序論：寫作是一種深度的自我表達。它要求我們深入探索自己的思想和情感，挖掘那些隱藏在內心深處的真相，好投稿為您帶來了七篇建筑信息安全范文，愿它們成為您寫作過程中的靈感催化劑，助力您的創(chuàng)作。

篇(1)

信息系統(tǒng)是智能建筑與社區(qū)（以下簡稱智能社區(qū)）的重要基礎系統(tǒng)，確保信息系統(tǒng)自身及其所傳輸、處理、存儲信息的安全，是保證智能社區(qū)各個子系統(tǒng)正常運轉、確保人身和公共安全的重要方面。

標準中對信息安全的規(guī)定是針對智能社區(qū)中各種信息系統(tǒng)安全的特點，結合國家相關信息安全政策、標準而制定的。智能社區(qū)的建設和運營機構應對信息安全問題予以足夠的重視，要意識到這是一個需要嚴格遵守國家法律、法規(guī)的領域。

智能社區(qū)的建設與運行應符合國家有關安全法律、法規(guī)、標準的規(guī)定和要求。建筑及住宅社區(qū)的設備研發(fā)機構、運營服務商應采取一定的信息安全措施,保障信息系統(tǒng)（包括智能建筑的控制系統(tǒng)）的安全,確保運營服務系統(tǒng)不會對用戶造成信息安全損害。可逐步建立起建筑及居住區(qū)設備及應用系統(tǒng)的認證體制，以提高建筑及居住區(qū)設備的安全、有效管理。

建筑及住宅社區(qū)運營服務商應明確系統(tǒng)本身可能受到的安全威脅以及可能對用戶造成的安全威脅,采取措施應對和消除安全威脅。

智能社區(qū)建設和運行機構應該清楚信息安全領域是一個處于不斷發(fā)展和變化階段的專業(yè)領域，各種信息安全漏洞、缺陷、威脅和攻擊會不斷出現(xiàn)和發(fā)展，因此，不存在一種靜態(tài)的、一勞永逸的信息安全體系。包括本標準、本指南在內的相關內容都處于不斷發(fā)展只種，智能社區(qū)建設和運行機構應密切關注相關領域的進展情況，及時采用最新的、有效的技術和管理研究成果，以確保智能社區(qū)安全運行。

等級保護

信息安全等級保護是指對國家秘密信息、法人和其他組織及公民的專有信息和公開信息，以及對存儲、傳輸和處理這些信息的信息系統(tǒng)分等級實行安全保護，對信息系統(tǒng)中使用的信息安全產品實行按等級管理。對信息系統(tǒng)中發(fā)生的信息安全事件分等級進行響應、處置。

根據(jù)《國家信息化領導小組關于加強信息安全保障工作的意見》（中辦發(fā)[2003]27號）的精神，實施信息安全等級保護，有效地提高我國信息和信息系統(tǒng)安全建設的整體水平，確保信息化建設過程中同步建設信息安全設施，保障信息安全與信息化建設相協(xié)調,同時有效控制信息安全建設成本，優(yōu)化信息安全資源的配置，重點保障基礎和重要信息系統(tǒng)的安全。

智能社區(qū)建設和運營單位應按照等級保護的要求開展信息安全體系的建設和運行，根據(jù)智能社區(qū)及其信息系統(tǒng)的重要程度，信息系統(tǒng)遭到破壞后對國家安全、社會秩序、公共利益以及公民、法人和其他組織的合法權益的危害程度，以及信息的保密性、完整性和可用性要求及信息系統(tǒng)必須要達到的基本的安全保護水平等因素，按照國家有關標準和規(guī)范的程序和方法確定智能社區(qū)信息系統(tǒng)的安全等級。國家標準將信息和信息系統(tǒng)的安全保護等級分為五級：

1. 第一級為自主保護級，適用于一般的信息和信息系統(tǒng)，其受到破壞后，會對公民、法人和其他組織的權益有一定影響，但不危害國家安全、社會秩序、經濟建設和公共利益。

2. 第二級為指導保護級，適用于一定程度上涉及國家安全、社會秩序、經濟建設和公共利益的一般信息和信息系統(tǒng)，其受到破壞后，會對國家安全、社會秩序、經濟建設和公共利益造成一定損害。

3. 第三級為監(jiān)督保護級，適用于涉及國家安全、社會秩序、經濟建設和公共利益的信息和信息系統(tǒng)，其受到破壞后，會對國家安全、社會秩序、經濟建設和公共利益造成較大損害。

4. 第四級為強制保護級，適用于涉及國家安全、社會秩序、經濟建設和公共利益的重要信息和信息系統(tǒng)，其受到破壞后，會對國家安全、社會秩序、經濟建設和公共利益造成嚴重損害。

5. 第五級為專控保護級，適用于涉及國家安全、社會秩序、經濟建設和公共利益的重要信息和信息系統(tǒng)的核心子系統(tǒng)，其受到破壞后，會對國家安全、社會秩序、經濟建設和公共利益造成特別嚴重損害。

國家對不同安全保護級別的信息和信息系統(tǒng)實行不同的監(jiān)管政策。第一級依照國家管理規(guī)范和技術標準進行自主保護；第二級在信息安全監(jiān)管職能部門指導下依照國家管理規(guī)范和技術標準進行自主保護；第三級依照國家管理規(guī)范和技術標準進行自主保護，信息安全監(jiān)管職能部門對其進行監(jiān)督、檢查；第四級依照國家管理規(guī)范和技術標準進行自主保護，信息安全監(jiān)管職能部門對其進行強制監(jiān)督、檢查；第五級依照國家管理規(guī)范和技術標準進行自主保護，國家指定專門部門、專門機構進行專門監(jiān)督。智能社區(qū)建設與運營機構應按照上述國家的規(guī)定接受國家相關職能部門的監(jiān)管。

智能社區(qū)的信息

安全要求

標準對智能社區(qū)運營機構信息安全相關工作從以下幾個方面提出了要求，即：

信息系統(tǒng)基本安全活動;

風險分析與評估;

安全策略

安全體系

標準中對這些方面提出了基本的要求，運營商應根據(jù)最新的信息安全相關標準、信息安全技術和管理體系的研究成果，結合自身的實際情況，形成自身完整的智能社區(qū)信息安全運行保障體系。

1. 信息系統(tǒng)基本安全活動

信息系統(tǒng)基本安全活動是指智能社區(qū)運營機構在負責運營智能社區(qū)信息系統(tǒng)過程中應該開展的相關活動。信息系統(tǒng)基本安全活動是由運營機構負責組織、實施的活動，并確保這些活動的質量和所涉及范圍的完備性。

運營服務信息系統(tǒng)基本安全活動包括:

（1）根據(jù)運營服務的特點和服務對象的需求，基于風險分析的結果，確定運營服務信息系統(tǒng)的安全等級。

（2）安全策略的制定、、教育、評價、修正等活動。運營機構必須保證行政管理范圍的所有實體對安全策略正確理解、實施與保障，并有相應的考核等管理措施予以監(jiān)督和檢查;

（3）建立信息安全相關的機構，設置相應的崗位，確定相關的責任，并建立相配套的管理、考核和獎懲體系；

（4）保障信息安全相關工作的人力資源投入，建立相關的人員選拔、考核、培訓體系，并規(guī)劃和實施針對一般運營服務人員和普通用戶的安全教育、宣傳活動；

（5）確定運營服務系統(tǒng)中的關鍵信息資產，并進行資產分類管理;

（6）應根據(jù)運營服務信息系統(tǒng)的安全等級，建立相應的物理和環(huán)境安全保護體系；

（7）應根據(jù)運營服務信息系統(tǒng)的安全等級，建立相應的信息安全技術保障體系。

（8）建立和維護系統(tǒng)的運行安全體系，主要包括針對運營信息系統(tǒng)以及普通用戶的應急響應體系、安全基礎設施服務體系、定期的安全風險評估體系等；

（9）應根據(jù)運營服務信息系統(tǒng)的安全等級，對相應的信息系統(tǒng)承包商、信息軟硬件產品進行安全資質審查、實施過程的質量監(jiān)督和控制；

（10）應根據(jù)運營服務信息系統(tǒng)的安全等級，對系統(tǒng)運行過程中可能發(fā)生的升級、完善等活動做好安全規(guī)劃，對系統(tǒng)的拆除應提前做好規(guī)劃和處理。

2. 風險分析與評估

按照即將頒布的國家標準《信息安全風險評估標準》組織和開展信息安全評估工作。

標準在以下幾方面對風險評估提出了要求：

（1）運營商應對運營服務信息系統(tǒng)進行風險分析，并將風險分析的結果作為確定相應系統(tǒng)安全等級的主要依據(jù)。

（2）運營商應建立定期和不定期風險評估的機制。

（3）運營服務信息系統(tǒng)的安全風險分析與評估，宜由有相應資質的機構完成。

（4）風險分析與評估宜采用適用的方法，對每一個識別出的信息資產，按照資產的“保密性”、“完整性”和“可用性”三個最基本的安全要求，分析可能受到的威脅和后果，提出相應的安全需求建議。

