前言：中文期刊网精心挑选了网络安全保障体系建设范文供你参考和学习，希望我们的参考范文能激发你的文章创作灵感，欢迎阅读。
网络安全保障体系建设范文1
【关键词】电子档案；信息安全保障体系；建设
对于电子档案而言，其主要是建立在计算机和网络技术的基础之上，属于相对较新的事物，对档案工作具有极大的推动作用。但是，在实际应用中，鉴于诸多因素的影响，使得其在安全问题上面临挑战，因此，要加强电子档案信息安全保障系统建设。
一、对电子档案信息安全保障体系概念的分析
电子档案的信息安全保障体系，主要是借助一定的安全策略，应用先进和科学的安全技术，实现对电子档案信息的有效防护和监控，保证电子档案信息在整个保存和处理中的安全性，提高并保证档案信息的真实性和完整性，彰显动态的调整功能，主要是由防护、检测、反应和恢复四个环节，实现持续发展的动态过程。
二、全面介绍电子档案信息安全保障体系的组成部分
（一）重视法制标准保障的全面建设。1.注重建立更加专业的电子档案信息安全法律。当前，电子档案信息安全相关法律主要在刑法、档案法中有所体现，但是，缺少专业性的电子档案信息安全法，在一定程度上使得电子档案信息在保护和执行方面力度不够。因此，需要重视安全法规的建设，形成具有针对性的安全保障措施，针对破坏现象，进行相应的处理，同时，强化执法强度，保障电子档案管理能够有法可依，强化执法力度。2.重视完整的电子档案信息安全立法。在档案信息安全立法中，缺乏严谨的结构体系，缺陷比较明显，主要包含相关的公开制度、隐私权法律制度、网络知识产权等。3.形成全面的档案信息安全标准体系。对于档案信息安全标准体系，其发展较晚，属于初级发展时期，缺乏完整性和健全性，因此，要立足基础、技术和管理标准，进行标准体系的建设。在系统运行中，要注重对新型系统的设计、验收、运行和维护，在根本上实现电子档案安全管理的有序进行。
（二）做好基础设施保证建设工作。对于电子档案信息的传递和运行，基础设施建设必不可少，主要是立足硬件系统和运行技术架构，实现对安全信息技术环境的营造。在基础安全架构中，要立足网络安全架构，结合软硬件，实现安全系统的有效部署。在进行架构设计的时候，需要针对功能进行分区，实现对网络功能的明确，设置保护等级，同时，进行信息访问权限的限制。
（三）全面加强组织管理保证建设。1.将先进的管理思想渗透其中。对于电子档案，需要重视前端和全程控制管理思想，立足文件到档案的全周期监控，能够及时发现其中的问题，保证监督的有效性。要重视分级管理，结合文件价值，进行安全管理，强化管理力度。要将风险管理的思想融入其中，进行有效评估，形成对策，降低档案安全风险。2.重视建立权威性的信息安全管理机构。对于档案管理机构，只有保证其权威性，才能提高管理工作的高度。在组织上，需要重视职能的划分，在根本上保证对信息安全管理工作的战略性指导，也能够做好具体工作，形成详细的应对策略。3.重视对基础设施配置的管控。在进行基础设置配置的时候，需要重视对各种参数的考量，保证其根本的稳定性与可靠性，达到安全运行的目的。同时，要重视对地址的选择，保证各方面要求能够达到技术要求。4.设计更具可靠的电子档案安全管理系统。对于电子档案管理而言，信息技术十分关键，需要保证安全性与稳定性。为此，在设计的时候，结合控制的思想，立足档案管理的责任，在根本上满足档案安全功能的需要，尤其是强化权限、监控等功能等。
（四）加强安全技术保障工作。1.将物理安全平台的构件作为重要工作来抓。对于网络电子信息的安全性，物理安全发挥重要的作用，主要针对环境、设备和媒体安全几个方面，有效防护环境的安全性，保证设备稳定性，避免干扰现象，保证数据的安全性。2.加强对电子档案安全管理的网络支持。主要包含传输和业务网络两个部分。其中，传输网络安全能够有效维护电子档案传输的稳定性，有效保证网络服务的可靠性。而对于业务网络安全，主要对病毒的防范、对防火墙的设置以及对网络的监控，实现对档案信息系统业务资源的有效防护。
三、结语
综上，电子档案信息安全保障体系具有系统和综合性，重视法制建设标准，立足基础安全设施，重视整体安全策略和组装，借助先进的安全防范机制，保障档案信息资源的高安全性、高可靠性和高可用性。同时，积极促进档案整体信息化应用水平的全面提高，为信息化建设保驾护航。
【参考文献】
[1]黄昌瑛.电子档案信息安全保障策略研究[D].福建师范大学，2007.
[2]刘俊玲.档案开放利用的信息安全保障研究[D].安徽大学，2012.
