前言：寻找写作灵感？中文期刊网用心挑选的企业网络信息安全防护研究，希望能为您的阅读和创作带来灵感，欢迎大家阅读并分享。
摘要
随着网络与信息技术在我们经济和生活各个领域的快速发展，企业也纷纷打造自身的网络信息平台。信息技术正逐渐影响着我们生活和工作的方式，在信息技术带给我们巨大便利的同时，网络与信息安全的各类问题也在不断攀升。面对众多网络攻击行为，安全风险面临重要的挑战。因此，探讨企业网络与信息安全风险，强化安全防护管理措施，保障企业业务安全稳定发展具有十分重要的意义。
关键词
企业网络；信息安全；防护
随着网络与信息技术在我们经济和生活各个领域的快速发展，企业也纷纷打造自身的网络信息平台。信息技术正逐渐影响着我们生活和工作的方式，在信息技术带给我们巨大便利的同时，网络与信息安全的各类问题也在不断攀升。面对众多网络攻击行为，安全风险面临重要的挑战。因此，探讨企业网络与信息安全风险，强化安全防护管理措施，保障企业业务安全稳定发展具有十分重要的意义。
1网络与信息安全风险分析
面对日益增加，不断涌现的网络攻击行为，企业在巩固和加强基本的网络与信息安全的基础上，仍不同程度上存在一定的安全风险，主要包括以下方面。
1.1物理安全风险
物理安全是网络与信息系统安全的基础。物理安全风险主要包括雷击、水灾、火灾等环境事故导致大部分或整个系统的瘫痪；供配电系统故障导致设备断电而造成的业务服务中断；机房环控及报警系统缺失造成设备被盗、被损；电磁辐射可能造成重要数据的信息泄露或非法截获；人为操作失误或错误造成的系统宕机或数据库信息丢失等。
1.2网络安全风险
企业在网络平台建设的初期，安全意识不高，没有从整体网络与信息安全的角度出发进行统筹规划，网络与信息安全风险主要存在网络结构风险、网络边界风险、入侵检测风险、流量管理风险、远程安全接入风险5个方面。网络结构风险方面，企业网络结构中缺少冗余设计，网络中关键设备易形成单点故障，影响了整体网络系统故障恢复的能力。网络边界风险方面，企业网络系统中不同网络区域间通信管控能力不足，数据的安全访问不能得到有效控制，存在非法访问的风险。入侵检测风险方面，在企业局域网内缺少入侵检测手段，无法对局域网内引发的网络安全攻击事件进行有效检测与报警。入侵者通过渗透以获取用户系统控制权，并传播木马病毒形成僵尸网络，甚至发起拒绝服务攻击，使企业的业务服务面临中断风险。流量管理风险方面，企业用户在网络带宽使用过程中，存在过度资源滥用情况，业务流量带宽受到挤压，带宽使用效率大幅降低。远程接入风险方面，企业网络系统没有采取可信认证与加密远程接入的访问机制，造成非可信身份访问企业内部网络，导致信息泄露风险。
1.3系统安全风险
系统安全风险一般指主机或终端自身系统防护能力不足导致容易发生病毒和恶意代码攻击、非法使用、数据截取等安全事件。系统安全风险主要包括身份认证风险、系统安全配置风险、系统漏洞风险、病毒和恶意代码风险这4个方面。身份认证风险方面，企业在网络系统中由于采用单一身份鉴别技术，导致攻击者易假冒合法用户获得资源的访问权限，对系统和数据安全造成威胁。系统漏洞与安全配置风险方面，由于系统补丁未得到及时更新，安全配置未能形成统一化、标准化安全部署，导致企业网络与信息系统存在大量的安全盲点。病毒和恶意代码风险方面，企业网络中主机及终端系统中防病毒软件升级滞后，导致防护软件存在查杀能力不足，系统易受病毒和恶意代码的攻击。
1.4应用安全风险
应用安全风险涉及很多方面，并且与具体的应用有关。应用系统的安全是动态的、不断变化的，需要我们针对不同的应用进行安全漏洞的检测，从而采取相应的安全措施，降低应用的安全风险。应用安全风险主要包括文件及数据库安全风险、病毒侵害风险、未经授权的访问、数据信息篡改，破坏了数据的完整性等。
1.5管理安全风险