開展風險評估工作的時候，要注意相關國家政策（如等級保護等）對風險評估的要求，組織好智能社區(qū)相關信息系統(tǒng)整個生命周期的風險評估工作。全生命周期的風險分析工作主要包括：

規(guī)劃階段的風險評估。規(guī)劃階段的風險評估應針對智能社區(qū)信息系統(tǒng)對社區(qū)運行的作用（包括技術、管理等方面），確定系統(tǒng)建設應達到的安全目標。分析的重點在安全威脅，應根據(jù)未來系統(tǒng)的應用對象、應用環(huán)境、業(yè)務狀況、操作要求等方面進行分析。規(guī)劃階段的評估結果應體現(xiàn)在信息系統(tǒng)整體規(guī)劃或項目建議書中。

設計階段的風險評估。設計階段的風險評估需要根據(jù)規(guī)劃階段所明確的系統(tǒng)運行環(huán)境、資產重要性，提出安全功能需求。設計階段的風險評估結果應對設計方案中所提供的安全功能符合性進行判斷，作為采購過程風險控制的依據(jù)。本階段評估中，應詳細評估設計方案中對系統(tǒng)面臨威脅的描述，將使用的具體設備、軟件等資產列表，以及這些資產的安全功能需求。

實施階段的風險評估。實施階段風險評估的目的是根據(jù)系統(tǒng)安全需求和運行環(huán)境對系統(tǒng)開發(fā)、實施過程進行風險識別，并對系統(tǒng)建成后的安全功能進行驗證。根據(jù)設計階段所分析的威脅和制定的安全措施，在實施及驗收時進行質量控制。實施階段風險評估主要對系統(tǒng)的開發(fā)與技術/產品獲取、系統(tǒng)交付實施兩個過程進行評估。

運行維護階段的風險評估。運行維護階段風險評估的目的是了解和控制運行過程中的安全風險，是一種較為全面的風險評估。評估內容包括對真實運行的信息系統(tǒng)、資產、威脅、脆弱性等各方面。

廢棄階段的風險評估。當信息系統(tǒng)不能滿足現(xiàn)有要求時，信息系統(tǒng)進入廢棄階段。根據(jù)廢棄的程度，又分為部分廢棄和全部廢棄兩種。

3. 應制定明確的安全策略

智能社區(qū)建設和運營機構應針對相關信息系統(tǒng)，制定相應的信息安全策略。信息安全策略規(guī)定的是智能社區(qū)中各種人員對社區(qū)信息系統(tǒng)資產（包括：軟件、硬件、數(shù)據(jù)）的訪問權限以及所應承擔的責任。典型策略規(guī)定的內容包括：訪問范圍、訪問時間、訪問方式、訪問地點、訪問手段等。

標準中規(guī)定的安全策略包括:

（1）物理安全策略：確定在物理訪問、保護方面的安全規(guī)定；

典型的物理安全策略包括：機房、機柜、電纜等的訪問、使用、檢查規(guī)定；

（2）訪問控制策略：規(guī)定內部網與外部網之間，以及內部網段之間的訪問規(guī)定和策略要求；

典型的訪問控制策略包括：網絡訪問策略、應用訪問策略等；

（3）安全檢測策略：規(guī)定對系統(tǒng)安全實施定期檢查的周期、方法等；

（4）審計與監(jiān)控策略；

（5）網絡防病毒策略；

（6）備份與災難恢復策略。

4. 安全體系方面

（1）信息安全措施

信息系統(tǒng)應從以下幾個方面采取安全措施：

建立明確的信息安全體系,包括明確的安全策略、安全的網絡系統(tǒng)配置等安全服務和安全機制運行說明，指明在哪些部位必須配置哪些安全服務和安全機制，以及規(guī)定如何進行安全管理；

采取措施保護局域網；

采取措施保護基礎通信設施；

采取措施保護邊界；

配置或依托公共信息安全基礎設施；

具體安全措施的采取應根據(jù)系統(tǒng)的實際情況確定。

（2）保護局域網計算環(huán)境

局域網可采取的安全措施有：

建立用戶終端、數(shù)據(jù)庫、服務器和應用系統(tǒng)保護機制，以防止拒絕服務攻擊、未授權數(shù)據(jù)泄漏和數(shù)據(jù)修改；

保護操作系統(tǒng)，確保操作系統(tǒng)的自身安全；

保護數(shù)據(jù)庫：對數(shù)據(jù)庫應該實施細粒度訪問控制、關鍵數(shù)據(jù)加密、重要服務器用單獨網段、強身份鑒別、備份恢復應急措施、安全審計等安全保護措施；

身份鑒別和數(shù)字簽名：對于系統(tǒng)中重要的服務器、應用系統(tǒng)的訪問，應采用統(tǒng)一的身份鑒別，并對用戶訪問行為采用抗抵賴措施；

建立入侵檢測體系，防止內部局域網受到非法入侵；

建立病毒防范體系，防止局域網計算環(huán)境受到病毒破壞；

具有足夠的防止內外人員進行違規(guī)操作和攻擊的能力。

（3）保護網絡和通信基礎設施

可采取的保護網絡和基礎設施的措施有：

保證基礎設施所支持的關鍵應用任務和數(shù)據(jù)資源任務，防止受到拒絕服務的攻擊；

防止受到保護的信息在發(fā)送過程中的延遲、誤傳或未發(fā)送；

防止非法數(shù)據(jù)流分析；

保護各種應用系統(tǒng)中的用戶數(shù)據(jù)流；

保護網絡基礎設施控制信息。

（4）保護邊界

可采取的邊界保護措施有：

建立網絡級物理隔離體系，實現(xiàn)物理隔離(這是一些高敏感度網絡必須達到的)；

建立系統(tǒng)的防火墻體系，實現(xiàn)進出網絡邊界的細粒度訪問控制；

建立系統(tǒng)遠程訪問安全系統(tǒng)，以保護系統(tǒng)邊界遠程訪問的安全；

建立基于網絡的入侵檢測系統(tǒng)以防止入侵者的攻擊；

建立基于網絡的防病毒系統(tǒng)，以防止病毒入侵；

建立漏洞掃描系統(tǒng)以改進系統(tǒng)的配置和功能設置。

（5）支撐性安全基礎設施

可采用的支撐性安全基礎設施有：

公共密鑰基礎設施(PKI)；

密鑰管理系統(tǒng)；

安全管理系統(tǒng)；

應急響應體系。

關于嵌入式與控制信息系統(tǒng)的安全

智能建筑中存在大量的智能設備，并通過現(xiàn)代網絡技術，構成為一個完整的智能社區(qū)（建筑）控制系統(tǒng)。該系統(tǒng)的安全運行是確保智能社區(qū)正常運轉的基石，保障智能建筑控制系統(tǒng)安全是智能社區(qū)信息安全的關鍵內容。標準中在控制協(xié)議中從協(xié)議層次對有關技術問題進行了規(guī)定和描述，涉及控制系統(tǒng)設計、建設、運行的信息安全問題則應按照標準“運營”和“評測”部分的規(guī)定執(zhí)行。

鑒于智能控制系統(tǒng)對于智能社區(qū)的特別重要性，本節(jié)對其信息安全體系的實施提出具體指南。

1. 嵌入式與控制系統(tǒng)面臨的安全威脅

智能社區(qū)嵌入式與控制系統(tǒng)面臨的典型安全威脅有：

控制網絡中的信息流被阻塞或延遲，包括干擾通過網絡實現(xiàn)的各種控制操作。這些阻塞、延遲、干擾有可能是由于產品和系統(tǒng)設計、實現(xiàn)、部署存在缺陷和故障引起了，也有可能是惡意行為造成的。

向系統(tǒng)操作員發(fā)送不準確的信息，以實現(xiàn)非法的修改或者引發(fā)操作員不正確的操作。智能社區(qū)中會存在有很多分布式的、人機結合的控制系統(tǒng)，有大量的狀態(tài)和控置信息通過網絡系統(tǒng)傳輸和處理，引發(fā)或指令各種設備（或操作員）的各種管理和控制行為，因此通過惡意發(fā)送不正確信息，有可能對智能社區(qū)運轉造成嚴重后果，甚至引發(fā)嚴重的犯罪行為。

直接干擾可能造成人身傷害的安全保護系統(tǒng)。網絡在實現(xiàn)遠程狀態(tài)監(jiān)控和監(jiān)控的同時，也為通過網絡遠程干擾系統(tǒng)提供了可能，尤其是對安全保護系統(tǒng)的干擾將引發(fā)嚴重的后果。

非法修改各種可能損壞、關閉設備的指令或報警參數(shù)設置。破壞設備是干擾智能社區(qū)運行的一種手段，網絡為這種行為提供了一種新手段，通過可能造成設備損害的指令、關閉設備指令都可能造成設備失效。采取修改設備報警參數(shù)等方法，造成設備大量告警，造成設備（或系統(tǒng)）無法應對突然出現(xiàn)的大量告警而崩潰或失效，也可以達到破壞的目的。

