前言：中文期刊网精心挑选了网络资产安全管理范文供你参考和学习，希望我们的参考范文能激发你的文章创作灵感，欢迎阅读。
网络资产安全管理范文1
随着宽带网络和用户规模的不断增长，用户对宽带接入业务的高可用性要求不断增强，对电信运营商在IP城域、接入网络和支撑系统提出了更高的安全性要求。本文从信息安全管理的理念、方法学和相关技术入手，结合电信IP城域网，提出电信IP城域网安全管理、风险评估和加固的实践方法建议。
关键字（Keywords）：
安全管理、风险、弱点、评估、城域网、IP、AAA、DNS
1 信息安全管理概述
普遍意义上，对信息安全的定义是“保护信息系统和信息，防止其因为偶然或恶意侵犯而导致信息的破坏、更改和泄漏，保证信息系统能够连续、可靠、正常的运行”。所以说信息安全应该理解为一个动态的管理过程，通过一系列的安全管理活动来保证信息和信息系统的安全需求得到持续满足。这些安全需求包括“保密性”、“完整性”、“可用性”、“防抵赖性”、“可追溯性”和“真实性”等。
信息安全管理的本质，可以看作是动态地对信息安全风险的管理，即要实现对信息和信息系统的风险进行有效管理和控制。标准ISO15408－1（信息安全风险管理和评估规则），给出了一个非常经典的信息安全风险管理模型，如下图一所示：
既然信息安全是一个管理过程，则对PDCA模型有适用性，结合信息安全管理相关标准BS7799(ISO17799)，信息安全管理过程就是PLAN-DO-CHECK-ACT（计划－实施与部署－监控与评估－维护和改进）的循环过程。
2 建立信息安全管理体系的主要步骤
如图二所示，在PLAN阶段，就需要遵照BS7799等相关标准、结合企业信息系统实际情况，建设适合于自身的ISMS信息安全管理体系，ISMS的构建包含以下主要步骤：
（1） 确定ISMS的范畴和安全边界
（2） 在范畴内定义信息安全策略、方针和指南
（3） 对范畴内的相关信息和信息系统进行风险评估
a) Planning（规划）
b) Information Gathering（信息搜集）
c) Risk Analysis（风险分析）
u Assets Identification & valuation(资产鉴别与资产评估)
u Threat Analysis（威胁分析）
u Vulnerability Analysis（弱点分析）
u 资产/威胁/弱点的映射表
u Impact & Likelihood Assessment（影响和可能性评估）
u Risk Result Analysis（风险结果分析）
d) Identifying & Selecting Safeguards（鉴别和选择防护措施）
e) Monitoring & Implementation（监控和实施）
f) Effect estimation（效果检查与评估）
（4） 实施和运营初步的ISMS体系
（5） 对ISMS运营的过程和效果进行监控
（6） 在运营中对ISMS进行不断优化
3 IP宽带网络安全风险管理主要实践步骤
目前，宽带IP网络所接入的客户对网络可用性和自身信息系统的安全性需求越来越高，且IP宽带网络及客户所处的信息安全环境和所面临的主要安全威胁又在不断变化。IP宽带网络的运营者意识到有必要对IP宽带网络进行系统的安全管理，以使得能够动态的了解、管理和控制各种可能存在的安全风险。
由于网络运营者目前对于信息安全管理还缺乏相应的管理经验和人才队伍，所以一般采用信息安全咨询外包的方式来建立IP宽带网络的信息安全管理体系。此类咨询项目一般按照以下几个阶段，进行项目实践：
3.1 项目准备阶段。
a) 主要搜集和分析与项目相关的背景信息；
b) 和客户沟通并明确项目范围、目标与蓝图；
c) 建议并明确项目成员组成和分工；
d) 对项目约束条件和风险进行声明；
e) 对客户领导和项目成员进行意识、知识或工具培训；
f) 汇报项目进度计划并获得客户领导批准等。
3.2 项目执行阶段。
a) 在项目范围内进行安全域划分；
