發布時間：2023-10-11 10:05:23
序言：寫作是分享個人見解和探索未知領域的橋梁，我們為您精選了8篇的信息安全保障樣本，期待這些樣本能夠為您提供豐富的參考和啟發，請盡情閱讀。
關鍵詞：信息安全 漏洞挖掘 漏洞利用 病毒 云安全 保障模式變革
l 引言
信息安全與網絡安全的概念正在與時俱進，它從早期的通信保密發展到關注信息的保密、完整、可用、可控和不可否認的信息安全，再到如今的信息保障和信息保障體系。單純的保密和靜態的保障模式都已經不能適應今天的需要。信息安全保障依賴人、操作和技術實現組織的業務運作，穩健的信息保障模式意味著信息保障和政策、步驟、技術與機制在整個組織的信息基礎設施的所有層面上均能得以實施。
近年以來，我國的信息安全形勢發生著影響深遠的變化，透過種種紛繁蕪雜的現象，可以發現一些規律和趨勢，一些未來信息安全保障模式變革初現端倪。
2 信息安全形勢及分析
據英國《簡氏戰略報告》和其它網絡組織對世界各國信息防護能力的評估，我國被列入防護能力最低的國家之一，排名大大低于美國、俄羅斯和以色列等信息安全強國，排在印度、韓國之后。我國已成為信息安全事件的重災區，國內與網絡有關的各類違法行為以每年高于30％的速度遞增。根據國家互聯網應急響應中心的監測結果，目前我國95％與互聯網相聯的網絡管理中心都遭受過境內外黑客的攻擊或侵入，其中銀行、金融和證券機構是黑客攻擊的重點。
在互聯網的催化下，計算機病毒領域正發生著深刻變革，病毒產業化經營的趨勢日益顯現。一條可怕的病毒產業鏈正悄然生成。
傳統的黑客尋找安全漏洞、編寫漏洞利用工具、傳播病毒、操控受害主機等環節都需要自己手工完成。然而，現在由于整個鏈條通過互聯網運作，從挖掘漏洞、漏洞利用、病毒傳播到受害主機的操控，已經形成了一個高效的流水線，不同的黑客可以選擇自己擅長的環節運作并牟取利潤，從而使得整個病毒產業的運作效率更高。黑客產業化經營產生了嚴重的負面影響：
首先，病毒產業鏈的形成意味著更高的生產效率。一些經驗豐富的黑客甚至可以編寫出自動化的處理程序對已有的病毒進行變形，從而生產出大量新種類的病毒。面對井噴式的病毒增長，當前的病毒防范技術存在以下三大局限：①新樣本巨量增加、單個樣本的生存期縮短，現有技術無法及時截獲新樣本。②即使能夠截獲，則每天高達數十萬的新樣本數量，也在嚴重考驗著對于樣本的分析、處理能力。③即使能夠分析處理，則如何能夠讓中斷在最短時間內獲取最新的病毒樣本庫，成為重要的問題。
其次，病毒產業鏈的形成意味著更多的未知漏洞被發現。在互聯網的協作模式下，黑客間通過共享技術和成果，漏洞挖掘能力大幅提升，速度遠遠超過了操作系統和軟件生產商的補丁速度。
再次，黑客通過租用更好的服務器、更大的帶寬，為漏洞利用和病毒傳播提供硬件上的便利；利用互聯網論壇、博客等，高級黑客雇傭“軟件民工”來編寫更強的驅動程序，加入病毒中加強對抗功能。大量軟件民工的加入，使得病毒產業鏈條更趨“正規化、專業化”，效率也進一步提高。
最后，黑客通過使用自動化的“肉雞”管理工具，達到控制海量的受害主機并且利用其作為繼續牟取商業利潤的目的。至此整個黑客產業內部形成了一個封閉的以黑客養黑客的“良性循環”圈。
3 漏洞挖捆與利用
病毒產業能有今天的局面，與其突破了漏洞挖掘的瓶頸息息相關。而漏洞挖掘也是我們尋找漏洞、彌補漏洞的有利工具，這是一柄雙刃劍。
3．1漏洞存在的必然性
首先，由于Internet中存在著大量早期的系統，包括低級設備、舊的系統等，擁有這些早期系統的組織沒有足夠的資源去維護、升級，從而保留了大量己知的未被修補的漏洞。其次，不斷升級中的系統和各種應用軟件，由于要盡快推向市場，往往沒有足夠的時間進行嚴格的測試，不可避免地存在大量安全隱患。再次，在軟件開發中，由于開發成本、開發周期、系統規模過分龐大等等原因，Bug的存在有其固有性，這些Bug往往是安全隱患的源頭。另外，過分龐大的網絡在連接、組織、管理等方面涉及到很多因素，不同的硬件平臺、不同的系統平臺、不同的應用服務交織在一起，在某種特定限制下安全的網絡，由于限制條件改變，也會漏洞百出。
3．2漏洞挖掘技術
漏洞挖掘技術并不單純的只使用一種方法，根據不同的應用有選擇地使用自下而上或者自上而下技術，發揮每種技術的優勢，才能達到更好的效果。下面是常用的漏洞挖掘方法：
(1)安全掃描技術。安全掃描也稱為脆弱性評估，其基本原理是采用模擬攻擊的方式對目標系統可能存在的已知安全漏洞進行逐項檢測。借助于安全掃描技術，人們可以發現主機和網絡系統存在的對外開放的端口、提供的服務、某些系統信息、錯誤的配置等，從而檢測出已知的安全漏洞，探查主機和網絡系統的入侵點。
(2)手工分析。針對開源軟件，手工分析一般是通過源碼閱讀工具，例如sourceinsight等，來提高源碼檢索和查詢的速度。簡單的分析一般都是先在系統中尋找strcpy0之類不安全的庫函數調用進行審查，進一步地審核安全庫函數和循環之類的使用。非開源軟件與開源軟件相比又有些不同，非開源軟件的主要局限性是由于只能在反匯編獲得的匯編代碼基礎上進行分析。在針對非開源軟件的漏洞分析中，反編引擎和調試器扮演了最蘑要的角色，如IDA Pro是目前性能較好的反匯編工具。
(3)靜態檢查。靜態檢查根據軟件類型分為兩類，針對開源軟件的靜態檢查和針對非開源軟件的靜態檢查。前者主要使用編譯技術在代碼掃描或者編譯期間確定相關的判斷信息，然后根據這些信息對特定的漏洞模型進行檢查。而后者主要是基于反匯編平臺IDAPro，使用自下而上的分析方法，對二進制文件中的庫函數調用，循環操作等做檢查，其側重點主要在于靜態的數據流回溯和對軟件的逆向工程。
(4)動態檢查。動態檢查也稱為運行時檢查，基本的原理就是通過操作系統提供的資源監視接口和調試接口獲取運行時目標程序的運行狀態和運行數據。目前常用的動態檢查方法主要有環境錯誤注入法和數據流分析法。以上介紹的各種漏洞挖掘技術之間并不是完全獨立的，各種技術往往通過融合來互相彌補缺陷，從而構造功能強大的漏洞挖掘工具。
3．3漏洞利用
漏洞的價值體現在利用，如果一個漏洞沒有得到廣泛的利用便失去了意義。通常，從技術層面上講，黑客可以通過遠程/本地溢出、腳本注入等手段，利用漏洞對目標主機進行滲透，包括對主機信息和敏感文件的獲取、獲得主機控制權、監視主機活動、破壞系統、暗藏后門等，而當前漏洞利用的主要趨勢是更趨向于Web攻擊，其最終日標是要在日標主機(主要針對服務器)上植入可以綜合利用上面的幾種挖掘技術的復合型病毒，達到其各種目的。
4 新型信息安全模式分析
最近的兩三年間，在與病毒產業此消彼漲的較量中，信息安全保障體系的格局，包括相關技術、架構、形態發生了一些深遠、重大的變化，大致歸納為以下三個方面：第一，細分和拓展。信息安全的功能和應用正在從過去簡單的攻擊行為和病毒防范開始向各種各樣新的聯網應用業務拓展，開始向網絡周邊拓展。如現在常見的對于帳號的安全保護、密碼的安全保護、游戲的安全保護、電子商務支付過程的安全保護等，都是信息安全功能和應用的細分與拓展。
第二，信息安全保障一體化的趨向。從終端用戶來說，他們希望信息安全保障除了能夠專業化地解決他們具體應用環節里面臨的各種各樣的具體問題之外，更希望整體的、一體化的信息安全解決方案貫穿業務的全過程，貫穿IT企業架構的全流程。因此，許多不同的安全廠商都在進行自身的安全產品、體系架構的整合，針對性地應用到個人客戶的方方面面，表現出信息安全保障一體化的趨向。
