上,用户可以逐渐发展自己的人脉关系,扩充自己的人脉网络,寻找曾经的朋友;用户还可以通过这个平台分享自己的照片等;还有就是近两年逐渐流行的朋友圈之间互发红包等等,通过该平台逐渐拉近了朋友间的友谊。但是,分享的同时,个人信息也被上传到网络平台,成为一些不法分子注意的对象,近年来,网络犯罪的比例日益变大,社交网络中个人信息安全的保护迫在眉睫。 一、社交网络安全性分析 社交网络是一种基于因特网的网络使用方式,它为用户提供了一个扩充人脉的平台,在这个平台上,用户相当于整个社交网络中的节点,用户之间通过交流与沟通,将节点与节点之间的连线越来越复杂,互联沟通面得到不断扩展,社交网络普及面越来越广阔。当前,Android系统和IOS系统中的聊天通讯应用更新频率不断加快,应用软件层出不穷,因此,为社交网络的进一步发展和普及提供了良好的条件基础。因此,未来社交网络的覆盖面将会更加广泛,用户活跃度将会更加高昂。但是,正是由于社交网络的开放性,使得网络上的虚拟人物良莠不齐,相关用户很难从表面上去进行辨伪,很容易上当受骗;此外,当前许多通讯聊天应用为了实现更加精准化的交友条件选择,对用户的个人信息完全透明化,虽然在一定程度上使得用户能够更加轻松的找到自己需要找的人,但是也为网络犯罪创造了绝佳的搜索平台;还有,当前许多人过分依赖网络,为了让别人相信自己的真实存在,对自己的信息毫无忌惮地展现在社交网络上,希望通过这种方法来提高自己的空间浏览量和关注度,用户在进行分享的同时,用户个人的信息有可能会被不法分子所关注,进而进行违法犯罪行为。据调查,2014年我国因网络犯罪造成的经济损失将近万亿元人民币,高达90%的互联网用户都受到过网络犯罪的攻击。因此,增强社交网络中用户个人信息安全保护势在必行。 二、隐私保护控制方法 为了在社交网络中保护用户个人信息安全,许多专家学者提出了许多理论研究,常见的有以下几种技术:①Sweeney专家提出的K-匿名技术,该技术将用户信息数据库的部分信息数据进行泛化处理,使得其中包含个人敏感信息的K个位置的信息数据形成匿名集,进而实现对用户隐私的保护;②Chen等人提出的生成虚假信息的隐私保护方法,在用户位置信息的服务器中形成多种不同位置信息,进而使得攻击者难以正确识别用户信息;③MatsuuraK和HuangL提出的基于区域划分的轨迹隐私保护理论,将用户的轨迹进行分析分类,对用户经过的敏感区域进行用户个人信息的保护,防止用户个人信息的泄漏;④Gabrial提出基于分布式协议的prive方法等等。 三、用户个人信息安全保护措施 3.1建立健全相关法律条文 在当前法制社会里,通过建立健全对用户个人信息保护的法律条文非常必要,通过法律保护社交网络中用户个人信息安全不受侵犯,是立法机构当前非常紧要的事务。对于当前有些不法分子通过非法手段搜集个人信息,然后通过各种渠道用于违法犯罪的行为,相关法律应该给予严惩,对于一些通过设计开发包含有非法搜集个人信息漏洞的应用软件,然后用于从事非法商业活动的商家个人,相关法律条文也应该严厉惩罚。 3.2社交网络企业加强用户信息保护管理 社交网络企业应用实名制注册,在一定程度上能够减少不法分子通过注册一些非法账号用于网络诈骗,防止个人信息的泄漏,但是,这种情况下,注册的用户需要填写的信息更为透明化,如果账号被盗泄漏的信息将会更严重。在这种矛盾下,这就需要社交网络企业加强对用户信息的保护和管理。通过不断优化相关软件应用,对其中的漏洞进行不断修复升级,提升系统稳定性,运用先进手段对网络攻击者进行拦截。 3.3提高社交网络用户安全意识 除了需要国家和相关企业提高对用户个人信息的保护以外,用户个人也需要了解一些保护个人信息的方法。虽然社交网络是一个开放性的社交平台,但相关用户也不能过于放开自己,将自己的全部信息全盘透露给好友,将自己的一举一动都分享给好友,这样就会存在许多安全隐患。所以,作为社交网络用户,需要时刻提防社交网络的局限性,及时对自己的软件进行升级,完善系统漏洞,对自己的一些敏感性信息有防范保护意识,对自己的信息安全负责。 四、结论 社交网络有利有弊,它在拉近朋友间距离的同时,也拉近了用户与网络犯罪的距离,为了保护社交网络中用户个人信息安全,立法机构、相关网络管理企业、用户本人都应该具备时刻保护用户个人信息安全的意识,通过相应的措施不断完善社交网络,使得社交网络平台更加安全、便捷、实用。 作者:刘伟彦 单位:武汉市第六中学 个人信息安全论文:加快立法步伐保护个人信息安全 “阳光是最好的防腐剂,但对隐私而言,阳光却并非总代表着正义。”的确,对个人信息而言,需要的不是“阳光”,而是法律“保护伞”。 所谓个人信息,据《个人信息保护法》专家建议稿课题组介绍,是指现实生活中“能够识别特定个人的一切信息”,其范围很广,有文档、视频音频文件、指纹、档案等,包括了一个人的生理的、心理的、智力的、个体的、社会的、经济的、文化的、家庭的等等方面,即指有关个人的一切数据、资料。个人信息同我们个人生活密切相关。 然而,我国目前个人信息频繁受到侵犯,个人信息安全问题日益引起政府和社会各界的广泛关注,而关于个人信息保护方面的立法却很缓慢,这不得不引起我们的重视,个人信息安全的现状令人担忧。 一、个人信息安全受到严重威胁 我们来看几则报道: 《新京报》:一家名为“上海OK信息有限公司”的网站显示,该公司正在出售“*年最新全国股民资料”,资料系由证券公司内部获得,内容包括全国100万股民的姓名、性别、手机号码等信息。记者调查后发现,该份资料中的股民信息基本属实。 新华社合肥电:上网求职资料屡屡泄露,安徽省教育部门提醒学生对个人信息应加强自我保护。 《羊城晚报》:一个名为“Ucloo”的网站在网上叫卖9000万华人私人信息,而价钱仅仅是1元人民币!随后,《北京青年报》、《新闻晨报》等国内多家媒体对此进行了跟踪报道,进一步得知这些个人隐私信息可能来自中国第一大同学门户网站“中国同学录”。 《市场报》:“手机监听王”惊现京城威胁个人信息安全。 《新快报》:500中学生隐私泄露网上家长频遭电话诈骗。 “商业推销‘指名道姓’,陌生拜访铺天盖地”。个人信息越来越多地被别有用心地进行着种种操作。个人信息安全正受到严重威胁。现代人在享受信息社会带来的诸多便利、好处的同时,也开始品尝接踵而至的烦扰。 1、个人信息被泄露的渠道。 在今天这信息网络时代里,个人信息被泄露的渠道繁多,在各行各业都有可能存在:如各电信运营商、银行、自来水公司、电力公司、燃气公司、保险公司、证券营业部、航空公司、互联网公司、人才市场、中介公司、物业公司、房地产交易市场以及各类零售商等等登记有个人信息的各行政、企事业单位。 2、个人信息泄露的原因和途径。 个人信息泄露的原因也是有很多种,归纳起来主要有以下几个方面: ①出于商业目的而被恶意套取,一些单位和部门为了一己私利而恶意泄露。 ②信息安全的重要性还没引起我们一些机关、单位、企业的足够重视,对个人信息管理不善,信息安全工作还处于被动的状态,没有形成“主动采取措施、积极应对”的意识,信息系统的整体防护能力低。 ③社会个体对的个人信息保护意识不强也给了别有用心者可乘之机,为日后信息泄露埋下隐患。 ④现有的法律规定显得比较滞后,不足以有效地震慑和打击侵害个人信息安全的违法犯罪现象。 个人信息泄露的途径主要有利用关系网络帮忙收集、利用问卷调查、网络注册、会员登记等方式自行套取、利用金收买等等。 3、个人信息安全受到严重威胁,信息泄露,将导致很多不良后果。 个人信息泄露后将导致很多不良后果:公民个人信息安全受损、人们经常受到各种骚扰、安全感丧失、政府管理受干扰、为刑事犯罪提供了土壤。 特别是在信息社会里,个人信息的泄露,不但会侵害个人的合法权益,影响社会和谐,导致人人自危,严重制约我国电子商务的发展。有专家称:“个人信息保护不仅是基本人权问题,也极有可能成为某种新的贸易壁垒,一个个人信息保护法制不健全的国家肯定会在国际贸易方面受到其他国家或国际组织的打压。” 二、个人信息安全的保护措施。 个人信息泄露已经成为社会的一大公害,由于个人信息泄露给当事人带来侵害或损失的案件屡屡发生,所以个人信息保护变得刻不容缓、迫在眉睫。 对个人隐私的尊重与保护,反映一个社会的文明程度,也体现着社会管理的精细化程度。在信息技术飞速发展的今天,那我们要怎样来保护个人信息免遭侵害呢? 个人信息安全的保护的基本原则:以人为本,以法为本,事前保障,多管齐下,多方努力。 个人信息安全的保护的主要措施: 1、加强自我保护。 ①我们在思想上要引起高度重视,提高个人信息的自我保护意识。 ②要多学习了解一些个人信息安全保护方面的知识,提高自我防范能力。 2、加强行业管理,增强行业自律性。 掌握了个人信息的各行政、企事业单位,特别是象各电信运营商、银行、自来水公司、电力公司、燃气公司、保险公司、证券营业部、物业公司、房地产交易市场等等这类掌握了较多个人信息的各行政、企事业单位,一定要从思想上高度重视,模范守法,提高行业对个人信息的管理技能和水平,制定相应的管理个人信息的制度、规范,增强行业对个人信息管理的自律性。 3、加强技术保护的研究,实施技术保护措施。 为了保护的个人信息安全和隐私,相关行业、部门要增大投入,研究开发更先进的技术,如,数字签名技术、数字证书技术、身份鉴别技术、信息加密技术、反病毒技术等等技术,真正做到“魔高一尺,道高一丈”。 4、制定、完善法律制度,撑起法律“保护伞”。 我国现有的法律对公民个人信息安全问题给予了充分的关照。在《民法通则》、《刑法》、《消费者权益保护法》及其他一些经济类法律、法规、司法解释中,都有保护公民个人信息安全的具体条款。 例如,《民法通则》第九十九条:公民享有姓名权,有权决定、使用和依照规定改变自己的姓名,禁止他人干涉、盗用、假冒。第一百条:公民享有肖像权,未经本人同意,不得以营利为目的使用公民的肖像。 又如,《反不正当竞争法》第十条规定:“经营者不得采用下列手段侵犯商业秘密:……本条所称的商业秘密,是指不为公众所知悉、能为权利人带来经济利益、具有实用性并经权利人采取保密措施的技术信息和经营信息。” 又如,最高法院在《审理名誉案件若干问题的解答》中规定:“对未经他人同意,擅自公布他人的隐私,致人名誉受到损害的,应按照侵害他人名誉权处理。” 然而,现有的法律规定仍然显得比较滞后,不足以有效地震慑和打击侵害个人信息安全的违法犯罪现象。“按照我国目前的法律,侵犯他人名誉权只能承担民事责任。如果《个人信息保护法》一旦正式出台,侵害他人信息的就要承担民事责任、行政责任或刑事责任。” 世界上已50多个国家建有个人信息保护体系。我国自*年以来,正在研究《中华人民共和国个人信息保护法》。但该项立法尚处研究阶段,无实质进展。 因此,我们要加快《中华人民共和国个人信息保护法》的立法程序,尽早出台,以更有效地保护个人信息安全,促进社会和谐。 总之,现在个人信息安全受到严重威胁,个人信息保护已刻不容缓,让我们从多方面、多角度共同努力,加强对个人信息安全的保护,相信我们的社会也将会进入一个安全、高效、文明的新时代。 个人信息安全论文:个人信息安全将从产品步入服务时代 十年前,大多数计算机用户面临的安全问题主要集中在病毒、垃圾邮件等威胁上。而今天,网络中的不法分子则锁定了计算机用户的重要数据,企图盗取信息以获得更大利益。这些仅仅是冰山一角,邮箱、论坛、网银、QQ等账号密码登录令人云山雾罩,家有儿女却无暇监督孩子的上网安全,如何保证照片、视频、工作文档等隐私数据的绝对安全,个人用户的网络安全问题日趋复杂。 安全威胁促使需求分化 在复杂的网络环境里,用户随着自身安全需求程度的不同出现分化、形成分级。初级用户仅仅需要个人安全软件产品的防护就可以满足安全需求,免费的安全软件产品就是这类用户的最好选择。而专业级用户往往对某一类互联网操作有特殊的安全需求,比如针对网上银行的操作、针对网络购物的操作,需要专门针对这些特殊操作的安全软件提供安全防护。还有一部分用户希望安全厂商能够提供不同程度的针对个人的安全服务,为其解决所遇到的安全问题,这些个人安全服务可能是:初级的机器智能个人安全服务、按次计算的个人咨询安全服务、包月包年的安全检测服务、高端VIP安全服务等。 安全厂商可以分别通过机器智能安全检测方式、一对多的人工安全咨询方式、专家级别的高端安全服务方式,为不同的用户,根据其不同的个人安全需求,提供不同程度的个人按需服务。 卡巴斯基亚太区董事长张立申说:“互联网诱发了复杂多变的安全威胁,复杂的安全威胁促进了人们安全需求的分化,针对不同的安全需求,需要提供不同的安全产品、安全服务。从当前各家安全企业所探索的方向来看,按需提供服务将很有可能成为今后个人安全软件的一种新型商业模式,这也标志着个人安全将从产品步入服务时代。 ” 正因如此,卡巴斯基了全新个人旗舰产品――卡巴斯基PURE。作为卡巴斯基实验室的旗舰型个人安全解决方案,卡巴斯基PURE从网络威胁抵御、密码便捷管理、重要数据保护和家庭网络维护四大方面提供了完善的个人信息安全解决方案。 独享 VIP专属服务 作为一款售价为599元的安全软件,卡巴斯基PURE几乎可以被称为安全软件中的奢侈品。在免费安全软件大行其道的今天,卡巴斯基却反其道而行,必然有其杀手锏。 首先,对网络威胁的抵御,PURE延续了卡巴斯基实验室产品一贯的技术优势,能够防御所有类型的恶意软件及各类网络威胁,包括内核保护、高级保护、操作系统和应用程序控制、浏览器和安全免疫区、网络和互联网安全、数字信息保护、阻止垃圾内容、数字信息安全和自我保护等。PURE还融入了全新的功能――密码管理器,它令用户只需记住一个主密码即可进行一键登录,还可以帮助用户创建复杂的高强度密码。在对重要数据的保护方面,用户可通过PURE对数据进行加密、备份,或利用文件粉碎器对文件进行永久删除。对于家庭网络用户,PURE的上网管理模块可以监控未成年子女的上网情况,保护他们不受恶意内容侵害,保证家人健康上网。 除了技术方面的创新,PURE还为用户带来了更好的使用体验和更多的帮助。卡巴斯基实验室专门为PURE用户开辟了一条专属服务通道,只要购买PURE成为精英会会员,即可获得由卡巴斯基定制的PURE贵宾卡,并享受免费一年的私人安全顾问服务,具体形式包括电话、邮件、短信及十次预约式用户上门服务。如果用户不希望个人隐私、机密数据、公司优秀商业秘密被泄露,卡巴斯基PURE还能够提供VIP专属服务。虽然这类服务并非卡巴斯基首创,但却被其首先应用在安全领域。 个人信息安全论文:常州市大学生社交网络个人信息安全意识研究 [摘要]运用问卷调查对常州市本科大学生社交网络个人信息安全意识和能力方面进行评价,提出大学生社交网络个人信息保护方面的对策。 [关键词]个人信息安全;大学生;社交网络;安全意识 1数据来源 通过查阅相关文献,搜集与社交网络个人信息安全意识的相关资料,确定了调查问卷内容,共16个问题。本次问卷主要在常州市四所本科高校发放,回收有效问卷578份。本次调查时间为:2016年7月2日至7月8日。本次调查涉及河海大学常州校区学生176名、常州工学院学生76名、常州大学学生152名和江苏理工学院学生173名。其中,调查对象以大一、大二、大三的学生为主,大四学生偏低,男女比例相对均衡。 2个人信息认知 最高人民法院、最高人民检察院、公安部《关于依法惩处侵害公民个人信息犯罪活动的通知》(公通字〔2013〕12号)明确规定:“公民个人信息包括公民的姓名、年龄、有效证件号码、婚姻状况、工作单位、学历、履历、家庭住址、电话号码等能够识别公民个人身份或者涉及公民个人隐私的信息、数据资料。” 21个人信息保护范围认知 关于受访者对个人信息保护范围的理解,44%的受访者大概知道,31%的受访者知道,14%的受访者不太清楚,只有10%的受访者表示非常清楚,而有41%的受访者表示不知道。其中,个人信息与个人隐私的范围难以界定。个人信息与个人隐私存在联系,个人信息与个人隐私的保护范围之间具有交错性,但不可简单等同。个人信息范围的界定,取决于对个人信息的定义:个人信息具有可识别性,能与某个特定个体的人格和身份建立起联系;个人信息具有交互性,其发挥自身作用的空间就是信息主体与外界的交互过程,信息主体依循自身的意愿对个人信息进行合理的利用,以便在社会交往过程中占据一个有利的地位。 将调查数据按受访者的年级进行细化分析,不同年级受访者对于个人隐私的掌握情况大体一致。相对而言,非常清楚安全隐私范畴的大四受访者比例为1724%;知道安全隐私范畴的大三受访者比例为3526%,大概知道安全隐私范畴的大一受访者比例为4651%,不太清楚安全隐私范畴大二受访者比例为1943%。可见,随着年级的增长,对个人信息范围的理解有所深入。 22个人信息暴露在社交网络上的看法 在大数据环境下,用户对社交网络上的个人信息的控制能力减弱,易被非法分子利用。如身边出现的多起身份窃取案件,通过获取用户微信号里动态、头像等信息,进行账号完全“复制”,假冒本人向亲友借钱。通过用户的动态、地理位置、跟踪用户、实施盗窃等。可见,社交网络上个人信息安全面临着前所未有的威胁。关于对个人信息暴露在社交网络上的看法,3189%的受访者认为个人信息暴露在社交网络上很严重,应该采取措施避免不良影响,5806%的受访者表示有点担心,应注意个人信息安全,919%的受访者表示个人信息暴露在社交网络上无关紧要、很正常。这反映出大部分大学生在社交网络上个人信息保护方面有一定的安全意识。 23是否会阅读社交网络服务商的用户服务协议 社交网络服务商和用糁间通常存在着一个用户服务协议,以明确相互之间的权利义务关系,通常由用户在向社交网络服务商注册时,通过点击确认而成立,对双方都具有约束力。首先,用户协议内容由服务商预先拟定,用户只能接受或拒绝接受,没有协商的余地;其次,服务商往往在用户协议中极力维护自身利益,对用户权利则多加限制:一般将用户协议分布在其他页面中,内容晦涩繁杂,将对用户权利造成不利影响的条款隐藏在其他条款中;社交网络服务商可随时单方修改服务条款内容,一旦用户继续使用则意味着接受新条款;社交网络服务商保留自己对条款内容的最终解释权。 关于是否会阅读社交应用服务商的用户服务协议上,4974%的受访者偶尔阅读,3692%的受访者不会阅读,1179%的受访者经常阅读,而156%的受访者根本不知道用户服务协议。调查结果反映出,大部分大学生对于用户服务协议的态度是知道有用户服务协议,但不够重视。 24个人信息被泄露时是否维权 在社交网络上个人信息泄露的途径有很多:服务商泄露个人信息(不良商家泄露或黑客入侵)、用户社交网络上晒信息(自拍、姓名、学校等)、电脑感染木马病毒导致信息被窃取、不法分子利用网站漏洞入侵数据库、用户随意连接免费Wi-Fi或扫描二维码等。而个人信息被泄露后,轻则广告骚扰源源不断,重则人财两空。而相应维权方式有:向互联网管理部门、工商部门等相关机构进行投诉举报;向公安部门报案;向侵权人索赔。然而一般金额相对较小的案件追回概率低。从数据可以看出,大部分大学生个人信息被泄露时,维权意识不强,2882%的受访者表示会利用法律手段为自己维权,6736%的受访者表示只要没造成太大损失不会维权,382%的受访者选择其他方式解决。这跟目前信息安全侵害所带来的总体损失程度不严重有一定关系。 3个人信息安全能力 31个人信息填写 4479%的受访者表示在知名的社交网络会填写真实信息,但是在一些论坛或者别的需注册的网站说不准了,2587%的受访者如实填写,2535%的受访者会填写真假参半的个人注册信息,278%的受访者表示网络上的都是假的,所以随便填,122%的受访者选择了其他。 在社交网站上公布的个人真实信息 32设置 密码设置是个人信息保护的重要部分。调查结果显示,超过一半受访者倾向于设置安全性较低、安全性一般的密码,其中5277%的受访者表示设置密码时会采用字母、数字、符号中两种的组合等安全性一般的密码,而3754%的受访者表示设置密码时会采用字母、数字、符号三种的组合等安全性较高的密码。可见,大学生个人密码设置能力不高。 33网络应用之间的相互绑定现象 6932%的受访者表示社交应用间存在相互绑定现象,3068%的受访者不存在相互绑定现象。这里绑定是指用一个社交应用的账号密码可以授权登录另一个社交应用,应用间相互关联、分享信息。这在方便用户的同时,大大增加了个人信息被盗的风险。一个账号密码丢失,可能引起多个应用上个人信息被窃取,从而使用户信息更加透明,更易使不法分子侵害用户权益。调查结果显示,大多数大学生社交应用间存在相互绑定情况,个人信息被盗风险增加。 个人信息安全问题程度认知 4社交网络个人信息保护对策 41提高大学生个人信息安全素养 用户的安全意识是保障网络信息系统安全的首要因素。大学生应谨慎对待个人信息,有基本安全意识。当个人信息被不法分子利用时,能够有效维权。 高校可结合本校学生的实际情况,与相关信息安全部门、公安部门合作,开展相关安全知识普及工作,提高大学生个人信息安全意识。 42加强个人信息安全法律法规建设 目前,政府的相关法律体系等还未构建完全,相应的奖罚机制还不够成熟,政府应将信息安全保障政策体系化,建立完善的体制系统。应尽快制定出台《信息安全法》,并将其作为网络信息安全法律体系的基本法。对信息保护明确标准,对信息泄露苛以责任。要求网监部门切实担负起监管职责,执法部门应严惩网络犯罪。明确各部门之间的协作互动机制,形成监管合力,提高对网络环境进行治理的效率。从而规范社交网络服务商行为。立法还应充分考虑到信息技术发展的持续性,为信息技术的发展预留空间。 个人信息安全论文:大数据背景下的个人信息安全问题 摘 要 大数据作为继云计算之后信息技术领域一个新的产业增长点,正在影响着人们的工作、学习和生活,包括生活方式、工作习惯和思考模式等。但是,人们在与大数据环境交互过程中,个人信息安全正在受到极大的威胁。本文以此为出发点,探讨了大数据背景下个人信息的具体应用以及存在的安全问题,并针对这些安全风险提出了应对的措施和具体的建议。 【关键词】大数据 大数据背景 个人信息安全 隐私保护 1 引言 在互联网环境下,“信息爆炸”产生了海量的数据,催生了大数据时代的到来。据统计,Facebook每天生成的日志数据达300TB以上;互联网上每天产生的数据内容可以刻满1.68亿张DVD;Twitter每天处理的推特数量超过3.4亿;等等。这些数据足够表明,我们已经身处大数据环境下。在大数据时代,大数据以及深深影响着人们的工作、学习和生活,人们在互联网上的行为都会被系统所记录,包括个人基本信息、购买记录、日常操作习惯等。对于商家而言,这些数据一方面可以深入发掘用户的需求,从而改善相应的产品和服务,同时也可以实现精准营销,从而产生更多的经济效益。但是,这些数据也会暴露个人的隐私,个人信息安全存在很大的风险。因此,本文站在大数据背景下,来对个人信息安全这一关键问题进行深入探讨,在分析信息安全风险的同时,结合相应的技术提出具体的解决措施和方案。 2 大数据背景下个人信息的使用现状 在大数据时代,大数据与传统行业进行了深度融合,从而诞生了新的业务和新的商业模式,在此过程中,个人信息得到了具体的应用。 2.1 商业领域 在商业领域,特别是零售行业,个人信息会被准确的记录并存储。消费者的每一次消费,包括购买商品的名称、时间、地点等,系统都会进行保存,通过这些数据,商家就会进行深入分析,分析消费者的购物偏好,进而预测消费者的消费需求,从而实现精准营销的目的。基于消费者消费的大数据,可以准确反映消费者消费商品之外的某些信息。比如,一个典型的案例是美国的一家零售商通过用户消费数据的分析,比家长更早知道其女儿怀孕的事实,并通过邮件告之 2.2 医疗领域 在医疗领域中,通过个人信息的记录可以实现个性化的治疗。比如,基因组数据,是以个人基因组信息为基础,通过大数据创新技术研究疾病和特殊药物之间的关系,在此过程中,由于考虑到了遗传突变的因素,医生可以根据基因的不同需要实现不同的用药,进而为患者制定最佳的治疗方案。 2.3 社交领域 随着社交软件的不断增多,大大丰富了人们的社交需求。在国内,最具代表性的是为腾讯2011年推出的微信,该软件能够快速地文字、语音和图片等多媒体信息,而且通过朋友圈使得信息在瞬间被更多的人关注。在功能上,微信已经不仅仅是一款简单的聊天社交工具,而是营销推广、商业支付等的一款综合性工作平台。用户在使用微信的过程中,个人信息也会被不断记录,比如基于位置的服务(Location Based Service,称LBS),让朋友圈的好友准确知道用户在什么位置了什么信息,同时,通过“附近的人”可以结交更多的好友等,这些都是个人信息在微信软件应用中的具体体现。 3 大数据背景下个人信息安全问题的提出 随着新技术、新工具、新平台的出现,用户在具体使用这些媒体的过程中,个人信息都会被记录,一方面方便了用户自己的工作、学习和生活,同时,也让用户觉得系统无时无刻地在“监控”着自己的各种行为。 随着硬件存储成本的下降,以及商家对消费者个人信息和消费数据的重视,他们更乐意通过较低的成本存储更有商业价值的数据。据中国互联网网络信息中心统计,截止2016年底,我国网民规模为7.31亿,较2015年的6.88亿增加了0.43亿。伴随着“互联网+”的深入推广和应用,个人信息会被各个系统和平台所记录和存储,这也在一定程度上提高了个人信息被泄露的可能,个人信息安全已经成为一个重要的社会问题。因此,非常有必要作为一个社会普遍关注的问题被提出来,以期从多个方面引起高度重视。从具体的表现来看,个人信息安全具体如下: 3.1 帐户被盗风险加剧 在大数据环境下,人们为了体验各种工具和平台,就会有多个帐户存在,每一个帐户在申请时平台会要求与邮箱或手机号进行绑定,这样,一个邮箱或手机号就会与用户的多个帐户进行关联。同时,各种工具或平台间也为了方便用户操作,也会加强合作,通过一个帐户就可以访问多个应用或平台。这样,无形中加剧了帐户被盗的风险。 3.2 隐私问题堪忧 在大数据背景下,人们在心情、互动交流过程中,会在不经意间泄露个人的一些信息,比如地理位置以及日程安排等。同时,大数据背景下数据的关联性很强,随着数据来源的增多和数据量的增加,通过数据和数据之间的深度分析,就会暴露个人的某些隐私信息。 3.3 用户个人信息控制权减弱 在大数据背景下,个人的图片、心情或交流的话题等,很容易被访问和传播,使得用户个人信息控制权明显减弱,在一定程度上会加剧个人信息被泄露的风险。 在传统的网络环境中,商家控制了数据的存储与运行环境(这里的数据主要是商家自身的业务数据),用户可以通过密码学技术手段保护自己的数据,也就是说,用户的个人信息安全是有一定保障的。但是,在大数据背景下,一些商家既是数据的生产者,同时又是数据的管理者和使用者,所以,用户使用传统的技术手段保护个人信息是非常困难的。 4 大数据背景下个人信息安全的建议 4.1 优化个人信息安全保护技术 在传统的网络环境下,一般采用数据加密等技术手段实现信息的安全保护,与此同时,通过安全漏洞修补、防篡改等手段保护敏感的和重要的一些数据。但是,在大数据环境下,这些技术手段具有一些局限性,不能实现更广泛、更深入的保护。大数据环境下,需要建立针对云、管、端的安全模型,在个人信息安全保护方面,要主动感知。要根据海量数据的特点,建立适合用户身份信息验证的“符号化”手段,通过符号标记用户身份信息,有效规避了大数据背景下数据内容的交叉检验,这样在技术上提高了个人信息的安全性,同时也便利了使用网络的方便性。除此之外,还有以下技术可供参考: 4.1.1 数据匿名保护技术 大数据背景下,数据匿名保护是比较复杂的,但却是实现其隐私保护的优秀关键技术与基本手段,其具体原理和算法这里不做讨论。 4.1.2 社交网络匿名保护技术 社交网络中的典型匿名保护隐藏了用户的标识和属性信息,同时也隐藏了用户之间的关系。因此,要获取用户的个人信息,就需要通过各种攻破属性获取用户身份信息,这是非常困难的。 4.1.3 数据水印技术 4.1.4 数据溯源技术 4.2 加快个人信息安全保护的统一立法 目前,从信息安全的相关法规来看,我国已出台了一些制度和措施,比如2013年2月实施的《信息安全技术公共及商用服务信息系统个人信息保护指南》,使得我国个人信息保护工作正式进入“有标可依”阶段,其显著特点是规定个人敏感信息在收集和利用之前,必须首先获得个人信息主体明确授权。但是,在具体实施过程中,效力等级不高、惩罚力度过小,未能真正起到保护个人信息安全的目的。因此,在大数据背景下,迫切需要针对大数据环境的个人信息安全立法,规范相关商机和利益平台的行为准则,提高个人信息泄露的犯罪成本。 4.3 提高公民个人信息安全防范意识 互联网特别是移动互联网等技术的发展,给人们的工作、生活和学习带来了极大的便利,但是也在一定程度上增加了个人信息泄露的风险。因此,在大数据背景下,要提高公民自身的信息安全防范意识,通过宣传教育等措施,提高人的安全防范技能,增强个人信息安全保护的意识。比如,不能随意上传个人的私密图片,不能随意登录银行帐户,一般不要开启智能终端定位功能等,除此之外,要提供安全措施,比如使用完某项应用后要及时清除Cookies,增强密码安全设置级别,定期扫描并修复系统漏洞等。 5 结束语 大数据时代的到来极大促进了社会的发展,并与传统行业融合过程中催生了新的产业和商业模式,但是,大数据也带来了新的个人信息的安全问题。本文从个人信息在大数据背景中的应用现状出发,提出了个人信息安全的问题,并在借鉴国外做法和中国实际的基础上,提出了具体的解决措施和建议,以最大限度地降低个人信息泄露的风险,从而促进个人信息在大数据背景下得以有效保护。 作者简介 曹敏(1981-),男,福建省建瓯市人。大学本科学历。讲师。主要研究方向为计算机网络技术。 作者单位 福建江夏学院 福建省福州市 350108 个人信息安全论文:微信平台个人信息安全保障研究 摘 要:微信作为一种新型的即时通信工具,虽然方便快捷,但却引发了诸多安全问题。本文分析了在微信社交平台中购物及娱乐引发的个人信息安全风险,针对这些风险提出了相应的保护对策。 关键词:微信平台;个人信息安全;社交网络 随着信息技术的不断发展, 移动互联网已经渗透到了人类生活的方方面面。微信作为一种新型的即时通信工具,是大数据时代移动互联网成为发展趋势的必然写照。它以操作简单,支持文字输入、 语音、 图片等特点,拥有了大量用户,这种新型的通信工具已然成为了人们的新宠。然而,微信就像是一把双刃剑,带给我们便利的同时也蕴藏着无限的危机,近几年,由于微信社交功能而造成的个人信息安全风险层出不穷。如何认清在虚拟网络下的安全风险及如何在新形势下加强个人信息安全保护,成为大数据时代首当其冲的问题。 一、微信平台下的个人信息安全风险 微信,作为一种全新的社交媒介,最大的成功之处在于传播技术的不断创新满足了受众追求新事物的好奇心理,改变了传统意义上的人际交往格局。用户通过使用 “附近的人”“摇一摇” 等社交功能, 从附近众多显示出来的用户中,结交自己想认识的朋友。虽然这种交友功能便于用户找到或结识具有吸引力的新朋友,但使用者的信息也会暴露于公众之中,加剧了个人信息的安全隐患。 1、查找附近的人。点击查找 “附近的人”功能后用户会看到 100 m~1 000 m 范围内同样使用过此功能的用户。一些不法分子对用户的图片等个人信息加以收集、 加工、 利用,得出有利于自己的信息,进行敲诈勒索行为。据统计,近几年仅国内媒体报道的利用微信引起的犯罪案件就多达 60 余起,其中强奸案高达半数。 2、摇一摇。“摇一摇” 是微信推出的一个随机交友程序。通过摇动手机可以匹配出同一时间使用此功能的用户,这种有筛选性的择友方式使得用户既张扬了个性,又满足了自己的需求。因此,“摇一摇”上线后很快便达到了每日多达 1 亿次的使用次数,它的简单、 便利,快速地帮助人们扩大了社交圈,然而这样的便捷也对个人信息安全构成了巨大的威胁。微型 “摇一摇” 的社交功能并没有信息控制及筛选功能,人们的交流具有极大的自由化、 开放性、 匿名性, “u一摇” 的便捷使得人们对于微信另一端的使用者降低了警觉性。不法分子利用用户的这些心理,可以轻易地获得用户的个人信息。 二、微信购物和娱乐平台下的个人信息安全风险 微信原本是一款基于手机端的社交软件,在第三版更新后出现了微信 PC 端,于是社交形式由最初的微信好友和朋友圈扩展到微信公众平台,使群发消息给关注的用户得以实现。 无数的商家眼球被用户群吸引,更看到了隐含在人群之后的巨大商机。 1、微信购物。“微店”“微商城” 等购物方式,是基于微信平台而研发的一种电子商务系统,能够实现大多数个体的商业需求。消费者只要通过微信商城平台,就可以实现商品查询、 选购、 订购与支付的线上线下一体化服务。由于这些平台建立成本较低, 只需按照要求填写申请后便可以进行交易,没有相关的安全体系进行保障,因此易发生纠纷。 2、测试游戏。“测出你的前世今生”“测算基因看你未来开什么车” ,等等。近来,不少人通过朋友圈的信息共享玩一些游戏并随手转发。虽然这些只是名义上的测试游戏,但实际上却很可能是不法商家利用测试来吸引用户的眼球而随之盗取个人信息的方式。据了解,绝大多数游戏在进行测试时均需要输入姓名或手机号等个人信息,商家很容易全方位掌握用户的相关信息。此外,有网络安全人士指出,有的游戏或社交网络还会向手机软件植入木马程序,致使用户手机中的手机银行和支付宝等交易软件安全性降低。 三、微信平台下的个人信息安全保护对策 1、加强对微信平台的监督管理。不法分子屡用微信进行犯罪的最根本原因是由于我国未实行微信实名注册用户,不法分子可以用不同的手机号进行多个账户的注册,案件发生后若罪犯注销或停用账户我们就无法进行追踪。因此,应当在确保个人信息不会泄露的前提下实施微信后台实名制原则,减少不法分子运用这一漏洞而进行犯罪活动。与此同时,应该加大对微信的监管力度,对交流中可能出现的不法信息、 敏感话题予以提醒。 2、加强个人信息保护。在我国,人们对个人信息的认识比较模糊,重视不足。个人信息的随意传播、 公开、 泄露、 滥用的现象随处可见。微信的使用,朋友间的交流或朋友圈信息的公开、 共享使我们有意或无意地泄露了个人信息。开启定位系统、 打开测试网页,每一次社交程序的应用都可能将我们的个人信息输入商家预先设计的数据库中,成为商家日后获利的筹码。国家相关部门应当加快建立与个人信息安全相关的法律体系,对个人信息进行正规的管理和规范,以保证个人信息能够在合法、合理的状态下流动。 3、加强思想道德教育以提高道德风尚底线。面对网络信息纷繁复杂、 难以辨别真伪这一现象,腾讯公司应当在大力宣传推广微信产品的同时,定期推送具有加强思想道德教育的短文,开展网络伦理道德教育,并在道义上提醒广大微信用户可能存在的安全隐患。 4、提高自身防范意识。许多微信用户习惯于在朋友圈随意公开自己的状态及位置信息,同时晒出自己或与朋友、 家人的近照并伴随各种炫富行为,以渴求得到他人的赞美或崇拜。岂不知这样的行为容易使有些不法分子利用。因此,我们在朋友圈中应该少用真实照片或者在使用“附近的人” 后应当及时 “清除地理位置” 并退出,同时开启 “加我为好友需要验证” 功能。此外,在与陌生人进行交流时要随时保持警惕,尤其是女大学生,不要因为对方的花言巧语而放松警惕,泄露个人的重要信息。另外,面对网络上新兴起的代购行为,我们不能盲目地相信及追求,应该用怀疑的态度去辨别商品的真假性及卖家的信用,从而提高自身防范意识。 四、结束语 如今的微信已经不仅仅是一种即时通信工具,更是一种新型的社交网络平台。面对个人信息泄露的现象,我们应当提高个人信息安全的保护力度,根据微信的特点,加强对微信的监管力度,并要求各监管部门分工明确,承担不同的监管职责,建立和加强微信的监管体系。
信息安全技术论文:电子商务信息安全技术论文 1电子商务平台系统结构 电子商务平台连接局域网(企业内部)和因特网。因为因特网是开放性的网络,并且结构非常复杂,不能确保传输信息的安全,所以,企业的局域网会采取先进的技术手段比如防火墙技术,屏蔽因特网中的不安全因素。企业内部局域网一般包括:ERP系统(企业资源计划系统)及传统系统、客户端、邮件服务系统,服务器包括数据服务器、协作服务器、Web服务器和账户服务器。 2电子商务中存在的信息安全问题 2.1网络信息安全问题 网络信息安全问题主要是因为因特网是一种开放的网络,所以数据在网络通道上进行传输时,一些不法分子会分析网络的使用协议及物理特征,损害传输的信息,其的主要手段是对信息进行插入、篡改、删除、截获等。通常情况下,插入就是在有用信息中插入部分无效信息,从而使得合法用户获得无效信息或者是错误信息;篡改就是更改信息流的传送次序,从而达到损坏或者是改变信息内容的目的;删除就是删除全部或者部分信息,造成信息的缺失,从而使合法用户不能得到完整的信息;截获就是不法分子采用非法手段在传输信道上拦截机密信息,比如银行卡的密码和账号等。 2.2身份冒充问题 身份冒充问题主要是因为电子商务是一种新型的交易方式,它和传统的交易方式不同,交易双方的身份不能明确,所以攻击者就有较多的机会采用非法手段,对合法用户的信息进行盗取,和其他人进行交易,从而来获取更多的非法利益。目前,身份冒充问题较多的就是冒充他人身份栽赃、冒充合法用户消费、冒充主机欺骗其他合法主机或者合法用户等。 2.3交易双方抵赖问题 交易双方抵赖问题主要是由于为了推卸责任,部分用户恶意否认自己发送的信息而产生的。比如,购买者不接收商品,否认自己的订单;网站者否认自己发送的一些信息进行,如果出了什么问题就可以不对用户负责;卖家为了不承担质量问题,否认卖出的商品等。以上这些问题如果想要得到解决,必须要有强有力的仲裁机构和统一的仲裁标准。 2.4拒绝服务问题 拒绝服务问题,这类问题主要是攻击者为了使合法用户无法对需要的网络资源不能进行正常的访问,从而伪造大量信息,占用正常的服务器或者是资源信息通道,从而使一些有严格时间限制的服务,不能获得及时响应。例如,对虚拟网店来说,攻击者通过伪造虚假的用户信息,发送大量无效订单,占用网络及服务器资源,网站就不能对正常用户及时进行信息反馈。 2.5计算机系统安全问题 由于用户是分散的,在世界的各个地方,所以不能保证每一台计算机都安全稳定的运行。计算机硬件受损导致的数据丢失,侵染病毒导致的信息泄露,木马导致的入侵攻击等问题,都将严重的威胁计算机系统的安全问题。 3计算机安全技术在电子商务中的应用 为了确保电子商务的安全,克服上述的安全问题,目前采用的计算机安全技术主要有身份识别技术、数据加密技术、智能防火墙技术、入侵检测技术、认证机构CA等。 3.1身份识别 身份识别问题是电子商务面临的比较突出的问题,这主要是由电子商务的特性决定的。一方面,电子商务和传统的交易方式不同,交易双方没有见过面,不能进行面对面的谈判,也不能对对方的身份进行有效的核实,只能通过网络进行交易,所以,身份识别问题在电子商务中十分关键。另一方面,电子身份识别关系到用户的合法性和安全性,因为只有合法的用户才有权利获得十分丰富的网络资源,所以进行身份识别也是网络资源管理的要求。 3.2数据加密 当前的数据加密技术主要有两大类,一类是专用密钥加密或者对称加密,另一类是公开密钥加密或者非对称加密,数据加密技术是保证电子商务信息安全的主要措施之一。不管是对称加密技术还是非对称加密技术,它们二者都是通过构建完整签名或者加密体系,有效地解决电子商务中的存在的安全隐患,当前,比较常见的加密体系一般是采取公开密钥技术构建的,此种方式可以确保网络交易的安全性和实现网络资源的共享。 3.3智能防火墙技术 防火墙技术是用来保护内部网络内的主机和资源的,它能有效防止外部的网络用户采用非法的手段入侵到内部局域网中,因此,防火墙技术可以加强网络间的访问控制。智能防火墙技术是根据技术特征,采用决策、概率、记忆、统计的智能方法识别数据并达到访问控制的目的。智能防火墙技术没有必要为了匹配检查进行大量的计算,而是直接控制访问,与传统防火墙技术相比,智能防火墙技术更安全,其安全性能大大提高了,尤其是在内核的安全性、系统和特权最小化、网络性能、系统的加固和优化等方面都有很大的提高。 3.4入侵检测技术 入侵检测技术提高计算机网络的安全性能,快速发现非法攻击,从而在整体上提高计算机的安全结构的完整性,它是作为防火墙和其他技术的补充。VPN技术采用加解密技术、隧道技术等,通过公共网络将多个内部网络进行远程连接,使用户能够跨采用统一规划的内部网络地址进行彼此之间的访问。 3.5认证机构CA CA的组成主要由证书签发服务器、密钥管理中心和目录服务器三部分组成。其中证书签发服务器,负责签发和管理证书,密钥管理中心提供CA证书的签发;目录服务器负责证书和CRL的查询及。使用公开密钥的用户都会得到CA中心发放的一个数字证书,证书上面具有数字签名,非法攻击者不能对其进行篡改和伪造,从而保证了信息的安全。根据X.509标准规定,证书应该包含以下内容:证书序列号、版本号及有效期,算法标识(用于证书签名),签发证书的CA机构的名字和唯一标识符,用户的名字、公钥和用户的唯一标识等。 作者:贺甲宁 单位:陕西职业技术学院 信息安全技术论文:电力信息系统信息安全技术论文 1网络协议隔离技术 协议隔离技术,就是通过安置协议分离器达到内网与外网的分离。利用设置上的两个接口,完成内网和外网通过协议隔离进行信息的交流。在使用协议隔离技术的时候,内网和外网都是断开的,只有在需要进行信息交流的时候才会进行安全的暂时性连接。防火墙技术,就是在内网和外网之间树立一块安全的分离屏障,把那些无法预判的恶性攻击和破坏进行有效的拦截掉。同时最大程度的对外隐蔽和保护内网的信息与构造,确保内网能够安全正常的运行。 2电力信息系统信息安全技术的应用 2.1构建和完善电力系统 构建和完善电力系统主要有三方面的工作需做好。首先,创建和完善电力调度数据网络,需要在专门通道上通过多种手段达到物理层面和公共信息网络的安全分隔。方法有:使用专线,数字序列同步处理和准同步处理,通过专一的网络设施组装网络等。电力调度数据网只能够被允许传送和电力调度生产密切有关的数据业务信息。然后,电力监控系统和电力调度数据网络都不准与外面的因特网进行直接关联,同时做好对电子邮件的严格限制收发工作。最后,电力监控系统可以利用专一的局域网(内网)做到和当地另外的电力监控系统的关系与连接。还可以利用电力调度数据网络完成不同层级之间在不同的地方对电力监督系统的相互联系。所用的电力监督系统和办公智能化系统还有其他信息系统互相之间在进行网络关联时,一定要得到国家相关部门的审核与批准才可以,并且要使用相关的专一,有效的安全隔离设备。 2.2改革和创新网络安全技术 改革和创新网络安全技术主要包括了以下几个方面的措施,第一,提升相关人员的安全防范意识和管理水平。安全意识的缺乏导致的系统安全隐患远远大于系统自身存在的错误与缺陷。把未经过扫描查杀病毒的优盘,软盘插入电脑中、不妥当,不合理的设置相关密码、把密码写在另外的地方或者存放在电脑文件中、没有定期的修改密码,在网络上下载一些不安全的文件、还有企业自身合法获得许可的用户进行非法的行为等等都会导致企业的信息网络存在较大的风险。第二,实时的监督网络端口和节点信息的走向,定期对企业的信息网络进行安全检查,信息日志的审核与统计,还有病毒的扫描排查工作,对很重要的数据要及时的备份保存,在整个网络领域创建一套正确有效的安全管理体制,都有利于企业信息网络的安全运转。第三,正确安全的设定和存储密码。密码的安全是网络安全中至关重要的。如果密码被破解或泄密将给非法用户有机可乘,进入相关系统。随着穷举软件的兴起,根密码的位数要在十位以上,普通用户的密码也要求在八位以上,并且有大小写字母和数字及其他符合穿插随机组成的设定规则。也要避免把自己的生日或者名字等比较容易破解的信息作为密码使用。 2.3更加先进的网络安全框架 电力企业信息网络在安全问题上有它自己的特点,遇到的安全威胁也是比较严重的,如果不处理好就会影响国家经济和人们的正常生活。未来一定会使用更加优越有效的网络安全框架,密码算法,入侵检测系统(IDS)与病毒查杀软件和更加智能化的防火墙技术等,来保证电力信息系统的信息安全。然而防护往往是先从自身被瓦解的,所以在这些技术方面的防护基础上,还要制定一套有效的安全体系和培养员工的安全防范意识,它们是保证系统信息安全的优秀。 3结语 综上所述,我国电力信息系统的信息安全实现要借助大量相关的关键信息安全技术的辅助作用。本文主要描述了其中在电力信息系统信息安全管理中运用到的关键技术,包括了各自的优缺点。在实际使用过程中还要注意多种技术的选择与融合,还描述了信息安全技术在今后的广泛应用与推广,有助于促进我国电力系统的完善与提高,更好的为国家和社会服务。 作者:张豆豆 单位:上海理工大学光电信息与计算机工程学院 信息安全技术论文:信息安全技术电子政务论文 1有效地划分安全区域 依据信息安全综合管理要求,信息安全领域包含了较多子区域,互相间相联系的区域形成了逻辑领域。当前,电子政务网络领域中基层设施以及安保功能应由接入专用网络系统用户具体负责。电子政务处理业务的领域则应包含已经属于政务部门管控范畴中且承载业务系统的本地系统环境与边界,还涵盖内部用户。该服务对象包含设计政务机构之中的公众、外网领域与内网领域等。电子政务基础服务领域则包括信息安全相应机构、测评机构、数字证书机构等。 2合理管控机密信息数据 电子政务系统针对信息资源的管控具体目标在于抑制攻击者登录系统主机并对其进行攻击。当然这一目标的实现具有一定难度,无法完全抑制攻击行为。当然,主机可允许对于电子政务系统内网的各类连接、分析扫描以及探测,对从主机系统之中传输的连接、扫描等,安全系统要具备相应条件方能进行放行。如果传输数据包包含异常问题,系统管理人员要快速叫停。防火墙系统为信息安全技术之中重要的一项安全管理方式,可全面预防电子政务之中的主机被操控进而对他类系统形成不良破坏。为此,应利用信息安全手段合理管控主机外连数量。例如,可准许在具体时间段之中传输一定总量的数据信息报。应用的防火墙系统应具备良好的功能,即可设定单向或双向地址进行拦截。单向拦截阶段中,可杜绝由一个方向面向另一方向进行数据传输。而反向传输则可顺利实施。另外,防火墙系统应采取现代化的状态监控过滤技术,不应单纯的依靠独立IP包完成过滤率,应实施监控研究各类连接以及对话,进而可在政务系统之内完成自动化的维持原有健康运行状态,而后再针对连接状态,使IP包完成更快的安全过滤,合理管控主机外出连接。倘若外出连接量突破要求标准,便会自动停止后续连接,预防主机受到恶意破坏攻击。 3科学设计系统VPN 电子政务系统之中采用信息安全技术手段的VPN可位于各个政府部门之中创建形成虚拟通道,令各个电子政务网络实现随意相互访问,就像是处在自身专属的网络系统之中。另外,还可令政务网络在连入外网之时,就好比在内网系统之中一样,可实现各类资源的全面共享。再者,可符合电子政务内网各类信息安全管控标准。创建VPN包含三类渠道,第一个方式即是创建因特网服务商,进而实现企业信息全面透明化。第二类渠道是为政府单位进行单独的划定建设,实现ISP透明化,再者可为政府单位以及服务商共同建设系统VPN。 4结语 总之,电子政务系统可靠安全性目前引发了政府机构乃至社会各界的较高重视,相关计算机行业专家应持续扩充信息安全技术应用,为电子政务开创稳定可靠的安全屏障,方能真正确保我国信息资源的整体安全,提升综合实力,进而实现可持续的全面发展。 作者:张瑞祥 王鹏宇 计算机信息安全技术论文 1.加密技术 加密技术主要是对计算机网络数据进行加密,来保证信息的可靠与安全。在信息安全技术中,对传输的数据进行加密,是计算机系统中一项非常关键的技术,是一种主动防御措施。在数据传输过程中,加密技术运用精密的加密算法,对传输的信息进行加工,使其转化为密文形式,防止不法分子的直接读取。加密技术有对称性和非对称性之分,使信息更具有安全性。 2.防火墙技术 在计算机的日常维护中,防火墙技术是比较常见的,也是用户经常使用的安全防护系统。在计算机网络系统中,它有特定的软件保护模块,充分发挥着安全部件的作用,对于计算机系统表现出来的异常状况,它会在第一时间启动警报系统,将异常信息及时反馈给用户,或者上传给网路监护人员,及时采取相对应的措施对计算机网络系统予以保护。防火墙技术,主要利用模糊数据库,来对外来者进行控制和访问,通过判断其所执行的网络行为,来分析其目的或意图,不需要进行大量的网络计算,及时拦截不正当的访问行为,直接提高了计算机网络系统的防控能力,在信息安全技术中,防火墙技术是最基础也是最有效的。 3.信息安全扫描技术 在保护计算机网络安全的措施中,信息安全扫描技术也是极其关键的。通过对全网系统给予有目的的安全扫描,对网络运行的状态,网路管理员可以及时准确地了解,一旦发现安全泄露问题,可以采取及时的补救措施。在计算机网络信息安全中,安全扫描技术应用的比较广泛,可以从防火墙系统、主机操作系统、Web服务站点、局域网等方面给予安全监控,对异常信息给予及时的检测,提高了系统安全性。 4.防止病毒入侵技术 在网络信息安全中,病毒入侵对计算机系统的破坏性是极强的,根据前面所讲述的,病毒具有很强的隐藏性,它会长期潜伏在我们的计算机系统中,一旦不小心将病毒激活了,那么导致的破坏性是非常强的。所以加强防止病毒入侵技术是非常有必要的,用户在使用计算机的过程中,在安装杀毒软件时,要选择正版的、专业的杀毒软件;对于陌生的邮件,用户要及时给予病毒查杀,有效防止病毒进入计算机系统。 5.结束语 综上所述,对于计算机网络信息安全的影响因素比较多,在对计算机的日常维护中要加倍小心,对于上述所提到的,几种比较新型的信息安全技术,用户要根据实际情况合理运用,努力创造一个安全、可靠的网络环境。 作者:陈跃辉 信息安全技术论文:电子商务信息安全技术论文 摘要:随着科学技术的发展和时代的日新月异,我们的生活在不知不觉中发生了翻天覆地的变化,就连最基本的购物和消费都在默默变化着。近年来,随着亚马逊、阿里巴巴等电子商务如火如荼地闯入大众的视野,“电子商务”这个在十几年前闻所未闻的名词如今成为人们口中常谈的对象。在大众的口中,“电子商务”这个名词依旧略显陌生和专业,人们常常用“网购”和“网上支付”来代替“电子商务”,实际上说的是一回事。电子商务的出现,打破了空间的束缚,极大地方便了人们的购物行为,刺激了消费,一定程度上促进了经济的繁荣和增长。 关键词:电子商务;信息安全技术 一、电子商务发展存在的风险 第三方的电子交易平台在网络上对于信息进行储存、记录、处理、和传递,以此来协助一次网络消费行为的完成。一般情况下,这些信息都具有真实性和保密性,属于大众的隐私。但是,现在的网络环境比较恶劣,有很多网络陷阱以及刻意挖掘用户信息的“黑客”,从而导致基本信息出现失真、泄露和删除的危机,不利于正常电子商务交易的完成。对于电子商务信息大致上可以分为以下几类:第一,信息的真实性;第二,信息的实时性;第三,信息的安全性。首先,是信息的真实性。电子商务上的基本信息是卖家和买家进行认识对方和分辨商品真实性可靠性的唯一途径,应该绝对真实。一旦出现虚假信息,则属于欺骗消费者,是危害消费者权益的不法行为。其次,是信息的实时性。信息的实时性主要是指信息的保质期。因为很多信息只在一段时间内有效,具有时效性,一旦错过这段关键时期,那么该信息则失去自身的价值,变得一文不值。最后,就是信息的安全性,这也是消费者最为关心的问题。电子商务出现的安全性问题主要表现为客户的信息被删除、篡改从而失真,同时也表现为用户的信息被窃取从而达成其他目的,使得用户的隐私被侵犯,正常的生活受到打扰。 二、电子商务的信息安全技术的内容 2.1 备份技术。相信备份技术对于大众来说不是很陌生。但是很多人却错误的将备份理解为拷贝,从而片面的看待这个问题。电子商务对于网络环境有很大的依赖性,网络环境自身却存在极大的不稳定性,这就导致电子商务的发展存在不可避免的风险,如果没有一个数据库对于基本信息进行存储,那么一旦出现系统故障或者误删的情况则信息永远消失,这对于商家来说是极其可怕的,因此,电子商务的第三方有一个信息储存库,旨在在必要的时刻段时间内将客户的信息及时恢复。这种恢复不是简单的、传统意义上的恢复,而是通过备份介质得以完成的。这样的话,在系统故障或者其他原因导致信息在短时间内无法正常恢复时,可以借助储存在备份介质中的信息将信息还原到原来的备份状态。2.2 认证技术。所谓认证技术其实一个专业术语,道理实际上很简单,就是我们常说的登录口令。认证技术的目的主要在于阻止不具有系统授权的用户进行非法的破坏计算机机密数据,是数据库系统为减少和避免各种破坏电子商务安全的重要策略。登陆口令是我们正常用户进行电子商务平台登录的方式,是大众在网络环境下的身份证。我们每一个用户在使用某一个电子商务平台之前都被要求进行注册,从而决定或者获得自己的登陆口令即用户名和密码。这些登录口令都是都是独一无二的,是我们进行网上交易的身份认证和识别。因为电子商务平台往往具有开放性,一旦没有身份认证后果将不堪设想。人们的信息安全更是没有任何保障。2.3 访问控制技术。访问控制技术也可以理解为访问等级制度,电子商务的系统会根据用户的不同等级对于用户对于系统数据的访问进行一定的控制。等级较低时,则用户的访问权限有限,一些重要的关键的信息则被系统禁止访问,只要当等级较高时才能获得相关权限,这就保证了一些重要信息不会被窃取。关于用户的访问权限也有两层含义,首先是用户能够获得数据库中的信息种类和数量,另一层含义则是指用户对于获取的数据库信息进行怎样的操作。 电子商务的便利性和优点远远大于其存在的信息安全技术风险给人们带来的不便,尽管信息安全技术问题层出不穷,但是大众们依然亲睐和依赖电子商务。但电子商务想要获得更广阔的发展空间,虏获更多人的心,则必须在信息安全技术问题上下一点功夫。其次,对于普通消费者来说,掌握一定的电子商务信息安全知识是十分必要的,它既能帮助我们在需要的时候解决自己原来束手无策的问题,更能让自身的网购行为变得更加安全,减少甚至避免了很多不必要麻烦的出现,因此,不管你从事任何行业,都需要对于电子商务的信息安全问题进行一定的了解。 作者:王传 单位:四川化工职业技术学院网管中心 信息安全技术论文:计算机信息安全技术防护论文 【摘要】随着我国社会主义现代化建设的不断发展,我国的计算机信息技术得到了前所未有的发展,并由此进入一个信息时代。计算机信息技术已经充分渗透于人们生活与工作的各个方面,在人们的生活中发挥着不可替代的作用,然而,伴随着计算机信息技术的发展,信息的安全防护也成为人们关注的焦点。本文将着重对计算机信息安全技术防护中存在的问题及其防护策略进行深入探讨。 【关键词】计算机;信息安全技术;防护;有效策略 信息时代的到来,使人们的生活方式与生产方式发生了一系列转变,已经成为人们日常生活中极为重要的组成部分,一方面使人们的生活更加丰富多样,另一方面也促进了社会效益的极大提升,体现了计算机信息技术的无限优越性。与此同时,在对计算机信息技术进行运用的过程中,也面临着信息安全的问题,这也是计算机信息系统亟待解决的一个问题。 1计算机信息安全概述 计算机信息安全主要指的是对计算机网络内部的各个环节的安全检测与防护,包括硬盘、各种数据资源等,保障相关的数据及信息不遭到人为更改或其他因素的破坏,使计算的网络信息系统能够正常运行。近年来,随着计算机网络的普及,信息安全也越来越受到人们的关注,计算机信息安全涉及的范围比较广,主要有计算机系统软件与硬件的安全、账号与密码的安全、服务器开机安全以及系统管理的账号使用等,另外,一些网页的访问记录、重要的文件等也属于计算机信息安全的范围,一旦出现计算机系统漏洞或被黑客攻破,将会存在信息安全隐患,甚至造成难以弥补的损失,因此,对计算机信息安全防护工作势在必行。 2计算机信息安全技术防护存在的问题 近年来,由于计算机信息安全问题造成的损失案例不在少数,这也引起了人们对计算机信息安全的关注。计算机信息安全防护与经济、科技水平有着一定的联系,经济水平比较发达的国家或地区,计算机信息安全防护相对更加成熟。我国的计算机网络起步比较晚,但发展较为迅速,目前,我国对计算机信息安全防护给予了高度的重视,计算机的信息安全防护工作得到了不断的完善与发展,然而,在实际应用中还存在着一些亟待解决的问题。首先,从整体来看,我国当前的计算机信息安全技术普遍偏低,存在一些安全隐患,尽管经历了不断的发展,计算机技术实现了重大的突破,然而很难对网络黑客进行有效的治理,这使人们对计算机技术的应用存在较大的安全隐患,同时也使相关的网络技术开发人员面临着巨大的挑战。另外,一些企业单位未能认识到计算机信息安全技术防护的重要性,缺乏必要的安全技术培训,一些计算机安全管理人员缺乏专业的技能与知识素养,这也在一定程度上使计算机的安全技术防护存在漏洞,使计算机信息安全管理存在一定的风险。 3计算机信息安全技术的防护 3.1加强对计算机病毒的安全防护 计算机与互联网有着密不可分的联系,互联网技术充分渗入人们生活与工作的各个方面,也正由于这种联系,一旦出现计算机病毒,那么整个计算机网络系统将会瘫痪,计算机病毒传播十分迅速,破坏性比较大,会造成不可估量的损失。因此,要采取科学的措施,将这些计算机病毒防护措施应用于计算机信息系统,保证计算机信息的安全性,目前,应用较为普遍的有360安全卫士、金山毒霸等,这些防护技术能够对病毒进行实时查杀,增强人们对计算机病毒的认识,合理操作计算机,降低病毒出现的几率。另外,要对计算机系统的防护能力进行加强,目前大部分计算机应用的是windows,针对计算机病毒问题进行了有效防护。计算机操作系统不同,所用的防毒软件以及功能也有所不同,要充分采用信息过滤技术、安全扫描技术以及访问控制技术等,有效抑制病毒的攻击,提升计算机病毒安全防护的能力。 3.2对计算机信息操作系统的防护 目前,计算机操作系统主要有windows、Unix/Linux以及苹果操作系统等,其中以windows操作系统最为普遍。对计算机信息操作系统的防护主要包括多个方面,首先,是对登陆权限的安全防护。通常计算机系统具有一定的安全性,能够有效控制外部对系统内的信息访问,因此,只有经过授权的用户才能够对计算机进行访问操作。其次,是计算机密码设置的安全防护,只有正确输入密码能够获得访问的权限,用户可定期更换密码,并且密码要尽量复杂化,一般来讲,密码越复杂,安全性就相对越高。软件的防火墙技术经过不断地升级与发展,不但能够对病毒来源与端口信息进行有效的分析,而且能够拦截、查杀各种病毒,对计算机信息进行实时的监控与防护。另外,当人们在对浏览器进行浏览与访问的过程中,很容易出现信息安全隐患,大部分病毒都是通过浏览器进行传播的,针对这个问题,windows系统对浏览器进行了安全级别设置,以此实现对浏览器病毒的拦截,消除其造成的威胁。除此之外,计算机还有设有专门的备份恢复还原机制,这些能够降低信息安全隐患带来的损失。在使用计算的过程中,尽量不要将外界的不明设备插入计算机,一旦发现有可疑的软件或邮件要进行及时的查杀、卸载,阻断其侵入计算机的路径,保障计算机信息系统安全。 3.3对软件系统的保护 在计算机的软件系统中,也会存在各种各样的安全隐患,因此,可在计算机上安装杀毒软件。一般情况下,杀毒软件负责维护一整个病毒库,它能够实现及时更新,对计算机软件中出现的最新病毒进行扫描、查杀。而目前又出现了一种新型的流氓软件,这类软件与一般的病毒、木马等有所不同,在强大的商业支持下,更新换代速度快,它主要是指一些商家为了实现商业经济利益,在未经过用户允许的情况下,强行进行安装,并且难以对其删除,不仅会弹出大量的广告信息,而且会更改用户的浏览器默认主页,影响计算机性能的发挥,造成死机、重启等现象的发生。对于这类软件,杀毒软件并不能够对其进行查杀,因此,可以应用反流氓软件工具,避免遭到流氓软件的侵害。 4结束语 当前,计算机信息技术已经成为人们生活中不可替代的重要组成部分,影响着人们的生活方式与生产方式,使人们的生活得到了极大的便利。另一方面,计算机的使用也存在着一定的安全隐患,因此,作为网络中的一员,必须加强对计算机信息安全技术防护的认识,提升计算机信息安全防护意识,有效避免病毒的侵害,安全、科学上网,使计算机信息技术发挥出更大的优越性。 作者:胡凯伦 单位:武汉市洪山高级中学 信息安全技术论文:电子商务信息安全技术特点研析论文 关键词:电子商务密码技术安全协议 摘要:文章主要针对在电子商务应用中所经常使用到的几种信息安全技术作了系统的阐述,分析了各种技术在应用中的侧重点,强调了在电子商务应用中信息安全技术所具有的重要作用。 21世纪是知识经济时代,网络化、信息化是现代社会的一个重要特征。随着网络的不断普及,电子商务这种商务活动新模式已经逐渐改变了人们的经济、工作和生活方式,可是,电子商务的安全问题依然是制约人们进行电子商务交易的最大问题,因此,安全问题是电子商务的优秀问题,是实现和保证电子商务顺利进行的关键所在。 信息安全技术在电子商务应用中,最主要的是防止信息的完整性、保密性与可用性遭到破坏;主要使用到的有密码技术、信息认证和访问控制技术、防火墙技术等。 一、密码技术 密码是信息安全的基础,现代密码学不仅用于解决信息的保密性,而且也用于解决信息的保密性、完整性和不可抵赖性等,密码技术是保护信息传输的最有效的手段。密码技术分类有多种标准,若以密钥为分类标准,可将密码系统分为对称密码体制(私钥密码体制)和非对称密码体制(公钥密码体制),他们的区别在于密钥的类型不同。 在对称密码体制下,加密密钥与解密密钥是相同的密钥在传输过程中需经过安全的密钥通道,由发送方传输到接收方。比较著名的对称密钥系统有美国的DES,欧洲的IDEA,Et本的RC4,RC5等。在非对称密码体制下加密密钥与解密密钥不同,加密密钥公开而解密密钥保密,并且几乎不可能由加密密钥导出解密密钥,也无须安全信道传输密钥,只需利用本地密钥的发生器产生解密密钥。比较著名的公钥密钥系统有RSA密码系统、椭圆曲线密码系统ECC等。 数字签名是一项专门的技术,也是实现电子交易安全的优秀技术之一,在实现身份认证、数据完整性、不可抵赖性等方面有重要的作用。尤其在电子银行、电子证券、电子商务等领域有重要的应用价值。数字签名的实现基础是加密技术,它使用的是公钥加密算法与散列函数一个数字签名的方案一般有两部分组成:数字签名算法和验证算法。数字签名主要的功能是保证信息传输的完整性、发送者身份的验证、防止交易中抵赖的发生。 二、信息认证和访问控制技术 信息认证技术是网络信息安全技术的一个重要方面,用于保证通信双方的不可抵赖性和信息的完整性。在网络银行、电子商务应用中,交易双方应当能够确认是对方发送或接收了这些信息,同时接收方还能确认接收的信息是完整的,即在通信过程中没有被修改或替换。 ①基于私钥密码体制的认证。假设通信双方为A和B。A,B共享的密钥为KAB,M为A发送给B的信息。为防止信息M在传输信道被窃听,A将M加密后再传送。 由于KAB为用户A和B的共享密钥,所以用户B可以确定信息M是由用户A所发出的,这种方法可以对信息来源进行认证,它在认证的同时对信息M也进行了加密,但是缺点是不能提供信息完整性的鉴别。通过引入单向HASH函数,可以解决信息完整性的鉴别问题,如图2所示 用户A首先对信息M求HASH值H(M),之后将H(M)加密成为m,然后将m。和M一起发送给B,用户B通过解密ml并对附于信息M之后的HASH值进行比较,比较两者是否一致。图2给出的信息认证方案可以实现信息来源和完整性的认证。基于私钥的信息认证的机制的优点是速度较快,缺点是通信双方A和B需要事先约定共享密钥KAB。 ②基于公钥体制的信息认证。基于公钥体制的信息认证技术主要利用数字签名和哈希函数来实现。假设用户A对信息M的HASH值H(M)的签名为SA(dA,H(m),其中dA为用户A的私钥),用户A将M//SA发送给用户B,用户B通过A的公钥在确认信息是否由A发出,并通过计算HSAH值来对信息M进行完整性鉴别。如果传输的信息需要报名,则用户A和B可通过密钥分配中心获得一个共享密钥KAB,A将信息签名和加密后再传送给B,如图3所示。由图3可知,只有用户A和B拥有共享密钥KAB,B才能确信信息来源的可靠性和完整性。 访问控制是通过一个参考监视器来进行的,当用户对系统内目标进行访问时,参考监视器边查看授权数据库,以确定准备进行操作的用户是否确实得到了可进行此项操作的许可。而数据库的授权则是一个安全管理器负责管理和维护的,管理器以阻止的安全策略为基准来设置这些授权。 ③防火墙技术。防火墙是目前用得最广泛的一种安全技术,是一种由计算机硬件和软件的组合。它使互联网与内部网之间建立起一个安全网关,可以过滤进出网络的数据包、管理进出网络的访问行为、对某些禁止的访问行为、记录通过防火墙的信息内容和活动及对网络攻击进行检测和告警等。防火墙的应用可以有效的减少黑客的入侵及攻击,它限制外部对系统资源的非授权访问,也限制内部对外部的非授权访问,同时还限制内部系统之间,特别是安全级别低的系统对安全级别高的系统的非授权访问,为电子商务的施展提供一个相对更安全的平台,具体表现如下: ①防火墙可以强化网络安全策略。通过以防火墙为中心的安全方案配置,能将所有安全软件配置在防火墙上。与将网络安全问题分散到各个主机上相比,防火墙的集中安全管理更经济。例如在网络访问时,一次一密口令系统和其它的身份认证系统完全可以不必分散在各个主机上,而集中在防火墙身上。 ②对网络存取和访问进行监控审计。如果所有的访问都经过防火墙,那么,防火墙就能记录下这些访问并作日志记录,同时也能提供网络使用情况的统计数据。当发生可疑动作时,防火墙能进行适当的报警,并提供网络是否受到监测和攻击的详细信息。另外,收集一个网络的使用和误用情况也是非常重要的。首先的理由是可以清楚防火墙是否能够抵挡攻击者的探测和攻击,并且清楚防火墙的控制是否充足。而网络使用统计对网络需求分析和威胁分析等而言也是非常重要的。 ③防止内部信息的外泄。通过利用防火墙对内部网络的划分,可实现内部网重点网段的隔离,从而限制了局部重点或敏感网络安全问题对全局网络造成的影响。再者,隐私是内部网络非常关心的问题,一个内部网络中不引人注意的细节可能包含了有关安全的线索而引起外部攻击者的兴趣,甚至因此而暴露了内部网络的某些安全漏洞。使用防火墙就可以隐蔽那些透漏内部细节如Finger,DNS等服务。Finger显示了主机的所有用户的注册名、真名,最后登录时间和使用shell类型等。但是Finger显示的信息非常容易被攻击者所获悉。攻击者可以知道一个系统使用的频繁程度,这个系统是否有用户正在连线上网,这个系统是否在被攻击时引起注意等等。防火墙可以同样阻塞有关内部网络中的DNS信息,这样台主机的域名和IP地址就不会被外界所了解。 ④网络安全协议。网络协议是网络上所有设备之间通信规则的集合。在网络的各层中存在着许多协议,网络安全协议就是在协议中采用了加密技术、认证技术等保证信息安全交换的安全网络协议。 目前,Intemet上对七层网络模型的每一层都已提出了相应的加密协议,在所有的这些协议中,会话层的SSL和应用层的SET与电子商务的应用关系最为密切: ①ssL协议(SecureSocketsLayer)安全套接层协议。SSL使用对称加密来保证通信保密性,使用消息认证码(MAC)来保证数据完整性。SSL主要使用PKI在建立连接时对通信双方进行身份认证。SSL协议主要是使用公开密钥体制和X.509数字证书技术保护信息传输的机密性和完整性。它主要适用于点对点之间的信息传输,提供基于客户/服务器模式的安全标准,它在传输层和应用层之间嵌入一个子层,在建立连接过程中采用公开密钥,在会话过程中使用私人密钥。加密的类型和强度则在两端之间建立连接的过程中判断决定。SSL安全协议是国际上最早应用于电子商务的一种网络安全协议,至今仍然有很多网上商店使用。在传统的邮购活动中,客户首先寻找商品信息,然后汇款给商家,商家将商品寄给客户。这里,商家是可以信赖的,所以客户先付款给商家。在电子商务的开始阶段,商家也是担心客户购买后不付款,或使用过期的信用卡,因而希望银行给予认证。SSL安全协议正是在这种背景下产生的。所以,它运行的基点是商家对客户信息保密的承诺。显然,SSL协议无法完全协调各方间的安全传输和信任关系。 ②SET协议SecureElectronicTransaction)安全电子交易。为了克服SSL安全协议的缺点,实现更加完善的即时电子支付,SET协议应运而生。SET协议采用了双重签名技术对SET交易过程中消费者的支付信息和订单信息分别签名,使得商家看不到支付信息,只能接收用户的订单信息;而金融机构看不到交易内容,只能接收到用户支付信息和账户信息,从而充分保证了消费者帐户和定购信息的安全性。SET协议的重点就是确保商家和客户的身份认证和交易行为的不可否认性,其理论基础就是不可否认机制,采用的优秀技术包括X.509电子证书标准,数字签名,报文摘要,双重签名等技术。SET协议使用数字证书对交易各方的合法性进行验证,通过数字证书的验证,可以确保交易中的商家和客户都是合法的、可信赖的。 信息安全技术在电子商务中的应用非常广泛,并且起到了尤其重要的作用。 信息安全技术论文:税收信息化建设中信息安全技术论文 摘要:税收管理信息化是加强税收征管、实现依法治税的重要措施,也是降低税收成本和提高征管效率的技术保障。随着我国税收信息化的快速发展,税收信息化建设中的信息安全问题日益凸显,它已成为制约我国税收现代化的瓶颈。随着“科技兴税”和税收征管改革的全面实施,税收信息化有了长足的发展,税收信息化建设中的信息安全问题越来越重要。 关键词:税收信息化;信息状态安全;信息转移安全;信息安全技术 从三个方面来考虑:首先是信息状态安全,即税务系统安全,要防止税务系统中心的数据被攻击者破坏。税务系统要通过Internet对纳税人提供纳税便利,必须以一定的方式将它的数据中心开放,这对税务系统本身带来了很大的风险。其次是信息转移安全,即服务安全,如纳税人识别号、口令、纳税金额等在传输中不被冒用、泄露和篡改。再次是安全管理制度,即使用安全,保证税务人员正确、安全的使用。本文主要针对以上前两个方面也就是信息安全技术进行研究。 一、信息状态安全技术 信息状态安全主要包括系统主机服务器安全、操作系统安全和数据库安全三个方面。 (一)系统主机服务器安全(ServerSecurity) 服务器是存储数据、处理请求的优秀,因此服务器的安全性尤为重要。服务器的安全性主要涉及到服务器硬件设备自身的安全性防护,对非法接触服务器配件具有一定的保护措施,比如加锁或密码开关设置等;同时,服务器需要支持大数据量及多线程存储矩阵以满足大数据量访问的实时性和稳定性,不会因为大量的访问导致服务器崩溃;服务器要能够支持基于硬件的磁盘阵列功能,支持磁盘及磁带的系统、数据备份功能,使得安装在服务器上的操作系统和数据库能够在灾难后得到备份恢复,保证服务器的不间断运行;服务器设备配件的高质量及运行可靠性也是服务器安全的非常重要的一个方面,这直接关系到服务器不间断运行的时间和网络数据访问的效率。 (二)操作系统安全(OperatingSystemSecurity) 设置操作系统就像为构筑安全防范体系打好“地基”。 1.自主访问控制(DiscretionaryAccessControl,DAC)。自主访问控制是基于对主体(Subject)或主体所属的主体组的识别来限制对客体(Object)的访问。为实现完备的自主访问控制,由访问控制矩阵提供的信息必须以某种形式保存在税务操作系统中。访问控制矩阵中的每行表示一个主体,每列表示一个受保护的客体,矩阵中的元素表示主体可对客体的访问模式。以基于行的自主访问控制方法为例。它是在每个主体上都附加一个该主体可访问的客体的明细表,根据表中信息的不同可分为三种形式:(1)权力表(CapabilitiesList),它决定是否可对客体进行访问以及可进行何种模式的访问。(2)前缀表(PrefixList),它包括受保护客体名以及主体对客体的访问权。(3)口令(Password),主体对客体进行访问前,必须向税务操作系统提供该客体的口令。对于口令的使用,建议实行相互制约式的双人共管系统口令。 2.强制访问控制(MandatoryAccessControl,MAC)。鉴于自主访问控制不能有效的抵抗计算机病毒的攻击,这就需要利用强制访问控制来采取更强有力的访问控制手段。在强制访问控制中,税务系统对主体和客体都分配一个特殊的一般不能更改的安全属性,系统通过比较主体与客体的安全属性来决定一个主体是否能够访问某个客体。税务系统一般可采取两种强制措施:(1)限制访问控制的灵活性。用户修改访问控制信息的唯一途径是请求一个特权系统的功能调用,该功能依据用户终端输入的信息而不是靠另一个程序提供的信息来修改访问控制信息。在确信用户自己不会泄露文件的前提下,用这种方法可以消除偷改访问控制信息的计算机病毒的威胁。(2)限制编程。鉴于税务系统仅需要进行事务处理,不需要任何编程的能力,可将用于应用开发的计算机系统分离出去,完全消除用户的编程能力。 3.安全核技术(SecurityKernelTechnology)。安全核是构造高度安全的操作系统最常用的技术。该技术的理论基础是:将与安全有关的软件隔离在操作系统的一个可信核内,而操作系统的大部分软件无须负责系统安全。税务系统安全核技术要满足三个原则:(1)完备性(Completeness),要求使主体必须通过引进监控器才能对客体进行访问操作,并使硬件支持基于安全核的系统。(2)隔离性(Isolation),要求将安全核与外部系统很好的隔离起来,以防止进程对安全核的非法修改。(3)可验证性(Verifiability),要求无论采用什么方法构造安全核,都必须保证对它的正确性可以进行某种验证。 其他常见措施还有:信息加密、数字签名、审计等,这些技术方法在数据库安全等方面也可广泛应用,我们将在下面介绍。 (三)数据库安全(DatabaseSecurity) 数据库是信息化及很多应用系统的优秀,其安全在整个信息系统中是最为关键的一环,所有的安全措施都是为了最终的数据库上的数据的安全性。另外,根据税务网络信息系统中各种不同应用系统对各种机密、非机密信息访问权限的要求,数据库需要提供安全性控制的层次结构和有效的安全性控制策略。 数据库的安全性主要是依靠分层解决的,它的安全措施也是一级一级层层设置的,真正做到了层层设防。第一层应该是注册和用户许可,保护对服务器的基本存取;第二层是存取控制,对不同用户设定不同的权限,使数据库得到最大限度的保护;第三层是增加限制数据存取的视图和存储过程,在数据库与用户之间建立一道屏障。基于上述数据库层次结构的安全体系,税务网络信息系统需要设置对机密和非机密数据的访问控制:(1)验证(Authentication),保证只有授权的合法用户才能注册和访问;(2)授权(Authorization),对不同的用户访问数据库授予不同的权限;(3)审计(Auditing),对涉及数据库安全的操作做一个完整的记录,以备有违反数据库安全规则的事件发生后能够有效追查,再结合以报警(Alert)功能,将达到更好的效果。还可以使用数据库本身提供的视图和存储过程对数据库中的其他对象进行权限设定,这样用户只能取得对视图和存储过程的授权,而无法访问底层表。视图可以限制底层表的可见列,从而限制用户能查询的数据列的种类。二、信息转移安全技术 信息转移安全即网络安全。为了达到保证网络系统安全性的目的,安全系统应具有身份认证(IdentificationandAuthentication);访问控制(AccessControl);可记账性(Accountability);对象重用(ObjectReuse);精确性(Accuracy);服务可用性(AvailabilityofServices)等功能。 1.防火墙技术(FirewallTechnology) 为保证信息安全,防止税务系统数据受到破坏,常用防火墙来阻挡外界对税务局数据中心的非法入侵。所谓防火墙,是一类防范措施的总称,是指在受保护的企业内联网与对公众开放的网络(如Internet)之间设立一道屏障,对所有要进入内联网的信息进行分析或对访问用户进行认证,防止有害信息和来自外部的非法入侵进入受保护网,并且阻止内联网本身某个节点上发生的非法操作以及有害数据向外部扩散,从而保护内部系统的安全。防火墙的实质是实施过滤技术的软件防范措施。防火墙可以分为不同类型,最常见的有基于路由器的IP层防火墙和基于主机的应用层防火墙。两种防火墙各有千秋,IP层防火墙对用户透明性好,应用层防火墙具有更大的灵活性和安全性。实践中只要有资金许可,常常将两种防火墙结合使用,以互相补充,确保网络的安全。另外,还有专门用于过滤病毒的病毒防火墙,随时为用户查杀病毒,保护系统。 2.信息加密技术(InformationEncryptionTechnology) 信息加密包括密码设计、密码分析、密钥管理、验证等内容。利用加密技术可以把某些重要信息或数据从明文形式转换成密文形式,经过线路传送,到达目的端用户再把密文还原成明文。对数据进行加密是防止信息泄露的有效手段。适当的增加密钥的长度和更先进的密钥算法,可以使破译的难度大大增加。具体有两种加密方式:(1)私钥加密体制(Secret-keyCryptography),即加密与解密时使用相同的密码。私钥加密体制包括分组密码和序列密码两种。分组密码把明文符号按固定大小进行分组,然后逐组加密。而序列密码把明文符号立即转换为密文符号,运算速度更快,安全性更高。(2)公钥加密体制(Public-keyCryptography),其加密密钥与解密密钥分为两个不同的密钥,一个用于对信息的加密,另一个用于对已加密信息的解密。这两个密钥是一对互相依赖的密钥。 在传输过程中,只有税务系统和认证中心(AuthenticationCenter,AC)才有税务系统的公开密钥,只有纳税人和认证中心才有纳税人的公开密钥,在这种情况下,即使其他人得到了经过加密后双方的私有密钥,也因为无法进行解密而保证了私有密钥的重要性,从而保证了传输文件的安全性。 3.信息认证技术(InformationAuthenticationTechnology) 数字签名技术(DigitalSignatureTechnology)。数字签名可以证实信息发送者的身份以及信息的真实性,它具备不可伪造性、真实性、不可更改性和不可重复性四大特征。数字签名是通过密码算法对数据进行加密、解密交换实现的,其主要方式是:信息发送方首先通过运行散列函数,生成一个欲发送报文的信息摘要,然后用所持有的私钥对这个信息的摘要进行加密以形成发送方的数字签名,这个数字签名将作为报文的附件和报文一起发送给报文的接收方。接收方在接收到信息后,首先运行和发送方相同的散列函数生成接收报文的信息摘要,然后再用发送方的公开密钥对报文所附的数字签名进行解密,产生原始报文的信息摘要,通过比较两个信息摘要是否相同就可以确认发送方和报文的正确性。 完整性认证(IntegrityAuthentication)。完整性认证能够使既定的接收者检验接收到的信息是否真实。常用的方法是:信息发送者在信息中加入一个认证码,经加密后发送给接收者检验,接收者利用约定的算法对解密后的信息进行运算,将得到的认证码与收到的认证码进行比较,若两者相等,则接收,否则拒绝接收。 4.防病毒技术(Anti-virusTechnology) 病毒防范是计算机安全中最常见也是最容易被忽视的一环。我们建议采用由单机防毒和网络防毒同时使用的这种防病毒措施,来最大限度地加强网络端到端的防病毒架构,再加上防病毒制度与措施,就构成了一套完整的防病毒体系。 信息安全技术论文:信息安全技术研究论文 摘要:税收管理信息化是加强税收征管、实现依法治税的重要措施,也是降低税收成本和提高征管效率的技术保障。随着我国税收信息化的快速发展,税收信息化建设中的信息安全问题日益凸显,它已成为制约我国税收现代化的瓶颈。随着“科技兴税”和税收征管改革的全面实施,税收信息化有了长足的发展,税收信息化建设中的信息安全问题越来越重要。 关键词:税收信息化;信息状态安全;信息转移安全;信息安全技术 从三个方面来考虑:首先是信息状态安全,即税务系统安全,要防止税务系统中心的数据被攻击者破坏。税务系统要通过Internet对纳税人提供纳税便利,必须以一定的方式将它的数据中心开放,这对税务系统本身带来了很大的风险。其次是信息转移安全,即服务安全,如纳税人识别号、口令、纳税金额等在传输中不被冒用、泄露和篡改。再次是安全管理制度,即使用安全,保证税务人员正确、安全的使用。本文主要针对以上前两个方面也就是信息安全技术进行研究。 一、信息状态安全技术 信息状态安全主要包括系统主机服务器安全、操作系统安全和数据库安全三个方面。 (一)系统主机服务器安全(ServerSecurity) 服务器是存储数据、处理请求的优秀,因此服务器的安全性尤为重要。服务器的安全性主要涉及到服务器硬件设备自身的安全性防护,对非法接触服务器配件具有一定的保护措施,比如加锁或密码开关设置等;同时,服务器需要支持大数据量及多线程存储矩阵以满足大数据量访问的实时性和稳定性,不会因为大量的访问导致服务器崩溃;服务器要能够支持基于硬件的磁盘阵列功能,支持磁盘及磁带的系统、数据备份功能,使得安装在服务器上的操作系统和数据库能够在灾难后得到备份恢复,保证服务器的不间断运行;服务器设备配件的高质量及运行可靠性也是服务器安全的非常重要的一个方面,这直接关系到服务器不间断运行的时间和网络数据访问的效率。 (二)操作系统安全(OperatingSystemSecurity) 设置操作系统就像为构筑安全防范体系打好“地基”。 1.自主访问控制(DiscretionaryAccessControl,DAC)。自主访问控制是基于对主体(Subject)或主体所属的主体组的识别来限制对客体(Object)的访问。为实现完备的自主访问控制,由访问控制矩阵提供的信息必须以某种形式保存在税务操作系统中。访问控制矩阵中的每行表示一个主体,每列表示一个受保护的客体,矩阵中的元素表示主体可对客体的访问模式。以基于行的自主访问控制方法为例。它是在每个主体上都附加一个该主体可访问的客体的明细表,根据表中信息的不同可分为三种形式:(1)权力表(CapabilitiesList),它决定是否可对客体进行访问以及可进行何种模式的访问。(2)前缀表(PrefixList),它包括受保护客体名以及主体对客体的访问权。(3)口令(Password),主体对客体进行访问前,必须向税务操作系统提供该客体的口令。对于口令的使用,建议实行相互制约式的双人共管系统口令。 2.强制访问控制(MandatoryAccessControl,MAC)。鉴于自主访问控制不能有效的抵抗计算机病毒的攻击,这就需要利用强制访问控制来采取更强有力的访问控制手段。在强制访问控制中,税务系统对主体和客体都分配一个特殊的一般不能更改的安全属性,系统通过比较主体与客体的安全属性来决定一个主体是否能够访问某个客体。税务系统一般可采取两种强制措施:(1)限制访问控制的灵活性。用户修改访问控制信息的唯一途径是请求一个特权系统的功能调用,该功能依据用户终端输入的信息而不是靠另一个程序提供的信息来修改访问控制信息。在确信用户自己不会泄露文件的前提下,用这种方法可以消除偷改访问控制信息的计算机病毒的威胁。(2)限制编程。鉴于税务系统仅需要进行事务处理,不需要任何编程的能力,可将用于应用开发的计算机系统分离出去,完全消除用户的编程能力。 3.安全核技术(SecurityKernelTechnology)。安全核是构造高度安全的操作系统最常用的技术。该技术的理论基础是:将与安全有关的软件隔离在操作系统的一个可信核内,而操作系统的大部分软件无须负责系统安全。税务系统安全核技术要满足三个原则:(1)完备性(Completeness),要求使主体必须通过引进监控器才能对客体进行访问操作,并使硬件支持基于安全核的系统。(2)隔离性(Isolation),要求将安全核与外部系统很好的隔离起来,以防止进程对安全核的非法修改。(3)可验证性(Verifiability),要求无论采用什么方法构造安全核,都必须保证对它的正确性可以进行某种验证。 其他常见措施还有:信息加密、数字签名、审计等,这些技术方法在数据库安全等方面也可广泛应用,我们将在下面介绍。 (三)数据库安全(DatabaseSecurity) 数据库是信息化及很多应用系统的优秀,其安全在整个信息系统中是最为关键的一环,所有的安全措施都是为了最终的数据库上的数据的安全性。另外,根据税务网络信息系统中各种不同应用系统对各种机密、非机密信息访问权限的要求,数据库需要提供安全性控制的层次结构和有效的安全性控制策略。 数据库的安全性主要是依靠分层解决的,它的安全措施也是一级一级层层设置的,真正做到了层层设防。第一层应该是注册和用户许可,保护对服务器的基本存取;第二层是存取控制,对不同用户设定不同的权限,使数据库得到最大限度的保护;第三层是增加限制数据存取的视图和存储过程,在数据库与用户之间建立一道屏障。基于上述数据库层次结构的安全体系,税务网络信息系统需要设置对机密和非机密数据的访问控制:(1)验证(Authentication),保证只有授权的合法用户才能注册和访问;(2)授权(Authorization),对不同的用户访问数据库授予不同的权限;(3)审计(Auditing),对涉及数据库安全的操作做一个完整的记录,以备有违反数据库安全规则的事件发生后能够有效追查,再结合以报警(Alert)功能,将达到更好的效果。还可以使用数据库本身提供的视图和存储过程对数据库中的其他对象进行权限设定,这样用户只能取得对视图和存储过程的授权,而无法访问底层表。视图可以限制底层表的可见列,从而限制用户能查询的数据列的种类。 二、信息转移安全技术 信息转移安全即网络安全。为了达到保证网络系统安全性的目的,安全系统应具有身份认证(IdentificationandAuthentication);访问控制(AccessControl);可记账性(Accountability);对象重用(ObjectReuse);精确性(Accuracy);服务可用性(AvailabilityofServices)等功能。 1.防火墙技术(FirewallTechnology) 为保证信息安全,防止税务系统数据受到破坏,常用防火墙来阻挡外界对税务局数据中心的非法入侵。所谓防火墙,是一类防范措施的总称,是指在受保护的企业内联网与对公众开放的网络(如Internet)之间设立一道屏障,对所有要进入内联网的信息进行分析或对访问用户进行认证,防止有害信息和来自外部的非法入侵进入受保护网,并且阻止内联网本身某个节点上发生的非法操作以及有害数据向外部扩散,从而保护内部系统的安全。防火墙的实质是实施过滤技术的软件防范措施。防火墙可以分为不同类型,最常见的有基于路由器的IP层防火墙和基于主机的应用层防火墙。两种防火墙各有千秋,IP层防火墙对用户透明性好,应用层防火墙具有更大的灵活性和安全性。实践中只要有资金许可,常常将两种防火墙结合使用,以互相补充,确保网络的安全。另外,还有专门用于过滤病毒的病毒防火墙,随时为用户查杀病毒,保护系统。 2.信息加密技术(InformationEncryptionTechnology) 信息加密包括密码设计、密码分析、密钥管理、验证等内容。利用加密技术可以把某些重要信息或数据从明文形式转换成密文形式,经过线路传送,到达目的端用户再把密文还原成明文。对数据进行加密是防止信息泄露的有效手段。适当的增加密钥的长度和更先进的密钥算法,可以使破译的难度大大增加。具体有两种加密方式:(1)私钥加密体制(Secret-keyCryptography),即加密与解密时使用相同的密码。私钥加密体制包括分组密码和序列密码两种。分组密码把明文符号按固定大小进行分组,然后逐组加密。而序列密码把明文符号立即转换为密文符号,运算速度更快,安全性更高。(2)公钥加密体制(Public-keyCryptography),其加密密钥与解密密钥分为两个不同的密钥,一个用于对信息的加密,另一个用于对已加密信息的解密。这两个密钥是一对互相依赖的密钥。 在传输过程中,只有税务系统和认证中心(AuthenticationCenter,AC)才有税务系统的公开密钥,只有纳税人和认证中心才有纳税人的公开密钥,在这种情况下,即使其他人得到了经过加密后双方的私有密钥,也因为无法进行解密而保证了私有密钥的重要性,从而保证了传输文件的安全性。 3.信息认证技术(InformationAuthenticationTechnology) 数字签名技术(DigitalSignatureTechnology)。数字签名可以证实信息发送者的身份以及信息的真实性,它具备不可伪造性、真实性、不可更改性和不可重复性四大特征。数字签名是通过密码算法对数据进行加密、解密交换实现的,其主要方式是:信息发送方首先通过运行散列函数,生成一个欲发送报文的信息摘要,然后用所持有的私钥对这个信息的摘要进行加密以形成发送方的数字签名,这个数字签名将作为报文的附件和报文一起发送给报文的接收方。接收方在接收到信息后,首先运行和发送方相同的散列函数生成接收报文的信息摘要,然后再用发送方的公开密钥对报文所附的数字签名进行解密,产生原始报文的信息摘要,通过比较两个信息摘要是否相同就可以确认发送方和报文的正确性。 完整性认证(IntegrityAuthentication)。完整性认证能够使既定的接收者检验接收到的信息是否真实。常用的方法是:信息发送者在信息中加入一个认证码,经加密后发送给接收者检验,接收者利用约定的算法对解密后的信息进行运算,将得到的认证码与收到的认证码进行比较,若两者相等,则接收,否则拒绝接收。 4.防病毒技术(Anti-virusTechnology) 病毒防范是计算机安全中最常见也是最容易被忽视的一环。我们建议采用由单机防毒和网络防毒同时使用的这种防病毒措施,来最大限度地加强网络端到端的防病毒架构,再加上防病毒制度与措施,就构成了一套完整的防病毒体系。 信息安全技术论文:网络信息安全技术优化和防范 当今社会在计算机网络技术广泛应用于人们的日常与工作中的同时,信息安全问题也越发突显化,人们对于信息保护的重视度正在逐渐增强,如果始终无法采取科学有效的防范措施对网络信息实行全面保障,那么则会带来极为严重的后果。由此可见,加强对网络信息的安全技术优化及科学防范措施相关问题的分析探究,具有极为重要的意义。 1网络信息安全技术优化措施 1.1防病毒入侵技术首先需做的是,加强对网络信息存取的控制度,以此帮助避免违法用户在进入网络系统之后,采用篡改口令的方式来实现身份认证。与此同时,还需注意针对用户类型的不同,对其设置相应的信息存取权限,以免出现越权问题。其次,需注意采用一套安全可靠的杀毒和防木马软件,以此实现对网络病毒和木马的全面清除,且还可对网络用户的具体操作进行监控,从而全面确保网络进行安全。最后需做的是,针对局域网入口,需进一步加强监控,因为网络病毒进入计算机系统的主要渠道为局域网。所以需尽可能地采用云终端,尽量减少超级用户设置,对系统中的重要程序采用只读设置,以此帮助全面避免病毒入侵。 1.2信息加密技术此项技术主要是指对网络中的传输信息做加密处理,在达到防范目的之后,再对其做解密处理,将其还原为原始信息的一种信息安全技术。在此项技术应用中,可全面确保传输文件、信息、口令及数据的安全可靠。此项技术主要的加密方式有:节点加密、链路加密及端点加密。其中节点加密主要的保障安全对象为:源节点至目的节点信息。而端点加密主要的保障安全对象为:源端用户至目的端的信息。链路加密主要的保障安全对象为:网络各节点间的链路信息。整个信息加密技术的设计优秀主要为加密算法,可被分为对称及非对称的密钥加密法。 1.3防火墙技术在用户正式连接至Internet网络中后,防火墙技术内部会出现一个安全保护屏障,对网络用户的所处环境安全性进行检测及提升,对来源不详的信息做过滤筛选处理,以此帮助更好地减小网络运行风险。只有一些符合防火墙策略的网络信息方可通过防火墙检验,以此确保用户连接网络时,整个网络环境的安全性。将防火墙作为重点安全配置,还可对整个网络系统之内的安全软件做身份验证、审查核对处理。整体而言,防火墙技术的应用可以说是计算机系统自带的有效防护屏障。 1.4访问控制技术此项技术的应用可对信息系统资源实行全面保护,其主要组成部分为:主体、客体及授权访问。其中主体是指主动实体,可对客体实行访问,可为用户、终端、主机等。而客体即为一个被动实体,客体会受到一定程度上的限制,客体可为字段、记录、程序、文件等。授权访问则是指:主体访问客体的允许。无论是对主体还是客体而言,授权访问均为给定。访问控制技术主要分为三种,自主访问、强制访问、基于角色访问。 1.5报文鉴别在面对被动信息安全攻击时,可采用前文所述的加密技术。而对于主动信息安全攻击,则需要运用报文鉴别技术。此技术的应用主要是为了对信息数据传输中的截获篡改问题予以妥善解决,科学判定报文完整性。报文鉴别技术的应用全程是:报文发送方在发送报文信息之间,对其做哈希函数计算处理,进而得到一个定长报文摘要,对此摘要做加密处理,并放置于报文尾端,将其与报文一同发送。而接收方在接收到报文之后,对加密摘要做解密处理,并对报文运用哈希函数做运算处理,将所得到的摘要与接收到的解密摘要进行对比。如果两者信息一致,那么则表明,在报文信息传输中,未受到篡改,反之亦然。 2网络信息安全防范措施 2.1增强管理人员网络用户安全意识网络信息管理人员在日常工作中需注意加强自身的责任与安全意识,积极构建起一个完善化的安全管理体系,对网络操作做严格规范处理,加强安全建设,全面确保网络安全运行。与此同时,网络用户还需注意加强安全意识,依照网络设置权限,运用正确口令,避免违法入侵者窃取用户的账号、密码信息,进一步加强网络信息安全设置。 2.2加强网络监控评估,建立专业管理团队对于计算机网络的安全管理,首先需做的便是采用先进化的网络安全技术,另外需做的便是积极建立起专业化的网络管理、评估人员。专业网络信息管理团队的建立,可帮助有效防范黑客攻击,监控网络运行全程,评估是否存在非法攻击行为,对网络运行机制做科学健全完善化处理,全面提升网络安全稳定性。 2.3安全检查网络设备网络管理人员,需注意在日常工作中对各网络设备做全面安全检查,积极运用多种新兴现代化的软件工具对计算机网络端口实行检查,查看是否存在异常状况。一旦发现存在任何问题,便需对网络实行扫描杀毒处理。情况严重时,还需对网络端口做隔离处理。只有逐渐提升网络设备的安全可靠性,才可有效避免计算机网络受到外在攻击,保障用户安全。 2.4积极更新软件对计算机软件做积极更新处理,可帮助全面保障计算机不会受到来自外界网络的恶意侵袭,信息安全得以受到保护。另外,对计算机软件做更新处理,则可帮助保障软件抵抗病毒能力能够与病毒的日益变化相互适应。与此同时,还需注意的是,需对整个网络操作系统做实时的更新处理,从而促使计算机软件始终处于一个最新的操作系统之中,为网络信息安全提供全面保障。 3结语 在网络信息技术发展之中,加强对网络安全问题的关注,才可帮助实现对网络信息的全面安全防范,更好地保障个体、集体的信息资源,促使网络信息社会得以健康发展。所以,在今后的网络安全防范工作中,还需实行更进一步的探索研究,从采用多种安全技术;增强管理人员网络用户安全意识;加强网络监控评估,建立专业管理团队;安全检查网络设备;积极更新软件等多方面入手,全面保障网络信息的安全性。 信息安全技术论文:电子政务如何运用信息安全技术 一.一钻研违景与意义 一、钻研违景 电子政务是指政府在其管理以及服务职能中运用通讯网络以及计算机自动化等现代化信息高科技技术与高新理念,超出部门隔离以及时空的制约,促使政府工功课务以及机构组织整合优化,建造公平公正、廉正高效的政府运行模式,到达系统综合地向社会民众提供高效优质、相符国际水平的管理与服务[一]。从广义的角度上说,电子政务其实是1个系统工程,它的内容10分广泛,国内外有着不同的内容规范。依据我国政府所计划的项目来看,电子政务主要包含这样几个方面:政府间的电子政务(G二G):政府与企业间电子政务(G二B);政府与社会民众间的电子政务(G二C)。跟着当代政府改革运动的展开以及现代社会信息化的加速,电子政务是信息社会管理发展的1种趋势,政府是全社会中最大的信息具有者以及最大的信息技术的用户,有效地应用信息技术,通过树立1个真正有效的、可伸缩的电子政务系统,可以匡助政府向更为勤政、精简、廉正以及高效的方向发展。在各国踊跃提倡的“信息高速公路”规划中,电子政务建设被列在第1位,成为世界各国的关注焦点。许多国家有远见的政府或者领导人都把施行电子政务作为创立高效政府管理的首要举措,特别是1些发达国家凭仗其信息技术以及人力资源等方面的优势,鼎力发展电子政务建设,其目的是要在国际政治、经济竞争中进1步获得主导地位。发展中国家只有踊跃吸取他们的经验教训,同时结合自己的实际,加大电子政务建设的力度,加快建设高效政府,才能在信息时期发展中迎头遇上。国家相干部门讲演显示,中国面临严重境外网络袭击要挟。 据了解,二0一二年境外约有七. 三万个木马或者僵尸网络节制服务器介入节制中国境内主机,同比增长五六. 九%,节制服务器介入节制中国境内一四一九. 七万余台主机;被篡改政府网站一八0二个,同比增长二一. 四%。国家某部门讲演显示,二0一二年中国网络基础设施运行整体安稳,但安全形势不容乐观。 不完整统计显示,全年有五0余个网站用户信息数据库在互联网上公然流传或者通过地下黑色产业链进行售卖,其中已经被证实确为真实信息的数据近五000万条。依据该部门提供的案例显示,中国网站被境外袭击10分频繁,主要体现在两个方面,1是网站被境外入侵篡改;2是网站被境外入侵并安插后门。中国网站遭遇来自境外的网络袭击也10分频繁。这些受控主机因被黑客远程操控,1方面会致使用户计算机上存储信息被盗取,另外一方面则可能成为黑客借以向别人发动袭击的跳板。大量遭到集中节制的主机还可能形成僵尸网络,成为黑客发动大范围网络袭击的工具以及平台。这些事件若产生在电子政务上,将会给电子政务系统带来严重危害,而电子政务信息安全瓜葛到国家的安全、社会的不乱,触及到国家与政府的形象,在现代社会电子政务系统盘踞着极为首要的地位,它具有极为i贵的各种资源,如果它被袭击胜利,后果将不堪假想,所以它极易成为背法犯法份子及各种利益团体的袭击目标,必然会见对于各种成心无心的损坏、袭击。电子政务安全问题是电子政务建设中的极为症结的问题,如果解决不好,必将影响到电子政务的构建。 如何既保障电子政务信息安全的条件下又提高政府部门的办事质量以及效力成为当今钻研的热门问题。电子政务系统树立在互联网基础平台上,包括政务外网、内网以及门户网。而互联网是有良多缺点的全世界网络,本身的安全风险隐患良多,使在互联网上幵展的电子政务利用面临着严峻的挑战。信息安全主要是采用各种措施,保证信息的秘要性、完全性、1致性以及不可否认性等。信息安全技术广泛利用于电子政务,规范了政务处理的流程,加快了信息活动,提高了政务处理效力,给政务工作方式带来了全新的变化二、钻研意义电子政务建设是国家信息化的龙头工程,是实现政府信息化的主要手腕,已经成为世界性潮流以及全世界化发展趋势,不管是发达国家、仍是发展中国家为在国际政治经济竞争中获得1席之地,都在踊跃推进电子政务建设。 我国的电子政务的建设,将有益于政府建立形象、精简人员与机构、提高办事效力、进行迅速有力的科学决策等,对于于国家的经济繁华以及社会进步有着深远的意义。电子政务系统的信息安全是指1个国家的政府信息资源不受外来的损害与要挟,信息资源不被故意的或者偶然的非法授权泄露、更改,避免信息被非法入侵者辨识、盗取、节制、应用等。信息安全成为如今政府信息化中的症结问题。安全问题是电子政务建设中的重中之重。可以说,信息安全在必定意义上触及到政治、社会、经济、军事、文化、生态文明等的安全。信息安全包含:存储传输、系统风险管理、审计跟踪、备份与恢复、应急响应等方面的安全内容。 总结与瞻望 电子政务系统安全部系的安全建设是1项雄伟的繁杂的系统工程,本文重点钻研并利用了信息安全技术及其相干理论,融入了管理学、数理几率理论、法律学、经济学、计算机网络技术、密码学以及安全工程、决策理论以及博弈学、通讯与信息工程学等知识,从多角度对于电子政务系统安全部系进行了设计构建。本文的主要工作包含下列方面: 一、钻研分析了电子政务系统的安全现状与安全问题,钻研了信息安全技术及理论,针对于电子政务系统的安全隐患问题,分析了电子政务系统的安全需求,分析设计了电子政务系统的安全部系。具体设计了它的电子政务安全法律法规、安全基础装备与设施、信息安全技术、安全管理、安全应急响应系统5个组成部份。 二、 针对于电子政务的具体的安全问题,利用信息安全技术,安全管理,应急响应等方面的知识理论,分别具体构建了电子政务系统安全部系的5个部份的机制或者措施方案。使患上电子政务系统的安全性患上到了首要保障。 信息安全技术论文:浅论计算机网络信息安全技术 [论文关键词]Web Services 网络完全 技术 [论文摘要]为了满足日益增长的需求,人们提出了基于XML的Web服务。它的主要目标是在现有的各种异构平台的基础上构建一个通用的与平台无关、语言无关的技术层,各种平台上的应用依靠这个技术层来实现彼此的连接和集成,Web Services的优秀技术主要是XML技术、SOAP技术、WSDL及UDDI等。本文对此进行了探讨。 1 XML技术 近年来,XML已成为数据表示和数据交换的一种新标准。其基本思想是数据的语义通过数据元素的标记来表达,数据元素之间关系通过简单的嵌套和引用来表示。若所有web服务器和应用程序将它们的数据以XML编码并到Internet,则信息可以很快地以一种简单、可用的格式获得,信息提供者之间也易于互操作。XML一推出就被广泛地采用,并且得到越来越多的数据库及软件开发商的支持。总体讲来,XML具有自描述性、独立于平台和应用、半结构化、机器可处理的、可扩展性和广泛的支持等特点。因此,XML可被广泛应用于电子商务、不同数据源的集成、数据的多样显示等各个方面。XML描述了一个用来定义标记集的方法用于规定一个标记集,填入文本内容后,这些标记和纯文本一起构成了一个XML文档。一个良好的XML文档必须满足以下几条规则:(1)有一致良好定义的结构(2)属性需用引号引起来:(3)空白区域不能忽略:(4)每个开始标签必须要有一个与之对应的结束标签:(5)有且只有一个根元素包含其他所有的结点:(6)元素不能交叉重叠但可以包含:(7)注释和处理指令不能出现在标签中:(8)大小写敏感:(9)关键词“D0CTYPE”、“ELEMENT”、“ATTRIBUTE”和“ENTITY”要大写。为了说明特定的语法规则,XMLDTD(DocumentTypeDefination)采用了一系列正则式。语法分析器(或称解析器)将这些正则式与XML文件内部的数据模式相匹配,以判别文件是否是有效。一个DTD描述了标记语言的语法和词汇表,定义了文件的整体结构以及文件的语法。在Internet中,一个最重要的问题是如何实现数据的交互,即客户端和服务器端双向数据交流。当前所面对的是一个物理上分散的、异源、异构的数据环境,能方便地从这些数据中取得所需要的信息极为重要。XML满足这一要求,它可以将各种类型的数据转换成XML文档,然后对XML文档进行处理,之后,再将XML数据转换为某种方式存储的数据。