资产安全管理范文1
近年来，我国政府部门陆续出台了一些与农产品质量安全信息管理有关的法律法规。但我们发现，已出台的这些制度主要的是在规范与突发事件有关的信息管控问题，更多涉及的是应急处置，更多是体现在信息管理中，系统地常态化管理农产品质量安全信息的办法措施则不多见。按照管理学中的概念，信息管理，亦即信息资源管理，主要是指对信息内容、信息机构及信息系统的管理。信息资源管理区别于单纯“信息整理”的地方在于将信息视为资源的一种。信息作为资源至少具备稀缺性和增值性两大基本属性。当前社会信息冗余现象严重，但巨大的信息集合中相对高质量、高价值的信息依然处在稀缺状态；另一方面，对于信息的有效整理和科学利用，可以挖掘出信息额外的使用价值。所以，我们认为，农产品质量安全信息资源管理是将农产品质量安全相关的数据信息视作一种资源，进行精心整理、合理配置，并最终有效利用实现增值的过程。具体来说，农产品质量安全信息资源管理，应从其信息生产、搜集整理和传播利用来定义，微观上包括相关信息的获取及有序化存储等；中观包括相关信息的、传播、利用、交流、反馈及信息服务、产品推送等；宏观上包括对农产品质量安全信息机构、信息系统、信息体系队伍及其运行机制的管理。由此可见，农产品质量安全信息资源的管理不仅仅在于信息，还包括诸多的其他信息管理环节，以及信息机构、信息系统、信息队伍及管理机制的构建等；农产品质量安全信息资源的利用也不仅仅在于应急处置，而是涵盖了农产品质量安全生产经营、监督管理、安全消费及科学研究等方方面面的互通和利用。
二、农产品质量安全信息管理的信息内容
确定农产品质量安全信息管理的信息对象内容，是做好农产品质量安全信息科学管理的基础。根据普遍化的信息定义，信息是负熵，由基础数据按一定规则组合而来。农产品从农田到餐桌，可以产生若干信息，作为生产者应该构建或形成哪些信息，以便展现其良好生产行为、产品质量及安全性；监管部门作为一个执法部门，需要提供或获取哪些信息规范生产、监督违法、指导消费、展现监管绩效、接受社会监督、回应社会关切；消费者放心消费应该关注哪些信息，从什么渠道获取自己关心的信息；社会公知专家应该获取什么样的信息以面对媒体、指导消费、科学研究，等等，这些都是农产品质量安全信息管理工作需要解决的问题。从我们的初步研究来看，农产品质量安全信息体系涉及生产者、监管者、销售者和消费者4大主体，农产品质量安全信息涵盖农产品从农田到餐桌的过程中，不同的责任主体在不同环节（产地环境、生产过程、收获、加工、包装、贮藏、运输、销售、消费及监管、科学研究等）存在的与农产品质量安全相关的信息集合。从这4个主体来看，不仅有各自在农产品生产、监管、销售和消费过程中形成的信息，也有各主体自身需要关注的信息。综合各方面的研究，我们将其归纳为生产加工信息、监督管理信息、营销消费信息及安全科技信息等4个大类。生产加工信息是产前－产中－产后进入市场销售之前的整个生产链的有关信息，包括产地环境信息、农业投入品信息、生产过程信息、收获屠宰捕捞信息、产品初加工信息、产地准出及贮藏运输信息等。监督管理信息包括政府监督管理部门的政策法规措施、标准制修订、监督整治、检验检测、认证认可以及执法监督管理情况及其队伍自身能力建设等方面的信息。营销消费信息包括包装标识信息、经营销售信息、市场管理及供求信息、消费者信息等。安全科技信息包括安全生产科学理论技术信息、风险评估信息、科技创新队伍能力建设信息等。这4大类信息包涵的各个信息板块还包括进一步细分的信息单元，在此不予赘述。农产品质量安全的信息管理需要对这些信息实时监测，全面掌控，科学分析，分级利用，才能实现农产品质量安全利益相关方的良性互动，推动农产品质量安全工作的持续健康发展。
三、加强农产品质量安全信息管理及利用的几点建议
利用现代信息化手段服务于我国农产品质量安全监管工作是业界的普遍共识。结合近年来对我国农产品质量安全相关网络舆情信息的跟踪、分析和研究成果，我们认为，加强我国农产品质量信息管理体系构建及利用需要关注以下几方面的问题。
（一）以资源意识对待农产品质量安全信息
