发布时间：2023-10-11 10:05:23
序言：写作是分享个人见解和探索未知领域的桥梁，我们为您精选了8篇的信息安全保障样本，期待这些样本能够为您提供丰富的参考和启发，请尽情阅读。
关键词：信息安全 漏洞挖掘 漏洞利用 病毒 云安全 保障模式变革
l 引言
信息安全与网络安全的概念正在与时俱进，它从早期的通信保密发展到关注信息的保密、完整、可用、可控和不可否认的信息安全，再到如今的信息保障和信息保障体系。单纯的保密和静态的保障模式都已经不能适应今天的需要。信息安全保障依赖人、操作和技术实现组织的业务运作，稳健的信息保障模式意味着信息保障和政策、步骤、技术与机制在整个组织的信息基础设施的所有层面上均能得以实施。
近年以来，我国的信息安全形势发生着影响深远的变化，透过种种纷繁芜杂的现象，可以发现一些规律和趋势，一些未来信息安全保障模式变革初现端倪。
2 信息安全形势及分析
据英国《简氏战略报告》和其它网络组织对世界各国信息防护能力的评估，我国被列入防护能力最低的国家之一，排名大大低于美国、俄罗斯和以色列等信息安全强国，排在印度、韩国之后。我国已成为信息安全事件的重灾区，国内与网络有关的各类违法行为以每年高于30％的速度递增。根据国家互联网应急响应中心的监测结果，目前我国95％与互联网相联的网络管理中心都遭受过境内外黑客的攻击或侵入，其中银行、金融和证券机构是黑客攻击的重点。
在互联网的催化下，计算机病毒领域正发生着深刻变革，病毒产业化经营的趋势日益显现。一条可怕的病毒产业链正悄然生成。
传统的黑客寻找安全漏洞、编写漏洞利用工具、传播病毒、操控受害主机等环节都需要自己手工完成。然而，现在由于整个链条通过互联网运作，从挖掘漏洞、漏洞利用、病毒传播到受害主机的操控，已经形成了一个高效的流水线，不同的黑客可以选择自己擅长的环节运作并牟取利润，从而使得整个病毒产业的运作效率更高。黑客产业化经营产生了严重的负面影响：
首先，病毒产业链的形成意味着更高的生产效率。一些经验丰富的黑客甚至可以编写出自动化的处理程序对已有的病毒进行变形，从而生产出大量新种类的病毒。面对井喷式的病毒增长，当前的病毒防范技术存在以下三大局限：①新样本巨量增加、单个样本的生存期缩短，现有技术无法及时截获新样本。②即使能够截获，则每天高达数十万的新样本数量，也在严重考验着对于样本的分析、处理能力。③即使能够分析处理，则如何能够让中断在最短时间内获取最新的病毒样本库，成为重要的问题。
其次，病毒产业链的形成意味着更多的未知漏洞被发现。在互联网的协作模式下，黑客间通过共享技术和成果，漏洞挖掘能力大幅提升，速度远远超过了操作系统和软件生产商的补丁速度。
再次，黑客通过租用更好的服务器、更大的带宽，为漏洞利用和病毒传播提供硬件上的便利；利用互联网论坛、博客等，高级黑客雇佣“软件民工”来编写更强的驱动程序，加入病毒中加强对抗功能。大量软件民工的加入，使得病毒产业链条更趋“正规化、专业化”，效率也进一步提高。
最后，黑客通过使用自动化的“肉鸡”管理工具，达到控制海量的受害主机并且利用其作为继续牟取商业利润的目的。至此整个黑客产业内部形成了一个封闭的以黑客养黑客的“良性循环”圈。
3 漏洞挖捆与利用
病毒产业能有今天的局面，与其突破了漏洞挖掘的瓶颈息息相关。而漏洞挖掘也是我们寻找漏洞、弥补漏洞的有利工具，这是一柄双刃剑。
3．1漏洞存在的必然性
首先，由于Internet中存在着大量早期的系统，包括低级设备、旧的系统等，拥有这些早期系统的组织没有足够的资源去维护、升级，从而保留了大量己知的未被修补的漏洞。其次，不断升级中的系统和各种应用软件，由于要尽快推向市场，往往没有足够的时间进行严格的测试，不可避免地存在大量安全隐患。再次，在软件开发中，由于开发成本、开发周期、系统规模过分庞大等等原因，Bug的存在有其固有性，这些Bug往往是安全隐患的源头。另外，过分庞大的网络在连接、组织、管理等方面涉及到很多因素，不同的硬件平台、不同的系统平台、不同的应用服务交织在一起，在某种特定限制下安全的网络，由于限制条件改变，也会漏洞百出。
3．2漏洞挖掘技术
漏洞挖掘技术并不单纯的只使用一种方法，根据不同的应用有选择地使用自下而上或者自上而下技术，发挥每种技术的优势，才能达到更好的效果。下面是常用的漏洞挖掘方法：
(1)安全扫描技术。安全扫描也称为脆弱性评估，其基本原理是采用模拟攻击的方式对目标系统可能存在的已知安全漏洞进行逐项检测。借助于安全扫描技术，人们可以发现主机和网络系统存在的对外开放的端口、提供的服务、某些系统信息、错误的配置等，从而检测出已知的安全漏洞，探查主机和网络系统的入侵点。
(2)手工分析。针对开源软件，手工分析一般是通过源码阅读工具，例如sourceinsight等，来提高源码检索和查询的速度。简单的分析一般都是先在系统中寻找strcpy0之类不安全的库函数调用进行审查，进一步地审核安全库函数和循环之类的使用。非开源软件与开源软件相比又有些不同，非开源软件的主要局限性是由于只能在反汇编获得的汇编代码基础上进行分析。在针对非开源软件的漏洞分析中，反编引擎和调试器扮演了最蘑要的角色，如IDA Pro是目前性能较好的反汇编工具。
(3)静态检查。静态检查根据软件类型分为两类，针对开源软件的静态检查和针对非开源软件的静态检查。前者主要使用编译技术在代码扫描或者编译期间确定相关的判断信息，然后根据这些信息对特定的漏洞模型进行检查。而后者主要是基于反汇编平台IDAPro，使用自下而上的分析方法，对二进制文件中的库函数调用，循环操作等做检查，其侧重点主要在于静态的数据流回溯和对软件的逆向工程。
(4)动态检查。动态检查也称为运行时检查，基本的原理就是通过操作系统提供的资源监视接口和调试接口获取运行时目标程序的运行状态和运行数据。目前常用的动态检查方法主要有环境错误注入法和数据流分析法。以上介绍的各种漏洞挖掘技术之间并不是完全独立的，各种技术往往通过融合来互相弥补缺陷，从而构造功能强大的漏洞挖掘工具。
3．3漏洞利用
漏洞的价值体现在利用，如果一个漏洞没有得到广泛的利用便失去了意义。通常，从技术层面上讲，黑客可以通过远程/本地溢出、脚本注入等手段，利用漏洞对目标主机进行渗透，包括对主机信息和敏感文件的获取、获得主机控制权、监视主机活动、破坏系统、暗藏后门等，而当前漏洞利用的主要趋势是更趋向于Web攻击，其最终日标是要在日标主机(主要针对服务器)上植入可以综合利用上面的几种挖掘技术的复合型病毒，达到其各种目的。
4 新型信息安全模式分析
最近的两三年间，在与病毒产业此消彼涨的较量中，信息安全保障体系的格局，包括相关技术、架构、形态发生了一些深远、重大的变化，大致归纳为以下三个方面：第一，细分和拓展。信息安全的功能和应用正在从过去简单的攻击行为和病毒防范开始向各种各样新的联网应用业务拓展，开始向网络周边拓展。如现在常见的对于帐号的安全保护、密码的安全保护、游戏的安全保护、电子商务支付过程的安全保护等，都是信息安全功能和应用的细分与拓展。
第二，信息安全保障一体化的趋向。从终端用户来说，他们希望信息安全保障除了能够专业化地解决他们具体应用环节里面临的各种各样的具体问题之外，更希望整体的、一体化的信息安全解决方案贯穿业务的全过程，贯穿IT企业架构的全流程。因此，许多不同的安全厂商都在进行自身的安全产品、体系架构的整合，针对性地应用到个人客户的方方面面，表现出信息安全保障一体化的趋向。