XML的数据源多种多样,但主要分为三种:第一种为本身是纯文本的XML文档、TXT文件、DAT文件等第二种来自于数据库,如关系数据库、对象数据库等:第三种是其它的带有一定格式的应用数据,如邮件、图表、清单等。针对不同的数据源可以采用不同的技术进行转换。纯文本文档是最基本也是最简单的,它将数据存储于文本文件中,可以直接方便地读取数据。另外,XML文档也可以加上CSS、XSL等样式信息在浏览器中显示,或者通过DOM、SAX编程接口同其它应用相关联。第二种来源主要利用现有的比较成功的数据库资源,是对第一种资源的扩展,可以利用数据库管理系统对数据进行管理,并用服务器编程语言对数据进行动态存取,来实现各种动态应用。第三种数据源的转换可以利用微软提出的基于OLEDB的解决方案,从数据源直接导出XML文档。 2 SOAP技术 SOAP(simple ObjectAcCess PrOtOCO1,简单对象访问协议)是由Microsoft、IBM等共同提出的规范,目的是实现大量异构程序和平台之间的互操作,从而使存在的应用程序能够被用户访问。W3C的SOAP规范主要由SOAP封装、SOAP编码规则、SOAPRPC表示及SOAP绑定四方面的内容组成:(1)SOAP封装(SOAPEnvelop):构造了一个整体的SOAP消息表示框架,可用于表示消息的内容是什么、谁发送的、谁应当接收并处理它,以及处理操作是可选的还是必须的。信封包含了S0AP消息头部(可选)和SOAP消息体(必须)。消息体部分总是用于最终接收的消息,头部可以确定执行中间处理的目标节点。附件、二进制数字及其他项目均可以附加到消息体上。(2)SOAP编码规则(SOAPEncodingRules):定义了一个数据编码机制,通过这样一个编码机制来定义应用程序中需要使用的数据类型,并可用于交换由这些应用程序定义的数据类型所衍生的实例。(3)S0AP RPC表示(S0AP RPcRepresentation):定义了一个用于表示远程过程调用和响应的约定与HTTP相似,RPC使用请求/响应模型交换信息。使用SOAP调用远程方法的主要工作就是构造SOAP消息。SOAP请求消息代表方法调用,被发送给远程服务器,5OAP响应消息代表调用结果,返回给方法的调用者。(4)SOAP绑定(sOAPBinding):定义了一个使用底层协议来完成在节点间交换SOAP消息的机制。SOAP消息的传输依靠底层的传输协议,与传输层的协议都能进行绑定。SOAP采用了已经广泛使用的两个协议:HTTP和XML。HTTP用于实现SOAP的RPC风格的传输,而XML是它的编码模式。SOAP通讯协议使用HTTP来发送x扎格式的消息。HTTP与RPC的协议很相似,它简单、配置广泛,并且对防火墙比其它协议更容易发挥作用。HTTP请求一般由Web服务器来处理,但越来越多的应用服务器产品正在支持HTTP XML作为一个更好的网络数据表达方式,SOAP把XML的使用代码转化为请求/响应参数编码模式,并用HTTP作传输。具体的讲,一个SOAP方法可以简单地看作遵循SOAP编码规则的HTTP请求和响应。一个SOAP终端则可以看作一个基于HTTP的URL,它用来识别方法调用的目标。SOAP不需要将具体的对象绑定到一个给定的终端,而是由具体实现程序来决定怎样把对象终端标识符映像到服务器端的对象。 3 WSDL与UDDI技术 WSDL(WebServicesDescriptionLanguage,web服务描述语言)基于Ⅺ旺,将Web服务描述为一组对消息进行操作的服务访问点它抽象描述了操作和消息,并绑定到一个具体的网络协议和消息格式,定义了具体实施的服务访问点。WSDL包含服务接口定义和服务实现定义,服务接口是Web服务的抽象定义,包括类型、消息和端口类型等。服务实现定义描述了服务提供者如何实现特定的服务接口,包括服务定义和端口定义几乎所有在因特网上的Web服务都配有相关的WSDL文档,其中列举了该服务的功能,说明了服务在Web上的位置,并提供了使用它的命令。WSDL文档定义了Web服务功能发送和接收的消息种类,并规定了调用程序必须提供给Web服务的数据,以便该服务能够执行其任务。WSDL文档还提供了一些特定的技术信息,告诉应用程序如何通过HTTP或其他通信协议与Web服务进行连接和通信。用户想使用服务提供者所提供的服务,必须首先找到这个服务。UDDI(UniversalDescrip—ti012DiseoveryIntegration,统一描述发现集成)提供了一种、查找服务的方法,使得服务请求者可以在Internet巨大的信息空间中快速、方便地发现要调用的服务,并完成服务间的集成。UDDI是一个基于SOAP协议的、为Web服务提供信息注册中心的实现标准。同时也包含一组提供Web服务注册、发现和调用的访问协议。UDDI通过XML格式的目录条目将Web服务注册在UDDI中心的公共注册表内供其它用户查询和使用。UDDI目录条目包括三个部分:白页、黄页和绿页。白页提供一般信息,即Web服务的URL和提供者的名称、地址、联系方式等基本信息:黄页提供基于标准分类法的相关产业、产品或提供服务类型以及地域等的分类信息:绿页提供技术信息,它详细介绍了访问服务的接口,以便用户能够编写应用程序以使用Web服务,这是发现潜在Web服务的关键。同时,UDDI提供了基于XML的轻量级的数据描述和存储方式,服务的定义是通过一个称为类型模型的UDDI文档来完成的。UDDI本身就是一个Web服务,它通过一组基于SOAP的UDDI的API函数进行访问。其中查询API用来查询定位商业实体、服务、绑定等信息。API被用来在注册中心或者取消服务。 信息安全技术论文:电子商务中的信息安全技术及机制 摘要:电子商务(Electronic Commerce)是90年代初期在美国等发达国家兴起的一种新的企业经营方式,它是一种通过网络技术的应用,快速而有效地进行各种商务活动的全新方法。 关键词:电子商务;信息;安全 电子商务(Electronic Commerce)是90年代初期在美国等发达国家兴起的一种新的企业经营方式,它是一种通过网络技术的应用,快速而有效地进行各种商务活动的全新方法。传统的电子商务指人们通过计算机及计算机专用网络进行商贸活动,例如电子资金转帐、远程购物、电子合同、电子化海关进出口报关、电子化税务申报等等。如今, 电子商务的范围更加广泛。基于因特网上的电子商务不仅指基于Internet网上的交易,而且指所有利用Internet、Intranet技术来解决问题、降低成本、增加价值并创造新的商机的所有商务活动,包括从销售到市场运作以及信息管理筹备各个方面。因此,电子商务的对商业的影响越来越大。 然而,随着Internet的高速发展,其开放性、国际性和自由性在增加应用自由度的同时,也使安全成为一个日益重要的问题。这主要表现在:开放性的网络,导致网络的技术是全开放的,因而网络所面临的破坏和攻击也是多方面的,如何保护企业和个人的信息不被非法获取、盗用、篡改和破坏,已成为所有Internet参与者共同关心的重要问题。企业与消费者对电子交易安全的担忧已严重阻碍了电子商务的发展,为了消除这些顾虑,必须保证企业与消费者在进行电子商务时双方的利益不受侵害。 按照安全策略的要求及风险分析的结果,电子商务中的信息安全系统由以下几个方面组成: 物理安全、网络安全、信息安全。 物理安全是保护计算机网络设备、设施以及其它媒体免遭地震、水灾、火灾等环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏过程。 网络安全可以分成三类:系统安全,指主机和服务器的安全,主要包括反病毒、系统安全检测、入侵检测(监控) 和审计分析;网络运行安全,是指系统要具备必须的针对突发事件的应急措施,如数据的备份和恢复等等;局域网或子网的安全主要是访问控制和网络安全检测的问题。特别说明,各种黑客与防火墙主要属于网络安全的相关范畴。 信息安全涉及到信息传输的安全、信息存储的安全以及对网络传输信息内容的审计三方面,当然也包括对用户的鉴别和授权。这里主要对信息安全技术进行概括介绍。 在信息安全涉及到的几个方面中,为保障数据传输的安全,需采用数据传输加密技术、数据完整性鉴别技术;由于网络的开放性,为避免数据被截获,泄漏机密信息,重要的信息、文件等数据在网络上进行传输时都要按照一定算法进行加密。目前,主要的加密技术分为两类,即对称加密和非对称加密。对称密钥加密,又称私钥加密,即信息的发送方和接收方用一个密钥去加密和解密数据。它的最大优势是加/解密速度快,适合于对大数据量进行加密,但密钥管理困难。非对称密钥加密系统,又称公钥密钥加密。它需要使用一对密钥来分别完成加密和解密操作,一个公开,即公开密钥,另一个由用户自己秘密保存,即私用密钥。信息发送者用公开密钥去加密,而信息接收者则用私用密钥去解密。公钥机制灵活,但加密和解密速度却比对称密钥加密慢得多。数据完整性鉴别技术是确保信息完整性,采用的方法大多是收错重传、丢弃后续包的办法,主要有报文鉴别、校验和、消息完整性编码MIC(Message Integrity Code)。 为保证信息存储的安全,须保障数据库安全和终端安全;计算机信息系统中存储的信息主要包括纯粹的数据信息和各种功能文件信息两大类。对纯粹数据信息的安全保护,以数据库信息的保护最为典型。而对各种功能文件的保护,终端安全很重要。 信息内容审计,则是实时对进出内部网络的信息进行内容审计,以防止或追查可能的泄密行为(为了满足国家保密法的要求,在某些重要或涉密网络,应该安装使用此系统)。 对用户的鉴别是对网络中的主体进行验证的过程,通常有三种方法验证主体身份。一是只有该主体了解的秘密,如口令、密钥;二是主体携带的物品,如智能卡和令牌卡;三是只有该主体具有的独一无二的特征或能力,如指纹、声音、视网膜或签字等。 保护信息安全所采用的手段也称做安全机制。所有的安全机制都是针对某些安全攻击威胁而设计的,可以按不同的方式单独或组合使用。合理地使用安全机制会在有限的投入下最大地降低安全风险。 网络中所采用的安全机制主要有: 1.加密和隐藏机制:加密使信息改变,攻击者无法读懂信息的内容从而保护信息;而隐藏则是将有用的信息隐藏在其他信息中,使攻击者无法发现,不仅实现了信息的保密,也保护了通信本身。 2.认证机制:网络安全的基本机制,网络设备之间应互相认证对方身份,以保证正确的操作权力赋予和数据的存取控制。网络也必须认证用户的身份,以保证正确的用户进行正确的操作并进行正确的审计。 目前,数字证书认证机制在电子商务中的网上银行、网上证券、网上缴税、网上保险、网上购物、网上贸易、网上招投标、电子商务交易平台、安全电子邮件、期货交易和网上票务等B2B、B2C安全管理业务以及电子政务等各种领域得到了广泛的应用。数字证书是为了防止不法分子诈骗采用的强身份鉴别技术。可以避免密码或口令容易泄露或被攻破的缺点。 3.审计:防止内部犯罪和事故后调查取证的基础,通过对一些重要的事件进行记录,从而在系统发现错误或受到攻击时能定位错误和找到攻击成功的原因。审计信息应具有防止非法删除和修改的措施。加强制度和岗位以及内外的审计是非常重要的 4.权力控制和存取控制: 主机系统根据需要赋予不同的用户不同的执行权利。严格控制用户不能越权操作。 5.完整性保护: 用于防止非法篡改,利用密码理论的完整性保护能够很好地对付非法篡改。完整性的另一用途是提供不可抵赖服务,当信息源的完整性可以被验证却无法模仿时,收到信息的一方可以认定信息的发送者,数字签名就可以提供这种手段。 6.业务填充 无业务时发送干扰数据,即发送无用的随机数据。减少攻击者通过通信流量获得信息。增加密码通信的破译难度。 以上简要的介绍了电子商务中的信息安全技术及信息安全机制。电子商务正以其低成本、高效率、高质量正逐步被广大企业所接受。而电子商务的安全性问题一直是电子商务令人担心的方面和关注的焦点,也将成为电子商务全面推广的主要障碍。因此我们要不断改进电子商务中的信息安全技术,提高电子商务系统的安全性和可靠性,促进电子商务的蓬勃发展。 信息安全技术论文:论电子政务系统中的信息安全技术的应用研究 [论文关键词]信息安全技术 电子政务系统 网络安全 [论文摘要]应用信息安全技术提高电子政务系统的安全性是一个迫切需要解决的问题。本文首先剖析了电子政务系统信息安全方面存在的问题,其次研究了信息安全技术在电子政务系统中的应用,涉及到安全区域的有效划分、重要信息的有效控制以及系统VPN的台理设计等等,在一定程度上保证了电子政务系统的安全。 1引言 电子政务是提升一个国家或地区特别是城市综合竞争力的重要因素之一,电子政务系统中有众多的政府公文在流转,其中不乏重要情报,有的甚至涉及国家安全,这些信息通过网络传送时不能被窃听、泄密、篡改和伪造。如果电子政务网络安全得不到保障,电子政务的便利与效率便无从保证,对国家利益将带来严重威胁。因此,研究信息安全技术及其在电子政务系统中的应用具有重要的现实意义。 2电子政务系统信息安全存在的问题剖析 2.1网络安全方面的问题 电子政务网在建网初期都是按照双网模式来进行规划与建设,即电子政务内网和外网,内网作为信息内部信息和公文传输平台,开通政府系统的一些日常业务,外网通过路由汇聚加防火墙过滤接入主要向公众一些公共服务信息和政府互动平台。双网实现了物理隔离,建网初期往往只看重网络带来的便利与高效,但是并没有同步充分考虑安全问题,也没有对互联网平台的潜在安全威胁进行过全面综合的风险评估,网络安全建设严重滞后。网络安全方面的问题主要涉及到以下几个方面: (1)来自内部的恶意攻击这种攻击往往带有恶作剧的形式,虽然不会给信息安全带来什么大的危害,但对本单位正常的数据业务和敏感数据还是会带来一定的威胁。 (2)移动存储介质的交叉使用,对于电子内网PC来讲,把上互联网的PC上使用过的u盘,移动硬盘都不能在政务内网上使用。U盘病毒和“摆渡”间谍特马会把内网中的保密信息和敏感数据带到互联网上,回传给木马的制作者。并且,这种病毒还会在内网上传播,消耗系统资源,降低平台的新能,影响政务内网各种业务的正常流转。 (3)内网的身份认证和权限管理问题。防止内网一般用户越权管理数据库,服务器,和高权限的数据平台。 (4)内网中使用的带存储芯片的打印复印设备离开现场返公司维修问题。 (5)政务内网中使用的各种损坏移动存储介质的管理销毁问题。 以上各个网络环节管理不好都会给信息安全带来潜在的隐患,会造成国家重要机密的泄密。 2.2信息安全管理方面的问题 有些政府单位存在只重技术,不重管理的现象,没有认识到人是信息安全的关键,管理正是把人和技术结合起来,充分发挥安全技术保障能力的纽带。总体上说,我国网络安全管理与保卫工作是滞后的。许多部门内部没有从管理制度、人员和技术上建立相应的安全防范机制,缺乏行之有效的安全检查保护措施。内部人员拥有系统的一定的访问权限,可以轻易地绕过许多访问控制机制不少网络维护使用人员缺乏必要的网络安全意识和知识,有的不遵守安全保密规定,将内网直接或间接地与因特网连接,有的安全设施设备的配置不合理,访问控制不够严格,这些问题的存在直接带来了安全隐患。 3电子政务系统中的信息安全技术的应用掇讨 通常情况下,政务网建设将市、区县政务网连接在一起。为政府的内部办公和对外服务提供了极大的便利。本节针对以上提到的各种安全问题,探讨安全技术在政务系统中的具体应用。 3.1安全区域的有效划分 根据安全策略需要,安全域可以包括多级子域,相互关联的安全域也可以组成逻辑域。 电子政务网络域:网络基础设施层及其上层的安全保护功能的实现应由接入政务专网的用户系统负责实现。 电子政务业务处理域:电子政务业务处理域(简称“业务处理域”)包括那些在政务部门管理控制之下,用来承载电子政务业务系统的本地计算环境及其边界,以及电子政务信息系统的内部用户。业务处理域内主要包含相应政务部门的政务内网域、政务外网域和公众服务域,有些政务部门还有内部自成体系的独立业务域。每个子域都对应的本地计算环境和边界。政务内网域与政务外网域物理隔离,政务外网域与公众服务域逻辑隔离。 电子政务基础服务域:电子政务基础服务域主要包括为电子政务系统提供服务的信息安全基础设施信息安全基础设旌有:电子政务数字证书中心、信息安全测评中心、信息安全应急响应中心以及远程灾备中心等。 3.2重要信息的有效控制 电子政务系统的数据控制主要目的是阻止攻击者利用政务系统的管理主机作为跳板去攻击别的机器,但是只是尽量的减少,而不是杜绝这种行为。当然,针对政务内部网络任何的扫描、探测和连接管理主机是允许的,但是对从主机出去的扫描、探测、连接,网络安全系统却必须有条件的放行,如果发现出去的数据包有异常,那系统管理员必须加以制止。数据控制示意图如图3—1所示: 本文研究的政务系统的数据控制使用两层来进行数据控制:防火墙和信息检测系统(IDS)。 防火墙为了防止政务系统的管理主机被作为跳板攻击其它正常系统。我们必须对管理主机的外连接数进行控制,如只允许在一定的时一间内发送一定数量的数据包。防火墙的主要功能是:设定单向地址拦截或双向地址拦截,在单向地址拦截时,~方到另一方的资料访问被禁止,但反向的数据访问依然能正常进行,不会受到影响;采用先进的状态监测数据包过滤技术,不仅仅是依靠单个的IP包来过滤,而是对每一个对话和连接进行分析和监控,在系统中自动维护其当前状态,根据连接的状态来对IP包进行高效快速安全过滤;对管理主机的外出连接进行控制。当外出连接达到一定数量时,阻断以后的连接,防止管理主机被攻击者攻破后用来作为发起攻击的“跳板对所有出入系统的连接进行日志记录。 3.3系统VPN的合理设计 使用VPN,可以在电子政务系统所连接不同的政府部门之间建虚拟隧道,使得两个政务网之间的相互访问就像在一个专用网络中一样。使用lrPN,可以使政务网用户在外网就象在内网一样的访问政务专用网的资源。使用VPN,也可以实现政务网内特殊管理的需要。VPN的建立有三种方式:一种是Internet服务商(ISP)建设,对企业透明;第二种是政府部门自身建设,对ISP透明;第三种是ISP和政府部门共同建设。 在政务网的基础上建立VPN,第二种方案比较合适,即政府部门自身建设,对ISP透明。因为政务网是地理范围在政务网内的计算机网络,它有运行于Internet的公网IP地址,有自己的路由设备,有自己的网络管理和维护机构,对政务网络有很强的自主管理权和技术支持。所以,在政务网基础上建立VPN,完全可以不依赖于ISP,政府部门自身进行建设。这样可以有更大的自主性,也可以节省经费。 3.4其他信息安全技术的使用 此外,电子政务系统的安全性可以采用如下的措施加以保证:控制对网络设备的SNEP和telnet,在所有的骨干路由器上建立accesslist只对网管中心的地址段做permit,即通过网管中心的主机才能远程维护各骨干路由设备路由协议在不安全的端口上进行Passive防止不必要的路由泄露;将所有重要事件进行纪录通过日志输出:采用防火墙设备对政务局域网进行保护。 结语 总之,本文对基于互联网的电子政务系统存在的安全问题进行了深入的分析,在综合考虑成本和安全保障水平的基础上,运用信息安全技术,构建了一体化分防护安全保障体系。 信息安全技术论文:论信息安全技术在电子商务中的应用 论文关键词:电子商务 密码技术 安全协议 论文摘要:文章主要针对在电子商务应用中所经常使用到的几种信息安全技术作了系统的阐述,分析了各种技术在应用中的侧重点,强调了在电子商务应用中信息安全技术所具有的重要作用。 21世纪是知识经济时代,网络化、信息化是现代社会的一个重要特征。随着网络的不断普及,电子商务这种商务活动新模式已经逐渐改变了人们的经济、工作和生活方式,可是,电子商务的安全问题依然是制约人们进行电子商务交易的最大问题,因此,安全问题是电子商务的优秀问题,是实现和保证电子商务顺利进行的关键所在。 信息安全技术在电子商务应用中,最主要的是防止信息的完整性、保密性与可用性遭到破坏;主要使用到的有密码技术、信息认证和访问控制技术、防火墙技术等。 1密码技术 密码是信息安全的基础,现代密码学不仅用于解决信息的保密性,而且也用于解决信息的保密性、完整性和不可抵赖性等,密码技术是保护信息传输的最有效的手段。密码技术分类有多种标准,若以密钥为分类标准,可将密码系统分为对称密码体制(私钥密码体制)和非对称密码体制(公钥密码体制),他们的区别在于密钥的类型不同。 在对称密码体制下,加密密钥与解密密钥是相同的密钥在传输过程中需经过安全的密钥通道,由发送方传输到接收方。比较著名的对称密钥系统有美国的DES,欧洲的IDEA,Et本的RC4,RC5等。在非对称密码体制下加密密钥与解密密钥不同,加密密钥公开而解密密钥保密,并且几乎不可能由加密密钥导出解密密钥,也无须安全信道传输密钥,只需利用本地密钥的发生器产生解密密钥。比较著名的公钥密钥系统有RSA密码系统、椭圆曲线密码系统ECC等。 数字签名是一项专门的技术,也是实现电子交易安全的优秀技术之一,在实现身份认证、数据完整性、不可抵赖性等方面有重要的作用。尤其在电子银行、电子证券、电子商务等领域有重要的应用价值。数字签名的实现基础是加密技术,它使用的是公钥加密算法与散列函数一个数字签名的方案一般有两部分组成:数字签名算法和验证算法。数字签名主要的功能是保证信息传输的完整性、发送者身份的验证、防止交易中抵赖的发生。 2信息认证和访问控制技术 信息认证技术是网络信息安全技术的一个重要方面,用于保证通信双方的不可抵赖性和信息的完整性。在网络银行、电子商务应用中,交易双方应当能够确认是对方发送或接收了这些信息,同时接收方还能确认接收的信息是完整的,即在通信过程中没有被修改或替换。 ①基于私钥密码体制的认证。假设通信双方为A和B。A,B共享的密钥为KAB,M为A发送给B的信息。为防止信息M在传输信道被窃听,A将M加密后再传送,如图1所示 由于KAB为用户A和B的共享密钥,所以用户B可以确定信息M是由用户A所发出的,这种方法可以对信息来源进行认证,它在认证的同时对信息M也进行了加密,但是缺点是不能提供信息完整性的鉴别。通过引入单向HASH函数,可以解决信息完整性的鉴别问题,如图2所示 在图2中,用户A首先对信息M求HASH值H(M),之后将H(M)加密成为m,然后将m。和M一起发送给B,用户B通过解密ml并对附于信息M之后的HASH值进行比较,比较两者是否一致。图2给出的信息认证方案可以实现信息来源和完整性的认证。基于私钥的信息认证的机制的优点是速度较快,缺点是通信双方A和B需要事先约定共享密钥KAB。 ②基于公钥体制的信息认证。基于公钥体制的信息认证技术主要利用数字签名和哈希函数来实现。假设用户A对信息M的HASH值H(M)的签名为SA(dA,H(m),其中dA为用户A的私钥),用户A将M//SA发送给用户B,用户B通过A的公钥在确认信息是否由A发出,并通过计算HSAH值来对信息M进行完整性鉴别。如果传输的信息需要报名,则用户A和B可通过密钥分配中心获得一个共享密钥KAB,A将信息签名和加密后再传送给B,如图3所示。由图3可知,只有用户A和B拥有共享密钥KAB,B才能确信信息来源的可靠性和完整性。 访问控制是通过一个参考监视器来进行的,当用户 对系统内目标进行访问时,参考监视器边查看授权数据库,以确定准备进行操作的用户是否确实得到了可进行此项操作的许可。而数据库的授权则是一个安全管理器负责管理和维护的,管理器以阻止的安全策略为基准来设置这些授权。 ③防火墙技术。防火墙是目前用得最广泛的一种安全技术,是一种由计算机硬件和软件的组合。它使互联网与内部网之间建立起一个安全网关,可以过滤进出网络的数据包、管理进出网络的访问行为、对某些禁止的访问行为、记录通过防火墙的信息内容和活动及对网络攻击进行检测和告警等。防火墙的应用可以有效的减少黑客的入侵及攻击,它限制外部对系统资源的非授权访问,也限制内部对外部的非授权访问,同时还限制内部系统之间,特别是安全级别低的系统对安全级别高的系统的非授权访问,为电子商务的施展提供一个相对更安全的平台,具体表现如下: ①防火墙可以强化网络安全策略。通过以防火墙为中心的安全方案配置,能将所有安全软件配置在防火墙上。与将网络安全问题分散到各个主机上相比,防火墙的集中安全管理更经济。例如在网络访问时,一次一密口令系统和其它的身份认证系统完全可以不必分散在各个主机上,而集中在防火墙身上。 ②对网络存取和访问进行监控审计。如果所有的访问都经过防火墙,那么,防火墙就能记录下这些访问并作日志记录,同时也能提供网络使用情况的统计数据。当发生可疑动作时,防火墙能进行适当的报警,并提供网络是否受到监测和攻击的详细信息。另外,收集一个网络的使用和误用情况也是非常重要的。首先的理由是可以清楚防火墙是否能够抵挡攻击者的探测和攻击,并且清楚防火墙的控制是否充足。而网络使用统计对网络需求分析和威胁分析等而言也是非常重要的。 ③防止内部信息的外泄。通过利用防火墙对内部网络的划分,可实现内部网重点网段的隔离,从而限制了局部重点或敏感网络安全问题对全局网络造成的影响。再者,隐私是内部网络非常关心的问题,一个内部网络中不引人注意的细节可能包含了有关安全的线索而引起外部攻击者的兴趣,甚至因此而暴露了内部网络的某些安全漏洞。使用防火墙就可以隐蔽那些透漏内部细节如Finger,DNS等服务。Finger显示了主机的所有用户的注册名、真名,最后登录时间和使用shell类型等。但是Finger显示的信息非常容易被攻击者所获悉。攻击者可以知道一个系统使用的频繁程度,这个系统是否有用户正在连线上网,这个系统是否在被攻击时引起注意等等。 防火墙可以同样阻塞有关内部网络中的DNS信息,这样台主机的域名和IP地址就不会被外界所了解。 ④网络安全协议。网络协议是网络上所有设备之间通信规则的集合。在网络的各层中存在着许多协议,网络安全协议就是在协议中采用了加密技术、认证技术等保证信息安全交换的安全网络协议。目前,Intemet上对七层网络模型的每一层都已提出了相应的加密协议,在所有的这些协议中,会话层的SSL和应用层的SET与电子商务的应用关系最为密切。 ①ssL协议(SecureSocketsLayer)安全套接层协议。SSL使用对称加密来保证通信保密性,使用消息认证码(MAC)来保证数据完整性。SSL主要使用PKI在建立连接时对通信双方进行身份认证。SSL协议主要是使用公开密钥体制和X.509数字证书技术保护信息传输的机密性和完整性。它主要适用于点对点之间的信息传输,提供基于客户/服务器模式的安全标准,它在传输层和应用层之间嵌入一个子层,在建立连接过程中采用公开密钥,在会话过程中使用私人密钥。加密的类型和强度则在两端之间建立连接的过程中判断决定。 SSL安全协议是国际上最早应用于电子商务的一种网络安全协议,至今仍然有很多网上商店使用。在传统的邮购活动中,客户首先寻找商品信息,然后汇款给商家,商家将商品寄给客户。这里,商家是可以信赖的,所以客户先付款给商家。在电子商务的开始阶段,商家也是担心客户购买后不付款,或使用过期的信用卡,因而希望银行给予认证。SSL安全协议正是在这种背景下产生的。所以,它运行的基点是商家对客户信息保密的承诺。显然,SSL协议无法完全协调各方间的安全传输和信任关系。 ②SET协议SecureElectronicTransaction)安全电子交易。为了克服SSL安全协议的缺点,实现更加完善的即时电子支付,SET协议应运而生。 SET协议采用了双重签名技术对SET交易过程中消费者的支付信息和订单信息分别签名,使得商家看不到支付信息,只能接收用户的订单信息;而金融机构看不到交易内容,只能接收到用户支付信息和账户信息,从而充分保证了消费者帐户和定购信息的安全性。SET协议的重点就是确保商家和客户的身份认证和交易行为的不可否认性,其理论基础就是不可否认机制,采用的优秀技术包括X.509电子证书标准,数字签名,报文摘要,双重签名等技术。SET协议使用数字证书对交易各方的合法性进行验证,通过数字证书的验证,可以确保交易中的商家和客户都是合法的、可信赖的。 信息安全技术在电子商务中的应用非常广泛,并且起到了尤其重要的作用。 信息安全技术论文:浅论计算机网络信息安全技术 [论文关键词]Web Services 网络完全 技术 [论文摘要]为了满足日益增长的需求,人们提出了基于XML的Web服务。它的主要目标是在现有的各种异构平台的基础上构建一个通用的与平台无关、语言无关的技术层,各种平台上的应用依靠这个技术层来实现彼此的连接和集成,Web Services的优秀技术主要是XML技术、SOAP技术、WSDL及UDDI等。本文对此进行了探讨。 1 XML技术 近年来,XML已成为数据表示和数据交换的一种新标准。其基本思想是数据的语义通过数据元素的标记来表达,数据元素之间关系通过简单的嵌套和引用来表示。若所有web服务器和应用程序将它们的数据以XML编码并到Internet,则信息可以很快地以一种简单、可用的格式获得,信息提供者之间也易于互操作。XML一推出就被广泛地采用,并且得到越来越多的数据库及软件开发商的支持。总体讲来,XML具有自描述性、独立于平台和应用、半结构化、机器可处理的、可扩展性和广泛的支持等特点。因此,XML可被广泛应用于电子商务、不同数据源的集成、数据的多样显示等各个方面。XML描述了一个用来定义标记集的方法用于规定一个标记集,填入文本内容后,这些标记和纯文本一起构成了一个XML文档。一个良好的XML文档必须满足以下几条规则:(1)有一致良好定义的结构(2)属性需用引号引起来:(3)空白区域不能忽略:(4)每个开始标签必须要有一个与之对应的结束标签:(5)有且只有一个根元素包含其他所有的结点:(6)元素不能交叉重叠但可以包含:(7)注释和处理指令不能出现在标签中:(8)大小写敏感:(9)关键词“D0CTYPE”、“ELEMENT”、“ATTRIBUTE”和“ENTITY”要大写。为了说明特定的语法规则,XMLDTD(DocumentTypeDefination)采用了一系列正则式。语法分析器(或称解析器)将这些正则式与XML文件内部的数据模式相匹配,以判别文件是否是有效。一个DTD描述了标记语言的语法和词汇表,定义了文件的整体结构以及文件的语法。在Internet中,一个最重要的问题是如何实现数据的交互,即客户端和服务器端双向数据交流。当前所面对的是一个物理上分散的、异源、异构的数据环境,能方便地从这些数据中取得所需要的信息极为重要。XML满足这一要求,它可以将各种类型的数据转换成XML文档,然后对XML文档进行处理,之后,再将XML数据转换为某种方式存储的数据。XML的数据源多种多样,但主要分为三种:第一种为本身是纯文本的XML文档、TXT文件、DAT文件等第二种来自于数据库,如关系数据库、对象数据库等:第三种是其它的带有一定格式的应用数据,如邮件、图表、清单等。针对不同的数据源可以采用不同的技术进行转换。纯文本文档是最基本也是最简单的,它将数据存储于文本文件中,可以直接方便地读取数据。另外,XML文档也可以加上CSS、XSL等样式信息在浏览器中显示,或者通过DOM、SAX编程接口同其它应用相关联。第二种来源主要利用现有的比较成功的数据库资源,是对第一种资源的扩展,可以利用数据库管理系统对数据进行管理,并用服务器编程语言对数据进行动态存取,来实现各种动态应用。第三种数据源的转换可以利用微软提出的基于OLEDB的解决方案,从数据源直接导出XML文档。 2 SOAP技术 SOAP(simple ObjectAcCess PrOtOCO1,简单对象访问协议)是由Microsoft、IBM等共同提出的规范,目的是实现大量异构程序和平台之间的互操作,从而使存在的应用程序能够被用户访问。W3C的SOAP规范主要由SOAP封装、SOAP编码规则、SOAPRPC表示及SOAP绑定四方面的内容组成:(1)SOAP封装(SOAPEnvelop):构造了一个整体的SOAP消息表示框架,可用于表示消息的内容是什么、谁发送的、谁应当接收并处理它,以及处理操作是可选的还是必须的。信封包含了S0AP消息头部(可选)和SOAP消息体(必须)。消息体部分总是用于最终接收的消息,头部可以确定执行中间处理的目标节点。附件、二进制数字及其他项目均可以附加到消息体上。(2)SOAP编码规则(SOAPEncodingRules):定义了一个数据编码机制,通过这样一个编码机制来定义应用程序中需要使用的数据类型,并可用于交换由这些应用程序定义的数据类型所衍生的实例。(3)S0AP RPC表示(S0AP RPcRepresentation):定义了一个用于表示远程过程调用和响应的约定与HTTP相似,RPC使用请求/响应模型交换信息。使用SOAP调用远程方法的主要工作就是构造SOAP消息。SOAP请求消息代表方法调用,被发送给远程服务器,5OAP响应消息代表调用结果,返回给方法的调用者。(4)SOAP绑定(sOAPBinding):定义了一个使用底层协议来完成在节点间交换SOAP消息的机制。SOAP消息的传输依靠底层的传输协议,与传输层的协议都能进行绑定。SOAP采用了已经广泛使用的两个协议:HTTP和XML。HTTP用于实现SOAP的RPC风格的传输,而XML是它的编码模式。SOAP通讯协议使用HTTP来发送x扎格式的消息。HTTP与RPC的协议很相似,它简单、配置广泛,并且对防火墙比其它协议更容易发挥作用。HTTP请求一般由Web服务器来处理,但越来越多的应用服务器产品正在支持HTTP XML作为一个更好的网络数据表达方式,SOAP把XML的使用代码转化为请求/响应参数编码模式,并用HTTP作传输。具体的讲,一个SOAP方法可以简单地看作遵循SOAP编码规则的HTTP请求和响应。一个SOAP终端则可以看作一个基于HTTP的URL,它用来识别方法调用的目标。SOAP不需要将具体的对象绑定到一个给定的终端,而是由具体实现程序来决定怎样把对象终端标识符映像到服务器端的对象。 3 WSDL与UDDI技术 WSDL(WebServicesDescriptionLanguage,web服务描述语言)基于Ⅺ旺,将Web服务描述为一组对消息进行操作的服务访问点它抽象描述了操作和消息,并绑定到一个具体的网络协议和消息格式,定义了具体实施的服务访问点。WSDL包含服务接口定义和服务实现定义,服务接口是Web服务的抽象定义,包括类型、消息和端口类型等。服务实现定义描述了服务提供者如何实现特定的服务接口,包括服务定义和端口定义几乎所有在因特网上的Web服务都配有相关的WSDL文档,其中列举了该服务的功能,说明了服务在Web上的位置,并提供了使用它的命令。WSDL文档定义了Web服务功能发送和接收的消息种类,并规定了调用程序必须提供给Web服务的数据,以便该服务能够执行其任务。WSDL文档还提供了一些特定的技术信息,告诉应用程序如何通过HTTP或其他通信协议与Web服务进行连接和通信。用户想使用服务提供者所提供的服务,必须首先找到这个服务。UDDI(UniversalDescrip—ti012DiseoveryIntegration,统一描述发现集成)提供了一种、查找服务的方法,使得服务请求者可以在Internet巨大的信息空间中快速、方便地发现要调用的服务,并完成服务间的集成。UDDI是一个基于SOAP协议的、为Web服务提供信息注册中心的实现标准。同时也包含一组提供Web服务注册、发现和调用的访问协议。UDDI通过XML格式的目录条目将Web服务注册在UDDI中心的公共注册表内供其它用户查询和使用。UDDI目录条目包括三个部分:白页、黄页和绿页。白页提供一般信息,即Web服务的URL和提供者的名称、地址、联系方式等基本信息:黄页提供基于标准分类法的相关产业、产品或提供服务类型以及地域等的分类信息:绿页提供技术信息,它详细介绍了访问服务的接口,以便用户能够编写应用程序以使用Web服务,这是发现潜在Web服务的关键。同时,UDDI提供了基于XML的轻量级的数据描述和存储方式,服务的定义是通过一个称为类型模型的UDDI文档来完成的。UDDI本身就是一个Web服务,它通过一组基于SOAP的UDDI的API函数进行访问。其中查询API用来查询定位商业实体、服务、绑定等信息。API被用来在注册中心或者取消服务。
目前的电子政务因信息化的不断发展下一直在改进,带给人们便利的同时,也滋生了人们的惰性,人们开始在自己的工作、生活上对互联网越来越依赖,即使不出门,用一根网线也能解决自己许多的问题,一开始人们只是想单纯的运用网络来提高自己工作、办事的效率,但从目前的发展和运用来看,网络的优势和劣势在同时产生,互联网在信息管理方面十分缺乏安全性、保障性,而在这信息安全方面也并没有推行过一些保障制度。如今,电子政务在应用于政府部门的工作中越来越频繁,而电子政务的安全问题并没有完全的有所保证,这使得在应用电子政务安全信息的同时又会十分让人担心,因此,在电子政务信息安全管理当中要以解决其存在的安全问题为重心,来保障电子信息的安全性、可靠性。 1电子政务信息安全管理的重要意义 电子政务已经被应用于我国政府各个部门的工作当中,电子政务信息的应用,不仅仅为政府部门的信息搜集和带来了便利,同时也使得政府工作更加透明化、更加亲民。所以,我国政府部门的任何活动或者各种信息的公布都是在以通过电子政务的形式进行传播,当然也包含有相关性的政府机密的文件资料,这都与政府部门和国家的安全关系密切,也与人民的生命安全和财产的保障息息相关,因此电子政务信息的安全性就显得十分的重要。从电子政务信息的目的出发,“为了增加政府部门工作的透明度,改善财政的约束力,要在提高政府工作效率的同时来增加公众参与度的行政方式”所以,建立安全的电子政务信息保障体系和科学的管理标准是其想要发展的首要准备。 2电子政务信息安全的问题 如今,电子信息技术的发展呈现出双刃剑的趋势,在为人们提供了便利的同时,也带给了人们在信息安全上的一些疑惑,这样的状况,在国际间更加明显,因电子政务在政府部门的工作中应用较广,其信息安全是存在很大的问题,因为在互联网上有许多黑客专门在窃取和利用的国家的机密信息,这对国家、对政府、对人民群众都是一种威胁,所以在结合了我国电子政务信息之后关于其安全性提出了以下几点:(1)电子政务信息安全管理的相关机制不够明确,在电子政务信息公开的过程中大部分的政府工作人员对相关要保密的信息和要进行公开的信息没有做好区分,导致最终将本应该保密的信息公布到了电子政务的平台上,在电子政务组织系统的管理过程中,分工不够明确、各个管理层面的关系不够清晰,导致电子政务系统的管理十分复杂,缺乏有效的组织和分配。(2)网络的安全技术,我国互联网的发展与西方的一些国家进行比较是晚的,在最近的几年,我国的网络是比前几年快的,但依旧不够成熟,其实许多的软件技术依旧依赖于国外的进口,过于对国外技术的依赖导致我国电子政务信息安全性软件发展受到了很大的限制,同时我国还缺乏在软件技术上进行研究的高端技术人才,导致在自主研究方面其实是一直匮乏的。(3)软件技术没有达到共享,因我国的政府部门工作人员的职能不同,所管理和工作的方式也不同,这就导致了很多的资源不能够共享,而在电子政务信息安全软件研发的过程中就会缺乏统一的标准与原则,导致软件在设计和研发的过程中出现重复的现象,不仅仅浪费了信息与资源,而且还导致软件在设计的时候没有考虑到整个政府部门,从这一点,就能看到,因为研发技术的落后和没有自主性研发软件是导致电子政务信息安全管理的主要原因。 3电子政务信息安全管理问题的解决策略 在结合了我国的电子政务信息安全管理方面存在的问题,提出了以下的解决对策:(1)完善电子政务信息安全管理机制,保障在涉密信息的保护上进行规范化的管理,尤其对在政府电子政务信息开发的工作人员的安全保密意识,意识到政府机密信息泄露的严重性。增强电子政务信息安全监管机制,加强监管部门对政府所要公布的信息的核查和监督,间接的保障政府部门的机密信息的安全。(2)有意识的去培养关于电子政务信息安全方面的专业化高端技术人才,电子信息技术的人才是我国电子政务信息安全管理最为有效的保障和前提,所以,要实施有效的政策来吸引更多的高端技术的人才,从而来在我国电子政务信息安全软件进行有效的研发和探索。(3)加强自主自主研发,统一技术的标准,关于电子政务信息的安全最主要的还要在“优秀软件、技术的自主产权上”,从目前的情况来看,我国应在电子政务信息的安全上,加大投入相关的人力、物力和心力,尤其在优秀技术的自主研发上,在建立了有效且完整的电子政务信息技术的基础上,保证电子政务信息安全的安全评估与其的质量评价标准,从不同的角度出发,来解决我国目前存在的电子政务信息安全管理问题,从根本上,促进我国电子政务信息安全性在国际上的发展。 4结术语 综上所述,目前的电子政务信息平台不仅仅给政府部门信息的公开与人民之间的互动带来了许多的机遇与便利,同时电子政务信息在安全方面的问题也给政府的工作带来了许多之前并未出现过的难度,不论是从网络安全、软件技术、还是从组织管理上的多种问题,这几个方面都在对电子政务信息这一方面产生出了一些问题,上述就此得出了要加强电子政务信息的安全之前,最先需要的就是要巩固基础的建设与安全的管理,同时完善电子政务信息安全系统的管理机制,加强建立电子政务信息安全的管理规章制度,学会对电子政务信息安全进行科学的管理模式,提高统一的安全标准,加强相关政务工作人员的电子政务信息安全的保密意识和去应对电子政务出现不同信息时,有解决问题的策略,从而使得电子政务信息的安全性得到有效的保障。 参考文献 [1]陈晓芳.我国电子政务信息安全问题研究[J].管理世界,2017(12):156-157. [2]山浩哲,彭晓明.探究我国电子政务信息安全问题与对策[J].中国新通信,2016,15:9. [3]田景成.电子政务中的应用安全问题[A].国家信息中心信息安全处.2017中国电子政务与信息安全论坛会议资料[C].国家信息中心信息安全处,2017(05). 作者简介黄高蓉(1979-),女,傣族,云南省弥勒市人。大学本科学历。九级工程师。电子政务信息管理。
网络与信息安全论文:网络时代国家安全与信息安全论文 一、美国国家安全的发展及网络时代信息安全之源起 国家安全是国家调控机制中一个重要因素,具有举足轻重的地位和作用。“国家安全”也是一个历史的和发展的概念,其内涵依据一个国家所处时代的不同而发展演变。时至今日,“国家安全”早已由狭义上的强调国家不受外敌入侵的军事安全扩展为一个广义的内容丰富的大体系。其内涵是一个由关系到国家与社会稳定和发展的各种国内外因素共同构成的动态系统。国家安全政策的主要内容,是尽可能对不利于国家稳定和发展的各种国内外因素进行调控,实现国家的安定和预定的国家目标。代表国家的政治实体(政权和政治制度)为了在不断变化的环境中生存和发展,必须在满足现代国家特定的内外需求的同时,符合一定的国际行为规范。对外政策是政治实体试图适应或控制外部环境对内部影响的一系列行动方针或原则,对外政策能否奏效,取决于不同国家在国内治理和对外关系方面发挥效用的能力。从调控和治理之角度来说,国家对外政策是从属于国家安全战略的。在美国实现现代化及走向强国和超级强国的发展过程中,一个显著的特点是在国家安全的名义下,大力发展高科技,而且首先用于军事。军事科技又带动了高科技,进而带动了整个经济的发展。科学技术的不断创新是美国军事力量和经济实力迅速发展的重要因素,对保障其经济繁荣和国家安全发挥了至关重要的作用。美国战后不断提高科研经费在财政预算中的比例,持续把庞大的人力、物力和财力用于发展军事工业。从战后到20世纪70年代末,科研投入的比例一直雄居世界第一。70年代后继续大幅度增加。国防在美国的研发费用中占很大比重。战后美国几项关键性发明,如电子计算机、卫星通信、微电子处理器等,均直接产自于军事研究。即使是在冷战时期,“遏制战略”之父乔治•凯南也认为冷战竞争主要是在各自内部,即“看谁在解决自己的特殊问题时干得最成功”,而不是靠军事手段。美国经济学家约翰•加尔布雷斯则更加明确地指出,西方国家的命运“完全取决于其发展自己生产力的能力”。美国政府推动信息技术的发展,制定国家信息安全战略,并在不同阶段根据内外情况变化进行调整,很大程度亦是因循了上述系统治国理念。20世纪50年代后期至70年代,美国政府为了在冷战中占据主动,围绕“国家安全”进行国内外战略设计与调控,大力支持发展信息技术,资助并主导了互联网的诞生与发展。1957年苏联世界上第一颗人造卫星上天后,艾森豪威尔总统先后签署了两个公共法案,美国国防部高级研究计划署(DARPA)和美国国家航空航天局(NASA)得以创建。这些部门的建立和相关科研预算经费的投入,有力地推动了军事安全信息技术的创新发展。1962年,美国国防部设想建立一种能够保证美国国内外防卫力量在遭到苏联第一次核打击后仍具有生存和反击能力的指挥系统。随之,计算机专家提出了计算机“网络”的概念。1971年,高级研究计划署资助了一个项目———高级研究计划局网络,把接受其补助金的大学的电脑在全国联网,实现了计算机“网络”这一设想。为了对该网络雏形进行统一技术管理,美国国防部于1974年主导建立了TCP(传输控制协议)和IP(因特网协议)(后合称为TCP/IP协议)。同年,美国国防部将TCP/IP协议公开,向全世界无条件地免费提供解决电脑网络之间通信的优秀技术。五角大楼如此慷慨地向全球提供互联网技术和相关管理协议,其背后自有其深远的、颇具战略意义的谋虑。在当时的历史背景下,该互联网络是一套有明确假想敌的军事指挥系统,其指挥乃至控制功能需要与内外部环境进行信息交换方能体现(亦即“知己知彼”)。另外,其他国家一旦应用此套技术并采纳其管理规范,就会在虚拟空间产生对“美国制造”网络的需求和依赖,这反过来又推动美国政府进一步放开互联网技术,从军用推广至民用,促进经济利益不断扩大。从历史根源的角度来看,自电子计算机互联技术诞生之日起,其应用和推广过程中存在的信息安全问题就相伴而生。但美国国家信息安全作为一种系统思想和战略,是从20世纪90年代初逐渐形成和发展起来的。它在政策实践上以国内为重点,国内、国外并举,围绕内部稳定和发展与维系全球事务主导地位之战略目标,在国内安全得到保障的基础上,根据不同时期的内外环境特点,制定和适时调整对外政策。 二、网络时代美国信息安全战略之发展 信息安全在美国的国家安全和对外政策中开始上升到战略的高度是在克林顿执政时期。克林顿政府以综合发展和综合治理相结合的理念为基础,将政治、军事、经济、文化、社会等领域有机融合起来,对产业结构进行调整,一方面大力推进信息技术在相关领域的研发;另一方面一步步构建信息安全领域的国家战略。20世纪90年代初,苏联解体、冷战结束后,美国在国外失去了最大的政治军事战略竞争对手,国内则面临经济增长乏力等问题,同时还要应付来自于欧洲和日本日趋激烈的经济竞争。此时上台的克林顿政府为应对这些新的挑战,提出国家安全战略三要点:以军事能力维护美国安全;重振美国经济;在国外推行“民主”。其中,“经济安全”是优秀。克林顿政府根据国际局势的变化对军事力量进行了结构性调整,继续加大研发以信息技术为支撑的尖端武器的力度,提高军事人员的素质。与此同时,开始着手信息安全领域的相关部署。1993年,美国政府提出兴建“国家信息基础设施”,即“信息高速公路构想”,对产业结构进行了调整,大力发展信息产业,同时加快用高新技术对传统制造业进行改造。产业结构的变化和信息产业的飞速发展带动了金融和股票市场的繁荣,使美国经济出现了有史以来不间断增长时间最长的时期。到了90年代后期,构建网络空间安全即为保护国家信息安全的战略思想被正式采纳,成为美国政府政策,信息安全的概念随之产生,然后纳入美国国家安全战略体系。由此,网络时代美国国家安全战略框架下的信息安全政策就产生了。1998年5月,克林顿颁布第63号总统令———《克林顿政府对关键基础设施保护的政策》,首次提出了“信息安全”的概念和意义。该文件开宗明义“:美国拥有世界上最强大的军事力量和经济力量,这两种力量相互促进相互依赖,但是也越来越依赖某些关键设施和以网络为基础的信息系统。”在2000年12月克林顿签署的《全球化时代的国家安全战略》文件中,“信息安全”被囊括了进来。这标志着新的历史背景下,信息安全正式成为了美国国家安全战略框架的重要组成部分。在对外关系上,克林顿政府坚持一切以实现国家安全战略要点为根本的政策。而在利用信息技术优势实现经济安全战略目标方面,克林顿对外政策的第一大特点,是把计算机网络作为对外贸易政策的一个重要组成部分。美国在因特网上的商业活动占得先机。1997年,通过因特网上进行的76亿美元商品交易中,美国就占了9/10;美国企业占了全世界网址的70%,占网上总收入的93%。正是基于对全球互联网贸易巨大潜力的认识,1997年7月,克林顿政府公布了网络贸易战略报告《全球网络贸易框架》,强烈要求宣布互联网络为全球自由贸易区,发展技术并制订行为准则。美国政府的目标是尽可能充分地利用自身优势,把它研制的互联网技术标准和制定的内部行为准则推广到全世界,把美国的标准作为全球的标准固定下来,从而在全球虚拟空间贸易竞争中占据主导地位。由此可见,在对外关系方面,发展全球网络贸易并主导国际规则的制定,已成为美国政府维护国家经济安全的一项重要内容。在外交事务方面,克林顿政府的政策之显著特点是推行新霸权主义,大打“人权牌”,以图将美国的人权观和价值观推向全世界,这是克林顿政府安全战略对外部分的优秀之一。其中,通过利用网络信息技术进行美国精英治理价值观推广是非常重要的。为了在世界上推行美国的国际规则,克林顿很注意使用“软”的一手。他上台伊始即把在国外推动民主和人权作为其外交政策的第三支柱。他提出的冷战后美国对外关系新战略的内容之一便是“帮助”社会主义国家“扩大民主和市场经济”,极力通过外交手段继续在国际社会中推广美国的价值观。克林顿政府为美国留下的最大一笔外交“遗产”,当属以“新干涉主义”“克林顿主义”等著名的一套“软”“硬”并重的“理论”。克林顿抛出的这套“人权高于主权”的“理论”,便是美国选择的修改现行国际规则的突破口。而全球推广互联网技术,能相对低成本、高效率地帮助美国政府突破他国境外信息准入屏障,将自己的观念即时传播至当地民众,对舆论造成影响。小布什2001年上台后不久就爆发了“9•11”恐怖袭击。在反恐战争的背景下,为保障美国国家信息安全,防止出现极端事件,美国政府进一步提高了对信息安全的重视程度,战略思想从防御为主转为攻防结合。2003年2月,美国公布了《国家网络安全战略》报告,提出建立美国国家网络空间安全响应系统,正如有学者指出的,此系统可谓是一个国家—民间,公共—私人合作机制。奥巴马2009年上台后,从军事安全角度,进一步强调网络空间战略的进攻能力和威慑性。同时,奥巴马政府将互联网信息安全作为美国外交政策突破国家主权的便捷途径,对外推进国家利益以及推广自身认可的价值观。同年5月,奥巴马总统批准公布了国家网络安全评估报告:《网络空间政策评估———保障可信和强健的信息和通信基础设施》,指出“美国的经济和安全利益都是以信息系统为基础,……,政府需要综合考虑各方竞争的利益,制定出一个全面设想和计划,以解决美国面临的网络安全问题”;6月,美国创建了世界上第一个网络战司令部。2010年,白宫发表了《2010国家安全战略》,保证将信息安全作为国家安全工作的重点。与克林顿时期相比,奥巴马时期网络安全战略的特点是,网络外溢效应凸显,虚拟空间的传播突破了传统的国界线,同时也影响到了作为最初主导构建网络内外空间的美国政府所要处理的内外问题。 三、信息安全在美国国家安全和对外政策中的作用日益重要 美国“国家安全”的优秀目标是主动避免自身关键利益受到伤害,在内外环境中,争取最大程度的主导权。作为国家安全总体战略的一个部分,美国的国家信息安全战略也即为此目标服务。在当代,信息技术与国家安全的关系越来越密切。信息安全上升到国家安全战略的高度后,在美国的对外政策中起了越来越重要的作用。主要体现在以下几个方面。信息安全在美国的世界秩序构建中具有十分重要的地位。乔治•里卡斯对美国的世界秩序作了贴切的描述:“首先是尽可能扩大和巩固生存空间,建立并巩固一种更为广泛的秩序,这种秩序在美国力量强大时是它自我表演的舞台;在遇到失败或力量相对衰落时是支持和复兴的力量;即使美国最终衰败时,也会“成为被人们铭记和仿效的楷模”。在网络时代,美国政治精英们相信“信息就是权力”。美国政府推行的信息安全战略是为美国国家安全战略服务的有力工具。美国对外安全战略总的要求是,防止敌对和不友好势力对美国利益的损害,美国的中心目标是建立一个以它为主导的世界秩序,信息安全无疑成为成本低、效果显,影响既广泛又深远的政策手段。第二次世界大战后,美国的国内外政策相互影响,两者之间的关系越来越密切。究其原因,主要是政府和国会动辄以“国家安全”对美国的内外政策加以诠释。“世界秩序”则日益成为美国“国家安全”掩盖下“霸权有理”的代名词,它涵盖了美国由企图主宰世界到试图主导世界的策略上的转变过程。而信息安全则成为美国国家安全中日益重要的内容。 国际规则是规制世界秩序的大法。美国对其信息主导地位的维护对全球信息安全规则产生了重大影响。为了使其易于接受,美国对其信息安全战略(政策)重新进行了诠释,突出并强调该战略中的“国际性”,极力诠释其战略目标及实现手段和规则制定之“道德性”,意图在于通过“道德性”来掩盖美国争取国际网络空间规则制定主导权以及相关利益的真实目的,通过“国际性”来印证其“道德性”。美国在实现手段和规则方面精心设计,力图使其显得在最大程度上符合全球化和人类安全问题的时代潮流。2011年美国政府出台的第一份《网络空间国际战略》,首次明确将互联网自由纳入维护网络安全政策体系之内,“将此项努力与二战后建立经济和军事安全的全球框架相提并论”。从这份《网络空间国际战略》文件可以看出,信息技术在21世纪快速发展与全球普及,已经对国际秩序造成了深远影响,美国作为国际社会霸主,意识到自己必须通过强调自身国家安全战略的“国际性”与“道德性”来重新构建其世界影响力的合法性与合理性。网络技术和信息安全对于提高美国的综合国力起了巨大的推动作用。实力是一国制定外交政策的基本参考标准,信息技术的发展对美国综合国力的进一步提高产生了深刻影响。美国从20世纪80年代末开始越来越重视“软”力量的作用。其外交政策的一个显著特点就是综合使用或交替使用政治、经济和文化意识形态手段。约瑟夫•奈认为,冷战结束后,意识形态的冲突将让位于更危险的各种文明之间的冲突,属于不同文化范围的各个民族的文明之间的冲突正是为了扩大自己的支配权;他还认为,在当今时代“,硬实力和软实力同样重要,但是在信息时代,软实力正变得比以往更为突出”。基欧汉和奈在论述信息与权力的关系时指出:“信息和美国大众文化的传播增进了美国观念和价值观在全球的认知和开放”;“在21世纪,广义的信息能力可能会成为最关键的权力资源”,“信息革命的最终影响是,改变政治进程,在软、硬权力的关系中,软权力比过去更为重要。”网络外交的出现,使软实力的重要性进一步提升。布什政府时期,美国的对外政策开始向利用综合力量进行调控。克林顿上台后更加重视“软”力量,把美国式的民主和西方资本主义经济作为普遍原理在全世界推广。他在20世纪末向国会提交的《新世纪国家安全战略》强调,美国必须致力于外交“,为防止冲突、促进民主、开放市场”等方面花的每一美元都肯定会在安全上得到回报。奥巴马总统则更加主动地出击,把《网络空间国际战略》称为“美国第一次针对网络空间制定全盘计划”。不难看出,美国政府是要将信息技术优势充分为己所用,营造有利于自身稳定与发展的外部环境,通过危机管理、推广民主和市场开放来塑造信息化时代的全球价值观,增强自身国际影响力,进而巩固和提高国家实力。信息技术的发展对外交决策的影响越来越大。自上世纪末,美国产业结构就已经发生了重大变化,长期以来在产业结构中居于主导地位的钢铁、石油、化工等产业的地位逐渐下降,以半导体、微电子、计算机、软件业为代表的信息技术产业迅速崛起。早在20世纪90年代,微软、英特尔公司就已取代了美国三大汽车公司当年的地位,成为美国经济保持持续增长的主要推动力。至今,信息产业已成为美国最大的产业,伴随着这种变化,一批新的权势人物也涌现出来,对美国的对外政策产生了重大影响。这批新的权势人物拥有强大的经济实力做后盾,将逐渐在美国的政治权力架构中扮演举足轻重的角色。他们有能力通过参与或资助竞选、游说国会、制造和影响舆论等方式影响美国内政外交的酝酿和制定。鉴于信息技术产业如今在美国经济发展中所占据的重要地位,美国政府制定对外政策(尤其是经贸政策和知识产权问题)时势必要考虑这一产业集团代表的利益与要求。 四、信息安全:美国国家安全和对外政策的“双刃剑” 互联网的发展促进了人类的生产力的提高,在政治、经济、军事等方面的积极作用毋庸置疑,但其“双刃剑”的角色也不可否认。对于美国这样的超级大国,现代网络信息技术对其国家安全和外交活动的影响更是双重的。主要体现在以下几个方面。网络安全遇到的威胁日益严重。计算机病毒利用现代计算机网络技术进行传播,对网络信息系统进行攻击和破坏,对外交信息安全造成了严重威胁。黑客攻击是另一种破坏程序,可给外交人员及国家带来严重影响,甚至威胁国家和地区的安全。近些年来,不单是美国,世界其他主要国家也将信息安全列为国家安全的重要威胁。如,俄罗斯在2000年9月把国家信息化建设作为其外交的一个重要组成部分。英国政府2010年10月公布的《国家安全战略》将网络战列为英国今后面临的“最严重威胁”之一。随着全球化的发展,网络已经直接影响到世界各国的政治、经济和社会运转,控制着世界信息流动和国际经济命脉如何切实维护网络安全,各国尚无万全之策,美国也不例外。对西方价值观,特别是人权观的影响愈发明显。批判理论家罗伯特•考克斯指出,社会结构是主体间互动的结果,是社会建构而成的。人类安全和人权问题越来越受重视。按照西方资本主义的意识形态和美国自己的文化价值观去“规范”全世界,是美国国家安全战略的一项重要内容,且占有越来越突出的位置。冷战结束后,美国等西方国家把“捍卫西方价值观”推到外交和国家安全的前台。20世纪90年代以来成为西方一个重要政治理论“第三条道路”宣称的对外政策的两大实质,一是向全世界推广西方的自由、民主、人权、法治等价值观,二是推行“人权高于主权”“人权无国界”“主权有限”“主权过时论”等观念。美国在“互联网打上了美国价值观的烙印”。但美国自身也是精英治理与个人自由之间矛盾着的混合体,一边是现实,一边是信仰及理想。“美国价值观”在对外政策(人权问题、个人自由、道德观)方面定调太高,看上去很美,但真正落实起来,困难很多。如屡屡发生的美国利用网络信息技术对国内,特别是对别国机构和重要人物的窃听丑闻,最有名的是斯诺登揭秘案例,就大大削弱了美国的“道德”影响力。正在逐渐削弱美国等西方国家的霸权地位。1999年,约瑟夫•奈在《信息革命与国际安全》一书中,把信息技术革命视为21世纪美国在国际事务中保持主导地位、发挥更大作用的一种重要“软力量”。美国凭借其在信息技术和互联网方面的优势谋求全球信息化主导权,以获取“信息霸权”来进一步巩固和扩大其21世纪全球唯一超级大国的影响力,强化其“全球霸权”地位。迄今为止,以美国为首的少数西方发达国家在信息领域仍占有很大优势,确立并保持着“信息霸权”。他们深信自身的政治主张和价值观念具有优越性和普世价值,同时对政治体制和价值观不同的国家心存偏见,在不完全了解这些国家(特别是广大发展中国家)具体历史和现实国情的情况下,干涉别国内政,制造民族间、国家间和不同宗教间的矛盾,招致了越来越多的不满、嫉恨,为自己催生、培育了越来越多的对立面。一些宗教团体、政治党派、极端组织等也通过各种信息传输手段传播不利于、甚至反对美国等西方国家的各种主张。从国家层面来看,全球网络信息空间主要的行为体仍是各个国家,在国际体系信息安全规范仍然缺位的情况下,各国均设法扩大本国网络空间安全边界来保障国家安全,由此产生的结果是合作与博弈并存。美国对此情况显然已经有了一定程度的认识,但仍无法摆脱过于以自我为中心的价值判断,白宫在2011年5的《网络空间国际战略:构建一个繁荣、安全和开放的网络世界》,被解读为既是“合作的邀请”又是“对抗的宣言”。长期以来美国等西方发达国家主导着互联网治理的话语权,从标榜互联网“开放、共享、无国界”到借“网络自由”等抨击其他国家的网络安全治理。这些不可避免地引起了其他国家或机构层级的抵制乃至对立。总的来看,美国在信息领域正经历从“霸权”到“王权”的转变过程。对国际关系概念和公共外交带来挑战。伴随着网络信息技术的飞速发展和空间技术的应用,传统的“国家主权“”领空”和“领土”等概念受到了一定程度的影响。利用高科技手段制造和传播旨在削弱、颠覆他国政权的信息、刺探情报或进行洗钱等活动,给国家安全增添了新的防范问题。1965年“公共外交”概念被首次提出并得到运用,该外交策略试图通过现代信息通讯等手段影响其他国家的公众,以帮助外交政策的形成与推行。美国是“公共外交”的有力践行者,白宫大力开展思想文化传播,实施外交战略,在网络信息空间构建“公共外交”的实践场域。但通过互联网频频披露的美国政府之种种劣行,无疑也会损害美国的形象,侵蚀美国透过外交展现的“软”实力和“巧”力量。此外,信息安全“双刃剑”还体现在这些方面:(1)随着网络信息技术的深入发展,美国的国家安全正遭受着越来越大的非传统威胁,对传统国家政治治理模式造成了挑战。(2)政府权威受到进一步挑战,个人、企业、非政府组织、恐怖分子、社会运动等都成为影响国际政治的重要变量,削弱了美国及许多国家政府对本国事务的控制能力;国家外交政策的合法性在网络上受到更多质疑的同时,政府对网络舆情的管理更加困难,对外交议程的控制力也会相应减少,如美国国防部因无法合理解释关塔那摩监狱的虐囚事件而在网上广受诟病。(3)面临更多的国内外问题。美国虽在建立其国际安全体系方面“成就”显著,但用于“国家安全”上的开支增加迅猛,这固然刺激和带动了经济的发展,但同时也背负着过多的支出;它既可提高国家的安全系数,同时也增加了易受攻击的“软肋”。 五、结语 在过去的半个多世纪里,美国政治精英们为了维护国家内部的稳定和发展,巩固和保持其国际超级强国地位,围绕着“国家安全”进行内外战略设计与调控,大力发展信息技术,资助并主导了全球化时代的互联网之产生与发展。从上世纪90年代后期至今,美国政府已经构建了颇为完整的信息安全战略,在其国家安全框架下,从政治、军事、经济和外交等多个方面统筹指导国家对外政策的制定与调整。总的说来,美国发展信息技术,将科技创新为己所用,迅速提高综合国力和国际影响力的一条有效措施,是使国家信息安全与国家发展和国际地位之巩固紧密有机地结合在一起。美国虽在建立自己的信息安全体系和实现国家安全战略目标方面取得了显著“成就”,但它自身在调控信息安全,主导对外政策的同时,也受到越来越多的内外因素之制约。从美国自身战略设计的角度来看,尤其需要强调的是,国家信息安全作为支撑美国国家发展的一个庞大体系,涉及面非常之广泛。在对外政策方面,由于国际环境的复杂与多元,加上与国内因素相互交织,任何一个部分出现误判,都有可能使整个系统出现漏洞,使得其他部分和其他环节的工作化为乌有。若一味强势追求自身“信息安全”,既有力不从心之虞,也会增加国际合作的难度,恐生过犹不及之忧。 作者:朱丹丹 单位:外交学院外交学与外事管理系 网络与信息安全论文:信息安全系统与计算机网络论文 1构建计算机网络与信息安全系统 1)加强病毒防范 病毒的入侵是因为计算机系统本身存在着一些漏洞,因此需要定时地对计算机的漏洞进行检测并修复,从而有效及时地防范病毒的攻击。我们只需要一款好的杀毒软件便可以解决此问题。杀毒软件不仅具有杀毒的功能,还能对计算机进行实时的监控,因此用户必须要安装一款杀毒软件,并及时地对病毒库进行更新,增强计算机病毒防范的能力。 2)防火墙技术 防火墙技术可以有效地避免外界网络对计算机的非法入侵,保障网络的安全性。它是一道隔离本地网络和外界网络的防御系统,能够有效地隔离风险区合安全区的连接,是一种高效的网络安全模型,因此用户要提高防火墙的等级。 3)加强访问控制技术 访问控制技术是指制定相应的网络访问规则,部分网络允许被访问,而部分网络禁止被访问。通过访问控制技术能够降低网络被攻击的概率,从而在一定程度上提高了网络的安全性。访问控制策略的制定包括入网访问控制环节、网络权限划分环节、客户端防护策略制定三部分组成。其中入网访问控制是网络的第一道关口,一般都是通过验证用户账号和口令来控制。因此,为了提高计算机使用的安全性,用户应尽量使账号和口令复杂化,并定时对其进行更改,防止他人盗窃。 4)建立安全实施防御和恢复系统 众所周知,计算机本身具有一定的漏洞控制能力,但是不能长时间地确保网络信息的安全性,因而当发现网络信息被破坏的时候,应该及时地做出一些补救方案,使丢失的信息或者资料能够尽快恢复,减小损失。为了保障网络系统的安全性,就需要建立安全实施防御和恢复系统,包括安全检测预警机制、安全反应机制、入侵检测机制以及安全恢复机制。 5)采用信息加密和认证技术 当前受大众欢迎的电子商务就是依靠加密技术作为保障的。信息加密是阻止他人恶意地盗取或者破坏信息,能有效地保障信息的机密性。而认证技术可以确保信息的完整性,使信息不被他人恶意更改,在开放式计算机网络环境的安全防御方面扮演了重要的角色。因此,为了保障计算机内数据、文件、口令等重要信息不被他人盗取,就需要对信息流通过程中要传输的数据进行加密和认证处理。常见的信息加密方法有三种,即链路加密、端点加密以及节点加密。 2计算机网络与信息安全系统的关键技术 1)设置密码技术 为了保障计算机网络信息的安全性,最常用的方法就是设置密码,这是保证信息安全的最基本的方法。首先,对需要保护的信息进行加密处理,可以防止信息被非授权用户所访问。其次,密码技术的采用使得网络信息多了一层保护壳,即使信息被不法分子盗取,但是却很难破解其中的内容,有效地防止了信息的外泄。 2)访问控制技术 访问控制技术能够有效地对网络进行安全防范和保护,主要是防止用户对资源越权使用现象的出现。使用访问控制技术时,用户在使用某些特定的网络资源的时候需要进行身份验证,从而确定用户是否具有使用权。该技术在某种程度上限制了访问网络的行为,减小了网络信息被侵犯的可能性。 3)病毒防范技术和防火墙技术 病毒防范技术中最常用的就是安装防病毒软件。当前计算机网络上使用的防病毒软件有两种存在形式,即单机防病毒软件和网络防病毒软件。其中网络防病毒软件的重点在网络上,当病毒攻击网络系统的时能够及时地对其进行查杀。值得注意的是防病毒软件并不是万能的,一些新型的病毒也会让其束手无策,因此还需对系统的重要文件进行备份,并对关键的信息进行加密处理。防火墙是一款网络的防护软件,可以防止网络受到外界的侵害。安装了防火墙软件的计算机就等于多了一道保护墙,可以使其在一个相对安全的环境内运行。总之,计算机网络与信息安全系统的建立除了需要技术支持外,更需要我们广大用户自身提高安全意识,共同来抵制和维护,才能有效预防网络病毒入侵,确保网络的安全性。 作者:刘德文 单位:常德职业技术学院现教中心 网络与信息安全论文:信息安全与网络通信技术论文 1当前网络通信信息安全存在的问题 在利益的驱使下,部分不法分子企图通过不合法的网络系统攻击方式对网络通信进行人为的攻击从而获取大量的网络资源。这些“黑客”的攻击不仅出现在商业管理终端等能够获取大量经济利益的领域,甚至还可能出现在个人的计算机中获取个体用户的信息,给用户的信息安全造成重大隐患。应该客观认识的是,我国网络通信在人们生活水平不断提升及通信方式变革的背景下发展速度一日千里,但是作为保障的信息安全维护工作却与网络通信的发展现状存在较大差距。再加上网络通信管理部门对于网络通信信息安全认识不足、网络通信管理制度不健全等问题也加剧了网络通信信息安全隐患,甚至给整个互联网通信系统带来安全隐患,给不法分子以利用的机会。正是基于当前我国网络通信中信息安全的严峻现状及在这一过程中所出现问题的原因,笔者认为,不断加强网络通信技术革新与网络通信制度建设,充分保障网络通信信息安全是时展的必然要求。 2保障网络通信信息安全的途径 2.1充分保障用户IP地址 由于黑客对用户网络通信的侵入与攻击大都是以获取用户IP地址为目的的,因此,充分保障用户的IP地址安全是保护用户网络通信安全的重要途径。用户在使用互联网时也要特别注意对自身IP地址的保护,通过对网络交换机的严格控制,切断用户IP地址通过交换机信息树状网络结构传递被透露的路径;通过对路由器进行有效的隔离控制,经常关注路由器中的访问地址,对非法访问进行有效切断。 2.2完善信息传递与储存的秘密性 信息传递与信息储存的两个过程是当前给网络通信信息安全造成隐患的两个主要途径,在网络信息的存储与传递过程中,黑客可能会对信息进行监听、盗用、恶意篡改、拦截等活动以达到其不可告人目的的需求。这就要求用户在使用网络通信技术时要对网络信息的传递与储存环节尽量进行加密处理,保证密码的多元化与复杂性能够有效甚至从根本上解决信息在传递与储存环节被黑客攻击利用的威胁。当前在网络通信过程中用户可以选择自身合适的加密方式对自身的信息进行加密处理,而网络维护工作者也要根据实际情况加强对信息的加密设置。 2.3完善用户身份验证 对用户的身份进行有效的验证是保障网络通信信息安全的另一条重要途径。在进行网络通信之前对用户身份进行严格验证,确保是本人操作从而对用户的私人信息进行充分有效的保护。当前,用户的身份验证主要是通过用户名与密码的“一对一”配对实现的,只有二者配对成功才能获得通信权限,这种传统的验证方法能够满意一般的通信安全需求,但是在网络通信技术发展速度不断加快的背景下,传统的身份验证方法需要新的变化,诸如借助安全令牌、指纹检测、视网膜检测等具有较高安全性的方法进一步提升网络通信信息安全水平。此外,在保障网络通信信息安全的过程中还可以通过完善防火墙设置,增强对数据源及访问地址恶意更改的监测与控制,从源头上屏蔽来自外部网络对用户个人信息的窃取以及对计算机的攻击。加强对杀毒软件的学习与使用,定期对电脑进行安全监测,从而确保用户自身的信息安全。 3结语 完善网络通信技术的安全保障是用户在开展网络通信时保护个人信息的必然要求,必须要通过完善对用户IP地址的保护、完善对用户信息传递与储存的保护、完善对用户身份验证的途径加强对网络通信信息安全保障。 作者:刘佳 单位:中国铁通集团有限公司四平分公司 网络与信息安全论文:卫生网络与信息安全论文 1我国卫生信息化发展概述 1.1卫生行业信息化建设的方向性为进一步加快我国卫生信息化整体的建设步伐,推进信息技术在全国医疗卫生领域的广泛应用,改善我国卫生防疫、公众医疗、基层卫生等状况,提高公共卫生健康水平,国家鼓励地方政府建设全国联网五级数字卫生信息平台。即:建设覆盖全国“省—市—县(市、区)—乡—村”五级数字卫生体系,并通过租用营运商提供的网络,实现对全国卫生信息以及公众健康信息的收集、处理、查询、传输和共享,完成面向公众基于个人健康档案服务和远程医疗会诊。 1.2加强卫生信息收集整理的重要性加强卫生信息的收集整理是改善和提高卫生系统质量的前提条件。尽管及时可靠的卫生信息是改善公共卫生状况的基础,但是,由于各级卫生行政管理机关在数据采集、分析、和使用方面的投入不足等原因,常常无法实现及时的跟踪以达到完全链接和反映现实医疗卫生状况,导致决策者无法正确发现问题、了解现实需求、跟踪最新进展、评估所采取措施产生的影响,干扰了行政管理部门在卫生政策制定、项目设计以及资源分配等方面做出正确决策。所以,加强卫生信息收集整理对改善和提高卫生系统的服务质量就显得尤为重要。 1.3加强信息安全保障和管理的必要性安全管理是一个可持续的安全防护过程。信息安全建设是我国卫生行业信息化建设不可缺少的重要组成部分。医疗卫生信息系统承载着大量事关国家政治安全、经济安全和社会稳定的信息数据,网络与信息安全不仅关系到卫生信息化的健康发展,而且已经成为国家安全保障体系的重要组成部分。因此,开展卫生行业信息化必须重视建立健全信息安全保障和管理体系建设。一是强化安全保密意识,高度重视信息安全,是确保卫生行业信息系统安全运行的前提条件;二是加强法制建设,建立完善规范的制度,是做好卫生行业信息安全保障工作的重要基础;三是建立信息安全组织体系,落实安全管理责任制,是做好卫生行业信息安全保障工作的关键;四是结合实际注重实效,正确处理“五级数字卫生体系”安全,是确保信息安全投资效益的最佳选择。 2卫生信息安全的风险与需求分析 随着网络社会发展程度的不断提高,网络与信息安全事件是信息化发展进程中不可避免的副产品。当今社会已进入互联网时代,信息传播的方式、广度、速度都是过去任何一个时代无法比拟的。随着网络应用的日益普及,黑客攻击成指数级增长,利用互联网传播有害信息的手段层出不穷。网络在给人们带来便利的同时,也带来不可忽视的安全风险。所以,可靠的卫生信息就需要一个安全的数据运行环境,只有这样,才能实现向卫生行政管理部门或社会提供有效的、高质量的、安全的数据保障。 2.1安全风险分析目前卫生系统所面临的风险主要包括应用系统风险和网络风险。应用系统风险主要体现在身份认证、数据的机密性、完整性、授权管理控制等,此类风险可以通过应用系统的改造提升得到控制。网络风险主要体现在网络结构不够清晰、区域划分不合理、区域边界防护措施缺失、接入网络缺少相应的防护措施、安全管理不到位等,容易造成可用带宽损耗、网络整体布局被获得、网络设备路由错误、网络设备配置错误、网络设备被非授权访问、网络管理通信受到干扰、网络管理通信被中断、传输中的网络管理信息被修改和替换、网络管理中心受到攻击、外部单位接入风险、本地用户接入威胁、恶意代码传播和破坏风险、安全操作风险、安全管理风险等等。系统和网络出现问题,将会造成网络信息丢失和网络瘫痪,无法实现网络功能和满足服务对象的需求。 2.2网络安全需求分析保证网络相关设备安全、稳定、可靠地为业务活动提供优质服务的前提是网络要安全、设备运行要正常。为此,必须要保证网络体系结构安全,采用各种安全措施有效防止卫生网络系统遭到非法入侵、未经授权的存取或破坏可能造成的数据丢失、系统崩溃等事故发生;采用灵活的网络拓扑和冗余与备份,保证网络结构不因单点故障造成网络业务活动的中断;采用可信的网络管理手段,保证结构的完整性。网络系统遭到有意攻击、设备故障、网络管理出现漏洞等是网络安全防范的重点。 2.3边界安全需求分析清晰、规范地界定、标识网络边界,是网络边界设备和安全网关实施防护的有效措施。采用具有多层访问控制功能的防火墙对接入实施控制;使用基于网络的IDS有效侦测来自内部、外部对网络边界的攻击,严格记录网络安全事件,配备网络边界设备脆弱性评估工具,有效监控网络边界设备的配置、运行状态和负载;配置网络穿透性测试工具,定期或不定期对网络边界安全有效性进行检查。边界安全是网络安全的门户,提升网络边界安全设备管理服务功能,是保证安全策略设计、配置、部署等管理工作的有效途径。 2.4网络管理安全需求分析对于卫生网络系统而言,网络与信息的安全时常受到威胁,最常见的就是拒绝服务攻击、网页篡改、恶意程序等。为保证网络与信息的安全,需要构造科学、有效的网络安全管理平台。以业务为中心,面向卫生系统,将不同的网络进行整合,基于应用环境来管理网络及其设备的正常运行。当网络异常时,基于事先制订的策略(主要是应急方案)和网络管理系统,实现主动采取行动(如:终止、切断相关连接;停止部分非关键业务等),达到主动保证卫生系统网络安全和正常运行的目的。 3卫生信息安全的防御体系与网络的维护 3.1卫生信息安全的防御体系卫生信息安全防御体系是一个动态的过程,攻防双方都是与时俱进的。防护的目的在于阻止入侵或者延迟入侵所需要的时间,以便为检测和响应争取主动。一旦防护失效,通过检测和响应,可以及时修复漏洞,杜绝威胁,防止损失扩大,确保业务运行的持续性。从技术发展的角度来考虑,攻击和防御构成了一种动态平衡的体系。一段时间内,安全防御发挥着有效的作用,此时的安全体系就具有一定的平衡性,但这种平衡是相对稳定的,一旦攻击技术有所突破,防御也需要随之更新,安全防御体系就是在这种由此及彼的相互牵制中动态发展的。 3.2网络的维护随着信息系统在卫生行业的应用,网络安全问题日渐凸显。一旦网络出现故障,小到造成单机信息丢失、被窃取、操作系统瘫痪;大到全网网络服务中断,业务被迫停滞,甚至是重要数据丢失等一系列严重后果。在新医改大背景下,对医疗服务质量的要求越来越高,如何构建坚固的网络环境,是每一个医疗单位的责任,同时也是挑战。在网络正常运行的情况下,对网络基础设施的维护主要包括:确保网络传输的正常;掌握卫生系统主干设备的配置及配置参数变更情况,备份各个设备的配置文件。这里的设备主要是指交换机和路由器、服务器等。主要任务是:负责网络布线配线架的管理,确保配线的合理有序;掌握内部网络连接情况,以便发现问题迅速定位;掌握与外部网络的连接配置,监督网络通信情况,发现问题后与有关机构及时联系;实时监控整个卫生行业内部网络的运转和通信流量情况。 3.3信息安全风险控制策略面对复杂的大规模网络环境,无论采取多么完美的安全保护措施,信息系统的安全风险都在所难免。因此,在对信息系统进行安全风险评估的基础上,有针对性的提出其安全风险控制策略,利用相关技术及管理措施降低或化解风险,如物理安全策略、软件安全策略、管理安全策略、数据安全策略等,可以将系统安全风险控制在一个可控的范围之内。 3.4数据的保存与备份计算机系统中最重要的就是数据,数据一旦丢失,导致卫生行业的损失是巨大的。针对各类型的危机事件,应该制定完善的备份方案,防患于未然,做到数据丢失后能及时处理,减少损失带来的巨大后果。网络环境具有复杂性、多变性、脆弱性。它们共同决定着网络安全威胁的存在。在我国,卫生网络与信息逐渐扩大,加强网络安全管理和建立完善信息安全的屏障已成为网络建设中不可或缺的重要组成部分。我们应充分认识网络信息安全的重要性,在网络维护过程中加强网络信息安全,做到事前预防、事中监控、事后弥补,不断完善安全技术与安全策略,提高卫生网络信息的安全性。 作者:李楠单位:云南省医学信息研究所 网络与信息安全论文:信息安全与网络安全论文 1网络安全检测系统设计构思 1.1设计目标网络安全检测系统需要对网络中的用户计算机和网络访问行为进行审计,检测系统具有自动响应、自动分析功能。自动相应是指当系统发现有用户非法访问网络资源,系统将自动阻止,向管理员发出警示信息,并记录非法访问来源;自动分析是根据用户网络应用时应用的软件或者网址进行分析,通过建立黑名单功能将疑似威胁的程序或者方式过滤掉。此外,系统还具有审计数据自动生成、查询和系统维护功能等。 1.2网络安全检测系统架构网络安全检测系统架构采用分级式设计,架构图如。分级设计网络安全检测系统具有降低单点失效的风险,同时还可以降低服务器负荷,在系统的扩容性、容错性和处理速度上都具有更大的能力。 2系统功能设计 网络安全检测系统功能模块化设计将系统划分为用户身份管理功能模块、实时监控功能模块、软件管理模块、硬件管理模块、网络管理和文件管理。用户身份管理功能模块是实现对网络用户的身份识别和管理,根据用户等级控制使用权限;实时监控模块对在线主机进行管理,采用UDP方式在网络主机上的检测程序发送监控指令,检测程序对本地进行列表进行读取,实时向服务器反馈信息;软件管理模块是将已知有威胁的软件名称、参数等纳入管理数据库,当用户试图应用此软件时,检测系统会发出警告或者是拒绝应用;硬件管理模块对网络中的应用硬件进行登记,当硬件非法变更,系统将发出警告;网络管理模块将已知有威胁网络IP地址纳入管理数据库,当此IP访问网络系统时,检测系统会屏蔽此IP并发出警告;文件管理模块,对被控计算机上运行的文件进行实时审计,当用户应用的文件与系统数据库中非法文件记录匹配,则对该文件进行自动删除,或者提示用户文件存在风险。 3数据库设计 本文所设计的网络安全检测系统采用SQLServer作为数据库,数据库中建立主体表,其描述网络中被控主机的各项参数,譬如编号、名称、IP等;建立用户表,用户表中记录用户编号、用户名称、用户等级等;建立网络运行状态表,其保存网络运行状态结果、运行状态实际内容等,建立软件、硬件、信息表,表中包含软件的名称、版本信息、容量大小和硬件的配置信息等;建立软件、网址黑名单,对现已发现的对网络及主机具有威胁性的非法程序和IP地址进行记录。 4系统实现 4.1用户管理功能实现用户管理功能是提供网络中的用户注册、修改和删除,当用户登录时输出错误信息,则提示无此用户信息。当创建用户时,系统自动检测注册用户是否出现同名,如出现同名则提示更改,新用户加入网络应用后,网络安全检测系统会对该用户进行系统审核,并将其纳入监管对象。系统对网络中的用户进行监控,主要是对用户的硬件资源、软件资源、网络资源等进行管控,有效保护注册用户的网络应用安全。 4.2实时监控功能实现系统实时监控功能需要能够实时获取主机软硬件信息,对网络中用户的软件应用、网站访问、文件操作进行检测,并与数据库中的危险数据记录进行匹配,如发现危险则提出警告,或者直接屏蔽危险。 4.3网络主机及硬件信息监控功能实现网络主机及硬件信息监控是对网络中的被控计算机系统信息、硬件信息进行登记记录,当硬件设备发生变更或者网络主机系统发生变化,则安全检测系统会启动,告知网络管理人员,同时系统会对网络主机及硬件变更的安全性进行判定,如发现非法接入则进行警告并阻止连接网络。 5结束语 本文对网络安全检测系统进行了设计介绍,明确设计目标和设计架构,对系统各功能模块进行设计说明,分别对用户管理功能、实时监控功能、网络主机及硬件信息监控功能的实现进行论述,完成基本的网络安全检测功能,满足网络安全检测需要。 作者:徐宝海单位:泰州市高等教育园区管理委员会 网络与信息安全论文:计算机网络信息安全与防护研究论文 摘要计算机网络信息安全在国民生活中受到越来越多的关注,原因在于:许多重要的信息存储在网络上,一旦这些信息泄露出去将造成无法估量的损失。之所以网络信息会泄露出去,一方面有许多入侵者千方百计想“看”到一些关心的数据或者信息;另一方面网络自身存在安全隐患才使得入侵者得逞。针对这些问题,该文归纳并提出了一些网络信息安全防护的方法和策略。 关键词计算机网络信息安全黑客网络入侵 1引言 近年来,伴随着互联网技术在全球迅猛发展,人们在提供了极大的方便,然而,信息化在给人们带来种种物质和文化享受的同时,我们也正受到日益严重的来自网络的安全威胁,诸如网络的数据窃贼、黑客的侵袭、病毒者,甚至系统内部的泄密者。尽管我们正在广泛地使用各种复杂的软件技术,如防火墙、服务器、侵袭探测器、通道控制机制,但是,无论在发达国家,还是在发展中国家(包括我国),黑客活动越来越猖狂,他们无孔不入,对社会造成了严重的危害。与此同时,更让人不安的是,互联网上黑客网站还在不断增加,学习黑客技术、获得黑客攻击工具变得轻而易举。这样,使原本就十分脆弱的互联网越发显得不安全。针对各种来自网上的安全威胁,怎样才能确保网络信息的安全性,尤其是网络上重要的数据的安全性。本文通过对几起典型的网络安全事件的分析,以及对威胁网络安全的几种典型方法研究的结果,提出实现防护网络安全的具体策略。 2计算机网络信息安全面临的威胁 近年来,威胁网络安全的事件不断发生,特别是计算机和网络技术发展迅速的国家和部门发生的网络安全事件越来越频繁和严重。一些国家和部门不断遭到入侵攻击,本文列举以下事例以供分析和研究之用。 2.1事件一: 2005年7月14日国际报道英国一名可能被引渡到美国的黑客McKinnon表示,安全性差是他能够入侵美国国防部网站的主要原因。他面临“与计算机有关的欺诈”的指控,控方称,他的活动涉及了美国陆军、海军、空军以及美国航空航天局。 可以看出,一方面尽管这位黑客的主动入侵没有恶意,但是事实上对美国国防部的网络信息在安全方面造成威胁,假如这位黑客出于某种目的,那么后果将无法估量;另一方面网络技术很高的国家和部门也会被黑客成功入侵。 2.2事件二: 2005年6月17日报道万事达信用卡公司称,大约4000万名信用卡用户的账户被一名黑客利用电脑病毒侵入,遭到入侵的数据包括信用卡用户的姓名、银行和账号,这都能够被用来盗用资金。如果该黑客真的用这些信息来盗用资金的话,不但将给这些信用卡用户带来巨大的经济损失,而且侵犯了这些信用卡用户的个人隐私。 2.3事件三: 日本3家银行eBank、网络银行和瑞穗银行近日声称,有客户在不知情的情况下,存款被转账、盗领,在向银行查询后,才知道是遭黑客入侵。瑞穗银行已发生两件类似案件,遭到500万日元的损失。日本警视厅高科技犯罪对策中心接到报案后已展开调查,并从被害人的计算机中查到间谍软件,这种软件可自动记录输入计算机的资料,并透过网络传送给第三者。 入侵的黑客通常扮演以下脚色: (1)充当政治工具。非法入侵到国防、政府等一些机密信息系统,盗取国家的军事和政治情报,危害国家安全。 (2)用于战争。通过网络,利用黑客手段侵入敌方信息系统,获取军事信息、假信息、病毒,扰乱对方系统等等。 (3)非法入侵金融、商业系统,盗取商业信息;在电子商务、金融证券系统中进行诈骗、盗窃等违法犯罪活动;破坏正常的经济秩序。我国证券系统接二连三发生的盗用他人密码进行诈骗的案件,已经引起了网民的不安。 (4)非法侵入他人的系统,获取个人隐私,以便利用其进行敲诈、勒索或损害他人的名誉,炸毁电子邮箱,使系统瘫痪等。 基于以上事件的分析,一方面可以看到网络安全不仅影响到一个国家的政治、军事、经济及文化的发展,而且会影响到国际局势的变化和发展;另一方面网络自身存在安全隐患才会影响到网络的安全。目前,威胁网络安全的技术主要有病毒、入侵和攻击;而对网络信息失窃造成威胁的主要是黑客的入侵,只有入侵到主机内部才有可能窃取到有价值的信息。 3计算机网络存在的安全问题 导致计算机网络信息安全受到威胁的根本原因在于网络存在安全问题,归纳为以下几点: 3.1固有的安全漏洞 现在,新的操作系统或应用软件刚一上市,漏洞就已被找出。没有任何一个系统可以排除漏洞的存在,想要修补所有的漏洞简直比登天还难。从CERT(CarnegieMellon大学计算机紧急事件响应队)那里,可以找到相当全面的程序错误列表。另一个消息的来源就是诸如BugNet或NTBugtraq一类的新闻组。 (1)缓冲区溢出。这是攻击中最容易被利用的系统漏洞。很多系统在不检查程序与缓冲区间的变化的情况下,就接收任何长度的数据输入,把溢出部分放在堆栈内,系统还照常执行命令。这样破坏者便有机可乘。他只要发送超出缓冲区所能处理的长度的指令,系统便进入不稳定状态。假如破坏者特别配置一串他准备用作攻击的字符,他甚至可以访问系统根目录。 (2)拒绝服务。拒绝服务(DenialofService,DoS)攻击的原理是搅乱TCP/IP连接的次序。典型的DoS攻击会耗尽或是损坏一个或多个系统的资源(CPU周期、内存和磁盘空间),直至系统无法处理合法的程序。这类攻击的例子是Synflood攻击。发动Synflood攻击的破坏者发送大量的不合法请求要求连接,目的是使系统不胜负荷。其结果是系统拒绝所有合法的请求,直至等待回答的请求超时。 3.2合法工具的滥用 大部分系统都配备了用以改进系统管理及服务质量的工具软件,但遗憾的是,这些工具同时也会被破坏者利用去收集非法信息及加强攻击力度: 例如:NBTSTAT命令是用来给系统管理员提供远程节点的信息的。但是破坏者也用这一命令收集对系统有威胁性的信息,例如区域控制软件的身份信息、NetBIOS的名字、IIS名甚至是用户名。这些信息足以被黑客用来破译口令。 另一个最常被利用的工具是网包嗅探器(PacketSniffer)。系统管理员用此工具来监控及分发网包,以便找出网络的潜在问题。黑客如要攻击网络,则先把网卡变成功能混杂的设备,截取经过网络的包(包括所有未加密的口令和其他敏感信息),然后短时间运行网包嗅探器就可以有足够的信息去攻击网络。 3.3不正确的系统维护措施 系统固有的漏洞及一大堆随处可见的破坏工具大大方便了黑客的攻击,但无效的安全管理也是造成安全隐患的一个重要因素。当发现新的漏洞时,管理人员应仔细分析危险程度,并马上采取补救措施。 有时候,虽然我们已经对系统进行了维护,对软件进行了更新或升级,但由于路由器及防火墙的过滤规则过于复杂,系统又可能会出现新的漏洞。所以,及时、有效地改变管理可以大大降低系统所承受的风险。 3.4低效的系统设计和检测能力 在不重视信息保护的情况下设计出来的安全系统会非常"不安全",而且不能抵御复杂的攻击。建立安全的架构一定要从底层着手。这个架构应能提供实效性的安全服务,并且需要妥善的管理。 服务器的代码设计及执行也要进行有效管理。最近,有很多公开的漏洞报告指出:在输入检查不完全时,cgibin是非常脆弱的。黑客可以利用这一漏洞发动拒绝服务攻击,非法访问敏感信息或是篡改Web服务器的内容。低效的设计最后会产生漏洞百出的入侵检测系统。这样的系统非常危险,它不能提供足够的信息,就连已提供的信息都可能是不真实、不准确的。4计算机网络信息安全的防护策略 尽管计算机网络信息安全受到威胁,但是采取恰当的防护措施也能有效的保护网络信息的安全。本文总结了以下几种方法并加以说明以确保在策略上保护网络信息的安全: 4.1隐藏IP地址 黑客经常利用一些网络探测技术来查看我们的主机信息,主要目的就是得到网络中主机的IP地址。IP地址在网络安全上是一个很重要的概念,如果攻击者知道了你的IP地址,等于为他的攻击准备好了目标,他可以向这个IP发动各种进攻,如DoS(拒绝服务)攻击、Floop溢出攻击等。隐藏IP地址的主要方法是使用服务器。使用服务器后,其它用户只能探测到服务器的IP地址而不是用户的IP地址,这就实现了隐藏用户IP地址的目的,保障了用户上网安全。 4.2关闭不必要的端口 黑客在入侵时常常会扫描你的计算机端口,如果安装了端口监视程序(比如Netwatch),该监视程序则会有警告提示。如果遇到这种入侵,可用工具软件关闭用不到的端口,比如,用“NortonInternetSecurity”关闭用来提供网页服务的80和443端口,其他一些不常用的端口也可关闭。 4.3更换管理员帐户 Administrator帐户拥有最高的系统权限,一旦该帐户被人利用,后果不堪设想。黑客入侵的常用手段之一就是试图获得Administrator帐户的密码,所以我们要重新配置Administrator帐号。首先是为Administrator帐户设置一个强大复杂的密码,然后我们重命名Administrator帐户,再创建一个没有管理员权限的Administrator帐户欺骗入侵者。这样一来,入侵者就很难搞清哪个帐户真正拥有管理员权限,也就在一定程度上减少了危险性。 4.4杜绝Guest帐户的入侵 Guest帐户即所谓的来宾帐户,它可以访问计算机,但受到限制。不幸的是,Guest也为黑客入侵打开了方便之门!禁用或彻底删除Guest帐户是最好的办法,但在某些必须使用到Guest帐户的情况下,就需要通过其它途径来做好防御工作了。首先要给Guest设一个强壮的密码,然后详细设置Guest帐户对物理路径的访问权限。 4.5封死黑客的"后门" 俗话说“无风不起浪”,既然黑客能进入,那我们的系统一定存在为他们打开的"后门",我们只要将此堵死,让黑客无处下手,岂不美哉! (1)删掉不必要的协议 对于服务器和主机来说,一般只安装TCP/IP协议就够了。鼠标右击“网络邻居”,选择“属性”,再鼠标右击“本地连接”,选择“属性”,卸载不必要的协议。其中NetBIOS是很多安全缺陷的源泉,对于不需要提供文件和打印共享的主机,可以将绑定在TCP/IP协议的NetBIOS给关闭,避免针对NetBIOS的攻击。 (2)关闭“文件和打印共享” 文件和打印共享应该是一个非常有用的功能,但在我们不需要它的时候,它也是引发黑客入侵的安全漏洞。所以在没有必要"文件和打印共享"的情况下,我们可以将其关闭。即便确实需要共享,也应该为共享资源设置访问密码。 (3)禁止建立空连接 在默认的情况下,任何用户都可以通过空连接连上服务器,枚举帐号并猜测密码。因此我们必须禁止建立空连接。 (4)关闭不必要的服务 服务开得多可以给管理带来方便,但也会给黑客留下可乘之机,因此对于一些确实用不到的服务,最好关掉。比如在不需要远程管理计算机时,我都会将有关远程网络登录的服务关掉。去掉不必要的服务停止之后,不仅能保证系统的安全,同时还可以提高系统运行速度。 4.6做好IE的安全设置 ActiveX控件和JavaApplets有较强的功能,但也存在被人利用的隐患,网页中的恶意代码往往就是利用这些控件编写的小程序,只要打开网页就会被运行。所以要避免恶意网页的攻击只有禁止这些恶意代码的运行。IE对此提供了多种选择,具体设置步骤是:“工具”“Internet选项”“安全”“自定义级别”。另外,在IE的安全性设定中我们只能设定Internet、本地Intranet、受信任的站点、受限制的站点。 4.7安装必要的安全软件 我们还应在电脑中安装并使用必要的防黑软件,杀毒软件和防火墙都是必备的。在上网时打开它们,这样即使有黑客进攻我们的安全也是有保证的。 4.8防范木马程序 木马程序会窃取所植入电脑中的有用信息,因此我们也要防止被黑客植入木马程序,常用的办法有: (1)在下载文件时先放到自己新建的文件夹里,再用杀毒软件来检测,起到提前预防的作用。 (2)在“开始”“程序”“启动”或“开始”“程序”“Startup”选项里看是否有不明的运行项目,如果有,删除即可。 (3)将注册表里KEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run下的所有以“Run”为前缀的可疑程序全部删除即可。 4.9不要回陌生人的邮件 有些黑客可能会冒充某些正规网站的名义,然后编个冠冕堂皇的理由寄一封信给你要求你输入上网的用户名称与密码,如果按下“确定”,你的帐号和密码就进了黑客的邮箱。所以不要随便回陌生人的邮件,即使他说得再动听再诱人也不上当。 4.10防范间谍软件 如果想彻底把Spyware拒之门外,请按照这几个步骤来做: (1)断开网络连接并备份注册表和重要用户数据。 (2)下载反间谍工具。 (3)扫描并清除。 (4)安装防火墙。 (5)安装反病毒软件。 4.11及时给系统打补丁 最后,建议大家到微软的站点下载自己的操作系统对应的补丁程序,微软不断推出的补丁尽管让人厌烦,但却是我们网络安全的基础。 5结束语 尽管现在用于网络安全的产品有很多,比如有防火墙、杀毒软件、入侵检测系统,但是仍然有很多黑客的非法入侵。根本原因是网络自身的安全隐患无法根除,这就使得黑客进行入侵有机可乘。虽然如此,安全防护仍然必须是慎之又慎,尽最大可能降低黑客入侵的可能,从而保护我们的网络信息安全。 网络与信息安全论文:浅析计算机网络信息安全隐患与防预对策 摘要:随着 计算 机 网络 和通信技术的飞速 发展 ,信息网络已经成为一个国家和社会发展的重要保证;是关系国家安全和主权、社会稳定、民族文化继承和发扬的重要问题;是政府宏观调控决策、军事、商业 经济 信息、银行资金转账、股票证券、能源资源数据、科研数据等重要的信息。因此,网络信息的安全问题也逐渐成为一个潜在的巨大问题,越来越引起人们的关注。计算机网络信息一旦受到外来的攻击和破坏,将给国家、军队和使用单位造成不可估量的重大经济损失,并严重影响正常的工作秩序和工作的顺利开展。我们必须对网络信息的安全隐患有足够的重视和防范,做到防患于未然。 关键词:网络信息安全;防火墙;数据加密;广域网;局域网 一、计算机网络信息的安全隐患 网络信息安全是一门涉及计算机 科学 、网络技术、通信技术、密码技术、信息安全技术、应用数学、数论、信息论等多种学科的综合性学科。网络信息的含义主要是指网络系统的硬件、软件及其系统中的数据信息受到保护,不受偶然的或者恶意原因而遭到破坏、更改、泄露,系统连续可靠正常地运行,使得网络服务不中断。例如,广域网覆盖地域广、用户多、资源共享程度高,影响计算机网络安全的因素较多,网络面临的威胁和攻击错综复杂,但归结起来对网络信息安全的威胁主要表现在: 1.1物理安全对网络信息造成的威胁 网络的物理安全是整个网络信息安全的前提。在诸多的网络工程建设中,由于网络系统属于是弱电工程,耐压值很低。因此,在设计和施工中,必须优先考虑保护人和网络设备不受电、火灾和雷击的侵害;考虑布线系统与照明电线、动力电线、通信线路、暖气管道及冷热空气管道之间的距离;考虑布线系统和绝缘线、裸体线以及接地与焊接的安全;必须建设防雷系统,防雷系统不仅考虑建筑物防雷,还必须考虑计算机及其他弱电耐压设备的防雷。总体来说物理安全的风险主要有,地震、水灾、火灾等环境事故;电源故障;人为操作失误或错误;设备被盗、被毁;电磁干扰;线路截获;高可用性的硬件;双机多冗余的设计;机房环境及报警系统、安全意识等,因此要尽量避免网络的物理安全风险。 1.2网络的开放性决定网络的脆弱 随着计算机网络技术的飞速发展,尤其是互联网的应用变得越来越广泛,在带来了前所未有的海量信息的同时,网络的开放性和自由性也产生了私有信息和数据被破坏或侵犯的可能性。而针对网上的信息资源共享这一特性,各种信息资源就要在网上处理,传递,从网络的连通性上看,在享受信息便利的同时,各节点上用户的信息资源便有暴露的可能,建立的网络越大,节点越多,信息泄漏的危险性也就越大,这种危险可以来自方方面面,比如说,人为的蓄意攻击等等。网络信息的广泛和通信协议的开放决定了网络的脆弱和易损性,这就对我们当前的网络信息安全构成了巨大的威胁和潜在的危险。 1.3来自黑客的威胁和攻击 计算机信息网络上的黑客攻击事件越演越烈,已经成为具有一定经济条件和技术专长的形形色色攻击者活动的舞台。他们具有计算机系统和网络脆弱性的知识,能灵活使用各种计算机工具来达到他们的目的。境内外黑客攻击破坏网络的问题十分严重,他们通常采用非法侵人重要信息系统,窃听、获取、攻击侵人网的有关敏感性重要信息,修改和破坏信息网络的正常使用状态,造成数据丢失或系统瘫痪,给国家造成重大 政治 影响和经济损失。黑客问题的出现,并非黑客能够制造入侵的机会,从没有路的地方走出一条路,只是他们善于发现漏洞。即信息网络本身的不完善性和缺陷,成为被攻击的目标或利用为攻击的途径,其信息网络脆弱性引发了信息社会脆弱性和安全问题,并构成了 自然 或人为破坏的威胁。 1.4人为造成的无意识失误 无意识的失误涵盖的方面也很多,如管理员安全配置考虑不当所造成的安全漏洞,用户的安全意识不强,用户口令选择不慎,用户将自己的帐号随意转借他人或与别人共享信息。近几年,由于 计算 机 网络 的迅速 发展 ,在网络中“搏客”,聊天等,由于说着无意,听者有心,也会无意识的报露一些机密,目前从发生的一些泄密案件来看,很多都是无意识的行为,这些都会对网络信息的安全带来一定的威胁,并给我们的 经济 带来巨大的损失。 1.5来自网络软件漏洞和“后门”的隐患 所说的后门是一种登录系统的方式,他不仅可以绕过系统已有的安全设置,而且还能挫败系统上各种增强的安全设置。后门的种类有很多,简单的后门可能是建立一个新账号,较复杂一点的可能会绕过系统的安全认证对系统具有访问权。后门的实质是驻留的计算机系统中,供某些特殊使用者通过特殊方式来控制计算机系统的途径。目前,计算机中的任何网络软件都不可能是百分之百的无缺陷和无漏洞的,然而,这些漏洞和缺陷恰恰是黑客进行攻击的首选目标。在近几年的网络隐患中,有的就是因服务器和工作节点未及时打上补丁而遭到一些外来攻击,轻者使得机器出现死机,系统不能正常的启动,重者是系统瘫痪或造成硬件的损坏。另外,软件的“后门”都是软件的设计编程人员为了测试软件或为自己提供某些便利而设置的,一般不为外人所知,但一旦“后门”被洞开,其造成的后果更加不堪设想。 二、计算机网络信息安全防预对策 计算机网络信息安全防范工作是一个极为复杂的系统工程,是人防和技防相结合的综合性工程。在防范策略上我们必须做到: 2.1强化网络安全技术手段 强化网络安全技术手段是保障网络信息安全必须要采取的措施。尤其是对网络中使用的关键设备,如交换机、网络服务器等,要制定严格的网络安全规章制度,采取防辐射、防火以及安装ups不间断电源等。从方位控制上,要对用户访问网络资源的权限上加以严格的认证和控制。如,进行用户身份认证,对口令加密、更新和鉴别,设置用户访问目录和文件的权限,控制网络设备配置的权限等。 2.2提高网络安全意识,加强网络法规管理 从目前看,对人员的管理难度比较大,也有一定限度。在强化网络安全意识的同时,制定相应的网络安全法规,用 法律 的权威、公正、强制手段来对网络人员的思想行为和安全意识确实能够达到难以代替的规范和制约作用。例如,从我们当前对一些泄密案件的处理上看,就已经威慑到了部分人的继续犯罪行为,也起到了对网络安全信息的宏观控制。因此制定必要的,具有良好性的可操作性网络安全的法规也是十分必要和有效的,这样才能使得网络安全有规可寻,依章管理,对侵犯和渎职网络的任何犯罪违法行为在处理上有法可依照,对危急网络给国家造成任何损失的人都必须要追究法律责任,这样才能有效的保障网络信息的高度安全。 总之,随着计算机技术和通信技术的飞速发展,计算机信息网络安全不是一朝一夕的工作,他是一项长期的任务。网络安全也是我们今后工作中不能回避的一个问题。他需要全体工作人员的共同参与和努力。同时还要加大投入引进先进技术,建立严密的安全防范体系,在制度上确保该体系功能的实现,并结合当前工作的实际情况,认真研究,大胆探索,反复实践,不断追踪新技术的应用情况,制定一套行之有效的网络安全防护措施,确保网络信息的绝对安全,随着计算机网络技术的进一步发展,网络安全防护技术也必然随着网络应用的发展而不断发展。 网络与信息安全论文:浅谈网络恐怖主义对公共信息安全的挑战与对策 [论文关键词]网络恐怖主义 公共信息安全 信息社会 [论文摘要]网络恐怖主义是一个非传统安全领域的、新的全球性问题,是对公共信息安全的野蛮挑战。公共信息安全已经成为一个国家政治、经济、文化、军事安全的集中体现,我国的网络快速发展与公共信息安全保卫措施滞后之间的突出矛盾,反映了当代反网络恐怖主义的现实性和艰巨性。如何加紧这方面的科研和备战以打赢这场新形势下的特殊战争,切实维护公共信息安全,是我们必须认真思考的课题。 网络恐怖主义(cyberterrorism),是指由特定组织或个人以网络为手段和活动空间,有预谋、有政治目的的软暴力攻击活动。它针对或利用信息、计算机程序和数据以及网络系统制造恐怖气氛,威胁、破坏公共信息社会和相关政府、国家利益,其危害足以导致人们心理的恐慌、财产的损失甚至人员的伤亡。 从1993年底我国首次与internet联网以来,尤其是1999年1月我国启动“政府上网工程”以来,我国因特网业得到了迅速发展,伴随而来的是网络犯罪也呈明显上升趋势,甚至在一些案件中出现了网络恐怖主义这种新型犯罪的苗头,给我国公共信息安全和社会稳定带来了巨大的潜在威胁。放眼世界,尤其是日本和欧美,无论是其电力、金融、能源等国家重要基础设施,还是卫星、飞机、航天等军事技术,以及教育、商业、文化等等社会各方面,都日益依赖网络系统而进行,“当超过100亿美元的网络经济建立在上世纪七十年代的网络基础上时,人们有理由严肃地质疑其安全性。公共信息安全日益成为这些国家关注的重大课题。而另一方面,网络恐怖主义极有可能成为21世纪恐怖分子或犯罪组织青睐的攻击方式,成为对全球公共利益和国际安全的一种新的巨大威胁。 