信息安全管理體系建立方案

信息安全管理體系建立方案(初稿)信息技術(shù)部2012年2月

隨著企業(yè)的發(fā)展?fàn)畲?，信息安全逐漸被集團高層所重視，但直到目前為止還沒有一套非常完善的信息安全管理方案，而且隨著新技術(shù)的不斷涌現(xiàn)，安全防護(hù)又如何能做到一勞永逸的堅守住企業(yè)信息安全的大門便成為每個信息技術(shù)部門永恒不變的課題。作為天一藥業(yè)集團的新興部門，信息技術(shù)部存在的意義絕對不是簡單的電腦維修，它存在的意義在于要為企業(yè)建設(shè)好信息安全屏障，保護(hù)企業(yè)的信息安全，同時通過信息交互平臺，簡化辦公流程，提高工作效率，這才是部門存在的目的和意義，信息技術(shù)部通過不斷的學(xué)習(xí)，研究，通過大量的調(diào)研，終于開始著手建立屬于天一藥業(yè)自己的信息堡壘。企業(yè)信息安全主要包括了四個方面的內(nèi)容，即實體安全、運行安全、信息資產(chǎn)安全和人員安全，信息技術(shù)部將從這四個方面詳細(xì)提出解決方案，供領(lǐng)導(dǎo)參考，評議。實體安全防護(hù)：所謂實體安全就是保護(hù)計算機設(shè)備、設(shè)施（含網(wǎng)絡(luò)）以及其他媒體免遭地震、水災(zāi)、火災(zāi)、有害氣體和其他環(huán)境事故破壞的措施和過程。要想做好實體安全就必須要保證以下幾點的安全：環(huán)境安全：每個實體都存在于環(huán)境當(dāng)中，環(huán)境的安全對于實體來講尤為重要，但對于環(huán)境來講要想做到100%的安全那技術(shù)部工作的重中之重。結(jié)合集團現(xiàn)行的信息管理方式，根本沒有任何的信息資產(chǎn)安全防護(hù)手段，比如財務(wù)服務(wù)器由財務(wù)人員自行管理，一個人就可以操作財務(wù)服務(wù)器，而且服務(wù)器都開通了遠(yuǎn)程桌面功能，有管理員的帳號、密碼就可以隨時在集團任何一臺計算上登陸服務(wù)器進(jìn)行的操作，這是相當(dāng)致命的，我們只能奢求操作人是可以信任的，否則后果真是不敢想象。出于以上考慮信息技術(shù)部建議從以下幾點進(jìn)行改進(jìn)：財務(wù)服務(wù)器應(yīng)共由信息技術(shù)部與財務(wù)中心共同管理，服務(wù)器的登陸密碼由信息技術(shù)部掌握，金蝶軟件的高級密碼由財務(wù)中心掌握，當(dāng)需要操作財務(wù)服務(wù)器時，應(yīng)該有財務(wù)中心總經(jīng)理的審批手續(xù)方能操作服務(wù)器，信息技術(shù)部人員在見到財務(wù)中心總經(jīng)理的審批手續(xù)后方可與財務(wù)中心授權(quán)人共同進(jìn)行機房操作服務(wù)器，同時應(yīng)該記錄服務(wù)器操作日志，記錄操作過程，同時所有財務(wù)服務(wù)器操作人員與信息技術(shù)部人員都需要簽訂保密協(xié)議。財務(wù)服務(wù)器必須放置在機房并且具備上鎖功能的機柜里，同時關(guān)閉財務(wù)服務(wù)器的遠(yuǎn)程桌面功能，每次的操作都需要審批后才能執(zhí)行。每季度對服務(wù)器的密碼進(jìn)行更換（包括服務(wù)器登陸密碼及金蝶高級管理密碼），并由信息技術(shù)部監(jiān)督修改過程。每周對服務(wù)器數(shù)據(jù)進(jìn)行備份操作，并做好數(shù)據(jù)備份登記工作，每季度對所備份數(shù)據(jù)進(jìn)行恢復(fù)性測試，保證備份數(shù)據(jù)完整性。同時要進(jìn)行必要的重要數(shù)據(jù)異地備份，強化數(shù)據(jù)的容災(zāi)能力。每周對服務(wù)器進(jìn)行一次升級、更新、殺毒操作，保障服務(wù)器不被病毒感染，以起到病毒防護(hù)的目的。為了能夠盡快的建立起信息安全管控網(wǎng)絡(luò)，希望集團可以盡快的引進(jìn)上網(wǎng)行為管控設(shè)備，通過上網(wǎng)行為管控設(shè)備與易捷終端管控設(shè)備聯(lián)動管理，共同構(gòu)建網(wǎng)絡(luò)應(yīng)用安全環(huán)境。為了減少紙制文件泄露的風(fēng)險，加快審批效率，建議集團盡快上一套辦公協(xié)同管理系統(tǒng)（OA），將所有的審批流程通過電子文件傳輸，一方面電子審批加強了訪問機制（未被授權(quán)無法訪問），另一方面電子審批可以加快審批速度，提高工作效率，同時通過辦公協(xié)同管理系統(tǒng)的網(wǎng)絡(luò)文件夾功能，可以把集團的重要資料統(tǒng)一管理，訪問資料需審批，以避免信息外泄的風(fēng)險，同時也可解決一部分外發(fā)文件的保密性、安全性問題。人員安全防護(hù)：人員安全主要是指信息系統(tǒng)使用人員的安全意識、法律意識、安全技能等。人員的安全意識是與其所掌握的安全技能有關(guān)，而安全技能又與其所接受安全技能培訓(xùn)有關(guān)。因此，人員的安全意識是通過培訓(xùn)，以及安全技能的積累才能逐步提高。信息是不變的，而人是有思想的，只有人員的綜合素質(zhì)提高了，意識提高了才能在根本上解決信息安全問題，所以應(yīng)該有針對性的，有步驟的推進(jìn)員工的安全培訓(xùn)，增加員工信息安全意識，提升對企業(yè)的忠誠度，這樣就會大幅度降低企業(yè)信息外泄風(fēng)險。綜上所述，以上的解決方案仍然不夠完善，但對于企業(yè)目前階段