前言：中文期刊网精心挑选了网络安全等级保护重要性范文供你参考和学习，希望我们的参考范文能激发你的文章创作灵感，欢迎阅读。
网络安全等级保护重要性范文1
关键词：漏洞；检测；计算机信息系统安全
中图分类号：G203
基于全面的扫描检测，计算机信息安全管理工作者可以直观的了解系统内的安全配置和运行的应用服务，及时发现安全漏洞，客观评估网站风险等级。此外，由于计算机信息安全系统问题是综合性、多元化的问题，包括系统安全、数据安全等。全方位解决网站漏洞问题，需要完善的管理机制与技术保障。
1 信息系统安全等级保护概述
信息安全等级保护是对信息和信息载体按照重要性等级分级别进行保护的一种工作，在中国、美国等很多国家都存在的一种信息安全领域的工作。信息系统安全漏洞指计算机系统存在可以利用的一个缺陷或者一个弱点，它能破坏计算机信息安全系统，威胁系统正常运营。据统计，有超过80%的计算机信息安全系统存在网站安全漏洞，严重威胁计算机信息系统内部重要信息的保密。信息系统安全检测是一项为了防止计算机信息安全系统被非法入侵，对Web网站进行的授权漏洞检测和安全防御工作。通过对系统内部的各种漏洞进行有效检测，将很大程度上确保网站的安全运行。
2 计算机信息系统安全工作重要性
信息安全等级保护工作包括定级、备案、安全建设和整改、信息安全等级测评、信息安全检查五个阶段，作为公安部授权的第三方测评机构，为企事业单位提供免费专业的信息安全等级测评咨询服务。信息系统安全等级测评是验证信息系统是否满足相应安全保护等级的评估过程。信息安全等级保护要求不同安全等级的信息系统应具有不同的安全保护能力，一方面通过在安全技术和安全管理上选用与安全等级相适应的安全控制来实现；另一方面分布在信息系统中的安全技术和安全管理上不同的安全控制，通过连接、交互、依赖、协调、协同等相互关联关系，共同作用于信息系统的安全功能，使信息系统的整体安全功能与信息系统的结构以及安全控制间、层面间和区域间的相互关联关系密切相关。因此，信息系统安全等级测评在安全控制测评的基础上，还要包括系统整体测评。
计算机在日趋进步的现代化生活中，愈来愈占据着日常生活和工作中不可或缺的地位。计算机系统内部的数据也显得尤为重要。加强信息系统安全工作这一内容不可忽视。除了外部网络环境中各类病毒、黑客等不安全因素可以对计算机系统内部做出干扰和破坏，内部维护和使用人员在工作中的操作不当和不规范使用，同样可以导致计算机系统内部数据的混乱和丢失。诸如这类或那样的问题，计算机系统不能正常运行会严重影响人们的生活和工作，为人们带来不便。反之，加强对计算机信息系统安全的保护工作可以更好的方便人们的工作和生活，将人们生活和工作质量提上更高的一层。
3 计算机信息系统防护策略
（1）强化信息系统管理，明确安全管理范围和任务，确保信息持续、稳定、可靠运行和确保信息内容的机密性、完整性、可用性；
（2）全面落实上级公司下发的各项方案要求，实行信息内外网完全隔离，杜绝一机两用，确保内外网出口安全；
（3）建立信息安全管理职责和管理措施，加强信息系统运行全过程管理，提高全员信息系统安全意识；
（4）设置防止非法进入及越权访问的安全机制，防止网络黑客利用网络设备和协议的安全漏洞进行网络攻击和信息窃取；
（5）对公司内部重要和敏感信息实行加密传输和存储，对门户网站页面建立防护机制和措施，确保信息系统安全管理；
（6）进一步统一思想、提高认识、狠抓落实，全面推进现场标准化作业，夯实安全生产管理基础；
（7）是认真开展定期和不定期网络安全检查工作，加强安全生产管理，做到责任落实、措施有力、监督到位；
（8）加强电网运行监控，对重载、重要设备和老旧设备设施、重点部位进行红外线测温工作，及时消除隐患缺陷，确保电网安全稳定运行；
（9）建立安全管理制度体系。制定《网络管理制度》、《网络与信息安全管理制度》、《计算机内外网管理规定》等一整套计算机管理制度和规定，工作中严格执行，形成了计算机网络安全的制度保障；
（10）抽调公司业务骨干，组建网络与安全工作小组，负责公司所有计算机的管理，明确各部门负责人是网络安全管理第一责任人，并对重要的或的岗位签定《保密工作责任书》；
（11）对公司每台计算机都安装了包括防火墙、入侵检测、漏洞扫描、杀毒软件等防病毒系统，软件及时升级，要求公司干部增强病毒防范意识，定期检测和杀毒；
（12）对能上外网的部室上互联网的计算机只设一个独立IP，与内网进行绝对物理隔离；
（13）实行数据本地备份机制和异地容灾备份，确保各类数据安全。
4 计算器信息系统安全工作其他建议
4.1 强化计算机信息系统安全意识：由专业技术人员进行安全维护
由于部分计算机系统是交予外包开发，而计算机系统程序的开发人员不具备丰富的安全编程经验，极易造成漏洞产生。
4.2 定期进行计算机信息系统安全检测
通过国内最全的计算机系统漏洞检测库，强大的蜜罐集群检测系统，第一时间为高危漏洞提供修复建议以及完整的解决方案。
4.3 实时监控计算机信息系统安全状况
目前越来越多的黑客利用计算机系统自身存在的安全漏洞进入站点进行挂码等操作，甚至破坏、篡改、删除站内文件。对计算机系统，特别是盈利企业的正常运营带来了极大的影响。在此推荐运用计算机信息系统安全漏洞检测工具，利用它们，我们可以提前发现计算机系统存在的安全漏洞，并进行针对性操作以避免由此带来的计算机信息系统安全隐患。对于进行过计算机系统优化操作的站点来讲，计算机系统挂马有可能影响计算机系统打开速度、内容以及功能结构。这些都是影响计算机系统排名的重要因素，计算机系统因此被K也不无可能。
5 结束语
计算机安全系统一旦被挂马，将会在各种搜索引擎的结果中被拦截，客户桌面客户端的杀毒软件会阻断用户访问并报警，将会导致网站访问量急剧下滑及用户数据被窃取的后果。网站设计者在设计网站时，一般将大多数精力都花在考虑满足用户应用，如何实现业务等方面，而很少考虑网站开发过程中所存在的安全漏洞，这些漏洞在不关注信息系统安全的用户眼里几乎不可见，在正常的网站访问过程中，这些漏洞也不会被察觉。但对于别有用心的攻击者而言，这些漏洞很可能会对计算机系统带来致使的伤害。
新兴技术应用范围日益拓展，网络犯罪技术方式不断革新，网络安全损失日趋严重，计算机信息系统安全威胁将持续加大。因此，在未来势必要完善信息安全策略，加强对网络安全技术研发和人员培养来确保系统安全。
参考文献：
[1]龚奕.计算机网络安全问题和对策研究[J].软件导刊，2009（02）.
