| 随着信息化越来越广泛地在中小制造企业中的应用，信息安全对于中小制造企业来说也显得越来越重要。中小制造企业在信息安全方面的总体投入，无法同大型企业相提并论，这就更加要求中小制造企业结合企业自身的实际情况，从有限的技术投入和技术手段来限制-“硬”，以及企业的制度、培训以及检查落实等来保证-“软”等两个方面，双管齐下打造企业信息安全管理方案。 | |
|
| 随着全球经济一体化的快速推进，互联网的快速发展为人与人之间的交流与协作搭建了平台，信息的运用也将直接关系到企业的成败。 ERP、CRM等管理信息系统的广泛推广应用，将网络在企业中的应用变成为一种必然的趋势，企业里面的计算机从此也开始逐步走向世界。这不仅开创了沟通与交易的新模式，同时也为居心不良者提供了窃取他们的信息资料、传播网络病毒以及破坏他人的电脑系统提供了可趁之机。 信息安全虽然不仅仅是技术的问题，但信息安全的管理是建立在技术的基础之上的。要想保持安全的领先性，需要技术上的优势，自然也需要大量的资金投入。中小制造企业本身对于整个信息建设投入不足的前提下，无法与世界500强的大型企业的投入相比，也因此往往要落后于世界500强的外资企业。 中小制造企业要在有限的技术投入的前提下，要做到企业信息安全的建设与管理。需要做到“软”“硬”兼施，齐抓共管打造企业信息安全策略，从而在最大程度上确保企业的信息安全。 “硬”“软”兼施，并非从软件与硬件的着手，所谓“硬”是强制性的技术措施，而“软”是指柔性的管理措施，如表1。 
1、“硬”- 技术安全措施 技术安全是根据企业的实际情况和部门的要求定出的安全策略的基础之上，通过技术的手段安装与设置。安装设置后，计算机系统会自动强制执行，“硬”主要表现在技术安全措施的强制性。本文以Windows操作系统为例，根据中小制造企业信息应用水平，其技术安全措施主要表现在以下几个方面。 1.1用户访问策略 用户访问权限的管理是最基本也是最有效的内部信息安全措施，通过Windows Server 2003建立企业局域网的Active Directory（活动目录）。将企业不同部门或不同内容的数据进行分组，然后按后针对计算机用户工作的实际情况划分到不同的组别中。利用访问控制列表服务对用户的文档访问权限进行管理，把用户授权与账号安全中的用户认证技术集成在一起。 对于管理应用系统的访问控制，需要做到数据库的按层次设置的安全保密措施和用户模块的正确授权，确保应用系统中的用户只能访问与自己业务相关的模块。 确保信息让工作需要并取得授权的人能正常访问，用来实现“什么人，在什么条件下对什么对象，有什么工作职能权限”，特别是对于公司的商业文档、客户资料、销售数据、专利技术、图纸等商业机密在有限的合法的范围内使用，从而从内部的源头上尽可能保证信息的安全。 另一方面，通用利用Windows Server 2003的Group Policy（组策略）工具来设置特定的功能。如禁止普通用户自行安装并运行非法软件、使用QQ、MSN等即时通讯工具、USB设备等。 1.2防火墙与防病毒 防火墙是企业内部用户与外部互联网连联的临界点，它不仅控制着内部网络访问外部的策略，同时也会直到对于外部访问内部网络的防护作用。面对网络层次不穷的最新病毒，防病毒系统是网络应用最基本的防御体系，它涉及到每一个桌面终端电脑的基本安全问题。下面以某中小制造企业通过部署ISA 2006防火墙和赛门铁克防病毒系统为例。 
图1 某中小制造企业网络拓扑图
|
在内部网的唯一出口处部署ISA Server 2006防火墙系统，并通过防火墙作为使用互联网的代理。然后通过ISA的策略，来设置不同的出站通讯协议和入站通讯协议，如访问什么样的网络、限制文件的下载、限制邮件的发送，甚至简单的网络内容过滤等等，并针对不同的电脑和不同的用户名分别授予不同的互联网访问权限。
