事业单位网络安全体系构建分析.pdf

责任编辑赵志远InformationSecurity信息安全事业单位网络安全体系构建分析司法鉴定科学研究院俞铮道编者按：以事业单位的网络安全现状为出发点，从“人防”与“技防”相结合的角度，介绍事业单位网络安全体系建设的策略。近年来，随着计算机网络的飞速发展，许多行业机构都感受到信息技术所带来的效率和便捷。然而，随着计算机技术的发展，病毒、木马以及其他网络攻击对传统计算机系统造成了严重的威胁。事业单位机构拥有许多机密数据，一旦被黑客侵入，会造成数据被破坏、改或泄露的后果，将严重地冲击机构的正常运行，严重者甚至威胁到国家安全。因此，事业单位建设一个安全的信息系统是非常必要的。事业单位的网络安全现状分析1.网络安全体系不健全根据相关法律法规，各事业单位都要制定相关的网络安全管理体系。但是经过研究，大多数机构的网络安全管理制度沦为一种形式，面临着制度不健全、适用性不强等问题。其中，没有制定出与网络安全管理制度相适应的实施细则，是导致网络安全问题产生的一个主要因素。2.工作人员的网络安全观念淡薄有的机关单位工作人员对工作中存在的信息关注度不高，没有充分地了解到信息系统的应用价值，人们普遍对网络的安全性认识不足，安全性防范措施不到位。另外，也有少数员工对本部门的信息系统不够重视，以为是单纯技术上的问题，和自己没有关系。在这样的环境下，很可能会出现机密文件被窃取，或者是脆弱账号被入侵，从而给整个单位带来严重损失。事业单位网络安全体系建设策略1配备专业的网络安全管理人员要提高事业单位的信息化程度，必须培养出一批具备高专业素质的信息化管理人员，并配备完善的信息系统及设备，这样才能对单位的信息系统进行科学的设计，对信息系统实施有效保护，进而进行有效的防范。因此，事业单位应强化对网络安全专业人员的选择、任命以及相关培训。在进行职位设定时，应设立专门的网络安全管理岗位，同时还要不断提高对网络安全管理人员的业务水平，为他们提供适当的训练和学习的机会。除此之外，还要对网络安全管理人员展开全程的闭环工作，尤其是在其离职离岗时，要及时回收有关系统账号和访问权限等，避免出现数据泄漏等安全问题。投稿信箱 2023.8115Information Security信息安全/责任编辑赵志远2.构建网络安全技术防护体系(1)物理安全物理安全主要是指信息基础设施和设备的安全。为了确保信息系统的安全性和可靠性，就需要确保该系统具有一个安全的运行环境。因此，计算机网络安全运行需要具备一些基本的要求。场所的稳定性。计算机室或数据中心应远离地震、洪水、火灾等潜在危险区域，并且应具有防震、防风、防雨的功能。设备的可靠性。设备的安全性主要是指设备的防盗窃、防损坏、防电磁资料泄漏、防线路截获、防电磁干扰、防供电等。在设备的防盗方面，为了保证计算机设备与相关元件的安全，可以采用一些防盗方法（例如便携式报警器、数字探测报警以及元件上锁等）来进行防护。在防止设备损坏方面，要防止自然力量的损坏，例如采用地线防护等方法来对计算机信息设备中的元件进行防护。在防止人为损坏方面，可采取防护围护结构，并采用多种防护材料、防护设备等。在抗拦截方面，重点是保护通信线不受拦截和干涉。在对抗EMI方面，重点在于避免EMI影响到计算机信息。在电力保护方面，可以采用不间断电源供电，也可以采用柴油机发电系统。媒体安全性。媒体安全性主要是对媒体中所保存的资料以及媒体自身进行保密。此外，还应对计算机实施有效的访问控制，并在计算机室的进出口设置专门的值班岗位，控制、鉴别并记录访问人员，以防范媒体信息通过系统及物理方式外泄等。(2）网络架构安全性网络的结构的设计目标是要让在不同的物理地点上的计算机网络相互联系起来，把网络中的计算机平台、应用软件、网络软件以及互联设备等网络要素进行有机地连接起来，以符合使用者的需求。