修改智能社區(qū)控制系統(tǒng)軟件、配置信息，或者傳播惡意軟件，以及其它可能造成負面效果的問題 。智能控制系統(tǒng)中存在大量的遠程設置、軟件升級、補丁分發(fā)等操作，通過干擾這些操作行為，除了可以對設備直接造成破壞外，還可以散發(fā)各種惡意軟件和木馬等程序和軟件，為智能社區(qū)運轉埋下嚴重的隱患。

2. 嵌入式與控制系統(tǒng)安全目標

針對前面提到的威脅，智能社區(qū)嵌入式與控制系統(tǒng)信息安全的目標如下：

限制對智能社區(qū)控制系統(tǒng)網絡的邏輯訪問行為。這包括：通過設置DMZ區(qū)，防止社區(qū)其他網絡對智能社區(qū)控制系統(tǒng)網絡的直接訪問；智能社區(qū)控制系統(tǒng)和社區(qū)運營機構內部管理系統(tǒng)使用不同的鑒別和加密機制。智能社區(qū)控制系統(tǒng)應該使用多層（級）的網絡拓撲結構，以確保關鍵通信是通過最安全和可靠的層。

限制對智能社區(qū)控制系統(tǒng)網絡和設備的物理接近。對智能社區(qū)控制系統(tǒng)部件的非授權物理接近，有可能會對智能社區(qū)控制系統(tǒng)功能造成嚴重的破壞。應使用多種物理訪問控制措施，如：鎖、讀卡器和保安。

要防止智能社區(qū)控制系統(tǒng)部件被非法利用。這包括：對安全補丁，應該盡可能快地完成現(xiàn)場測試，并部署；關閉所有的不使用服務和端口；限制 智能社區(qū)控制系統(tǒng)用戶的權限，確保只擁有完成工作的最小權限；跟蹤并監(jiān)視系統(tǒng)設計數(shù)據(jù)；使用防病毒軟件、文件完整性檢查軟件等安全工具，來監(jiān)測、確定、防止、消除惡意代碼。

確保極端情況下的系統(tǒng)功能。要確保每一個關鍵部件都有冗余和備份部件。除此之外，還要確保一個部件失效時，應該是以一種安全的方式失效，即不會在智能社區(qū)控制系統(tǒng)系統(tǒng)中產生不必要的通信流量，也不會帶來其它問題，比方說連串的事件。

3. 嵌入式與控制系統(tǒng)安全防護體系

智能社區(qū)嵌入式與控制系統(tǒng)安全防護體系要根據(jù)本標準的規(guī)定建立相應的防護體系，在體系的建設與運行過程中，要特別注意以下幾個方面：

高度重視智能社區(qū)專用的安全策略、流程和培訓宣貫材料的制定。

按照“等級保護”的 思想，制定嵌入式與控制系統(tǒng)安全策略和流程，并根據(jù)威脅級別的增加部署相應的安全措施。

關注智能社區(qū)相關信息系統(tǒng)整個生命周期的安全，包括：架構設計、采購、安全、運行維護和拆除。

將嵌入式與控制系統(tǒng)網絡部署成多層（級）的網絡拓撲結構，以確保關鍵通信是通過最安全和可靠的網絡。

在控制網絡與其他網絡，尤其是與其他用途完全不同的網絡系統(tǒng)（如：內部管理信息系統(tǒng)、互聯(lián)網等）,之間部署邏輯隔離設備（比如：基于狀態(tài)監(jiān)測的防火墻）。

采用隔離區(qū)架構，防止其他網絡和控制系統(tǒng)網絡之間的直接通信。

確保關鍵部件有足夠的冗余并聯(lián)接在有冗余的網絡之上

將關鍵系統(tǒng)設計成“容錯”系統(tǒng)，以防止“級聯(lián)”事故的發(fā)生。更進一步，系統(tǒng)應設計成“安全地“失效。

在控制系統(tǒng)測試完成后，應關閉不用的端口和服務，確保不影響系統(tǒng)的正常運行

限制對控制系統(tǒng)網絡和設備的物理訪問。

限制控制系統(tǒng)用戶的權限，確保只授予他們完成工作所需的最少權限（例如：部署基于角色的訪問控制系統(tǒng)，并賦予每一個角色完成其工作所需的最少權限）。

智能社區(qū)運營機構在控制系統(tǒng)和其他系統(tǒng)應分別使用完全隔離的鑒別機制（例如： 控制系統(tǒng)不要和機構內部管理信息系統(tǒng)使用一套用戶管理系統(tǒng)）。

使用強度更高的身份鑒別技術（如：智能卡）。

部署安全措施（典型的措施包括防病毒軟件、文件完整性檢測軟件等），以檢測、防止惡意代碼的傳播。

在存儲和通信過程中使用加密技術。

各種補丁、修訂在正式安裝之前，應盡可能在現(xiàn)場環(huán)境下完成所有測試。

對智能社區(qū)內所有關鍵區(qū)域內控制系統(tǒng)的運行進行跟蹤、監(jiān)控和審計。

信息安全檢測與驗收

1. 檢測

（1）信息安全活動檢查

檢查內容包括：活動的計劃、活動過程的記錄和成果。具體的檢查項按照GB/T 20299.1-2006 《建筑及居住區(qū)數(shù)字化技術應用》第1部分 系統(tǒng)通用要求 的7.2.1中規(guī)定的內容進行。

（2）風險分析與評估核查

核查內容主要包括系統(tǒng)安全風險分析與評估記錄和報告，系統(tǒng)例行風險分析計劃、記錄和報告；還應對風險分析具體完成人員（或機構）的資格（或資質）、能力等按照有關規(guī)定進行核查。具體的核查項按照GB/T 20299.1-2006 《建筑及居住區(qū)數(shù)字化技術應用》第1部分 系統(tǒng)通用要求 的7.2.2中規(guī)定的內容進行。

（3）安全策略檢查

系統(tǒng)安全策略主要包括物理安全策略、訪問控制策略、安全檢測策略、審計與監(jiān)控策略、防病毒策略、備份與災難恢復策略。安全策略應在系統(tǒng)的建設、運行、檢測和驗收等相關文檔中有明確的規(guī)定。實施檢測時，應對策略的合理性、完備性、法規(guī)符合性進行檢查。具體檢查項根據(jù)GB/T 20299.1-2006 《建筑及居住區(qū)數(shù)字化技術應用》第1部分 系統(tǒng)通用要求 的7.2.3的規(guī)定。

（4）安全技術保障體系的檢查和測試

a. 信息安全技術保障體系完整性檢查

應根據(jù)系統(tǒng)的安全策略和實際情況，對系統(tǒng)局域網、基礎通信設施、系統(tǒng)邊界、安全基礎設施等幾方面采取的措施進行檢查。

b. 安全技術保障措施檢查

檢查的重點有：

安全措施本身是否符合國家和地方的有關規(guī)定；

采取的安全措施是否符合安全策略要求；

安全措施的選擇和部署是否合理；

安全措施是否發(fā)揮應有的作用；

系統(tǒng)的安全措施是否完備、合理等。

c. 系統(tǒng)安全測試

應根據(jù)GB/T 20299.1-2006 《建筑及居住區(qū)數(shù)字化技術應用》第1部分 系統(tǒng)通用要求 的7.2.4規(guī)定的內容，按照系統(tǒng)所確定的等級或系統(tǒng)本身的安全要求，制定相應的測試方案，準備相應的測試表格和測試工具，并根據(jù)相應的測試流程，對系統(tǒng)相關的安全技術文檔進行核查，對系統(tǒng)的運行進行現(xiàn)場測試。系統(tǒng)安全測試工作宜委托國家認可的安全檢測機構進行。

