敏感信息安全范文

導語：如何才能寫好一篇敏感信息安全，這就需要搜集整理更多的資料和文獻，歡迎閱讀由公務員之家整理的十篇范文，供你借鑒。

篇1

關鍵詞 SAP安全敏感信息管理模型；機密數據；多方授權；動態口令

中圖分類號：TP309 文獻標識碼：A 文章編號：1671-7597（2013）15-0054-02

隨著信息化在企業中的深入發展，SAP系統作為成熟套轉軟件不管是業務范圍、還是集成度，都在企業的業務應用和企業決策信息系統中占著主導地位。SAP系統承載著企業核心機密數據，尤其是財務、薪酬等數據，必須做好數據的安全保密工作，但現有的SAP系統數據存儲體系尚不完善。如，薪酬相關的敏感數據在邏輯數據庫表里以明文形式存儲； SAP系統無法對數據表后臺訪問進行控制，系統存在敏感信息外泄的安全隱患。目前對SAP系統的敏感信息訪問控制的研究還很少，如何加強對敏感信息訪問控制是信息化管理發展的一項重要工作。

1 SAP安全敏感信息管理模型簡介

SAP系統中的業務信息都保存在數據表中，只要擁有數據表訪問的權限，就可以查看到所有數據表的信息。一些記錄敏感信息的數據表有可能會被隨意訪問、導出，甚至被改動，這顯然是很可怕的潛在安全威脅。SAP系統不具備對特定表進行訪問控制的功能。本成果結合“多方授權”及“動態口令”的原理，借鑒銀行金庫監督管理機制，將其改造應用在SAP的敏感信息表訪問控制管理上。

2 SAP安全敏感信息管理模型的設計與應用

2.1 模型設計原理

借鑒銀行金庫監督制約機制，設計了一種多方授權動態訪問控制的管理模型。首先將敏感信息表進行注冊加鎖。任何賬戶訪問這些敏感信息表時，會彈出一個解鎖界面，需要三方解鎖用戶同時輸入授權口令方可解鎖訪問。另外，解鎖用戶的授權口令是每次即時獲取的。解鎖用戶的賬號、個數、有效期等信息都可以調整，提高數據訪問控制可靠性、安全性的同時又不失靈活性。

2.2 技術架構

通過客制化配置表對存有敏感信息的數據表進行注冊管理并設置解鎖用戶信息，采用SAP增強技術NEW BADI，增強SAP標準程序對注冊的數據表進行客制化權限檢查，對該敏感信息表進行多方授權和動態口令的訪問控制。

技術實現要點如下：

1）設計一個授權信息表，將需權限控制的SAP系統敏感信息數據表及授權用戶配置其中，并為每個數據表指定多個授權用戶。

2）在SAP標準表權限檢查中，利用ABAP程序增強客制化權限檢查程序，同時屏蔽了標準權限檢查通過后直接訪問表的功能。

3）開發一個“多方授權驗證程序”，在“客制化權限檢查程序”中調用“多方授權驗證程序”，彈出多方授權驗證窗口等待授權用戶分別輸入各自動態密碼。

4）開發一個“動態密碼生成程序”，各用戶分別登錄各自的SAP賬戶，執行此程序生成各自的動態密碼，并將密碼保存入密碼庫，該密碼只針對當天指定的某一個數據表生效。

5）各解鎖用戶分別將各自生成的動態密碼輸入到“多方授權驗證程序”中，密碼全部正確后即可訪問該數據表。

2.3 多方授權的管理模型

多方授權是要求多個用戶對同一消息進行簽名授權，實現這種多個協議方對同一消息進行簽名的方式即為多方授權。目前，多方授權的簽名普遍應用在電子商務應用中。本模型將多方授權技術應用在加強敏感信息安全管理。

1）授權信息初始化：本模型的授權信息表，將相關信息初始化入授權信息表中，包括所需注冊管理的數據表信息以及可對該表進行訪問控制的解鎖用戶信息。

2）授權產生：當使用SAP數據瀏覽命令訪問SAP數據表時，本模型的SAP的客制化權限檢查程序調用多方授權驗證程序檢查授權信息表，如該表是已注冊的表，則會彈出該表對應解鎖用戶名及輸入口令的界面。

3）授權驗證過程：根據授權產生結果，該表對應的解鎖用戶分別將密碼輸入，本模型的SAP權限檢查程序逐一驗證，所有用戶密碼驗證正確后，該表對象方能被解鎖，授權訪問成功。

2.4 動態口令的管理模型

在傳統的身份認證中，常采用靜態口令法，但該方法無法提供足夠的訪問安全性。動態口令技術針對傳統的靜態口令的安全弱點提出一次一變的身份認證方式。動態口令的密碼是根據專門的算法產生變化的隨機數字組合，具有以下特點：動態性、隨機性、一次性、抗偷看竊聽性。動態口令技術在各企業中得到廣泛的應用，主要用來保護其VPN、服務器、網絡設備等。

本模型采用動態口令技術來對敏感信息表進行訪問的認證。包括：動態口令生成過程，動態口令身份認證過程。

1）動態口令生成過程。

過程如下：解鎖用戶通過本用戶名登陸SAP系統進入動態口令獲取界面；輸入要訪問的表名稱；點擊生成密碼，用基于時間的口令生成算法，生成密碼；點擊保存，將密碼、用戶、表的信息存入密碼庫。

本模型采用口令生成算法是基于時間的一種算法，根據用戶、要訪問的表、當前的時間產生，產生的信息作為動態密碼，利用時間進行加密后存入密碼庫。

2）動態口令身份認證過程。

動態口令的身份認證是，在授權解鎖界面，解鎖用戶將剛生成的動態密碼輸入后，本模型的SAP權限檢查程序根據當前系統時間、用戶信息、表名稱到密碼庫中搜索相關記錄，根據記錄中的密碼信息，進行核對，完成身份認證。

3 應用效果

本技術的實施可最大限度的保護敏感信息不被隨意訪問和修改，即使擁有了該表的訪問權限，也需要幾個用戶一起多方授權，與銀行保險柜管理的原理一樣，鑰匙由多人掌管，現場同時插入鑰匙共同打開保險柜.本技術采用動態口令，密碼即時獲取且生效周期短，比單純的多方授權更提高一層安全性，對財務、人事、薪酬等敏感信息都有很好的保護。效果如下：

1）控制精細且方便，權限控制可以具體到特定表，在程序中注冊后即被控制。

2）訪問安全且靈活，對不需要訪問控制的數據表可根據SAP標準權限檢查控制進行訪問，需要訪問控制的表由多個用戶同時授權訪問，增大了安全性。

3）控制范圍廣，可以對SAP系統中任何數據表進行控制。

4）從技術上提升信息管理水平，通過技術手段強制限制訪問和修改后臺數據。

4 結束語

SAP安全敏感信息管理模型通過最優的技術實現與合理的管理手段相結合，起到最好的信息安全控制效果。SAP安全敏感信息管理模型能夠將含有敏感信息的數據表進行注冊加鎖管理，針對表的特性，設置不同解鎖用戶，進行多方制約驗證，同時針對每次驗證都設置動態口令，多方驗證全部通過后才能對注冊的敏感信息表進行解鎖。因此，SAP安全敏感信息管理模型對財務、人事、薪酬等敏感信息都有很好的保護作用，提高了SAP系統的安全性、保密性和易用性。

參考文獻

[1]陳巖冰，龍策景，彭丹.SAP系統管理[M].清華大學出版社，2011.

