1、1信息管理系统安全建设探讨摘 要：随着互联网的不断发展，全球信息化已成为当今时代发展的大趋势。近几年我国信息化建设进程也全面加速，各企事业单位的信息化建设在提升服务能力、促进业务创新、加速管理体制改革等方面发挥着越来越重要的作用，信息管理系统已成为推动社会发展的重要力量。随着信息化的发展，我们也将面临着的信息安全方面的严峻考验，对信息管理系统进行全面的安全规划与建设，已经是一个迫在眉睫的问题，也是保证信息安全的及其重要的环节。本文从信息系统安全建设原则、安全建设内容和安全制度建设三方面较为详细的探讨了该问题。 关键词：信息管理系统 信息安全 系统安全建设 中图分类号：TP39 文献标识码：A
2、文章编号：1003-9082（2014）03-0001-02 一、引言 随着全球信息化不断在我国深化和发展，我国各地区、各行业使用信息系统开展工作的比例越来越大。一般来说，信息化程度越高，对信息管理系统的依赖性就越强，信息安全问题就越为突显和严重。而信息安全问题也正逐渐成为影响各企事业单位业务能否正常运行、生产力能否快速发展的重要因素之一。但是由于我国信息化建设起步相对较晚，与国外先进国家相比，无论在信息安全意识还是信息安全防护技术等诸多方面都还存在较大差距，各企事业单位的信息安全基本上均处于一个2相对较为薄弱的环节。一旦信息管理系统中的个人信息和敏感数据发生丢失或者泄漏，可能会对自身造成无可
3、估量的损失。因此，重点保障信息管理系统安全已成为各行各业的首要任务。信息管理系统安全建设应该系统地、有条理地进行全面规划，充分地、全方位地考虑安全需求和特性，从而达到各种安全产品、安全管理、整体安全策略和外部安全服务的统一，发挥其最大的效率，给予信息管理系统以最大保障。 二、信息管理系统安全建设原则 1.安全体系兼容性 安全体系有一个重要的思想是安全技术的兼容性，安全措施能够和目前主流、标准的安全技术和产品兼容。 2.信息管理系统体系架构安全性 系统的系统架构已经成为保护系统安全的重要防线，一个优秀的系统体系架构除了能够保证系统的稳定性以外，还能够封装不同层次的业务逻辑。各种业务组件之间的“黑
4、盒子”操作，能够有效地保护系统逻辑隐蔽性和独立性。 3.传输安全性 由于计算机网络涉及很多用户的接入访问，因此如何保护数据在传输过程中不被窃听和撰改就成为重点考虑内的问题，建议采用传输协议的加密保护。 4.软硬件结合的防护体系 系统应支持和多种软硬件安全设备结合，构成一个立体防护体系，主要安全软硬件设备为防火墙系统、防病毒软件等。 35.可跟踪审计 系统应内置多粒度的日志系统，能够按照需要把各种不同操作粒度的动作都记录在日志中，用于跟踪和审计用户的历史操作。 6.身份确认及操作不可抵赖 身份确认对于系统来说有两重含义，一是用户身份的确认，二是服务器身份的确认，两者在信息安全体系建设中必不可少。
5、 7.数据存储的安全性 系统中数据存储方面可以采取两道机制进行的保护，一是系统提供的访问权限控制，二是数据的加密存放。 三、信息管理系统安全建设内容 按照系统安全体系结构，结合安全需求、安全策略和安全措施，并充分利用安全设备包括防火墙、入侵检测、主机审计等，其建设内容主要有： 1.物理安全 机房要求保护计算机设备、设施（含网络）以及其它媒体免遭地震、水灾、火灾、有害气体和其它环境事故（如电磁污染、电源故障、设备被盗、被毁等）破坏。 2.网络安全 利用现有的防火墙、路由器，实行访问控制，按用户与系统间的访问规则，决定允许或拒绝用户对受控系统进行资源访问。同时加强端口、拒绝服务攻击、网络蠕虫等的监
6、控，保障系统网络运行的畅通。 2.1 使用防火墙技术 4通过使用防火墙技术，建立系统的第二道安全屏障。例如，防止外部网络对内部网络的未授权访问，建立系统的对外安全屏障。最好是采用不同技术的防火墙，增加黑客击穿防火墙的难度。 2.2 使用入侵监测系统 使用入侵监测系统，建立系统的第三道安全屏障，提高系统的安全性能，主要包括：监测分析用户和系统的活动、核查系统配置和漏洞、评估系统关键资源和数据文件的完整性、识别已知的攻击行为、统计分析异常行为、操作系统日志管理，并识别违反安全策略的用户活动等功能。 3.主机安全 系统主机安全从主机身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范和资源控制等方面
7、考虑。 3.1 主机身份鉴别 对登录操作系统的用户进行身份设别和鉴别，对操作系统和数据库系统设置复杂的登录口令，并且定期进行更换。同时对操作系统和数据库用户分配不同的用户分配不同用户名。 3.2 访问控制 通过三层交换机和防火墙设置对系统服务器的访问控制权限。对服务器实现操作系统和数据库系统特权用户的权限分离，限制默认账号的访问权限，重命名系统默认账户，修改默认密码。 3.3 安全审计 服务器操作系统本身带有审计功能，要求审计范围覆盖到服务器上5的每个操作系统用户，审计内容包括重要用户行为、系统资源异常使用并进行记录。 信息管理系统也应考虑安全审计功能，记录系统用户行为，系统用户操作事件日期、
