煙草企業(yè)網(wǎng)絡(luò)安全防護體系建設(shè)初探

1、煙草企業(yè)網(wǎng)絡(luò)安全防護體系建設(shè)初探隨著信息化的逐步發(fā)展，國內(nèi)煙草企業(yè)也愈加重視利用網(wǎng)絡(luò)提高生產(chǎn)管理銷售水平，打造信息化時代下的現(xiàn)代煙草企業(yè)。但享受網(wǎng)絡(luò)帶來便捷的同時，也正遭受到諸如病毒、木馬等網(wǎng)絡(luò)威脅給企業(yè)信息安全方面帶來的影響。因此，越來越多的煙草企業(yè)對如何強化網(wǎng)絡(luò)安全防護體系建設(shè)給予了高度關(guān)注。1 威脅煙草企業(yè)網(wǎng)絡(luò)信息體系安全的因素受各種因素影響，煙草企業(yè)網(wǎng)絡(luò)信息體系正遭受到各種各樣的威脅。1.1 人為因素人為的無意失誤，如操作員安全配置不當(dāng)造成的安全漏洞，用戶安全意識不強，用戶口令選擇不慎，用戶將自己的賬號隨意轉(zhuǎn)借他人或與別人共享等都會對網(wǎng)絡(luò)安全帶來威脅。人為的惡意攻擊，這是計算機網(wǎng)絡(luò)所面

2、臨的最大威脅，敵手的攻擊和計算機犯罪就屬于這一類。此類攻擊又可以分為以下兩種：一種是主動攻擊，它以各種方式有選擇地破壞信息的有效性和完整性；另一種是被動攻擊，他是在不影響網(wǎng)絡(luò)正常工作的情況下，進行截獲、竊取與破譯等行為獲得重要機密信息。1.2 軟硬件因素網(wǎng)絡(luò)安全設(shè)備投資方面，行業(yè)在防火墻、網(wǎng)管設(shè)備、入侵檢測防御等網(wǎng)絡(luò)安全設(shè)備配置方面處于領(lǐng)先地位，但各類應(yīng)用系統(tǒng)、數(shù)據(jù)庫、軟件存在漏洞和后門;。網(wǎng)絡(luò)軟件不可能是百分之百的無缺陷和無漏洞的，如Telnet漏洞、Web發(fā)布軟件、E-mail漏洞、匿名FTP等，這些漏洞和缺陷恰恰是黑客進行攻擊的首選目標(biāo)。曾經(jīng)出現(xiàn)過黑客攻入網(wǎng)絡(luò)內(nèi)部的事件，其大部分是因為安

3、全措施不完善所招致的苦果。軟件的后門;都是軟件公司的設(shè)計編程人員為了自便而設(shè)置的，一般不為外人所知，一旦被破解，其造成的后果將不堪設(shè)想。另外，各種新型病毒發(fā)展迅速，超出防火墻屏蔽能力等，都使企業(yè)安全防護網(wǎng)絡(luò)遭受嚴(yán)重威脅。1.3 結(jié)構(gòu)性因素?zé)煵萜髽I(yè)現(xiàn)有的網(wǎng)絡(luò)安全防護體系結(jié)構(gòu)，多數(shù)采用的是混合型結(jié)構(gòu)，星形和總線型結(jié)構(gòu)重疊并存，相互之間極易產(chǎn)生干擾。利用系統(tǒng)存在的漏洞和后門;，黑客就可以利用病毒等入侵開展攻擊，或者，網(wǎng)絡(luò)使用者因系統(tǒng)過于復(fù)雜而導(dǎo)致錯誤操作，都可能造成網(wǎng)絡(luò)安全問題。2 煙草企業(yè)網(wǎng)絡(luò)安全防護體系建設(shè)現(xiàn)狀煙草企業(yè)網(wǎng)絡(luò)安全防護體系建設(shè)，仍然存在著很多不容忽視的問題，亟待引起高度關(guān)注。2.1

4、業(yè)務(wù)應(yīng)用集成整合不足不少煙草企業(yè)防護系統(tǒng)在建設(shè)上過于單一化、條線化，影響了其縱向管控上的集成性和橫向供應(yīng)鏈上的協(xié)同性，安全防護信息沒有實現(xiàn)跨部門、跨單位、跨層級上的交流，相互之間不健全的信息共享機制，滯后的信息資源服務(wù)決策，影響了信息化建設(shè)的整體效率。缺乏對網(wǎng)絡(luò)安全防護體系建設(shè)的頂層設(shè)計，致使信息化建設(shè)未能形成整體合力。2.2 信息化建設(shè)特征不夠明顯網(wǎng)絡(luò)安全防護體系建設(shè)是現(xiàn)代煙草企業(yè)的重要標(biāo)志，但如基礎(chǔ)平臺的集成性、基礎(chǔ)設(shè)施的集約化、標(biāo)準(zhǔn)規(guī)范體系化等方面的建設(shè)工作都較為滯后。主營煙草業(yè)務(wù)沒有同信息化建設(shè)高度契合，對影響企業(yè)發(fā)展的管理制度、業(yè)務(wù)需求、核心數(shù)據(jù)和工作流程等關(guān)鍵性指標(biāo)，缺乏宏觀角度上