第三，安全分布结构的变化。在服务器端，不管是相关市场的投入还是企业的需要，乃至相关的企业对服务器市场的重视都在发生重大的变化。这样的变化对安全的分布结构产生了重大的影响，在这方面，各个安全厂商无论在服务器安全还是客户端安全都加入了许多新型功能，甚至都在从体系结构方面提出一些新模式。
透过技术、架构、形态的新发展，我们看到了·些规律和趋势，吏看到了一些未来信息安伞保障模式变节的端倪。既然客在互联的催化下实现产业化，那么信息安全保障呢?将互联网上的每个终端用户的力量调动起来，使整个互联网就将成为一个安全保障工具，这样的模式就是未来信息安全保障的模式，被一些机构和安全厂商命名为“云安全”。
在“云安全”模式中，参与安全保障的不仅是安全机构和安全产品生产商，更有终端用户——客户端的参与。“云安全”并不是一种安全技术，而是一种将安全互联网化的理念。
“云安全”的客户端区别于通常意义的单机客户端，而是一个传统的客户端进行互联网化改造的客户端，它是感知、捕获、抵御互联网威胁的前端，除了具有传统单机客户端的检测功能以外还有基于互联网协作的行为特征检测和基于互联网协作的资源防护功能，因此它可以在感知到威胁的同时，迅速把威胁传递给“云安全”的威胁信息数据中心。威胁信息数据中心是收集威胁信息并提供给客户端协作信息的机构，它具有两个功能：一是收集威胁信息；二是客户端协作信息的查询和反馈。首先，从“云安全”的客户端收集、截获的恶意威胁信息，及时传递给数据中心，然后传递给来源挖掘和挖掘服务集群，来源挖掘和挖掘服务集群会根据这些数据来挖掘恶意威胁的来源，通过协作分析找到源头，进而对源头进行控制，如果不能控制，则至少可以对源头进行检测。然后，将所有收集到的信息集中到自动分析处理系统，由其形成一个解决方案，传递给服务器，服务器再回传客户端，或者是形成一个互联网的基础服务，传递给所有安全合作伙伴，形成一个互联网技术服务，使整个网络都享受该安全解决方案。
概括而言，“云安全”模式具有以下特点：第一，快速感知，快速捕获新的威胁。“云安全”的数据中心可以并行服务，通过互联网大大提高威胁捕获效率。第二，“云安全”的客户端具有专业的感知能力。通过威胁挖掘集群的及时检测，可以从源头监控互联网威胁。
互联网已经进入Web2．O时代，Web2．0的特点就是重在用户参与，而“云安全”模式已经让用户进入了安全的2．O时代。在黑客产业化经营的新威胁的形势下，也只有互联网化的“云安全”保障模式才能与之对抗。
4 结柬语
关键词：信息安全；保障体系；框架
档案信息安全保障体系是指通过信息安全技术与信息安全管理手段等来对信息系统进行安全防御，保证档案信息系统的可靠性、稳定性以及安全性，从而确保档案信息的完整性、真实性与实用性等。档案信息安全保障体系的额框架分为两个部分：一是宏观部分，是指以国家的角度进行的信息安全保障体系；二是微观部分，是单位信息系统中的组成部分，其作用在于保障本单位中人员的档案信息安全。
1 档案信息安全保障体系宏观框架
1.1 档案信息安全管理体系
建立完善的档案信息安全管理体系能够有效提高档案信息的安全性与质量，是档案部门相关工作的重要组成部分。首先，为了保证档案信息安全管理工作的有效实施，政府档案职能部门必须建立独立的档案信息管理处，专门负责档案信息安全管理的监督工作，并在全国范围内积极进行档案信息安全管理的宣传工作，逐步建立符合我国实际国情的管理体系。同时，还应该加快出台档案信息管理工作的相关规范标准，为相关工作的实施提供实施依据，并督促地方职能部门在这一规范标准的基础上制定符合自身发展的具体制度与方案[1]。
1.2 档案信息安全技术体系
在加强档案信息安全管理工作的同时，还必须提高档案信息安全的技术水平，由此才能真正提高档案部门工作的整体质量。现阶段得到广泛应用的安全技术类型主要有系统安全技术、网络安全技术以及用户安全技术等，在选择技术类型时必须从信息的安全属性出发，选择符合档案信息安全要求的安全技术，不同的档案信息其对安全应有着特殊需求，在这种情况下，就可以根据安全等级、特性的不同进行综合选择，从而有效提高档案系统的安全技术水平，例如部分要求得到永久保存或是性较高的档案信息，就可以采用数字签名、物理隔离等技术进行管理。不同的档案系统并不一定必须应用所有的安全技术，只需根据国内的等级保护标准规范进行科学的选择，就能达到系统的安全要求。
1.3 档案信息安全法规标准体系
为了提高档案系统的安全性与稳定性，档案部门必须加快建立完善的安全法规标准体系，从而避免出现责任不明的现象。与西方发达国家相比，我国的档案建设工作起步较晚，发展也较不成熟，在实际应用中存在较多问题，因此必须建立完善的相关标准制度，使相关部门与工作人员能够按照标准进行档案体系的建设，防止由于建设标准的模糊而出现安全体系的重复与不合理建设[2]。我国在制定相关法规标准时，必须从我国的长远发展目标出发，建立科学、合理的的法规体系，从而为档案建设工作的推进提供有力的制度保障。
2 档案信息安全保障体系微观框架
2.1 档案信息安全管理体系
从微观框架中看，安全管理体系需要结合具体实际，制定档案信息安全管理的具体方案、措施等，形成一个完善的体系框架。随着档案管理不断向信息化发展，档案部门必须按照相关的管理标准逐步建立起档案管理的相关体系，实现信息管理工作的动态化、系统化与制度化。国际最早颁布的系列标准中，对信息安全管理的相关措施进行了详细的分类与总结，我国可以以此为基础，结果国内的相关法律法规、实际发展情况制定出具有实用性的安全管理体系。
2.2 档案信息安全技术体系
从微观角度分析，安全技术体系的建设就是要将现有的信息安全技术具体应用到档案信息系统中。选择合适的信息安全技术将直接影响到档案信息系统的安全性，通过对系统的构成以及安全等级等进行科学划分，并作出合理的L险评估，就可以对安全技术的应用进行明确。对于档案系统而言，其内部信息的价值越高，则面临的风险也会相应增大，这就要求档案的安全保障工作必须是以个不断发展的过程，随着风险的变化，系统的微观安全技术也必须进行相应的调整，从而更好的控制系统风险[3]。
2.3 档案信息安全法规标准应用体系
从微观框架来看，这一体系是指在安全法规与标准的保障下，档案管理人员对相关工作的开展提供相应知道。这一应用体系的建立，需要在实践中进行不断的探索，而我国目前缺少完善的法规标准体系，因此可以适当参考国外先进的法规标准体系，并结果国内应用实践结果进行不断的改进与完善，从而尽快建立符合国内发展情况的安全保障体系。
3 结论
档案信息安全保障体系是以提高信息质量为核心，以培养专业化档案管理人员为目标的运行体系，通过对档案职能部门的职责分配，使档案信息管理的各个环节都能得到有效管理，同时促进各职能部门之间的团结协作，最终实现档案信息的高质量管理。只有建立完善的档案信息安全保障体系才能真正促进档案部门的建设与发展，因此相关职能部门必须加快从宏观与微观这两个方面的体系框架建设，希望本文的研究能够对我国档案信息体系框架的建立与发展提供一定的参考意见，从而有效提升国内档案信息系统的安全性与稳定性。
参考文献
[1]徐绪琴. 档案安全体系建设研究[D].安徽大学，2014.
