安全保障管理策略
开篇：润墨网以专业的文秘视角，为您筛选了八篇安全保障管理策略范文，如需获取更多写作素材，在线客服老师一对一协助。欢迎您的阅读与分享！
安全保障管理策略范文第1篇
摘要：近些年来,我国电力建设速度明显加快,在加大对电力基础设施投入的同时,我国也在电力信息化方面加大了投入,现今我国在电力信息化方面应经初具规模,在电力生产、电力销售、管理等方面都得到了应用，在享受电力信息化带来的便利的同时，怎样做好在信息化方面的保障工作，使其能够建立合理的电力信息化的安全保障体系是一项繁重的任务。本文将就电力信息化的现状以及如何建立合理的安全保障体系进行阐述。
关键词：电力信息化；安全保障体系
中图分类号：TM76 文献标识码：A
近些年来，我国在加强对电力系统的建设投入的基础上开展了电力系统的电力体制改革，随着这项改革的深入，企业对电力信息化的需求越来越强烈。下文将就电力信息化的现状以及如何建立合理的安全保障体系进行阐述。
1 电力信息化安全体系简介
1.1电力信息化简介。电力工业生产过程包括电力工业规划、设计、施工、生产发电、输电、变电、配电、电网调度、供电营销、物资及管理等环节。电力信息化是指电子、计算机、网络等信息技术在电力工业规划、设计、施工、生产发电、输电、变电、配电、电网调度、供电营销、物资及管理等环节应用全过程的统称，是电力工业在电子信息技术的驱动下由传统工业向高度集约化、高度知识化、高度技术化工业转变的过程。计算机信息通信网络是电力信息化的技术，各类电力资源的开发和利用是电力信息化的核心，提高电力企业的经营决策水平和经济效益是电力信心化的核心，提高电力企业的经营决策水平和经济效益是电力信息化的宗旨，其本质是加强电力企业的“核心竞争力”。电力企业信息化包括生产过程自动哈和管理信息化两个方面。
1.2我国电力信息化发展现状。我国自上世纪60年代开始在发电厂和变电站自动监测、控制等方面应用电力信息化，进入90年代后信息技术应用进一步发展到综合应用，由操作层面向管理层面延伸，实现管理信息化，建立各级企业的管理信息化。我国的电力信息化发展从原来的单机、单项目向网络化、整体性、综合性应用发展，从局部应用发展到全局应用，从单机运行发展到网络化运行，同时其它专项应用系统也进一步发展到更高的水平，现今，我国的电力信息化建设已纳入企业总体发展战略，信息化进一步与电力企业的生产、管理与经营融合。
1.3电力信息化的安全保障体系。电力信息化安全保障体系建立的目的是为了建立在网络上的电力系统的信息的安全，保障这些信息不会被非法用户登陆、查看甚至是修改，因为一旦以上这些现象发生将会造成巨大的损失。同时需要对合法用户提供安全、可信的信息服务。
2 电力信息化的安全保障体系的简介
2.1电力信息化安全保障的意义。进入新时代，网络信息安全问题得到了广泛的重视，像前段时间美国的“棱镜门”事件，更是加剧了民众对于信息安全的担忧，我国现今已经建成了广发的网络的应用，我国是信息化应用方面的大国，而非强国，来自于网络上的攻击威胁着我国金融、电信、电力等行业的安全，而电力行业是一个国家基础行业，更应加强信息安全方面的投入，建立起相应的信息化的安全保障体系，抵御来自于网络方面攻击，提高电力信息化方面抗风险能力。
2.2电力信息化安全保障方面存在的问题。近些年来，我国虽然加大了对于电力信息化安全保障方面的投入，但是在电力信心化安全保障方面还是存在着一些问题：（1）信息安全意识薄弱。由于信息安全是存在着看不见摸不着且无法定义的弊端，造成企业单位及个人对于信息安全方面的意识不足，同时由于对于信息安全形式认识方面的不足造成很对的人对于信息安全方面的忽视。（2）没有常态化的信息安全保障工作，在信息安全方面各个单位及个人没有在日常工作中落实到实处，仅仅在上级领导及上级单位检查时应付为主。（3）对于电力信息化的安全保障工作在信息安全运作机制不完善。（4）各地对于信息保障工作的完成度不同，由于电力企业的办公地理位置分散，因此在信息化安全保障体系的建设方面需要投入的人力巨大，而且由于各地对于信息化的运行维护、保障体系管理缺乏一定的经验以及相应的规范，因此，在信息化建假设维护方面各地进度不一，落后的地方的信息化安全方面的建设将会成为整体建设方面的短板。（5）由于在电力信息化安全方面的经验不足，造成在设计相关的系统安全方面时经验不足，设计方案漏洞较多。
2.3电力信息化建设面临威胁。现今网络中面临多方面威胁，而电力企业信息安全面临的风险有病毒木马、非法篡改信息、信息泄露、服务瘫痪等方面威胁。
3 电力信息化安全保障体系的建立
3.1加紧制定相应的信息安全策略。信息安全策略是电力系统解决信息安全问题最重要的步骤，也是电力系统整个信息安全体系的基础。电力系统最主要的管理文件就是信息安全策略，信息安全策略明确规定需要保护什么，为什么需要保护和由谁进行保护；没有合理信息安全策略，再好的信息安全专家和安全工具也没有价值。电力系统的信息安全策略可以反映出电力系统对现实安全威胁和未来安全风险的预期，也可反映出组织内部业务人员和技术人员对安全风险认识与应对。
3.2加强对于电力信息化的信息安全管理。电力系统的信息安全管理中存在着诸多问题，例如：（1）信息安全管理部门的不作为，虽然相关的机构建立起来了但是并未发挥相应的作用。（2）员工对于信息安全的认知不够，并未树立起全员信息安全意识，（3）相应的安全管理职责划分不明，没有建立起风险管理控制机制等。
应当建立起定期的巡检制度，每个月进行排查，提交月报，同时需要对员工加强关于电力信息化安全方面的讲座，将电力信息化安全缺失造成的危害对员工进行详细的接收，提高员工对于电力信息化安全的认识，做好相关的安全工作。
3.3保证电力信息安全的技术措施
通过建立统一IDE身份认证和访问控制方式来对登陆用户进行身份认证，同时需要对网络中传输的信息进行加密措施，应使用加解密、数字签名、消息认证码等手段进行保护。但现今电力企业中的通信过程都未采取加密、数字签名等安全措施。同时需要建立起对于病毒、攻击等的防范措施。加强对于信息化安全的保障。
结语
电力是一个国家的基础，因此我们需要加强对于电力信息化的安全保障体系的建设，确保电力信息系统安全、可靠、稳定、高效地运行。
安全保障管理策略范文第2篇