网络安全保障体系建设范文2
一、互联网金融时代，金融信息安全面临的主要挑战
互联网金融信息安全不仅面临着互联网自身存在的安全风险，还面临着金融业务新技术与新形势的挑战，后者也为互联网金融的发展提供了诸多发展障碍。1、互联网金融信息安全保障体系的建设速度滞后于互联网金融业务的发展速度。由于互联网技术的不断创新与发展，为金融业务提供了全新的发展平台与端口，众多理财、保险类互联网金融业务乘着互联网技术的发展态势不断涌出，在相关的金融信息安全保障体系尚未建立与完善之际，这种互联网金融业务的发展无疑是一种如履薄冰的繁荣。网络病毒的侵袭使得这种互联网金融业务的安全运行成为了一种偶然，如果不能及时构建严密的金融信息安全保障体系，那么互联网金融的发展则会变成无稽之谈。2、层出不穷的互联技术应用是当前金融信息安全面临的最大挑战。由于第三方支付平台的出现以及大数据等新兴分析技术的兴起，打破了传统金融业务的运行机制，也为消费者的金融信息安全增添了更多威胁。互联技术应用已经成为互联网金融发展的重要支撑，因此必须为其制定出相应的安全管理策略，来保证其安全运行。3、网络安全防控是互联网金融信息安全防范的难点。互联网金融发展面临的另一重要安全隐患便是互联网自身存在的安全漏洞。互联网由于其自身的开放性和匿名性特点，为许多网上金融犯罪提供了便利，这也是互联网金融信息安全防范的重难点。要想依附互联网这一平台展开相关金融业务，必须在网络安全防控方面有所作为。
二、相关对策建议
1、完善顶层设计，尽快构建适应互联网金融发展需要的金融信息安全保障体系。互联网金融的安全平稳运行离不开相关保障体系的保驾护航，我国当前已经存在的金融信息安全保障体系主要是根据传统金融信息安全问题而建立的，这显然已经不适应当前发展得日新月异的互联网金融的信息安全需要。所以，国家必须做好相关顶层设计，在安全保障技术方面提供最严密、最尖端的技术支持，加快金融信息安全方面的人才建设，在对当前金融信息安全保障体系进行完善的前提下，时刻关注互联网金融业务的整体发展态势，以实现金融信息安全问题的有效预测与防范。2、加快安全网络体系建设，最大限度提升金融网络防御攻击的水平。作为互联网金融业务发展依附的主要平台，互联网有必要进一步减少自身存在的安全隐患，从而为金融网络的自身防御提供高安全系数的保障。互联网可基于大数据分析，对于不同的金融业务平台进行相关数据分析，为互联网金融业务所的平台进行信用评估，从而为消费者进行选择时提供相关参考性意见。3、加强对新生金融实体从事互联网金融业务的信息安全保障。新生金融实体开通互联网金融业务时，在很大程度上会存在信息安全保障不到位的现象，因此，国家需要对这些新生互联网金融业务进行相关审批，制定出相关的考核检验标准，考核检验新生互联网金融业务的整体发展实力以及相关安全保障体系的建设与投入，严格遵守为消费者负责的态度，为我国的互联网金融发展的大环境保驾护航。4、积极探索适合监管互联网金融的金融信息安全防范措施。由于我国互联网金融的发展处在发展初期，因此缺乏相关管理经验，所以，我国可以借助国外先进互联网金融信息安全管理经验，对我国的互联网金融信息安全保障体系建设提供相应的支持。还可以展开国际互联网金融信息安全管理合作，因为互联网金融是面向世界各国的业务，单纯依靠一个国家的力量无法对涉及国际金融信息安全的问题实现有效处理。
三、结语
网络安全保障体系建设范文3
1我省林业信息化安全形势严峻
我省林业系统信息安全面临的形势不容乐观，从省直机关及部分地市单位的调查结果看，有39％的单位发生过信息安全事件，说明我省林业系统网络和信息安全基础还比较薄弱，保障机制尚待健全。主要有以下四个方面表现。
1.1从发生信息安全事件的结构上看，超过半数的属于感染病毒、木马。引起事件的原因35.5%来自于单位外部，主要原因是未修补或升级软件漏洞。42.2%的事件损失比较轻微，只有0.9%的事故属于比较严重。而对于事件的觉察，36%是通过网络管理员工作监测发现，22.7%是事后分析发现。这说明，我省林业网络安全形势总体上是好的，但也说明网络与信息安全事件总体防范能力不足，缺乏对安全事件的提前预防。
1.2从信息安全管理来看，有74%的单位制定了安全管理规章制度，78%的单位能做到随时进行安全检查，61.1%的部门在管理中采取口令加密。这说明林业系统内大部门单位已经认识到了信息安全的重要性，但管理手段单一，技术落后，缺乏有效的身份认证、授权管理和安全审计手段。
1.3从信息安全投资来看，只有14.70%的单位信息安全投入达到了15%，70%的单位信息安全投资低于信息化项目总投资的10%，甚至还有7%的单位在信息安全方面从来没有过投资。说明整体网络与信息安全投入明显不足。
1.4从专职人员配备情况来看，只有46%的部门有专职的信息安全人员，大部分是兼职人员或外包服务。仅有3.8%的单位组织了对单位全体员工的信息安全培训，而对于网络安全管理技术人员的培训也只有46%的单位搞过。从业人员不足，安全培训少，也是影响信息安全的一个重要因素。上述现状，反映出我省林业系统网络与信息安全意识淡薄，信息系统综合防范手段匮乏，信息安全管理薄弱，应急处理能力不强，信息安全管理和技术人才缺乏。随着我省林业信息化建设和应用的加快，多样化的侵害和信息安全隐患将会不断地暴露出来，使我省林业网络与信息安全工作面临着更大的威胁和风险。
