关于加强企业信息安全管理的探索，本文主要内容关键词为：企业信息论文,关于加强论文,安全管理论文，此文献不代表本站观点，内容供学术参考，文章仅供参考阅读下载。
信息安全管理是指通过保证信息资产的机密性、完整性和可用性来保护和维护企业所有信息资产的一系列管理活动，是完整的企业组织管理体系的重要组成部分。其主要包括制定信息安全政策、风险评估、控制目标与方式选择、制定规范的操作流程、对人员进行安全意识培训等一系列工作。
知识经济时代，企业内部各部门之间以及企业与外部之间的交流与合作日益频繁，且对计算机信息技术的依赖也日益明显，使得信息安全问题成为众多企业的关注焦点。
企业的许多信息，包括一些战略规划的重要信息，均以电子文件形式存储，而这些信息在存储、处理以及传输过程中都有可能被非法截取、恶意破坏以及篡改，损失难以想象。保障信息系统的安全在企业的建设和发展当中具有重要的作用。信息安全管理是确保信息系统顺利运行的有力武器。通过建立信息安全体系及相应的规范机制，如加强对人员的管理、提升人员安全意识、促进软件和操作系统的操作及建设相关网络等，就可以建立起完善的信息安全系统，促进企业在知识经济时代平稳、快速和健康的发展。
一、目前信息安全管理中存在的隐患
1.信息管理的安全意识方面
在传统的企业生产中，企业所应具有的基本生产要素主要有设备、原材料、人员和制度几个方面。但随着信息技术的发展，信息的重要性也日益突显，从而也成为企业发展的基本要素之一。根据以往经验来看，企业对信息安全的重视程度还远远不够，表现在对企业信息的安全保护很不到位，这无疑给企业带来了很大的损失。所以，企业必须要加强对信息安全的保护，建立起一套完善的信息安全体系来保证企业的信息安全。
2.缺乏统一的安全体系规划和安全防范机制
目前，“头痛医头、脚痛医脚”的现象十分普遍，原因在于着眼于局部而忽视整体。企业只是在网络中安装了一些安全设备，却未形成统一的安全策略及相关规划方案。企业在建设信息化的过程中通常采取先开展业务，后关注安全的策略，使得安全的管理远远落后于开展业务发展。而由于缺少整体性的规划，使得企业在问题已经出现时才去弥补，对于安全建设只能用“亡羊补牢”来形容。
3.信息安全产品本身存在的问题
大多数企业通常在建设信息安全系统的过程中就采用了一些保证信息安全的产品。但并不是说使用了相关安全产品信息系统就安全了，因为计算机系统所存在的一些安全隐患除了是由信息安全产品本身所具有的漏洞引起的之外，人员在使用信息安全产品的过程中所造成的操作失误及用户配置的错误也会对其产生影响。所以企业不仅要重视安全产品自身的问题，也要重视系统的操作与应用过程。
4.资金投入不够，缺乏安全技术人才
要想建构起完善的信息安全体系，企业不仅要投入大量的资金，而且同时要引进一批高端的IT人才，组建一支专业建设信息安全的团队。但遗憾的是，很多企业并未意识到信息安全的重要性，所以在资金投入方面很是不足，比如说，使用的电子邮箱和杀毒软件等往往都是免费的，也没有构建防火墙，这使得企业的信息安全得不到充分地保障。此外，虽然一些企业投资引进了一些硬件设施，但对软件的重视不足，表现为投入的滞后性，从而阻碍了硬件设施发挥应有的功能。
还有一个问题，大部分企业在加强信息安全建设的过程中，通常都把注意力集中在搭建网络平台及硬件的选择上了，却忽视了对人才的引入和培养。具体表现在许多企业缺乏信息技术人才，而相关专业人才更是不足。按照要求，一个信息系统的运作应该由几个技术人才相互配合、共同操作，但实际上却恰恰相反，企业中的一个信息管理人员往往负责大量的操作，不仅要负责配置系统，还要负责管理系统的安全，导致对安全的设置和监督由一个人负责，任务繁重。
二、加强企业信息安全管理的途径
1.注重人员安全管理，提升信息安全意识
具体的操作人员在信息系统的建设和运行过程中必不可少，人既是管理者又是被管理者，因为他们不仅要建设和应用计算机系统，而且也是信息管理的对象。所以在信息安全系统的管理中，最重要的就是对人员的安全管理，做到这一点要从以下几个方面来进行：要建立一个安全的组织结构，对安全职能加以确认，审查人员的安全状况，和安全人员签订相关的保密合同，加强离职人员的安全管理等。
