吳二勇，李靜鄭州大學(xué)綜合設(shè)計(jì)研究院有限公司

淺談企業(yè)網(wǎng)絡(luò)安全防護(hù)體系構(gòu)建

吳二勇，李靜
鄭州大學(xué)綜合設(shè)計(jì)研究院有限公司

近年來，隨著我國(guó)科技技術(shù)的不斷革新以及社會(huì)經(jīng)濟(jì)的不斷進(jìn)步，網(wǎng)絡(luò)信息技術(shù)也在網(wǎng)絡(luò)產(chǎn)品成本不斷降低的前提下，在我國(guó)的各個(gè)領(lǐng)域得到了廣闊的發(fā)展空間，在其中所占比重也在逐年上升，電子郵件、文件共享以及網(wǎng)絡(luò)通信等內(nèi)容的有序展開，需要構(gòu)建一個(gè)相對(duì)完善的網(wǎng)絡(luò)系統(tǒng)來提高工作效率，一方面能夠加強(qiáng)企業(yè)內(nèi)部的溝通合作，另一方面也為與外部的聯(lián)系提供保障。然而，隨之而來的網(wǎng)絡(luò)安全問題也不容忽視，因此，加大對(duì)網(wǎng)絡(luò)安全防護(hù)的投入力度，構(gòu)建相應(yīng)的網(wǎng)絡(luò)安全防護(hù)體系，是實(shí)現(xiàn)企業(yè)可持續(xù)發(fā)展的重要前提。

企業(yè)；網(wǎng)絡(luò)安全；防護(hù)體系；構(gòu)建

引言

現(xiàn)如今，隨著互聯(lián)網(wǎng)技術(shù)的迅猛發(fā)展，使它在各企業(yè)的日常工作中發(fā)揮著重要作用。借助企業(yè)完善的網(wǎng)絡(luò)系統(tǒng)，向企業(yè)內(nèi)部以及外部的用戶提供高效、優(yōu)質(zhì)、便捷以及透明的信息服務(wù)，使人與人之間可以沖破時(shí)間以及空間的屏障進(jìn)行實(shí)時(shí)溝通以及文件共享。然而，隨著企業(yè)網(wǎng)絡(luò)系統(tǒng)的不斷深入，也逐漸暴露出許多網(wǎng)絡(luò)安全問題，并對(duì)企業(yè)的正常管理以及運(yùn)營(yíng)造成了巨大的影響，因此，構(gòu)建一個(gè)完善的企業(yè)網(wǎng)絡(luò)安全防護(hù)體系就迫在眉睫。

一、網(wǎng)絡(luò)安全的內(nèi)涵

網(wǎng)絡(luò)安全，從本質(zhì)上講，就是指網(wǎng)絡(luò)上的信息安全。信息的安全就是要最大限度的確保數(shù)據(jù)信息的完整性、保密性以及合法使用性等，因此，網(wǎng)絡(luò)安全簡(jiǎn)單來說，就是要保護(hù)網(wǎng)絡(luò)系統(tǒng)的硬件、軟件以及系統(tǒng)中的數(shù)據(jù)信息不被惡意破壞、篡改、泄露，使網(wǎng)絡(luò)系統(tǒng)能在正常運(yùn)行的基礎(chǔ)上，更好地為用戶提供網(wǎng)絡(luò)服務(wù)。而從另一個(gè)角度來說，凡是與網(wǎng)絡(luò)信息保密性、完整性、可用性以及真實(shí)性等有關(guān)的技術(shù)或者是理論，都屬于網(wǎng)絡(luò)安全的研究范疇，它不僅包含網(wǎng)絡(luò)管理方面的內(nèi)容，同時(shí)也包括技術(shù)層面的內(nèi)容，二者相互協(xié)調(diào)與配合，缺一不可。網(wǎng)絡(luò)管理方面的內(nèi)容主要針對(duì)的是企業(yè)內(nèi)部的人為因素，而技術(shù)層面的內(nèi)容則是針對(duì)外來非法用戶。怎樣將數(shù)據(jù)信息的保護(hù)工作落到實(shí)處、保證網(wǎng)絡(luò)系統(tǒng)的安全性以及可靠性等問題，已經(jīng)成為現(xiàn)階段有關(guān)企業(yè)或部門需要重點(diǎn)探討的問題。

