1 引 言
經(jīng)過數(shù)十年的信息安全建設(shè)，國內(nèi)大型企業(yè)的網(wǎng)絡(luò)及應用系統(tǒng)的安全防護能力已經(jīng)達到一定水平。但是信息安全故障并沒有隨著信息安全投入的增加而下降。經(jīng)過統(tǒng)計發(fā)現(xiàn)，內(nèi)部網(wǎng)絡(luò)和應用系統(tǒng)發(fā)生故障的原因少部分是由于網(wǎng)絡(luò)設(shè)備和應用系統(tǒng)自身的問題所引起，更多的是因為內(nèi)網(wǎng)的其他安全因素導致，如病毒爆發(fā)、資源濫用、惡意接入、用戶誤操作等。而這些安全因素，大多來源于用戶桌面計算機，桌面安全管理已經(jīng)是各個企業(yè)迫在眉睫的安全建設(shè)內(nèi)容。
２ 影響桌面安全的因素
2.1 企業(yè)安全組織體系不健全，專職人員缺失
大型企業(yè)的業(yè)務跨度大，地域分布廣。各個二級單位的信息安全水平發(fā)展不一。有的二級單位信息部門職工上千名，有的單位卻沒有獨立的信息部門。但所有的二級單位都統(tǒng)一在企業(yè)內(nèi)網(wǎng)中運行，各類統(tǒng)建系統(tǒng)在所有二級單位中運行。對于沒有沒有獨立的信息部門的二級單位 ，更沒有負責安全體系建設(shè)、運行和管理的專職機構(gòu)及人員，兼職安全管理員有責無權(quán)的現(xiàn)象普遍存在，依據(jù)“短板”理論，極易從信息安全力量較弱的單位為突破口，進而影響到整個企業(yè)信息安全。特別是信息安全技術(shù)的快速發(fā)展，信息安全人員需不斷提升自身素質(zhì)，加強業(yè)務水平，才能保證桌面安全運行。
2.2 企業(yè)職工計算機缺乏安全加固手段
盡管多數(shù)大型企業(yè)對桌面計算機的安全加固已經(jīng)采取了部分安全措施，如安裝防病毒軟件和個人防火墻軟件，甚至部署了漏洞掃描系統(tǒng)定期對桌面計算機進行漏洞掃描，督促用戶及時更新操作系統(tǒng)補丁。但是，首先由于企業(yè)規(guī)模較大，管理者無法保證所有的終端用戶都安裝了防病毒軟件和防火墻軟件。其次，即便安裝了這些防護軟件，用戶也常常因為各種原因無法及時更新病毒庫。另外，系統(tǒng)漏洞掃描雖然可以獲得桌面計算機的補丁缺失情況，但是卻缺乏有效的補丁安裝手段。所有這些因素，均導致桌面計算機的安全無法得到有效的保障。
2.3 企業(yè)職工計算機缺少有效的接入控制手段
對于大型企業(yè)，內(nèi)網(wǎng)計算機數(shù)量眾多且分布地域廣闊。網(wǎng)絡(luò)管理人員很難統(tǒng)計內(nèi)網(wǎng)計算機的確切數(shù)量，也無法區(qū)分哪些是內(nèi)網(wǎng)授權(quán)使用的計算機，哪些是外來的非授權(quán)使用的計算機。這種狀況下，很難控制外來人員隨意的計算機接入。很容易導致企業(yè)內(nèi)網(wǎng)機密信息的泄漏，往往等泄密事件發(fā)生了，卻還無法判斷到底是哪一個環(huán)節(jié)出了差錯。另外，對于內(nèi)網(wǎng)授權(quán)使用的計算機，任何一臺感染了病毒和木馬，網(wǎng)絡(luò)管理人員也無法及時定位和自動阻斷該計算機的破壞行為。往往需要花費很長的時間才能判斷和定位該計算機，然后再通過手動的方式斷網(wǎng)。對安全強度差的桌面計算機缺乏有效的安全狀態(tài)檢測和內(nèi)網(wǎng)接入控制，是導致內(nèi)網(wǎng)安全事件不斷發(fā)生的重要原因之一。
?。?大型企業(yè)桌面安全管理建設(shè)
中國石油信息化建設(shè)處于我國大型企業(yè)領(lǐng)先地位，在國資委歷年信息化評比中都名列前茅，“十一五”期間，將企業(yè)信息安全保障體系建設(shè)列入信息化整體規(guī)劃中，并逐步實施，其中桌面安全管理建設(shè)是信息安全保障體系建設(shè)的重點工作，從組織、管理及技術(shù)3個方面進行全面建設(shè)。
3.1 完善安全組織體系建設(shè)