篇2

【關鍵詞】智能電網；信息安全；防護技術

前言

隨著信息技術發展加快，智能電網已經成為我國電網發展的主要趨勢。盡管世界各國對智能電網信息安全防護體系和防護技術擁有不同定義，但各國都將“建立高速集成雙向通信網絡”當作基礎，通過控制技術和信息技術提升智能化電網發展水平，為智能電網發展提供安全可靠、經濟高效的發展環境和關鍵技術。

1智能電網信息安全防護體系

當今社會，電力成為人民生活和生產必不可少的基礎需求，加上信息技術的快速發展和普及，網絡技術和計算技術也得到了廣泛應用，對電網安全穩定運行和信息防護產生了一定影響。面對信息化和智能化發展趨勢越來越明顯，許多不法分子通過破壞電網相關設備來竊取電網信息，導致電網的數據傳輸長度和速率出現問題，影響電網穩定運行。智能電網信息安全防護體系是信息化時代下相關機構對防護電網信息安全的關鍵手段，它以研究智能化電網互動信息數據隔離交換為基礎，利用數據防漏技術和接入安全技術等信息防護關鍵技術實現智能電網信息安全防護。智能電網信息安全防護體系原則上不被允許改變傳統電網的三道防線，而且構架的體系必須與國家電網有關信息安全防護等級要求相一致[1]。

2數據防漏技術

2.1敏感數據安全模型

數據安全分域防護理論以端口、終端、磁盤、移動儲存設備、服務器這五大安全域為基礎，通過建立安全模型實現智能電網敏感數據的防護。由于該模型能夠對數據與進行統一控制和防護，在一定程度上保證了敏感數據傳輸的高效性和準確性，對構建智能電網信息數據防漏體系具有重要影響。（1）端口信息數據防漏。該方式主要是對端口信息進行控制，從而防止敏感數據泄露。（2）終端信息數據防漏。該方式將加密透明文檔作為核心技術，利用分發管理、權限控制以及日志審核等功能實現對敏感數據的防護，保證用戶可以對敏感數據正常操作。由于敏感數據必須要經過內核驅動和文件系統處理才能實現在磁盤加密，所以可以使用控制模塊對終端敏感數據的訪問權限進行管理，令用戶只能訪問其權限允許下的敏感數據，編輯、復制、發送等權限要根據制定對象進行開放，如此一來不僅能夠從源頭上保護終端信息數據安全，還有利于防止不法分子非法入侵智能電網，從而實現智能電網信息安全防護。（3）磁盤信息數據防漏。該方式主要利用全盤加密技術來實現信息安全防護，應用了磁盤加密技術的智能電網，用戶只能在讀寫磁盤時，對磁盤扇區進行解密才能獲得自己想要的信息，能夠有效防止數據泄露。（4）移動儲存設備信息數據防漏。該方式是通過控制移動儲存設備端口和身份認證技術來實現敏感數據防護。（5）服務器信息數據防漏。該方式主要利用權限控制技術、身份認證技術對服務器的敏感數據進行信息安全防護，通過制定安全策略使得不符合策略規則的訪問被隔離與服務器之外，極大程度上保護了智能電網敏感數據的安全性。

2.2智能終端感知

由于智能電網數據在進行終端采集、網絡采集、存儲采集以及業務應用識別等情況下會產生泄露，為了防止數據信息的泄露，相關機構可以利用智能終端感知技術構建安全感知機制，利用安全實現智能電網數據的實時防護，保證智能終端安全可以自主感知并控制數據信息。（1）利用智能終端安全能夠對威脅智能電網信息安全的數據和載體進行采集，并將其與智能電網業務處理系統相關聯，從而實現全方位防護智能電網信息安全的不受非法信息威脅。（2）智能終端安全能夠利用感知控制技術對能夠威脅智能電網信息安全的“監視對象”進行控制，利用信息獲取和處理功能，對智能電網終端上的異常操作進行感知和控制，以此實現智能電網信息安全防護的目的[2]。

3安全接入技術

3.1并行加密技術

由于智能電網具有信息數據數量龐大、業務終端種類繁多的特點，所以一旦智能電網的信息安全受到威脅或侵害，就會直接影響我國電力用戶的用電質量和安全。并行加密技術主要是利用多線程并行處理方式來改進電網密碼調度算法，通過對智能電網的多個密碼芯片進行并行處理，從而實現智能電網海量異構終端的大流量數據處理。（1）提高集成接口性能。應用了并行加密技術的數據集成接口能夠實現外部連接四個或多個密碼芯片，通過控制對個密碼芯片來提高數據傳輸速度，從而增強加密數據在主機之間傳輸的安全性，有利于滿足當前用戶對高速密碼卡的要求。（2）利用密碼分組鏈接模式實現連續數據的并行加解密。傳統智能電網的電子密碼本模式存在一定安全缺陷，為了保護智能電網信息安全，相關機構應當選擇密碼分組鏈接模式增強高速密碼卡的安全性。該模式先將連續數據分組，然后利用密碼芯片分別對每個分組進行單獨加密，從而實現連續數據的多個密碼并行加密，對提高智能電網信息安全和數據傳輸速度具有積極性影響。

3.2安全可信?？丶夹g

安全可信?？丶夹g能夠針對智能電網經常使用的移動作業終端、移動辦公終端、輸電線路狀態監測終端進行安全防護。（1）移動作業終端。安全可信?？丶夹g通過對安全卡密鑰、證書等信息進行身份認證，實現智能電網移動作業終端信息的安全防護。應用了該技術的移動作業終端在啟動之前便可以對終端硬件標識、安全卡硬件序列號等信息進行身份認證，保證終端啟動的安全性；在終端運行過程中，安全可靠?？丶夹g能夠對接入信息進行實時采集和健康掃描，以此保證智能電網終端運行環境的可靠性和安全性；如果終端出現信息威脅，安全可信?？剀浖磿r將該信息上報至安全接入網關，通過綜合身份認證實現接入移動作業終端的信息安全。（2）移動辦公終端。安全可信?？丶夹g通過對嵌入式電網業務操作系統進行控制，保證接入智能電網的信息安全可信。該技術會對移動辦公終端的信息數據實行裁剪、定制，通過去除不必要的設備驅動來實現智能電網系統的安全操作。（3）輸電線路狀態監測終端。對于該智能電網終端具有通信方式多樣化的特點，對于該終端的信息安全防護，安全可信?？丶夹g會以通信技術為基礎，設計出帶有嵌入式處理器功能的安全通信模塊，將其作為終端的通信中間件，能夠保證智能電網在各種惡劣氣候環境下進行電力輸送。應用了安全可靠技術的安全通信模塊能夠與以太網、RS232等多種集成接口連接，有利于智能電網的監測終端對接入信息進行監控[3]。

篇3

［關鍵詞］大數據；大數據安全；信息安全；風險

大數據已成為推動經濟轉型發展的新動力，提升政府管理能力的新途徑。大數據技術在快速發展的同時，其面臨的信息安全挑戰也日益嚴峻。美國“棱鏡門”事件可以視為大數據時代的重大信息安全事件，主要是通過收集各國的重要敏感數據進行大數據分析。2017年5月在全球爆發的大規模勒索病毒“Wannacry”感染事件再次給世人敲響了警鐘，已對我國互聯網絡構成較為嚴重的安全威脅。大數據環境下的信息安全威脅已成為全社會共同面臨的問題和挑戰。首先分析了大數據環境下信息安全的概況，接著對大數據環境下的若干典型信息安全風險進行分析，最后提出了大數據環境下信息安全的應對策略。

