信息安全总结范文精选

2011年，信息安全科遵循“安全第一，服务至上”的工作理念，继续以“立足长远，稳步推进，最小代价，持续发展”为指导思想，切实提高关区信息系统安全运行保障能力。

一、统筹规划，突出重点，全面夯实信息系统安全运行基础

1、不断推进关区网络准入管理工作。网络准入是2011年我关重点科技项目之一，我科对现有的客户端安全监控系统（eCop）进行功能升级，以最小的资金投入和管理成本实现关区网络准入功能，确保只有经过总关技术处审批、并且符合各项安全要求的信息化设备才能正常使用青岛海关网络，补全关区信息安全管理工作的一块短板，为我关网络提供强有力的安全保障。目前关区业务管理网已经全部实施了网络准入，业务运行网正在逐步部署，预计明年初完成。

2、彻底完成业务管理网安全域划分工作。按照国家关于等级保护的安全要求和海关总署的统一部署，在袁进军副处长的指挥下，我科牵头网络科、系统科、开发科组建工作组，花大力气，用半年多时间，将重要应用系统的服务器移入保护区，只对微机开放HTTP端口，极大降低关键服务器受病毒影响、越权访问、数据外泄等方面的风险，彻底完成了管理网安全域的划分工作。工作组按照总署的统一要求、结合关区网络现状，充分论证、细化实施方案，将整个工作分成4个步骤，一是部署防火墙划分安全域，二是将服务器全部移至过渡区，三是对服务器访问策略进行彻底梳理，四是调整网络参数将服务器逐台移入保护区；制定了周密的应急预案，将大部分网络调整的操作安排在工余时间。同时，将新增的防火墙加入我关防火墙集中日志系统，实现网络日志记录功能，并同步制定《管理网服务器保护区网络访问策略变更工作规范》、《管理网服务器安全域划分后运维管理工作规范》等日常工作制度。在实施过程中，工作组攻克多个技术难点：对47台服务器逐台梳理网络关联、分析网络访问记录达百万条；钻研虚拟化技术，解决部分应用系统使用高危端口提供服务的问题；重新规范技术人员运维模式和业务人员对敏感数据库的访问方式。管理网安全域的划分，提高了青岛关区信息系统的可用性，今后将在关区信息系统安全运行工作中发挥至关重要的作用。

3、对敏感岗位计算机实施重点保护。为加强敏感岗位计算机在越权访问、数据泄露、病毒入侵等方面的自我防护能力，我科经充分测试评估，启用瑞星防病毒软件的个人防火墙功能，提升关区业务管理网内敏感岗位计算机的安全保护级别。目前已对关领导、办公室、人事处、财务处55台敏感岗位微机实施了保护，受到了预期的效果。

4、完成防病毒产品的换型和升级工作。在管理网、互联网部署了瑞星防病毒软件，运行网服务器也完成了KILL软件升级。升级入侵检测系统，在运行网及管理网的核心交换机部署了两台千兆入侵检测引擎，用于监控关键服务器的网络数据包；调整我关入侵检测系统策略，将管理网和运行网的DNS服务器纳入监控范围；开展专项木马查杀工作，在2台服务器、3台微机查杀了木马病毒。加强日常监控，提升关区网络内病毒、木马等恶意软件的防范能力。

5、充分发挥在线应用监控系统的功效，提高安全运行保障能力。不断利用在线应用监控系统对新增项目进行运行监控，持续优化监控参数。截至目前共对43个在线应用项目的614个故障点进行了监控，平均每分钟发出63.4次监控请求，日均报警2.9次。保障第一时间发现运行异常、准确定位故障点并及时处理。

二、充分发挥管理职能，保障关区信息系统安全运行

按照区委办《关于迎接全市网络和信息安全专项督查工作的通知》文件要求，我委高度重视，积极组织落实，认真对照，对网络安全基础设施建设情况、网络安全防范技术情况及网络信息安全保密管理情况进行了自查，对我委的网络信息安全建设进行了深刻的剖析，现将自查情况总结如下：

一、加强领导

为进一步加强全委网络信息系统安全管理工作，我委成立了网络和信息安全督查自查领导小组，由主任任组长，副主任任副组长，综合股张俊为成员。做到分工明确,责任具体到人。制定了自查方案，严格按照自查目录情况表进行了自查。