港口信息安全保障应贯穿在港口信息系统的整个生命周期中。港口信息安全保障的工作者应针对港口信息系统的发展特点，通过对港口信息系统的风险分析，制定并执行相应的安全保障策略，从多角度、多层面提出港口信息安全保障要求，确保港口信息系统的保密性、完整性和可用性，将安全风险降至最低或可接受的程度。港口信息化发展重点主要在于对外的数据交换和服务。港口信息安全风险主要来自于港口信息系统自身存在的漏洞和系统外部的威胁。为最大化控制该风险，港口信息系统安全保障工作者应在信息安全保障策略体系的指导下，设计并实现港口信息安全评价体系架构或模型，港口信息安全评价体系的制定应反映港口企业对信息系统安全保障及其目标的理解，其制定和贯彻执行对信息系统安全保障起着纲领性指导作用。港口信息安全评价体系应选用一种折中的机制，在有限资源前提下实现最优选择。防范不足会造成直接的损失，防范过多又会造成间接的损失，在解决或预防安全问题时，要从经济、技术、管理的可行性和有效性上做出权衡和取舍。从现代港口企业信息安全保障工作者的视角出发，其工作层面无外乎对港口信息安全保障的战略管理、常态监管和应急响应。战略管理体现其信息安全战略的先进性，表现在港口企业对信息安全战略规划的制定情况、港口信息安全管理部门的战略地位和港口企业对信息安全工作的资金保障力度等。这些评价能反映港口企业对信息安全的重视程度，预见港口企业信息安全工作未来的发展前景。常态监管主要指港口信息安全战略的具体执行情况，包括基于对港口业务风险的认识，建立、实施、操作、监视、复查、维护和改进信息安全等一系列管理活动，具体表现为计划活动、目标与原则、人员与责任、过程与方法、资源等诸多要素的集合。应急响应主要包括在一些紧急、无预测的危机下，快速应对、解决问题的能力，度过危机以减少损失或者把损失降低到最低程度。
2现代港口信息安全评价指标体系框架
为了让指标体系更加科学、全面、综合，力争每个门类的指标定量、定性相结合，笔者选用了工作层面、保障要素、指标类型作为现代港口企业信息安全保障指标体系框架的3个维度。
3评价指标
按照评价指标体系框架，采用第一维度、第二维度、第三维度逐个相交的方式，对各评价点进行分解，可以设计出适应现代港口企业信息安全保障工作的评价指标体系。为了让指标体系更加科学、可操作，笔者在对上海港、黄骅港等大中型港口调研的基础上，梳理分析，设计出一套普适性较强的评价指标体系。该体系能够较客观、准确、全面地反映港口信息安全工作水平，供港口企业信息安全保障工作者参考。
4结语
1)信息安全评价体系对于现代港口评价信息安全保障工作的完备性，最大化降低、控制信息安全风险，减少技术故障、网络攻击等安全问题对业务带来的影响具有十分重要的作用。
2)以现代港口企业信息安全保障工作为研究对象，遵循科学全面、简单可操作、向导性原则，从工作层面、保障要素、指标类型出发，设计了一套三维评价指标体系框架，并结合国家对港口企业信息安全的相关要求，分析出56个具体指标，提出了评价指标的量化方法和计算方法，可为港口企业信息安全自评价提供参考。
安全保障管理策略范文第3篇
如今，伴随着科学技术的迅猛发展，我国电力企业各个方面的工作，也得到了大幅度的进步。电力信息安全保障体系，是电力发展事业各组成部分中的重要环节，在维持电力企业的正常运行、日常管理和营销管理等方面，起着至关重要的作用。因此，电力信息的安全问题，一直是电力企业所关注的重要内容之一，各个企业对于电力信息也逐渐重视起来。以下是笔者结合当前电力信息安全保障体系建设的实际情况，就在电力企业中，电力信息系统的安全领域出现的问题，进行有效详细的研究与分析，希望通过此次研究，能够对电力信息安全保障体系的建设领域的发展，起到一定的促进作用，为我国电力工作的发展，献计献策。
【关键词】
电力信息；安全保障；体系建设；探讨研究
所谓的电力信息系统，主要的内容包括信息网络、应用系统、网络服务系统、存储与备份系统、安全系统、辅助系统等。除此以外，上述系统的附属设备也在电力信息系统的行列内。本系统所涉及的技术，大致有数据加密技术、防火墙、入侵检测技术、网络扫描技术，以及访问控制技术等。虽然安全架构在设计上出现问题与管理方面出现问题，是引发信息系统安全问题的主要因素，但还是有其他因素存在。因此，在电力信息系统安全保障体系的建设，要考虑电网运行安全方面以外，还要经过信息安全系统的的建设、信息安全管理的建设和信息安全策略的建设三个阶段。
一、电力信息安全保障体系存在的问题
随着科学技术的不断发展，计算机技术也在不断进步，黑客是摆在我们面前不可忽视的问题。因此电力系统在正常运行的情况下，就很容易受到黑客的攻击，造成病毒的侵入，所以对电力信息的安全保障体系的建设予以加强，变得迫在眉睫。现如今，电力信息安全存在的主要问题，大致包括信息安全意识薄弱、信息安全运作机制不完善、信息安全保障工作没有常态化、系统安全设计不足，以及短板现象显著等。在大多数电力企业中，信息安全问题常常被忽视，有的甚至处于不防御状态。信息安全运作机制不完善，在不完善的业务连续性计划，不规范的信息文档和测试数据的管理中，有所体现。那么，怎么样去应对这些问题呢？使这些问题能够迎刃而解呢？主要从信息安全管理和信息安全技术两方面入手。其中，信息安全评估、建立安全管理组织、信息安全运行管理、安全策略规划和安全监督审计等，均属于信息安全管理范畴。而信息安全技术大致包括通用信息安全技术手段，也就是安全服务，比如访问管理、防恶意代码、身份认证和审核跟踪等等。
二、电力信息安全保障体系的策略与管理
结合当前形势与公司实际,要不断进行管理的创新与技术的实践。从管理层面讲，要对组织机构、系统运行维护、规章制度、相关工作人员教育等进行全面控制和管理；而从技术的层面出发，做到防护物理、主机系统、网络、数据应用等等各方面的安全性,同时在安全可靠前提下，建设一套高效、先进、实用的信息安全保障体系，支撑助力生产专业化与管理现代化，保障电力信息的安全性。制定电力信息安全策略，应该保证在国家信息安全等级保护政策的前提下进行，本着提升电力企业整体防篡改、防泄密、防攻击等综合能力的原则，进行策略的制定。电力信息安全的运行，在保证对基础环境、主营业务系统、软硬件平台等等运行维护的同时，还要确保运维技术规范、运维流程和定检等标准或机制的建立。另外，访问控制和身份认证，可以将主机系统、安全设备、应用系统，网络设备等的身份认证，进行统一管理。审计和监控，也可提高信息的安全性，对问题发生时的反应速度，也能够得以提升，对安全问题的发生，起到了有效的预防。在电力管理信息大区网络内部，还应建立能够对病毒进行预防、隔离、检测和清除的机制。这样，可以大大降低未知病毒的入侵率。
三、结论
总而言之，加强电力信息安全保障体系的建设，是新时期电力工作者热衷研究的一大科题，更是今后的工作方向。在电力信息系统安全保障体系建设的过程中，我们必须要以“坚持实事求是、以人为本”的方针为原则，系统性的分析影响电力信息系统运行安全与管理的因素，结合如今电力信息系统安全保障的实际情况，以最佳的建设原则与思路，对电力信息系统安全保障体系进行完善，为电力企业的健康长远发展做出突出的贡献。