2我省林业系统信息安全保障思路及主要任务
省委省政府关于建设“平安山东”的决定，提出了把我省建设成为全国最稳定、最安全的地区之一的明确目标和任务，切实加强网络与信息安全保障工作是大力推进国民经济和社会信息化的重要保障，是平安山东建设的重要内容。省政府印发的山东省国民经济和社会信息化的十二五规划，把信息安全保障体系作为主要内容之一。在此基础上，林业信息化建设以全面提高网络与信息安全的保障能力为己任，努力开创了我省信息化建设与信息安全保障体系相互适应、共同进步的新局面。
2.1信息安全保障工作的思路以科学发展观为指导，认真贯彻“积极防御，综合防范”的方针，加强网络信任体系、信息安全监控体系和应急保障体系建设，全面提高林业系统网络与信息安全防护和应急事件处置能力，重点保障我省林业基础信息网络和重要信息系统安全；强化林业信息安全制度建设和人才队伍建设，充分发挥各方面的积极性，协同构筑我省网络与信息安全保障体系。
2.2信息安全保障工作的主要任务
2．2．1建立健全我省信息安全管理体制，充分发挥网络与信息安全建设的作用，建立了信息安全的通报制度，形成我省林业信息安全相关部门密切配合的良好机制。
2．2．2积极推进了信息风险评估和等级保护制度的建立。省信息办制定了山东省信息安全风险评估实施办法，介绍了实施风险评估的方法和流程，十一五期间，已选取了多家单位作为试点，下一步将根据自己工作实施风险评估，并争取在全省范围内推广。
2．2．3大力促进网络与信息安全的制度建设，积极贯彻有关信息安全标准的应用和推广，出台了林业系统网络信息安全建设的指导意见。
2．2．4加强信息安全应急处置体系建设，利用现有的专业队伍和技术资源，规划和建设林业数据备份中心，启动建设信息化应急技术处理中心，逐步实现为我省林业网络信息安全提供预警、评测等服务，按照“谁主管谁负责、谁运营谁负责”的要求，各部门出现问题及时处理，如果处理不了，可以呼叫应急中心通过技术手段判断突发事件的原因。
2．2．5加强人才队伍培养和建设。不定期的举办了面向工作人员提高安全意识、防范意识的培训，对从事信息化的专业人员建立管理培训的制度。
3加快我省林业信息安全保障体系建设进程的建议林业信息安全保障体系的建设是关系我省民生的大事，做好这项工作十分重要。
3.1充分认识做好信息安全保障工作的重要意义。目前对信息安全问题不少人仍然缺乏全面的、深刻的认识，现有各个部门在安全工作中缺乏安全防范的意识，安全防护注重于系统外部，忽略了系统内部的安全管理措施，安全保障缺乏循环、良性的提高，不能自主发现和及时消除安全隐患，对安全工作仍然不同程度的存在“说起来重要，忙起来次要，干起来不要”的问题。各单位各部门要从经济发展、社会稳定的高度充分认识信息安全的重要性，增强紧迫感、责任感和自觉性。
3.2正确把握加强信息安全保障工作的总体要求。要坚持积极防御、综合防范的方针，正确处理发展与安全的关系，坚持以发展求安全、以安全保发展，同时管理与技术并用，大力发展信息技术的同时，切实加强信息安全管理工作，努力从预防、监控、应急处理和打击犯罪等环节在法律、管理、技术、人才各方面采取各种措施全面提升信息安全的防护水平。
3.3突出重点，抓好落实。各部门要制定工作重点，加强信息安全体系建设和管理，最大限度的控制和限制安全风险，重点保障基础信息网络和重要信息系统的安全，做好应急服务工作，尽可能的防止因信息安全问题造成的重要信息系统的大面积的出现问题。防止数据丢失和错误，避免对社会造成的损失。
网络安全保障体系建设范文4
1 综合治理信息安全的战略背景
IT管理技术发展历程，从被动管理转向主动管理，从服务导向转向业务价值。在科学的IT管理方法论方面形成了一系列标准：诸如ITIL/ITSM以流程为中心的IT管理行业标准;ISO20000ITIL 的国际标准; COBIT面向IT审计的IT管理标准;COSO企业内部控制框架，面向内部控制;ISO17799：信息安全管理国际标准。当前有很多非常好的综合性标准与规范可以参考，其中非常有名的就是ISO/IEC27000系列标准。ISO/IEC 27001通过PDCA过程，指导企业如何建立可持续改进的体系。
目前企业IT运维管理现状。需求变化：IT本身快速变更;管理目标多角度变换并存。资源不足：IT 复杂性成长快于人员成长;IT 人员持续流动。业务影响：难以判断事件对业务的影响和处理事件的优先级。信息孤岛：IT 资源多样性的，不能进行事件的关联分析，缺少统一的健康视图。IT网络与信息系统运维存在监测盲点，缺少主动预警和事件分析机制。