[2]刘阳.浅谈计算机网络安全问题[J].科教文汇（下旬刊），2009（02）.
[3]周.计算机网络安全的防范策略分析[J].电脑知识与技术，2009（05）.
[4]卢鹏.计算机网络安全及其防护策略探析[J].硅谷，2009（12）.
网络安全等级保护重要性范文2
随着信息安全等级保护工作的不断深化，已延伸到医疗卫生行业。卫计委要求三级医院核心业务系统定级不低于第三级。本文结合医院实际，介绍了医院信息安全等级保护工作的建设，阐明了信息系统的定级、备案、整改、测评四个实施步骤，以供大家探讨。
关键词：
医院信息安全；等级保护工作；等级测评
一、引言
随着我国信息化建设的快速发展与广泛应用，信息安全的重要性愈发突出。在国家重视信息安全的大背景下，推出了信息安全等级保护制度。为统一管理规范和技术标准，公安部等四部委联合了《信息安全等级保护管理办法》（公通字[2007]43号）。随着等级保护工作的深入开展，原卫生部制定了《卫生行业信息安全等级保护工作的指导意见》（卫办发[2011]85号），进一步规范和指导了我国医疗卫生行业信息安全等级保护工作，并对三级甲等医院核心业务信息系统的安全等级作了要求，原则上不低于第三级。从《关于信息安全等级保护工作的实施意见》中可知信息安全等级保护对象是国家秘密信息、法人和其他组织以及公民的专有信息和公开信息。对信息系统及其安全产品进行等级划分，并按等级对信息安全事件响应[1]。
二、医院信息安全等级保护工作实施步骤
2.1定级与备案[2]。
根据公安部信息安全等级保护评估中心编制的《信息安全等级保护政策培训教程》，有两个定级要素决定了信息系统的安全保护等级，一个是等级保护对象受到破坏时所侵害的客体，另外一个是对客体造成侵害的程度。对于三级医院，门诊量与床位相对较多，影响范围较广，一旦信息系统遭到破坏，将会给患者造成生命财产损失，对社会秩序带来重大影响。因此，从影响范围和侵害程度来看，我们非常认同国家卫计委对三级甲等医院的核心业务信息系统安全等级的限制要求。在完成定级报告编制工作后，填写备案表，并按属地化管理要求到市级公安机关办理备案手续，在取得备案回执后才算完成定级备案工作。我院已按照要求向我市公安局网安支队，同时也是我市信息安全等级保护工作领导小组办公室，提交了定级报告与备案表。
2.2安全建设与整改[3]。
在完成定级备案后，就要结合医院实际，分析信息安全现状，进行合理规划与整改。
2.2.1等保差距分析与风险评估。
了解等级保护基本要求。《信息系统安全等级保护基本要求》分别从技术和管理两方面提出了基本要求。基本技术要求包括五个方面：物理安全、网络安全、主机安全、应用安全和数据安全，主要是由在信息系统中使用的网络安全产品（包括硬件和软件）及安全配置来实现；基本管理要求也包括五个方面：安全管理制度、安全管理机构、人员安全管理、系统建设管理和系统运维管理，主要是根据相关政策、制度以及规范流程等方面对人员活动进行约束控制，以期达到安全管理要求[4]。技术类安全要求按保护侧重点进一步划分为三类：业务信息安全类（S类）、系统服务安全类（A类）、通用安全保护类（G类）。如受条件限制，可以逐步完成三级等级保护，A类和S类有一类满足即可，但G类必须达到三级，最严格的G3S3A3控制项共计136条[5]。医院可以结合自身建设情况，选择其中一个标准进行差距分析。管理方面要求很严格，只有完成所有的154条控制项，达到管理G3的要求，才能完成三级等级保护要求。这需要我们逐条对照，发现医院安全管理中的不足与漏洞，找出与管理要求的差距。对于有条件的三甲医院，可以先进行风险评估，通过分析信息系统的资产现状、安全脆弱性及潜在安全威胁，形成《风险评估报告》。经过与三级基本要求对照，我院还存在一定差距。比如：在物理环境安全方面，我院机房虽有灭火器，但没安装气体灭火装置。当前的安全设备产品较少，不能很好的应对网络入侵。在运维管理方面，缺乏预警机制，无法提前判断系统潜在威胁等。
2.2.2建设整改方案。
根据差距分析情况，结合医院信息系统安全实际需求和建设目标，着重于保证业务的连续性与数据隐私方面，满足于临床的实际需求，避免资金投入的浪费、起不到实际效果。整改方案制订应遵循以下原则：安全技术和安全管理相结合，技术作保障，管理是更好的落实安全措施；从安全区域边界、安全计算环境和安全通信网络进行三维防护，建立安全管理中心[6]。方案设计完成后，应组织专家或经过第三方测评机构进行评审，以保证方案的可用性。整改方案实施。实施过程中应注意技术与管理相结合，并根据实际情况适当调整安全措施，提高整体保护水平。我院整改方案是先由医院内部自查，再邀请等级测评公司进行预测评，结合医院实际最终形成的方案。网络技术人员熟悉系统现状，易于发现潜在安全威胁，所以医院要先自查，对自身安全进行全面了解。等级测评公司派专业安全人员进驻医院，经过与医院技术人员沟通，利用安全工具进行测试，可以形成初步的整改报告，对我院安全整改具有指导意义。
2.3开展等级保护测评[7]。
下一步工作就是开展等级测评。在测评机构的选择上，首先要查看其是否具有“DICP”认证，有没有在当地公安部门进行备案，还可以到中国信息安全等级保护网站进行核实。测评周期一般为1至2月，其测评流程如下。
2.3.1测评准备阶段。
医院与测评机构共同成立项目领导小组，制定工作任务与测评计划等前期准备工作。项目启动前，为防止医院信息泄露，还需要签订保密协议。项目启动后，测评机构要进行前期调研，主要是了解医院信息系统的拓扑结构、设备运行状况、信息系统应用情况及安全管理等情况，然后再选择相应的测评工具和文档。在测评准备阶段，主要是做好组织机构建设工作，配合等级测评公司人员的调查工作。
2.3.2测评方案编制阶段。
测评内容主要由测评对象与测评指标来确定。我院测评对象包含三级的医院信息系统、基础网络和二级的门户网站。测评机构要与医院沟通，制定工具测试方法与测评指导书，编制测评方案。在此阶段，主要工作由等级测评机构来完成。