作者：唐勇 单位：国网四川省电力公司电力科学研究院
参考文献
[1]李志茹,张华峰,党倩.电网企业信息系统安全防护措施的研究与探讨[J].电力信息化.2012(04)。
[2]香柱平.有关电力企业信息中心网络安全及防护措施的探讨[J].中小企业管理与科技(下旬刊).2010(05)。
[3]张建华,王昕伟,蒋程,于雷,俞悦,余加喜.基于蒙特卡罗方法的风电场有功出力的概率性评估[J].电力系统保护与控制.2014(03)。
[4]丁冬,刘宗歧,杨水丽,吴小刚,李婷婷.基于模糊控制的电池储能系统辅助AGC调频方法[J].电力系统保护与控制.2015(08)。
安全保障管理策略范文第4篇
关键词：一体化；安全域；信息安全
1.引言：
随着全国信息化建设的发展和消防信息化的深入，消防业务应用系统数量和提供服务的用户数不断增加，同时，公安部消防局统一开发的一体化消防业务信息系统逐步在各总队深入推广应用，因此，为保障总队信息系统的稳定可靠运行，总队在部局规划指导下，开展一体化信息系统信息安全保障项目建设，构建设计动态积极安全防御体系，保障全局一体化业务系统稳定可靠地运行。
2.系统特点
一体化消防业务信息系统是公安部消防局根据十一五期间信息化建设项目总体实施方案统一规划设计，根据整体业务进行需求分析研发的信息系统，系统实现了纵贯部局，总队，支队，大队，中队各级，横跨各业务部门的信息资源共享，互联互通。系统以基础数据及公众服务两大平台为建设核心，包含灭火救援指挥系统，消防监督管理系统，部队管理系统，公众服务平台，综合统计分析信息系统五大业务系统。并针对一体化业务平台，提供二次开发接口，保证和其他业务信息系统的衔接。系统采用面向服务的SOA的设计理念，最终实现音频，视频，数据的综合集成，使一体化业务系统能实现互联互通互操作。
系统建设主要依托“金盾工程”，利用“金盾工程”的现有公安网基础网络和信息资源，按照网络应用环境不同，分为公安信息网（以下简称“公安网”）应用系统、互联网应用系统、公安网与互联网同步应用系统。公安网应用系统是指仅在公安网上运行的消防业务信息系统，互联网应用系统是指在非公安网运行的消防业务信息系统。公安网与互联网同步应用系统是指同时在公安网和非公安网开展业务应用、并且相互间有数据交换要求的消防业务信息系统。
根据部局的一体化系统建设指导方案和系统设计架构，总队结合当前实际情况，对一体化消防业务信息系统暂采用混合部署模式，即整个总队的一体化业务系统的应用及服务均部署于总队信息中心，由总队统一规划，统一管理，开展一体化消防业务信息系统体系建设。
3. 系统信息安全管理体系设计
为保证一体化消防业务信息系统的高可用性和高可控性，总队按照武警消防部队信息化建设总体方案的要求，对全总队网络信息安全设备配备及部署进行统一规划、设计，购买相应设备，利用信息安全基础设施和信息系统防护手段，构建与基础网络相适应的信息安全管理体系。
3.1总队信息安全管理体系安全域划分
由于总队内部计算机数量众多，并涉及到公安网，互联网以及政务网多个网络的应用，为便于管理和控制网络广播风暴的发生，应根据计算机所属部门、物理位置、重要性的不同，把局域网划分为多个虚拟子网（VLAN1…VLANn）。根据各VLAN间的安全访问级别不同，实现各VLAN间的安全访问控制。
根据各类软硬件设备提供应用的范围、面向的用户群以及影响面、重要性的不同，站在全局的高度，合理划分安全域，确定安全需求和访问控制策略、安全硬件部署策略。
总队安全域划分：
（1）核心业务处理区：涉及一体化消防业务信息系统中的部分业务系统。该安全域中的业务系统支持本地内网的业务应用，无需与外部实体进行数据或业务的交互。
（2）119接处警系统区：涉及119接处警系统所有应用服务器、数据库服务器、数字录音仪、接处警终端以及其它附属设备。本区域设备支撑119报警的受理、处置、调度、反馈以及灾后数据分析等全流程业务应用，为全内网应用。总队119接处警系统将与一体化消防业务信息系统的灭火救援系统开发数据接口。
（3）特殊业务受理区：涉及一体化消防业务信息系统中部分业务系统，主要是面向移动终端的业务接入，包括灭火救援、消防监督的业务受理系统，特殊业务受理区的受理服务器可以将受理的业务数据“摆渡”到业务处理区进行处理，在得到处理区服务器的反馈后，再将反馈信息回传到移动终端上，完成整个业务处理流程。
（4）特殊业务处理区：涉及灭火救援指挥、消防监督的业务处理系统，实时处理由业务受理平台“摆渡”过来的数据，在处理后反馈给特殊业务受理区的受理服务器。
（5）内网终端区：由内网中的办公终端组成，内网终端区用户可以访问网络中授权访问的业务系统。
（6）内网管理区：将内网中的各类管理服务器置于内网管理中，集中进行安全策略的定制、下发，集中监控各类系统运行状态。主要包括设备管理、终端管理、防病毒管理等。内网管理区由内网中具备相应管理权限的管理员来访问。
3.2信息安全保障体系构成
总队信息系统安全保障技术体系由物理安全、通信网络安全、计算环境安全、数据安全、安全基础支撑和安全管理构成。其中，安全基础支撑为物理安全、网络安全、计算环境安全和数据安全提供支持，安全管理为整个安全保障体系提供全面的管理。
安全基础支撑主要涉及总队一体化系统中的身份认证与授权系统，包括服务器计算机硬件设备以及安全认证网关设备。通过部署身份认证与授权系统及安全认证网关于核心业务处理区，确保总队认证服务及CA系统正常运行，利用数字证书登录访问一体化消防业务信息系统的模式，加强一体化系统的访问控制安全，提高一体化系统的安全级别，是整个系统的基础和支撑，是实现总队信息系统安全保障的共性设施。
数据安全包括数据库入侵检测系统、数据库访问控制系统、数据库审计系统、数据容灾备份系统等，用于保障消防信息系统中的所有数据库安全。
总队通过在涉及到一体化消防业务信息系统的业务区对一体化业务系统数据库部署磁盘阵列以及硬盘自备份和移动存储备份方式，设置全量备份，增量备份策略，执行方式为日备份，周备份，月备份以及临时应急备份，确保一体化系统的数据安全可靠。同时通过部署数据库入侵监测及审计系统，加强系统的数据库安全，确保数据库无故障和稳定运行 。在核心业务信息系统和需要重点保护的信息系统中部署数据审计系统，实时监控数据库各种账户的数据库操作行为（如插入、删除、更新、用户自定义操作等），从而降低数据库安全风险，保护数据库安全。
网络安全包括隔离防火墙、网络入侵检测设备、信息内容审计监控等设备，主要在各级区域网络互连的边界位置进行安全防护和访问控制，对进出网络的数据进行实时的检测与访问控制，以发现异常流量，并进行分析、阻断和报告。