二、我委网络安全现状

1、网络安全方面。我委配备了防病毒软件，采用了强口令密码、数据库存储备份、移动存储设备管理、数据加密等安全防护措施，明确了网络安全责任，强化了网络安全工作。

2、信息系统安全方面。实行领导审查签字制度,凡上传网站的信息，须经有关领导审查签字后方可上传。

3、日常管理方面。切实抓好外网、网站和应用软件“五层管理”，确保“计算机不上网，上网计算机不”，严格按照保密要求处理光盘、硬盘、U盘、移动硬盘等管理、维修和销毁工作。

4、硬件设备情况。硬件设备使用合理，软件设置规范，设备运行状况良好。我委每台终端机都安装了防病毒软件，系统相关设备的应用一直采取规范化管理，硬件设备的使用符合国家相关产品质量安全规定，单位硬件的运行环境符合要求，打印机配件、色带架等基本使用设备原装产品。

按照《关于组织开展20xx年全市政府信息系统安全检查工作的通知》(镇信安联办【20xx】5号)要求，我局高度重视，立即组织开展全局范围的信息系统安全检查工作。现将自查情况汇报如下。

我局信息系统运转以来，能严格按照上级部门要求，积极完善各项安全制度、充分加强信息化安全工作人员教育培训、全面落实安全防范措施、全力保障信息安全工作经费，信息安全风险得到有效降低，应急处置能力得到切实提高，保证了政府信息系统持续安全稳定运行。

一、信息安全组织管理工作情况

我局高度重视信息系统安全工作，成立有由主要领导任组长、分管领导任副组长、各处室负责人为组员组成的局信息安全工作领导小组，明确了局办公室为主要职能部门，确定了一名兼职信息安全员，召开了由分管领导、信息安全工作职能部门和重点部门负责人参加的会议，对上级有关文件进行了认真学习，对自查工作进行了周密的部署，确定了自查任务和人员分工，真正做到领导到位、机构到位、人员到位、责任到位、措施到位。为确保我局网络信息安全工作有效顺利开展，我局要求以各处室、下属单位为单位认真组织学习相关法律、法规和网络信息安全的相关知识，使全体人员都能正确领会信息安全工作的重要性，都能掌握计算机安全使用的规定要求，都能正确的使用计算机网络和各类信息系统。

二、日常信息安全管理工作情况

我局在以前建立一系列信息安全制度的基础上，针对信息安全工作的特点，结合我局实际，重新修订了一系列信息安全制度和程序，做到按制度办事，提高执行力。按照市政府和市经信委要求，我局与计算机维保单位重新签订了服务协议，增加了信息安全与保密协议内容。同时我局还与全局所有工作人员签订了安全保密协议。我局对计算机和移动存储介质高度关注，对所有计算机和移动存储介质全部进行编号在册统一管理，明确责任人和保管人，对信息系统的使用进行多次重点检查，强化人员管理，严格执行计算机和移动存储介质的相关管理制度，专门为人员配发了带有硬件锁的U盘，严禁在和非信息系统间混用移动存储介质等等。对非计算机的保密系统和防火墙、杀毒软件等皆为国产产品，公文处理软件使用微软公司的正版office系统，信息系统的第三方服务外包均为国内公司。

三、信息安全防护管理工作情况

我局网络系统的组成结构及其配置合理，并符合有关的安全规定;网络使用的各种硬件设备、软件和网络接口是也过安全检验、鉴定合格后才投入使用的，自安装以来运转基本正常。我局经常开展信息安全检查工作，主要对操作系统补丁安装、应用程序补丁安装、防病毒软件安装与升级、木马病毒检测、网页篡改情况等进行监管，认真做好系统安全日记。今年，我局在市政府办的指导下试运行协同办公系统，投入10多万元为所有局领导、各处室配置了内网计算机，为处室另配备了计算机，从硬件上加强了信息系统管理。

摘 要：信息安全领域的研究人员专注于不同的子学科，例如网络安全、应用安全、网格安全、web安全、完全入侵检测等，但很少会将重点放在企业综合信息安全体系结构。本文提出基于企业服务总线架构的企业信息安全体系结构，通过建立一个模型，系统、智能地管理企业信息安全，并结合总体信息管理活动。此外参考ISO/IEC 27002标准和实践证明：SOA体系结构定义的信息安全和风险控制服务能够有效地增强企业信息安全管理和风险控制活动的有效性。

关键词：SOA 信息安全 企业服务总线

中图分类号：TP2 文献标识码：A 文章编号：1672-3791（2013）01（c）-0022-02

随着信息技术的不断普遍，信息安全体系结构在当前的企业信息技术中扮演着越来越重要的角色。我们尝试将信息安全和风险控制活动定义到安全服务里，设计面向服务的企业信息安全体系结构。