b) 分安全域进行资料搜集和访谈，包括用户规模、用户分布、网络结构、路由协议与策略、认证协议与策略、DNS服务策略、相关主机和数据库配置信息、机房和环境安全条件、已有的安全防护措施、曾经发生过的安全事件信息等；
c) 在各个安全域进行资产鉴别、价值分析、威胁分析、弱点分析、可能性分析和影响分析，形成资产表、威胁评估表、风险评估表和风险关系映射表；
d) 对存在的主要风险进行风险等级综合评价，并按照重要次序，给出相应的防护措施选择和风险处置建议。
3.3 项目总结阶段
a) 项目中产生的策略、指南等文档进行审核和批准；
b) 对项目资产鉴别报告、风险分析报告进行审核和批准；
c) 对需要进行的相关风险处置建议进行项目安排；
4 IP宽带网络安全风险管理实践要点分析
运营商IP宽带网络和常见的针对以主机为核心的IT系统的安全风险管理不同，其覆盖的范围和影响因素有很大差异性。所以不能直接套用通用的风险管理的方法和资料。在项目执行的不同阶段，需要特别注意以下要点：
4.1 安全目标
充分保证自身IP宽带网络及相关管理支撑系统的安全性、保证客户的业务可用性和质量。
4.2 项目范畴
应该包含宽带IP骨干网、IP城域网、IP接入网及接入网关设备、管理支撑系统：如网管系统、AAA平台、DNS等。
4.3 项目成员
应该得到运营商高层领导的明确支持，项目组长应该具备管理大型安全咨询项目经验的人承担，且项目成员除了包含一些专业安全评估人员之外，还应该包含与宽带IP相关的“业务与网络规划”、“设备与系统维护”、“业务管理”和“相关系统集成商和软件开发商”人员。
4.4 背景信息搜集：
背景信息搜集之前，应该对信息搜集对象进行分组，即分为IP骨干网小组、IP接入网小组、管理支撑系统小组等。分组搜集的信息应包含：
a) IP宽带网络总体架构
b) 城域网结构和配置
c) 接入网结构和配置
d) AAA平台系统结构和配置
e) DNS系统结构和配置
f) 相关主机和设备的软硬件信息
g) 相关业务操作规范、流程和接口
h) 相关业务数据的生成、存储和安全需求信息
i) 已有的安全事故记录
j) 已有的安全产品和已经部署的安全控制措施
k) 相关机房的物理环境信息
l) 已有的安全管理策略、规定和指南
m) 其它相关
4.5 资产鉴别
资产鉴别应该自顶向下进行鉴别，必须具备层次性。最顶层可以将资产鉴别为城域网、接入网、AAA平台、DNS平台、网管系统等一级资产组；然后可以在一级资产组内，按照功能或地域进行划分二级资产组，如AAA平台一级资产组可以划分为RADIUS组、DB组、计费组、网络通信设备组等二级资产组；进一步可以针对各个二级资产组的每个设备进行更为细致的资产鉴别，鉴别其设备类型、地址配置、软硬件配置等信息。
4.6 威胁分析
威胁分析应该具有针对性，即按照不同的资产组进行针对性威胁分析。如针对IP城域网，其主要风险可能是：蠕虫、P2P、路由攻击、路由设备入侵等；而对于DNS或AAA平台，其主要风险可能包括：主机病毒、后门程序、应用服务的DOS攻击、主机入侵、数据库攻击、DNS钓鱼等。
4.7 威胁影响分析
是指对不同威胁其可能造成的危害进行评定，作为下一步是否采取或采取何种处置措施的参考依据。在威胁影响分析中应该充分参考运营商意见，尤其要充分考虑威胁发生后可能造成的社会影响和信誉影响。
4.8 威胁可能性分析
是指某种威胁可能发生的概率，其发生概率评定非常困难，所以一般情况下都应该采用定性的分析方法，制定出一套评价规则，主要由运营商管理人员按照规则进行评价。
网络资产安全管理范文2
关键词：中小企业；电子信息；安全技术
1 电子信息安全的内涵