在信息社会里，信息是一种资源，更是最活跃，最具创造性、革命性，最核心的生产力。但任何资源只有经过有效获取、科学加工和有序管理，才能成为可利用的资源，才可能对经济社会发展产生巨大的推动作用。我们需要以对待资源的意识对待农产品质量安全信息。农产品质量安全信息也必须经过一系列的搜集分析、深度加工和科学管理，才能形成可供传播利用的信息产品，才能充分有效地发挥信息的潜在价值，促进政府管理者、生产者、经营者和消费者等利益相关方有效地沟通和交流，预判风险隐患，节约监管成本，提高管理成效。如今信息管理已进入大数据时代，农产品质量安全信息管理亦需要直面大数据环境的挑战。信息数量急剧放大，农产品质量安全信息质量日益恶化，大量的无用信息、虚假信息、反复炒作的过期负面信息等充斥各种信息渠道，加之新媒体迅猛发展，信息交流迅速快捷，虚假、负面信息的传播极大地妨碍了社会公众对正确信息、有用信息的吸收利用。所以，在当前情况下强化资源甄别意识对农产品质量安全信息管理是尤为重要的。同其他资源一样，农产品质量安全信息资源也存在分配不均衡等问题。生产者、管理者和消费者等利益相关方各自所掌握的信息存在严重的不对称，信息资源占有者的利益关系如无科学合理的制度协调，信息交流和资源共享就会困难重重。在某种程度上说，农产品质量安全信息管理就是要解决信息资源不对称问题，需要寻找相关方利益平衡点，构建公平合理的农产品质量安全信息生产、消费共享机制，实行科学的信息管理，最大限度地满足社会公众的信息需求。简言之，农产品质量安全信息管理主要体现在研究开发信息资源，提供有效的信息服务；解决资源不对称难题，满足公众的信息需要。
（二）构建全面协调的管理系统
信息管理是对信息资源及其开发利用活动的管理。广义来看，农产品质量安全信息管理的对象主要是信息、信息技术、信息人员及信息资源的开发利用过程等，整个管理过程涉及人员、设备、资金、技术支撑等多方面的组织和协调。我们在顶层设计农产品质量安全信息资源管理的时候，应将其作为一个系统工程来考虑，要有一个长期的制度性安排，必须构建一个持续稳定的农产品质量安全信息管理的长效机制。我国农产品质量安全信息管理工作还处在起步阶段，当前重要的是要着手建立农产品质量安全信息监测搜集、分析系统，要解决涉及农产品质量安全的信息从哪儿来，如何识别、获取以及谁来获取、谁来分析研判及如何分析研判的问题。从上文谈及的4大类信息来看，涉及从生产到消费链条中的诸多环节，各个环节常常又归属于不同的部门，譬如包括纵向的产地环境监测、作物种植、植物保护、畜牧兽医、水产养殖、投入品生产及管理、农技推广、农产品加工、检验检测、贮藏运输、经营销售、食用消费及监督管理、行政执法、认证认可、科学研究及标准制修订等部门，横向的农业、食药、食安、质检、卫生、工信、工商、商务、公安等部门，这就给农产品质量安全信息的获取增加了艰巨性和复杂性，如何做到纵向到底、横向到边，需要有一个统筹协调的制度安排，要有一个专门的信息监测搜集、分析研判的机构队伍体系。尤其是基层农产品质量安全信息获取体系建设值得高度重视，应在各地农业信息中心或农产品质量安全监管站点设置专门的农产品质量安全信息监测搜集部门（岗位）并配备适当的信息获取技术条件，制定有效的管理制度体系。农产品质量安全信息监测搜集及分析研判工作须专人专职，以促进农产品质量安全信息管理实现常态化的信息主动获取、分析、预警及利用，避免被动的应急灭火以及信息失真、失信、失灵、失控的情况出现。
（三）不断强化信息资源的开发和利用
信息利用就是信息产品的使用价值的实现。新媒体时代，信息呈分散化、碎片化和海量化特征。这就需要通过一些技术手段把这些信息筛选出来，构建信息砖块，并按照潜在用户的需求特征、权限范围和政策导向等维度分别形成信息产品，以便交流分享、预警防控。通过一系列分析加工优化，形成信息产品之后，就要构建适当的渠道和模式，比如文献服务、报道服务、检索服务、咨询服务和网络服务等等，开展信息服务，以充分实现农产品质量安全信息产品社会经济效益的最大化。知识经济时代信息产品也是商品。信息产品商品化是发展生产力的条件之一，有利于提高信息产品生产的针对性和效率，能更好地发挥信息商品的效用。