第三，安全分布結構的變化。在服務器端，不管是相關市場的投入還是企業的需要，乃至相關的企業對服務器市場的重視都在發生重大的變化。這樣的變化對安全的分布結構產生了重大的影響，在這方面，各個安全廠商無論在服務器安全還是客戶端安全都加入了許多新型功能，甚至都在從體系結構方面提出一些新模式。
透過技術、架構、形態的新發展，我們看到了·些規律和趨勢，吏看到了一些未來信息安傘保障模式變節的端倪。既然客在互聯的催化下實現產業化，那么信息安全保障呢?將互聯網上的每個終端用戶的力量調動起來，使整個互聯網就將成為一個安全保障工具，這樣的模式就是未來信息安全保障的模式，被一些機構和安全廠商命名為“云安全”。
在“云安全”模式中，參與安全保障的不僅是安全機構和安全產品生產商，更有終端用戶——客戶端的參與。“云安全”并不是一種安全技術，而是一種將安全互聯網化的理念。
“云安全”的客戶端區別于通常意義的單機客戶端，而是一個傳統的客戶端進行互聯網化改造的客戶端，它是感知、捕獲、抵御互聯網威脅的前端，除了具有傳統單機客戶端的檢測功能以外還有基于互聯網協作的行為特征檢測和基于互聯網協作的資源防護功能，因此它可以在感知到威脅的同時，迅速把威脅傳遞給“云安全”的威脅信息數據中心。威脅信息數據中心是收集威脅信息并提供給客戶端協作信息的機構，它具有兩個功能：一是收集威脅信息；二是客戶端協作信息的查詢和反饋。首先，從“云安全”的客戶端收集、截獲的惡意威脅信息，及時傳遞給數據中心，然后傳遞給來源挖掘和挖掘服務集群，來源挖掘和挖掘服務集群會根據這些數據來挖掘惡意威脅的來源，通過協作分析找到源頭，進而對源頭進行控制，如果不能控制，則至少可以對源頭進行檢測。然后，將所有收集到的信息集中到自動分析處理系統，由其形成一個解決方案，傳遞給服務器，服務器再回傳客戶端，或者是形成一個互聯網的基礎服務，傳遞給所有安全合作伙伴，形成一個互聯網技術服務，使整個網絡都享受該安全解決方案。
概括而言，“云安全”模式具有以下特點：第一，快速感知，快速捕獲新的威脅。“云安全”的數據中心可以并行服務，通過互聯網大大提高威脅捕獲效率。第二，“云安全”的客戶端具有專業的感知能力。通過威脅挖掘集群的及時檢測，可以從源頭監控互聯網威脅。
互聯網已經進入Web2．O時代，Web2．0的特點就是重在用戶參與，而“云安全”模式已經讓用戶進入了安全的2．O時代。在黑客產業化經營的新威脅的形勢下，也只有互聯網化的“云安全”保障模式才能與之對抗。
4 結柬語
關鍵詞：信息安全；保障體系；框架
檔案信息安全保障體系是指通過信息安全技術與信息安全管理手段等來對信息系統進行安全防御，保證檔案信息系統的可靠性、穩定性以及安全性，從而確保檔案信息的完整性、真實性與實用性等。檔案信息安全保障體系的額框架分為兩個部分：一是宏觀部分，是指以國家的角度進行的信息安全保障體系；二是微觀部分，是單位信息系統中的組成部分，其作用在于保障本單位中人員的檔案信息安全。
1 檔案信息安全保障體系宏觀框架
1.1 檔案信息安全管理體系
建立完善的檔案信息安全管理體系能夠有效提高檔案信息的安全性與質量，是檔案部門相關工作的重要組成部分。首先，為了保證檔案信息安全管理工作的有效實施，政府檔案職能部門必須建立獨立的檔案信息管理處，專門負責檔案信息安全管理的監督工作，并在全國范圍內積極進行檔案信息安全管理的宣傳工作，逐步建立符合我國實際國情的管理體系。同時，還應該加快出臺檔案信息管理工作的相關規范標準，為相關工作的實施提供實施依據，并督促地方職能部門在這一規范標準的基礎上制定符合自身發展的具體制度與方案[1]。
1.2 檔案信息安全技術體系
在加強檔案信息安全管理工作的同時，還必須提高檔案信息安全的技術水平，由此才能真正提高檔案部門工作的整體質量。現階段得到廣泛應用的安全技術類型主要有系統安全技術、網絡安全技術以及用戶安全技術等，在選擇技術類型時必須從信息的安全屬性出發，選擇符合檔案信息安全要求的安全技術，不同的檔案信息其對安全應有著特殊需求，在這種情況下，就可以根據安全等級、特性的不同進行綜合選擇，從而有效提高檔案系統的安全技術水平，例如部分要求得到永久保存或是性較高的檔案信息，就可以采用數字簽名、物理隔離等技術進行管理。不同的檔案系統并不一定必須應用所有的安全技術，只需根據國內的等級保護標準規范進行科學的選擇，就能達到系統的安全要求。
1.3 檔案信息安全法規標準體系
為了提高檔案系統的安全性與穩定性，檔案部門必須加快建立完善的安全法規標準體系，從而避免出現責任不明的現象。與西方發達國家相比，我國的檔案建設工作起步較晚，發展也較不成熟，在實際應用中存在較多問題，因此必須建立完善的相關標準制度，使相關部門與工作人員能夠按照標準進行檔案體系的建設，防止由于建設標準的模糊而出現安全體系的重復與不合理建設[2]。我國在制定相關法規標準時，必須從我國的長遠發展目標出發，建立科學、合理的的法規體系，從而為檔案建設工作的推進提供有力的制度保障。
2 檔案信息安全保障體系微觀框架
2.1 檔案信息安全管理體系
從微觀框架中看，安全管理體系需要結合具體實際，制定檔案信息安全管理的具體方案、措施等，形成一個完善的體系框架。隨著檔案管理不斷向信息化發展，檔案部門必須按照相關的管理標準逐步建立起檔案管理的相關體系，實現信息管理工作的動態化、系統化與制度化。國際最早頒布的系列標準中，對信息安全管理的相關措施進行了詳細的分類與總結，我國可以以此為基礎，結果國內的相關法律法規、實際發展情況制定出具有實用性的安全管理體系。
2.2 檔案信息安全技術體系
從微觀角度分析，安全技術體系的建設就是要將現有的信息安全技術具體應用到檔案信息系統中。選擇合適的信息安全技術將直接影響到檔案信息系統的安全性，通過對系統的構成以及安全等級等進行科學劃分，并作出合理的L險評估，就可以對安全技術的應用進行明確。對于檔案系統而言，其內部信息的價值越高，則面臨的風險也會相應增大，這就要求檔案的安全保障工作必須是以個不斷發展的過程，隨著風險的變化，系統的微觀安全技術也必須進行相應的調整，從而更好的控制系統風險[3]。
2.3 檔案信息安全法規標準應用體系
從微觀框架來看，這一體系是指在安全法規與標準的保障下，檔案管理人員對相關工作的開展提供相應知道。這一應用體系的建立，需要在實踐中進行不斷的探索，而我國目前缺少完善的法規標準體系，因此可以適當參考國外先進的法規標準體系，并結果國內應用實踐結果進行不斷的改進與完善，從而盡快建立符合國內發展情況的安全保障體系。
3 結論
檔案信息安全保障體系是以提高信息質量為核心，以培養專業化檔案管理人員為目標的運行體系，通過對檔案職能部門的職責分配，使檔案信息管理的各個環節都能得到有效管理，同時促進各職能部門之間的團結協作，最終實現檔案信息的高質量管理。只有建立完善的檔案信息安全保障體系才能真正促進檔案部門的建設與發展，因此相關職能部門必須加快從宏觀與微觀這兩個方面的體系框架建設，希望本文的研究能夠對我國檔案信息體系框架的建立與發展提供一定的參考意見，從而有效提升國內檔案信息系統的安全性與穩定性。
參考文獻
[1]徐緒琴. 檔案安全體系建設研究[D].安徽大學，2014.
