1 引 言
經(jīng)過數(shù)十年的信息安全建設(shè)，國內(nèi)大型企業(yè)的網(wǎng)絡(luò)及應(yīng)用系統(tǒng)的安全防護(hù)能力已經(jīng)達(dá)到一定水平。但是信息安全故障并沒有隨著信息安全投入的增加而下降。經(jīng)過統(tǒng)計(jì)發(fā)現(xiàn)，內(nèi)部網(wǎng)絡(luò)和應(yīng)用系統(tǒng)發(fā)生故障的原因少部分是由于網(wǎng)絡(luò)設(shè)備和應(yīng)用系統(tǒng)自身的問題所引起，更多的是因?yàn)閮?nèi)網(wǎng)的其他安全因素導(dǎo)致，如病毒爆發(fā)、資源濫用、惡意接入、用戶誤操作等。而這些安全因素，大多來源于用戶桌面計(jì)算機(jī)，桌面安全管理已經(jīng)是各個(gè)企業(yè)迫在眉睫的安全建設(shè)內(nèi)容。
２ 影響桌面安全的因素
2.1 企業(yè)安全組織體系不健全，專職人員缺失
大型企業(yè)的業(yè)務(wù)跨度大，地域分布廣。各個(gè)二級(jí)單位的信息安全水平發(fā)展不一。有的二級(jí)單位信息部門職工上千名，有的單位卻沒有獨(dú)立的信息部門。但所有的二級(jí)單位都統(tǒng)一在企業(yè)內(nèi)網(wǎng)中運(yùn)行，各類統(tǒng)建系統(tǒng)在所有二級(jí)單位中運(yùn)行。對(duì)于沒有沒有獨(dú)立的信息部門的二級(jí)單位 ，更沒有負(fù)責(zé)安全體系建設(shè)、運(yùn)行和管理的專職機(jī)構(gòu)及人員，兼職安全管理員有責(zé)無權(quán)的現(xiàn)象普遍存在，依據(jù)“短板”理論，極易從信息安全力量較弱的單位為突破口，進(jìn)而影響到整個(gè)企業(yè)信息安全。特別是信息安全技術(shù)的快速發(fā)展，信息安全人員需不斷提升自身素質(zhì)，加強(qiáng)業(yè)務(wù)水平，才能保證桌面安全運(yùn)行。
2.2 企業(yè)職工計(jì)算機(jī)缺乏安全加固手段
盡管多數(shù)大型企業(yè)對(duì)桌面計(jì)算機(jī)的安全加固已經(jīng)采取了部分安全措施，如安裝防病毒軟件和個(gè)人防火墻軟件，甚至部署了漏洞掃描系統(tǒng)定期對(duì)桌面計(jì)算機(jī)進(jìn)行漏洞掃描，督促用戶及時(shí)更新操作系統(tǒng)補(bǔ)丁。但是，首先由于企業(yè)規(guī)模較大，管理者無法保證所有的終端用戶都安裝了防病毒軟件和防火墻軟件。其次，即便安裝了這些防護(hù)軟件，用戶也常常因?yàn)楦鞣N原因無法及時(shí)更新病毒庫。另外，系統(tǒng)漏洞掃描雖然可以獲得桌面計(jì)算機(jī)的補(bǔ)丁缺失情況，但是卻缺乏有效的補(bǔ)丁安裝手段。所有這些因素，均導(dǎo)致桌面計(jì)算機(jī)的安全無法得到有效的保障。
2.3 企業(yè)職工計(jì)算機(jī)缺少有效的接入控制手段
對(duì)于大型企業(yè)，內(nèi)網(wǎng)計(jì)算機(jī)數(shù)量眾多且分布地域廣闊。網(wǎng)絡(luò)管理人員很難統(tǒng)計(jì)內(nèi)網(wǎng)計(jì)算機(jī)的確切數(shù)量，也無法區(qū)分哪些是內(nèi)網(wǎng)授權(quán)使用的計(jì)算機(jī)，哪些是外來的非授權(quán)使用的計(jì)算機(jī)。這種狀況下，很難控制外來人員隨意的計(jì)算機(jī)接入。很容易導(dǎo)致企業(yè)內(nèi)網(wǎng)機(jī)密信息的泄漏，往往等泄密事件發(fā)生了，卻還無法判斷到底是哪一個(gè)環(huán)節(jié)出了差錯(cuò)。