一个时期以来，农产品质量安全信息产品被当作民生福利产品、公益性产品免费提供给公众。而农产品质量安全问题关注度很高，信息纷繁复杂，鱼目混杂，很多信息并不被公众所接受。很多免费的信息制作相对粗糙，缺乏科学性，真实程度不高，也很难让公众接受。农产品质量安全信息产品也应该是商品，政府可以购买，普通消费者也可以有偿消费。因而，通过精心制作的信息产品应该有偿服务。农产品质量安全信息产品应适度建立有偿服务体系，向社会提供优质快捷的信息服务，以促进农产品质量安全优质信息产品的可持续生产和充分利用，将其信息转化为现实生产力，为切实提高我国农产品质量安全水平服务。
（四）组建高质量研究团队
农产品质量安全信息管理作为综合性的交叉学科，近年来越来越受到研究人员的重视，国内绕农产品质量安全信息管理的研究与实践工作越来越多。根据CNKI的数据统计结果，农产品质量安全信息管理近年来在我国学术研究界的关注度呈整体上升趋势。其中，2013年与2014年直接相关文献在CNKI中的检出数量分别为146和194，分别较前一年增长了5.80％和32.88％。我国已初步形成了以部级农业科研院所、院校为研究主体的农产品质量安全信息管理研究体系。我们的研究团队多年来持续跟踪关注我国农产品质量安全网络舆情信息，从舆情信息管理的角度对这一方向有所研究。但需要引起注意的一点是，我国当前专门从事农产品质量安全信息研究的创新团队还比较缺乏，尤其是具备理论创新和实践应用能力的优质团队甚为少见。近年来虽然相关主题的研究成果日渐增多，但是从研究成果的科研影响力角度上来看，还不是很显著。在此背景下，要推动我国农产品质量安全信息管理工作的进一步发展，就必须组建专业化的农产品质量安全信息学科团队，加强在信息基础理论与技术方法应用两个层面的科研投入力量，尽快积累形成属于自己的学科边界，聚拢拥有专业化研究才能的创新人才，树立学科领域内的标志性成果。同时，还需要完善农产品质量安全信息管理的“产学研”循环链条，在加强相关研究工作的同时，扩展团队在教学和产业转化中的职能，将研究成果在我国农产品质量安全监管的实际工作中得到应用。
（五）推进农产品质量安全信息依法管理
资产安全管理范文2
1安全生产标准化管理流程分析
1．1管理流程的基本内容
根据《企业安全生产标准化基本规范》（GB／T33000—2016）的要求，企业安全生产标准化管理流程涉及到了企业日常运行和管理的各个方面，包括目标职责、制度管理、教育培训、现场管理、安全风险管控、隐患排查治理、应急管理、事故查处和持续改进八个方面。
1．2管理流程的逻辑关系
目标职责等八个安全生产标准化管理流程不是相互独立的，通过各管理流程之间的关联逻辑关系使企业安全生产各个环节处于良好的生产状态，并持续改进，不断加强企业安全生产标准化和规范化建设。如图1所示，安全生产标准化是一个动态运行的PDCA循环管理流程。首先利用法律法规和安全管理制度指导建立企业的安全生产目标，确保各生产环节符合有关安全生产法律法规和标准规范的要求；利用教育培训为设备设施的运行管理和生产作业安全提供核心支撑，保障生产环节中的人、机、料、法、环处于良好的状态；同时通过安全风险辨识和评价及实时排查和治理隐患，保障生产作业过程的顺利进行；对隐患未闭环整改发展成事故事件，通过应急救援和事故处理进行善后处置；最后对安全生产管理流程的运行成效进行绩效分析，制定优化措施作为下一级循环的依据，实现安全生产标准化的持续改进。
2安全生产标准化的数字化模式
2．1总体架构