1夯實基礎設施安全體系建設
基礎設施安全體系建設，即病案信息化系統環境建設，包括開發并完善用于病案信息建立、存儲、傳遞、利用的軟硬件設備和網絡交換設備。基礎設施安全體系構建是信息安全保障體系的重中之重，是安全保障體系的核心。建立基礎設施安全體系時，要做好網絡邊界防護、系統主機防護、入侵檢測與審計工作，并建立完整的防病毒體系，輔之以遠程訪問接入及終端準入控制，構造出切合實際、行之有效、相對先進、穩定可靠的網絡安全系統平臺；要保護計算機網絡設備、設施免遭水災、火災、地震等事故破壞以及人為操作失誤和各種計算機犯罪行為導致的破壞，并定期對存放設備的場地進行安全檢查；在共享醫療檔案信息時，要建立醫療檔案信息共享監控平臺，確保數字病案圖像采用加密格式存儲，在第三方合法公司的軟件中使用，以防非法盜用；病案數字化制作與應用所使用的服務器管理必須置于整個醫院系統的安全審計工作范圍中，還要為服務器、各工作站安裝防病毒軟件。為便于回溯追蹤，系統必須把用戶在系統內操作形成的所有日志自動記錄下來；要重視移動存儲中數據交換和共享的安全問題，對接入終端的移動存儲設備進行認證、數據加密和共享受控管理，確保只有通過認證的移動存儲設備才能夠被授權的用戶使用，還要對移動存儲設備接入進行審計并記錄，一旦發現有非法使用的情況要第一時間處理，以避免數據泄漏；病案服務器數據庫參數注冊表、人員登錄信息數據庫、病案主信息數據庫都需加密存儲，并實行內外網物理隔離措施。
2重視應用安全體系建設
應用安全體系以密碼服務為核心、身份認證為基礎。醫務人員訪問病案時，可以按規定權限使用數字化病案，對無權訪問的病案需提交電子申請，經審批通過后在可授權時段內訪問或利用，并且只可以訪問所屬科室的病案，如需訪問其他科室的病案則需要申請；醫保、商業保險公司以及公檢法等用戶可按該體系臨時授予的權限訪問病案，如果需要訪問所有用戶以及默認無權限訪問的病案，則要辦理電子申請審批手續，在得到批準后方可訪問。病案訪問權限分為閱讀、打印和導出三類，每一級權限向下兼容，權限具體分用戶組權限、科室權限、有效期限制、醫學分類限制、IP地址限制、顯示字段限制和特殊病案鎖定等。若系統在一定時限內檢測到所在頁面沒有操作行為發生時，即視為工作人員已經離開，便會自動開啟鎖定，再次操作時須驗證密碼，以避免工作人員離開后他人惡意操作的情況發生。系統可提供人員身份認證、數據加密等功能，用于網絡接入及應用服務等過程。其中，加強認證措施可彌補訪問控制方面的諸多缺陷，數據加密可為整個系統提供縱深防御。該體系具有禁止打印、復制病案圖像以及截屏等功能，并能通過閱讀水印和完備的日志記錄防范有人使用數碼相機偷拍病案圖像，一旦發現偷拍行為即可通過加密的水印進行追查。該體系通過特定軟件獲取數字化病案圖片，防止非法獲取病案圖像，還可通過架設多臺Web服務器來實現負載均衡。
3加強運維安全體系建設
即使這樣，如下安全問題依然擺在了很多企業面前：安全設備部署了很多，安全制度流程也建立了，但從整體角度看，仍然是各自為戰，仿佛信息安全問題只是IT部門的事情，與其他人無關，這就使得無法形成整體有效的安全防護；一邊是業務應用越來越復雜，一邊是安全設備和制度不斷增加，如果安全設備和制度做多了，業務部門抱怨太繁瑣，但如果不做這么多，又怕出現安全問題，左右為難。
那么，出現這些問題的根源是什么呢？我們早就知道，建設安全系統不僅僅是技術問題，也是管理問題。而信息安全服務的主要目標就是更好的支撐IT應用系統的效果和效率，也就是說，信息安全的主要目的是通過信息安全管理體系、技術體系以及運維體系的綜合有效建設，讓IT應用系統能夠達到更好的運營效果以及更高的效率。而如何綜合而有效的建立信息安全保障體系，成為了擺在每個企業面前的課題。
合規是重中之重
信息安全標準是確保信息安全產品和系統在設計、研發、生產、建設、使用和測評過程中保持一致性、可靠性、可控性、先進性和符合性的技術規范和依據，其不僅關系到國家的信息安全，也是保護國家利益、促進產業發展的一種重要手段，同時更是信息安全保障體系中的重要組成部分，是政府進行宏觀管理的重要依據。
我國在這方面雖然起步較晚，但也制定了一批符合中國國情的信息安全標準，同時在一些重點行業還頒布了一批信息安全的行業標準，尤其是國家等級保護制度和分級保護制度是我國在進行信息安全保障體系建設中的重要依據。
因此，企業只有在信息安全保障體系建設過程中依據相關標準進行合規性分析，通過安全風險評估，然后比對相關標準中所涉及的技術要求、管理要求、測評要求，才能明確得出建設的方向和重點，了解目前系統中存在的問題和改進的方法，同時明確在管理、部署和運維過程中信息安全管理的相關制度、流程和需要持續改進的目標。
此外，相關標準還為企業明確了進行信息安全保障體系建設的方法，只有遵循這種方法才能做到“有法可依、有章可循”。
安全咨詢是橋梁
前面提到，信息安全建設的主要目的是讓IT應用系統能夠達到更好的運行效果，并提高系統的運行效率，也就是說，要讓信息安全保障體系成為IT應用系統的有效支撐。然而，不同政府或企業的具體業務環境和流程各不相同，所以也不是每個政府或企業都可以使用一個統一的模板。不同的組織在建立與完善信息安全保障體系時，必須根據自己的業務特點和具體情況以及IT應用的實際情況，采取不同的步驟和方法。此外，還要注意，信息安全不僅涉及安全管理和技術層面的問題，還會涉及到治理機制、業務流程、人員管理、企業文化等內容。
這就使得，企業要運用風險的方法來決定信息安全體系建設的目標和步驟。這個過程實際上是需要專業資深的安全服務人員對目標的業務特點、IT應用實際情況和具體管理方式進行現場調研、符合性分析、相關的風險評估等操作的，尤其是對關鍵業務應用的深入了解和分析，只有這樣才能與標準比對形成安全基線和框架參考。
而且，在建設過程中，還要不斷與相關負責人（決策人員、安全管理員、網絡安全維護人員）進行深入溝通，以便發現安全隱患、找出關注重點，并提出有效的策略建議，最終才能運用風險的方法來決定體系建設的目標和步驟，并一步一步實施完成。通過這一點我們不難看出，信息安全咨詢貫穿于整個信息安全體系建設的過程中，是聯系實際需求和建設目標的橋梁。
實際落地是關鍵
信息安全技術體系是利用技術手段實現了技術層面的安全保護，是整個信息安全保障體系中非常重要的一部分。很多政府和企業都部署過一些技術防護手段，但這些防護手段是不是符合相關標準和關鍵業務的需求，是不是把風險控制到了一個可控的水平，我們就不得而知了。