通过部署网络版的防病毒服务器，一方面确保计算机病毒在进入内部网络前，做一次全面的病毒扫描、拦截和清除，另一方面通过防垃圾邮件系统对进入网络内部的邮件进行过滤，使内部网络尽可能少地受到垃圾邮件干扰。同时要通过病毒服务器的策略做到实时更新，并部署客户端定期进行病毒扫描，及时防止最新的病毒骚扰。
1.3备份与恢复
数据的备份能保证计算机系统在受到破坏的情况下，能够做到及时而快速地恢复关键业务数据，防止因异外情况导致数据的丢失。
为了确保关键业务的服务器的完整性，防止数据被非法篡改，保护系统的正常运行，应该使用服务器容错技术如Raid 0/5，并且定期备份并查验服务器的重要信息，确保数据的完整性。
对于关键应用的数据库系统的备份，建议采用数据库系统的自动备份功能。如ERP系统的数据库SQL Server 2005，可以设置每隔1小时自动做一次增量备份，每周做一次完整备份。
对于文件服务器，采取磁带备份的方式，使用专用的备份软件，如用Veritas设置每天备份的方式和时间点。
为了能确保数据在异常的情况下能恢复到正常状态，一方面需要做到备份数据的异地保管，同时需要做到定期恢复演练，确保当异常情况发生时能快速恢复数据。
2、“软”- 管理措施
2.1信息安全制度
企业计算机信息是否安全，关键在于管理。企业的安全策略是对企业信息管理的重要手段，任何授权访问信息资源的职员，都必须遵守这些规则。
首先，安全策略由高层管理部门制定，IT人员负责设置并与相关部门及人员确认。以保证企业的网络系统正常、有效并安全地运行。其次，制定安全管理策略和原则，确定安全的等级与范围，制定有关网络操作使用规程（包括个人电脑账号的申请、使用和管理等），人员出入机房管理办法，网络系统维护和应急措施，数据备份与恢复管理办法，病毒处理管理办法，以及互联网访问规则等。
2.2签订保密协议
员工在进入公司、升职、转职或离职时，都必须签订相关的保密协议。目的在于再一次提醒员工，遵守职业操守，贯彻保守机密的重要性。必要的时候，通过法律的手段追究相关人员的违法行为，维护公司的利益。
2.3加强教育提高意识
对于中小制造企业来说，安全意识和相关技能的教育和培训是企业安全管理的重要内容，其实施力度将直接关系到中小制造企业安全策略被理解的程度和被执行的效果。为了能够使安全教育深入到每一个员工，提高员工的安全意识。可以通过案例分析，如企业图纸泄密导致重大损失的，不仅会引起员工的兴趣，也加深了印象；也可以通过专题培训与讨论，如如何识别病毒邮件？增加接收邮件时的警惕性，防止因误操作而导致病毒感染等；及时通报网络安全方面的新闻、及时提醒大家防范；同时也要及时解答大家的提问等等。
俗话说“日防夜防，家贼难防”。中小制造企业在尽最大可能做到技术上的防范后，信息安全不仅是技术问题，也是与管理制度与措施、职业道德以及每一个人的安全意识等都有关的企业的管理问题。
因此，中小制造企业在进行信息安全管理建设的时候，既需要技术措施的“硬”，也需要管理措施的“软”。只有“硬”“软”兼施，齐抓共管，才能从最大程度上打造中小制造企业的信息安全系统。
参考文献
1.徐畅，制订企业计算机信息安全管理策略的探讨，广西轻工业，2007（5）。
2.戴川、叶春明，浅谈制造企业日常信息安全管理的必要性与对策，中国集体经济，2007(6)。
3.张付功，企业网络安全系统构建的探讨，科技信息，2007（16）。
更多内容请参考http://articles.e-works.net.cn/415/Article46824.htm
发表于：
2007-09-05 10:00 褚四斌 阅读(1565)
评论(0) 收藏(0)
好文推荐
作者该类其他文章：