对于买方来说电子信息主要优点是方便快捷、操作起来比较简单。电子信息对于卖方来说主要优点是管理比较方便并且成本较低，但是电子信息最大的缺点就是买卖双方不能进行交流，主要是货币与货品的交换，并且交易都是通过网络进行的，之所以交易能够顺利完成，主要的原因是两者之间存在着诚信。关于诚信主要有两个方面的内容：有一种系统软件在买卖的过程中起到安全保障的作用，能将虚拟的货币符号转化成真实的货币，同时也能对交易起到保护作用，其中主要是对货币账户起到安全保障的作用。要想研究电子信息安全，首先要了解信息的内涵。信息主要是指资料、数据以及知识以不同的形式存在，在中小企业中这类信息主要是指买卖双方的有关信息和资料，犯罪分子能通过非法的手段对电子信息中的买卖双方采取诈骗行为，或者是通过网络对进行入侵和盗窃。信息安全管理标准对信息做出了详细的定义，信息也是属于资产，与其他的资产相同，对中小企业的发展有着重要的作用，是需要法律保护的。信息安全管理标准将信息划分为八个部分，主要包括物理资产、文档资产、文字资产、服务资产、软件资产、数据资产以及人力资源资产。
中小企业的电子信息主要是以网络为载体，网络的交流主要通过数据的传输得以实现，网上交易就是交流过程中的主要内容。所以，在信息安全的范畴中电子信息安全技术就成为了重点问题。关于电子信息安全技术的研究大多是关于技术的，但是对于中小企业来说，不仅要对技术进行改进，也要重视管理层，避免信息出现安全问题。
2 电子信息安全的理论
我国关于电子信息安全的研究，仍然较为落后。在国际中的关于信息安全的主要理论为：三观安全理论、信息循环理论以及信息安全模型理论。
三观安全理论。在中小企业的电子信息安全系统中，三观安全理论主要将其分为三个方面的内容，即微观、中观以及宏观。这个理论主要是将宏观层面的安全理念转化成微观层面的管理理念，进而对服务与生产进行指导。
信息安全模型理论。信息安全模型理论是信息安全管理发展过程中的产物，信息安全模型理论主要是将人、软件、操作以及信息系统相结合，并且全面的保护网络信息系统。主要倡导的是一种新的安全观念，并且提出了不能仅靠程序与软件对系统信息安全进行保护，要注重动态保护。此外，关于电子信息安全问题不能只依赖于安全技术，也要重视管理层安全理念的创新。
电子信息的循环理论。在实施网络信息安全的过程中电子信息的循环理论将其划分为四个方面：计划、执行、检查以及改进。这四个方面是一个循环的过程，也是一个周期，在循环的过程中，将这个过程看作是一个整体的信息安全管理体制，而不是将其看成某一管理过程。
3 电子信息安全技术对加强中小企业信息安全的作用
上文所述的三个信息安全理论对中小企业的信息安全管理有着重要的作用，主要有以下几个方面的内容。第一是信息安全领域的建设，第二是中小型企业中加强建设信息安全组织。美国信息安全研究所首次提出了信息安全领域，信息安全领域主要是指根据信息的不同保密程度创建相应的保密级别，网络控件的安装要结合用户信息的不同安全级别，安全信息的选择要适合用户的保密级别。在中小企业中，电子信息与资料的分类系统应该有统一的部门进行管理，然后对信息进行分类，并采取不同程度的加密与保密，这类信息主要包含文档、电子商务的相关资料以及服务等。将这些信息进行分类、保密、归档以及整合，有利于中小企业电子信息的调试。
对于中小企业来说，一直都存在电子信息安全性不够的问题，这主要同企业内部安全管理不足有关，安全管理的工作缺少专业的管理，很多的小型企业并没有统一的信息安全管理部门。企业安全管理部门的主要职能包含这几个方面的内容：同企业人力资源管理部门相互配合共同完成工作内容，要定期的审查一些特殊岗位的员工，一旦发现有违反安全规则的情况，要重新进行审查。同时还要对员工进行保密的培训；组织各个部门的工作，并对各个部门的工作进行协调，使企业的安全目标以及战略得以实现；企业的安全管理部门主要是对安全问题的管理、计划以及决策负责。也是企业的应急部门，要想避免企业信息的泄露，信息安全管理部门就必须加强对信息的管理；多联系各个地区的信息机构以及信息安全管理部门，这样能给企业带来新的信息安全管理观念以及安全技术；采取信息安全报告制，定期的向管理部门汇报信息安全的保护状况，对于一些重要的事件要及时的汇报，取得管理层对信息安全管理工作的支持。
在网络工程发展的同时，电子信息也得到了发展，电子信息在企业的发展中有着重要的作用，企业对其也越发的依赖电子信息。但是这只是一个虚拟的场所，主要通过网络这个载体来完成交易，因此安全技术问题成为了企业普遍关注的问题。
[参考文献]
[1]陈光匡，兴华.信息系统安全风险评估研究[J].网络安全技术与应用，2009（7）.