1夯实基础设施安全体系建设
基础设施安全体系建设，即病案信息化系统环境建设，包括开发并完善用于病案信息建立、存储、传递、利用的软硬件设备和网络交换设备。基础设施安全体系构建是信息安全保障体系的重中之重，是安全保障体系的核心。建立基础设施安全体系时，要做好网络边界防护、系统主机防护、入侵检测与审计工作，并建立完整的防病毒体系，辅之以远程访问接入及终端准入控制，构造出切合实际、行之有效、相对先进、稳定可靠的网络安全系统平台；要保护计算机网络设备、设施免遭水灾、火灾、地震等事故破坏以及人为操作失误和各种计算机犯罪行为导致的破坏，并定期对存放设备的场地进行安全检查；在共享医疗档案信息时，要建立医疗档案信息共享监控平台，确保数字病案图像采用加密格式存储，在第三方合法公司的软件中使用，以防非法盗用；病案数字化制作与应用所使用的服务器管理必须置于整个医院系统的安全审计工作范围中，还要为服务器、各工作站安装防病毒软件。为便于回溯追踪，系统必须把用户在系统内操作形成的所有日志自动记录下来；要重视移动存储中数据交换和共享的安全问题，对接入终端的移动存储设备进行认证、数据加密和共享受控管理，确保只有通过认证的移动存储设备才能够被授权的用户使用，还要对移动存储设备接入进行审计并记录，一旦发现有非法使用的情况要第一时间处理，以避免数据泄漏；病案服务器数据库参数注册表、人员登录信息数据库、病案主信息数据库都需加密存储，并实行内外网物理隔离措施。
2重视应用安全体系建设
应用安全体系以密码服务为核心、身份认证为基础。医务人员访问病案时，可以按规定权限使用数字化病案，对无权访问的病案需提交电子申请，经审批通过后在可授权时段内访问或利用，并且只可以访问所属科室的病案，如需访问其他科室的病案则需要申请；医保、商业保险公司以及公检法等用户可按该体系临时授予的权限访问病案，如果需要访问所有用户以及默认无权限访问的病案，则要办理电子申请审批手续，在得到批准后方可访问。病案访问权限分为阅读、打印和导出三类，每一级权限向下兼容，权限具体分用户组权限、科室权限、有效期限制、医学分类限制、IP地址限制、显示字段限制和特殊病案锁定等。若系统在一定时限内检测到所在页面没有操作行为发生时，即视为工作人员已经离开，便会自动开启锁定，再次操作时须验证密码，以避免工作人员离开后他人恶意操作的情况发生。系统可提供人员身份认证、数据加密等功能，用于网络接入及应用服务等过程。其中，加强认证措施可弥补访问控制方面的诸多缺陷，数据加密可为整个系统提供纵深防御。该体系具有禁止打印、复制病案图像以及截屏等功能，并能通过阅读水印和完备的日志记录防范有人使用数码相机偷拍病案图像，一旦发现偷拍行为即可通过加密的水印进行追查。该体系通过特定软件获取数字化病案图片，防止非法获取病案图像，还可通过架设多台Web服务器来实现负载均衡。
3加强运维安全体系建设
即使这样，如下安全问题依然摆在了很多企业面前：安全设备部署了很多，安全制度流程也建立了，但从整体角度看，仍然是各自为战，仿佛信息安全问题只是IT部门的事情，与其他人无关，这就使得无法形成整体有效的安全防护；一边是业务应用越来越复杂，一边是安全设备和制度不断增加，如果安全设备和制度做多了，业务部门抱怨太繁琐，但如果不做这么多，又怕出现安全问题，左右为难。
那么，出现这些问题的根源是什么呢？我们早就知道，建设安全系统不仅仅是技术问题，也是管理问题。而信息安全服务的主要目标就是更好的支撑IT应用系统的效果和效率，也就是说，信息安全的主要目的是通过信息安全管理体系、技术体系以及运维体系的综合有效建设，让IT应用系统能够达到更好的运营效果以及更高的效率。而如何综合而有效的建立信息安全保障体系，成为了摆在每个企业面前的课题。
合规是重中之重
信息安全标准是确保信息安全产品和系统在设计、研发、生产、建设、使用和测评过程中保持一致性、可靠性、可控性、先进性和符合性的技术规范和依据，其不仅关系到国家的信息安全，也是保护国家利益、促进产业发展的一种重要手段，同时更是信息安全保障体系中的重要组成部分，是政府进行宏观管理的重要依据。
我国在这方面虽然起步较晚，但也制定了一批符合中国国情的信息安全标准，同时在一些重点行业还颁布了一批信息安全的行业标准，尤其是国家等级保护制度和分级保护制度是我国在进行信息安全保障体系建设中的重要依据。
因此，企业只有在信息安全保障体系建设过程中依据相关标准进行合规性分析，通过安全风险评估，然后比对相关标准中所涉及的技术要求、管理要求、测评要求，才能明确得出建设的方向和重点，了解目前系统中存在的问题和改进的方法，同时明确在管理、部署和运维过程中信息安全管理的相关制度、流程和需要持续改进的目标。
此外，相关标准还为企业明确了进行信息安全保障体系建设的方法，只有遵循这种方法才能做到“有法可依、有章可循”。
安全咨询是桥梁
前面提到，信息安全建设的主要目的是让IT应用系统能够达到更好的运行效果，并提高系统的运行效率，也就是说，要让信息安全保障体系成为IT应用系统的有效支撑。然而，不同政府或企业的具体业务环境和流程各不相同，所以也不是每个政府或企业都可以使用一个统一的模板。不同的组织在建立与完善信息安全保障体系时，必须根据自己的业务特点和具体情况以及IT应用的实际情况，采取不同的步骤和方法。此外，还要注意，信息安全不仅涉及安全管理和技术层面的问题，还会涉及到治理机制、业务流程、人员管理、企业文化等内容。
这就使得，企业要运用风险的方法来决定信息安全体系建设的目标和步骤。这个过程实际上是需要专业资深的安全服务人员对目标的业务特点、IT应用实际情况和具体管理方式进行现场调研、符合性分析、相关的风险评估等操作的，尤其是对关键业务应用的深入了解和分析，只有这样才能与标准比对形成安全基线和框架参考。
而且，在建设过程中，还要不断与相关负责人（决策人员、安全管理员、网络安全维护人员）进行深入沟通，以便发现安全隐患、找出关注重点，并提出有效的策略建议，最终才能运用风险的方法来决定体系建设的目标和步骤，并一步一步实施完成。通过这一点我们不难看出，信息安全咨询贯穿于整个信息安全体系建设的过程中，是联系实际需求和建设目标的桥梁。
实际落地是关键
信息安全技术体系是利用技术手段实现了技术层面的安全保护，是整个信息安全保障体系中非常重要的一部分。很多政府和企业都部署过一些技术防护手段，但这些防护手段是不是符合相关标准和关键业务的需求，是不是把风险控制到了一个可控的水平，我们就不得而知了。