一网络恐怖主义的特征 与爆炸、绑架、劫持飞机自杀性爆炸和利用生化武器施毒等传统意义上的恐怖主义方式相比,初步显现的网络恐怖主义表现出如下的特征: (一)超级恐惧性 恐怖主义的本质特征之一就在于其恐惧性,包括美国的“9·11’’事件在内,传统恐怖方式造成的恐怖效应,由于地缘以及与国家、人们生活关联度等因素的影响,其扩散规律是由中心向四周减量辐射,波及的范围和危害程度是有限的、可控制的,最终必定会限制在一定的区域和社会中,恐惧性因此适可而止。而网络恐怖主义则不同,其不仅破坏“信息社会眼睛”和“第三传媒”的网络传媒,而且直接毁损人们日益依赖的网络系统,其扩散规律必然是等量、甚至有时是增量地由事件中心向外辐射,波及的范围和危害程度是无限的、难以控制的。一次局部的网络恐怖事件,往往会在很大范围内连锁反应,从而使信息社会的大部分或全部陷入混乱盲目状态,甚至引发社会危机。这种新的恐怖方式较传统方式而言,更具有难以预测性、突发性和象征性,一旦发生,必然加剧人们心理上对信息社会的不信任感,甚至留下“核冬天”样的长期损害,从而也加剧了下一次网络恐怖事件的恐怖效应。 (二)非暴力性 暴力或暴力威胁是恐怖主义的内涵。很大程度上说,离开暴力性谈恐怖主义是不全面的。但是网络恐怖主义修改了这一传统说法。它针对或利用的是网络本身,并不以造成人身安全的危害为直接或间接追求效果,因而只有对物的破坏性而不具有对人的直接暴力性,因此也显得文明些,少有血腥味,这对于日益强调人身安全等私权的当代国际社会来说,具有很大的蒙蔽性。人们也一度模糊了它与一般犯罪行为的区别,放松了对它的打击力度,甚至有极少数人不分青红皂白地盲目崇拜,甚至以此为荣。我们应该清醒地看到,其非暴力性丝毫未能改变其恐惧性、政治性和被袭击目标的无辜性等恐怖主义内涵,因此,我们在确认其具有非暴力性的新特征的同时,也应透过现象看本质,用发展的眼光来看清它的恐怖主义根本属性。 (三)高度隐蔽性 网络恐怖袭击是一种非常规的破坏活动。从形态上看,是一种网络上的快速符码运动。本身就具有难以跟踪的隐蔽特征。国外的资料显示。越来越多的恐怖分子或恐怖组织,一改传统做法,身份彻底虚拟化,在网络恐怖事件中,事前不声张,事后匿名退出。其匿名性的特点也越来越明显。随着网络的日益普及,网络管理滞后,袭击手段的不对称发展和攻击目标的模糊性等诸多因素的影响,使得网络恐怖分子可以多维、多点、多次进攻,而将自身的风险降到最低。因而从网络恐怖事件的筹划、实施到完成的整个过程来看,具有难以预测、难以防范、难以取证的特点,具有高度的隐蔽性。 (四)低成本与高破坏的极度失衡性 网络系统对故障和病毒缺乏免疫力,而进入系统的程序和信息内容具有难以检测的特点,这就使得网络系统十分脆弱,易受攻击。网络科技日益普及,其全球性、开放性、共享性和快捷性的特征·,也使得那些针对网络天然弱点,逆用科技,研制、掌握攻击网络系统的成本十分低廉。一台入网的计算机、一个调制解调器,恐怖分子或恐怖组织就可以发动一场网络恐怖袭击,其进入成本十分低廉。而与低成本相对应的是巨大的破坏性。近年的“情书”、“求职信”病毒恐怖袭击,全球生产损失额高达88亿美元和90亿美元,2003年3月上旬新型蠕虫病毒sqloverflow开始的5天内便造成了9.5亿美元的生产性损失。一次网络恐怖事件,可能超几十次其它类恐怖事件的损失总和。这种低成本和高破坏的“高效”恐怖方式极大地满足了恐怖分子所追求的恐怖效应,从而有可能刺激其制造出更多更大的网络恐怖事件,反过来加剧了这种失衡性。 二网络恐怖主义发展趋势 目前,在我国,网络恐怖主义尚处于组织联络、筹措经费等初始状态,现实的网络恐怖事件多发生于西方一些网络程度较高的国家。但是它正日益成为一个非传统安全领域的新的、全球性的问题,并呈现出一些新的发展趋势。 (一)个人网络恐怖主义趋势 网络袭击的武器易获得、网络目标的脆弱、攻击结果的高危害等属性,使得恐怖分子可以利用极少的个人资源对拥有强大社会资源的公共信息社会和相关政府发动灾难性袭击,恐怖分子个人行为就能达到甚至超过传统意义上的恐怖组织所追求的效果。同时,个人行为也更符合现代恐怖主义追求隐蔽的特点,因此,在某种程度上,随着多样性和信息技术的日益发展,网络恐怖主义的组织性将更加弱化,个人化的倾向将更加突出。 (二)计算机黑客恐怖化趋势 网络恐怖分子必然是利用计算机黑客技术和病毒技术等手段进行袭击,这就使得一些计算机黑客由无害的科技探索者或普通的违法犯罪者向恐怖分子堕落成为可能。甚至有一种说法:“黑客+病毒=恐怖袭击。”国外资料表明,高水平的网络攻击多数来自有恐怖主义思想的黑客。人们在迈向信息社会的进程中,些人在享受人类科技成果的同时,精神世界的改造却相对滞后,淡化了道德观念,导致人格空虚,一些计算机黑客道德缺失,其心理泛滥为仇恨、冷酷、狂热的恐怖心理,而为恐怖分子、恐怖组织所利用、雇佣或自甘堕落为反科技进步、反人类社会的网络恐怖事件的制造者。 (三)国家背景支持的网络恐怖主义趋势 2003年5月伊拉克战争结束之后,国际反恐形势发生了很大变化,一些西方国家实行双重标准,将特定的国家、民族组织妖魔化、恐怖化的倾向越来越明显,打击恐怖主义时常成为强国干涉他国主权和内政的借口,甚而侵犯他国信息安全,对网络恐怖主义视作实用工具的某些强国,也很可能把它当作“挥舞大棒”、推行强权政治的一个法宝;一些欠发达国家、贫国和弱国在全球化过程中被边缘化,在受到霸权主义或强权政治的欺压时,或明或暗地支持包括网络恐怖主义在内的各种恐怖活动,甚至把支持网络恐怖主义当作反对信息霸权、对付强权政治的秘密武器。网络恐怖具有高度隐蔽性的特点,承担的政治风险几乎为零,传统的恐怖活动方式在国际社会的强力打压下,活动空间日益狭小,而国家背景支持的网络恐怖主义将得到某种程度的发展,全球反网络恐怖主义形势将更加复杂。 (四)袭击手段的多样化趋势 网络恐怖主义,从另一种角度上讲,实质上是特殊形式下的信息战。网络恐怖分子和组织可利用的攻击手段是多种多样的。如恐怖分子可利用网络传播快捷的特点,直接散布恐怖信息,大打网络心理战,这种手段简单,效果有限,发展空间小,容易被排除。但恐怖分子将之与其它手段综合运用,将产生极大的威慑和破坏作用,较为常见的袭击手段是采用计算机病毒实施黑客袭击。无论是“蠕虫”、“逻辑炸弹”、“计算机陷阱”,还是“软件嗅探”等各种破坏性病毒,其传染性、变异性、潜伏性、持续性的特点,决定了其作为网络恐怖事件首选袭击武器的可能。全球最大的网络安全公司symantec曾警示,新开发的未知病毒,尤其是极具毁灭性的混合病毒,将越来越多地在网络恐怖事件中使用。 三对策思考 网络恐怖主义是对公共信息安全的野蛮挑战,防御网络恐怖主义已成为国家安全防御体系中的重要组成部分,这将是一场没有硝烟的战争。针对网络恐怖主义难以预警等特点,必须采取多种措施加以制约和反击。 (一)加强反网络恐怖的理论研究.建立完整的作战理论体系 公共信息安全是信息社会健康发展的保证,反网络恐怖主义,对我国来说,是一个全新的研究课题,只有高度重视,建立完整的反应机制,才能掌握主动,占据优势。目前,建立该理论体系,应考虑以下几个方面的因素:第一,要针对网络恐怖主义的特征和发展趋势进行研究,并借鉴我国反恐怖斗争中已取得的经验和研究成果,从法律、政策层面对网络恐怖主义进行有力的警示和惩戒,为反网络恐怖主义提供坚强的法律保障和政策支持。如政府可出台《公共信息安全事件管理办法》等法律法规,对信息安全工作作出更加全面、明确的规定和要求,像防范“非典”一样,对重大信息安全事件报告、事件分类定级、调查处理和应急响应工作等提出明确的要求,做到快速反应,积极主动。第二,“因特网无国界,网络恐怖主义通常具有跨国犯罪特征,打击网络恐怖主义正成为各国的共同目标”。因此,必须加强国际合作,参与形成一套全球监控、防范和反击的安全体系,在促进、发展和落宴全球性的网络安全文化中发挥我国的影响,并注意在合作中实行“拿来主义”,借鉴国外反网络恐怖的实战经验和理论研究成果为我所用。第三,要突出我国反网络恐怖主义的主要矛盾,有针对性的进行防御。目前,境内外邪教组织、“东突”和“藏独”等民族分裂势力是我国面临的恐怖主义的主要源头。其中,个别邪教组织已针对我国卫星电视进行了多次侵扰,今后我们不排除它们与国外敌对势力相勾结,造谣煽动,发动网络恐怖袭击的可能。对此,我们要高度警惕,通过建立功能强大的监测系统,对可能的网络恐怖活动进行密切监控,采取多种方式进行反击。 (二)加强反网络恐怖作战的技术研究与开发工作。不断完善技术装备。加强科技练兵 反网络恐怖实质上是一场科技战,魔高一尺,道高一丈,拥有先进独特的技术和自主的知识产权的硬件、软件才是打击网络恐怖主义、维护公共信息安全的基本保障。和美、13等发达国家相比,我国的网络安全技术、反网络恐怖作战还处于初始期,因此我们必须大力加强网络安全方面的硬件研制和软件开发力度,强化基础设施,建立自主的骨干信息网络,加强芯片和操作系统的研制,发展民族的防火墙、路由器、数据密码技术等公共信息安全产品,并密切跟踪国际反网络恐怖的科技新发展。甚至在条件适当的时候可以考虑建立更安全、独立于因特网之外的独有网络,构筑我国坚实的网上边疆。只有在网络技术方面占有先机优势,加大科技练兵,才能运用高科技保卫我国网上领土的安全和主权,打赢将来可能发生的反网络恐怖主义信息战。 (三)强化军警民联合反网络恐怖机制。多管齐下。将网络恐怖主义消灭在萌芽状态 首先,要加强网络安全全民教育,提高人们对网络恐怖主义这一新的犯罪形式的认识。要让民众清楚目前我们还存在许多网络隐患,各类信息安全事件呈上升趋势,危害增大,信息安全形势严峻,维护公共信息安全,国家、社会和公民必须责任共担。其次,目前我国极为缺乏维护信息安全的优秀人才,因此要大力加强信息安全专业人才培养,锻造一支反网络恐怖主义的精兵强将。再次,要加强军、警、民技术协作。要以专业人才为基础,构建多结构、多层次、覆盖面广、全民参与的公共信息安全保障体系,不仅要建立“内部目标监测网、国内治安形势网、国际反恐信息网”,还必须在各部门间相互提供情报和技术支持,密切协同,有备无患,加强网上演练。同时。加强it基础设施的安全保护,在采购信息安全产品时借鉴国外的“sbts”标准(safebetterthansorry,安全胜于后悔),推广和使用民族信息安全产品与网络。此外,还要重点加强对银行金融网络系统、证券交易网络系统等事关国计民生和重要国防目标网络系统的防范措施。 总之,对网络恐怖主义的巨大潜在威胁,我们要不惧怕、不麻痹、不松懈,要以法治网、以德治网、以技术治网。只有把安全策略、内部安全管理措施、技术手段和加强网络伦理道德的建设等系统化反网络恐怖主义措施落到实处,防范于未然,处置于萌芽,才能切实维护我国公共信息安全,保卫我国网上疆土的有序和安宁。 网络与信息安全论文:医院网络与信息安全策略 摘要: 为了解决看病难,就医难的问题,各个大中型医院都引入了医院信息系统,主要是方便管理,提升工作效率,但是面对巨大的数据资源,信息安全显得尤为重要。论述了医院网络与信息系统的需求分析,阐述了网络与信息系统的安全策略问题。 关键词: 信息安全;安全需求;信息系统 1引言 随着计算机网络的不断普及,各个行业都开始将网络技术、计算机技术应用到自己的领域来更方便地解决问题。医院尤其是三甲医院更是率先引入信息系统,将医院的人力资源,物质管理以及患者的就诊资料进行整合、加工,从而形成了医院信息系统。医院信息系统需要与互联网技术相结合,而一旦与网络联系在一起,就会存在各种各样的安全威胁。如信息泄露,网络中断等,就会带来严重的后果。我国医疗系统是在20世纪80年代进行改革的,最开始主要涉及到医院的财务,例如挂号费,医药费等,然后是收录患者的就诊及住院信息,这样再次就诊的时候就很容易调阅,节省了很多办理手续的时间。最后才是将医院所有的信息整合在一起,开发了比较人性化的医院信息系统。随着信息化的推进,医院信息系统的功能也越来越强大,门诊部、住院部、医药部、化验科等都能相互联系在一块,通过一卡通一站式解决。通过一卡通交上了费用,就不需要再排队,再交费,节省了患者就诊时间,使得患者不再浪费时间在排队上,由于每次就诊的医生不一定都是同一个人,这在一定程度上不利于诊断病情,但是引起信息化系统以后,每个医生的机器里都有患者以前的就诊记录,能够更方便地诊断患者的病情,提高工作效率。但是医院信息系统是一个及多学科的系统,建设难度相当大,并且要求医院的医生护士以及工作人员在具备医疗知识的同时,还需要有强大的网路安全意识,甚至于需要去维护信息系统安全,这就增加了工作的难度,也增加了信息系统的风险。 2网络与信息安全概述 在医院网络信息系统中,参与人数繁多,业务种类繁杂,造成了信息维护困难的问题。从表1可以看出,医院信息系统是一个多用户、多业务的信息系统,由于各种角色都牵涉到数据隐私,所以要求保密性也特别强。而医院数据面临的威胁多种多样,总体上可以分为内部威胁和外部威胁。 2.1内部威胁 医院内部人员可能会用U盘来回传输数据,就有可能传染病毒木马。不但会造成网络中断,更有可能造成数据丢失,无法恢复,严重影响了医院的信息存储。个别医院工作人员会利用职务之便私自使用里面的数据,造成信息泄露,甚至有人直接买卖里面的数据,给医院信息系统造成损害。 2.2外部威胁 外部威胁种类繁多,大体有以下几种:窃听:有些黑客或者攻击者会利用窃听技术窃听敏感数据,等这些数据到手后,可能去威胁当事人,借此达到自己的利益目的。木马:木马是一种远程控制的工具,它不具有传染性,所以严格意义上讲不是一种病毒,只有具备了传染性的木马才可以称为病毒。但是木马具有强大的键盘记录功能,一旦机器中了木马,就什么安全性都没有了,可以记录账户密码,也可记录输入的数据信息,一旦窃取了账号密码,就可以随便登录数据库,获得想要的信息。DOS攻击:是专门针对服务器的一种攻击,可以通过TCP协议中的3次握手原理的漏洞信息,不断地向服务器发送大量的垃圾无用的数据,导致服务器瘫痪,对于医院信息系统来说,服务器瘫痪了,医院可能就无法了解患者以前的就诊信息,无法准确对患者信息做出判断,也有可能无法开药。耽误患者就诊,甚至可能耽误病情。篡改:攻击者可能通过进入医院信息系统,非法篡改患者的就诊记录,影响医生的判断,造成误诊,延误病情,这是非常危险的。面临上述的各种威胁,就需要有专门的网络安全人员维护系统,除此之外,还需要对医生、护士、医院管理人员进行培训。但是现在往往缺乏培训,甚至很多工作人员意识不到这个问题。 3医院信息管理系统 3.1医院信息管理系统的安全 医院信息系统里面的数据库主要有患者信息、患者病例、治疗方案、药品信息以及医院人事信息管理等,医院有义务保证这些信息的保密性、完整性,保障信息的安全,要保证这些数据不丢失、不被窃取、不被篡改。 3.2身份认证 医院信息系统里面是多用户的,也就是多角色的,不同的角色担任了不同的任务,具有不同的功能,所以给每个角色都分配了不同的账号和密码,密码可以自己修改。每种角色都具有自己的权限,要保障不能随意丢弃账号,不能越权,采用的是动态授权机制,在身份认证时,采用的哈希算法对比数字摘要的形式进行的。 3.3药品库信息安全 信息安全系统需要录入每一种药品的型号、生产日期、名称以及出品商等详细信息,要保证这些信息随时更新,并且服务不能中断,一旦和医院开药的处方脱离关系,可能会影响到病人的救治。 4医院网络与信息安全策略 保证医院信息系统的安全,方法有很多种,主要提出了各种入侵检测技术与防火墙技术之间的联动方案,在一定程度上提高了信息的安全性。如图1所示,虽说防火墙是第一道防护技术,但是很多防火墙无法防御未知的病毒,而入侵检测由于里面有人工智能的技术,采用一些算法可以防御检测未知的防毒,先采用入侵检测技术进行检测,然后再通知防火墙及时把策略写进去,这样就能防范新的病毒。例如黑客通过Internet再攻击HostA,这时候受保护的网络会发送通知给入侵检测系统(IDS),然后IDS识别出攻击行为,接着告诉防火墙,防火墙就会阻断连接或者报警等,这样就起到了联动的作用。无论多么严密的系统,都有可能会遭受攻击,引起数据丢失甚至服务器瘫痪,所以必须有备份系统,在发生意外的时候,能及时启动备份系统解决问题。传统的容灾备份方案有数据库备份、手工备份等,但是这样的备份方案恢复的时候很费事,有时候需要一天甚至更长时间才能恢复,这样就耽误患者的就诊,延误病情。所以新的医院信息安全系统应该采用新的容灾备份技术。新的容灾备份技术主要建立在存储层和网络层中。存储层容灾备份:配置主要磁盘阵列和次要磁盘阵列。在这些磁盘阵列中加入了容灾备份软件,当数据写入到主磁盘阵列中时,就可以通过备份软件,将数据转到备份阵列中,这样就实现了主磁盘阵列和备份磁盘阵列的数据一致性。但是在恢复的过程中,有时候也是需要手工恢复的。网络层容灾备份:主要为在信息系统服务器和磁盘阵列的存储设备间增加一个虚拟化控制器,使得在数据达到虚拟化控制器后,能够将数据复制为两份,分别存放到两台磁盘阵列中,这样就保证了两台磁盘阵列数据完全实时同步。因此能够实现在极短的时间内恢复数据,基本上不影响医院的正常运行。而且这种方法无需人工值守,降低了维护,所以现在大部分都是采用网络层容灾备份技术。 5结语 论述了医院网络与信息系统的背景,阐述了它的需要,分析了如何维护医院网络与信息系统的安全,其中讲到了入侵检测系统与防火墙的联动,这项技术虽然好,但是本身防火墙就是一个比较大的系统,入侵检测又是一个比较大的安全技术,当两项技术结合在一起时,维护时所要求的技术就比较高,需要非常专业的技术人员来维护,所以这方面需要继续改进。 作者:刘璘 单位:山东省济南市第三人民医院 网络与信息安全论文:水利网络与信息安全防护系统建设 摘要: 在水利信息化快速发展的大背景下,信息化所需的基础设施及业务应用正在有条不紊的建设并完善,随着网络与信息安全在水利行业和各项水利工程应用中发挥着越来越重要的作用。但与日益增加的业务应用对安全需求的对比,暴露出防护方面存在的安全漏洞和相关隐患。文章对网络与信息安全存在的威胁进行分析,并在此基础提供一些网络与信息安全防护系统建设方面的设想,以供参考。 关键词: 水利;网络;信息安全;防护系统 水利网络与信息安全防护工作是水利行业信息化建设的重要组成部分。做好此项工作,对于加强网络与信息系统安全管理,保障和促进水利信息化健康发展,预防重大信息安全事件的发生,具有重要意义。 1网络与信息安全存在的威胁 1.1计算机病毒侵袭 互联网上存在大量肆虐的网络蠕虫病毒,具有渗透防火墙的传播能力及功能,可以快速穿透防火墙并进入与之连接的网络及计算机。如果遭受了网络蠕虫病毒的侵袭,将会造成网络和系统各项性能及处理能逐步降低,同时对网络与信息安全构成较为严重的威胁,如不及时处理,更会造成网络拥塞,导致计算机系统和网络瘫痪。 1.2人为无意的操作失误 如果操作管理员因在无意的情况下将相关安全设置更改,将会造成安全漏洞的存在。用户在安全防护意识上认识不到位,所使用的账号口令及密码选择设置不当、或将账号口令及密码随意转借告知他人、共享安全设置信息等方面,会使网络安全存在极高的风险。 1.3人为有意的操作或攻击 网络与信息安全所面临的最大威胁就是人为有意操作或攻击,寻找存在安全漏洞和隐患的网络,通过相关技术破坏网络和信息的有效性和完整性。同时利用网络侦查软件和植入木马病毒,在不影响网络和计算机正常工作的前提下,进行截获、窃取、破译重要机密信息,已达到其目的。这两种方式均能对网络与信息安全造成极大的威胁,使机密数据在毫不防备的情况下被窃或泄露。 2网络信息安全防护系统建设 通过合理运用网络信息安全技术,形成由硬件系统和软件系统相结合的网络信息安全防护系统,最大限度的保证网络与信息安全。 2.1网络拓扑图 网络拓扑如图1所示。 2.2网络信息安全防护系统的功能与作用 (1)防火墙。防火墙是一种保护计算机网络安全的技术性措施,可以有效过滤存在安全漏洞的服务,阻止有意攻击网络的用户接入网络,同时利用安全策略机制保护内部网络,将存在萌芽状态的外界威胁及时处理。(2)IPS(入侵防御系统)。入侵防御系统是具备监视现有网络、网络设备、网络资料传输行为的网络安全防护设备,能够快速及时的中断、调整或隔离具有危险性的网络传输行为,同时可以阻止病毒侵袭、拒绝服务攻击、网络风暴攻击等,从而确保网路资源的合理配置及应用,为关键业务的性能和网络提供更全面的安全保护。(3)路由器。路由器是网络互联及网络资源合理分配的关键性设备,更是网络信息安全重要的一环。通过对路由器合理的应用配置,使其在网络中达到能够防备安全隐患服务、潜在具有威胁的IP地址目的。(4)网络交换机。网络交换机是基于MAC(网卡的介质访问控制地址)识别、能完成封装转发数据包功能的网络设备。现有网络中必将需要一台优秀交换机,其主要工作就是能够将访问控制、三层交换等功能充分使用,已实现交换机对用户对数据包、源和目的地址、各项协议、各网络设备端口等进行及时的筛选和过滤。(5)自动更新服务器(WSUS)。WindowsServerUpdateServices(简称WSUS),它提供了Windows部分操作系统的关键更新的分发。可以快速进行部分Windows操作系统的关键补丁的更新,减轻在病毒发作时从美国微软更新的时间,同时通过运行如下所附的设置程序将计算机的更新完全调节好,从而提高计算机安全防护能力。(6)网络监测软件系统。网络监测软件系统主要功能与作用是要保证网络能够有效、平稳、安全地运行。通过记录网页浏览日志,智能过滤有害网站、监控通过网页发送的邮件(包括内容和附件)、监控通过网页发送的所有数据、监控文件传输、监控网络流量、端口控制和IP控制、上网权限管理等提供相应的实时运行数据,使管理人员能够及时优化网络资源,提高网络使用效率。(7)网络防病毒系统。建立由服务器端和客户端组成的网络防病毒系统,客户端由服务器端统一管理,统一升级,使客户端防病毒软件能够及时杀毒,提高防病毒能力,从而有效的避免了病毒的传播和蔓延,消除网络与信息安全隐患。(8)全方位主机房监控系统。全方位主机房监控系统由监控摄像机、门禁系统、报警系统组成。通过监控摄像机对主机房过道、配线间、设备间、值班间进行24小时监控记录,再由门禁系统和报警系统对主机房进行出入权限设置和区域布放。 3结束语 水利网络与信息安全是水利信息化发展的重中之重,防护系统的建设,将进一步提高水利网络与信息安全系统安全保障能力和防护水平。但是各单位在网络与信息安全系统建设时,应结合各自实际情况,完善和提高水利网络与信息安全防护系统建设的技术水平,推进水利信息化的安全、健康、协调发展。 作者:李渤 单位:新疆伊犁河流域开发建设管理局 网络与信息安全论文:运营商网络信息安全威胁与防护 摘要: 随着4G通信技术的不断发展和应用,对于新技术革新带来的网络信息安全威胁更加突出。运营商在面对更多的不确定因素及威胁时,如何从网络信息安全管控技术上来提升安全性水平,已经成为运营商提供良好服务质量的迫切难题。为此,文章将从主要安全威胁源展开探讨,并就安全防范策略进行研究。 关键词: 运营商;网络安全;威胁;防护策略 从3G到4G,随着运营商全业务运营模式的不断深入,对支撑网络运行的安全管控工程建设提出更高要求。特别是在应用系统及用户数的不断增加,网络规模不断扩大,面对越来越多的应用设备,其网络安全问题更加突出。2014年携程小米用户信息的泄露,再次聚焦网络信息安全隐患威胁,也使得运营商在管控网络安全及部署系统管理中,更需要从技术创新来满足运维需求。 1运营商面临的主要安全威胁 对于运营商来说,网络规模的扩大、网络用户数的骤升,加之网络分布的更加复杂,对整个网络系统的安全等级也提出更高要求。当前,运营商在加强网络信息安全防护工作中,需要从三个方面给予高度重视:一是来自网络系统升级改造而带来的新威胁。从传统的网络系统平台到今天的4G网络,IMS网络的商业化,对传统网络业务提出新的要求,特别是基于IP的全网业务的开展,无论是终端还是优秀网络,都需要从IP化模式实现全面互联。在这个过程中,对于来自网络的威胁将更加分散。在传统运营商网络结构中,其威胁多来自于末端的攻击,而利用IGW网络出口DDoS技术,以及受端网络防护技术就可以实现防范目标,或者在关口通过部署防火墙,来降低来自末端的攻击。但对于未来全面IP化模式,各类网络安全威胁将使得运营商业务层面受到更大范围的攻击,如木马病毒、拒绝服务攻击等等,这些新威胁成为运营商IP技术防范的重点。二是智能化终端设备的增加带来新的隐患。从现代网络通信终端智能化程度来看,终端的安全性已经威胁到网络平台及业务的安全,特别是在不同接入模式、接入速度下,智能终端与相对集中的运营商全业务管理之间的关联度更加紧密,一旦智能化终端存在安全隐患,即将给通信网络平台带来致命威胁。如智能化终端利用对运营商业务系统的集中攻击可以导致运营商服务的中断。同时,作为智能终端本身,因软硬件架构缺乏安全性评测,在网络信息完整性验证上存在缺陷,也可能诱发篡改威胁。如在进行通信中对信息的窃听、篡改,这些安全漏洞也可能引发运营商网络的安全威胁。三是现有安全防护体系及架构存在不安全性风险,特别是云技术的引入,对于传统网络架构来说,在用户数、增值业务骤升过程中,对现有基础设施的不可预知性问题更加复杂。另外,在网络安全标准制定上,由于缺乏对现阶段安全威胁的全面评估,可能导致现有网络体系难以适应新领域、新业务的应用,而带来更多的运行处理故障等问题。 2构建运营商网络安全防护体系和对策 2.1构建网络安全防护统一管控体系 开展网络信息安全防范,要着力从现有运营商网络系统业务类型出发,根据不同功能来实现统一安全管控,促进不同应用系统及管理模式之间的数据安全交互。如对网络运维系统安全管理,对计费系统用户的认证与管理,对经营分析系统的授权与审计管理,对各操作系统数据存储的分散管控等,利用统一的安全管控功能模块来实现集中认证、统一用户管理。对于用户管理,可以实现增删修改,并根据用户岗位性质来明确其角色,利用授权方式来实现对不同角色、不同操作权限的分配和管理;在认证模块,可以通过数字认证、密码校验、动态认证及令牌等方式来进行;在权限管理中,对于用户的权限是通过角色来完成,针对不同用户,从设备用户、用户授权访问等方式来实现同步管理。 2.2引入虚拟化技术来实现集中部署 从网络信息安全管控平台来看,对于传统的管控方案,不能实现按需服务,反而增加了部署成本,降低了设备利用率。为此,通过引入虚拟化技术,部署高性能服务器来完成虚拟的应用服务器,满足不同客户端的访问;对于客户端不需要再部署维护客户端,而是从虚拟服务器维护管理中来实现,由此减少了不必要的维护服务,确保了集中维护的便利性和有效性。另外,针对运营商网络中的多数应用服务器,也可以采用集中部署方式来进行集中管理。 2.3引入RBAC角色访问控制模型 根据角色访问控制模型的构建,可以从安全管控上,利用已知信息来赋予相应的权限,便于正确、快速、有效的实现用户特定角色的授权。同时,在对RBAC模型进行应用中,需要就其权限赋值进行优化,如对层次结构的支持,对不同用户群组、不同用户存在多个岗位的角色优化,对岗位与部门之间的协同优化,对用户岗位与用户权限及其所属岗位角色的继承关系进行优化等等。 2.4融合多种认证方式来实现动态管控 根据不同系统应用需求,在进行认证管理上,可以结合用户登录平台来动态选择。如可以通过数字认证、WindowsKerberos认证、动态令牌等认证方式。当用户端采用插件方式登录时,可以动态配置key证书认证,也可以通过短信认证来发送相应的口令。由于运营商网络应用账户规模较大,在进行系统认证时,为了确保认证账户、密码的有效性、可靠性,通常需要客户端向应用服务器发送请求,请求成功后再向用户端发送认证密码。 2.5做好运营商网络安全维护管理 网络信息安全威胁是客观存在的,而做好网络安全的维护管理工作,从基本维护到安全防护,并从软硬件技术完善上来提升安全水平。如对网络中服务器、操作系统及网络设备进行定期检查和维护,对不同网络安全等级进行有序升级,增加网络硬件加固设备,做好日常网络维护工作。同时,对于安全维护岗位人员,做好网络硬件设备、网络访问控制权限的管理,并对相关的口令及密码进行定期更换,提升安全防护水平。另外,运营商在构建网络安全防护体系上,不仅要关注网络层面及应用层的安全,还要关注用户信息的安全,要将用户信息纳入安全管理重要任务中,切实从短信认证、用户实名制、用户地理信息等个人隐私保护中来保障信息的安全、可靠。 2.6做好网络安全建设与升级管理 随着网络通信新业务的不断发展,对于网络信息安全威胁更加复杂而多样,运营商要着力从新领域,制定有效的安全防护策略,从技术创新上来确保信息安全。一方面做好网络安全策略的优化,从网络业务规划与管理上,制定相应的安全标准,并对各类业务服务器进行全程监管,确保业务从一开始就纳入安全防护体系中;另一方面注重安全技术创新,特别是新的网络安全技术、防御机制的引入,从安全技术手段来实现网络系统的安全运行。 3结语 运营商网络安全防护工作任重道远,在推进配套体系建设上,要从安全维护的标准化、流程化,以及网络安全等级制度完善上,确保各项安全防护工作的有效性。另外,加强对各类网络安全应急预案建设,尤其是建立沟通全国的安全支撑体系,从统一管理、协同防护上来提升运营商的整体安全防护能力。 作者:王树平 东野圣尧 张宇红 单位:泰安联通公司 网络与信息安全论文:网络信息安全问题与对策浅析 摘要: 网络技术的发展和普及已经改变了人们的生活方式以及工作效率。网络已经渗透到了社会生活中的方方面面的,与人们的生活息息相关,但是就是由于网络信息技术的过快发展,出现了一系列的信息安全问题。文章针对现存的网络信息安全的问题进行了总结并且归纳和提出了一些建设性可行的应对措施,以及建设网络信息安全的保障体系。 关键词: 网络;信息安全;应对措施 前言 目前,我国计算机网络技术发展到了一定的水平,并且随着网络的普及,信息媒体的传播速度更快,为人们的日常生活带来了极大的便利,逐渐改变着人们的生活方式及交流方式。凡事都有正反面,当网络给人们带来方便的同时,带来了信息泄露的威胁,将造成人们的个人信息泄露和一定的经济损失,严重的甚至会造成整个网络体系的瘫痪。因此,如何建立安全完善的网络信息对策,从而同时保证网络资源的开发运用,已经成为了一项重要的研究内容。 一、网络信息安全的概述 网络信息安全,本质上针对计算机网络系统中的硬件和软件,以及软件中的数据信息不会被恶意的破坏、更改及泄露,网络系统是正常的运行状态以及网络服务不中断。从广义上来看,网络信息安全领域的范围很广,比如包括网络信息的保密性、完整性、安全性以及真实可控性。 二、网络信息安全的现状与存在的问题 目前计算机信息安全存在着很多潜在的隐患,来自不同方面的威胁,但是能够影响网络信息安全的因素有很多种,其中不但包括计算机本身存在的硬件设施以及系统存在的漏洞和缺点,也有一些管理上的疏忽和人为因素导致造成的威胁,所以通过归纳我们将问题分为以下几种: (一)计算机网络的自身的问题 1.系统存在的漏洞 一般情况下,在计算机网络系统的中存在的主要问题就是由系统漏洞造成的,所以系统漏洞造成的网络安全的损失往往更大,系统漏洞的出现在计算机程序的实现逻辑中的意外情况的出现,如果一个入侵者获取了系统的访问权限就有可能利用系统的漏洞将自己设为管理员权限。系统漏洞的出现造成程序处理文件在时序和同步上出现问题,并且会在文件处理过程中遭到外来窗口的影响。 2.移动存储硬盘 移动硬盘存储介质由于自身的便携带,存储空间大以及通用性强等优点被广泛的喜爱和接受。这也是这些优点给计算机网络系统带来了安全隐患。目前很多移动存储介质都缺少设备等级、身份的认证以及审核,就在一定程度上造成了网络系统不易管理和容易遭到病毒入侵。 (二)计算机外部及人为的问题 1.计算机病毒带来的威胁 计算机病毒本身的传染速度很快,范围比较广对计算机网络系统的安全是一大威胁,并且可以造成很大的损失。并且计算机病毒的攻击对象是网络系统本身,一旦感染就会出现死机或系统中文件信息的数据丢失,也会对硬件设备带来损坏。 2.来自计算机黑客的攻击 黑客一般有着非常熟练的计算机操作知识和技术,并且熟知各种计算机软件的应用。对系统中的漏洞的察觉性特别高,所以系统中的漏洞就很容易被黑客拿来攻击,以及利用系统漏洞对网络系统进行破坏,对危机网络信息安全造成了非常严重的后果,而且在世界上各个国家都遭受过不同程度的黑客攻击网络系统的事件发生,对国家信息安全带来很大威胁。 3.间谍软件的存在 和计算机病毒不一样的是,间谍软件不是对网络系统的破坏,而是为了盗取网络信息系统中的数据信息。间谍软件的种类及功能很多,不仅可以件事用户,还可以广告和修改网络系统设置,对用户的信息泄露带来巨大威胁。 (三)系统管理的疏忽造成的问题 工作人员因为对计算机操作的不熟悉或者工作疏忽往往会造成网络信息的泄露,或者是故意的泄密,即工作人员恶意的对计算机网络安全进行破坏的行为,从而获取系统信息,因为一般计算机系统的操作人员,有权限查阅系统中保密的文件和资料,如果将其对外提供,后果不堪设想。 三、针对网络信息安全隐患的应对策略 (一)网络系统漏洞扫描技术 漏洞扫描技术可以对计算机系统进行安全监测,能够找出潜在的安全隐患或者系统的漏洞存在。漏洞是每个系统都可能存在的问题,所以就要在黑客利用这些漏洞进行不法行为前找出网络漏洞,所以加强漏洞扫面技术使保证网络信息安全必不可少的手段。 (二)防火墙技术的配置 配置防火墙能够在一定程度上给网络信息系统加上一层防护罩,是网络安全的重要屏障,也是最基本、最经济和有效的安全措施。一般防火墙是由软件和硬件组成,通过阻碍限制外界用户企图访问内部网络,起到一定的屏障作用。所以加强防火墙技术可以阻止外来用户的非法入侵,同时防火墙黑能够很大程度上提升内部网络信息的安全性,降低信息安全威胁的风险。 (三)数据加密以及用户授权访问技术 数据加密技术就是对网络系统中信息数据进行以为和置换的变换算法。并且由“密钥”来控制,对网络中的动态信息进行保护。所以对数据加密可以有效的避免动态数据遭受攻击的风险。而用户授权访问控制则是对网络系统中静态信息的保护,一般通过维护操作系统安全来实现。数据机密技术和用户授权访问控制技术相比防火墙来说更加灵活方便,对网络的实用性更强。 (四)系统管理制度的完备 维护网络信息绝对的安全是不可能的,所以要构建完善健全的网络安全管理体制可以有效额减小、控制信息安全的威胁。同时,管理人员要加强管理水平和专业技术,加强管理人员的防范意识和提高网络安全的法律意识,才能够促进计算机网络信息安全的受到保护,进而保障社会和人们的信息和人身安全。 结语: 维护网络信息安全的工作要随着计算机技术的变化而发展。在维护网络信息安全的时候,也要重视计算机硬件和软件的研发,从而构建起完善了网络信息安全体系。文中对提高网络信息安全水平采取了对策,对完善相关法律法规以及树立正确的信息安全意识,提高人员的管理素质,尽可能的降低网络信息安全的威胁,将损失下降到最低水平以此保障国家和人们安全和利益。 作者:刘伟 单位:惠民县公安局网安大队 网络与信息安全论文:计算机网络与信息安全分析 1计算机网络基础性内涵机理以及目前面临的问题考验客观论述 透过宏观角度观察界定,计算机网络就是借助电缆、电话等媒介,将不同空间位置的计算机系统交互式连接,确保彼此之间能够进行信息自由快速地传输。但是由于人为操作的随意性,使得各类黑客、病毒侵害难以系统化抵制。常见的计算机安全隐患包括信息大范围泄露、系统机理完整性破坏、特定服务功能难以响应等。 (1)关于信息泄露问题,就是说操作主体在不知情的状况下将个人信息透露给非授权方,包括网络非法监视、射频肆意截取、网络钓鱼等不良状况。 (2)系统机理完整性受损隐患,则基本上利用物理侵权、病毒漏洞等渠道衍生拓展。 (3)特定操作功能无法及时响应结果,随着计算机网络技术的高速普及,基层社会大众不管是学习、生活,以及工作模式上,都发生了本质性的变化,但同时也夹杂着某种不良威胁隐患,包括黑客、病毒的肆意攻击侵害问题等,任何细节处理不当,都将直接造成难以估计的经济名誉损失。因此,笔者决定针对目前我国计算机网络与信息安全管理状况,加以客观观察校验;同时联合外国最先进技术资源和思维理念,进行上述诸多不良状况遏制,希望能够为今后人们正常网络生活秩序维护,提供更多合理的指导性建议。摘要主要是一切合理性访问资格权限一时间被外界非法人员占据,不能在当下展现出和预定时间相关的程序功能特性。 2新时代背景下我国计算机网络与信息 安全的科学防护措施细致性解析随着人们对计算机网络和信息安全防护结果关注意识的系统化提升,有关各类物理防护措施、数据加密和病毒抵御等程序,开始受到广泛好评和有机改造沿用。有关具体调整控制策略内容主要如下所示: 2.1针对社会大众进行计算机网络和信息安全防护知识讲解推广 想要督促个人在计算机操作过程中自主强化信息保密意识,前提条件就是不断参与各类技术培训实践性活动,借此系统化吸纳和熟练解读最新网络信息保密原理,将一切网络病毒和黑客操作行为成功抵制。由此来讲,不管是学生还是单位职员,千万不可随意打开来源渠道不明的文件,单纯拿目前广泛流行的视频软件为例,安装过程中总是伴随着其余机理混乱的程序内容,无故的占据计算机原有内存空间或是借助孔隙窃取操作主体个人账号信息,最终造成的经济损失数据着实难以估量。所以说,进行社会大众进行最新网络信息保护知识科学灌输和灵活讲解,绝对是非常必要的。 2.2专业化病毒防治软件和防火墙的全面性安装 在计算机系统之上进行防病毒程序预先安装,能够发挥出系统漏洞实时性排查遏制等功用,确保一切邮件、网页信息都能够得到更深层次的防护,一旦说发生任何危急状况就可在当下进行快速处理。就拿防火墙为例,其主张进行专业化硬件、软件资源科学吸纳整合,同时于内部和外部网络空间内额外提供一类检验关口,完成数据包合理过滤任务,最终决定是否将其发送到最终目的地。归结来讲,就是进行网络使用信息流量、隐藏IP地址等结构细节多元化控制疏通。 2.3添加服务器并进行自身IP地址适当性隐藏 针对操作主体IP地址进行防护是非常必要的,因为就算是计算机系统内被恶意安装了木马程序,主要IP地址尚未泄露,外方攻击人员始终是束手无策的。针对IP地址加以系统化防护的最佳适应途径,便是设置完善形态的服务器。服务器能起到外部网络访问内部网络的中间转接作用,其功能类似于一个数据转发器,它主要控制哪些用户能访问哪些服务类型。当外部网络向内部网络申请某种网络服务时.服务器接受申请.然后它根据其服务类型、服务内容、被服务的对象、服务者申请的时间、申请者的域名范围等来决定是否接受此项服务,如果接受,它就向内部网络转发这项请求。目前市场普遍被采用的网络安全技术主要包括以下类型:主机安全、身份认证、访问控制、密码认证、防火墙、安全审计、安全管理、系统漏洞检测、黑客跟踪等。但是,有了安全技术还是远远不够,许多网络安全事件的发生都与缺乏安全防范意识有关。因此,我们要有网络安全防范意识并建立起相应的安全机制,诸如加密机制、数字签名机制、访问控制机制、数据完整性机制、认证机制、信息流填充机制、路由控制机制、公正机制等,借此保证网络环境的安全性。 3结语 按照上述内容论述,互联网技术本身兼有利弊,尽管说现阶段衍生的网络信息安全防护的产品类型极为丰富,但是黑客侵害行为始终是难以得到全面化遏制的,对于社会整体安全稳定时局的确造成不小的伤害。各类基层社会人员必须确保在享受网络便利服务条件基础上,及时吸纳并消化最新网络信息保护知识原理,杜绝一切不知名的程序随意添加行为迹象。这是时代赋予我们的优秀职责,应该引起各类人员的广泛关注和全面承接。 作者:王萌 单位:南京晓庄学院 网络与信息安全论文:计算机网络与信息安全探析 1计算机网络信息安全现状 计算机网络安全现状当真不容乐观。 (1)计算机网络能够在弹指间共享资源,使得工作效率得到大幅度提高。它的这种特性使得经济、文化、金融等各个领域的运转都与计算机的工作息息相关。不过也正是由于其资源共享的特性直接增加了计算机网络安全的脆弱性和复杂性。 (2)随着网络的普及,企业与商家更倾向于通过网络这个平台来储存信息建档归案,消息获取资源。但现如今网络太过危机四伏,黑客们能够动用各种手段进行攻击,而大环境下的这种较低的信息安全保障水平使得这些网站面临黑客潜在的破坏性访问风险极高。 (3)网络信息系统的安全重要性毋庸置疑,各个领域的敏感信息都需要给予极高的保密程度,信息的泄漏某种程度上能够直接导致巨大的经济损失。在这种情况下,一个完善的计算机网络信息的安全防护体系亟需待建。 (4)对于国家来说,网络信息安全与否,直接威胁到网络空间上的国家主权,放眼中国的军事版图,国家的国土安全应是重中之重,一个漏洞百出的信息网络将会使国家面临信息战的威胁。人人都期待一个高效的计算机安全防护系统的构建,入档的文件可以受到保护,不受外界环境的干扰;个人的信息流出受到绝对的自我掌控;在传递过程中有良好的加密措施不受侵犯。 2信息安全目前存在的问题 2.1网络本身具有脆弱性 计算机网络本身所具有的最大的特点便是开放和便捷,这直接导致了计算机网路系统浅析计算机网络如何保证信息安全文/胡晔随着国民经济陀螺高速旋转,计算机技术普及繁荣,大数据时代全面到来,一个个计算机交织成网,密集地分布在世界的各个角落,一根根光缆与光缆相连接,信息与信息简易地发送传输,在计算机网络为我们的生产生活带来极大便利的同时,计算机网络信息安全的防护问题愈来愈受到大众的重视。本文深入浅出针对当前计算机网络所面临的安全威胁及不容乐观的安全现状做出了分析,并结合自身相关理论知识提出相关对策,旨在于为真正的做好计算机网络信息的安全防护工作做出一些绵薄的贡献。摘要的脆弱性。在计算机的文件、数据中潜伏着的病毒通过USB接口、正在运行的程序、已经打开的文件肆意地进行破环和传染;雷电、电磁和水,这些自然条件和谐保证了计算机网络一致有效,可是一旦这种保障遭到破坏,由于当前我国的计算机中还没有防雷、防水、防火或防干扰等有效方法就会导致整个网络信息运行系统的瘫痪;在应用软件与操作系统之间的缓冲区中存在极多漏洞更是网络信息安全的一大隐患。 2.2信息受到恶意窃取 黑客入侵最常见的方式就是获取用户的账号和密码来进行非法操作,通过窃取、破译和截获等手段,利用各种各样网络本身具有的脆弱性,对计算机网络系统进行威力强大的修改和破坏,传播大量的有害信息和不法行为,从中行使盗窃、贪污、诈骗等非法犯法活动,危及国家和个人安全。 3保证信息安全的具体措施 3.1网络用户提高警惕,亟需加强安全意识 针对个人用户,去正规的官方网站下载软件,安装杀毒软件和防火墙,设置网站黑名单,不接受不明来历的邮件,设置复杂的密码,及时修补漏洞,定期全盘扫描等等都是行之有效的防护措施,与此同时,网络日新月异,骗子、黑客、身份信息窃取者时刻埋伏在我们身边等待我们不经意的瞬间,不断提高自身的计算机网络安全知识水平才能够有效的保护计算机信息安全,不受侵犯。针对企业用户:加强整个机构的安全意识,配置保密系统,重视并抓紧相关维护人员的工作。加强机构计算机网络系统的安全管理,防患于未然,抵御不法分子的入侵,确保计算机网络的安全性。 3.2做好网络信息加密工作 做好网络信息加密工作能够大幅度提高信息系统和数据的安全保密性,能够有效避免重要的数据信息被不法分子窃听、截取以及破坏的问题出现。历史上信息加密工作与国家政务息息相关,高冷如天空皎洁明月,但现如今,我们每个人都可以作为信息的发送端与接收端,如若网络信息加密工作做不好,我们每个人的隐私都极容易暴露在大众的目光中。数据存储、数据传输以及数据完整性每一步都不容小觑,要求相关技术人员严谨对待。而笔者认为线路加密技术相较于端对端加密技术其不考虑信宿和信源,关注点只在传输的线路上从而起到安全保护作用的方式更加具有简便可行性。发送者在采用了专业的加密软件后才开始传输信息简单地使明文就成了秘密的文件。当接收者接收到这些文件或信息后,只要输入相应的密码就能够打开的分享模式可以是做好网络信息加密工作的第一步。 3.3安装杀毒软件以及防火墙,防止恶意攻击 安装杀毒软件以及防火墙,是一种能够防止外部网络用户通过非法的手段进入到内部网络并且访问内部网络资源的先进技术,可是在通常情况下,我们可以看到在医院、教育机构中的计算机安全风险极高。部分管理层认为这些防火墙的安装与维护过于耗费时间与精力,却不知恶意攻击在这种安全系数极低的计算机安全系统一旦悄然而至,对于个人或企业甚至国家而言都将是一个巨大的损失。当然这种迫切的计算机网络安全薄弱环,也要求杀毒软件能够想方设法利用一切高新IT技术对计算机网络信息安全进行加强,此外现有的安全扫描技术对计算机网络安全进行的保护力度也是不够,高效能的安全扫描技术应对漏洞进行迅雷般及时有效的查找,检测潜在的漏洞,对系统安全配置进行评估,控制安全危险。 4结束语 综上所述,计算机网络要保证信息安全,相关工作人员的知识储备与拓展,相关研究领域的深入分析与研究只是一方面,要想充分的提高计算机网络信息的安全性,还需要每一个网民每一位网络用户加强自己的网络安全意识。计算机网络日新月异,需要每一个人提高自身,跟上时代的脚步,综合的运用各种计算机网络信息的安全防护措施,及时存档,科学地配合各类先进的防护加密技术,有效辨别受信任的网站,保护好个人与企业的信息安全。当然,建立一个安全防护体系并非一日之功,也并非一劳永逸之事,我们也应该清楚,就好像误差一直存在,没有办法得到一个绝对严密的防御系统,是故一个长期的可持续的安全规划与防范才可以有效地防止不法分子的入侵,从而最大限度的保护网络信息的安全。 作者:胡晔 单位:天津正大方圆科技有限公司 网络与信息安全论文:网络信息安全问题现状与对策 1关于网络信息的安全问题 1.1网络信息的重放 就当下网络信息的安全来看,如果计算机的网络信息缺乏充足的安全预防措施,部分非法用户就会容易通过AP进行中间人欺骗和人身攻击,而这些网络安全问题虽然使用VPN方式进行保护,但是非法侵入情况也不可能彻底解决。例如,非法用户能够通过AP或授权客户端进行双重欺骗,进而将网络数据篡改或者窃取网络数据信息。 1.2公话的拦截与地址的欺骗 目前网络信息环境中,一些非法用户使用监视、窃听等方式来窃取相关用户的IP地址,或者盗取MAC的详细地址信息,再使用获取的信息进行会话拦截、网络行骗与网络攻击等,导致合法用户的切身利益受到严重损害。特别是部分客户资料非常重要,一旦被窃取,人身财产会受到严重损坏,更甚者造成无法弥补的伤害。 1.3部分非法用户的侵入 因为网络信息具有易获取与公开性的特性,因此,比较方便进行开放式的访问,部分非法使用者没有授权也能够擅自对网信息络资源进行利用,而最终后果就是不只占用了网络信息资源,还导致网络成本增加,在某种程度上还会造成合法用户的服务质量大大减弱。同时,一些非法用户可能违反相关服务条款,不严格遵守相关法律法规,进而导致出现各种各样的法律问题。 1.4网络监听 由于网络信息的开放式访问特点,大部分无网络信息都是以特定格式呈现,容易导致非法用户监听合法用户的信息数据。同时,在监听过程中破解合法用户通信的密码,乘机接入用户网络,进而恶意窃取用户信息或者篡改用户数据。例如,当下商场中部分不良网民就会采取监听手段,最大限度地盗取对手信息,进而采取相关应对策略,使自己的企业在竞争中获利。 1.5无线的加密协议会被破解 当下网络信息存在许多非法性,能够准确捕捉AP信号中具体网络信息数据包,再通过各种方式破解WEP密匙,也就是按照无线通信监听用户信息,然后通过网络信号破解密匙,进而导致用户信息丢失、泄露等,使用户个人财产受到严重损失。 1.6服务被拒绝 服务被拒绝是当下网络信息数据中一种较为严重的网络攻击方式,通常包含下面两种情况。第一,攻击者会对AP进行泛滥攻击,导致AP产生拒绝服务的现象。第二,有针对性地对某一个点进行攻击,让AP可以不断转发相关数据包,一直到资源耗尽,无法进行工作,一般就是资源的耗尽攻击。以上两种方式进行比较,前者相对比较严重。 2关于网络信息数据中安全问题的防护与管理策略 2.1可以使用加密的技术 目前,加密技术中相对有效的一种方式是WPA加密技术,其中WPA主要目的就是为解决网路WEP的缺陷所研发的一些新型加密技术,再使用TKIP的动态算法构成128位的密码,加强网络信息数据的安全防护。通常WPA包由验证数据的完整性、数据的认证与加密三个部分共同组成,是目前比较完善与安全的管理方案。然而,使用WPA的加密短信数据包在特殊情况下也容易被破解,从而产生WPA2加密技术。WPA2技术是通过CCMP平台取代WAP中的TKIP技术,这种技术是目前安全性较高的一项加密技术,只是这个技术并不支持老旧网卡。因此,网络信息数据安全管理一般建议使用WPA技术与WPA2结合的加密技术,这样可以更好地防护网络信息的安全。 2.2使用入侵的检测技术 检测入侵技术的使用可以及时控制网络、采集信息数据与信息传输等,以便及时找出网络安全故障的原因,这样能够保证网络信息数据的安全,以及预防非法用户窃取与篡改重要数据信息。特别是不少网民信息数据至关重要,必须进行严格保护,一旦信息泄露,就会使用户受到严重伤害。因此,在网络信息安全维护方面,必须采取有效措施,如可以通过路由查询,实时追踪等,坚决不能让非法用户侵入,确保用户信息的安全。 2.3个人方面 首先,要增强自我保护意识,不轻易在网上泄露个人账户和密码信息、个人身份信息及其他隐私;在设置网上账户密码时,不能为了方便记忆使用简单的密码,如单纯数字或字母重复,而应设置安全系数高、复杂的密码;密码使用一定时间后应及时更换,否则容易发生盗号现象。其次,在计算机上安装杀毒软件,并养成经常查毒、杀毒和及时升级、更新软件的习惯,不给计算机病毒可乘之机。再次,对垃圾邮件和陌生软件随时保持高度警惕,不随意打开垃圾软件,不随便安装陌生软件,尤其是那些杀毒软件检测出异样的软件。简而言之,养成良好的计算机使用习惯,可以有效地防止病毒和黑客入侵。 2.4构建无线网络信息安全防护应对机制 如果无线网络信息发生安全问题,网络信息的相关管理部门要建立完善的标准化流程,应对网络安全问题。网络信息数据的管理者可以根据流程具体规定,实时检测的网络信号状况、工作的状态与信息的传输状况,同时更新相关信息,保证无线网络信息的有效性与准确性。 2.5构建可靠、安全网络信息的管理机制 需要规范网络信息数据,整个规范过程中不只需要充分结合相关法律、法规,还必须建立完善的管理制度,便于网络信息可以安全使用与运行。各个区域还应该增设具备决策权或者管理权的部门和机构来规范管理无线网络信息,让网络信息能够安全可靠地为相关活动做贡献。 2.6给入侵用户设置阻碍 信息技术的使用成本虽然有下降趋势,但是建立与设计一个完善、有效的网络营销数据库是长期、系统性的工程,要大量投入财力、人力与物力,且信息开发与信息使用都需要长期的改进与积累。因此,如果某个企业构建有效的网络信息数据库,相关竞争者基本无法进入公司的目标市场。可见安全的网络信息据库势必成为企业难以模仿与盗取的无形资产,只有构建完善、安全的网络信息数据库,才可以更好地保护企业信息数据,进而促进企业发展。 3结语 在计算机网络技术不断发展的新时代,网络信息的安全防护也面临着诸多挑战,但是单方面采取应对措施就可以彻底解决网络信息的安全问题。因此,需要从法律、技术、个人与管理方面入手,全方面保证网络信息的安全,构建一个有效的网络信息防护系统,尽可能最大限度地保护用户信息,不要出现用户信息损坏、泄露与流失现象,以及防止黑客侵扰与病毒侵害,进而营造一个安全的信息环境,使每一个用户的网络信息安全都可以得到保障。 作者:吴海年 单位:合浦县公安局互联网信息安全中心 网络与信息安全论文:网络通信信息安全对策与建议 一、网络通信中对信息进行保护的重要性 随着互联网的高速发展,人们对于网络通信的方式要求也越来越高,既希望它灵活开放,同时还要求能够方便快捷。现代数字信息技术的发展给人们的生产生活带来了极大的便利,能够实时通讯的网络使得人与人之间的交流更加方便快捷,但是随着网络通信普及的速度加快,相对应的硬件和软件的维护系统存在着一定的缺陷给人们的网络通信安全带来了一些安全隐患,众多的软件登陆系统结构存在着缺陷,软件不完善,病毒的传播以及网络黑客的恶意攻击给人们造成了极大的困扰,危机到了人们的通信信息,使得人们的日常通信安全受到极大的威胁。网络通信的安全主要就是能够在数据进行传递以及储存的过程中保证其安全稳定性,要想使得通信过程中的安全问题得到有效解决,不仅仅需要网络维护部门相关技术人员的努力,也需要用户个人增强自己的安全防范意识。因为这事关商业信息的安全,政府工作安全以及社会的稳定发展。尽管维护网络安全性不会使得经济取得明显的效益,但是却能够让个人,企业,政府的网络通信信息得到良好的保障,让各个行业或者是企业内部的信息交流传递更加放心安全,进而促进社会的稳定发展,给人们的生活工作带来一个良好的通信环境,使得企业能够展开良好的运营发展,使得商业竞争中的不公平手段得到有效合理的制约,对于一些利用网络进行犯罪的不法分子行为得到良好的遏制。 二、加强网络通信信息安全的对策与建议 随着互联网信息技术的进一步发展,网络和人们的日常生活也建立起了越来越紧密的联系,为了保证政府工作的正常开展,企业的良好运营,以及个人信息资金的安全,促进网络通信的更好发展,相关部门应该积极采取措施,保证网络通信中的信息安全。 (1)对使用的IP地址采取有效措施进行保护 要对IP地址进行有效保护,需要注意以下几个方面的问题:首先就是要严格的控制网络交换机,因为在网络通信系统中,信息的传递必由之路就是交换机,它处于TCP/IP网络协议的第二层,对交换机的保护措施做好,就能够从很大的程度上来保护IP地址的安全;其次,保护IP地址另一种有效办法就是对路由器进行隔离控制,采用科学的方式对已经访问过的地址合理监控,这样就能够制止发生那些非法访问的情况,进而可以从根源上来对网络黑客的窃取行为及时中断制止。对IP地址进行恶意攻击的数据包采取如下措施进行检测:http(端口80)和TCP建立起一种连接,尽管3次的握手工作已经完成,但是不能够立刻结束客户端的连接情况,这样便可以对Web服务器的连接资源形成一种消耗,使得正常的使用者无法访问这个网站。一些恶意攻击的地址,分布大都比较分散,没有一个确定的区域特征,每秒建立起来大概有2000次左右的连接。对防火墙的日志采取过滤措施,一旦发现有GET/HTTP1.1url的记录,就可以表明有扫描程序在对WebServer扫描判断用户类型。 (2)对重要信息的传递和储存进行加密处理 网络通信中的信息安全问题主要包括2个方面的环节,其一就是信息在传递过程中的安全;另外就是信息在存储后的安全。对网络通信中信息传递构成威胁的主要因素有在信息传递过程中对其监听窃取,盗取使用互联网用户的私人信息,甚至还能够在中途进行拦截,将主要信息进行恶意篡改。因此面对种种威胁,就需要用户自身做好安全防范措施,在信息传递与储存的过程中采取加密的办法进行处理,从根本上来对这些威胁进行及时的消除。在当前的网络通信过程中经常使用的信息加密方式有很多,例如秘钥等,当然,个人可以根据自身的实际情况来选择适合自己的加密处理技术办法。 (3)修补完善网络通信中的防护墙保护系统 为了能够更加有效的保护网络通信中的信息安全,建立起一个非常成熟完善的防护墙技术是非常有必要的,同时还要及时更新反病毒的插件,让这些软件防御病毒的能力得到实时更新,可以精准的对病毒进行查杀,这种方式无论是对个人用户还是对企业网络都比较适用。调整防火墙的策略从以下几个方面进行:按照总体宽带以及资源流量的限制来确定IP地址的syn连接次数,通常情况下的策略,都是先延迟处理源地址的连接数据,这样可以有效缩短时间。一旦发现源地址的时间频率加大的,则可以立即将这个地址拉黑处理,一次性的对其进行限制。开启关于syn验证方式,这样便可以有效避免synflooding进行伪造的前端源地址的攻击。同时还可以在内容上开启关于过滤的功能,主要就是对head关键词进行有效限制,大部分的扫描器都能够实现本功能,甚至还能够用head代替GET。在连接的时间上也可以根据网络的负载以及应用的情况进行合理化的设置。例如可以尽可能多的使用像http这类的应用协议,因为其为短连接,所以可以从很大的程度上将攻击的频率降下来。 (4)不断完善用户的身份验证系统 通常在用户利用互联网进行网络通信之前,都需要对使用者的个人信息身份等进行验证确认,不断完善用户的身份验证系统,可以对用户的私人相关信息进行合理的保护,防止被他人所窃取。最为传统的身份验证系统就是采取用户名和密码相匹配的方式,只有当这二者共同具备匹配后,用户才能够得到相应的通信权限,相对而言,具有非常高的安全性。通常情况下,为了避免身份丢失,用户需要将用户名和密码分开进行保存。同时,随着网络通信的发展,一次性密码也开始出现发展,这种密码因为只能够在一定的时间内才可以使用,使用也具有一定的安全性,但是也会出现在密码传输的中间环节被截用或者是受到攻击的情形。同时另外也出现了一种辅助的验证身份的办法,就是由网络系统的安全管理员发放的安全令牌,这种令牌具有唯一性,同时也能够和传统的用户名密码一起使用。目前又新兴出来的识别身份信息的检测方法主要以生物科技为主,例如指纹掌纹检测措施以及视网膜检测办法,因为这种生物科技办法模仿伪造的难度较高,所以其安全性也非常高。 三、结语 在我国的通信领域不断发展的良好形势之下,政府的工作,企业的运营,个人的生活学习也和网络建立起联系,随之而来的网络通信的安全问题也需要得到足够的重视和解决。按照当前网络通信过程中出现的比较常见的问题,不仅需要使用者自身在信息传递与储存的过程中加强保护意识,运用防护墙以及安全病毒查杀软件等有效方式来维护安全,同时网络安全部门也应该要建立起一个较为完善的安全管理系统,不仅要让网络的开放性得到保障,同时还能够促进安全,使得我国的网络通信工程能够发展的更加完善健康。 作者:项保利 单位:湖南省慈利县92665部队 网络与信息安全论文:计算机网络与信息安全系统的搭建 1计算机网络及网络安全问题 1.1计算机网络存在的安全问题 1.1.1计算机网络安全的定义 计算机网络安全的定义会随着用户的变化而变化,用户不同,会对网络安全的认识也不同。计算机网络安全的本质包括组成网络系统的软硬件及其在网络上传输信息的安全性,使其不会因为偶然的、或者恶意的攻击而被破坏。网络安全既有技术方面的问题也存在管理方面的问题,两者是相互补充的。 1.1.2计算机网络的安全缺陷及其主要影响因素 (1)网络共享带来系统的不稳定性网络共享给使用者带来方面的同时,也给破坏分子提供了可乘之机,破坏分子利用共享资源攻击甚至破坏用户的计算机或系统,这是给系统网络带来不稳定的主要因素之一。 (2)网络机构不够安全,网络硬件的配置不够完善文件的服务器是网络的中枢系统,其运行的稳定性,功能是否完善是直接影响网络系统质量,网络应用的需求是影响网络的可靠性、兼容性以及升级换代;再有就是网卡和工作站的选配不合适会导致网络的不稳定。 (3)各种病毒带来网络不安全的问题由于计算机网络给不同的结点接收信息,这样容易使病毒轻易地进入计算机的内部造成感染。而病毒侵入之后会使其在网络内部以一定的数量和速度不断地繁殖传播,这样能在较短的时间里布置到网络的各个结点,这样就会导致整个网络处于瘫痪状态,比如说以前的“熊猫烧香”病毒,只要有计算机存在,病毒就会随之而来,令人不胜其烦。 (4)网络缺乏安全策略由于网络上大部分数据未被加密,会使网络数据安全没办法保证,许多站点在防火配置上下意识地扩大了其访问权限。 2计算机网络攻击的特征 2.1攻击的手段多样化,手法隐蔽 计算机攻击的手段可谓是五花八门,攻击者既能通过监视网络数据的方式获取人的保密资料,也能通过截取他人的账号和口令来进入他人的计算机系统,攻击者还可以通过一些特殊的手段绕过人们精心设计好的防火墙等。这些过程能在非常短的时间内通过任意一台计算机来完成。 2.2以攻击为主 要对计算机的各类软件采取严格的保护措施。 2.3损失巨大 因为攻击与入侵的对象是网络上的计算机系统,因此攻击者一旦取得成功就会使网络中大量的机器处于瘫痪的状态,这样会给用户造成巨大的经济损失。 3计算机网络及信息系统的安全防范的关键技术 网络系统结构设计的合理是系统安全运行的关键,要全面分析网络系统设计的每个环节,这是建立安全可靠的计算机网络庞大工程的首要任务。 3.1应用网络的分段技术 网络分段技术实际上是杜绝网络的安全隐患问题。因为局域网是采用交换机为中心的、以路由器为边界的网络传输格局,同时加上基于交换机的访问控制功能和三层交换功能;因此采取物理分段和逻辑与逻辑分段两种方式来实现对局域网的安全控制。目的就是将非法用户与敏感的网络资源隔离,从而能保证信息的安全通畅。 3.2访问控制方式 在访问的过程中采用的方式认证系统和访问控制网关等方法,对网络资源的内部布置认证服务系统,其作用有: (1)具备基于连接时段的ACL功能,对各用户使用的网络资源加以控制; (2)用户使用网络时需要经过身份认证,这样就会确定各个用户的有效信息,出现问题能及时解决; (3)限制用户对系统的访问。这种限制分为两步:第一步是通过IP地址来限制,通过安装TCP_Wrap-persr软件来实现;第二步是超级用户口令,只允许系统管理员知道,并要求定期修改。还有一种方式是不允许其他用户远程登录访问root,这是在系统文件/etc/default/login中缺省中设置的。 3.3设置密码的方式 密码是常用的信息安全保护技术,密码能为网络的安全起到安全通信的作用,对用户的信息用加密法来进行变换进而能安全的进行网络通信,这样能防止被非授权用户访问,这样就能实现网络信息安全的目的。同时密码的作用有如下三点:保证数据机密不被窃取、数据的完整校验以及数据的不可抵赖性的验证。密码的采用是网络信息多了一层比较坚固的外壳,即使有不法分子窃取也不能被轻易地破解,起到了保护信息的作用。 3.4存储备份方式 为保证网络系统的安全,还应对相应的数据进行备份。这主要是针对一些外在因素而导致的安全隐患问题;比如:系统与硬件出现故障、人为的损坏等等。这就需要我们结合数据存贮备份技术将因外在因素而导致的损坏控制在最低范围内。计算机用户应从存储备份硬件、存贮备份软件等方面采取防范措施。 3.5病毒查杀的方式 防病毒软件是病毒防护中最常用的技术之一,病毒的查杀可及时发现侵犯网络的恶意行为。现在计算机网络病毒的形式多样负杂,传播的方式也在演化升级。病毒具有危害大、传播迅速的特点,这样就给计算机网络造成巨大的损失。现在计算机网络抗病毒的技术主要是安装不同的杀毒软件,而且要定期地对防病毒软件进行升级、对病毒库进行更新等。同时在杀毒完了时还要对计算机进行杀毒和修复漏洞等,这样能保证良好的病毒查杀效果。病毒查杀是当前防范网络威胁最普遍的方式,其取得的防范效果也较好。 4结束语 计算机网络对当今社会的影响巨大,关注计算机网络的安全问题,并且建立完善的网络信息系统显得非常必要。开发和研制有效的网络安全产品的软硬件应当引起足够的重视,同时用户在使用计算网络的时候,也应提高安全意识,搭建一个安全的网络信息系统。在分析网络威胁因素之后,应针对不同的情况采取不同的措施,这样就能保证计算机网络的持续运行。 作者:崔鹏宇单位:辽宁地质工程职业学院 网络与信息安全论文:高校网络与信息安全解析 摘要:随着网络的不断发展,信息时代的到来以及移动端的普及,网络已经成为人们生活中不可或缺的部分,信息安全的重要性也提上日程。2014年2月27日中央网络安全与信息化领导小组成立,国家主任亲自担任组长,以此可见对网络发展和网络安全的高度重视。并指出:“没有网络安全,就没有国家安全,没有信息化就没有现代化”,强调“网络安全和信息化是一体之两翼,驱动之双轮,必须统一谋划、统一部署、统一推进、统一实施”。 关键词:高校;网络;信息安全 1目前高校网络现状 大学是一个知识的殿堂,人口相对密集,人才辈出的地方,大学生的思维活跃。目前高校的网络现状包含了一下几方面:①系统分期建设,缺乏安全规范:高校的信息化建设分期建设,逐步完善。从数字化校园到如今的智慧校园,由于前期的建设在安全规划、安全分区上未作严格的要求,大都根据使用情况,发现问题来解决问题,导致信息资产大都统一存放以致进行不同级别的安全防护级别难度增大。②网站建设和管理不统一:高校内部网站数量多,建设单位杂,安全管理困难。③网站日常维护缺失:高校网站重建设、重功能,日常安全维护较差,一些已公布的安全漏洞常常得不到修复。④安全防护意识有待完善:目前已有的安全防护手段包括出口行为审计、防火墙、漏洞扫描、上网行为分析、入侵检测、信息审计。⑤网络安全管理体系不健全:安全管理体系,管理人员,制度都存在缺失,信息系统建设,运维安全措施不到位。 2信息安全的重要性 信息安全包含信息的保密性、安全性和完整性,三者缺一不可,小到个人信息大到国家机密,任何国家、部门、行业、个人对信息安全都必须非常重视。随着信息时代的到来,网络隐私权的被侵犯受到各界人士的广泛重视,其重要性呼之欲出。根据360互联网安全中心的数据显示,其拦截的骚扰电话数量惊人,用户每接到10个电话,其中就有5个是骚扰电话。邮件管理部门同样有这样的感叹,垃圾邮件骚扰电话无孔不入。其根源就在于信息的泄漏。从传统的计算机安全到信息安全,更重要的是对安全发展的延伸,安全也不仅是技术问题,而是将管理、技术、法律等问题相结合的产物。 3网络安全的产品 网络安全是指网络系统的硬件、软件及其系统中的数据受到保护,不因逻辑或者物理的错误导致数据遭受到泄露、破坏、更改,系统能正常连续可靠地运行,网络服务不中断。网络安全具有完整性、保密性、可用性、可控性等特征。近几年来信息安全进入到一个高速发展的阶段,产品层出不穷,图中列举的负载均衡、防火墙、防篡改系统、信息审计、入侵检测、上网行为审计、漏洞扫描等都能有效地帮助网络管理员更好、更有效管理网络安全。很多人认为有了防火墙,网络就安全,其实防火墙只是最基本,最简单的一种方式。配备入侵检测可以把透过防火墙的攻击做相应的记录,并做出相应的判断(通过、禁止、阻断等动作)。采取终端安全保护系统以“主动防御”理念为基础,操作系统与策略地有机结合,通过对端口、代码、数据文件加密、网络连接、上网行为审计分级控制、移动存储设备接入,实现操作系统加固及信息系统的可防御、可控、可制止、保障终端系统以及数据的安全。 4高校网络如何实施信息安全,杜绝信息泄漏 制定网络安全管理章程,做到网络安全管理工作有章可循,有据可依。根据“谁主管、谁负责,谁主办、谁负责”的原则,落实第一责任人,建立校、院两级网络安全管理机制,主管领导对网络安全负总责,具体管理人负主责。在各二级单位设立网络安全员,加强对各级网络安全管理员的业务学习,负责保障和监测本部门的网站和自建信息系统的网络安全,对各网站实行安全责任人,由安全责任人负责服务器的日常维护以及网站信息内容审核、监控,力求能够快速、妥善处理各种网络安全突发事件。对于BBS、博客等具有交互信息网站,建立完善的信息审核和实时监管的制度,执行7*24小时不间断监控,有效防止信息泄漏和扩散的风险。源头上制定安全规范,从源头上阻止信息的泄漏,传输过程中增加网络安全相关设备,积极完善网络中遗漏的漏洞,增加安全力量,缩短应急响应时间,加强数据安全保障。对接IPDB安全基础信息库,主动发现漏洞,积极配合处理。启用VulTracker漏洞管理与自动化跟踪平台。 5结语 新一代信息技术的到来,移动终端已深入学生群,并得到了广泛的应用,深刻地影响着高校教育教学、科研管理、管理制度以及师生观念观点、学习方法以及行为习惯,如今高校的传统教育管理理念、形态以及业务都面临重大的变革。随着信息网络的深入,资源信息的共享,迈过了网络建设的时代,信息安全将会成为如今高校网络工作的重中之重。信息化时代标志着信息的重要性,时代的进步离不开信息的发展。 作者:曾红玉 单位:第三军医大学信息管理中心 网络与信息安全论文:移动社交网络用户信息安全与保护 【摘要】笔者据移动社交网络用户信息安全问题现状,分析了移动社交网络安全问题的成因,结合信息安全保护原理,从用户个人、网络企业、国家立法三个层面提出了移动社交网络用户信息安全保护对策。 【关键词】移动社交网络;信息安全保护;无线加密技术;WPA;WPA2 随着人类文明和科技进步,我们已步入互联网时代。大数据、云计算、智能化等新一代信息技术的发展,正以空前的力量和效率,掀起一场影响全人类的深层变革,改变了人们的生活方式,提供了前所未有的思维模式。移动社交网络已成为生活中不可或缺的一部分,它丰富了人们的物质和精神生活,同时移动社交网络中用户信息安全问题也成为当今社会的一个焦点,越来越受到人们的关注,饱受广大网民诟病。 1移动社交网络用户信息安全问题现状分析 当今社会移动社交网络(MobileSocialNetwork)已成为社交网络的主流,移动社交网络虽然是一种虚拟的社交媒体,但为用户提供了分享信息、交流思想、沟通情感的平台。近年来,随着4G技术以及无线网络技术的发展及智能移动终端的广泛使用,移动社交网络得到高速发展。然而,移动社交网络在给用户提供便捷高效的服务的同时也面临着极大地安全挑战。据第38次《中国互联网络发展状况统计报告》(2016.7)显示,截止2016年6月,我国网民规模已达7.1亿,互联网普及率达到51.7%,手机上网主导地位强化,手机网民规模达到6.56亿,网民中手机上网的人群占比为92.5%,中国网站总数为454万个[1]。另据有关资料显示,2015年有95.9%的手机网民遇到过手机信息安全事件,手机网民中会主动查看手机软件隐私权限的用户仅占35.8%,44.7%的用户会在不确认公共Wi-Fi是否安全的情况下直接连接,58.9%的手机网民没有听说过伪基站,26.4%的用户在遭遇手机信息安全事件后不会采取任何措施进行处理[2]。由上述情况来看,人们在日常生活中或多或少都遇到过因个人信息泄露导致的诸如骚扰诈骗短信或电话、非正常链接、恶意软件攻击、病毒木马入侵等信息安全事件,但因受影响程度的不同,人们的处理态度和方式也不一样。因大多数未造成直接的经济损失,加上举报程序复杂且操作成本高,人们担心花费时间和精力得不偿失,半数以上的人选择不理睬的态度,从而怂恿了不法分子的猖獗,这也是导致诈骗信息不断的主要原因。除非造成了重大经济损失或出现人身伤亡事故,如徐玉玉事件,才会引起高度关注。总的来看,各类信息安全事件在数量上将呈上升趋势;在内容上花样百出、不断翻新;在手段上隐蔽性更强、欺骗性更大。移动社交网络中用户的信息安全正成为移动互联网时代突出的社会问题。 2移动社交网络中的信息安全问题原因探究 移动社交网络中用户个人信息安全形势仍较严峻,主要有以下原因:(1)用户信息安全意识淡薄。目前仍有一部分网民在个人信息安全方面没有采取任何防护措施。由于许多网站的隐私设置比较繁琐,很多用户都没有进行隐私设置;有一些用户习惯于用一个ID注册多个账号,甚至用同样的密码;有的用户使用与自己相关的个人信息等纯数字来设置密码,很容易被破译;有的随意安装未知来源的社交应用软件,导致移动终端和个人信息遭到泄露;还有部分用户不会使用终端系统的隐私控制功能,不能及时更新系统;随意开启GPS功能,导致位置信息泄露[3]。(2)信息安全保护技术还存在漏洞。在智能终端设备上安装第三方社交软件,通过这种第三方软件进行注册和认证,会把用户的信息及使用数据进行记录在移动终端设备上,通过用户的操作从而窃取用户的身份标识。然后通过截获的用户信息进一步的窃取其相关用户的信息[4]。(3)网络企业安全管理职责缺失。企业在运营过程中掌握大量用户个人信息资料,是用户信息安全保护的义务主体和第一责任人。但部分移动社交网络运营机构不重视用户信息的安全保护,缺乏制度建设,没有完全履行保护用户信息安全的职责。不进行技术创新,缺乏有效防范信息安全风险的解决方案;没有投入充足的经费建设专业安全管理团队,没有良好的应急能力。(4)个人信息安全法律体系滞后。由于互联网技术是新兴产业,近十年来发展异常迅猛,尤其是在个人信息安全方面存在法律缺失。我国目前尚未出台一部完整独立的《个人信息保护法》,而散落在其他法律条款中的规定,也无法完整的反映并保证用户的信息安全。此外,现成的法律体系主要表现为个人信息安全受到侵害时的一种补救机制,缺乏事前警示作用。 3移动社交网络中的信息安全保护原理 为了保护用户数据,无线网络从WEP加密技术逐步改进成为今天应用最广泛的WPA无线加密技术,它有两种标准,下面进行介绍: 3.1WPA加密技术 WPA全称是Wi-FiProtectedAccess,它作为一种系统,能够保护无线网络(Wi-Fi)的安全。Wi-Fi联盟(TheWi-FiAl-liance)这个组织建立并确定了WPA,WPA最重要的部分就在TKIP和IEEE802.1X。TKIP相当于包含在WEP密码的一层“外壳”,它的密钥长度是128位,解决了WEP密钥短的问题。IEEE802.1X:①发出连接上网请求;②发出请求数据帧;③经过一系列处理将用户的信息发到服务器;④比较传送来的与数据库中的信息有何不同;⑤将对应的口令进行加密处理;⑥将加密后的口令传给客户端;⑦对上一部分的信息进行加密整理;⑧检查处理加密过的信息。 3.2WPA2加密技术 WPA2是WiFi联盟新通过的协议标准的认证形式,其中Michael算法被更加安全的CCMP所取代、而AES算法取代了RC4加密算法。WPA2支持安全性更高的算法AES;但与WPA不同的是,WPA2支持802.11g及以上的无线网卡。 3.3WPA与WPA2的公式区别 WPA=IEEE802.11idraft3=IEEE802.1X/EAP+WEP(选择性项目)/TKIPWPA2=IEEE802.11i=IEEE802.1X/EAP+WEP(选择性目)/TKIP/CCMP 3.4WPA技术的四个优势 WPA会不断一直的迭代密钥,增加其密钥长度,从而增加安全级别。WPA所采用的有效的保障机制,让其可以应用在不同种类的网卡。WPA使公共场所和学术办公地安全地设置无线网络,不必担心信息安全问题。WPA实现“一户一密”。即每一个用户都使用分配给自己的密码。 4移动社交网络用户信息安全保护对策 保障移动社交网络用户信息安全,需从用户个人、网络企业、国家立法三个层面多维度应对。具体措施如下:(1)提高用户信息安全素养,加强风险防范意识。信息安全素养是指个人在当今网络环境下对信息安全的理解与认知,以及应对信息安全问题所反映出来的综合能力[5]。增强信息安全意识,学习信息安全知识,有助于人们了解网络犯罪和病毒攻击的特征,提高识别风险的能力。同时遵守信息伦理道德,不受骗,不骗人,从自身做起,做一个遵纪守法的文明网民,营创风清气正的社交网络环境。(2)提高网络安全保护技术,加强信息安全监管。未来网络安全攻守双方将以新型技术漏洞为优秀进行长期博弈。因此,提高技术壁垒,减少技术漏洞是保障信息安全的基础,要加强互联网技术和安全防护技术的深度融合,不断创新,从源头上保证个人信息安全。魔高一尺,道高一丈,要让黑客在红客面前无机可乘,无计可施。(3)提高运营管理水平,完善行业自律机制。社交网络企业作为信息安全体系的主导因素,有义务在技术、制度、管理等方面提升综合能力,承担相应责任。社交网络企业要深刻意识到用户信息安全的重要性,切实履行保护用户信息安全的职责,建设专业安全管理团队,建立完备的隐私控制策略。在与第三方共享数据时要建立行业自律机制,遵守自律公约,保证用户个人信息的隐私和安全。(4)健全信息安全法律体系,加大安全事件执法力度。加快成立专门的部级个人信息安全管理部门,与时俱进,同步的完善信息安全法律体系。实行信息安全事件责任追究,做到有法可依,违法必究,对重大信息安全事件加大打击力度,以高压态势整肃信息安全环境,促进移动社交网络的繁荣和健康发展。 作者:吴尚蔚 单位:湖北省宜昌市夷陵中学 网络与信息安全论文:计算机网络信息安全与防护策略思考 摘要:随着电子信息的飞速发展,计算机信息技术已被运用到人们日常的生产与生活中。随着人们对计算机依赖程度的增加,信息安全的隐患渐渐暴露了出来,非法入侵、泄露个人隐私的案件层出不穷,严重的信息安全问题亟待解决。基于此,就结合计算机威胁因素,提出了相关的计算机安全防护措施。 关键词:计算机网络;信息安全;防火墙 互联网科技时代来临,计算机的使用已深入到了现代人们生产、生活的每一个角落,网络逐渐得到广泛应用,现代网络不仅可以实现电话、视频,还可以储存、交易,提供便利的同时也带来了一些隐患。据360网络诈骗举报平台统计,2015年全国举报的网络诈骗就有24886例,涉案金额高达1.27亿元,据警方介绍网络诈骗案例的发生多半与受害者的信息泄露有关。网络安全是近些年来的热点问题,得到了各级政府的高度重视。 1威胁计算机网络信息安全的因素 1.1黑客的威胁和攻击 黑客常常先会利用网络进行扫描,广泛寻找存在弱点的计算机,然后对有弱点的计算机投掷信息,当用户不小心点击该链接后,电脑会自动安装侦听器监视程序,程序会自动收集用户的网络数据流,这样就可以轻而易举地得到用户电脑的密码和口令,然后就能对用户的个人信息了如指掌。黑客的信息投掷一般会伪造电子邮件地址、Web页地址,用户对此却毫无察觉,利用获得的信息又可以进行二次再骗,使得用户亲近的人认为是其自身发出的。 1.2计算机病毒 计算机病毒是能够破坏计算机功能或者毁坏数据,影响计算机使用,并可以完成自我复制的计算机指令或程序代码。计算机病毒往往对计算机的破坏力极强,严重的会导致计算机无法启动,轻微的会影响运行速度,改变磁盘存储空间,破坏文件格式,有的甚至影响外部设备。计算机病毒传播的途径既可以通过存储介质传播,也可以通过网页下载和电子邮件的形式进行传播,因此,计算机病毒也是信息安全问题的主要诱因之一。 1.3网络软件漏洞 系统本身的漏洞是不可避免的,随着系统用户的使用深入,系统的漏洞会慢慢显露,因此网络漏洞成了黑客攻击的首选目标,黑客可以通过软件的漏洞入侵到后台,实施网络攻击。 2计算机安全防护措施 2.1设置身份鉴别系统 计算机的第一道防线就是限制用户的使用,以判别该用户是否是本人操作,可以计算机设置身份鉴别系统,身份鉴别系统对于用户的隐私能起到一定的保护作用,可以有效防止使用者不慎泄露信息。计算机身份鉴别可以是单向的鉴别,也可以是双向的鉴别,单向的身份鉴别只对一方进行限制,鉴别的一方被称为验证者,这种鉴别方式只适合于人们的日常生活,对一些不太重要的个人隐私进行保护。双向的身份鉴别既可以对发出者进行鉴别,又能够对验证者进行限制,同时实现通信双方的互相鉴别,这样可以对隐私实现双重的保护,既能够防止非法者实现单方面入侵,也可以防止非法者入侵用户后进行再次对子关系用户进行入侵。设置身份鉴别系统是保护计算机免入侵,维护信息安全的第一屏障。 2.2设置口令识别 口令是计算机安全的防线之一,计算机的信息系统需要经过口令的身份验证,才能具备访问权限。值得注意的是,涉密计算机的口令一定要是符合保密要求的,否则计算机口令很容易被破解,一旦口令破解,入侵者就会以用户的身份访问计算机隐私,盗取机主的个人信息,因此,涉密计算机的口令设置一定要严格按照保密协议规定进行。通常保密规定对信息进行隐藏的口令不少于8位数,并且要求口令必须在一个月之内更换。而对于机密类型的信息则有更高的要求,口令长度为4位数,但采用的是IC卡或者USBKey与口令结合的方式,口令的更换周期要缩短为一周更换一次。设置的口令尽量是字母与数字混合的形式,处理绝密文件有条件的可以采用特有的生理特征作为口令,例如指纹或者虹膜。 2.3安装防火墙软件 防火墙技术软件是计算机软件和硬件、专用网与公共网、内部网与外部网等共同作用,对数据流量进行截断所形成界面上构造的保护屏障。防火墙是网络通信监控的重要手段,能够隔离内部和外部网络,实现阻断外部网络对机体的入侵。防火墙按照实现的对象不同分为网络防火墙和计算机防火墙,网络防火墙是指在内外网络之间安装防火网,防火网一般是先通过路由器对可连接网络进行筛选,准入的网络又要经过目的地址、信息协议、端口及应用层的检测,进而达到防火网过滤非法信息的目的。计算机防火墙与网络防火墙不同,它是在外网与用户之间构建防火墙,即防火墙成为了计算机的一部分。计算机防火墙是在外网与用户的途径中检测传输协议、接口规程、目的地址和应用层,过滤掉不符合规定信息。计算机防火墙可以检查计算机发出的信息,并对符合规定的信息加上协议标志,然后才能将信息传输出去。安装防火墙是信息安全的重要手段,能够有效保护脆弱的服务器,限制非法用户的访问,并能实时的对网络数据进行统计,方便对信息的集中监管,具有很强的保密性。 2.4信息数据加密处理 数据加密其实就是用户双方约定对信息处理的一种手段,即将明文文件按照某种算法进行特殊处理,使文件成为非法用户不可读的代码。数据加密实质就是隐藏机要文件,文件成为密文后,只有通过得到密钥才能显示文件完整内容。通过信息数据加密处理过的文件,能够放心安全地发送机要文件,有效防止第三方用户窃取和阅读信息。当前的主流加密技术为全盘加密技术和驱动级技术,全盘加密技术顾名思义就是进行磁盘全盘加密,并辅以主机监控、防火墙堵截等防护体系共同作用的技术。全盘加密技术又称为磁盘加密,数据本身不加密只对磁盘进行加密处理,一旦操作系统启动,数据只显示在磁盘上是以明文形式存在,而磁盘在非法用户计算机内是无法读取。全盘加密能够对全盘的信息安全进行有效管理,破解难度大,安全性能高。驱动级技术是当前机密信息加密的高级技术,采用的是进程和后缀式处理,用户能够灵活选择加密方式,可以高效管理信息。驱动级技术主要可以为文件构建加密系统,用户只能在安全环境下操作,但离开特定环境文件将无法读取,数据安全性得到了大大提升。信息数据处理技术是网络信息安全防护的另一大防护信息的安全措施,其主要是通过运用网络定位系统,对发送的信息进行精确定位,能很好地监督和管理信息。信息数据处理技术能够有效约束非法截流信息,消除不法分子的嚣张气焰。 2.5强化管理 信息技术的安全保护不光要从网络系统的角度阻止信息的泄露,也要规范信息传输本人的操作,严格管理用户的使用习惯是从源头遏制信息泄露的重要手段。对于企业在对绝密信息的管理方面,一定制定严格的规范,计算机使用者只能使用自己特有的计算机,最好专人专用,人员一人一台计算机,既可防止使用者利用职务便利泄露信息,也可以方便追查泄密相关责任。 3结语 计算机网络信息安全及防护是防护信息安全的重要议题,只有深入掌握了信息泄露的途径,才能有效根据非法入侵渠道进行合理防范。信息安全是现代无法逃避的话题,对于信息的监管和预防是当前需要讨论的热点,也是论述本文的重要原因。 作者:李祎明 单位:洛阳市第一高级中学
期刊收录:知网收录(中) 维普收录(中) 万方收录(中) 国家图书馆馆藏 上海图书馆馆藏 统计源期刊(中国科技论文优秀期刊) 文摘与引文数据库
1引言 计算机安全,是指对计算机系统所采取的技术和管理保护,使计算机软、硬件和信息数据避免遭到破坏、修改、暴露等危害。公安计算机管理监察司对计算机安全定义为:计算机资产安全,计算机系统和计算机信息资源不受到有害因素的损害。计算机安全不仅仅体现在硬件方面,还与软件、数据的保密性及安全性密切相关,可以说两者的配合统一度越高,计算机就越安全[1-5]。 2计算机的安全危害 通过计算机安全的定义可以发现,计算机受到的安全威胁主要有两类危害形式:损坏计算机本身和危害计算机内保存的信息数据。计算机自身受损,主要体现为软件故障及硬件损伤;而计算机信息安全危害,则主要体现在对资料、数据等进行窃取、损毁、伪造、变更。 2.1计算机自身受损 计算机系统由硬件和软件系统组成,因而计算机自身受到的危害通常体现为硬件损伤或者软件故障。硬件正常是保证计算机工作的基础条件,在使用过程中,硬件系统发挥着重要的作用,硬件损伤是指组成计算机本身的各类硬件,如主板、光盘驱动器、硬盘、网卡、内存等等发生故障,一旦计算机硬件出现问题,将导致主机电源不能正常开启、显示器不正常显示、计算机内部温度过高等问题,直接影响使用者对计算机的操作。软件故障通常由于用户对于软件操作不熟悉、误操作、设置不当等引起,软件发生故障,将导致程序不能正常使用、文件损坏丢失、系统无法登陆、计算机运转缓慢、死机频发等问题。计算机自身受损大多是由于使用者在使用过程中,忽视外部因素影响或者人为操作不当导致的,不正确的连接计算机硬件、在电压不稳定的环境使用、硬件设备触水、积灰清理不及时、长时间连续开机等行为就容易引发硬件故障,而不进行重要数据备份、不清理系统垃圾文件、不加辨别随意安装来路不明软件则可能发生计算机软故障。 2.2危害的种类 信息社会里,数据安全保密问题与每个计算机用户都息息相关,电子数据具有易删除、易篡改,数据量大等特点[6-9]。一旦忽视其安全管理,极易遭到破坏、泄露,给使用者造成不良影响甚至是难以挽回的损失。计算机信息危害通常分为两种,(1)本地计算机被非法使用者操作或导致信息受损。(2)攻击者利用网络,通过病毒植入、木马程序、漏洞攻击、非法受权访问等手段,获取计算机信息、干扰计算机运行、损害用户利益。第一种信息危害发生主要原因是计算机用户警惕性差,对计算机设置环境安全重视不够、登陆密码设置不科学、锁屏不及时,导致计算机被他人接近并进行非法操作。第二种危害则是因为当前计算机系统本身及网络仍然存在不少安全缺陷,容易被攻击者利用来威胁信息安全,更加隐蔽和难以预防,目前大部分的信息安全问题都属于这一情况。 3计算机安全危险对策 针对两类计算机安全危害,结合其特点,主要可从三个方面加以解决。 3.1提升计算机用户安全意识和操作水平 无论什么时候,人都是使用计算机的主体,根据相关数据统计,全世界范围内引发的计算机安全事件,80%以上是由于计算机使用人员的操作失误和操作不当,提高使用者的安全意识和操作能力,就能从根本上为计算机安全防护打下良好基础。(1)注重建立一个安全的计算机运行环境,尽量在有安全防护措施的地点使用,避免其他人员接近操作计算机,减少在公共场合接入安全性不可靠的网络。(2)要积极学习并掌握一些基础的计算机软、硬件知识,养成良好的使用习惯,设置安全性高的登陆、锁屏密码,使用完毕及时关闭设备,同时掌握基础的网络信息辨别方法,时刻认识到网络风险就在身边,上网时选择正规的网站、网址进行信息浏览,不随意透露涉及计算机安全的信息。(3)要注重安全操作,掌握基本的安全操作方法,定期更换各类系统登录口令、加强密码强度,定期清理浏览器存储的Cookie数据,使用安全软件扫描完成计算机系统漏洞修补、木马查杀等操作。 3.2加强计算机硬件、软件维护管理 根据计算机硬件、软件特点,有针对性地采取相应办法减少危害。硬件方面:(1)在配备时要购买质量好、品质高的设备,确保线路正确连接,使硬件发挥正常功能。(2)营造温度、湿度适当的系统运行环境,并做好防静电、防潮、防火等防护工作,使计算机硬件能够处于一个安全的运行环境,保持良好的运行状态,从而有效降低计算机硬件问题的发生率。(3)计算机使用者应当养成良好的使用习惯,避免液体或杂物进入硬件设备,对计算机硬件进行定期检查,使用专用的工具定时对键盘、鼠标和机箱内部设备进行清洁除尘,一旦发现存在不良情况要及时进行技术处理或硬件更换,不要过长时间连续使用计算机或在电压不稳的情况下使用计算机,以此保证计算机系统的稳定运行。软件方面:(1)在安装时要选择正版的软件,保证没有其他对计算机安全有威胁的插件捆绑安装。(2)对计算机软件系统及时做好备份,保障发生问题时能够及时找回相关数据,挽回损失。(3)定期对系统中的垃圾进行清理,释放更多的磁盘空间,以免系统中的垃圾文件过多影响到计算机的运行速度。 3.3建立完善的信息安全保密体系 要保证计算机系统在使用过程中,运行环境更加安全,信息传输更为可靠,就需要针对计算机系统功能安全运行标准,建立完善的信息安全与保密体系。(1)使用完全没有网络连接的计算机保存涉及优秀机密、关乎重大利益的绝密级信息,需要进行信息交换时,采用光盘刻录摆渡的方法进行,通过完全的物理隔离断绝网络攻击可能,同时利用光盘特性,从而有效避免使用U盘、移动硬盘等介质导致的木马泄密事件发生。(2)建立健全网上监控手段,广泛应用网络终端安全防护系统,动态监测联网计算机系统运行状况,及时发现网络安全威胁。同时,使用防火墙技术在网络边界上建立网络通信监控,过滤网络攻击,关闭不使用的端口,避免重要信息从特定端口流出,采用计算机终端安全加密和漏洞扫描技术,为计算机安装病毒查杀、水印标签、数据加密、安全密钥等系统,全面保障计算机存储信息的安全。 4结语 随着时代进步,计算机在社会中扮演着越来越重要的角色,虽然在其应用过程中存在诸多安全危险,但只要我们对计算机系统进行深入了解,采取有针对性的措施做好防范工作,进一步优化计算机使用环境,就能够减少各类安全问题的发生,全面提高计算机使用效果,更好地体验信息时代计算机技术给我们工作和生活带来的各种便利。 参考文献 [1]许丽波.计算机网络安全及其防范对策[J].计算机产品与流通,2018(11):29. [2]张小惠.计算机软件中的安全漏洞及防御对策[J].信息技术与信息化,2014(06):123-124. [3]吕菲.网络环境下计算机安全问题分析及策略研究[J].现代信息科技,2018,2(06):165-166. [4]苏家宇.网络环境下计算机信息安全与保密工作[J].计算机产品与流通,2019(01):49. [5]焦智灏.网络环境下计算机信息安全与保密工作[J].电子技术与软件工程,2018(20):201. [6]张文亮.计算机维护与病毒防治技术研究[J].三峡大学学报(人文社会科学版),2017,39(S2):146-147. [7]吴恒.计算机的维护维修以及病毒防治方法的探析[J].硅谷,2012,5(23):169+191 [8]彭晋红.计算机维护维修与病毒防治方法分析[J].信息与电脑(理论版),2017(16):203-204+213. [9]王玉芹.计算机网络安全的现状及其防范对策分析[J].东方企业文化,2012(22):248. 作者:张涛 单位:武警内蒙古总队
在网络环境中,海量的数据信息以网络作为媒介实现信息的快速交互通信,在信息传递的过程中就直接面临着较为突出的信息安全问题,这是因为网络不仅能够作为信息通信的渠道,同时也可以成为黑客、病毒、木马以及不法分子提供了窃取信息的场所,因此这也就使得网络通信面临的信息数据安全问题也十分突出。 1造成网络通信的数据信息安全问题的原因 目前网络通信中的信息数据安全问题屡见不鲜,并已造成了不小的经济损失,危害社会稳定。造成网络通信安全隐患的原因主要包括以下内容:(1)网络具有开放性,网络中的每一名用户都可以在一定权限下获取在网络中的数据信息,这也很大程度上增加了学习、工作的效率。但正是因为网络的开放性环境,也给不法分子带来了可乘之机,他们通过违规操作,破坏权限,盗取未公开的数据信息,严重威胁了网络安全。(2)现如今有很多网络上的网站为了能够方便快速的控制用户登录端口,会在电脑的设置管理中构建一个可以远程控制的系统,但是这一系统模式一旦被网络黑客所控制,黑客就能够通过远程的控制系统进而入侵用户的电脑系统,给用户的个人隐私信息安全产生了巨大的威胁。(3)目前在网络传输协议、网络代码等方面也存在着一定的安全问题,虽然目前网络控制系统正在不断的完善,但是依照网络黑客技术的发展形势,如果安全方式技术不实时更新,那么迟早会被黑客所攻破。那么为了能够有效的制止这类事情,国际上尝试增加网络传输协议与网络代码,但过度增加协议与代码数量的方式并不可行,因为过多的协议与代码会导致整体网络系统运行速率下降,这就陷入了两难的局面。(4)最后很多网络系统的计算机负责人员,由于自身对网络通信信息安全的重视程度不足、知识掌握不够,也会给网路通信系统造成管理方面的漏洞,甚至还有的计算机负责人员借助自己的合法身份、权限,监守自盗到网络系统中盗取信息。 2网络通信中的数据信息安全保障技术 2.1身份验证 现如今在网络通信中的数据信息安全保障中,最常见的方法即为身份验证,也就是通过网络软件和系统在进行信息安全验证,这种形式的验证模式主要是进行账号和密码的验证形式,只有验证正确了才能够进入到系统当中,取得权限。在实际操作的过程当中,为提高安全性,可将密码和账户进行分开存储,又或者是划分在不同的两个系统当中,最后在运用短信的形式开展信息通信。随着现如今网络技术的不断发展,还有很多都是属于生物加密技术,也就是视网膜和指纹识别等。 2.2网络通信中的数据信息加密技术 数据信息加密就是对数据信息进行加密保护,使黑客在盗取信息前需要破译密码,为其盗取信息设置障碍。这也就是现阶段在网络安全通信当中十分常见的安全保障形式,数据加密对于保障信息安全的效果显著,且十分灵活,目前常用的数据信息加密技术并不唯一,在具体的应用中,可选择一种或多种加密技术联用的方式,以最大程度提高数据信息的安全性,常用的数据信息加密技术主要有几下几种。 2.2.1网络通信加密 所谓的网络通信加密就是根据在网络传输过程当中的动态给予加密,最后在把网络当中的通信数据在相互传输的过程当中进行线上加密,也就是说每一项的节点都需要进行加密和解密,促使密钥一直都是在动态的环境之下,那么当链路数据在进行解密和加密的时候都会是在一种动态分配数据的过程中,那么针对这种情况就不会出现一些信息被泄露和存在被解密的危险系数,所以促使信息能够在安全上得以保障。 2.2.2加点加密技术 加点加密技术也是现在最为常见的信息安全技术,能够把节点加密和解密加密进行相结合,最终能够实现动态数据动态加密传输,所以在整个传输过程当中起点到终点都是属于信息加密和解密的过程,让信息能够长时间的加以保护,那么密码装置又是作为加点加密的重要组成内容,但是这种操作技术大部分都是运用于明码的传输过程,所以导致有很多的系统代码会在传输的过程中被破解。 2.2.3数据端的加密方式 最后的数据端加密形式主要就是在数据信息传输的过程当中在已经加密的基础上在进行二次加密,让暗码在传输的过程当中能够加以保密,而且这种的加密形式都是属于运用硬件进行解密,并不能够运用普通的软件或者是单方的加密形式进行解密,所以运用这种加密形式是有助于传输不被破解的良好方式,促使整体的系统都是出于安全的状态。 2.3构建完善的防火墙系统 当前有很多的不法分子攻击网络获取信息,针对这些恶意攻击,首先就需要加大对防火墙系统的建设,能够在网络当中构建出网络通信信息安全的维护体系,针对一切外来攻击性进行反击,此外只是构建完善安全系统是不足够的,现阶段还有很多的工作人员都没有针对防火墙的构建意义进行深入的认识和了解,这给恶意攻击者提供了便利。因此还要加强对工作人员进行相关知识培训,以提升防火墙的应用效果。同时目前很多防火墙系统都是具有安全监测功能、历史信息记录等,除屏蔽外部网络的入侵以及保护个人的信息不被盗窃等,还可以根据历史信息的检测记录,了解当前的信息安全动态情况,如果短时间内多次受到攻击,就需要强化信息安全保护,并向上级汇报,做好应对。 3结语 综上所述,网络通信中面临着不容忽视的数据信息安全问题,一旦出现数据信息安全问题,如人们的隐私信息以及商业、政府重要信息等的泄露,将会造成难以估量的损失,因此为避免此类问题,需要不断提升网络通信管理中的数据信息安全保障技术,从而有效构建出安全的网络通信环境。 参考文献 [1]赵红霞.网络通信中的数据信息安全保障研究[J].信息与电脑(理论版),2016(13):205-206. [2]董海军.数据加密技术在计算机网络通信安全中的应用研究[J].电子测试,2016(11):94-95. 作者简介邹程炜(1996-),男,江苏省苏州市人。大学本科学历。研究方向为网络工程。