5、的溝通協(xié)調(diào)，致使在信息化建設(shè)中，業(yè)務(wù)、管理、技術(shù)三位一體;的要求并未落到實處，影響了網(wǎng)絡(luò)安全防護的效果。2.3 安全運維保障能力不足缺乏對運維保障工作的正確認(rèn)識，其尚未完全融入企業(yè)信息化建設(shè)的各個環(huán)節(jié)，加上企業(yè)信息化治理模式構(gòu)建不成熟等原因，制約了企業(yè)安全綜合防范能力與運維保障體系建設(shè)的整體效能，導(dǎo)致在網(wǎng)絡(luò)威脅的防護上較為被動，未能做到主動化、智能化分析，導(dǎo)致遭受病毒、木馬、釣魚網(wǎng)站等反復(fù)侵襲。3 加強煙草企業(yè)網(wǎng)絡(luò)安全防護體系建設(shè)的策略煙草企業(yè)應(yīng)以實現(xiàn)一體化數(shù)字煙草作為建設(shè)目標(biāo)，秉承科學(xué)頂層設(shè)計、合理統(tǒng)籌規(guī)劃、力爭整體推進的原則，始終堅持兩級主體、協(xié)同建設(shè)和項目帶動的模式，按照統(tǒng)一架構(gòu)、安全同

6、步、統(tǒng)一平臺的技術(shù)規(guī)范，才能持續(xù)推動產(chǎn)業(yè)發(fā)展同信息化建設(shè)和諧共生。3.1 遵循網(wǎng)絡(luò)防護基本原則煙草企業(yè)在建設(shè)安全防護網(wǎng)絡(luò)時，應(yīng)明白建設(shè)安全防護網(wǎng)絡(luò)的目標(biāo)與原則，清楚網(wǎng)絡(luò)使用的性質(zhì)、主要使用人員等基本情況。并在邏輯上對安全防護網(wǎng)絡(luò)進行合理劃分，不同區(qū)域的防御體系應(yīng)具有針對性，相互之間邏輯清楚、調(diào)用清晰，從而使網(wǎng)絡(luò)邊界更為明確，相互之間更為信任。要對已出現(xiàn)的安全問題進行認(rèn)真分析，并歸類統(tǒng)計，大的問題盡量拆解細(xì)分，類似的問題歸類統(tǒng)一，從而將復(fù)雜問題具體化，降低網(wǎng)絡(luò)防護工作的難度。對企業(yè)內(nèi)部網(wǎng)絡(luò)來說，應(yīng)以功能為界限來劃分，以劃分區(qū)域為安全防護區(qū)域。同時，要不斷地完善安全防護體系建設(shè)標(biāo)準(zhǔn)，打破不同企業(yè)之

7、間網(wǎng)絡(luò)安全防護體系的壁壘，實現(xiàn)信息資源更大程度上的互聯(lián)互通，從而有效地提升自身對網(wǎng)絡(luò)威脅的抵御力。3.2 合理確定網(wǎng)絡(luò)安全區(qū)域煙草企業(yè)在使用網(wǎng)絡(luò)過程中，不同的區(qū)域所擔(dān)負(fù)的角色是不同的。為此，內(nèi)部網(wǎng)絡(luò)，在設(shè)計之初，應(yīng)以安全防護體系、業(yè)務(wù)操作標(biāo)準(zhǔn)、網(wǎng)絡(luò)使用行為等為標(biāo)準(zhǔn)對區(qū)域進行劃分。同時，對生產(chǎn)、監(jiān)管、流通、銷售等各個環(huán)節(jié)，要根據(jù)其業(yè)務(wù)特點強化對應(yīng)的網(wǎng)絡(luò)使用管理制度，既能實現(xiàn)網(wǎng)絡(luò)安全更好防護，也能幫助企業(yè)實現(xiàn)更為科學(xué)的管控與人性化的操作。在對煙草企業(yè)網(wǎng)絡(luò)安全區(qū)域進行劃分時，不能以偏概全、一蹴而就，應(yīng)本著實事求是的態(tài)度，根據(jù)企業(yè)實際情況，以現(xiàn)有的網(wǎng)絡(luò)安全防護為基礎(chǔ)，有針對性地進行合理的劃分，才能取得