如何把此项复杂的工程进行细化与落地，建立信息安全保障框架?在企业有限的IT资源(包括人员、系统等)等的前提下，IT运营面临严峻的挑战，企业多半缺乏信息系统应用开发能力，在很大程度上依赖于产品开发商的支持，为此，要想实现从混乱到清晰、从被动到主动、从应付到实现价值取向的服务思想，自主加外包的混合运维方式无疑是一种好的服务方式。
2 建立和实施信息安全保障体系思路和方法
针对IT管理问题和价值取向的服务方式，借鉴PDCA工作循环原理和标准化体系建设方法，从建立安全目标和组织体系、制度体系和技术体系等三个主要层面构建实施信息安全保障体系，以规范引导人、以标准流程引导人，以业绩激励人，从而促被动变主动，坚持持续改善，促进工作效率，促进安全保障。
2.1 建立和推行目标管理
体系建设应以目标管理为先导、循序渐进，按顶层布局、中层发力、底层推动内容设计与构建，为此，借鉴当前IT运维管理目标演进方式，确立各阶段建设目标。
基础架构建设阶段(SMB)，手工维护阶段。主要实现IT基础架构建设。
网络和系统监控(NSM)阶段，重视自动化监控阶段。主要实现IT设备维护和管理。
IT服务管理(ITSM)阶段，重视流程管理阶段。主要实现IT服务流程管理。
业务服务管理(BSM)阶段，重视用户服务质量与满意度。主要实现IT与业务融合管理。
从IT投入和业务价值来看，前三个阶段是间接业务价值，第四阶段才是直接业务价值。
根据ITIL这个IT服务管理的方法论，先是搭建一个框架，借用工具的配合促进落地。如图1、IT运维管理系统参考模型。
从安全目标出发，结合IT运维管理系统参考模型，每个阶段的工作向着实现直接业务价值，不断消除或减轻对性能的约束，促进IT产品或服务满足确定的规范，实现企业效益最大化。服务好用属性通过最终的绩效和检验结果监视测量价值成分。如图2。
2.2 规划融合信息安全保障体系
通过从组织体系、制度体系、技术体系层面建立和实施纵深防御体系，实现稳健的信息安全保障状态。
①组织体系：通过企业中高层的支持实现业务驱动和共同推动信息安全体系建设。当然，需要提出的问题，组织有可能要依赖长期可靠的合作伙伴：通过长期可靠的合作关系，快速引进外部专业资源和先进技术，可以帮助企业推动信息安全建设工作。为了帮助组织内外信息系统人员更好地遵守行业规范及法律要求，企业实施IT网络与信息系统安全运维体系标准，组织应做到定期对全体员工进行信息安全相关教育，包括：技能、职责和意识，通过相关审核，证明组织具备实施体系的意识和能力。
②制度体系：企业IT网络与信息系统安全运维系统建设的范围包括机房安全、数据安全、网络安全、服务器安全、业务应用安全、终端安全等。为此，企业应明确内部运维和外部协同的内容及其标准规范，包括绩效标准。建立实施IT网络与信息系统安全运维体系标准，首先把高效的信息安全做法固化下来形成规则制度或标准，成为组织中信息安全行为准则。保证事前预防、事中监控和事后审计等安全措施的得到有效执行与落实。
③技术体系：一般来说，网络设备技术体系可以按照从上到下信息所流经的设备来部署工具。即从数据安全、终端安全、应用安全、操作系统与数据库安全、网络安全、物理安全六个方面来选择不同的安全工具。按照“适度防御”原则，综合采用各种安全工具进行组合，形成企业“适用的”安全技术防线。适时根据风险评估的结果，采取相应措施，降低风险。
其中，需要采用1～2种综合管理的工具来帮助把所有的安全监控工具进行统一管控。例如SOC是给企业日常维护管理者使用，ITRM作为综合风险呈现，是给企业风险或安全管理层使用。
④体系运行和监控：体系的日常运行和监控就是从信息的生命周期进行流程控制，即在信息的创建、使用、存储、传递、更改、销毁等各个阶段进行安全控制。之前不能忽视在信息创建开发安全阶段的一个细化控制手段。在运行体系建设中，往往需要结合流程分析来关注信息的生命周期安全。运行过程中还有一个应急管理，包括灾备中心建设、业务连续性计划、应急响应等等都有相应的标准与理论支持。特别是BS25999标准的颁布，给如何建立一套完善的应急体系提供了参考。
3 企业建立和实施信息安全保障体系实践
面对网络系统互连，网络技术与设备的安全管理规范的完善这个复杂而且浩大的工程，井冈山卷烟厂不仅依靠个体分散的技术措施或者管理防护，而且结合国家、社会和个人的力量构建综合保障体系。
①依据ISO9000、ISO14000和OHSAS18000标准，国家计算机网络和信息安全相关法律法规，参考当前科学的IT管理方法论方面形成了一系列标准，结合YC/T384烟草企业安全生产标准等，识别这些与信息安全相关的法律法规及其它要求，将信息安全保障体系(框架)融合到企业质量、环境和职业健康安全(以下简称为三标)综合管理体系。
②确定信息安全管理目标并分步实施企业三年信息化发展规划。自2012年开始，企业对照YC/T384烟草企业安全生产标准要求，在梳理和评价2000年以来企业多个企业信息化三年实施规划实践环境以后，制订了新的三年信息安全管理目标和建设规划，将目标和规划分解到各年度实施，并纳入到企业年度三标综合管理体系建设目标和管理绩效考核。