1大數據的特征和用途

通常情況下，大數據是指規模龐大，無法在一定時間范圍內用常規軟件工具進行捕捉、管理和處理的數據集合，是需要新處理模式才能具有更強的決策力、洞察發現力和流程優化能力的海量、高增長率和多樣化的信息資產。大數據具有體量巨大、類型繁多、價值密度低、處理速度快等特點［1］。大數據的戰略價值不在于龐大的數據量本身，而在于對海量數據進行專業化分析挖掘，從而使發現事物規律［2］，預測未來成為可能，通過廣泛應用于科學、教育、商業、醫療等各領域，為經濟社會快速發展帶來強大的驅動力。

2大數據環境下的信息安全風險分析

大數據在帶來巨大價值的同時，也引發了一系列安全問題。大數據環境下信息安全面臨著以下風險：加劇了隱私泄露風險、基礎設施面臨嚴峻安全威脅［3］、大數據成為網絡攻擊的重要目標和大數據技術成為網絡攻擊的手段。2.1大數據加劇了隱私泄露風險。個人隱私信息主要包括個人身份信息、財產信息、位置信息、社交信息、健康信息等。大數據環境下，如果隱私信息未被妥善地處理，很可能會對用戶的個人隱私造成極大的侵害。大數據環境下，個人隱私泄露一方面涉及個人隱私信息自身的泄露［4-5］，另一方面，也是更大的風險，就是根據對用戶的以往大數據分析，從而對用戶的行為和狀態進行推斷、預測，對用戶隱私產生極大的威脅，甚至被用于實施精準營銷甚至網絡詐騙等，對人們的正常生活造成了嚴重干擾［6］，甚至會威脅社會生活的正常秩序。2.2大數據基礎設施面臨嚴峻安全威脅。大數據基礎設施是大數據安全運行的主要載體和重要基礎，具有分布式、虛擬化等特點。作為大數據的支撐平臺—云計算安全面臨著嚴峻的安全威脅，隨著云計算的發展，數據在采集、傳輸、存儲、處理、共享、使用、銷毀等環節上進一步集中，大數據在云端的集中存儲必然會導致數據安全的風險加?。?］，大數據基礎設施遭受網絡攻擊的機會增多，從而影響大數據基礎設施的正常運行。2.3大數據成為網絡攻擊的重要目標。隨著云計算的發展，傳統的網絡安全邊界已經消失，APT、DDoS、零日漏洞網絡攻擊等安全風險加劇，傳統的網絡安全防御方法已經無法適應新形勢下的網絡安全防護需求。同時由于大數據包含了大量有價值的信息，已成為網絡攻擊的重要目標［8］，面臨著數據篡改、數據竊取等安全風險。2.4大數據技術成為網絡攻擊的手段。由于大數據包含了豐富全面的信息，黑客通過收集海量的用戶隱私信息，運用大數據技術對特定目標發起精準攻擊成為可能。數據挖掘和分析等大數據技術被用于網絡攻擊手段可發起高級可持續威脅（APT）攻擊，通過將APT網絡攻擊代碼隱藏嵌入在大數據中，進而利用大數據技術發起僵尸網絡攻擊，能夠控制海量傀儡機進而發起更大規模的網絡攻擊，嚴重威脅網絡信息安全。

3大數據環境下信息安全的應對策略

根據對大數據環境下的信息安全風險分析，下面分別從四個方面設計大數據環境下信息安全的應對策略。3.1建立大數據信息安全戰略保障體系。大數據信息安全需要從戰略層面加強頂層規劃和整體設計，著重從法律法規、組織規劃、大數據監管、安全策略、標準規范、人才支撐等方面進行宏觀設計，健全大數據信息安全相關法律法規，完善大數據信息安全管理機構，強化大數據的統一監管，推動大數據信息安全的標準制定工作，構建大數據信息安全人才支撐體系［9-10］，具體如圖1所示。3.2構建大數據全生命周期運行保障體系。加強對數據采集、傳輸、存儲、處理、使用、銷毀等生命周期全過程的安全防護，構建大數據全生命周期運行保障體系，如圖2所示。在數據采集階段運用數據加密、數據融合等技術提高其安全性。在數據傳輸階段采取VPN（虛擬專用網）技術建立數據安全傳輸的通道。在數據存儲階段運用分布式云存儲技術、數據脫敏、同態加密、數據災備等技術提高其存儲安全性。在數據處理階段，要在做好隱私保護的基礎上進行大數據挖掘，確保大數據的安全。在數據的使用階段，主要使用身份認證、訪問控制、數據溯源等技術，確保數據訪問可管可控、可溯源追蹤。3.3構建重要敏感數據的分級管控體系。根據大數據的重要性和敏感性，建立分級管控機制，實施差異化管理。在政府層面，要加大對重點行業領域、敏感數據的監管，實施信息安全等級保護，制定和完善對重要數據庫的管理制度。在企業層面，要加強內部重要敏感數據的監管，明確相關操作方法和操作流程，強化對人員、設備、數據的管理，降低數據泄密風險。3.4加強大數據安全的監測預警及應急響應能力建設。建立大數據的動態安全監測預警機制，實時監測大數據的運行狀況，對異常狀況及時響應預警。構建大數據安全應急響應體系，建立響應的組織機構，制定應急處理的流程，一旦發生重大的安全事件，立即啟動應急預案，對大數據安全事件按照既定的流程快速處置，事后對處置效果進行評估分析，根據評估結果進一步完善相關防護措施，提高大數據安全的綜合防護能力。

4結語

篇4

近年來，許多企業內網數據信息泄露事件頻繁出現，這預示企業內容數據信息泄露防御工作存在嚴重的缺陷。并且隨著各種新型技術、熱門應用的應用，增加了對企業內網的攻擊頻率和針對性，造成大量的數據信息泄露，這對于企業的健康、穩定以及長足發展是非常不利的。十之后，信息安全作為重大戰略，上升到國家高度，加強并構筑企業信息防御能力顯得更為重要和迫切。因此，文章針對信息泄露防御模型在企業內網安全中應用的研究具有一定的現實意義。

2企業內網安全現狀分析

目前，黑客間諜、木馬等在不停的給企業內網制造安全麻煩，并且利用各種新型技術、熱門應用等，增加了對企業內網的攻擊頻率，并且攻擊目標越來越具有針對性，盜取了企業內網中的眾多重要數據信息，給企業內網安全埋下嚴重的隱患。同時，對企業內網數據信息泄露事件進行分析，影響企業內網信息安全的因素，不僅僅是黑客間諜、木馬的攻擊，還有一部分是由于企業并沒有創建科學、有效的信息防御模型，再加上企業內網安全維護人員自身疏忽、操作不當或者其他原因可能引發內網數據信息的泄露。正是由于上述眾多原因，并且企業在運行的過程中的業務流程以及數據信息量的不斷的增多，加上泄露防御系統、員工失誤等導致的信息泄露事件逐漸的增多，因此亟待采取有效的措施進行安全控制和處理。目前，企業針對內網信息泄露的防御措施包括以下幾個方面：禁止使用打印機、光驅、軟驅等；禁止使用可移動儲存器；禁止使用網絡連接等，上述“人治”的方式雖然組織了敏感信息進入到企業內網，但是卻降低了系統的可用性，實用性不強。