2.3.3现场测评阶段。
在经过实施准备后，测评机构要对上述控制项进行逐一测评，大约需要1至2周，需要信息科人员密切配合与注意。为保障医院业务正常开展，测评工作应尽量减少对业务工作的冲击。当需要占用服务器和网络资源时应避免业务高峰期，可以选择下班时间或晚上。为避免对现有业务造成影响，测评工具应在接入前进行测试，同时要做好应急预案准备，一旦影响医院业务，应立即启动应急预案[8]。在对209条控制项进行测评后应进行结果确认，并将资料归还医院。该阶段是从真实情况中了解信息系统全面具体的主要工作，也是技术人员比较辛苦的阶段。除了要密切配合测评，还不能影响医院业务开展，除非必要，不然安全测试工作必须在夜间进行。
2.3.4报告编制阶段。
通过判定测评单项，测评机构对单项测评结果进行整理，逐项分析，最终得出整体测评报告。测评报告包含了医院信息安全存在的潜在威胁点、整改建议与最终测评结果[9]。对于公安机关来讲，医院能否通过等级测评的主要标准就是测评结果。因此，测评报告的结果至关重要。测评结果分为：不符合、部分符合、全部符合。有的测评机构根据单项测评结果进行打分，最后给出总分，以分值来判定是否通过测评。为得到理想测评结果，需要医院落实安全整改方案。
2.4安全运维。
我们必须清醒地认识到，实施安全等级保护是一项长期工作，它不仅要在信息化建设规划中考虑，还要在日常运维管理中重视，是不断循环的过程。按照等级保护制度要求，信息系统等级保护级别定为三级的三甲医院每年要自查一次，还要邀请测评机构进行测评并进行整改，监管部门每年要抽查一次。因此，医院要按照PDCA的循环工作机制，不断改进安全技术与管理上，完善安全措施，更好地保障医院信息系统持续稳定运行[10]。
三、结语
医院信息安全工作是信息化建设的一部分，是一项长期的系统工程，需要分批分期的循序改建。还要结合医院实际，考虑安全产品的实用性，不能盲目的进行投资。医院通过实施等级保护工作，可以有效增强网络与信息系统整体安全性，有力保障医院各项业务的持续开展，适应医院信息化不断发展的需求。
作者：王磊 单位：蚌埠医学院第二附属医院
参考文献
[1]公安部,国家保密局,国家密码管理局,国务院信息化办公室文件.关于信息安全等级保护工作的实施意见（公通字[2004]66号）[R],2004-9-15.
[2]GB/T22240-2008．信息安全技术信息系统安全等级保护定级指南[S],2008-06-19.
[3]GB/T25058-2010．信息安全技术信息系统安全等级保护实施指南[S],2010-09-02.
[4]GB/T22239-2008．信息安全技术信息系统安全等级保护基本要求[S],2008-06-19.
[5]魏世杰.医院信息安全等级保护三级建设思路[J].科技传播,2013,5(99):208-209.
[6]张滨.构建医院信息安全等级保护纵深防护体系[J].信息通信,2014(141):148-149.
[7]GB/T28449-2012.信息安全技术信息系统安全等级保护测评过程指南[S],2012-06-29.
[8]姚红磊,杨文.三级系统信息安全等级保护测评指标体系研究[J].铁路计算机应用,2015,24(2):59-61.
网络安全等级保护重要性范文3
1.1来自医院内部的信息系统安全威胁
一个是来自工作人员的威胁，例如有的工作人员胡乱操作系统，访问来源不明的网站，将感染有病毒的U盘插入接入医院信息系统的计算机，在不具有权限的情况下，采用欺骗或是技术手段访问医院信息系统数据库等等，都会给医院的信息系统带来安全问题；另一个是设备软硬件故障，医院信息系统需要7*24小时不间断运行，例如存储设备故障、网络系统故障、服务器故障等，都会对信息系统的运行效率与安全造成威胁。
1.2来自医院外部的信息系统安全威胁
来自医院外部的信息系统安全威胁主要是指黑客的攻击，病毒、木马的入侵等等，这可能会导致医院信息系统崩溃，患者的病历资料信息被窃取、篡改等等。
2数字化时代下医院信息安全建设措施
医院信息安全的建设，应当分为两个层面进行，一个是管理层面的建设措施，另一个是技术层面的建设措施。
2.1管理措施
第一，提高医院整体对信息安全的重视力度。加强宣传，让每个工作人员都知道在当前的数字化时代下，医院临床工作的开展，各部门、各系统的管理，患者信息资料的存储、查阅、分析，都必须要依靠信息系统，如果出现了信息安全问题，就会对整个医院系统造成影响，降低医院运转效率，还可能会导致患者的隐私泄露，使患者对医院的可靠性产生质疑，不利于医院的发展。同时，还要加强对所有医务人员的信息安全培训教育，让他们熟练掌握相关的信息安全技术技巧，防止由于操作方面的失误，对信息系统安全造成威胁。第二，健全完善信息系统安全管理制度。要针对医院信息系统的特点，制定总体安全方针与安全策略，将医院信息安全的基本原则、范围、目标明确下来，对管理人员或操作人员执行的日常管理操作建立操作规程，并在实践中总结经验，针对信息系统操作应用中所遇到的实际情况，不断完善规程，以制度化的途径推进医院信息安全建设。第三，推行信息安全等级保护。医院应结合自身信息系统的特点，以国家颁布的信息安全等级保护相关文件为标准，逐步开展信息安全等级保护工作。建设过程中要优先保护重要信息系统，优先满足重点信息安全的需求。在重点建设的基础上，全面推行医院信息安全等级保护的实施。对于新建、改建、扩建的信息系统，严格按照信息安全等级保护的管理规范和技术标准进行规划设计、建设施工.要通过建立管理制度，落实管理措施，完善保护设施这一系列举措，形成信息安全技术防护体系与管理体系，有效保障医院信息系统安全。医院在信息安全等级保护建设工作中应科学规划，严格以国家相关标准为依据，遵循自主保护、重点保护、同步建设、动态调整等基本原则，稳步地开展信息安全等级建设。第四，完善信息安全应急预案。为提高医院信息系统的安全稳定运行和处置突发事件的能力，最大程度地预防和减少因为信息系统突发事件使医院正常工作中断而造成的严重后果，保障信息系统对医疗系统的平稳支撑，需根据实际情况不断完善应急预案管理制度。