网络架构安全是在对网络进行设计和实施时，按照具体的安全需求，部署对应的安全措施，通过安全设置、安全部署等手段，来确保整个系统的安全。在进行网络体系结构的安全性设计时，需要注意下列几个问题。在设计网络体系结构时，要按照单元的服务要求来适当地选择网络架构，并对其基础技术指标进行合理的设定，使所提供的服务能够达到最大的服务要求。对网络的安全区进行科学的分区。根据各分区的功能及对安全性的需求，可将整个系统分为若干个安全区，这样就可以分区采取各种安全措施，而且对这些安全区分别采用实体和逻辑的方法进行防护。在网络边缘布防，并采取合理的布防方式，包括防网络攻击、防病毒、防拒绝服务攻击等。对于防火墙和入侵检测/防护等设备，要依据具体服务需求，按照最低权限的要求，设定接口级别的安全权限。对IP地址进行合理规划，制定IP地址的分布方案，并对网络中的各种设备进行路由、切换等设计。IP地址规划可以按照不同的实际状况，采用静态分配地址、动态分配地址、设计NAT措施等方式，在对应的主干路由器、核心交换设备和共享交换设备上，执行路由和交换策略。(3）应用安全随着Service脚本技术和构件技术等技术手段的逐步成熟，基于Web平台的应用型系统已经成为互联网信息系统的主流，并逐步成为许多重要领域 2023.8投稿信箱责任编辑赵志远InformationSecurity信息安全公共信息系统的首选。但是，网络信息系统受到的攻击也在不断增加，其中绝大部分都是由于网络信息系统本身的安全缺陷造成的。安全漏洞是指在系统设计和实现过程中，由于有意或无意而产生的一种潜在的安全缺陷。黑客可以利用网络漏洞，实施数据盗窃、病毒传播、木马安装、篡改数据等恶意行为。当前，应用程序面临着以下问题。非法行为，指因操作系统存在缺陷而被非法使用者篡改、删除或盗取服务器数据。拦截、破译或修改来自远端使用者与服务器的信息。针对服务端的主动攻击。其中，以DDoS攻击最为典型，它会极大地消耗服务端的资源，使得应用的服务端不能满足服务要求。利用应用系统自身存在的缺陷，或者由于管理员的疏忽而造成的缺陷，对应用程序进行攻击，从而达到盗取信息和破坏系统的目的。在设计、编写程序时，未注意到程序本身的安全问题。因此，这类程序中存在的缺陷，无论是防火墙还是IDS，都不能进行有效保护。对于应用程序所面对的安全问题，必须做好如下工作。对应用系统实施身份验证、访问控制、反抵赖、软件容错等措施。通过部署防火墙、IDS/IPS、WA F、抗DDoS攻击等保护措施，对非法接入、不需要的端口进行拦截，并对网页改、信息泄漏、木马植入等威胁进行防范。做好代码的安全性测试。在编写代码时，要注意代码的标准化，尽可能地避免代码中存在的缺陷，并对代码进行相应的安全性测试。加强软件漏洞管理，对应用软件进行漏洞扫描和安全评估，及时发现软件漏洞，并采取相应措施。对传送的数据进行加密处理。例如，采用SSL技术传送Web数据。3.强化网络安全宣传事业单位员工的网络安全意识是防止安全事故的最主要的一道防线。工作场所的网络安全防范不仅仅是网络安全管理岗的工作内容，它与每个工作场所的员工都有着紧密的联系。单位应强化对工作人员的网络安全教育，以培训等形式让工作人员认识到网络安全的基本知识，从而有效地降低工作人员所面临的安全风险。除此之外，还应制定相关的安全管理制度，明确每一个工作岗位的安全职责，让每一个工作人员都能主动地参与到单位的网络安全建设中来，从而建立起最坚固的安全防线。结语事业单位的网络安全关系到包括政务等在内的服务职能的稳定运行。在越来越复杂的互联网环境背景下，事业单位需要建立一个综合的、整体的网络安全防护，要把人防”和“技防”结合起来，在加强对人防建设的同时，充分发挥技术手段，建立健全网络安全防御体系，最大程度地保障单位的网络安全。NCYERSECURITY投稿信箱 2023.8117