根据安全域划分，总队在各安全域间部署防火墙，并在防火墙上设置相应策略，实现安全域间的访问控制。在核心交换机上部署网络安全审计系统，在网络边界部署一台入侵防护系统，实现对外部流入数据的监测，一旦发现入侵行为及时报警并依据策略进行阻断。同时利用IPS系统的恶意代码防护模块对网络出口处的数据进行恶意代码防护。在核心交换机上利用入侵检测系统针对所要监控流量端口做镜像，实现对流经核心交换机的流量进行监测，一旦发现入侵行为或恶意行为，及时进行报警。
计算环境安全：通过公安网一机两用监控系统以及互联网一机两用监控两套终端安全管理监测系统对安全域内的终端设备进行监测管理及系统补丁集中分发工作，结合部署在公安网和互联网上的防病毒软件系统服务器进行集中控制和病毒防控升级工作，对部署在总队局域网的计算机终端、服务器、及其运行的应用系统进行安全防护。
物理安全包含环境安全，设备安全，介质安全三个方面。通过信息中心机房的门禁系统、防雷设施、防火设施、稳压UPS电源,机房温、湿度监控系统及LED显示，声光报警等多种手段及措施，构筑我总队一体化消防业务信息系统的物理安全防护体系。
安全管理主要指综合安全管理中心，通过集中的安全管理，保障整个安全系统在统一的安全策略指导下运作，通过制定统一的安全管理协议、安全管理接口规范和安全管理数据格式，实现对用户、设备、事件的统一集中管理，实现信息系统中各类安全设备的统一管理，安全服务的实时监控和安全审计，并提供安全策略的实施和维护。
目前，总队通过部署NCC网络监控和BCC业务系监控平台，对安全域的网络设备以及各业务服务器应用，数据库等设置阀值和策略，进行集中管理，通过NCC和BCC进行每日巡检。下一步将通过COSS管理平台并平台的二次开发接口，拟对一体化系统的深入推广应用进行全方位监控管理。
3.3信息安全管理体系应急预案制定演练
信息安全管理体系建设的最终目标是保障一体化业务的正常稳定运行，各类防护措施的应用最大程度的降低了安全风险，但由于各种新的病毒、黑客技术层出不穷，制订完善的应急预案，确保系统遭受安全攻击后的可恢复性就成了系统防御的最后保障。
在应急预案中，应明确从单机故障到全网络瘫痪、从影响个人办公到全单位业务乃至造成重大社会影响的不同级别网络安全事件的定义，逐一制订对应的技术措施和管理、处置、上报机制，明确每一个步骤的责任人、责任单位。在应急预案制订完成后，必须通过至少两到三次的不同级别、层级安全事件应急处置演练进行检验，查找缺陷，完善不足，同时根据单位信息系统建设、应用的发展和网络设备的更新不断进行调整，确保应急预案的最后保障作用。
4.结束语
通过安全技术措施及各类软硬件设备组合构筑一体化消防业务信息系统信息安全管理体系，确保系统稳定运行。但安全事故很多时候不是因为技术原因造成的，二是人们没有认识到信息安全，以至于忽视了安全流程或者躲避技术控制措施，对于各类与外网逻辑隔离或物理隔离的专用网络（如公安网）来说，其源自于内部的网络安全威胁比例更高。因此，建立健全单位内部网络安全管理制度，加强网络安全教育，提升内部人员的信息安全意识就成为了增强内部网络安全管理水平的首选措施。
总队在加强信息化建设过程中必须加强安全保密管理，设置安全保密管理机构，制定严格的安全保密管理制度，采用适当的安全保密管理技术将消防信息系统中的各种安全保密产品进行集成，并加强对涉密人员的管理，形成完整的安全管理体系。同时将各类网路安全技术手段和硬件设备进行有机组合，充分发挥各自的技术特长，以物理安全、通信网络安全、计算环境安全、数据安全、安全基础支撑和安全管理六大模块构成一体化信息安全保障管理体系，并辅之以具有高度可行性和可操作性的应急预案和规范的运维机制，做到网络不断，业务不瘫，数据不丢。
参考文献：
安全保障管理策略范文第5篇
课题研究主要内容包括智慧信息化整体架构特征、安全框架，安全保障管理要求、技术要求及保障机制等。
概述
智慧信息化整体架构与主要特征
智慧信息化整体架构模型主要包括物联感知层，网络通信层，计算与存储层，数据及服务支撑层，智慧应用层，安全保障体系，运维管理体系，建设质量管理体系等。具有开放性、移动化、集中化、协同化、高渗透等主要特征。
智慧信息系统安全风险分析
根据智慧信息化特征，结合信息安全体系层次模式，逐层分析智慧信息化带来新的安全风险。
物理屏障层，主要包括场地门禁、设备监控、警卫等。移动性特点带来物理介质的安全新风险。移动设备和智能终端自身防御能力弱、数量大、分布散、采用无线连接、缺少有效监控等带来的风险。
安全技术层，主要包括防火墙、防病毒、过滤等安全技术。云计算、物联网、移动互联网等技术的开放性、协同性等特征带来的安全新风险。
管理制度层，主要包括信息安全人事、操作和设备等。智慧信息化环境下信息资源高度集中、服务外包等新模式带来的管理制度上的新风险。
政策法规层，主要包括信息安全法律、规章和政策等。对各类海量数据整合、共享和智能化的挖掘利用等深度开发带来的信息管理政策法规上的新风险。
安全素养层，主要包括民众信息安全意识、方法、经验等。智慧信息化带来威胁快速传播、波及范围倍增扩大的风险，信息安全威胁的主体发生转换，社会公众的高度参与，用户、技术与管理人员的安全意识和素养带来的风险比传统系统更大。
智慧信息系统安全框架
智慧信息系统安全框架如图2所示。管理终端和其他经过认证授权的可信终端作为智慧信息系统可信组成部分，需要进行边界防护，防止越权访问，互联网用户等非可信组成部分，要采取安全隔离措施，使其只能访问受限资源，防止内部数据非法流出。对数据区域、物联网感知区域、物联网控制区域以及基础设施的管理区域进行严格的安全域划分，针对不同的安全域实施安全产品的监测、防护、审计等不同的安全策略以保护数据安全，再配合同步进行的体系建设、安全培训等安全服务措施，实现智慧信息系统的深度防御。
管理要求
安全保障规划。信息化主管部门负责智慧信息化发展总体安全保障规划，各相关领域主管部门负责专项领域安全保障规划。确定安全目标，提出与业务战略相一致的安全总体方针及方案。
安全保障需求分析。项目单位分析系统的安全保护等级并通过论证、审核、备案；根据安全目标，分析系统运行环境、潜在威胁、资产重要性、脆弱性等，找出现有安全保护水平的差距，提出安全保障需求。
安全保障设计。项目单位根据系统总体安全方案中要求的安全策略、安全技术体系结构、安全措施和要求落实到产品功能、物理形态和具体规范上。并形成指导安全实施的指导性文件。
安全保障实施。建立安全管理职能部门，通过岗位设置、授权分工及资源配备，为系统安全实施提供组织保障。对项目质量、进度和变更等进行全过程管控及评估。