2.2技术措施
第一，改善环境安全。在信息安全等级保护规定中，机房属于物理部分，每个医院都有一个或数个用于存放主要信息系统硬件设备的机房，是医院信息系统的核心物理区域。信息系统的安全在很大程度上受着机房环境条件的影响，因此必须要通过加强环境安全建设，来确保信息系统的安全。机房的建设规划最好是采用“异地双机房模式”，并且要避免将机房安置在地下室或建筑高层，机房隔壁或上层最好不要有大型的供水、用水设备，且要具有良好的防水能力、防震能力。为确保信息系统的持续高效运转，应当配备不间断的冗余电源，机房室内安装可调节空气温度与湿度的设备，在进出和主要的区域安装摄像头，基本的防火、防盗保护要做到位。第二，加强设备安全管理。设备安全包括服务器、交换机、存储、终端主机等设备的安全。医院信息系统中的重要设备需尽可能的采用冗余方式配置，以提高系统的稳定性。同时服务器应严格限制默认账户的访问权限。及时删除多余的、过期的账户，避免共享账户的存在。依据安全策略严格控制用户对有敏感标记重要信息资源的操作，启用访问控制功能，依据安全策略控制用户对资源的访问。根据管理用户的角色分配权限，实现管理用户的权限分离。另外，所有服务器均需开启全部安全审核策略，所有数据库开启C2审核跟踪，同时安装主机入侵防御系统及最新操作系统补丁。服务器还应安装统一的防病毒软件。在终端主机方面，利用桌面管理软件对设备接口进行管理和控制，例如USB接口管理，禁止外来移动存储随意接入电脑，防止病毒感染。终端电脑除了及时安装系统补丁和更新防病毒软件外，还需加强密码复杂度和开启账户锁定策略。人员离开后，一定时间内自动退出和锁定。第三，严防网络威胁。在现代网络的作用下，不论是医院内部各科室、各部门，还是医院外部的任何机构单位，都可以进行高效率的沟通交流与信息共享，这在很大程度上提高了医院的业务处理能力。但由于目前的网络缺少强有力的监管，所以有大量的不安全因素活跃在网络中，例如上面所提到的病毒、木马以及黑客等，这对医院的信息安全造成了极大的威胁。所以，医院应当建立信息系统网络安全访问路径，采用路由控制的方式，来确保客户端与服务器之间的安全连接。对不同医疗部门根据工作职能、重要程度和信息敏感性等要素划分不同的网段，并对不同网段按照重要程度划分安全域，对信息敏感、重要性程度高的网段，应进行IP与MAC绑定，避免遭到ARP欺骗攻击。在信息系统的网络边界，应当安装防火墙，部署入侵检测系统，对蠕虫攻击、缓冲区溢出攻击、木马攻击、端口扫描等恶意操作进行监测，将攻击发生的时间、类型以及攻击源IP等信息详细的记录下来，提供给网络安全部门。第四，保障数据安全。在医院的信息系统当中，存储着大量的数据，这些数据既包括患者的个人隐私资料，也包括医院自身运转所需的各种基础信息，这些信息的准确性对临床工作的开展来说，具有非常大的影响。为了保障信息系统的数据安全，数据库管理账户的登录方式应当设置为KEY+口令的方式，且口令的设置要负责、随机，并且要定时更换。不同岗位对数据库的访问权限应当进行合理的划分，仅需要确保人员能够获得开展工作所需的数据即可。采用数据库审计设备对各个账户的行为进行监控、记录，如果发现有违规操作，应当及时通报并查明原因。为了确保信息系统数据的可用性与完整性，在传输医疗数据的时候，必须要进行完整性检测，如果发现数据破坏，应重新传输数据或是进行数据修复。所有的数据信息都应当进行定时备份，最好是异地备份，防止数据库服务器受到外力破坏，例如水淹、火烧，导致原始数据和备份数据一同丢失。
3结语
网络安全等级保护重要性范文4
【 关键词 】 云计算；云安全；等级保护；虚拟化安全
1 引言
自2006年云计算的概念产生以来，各类与云计算相关的服务纷纷涌现，随之而来的就是人们对云安全问题的关注。目前各个运营商、服务提供商以及安全厂商所提的云安全解决方案，大都根据自己企业对云平台安全的理解，结合本企业专长，专注于某一方面的安全。然而，对于用户来说云平台是一个整体，需要构建云平台的整体安全防护体系。
因此，针对云计算中心的安全需求建立信息安全防护体系已经是大势所趋，云安全防护体系的建立，必将使云计算得以更加健康、有序的发展。
2 云计算的安全问题解析
云计算模式当前已得到业界普遍认同，成为信息技术领域新的发展方向。但是，随着云计算的大量应用，云环境的安全问题也日益突出。我们如果不能很好地解决相关的安全管理问题，云计算就会成为过眼“浮云”。在众多对云计算的讨论中，SafeNet的调查非常具有代表性：“对于云计算面临的安全问题，88.5%的企业对云计算安全担忧”。各种调研数据也表明：安全性是用户选择云计算的首要考虑因素。近年来，云安全的概念也有多种层面的解读，本文所指云安全是聚焦于云计算中心的安全问题及其安全防护体系。
2.1 云安全与传统安全技术的关系
云计算引入了虚拟化技术，改变了服务方式，但并没有颠覆传统的安全模式。从这张对比视图中，如图1所示，可以看出，安全的层次划分是大体类似，在云计算环境下，由于虚拟化技术的引入，需要纳入虚拟化安全的防护措施。而在基础层面上，仍然可依靠成熟的传统安全技术来提供安全防护。
如图1所示，云计算安全和传统安全在安全目标、系统资源类型、基础安全技术方面是相同的，而云计算又有其特有的安全问题，主要包括虚拟化安全问题和与云计算分租服务模式相关的一些安全问题。大体上，我们可以把云安全看做传统安全的一个超集，或者换句话说，云安全是传统安全在云计算环境下的继承和发展。
综合前面的讨论，可以推导出一个基本的认识，云计算的模式是革命性的：虚拟化安全、数据安全和隐私保护是云安全的重点和难点，云安全将基于传统安全技术获得发展。