2. 測評機構

測評須由獲得國家認可的相關測評機構承擔，測評完成后由測評機構按規(guī)定格式出具測評報告。

3. 驗收

（1）驗收條件

系統(tǒng)試運行階段結束，并提出試運行報告；

本章“檢測”部分中規(guī)定的檢測工作已經完成，并形成相應的檢測結論；

所有信息安全相關文檔。

（2）驗收文檔

a. 系統(tǒng)試運行記錄和報告

b. 檢測報告

由國家授權測評機構進行測評的測試報告；

第三方測試小組提供的測試報告；

承建單位進行測試的測試報告。

c. 系統(tǒng)信息安全風險分析報告

d. 系統(tǒng)設計文檔

系統(tǒng)的應用需求及總體設計方案；

網絡規(guī)模和拓樸結構；

信息流描述；

安全威脅描述及其風險分析；

系統(tǒng)主要安全功能及其實現(xiàn)方法；

系統(tǒng)主要環(huán)境安全功能的實現(xiàn)方法；

網絡管理方式及實現(xiàn)方法；

安全設備管理方式及實現(xiàn)方法；

主要軟硬件設備及性能清單；

主要安全產品安全選型依據(jù)。

e. 管理文檔

（a）管理機制

工程適用的法律法規(guī)；

安全策略文檔資料；

安全策略審查和評估的相關規(guī)定；

信息資產管理規(guī)定；

安全事件處理規(guī)程；

物理安全規(guī)定；

資產移交的管理規(guī)定；

安全事故管理規(guī)程；

用戶口令管理規(guī)定；

備份策略規(guī)程；

計算機介質操作規(guī)程；

系統(tǒng)工具使用規(guī)程；

系統(tǒng)審計規(guī)程。

（b）人員、機構與職責文檔

安全決策機構組成圖及職責分工表；

安全管理人員的職責分工表；

安全顧問的資質評審記錄和聘任書；

安全管理人員履歷及專業(yè)資格證書；

人員保密協(xié)議范本；

人員崗位職責規(guī)定。

（c）安全運行資料

安全策略有效性審查和評估的記錄；

安全管理會議的會議紀要；

安全專家的建議記錄；

系統(tǒng)和設備維護記錄；

訪問控制策略文檔；

定期的審計分析報告；

異常情況審計日志和安全事件記錄。

（d）工程實施文檔

施工管理文件；

變更文件；

系統(tǒng)調試分析報告；

系統(tǒng)培訓文件；

系統(tǒng)移交清單及文件；

工程監(jiān)理報告。

（e）其它文檔

項目相關的合約；

產品的法定安全測評機構的評估證書；

外包服務的合同；

外包軟件開發(fā)方的資料；

外包工作人員合約；

質量手冊；

以上未涉及的且與系統(tǒng)安全相關的文檔資料。

以上要求提交的文檔，可根據(jù)系統(tǒng)的具體情況進行選擇。

（f）驗收結論

由驗收組依據(jù)上述檢測、檢查報告和各項記錄文檔，通過專家評審，做出驗收結論。

安全保密

如果智能社區(qū)為涉及國家秘密的黨政機關、企事業(yè)單位建筑數(shù)字化工程，則應嚴格按照保密機關的安全保密要求，開展相關建筑數(shù)字化工程。

1. 通用要求

GB/T 20299.1-2006 《建筑及居住區(qū)數(shù)字化技術應用》第1部分 系統(tǒng)通用要求中強調，凡涉及國家秘密的黨政機關、企事業(yè)單位的建筑中計算機信息系統(tǒng)的建設、網和非網建設、專用電話（紅機）、通信線、電源線、地線的布線以及信息系統(tǒng)安全保密測評均須按國家相關法律、法規(guī)及有關規(guī)定執(zhí)行，一些具體要求如下：

涉及國家秘密的黨政機關、企事業(yè)單位的建筑中計算機信息系統(tǒng)的建設應滿足國家相關管理部門的規(guī)定；

涉及國家秘密的黨政機關、企事業(yè)單位建筑數(shù)字化系統(tǒng)工程應與保密設施同步建設；

涉及國家秘密的計算機信息系統(tǒng)中使用的安全保密設備，應通過國家保密局信息系統(tǒng)安全保密測評中心的檢測；

從事系統(tǒng)集成業(yè)務的單位，應經過保密工作部門認定，取得《涉及國家秘密的計算機信息系統(tǒng)集成資質證書》（簡稱《資質證書》）；需要建設系統(tǒng)的單位，應選擇具有《資質證書》的集成單位來承建。獲得《資質證書》的集成單位，可以從保密部門取得相關保密標準和指南遵照執(zhí)行；

涉及國家秘密的黨政機關、企事業(yè)單位的建筑及居住區(qū)數(shù)字化系統(tǒng)工程應經過國家保密部門的審批才能投入運行；

涉及國家秘密的黨政機關、企事業(yè)單位的建筑應與外國人經常居住使用的建筑物（如外國機構、涉外飯店、外國人居住公寓）保有一定的距離，具體規(guī)定請參照國家相關管理部門的有關規(guī)定；

2. 安全保密檢測

篇(2)

>> 科研項目經費管理過程中存在的問題及對策探討 淺談科研項目實施過程中的合同管理 論高校科研處在科研項目管理中的作用 論建筑項目管理過程中工期控制 高校科研項目經費的管理 論高校科研處與科研項目管理 項目管理過程中的管理藝術 論科研項目全過程管理思考 高校校級教學改革項目管理過程中若干問題的思考 論技術創(chuàng)新在項目施工管理過程中的應用 淺談檔案信息化管理過程中的安全保護問題 網絡安全在醫(yī)院信息化管理過程中的實施 項目管理過程中的組織結構規(guī)則 項目管理過程中的經驗點滴 項目管理過程中的時間控制 論高校學生管理過程中的人本理念 論建筑施工管理過程中的創(chuàng)新 加強我國高校科研項目經費全過程管理的探討 論項目管理在科研項目中的應用 科研項目全過程管理 常見問題解答 當前所在位置：？div=-1.

[2]陳可.英國e？鄄Science計劃的管理和現(xiàn)狀[J]. 全球科技經濟晾望，2004（9）：6-8.

[3]李嵐，杜澄. 科研機構信息安全評價指標體系研究[J]. 科技進步與對策，2012，29（17）

[4]盧新德. 構建信息安全保障新體系[M]. 北京：中國經濟出版社，2007： 15-21.

[5]上海社會科學院信息研究所. 信息安全辭典[M]. 上海：上海辭書出版社，2013.

[6]楊慧娟.科研機構信息系統(tǒng)的信息安全管理評價方法研究[D]. 北京：北京交通大學，2009.

[7]尚小溥，張潤彤. 信息安全：意史、挑戰(zhàn)與策略[J]. 南京政治學院學報，2010（1）：42-45.

[8]毛鐘紅. 高校科研項目管理信息化建設探析[J]. 科技管理研究，2007（12）.

篇(3)

【 關鍵詞 】 計算機；信息技術；安全；防護；病毒；泄露

Information about Computer Security Technology and Protection Discussion

Huang Ying-li

（Qingyuan Fresh News Information Center GuangdongQingyuan 511800）

【 Abstract 】 The computer information technology to work in modern society， life has brought great convenience， and promote China's entry into the information society， the accelerating pace. But computer information security problem that has plagued computer users. For the current computer security issues， this paper mainly from the security status quo， puts forward the measures and recommendations related to security of computer information technology.

【 Keywords 】 computer； Information technology； safety； protection； virus； leak

1 引言

近年來，不斷出現(xiàn)的網絡詐騙案件不斷提醒著現(xiàn)代網絡人群，在計算機網絡應用中要時刻注意計算機信息安全，避免造成不可挽回的損失。目前已經有很多專門的網絡黑客或詐騙分子，在不斷入侵著人們的計算機，對安全造成了巨大的隱患。本文通過對計算機信息安全的重要意義入手，提出計算機信息安全的相關防護措施，以供同行參考。

隨著我國經濟的發(fā)展，在企業(yè)間進行的經濟交易活動往往包含著大量的商業(yè)機密，尤其是一些技術類的經濟活動，一旦信息泄露，極有可能會造成不可挽回的損失。計算機信息安全主要是針對計算機硬件、附屬設備以及線路的配置等，另外還包括信息的數(shù)據(jù)安全，避免受到非法存取等，需要采取一定的安全技術建立安全管理制度才能合理避免信息安全風險。

目前由于幾乎所有的計算機都會與外部的互聯(lián)網連接，在信息安全防范方面，除了利用殺毒軟件外，幾乎沒有其他有效的防范措施。計算機系統(tǒng)的安全系數(shù)低造成了受到黑客攻擊的可能性大大增加。

2 計算機信息安全意義

通過人為編制或在計算機中插入破壞數(shù)據(jù)，從而能夠對正常的計算機產生一定的影響，自動進行病毒復制與傳播，如生物病毒一樣，計算機病毒在計算機內部具有傳染性、寄性性與觸發(fā)性的特點，它是計算機信息安全的第一號殺手，需要計算機使用者提高安全防范意識。

3 主要計算機信息安全技術

3.1 數(shù)據(jù)加密

為了避免計算機信息被非法存取獲得，需要對計算機內的信息進行重新編碼，隱藏信息內容，它主要是指提高了信息系統(tǒng)與數(shù)據(jù)的安全性，避免秘密數(shù)據(jù)被黑客或其他攻擊方破解，造成數(shù)據(jù)泄露。

目前對數(shù)據(jù)加密根據(jù)功能不同可以分為數(shù)據(jù)存儲、數(shù)據(jù)傳輸與數(shù)據(jù)完整性的鑒別。數(shù)據(jù)存儲加密主要分為密字存儲與存取兩種。數(shù)據(jù)完整性鑒別主要是對處理人的身份與相應的數(shù)據(jù)進行驗證，從而達到保密的要求，系統(tǒng)通過對比驗證對輸入的特征值是否符合預設參數(shù)，從而對數(shù)據(jù)進行安全保護。

目前多采用的數(shù)字簽名技術與身份識別技術就是一種典型的信息安全技術。數(shù)字簽名主要是通過簽署通過電子形式存儲信息的一種方式，簽名消息可以在通信網絡中傳播，尤其是對于共鑰密碼體制產生的研究與應用提供思路。隨著現(xiàn)代科學技術的不斷進步，指紋、掌紋與聲紋等都可以進行身份識別，但目前由于成本較高，應用性仍然不高。