因此，在信息安全保障体系建立过程中，一定要依照标准来选择技术防护手段，同时实现技术手段的落地是关键。而要实现技术手段的落地，就要兼顾以下几点：选择的技术产品要满足政府或企业实际环境、IT应用和管理流程制度等客观条件；选择的技术产品要具有易维护、管理简便的特点，并要能够保持先进性；选择的技术产品要能够满足应用变化的需要，并适应技术的不断发展。即保障可用性、适用性和持续性。
安全意识是必须
在很多政府部门和企业中普遍存在这样一个问题，仿佛信息安全只是IT部门的事情，其他业务部门大多采取了“事不关己，高高挂起”的态度，这势必会造成安全天天喊，但是总没有明显效果的局面。
可以说，建设信息安全保障体系是企业内的一次“安全革命”，通过培训，不仅仅要让每个人都提高对安全事件处理的管理水平和技术水平，更重要的是让每个人都拥有“信息安全人人有责”的意识。
同时，这场“安全革命”给企业带来了新的知识和管理模式，企业必须通过培训将整个信息安全保障体系的相关知识转移到每位员工身上，让他们对整个体系逐步达到从接受到适应，再到最终掌握。只有这样才能让整个信息安全保障体系真正应用起来，并真正起到效果。
运维平台是手段
随着云计算、大数据等新兴技术的不断发展，企业信息化、智能化程度、网络化、数字化程度越来越高，人类社会进入到以大数据为主要特征的知识文明时代。大数据是企业的重要财富，正在成为企业一种重要的生产资料，成为企业创新、竞争、业务提升的前沿。大数据正在成为企业未来业务发展的重要战略方向，大数据将引领企业实现业务跨越式发展;同时，由此带来的信息安全风险挑战前所未有，远远超出了传统意义上信息安全保障的内涵，对于众多大数据背景下涉及的信息安全问题，很难通过一套完整的安全产品和服务从根本上解决安全隐患。
自2008年国际综合性期刊《Nature》发表有关大数据(Big Data)的专刊以来，面向各应用领域的大数据分析更成为各行业及信息技术方向关注的焦点。大数据的固有特征使得传统安全机制和方法显示出不足。本文系统分析了大数据时代背景下的企业信息系统存在的主要信息安全脆弱性、信息安全威胁以及信息安全风险问题，并有针对性地提出相应的信息安全保障策略，为大数据背景下的企业信息安全保障提供一定指导的作用。
1 大数据基本内涵
大数据(Big Data)，什么是大数据，目前还没有形成统一的共识。网络企业普遍将大数据定义为数据量与数据类型复杂到在合理时间内无法通过当前的主流数据库管理软件生成、获取、传输、存储、处理，管理、分析挖掘、应用决策以及销毁等的大型数据集。大数据具有4V特征(Volume，Varity，Value，Velocity)，即数据量大、数据类型多、数据价值密度低、数据处理速度快。
2011年麦肯锡咨询公司了《大数据：下一个创新、竞争和生产力的变革领域》[1]的研究报告，引起了信息产业界的广泛关注。美国谷歌公司(Google)、国际商业机器公司(IBM)、美国易安信公司(EMC)、脸书(Facebook)等公司相继开始了大数据应用、分析、存储、管理等相关技术的研究，并推出各自的大数据解决框架、方案以及产品。
例如，阿帕奇软件基金会(Apache)组织推出的Hadoop大数据分析框架，谷歌公司推出的BigTable、GFS(Google File System)、MapReduce等技术框架等，这些研究成果为随后的大数据应用迅猛发展提供了便利的条件。2012年3月，美国奥巴马总统了2亿美元的“Big Data Initiative”(大数据研究和发展计划)，该计划涉及能源、国防、医疗、基础科学等领域的155个项目种类，该计划极大地推动了大数据技术的创新与应用，标志着奥巴马政府将大数据战略从起初的政策层提升到国家战略层。
同时，我国对大数据的认识、应用及相关技术服务等也在不断提高，企业界一致认同大数据在降低企业经营运营成本、提升管理层决策效率、提高企业经济效益等方面具有广阔的应用前景，相继大数据相关战略文件，同时国家组织在民生、国防等重要领域投入大量的人力物力进行相关技术研究与创新实践。中国移动通信公司在已有的云计算平台基础上，开展了大量大数据应用研究，力图将数据信息转化为商业价值，促进业务创新。
例如，通过挖掘用户的移动互联网行为特征，助力市场决策;利用信令数据支撑终端、网络、业务平台关联分析，优化网络质量。商业银行也相继开展了经融大数据研究，提升银行的竞争力。例如，通过对用户数据分析开展信用评估，降低企业风险;从细粒度的级别进行客户数据分析，为不同客户提供个性化的产品与服务，提升银行的服务效率。总而言之，大数据正在带来一场颠覆性的革命，将会推动整个社会取得全面进步。
2 大数据安全研究现状
在大数据计算和分析过程中，安全是不容忽视的。大数据的固有特征对现有的安全标准、安全体系架构、安全机制等都提出了新的挑战。目前对大数据完整性的研究主要包括两方面，一是对数据完整性的检测;二是对完整性被破坏的数据的恢复。在完整性检测方面，数据量的增大使传统的MD5、SHA1等效率较低的散列校验方法不再适用，验证者也无法将全部数据下载到本地主机后再进行验证。
面向大数据的高效隐私保护方法方面，高效、轻量级的数据加密已有多年研究，虽然可用于大数据加密，但加密后数据不具可用性。保留数据可用性的非密码学的隐私保护方法因而得到了广泛的研究和应用。这些方法包括数据随机化、k-匿名化、差分隐私等。这些方法在探究隐私泄漏的风险、提高隐私保护的可信度方面还有待深入，也不能适应大数据的海量性、异构性和时效性。
在隐私保护下大数据的安全计算方面，很多应用领域中的安全多方计算问题都在半诚实模型中得到了充分的研究，采用的方法包括电路赋值(Circuit Evaluation)、遗忘传输(Oblivious Transfer)、同态加密等。通过构造零知识证明，可以将半诚实模型中的解决方法转换到恶意模型中。而在多方参与、涉及大量数据处理的计算问题，目前研究的主要缺陷是恶意模型中方法的复杂度过高，不适应多方参与、多协议执行的复杂网络环境。
企业大数据技术是指大数据相关技术在企业的充分应用，即对企业业务、生产、监控、监测等信息系统在运行过程中涉及的海量数据进行抽取、传输、存储、处理，管理、分析挖掘、应用决策以及销毁等，实现大数据对企业效率的提升、效益的增值以及风险的预测等。
企业的大数据类型通常主要包括业务经营数据即客户信息数据、企业的生产运营与管理数据以及企业的设备运行数据等，即客户信息数据、员工信息数据、财务数据、物资数据、系统日志、设备监测数据、调度数据、检修数据、状态数据等。企业大数据具有3V、3E特征[2]，3V即数据体量大(Volume)、数据类型多(Varity)与数据速度快(Velocity)，3E即数据即能量(Energy)、数据即交互(Exchange)与数据即共情(Empathy)。3 大数据时代企业信息安全漏洞与风险并存