2.2 云计算的安全需求与防护技术
解决安全问题的出发点是风险分析，CSA云安全联盟提出了所谓“七重罪”的云安全重点风险域。
Threat 1： Abuse and Nefarious Use of Cloud Computing（云计算的滥用、恶用、拒绝服务攻击）；
Threat 2： Insecure Interfaces and APIs（不安全的接口和API）；
Threat 3： Malicious Insiders（恶意的内部员工）；
Threat 4： Shared Technology Issues（共享技术产生的问题）；
Threat 5： Data Loss or Leakage（数据泄漏）；
Threat 6： Account or Service Hijacking（账号和服务劫持）；
Threat 7： Unknown Risk Profile（未知的风险场景）。
信息的机密性、完整性和可用性被公认为信息安全的三个重要的基本属性，用户在使用云计算服务时也会从这三个方面提出基本的信息安全需求。
机密性安全需求：要求上传到云端的信息及其处理结果以及所要求的云计算服务具有排他性，只能被授权人访问或使用，不会被非法泄露。
完整性安全需求：要求与云计算相关的数据或服务是完备、有效、真实的，不会被非法操纵、破坏、篡改、伪造，并且不可否认或抵赖。
可用性安全需求：要求网络、数据和服务具有连续性、准时性，不会中断或延迟，以确保云计算服务在任何需要的时候能够为授权使用者正常使用。
根据云计算中心的安全需求，我们会相应得到一个安全防护技术的层次结构：底层是基础设施安全，包括基础平台安全、虚拟化安全和安全管理；中间是数据安全，上层是安全服务层面，还包括安全接入相关的防护技术。
3 等级保护背景下的云安全体系
3.1 等级保护标准与云安全
自1994年国务院147号令开始，信息安全等级保护体系历经近20年的发展，从政策法规、国家标准、到测评管理都建立了完备的体系，自2010年以来，在公安部的领导下，信息安全等级保护落地实施开展得如火如荼，信息安全等级保护已经成为我国信息化建设的重要安全指导方针。
图3表明了等级保护标准体系放发展历程。
尽管引入了虚拟化等新兴技术，运营模式也从出租机房进化到出租虚拟资源，乃至出租服务。但从其本质上看，云计算中心仍然是一类信息系统，需要依照其重要性不同分等级进行保护。云计算中心的安全工作必须依照等级保护的要求来建设运维。此外，云安全还需要考虑虚拟化等新的技术和运营方式所带来的安全问题。
因此，云计算中心防护体系应当是以等级保护为指导思想，从云计算中心的安全需求出发，从技术和管理两个层面全方位保护云计算中心的信息安全；全生命周期保证云计算中心的安全建设符合等保要求；将安全理念贯穿云计算中心建设、整改、测评、运维全过程。建设目标是要满足不同用户不同等保级别的安全要求，做到等保成果的可视化，做到安全工作的持久化。
3.2 云计算中心的安全框架
一个云计算中心的安全防护体系的构建，应以等级保护为系统指导思想，能够充分满足云计算中心的安全需求为目标。根据前面的研究，我们提出一个云计算中心的安全框架，包括传统安全技术、云安全技术和安全运维管理三个层面的安全防护。
云安全框架以云安全管理平台为中心，综合安全技术和管理运维两个方面的手段确保系统的整体安全。在安全技术方面，除了传统的物理安全、网络安全、主机安全、应用安全、数据安全、备份恢复等保障措施，还需要通过虚拟化安全防护技术和云安全服务来应对云计算的新特征所带来的安全要求。
3.3 云安全防护体系架构
在实际的云安全防护体系建设中，首先要在网络和主机等传统的安全设备层面建立基础信息系统安全防护系统。基础信息安全防护体系是以等级保护标准为指导进行构建，符合等级保护标准对相应安全级别的基本安全要求。
在此基础上，通过SOC安全集中管理系统、虚拟安全组件、SMC安全运维管理系统和等保合规管理系统四个安全子系统共同组成云安全管理中心，如图4所示。通过实体的安全技术和虚拟化安全防护技术的协同工作，为云计算中心提供从实体设备到虚拟化系统的全面深度安全防护，同时通过专业的SLC等保合规管理系统来确保云安全体系对于等级保护标准的合规性。
参考文献
[1] 郝斐，王雷，荆继武等.云存储安全增强系统的设计与实现[J].信息网络安全，2012，（03）：38-41.
[2] 季一木， 康家邦，潘俏羽等.一种云计算安全模型与架构设计研究[J].信息网络安全，2012，（06）：6-8.
[3] 黎水林.基于安全域的政务外网安全防护体系研究[J].信息网络安全，2012，（07）：3-5.
[4] 胡春辉.云计算安全风险与保护技术框架分析[J].信息网络安全，2012，（07）：87-89.
[5] 王伟，高能，江丽娜.云计算安全需求分析研究[J].信息网络安全，2012，（08）：75-78.
[6] 海然.云计算风险分析[J].信息网络安全，2012，（08）：94-96.
[7] 孙志丹，邹哲峰，刘鹏.基于云计算技术的信息安全试验系统设计与实现[J].信息网络安全，2012，（12）：50-52.
[8] 甘宏，潘丹.虚拟化系统安全的研究与分析[J].信息网络安全，2012，（05）：43-45.
[9] 赛迪研究院.关于云计算安全的分析与建议[J].软件与信息服务研究，2011，5（5）：3.
[10] 陈丹伟，黄秀丽，任勋益.云计算及安全分析[J].计算机技术与发展，2010，20（2）：99.102.
[11] 冯登国，孙悦，张阳.信息安全体系结构[M].清华大学出版社，2008：43-81.
[12] 张水平，李纪真.基于云计算的数据中心安全体系研究与实现[J].计算机工程与设计，2011，12（32）：3965.