另外，對(duì)于內(nèi)網(wǎng)授權(quán)使用的計(jì)算機(jī)，任何一臺(tái)感染了病毒和木馬，網(wǎng)絡(luò)管理人員也無法及時(shí)定位和自動(dòng)阻斷該計(jì)算機(jī)的破壞行為。往往需要花費(fèi)很長的時(shí)間才能判斷和定位該計(jì)算機(jī)，然后再通過手動(dòng)的方式斷網(wǎng)。對(duì)安全強(qiáng)度差的桌面計(jì)算機(jī)缺乏有效的安全狀態(tài)檢測和內(nèi)網(wǎng)接入控制，是導(dǎo)致內(nèi)網(wǎng)安全事件不斷發(fā)生的重要原因之一。
?。?大型企業(yè)桌面安全管理建設(shè)
中國石油信息化建設(shè)處于我國大型企業(yè)領(lǐng)先地位，在國資委歷年信息化評(píng)比中都名列前茅，“十一五”期間，將企業(yè)信息安全保障體系建設(shè)列入信息化整體規(guī)劃中，并逐步實(shí)施，其中桌面安全管理建設(shè)是信息安全保障體系建設(shè)的重點(diǎn)工作，從組織、管理及技術(shù)3個(gè)方面進(jìn)行全面建設(shè)。
3.1 完善安全組織體系建設(shè)
中國石油建立三級(jí)的終端安全組織架構(gòu)，分別為石油總部、地區(qū)公司、地區(qū)二級(jí)單位。終端安全組織在每一級(jí)設(shè)立專門的組織，明確主管領(lǐng)導(dǎo)，確定組織責(zé)任，設(shè)置相應(yīng)崗位，配備必要人員。其中集團(tuán)信息化領(lǐng)導(dǎo)小組是信息系統(tǒng)安全工作的最高決策機(jī)構(gòu)，信息管理部是集團(tuán)公司信息系統(tǒng)安全的歸口管理部門，負(fù)責(zé)落實(shí)信息化工作領(lǐng)導(dǎo)小組的各項(xiàng)決策。企事業(yè)單位信息部門負(fù)責(zé)本單位信息系統(tǒng)安全的管理，并設(shè)立信息系統(tǒng)安全管理、審計(jì)、技術(shù)崗位，包括信息系統(tǒng)安全、應(yīng)用系統(tǒng)、數(shù)據(jù)庫、操作系統(tǒng)、網(wǎng)絡(luò)等負(fù)責(zé)人和管理員，重要崗位設(shè)置兩名員工互為備份。
3.2 強(qiáng)化安全管理體系建設(shè)
安全管理體系從管理制度、培訓(xùn)教育、運(yùn)行管理及檢查考核4方面進(jìn)行強(qiáng)化。①管理制度。根據(jù)中國石油信息安全的需求，分階段逐步制定并完善信息系統(tǒng)安全管理的規(guī)章制度，加大整個(gè)信息安全制度體系的貫徹執(zhí)行力度，才能使安全防護(hù)能力得到不斷的提高，整體信息安全才能落到實(shí)處。②培訓(xùn)教育。信息安全培訓(xùn)涉及信息安全法律法規(guī)、信息安全事件案例等多方面，通過培訓(xùn)一方面提高企業(yè)員工的安全意識(shí)，使員工自覺約束自我行為，遵守各項(xiàng)信息安全規(guī)章制度、標(biāo)準(zhǔn)規(guī)范；另一方面及時(shí)掌握必要的信息安全技術(shù)知識(shí)和技能，在實(shí)際工作中充分利用技術(shù)手段保障信息安全。③運(yùn)行管理。 通過統(tǒng)一設(shè)計(jì)、統(tǒng)一平臺(tái)，統(tǒng)一硬件體系架構(gòu)，建立中石油桌面運(yùn)行管理系統(tǒng)。