安全检测验收。系统运行前进行安全审查，关注系统的安全控制、权限设置等的正确性、连贯性、完整性、可审计性和及时性等。上线进行安全测试和评估，包括安全符合性查验，软件代码安全测试，漏洞扫描，系统渗透性测试等，确保系统安全性。
运维安全保障。建立系统安全管理行为规范和操作规程，包括机房安全管理制度，资产安全管理制度，介质安全管理制度，网络安全管理制度，个人桌面终端安全管理制度等并严格按照制度监督执行。
优化与持续改进。在系统运行一段时间或重大结构调整后进行评估，对系统各项风险控制是否恰当，能否实现预定目标提出改进建议。
技术要求
计算环境安全要求
服务器、网络设备、安全设备、终端及机房安全、操作系统、数据库管理系统应遵循GB/T 22239-2008对应安全保护等级中相关安全控制项要求，并对重要设备的安全配置和安全状态等进行严格的监控与检测。
网络虚拟化资源池应支持基于虚拟化实例的独立的安全管理。多租户环境下，租户之间的网络支持虚拟化安全隔离，各个租户可以同时对自身的安全资源进行管理。
应提供以密码技术为前提的安全接入服务，保证终端能够选择加密通信方式安全接入云计算平台。
通信网络安全要求
对应安全保护等级中网络安全控制项要求，覆盖结构安全、访问控制、安全审计、边界完整性检查、入侵防范、恶意代码防范、网络设备防护等控制项要求。
虚拟网络资源间的访问，应实施网络逻辑隔离并提供访问控制手段。从区域边界访问控制、包过滤、安全审计及完整性保护等方面保护虚拟边界安全。
智慧网络应具备网络接入认证能力，确保可信授权终端接入网络。采取数据加密、信道加密等措施加强无线网络及其他信道的安全，防止敏感数据泄漏，保证传输数据完整性。
终端安全要求
对应安全保护等级中终端安全及GAT671-2006的安全控制项要求，覆盖物理安全、身份鉴别、访问控制、安全审计、恶意代码防范、入侵防范、资源控制等内容。
建设统一的终端安全管理体系，规范终端的各类访问、操作及使用行为，确保接入终端的安全合规、可管理、可控制、可审计。在重要终端中嵌入带有密码性安全子系统的终端芯片。
应用安全要求
满足对应安全保护等级中应用安全控制项要求，覆盖身份鉴别、访问控制、安全控制、通信完整性、通信保密性、抗抵赖、软件容错、资源控制等内容。
进行可信执行保护，构建从操作系统到上层应用的信任链，实现可执行程序的完整性检验，防范恶意代码等攻击，并在受破坏时恢复。建立统一帐号、认证授权和审计系统，实现访问可溯。
遵循安全最小化原则，关闭未使用服务组件和端口；加强内存管理，防止驻留剩余信息被非授权获取；加强安全加固，对补丁与现有系统的兼容性进行测试；限制匿名用户的访问权限，支持设置用户并发连接次数、连接超时限制等，采用最小授权原则。
数据安全要求
满足对应安全保护等级中数据安全控制项要求，覆盖数据完整性、数据保密性、备份与恢复等内容。
将信息部署或迁移到云计算平台之前，明确信息类型及安全属性进行分类分级，对不同类别信息采取不同保护措施，重点防范用户越权访问、篡改敏感信息。
在多租户云计算环境下，通过物理隔离、虚拟化和应用支持多租户架构等实现不同租户之间数据和配置安全隔离，保证每个租户数据安全隐私。确保法律监管部门要求的数据可被找回。
虚拟存储系统应支持按照数据安全级别建立容错和容灾机制，防止数据损失；建立灾备中心，保证数据副本存储在合同法规允许的位置。
全面有效定位云计算数据、擦除/销毁数据，并保证数据已被完全消除或使其无法恢复。
密码技术要求
物理要求。在系统平台基础设施方面使用密码技术。
网络要求。在安全访问路径、访问控制和身份鉴别方面使用密码技术。
主机要求。在身份鉴别、访问控制、审计记录等方面使用密码技术。
应用要求。在身份鉴别、访问控制、审计记录和通信安全方面应当使用密码技术。
数据要求。在数据传输安全、数据存储安全和安全通信协议方面使用密码技术。
安全域划分与管理研究
智慧信息系统安全域可以分为安全计算域、安全用户域、安全网络域。
安全计算域：由一个或多个主机/服务器经局域网连接组成的存储和处理数据信息的区域，是需要进行相同安全保护的主机/服务器的集合。安全计算域可以细分为核心计算域和安全支撑域。
安全用户域：由一个或多个用户终端计算机组成的存储、处理和使用数据信息的区域。
安全网络域：支撑安全域的网络设备和网络拓扑，防护重点是保障网络性能和进行各子域的安全隔离与边界防护。连接安全计算域和安全计算域、安全计算域和安全用户域之间的网络系统组成的区域。安全网络域可以进一步细分为感知网接入域、互联网接入域、外联网接入域、内联网接入域、备份网络接入域。
安全管理平台技术要求
对安全事件进行集中收集、高度聚合存储及分析，实时监控全网安全状况，并可根据需求提供各种网络安全状况审计报告。
智慧监测。针对大数据，通过预警平台对流量监测分析，为管理者提前预警，避免安全事件扩大化；监听无线数据包，进行网络边界控制，对智慧信息系统内部网络实施安全保护。
智慧审计。通过运维审计与风险控制系统对系统运维人员的集中账号和访问通道管控；通过数据库审计系统对数据库访问流量进行数据报文字段级解析操作，应对来自运维人员或外部入侵的数据威胁；通过综合日志审计系统实现对违规行为监控，追踪非法操作的直接证据，推动监测防护策略、管理措施的提升，实现信息安全闭环管理；针对应用层的实时审计、监测及自动防护。
智慧日志分析。对海量原始日志，按照策略进行过滤归并，减轻日志数据传输存储压力。对来自各资源日志信息，提供多维关联分析功能，包括基于源、目的、协议、端口、攻击类型等多种统计项目报表。多租户环境支持，支持虚拟化实例，能够区分不同租户的日志以及为不同租户提供统计报表。
智慧协同。根据开放性及应急响应技术要求，安全管理平台需考虑和周边系统互联互通，支持开放的API，相互传递有价值安全信息，以进行协同联动。
除了以上八个技术方面的要求外，智慧信息化安全保障体系还对安全产品、产品安全接口等方面也做出了相关要求。
保障机制
建立责任人体制。建设单位指定信息安全保障第一责任人，明确各环节主体责任，制定安全保障岗位责任制度，并监督落实。
建立追溯查证体系。建立全流程追溯查证体系，对存在的违法入侵进行有效取证，保证证据数据不被改变和删除。参照ISO/IEC 27037：2012、ISO/IEC27042。
建立监督检查机制。由信息安全监管部门，通过备案、检查、督促整改等方式，对建设项目的信息安全保护工作进行指导监督。
建立应急处理机制。参照GB/Z 20986-2007将安全事件依次进行分级，按照分级情况制定应急预案，定期对应急预案进行演练。
建立服务外包安全责任机制。安全服务商的选择符合国家有关规定，确保提供服务的数据中心、云计算服务平台等设在境内。