因此，在信息安全保障體系建立過程中，一定要依照標準來選擇技術防護手段，同時實現技術手段的落地是關鍵。而要實現技術手段的落地，就要兼顧以下幾點：選擇的技術產品要滿足政府或企業實際環境、IT應用和管理流程制度等客觀條件；選擇的技術產品要具有易維護、管理簡便的特點，并要能夠保持先進性；選擇的技術產品要能夠滿足應用變化的需要，并適應技術的不斷發展。即保障可用性、適用性和持續性。
安全意識是必須
在很多政府部門和企業中普遍存在這樣一個問題，仿佛信息安全只是IT部門的事情，其他業務部門大多采取了“事不關己，高高掛起”的態度，這勢必會造成安全天天喊，但是總沒有明顯效果的局面。
可以說，建設信息安全保障體系是企業內的一次“安全革命”，通過培訓，不僅僅要讓每個人都提高對安全事件處理的管理水平和技術水平，更重要的是讓每個人都擁有“信息安全人人有責”的意識。
同時，這場“安全革命”給企業帶來了新的知識和管理模式，企業必須通過培訓將整個信息安全保障體系的相關知識轉移到每位員工身上，讓他們對整個體系逐步達到從接受到適應，再到最終掌握。只有這樣才能讓整個信息安全保障體系真正應用起來，并真正起到效果。
運維平臺是手段
隨著云計算、大數據等新興技術的不斷發展，企業信息化、智能化程度、網絡化、數字化程度越來越高，人類社會進入到以大數據為主要特征的知識文明時代。大數據是企業的重要財富，正在成為企業一種重要的生產資料，成為企業創新、競爭、業務提升的前沿。大數據正在成為企業未來業務發展的重要戰略方向，大數據將引領企業實現業務跨越式發展;同時，由此帶來的信息安全風險挑戰前所未有，遠遠超出了傳統意義上信息安全保障的內涵，對于眾多大數據背景下涉及的信息安全問題，很難通過一套完整的安全產品和服務從根本上解決安全隱患。
自2008年國際綜合性期刊《Nature》發表有關大數據(Big Data)的專刊以來，面向各應用領域的大數據分析更成為各行業及信息技術方向關注的焦點。大數據的固有特征使得傳統安全機制和方法顯示出不足。本文系統分析了大數據時代背景下的企業信息系統存在的主要信息安全脆弱性、信息安全威脅以及信息安全風險問題，并有針對性地提出相應的信息安全保障策略，為大數據背景下的企業信息安全保障提供一定指導的作用。
1 大數據基本內涵
大數據(Big Data)，什么是大數據，目前還沒有形成統一的共識。網絡企業普遍將大數據定義為數據量與數據類型復雜到在合理時間內無法通過當前的主流數據庫管理軟件生成、獲取、傳輸、存儲、處理，管理、分析挖掘、應用決策以及銷毀等的大型數據集。大數據具有4V特征(Volume，Varity，Value，Velocity)，即數據量大、數據類型多、數據價值密度低、數據處理速度快。
2011年麥肯錫咨詢公司了《大數據：下一個創新、競爭和生產力的變革領域》[1]的研究報告，引起了信息產業界的廣泛關注。美國谷歌公司(Google)、國際商業機器公司(IBM)、美國易安信公司(EMC)、臉書(Facebook)等公司相繼開始了大數據應用、分析、存儲、管理等相關技術的研究，并推出各自的大數據解決框架、方案以及產品。
例如，阿帕奇軟件基金會(Apache)組織推出的Hadoop大數據分析框架，谷歌公司推出的BigTable、GFS(Google File System)、MapReduce等技術框架等，這些研究成果為隨后的大數據應用迅猛發展提供了便利的條件。2012年3月，美國奧巴馬總統了2億美元的“Big Data Initiative”(大數據研究和發展計劃)，該計劃涉及能源、國防、醫療、基礎科學等領域的155個項目種類，該計劃極大地推動了大數據技術的創新與應用，標志著奧巴馬政府將大數據戰略從起初的政策層提升到國家戰略層。
同時，我國對大數據的認識、應用及相關技術服務等也在不斷提高，企業界一致認同大數據在降低企業經營運營成本、提升管理層決策效率、提高企業經濟效益等方面具有廣闊的應用前景，相繼大數據相關戰略文件，同時國家組織在民生、國防等重要領域投入大量的人力物力進行相關技術研究與創新實踐。中國移動通信公司在已有的云計算平臺基礎上，開展了大量大數據應用研究，力圖將數據信息轉化為商業價值，促進業務創新。
例如，通過挖掘用戶的移動互聯網行為特征，助力市場決策;利用信令數據支撐終端、網絡、業務平臺關聯分析，優化網絡質量。商業銀行也相繼開展了經融大數據研究，提升銀行的競爭力。例如，通過對用戶數據分析開展信用評估，降低企業風險;從細粒度的級別進行客戶數據分析，為不同客戶提供個性化的產品與服務，提升銀行的服務效率。總而言之，大數據正在帶來一場顛覆性的革命，將會推動整個社會取得全面進步。
2 大數據安全研究現狀
在大數據計算和分析過程中，安全是不容忽視的。大數據的固有特征對現有的安全標準、安全體系架構、安全機制等都提出了新的挑戰。目前對大數據完整性的研究主要包括兩方面，一是對數據完整性的檢測;二是對完整性被破壞的數據的恢復。在完整性檢測方面，數據量的增大使傳統的MD5、SHA1等效率較低的散列校驗方法不再適用，驗證者也無法將全部數據下載到本地主機后再進行驗證。
面向大數據的高效隱私保護方法方面，高效、輕量級的數據加密已有多年研究，雖然可用于大數據加密，但加密后數據不具可用性。保留數據可用性的非密碼學的隱私保護方法因而得到了廣泛的研究和應用。這些方法包括數據隨機化、k-匿名化、差分隱私等。這些方法在探究隱私泄漏的風險、提高隱私保護的可信度方面還有待深入，也不能適應大數據的海量性、異構性和時效性。
在隱私保護下大數據的安全計算方面，很多應用領域中的安全多方計算問題都在半誠實模型中得到了充分的研究，采用的方法包括電路賦值(Circuit Evaluation)、遺忘傳輸(Oblivious Transfer)、同態加密等。通過構造零知識證明，可以將半誠實模型中的解決方法轉換到惡意模型中。而在多方參與、涉及大量數據處理的計算問題，目前研究的主要缺陷是惡意模型中方法的復雜度過高，不適應多方參與、多協議執行的復雜網絡環境。
企業大數據技術是指大數據相關技術在企業的充分應用，即對企業業務、生產、監控、監測等信息系統在運行過程中涉及的海量數據進行抽取、傳輸、存儲、處理，管理、分析挖掘、應用決策以及銷毀等，實現大數據對企業效率的提升、效益的增值以及風險的預測等。
