1企业信息化安全现状
当前，企业信息安全尚在起步阶段，发展不够成熟健全，还有更多需要解决的问题。随着网络技术的发展，经济信息量的大幅度上涨，处理信息必须依靠计算机才能完成，但计算机存在一定的弱点，例如计算机病毒、人员素质低下、黑客入侵等因素，以及移动4G、WIFI互联等多边界企业网络环境下，由于内外部网络是直接连接，其互通性和网络访问无限制性易形成黑客或恶意份子入侵的切入口，若是没有设置任何的网络边界安全机制，将造成企业信息受到潜在的安全威胁。企业要想持续发展，信息安全是基本保障。企业信息化程度越高，企业数据也就越安全。企业发展的基础即信息安全，企业管理者要正确认识信息安全工作的长期性和紧迫性。从保护企业利益，促进经济发展，保证企业稳定与安全的角度来看，只有做好基础性工作和设施建设，建立信息安全保障，以及建设安全健康的网络环境，才能有助于信息化安全建设。其实不管科技如何发达，技术如何高超，都是人类智慧的结晶体，所以信息安全已无法离开人类。不少企业信息被泄露，多是人为因素导致，员工滥用企业信息将会给企业带来极大的损失。
2企业信息化安全建设
当今社会已经步入信息知识经济时代，信息对企业良性长久的发展尤为关键，但目前企业信息系统安全问题无疑是企业发展阶段所面临的重点难点。所谓的企业信息安全就是对企业信息资产采取保护措施，使其不受恶意或偶然侵犯而被破坏、篡改及泄露，确保信息系统可靠正常并连续的运行，最小化安全事件对业务的影响，实现业务运行的连续性。因此笔者认为以下几方面是关键。
2.1做好网络保护
其实要保证外网安全需要企业加大硬件设备的投入，信息安全产品在网络经济发展下正面临着新的挑战，传统防火墙、信息加密、防病毒等已无法有效的抵御外部入侵；同时由于内部操作不当，导致内网感染病毒造成信息泄露的现状也是信息安全的焦点问题。针对以上情况，建立事前有效防御，事后追究机制是企业信息化安全建设的当务之急。根据现代企业的特点，笔者认为从下面这几点入手，有助于保护网络的安全：
（1）身份认证技术。
企业内网操作时，可采用身份认证技术，借助PKI、PKM等工具，控制网络应用程序的访问，以及进行身份认证，实现有效资源合法应用和访问的目的。
（2）审计跟踪技术。
通过审计跟踪技术监控和审计网络，控制外设备如MSN、QQ、端口、打印、光驱、软驱等，从而实现禁止使用指定程序，并促进员工操作行为及日志审计规范的目的。
（3）企业还应组建自身网络拓扑结构。
利用严格密钥机制和加密算法，有机的结合加密、认证、授权、审计等功能，保护最底层不同密集评定和授权方式的核心数据，而非限制应用网络和控制网络，进而真正实现合理保护，确保企业信息数据资源的安全。
2.2安全边界的界定和管理
安全边界的界定通过分析现有网络边界安全的需求，笔者认为有几方面：首先，内部网段。即企业网内网，是防火墙的重点保护对象，安全级别和授信级别更高，主要承载对象是企业所有人员的计算机。其次，外部网段。即边界路由器以外的网络，比如移动4G、WIFI互联等多边界网络，安全级别和授信级别最低，是企业信息数据泄露最大的安全隐患，需要严格禁止或控制。最后，DMZ网段。即对外服务器，安全级别和授信级别介于内外网络之间，其资源运行外部网络访问。
（1）由于外部用户访问DMZ区域中服务器的方式较为特殊，在系统默认情况下是不被允许的。
可实际应用中是需要外部用户对其进行访问，所以防火墙上必须增加相应允许外部用户访问DMZ区域的访问控制列表，通过对列表的控制允许用户行为，并对进行很好的监控管理，保证企业信息的安全性。
（2）内部用户对外部网络以及DMZ区域中服务器的访问。
按照ASA自适应安全算法，在系统默认情况下是允许高安全等级接口流向低安全等级接口流量的，外部网络安全级别远没企业内部网络安全级别高，所以在默认情况下这种访问方式是被允许的，不过实际应用过程中，需要限制对外访问流量。
（3）外部用户对内部网络的访问。
在系统默认情况下这种情况是不被允许的，是对外部用户非法访问的有效抵御，能有效的保证企业信息的安全，促进企业信息化的安全建设。
2.3强化系统管理
由于任何安全软件都有被攻击或破解的可能性，单纯依靠软件技术来保障企业信息安全是不现实的，只有强化企业内部信息系统的管理才行之有效。所以，企业内部信息管理体制要完善，尽可能促进管理系统规范性和可靠性的提高，才能为企业内部信息的安全提供更高保障。同时，要进行安全风险评估工作。因为各个信息系统使用的都是不同的技术手段和组成方式，其自身优势及安全漏洞也具有较大的差异，由此在选择企业所需的信息系统时，一定要先做各个系统的安全风险评估工作，信息安全系统的选择要针对企业自身特点，降低信息安全问题出现的概率。最后，就是加强系统管理。在实际生活中信息窃取和系统攻击大多是在网络上完成的，企业必须要强化网络管理工作，以便促进企业的运行更安全政策。
2.4加强企业信息安全管理团队建设
当前，企业信息安全体系的建设中已完全渗透“七分管理，三分技术”的意识，强化企业员工信息安全知识培训，制定完善合理的信息安全管理制度，是企业信息安全建设顺利实施的关键保障。企业信息安全建设时要另立专门管理信息安全的部门，负责企业内部的信息安全防护工作，加强对企业内部计算机网络系统的维护及常规检查。企业信息安全管理团队的职责主要包括：工作人员安全操作规范、工作人员守则以及管理制度的制定，再交由上级主管部门审批后监督制度规范的执行；定期组织安全运行和信息网络建设的检查监测，掌握公司全面的第一手安全资料，根据资料研究相关的安全对策和措施；负责常规的信息网络安全管理维护工作；定期制订安全工作总结，且要接受国家相关信息安全职能部门对信息安全的工作指导。
2.5入侵检测系统（IDS）与入侵防护系统（IPS）
IDS即入侵检测系统能够弥补防火墙的缺陷，能实时的提供给网络安全入侵检测，并采取一定的防护手段保护网络。良好的入侵检测系统不但可有助于系统管理员随时了解网络系统的变更，还能提高可靠的网络安全策略制订依据。因此，入侵检测系统的管理应配置简单，随时根据系统构造、网络规模、安全需求改变。IDS必须布置在能够监控局域网和Internet之间所有流量的地方，才能第一时间检测到入侵时，做出及时的响应，比如记录时间、切断网络连接等。
3总结
目前，我国社会经济发展速度很快，推动着企业的飞速发展，而企业的健康发展离不开信息化建设。但在信息化建设发展进步的背景下，信息安全问题是企业需要高度重视的重要问题。信息安全问题包括企业内部机密信息，是企业生存发展的关键，因此企业要快速健康的发展，必须加大对网络的管理力度，强化对信息系统的管理，加强信息安全系统的建设，界定并管理安全边界，通过全面的管理实现企业信息化的安全建设。当然企业信息化安全建设并非单一技术问题，而是整个信息系统的建立，以及整个系统在投入运行之后的日常维护和升级，针对企业而言信息化安全建设将是一项长久而艰巨的重要任务。
作者：杜爱丽 张茅 单位：中国农业机械化科学研究院