计算机网络信息安全探讨:计算机网络信息安全及其防护对策探索 摘要:随着网络信息技术越来越发达,网民对于计算机网络信息安全也越来越关注,各种社交软件、支付软件、购物软件以及各种帐号、账户都会对用户进行身份信息的录入,一旦账户或者手机、电脑遭到攻击、入侵用户的各种身份信息将会遭到泄漏,造成无法估量的损失和危害。因此,针对计算机网络信息安全的保护及对策是现代计算机网络安全任务的首要责任,如何对用户的信息以及一些国家的机密信息进行加密和保护是现代网络发展和进步的重点任务。 关键词:计算机网络;信息安全;信息保护;网络攻击 现代计算机网络技术确实给我们带来了前所未有的生活便利,大大的提高了人们的生活效率,给我们带来了很多便利和乐趣,与此同时也给人们带来了很多的困扰和担忧,其中最突出的就要属信息安全问题。人们所有信息几乎都在网络上可以查询得到,和你接触和使用过软件,或者你仅仅使用过的一部智能手机,各种身份信息等就会在网络上并通过技术手段能查询得到,一旦你的手机或者电脑遭遇攻击后个人信息将会遭到泄漏,甚至你使用的某个软件的服务器遭到黑客攻击,个人信息一样会造成泄漏或被他人利用,这种状况已经严重威胁到了人们的财产安全。 1计算机网络信息安全面临的主要威胁 近几年来,网络信息安全事故不断出现,甚至威胁到个人和国家安全。分析其原因则各有不同,有黑客组织进行的网络攻击,有移动设备的系统存在的系统漏洞,也有国家的相关部门进行的非法信息收集等,如2013年美国CIA技术分析员爱德华•约瑟夫•斯诺登,向《卫报》和《华盛顿邮报》披露了CIA关于“棱镜”的计划项目。这是政府对于个人信息和隐私进行实时监控的项目。美国中央情报局通过对个人的、聊天日志、邮件、语言信息、搜索记录、存储数据、视频、传输数据、电话记录、社交媒体以及照片等方式进行搜集和监听、监控,以此来偷窥人们的隐私。?政府如此不顾民众的隐私,对于个人实施非凡监听与监控,严重侵害了个人的隐私和网络自由。不管出于什么目的,这种行为已经严重侵害了个人隐私和个人利益,且谁都不能保证这些信息最后会不会落到别有用心的人手里。还有很多关于黑客攻击政府部门和企业信息的案例,从个人的用户信息、账户资料到国家安全部门的军事信息等,都曾遭遇过黑客的攻击,这些信息不但影响着个人的利益和安全,也严重地影响着国家的利益和安全。因此如何做好计算机安全信息的保护一直是计算机网络技术发展的重点。 2计算机网络存在的安全问题 2.1计算机病毒 计算机文件和数据在运行读取中很容易感染一些比较隐蔽的病毒,如果不对病毒进行及时的清理就容易导致计算机信息发生泄露。这些病毒主要是通过软件系统触发,会随着计算机的正常运行在计算机内部进行快速的传播,从而使计算机系统在较短时间内发生瘫痪。 2.2固有的安全漏洞 至今都没有一个软件可以说是不存在系统漏洞的,客观来讲,任何系统或软件都存在一定的安全漏洞,且这些漏洞是在不断的被发现而后修复、再发现再修复的循环过程,因此难以实现绝对安全的。 2.3合法工具的滥用 大部分的系统都具有备用的系统后期升级和改动的系统管理工具,以用来提升系统后期再开发和提升服务时使用。但是,这也给系统留了后门,例如NBTSTAT命令,本来是用来让系统管理员进行远程的节点信息查看和使用的,但是黑客可以利用此对系统进行非法的信息收集用户名以及身份信息等,借以用来破译账户等。本来是公司用来完善系统和提升系统服务的工具,但却被很多的不法分子利用来满足自己想要获得的信息和内容。安全问题存在于系统和软件的方方面面,不正确的系统维护及落后的系统设计,加之系统检测的能力低效等,都会给黑客留有可乘之机。 2.4自然灾害的影响 计算机操作系统属于高智能操作体系,外界环境容易对其造成不可避免的损坏。比如地震、环境湿度、温度等因素,都会造成计算机的安全出现问题。此外,我国在使用计算机的过程中很少使用防辐射干扰系统,更没有采取相关的自然灾害防范措施。计算机在受到这方面的迫害和威胁时,就很有可能造成很大信息安全隐患。 2.5人为恶意破坏 计算机信息之所以会面临攻击,大部分是因为人为恶意的攻击。这种攻击无外乎两种原因,一种是因为得到利益,另一种则是为了挑战系统中的难题,故意对系统进行攻击。前者在攻击过程中会这针对需要的信息对计算机系统进行攻击,用获取的信息来换取相应的利益,后者则是没有选择性地进行攻击。不论哪种攻击意图,都会导致被攻击计算机中信息发生泄露,导致个人或者企业面临严重损失。 3计算机网络信息安全防护对策 3.1安装必要的杀毒软件 当人们在浏览网页、网站或者从一些明来源的网页、网站进行下载时,很可能会把黑客植入的病毒一并下载到个人电脑当中,这时如果有杀毒软件的话,会对用户进行通知,并且会提醒用户此网页或网站的安全性。 3.2及时为系统安装补丁 虽然微软公司总是不断推出系统补丁,但是这也是保证计算机安全的基础程序。对补丁进行及时安装和下载,可以保证计算机尽量减少潜在的漏洞,黑客就很难进入电脑系统中。所以用户需要定期手动或者自动对系统软件进行更新,保证软件的安全,从而提高计算机的自我防范,保证安全的有效性。 3.3隐藏IP地址 黑客经常使用的手段是通过探测我们的IP地址信息来追踪主机,然后对我们的主机进行攻击,获取我们电脑的上各种信息。因此,个人在使用电脑时可以对电脑进行IP隐藏,使用服务器来隐藏我们的真实主机IP地址。 3.4改善计算机使用环境 计算机的安全运行对环境有着较高的要求,企业在使用计算的过程中,可以针对计算机使用的标准对温度和湿度进行改善。此外,在面临自然灾害时,计算机可以对计算机信息进行加密,或者在突然断电时计算机可以自动启动储存等作用,对信息进行保护,以此保证信息不丢失。 3.5不随便接入公共网络 在移动联网设备广泛使用的今天,无论身处何处总会想着有没有无线热点可以接入,正因为如此,黑客就可以借机对接入的设备进行控制和查看。因此不要随便连接不明的WIFI热点。 3.6不回陌生邮件 一些黑客会利用邮件往来的方式,冒充正规的企业网站向消费者发送邮件,这些邮件中回复的内容往往会设计陷阱,植入个人账户和密码输入的环节,一旦客户回复,黑客很快就能掌握你的账户密码和相关信息,导致个人资料泄露,严重时会带来损失。所以,对于这类邮件一定要及时删除,或者及时打网站的客服电话咨询,避免对自己造成不必要的损失。 4结语 尽管有很多网络安全产品可以使用,但是由于很多人缺乏对信息的保护意识,缺少对网络的正确使用的方法,黑客们依然可以很容易地入侵我们的设备,因此我们所能做的就是不断地发现系统和软件的漏洞,谨慎地使用我们的设备,掌握一定的计算机安全保护措施才能避免相关损失。 作者:罗文兴 管毅 单位:川北医学院国有资产管理处 计算机网络信息安全探讨:计算机网络信息安全技术管理与应用 摘要:在互联网高度发达的今天,网络信息安全问题成为全世界共同关注的焦点。包含计算机病毒、木马、黑客入侵等在内的计算机网络信息安全事故频繁发生,给信息时代的人们敲响了警钟。互联网技术的广泛应用,给人们的工作、学习和生活带来了极大的便利,提高了工作效率,降低了活动成本,使原本复杂、繁琐的工作变得简单易行。但互联网开放、自由的特点又使得其不得不面临许多问题。文章围绕基于网络信息安全技术管理的计算机应用进行探讨,分析了当前计算机网络信息安全发展现状及存在的主要问题,介绍了主要的网络信息安全防范技术,希望能够帮助人们更好地了解网络信息安全知识,规范使用计算机,提高网络信息安全水平。 关键词:网络;信息安全;黑客;计算机应用 引言 计算机和互联网的发明与应用是二十世纪人类最重要的两项科学成果。它们的出现,深深改变了人类社会生产、生活方式,对人们的思想和精神领域也产生了重大影响。随着互联网的出现,人类社会已经步入信息时代,网络上的海量信息极大地改善了人们工作条件,原本困难的任务变得简单,人们的生活更加丰富多彩。计算机和互联网在给人们带来巨大的便利的同时,也带来了潜在的威胁。每年因为网络信息安全事故所造成的经济损失就数以亿计。网络信息安全问题也日渐凸显,已经引起各国政府和社会各界的高度关注。加强计算机网络信息安全技术研究与应用,避免网络信息安全事故发生,保证互联网信息使用安全是当前IT产业重点研究的课题。 1计算机网络信息安全现状及存在的主要问题 1.1互联网本身特性的原因 互联网具有着极为明显的开放性、共享性和自由性特点,正是这三种特性,赋予了互联网旺盛的生命力和发展动力。但同时,这三个特点也给互联网信息安全带来了隐患。许多不法份子利用互联网开放性的特点,大肆进行信息破坏,由于互联网安全管理体制机制尚不完善,用户的计算机使用行为还很不规范,缺乏安全防范意识等,这些都给不法份子进行违法活动创造了机会。 1.2黑客行为与计算机病毒的危害 黑客行为和计算机病毒、木马等是现阶段计算机安全最主要的两大威胁。所谓黑客,是指利用计算机知识、技术通过某种技术手段入侵目标计算机,进而进行信息窃取、破坏等违法行为的人。黑客本身就是计算机技术人员,其对计算机的内部结构、安全防护措施等都较为了解,进而能够通过针对性的措施突破计算机安全防护,在不经允许的情况下登录计算机。目前就世界范围而言,黑客数量众多,规模庞大,有个人行为,也有组织行为,通过互联网,能够对世界上各处联网计算机进行攻击和破坏。由于计算机用途广泛,黑客行为造成的破坏结果也多种多样。计算机病毒是一种特殊的计算机软件,它能够自我复制,进而将其扩散到目标计算机。计算机病毒的危害也是多种多样的,由于计算机病毒种类繁多,且具有极强的潜伏性和破坏能力,所以很难对其进行防范。而计算机病毒一旦进入目标计算机就会自动运行,对计算机上的文件信息按照程序预设步骤进行删除、篡改等。计算机作为信息存储、运算处理的电子设备,其上的信息一旦受到破坏,计算机将无法正常工作。有的病毒甚至会对计算机硬件造成损坏,使损失进一步增加。2006年大规模爆发的“熊猫烧香”病毒就是病毒家族中的一个突出代表,它本质上是一种蠕虫病毒变种,在传播过程中经历了多次变种,使得查杀难度大幅提高。“熊猫烧香”的主要危害是让计算机发生蓝屏、死机、频繁重启乃至数据损坏等。由于病毒发作后电脑中会出现大量带有“熊猫烧香”图标的文件,所以人们将其命名为“熊猫烧香”病毒。“熊猫烧香”病毒的大规模发作,给社会生产、人们生活造成了严重妨碍和巨额经济损失。故而,人们将“熊猫烧香”病毒列为全球十大计算机病毒之一。“熊猫烧香”病毒以计算机上的可执行文件和dos下的应用程序文件为目标进行感染,这些文件被感染后,如果计算机用户启动这些文件,就会自动连上互联网并下载病毒。“熊猫烧香”病毒的一旦感染计算机就会入侵计算机上的防火墙软件和病毒软件,使其失去应有机能,同时,病毒还会将计算机上后缀名为“gho”的文件删除,这样一来,即使计算机用户之前用ghost软件进行过备份,但由于备份文件被删除也会无法恢复系统。 2基于网络信息安全的计算机应用技术 2.1信息加密技术 信息加密技术是针对计算机信息窃取问题而开发、设计出来的信息安全防护措施。计算机信息遭受窃取,是主要的网络信息安全事故类型。无论是经济信息、军事信息还是个人隐私,一旦被别有用心的不法份子窃取,就会给国家安全、社会稳定或是个人切身利益造成严重威胁。为此,人们开发出信息加密技术,将存储在联网计算机上的文件信息按照某种方式予以加密处理,这样一来,即使信息被人窃取,其中内容也不会为人所知,从而在一定程度上保证了信息安全。由于信息安全的极端重要性,各国政府都高度重视信息加密技术的研究与开发。尽管具体技术各有不同,但其本质还是较为相似的。无论哪种加密技术,都属于主动性安全防御措施。该技术通过安全认证的方式构建起信息安全防御机制,保证网络电子信息的机密性。一般是通过某种加密算法,将原本的信息由明文转为密文,使用者必须按照对应的密匙将密文转为明文后方可知悉其中的具体内容。现阶段信息加密技术主要包括对称加密和非对称加密两种。通过有效的加密技术与客户的密码相配合,提高网络信息的安全水平。 2.2防火墙技术 为了有效防范来自网络的威胁,现在的计算机普遍采用防火墙进行防范。该技术通过在网络和计算机接口间建立起一套甄别机制,仅允许符合预设标准的安全信息通过,由此将不确定或是非法登录请求隔绝在计算机之外,从而保证计算机上的信息安全。 2.3防病毒技术 病毒防范技术主要包括两个部分:一是查找、判断病毒程序,二是实现对病毒程序的删除。其中,如何及时、准确查出病毒程序是技术的基础。由于病毒种类繁多,兼之许多病毒具有变种、伪装、隐藏的能力,从而使得病毒的查找难度很高,要切实做好病毒程序的查找,病毒库的建立与更新是关键。反病毒软件配套的病毒数据库,必须实时保持更新,只有这样,才能针对病毒做出有效反应。 3结束语 随着网络技术和计算机技术的不断发展,网络信息安全领域的斗争也日趋激烈。无论是黑客技术、病毒技术还是计算机安全防护技术,本质上都是计算机网络技术的一个分支,是科学在不同领域的具体应用的表现形式。作为互联网行业企业,必须深刻认识到计算机网络信息安全的重要性和紧迫性,加强计算机安全防范技术研究力度,紧跟时展,不断实现信息安全防范技术的升级换代,使用更加安全有效的网络信息方式,确保网络信息的安全。 作者:桂美坤 李俊 单位:南京南瑞集团公司 计算机网络信息安全探讨:计算机网络信息安全及防护 摘要:随着我国互联网技术不断的进步,计算机网络的发展也逐渐趋向成熟。计算机网络发展为人民群众生活带来了很大的益处,使得人们的生活更便捷与信息化。计算机网络信息的发展是一把“双刃剑”,虽然为人们的生活带来很大的方便,但是其中隐含的计算机网络信息安全问题是不可忽视的。近些年来计算机网络信息安全频频受损,影响了人们日常生活。面对计算机网络信息安全的问题,我国相关部门也做出了一些防范措施,但是由于计算机网络发展过于迅速,使得原有的计算机网络信息安全防范措施已经与现代的计算机网络发展不符,需要优化计算机网络信息安全措施。 关键字:计算机网络;信息安全;防护策略 随着计算机技术与互联网的发展,计算机网络信息已经成为大众生活中的一部分。而其中的计算机网络信息安全问题也日渐明显,由于计算机中所存储的都是与我们息息相关的信息,优化和改革计算机网络信息安全的防范策略迫在眉睫。在现代社会中人们越来越依赖计算机网络,很多计算机用户都将自己的一些机密文件和隐私放到计算机中存储,计算机网络信息安全如果出现问题,将会为计算机用户带来很大的不便。计算机网络信息安全问题的威胁越来越大,有关部门应该及时做好防范措施,保证计算机网络信息的安全。 1计算机网络信息安全的重要性 计算机网络信息的安全不仅与我们日常生活有关,更深层次的影响着我国的国家安全。因此我们要了解计算机网络信息安全的重要性,避免接触一些不良网站[1]。计算机网络信息的安全主要体现在三方面:首先,计算机网络信息是通过资源共享等来提高自身的工作效率。因为计算机网络信息的特性,使得国家各方面的内容都与其息息相关。但是就因为这个特性,使得计算机网络具有脆弱性,一些网站有着潜在的风险,会使计算机网络安全受到威胁,使一些文件等受损或被盗。其次,计算机网络的发展与我国各行各业都有着密切的联系,可以说计算机网络已经成为我们生活中的基础设备,与我们的生活有着直接的关系,所以计算机网络信息安全很重要。最后,对于国家而言,计算机网络安全有着至关重要的关系。国家的一些军事,经济,文化等的活动很多都是通过计算机网络操作,因此如果计算机网络信息安全出问题,将直接威胁到国家的安全[2]。随着科技的发展,社会生活的各方面都离不开计算机网络的操作,因此国家有关部门应该及时解决计算机网络信息存在的问题,保证国家和社会的安全发展。 2计算机网络信息中存在的问题 2.1计算机网络自身问题 计算机网络最大的一个特点便是资源共享,有着很大程度的开放性。正因为计算机网络本身的特点导致计算机网络具有脆弱性,因为广泛的开放性,使得计算机网络在安全上存在着很大的麻烦:有些网站存在这欺骗攻击和截取信息等问题,使得计算机的安全受损。 2.2外在环境的影响 计算机网络的功能强大,但是很容易受到外界的损害,如:湿度、温度和冲击等。虽然目前的计算机都有了防震、避雷、防水等功能,但是由于一些接地系统的影响,导致计算机的防御功能受到了限制[3]。 2.3用户的安全意识不强 目前我国的很多计算机使用者的安全意识不强,在不经意的操作中便会泄漏自己的信息,而且对于一些并敏感的网站和网址的防范意识不强,为计算机网络安全带来了危险。 2.4病毒的侵入 随着网络的发展,计算机病毒也是无所不在,无孔不入,为计算机网络安全带来了隐患。计算机病毒一般不被人察觉,随着一些优盘和软件下载传入到用户的电脑里。计算机病毒具有传染性和破坏性,通过文件资料的复制,运行和传送作为传播的路径。日常生活中的光盘,硬盘等都是计算机病毒传播的途径。病毒侵入到计算机中,会影响计算机运行的速度,破坏文件的完整性,甚至可能导致文件的丢失和被删除。近年来,计算机病毒为人们带来了很大的危险,让人们谈之色变,如:“磁碟机”(又称千足虫)导致电脑蓝屏,而且算坏文件和资料。 2.5黑客的人为攻击 在众多的计算机网络信息安全隐患里,黑客的攻击是最危险,威胁最大的。黑客的恶意攻击分为主动和被动两种:主动攻击主要是通过各种方法破坏信息的完整,被动攻击就是只获取信息,不破坏电脑。目前的计算机网络虽然发展较快,但是在一定程度上存在着安全的隐患,一些黑客通过入侵电脑等获取用户的重要信息及文件,严重的还会导致电脑系统瘫痪[4]。 2.6垃圾邮件的危害 有一些不法分子将一些垃圾邮件强发送到众多用户的邮箱里,让用户被动地接受垃圾邮件。还有间谍软件,主要是窃取用户的重要资料。 2.7计算机犯罪 计算机犯罪是通过一些口令的传播,恶意破坏用户的计算机,实施诈骗和盗窃等犯罪行为,为用户带来了损失。 3计算机网络信息安全的防范措施 3.1安装有效地杀毒软件 安装有效的杀毒软件是计算机网络信息完全的有效防范措施之一。防火墙可以防止一些用户非法进入别人电脑的内部网络。防火墙主要分为四个类型:地址转换型防护墙:地址转换型防火墙主要作用是隐藏真实的IP地址。地址转换型防火墙可以将内侧的IP地址转换成临时的IP,有效地保护计算机网络的安全。包过滤型防火墙:包过滤型防火墙是根据读取网址中的“是”“否”来判断信息的真实性,如果出现危险的数据包,包过滤型防火墙就会阻止危险数据包的访问请求[5]。型防火墙:主要的功能是阻挡客户端和服务器之间的交流,当一些危险客户端给服务器发送请求时,防火墙会根据请求判断来源的可靠性与真实性,防止而已侵害的发生。监测防火墙:监测防火墙主要的作用就是对各类的数据请求进行主动地监测,从而将危险的请求阻断,保护计算机网络的安全。 3.2将文件加密 将文件加密可以有效地防止文件资料等被盗。文件加密可以提高计算机系统的安全性,防止一些比较保密的数据文件等被窃取。加密可以分为有线路加密和端对端加密两种,有线路机密可以通过各线路采用不同的密令保密信息。而端对端加密主要是采用把明文加密成密文的方式保护计算机中的文件。 3.3安装补丁程序 漏洞是计算机网络安全的重大隐患,在如今的社会黑客的技术越来越高端,利用电脑的漏洞攻击用户防火墙,盗取重要的文件。当计算机的系统出现漏洞以后会给计算机网络信息带来很大的威胁[6]。作为计算机网络的用户我们应该在电脑中安装补丁程序,排查漏洞,有效地解决计算机网络中存在的问题,如:360安全卫士、电脑管家和其他的一些补丁软件可以有效地阻止计算机网络信息受损,保护自己的隐私。 4结束语 随着经济的发展,人们对于计算机网络的使用越来越广泛,而且如今很多领域都离不开计算机网络的操作,因此有效地防止计算机网络安全出现问题对于现代社会来说是很有必要的。而且很多的国家机密和军事安全等也与计算机网络安全有着直接的联系,计算机电脑用户应该增强自己的安全意识,有关部门应该做好计算机网络信息安全的有效措施,保证国家的安全稳健发展。 作者:都明基1 徐建民2 单位:1.中天合创能源有限责任公司 2.北京中煤昊翔高新技术有限公司 计算机网络信息安全探讨:计算机网络信息安全及防护策略分析 摘要:计算机网络信息安全所指的网络系统软件、硬件与系统内数据得到有效保护,不受到外界恶意因素的干扰,防止计算机网络信息系统遭到泄露、更改与破坏,确保系统能够正常、有效、可靠运行。目前,计算机的应用非常普及,该技术的引入改变了人们的工作与生活方式,网络上包含的资源非常丰富,有利于人们及时获取所需资源,为人们的工作、生活提供便捷。值得注意的是,计算机网络也具有安全风险,在该技术的应用过程中,还要防止计算机网络受到外界侵袭。 关键词:计算机;网络安全;防护策略 目前,计算机的应用非常广泛,人们的生活、工作对计算机网络均有着较高的依赖性,不过计算机的网络安全受到很多因素的威胁,例如部分黑客利用网络漏洞攻击计算机网络,非法获取用户的数据信息。部分黑客甚至还设置了病毒程序,恶意修改用户数据,致使计算机无法正常运行。 1计算机网络安全问题 计算机网络安全包含两个方面的内容,其一为逻辑安全,所指的就是在网络环境内,数据信息能够得到有效保护;其二为物理安全,所指的就是防止人为破坏、丢失而运行的计算机网络设备。对计算机运行安全造成影响的因素非常多,包括人为因素与偶然因素,具体内容如下: (一)病毒 计算机病毒会破坏计算机程序,对计算机使用具有很大影响,且病毒程序能够自我复制,具备寄生性、传染性、破坏性、潜伏性、触发性等特征。计算机病毒的传播途径较多,可通过复制、传送数据包等途径传播,在计算机使用期间,计算机病毒可通过闪存盘、移动硬盘、光盘、网络等途径传播。 (二)计算机系统漏洞 在操作系统编程期间,程序员可能会发生操作失误现象,导致系统出现漏洞。实际上,要想完全避免漏洞的难度非常大,任何操作系统都存在一定漏洞。黑客可利用计算机系统内存在的漏洞攻击计算机,这对计算机运行的安全性构成了很大威胁,可使计算机网络被破坏,引发严重后果。 (三)黑客攻击 黑客攻击手段包括两种,分别为破坏性攻击、非破坏性攻击,严重威胁着计算机运行安全性。非破坏性攻击仅仅会在一定程度上影响操作系统,无法获取系统内的数据信息,通常使用拒绝服务、信息炸弹的攻击手段。(四)网络管理者缺乏安全管理意识现阶段,网络架构复杂程度较高,部分网络用户对网络安全运行情况并不关注,他们更加重视网络服务。除此之外,在网络运行管理过程中也存在很多问题,例如网络管理者缺乏安全管理意识,设置的登陆密码比较简单,且缺乏安全配置,极易被黑客攻击。 2提高计算机网络信息安全的策略 通过上述研究发现,计算机网络的信息安全受到很多因素的威胁,为了提高网络信息的安全性,必须采取合理的措施。 (一)隐藏IP地址。 要想攻击计算机系统,黑客就必须获取IP地址,然后可采用攻击手段进行攻击,黑客主要通过网络探测技术获取用户IP地址。为了防止受到黑客的攻击,可采用服务器对IP地址进行隐藏,在这种情况下,黑客并不能够获取真实IP地址,他们所获取的地址为服务器IP地址,有利于确保计算机运行的安全性,使用户IP地址有效隐藏。 (二)做好信息加密保护工作。 网络加密有多种方法,其中包括链路加密、端点加密、节点加密。链路加密可确保节点间链路信息的安全性;端点加密有利于保护系统内数据,确保源端用户至目的端用户数据信息的安全性;节点加密可保护传输链路,对目的节点、源节点两者间的传输进行保护。在实际加密设置操作中,用户可根据实际情况,对加密方式进行选择,确保信息安全。 (三)提高网络系统设计的可靠性。 为了确保计算机网络安全、可靠,就必须全面分析网络系统,提高网络运行质量。就局域网而言,以太网所有节点可对局域网内两个节点通讯数据进行截取,为了获得以太网数据包,仅仅只需监听任一节点,并对数据包进行分析,便可获取关键信息。 (四)鉴别用户身份。 用户进至系统前,网络管理者要鉴别用户身份,防止非法用户进入系统内。针对合法网络用户,网络管理者要给予登记,并明确用户资源访问权限,提醒用户在登陆系统时,设置难度系数较高的密码。 (五)防火墙设置。 网络防火墙技术属于互联网设备,可对网络内部环境进行保护,防止非法访问的情况发生。防火墙技术可以有效检查传输数据的安全性,对网络运行状态进行监督,明确网络通信是否通过许可。根据使用技术的不同,可将其分为过滤型、地址转换型、型、监测型等几种类型。型防火墙处于客户端、服务器两者间,可阻挡两者数据流,及时发现非法入侵现象,如果客户端需对服务器数据进行获取,则需将请求发送至服务器,服务器可索取数据,并通过客户端,将数据传输给用户,防止网络数据受到外界侵袭。监测型防火墙可主动、实时监测不同层数据,能够对外部网络攻击情况进行检查,同时也可防范内部攻击,可有效提高网络运行的可靠性、安全性,确保计算机网络信息安全。 3结语 目前,计算机技术的应用越来越广泛,丰富了人们的生活,也使人们的工作效率大大提升。与此同时,计算机网络信息安全问题也引起了人们的重视,网络攻击会导致企业出现巨大经济损失,也会致使用户信息被泄露。 作者:孙志成 单位:辽东学院 计算机网络信息安全探讨:计算机网络信息安全及防护对策 摘要:随着科学技术的不断发展,计算机互联网发展日益加快,全球网络用户数量急剧增加,网络信息资源共享更加频繁,随之而引发的安全问题也得到越来越多人的重视。因此,积极探索计算机网络信息安全防护措施十分必要。本文主要深入探究计算机网络信息安全及防护对策,为类似研究提供一些参考。 关键词:计算机;网络信息;安全;对策 1威胁计算机网络信息安全的因素 在科学技术飞速发展的现今社会,计算机互联网渗透到人们生活的方方面面,使人们的生活、工作和学习方式都出现了极大转变。随着互联网应用的不断扩大,计算机网络安全风险变得更为复杂,带来重大网络安全隐患。目前,威胁计算机网络信息安全的常见因素主要包括以下内容。 1.1系统漏洞 计算机网络系统漏洞一般包括两种情况,即蓄意制造和无意制造。蓄意制造是指计算机设计人员为便于获取计算机信息或控制计算机操作而故意设计的系统设置行为;无意制造是指计算机设计人员由于技术操作马虎或疏忽大意而引致系统出现漏洞。系统漏洞能直接穿过计算机安全防护系统的防火墙对计算机进行攻击而不被轻易察觉,因此,我们必须对系统漏洞给予充分重视。 1.2病毒威胁 计算机病毒是指计算机设计人员在编制计算机程序时,插入破坏计算机正常使用功能或数据,影响计算机正常使用,并且可在此过程中进行自我复制的一类计算机指令或程序代码。计算机病毒可以隐藏在计算机文件中,一旦病毒激发,其具有强大破坏性和传染性必然造成连锁反应,破坏计算机文件资料,致使资料数据丢失,严重的还会使计算机瘫痪不动,给用户造成重大损失。 1.3黑客攻击 目前,威胁计算机网络信息安全的最大因素当属黑客攻击,主要包括人为对计算机某些有价值的文件信息进行破坏,以及人为恶意窃取计算机一些重要数据资料。黑客的恶意攻击和入侵不仅会破坏计算机系统安全,还能导致计算机网络系统瘫痪,让用户在不清楚的情况下丢失机密信息和数据,给个人、企业或国家的机密信息安全带来重大威胁。 1.4自然因素 计算机属于高端智能化电子设备,一旦外界环境出现变化,计算机就会极易受到影响。由于计算机技术有限,目前绝大多数计算机都没有防水防高温措施,当这些因素变化超出计算机本身可承受的允许值时,必然会损坏计算机,严重的话还会造成无法挽回的重大损失。 2计算机网络信息安全及防护对策分析 为有效降低计算机网络信息安全风险,必须加强对计算机使用过程中安全问题的防护处理,做好计算机网络信息的安全防护工作,全面提高计算机网络信息的安全性,为计算机运行提供一个安全可靠的使用环境。 2.1加强防火墙保护 构建计算机网络安全防火墙可有效提高计算机网络信息的安全性,这是因为计算机网络防火墙的实质就是控制用户的网络访问安全级别,以有效防止其他计算机用户以不法手段获取网络数据资源的一种保护方式,通过这种限制计算机网络访问的形式能为用户提供一种安全可靠的计算机网络应用环境。用户在计算机安装网络防火墙后,可利用防火墙对网络环境中计算机的实时运行情况进行全面监控,以多种防火墙形式阻止外界网络信息的入侵攻击。在使用计算机网络防火墙后,用户还可以安装计算机杀毒软件,进一步加强计算机网络信息安全保护。 2.2加强漏洞补丁 对计算机进行漏洞补丁是指用户对计算机系统运行过程中出现的问题进行及时弥补,通过安装一些计算机漏洞补丁的方式对计算机程序系统进行维护管理。由于用户使用的计算机系统和常用的计算机软件都存在一定的漏洞危险,若计算机系统出现运行不当或用户对其操作不当必然会给不法分子提供恶意攻击的机会,因此,必须对计算机进行定期检查,及时发现系统中的存在漏洞并加以处理,常用的方法就是下载安装漏洞补丁,再通过360安全卫士、超级兔子、金山卫士等漏洞修复软件的修复作用,有效查找计算机存在的漏洞并对其及时修补,全面提升计算机运行环境的安全性。 2.3增强加密技术 当用户对计算机的重要文件进行加密处理后,即使外界环境对计算机进行不法攻击入侵,计算机加密系统也会保护计算机中重要信息文件,此时不法分子难以窃取计算机中的文件资料,尽可能避免计算机信息数据的丢失破坏。目前,计算机网络信息加密技术主要包括三种基本类型,即密码加密处理、操作系统防护处理、文件分析处理。其中,密码加密处理是指通过设置密码来对计算机文件加强防护;操作系统防护处理是指利用计算机自身系统对数据文件的组织形式和存储形式进一步加密防护;文件分析处理则是指计算机通过深入分析文件数据的语法结构和相关应用程序代码而对其进行一些特定替换,提升对计算机文件的加密效果。 3结束语 计算机网络信息安全是一项复杂的系统化工程,我们必须充分认识到网络信息安全防护的重要性,才能采取有效措施降低网络信息安全风险,及时分析计算机出现的各种网络问题,制定科学合理的计算机网络信息安全防护措施,提高用户计算机网络信息安全性,确保计算机得以正常安全运行。 作者:李素苹 单位:内蒙古机电职业技术学院
1计算机网络信息安全与虚拟网络技术的基本概述 1.1计算机网络信息安全的概念和要素 简单来讲,所谓的计算机网络信息安全主要指的是在计算机的运行过程中,为防止信息有意无意泄露、破坏、丢失等问题发生,让数据处于远离危险、免于威胁的状态或特性,其主要包含了完整性、保密性和可用性的三大要素,而根据相关数据调查显示,由于人为入侵和攻击等人为因素以及火灾、水灾、风暴、雷电、地震或环境(温度、湿度、震动、冲击、污染)等自然灾害的影响,计算机网络信息在运行过程中,其完整性、保密性和可用性会受到一定威胁,给企业发展造成一定影响的同时,也极大地降低了计算机网络的信息安全。 1.2虚拟网络技术的概念和特点 作为虚拟网络中的重要内容之一,虚拟网络技术主要指的是计算机网络中随意两个节点相互连通的状态,但与传统物理链接线路不同,它是搭建在公共网络服务商提供的专用网络平台上面,让使用者所需求信息通过逻辑链接线路进行传递,从现实角度来讲,虚拟网络技术能够很轻松地将用户和相关信息联系起来,既保证了互联网的稳定运行,也显著提高了传输数据的安全性,为企业的高效安全发展奠定了良好基础,且从目前来看,虚拟网络技术主要包括了隧道技术、加密技术、身份认证技术以及密钥管理技术等,而其中最重要和最关键的技术之一就是隧道技术。除此之外,根据相关数据调查显示,与传统网络信息技术相比,虚拟网络技术具有显著的安全性、简易性、延展性、操作简单性等多种技术特点,在一定程度上这些优点是其在现代计算机网络安全中的到广泛应用的重要基础,同时也是在未来很多年基于信息安全的计算机网络应用文/色登丹巴本文主要阐述了计算机网络安全与虚拟网络技术的基本内容,并对虚拟网络技术在计算机网络信息安全中的具体应用进行了深入研究,以期在推动互联网技术进一步发展的同时,为公司和企业的信息建设贡献更多力量。摘要内都将成为信息行业的重点研究对象。 2虚拟网络技术在计算机网络信息安全中的应用 近年来,随着我国现代化信息技术的不断发展,计算机网络安全作为信息化建设的重要内容之一,虚拟网络技术因其显著的应用优势成为了计算机网络信息安全中的优秀内容,在为用户带来更好使用体验的同时,也为公司和企业信息化建设的进一步发展奠定了良好基础,从目前来看,虚拟网络技术在计算机网络信息安全中的具体应用类别如下,即: 2.1企业部门与远程分支部门之间的应用 近年来,随着我国社会主义市场经济的不断发展和科学技术的不断进步,企业数量不断增多、市场规模逐渐扩大的同时,虚拟网络技术以期安全可靠、方便延伸以及成本低廉的优势被应用于公司总部门和分支部门之间的远程控制,不仅有助于加强了两者之间的沟通交流,同时在虚拟局域网下,各级分公司分支的局域网彼此之间也是相互连接的,因此在企业的发展过程中,他们可以共享和上传各级公司内部的所有信息,且与传统的互联网技术应用来说,硬件式的虚拟网络工具具有较高的加密性,不仅最大程度地为企业的发展提供了较高的安全保障,也为公司和企业的信息化建设贡献更多的力量。 2.2在公司网络和远程员工之间的应用 根据相关数据调查显示,从虚拟网络技术的应用频率和应用范围来看,以采购和销售为主要运营项目的公司对于此项技术有着更加大面积的应用,且这项信息网络技术常常被应用在公司网络和远程员工之间,究其原因是因为这项网络技术的应用在一定程度上不仅能帮助企业员工实时了解当下企业内部最新的各项数据信息,从而为工作的下一步开展奠定了良好基础,极大地提高了企业员工的工作质量和工作效率,而另一方面通常虚拟网络技术的服务器设置在公司总部,业务网点和移动办公各级机构可根据实际情况从客户端进行登录,在越过防火墙阻拦的基础上获取相关信息,由此与传统的网络技术相比,作为虚拟的网络接入工具,虚拟网络技术在安全性能等方面得到了广大人们的认可和信赖,是目前计算机网络安全性能较高的一项软件应用技术。 2.3在公司和公司客户之间的应用 其实从某方面来讲,在公司和公司客户、公司和合作伙伴、公司和供应商之间,虚拟网络技术也得到了较大范围的应用,在一定程度上不仅给企业的发展奠定了良好基础,同时也为不同的用户带来了不同的使用体验,进而为公司和企业的信息化建设贡献了更多的力量。简单来说,在当下数字化不断发展的信息时代背景下,公司要想在激烈的市场竞争中长期稳定的生存和发展下去,寻求新的合作关系、建立新的合作伙伴或供应商、增加自身的业务量以获取更多的业务数据是企业未来发展的重要基础和优秀方向,而虚拟网络平台的建设与发展从某方面来说就是为公司的发展提供了更多的方便,与此同时,倘若一些数据是公司内部的机密文件,为了阻止其他人的访问,企业可通过设置防火墙的办法来提高文件的安全性,以期在帮助公司解决数据共享问题的同时,也保护了公司的合法权益。3结束语总而言之,近年来随着我国互联网技术的不断发展和广泛应用,传统网络信息技术在应用过程中,一方面不仅无法满足当下社会企业发展的需求,影响了计算机网络的信息安全,同时系统在运行过程中也会因一些小的瑕疵而出现运行不畅等问题,严重地影响了用户体验,为此经过十几年来的实践探索研发,基于信息安全的虚拟网络技术不仅有效地解决了上述问题,同时也是因该技术强大的安全性和可靠性,虚拟网络技术的存在和发展也大力推动了信息产业的发展进程,为公司和企业的信息化建设贡献更多的力量。 参考文献 [1]陈易平,毕莹等.计算机网络信息安全中的虚拟专用网络技术的应用[J].电脑迷,2016(07):245-247. [2]白斯日古楞.计算机网络信息安全中虚拟专用网络技术的运用分析[J].信息通信,2016(11):133-135. [3]郭伟琦,孙健国等.虚拟专用网络技术与应用研究[J].计算机光盘软件与应用,2015(03):257-259. 作者简介色登丹巴(1980-),男,蒙古族,内蒙古自治区呼伦贝尔市人。大学本科学历。讲师。研究方向为计算机应用。
电子商务信息安全技术研究:电子商务信息安全技术探讨 摘要:随着信息技术的发展及电脑、手机等电子设备的普及,电子商务逐渐成为现代经济生活的重要组成部分。电子商务作为一种信息化、网络化的商贸手段在全球经济一体化的进程中发挥着重要作用。网络作为电子商务的交易平台,在电子商务的交易过程中涉及财产与信息交易,需要对其的安全有所保障。本文将结合电子商务的信息安全需求对其信息安全技术展开讨论。 关键词:电子商务;信息安全;安全技术 电子商务的网络化及信息化优势使得电子商务在激烈的交易市场竞争中发展起来,电子商务通过充分利用互联网平台的传播优势以及银行方便快捷的电子支付形成整个交易体系,不仅能使得卖方平等竞争,买方也能方便地择优而选。与传统的交易形式相比,电子商务所具备的交易虚拟、成本低廉、交易范围广等优势都更符合现代经济的发展。 1电子商务的信息安全需求 电子商务是一种通过互联网技术实现交易双方网络交流并完成双方交易的促进全球经济一体化的交易模式,信息技术的发展为电子商务提供了具备可行性的平台,电子商务也成为现代社会进入新的经济活动时代的重要标志。发展电子商务不仅能转变经济增长模式,还能提高国民的经济生活质量和效率,是我国实现全面小康社会的重要推助力。电子商务的网络化交易形式提高了交易的效率,但也带来了一些潜在的安全问题,其中最为突出、广受关注的就是电子商务信息安全问题。交易过程中存在着交易双方私人信息的处理、传送及存储过程,会有被不法分子窃取或者篡改的可能,这就需要确保电子商务交易过程中信息交流的保密性。电子商务的飞速发展导致一些投机取巧的行为发生,有的实物商品交易卖家却只虚拟发货从而谋取高额利润,也会存在买家随意拒收导致卖家蒙受损失的现象,所以这就需要交易双方身份真实可靠,不能虚假捏造,交易过程中发生问题能及时联系解决。电子商务的运行系统也需要极高的安全性,不能泄露交易双方的私人信息,需要确保软件的可靠性。 2电子商务信息安全技术 2.1信息加密技术 加密技术主要是通过密码算法对明文数据进行转换的信息安全技术,加密算法对应的加密密钥不尽相同,打开明文时需要输入对应的密钥,很大程度上增强了用户的信息安全性。信息加密技术实现了保存数据完整性的功能,阅读被加密的明文只能通过输入对应密钥来实现,是一种主动防窃的加密行为。密钥因其使用方式还分为对称密钥和非对称密钥两类密钥加密方式,对称密钥加密在加密与解密时都使用同一密钥,具有运算量小及速度快的优点,但是一但密钥被泄露,加密功能也就消失了;非对称密钥加密中的加密密钥和解密密钥不同,用户自己设置保存解密密钥并将加密密钥公开发送给明文接收方,保密性较对称密钥加密技术好,但运算量较大。 2.2认证技术 信息及身份认证技术是信息安全加密技术中重要的保密方式,普通的加密技术还有很多缺陷,认证技术在加密技术的基础上辅助信息安全工作更好地执行。信息及身份认证技术主要有数字签名、数字信封、数字摘要及数字证书四种,数字签名是用来确认用户身份的绝佳技术手段之一,不同于普通加密技术的密钥传递,数字签名能有效保证用户本人执行工作的真实性,数字签名下进行的密钥传递就如同发送者的亲笔签名一样,只被发送者持有的私钥才是真实有效的解密密钥,数字签名在密钥的基础上,能够对源文件进行鉴别保证文件的真实性并能保持文件的完整不被破坏;数字信封则是保证只有发送对象才能接收文件的有效手段,同样是建立在密钥的基础上,通过非对称密钥与对称密钥相结合的方式,即文件接收者先用私钥解开文件获取对称密钥从而获取全部文件内容,这样使得信息安全更有保障;数字摘要技术主要通过单向哈希函数进行转换运算后取得摘要编码实现信息安全保障的,可有效保持文件完整性;数字证书相当于用户的数字身份证,确保电子商务交易中的身份认证的真实性,并在交易中产生数据从而确保交易不可否认,确保交易数据的安全性,确保电子签名的可靠性。 2.3防火墙技术 防火墙的主要作用是阻挡对防火墙内部资源的访问,通常情况下会将公共数据和服务设置放在防火墙外侧,有人访问时只能访问外侧的内容,对内部资源的访问会被限制。防火墙具备简单实用的特点,其中的滤波技术能有效地降低网络性能,作为一种实用的信息安全技术还具备透明度高的特点,保证在不修改原有的软件运行环境的情况下起到保护信息安全的作用,但存在无法保护精确的信息安全的缺陷。 3结论 电子商务在现代经济生活中起到了无可替代的作用,在逐渐取代线下商务的发展情况下,电子商务相关技术的研究、发展及完善就要受到足够的重视,确保能提供给人们一个健康安全的交易环境,促进电子商务更好地发展。现今电子商务中的信息安全技术存在或多或少的缺陷,需要相关工作人员投入研究并将其完善,从而更好地保障用户的信息安全。 作者:吕汶洁 陈薛镅 李丹丹 单位:沈阳理工大学 电子商务信息安全技术研究:电子商务信息安全技术论文 摘要:随着科学技术的发展和时代的日新月异,我们的生活在不知不觉中发生了翻天覆地的变化,就连最基本的购物和消费都在默默变化着。近年来,随着亚马逊、阿里巴巴等电子商务如火如荼地闯入大众的视野,“电子商务”这个在十几年前闻所未闻的名词如今成为人们口中常谈的对象。在大众的口中,“电子商务”这个名词依旧略显陌生和专业,人们常常用“网购”和“网上支付”来代替“电子商务”,实际上说的是一回事。电子商务的出现,打破了空间的束缚,极大地方便了人们的购物行为,刺激了消费,一定程度上促进了经济的繁荣和增长。 关键词:电子商务;信息安全技术 一、电子商务发展存在的风险 第三方的电子交易平台在网络上对于信息进行储存、记录、处理、和传递,以此来协助一次网络消费行为的完成。一般情况下,这些信息都具有真实性和保密性,属于大众的隐私。但是,现在的网络环境比较恶劣,有很多网络陷阱以及刻意挖掘用户信息的“黑客”,从而导致基本信息出现失真、泄露和删除的危机,不利于正常电子商务交易的完成。对于电子商务信息大致上可以分为以下几类:第一,信息的真实性;第二,信息的实时性;第三,信息的安全性。首先,是信息的真实性。电子商务上的基本信息是卖家和买家进行认识对方和分辨商品真实性可靠性的唯一途径,应该绝对真实。一旦出现虚假信息,则属于欺骗消费者,是危害消费者权益的不法行为。其次,是信息的实时性。信息的实时性主要是指信息的保质期。因为很多信息只在一段时间内有效,具有时效性,一旦错过这段关键时期,那么该信息则失去自身的价值,变得一文不值。最后,就是信息的安全性,这也是消费者最为关心的问题。电子商务出现的安全性问题主要表现为客户的信息被删除、篡改从而失真,同时也表现为用户的信息被窃取从而达成其他目的,使得用户的隐私被侵犯,正常的生活受到打扰。 二、电子商务的信息安全技术的内容 2.1 备份技术。相信备份技术对于大众来说不是很陌生。但是很多人却错误的将备份理解为拷贝,从而片面的看待这个问题。电子商务对于网络环境有很大的依赖性,网络环境自身却存在极大的不稳定性,这就导致电子商务的发展存在不可避免的风险,如果没有一个数据库对于基本信息进行存储,那么一旦出现系统故障或者误删的情况则信息永远消失,这对于商家来说是极其可怕的,因此,电子商务的第三方有一个信息储存库,旨在在必要的时刻段时间内将客户的信息及时恢复。这种恢复不是简单的、传统意义上的恢复,而是通过备份介质得以完成的。这样的话,在系统故障或者其他原因导致信息在短时间内无法正常恢复时,可以借助储存在备份介质中的信息将信息还原到原来的备份状态。2.2 认证技术。所谓认证技术其实一个专业术语,道理实际上很简单,就是我们常说的登录口令。认证技术的目的主要在于阻止不具有系统授权的用户进行非法的破坏计算机机密数据,是数据库系统为减少和避免各种破坏电子商务安全的重要策略。登陆口令是我们正常用户进行电子商务平台登录的方式,是大众在网络环境下的身份证。我们每一个用户在使用某一个电子商务平台之前都被要求进行注册,从而决定或者获得自己的登陆口令即用户名和密码。这些登录口令都是都是独一无二的,是我们进行网上交易的身份认证和识别。因为电子商务平台往往具有开放性,一旦没有身份认证后果将不堪设想。人们的信息安全更是没有任何保障。2.3 访问控制技术。访问控制技术也可以理解为访问等级制度,电子商务的系统会根据用户的不同等级对于用户对于系统数据的访问进行一定的控制。等级较低时,则用户的访问权限有限,一些重要的关键的信息则被系统禁止访问,只要当等级较高时才能获得相关权限,这就保证了一些重要信息不会被窃取。关于用户的访问权限也有两层含义,首先是用户能够获得数据库中的信息种类和数量,另一层含义则是指用户对于获取的数据库信息进行怎样的操作。 电子商务的便利性和优点远远大于其存在的信息安全技术风险给人们带来的不便,尽管信息安全技术问题层出不穷,但是大众们依然亲睐和依赖电子商务。但电子商务想要获得更广阔的发展空间,虏获更多人的心,则必须在信息安全技术问题上下一点功夫。其次,对于普通消费者来说,掌握一定的电子商务信息安全知识是十分必要的,它既能帮助我们在需要的时候解决自己原来束手无策的问题,更能让自身的网购行为变得更加安全,减少甚至避免了很多不必要麻烦的出现,因此,不管你从事任何行业,都需要对于电子商务的信息安全问题进行一定的了解。 作者:王传 单位:四川化工职业技术学院网管中心 电子商务信息安全技术研究:电子商务信息安全技术 [摘要]文章主要从技术角度阐述了电子商务信息安全问题,详细说明了电子商务信息存在的问题,并提出了相应的技术解决方案。 [关键词]电子商务信息安全数据加密网络安全 一、电子商务信息安全问题 由于Internet本身的开放性,使电子商务系统面临着各种各样的安全威胁。目前,电子商务主要存在的安全隐患有以下几个方面。 1.身份冒充问题 攻击者通过非法手段盗用合法用户的身份信息,仿冒合法用户的身份与他人进行交易,进行信息欺诈与信息破坏,从而获得非法利益。主要表现有:冒充他人身份;冒充他人消费、栽赃;冒充主机欺骗合法主机及合法用户等。 2.网络信息安全问题 主要表现在攻击者在网络的传输信道上,通过物理或逻辑的手段,进行信息截获、篡改、删除、插入。截获,攻击者可能通过分析网络物理线路传输时的各种特征,截获机密信息或有用信息,如消费者的账号、密码等。篡改,即改变信息流的次序,更改信息的内容;删除,即删除某个信息或信息的某些部分;插入,即在信息中插入一些信息,让收方读不懂或接受错误的信息。 3.拒绝服务问题 攻击者使合法接入的信息、业务或其他资源受阻。主要表现为散布虚假资讯,扰乱正常的资讯通道。包括:虚开网站和商店,给用户发电子邮件,收订货单;伪造大量用户,发电子邮件,穷尽商家资源,使合法用户不能正常访问网络资源,使有严格时间要求的服务不能及时得到响应。 4.交易双方抵赖问题 某些用户可能对自己发出的信息进行恶意的否认,以推卸自己应承担的责任。如:者事后否认曾经发送过某条信息或内容;收信者事后否认曾经收到过某条信息或内容;购买者做了订货单不承认;商家卖出的商品质量差但不承认原有的交易。在网络世界里谁为交易双方的纠纷进行公证、仲裁。 5.计算机系统安全问题 计算机系统是进行电子商务的基本设备,如果不注意安全问题,它一样会威胁到电子商务的信息安全。计算机设备本身存在物理损坏,数据丢失,信息泄露等问题。计算机系统也经常会遭受非法的入侵攻击以及计算机病毒的破坏。同时,计算机系统存在工作人员管理的问题,如果职责不清,权限不明同样会影响计算机系统的安全。 二、电子商务安全机制 1.加密和隐藏机制 加密使信息改变,攻击者无法读懂信息的内容从而保护信息;而隐藏则是将有用的信息隐藏在其他信息中,使攻击者无法发现,不仅实现了信息的保密,也保护了通信本身。 2.认证机制 网络安全的基本机制,网络设备之间应互相认证对方身份,以保证正确的操作权力赋予和数据的存取控制。网络也必须认证用户的身份,以保证正确的用户进行正确的操作并进行正确的审计。 3.审计机制 审计是防止内部犯罪和事故后调查取证的基础,通过对一些重要的事件进行记录,从而在系统发现错误或受到攻击时能定位错误和找到攻击成功的原因。审计信息应具有防止非法删除和修改的措施。 4.完整性保护机制 用于防止非法篡改,利用密码理论的完整性保护能够很好地对付非法篡改。完整性的另一用途是提供不可抵赖服务,当信息源的完整性可以被验证却无法模仿时,收到信息的一方可以认定信息的发送者,数字签名就可以提供这种手段。 5.权力控制和存取控制机制 主机系统必备的安全手段,系统根据正确的认证,赋予某用户适当的操作权力,使其不能进行越权的操作。该机制一般采用角色管理办法,针对系统需要定义各种角色,如经理、会计等,然后对他们赋予不同的执行权利。 6.业务填充机制 在业务闲时发送无用的随机数据,增加攻击者通过通信流量获得信息的困难。同时,也增加了密码通信的破译难度。发送的随机数据应具有良好模拟性能,能够以假乱真。 三、电子商务安全关键技术 安全问题是电子商务的优秀,为了满足安全服务方面的要求,除了网络本身运行的安全外,电子商务系统还必须利用各种安全技术保证整个电子商务过程的安全与完整,并实现交易的防抵赖性等,综合起来主要有以下几种技术。 1.防火墙技术 现有的防火墙技术包括两大类:数据包过滤和服务技术。其中最简单和最常用的是包过滤防火墙,它检查接受到的每个数据包的头,以决定该数据包是否发送到目的地。由于防火墙能够对进出的数据进行有选择的过滤,所以可以有效地避免对其进行的有意或无意的攻击,从而保证了专用私有网的安全。将包过滤防火墙与服务器结合起来使用是解决网络安全问题的一种非常有效的策略。防火墙技术的局限性主要在于:防火墙技术只能防止经由防火墙的攻击,不能防止网络内部用户对于网络的攻击;防火墙不能保证数据的秘密性,也不能保证网络不受病毒的攻击,它只能有效地保护企业内部网络不受主动攻击和入侵。 2.虚拟专网技术(VPN) VPN的实现过程使用了安全隧道技术、信息加密技术、用户认证技术、访问控制技术等。VPN具投资小、易管理、适应性强等优点。VPN可帮助远程用户、公司分支机构、商业伙伴及供应商与公司的内部网之间建立可信的安全连接,并保证数据的安全传输,以此达到在公共的Internet上或企业局域网之间实现完全的电子交易的目的。 3.数据加密技术 加密技术是保证电子商务系统安全所采用的最基本的安全措施,它用于满足电子商务对保密性的需求。加密技术分为常规密钥密码体系和公开密钥密码体系两大类。如果进行通信的交易各方能够确保在密钥交换阶段未曾发生私有密钥泄露,可通过常规密钥密码体系的方法加密机密信息,并随报文发送报文摘要和报文散列值,以保证报文的机密性和完整性。目前常用的常规密钥密码体系的算法有:数据加密标准DES、三重DES、国际数据加密算法IDEA等,其中DES使用最普遍,被ISO采用为数据加密的标准。在公开密钥密码体系中,加密密钥是公开信息,而解密密钥是需要保护的,加密算法和解密算法也都是公开的。典型的公开密钥密码体系有:基于数论中大数分解的RSA体系、基于NP完全理论的Merkel-Hellman背包体系和基于编码理论的McEliece体系。在以上两类加密体系中,常规密钥密码体系的特点是加密速度快、效率高,被广泛用于大量数据的加密,但该方法的致命缺点是密钥的传输易被截获,难以安全管理大量的密钥,因此大范围应用存在一定问题。而公开密钥密码体系很好地解决了上述不足,保密性能也优于常规密钥密码体系,但公开密钥密码体系复杂,加密速度不够理想。目前电子商务实际运用中常将两者结合使用。 4.安全认证技术 安全认证技术主要有:(1)数字摘要技术,可以验证通过网络传输收到的明文是否被篡改,从而保证数据的完整性和有效性。(2)数字签名技术,能够实现对原始报文的鉴别和不可否认性,同时还能阻止伪造签名。(3)数字时间戳技术,用于提供电子文件发表时间的安全保护。(4)数字凭证技术,又称为数字证书,负责用电子手段来证实用户的身份和对网络资源访问的权限。(5)认证中心,负责审核用户的真实身份并对此提供证明,而不介入具体的认证过程,从而缓解了可信第三方的系统瓶颈问题,而且只须管理每个用户的一个公开密钥,大大降低了密钥管理的复杂性,这些优点使得非对称密钥认证系统可用于用户众多的大规模网络系统。(6)智能卡技术,它不但提供读写数据和存储数据的能力,而且还具有对数据进行处理的能力,可以实现对数据的加密和解密,能进行数字签名和验证数字签名,其存储器部分具有外部不可读特性。采用智能卡,可使身份识别更有效、安全,但它仅仅为身份识别提供一个硬件基础,如果要使身份认证更安全,还需要与安全协议的配合。5.电子商务安全协议 不同交易协议的复杂性、开销、安全性各不相同,同时不同的应用环境对协议目标的要求也不尽相同。目前比较成熟的协议有:(1)Netbill协议,是由J.D.Tygar等设计和开发的关于数字商品的电子商务协议,该协议假定了一个可信赖的第三方,将商品的传送和支付链接到一个原子事务中。(2)匿名原子交易协议,由J.D.Tygar首次提出,具有匿名性和原子性,对著名的数字现金协议进行了补充和修改,改进了传统的分布式系统中常用的两阶段提交,引入了除客户、商家和银行之外的独立第四方一交易日志(Transactionlog)以取代两阶段提交协议中的协调者(Coordinator)。(3)安全电子交易协议SET,由VISA公司和MasterCard公司联合开发设计。SET用于划分与界定电子商务活动中消费者、网上商家、交易双方银行、信用卡组织之间的权利义务关系,它可以对交易各方进行认证,防止商家欺诈。SET协议开销较大,客户、商家、银行都要安装相应软件。(4)安全套接字层协议SSL,是目前使用最广泛的电子商务协议,它由Netscape公司于1996年设计开发。它位于运输层和应用层之间,能很好地封装应用层数据,不用改变位于应用层的应用程序,对用户透明。然而,SSL并不专为支持电子商务而设计,只支持双方认证,只能保证传送信息传送过程中不因被截而泄密,不能防止商家利用获取的信用卡号进行欺诈。(5)JEPI(JointElectronicPaymentInitiative),是为了解决众多协议间的不兼容性而提出来的,是现有HTTP协议的扩展,在普遍HTTP协议之上增加了PEP(ProtocolExtensionProtocol)和UPP(UniversalPaymentPreamble)两层结构,其目的不是提出一种新的电子支付手段,而是在允许多种支付系统并存的情况下,帮助商家和顾客双方选取一个合适的支付系统。 四、结束语 信息安全是电子商务发展的基础,随着电子商务的发展,通过各种网络的交易手段也会更加多样化,安全问题变得更加突出。为了解决好这个问题,必须有安全技术作保障。目前,防火墙技术、网络扫描技术,数据加密技术和计算系统安全技术发挥着重要的作用,此外,需要完善法律制度、管理制度和诚信制度,保证电子商务信息安全,加快电子商务的发展。 电子商务信息安全技术研究:电子商务信息安全技术研究 摘要: 随着互联网的发展和普及,计算机开始走入家家户户,在此背景下,以淘宝为代表的一批电子商务企业开始蓬勃发展。然而作为新兴行业,电子商务的发展还不够完善,电子商务的信息安全问题还需要进一步探讨和解决。本文将详细介绍电子商务信息安全的定义及主要的信息安全问题,提出信息安全的目标,并详细介绍现有的信息安全技术。 关键词: 电子商务 问题 目标 信息安全技术 一、电子商务的信息安全概述 网络安全和商务交易安全是保障电子商务信息安全的两条防线,两者缺一不可。如果没有网络安全,商务交易安全就像断了根基,根本无从保证;如果没有商务交易安全,即使网络安全做得再好,也无法实现保障电子商务信息安全的目标。因此,网络安全是商务交易安全的基础,商务交易安全是网络安全的上层建筑。同时,网络安全和商务交易安全也有很多不同之处,主要表现在两个方面。第一,网络安全不可能在根本上保证,在不可能绝对安全的网络环境下,仍然要保证电子商务安全。第二,假设存在绝对安全的网络环境,商务交易安全也未必能保证,商务交易安全需要更高层次的特殊保障。 二、电子商务的信息安全问题 在电子商务的运行过程中,最优秀的安全问题就是信息安全攻击。所谓信息安全攻击就是一切能够威胁到网络信息安全的行为,主要包括以下几种行为。 1.信息截获。 信息截获是指信息在正常的传输过程中被未授权的第三方访问,从而产生信息泄露的后果。 2.信息伪造。 信息伪造是指未授权的第三方在信息的传输过程中插入伪造的信息流,从而干扰信息接收者的判断。 3.信息中断。 信息中断是指信息在传输过程中被破坏,从而使信息变得不可利用。造成信息中断的原因不仅有恶意破坏,还有可能是计算机网络软硬件故障造成的。 4.信息篡改。 信息篡改是指未授权的第三方不但截获了信息,还伪造了信息传送给信息接收者。 三、信息安全技术的目标 1.信息的完整性。 信息的完整性是指信息在传输过程中不中断,不被篡改,且信息间的次序不变。信息的完整性被破坏可能由两方面的原因造成,一是非人为因素,即由传输介质自身问题导致的信息中断;二是人为因素,即被第三方恶意破坏导致信息传输故障,也是信息安全技术作用的重点。 2.信息的机密性。 信息的机密性是指信息在传输过程中不被第三方截获,即使被截获也无法被破译。维护信息的机密性主要是为了维护客户的隐私,保护电商的商业机密。 3.信息的不可抵赖性。 信息的不可抵赖性是指信息传输的双方有充分的证据证明双方曾经传输过该信息,对于曾经发生的交易行为不可否认。信息的不可抵赖性能够有效地保障电子商务的可靠性。 4.交易者身份认证性。 交易者身份认证性是指在电子交易中双方可以确认对方的身份信息,并确认对方的身份没有被第三方假冒。对交易者进行身份认证主要是为了保障支付货款等过程中的信任。 四、电子商务的信息安全技术 1.防火墙。 防火墙又称防护墙,是处在内部网络和外部网络间的一种执行控制策略的网络安全系统。防火墙只允许授权的数据输入,只允许经过授权的内部员工、客户、推销商等人安全访问,简单地来说,防火墙可以决定被外界访问的内容以及可以访问内部内容的人员。 2.信息加密技术。 信息加密技术是维护信息安全的优秀技术,将传输的信息转化为第三方无法破译的密文,从而阻止第三方截获信息后获取有效数据。信息加密的过程主要有将明文转化为密文的加密过程和将密文转化为明文的解密过程。 3.数字签名。 数字签名是用来确定发信人身份的技术,类似于我们日常生活中的物理签名,可以防止他人恶意伪装身份进行诈骗。数字签名是以信息加密技术为基础的,它是信息的发送者设置的一段数字串,经过公钥加密基础处理后传送给接受者,接受者可以通过这串数据判断信息的发送者,保障信息的真实性和不可抵赖性。 4.安全认证协议。 安全认证协议是结合了数据加密等多种安全技术为一体的技术,是对不同企业的不同加密技术整合得出的统一的技术标准。目前被广大企业所接受的安全认证协议有两种,分别是安全套接层协议和安全电子交易协议。 五、结论 在电商行业飞速发展的今天,信息安全面临着信息截获、伪造、中断、篡改的风险,因此,信息安全技术成为保障客户和企业利益的必备手段。信息安全技术肩负着维护信息的完整性、机密性、不可抵赖性以及交易者的身份认证性的任务。目前应用的信息安全技术主要包括防火墙、信息加密技术、数字签名、安全认证协议等。相信未来还将有更多先进的信息安全技术为电子商务的发展保驾护航。 作者:朱振华 单位:内蒙古电子信息职业技术学院 电子商务信息安全技术研究:电子商务信息安全技术浅论 论文关键词:电子商务;信息安全;加密技术;数字认证 论文摘要:电子商务技术的广泛应用,给中小型公司提供便利和商机。同时,由于internel的开放性、共享性使电子商务信息安全面临威胁。阐述了电子商务可采用加密技术、数字签名和数字证书技术、防火墙技术等技术和ssl协议、set协议,提高电子商务信息安全系数,并对今后电子商务信息技术发展提出了自己的见解。 引言:近年来,随着通讯技术、网络技术的迅速发展促使电子商务技术应运而生。电子商务具有高效率、低成本的特性,为中小型公司提供各种各样的商机而迅速普及。电子商务主要依托intemet平台完成交易过程中双方的身份、资金等信息的传输。由于imemet的开放性、共享性、无缝连通性,使得电子商务信息安全面临着威胁:如1)截获和窃取用户机密的信息。2)篡改网络传输途中的信息,破坏信息的完整性。3)假冒合法用户或发送假冒信息来欺骗用户。4)交易抵赖否认交易行为等。因此,电子商务技术的推广,很大程度依赖信息安全技术的完善和提高。 l电子商务安全技术 1.1加密技术。数据加密就是按照确定的密码算法将敏感的明文数据变换成难以识别的密文数据。通过使用不同的密钥,可用同一加密算法,将同一明文加密成不同的密文。当需要时可使用密钥将密文数据还原成明文数据,称为解密。数据加密被认为是最可靠的安全保障形式,它可以从根本上满足信息完整性的要求,是一种主动安全防范策略。 密钥加密技术分为对称密钥加密和非对称密钥加密两类。对称加密技术是在加密与解密过程中使用相同的密钥加以控制,它的保密度主要取决于对密钥的保密。它的特点是数字运算量小,加密速度快,弱点是密钥管理困难,一旦密钥泄露,将直接影响到信息的安全。非对称密钥加密法是在加密和解密过程中使用不同的密钥加以控制,加密密钥是公开的,解密密钥是保密的。它的保密度依赖于从公开的加密密钥或密文与明文的对照推算解密密钥在计算上的不可能性。算法的优秀是运用一种特殊的数学函数——单向陷门函数。即从—个方向求值是容易的,但其逆向计算却很困难,从而在实际上成为不可能。 1.2数字签名和数字证书。1)数字签名。数字加密是非对称加密技术的一类应用。数字签名是用来保证文档的真实性、有效性的一种措施.如同出示手写签名一样。将摘要用发送者的私钥加密,与原文一起传送给接收者。接收者只有用发送者的公钥才能解密被加密的摘要。通过数字签名能够实现对原始报文的鉴别与验证,保证报文的完整性、权威性和发送者对所发报文的不可抵赖性。数字签名机制提供了一种鉴别方法,保证了网络数据的完整性和真实性。2)数字证书。数字证书就是标志网络用户身份信息的一系列数据,用来在网络直用中识别通讯各方的身份,其作用类似于现实生活中的身份证。数字证书由可信任的、公正的权威机构ca中心颁发,以数字证书为杨的加密技术可以对网络上传输的信息进行加密和解密、数字签名和签名验证,确保网上传递信息的机密性、完整性,交易实体身份的真实性,签名信息的不可否认性,从而保障网络应用的安全性。 1.3防火墙技术。防火墙主要功能是建立网络之间的—个安全屏障,从而起到内部网络与外部公网的隔离,加强网络之间的访问控制,防止外部网络用户以非法手酾百:过外部网络进入内部网络。根据制定的策略对两个或多个网络、分析和审计,按照—定的安全策略限制外界用户对内部网络的访问,只有被允许的通信才能通过防火墙,管理内部用户访问外界网络的权限,监视网络运行状态并对各种攻击提供有效的防范。 2电子商务安全交易协议 2.l(ssl)安全套接层协议。主要用于提高应用程序之间的数据的安全系数,保证任何安装了安全套接层的客户和服务器之间事务安全的协议,该协议向基于tcp/ip的客户假务器应用程序提供了客户端与服务的鉴别、数据完整性及信息机密性等安全措施。 ssl安全协议主要提供三方面的服务。—是用户和服务器的尝陛保证,使得用户与服务器能够确信渤据将被发送到正确的客户机和服务器上。客户机与服务器都有各自的识别号,由公开密钥编排。为了验证用户,安全套接层协议要求在握手交换数据中作数字认证,以此来确保用户的合法性;二是加密数据以隐藏被传递的数据。安全套接层协议采用的加密技术既有对称密钥,也有公开密钥,在客户机和服务器交换数据之前,先交换ssl初始握手信息。在ssl握手信息中采用了各种加密技术,以保证其机密性与数据的完整性,并且经数字证书鉴别:三是维护数据的完整性。安全垂接层协议采用hash函数和机密共享的力怯来提供完整的信息服务,建立客户机与服务器之间的安全通道,使所有经过安全套接层协议处理的业务能全部准确无误地到达月的地。 2.2(set)安全电子交易公告。为在线交易设立的一个开放的、以电子货币为基础的电子付款系统规范。set在保留对客户信用卡认证的前提下,又增加了对商家身份的认证。set已成为全球网络的工业标准。 set安全协议主要对象包括:消费者(包括个人和团体),按照在线商店的要求填写定货单,用发卡银行的信用卡付款;在线商店,提供商品或服务,具备使用相应电子货币的条件;收单银行,通过支付网关处理消费者与在线商店之间的交易付款;电子货币发行公司以及某些兼有电子货币发行的银行。负责处理智能卡的审核和支付;认证中心,负责确认交易对方的身份和信誉度,以及对消费者的支付手段认证。set协议规范技术范围包括:加密算法的应用,证书信息与对象格式,购买信息和对象格式,认可信息与对象格式。set协议要达到五个目标:保证电子商务参与者信息的相应隔离;保证信息在互联网上安全传输,防止数据被黑客或被内部人员窃取;解决多方认证问题;保证网上交易的实时性,使所有的支付过程都是在线的;效仿bdz贸易的形式,规范协议和消息格式,促使不同厂家开发的软件具有兼容性与交互操作功能,并且可以运行在不同的硬件和操作系统平台上。 3电子商务信息安全有待完善和提高 3.1提高网络信息安全意识。以有效方式、途径在全社会普及网络安全知识,提高公民的网络安全意识与自觉陡,学会维护网络安全的基本技能。并在思想上萤把信息资源共享与信息安全防护有机统一起来,树立维护信息安全就是保生存、促发展的观念。 3.2加强网络安全管理。建立信息安全领导机构,有效统一、协调和研究未来趋势,制定宏观政策,实施重大决定。严格执行《中华人民共和国计算机信息系统安全保护条例》与《计算机信息网络安全保护管理办法》,明确责任、规范岗位职责、制定有效防范措施,并目严把用户人网关、合理设置访问权限等。 3.3加快网络安全专业人才的培养。加大对有良好基础的科研教育基地的支持和投入,加强与国外的经验技术交流,及时掌握国际上最先进的安全防范手段和技术措施,确保在较高层次上处于主动,加强对内部人员的网络安全培洲,防止堡垒从内部攻破。使高素质的人才在高水平的教研环境中迅速成长和提高。 3.4开展网络安全立法和执法。吸取和借鉴国外网络信息安全立法的先进经验,结合我国国情对现行法律体系进行修改与补充,使法律体系更加科学和完善;并建立有利于信息安全案件诉讼与公、检、法机关办案制度,提高执法效率和质量。对违犯国家法律法规,对计算机信息存储系统、应用程序或传输的数据进行删除、修改、增加、干扰的行为依法惩处。 3.5强化网络技术创新。组织现有信息安全研究、应用的人才,创造优良环境,创新思想、超越约束,利用国内外资源,建立具有中国特色的信息安全体系。特别要重点研究关键芯片与内核编程技术和安全基础理论。 结束语:电子商务模式相对传统商务模式,具有便捷、高效的特点。但现今全球通过电子商务渠道完成的贸易额仍只是同期全球贸易额中的小部分。因此,电子商务信息安全问题有赖于对公钥基础设施pki、开发与应用,支付协议、物流配送协议、xml和标准化等方面深入研究和完善才能良好的促进电子商务技术的应用和推广。
伴随现代技术如移动互联网、物联网和车联网等的快速发展,人们对信息存储、处理和交换的安全需求愈来愈高。在此背景下,国家对信息技术类人才的重视程度也在逐年提高,并在高校加设了信息安全课程,引导学生了解网络安全威胁,从硬件安全、软件安全和数据安全等方面进行深入的学习。信息安全课程的教学内容通常包括信息安全理论基础、安全防护、攻击技术、安全实现解决等方面。学生除了必须掌握基本的理论知识之外,对于下相关的公式推导、定理必须充分的理解,此外还要能够综合运用各种数学知识。学习起点较高、难度大的特点,导致学生对信息安全课程缺少学习兴趣,学习积极性不高。此外,现有课本内容陈旧,与现今告诉发展的信息技术脱轨。因此,对信息安全课程进行教学改革,探索更加高效的教学模式尤为必要。 1传统教学模式存在的不足 信息安全课程的目标是使学生能够在掌握信息安全的基本理论和基本概念的基础上,对信息安全有较为全面的认识并能意识到信息安全与国家政治、军事、经济、文化和社会生活等方面的关系,激励学生通过学习先进的科学技术,将来可以为国家、社会服务[1]。目前,传统的教学模式在信息安全课程中存在以下不足:⑴陈旧的教材内容。随着新一代信息技术如云计算、大数据、人工智能等快速的发展,现代科技迭代的速度越来越快。但目前高校普遍采用的还是五、六年前的教材,相对于日新月异的信息技术,现有教材的内容普遍过于陈旧[2]。如何让学生在有限的时间内既可以学到基本的信息安全知识,有能了解最前沿的信息技术动态是高校教育需要解决的一个重要问题。⑵传统教学模式无法满足信息安全课程的需求。传统的教学模式,如“灌输式”和”保姆式”的教学模式,无法提起学生的学习兴趣,同时也会使学生丢失独立思考的能力,难以提高他们的创新能力,发挥他们的潜能。⑶不合理的考核方式。现有课程一般采取平时+期末考试的方式对学生的学习情况进行考察。但对于信息安全这类新兴学科,这种传统的考核方式将使学生缺少学习的目标感,无法提高动手能力,同时也无法激发学生的学习兴趣。 2翻转课堂教学模式 为了有效解决现有教学模式在信息安全课程教学中存在的不足,本文通过将混合式学习方式和多元驱动教学方式相结合来构建翻转课堂的教学模式,以适应信息安全课程教学的要求,提高学生的学习兴趣以及学习目标感。 2.1混合式学习方式的解决方案 翻转课堂教学设计首先从分析混合式学习方式着手,把传统的线下学习的优势和线上学习的优势结合起来,更好的帮助学生了解最新的专业动态、深入探索信息安全专业领域[3,4]。此外,通过混合式学习方式,激发学生在学习过程中的学习兴趣以及提高独立思考、主动学习的意识和能力[5]。网络技术的充分利用以及课堂教学活动的顺利实施是混合式学习方式成功的关键,主要包括课前、课中和课后三个阶段。课前:课程的基础理论部分,充分利用视频教学资源引入慕课教学,要求学生提前进行预习,完成课前的准备工作,进而保证教师在课堂教学活动中能进行有效的互动,引导学生多思考,培养学生的团队合作意识。课中:教师根据学生课前预习的反馈,根据学生的共性问题,做出有针对性的讲解;对实践问题进行扩展、讨论和分析;充分利用网络资源,让学生了解最新的专业动态以及发展现状。课后:要求学生完成章节的课后习题以及阶段性测试。教师对课前和课中的情况进行总结,并根据学生的测试情况制定下一步的教学计划。反馈贯穿于教学过程的各个阶段。课前和课后阶段,教师可以利用网络上慕课自带的反馈、评价系统,及时地获得学生在各个阶段的反馈信息,进而有针对性的引导学生思考、制定合理的教学内容。课中阶段,通过和学生的互动,教师可以实时获取学生的反馈信息,增强学生实时解决问题的能力与信心。 2.2多元驱动的教学方式解决方案 ⑴激发学习兴趣。对于课程的基础理论部分,采用传统的教学方式。待课程进行一段时间之后,采用问题驱动教学方式,循序渐进地讲解课程内容,让学生成分认识到信息安全课程的重要性,采用启发式教学和讨论是教学,实现学生从被动学习到主动学习的转变,激发他们的学习兴趣,加深对有关知识的理解。⑵实践教学环节的设计。从实践应用的角度出发,通过采用任务驱动教学方式将课程各章节的内容设计成具体任务的目标、实施、总结和反馈等不同阶段,增强学生的学习目标感,提高学生学习的主观能动性;通过将现有的科研成果引入教学内容,丰富学生的知识结构;利用开放式实验环节,锻炼学生的实际动手能力以及团队协作意识。 2.3构建校企合作课程建设机制 信息安全课程属于交叉课程,其知识体系更新速度相比于其他课程来说更快。随着信息技术的高速发展,社会对信息安全类人才的要求也越来越高,这对高校的教学目标提出了更高层次的要求。企业是社会创新的动力,掌握着最前沿的技术。构建校企合作机制,可以充分整合企业资源,顺应社会发展的需求。同时,企业也能获得高校的科研资源,填补技术人才的缺失,实现高校、企业的共赢。 3结束语 本文为了解决现有教学模式在信息安全课程中存在的教材内容陈旧、无法满足教学需求和考核方式不合理等不足,提出了信息安全课程的翻转课堂教改方案。充分利用了混合式学习方式和多元驱动教学方式的优点,将信息安全课程的理论教学与实际应用相结合,同时穿插讲解前言的信息安全方面的知识,降低了学习者接受知识点的难度,增强了学习的目标感,并提高了学习者的信息技术实际应用能力和创新力;通过采用任务驱动和项目驱动相结合的多元驱动教学方式,逐步讲解课程每个章节的内容的同时,结合各章节的内容设计具体任务或项目的目标、实施、总结和反馈各个阶段,增强学生的学习目标感提高学生学习的主观能动性。 参考文献(References): [1]刘顺兰,张帆.面向工程实践创新的信息安全教学改革研究[J].现代计算机(专业版),2012(29):51-53 [2]刘刚,郭漪,肖嵩,等.混合式教学在“信息论与编码理论”中的探索[J].电气电子教学学报,2020,42(6):106-109 [3]胡为,刘伟,徐宏宁.移动应用开发课程教学改革与实践[J].计算机时代,2022(1):117-120 [4]李红娇,王亮亮,陈思远.“信息安全概论”线上线下混合式教学的探索与实践[J].教育教学论坛,2021(10):77-80 [5]常相茂.针对信息安全数学基础课程的教学改革研究[J].现代计算机,2020(32):87-89 作者:张金宝 武卫翔 沈杜宇 程实 单位:南通大学信息科学技术学院 南通大学杏林学院
中小企业电子信息安全技术探讨:谈中小企业电子信息安全技术研究 摘要:本文以电子信息安全为主体,介绍中小企业信息化建设,对电子信息安全技术进行概述,提出主要的安全要素,找出解决中小企业中电子信息安全问题的策略。 关键词:电子信息安全 安全技术 安全要素 在企业的管理信息系统中有众多的企业文件在流转,其中肯定有重要性文件,有的甚至涉及到企业的发展前途,如果这些信息在通用过网络传送时被竞争对手或不法分子窃听、泄密、篡改或伪造,将会严重威胁企业的发展,所以,中小企业电子信息安全技术的研究具有重要意义。 一、中小企业的信息化建设意义 在这个网络信息时代,企业的信息化进程不断发展,信息成了企业成败的关键,也是管理水平提高的重要途径。如今企业的商务活动,基本上都采用电子商务的形式进行,企业的生产运作、运输和销售各个方面都运用到了信息化技术。如通过网络收集一些关于原材料的质量,价格,出产地等信息来建立一个原材料信息系统,这个信息系统对原材料的采购有很大的作用。通过对数据的分析,可以得到跟多的采购建议和对策,实现企业电子信息化水准。 二、电子信息安全技术阐述 1.电子信息中的加密技术 加密技术能够使数据的传送更为安全和完整,加密技术分为对称和非对称加密两种。其中对称加密通常通过序列密码或者分组机密来实现,包括明文、密钥、加密算法以及解密算法等五个基本组成成分。非对称加密与对称加密有所不同,非对称加密需要公开密钥和私有密钥两个密钥,公开密钥和私有密钥必须配对使用,用公开密钥进行的加密,只有其对应的私有密匙才能解密。用私有密钥进行的加密,也只有用其相应的公开密钥才能解密。 加密技术对传送的电子信息能够起到保密的作用。在发送电子信息时,发送人用加密密钥或算法对所发的信息加密后将其发出,如果在传输过程中有人窃取信息,他只能得到密文,密文是无法理解的。接受着可以利用解密密钥将密文解密,恢复成明文。 2.防火墙技术 随着网络技术的发展,一些邮件炸弹,病毒木马和网上黑客等对网络的安全也造成了很大的威胁。企业的信息化使其网络也遭到同样的威胁,企业电子信息的安全也难以得到保证。针对网络不安全这种状况,最初采取的一种保护措施就是防火墙。在我们的个人电脑中防火墙也起到了很大的作用,它可以阻止非黑客的入侵,电脑信息的篡改等。 3.认证技术 消息认证和身份认证是认证技术的两种形式,消息认证主要用于确保信息的完整性和抗否认性,用户通过消息认证来确认信息的真假和是否被第三方修改或伪造。身份认证使用与鉴别用户的身份的,包括识别和验证两个步骤。明确和区分访问者身份是识别,确认访问者身份叫验证。用户在访问一些非公开的资源时必须通过身份认证。 三、中小企业中电子信息的主要安全要素 1.信息的机密性 在今天这个网络时代,信息的机密性工作似乎变得不那么容易了,但信息直接代表着企业的商业机密,如何保护企业信息不被窃取,篡改,滥用以及破坏,如何利用互联网进行信息传递又能确保信息安全性已成为各中小企业必须解决的重要问题。 2.信息的有效性 随着电子信息技术的发展,各中小企业都利用电子形式进行信息传递,信息的有效性直接关系的企业的经济利益,也是个企业贸易顺利进行的前提条件。所以要排除各种网络故障、硬件故障,对这些网络故障带来的潜在威胁加以控制和预防,从而确保传递信息的有效性。 3.信息的完整性 企业交易各方的经营策略严重受到交易方的信息的完整性影响,所以保持交易各方的信息的完整性是非常重要对交易各方都是非常重要的。在对信息的处理过程中要预防对信息的随意生成、修改,在传送过程中要防止信息的丢失,保持信息的完整性是企业之间进行交易的基础。 四、解决中小企业中电子信息安全问题的策略 1.构建中小企业电子信息安全管理体制 解决信息安全问题除了使用安全技术以外,还应该建立一套完善的电子信息安全管理制度,以确保信息安全管理的顺利进行。在一般中小企业中,最初建立的相关信息管理制度在很大程度上制约着一个信息系统的安全。如果安全管理制度出了问题,那么围绕着这一制度来选择和使用安全管理技术及手段将无法正常进行,信息的安全性就得不到保证。完善,严格的电子信息安全管理制度对信息系统的安全影响很大。在企业信息系统中,如果没有严格完善的信息安全管理制度,电子信息安全技术和相关的安全工具是不可能发挥应有的作用的。 2.利用企业的网络条件来提供信息安全服务 很多企业的多个二级单位都在系统内通过广域网被联通, 局域网在各单位都全部建成,企业应该利用这种良好的网络条件来为企业提供良好的信息安全服务。通过企业这一网络平台技术标准,安全公告和安全法规,提供信息安全软件下载,安全设备选型,提供在线信息安全教育和培训,同时为企业员工提供一个交流经验的场所。 3.定期对安全防护软件系统进行评估、改进 随着企业的发展,企业的信息化应用和信息技术也不断发展,人们对信息安全问题的认识是随着技术的发展而不断提高的,在电子信息安全问题不断被发现的同时,解决信息安全问题的安全防护软件系统也应该不断的改进,定期对系统进行评估。 总之,各中小企业电子星系安全技术包含着技术和管理,以及制度等因素,随着信息技术的不断发展,不仅中小企业办公室逐渐趋向办公自动化,而且还确保了企业电子信息安全。 中小企业电子信息安全技术探讨:浅谈中小企业电子信息安全技术研究 论文关键词:电子信息安全 安全技术 安全要素 论文摘要:随着我国信息技术的不断发展,对中小企业电子信息安全的保护问题也成为人们关注的焦点。本文以电子信息安全为主体,介绍中小企业信息化建设,对电子信息安全技术进行概述,提出主要的安全要素,找出解决中小企业中电子信息安全问题的策略。 在企业的管理信息系统中有众多的企业文件在流转,其中肯定有重要性文件,有的甚至涉及到企业的发展前途,如果这些信息在通用过网络传送时被竞争对手或不法分子窃听、泄密、篡改或伪造,将会严重威胁企业的发展,所以,中小企业电子信息安全技术的研究具有重要意义。 一、中小企业的信息化建设意义 在这个网络信息时代,企业的信息化进程不断发展,信息成了企业成败的关键,也是管理水平提高的重要途径。如今企业的商务活动,基本上都采用电子商务的形式进行,企业的生产运作、运输和销售各个方面都运用到了信息化技术。如通过网络收集一些关于原材料的质量,价格,出产地等信息来建立一个原材料信息系统,这个信息系统对原材料的采购有很大的作用。通过对数据的分析,可以得到跟多的采购建议和对策,实现企业电子信息化水准。有关调查显示,百分之八十二的中小企业对网站的应还处于宣传企业形象,产品和服务信息,收集客户资料这一阶段,而电子商务这样关系到交易的应用还不到四分之一,这说明企业还未充分开发和利用商业渠道信息。中小企业信息化时代已经到来,企业应该加快信息化的建设。 二、电子信息安全技术阐述 1、电子信息中的加密技术 加密技术能够使数据的传送更为安全和完整,加密技术分为对称和非对称加密两种。其中对称加密通常通过序列密码或者分组机密来实现,包括明文、密钥、加密算法以及解密算法等五个基本组成成分。非对称加密与对称加密有所不同,非对称加密需要公开密钥和私有密钥两个密钥,公开密钥和私有密钥必须配对使用,用公开密钥进行的加密,只有其对应的私有密匙才能解密。用私有密钥进行的加密,也只有用其相应的公开密钥才能解密。 加密技术对传送的电子信息能够起到保密的作用。在发送电子信息时,发送人用加密密钥或算法对所发的信息加密后将其发出,如果在传输过程中有人窃取信息,他只能得到密文,密文是无法理解的。接受着可以利用解密密钥将密文解密,恢复成明文。 2、防火墙技术 随着网络技术的发展,一些邮件炸弹,病毒木马和网上黑客等对网络的安全也造成了很大的威胁。企业的信息化使其网络也遭到同样的威胁,企业电子信息的安全也难以得到保证。针对网络不安全这种状况,最初采取的一种保护措施就是防火墙。在我们的个人电脑中防火墙也起到了很大的作用,它可以阻止非黑客的入侵,电脑信息的篡改等。 3、认证技术 消息认证和身份认证是认证技术的两种形式,消息认证主要用于确保信息的完整性和抗否认性,用户通过消息认证来确认信息的真假和是否被第三方修改或伪造。身份认证使用与鉴别用户的身份的,包括识别和验证两个步骤。明确和区分访问者身份是识别,确认访问者身份叫验证。用户在访问一些非公开的资源时必须通过身份认证。比如访问高校的查分系统时,必须要经过学号和密码的验证才能访问。高校图书馆的一些资源要校园网才能进行访问,非校园网的不能进入,除非付费申请一个合格的访问身份。 三、中小企业中电子信息的主要安全要素 1、信息的机密性 在今天这个网络时代,信息的机密性工作似乎变得不那么容易了,但信息直接代表着企业的商业机密,如何保护企业信息不被窃取,篡改,滥用以及破坏,如何利用互联网进行信息传递又能确保信息安全性已成为各中小企业必须解决的重要问题。 2、信息的有效性 随着电子信息技术的发展,各中小企业都利用电子形式进行信息传递,信息的有效性直接关系的企业的经济利益,也是个企业贸易顺利进行的前提条件。所以要排除各种网络故障、硬件故障,对这些网络故障带来的潜在威胁加以控制和预防,从而确保传递信息的有效性。 3、信息的完整性 企业交易各方的经营策略严重受到交易方的信息的完整性影响,所以保持交易各方的信息的完整性是非常重要对交易各方都是非常重要的。在对信息的处理过程中要预防对信息的随意生成、修改,在传送过程中要防止信息的丢失,保持信息的完整性是企业之间进行交易的基础。 四、解决中小企业中电子信息安全问题的策略 1、构建中小企业电子信息安全管理体制 解决信息安全问题除了使用安全技术以外,还应该建立一套完善的电子信息安全管理制度,以确保信息安全管理的顺利进行。在一般中小企业中,最初建立的相关信息管理制度在很大程度上制约着一个信息系统的安全。如果安全管理制度出了问题,那么围绕着这一制度来选择和使用安全管理技术及手段将无法正常进行,信息的安全性就得不到保证。完善,严格的电子信息安全管理制度对信息系统的安全影响很大。在企业信息系统中,如果没有严格完善的信息安全管理制度,电子信息安全技术和相关的安全工具是不可能发挥应有的作用的。 2、利用企业的网络条件来提供信息安全服务 很多企业的多个二级单位都在系统内通过广域网被联通, 局域网在各单位都全部建成,企业应该利用这种良好的网络条件来为企业提供良好的信息安全服务。通过企业这一网络平台技术标准,安全公告和安全法规,提供信息安全软件下载,安全设备选型,提供在线信息安全教育和培训,同时为企业员工提供一个交流经验的场所。 3、定期对安全防护软件系统进行评估、改进 随着企业的发展,企业的信息化应用和信息技术也不断发展,人们对信息安全问题的认识是随着技术的发展而不断提高的,在电子信息安全问题不断被发现的同时,解决信息安全问题的安全防护软件系统也应该不断的改进,定期对系统进行评估。 总之,各中小企业电子星系安全技术包含着技术和管理,以及制度等因素,随着信息技术的不断发展,不仅中小企业办公室逐渐趋向办公自动化,而且还确保了企业电子信息安全。 中小企业电子信息安全技术探讨:浅谈中小企业电子信息安全技术研究 摘 要 随着我国信息技术的不断发展,对中小企业电子信息安全的保护问题也成为人们关注的焦点。本文以电子信息安全为主体,介绍中小企业信息化建设,对电子信息安全技术进行概述,提出主要的安全要素,找出解决中小企业中电子信息安全问题的策略。 关键词 电子信息安全 安全技术 安全要素 在企业的管理信息系统中有众多的企业文件在流转,其中肯定有重要性文件,有的甚至涉及企业的发展前途,如果这些信息在通过网络传送时被竞争对手或不法分子窃听、泄密、篡改或伪造,将会严重威胁企业的发展,所以,中小企业电子信息安全技术的研究具有重要意义。 一、中小企业的信息化建设意义 在这个网络信息时代,企业的信息化进程不断发展,信息成了企业成败的关键,也是管理水平提高的重要途径。如今企业的商务活动,基本上都采用电子商务的形式进行,企业的生产运作、运输和销售各个方面都运用到了信息化技术。如通过网络收集一些关于原材料的质量,价格,出产地等信息来建立一个原材料信息系统,这个信息系统对原材料的采购有很大的作用。通过对数据的分析,可以得到很多的采购建议和对策,实现企业电子信息化水准。有关调查显示,82%的中小企业对网站的应还处于宣传企业形象,产品和服务信息,收集客户资料这一阶段,而电子商务这样关系到交易的应用还不到四分之一,这说明企业还未充分开发和利用商业渠道信息。中小企业信息化时代已经到来,企业应该加快信息化的建设。 二、电子信息安全技术阐述 1.电子信息中的加密技术。加密技术能够使数据的传送更为安全和完整,加密技术分为对称和非对称加密两种。其中对称加密通常通过序列密码或者分组机密来实现,包括明文、密钥、加密算法以及解密算法等五个基本组成成分。非对称加密与对称加密有所不同,非对称加密需要公开密钥和私有密钥两个密钥,公开密钥和私有密钥必须配对使用,用公开密钥进行的加密,只有其对应的私有密匙才能解密。用私有密钥进行的加密,也只有用其相应的公开密钥才能解密。 加密技术对传送的电子信息能够起到保密的作用。在发送电子信息时,发送人用加密密钥或算法对所发的信息加密后将其发出,如果在传输过程中有人窃取信息,他只能得到密文,密文是无法理解的。接受者可以利用解密密钥将密文解密,恢复成明文。 2.防火墙技术。随着网络技术的发展,一些邮件炸弹,病毒木马和网上黑客等对网络的安全也造成了很大的威胁。企业的信息化使其网络也遭到同样的威胁,企业电子信息的安全也难以得到保证。针对网络不安全这种状况,最初采取的一种保护措施就是防火墙。在我们的个人电脑中防火墙也起到了很大的作用,它可以阻止非黑客的入侵,电脑信息的篡改等。 3.认证技术。消息认证和身份认证是认证技术的两种形式,消息认证主要用于确保信息的完整性和抗否认性,用户通过消息认证来确认信息的真假和是否被第三方修改或伪造。身份认证使用与鉴别用户的身份的,包括识别和验证两个步骤。明确和区分访问者身份是识别,确认访问者身份叫验证。用户在访问一些非公开的资源时必须通过身份认证。比如访问高校的查分系统时,必须要经过学号和密码的验证才能访问。高校图书馆的一些资源要校园网才能进行访问,非校园网的不能进入,除非付费申请一个合格的访问身份。 三、中小企业中电子信息的主要安全要素 1.信息的机密性。在今天这个网络时代,信息的机密性工作似乎变得不那么容易了,但信息直接代表着企业的商业机密,如何保护企业信息不被窃取,篡改,滥用以及破坏,如何利用互联网进行信息传递又能确保信息安全性已成为各中小企业必须解决的重要问题。 2.信息的有效性。随着电子信息技术的发展,各中小企业都利用电子形式进行信息传递,信息的有效性直接关系的企业的经济利益,也是个企业贸易顺利进行的前提条件。所以要排除各种网络故障、硬件故障,对这些网络故障带来的潜在威胁加以控制和预防,从而确保传递信息的有效性。 3.信息的完整性。企业交易各方的经营策略严重受到交易方的信息的完整性影响,所以保持交易各方的信息的完整性是非常重要的。在对信息的处理过程中要预防对信息的随意生成、修改,在传送过程中要防止信息的丢失,保持信息的完整性是企业之间进行交易的基础。 四、解决中小企业中电子信息安全问题的策略 1.构建中小企业电子信息安全管理体制。解决信息安全问题除了使用安全技术以外,还应该建立一套完善的电子信息安全管理制度,以确保信息安全管理的顺利进行。在一般中小企业中,最初建立的相关信息管理制度在很大程度上制约着一个信息系统的安全。如果安全管理制度出了问题,那么围绕着这一制度来选择和使用安全管理技术及手段将无法正常进行,信息的安全性就得不到保证。严格的电子信息安全管理制度对信息系统的安全影响很大。在企业信息系统中,如果没有严格完善的信息安全管理制度,电子信息安全技术和相关的安全工具是不可能发挥应有的作用的。 2.利用企业的网络条件来提供信息安全服务。很多企业的多个二级单位都在系统内通过广域网被联通,局域网在各单位全部建成,企业应该利用这种良好的网络条件来为企业提供良好的信息安全服务。通过企业这一网络平台技术标准,安全公告和安全法规,提供信息安全软件下载,安全设备选型,提供在线信息安全教育和培训,同时为企业员工提供一个交流经验的场所。 3.定期对安全防护软件系统进行评估、改进。随着企业的发展,企业的信息化应用和信息技术也不断发展,人们对信息安全问题的认识是随着技术的发展而不断提高的,在电子信息安全问题不断被发现的同时,解决信息安全问题的安全防护软件系统也应该不断地改进,定期对系统进行评估。 总之,各中小企业电子信息安全技术包含着技术和管理以及制度等因素,随着信息技术的不断发展,不仅中小企业办公逐渐趋向办公自动化,而且还确保了企业电子信息安全。 中小企业电子信息安全技术探讨:试论中小企业电子信息安全技术研究 摘 要 随着我国信息技术的不断发展,对中小企业电子信息安全的保护问题也成为人们关注的焦点。本文以电子信息安全为主体,介绍中小企业信息化建设,对电子信息安全技术进行概述,提出主要的安全要素,找出解决中小企业中电子信息安全问题的策略。 关键词 中小企业 信息安全 技术 认证 在企业的管理信息系统中有众多的企业文件在流转,其中肯定有重要性文件,有的甚至涉及企业的发展前途,如果这些信息在通过网络传送时被竞争对手或不法分子窃听、泄密、篡改或伪造,将会严重威胁企业的发展,所以,中小企业电子信息安全技术的研究具有重要意义。 一、中小企业的信息化建设意义 在这个网络信息时代,企业的信息化进程不断发展,信息成了企业成败的关键,也是管理水平提高的重要途径。如今企业的商务活动,基本上都采用电子商务的形式进行,企业的生产运作、运输和销售各个方面都运用到了信息化技术。如通过网络收集一些关于原材料的质量、价格、出产地等信息来建立一个原材料信息系统,这个信息系统对原材料的采购有很大的作用。通过对数据的分析,可以得到更多地采购建议和对策,实现企业电子信息化水准。有关调查显示,82%的中小企业对网站的应还处于宣传企业形象,产品和服务信息,收集客户资料这一阶段,而电子商务这样关系到交易的应用还不到四分之一,这说明企业还未充分开发和利用商业渠道信息。中小企业信息化时代已经到来,企业应该加快信息化的建设。 二、电子信息安全技术阐述 1.电子信息中的加密技术。加密技术能够使数据的传送更为安全和完整,加密技术分为对称和非对称加密两种。其中对称加密通常通过序列密码或者分组机密来实现,包括明文、密钥、加密算法以及解密算法等五个基本组成成分。非对称加密与对称加密有所不同,非对称加密需要公开密钥和私有密钥两个密钥,公开密钥和私有密钥必须配对使用,用公开密钥进行的加密,只有其对应的私有密匙才能解密。用私有密钥进行的加密,也只有用其相应的公开密钥才能解密。 加密技术对传送的电子信息能够起到保密的作用。在发送电子信息时,发送人用加密密钥或算法对所发的信息加密后将其发出,如果在传输过程中有人窃取信息,他只能得到密文,密文是无法理解的。接受着可以利用解密密钥将密文解密,恢复成明文。 2.防火墙技术。随着网络技术的发展,一些邮件炸弹,病毒木马和网上黑客等对网络的安全也造成了很大的威胁。企业的信息化使其网络也遭到同样的威胁,企业电子信息的安全也难以得到保证。针对网络不安全这种状况,最初采取的一种保护措施就是防火墙。在我们的个人电脑中防火墙也起到了很大的作用,它可以阻止非黑客的入侵,电脑信息的篡改等。 3.认证技术。消息认证和身份认证是认证技术的两种形式,消息认证主要用于确保信息的完整性和抗否认性,用户通过消息认证来确认信息的真假和是否被第三方修改或伪造。身份认证使用与鉴别用户的身份的,包括识别和验证两个步骤。明确和区分访问者身份是识别,确认访问者身份叫验证。用户在访问一些非公开的资源时必须通过身份认证。比如访问高校的查分系统时,必须要经过学号和密码的验证才能访问。高校图书馆的一些资源要校园网才能进行访问,非校园网的不能进入,除非付费申请一个合格的访问身份。 三、中小企业中电子信息的主要安全要素 1.信息的机密性。在今天这个网络时代,信息的机密性工作似乎变得不那么容易了,但信息直接代表着企业的商业机密,如何保护企业信息不被窃取、篡改、滥用以及破坏,如何利用互联网进行信息传递又能确保信息安全性已成为各中小企业必须解决的重要问题。 2.信息的有效性。随着电子信息技术的发展,各中小企业都利用电子形式进行信息传递,信息的有效性直接关系的企业的经济利益,也是个企业贸易顺利进行的前提条件。所以要排除各种网络故障、硬件故障,对这些网络故障带来的潜在威胁加以控制和预防,从而确保传递信息的有效性。 3.信息的完整性。企业交易各方的经营策略严重受到交易方的信息的完整性影响,所以保持交易各方的信息的完整性是非常重要对交易各方都是非常重要的。在对信息的处理过程中要预防对信息的随意生成、修改,在传送过程中要防止信息的丢失,保持信息的完整性是企业之间进行交易的基础。 四、解决中小企业中电子信息安全问题的策略 1.构建中小企业电子信息安全管理体制。解决信息安全问题除了使用安全技术以外,还应该建立一套完善的电子信息安全管理制度,以确保信息安全管理的顺利进行。在一般中小企业中,最初建立的相关信息管理制度在很大程度上制约着一个信息系统的安全。如果安全管理制度出了问题,那么围绕着这一制度来选择和使用安全管理技术及手段将无法正常进行,信息的安全性就得不到保证。完善,严格的电子信息安全管理制度对信息系统的安全影响很大。在企业信息系统中,如果没有严格完善的信息安全管理制度,电子信息安全技术和相关的安全工具是不可能发挥应有的作用的。 2.利用企业的网络条件来提供信息安全服务。很多企业的多个二级单位都在系统内通过广域网被联通, 局域网在各单位都全部建成,企业应该利用这种良好的网络条件来为企业提供良好的信息安全服务。通过企业这一网络平台技术标准,安全公告和安全法规,提供信息安全软件下载,安全设备选型,提供在线信息安全教育和培训,同时为企业员工提供一个交流经验的场所。 3.定期对安全防护软件系统进行评估、改进。随着企业的发展,企业的信息化应用和信息技术也不断发展,人们对信息安全问题的认识是随着技术的发展而不断提高的,在电子信息安全问题不断被发现的同时,解决信息安全问题的安全防护软件系统也应该不断的改进,定期对系统进行评估。 总之,各中小企业电子星系安全技术包含着技术和管理以及制度等因素,随着信息技术的不断发展,不仅中小企业办公室逐渐趋向办公自动化,而且还确保了企业电子信息安全。 中小企业电子信息安全技术探讨:探析中小企业电子信息安全技术 摘 要:本文主要从电子信息安全的内涵、电子信息安全的理论以及电子信息安全技术对加强中小企业信息安全的作用这三个方面探析中小企业电子信息安全技术。 关键词:中小企业;电子信息;安全技术 1 电子信息安全的内涵 对于买方来说电子信息主要优点是方便快捷、操作起来比较简单。电子信息对于卖方来说主要优点是管理比较方便并且成本较低,但是电子信息最大的缺点就是买卖双方不能进行交流,主要是货币与货品的交换,并且交易都是通过网络进行的,之所以交易能够顺利完成,主要的原因是两者之间存在着诚信。关于诚信主要有两个方面的内容:有一种系统软件在买卖的过程中起到安全保障的作用,能将虚拟的货币符号转化成真实的货币,同时也能对交易起到保护作用,其中主要是对货币账户起到安全保障的作用。要想研究电子信息安全,首先要了解信息的内涵。信息主要是指资料、数据以及知识以不同的形式存在,在中小企业中这类信息主要是指买卖双方的有关信息和资料,犯罪分子能通过非法的手段对电子信息中的买卖双方采取诈骗行为,或者是通过网络对进行入侵和盗窃。信息安全管理标准对信息做出了详细的定义,信息也是属于资产,与其他的资产相同,对中小企业的发展有着重要的作用,是需要法律保护的。信息安全管理标准将信息划分为八个部分,主要包括物理资产、文档资产、文字资产、服务资产、软件资产、数据资产以及人力资源资产。 中小企业的电子信息主要是以网络为载体,网络的交流主要通过数据的传输得以实现,网上交易就是交流过程中的主要内容。所以,在信息安全的范畴中电子信息安全技术就成为了重点问题。关于电子信息安全技术的研究大多是关于技术的,但是对于中小企业来说,不仅要对技术进行改进,也要重视管理层,避免信息出现安全问题。 2 电子信息安全的理论 我国关于电子信息安全的研究,仍然较为落后。在国际中的关于信息安全的主要理论为:三观安全理论、信息循环理论以及信息安全模型理论。 三观安全理论。在中小企业的电子信息安全系统中,三观安全理论主要将其分为三个方面的内容,即微观、中观以及宏观。这个理论主要是将宏观层面的安全理念转化成微观层面的管理理念,进而对服务与生产进行指导。 信息安全模型理论。信息安全模型理论是信息安全管理发展过程中的产物,信息安全模型理论主要是将人、软件、操作以及信息系统相结合,并且全面的保护网络信息系统。主要倡导的是一种新的安全观念,并且提出了不能仅靠程序与软件对系统信息安全进行保护,要注重动态保护。此外,关于电子信息安全问题不能只依赖于安全技术,也要重视管理层安全理念的创新。 电子信息的循环理论。在实施网络信息安全的过程中电子信息的循环理论将其划分为四个方面:计划、执行、检查以及改进。这四个方面是一个循环的过程,也是一个周期,在循环的过程中,将这个过程看作是一个整体的信息安全管理体制,而不是将其看成某一管理过程。 3 电子信息安全技术对加强中小企业信息安全的作用 上文所述的三个信息安全理论对中小企业的信息安全管理有着重要的作用,主要有以下几个方面的内容。第一是信息安全领域的建设,第二是中小型企业中加强建设信息安全组织。美国信息安全研究所首次提出了信息安全领域,信息安全领域主要是指根据信息的不同保密程度创建相应的保密级别,网络控件的安装要结合用户信息的不同安全级别,安全信息的选择要适合用户的保密级别。在中小企业中,电子信息与资料的分类系统应该有统一的部门进行管理,然后对信息进行分类,并采取不同程度的加密与保密,这类信息主要包含文档、电子商务的相关资料以及服务等。将这些信息进行分类、保密、归档以及整合,有利于中小企业电子信息的调试。 对于中小企业来说,一直都存在电子信息安全性不够的问题,这主要同企业内部安全管理不足有关,安全管理的工作缺少专业的管理,很多的小型企业并没有统一的信息安全管理部门。企业安全管理部门的主要职能包含这几个方面的内容:同企业人力资源管理部门相互配合共同完成工作内容,要定期的审查一些特殊岗位的员工,一旦发现有违反安全规则的情况,要重新进行审查。同时还要对员工进行保密的培训;组织各个部门的工作,并对各个部门的工作进行协调,使企业的安全目标以及战略得以实现;企业的安全管理部门主要是对安全问题的管理、计划以及决策负责。也是企业的应急部门,要想避免企业信息的泄露,信息安全管理部门就必须加强对信息的管理;多联系各个地区的信息机构以及信息安全管理部门,这样能给企业带来新的信息安全管理观念以及安全技术;采取信息安全报告制,定期的向管理部门汇报信息安全的保护状况,对于一些重要的事件要及时的汇报,取得管理层对信息安全管理工作的支持。 在网络工程发展的同时,电子信息也得到了发展,电子信息在企业的发展中有着重要的作用,企业对其也越发的依赖电子信息。但是这只是一个虚拟的场所,主要通过网络这个载体来完成交易,因此安全技术问题成为了企业普遍关注的问题。
在运营管理过程中,企业整体运营水平和信息化建设情况息息相关,必须综合分析各方面影响因素以及隐患问题,深化信息安全运行维护以及管理环节,促使信息系统设备处于高效运行中,防止重要信息数据被窃取、篡改等,科学决策的同时实时开展各项经济活动,有效提升利润空间与运营能力,增强市场优秀竞争力,实现可持续发展。 1企业信息的安全运行维护与管理意义 在信息技术持续发展中,不同行业、领域企业纷纷走上信息化建设道路,但企业信息化建设是项复杂化工程,涉及到多个方面,革新管理、优化业务流程、安全运行维护等,加上信息化建设环境复杂化,信息系统设备运营管理中极易出现各类安全隐患问题,加强信息安全运行维护和管理有着深远的意义。在日常运营管理中,信息化安全运行维护和管理工作的有效开展利于企业随时了解信息系统设备运行情况,第一时间科学处理存在的隐患问题,加强信息系统设备薄弱运行环节的管理,防止运行过程中频繁出现各类风险,无法处于稳定运行中,利于高效“收集、分析、处理、存储”大数据背景下产生的海量信息数据,全方位准确把握日常各方面管理情况,尤其是各方面收入与支出,深化构建的资金链,科学控制资金流,促使各阶段各项业务活动开展中有重要的资金保障。在此基础上,企业信息安全运行维护和管理能够从根本上降低运行成本,各项业务活动开展中能获取最大化的经济利润,顺利提高市场占有率,最大化提高信息化建设水平,加快社会经济建设与发展步伐,为增强我国综合国力提供有力保障。 2企业信息的安全运行维护与管理途径 2.1强化安全意识,构建标准化安全运维管理制度 在日常运营管理中,企业必须站在客观的角度,重新审视各阶段开展的信息安全运行维护以及管理工作,明确各方面存在的漏洞问题,树立现代化信息安全运维和管理理念,强化信息系统设备安全运维以及管理意识,结合自身信息化建设具体情况,优化信息安全运维以及管理环节,促使复杂化运行环境下各项信息安全运维和管理工作高效开展。在此过程中,企业要结合信息安全运行以及维护重难点、流程等,科学构建标准化安全运维管理制度,促使营销、财务、人事等子系统处于稳定运行中,顺利将内部不同业务部门有效衔接,能够随时进行各方面资源互通共享,将各类资源及时应用到开展的一系列经济活动中,实时提高经济效益。在此基础上,企业要根据各阶段各方面运营管理情况,深化已构建的标准化安全运维管理制度,及时补充重要的内容,删除多余、不合理的内容,确保管理制度更加规范化、精准化。 2.2巧用信息安全防范技术 在运营管理过程中,企业要围绕构建的标准化安全运维管理制度,以信息系统设备风险隐患问题为媒介,将信息安全防范技术灵活作用到运行中的信息系统设备中,高效防范的基础上促使信息系统设备处于安全、稳定运行中。企业要借助可行的信息安全防范技术,科学安装合理化的网络准入系统、防病毒系统,随时更新系统补丁,包括构建的病毒库,确保信息系统设备安全的过程中确保信息数据准确。在此过程中,企业要借助防火墙技术,灵活应用可行的身份认证机制,随时动态监督信息系统设备运行中传输的各类信息数据,防止受到恶意攻击,确保信息数据安全,利用加密保护技术,对关键性信息资料以及文件进行合理化加密,合理控制对应的打开权限,只能在内部局域网内才能使用,全面提升信息系统设备保护性能,信息数据传输、分析、整理等过程中有安全的外部环境,最大化提高业务活动开展中各方面信息数据准确率。同时,企业要巧妙应用网络恢复以及保护技术,确保信息系统设备发生故障问题之后,主系统可以第一时间切换到对应的备用系统,其中的链路层、业务层等正常运行,防止隐患问题频繁发生。此外,企业要加大对计算机终端的管控力度,提高计算机终端运行安全性,强调对用户账号、授权等方面的管理,促使业务活动开展中移动、远程等办公顺利实现,提高信息系统设备安全运行层次,客观呈现各类信息安全防范技术应用价值。 2.3做好信息安全运维管理人员培训工作 在信息安全运维管理中,企业要将信息安全运维管理人员培训工作落到实处,以运行中的信息系统设备为切入点,优化人员培训制度、方案、流程、目标等,将人员培训工作融入到信息安全运行维护和管理工作开展中。企业要围绕信息系统设备安全运维以及管理情况,细化信息安全运维管理人员培训工作内容,科学组织不同层次信息安全运维管理人员培训工作,强化人员信息安全意识,学习最新信息系统设备安全运行维护以及管理理论知识,深化已构建的知识体系,夯实理论基础,促使各项信息安全运维以及管理工作的开展有重要的理论基础。在此基础上,企业要根据业务活动开展中信息系统设备出现的安全隐患问题,选取具有代表性的案例,进行专题讲座,开展针对性培训活动,引导各层次信息安全运维管理人员参与培训实践,全面提升自身问题处理、系统设备运维与管理等能力,具备较高的综合素养,科学开展信息安全运维和管理工作,确保信息系统设备高效运转。 3企业信息的安全运行维护与管理案例 案例一:“影子经纪人”北京时间2017年5月12日,全球互联网遭受Wannacry勒索软件蠕虫感染。截止17日16时,国家互联网应急中心监测发现全球近356.3万个IP地址遭受“永恒之蓝”SMB漏洞攻击,其中位于我国境内的IP地址数量接近12.5万个,对我国互联网造成严重的安全威胁。综合国家互联网应急中心和国内网络安全企业已获知的样本情况和分析结果,该勒索软件蠕虫在传播时基于445端口并利用SMB漏洞(对应微软漏洞公告:MS17-010),可以判断是由于“影子经纪人”(ShadowBrokers)组织此前公开披露漏洞攻击工具而导致的后续勒索软件蠕虫攻击。2017年4月14日晚,“影子经纪人”组织在互联网上“方程式”(EquationGroup)组织的部分工具文件,包含针对Windows操作系统以及其他办公、邮件软件的多个高危漏洞攻击工具,这些工具集成化程度高、部分攻击利用方式较为高效。针对可能引发的互联网上针对Window操作系统主机或应用软件的大规模攻击,4月16日,国家信息安全漏洞共享平台(CNVD)《关于加强防范Windows操作系统和相关软件漏洞攻击风险的情况公告》。时隔不到一个月,Wannacry勒索软件蠕虫大范围感染事件也印证了当时推测的严重危害。解决方案:针对“影子经纪人”的黑客使用的大量针对Windows操作系统以及其他广泛应用的软件产品的工程化工具及其对应的利用安全漏洞,云南电网应急中心进行了详细梳理,并提供相应处置建议,在云南电网应急中心的领导下,我们及时做出了行之有效的网络信息安全运行防范对策,主要对策如下所示:(1)为所有服务器及时更新和安装Windows已的安全补丁;(2)关闭135、137、138、139、445等端口的外部网络访问权限,在主机上关闭不必要的上述服务端口;(3)加强对135、137、138、139、445等端口的内部网络区域访问审计,及时发现非授权行为或潜在的攻击行为;(4)重点对WindowXP和WindowsServer2003这两类操作系统主机进行排查;(5)配置网络防火墙和Windows防火墙只允许信任的白名单IP地址的访问,同时将RDP服务端口3389配置(映射)为其他非常用端口;(6)针对Windows2003/2008/2012,下载和升级系统补丁,并在防火墙中配置tcp88端口的安全访问控制;(7)关闭WEBDAV,使用WAF、IPS等安全防护,升级WindowXP和WindowsServer2003操作系统到WindowsServer2008及以上。案例二:“震网三代”2017年6月14日,微软补丁,“震网三代”LNK文件远程代码执行漏洞(CVE-2017-8464)和Windows搜索远程命令执行漏洞(CVE-2017-8543)等两个相关安全漏洞,经研判分析得到核实确认。“震网三代”LNK文件远程代码执行漏洞(CVE-2017-8464)是一个微软Windows系统处理LNK文件过程中发生的远程代码执行漏洞,其原理同2010年美国和以色列入侵并破坏伊朗核设施的“震网”行动中所使用的Windows安全漏洞CVE-2010-2568相似,由U盘、光盘、网络共享等途径触发漏洞,可以穿透核设施中隔离网络环境。微软公告指出,此漏洞已被黑客组织制作为网络攻击武器。“震网三代”对能源基础设施隔离网极具杀伤力,基本覆盖所有的Windows操作系统,影响范围十分广泛,对处于物理隔离状态的电力企业生产控制大区(I/II区)、逻辑隔离状态的电力企业生产管理大区(III区)和管理信息大区(IV区)的关键信息基础设施会造成严重威胁。Windows搜索远程命令执行漏洞(CVE-2017-8543)是Windows操作系统中搜索服务(WindowsSearchService)的一个远程代码执行漏洞,通过向Windows搜索服务发送特定SMB消息(使用139、445端口)远程触发漏洞。解决方案:针对“震网三代”这一典型案例,我们在云南电网应急中心的领导下及时升级安装Windows操作系统相关补丁,对已感染病毒的机器进行立即断网,避免进一步传播感染;做好U盘安全管控,关闭网络共享及Webclientservice、WindowsSearch服务;加强网络流量监测预警,做好网络区域访问审计,及时发现异常攻击行为并进行合理化处理,确保网络系统处于高效运行中,传输的信息数据更加完整、准确。 4结语 总而言之,在日常管理过程中,企业要在统筹兼顾的基础上准确把握信息化建设具体要求,通过不同路径采取行之有效的对策,强化信息安全运行维护和管理,降低信息系统设备运行风险以及成本,获取更多经济利润的过程中同步提高盈利和运营能力,全面推动社会经济稳定发展。 参考文献 [1]张珊珊,郑维,梁亚妮等.信息化背景下浅谈企业网络信息的安全运行[J].科学与信息化,2017(07):33-34. [2]郝建民.分析企业计算机网络信息安全管理的重要性[J].电脑知识与技术,2017,13(15):42-43. [3]王允昕.浅谈企业网络信息安管理主要问题及建议[J].广东通信技术,2017,37(01):64-66. [4]易磊磊,赵博.电力企业网络信息安全的防范措施研究[J].低碳世界,2017(26):106-107. 作者简介张敏(1983-),女,湖南省永州市人。大学本科学历。助工。研究方向为计算机科学与技术。