③建立信息安全管理组织和工作标准，同时纳入三标综合管理体系管理考核。从体系结构上促成企业作业层、管理层(中间层)和决策层的信息化，实现企业的物资(服务)流、资金流和信息流的一体化，及时、准确和完整地传递企业的经营数据，保证企业的经营管理。利用信息化改进管理，形成企业信息安全文化，促进员工接受、理解和主动配合，不断提升全员的信息安全意识和技能，从而使信息安全管理真正落到实处。
④建立和实施信息安全保障体系文件标准。根据国家信息安全相关的法律法规及其它要求，结合行业和企业的特点和发展趋势，规范管理流程和模式。网络与信息系统建设“立足长远、分步实施、突出重点”，做到“统一规划、统一标准、统一平台、统一编码”，同步实施信息系统等级保护制度，促进企业与信息系统项目合作单位、地方通讯和公安等部门的社会化合作主要方式。企业内部各项工作实现规范化、信息化，做到一切工作都按照程序办，同时，事事处于相互制衡的环境之下、人人处于监督管理之中，从而形成职责明确、运转协调、相互制衡的工作机制，为企业内部信息安全监管提供强有力的保障。
几年来，企业坚持企业信息安全方针目标，以迅速响应服务为宗旨。企业信息安全保障体系建设紧紧围绕建立科学、规范、和谐、统一、开放的管理体系，全面融入了质量、安全和环境管理体系一体化建设和实践，截止到2015年底，企业共梳理建立或整合并实施安全保障类文件包括企业管理标准、技术标准和工作标准共计31个标准文件。通过创新与改善和体系审核、管理评审和提高文件执行率及持续改进方式保持了信息安全保障管理体系的持续改进和有效运行。
网络安全保障体系建设范文5
确保信息网络安全正在成为新世纪国家安全的重要基石和基本内涵。这就向我们提出了一个迫切需要解决的重大战略性问题，即:如何切实保障信息网络安全，以确保我国信息化建设快速、平稳、健康发展，避免信息网络安全问题导致社会危机的发生。
同时，它也要求我们必须结合国情，从“发展是硬道理”出发看待和把握信息安全问题，对我国信息化发展进程中面临的信息安全威胁演变趋向加以冷静分析、正确判断，制定科学、务实、有效的安全保障战略。
提升应急能力
面对全球一体化的互联网环境，国家公共互联网应急体系的建立和应急处理能力的提高，并不能仅仅依靠政府的力量，而是需要世界各国相关组织在技术、资源、经验方面的共同合作，需要政府与企业、全社会每个人的互动。
在互联网这样一个复杂的巨系统中，如何提高应急响应的处理水平确是摆在我们面前的巨大难题。目前的应急管理无法适应日益复杂的安全系统的要求。为了解决这些问题，我们在方法学上提出了“综合集成”的思路，即自上而下、自下而上的结合（如图1所示）。
要落实综合集成的方法论就要综合治理，不仅靠一个部门或一个企业制定信息安全应急预案，而且需要建立一个全球相互协作体系。在统一的标准、一致的应急处理方法下，达到体系的高度灵活性。
同时，我国也必须要建立自己的体系，并与全球的相关组织紧密合作，实现从定性到定量的协调机制。在不断变化的技术环境中，今天最好的安全措施可能在明天会过时。安全措施必须紧跟这些变化，必须作为系统开发生命周期中的一重要组成部分加以考虑，并在每一阶段明确其定位。
信息安全常被看作是一个技术问题，少有组织认为它是组织必需优先考虑的对象。 信息安全治理是我国信息安全保障体系建设的战略需求。我国信息安全治理的方针和战略是:以单项治理为主向以综合治理为主转变;从注重事后处理向以事前预警为重点转变;从与电子政务和电子商务实际应用系统的松散结合向紧密相结合转变;为经济社会协调发展提供支撑;以人为本、自主创新、协同集成、重点跨越。
避免误区
在评估和把握我国信息安全形势的走向时，要避免出现两种倾向:一是在信息安全领域中尚不存在特别重大威胁的情况下，对信息安全问题的演变趋势估计不足、重视不够，给国家信息化的持续发展留下安全隐患;二是对信息安全领域诸多属于一般性威胁问题的严重性估计过高，把技术与管理不健全而造成的安全问题视为战略问题，造成人力、财力的浪费，给国家管理和社会进步增添负担。
思路和原则
抓住我国综合实力进一步增强和加入WTO的机遇，统筹我国信息安全保障体系建设，在自力更生基础上按需引进、充分利用和借鉴国外先进技术与管理经验，在15～20年时间内，坚持与时俱进、求真务实的精神，通过统一规划、分步实施，政府引导、全民参与的方式，通过信息安全治理，建立起完整的国家信息安全保障体系。应该按照如下原则来进行安全保障体系的建设:
坚持风险管理原则完全避免风险是不现实的，要对关键领域的信息安全风险进行识别和评估，采取必要的保护措施和应急措施来降低风险，使之控制在可承受的范围内。
明确统筹兼顾原则在实施策略方面，要明确国家、企业和个人在信息安全方面的责任和义务，充分发挥各方面的积极性;要统筹城乡信息安全建设，协调区域化信息安全建设与全国信息安全建设。
重视经济实用原则切忌空谈和夸大，量力而行，突出重点。以我国信息安全领域最急需开展的工作作为突破点，扎实地做好信息安全工作。管理上要将关键信息网络安全的整改作为信息安全建设的切入点，技术上要采用综合集成思想，逐步完善关键基础设施的安全保障，切实提高信息安全防护能力。