[2]向宏，艾鹏，等.电子政务系统安全域的划分与等级保护[J].重庆工学院学报，2009（2）.
网络资产安全管理范文3
认识网络安全保障体系
1而目前，随着互联网和网络技术的发展，对于政府或企业的信息系统来讲，更是面临着更大的风险和挑战。这就使得更多的用户、厂商和标准化组织都在寻求一种完善的体系，来有效的保障信息系统的全面安全。于是，网络安全保障体系应运而生，其主要目的是通过信息安全管理体系、信息安全技术体系以及信息安全运维体系的综合有效的建设，让政府或企业的网络系统面临的风险能够达到一个可以控制的标准，进一步保障网络信息系统的安全稳定运行。
网络安全保障体系是针对传统网络安全管理体系的一种重大变革。它依托安全知识库和工作流程驱动将包括主机、网络设备和安全设备等在内的不同资产和存放在不同位置中的大量的安全信息进行范式化、汇总、过滤和关联分析，形成基于资产/域的统一等级的威胁与风险管理，并对威胁与风险进行响应和处理，该系统可以极大地提高网络信息安全的可控性。
2网络安全保障体系的作用。网络安全保障体系在网络信息安全管理中具有十分重要的作用，主要体现在如下三个方面：首先，网络安全保障体系可以对整个网络系统中不同的安全设备进行有效的管理，而且可以对重要的网络通信设备资产实施完善的管理和等级保护；其次，网络安全保障体系可以有效帮助网络安全管理人员准确分析现有网络信息系统所面临的安全威胁，从而可以帮助管理人员制定合理的网络安全应急响应流程；最后，网络安全保障体系可以通过过对网络风险进行量化，实现对网络风险的有效监控和管理。
网络安全保障体系的构建策略
1确定网络安全保障体系构建的具体目标。网络安全保障体系建设是组织在整体或特定范围内建立信息安全方针和目标，以及完成这些目标所用方法的体系。它包括信息安全组织和策略体系两大部分，通过信息安全治理来达到具体的建设目标。其中，信息安全的组织体系是指为了在某个组织内部为了完成信息安全的方针和目标而组成的特定的组织结构，主要包括决策、管理、执行和监管机构四部分组成；信息安全的策略体系是指信息安全总体方针框架、规范和信息安全管理规范、流程、制度的总和。
2确定适合的网络安全保障体系构建的方法。（1）网络安全管理基础理论。网络安全保障体系的安全管理方法就是通过建立一套基于有效的应用控制机制的安全保障体系，实现网络应用系统与安全管理系统的有效融合，确保网络信息系统的安全可靠性。（2）建立有效的网络安全保障体系。一是网络信息安全组织保障体系作为网络信息安全组织、运作、技术体系标准化、制度化后形成的一整套对信息安全的管理规定，建立的网络安全保障体系可以在完善信息安全管理与控制的流程上发挥重要作用；二是网络信息安全技术保障体系作为网络安全保障体系的重要支撑，有效利用访问控制、身份鉴别、数据完整性、数据保密性等安全机制，是实现网络安全防护的重要技术手段；三是网络信息安全运维保障体系可以通过对网络信息系统的安全运行管理，实现整个网络信息系统安全监控、运行管理、事件处理的规范化，充分保障网络信息系统的稳定可靠运行。
网络资产安全管理范文4
关键词：信息安全安全属性安全建设
我国信息化安全建设任务非常艰巨，主要包括各种业务的社会公网、行业专网、互联网等信息基础设施运营、管理和服务的安全自主保障、安全监管、安全应急和打击信息犯罪为核心的威慑体系的建设，其内容包括网络系统安全建设、领域和企业的业务信息化安全建设、网络内容与行为的安全建设和用户关注的网络安全建设等方面。这些安全建设对于不同的领域和领导层面关注的内容、对象和程度各不相同。网络信息安全是一个完整的、系统的概念。它既是一个理论问题，同时又是一个工程实践问题。由于互联网的开发性、复杂性和多样性，使得网络安全系统需要有一个完整的、严谨的体系结构来保证网络中信息的安全。