企業的大數據類型通常主要包括業務經營數據即客戶信息數據、企業的生產運營與管理數據以及企業的設備運行數據等，即客戶信息數據、員工信息數據、財務數據、物資數據、系統日志、設備監測數據、調度數據、檢修數據、狀態數據等。企業大數據具有3V、3E特征[2]，3V即數據體量大(Volume)、數據類型多(Varity)與數據速度快(Velocity)，3E即數據即能量(Energy)、數據即交互(Exchange)與數據即共情(Empathy)。3 大數據時代企業信息安全漏洞與風險并存
大數據時代，大數據在推動企業向著更為高效、優質、精準的服務前行的同時，其重要性與特殊性也給企業帶來新的信息安全風險與挑戰。如何針對大數據的重要性與特殊性構建全方位多層次的信息安全保障體系，是企業發展中面臨的重要課題。大數據背景下，結合大數據時代的企業工作模式，企業可能存在的信息安全風險主要表現在以下三個方面：
(1)企業業務大數據信息安全風險：由于缺乏針對大數據相關的政策法規、標準與管理規章制度，導致企業對客戶信息大數據的“開放度”難以掌握，大數據開放和隱私之間難以平衡;企業缺乏清晰的數據需求導致數據資產流失的風險;企業數據孤島，數據質量差可用性低，導致數據無法充分利用以及數據價值不能充分挖掘的風險;大數據安全能力和防范意識差，大數據人才缺乏導致大數據分析、處理等工作難以開展的風險;管理技術和架構相對滯后，導致數據泄露的風險。
(2)企業基礎設施信息安全風險：2010年，震網病毒[3]通過網絡與預制的系統漏洞對伊朗核電站發起攻擊，導致伊朗濃縮鈾工程的部分離心機出現故障，極大的延緩了伊朗核進程。從此開啟了世界各國對工業控制系統安全的重視與管控。對于生產企業，工業生產設備是企業的命脈，其控制系統的安全性必須得到企業的高度重視。隨著物理設備管理控制系統與大數據采集系統在企業的不斷應用，監控與數據采集系統必將成為是物理攻擊的重點方向，越來越多的安全問題隨之出現。
設備“接入點”范圍的不斷擴大，傳統的邊界防護概念被改變; 2013年初，美國工業控制系統網絡緊急響應小組(ICS-CERT)預警，發現美國兩家電廠的發電控制設備在2012年10月至12月期間感染了USB設備中的惡意軟件。該軟件能夠遠程控制開關閘門、旋轉儀表表盤、大壩控制等重要操作，對電力設備及企業安全造成了極大的威脅。
(3)企業平臺信息安全風險： 應用層安全風險主要是指網絡給用戶提供服務所采用的應用軟件存在的漏洞所帶來的安全風險，包括： Web服務、郵件系統、數據庫軟件、域名系統、路由與交換系統、防火墻及網管系統、業務應用軟件以及其他網絡服務系統等;操作系統層的安全風險主要是指網絡運行的操作系統存在的漏洞帶來的安全風險，例如Windows NT、UNIX、Linux系列以及專用操作系統本身安全漏洞，主要包括訪問控制、身份認證、系統漏洞以及操作系統的安全配置等;網絡層安全風險主要指網絡層身份認證，網絡資源的訪問控制，數據傳輸的保密性與完整性、路由系統的安全、遠程接入、域名系統、入侵檢測的手段等網絡信息漏洞帶來的安全性。
4 企業大數據信息安全保障策略
針對大數據時代下企業可能存在的信息安全漏洞與風險，本文從企業的網絡邊界信息安全保障、應用終端信息安全保障、應用平臺信息安全保障、網絡安全信息安全保障、數據安全信息安全保障等多方面提出如下信息安全保障策略，形成具有層次特性的企業信息安全保障體系，提升大數據時代下的企業信息安全保障能力。
4.1企業系統終端——信息安全保障策略
對企業計算機終端進行分類，依照國家信息安全等級保護的要求實行分級管理，根據確定的等級要求采取相應的安全保障策略。企業擁有多種類型終端設備，對于不同終端，根據具體終端的類型、通信方式以及應用環境等選擇適宜的保障策略。確保移動終端的接入安全，移動作業類終端嚴格執行企業制定的辦公終端嚴禁“內外網機混用”原則，移動終端接入內網需采用軟硬件相結合的加密方式接入。配子站終端需配置安全模塊，對主站系統的參數設置指令和控制命令采取數據完整性驗證和安全鑒別措施，以防范惡意操作電氣設備，冒充主站對子站終端進行攻擊。
4.2企業網絡邊界——信息安全保障策略
企業網絡具有分區分層的特點，使邊界不受外部的攻擊，防止惡意的內部人員跨越邊界對外實施攻擊，在不同區的網絡邊界加強安全防護策略，或外部人員通過開放接口、隱蔽通道進入內部網絡。在管理信息內部，審核不同業務安全等級與網絡密級，在網絡邊界進行相應的隔離保護。按照業務網絡的安全等級、實時性需求以及用途等評價指標，采用防火墻隔離技術、協議隔離技術、物理隔離技術等[4]對關鍵核心業務網絡進行安全隔離，實現內部網與外部網訪問資源限制。
4.3企業網絡安全——信息安全保障策略
網絡是企業正常運轉的重要保障，是連接物理設備、應用平臺與數據的基礎環境。生產企業主要采用公共網絡和專用網絡相結合的網絡結構，專用網絡支撐企業的生產管理、設備管理、調度管理、資源管理等核心業務，不同業務使用的專用網絡享有不同安全等級與密級，需要采取不同的保障策略。網絡彈性是指基礎網絡在遇到突發事件時繼續運行與快速恢復的能力。
采用先進的網絡防護技術，建立基礎網一體化感知、響應、檢測、恢復與溯源機制，采取網絡虛擬化、硬件冗余、疊加等方法提高企業網絡彈性與安全性;對網絡基礎服務、網絡業務、信息流、網絡設備等基礎網絡環境采用監控審計、安全加固、訪問控制、身份鑒別、備份恢復、入侵檢測、資源控制等措施增強網絡環境安全防護;在企業網絡中，重要信息數據需要安全通信。針對信息數字資源的安全交換需求，構建企業的業務虛擬專用網。在已有基礎網絡中采用訪問控制、用戶認證、信息加密等相關技術，防止企業敏感數據被竊取，采取建立數據加密虛擬網絡隧道進行信息傳輸安全通信機制。
4.4企業應用系統平臺——信息安全保障策略
應用系統平臺安全直接關系到企業各業務應用的穩定運行，對應用平臺進行信息安全保障，可以有效避免企業業務被阻斷、擾亂、欺騙等破壞行為，本文建議給每個應用平臺建立相應的日志系統，可以對用戶的操作記錄、訪問記錄等信息進行歸檔存儲，為安全事件分析提供取證與溯源數據，防范內部人員進行異常操作。
企業應用平臺的用戶類型多樣，不同的應用主體享有不同的功能與應用權限，考慮到系統的靈活性與安全性，采用基于屬性權限訪問控制[5]、基于動態和控制中心訪問權限控制[6]、基于域訪問權限控制[7]、基于角色訪問控制等訪問控制技術;確保企業應用平臺系統安全可靠，在應用平臺上線前，應邀請第三方權威機構對其進行信息安全測評，即對應用平臺系統進行全面、系統的安全漏洞分析與風險評估[8]，并制定相應的信息安全保障策略。4.5企業大數據安全——信息保障策略