1电力大数据的应用特征 在大规划中,电力大数据可有效预测电网运行的基本趋势,在用电量预测、空间负荷预测和多项指标的关联性分析的基础上进行科学而全面的分析,保证规划设计的顺利进行;在大检修中可借助视频监测技术,监测变电站运行的情况,识别元件的位置和运行状态,对视频数据进行智能化的分析和研究,进而更好地发挥传感器的作用;在运行当中,借助电网调度设备台账信息、拓扑信息和遥信遥测等信息,能够查询对应信息发生的时刻,对未来的运行状态进行更加科学合理的分析和预测,从而更好地改进和完善设备状态管理,提高电网调度决策的科学性;在大营销当中,其更加重视智能化的服务方式,大大提升了服务能力。 2应用用电互动服务准确及时地反馈购电和用电信息 居民用电信息采集表数量逐渐增加,供电电压自动采集的接入电压监测点也明显增多。如今输变电状态监测接入装置数量上万,因此其监测数据的数量也可想而知,综上可知,电力大数据应用过程中展现出了数据量庞大,数据类型多种多样和具有明显时效性的特征。 3电力大数据的优势 3.1提高管理水平 智能电网的发展与应用,需要各项数据信息的采集和分析,同时还应结合实际将其分散到配电网的多个环节。应用大数据技术能够顺利地完成电网运行参数和历史数据的深入分析,同时还可借助优化系统资源的方式保证电力系统的平稳运行,提高系统运行的经济性。大数据技术在智能电网中的应用,能够以天气数据、输变电设备监控数据以及环境数据为基础,进而加强动态定容的效果,大大提升输变电的水平。此外在数据分析的过程中还可制定针对性的风险防范机制,从而不断完善供电企业的管理工作。 3.2推动节能型产品的生产 供电企业采用大数据技术可对多种数据进行科学的分析,并以此为依据设计出环保节能的全新产品,为用户提供一些费用少且效率高的使用方式。如对智能家电采取以客户为中心的需求侧管理,以便与设备制造商建立合作关系,且在销售的过程中还可结合实际对其进行适度调整。 3.3为用户创造更加优质的用电体验 供电企业在发展运行的过程中若要不断提高自身的经济效益和社会效益,就应做好电力用户的分析工作。电力大数据中展现了不同行业用户对电力的需求,同时还可体现供电服务情况和设备厂商的信息。而企业对上述信息进行科学整合和分析,并预测电力用户能源消费的基本特点,从而制定出更具科学性的规划,为用户创造更高品质的用电体验,提高了用户的忠诚度。 4电力大数据引发的信息安全风险 4.1数据运行风险 大数据系统在运行的过程中必须要做好数据存储分析及处理工作,而且管理人员也应及时地完善系统运行技术,进而有效提高数据处理的质量和效率。如无法及时进行技术更新,就会引发数据运行风险,最后导致数据丢失和信息失真等问题。 4.2黑客攻击风险 在大数据技术发展中,黑客攻击是必须要重视的一项问题,黑客的专业技术较强,是一种有组织有计划的盗窃活动,其利用大数据获取数据信息,进而以不法方式进行交易。系统一经黑客破坏,可能使整个系统无法正常运转,对电力企业造成了较大的经济损失。 4.3电力企业隐私的泄露 电力企业在应用大数据系统的过程中,还要将企业、员工以及与之相关的信息到权威的网络平台上,信息进入到互联网当中后就可能会有泄露的风险,若无法采取有效措施加以控制,就可能会造成严重的风险。如不法分子盗取电力企业的信息或用户的个人信息从事非法交易,从而破坏电力市场的运营秩序。 5信息安全防护技术措施与管理方法 5.1信息安全防护措施 针对电力企业可能需要应对的数据信息安全风险,必须要采取针对性的数据管理措施加大管理力度,从而将风险发生几率降至最低。 5.1.1可采用加密技术 加密技术应用较为广泛,且在应用中也取得了比较好的效果,采用加密计算的方法可有效避免数据信息受到安全威胁。 5.1.2数据扰乱技术 该技术是一种防范等级比较高的安全防护技术。其通常是采取添加或替换一些信息变量的方式,来混淆偷窃信息者的视听。 5.1.3安全多方计算技术 这种技术本身具有较强的复杂性,不同参数之间要进行函数运算,且参与方的所有信息均采取不公开的方式来处理。在遇到问题后,需要设计一个解码函数,同时还要解开函数,之后再应用安全多方计算。这一技术保密性强,同时也可根据需要来选择保密的等级。 5.1.4数字签名技术 这种技术一般针对信息发送者。信息发送者提供一串别人无法复制的数字,该技术既证实了信息发送人的个人信息,也大大提升了信息内容的完整性。 5.2信息安全管理的方法 在电力企业大数据安全管理工作中,若要保证工作的质量,就应充分完善管理制度和管理方法。以数据信息风险管理系统建设以及监管为切入点,切实做好各项工作。(1)应不断完善大数据信息安全管理系统。电力企业要合理引入和培训高素质的信息技术管理人员,创建一支高质量的管理团队,从而保证数据更新和评估工作,使企业平稳的发展。(2)电力企业需做好安全信息防护技术的研发工作,电力企业要跟上时展的潮流,加大技术创新力度,增加资金投入,同时还要激发工作人员的工作热情。(3)当前我国已经全面进入了大数据时代,政府应高度重视大数据信息的安全保障工作,有关部门需不断改进和完善相关的制度和规范,充分发挥法律的约束作用,进而有效保护数据信息的安全。 6结束语 如今电力大数据信息技术不断发展,这也极大地提高了电力系统运行的质量和效率,但是该技术发展和应用的过程中也造成了较多的安全隐患,为了维护电力系统的信息安全,我们有必要积极采取有效的技术和管理措施,增强电力系统信息的可靠性及安全性,最终推动我国电力系统的全面完善。 参考文献 [1]张君,李慧聪,关永昌等.电力大数据信息安全分析技术要点[J].电子技术与软件工程,2017(22). [2]彭川.电力大数据信息安全分析技术探讨[J].科技尚品,2017(05). 作者简介陈红波(1988-),男,内蒙古自治区赤峰市人。研究生。中级工程师。主要研究方向为网络安全。
科技的发展为社会进步带来了新的动力,各行各业对于大数据技术的依赖性随之增强[1]。目前,我国高校的建设也呈现出崭新的气象,基础设施、师资建设、科研技术等方面都取得了较大的进步,这些都涉及大数据技术。当前大数据技术应用的普及化为大学生提供了更多获取学习资料的平台,特别是在大数据技术的支撑下,大学生接触的领域越来越多,有助于大学生的全面发展。但是大数据技术在为人们带来便利的同时,也引发了大量的网络信息安全问题,制约了高校的信息化建设水平。所以必须强化高校网络信息安全管理,采取科学的措施来解决问题。 1大数据背景下高校网络信息安全管理的必要性 1.1高校建立全方位安全防控体系的必然要求 高校网络信息安全工作有着复杂性、系统性的特点,涉及的不仅是高校师生的身心健康,而且还有高校各项工作能否顺利开展。在大数据背景之下,高校网络信息面临着诸多的安全风险,尤其是在新型网络犯罪手段出现后,高校的网络安全防护系统已经难以对这些风险进行及时有效的防范[2]。因此,高校在强化网络信息安全管理的过程中,必须以大数据技术为支撑才能建立有效的全方位安全防控体系。 1.2高校教育信息化建设的必然选择 自从教育部印发《教育信息化2.0行动计划》后,高校有了新的发展目标,“互联网+教育”成为新时期高校发展的主要方向。在大数据背景下,高校网络信息安全管理工作也是信息化建设的重要衡量指标之一,同时也体现了高校信息化建设水平[3]。当前高校网络信息安全存在的问题,危及网络信息系统的安全,对于高校的可持续发展非常不利,更制约了高校信息化建设的进程。所以提高高校网络信息安全管理水平,是高校教育信息化建设的必然选择。 2大数据背景下高校网络信息安全形势分析 2.1数据库安全 数据库安全主要表现为大数据存储难以利用传统的关系型数据库,需要选用非关系型数据库技术。但是此种技术的运用,在数据传输控制、隐私管理等方面存在安全隐患,如果客户端缺少完备的安全机制作为支撑,那么极容易出现代码漏洞,必然会增加数据库的安全风险[4]。 2.2信息数据安全 从大数据基础设施分析来看,其有着分布式、虚拟化的特点。信息数据安全的影响因素主要表现在信息泄露、信息破坏两个方面。如非法入侵、篡改密码等都属于信息数据安全威胁。 2.3大数据网络安全 从大数据的网络特征分析来看,因为分布式网络自身的特点(如规模大、攻击手段多、隐蔽性强等),若是出现了安全问题,也不容易发现,无法准确定位。因此,现阶段只有及时获取网络事件,可以在计算机的网络日志中追本溯源,对症下药,方可维护网络安全[5]。 2.4管理安全 在高校网络信息安全管理方面,网络安全管理是非常重要的一环。若是网络安全方面缺少完备的管理制度,那么必然会为计算机网络系统留下安全隐患。比如,在管理方面,如果存在弱口令密码、内部人员违规操作的情况,必然会增加安全风险。 3大数据背景下高校网络信息安全管理问题 3.1个人隐私的泄露 在高校中,师生是主要的网络用户主体。由于高校有着人口密度大、信息业务多的特征,在大数据背景之下,高校每天都会产生各种各样的用户信息数据,其中很多都涉及师生的隐私信息。个人隐私信息泄露主要表现在两个方面,一是校园的信息系统管理人员在信息时,其中涉及学生的家庭住址、电话号、身份证号等信息,如果对这些隐私没有进行脱敏处理,就会增加信息泄露的风险[6]。二是高校内部网络数据库中存在安全漏洞,这就为黑客攻击提供了可乘之机,如果网络数据库受到攻击,那么会出现用户信息数据被窃取的问题,就会带来难以估量的后果。 3.2网络黑客的攻击 开放性是互联网最大的特点,这也在一定程度上增加了网络风险。在大数据背景之下,校园网络中的信息数据在不断增多,但是网络设备、服务器等方面或多或少存在一些漏洞,为黑客攻击提供了可乘之机。黑客对校园网络的攻击包括主动攻击和被动攻击两种,前者是篡改信息数据,后者是窃取网络数据。但是无论采用哪一种攻击方式,都会危及高校网络信息的安全,网络信息数据泄露、网络服务功能降低都是主要的表现,甚至是出现高校网络崩溃等致命问题。 3.3安全管理不规范 针对高校网络信息安全的维护,业内通常有着“三分靠技术、七分靠管理”的见解,可见在高校信息化建设方面,网络信息安全管理工作十分关键。网络信息安全管理工作的规范与否,在于安全技术人员的操作。因为人为因素不可控性比较大,高校在进行网络信息安全管理时,若存在操作不规范的情况,必然会为校园网络系统带来安全风险。安全管理不规范,主要表现在三个方面:一是在校园网络设备、服务器日常运维中,操作人员没有严格按照相关规范执行,导致系统存在漏洞;二是在设备与系统的密码管理方面,存在疏忽,没有定期更新密码,增加了安全风险;三是缺少网络数据安全维护意识,在用QQ、微信等通信软件工具传递信息的时候,涉及师生的隐私信息和关键数据,这些不规范的操作都会加剧信息泄露的风险。 4大数据背景下高校网络信息安全管理对策 4.1强化网络安全制度建设 在大数据背景下,网络环境愈加复杂,高校网络安全问题日渐严峻。为了维护网络信息安全,当前高校需要进一步强化高校全体师生的网络安全防范意识,培养和提高校园网络管理人员素质,保证网络信息安全管理水平。在网络信息安全管理的过程中,需要网络安全管理人员定期对师生进行网络安全防范培训工作,以讲解网络风险隐患作为主要的培训内容,普及校园网络信息安全知识[7]。 4.2加强校园内部病毒防范工作 目前,在高校网络信息安全管理方面,做好内部病毒防范工作,对于维系高校网络信息系统安全有着积极的促进作用。首先,在软件配置方面,对于校园服务器配备,高校要考虑内部网络用量需求,对校园网络进行规划,配备相符的网络服务器。同时在控制预算的基础上,设置专业化的防火墙,安装功能强大的杀毒软件,对校园网络系统进行动态化监控,并及时对网络漏洞进行扫描,更新杀毒软件,避免病毒的入侵。其次,在硬件配置方面,高校需要综合利用校内的硬件资源,如计算机、多媒体教室等,尽可能控制没有联网的计算机病毒库的更新速度,如果有的计算机不可以安装杀毒软件,那么就要选用专业的软硬件还原卡,定期对系统进行还原,并做好空间清理工作。通过采取多种措施,对校园内部的病毒进行防范,以有效保证校园网络信息系统安全。 4.3规范师生的计算机操作 在大数据背景之下,人们可以使用搜索引擎在网络中搜索任何资源,以下载或者复制粘贴等方式,将资源快速应用到其他程序中,或者使用外部打印机将资料打印出来。在日常的计算机操作中,针对高校存在的网络信息安全问题,需要对师生的计算机操作进行规范,规避在数据传输中被黑客入侵的风险。 首先,高校需要制定科学的计算机操作和使用规范,并将高校内部的公用计算机文件打印功能关闭掉,避免过多端口带来的入侵风险。其次,直接对高校内部的计算机账户进行禁用处理,或者采用快速设置无权限的管理账户方式,对不法分子的攻击进行迷惑。最后,积极宣传计算机规范使用的意义,增强师生的计算机规范操作意识。而高校计算机房的工作人员,则需要做好计算机设备及系统的维护工作,定期更换不同计算机的管理账户,避免被不法分子冒充管理员,减少权限乱用的情况,以保护重要资料的安全性。 4.4应用网络安全防护技术 首先,应用访问控制技术。高校计算机网络部门可以采用访问控制技术,对外部网络访问进行严格的审查与控制,这样就可以有效避免高校网络信息被盗的问题。在计算机中设置相应的访问权限,严厉打击非法者访问高校共享资源,仅允许校园内部的人员访问高校网络信息,通过身份识别、口令加密、安全网关等方式控制访问,或者采用分级审查的方式,对外部服务器提供给高校的资源进行审查,对重要的设备进行多种方式加密,应用访问控制技术维护高校网络信息安全。 其次,应用防火墙技术。防火墙技术能够将内网与外网进行隔离,为计算机提供安全屏障,这也是解决计算机网络信息安全问题常用的一种技术。在高校网络系统中应用防火墙技术,既可以阻止不法分子利用系统漏洞攻击网络,也可以限制公共数据进入到防火墙之内,以信息过滤、状态监测、服务等手段开展安全防护工作,维持高校内部网络信息的安全性。再次,应用加密技术。加密技术主要的应用对象为内部数据,采用加密算法对敏感的数据进行处理,将其转变成识别难度大的密文,避免信息在传播的过程中被窃取。最后,应用数据备份技术。在高校网络信息安全管理方面,采用数据备份技术的主要目的是保护数据,避免数据遗失。 计算机系统在使用的过程中,若出现操作失误或者系统故障,就会导致高校大量数据丢失,这就难以保证网络信息的安全性。因此,采用数据备份技术可以将高校的相关网络信息数据从主机硬盘中复制到其他存储介质中,避免数据丢失。当前科技的发展,推动了数据备份技术的发展,此时已经从原来的冷备份发展到了网络备份。因此,高校可以依据硬件、存储设备的特点,选择相符的数据存储软件,对校园网络信息数据进行备份,从而保证网络信息的安全性。 5结束语 总之,高校信息化建设已经成为当前的重要趋势,尤其是在大数据背景下,高校迎来了智慧校园建设的黄金阶段。然而,在大数据背景下,海量数据的存在,对高校网络信息安全工作带来了新的挑战。当前高校网络信息安全方面存在的影响因素比较多,若没有及时做好管理工作,必然会对高校网络系统信息安全产生威胁。因此,在信息科技发展的今天,需要深入研究技术防范手段来对网络系统进行安全加固,并配合符合高校的网络安全管理制度,针对当前存在的问题提出相应的解决措施,提升高校网络自我保护的能力,保证高校数据信息的安全,规范网络信息安全管理工作,为广大师生提供安全优质的网络信息服务。 参考文献 [1]刘雪婷.大数据时代高校网络信息安全法制教育研究与实践[J].邵阳学院学报(社会科学版),2021,20(2):94-98. [2]张陆.大数据技术在高校网络信息安全中的应用[J].无线互联科技,2017(21):43-44. [3]黄玉瑶,李伦珑,何怡芬,等.大数据背景下的高校学生网络信息安全问题研究[J].佳木斯职业学院学报,2017(11):413-414. [4]赵颖斯.大数据时代高校生网络信息安全问题[J].中国信息安全,2017(5):97-99. [5]范凌飞.高校大学生思政信息化教育实效性研究——评《高校网络思政教育平台的构建及其应用研究》[J].科技管理研究,2021,41(7):165-167. [6]刘志军.网络环境对我国高校图书馆的影响与对策——评《高校图书馆信息资源建设研究》[J].新闻爱好者,2021(9):127-129. [7]石洋.网络信息背景下高校汉语言文学专业课程教学改革的实践研究[J].中国电化教育,2021(10):136-138. 作者:夏炜 柳隽宇 夏端峰 单位:湖北师范大学信息化建设与管理中心 湖北师范大学计算机与信息工程学院
期刊收录:国家图书馆馆藏 上海图书馆馆藏 维普收录(中) CSCD 中国科学引文数据库来源期刊(含扩展版) 万方收录(中) 知网收录(中) 北大期刊(中国人文社会科学期刊) 统计源期刊(中国科技论文优秀期刊) JST 日本科学技术振兴机构数据库(日)
期刊收录:国家图书馆馆藏 维普收录(中) 万方收录(中) CSCD 中国科学引文数据库来源期刊(含扩展版) 知网收录(中) 上海图书馆馆藏 北大期刊(中国人文社会科学期刊) 统计源期刊(中国科技论文优秀期刊)
2019年5月10日,我国正式了等保2.0制度。等保2.0的和实施,标志着我国的网络安全等级保护制度迈上了新的台阶[1]。气象数据作为国家信息安全的一部分,相较于其他敏感信息,往往容易被人们所忽视。然而气象数据信息不仅贯穿于气象业务部门、同人们的生产生活息息相关,在国家战略层面,气象数据信息也是十分重要的一部分。国内气象网络安全体系之所以出现相应的问题,主要原因就集中在我国的气象网络安全体系不够健全[2]。目前我国的气象信息网络管理和监控体系趋于自动化,我国已经基本形成覆盖全国的大气控测网,有力保障了气象监测预警和业务办公的正常运行[3]。但是气象信息网络监管目前仍存在诸多安全隐患,必须进一步增强我们的气象数据网络安全保护意识,及时对现有的网络安全设备和网络架构进行升级和更新[4]。 1网络架构现状分析 聊城市气象局气象业务网络系统是聊城气象业务信息服务保障体系的重要主体,是气象业务服务的基础性支撑,主要包括通信与网络、数据处理与管理等信息系统的基本要素,承担气象资料产品的收集与分发、数据管理与服务等业务。该网络系统主要由两台核心交换机(华为7706)、四台华为s5720交换机、两台华为NE20E路由器及两台防火墙(天融信NGFW4000)和两条百兆联通线路组成,其中两台防火墙作为边界防护布设在局域网的最外端,奇安信网神网络传感器及360网神终端安全管理系统作为安全防护部署在整个网络中。聊城市气象局气象网络系统是覆盖全市气象部门气象观测、预报预测、气象服务三大气象业务版块及其业务全流程的信息管理系统,承担气象产品加工、数据管理与服务等业务,为气象部门稳定开展综合气象观测、预报预测、气象服务工作提供稳定、安全的网络通讯保障。 2网络安全优化和架构改进 2.1网络架构 为了保护不同业务终端之间的安全交互,简化网络管理、提高网络的安全性[5]。针对不同的业务机器,不同的终端类型,进行基于端口的Vlan划分。将不同科室的业务机器在逻辑上进行隔离,避免敏感信息的泄漏风险。同时,交换机上布置控制列表ACL,对各个VLAN区域之间或者终端主机之间的访问进行安全控制。 2.2静态ARP设置 为及时准确的定位受害终端,有效防止局域网的IP地址冲突,进行静态ARP设置。在业务终端均采用静态的IP地址,在路由器管理上,开启静态绑定功能,对局域网的所有计算机实行静态IP地址和MAC地址绑定。 2.3网络安全现状 聊城市气象局在网络架构和安全防护等方面存在几点问题;一是在网络安全防护上对区域边界的防护相对薄弱,无法及时地对来自其他互联区域的网络攻击进行有效、及时的阻拦;二是部分外联区域缺乏区域边界的设计。上行至省局、下行至县局及外部门均与市局的本地核心交换机直接对接,无任何安全防护措施。此种情形会导致下联单位或外联单位的主机、网络遭受恶意、非法攻击时,其在内网漫游的同时,也会轻而易举对市级气象部门本地局域网发起攻击,这将直接影响到市局内部网络的信息化安全[6]。 2.4安全防护 针对上行至省局的传输业务和政府电子政务外网互联中存在的薄弱点在边界处部署两台天融信防火墙,分别针对联通和电信专线进行防护。天融信防火墙安全策略开启入侵防御、病毒过滤和URL过滤功能,在防火墙配置过滤规则集,当数据流与规则集匹配时,会自动按照设定的动作进行处理,比如阻断或者警告。同时为增加防御能力,部署安全设备奇安信网络探针设备,其核心功能数据采集策略,可以实时进行漏洞、恶意文件、威胁情报、间谍软件的检测[7]。 2.5网络安全使用规范的确立和实行 为了提高网络安全防护能力,强化信息网络安全管理制度及责任的划分,规范个人使用规范,从源头上保证设备的网络安全[8]。作为终端用户的使用者,个人的操作习惯直接关系着终端设备的安全性。通过条例进行规范要求,终端上必须统一安装正版的杀毒软件,并在杀毒软件服务器端进行相关的设置,如设置定期定时的病毒库升级和查杀,定时的安全提醒和推送。定期对终端进行杀毒维护安全检查,并形成书面的检查报告,由总负责人进行定期的抽查[9]。 3结论与讨论 通过对聊城市气象局网络架构的调整,既满足了国家等保制度的要求,让核心交换机发挥更好的作用的同时融合了各种新型防护设备,让市县整个网络结构和功能达到进一步优化的一个状态,更好的赋能气象业务运行,同时气象网络信息和数据安全得到了更加充分的保障[10]。未来气象数据安全必将受到更多的关注和更大的发展空间,同样也将面临着更大的数据安全挑战,气象部门仍然需要不断的紧跟国家战略和制度措施,不断对自身的网络架构和网络安全设备进行优化,升级[11]。 参考文献: [1]王春晖.《网络安全审查办法》规则与适用[J/OL].南京邮电大学学报(社会科学版):1-18[2022-02-28]. [2]杨蕾.我国网络安全产业发展态势及路径研究[J].信息技术与信息化,2021(12):172-176. [3]赵慧,周红娟.水利信息化网络安全防护体系浅议[J].海河水利,2021(06):115-117+121. [4]王梁.计算机网络安全及防火墙技术分析[J].中国管理信息化,2021,24(24):196-197. [5]王德.威胁网络安全的因素及防范对策研究[J].网络安全技术与应用,2021(12):162-163. [6]宋舒晗,王莹.计算机应用中的网络安全防护[J].数字技术与应用,2021,39(11):228-230. [7]本刊编辑部.网络安全呼唤“首席信息安全官”[J].中国信息安全,2021(11):34-35. [8]戴丽金,陈家樑,林加宝,等.福建地震网络信息安全策略研究[J].网络安全技术与应用,2021(11):126-128. [9]宋佩阳.计算机网络安全的威胁因素与防范策略[J].网络安全技术与应用,2021(11):162-163. [10]蔡斌.计算机网络安全技术在网络安全维护中的应用研究[J].网络安全技术与应用,2021(11):163-165. [11]王建.计算机网络安全问题及防范措施研究[J].电脑知识与技术,2021,17(32):36-37+57. 作者:宋波 李楠通讯作者 李雪源 刘奎斌 刘学川 单位:聊城市气象局 莘县气象局
如今,计算机网络信息管理安全防护工作日益受到关注,为保证此工作的顺利开展,笔者认为需加强对计算机网络信息管理安全防护工作的认识,重视并掌握计算机领域的各项技术,避免出现黑客入侵、网络数据失窃及病毒攻击等问题,减轻因不法人员的恶意操作所带来的影响,进而保证网络信息管理与安全防护工作的顺利开展。 1国内计算机网络信息管理的基本现状 就目前国内计算机网络信息管理现状来看,部分企业给予网络信息管理问题一定的重视,基于传统网络信息安全管理模式进行创新。但多数企业仍采用传统的计算机网络信息管理技术开展工作,无法保证自身技术与时代的适应性,增加了计算机网络信息管理工作的难度,使此管理模式的弊端凸显,难以满足新形势下此项技术的发展所需。因此,为规避网络信息管理风险,必须改善原有的计算机网络信息管理现状,保证信息安全技术的普及,制定此项技术的创新计划[1],保证各部门在计算机网络信息管理模式转换上取得更好的成绩。这样一来,通过计算机网络应急处理站的设置,可保证先进的网络安全防护技术得到大规模的应用,确保在经济社会内部培养出高素质的计算机网络信息管理人员,以此来强化计算机网络信息管理工作,提高安全防护知识的普及率,为后续安全防护工作奠定强有力的基础,进而保证后续公共事业以及企业经济效益的提升。 2计算机网络信息管理中存在的问题及原因 目前,国内计算机的普及率日益增长,因此,操作人员应时刻重视计算机安全防护问题,探究此问题产生的原因,了解计算机的优化过程,掌握人为因素所带来的影响,在根源上将此问题消除,以保证计算机使用过程中的安全性。 2.1系统优化力度不足,计算机内存在漏洞 在计算机网络信息管理过程中,各部门存在安全防护意识不足的问题,工作人员缺少对此问题的考虑,人们对计算机网络中的安全防护问题不了解,长此以往,增加了此项工作的难度。因此,我们应加强对计算机网络信息管理的重视,明确安全防护问题的频发位置,并找出具体问题所在,避免外界影响因素对计算机网络信息管理造成过多的影响。首先,结合目前计算机网络信息管理工作实际进行分析。由于计算机技术的应用力度不足,设计人员往往注重计算机的共享特点,忽视防护设施的运用,造成重要文件在存储过程中出现资源泄露,无法保证传输工作的顺利开展。其次,受到外界不良因素干扰,易出现文件丢失问题引发泄密事件的发生。因为在计算机通信环节存在纰漏,通信协议中问题较多,不法分子利用计算机设计中的不足对其进行攻击,则会增加计算机网络安全问题出现的频率。 2.2人为因素影响较大,网络环境日益恶化 由于计算机不可避免受到人为因素的影响,计算机网络信息管理人员疏忽对此方面的重视,则会出现网络环境恶化的问题,加剧人为因素带来的影响。同时若黑客、不法分子抓准时机,则会窃取计算机使用者的用户信息,对他人的计算机进行攻击,以至于造成无法弥补的损失[2]。种种因素表明,一些计算机网络信息管理人员缺乏安全防护意识,部分人员存在侥幸心理,认为计算机网络信息安全防护工作多此一举,出现忽视防护问题的现象。一旦遭受黑客攻击,则会使网络通信系统不能正常运行,严重造成大量文件丢失,增加病毒、恶意程序等不良因素的入侵渠道,导致计算机防护人员无法在第一时间将恶意程序消除,为相关个人或机构带来巨大的影响。因此,必须加强对人为因素的关注,保证计算机网络信息管理工作的完整性,为计算机使用人员普及安全防护知识。 3计算机网络信息管理安全防护问题的应用措施 3.1提高全民防护意识,保证计算机网络安全 在互联网中娱乐或者工作的期间,由于缺乏主动保护网络安全、识别和应对网络风险的正确观念,导致出现被黑客入侵的隐患。因此,人们互联网防护意识过低是导致网络安全事故频频发生的重要原因之一,所以应当要加强关于网络安全的宣传,使人们认识到网络安全的重要性,让人们对于黑客、病毒的了解更为深刻,深刻意识到在上网时应当加强对其进行防范。一方面,要从人们的观念上做出改变,提升人们对于网络安全的重视程度,养成安全良好的互联网娱乐习惯和工作习惯。另一方面,还要培养人们定时、定期查杀病毒的习惯,并掌握一些常规性的阻止病毒入侵的办法(如安装防火墙、安装杀毒软件、自主清理流氓软件[3]、不浏览非法网站或钓鱼网站等),这样才能从根源上减少病毒和黑客对计算机系统的侵害概率,从而降低网络风险给人们带来的损失。随着时间的推移,计算机已经普及到了千家万户,但是从目前的情况来看,人们对于网络安全的认识仍然不足[4]。在上网的过程中,尤其是浏览网页时,往往随意点击一些网页端的弹窗或广告,其实在这些弹窗或广告中往往会隐藏着病毒,在用户点击的时候病毒会趁机入侵到用户的系统中,然后一些不法分子利用这些病毒对用户的个人信息或者是其他信息进行窃取,或者窃取用户计算机上的硬件资源,最终导致用户的财产蒙受损失。为避免恶意程序对人们财产及个人信息造成影响,应提高对计算机网络信息管理工作的重视,制定严谨的安全防护计划,增加对安全设施配置环节的资金投入,保证在传统计算机网络信息管理安全防护的基础上进行升级,降低计算机软件内部的局限性因素所带来的影响,加强对新形势下网络信息管理工作的思考,满足其基本发展需求。所以,为了做好此项工作对人们进行和网络相关的安全教育是十分必要的。需要让人们明确网络安全的重要性,逐渐提高人们对信息安全建设领域的重视,以实现对信息安全技术的创新,建设出规模较大的计算机网络应急处理中心。除此之外,应从自身的角度来规范上网行为,减少病毒和黑客入侵计算机的机会。对于个人用户来说,最直接、最简单的方法就是提升个人信息的安全程度。比如,在设置个人账号时,尽量把密码设置得复杂一点,其中可以混杂着数字、字母、特殊符号,增加秘钥及验证操作的应用,确保密码不会出现外泄状况,并且密码要避开使用出生日期和身份证号,尽量不要出现多个账号共同使用一种密码的情况,这样可提高密码的严谨性,规避网络操作环节安全问题的产生,而且在对其他网站进行授权的时候,要着重观察授权的网站是否合法是否安全,从而降低自身信息被病毒和黑客盗取的可能性。除此之外,用户对于计算机中存储的重要文件也要着重进行加密。随着科技的发展,当前网络中用于文件加密技术的种类很多,用户可以选择一种自认为最为可靠、安全的加密方式对重要文件进行加密,这是防止重要文件泄露或者是被窃取的重要办法。 3.2制定安全管理方案,增加防护技术应用 3.2.1研究网络入侵检测技术 当前各种网络入侵的方式和技术是多种多样的,用户很难对其进行统一的防御。针对这种情况,我们就要着重地研究入侵检测技术,进而及时地发现病毒或者黑客的入侵行为,然后展开对应的防御[5]。入侵检测技术的应用目的是为了保障计算机在接入互联网时的网络安全,这项技术的核心是使用一些软件或者硬件对计算机接入的数据流进行定时定期的筛查,然后把检测结果和入侵数据流进行对比,如果两者的一致性很高,那么就代表计算机就有可能被入侵。根据入侵的种类,由操作人员或者计算机中的软件采取相对应的防御,比如立即对病毒进行查杀,或者及时切断计算机和网络的连接,从而减少损失。 3.2.2增加防火墙配置 众所周知,防火墙在网络安全中的作用是十分重要的,在计算机操作系统中,防火墙会起隔离作用,隔离外界的病毒,从而达到保护计算机内部网络信息的作用。所以根据这个理论,在计算机中合理增加防火墙的设置和配置是提升计算机安全性的有效方法。周密严谨的防火墙配置可以有效地保护内部的网络信息以及防范外部的病毒入侵,给计算机提供可靠的安全保障[6]。在当前这个计算机走入千家万户的时代中,互联网中的信息烦杂,数据流庞大,所以在计算机中配置防火墙是必须的。防火墙可以对一些常用的入侵手段进行检测,从而对计算机操作系统提供安全保障,还可以对网络中的其他软件或者其他人员的访问权限进行合理的把控,增加对计算机物理安全保障,实现对计算机硬件设备的保护,避免在应用过程中出现文件破坏、丢失及损坏的问题,增加内部信息的保密性。运用防火墙来实现对信息访问工作的控制,可规避监控风险产生,应对通过完整的授权、保密,以及抵抗方式来应对网页中的不安全因素。增加防火墙配置可方便信息认证授权工作的开展,增加网络环境中信息的可靠性,把不明人员和不明软件的访问权限控制在安全合理的范围之内,可有效地防止大部分不法分子对于计算机操作系统的入侵,使计算机内部文件得到防护,极大限度地减少计算机网络安全事故发生的频率,尽量避免出现信息损坏及丢失问题。 3.3构建信息管理体系,降低人为因素影响 当前,社会中屡禁不止的网络入侵行为以及黑客肆意盗取用户的个人信息行为,其实都和不完善的信息管理体系有着直接的关系。在网络中由于技术的限制,监管部门的监管力度不大,这就给一些不法分子提供了网络入侵的机会。所以我们应当加强对于网络信息的管理力度,创建完整的、科学的、合理的管理体系,从而减少网络中黑客的入侵次数[7]。相关部门可以从以下三方面入手来构建信息管理体系,降低人为因素对于网络安全的影响。一是加强网络信息相关的法律法规建设,从法律的角度上来打击网络入侵行为,减少恶意程序的影响,从源头实现对不良程序的打击,从而对不法分子起到震慑作用。降低外部恶意攻击问题发生的频率,加强对服务器运行状态的分析,根据标准数据了解用户信息管理状态,合理区分使用者的身份。二是相关监管部门要加强对各个网站的监管力度,从而保证网络环境的安全。三是要重视网络信息采集,完善和健全个人信息的保密制度,保证操作人员在规定范围内进行学习及工作,划分自己的权限范围,有效维持网络环境安全,降低恶意程序冲击所带来的影响,而提升网络信息安全标准。同时可从根源上提升网络信息的安全标准,构建完整的网络信息管理制度,建立完整的法律法规,可以有效减少人为因素对于网络安全的影响,从而提升网络信息的安全性和可靠性。 4结束语 综上所述,为保证计算机网络信息管理工作的顺利开展,需加强人们对计算机安全防护工作的重视,提高整体安全防护意识,运用多元化的手段来规避计算机网络管理工作中的风险。若上述方面建议未落实到位,不仅会对企业带来影响,还会增加人们在工作及生活中的不安全因素,因此需加强计算机网络信息管理力度,解决计算机网络系统内存在的问题,使计算机网络信息在健康的道路上发展。 参考文献 [1]杨佳.计算机网络信息管理及其安全防护策略[J].贵州农机化,2021(04):47-48+51. [2]闫思瑾.高校计算机网络信息管理安全防护问题与策略[J].数字技术与应用,2021,39(06):174-176. [3]张迪,李莹,张献华.计算机网络信息管理及其安全防护策略[J].信息系统工程,2020(01):57-58. [4]刘成,陈希.计算机网络信息管理及其安全防护策略要素探索[J].卫星电视与宽带多媒体,2019(16):28-29. [5]蒋玉婷.基于人工智能的网络入侵检测技术研究[J].信息通信,2019(12):70-72. [6]王懿嘉.大数据时代背景下计算机网络安全的分析[C].2019年南国博览学术研讨会论文集(一).2019:482-484. [7]朱丽萍.大数据时代下的计算机网络安全与防范策略分析[J].电脑知识与技术,2021,17(32):58-60. 作者:冯庆曦 单位:长春市信息中心
期刊收录:上海图书馆馆藏 国家图书馆馆藏 知网收录(中) 维普收录(中) 万方收录(中)
期刊收录:JST 日本科学技术振兴机构数据库(日) 万方收录(中) 上海图书馆馆藏 国家图书馆馆藏 知网收录(中) 维普收录(中)
建筑行业的发展一直备受政府高度关注,然而在实际工作中,政府却未能将自己监督的职能充分落实,关于安全生产信息共享机制的建设一直都未能落实在实际工作中,虽然政府出台了工程建设安全生产相关的法规,但其内容仍旧有诸多不足。随着安全事故的频繁发生,政府也意识到了加快安全生产信息共享机制的必要性。为了提升工程建设的质量,政府务必结合实际情况,建立相应的安全生产信息共享机制,促进建筑行业的发展。 1激励理论 激励理论旨在通过满足组织成员的精神需求,从而调动他们的积极性,实现组织目标。组织若是将激励理论应用于实际,能够让成员全身的投入到自己应当做的事情中,并且为达成组织目标而不断奋进。政府若是想要让建筑企业配合自己的工作,推进安全生产信息共享机制的建设,那就应当从激励的角度出发,将建筑企业视为“人”,对他们施以各种激励,只有这样才能够实现目的。由于笔者主要是以探讨建筑企业为主,所以激励理论具体来讲又可以划分为信息经济学激励理论以及管理学激励理论。这两项理论共同为政府指明了安全生产信息共享机制的建设方向,政府应当以这两项理论作为出发点,建设相应的安全生产信息共享机制[1]。 2建立工程建设安全生产信息共享机制的策略 政府建立安全生产信息共享机制能使建筑行业在施工过程中更加规范,降低安全事故的概率,有利于建筑企业的长远发展。在传统的安全生产工作中,政府一直难以对建筑企业展开有效监管,这就使得建筑企业在工作中可能难以找到工作目标,或者疏于工作,进而导致安全事故。在新时期,政府应当加快对安全生产信息共享机制的建设,确保社会的稳定与和谐[2]。 2.1完善安全生产信息共享机制的相关法律法规 近些年来,我国的法律法规得到了较好的完善,各行业都具有了相应的法律保障。然而在安全生产信息方面,相关的法律法规还不健全,特别是在建筑行业中,政策不仅少,而且单一,这对建筑行业的发展构成了阻碍。我国建筑部门曾经颁布了关于安全生产信息方面的规划纲要,以期政府大力加强信息基础设施的建设,对建筑企业实行更全面的安全生产监督。在这种背景下,政府应当完善安全生产信息的法律法规,从而为安全生产信息共享机制的建设提供有力的支持。政府应当将安全生产相关的法律法规落实在实际行动中,并将其贯穿于整个工作,只有这样才能够推进安全生产信息共享机制的建设[3]。同时,政府还应当深入调查建筑企业,了解他们的真实工作情况,从而为后续工作做好铺垫。 2.2建立安全生产信息共享平台,并不断完善其功能 随着我国信息技术的不断发展,越来越多工作离不开信息技术的支持。在这种背景下,政府的安全生产信息共享机制也可以得到更好的建设。激励理论要求政府应当从实际出发,给予建筑企业强烈的关注,并且帮助他们构建良好的平台。因此,政府应当聘请具有专业资质的技术人员,并且投入大量的研究经费,加快安全生产信息共享平台的建设,从而为建筑企业提供良好的共享平台。在传统的安全生产信息管理中,政府只能逐一查看建筑企业的安全生产信息,这样的方式不仅效率极低,而且很容易出现误差,这就会对政府的安全生产工作造成阻碍。共享平台的建立能够让政府实现更为高效的监管,并对建筑企业实施全面的监控。安全生产信息共享平台具有多种信息形式,包括资质信息、项目信息等,这些信息应当被集中归纳,从而便于政府展开监控[4]。 3工程建设安全生产信息信用评价的策略 安全生产信息共享机制能够将建筑企业的安全生产信息进行公开,从而方便接受来自于企业外部的监督[5]。政府除了建立共享机制外,还应当建立合理的信用评价体系,确保建筑企业充分关注自身的安全生产工作,保障其质量以及可行性。为此,政府应当明确信用评价体系的具体含义,并且加快其建设。信用评价体系的第一步为评价指标的确定。政府应当明确建筑企业在施工过程中的安全因素,并且将这些因素进行总结与归类,确定为评价指标。由于工程建设具有许多不确定性因素,所以政府应当结合建筑企业的实际情况,对评价指标不断作出改进,从而确保评价指标的时效性。评价指标具体来讲又可以被分为六大因素,分别是企业素质、个体安全行为能力、应急管理能力、以往安全事故次数、政府监督以及社会监督。这六个指标共同构成了安全生产信息信用评价体系,影响着企业的方方面面。政府应当仔细审查建筑企业的六指标,并且作出科学合理的评价,只有这样才能推进安全生产工作的深入发展。信用评价体系的第二部为评价等级的建立。政府应当根据六指标的综合得分,推断出企业的信用等级,并且对不同等级的企业制定不同的优惠政策,以此鼓励企业能够向更高等级的信用迈进,从而推进企业的安全生产。这样的方式充分体现了激励理论的可行性,有利于推进建筑企业的发展。 4结语 政府将激励理论应用于工程建设安全生产信息共享机制及信用评价方面,能够推动建筑企业的发展,让建筑企业减少安全事故的可能性。 参考文献: [1]张建设,张晶然,靳静等.基于信息共享的工程建设安全监管激励机制研究[J].工程管理学报,2016,30(05):126-130. [2]吴微珊.工程建设安全生产管理创新[J].黑龙江科技信息,2015(02):129. [3]陈志辉.安全生产预警信息体系的构建与实施[J].商品与质量,2017(17):294. [4]臧明春.论通信工程安全生产管理的方法[J].信息通信,2016(10):226-227. [5]高朋朋,刘彦辰.建筑施工安全生产信息化管理面临的问题及对策探讨[J].建筑安全,2016,31(01):39-41. 作者简介:齐国新(1972-),男,内蒙古武川人,本科,高级工程师,主要从事安全生产评价及管理方面的工作。
企业网络安全论文:企业网络安全论文 一、企业网络安全的设计原则 (1)网络信息安全的整体性原则。网络信息安全系统包括安全检测机制、安全防护机制和安全恢复机制等方面,网络安全要求在网络发生被攻击或者破坏的情况下,系统能尽快恢复网络信息服务。 (2)网络信息安全等级划分评价与平衡原则。网络信息安全系统设计时绝对安全的网络环境是不可能实现的,但是要建立一个良好的信息安全系统必然需要划分不同等级的标准,这要求我们在建立时设立合理实用的安全性标准、与用户需求相关的评价和平衡体系,从而正确平衡网络安全信息系统在需求和风险、安全性与可用性关系。 (3)网络信息安全系统建设标准化与一致性原则。网络安全系统的建设是一个庞大的系统工程,因而其安全体系的设计必须遵循一系列的相关安全和系统标准。 二、企业网络安全分析与实践 (1)企业需要依据不同的标准分层次制定不同等级的网络安全实施策略。在企业网络安全的建设和实施过程中,企业可以通过划分安全项目,确定安全等级,分层次制定相关安全实施策略,并细分安全隐患及其相应的解决对策,企业可以根据自身机构设置条件成立安全小组,以分工负责制的形式进行实施从而准确、高效的对问题进行定位、分析和解决。 (2)企业可以依据自身发展成立安全小组,进行实时网络监控,加快安全相应速度。在企业网络安全建设中安全扫描是一项重要的网络安全防御技术,在实际的企业网络建设中可利用诸如网络扫描、流量监控等现有和最新安全检测技术,通过系统扫描报告或网络流量记录来分析判断网络信息系统是否正常,并及时发现网络信息系统中是否存在的入侵行为或安全漏洞,此外,为了有效的进行网络安全防御,企业需要设计并进一步完善一系列安全响应的常规措施和紧急处理办法,从而有效提升安全响应的速度。 (3)企业需要及时同步最新网络安全技术,动态快速完善安全策略。通过及时了解网络技术发展动态,尤其通过国家和权威网站获取最新的网络安全资料和技术解决方案将有助于企业尽快补充和完善网络自己的安全策略、进一步提升网络安全维护能力和管理能力。企业通过自身的建设实现动态完善安全策略,在网络安全建设中形成“更新完善策略一网络检测一再更新完善一再检测”的机制,保证网络信息系统处于最新状态,避免因自身漏洞和系统不完善引起的网络安全威胁。 三、结束语 从我国企业网络安全发展现状而言,无论是在网络硬件平台的建设方面还是在网络应用的水平方面,与发达国家相比在发展规模和发展水平上均较大的差距,此外,在企业网络安全人员的建设方面网络管理人员的安全意识和防范观念较较淡薄,技术管理人员缺乏相关的解决问题的实际经验,导致目前网络建设好后存在较大的网络威胁,本文通过对相关研究进行理论和实践分析,探究企业常见的网络威胁产生原因,并提出后期建设的原则和实践建设的经验,以期为相关建设和管理人员提供参照和经验。 作者:连晓 单位:宜昌永耀电力集团工贸有限责任公司计算机分公司 企业网络安全论文:油田企业网络安全论文 1油田企业网络安全现状 1.1企业信息安全管理的隐患 信息安全管理涉及油田生产、数据保存、办公区域保护等多个层面,在信息化时代,油田企业需要加强信息化网络安全管理。现阶段,油田企业信息安全管理的漏洞包括:①信息安全管理制度不健全,缺乏细化、具体化的网络安全措施,针对员工不合理使用信息设备、网络的惩罚机制不健全。②部分管理人员和员工信息素养较低,如他们不能全面掌握部分软件的功能,不重视企业网络使用规范,且存在随意访问网站,随意下载文件的现象,增加企业网络负担,影响网络安全。③信息系统管理员缺乏严格的管理理念。石油企业信息网络系统都设有管理员岗位,负责企业内部网络软硬件的配备与管理,但现阶段,该职位员工缺乏严格的管理理念,不能及时发现和解决信息安全隐患。④为方便员工使用移动终端设备办公上网,石油企业办公区域也设置了无线路由器。但是,员工自身的手机等设备存在很多不安全因素,会影响企业网络安全性。 1.2病毒入侵与软件漏洞 网络病毒入侵通常是通过访问网站、下载文件和使用等途径传播,员工如果访问不法链接或下载来源不明的文件,可能会导致病毒入侵,危害信息安全。病毒入侵的原因主要有两方面,一方面,员工的不良行为带来病毒;另一方面,系统自身的漏洞导致病毒入侵。由此看来,油田企业信息化软件自身存在的漏洞也具有安全隐患。其中,主要包括基础软件操作系统,也包括基于操作系统运行的应用软件,如Office办公软件、CAD制图软件、社交软件、油田监控信息系统、油田企业内部邮箱、财务管理软件、人事管理软件等。 1.3网络设备的安全隐患 现阶段,油田企业网络设备也存在不安全因素,主要表现在两方面:第一,油田企业无论是办公区还是作业区,环境都较为恶劣,部分重要企业信息网络设备放置环境的温度、湿度不合理,严重影响硬件的使用寿命和性能,存在信息数据丢失的危险;第二,企业内部网络的一些关键环节尚未引入备份机制,如服务器硬盘,若单个硬盘损坏缺乏备份机制,会导致数据永久性丢失。 2提高油田企业网络安全策略 2.1加强信息安全管理 基于现阶段油田企业信息网络安全管理现状,首先,油田企业要重新制定管理机制,对各个安全隐患进行具体化、细化规范,包括员工对信息应用的日常操作规范,禁止访问不明网站和打开不明链接。其次,油田企业要强化执行力,摒除企业管理弊端,对违规操作的个人进行严厉处罚,使员工意识到信息安全的重要性,提高其防范意识和能力。再次,油田企业要招聘能力强、素质高的信息系统管理员,使其能及时发现和整改系统安全隐患。最后,对员工使用智能终端上网的现象,则建议办公区配备无线路由器的宽带与企业信息网络要完全隔离,以避免对其产生负面影响。 2.2加强对软件安全隐患和病毒的防范 (1)利用好防火墙防范技术。现阶段,油田企业的网络建设虽然引入防火墙设备,但没有合理利用。因此,油田企业要全面监管和控制外部数据,防止不法攻击,防止病毒入侵。同时,定期更新防火墙安全策略。(2)对企业数据进行有效加密与备份。对油田企业来说,大部分数据具有保密性,不可对外泄密。因此,企业不仅要做好内部权限管理,还应要求掌握关键数据的员工对数据做好加密和备份工作。在传输和保存中利用加密工具进行加密,数据的保存则需要通过物理硬盘等工具进行备份。有条件的企业,可在不同地区进行备份,以防止不可抗拒外力作用下的数据丢失。(3)合理使用杀毒软件。企业要对内部计算机和移动终端安装杀毒软件,并高效运行,以加强对病毒的防范。 2.3提升网络设备安全 (1)由于油田企业内部信息网络规模较大,设备较多且部署复杂。因此,要及时解决硬件面临的问题,定期检查维修,提高硬件设备安全性。定期检修能准确掌握网络设备的运行状况,并能及时发现潜在隐患。(2)对处于恶劣环境中的网络设备,包括防火墙、服务器、交换机、路由器等,尽量为其提供独立封闭的空间,以确保温湿度合理。 3结语 信息网络安全管理是油田企业管理的关键。因此,油田企业要完善信息网络操作安全管理制度,保证软件系统、硬件设备安全运行。 作者:王凯 单位:大庆油田第四采油厂 信息中心 企业网络安全论文:石油企业网络安全论文 1、影响石油企业网络安全的因素 1.1主观因素 (1)从使用网络的人来看,网络使用者的安全防范意识不尽相同,有的人非常重视网络安全,有的人甚至不知道什么是网络安全,网络安全意识薄弱。 (2)从黑客的角度来分析,黑客对于网络安全的威胁是目前最大的。黑客通常是利用技术将带有病毒的游戏、网页、多媒体等放入软件终端,电脑使用者不留意就会点开这些资源,黑客就会监控电脑的一切活动,会偷取计算机上的用户名、账户、密码等个人隐私数据,或者占用系统资源,严重的情况下会导致系统崩溃,企业相关的资料都会消失,损害企业的经济、财产,并为网络安全带来威胁。 1.2客观因素 石油企业应用网络办公都已经形成了企业独立的网络系统,但还是受到网络安全的威胁,主要是由于影响石油企业网络安全的自然原因主要是操作系统和软件的漏洞。随着科技的发展,网络操作系统和应用软件总在不断地更新,而且其更新比较慢,这就为黑客的入侵提供了缝隙。 2、石油企业网络安全的防护技术措施 随着石油企业网络安全问题的频繁出现,网络使用者必须重视网络安全问题,必须对网络安全采取有效的防护技术和措施,为企业提供安全的网络管理平台。 2.1石油企业建立健全企业规章制度 为了确保企业网络安全,必须建立完善的安全系统,了解网络安全的重要性。对于网络安全事故的发生,应采取处罚制度,并进行记录,一旦出现重大网络安全事故,可以做到有证据可依。 2.2石油企业应对网络数据采取加密技术 石油企业内一些重要的文件必须对其进行加密后再放到外部网络中,并结合防火墙技术,才能进一步提高石油企业网络信息系统内部数据的保密性和安全性,防止数据被非法人员偷盗,损害企业的利益。 2.3石油企业应加强员工网络安全知识的培训 员工作为石油企业网络的使用者,梳理员工网络安全意识变得尤为重要,只有让员工认识到网络安全的危害和意义才能从根本上防止主观因素网络安全问题的发生。石油企业应加强对员工网络安全信息的培训工作,提高员工的网络安全意识,保证企业网络安全的使用。 2.4石油企业应加强系统平台与漏洞的处理 网络管理员可以利用系统漏洞的扫描技术来提前获取网络应用过程中的漏洞,并通过漏洞处理技术快速恢复系统漏洞。 3、关于石油企业网络安全中其它防护技术 在石油企业网络安全防护技术方案中,还应该应用以下几个防护技术:访问控制技术、入侵行为检测技术、异常流量分析与处理技术、终端安全防护与管理技术、身份认证与管理技术。 3.1访问控制技术 企业可以根据企业本身的安全需求、安全级别的不同,在网络的交界处和内部划分出不同的区域,在这些区域中安装防火墙设备进行访问控制。通过防火墙设备对数据包进行过滤、对于有问题的数据进行分析,防止外部未被授权的用户入侵企业网络。单向数据输出的安全区域,防火墙设备应对外区域的访问请求进行阻止;对于需要进行双向数据交互的区域,必须按照制源地址、目的地址、服务、协议、端口内容进行精确的匹配,避免网络安全问题的出现。 3.2入侵行为检测技术 入侵检测就是在石油企业网络的关键位置安装检测软件,对入侵行为进行检测与分析。入侵检测技术可以对整个企业网络进行检测,对产生警告的信息进行记录并处理。 3.3异常流量分析与处理技术 为了保障供应服务的稳定性,避免拒绝服务攻击行为导致业务系统可用性的丧失,需要通过深度包检测。当发现网络流量有问题时,就会将恶意数据删除,保留原有的正常数据,这样就保证了有权限的用户进行正常访问。 3.4终端安全防护与管理技术 企业整体信息安全水平取决于安全防护最薄弱的环节。在石油企业中,企业比较重视网络及应用系统的保护,忽视了对终端计算机的全面防护与管理措施的保护。这些就需要企业利用安全防护管理技术在内部终端计算机进行统一安全防护和安全管理,保证信息的安全。 4、结语 石油作为现代工业的血液,石油化工产业的发展关系到我国国民经济的基础产业,在国民经济中占有很重要的地位,因此,石油企业网络安全问题变得十分的重要。石油企业应在安全生产的基础上,建立一套安全的解决方案和安全管理体系。面对石油企业网络安全,只有利用先进的防护技术,采取科学、合理的安全管理措施,才能保证石油企业的发展和进步。 作者:赵长波单位:中国石油长城钻探工程公司 企业网络安全论文:企业网络安全与保护系统的创建 作者:钟豪单位:丽水市烟草公司松阳分公司 企业计算机网络所面临的威胁 当前,大多数企业都实现了办公自动化、网络化,这是提高办公效率、扩大企业经营范围的重要手段。但也正是因为对计算机网络的过分依赖,容易因为一些主客观因素对计算机网络造成妨碍,并给企业造成无法估计的损失。 1网络管理制度不完善 网络管理制度不完善是妨碍企业网络安全诸多因素中破坏力最强的。“没有规矩,不成方圆。”制度就是规矩。当前,一些企业的网络管理制度不完善,尚未形成规范的管理体系,存在着网络安全意识淡漠、管理流程混乱、管理责任不清等诸多严重问题,使企业相关人员不能采取有效措施防范网络威胁,也给一些攻击者接触并获取企业信息提供很大的便利。 2网络建设规划不合理 网络建设规划不合理是企业网络安全中存在的普遍问题。企业在成立初期对网络建设并不是十分重视,但随着企业的发展与扩大,对网络应用的日益频繁与依赖,企业未能对网络建设进行合理规划的弊端也就会日益凸显,如,企业所接入的网络宽带的承载能力不足,企业内部网络计算机的联接方式不够科学,等等。 3网络设施设备的落后 网络设施设备与时展相比始终是落后。这是因为计算机和网络技术是发展更新最为迅速的科学技术,即便企业在网络设施设备方面投入了大笔资金,在一定时间之后,企业的网络设施设备仍是落后或相对落后的,尤其是一些企业对于设施设备的更新和维护不够重视,这一问题会更加突出。 4网络操作系统自身存在漏洞 操作系统是将用户界面、计算机软件和硬件三者进行有机结合的应用体系。网络环境中的操作系统不可避免地会存在安全漏洞。其中包括计算机工作人员为了操作方便而主动留出的“后门”以及一些因技术问题而存在的安全隐患,一旦这些为网络黑客所了解,就会给其进行网络攻击提供便利。 网络安全防护体系的构建策略 如前所述,企业网络安全问题所面临的形势十分严峻,构建企业网络安全防护体系已经刻不容缓。要结合企业计算机网络的具体情况,构建具有监测、预警、防御和维护功能的安全防护体系,切实保障企业的信息安全。 1完善企业计算机网络制度 制度的建立和完善是企业网络安全体系的重要前提。要结合企业网络使用要求制定合理的管理流程和使用制度,强化企业人员的网络安全意识,明确网络安全管护责任,及时更新并维护网络设施设备,提高网络设施的应用水平。如果有必要,企业应聘请专门的信息技术人才,并为其提供学习和培训的机会,同时,还要为企业员工提供网络安全的讲座和培训,引导企业人员在使用网络时主动维护网络安全,避免网络安全问题的出现。 2配置有效的防火墙 防火墙是用于保障网络信息安全的设备或软件,防火墙技术是网络安全防御体系的重要构成。防火墙技术主要通过既定的网络安全规则,监视计算机网络的运行状态,对网络间传输的数据包进行安全检查并实施强制性控制,屏蔽一些含有危险信息的网站或个人登录或访问企业计算机,从而防止计算机网络信息泄露,保护计算机网络安全。 3采用有效的病毒检测技术 计算机病毒是指编制或在计算机原有程序中插入的能够破坏系统运行或破坏数据,并具有自我复制能力的计算机指令或程序代码。病毒是对网络造成最大威胁的因素,要采用一些有效的病毒检测及反应技术,及时检测到病毒并对其进行删除。 4其他网络安全技术 其他的网络安全技术包括密码更改、网络加密技术和IP隐藏技术等。密码更改是网络用户应具备的一项安全意识,要定期或不定期对自己的账户密码进行修改,设置密码保护问题,以预防密码泄露;机密技术是指通过将存储在计算机网络上的重要信息改变为密文来防止被窃取和泄露;IP隐藏技术是隐藏用户计算机的IP地址,避免网络黑客采取特殊的网络探测手段获取用户IP来确定攻击目标,以上都是确保网络安全的重要手段。计算机及网络技术的进步推动了信息时代的发展进程,在人类社会的各个领域都引起了一系列影响深刻的革命。但伴随着网络规模的逐步扩大和更加开放,网络所面临的安全威胁和风险也变得更加严重和复杂,企业计算机网络受到威胁行为日益增多。为了保障企业计算机网络安全,必须强化信息应用安全意识,及时了解网络中出现的安全问题,规范计算机网络使用行为,加强网络基础设施建设,提高设备设施应用水平,构建起有效的网络安全防护体系,维护企业的网络安全和合法权益。 企业网络安全论文:化工企业网络安全论文 1化工企业网络安全威胁现状 随着网络中传播的木马、病毒等开发、设计技术的强化和智能化,其传播速度越来越快,传播途径也越来越广泛,并且隐藏周期更长,更难以被人发现,尤其是在互联网时代,化工企业的生产控制、经营办公等信息数据均通过互联网连接在一起,并且非专业的技术人员很少定期进行查毒和杀毒,导致网络中弥漫着ARP病毒、FTP病毒、震荡波病毒、邮件病毒和网页病毒等,导致计算机网络性能逐渐降低,服务效率大幅度下降。 2化工企业网络安全防御措施 2.1应用层安全防御措施 在化工企业网络中,应用层与网络用户直接接触,因此为了保护应用层安全,需要强化第一道安全屏障,可以采取的措施包括设置用户/组角色,实行单一角色登陆及认证,为用户分配固定的安全控制权限标识,限制用户的访问权限,并且建立动态配置机制,以便更好地控制网络资源,避免病毒、木马和黑客攻击优秀数据资源,确保用户实现有效控制访问。 2.2接入层安全防御措施 接入层可以根据不同的IP组,分类控制访问网络资源的模式,并且能够强化远程接入的防御能力。由于化工企业员工众多,需要根据其所在的不同部门,设置不同的访问权限,仅仅依赖角色控制难以实现访问资源的合理管理,因为角色管理是人为的,无法更好地从根本上进行控制,因此根据客户机的IP地址、MAC地址、交换机端口地址划分VPN,可以有效地实现远程访问VPN、IntranetVPN或ExtranetVPN,共同构建良好的VPN模式,并且在实现远程接入过程中,可以采用隧道加密协议,将VPN根据不同的访问权限和重要程度划分为PPTPPN、L2TPPN、IPSecPN和MPLSPN等,以便能够对传输的数据进行不同层次的加密,更好保护化工企业网络的数据传输有效性、安全性、准确性。 2.3传输层防御措施 目前,化工企业网络传输层的防御措施也有很多个,比如构建入侵检测、防火墙和审计分析体系,因此可以使用杀毒防毒软件、防火墙、虚拟局域网和ACL等具体的措施进行实现,可以为化工企业网络构建一个完善的网络防火墙体系,确保网络用户的认证信息是完整的,保证网络用户不受到病毒、木马侵袭和黑客的攻击。 2.4主动防御体系 为了更好地面对网络安全面临的威胁,化工企业除了在接入层和传输层采用传统的安全防御措施之外,同时构建主动的安全防御体系,采用主动安全防御措施,以便能够确保网络的正常使用。构建主动安全防御体系时,网络主动预警技术主要包括网络主动预警、响应、检测、保护、恢复和反击六个方面,其中优秀内容是网络主动预警技术和主动响应技术,其也是与传统的防御技术具有较大区别的方面。在网络主动预警过程中,首先可以通过遗传算法、支持量机、BP神经网络等技术进行入侵检测,以便能够有效地确定网络中是否存在非法数据流等信息,扫描网络操作系统是否存在漏洞,以便能够根据数据库、知识库中保存的经验数据,判断网络信息流中是否存在非法的内容及相关的特征,及时主动地采取漏洞预警、攻击预警、行为预警、情报采集预警等技术,进行网络主动预警。 2.5网络主动响应技术 网络主动预警技术可以发现即将或者已经发生的网络攻击行为,网络主动响应技术可以对相关的攻击行为进行防御,以便能够最大化地降低网络攻击行为带来的影响。目前,网络主动响应技术可以搜集攻击数据,对其进行实时的分析,判断攻击源所在的位置,以便能够采用网络防火墙等阻断攻击源,或者可以采用网络攻击诱骗技术或者僚机技术,将网络中已经或正在发生的攻击行为引诱到一个无关紧要的主机上,降低网络攻击造成的危害。 3结语 化工企业网络安全防御是一项非常复杂的、系统性的工程,其需要随着网络规模、复杂程度等进行动态的改进,以便能够不断完善系统的防御效果,集成入侵检测、访问控制、网络预警等技术,构建一个深层次、多维度的积极防御系统,保证校园网络的正常运行,为化工企业网络提供更高级别的安全服务。 作者:余先健 单位:贵州天福化工有限责任公司 企业网络安全论文:电力企业网络安全论文 随着计算机的广泛应用,以及为了适应电力企业规范化、程序化和现代化管理的要求,目前广大职工的很多日常工作(包括生产MIS、协同办公、电力营销、ERP系统、视频监控等各种系统)已经与计算机及其网络密不可分。而计算机网络的快速发展得益于互联网的独特优势:开放性和匿名性,也正是这些特征,网络给我们提供极大的方便的同时也带来了诸多的网络安全威胁问题,这些问题一直在困扰着我们,诸如网络数据窃密、病毒攻击、黑客侵袭、木马挂马、陷门等。因此,如何有效地做好本单位计算机网络的日常维护工作,确保其安全稳定地运行,这是网络运行维护人员的一项非常重要的工作。为了有效防止网络安全问题的侵害,确保各系统持续、稳定、可靠运行和确保信息内容的机密性、完整性、可用性,计算机广泛地推广使用了各种复杂的软件技术,如入侵检测、防火墙技术、通道控制机制、服务器,尽管如此,计算机信息安全和网络安全问题还是频发。由于缺乏足够专业的安全支撑技术力量,同时一些负责网络安全的工程技术人员对许多潜在风险认识不足。缺乏必要的技术设施和相关处理经验,面对形势日益严峻的现状,很多时候都显得有些力不从心。也正是由于受技术条件的限制,很多人对网络安全的意识仅停留在如何防范病毒阶段,对网络安全缺乏整体意识。 1网络安全风险分析 1.1网络结构的安全风险分析 电力企业网络与外网有互连。基于网络系统的范围大、函盖面广,内部网络将面临更加严重的安全威胁,入侵者每天都在试图闯入网络节点。网络系统中办公系统及员工主机上都有涉密信息,假如内部网络的一台电脑安全受损(被攻击或者被病毒感染),就会同时影响在同一网络上的许多其他系统。 1.2操作系统的安全风险分析 所谓系统安全通常是指操作系统的安全。操作系统的安装以正常工作为目标,一般很少考虑其安全性,因此安装通常都是以缺省选项进行设置。从安全角度考虑,其表现为装了很多用不着的服务模块,开放了很多不必开放的端口,其中可能隐含了安全风险。 1.3应用的安全风险分析 应用系统的安全涉及很多方面。应用系统是动态的、不断变化的。应用的安全性也是动态的。这就需要我们对不同的应用,检测安全漏洞,采取相应的安全措施,降低应用的安全风险。主要有文件服务器的安全风险、数据库服务器的安全风险、病毒侵害的安全风险、数据信息的安全风险等。 1.4管理的安全分析 管理方面的安全隐患包括:内部管理人员或员工图方便省事,不设置用户口令,或者设置的口令过短和过于简单,导致很容易破解。责任不清,使用相同的用户名、口令,导致权限管理混乱,信息泄密。把内部网络结构、管理员用户名及口令以及系统的一些重要信息传播给外人带来信息泄漏风险。内部不满的员工有的可能造成极大的安全风险。 2网络信息与网络安全的防护对策 尽管计算机网络信息安全受到威胁,但是采取恰当的防护措施也能有效的保护计算机网络信息的安全。网络安全不仅仅是技术问题,同时也是一个安全管理问题。我们必须综合考虑安全因素,制定合理的目标、技术方案和相关的配套法规等。以下分别就这两个方面进行论述。 2.1管理维护措施 1)应建立健全计算机网络安全管理制度体系,定期对管理制度进行检查和审定,对存在不足或需要改进的管理制度及时进行修订。2)使用人员应该了解国家有关法规、方针、政策、标准和规范,并主动贯彻与执行;掌握终端的基本使用常识,了解国家电网公司、省公司及分公司有关管理制度,并严格遵守。3)坚持“分区、分级、分域”的总体防护策略,执行网络安全等级保护制度。将网络分为内网和外网,内、外网之间实施强逻辑隔离的措施。4)内外网分离,外网由信息职能管理部门统一出口接入互联网,其他部门和个人不得以其它方式私自接入互联网,业务管理部门如有任何涉及网络互联的需求,应向信息职能管理部门提出网络互联的书面申请,并提交相关资料,按规定流程进行审批,严禁擅自对外联网,如果互联网使用人员发生人事变动,原来申请的互联网账户必须注销。5)必须实行实名制,实行“谁使用,谁负责”,通过建立电力企业网络中确定用户的身份标识,将网络用户与自然人建立起一一对应的关系。6)加强网络监管人员的信息安全意识,特别是要消除那些影响计算机网络通信安全的主观因素。计算机系统网络管理人员缺乏安全观念和必备技术,必须进行加强。7)有关部门监管的力度落实相关责任制,对计算机网络和信息安全应用与管理工作实行“谁主管、谁负责、预防为主、综合治理、人员防范与技术防范相结合”的原则,逐级建立安全保护责任制,加强制度建设,逐步实现管理的科学化、规范化。8)办公人员每天直接面对计算机的时间是最长的,如果办公人员本身的计算机操作水平很高,就会有效地减少一些不必要的维护工作。因此,建议计算机管理员在每次维护的过程中,可以适当地把故障产生的原因和维护办法以及注意事项向办公人员做以讲解。随着维护工作不断地进行,时间长了,再遇到类似的故障办公人员便可轻松独立处理,而不只是束手无策。这样,既能提高工作效率,又能降低故障,还能避免重复维护。 2.2技术维护措施 1)操作系统因为自身的复杂性和对网络需求的适应性,需要及时进行升级和更新,因此要及时升级并打上最新的系统补丁,严防网络恶意工具和黑客利用漏洞进行入侵。2)按要求安装防病毒软件、补丁分发系统、移动存储介质管理系统等安全管理软件,进行安全加固,未经许可,不得擅自卸载。防病毒软件系统的应用基本上可以防治绝大多数计算机病毒,保障信息系统的安全。及时升级防病毒软件,加强全员防病毒、木马的意识,不打开、阅读来历不明的邮件;要指定专人对网络和主机进行恶意代码检测并做好记录,定期开展分析;加强防恶意代码软件授权使用、恶意代码库升级等管理。在信息系统的各个环节采用全面的防病毒策略,在计算机病毒预防、检测和病毒库的升级分发等环节统一管理,建立较完善的管理制度,有效地防止和抑制病毒的侵害。3)防火墙是用于将信任网络与非信任网络隔离的一种技术,它通过单一集中的安全检查点,强制实施相应的安全策略进行检查,防止对重要信息资源进行非法存取和访问。电力系统的生产、计量、营销、调度管理等系统之间,信息的共享、整合与调用,都需要在不同网段之间对这些访问行为进行过滤和控制,阻断攻击破坏行为,分权限合理享用信息资源。采用防火墙或入侵防护设备(IPS)对内网边界实施访问审查和控制,对进出网络信息内容实施过滤,对应用层常用协议命令进行控制,网关应限制网络最大流量数及网络连接数。严格拨号访问控制措施。4)对操作系统和数据库系统用户进行身份标识和鉴别,具有登录失败处理,限制非法登录次数,设置连接超时功能;用户访问不得采用空账号和空口令,口令要足够强健,长度不得少于8位,并定期更换,计算机帐号和口令要严格保密,用户短时离开要启动带口令的计算机屏幕保护程序或锁定计算机,长时间不使用计算机,必须将计算机关机,以防他人非法使用。5)要执行备份管理制度,对重要数据进行备份。加强对数据和介质的管理,规范数据的备份、恢复以及废弃介质、数据的处理措施。6)对于办公计算机而言,每天都要在办公区高频地收发处理文件,特别是使用U盘作为传输载体,传播病毒的几率更是居高不下,破坏力极强。可通过批处理程序在开机时把驱动加进去,然后关机时恢复原来设置;或通过组策略设置不自动打开U盘,然后启用杀毒软件扫描。 计算机网络安全是一项复杂的系统工程,涉及技术、设备、管理和制度等多方面的因素,任何一种单一的技术或产品者无法满足无法满足网络对安全的要求,只有将技术和管理有机结合起来,形成一套完整的、协调一致的网络安全防护体系,从控制整个网络安全建设、运行和维护的全过程角度入手,才能提高网络的整体安全水平。世界上不存在绝对安全的网络系统,随着计算机网络技术的进一步发展,网络安全防护技术也必然随着网络应用的发展而不断发展。电力系统的信息化应用是随着电力企业的发展而不断发展的,信息网络安全也是一个动态过程,需要定期对信息网络安全状况进行评估,改进安全方案,调整安全策略。需要强调的是,网络安全是一个系统工程,不是单一的产品或技术可以完全解决的。这是因为网络安全包含多个层面,既有层次上的划分、结构上的划分,也有防范目标上的差别。任何一个产品和技术不可能解决全部层面的问题,因而一个完整的安全体系应该是一个由具有分布性的多种安全技术或产品构成的复杂系统,既有技术的因素,也包含人的因素。一个较好的安全措施往往是多种方法适当综合应用的结果。一个计算机网络,包括个人、设备、软件、数据等。这些环节在网络中的地位和影响作用,也只有从系统综合整体的角度去看待、分析,才能取得有效、可行的措施。即计算机网络安全应遵循整体安全性原则,根据规定的安全策略制定出合理的网络安全体系结构。这样才能真正做到整个系统的安全。因此网络安全是一个伴随着信息化应用发展而发展的永恒课题,使我们在把握网络技术给人们带来方便的同时,又能使信息安全得到保证。 作者:刘静 单位:晋中市榆次供电公司 企业网络安全论文:企业网网络安全论文 1计算机网络安全存在的问题 1.1计算机自身系统安全问题 计算机系统的正常运行以计算机操作系统程序为主要依据,与之相关的各类程序也必须以此为标准,操作系统理所当然地成为了计算机系统中的基本程序。计算机操作系统具有较强的拓展性,开发商很容易完成计算机系统的开发工作。但是,在优化和升级计算机系统的过程中,相关操作技术仍存在较大问题,这是计算机技术快速发展的难点,也是黑客入侵计算机系统的主要切入点。 1.2计算机病毒安全问题 计算机一旦受到病毒的入侵,将会出现严重的运行问题,如系统瘫痪、传输数据失真以及数据库信息丢失等。计算机病毒具有典型的潜伏性、传染性、隐蔽性和破环性,目前,计算机病毒种类主要有以下四种:第一,木马病毒。该类病毒的主要目的是窃取计算机上的数据信息,具有典型的诱骗性;第二,蠕虫病毒。熊猫烧香是该类病毒的典型代表,以用户计算机上出现的漏洞为切入点,综合使用攻击计算机终端的方式控制计算机系统,该病毒具有较强的传播性和变异性;第三,脚本病毒。该病毒主要发生在互联网网页位置;第四,间谍病毒。要想提升某网页的访问量,强制要求计算机用户主页预期链接。伴随着科技的发展,计算机网络应用范围不断扩大,各种类型病毒的破坏性也随之增加。 1.3黑客 通过网络攻击计算机目前,我国仍存在着大量非法人员对计算机系统进行攻击等行为,这类人员大都掌握着扎实的计算机和计算机安全漏洞技术,对计算机用户终端与网络做出强有力的破坏行为是他们的主要目的。黑客攻击计算机网络的主要形式有三种:第一,利用虚假的信息攻击网络;第二,利用木马或者病毒程序对计算机用户的电脑进行控制;第三,结合计算机用户浏览网页的脚本漏洞对其进行攻击。 2计算机网络安全技术在企业网中的应用 2.1防火墙技术 防护墙技术是计算机网络安全技术在企业网中应用的主要表现形式之一。防火墙技术的应用能够从根本上解决计算机病毒安全问题,在实际应用过程中,计算机网络安全中心的防火墙技术被分为应用级防火墙和包过滤防火墙两种形式。其中应用型防护墙的主要目的是保护服务器的安全,在扫描终端服务器的数据后,如果发现有意或者不合常理等攻击行为,系统应该及时切断服务器与内网服务器之间的交流,采用终端病毒传播的方式保护企业网的安全。包过滤防火墙的主要工作任务是及时过滤路由器传输给计算机的数据信息,这种过滤手段可以阻挡病毒信息入侵计算机系统,并第一时间内通知用户拦截病毒信息,为提高企业网的安全性提供技术保障。下图1是企业网防护墙配置示意图。Intranet周边网络InternetInternet防火墙周边防火墙内部网络服外部网络务器服务器图1防火墙配置 2.2数据加密技术 数据加密技术是计算机网络安全技术在企业网中应用的另一种表现形式。在企业发展建设过程中,要想提高企业发展信息的安全性和可靠性,企业必须在实际运行的计算机网络中综合使用数据加密技术。数据加密技术要求将企业网内的相关数据进行加密处理,在传输和接收数据信息的过程中必须输入正确的密码才能打开相关文件,这为提高企业信息的安全性提供了技术保障。加密算法的常用形式有对称加密算法和非对称加密算法两种,其中对称加密算法中使用的加密和加密信息保持一致,非对称加密算法中加密方法和解密方法存在较大的差异,通常很难被黑客破解,这两种加密形式在企业网中均得到了广泛应用。 2.3病毒查杀技术 病毒查杀技术是计算机网络安全技术在企业网中应用的表现形式之一。病毒对计算机安全有极大的威胁,该技术要求企业技术对计算机操作系统进行检测和更新,减少系统出现漏洞的频率;杜绝用户在不经允许的情况下私自下载不正规的软件;安装正版病毒查杀软件的过程中还应该及时清理病毒数据库;控制用户浏览不文明的网页;在下载不明邮件或者软件后立即对不良文件进行病毒查杀处理,确定文件的安全性后才能投入使用。 2.4入侵检测技术 入侵检测技术在企业网安全运行中发挥着至关重要的作用,其作用主要表现在以下几方面:第一,收集计算机操作系统、网络数据及相关应用程序中存在的信息数据;第二,找寻计算机系统中可能存在的侵害行为;第三,自动发出病毒侵害报警信号;第四,切断入侵途径;第五,拦截入侵。入侵检测技术在企业网中的应用具有较强的安全性特征,该技术的主要任务是负责监视企业网络运行状况,对网络的正常运行不会产生任何影响。入侵检测技术使用的网络系统以基于主机系统和基于网络的入侵系统为主。基于主机系统的入侵检测技术主要针对企业网的主机系统、历史审计数据和用户的系统日志等,该检测技术具有极高的准确性,但是,实际检测过程中很容易引发各种问题,如数据失真和检测漏洞等;基于网络入侵检测技术以其自身存在的特点为依据,以网络收集的相关数据信息为手段,在第一时间将入侵分析模块里做出的测定结果发送给网络管理人,该技术具有较强的抗攻击能力、能在短时间内做出有效的检测,但是,由于该技术能对网络数据包的变化状况进行监控,在实际过程中会给加密技术带来一定程度影响。入侵检测技术在企业网的应用过程中通常表现为误用检测和异常检测两种形式。误用检测通常以已经确定的入侵模式为主,在实际检测过程中,该检测方法具有响应速度快和误警率低等特点,但是,该检测技术需要较长的检测时间为支撑,实际耗费的工作量比较大。异常检测的主要对象是计算机资源中用户和系统非正常行为和正常行为情况,该检测法误警率较高,在实际检测过程中必须对整个计算机系统进行全盘扫描,因此,必须有大量的检测时间作支撑。 3结束语 在社会主义市场经济快速发展的大环境下,我国网络信息化建设速度越来越快,各行业要想在激烈的市场竞争中站稳脚跟就必须结合实际发展状况综合使用现代化的计算机技术。目前,众多企业已经建立了与自身发展特点保持一致的企业网络体系,通过多台计算机的综合使用,建立了一个统一的网络完成现代化自动办公、数据传输和电子邮件发送的实际需求。在计算机技术快速发展的过程中,计算机网络安全问题日渐突出,如何解决计算机网络运行过程中存在的问题要求企业结合实际发展状况加强计算机网络安全技术在企业网中的应用,为提高企业的实际经济效益和社会效益打下坚实的基础。 作者:李连才 单位:中铁四局城市轨道交通工程分公司 企业网络安全论文:企业网络安全论文 1网络安全技术 1.1 加密技术 加密技术是企业常用保护数据信息的一种便捷技术,主要是利用一些加密程序对企业一些重要的数据进行保护,避免被不法分子盗取利用。常用的加密方法主要有数据加密方法以及基于公钥的加密算法。数据加密方法主要是对重要的数据通过一定的规律进行变换,改变其原有特征,让外部人员无法直接观察其本质含义,这种加密技术具有简便性和有效性,但是存在一定的风险,一旦加密规律被别人知道后就很容易将其破解。基于公钥的加密算法指的是由对应的一对唯一性密钥(即公开密钥和私有密钥)组成的加密方法。这种加密方法具有较强的隐蔽性,外部人员如果想得到数据信息只有得到相关的只有得到唯一的私有密匙,因此具有较强的保密性。 1.2 身份鉴定技术 身份鉴定技术就是根据具体的特征对个人进行识别,根据识别的结果来判断识别对象是否符合具体条件,再由系统判断是否对来人开放权限。这种方式对于冒名顶替者十分有效,比如指纹或者后虹膜,一般情况下只有本人才有权限进行某些专属操作,也难以被模拟,安全性能比较可靠。这样的技术一般应用在企业高度机密信息的保密过程中,具有较强的实用性。 2企业网络安全体系解决方案 2.1 控制网络访问 对网络访问的控制是保障企业网络安全的重要手段,通过设置各种权限避免企业信息外流,保证企业在激烈的市场竞争中具有一定的竞争力。企业的网络设置按照面向对象的方式进行设置,针对个体对象按照网络协议进行访问权限设置,将网络进行细分,根据不同的功能对企业内部的工作人员进行权限管理。企业办公人员需要使用到的功能给予开通,其他与其工作不相关的内容即取消其访问权限。另外对于一些重要信息设置写保护或读保护,从根本上保障企业机密信息的安全。另外对网络的访问控制可以分时段进行,例如某文件只可以在相应日期的一段时间内打开。企业网络设计过程中应该考虑到网络安全问题,因此在实际设计过程中应该对各种网络设备、网络系统等进行安全管理,例如对各种设备的接口以及设备间的信息传送方式进行科学管理,在保证其基本功能的基础上消除其他功能,利用当前安全性较高的网络系统,消除网络安全的脆弱性。企业经营过程中由于业务需求常需要通过远端连线设备连接企业内部网络,远程连接过程中脆弱的网络系统极容易成为别人攻击的对象,因此在企业网络系统中应该加入安全性能较高的远程访问设备,提高远程网络访问的安全性。同时对网络系统重新设置,对登入身份信息进行加密处理,保证企业内部人员在操作过程中信息不被外人窃取,在数据传输过程中通过相应的网络技术对传输的数据审核,避免信息通过其他渠道外泄,提高信息传输的安全性。 2.2 网络的安全传输 电子商务时代的供应链建立在网络技术的基础上,供应链的各种信息都在企业内部网络以及与供应商之间的网络上进行传递,信息在传递过程中容易被不法分子盗取,给企业造成重大经济损失。为了避免信息被窃取,企业可以建设完善的网络系统,通过防火墙技术将身份无法识别的隔离在企业网络之外,保证企业信息在安全的网络环境下进行传输。另外可以通过相应的加密技术对传输的信息进行加密处理,技术一些黑客破解企业的防火墙,窃取到的信息也是难以理解的加密数据,加密过后的信息常常以乱码的形式存在。从理论上而言,加密的信息仍旧有被破解的可能性,但现行的数据加密方式都是利用复杂的密匙处理过的,即使是最先进的密码破解技术也要花费相当长的时间,等到数据被破解后该信息已经失去其时效性,成为一条无用的信息,对企业而言没有任何影响。 2.3 网络攻击检测 一些黑客通常会利用一些恶意程序攻击企业网络,并从中找到漏洞进入企业内部网络,对企业信息进行窃取或更改。为避免恶意网络攻击,企业可以引进入侵检测系统,并将其与控制网络访问结合起来,对企业信息实行双重保护。根据企业的网络结构,将入侵检测系统渗入到企业网络内部的各个环节,尤其是重要部门的机密信息需要重点监控。利用防火墙技术实现企业网络的第一道保护屏障,再配以检测技术以及相关加密技术,防火记录用户的身份信息,遇到无法识别的身份信息即将数据传输给管理员。后续的入侵检测技术将彻底阻挡黑客的攻击,并对黑客身份信息进行分析。即使黑客通过这些屏障得到的也是经过加密的数据,难以从中得到有效信息。通过这些网络安全技术的配合,全方位消除来自网络黑客的攻击,保障企业网络安全。 3结束语 随着电子商务时代的到来,网络技术将会在未来一段时间内在企业的运转中发挥难以取代的作用,企业网络安全也将长期伴随企业经营管理,因此必须对企业网络实行动态管理,保证网络安全的先进性,为企业的发展建立安全的网络环境。 作者:关勇单位:大庆市邮政局 企业网络安全论文:企业网络安全管理研究论文 1企业网络安全概述 保护企业网络系统的软件、硬件及数据不遭受破坏、更改、泄露,信息系统连续可靠地运行是企业网络安全的基本要求。企业网络安全分为物理安全和逻辑安全,逻辑安全是对信息的保密性、完整性和可用性的保护。物理安全是对计算机系统、通信系统、存储系统和人员采取安全措施以确保信息不会丢失、泄漏等。目前企业网络中缺乏专门的安全管理人员,网络信息化管理制度也不健全,导致了部分人为因素引发的企业网络安全事故。因此企业网络安全必须从技术和管理两个方面进行。 2企业网络安全所面临的威胁 企业网络安全所面临的威胁除了技术方面的因素外,还有一部分是管理不善引起的。企业网络安全面临的威胁主要来自以下两个方面。 2.1缺乏专门的管理人员和相关的管理制度 俗话说“三分技术,七分管理”,管理是企业信息化中重要的组成部分。企业信息化过程中缺乏专门的管理人员和完善的管理制度,都可能引起企业网络安全的风险,给企业网络造成安全事故。由于大部分企业没有专门的网络安全管理人员,相关的网络管理制度也不完善,实际运行过程中没有严格要求按照企业的网络安全管理制度执行。以至于部分企业选用了最先进的网络安全设备,但是其管理员账号一直使用默认的账号,密码使用简单的容易被猜中的密码,甚至就是默认的密码。由于没有按照企业信息化安全管理制度中密码管理的相关条款进行操作,给系统留下巨大的安全隐患,导致安全事故发生。 2.2技术因素导致的主要安全威胁 企业网络应用是架构在现有的网络信息技术基础之上,对技术的依赖程度非常高,因此不可避免的会有网络信息技术的缺陷引发相关的安全问题,主要表现在以下几个方面。 2.2.1计算机病毒 计算机病毒是一组具有特殊的破坏功能的程序代码或指令。它可以潜伏在计算机的程序或存储介质中,当条件满足时就会被激活。企业网络中的计算机一旦感染病毒,会迅速通过网络在企业内部传播,可能导致整个企业网络瘫痪或者数据严重丢失。 2.2.2软件系统漏洞 软件的安全漏洞会被一些别有用心的用户利用,使软件执行一些被精心设计的恶意代码。一旦软件中的安全漏洞被利用,就可能引起机密数据泄露或系统控制权被获取,从而引发安全事故。 3企业网络安全的防护措施 3.1配备良好的管理制度和专门的管理人员 企业信息化管理部门要建立完整的企业信息安全防护制度,结合企业自身的信息系统建设和应用的进程,统筹规划,分步实施。做好安全风险的评估、建立信息安全防护体系、根据信息安全策略制定管理制度、提高安全管理水平。企业内部的用户行为约束必须通过严格的管理制度进行规范。同时建立安全事件应急响应机制。配备专门的网络安全管理员,负责企业网络的系统安全事务。及时根据企业网络的动向,建立以预防为主,事后补救为辅的安全策略。细化安全管理员工作细则,如日常操作系统维护、漏洞检测及修补、应用系统的安全补丁、病毒防治等工作,并建立工作日志。并对系统记录文件进行存档管理。良好的日志和存档管理,可以为预测攻击,定位攻击,以及遭受攻击后追查攻击者提供有力的支持。 3.2防病毒技术 就目前企业网络安全的情况来看,网络安全管理员主要是做好网络防病毒的工作,主流的技术有分布式杀毒技术、数字免疫系统技术、主动内核技术等几种。企业需要根据自身的实际情况,灵活选用,确保杀毒机制的有效运行。 3.3系统漏洞修补 现代软件规模越来越大,功能越来越多,其中隐藏的系统漏洞也可能越来越多。不仅仅是应用软件本身的漏洞,还有可能来自操作系统,数据库系统等底层的系统软件的漏洞引发的系列问题。因此解决系统漏洞的根本途径是不断地更新的系统的补丁。既可以购买专业的第三方补丁修补系统,也可以使用软件厂商自己提供的系统补丁升级工具。确保操作系统,数据系统等底层的系统软件是最新的,管理员还要及时关注应用系统厂商提供的升级补丁的信息,确保发现漏洞的第一时间更新补丁,将系统漏洞的危害降到最低。 4结束语 企业网络安全是一个兼具复杂性与综合性的系统工程。企业应该不断提升企业网络安全意识,采取有效的防范措施,才能确保计算机网络系统的高效运行。只要在管理层面正视网络的脆弱性,不断的健全企业内部网络相关管理制度,提高管理水平,正确运用先进的网络安全防范的技术,才能从根本上保证企业网络的安全运行。 作者:陈雅娣 王佩 童忠梅 朱小平 单位:湖南农业大学 企业网络安全论文:大中型石油企业网络安全论文 1国内大中型企业互联网应用现状分析 在计算机网络迅猛发展和广泛普及的时代,企业的各种经营活动都立足于计算机网络平台,因此网络安全一旦受到威胁,企业将面临直接的经济损失,更有可能给社会和整个国家带来巨大的安全隐患。现阶段,我国的大中型企业随着业务的不断壮大,网络规模也不断扩充。有些企业各地都有分公司,在不同的区域都建有局域网,这样一个分布全国各地的庞大的网络体系就成为企业运行的技术保障。这种企业的网络安全更需要强有力的保障,否则一旦出现问题便有可能带来灾难性的后果。 1.1Internet的安全性 互联网是把双刃剑,在给企业带来极大便利的同时,也不可避免地给企业的运营带来了极大风险。因为黑客与病毒无孔不入,稍有疏漏,就可能使整个网络遭受攻击,并带来不可逆转的损害。因此,建立科学的网络体系,保障系统网络安全迫在眉睫。 1.2大中型企业内网的安全性 ERP、OA和CAD等生产和办公系统已经在企业中得到普遍性应用,随之而来的就是企业对这些系统的高依赖性。这样带来的另一个问题是内网面临的风险。内网运行稳定、可靠、可控才能保障日常生产和办公的进行,一定程度上,将内网信息网络比作企业的生命线也不为过。这个内网同时由大量终端设备,大中小型服务器,各种网络设备构成,这个其中每一个部分都要确保正常工作,否则一点小问题都有可能引发网络的停滞甚至瘫痪。但目前大中型企业的内网安全依然存在很多安全隐患,主要表现为以下几种情形:对外服务器缺少安全防护遭到黑客攻击;员工上网过程缺乏有效监管,一方面会造成网络安全隐患,另一方面也影响工作效率;此外还有一些内部的服务器被非法访问,造成企业信息的外泄。 2大中型石油企业信息网络安全威胁及安全体系构建 2.1大中型石油企业面临的信息网络安全威胁 进入21世纪以来,大中型石油企业对数字化信息网络建设可谓不遗余力,软硬件的建设开发中,信息网络的安全性却未得到足够的重视。由于对网络安全防护重视程度不够,我国的大中型石油企业长期饱受网络安全的困扰。有相关调查显示,我国企业中,约有41%经常受到恶意软件和间谍的入侵,63%的企业经常遭受病毒或蠕虫攻击。而就大中型石油企业而言,不仅面临着外部病毒的攻击,同时内部人员的信息泄露也考验着企业的网络安全。由于员工信息安全意识淡薄,上网过程又缺乏有效监管,在员工无意识的情况下,就可能引起发一系列问题。比如,企业机密信息的泄露,各种垃圾邮件的充斥,各种网络病毒的侵袭,黑客的攻击等等,这些问题随着信息化的发展进程和企业经济发展利益竞争白热化,成为大中型石油企业最为棘手的问题。 2.2大中型石油企业网络安全体系的全方位构建 随着网络攻击的多元化,攻击方式也是五花八门。传统的只针对网络层面以下的安全对策已经不足以应对如今复杂的网络安全情况,企业必须要建立起多层次多元化的安全体系才能有效提升企业网络信息安全指数。大中型石油企业信息网络安全的五个重要组成:物理安全、链路安全、网络安全、系统安全、信息安全。 1)物理安全。物理安全是整个网络系统安全的前提,物理安全旨在为企业提供一个安全可靠的物理运行环境,这个更多指对企业相应硬件设施的安全防护,比如,企业服务器、数据介质、数据库等、 2)链路安全。链路安全指的是信息输送通道。数据传输过程中能够确保内容安全、可靠、可控、能有效抵御攻击。常见的几种数据链路层安全攻击有MAC地址扩散、ARP攻击与欺骗、DHCP服务器欺骗与DHCP地址耗尽、IP地址欺骗。 3)网络安全。这主要针对于系统信息方面。这个是涵盖范围相对广泛的一个方面。比如,用户口令鉴别,计算机病毒防治,用户存取权限控制,数据存取权限,数据加密等都属于网络安全范畴。 4)系统安全。系统的正常运行是企业日常生产和运行的根本保障。但是,系统出现崩溃、损坏的风险依然存在,这就需要能够有一套有效的风险预防机制和办法。能够确保系统崩溃时对相关信息实现最大化备份,同时能够具备保密功能,防止系统崩溃后的信息外漏。 5)信息安全。这就要分信息的传播安全和信息的内容安全。很大程度上是对不良信息的有效过滤和拦截。侧重于对非法、有害信息可能造成的不良后果的有效遏止。信息内容角度更侧重于对信息保密性、真实和完整的保护,防止网络黑客对信息的截留、篡改和删除等手段来达到损害企业利益的行为,本质上是对企业利益和隐私的保护。 2.3大中型石油企业安全设计的基本原则 信息保密性、真实性、完整性、未授权拷贝、寄生系统的安全性等五个方面的内容构成了信息安全的整体统一。信息安全的原则也就指明了大中型石油企业“数字化”网络建设安全设计的基本原则。 1)保密性:对授权用户的保护和对非授权用户的防止,信息利用的用户、实体的专属性。 2)完整性:信息的输入和传输要确保完整,防止非法的篡改或者破坏,保证数据的稳定和一致。 3)可用性:针对授权用户而言要确保其合理使用的特性。 4)可控性:信息能够在处理、传递、存储、输入、输出等环节中有可控能力。 3大中型石油企业网络信息安全风险漏洞的成因及一些防范措施 网络信息流量几何式增长,大中型石油企业信息资源对系统的应用也日渐成熟,生产经营数据也日益增多。与此同时,国内大中型石油企业信息系统安全问题日益突出。因而,如何保障大中型石油企业信息数据安全,全面建立安全保障体系,这就显得愈发重要。应从内因和外因上进行分析和预防。内因上,处于方向性决策的管理层对网络信息安全的防护意识不强,不够重视。这类人群往往关注的是信息化进程给企业带来的收益,对于安全隐患和潜在的威胁却往往忽视。此外,在信息化发展进程中,大中型石油企业在数据化硬件建设中容易竞争对比,但是对于数据的管理安全性建设要求不高。其次,网络信息安全建设不是一蹴而就的,相反是一个长期过程,需要不断进行系统补丁的更新。其一,信息系统连接于因特网,开放的网络环境带来的是企业信息安全的脆弱。其二,大中型石油企业信息化建设往往求新不求稳。云计算,物联网,只要是当下发展流行技术都会上马,而不充分考虑技术的实际应用于企业的现实贴合。多系统的复杂应用带来的是更多、更高的系统漏洞风险。再次,大中型石油企业在信息安全技术团队建设上海相对滞后,缺乏强有力的信息安全维护团队带来的是企业信息安全的高风险。这往往是因为大中型石油企业往往将预算优先分配于能够直接带来经济效益的生产方面,对于见不到短期回报的信息安全防护支出是能少则少。然而,一旦企业信息泄露带来的可能是灾难性的后果,因而,有水平有业务能力的专业信息安全维护队伍建设至关重要。外因上,一些不可抗力造成的硬件设备损坏,外部对企业信息的攻击,相关法律法规还不够健全等等因素都是影响企业信息安全的外因。因而,加强大中型石油企业的安全防范可从四个方面着手。在机制层面,第一,管理层要对信息安全有强意识,第二,信息安全意识要渗透到整个企业。进而建立企业信息安全管理、运行、检测体系。另外,在面对一些风险来临之时,能够有有效的应急机制加以应对。在技术面,技术指标相对可量化,过硬的技术实力是保证大中型石油企业信息安全的关键,所以说,提高对信息安全水平的投资力度,建设高水平,高素质的技术队伍显得尤为重要。在系统安全性建设层面,大中型石油企业在信息系统安全性建设之初就要结合企业实际充分考虑信息系统需要的安全保护等级以及架构建设,对后期风险能够有科学的分析与控制建议。在企业人员素养层面,大中型石油企业能够在技术层面实现对企业信息安全的保障,就需要企业能够有具备专业技术业务水准的网络信息技术安全人员队伍。从设计到操作到运维都离不开专业的技术人员。这些网络管理技术人员还要能够在后期不断得到组织和学习,不断得到新的知识补充,能够让这些技术人员时刻与最前沿的IT科技接轨。 4结束语 信息爆炸时代,大中型石油企业信息在发展进程和互联网快速发展的影响下,网络化、数字化已经成为企业信息化的发展大势。随之而来的是针对企业信息网络的各种攻击和破坏也成为常态化,为此企业付出了巨大的人力物力。信息化的深入发展伴随的网络安全问题不仅是大中型石油企业面临的问题也是全人类面临的挑战。大中型石油企业应两条腿走路,一方面强化网络信息化建设,另一方面强化网络安全防护能力提升。同时注重安全预防机制,建立科学的信息安全监察监测机制,及时在第一时间实现对信息泄露等隐患的防护,防微杜渐,避免造成重特大信息系统安全事故的避免。大中型石油企业要全方位提升和完善信息网络的安全和应急处理能力。在对信息网络安全隐患的发现、防范和控制,在信息资源管理事故的语境和恢复中有能力处置。整合日常信息资源管理、信息技术手段、应急处理等,确保企业数据的安全和系统的可靠安全稳定运行。 作者:杨锋单位:大庆油田信息技术公司运行维护中心 企业网络安全论文:企业网络安全研究论文 摘要随着信息化技术的飞速发展,许多有远见的企业都认识到依托先进的IT技术构建企业自身的业务和运营平台将极大地提升企业的优秀竞争力,使企业在残酷的竞争环境中脱颖而出。经营管理对计算机应用系统的依赖性增强,计算机应用系统对网络的依赖性增强。计算机网络规模不断扩大,网络结构日益复杂。计算机网络和计算机应用系统的正常运行对网络安全提出了更高的要求。信息安全防范应做整体的考虑,全面覆盖信息系统的各层次,针对网络、系统、应用、数据做全面的防范。信息安全防范体系模型显示安全防范是一个动态的过程,事前、事中和事后的技术手段应当完备,安全管理应贯穿安全防范活动的始终。 关键词信息安全;PKI;CA;VPN 1引言 随着计算机网络的出现和互联网的飞速发展,企业基于网络的计算机应用也在迅速增加,基于网络信息系统给企业的经营管理带来了更大的经济效益,但随之而来的安全问题也在困扰着用户,在2003年后,木马、蠕虫的传播使企业的信息安全状况进一步恶化。这都对企业信息安全提出了更高的要求。 随着信息化技术的飞速发展,许多有远见的企业都认识到依托先进的IT技术构建企业自身的业务和运营平台将极大地提升企业的优秀竞争力,使企业在残酷的竞争环境中脱颖而出。面对这瞬息万变的市场,企业就面临着如何提高自身优秀竞争力的问题,而其内部的管理问题、效率问题、考核问题、信息传递问题、信息安全问题等,又时刻在制约着自己,企业采用PKI技术来解决这些问题已经成为当前众多企业提高自身竞争力的重要手段。 在下面的描述中,以某公司为例进行说明。 2信息系统现状2.1信息化整体状况 1)计算机网络 某公司现有计算机500余台,通过内部网相互连接,根据公司统一规划,通过防火墙与外网互联。在内部网络中,各计算机在同一网段,通过交换机连接。 图1 2)应用系统 经过多年的积累,某公司的计算机应用已基本覆盖了经营管理的各个环节,包括各种应用系统和办公自动化系统。随着计算机网络的进一步完善,计算机应用也由数据分散的应用模式转变为数据日益集中的模式。 2.2信息安全现状 为保障计算机网络的安全,某公司实施了计算机网络安全项目,基于当时对信息安全的认识和安全产品的状况,信息安全的主要内容是网络安全,部署了防火墙、防病毒服务器等网络安全产品,极大地提升了公司计算机网络的安全性,这些产品在此后防范网络攻击事件、冲击波等网络病毒攻击以及网络和桌面日常保障等方面发挥了很大的作用。 3风险与需求分析3.1风险分析 通过对我们信息系统现状的分析,可得出如下结论: (1)经营管理对计算机应用系统的依赖性增强,计算机应用系统对网络的依赖性增强。计算机网络规模不断扩大,网络结构日益复杂。计算机网络和计算机应用系统的正常运行对网络安全提出了更高的要求。 (2)计算机应用系统涉及越来越多的企业关键数据,这些数据大多集中在公司总部数据中心,因此有必要加强各计算机应用系统的用户管理和身份的认证,加强对数据的备份,并运用技术手段,提高数据的机密性、完整性和可用性。 通过对现有的信息安全体系的分析,也可以看出:随着计算机技术的发展、安全威胁种类的增加,某公司的信息安全无论在总体构成、信息安全产品的功能和性能上都存在一定的缺陷,具体表现在: (1)系统性不强,安全防护仅限于网络安全,系统、应用和数据的安全存在较大的风险。 目前实施的安全方案是基于当时的认识进行的,主要工作集中于网络安全,对于系统和应用的安全防范缺乏技术和管理手段。如缺乏有效的身份认证,对服务器、网络设备和应用系统的访问都停留在用户名/密码的简单认证阶段,很容易被冒充;又如数据备份缺乏整体方案和制度规范,容易造成重要数据的丢失和泄露。 当时的网络安全的基本是一种外部网络安全的概念,是基于这样一种信任模型的,即网络内部的用户都是可信的。在这种信任模型下,假设所有可能的对信息安全造成威胁的攻击者都来自于组织外部,并且是通过网络从外部使用各种攻击手段进入内部网络信息系统的。 针对外部网络安全,人们提出了内部网络安全的概念,它基于这样一种信任模型:所有的用户都是不可信的。在这种信任模型中,假设所有用户都可能对信息安全造成威胁,并且可以各种更加方便的手段对信息安全造成威胁,比如内部人员可以直接对重要的服务器进行操控从而破坏信息,或者从内部网络访问服务器,下载重要的信息并盗取出去。内部网络安全的这种信任模型更符合现实的状况。 美国联邦调查局(FBI)和计算机安全机构(CSI)等权威机构的研究也证明了这一点:超过80%的信息安全隐患是来自组织内部,这些隐患直接导致了信息被内部人员所窃取和破坏。 信息系统的安全防范是一个动态过程,某公司缺乏相关的规章制度、技术规范,也没有选用有关的安全服务。不能充分发挥安全产品的效能。 (2)原有的网络安全产品在功能和性能上都不能适应新的形势,存在一定的网络安全隐患,产品亟待升级。 已购买的网络安全产品中,有不少在功能和性能上都不能满足进一步提高信息安全的要求。如为进一步提高全网的安全性,拟对系统的互联网出口进行严格限制,原有的防火墙将成为企业内网和公网之间的瓶颈。同时病毒的防范、新的攻击手段也对防火墙提出了更多的功能上的要求,现有的防火墙不具备这些功能。 网络信息系统的安全建设建立在风险评估的基础上,这是信息化建设的内在要求,系统主管部门和运营、应用单位都必须做好本系统的信息安全风险评估工作。只有在建设的初期,在规划的过程中,就运用风险评估、风险管理的手段,用户才可以避免重复建设和投资的浪费。 3.2需求分析 如前所述,某公司信息系统存在较大的风险,信息安全的需求主要体现在如下几点: (1)某公司信息系统不仅需要安全可靠的计算机网络,也需要做好系统、应用、数据各方面的安全防护。为此,要加强安全防护的整体布局,扩大安全防护的覆盖面,增加新的安全防护手段。 (2)网络规模的扩大和复杂性的增加,以及新的攻击手段的不断出现,使某公司计算机网络安全面临更大的挑战,原有的产品进行升级或重新部署。 (3)信息安全工作日益增强的重要性和复杂性对安全管理提出了更高的要求,为此要加快规章制度和技术规范的建设,使安全防范的各项工作都能够有序、规范地进行。 (4)信息安全防范是一个动态循环的过程,如何利用专业公司的安全服务,做好事前、事中和事后的各项防范工作,应对不断出现的各种安全威胁,也是某公司面临的重要课题。 4设计原则 安全体系建设应按照“统一规划、统筹安排、统一标准、分步实施”的原则进行,避免重复投入、重复建设,充分考虑整体和局部的利益。 4.1标准化原则 本方案参照信息安全方面的国家法规与标准和公司内部已经执行或正在起草标准及规定,使安全技术体系的建设达到标准化、规范化的要求,为拓展、升级和集中统一打好基础。 4.2系统化原则 信息安全是一个复杂的系统工程,从信息系统的各层次、安全防范的各阶段全面地进行考虑,既注重技术的实现,又要加大管理的力度,以形成系统化的解决方案。 4.3规避风险原则 安全技术体系的建设涉及网络、系统、应用等方方面面,任何改造、添加甚至移动,都可能影响现有网络的畅通或在用系统的连续、稳定运行,这是安全技术体系建设必须面对的最大风险。本规划特别考虑规避运行风险问题,在规划与应用系统衔接的基础安全措施时,优先保证透明化,从提供通用安全基础服务的要求出发,设计并实现安全系统与应用系统的平滑连接。 4.4保护投资原则 由于信息安全理论与技术发展的历史原因和自身的资金能力,某公司分期、分批建设了一些整体的或区域的安全技术系统,配置了相应的设施。因此,本方案依据保护信息安全投资效益的基本原则,在合理规划、建设新的安全子系统或投入新的安全设施的同时,对现有安全系统采取了完善、整合的办法,以使其纳入总体安全技术体系,发挥更好的效能,而不是排斥或抛弃。 4.5多重保护原则 任何安全措施都不是绝对安全的,都可能被攻破。但是建立一个多重保护系统,各层保护相互补充,当一层保护被攻破时,其它层保护仍可保护信息的安全。 4.6分步实施原则 由于某公司应用扩展范围广阔,随着网络规模的扩大及应用的增加,系统脆弱性也会不断增加。一劳永逸地解决安全问题是不现实的。针对安全体系的特性,寻求安全、风险、开销的平衡,采取“统一规划、分步实施”的原则。即可满足某公司安全的基本需求,亦可节省费用开支。 5设计思路及安全产品的选择和部署 信息安全防范应做整体的考虑,全面覆盖信息系统的各层次,针对网络、系统、应用、数据做全面的防范。信息安全防范体系模型显示安全防范是一个动态的过程,事前、事中和事后的技术手段应当完备,安全管理应贯穿安全防范活动的始终,如图2所示。 图2网络与信息安全防范体系模型 信息安全又是相对的,需要在风险、安全和投入之间做出平衡,通过对某公司信息化和信息安全现状的分析,对现有的信息安全产品和解决方案的调查,通过与计算机专业公司接触,初步确定了本次安全项目的内容。通过本次安全项目的实施,基本建成较完整的信息安全防范体系。 5.1网络安全基础设施 证书认证系统无论是企业内部的信息网络还是外部的网络平台,都必须建立在一个安全可信的网络之上。目前,解决这些安全问题的最佳方案当数应用PKI/CA数字认证服务。PKI(PublicKeyInfrastructure,公钥基础设施)是利用公开密钥理论和技术建立起来的提供在线身份认证的安全体系,它从技术上解决了网上身份认证、信息完整性和抗抵赖等安全问题,为网络应用提供可靠的安全保障,向用户提供完整的PKI/CA数字认证服务。通过建设证书认证中心系统,建立一个完善的网络安全认证平台,能够通过这个安全平台实现以下目标: 身份认证(Authentication):确认通信双方的身份,要求通信双方的身份不能被假冒或伪装,在此体系中通过数字证书来确认对方的身份。 数据的机密性(Confidentiality):对敏感信息进行加密,确保信息不被泄露,在此体系中利用数字证书加密来完成。 数据的完整性(Integrity):确保通信信息不被破坏(截断或篡改),通过哈希函数和数字签名来完成。 不可抵赖性(Non-Repudiation):防止通信对方否认自己的行为,确保通信方对自己的行为承认和负责,通过数字签名来完成,数字签名可作为法律证据。 5.2边界防护和网络的隔离 VPN(VirtualPrivateNetwork)虚拟专用网,是将物理分布在不同地点的网络通过公用骨干网(如Internet)连接而成的逻辑上的虚拟专用网。和传统的物理方式相比,具有降低成本及维护费用、易于扩展、数据传输的高安全性。 通过安装部署VPN系统,可以为企业构建虚拟专用网络提供了一整套安全的解决方案。它利用开放性网络作为信息传输的媒体,通过加密、认证、封装以及密钥交换技术在公网上开辟一条隧道,使得合法的用户可以安全的访问企业的私有数据,用以代替专线方式,实现移动用户、远程LAN的安全连接。 集成的防火墙功能模块采用了状态检测的包过滤技术,可以对多种网络对象进行有效地访问监控,为网络提供高效、稳定地安全保护。 集中的安全策略管理可以对整个VPN网络的安全策略进行集中管理和配置。 5.3安全电子邮件 电子邮件是Internet上出现最早的应用之一。随着网络的快速发展,电子邮件的使用日益广泛,成为人们交流的重要工具,大量的敏感信息随之在网络上传播。然而由于网络的开放性和邮件协议自身的缺点,电子邮件存在着很大的安全隐患。 目前广泛应用的电子邮件客户端软件如OUTLOOK支持的S/MIME(SecureMultipurposeInternetMailExtensions),它是从PEM(PrivacyEnhancedMail)和MIME(Internet邮件的附件标准)发展而来的。首先,它的认证机制依赖于层次结构的证书认证机构,所有下一级的组织和个人的证书由上一级的组织负责认证,而最上一级的组织(根证书)之间相互认证,整个信任关系基本是树状的。其次,S/MIME将信件内容加密签名后作为特殊的附件传送。保证了信件内容的安全性。 5.4桌面安全防护 对企业信息安全的威胁不仅来自企业网络外部,大量的安全威胁来自企业内部。很早之前安全界就有数据显示,近80%的网络安全事件,是来自于企业内部。同时,由于是内部人员所为,这样的安全犯罪往往目的明确,如针对企业机密和专利信息的窃取、财务欺骗等,因此,对于企业的威胁更为严重。对于桌面微机的管理和监控是减少和消除内部威胁的有效手段。 桌面安全系统把电子签章、文件加密应用和安全登录以及相应的智能卡管理工具集成到一起,形成一个整体,是针对客户端安全的整体解决方案。 1)电子签章系统 利用非对称密钥体系保证了文档的完整性和不可抵赖性。采用组件技术,可以无缝嵌入OFFICE系统,用户可以在编辑文档后对文档进行签章,或是打开文档时验证文档的完整性和查看文档的作者。 2)安全登录系统 安全登录系统提供了对系统和网络登录的身份认证。使用后,只有具有指定智能密码钥匙的人才可以登录计算机和网络。用户如果需要离开计算机,只需拔出智能密码钥匙,即可锁定计算机。 3)文件加密系统 文件加密应用系统保证了数据的安全存储。由于密钥保存在智能密码钥匙中,加密算法采用国际标准安全算法或国家密码管理机构指定安全算法,从而保证了存储数据的安全性。 5.5身份认证 身份认证是指计算机及网络系统确认操作者身份的过程。基于PKI的身份认证方式是近几年发展起来的一种方便、安全的身份认证技术。它采用软硬件相结合、一次一密的强双因子认证模式,很好地解决了安全性与易用性之间的矛盾。USBKey是一种USB接口的硬件设备,它内置单片机或智能卡芯片,可以存储用户的密钥或数字证书,利用USBKey内置的密码算法实现对用户身份的认证。 