[13] 质监局，国标委.信息系统安全等级保护基本要求.GB/T 22239—2008：1～51.
[14] 王崇.以“等保”为核心的信息安全管理工作平台设计[J].实践探究，2009，1（5）：73.
[15] Devki Gaurav Pal， Ravi Krishna.A Novel Open Security Framework for Cloud Computing.International Journal of Cloud Computing and Services Science （IJ-CLOSER） ，2012 ，l.1（2）：45～52.
[16] CSA.SECURITY GUIDANCE FOR CRITICAL AREAS OF FOCUS IN CLOUD COMPUTING V3.0.http：///guidance/csaguide.v3.0.pdf，2011：30.
作者简介：
白秀杰（1973-），男，硕士，系统分析师；研究方向：云安全技术。
李汝鑫（1983-），男，本科，项目管理师；研究方向：信息安全技术。
网络安全等级保护重要性范文5
近年来，随着信息安全等级保护工作机制的不断完善，主管部门监督检查力度的不断加大，信息系统开展等级测评的数量稳步增长，测评覆盖率显著提升。通过统计分析本单位近些年测评的数百个信息系统的数据，可以得出以下结论：一是较早开展等级测评的行业，经过测评和整改建设，测评符合率逐年提高;二是随着等级测评工作的持续推进，近期才开展首次测评的行业特别是基层单位的信息安全工作基础较薄弱，测评得分明显偏低。通过对物理安全、网络安全、主机安全、应用安全、数据安全、安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理等10个层面的测评结果进行统计，其中网络安全、主机安全、应用安全、系统运维管理等方面的不符合率相对较高，信息系统的建设、使用、运维阶段存在一些较普遍的问题。
信息系统安全保护措施落实情况分析
整体而言，随着等级测评工作的持续推进，党政机关、企事业单位对信息系统安全等级保护的认识和重视程度得到普遍提升，在管理和技术两方面主要采取了以下安全措施：
信息安全管理措施落实情况
在信息安全管理方面呈现出两级分化的特点。一些重点行业的业务信息化程度高、自身信息技术队伍力量足、信息安全投入经费有保障，其安全管理措施一般也能得到有效落实，在机构、人员、制度、建设管理、运维管理等方面均能较好地符合相关标准的要求。这一类的典型包括银行、证券、电力等行业主管部门对信息安全监管严格的几大行业。相反，部分对信息系统管控相对松散的单位如大专院校、在信息安全投入方面得不到充分保障的单位如基层政府部门，其信息安全专业人员的配备达不到标准规范的要求，安全责任部门地位偏低权限不足，很难制定并有效贯彻落实结合本单位实际的信息安全管理制度。
信息安全技术措施落实情况
多数单位通过部署边界安全设备，强化入侵防范措施来提高网络的安全性;通过加固操作系统和数据库的安全策略，启用安全审计，安装杀毒软件等措施，来提高主机安全防护水平;通过开发应用系统的安全模块，从身份鉴别、访问控制、日志记录等方面，强化业务应用的安全性;通过部署数据备份设备、加密措施，加强对数据安全的保护。
信息系统常见安全问题分析
随着等级测评工作的覆盖面进一步扩大，近年来初次测评的单位和基层部门仍发现一些典型问题。
信息安全意识有待提高
很多单位对当前日趋严峻的网络安全形势认识不足，将信息安全工作视为被动应付上级检查、被动应对安全事件的任务来消极对待。一些单位认为取得“基本符合”的测评结论就高枕无忧，完成测评备案就完成了等级保护。由此造成对信息安全合规的落实不够、资金和人员投入不足、重建设轻运维、有制度无执行、有预案不演练等问题，根源还是安全意识薄弱。
信息安全管理有待加强
信息安全管理不到位主要表现在安全管理制度、系统建设管理、系统运维管理等方面。
信息安全管理制度不完善。基层单位信息安全管理制度不全、人员配备不足、授权审批流于形式、执行记录缺失等问题较为常见。部分单位的信息安全管理制度照搬模版，未结合本单位实际进行修订，导致缺乏可操作性。
系统建设管理不到位。系统建设过程中落实信息安全“同步建设”原则不到位。在软件开发阶段较普遍未遵循安全编码规范，导致安全功能缺失、应用层漏洞频现。在系统验收阶段，很多单位仅注重业务功能验收，缺乏专门的安全性测试;电子政务类项目较普遍未按规定在项目验收环节完成“一证两报告”(即等级测评报告、风险评估报告和系统备案证明)。
系统运维管理不到位。在系统运维管理方面，部分单位运维和开发岗位不分，职责不清，存在一人身兼数职现象。很多单位在信息资产管理、介质管理、变更管理等方面缺乏操作规程和相关记录，数据备份策略不明，应急预案不完善并缺乏演练。
关键技术措施有待落实
分析近年来的测评结果，安全技术措施不足问题主要体现在以下几个方面：
在物理安全方面，随着电子政务集约化建设的推进，大量信息系统已经集中到高规格的专业机房，但仍有部分单位自有机房条件简陋，位置选择不规范，出入管理较随意，防盗防破坏、防雷防火防潮能力较差，环境监控措施不足。
在网络安全方面，常见网络和安全设备的配置不到位，如未合理划分区域、未精细配置访问控制策略、未对重要设备做地址绑定等;较普遍缺少专业审计系统。部分单位设备老旧，安全产品本身存在一定缺陷导致无法满足等级保护要求。个别单位用于生产控制的重要信息系统在网络层面未采取必要安全措施的同时，还违规接通互联网，存在极大的安全隐患。
在主机安全方面，部分单位存在弱口令、不启用登录失败处理和安全审计功能、不及时更新补丁、不关闭非必要服务等问题。此外，由于主流操作系统和数据库很少支持强制访问控制机制，相关要求普遍未落实。
在应用安全方面，很多应用软件安全功能不足，缺少身份鉴别、审计日志、信息加密等能力。由于很少进行安全扫描、渗透测试，相当一部分系统存在高危风险，如SQL注入、跨站脚本、文件上传等漏洞，以及弱口令、网页木马等问题。