建立风险评估测评机制。对总体规划、设计方案等的合理性和正确性以及安全控制的有效性进行评估。委托符合条件的风险评估服务机构，对重要信息系统检查评估。定期对系统进行安全自查与测评。
安全保障管理策略范文第6篇
1网络工程专业学生网络系统安全保障能力培养的现状分析
网络工程专业是依托于计算机科学与技术专业发展起来的。网络工程专业的人才应该具备计算机类专业人才的四大基本能力：计算思维、算法设计与分析、程序设计与实现和系统能力。网络工程专业人才的专业能力可以进一步细化为：网络协议分析设计与实现、网络设备研发能力、网络应用系统设计与开发能力、网络工程设计与实施能力、网络系统管理与维护能力、网络系统安全保障能力等[1]。因此，网络系统安全保障能力是网络工程专业有别于其他计算机类专业的一个重要能力。但在目前的现实情况下，大家对网络工程专业和其他相关专业在专业能力构成上的差异认识不够，很多学校不同专业在网络系统安全保障能力培养方面存在同质化现象。在专业知识体系上，网络系统安全保障知识领域的核心知识单元应有：信息安全基础、安全模型、加密、认证、数字签名、安全协议、防火墙、入侵检测系统、漏洞检测与防护、安全评估与审计等。从知识体系上来看，网络工程专业中的网络系统安全保障知识基本上是信息安全专业中密码学、网络攻防技术及信息系统安全领域基础知识的综合，具有内容多、涉及面广的特点。另外，目前的知识体系主要从防御角度出发，攻击和渗透的知识还很欠缺。如何在确保知识体系覆盖完整的条件下，突出网络工程专业的特色，是一个尚待深入研究的课题。在课程体系结构上，网络系统安全保障能力对应的网络安全课程，对网络工程、信息安全和信息对抗专业来说是主干课程，而对计算机类其他专业来说，往往是扩展课程；信息安全专业和信息对抗专业一般将其细化为至少4门主干课程，如密码学、网络安全、信息系统安全和信息内容安全。网络工程专业需要强化网络安全课程，并开设相应的扩展课程，以完善网络系统安全保障课程体系的完整性。教学条件上，在网络与信息安全方面比较突出的国内高校主要以密码学领域的科学研究与人才培养见长，缺少网络系统安全保障的师资，特别是缺少既有工程背景和网络攻防实战经验又有高学术水平的师资，导致一些高校网络安全课程的教学质量不高，甚至无法开设，影响了网络系统安全保障能力的培养。网络系统安全保障不仅有理论性，也具有实践性，许多方法和手段需要在实践过程中认识和领会。一些高校的网络工程专业缺少必要的实验条件，有些仅仅进行加密与解密、VPN、入侵检测或防火墙等方面的简单配置性实验，缺少网络对抗等复杂的综合性实验，致使网络系统安全保障实践环节质量不高，影响学生动手能力的培养。
2网络工程专业学生网络系统安全保障能力构成
网络系统安全保障能力的教育需要以网络系统安全保障知识为载体，通过探讨知识发现问题求解过程，培养学生灵活运用所学知识有效地解决网络系统安全防御、检测、评估、响应等实际问题的能力。计算机类专业培养学生的计算思维、算法思维、程序思维、系统思维、过程思维、数据思维、人机系统思维等思维能力，而网络工程专业还要培养学生的对抗思维、逆向思维、拆解思维、全局思维等网络系统安全保障所特有的思维能力。网络系统安全保障体系是一个复杂系统，必须从复杂系统的观点，采用从定性到定量的综合集成的思想方法，追求整体效能。从系统工程方法论的观点出发，网络系统安全保障不能简单地采用还原论的观点处理，必须遵循“木桶原理”的整体思维，注重整体安全。网络系统安全保障的方法论与数学或计算机科学等学科相比，既有联系又有区别，包括观察、实验、猜想、归纳、类比和演绎推理以及理论分析、设计实现、测试分析等，综合形成了逆向验证的独特方法论。从不同的角度看网络系统安全保障可以得到不同的内涵和外延。从物理域看，是指网络空间的硬件设施设备安全，要求确保硬件设施设备不扰、破坏和摧毁；从信息域看，重点是确保信息的可用性、机密性、完整性和真实性；从认知域看，主要是关于网络传播的信息内容对国家政治及民众思想、道德、心理等方面的影响；从社会域看，要确保不因网络信息传播导致现实社会出现经济安全事件、民族宗教事件、暴力恐怖事件以及群体性聚集事件等。网络系统安全保障涉及网络协议安全及相关技术研究、网络安全需求分析、方案设计与系统部署、网络安全测试、评估与优化、网络安全策略制订与实施等内容。培养网络系统安全保障能力就是培养学生熟悉信息安全基本理论和常见的网络安全产品的工作原理，掌握主流网络安全产品如防火墙、入侵检测、漏洞扫描、病毒防杀、VPN、蜜罐等工具的安装配置和使用，能够制定网络系统安全策略与措施，部署安全系统，同时具有安全事故预防、监测、跟踪、管理、恢复等方面的能力以及网络安全系统的初步设计与开发能力，以满足企事业单位网络安全方面的实际工作需求。
3网络工程专业学生网络系统安全保障能力课程设置
网络工程专业涉及计算机网络的设计、规划、组网、维护、管理、安全、应用等方面的工程科学和实践问题，其网络安全课程使学生了解网络系统中各种潜在的安全威胁与攻击手段以及针对这些威胁可采用的安全机制与技术。掌握常见的网络安全工具和设备，如防火墙、入侵检测、漏洞扫描等工具的工作原理，学生可以了解网络安全的相关政策法规，并具有网络安全策略与措施制定、安全事故监测等能力。为了保质保量地完成网络工程专业学生的网络系统安全保障能力的培养，可设置相应的主干课程：网络安全技术和网络安全技术实践及扩展课程安全测试与评估技术。课程涉及的核心知识点。通过开设安全测试与评估技术，教师引导和培养学生用逆向、对抗和整体思维来学习并思考网络系统安全保障问题。
4培养学生网络系统安全保障的实践和创新能力
实践动手能力是网络系统安全保障能力培养中的重要一环。许多网络信息系统安全保障能力知识点比较难掌握，必须通过实践环节来消化、吸收、巩固和升华，才成为学生自己的技能。为此，我们一方面努力争取解决实验条件，与企业联合共建网络安全教学实验室；另一方面，自主开发实现了一系列的教学演示和实践工具，弥补部分环节难以让学生动手实践的不足。通过完善的实践体系（包括课内实验、综合实验、创新实践、实习及学科竞赛等），培养学生网络系统安全保障的实践和创新能力。课内实验包括安全测试与评估技术课程的信息收集、内部攻击、KaliLinux的安装与使用、Metasploit、缓冲溢出攻击、Shellcode、Web攻击、数据库安全、逆向分析等实验。网络安全技术课程对应的实践课程网络安全技术实践设置了加解密编程、PGP、PKI、VPN服务器和客户端、病毒与恶意代码行为分析、Iptables防火墙、Snort入侵检测、以太网网络监听与反监听、端口扫描、WinPcap编程、Windows和Linux安全配置等实验；另外还设置了两个综合实验——综合防御实验(安全配置、防火墙、入侵检测、事件响应)和综合渗透测试实验(信息收集、缓冲溢出渗透、权限提升、后门安装、日志清除)。在课内实验和综合实验环节采用分工合作、以强带弱、小组整体与个人测试评分相结合等措施，确保让每个学生掌握相应的网络系统安全保障实践能力。目前，我们正积极与网络安全相关企业建设实习和实训基地，开展社会实习和实践，探索利用社会力量培养实践能力的模式。专业实践是一门2学分的创新实践和实习课程。通过专业实践和毕业设计，学生可以根据自己的兴趣选择网络系统安全保障方面的创新实践拓展和深化。一方面，积极鼓励并组织优秀学生参加全国性和地方性的网络安全技能竞赛；另一方面，让高年级的同学参与教师的网络系统安全保障科研项目中来，让学生在竞争与对抗中和解决实际问题过程中增强自己的动手能力和创新能力，培养学生的自主学习能力和研究能力，激发他们的网络系统安全保障创新思维。