基于PKI的USBKey的解决方案不仅可以提供身份认证的功能,还可构建用户集中管理与认证系统、应用安全组件、客户端安全组件和证书管理系统通过一定的层次关系和逻辑联系构成的综合性安全技术体系,从而实现上述身份认证、授权与访问控制、安全审计、数据的机密性、完整性、抗抵赖性的总体要求。 6方案的组织与实施方式 网络与信息安全防范体系流程主要由三大部分组成:攻击前的防范、攻击过程中的防范和攻击后的应对。安全管理贯穿全流程如图3所示。网络与信息安全防范体系模型流程不仅描述了安全防范的动态过程,也为本方案的实施提供了借鉴。 图3 因此在本方案的组织和实施中,除了工程的实施外,还应重视以下各项工作: (1)在初步进行风险分析基础上,方案实施方应进行进一步的风险评估,明确需求所在,务求有的放矢,确保技术方案的针对性和投资的回报。 (2)把应急响应和事故恢复作为技术方案的一部分,必要时可借助专业公司的安全服务,提高应对重大安全事件的能力。 (3)该方案投资大,覆盖范围广,根据实际情况,可采取分地区、分阶段实施的方式。 (4)在方案实施的同时,加强规章制度、技术规范的建设,使信息安全的日常工作进一步制度化、规范化。 7结论 本文以某公司为例,分析了网络安全现状,指出目前存在的风险,随后提出了一整套完整的解决方案,涵盖了各个方面,从技术手段的改进,到规章制度的完善;从单机系统的安全加固,到整体网络的安全管理。本方案从技术手段上、从可操作性上都易于实现、易于部署,为众多行业提供了网络安全解决手段。 也希望通过本方案的实施,可以建立较完善的信息安全体系,有效地防范信息系统来自各方面的攻击和威胁,把风险降到最低水平。 企业网络安全论文:企业网络安全论文 摘要随着信息化技术的飞速发展,许多有远见的企业都认识到依托先进的IT技术构建企业自身的业务和运营平台将极大地提升企业的优秀竞争力,使企业在残酷的竞争环境中脱颖而出。经营管理对计算机应用系统的依赖性增强,计算机应用系统对网络的依赖性增强。计算机网络规模不断扩大,网络结构日益复杂。计算机网络和计算机应用系统的正常运行对网络安全提出了更高的要求。信息安全防范应做整体的考虑,全面覆盖信息系统的各层次,针对网络、系统、应用、数据做全面的防范。信息安全防范体系模型显示安全防范是一个动态的过程,事前、事中和事后的技术手段应当完备,安全管理应贯穿安全防范活动的始终。 关键词信息安全;PKI;CA;VPN 1引言 随着计算机网络的出现和互联网的飞速发展,企业基于网络的计算机应用也在迅速增加,基于网络信息系统给企业的经营管理带来了更大的经济效益,但随之而来的安全问题也在困扰着用户,在2003年后,木马、蠕虫的传播使企业的信息安全状况进一步恶化。这都对企业信息安全提出了更高的要求。 随着信息化技术的飞速发展,许多有远见的企业都认识到依托先进的IT技术构建企业自身的业务和运营平台将极大地提升企业的优秀竞争力,使企业在残酷的竞争环境中脱颖而出。面对这瞬息万变的市场,企业就面临着如何提高自身优秀竞争力的问题,而其内部的管理问题、效率问题、考核问题、信息传递问题、信息安全问题等,又时刻在制约着自己,企业采用PKI技术来解决这些问题已经成为当前众多企业提高自身竞争力的重要手段。 在下面的描述中,以某公司为例进行说明。 2信息系统现状2.1信息化整体状况 1)计算机网络 某公司现有计算机500余台,通过内部网相互连接,根据公司统一规划,通过防火墙与外网互联。在内部网络中,各计算机在同一网段,通过交换机连接。 图1 2)应用系统 经过多年的积累,某公司的计算机应用已基本覆盖了经营管理的各个环节,包括各种应用系统和办公自动化系统。随着计算机网络的进一步完善,计算机应用也由数据分散的应用模式转变为数据日益集中的模式。 2.2信息安全现状 为保障计算机网络的安全,某公司实施了计算机网络安全项目,基于当时对信息安全的认识和安全产品的状况,信息安全的主要内容是网络安全,部署了防火墙、防病毒服务器等网络安全产品,极大地提升了公司计算机网络的安全性,这些产品在此后防范网络攻击事件、冲击波等网络病毒攻击以及网络和桌面日常保障等方面发挥了很大的作用。 3风险与需求分析3.1风险分析 通过对我们信息系统现状的分析,可得出如下结论: (1)经营管理对计算机应用系统的依赖性增强,计算机应用系统对网络的依赖性增强。计算机网络规模不断扩大,网络结构日益复杂。计算机网络和计算机应用系统的正常运行对网络安全提出了更高的要求。 (2)计算机应用系统涉及越来越多的企业关键数据,这些数据大多集中在公司总部数据中心,因此有必要加强各计算机应用系统的用户管理和身份的认证,加强对数据的备份,并运用技术手段,提高数据的机密性、完整性和可用性。 通过对现有的信息安全体系的分析,也可以看出:随着计算机技术的发展、安全威胁种类的增加,某公司的信息安全无论在总体构成、信息安全产品的功能和性能上都存在一定的缺陷,具体表现在: (1)系统性不强,安全防护仅限于网络安全,系统、应用和数据的安全存在较大的风险。 目前实施的安全方案是基于当时的认识进行的,主要工作集中于网络安全,对于系统和应用的安全防范缺乏技术和管理手段。如缺乏有效的身份认证,对服务器、网络设备和应用系统的访问都停留在用户名/密码的简单认证阶段,很容易被冒充;又如数据备份缺乏整体方案和制度规范,容易造成重要数据的丢失和泄露。 当时的网络安全的基本是一种外部网络安全的概念,是基于这样一种信任模型的,即网络内部的用户都是可信的。在这种信任模型下,假设所有可能的对信息安全造成威胁的攻击者都来自于组织外部,并且是通过网络从外部使用各种攻击手段进入内部网络信息系统的。 针对外部网络安全,人们提出了内部网络安全的概念,它基于这样一种信任模型:所有的用户都是不可信的。在这种信任模型中,假设所有用户都可能对信息安全造成威胁,并且可以各种更加方便的手段对信息安全造成威胁,比如内部人员可以直接对重要的服务器进行操控从而破坏信息,或者从内部网络访问服务器,下载重要的信息并盗取出去。内部网络安全的这种信任模型更符合现实的状况。 美国联邦调查局(FBI)和计算机安全机构(CSI)等权威机构的研究也证明了这一点:超过80%的信息安全隐患是来自组织内部,这些隐患直接导致了信息被内部人员所窃取和破坏。 信息系统的安全防范是一个动态过程,某公司缺乏相关的规章制度、技术规范,也没有选用有关的安全服务。不能充分发挥安全产品的效能。 (2)原有的网络安全产品在功能和性能上都不能适应新的形势,存在一定的网络安全隐患,产品亟待升级。 已购买的网络安全产品中,有不少在功能和性能上都不能满足进一步提高信息安全的要求。如为进一步提高全网的安全性,拟对系统的互联网出口进行严格限制,原有的防火墙将成为企业内网和公网之间的瓶颈。同时病毒的防范、新的攻击手段也对防火墙提出了更多的功能上的要求,现有的防火墙不具备这些功能。 网络信息系统的安全建设建立在风险评估的基础上,这是信息化建设的内在要求,系统主管部门和运营、应用单位都必须做好本系统的信息安全风险评估工作。只有在建设的初期,在规划的过程中,就运用风险评估、风险管理的手段,用户才可以避免重复建设和投资的浪费。 3.2需求分析 如前所述,某公司信息系统存在较大的风险,信息安全的需求主要体现在如下几点: (1)某公司信息系统不仅需要安全可靠的计算机网络,也需要做好系统、应用、数据各方面的安全防护。为此,要加强安全防护的整体布局,扩大安全防护的覆盖面,增加新的安全防护手段。 (2)网络规模的扩大和复杂性的增加,以及新的攻击手段的不断出现,使某公司计算机网络安全面临更大的挑战,原有的产品进行升级或重新部署。 (3)信息安全工作日益增强的重要性和复杂性对安全管理提出了更高的要求,为此要加快规章制度和技术规范的建设,使安全防范的各项工作都能够有序、规范地进行。 (4)信息安全防范是一个动态循环的过程,如何利用专业公司的安全服务,做好事前、事中和事后的各项防范工作,应对不断出现的各种安全威胁,也是某公司面临的重要课题。 4设计原则 安全体系建设应按照“统一规划、统筹安排、统一标准、分步实施”的原则进行,避免重复投入、重复建设,充分考虑整体和局部的利益。 4.1标准化原则 本方案参照信息安全方面的国家法规与标准和公司内部已经执行或正在起草标准及规定,使安全技术体系的建设达到标准化、规范化的要求,为拓展、升级和集中统一打好基础。 4.2系统化原则 信息安全是一个复杂的系统工程,从信息系统的各层次、安全防范的各阶段全面地进行考虑,既注重技术的实现,又要加大管理的力度,以形成系统化的解决方案。 4.3规避风险原则 安全技术体系的建设涉及网络、系统、应用等方方面面,任何改造、添加甚至移动,都可能影响现有网络的畅通或在用系统的连续、稳定运行,这是安全技术体系建设必须面对的最大风险。本规划特别考虑规避运行风险问题,在规划与应用系统衔接的基础安全措施时,优先保证透明化,从提供通用安全基础服务的要求出发,设计并实现安全系统与应用系统的平滑连接。 4.4保护投资原则 由于信息安全理论与技术发展的历史原因和自身的资金能力,某公司分期、分批建设了一些整体的或区域的安全技术系统,配置了相应的设施。因此,本方案依据保护信息安全投资效益的基本原则,在合理规划、建设新的安全子系统或投入新的安全设施的同时,对现有安全系统采取了完善、整合的办法,以使其纳入总体安全技术体系,发挥更好的效能,而不是排斥或抛弃。 4.5多重保护原则 任何安全措施都不是绝对安全的,都可能被攻破。但是建立一个多重保护系统,各层保护相互补充,当一层保护被攻破时,其它层保护仍可保护信息的安全。 4.6分步实施原则 由于某公司应用扩展范围广阔,随着网络规模的扩大及应用的增加,系统脆弱性也会不断增加。一劳永逸地解决安全问题是不现实的。针对安全体系的特性,寻求安全、风险、开销的平衡,采取“统一规划、分步实施”的原则。即可满足某公司安全的基本需求,亦可节省费用开支。 5设计思路及安全产品的选择和部署 信息安全防范应做整体的考虑,全面覆盖信息系统的各层次,针对网络、系统、应用、数据做全面的防范。信息安全防范体系模型显示安全防范是一个动态的过程,事前、事中和事后的技术手段应当完备,安全管理应贯穿安全防范活动的始终,如图2所示。 图2网络与信息安全防范体系模型 信息安全又是相对的,需要在风险、安全和投入之间做出平衡,通过对某公司信息化和信息安全现状的分析,对现有的信息安全产品和解决方案的调查,通过与计算机专业公司接触,初步确定了本次安全项目的内容。通过本次安全项目的实施,基本建成较完整的信息安全防范体系。 5.1网络安全基础设施 证书认证系统无论是企业内部的信息网络还是外部的网络平台,都必须建立在一个安全可信的网络之上。目前,解决这些安全问题的最佳方案当数应用PKI/CA数字认证服务。PKI(PublicKeyInfrastructure,公钥基础设施)是利用公开密钥理论和技术建立起来的提供在线身份认证的安全体系,它从技术上解决了网上身份认证、信息完整性和抗抵赖等安全问题,为网络应用提供可靠的安全保障,向用户提供完整的PKI/CA数字认证服务。通过建设证书认证中心系统,建立一个完善的网络安全认证平台,能够通过这个安全平台实现以下目标: 身份认证(Authentication):确认通信双方的身份,要求通信双方的身份不能被假冒或伪装,在此体系中通过数字证书来确认对方的身份。 数据的机密性(Confidentiality):对敏感信息进行加密,确保信息不被泄露,在此体系中利用数字证书加密来完成。 数据的完整性(Integrity):确保通信信息不被破坏(截断或篡改),通过哈希函数和数字签名来完成。 不可抵赖性(Non-Repudiation):防止通信对方否认自己的行为,确保通信方对自己的行为承认和负责,通过数字签名来完成,数字签名可作为法律证据。 5.2边界防护和网络的隔离 VPN(VirtualPrivateNetwork)虚拟专用网,是将物理分布在不同地点的网络通过公用骨干网(如Internet)连接而成的逻辑上的虚拟专用网。和传统的物理方式相比,具有降低成本及维护费用、易于扩展、数据传输的高安全性。 通过安装部署VPN系统,可以为企业构建虚拟专用网络提供了一整套安全的解决方案。它利用开放性网络作为信息传输的媒体,通过加密、认证、封装以及密钥交换技术在公网上开辟一条隧道,使得合法的用户可以安全的访问企业的私有数据,用以代替专线方式,实现移动用户、远程LAN的安全连接。 集成的防火墙功能模块采用了状态检测的包过滤技术,可以对多种网络对象进行有效地访问监控,为网络提供高效、稳定地安全保护。 集中的安全策略管理可以对整个VPN网络的安全策略进行集中管理和配置。 5.3安全电子邮件 电子邮件是Internet上出现最早的应用之一。随着网络的快速发展,电子邮件的使用日益广泛,成为人们交流的重要工具,大量的敏感信息随之在网络上传播。然而由于网络的开放性和邮件协议自身的缺点,电子邮件存在着很大的安全隐患。 目前广泛应用的电子邮件客户端软件如OUTLOOK支持的S/MIME(SecureMultipurposeInternetMailExtensions),它是从PEM(PrivacyEnhancedMail)和MIME(Internet邮件的附件标准)发展而来的。首先,它的认证机制依赖于层次结构的证书认证机构,所有下一级的组织和个人的证书由上一级的组织负责认证,而最上一级的组织(根证书)之间相互认证,整个信任关系基本是树状的。其次,S/MIME将信件内容加密签名后作为特殊的附件传送。保证了信件内容的安全性。 5.4桌面安全防护 对企业信息安全的威胁不仅来自企业网络外部,大量的安全威胁来自企业内部。很早之前安全界就有数据显示,近80%的网络安全事件,是来自于企业内部。同时,由于是内部人员所为,这样的安全犯罪往往目的明确,如针对企业机密和专利信息的窃取、财务欺骗等,因此,对于企业的威胁更为严重。对于桌面微机的管理和监控是减少和消除内部威胁的有效手段。 桌面安全系统把电子签章、文件加密应用和安全登录以及相应的智能卡管理工具集成到一起,形成一个整体,是针对客户端安全的整体解决方案。 1)电子签章系统 利用非对称密钥体系保证了文档的完整性和不可抵赖性。采用组件技术,可以无缝嵌入OFFICE系统,用户可以在编辑文档后对文档进行签章,或是打开文档时验证文档的完整性和查看文档的作者。 2)安全登录系统 安全登录系统提供了对系统和网络登录的身份认证。使用后,只有具有指定智能密码钥匙的人才可以登录计算机和网络。用户如果需要离开计算机,只需拔出智能密码钥匙,即可锁定计算机。 3)文件加密系统 文件加密应用系统保证了数据的安全存储。由于密钥保存在智能密码钥匙中,加密算法采用国际标准安全算法或国家密码管理机构指定安全算法,从而保证了存储数据的安全性。 5.5身份认证 身份认证是指计算机及网络系统确认操作者身份的过程。基于PKI的身份认证方式是近几年发展起来的一种方便、安全的身份认证技术。它采用软硬件相结合、一次一密的强双因子认证模式,很好地解决了安全性与易用性之间的矛盾。USBKey是一种USB接口的硬件设备,它内置单片机或智能卡芯片,可以存储用户的密钥或数字证书,利用USBKey内置的密码算法实现对用户身份的认证。 基于PKI的USBKey的解决方案不仅可以提供身份认证的功能,还可构建用户集中管理与认证系统、应用安全组件、客户端安全组件和证书管理系统通过一定的层次关系和逻辑联系构成的综合性安全技术体系,从而实现上述身份认证、授权与访问控制、安全审计、数据的机密性、完整性、抗抵赖性的总体要求。 6方案的组织与实施方式 网络与信息安全防范体系流程主要由三大部分组成:攻击前的防范、攻击过程中的防范和攻击后的应对。安全管理贯穿全流程如图3所示。网络与信息安全防范体系模型流程不仅描述了安全防范的动态过程,也为本方案的实施提供了借鉴。 图3 因此在本方案的组织和实施中,除了工程的实施外,还应重视以下各项工作: (1)在初步进行风险分析基础上,方案实施方应进行进一步的风险评估,明确需求所在,务求有的放矢,确保技术方案的针对性和投资的回报。 (2)把应急响应和事故恢复作为技术方案的一部分,必要时可借助专业公司的安全服务,提高应对重大安全事件的能力。 (3)该方案投资大,覆盖范围广,根据实际情况,可采取分地区、分阶段实施的方式。 (4)在方案实施的同时,加强规章制度、技术规范的建设,使信息安全的日常工作进一步制度化、规范化。 7结论 本文以某公司为例,分析了网络安全现状,指出目前存在的风险,随后提出了一整套完整的解决方案,涵盖了各个方面,从技术手段的改进,到规章制度的完善;从单机系统的安全加固,到整体网络的安全管理。本方案从技术手段上、从可操作性上都易于实现、易于部署,为众多行业提供了网络安全解决手段。 也希望通过本方案的实施,可以建立较完善的信息安全体系,有效地防范信息系统来自各方面的攻击和威胁,把风险降到最低水平。 企业网络安全论文:企业网络安全探究论文 摘要随着信息化技术的飞速发展,许多有远见的企业都认识到依托先进的IT技术构建企业自身的业务和运营平台将极大地提升企业的优秀竞争力,使企业在残酷的竞争环境中脱颖而出。经营管理对计算机应用系统的依赖性增强,计算机应用系统对网络的依赖性增强。计算机网络规模不断扩大,网络结构日益复杂。计算机网络和计算机应用系统的正常运行对网络安全提出了更高的要求。信息安全防范应做整体的考虑,全面覆盖信息系统的各层次,针对网络、系统、应用、数据做全面的防范。信息安全防范体系模型显示安全防范是一个动态的过程,事前、事中和事后的技术手段应当完备,安全管理应贯穿安全防范活动的始终。 关键词信息安全;PKI;CA;VPN 1引言 随着计算机网络的出现和互联网的飞速发展,企业基于网络的计算机应用也在迅速增加,基于网络信息系统给企业的经营管理带来了更大的经济效益,但随之而来的安全问题也在困扰着用户,在2003年后,木马、蠕虫的传播使企业的信息安全状况进一步恶化。这都对企业信息安全提出了更高的要求。 随着信息化技术的飞速发展,许多有远见的企业都认识到依托先进的IT技术构建企业自身的业务和运营平台将极大地提升企业的优秀竞争力,使企业在残酷的竞争环境中脱颖而出。面对这瞬息万变的市场,企业就面临着如何提高自身优秀竞争力的问题,而其内部的管理问题、效率问题、考核问题、信息传递问题、信息安全问题等,又时刻在制约着自己,企业采用PKI技术来解决这些问题已经成为当前众多企业提高自身竞争力的重要手段。 在下面的描述中,以某公司为例进行说明。 2信息系统现状 2.1信息化整体状况 1)计算机网络 某公司现有计算机500余台,通过内部网相互连接,根据公司统一规划,通过防火墙与外网互联。在内部网络中,各计算机在同一网段,通过交换机连接。 图1 2)应用系统 经过多年的积累,某公司的计算机应用已基本覆盖了经营管理的各个环节,包括各种应用系统和办公自动化系统。随着计算机网络的进一步完善,计算机应用也由数据分散的应用模式转变为数据日益集中的模式。 2.2信息安全现状 为保障计算机网络的安全,某公司实施了计算机网络安全项目,基于当时对信息安全的认识和安全产品的状况,信息安全的主要内容是网络安全,部署了防火墙、防病毒服务器等网络安全产品,极大地提升了公司计算机网络的安全性,这些产品在此后防范网络攻击事件、冲击波等网络病毒攻击以及网络和桌面日常保障等方面发挥了很大的作用。 3风险与需求分析 3.1风险分析 通过对我们信息系统现状的分析,可得出如下结论: (1)经营管理对计算机应用系统的依赖性增强,计算机应用系统对网络的依赖性增强。计算机网络规模不断扩大,网络结构日益复杂。计算机网络和计算机应用系统的正常运行对网络安全提出了更高的要求。 (2)计算机应用系统涉及越来越多的企业关键数据,这些数据大多集中在公司总部数据中心,因此有必要加强各计算机应用系统的用户管理和身份的认证,加强对数据的备份,并运用技术手段,提高数据的机密性、完整性和可用性。 通过对现有的信息安全体系的分析,也可以看出:随着计算机技术的发展、安全威胁种类的增加,某公司的信息安全无论在总体构成、信息安全产品的功能和性能上都存在一定的缺陷,具体表现在: (1)系统性不强,安全防护仅限于网络安全,系统、应用和数据的安全存在较大的风险。 目前实施的安全方案是基于当时的认识进行的,主要工作集中于网络安全,对于系统和应用的安全防范缺乏技术和管理手段。如缺乏有效的身份认证,对服务器、网络设备和应用系统的访问都停留在用户名/密码的简单认证阶段,很容易被冒充;又如数据备份缺乏整体方案和制度规范,容易造成重要数据的丢失和泄露。 当时的网络安全的基本是一种外部网络安全的概念,是基于这样一种信任模型的,即网络内部的用户都是可信的。在这种信任模型下,假设所有可能的对信息安全造成威胁的攻击者都来自于组织外部,并且是通过网络从外部使用各种攻击手段进入内部网络信息系统的。 针对外部网络安全,人们提出了内部网络安全的概念,它基于这样一种信任模型:所有的用户都是不可信的。在这种信任模型中,假设所有用户都可能对信息安全造成威胁,并且可以各种更加方便的手段对信息安全造成威胁,比如内部人员可以直接对重要的服务器进行操控从而破坏信息,或者从内部网络访问服务器,下载重要的信息并盗取出去。内部网络安全的这种信任模型更符合现实的状况。 美国联邦调查局(FBI)和计算机安全机构(CSI)等权威机构的研究也证明了这一点:超过80%的信息安全隐患是来自组织内部,这些隐患直接导致了信息被内部人员所窃取和破坏。 信息系统的安全防范是一个动态过程,某公司缺乏相关的规章制度、技术规范,也没有选用有关的安全服务。不能充分发挥安全产品的效能。 (2)原有的网络安全产品在功能和性能上都不能适应新的形势,存在一定的网络安全隐患,产品亟待升级。 已购买的网络安全产品中,有不少在功能和性能上都不能满足进一步提高信息安全的要求。如为进一步提高全网的安全性,拟对系统的互联网出口进行严格限制,原有的防火墙将成为企业内网和公网之间的瓶颈。同时病毒的防范、新的攻击手段也对防火墙提出了更多的功能上的要求,现有的防火墙不具备这些功能。 网络信息系统的安全建设建立在风险评估的基础上,这是信息化建设的内在要求,系统主管部门和运营、应用单位都必须做好本系统的信息安全风险评估工作。只有在建设的初期,在规划的过程中,就运用风险评估、风险管理的手段,用户才可以避免重复建设和投资的浪费。 3.2需求分析 如前所述,某公司信息系统存在较大的风险,信息安全的需求主要体现在如下几点: (1)某公司信息系统不仅需要安全可靠的计算机网络,也需要做好系统、应用、数据各方面的安全防护。为此,要加强安全防护的整体布局,扩大安全防护的覆盖面,增加新的安全防护手段。 (2)网络规模的扩大和复杂性的增加,以及新的攻击手段的不断出现,使某公司计算机网络安全面临更大的挑战,原有的产品进行升级或重新部署。 (3)信息安全工作日益增强的重要性和复杂性对安全管理提出了更高的要求,为此要加快规章制度和技术规范的建设,使安全防范的各项工作都能够有序、规范地进行。 (4)信息安全防范是一个动态循环的过程,如何利用专业公司的安全服务,做好事前、事中和事后的各项防范工作,应对不断出现的各种安全威胁,也是某公司面临的重要课题。 4设计原则 安全体系建设应按照“统一规划、统筹安排、统一标准、分步实施”的原则进行,避免重复投入、重复建设,充分考虑整体和局部的利益。 4.1标准化原则 本方案参照信息安全方面的国家法规与标准和公司内部已经执行或正在起草标准及规定,使安全技术体系的建设达到标准化、规范化的要求,为拓展、升级和集中统一打好基础。 4.2系统化原则 信息安全是一个复杂的系统工程,从信息系统的各层次、安全防范的各阶段全面地进行考虑,既注重技术的实现,又要加大管理的力度,以形成系统化的解决方案。 4.3规避风险原则 安全技术体系的建设涉及网络、系统、应用等方方面面,任何改造、添加甚至移动,都可能影响现有网络的畅通或在用系统的连续、稳定运行,这是安全技术体系建设必须面对的最大风险。本规划特别考虑规避运行风险问题,在规划与应用系统衔接的基础安全措施时,优先保证透明化,从提供通用安全基础服务的要求出发,设计并实现安全系统与应用系统的平滑连接。 4.4保护投资原则 由于信息安全理论与技术发展的历史原因和自身的资金能力,某公司分期、分批建设了一些整体的或区域的安全技术系统,配置了相应的设施。因此,本方案依据保护信息安全投资效益的基本原则,在合理规划、建设新的安全子系统或投入新的安全设施的同时,对现有安全系统采取了完善、整合的办法,以使其纳入总体安全技术体系,发挥更好的效能,而不是排斥或抛弃。 4.5多重保护原则 任何安全措施都不是绝对安全的,都可能被攻破。但是建立一个多重保护系统,各层保护相互补充,当一层保护被攻破时,其它层保护仍可保护信息的安全。 4.6分步实施原则 由于某公司应用扩展范围广阔,随着网络规模的扩大及应用的增加,系统脆弱性也会不断增加。一劳永逸地解决安全问题是不现实的。针对安全体系的特性,寻求安全、风险、开销的平衡,采取“统一规划、分步实施”的原则。即可满足某公司安全的基本需求,亦可节省费用开支。 5设计思路及安全产品的选择和部署 信息安全防范应做整体的考虑,全面覆盖信息系统的各层次,针对网络、系统、应用、数据做全面的防范。信息安全防范体系模型显示安全防范是一个动态的过程,事前、事中和事后的技术手段应当完备,安全管理应贯穿安全防范活动的始终,如图2所示。 图2网络与信息安全防范体系模型 信息安全又是相对的,需要在风险、安全和投入之间做出平衡,通过对某公司信息化和信息安全现状的分析,对现有的信息安全产品和解决方案的调查,通过与计算机专业公司接触,初步确定了本次安全项目的内容。通过本次安全项目的实施,基本建成较完整的信息安全防范体系。 5.1网络安全基础设施 证书认证系统无论是企业内部的信息网络还是外部的网络平台,都必须建立在一个安全可信的网络之上。目前,解决这些安全问题的最佳方案当数应用PKI/CA数字认证服务。PKI(PublicKeyInfrastructure,公钥基础设施)是利用公开密钥理论和技术建立起来的提供在线身份认证的安全体系,它从技术上解决了网上身份认证、信息完整性和抗抵赖等安全问题,为网络应用提供可靠的安全保障,向用户提供完整的PKI/CA数字认证服务。通过建设证书认证中心系统,建立一个完善的网络安全认证平台,能够通过这个安全平台实现以下目标: 身份认证(Authentication):确认通信双方的身份,要求通信双方的身份不能被假冒或伪装,在此体系中通过数字证书来确认对方的身份。 数据的机密性(Confidentiality):对敏感信息进行加密,确保信息不被泄露,在此体系中利用数字证书加密来完成。 数据的完整性(Integrity):确保通信信息不被破坏(截断或篡改),通过哈希函数和数字签名来完成。 不可抵赖性(Non-Repudiation):防止通信对方否认自己的行为,确保通信方对自己的行为承认和负责,通过数字签名来完成,数字签名可作为法律证据。 5.2边界防护和网络的隔离 VPN(VirtualPrivateNetwork)虚拟专用网,是将物理分布在不同地点的网络通过公用骨干网(如Internet)连接而成的逻辑上的虚拟专用网。和传统的物理方式相比,具有降低成本及维护费用、易于扩展、数据传输的高安全性。 通过安装部署VPN系统,可以为企业构建虚拟专用网络提供了一整套安全的解决方案。它利用开放性网络作为信息传输的媒体,通过加密、认证、封装以及密钥交换技术在公网上开辟一条隧道,使得合法的用户可以安全的访问企业的私有数据,用以代替专线方式,实现移动用户、远程LAN的安全连接。 集成的防火墙功能模块采用了状态检测的包过滤技术,可以对多种网络对象进行有效地访问监控,为网络提供高效、稳定地安全保护。 集中的安全策略管理可以对整个VPN网络的安全策略进行集中管理和配置。 5.3安全电子邮件 电子邮件是Internet上出现最早的应用之一。随着网络的快速发展,电子邮件的使用日益广泛,成为人们交流的重要工具,大量的敏感信息随之在网络上传播。然而由于网络的开放性和邮件协议自身的缺点,电子邮件存在着很大的安全隐患。 目前广泛应用的电子邮件客户端软件如OUTLOOK支持的S/MIME(SecureMultipurposeInternetMailExtensions),它是从PEM(PrivacyEnhancedMail)和MIME(Internet邮件的附件标准)发展而来的。首先,它的认证机制依赖于层次结构的证书认证机构,所有下一级的组织和个人的证书由上一级的组织负责认证,而最上一级的组织(根证书)之间相互认证,整个信任关系基本是树状的。其次,S/MIME将信件内容加密签名后作为特殊的附件传送。保证了信件内容的安全性。 5.4桌面安全防护 对企业信息安全的威胁不仅来自企业网络外部,大量的安全威胁来自企业内部。很早之前安全界就有数据显示,近80%的网络安全事件,是来自于企业内部。同时,由于是内部人员所为,这样的安全犯罪往往目的明确,如针对企业机密和专利信息的窃取、财务欺骗等,因此,对于企业的威胁更为严重。对于桌面微机的管理和监控是减少和消除内部威胁的有效手段。 桌面安全系统把电子签章、文件加密应用和安全登录以及相应的智能卡管理工具集成到一起,形成一个整体,是针对客户端安全的整体解决方案。 1)电子签章系统 利用非对称密钥体系保证了文档的完整性和不可抵赖性。采用组件技术,可以无缝嵌入OFFICE系统,用户可以在编辑文档后对文档进行签章,或是打开文档时验证文档的完整性和查看文档的作者。 2)安全登录系统 安全登录系统提供了对系统和网络登录的身份认证。使用后,只有具有指定智能密码钥匙的人才可以登录计算机和网络。用户如果需要离开计算机,只需拔出智能密码钥匙,即可锁定计算机。 3)文件加密系统 文件加密应用系统保证了数据的安全存储。由于密钥保存在智能密码钥匙中,加密算法采用国际标准安全算法或国家密码管理机构指定安全算法,从而保证了存储数据的安全性。 5.5身份认证 身份认证是指计算机及网络系统确认操作者身份的过程。基于PKI的身份认证方式是近几年发展起来的一种方便、安全的身份认证技术。它采用软硬件相结合、一次一密的强双因子认证模式,很好地解决了安全性与易用性之间的矛盾。USBKey是一种USB接口的硬件设备,它内置单片机或智能卡芯片,可以存储用户的密钥或数字证书,利用USBKey内置的密码算法实现对用户身份的认证。 基于PKI的USBKey的解决方案不仅可以提供身份认证的功能,还可构建用户集中管理与认证系统、应用安全组件、客户端安全组件和证书管理系统通过一定的层次关系和逻辑联系构成的综合性安全技术体系,从而实现上述身份认证、授权与访问控制、安全审计、数据的机密性、完整性、抗抵赖性的总体要求。 6方案的组织与实施方式 网络与信息安全防范体系流程主要由三大部分组成:攻击前的防范、攻击过程中的防范和攻击后的应对。安全管理贯穿全流程如图3所示。网络与信息安全防范体系模型流程不仅描述了安全防范的动态过程,也为本方案的实施提供了借鉴。 图3 因此在本方案的组织和实施中,除了工程的实施外,还应重视以下各项工作: (1)在初步进行风险分析基础上,方案实施方应进行进一步的风险评估,明确需求所在,务求有的放矢,确保技术方案的针对性和投资的回报。 (2)把应急响应和事故恢复作为技术方案的一部分,必要时可借助专业公司的安全服务,提高应对重大安全事件的能力。 (3)该方案投资大,覆盖范围广,根据实际情况,可采取分地区、分阶段实施的方式。 (4)在方案实施的同时,加强规章制度、技术规范的建设,使信息安全的日常工作进一步制度化、规范化。 7结论 本文以某公司为例,分析了网络安全现状,指出目前存在的风险,随后提出了一整套完整的解决方案,涵盖了各个方面,从技术手段的改进,到规章制度的完善;从单机系统的安全加固,到整体网络的安全管理。本方案从技术手段上、从可操作性上都易于实现、易于部署,为众多行业提供了网络安全解决手段。 也希望通过本方案的实施,可以建立较完善的信息安全体系,有效地防范信息系统来自各方面的攻击和威胁,把风险降到最低水平。 企业网络安全论文:企业网络安全解决论文 摘要随着信息化技术的飞速发展,许多有远见的企业都认识到依托先进的IT技术构建企业自身的业务和运营平台将极大地提升企业的优秀竞争力,使企业在残酷的竞争环境中脱颖而出。经营管理对计算机应用系统的依赖性增强,计算机应用系统对网络的依赖性增强。计算机网络规模不断扩大,网络结构日益复杂。计算机网络和计算机应用系统的正常运行对网络安全提出了更高的要求。信息安全防范应做整体的考虑,全面覆盖信息系统的各层次,针对网络、系统、应用、数据做全面的防范。信息安全防范体系模型显示安全防范是一个动态的过程,事前、事中和事后的技术手段应当完备,安全管理应贯穿安全防范活动的始终。 关键词信息安全;PKI;CA;VPN 1引言 随着计算机网络的出现和互联网的飞速发展,企业基于网络的计算机应用也在迅速增加,基于网络信息系统给企业的经营管理带来了更大的经济效益,但随之而来的安全问题也在困扰着用户,在2003年后,木马、蠕虫的传播使企业的信息安全状况进一步恶化。这都对企业信息安全提出了更高的要求。 随着信息化技术的飞速发展,许多有远见的企业都认识到依托先进的IT技术构建企业自身的业务和运营平台将极大地提升企业的优秀竞争力,使企业在残酷的竞争环境中脱颖而出。面对这瞬息万变的市场,企业就面临着如何提高自身优秀竞争力的问题,而其内部的管理问题、效率问题、考核问题、信息传递问题、信息安全问题等,又时刻在制约着自己,企业采用PKI技术来解决这些问题已经成为当前众多企业提高自身竞争力的重要手段。 在下面的描述中,以某公司为例进行说明。 2信息系统现状 2.1信息化整体状况 1)计算机网络 某公司现有计算机500余台,通过内部网相互连接,根据公司统一规划,通过防火墙与外网互联。在内部网络中,各计算机在同一网段,通过交换机连接。 图1 2)应用系统 经过多年的积累,某公司的计算机应用已基本覆盖了经营管理的各个环节,包括各种应用系统和办公自动化系统。随着计算机网络的进一步完善,计算机应用也由数据分散的应用模式转变为数据日益集中的模式。 2.2信息安全现状 为保障计算机网络的安全,某公司实施了计算机网络安全项目,基于当时对信息安全的认识和安全产品的状况,信息安全的主要内容是网络安全,部署了防火墙、防病毒服务器等网络安全产品,极大地提升了公司计算机网络的安全性,这些产品在此后防范网络攻击事件、冲击波等网络病毒攻击以及网络和桌面日常保障等方面发挥了很大的作用。 3风险与需求分析 3.1风险分析 通过对我们信息系统现状的分析,可得出如下结论: (1)经营管理对计算机应用系统的依赖性增强,计算机应用系统对网络的依赖性增强。计算机网络规模不断扩大,网络结构日益复杂。计算机网络和计算机应用系统的正常运行对网络安全提出了更高的要求。 (2)计算机应用系统涉及越来越多的企业关键数据,这些数据大多集中在公司总部数据中心,因此有必要加强各计算机应用系统的用户管理和身份的认证,加强对数据的备份,并运用技术手段,提高数据的机密性、完整性和可用性。 通过对现有的信息安全体系的分析,也可以看出:随着计算机技术的发展、安全威胁种类的增加,某公司的信息安全无论在总体构成、信息安全产品的功能和性能上都存在一定的缺陷,具体表现在: (1)系统性不强,安全防护仅限于网络安全,系统、应用和数据的安全存在较大的风险。 目前实施的安全方案是基于当时的认识进行的,主要工作集中于网络安全,对于系统和应用的安全防范缺乏技术和管理手段。如缺乏有效的身份认证,对服务器、网络设备和应用系统的访问都停留在用户名/密码的简单认证阶段,很容易被冒充;又如数据备份缺乏整体方案和制度规范,容易造成重要数据的丢失和泄露。 当时的网络安全的基本是一种外部网络安全的概念,是基于这样一种信任模型的,即网络内部的用户都是可信的。在这种信任模型下,假设所有可能的对信息安全造成威胁的攻击者都来自于组织外部,并且是通过网络从外部使用各种攻击手段进入内部网络信息系统的。 针对外部网络安全,人们提出了内部网络安全的概念,它基于这样一种信任模型:所有的用户都是不可信的。在这种信任模型中,假设所有用户都可能对信息安全造成威胁,并且可以各种更加方便的手段对信息安全造成威胁,比如内部人员可以直接对重要的服务器进行操控从而破坏信息,或者从内部网络访问服务器,下载重要的信息并盗取出去。内部网络安全的这种信任模型更符合现实的状况。 美国联邦调查局(FBI)和计算机安全机构(CSI)等权威机构的研究也证明了这一点:超过80%的信息安全隐患是来自组织内部,这些隐患直接导致了信息被内部人员所窃取和破坏。 信息系统的安全防范是一个动态过程,某公司缺乏相关的规章制度、技术规范,也没有选用有关的安全服务。不能充分发挥安全产品的效能。 (2)原有的网络安全产品在功能和性能上都不能适应新的形势,存在一定的网络安全隐患,产品亟待升级。 已购买的网络安全产品中,有不少在功能和性能上都不能满足进一步提高信息安全的要求。如为进一步提高全网的安全性,拟对系统的互联网出口进行严格限制,原有的防火墙将成为企业内网和公网之间的瓶颈。同时病毒的防范、新的攻击手段也对防火墙提出了更多的功能上的要求,现有的防火墙不具备这些功能。 网络信息系统的安全建设建立在风险评估的基础上,这是信息化建设的内在要求,系统主管部门和运营、应用单位都必须做好本系统的信息安全风险评估工作。只有在建设的初期,在规划的过程中,就运用风险评估、风险管理的手段,用户才可以避免重复建设和投资的浪费。 3.2需求分析 如前所述,某公司信息系统存在较大的风险,信息安全的需求主要体现在如下几点: (1)某公司信息系统不仅需要安全可靠的计算机网络,也需要做好系统、应用、数据各方面的安全防护。为此,要加强安全防护的整体布局,扩大安全防护的覆盖面,增加新的安全防护手段。 (2)网络规模的扩大和复杂性的增加,以及新的攻击手段的不断出现,使某公司计算机网络安全面临更大的挑战,原有的产品进行升级或重新部署。 (3)信息安全工作日益增强的重要性和复杂性对安全管理提出了更高的要求,为此要加快规章制度和技术规范的建设,使安全防范的各项工作都能够有序、规范地进行。 (4)信息安全防范是一个动态循环的过程,如何利用专业公司的安全服务,做好事前、事中和事后的各项防范工作,应对不断出现的各种安全威胁,也是某公司面临的重要课题。 4设计原则 安全体系建设应按照“统一规划、统筹安排、统一标准、分步实施”的原则进行,避免重复投入、重复建设,充分考虑整体和局部的利益。 4.1标准化原则 本方案参照信息安全方面的国家法规与标准和公司内部已经执行或正在起草标准及规定,使安全技术体系的建设达到标准化、规范化的要求,为拓展、升级和集中统一打好基础。 4.2系统化原则 信息安全是一个复杂的系统工程,从信息系统的各层次、安全防范的各阶段全面地进行考虑,既注重技术的实现,又要加大管理的力度,以形成系统化的解决方案。 4.3规避风险原则 安全技术体系的建设涉及网络、系统、应用等方方面面,任何改造、添加甚至移动,都可能影响现有网络的畅通或在用系统的连续、稳定运行,这是安全技术体系建设必须面对的最大风险。本规划特别考虑规避运行风险问题,在规划与应用系统衔接的基础安全措施时,优先保证透明化,从提供通用安全基础服务的要求出发,设计并实现安全系统与应用系统的平滑连接。 4.4保护投资原则 由于信息安全理论与技术发展的历史原因和自身的资金能力,某公司分期、分批建设了一些整体的或区域的安全技术系统,配置了相应的设施。因此,本方案依据保护信息安全投资效益的基本原则,在合理规划、建设新的安全子系统或投入新的安全设施的同时,对现有安全系统采取了完善、整合的办法,以使其纳入总体安全技术体系,发挥更好的效能,而不是排斥或抛弃。 4.5多重保护原则 任何安全措施都不是绝对安全的,都可能被攻破。但是建立一个多重保护系统,各层保护相互补充,当一层保护被攻破时,其它层保护仍可保护信息的安全。 4.6分步实施原则 由于某公司应用扩展范围广阔,随着网络规模的扩大及应用的增加,系统脆弱性也会不断增加。一劳永逸地解决安全问题是不现实的。针对安全体系的特性,寻求安全、风险、开销的平衡,采取“统一规划、分步实施”的原则。即可满足某公司安全的基本需求,亦可节省费用开支。 5设计思路及安全产品的选择和部署 信息安全防范应做整体的考虑,全面覆盖信息系统的各层次,针对网络、系统、应用、数据做全面的防范。信息安全防范体系模型显示安全防范是一个动态的过程,事前、事中和事后的技术手段应当完备,安全管理应贯穿安全防范活动的始终,如图2所示。 图2网络与信息安全防范体系模型 信息安全又是相对的,需要在风险、安全和投入之间做出平衡,通过对某公司信息化和信息安全现状的分析,对现有的信息安全产品和解决方案的调查,通过与计算机专业公司接触,初步确定了本次安全项目的内容。通过本次安全项目的实施,基本建成较完整的信息安全防范体系。 5.1网络安全基础设施 证书认证系统无论是企业内部的信息网络还是外部的网络平台,都必须建立在一个安全可信的网络之上。目前,解决这些安全问题的最佳方案当数应用PKI/CA数字认证服务。PKI(PublicKeyInfrastructure,公钥基础设施)是利用公开密钥理论和技术建立起来的提供在线身份认证的安全体系,它从技术上解决了网上身份认证、信息完整性和抗抵赖等安全问题,为网络应用提供可靠的安全保障,向用户提供完整的PKI/CA数字认证服务。通过建设证书认证中心系统,建立一个完善的网络安全认证平台,能够通过这个安全平台实现以下目标: 身份认证(Authentication):确认通信双方的身份,要求通信双方的身份不能被假冒或伪装,在此体系中通过数字证书来确认对方的身份。 数据的机密性(Confidentiality):对敏感信息进行加密,确保信息不被泄露,在此体系中利用数字证书加密来完成。 数据的完整性(Integrity):确保通信信息不被破坏(截断或篡改),通过哈希函数和数字签名来完成。 不可抵赖性(Non-Repudiation):防止通信对方否认自己的行为,确保通信方对自己的行为承认和负责,通过数字签名来完成,数字签名可作为法律证据。 5.2边界防护和网络的隔离 VPN(VirtualPrivateNetwork)虚拟专用网,是将物理分布在不同地点的网络通过公用骨干网(如Internet)连接而成的逻辑上的虚拟专用网。和传统的物理方式相比,具有降低成本及维护费用、易于扩展、数据传输的高安全性。 通过安装部署VPN系统,可以为企业构建虚拟专用网络提供了一整套安全的解决方案。它利用开放性网络作为信息传输的媒体,通过加密、认证、封装以及密钥交换技术在公网上开辟一条隧道,使得合法的用户可以安全的访问企业的私有数据,用以代替专线方式,实现移动用户、远程LAN的安全连接。 集成的防火墙功能模块采用了状态检测的包过滤技术,可以对多种网络对象进行有效地访问监控,为网络提供高效、稳定地安全保护。 集中的安全策略管理可以对整个VPN网络的安全策略进行集中管理和配置。 5.3安全电子邮件 电子邮件是Internet上出现最早的应用之一。随着网络的快速发展,电子邮件的使用日益广泛,成为人们交流的重要工具,大量的敏感信息随之在网络上传播。然而由于网络的开放性和邮件协议自身的缺点,电子邮件存在着很大的安全隐患。 目前广泛应用的电子邮件客户端软件如OUTLOOK支持的S/MIME(SecureMultipurposeInternetMailExtensions),它是从PEM(PrivacyEnhancedMail)和MIME(Internet邮件的附件标准)发展而来的。首先,它的认证机制依赖于层次结构的证书认证机构,所有下一级的组织和个人的证书由上一级的组织负责认证,而最上一级的组织(根证书)之间相互认证,整个信任关系基本是树状的。其次,S/MIME将信件内容加密签名后作为特殊的附件传送。保证了信件内容的安全性。 5.4桌面安全防护 对企业信息安全的威胁不仅来自企业网络外部,大量的安全威胁来自企业内部。很早之前安全界就有数据显示,近80%的网络安全事件,是来自于企业内部。同时,由于是内部人员所为,这样的安全犯罪往往目的明确,如针对企业机密和专利信息的窃取、财务欺骗等,因此,对于企业的威胁更为严重。对于桌面微机的管理和监控是减少和消除内部威胁的有效手段。 桌面安全系统把电子签章、文件加密应用和安全登录以及相应的智能卡管理工具集成到一起,形成一个整体,是针对客户端安全的整体解决方案。 1)电子签章系统 利用非对称密钥体系保证了文档的完整性和不可抵赖性。采用组件技术,可以无缝嵌入OFFICE系统,用户可以在编辑文档后对文档进行签章,或是打开文档时验证文档的完整性和查看文档的作者。 2)安全登录系统 安全登录系统提供了对系统和网络登录的身份认证。使用后,只有具有指定智能密码钥匙的人才可以登录计算机和网络。用户如果需要离开计算机,只需拔出智能密码钥匙,即可锁定计算机。 3)文件加密系统 文件加密应用系统保证了数据的安全存储。由于密钥保存在智能密码钥匙中,加密算法采用国际标准安全算法或国家密码管理机构指定安全算法,从而保证了存储数据的安全性。 5.5身份认证 身份认证是指计算机及网络系统确认操作者身份的过程。基于PKI的身份认证方式是近几年发展起来的一种方便、安全的身份认证技术。它采用软硬件相结合、一次一密的强双因子认证模式,很好地解决了安全性与易用性之间的矛盾。USBKey是一种USB接口的硬件设备,它内置单片机或智能卡芯片,可以存储用户的密钥或数字证书,利用USBKey内置的密码算法实现对用户身份的认证。 基于PKI的USBKey的解决方案不仅可以提供身份认证的功能,还可构建用户集中管理与认证系统、应用安全组件、客户端安全组件和证书管理系统通过一定的层次关系和逻辑联系构成的综合性安全技术体系,从而实现上述身份认证、授权与访问控制、安全审计、数据的机密性、完整性、抗抵赖性的总体要求。 6方案的组织与实施方式 网络与信息安全防范体系流程主要由三大部分组成:攻击前的防范、攻击过程中的防范和攻击后的应对。安全管理贯穿全流程如图3所示。网络与信息安全防范体系模型流程不仅描述了安全防范的动态过程,也为本方案的实施提供了借鉴。 图3 因此在本方案的组织和实施中,除了工程的实施外,还应重视以下各项工作: (1)在初步进行风险分析基础上,方案实施方应进行进一步的风险评估,明确需求所在,务求有的放矢,确保技术方案的针对性和投资的回报。 (2)把应急响应和事故恢复作为技术方案的一部分,必要时可借助专业公司的安全服务,提高应对重大安全事件的能力。 (3)该方案投资大,覆盖范围广,根据实际情况,可采取分地区、分阶段实施的方式。 (4)在方案实施的同时,加强规章制度、技术规范的建设,使信息安全的日常工作进一步制度化、规范化。 7结论 本文以某公司为例,分析了网络安全现状,指出目前存在的风险,随后提出了一整套完整的解决方案,涵盖了各个方面,从技术手段的改进,到规章制度的完善;从单机系统的安全加固,到整体网络的安全管理。本方案从技术手段上、从可操作性上都易于实现、易于部署,为众多行业提供了网络安全解决手段。 也希望通过本方案的实施,可以建立较完善的信息安全体系,有效地防范信息系统来自各方面的攻击和威胁,把风险降到最低水平。
中学生安全教育研究:浅谈如何利用体育课对初中学生进行安全教育 【摘 要】我们体育教师在进行安全教育时要善于利用体育实践课各教学单项的特点,根据学校的具体条件和情况,有意识的将一些安全教育内容和体育教学内容有机的整合到一起,来帮助学生掌握那些行之有效的应急逃生自救技巧。 【关键词】体育;安全;教育 学校作为典型的人员密集场所,尤其要抓好安全工作,要重视经常对学生进行安全教育和安全行为训练,要帮助学生牢固树立起"安全至上"的防范意识,要想方设法教会学生多种应急逃生自救技巧和应急救人方法。体育教师作为学校的教育者之一,毫无疑问也肩负有对学生进行安全教育的权利和义务,体育课顺理成章也就成为了体育教师进行安全教育最佳选择。 人类生存健康是前提,物质是基础,精神是源泉,而安全,则是堡垒。体育课要树立"健康第一"的指导思想,体育课更要重视安全教育,那么我们体育教师究竟该如何利用体育课来对学生进行安全教育呢?下面就谈谈我们的一些具体做法,以供大家探讨。 1、利用理论课向学生讲述各种安全知识 目前,各个学校都有专职或兼职的安全管理人员和工作人员,但是却没有专职或兼职的安全教育人员,学校也没有开设专门的安全教育课,学生所接受的安全知识主要来源于学校的安全报告会、橱窗宣传、新闻媒体宣传以及家长和老师们的点滴告诫,所以他们所掌握的安全知识很少、且不系统不完善。面对这一现象,我们在征求学校领导意见的基础上,决定由我们体育教师兼职进行安全教育,充分利用体育理论课向学生传授各种安全知识,我们具体的做法是:首先对各种安全知识和安全素材进行搜集、整理和精加工,利用体育理论课进行讲述和演示或是配合学校政教处进行讲座、图片展览等。同时,我们在新生进校后首先进行行为规范教育,包括:上下楼梯靠右走,出操、用餐各班的队形和行走路线等。目前我们每年都进行宣讲的安全教育宣传资料主要有:"运动损伤的预防和急救方法"、"自然灾害发生时的自救和救人方法"、"火灾发生后的自救和救人方法"、"野外遇险求生方法"、"传染病的防治方法"、"食物中毒急救方法"、"交通安全"、"防身抗暴自卫方法"等等,根据我们的教育信息反馈,学生对我们利用体育理论课进行安全教育之举大加赞赏,他们表示通过老师系统的宣讲他们不但学到了许多系统的安全知识,而且还知道了大量的应急逃生自救技巧和救人方法。 2、利用实践课教会学生多种应急逃生自救技巧 体育教师在利用体育理论课向学生传授一些安全知识的同时,也要学会利用体育实践课来教会学生掌握大量的应急逃生自救技巧,因为面对灾难时,能够化险为夷的都是那些既掌握了一定的安全知识,又掌握了必需的逃生自救技巧的人。所以我们体育教师在进行安全教育时要善于利用体育实践课各教学单项的特点,根据学校的具体条件和情况,有意识的将一些安全教育内容和体育教学内容有机的整合到一起,来帮助学生掌握那些行之有效的应急逃生自救技巧。例如:在教学生练习引体向上的同时,我们有意识将爬竿、爬绳、爬墙和爬树等内容一并纳入教学之中,使学生在锻炼上肢力量的同时来提高他们的攀爬能力,使他们能很好的掌握多种攀爬逃生自救技巧;在进行技巧滚翻教学时,向学生宣讲突然摔倒或从高处落地后做滚翻缓冲的自救技巧;在进行武术教学时,我们选择了一些有防暴和抗暴作用防身格斗术来辅助教学,通过教学,不但强健了学生的体魄,提高了他们的身体素质,而且帮助他们学会和掌握了许多防身格斗技巧,增强了他们在单独对敌时与敌搏斗的信心和勇气,切实为他们的正当防卫、见义勇为以及逃生自救提供了有力的技术保障。 3、利用实践课教会学生应急救人方法 他人有难,谁都应该伸出援助之手,应急救人不但是道义之举更是英雄之举,但是应急救人必须讲究方法,如果没有掌握正确的应急救人方法而去盲目救人,往往会导致不必要的损失,例如:不会游泳者奋不顾身跳进深水中去救人,结果可想而知。所以我们在传授安全知识,教会学生逃生自救技巧之余,还刻意通过体育实践课来教会学生掌握那些在灾难中的应急救人方法。例如:面对灾难和事故中的脱臼和骨折现象,我们教育学生要掌握正确的紧急处理方法,具体步骤如下:一、迅速检查伤者情况,如果休克,应先做抗休克抢救(掐人中穴、胸外压放心脏法或人工呼吸),没有休克,要安慰患者不要乱动伤肢以免扩大伤情;二、根据现场条件和情况选择应急处理方法,如果现场已经没有危险,应该选择最佳的处理方案,万一危险仍然存在,则选择先简单处理(止血、固定和包扎),再快速逃离危险区;三、应急处理后要立刻将患者送往医院,将患者送往医院的方式有多种,我们首先支持学生能使用现有的通讯工具联系120或110来运送伤员,在不具备上述条件时,我们要求学生要学会利用现有的东西来做担架运送伤员(门板、椅子、毛毯和强韧的衣类等)。 4、在课上组织和开展多种小型的安全运动会 运动竞赛是体育课的魅力所在,体育教学离不开运动竞赛,运动竞赛在体育课上随处可见,为了更好的进行安全教育,我们把安全教育的内容和运动竞赛有机的结合在一起,在课上组织和开展了多种小型的安全运动会,例如:我们将短跑和灭火结合在一起开展了消防竞赛,学生要想在竞赛中取胜,不但要具备较强的快速奔跑能力,而且还要掌握正确的灭火方法;我们还将负重跑和抢救伤员结合在一起开展快速抢救大行动,学生要想在抢救大行动中有上佳表现,就必须要在成功抢救伤员的基础上提高自己的负重奔跑能力;通过我们的教学,学生们在竞赛中掌握了安全知识和技能,在接受安全教育的同时体会到运动竞赛的乐趣,总之,在课上组织和开展了多种小型的安全运动会,使我们做到了体育教育和安全教育双丰收。 安全就是生命!关注安全就是关爱生命,安全管理固然十分重要,但是安全教育同样也必不可少,安全教育不但能提高人们的安全防范意识、增加他们的安全知识,而且能帮助他们掌握必要的逃生自救技巧、学会各种应急救人方法。珍爱生命,重视安全教育,我们要从自己做起,从身边做起,从现在做起,广大同仁们!积极行动起来吧,主动承担起学校安全教育的义务,合理运用我们的体育课对学生进行系统的安全教育,使我们的学生通过我们的教育都能够一生保平安! 中学生安全教育研究:中学生安全教育面临的挑战与对策研究 摘 要: 中学生的安全健康一直是社会的热门话题,加强中学生安全教育对维护学校和社会稳定具有重要的意义,本文主要对中学生安全教育的情况及其存在的问题进行研究,并提出解决这些问题的一些对策与建议。 关键词: 中学生安全教育 挑战 对策研究 中学生安全教育是为了保护未成年人的生命安全,提高中学生防范与处理事故能力及自我保护意识能力,使他们能应对生活世界中可能遇到的危险处境而开设的一种教育。虽然中学学生安全教育包括学校教育、家庭教育和社会教育,但是问题出现比较多的还是学校对中学生的安全教育。 一、中学生安全教育存在的问题及面临的挑战 虽然很多学校开展了中学生安全教育,但是在教育过程中出现了很多问题,下面对中学学生安全教育存在的一些问题进行探讨。 1.中学生安全教育流于形式 中学生安全教育直接关系到中学生的生命安全,也直接关系到学校教学工作的正常开展。虽然很多学校开展了安全教育活动,但是活动过于形式,中学生对这些活动的开展,大部分只了解活动的主题,而对教育活动的内容全然不知,甚至少部分中学生对活动的主题都不了解。这样的安全教育过于形式化,没有让给中学生真正的了解安全教育,教育的内容无法渗透到学生的学习生活中去。另外,即使学校积极开展中学生安全教育活动,但是很多教师与学生对安全教育不够重视,参与度不高,他们在思想上并没有意识到安全教育的重要性。 2.案例教育的方法比较单调 教育方法相对简单,是中学生对安全教育提不起兴趣的主要原因。中学开展的安全教育方式主要采取说教、通知、宣传栏和黑板报的形式。这些方式并非中学生喜欢的教育方式,然而例如邀请相关部门(交通、消防等)人员到学校开展专题讲座、相关安全教育电视节目播放、安全教育实际演练、老师讲解时结合具体事例等方式更容易吸引学生的兴趣。因此在安全教育过程中必须注重教育的方法。 3.安全教育方面资源不足 (1)学校教师资源的缺乏 校园安全教育的老师存在很大的流动性,是我国安全教育一直发展不起来很重要的原因。中学的安全教育老师主要是思想教育和体育老师,还有就是交通、消防部门的工作人员。但是这些都是兼职的,学校没有安全教育方面的专业老师。中学安全教育师资的缺乏严重影响了校园安全教育的开展。 (2)安全教育教材的不足 开展安全教育活动,教材是必不可少的,我国这方面资料有很多,包括出版的书籍,音像制品。中学是有一些这方面的课外读物,但学校大多没有统一使用安全教育的教材,使得教师对安全教育内容选择的随意性很强,只是一味地重复自己熟悉的内容,但对学生需要掌握的实用性内容涉及较少,这使得中学生得不到系统完善的安全教育,这也对校园安全教育的开展造成了很大的阻碍。 (3)安全教育时间的不足 对于中学生来而言,学习渠道主要是课堂,这也是吸取中学生安全教育知识的主要渠道。但是我国中学对安全教育课堂设置很不乐观,学校对于这方面的教育时间很难保证。很多中学无论是国家课程还是地方课程,都没有设置安全教育。学校大都以主题班会的形式开展,所以中学生安全知识教育时间肯定是不足的。大多数都渗透在学科教育里,但也只是警示,肯定不够,也缺乏安全演练活动,很多时候安全演练成为了出事后的“被演练”。这些方面的缺乏,使得很多中学生很难掌握自救自护的能力,万一出现意外,中学生难以有效应对,后果不堪设想。 二、对策与建议 1.思想上注视中学生的安全教育。 无论是教师还是学生,他们中的大部分人都认为学生的主要精力和时间就是把学习学科知识当成了教育理念,从而忽视了安全教育,忽视了安全教育。让很多学生养成了学习安全教育知识是没有必要的这种错误观念。针对中学安全教育存在的问题及频频发生的学生伤害事故,函需加强教师与学生的安全思想教育,从而摆正安全教育工作在学校发展中的位置,积极开展安全教育的同时,还要加强校园安全文化建设,确保学校真正意义上开展安全教育活动。在思想上进行安全教育,无疑是非常关键的一个环节,然后发挥模范的带头作用,则会更具有激励作用,学校定期开展在安全工作方面的先进个人和集体事迹表彰活动,通过一定的奖励措施,从根本上不断提升广大师生的安全意识,从而推动安全教学工作更好地开展。 2.构建多元化安全教育模式。 为了引起学生对安全教育的兴趣,应该开设多元化安全教育。比如开设讲座,播放相关的教育视频等,让他们有兴趣去了解安全方面知识,与此同时在思想上树立安全的理念。安全教育的方式方法多种多样的,学校的安全教学也应该不断开拓新的思路和渠道,不能仅仅停留在课本安全知识的学习上。可积极组织一些有实践意义的校园安全教育活动,在学校进行一些摄影和新闻作品的品读,摄影作品内容展现的是一些由于安全意识缺乏而导致的损失和危害,如摄影作品可形象地展示由于疏忽导致的火灾场景,因不遵守交通规范导致的车祸场景等,通过图片的形象展示不仅提升了广大师生的安全意识,更能从潜意识里触动他们的神经,从而能够进行自觉主动的安全知识学习。 3.开设安全教育国家课程。 对于中学的校园安全教育,已经引起社会各界的关注。借鉴安全教育做得好的国家的经验,改变我国中小学安全教育有心无力状况的处罚,我国亟需开设安全教育国家课程。我国教育部门也应该根据不同阶段学生的年龄与认知特点,编写一套由易到难的统一的安全教育教材。虽然对我国校园安全立法问题高度关注已有相当长的时间,但是一直没有制定出一部全国性的校园安全法律法规。缺乏校园安全法律法规已经严重了影响了我国中学安全教育的发展,使得很多学校安全教育的开展得不到保障。 4.发挥学校,家庭和社会的综合作用。 学校是学生获取知识的主要阵地,有条件进行正规化、系统化的安全教育,学生家长要言传身教,以身作则,提高学生的安全意识和自救自护能力。安全教育仅靠学校和家庭是不够的,要依靠社会力量,三方齐抓共管,为学生安全营造良好安全氛围,防止意外发生。 三、结语 安全教育的内容非常广泛,安全教育对学校、家庭和社会来说,是一项繁重的任务,更是一份沉重的责任,中学生安全教育任重道远,希望更多的人关注学生安全教育,总之,学生安全教育不容忽视,我们应该做到警钟长鸣。 中学生安全教育研究:中学生安全教育需重视 安全是人之根本,是完成各项任务的基础。自1996年起,中国将每年3月份最后一周的星期一,定为全国中小学生“安全教育日”。设立这一制度是为全面深入地推动中小学生安全教育工作,大力降低各类伤亡事故的发生率,切实做好中小学生的安全保护工作,促进他们健康成长。 中小学生缺乏安全保护意识所引发的伤害,如今呈上升趋势,成为造成中小学生非正常伤亡的主要原因。来自权威部门的资料显示,我国如今每年有50余万人次学生遭受意外伤害,意外伤害已成为威胁学生生命安全的头号杀手。 从教育部门的统计来看,我国中小学生每年非正常死亡人数都在1万人以上,安全事故已经成为14岁以下少年儿童的第一死因。有专家指出,通过安全教育,提高中小学生的自我保护能力,80%的意外伤害将可以避免。 那么,应该如何加强中小学生安全教育呢? 中小学生安全教育的主要内容 据调查,涉及学校青少年生活和学习方面的安全隐患达20多种,包括食物中毒、体育运动损伤、网络交友、交通事故、火灾、溺水等,这些都危害着青少年身心健康。调查结果还表明,家长担心孩子受到伤害的地方依次为:学校(51.44%),公共场所(36.32%),自然环境(10.44%),家里(1.8%),其中学校是家长们最担心孩子受到伤害的地方。 保护学生安全,是学校、家庭和社会的共同责任。为了消除安全隐患,学校要把安全教育真正纳入教育教学内容,引导学生树立安全意识,掌握安全知识,提高自我保护能力。家长要切实履行对孩子的监护责任,把安全教育列为家庭教育的重要内容。 1.进行遵纪守法的教育 近年来,未成年人犯罪率逐年上升,未成年人违法犯罪呈现出越来越低龄化的严峻趋势。而法规校纪是为了规范人们的行为,保护广大人民群众利益,打击坏人而制定的。作为一名在校中学生,通过对法规校纪的学习,应知道哪些事能做,哪些事不能做。学校可通过文本材料学习与视频材料学习相结合,法制课堂与法制知识竞赛活动相结合的方式,聘请法律工作者或公安人员,结合工作实际,通过典型案例进行教学,给学生上专题法制课。通过多种形式的法制教育,使学生深切感受到法就在身边。这不仅对中学生健康、安全成长有益,而且对其走向社会乃至一生都有益。 2.网络安全教育 网络有助于创新青少年思想教育的手段和方法,但对青少年“三观”形成也构成潜在威胁,而且随着年级的升高,特别是从小学进入初、高中阶段,处于“过度用网”和“趋于过度用网”的学生比例呈明显上升趋势。过度用网的学生往往接触媒介的形式单一,很少进行阅读或社会实践活动,家长和教师应该创造条件,让他们的注意力转向书籍杂志和户外活动。值得注意的是,过度用网的学生和正常使用网络的学生一样,认为自己的上网水平很高,并且更趋向于用网络思维方式解决问题,因此,在对他们进行教育时要首先肯定他们在网络技术上的优势,从观念和认识上提高他们的网络素养。 3.消防安全教育 当前中学生消防安全意识淡薄,缺乏必要的消防常识和自救逃生技能,有的学生遇到火灾发生时惊慌失措,不知道如何报警,由于没有掌握简单救火常识,往往小火酿成大灾;也有的学生在大火发生时,因缺乏自防自救的知识和能力,错失了逃生的最佳时间,最终被火魔无情地吞噬。针对上述问题,一是要组织中学生学好、用好消防法规,提高依法治火的观念。二是要大力普及消防安全知识,增强灭火技能和火灾发生时逃生、自救、互救本领。学校可采用消防知识讲座、图片展览、演示各种灭火器材的使用,常见火灾的扑救方法和不同情况下逃生自救方法,让学生熟悉防火、灭火全过程,从而使他们熟练地掌握“三知”(知防火知识、知灭火知识、知防火制度)“四会”(会报警、会使用灭火器材、会扑灭初起火灾、会疏散自救)。 4.进行安全防范和自我保护教育 安全是做好工作、搞好学习的基本条件,没有安全一切都无从谈起。因此,人人都应树立安全第一的思想,并懂得一些安全知识,学会一些安全防范和自我保护的技能。例如:社会交往中要防止上当受骗;遇到险情、看到犯罪行为要及时采取适当方式报警;正确处理同学、宿友之间的纠纷;夜间一人不外出;不吃霉变食物和过期食品;注意保护好自己的财物;遵守交通规范,注意交通安全,不横穿马路,不抢道、不强行趴车、超车;当有困惑时应向老师、同学倾诉,听取别人劝说;当受到伤害时,要防身自卫和寻求法律保护,等等。只有有了安全意识,自觉遵纪守法,处处注意安全防范,并学会自我保护,才能按照正常的秩序工作和学习。 心理安全教育如何开展 北京市曾发生过这样一个悲剧:初中生小颜(化名)放学回家后跳楼,当场死亡。警方初步认定,小颜系自杀身亡。据了解,小颜放学前,曾在学校和一位同学课间玩耍时致一名同学受伤,被老师罚站3个小时。悲剧已经发生,我们不得不面对。但悲剧背后,我们也要意识到,加强青春期阶段学生的心理教育刻不容缓! 学校对学生的教育培养全面引入竞争机制,必然对学生的思维方式和思想观念等方面产生巨大的影响,使之感到心理有压力,表现为各种心理上的不适。诸如焦虑、强迫、恐怕、抑郁、冷漠、固执、消沉、暴躁,等等。中学生的心理正在发育之中,尚未成熟,其心理上的不良反应和适应障碍伴有强烈的情绪色彩和偏激的行为特征。近几年发生在学生中的打架斗殴、偷盗、染上不良习气等行为,相当一部分是由心理问题引起的。因此,学校要特别重视学生的心理安全教育,有针对性地进行人际关系的和谐教育、环境适应教育、健康人格教育、性教育、心理卫生知识教育、挫折教育以及心理疾病预防教育,优化心理素质,促成健康人格的发展和完善,从而避免各类安全问题的发生。 首先,要为学生创设良好的心理发展环境。创造健康教育环境,避免学生经常性地陷入危机状态,维持其心理的平和、积极、顺畅,这对于实现心理健康教育的基本目标是至关重要的。比如,切实开展素质教育,教师和家长应采用恰当的教育方式以及建立和谐的师生关系、亲子关系。 其次,要坚持发展优先、防重于治策略。学校心理健康教育工作应首先着眼于发展学生的良好的心理素质,注重维护与促进学生心理健康,而不能将工作重点放在心理出现问题的学生的矫正与治疗方面。重点开展团体发展性教育和个别发展性教育,积极开展团体补救性教育和个别补救性教育,在分清主次基础上使两者有机地结合起来。有计划、有目的、有步骤地开展心理健康教育,使学生在发展性教育中不断提高心理素质,提高抵御不良心理的影响,使学生在补救性教育中放下包袱,早日走出心理误区,发展健康向上的心理。 同时,为了更好地实现心理健康教育的目标,要将心理健康教育全面渗透到学校各项工作中去,形成多渠道实施。心理素质教育、心理咨询与心理治疗就是专门的渠道。但是,仅限于专门的渠道是不够的,应该将心理健康教育工作渗透到各教学中去,任课老师可以根据本学科教学内容与学习活动的特点渗透相应的心理健康教育内容。同时,心理健康教育也应该渗透到学校各项活动如班主任工作、社团活动中去,这样形成的众多非专门渠道,也可促进学校心理健康教育工作的开展。 中学生安全教育研究:关于中学生网络信息安全教育的若干思考 摘 要:随着计算机和网络技术的发展,我们已经进入信息时代。网络的普遍性和便捷性为人们提供了方便。时至今日,“上网”已经成为人们日常生活的一部分。而中学生作为网民群体的绝大部分,其数量仍在逐步增加。因网络而产生的中学生网络信息安全问题也愈发突出,所以,培养中学生的网络信息明辨能力、自身网络信息的保护能力以及其对网络的自律能力是一项重要而紧要的任务。从网络信息安全着手,探讨了中学生对网络信息的认知及其对自身网络信息安全的保护,从而提出了中学生网络信息安全教育的主要思想。简言之,即明辨各类网络信息,保护自己的网络信息,不侵犯别人的网络信息。 关键词:中学生;网络信息;信息安全 一、网络信息安全及问题 (一)概念 网络信息安全是一个关乎国家安全和主权、社会稳定、民族文化继承和发扬的重要问题。其重要性正随着信息全球化步伐的加快而越来越重要。网络信息安全是涉及计算机科学、通信技术、密码技术、信息论等多学科的综合性学科。主要指网络系统的软硬件及系统中的数据不受到偶然或恶意的破坏、更改、泄露,系统连续可靠正常地运行而不中断。网络信息安全具有完整性、保密性、可用性等特征。 (二)网络信息安全问题 1.我国的网络信息安全问题日益严重 黑客攻击、网络欺诈、网络侵权等网络犯罪严重威胁到了党、国家和个人的安全及利益。 2.我国有关互联网管理的法律体系尚未健全 多年来,我国一直在为改善网络信息安全管理水平、提高网络信息安全防御能力进行不懈努力,但相对于日新月异的网络技术更新,法律法规建设仍然滞后。当前信息安全的研究正处在封堵现有信息系统安全漏洞的阶段。要彻底解决这些问题,应该着力建设信息安全保障体系,依据我国国情,建立和完善法律保障体系并加强监理。 3.网络信息管理水平有待进一步提高 各种利益群体借助日益大众化的网络表达诉求,借助热点或在敏感时期借机炒作,更有甚者,借助全职的“网络推手”和“网络公关”有计划、有目的地“炒热”事件。各种舆论的相互摩擦使得社会不稳定因素空前放大。网络信息管理要能够及时捕捉敏感信息和热点信息,其水平需要进一步提高。 二、网络信息安全素养及问题 (一)网络信息安全素养 指在信息化的条件下,人们对信息安全的认识以及对信息安全表现的各种综合能力,包括信息安全意识、信息安全知识、信息安全能力、信息伦理道德等具体内容。这要求中学生能充分辨别纷繁的网络信息,正确处理网络世界和现实世界的关系。 (二)网络信息安全素养问题 网络犹如一把双刃剑,在增强中学生与外界沟通和交流的同时,不良信息也会影响他们的身心发展。网络是一个信息宝库,同时也是一个信息的垃圾场,学术信息、娱乐信息、经济信息以及各种各样的黄色、暴力信息混杂在一起,使网络成为信息的大熔炉。 1.学生网络信息安全意识的缺失 中学生对于网络信息的辨别能力薄弱,缺乏相应的信息安全知识与技能,再加之自身的生理、心理都未成熟,难以抵挡网络强大的吸引力,所以长期浸泡在色情和游戏及其他非法网站中。 2.各界对学生网络信息安全教育的缺失 面对学生因各种网络信息而产生的种种不良现象,相应的各界对学生的教育却不容乐观。学校对学生信息安全教学知识的滞后性,家长对网络信息安全认知的不足,社会对信息安全的约束力,甚至国家的立法都存在一些不足之处。 三、网络信息安全教育提出的紧迫性 (一)互联网给青少年带来的负面影响早已引起我国社会各界的广泛关注 早在2000年5月,同志在接受美国《科学》杂志主编专访时指出,世界各国都关注确保人们不受互联网的负面信息影响。2001年7月11日,中共中央就运用法律手段保障和促进信息网络健康发展举办法制讲座,时任国家总书记的同志主持讲座并做重要讲话,再次强调“对信息网络化问题的基本方针是积极发展,加强管理,趋利避害,为我所用,努力在全球信息网络化的发展中占据主动地位。必须看到信息网络化的发展也为我们的政府管理和社会管理提出了新的问题。比如,网上一些迷信、色情、暴力和其他有害信息的传播,对人民群众尤其青少年的身心健康造成了很大危害。在加强网络安全保障体系建设的同时,更要注意充分运用法律手段搞好对信息网络的管理工作,以推动信息网络的快速健康发展”。而国外的相关研究表明,仅仅依靠技术、法制或教育的某一方面的努力是远远不够的,基于三者有机整合的中国网络信息安全教育的行动不仅重要,而且十分迫切。 2001年,笔者上小学四年级,如今大四在读,11年过去了,作者还是没有切身品尝到立法及实施的硕果,老师在教我们PhotoShop的时候也没告诉我们要保护好自己的网络头像,以免被恶意利用和歪曲。 (二)网络犯罪时有发生,打击网络犯罪有待加强 严峻的网络信息安全形势告诉我们,保护网络信息安全、打击网络犯罪刻不容缓。如今中国的网民已超美国,位居世界第一。互联网的飞速发展,黑客、计算机病毒等对计算机系统产生极大的安全威胁。前几年的熊猫烧香病毒、近几年的蠕虫病毒等使很多用户的计算机陷入瘫痪,有的部门受到黑客的攻击,网页数据被严重更改。这些网络信息的不安全现象,一直伴随着网络的发展,其破坏性十分巨大,严重扰乱了社会的正常秩序。 (三)我国的网络信息安全教育现状令人担忧 世界各国历来重视信息安全人才培养,纷纷出台了各类教育项目,如美国政府在“信息系统保护国家计划”中对各阶层制定了信息安全教育项目――针对中小学生的“中小学拓广项目”、针对本科生和研究生的“服务奖学金项目”。美国的这些信息安全教育项目表现出了很强的层次性和衔接性,同时更具备战略性。在国内,2000年武汉大学建立了全国首个信息安全本科专业,我国自此开始了信息安全本科生的培养。笔者认为,我国在基础教育阶段对信息安全教育的关注度不够,而且教学、师资远远落后于西方。 四、网络信息安全教育的具体方法和建议 (一)具体做法 1.培养中学生的网络信息安全的自我保护意识 网络是一个开放的空间,除了要做到自己不受到别人的攻击,还要学会预防来自外界的攻击。例如,教会中学生利用防火墙和杀毒软件来防黄防毒。在网聊时注意保护自己的隐私,不要随便把电话等其他信息告诉对方,更不能在没有父母同意的情况下和网友见面。在网上申请服务时,涉及自己的一些真实情况,如地址、证件时一般不要轻易填写。要保管好自己上网时的各种密码,不要轻易告知别人,并时常更换。 2.要合理利用网络,学会判断和自律 中学时代是一个人身心成长的关键期,养成良好的学习及生活习惯至关重要。迷恋网络世界挤占大量课余时间,甚至挤占正常的学习时间,不利于身体健康,更不利于学习。网上的信息浩瀚如海,大多是有益的,但也有不少是有害的。要让中学生避开这些有害信息,一味地控制不见得可行,唯有让中学生学会判断才是最好的办法。学会判断仅仅是第一步,学生具有充分的自律能力才能避免有害信息的骚扰。自律能力的提高,主要靠自己,也有赖于老师和家长的提醒和监督。 (二)建议 1.转变观念,提高认识 中学生网络信息安全教育能否纳入整个教学工作并切实抓好,学校各级领导,尤其是相关领导的思想转变是关键。只有深刻认识到中学生网络信息教育的必要性和紧迫性,只有认识到中学生网络信息教育内容的科学性、系统性和方法的开拓创新,才能把日益迫切的、系统的信息安全教育同培养高素质合格人才的素质教育有机地结合起来,才能适应社会主义市场经济和经济全球化发展的需要,日后为党和国家培养全面的高素质的合格人才。 2.加强普法教育,重视人才培养 把网络信息安全领域已有的法律、法规等纳入全面普法教育内容认真学习,并注重学习的效果和质量。结合网络违法犯罪的案例进行宣传教育,使中学生对网络信息安全领域的法律法规做到知法、懂法、守法、护法。 3.重视网络伦理道德教育 网络对学生原有思想观念的强烈冲击。网络将地球变成了一个“村落”,使得人们在网上交换信息的过程中超越了国家、地域间社会制度与意识形态的藩篱,尤其青少年学生,不得不承受来自不同文化背景、思想观念、宗教信仰和生活方式等方面的巨大冲击,这种冲击甚至会破坏他们原有的价值取向。传统的道德教育已经难以帮助青少年有效应对这种跨文化的心灵震荡,唯有网络信息安全教育方能承担起这一历史新任务。 除了法律,现实社会主要是依靠道德和舆论来约束人的行为。与之相对的是,网络社会更强调人的“慎独”,也就是道德自律,强调对自己行为负责的同时还必须对社会负责。换句话说,现实社会中的道德规范在网络虚拟社会中并不适用,唯有上升到道德习惯和道德信念的层次,才能更有效地规范个体的网络行为。 4.教育制度规范化 改变当前中学网络信息教育的随意性,把中学生网络信息安全教育纳入规范化、制度化的轨道是解决问题的关键。从领导、计划、内容、时间、教师和考评等方面都应制定详尽的规章制度。这样一来,中学生的网络信息安全教育才能避免随意性,避免走过场,走向规范化,转向系统化,使中学生网络信息安全教育切实落到实处,取得预期效果,提高到一个新的水平。 5.健全网络信息安全教育运行的长效机制 建立健全中学生网络信息安全教育运行机制,首先应建立学校中学生网络信息安全教育领导机构,负责对中学生的网络信息安全教育,确定教育内容,制定教育计划,组织授课,考评教育效果等。其次是理顺安全教育体制,把中学生网络信息安全教育纳入学校整个教学计划,在学校教务处的指导下开展工作。第三是建立和完善保证中学生网络信息安全教育健康运行的一系列制度。第四是明确中学生网络信息安全教育的基本载体。主要是系统的课堂教育与各种讲座及网络信息安全教育活动相结合,从而保证中学生网络信息安全教育全面得到落实。 6.对中学生家长的建议 对中学生网络信息安全教育的任务不仅仅是学校的责任,家长亦有应尽的义务,现在很多家庭都配置计算机网络,在中学生离校回家后不可避免地会使用网络。在家长对中学生网络信息安全教育和监管上提出以下几点具体的建议:(1)不要将电脑安装在孩子的卧室,最好放在家中的明显位置,例如书房、客厅。(2)适当控制孩子使用电脑的时间和方式。(3)经常了解孩子的上网情况,共同讨论网络趣事。(4)在电脑上安装禁止访问不良网址的软件。(5)非经父母许可,不可与网上结识的陌生人会面。(6)告诫孩子远离网上聊天室。(7)教育孩子不要轻易将个人信息在网上。(8)提倡与孩子一起上网,至少不要让孩子关上房门单独上网。 五、综述 网络是现代文明的产物,是现代生活不可分割的一部分,它与中学生的学习、生活息息相关。所以,我们要让中学生树立全面、辩证的网络观,明辨各类网络信息,及时有效地保护自身的网络信息,同时不侵害别人的网络信息安全。 保障与促进中学生的网络信息安全的健康发展,需要将技术措施、法律手段与道德教育结合起来,应当体现可持续发展的思想,积极发展,加强管理,趋利避害,为我所用,努力在全球信息网络化的发展中占据主动地位。 (作者单位 陕西西安延安大学西安创新学院) 中学生安全教育研究:浅谈中学生安全教育的相关问题及解决对策 【摘 要】学校中小学生安全教育工作关系到千家万户的幸福,关系到人民群众的切身利益,关系到社会稳定的大局。而大部分的青少年正在学校就读,他们正值人生的春天,对他们开展安全教育,无疑如同在生命中播下了平安的种子。俗话说,春种一粒籽,秋收万颗粮。要切实提高全民的安全素质,抓好青少年的安全教育就显得尤为重要。 【关键词】中学生;安全;教育;社会;宣传 案例: 1997年5月23日凌晨3时许,云南省某中心学校学生侯某在床上蚊帐内点蜡烛看书,瞌睡之际不慎碰倒蜡烛引燃蚊帐和衣物引起火灾。火灾烧死学生21人,伤2人,烧毁宿舍24平方米,直接经济损失1.5万元。 2008年9月14日,普洱市某技工学校发生一起食物中毒事件,经查明,这是一起食用凉拌皮蛋而导致的细菌性食物中毒,共有25名学生发病,中毒学生经医院及时救治,治疗痊愈,无死亡 据调查统计显示:2008年,全国共发生道路交通事故265204起,造成73484人死亡、304919人受伤,直接造成财产损失10.1亿元。一个个多么触目惊心的数字啊!一场场多么惨不忍睹的车祸啊! 或许,我们平时也都在看着新闻、上网,听到、看到过这些种种类似的悲惨案例,但很多人却没有真正地用心去留意,他们似乎感觉这些事故根本不会发生在自己身上,缺少了必要的防范意识,这些都值得我们去反思:为什么会发生这么多的事故?我们学生和教师又该怎样防范和避免这些不安全的因素呢?笔者在此谈谈自己的一些看法。 1.提高学生的防范意识. 我们在日常生活,教育过程中总会听到这样那样的事儿,其中不少是进行安全教育的好材料,如果我们善于发现、挖掘,学生会很容易接受教育。如:教师组织学生平时注意收集广播、电视、生活中听到的安全事故,然后谈谈自己的体会和看法。对学生收集的材料和体会,教师进行必要的点评,并张贴宣传,以提高安全警示教育.。 通过举行各类安全教育活动,使广大中学生认识并掌握好以下四类安全教育内容:1.交通安全 2. 校内外活动安全 3. 消防安全 4.卫生防病,饮食家居安全等,并形成人人自觉遵守安全法律法规的局面。 2.加强安全教育宣传工作 安全宣传教育工作从幼儿学生抓起,使学生从小就接受安全知识教育,达到自己教育自己,自己管理自己,养成自觉遵守安全法规的良好习惯,是能达到一代人和一个社会的良好秩序的百年大计。 学校应主要开展警校共建,小手拉大手,安全教育进万家活动。让安全教育根深蒂固于广大青少年思想中,使之养成文明安全处事行为。 3.加强领导,完善制度 学校要成立安全教育领导机构,实行责任分工,要将学校每个岗位的安全责任进行细化、分解和落实,严格实行责任追究制度。学校要完善有关安全教育方面的制度,如安全教育的具体实施细则、日常检查和预防相结合的安全管理制度、学生课余生活管理制度、教师值班制度、门卫值班制度、防水防电管理制度、食品卫生管理制度、传染病的预防及处理制度、防火安全管理制度、体育器材检查制度、健康体检制度、计算机的管理制度、楼道管理制度、安全事故的处理办法和责任制度以及安全管理的评价方案等,做到责任到人、群策群力、人人抓落实,形成良好的学校安全教育的运行机制,保证安全教育工作落到实处。 4.做好各项服务保障工作 4.1 加强校产的使用与维护管理。加强维修人员岗位培训,全天候对校舍、校产及教学设施、仪器设备进行全面检查,发现问题及时处理,消除各种安全隐患,保证无事故发生。 加强对消防设施的检测与维护。 4.2 切实抓好食堂工作。加强对食堂卫生工作的领导、监督和检查。严把进货关、储存关、加工关和制作关,确保食堂及学生服务部饭菜、食品质量和卫生标准;进一步检查防“四害”设施,提高警惕,严防坏人投毒,确保饮食安全。 4.3 建立健全安全预警机制。学校应该建立预警救助机制,特别是对突发安全事件的应急机制。因为只有建立这些机制才能及时发现各种不安全的因素,采取相应措施消解安全隐患。例如校园内应设置灭火器,警卫设备,防盗、防摔倒、防拥挤设施,应急照明,常用医疗急救药品和器材,报警通讯,安全引导和警告标志。 4.4 遏制校园暴力。学校是学生成才的地方,而不是藏污纳垢的场所。学校在维护校园内的治安,预防和处理校园暴力方面是一种非常积极的力量。教师在教育过程中,应当重视学生解决问题能力与控制情绪能力的培养。 5.以活动为载体,增强安全教育的效果。 5.1 加强和改进学校德育工作,使养成教育在细、严、实上下功夫,找准找全问题,加大改进措施,突出交通、饮食、用电、用气、校产的使用与管理及体育课、实验课和教学区及生活区人员疏散等方面的安全管理和教育,消除隐患,防范和避免事故的发生。 5.2 开展各种安全教育的活动,学校组织全校师生进行了逃生自救演练活动。通过举行这样演练活动,全校师生的提高了安全防范意识,学生的自救求生能力得到了很好的锻炼。 5.3 组织学生寻找发生在身边的安全事故及藏于身边的安全隐患,把自己的所见所闻编成小报张贴于班级或学校的公告栏,让学生得到警示教育,并提高安全防范意识。教育家第斯多惠说过,教育艺术的本质不在于传授,而在于唤醒、激励、鼓舞。我们通过学生身边的小事唤醒了学生对安全事故的重视与防范。 6.从小事中进行安全教育。 眼睛是我们接受信息的重要途径,生活中看到的许多小事同样是很好的安全教育材料。安全隐患不可根除,也时时在我们身边,我们要做的就是防范于未然。我经常在班队活动课上让学生讨论:假如有同学不小心把这位女同学踩去,后果会怎样?假如那时是全校集会(人多5倍),这位女同学会怎样? 假如你当时就在这位女同学的身边,你会怎样做?假如你是这位女同学,你会怎么办?学生通过充分的讨论后积极发言,认识到位,提高了类似安全事故发生的意识。 7.社会、家庭、学校 合力,共同做好安全教育工作 学校要强化安全教育工作的日常管理,把安全工作纳入学校日常管理,作为经常性工作来抓。要充分利用社会资源,学校、家庭、社会形成合力,提高安全教育的实效性,切实降低事故发生率,努力将安全管理工作提高到一个新的水平,保障孩子们健康、快乐、安全成长。 安全教育的最终目标是促使学生形成安全行为,从而在学习生活中远离安全事故。学校是公共场所,学习是集体性生活,学生是未成年、缺乏责任感的人群,安全隐患不可避免,我们要做好的就是防范于未然。防范于未然,重中之重是规范学生的不良行为习惯,引导学生以安全的行为在安全的环境中学习、生活、成长。导之以行,注重引导与规范,引导学生积极开展丰富多彩有益身心健康的课外活动;规范学生不参与不科学的活动,不到有安全隐患的区域活动;培养学生良好的行为习惯,使之远离安全事故。 大地苏醒,春风又绿。我们要把平安的种子撒播进青少年的心田。当它发芽开花、长成参天大树,我们必将收获更多的祥和、幸福和安宁。
安全风险管理论文:建筑工程安全风险管理论文 建筑工程是施工是一个系统的工程,包括材料的采购、施工进度计划的制定、人员的安排调配、进度跟踪、质量检测等等,每一个环节都与整个工程的质量有着密切关系。近年来,我国建筑工程行业取得了巨大的发展,各地房地产业迅速崛起,公路、铁路、桥梁的建设也有很大的发展,这些建筑工程为国民经济做出了巨大贡献的同时,也存在着一定的安全隐患对工程的利益和人们的生命财产造成了损失,因而就必须加强对建筑工程的风险管理,建立一套全面的安全风险管理与评价体,保证施工过程的顺利完成。 一、安全风险管理与评价概述 (一)什么是安全风险管理与评价。所谓安全风险管理指的是研究风险发生时控制风险的有效方法和举措,安全风险管理的目的是减小风险造成的损失,一般而言安全风险管理是工程项目管理中的基本内容,是一种主动性的防范风险措施。安全风险评价则是对存在的风险因素进行评价分析的过程,他一般是采用相关的技术标准和指标,确定各个风险因素对项目可能造成的影响,对整个项目的安全水平做一个整体的评价。 (二)建筑工程安全风险管理的重要性和必要性。建筑工程项目一般规模大、建设周期长、建设环境较为复杂,因而在施工中也存在着一些不稳定、不确定因素,这些因素的存在使得建筑工程的安全风险性降低。进行安全风险管理可以提升建筑工程的安全等级,保证建筑工程顺利完工,有利于保证工程质量、保证施工人员安全和保护施工企业的利益;另一方面,安全风险管理也是现代企业进行自我管理的方式之一,进行安全风险管理可以排除企业在经营管理中的风险因素,有利于企业的长远发展,使企业在激烈的市场竞争中占据有利地位。 二、建筑工程风险种类与形成原因 (一)安全风险种类。建筑工程是一项系统工程,涉及到许多环节,其风险的产生也出现在某一环节或众多环节之中,一般而言,建筑工程的风险种类主要有机械伤害、高空坠落、触电事故、建筑倒塌、物体打击,等等。 (二)安全风险形成原因。建筑工程的风险因素主要来自以下几点:一是施工人员操作的不规范,部分人员由于操作不当造成机械设备出现故障对施工场地的人员形成伤害;二是设备的质量和状态问题,建筑工程需要大量的机械设备,有些设备年久失修,发生线路老化等现象造成的危险;三是施工环境造成的风险,建筑工程在施工过程中经常会遇到雷暴、雨雪天气,在给施工造成困扰的同时还有可能造成安全事故;四是其他方面的原因,有些工程由于设计上的不合理或是综合作业安排不当造成的安全问题。 三、建筑工程加强安全风险管理的举措 (一)建立完善的安全风险评价体系。风险评价体系是安全风险管理的基础和直接依据,因此要加强建筑工程的风险管理就必须完善安全风险评价体系。运用专业的风险管理人才,能够对工程施工过程中可能遇到的风险进行全面的分析,并就存在的风险提出相应的风险解决对策,保证建筑工程施工过程中尽量少地受风险因素影响,将风险造成的损失降到最低程度,最大限度地保障施工单位的利益。 (二)做好施工现场安全管理。现场管理是建筑工程管理的重要方面,在施工现场之中,涉及到原料的准入安全、人员的施工安全、机械的操作安全等等,任何环节的安全事故都会对整个建筑工程造成影响。为此,在安全管理之中,做好施工现场的安全管理工作十分必要。首先,在材料准入方面,坚决按照相关的质量标准进行,对于不符合质量的原料坚决退回,保证施工材料的安全性;其次,在人员管理上,采取严格的管理制度,进入施工场地,必须佩戴安全帽,对一些严禁烟火的施工场地,禁止施工人员抽烟,一经发现,坚决处理;最后,在相关机械的操作上,聘请专业操作人员进行操作,在大型机械运行过程中,机械下方严禁站人,在部分机械施工区域设立围栏,等等。 (三)加强安全教育。在许多建筑工程中,安全事故的发生是由于人们的安全意识不强造成的,因而在施工过程中,还要加强对施工人员的安全教育。对于施工过程中存在的危险因素,要向施工人员讲明,让施工人员了解这些因素,在施工过程中尽量避免触发这些因素。同时,对于一些由自然因素造成的危险如雷暴、雨雪天气等,要向施工人员讲解灾害的预防措施,保证施工人员的安全,并列出规避风险的办法。 作者: 李连合 单位:北京中宏基建筑工程有限责任公司 安全风险管理论文:供热安全风险管理论文 1供热企业安全管理问题概述 1.1供热新技术推广普及不够 因为发展水平不一,市场不均衡导致的人才流动,有些供热企业技术不足,人才不足,对新兴的供热技术不了解,不掌握,或者说摆在眼前也不会使用,新技术新理念推广不足,特别是对已在实践中被反复验证了的、可提高供热质量、提高系统安全性和节约能源的先进供热技术没有人员操作,也不采用。有些先进技术就无法达到推广的目的。比如热水管网的直埋无补偿技术、简单可靠的自力式流量控制阀调网技术、多热源联合供热技术以及水泵超常规节电技术等都是成熟的技术。但企业因为种种原因还在使用老办法,导致企业一直处在能源消耗大、供热效果差、投入成本高、简单劳动等的的落后状态。 1.2供热监督与管理力度不够 我国经济发展不均,行业发展速度不同,有些快速发展的行业已经意识到节约能源的作用,相关行业已发起了节能运动。供热企业虽然集中在三北地区,但也在市场经济大潮中得到快速发展。能源的节约关乎各个方面,在供热流程中起到重要作用,对供热的认识角度、从供热技术、供热质量及供热安全管理等方面,都能看到存在的影子。供热企业消耗大量能源,对于能源的合理使用,关乎国家命脉,直接影响着企业的供热质量,关系到企业的生存发展和热用户利益。特别是十八大以来,举国实现中国梦的前提下,供热好坏牵扯到社会安全与稳定。 1.3落后的供热系统存量较大 供热发展已有二十多年,通过发展和更新,一些新建的供热系统使用上了新技术,但在实践工作中,却理念不新,观念落后,仍在走老套路。比如,可称之为原始型的直供不混水系统,虽然在小型的供热系统中采用是恰当的,但在一些中型的供热系统中仍被广泛的采用,而且一些还超过了200万m2供热面积,甚至地形高差较大的供热系统中也在采用;还有的供热系统把直供、直供混水和间供混乱在一起使用,并由热源供出统一供水温度。 1.4供热系统存在许多技术缺陷,供热合格率不高 造成建设投资高、运行费用高、能源浪费的主因是,热源、热网和热力站都普遍存在着许多技术缺陷和设备选型明显不合理的现象。特别是有些供热企业基础力量弱,当时建设用地是政府免费提供的,建设资金是银行借贷来的,供热收益不足,使一些企业无法翻身,没有办法及时偿还货款,有的多年转运都是亏损,供热企业生存和发展成了大问题,就别谈什么技术更新、人才储备了。这样的现象直接导致供热质量差、热用户冷热不均现象,由于资金短缺,不少供热企业解决低温用户的方法简单粗暴,这样的错误做法恶性循环,从而进一步恶化了处境,浪费了能源,提供的是不合格的供热服务。 2供热企业的安全管理问题的分析 2.1供热企业的安全技术管理 (1)水力失调:热力网系统的技术通病是系统水力失调,这主要是最初设计或运营调控设备选择上存在巨大问题,人才不足的问题直接显现出来了。直埋补偿不当措施增加了运行不安全隐患。不同参数使用同一管网,不匹配不协调就会出现,这样就不利于整体运行调节,极容易发生水力失调,导致不安全的发生。可以说供热是一个技术性相当强的系统工程,不但要搞好系统设计和施工,而且要按科学办法运行,要想达到良好的供热效果,必须加强供热运行。(2)锅炉问题:锅炉燃烧系统的主要问题在于锅炉的炉墙、排渣口和除尘器等漏风,引风机是否使用变频调节,加强程序控制和过程调节,有效措施可以节能环保。锅炉热力系统问题主要出在循环水量偏大、锅炉进出口管径偏小、压力表数量少、稳压点位置偏离及设置分集水器等方面,这些问题影响的主要因素是增加循环阻力和不利于运行管理和节电。(3)终端用户:终端用户是重要节点,用户网堵塞、积气都极容易造成安全管理上的难度。只有从设计、施工入手,采取相应对策,提高施工人员技术能力和从业素质,加强责任心理念建设,才能认真做好终端用户安装和改造,合格的施工能够防患未然,让人们安居生活,安全生产,舒适的环境保证人体健康。(4)循环水泵:选型循环水泵如果是不当的,或者安装不适合,也会造成一定的安全问题,而且这是一个相当普遍的问题。各供热企业和热电厂循环水泵是供热行业中电能浪费最严重的地方,盲目使用变频技术、安装止回阀和水泵进出口配管等,是最容易出现的安装问题,这些问题都影响着供热安全,不论是哪个环节出了问题,轻则会造成经济损失,重则会损害人们的健康和生命。 2.2供热企业的安全监督 供热系统是一个敞开式的循环系统,连接着家家户户,这就是安全管理和监督上造成了麻烦,复杂性可想而知。只有从用户到企业都严格遵守操作规程,加强安全教育的督导,合理使用供热系统,保护供热器材和设备,用户和企业的安全才能得以完全保障。 3供热企业安全风险管理问题的思考 3.1老思想老习惯适应不了新形势 供热安全技术管理和供热安全监督管理两个大问题,从技术标准到管理制度和安全法规的执行,都有具体环境,应该按事物发展的实际规律,具体问题多做具体分析,灵活应用,而往往许多供热企业新进人员较少,多年形成习惯,墨守陈规,硬套规范,在安全管理上意识不强,实际操作中出现的集水器设置就是不适应现代操作规范的老套路,这样的老规范就不能一成不变的套用,要在实际工作中,加强流程更新,改变旧观念,进行技术改造,以满足现代企业发展的需要,达到服务用户的目的。 3.2信息不畅通造成企业和人员固步自封 网络技术的的发展,给人们生活带来巨大便利,许多企业为了宣传自己、服务用户,都建立了自己的网站和网页。但目前来看,各地供热信息网还多数在起步阶段,就算是有自己的网站,也长期处于弃管状态。企业只顾着闭门抓生产,没有很好的进行自身宣传和建设,用户不了解企业情况,企业不知道自己的用户是谁,相互不了解,造成企业与用户的分离,用户信息得不到有效反馈,企业也很少了解别的企业现状,更不能及时更新技术,无法得到应有提高,形成一种不良状态。 3.3供热法规和知识宣传不够 供热企业往往存在经验主义,供热多年,自己有许多经验,认为实践大于书本,其实这样的想法是错误的。专业出身,得到过系统培养的供热专业人员在企业配备不足,常识、知识、新形势普及程度普遍偏低。通过长期观察和出现的问题总结,发现供热企业基本知识的普及是目前需要全面解决的首要工作,企业和员工必须给予充分重视,资源的浪费、环保节能不利等问题,就出现在企业和人员不懂常识上。随着企业不断发展,新形势的出现和新技术的应用,企业的落后与正规供热专业教育的工程技术人员严重短缺造成了另一个矛盾的出现。许多供热企业从事技术工作的人对供热的基本知识掌握不够,一知半解或根本不懂供热技术的人占相当的比例。只有有计划地组织技术培训,如进行员工的安全技术宣传、考评、竞赛等活动,内容和形式不限,但活动紧扣企业建设的主题,才能迅速提高所有从事供热技术和供热管理人员的技术知识水平,保证供热工作顺利。 3.4安全和技术管理人员的素质建设 员工是企业的生命,是企业得以生存发展的动力。供热企业能否安全运行的一个重要因素,就是安全和技术管理人员素质的高低。只有管理人员的素质提高了,就能树立责任心,树立职业精神,更好的检查与督促各部门工作,把握流程管理,认真落实安全生产责任制,发现不当行为,能够严肃认真的及时制止,从根本上治理事故隐患,将发生事故的概率降到最低;如果管理人员的素质不高,或者低下,就不能及时发现和治理事故隐患,也就不能保证供热设备的安全运行。 作者:李建军 单位:乌鲁木齐铁路局库尔勒房产公寓段 安全风险管理论文:信息安全风险管理论文 一、信息安全风险管理的流程 立足于上述对于信息安全风险管理的界定,可以看出,就企业而言,信息安全风险管理就是企业通过对信息安全风险进行识别和评估,采取有效的措施控制信息安全风险管理的过程,以实现企业生产经营过程中的安全目标。基于此,信息安全风险的识别、信息安全风险的评估以及信息安全风险的控制是企业信息安全风险管理的主要步骤。具体而言,企业信息安全风险管理的流程包括四个步骤。第一步:确定信息安全风险管理的对象,从企业信息安全业务的目标和特点出发,确定信息安全风险管理的对象。第二步:信息安全风险评估。针对信息安全风险管理的对象,对企业信息安全风险进行识别和评价。第三步:信息安全风险控制。从企业信息安全风险评估的结果出发,选取合理的措施,对企业信息安全存在的风险进行控制。第四步:信息安全风险监控与反馈。通过测试、检查等手段,检验信息安全风险控制是否达到既定目标。如果与既定目标出现偏离,采取相应的措施进行修正,以不断完善信息安全风险控制手段。当企业受保护的信息安全系统所面临的外部环境发生变化之时,或者面临新的风险之时,需要再次进入上述四个步骤,形成新的一次循环。因此,上述四个步骤在保护企业信息安全的过程中,必须形成一个相对稳定的循环运动过程,以满足企业新的安全需求和应对信息的信息安全风险。 二、信息安全风险管理的标准 1.国际标准信息安全风险管理标准也是与信息安全风险管理密切相关的要素,当前,无论是国际上还是国内,针对信息安全风险管理,都出台了相应的标准,以指导信息安全风险管理工作。英国制定的BS7799标准可以说是当前世界范围内应用较广的信息安全风险管理标准,该标准由英国标准协会(BSI)在1995年第一次提出,并于2000年通过ISO的认可,成为了国际通用的标准。从内容维度上看,该标准分为两个部分,第一部分为《信息安全管理实施规则》,在该规则中提供了一套系统的信息安全管理实施规则,为信息安全的管理人员在采取信息安全管理措施时提供了参考。第二部分为《信息安全管理体系规范》,其中详细说明了信息安全管理体系与信息安全控制的要求,对于广大企业形成体系化的信息安全管理制度和组织架构起到了很好的推动作用。从两个部分的关系来看,BS7799标准提出了信息安全具体的控制措施,第二部分提出了信息安全控制的要求,因此可以确定该标准的第一部分为第二部分的具体实施提供了参考和指南。除了英国的BS7799标准,国际上通用的信息安全管理标准还有ISO/IEC15408-1999和OCTAVE标准。ISO/IEC15408-1999标准是当前国际上最通行的信息安全评估准则,该标准从信息的完整性、可用性以及机密性出发,论述了信息安全维护过程中所应遵循的标准为可控性、可审计性(责任可追查性),这对于企业进行信息安全系统的开发、生产、运营以及维护都具有很大的借鉴意义。而OCTAVE标准的重点为信息安全风险评估标准,该标准提出以资产驱动的评估方法来评估信息安全风险,依据组织所处的具体环境来构造信息安全系统组织的风险标准框架。但OCTAVE标准中的评估标准较为抽象,且极为繁琐,不利于相关企业在实际操作中采用。 2.国内标准在我国国内,信息安全风险管理所参照的标准主要是GB17859《安全保护等级划分准则》,这是我国目前计算机信息安全等级保护系列标准的优秀,是我国以等级划分为依据保护信息安全制度建设的根基,同时也是信息安全风险评估参照的重要标准之一。在该标准中,从信息安全的等级出发,从低到高将信息安全等级分为5个等级,第一级是用户自主保护级,第二级是系统审计保护级,第三级是安全标记保护级,第四级是结构化保护级,第五级是访问验证保护级。其中高级别的信息安全要求是低级别要求的集合,信息安全等级越高,对于计算机系统的安全性要求越高。针对不同的级别,信息安全保护的指标主要有身份认同、数据完整性、责任审计、自主访问控制、强制访问控制、可信路径等,这些涵盖了不同级别的信息安全标准。从该标准来看,其信息安全保护的本质是从不同信息资产的等级出发,针对不同等级的信息资产采取不同程度的措施。对于企业来说,可以参照此种方法,通过将信息资产进行分类,对不同类别的信息采取不同的保护标准,以突出不同信息的重要程度。 作者:杨姗姗单位:武汉大学信息管理学院 安全风险管理论文:畜产品质量安全风险管理论文 [摘要]本文分析了畜产品安全质量的问题,我们提出了畜产品质量安全保障措施的运用:一是要提高畜产品专项执法检查工作的落实到位;二是要保障畜产品质量的法律法规构建与完善;三是畜产品质量安全管理机制的运用;四是注重于对畜产品质量安全管理工作的全程把控;五是信息内容的及时公开来将舆情监测运用到位。 [关键词]畜产品;质量安全;风险管理 随着社会主义市场经济的不断发展,社会大众的收入提升了,使得居民的生活质量也随之提升了。人们往往不会过于关注商品的价格与数量,而更为在乎商品的质量。其中,畜产品的需求递增,使得畜产品的黑色产业链条发展十分迅猛。畜产品的质量安全成为了整个社会关注焦点。本文将通过对畜产品质量安全的深入认识,从畜产品的质量问题出发,来寻求更为有效的解决对策。 1畜产品安全质量的问题分析 1.1监管体系的问题存在。畜产品的质量监管工作是由动物卫生防疫监督机构来开展的,其应该确保畜产品的生产、流通以及销售的安全性,促使其得以在生产、屠宰、加工的各项环节都能被及时、有效地监督。这也就需要提高监管队伍的专业化程度与科技运用水平。当前在我国,畜产品的安全性缺乏来自于法律内容的保障。管理部门在开展管理时候,所选择的检疫方法还需做到进一步的完善。例如,针对于畜产品的检测标准不够清晰,使得其监测手段显得较为落后。畜产品在养殖的过程中,有着多样化的饲料添加剂与药品类型可供选择,其名称复杂多变,如果只是依靠以往的检测手段已经很难满足当前的检测需求。一些区域在检测中发现问题,但是因为缺乏相应的判定标准,无法进行正确判定,查处工作缺乏依据。由于缺乏检测工作经费,监管部门检疫、检测手段落后,缺乏先进的仪器设备影响监测工作的正常开展。1.2畜产品生产和加工环节的落后。目前,畜产品的生产加工工艺的发展存在着严重的不平衡现象,一些加工企业的生产标准化程度较低,导致其在组织生产加工的时候,存在着诸多的问题,如卫生问题、运输稳定性、污染源隔绝等等。其中,当无法做到对污染源的隔绝,将会使得畜产品携带大量的细菌、霉菌和寄生虫,与此同时,活畜禽市场交易给病源微生物传播提供了机会,污染了交易环境。在对肉、蛋、奶等畜产品进行加工、包装、贮藏、运输、销售以及使用的过程中,由于其中某个或某几个环节受到物理、化学、生物等因素的二次污染,从而影响食品质量。一些畜产品屠宰加工企业卫生条件差、设备落后,致使畜产品在加工过程中二次污染。另外,畜产品中生鲜产品在包装、运输、贮存过程中很容易腐败变质,失去色、香、味和原有的营养品质。一些销售者和生产者片面追求商业利益,大量使用有害或有毒的化学试剂充当添加剂、防腐剂、保鲜剂,严重威胁消费者身体健康和生命安全。1.3生产环节中存在的问题分析。一是饲养环节的质量保障未能达到。在一些养殖地区的养殖活动选择的是散养的模式,其规模化程度较低,饲养达不到标准化养殖条件,防疫条件差,管理落后,设施不配套等问题,所以生产出的畜产品质量安全难以保证。二是生产者法律意识淡薄,对兽药、饲料专业知识缺乏养殖者是畜产品质量安全的第一责任人,一些养殖户本身在思想上未能加强对其的重视,使得其本身缺乏专业化的养殖知识,存在着滥用饲料添加剂、兽药的问题。 2畜产品质量安全保障措施的运用 2.1提高畜产品专项执法检查工作的落实到位。畜产品的质量安全问题往往会出现在生产环节,这也就需要动物卫生监督机构应当从源头出发来对质量安全隐患,早发现、早解决,加大整治畜产品质量安全的力度,重点对生产有毒有害的畜产品违法行为进行打击,充分发挥动物卫生监管职责。通过对动物疫病防范措施的完善来增强防疫系统的基础设施建设,选择综合化的防治手段做到提前预防。将重点疾病进行提前预测与诊断,实现防疫成效的加强。例如,疫苗免疫工作的诊断需要将疫苗免疫的规范操作、免疫人员的安全防护以及牲畜的安全落实到位,并且将免疫档案科学制作,按序归纳,促使常规工作的开展成效得以达到最佳。2.2保障畜产品质量的法律法规构建与完善。近年来,我国相继出台了《动物防疫法》《兽药管理条例》《畜牧法》《饲料和饲料添加剂管理条例》等法律、法规。同时,为保障畜产品质量安全,出台了《动物性食品中兽药最高残留限量》和《中华人民共和国动物及动物源性食品中残留物质监控计划和官方取样程序》,该项法律的出台给畜产品的安全管理提供了法律依据,但是因为在我国目前尚未拥有一部涵盖多个领域,能够对畜产品养殖活动科学管理、严格把控,确保动物防疫检疫工作能够从养殖活动到销售活动都被有效监控的法律法规,导致畜产品的管理工作本身还存在着诸多的漏洞。