SOA是工业界的一个热点主题。它是一个策略、实践和框架的集合，能够为提供跨域注册、动态发现和自动机制提供内建的基础设施。并且提供的服务封装，通过消息协议提供可由双方共同操作的服务。SOA也为服务质量控制和资源管理及其它的监控服务和异常处理机制准备了基础设施。作为一个agility-pursued体系结构，SOA将企业逻辑从技术实现分离，从而使围绕SOA体系结构建立的应用能够满足企业和技术领域持续变化的需求。它也将有益于可复用性和系统集成，以及可扩展性、分布性和跨域注册。

1 问题发现

我们在SOA安全体系结构上的研究发现了以下几个问题。

（1）缺少企业信息安全集成体系结构，引入了不同的、相互独立的信息安全系统和解决方案，这会导致整个系统的不兼容性，导致无法达到期望的风险管理控制。

摘 要：本文论述了建筑施工企业安全管理信息系统构建的重要意义，着眼于企业信息化的未来，从信息积累和信息相关角度对建筑施工企业安全管理关联性进行分析，结合施工安全管理经验，提出的重要的安全管理模块建设，从而确定了建筑施工管理信息系统的结构，在此基础上进行了系统的开发，最终实现了安全管理信息系统。

关键词：建筑施工；安全管理；信息系统

中图分类号：TU7文献标识码：A文章编号：

引言：

安全管理信息系统是安全信息综合处理的枢纽，是安全信息管理、安全决策的关键。通过建立以安全管理部门为信息处理中心、各危险源和各项目部为终端的安全管理信息系统网络，从而由安全信息反馈来推进对危险源、隐患的不断检查、整改和监控，形成闭环管理，力求把安全管理从传统的事后追踪变为事前的预防控制，使安全管理工作逐步走向科学化、系统化和规范化，对提高目前安全管理水平具有实际意义。

1.建筑业安全管理信息化系统的作用、意义

目前建筑企业安全工作的信息量大、信息分散、人员流动频繁的特点，这意味着信息的管理难度比较大，而安全管理的调控依据就是全面、准确、快速信息。目前的手工信息管理很难达到准确、全面、快捷的效果，同时多方面的信息融合与分析较难做到。因此，由于手工信息管理手段带来安全管理工作的离散性，缺乏安全管理有关数据和信息的集中性收集、分析，采集的大量数据并没有发挥支持预防决策的作用，企业进一步改进安全管理，分析事故原因，进而达到防患于未然的目的很难达到。

“异地复制”是提升项目安全管理能力，推进项目管理模式改革的重要理念，也是实现集约化项目管理的重要技术依托和管理基础，也是解决项目多、人员流动频繁，快速培训高素质人员，积累丰富经验的最佳手段。以项目信息化、流程化和模板化的管理思想为基础，逐步提高安全管理模式和方法。

1铁路信息安全管理面临的挑战

铁路行业信息安全检查工作一直都作为一个常态化的管理机制运行，在一定时间间隔内定期或不定期开展，但大部分单位对检查工作认识不足，需要动用技术力量对系统进行扫描、渗透并部署采集设备时，各单位普遍有畏难情绪，运行维护部门又担心会影响正常的业务使用。总体来看，检查工作本身所能提供的信息有限，从而无法真实并准确反应单位信息系统及信息安全现状，也就无法对系统进行有针对性的信息安全加固及整改。.

2应对措施

建立良好的信息安全管理模式是铁路信息系统安全稳定运行的根本保障，有利于铁路行业信息系统的发展。针对上述铁路信息安全管理面临的挑战，建立铁路行业信息安全管理新模式，结合铁路行业现有组织管理架构，借鉴已有的信息安全管理制度，明确信息安全工作的地位、目标、原则以及策略，从组织管理、制度及应急管理、运行维护管理和等级保护管理几个方面来深入考虑和分析，采用体系化管理方式保障信息系统的安全稳定运行。

2.1健全组织管理机构

信息安全组织管理方面，建立并逐步健全一套自上而下的安全组织机构，成立铁路信息系统安全管理领导机构，作为系统安全管理的常设组织。同时，采用分层结构，以适应铁路行业铁路总公司、铁路局、站段3级管理机制。铁路总公司领导机构作为全路信息系统安全管理的常设领导机构，负责制定全路信息系统安全管理制度及办法，铁路信息系统安全防护技术的标准，制定安全管理制度。区域安全管理机构主要职责有：负责各铁路局的信息安全管理中心的日常管理工作，及时与安全专家协商讨论安全执行方案，执行安全响应中心制定的具体安全策略，定期向上级汇报信息安全管理相关工作，下设多个安全管理决策小组和管理执行小组，管理执行小组主要负责监督和协调铁路局下设各车站的信息安全管理执行工作。车站级信息安全执行分组包括安全监督员、安全检查员、安全执行员3类安全工作人员。