安全生产标准化的数字化模式将企业的不同安全要素，包括视频要素、设备要素、人员要素等按照统一方式进行联动，然后根据收集到的安全要素，基于数据挖掘、回归分析、特征提取等数据方法建立预警模型，通过预警模型能够了解各部分的安全生产运行状况，再根据运行状况的变化评估企业的风险程度，对危险情况进行预警或预报，最终实现事中以及事后处理变成事前预警。总体架构如图2所示。1）数据层。该层包括三方面的数据内容，分别是现场监测数据、基础业务数据、基础资源数据库。其中，现场监测数据指的是传感器或视频采集到的数据；基础业务数据指的是安全生产标准化管理流程的文档数据，包括隐患排查和治理等内容；基础资源数据库指的是为生产运行提供数据支撑的数据库，包括人员库、设备设施库、法律法规库等。2）中间层。该层内嵌基于数据挖掘、回归分析、特征提取等数据方法建立的预警模型，包括生产安全预警模型、人员管控预警模型、设备安全管理预警模型、运输安全管理预警模型、安全检查预警模型。利用预警模型大数据采集分析数据层的所有数据信息，了解各部分的安全生产运行状况。3）应用层。该层对接用户层和中间层，根据各预警模型反馈的运行状况变化量评估企业的风险程度，对危险情况进行预警或预报，同时可以为用户提供智能化决策支持。4）用户层。该层直接面向终端用户，根据不同用户权限设置分为管理用户、操作用户和查询用户，用户可通过个人电脑或移动手机进行访问。
2．2预警模型设计
预警模型，包括生产安全预警模型、人员管控预警模型、设备安全管理预警模型、运输安全管理预警模型、安全检查管理预警模型。各预警模型通过传感器或视频采集到的数据、管理流程运行文档数据及基础资源库数据对安全生产运行状况进行提前预测。1）生产安全预警模型。通过应用工业视觉识别技术、自动贴码技术、自动扫码技术、组态编程技术等信息技术将生产车间打造成一个数字化的车间，各个生产线的实时产能、实时产量、设备实时参数、安全预警、实时视频等数字化信息通过展现并进行安全管理，同时按照安全标准化的要求对生产过程进行预警和管控。2）人员管控预警模型。人员是高危生产企业的重要控制因素，通过数字化手段进行人员的管控和预警，实现人员的管理。采用数字化门禁定员系统、企业一卡通两项技术。其中，门禁系统将各个独立车间的实时人数进行实时反馈和定员控制，一卡通系统将各个辅助区域的人数通过道闸、翼闸等各个节点综合反馈到可视化指挥中心，同时启用人员对应不同区域的出入控制机制，极大地提高了企业人员与地域结合的安全管理水平。3）设备安全管理预警模型。设备的管理可以从设备的购入到使用、维修、保养、报废等整个流程进行管控，同时结合设备的实际存放地点以及视频进行设备的综合管理。通过设备统计分析能够清晰明了地查阅设备的期限和寿命、设备的重要性及设备的关键参数，同时进行实时预警，提高了企业对于设备的安全管理水平。4）运输安全管理预警模型。运输管理将企业所有运输车辆的信息，包括运输的货物信息、订单信息、路线信息、驾驶员信息，以及车辆的总体使用情况进行实时展现，方便进行管理。对于车辆超载混装等情况实现实时预警和管理，极大地提高了运输的安全性。5）安全检查预警模型。安全检查可通过安全管理流程，将企业安全标准化通过智能化，信息化的手段进行执行，包括对安全管理的各个环节，如安全检查、安全巡检、安全隐患、安全整改、安全事件等进行管理和统计。通过一卡通技术将安全管理整个流程数字化，落实了安全标准化的执行。
3结论
资产安全管理范文3
保证业务系统正常运行是信息安全的重要因素。部署桌面安全管理系统，实现电源管理、补丁管理、外设控制、资产管理、软件分发和远程支持等服务功能，达到对终端工作站的行为监控、审计和管理，解决存在安全隐患，提升信息安全管理水平和工作效率。
【关键词】
桌面管理；移动储存；软件分发；远程控制
随着计算机技术的飞速发展，医院网络日趋复杂，信息系统多样化，网络信息安全面临诸多问题，如何保障主机安全、应用软件安全、物理环境安全、终端安全成为医院信息化建设的重中之重[1]。但是，由于医院客户端设备数量的不断增加、信息系统的深入应用，使得客户端安全管理面临着更大的挑战。如何最大程度地保障终端设备地正常运行，降低故障发生率，缩短故障处理时间，提升信息安全水平，成为医院信息管理部门所面临的重要挑战。
1、桌面管理中存在安全隐患
客户端任意接入，没有统一的安全策略控制，对医院资产信息采集的统计不全面，远程监控手段不足，用户行为得不到有效的控制等等，存在引发信息安全事件的风险[2]。终端能否正常工作，便成了医院业务能否正常开展的关键因素[3]。同时，终端维护成本高等问题也制约和影响着医院信息化的健康持续发展。