3.2 加強病毒防范

當前，幾乎所有的計算機都存在于互聯(lián)網環(huán)境下，互聯(lián)網環(huán)境中的病毒傳播速度較快，如果單憑計算機本身的防病毒產品，將很難達到徹底清除病毒的目的，所以需要采用一些全方位病毒的防護產品。

如果對于大型企業(yè)、政府以及學校等內部局域網的場合，需要一個基于服務器操作系統(tǒng)平臺的殺毒軟件。如果內部網與外部連接，則需要網關的防病毒軟件，若通過互聯(lián)網實現(xiàn)郵件相互傳輸，則需要基于郵件服務器的郵件防病毒軟件，來對郵件中的病毒進行識別與清除。

針對目前個人電腦或企業(yè)工作電腦，多會裝入360殺毒軟件、卡巴斯基、NOD等殺毒軟件，從而對計算機內部信息確保安全。針對病毒入侵，目前多通過防火墻技術進行保障。防火墻技術主要決定了哪些內容可以由外界來進行訪問，防火墻只允許授權數(shù)據(jù)通過，它本身可以免于滲透。

4 計算機信息安全防護措施

針對計算機信息安全防護，除了采取一定的技術措施外，還需要從管理上來對計算機信息進行保護，通過相關的管理措施與法律結合，使計算機信息安全更加可靠。計算機信息安全管理包括用戶的安全教育、安全管理機構與計算機管理功能加強等。在國家相關的政策法規(guī)層面上，通過計算機安全法與計算機犯罪法、數(shù)據(jù)保護法等方面，明確計算機用戶與系統(tǒng)管理者的權利與義務，自覺與一切違法犯罪行為作斗爭。

在物理安全方面，也需要及時做到防護。在對計算機系統(tǒng)的環(huán)境進行要求時，對溫度、濕度與空氣潔凈度都需要進行確認，通過一定的標準來對環(huán)境進行約束；機房場地的環(huán)境也會對系統(tǒng)的安全與可靠性造成影響。計算機房場地要確保地質可靠、場地抗電磁干擾，避免在建筑高層設置機房，對機房的出入口進行安全管理。

機房的安全防護是針對環(huán)境的物理災害與避免未經允許的個人、團體對網絡設施進行破壞、盜竊，防止重要的數(shù)據(jù)受到破壞。通過物理訪問控制來識別訪問用戶的身份，對合法性進行驗證，所有的建筑物具有一定的抵御自然災害的能力。

5 結束語

隨著現(xiàn)代計算機信息技術的不斷發(fā)展，計算機信息安全受到了更多的重視。計算機信息安全對于企業(yè)與個人來講都有著重要的價值與隱私意義，不可侵犯。隨著互聯(lián)網的不斷深入發(fā)展，計算機用戶需要通過多種技術的應用與防護手段來對計算機進行有效防護，對于不明來源的軟件不安裝，對于不正規(guī)的頁面不訪問，對于未授權的用戶不進行遠程，通過物理環(huán)境與軟件環(huán)境進行雙重防護，避免計算機受到病毒的入侵與感染。一旦發(fā)生病毒感染，需要在第一時間進行殺毒處理，避免造成更大的損失。

參考文獻

[1] 黃健.計算機信息安全技術及防護[J].信息安全與技術，2012，04：38-40.

[2] 張瑜彬.計算機信息安全技術及防護分析[J].民營科技，2012，10：96+78.

[3] 蔣.計算機信息系統(tǒng)安全體系模型建立與實現(xiàn)[D].中國人民國防科學技術大學，2003.

[4] 劉恒富，孔令.計算機信息系統(tǒng)安全現(xiàn)狀及分析[J].科技與經濟，2001，03：29-33.

[5] 薛彥云.新形勢下信息安全保密管理工作研究[D].內蒙古大學，2013.

[6] 張健.電子文件信息安全技術體系研究[J].上海檔案，2012，08：15-18.

篇(4)

[關鍵詞]中國電子；CEC；信息安全

1引言

中國電子信息產業(yè)集團有限公司是“共和國的長子”，也是電子信息產業(yè)的“國家隊”。三年前，為改變制約集團公司科學發(fā)展的重大結構性問題，進一步提升中國電子對國家經濟的貢獻力，中國電子集團黨組審時度勢，科學謀劃，果斷做出實施“新型顯示、信息安全、信息服務”三大系統(tǒng)工程的戰(zhàn)略決策部署。中國電子集團聚集團之力，積極開展戰(zhàn)略合作，周密組織、大力協(xié)同、聯(lián)合攻關，履行央企的政治責任、經濟責任與社會責任，體現(xiàn)了中國電子集團領導班子超前戰(zhàn)略謀劃的眼界、組織高度復雜系統(tǒng)工程的能力和中國電子人強國惠民的自覺擔當。三年布局，如今已開花結果，三大系統(tǒng)工程建設成果喜人，各項經營指標連創(chuàng)歷史新高，企業(yè)核心競爭力得到明顯增強。近年來，信息技術的無孔不入帶來了人類生產生活和思維方式的改變，同時也引發(fā)了人們對信息安全問題的擔憂。“斯諾登事件”后，信息安全問題更是成為影響全球的重大課題。指出，網絡安全和信息化是事關國家安全和國家發(fā)展、事關廣大人民群眾工作生活的重大戰(zhàn)略問題，沒有網絡安全就沒有國家安全，沒有信息化就沒有現(xiàn)代化。中國電子集團董事長、黨組書記芮曉武指出：中國電子集團作為電子信息產業(yè)國家隊，在保障國家信息安全方面責無旁貸，我們要準確把握總書記作出的戰(zhàn)略判斷，深刻認識信息安全工作的極端重要性，因勢而謀，應勢而動，順勢而為，將“信息安全系統(tǒng)工程”推向深入，同時聯(lián)合產業(yè)力量，共同鑄造我國網絡安全新長城，托起中國信息安全強國夢。

2審時度勢戰(zhàn)略先行，筑起國家安全屏障

進入互聯(lián)網時代，國家已經從傳統(tǒng)的領土、領海、領空、太空四大疆域延伸到網絡空間。維護國家網絡，關鍵在于保障國家網絡安全。黨的十報告首次明確了網絡安全的戰(zhàn)略地位，提出要高度關注網絡空間安全。事實上，我國正面臨著嚴峻的信息安全形勢。中國電子集團掌門人芮曉武董事長意識到肩上的責任重大。中央企業(yè)作為“共和國的長子”、黨執(zhí)政的重要基礎、中國特色社會主義的重要支柱和全面建成小康社會的重要力量，必須在維護國家利益方面勇于擔重任、挑大梁。中國電子集團有自主可控的安全芯片、安全整機、基礎軟件和應用系統(tǒng)，關鍵時刻要替國分憂，扛起信息安全產業(yè)國家隊的重任。基于雄厚的產業(yè)基礎，和對國家網絡安全需求的深刻理解，2011年,中國電子集團便著力布局信息安全領域，提出實施“信息安全系統(tǒng)工程”的戰(zhàn)略舉措，即中國電子集團二號工程。圍繞信息安全產業(yè)進行戰(zhàn)略轉型，通過內部整合及充分組織社會資源，以“4106”布局為藍圖，發(fā)展“安全芯片、整機、基礎軟件、安全應用產品”4類信息安全基礎產品，實施10項信息安全系統(tǒng)工程，建立健全“信息安全運維、集成、咨詢、災備、培訓、測評”6項信息安全服務能力,逐步構建可發(fā)現(xiàn)、可防范、可替代的國家信息安全產業(yè)體系，形成和諧共生的產業(yè)生態(tài)圈，鑄造我國信息安全“長城”。芮曉武董事長說，作為中央企業(yè)，一定要首先學好政治經濟學。因為中國特色社會主義市場經濟條件下，行業(yè)變化、市場變化、產業(yè)變化均與國家政策導向有極其密切的關系。必須把中央政策吃準，吃透，才能有超前的戰(zhàn)略眼光，對未來作出準確研判，先于市場啟動布局，牢牢把握發(fā)展先機。從事信息安全系統(tǒng)工程，體現(xiàn)了中國電子集團的戰(zhàn)略價值。我們能夠在國家信息安全領域有所作為，有重大項目支撐，就是由于中國電子集團早期卡準定位、提前布局、果斷實施的結果，如果沒有當初前瞻性的產業(yè)布局，就沒有今天的一系列發(fā)展成果。