1 信息安全的定义及目标
信息的定义，从广义上讲，信息是任何一个事物的运动状态以及运动状态形式的变化，它是一种客观存在。狭义的信息的含义是指信息接受主体所感觉到并能理解的东西。ISO 13335《信息技术安全管理指南》定义：信息是通过在数据上施加某此约定而赋予这此数据的特殊含义。信息是无形的，借助于信息媒体以多种形式存在和传播，同时。信息也是一种重要资产，具有价值，需要保护。信息安全的目标是信息资产被泄露意味着保密性受到影响，被更改意味着完整性受到影响，被破坏意味着可用性受到影响。而保密性、完整性和可用性三个基本属性是信息安全的最终目标。信息安全的保护对象包括了计算机硬件、软件和数据。就本质而言，信息安全所针对的均是“信息”这种资源的“安全”，对信息安全的理解应从信息化背景出发，最终落实在信息的安全属性上。
2 构建网络信息化安全的意义
能否有效地保护信息资源，保护信息化进程健康、有序、可持续发展，直接关乎国家安危，关乎民族兴亡，是国家、民族的头等大事。没有信息安全，就没有真正意义上的政治安全，就没有稳固的经济安全和军事安全，更没有完整意义上的国家安全。信息安全是信息技术发展过程之中提出的课题，在信息化的大背景下被推上了历史舞台。信息安全不是最终目的，它只是服务于信息化的一种手段，其针对的是信息化这种战略资源的安全，其主旨在于为信息化保驾护航。
3 网络信息化的安全属性
信息安全的概念与信息的本质属性有着必然的联系，它是信息的本质属性所体现的安全意义。说安全属性研究首先要从安全定义讲起，安全定义分很多的层次，为什么分层次，我们随着它的演变来看的，信息安全最初目标，叫数据安全，它关心的是数据自身，所以是一个狭义的数据安全，是保护信息自身的安全。
3.1 保密性（Confidentiality）
在传统信息环境中，普通人通过邮政系统发信件时，为了个人隐私要装上信封。可是到了信息化时代，信息在网上传播时，如果没有这个“信封”，那么所有的信息都是“明信片”，不再有秘密可言，这便是信息安全中的保密性需求。保密性是指信息不被泄露给非授权的用户、实体或进程，或被其利用的特性。保密性不但包括信息内容的保密，还包括信息状态的保密。
3.2 完整性（Integrality）
完整性是指信息未经授权不能进行更改的特性。即信息在存储或传输过程中保持不被偶然或蓄意地删除、修改、伪造、乱序、重放、插入等破坏和丢失的特性。完整性与机密性不同，机密性要求信息不被泄露给未授权的人，而完整性则要求信息不致受到各种原因的破坏。
3.3 易用性（Availability）
易用性是信息可被授权实体访问并按需求使用的特性。在授权用户或实体需要信息服务时，信息服务应该可以使用，或者是信息系统部分受损或需要降级使用时，仍能为授权用户提供有效服务。易用性一般用系统正常使用时间和整个工作时间之比来度量。
4 构建网络信息化安全管理体系
在面向网络信息的安全系统中，安全管理是应得到高度重视的。这是因为，据相关部门统计，在所有的计算机安全事件中，约有52％是人为因素造成的，25％是由火灾、水灾等自然灾害引起的，技术错误占10％，组织内部人员作案占10％，仅有3％左右是由外部不法人员攻击造成的。简单归类，属于管理方面的原因比重高达70％以上，这正应了人们常说的“三分技术，七分管理”的笺言。因此，解决网络与信息安全问题，不仅应从技术方面着手，更应加强网络住所的管理工作。
