邢书喆
中国北方人才市场（天津市人才服务中心） 天津市邮编:300204
摘 要：文章以信息系统安全形势为切入点，分析了信息系统存在威胁风险，从构建良好的组织结构、强化信息系统安全审计职能以及积极应用先进信息系统安全控制技术与工具等三个方面提出了信息系统安全管理措施，指出信息系统安全管理对信息化建设的重要意义。
关键词： 信息系统 安全管理 信息化建设
随着信息系统在我国各级政府、各地企业的广泛应用，维护网络空间安全，构建互联网发展安全基础成为国家关注的重要战略课题。尽管我国网络安全形势及各级组织信息系统总体运行平稳，但数据泄露、网络攻击等事件仍时有发生，信息系统安全仍然面临诸多风险。
一.信息系统安全形势及存在威胁风险分析
1.1网络信息系统安全形势
据《2020年上半年我国互联网网络安全监测数据分析报告》统计，2020年上半年，共捕获计算机恶意程序样本数量约1,815万个，日均传播次数达483万余次，涉及计算机恶意程序家族约1.1万余个。按照目标IP统计，我国境内受计算机恶意程序攻击的IP地址约4,208万个，约占我国IP总数的12.4%。我国境内感染计算机恶意程序的主机数量约304万台，同比增长25.7%。通过自主捕获和厂商交换发现新增移动互联网恶意程序163万余个，同比增长58.3%。通过对恶意程序的恶意行为统计发现，排名前三的仍然是流氓行为类、资费消耗类和信息窃取类，占比分别为36.5%、29.2%和15.1%。国家信息安全漏洞共享平台（CNVD）收录通用型安全漏洞11,073个，同比大幅增长89.0%。按影响对象分类统计，排名前三的是应用程序漏洞（占48.5%）、Web应用漏洞（占26.5%）、操作系统漏洞（占10.0%）。2020年上半年，CNVD处置涉及政府机构、重要信息系统等网络安全漏洞事件近1.5万起。
从以上网络安全信息报告可以看出，无论是政府还是企业、无论是业务处理信息系统还是信息综合平台，信息系统本身就面临很多风险和安全威胁，其安全必须有所保证。因此，信息系统的安全管理和安全保障体系建设是信息化建设和稳定持久发展的根基和重中之重。
1.2 信息系统安全存在威胁风险分析
从信息系统建设和应用方式的技术层面分析，信息系统存在天然的脆弱性，一旦信息系统的脆弱性被利用，系统威胁就可能发生。信息系统安全威胁宏观上可分为两类，主动威胁和被动威胁。
1.2.1 主动威胁
主动威胁来源于个人或组织有目的的寻找信息系统漏洞，利用系统实现破坏或舞弊。主动威胁需要接近软硬件系统和敏感数据。人是产生主动威胁的根本因素，信息系统工作人员、各类用户以及窃密者是最可能给信息系统带来威胁的三类人群。
信息系统工作人员通常包括信息系统开发的程序员、负责日常工作的操作员以及维护员和数据库管理员等，相对于其他破坏者，他们对信息系统非常熟悉，并且具有操作信息系统的一定特殊权利。一旦这类人群对信息系统实施主动攻击，非常具有隐蔽性，且成功率和破坏性都是惊人的。他们会运用系统权限非法获取、修改数据，甚至通过修改维护程序加入对自己有利的舞弊代码，或编写不良的补丁程序。在美国一个案例中，一名财务信息系统数据操作人员通过篡改输入数据，每月盗窃200美元到个人账户，历经十年之久才被发现。
信息系统的各类用户可以利用远程终端直接接触到信息系统数据库，并且有可能披露数据库中的相关数据，或者通过网络监听获取信息系统的数据信息，甚至可以通过网络植入木马、病毒，破坏信息系统运行。而用户都具备一定的系统使用权限，这些权限增强了他们主动威胁系统的破坏力。
窃密者就是传统意义的黑客，他们没有系统授权，会通过采用一系列非法手段，越权进入信息系统，窃取机密，属于有目的的恶意破坏者。
1.2.2 被动威胁
被动威胁主要来自于信息系统的硬件及网络环境方面出现问题，如供电系统不稳定、硬件系统出现故障等。此类网络安全问题可通过优化系统建设方案得以解决，可以通过提前预防、后期修复两种方式进行控制。