大数据时代，大数据在推动企业向着更为高效、优质、精准的服务前行的同时，其重要性与特殊性也给企业带来新的信息安全风险与挑战。如何针对大数据的重要性与特殊性构建全方位多层次的信息安全保障体系，是企业发展中面临的重要课题。大数据背景下，结合大数据时代的企业工作模式，企业可能存在的信息安全风险主要表现在以下三个方面：
(1)企业业务大数据信息安全风险：由于缺乏针对大数据相关的政策法规、标准与管理规章制度，导致企业对客户信息大数据的“开放度”难以掌握，大数据开放和隐私之间难以平衡;企业缺乏清晰的数据需求导致数据资产流失的风险;企业数据孤岛，数据质量差可用性低，导致数据无法充分利用以及数据价值不能充分挖掘的风险;大数据安全能力和防范意识差，大数据人才缺乏导致大数据分析、处理等工作难以开展的风险;管理技术和架构相对滞后，导致数据泄露的风险。
(2)企业基础设施信息安全风险：2010年，震网病毒[3]通过网络与预制的系统漏洞对伊朗核电站发起攻击，导致伊朗浓缩铀工程的部分离心机出现故障，极大的延缓了伊朗核进程。从此开启了世界各国对工业控制系统安全的重视与管控。对于生产企业，工业生产设备是企业的命脉，其控制系统的安全性必须得到企业的高度重视。随着物理设备管理控制系统与大数据采集系统在企业的不断应用，监控与数据采集系统必将成为是物理攻击的重点方向，越来越多的安全问题随之出现。
设备“接入点”范围的不断扩大，传统的边界防护概念被改变; 2013年初，美国工业控制系统网络紧急响应小组(ICS-CERT)预警，发现美国两家电厂的发电控制设备在2012年10月至12月期间感染了USB设备中的恶意软件。该软件能够远程控制开关闸门、旋转仪表表盘、大坝控制等重要操作，对电力设备及企业安全造成了极大的威胁。
(3)企业平台信息安全风险： 应用层安全风险主要是指网络给用户提供服务所采用的应用软件存在的漏洞所带来的安全风险，包括： Web服务、邮件系统、数据库软件、域名系统、路由与交换系统、防火墙及网管系统、业务应用软件以及其他网络服务系统等;操作系统层的安全风险主要是指网络运行的操作系统存在的漏洞带来的安全风险，例如Windows NT、UNIX、Linux系列以及专用操作系统本身安全漏洞，主要包括访问控制、身份认证、系统漏洞以及操作系统的安全配置等;网络层安全风险主要指网络层身份认证，网络资源的访问控制，数据传输的保密性与完整性、路由系统的安全、远程接入、域名系统、入侵检测的手段等网络信息漏洞带来的安全性。
4 企业大数据信息安全保障策略
针对大数据时代下企业可能存在的信息安全漏洞与风险，本文从企业的网络边界信息安全保障、应用终端信息安全保障、应用平台信息安全保障、网络安全信息安全保障、数据安全信息安全保障等多方面提出如下信息安全保障策略，形成具有层次特性的企业信息安全保障体系，提升大数据时代下的企业信息安全保障能力。
4.1企业系统终端——信息安全保障策略
对企业计算机终端进行分类，依照国家信息安全等级保护的要求实行分级管理，根据确定的等级要求采取相应的安全保障策略。企业拥有多种类型终端设备，对于不同终端，根据具体终端的类型、通信方式以及应用环境等选择适宜的保障策略。确保移动终端的接入安全，移动作业类终端严格执行企业制定的办公终端严禁“内外网机混用”原则，移动终端接入内网需采用软硬件相结合的加密方式接入。配子站终端需配置安全模块，对主站系统的参数设置指令和控制命令采取数据完整性验证和安全鉴别措施，以防范恶意操作电气设备，冒充主站对子站终端进行攻击。
4.2企业网络边界——信息安全保障策略
企业网络具有分区分层的特点，使边界不受外部的攻击，防止恶意的内部人员跨越边界对外实施攻击，在不同区的网络边界加强安全防护策略，或外部人员通过开放接口、隐蔽通道进入内部网络。在管理信息内部，审核不同业务安全等级与网络密级，在网络边界进行相应的隔离保护。按照业务网络的安全等级、实时性需求以及用途等评价指标，采用防火墙隔离技术、协议隔离技术、物理隔离技术等[4]对关键核心业务网络进行安全隔离，实现内部网与外部网访问资源限制。
4.3企业网络安全——信息安全保障策略
网络是企业正常运转的重要保障，是连接物理设备、应用平台与数据的基础环境。生产企业主要采用公共网络和专用网络相结合的网络结构，专用网络支撑企业的生产管理、设备管理、调度管理、资源管理等核心业务，不同业务使用的专用网络享有不同安全等级与密级，需要采取不同的保障策略。网络弹性是指基础网络在遇到突发事件时继续运行与快速恢复的能力。
采用先进的网络防护技术，建立基础网一体化感知、响应、检测、恢复与溯源机制，采取网络虚拟化、硬件冗余、叠加等方法提高企业网络弹性与安全性;对网络基础服务、网络业务、信息流、网络设备等基础网络环境采用监控审计、安全加固、访问控制、身份鉴别、备份恢复、入侵检测、资源控制等措施增强网络环境安全防护;在企业网络中，重要信息数据需要安全通信。针对信息数字资源的安全交换需求，构建企业的业务虚拟专用网。在已有基础网络中采用访问控制、用户认证、信息加密等相关技术，防止企业敏感数据被窃取，采取建立数据加密虚拟网络隧道进行信息传输安全通信机制。
4.4企业应用系统平台——信息安全保障策略
应用系统平台安全直接关系到企业各业务应用的稳定运行，对应用平台进行信息安全保障，可以有效避免企业业务被阻断、扰乱、欺骗等破坏行为，本文建议给每个应用平台建立相应的日志系统，可以对用户的操作记录、访问记录等信息进行归档存储，为安全事件分析提供取证与溯源数据，防范内部人员进行异常操作。
企业应用平台的用户类型多样，不同的应用主体享有不同的功能与应用权限，考虑到系统的灵活性与安全性，采用基于属性权限访问控制[5]、基于动态和控制中心访问权限控制[6]、基于域访问权限控制[7]、基于角色访问控制等访问控制技术;确保企业应用平台系统安全可靠，在应用平台上线前，应邀请第三方权威机构对其进行信息安全测评，即对应用平台系统进行全面、系统的安全漏洞分析与风险评估[8]，并制定相应的信息安全保障策略。4.5企业大数据安全——信息保障策略