5结语
安全保障管理策略范文第7篇
【关键词】内网建设 疾控中心 信息安全
随着计算机技术的快速发展，信息网络系统在疾控系统中得到良好应用，为疾控系统的发展提供了良好的外部展示和沟通平台，提高了工作效率，奠定了疾控现代化的基础。计算机技术在给人带来便利的同时也存在不少隐患，计算机硬件故障、网络瘫痪、网络运行故障等都为网络带来了巨大的风险，同时由于互联网的开放性、自由性、国际性等特点，一旦出现数据丢失、数据破坏等现象，就会带来不可估量的损失。因此，要推进内网安全保障体系建设并将其更好地应用于疾控系统中就需要有效实施内网建设和为信息化安全技术提供安全保障。
1 网络系统安全技术的风险分析
1.1 技术风险
技术风险是指在网络运行安全方面的风险，主要包括网络结构风险、操作系统风险、应用安全风险和管理安全风险。目前疾控系统中存在着网络建设体系不完善、拓扑结构搭建不合理、关键设备未考虑冗余、机密电脑直接与因特网连接、网络资源配置不科学合理、未将网络系统按应用划分不同网段、硬件设备使用维护不当、操作系统本身存在的漏洞、业务软件不够完善存在重大缺陷或漏洞、技术人员综合素质较低等问题，使信息安全得不到应有的保障。其中，网络安全风险主要表现在非授权访问、冒充合法用户、数据完整性被破坏、系统正常运行扰、病毒与恶意攻击、线路被窃听等方面。由于疾控中心网络需要与Internet连接以进行业务活动，在信息共享的同时也存在被攻击的危险。Internet的基本协议时TCP/IP协议，该协议强调开放性和便利性，存在安全隐患，TCP协议运用三次握手建立连接，其中第三次握手报文仅仅只是应答，攻击者可以通过监听前两次响应方报文，再假冒连接方发送报文，得到响应方响应后再假冒响应方向连接方发送响应方发硬报文，如此一来，攻击者便可借此插入有害数据，对网络安全造成极大破坏。
2 内网信息安全保障体系建设探讨
2.1 服务器方面的安全策略
服务器必须安置在标准化机房中，机房应采取双路供电，有条件可配备监控管理系统以便于对电量、电压、温度、湿度等环境信息和进出人员进行实时监控，及时掌控相关信息以备不时之需，同时要定期对机房环境进行评估，评估标准包括温度、湿度、噪音控制、电磁强度、防尘埃、防雷与接地、防火、防盗等，防患于未然。对于服务器本身也需要树立评估制度并定期进行安全评估，对服务器的评估内容应包括硬件和操作系统的定期检测和升级，对于不必要的服务和端口可禁用、杀毒软件状况和病毒库版本、定期查看系统日志等。对于服务器中的数据要进行多次备份，包括但不限于多介质备份、异地备份等，从而为数据安全提供保障。
2.2 网络设备方面的安全策略
根据设备的重要程度定期对网络设备硬件进行检查和维护，软件需要定期进行升级，重要网络配置需要定期进行备份，对网络拓扑图、各信息接入点位置等重要信息做好记录，以保证在出现故障时快速定位以排除故障。要对整个网络的运行情况进行实时监测，根据制定的规则跟踪记录网络活动，定期对各活动记录进行查询和分析，检查是否存在非法利用网络资源、网络资源配置不合理、泄密、信息系统破坏等安全问题，及时解决问题以保障网络信息安全性。
2.3 终端用户方面的安全策略
信息网络系统管理的重点之一是终端用户，由于工作人员个人操作水平、设备配置等各方面情况不一，因此需要对用户配置固定IP地址，根据业务内容和范围划分不同网络时段并分配相应的网络访问权限，所有用户必须登记在案，新用户需要在提交申请通过后才能获得网络访问权限，定期对工作人员展开技术和安全培训，提高工作人员技术水平和安全意识，进一步确保信息网络安全性。
2.4 业务系统方面的安全策略
业务系统的安全策略应以系统级安全、程序资源访问控制、功能性安全和数据域安全四个方面为切入点，制定业务系统管理和使用办法。由于疾控中心涉及业务种类繁杂，各部门工作职能和职责范围不尽相同，因此系统管理员要根据具体的岗位和职责分配权限，该权限只能用于相应的模块和功能。所有应用软件必须通过相应的软件测试，对软件认证部分的数据进行加密，软件投入使用后定期使用杀毒软件进行检查，例如金山、瑞星、卡巴斯基等，及时发现软件漏洞并进行更新，同时对软件使用者信息进行检测，记录软件使用者的具体信息，保留使用痕迹。同时应用防火墙和入侵检测系统，安装在内部受保护的网络连接到外部Internet节点上，从内部网或者互联网上进行的活动，比如文件传输、收发电子邮件、搜索等必须通过防火墙，过滤经过的数据信息的攻击行为，避免各类攻击行为通过互联网活动到达目标设备。
2.5 内外网物理隔开
根据国家保密局颁布的《计算机信息系统国际联网保密管理规定》第二章保密制度第六条规定，为了保证内部网不会受到来自外部公共网络的恶意攻击，内部网与公共网必须实行物理隔离。物理隔离技术的工作原理是明确定义正常业务传输和交换的合法数据，将合法数据列入“白名单”，在两方网络边界仅允许“白名单”上的数据通过，未列入“白名单”的数据无法通过。这一机制可通过专用硬件固化形成专门的物理隔离装置，改善传统物理隔离技术的被动性，从消极仿佛变为主动防御。
3 结束语
信息系统安全工作贯是疾控系统现代化建设的重要内容，任重而道远，需要给予足够的重视，时刻关注各类新技术发展情况并不断学习，完善各项管理制度以更好地应对随着新技术的发展而涌现出的新的安全隐患，以将内网建设更好地运用于集控系统中。
参考文献
[1]周莹，王磊，聂武等.内网建设信息安全的保障及在疾控系统中的应用[J].中国工业医学杂志，2012，02：157-158.
[2]丁焰.内网信息安全保障体系建设探讨[J].硅谷，2013，16：129+121.
[3]张靳冬，钱建东，潘明珠.疾控中心信息网络系统安全建设策略探讨[J].现代预防医学，2013，16：3054-3055+3058.
