信息管理与信息系统和信息安全

信息安全管理体系在企业安全中具有重要作用。在分析国内外信息安全理论、模型和框架的基础上，建构了企业信息安全管理体系。

1.组织体系

企业结构一般由采购部、财务部、销售部、仓储部、生产部、质量部、人力资源部等组成，不同部门有不同的职责，部门内部存在着各种各样交错的信息流动。对于信息安全组织来说，必须由管理者通过清晰的说明、可证实的承诺、明确的信息安全职责分配和确认，来积极支持组织内的安全。这些职责可以由专门的小组或机构来完成，实施信息安全的职责。

2.管理体系

信息安全是“三分技术，七分管理”，必须做到技术和管理并重。信息安全管理主要包括人力资源安全管理、资产管理、信息安全事故管理和业务持续性管理。

根据信息系统规定的安全等级要求和涉及的信息密级，对人员进行审查，所有人员应明确其在安全系统中的职责和权限，信息系统的关键岗位人选——安全负责人、安全管理员、网络管理员、系统管理员、系统分析员等必须经过严格的政审并要考核其业务能力，关键岗位人员不能兼职，应定期对从事操作和维护信息系统的人员进行培训，成绩合格者才能上岗并签订保密合同，承诺其对系统应尽的安全保密义务，关键岗位人员调离必须严格办理调离手续，必须及时更换其在各信息系统中的口令和密钥，撤销或冻结其用过的所有账户。

资产管理主要包括场地设施管理、设备管理和软件管理。建立机房出入登记管理制度，无关人员限制进入机房；建立值班和交接班管理制度、机房主要设备维护记录档案；及时检查机房主要设备，确保设备处于正常状态；记录信息系统在不同时点的运行状况，特别是资源开销是否出现异常或超出系统设计指标；所有设备均应建立项目的购置、移交、使用、维护、维修和报废等登记制度，并认真做好登记及检查工作，保证设备安全管理。

无论采取什么样的控制措施，总有可能发生信息安全事故，因此，亡羊补牢的信息安全管理成了管理体系中的重要环节。信息安全事件必须采取措施加以预防，降低信息安全事件的危害业务连续性管理是重要的综合管理，涉及企业诸多方面，防止业务活动中断，保护关键业务免受信息系统重大失误或灾难的影响，确保它们得到及时恢复。

3.技术体系

目前的信息安全技术主要有数据加密、数字签名、身份认证、防火墙、病毒查杀和入侵检测等。数据加密是通过对信息的重新组合，使得只有收发双方才能解码并还原信息的一种手段。随着相关技术的发展，加密正逐步被集成到系统和网络中；硬件方面，已经在研制用于PC机和服务器主板的加密协处理器。

传统的对网络病毒的检测和查杀都是通过终端计算机来实现的，这种方式的最大缺点就是不能达到网络内整体的防杀病毒，造成重复的病毒感染。在网关处安装防病毒硬件产品，对互联网过来的病毒进行查杀，有效地节省了网络的带宽与性能；在每台终端计算机上安装网络版的杀毒软件，对内网的病毒进行整体的检测与查杀。使用病毒防护程序并及时更新病毒库，可以避免遭到大部分病毒的攻击。

入侵检测系统是通过对计算机网络或计算机系统中的若干关键点收集信息并进行分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。入侵检测系统执行的主要任务包括：监视、分析用户及系统活动；审计系统构造和弱点；识别、反映已知进攻的活动模式，向相关人士报警；统计分析异常行为模式；评估重要系统和数据文件的完整性；审计、跟踪管理操作系统，识别用户违反安全策略的行为。入侵检测系统可以弥补防火墙的不足，为网络安全提供实时的入侵检测并采取相应的防护手段，如记录证据、跟踪入侵、恢复或断开网络连接等。