采用三級(jí)架構(gòu)，分別在總部、區(qū)域數(shù)據(jù)中心部署服務(wù)器和管理軟件，各企事業(yè)單位的桌面計(jì)算機(jī)安裝客戶端軟件，整個(gè)運(yùn)行管理由防病毒子系統(tǒng)、補(bǔ)丁分發(fā)子系統(tǒng)、端點(diǎn)準(zhǔn)入子系統(tǒng)、電子文檔保護(hù)子系統(tǒng)、后臺(tái)管理子系統(tǒng)組成。其中通過端點(diǎn)準(zhǔn)入防御系統(tǒng)，只有符合安全要求且通過用戶認(rèn)證的計(jì)算機(jī)才能接入內(nèi)部網(wǎng)絡(luò)使用，防止“危險(xiǎn)”、“易感”終端接入網(wǎng)絡(luò)，控制病毒、蠕蟲的蔓延。補(bǔ)丁管理系統(tǒng)與防病毒系統(tǒng)相結(jié)合，實(shí)時(shí)監(jiān)測和殺除病毒，實(shí)現(xiàn)對(duì)漏洞、病毒及惡意代碼的管理和控制，電子文檔保護(hù)子系統(tǒng)、后臺(tái)管理子系統(tǒng)增強(qiáng)系統(tǒng)及電腦文檔的安全性。④檢查考核。信息管理部門定期進(jìn)行信息系統(tǒng)安全檢查與考核，包括信息系統(tǒng)安全政策與標(biāo)準(zhǔn)的培訓(xùn)與執(zhí)行情況、重大信息系統(tǒng)安全事件及整改措施落實(shí)情況、現(xiàn)有信息系統(tǒng)安全措施的有效性、信息系統(tǒng)安全技術(shù)指標(biāo)的完成情況。各企事業(yè)單位信息部門按照本辦法和《集團(tuán)公司信息系統(tǒng)運(yùn)行維護(hù)管理辦法》進(jìn)行信息系統(tǒng)安全自我考核，信息管理部進(jìn)行綜合評(píng)價(jià)，形成年度考核報(bào)告，報(bào)信息主管領(lǐng)導(dǎo)。
3.3 增強(qiáng)桌面安全技術(shù)建設(shè)
桌面安全技術(shù)指物理安全、邏輯安全及運(yùn)行安全三大模塊，通過與企業(yè)內(nèi)控管理進(jìn)行有機(jī)結(jié)合，依據(jù)《中國石油天然氣集團(tuán)公司信息系統(tǒng)總體控制實(shí)施要求》，嚴(yán)格執(zhí)行相關(guān)操作規(guī)范，其中物理安全指進(jìn)入機(jī)房的物理安全訪問控制機(jī)制、設(shè)備的物理安全管理、敏感的紙質(zhì)系統(tǒng)文件管理。邏輯安全包括系統(tǒng)登錄身份驗(yàn)證、用戶賬號(hào)及特權(quán)用戶賬戶管理、密碼管理、用戶權(quán)限管理、終端合規(guī)性管理等。運(yùn)行安全包括病毒防護(hù)及病毒事件的處理、安全系統(tǒng)的備份與恢復(fù)、應(yīng)急事件的處理。
４ 結(jié)束語
隨著信息技術(shù)應(yīng)用的不斷深入，國內(nèi)大型企業(yè)信息系統(tǒng)集中程度不斷提高，業(yè)務(wù)對(duì)信息系統(tǒng)依賴程度的不斷加大，迫切需要建立與業(yè)務(wù)發(fā)展和信息化水平相適應(yīng)的信息安全體系。與此同時(shí)，國家發(fā)布了一系列相關(guān)文件，提出對(duì)涉及國家安全、經(jīng)濟(jì)命脈、社會(huì)穩(wěn)定的重點(diǎn)行業(yè)、企業(yè)的關(guān)鍵信息系統(tǒng)實(shí)施信息安全等級(jí)保護(hù)等要求。桌面安全責(zé)任也日益增大。只有通過從組織、管理、技術(shù)全面建設(shè)，才能有效提升桌面計(jì)算機(jī)抵御安全威脅的能力，提高桌面安全管理水平，達(dá)到桌面計(jì)算機(jī)有防護(hù)、有檢測、可控制、可審計(jì)，建設(shè)統(tǒng)一桌面安全管理系統(tǒng)，中石油通過兩年的桌面安全建設(shè)，取得了良好效果。