安全管理是网络与信息安全得到保证的重要组成部分，从管理层面分析，管理安全风险主要包括：安全管理制度不够健全，关键活动的审批流程未建立或不够明确，导致责权不明；工作人员的操作权限缺乏合理的划分与分配，操作混乱；网络安全管理和技术人员缺乏必要的安全意识、安全知识和教育的培训；安全管理体系有待健全和完善，在主动防范网络与信息安全风险的管理手段有所不足，安全控制措施有待进一步有效发挥。从上述网络与信息安全风险分析，由此所引发的安全事件，一般情况下将会导致网络与信息系统在可用性、可靠性、可恢复性方面大幅下降。因此，针对安全风险制定切实可行的解决措施，提高网络与信息安全的整体防护能力和水平，是保障企业网络与信息系统安全稳定运行的关键所在。
2网络与信息安全防护的主要措施
参照信息系统安全等级保护基本要求，根据网络与信息安全建设存在的主要问题，切实结合企业自身实际需求，逐步建设形成多层保护、重点突出、持续运行的安全保障体系，将企业网络与信息安全防护工作落实到建设、防护、管理等的各个环节，保障企业网络与信息安全的整体性。因此，根据此主要思路提出保障企业网络与信息安全的总体原则与主要措施意见。
2.1总体原则
1）统筹规划，分步实施。建立健全完善企业网络与信息整体安全防护体系是一项长期的系统工程，其所涉及到各层面、各系统的安全问题要在国家信息安全法律法规及标准规范框架内，根据对信息安全风险分析的综合考虑进行统筹规划，制定统一、完整、动态，可控的安全防护系统设计，分步骤、分阶段的进行实施。
2）以用促建，合理投入。为保障企业网络系统长期、安全、稳定运行，依据企业网络不同时期所面临威胁的严重程度，在考虑安全防护经费投入与数据及其应用系统防护价值的性价比基础上实施安全防护体系的建设。安全设备在性能功能的选择上，要安全适度，不盲目超前，既要满足业务应用当前安全防护需求，又能适应未来安全防护的调整升级。
3）主动预防为主，应急恢复为辅。考虑到现代网络安全防护的复杂性和多变性，企业网络与信息安全防护，应以主动预防为主，尽量将安全隐患消除在安全事件发生之前。要提前制定好安全事件处理的应急预案，熟悉并掌握应对各种事件发生的安全措施及办法，最大限度地降低安全事件的损失程度。
4）动态管理，持续改进。企业网络与信息安全防护是一个动态的变化过程，要对安全风险实施动态管理，针对不断出现的新的安全威胁与漏洞持续改进完善企业网络安全措施，始终将网络与信息安全风险控制在可接受的范围。
2.2主要措施意见
1）合理划分网络安全区域。企业从整体网络与信息安全角度出发，综合分析网络系统中存在的普遍问题，采取结构化网络设计思想，结合网络安全域划分原则，对企业网络系统进行合理的安全区域划分。依据安全域划分，建议采取相应的网络边界安全防护措施，实现网络安全隔离，边界间联合防御，对病毒进行有效拦截及区域管控。在应对渗透攻击方面也能积极起到纵深防御效果，完善企业网络系统抗攻击，抗风险的能力。
2）规范网络资源的有效使用。规范企业网络资源的有效使用，增强局域网终端用户的安全审计，有效对网络中的各种行为采取更加细粒度的安全识别和控制的措施。同时，可对网络流量、终端上网行为进行实时分析和审计，做到有据可查。从而，有效优化网络资源使用效率，帮助企业管理层全面了解网络应用状况与趋势，增强网络资源对企业业务服务提供强支撑能力。
3）增强终端用户的网络安全防护措施。增强企业网络安全意识，提高终端用户安全防护措施，采取网络防病毒、终端安全核心配置等措施，通过安全策略的统一分发及部署，企业管理人员可全面直观掌握网络中的安全状况，如终端漏洞、终端病毒、终端升级等情况一目了然。有助于管理人员提高企业安全风险分析的能力及快速解除安全威胁的响应能力。
4）创新开展具有自身特色的网络运维管理服务新模式。面对信息化技术的飞速发展及网络应用的不断深入，在增强自身网络安全意识的同时，应不断学习新的防范技术，丰富防范手段；不断借鉴成熟的技术成果，对照自身网络特点，研究符合自身网络安全防护技术，不断深入实践，总结经验教训，把技术理论与实践经验有效结合，创新开展具有自身特色的网络运维管理服务新模式。
总之，我国网络与信息技术取得了快速发展，建设一个安全可靠的网络系统，是企业决策者和信息部门亟待解决的问题，需要我们持续深入的研究，这样才能将网络安全问题最小化，确保企业经营活动具备安全可靠的网络环境。
作者：张伟 单位：天津市信息中心