二、企業(yè)網(wǎng)絡(luò)安全的必要性

在信息技術(shù)不斷發(fā)展的今天，網(wǎng)絡(luò)信息與能源以及物源具有同等地位，有時(shí)候甚至?xí)哂诤髢烧摺r(jià)值越高的信息就越容易出現(xiàn)惡意篡改、竊取以及泄露等現(xiàn)象，對(duì)于企業(yè)來說也是如此。打個(gè)比方來說，在企業(yè)正常運(yùn)營(yíng)時(shí)，它的原料配額、生產(chǎn)技術(shù)以及經(jīng)營(yíng)決策等內(nèi)容將直接關(guān)系到企業(yè)的市場(chǎng)競(jìng)爭(zhēng)力，并在某些時(shí)間或地點(diǎn)具有較高的保密性，一旦這些信息被泄露，不單單對(duì)企業(yè)的生產(chǎn)經(jīng)營(yíng)造成影響，嚴(yán)重時(shí)還可以給國(guó)家以及人民帶來不可估量的損失，因此，強(qiáng)調(diào)企業(yè)網(wǎng)絡(luò)的安全性以及可靠性是至關(guān)重要的。

三、企業(yè)網(wǎng)絡(luò)的安全風(fēng)險(xiǎn)

目前，在我國(guó)企業(yè)的網(wǎng)絡(luò)安全中，會(huì)涉及到多種專業(yè)技術(shù)，比如計(jì)算機(jī)科學(xué)技術(shù)、網(wǎng)絡(luò)技術(shù)、通信技術(shù)、信息安全技術(shù)以及密碼技術(shù)等，與此同時(shí)，網(wǎng)絡(luò)安全還包括應(yīng)用數(shù)學(xué)、數(shù)論以及信息論等專業(yè)理論知識(shí)。保證企業(yè)網(wǎng)絡(luò)的安全性，最根本的目的是要讓網(wǎng)絡(luò)上流動(dòng)或者是靜態(tài)存放的信息在安全期內(nèi)不被非法用戶惡意訪問，同時(shí)，企業(yè)網(wǎng)絡(luò)安全還是保證信息完整性、機(jī)密性以及可用性的重要手段。然而，我國(guó)企業(yè)仍然會(huì)面臨以下幾個(gè)方面的安全威脅。

1、網(wǎng)絡(luò)物理安全風(fēng)險(xiǎn)

第一，自然災(zāi)害對(duì)網(wǎng)絡(luò)系統(tǒng)的破壞，比如地震、火災(zāi)以及水災(zāi)等；第二，因電源出現(xiàn)故障導(dǎo)致設(shè)備斷電而引發(fā)的網(wǎng)絡(luò)信息數(shù)據(jù)丟失；第三，設(shè)備丟失或者是損壞而導(dǎo)致的數(shù)據(jù)泄露以及丟失；第四，造成數(shù)據(jù)信息被惡意竊取或者是閱覽的原因還有電磁輻射。

2、網(wǎng)絡(luò)邊界安全風(fēng)險(xiǎn)

網(wǎng)絡(luò)邊界，簡(jiǎn)單來說就是指連接兩個(gè)不同安全級(jí)別的網(wǎng)絡(luò)位置。從骨干網(wǎng)的角度出發(fā)，網(wǎng)絡(luò)邊界指的就是出口外部網(wǎng)絡(luò)與英特網(wǎng)的連接處，而在內(nèi)部網(wǎng)絡(luò)中，辦公系統(tǒng)以及業(yè)務(wù)系統(tǒng)二者之間也存在相應(yīng)的安全邊界。一旦沒有對(duì)網(wǎng)絡(luò)邊界采取必要的防護(hù)措施，就會(huì)使企業(yè)內(nèi)部網(wǎng)絡(luò)極其容易受到外部的惡意入侵，從而使企業(yè)網(wǎng)絡(luò)的信息安全得不到保障。

3、應(yīng)用服務(wù)系統(tǒng)安全風(fēng)險(xiǎn)

現(xiàn)如今，我國(guó)絕大多數(shù)的企業(yè)采用的是Unix操作系統(tǒng)以及Windows操作系統(tǒng)，而獲得這些系統(tǒng)的途徑主要來自外購(gòu)或者是自行研發(fā)。然而，這些系統(tǒng)總會(huì)不可避免的遺留一些安全漏洞，使整個(gè)網(wǎng)絡(luò)系統(tǒng)的安全防護(hù)形同虛設(shè)，從而給網(wǎng)絡(luò)信息造成威脅。

4、網(wǎng)絡(luò)內(nèi)部安全風(fēng)險(xiǎn)