遵循循序渐进原则信息安全战略要与国家信息化发展和社会转型相适应，采取统一规划、分步实施，以及短期和中长期目标相结合的方式进行。
治理三阶段
国家信息安全战略的总体目标是保障关系到国计民生的信息基础设施的适度安全，实现国家对信息化环境与内容的治理（如图2所示）。
第一阶段，打基础、保重点，初步建立我国信息安全防护体系。
战略重点是保障“3＋7”关键基础网络安全、信息内容安全和加强网络监管。战略目标是确保国家信息化建设健康、稳步地发展。
保护关键基础网络安全指由电信网、广播电视网和互联网构成的三个基础网和由税务、电力、银行、证券、海关、铁道、民航构成的七个关键网。
保护信息内容安全指防止有害内容的产生、传播和可获得性。要建立信息网络监管体系，实现对信息内容安全监控，对有害信息内容进行过滤，减少其精神污染。加强政府对信息网络的监管力度及对网络安全运行的监控和管理。
通过立法，将监控管理从行政管理的范畴纳入到法制范畴。对电子保密信息进行合法的安全监管，增强信息犯罪取证调查能力。
第二阶段，重体系、促发展，形成较强的国家信息安全保障能力。
战略重点是确保政务网络安全高效、商务网络安全可靠、网络文化健康向上。战略目标是促进网络经济蓬勃发展，形成良好网络秩序。
政务网络安全保障重点是保证关键指令和信息的有效上传下达，政务资源的有效整合和利用。为此，要加快安全保障体系与安全支撑平台建设，这是政府在信息安全上的法律职责和义务。
第三阶段，实现对信息网络的有效治理，初步具备信息反制能力。
战略重点是有效维护信息空间领域国家利益，大幅提高全民在信息化进程中生活质量和福利。
战略目标是达到信息网络的科学治理、维护经济与社会的可持续发展。
在政策法规方面，建立完善的信息安全法律法规体系。在技术方面，依据信息安全技术战略，在关键领域取得突破性进展。在产业方面，通过政策倾斜和市场竞争，孵化出信息安全“航空母舰”型企业，信息安全主要核心技术基本实现自主化。
五大安全治理规范（供参考）
一、经济合作和发展组织，《信息系统安全指南》（1992）
《信息系统安全指南》用于协助国家和企业构建信息系统安全框架。美国、OECD的其他23个成员国，以及十几个非OECD成员国家都批准了这一指南。该指南旨在提高信息系统风险意识和安全措施，提供一个一般性的框架以辅助信息系统安全度量方法、操作流程和实践的制定和实施，鼓励关心信息系统安全的公共和私有部门间的合作，促进人们对信息系统的信心，促进人们应用和使用信息系统，方便国家间和国际间信息系统的开发、使用和安全防护。
这个框架包括法律、行动准则、技术评估、管理和用户实践，及公众教育或宣传。该指南目的是作为政府、公众和私有部门的标杆，通过此标杆测量进展。
二、国际会计师联合会，《信息安全管理》（1998）
信息安全目标是“保护依靠信息、信息系统和传送信息的人、通信设施的利益不因为信息机密性、完整性和可用性的故障而遭受损失”。任何组织在满足三条准则时可认为达到信息安全目标:数据和信息只透露给有权知道该数据和信息的人（机密性）;数据和信息保护不受未经授权的修改（完整性）;信息系统在需要时可用和有用（可用性）。 机密性、完整性和可用性之间的相对优先级和重要性根据信息系统中的信息和使用信息的商业环境而不同。 信息安全因急速增长的事故和风险种类而日益重要。对信息系统的威胁既有可能来自有意或无意的行动，也可能来自内部或外部。信息安全事故的发生可能是因为技术方面的因素、自然灾害、环境方面、人的因素、非法访问或病毒。另外，业务依赖性（依靠第三方通信设施传送信息，外包业务等等）也可能潜在地导致管理控制的失效和监督不力。
三、国际标准化组织，《ISO 17799国际标准》（最新版是2005）
ISO 17799（根据BS 7799第一部分制定）作为确定控制范围的单一参考点，在大多数情况下，这些控制是使用业务信息系统所必须的。该标准适应任何规模的组织。它把信息作为一种资产，像其他重要商业资产一样，这种资产对组织有价值，因此需要恰当保护它。ISO 17799认为信息安全有下列特征:机密性，确保信息只被相应的授权用户访问;完整性，保护信息和处理信息程序的准确性和完整性;可用性，确保授权用户在需要时能够访问信息和相关资产。信息安全保护信息不受广泛威胁的损毁，确保业务连续性，将商业损失降至最小，使投资收益最大并抓住各种商业机遇。安全是通过实施一套恰当的控制措施实现的。该控制措施由策略、实践、程序、组织结构和软件组成。
四、信息系统审计和控制协会，《信息和相关技术的控制目标》（CoBIT）
CoBIT起源于IT需要传递组织为达到业务目标所需的信息这个前提，至今已有三个版本。除了鼓励以业务流程为中心，实行业务流程负责制外，CoBIT还考虑到组织对信用、质量和安全的需要，它提供了组织用于定义其对IT业务要求的几条信息准则:效率、效果、可用性、完整性、机密性、可靠性和一致性。CoBIT进一步把IT分成4个领域（计划和组织，获取和实施，交付和支持，监控），共计34个IT业务流程。CoBIT为正在寻求控制实施最佳实践的管理者和IT实施人员提供了超过300个详细的控制目标，以及建立在这些目标上的广泛的行动指南。COBIT框架通过联结业务风险、控制需要和技术手段来帮助满足管理当局多样化的需求。它提供了通过一个范围和过程框架的最佳惯例，以形成一个可控和逻辑结构内的活动。