好的网络信息化安全管理体现在以下几个方面：在组织内部建立全面的信息安全管理体系，强调信息安全是一个管理过程，而非技术过程；强调信息保密性、完整性、易用性三者在关键流程中运用的平衡；把信息提高到组织资产的高度，强调对组织信息资产进行价值及影响评估，对信息资产的脆弱性及其面临的威胁进行分析，运用风险评估、风险管理手段管理信息安全，使组织风险降低到可接受的水平；从法律和最好的实践经验角度，实施全面的控制措施，使组织信息安全威胁的方方面面置于严密控制之下；强调领导在信息安全管理中的作用；强调信息安全方针在管理体系中的作用；强调对信息技术及工具的实时和有效管理；强调组织运作的连续性及业务连续性的管理；强调信息安全管理水平的不断提高及对流程的策划、实施、检查和改进的过程；信息安全应该是一个以“价值”为基础的过程，即信息安全管理应是一个有附加价值，并讲究投入产出比的过程。
5 关注信息化安全服务的综合性、高技术性和对策性特点
信息安全产业有其鲜明的特点，虽然产生于信息化和信息系统，依然与通常的IT服务有许多区别。信息化安全的基本特征是服务性的。这种服务性与一般软件的服务性是不同的。一般应用系统或产品的服务主要是维护和培训，通常服务是非对策性的、非动态的和比较固定的。信息化安全服务是对策性的、动态性的、不断产生新内容的和似乎永远不能成熟等特性。信息化安全服务范畴几乎包括了整个信息化所包括的所有产品和系统，其服务的综合性和复杂性是显而易见的。信息化安全服务是最高技术的服务，无论从设计角度和使用的角度都要求深入、熟练和非常专业。我们可以骄傲地说，信息化安全服务是世界上最伟大的服务业，也是最困难的服务业。信息化安全服务的复杂性、高成本特性要求信息化安全企业必须在安全服务的远程化和化的推进方面做出不懈努力，不断降低服务成本。
6 结语
网络信息安全不仅仅是一个纯技术层面的问题，单靠技术因素不足以保证网络中信息的安全。网络信息安全还涉及到法律、管理、标准等多方面的问题。因此，信息安全是一个相当复杂的问题，只有协调好这些体系之间的关系，才能有效保证系统的安全。
参考文献
网络资产安全管理范文5
【关键词】信息资产；管理；流程；措施
【中图分类号】F273.4
【文献标识码】A
【文章编号】1672—5158（2012）10-0130-01
1 引言
信息资源是指企业生产及管理过程中所涉及到的文档、数据以及生产和承载数据的软硬件系统（设备）的总和。国务院颁发的《2006-2020年国家信息化发展战略》指出：“进入21世纪，信息资源日益成为重要生产要素、无形资产和社会财富”，正式明确信息是一种资产。
信息资产是指由企业拥有或者控制的、能够为企业带来经济利益的信息资源，企业信息资产具有来源渠道多、更新周期快、分布范围广、流转频率高、公私通用性强、配件调换方便等特点，因此，企业信息资产管理，既有别于传统意义上的固定资产管理，也不同于ERP（企业资源计划）、EAM（企业资产管理）等系统中的资产管理概念，它在具备常规企业资产管理特征的同时，更注重于资产的识别及其动态的管理，进而为ISMS（信息安全管理体系）提供准确、可靠的识别信息，为企业信息和承载信息的网络环境、终端设备及业务应用的安全稳定运行提供基本保障。
2 信息资产管理现状分析
随着企业信息化水平的不断提高，信息资产管理对信息网络安全管理与信息系统运维管理的影响越来越大。为此，国家电网公司下发了“信息计划（2008／37号文件”，将信息资产中的物理资产和软件分为7大类31小类（不包括复印机、照相机、录像机等办公设备和移动存储介质），要求建立包括设备序列号及各种性能参数的资产信息数据库和设备台账，并定期统计、上传信息资产报表，其目的是实现企业信息资产“账、卡、物”一致和资产存在状态“可控、在控、能控”，以满足信息安全管理需要。
同时，国网公司还通过信息安全技术督查和信息网络综合运维监管系统，进一步加强了企业信息资产监管工作力度。尽管如此，我们的信息资产管理还是存在着制度不健全、台账不完整、存在状态不清楚、报表数据不准确等问题，不能满足企业网络及信息安全管理需要，主要原因是：