对于关键设施故障，如数据库服务器出现故障等，可采取对数据库定期备份的方式来预防数据丢失和被破坏；预防突然掉电导致信息系统运行中断，可通过设置冗余电源供电或采用UPS电源供电等方式；冗余网络传输路径避免网络断路造成的传输风险；信息系统采用标准化建设，可以保证信息系统最优可维修性。
二．信息系统安全管理措施
信息系统的威胁，尤其是主动威胁时不可能完全被阻止的，信息系统安全理论认为这是因为两方面的原因，首先系统保护过度会丧失实用性，其次如果组织内部没有总体诚实和谐的氛围，信息系统将失去价值。在这种理论基础上，采取信息系统安全管理措施可以对信息系统的威胁进行控制，而安全管理措施的目的主要用于防止和发现威胁，以及对威胁造成不良影响的补救。
2.1 构建良好的组织结构
在组织进行信息化建设实施后，一定要建立清晰的权责体系，保证不相容职责的分立。避免业务人员与信息化建设人员一起完成业务模块构建工作，例如财务部工作人员与程序开发人员一起设计编写实施应收账款模块，会计师与开发人员一起对会计业务模块进行修改。权责不分可能导致个体系统应用权限过高，给舞弊行为创造条件，为信息系统带来潜在风险。信息化组织需要构建清晰的组织结构链，明确业务操作和决策的归属。通常应采用组织结构图、规章制度、员工手册、岗位职责等将个体的责权以及必须回避的业务规定清除。
2.2 强化信息系统安全审计职能
组织应强调信息系统安全性的审计工作。信息系统安全性审计的目的在于预防来自互联网以及组织内部对信息系统的威胁。来自组织外部的黑客攻击、数据外泄，来自组织内部的舞弊、非法更改、非法访问等可能中断组织正常业务活动，丢失数据，泄露机密等。组织应重视信息系统安全性的检查和评价。依据我国信息系统安全等级划分标准，应评估操作系统、数据库系统、信息系统所处安全等级以及分析系统运行安全状况，重点对运行日志、使用权限分配、数据输入安全等方面进行审计，以降低主动威胁风险。
2.3 积极应用先进信息系统安全控制技术与工具
积极应用先进安全控制技术与工具，减少或避免越权接触敏感设备和数据，把潜在危险个体与目标隔离开来。
1）访问控制。访问控制是组织用来防止未授权的访问的所有政策和程序。用户必须在授权认证通过后才可访问信息系统。访问控制包括令牌、智能卡、生物认证等多种形式，用以实现不同等级的安全控制。令牌是类似ID Key性质的装置，用于单个用户身份认证，智能卡内嵌芯片包括身份信息和访问控制权限信息；生物认证利用系统读取设备个体特征，如虹膜等进行身份认证。
2）防火墙。防火墙由软硬件设备联合构成，控制进出网络的通信。防火墙一般设置在组织内网与外网之间，也可以用在内网中把安全级别更高的子网分隔。防火墙实现静态包过滤、状态监测、网络地址转换和应用代理过滤等功能。
3）入侵检测系统。入侵检测系统是对组织信息系统最脆弱的节点实施不间断实时监控，及时发现和阻止入侵者，并为组织提供预警。
4）杀毒软件和反间谍软件。杀毒软件检查系统是否存在病毒并清除病毒，反间谍软件对增强计算机安全非常有帮助。
三．结束语
信息系统安全管理离不开技术性安全措施，也非技术性安全措施来保障。随着信息化建设的飞速发展，信息系统安全已经成为各企业、组织团体关注的重点，信息安全是一切业务正常运行的前提，信息安全系统以及安全管理制度必须与信息化建设同步开展、同步启动、同步实施，信息系统安全管理是信息化建设的当务之急，是信息系统安全运行的基本保障。
参考文献：
[1]李永胜，苑津莎，张铁蜂. 网络信息安全与防范技术的研究[J/OL]. 电工理论与新技术学术年会，2005.
[2]欧阳志平. 信息系统安全管理是信息化建设的当务之急[J/OL]. 全国税务信息化技术应用与建设成果交流论坛，2008.
[3]李永胜, 苑津莎, 张铁峰. 网络信息安全与防范技术的研究[C]// 电工理论与新技术学术年会. 2005.
[4]泥瑾, 李娜. 医院信息系统的安全管理探讨[J]. 齐鲁医学杂志, 2009, 24(2):184-184.