大数据时代下，大数据是企业的核心资源。企业客户数据可能不仅包含个人的隐私信息，而且还包括个人、家庭的消费行为信息，如果针对客户大数据不妥善处理，会对用户造成极大的危害，进而失信于客户。目前感知大数据(数据追踪溯源)、应用大数据(大数据的隐私保护[9]与开放)、管控大数据(数据访问安全、数据存储安全)等问题，仍然制约与困扰着大数据的发展。大数据主要采用分布式文件系统技术在云端存储，在对云存储环境进行安全防护的前提下，对关键核心数据进行冗余备份，强化数据存储安全，提高企业大数据安全存储能力。
为了保护企业数据的隐私安全、提高企业大数据的安全性的同时提升企业的可信度，可采用数据分享、分析、时进行匿名保护已经隐私数据存储加密保护措施来加强企业数据的隐私安全，对大数据用户进行分类与角色划分，严格控制、明确各角色数据访问权限，规范各级用户的访问行为，确保不同等级密级数据的读、写操作，有效抵制外部恶意行为，有效管理云存储环境下的企业大数据安全。
5 结束语
随着信息技术的快速革新，数据正以惊人的速度积累，大数据时代已经来临了;智能终端和数据传感器成为大数据时代的数据主要来源。大数据在推动企业不断向前发展给企业提供了更多机遇的同时，也给企业的应用创新与转型发展带来了新的信息安全威胁、信息安全漏洞以及信息安全风险。传统的信息安全保障策略已经无法满足大数据时代的信息安全保障需求。怎样做好企业大数据信息安全保障、加强信息安全防护、建设相关法律法规将是大数据时代长期研究的问题。
［关键词］ 计算机网络； 信息安全； 保障策略； 防火墙； 预防措施
1网络信息安全定义及研究意义
1．1网络信息安全定义
网络安全从本质上来讲就是指网络系统中流动和保存的数据，不受到偶然的或者恶意的破坏、泄露、更改，系统能连续正常工作，网络服务不中断。而从广义上来说，凡是涉及网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论，都是网络安全所要研究的领域。
1．2网络信息安全研究意义
网络信息安全保障手段的研究和应用，对于保证信息处理和传输系统的安全，避免因为系统的崩溃和损坏而对系统存储、处理和传输的信息造成破坏和损失；保护信息的保密性、真实性和完整性，避免攻击者利用系统的安全漏洞进行窃听、冒充、诈骗等有损于合法用户的行为；保护国家的安全、利益和发展，避免非法、有害的信息传播所造成的后果，能进行防止和控制，避免公用网络上大量自由传输的信息失控等方面都有非常重大的意义。
2网络信息安全现状
2．1物理传输对网络信息安全的威胁
网络通信都要通过通信线路、调制解调器、网络接口、终端、转换器和处理机等物理部件，这些往往都是黑客、攻击者的切入对象。主要有以下几方面的入侵行为：
（1） 电磁泄露：无线网络传输信号被捕获，对于一些通用的加密算法，黑客和攻击者已有一整套完备的破解方案，能够较轻易地获取传输内容。
（2） 非法终端：在现有终端上并接一个终端，或合法用户从网上断开时，非法用户乘机接入并操纵该计算机通信接口，或由于某种原因使信息传到非法终端。
（3） 非法监听：不法分子通过通信设备的监听功能对传输内容进行非法监听或捕获，由于是基于通信设备提供的正常功能，一般使用者很难察觉。
（4） 网络攻击：如ARP风暴等小包攻击交换机等通信设备，引起网络拥塞或导致通信主机无法处理超量的请求，轻则网络服务不可用，重则整个系统死机瘫痪。
2．2软件对网络信息安全的威胁
现代通信系统如ATM、软交换、IMS、EPON、POS终端、手机等都使用大量的软件进行通信控制，因此软件方面的入侵也相当普遍。
（1） 网络软件的漏洞或缺陷被利用。软件漏洞分为两种：一种是蓄意制造的漏洞，是系统设计者为日后控制系统或窃取信息而故意设计的漏洞；另一种是无意制造的漏洞，是系统设计者由于疏忽或其他技术原因而留下的漏洞。
（2） 软件病毒入侵后打开后门，并不断繁殖，然后扩散到网上的计算机来破坏系统。轻者使系统出错，重者可使整个系统瘫痪或崩溃。
（3） 通信系统或软件端口被暴露或未进行安全限制，导致黑客入侵，进而可以使用各种方式有选择地破坏对方信息的有效性和完整性，或者在不影响网络正常工作的情况下，进行截获、窃取、破译，以获得对方重要的机密信息。
2．3工作人员的不安全因素
内部工作人员有意或无意的操作或多或少存在信息安全隐患。
（1） 保密观念不强，关键信息或资产未设立密码保护或密码保护强度低；文档的共享没有经过必要的权限控制。
（2） 业务不熟练或缺少责任心，有意或无意中破坏网络系统和设备的保密措施。
（3） 熟悉系统的工作人员故意改动软件，或用非法手段访问系统，或通过窃取他人的口令字和用户标识码来非法获取信息。
（4） 利用系统的端口或传输介质窃取保密信息。
3网络信息安全保障策略
针对以上信息安全隐患，可以采用一些技术手段，对攻击者或不法分子的窃密、破坏行为进行被动或主动防御，避免不必要的损失。
3．1物理传输信息安全保障
（1） 减少电磁辐射。传输线路应有露天保护措施或埋于地下，并要求远离各种辐射源，以减少由于电磁干扰引起的数据错误。对无线传输设备应使用高可靠性的加密手段，并隐藏链接名。
（2） 采用数据加密技术，对传输内容使用加密算法将明文转换成无意义的密文，防止非法用户理解原始数据。数据加密技术是一种主动的信息安全防范措施，可大大加强数据的保密性。
（3） 使用可信路由、专用网或采用路由隐藏技术，将通信系统隐匿在网络中，避免传输路径暴露，成为网络风暴、DDOS等攻击对象。
3．2软件类信息安全保障
安装必要的软件，可以快速有效地定位网络中病毒、蠕虫等网络安全威胁的切入点， 及时、准确地切断安全事件发生点和网络。
（1） 安装可信软件和操作系统补丁，定时对通信系统进行软件升级，及时堵住系统漏洞避免被不法分子利用。
（2） 使用防火墙技术，控制不同网络或网络安全域之间信息的出入口，根据企业的安全政策控制（允许、拒绝、监测）出入网络的信息流。且本身具有较强的抗攻击能力。它是提供信息安全服务，实现网络和信息安全的基础设施，是目前保护网络免遭黑客袭击的有效手段。
（3） 使用杀毒软件，及时升级杀毒软件病毒库。小心使用移动存储设备。在使用移动存储设备之前进行病毒的扫描和查杀，可以有效地清除病毒，扼杀木马。
（4） 使用入侵检测系统防止黑客入侵。一般分为基于网络和基于主机两种方式。基于网络的入侵检测系统，将检测模块驻留在被保护系统上，通过提取被保护系统的运行数据并进行入侵分析来实现入侵检测的功能。基于主机的入侵检测系统对通信系统进行实时监控，通过监视不正当的系统设置或系统设置的不正当更改实现入侵检测功能。基于主机的入侵检测系统具有检测效率高，分析代价小，分析速度快的特点，能够迅速并准确地定位入侵者，并可以结合操作系统和应用程序的行为特征对入侵进行进一步分析。但在数据提取的实时性、充分性、可靠性方面，基于主机日志的入侵检测系统不如基于网络的入侵检测系统。 另外还有分布式入侵检测、应用层入侵检测、智能的入侵检测等信息安全保障手段可以使用。