3勇?lián)厝尾蝗枋姑粚嵃踩雷o能力

三年來，中國電子集團為了國家安全的目標，面對困難不畏縮，歷經挫折不氣餒，保持定力不動搖，牢牢把握信息安全產業(yè)這個主攻方向，堅持戰(zhàn)略取勝，積聚實力，苦練內功，在國家需要的時候挺身而出，參與了一系列國家信息安全重大項目的實施。在實現(xiàn)自身轉型升級目標的同時，培養(yǎng)了人才，鍛煉了隊伍，凝練了精神，建立了核心能力，取得了豐碩成果，“國家隊”的影響力不斷增強。在我國信息安全核心關鍵技術薄弱、企業(yè)力量分散的情況下，自2011年起，中國電子集團在工信部支持下，依托國家核高基重大科技專項和安全可靠軟硬件應用推廣工作，組織了國內30多家基礎軟硬件廠商、集成商、測試機構、科研機構，成立了工信部“安全可靠軟硬件聯(lián)合技術攻關基地”，共同推進國產化的關鍵技術攻關，全力推進國產軟硬件一體化平臺的研發(fā)及產業(yè)化工作。該攻關基地創(chuàng)新了國家重大科技專項的組織方式，推動了基礎軟硬件產品的完善與適配，開展6項關鍵技術攻關，填補了自主技術體系空白。幾十家合作單位經過反復磨合、調整、適配，對國產化應用系統(tǒng)進行集成優(yōu)化，目前已經使整體性能提升5倍以上。為改變自主可控的計算機軟硬件系統(tǒng)磨合效率偏低的現(xiàn)狀，中國電子集團在最核心的CPU芯片方面布局，選擇“聯(lián)合開發(fā)、彎道超車”的全新技術路線，實現(xiàn)既自主可控，又與國際接軌。基于ARM芯片綠色、低耗、完全開放、應用廣的特點，采用自主的核心設計，既保障了信息安全，又實現(xiàn)了國際通用，同時適合云計算技術，由此走在世界前列。WindowsXP停止服務后，中國電子集團及時推出“白細胞”操作系統(tǒng)免疫平臺，利用以密碼為基礎的信任鏈傳遞，使用可信計算技術的靜態(tài)度量、動態(tài)度量、訪問控制等技術，實現(xiàn)計算機識別“非己”的程序、數(shù)據(jù)等，從而排斥進入計算機的病毒、木馬、惡意程序等抗原物質，維持計算機的健康。“白細胞”自免疫系統(tǒng)實現(xiàn)了主動防御的革命性目標，徹底扭轉了計算機系統(tǒng)只能依靠“殺毒、打補丁”等技術進行被動防御的局面。工業(yè)和信息化部副部長楊學山對此給予高度評價，“白細胞”操作系統(tǒng)免疫平臺的使可信技術取得了實質性的進展。在全球激烈的網絡競爭中，我國保障網絡信息安全要想“站得住”，必須形成“國家隊”的力量。2014年4月，在中國電子集團等60家單位發(fā)起和推動下，中關村可信計算產業(yè)聯(lián)盟正式成立。中國電子集團作為理事長單位，對于推動可信計算產業(yè)發(fā)展作出了應有貢獻。可信計算的核心思想是通過在硬件上引入可信芯片，構建可信鏈條，從根本上解決計算機體系結構的安全問題，改變傳統(tǒng)的“封堵查殺”等“被動應對”的防護模式，形成“主動防御”能力，實現(xiàn)“進不來、拿不走、改不了、看不懂、賴不掉”的安全效果。中國工程院院士沈昌祥寄語說，要通過創(chuàng)新推動，使聯(lián)盟成為國內產業(yè)聯(lián)盟創(chuàng)新典范，成為建設自主可控、安全可信網絡安全保障體系的主力軍。回首往事，芮曉武董事長認為這三年的辛苦是完全值得的。中國的信息安全面臨很多難題，是一塊“硬骨頭”。中國電子集團作為央企和國家隊，基于長期的技術產業(yè)積累，勇于啃這塊“硬骨頭”。我們要廣泛聯(lián)合科研、企業(yè)、應用單位眾多力量，加快技術創(chuàng)新、加快應用推廣、加快產業(yè)發(fā)展，并建立高效協(xié)調的行政、技術、保障支持系統(tǒng)，為國家實現(xiàn)自主可控、安全可信的網絡安全多做貢獻。

4凝聚力量共譜新篇，鑄造信息安全長城

中國電子集團的信息安全系統(tǒng)工程已進入新階段，但芮曉武董事長說這并不意味未來就一帆風順了，更苦、更累、更艱巨的工作還在后面。中國電子集團已在謀劃新的布局，開啟新的篇章。芮曉武董事長認為，做好信息安全工作，最重要的還是聯(lián)合。任何一家企業(yè)，都無法獨立擔當國家信息安全的重任，必須聯(lián)合產業(yè)的力量團結協(xié)作，合力推進，進一步形成國家防護能力。中國電子集團自2012年起便動作頻頻，逐步完善內部組織保障體系：成立了中國信息安全研究院，賦予其技術總體和市場運作平臺職能；與國家專控隊伍聯(lián)合組建中電長城網際系統(tǒng)應用有限公司，作為“8+2”重點行業(yè)和智慧城市信息安全解決方案的服務商；組建了深圳中電長城信息安全系統(tǒng)有限公司，承擔自主可控計算機、服務器和網絡交換設備的研發(fā)和推廣；收購了盛科網絡(蘇州)有限公司，該公司是IP/以太網核心芯片及系統(tǒng)自主研發(fā)商，提升了中國電子集團的信息安全芯片能力；并購了廣州鼎甲計算機科技有限公司，致力于容災備份軟件領域，為數(shù)據(jù)安全提供完美可靠的數(shù)據(jù)保護方案。這一系列的舉措不僅豐富和完善了中國電子集團整個信息安全的業(yè)務體系，也增加了企業(yè)內外部的協(xié)同能力。三年來，中國電子集團始終把自主創(chuàng)新、開放合作作為提升產業(yè)競爭力和企業(yè)可持續(xù)發(fā)展能力的關鍵手段。中國電子集團相繼與國防科技大學、北京郵電大學、西安電子科技大學、中科院信息工程研究所、中國信息安全測評中心、中興通訊股份有限公司等單位和機構簽訂數(shù)十余份戰(zhàn)略合作協(xié)議，與神華集團、航天科技、中國石油等建立了戰(zhàn)略合作關系。目前，中國電子集團已為神華集團、中國石油、新華社、中國航信等重要機構和部門，以及地方省市提供了信息化建設總體安全體系設計咨詢和基于信息安全的云服務平臺，更多更深入的合作正在逐步展開。為了進一步加快產業(yè)聯(lián)合，中國電子集團積極打造國際先進水平的未來科技城信息安全產業(yè)基地，為國家信息安全保障體系提業(yè)支撐。信息安全產業(yè)基地總規(guī)劃建筑面積30萬平方米，其中項目一期建筑面積16萬平方米，于2014年投入使用，未來將在基地內培育信息安全技術與產品的科研開發(fā)、生產制造、評測認證、人才培養(yǎng)和規(guī)模市場等較為完整的國內一流信息安全產業(yè)化體系，力爭在較短的時間內把基地建設成為我國重要的信息安全研發(fā)、服務和成果產業(yè)化中心。通過集聚資源、重點突破，積極打造以可替代、可發(fā)現(xiàn)、可防護為目標的信息安全核心方案、產品和技術，中國電子集團為國家重要信息系統(tǒng)穿上“防彈衣”，提高“免疫力”，為國家信息安全保障體系建設提供有力支撐，從根本上解決了我國網絡安全的心腹之患。

5結語

篇(5)

一、構建檔案安全風險評估指標體系

檔案安全評估是對檔案實體和檔案信息資源所面臨的威脅及其可能造成的影響的評估。確定檔案安全風險評估指標體系是檔案安全風險評估的首要任務，也是建立和推行檔案安全管理工作的重要依據(jù)。本文將從檔案安全日常管理、安全基礎

設施、安全防護設施、檔案信息安全四個方面構建高職院校檔案安全風險評估指標體系[1]。

1、檔案安全日常管理的健全性

檔案安全日常管理主要包括基本規(guī)章制度的建立、組織機構的設置、事故處理預案的設置等方面。檔案安全基本規(guī)章制度是檔案安全管理工作的首要任務，其健全性事關檔案安全管理的全局。一般健全的檔案安全規(guī)章制度包括檔案安全保密制度、檔案庫房管理規(guī)定、檔案評估制度、檔案出入庫登記交接制度、設備定期檢查管理制度、移動存儲介質保密管理制度、涉密信息內容范圍規(guī)定、檔案安全事故報告制度、日常安全巡查制度、電子文件（檔案）管理制度等。檔案安全規(guī)章制度的不健全會使檔案的接收、整理、移交、保管、利用等各個工作

圖1 新升格高職院校檔案安全風險評價指標體系

環(huán)節(jié)存在潛在的安全隱患，健全檔案安全規(guī)章制度、設置合理的組織結構是及時發(fā)現(xiàn)與排除安全隱患的重要途徑。因此，將基本規(guī)章制度的健全性、組織機構的設置、事故處理預案的可操作性等日常管理指標納入檔案安全風險評估指標體系是非常必要的。