在数据安全方面，较常见的是数据保密性和完整性措施薄弱。此外，部分信息系统的备份和恢复措施欠完善，缺乏有效的灾难恢复手段。
针对新技术的等级保护测评标准有待出台
随着浙江政务服务网的大力推进，省内各级政务云平台的建设使用已全面开展，有相当数量的电子政务系统已迁移上云。同时涉及城市公共设施、水电气等工控系统密集的行业对等级保护工作越来越重视，对云计算、工控系统、移动APP等的测评需求不断加大。但现有的《GB/T 22239-2008 信息安全技术 信息系统安全等级保护基本要求》未涉及云计算、工业控制、移动互联等领域，在测评实践中已遇到诸多不适应情况。针对这些新技术新应用的等级保护测评标准需求已非常迫切。
重要信息系统安全保护对策建议
针对上述存在的问题，本文提出以下对策建议，以供参考。
提高信息安全意识
提高全员信息安全意识是全面提升信息安全保障水平的根本解决之道。要树立全体人员的安全观念，加强信息安全培训。除了通过强化工作考核和安全检查来督促信息安全工作的深入开展，还应通过多种方式开展信息安全政策解读和信息安全标准宣贯，强化对全员的安全意识教育和考查。建议结合一些合适的安全职业技能培训，落实信息安全相关岗位“持证上岗”的要求。
加强信息安全管理
“三分技术，七分管理”，各单位应转变观念，将“信息安全”与“系统稳定、功能正常”同等重视起来，将安全管理要求与自身业务紧密结合，制订完善的体系化的安全管理制度。
在系统建设管理过程中，应要求开发人员遵循安全编码规范进行开发;在系统验收环节，应认真做好安全性验收测试。在电子政务领域应落实国家对电子政务项目管理的制度要求，验收阶段完成等级测评，未通过测评的应不予验收。
在系统运维管理方面，应加强制定信息系统日常管理操作的详细规范，明确定义工作流程和操作步骤，使日常运行管理制度化、规范化。对信息资产按重要性进行分类梳理，建立完善应急灾备措施，定期开展演练，确保备份的有效性。
落实关键技术措施
针对测评发现的问题，各单位应根据系统所定级别，结合自身条件，综合考虑问题的影响范围、严重程度、整改难度等因素，制定整改计划，有步骤地落实相关技术措施。对于策略配置类的问题及时纠正;对于整改难度大、需要添置硬件或修改代码的问题，应在充分测试和试运行的基础上实施整改。对于强制访问控制、敏感标记、双因子鉴别等难点问题，建议国家加强相关产业政策的引导，促进安全厂商研发技术、推出产品，解决市场供应问题。各级主管部门应通过测评、整改、监督检查、再测评的闭环管理，督促关键技术措施的落实。
加快新技术的等级保护测评标准编制工作
目前公安部信息安全等级保护评估中心在牵头起草针对云计算安全的等级保护标准，尚处于征求意见阶段。其余新技术领域的等级保护标准制定工作进度更晚，随着智慧城市、云计算、大数据、移动互联、工业控制等新技术的快速应用，安全标准相对滞后的问题更加突出，应进一步加快相关新标准的制定。
网络安全等级保护重要性范文6
［关键词］网络安全；校园网；防火墙
前言
东北财经大学经过不断发展、完善的信息化历程，完成校园网络广泛覆盖和带宽升级。同时学校数据服务区运行着包括门户网站、电子邮箱、数字校园、移动办公等重要业务系统，随着各类应用系统的不断上线，逐步构成了一个服务于学校师生的重要综合性校园网络平台。但另一方面，承载学校业务流程的信息系统安全防护与检测的技术手段却仍然相对落后。在当前复杂多变的信息安全形势下，无论是外部黑客入侵、内部恶意使用，还是大多数情况下内部用户无意造成的安全隐患，都给学校的网络安全管理工作带来较大压力。而同时，勒索病毒爆发、信息泄露、上级部门要求、法律法规监管等，都在无形中让学校的信息安全管理压力越来越大。笔者根据《网络安全法》和网络安全等级保护2．0标准的要求，在现有的架构下对东北财经大学校园网络进行了安全加固设计，提升了校园网主动防御、动态防御、整体防控和精准防护的能力。
1现状及问题
在互联网攻击逐渐从网络层转移到应用层的大背景下，学校各类业务系统在开发时难免遗留一些安全漏洞，目前学校安全防护仅在校园网出口部署了网络层面的安全网关设备，传统网络层防火墙在面对层出不穷的应用层安全威胁日渐乏力。黑客利用各种各样的漏洞发动缓冲区溢出，SQL注入、XSS、CSRF等应用层攻击，并获得系统管理员权限，从而进行数据窃取和破坏，对学校核心业务数据的安全造成了严重的威胁。数据的重要性不言而喻，尤其对学校的各类学生信息、一卡通等财务数据信息更是安全防护的重中之重，如有闪失，在损害学校师生利益的同时也造成很大的不良影响和法律追责问题。东北财经大学出口7Gbps带宽，由电信、联通、移动、教育网等多家运营商组成。随着学校的网络规模扩大以及提速降费的背景，互联网出口将会达到15Gbps带宽以上，原有的带宽出口网关弊端显露：具体包括网关性能不足，无法支持大带宽，老旧设备无法胜任大流量的转发工作；IPv6网络不兼容，无法平滑升级，后续无法满足国家政策进行IPv6改造的规划；上网审计和流量控制功能不完善，原有网关未集成上网行为审计功能，未能完全满足网络安全法，保障合规上网；不支持基于应用的流量控制，带宽出口的流量控制效果不佳；对上网行为缺乏有效管理和分析手段，针对学生上网行为没有好的管理手段和分析方法。同时等级保护2．0也对云安全和虚拟化环境下的网络安全问题作了要求。东北财经大学信息化建设起步较早，目前校内数据中心的绝大部分已经实现了虚拟化，主要业务系统均在虚拟机上运行，虚拟化技术极大地提升了硬件资源的利用率和业务的高可用性，但现有的120余台虚拟机的安全隔离和虚拟化环境的东西向流量控制成为安全建设的新问题。为了响应《网络安全法》以及国家新颁发的网络安全等级保护2．0的相关要求，提高东北财经大学数据中心的整体安全防护与检测能力，需要在以下几个方面进行安全建设：（1）构建安全有效的网络边界。主要通过增加学校数据中心的边界隔离防护、入侵防护、Web应用防护、恶意代码检测、网页防篡改等安全防护能力，减少威胁的攻击面和漏洞暴露时间。（2）加强对网络风险识别与威胁检测。针对突破或绕过边界防御的威胁，需要增强内网的持续检测和外部的安全风险监测能力，主要技术手段包括：网络流量威胁检测、僵尸主机检测、安全事件感知、横向攻击检测、终端检测响应、异常行为感知等。（3）形成全网流量与行为可视的能力。优化带宽分配，提升师生上网体验；过滤不良网站和违法言论，保障学生健康上网和安全上网；全面审计所有网络行为，满足《网络安全法》等法律法规要求；在网络行为可视可控的基础之上，需要进一步形成校园网络全局态势可视的能力。