3．2内部工作人员信息安全保障
（1） 加强安全意识和安全知识培训，让每个工作人员明白数据信息安全的重要性， 理解保证数据信息安全是所有系统使用者共同的责任。
（2） 加强局域网安全控制策略，使网络按用户权限进行隔离或授权访问。它能控制以下几个方面的权限： 防止用户对目录和文件的误删除，执行修改、查看目录和文件，显示向某个文件写数据，拷贝、删除目录或文件，执行文件，隐含文件，共享，系统属性等。控制哪些用户能够登录到服务器并获取网络资源， 控制用户入网的时间和在哪台工作站入网。用户和用户组被赋予一定的权限， 网络控制用户和用户组可以访问的目录、文件和其他资源， 可以指定用户对这些文件、目录、设备能够执行的操作，权限按照最小化原则进行分配。
（3） 利用桌面管理系统控制操作终端的系统配置、软件合法性、病毒库、防火墙等。若用户使用的终端或系统没有按照要求按照合法软件，则限制用户接入网络。若用户的系统、防火墙、防毒软件未及时更新，则强制用户进行更新操作。使用桌面管理系统可以最大化净化网络环境，避免操作人员的终端引入信息安全隐患。
（4） 启用密码策略， 强制计算机用户设置符合安全要求的密码， 包括设置口令锁定服务器控制台， 以防止非法用户修改。设定服务器登录时间限制、检测非法访问。删除重要信息或破坏数据， 提高系统安全性， 对密码不符合要求的计算机在多次警告后阻断其连网。
4结束语
计算机软件技术的发展使得计算机应用日益广泛与深入，同时也使计算机系统的安全问题日益复杂和突出，各种各样的威胁模式也不断涌现。网络信息安全是一个综合性的课题，涉及技术、管理、使用等许多方面，只有将各种方面的保障策略都结合起来，才能形成一个高效、通用、安全的网络系统。
主要参考文献
［1］ 李淑芳，双娜，等． 网络安全浅析［J］． 科技，2006（2）．
［2］ 林志臣． 计算机网络安全及防范技术［J］． 科技咨询导报，2007（11）．
［3］ 殷伟． 计算机安全与病毒防治［M］． 合肥：安徽科学技术出版社，2004．
［4］ 刘晓辉． 网络安全管理实践（网管天下）［M］． 北京：电子工业出版社，2007．
关键词:医院信息安全系统保障
从信息系统安全的角度来看，信息安全系统包括的许多技术、技巧都是在网络的各个层面上实施的，离开网络，信息系统的安全就失去意义。信息系统的安全包括了安全机制和安全服务两项内容，安全机制可以理解成为提供某些安全服务、利用各种安全技术和技巧，所形成的一个较为完善的结构体系，安全服务就是从网络中各个层次提供给信息应用系统所需要的安全服务支持。随着网络的逐层扩展，安全的内涵也更加丰富，达到了具有认证、权限完整、加密和不可否认五大要素。从目前医院信息系统的发展状况以及对医疗信息系统数据的安全性要求来看，在医院中如何做到从物理、网络、系统主机以及应用层面来确保IT系统中各种信息的保密性、完整性、可用性，提高整体防护能力，规范安全管理流程，保障信息系统的平稳运行，是医院信息系统安全的关键所在。但是从目前医院信息系统的发展状况，资金投人等方面来看实施全面的医院信息安全系统是不现实的。既然实现全面的信息安全系统是不现实的，只有先抓主要矛盾，首先在医院信息系统的关键环节实施信息安全系统，那么医院信息安全系统应该包含哪些关键环节，每个环节又应该采取什么样的策略，先详述如下。
1医院信息安全系统的关键环节
1.1中心机房、服务器、数据库的安全
医院中心机房作为医院信息系统的心脏，安全稳定运行应该包括稳定的电源，专用的空调设备，安全的防雷、防静电措施，灵敏的监控报警系统，安全的防火墙、最新的安全补丁以及规范的机房管理措施。
服务器的安全运行首先应该是建立在机房安全运行的基础上，其次应该是自身软硬件的安全运行，最后应该是防止各种非法的网络入侵。
数据库的安全运行应该建立在服务器安全运行的基础上，不仅仅是数据库软件的安全运行，更重要的是数据库中数据的安全备份、保护与及时恢复等。
1.2网络设备及其连接线路
网络设备中的核心交换机就像人体的供血枢纽，各级交换机就像中转站，连接医院各种信息设备的网线，就像人体通向各个地方的血管，其重要性不言而喻。
1.3终端机器的稳定运行
医院大多数系统采用C/S或B/S结构，各种信息系统的使用主要是在终端机器运行，只有终端机器的稳定运行才可以保证医院信息系统得到充分应用。
1.4应用软件的健壮性
应用软件的健壮性、稳定性也是医院信息系统安全的重要环节，因为所有软硬件都是为应用系统的运行创造条件、搭建环境，如果应用系统本身存在安全问题，其它环节的安全将失去意义。
1.5人的因素
在医院信息系统安全的关键环节中，人的因素是最重要的因素，因为信息系统安全中存在的主要风险应该是人的因素占有很大比例。
2医院信息安全系统关键环节的主要策略
2.1中心机房、服务器、数据库的安全运行策略
医院中心机房应该在温度、湿度、电磁、噪声、防尘、静电和震动等方面做好安全策略，温度波动控制在24士1一2℃之内，相对湿度波动控制在50%士5%RH之内，每升的空气中，大于等于0.5um的颗粒应小于18,000个，换气次数/h>30，中心机房机房与其它房间、走廊间的压差不应小于4.9Pa，与室外静压差不应小于9.8Pa。机房中应具有报警系统，并具备发手机短信报警功能。中心机房应采取双路供电，配有满足要求的UPS设备，做好防雷措施。
定期对服务器进行安全评估、安全加固，是保证服务器正常运行的必要手段，内容至少包括对服务器定期进行硬件检查，操作系统、应用软件的补丁升级，做好系统备份，安装杀毒软件并及时升级病毒库，重要业务服务器要做好双机备份。对于医院互连网业务用服务器要单独放到DMZ区域，并配备IPS，以防止互连网黑客或病毒的攻击，并尽量使得在受到攻击后不影响内部服务器的使用。
对服务器及核心交换机要做好入侵检测、审计、网管等相应的安全系统，以便实时检测核心设备及整个网络的状况，如果出现问题可以及时通过审计系统查到问题的根源。数据库应该做好增量备份、全备份及异地备份，以保证信息系统的数据万无一失。
2.2网络设备及其线路的安全策略
网络设备应该根据设备的重要程度对硬件进行定期的维护检查，软件进行定期升级，网络设备中应该根据业务的具体需要进行安全域的划分，网络设备的连接线路应该具有明确的标志，以便在系统出现问题时可准确及时的定位。