在網(wǎng)絡(luò)安全攻擊事件中，僅僅來自網(wǎng)絡(luò)內(nèi)部的攻擊就多達(dá)七成以上。攻擊者會(huì)借助網(wǎng)上下載、盜版光盤、人為投放以及電子郵件等形式來向內(nèi)部網(wǎng)絡(luò)系統(tǒng)投放病毒或者惡意程序。網(wǎng)絡(luò)作為最快以及最有效的傳播病毒媒介，一旦將病毒成功的導(dǎo)入內(nèi)部網(wǎng)絡(luò)系統(tǒng)，不僅會(huì)對(duì)整個(gè)系統(tǒng)造成危害，同時(shí)還會(huì)因信息泄露而產(chǎn)生一系列嚴(yán)重后果，因此，加強(qiáng)對(duì)內(nèi)網(wǎng)客戶端的病毒防范措施以及補(bǔ)丁管理等工作，是整個(gè)網(wǎng)絡(luò)安全管理中不可忽視的一環(huán)。

5、網(wǎng)絡(luò)管理安全風(fēng)險(xiǎn)

在網(wǎng)絡(luò)安全中，安全策略以及管理始終處于重要地位，一旦安全策略的科學(xué)性以及可行性較差，相應(yīng)的安全管理制度也不夠完善，就很難保證企業(yè)網(wǎng)絡(luò)系統(tǒng)的正常運(yùn)行。與此同時(shí)，有些企業(yè)領(lǐng)導(dǎo)對(duì)網(wǎng)絡(luò)安全沒有加以重視，相應(yīng)的安全管理意識(shí)也較為薄弱，甚至于在一些企業(yè)領(lǐng)導(dǎo)心中，始終認(rèn)為網(wǎng)絡(luò)安全只要投入大量資金就可以實(shí)現(xiàn)，在盲目追求先進(jìn)技術(shù)的同時(shí)，忽視了網(wǎng)絡(luò)安全是一項(xiàng)長(zhǎng)期性的工作。

四、企業(yè)網(wǎng)絡(luò)安全防護(hù)體系的構(gòu)建

企業(yè)想要構(gòu)建一個(gè)完善的網(wǎng)絡(luò)安全防護(hù)體系，就要從以下幾個(gè)環(huán)節(jié)入手，即應(yīng)用分析、劃分適當(dāng)?shù)陌踩颉L(fēng)險(xiǎn)分析、分層保護(hù)以及構(gòu)建安全保護(hù)保障體系等。具體如下：

1、應(yīng)用分析

應(yīng)用分析主要包含兩方面的內(nèi)容，即用途分析以及網(wǎng)絡(luò)信息資產(chǎn)分析。不同的應(yīng)用，所屬的信息資產(chǎn)也各不相同，遇到的網(wǎng)絡(luò)安全問題也大不一樣。舉例來說，大街上隨處可見的網(wǎng)吧信息網(wǎng)絡(luò)與國(guó)家政府的辦公網(wǎng)絡(luò)，這二者遇到的網(wǎng)絡(luò)安全問題就天差地別。在實(shí)際運(yùn)行中，就算處在同一個(gè)信息網(wǎng)絡(luò)中，流動(dòng)信息也不一致，對(duì)安全性的需求同樣也是不同的。

2、風(fēng)險(xiǎn)分析

在完成應(yīng)用分析環(huán)節(jié)后，下一步就要針對(duì)某一用途、某一類型或者是某一級(jí)別的信息進(jìn)行風(fēng)險(xiǎn)分析。這一方式可以借助二維表格來體現(xiàn)。第一步要確定一個(gè)具體的信息類型或者是安全域，用X軸指代可能發(fā)生的風(fēng)險(xiǎn)，而其中每一個(gè)風(fēng)險(xiǎn)都包含三個(gè)要素，即風(fēng)險(xiǎn)發(fā)生的幾率、這類信息對(duì)風(fēng)險(xiǎn)的容忍度以及風(fēng)險(xiǎn)可能發(fā)生的頻率，將這三個(gè)要素認(rèn)真的記錄到二維表格中。其中，在記錄事件發(fā)生幾率的數(shù)據(jù)時(shí)，沒有得到具體數(shù)值，可以先用不易發(fā)生、易發(fā)生以及極易發(fā)生之類的等級(jí)標(biāo)準(zhǔn)來對(duì)它進(jìn)行記錄，容忍度也可以這樣記錄。在實(shí)際操作中，為了更全面的對(duì)風(fēng)險(xiǎn)進(jìn)行分析，可以將風(fēng)險(xiǎn)劃分得更加細(xì)致。