2网络安全加固技术方案
按原有拓扑，将东北财经大学校园网划分为校园网出口区、核心网络区域、数据业务区域、运维管理区域、校园网接入区五个安全区域，并叠加云端的安全服务。各个区域通过核心网络区域的汇聚交换与核心交换机相互连接；校园网出口区域有多条外网线路接入，合计带宽7Gb，为校园网提供互联网及教育网资源访问服务；数据业务区部署2套VMware虚拟化集群和1套超云虚拟化集群，承载了学校门户网站、电子邮件、数字化校园、DNS等各类业务系统；运维管理区域主要负责对整体网络进行统一安全管理和日志收集；校园网接入区教学楼、办公楼、图书馆、宿舍楼等子网，存在大量PC终端供学校师生使用；另外学校的教学楼、办公楼均已实现了无线网络的覆盖。在数据业务区域与核心网络区域边界部署一台万兆高性能下一代防火墙，开启IPS、WAF、僵尸网络检测等安全防护模块，构建数据业务区融合安全边界。通过部署下一代防火墙提供网络层至应用层的访问控制能力，能够实现基于IP地址、源／目的端口、应用／服务、用户、区域／地域、时间等元素进行精细化的访问控制规则设置；提供专业的漏洞攻击检测与防护能力，支持对服务器、口令暴力破解、恶意软件等漏洞攻击防护，同时IPS模块可结合最新威胁情报对高危漏洞进行预警和自动检测；提供专业的Web应用防护能力，针对SQL注入、XSS、系统命令注入等OWASP十大Web安全威胁进行有效防护，同时提供网页防篡改、黑链检测以及恶意扫描防护能力，全面保障Web业务安全；提供内网僵尸主机检测能力，通过双向流量检测和热门威胁特征库结合，实现对木马远控、恶意脚本、勒索病毒、僵尸网络、挖矿病毒等威胁进行有效识别，快速定位感染主机真实IP地址。在校园网出口区部署高性能上网行为管理，对校园网出口流量进行全面管控，上网行为管理设备部署在核心交换机和出口路由器之间，所有流量都通过上网行为管理处理，实现对内网用户上网行为的流量管理、行为控制、日志审计等功能，设备提供IPv4／IPv6双栈协议兼容，有效满足IPv6建设趋势下网络的平滑改造。为了有效管控和审计，设备选型必须能够全面识别各种应用：（1）支持千万级URL库、支持基于关键字管控、网页智能分析系统IWAS从容应对互联网上数以万亿的网页、SSL内容识别技术；（2）拥有强大的应用识别库；（3）识别并过滤HTTP、FTP、mail方式上传下载的文件；（4）深度内容检测：IM聊天、网络游戏、在线流媒体、P2P应用、Email、常用TCP／IP协议等；（5）通过P2P智能识别技术，识别出不常见、未来可能出现的P2P行为，进而封堵、流控和审计。通过强大的应用识别技术，无论网页访问行为、文件传输行为、邮件行为、应用行为等都能有效实现对上网行为的封堵、流控、审计等管理。同时，也要提供网络流量可视化方案，管理员可以查看出口流量曲线图、当前流量应用、用户流量排名、当前网络异常状况（包括DOS攻击、ARP欺骗等）等信息，直观了解当前网络运行状况。对内网用户的各种网络行为流量进行记录、审计，借助图形化报表直观显示统计结果等，帮助管理员了解流量用户排名、应用排名等，并自动形成报表文档，全面掌控用户网络行为分布和带宽资源使用等情况，了解流控策略效果，为带宽管理的决策提供准确依据。同时支持多线路复用和智能选路功能，通过多线路复用及带宽叠加技术，复用多条链路形成一条互联网总出口，提升整体带宽水平。再结合多线路智能选路专利技术，将网流量自动匹配最佳出口。具备全面的合规审计及管控功能，支持对内网用户的所有上网行为进行审计记录，满足《网络安全法》的要求，能有效防范学生网上不良言论、访问非法网站等高风险行为，规避法律风险。在数据业务区物理服务和3个虚拟化服务器集群上每台虚拟机安装EDR客户端，针对终端维度提供恶意代码防护、安全基线核查、微隔离、攻击检测等安全能力，打通物理服务器、Vmware集群和超云集群，进行统一的主机／虚拟机逻辑安全域划分，同时实现云内流量可视、可控，满足等保2．0云计算扩展项要求。通过部署EDR构建立体可视的端点安全能力，实现全网风险可视，展示全网终端状态分布，显示当前安全事件总览及安全时间分布全网终端安全概览，支持针对主机参照等级保护标准进行安全基线核查，快速发现不合规项。部署于每台VM上的端点agent，能够对云内不同VM、不同业务系统之间的访问关系、访问路径、横向威胁进行检测与响应，EDR与虚拟化底层平台解耦合，解决多虚拟化环境下的兼容性问题，构建动态安全边界。构建多维度漏斗型检测框架，EDR平台内置文件信誉检测引擎、基因特征检测引擎、人工智能检测引擎、行为分析检测引擎、安全云检测引擎，从多维度全面发现各类终端威胁。
3结语
通过该方案，提升了威胁防护、风险应对能力。能够从容应应对勒索病毒、0Day攻击、APT攻击、社会工程学、钓鱼等新型威胁手段。通过全面的安全可视能力，简化运维压力，可以极大降低运维的复杂度，提升安全治理水平，达到了设计要求。
参考文献
［1］李锴淞．对于校园网络建设及网络安全的探讨［J］．数字通信世界息，2019（8）．
［2］李锴淞，邹鹏．高校校园网合作运营探索［J］．网络安全和信息化，2019（9）．
［3］臧齐圣．浅谈校园网络安全防控［J］．计算机产品与流通，2019（9）．
［4］王岩红．高校校园网安全现状及优化探讨［J］．网络安全技术与应用，2019（8）．