2.2强化制度建设及工作流程管理

2.2.1管理制度

（思睿迪咨询熊甲林）企业信息安全既不是简单的安全产品堆砌，也不等同于局部的网络安全，而应是基于需求构成的以管理、技术和人员三者有机结合的立体架构。

在进行信息安全总体架构规划时，企业容易陷入两个误区: 一是罗列一堆产品和技术，把能够看到的安全产品和安全技术（防火墙、防病毒、入侵监测、加密技术、VPN、终端准入控制）都堆砌起来，以为这样就构成了全面的安全屏障; 二是把企业信息安全等同于网络安全，给出的规划也只能是局部的、残缺不全的。

要做企业信息安全总体架构规划，首先要了解企业的信息安全需求。抛开需求做规划，难免会掉进前面所讲的两种误区中。因此，做规划要从需求入手。

企业信息安全总体架构规划模型（图1）以企业信息安全的需求（保密性、完整性、可用性）为出发点，以应用安全、数据安全、主机安全、网络安全、桌面安全、物理安全为关注重点，层层剖析、全面挖掘企业的信息安全需求，是一种将管理、技术和人员三者有机结合的企业信息安全保障体系。该模型均衡考虑了企业在保密性（C）、完整性（I）和可用性（A）三方面的安全需求。

企业信息安全总体架构规划模型虽然清晰地指出了规划的要点、重点和思路，但是按照此模型还是不知道如何去做，具体实施应参照一定的方法论进行。企业信息安全总体架构规划方法论（图2）融合了以管理和技术为核心的全面分析方法，以安全需求为焦点，从管理现状、技术现状和人员状况三个维度，综合采用调查问卷、人员访谈、现场察看、资料分析、技术检测等多种手段，全面深入地挖掘需求。在明确需求的前提下，借鉴同类企业成功经验并均衡考虑CIA（保密性、完整性、可用性），规划符合企业实情的信息安全保障体系。

在企业信息安全总体架构规划方法论中，重点工作的描述如下:

调查问卷

针对企业情况，信息主管应参照ISO27001/ISO13335等标准，制定相应的调查问卷，通过它全面了解企业的安全要求、安全状况、IT环境，以及企业信息系统的应用情况和已经采取的安全控制手段。

【摘要】在总结永煤公司顺和煤矿安全生产管理经验的基础上，利用先进的信息技术手段，设计了安全信息管理系统，以实现安全生产信息和隐患排查信息的综合管理。“举一反三”信息库便于实现隐患对标管理，杜绝多发、易发、常发的安全隐患；隐患查询可实现管理人员对各个单位隐患信患的查询；隐患录入和隐患整改实现焦煤公司安全隐患的信息化和闭环管理；隐患统计可实现集团和矿厂两级安全隐患信息的统计分析管理等。应用表明，该系统可降低事故发生率，避免重大事故发生，为管理层决策和安全管理提供信患数据支持。

【关键词】煤矿安全管理；信息管理系统；隐患；浏览器/服务器

一、引言

随着计算机信息技术的发展，安全管理信息系统成为煤矿企业安全生产信息化不可分割的一部分，从多方面着手改善和提高顺和煤矿安全生产管理状况迫在眉睫，建立顺和煤矿安全信息管理系统是改善和提高煤矿安全管理水平的一个重要途径。当前，安全状况形势越来越严峻，顺和煤炭必须利用计算机信息技术，加快顺和煤矿信息化建设的步伐，提高顺和煤矿的信息化建设，从而为煤矿安全生产管理提供有力的保障[1]。

二、系统开发技术方案

管理信息系统可选择的体系结构主要有两种：C/S结构和B/S结构，前者为客户机/服务器（Client/Server），后者为浏览器/服务器（Browser/Server）。通过对两种结构的综合分析比较，可以得出，采用B/S结构便于此系统的使用，维护和升级，可以降低信息系统的维护成本，提高具体实用的效果。系统具有访问日志查询功能，针对不同用户应用的需求，用户可以逐条录入安全隐患，也可以批量导入，系统功能模块使用灵活，可满足各种工作需求。