2、檔案安全基礎設施是否符合標準

檔案安全基礎設施是檔案安全的基本保障，事關檔案事業(yè)的可持續(xù)發(fā)展。檔案管的建筑設計、防火、防雷、抗震的設計、供電系統(tǒng)與消防系統(tǒng)等都應符合相關的標準與規(guī)范要求，檔案館建設應符合《檔案館建筑標準》、《檔案館建筑設計規(guī)范》等有關標準要求，處于沿海地區(qū)、地震帶等特殊地理位置和區(qū)域的檔案館的防火抗震設計應按照《建筑物防雷設計規(guī)范》、《檔案館建筑設計規(guī)范》等要求確定不同的防范等級，防雷設計按照《建筑物防雷設計規(guī)范》的要求確定不同等級。《檔案館建設設計規(guī)范》對檔案室的供電系統(tǒng)與消防系統(tǒng)也進行了明確規(guī)定，有可操作性的指標，便于對檔案安全基礎設施進行有效的安全風險評估。

3、檔案安全防護設施的合理性

檔案安全防護設施是檔案的“安全防護網”，是確保檔案安全不可或缺的因素。安全防護設施一般包括視頻監(jiān)控系統(tǒng)的配備、入侵報警系統(tǒng)的配備、出入口控制系統(tǒng)的完善、溫濕度與控制質量符合標準、重要場所的安全防護等。安全防護設施不當將對檔案直接構成破壞性威脅與損失，因此，安全防護設施是否符合標準要求是評價檔案安全的重要指標。

4、檔案信息安全是否符合要求

檔案信息安全主要是檔案信息化建設中涉密計算機與網絡系統(tǒng)的安全性，以及檔案信息內容的安全，此外還考慮了信

息安全的預警機制是否完善。

根據(jù)以上四個方面的內容，本文構建了新升格高職院校檔案信息安全風險評價指標體系（圖1）。

二、檔案安全風險評價

對新升格高職院校檔案安全風險的評估采用多因素分層模糊綜合評價方法。模糊綜合評價方法是一種建立在模糊數(shù)學基礎上的定量評價方法，它利用模糊集合論概念與最大隸屬度原則，對受多種因素制約的對象作出綜合評價，這種評價方法適用于受諸多因素影響的檔案安全風險評估[2]。本部分基于檔案安全風險評價指標體系，以泰山護理職業(yè)學院為例，利用模糊綜合評價方法對新升格高職院校的檔案安全風險進行評價。

1、設立模糊評判矩陣

綜合評價矩陣對應的評價因素分別為檔案安全日常管理、檔案安全基礎設施、檔案安全防護設施、檔案信息安全，按照最大隸屬原則，檔案安全日常管理所對應的評價等級為較低，檔案安全基礎設施所對應的評價等級為很低，檔案安全防護設施所對應的評價等級為較低，檔案信息安全所對應的評價等級為很低。

2、綜合評價

根據(jù)一級指標權重及綜合評價決策矩陣P的值進行模糊變換的合成運算，得出高職院校檔案安全風險評價結果為：

P=[0.2068，0.3489，0.2563，0.1291，0.0401，0.0174，0.0014]

由B值可知評語為相當?shù)停艿停^低，較高，高，很高，相當高的可能性分別為0.2068，0.3489，0.2563，0.1291，0.04，0，0174，0.0014，按照最大隸屬原則，隸屬度最大值為0.3489，對應評語為很低。這表明泰山護理職業(yè)學院檔案安全風險評價等級屬于低級，該系統(tǒng)的整體安全水平較低，與國家對檔案安全的要求相差甚遠。

三、新升格高職院校檔案安全管理工作存在的問題

從對泰山護理職業(yè)學院檔案安全風險評價結果來看，新升格高職院校的檔案安全管理存在諸多的問題，檔案安全存在潛在的風險。主要表現(xiàn)在：

1、院校對檔案安全管理工作重視程度較低

新升格高職院校受傳統(tǒng)管理觀念的影響，對檔案安全管理的重視程度不夠，安全意識淡薄，檔案安全管理制度、安全防范設施等仍沿用傳統(tǒng)的規(guī)章制度，難以適應學生與教師規(guī)模擴張對檔案安全管理的新要求。同時也使得學校檔案安全存在較大的安全隱患。

2、檔案管理人員業(yè)務素質較低

檔案管理人員業(yè)務素質較低，檔案專業(yè)人力缺乏，尤其缺乏具備計算機網絡技術的人才，使得檔案管理方式與管理手段較為落后，檔案信息化建設水平較低。這也導致在網絡環(huán)境下檔案安全潛在風險增加，網絡病毒、網絡不安全因素對電子檔案的潛在威脅增加。

3、檔案安全管理資金不足

新升格高職院校對學校檔案安全管理工作的不重視，也使得檔案安 全管理資金不到位，檔案安全基礎設施較為落后，從而難以有效應對火災、水災、震災、害蟲、霉菌、灰塵、紫外線、有毒有害氣體等自然因素的影響。

四、高職院校檔案安全保障體系建設

1、更新安全理念，強化檔案安全保障意識

高職院校應樹立檔案安全即為學校生命線的理念，將檔案安全工作放在學校檔案管理工作的首位，完善檔案安全管理規(guī)章制度，提升管理層次[3]。加強對檔案管理人員的安全教育和培訓，提高工作人員及全校師生的檔案安全意識與技能。落實檔案安全責任制，制定相應的獎懲制度，確保各項規(guī)章制度的有效運行。

2、提供充分的經費保障

在學校財政許可的限度下，應設置學校檔案安全保障建設資金，積極主動通過多種渠道與方法，將檔案安全保障體系建設列入院校正常的資金預算中。從而為檔案安全基礎設施建設、安全防范設施建設、檔案信息化建設提供有力的資金保障，消除檔案安全隱患與安全漏洞。

3、重視檔案專業(yè)人才的選拔與培養(yǎng)

學校應盡可能地配備具有檔案專業(yè)背景的檔案業(yè)務人員與專業(yè)技術人員，提高檔案安全保障水平，滿足檔案安全管理需求。對檔案管理人員開展系統(tǒng)培訓，并選派優(yōu)秀人才到高校、政府部門學習，為學校儲備一支既有檔案管理專業(yè)知識，又有現(xiàn)代化網絡技術知識的高素質檔案管理隊伍[4]。

參考文獻：

[1] 方 昀，劉守恒.檔案館檔案安全風險評估內容分析和評估指標研究[J].檔案學研究.2011（6）：74-77.

[2] 陳雪剛，程杰任.多因素分層模糊綜合風險評估方法的應用研究[J].計算機工程與應用.2012.48（30）：128-131.

篇(6)

作為金牌合作伙伴，深圳靈欣與賽門鐵克一直保持著緊密的合作關系。盡管深圳靈欣成立只有五年時間，不過在此之前，雙方的合作就已經開始。根據(jù)汪小涵的介紹，深圳靈欣的前身是深圳市思貝德信息技術有限公司信息安全事業(yè)部，深圳靈欣的人員由原深圳思貝德信息安全事業(yè)部全體員工組成。“我們對于賽門鐵克的產品和解決方案非常信任。”汪小涵表示，“因此在深圳靈欣成立后我們迅速就與賽門鐵克重新建立起了合作。”

基于這種信任，深圳靈欣成立了“梟”俱樂部。通過這種形式，深圳靈欣和賽門鐵克可以一起，將全球領先的信息安全與數(shù)據(jù)保護理念、技術，傳遞給用戶。同時，雙方也能夠借助這種零距離的渠道，吸收學習行業(yè)經驗，收獲用戶反饋，不斷完善行業(yè)解決方案。銷售與技術1比1.5的配置，讓深圳靈欣既可以關注到用戶業(yè)務的痛點，又能夠可靠及時地解決用戶的問題。“我們的技術力量從來都不吃緊。”汪小涵表示。迄今為止，“梟”俱樂部已經舉辦過多次活動，并得到了用戶的一致認可。

“梟”俱樂部之所以能夠受到用戶歡迎，是由于這一活動與實際應用有著緊密的關聯(lián)，其與業(yè)務息息相關。汪小涵表示，隨著信息技術的發(fā)展，越來越多業(yè)務開始與IT聯(lián)系在一起，這使得用戶極為關注由此產生的業(yè)務數(shù)據(jù)保護。企業(yè)越來越清晰地認識到，先進的數(shù)據(jù)保護和安全技術，不僅維護了業(yè)務的正常運轉，滿足法律法規(guī)需要，同時也樹立了良好的管理規(guī)范與理念。

這種安全保護規(guī)范和理念，由賽門鐵克在全球所樹立并推廣。隨著時代的發(fā)展，其也實現(xiàn)了與時俱進。如今，賽門鐵克已經形成了從產品、解決方案，到IT選型、咨詢以及運維與管理等在內的一體化用戶服務。