企业要对员工加强有关信息安全的教育，增强他们的安全意识。保障企业的信息安全是每个职工应尽的义务。信息安全不是一种技术而是一种意识，所以仅从技术层面是无法保证企业的信息安全的。加强安全教育，企业要做到以下几个方面：首先，加强员工的教育培训、普及互联网和信息安全的相关知识、提升员工的安全意识并增强其防范能力，使整体员工都有一种为企业信息安全负责的意识。其次通过定期举行有关信息安全的报告和讲座等，使企业自上而下都形成安全意识并铭记于心。通过上述两种途径可以使企业的信息安全工作顺利的开展。
2.建立、健全信息安全防范体系
对于企业中信息安全的管理机制及防护规范的发展和完善，可以使企业中的那些至关重要的信息得到很好的保护。即使信息系统遭到入侵也能够保证企业业务的顺利进行，可以极大地降低企业的损失。
其一，提高安全系统的应急能力，这就要求建立和完善相应的应急管理机制，并制订应急预案；其二，企业要建立起一个网络和信息安全管理的平台，在网络内外部署相关的信息安全设施，比如要加强网络的安全性管理，在网络中设置一些控制访问的策略，并对网络的安全使用加以规范，具体来说就是要安装避免病毒入侵的软件，对网络经常进行检测，提高防火墙的性能等；其三，建立机制对信息安全进行集中化管理。如数据安全控制和加密密钥的集中化管理，前者可以做到自上而下的全面执行企业的安全防范策略，后者可以降低人为原因导致的数据安全的风险，并可以保证不与其他的加密策略发生冲突，实现兼容；其四，企业还要重视对于异地数据的备份工作及当遇到意外情况时可以实现信息恢复的机制设计，因为这可以保障信息系统的安全运行。另外，重视风险评估工作。这要求企业在平时要对信息系统的安全性进行定期的评估，以提高企业抵御风险的能力。
3.健全用户权限和上网管理制度
企业信息安全管理工作的一个重点就是要建立并完善用户浏览的权限及网上管理的制度设计，并使之得到严格地执行。同时随着企业的发展和业务系统的完善要不断对其补充和修正。
首先，对用户权限的管理加以完善。这就要求企业改变以往把每个员工都当成管理员可以随意浏览信息的状况，要将每个员工的权限加以明确并保证最小，减少他们对信息系统的操作从而在最大程度上保证系统的安全。
其次，要限制员工的上网行为。在信息化时代，要想控制众多员工上网的行为，就必须要从管理和技术两个方面来实现。此外，要严格检测和控制那些从外部传来的文件，防止它们给企业内部的网络带来病毒。
4.进一步健全、监管第三方服务体系
由于对信息安全的担忧和对服务质量的怀疑，大部分企业都不愿意采取第三方提供的服务体系。在企业中，信息安全工作至关重要，如果不小心泄露了企业的重要资料，就会给企业带来致命的打击。
政府应发挥作用加强有关第三方的法律法规建设并制定行业标准，排除企业对第三方的疑虑。企业应加强与第三方的合作，双方共同努力建设起符合企业特点的信息安全体系，使得企业的信息安全能够获得最有力的保证。企业应设立专门的监察职位，主要负责监督、检查企业管理信息系统的运行情况并直接向企业总经理负责。因其“第三者”的角色，可更加客观、公正对企业信息安全以及业务流程进行监察，及时发现信息安全隐患。
5.加大建设资金投入，完善软件硬件建设
要想顺利建成企业的信息安全体系，大量的资金投入是必不可少的。企业应投入足够的资金来购买相应的设备，如相关软件和服务器等，同时企业也可以采取外包的形式。
首先，在加强硬件设施方面，企业可以应用加密系统来保护有关的口令、文档及网内的重要数据。这样我们就可以更有针对性地在网上传输数据。加密管理有三种类型，即端点、节点和链路加密，企业可以根据自己的实际情况从其中进行选择。特别是在控制信息系统开发的过程中就应渗透信息安全保护机制，从根本上预防信息安全隐患。
其次，加强软件建设，最主要的就是采取积极有效的措施使操作系统的安全性得到最大程度的保护。具体来说就是要对有关信息管理的各种软件定期加以更新，保证数据库和终端的操作系统的版本保持一致，这不仅有利于加强管理，而且可以提高系统的防御功能。
此外，要做到经常性的数据备份，选用高强度口令保护账号安全，针对不同账号设定不同密令，经常更新杀毒软件及补丁以及在局域网与互联网之间安装防火墙，并周期性的对文件进行排查，及时发现已感染病毒的文件以及信息丢失的现象。
企业的信息安全管理是一个动态的过程，要随时代的发展而不断加以创新。因此，我们必须不断探索加强信息安全管理的思路和方法，并对逐步构建起相对完善、高效、可靠的信息安全管理体系，定期对企业的信息安全风险和信息安全管理水平进行评估。
标签：信息安全论文; 信息安全管理体系论文; 信息系统规划论文; 安全管理论文; 信息安全管理制度论文;