企业应用系统安全建设常见问题分析.pdfVIP

薹!：蓍：J三l：V：巴l—圈■● 企业应用系统安全建设常见问题分析 王韶英 (广东电网公司韶关供电局 ，广东 韶关 ) 摘 要：对 目前企业在应用安全建设方面遇到的问题分别进行分析，对遇到的问题提 出了一些解决的办法，以期为企业应用安 全建设提出有建设性的意见。 关键词：应用系统、应用安全、身份认证、访问控制、完整性、安全中间件 An Analysis forCommon Problems ofEnterprise Application System Security wANG Sho-ying (GuangdongpowetgrU／corporato／n5haoguanpowersupplybureau,5haoguan，Guangdong5i2ooo,China) Abstract：Thispaperanalyzedtheproblemsoccurredinsecurity constructionforenterprise，andthesolutionforthem WSgiven，they wereintended forconstructivecommentsinbuilding enterpriseapplicationsecurity ． Key words：Applicationsystems；applicationsecurity；authentication；accesscontrol；integrity；security middleware 0引言 本身，它的应用安全策略设置、访问控制模型选择 随着企业在信息化建设方面的不断深入 ，企业 以及数据处理方式等都必须基于应用程序内部实现 ， 对应用系统的依赖程度越来越高，越来越多的内部 外部的辅助措施在提高应用系统 内部的安全方面收 流程和数据都需要在应用系统中进行流转和处理， 效甚微 ；针对不 同应用场景的应用系统所需的安全 保障应用系统服务的安全也成为企业越来越关心的 要求也是不一样的，如果是运行在互联网上对公众 问题 。 提供服务的应用系统，安全要求远远高于企业内部 应用系统作为一种人机交互平台，在安全方面 独立运行的应用系统；正是 由于存在以上的种种 问 首先需要对用户的身份进行验证，其次要保证系统 题，导致应用系统的安全建设是一项复杂性的系统 中处理信息的机密性、完整性、可用性，并能够对 工程 ，企业在系统建设中往往不能达到预期的安全 系统 内发生的各类事件进行记录以备将来审计，并 目标。本文将结合企业应用建设过程 中遇到的常见 尽可能地规避应用系统可能遭受到的身份假 冒、信 问题并结合笔者的经验对问题的成因和解决办法进 息窃取、数据篡改、越权访 问等安全威胁；简单地 行分析。 说 ，应用系统在安全服务方面至少应提供鉴别服务、 机密性服务、完整性服务、访问控制服务、抗否认 1应用系统安全建设的常见问题 服务、审计跟踪服务和安全管理服务。 通过笔者对部分企业应用安全建设情况的调研 但是在实际生产活动 中，普遍存在重业务轻安 和与业 内同仁的讨论 ，企业在应用安全建设方面普 全的情况，企业在选购软件时首要关注的是满足业 遍存在以下几方面的问题 ： 务的需求而并非安全，导致业务与安全 的需求不 同 (1)应用系统数量多、安全功能参差不齐：在企 步；另外，由于应用系统的安全是依赖于应用程序 业长期的信息化建设中，企业已经建设了数量众多、