賽門鐵克咨詢服務提供能夠幫助企業(yè)管理 IT 風險并極大限度提高 IT 性能的解決方案，擁有在數(shù)十年技術領先地位的基礎上構建的專業(yè)知識，以及在復雜的多供應商環(huán)境中部署解決方案的實際操作經驗。賽門鐵克咨詢服務的方法基于國際認可的標準和實踐，并根據(jù)企業(yè)的獨特需求而量身定制，其中包括歸檔和保留服務、業(yè)務持續(xù)性管理服務、客戶端管理服務、云戰(zhàn)略發(fā)展服務、集群服務器服務、賽門鐵克網絡威脅分析計劃、數(shù)據(jù)中心遷移服務、數(shù)據(jù)中心標準化服務、Symantec Data Loss Prevention服務、數(shù)據(jù)遷移服務、數(shù)據(jù)保護服務、數(shù)據(jù)安全服務、DeepSight DataFeeds服務、DeepSight 預警服務、端點安全服務、高可用性優(yōu)化評估服務、IM Manager 服務、事件響應和管理服務、信息泄露風險評估服務、信息生命周期管理服務、IT能源評估服務、IT 服務持續(xù)性管理服務、郵件安全服務、托管安全運營服務、NetBackup服務、在線欺詐防護服務、支付卡數(shù)據(jù)安全和 PCI 遵從服務、安全計劃評估服務、Altiris Server Management Suite 服務、存儲評估服務、Storage Foundation 服務、存儲優(yōu)化服務、存儲流程轉換服務等。這些服務幾乎涵蓋了企業(yè)運維的方方面面，并在全球積累了大量的成功案例。

篇(7)

一、檔案數(shù)字化概述

檔案數(shù)字化是指通過掃描儀、數(shù)碼相機等圖像采集設備，對原始紙質檔案信息進行完整的采集，進而形成能夠被計算機系統(tǒng)所識別的文件類型，最后存儲到磁帶、光盤等信息載體之中，以提高對檔案的管理效率，實現(xiàn)資源共享。隨著科技的發(fā)展，人們提高了對檔案數(shù)字化管理的認識，加大了對于檔案數(shù)字化管理的研究力度，在整個檔案系統(tǒng)范圍內都開展了檔案管理數(shù)字化建設工作，并且已經形成較為合理的管理體系，在城建檔案領域中也積極嘗試實踐了檔案管理方式的轉變。當前，雖然紙質檔案仍是主要的保存方式，但紙質檔案數(shù)字化已經成為檔案管理的必然趨勢。隨著檔案數(shù)字化管理技術日趨成熟，檔案數(shù)字化發(fā)展必將越來越快，對于檔案管理工作的作用也越來越重要。

二、城建檔案數(shù)字化應注意的問題和建議

1.做好檔案鑒定，滿足實際需要

城建檔案涉及門類豐富，數(shù)量眾多，但并不是所有的紙質檔案都需要或者都適合進行數(shù)字化管理，需要根據(jù)實際進行數(shù)字化檔案的選擇，以提高工作效率。在進行檔案數(shù)字化處理之前，應該首先調查摸底現(xiàn)有館藏檔案，搞清檔案的數(shù)量、類型、信息利用等基本情況，確定應該對哪些紙質檔案進行數(shù)字化管理。同時以現(xiàn)實需要為前提，按照"珍貴檔案、重點檔案、特色檔案、利用率高的檔案"優(yōu)先數(shù)字化的原則，制定檔案數(shù)字化規(guī)劃，分階段、分步驟的實施，把現(xiàn)有重要實體檔案資源轉變成數(shù)字信息資源。當前，城建檔案館館藏檔案絕大部分來源于建設工程檔案，因此，工程檔案是城建檔案數(shù)字化管理的重點。首先是需要進行搶救性保護的珍貴瀕危檔案要進行數(shù)字化，這些珍貴瀕危檔案涉及到很多重要的信息資源，具有重要的歷史價值和研究價值，需要重點保護。其次，涉及民生工程建設檔案，比如有關醫(yī)院、學校、銀行、電力等房屋建筑工程、道路、橋梁、交通、水利、地下管線等基礎設施以及國家、省市重點建設項目檔案應進行數(shù)字化管理。再是利用需求量大的檔案也需要進行數(shù)字化管理。比如， 房屋建筑工程中的住宅小區(qū)項目建設、保障性安居工程建設檔案和各類新區(qū)園區(qū)建設規(guī)劃拆遷檔案、村鎮(zhèn)規(guī)劃、建設檔案等。可以采取分期進行數(shù)字化管理，以滿足使用者對這些檔案資源信息的需求。在這些工程檔案中，特別是房屋建筑工程檔案，其前期工程準備階段文件包括決策立項文件、征地拆遷文件、勘察、測繪和設計文件、招投標文件和開工審批文件、以及竣工驗收文件、竣工圖等，這些檔案利用頻率較高，應優(yōu)先進行數(shù)字化管理。有條件的地方也可以采取全部館藏工程檔案數(shù)字化，把現(xiàn)有的實體檔案資源轉變成數(shù)字信息資源，從而利用計算機網絡為社會和政府提供服務。

2.嚴格信息管控，確保檔案數(shù)字化質量

在進行紙質檔案數(shù)字化處理時，應該建立嚴格的管理制度。嚴格的管理制度有利于提高工作人員的責任心，樹立質量與安全第一的意識，保證檔案數(shù)字化工作的順利開展。還應建立數(shù)字化標準規(guī)范，以確保加工環(huán)節(jié)的規(guī)范化與檔案數(shù)字化的質量。

首先，城建檔案管理部門在委托數(shù)字化加工專業(yè)公司提供服務時，要與數(shù)字化加工專業(yè)公司簽署服務質量協(xié)議， 并提出質量標準與質量要求，以此規(guī)范檔案數(shù)字化加工行為，為其間出現(xiàn)質量問題時提供解決問題的依據(jù)。還要簽署安全保密協(xié)議，嚴防在數(shù)字化加工過程中發(fā)生紙質檔案的損毀、丟失、泄密等現(xiàn)象。

其次，科學、準確、規(guī)范地錄入機讀條目信息。檔案信息數(shù)據(jù)的錄入是館藏檔案數(shù)字化加工的重要環(huán)節(jié)。規(guī)范化地錄入機讀條目，可以使將來檔案信息的利用環(huán)節(jié)變得更加快捷便利，同時也可以為城建程檔案信息安全提供保障，提高對檔案的管理效率，有利于資源信息的共享整合和高效利用。

最后，嚴格監(jiān)督檢查工作，對數(shù)字化檔案的掃描質量及時跟進。檢查校驗工作直接影響到城建檔案數(shù)字化加工的質量，需要專業(yè)知識充足，經驗豐富的工作人員進行校驗工作，以防止發(fā)生如漏掃、掃出來的PDF文件頁面不美觀、PDF文件檔號題名有誤等問題，盡可能的避免因人為因素而出現(xiàn)的工作疏漏，保證城建檔案的安全性和真實性，數(shù)據(jù)信息的準確性和完整性。

3.加強信息維護，確保檔案安全

信息資源的安全問題是城建檔案管理工作的首要問題。現(xiàn)代計算機網絡及信息技術在為人們生產生活提供便利的同時，也為一些不法分子進行違法活動提供了可乘之機。不法分子可以利用網絡竊取檔案管理中心的檔案信息，破壞檔案信息的機密性。因此，在進行紙質工程檔案數(shù)字化處理時， 檔案管理人員應注意加強對檔案信息的安全維護工作。

城建檔案管理人員需要提高信息安全意識，嚴格遵守相關的安全保密制度，加強安全防護，防止失密、泄密的發(fā)生。在紙質檔案進行數(shù)字化加工過程時，需要對計算機系統(tǒng)進行掃描檢測，以確保沒有非法拷貝程序和病毒程序。同時，應研究開發(fā)先進有效的電子文件管理系統(tǒng)、館藏檔案數(shù)字化加工系統(tǒng)及檔案信息安全軟件，提高計算機網絡的系統(tǒng)安全，提高軟件的安全性，確保城建檔案信息的安全可靠。

城建檔案數(shù)字化加工之后同樣需要重視檔案信息安全性的管理。首先，管理人員應該對掃描之后的數(shù)字化檔案進行核實，將已實現(xiàn)數(shù)字化的城建檔案原件妥善保管，及時銷毀加工過程中的相關硬盤，以防檔案信息被泄露。其次，做好日常安全管理和信息維護。在使用者查詢檔案信息時，需進行詳細身份信息的登記，詳細詢問調取檔案的目的、用途，并跟蹤管理。非公開的城建檔案信息特別是城市地下管線信息，一律不得上互聯(lián)。在互聯(lián)網上提供已公開檔案目錄查詢服務的，必須認真采用身份認證、防火墻、數(shù)據(jù)備份等安全防護措施，保證計算機系統(tǒng)和數(shù)據(jù)的安全保密。對不同的用戶給予不同的權限，防止非法登錄和非法操作數(shù)據(jù)。重要數(shù)據(jù)嚴格進行備份，并應異地保存。此外，城建檔案管理人員還要加強監(jiān)督巡查工作，隨時對檔案信息庫進行抽查，及時對信息安全軟件進行升級，采取必要的計算機病毒防范措施，避免網絡受到病毒破壞，防止不法分子侵入檔案管理網絡系統(tǒng)，進行不法活動。以保證數(shù)字化檔案信息資源的安全存儲與調用。