3信息泄露防御模型在企業內網安全中的應用分析

3.1信息泄漏防御模型原理

本文提出了基于密碼隔離的信息泄露防御模型，利用密碼以及訪問控制的方式，在企業內網中創建一個虛擬網，以此解決企業內網敏感信息泄露的問題。文章給出一個科學的秘鑰管理協議，結合對稱加密算法，賦予了該信息泄露防御模型一人加密指定多人解密的功能，即企業中的任何用戶對敏感信息進行加密后，能夠指定一個或者多個解密者，以此控制敏感信息的傳播途徑與范圍。該信息泄露防御模型在企業內網安全中應用的最大特點在于擁有者與使用者不分離，例如，企業內部人員在不改變終端的前提下，同時不影響其任何權限，具有訪問終端上的所有客體的權限，這樣很容易導致企業內網的敏感信息外泄，但是這樣必須控制用戶的行為，因此，文章提出的基于密碼隔離的信息泄露防御模型，將系統的主體、客體進行分級，即低安全級與高安全級，其中高安全級儲存以及傳遞的信息需要受到保護，不能泄露到企業外部。因此，該模型的核心思想表現為：當模型判斷信息為敏感信息時，將信息的安全等級提升為高安全級，如果高安全級的信息被傳遞至外部網絡或者設備時，會對信息進行加密，然后將敏感信息相對應的數據文件標記成高安全級，在應用環境中形成一個密碼隔離的虛擬網絡，在該虛擬網絡中敏感信息以密文的形式存在，即使黑客或者惡意用戶將信息通過移動儲存器、網絡等傳遞到企業外部，但是得不到相應的解密密鑰，也不會導致企業信息被泄露。

3.2CIBSM模型的應用

近年來，企業內網信息系統規模不斷的擴大，覆蓋范圍越來越廣，因此信息系統的組成也逐漸的向復雜化方向發展，威脅信息系統安全的因素不斷的增多，如果僅僅提出保證企業內網信息安全的理論，并不能夠保證企業內網信息安全，還需要給出科學、合理、可行的實施方法，基于此創建了OM/AM框架，即O-objective（目標）、M-model（模型）、A-architecture（架構）、M-mechanism（機制），該架構實現了“做什么”到“怎樣做”的轉變，即將CIBSM模型從理論到實踐，從工程上給出可行的實施方法，有效的解決了企業內網信息外泄的隱患。CIBSM模型的工程實現采用安全內核方式，通過控制文件讀寫以及進程的方式防止信息泄露，在實際應用的過程中應該注意以下兩個方面：3.2.1密鑰管理協議方面密鑰管理機制在一定程度上決定了CIBSM模型的實用性以及安全性，因此密鑰管理機制應該保證企業內網的所有合法終端都能夠對敏感信息進行加密，并且在企業的應用環境中對加密的敏感信息進行解密，并且保證非法終端部能夠解密加密的敏感信息。同時，還應該保證解密秘鑰的透明性，防止用戶將密鑰帶到企業外部環境?；诖?，CIBSM模型采用基于身份的密鑰管理機制，便于實現企業內網信息的安全傳遞與儲存。3.2.2可信終端引入方面通過引入可信終端，能夠實現對敏感信息的降級處理，實現對企業內部敏感信息的正確管理，并且所有的敏感信息都需要經過可信終端的降級處理，即用戶需要將敏感信息通過外部儲存裝置或者打印帶至企業應用環境以外時，可信終端會對所有的敏感信息進行降級處理，以此保證企業內網敏感信息的安全性?？尚沤K端的引入，在不降低系統可用性的基礎上，提高了企業內網敏感信息的安全性。

4結束語

篇5

軍工企業與“互聯網+”概念相結合是社會發展的潮流，也是企業發展的必然趨勢，而此過程中的信息安全風險控制顯得尤為重要。通過分析軍工企業在互聯網商業活動中的行為，能夠判斷部分信息風險點，針對風險點能夠分析得出控制信息風險的方法：包括使用可信商業平臺、匿名方式敏感信息、限制商業平臺搜索等方式，通過這些方式能夠一定程度上控制軍工企業在互聯網商業活動中信息安全的風險，保障軍工企業的商業信息安全。

關鍵詞：

互聯網；息安全；業活動

軍工行業要謀求自身發展，不被市場所淘汰，一定會與互聯網結合，這本是大勢所趨，但軍工企業在“互聯網+”的浪潮中因其行業特殊性不得不面對比一般企業更大的信息安全風險，如何控制風險、保障信息安全成為一個新的課題。

1理想的“互聯網+”商業模式

軍工企業因其行業特性與其他行業相比受到更多國家政策的傾斜，具備有許多高精尖設備和相關技術人員，由于生產任務的批次間隔、任務量不足等原因，很多時候，這些設備和人員并沒有實現全飽和工作狀態，這無形中降低了設備和人員的價值，造成了生產力的浪費。同時，每個行業都不是孤立的，軍工企業需要依賴于從不同行業中獲得相關的產品或服務。傳統方式中，業務人員掌握的信息相對固定，采購渠道比較單一，難以談判出更優惠的價格以降低成本，也難以通過對比的方式獲得更優的產品以提升效率，這種方式不利于軍工企業的降本增效工作開展。如果將軍工企業與其他企業通過互聯網平臺緊密連接起來：一方面，軍工企業的優勢資源展示于互聯網平臺上，為眾多需求企業提供了更多的選擇，同時將軍工企業置于競爭激烈的互聯網市場中，有利于企業發現自身不足、培養和提升企業競爭力；另一方面，軍工企業透過互聯網能夠開拓眼界，獲取更多優質資源，接觸更多優秀企業，以更低的價格解決問題、獲得更高品質的產品，甚至能夠促進配套行業的快速發展。“互聯網+軍工”能夠解決目前軍工行業中存在的一些痼疾，幫助處于“工業2.0（電氣化）”、“工業3.0（信息化）”的企業逐步走向“工業4.0”，使企業受益于發展迅猛的互聯網科技。

2“互聯網+軍工”可能面臨的信息安全風險

每一次革新都帶有其兩面性，互聯網在為我們帶來眾多好處的同時也必然地帶來了一些煩惱，“棱鏡”事件發生后，大家突然意識到自己在互聯網上的一舉一動不那么安全，基于用戶的日常行為，不但可以竊取用戶隱私信息，還能夠預測用戶行為。對軍工企業來說，信息泄露的后果要嚴重得多，原本信息是以相對封閉的方式集中于企業內部，商業信息上線后，盡管每個獨立信息可能不涉及企業的核心，但是當信息匯集起來時，情況將完全不同，軍工企業將面臨來自至少以下兩個方面的信息安全風險。

2.1過度外協帶來的信息安全風險

隨著技術的發展，產品的加工工藝也在不斷革新，由于自身工藝欠缺、設備故障或設備過于陳舊、生產進度無法滿足等等因素可能導致企業選擇外協廠家生產加工部分構件。為了提升生產效率，采用這種方式無可厚非，但隨之而來的信息安全風險不可忽視。外協通用零部件相對而言面臨的風險較小，通用零部件的用途廣泛，外界很難通過猜測得出其具體用途。專用零部件由于其特殊性，外協時可能使知悉者通過分析而得出其原理或用途，進而造成產品關鍵信息的泄露。鑒于互聯網的開放性，當專用零部件信息上線后，除正常外協廠家外，不能避免其他人員對信息的獲取，難以保障相關產品信息的安全。