1.1移动存储介质管理混乱
由于移动存储介质得到广泛应用，如果不能有效管理移动存储介质，可能带来以下安全隐患：（1）容易感染木马等病毒，可能导致医院内部工作站操作系统崩溃无法正常使用、破坏数据、电脑很慢、堵塞网络等；（2）内部数据资料被盗，特别是患者隐私信息泄露，存在泄密隐患等等。
1.2资源浪费
下班后，大多数电脑没有及时关闭电源，造成大量的能耗支出。
1.3漏洞补丁无法及时修复
由于没有统一的控制管理平台，手工安装修复效率低下，而且管理员无法知晓具体的修复情况，导致系统漏洞可能得不到及时修复。同时，缺少对补丁修复的测试，有可能导致系统补丁升级组件后，导致业务系统无法正常使用的风险；
1.4资产设备管理混乱
由于资产设备位置分散，需要定期或不定期对客户端的软硬件资产进行统计，管理人员到现场逐台进行手工统计，费时费力，统计不全等问题，极易出现资产丢失风险。
1.5工作效率低下
客户端设备地理位置分散，主要采用人工管理的方式，经常是简单的故障，也需求IT维护人员及时到现场进行操作，费时费力，效率低下。如果使用Windows自带的远程桌面功能，由于其远程连接到终端上时，会注销终端当前用户并锁屏，导致交互性差，终端用户无法直观看到管理员操作。
2、桌面安全管理系统功能简介
2.1电源管理
电源管理功能是指能够建立统一的终端电源管理策略，可根据不同的时间段，设定空闲时关闭监视器、待机、休眠或者关机。
2.2补丁管理
补丁管理不仅仅针对操作系统的补丁，还可以辅助管理包括常用的第三方应用程序的补丁。该功能为了在扫描时不影响工作，能够设定扫描的时间及调整安全扫描时占用的CPU比率。
2.3外设控制
对USB移动存储设备进行权限的控制，分区域设置只读或不能读写；对允许使用的U盘，能够及时记录用户拷贝的文件，记录文件名称、大小、拷贝时间等，便于管理员审计。
2.4资产管理
自动收集终端的软硬件资产，并且能够导出各种资产报表，记录软硬件的变更情况。使用人、部门等逻辑信息也能够收集和物理信息统一展现。
2.5软件分发
通过远程方式同时对多台计算机进行分发软件，支持分发如EXE、MSI各类可执行程序或者Windows脚本。对于需要用户参与的软件包，能够打包成静默方式安装包，简化工作量。
2.6远程支持
在控制台远程维护终端，提供集成的桌面支持工具，包括远程控制、远程对话、远程文件传输、远程执行、远程重启、远程关机、远程桌面画图等等，帮助管理员远程解决问题。
3、桌面安全管理系统在医院信息安全方面应用
3.1有效管理资产
使用资产管理功能，可以有效地管理所有类型的资产，包括固定资产、合同和财务资产等。资产扫描功能可以将客户端中所有的软硬件信息及时的存储在核心数据库中，以网络视图的形式可以清楚地分类管理终端，使管理人员能够清晰地了解当前所有计算机的资产信息，可以方便统计出医院已管理的计算机数量、配置、分布位置等等，弥补固定资产报表的不足，制订软硬件升级计划，充分提高现有设备的利用率提供极为有效的基础信息。因此，通过桌面安全管理系统的应用，可以很好解决以下问题：各科室部门的电脑配置情况、是否满足应用系统升级需求等等。
3.2高效分发软件
医院的信息系统繁多经常需要升级或安装软件，以往就需要信息管理人员到现场逐个安装。但是，利用系统的软件功能，通过桌管自带软件将配置好的软件包统一通过桌管的软件分发功能分发到所有需要安装的客户端中，并静默安装方式完成，这种有策略的同一远程分发，简单而高效，而且能够实施监控软件的安装状态，确保普及率与成功率。同时，能做到当用户在工作岗位调动后相关软件的自动删除或自动安装。
3.3便捷远程管理
以往客户端故障问题，都需要技术人员到现场处理，不管问题是简单还是复杂，由于医院终端工作站分布分散，因此维护麻烦且效率不高。利用桌面安全管理系统的远程管理功能，可以很好解决这个问题。在网络没有故障的情况下，中心控制台可以对所有终端工作站进行远程支持服务，对客户端进行异地操作与硬件检查，技术人员不再需要亲临现场就可以轻松处理，这样既可以极大地提升对故障的响应速度，也方便技术人员进行更快的远程故障查找并及时解决问题。