五、美国注册会计师协会(加拿大特许会计师协会)，《SysTrust TM系统可靠性原理和准则V20》（2001）
网络安全保障体系建设范文6
关键词：电子政务 政务外网 总体设计方案
一、前言
2004年9月30日，根据中办发[2002]17号文件（《国家信息化领导小组关于我国电子政务建设指导意见》）以及中办发[2006]18号文件（《转发〈国家信息化领导小组关于推进国家电子政务网络建设的意见〉的通知》）要求，国家发展和改革委员会正式批复《国家电子政务外网项目立项》（发改高技[2004]2135号），明确该项目由国家信息中心负责组织建设。国家电子政务外网项目一期工程的主要任务包括：建设统一的网络平台，建设数据交换中心、安全保障系统，承载相关政府部门的业务应用系统，支持相关部门的专网接入，形成统一的管理服务体系等。
山西省电子政务外网是国家电子政务外网的省级节点，是国家电子政务外网项目的重要组成部分，同时也是国家要求尽快建设的项目。根据国家电子政务顶层设计要求，山西省电子政务外网（一期工程）总体方案，十分强调和突出全局观。山西省的电子政务建设是一个长期、复杂的发展过程，很多问题需要在实践中总结经验，为此，山西省提出了分期建设的思路，先行搭建统一的外网平台的基本架构，在此基础上不断完善和扩展，通过不断的探索和学习，逐步实现建设统一外网平台的任务。
图1 山西省电子政务外网总体框架
山西省在实施电子政务外网总体方案时，十分注重统筹协调电子政务建设中各个方面的关系。外网平台建设与山西省电子政务总体建设工作紧密相关，涉及的部门多、地域广、业务领域宽，为此，在进行电子政务外网建设方案设计时，通盘考虑了现实和未来各业务部门应用系统对网络支撑环境的具体要求，以保证外网平台既满足各应用系统的现实需求，又兼顾网络的可扩展性，为各业务部门的潜在需求提供必要的支持。按照这样的原则，山西省电子政务外网一期工程建设目标归纳为：“统一的网络平台、统一的应用支撑平台、统一的信息交换平台、统一的安全保障体系和服务体系”。
二、总体框架
山西省电子政务外网一期工程总体框架如图1所示。一期工程将建立标准统一的网络平台，支持相关政府部门的专网接入；建设省级外网网管中心；建设政务外网数据交换中心和外网综合门户网站，形成统一的外网服务体系；促进电子政务业务应用系统的互联互通、资源共享；建设政务外网安全保障体系，保证政务外网的信息安全和网络运行稳定。
从技术实现层面讲，山西省政务外网（一期工程）建设的整体基础架构分为基础网络层、业务实现层和应用系统层(如图2所示)。
图2 山西省电子政务外网基础技术架构
三、外网一期工程建设内容
根据项目规划，山西省电子政务外网（一期工程）将上联国家电子政务外网，横向联接省内各直属厅局，纵向联接11个市级政务外网，边界通过逻辑隔离联接Internet。
一期工程建设的工作重点是：按照国家的统一要求，利用公用基础通信设施和现有资源，建设统一的山西省电子政务外网平台，重点内容包括省级城域网和省－市广域网建设，实现山西省直属部分厅局城域网连接和山西省与下属各市的电子政务外网连接；根据国家电子政务广域网安全保障体系的统一标准，建设山西省电子政务外网安全保障体系；建设统一的数据交换中心和服务体系，推进应用服务系统建设，突出重点，实现信息共享、业务协同和网上服务。
⒈网络平台建设
构建统一的电子政务外网网络平台，以外网建设为核心，优先建设省级城域网、外网广域网，一期工程首先实现主要厅局的政务外网连接和省－市的政务外网。具体而言，包括以下内容：省级城域网、省－市广域网、省级网管中心（NIC/NOC）、大部分省直单位及市级政务外网的接入、互联网出口。
⒉安全保障体系建设
政务外网的建设，必须符合中办发[2002]17号文件的精神，满足与互联网逻辑隔离的要求，保障外网及其支撑的电子政务业务系统的安全可靠运行。因此，必须合理划分安全域，实施安全等级保护，建立政务外网的安全保障体系。基于网络建设分阶段实施和投资两方面的考虑，初步建设政务外网安全保障体系，包括如下三个方面的内容：
⑴网络安全防护体系，包括：网络防护与隔离系统，入侵防御系统，接入认证系统，业务隔离和加密传输系统，防病毒，防漏洞系统等；
⑵网络信任体系，包括：PKI/CA系统、权限管理系统和认证授权审计系统；
⑶安全管理体系，包括：按照国家安全保障体系建设标准，建设省级安全管理中心(SOC)；以《国家电子政务标准化指南》为标准，贯彻执行国家已有安全法规标准，同时制订符合山西省政务外网自身特点和要求的有关规定和技术规范。
⒊管理服务体系建设
政务外网的建设，不仅是建设网络本身。政务外网的可持续发展，管理服务体系至关重要。事实上，以政务外网为核心的管理服务体系建设，是政务外网建设的重要组成部分，也是未来政务外网运行维护与可持续发展的基础。因此，管理服务体系的完善将贯穿政务外网建设的全过程。具体而言，建立的政务外网管理中心，具有以下职能：