当然,畜产品的安全质量需要畜产品的管理部门将养殖户与供应者的责任明确到位,且不断地完善相关法律内容,让责任制度得以通过法律条文的形式体现出来。尽快起草颁布《畜产品质量安全管理条例》,通过有法可依,为解决畜产品质量安全问题提供有力保障。2.3畜产品质量安全管理机制的运用。一是对畜产品安全预警机制的完善。通过对畜产品安全质量预警价值的运用来将畜产品的监督管理内容定期地进行检测。对畜产品监督抽查与安全检测的结果,要及时公布于社会,评估畜产品安全状况,形成科学统一的畜产品安全风险评估预警体系。二是畜产品的质量安全保障工作需要从预防机制出发来做到第一时间的及时控制,让畜产品的质量安全动态能够被实时监督。同时,结合于畜产品的质量安全问题方法体系来将制度内容的价值体现出来。三是畜产品的安全事件处理,需要建立安全事故应急处理机制,积极应对并及时控制重大畜产品质量安全事故,把危机的影响降低到最低程度,保障人民身体健康,维护正常的社会秩序。要启动危机管理机制,各相关部门相互协调,调配社会资源,确保必须物资发放;要是信息公开化,与媒体紧密沟通,及时相关信息,避免引起公众恐慌;要建立紧急处理机构,负责整个事件的协调,制定处理程序和方法,处理物资储备等。四是畜产品安全追究机制。2.4注重于对畜产品质量安全管理工作的全程把控。畜产品的产品质量管理工作需要从源头做起,将生产活动的初期,即饲养、原料环节作为工作开展的源头,然后将屠宰、加工、销售的各个环节严格地控制起来。只有加大监控各环节的力度,才能确保畜产品的质量安全。各环节控制的好坏,既取决于各环节的标准完善程度和执行程度,又取决于法制维护的状况和技术水平的运用。所以,制定高水平的标准体系。采用先进的科学控制手段,在有效的法律框架内,对其进行监控,是实现畜产品质量安全全程控制的基本条件。2.5信息内容的及时公开来将舆情监测运用到位。监测信息的不充分、不透明将会直接加剧畜产品安全质量问题的频发。信息公开是保障社会大众能够享有知情权,促使公众的关注得以成为畜产品安全质量的保障因素,发挥出社会舆论效应,让相关部门针对于畜产品的处理事件,可以被动态监测,让信息通报工作引起社会反响,当然,也要杜绝别有用心之人进行恶意炒作。在这个过程中,政府需提高资金投入力度,使得畜产品质量安全保障工作得以获得现代科技的支持,满足对相关设备的需求,实现畜产品检测技术的优化升级,让技术发展带动检测成效的提升。 3结语 畜产品需求量的提升需要市场监管部门加强监管力度,选择多形式的畜产品质量安全监督检查工作来提升监督力度,只有监督力度搞上去,违法经营饲料添加剂、收售不合格畜产品的不良商家才能被严惩,最终让畜产品市场得以实现更好的质量提升。 作者:丁希军 单位:肇庆高新区农林水利管理中心 安全风险管理论文:企业信息安全风险管理论文 1企业信息安全风险管理的主要内容 开放、互联的信息技术与信息安全就像一把双刃剑。一方面,企业需要借助信息技术或信息系统集中信息并开放共享;另一方面,企业的优秀信息资产又在不断外泄,引发无数信息安全问题。一谈到信息安全,首先想到的是网络安全,比如防火墙、入侵检测、漏洞扫描、数据加密等传统意义上的网络底层安全防护。但从广义上来讲,随着信息化建设的不断深入,企业的信息资产对经营的贡献比重越来越大。尤其在信息访问越加便捷的前提下,根据市场竞争的需要,企业需要源源不断地将信息不同程度地开放给客户、供应商、员工等,企业的信息资产也越来越暴露在更多的威胁之中。信息的三个安全特性,即完整性、保密性和可用性。(1)信息完整性风险管理。一方面,要保证信息在收集、加工过程中不能被恶意篡改、不能丢失、被窃取、损坏等;另一方面,也常为人忽视的是加工过程本身的科学性,需要防范因不恰当的加工方式而导致的数据失效或结果错误。(2)信息保密性风险管理。主要是指要保障没有被授权的用户无法使用信息系统,访问相应的资源。防止该类用户访问、通过非法手段攻击破坏企业信息资产。(3)信息可用性风险管理。主要是指保障被授权用户可以顺利、快速访问信息资产,保障信息系统稳定性和可用性。以上三个特性,同时也是信息安全风险管理的主要内容,管理过程包括风险识别、风险评估和风险控制三个步骤。 2企业信息安全风险识别 由于涉及企业的优秀信息资产,所以相应的信息安全风险点分布在企业管理的各个环节和层面。但是由于种种原因,目前国内企业对信息安全风险管理的认识仍不到位。总体来说,有以下主要问题,也是常见的信息安全风险管理的风险点。(1)信息安全组织和制度保障不足。没有有效的信息安全管理组织机构,就无法有效地制定、执行安全管理策略,更无法进行有效的信息安全协作。信息安全管理制度通常都有,但很少有单位能够严格执行,信息安全的政策制定也常常不符合标准,导致可操作性比较差或者达不到控制的目的。(2)信息安全相关人员意识不足。信息安全虽然已经被很多企业提到战略高度,但更多停留在口头上和管理层。大部分企业人员比较缺乏信息安全意识,安全事件报告不及时;对各自岗位相关的信息资产职责了解不清,对信息系统的错误操作导致信息泄密的事件屡有发生;部门单位还存在因人员流动导致的信息资产不连续等问题。(3)传输、存储信息资产的设备与网络存在安全隐患。部分企业存在网络有安全漏洞、存储设备老旧、数据资产缺乏备份机制等常见问题,一旦受到网络入侵、病毒攻击,或者发生硬件及性能问题,会导致信息资产大量泄漏或损坏。(4)访问控制及用户权限管理存在漏洞。在信息系统的实施阶段,为了便于用户测试或其他目的,部分用户权往往限过大。随着系统正式上线及应用,相应权限又由于种种原因没有调整,对信息安全也留下了比较大的隐患。(5)软件系统及业务持续性风险。因为国产化和自主开发的趋势逐渐确立,大量企业选择自行开发软件系统,由于软件开发技术而导致软件本身存在一定漏洞,相应的开发质量存在隐患,连带的如运维、业务持续性风险均应相应考虑。 3企业信息安全风险评估和控制 考虑到每个企业均有自身特点,面临的信息安全风险点也不同。按照通常的信息安全风险管理理论,在完成上节所述的风险识别之后,需要进行详细的风险评估和风险控制。信息安全风险评估是指确认风险大小程度的过程,主要是要借用适当的风险评估工具和模型,包括定量的或者定性的方法,对信息安全风险点造成的影响进行评估,以确定风险的大小和控制方式。其主要目的是为了确定风险的大小并量化,从而可以采取适当的控制目标和控制方式开展风险控制工作。信息安全风险控制的作用体现在对组织信息安全的保障上,其有效性体现在当企业面临信息安全风险时对风险控制的有效程度,换句话说,在信息安全风险评估的基础上,考验控制力度的有效性就是损失的程度,损失的越少越有效。反之,则控制无效。另一方面,信息安全风险控制也是需要成本的,控制力度大小与成本通常成正比关系,而且在达到一定程度之后,控制力度增长比例较小可能带来成本大幅增加。因此,信息安全风险控制的总体目标,是以最小的投入将信息安全面临的风险控制在组织可接受的范围内。 4结语 信息安全已经上升为国家战略。对于国内企业来说,信息安全也日益重要,尤其对于高科技企业及涉及国计民生的大型国有企业,信息往往是企业的优秀资产。拿笔者所在企业来说,大量的研发成果日益依赖信息技术,大量的内部经营决策通过信息系统流转。任何一个数据或者信息的泄漏,一旦被竞争者窃取,将给公司带来不可估量的损失。有效做到信息安全可知、可控、可承受,关系到企业的生死存亡,需要引起所有企业管理者和员工的充分重视,并采用一切可能手段加以保护。 作者:张艺 单位:中国海洋石油总公司 安全风险管理论文:行车安全风险管理论文 1行车安全方面 1.1人为因素 一是要从思想上进行深度教育,通过不断学习、思考和自我警示,将“安全生产大如天”、“三个重中之重”“、三点共识”等安全理念植根于乘务员脑海深处,从候班-出勤-上车-运行-下车-退勤,整个流程都要进行风险研判,制定安全风险管控措施;二是要从日常发生的违章违纪方面问题着手,进行汇总分析,找出影响安全的风险因素,从而有针对性的进行风险研判,制定安全风险管控措施。三是要切实抓好乘务员标准化作业。这是风险管理的重要任务,也是铁路“三化”建设的重点项目之一。因此保证乘务员认真落实好标准化作业和执行好规章制度则是确保行车安全的重中之重。在实际的行车过程中,一些乘务员经常把自己工作中不好的习惯当成了标准,这也是为什么行管干部天天抓安全,天天有问题的原因,也是行车事故重复发生的原因所在。因此,在全面推行安全风险管理中,应该不断要求乘务员学习标准化,作业过程标准化,把乘务员日常的一些习惯性作业转变为标准化作业,有效杜绝惯性违章违纪。 1.2环境因素 环境因素就是天气不良或行车线路状况因素。铁路行车过程全天候暴露于自然环境之下,暴风、雨、雪、霜冻、线路塌方、滑坡等风险因素,随时都有可能对铁路行车安全造成危害或埋下安全隐患。因此,作为铁路机务部门,要建立机车乘务员出勤预想系统。一是出勤前要做好预想,开好小组会,预想包括当时当地的天气因素和具体线路状况因素,每一项都要认真分析其风险因素,制定风险防范措施;二是出勤调度员要及时传达天气不良情况下的安全行车措施和应急处置办法。这样乘务员在实际运行中,才能灵活自如的应对变化多端的环境因素,从而达到超前防范,确保行车安全。 1.3管理因素 管理因素主要是对规章制度执行和上级指示精神方面。首先,要从制度和管理上将安全风险管理与传统安全管理区分开,更快更好的去适应这种新的管理模式,是值得机车乘务员积极思考和探究的一个重要问题。安全风险管理主要是针对未知的不安全因素提前进行预测和控制,强调问题的超前防范。这就要求机车乘务员必须对执乘过程中的各种不安全因素进行深度分析和研究,通过不断探索和反思,找出风险点,进行研判,按照“干什么、学什么;缺什么、补什么;弱什么、强什么”的原则,做到提早预防、提前防范。其次,要对管理者或上级安排和工作要求具体落实到实际工作当中,不能“左耳进,右耳出”,事情发生了才知道“不听上级言,吃亏在眼前”,追悔莫及。 1.4素质和能力因素 如何全面掌控和消除行车过程中的安全风险,对于机车乘务员来说,实际上就是自身业务素质和能力的问题。为此,要通过不断提高自身理论水平、实践技能和应急处置能力,充分掌握基础规章制度、安全卡控措施、LKJ操作、非正常行车办法、机车故障处理等专业知识,练就过硬的技术本领,消除工作过程中人员、设备、环境三大要素带来的安全隐患。这就要求在平时学习不能敷衍了事、参加培训不能走过场、班前休息不能“偷工减料”、执乘过程不能“开小差”,必须以良好的精神状态投入运输生产,时刻紧绷安全这根弦。 2设备安全方面 设备安全是保障铁路行车安全的物质基础,质量良好的设备,既是安全生产的物质基础,又是行车的重要保障。风险重点包括机车走行部裂损脱落、制动系统故障、车顶高压电器设备失效、直供电装置故障、监控装置故障、其他电器线路及安全装备故障。设备质量的好坏,直接关系着行车安全。因此,首先要从设备质量源头进行控制,规避设备安全风险,提升设备质量;其次,通过引进新设备、新技术,不断完善对行车设备、列车运行、现场作业、外部环境等关键作业过程的动态实时检测,来确保行车安全。目前无论是电力还是内燃机车,都不同程度的安装了一些新技术设备,如机车防火视频、6A系统、CIR、LBJ、STP装置等。对于机车乘务员保证设备安全来说,要做到在出库前确认安全装备和其他设备的状态良好,并且有检测部门出具的合格证后,方可出库。 3劳动安全方面 劳动安全风险重点主要包括电击伤害、车辆伤害、机械伤害、高空坠落等。通过改善劳动条件和采取具体安全措施,来保证机车乘务员的劳动安全。一是要加强作业安全、劳动安全、人身安全培训教育,制定劳动安全各项措施,强化现场作业“自控、互控、他控”。二是要提高乘务员自身的劳动安全意识。翻阅近期各铁路局发生的劳动安全事故,不难看出这些事故大多因为乘务员违反劳动安全制度和规章造成的,他们在作业过程中盲目、随意简化程序,图省事,结果造成了人身伤害。铁路全面实施安全风险管路,是在现有安全管理基础上对安全意识的强化、安全理念的提升、工作思路的优化,有利于管理理性化、决策科学化、防范超前化。通过对列车运行、劳动安全、设备安全方面进行风险研判,找出风险点,制定安全防范措施,达到降低和或消除行车安全风险的目的,实现闭环管理,防止行车安全事故的发生。 作者:郭辉单位:湖东电力机务段 安全风险管理论文:软件安全设计风险管理论文 1软件安全问题日益突出 随着互联网的触角深入到生产生活中的各个层面,软件已经不像以前那样只是支持办公和家庭娱乐这两大主题了,而是成为现代商业的灵魂。软件安全问题主要围绕着软件漏洞和易被攻击脆弱点,它们都来自于软件的设计和实现。Internet催生了电子商务,移动互联网使得APP变得如火如荼,未来物联网也许可以将生活中的一切元素都纳入到通信网络中去。因此软件安全问题将成为计算机安全的优秀,而非防火墙等网络硬件,或是诸如加密等手段。软件安全是一切计算机安全性问题的根源,如果软件行为出现异常,与之相关的可靠性、可用性等方面问题就会随之暴露。软件安全问题并不是互联网出现后才有的,只不过互联网是目前最容易攻击软件的途径罢了。 2软件安全的现状 2.1人们的认知 随着黑客攻击的新闻时常见诸媒体,人们对计算机安全问题有了一定认识。但不幸很多计算机安全人员和计算机教育培训人员都忽视了软件安全的问题。一味地推崇某种软件平台是安全的,单纯大力增加对网络安全硬件和软件的投入,这些做法是盲目甚至荒谬的。一切安全性都不是静态特性,也没有任何软件是绝对安全的。软件安全问题的关键节点是软件的设计。 2.2软件安全设计的先天不足 世界上知名的软件厂商并不是不了解软件安全设计安全性的重要性,而是商业模式让软件安全方面存在着先天不足。稍纵即逝的商业机会、敏捷的软件开发过程和短暂的软件开发周期使得安全性方面的设计在很多时候都是被舍弃的。随之而来的处理方式则是常见的penetrate-and-pach方法,即不停地补丁。这种做法从长远来看,其成本与作用远不及一开始就做好安全性的设计和审计。 3软件安全设计应引入风险管理 从项目管理的角度看,风险指损失或损害的可能性。软件项目涉及到的是:项目中可能发生的潜在问题和它们如何妨碍项目成功。风险管理则是对应软件项目生命周期内的风险的科学和艺术。软件安全性的设计与软件设计的其他一些质量性能是互相抵触的,例如冗余性、高效性。而软件开发过程中的风险管理与软件开发的诸如时间、范围、成本等因素也是相互抵触的。但是绝不能因为这些可能发生的抵触行为而放弃对安全性和风险管理的考虑,反而应该将软件安全性设计纳入到风险管理的范畴中去。事实表明,93%的失控项目都忽视了风险管理。 4软件安全设计风险管理的实施 目前国际上对软件安全方面的风险管理存在着一个共同的认知,那就是采用高质量的软件工程的方法论可以在一定程度上解决这方面的问题,欧美一些国家也在试图制定或修订相关的一些“通用准则”来指导软件安全性设计的实践。但是这只是从科学技术方面做出努力,我们可以学习借鉴。而在管理技术和艺术方面需要做出的努力则应该尝试本地化做法。完整的风险管理的过程应该包括以下几个环节:风险管理计划的编制、风险识别、风险定性分析、风险定量分析、风险应对计划编制和风险监督控制。将整个流程都走完的项目和企业都不多,一般来自于所谓的学院派。而时下大多数国内外企业的做法是将这个7个流程简化为谁来识别风险、谁来对风险负责这两个环节。原因则是上文所提到的先天不足所致。从技术上讲,风险管理的效益来自于潜在风险最小化和潜在回报的最大化。而这个技术的应用则一定需要经历风险定量分析的过程。在这个过程中,可以使用的主要技术是决策树分析、蒙特卡罗分析、PERT分析等等。这些技术都是建立在一定的数学和会计基础之上。而令人遗憾的是,很多决策者本身对这些技术的认知或理解欠缺,以至于会抵触这种方法。大多数做法是采用小团队开发小软件的做法,即采用访谈和敏感性分析来帮助风险定量分析。然而我们并不是要反对这种简化做法,只是一定不能在简化的做法之上再次简化或敷衍了事。首先要做的工作是做好需求管理,在建立一组需求输入的时候,一定要将安全性作为一个重要需求考虑进去。有一个比较好的方法是,在软件设计时采用螺旋模型,需求的输入可以在螺旋模型的各个生命周期中进行,而有关安全性的需求输入则最好是在最初的一个螺旋中进行。之后要做的工作是确定最大风险。不可避免的要使用风险定性和风险定量分析的各种技术和方法。这个工作一定要有软件设计师、项目决策者和用户的参与,采用头脑风暴和专家访谈是不错的选择。而这个工作恰恰是现实生活中中小企业乃至客户最容易忽略的。企业要考虑成本问题,而客户的参与往往难以落实,认为软件的设计和开发应该由软件公司负责,客户付款只关心最后软件是否可以使用。而一旦由于软件安全性问题造成了一定后果后将演变成各种纠缠不清的官司,这是企业和客户都不想看到的结果。 5结语 软件安全问题并非无可救药,软件安全设计的灵丹妙药是将风险管理深入到软件生命周期的各个时期中去,而且越早越好,利用科学的软件工程和项目管理的技术,构建安全的软件基础框架。软件企业和客户都应该提高对软件安全设计中的风险管理的重视。 作者:李建辉单位:湘西民族职业技术学院 安全风险管理论文:银行信息安全风险管理论文 一、我国银行在信息安全风险管理中存在的问题 (一)识别风险的能力有待提高。改革开放之后,我国的经济和社会呈现飞速发展状态,尤其是近十年来银行业的信息化水平和自动化水平得到大幅度提升。但是伴随着新形势的到来,银行面临着越来越多的外部风险,电子商务的盛行和网络资讯的发达使得网络渠道的业务比例提升,银行的信息安全面临着严峻的外部风险挑战。这使得银行业本身乃至整个社会对财产和信息的安全指数要求越来越高,在内外部因素的影响下,银行业加强信息安全风险管理是必然和必要的。但是现阶段,银行业信息安全风险管理受人才、技术、体系乃至设备的制约,整体的风险识别水平还比较低,亟待提高。 (二)信息安全风险形式严峻。我国银行业面临的信息安全风险相较于其他行业来说比较严峻,银行系统的开放性和电子商务数量和规模的大幅度增长使得其受到攻击的可能性大幅度上升。银行在发展的过程中为了更大程度地满足客户的需求,往往对信息技术存在着严重的依赖,使得信息系统受到木马攻击、病毒侵害和钓鱼网站危害的可能性大大增加。 二、银行信息安全风险管理的建议 (一)银行要重视信息安全风险识别体系的构建。信息安全风险识别是一项系统的工程,银行要想及时、完整地识别出其在生产经营过程中的风险,就必须重视信息安全风险管理识别体系的建设,从起点上提升系统的整体安全系数标准。银行要定期对信息安全风险管理体系的可靠性进行评估,严格按照全面风险管理的原则对风险进行识别和应对。 (二)银行要建立重大信息安全风险预警和应急方案。重大信息安全风险预警和应急方案能使得银行的信息风险保持在可控的范围之内,在新的金融时期,完善的银行信息安全应急方案给金融系统的稳定上了一层重要的保险。完善的银行信息安全风险预警和应急方案是一种事前控制措施,是银行信息安全风险管理的重要举措。 (三)国家要加大银行信息安全犯罪的惩治力度。国家相关职能部门应该加大力度对信息安全犯罪进行打击。相关部门应该从根本上对这种犯罪进行严肃管理,将常规化管理落实下去,坚决杜绝形式化管理,一旦发现问题要给予严厉的惩罚。对于银行信息安全的重大犯罪要严惩不贷,对网络金融犯罪要高压打击。这样整个银行系统才会意识到信息安全风险管理的重要性,注重维护自身的信息安全。 (四)建立银行信息安全风险控制机制。首先,建立完善的风险责任机制。重点在于在银行信息安全风险控制体系要将各个环节各个部门的责任进行细化,做到每一个环节都有专门人员对重要事项进行负责,做到对风险负责、对安全负责。其次,建立完善的风险通报机制。通报包括对上级通报和对下级通报,对上级通报要客观真实准确,对下级通报要严肃认真,既不夸大也不隐瞒。最后,建立银行信息安全风险管理团队。人才是银行信息安全风险管理的关键,要充分发挥人才的作用,银行信息安全风险管理团队是银行信息安全风险管理的主力军,他们在银行信息安全风险的识别、评估、应对等过程中扮演着十分重要的角色。 总而言之,信息安全风险管理体系的构建对商业银行的安全运作具有重要的意义。银行要重视信息安全风险管理识别系统的构建,把握运营过程中重要的风险,建立风险预防和预警机制,确保金融系统的安全。银行信息安全风险体系的构建关系到整个国家金融的安全,只有加强防护、重视保护,严格预防,才能给信息安全体系构建良好的运行环境,才能为社会主义市场经济发展创造良好的环境。 作者:裴立公单位:中国人民银行宿州市中心支行 安全风险管理论文:电力安全生产风险管理论文 1、电力企业建立安全生产风险管理体系的程序 实施安全生产风险管理体系需要经过体系建立和体系认证审核两个基本程序。电力企业建立安全生产风险管理体系的基本程序如下。 1.1管理承诺 电力企业的最高管理者做出承诺:自愿接受并带头学习理解安全生产风险管理体系标准;遵守法律、法规;保证提供足够的资源来建立和运作安全生产风险管理体系,使决策付诸实践。 1.2宣贯与培训 学习与培训是建立安全生产风险管理体系的第一步。培训工作分为2个阶段:内审员培训。是以体系建立、文件编写和内部审核等为主要内容,由外部咨询单位对企业的管理层和工作班子进行培训;安全生产风险管理体系的宣传贯彻。以安全生产风险管理体系背景知识和基本知识为主要内容,要求全员培训,由企业自己完成。 1.3制定贯标计划 制定工作计划是建立安全生产风险管理体系的基础。建立安全生产风险管理体系是一项十分复杂和涉及面很广的工作,通常情况下,建立安全生产风险管理体系需要1年以上的时间,因此需要制定详细的工作计划和时间表。与此同时,制定计划的另一重要内容是落实资源需求。 1.4初始评审 初始评审主要包括调查企业现有的安全健康管理机构、管理规章制度、适用的法律法规、组织活动中存在的风险,关键是危险因素的识别、危险评价和危险控制计划的制定。评审的信息将是安全生产风险管理体系设计的基础。危害辨识及风险评价包括:确定危险源(哪些因素会导致事故);判断谁会受到伤害、严重程度如何;判断事故发生的可能性;确定这些风险如何消除或降低(通过对设施、作业方法、设备或培训的改进是否能够消除或降低这些风险)。以电厂为例,电厂的危险因素主要包括:高处作业、高温环境作业、起重作业、压力容器与管道检修、设备动火作业、电气倒闸操作、锅炉炉膛内检修和升压站维护、油系统作业、金属探伤、化学危险品管理与使用、车辆运输等。根据以上作业活动风险的大小、所覆盖人员的数量等,制订完善的控制措施,以便在作业过程中让员工遵守或督促员工执行。 1.5安全生产风险管理体系设计 企业根据初始评审的结果,确定职业安全健康方针,制订职业安全健康目标和管理方案,确定机构和职能分配,确定体系文件层次结构,提出体系文件清单,体系文件的编写、审定与批准。职业安全健康方针为企业规定了明确的承诺、目标、职责和程序,它是整个体系的灵魂。 1.6文件编写 结合组织初始评审的结果和现有的管理制度,按照安全生产风险管理体系标准的要求进行文件编写。安全生产风险管理体系是一套文侯新文中电投集团南方电力有限公司广东广州510130件化、程序化的管理机制,因此,文件编写是企业建立安全生产风险管理体系不可缺少的内容。一般把安全生产风险管理体系文件分为3个层次:管理手册(包含17个要素)、程序文件、作业文件。编写的文件将作为体系运作的依据。 1.7试运行 安全生产风险管理体系的试运行是将安全生产风险管理体系文件予以实施,检验其适用性、充分性和符合性。在试运行期间,企业应进行协调、监督、考核和信息反馈,并有组织、有计划地进行内部审核和管理评审,通过对试运行中发现的问题采取纠正和预防措施,达到安全生产风险管理体系的初步完善。内部审核是企业对其自身的安全生产风险管理体系所进行的审核,是对体系是否正常运行以及是否达到预定的目标等所做的系统性的验证过程,是安全生产风险管理体系的一种自我保证手段。内部审核一般1年1次。管理评审则是企业领导亲自对体系的现状是否有效地适应安全生产风险管理体系方针要求,以及体系环境变化后确定的新目标是否合适等所作的综合评价。管理评审每年至少进行1次。需要强调的是,安全生产风险管理体系并非抛开企业传统的安全管理模式而独创,它只是把企业原有的职业安全健康管理工作中的计划、组织、实施和检查、监控等活动,集中、归纳、分解和转化为相应的目标、程序和作业文件。 2、电力企业安全生产风险管理体系的认证程序 在建立了安全生产风险管理体系之后,就可以开始策划安全生产风险管理体系认证工作。 2.1体系认证的基本条件 凡申请认证的企业应具备下列条件:认真贯彻执行我国有关安全生产的法律、法规和标准;已建立安全生产风险管理体系,并运行达3个月以上;在过去2年中,每个年度的千人重伤率和千人死亡率低于同行业水平。 2.2认证申请 符合上述认证条件的企业才能以书面形式向认证机构提出申请。书面材料包括:申请认证的范围;申请人同意遵守认证要求,提供评价所需要的信息;企业的一般情况:如名称、地址、性质、法律地位以及有关的人力资源和技术资源等;企业安全健康工作情况简介,包括近2年的事故发生情况;企业安全生产风险管理体系的运行情况等。认证机构在收到申请材料后,对申请材料进行审查。对未通过审查的企业,认证机构会通知申请方进行补充、纠正或重新申请;对通过审查的企业,认证机构确认受理后,将向申请方发放《安全生产风险管理体系审核登记表》,并编制一份审核计划提交给申请方。 2.3认证审核 属于外部审核,它是由国家认可的专门的安全生产风险管理体系认证机构(如国家安全生产风险管理体系认证中心)来进行。根据审核的层次和深度,认证审核又分为初始审核和正式审核。对审核组织推荐通过的企业,认证机构的管理(或技术)委员会在1个月内要专门组织有关成员进行讨论,对其是否能够注册进行审定。对审定通过的企业,则批准注册并签发认证证书;如果审定时不能通过,认证机构向其发放《审核结果通知书》,将审定结果通知受审核的受审核企业。认证机构将每年对获证企业进行1次年度监督审核,获证后的第一年监督审核为2次。此外,安全生产风险管理体系认证证书的有效期一般为3年,3年后将进行复评,复评程序与正式审核认证相同。 3、结语 实践证明,建立安全生产风险管理体系是提高企业安全管理水平、规范企业安全管理过程的有效手段和方法,由此提高了企业的影响力和市场竞争力。但通常情况下,企业单纯依靠自己的力量,很难在较短的时间里打破原有的管理方式,迅速有效的建立起符合标准要求的安全生产风险管理体系并使其真正运行,往往需要外部的协助。 作者:侯新文单位:中电投集团南方电力有限公司 安全风险管理论文:银行业金融安全风险管理论文 编者按:本论文主要从金融资产对经济的影响;金融风险管理保障金融安全;BaselⅡ框架下的风险计量;国内银行风险管理建设现状及问题;探索中国金融风险管理模式等进行讲述,包括了金融的安全和稳定离不开有效的金融风险管理、建设现状、存在问题、掌握优秀的数据、突破关键的技术等,具体资料请见: 摘要:随着金融危机在全球的蔓延,商业银行风险管理日益成为一个重要的内容,银行、金融的稳定关系着民生、关系着中国的发展。在国内金融机构即将接轨巴赛尔新资本协议的背景下,我国商业银行风险管理工作目前是一个什么样的状况、存在什么样的问题,在新阶段下如何更为高效的开展风险管理工作,是本文分析阐述的出发点和落脚点。 关键词:银行风险风险管理巴塞尔新资本协议金融安全 一、金融资产对经济的影响 2009年6月,财政部金融司管理的中国金融资产近70万亿,在国民经济总量中日益占据重要位置。如何保障巨额金融资产的安全和稳定,已经是维护国家经济安全的重要内容。 二、金融风险管理保障金融安全 近年来美国次贷危机的发生与国际金融市场的动荡,使得世界各国尤其是发展中国家愈来愈关注金融安全的问题。金融安全是国家经济安全的优秀,关系到国家政治稳定、经济发展和人民群众的切身利益。 金融的安全和稳定离不开有效的金融风险管理。金融业应正确处理防范和化解金融风险与支持经济发展的关系,才能保持资金正常运转,为经济发展提供支持和服务,实现自身的持续发展。 金融风险管理分两个层面,一是提高金融机构的内部风险管理;二是加强监管部门的监管体系建设。二者相辅相成,缺一不可。相比而言,金融机构的内部风险管理侧重于架构的设计和方法的确定;而监管机构的监管体系建设侧重于模式的选择和政策的制定。 巴塞尔新资本协议(简称“BaselⅡ”)的推广和实施,兼顾了金融机构和监管机构的风险管理要求,使金融风险管理更规范化,也更有效率。 三、BaselⅡ框架下的风险计量 BaselⅡ较之Basel,更强调风险的计量,而风险计量最突出的表现是以内部评级法(简称“内评法”)为优秀。内评法信用风险下的高级法涉及对贷款违约概率(简称“PD”)、违约损失率(简称“LGD”)和风险暴露(简称“EAD”)的确定,其中LGD的估值一直是高级法实施中的重点和难点。 BaselⅡ的三大支柱中均涉及到风险参数的计量,其中第一支柱中的高级法鼓励商业银行自行估算PD、LGD和EAD,第二支柱要求商业银行对外披露风险参数的确定方法,第三支柱要求监管部门能够对商业银行风险参数的确定进行评估和校验,因此可以说BaselⅡ是围绕着风险计量管理为优秀的。 四、国内银行风险管理建设现状及问题 (一)建设现状 目前国内银行业基于BaselⅡ的银行风险管理建设,从框架到模块都借助于Moody’sKMV、S P、Fitch、OliverWyman等外资咨询机构。外资咨询机构为国内银行提供的风险管理服务,大多是协助银行实施涵盖风险管理各方面的全局性改革。 不可否认,外资咨询机构在金融风险管理领域,其所拥有的品牌效应和国际经验,使得欠缺独立完成整体规划专业能力的国内银行纷纷抛出“橄榄枝”,投入不菲的费用,全权委托外资机构进行本行新资本协议实施项目的总服务商。然而,在BaselⅡ领域,外来的“和尚”真的能念好“经”吗? (二)存在问题 BaselⅡ实施的关键:一是数据,二是模型,但国内目前在这两个方面的准备依旧存在很大的问题。 1.数据基础方面 银行BaselⅡ的推行,离不开对其信用数据有效的归集和整理。新资本协议对数据质量、完整性和历史观察期有明确要求。但目前,进入中国市场从事银行风险管理建设的各家国际知名咨询机构,自身所积累的信用数据均不包含中国的数据,因此无法进行借鉴和引用;而国内金融机构正在进行历史数据的收集清理工作,在数据标准、数据质量、数据定义、数据逻辑等方面,才刚刚起步,离实施新资本协议还存在一定差距。 2.模型建立方面 关于内评法中所涉及的优秀参数PD、LGD和EAD的确定,目前国外业界在PD建模经验方面较为成熟,但是对于LGD和EAD的计量,因普遍缺乏分析数据,故基本都处于起步阶段,还在进行理论方面的探索。 从欧美国家以及亚洲发达国家的经验可知,单纯地依赖国际知名风险咨询机构进行BaselⅡ的框架建立和推行实施,对于现阶段的中国银行业而言,并非成熟的模式。探索有中国特色的金融风险管理之路,应立足自身选择风险管理模式和方法。 五、探索中国金融风险管理模式 实施新资本协议不存在最先进的模式,只有最适合的模式。建立适合自身特点的实施模式是新资本协议项目成功的关键。银行必须首先理解自己——包括理解自己的国情环境、历史未来、组织架构、管理流程,理解自己的业务和数据,才能选择最适合自己的模式。因此,商业银行应避免从形式上套用新资本协议,应首先评估风险管理现状,评估IT和数据基础,适当借助而不是完全依赖外资咨询机构力量,更多的立足本国资源,将所借鉴的国外经验逐步转化为内部能力。 (一)掌握优秀的数据 在实施BaselⅡ过程中,对数据基础的建设,应该以自力开发为主。 首先,将中国银行业的数据和系统向国外咨询机构开放,会涉及较为敏感的金融安全问题;其次,对中国数据的理解和应用,国内的银行和机构更有话语权;第三,优秀数据的建设,并不是一朝一夕的短期行为,而是贯穿实施新资本协议的始终,所以外资咨询机构的阶段性辅助并不能支持该项工作长期有效的实施。 (二)突破关键的技术 BaselⅡ的制定,代表了国际金融市场规则的发展方向,同时也是欧美发达国家在控制金融机构风险管理和风险监管的最佳做法;但从发展中国家的角度看,尚不完善的基础条件制约协议作用的发挥。这些制约包括公司和银行破产制度和程序、法律和诉讼体系、资本市场、信用评级体系、会计体系、科技支持、数据库、公司治理结构,甚至包括人们对于风险和风险管理的基本态度等等。 (三)探索中国金融风险管理之路 笔者认为,中国的金融风险管理可以选择如下的发展途径: 1.建立统一的数据联盟 数据不足是困扰各家银行风险建模工作、推进新资本协议工作普遍存在的问题。2004年12月,由于缺乏信用风险统计研究的历史数据,欧洲几家大银行建立了泛欧洲信用数据联盟PECDC(Pan-EuropeanCreditDataConsortium)。截止2008年底,已经拥有37家成员国银行。各成员按照PECDC的数据标准和规范提交自己拥有的信贷数据、违约损失数据样本点,PECDC按照各成员的样本贡献率来分配数据共享量,在很大程度上缓解了各成员银行数据不足的困境。 这一数据联盟为各成员银行提供了创造和分析不同信用风险参数的统计样本基础,也可以用来度量各成员银行的信用风险组合,有利于计量经济资本和新资本协议所要求的资本充足率,也为各国、各家银行解决风险建模工作数据不足提供了思路。 2.建立统一的数据信息平台,加强商业银行IT系统建设 在推进实施新资本协议过程中,银行的首要工作是有效地整合银行内部各业务部门系统的数据资源,实现数据的集中存储和展现,为数据清洗、标准化整合工作提供统一的基础风险数据。 3.风险管理建模工作要与银行实际业务紧密结合,加强业界多方交流 风险管理部门研发模型最终要运用于银行日常风险跟踪及管理中,因此建模工作一定要与实际应用紧密结合,不断与信贷部门、监控部门进行沟通,使模型接近于实际业务需要,具有实践上的可操作性。 4.依靠自身力量推进巴塞尔实施进程 欧洲和日本先进银行均坚持利用自身或本国咨询机构的技术和数据,培养本土的优秀技术团队,在推进实施BASELⅡ的过程中,充分体现出自身的资产特征和文化内涵。 安全风险管理论文:信息安全风险管理论文 摘要: 随着宽带网络和用户规模的不断增长,用户对宽带接入业务的高可用性要求不断增强,对电信运营商在IP城域、接入网络和支撑系统提出了更高的安全性要求。本文从信息安全管理的理念、方法学和相关技术入手,结合电信IP城域网,提出电信IP城域网安全管理、风险评估和加固的实践方法建议。 关键字(Keywords): 安全管理、风险、弱点、评估、城域网、IP、AAA、DNS 1信息安全管理概述 普遍意义上,对信息安全的定义是“保护信息系统和信息,防止其因为偶然或恶意侵犯而导致信息的破坏、更改和泄漏,保证信息系统能够连续、可靠、正常的运行”。所以说信息安全应该理解为一个动态的管理过程,通过一系列的安全管理活动来保证信息和信息系统的安全需求得到持续满足。这些安全需求包括“保密性”、“完整性”、“可用性”、“防抵赖性”、“可追溯性”和“真实性”等。 信息安全管理的本质,可以看作是动态地对信息安全风险的管理,即要实现对信息和信息系统的风险进行有效管理和控制。标准ISO15408-1(信息安全风险管理和评估规则),给出了一个非常经典的信息安全风险管理模型,如下图一所示: 目前,宽带IP网络所接入的客户对网络可用性和自身信息系统的安全性需求越来越高,且IP宽带网络及客户所处的信息安全环境和所面临的主要安全威胁又在不断变化。IP宽带网络的运营者意识到有必要对IP宽带网络进行系统的安全管理,以使得能够动态的了解、管理和控制各种可能存在的安全风险。 由于网络运营者目前对于信息安全管理还缺乏相应的管理经验和人才队伍,所以一般采用信息安全咨询外包的方式来建立IP宽带网络的信息安全管理体系。此类咨询项目一般按照以下几个阶段,进行项目实践: 3.1项目准备阶段。 a)主要搜集和分析与项目相关的背景信息; b)和客户沟通并明确项目范围、目标与蓝图; c)建议并明确项目成员组成和分工; d)对项目约束条件和风险进行声明; e)对客户领导和项目成员进行意识、知识或工具培训; f)汇报项目进度计划并获得客户领导批准等。 3.2项目执行阶段。 a)在项目范围内进行安全域划分; b)分安全域进行资料搜集和访谈,包括用户规模、用户分布、网络结构、路由协议与策略、认证协议与策略、DNS服务策略、相关主机和数据库配置信息、机房和环境安全条件、已有的安全防护措施、曾经发生过的安全事件信息等; c)在各个安全域进行资产鉴别、价值分析、威胁分析、弱点分析、可能性分析和影响分析,形成资产表、威胁评估表、风险评估表和风险关系映射表; d)对存在的主要风险进行风险等级综合评价,并按照重要次序,给出相应的防护措施选择和风险处置建议。 3.3项目总结阶段 a)项目中产生的策略、指南等文档进行审核和批准; b)对项目资产鉴别报告、风险分析报告进行审核和批准; c)对需要进行的相关风险处置建议进行项目安排; 4IP宽带网络安全风险管理实践要点分析 运营商IP宽带网络和常见的针对以主机为优秀的IT系统的安全风险管理不同,其覆盖的范围和影响因素有很大差异性。所以不能直接套用通用的风险管理的方法和资料。在项目执行的不同阶段,需要特别注意以下要点: 4.1安全目标 充分保证自身IP宽带网络及相关管理支撑系统的安全性、保证客户的业务可用性和质量。 4.2项目范畴 应该包含宽带IP骨干网、IP城域网、IP接入网及接入网关设备、管理支撑系统:如网管系统、AAA平台、DNS等。 4.3项目成员 应该得到运营商高层领导的明确支持,项目组长应该具备管理大型安全咨询项目经验的人承担,且项目成员除了包含一些专业安全评估人员之外,还应该包含与宽带IP相关的“业务与网络规划”、“设备与系统维护”、“业务管理”和“相关系统集成商和软件开发商”人员。 4.4背景信息搜集: 背景信息搜集之前,应该对信息搜集对象进行分组,即分为IP骨干网小组、IP接入网小组、管理支撑系统小组等。分组搜集的信息应包含: a)IP宽带网络总体架构 b)城域网结构和配置 c)接入网结构和配置 d)AAA平台系统结构和配置 e)DNS系统结构和配置 f)相关主机和设备的软硬件信息 g)相关业务操作规范、流程和接口 h)相关业务数据的生成、存储和安全需求信息 i)已有的安全事故记录 j)已有的安全产品和已经部署的安全控制措施 k)相关机房的物理环境信息 l)已有的安全管理策略、规定和指南 m)其它相关 4.5资产鉴别 资产鉴别应该自顶向下进行鉴别,必须具备层次性。最顶层可以将资产鉴别为城域网、接入网、AAA平台、DNS平台、网管系统等一级资产组;然后可以在一级资产组内,按照功能或地域进行划分二级资产组,如AAA平台一级资产组可以划分为RADIUS组、DB组、计费组、网络通信设备组等二级资产组;进一步可以针对各个二级资产组的每个设备进行更为细致的资产鉴别,鉴别其设备类型、地址配置、软硬件配置等信息。 4.6威胁分析 威胁分析应该具有针对性,即按照不同的资产组进行针对性威胁分析。如针对IP城域网,其主要风险可能是:蠕虫、P2P、路由攻击、路由设备入侵等;而对于DNS或AAA平台,其主要风险可能包括:主机病毒、后门程序、应用服务的DOS攻击、主机入侵、数据库攻击、DNS钓鱼等。 4.7威胁影响分析 是指对不同威胁其可能造成的危害进行评定,作为下一步是否采取或采取何种处置措施的参考依据。在威胁影响分析中应该充分参考运营商意见,尤其要充分考虑威胁发生后可能造成的社会影响和信誉影响。 4.8威胁可能性分析 是指某种威胁可能发生的概率,其发生概率评定非常困难,所以一般情况下都应该采用定性的分析方法,制定出一套评价规则,主要由运营商管理人员按照规则进行评价。 4.9风险处置 针对IP城域网风险分析结果,在进行风险处置建议的时候,需要综合考虑以下多方面的因素:效用、成本、对业务、组织和流程的影响、技术成熟度等。 安全风险管理论文:配网工程施工安全风险管理论文 一配网工程施工安全风险管理的潜在隐患 在配网施工过程中,其存在的主要安全隐患主要包括以下三个方面: 1相关工作人员缺乏必要的安全观念 当前在电力企业中,不论是企业相关领导及管理人员,还是其他工作人员,其更注重企业经济效益的增长,电力技术的提高,而普遍缺乏对施工安全足够重视,其安全观念十分淡薄,这导致相关工作人员在工作过程中,疏忽大意,从而导致安全风险,如在电力故障抢修中忘记携带必要的工具,抢修效率低下,导致安全隐患的发生。 2管理水平低下由于管理人员安全观念淡薄 对管理工作缺乏热情和积极性,导致其管理水平低下,对于施工过程不予以严格的监督管理,一旦出现问题,则相互推诿责任,甚至有部分管理人员为了个人利益,而对施工过程中的违规现象视而不见,管理水平的低下,也是配网施工中最主要的隐患之一。 3相关工作人员专业素质低下 当前在电力行业,有相当一部分工作人员专业素养不高,企业又缺乏相应的培训机制,员工由于缺乏扎实的专业技能,导致其在施工及故障抢修等过程中出现技术不过关的问题,从而造成潜在隐患。 二配网工程施工安全风险管理的危险源 在配网施工过程中,其危险源主要指的是能够引发人员伤亡及造成财产损失等的所有危险因素的统称,其主要包括以下两种: 1实体危险源 其主要指的是施工中所需要用到的设备器械以及场所等。设备机械类的分为两类:一类是由于设备的安装摆放不当造成的安全隐患,而这些装置却具有很大的能量,如发电机等;另一类是在施工过程中因设备操作不当而引发的安全隐患,如起重机等。场所类的也分为两类:一类是某些场所因为环境等因素所造成的安全隐患,如施工现场由于恶劣天气而出现泥石流等自然灾害而引发的安全事故;另一类是具有风险的场所,如企业的油库等,由于工作人员不慎而引发火灾等。 2虚体危险源 此类危险源主要指的是由于人为因素及环境变化等所引发的安全隐患,人为因素如起重机操作中疏忽大意造成的风险,环境因素如温度的变化,而影响到设备的正常运行等。 三配网工程施工安全风险管理的有效措施 1提升相关人员的安全观念 在配网施工中,要想提高安全风险管理水平,首先要加强相关领导的足够重视,加深其对安全管理工作重要性的深刻认识,从而提升其安全管理观念,只有领导带头加大对安全管理工作的重视,才能在企业全体员工中形成一种安全管理的氛围。因此相关领导要定期组织全体员工开展安全教育工作,引起员工对施工安全问题的重视程度,加深其对安全管理工作的深刻认知,从而有效提升其安全管理观念,在整个企业中构建一个安全管理的良好氛围,督促员工在实际工作中践行安全管理相关制度,同时对其他员工的安全作业进行监督促进,从而有效促进配网施工安全风险管理工作水平的提升。 2完善安全风险管理制度 配网施工要想实现安全管理水平的提升,就必须完善安全管理的相关制度,严格要求员工按照相关制度进行施工,对施工过程进行严格的监督管理,促进其管理水平的提升。同时做好风险的预防工作,并做好相关应对预案,避免安全事故的进一步扩大化。企业在配网工程施工前,要将该施工所需进行的施工项目全部列出来,并一一对各施工项目的施工流程及方法等进行详细阐述,对于存在的可能安全隐患一一进行说明,让相关施工人员做好心理及理论上的储备,以有效避免及应对施工过程中的安全隐患,可以通过给员工发放《作业指导书》的形式实施。同时严格作业票的发放及审核机制,每个施工人员只能发一张相关的作业票,并由相关管理人员,施工前予以严格审核,审核通过方能进行作业,并由持票人予以签名,加强对施工过程的严格监管,督促相关工作人员严格按照“四措施及两票”等制度进行安全施工。我们在提升配网工程安全风险管理中就采取了四步法、八步骤的方式进行管理,并取得了显著成效,极大地提升了其安全管理水平,其通过《作业指导书》《电网建设安全施工作业票》《安全基准风险分析指南》等,对工作人员的工作流程进行规划化,定期对配网工程存在的风险进行评价,及时排查其危险源,严格规范其管理过程,所有员工凭票作业,并严格对其进行审核,实现“两票、三保(保护用具)、四措施(技术措施)、一交底”(即凭票工作、凭票操作、穿工作服、戴安全帽、系安全带、停电、验电、接地、挂牌装遮拦和现场安全技术交底)。 3提升工作人员专业素养 完善考核机制要想配网施工安全管理工作能够有效实施,提升相关工作人员的素养是关键,因此企业相关领导要定期给予工作人员予以专业知识及技能的培训,提升其专业技能,对于新引进的设备,要及时给予工作人员培训,加强其对新设备的了解,熟悉其操作流程及相关规范等,从而有效地防止安全隐患的发生。此外,企业在对承包商进行招标时,为了提升施工质量及施工安全管理水平,还需要引入相应的竞争以及考核机制,可以在承包商考核机制中引入扣分制度,其内容主要有:其扣分考核以一年度为一周期实施,时间从每年元旦到12月最后一日的24点截止,并对其扣分进行归零处理,同时其扣分情况实现信息化系统管理,相关监管人员要在两天内将承包商的扣分情况输入信息系统中,各相关方可随时予以查询,最后相关部门对扣分情况进行统计分析,按照相关标准,对扣分达到一定数值的承包商,予以相应处罚,并定期对其结果进行公告。其具体扣分划分如下:小于6分为可控状况;6~9分之间需进行通报批评;9~12分之间,需对承包商予以1~3分的扣分处理,其有效时间为1~4个季度;大于12分的,则给予承包商予以拒绝其参加任何形式的南网招投标活动,有效时间为1~4个季度;扣分9~12且连续2次及以上的,其处罚情况同扣分大于12分的情况。 4严格审查停电计划 作业前准备充分,提前把关、作业中认真督察,过程管控、作业后总结,奖惩分明、加强材料需求准确性及供应及时性,以及加强对承包商工程管理考核的执行等。 四结语 由以上可以看出,配网工程施工中存在不少安全管理问题,其严重阻碍电力行业的健康可持续发展,因而加大对其安全管理的研究有着深远意义。 作者:谢荣彬单位:广东电网韶关乳源供电局 安全风险管理论文:建筑工程施工安全风险管理论文 1建筑工程施工安全风险管理策略 建筑工程安全风险管理方式是多样化的,结合不同特点的施工安全风险管理环节,积极采用相应的建筑工程施工安全风险管理策略,是很有必要的。建筑工程安全风险控制和应对的过程中,积极通过建筑施工安全风险的识别,评估的方式,从数据统计的角度去界定建筑施工安全风险发生的概念,损失程度,危害程度,由此制定切实的建筑施工安全风险控制和应对措施。一般情况下,对于风险进行管理和控制的方式分为:消除风险,减轻风险,预防风险,回避风险和转移风险。上述的几种方式可以切实的被运用到建筑工程施工安全管理工作中去。基于这样的理论,积极结合建筑工程施工安全风险管理特点,实现理论与实践的相互融合。具体来讲,需要从以下角度入手: 1.1消除建筑施工安全风险 消除建筑施工安全风险,可以尝试多样化的方式去达到这样的效能。一般情况下,使用更加先进的施工技术或者施工方法,解决原来技术缺陷和弊端,以尽可能的实现建筑施工安全风险隐患的规避。为此,应该积极做好以下几方面的工作:其一,组建建筑施工安全风险管理小组,对于建筑施工安全管理工作进行分析和总结,找到现阶段建筑施工安全管理工作的缺陷和不足;其二,结合实际建筑施工安全风险管理情况,鼓励进行技术创新,工艺改善的方式实现部分建设施工环节风险的管理和控制。 1.2减轻建筑施工安全风险 所谓减轻建筑施工安全风险,是指以技术手段措施实现建筑施工安全风险的减轻,从而避免风险带来的不利影响。从本质上来讲,减轻建筑施工安全风险的过程,是将可预测的安全风险控制在可以承受的范围内的过程。对此,应该积极做好以下工作:针对于现阶段建筑施工安全风险情况,对于建筑施工安全风险情况进行全面分析,在此基础上制定相应的策略进行风险降低。 1.3预防建筑施工安全风险 预防建筑施工安全风险,是一种主动出击的建筑施工安全风险处理策略,简单来讲,就是通过对于众多建筑施工安全风险源的分析,确定其可能出现的建筑施工风险,采用一定的技术措施使得建筑施工风险不会发生。对于建筑施工安全风险的预防来讲,应该注重以下内容:其一,树立建筑施工安全风险防范意识,营造良好的建筑施工安全风险预防氛围;其二,加大对于建筑施工安全风险防范的投入,从设备,人力,财力等角度给予充足的支持,保证各项防护工作都能够切实发挥效能。 1.4回避建筑施工安全风险 对于建筑施工过程中的安全风险,以回避的方式进行处理,是最佳的处理方式,也是比较彻底的施工安全管理策略。但是在此过程中要主动放弃或者改变项目施工方式,在确定规避方案的时候,要积极去思考这样的改变是否会对于整个建筑项目的经济效益构成危害,这就要求对于回避建筑施工风险的方案进行全面的评价,从风险源入手,展开分析,并且最终确定建筑施工安全风险方案,将其执行到建筑施工安全风险管理中去。 1.5转移建筑施工安全风险 所谓转移建筑施工安全风险,就是将风险环节集中的项目分给其他的单位来承担,以最大化的降低风险的发生概率,使得自己不用去承受不利后果。一般情况下,当公司技术能力,管理素质不强的时候,就会以工程建设承包的方式进行分包,以便弥补自身在技术和管理方面的缺陷,将风险转移给了承包商和分包商。或者以购买保险的方式,一旦发生施工安全风险,由保险公司去进行承担,也是很常见的一种转移风险的做法。 2结束语 综上所述,建筑工程施工安全风险管理是现代建筑工程管理的重要内容。正视现阶段建筑工程项目安全风险管理现状,探析其中存在的缺陷和不足,并且在此基础上积极构建完善的建筑工程施工安全风险管理体系,是当前建筑工程企业应高度重视的问题。 作者:郝会娟 高继威 单位:河南建筑职业技术学院 河南省建筑工程学校 郑州中兴工程监理有限公司 安全风险管理论文:儿科临床用药安全护理风险管理论文 1资料和方法 收集我院2011年6月至2014年6月儿科上报的用药错误护理不良事件和院科两级护理质量检查中发现的用药安全隐患共32例,分析其原因并提出对策。 2结果 32例儿科护理用药错误引起的不良事件或安全隐患的原因为:执行医嘱错误11例(34.4%),未严格执行查对制度8例(25.0%),操作不规范6例(18.8%),护士职业素质因素4例(12.5%),实习带教不严格2例(6.3%),药品过期1例(3.1%)。 3讨论 3.1原因分析3.1.1执行医嘱错误(1)主班护士处理医嘱时注意力不集中,常被其他事情干扰(如接待来访者、接听电话、处理呼叫器等),将医嘱转抄到执行单和输液卡时,易误抄漏抄;(2)儿科医嘱复杂、变化多,特别是临时医嘱多时医护疏于沟通,导致医嘱处理不及时或护士执行错误;(3)责任护士正忙时,有临时医嘱需其执行的,主班护士未交待清楚;(4)个别护士违规执行口头医嘱。此外,儿科护士工作强度大也是医嘱执行错误的一个重要原因[4]。 3.1.2未严格执行查对制度(1)护士未能做到每班认真查对医嘱,或查对时未做到医嘱单、电脑、执行单、输液卡或口服药卡的四核对,导致不能及时发现医嘱执行错误;(2)配制药物时未认真查对,导致药品拿错、配错;(3)在给药前、中、后未认真查对药品和患儿身份,导致发错药、打错针、换错液体等。 3.1.3操作不规范(1)儿科输液分组多,有的护士常简化操作程序,一次配制多组液体,导致配制好的药物放置时间长,增加输液反应风险;(2)儿科用药剂量计算复杂,容易计算错误而致剂量不准确;(3)溶媒选用不当;(4)使用双头输液器时,同时开放两组液体,导致药物相互作用,如酚妥拉明与地塞米松、果糖二磷酸钠与10%葡萄糖酸钙同时输入会出现混浊、变色现象;(5)静脉滴注速度控制不合理,如脱水患儿需快速补液,而新生儿、心肺疾病患儿则需严格控制滴速,过快会发生肺水肿等严重后果;(6)药物用法不适宜[5];(7)在未询问清楚药物过敏史的情况下,未行药物过敏试验。 3.1.4护士职业素质因素(1)责任护士对分管患儿病情、用药不完全了解,未向患儿进行用药指导,使患儿用药依从性下降;(2)口服药未做到监督用药,患儿易漏服;(3)护士交接班不详细,对特殊时间用药、特殊用药或未及时用药的患儿未认真交接,导致换班后患儿药品漏用或错用;(4)儿科护士药学知识欠缺,对药品注意事项、不良反应、配伍禁忌等了解不够,不能科学地指导患儿用药,不能合理地安排静脉输液顺序,不能及时、全面地观察药物治疗效果及不良反应。 3.1.5实习带教不严格有的实习生带教老师不严格,常让实习生单独操作,增加了用药安全风险。 3.1.6病房药品管理因素(1)科室药品未按要求进行管理,备用药品未进行不定期清点、检查,导致药品过期;(2)应该冷藏的药品未放入冰箱保存,需避光的未避光保存,使药品失效;(3)急救药品未按“四定”管理,班班交接,影响急救用药;(4)高浓度药品未单独分类保管,药物未入原装盒或多种药混放一起,容易出错;(5)毒性、麻醉药品未专柜、专锁管理,存在隐患。 3.1.7其他如工作环境因素等。儿科护士在操作中常伴随着患儿的哭闹和躁动,除要付出较大的体力外,还要承担沉重的心理压力,影响其判断力和操作准确性[6,7]。 3.2管理对策 3.2.1加强规章制度的落实力度贯彻落实规章制度是保障用药安全的前提,具体措施:(1)重新优化医嘱核对及处理流程,各班护士认真落实执行医嘱制度和查对制度;(2)进一步明确主班护士工作职责,对重整医嘱、新医嘱、特殊用药及在转抄执行单和输液卡时实行双人核对;(3)加强医护沟通,在执行医嘱时遇到疑问必须询问清楚,一般不执行口头医嘱,必需执行口头医嘱时,要求复述两遍双方确认无误后方能执行;(4)加强责任护士责任意识,尽量让患儿不出病房就能解决问题,减少呼叫器响铃和患儿家长到护士站询问的次数,减少主班护士处理医嘱时的干扰因素;(5)每天做到对全病区所有医嘱认真查对,同时核对第二天输液卡后再行摆药,摆药时要双人查对,尤其注意查对早、中、夜班产生的新医嘱,及时发现、补救用药问题;(6)用药前、中、后要严格落实“三查七对”,杜绝错、少、漏用药发生;(7)在护士站,全院统一制作了安全信息提示板,把需在下一班使用的特殊用药、特殊时间用药在上面作好登记,每班交班前要认真查对所有药物治疗落实情况,同时做好床边交接班,严防遗漏。 3.2.2严格遵守用药操作规范(1)认真执行无菌操作规范,液体现配现用,预防药物污染、变质;(2)配制液体时注意配伍禁忌,使用双头输液器输液时严禁一个通道两组液体同时开放;(3)准确计算药物剂量,特殊用药(如地西泮、氨茶碱等)需双人核算,<1mL的药量,须用1mL注射器抽吸;(4)根据患儿年龄、药物性质、病情合理安排输液顺序及调整输液速度,对需要严格控制滴速的药物使用微量泵或输液泵;(5)勤巡视病房,严密观察用药过程中患儿病情变化,注意有无液体渗漏,输注完毕及时更换;(6)做药物过敏试验前要认真评估患儿有无过敏史,如有过敏史者严禁做皮试。 3.2.3加强护士职业素质管理(1)护士正确认识安全护理的重要性和树立较强的法制观念是安全用药的重要保障,故应经常组织护士学习相关法律知识,利用典型案例进行教育,加强护士责任感和自我约束力,提高其慎独精神与风险意识;(3)责任护士要充分了解分管患儿的病情、药物治疗方案,做好患儿家长用药健康指导,让患儿或其家长知晓所用药品名称及药理作用,提高用药依从性;(4)加强口服药品管理,制定口服药品发放流程,做到“看服到口”;(5)科室要加强护士药学知识的培训和学习,儿科用药复杂,护士应拓宽自己的药学知识,掌握儿科常用药物的治疗作用、不良反应及注意事项,在使用新药、特殊药品前应详细阅读药品说明书。 3.2.4加强病区日常管理(1)护士长要加强病区管理,尽量保持环境安静,倡导使用静脉留置针,减轻护士工作强度和焦躁情绪;(2)每天做好“五查”,随时检查全病区护理质量,重点关注新进护士的工作情况;(3)中班、夜班、节假日要合理搭配值班人员,新老互补,实时监管各班次用药治疗情况,及时发现安全隐患;(4)加强实习护士管理,要求带教老师“放手不放眼”。 3.2.5加强药品安全管理(1)科室设专人管理药品,定期检查药品质量,避免药品积压、过期,病房药品每周清点一次,3个月内要过期的药品使用红色笔记录失效日期以示提醒;(2)药品定位存放,入原装盒、统一标签,合理制定药品基数,严格按说明书要求存放;(3)遵循“先进先出、近期先用”的原则,急救药品使用完毕及时补充;(4)高危、毒、麻药品专柜专锁管理,应有警示标识。章飞雪等[8]建议使用合理用药监测系统(PASS),对高危药品医嘱进行重点监测和管理,确保用药安全。 3.2.6加强科室护理不良事件上报管理我院实行护理不良事件奖励性上报制度,要求科室一旦发生护理用药错误,应24h内上报护理部,科室在1周内进行讨论分析,提出整改方案,从制度落实、工作流程和人员管理等方面加以改进,护理部追踪整改效果。自2011年以来,通过不断总结经验,持续改进,儿科用药不良事件逐年下降,用药安全隐患也越来越少。儿科用药安全风险可发生在护理工作中任何环节,从备药、配药、给药至给药后,一点疏漏都可能酿成严重后果。因此,只有运用科学的管理方法,提高护士的专业素质和安全意识,加强工作责任心,不断优化临床用药工作流程,才能降低临床用药风险,保证患儿用药的安全性和有效性。 作者:段桂仙 单位:湖北省十堰市郧县人民医院 安全风险管理论文:科学发展观下的建筑安全风险管理论文 科学发展观为21世纪中国经济和社会发展指明了道路。科学发展观是中国共产党的重大战略思想,也是推动中国各行各业发展的方法论。在我国国民经济组成中,建筑业是非常重要的行业之一。近年来,随着我国基础设施建设的大规模投资和房地产行业的蓬勃发展,建筑行业的安全风险堪忧,各类安全事故不断,严重威胁着人民群众的生命财产安全。虽然目前各级政府加强了建筑安全的管理力度,但仍然缺乏长效机制,管理漏洞不断,安全生产形势不容乐观。同时,除了发挥政府部门的安全监督管理职能外,还应充分发挥勘察设计单位、建设单位、监理单位、施工单位的安全管理主动性,并不断提高从业人员的安全意识,把人的安全始终放在首位,多位一体建立基于科学发展观的建筑安全风险管理体系。 1以科学发展观统领建筑安全风险管理的重要性 随着人类的进步和社会的发展,人的生命财产安全变得越来越重要。如果人的生命财产安全都得不到保障,那么再好再快的发展都失去了意义。而科学发展观的优秀正是坚持以人为本,促进经济社会和人的全面发展,使经济社会的发展与人的发展高度和谐统一。改革开放以来,我国建筑业快速发展,已经成为国民经济的支柱产业,对于拉动经济发展具有极其重要的地位。然而,由于长期以来受制于行业特点、社会发展水平、管理乏力、工人素质、文化观念、监管不够等因素的影响,建筑业从业人员素质整体较低,建筑业安全生产形势非常严峻。根据住建部的统计,2013年前三季度,全国共发生房屋市政工程生产安全事故384起、死亡478人,比2012年同期事故起数增加20起、死亡人数增加25人,同比分别上升5.49%和5.52%。有效解决工程建设过程的安全问题,是摆在各个建设参与主体面前的一项艰巨课题。由此可见,以科学发展观统领建筑安全风险管理非常重要。必须按照“全覆盖、零容忍、严执法、重实效”的总体要求,高度重视建筑安全生产工作,加大重大环节的安全检查力度,确保较好的建筑安全生产形势。以科学发展观统领建筑安全风险管理迫在眉睫,具有极其显著的经济效益和社会效益。 2建立基于科学发展观的建筑安全风险管理体系 根据我国的现状,结合科学发展观的方法论,建筑安全风险管理应该是全员参与,全过程介入,全方位控制,集中各方面的力量消除安全风险的影响。因此,基于科学发展观的建筑安全风险管理体系如图1所示。从图1可以看出,基于科学发展观的建筑安全风险管理体系的优秀是以人为本,方法是全员参与、贯穿全程和全面管控。只有建立全员、全过程、全方位的建筑安全风险管理体系,以科学发展观为指导,逐渐建立长效机制,才能走出一条具有中国特色的建筑安全风险管理之路。 3建筑安全风险管理体系的应用分析 应用建筑安全风险管理体系,关键在于从法律上界定各个责任主体在建筑安全管理中应该承担的责任和义务范围,充分利用各种手段调动各个主体进行建筑安全风险管理的积极性。其中,政府是建筑安全风险管理各个责任主体的优秀。从政府的角度出发,牵头建立适合风险管理模式的高效管理体系,并制定配套的法律法规,同时加大建筑安全风险监管力度,有效约束建筑安全参与各方的安全行为。从建设单位、勘察单位、设计单位、施工单位、监理单位的角度来看,首先应增强建筑安全风险管理意识,建立建筑安全风险应对措施,把握好安全与质量、进度、投资之间的关系,各自履行建筑安全风险管理主体职责,始终把建筑安全风险管理作为主要任务来抓。从社会公众的角度来看,全社会都应高度关注建筑安全生产问题,始终将广大人民群众的生命财产安全放在第一位,同时发挥舆论监督的作用,形成人人都重视建筑安全的良好社会风气。做好建筑安全风险管理,不仅具有十分重要的经济意义,更具有非常深远的社会意义。现阶段,新的安全生产法已经实施,正在推行落实建筑安全生产责任制和注册安全工程师制度,并实行安全生产一票否决制,质量安全终身负责制,极大地提高了重视安全生产的积极性。各级政府行政首长是安全生产监管责任的第一责任人,各参建单位法人代表是安全生产实施责任的第一责任人。每一起建筑安全事故不仅会带来巨大的经济损失和恶劣的社会影响,而且对于相关家庭都是无法接受的悲痛。建筑安全风险管理的重要性不言而喻,我们要做的工作还有很多很多。基于科学发展观的建筑安全风险管理体系只是一个框架性的模式,在实际过程中需要不断完善,具体问题具体分析,努力将建筑安全风险控制到无限接近于零的最低限度。 4我国建筑安全风险管理 未来发展趋势长期以来,在我国工程建设领域,建筑安全风险管理都是非常迫切的重要任务。近几年,随着科学发展观的提出,对人民群众的生命财产安全越来越重视。一方面,广大建筑业从业人员的安全风险意识不断增强,主动参与到安全预防,做到事前控制、事中控制与事后控制相统一,将可能的安全隐患降低到最低限度。另一方面,建筑安全主管部门不断完善相关法律法规,将安全文明措施费纳入专项费用管理,有效保证安全费用投入,提供了一定的安全屏障。由于建筑安全事故具有不确定性,受到的影响因素很多,既有人为的因素,也有客观的因素,因此完全根除建筑安全问题难度相当大。从长远来看,需要借鉴学习西方发达国家的先进经验,建立适应我国国情的解决建筑安全风险问题的长效机制。只有建筑安全预防意识与建筑安全预防手段同时提高,建筑安全制度标准和建筑安全奖罚机制同时建立,才能不断完善建筑安全风险管理体系,为实现中华民族伟大复兴的中国梦保驾护航。 作者:秦基胜 安全风险管理论文:精神科护理安全与风险管理论文 风险管理指的是为将风险降至最低,通过风险识别和风险评估,选择、优化和实施有效控制风险方法的管理科学[1]。医疗风险管理是指医院有系统、有组织地对医疗风险进行识别、评估,并采取及时有效的处理措施,从而降低乃至消除医疗风险[2]。近年来,随着人们对医疗护理需求的不断提高和法律维权意识的逐渐加强,全国各地出现的医患矛盾、医疗纠纷以及引发的伤医事件越来越多,护理工作面临的风险愈来愈大,特别是对风险系数较高的精神科而言,由于其护理对象的特殊性及操作的复杂性,使精神科护理安全面临非常大的挑战[3]。对精神科护理不安全因素及其原因分析,落实科学有效的风险管理策略,降低精神科护理风险。 1资料与方法 1.1一般资料:选择我院2011年12月~2013年12月住院治疗期间发生护理安全问题的精神疾病患者76例,男49例,女27例,年龄15~66岁。所患疾病包括抑郁症、情感障碍、精神分裂症以及强迫症等。 1.2方法:通过对76例精神疾病患者发生的护理安全问题进行回顾性分析和总结,得出精神科护理安全问题的主要问题及其分布情况。1.3统计学处理:将统计所得到的数据录入Excel中建立数据库,并对护理安全事故分布进行数理统计。 2结果 将所选的76例精神疾病患者在住院治疗期间发生的护理安全问题分布进行统计:冲动伤人21例,毁坏物品17例,自杀自伤14例,意外受伤(如跌倒等)12例,出走外逃7例,其他行为5例。精神科护理中患者发生的安全问题主要包括冲动伤人、毁坏物品、自杀自伤、意外受伤以及出走外逃等。 3讨论 根据对精神疾病患者在住院治疗期间发生的护理安全问题分布进行统计结果,深入分析精神科护理发生安全问题的原因,并提出加强精神科护理安全与风险管理的具体措施,切实降低精神科护理工作的风险。 3.1精神科护理发生安全问题的原因分析:①精神疾病患者及家属因素分析:由于精神疾病的特殊性,患者大多存在行为、认知、思维和情感等方面的偏差,对自身行为缺乏自制力,导致不配合治疗,容易受妄想、幻觉的影响引发自杀自伤、冲动伤人、出走外逃以及情绪上大起大落等行为,是造成护理安全问题的主要原因之一。患者家属由于缺乏有效的医疗知识和沟通不畅,很容易引发医护人员与患者家属的矛盾与纠纷。②护理人员因素分析:由于日常护理工作的护士大多比较年轻,相关专业培训和护理经验不足,同时对精神科护理安全缺乏足够的认识和法律维权知识。容易由于操作不当,缺乏护理技巧和耐心以及看护不严等原因,造成护理安全问题的发生。③医院设备、环境和制度等管理因素分析:由于医院在医疗器械、药品等方面管理不当,封闭式管理的治疗环境等都可能导致患者意外情况的发生。此外,由于医院规章制度不完善,执行力不足,护理人员配置不合理,缺乏有效的护理风险管理组织和监督机制,也是造成护理安全问题的重要原因。 3.2加强精神科护理安全与风险管理的具体措施:①强化对护理对象的人文关怀,加强护理人员专业培训和法律维权意识:护理人员应本着以人为本的职业精神对精神疾病患者提供人性化护理。同时,通过加强护理人员法律知识的学习,提高精神科护理人员安全意识和自我保护能力。加强对护理人员的专业培训,规范护理行为,严格执行操作规程,并对患者病情了然于胸,做到及时发现问题和解决问题,防患于未然。②完善医院环境设备、管理制度建设,提高风险管理监督水平:建立健全医院护理风险管理规章制度,改善精神科病房环境设备使其更加人性化,合理分配医护人员,增加精神科护理人员比例。建立护理风险管理组织,完善护士长督导巡检机制,积极推行护理风险管理奖惩工作,在病房区域安装监控系统,加强护理风险监督水平。③同患者及家属进行有效沟通,建立和谐健康的医患关系:护理人员应根据精神疾病患者的心理问题,及时做好患者心理护理工作。同时与病患家属进行及时有效的沟通,使家属了解精神疾病的特殊性并取得家属的理解和支持,避免不必要的医疗纠纷。积极推进精神疾病科普宣传,建立和谐的医患关系,提高精神科护理工作的安全性和风险管理水平。 作者:罗颖 单位:四川省复员退伍军人医院
中学生安全教育论文:中学生信息安全教育论文 一、加强中学生信息安全教育的意义 (一)中学生是信息社会中信息活动的重要参与者 中学生是当前社会信息活动中的一个重要参与者,而中学生信息安全素养也影响着信息活动的各个方面。 (二)中学生是信息安全未来的参与者和推动者 随着我国社会各方面信息化水平不断提高,中学生参与到信息活动的程度也越来越高,而在这些活动中涉及到信息安全问题,如近几年媒体报道的少年黑客事件,不断涌现,其中很多中学生走上了歧途,成为了信息安全的“建设者”。同时,也有一部分少年黑客在正确的引导下成为了“白帽子”走上了红客道路成为了信息安全的真正的建设者。由此可见,加强中学生信息安全教育其意义更在为我国信息安全领域培养后备力量。 二、加强中学生信息安全教育的建议 (一)加强中学生信息安全意识的培养 1.加强中学生信息安全道德伦理和法律法规教育,使中学生对信息安全有正确的认识,形成正确的价值观。 中学生作为当前社会中参与信息活动的一个重要群体,应该让每一各中学生了解和掌握一些信息安全方面的法律法规,《宪法》《国家安全法》《中华人民共和国信息系统安全保护条例》《中华人民共和国计算机信息网络国际互联网管理暂行规定》等一些相关的法律法规和对信息活动中涉及信息安全的相关规定增加到教学中,进而增强学生信息安全意识。 2.培养中学生识别信息安全威胁,提高信息安全意识。 中学生既是当前社会信息活动参与者,同时在信息活动中也是弱势群体。因此,培养中学生能够辨识信息安全威胁,对于保护青少年和提高其信息安全意识尤为重要。一是通过向中学生讲解信息活动中出的各种侵害和危害的案例和事件,让中学生认识到信息活动中有许多与现实生活相同的威胁存在。二是提高中学生对信息资产的认识,让学生懂得对个人信息及家庭信息等相关隐私信息的保护,尽可能的规避信息安全风险。三是通过演示一些信息危害手段,让学生感受到信息活动过程中会面临信息安全陷阱,让他们养成良好的操作习惯和思维习惯,进一步提高到信息安全意识。 (二)采用多层次教学模式提高中学生信息安全素养 1.利用课堂教学阵地进行信息安全知识的普及教育,使中学生普遍具有一般的信息安全素养。 中学课程标准和教材中已涉及到了信息安全的内容,一方面从法规层面;另一方面从技能培养上介绍计算机病毒的防治。通过学习这些内容可以使全体学生对信息安全知识和技能有初步的认识和掌握,可以应对简单的信息安全威胁。所以,要充分抓住课堂这个普及信息安全的教学主阵地,进行信息安全教育。 2.利用第二课堂对中学生进行信息安全知识的拓展,进一步提升中学生的信息安全素养。 通过开设兴趣班和学生社团等多种形式,给对信息安全感兴趣的学生开设第二课堂,如增加社会工程学入门、破解基础知识、渗透工具使用等课程。使学生的信息安全素养在原有的基础上得到进一步的发展。 3.利用各种比赛进行信息安全的实践,真正提高学生信息安全素养。 随着我国各领域对信息安全重视程度的不断提高,高校、企业都参与到了信息安全人才的培养中来。一些高校每年举办的信息安全对抗或网络攻防赛,还有一些企业也周期性举办一些信息安全赛事。其中,一些比赛和活动中学生也可以参加,为中学生提供信息安全实践的通道。通过参加比赛,使中学生充分体验到信息安全攻防,信息安全素养得到快速的提高。中学生虽然没有较高的专业知识理论,但他们中一些对信息安全的敏锐感觉有时却超越专业人士,竞赛和活动可以让一些对信息安全有特质的中学生脱颖而出,这样就可以尽早为我国选拔出信息安全建设的后备力量。国家的重视、企业的参与、学校的教育,都会快速推进我国信息安全人才的培养。纵观信息安全的发展历程,也许在一开始我们出发的较晚,但到了今天我们却可以迎头赶上,甚至超越我们的对手。作为教育要先行一步,要加强对中学生的信息安全意识的培养;加强中学生的信息安全知素养。为我国信息安全建设的优秀人才建设奠定良好的基础。 作者:高洪波 单位:乌海市第四中学 中学生安全教育论文:中学生公共安全教育论文 一、综合实践活动中公共安全教育途径 在综合实践活动中进行公共安全教育,在途径上一定要多样化且要落实到实处。首先,要充分利用学校的班、团、校学生会、升降旗仪式、墙报等形式来渗透公共安全教育,并以参观、专题讲座、演练等为辅助手段,加强公共安全教育。以道路交通安全教育为例,学校可邀请法制副校长到校进行专题讲座,在这个过程中,学校还可利用图片展览、校园广播、板报等形式来营造氛围,专题讲座后以交通安全问卷形式来促进学生系统掌握交通安全知识。这样,从意识上强化学生的安全意识,通过讲座来进行知识讲解,以问卷来强化安全行为,从而使安全教育更具有系统性。其次,注重通过游戏、活动等体验活动来开展公共安全教育。 一直以来,综合实践活动中的公共安全教育基本是以讲授方式进行,活动形式较为单调,学生较为反感,甚至一些学校将公共安全教育作为一种“指令性任务”,只是利用校会、节日等进行一些“讲话式”的教育,效果甚微。公共安全教育是一项系统的工作,不仅要让学生从意识上得到强化,还要在实践活动中让学生得到技能培养,这就需要以体验活动来进行。如用火安全教育,教学中可通过让学生观看视频、实地操作灭火器、进行主题班会等形式来进行,让学生在活动中获得体验,这样的安全教育效果才会更好。当然,要让公共安全教育取得更好的效果,在学校公共安全教育实践中还需加强和公安、消防等部门的合作,要把学校教育和家庭教育结合起来。如“饮食卫生安全教育”过程中,引导家长带领学生通过调查食品的说明书来获得基本饮食卫生安全常识就是不错的方法。 二、综合实践活动中公共安全教育保障机制 公共安全教育是学校教育体系中的一个重要内容,而在学校教育体系中,公共安全教育又成为“可有可无”的,这就自然让公共安全教育无法实现预期的目的。而这不仅受传统教育观念的影响,在体制上也存在较大问题,毕竟我国的教育还没有完全摆脱应试教育观念的束缚。为此,在综合实践活动中的公共安全教育需要从机制上得到保障。首先,在时间上一定要得到保障。虽然学校教育教学活动内容繁多,且以学科教育为主,但在活动实践中定要以《纲要》精神和内容为出发点,除了要在课程上保证综合实践活动的时间外,还要结合学校实践在班会、校会中渗透公共安全教育。其次,在资源上要不断丰富。 公共安全教育并不是简单的说服教育,而是一种体验式教育,更多的是要让学生深入其中,自主性地进行学习和实践。因此,在资源上就必须较为丰富。在学校公共安全教育体系中,要丰富公共安全教育资源,要坚持“立足当前,着眼未来”的思路,循序渐进地进行。以交通安全教育为例,学校原有的图片资料可不断补充,在图书方面也要不断补充,还要借助网络不断丰富网络资源,与此同时,可发挥学生在过程中的作用,将学生的一些作品收集起来作为资源进行整理。最后,加强教师队伍建设。当前中学综合实践活动没有专业教师进行,多是由班主任或其他教师负责综合实践活动。从专业化角度讲,无论是班主任还是学科教师,在公共安全教育方面无论是知识还是方法都存在一定欠缺,这就需要教育行政部门加强教师专业化培训,学校也应加强校本研究,促进教师的专业化发展。 三、学校综合实践课中公共安全需要注意的问题 社会环境的复杂化和学生安全意识的薄弱已经让公共安全教育迫在眉睫,在综合实践教学中,教师不仅要转变安全教育观念,还要从方法上进行优化,将安全教育作为教育的优秀工作来抓,这样才会收到更好效果。在学校综合实践活动中进行公共安全教育需要注意以下问题:首先,要转变教育观念。传统学校教育中安全教育只是被看作是学科教育的“附属产品”,而没有将其纳入“正统”的范畴,这种观念导致公共安全教育只是注重形式而不关注效果。转变观念就是要将安全教育纳入学校教育的优秀体系中,并将安全教育作为学校教育的基础工作来抓,这样才能保证安全教育活动的顺利展开。其次,在综合实践活动中进行公共安全教育要系统化、科学化,尤其是在方法上要多样化。 作者:钱英 单位:江苏张家港 中学生安全教育论文:农村中学生安全教育论文 一、创造有利于学生安全健康发展的环境 1.创造安全可靠的校园环境 (1)学校选址要稳妥,建筑要结实,尽量远离闹市、公路。(2)安全制度要健全,宣传要到位;从校纪校规到班级公约警示招牌,都要把安全教育渗透涉及学校的方方面面。(3)安全设施要完善,防范要得当;门卫要完备,预警要及时,防火、防盗、实验、消毒、体育等设施要齐备。(4)落实安全责任制和事故追究制;实行校长负责制,建立高效的安全领导机构,层层严格管理,人人尽职负责,谁出事谁担当,追究到底,绝不姑息。 2.创设良好和谐的安全育人环境 让学生牢记“学校是我家,安全靠大家。”安全健康教育不能只靠单纯的口头说教,而要通过预案演练,创设多种情境,促使学生在具体行动中自我锻炼、自我体验、自我认识、自我教育、自我调控,从而在潜移默化中形成良好的行为习惯,养成安全健康的心理素质。有了安全健康的良好心理素质,学生才能表现出最佳的安全行为效果。 3.开展安全咨询交流活动 农村中学生的安全问题十分严重,游泳死亡、交通事故、刑事案件、打架斗殴、房屋倒塌、自然灾害等等问题时有发生,这些事故有校外因素,也有校内因素;有生理因素,也有心理因素;有家庭原因,也有社会原因,不一而足。因此,学校要大力开展安全咨询活动,尤其要建立安全心理咨询室,开设安全心理课,充分利用班会和课外活动进行讨论答辩。这样,学生通过交流咨询,可以释放安全压力,倾吐安全困惑,解决安全矛盾。 二、老师要做好学生安全教育和安全管理的表率和榜样 做老师重在为人师表。在安全教育过程中,要求学生做到的,老师首先要做到;让学生预防的,老师首先要预防;让学生禁止的,老师首先要禁止。譬如:杜绝学生乘坐超载车、无照车、劣况车、农用车等危险性大的车,老师自己首先应该禁坐,哪怕在特殊情况下,也不能存有侥幸心理。在安全教育中,特别是对那些好打架、自控能力差,令师长头疼的学生,老师更要关注他们,因为这些学生心理有一些问题,更需要关爱的阳光和雨露。因而,我们老师要晓之以理,动之以情,辅之以父母之慈,佐之以朋友之谊,公平、公正、辩证地善待他们,尊重他们的人格,本着以人为本、以学生安全健康发展为主的原则,以自己的切身行动和表率示范感染他们,一点一滴地引导他们,并且持之以恒,这样才能拉近师生之间的距离,让孩子树立自信,热爱生活,积极进取,蜕变为一个个健康发展、有作为的学生。 三、充分发挥家庭安全健康教育功能 安全健康教育,学校只能在有限的时间和空间里进行宣传交流引导,这是远远不够的。这就需要老师与家长密切合作,指导家长充分发挥他们的教育功能,把学校安全和家庭安全、学习安全和生活安全、理论的说教和现实的体验、系统的常识和零碎的指点有机结合起来。因为,安全健康教育是学生愉快学习、健康成长和全面发展、长久幸福的需要。所以,家庭要想方设法为孩子提供一个良好的安全教育环境,为孩子营造一个安全舒适的生活环境。这就要求家长和学校老师紧密联系、默契配合,克服自身的弱点、缺点和局限性、狭隘性,从长远着想,从孩子的切身利益出发,做好监护者和教育者,做好引路者和塑造者。四、努力调动社会安全健康教育功能 1.要聘请交通、消防等部门德高望重的专家领导 定期到学校进行安全健康讲座让他们用切身的体验和翔实的案例,启迪学生、熏陶学生、教育学生。 2.要努力配合公安司法等部门严厉打击那些影响学校学生学习生活的不法分子 尤其要对那些已绳之以法影响社会安定的犯罪分子的罪行进行根源解剖,让学生在铁的事实面前,增强安全意识,提高安全行为,学会爱护自己,保护别人,学会从心底热爱家庭、热爱学校、热爱社会、热爱国家,真正珍惜现在和谐美好的幸福生活。总之,安全无小事,要常抓不懈,依法管理,积极预防,老师表率,家长配合,社会参与,从心理到生理、家庭到学校、学校到社会构筑一个全方位的安全教育保障体系,为青少年的健康成长创造一个美好幸福、温馨和谐的环境,真正使他们迅速成长,早日成才。 作者:王小铂 单位:甘肃省陇南市文县东坝中学 中学生安全教育论文:中学生安全教育面临的挑战与对策 一、中学生安全教育存在的问题及面临的挑战 虽然很多学校开展了中学生安全教育,但是在教育过程中出现了很多问题,下面对中学学生安全教育存在的一些问题进行探讨。 1.中学生安全教育流于形式 中学生安全教育直接关系到中学生的生命安全,也直接关系到学校教学工作的正常开展。虽然很多学校开展了安全教育活动,但是活动过于形式,中学生对这些活动的开展,大部分只了解活动的主题,而对教育活动的内容全然不知,甚至少部分中学生对活动的主题都不了解。这样的安全教育过于形式化,没有让给中学生真正的了解安全教育,教育的内容无法渗透到学生的学习生活中去。另外,即使学校积极开展中学生安全教育活动,但是很多教师与学生对安全教育不够重视,参与度不高,他们在思想上并没有意识到安全教育的重要性。 2.案例教育的方法比较单调 教育方法相对简单,是中学生对安全教育提不起兴趣的主要原因。中学开展的安全教育方式主要采取说教、通知、宣传栏和黑板报的形式。这些方式并非中学生喜欢的教育方式,然而例如邀请相关部门(交通、消防等)人员到学校开展专题讲座、相关安全教育电视节目播放、安全教育实际演练、老师讲解时结合具体事例等方式更容易吸引学生的兴趣。因此在安全教育过程中必须注重教育的方法。 3.安全教育方面资源不足 (1)学校教师资源的缺乏校园安全教育的老师存在很大的流动性,是我国安全教育一直发展不起来很重要的原因。中学的安全教育老师主要是思想教育和体育老师,还有就是交通、消防部门的工作人员。但是这些都是兼职的,学校没有安全教育方面的专业老师。中学安全教育师资的缺乏严重影响了校园安全教育的开展。 (2)安全教育教材的不足开展安全教育活动,教材是必不可少的,我国这方面资料有很多,包括出版的书籍,音像制品。中学是有一些这方面的课外读物,但学校大多没有统一使用安全教育的教材,使得教师对安全教育内容选择的随意性很强,只是一味地重复自己熟悉的内容,但对学生需要掌握的实用性内容涉及较少,这使得中学生得不到系统完善的安全教育,这也对校园安全教育的开展造成了很大的阻碍。 (3)安全教育时间的不足对于中学生来而言,学习渠道主要是课堂,这也是吸取中学生安全教育知识的主要渠道。但是我国中学对安全教育课堂设置很不乐观,学校对于这方面的教育时间很难保证。很多中学无论是国家课程还是地方课程,都没有设置安全教育。学校大都以主题班会的形式开展,所以中学生安全知识教育时间肯定是不足的。大多数都渗透在学科教育里,但也只是警示,肯定不够,也缺乏安全演练活动,很多时候安全演练成为了出事后的“被演练”。这些方面的缺乏,使得很多中学生很难掌握自救自护的能力,万一出现意外,中学生难以有效应对,后果不堪设想。 二、对策与建议 1.思想上注视中学生的安全教育。 无论是教师还是学生,他们中的大部分人都认为学生的主要精力和时间就是把学习学科知识当成了教育理念,从而忽视了安全教育,忽视了安全教育。让很多学生养成了学习安全教育知识是没有必要的这种错误观念。针对中学安全教育存在的问题及频频发生的学生伤害事故,函需加强教师与学生的安全思想教育,从而摆正安全教育工作在学校发展中的位置,积极开展安全教育的同时,还要加强校园安全文化建设,确保学校真正意义上开展安全教育活动。在思想上进行安全教育,无疑是非常关键的一个环节,然后发挥模范的带头作用,则会更具有激励作用,学校定期开展在安全工作方面的先进个人和集体事迹表彰活动,通过一定的奖励措施,从根本上不断提升广大师生的安全意识,从而推动安全教学工作更好地开展。 2.构建多元化安全教育模式。 为了引起学生对安全教育的兴趣,应该开设多元化安全教育。比如开设讲座,播放相关的教育视频等,让他们有兴趣去了解安全方面知识,与此同时在思想上树立安全的理念。安全教育的方式方法多种多样的,学校的安全教学也应该不断开拓新的思路和渠道,不能仅仅停留在课本安全知识的学习上。可积极组织一些有实践意义的校园安全教育活动,在学校进行一些摄影和新闻作品的品读,摄影作品内容展现的是一些由于安全意识缺乏而导致的损失和危害,如摄影作品可形象地展示由于疏忽导致的火灾场景,因不遵守交通规范导致的车祸场景等,通过图片的形象展示不仅提升了广大师生的安全意识,更能从潜意识里触动他们的神经,从而能够进行自觉主动的安全知识学习。 3.开设安全教育国家课程。 对于中学的校园安全教育,已经引起社会各界的关注。借鉴安全教育做得好的国家的经验,改变我国中小学安全教育有心无力状况的处罚,我国亟需开设安全教育国家课程。我国教育部门也应该根据不同阶段学生的年龄与认知特点,编写一套由易到难的统一的安全教育教材。虽然对我国校园安全立法问题高度关注已有相当长的时间,但是一直没有制定出一部全国性的校园安全法律法规。缺乏校园安全法律法规已经严重了影响了我国中学安全教育的发展,使得很多学校安全教育的开展得不到保障。 4.发挥学校,家庭和社会的综合作用。 学校是学生获取知识的主要阵地,有条件进行正规化、系统化的安全教育,学生家长要言传身教,以身作则,提高学生的安全意识和自救自护能力。安全教育仅靠学校和家庭是不够的,要依靠社会力量,三方齐抓共管,为学生安全营造良好安全氛围,防止意外发生。 三、结语 安全教育的内容非常广泛,安全教育对学校、家庭和社会来说,是一项繁重的任务,更是一份沉重的责任,中学生安全教育任重道远,希望更多的人关注学生安全教育,总之,学生安全教育不容忽视,我们应该做到警钟长鸣。 作者:侯小文 单位:南安市侨光中学 中学生安全教育论文:中学生网络安全教育的思考与对策 一、我校在网络安全教育上,主要强调以下几个方面。 (1)注重个人隐私。针对此,我们通过主题活动,向学生展示如何保护自己的生活和隐私免于公众的关注,建议学生尽量避免在微博和空间上个人信息,尤其是个人的住址、行踪、电话等信息,在参加某些网络社交活动时保持敏感,确保自己的信息只能被那些得到自己允许的人看见。另一方面,随着学生的手机使用率的提升,在没有相关法律严禁中学生使用手机的情况下,学校只能建议学生安全使用手机,尽量不要把手机借给他人,不要把手机密码告诉别人,要保护个人数据、抵御有害信息等。 (2)与网友在现实中会面。随着QQ和微信等即时通讯工具在中学生中的普及,越来越多的中学生通过网络结交朋友。一些不法分子利用网络的虚拟性、隐蔽性,用虚假身份与学生恶意交往,甚至在与网友见面时,设下各种陷阱,进行不道德行为和违法犯罪活动。学校为了避免学生遭受这方面的伤害,通过主题教育、展板宣传、观看视频的方式,让学生了解与网友见面可能出现的问题,让学生对此有个直观的了解。另一方面,我们建议学生不要随便与在网络上结识的人见面,如果确实有必要见面,应该事先告知家长并选择在公共场所见面,最大限度保证自己的人身安全。 (3)信息传播。网络在快速传递信息的同时,也常常伴随着人肉搜索、不全面甚至虚假的消息,网民通过邮箱、社交网站、网络论坛、QQ空间、微博、微信等网络介质上传播涉及他人隐私或没有事实依据的话语,造成公众的错信、误判乃至恐慌。学校在该主题中要求学生在享受国家保护公民言论自由的前提下,应学会区分言论自由与侵犯他人隐私的界限,鉴别言论自由与造谣中伤的界限。 二、在对学生进行以上方面的网络安全教育上,我校主要从以下几个方面入手 1.占领网络思想政治教育高地我校依托校园网开放网上图书馆、博客、资源库等校内资源供学生学习和交流。学校还组建学科主页,设置各种栏目,如心理驿站、网上阅读、专题讨论等,最大限度地吸引学生的眼球,使校园网在声像结合、图文并茂中发挥德育的功效。学校充分利用BBS(莆田二中贴吧),开展平等互动的在线教育。在这里,师生可以毫无拘束地针对文明上网、网络犯罪、人肉搜索、网络谣言、网络水军泛滥等问题展开讨论,自由发表自己的观点和看法。如今,莆田二中贴吧已然成为舆论强力场,成为学生对社会焦点或学校焦点问题的意见集中发散地。但面对来自不同声音的言论,学校没有放任自流,学校安排科技信息辅导员时刻关注校园网和贴吧的动态,了解学生的思想状况,加强与学生的沟通与交流,及时回答和解决学生提出的问题;对BBS的舆论引导,确保正面舆论的主导地位,使BBS发挥对学生进行思想教育的正能量。学生在BBS的讨论中对网络有更全面的认识,从而更充分地了解网络安全的重要。 2.构建绿色网络教室我校与莆田电信部门合作,设有5间“绿色网络教室”,配有350余台电脑,每台学生机都装有蓝眼睛过滤软件,用于过滤一些色情、暴力和反动信息等危害学生的身心健康的网络信息。在绿色网室的启用上,学校采用亲情卡上网认证体系,这种智能卡具有身份标识及认证功能,学生一人一卡,刷卡上机,上网记录实时生成。同时本系统与莆田市教育主管部门及公安局网络安全科实现联网,数据实时同步,相关部门能及时监管到学生上网的信息及学生过度上网的情况。 3.呼吁多方教育合力开展中学生网络安全教育仅靠学校单方面的力量是不够的,需要多方面的力量。因此我们还寻求电信等企业研发网络安全技术,通过专业化、规范化的教育使学生不断增强自控和自护能力;向社会团体求助,组织开展网络安全教育公益活动,向学生普及网络安全常识,提高学生的网络安全意识。随着信息技术的发展,网络完全也是不断变化的,网络安全教育工作将是一项长期的不断更新的富有挑战的过程。作为教育工作者,我们在为学生开辟健康安全的网络净土的同时,更需要教会他们自我保护的意识和能力,防患于未然,使中学生在网络空间中安全、健康地成长。 作者:张彩云 单位:莆田市第二中学 中学生安全教育论文:中学生体育运动安全教育分析 1.引言 1.1研究意义1.1.1理论意义本研究通过为江宁区中学体育教学中运动安全教育提供有益的对策和建议,其有利于减少学校体育安全事故的发生,有利于我国中学体育发展,为中学体育教学的健康发展提供理论依据。1.1.2实践意义本研究对江宁区中学体育运动安全教育现状的研究,针对当前江宁区中学体育教学中安全教育的不足,提出相应对策及建议,增强学生的安全意识,促进江宁区中学学校体育的健康发展。 2.研究对象与方法 2.1研究对象本文研究对象为南京市江宁区中学生的体育运动中的安全教育的现状。2.2研究方法2.2.1文献资料法本人通过登陆中国知网、万方数据库、CNKI数据库等搜索相关资料,收集查阅了与本研究相关的文献数篇。2.2.2问卷调查法本文根据研究的需要设计了《南京市江宁区中学生体育运动安全教育的研究问卷》,共分为两份,包括中学的领导、体育教师问卷和初中生问卷。采用简单随机抽样,随机抽取8所初级中学。用简单随机抽样,抽取每个学校内各5名体育教师和24名学生(初级中学一、二、三年级各8名)进行问卷调查。本次调查,共发放问卷232份,其中教师问卷40份,学生问卷192份。2.2.3数理统计法在文献资料等基础上,处理有效问卷,用Excel进行对数据进行处理分析,获得文章撰写的重要数据。2.2.4逻辑分析法在文献、调查、数理统计等的基础上,运用归纳、演绎、综合的逻辑分析法,对当前江宁区中学安全教育与管理调查和安全意识实践现状进行系统分析。 3.研究结果与分析 3.1江宁区中学体育课安排的现状与分析从图2可以看出,江宁区中学的同一块场地上课班级的数量情况。通过调查显示,有过2个班级同时在一片场地占13.16%,有过3个班级同时在一片场地占21.05%,有过4个班级同时在一片场地占44.74%,有过5个班级同时在一片场地占15.79%,有过5个以上个班级同时在一片场地占5.26%。由此可见,目前江宁区中学体育课的同一片场地上课数量安排是不合理的,这也是影响学生运动安全的一个因素。3.2江宁区中学体育场地、器材设施管理的现状与分析3.2.1体育场地、器材设施管理人员情况由表4可知,在对学校是否有专门人员对体育场地、器材设施进行管理的调查中有28.95%选择了“有”,23.68%选择了“不清楚”,47.37%选择了“无”,这就说明还有相当一部分的学校未能设置专门人员对体育场地、器材设施进行管理,体育场地、器材设施的管理成为亟待解决的问题。3.2.2体育场地器材检查维修时间的间隔情况学校加强对场地器材的管理,是保证体育课顺利进行的重要保障。从表5可以看出,在所调查的学校中,各个学校对场地器材的维修时间间隔各有特点:20%的学校坚持每周一次,10%的学校每个月一次,30%的学校每季度一次,33.33%的学校一个学期一次,另有6.67%的学校超过一个学期。由数据可以直接看出,江宁区各中学对场地器材的检查维修情况比较集中在每个季度和每个学期,整体情况不容乐观。3.3江宁区中学体育教学中运动安全教育配合的现状与分析为了解影响安全教育的因素情况,对教师和领导进行调查,分别列出了可供选择的9种结构,根据被选频度进行分析。据表9调查所知,“学生不配合”的因素是影响安全教育的主要因素。据图3的调查所所知,有5.26%的学生经常出现不配合的情况,73.68%的学生偶尔出现学生不配合的情况,只有21.05%的学生没有出现不配合的现象发生。由此说明,学生对安全教育的认知不充分,只注重教师的教学指导,忽视学生的配合与合作,没有达到期望的教学效果。由表10可知,江宁区中学生与体育教师工作的配合情况调查结果。对学生上体育课时口袋里是否装有杂物调查发现:9.77%的学生经常会,22.41%的学生偶尔会,67.82%的学生不会。说明教师和学生在课堂常规中比较重视口袋是否放置杂物。对学生在体育课堂中是否打闹调查发现:8.62%的学生经常会,40.8%的学生偶尔会,50.57%的学生不会。综上所述,学生安全意识依然不足,进行运动安全教育还是非常必要的。 4.结论 4.1江宁区中学普遍存在运动场地较小,多个班级同时在一块运动场地进行教学。另外,各学校的运动场地器材多在室外,缺乏专门人员管理和保养,存在安全隐患。4.2部分学校通过采取一些消极措施,以达到减少伤害事故的发生。学生的体质容易下降又容易使得学生发生运动损伤,不利于学校体育的健康发展。4.3江宁区中学对安全教育的宣传已经有了一定的认识,但学生靠自行了解占较大的比例。学校体育课在传授安全知识有待进一步发挥该有的功能。4.4江宁区中学生对体育教师的配合有待提高,应该对学生的着装、是否遵守纪律、有无课堂中打闹等现象进行研究。体育教学中不仅要注重教师的单向教,还要强调能够与学生进行的一系列配合。4.5江宁区中教师和学生对体育教学中的准备活动和放松活动并不重视,通过有针对性的改善,使其在运动过程中导致不必要的运动损伤。 作者:石雪瑞 滕晴 中学生安全教育论文:中学生体育安全教育现状研究 1江油市部分中学体育安全教育问卷调查情况 在江油市中学生中随机抽取260名学生进行问卷调查,发放《阳光体育背景下江油市中学生体育安全教育现状调查(学生问卷)》,共收回问卷256份,其中有效问卷254份,有效回收率为97.69%。同时在江油市中学体育教师中随机抽取35名体育教师进行问卷调查,发放《阳光体育背景下江油市中学生体育安全教育现状调查(教师问卷)》,共回收问卷33份,其中有效问卷33份,有效回收率为94.28%。 2江油市中学体育安全教育现状 2.1体育设施场地检查情体育设施、场地是学校进行体育课教学、课外体育活动、丰富校园文化的根本所在,体育设施、场地的合乎标准与否直接关系到学生能否安全投入到体育活动中去,直接关系到学校体育教学计划、课外体育活动计划的完成。由表1我们可以看出,绝大部分学校(93.9%)会经常检查学校的体育场地设施,3.1%草率检查,我们知道,体育设施、场地处于动态的环境中,可能每天、每星期都处在变化中,所以,经常检查体育设施、场地可以避免很多体育教学、课外体育活动中意外事故的发生。在此次调查中,只有3.0%的学校不对场地设施进行安全检查。可见体育老师对设施、场地的检查与上级要求有差异,而这可能与现行的学校体育安全事故归责制度有关。所以体育老师对学校体育安全工作还是非常重视的。 2.2学生身体健康状况 有研究表明,部分学校体育安全事故的发生是因为学生本身体质过于羸弱或者学生参与的体育活动过于激烈而造成超过身体能够承受的运动负荷,因此,在问卷的设计中特别加入了体育教师对日常教学比赛、课外体育竞赛前参赛者健康状况的了解情况的调查。由表2我们可以看出,绝大部分体育教师对参赛者的健康状况有所了解,有21.2%的体育教师非常了解,51.5%的体育教师比较了解,了解的占到24.2%,只有3.1%的教师对参赛学生的健康状况不了解。说明体育教师对教学活动中或者课外体育活动中预防体育安全事故的发生还是比较重视的。由表3可以看出,大部分学校都建立了学生健康档案,75.8%的体育教师表示学校已建立了完整的学生健康档案,有12.1%的体育教师表示虽然建立了学生健康档案,但是缺少部分指标。只有9.1%的教师所在学校没有建立学生档案。在学校安排的体育课或者课外体育活动中,容易出现体质好的学生达不到适量的运动负荷,而体质相对较弱的学生则承受不了统一安排的运动负荷的现象。学生健康档案的建立可以为学校因材施教地安排体育活动提供基础,在这一方面江油市中学还有待加强。 2.3体育教师教学安全培训状况 体育安全教育是预防在体育活动中发生危险的教育活动,具体是通过对学生进行体育运动项目理论部分的教学,让学生充分了解体育运动的生理作用、基本的体育卫生知识、预防体育事故、体育损伤的办法,树立安全运动意识,处理突发体育事故,明白体育安全的重要性,进一步激发学生对体育的喜爱程度,提高学生体育综合知识,为学生自发锻炼养成终身体育意识做好一定的基础。只有体育教师受到过系统的安全教学培训,才能真正达到这样的目的。在接受调查的体育教师中,有75.8%的教师表示自己接受过专业的体育教学安全培训,有6.0%的教师不太清楚自己有没有接受过培训,其中包括有的体育教师对自己接受培训内容的作用不太明确,只是掌握系统的教学内容,并不明确教学计划中有些内容属于教学安全培训的范畴。有18.2%的教师表示自己没有接受过专业的体育教学安全培训。对此,教育主管部门应该继续完善对体育教师教学安全的培训工作。 2.4学生接受体育运动安全教育状况调查 学生作为学校体育安全的主体,是否真正掌握了体育运动安全知识还要对学生接受体育安全教育的情况进行调查。如表5所示,50.39%的学生表示经常接受安全教育,21.26%的学生表示接受过安全教育,但是仍有9.84%的学生表示没有接受过安全教育,可见江油市的安全教育依旧存在盲点。在对学生进行“你是否接受体育运动安全教育”调查中,大部分学生表示接受过体育运动安全教育,如表6所示,学校采用宣传手段进行安全教育的占到36.61%,教师在课堂中全程进行安全指导的占到30.31%,其他几种方式分别占到一定比例。 3阳光体育安全教育取得的成效 就目前来看,从中央到地方,无论是从理论研究还是具体的学校工作,学校安全教育始终是人们十分重视和关注的热点,作为学校安全教育重要组成部分的学校体育安全教育,也日益被人们所关注。在江油市中学学校体育安全教育实施过程中,各中小学在抓稳定、求安全的体育教育工作中取得了一些令人瞩目的成绩,显现出了初步成效。从调查结果来看,大部分学校已经开展并且逐步完善了学生健康状况归档工作,笔者在走访抽样学校时,随机挑选了几个班级,要求查阅学生的体质健康档案,其中大部分学校的健康档案都很完备,指标设置比较全面,时效性也比较强,并且学校每学期都进行体质监测工作,为学校阳光体育安全保障工作的进行提供了有力的客观依据。此外,体育教师的工作态度和业务水平也都令人赞叹,个别优秀的体育教师对所教学生的基本情况了如指掌,能掌握学生的体质特点,安排不同程度的教学任务。这就保障了因人而异、因材施教的阳光体育安全教育工作的顺利进行。由于近年来校园安全成为社会关注的焦点,各级教育主管部门也把学校体育安全工作作为日常工作的重点,督促学校完善相关工作,为给学生提供健康、安全的校园环境提供了政策上的有力保障,并在社会、学校和个人身上产生了一定影响,学校体育安全取得的成绩为体育安全教育的继续发展打下了良好的基础。在我国相关制度法规的不完善的情况下,构建和谐、安全、健康的校园环境并非一日之功,在学校体育安全工作仍存在一些问题。 4阳光体育安全教育存在的问题 4.1阳光体育安全教育形式化 学校体育事故的发生具有很强的不确定性和偶发性,因此学校需要经常性地进行安全教育活动,才能达到提高学生预防事故的意识的目的。然而事实上,阳光体育背景下安全教育形式化比较突出,从体育课的教学来看,整堂课40分钟,前一部分体育教师带领学生做热身运动,讲解运动知识技巧,这段时间由于学生集中,老师全程指导,发生安全事故的几率不大,如果教学任务完成以后,学生进入自由活动时间,各自参加自己喜欢的运动项目,由于场地设施分散,教师无暇分身,就只能在形式上嘱咐一句“注意安全”了事,并不能有效地防止运动伤害事故的发生。从课外体育活动来看,学生数量众多,体育教师人数有限,更不可能面面俱到。 4.2学校体育安全教育存在的困难 学校体育安全教育的队伍建设是制约我国学校体育安全教育发展的瓶颈之一。从教师队伍建设来看,学生在体育运动时出现意外,体育教师有责任,班主任也有责任,主管学校领导也有责任,没有固定的体育安全教育的专职老师,就会导致安全教育工作没有负责人,没有主心骨的情形。学校体育安全教育时间难以保障和实施路径存在困难。一堂课的时间只有短短40分钟,在有限的时间内要完成教学任务已经捉襟见肘,如果要加上专门的体育安全教育,就只能在热身活动和运动知识技巧讲解示范体验中渗透,时间上得不到保障。通过对学校体育安全教育开展的方式方法的研究,得出方法单一的结论,并且爱玩是孩子的天性,照本宣科式的教育方法很难激起学生的兴趣。 5结语 在阳光体育背景下,江油市中学的体育安全教育取得了一定的成绩,但仍然存在一定问题,我们要摆正阳光体育安全教育工作的位置,消除安全教育认识方面存在的偏差和误区。一是学校要把体育安全教育工作和学生发展联系起来,工作的开展是为了学生的长远发展,而不是完成上级指派的任务;真正做到一切工作的出发点都是为了学生的健康成长,而不是为了逃避承担体育安全事故的责任。二是学校应当通过体育安全教育让教师和学生学会如何防范和处理安全事故的方法,而不是采取消极的取消、禁止等措施,使一些有利于学生身心健康发展的活动得不到正常的开展。 本文作者:王朝金工作单位:四川省科学城材料所子弟学校 中学生安全教育论文:中学生安全教育存在问题及其对策 [摘 要]中学生安全教育问题是事关社会稳定与和谐的重大政治问题,具体有学校安全意识不够,安全教育形式化严重,缺乏专业的安全教育人员。解决这些问题的对策有增强中学生的安全意识,进一步完善学校制度,加强安全教育师资建设。 [关键词]中学安全教育;问题;策略 每年均会有很多中学生死于意外,这值得我们深思,由此看来,中学生安全教育中存在很多问题,只有对症下药,解决了这些问题,中学生的生命健康才能得到有效的保障。然而现在中学安全教育中存在很多问题,本文将根据实际问题提出有效的策略,以加强对中学生的安全教育。下面我就中学生安全教育中存在的问题与对策谈几点认识。 一、中学生安全教育中存在的问题 1.学校的安全意识不够 学校、教师以及家长都相对注重学生的德智发展,对于安全教育的认识不够充分。一些学校领导认为安全教育意义不大,他们把更多的精力放在学校建设当中,而安全教育只是一种虚无的存在。同时教师的安全意识也比较缺乏,对于安全教育的授课只是照本宣科,并且认为安全教育没有实际的指导意义,因此造成学校对安全教育的忽视。 2.安全教育形式化现象严重 学校的安全宣传教育并未建立完善的制度,安全教育的形式化过于严重。大多数学校并没有彻底落实安全教育宣传工作,使大多数中学生的安全意识淡薄。他们弄虚作假,对于安全教育活动的开展,只注重表面以应对相关单位的督察,并没有做到让中学生参与其中,或者只是根据书本上的安全知识生搬硬套,起不到真正有效的安全教育意义。 3.缺乏专业安全教育人员 现在学校普遍缺乏具有安全专业素养的教师,没有专业的安全教育师资力量,使得对中学生的安全教育大打折扣。一些学校由于缺乏专业的教师,中学生的安全教育课程由其他任课教师担任,同时很少对教师进行安全教育培训,因而对中学生的安全教育远远达不到真正的教育目的。甚至有的教师认为安全教育课完全没有意义,而要求只是以学习为主,限制学生的安全教育活动。正是由于师资力量不够强大,才使得中学安全教育过于形式化,从而很容易产生不可挽回的损失。 二、中学生安全教育的解决策略 1.增强中学生的安全意识 校@是学生学习的场所,安全与学习是密切相关的,学校应加强师生的安全意识,以使得学生有基本的自我保护意识和自我保护能力。对于学校来说,应该开展各种各样丰富有趣的安全教育活动,吸引学生的加入,使他们从中领悟安全的重要性。对于教师来说,首先应加强自身的安全意识,从而对学生进行教育和引导,增强学生的安全意识。 2.进一步完善学校制度 多数学校制度比较健全,有自己的制度汇编。平时在对学生的教育过程中,要彻彻底底地落实安全教育,学校要投入大量的资金,对有安全隐患的教学设施设备进行维修,消除安全隐患。另一方面,学校要引进有关安全教育的实物模型,进行安全演练,以提高学生的安全防范意识。 3.加强安全教育师资建设 各地学校都应该积极建立安全教育师资队伍,以使得学校的安全教育活动顺利高效地进行。学校可以通过与有关安全教育部门的合作来增加自身的安全教育师资,定期邀请专业人员到学校授课或开展安全教育讲座。