3.4提升安全管理
USB接口是医院网络的安全隐患。使用桌面安全管理系统的连接管理功能，可以把移动存储设置为只读或加密存储，以防止重要的数据泄漏，同时允许使用USB端口的鼠标、键盘、打印机、扫描仪、特殊医疗设备等，可以禁止使用移动存储设备，甚至一些设备ID的USB打开读或写权限，有效地提高了物理端口的使用，目的是禁止使用外接设备来确保信息安全。安全管理功能可能进行补丁管理，漏洞评估和补丁管理自动化，有效管理信息，以帮助信息管理人员维护应用程序和操作系统的安全性，稳定性和运行性能。通过统一的管理控制平台进行常规客户端漏洞扫描，及时获得客户端安全补丁修复信息，自动识别，评估和下载补丁相关漏洞，快速分发计划为单个客户端或批量客户端安装补丁，并且可以轻松报告修复工作，包括哪些计算机需要特定补丁，已安装在计算机补丁上，需要手动修复计算机，及时采取有效措施确保设备的安全。
3.5更好节能环保
桌面安全管理系统提供了行之有效的电源管理功能，让客户有在保持生产力与消耗能源之间保持完美的平衡。利用电源管理功能，根据需求制定特定电源的配置策略，通过优化的电源策略集中管理电力消耗，在不影响最终用户或执行补丁和系统升级的情况下，使电脑和其他设备进入睡眠模式，最大限度减少不必要的电力消耗，从而过降低能耗。
4总结
桌面安全管理系统简化了医院信息管理人员维护的复杂性，使管理人员从大量重复性工作中解放出来，更专注于核心业务。通过应用桌面安全管理系统，信息安全管理已有明显的提升，信息安全管理系统的实施，为技术支持提供了有效的保护，也改变了维护管理服务模式，加强了管理主动发现和远程维护能力，降低维护和管理成本，提高工作效率和质量。
作者：陈礼团 单位：福建省立医院信息管理中心
参考文献：
［1］王健肃.桌面终端安全管理的应用和探索［J］.金融电子化,2009,17(6):77-78.
资产安全管理范文4
1ISMS与CMMI的对应关系
按照ISMS管理体系的要求，本文整理了CMMI相关条款与之对应的实践域，从软件研发的角度而言，我们把两者之间的对应关系分为需求、设计编码与集成、测试与验收、配置管理与变更、外包管理、风险管理、治理（GOV）和过程资产开发共八个大类，如表1所示。
2基于ISMS要求的CMMI研发流程调整
2.1行动能力域。（1）ISO27000的条款4.2理解相关方的需求和期望和A.14.1.1安全需求分析和规范这两个条款要求识别信息安全管理体系的相关方及他们对信息安全相关的要求（其中包括法律，法规要求和合同义务），在当前CMMI2.0体系的实践域需求开发和管理（RDM）中有挖掘需求的实践要求，需要在需求开发和管理的过程中增加识别信息安全需求的活动，并在输出的模板调研记录和需求规格说明书中增加信息安全的需求章节的描述。（2）ISO27000的条款A.14.2开发和支持过程中的安全要求确保在整个信息系统生命周期中的信息安全设计与实施。在当前CMMI2.0体系的实践域技术解决方案（TS）中的活动中增加安全设计活动，并在输出的模板概要设计、详细设计增加基于信息安全需求进行设计的章节，在开发管理过程中增加安全编码规范和编码过程中对代码进行安全审计。（3）ISO27000的条款A.14.2.7外包开发中要求组织宜管理和监视外包系统开发活动，在当前CMMI2.0体系的实践域供方协定管理（SAM）中有针对供应商和供应商的绩效进行监视和评价，需要增加对供应商的安全管理的监控，对供应商的项目管理过程中的安全性进行监控。（4）ISO27000的条款A.14.2.8系统安全测试、A.14.2.9系统验收测试要求在开发的过程中，必须测试功能的安全性、在建立新系统，升级系统和更新版本时，必须建立验收测试程序和相关标准。在当前CMMI2.0体系的实践域验收和确认（VV）中需要增加独立的安全测试规范与安全测试模板。并输出：安全测试方案，安全测试用例，安全测试报告。（5）ISO27000的条款A.14.3测试数据要求确保测试数据的安全,需要根据数据的保密级别进行相应的处理。如需要保密的数据需要进行脱敏处理。当前CMMI2.0体系的实践域验收和确认（VV）中测试管理规范中增加对测试数据的管理规则。