2.2大數據分析處理帶來的信息安全風險

傳統商業活動中，企業的采購行為或協外行為一般通過電話、傳真、會面等方式實現，商業信息分散于各個相關業務人員手中，每個人能獲知的信息甚少，能與他人交換的信息也有限，當軍工企業的商業活動逐漸走上互聯網時，原本離散的商業信息將隨之集中起來，量變引發質變，原本并不敏感的商業信息也變得敏感起來。數據分析與數據挖掘技術的不斷發展使得從海量信息中獲取可用信息成為可能。商業信息的集中無形中為不法分子提供了更便捷的渠道，從軍工企業大量的商業信息中獲取到相關的產品信息或產品參數，將對軍工企業的信息安全產生極大的威脅。

3軍工企業互聯網商業活動中信息安全風險控制措施探究

互聯網商業活動由于其涉及的范圍廣，很難控制信息的邊際，在不影響商業活動的前提下，控制信息安全風險只能從其他方面入手。

3.1采用可信的平臺

經過近幾年媒體的曝光后，大眾已逐漸意識到：泄露自己信息的不是別人，正是自己經常打交道的互聯網商家或互聯網工具。這些互聯網企業表面上為用戶提供了周全的隱私協議，實際上不乏利用用戶信息牟取利益的情況。軍工企業為了避免信息安全風險，首先要選用可信的平臺。對于互聯網來說，絕對安全是難以達到的，選用可信的平臺能夠幫助企業避免因為平臺運營者因為自身的利益考慮而被犧牲的風險?；ヂ摼W平臺既是一種渠道，也是企業的合作伙伴，選擇可信的合作伙伴，能夠幫助企業從很大程度上避免信息被主動泄露的風險。

3.2采用匿名的方式

匿名在網絡中是一種很好的保障個人用戶隱私的方法，這種方法企業用戶同樣可借鑒使用。為了加強宣傳，互聯網上的企業行為通常不會采用匿名方式，軍工企業在加強影響力的同時不能忽視信息的安全性，在恰當的時候匿名能夠降低信息安全風險。針對敏感任務和大批量任務由互聯網平臺提供匿名的方式，軍工企業可以在任務之初選擇匿名方式，合作企業僅能看到任務信息，不能看到任務的企業信息，達成合作意向后，合作雙方方能獲取對方的具體信息，這樣一方面能夠利用互聯網的優勢，另一方面能夠避免因為無關人員瀏覽過多信息而造成的風險。

3.3限制平臺搜索功能

篇6

關鍵詞：網絡環境 企業信息 安全管理

引言

隨著社會的發展，企業對信息資源的依賴程度來越大，由此帶來的信息安全問題也日益突出。生產中的業務數據、管理中的重要信息，如果企業自身的信息安全管理有重大疏漏，也無法保證數據的安全可靠。當前，企業在黑客病毒日益猖撅的網絡環境下不僅要保護自身信息的安全，還要保護業務數據的信息安全，因此有必要從體系管理的高度構建企業信息安全。

一、企業信息安全的二維性

當前，企業信息安全已涉及到與信息相關的各方面。企業信息安全不僅要考慮信息本身，還需要考慮信息依附的信息載體（包括物理平臺、系統平臺、通信平臺、網絡平臺和應用平臺，例如PC機、服務器等）的安全以及信息運轉所處環境（包括硬環境和軟環境，例如員工素質、室內溫度等）的安全。資產如果不對影響信息安全的各個角度進行全面的綜合分析，則難以實現企業信息安全。因此，需要從企業信息安全的總體大局出發，樹立企業信息安全的多維性，綜合考慮企業信息安全的各個環節，揚長避短，采取多種措施共同維護企業信息安全。

1、技術維：技術發展是推動信息社會化的主要動力，企業通常需要借助于一項或多項技術才能充分利用信息，使信息收益最大化。然而，信息技術的使用具有雙面性，人們既可以利用技術手段如電子郵件等迅速把信息發送出去，惡意者也可由此截獲信息內容。為確保企業信息安全，必須合理的使用信息技術，因此，技術安全是實現企業信息安全的核心。

1）惡意代碼和未授權移動代碼的防范和檢測。網絡世界上存在著成千上萬的惡意代碼（如計算機病毒、網絡蠕蟲、特洛伊木馬和邏輯炸彈等）和未授權的移動代碼（如Javaseript腳本、Java小程序等）。這些代碼會給計算機等信息基礎設施及信息本身造成損害，需要加以防范和檢測。

2）信息備份。內在的軟硬件產品目前還不能確保完全可靠，還存在著各種各樣的問題。外在的惡意代碼和未授權移動代碼的攻擊，也會造成應用信息系統的癱瘓。為確保信息的不丟失，有必要采取技術備份手段，定期備份。

3）訪問權限。不同的信息及其應用信息系統應有不同的訪問權限，低級別角色不應能訪問高級別的信息及應用信息系統。為此，可通過技術手段設定信息的訪問權限，限制用戶的訪問范圍。

4）網絡訪問。當今，一個離開網絡的企業難以成功運轉，員工通常需要從網絡中獲取各種信息。然而，網絡的暢通也給惡意者提供了訪問企業內部信息的渠道。為此，有必要采用網絡防火墻技術，控制內部和外部網絡的訪問。

2、管理維：企業信息安全不但需要依靠技術安全，而且與管理安全也息息相關。沒有管理安全，技術安全是難以在企業中真正貫徹落實的。管理安全在企業中的實施是企業信息得以安全的關鍵。企業應建立健全相應的信息安全管理辦法，加強內部和外部的安全管理、安全審計和信息跟蹤體系，提高整體信息安全意識，把管理安全落到實處。

l）信息安全方針和信息安全政策的制定。信息安全方針和信息安全政策體現了管理者的信息安全意圖，管理者應適時對信息安全方針評審，以確保信息安全方針政策的適宜性、充分性和有效性。

2）構建信息安全組織架構。為在企業內貫徹既定的信息安全方針和政策，確保整個企業信息安全控制措施的實施和協調，以及外部人員訪問企業信息和信息處理設施的安全，需要構建有效的信息安全組織架構。

二、企業信息安全構建原則

企業信息安全構建原則為確保企業信息的可用性、完整性和機密性，企業在日常運作時須遵守以下原則。

l）權限最小化。受保護的企業信息只能在限定范圍內共享。員工僅被授予為順利履行工作職責而能訪問敏感信息的適當權限。對企業敏感信息的獲知人員應加以限制，僅對有工作需要的人員采取限制性開放。最小化原則又可細分為知所必須和用所必須的原則，即給予員工的讀權限只限于員工為順利完成工作必須獲的信息內容，給予員工的寫權限只限于員工所能夠表述的內容。

2）分權制衡。對涉及到企業信息安全各維度的使用權限適當地劃分，使每個授權主體只能擁有其中的部分權限，共同保證信息系統的安全。如果授權主體分配的權限過大，則難以對其進行監督和制約，會存在較大的信息安全風險。因此，在授權時要采取三權分立的原則，使各授權主體間相互制約、相互監督，通過分權制衡確保企業信息安全。例如網絡管理員、系統管理員和日志審核員就不應被授予同一員工。