8、时间、类型、操作结果等。 3.4 入侵防范 利用入侵检测系统和防火墙相应功能，检测对服务器入侵行为，记录入侵源 IP、攻击的类型、攻击的目标、攻击时间，并在发生严重的入侵事件时提供报警。 3.5 恶意代码防范 在服务器上安装服务器端防病毒系统，以提供对病毒的检测、清除、免疫和对抗能力。 3.6 资源控制 在核心交换机与防火墙配置详细访问控制策略，限制非法访问。 4.应用安全 4.1 安全审计 信息管理系统应提供覆盖到每个用户的安全审计功能，对应用系统重要安全事件进行审计，审计记录内容至少包括事件的日期、时间、发起者信息、类型、描述和结果等，保证无法删除、修改或覆盖审计记录。4.2 资源控制 信
9、息管理系统应限制用户对系统的最大并发会话连接数、限制单个账户的多重并发会话、限制某一时间段内可能的并发会话连接数。 5.数据安全 6系统数据安全要求确保管理数据和业务数据等重要信息在传输过程和存储过程中的完整性和保密性。对于数据库中的敏感数据，需对数据项进行加密，保证管理数据、鉴别信息和重要业务数据在传输过程与存储过程中完整性不受到破坏。 对数据进行定期备份，确保存储过程中检测到数据完整性错误时，具有数据恢复能力。必须采用至少两种手段进行备份，备份手段以整体安全备份系统为主，配合其他备份手段，如 GHOST、TRUE IMAGE 或操作系统和数据库管理系统本身的备份服务等。备份具体要求如下：
10、5.1 各服务器专职管理员根据所管服务器的具体情况与整体安全备份系统专职管理员协调制订好所管服务器的备份计划及备份策略。 5.2 整体安全备份系统专职管理人员必须组织各服务器专职管理员对各服务器每个季度进行一次整体灾备（冷备） 。若某台服务器的配置需要发生较大变更，该服务器的专职管理员应在对该服务器实施变更前和圆满完成变更后，分别对该服务器做一次整体灾备，必要时整体安全备份系统专职管理员需对整体灾备提供协助。 5.3 数据备份主要分为月备份、周备份、日备份及日志（增量）备份。月备份每月对各服务器的所有系统、目录及数据库做一次全备（热备） 。周备份每周对各服务器的所有系统、目录及数据库做一次全备
11、（热备） 。日备份每天对各服务器的重要目录及数据库做一次备份。日志（增量）备份针对数据更新较频繁的服务器，每天进行多次增量备份。 5.4 除日志（增量）备份外，其它各种备份以每一次独立执行的备份作为一个独立版本。每个独立版本的备份必须存储在独立的备份介质上，7不能混合存储在同一套备份介质。整体灾备（冷备）和月备份一般要求保留至少能覆盖当年及上一年全年时间的所有版本，周备份要求保留至少最近 5 个版本，日备份要求保留至少最近 4 个版本，日志（增量）备份保留至少自上一次周备份以来的所有版本。 5.5 备份介质应放在机房以外安全的地方保管。所有备份介质必须有明确、详尽的标签文字说明。 5.6 整体
12、安全备份系统专职管理员必须定时检查备份作业的运行情况，备份异常情况应尽快查明原因，解决问题并在值班登记本上详细记录。 四、安全制度建设 建设严格、完整的基本管理制度包括安全管理制度、安全管理机构、人员安全管理、系统建设管理和系统运维管理机制几个方面。 安全管理制度：包括安全策略、安全制度、操作规程等的管理制度；管理制度的制定和发布；管理制度的评审和修订。 安全管理机构：包括职能部门岗位设置；系统管理员、网络管理员、安全管理员的人员配备；授权和审批；管理人员、内部机构和职能部门间的沟通和合作；定期的安全审核和安全检查。 人员安全管理：包括人员录用；人员离岗；人员考核；安全意识教育和培训；外部人员
13、访问管理。 系统建设管理：包括系统定级；安全方案设计；产品采购和使用；自行软件开发；外包软件开发；工程实施；测试验收；系统交付；系统备案；等级测评；安全服务商选择。 系统运维管理：包括机房环境管理；信息资产管理；介质管理；设8备管理；监控管理和安全管理中心；网络安全管理；系统安全管理；恶意代码防范管理；密码管理；变更管理；备份与恢复管理；安全事件处置；应急预案管理。 五、结束语 信息化建设已经涉及到国民经济和社会生活的各个领域，信息管理系统也成为各行各业信息化建设发展中的重要工具。如何保障信息管理系统安全从而保证信息安全是关系到国家安全、社会安全和行业安全的大问题。我们只有在实现信息安全的条件
14、下，才能有效利用信息管理系统这个有力的工具提高生产力，推动社会的发展。本文通过对信息系统安全建设原则、安全建设内容和安全制度建设三方面较为详细的探讨，应该对于各企事业单位信息管理系统的安全建设有所帮助和借鉴。 参考文献 1 林国恩，李建彬，信息系统安全，电子工业出版社，2010-03 2 Dieter Gollmann， Computer Security 2 edition， Wiley， 2006 3信息系统安全等级保护基本要求 ，中华人民共和国国家标准，GB/T 22239-2008 4 尚邦治等，做好信息安全等级保护工作，中国卫生信息管理杂志，2012.5 5 王起全，企业安全生产信息管理系统构建研究，中国安全科学学报，2010.5 作者简介： 罗光明， （1981.6） ，讲师，四川水利职业技术学院，9主要研究方向计算机网络、软件工程。