2.2管理能力域。在ISO27000的条款8.2和8.3条款是针对信息安全的风险进行评估和处理，在A.6.1.5项目管理中的信息安全中特别强调在项目研发过程中要在项目管理中考虑信息安全的风险。在信息安全管理体系中识别风险需要考虑：资产价值，弱点、威胁。资产价值：首先识别资产，软件类别（重要软件、一般软件），处理的数据（绝密，机密、内部数据、公开数据）等。再次识别资产的（完整性，保密性和可用性）来计算出资产价值以识别重要资产。弱点库：例如缺乏软件分发管理机制、缺乏软件开发/采购安全保障机制、程序设计漏洞、缺乏漏洞管理机制威胁：例如蓄意破坏/篡改、非授权访问/使用、数据丢失、操作失误当前CMMI2.0体系要求中，并未对安全风险进行明确要求，为了满足ISMS的审计要求，需要在风险与管理机会实践域中定义流程时，将对安全风险的识别作为必需的选项，并在模板中明确标识需要识别安全相关的风险，修改对应风险评估参数为：资产价值、弱点、威胁以此来计算风险值，其计算公式为：风险值=资产价值×弱点值×威胁值。
2.3实现能力域。ISO27000的条款的A.14.2.3运行平台变更后对应用的技术评审、A.14.2.2系统变更控制规程、A.14.2.4软件包变更的限制要求针对变更管理有流程来进行控制、A.14.2.3运行平台变更后对应用的技术评审都要要求对变更进行影响分析并执行适当的评审。当前CMMI2.0体系的实践域配置管理（CM）要求过程已经明确定义了变更的管理过程和CCB组织的建立。需要特别指明CCB的成员应该包括公司的信息安全管理员，以平衡变更是否会引起信息安全方面的问题。ISO27000的条款A.8.2信息分类、A.9.4.5程序源码的访问控制要求按照不同的信息分类级别来进行文件和源代码的访问管理。当前CMMI2.0体系的实践域配置管理（CM）有目录角色的访谈权限列表，需要增加基于文档的秘级来进行权限列表的分配，以控制未授权的访问。
2.4提高能力域。ISO27000的条款A6.1.2职责分离，要求有冲突的职责和权限应被分开，减少对资产未经授权或无意的修改与误用。当前CMMI2.0体系的实践域治理（GOV）要求过程活动中职责分明，因此在该要求的基础上需要进一步的识别是否有冲突的职责和权限需要特别区分并识别。ISO27000的条款A.14.2.6安全的开发环境和A.12.1.4开发，测试和运行环境的分离：要求应建立并适当保护开发环境安全，并集成涵盖整个系统开发周期的工作，分别建立对应的测试和运行环境。当前CMMI2.0体系的实践域过程资产开发（PAD）中要求组织建立组织级和项目级的标准工作环境，因此需要在标准工作环境中特别分离出标准的安全开发环境、测试环境和运行环境，指导有安全开发的项目来进行环境的建设。
3小结
资产安全管理范文5
1.1终端安全管理问题
在终端使用U盘，尤其是外来U盘等移动介质比较容易把计算机病毒带进内网，终端管理员对移动介质的安全使用无法有效管控。有一些办公计算机非法使用违规软件，安装使用与办公无关的软件，管理员无法对软件的安装过程及软件执行所启动的进程进行控制，对于其他不安全的进程以及服务也没办法加以监控。管理员无法快捷知晓单位到底有多少台联网终端，桌面终端是否已经全部安装公司统一版本的防病毒系统，重要补丁的安装率是否已经达到公司的安全管理要求等。
1.2非法外联问题
虽然每年都进行全员的信息安全知识培训宣传，但是供电企业依然存在有内网终端用户通过拨号或3G上网卡等形式私自接入外部网络的情况。这种情况等于给黑客开了一个后门，黑客极可能通过该主机进而对内部网络的其他主机进行攻击，直接威胁供电企业信息网络的安全性，更为严重的会导致内部资料的泄露，给单位造成无法逆转的严重损失。
1.3IT资产管理问题
对于一个创建国际先进国内领先的电网公司来讲，资产全生命周期管理尤为重要。在信息领域，IT资产的精细化管理将是非常重要的一个组成部分。但是目前IT资产的管理现状是基本上是手工登记资产，资产的变更统计更新不及时，信息管理员不能全面的掌握终端计算机的软硬件资产，对于终端上硬件的变化就无从知晓，可能造成单位硬件资产的流失。