安全保障管理策略范文第8篇
档案信息安全保障体系的建设取得了一定的成绩，但同时存在许多问题，我们必须及时加以纠正和改进。档案信息安全保障体系的建设不是一蹴而就的，是一个复杂的社会工程。首先要纳入国家信息安全保障体系和电子政务信息安全保障体系的总体格局中，其次学习国内外保障体系建设的经验，结合档案信息资源的自身特点，将档案信息安全保障体系建设落到实处。档案信息安全保障存在的问题
1．对档案信息安全保护和保障概念混淆
信息安全是一个发展的概念，从通信保密、信息保护发展到信息保障，或者说是从保密、保护发展到保障。每个阶段的安全属性也是不断扩展的，保密阶段为保密性：保护阶段为保密性、完整性和可用性；保障阶段为保密性、完整性、可用性、真实性和不可否认性，甚至在国际标准《信息安全管理体系规范》ISO／IEC17799：2005中，又增加了可追溯性和可控性。信息安全属性也是信息安全的目标。保障阶段应采取相应的措施达到“七性”。
信息安全保障的提出最早源自美国。1996年美国国防部(DoD)在国防部令S-3600，1对信息安全保障作了如下定义：“保护和防御信息及信息系统，确保其可用性、完整性、保密性、可认证性、不可否认性等特性。这包括在信息系统中融入保护、检测、反应功能，并提供信息系统的恢复功能。”除安全属性不断丰富外，安全保障与安全保护主要区别是主动防御和动态保护。而与之对应的信息保护是静态保护(安全措施基本不变)和被动保护(发生安全事故后再采取防护措施)。
然而，目前大部分档案信息安全保障仍只达到安全保护水平。将安全保护和安全保障概念混淆，造成保障阶段的能力也停留在保护水平，不能从主动防御和动态保护来保障档案信息安全。在具体操作上。仍以身份认证、数据备份、安装防火墙、杀毒软件和入侵检测等被动保护措施为主。在日益复杂的档案信息系统和网络环境下，档案信息得不到应有的保障。
2．偏重技术，忽视管理
在美国国防部对安全保障的定义中，“保护、检测、反应和恢复”不仅体现动态保护，还体现安全管理，安全保障也是一个管理过程。
然而长期以来，人们对档案信息安全偏重于依靠技术。但事实上仅仅依靠技术和产品保障信息安全的愿望却往往难尽人意，许多复杂、多变的安全威胁和隐患靠产品是无法消除的，尤其是对内网用户的管理。“三分技术，七分管理”这个在其他领域总结出来的实践经验和原则。在档案信息安全领域也同样适用。据有关部门统计。在所有的信息安全事件中，属于管理方面的原因比重高达70％以上，而这些安全问题是可以通过科学的信息安全管理来避免的。因此，安全管理已成为保障档案信息安全的重要措施。
目前，国际上实现信息安全管理的有效手段是在信息安全等级保护制度下，进行信息安全风险评估。“早在20世纪70年代初期美国政府就提出了风险评估的要求。2002年颁布的《2002联邦信息安全管理法》对政务信息安全风险评估提出了更加具体的要求。”欧洲等其他信息化发达国家也非常重视开展信息安全风险评估工作，将开展信息安全风险评估工作作为提高信息安全保障水平的重要手段。国外风险评估标准主要有：BS7799、ISO／1EC 17799、OCTAVE、NIST SP800―30、AS／NZ54360、SSE―CMM等。
3．缺失安全评估体系
目前，我国档案信息安全保障体系的建设处于各自为政状态，没有将基于等级保护制度下的档案信息安全风险评估提到议事日程上来。由此造成档案信息系统建立并采取安全措施后，仍不能明确自己的网络和应用系统是否达到安全要求?还有哪些安全漏洞?可能造成多大危害?应该怎样解决?系统升级或调整后又存在哪些安全风险?如何规划档案信息安全保障体系建设?作为档案信息系统的拥有者、档案信息系统安全构建者和档案信息系统安全的监管者，必须有统一的风险评估标准，才可以做到档案信息安全与否谁也不能说了算，而应该按照统一的风险评估标准来评价是否安全。应采取什么措施。
档案信息安全保障状况需进行风险评估
2006年3月7日，酝酿已久的《国家网络与信息安全协调小组关于开展信息安全风险评估工作的意见》(简称《意见》)正式对外公布。《意见》要求。各信息化和信息安全主管部门要从抓试点开始，逐步探索组织实施和管理的经验，用三年左右的时间在我国基础信息网络和重要信息系统普遍推行信息安全风险评估工作，全面提升网络和信息系统安全保障能力。
2005年9月，国务院信息化工作办公室专门组织成立了“电子政务信息安全工作组”，并已编制了《电子政务信息安全等级保护实施指南(试行)》，其中提出将风险评估贯穿等级保护工作的整个流程。所以，作为电子政务系统中保存和管理信息的档案信息系统，与电子政务一脉相承，进行风险评估是迟早的事。对档案信息安全保障进行风险评估主要有如下优势。
1．将档案信息安全保障体系纳入国家信息保障体系
国家已制定了风险评估标准GB／T 20948―2007《信息安全风险评估规范》，并将于2007年11月1日正式实施。作为我国信息资源重要组成部分的档案信息，必须积极响应国家信息安全政策和纳入国家信息安全保障体系的总体格局。档案信息安全风险评估可在此标准的基础上，结合档案信息自身特点，先开始在综合档案馆和电信、银行、税务、电力等大型档案信息管理系统中试验，在此基础上再逐步推广，达到国家要求“2006年后三年内在我国基础信息网络和重要信息系统普遍推行信息安全风险评估工作”基本目标。
2．规范档案信息安全保障体系建设
在档案信息化过程中。我们已经制定了GB／T17678.1―1999《CA D电子文件光盘存储、归档与档案管理要求。第一部分：电子文件归档与档案管理》、GB／T18894―2002《电子文件归档与管理规范》、GB/T20163―2006《中国档案机读目录格式》、DA／T 22―2000《归档文件整理规则》和DMT 3l一2005《纸质档案数字化技术规范》等国家标准和行业标准，然而与档案信息安全相关的标准尚未出台，造成目前档案信息安全保障体系的建设处于各自为政状态。档案信息风险评估的开展。虽然可以参照国际和国家标准，但最终还必须有针对性强的行业标准。为了改变目前的现状，档案行政管理部门应重视针对档案信息安全保障政策和标准的建设，抓住国家推广信息安全风险评估的机会。从风险评估作为切入点，制定档案信息风险评估和其他安全相关标准，规范档案信息安全保障的建设。由于对档案信息风险评估是以信息安全保障要求为前提的，所以只要进行风险评估就可以纠正信息保护和保障的混淆，并确认是否达到相应的保障要求。
3．贯彻安全技术和管理并重，保障档案信息安全
等级保护和风险评估是信息安全管理的核心内容，是信息安全管理的具体体现。国家提倡在等级保护制度下进行风险评估，就是在对信息系统划分等级后，采用风险评估测评系统是否达到相应等级的安全要求，这样可以改变以往只建设不测评的现状。同时，风险评估还要求贯穿信息系统的整个生命周期，即在信息系统的分析、设计、实现和运行维护的整个生命周期内，都将进行定期或不定期的风险评估，也体现信息安全保障的动态安全和主动防御。以往在我们档案信息安全保障的建设中也强调信息安全管理机制的构建，而风险评估就是很好的体现。风险评估的进行过程中。有相应的安全策略，按照“谁主管谁负责、谁运行谁负责”的要求，对在岗的每一位员工也有相应的安全职责，这样也提高了员工的安全意识。
4．完善档案信息安奎保障体系
对于已建、在建或将建的档案信息系统，以往没有进行风险评估的，应积极开展这项工作，在没有正式出台专门档案信息风险评估标准前，可参照国内国际标准进行，或者参与到电子政务信息的等级保护和风险评估中去。当然风险评估并不是信息安全保障的唯一手段(还包括等级保护、应急响应和灾难恢复等)，但它是档案信息安全保障不可或缺的一个重要环节。通过风险评估，可完善目前还没有达到保障要求的档案信息系统安全保障。另外，对于新建设的档案信息系统在设计阶段就要融入风险评估，这样可以防患于未然。
5．监督和检查档案信息安全保障建设