同时学校也要加大对安全教育的投入,定期对全校师生进行安全教育培训,以增强师生的安全意识。学校还应该成立专门的安全教育部门,全面落实安全教育工作。 另外,对中学生的心理健康教育是非常重要的,对其进行科学有效的心理辅导也迫在眉睫。中学生的心理不能用固定的方式去引导,学生不同,心理情感也不同,所以教师应该具体学生具体对待。针对中学生的心理与情感来进行指导,发现问题的本质,用正确的方式引导其产生积极的情感,培养其自控调节能力,尽量减少消极情绪。 事实证明,对学生的安全教育,仅靠保卫部门和学校是远远不够的,还要依靠学生管理工作者和学生组织与学生家长等有关部门及人员共同参与,形成齐抓共管的局面,才能收到良好的效果。此外,要发挥课堂教学的主渠道作用,在有关课程和教学环节中由任课教师结合课程内容适时地对学生进行安全教育和法制教育,如在化学、物理实验课中讲授有关防火防爆方面的内容等。 总之,中学生的安全教育问题是一项非常大的工程,不仅需要学校高度的重视,还需要家长的积极配合以及政府的充分支持,只有这样,才能保障中学生的生命安全和身体健康。 中学生安全教育论文:加强中学生安全教育的思考 湖北省襄阳市第四中学 【摘 要】对中学生进行安全教育,是关乎学生健康成长的重大工作。文章分析了中学生安全教育方面存在的突出问题及表现,阐述了加强安全教育的必要性、主要内容和主要措施,以增强中学生的安全意识,提高中学生的自我保护、防范能力。 【关键词】中学生 安全教育 必要性 主要内容 措施 随着社会的发展,中学的办学规模不断集中、扩大,在校学生日益增多,校园周边环境日趋复杂,给中学生安全教育管理带来许多新的难题,安全事故时有发生。中学阶段是人生成长的重要时期。加强中学生安全教育,提高中学生安全防范能力,可以有效减少和避免各种安全问题,促进中学生身心健康发展。 一、对中学生进行安全教育的必要性 当前中学生安全意识普遍比较淡薄。例如学校一再宣读《学生校内外安全公约》及处罚办法,让学生学习《安全事故手册》。但学生总有追逐打闹,滑行楼梯扶手的;有翻越校门、围墙的;有体育课上不听从老师要求的;实验课上未经老师允许,擅自使用药品进行违章操作的;在校外有不遵守交通规则和公共秩序的;有私自闯入施工现场的;有结伙斗殴、盗窃、惹是生非的;财物随意乱放,离开宿舍不关门窗,给犯罪分子以可乘之机。另外,中学生缺乏自我保护意识,对社会了解不够,一些社会上的犯罪分子、小混混利用中学生在校内学习生活而接触社会少、辨别是非能力差等特点,骗取中学生财物。还有的中学生不注意用电、用火安全,夏天不注意游泳安全,冬天不注意滑冰安全,平常不注意饮食安全,往往容易造成安全事故。因此,要切实加强中学生的安全教育,增强中学生安全意识。 二、对中学生进行安全教育的主要内容 安全教育涉及的内容非常广泛。学校应结合中学生的特点,与一切教育活动相联系,重点进行五个方面的安全教育。 一是进行遵纪守法教育。学校应根据中学生的生理、心理特点,采用文本材料学习与视频材料学习相结合,法治课堂与法治知识竞赛活动相结合的方式,聘请法律工作者或公安、法院、检察院干警,结合工作实际与典型案例进行教学,使广大中学生知道哪些事能做,哪些事不能做,深切感受到法就在身边。这不仅对中学生健康、安全成长有益,而且对其走向社会乃至一生都有益。 二是网络安全教育。随着信息时代的到来,网吧、智能手机、微型电脑如雨后春笋般走进人们的生活。一些学生迷上网络游戏后,便欺骗家长和老师,设法筹资,利用一切可利用的时间去网吧上网;一些学生经常浏览不健康的网页,导致学习成绩下降,甚至走上违法犯罪之路。针对这种情况,学校首先要加强网络法律法规宣传教育,培养中学生网络安全意识,使中学生在思想上形成一道能抵御外来反动、邪恶势力侵蚀的“防火墙”。其次要积极开展呼唤网络文明,净化网络环境等宣传教育活动,大力提倡网上道德,树立良好网上风气,摒弃不文明、不道德的网上行为,自觉抵制网上有害信息的侵蚀,倡导文明、健康的网络生活。再次要积极开展网上正面宣传教育活动,用科学的理论占领网络阵地,教育中学生不登录反动网站,不看淫秽及内容低调的网页,不下载传播反动及煽动性信息,不在网上发表煽动性言论,对个人电子信箱中接收到的反动信件要自觉删除,保证不转发、不投递。 三是消防安全教育。当前中学生消防安全意识淡薄,缺乏必要的消防常识和自救逃生技能。有的学生遇到火灾发生时惊慌失措,不知道如何报警,由于没有掌握简单的救火常识,往往小火酿成大灾;也有的学生在大火发生时,因缺乏自防自救的知识和能力,丧失了逃生的最佳时间,最终被火魔无情的吞噬。针对上述问题,学校首先要组织中学生学好、用好消防法规,增强依法治火的观念。其次要大力普及消防安全知识,使学生掌握灭火技能和火灾发生时逃生、自救、互救本领。学校可通过开展消防知识讲座、图片展览、演示各种灭火器材的使用等方式教给学生常见火灾的扑救方法和不同情况下的逃生自救方法,让学生熟悉防火、灭火全过程,学会使用灭火器材扑灭初起火灾,懂得疏散自救。 四是自我防范保护教育。中学生在社会交往中要防止上当受骗;遇到险情,看到犯罪行为发生时要及时采取适当方式报警;正确处理同学、舍友之间的纠纷;夜间不独自外出;不吃霉变食物和过期食品;注意保护好自己的财物;不酗酒,不参与;不携带易燃易爆有毒的物品;不拉帮结派,不打群架,不惹是生非,不染社会不良习气,不参与社会恶势力等非法组织;不进歌舞厅、游戏室等娱乐场所;遵守交通规范,注意交通安全,不横穿马路,不抢道,不强行爬车、超车;既要防止性骚扰、性攻击,也要自尊、自重、自爱;有困惑时,应向老师、同学倾诉,听取别人劝说;受到伤害时,要学会防身自卫和寻求法律保护;等等。 五是心理安全教育。成绩下降、考试压力等情况,容易导致中学生产生焦虑、强迫、恐惧、抑郁、冷漠、固执、消沉、暴躁等心理问题。中学生正处于成长发育之中,尚未成熟,其心理上的不良反应和适应障碍伴有强烈的情w色彩和偏激的行为特征。近几年发生在学生中的打架斗殴、偷盗、染上不良习气等行为,相当一部分是由心理问题引起的。因此,学校要特别重视学生的心理安全教育,应采取普遍教育与个别教育相结合的办法,有针对性地进行人际关系的和谐教育、环境适应教育、健康人格教育、性教育、心理卫生知识教育、挫折教育以及心理疾病预防教育,提高中学生的心理素质,促成中学生健康人格的发展和完善,从而避免各类安全问题的发生。 三、对中学生进行安全教育的措施 第一,调动力量,形成齐抓共管的局面。对中学生进行安全教育,要依靠学生管理工作者、学生组织及学生家长等有关部门和人员的共同参与,形成齐抓共管的局面,特别是要发挥思想教育阵地的作用,利用学校思想政治教育的工作体系和优势。要根据实际情况和需要,因人因事,有针对性地进行安全教育。发挥课堂教学的主渠道作用,在有关课程和教学环节中由任课老师结合课程内容适时地对学生进行安全教育和法制教育,如在化学、物理实验课中讲授有关防火防爆方面的内容等。严厉打击危害学校及中学生安全的不法行为,切实改善校园周边治安状况,优化育人环境。对校门口的一些摊点,校园附近的一些黑色网吧,对中学生存有安全隐患的一切问题,严管重查,从苗头上杜绝安全问题。 第二,突出重点,提高安全教育的实效。一是安全教育的内容要以防人身伤害、防财务受损、防心理失常、防违法犯罪、保学业完成为重点。二是针对不同的教育对象开展不同内容的教育。如对有不良行为的后进生要以防违法犯罪为主要内容,帮助、引导学生健康成长,使其成为遵纪守法的好学生;对喜爱运动,行为又过于冒险的学生,要加强防运动损伤教育,教育他们做好安全防护工作;对有心理失常表现的学生要加强心理健康教育,帮助他们消除心理障碍;等等。 第三,积极引导,激发学生的参与意识。学校要经常召开各班学生干部会,讨论安全管理问题,查学生宿舍,召开学生宿舍办公会,听取学生意见,解决学生提出的问题;还可以利用校团委的组织活动、各个课外小组活动进行学生安全教育,培养学生的安全防范意识,提高学生的自我安全管理能力。建立健全和完善从校到班、从大的团队组织到小的兴趣小组的学生自我管理方式,让学生参与学校各方面的日常管理工作。 中学生安全教育论文:关于中学生安全教育现状的调查研究 本调查通过高中生的安全教育工作进行研究,总结学校安全教育工作的优势与不足,反馈到学校,推动该校安全教育工作的实施,并做推广,增强全社会对安全教育的关注。 一、问卷分析 本次问卷派发共500份,回收495份,回收率99 %,有效问卷493份,有效率99.6%。 1. 学生对安全常识的了解程度。从数据来看,学生对安全常识的了解情况并不理想,2.8%的学生表示不了解,38.9%的学生比较了解,4.2%的学生十分了解。这些数据表明,学生对安全知识的自觉性不高,安全防范意识不强。学校必须加大安全教育的投入力度,加强学生的安全意识。 2. 学生所关注的安全问题。数据表明,学生对食品安全与交通安全的关注较多,还关注网络安全、诈骗、校园暴力、地震等问题。在开展安全教育工作时,可从学生关注的方面着手,同时也要涉及其他安全问题。 3. 学生接触安全教育知识的途径。途径多种多样,学校教育占了23.4%,所占比例最高。因为学生在学校的时间最多,有利于安全教育工作开展。与同学、朋友的交流,网络,阅读相关书籍等也占有一定比例,表明学生有意愿主动学习安全知识。家庭教育占了总数的18%,表明该校学生家长对学生安全教育的重视程度较高。 该校学生能多途径了解安全教育知识,家庭的潜移默化,耳濡目染的教育方式,再加上学校系统化、科学化的教育,形成一个有效的系统机制,有利于开展安全教育工作。 4. 学校开展安全教育利用的资源。学校开展安全教育有主题班会、安全演习、电影、电视和短片等形式,都较为生动、有趣,能提高学生学习的积极性。教材、宣传栏、宣传小册子等书面材料的广泛应用,能够让学生在空余时间查阅,保证学生了解安全教育知识的高频率。此外,还有讲座、动画课件、网络等,这些都有利于学生更好地学习。 5. 学生对学校安全教育的总体评价。从数据来看,该校的安全教育仍有提升空间。因为大部分学生仍觉得如今的安全教育工作未能满足他们的要求,学校仍需加大力度。 6. 学生对学校安全教育资源的评价。学生表示并不理想,学校所选取的安全教育资源质量有待提高,数量上不够丰富,不能满足大部分学生的需求,反应出学生对学校安全教育的期望高、要求高。 7. 学生对学校安全教育活动的看法。从数据看出,大部分学生在不同程度上对学校所开展的安全教育活动表示不满,总体上不能满足学生的需求。学校应从学生的反馈中得到启发,从质量、数量、范围等方面进行改进,努力完善。 8. 安全教育模式。以“安全教育月”为重点,贯穿整个学年;班会课与安全教育工作相结合;安全教育制度规范化,流程清晰。 二、建议与对策 1. 政府、社会方面。树立正确的安全教育观,加强学生的安全教育。集中社会资源、力量和智慧开展学生安全教育工作和活动。根据社会相关情况建立安全教育规划或方案,安排行之有效的安全。 2. 学校方面。(1)树立正确的安全教育观,充分发挥教育功能,采取合理有效的措施。如定期开展不同级别的安全教育工作会议和安全宣传大会;让教职工担负起保障学生安全、维护校园稳定的责任;鼓励教师多对学生进行安全教育;要求学生时刻保证必要的安全防范,防患于未然。(2)采取多种安全教育形式。如定期对师生进行地震、火灾演练;组织展览、观看电影、派发安全常识小册子等活动;举行安全知识演讲、有奖竞答等活动,提高学生学习安全知识的积极性和学习效果。(3)对家长进行必要的安全教育和宣传,与家长进行交流,提高家长的警惕性,共同对学生进行教育,以使学生在学校、家庭的安全都能获得保障。(4)联合社会力量一同加强学生安全教育,全方位确保学生的安全。通过开展警校共建活动,打击外来的安全威胁,加强学校周边环境的治安综合治理。 3. 学生方面。配合学校内外的各种安全教育活动,最大化学习和掌握安全知识。从自身出发,提高安全防范、保护意识,主动学习安全知识和技能,多方面、多渠道了解、掌握安全防范知识和技巧。注意校园和家庭的安全设施设备的完好性,以便第一时间掌握漏洞,保证自己和他人的安全。 中学生安全教育论文:优化中学生体育教学中生命安全教育的探讨 摘 要:受应试教育观的影响,中学教育大多注重学生的考试分数,对学生的素质发展却关注不多。生命安全已经成为当前人类面临的一个显性问题,加强对社会成员的生命安全教育与引导非常必要。中学体育课程是加强中学生生命安全教育的重要平台,必须从各个方面提高中学体育课对学生进行生命安全教育的实效性。 关键词:中学体育;生命安全教育;基本要求 1.确立体育教育生活化的理念 理念是行动的先导,只有在体育教学中将学生的生命安全融入日常生活中,才会有现实的、合理高效的生命安全教育实践。 按照新课程改革的目标,实现中学体育教学的生活化是其应有之义,而这恰恰是生命安全教育所必需的。因为一个人对其生命真谛的体会与感悟只有在具体的生活、工作和学习实践中才能实现。如果只是空对空的理论教育,或者根本文不对题,这种教育方式很难真正触动学生的心灵,很难让他们从心理上重视生命、敬畏生命,注重生命安全。但是,从目前中学体育教学现状来看,竞技体育教育的意图非常明显。一些教师在教学中过分注重运动技术的教学,忽视了体育教学的根本目的。因此,体育老师在选择教学内容和教学方式时,一定要坚持教育生活化的理念,注重教学内容和教学方式与学生的日常生活实践相衔接,使体育教学源于生活,归于生活,从而让学生在生活化教育中感悟生命、尊重生命,增强体质,提高健康水平。 2.在教学目标中突出和强化生命安全内容和要求 教学目标是课程教学的具体导向标,它直接决定了每一堂课的价值导向和教学实践成果。从目前的中学体育教学目标来看,体育教学在生命安全教育和应急避险能力培养等方面明显不足,没有具体的生命安全教育目标,最多是在体育安全操作方面有所强调。这样的教学直接导致当前的中学体育教学实践在学生的生命安全方面的引导和培养不够。换句话说,如果在设计教学目标时,教学组织者和管理者能够很好地体现学生生命安全教育的要求,那将为中学体育教学中的生命安全教育实践提供一个很好的导向。因此,在具体的教学实践中,教师首先要在教学目标选择上突出和强调中学生的生命安全内容,将培育学生的生命安全意识和技能、维护学生的生命安全作为教学目标之一。 3.所有的教学内容都应渗透和突出中学生的生命安全教育 按照《义务教育体育与健康课程标准(2011年版)》的规定,中学生在体育课程方面主要要完成运动参与、运动技能、身体健康、心理健康与社会适应等四个方面的学习,这其实也就是规定了中学体育教学的主要内容。既然如此,体育教学中中学生的生命安全教育必然就是通过这四个方面的教学体现出来的。教育者要通过合理的教学实践,让学生在这四个方面的学习中接受生命安全的相关教育,从而养成珍爱生命的品质,提高生命安全意识和技能水平。因此,老师在具体实施教学行为时,必须将生命安全教育融入上述四个方面的教育中去,根据中学生的身心发展特点,安排具体的教学内容,实现生命安全教育在中学体育教育中的常态化、系统化。比如,在运动参与方面,教师要改变传统的体育教学模式,注重学生的兴趣,提高其参与体育活动的积极性。具体来说,要通过日常的启发与教育,让学生感受到自身生命安全的重要性,从而提高学生自主学习的意识,让学生体会到生命的意义,从而提升学生对生命感受。在运动技能学习方面,要让学生通过基础的运动训练,对自己的技能水平和身体状况有初步的了解。尤其重要的是在进行运动技能教学时,老师要将生命安全教育中的逃生自救技能和运动技能教学相结合,在教授专项运动技能的同时讲解其与生命安全技能的关联,并且设定情境,通过身体的训练, 提高学生应对突发事件时的逃生能力。在心理健康与社会适应方面,教师要通过具体的体育教学,提高学生的身体素质。在向学生传授身体技能的同时,教师尤其要注重加强对学生心理素质的培养。在日常教学活动中,有意设置一定的运动难度,磨练学生的意志,鼓励学生挑战自我的身体极限,让学生在运动竞争与协作中体验到生命的快乐, 让学生在成功与失败的过程中挑战自己的心理极限,从而达到提升心理素质的目的。还要经常设定专门的情境,让学生在自救和互救过程当中提高团队意识,运动结束后进行积极的总结,引导学生发现自身的不足,形成积极向上的心理品质。 4.在不同的课程教学组织形式中渗透生命安全教育内容 中学体育课程教学主要有两种形式:一是理论课,即通过理论讲授的方式向学生传授一些基本的体育理论知识,如篮球运动简介等;二是体育实践课,即通过老师的示范和学生的亲身参与,达到增强学生体质,提高运动技能及水平的目的。 教师在讲授理论课时,要充分结合授课内容,引导学生关注自身和他人的生命安全,让他们很好地体会生命的意义。教师可通过给学生讲授青春期的相关知识,让初中生明白有关身体发育的基本知识,做到身体发育和心理成熟同步,平稳度过青春期。通过对青春期人体发育特点和阶段的讲授,让学生明白参与体育锻炼对于身体健康、身心发育的必要性,了解在青春期进行体育锻炼的相关注意事项。这些都有利于学生的生命安全。教师可以充分利用理论课向学生讲解基本的生理解剖知识,向学生教授生理学知识,让学生了解人体在一些特殊环境中自身的生理反应,以及怎样正确面对这些生理反应,让学生了解人体在应激状态下和平常状态下身体机能的不同表现,以及在身体出现不适的时候应该如何应对。另外,老师还可通过现代教育技术手段,如通过观赏安全影片等方式将自然灾害发生时的逃生技巧、灾害发生后的自救方法等生命安全知识传递给学生,以提高学生的生命安全技能及水平。 在体育实践课教学中,老师同样也要通过另一种方式向学生传授生命安全的相关知识和注意事项,让学生养成爱护身体、珍爱生命的良好意识和行为习惯。相比于理论课,这种课程教授方式更为直观,更为生动,更能调动学生的积极性,其教学效果将更为明显。老师在日常体育教学中,应适当穿插诸如穿越障碍、攀爬等训练项目,以增强学生的基本身体素质,帮助学生建立生理应激机制;还可将各种武术动作渗透到日常的教学过程中,让学生掌握一定的自卫技巧,在面临危险时能做到保护好自身安全。有条件的班级和学校还可模拟各种危险情境,让学生身临其境,以提高学生的心理素质,训练他们在各种危险情况下科学合理的反应能力。如模拟基本的伤口处理以及各种身体损伤的应急处理,提高学生的日常救护能力,增强学生应对危机的能力。另外,体育老师还可与学校学团部门合作开展有关生命安全的竞赛活动或主题运动会,进行安全知识竞赛,以及提高应急避险能力的比赛,让学生在竞赛过程中得到充分锻炼,并学会将学到的生命安全知识运用于实践中,以提高学生对知识的应用能力,强化学生的生命安全意识。 总之,生命安全教育是新时期中学教育的一项重要内容,与其他文化课程教学相比,体育教学是开展安全教育最主要的承担者和平台。因此,中学体育教学除基本的运动技能教学外,还应该将生命安全教育融入各种教学内容中,通过理论课和实践课,让广大中学生懂得如何爱护自己的身体,明白如何珍爱生命,以增强他们的生命安全保护能力。 中学生安全教育论文:傣族地区班主任如何做好中学生安全教育 【摘要】随着社会的不断发展,边疆傣族地区经济在迅猛发展的同时,影响中学生安全的因素日益凸显,学校的安全形势日益严峻。本文主要论述班主任在中学生安全教育与管理方面所需明确的责任,以及应如何采取策略做好中学生安全教育。 【关键词】傣族地区 班主任 中学生 安全教育 安全问题历来是各行各业工作的重中之重,学校安全尤其重要。近年来,随着社会的不断发展,影响傣族地区中学生安全的因素越来越复杂,对学校的安全稳定带来前所未有的冲击。因此,如何做好傣族地区中学生安全工作,抓好学生的安全教育与管理,保障学生人身财产安全,促进学生身心健康发展,确保学校和社会的安全与稳定,是摆在每个班主任面前的一个突出问题。 一、对中学生进行安全教育的必要性 (一)社会治安形势的需要 随着九年制义务教育的推广和我国人口发展的规律,在校中学生人数大幅度增长,并且学生素质参差不齐,校园社会化现象日益明显,校内及校园周边环境日趋复杂。特别是傣族地区的中学生不仅有校园内的各种安全隐患,更有来自校外交通安全,打架斗殴、抢、盗等安全隐患。加上边疆傣族地区黄、赌、毒等严重泛滥,学生父母对这些隐患的严重性认识不够,对自己的子女管教不严,导致染黄、赌、毒等的现象时有发生,严重影响校园安全与社会稳定。 (二)提高中学生安全意识的需要 根据傣族地区中学生民族性格及生理特点,普遍安全意识淡漠,安全防范意识不强。主要表现为雨季喜欢到江河里游泳;往返校骑自行车时勾肩搭背,三五成群;部分家中有摩托的学生周末往返时飙车,速度极快,呼啸而过,不时还炫酷“蛇形”飞车;早恋及有不安全性行为;村寨赶摆更是普遍,还有部分学生禁不住诱惑,染上等。 二、形成安全隐患的原因分析 (一)地域与环境因素 由于傣族地区地处边疆与缅甸接壤,边境线长,历来是边民自由来往的通道,边境贸易活跃的地区,同时也不可避免的成为黄、赌、毒泛滥的重灾区。身处这些地区的傣族中学生由于耳濡目染,对这些现象的警惕性不够,防范意识不强。虽随着近年来政府及社会加大治理力度,傣族人民在思想上逐渐认识其危害性,有所防范,但还任重道远。傣族地区江河湖泊众多,加之气候炎热,雨量充沛,不论是夏季还是冬季,游泳已经成为一种生活习惯。更有学生在往返校的途中不时先到河中畅游一番,对江河上游泳的安全意识淡漠,埋下了安全的隐患,增加了学校及班主任对班级安全管理的难度。 (二)傣族中学生年龄性格及行为因素 瑞丽市是多种思想文化的交流和碰撞的地带,随着经济文化的进一步发展以傣族为主要集居区的瑞丽市,人们的思想更趋向复杂性与多样性的特点,人们对待社会,对待生活,对待人生的态度和看法更走向“金钱化”,所以也就很容易出现“炫富”、“拜金”的思想,部分学生自小就受此影响,又处于青春期,总想与众不同,标新立异,互相攀比,形成较为张扬的性格,所以也就不难理解喜欢开“蛇形”摩托,穿奇装异服,打架滋事等行为。 三、班主任在学生安全教育中的方法 (一)班主任安全管理责任 1.安全教育责任。班主任要对学生进行安全教育和自护自救教育,让学生掌握一些基本的安全防范、安全自护和安全自救知识。 2.安全告知责任。班主任的告知可分为四个方面:一是把学校或班级进行的各种活动中有关安全方面应注意的问题对学生告知。二是把校园及其周边的设施包括环境中可能存在的安全隐患告知学生。三是把学生的有关情况对家长告知。四是把发现的班级内部、校园内部及校园周边存在的安全隐患以及安全事故向学校领导告知。 3.安全告诫责任。班主任在教育教学活动中负有对学生告诫的责任。特别是对学生的危险行为或潜在的危险行为要及时地告诫、制止和纠正。 4.安全防范责任。班主任要对班级活动以及教育教学过程中可能出现的安全问题进行防范。 5.安全救护责任。学生一旦发生安全事故后,除要及时按制度规定上报,还要力所能及地进行自护自救,并采取得力措施防止事故的扩大。 (二)班级安全管理方法 1.加强日常班级安全预警 班级安全管理,预防是关键。班主任应针对不同时期,不同时段可能出现的各种安全隐患进行排查发现并向学生发出安全预警。只有强化学生日常安全预警,做到时刻提高安全警惕,才能做到防患于未然。 2.加强联系,齐抓共管。 事实证明班级安全管理靠班主任一人是不行的,只有加强同任课教师、学生及其家长、学校组织和当地乡政府及派出所等部门的联系,才能把安全管理工作落到实处。 3.善待学生,改善关系。 人们常称班主任为“班妈”。因此,班主任对学生的关心要真正做到从细处着手、从长远着眼, 无微不至。对学生的批评要讲究艺术,多些鼓励,少一些指责;对学生的要求要严宽兼顾,严而有度,宽而有限;跟学生的交往要民主平等,多一些沟通,少一些训斥,做学生的知心朋友,做学生的慈爱长辈。“亲其师,信其道”,只有取得学生对自己的信任和尊敬,才能及时发现班级中存在的安全隐患,才能依靠学生及时准确地消除隐患。 4.以法治教,规范行为。 班主任应该以法治教,规范行为,以减少或避免安全责任事故。一是要规范班主任自身的行为,把《教师职业道德规范》作为自己的行为准则,尽心尽力、尽职尽责地抓好班级安全管理工作。二是要规范学生的行为,把《中学生日常行为规范》作为每一名学生的行为准则,坚持不懈地抓学生的日常行为规范教育,循序渐进地实施习惯养成的矫正,注重培养学生对现实生活的鉴别、批判、选择能力,引导学生选择健康的生活方式,教育学生以合理的方式、手段去追求理想生活。三是要规范学生家长的行为,向学生家长宣传学校安全管理方面的行政法规。 5.创新班级管理制度。班主任在认真执行《中学生日常行为规范》及学校规章制度的同时,还应结合傣族地区的特点建立并执行一些符合本地区中学生的行为制度。例如针对本地区学生往返校时各种安全隐患较多,班主任能力有限,制定及执行学生往返校电话报平安制度,及时互通信息;再如构建学生安全自治管理模式,建立学生护校队,做到时时刻刻、事事处处有人巡查安全漏洞,监控安全隐患,防患于未然;班主任还可以在班级建立起安全隐患排查小组、矛盾纠纷监控小组、行为规范督查小组、应急事故处理及报告小组等学生自治组织。 综上所述,学校安全无小事,班级安全是关键。只有学生、教师都树立起“安全责任重于泰山”的意识,特别是班主任教师要明确自己的安全管理责任,正确实施班级安全管理方法,创新安全管理模式,构建起学校、家庭、社会三位一体的安全管理网络,才能真正确保中学生的安全。 中学生安全教育论文:中学生网络与信息安全教育 摘 要:面对扑面而来的网络时代,树立中学生正确的网络观是网络素质教育的基础。网络在给中学生带来便捷的同时,也给中学生带来了诸多负面影响。为此,培养中学生的网络自我保护意识、明辨是非的能力及自律能力是一项重要而紧迫的任务。 关键词:中学教育;网络信息;安全策略 现代信息网络技术的发展,尤其是互联网在中国的迅速发展,使中国人的社会存在方式大大地扩展与延伸,使中国开始步入互联网时代。互联网是一种新型媒体,它具有的互动多媒体的效果对未成年人产生了极大的吸引力,必然也对未成年人的思想道德产生了巨大的影响。这种影响有积极的一面,也有消极的一面。未成年人是指未满18岁的特殊群体。一般而言,他们的知识和阅历还不足以明辨是非,他们的世界观、人生观和道德观还没有成熟,还不足以抵制不良社会风气、习惯、观念和事物的影响。网络是一个信息的宝库,同时也是一个信息的垃圾场,学习信息、娱乐信息、经济信息以及各种各样的黄色、暴力信息混杂在一起,使网络成为信息的花筒。这样对于青少年“三观”形成构成潜在威胁。青少年很容易在网络上接触到资本主义的宣传论调、文化思想等,思想处于极度矛盾、混乱中,其人生观、价值观极易发生倾斜。网络改变了青少年在学习和生活中的人际关系及生活方式。同时,上网使青少年容易形成一种以自我为中心的生存方式,集体意识淡薄,个人自由主义思潮泛滥。信息垃圾弱化青少年思想道德意识,污染青少年心灵,误导青少年行为。那么如何对青少年进行网络信息安全教育呢?下面就此问题简略谈谈。 一、占领网络思想政治教育高地 我校依托校园网开放网上图书馆、博客、资源库等校内资源供学生学习和交流。学校还要组建学科主页,设置各种栏目,如心理驿站、网上阅读、专题讨论等,最大限度地吸引学生的眼球,使校园网在声像结合、图文并茂中发挥德育的功效。学校充分利用BBS(扶余三中贴吧),开展平等互动的在线教育。在这里,师生可以毫无拘束地针对文明上网、网络犯罪、人肉搜索、网络谣言、网络水军泛滥等某些问题开展讨论,自由发表自己的观点和看法。扶余三中贴吧已然成为了舆论强力场,成为关于社会焦点或学校焦点问题的意见集中发散地。但面对来自不同声音的言论,学校没有放任自流,学校安排科技信息辅导员时刻关注校园网和贴吧的动态,了解学生的思想状况,加强与学生的沟通与交流,及时回答和解决学生提出的问题;对BBS的舆论引导,确保正面舆论的主导地位,使BBS发挥对学生进行思想政治教育的正能量。 二、树立健康的网络形象 网络是一个信息的宝库,同时也是一个信息的垃圾场,面对虚拟的网络世界,有的中学生肆无忌惮地发表一些不文明、不健康的言论,以发泄自己对现实生活、学习的不满和压力。由于网络的平等性和开放性等特点,使得一些不良的信息对于身体和心理都处于发育期,是非辨别能力、自我控制能力和选择能力都比较弱的中学生来说,难以抵挡不良信息的负面影响。 因此作为信息技术教师在教会学生上网的同时,首先要应提醒学生在网上注意网络安全,不要轻信他人,不要轻易透露自己的真实姓名、家庭住址及联络电话等信息。其次还要引导学生:网络虽然是虚拟的,但也应有一个和谐、健康的网络环境,净化网络环境应当从每个人做起,从自我做起。在网上也应遵守中学生守则,遵纪守法,约束自己的言行,树立良好的网络形象。我们要加强网上文明行为规范的建设,向学生开展以宣传《青少年网络文明公约》为主题的各项活动,积极引导青少年遵守网络道德,提倡“五要五不”,即:要善于网上学习,不浏览不良信息;要诚实友好交流,不侮辱欺诈他人;要增强保护意识,不随意约见网友;要维护网络安全,不破坏网络秩序;要有益身心健康,不沉溺虚拟空间。努力创造干净、健康 、文明、有序的网络环境。 三、构建绿色网络教室 学校现有绿色网络教室5间,电脑300余台,各间教室软硬件设施齐全,配有锐捷三层可网管交换机、高端服务器,并通过共享学校100M的网络带宽连接互联网,即使300人同时上网也能保持畅通的上网游览速度,每台学生机都装有蓝眼睛过滤软件过滤一些色情、暴力和反动信息等危害学生的身心健康信息。学校的“绿色网络教室”在硬件建设方面与莆田电信部门合作,采用了亲情卡上网认证体系,这种智能卡具有身份标识及认证功能。学生一人一卡,刷卡上机,上网记录实时生成。同时本系统与扶余市主管部门及公安局网安科实现了联网,数据实时同步,相关部门能及时监管到学生上网的信息,对不良信息及过度上网的学生能及时发现并处理。 四、开展课外网络活动 目前大多数中学生的学习生活相对比较单一,这就和网上世界的五彩斑斓形成了鲜明的对比,也是中学生容易迷恋网络的原因之一。因此我们应尽可能让学生的学习变得生动,多开展一些丰富多彩的课余活动。现在很多学校都建设了校园网,加强校园网的建设、将校园网尽可能地贴近学生的生活、学习,丰富校园网的内容和文化,使校园网成为学生们喜闻乐见的网络场所。 五、减少网络对孩子的负面影响 据有关调查显示:在上网的学生中,以在家里上网的人最多。这就要求学生的家长肩负起指导、监督孩子上网的职责。一部分家长对自己的孩子上网放任不管。还有一部分家长,对于电脑和网络一窍不通,这就给了孩子可乘之机:因为这样的家长好糊弄,至于孩子真的在互联网上做什么,这两种家长一点也不清楚。长此以往,是很危险的。因此对于家中有电脑的家长,应尽可能地掌握一定的电脑操作和多了解、学习网络知识,千万不能对这个年龄段的孩子上网不管不问。 由于网络的负面作用,不少家长“谈网色变”,采取的措施是“堵网”。由于中学生的逆反心理,“堵网”的结果很可能是将孩子堵到网吧去上网。网吧内上网的人鱼龙混杂,社会环境更加复杂,大部分中学生上网的悲剧都是在网吧内上演的。 因此,我们教师应当向这些学生的家长说明学生上网的益处,同时教给家长们一些方法,将中学生在网上可能受到的伤害降到最低点。 随着信息技术的发展,网络完全也是不断变化的,网络安全教育工作将是一项长期的不断更新的富有挑战的过程。作为教育工作者,我们在为未成年人开辟健康安全的网络净土的同时,更需要教会他们自我保护的意识和能力,防范于未然,使中学生在网络空间中安全、健康地成长。 中学生安全教育论文:中学生安全教育面临的挑战与对策研究 摘 要: 中学生的安全健康一直是社会的热门话题,加强中学生安全教育对维护学校和社会稳定具有重要的意义,本文主要对中学生安全教育的情况及其存在的问题进行研究,并提出解决这些问题的一些对策与建议。 关键词: 中学生安全教育 挑战 对策研究 中学生安全教育是为了保护未成年人的生命安全,提高中学生防范与处理事故能力及自我保护意识能力,使他们能应对生活世界中可能遇到的危险处境而开设的一种教育。虽然中学学生安全教育包括学校教育、家庭教育和社会教育,但是问题出现比较多的还是学校对中学生的安全教育。 一、中学生安全教育存在的问题及面临的挑战 虽然很多学校开展了中学生安全教育,但是在教育过程中出现了很多问题,下面对中学学生安全教育存在的一些问题进行探讨。 1.中学生安全教育流于形式 中学生安全教育直接关系到中学生的生命安全,也直接关系到学校教学工作的正常开展。虽然很多学校开展了安全教育活动,但是活动过于形式,中学生对这些活动的开展,大部分只了解活动的主题,而对教育活动的内容全然不知,甚至少部分中学生对活动的主题都不了解。这样的安全教育过于形式化,没有让给中学生真正的了解安全教育,教育的内容无法渗透到学生的学习生活中去。另外,即使学校积极开展中学生安全教育活动,但是很多教师与学生对安全教育不够重视,参与度不高,他们在思想上并没有意识到安全教育的重要性。 2.案例教育的方法比较单调 教育方法相对简单,是中学生对安全教育提不起兴趣的主要原因。中学开展的安全教育方式主要采取说教、通知、宣传栏和黑板报的形式。这些方式并非中学生喜欢的教育方式,然而例如邀请相关部门(交通、消防等)人员到学校开展专题讲座、相关安全教育电视节目播放、安全教育实际演练、老师讲解时结合具体事例等方式更容易吸引学生的兴趣。因此在安全教育过程中必须注重教育的方法。 3.安全教育方面资源不足 (1)学校教师资源的缺乏 校园安全教育的老师存在很大的流动性,是我国安全教育一直发展不起来很重要的原因。中学的安全教育老师主要是思想教育和体育老师,还有就是交通、消防部门的工作人员。但是这些都是兼职的,学校没有安全教育方面的专业老师。中学安全教育师资的缺乏严重影响了校园安全教育的开展。 (2)安全教育教材的不足 开展安全教育活动,教材是必不可少的,我国这方面资料有很多,包括出版的书籍,音像制品。中学是有一些这方面的课外读物,但学校大多没有统一使用安全教育的教材,使得教师对安全教育内容选择的随意性很强,只是一味地重复自己熟悉的内容,但对学生需要掌握的实用性内容涉及较少,这使得中学生得不到系统完善的安全教育,这也对校园安全教育的开展造成了很大的阻碍。 (3)安全教育时间的不足 对于中学生来而言,学习渠道主要是课堂,这也是吸取中学生安全教育知识的主要渠道。但是我国中学对安全教育课堂设置很不乐观,学校对于这方面的教育时间很难保证。很多中学无论是国家课程还是地方课程,都没有设置安全教育。学校大都以主题班会的形式开展,所以中学生安全知识教育时间肯定是不足的。大多数都渗透在学科教育里,但也只是警示,肯定不够,也缺乏安全演练活动,很多时候安全演练成为了出事后的“被演练”。这些方面的缺乏,使得很多中学生很难掌握自救自护的能力,万一出现意外,中学生难以有效应对,后果不堪设想。 二、对策与建议 1.思想上注视中学生的安全教育。 无论是教师还是学生,他们中的大部分人都认为学生的主要精力和时间就是把学习学科知识当成了教育理念,从而忽视了安全教育,忽视了安全教育。让很多学生养成了学习安全教育知识是没有必要的这种错误观念。针对中学安全教育存在的问题及频频发生的学生伤害事故,函需加强教师与学生的安全思想教育,从而摆正安全教育工作在学校发展中的位置,积极开展安全教育的同时,还要加强校园安全文化建设,确保学校真正意义上开展安全教育活动。在思想上进行安全教育,无疑是非常关键的一个环节,然后发挥模范的带头作用,则会更具有激励作用,学校定期开展在安全工作方面的先进个人和集体事迹表彰活动,通过一定的奖励措施,从根本上不断提升广大师生的安全意识,从而推动安全教学工作更好地开展。 2.构建多元化安全教育模式。 为了引起学生对安全教育的兴趣,应该开设多元化安全教育。比如开设讲座,播放相关的教育视频等,让他们有兴趣去了解安全方面知识,与此同时在思想上树立安全的理念。安全教育的方式方法多种多样的,学校的安全教学也应该不断开拓新的思路和渠道,不能仅仅停留在课本安全知识的学习上。可积极组织一些有实践意义的校园安全教育活动,在学校进行一些摄影和新闻作品的品读,摄影作品内容展现的是一些由于安全意识缺乏而导致的损失和危害,如摄影作品可形象地展示由于疏忽导致的火灾场景,因不遵守交通规范导致的车祸场景等,通过图片的形象展示不仅提升了广大师生的安全意识,更能从潜意识里触动他们的神经,从而能够进行自觉主动的安全知识学习。 3.开设安全教育国家课程。 对于中学的校园安全教育,已经引起社会各界的关注。借鉴安全教育做得好的国家的经验,改变我国中小学安全教育有心无力状况的处罚,我国亟需开设安全教育国家课程。我国教育部门也应该根据不同阶段学生的年龄与认知特点,编写一套由易到难的统一的安全教育教材。虽然对我国校园安全立法问题高度关注已有相当长的时间,但是一直没有制定出一部全国性的校园安全法律法规。缺乏校园安全法律法规已经严重了影响了我国中学安全教育的发展,使得很多学校安全教育的开展得不到保障。 4.发挥学校,家庭和社会的综合作用。 学校是学生获取知识的主要阵地,有条件进行正规化、系统化的安全教育,学生家长要言传身教,以身作则,提高学生的安全意识和自救自护能力。安全教育仅靠学校和家庭是不够的,要依靠社会力量,三方齐抓共管,为学生安全营造良好安全氛围,防止意外发生。 三、结语 安全教育的内容非常广泛,安全教育对学校、家庭和社会来说,是一项繁重的任务,更是一份沉重的责任,中学生安全教育任重道远,希望更多的人关注学生安全教育,总之,学生安全教育不容忽视,我们应该做到警钟长鸣。 中学生安全教育论文:如何对中学生进行网络安全教育 当今社会,网络是我们生活中不可缺少的资源,为我们提供了丰富的信息资源,成为学生学习知识、交流思想、休闲娱乐的主要平台,但网络也会带来负面影响,学生是祖国的未来,因此,对他们进行安全常识教育是非常重要的。通过网络安全教育,使广大的学生树立网络安全意识,普及网络知识,提高网络防范意识,学会自我保护,尽可能减少网恋,防止沉迷于网络游戏世界里。 网络安全教育是学校、家长和社会都普遍关心的事情,三者需要相互配合,在授课过程中应从以下几方面进行工作: 一、加强网络安全知识,树立正确的网络观 现在的中学生,平时学习压力很大,好奇心、创造欲和自我表现的欲望都很强。但也正因为网络有着如此自由的空间,微信、QQ聊天便于交谈,也使得社会上许多丑陋的东西在网络中频频出现,再加上中学生生活经验不足,分辨是非能力差,很容易受不良思想的影响,沉迷于无益处的聊天,影响学习,因此,网络安全成为一个相当严重的社会问题。 二、培养学生善用网络资源 对学生来说,重要的是学习信息处理方法,培养交流能力和对社会的适应能力,培养科学素养,而不仅仅是掌握了多少信息。通过互联网络,孩子可以学习如何检索、核对、判断、选择和处理信息,以达到对信息的有效利用。这种能力在未来的社会中更为重要。但是,如果放任学生在网络世界中驰骋,缺乏正确的引导,他们就会在网络中“沉迷”,其危害不亚于网络游戏。因此,教师要引导学生善用网络资源,并教会他们如何分辨其中的有害信息。要让学生自主地去分析信息,辨别是非真伪,分清精华与糟粕,才能有效地利用网络信息使学生受益。 三、加强学生网络道德观 由于学生处在全新的网络环境中,随时都可以操作计算机网络,信息的交流及对事物处理和评价的方法、模式等都发生了巨大的变化,原有的道德准则和规范已经不足以约束学生的网络行为。因此,经常会发现学生在网络上的“不正常”行为。例如:破坏学校机房计算机,修改计算机系统设置,随意删除别人的软件及作品,远程监控盗取他人信息。对于这些“自以为聪明”的行为,我们要认识到它的潜在危害,要及时改正,确保学生健康快乐地成长。 面对信息时代的中学生,让我们携起手来,培养学生健康向上的网络道德,帮助学生正确认识和使用网络,培养适应新世纪信息化社会需要的接班人。 (作者单位 吉林省大安市联合乡中学校) 中学生安全教育论文:小学体育教学中学生安全教育的探索 摘要:人类生存,健康是前提,物质是基础,精神是源泉,而安全,则是堡垒。体育课要树立“健康第一”的指导思想,也就更应该注重安全教育,要帮助学生牢固树立起“安全至上”的防范意识,尽量避免事故的发生。那么新课标理念下的体育教学怎样对学生进行安全教育呢?下面就谈谈自己的一些看法,以供大家探讨。 关键词:健康第一;安全;损伤;安全至上 全国一些地方中小学校安全事故频发,这些事故造成了师生重大伤亡,使学生、教师家庭遭受严重创伤,给社会造成了难以弥补的损失,教训惨痛,影响恶劣。现在不仅仅在体育教学中,在学校的日常管理中安全被提到了一个极其高的位置。在此形势下学校体育教学担当着重要的角色。在小学体育教学中,小学生由于年龄小,缺乏运动技巧和安全防范意识,而要让他们在课堂上有所收获,同时身、心又要朝健康的方向发展,教师的安全意识必不可少,安全措施更是重中之重。在日常体育课中学生经常会发生扭伤、搓伤、拉伤、碰伤等运动损伤,偶尔也会发生一些重大的安全事故,轻者影响学习,重者可能造成残疾,甚至及生命,对学校、学生、家庭带来不应有的损失,广大体育教师应高度重视安全教育,落实安全措施使青少年健康快乐地成长。以下就一些方面与大家谈谈我肤浅的看法。 一、教师在体育课中应注意帮助学生树立好安全意识 在体育教学中,教师不仅自身要具有高度的安全意识,同时也有责任和义务教育学生树立安全第一的思想,如:有的学生上课调皮,站队时相互推撞认为好玩,他们不知道掌握力度和分寸,另外加上有的孩子本身平衡协调能力就差,很容易因碰撞而摔倒造成身体损伤等安全事故,为此教师就应在迅速制止的同时给予适当的教育不仅仅让学生明白这是错误的行为及其可能发生的不良后果,同时要让每个学生都意识到这是不安全的行为,杜绝同类事件再次的发生。这样通过一些事件及时的教育和随时的提醒使学生思想上引起认识和重视,才能时时保持清晰地安全意识,不做有危险的事。促使学生高度的安全意识得以形成,防止安全事故发生。 二、课前考虑要细致周到 1.对易发生的安全事故要有预见性并加以防范。如:跳跃练习中下肢的肌肉群和膝、踝关节容易损伤,投掷练习中腰部、肩部及手指手腕易受损等。那么就要根据动作技术要求重点做好针对性的准备活动,又如铅球练习要防止意外砸脚或脱手砸到周围的同学,这都要预先想到并考虑好采取针对性的预防。 2.教学方法、组织管理、设计要科学合理。科学合理的教学方法和组织管理是防止安全事故的重要手段,在教学活动中我们要认识到,教学方法不好不仅仅会引起智障学生的积极性不高,注意力更不易集中,同样也会引起意外事故的发生。另外组织管理的好坏也是预防安全的有效手段。如:徒手练习时人不要安排站得太挤;器械练习时,要反复强调安全使用器械的步骤后才能组织学生要在安全范围内进行练习和使用,从而保证教学练习有序进行,保证教学练习有序进行,保证教学中最基本而不得安全。 3.教学内容要合理,动作难易程度要得当。我们知道难度过对小学生没有挑战,也不利于帮助他们的身体发展和意志品质的培养,难度过大对他们既难掌握又会失去自信,心理会产生障碍也容易发生事故。所以我们一定要根据学生的实际能力去要求并引导好学生。 4.对学生练习中的错误动作应及时纠正。在体育教学练习中,学生经常会出现错误的动作,(既不合理动作)往往是最容易导致身体损伤的,如不及时纠正就会变成安全隐患和导火索。所以教学中对不合理的动作应及时的指导和纠正以防对身体造成损伤。 5.要保证好场地器械的安全。场地器材的准备是最基本的安全预防,也是引发安全事故的最主要外部因素,是可见的,也是可预防的,在上课前我们教师必须仔细做好场地和器材的安全检查,如有安全隐患应及时排除后,再进行组织教学。 6.课堂常规的建立,强化纪律教育,体育教师要以身做则,为人师表,要求学生穿运动服上课,身上不能带有小刀等锋利硬物,不要佩带胸针等饰品,不要留长指甲等上课要听指挥、遵守纪律,严禁学生有嬉戏取闹、任性蛮干、动作粗野,违反运动规则的行为。另外,准备活动要充分,跳前多活动,易伤部位早预防。实践课上良好的课堂纪律是保证一堂课顺利进行的重要条件。如未经允许不擅自离开队伍。尤其是垫子类运动项目。在投教学中,教师要严格按照教学程序、原则进行教学,对学生的位置要严格限制,让学生远离危险区,对某些意外伤害事故的苗头应及时制止。此外,上课要听从指挥,遵守纪律,严禁学生有嬉戏取闹、任意蛮干、动作粗野,违反运动规则的行为。 三、深入了解学生情况,掌握常见的病症和损伤的急救和处理方法 在体育教学中,教师不仅仅熟知学生的生理和心理特点,另外必须要细致了解他们的病史状况,以便合理安排这类同学的体育教学内容,防止因体育教学安排不当而导致病症出现,引发安全问题。另外教师还注意掌握一些运动医学常识和简单处理方法,如运动中暑、抽筋、脱臼、急性损伤等情况的应急处理。这样遇到问题知道在第一时间里采取正确的方法进行急救处理治疗,减少和防止事故发生。 四、注意发现并处理好学生体育课中的异常现象 在体育教学中,我们要善于观察和发现学生中存在的一些异常的情形。如有的孩子因在家生气或心情不好就发脾气,情绪表现极不稳定,甚至产生攻击性行为。对这样的孩子我们既要合理的教育同时也要甚于引导,及时发现他们身上的闪光点,给予表扬和鼓励。再如在体育课中有些孩子由于对身体的认识不足或缺乏言语表达等因素,有时身体不适也不知告诉教师,如果教师不留心往往就容易发生事故。所以在课前、课中、课后教师都应留心观察他们是否有身体不适的异常表现,以便早发现早处理,避免安全事故的发生。 总之,安全就是生命!关注安全就是关爱生命,重视安全教育,我们要从自己做起,从身边做起。对于体育教学中的安全问题,学校和教师都应以一种客观的态度去看待,以积极的方式去思考,用正确、合理、科学的方法来预防和杜绝安全事故的发生,只要学生和教师在思想上重视伤害事故,同时教师教学上处处想到学生、关心爱护学生,教学上扎扎实实,认真负责,教法创新,大胆尝试,管理上严格要求,就可减少或比免伤害事故的发生,真正的让学生健康快乐的成长。 中学生安全教育论文:关于中学生网络信息安全教育的若干思考 摘 要:随着计算机和网络技术的发展,我们已经进入信息时代。网络的普遍性和便捷性为人们提供了方便。时至今日,“上网”已经成为人们日常生活的一部分。而中学生作为网民群体的绝大部分,其数量仍在逐步增加。因网络而产生的中学生网络信息安全问题也愈发突出,所以,培养中学生的网络信息明辨能力、自身网络信息的保护能力以及其对网络的自律能力是一项重要而紧要的任务。从网络信息安全着手,探讨了中学生对网络信息的认知及其对自身网络信息安全的保护,从而提出了中学生网络信息安全教育的主要思想。简言之,即明辨各类网络信息,保护自己的网络信息,不侵犯别人的网络信息。 关键词:中学生;网络信息;信息安全 一、网络信息安全及问题 (一)概念 网络信息安全是一个关乎国家安全和主权、社会稳定、民族文化继承和发扬的重要问题。其重要性正随着信息全球化步伐的加快而越来越重要。网络信息安全是涉及计算机科学、通信技术、密码技术、信息论等多学科的综合性学科。主要指网络系统的软硬件及系统中的数据不受到偶然或恶意的破坏、更改、泄露,系统连续可靠正常地运行而不中断。网络信息安全具有完整性、保密性、可用性等特征。 (二)网络信息安全问题 1.我国的网络信息安全问题日益严重 黑客攻击、网络欺诈、网络侵权等网络犯罪严重威胁到了党、国家和个人的安全及利益。 2.我国有关互联网管理的法律体系尚未健全 多年来,我国一直在为改善网络信息安全管理水平、提高网络信息安全防御能力进行不懈努力,但相对于日新月异的网络技术更新,法律法规建设仍然滞后。当前信息安全的研究正处在封堵现有信息系统安全漏洞的阶段。要彻底解决这些问题,应该着力建设信息安全保障体系,依据我国国情,建立和完善法律保障体系并加强监理。 3.网络信息管理水平有待进一步提高 各种利益群体借助日益大众化的网络表达诉求,借助热点或在敏感时期借机炒作,更有甚者,借助全职的“网络推手”和“网络公关”有计划、有目的地“炒热”事件。各种舆论的相互摩擦使得社会不稳定因素空前放大。网络信息管理要能够及时捕捉敏感信息和热点信息,其水平需要进一步提高。 二、网络信息安全素养及问题 (一)网络信息安全素养 指在信息化的条件下,人们对信息安全的认识以及对信息安全表现的各种综合能力,包括信息安全意识、信息安全知识、信息安全能力、信息伦理道德等具体内容。这要求中学生能充分辨别纷繁的网络信息,正确处理网络世界和现实世界的关系。 (二)网络信息安全素养问题 网络犹如一把双刃剑,在增强中学生与外界沟通和交流的同时,不良信息也会影响他们的身心发展。网络是一个信息宝库,同时也是一个信息的垃圾场,学术信息、娱乐信息、经济信息以及各种各样的黄色、暴力信息混杂在一起,使网络成为信息的大熔炉。 1.学生网络信息安全意识的缺失 中学生对于网络信息的辨别能力薄弱,缺乏相应的信息安全知识与技能,再加之自身的生理、心理都未成熟,难以抵挡网络强大的吸引力,所以长期浸泡在色情和游戏及其他非法网站中。 2.各界对学生网络信息安全教育的缺失 面对学生因各种网络信息而产生的种种不良现象,相应的各界对学生的教育却不容乐观。学校对学生信息安全教学知识的滞后性,家长对网络信息安全认知的不足,社会对信息安全的约束力,甚至国家的立法都存在一些不足之处。 三、网络信息安全教育提出的紧迫性 (一)互联网给青少年带来的负面影响早已引起我国社会各界的广泛关注 早在2000年5月,同志在接受美国《科学》杂志主编专访时指出,世界各国都关注确保人们不受互联网的负面信息影响。2001年7月11日,中共中央就运用法律手段保障和促进信息网络健康发展举办法制讲座,时任国家总书记的同志主持讲座并做重要讲话,再次强调“对信息网络化问题的基本方针是积极发展,加强管理,趋利避害,为我所用,努力在全球信息网络化的发展中占据主动地位。必须看到信息网络化的发展也为我们的政府管理和社会管理提出了新的问题。比如,网上一些迷信、色情、暴力和其他有害信息的传播,对人民群众尤其青少年的身心健康造成了很大危害。在加强网络安全保障体系建设的同时,更要注意充分运用法律手段搞好对信息网络的管理工作,以推动信息网络的快速健康发展”。而国外的相关研究表明,仅仅依靠技术、法制或教育的某一方面的努力是远远不够的,基于三者有机整合的中国网络信息安全教育的行动不仅重要,而且十分迫切。 2001年,笔者上小学四年级,如今大四在读,11年过去了,作者还是没有切身品尝到立法及实施的硕果,老师在教我们PhotoShop的时候也没告诉我们要保护好自己的网络头像,以免被恶意利用和歪曲。 (二)网络犯罪时有发生,打击网络犯罪有待加强 严峻的网络信息安全形势告诉我们,保护网络信息安全、打击网络犯罪刻不容缓。如今中国的网民已超美国,位居世界第一。互联网的飞速发展,黑客、计算机病毒等对计算机系统产生极大的安全威胁。前几年的熊猫烧香病毒、近几年的蠕虫病毒等使很多用户的计算机陷入瘫痪,有的部门受到黑客的攻击,网页数据被严重更改。这些网络信息的不安全现象,一直伴随着网络的发展,其破坏性十分巨大,严重扰乱了社会的正常秩序。 (三)我国的网络信息安全教育现状令人担忧 世界各国历来重视信息安全人才培养,纷纷出台了各类教育项目,如美国政府在“信息系统保护国家计划”中对各阶层制定了信息安全教育项目――针对中小学生的“中小学拓广项目”、针对本科生和研究生的“服务奖学金项目”。美国的这些信息安全教育项目表现出了很强的层次性和衔接性,同时更具备战略性。在国内,2000年武汉大学建立了全国首个信息安全本科专业,我国自此开始了信息安全本科生的培养。笔者认为,我国在基础教育阶段对信息安全教育的关注度不够,而且教学、师资远远落后于西方。 四、网络信息安全教育的具体方法和建议 (一)具体做法 1.培养中学生的网络信息安全的自我保护意识 网络是一个开放的空间,除了要做到自己不受到别人的攻击,还要学会预防来自外界的攻击。例如,教会中学生利用防火墙和杀毒软件来防黄防毒。在网聊时注意保护自己的隐私,不要随便把电话等其他信息告诉对方,更不能在没有父母同意的情况下和网友见面。在网上申请服务时,涉及自己的一些真实情况,如地址、证件时一般不要轻易填写。要保管好自己上网时的各种密码,不要轻易告知别人,并时常更换。 2.要合理利用网络,学会判断和自律 中学时代是一个人身心成长的关键期,养成良好的学习及生活习惯至关重要。迷恋网络世界挤占大量课余时间,甚至挤占正常的学习时间,不利于身体健康,更不利于学习。网上的信息浩瀚如海,大多是有益的,但也有不少是有害的。要让中学生避开这些有害信息,一味地控制不见得可行,唯有让中学生学会判断才是最好的办法。学会判断仅仅是第一步,学生具有充分的自律能力才能避免有害信息的骚扰。自律能力的提高,主要靠自己,也有赖于老师和家长的提醒和监督。 (二)建议 1.转变观念,提高认识 中学生网络信息安全教育能否纳入整个教学工作并切实抓好,学校各级领导,尤其是相关领导的思想转变是关键。只有深刻认识到中学生网络信息教育的必要性和紧迫性,只有认识到中学生网络信息教育内容的科学性、系统性和方法的开拓创新,才能把日益迫切的、系统的信息安全教育同培养高素质合格人才的素质教育有机地结合起来,才能适应社会主义市场经济和经济全球化发展的需要,日后为党和国家培养全面的高素质的合格人才。 2.加强普法教育,重视人才培养 把网络信息安全领域已有的法律、法规等纳入全面普法教育内容认真学习,并注重学习的效果和质量。结合网络违法犯罪的案例进行宣传教育,使中学生对网络信息安全领域的法律法规做到知法、懂法、守法、护法。 3.重视网络伦理道德教育 网络对学生原有思想观念的强烈冲击。网络将地球变成了一个“村落”,使得人们在网上交换信息的过程中超越了国家、地域间社会制度与意识形态的藩篱,尤其青少年学生,不得不承受来自不同文化背景、思想观念、宗教信仰和生活方式等方面的巨大冲击,这种冲击甚至会破坏他们原有的价值取向。传统的道德教育已经难以帮助青少年有效应对这种跨文化的心灵震荡,唯有网络信息安全教育方能承担起这一历史新任务。 除了法律,现实社会主要是依靠道德和舆论来约束人的行为。与之相对的是,网络社会更强调人的“慎独”,也就是道德自律,强调对自己行为负责的同时还必须对社会负责。换句话说,现实社会中的道德规范在网络虚拟社会中并不适用,唯有上升到道德习惯和道德信念的层次,才能更有效地规范个体的网络行为。 4.教育制度规范化 改变当前中学网络信息教育的随意性,把中学生网络信息安全教育纳入规范化、制度化的轨道是解决问题的关键。从领导、计划、内容、时间、教师和考评等方面都应制定详尽的规章制度。这样一来,中学生的网络信息安全教育才能避免随意性,避免走过场,走向规范化,转向系统化,使中学生网络信息安全教育切实落到实处,取得预期效果,提高到一个新的水平。 5.健全网络信息安全教育运行的长效机制 建立健全中学生网络信息安全教育运行机制,首先应建立学校中学生网络信息安全教育领导机构,负责对中学生的网络信息安全教育,确定教育内容,制定教育计划,组织授课,考评教育效果等。其次是理顺安全教育体制,把中学生网络信息安全教育纳入学校整个教学计划,在学校教务处的指导下开展工作。第三是建立和完善保证中学生网络信息安全教育健康运行的一系列制度。第四是明确中学生网络信息安全教育的基本载体。主要是系统的课堂教育与各种讲座及网络信息安全教育活动相结合,从而保证中学生网络信息安全教育全面得到落实。 6.对中学生家长的建议 对中学生网络信息安全教育的任务不仅仅是学校的责任,家长亦有应尽的义务,现在很多家庭都配置计算机网络,在中学生离校回家后不可避免地会使用网络。在家长对中学生网络信息安全教育和监管上提出以下几点具体的建议:(1)不要将电脑安装在孩子的卧室,最好放在家中的明显位置,例如书房、客厅。(2)适当控制孩子使用电脑的时间和方式。(3)经常了解孩子的上网情况,共同讨论网络趣事。(4)在电脑上安装禁止访问不良网址的软件。(5)非经父母许可,不可与网上结识的陌生人会面。(6)告诫孩子远离网上聊天室。(7)教育孩子不要轻易将个人信息在网上。(8)提倡与孩子一起上网,至少不要让孩子关上房门单独上网。 五、综述 网络是现代文明的产物,是现代生活不可分割的一部分,它与中学生的学习、生活息息相关。所以,我们要让中学生树立全面、辩证的网络观,明辨各类网络信息,及时有效地保护自身的网络信息,同时不侵害别人的网络信息安全。 保障与促进中学生的网络信息安全的健康发展,需要将技术措施、法律手段与道德教育结合起来,应当体现可持续发展的思想,积极发展,加强管理,趋利避害,为我所用,努力在全球信息网络化的发展中占据主动地位。 (作者单位 陕西西安延安大学西安创新学院) 中学生安全教育论文:浅谈中学生安全教育的相关问题及解决对策 【摘 要】学校中小学生安全教育工作关系到千家万户的幸福,关系到人民群众的切身利益,关系到社会稳定的大局。而大部分的青少年正在学校就读,他们正值人生的春天,对他们开展安全教育,无疑如同在生命中播下了平安的种子。俗话说,春种一粒籽,秋收万颗粮。要切实提高全民的安全素质,抓好青少年的安全教育就显得尤为重要。 【关键词】中学生;安全;教育;社会;宣传 案例: 1997年5月23日凌晨3时许,云南省某中心学校学生侯某在床上蚊帐内点蜡烛看书,瞌睡之际不慎碰倒蜡烛引燃蚊帐和衣物引起火灾。火灾烧死学生21人,伤2人,烧毁宿舍24平方米,直接经济损失1.5万元。 2008年9月14日,普洱市某技工学校发生一起食物中毒事件,经查明,这是一起食用凉拌皮蛋而导致的细菌性食物中毒,共有25名学生发病,中毒学生经医院及时救治,治疗痊愈,无死亡 据调查统计显示:2008年,全国共发生道路交通事故265204起,造成73484人死亡、304919人受伤,直接造成财产损失10.1亿元。一个个多么触目惊心的数字啊!一场场多么惨不忍睹的车祸啊! 或许,我们平时也都在看着新闻、上网,听到、看到过这些种种类似的悲惨案例,但很多人却没有真正地用心去留意,他们似乎感觉这些事故根本不会发生在自己身上,缺少了必要的防范意识,这些都值得我们去反思:为什么会发生这么多的事故?我们学生和教师又该怎样防范和避免这些不安全的因素呢?笔者在此谈谈自己的一些看法。 1.提高学生的防范意识. 我们在日常生活,教育过程中总会听到这样那样的事儿,其中不少是进行安全教育的好材料,如果我们善于发现、挖掘,学生会很容易接受教育。如:教师组织学生平时注意收集广播、电视、生活中听到的安全事故,然后谈谈自己的体会和看法。对学生收集的材料和体会,教师进行必要的点评,并张贴宣传,以提高安全警示教育.。 通过举行各类安全教育活动,使广大中学生认识并掌握好以下四类安全教育内容:1.交通安全 2. 校内外活动安全 3. 消防安全 4.卫生防病,饮食家居安全等,并形成人人自觉遵守安全法律法规的局面。 2.加强安全教育宣传工作 安全宣传教育工作从幼儿学生抓起,使学生从小就接受安全知识教育,达到自己教育自己,自己管理自己,养成自觉遵守安全法规的良好习惯,是能达到一代人和一个社会的良好秩序的百年大计。 学校应主要开展警校共建,小手拉大手,安全教育进万家活动。让安全教育根深蒂固于广大青少年思想中,使之养成文明安全处事行为。 3.加强领导,完善制度 学校要成立安全教育领导机构,实行责任分工,要将学校每个岗位的安全责任进行细化、分解和落实,严格实行责任追究制度。学校要完善有关安全教育方面的制度,如安全教育的具体实施细则、日常检查和预防相结合的安全管理制度、学生课余生活管理制度、教师值班制度、门卫值班制度、防水防电管理制度、食品卫生管理制度、传染病的预防及处理制度、防火安全管理制度、体育器材检查制度、健康体检制度、计算机的管理制度、楼道管理制度、安全事故的处理办法和责任制度以及安全管理的评价方案等,做到责任到人、群策群力、人人抓落实,形成良好的学校安全教育的运行机制,保证安全教育工作落到实处。 4.做好各项服务保障工作 4.1 加强校产的使用与维护管理。加强维修人员岗位培训,全天候对校舍、校产及教学设施、仪器设备进行全面检查,发现问题及时处理,消除各种安全隐患,保证无事故发生。 加强对消防设施的检测与维护。 4.2 切实抓好食堂工作。加强对食堂卫生工作的领导、监督和检查。严把进货关、储存关、加工关和制作关,确保食堂及学生服务部饭菜、食品质量和卫生标准;进一步检查防“四害”设施,提高警惕,严防坏人投毒,确保饮食安全。 4.3 建立健全安全预警机制。学校应该建立预警救助机制,特别是对突发安全事件的应急机制。因为只有建立这些机制才能及时发现各种不安全的因素,采取相应措施消解安全隐患。例如校园内应设置灭火器,警卫设备,防盗、防摔倒、防拥挤设施,应急照明,常用医疗急救药品和器材,报警通讯,安全引导和警告标志。 4.4 遏制校园暴力。学校是学生成才的地方,而不是藏污纳垢的场所。学校在维护校园内的治安,预防和处理校园暴力方面是一种非常积极的力量。教师在教育过程中,应当重视学生解决问题能力与控制情绪能力的培养。 5.以活动为载体,增强安全教育的效果。 5.1 加强和改进学校德育工作,使养成教育在细、严、实上下功夫,找准找全问题,加大改进措施,突出交通、饮食、用电、用气、校产的使用与管理及体育课、实验课和教学区及生活区人员疏散等方面的安全管理和教育,消除隐患,防范和避免事故的发生。 5.2 开展各种安全教育的活动,学校组织全校师生进行了逃生自救演练活动。通过举行这样演练活动,全校师生的提高了安全防范意识,学生的自救求生能力得到了很好的锻炼。 5.3 组织学生寻找发生在身边的安全事故及藏于身边的安全隐患,把自己的所见所闻编成小报张贴于班级或学校的公告栏,让学生得到警示教育,并提高安全防范意识。教育家第斯多惠说过,教育艺术的本质不在于传授,而在于唤醒、激励、鼓舞。我们通过学生身边的小事唤醒了学生对安全事故的重视与防范。 6.从小事中进行安全教育。 眼睛是我们接受信息的重要途径,生活中看到的许多小事同样是很好的安全教育材料。安全隐患不可根除,也时时在我们身边,我们要做的就是防范于未然。我经常在班队活动课上让学生讨论:假如有同学不小心把这位女同学踩去,后果会怎样?假如那时是全校集会(人多5倍),这位女同学会怎样? 假如你当时就在这位女同学的身边,你会怎样做?假如你是这位女同学,你会怎么办?学生通过充分的讨论后积极发言,认识到位,提高了类似安全事故发生的意识。 7.社会、家庭、学校 合力,共同做好安全教育工作 学校要强化安全教育工作的日常管理,把安全工作纳入学校日常管理,作为经常性工作来抓。要充分利用社会资源,学校、家庭、社会形成合力,提高安全教育的实效性,切实降低事故发生率,努力将安全管理工作提高到一个新的水平,保障孩子们健康、快乐、安全成长。 安全教育的最终目标是促使学生形成安全行为,从而在学习生活中远离安全事故。学校是公共场所,学习是集体性生活,学生是未成年、缺乏责任感的人群,安全隐患不可避免,我们要做好的就是防范于未然。防范于未然,重中之重是规范学生的不良行为习惯,引导学生以安全的行为在安全的环境中学习、生活、成长。导之以行,注重引导与规范,引导学生积极开展丰富多彩有益身心健康的课外活动;规范学生不参与不科学的活动,不到有安全隐患的区域活动;培养学生良好的行为习惯,使之远离安全事故。 大地苏醒,春风又绿。我们要把平安的种子撒播进青少年的心田。当它发芽开花、长成参天大树,我们必将收获更多的祥和、幸福和安宁。
1引言 随着《数据安全法》在2021年9月1日正式实施,国家和行业监管层面对数据安全的保护要求愈发严格[1]。2021年3月,教育部了《关于加强新时代教育管理信息化工作的通知》,教育数据价值与日俱增,而数据安全威胁与挑战也日趋严重。国内高等学校经历了40余年的信息化建设,开始了向数字化的转变。然而在高校的传统认识中,数据安全仅仅是信息安全领域的一个分支,无需对数据安全给予单独重视,加之在信息系统建设初期,数据安全的顶层设计和标准规范较少,导致当前高校的数据安全投入和数据安全能力普遍较低。 2数据安全的内涵 随着信息化建设的发展,高校面临的数据安全风险愈加复杂和多样。《数据安全法》将数据安全定义为“通过采取必要措施,确保数据处于有效保护和合法利用的状态,以及具备保障持续安全状态的能力”[2]。本文将数据安全定义为:为数据处理系统构建完善的技术和管理措施,保护数据不因偶然或恶意的原因,遭到破坏、更改和泄露,长期处于持续安全的状态,保证数据业务的连续性。 3高校数据安全问题及产生原因 3.1数据安全意识薄弱且数据资产管理混乱 一直以来,高校的数据安全意识较为薄弱,传统观念认为高校与金融、银行和证券等行业不同,数据价值并不高。然而近年来高校数据资产数量急剧增加,价值也越来越高。这些数据多散落在学校的各类信息系统中,未曾进行专业的识别、评估和管理,数据资产管理混乱。此外,高校尚未形成统一的数据分级分类标准,数据安全人才、技术和方法也缺乏应有的支撑。少数开始进行数据分级分类建设的高校,在工作中也多采用传统手工方式,存在周期长、效率低和主观性强等诸多问题。 3.2数据存储安全 高校信息化建设经历迅猛发展后,绝大部分高校都具备招生信息系统、学生学籍管理系统、财务管理系统、人事管理系统、科研管理系统、数字化图书馆、数字化档案馆、在线考试系统和其他一些辅助服务器等。这些系统中的数据分散且海量,数据的存储、防丢失、防损毁和防止非法盗用等问题,都是对高校现有数据存储设备和数据管理方式的巨大考验。高校数据库系统用户众多,因此也面临着安全威胁和风险,具体表现为:(1)系统数据库数据与中心数据库数据的同步问题;(2)冗余数据多,数据的分级分类管理;(3)数据库账户和权限的管理漏洞,数据库日志审计管理缺陷;(4)高校教育数据在云端平台的漏洞频发,如数据缺少保密存储和传输、DBA超级权限滥用等。 3.3网络安全问题 高校信息系统都以网络为基础开展数字资源服务,就面临着新型病毒、木马、分布式拒绝服务攻击、高级可持续攻击等安全问题。这些攻击具有隐蔽性高、攻击性强、组织性强以及一次攻击非法获利巨大的特点,传统的安全工具很难在短时间内检测和恢复,形成了高校数据安全的巨大外部威胁。此外,校园信息化系统自身也存在较多漏洞。例如,2017年5月爆发的“永恒之蓝”勒索病毒,即利用高校防火墙端口入侵校园网,造成应用系统和终端数据的损失。更有甚者,某些大学生利用工具即可抓取校园网系统漏洞。 3.4数据隐私安全 移动互联时代的高校信息系统,无处不在的积极收集教师、管理人员和学生的个人信息,并可能对这些信息进行分析、挖掘、整合和利用,但这些隐私数据没有明确的所有权和使用权界定。例如,数字图书馆中除了包含师生个人身份信息、私人电话、E-mail等,还收集师生的借阅偏好、网络行为和查重查新等内容,这些个人隐私数据如果没有被妥善处理,将存在着被任意获取、泄露和扩散的隐患。 4基于PDRR模型的高校数据治理体系 数据安全是一个复杂的系统问题,并非单一技术或者管理措施即可解决,需综合考虑技术和管理,通过整体的信息安全保障体系设计与实施。下文将首先介绍PDRR模型,然后基于该模型,提出一种新型高校数据安全治理体系。 4.1PDRR模型 PDRR模型是一种改进的信息安全保障模型,在20世纪80年代由美国国防部提出。PDRR分别是防护(Protect)、检测(Detect)、恢复(Recovery)和响应(Response)的缩写,该模型强调信息安全的事前到事中再到事后的全过程保护。 4.2基于PDRR模型的高校数据治理 基于PDRR模型的高校数据治理体系是从保护、检测、响应和恢复四个方面,通过提高数据存储和备份能力,建立健全数据分级分类防护和数据库审计策略,提高网络安全防护能力,严格数据访问控制,明确用户隐私数据保护,实施对数据安全的全方位管理。 4.2.1保护数据安全 保护是指通过提高数据存储能力、加密能力和数据隐私保护,保障高校数据的机密性、完整性和可用性。首先,建立健全数据分级防护策略。根据法律法规要求,以及数据的保密性、完整性等安全属性,高校将数据进行安全级别划分,使数据能够得到适当的安全防护,实现安全成本投入最优化。建立数据分级策略需要考虑可操作性、数据管理与操作的各个角色设置等问题。对于不同级别的数据,还要明确其在数据访问控制、存储、传输、备份和审计等方面的要求。其次,当高校的数据存储能力不能满足需求时,根据各类数字资源的功能性和机密性需求,可以将数据规模较大、服务范围较广和涉及隐私敏感数据较少的数字资源存储在云端,利用云存储实现数据的存储、管理和分析利用[3]。云计算、大数据和虚拟化的快速应用,对数据基础设施提出更高要求,特别是数据的安全性和可靠性,高校根据自身条件建设一个安全、智能和高效的数据中心是可靠的解决办法。再次,数据存储需要考虑数据交换的隐私保护、静态和动态数据的加密机制,可以通过数据加密与一致性校验技术予以解决[4]。以散列方式加密存储口令类不需要解密的数据是较成熟的解决方案。例如清华大学采用了PKI相关技术实现了对招生数据的数字签名和定时验签,有效地提升了招生数据的完整性。最后,高校需要坚持基于数据生命周期的隐私保护方案和原则。高校师生个人信息保护工作,需要贯穿数据采集、数据存储、数据处理与应用、数据传输和数据删除的全过程。隐私保护技术可以包括:基于角色的访问控制、权限管理、加密保护、数据脱敏和安全删除。 4.2.2检测数据漏洞 检测是指采用手动或自动化工具,检查系统中数据可能存在的黑客攻击、恶意窃取及病毒入侵等脆弱性。高校可以从严格数据访问控制和审计制度两方面入手,提升数据漏洞的检测能力。首先,高校可以构建一个数据安全智能检测平台,分析网络异常情况,发现潜在攻击,有效预测威胁。该平台实时检测异常,报告异常检测结果,发现攻击行为,实时响应,同时将分析结果反馈给平台的预测模块,形成一个智能的“检测-分析-响应-预测”的闭环数据检测模式。其次,严格数据访问控制,包括使用防火墙实现网络访问控制、通过主机安全加固强化主机访问控制、通过数据库加固限制数据库访问控制,通过Web应用的安全设计与开发,防止黑客通过Web应用漏洞获取敏感数据等。再次,高校需要在网络中部署专业的数据库安全审计系统,定期监控数据库访问行为,及时发现违反数据库安全策略的事件,实时记录并报警,完成安全事件定位分析,做好事后追查取证保护。 4.2.3响应数据安全事件 响应是指通过建立应急处置策略和机制,开展实时入侵监测与预警,对高校的数据安全危机事件、行为和过程做出及时响应并处理。首先,高校应当建立数据安全应急处置策略和应急机制,建设专项应急组织,发生数据安全事件及时启动应急响应机制,采取措施防止危害扩大,消除安全隐患。应急处置机制应该以预防为主,并将应急管理的应急之举转换为常规管理活动。高校可以利用线上和线下途径普及数据安全应急知识,加强应急预案的公示,开展数据安全应急讲座、数据库安全防范技能培训,定期开展数据安全应急演练,抓深落实数据安全学习。再次,高校利用检测平台的数据安全入侵监测与预警系统,定期开展数据安全状态评估。在突发事件萌发或发生后,及时获得信息,为应急响应争取时间。在应急监测与预警中,既要实现全员监测,充分发挥高校师生的作用;又要通过信息技术提升突发事件或风险上报机制。例如建立可视化应急监控平台,实时监测突发数据安全事件,还可以开发APP或小程序,实现数据安全突发事件的风险一键上报功能。 4.2.4恢复数据业务 恢复指一旦高校数据安全遭到破坏,可通过本地和云端平台,实施数据备份,定期管理备份数据,尽快恢复并提供正常数据服务业务。针对高校的关键基础设施系统,例如数字图书馆、财务系统、学籍管理系统、档案管理系统和科研关系系统等,需要根据安全等级要求,实施相应等级的备份技术,如冷备份、热备份和异地备份等。此外,还需要定期开展备份检查工作,从而在各类灾难发生时,能够让学校的关键信息系统尽快恢复业务。随着云计算、大数据和虚拟化逐渐渗透到教育信息化领域,高等教育向云端的扩展,打破了传统教学模式对时间和地点的限制和要求[5]。在这种技术环境下,对高校的信息系统灾难备份的数据恢复点目标和恢复时间目标,提出了更高要求:首先,高校需要规划好系统的等级保护和分级保护;其次,要考虑数据损坏、丢失能以最小颗粒度恢复;再次,能够实现应用系统容灾,故障快速接管恢复。 5结语 当作为生产要素的数据成为高校最重要的信息资产时,数据在整个生命周期内必须得到必要的防护。高校必须坚持安全与发展并重的方针,为数据安全提供全方位保障体系。高校数据安全管理需要从校长到师生,贯穿整体,形成全员对治理目标的统一认识,积极推进信息安全等级保护测评工作,及时评估新技术给学校数据安全带来的威胁,及时查找发现并安全漏洞和隐患。 参考文献: [1]郭亮,张吉智,陈心怡,等.数据安全复合治理模式研究[J].信息安全研究,2021,7(12):1110-1120. [2]王春晖.我国《数据安全法》十大亮点解析[J].中国电信业,2021(09):42-46. [3]韩云惠,周帆.电子档案数据安全治理理论体系建构——以新修订《档案法》和《数据安全法》的实施为背景[J].浙江档案,2021(11):44-47. [4]何波,谢祎.我国数据治理的最新进展与发展趋势[J].中国电信业,2021(10):63-67. [5]胡国华.数据安全治理实践探索[J].信息安全研究,2021,7(10):915-921. 作者:胡莲 吴姝仪 单位:上海立信会计金融学
顾名思义,大数据就是大量数据,对这些数据信息的利用中,通过计算机技术对相关数据信息进行搜集、整理与处理,保证计算机系统运行顺利。同时,强化对计算机信息处理技术的研究,对提升计算机系统运行水平,发挥其社会功能性具有重要的意义。 1大数据时代中计算机信息处理技术 大数据技术在社会中的发展与运用,为计算机信息处理技术发展提供了更加广阔的空间,同样也提出了较高要求。有效的研究计算机信息处理技术,能促进计算机系统运行效率提升,保证计算机系统对数据的处理能力,而数据收集工作是进行数据信息处理的前提条件[1]。所以,在计算机系统数据信息收集前,必须对数据信息进行分类,提升数据信息处理的效率,提高处理结果的精确度。在大数据时代中,信息安全尤为重要,必须采用更为先进的信息安全技术,将其作为计算机信息处理中的优秀技术。数据信息在数据库中都存在一定的关联性,在信息处理中容易发生信息安全问题,为了有效地保护数据库安全,必须做好信息安全技术的研究,注重数据信息储存安全。大数据时代中,信息存储技术对于信息处理技术来说十分重要,只有保证数据信息的安全储存,才能发挥信息处理技术的作用,提升数据稳定性。 2大数据时代中信息处理技术面临问题 大数据时代下,计算机信息处理技术得到了较高的帮助,但同样也让计算机信息处理技术面临新的挑战,风险与机遇往往是并存的。具体来说,大数据发展中,数据库安全性能会有所降低,信息数据安全会受到威胁。数据库中包括海量的数据信息,这对信息安全要求会更高,同时对计算机技术的发展也会造成一定的影响。随着网络通信技术的发展和普及,海量数据能够通过网络加以传播,传播的速度、广泛性都得到提升,因此在信息数据传输中的安全问题也十分值得关注。所以,必须强化对数据存储、数据传输问题的研究,通过防火墙技术、数据存储技术实现相关的目标。对于数据存储问题,设置一定的信息存储时间限制,在达到这一限制后消除数据库中的数据,为数据库保留更多的容量[2]。当然,信息数据安全也是大数据时代中信息处理技术面临的重要挑战,网络具有开放性、平民性的特点,用户可以通过网络进行相关数据的获取、传输等,相关计算机病毒、木马、钓鱼链接等层出不穷,还存在一些黑客对网络信息进行恶意攻击、更改,或者窃取有用的信息数据,为信息安全防护敲响了警钟。计算机技术人员必须认真看待这些问题,根据相关具体情况制定数据处理方案,设置安全防护措施,保证信息在网络传输中的绝对安全。 3大数据时代计算机信息处理技术关键点 大数据时代中,计算机信息处理技术发展必须从数据搜集、储存、传输、安全等方面加以分析,只有这样,才能真实提升信息处理技术先进性,符合大数据时展需求。 3.1信息获取与加工 用户通过计算机搜索关键词或信息名词等获取有用信息,计算机根据这些信息进行快速整理,并通过筛选将最后结果呈现给用户。如果用户搜索信息量庞大,则需要计算机利用复杂计算程序,才能准确地为用户提供有用信息。在计算机运用中,为保证计算机系统提供的信息符合用户需要,满足网络化发展需求,必须对计算机运行情况进行监控,检查相关的数据信息,将垃圾信息删除,将有效的信息进行呈现;同时,数据信息加工也是计算机信息处理技术的要点,必须根据用户同步的数据信息,对数据进行合理分类,利用计算机后台对用户查找信息做出初步的判断,提升用户使用频率[3]。另外,在数据传输中,必须对对接传输通道进行维护,为信息和用户之间对接提供保证,减少传输错误的现象产生。 3.2网络信息安全技术开发与研究 信息技术不断发展,信息大爆炸也将人们引入到大数据时代,其不仅为人们提供了更加便利的信息服务,但同时也加大了用户选择所需信息的难度,对人们工作效率的提升形成制约。为了有效地解决上述问题,则需要提升对用户检索需求的掌握,保证信息安全。一方面,计算机技术人员需要加大开发力度,研究出有效的应用程序,对网络运行中各个数据进行检测,及时将不合理数据消除,找出数据信息关键点;另一方面,通过创新研究,推出更多先进的大数据信息产品、安全技术产品等,为网络环境的维护做出贡献,提升数据信息的安全性;并且应当构建更加完善的网络信息安全系统,为相关工作人员提供技术培训,让其了解行业更新换代,从技术源头上提升数据安全,提高数据信息处理的技术性能。 4总结 综上所述,大数据时代的到来,为人们生活、工作都提供了极大的便利,同时也为社会经济发展做出了巨大贡献。在计算机信息处理技术方面,大数据为其发展提供了重要的机遇,同时也让其面临着一定的挑战,因此必须从信息加工处理、信息安全等方面加以控制,强化创新,保证该项技术发挥其的价值作用。 参考文献 [1]李俊芳.大数据时代背景下计算机信息处理技术分析[J].信息与电脑,2016,21(8):211~212. [2]刘海南.基于大数据时代背景下计算机信息处理技术的研究[J].数字通信世界,2017,32(13):99~101. [3]梁宇,吴仁德.大数据时代计算机信息技术的发展研究[J].信息与电脑(理论版),2018(2). 作者简介:王姝蘅(2001-),女,汉族,黑龙江哈尔滨人,高中在读。
企业信息管理论文篇1 一、人事信息管理概述 (一)人事信息管理的含义人事信息管理是一项复杂性较高的工作内容,直接关系着内部工作者的信息、工作经历和主要社会关系等方面。对于企业或单位而言,人事信息管理是直接决定企业员工命运的重要依据。在人事信息中收录的员工成长经历是目前用人单位对员工进行任命、工作指派等决策的资料基础。在管理学科当中,人事信息管理是较为新颖且不可或缺的部分,能够对社会性资源和经济进行有效管理。人事信息管理能够对企业员工进行合理的组织和管理,打破了传统的人力资源管理模式。因此,具有主观能动性的人力管理方式已经逐渐受到更多企业管理人员的重视。另外,各个人事部门单位逐渐具有决策性,在企业中的地位也越来越高。在社会以及各个组织中均需要合理的人力信息管理模式。 (二)人事信息管理发展现状在信息化时代背景下,人事信息管理伴随着互联网技术得到了进一步发展,人力资源管理理论也得到了完善和改进,人力资源管理体系能够将企业员工和企业管理人员充分沟通和交流,与人力资源管理人员进行互动[1]。以往的人事信息管理仅仅局限于人员的招聘、分派、个人信息档案管理、工资发放等基础性工作内容,随着企业的发展,人事信息管理也涉及了绩效评估、奖惩制度、人员培训、考核以及其他人事制度制定等。然而,现阶段的人事信息管理与传统的管理方式大不相同,现代人事信息管理能够采取先进的信息化技术对人力资源进行合理开发、利用、规划、组织、管控等,从而确保人力与物力处于最佳的比例,充分发挥出人力的潜在能力,进而提高员工的工作效率,为企业创造更多的市场竞争优势,促进企业持续、稳定、健康发展。 (三)企业人事信息管理工作内容在企业人力资源管理相关部门单位中,需要对企业员工的基本情况充分掌握,并且能够记录企业各个部门员工在职业生涯中的表现。企业人事信息工作是企业员工工作发展变化的重要体现,不仅能够全方面对员工的现阶段工作情况进行详细记录,也能够对员工的各项基本信息进行详细记录,例如员工的工龄、学历、技术支撑、家庭成员关系、年龄等。通过企业人事信息管理和维护,能够为企业的管理能力起到十分显著的效果,对企业人力资源进行合理优化、合理分配,提高企业经营发展能力。 二、企业人事信息管理与维护的必要性与重要意义 (一)促使企业人事管理逐渐走向科学化、程序化、现代化通过先进的信息处理设备提高人事管理工作效率和工作质量。并且确保企业员工基本信息规范化管理,为企业经营发展提供可靠依据。在人力资源共享背景下,推动企业人事信息管理和维护工作能够保证管理流程更加规范,从而确保人力资源管理的各个职能能够在实际管理和维护过程中得到充分衔接[2]。企业人事信息管理与维护能够让各项人事相关业务流程更加透明化,为员工提供更多的合法权益。企业的人事信息数据库中包含企业所有员工的个人信息,即考勤、绩效、奖惩记录、培训情况、福利待遇以及薪资发放等信息。通过数据库可以更加及时、方便地对人力资源合理分析,并获得系统性的分析报告。并且,在企业经营发展过程中企业人事信息管理和维护工作能够对员工信息进行合理管控,不仅可以确保企业人力资源的完整性,也能够提高企业人力资源整体的工作效率和管理水平,推动企业人事信息管理工作的开展,为企业资源信息数据的维护打下良好的基础,确保企业产业链能够有序运行,为企业发展提供重要的人事信息数据。 (二)协助管理人员进行角色转换在系统性数据处理技术下,能够对人才进行合理分配和划分,通过定量形式能够充分体现出人力资源部门存在的自我价值,让人力资源部门从以往的传统行政事务管理模式中进行转性,逐渐成为企业战略目标中重要的组成部分,提升在企业中的地位。针对人事信息管理而言,在企业管理系统性优化、资源分配等方面的应用范围较广,具有较高的应用价值。人事信息管理和维护工作的主要目的是让企业能够对人力、物力等资源进行适当平衡和处理,对资源进行系统性管理和优化,对于企业的经营发展、各种业务的开展均能够起到积极促进的作用。例如,优化人力资源配置,可以利于企业在激烈的市场竞争中具有一定的优势。对于企业自身而言,人事信息管理的复杂性是企业人力资源收集、处理所要面临的问题。为此,需要将信息管理、整合、供应充分融合,才能展现出信息数据存储、整合的高效性,进一步提高信息数据处理精准度,促进企业在短时间内实现人力资源共享的目的[3]。 (三)提升工作效率,确保人事相关业务流程更加规范以笔者所在单位为例,中国石油集团公司邀请第三方机构开展的《数据管理与应用能力评估模型》对标分析,中国石油整体数据管理成熟度得分低于国际领先企业(3.9分)和国内领先企业(3.45分)。集团公司信息数据质量管理方面存在着标准不统一、信息不完整等问题,数据维护存在项目多、信息量大、维护周期跨度长等因素,导致目前系统内历史数据存在与实际情况不一致或维护不同步等现象。为实现数字化转型,集团公司将“中国石油数据湖体系建设项目”作为“十四五”重点项目之一,以“数字中国石油”作为建设目标,多措并举持续优化数据治理体系,为公司建设世界一流国际综合性能源公司提供数据保障。 (四)有助于实现人力资源共享企业实施人事信息管理与维护,有助于让企业全员都可以参与其中,通过对人员的信息统计和分析可以更加方便地获得各种人事信息数据分析报告。对于企业管理人员而言能够提供具有决策性、准确性、全面的人力资源信息依据。 三、人力资源共享服务背景下企业人事信息管理和维护工作的具体思路 (一)提高对人事信息管理信息化的重视程度在现代化时代背景下,信息技术作为企业改革和经营发展的科学化、规范化基础,为人力资源管理人员提供了更多的便利条件。企业领导应当转变以往的思维和观念,认识到人力资源部门在企业中的重要作用。通过建立信息化人力资源管理平台,能够给予员工最大的基础保障。企业科学的管理模式是企业持续发展的前提条件。人事信息管理信息化是时展的体现,能够做到与时俱进,跟随时代潮流。作为企业领导者应当及时转变企业管理思想,让企业逐步走向社会发展前沿,不断培养更多的信息化人事信息管理人才,为企业人力资源管理工作打下坚实的基础[4]。先进的思维和观念能够推动企业持续稳定发展,通过信息化的管理模式能够让工作变得事半功倍。通过奖励机制和情感关切的方式能够调动员工的工作积极性,让员工感受到集体荣誉感和归属感,树立现代化的思维观念。 (二)强化员工责任意识,加大业务培训力度任何工作若想要做好需要具有较强的工作责任心,人事信息管理和维护工作亦是如此。由于人事信息管理和维护工作内容较为繁琐、复杂,涉及每位企业员工的个人利益,小到个人简历、大到薪酬福利,均需要对工作足够认真仔细。这样才能保证每位员工的基础信息资料不丢失、不出差错。人事信息管理工作与其他统计类的工作大不相同,需要在对信息数据进行录入的过程中严格按照工作规范流程实施[5]。例如,在薪酬调整方面,关乎员工的切身利益。为此,需要确保员工的日常工作考勤、工作绩效、工作奖惩状况均要准确无误的记录。员工要时刻保持着严谨、细致的工作态度,若发现工作中存在纰漏,需要将数据及时补齐、调整,避免在之后的管理过程中存在重要差错。另外,企业应当对人事信息管理专员定期开展培训业务,确保员工充分了解和掌握理论知识和实践操作能力,提高人事信息保密意识,保证企业员工个人信息的安全性。 (三)构建科学的绩效管理与薪酬管理制度建设科学的绩效管理和薪酬管理制度能有助于人力资源共享背景下人事信息管理工作的改革与创新。企业通过建立绩效管理或薪酬管理制度,可以更好地推动人力资源管理工作的专业化发展,在为员工提供稳定工作环境的基础上,能有效带动企业的发展与进步。同时在绩效管理和薪酬管理制度构建期间,还能借助信息化技术完成对员工的管理和监督,对于企业的整体发展可起到显著的积极影响。因此,企业管理者也要充分理解和认识信息化对企业发展的重要性,只有在信息化技术帮助下推动人事信息管理工作的开展,才能在提高工作合理性的基础上,加速人事信息管理改革工作的创新。 (四)利用信息化提升人力资源管理服务水平在当今的大数据时代,人工智能等先进技术能够显著提升人力资源管理服务水平。在企业人事信息管理和维护的过程中,也要合理运用大数据技术的优势;结合行业的各种类型、实际发展状况来精准获取更有价值的人才作为企业的员工[6]。企业可以通过外部利益相关者的人力资源,采取科学的合作模式获取企业外部人力资源。这种方式不仅能够节省企业人力投入成本,也能将企业内部、外部人力资源进行充分整合。尤其在专业人才方面,企业能够通过现代化技术获取人力资源管理方面的技术型人才,对企业人事信息管理、维护工作模式合理优化。若在企业内部中发现具有人力资源管理潜质的员工,可以将其选拔为此类管理人员,通过各种培训、考核不断提升人才的专业技术水平,确保企业在人力资源管理方面具有较强的竞争力。针对高校或其他产品渠道而言,聘请人力资源管理专家和富有人事信息管理经验的管理者,能够大幅度提升企业人才储备,使得企业在人力资源管理方面具有较好的创新性。 四、结语 综上所述,在人力资源共享服务背景下,企业人事信息管理、维护工作需要形成长效机制,充分认识到人力资源共享给企业带来的价值,提高人事信息管理工作的重视程度,将大数据等现代化技术与各项业务工作进行充分结合,确保企业在激烈的市场竞争中具有一定的优势。 作者:林扬仙 广红 王艳 单位:中国石油共享运营公司天津业务部 企业信息管理论文篇2 一、云计算的意义及其应用条件 云计算是信息时代一种全新的计算形式,能够为各行业提供高质量的服务,利用互联网进行传播。新时期信息技术的日益完善促使各行业在云计算等新兴技术的支持下不断创新,极大地提升了工作效率和工作质量,有利于推动各行业发展。例如传统制造业和教育医疗等行业,在云计算技术的支撑下对各项工作环节和信息服务进行了优化,推动了各行业信息化建设,为公众提供更加高效的服务,促进了各行业工作效率的提升。所以从这一角度来看,云计算技术在新时期的发展前景十分广阔,对于数字信息系统的运转,应当把握好以下几点:首先,确保各项服务的安全可靠,结合虚拟化的互联网技术对云计算的相关数据进行处理,根据各行业用户特点以及发展方向,将其划分为若干个子网,确保在使用过程中各个子网独立工作,不会对其他子网产生相应的影响,保障信息传输质量。其次,为了保障信息数据传输的及时性和安全性,应当确保云计算运转网络中各项设备符合使用要求,最大限度地保障云计算网络运转的时效性和连贯性,确保信息传输不被影响。另外,企业应当结合云计算的格式要求和阅读数量,配备一套符合企业自身情况和云计算要求的终端设备,确保企业信息数据的传输工作符合相关要求,完善阅读形式和不同类型的介入方式,为公众提供个性化服务。不仅如6此,云计算技术的应用还应有一套相对完备的网络结构框架作为支撑,促使数字信息结构和相关性能做到自由伸缩,对于大批量的数据信息具备一定的传输能力,结合新时期的发展自动升级优化,确保网络系统的正常运转。 二、中小企业信息资源管理内容及重要性 (一)信息资源管理的含义和基本特征信息资源是社会和企业发展中的一项重要资源,对企业信息管理有着重要意义。信息资源是一种虚拟化财富,是企业长期发展中不断累积的一项资源,现阶段对信息资源定义尚未统一认识。不过,就实际研究情况来看,信息资源通常可以从两个方面理解:广义的信息资源是涵盖的信息技术和生产者等多项要素;狭义的信息资源则是对人类各项活动中信息的累积。 (二)企业信息资源管理的含义与产生背景信息是一种固定的资源,只有对其中深藏的价值进行挖掘才能够变为一种有效资源,为企业管理提供借鉴。中企业信息资源管理工作,简单来说就是对企业涵盖的各类信息资源实行统一管控,提升信息资源管理效率。现代企业发展对信息需求程度越来越高,对信息的高效性和连续性等层面也提出了更高的要求,在这样的背景下,企业信息资源管理工作应运而生。 (三)信息资源管理在企业中的重要作用信息资源管理为中小企业经营提供了信息借鉴,对企业各项决策也有重要意义。现代中小企业管理对资源的利用尤为重视,结合现代化信息管理模式开展管理,有效提升了企业信息资源管理效率,是增强企业市场竞争力的重要手段。 三、中小企业利用云计算开展信息资源管理的优势 (一)有效降低企业投入成本传统中小企业信息管理通常依托网络设备和硬件设施开展管理,导致企业资金投入较多,增加了企业运营成本。结合云计算技术开展信息资源管理,能够结合网络平台对各项信息资源实行统一管控,减少传统管理模式对硬件和软件的依赖,降低企业成本支出,在保障基础服务能力之上提升企业信息资源管理效率。 (二)有效解决信息化人才缺乏问题信息技术的不断发展促使各行业对信息人才需求量越来越高,不过,现阶段对信息人才的培养缺乏合理规划,导致高层次信息人才数量较少。部分中小企业信息资源管理由于缺乏高端人才,致使部分工作无法开展。利用云计算开展信息资源管理,能够有效解决企业信息管理工作中的问题以及信息人才缺乏的问题。 (三)有助于中小企业提高工作效率和创新能力云计算的突出特点之一就是能够实现网络资源互享,对中小企业信息资源管理有着重要的意义。依托云计算技术,企业各部门之间能够实现资源互通,提升企业工作效率。并且,云计算技术的应用创新了企业管理模式,有利于促进企业主动创新,推动企业信息资源管理创新能力的提升。 四、中小企业利用云计算进行信息资源管理工作中的问题 (一)对云计算的认识不到位尽管目前对云计算开展了部分研究,并且部分企业对云计算相关概念已经有了一个基本了解,但是对于绝大多数中小企业来说,企业管理层对云计算概念的理解仍然存在一定偏差。并且,云计算的出现通常会与科技等行业相联系,导致中小企业信息管理工作对云计算概念的理解出现错位,无法与企业信息资源管理工作相结合。不仅如此,绝大多数中小企业对投资收益开展分析,仍然按照传统理念进行推进,对企业信息化建设缺乏必要的认识,导致云计算的应用受到阻碍。 (二)云计算应用缺乏规划随着信息技术的不断发展,在大数据和云计算等新兴技术的支撑下,中小企业理应是最大的受益者。与大型业相比,中小企业人员较少,加上企业规模较小,因此在管理层面的创新相对简便。不过就现阶段中小企业实际发展情况来看,不管是企业信息化建设还是信息资源的利用效率仍然处于一个较低水平,绝大多数中小企业对于云计算技术的接受程度较慢,缺乏必要的认知和计算基础,导致云计算的应用受到束缚。中小企业信息化建设受到多方因素影响,究其原因,可以发现人才资源的紧缺是导致中小企业信息化建设受到抑制的主要原因之一。信息人才数量的缺少,导致企业发展和管理工作不能与云计算做到有效融合,在实际应用层面缺乏合理规划,企业各部门间缺乏协作能力,影响云计算的实际运用。 五、云计算背景下中小企业信息管理思路 (一)加强宏观指导云计算技术的应用需要相关部门宏观层面指导,推动云计算产业可持续发展。中小企业结合云计算开展信息资源管理,应当按照正确的方向推进,结合国家相关部门出台的有关云计算技术应用的政策法规开展各项工作。相关部门也应加强对企业信息管理工作的指导,定期对企业信息数据开展审计,做好日常监管,保障企业信息资源管理安全性,引导中小企业建设有利于云计算技术发展的环境,推动企业信息管理的高质量发展。 (二)创新企业管理理念中小企业应用云计算技术开展信息资源管理,首先应当突破传统管理理念的束缚,结合新时期的信息发展创新管理观念,在企业中贯彻云计算技术的重要性。云计算技术的出现为企业信息化建设和信息资源管理工作提供了更多选择,应用云计算技术开展信息资源管理能够有效提升工作效率,加强信息管理水平。不过,与其他工作相比,云计算应用也应有规范的流程作为引导,需要企业各级支持,在应用过程中设立必要的制度,促使员工对云计算技术有一深入理解。具体来讲,企业管理人员需要创新管理思想,定期组织企业员工开展技能培训,加强员工对云计算技术的认识,了解新时期发展趋势。 (三)对业务需求进行分析中小企业应用云计算技术开展信息资源管理,应当组织专业人员对业务需求和工作流程开展深入分析,初步建设企业信息系统的框架。通常来讲,企业信息化建设可以从两个方面推进:首先是建设信息管理系统。对于企业各项工作开展,结合云计算技术开展信息化管理,提升信息资源管理效率;其次,结合网络商务平台的建设,促进企业信息化管理工作与网络商务平台的结合,拓宽企业销售渠道,提升企业管理水平。 (四)确定合适的云计算方案应用云计算技术开展企业信息资源管理,应当有一套相对完备的方案作为支撑。中小企业云计算方案的规划工作,应当从软件应用和操作平台的设计等方面入手推进,建立在企业自身情况和发展需要的基础上,对各项工作进行科学设计,进一步减少企业投资成本,促进企业信息管理效率的提升。简单来讲,企业云计算方案的规划工作应当结合服务厂商实际情况统筹考虑,根据服务商创新能力和企业服务方式进行科学规划,选择合适的云计算技术进行应用。 (五)塑造正确的企业文化中小企业结合云计算技术开展信息资源管理应当明确企业文化的重要性。与其他工作不同,企业文化是跟随企业长期发展而形成的一种行为模式和文化观念,能够切实反映企业的发展规律和实际情况,塑造正确的企业文化有利于促进云计算背景下中小企业信息资源管理效率的提升。同时,企业文化能够反映企业成员的价值理念和个人信念,对于信息资源管理工作的开展有着重要意义。企业文化并非一成不变,需要结合时代变化不断创新。随着信息技术的发展,企业利用云计算技术开展管理,应当结合新时期发展情况创新文化思想完善管理技术。从用户角度出发对各项工作的开展进行合理优化,形成正确的企业文化,促使企业文化与云计算时代的发展方向保持同频,突出云计算技术优势,实现信息企业信息资源管理与云计算的有机融合。 (六)做好安全防范应用云计算技术开展管理,最为突出的一项特点就是信息资源的使用者和拥有者相互分开,并且信息数据的存储和处理都在云平台上进行。从这一角度出发,用户对个人数据的隐私性和安全性十分担忧,这就要求企业对云计算技术的应用做好安全防范,确保信息数据的安全性,建设一套企业安全系统对云计算数据进行保护,重点针对数据资源和信息管理平台设置必要的安全防护措施。企业可以结合现阶段信息管理工作中可能发生的风险,结合云计算技术特点开展风险评估,设置风险预案,确保风险发生也能做到有效解决。同时,合理评估云计算的容灾能力和恢复能力,为各类数据的安全性提供保障。 作者:徐有若 赵鹏程 企业信息管理论文篇3 一、企业信息安全与保密管理现状 当今社会信息技术快速发展,大数据、云计算、人工智能等广泛应用,信息存储电子化、传输网络化、介质多样化、载体数码化,隐于无形、复制方便、传递迅捷,由此带来的信息安全问题复杂多变。能源企业因自身机构比较庞大且分散,具有点多面广的特点,如果对信息安全和保密工作不引起足够的重视,对自身的核心商业秘密不严加保护,势必将给企业乃至国家带来难以估算的经济损失。信息安全基础设施落后。信息安全基础设施是信息安全体系中用于支持信息安全应用和信息安全管理的基础平台,它的可靠性、可用性是实现企业信息安全、保密管理的有力保障。虽然石油企业已建有专业的信息安全基础平台,信息自动化程度较高,但随着信息技术的不断发展,一些信息安全设备已落后,势必出现技术漏洞,容易导致企业失密泄密事故发生。信息安全管理体系不完善。信息安全属于新兴领域,企业在信息安全管理方面还处于摸索阶段,普遍存在以下问题。一是信息资产管理不明确。信息与人们的切身利益息息相关,并以不同的形式存在于人们的工作、生活中,如数据、软件、硬件、服务、文档、设备、人员、客户关系等,这些既包含有国家秘密,又包含有企业商业秘密或个人隐私等,大到影响国家利益,小到影响员工的切身利益。信息安全管理过程当中,由于对需要保密的信息资产不明确、界限模糊,公开与保密难以界定清楚。特别是当今社会要求企业信息公开化,如果企业需要保密的信息资产不确定、界定不明确、保密审核不严格,就会造成企业的信息泄漏。二是组织结构不健全,人员职权不明确。企业信息安全管理组织结构不健全,管理人员的职权及范围不明确、防范意识低。在实际工作中,经常会出现信息部门与保密管理部门相互推诿的现象,容易给窃密者可乘之机,造成失密泄密事件发生。三是信息安全宣传教育形式单一。加强信息安全的宣传和教育是提高安全意识和保密意识的有效手段。但在实际的宣传教育过程中,宣教形式较为单一,仅仅对法律法规及企业内部安全制度内容进行讲解或发放资料,难以激发员工的学习热情,教育效果不佳,达不到预期目的。四是缺少合理的管理制度。信息化迅猛发展的时代背景进一步拓展了各种外泄渠道,给企业内部信息的保护提出新的课题。智能手机、笔记本电脑等个人移动电子产品已成为人们日常工作生活不可或缺的工具,它们给人们的工作和生活带来便利的同时,也存在极大的安全隐患。为便于工作,个人的电子产品里储存有企业的各类信息、数据甚至是关乎企业生死存亡的敏感资料,而在企业里,对于这类个人电子产品的规范使用或接入无线网络等行为缺乏相应的管理制度,对企业来说,这犹如一颗隐形的定时炸弹,威胁着企业的信息安全。信息安全和保密意识亟待加强。有的企业负责人和员工对信息安全重视程度不够,认为“说起来重要,做起来没必要”,没有从思想深处认识到作为企业不仅有密要保,而且对企业的相关负责人和员工来说,要保的密还不少,尤其是国有大型能源企业,更是如此。如果没有充分认识到保密就在身边,那违规行为和泄密隐患的存在就具有必然性,势必会对企业信息安全造成影响。 二、企业信息安全与保密管理策略 做好保密工作是保障企业信息安全的前提,保密工作管理水平的高低直接关系到企业信息安全程度的高低。信息安全管理和控制范围覆盖安全技术体系中涉及的各种安全管理机制、安全基础设施建设和设备管理,以及人员管理和教育等。要为企业提供有效的安全保护,就要引入国际信息安全ISO2700-1标准,结合企业的实际情况和长期发展需要,采用循环上升管理模式PDCA(计划、执行、检查、处理),并从以下几方面对企业信息安全和保密管理进行长期、系统规划和完善。建立完善的信息安全管理体系。单纯依靠提升基础设施平台从技术层面去解决安全问题,是无法有效地达到保障企业信息安全的目的。需建立完善的安全管理制度,结合安全基础设施,对整个安全系统进行全面管理、监控和维护。企业相关负责人应该根据企业的发展需求明确信息安全目标、技术标准,搭建合理的安全组织机构,完善管理制度,明确信息安全管理权限和职责,确定管理规范和步骤,加强资金投入,确保信息安全保障的正常运作。完善企业信息安全和保密制度。随着信息技术的不断发展,信息保密工作也面临着严峻的挑战。企业要建立一套较为完善的信息安全和保密管理制度,如规范员工上网行为、企业内外网互联互接行为、办公信息化设备保管使用、企业内部员工统一身份管理、企业信息公开与保密审查工作之间的联系、企业定密及涉密人员管理等,以严明的制度来约束员工行为,为企业的安全和发展提供有力的保障。采取多元教育模式,提升干部职工信息安全和保密意识。无论是信息安全还是保密工作,重点在于“防”,即绷紧安全防线,提升安全和保密意识。在宣传教育过程中,要结合时展特点和宣传教育对象特点,采取多元化的模式进行宣传教育。例如,通过企业微信公众号在全系统开展安全、保密内容有奖答题活动,邀请员工共同查找企业信息安全和保密工作中存在的漏洞,用信息安全案例开展警示教育,通过企业内部桌面安全系统推送信息安全知识和保密法律法规,定期举行信息安全防范演练等。通过多种宣传教育渠道,切实提升企业干部职工的信息安全和保密意识,杜绝因为“无知”造成的失密泄密,减少因利窃密,从思想上建立堡垒,防患于未然,共同筑牢安全防线。提升防范技术手段。防范是企业安全防御环节中防止非法入侵和非法访问系统的关键一环,可采用以下技术提高防范手段。一是数据加密技术。数据加密技术是指将需要加密的数据经过加密密钥和密码算法变成不能阅读的无意义数据,在接收方使用解码密钥和密码算法后还原成原数据。这种方式只有通信双方才能识别信息,窃密者无法识别也很难破解和修改,从而提高了保密性。同时根据加密密钥和解密密钥是否相同,可分为对称密码技术和非对称密码技术,分别有各自的特点,企业应该根据自身需求进行选用。二是设置网络准入权限。企业可以通过使用用户名、口令密码等设置确定企业内部网络的准入权限,按员工接触企业信息的级别进行分权分级访问网络资源。对于通过无线网络通信技术使用个人电子产品接入企业内部网访问也应有相应的防范监控措施。三是防火墙技术。防火墙是保护计算机网络安全的一种技术,它在外部网和内部网之间建立屏障,通过过滤和隔离防范来自外部的各种攻击入侵。四是入侵检测技术。入侵检测技术是对入侵行为的检测,是一种积极主动的安全防护技术,是防火墙技术的补充。通过收集和分析网络行为,及时发现入侵行为和攻击迹象,及时阻拦入侵危害。五是病毒库技术。企业应安装先进的病毒库系统,积极做好防毒杀毒防范。同时进行技术创新,形成自己的病毒库,从而提高防毒杀毒能力。六是强化计算机网络安全。计算机信息系统及网络已经成为泄密事件的主要途径。企业要加强计算机和内部办公网络、企业门户网站的保密管理,实行内外网物理分离,内部办公电脑禁止连接互联网,坚持“谁上网,谁负责”的工作原则,严格落实“上网不涉密,涉密不上网”的保密要求。加强涉密人员的管理。企业的重要和关键信息一般都掌握在关键少数人手里,确保企业信息安全要从关键少数着手。抓好企业涉密人员的管理,常态化进行保密法律法规,尤其是保密专业技术的培训,还要经常性进行警示教育,使企业涉密人员具有专业的保密技能。对涉密人员在上岗、在岗、离岗等各个环节进行闭环管理,做到环环相扣,保障企业保密工作顺利进行。总之,企业在经营过程中要重视信息安全的管理工作,要系统、规范地总结和分析安全及保密管理工作中的问题,加强保密意识,建立规范化和完善的信息安全管理体系,有效地解决企业所面临的信息安全问题,让企业信息安全有保障。 作者:王永春