三、企業信息安全管理體系的構建

信息安全管理體系模型企業信息安全管理體系的構建要統籌考慮多方面因素，勿留短板。安全技術是構建信息安全的基礎，員工的安全意識和企業資源的充分提供是有效保證安全體系正常運作的關鍵，安全管理則是安全技術和安全意識恒久長效的保障，三者缺一不可。因此，在構建企業信息安全管理體系時，要全面考慮各個維度的安全，做好各方面的平衡，各部門互相配合，共同打造企業信息安全管理平臺?？茖W的安全管理體系應該包括以下主要環節：制定反映企業特色的安全方針、構建強健有力的信息安全組織機構、依法行事、選擇穩定可靠的安全技術和安全產品、設計完善的安全評估標準、樹立.員工的安全意識和營造良好的信息安全文化氛圍等。因此，為了使企業構建的信息安全管理體系能適應不斷變化的風險，必須要以構建、執行、評估、改進、再構建的方式持續地進行，構成一個P（計劃）、D（執行）、C（檢查）、A（改進）反饋循環鏈以使構建的企業信息安全管理體系不斷地根據新的風險做出合理調整。

四、結論

信息安全管理體系的構建對企業高效運行具有重要意義。只有全面分析影響企業信息安全的各種來源后才能構建良好的企業信息安全管理體系。從大量的企業案例來看，技術、管理和資源是影響企業信息安全的3個角度。為此，應從技術、管理和資源出發考慮信息安全管理體系的構建原則和企業信息安全管理體系應滿足的基本要求。同時，也應注意到，信息安全管理體系的構建不是一勞永逸而是不斷改進的，企業的信息安全管理體系應遵從PDCA的過程方法論持續改進，才能確保企業信息的安全長效。

參考文獻：

篇7

 

ZigBee技術在WSN(無線傳感器網絡)和物聯網應用的提出已經有很多年了，并且ZigBee在智能化信息管理、電子收費系統、自動化控制監測和軍用智能無人機器方面有廣闊的市場前景。

 

WSN網絡和物聯網通信技術的不成熟、軟硬件標準的不統一，信息安全方面特別是信息安全技術的敏感性和各個研發單位的安全技術保密的不成熟，而ZigBee網具有很強的安全、穩定性能，可以有效的解決這一難題。

 

由于ZigBee無線網應用極其廣泛，選取POS收費系統應用作為具體研究對象，而且將ZigBee技術應用在POS收費系統上本身也是個研究前沿。所以，對確立在STM32單片機基礎上，基于ZigBee無線網絡的POS機信息安全問題進行整體的初步探討，以期起到拋磚引玉的作用。

 

1 基于ZigBee無線網的POS系統信息安全環境

 

1.1 ZigBee網POS系統環境配置

 

具有安全特性的高性能、低功耗、自組網的ZigBee組網是當今WSN和物聯網RFID技術組合的主流高新技術之一，相比藍牙、Wi-Fi和GPRS，ZigBee組網更具有特別的安全性;而STM32單片機高效能、高可靠、低成本和技術成熟，還可以實現51單片機不能完成的復雜功能用途，是很有發展前途的一款單片機。

 

因此，STM32單片機是安全、穩定的ZigBee組網節點的恰當選擇。μC/OSⅡ操作系統具有執行效率高、空間占用小、多任務、可擴展能力強和穩定可靠的特點，符合WSN的信息安全穩定工作要求。

 

建立在STM32單片機、ZigBee組網和μC/OSⅡ操作系統基礎上的軟硬件系統是建立低成本、高可靠、高安全的無線網的必要條件。將無線網絡信息安全建立在使用STM32單片機、基于ZigBee組網和μC/OSⅡ等實時操作系統上的POS系統環境，相比建立在基于51單片機裸機上的ZigBee組網的POS系統環境，安全度更高更可靠。

 

1.2 ZigBee無線網的安全特性

 

ZigBee無線網是一種短距離、低功耗、自組網和高安全性的高新無線通信網絡，由一個高性能的FFD(全功能節點)和多個的RFD(精簡功能節點)組成PAN(私人用局域網)。只能有FFD建立PAN網，由多個PAN網建立整個ZigBee組網。

 

萬一有FFD被擊毀，可以由臨近有效范圍的FFD自動重新組網;當孤立的RFD不在FFD范圍內，可以通過其他附近的FFD加入PAN網，靈活性和穩定性很高。由于ZigBee無線網的有群集性多跳性，定位節點位置是技術難題，就需要再組合GPS應用模塊進行補充，

 

1.3 ZigBee無線網安全的關鍵技術

 

ZigBee的無線通信安全的關鍵是通信協議，ZigBee協議規范提供了信任中心、網絡層安全和APS層安全，不提供鏈路層安全。ZigBee遵守IEEE802.15.4協議，并可以在簡單的IEEE802.15.4協議基礎上開發簡單的WSN應用協議，用于建立小規模簡易局域網如星型網。

 

甚至在此基礎上自行開發大規模復雜的協議棧，比如用于智能家居自動監控系統的Mesh網。還可以創新多種功能的應用程序和系統軟件。我們甚至可以把開發出來的有安全保護的協議棧固化到芯片中去，使用AES協處理器實現信息的硬件加密加速的功能，而我們的軟件只需要設計一個自己的API接口就行。

 

1.4 ZigBee無線網的POS系統信息安全架構

 

針對ZigBee組網的POS系統信息安全問題，從上層到底層可分為：操作安全、網絡安全、軟件算法安全、底層硬件安全。操作安全要求有一套嚴格的操作規章制度，禁止未授權人非法使用、越權使用。網絡安全要求網路的安全，包括接入點安全和網絡協議族安全。軟件算法安全最重要也很復雜，包括各種加解密算法安全、電子簽名和身份認證。底層硬件安全包括、POS機安全和意外安全。

 

2 基于ZigBee無線網的POS系統軟件算法安全及算法比較

 

身份認證可以使用不對稱加密算法和對稱加密算法，一般應使用不對稱加密的RAS算法。使用預定好的密鑰進行身份認證，身份認證成功后，對存儲器的任何操作都是加密的。身份認證共有三輪，如圖，流程為： 第一輪：a) 讀寫器指定要訪問的存儲區，并選擇預定密鑰A 或B。b) 射頻卡從位塊讀取密鑰和訪問條件。然后，射頻卡向讀寫器發送隨機數。

 

第二輪：c) 讀寫器利用密鑰和隨機數計算回應值?；貞颠B同讀寫器的隨機數，發送給射頻卡。d) 射頻卡通過與自己的隨機數比較，驗證讀寫器的回應值，再計算回應值并發送。

 

第三輪：讀寫器通過比較，驗證射頻卡的回應值，正確后才能對卡進行讀寫操作。這樣認證加密后，就有效的保護了個人隱私。身份認證成功后，讀寫器/芯片指定后續讀取的存儲器位置，數據加密采用TEA、DES、AES等。為保證終端設備的安全，必須一卡一碼，并且每次只能對一張卡操作。認證完成后才能進行卡的讀寫操作，每次只能有一張卡選中，獲得認證后進行讀寫操作，其他的卡則進入休眠態，以保證不會出現由串卡現象引起的誤操作。射頻卡讀寫器的安全軟件由生產商配備，并且通常要固化到硬件。

 

RSA算法的難度在于如何產生密鑰對，RSA生成公鑰的方法：任意選兩個大素數M、N，選擇一個加密密鑰E，使E不是(M-1)和(N-1)的因子;

 

生成私鑰D的公式：(D*E)MOD(P-1)*(Q-1)=1;

 

用公鑰E加密公式：CT=PTEMOD(M*N);

 

用私鑰D解密公式：PT=CTDMOD(M*N)。

 