2.3终端机器的安全策略
终端机器由于医院使用者计算机水平的限制，对系统的维护及保护意识比较差，而且终端机器往往又是业务系统的直接运行设备，所以对终端机器的管理显得尤为重要。对终端机器至少应该根据业务的不同将其划分到不同的安全域中，通过网络设备做好访问控制，系统一定要打最新的补丁，安装杀毒软件并及时升级病毒库，因为病毒目前来看仍然是医院信息系统安全的“第一杀手”。另外，终端机器应做好准入控制，防止外来笔记本电脑等移动设备直接进入网络，业务用终端机器最好禁用USB设备。在条件允许的情况下，业务系统和办公系统使用的终端机器最好做到物理隔离。
2.4应用软件的安全性策略
应用软件的安全应从系统级安全、程序资源访问控制安全、功能性安全和数据域安全四个层次去考虑，在医院信息系统中，由于涉及到的业务类型比较多，部门间职能划分差异比较大，因此程序资源访问控制及数据域安全显得尤为重要，程序的授权模型需考虑组织、岗位和用户等各个层面。另外，应用软件在安装使用之前一定要按照软件测试的标准流程进行测试，对软件中身份认证部分的数据一定要进行必要的加密，软件系统中一定要记录软件使用者的具体信息，保留使用痕迹。
2.5人员管理培训策略
医院信息安全系统中人的因素占有很大比重，包括管理水平、技术水平、职业道德等。
医院信息系统的管理水平具有决定性的作用，因为医院信息系统中主要以应用现有计算机技术为主，主要是计算机技术在医院信息系统中的应用，可以说是“三分技术、七分管理”，管理水平将直接决定信息系统的安全性、稳定性。
信息系统发展快、更新快的特点决定了从事信息技术工作的人员必须经常学习，才可以跟上计算机技术的不断更新，所以对于从事信息技术的人员要进行定期的培训，最好能具备专业的信息安全知识，对于业务系统的使用者也要进行定期培训，具备必要的安全知识。
加强信息从业人员的职业道德培训，信息工作人员的职业道德对信息系统的安全具有非常重要的作用，信息系统的安全问题有很大一部分是由于内部人员造成的，很大程度与内部人员的职业道德有直接关系，因此对于信息技术从业人员应该加强企业道德培训。新晨：
【关键词】电子档案；信息安全保障体系；建设
对于电子档案而言，其主要是建立在计算机和网络技术的基础之上，属于相对较新的事物，对档案工作具有极大的推动作用。但是，在实际应用中，鉴于诸多因素的影响，使得其在安全问题上面临挑战，因此，要加强电子档案信息安全保障系统建设。
一、对电子档案信息安全保障体系概念的分析
电子档案的信息安全保障体系，主要是借助一定的安全策略，应用先进和科学的安全技术，实现对电子档案信息的有效防护和监控，保证电子档案信息在整个保存和处理中的安全性，提高并保证档案信息的真实性和完整性，彰显动态的调整功能，主要是由防护、检测、反应和恢复四个环节，实现持续发展的动态过程。
二、全面介绍电子档案信息安全保障体系的组成部分
（一）重视法制标准保障的全面建设。1.注重建立更加专业的电子档案信息安全法律。当前，电子档案信息安全相关法律主要在刑法、档案法中有所体现，但是，缺少专业性的电子档案信息安全法，在一定程度上使得电子档案信息在保护和执行方面力度不够。因此，需要重视安全法规的建设，形成具有针对性的安全保障措施，针对破坏现象，进行相应的处理，同时，强化执法强度，保障电子档案管理能够有法可依，强化执法力度。2.重视完整的电子档案信息安全立法。在档案信息安全立法中，缺乏严谨的结构体系，缺陷比较明显，主要包含相关的公开制度、隐私权法律制度、网络知识产权等。3.形成全面的档案信息安全标准体系。对于档案信息安全标准体系，其发展较晚，属于初级发展时期，缺乏完整性和健全性，因此，要立足基础、技术和管理标准，进行标准体系的建设。在系统运行中，要注重对新型系统的设计、验收、运行和维护，在根本上实现电子档案安全管理的有序进行。
（二）做好基础设施保证建设工作。对于电子档案信息的传递和运行，基础设施建设必不可少，主要是立足硬件系统和运行技术架构，实现对安全信息技术环境的营造。在基础安全架构中，要立足网络安全架构，结合软硬件，实现安全系统的有效部署。在进行架构设计的时候，需要针对功能进行分区，实现对网络功能的明确，设置保护等级，同时，进行信息访问权限的限制。
（三）全面加强组织管理保证建设。1.将先进的管理思想渗透其中。对于电子档案，需要重视前端和全程控制管理思想，立足文件到档案的全周期监控，能够及时发现其中的问题，保证监督的有效性。要重视分级管理，结合文件价值，进行安全管理，强化管理力度。要将风险管理的思想融入其中，进行有效评估，形成对策，降低档案安全风险。2.重视建立权威性的信息安全管理机构。对于档案管理机构，只有保证其权威性，才能提高管理工作的高度。在组织上，需要重视职能的划分，在根本上保证对信息安全管理工作的战略性指导，也能够做好具体工作，形成详细的应对策略。3.重视对基础设施配置的管控。在进行基础设置配置的时候，需要重视对各种参数的考量，保证其根本的稳定性与可靠性，达到安全运行的目的。同时，要重视对地址的选择，保证各方面要求能够达到技术要求。4.设计更具可靠的电子档案安全管理系统。对于电子档案管理而言，信息技术十分关键，需要保证安全性与稳定性。为此，在设计的时候，结合控制的思想，立足档案管理的责任，在根本上满足档案安全功能的需要，尤其是强化权限、监控等功能等。
（四）加强安全技术保障工作。1.将物理安全平台的构件作为重要工作来抓。对于网络电子信息的安全性，物理安全发挥重要的作用，主要针对环境、设备和媒体安全几个方面，有效防护环境的安全性，保证设备稳定性，避免干扰现象，保证数据的安全性。2.加强对电子档案安全管理的网络支持。主要包含传输和业务网络两个部分。其中，传输网络安全能够有效维护电子档案传输的稳定性，有效保证网络服务的可靠性。而对于业务网络安全，主要对病毒的防范、对防火墙的设置以及对网络的监控，实现对档案信息系统业务资源的有效防护。
三、结语
综上，电子档案信息安全保障体系具有系统和综合性，重视法制建设标准，立足基础安全设施，重视整体安全策略和组装，借助先进的安全防范机制，保障档案信息资源的高安全性、高可靠性和高可用性。同时，积极促进档案整体信息化应用水平的全面提高，为信息化建设保驾护航。
【参考文献】
[1]黄昌瑛.电子档案信息安全保障策略研究[D].福建师范大学，2007.
[2]刘俊玲.档案开放利用的信息安全保障研究[D].安徽大学，2012.