大數據時代下，大數據是企業的核心資源。企業客戶數據可能不僅包含個人的隱私信息，而且還包括個人、家庭的消費行為信息，如果針對客戶大數據不妥善處理，會對用戶造成極大的危害，進而失信于客戶。目前感知大數據(數據追蹤溯源)、應用大數據(大數據的隱私保護[9]與開放)、管控大數據(數據訪問安全、數據存儲安全)等問題，仍然制約與困擾著大數據的發展。大數據主要采用分布式文件系統技術在云端存儲，在對云存儲環境進行安全防護的前提下，對關鍵核心數據進行冗余備份，強化數據存儲安全，提高企業大數據安全存儲能力。
為了保護企業數據的隱私安全、提高企業大數據的安全性的同時提升企業的可信度，可采用數據分享、分析、時進行匿名保護已經隱私數據存儲加密保護措施來加強企業數據的隱私安全，對大數據用戶進行分類與角色劃分，嚴格控制、明確各角色數據訪問權限，規范各級用戶的訪問行為，確保不同等級密級數據的讀、寫操作，有效抵制外部惡意行為，有效管理云存儲環境下的企業大數據安全。
5 結束語
隨著信息技術的快速革新，數據正以驚人的速度積累，大數據時代已經來臨了;智能終端和數據傳感器成為大數據時代的數據主要來源。大數據在推動企業不斷向前發展給企業提供了更多機遇的同時，也給企業的應用創新與轉型發展帶來了新的信息安全威脅、信息安全漏洞以及信息安全風險。傳統的信息安全保障策略已經無法滿足大數據時代的信息安全保障需求。怎樣做好企業大數據信息安全保障、加強信息安全防護、建設相關法律法規將是大數據時代長期研究的問題。
［關鍵詞］ 計算機網絡； 信息安全； 保障策略； 防火墻； 預防措施
1網絡信息安全定義及研究意義
1．1網絡信息安全定義
網絡安全從本質上來講就是指網絡系統中流動和保存的數據，不受到偶然的或者惡意的破壞、泄露、更改，系統能連續正常工作，網絡服務不中斷。而從廣義上來說，凡是涉及網絡上信息的保密性、完整性、可用性、真實性和可控性的相關技術和理論，都是網絡安全所要研究的領域。
1．2網絡信息安全研究意義
網絡信息安全保障手段的研究和應用，對于保證信息處理和傳輸系統的安全，避免因為系統的崩潰和損壞而對系統存儲、處理和傳輸的信息造成破壞和損失；保護信息的保密性、真實性和完整性，避免攻擊者利用系統的安全漏洞進行竊聽、冒充、詐騙等有損于合法用戶的行為；保護國家的安全、利益和發展，避免非法、有害的信息傳播所造成的后果，能進行防止和控制，避免公用網絡上大量自由傳輸的信息失控等方面都有非常重大的意義。
2網絡信息安全現狀
2．1物理傳輸對網絡信息安全的威脅
網絡通信都要通過通信線路、調制解調器、網絡接口、終端、轉換器和處理機等物理部件，這些往往都是黑客、攻擊者的切入對象。主要有以下幾方面的入侵行為：
（1） 電磁泄露：無線網絡傳輸信號被捕獲，對于一些通用的加密算法，黑客和攻擊者已有一整套完備的破解方案，能夠較輕易地獲取傳輸內容。
（2） 非法終端：在現有終端上并接一個終端，或合法用戶從網上斷開時，非法用戶乘機接入并操縱該計算機通信接口，或由于某種原因使信息傳到非法終端。
（3） 非法監聽：不法分子通過通信設備的監聽功能對傳輸內容進行非法監聽或捕獲，由于是基于通信設備提供的正常功能，一般使用者很難察覺。
（4） 網絡攻擊：如ARP風暴等小包攻擊交換機等通信設備，引起網絡擁塞或導致通信主機無法處理超量的請求，輕則網絡服務不可用，重則整個系統死機癱瘓。
2．2軟件對網絡信息安全的威脅
現代通信系統如ATM、軟交換、IMS、EPON、POS終端、手機等都使用大量的軟件進行通信控制，因此軟件方面的入侵也相當普遍。
（1） 網絡軟件的漏洞或缺陷被利用。軟件漏洞分為兩種：一種是蓄意制造的漏洞，是系統設計者為日后控制系統或竊取信息而故意設計的漏洞；另一種是無意制造的漏洞，是系統設計者由于疏忽或其他技術原因而留下的漏洞。
（2） 軟件病毒入侵后打開后門，并不斷繁殖，然后擴散到網上的計算機來破壞系統。輕者使系統出錯，重者可使整個系統癱瘓或崩潰。
（3） 通信系統或軟件端口被暴露或未進行安全限制，導致黑客入侵，進而可以使用各種方式有選擇地破壞對方信息的有效性和完整性，或者在不影響網絡正常工作的情況下，進行截獲、竊取、破譯，以獲得對方重要的機密信息。
2．3工作人員的不安全因素
內部工作人員有意或無意的操作或多或少存在信息安全隱患。
（1） 保密觀念不強，關鍵信息或資產未設立密碼保護或密碼保護強度低；文檔的共享沒有經過必要的權限控制。
（2） 業務不熟練或缺少責任心，有意或無意中破壞網絡系統和設備的保密措施。
（3） 熟悉系統的工作人員故意改動軟件，或用非法手段訪問系統，或通過竊取他人的口令字和用戶標識碼來非法獲取信息。
（4） 利用系統的端口或傳輸介質竊取保密信息。
3網絡信息安全保障策略
針對以上信息安全隱患，可以采用一些技術手段，對攻擊者或不法分子的竊密、破壞行為進行被動或主動防御，避免不必要的損失。
3．1物理傳輸信息安全保障
（1） 減少電磁輻射。傳輸線路應有露天保護措施或埋于地下，并要求遠離各種輻射源，以減少由于電磁干擾引起的數據錯誤。對無線傳輸設備應使用高可靠性的加密手段，并隱藏鏈接名。
（2） 采用數據加密技術，對傳輸內容使用加密算法將明文轉換成無意義的密文，防止非法用戶理解原始數據。數據加密技術是一種主動的信息安全防范措施，可大大加強數據的保密性。
（3） 使用可信路由、專用網或采用路由隱藏技術，將通信系統隱匿在網絡中，避免傳輸路徑暴露，成為網絡風暴、DDOS等攻擊對象。
3．2軟件類信息安全保障
安裝必要的軟件，可以快速有效地定位網絡中病毒、蠕蟲等網絡安全威脅的切入點， 及時、準確地切斷安全事件發生點和網絡。
（1） 安裝可信軟件和操作系統補丁，定時對通信系統進行軟件升級，及時堵住系統漏洞避免被不法分子利用。
（2） 使用防火墻技術，控制不同網絡或網絡安全域之間信息的出入口，根據企業的安全政策控制（允許、拒絕、監測）出入網絡的信息流。且本身具有較強的抗攻擊能力。它是提供信息安全服務，實現網絡和信息安全的基礎設施，是目前保護網絡免遭黑客襲擊的有效手段。
（3） 使用殺毒軟件，及時升級殺毒軟件病毒庫。小心使用移動存儲設備。在使用移動存儲設備之前進行病毒的掃描和查殺，可以有效地清除病毒，扼殺木馬。
（4） 使用入侵檢測系統防止黑客入侵。一般分為基于網絡和基于主機兩種方式。基于網絡的入侵檢測系統，將檢測模塊駐留在被保護系統上，通過提取被保護系統的運行數據并進行入侵分析來實現入侵檢測的功能。基于主機的入侵檢測系統對通信系統進行實時監控，通過監視不正當的系統設置或系統設置的不正當更改實現入侵檢測功能。基于主機的入侵檢測系統具有檢測效率高，分析代價小，分析速度快的特點，能夠迅速并準確地定位入侵者，并可以結合操作系統和應用程序的行為特征對入侵進行進一步分析。但在數據提取的實時性、充分性、可靠性方面，基于主機日志的入侵檢測系統不如基于網絡的入侵檢測系統。 另外還有分布式入侵檢測、應用層入侵檢測、智能的入侵檢測等信息安全保障手段可以使用。