中國石油建立三級的終端安全組織架構(gòu)，分別為石油總部、地區(qū)公司、地區(qū)二級單位。終端安全組織在每一級設(shè)立專門的組織，明確主管領(lǐng)導，確定組織責任，設(shè)置相應崗位，配備必要人員。其中集團信息化領(lǐng)導小組是信息系統(tǒng)安全工作的最高決策機構(gòu)，信息管理部是集團公司信息系統(tǒng)安全的歸口管理部門，負責落實信息化工作領(lǐng)導小組的各項決策。企事業(yè)單位信息部門負責本單位信息系統(tǒng)安全的管理，并設(shè)立信息系統(tǒng)安全管理、審計、技術(shù)崗位，包括信息系統(tǒng)安全、應用系統(tǒng)、數(shù)據(jù)庫、操作系統(tǒng)、網(wǎng)絡(luò)等負責人和管理員，重要崗位設(shè)置兩名員工互為備份。
3.2 強化安全管理體系建設(shè)
安全管理體系從管理制度、培訓教育、運行管理及檢查考核4方面進行強化。①管理制度。根據(jù)中國石油信息安全的需求，分階段逐步制定并完善信息系統(tǒng)安全管理的規(guī)章制度，加大整個信息安全制度體系的貫徹執(zhí)行力度，才能使安全防護能力得到不斷的提高，整體信息安全才能落到實處。②培訓教育。信息安全培訓涉及信息安全法律法規(guī)、信息安全事件案例等多方面，通過培訓一方面提高企業(yè)員工的安全意識，使員工自覺約束自我行為，遵守各項信息安全規(guī)章制度、標準規(guī)范；另一方面及時掌握必要的信息安全技術(shù)知識和技能，在實際工作中充分利用技術(shù)手段保障信息安全。③運行管理。 通過統(tǒng)一設(shè)計、統(tǒng)一平臺，統(tǒng)一硬件體系架構(gòu)，建立中石油桌面運行管理系統(tǒng)。采用三級架構(gòu)，分別在總部、區(qū)域數(shù)據(jù)中心部署服務器和管理軟件，各企事業(yè)單位的桌面計算機安裝客戶端軟件，整個運行管理由防病毒子系統(tǒng)、補丁分發(fā)子系統(tǒng)、端點準入子系統(tǒng)、電子文檔保護子系統(tǒng)、后臺管理子系統(tǒng)組成。其中通過端點準入防御系統(tǒng)，只有符合安全要求且通過用戶認證的計算機才能接入內(nèi)部網(wǎng)絡(luò)使用，防止“危險”、“易感”終端接入網(wǎng)絡(luò)，控制病毒、蠕蟲的蔓延。補丁管理系統(tǒng)與防病毒系統(tǒng)相結(jié)合，實時監(jiān)測和殺除病毒，實現(xiàn)對漏洞、病毒及惡意代碼的管理和控制，電子文檔保護子系統(tǒng)、后臺管理子系統(tǒng)增強系統(tǒng)及電腦文檔的安全性。④檢查考核。信息管理部門定期進行信息系統(tǒng)安全檢查與考核，包括信息系統(tǒng)安全政策與標準的培訓與執(zhí)行情況、重大信息系統(tǒng)安全事件及整改措施落實情況、現(xiàn)有信息系統(tǒng)安全措施的有效性、信息系統(tǒng)安全技術(shù)指標的完成情況。各企事業(yè)單位信息部門按照本辦法和《集團公司信息系統(tǒng)運行維護管理辦法》進行信息系統(tǒng)安全自我考核，信息管理部進行綜合評價，形成年度考核報告，報信息主管領(lǐng)導。
3.3 增強桌面安全技術(shù)建設(shè)
桌面安全技術(shù)指物理安全、邏輯安全及運行安全三大模塊，通過與企業(yè)內(nèi)控管理進行有機結(jié)合，依據(jù)《中國石油天然氣集團公司信息系統(tǒng)總體控制實施要求》，嚴格執(zhí)行相關(guān)操作規(guī)范，其中物理安全指進入機房的物理安全訪問控制機制、設(shè)備的物理安全管理、敏感的紙質(zhì)系統(tǒng)文件管理。邏輯安全包括系統(tǒng)登錄身份驗證、用戶賬號及特權(quán)用戶賬戶管理、密碼管理、用戶權(quán)限管理、終端合規(guī)性管理等。運行安全包括病毒防護及病毒事件的處理、安全系統(tǒng)的備份與恢復、應急事件的處理。
?。?結(jié)束語
隨著信息技術(shù)應用的不斷深入，國內(nèi)大型企業(yè)信息系統(tǒng)集中程度不斷提高，業(yè)務對信息系統(tǒng)依賴程度的不斷加大，迫切需要建立與業(yè)務發(fā)展和信息化水平相適應的信息安全體系。與此同時，國家發(fā)布了一系列相關(guān)文件，提出對涉及國家安全、經(jīng)濟命脈、社會穩(wěn)定的重點行業(yè)、企業(yè)的關(guān)鍵信息系統(tǒng)實施信息安全等級保護等要求。桌面安全責任也日益增大。只有通過從組織、管理、技術(shù)全面建設(shè)，才能有效提升桌面計算機抵御安全威脅的能力，提高桌面安全管理水平，達到桌面計算機有防護、有檢測、可控制、可審計，建設(shè)統(tǒng)一桌面安全管理系統(tǒng)，中石油通過兩年的桌面安全建設(shè)，取得了良好效果。