3、安全等級(jí)的確定

企業(yè)要嚴(yán)格按照國(guó)家出臺(tái)的相關(guān)準(zhǔn)則來對(duì)信息的分類以及安全等級(jí)進(jìn)行確定。一般會(huì)將標(biāo)準(zhǔn)劃分為五個(gè)等級(jí)，且它們都具有各自不同的要求。企業(yè)可以綜合考慮風(fēng)險(xiǎn)分析的結(jié)果，并將它與準(zhǔn)則中的等級(jí)標(biāo)準(zhǔn)進(jìn)行對(duì)比，從而對(duì)安全等級(jí)進(jìn)行確定。除此之外，針對(duì)不同等級(jí)的信息，所采取的安全防護(hù)措施強(qiáng)度也各不相同，需要加強(qiáng)防護(hù)的信息可以重點(diǎn)對(duì)它加以保護(hù)，而不需要防護(hù)的信息就可以節(jié)省這一環(huán)節(jié)。值得注意的是，在采取必要的防護(hù)措施時(shí)，要考慮到系統(tǒng)的應(yīng)用，不能注重防護(hù)而影響到應(yīng)用的正常運(yùn)行，然而在特殊時(shí)期，為了安全而犧牲應(yīng)用的便捷性也是可取的。

4、分層保護(hù)

分層保護(hù)，就是指將那些容易發(fā)生且不能容忍的風(fēng)險(xiǎn)分解到各個(gè)層面上，然后借助計(jì)算機(jī)技術(shù)、加密技術(shù)以及安全管理等措施，對(duì)這些分層加以保護(hù)，以此來防止風(fēng)險(xiǎn)對(duì)網(wǎng)絡(luò)系統(tǒng)造成危害。此外，有很多風(fēng)險(xiǎn)往往就存在于多個(gè)層面中，而對(duì)這些層面加以保護(hù)，就可以從根本上杜絕信息泄露現(xiàn)象，這也是實(shí)現(xiàn)網(wǎng)絡(luò)安全防護(hù)的重要手段。

5、構(gòu)建完善的保障體系

在實(shí)施了分層保護(hù)后，我們的工作還沒有完全結(jié)束。企業(yè)要意識(shí)到信息網(wǎng)絡(luò)是一個(gè)整體，對(duì)它的防護(hù)也要從整體的角度出發(fā)。第一，制定分層保護(hù)策略，并對(duì)整個(gè)信息網(wǎng)絡(luò)的安全性進(jìn)行評(píng)估，尤其是要檢驗(yàn)結(jié)合部安全是否存在漏洞；第二，在進(jìn)行分層保護(hù)時(shí)，將不同的信息資產(chǎn)或者是安全域來作為主體，而不是針對(duì)整個(gè)信息網(wǎng)絡(luò)，因此，要對(duì)相應(yīng)的分層保護(hù)方案進(jìn)行適當(dāng)?shù)恼{(diào)整，從而對(duì)整個(gè)信息網(wǎng)絡(luò)的保護(hù)方案進(jìn)行確定；第三，選擇合適的安全產(chǎn)品或者是安全技術(shù)。在實(shí)際的選擇過程中，企業(yè)不僅要保證產(chǎn)品的先進(jìn)性，同時(shí)還要對(duì)產(chǎn)品的成熟度進(jìn)行考慮；第四，針對(duì)網(wǎng)絡(luò)中的安全產(chǎn)品，要對(duì)它進(jìn)行統(tǒng)一的動(dòng)態(tài)管理以及聯(lián)動(dòng)，讓它能形成一個(gè)動(dòng)態(tài)的防范體系。此外，構(gòu)建完善的安全體系，還要對(duì)安全措施成本進(jìn)行核算，核算完畢后，對(duì)企業(yè)的成本效益進(jìn)行評(píng)估，來考慮是否有必要進(jìn)行保護(hù)以及保護(hù)力度如何等內(nèi)容。

五、結(jié)語(yǔ)

綜上所述，為了更進(jìn)一步的提高網(wǎng)絡(luò)信息系統(tǒng)以及信息系統(tǒng)的安全保密能力，企業(yè)應(yīng)該在構(gòu)建網(wǎng)絡(luò)安全防護(hù)體系的基礎(chǔ)上，對(duì)企業(yè)內(nèi)部可能存在的風(fēng)險(xiǎn)加以防范，并及時(shí)采取有效措施，從根本上提升企業(yè)網(wǎng)絡(luò)的安全性以及可靠性，最終達(dá)到企業(yè)可持續(xù)發(fā)展的目的。

[1]胡江.網(wǎng)絡(luò)安全防護(hù)體系的建設(shè)及案例剖析[J].計(jì)算機(jī)光盤軟件與應(yīng)用,2014,(13):165-165,167.

[2]王擁軍,李建清.淺談企業(yè)網(wǎng)絡(luò)安全防護(hù)體系的建設(shè)[J].信息安全與通信保密,2011,09(12):86-88,91.

[3]張蓓,馮梅,靖小偉等.基于安全域的企業(yè)網(wǎng)絡(luò)安全防護(hù)體系研究[J].計(jì)算機(jī)安全,2010,(4):36-38.