浅谈企业信息管理系统建设.doc

浅谈企业信息管理系统的建设 ??? 随着中国经济建设和国防建设的不断发展，企业也在快速发展，各种大型或高精尖产品涉及的系统更加复杂、涉及的信息更加广泛，信息化、网络化已成为各企业提高核心竞争力的重要手段，企业信息管理系统的建设和使用成为大势所趋。 ??? ??? 信息管理系统的建设原则 ??? 由于企业设计信息管理系统涵盖计算机、网络、存储、数据传输、电磁泄露发射防护、安全保密和管理等多方面技术，我们认为，企业在信息管理系统设计建设时应遵循以下原则： ??? 1、 适度安全的原则 ??? 随着信息化网络技术的飞速发展，各种危及网络安全和应用安全的攻击手段也在快速发展，从而导致现有的安全防护技术措施存在很大的时效性和局限性。没有绝对安全的信息系统，任何安全措施都是有限度的。各企业应本着实事求是、因地制宜和适度防护来进行信息管理系统设计。 ??? 2、最高密级防护原则 ??? 设计信息涉密管理系统的不同部分或者子域的涉密级别不同，但整个设计信息涉密管理系统的安全设计要考虑到安全的“水桶效应”，按照信息系统的级别进行安全防护设计。 ??? 3、 最小授权和分权管理原则 ??? 网络中账号设置、服务配置、主机间信任关系配置等为网络正常运行所需的最小限度，不同用户的权限相互独立、相互制约，避免出现权限过大的用户或账号。设计信息管理系统中涉密信息的访问权限要最小化，非工作必需知悉的人员，不得具有涉密信息的访问权限。 ??? 4、 物理隔离原则 ??? 根据国家要求，各企业设计信息管理系统应为独立、全封闭网络，与国际互联网和其它内部局域网完全物理隔离。 ??? 5、分域分级原则 ??? 根据国家划分不同的安全域，按照相应等级的保护要求进行防护的要求，结合各企业信息系统用户及其业务应用具体情况，设计信息管理系统可划分为不同安全域，各安全域间采取措施加以防护。 ??? 6、技管并重原则 ??? 设计信息管理系统的安全保密三分靠技术，七分靠管理。各企业设计信息管理系统应采取技术和管理相结合的、整体的安全措施加以防护。 ??? ??? 信息管理系统的设计 ??? 1、设计方案总体内容 ??? 企业建立设计信息管理系统首先要制定系统分级保护方案。企业设计信息管理系统分级保护方案必须上报企业所属上级保密部门同意，并由上级部门组织信息系统相关专家对企业设计信息管理系统分级保护方案进行评审，评审通过后方可实施。 ??? 根据国家要求，信息系统中必须加入病毒防护、身份鉴别、访问控制、系统安全性能检测、安全审计、边界防护措施等网络安全产品，并且尽量国产化。同时网络中网络核心设备的管理和硬件防护措施也必须加强，必须增加网络管理软件，采取有效措施降低网络和电子设备的电磁泄漏发射等。 ??? 2、系统风险及需求分析 ??? 企业首先要根据自身发展需要，依据《保密法》和国家秘密及其密级具体范围的规定，明确本单位设计信息管理系统内处理信息的最高密级，确定设计信息涉密管理系统的保护等级。 ??? 企业在进行设计信息管理系统方案设计时，首先要求对本单位业务职责、信息系统所处物理环境、自身软硬件资源、信息资源和应用系统进行详细分析，确定本单位信息系统网络覆盖范围，形成网络拓扑，明确涉密信息系统边界和安全域现状。 ??? 对本单位信息系统涉密信息系统技术脆弱性、管理脆弱性等现状进行系统分析后，找寻有可能进行攻击的威胁源，评估攻击者从系统内部或外部发动攻击的可能性，明确信息系统存在的安全风险。 ??? 3、系统建设后续工作 ??? 应以企业用户单位为主，工程监理单位和系统集成商辅助完成测评材料准备和信息系统管理制度完善工作，企业自身也要做好日常监管。 ? 来源：大船集团 王玉久