在ZigBee網中，對于敏感性信息的安全保護沒有太高要求的應用領域，在32位CPU或MPU處理器主頻80Mhz情況下，使用對稱加密方法的DES，加解密的速度為26.75Mbyte/s， 加解密的速度水平較高。如強化安全性能可以升級為更先進對稱加密方法的AES，如使用AES加解密，加解密的速度11.69Mbyte/s， 加解密的速度水平中等，比前者慢。

 

在ZigBee網中，對于敏感性信息的安全保護有很高要求的領域，特別是在財務、金融和軍用領域，必須要保證身份認證和數據信息的絕對安全。所以，算法必須使用復雜加密方法RSA，并配合數字簽名。在32位CPU或MPU處理器主頻80MHz情況下，1M的 RSA 簽名次數 32 次/秒，認證次數 32 次/秒，正所謂慢工出細活。

 

RSA使用公鑰密鑰對機制，再配合數字認證可避免中間人攻擊，這對于開放性更強的無線網絡尤為重要。如果采用對稱密鑰算法，密鑰容易被入侵者截獲，對收發雙方進行欺騙并非法獲利。并且RSA伸縮性更好，所需密鑰數與消息交換參與者個數相等。

 

而對稱加密算法容易受到中間人攻擊，密碼會被盜用;并且一旦網絡規模加大，密鑰對的數目的需求成指數級別增長，是消息交換參與者個數的平方，在密鑰發放過程中很容易泄密。因此，身份認證應采用安全度更高但速度慢的RSA;經常大量的數據包加密采用速度快的DES或AES，并可用ZigBee節點自帶的AES協處理器進行硬件加速。若要進一步加速數據包加解密速度，可以將主節點與上位機的串行數據接口改為高速的USB接口，就可加快加解密速度。以下簡述AES的應用程序設計。

 

3 POS系統的ZigBee網絡安全

 

在TCP/IP各層數據安全中，ZigBee的網絡數據信息安全的數據安全主要特點有：非法網絡節點的過濾和無線網信息加密，可有效避免網絡的非法入侵。通過IEEE802.15.4協議棧的應用庫，例如如在基于MAC協議棧的MAC庫API上，通過建立PAN網，每個PAN都有獨有的PAN地址ID，這樣就可通過PAN網ID和節點ID過濾來區分ZigBee網節點的合法性。在發送和接收數據包過程中，通過AES算法來加密來實現數據的信息安全。

 

據最新報道，AES加密算法已被國外頂尖專家破解，但是也不必驚慌，對于絕大多數情況下，附加其他綜合安全措施，它目前還是很安全。AES高級加密標準(Rijndael算法)明文分塊和密鑰為可變長，加密的輪數為可變次，每一輪4步：第一步：使用S盒技術進行字節替換。

 

第二步移行，第一行不變，其他的行移動可變次數。第三步混合列。第四步，輪密鑰加法，將密鑰與輸入的字符進行字節異或操作。其中的可變部分由用戶自行確定后，生成的密文更難破譯。

 

此外，網絡接入點的防火墻也很重要，防火墻保護可信任內部網絡免受不可信網絡的入侵威脅，能極大地提高政府部門、企業內部網絡的信息安全，同時允許信任的雙方通信，并通過過濾不安全的網絡服務而降低風險。

 

ZigBee無線網的接入點也必須要有完備的防火墻設置，采用路由器相互認證、地址翻譯等方法，方可有效防止假冒的路由器接入內網和非法截取私有敏感數據，以確保無線網的信息安全。

 

在以STM32單片機為節點的ZigBee無線網，可加載GPS衛星定位模塊，將關鍵的可讀寫的FFD節點中嵌入GPS模塊并且全部定好位，并將地址上傳到主控機節點，而執行多跳的RFD節點不加載GPS模塊，以減少信息安全成本。這樣，凡是不在正確的GPS位置的非法入侵FFD節點一律無法加入ZigBee網并且會導致啟動入侵報警程序。

 

4 POS系統硬件安全

 

由于是無線網，ZigBee網的安裝和POS機入網離網非常方便，易于隨身攜帶，比固定POS機好保管、防盜。在POS機內置高容量緩存，可暫時保存網絡通信延遲信息。內置后備供電池，防止突發停電。配置后備存儲器，暫時斷網后可脫機保存消費信息。

 

5 結束語

 

基于ZigBee無線網的POS系統信息安全不僅要有嚴密的安全算法，健全的軟、硬件和網絡安全環境也起了不可替代的作用。此外，無線網信息安全應當考慮到加解密算法的安全性能、成本和時間的平衡點，尋求安全、低價和快速的實施方案。有有效的方法就是：首先，身份認證采用安全度更高但速度慢的RSA算法，極度敏感數據采用加載GPS模塊的STM32單片機來定位入侵;

 

其次，經常大量的數據包加密采用安全度較低但速度快的AES算法，并采用低價、高效和低功耗的STM32單片機為節點的ZigBee無線網，使用AES協處理器加速加解密處理;

 

第三，ZigBee無線網組網的FFD節點加載GPS定位模塊，并登記GPS地址到主控機，解決ZigBee節點的準確定位問題，防止非法節點冒名頂替和準確定位入侵者。 最后，ZigBee無線網的接入點必須采用防火墻。只有軟硬件互相配合和嚴格的安全管理，才能保證基于ZigBee無線網的POS系統信息安全萬無一失。

篇8

《孫子兵法》講：“知己知彼，百戰不殆”，這句話充分說明了信息的重要性。對企業來說信息是企業經營活動的基礎，是把握營銷機會的關鍵，企業對市場和客戶信息的了解越深入，越能在營銷活動中贏得先機，那么作為移動客服我們要了解客戶的什么信息呢？具體來說，我們要掌握的信息包括客戶身份、喜好、需求、聯系方式等基本資料，也就是在客戶開通手機業務的時候登記的客戶個人信息，包括姓名、性別、出生年月、身份證以及電話、地址等基本信息，有時候也包括家庭，學歷，工作、收入等等。

由于我國沒有專門的法律保護個人信息安全，公眾和社會也普遍缺乏個人信息保護的意識，我們對客戶的信息進行登記時客戶并不會有異議，甚至認為這是理所當然，而且他們也不會想到自己的個人信息存在被竊取和利用的風險。

2012年，央視315晚會曝光了羅維鄧白氏公司出售用戶信息，該公司可向客戶提供多達1.5億的個人詳盡信息數據，按地域、時間、身份、資產情況等各方面進行精準篩選。有人奇怪，為什么孕婦剛生完孩子，推銷奶粉的電話就打來了；病人檢查完身體，檢查單還沒看明白，相應的醫藥公司就打電話賣藥來了。

中國軟件測評中心研究員劉陶把個人信息比喻成“很多錢裝在紙糊的銀行里，很容易被黑客破解?！笨墒俏覀兡懿蛔蕴煅摹⑻詫?，卻不能不辦理手機業務，更不能不買房買車！

大量事實證明，隨著個人信息竊取技術和手段越來越高級，當前沒有哪個行業不存在信息泄露，電信行業也是。雖然各企業也采取了一系列保護個人信息的措施，但真正做好客戶信息的保護對我們來說仍然任重道遠。我覺得保護個人信息安全首先要靠國家法律法規，嚴厲制裁非法竊取和利用個人信息的行為；其次我們企業也要采取措施，設立各種行為規范，并對危害客戶信息安全的行為實施法律制裁，而且還要從技術手段上提供針對性的支撐和限制，采取合理的綜合管控手段，配合切實有效的管理；最后，要提升工作人員的信息安全意識，養成良好的信息安全行為習慣。