8、更好的防護效果。3.3 大力推行動態(tài)防護措施根據(jù)網(wǎng)絡(luò)入侵事件可知，較為突出的問題有病毒更新?lián)Q代快、入侵手段與形式日趨多樣、病毒防護效果滯后等。為此，煙草企業(yè)在構(gòu)建網(wǎng)絡(luò)安全防護體系時，應(yīng)根據(jù)不同的威脅形式確定相應(yīng)的防護技術(shù)，且系統(tǒng)要能夠隨時升級換代，從而提升總體防護力。同時，要定期對煙草企業(yè)所遭受的網(wǎng)絡(luò)威脅進行分析，確定系統(tǒng)存在哪些漏洞、留有什么隱患，實現(xiàn)入侵實時監(jiān)測和系統(tǒng)動態(tài)防護。系統(tǒng)還需建立備份還原模塊和網(wǎng)絡(luò)應(yīng)急機制，在系統(tǒng)遭受重大網(wǎng)絡(luò)威脅而癱瘓時，確保在最短的時間內(nèi)恢復(fù)系統(tǒng)的基本功能，為后期確定問題原因與及時恢復(fù)系統(tǒng)留下時間，并且確保企業(yè)業(yè)務(wù)的開展不被中斷，不會為企業(yè)帶來很大的經(jīng)濟損失。另

9、外，還應(yīng)大力提倡煙草企業(yè)同專業(yè)信息防護企業(yè)合作，構(gòu)建病毒防護戰(zhàn)略聯(lián)盟，為更好地實現(xiàn)煙草企業(yè)網(wǎng)絡(luò)防護效果提供堅實的技術(shù)支撐。3.4 構(gòu)建專業(yè)防護人才隊伍人才是網(wǎng)絡(luò)安全防護體系的首要資源，缺少專業(yè)性人才的支撐，再好的信息安全防護體系也形同虛設(shè)。煙草企業(yè)網(wǎng)絡(luò)安全防護的工作專業(yè)性很強，既要熟知信息安全防護技術(shù)，也要對煙草企業(yè)生產(chǎn)全過程了然于胸，并熟知國家政策法規(guī)等制度。因此，煙草企業(yè)要大力構(gòu)建專業(yè)的網(wǎng)絡(luò)信息安全防護人才隊伍，要采取定期選送、校企聯(lián)訓(xùn)、崗位培訓(xùn)等方式，充分挖掘內(nèi)部人力資源，提升企業(yè)現(xiàn)有信息安全防護人員的能力素質(zhì)，也要積極同病毒防護企業(yè)、專業(yè)院校和科研院所合作，引進高素質(zhì)專業(yè)技術(shù)人才，從而

10、為企業(yè)更好地實現(xiàn)信息安全防護效果打下堅實的人才基礎(chǔ)。3.5 提升員工安全防護意識技術(shù)防護手段效果再好，員工信息安全防護意識不佳，系統(tǒng)也不能取得好的效果。煙草企業(yè)要設(shè)立專門的信息管理培訓(xùn)中心，統(tǒng)一對企業(yè)網(wǎng)絡(luò)安全防護系統(tǒng)進行管理培訓(xùn)，各部門、各環(huán)節(jié)也要設(shè)立相應(yīng)崗位，負(fù)責(zé)本崗位的網(wǎng)絡(luò)使用情況。賬號使用、信息發(fā)布、權(quán)限確定等，都要置于信息管理培訓(xùn)中心的制約監(jiān)督下，都要在網(wǎng)絡(luò)使用制度的規(guī)則框架中，杜絕違規(guī)使用網(wǎng)絡(luò)、肆意泄露信息等現(xiàn)象的發(fā)生。對全體員工開展網(wǎng)絡(luò)安全教育，提升其網(wǎng)絡(luò)安全防護意識，使其認(rèn)識到安全防護體系的重要性，從而使每個人都能依法依規(guī)地使用信息網(wǎng)絡(luò)。4 結(jié)語煙草企業(yè)管理者必須清醒認(rèn)識到，利用信息網(wǎng)絡(luò)加快企業(yè)升級換代、建設(shè)一流現(xiàn)代化煙草企業(yè)是行業(yè)所向、大勢所趨，絕不能因為網(wǎng)絡(luò)存在安全威脅而固步自封、拒絕進步。但也要關(guān)注信息化時代下網(wǎng)絡(luò)安全帶來的挑戰(zhàn)，以實事求是的態(tài)度，大力依托信息網(wǎng)絡(luò)安全技術(shù)，構(gòu)建更為