3．2內部工作人員信息安全保障
（1） 加強安全意識和安全知識培訓，讓每個工作人員明白數據信息安全的重要性， 理解保證數據信息安全是所有系統使用者共同的責任。
（2） 加強局域網安全控制策略，使網絡按用戶權限進行隔離或授權訪問。它能控制以下幾個方面的權限： 防止用戶對目錄和文件的誤刪除，執行修改、查看目錄和文件，顯示向某個文件寫數據，拷貝、刪除目錄或文件，執行文件，隱含文件，共享，系統屬性等。控制哪些用戶能夠登錄到服務器并獲取網絡資源， 控制用戶入網的時間和在哪臺工作站入網。用戶和用戶組被賦予一定的權限， 網絡控制用戶和用戶組可以訪問的目錄、文件和其他資源， 可以指定用戶對這些文件、目錄、設備能夠執行的操作，權限按照最小化原則進行分配。
（3） 利用桌面管理系統控制操作終端的系統配置、軟件合法性、病毒庫、防火墻等。若用戶使用的終端或系統沒有按照要求按照合法軟件，則限制用戶接入網絡。若用戶的系統、防火墻、防毒軟件未及時更新，則強制用戶進行更新操作。使用桌面管理系統可以最大化凈化網絡環境，避免操作人員的終端引入信息安全隱患。
（4） 啟用密碼策略， 強制計算機用戶設置符合安全要求的密碼， 包括設置口令鎖定服務器控制臺， 以防止非法用戶修改。設定服務器登錄時間限制、檢測非法訪問。刪除重要信息或破壞數據， 提高系統安全性， 對密碼不符合要求的計算機在多次警告后阻斷其連網。
4結束語
計算機軟件技術的發展使得計算機應用日益廣泛與深入，同時也使計算機系統的安全問題日益復雜和突出，各種各樣的威脅模式也不斷涌現。網絡信息安全是一個綜合性的課題，涉及技術、管理、使用等許多方面，只有將各種方面的保障策略都結合起來，才能形成一個高效、通用、安全的網絡系統。
主要參考文獻
［1］ 李淑芳，雙娜，等． 網絡安全淺析［J］． 科技，2006（2）．
［2］ 林志臣． 計算機網絡安全及防范技術［J］． 科技咨詢導報，2007（11）．
［3］ 殷偉． 計算機安全與病毒防治［M］． 合肥：安徽科學技術出版社，2004．
［4］ 劉曉輝． 網絡安全管理實踐（網管天下）［M］． 北京：電子工業出版社，2007．
關鍵詞:醫院信息安全系統保障
從信息系統安全的角度來看，信息安全系統包括的許多技術、技巧都是在網絡的各個層面上實施的，離開網絡，信息系統的安全就失去意義。信息系統的安全包括了安全機制和安全服務兩項內容，安全機制可以理解成為提供某些安全服務、利用各種安全技術和技巧，所形成的一個較為完善的結構體系，安全服務就是從網絡中各個層次提供給信息應用系統所需要的安全服務支持。隨著網絡的逐層擴展，安全的內涵也更加豐富，達到了具有認證、權限完整、加密和不可否認五大要素。從目前醫院信息系統的發展狀況以及對醫療信息系統數據的安全性要求來看，在醫院中如何做到從物理、網絡、系統主機以及應用層面來確保IT系統中各種信息的保密性、完整性、可用性，提高整體防護能力，規范安全管理流程，保障信息系統的平穩運行，是醫院信息系統安全的關鍵所在。但是從目前醫院信息系統的發展狀況，資金投人等方面來看實施全面的醫院信息安全系統是不現實的。既然實現全面的信息安全系統是不現實的，只有先抓主要矛盾，首先在醫院信息系統的關鍵環節實施信息安全系統，那么醫院信息安全系統應該包含哪些關鍵環節，每個環節又應該采取什么樣的策略，先詳述如下。
1醫院信息安全系統的關鍵環節
1.1中心機房、服務器、數據庫的安全
醫院中心機房作為醫院信息系統的心臟，安全穩定運行應該包括穩定的電源，專用的空調設備，安全的防雷、防靜電措施，靈敏的監控報警系統，安全的防火墻、最新的安全補丁以及規范的機房管理措施。
服務器的安全運行首先應該是建立在機房安全運行的基礎上，其次應該是自身軟硬件的安全運行，最后應該是防止各種非法的網絡入侵。
數據庫的安全運行應該建立在服務器安全運行的基礎上，不僅僅是數據庫軟件的安全運行，更重要的是數據庫中數據的安全備份、保護與及時恢復等。
1.2網絡設備及其連接線路
網絡設備中的核心交換機就像人體的供血樞紐，各級交換機就像中轉站，連接醫院各種信息設備的網線，就像人體通向各個地方的血管，其重要性不言而喻。
1.3終端機器的穩定運行
醫院大多數系統采用C/S或B/S結構，各種信息系統的使用主要是在終端機器運行，只有終端機器的穩定運行才可以保證醫院信息系統得到充分應用。
1.4應用軟件的健壯性
應用軟件的健壯性、穩定性也是醫院信息系統安全的重要環節，因為所有軟硬件都是為應用系統的運行創造條件、搭建環境，如果應用系統本身存在安全問題，其它環節的安全將失去意義。
1.5人的因素
在醫院信息系統安全的關鍵環節中，人的因素是最重要的因素，因為信息系統安全中存在的主要風險應該是人的因素占有很大比例。
2醫院信息安全系統關鍵環節的主要策略
2.1中心機房、服務器、數據庫的安全運行策略
醫院中心機房應該在溫度、濕度、電磁、噪聲、防塵、靜電和震動等方面做好安全策略，溫度波動控制在24士1一2℃之內，相對濕度波動控制在50%士5%RH之內，每升的空氣中，大于等于0.5um的顆粒應小于18,000個，換氣次數/h>30，中心機房機房與其它房間、走廊間的壓差不應小于4.9Pa，與室外靜壓差不應小于9.8Pa。機房中應具有報警系統，并具備發手機短信報警功能。中心機房應采取雙路供電，配有滿足要求的UPS設備，做好防雷措施。
定期對服務器進行安全評估、安全加固，是保證服務器正常運行的必要手段，內容至少包括對服務器定期進行硬件檢查，操作系統、應用軟件的補丁升級，做好系統備份，安裝殺毒軟件并及時升級病毒庫，重要業務服務器要做好雙機備份。對于醫院互連網業務用服務器要單獨放到DMZ區域，并配備IPS，以防止互連網黑客或病毒的攻擊，并盡量使得在受到攻擊后不影響內部服務器的使用。
對服務器及核心交換機要做好入侵檢測、審計、網管等相應的安全系統，以便實時檢測核心設備及整個網絡的狀況，如果出現問題可以及時通過審計系統查到問題的根源。數據庫應該做好增量備份、全備份及異地備份，以保證信息系統的數據萬無一失。
2.2網絡設備及其線路的安全策略
網絡設備應該根據設備的重要程度對硬件進行定期的維護檢查，軟件進行定期升級，網絡設備中應該根據業務的具體需要進行安全域的劃分，網絡設備的連接線路應該具有明確的標志，以便在系統出現問題時可準確及時的定位。