為保護個人信息安全，近年來廣州移動客服中心也從管理、技術等方面采取了許多措施，比如采取“金庫模式”，該模式的核心就是對涉及用戶敏感信息的關鍵操作要參考銀行“關鍵操作、多人完成、分權制衡”的原則，實現操作與授權分離，確保所有敏感操作都有嚴格的控制；并且與涉及用戶敏感信息的員工簽訂保密協議；在全公司定期組織開展客戶信息安全管理學習活動，切實提高全員客戶信息安全保護意識。除此之外，公司還制定了“五條禁令”，對泄露或交易客戶信息提出了嚴厲的管理要求，并通過實施《中國移動客戶信息安全保護管理規定》等系列制度來建立客戶信息常態化保護體系。

上文我們提到保護客戶私有信息不被泄露，并沒有說客戶私有信息不能利用，尤其對于我們來說，怎樣在合理并且合法的情況下將我們手中掌握的大量信息轉化成更加優質的品牌和服務，是我們移動人應該思考的問題。

篇9

會議擬請公安、工業和信息化、國家保密、國家密碼管理主管部門、中國科學院、國家網絡與信息安全信息通報中心等部門擔任指導單位，同時將出版論文集，經專家評選的部分優秀論文，將推薦至國家核心期刊發表?，F就會議征文的有關情況通知如下：

一、征文范圍

1. 新技術應用環境下信息安全等級保護技術：物聯網、云計算、大數據、工控系統、移動接入網、下一代互聯網（IPv6）等新技術、環境下的等級保護支撐技術，等級保護技術體系在新環境下的應用方法；

2. 關鍵基礎設施信息安全保護技術：政府部門及金融、交通、電力、能源、通信、制造等重要行業網站、核心業務信息系統等安全威脅、隱患分析及防范措施；

3. 國內外信息安全管理政策與策略：信息安全管理政策和策略研究，信息安全管理體制和機制特點，信息安全管理標準發展對策，網絡恐怖的特點、趨勢、危害研究；

4. 信息安全預警與突發事件應急處置技術：攻擊監測技術，態勢感知預警技術，安全監測技術，安全事件響應技術，應急處置技術，災難備份技術，恢復和跟蹤技術，風險評估技術；

5. 信息安全等級保護建設技術：密碼技術，可信計算技術，網絡實名制等體系模型與構建技術，漏洞檢測技術，網絡監測與監管技術，網絡身份認證技術，網絡攻防技術，軟件安全技術，信任體系研究；

6. 信息安全等級保護監管技術：用于支撐安全監測的數據采集、挖掘與分析技術，用于支撐安全監管的敏感數據發現與保護技術，安全態勢評估技術，安全事件關聯分析技術、安全績效評估技術，電子數據取證和鑒定技術；

7. 信息安全等級保護測評技術：標準符合性檢驗技術，安全基準驗證技術，源代碼安全分析技術，逆向工程剖析技術，滲透測試技術，測評工具和測評方法；

8. 信息安全等級保護策略與機制：網絡安全綜合防控體系建設，重要信息系統的安全威脅與脆弱性分析，縱深防御策略，大數據安全保護策略，信息安全保障工作評價機制、應急響應機制、安全監測預警機制。

二、投稿要求

1. 來稿內容應屬于作者的科研成果，數據真實、可靠，未公開發表過，引用他人成果已注明出處，署名無爭議，論文摘要及全文不涉及保密內容；

2. 會議只接受以Word排版的電子稿件，稿件一般不超過5000字；

3. 稿件以Email方式發送到征稿郵箱；

4. 凡投稿文章被錄用且未作特殊聲明者，視為已同意授權出版；

5. 提交截止日期： 2014年5月25日。

三、聯系方式

通信地址：北京市海淀區首都體育館南路1號

郵編：100048

Email：.cn

聯系人： 范博、王晨

聯系電話：010-68773930，

13717905088，13581879819

篇10

【關鍵詞】財政;信息化;保密

信息時代的發展，計算機、互聯網對日常工作、生活產生便利的同時，也帶來了很多安全隱患。與此同時，國家秘密載體呈現多元化、網絡化、數字化趨勢，泄密渠道增多，竊密手段更加隱蔽，保密任務更加繁重，難度進一步加大。財政工作要筑牢保密安全防線，確保黨和國家的秘密安全。財政安全管理體系、重要信息系統、關鍵信息基礎設施、網絡安全管理基本情況，細致排查財政系統信息網絡安全風險，嚴格落實財政部門網絡安全管理責任，進一步提高網絡安全意識和網絡安全整體防護水平，防止重大網絡安全事故發生的重要手段。

財政信息數據利用難以管控，傳利的數據處理方式，各個系統是相互獨立的，系統之間沒有數據共享，數據從基礎統計部門向最終使用者需要經過手機、存儲、使用、轉移、刪除等環節。數據的共享和利用很難實現全方位的管控。財政保密數據和大數據開放共享出的要求存在著天然矛盾，如果一味想著開放共享財政數據，會導致信息過度、財政信息濫用等現象變得越來越普遍。目前，多數財政部門存在資金、技術和人力方面隱私保護投入不足的問題。財政數據多采用分布式存儲和處理方式，底層技術復雜，安全邊界模糊，傳統的基于邊界防御的安全技術已不再適用。隨著財政信息數據的廣泛應用，出現了針對大數據的新型網絡攻擊手段，如大規模分布式拒絕服務（DDos）攻擊和高級持續性威脅（APT）攻擊等。當前財政信息網絡安全工作存在的主要問題：

1、保密規定落實不到位。近期隨著涉密管理的加強，財政部門相繼出臺了一些財政信息化安全保密工作制度條例等。仍然有科室和人員心存僥幸心理，在規定執行上出現部署多、執行少，要求嚴、落實松的現象，存在很大的安全隱患。

2、涉密載體存在管理漏洞。個別科室對電子涉密載體的管理使用缺少必要的防范措施，在攜帶、使用過程中操作不規范，容易導致涉密信息泄露或被竊取。

3、數字證書管理不規范。目前，財政系統內網的部分數據查詢與錄入工作中，只有很少一部分需要借助數字證書完成。部分工作人員的數字證書保管不嚴密，密碼設置過于隨意，大大降低了數字證書作為秘鑰的防護性能。

4、網絡管理能力待提高。近年來，部分單位片面強調新聞宣傳工作，對上網內容的審批制度落實不到位，對于涉密或者敏感信息甄別不嚴謹，有時將一些敏感信息或內部資料在網絡上，給工作帶來了很大的網絡信息安全隱患。為嚴格落實保密制度，縣區財政局結合自身職能和工作實際多措并舉做好財政信息保密工作。大數據時代，隱私保護固然重要，但過度保護也不利于釋放大數據的應用價值。為避免因“一刀切”而導致的保護和應用失衡，實行分類分級保護顯然是最佳選擇。數據脫敏（DataMasking）,能對某些敏感信息通過脫敏規則進行數據變形，對敏感保密數據數據的可靠保護。實現保護敏感信息的同時，對數據非敏感部分的正常使用。

一是建立健全信息安全管理規章制度，規范信息保密工作管理。進一步完善了財政信息設備和信息系統安全管理制度，對計算機信息安全、網絡管理、涉密數據保管等管理制度進行了明確，切實保證各項財政信息保密措施的落實到位。