第一，信息资产的所有权与控制权分离，管理手段落后、监管乏力。长期以来，企业信息资产一直是二级单位使用、信息部门统计、财务部门监管，实际上是二级单位在行使常用信息资产的调配控制权。资产管理、统计报表、配置审批相互脱节，管配置的不掌握资产的配置情况和用户需求，管资产的不知道资产的存量情况和存在状态，信息管理部门则是无法全面掌握资产的来源、数量、配置及具体使用情况。
第二，信息资产来源渠道多、配置变化快，统计报表不能真实反映企业信息资产现状。企业信息资产除正常计划购置外，还有工程项目配套的、业务应用系统建设附带的、推广应用项目配备的、工作需要特批的、主管部门下发的、其它费用变通的等等，由于没有有效的归口管理制度和专职信息资产管理人员，信息管理部门不能完全掌握资产来源情况，现有信息资产报表不能真实反映企业信息资产的实际情况，更不能为信息安全管理提供准确、可靠的数据保证。
第三，信息（数据库和数据文件）管理近乎空白，企业数据资源浪费严重。现行的信息资产管理还局限在物理资产（含软件）管理的层面上，对其它资产，尤其是最为重要的资产——信息的管理，还没有纳入信息资产管理工作中。企业信息化过程中产生的大量运行数据，大都是根据业务应用情况分别存贮，作为历史数据保存下来，并形成一个个信息孤岛。业务系统升级或更新改造后，许多历史数据没有导入新系统，而是随着原系统的报废而被束之高阁，并将随着业务管理人员的更新和时间的流逝而被遗弃。
3 规范管理信息资产的具体措施
规范信息资产管理流程、完善信息资产管理措施，是提高信息安全技术督查管理水平、提高企业信息网络安全可靠性的基础和保证。
3.1 健全制度、规范流程是信息资产“可控、在控、能控”的保证。
根据国网公司资产全寿命周期管理、信息系统运行维护工作规范、信息资产统计报表、信息安全督查规范等文件要求，梳理工作内容与管理流程、明确岗位职责与业务关系，建立以“信息资产数据库”为核心、信息管理部门归口负责、专人管理的企业信息资产管理与考核体系，明确相关部门的职责、权限和义务，确保信息资产管理部门与物资采购、财务核算、人力资源、系统运维等部门齐抓共管、密切配合，实现企业信息资产管理与“人财物集约化”、“信息网络综合运维监管系统”的在线联动、信息共享。
3.2 集中管控、统一调配是信息资产台账准确、“账、卡、物”一致的关键。
企业信息资产集中管控、归口管理、统一调配，二级单位或个人只有使用权没有调配权，用户对所用资产安全负全责。作为日常办公工具，信息资产落到个人账上，直至达到报废年限、履行报废程序后，再以旧换新；使用人调换工作岗位后，所用信息资产随人同时调转；特殊情况需要增减配置时，必须履行签报审批程序并按规定调配；使用人退休或调离本企业前，必须履行信息资产移交签字程序，否则人资管理部门不得办理退休或调离手续。
新增加的信息资产严格履行申报登记制度，不管是那条渠道进来的信息资产，到货验收单和使用分配表均须到信息资产管理部门登记造册，保证信息资产数据库的完整性、信息资产台账的准确性和“账、卡、物”的一致性。
3.3 科学管理是降低信息网络安全风险、提高运维水平的基础。
信息网络安全督察和信息系统运维管理需求的日益增长，对信息资产的管理提出了更高的要求。信息资产管理除实现资产基本特性、物理位置、管理责任的登记造册与统计查询外，还应该反映信息资产的逻辑位置、关联关系、存在历史、当前状态、最终去向等管理属性。只有将常规的平面管理方式提升到现代的立体管理方式，才能使信息资产管理与信息网络安全技术管理相辅相成，从而有效降低网络及信息安全风险、提高信息网络运维管理水平。
3.4 数据应用是企业信息化的根本目的、是信息资产管理的更高目标。