2.3終端機器的安全策略
終端機器由于醫院使用者計算機水平的限制，對系統的維護及保護意識比較差，而且終端機器往往又是業務系統的直接運行設備，所以對終端機器的管理顯得尤為重要。對終端機器至少應該根據業務的不同將其劃分到不同的安全域中，通過網絡設備做好訪問控制，系統一定要打最新的補丁，安裝殺毒軟件并及時升級病毒庫，因為病毒目前來看仍然是醫院信息系統安全的“第一殺手”。另外，終端機器應做好準入控制，防止外來筆記本電腦等移動設備直接進入網絡，業務用終端機器最好禁用USB設備。在條件允許的情況下，業務系統和辦公系統使用的終端機器最好做到物理隔離。
2.4應用軟件的安全性策略
應用軟件的安全應從系統級安全、程序資源訪問控制安全、功能性安全和數據域安全四個層次去考慮，在醫院信息系統中，由于涉及到的業務類型比較多，部門間職能劃分差異比較大，因此程序資源訪問控制及數據域安全顯得尤為重要，程序的授權模型需考慮組織、崗位和用戶等各個層面。另外，應用軟件在安裝使用之前一定要按照軟件測試的標準流程進行測試，對軟件中身份認證部分的數據一定要進行必要的加密，軟件系統中一定要記錄軟件使用者的具體信息，保留使用痕跡。
2.5人員管理培訓策略
醫院信息安全系統中人的因素占有很大比重，包括管理水平、技術水平、職業道德等。
醫院信息系統的管理水平具有決定性的作用，因為醫院信息系統中主要以應用現有計算機技術為主，主要是計算機技術在醫院信息系統中的應用，可以說是“三分技術、七分管理”，管理水平將直接決定信息系統的安全性、穩定性。
信息系統發展快、更新快的特點決定了從事信息技術工作的人員必須經常學習，才可以跟上計算機技術的不斷更新，所以對于從事信息技術的人員要進行定期的培訓，最好能具備專業的信息安全知識，對于業務系統的使用者也要進行定期培訓，具備必要的安全知識。
加強信息從業人員的職業道德培訓，信息工作人員的職業道德對信息系統的安全具有非常重要的作用，信息系統的安全問題有很大一部分是由于內部人員造成的，很大程度與內部人員的職業道德有直接關系，因此對于信息技術從業人員應該加強企業道德培訓。新晨：
【關鍵詞】電子檔案；信息安全保障體系；建設
對于電子檔案而言，其主要是建立在計算機和網絡技術的基礎之上，屬于相對較新的事物，對檔案工作具有極大的推動作用。但是，在實際應用中，鑒于諸多因素的影響，使得其在安全問題上面臨挑戰，因此，要加強電子檔案信息安全保障系統建設。
一、對電子檔案信息安全保障體系概念的分析
電子檔案的信息安全保障體系，主要是借助一定的安全策略，應用先進和科學的安全技術，實現對電子檔案信息的有效防護和監控，保證電子檔案信息在整個保存和處理中的安全性，提高并保證檔案信息的真實性和完整性，彰顯動態的調整功能，主要是由防護、檢測、反應和恢復四個環節，實現持續發展的動態過程。
二、全面介紹電子檔案信息安全保障體系的組成部分
（一）重視法制標準保障的全面建設。1.注重建立更加專業的電子檔案信息安全法律。當前，電子檔案信息安全相關法律主要在刑法、檔案法中有所體現，但是，缺少專業性的電子檔案信息安全法，在一定程度上使得電子檔案信息在保護和執行方面力度不夠。因此，需要重視安全法規的建設，形成具有針對性的安全保障措施，針對破壞現象，進行相應的處理，同時，強化執法強度，保障電子檔案管理能夠有法可依，強化執法力度。2.重視完整的電子檔案信息安全立法。在檔案信息安全立法中，缺乏嚴謹的結構體系，缺陷比較明顯，主要包含相關的公開制度、隱私權法律制度、網絡知識產權等。3.形成全面的檔案信息安全標準體系。對于檔案信息安全標準體系，其發展較晚，屬于初級發展時期，缺乏完整性和健全性，因此，要立足基礎、技術和管理標準，進行標準體系的建設。在系統運行中，要注重對新型系統的設計、驗收、運行和維護，在根本上實現電子檔案安全管理的有序進行。
（二）做好基礎設施保證建設工作。對于電子檔案信息的傳遞和運行，基礎設施建設必不可少，主要是立足硬件系統和運行技術架構，實現對安全信息技術環境的營造。在基礎安全架構中，要立足網絡安全架構，結合軟硬件，實現安全系統的有效部署。在進行架構設計的時候，需要針對功能進行分區，實現對網絡功能的明確，設置保護等級，同時，進行信息訪問權限的限制。
（三）全面加強組織管理保證建設。1.將先進的管理思想滲透其中。對于電子檔案，需要重視前端和全程控制管理思想，立足文件到檔案的全周期監控，能夠及時發現其中的問題，保證監督的有效性。要重視分級管理，結合文件價值，進行安全管理，強化管理力度。要將風險管理的思想融入其中，進行有效評估，形成對策，降低檔案安全風險。2.重視建立權威性的信息安全管理機構。對于檔案管理機構，只有保證其權威性，才能提高管理工作的高度。在組織上，需要重視職能的劃分，在根本上保證對信息安全管理工作的戰略性指導，也能夠做好具體工作，形成詳細的應對策略。3.重視對基礎設施配置的管控。在進行基礎設置配置的時候，需要重視對各種參數的考量，保證其根本的穩定性與可靠性，達到安全運行的目的。同時，要重視對地址的選擇，保證各方面要求能夠達到技術要求。4.設計更具可靠的電子檔案安全管理系統。對于電子檔案管理而言，信息技術十分關鍵，需要保證安全性與穩定性。為此，在設計的時候，結合控制的思想，立足檔案管理的責任，在根本上滿足檔案安全功能的需要，尤其是強化權限、監控等功能等。
（四）加強安全技術保障工作。1.將物理安全平臺的構件作為重要工作來抓。對于網絡電子信息的安全性，物理安全發揮重要的作用，主要針對環境、設備和媒體安全幾個方面，有效防護環境的安全性，保證設備穩定性，避免干擾現象，保證數據的安全性。2.加強對電子檔案安全管理的網絡支持。主要包含傳輸和業務網絡兩個部分。其中，傳輸網絡安全能夠有效維護電子檔案傳輸的穩定性，有效保證網絡服務的可靠性。而對于業務網絡安全，主要對病毒的防范、對防火墻的設置以及對網絡的監控，實現對檔案信息系統業務資源的有效防護。
三、結語
綜上，電子檔案信息安全保障體系具有系統和綜合性，重視法制建設標準，立足基礎安全設施，重視整體安全策略和組裝，借助先進的安全防范機制，保障檔案信息資源的高安全性、高可靠性和高可用性。同時，積極促進檔案整體信息化應用水平的全面提高，為信息化建設保駕護航。
【參考文獻】
[1]黃昌瑛.電子檔案信息安全保障策略研究[D].福建師范大學，2007.
[2]劉俊玲.檔案開放利用的信息安全保障研究[D].安徽大學，2012.