顺和煤矿安全管理信息系统属于数据库应用系统，安全信息管理系统的所用的信息都保存在数据库中，在此系统开发的过程中，比较重视数据库的结构设计，各数据表结构的设计、数据表中字段的设置、内容的安排以及各表之间的依赖关系等方面都经过了科学合理的设计。

三、系统的设计和实现

第一条为了保护计算机信息系统的安全，促进信息化建设的健康发展，根据《中华人民共和国计算机信息系统安全保护条例》、《计算机信息网络国际联网安全保护管理办法》和《广东省计算机信息系统安全保护管理规定》，结合本省实际，制定本细则。

第二条本省行政区域内计算机信息系统的安全保护，适用本细则。

军队的计算机信息系统安全保护工作，按照军队的有关法规执行。

第三条县级以上人民政府公安机关公共信息网络安全监察部门负责主管本行政区域内的计算机信息系统安全保护工作。

第二章安全监督

第四条公安机关公共信息网络安全监察部门对计算机信息系统安全保护工作行使下列职责：

（一）监督、检查、指导计算机信息系统安全保护工作；

（二）组织实施计算机信息系统安全评估、审验；

随着我国信息化建设的不断深入，信息安全意识淡薄、信息安全防范能力不足、信息系统安全建设和管理目标不明确等问题逐步凸显，同时信息安全监管依据与标准较为缺乏、信息安全监管措施不到位、信息安全监管体系也有待完善。为解决上述信息安全问题，维护国家安全、公共利益和社会稳定，有效地提高我国信息化建设的整体水平，需建立信息安全等级保护制度。信息安全等级保护制度是国家在国民经济和社会信息化的发展过程中，保障和促进信息化建设健康发展的一项基本制度。

为了全面贯彻落实信息安全等级保护制度，公安部会同有关部门在全国范围内组织开展了信息系统安全等级保护工作。该项工作主要分为定级、备案、建设整改、等级测评和监督检查五个环节。其中安全建设整改工作是信息安全等级保护工作的重要组成部分。主要内容包括制定信息系统安全建设整改工作规划并部署；信息系统安全现状分析；确定安全策略，制定安全建设整改方案；开展信息系统安全管理建设整改工作；开展信息系统安全技术建设整改工作；开展安全自查和等级测评。公安部于2009年了《关于开展信息安全等级保护安全建设整改工作的指导意见》（公信安[2009]1429号），强调依据信息安全等级保护有关政策和标准，开展信息安全等级保护安全建设整改工作。通过组织开展信息安全等级保护安全管理制度建设、技术措施建设和等级测评，落实等级保护制度的各项要求，使信息系统安全管理水平明显提高，安全防范能力明显增强，安全隐患和安全事故明显减少。

本文主要依据信息系统安全等级保护基本要求，结合信息安全等级保护安全技术建设整改工作内容，提出了基于“安全建设整改”的服务器安全加固方案设计、安全加固流程和安全加固方法等。基于“安全建设整改”的服务器安全加固工作贯穿了安全技术建设整改工作的多个方面，主要内容涉及物理安全、主机安全、应用安全和数据安全及备份恢复等。下面重点对基于“安全建设整改”的服务器安全加固可行性分析、方案设计和加固内容进行详细的叙述。

服务器安全加固以实际需求为牵引

首先服务器安全加固是以《信息系统安全等级保护基本要求》为依据，以信息系统为最小加固单位，对信息系统范围内的服务器操作系统、数据库、中间件以及虚拟机集群或小机分区，以技术手段通过更改安全配置、加强审计备份、升级补丁等直接操作方式，从而达到提升服务器自身的安全防护能力的目标。

其次，通过对等保要求类、等保控制点和等保要求项的仔细分析、梳理，确定信息系统服务器加固项目中能够执行的等保要求项，并将这些加固项从技术实现角度分为可以实现的加固项，部分可加固项和安全建议项。

在此基础上，进一步结合实际安全需求，分析现有安全技术和安全策略要求，从加固实施的角度，引入了“等保要求加固子项（简称加固子项）”的概念。所谓“加固子项”是对 “等保要求项”的进一步细分，将每一个检查动作和加固动作相对应，达到每一个“加固子项”可以确定为一个独立的检查动作，并且有一个对应的加固动作，按照等保基本要求，实现每一个加固动作。

表1中列举了适合于进行直接加固的操作项，主要包括了物理安全、主机安全、应用安全和数据安全及备份恢复四个方面。