有形资产的购置和维护需要成本，信息（数据）的获取和存贮也需要成本。在加强物理信息资产管理的同时，加速研究、制定企业数据（数据库和数据文件）资产的管控制度，将其与物理资产一样管理，并通过对此类资产的开发利用，为企业创造效益。应在完成企业数据总体规划的基础上，规范企业数据库内容及其管理措施；业务应用系统投入运行后，必须建立包括数据库结构、存贮格式等属性在内的数据管理档案；业务应用系统升级或更新改造后，必须将原系统运行数据全部导入新系统中，保证企业数据的连续性和完整性；建立信息资产管理与企业数据的关联关系，以提高数据检索和查阅效率。企业数据的共享和有效利用，是企业信息化建设的根本目的，也是信息资产管理的更高目标。
4 结语
随着全球“数字化”及“物联网”的快速发展，国家电网公司也加快了“数字电网”和“智能化电厂”的建设步伐，企业信息资产将再次急骤增加，相应的信息安全管理和信息系统运维任务也会更加繁重。因此，建立健全信息资产管控制度，明确信息资产管理流程，强化企业数据等无形资产的管理与利用，实现信息资产管理的制度化、程序化、规范化，既是企业信息网络安全和信息系统运维管理的需要，更是企业信息化发展和“数字电网”建设的必然。
参考文献
[1]《国家电网公司资产全寿命周期管理评估指标体系》
[2]《关于开展国家电网公司信息系统设备（软件）统计工作的通知》
网络资产安全管理范文6
网络安全的发展经历了三个阶段: 一是防火墙、防病毒与IDS(入侵检测系统)部署的初级阶段。二是随着网络扩大，各种业务从相互独立到共同运营，网络管理中出现的安全域的概念，利用隔离技术把网络分为逻辑的安全区域，并大量使用区域边界防护与脆弱性扫描与用户接入控制技术，此时的安全技术分为防护、监控、审计、认证、扫描等多种体系，纷繁复杂，称为安全建设阶段。三是把各个分离的安全体系统一管理、统一运营，我们称为安全管理阶段，最典型的就是综合性安全运营中心(Security Operation Center)SOC的建设。从这个阶段开始，网络安全开始走上业务安全的新台阶，业务连续性管理BCM(Business Continuity Management)成为业务安全评价的重点。
SOC是安全技术“大集成”过程中产生的，最初是为了解决安全设备的管理与海量安全事件的集中分析而开发的平台，后来由于安全涉及的方面较多，SOC逐渐演化成所有与安全相关的问题集中处理中心：设备管理、配置下发、统一认证、事件分析、安全评估、策略优化、应急反应、行为审计等等。能把全部安全的信息综合分析，统一的策略调度当然是理想的，但是SOC要管理的事如此之多，实现就是大难题。基于不同的理解，市场出现的各种SOC也各取所长，有风险评估为基础的TSOC，有策略管理的NSOC，有审计为主的ASOC，还有干脆是安全日志分析为主的专用平台。
各种SOC特点各异，但都是围绕安全管理的过程来进行的，对应了安全事件管理的事前、事中、事后三个阶段，事前重点是防护措施的部署，排兵布阵；事中是安全的监控与应急响应，对于可以预知的危险可以防护，但对于未知的危险只能是监控，先发现再想办法解决；事后是对安全事件的分析与取证，对于监控中没有报警的事件的事后分析。由此SOC的功能发展延伸为下面三个维度：
安全防护管理: 负责安全网络设备的管理与基础安全体系的运营。是安全事件出现前的各种防护管理，其鲜明的特征就是制定的各种安全策略并下发到相关的安全设备。
监控与应急调度中心: 对安全事件综合分析，根据威胁程度进行预警，并对各种事件做出及时的应对反应。
审计管理平台: 事件的取证与重现、安全合规性审计、数据的统计分析、历史数据的挖掘。安全的审计安全管理的事后“总结”，也是安全防护的依据。如图所示。