⑴网络信息管理，包括域名注册、IP地址规划等；
⑵网络运行管理，包括网络运行监控、设备配置、故障排查等；
⑶安全管理，包括病毒防范、安全认证、授权管理、证书管理等；
⑷客户服务，包括服务受理、热线服务、接入服务、投诉处理等。
山西省经济信息中心有关部门在现有组织机构和队伍基础上，形成山西省、市二级网管中心原型，承担山西省电子政务外网管理中心的建设和今后的运行维护工作。在此基础上，按照统一的标准规范逐步推广、完善管理服务体系建设。
⒋应用服务系统建设
山西省电子政务应用系统建设应以需求为导向，以应用促发展，紧紧围绕深化经济结构调整，加快新型能源和工业基地建设，面向决策支持和面向公众服务，提高政府部门决策的准确性和科学性，建设高效、公开、勤政的公众服务系统。应用服务系统建设的主要内容包括以下方面：综合门户网站、公文交换、电子邮件、干部在线培训、网上审批、数据存储体系等系统。
山西省电子政务外网建成后，将选择宏观经济管理信息系统、山西省发展和改革委员会（简称“发改委”）的业务系统、“金”字工程项目在网上进行示范运行。例如，结合山西省发改委职能和中心工作，根据业务需求、经济结构调整以及“1311”项目急需的领域，进行业务应用服务系统建设，其主要内容是：
⑴办公业务系统的建设。公文运转系统，包括登记、分办、传批、办理、审核、督办、归档全过程的网上全程流转；文件、信函的智能交换和跟踪系统；政务信息、信息采编、管理信息系统；档案管理信息系统。
⑵综合经济管理业务应用服务系统的建设。主要包括：宏观经济管理信息系统；国民经济和社会发展规划与计划系统；价格监督信息系统；固定资产投资项目管理信息系统；高新技术项目管理信息系统；国外贷款投资及国际合作项目管理信息系统；社会发展信息管理系统；经济结构调整及“1311”项目系统。
⑶数据交换中心建设。建设政务外网数据交换中心，为政务信息资源和国家基础信息资源提供登记、备案、、交换和共享等公共服务，为有需求的部门和地方提供数据备份和托管服务。
⑷对电子政务信息资源目录体系与交换体系进行原型设计。首先，实现山西省政务信息资源和国家基础信息资源的目录服务，包括外网自身的目录（含设备、系统、管理员等信息）、国家政府部门黄页、白页、Web服务的目录（含各级政府部门机构名称、电话、邮件地址、办公地点、网址）等；其次，建立和完善政务信息分类标准、登记制度和交换制度，逐步建立完善的信息采集、登记、处理、交换、利用和平台。
⒌综合门户网站建设
初步建设“面向外网用户、以内容管理为基础”的政务外网综合门户网站。政务外网综合门户网站是政务外网用户的入口网站，是为用户提供信息服务、互动式和“一站式”服务的总门户。
⒍标准规范建设
统一标准规范是实现政务外网互联互通的基础之一。政务外网建设，要遵循统一的标准规范。首先，要遵守国家电子政务外网的标准规范，执行国务院信息化工作办公室颁布的我国电子政务相关标准；同时，依据外网建设的实际需要，采用其他国际相关标准和我国的其他有关国家标准，包括国际互联网工作组（IETF）、国际电联（ITU）、国标（GB）等有关标准。此外，在国家信息中心指导下，山西省信息中心还将结合山西省的实际情况制定有关地方规范，主要涉及外网工程实施的技术要求和规定，包括外网体系结构，IP地址、域名、路由规划，安全保障体系结构，外网接入规范，设备和软件选型参考规范等；同时，要研究制定整体框架标准，数据建模标准，数据交换标准，应用系统标准和应用集成标准等。
⒎设备选型依据
根据山西省电子政务外网建设需求，在方案和设备选型上必须遵循高性能、高可靠性、高安全性、高扩展能力、技术先进性、实用性、灵活性和可管理性等多方面因素相结合的原则。从技术角度出发，核心和骨干设备应采用国内外知名品牌（尽量与国家电子政务外网保持一致），保证质量和服务能力；全网路由器和核心交换机均应具备三层MPLS VPN特性，保证电子政务业务隔离的关键需求；全网设备需具有QoS支持，保证未来视频、语音、数据等业务的流量带宽保证和服务质量；核心网络设备均需满足2.5G核心速率的接口要求。
根据该项目的实际情况和特点，将通过多方面的比较和衡量，选择合适的网络、存储产品以及解决方案，采用高性能的服务器等；门户网站、各应用服务系统则根据具体情况选择实力强、产品适合的软件开发公司定制。
从总体上看，山西省电子政务外网建设项目既是国家电子政务外网建设不可缺少的一个重要节点，又是山西省电子政务外网建设中全局性、关键性的工程项目。统一的外网平台是山西省电子政务系统联结各部门业务系统的桥梁和纽带，是未来政务工作的“高速公路”。政务外网提供的高度集成化、一体化、规范化的服务，其本质是为各业务系统的安全、顺畅、高效的数据传输、信息交换等构造网络基础环境，它是未来实现各业务系统互联、互通、互操作以促进资源共享的基础性工作。因此，应按照统一规划，统一标准，整合资源，保障安全的原则尽快建设好山西省电子政务外网。
作者介绍：