1.4终端维护管理效率问题
供电企业内网终端数量庞大，地点分散，个别营业厅地处偏僻，如某供电局19个供电所分布在各个山区乡镇，离市区距离远，现场维护工作非常麻烦，信息运维人员处理一些简单的问题来回都得花一天时间。本来信息班人手就不足，只有三人，到现场处理一个很小的问题花一天时间，终端维护管理效率非常低，同时也造成人力资源的巨大浪费。
2桌面管理系统架构及管理部署
为了解决以上内网桌面终端安全管理所遇到的几个问题，公司部署上线了统一桌面管理系统。系统主要由安装在各计算机设备上的客户端（Client）软件和安装在管理服务器上的控制端（Server）软件两部分进行功能处理，供电局不同区域部门将终端信息上报，管理人员通过前台浏览器（Browser）访问后台管理信息数据库（Server）对终端设备情况进行管理，包括策略指定，终端违规行为报警日志分析等。首先终端计算机注册北信源桌面安全管理客户端，将终端信息上报给服务器主程序，北信源服务器主程序就是这里说说的区域管理器，区域管理器将终端信息写入管理信息库及（sql数据库）。管理员通过中央管理配置平台（web管理平台）进行信息查询和指令下达。区域管理器通过对指令的分析处理再下达给客户端。本系统可以进行无限制的多级级联部署，各级网络独立安装相应的管理软件。下级管理节点统一汇总本级的报警信息和统计信息，统一上报管理节点；上级管理节点的管理策略、命令。系统将来可根据实际需要在客户端数量、管理层次和功能扩展上进行无缝平滑扩展。供电企业内部通过系统级联，实现对下级地市服务器的管理。一级就是广东电网有限责任公司，下级是19个地市局。级联之后，各地市供电局可以对自己区域进行单独管理，省公司对下级进行统一的部分强制管理及有效的报警信息筛选。这是客户端、服务器、管理配置平台三者之间的一个关系图。
3桌面管理系统实现功能及预计达到的效果
3.1终端安全管理
系统实现对移动介质进行注册管理，只有经过桌面系统注册过的移动存储设备才可以在供电企业内网计算机使用，有效防止U盘病毒感染桌面终端。通过检查和审计注册表，防止未授权用户添加、更改、删除注册表相关内容，审计用户访问注册表的操作，如出现违规注册表项时进行客户端提示或上报，有效防止非法使用违规软件。通过本地注册情况统计，可以清晰地看出本地计算机注册数、安装杀毒软件数量、已打重要补丁台数、杀毒软件覆盖率、重要补丁安装率等重要信息安全考核指标，如达不到公司的要求立刻整改。
3.2非法外联行为监控
系统提供了通过审计报警违规外联事件检索可以实现非法外联告警功能，可以对所有安装了此系统的桌面终端进行实时监控。监视内网中违规网络连接（私自接入3G网卡等）行为，一旦发现内网计算机接入互联网或者其它网络，客户端立即进行本机报警，并对违规行为做出相应的处理，如关机、断网、锁定等，同时上报到中央控制台，为管理员的安全管理提供重要信息。
3.3IT资产管理
桌面终端安装客户端程序注册成功后，客户端程序会自动收集主机CPU、内存、硬盘、网卡MAC地址、主板芯片、主板上的板卡等主要硬件信息并自动上报给服务器端。信息管理人员登录管理平台后通过按区域查询资产信息即可以查看本单位所有内网终端信息，还可以通过硬件变化查询来了解硬件变化情况，并可对其变化报警。这样保证了内网终端硬件设备的有效管理，防止资产流失。
3.4终端远程维护管理
系统提供远程协助功能，此功能是在服务器端对客户端机器进行的“接管”级别的操作。信息运维人员可以通过输入IP地址、计算机名或者用户名查找出需要远程控制的终端，向此终端发送对话框式的消息待对方接受后进行点对点控制。通过这一功能进行终端常见故障的排除和远程解决，大大节省人力物力，有效解决信息运维人员对内网终端维护管理效率低下的问题。
4结束语
资产安全管理范文6
关键词:互联网金融;信息安全风险;综合事件分析平台;防范措施
1引言
企业经营信息对于企业来说是十分重要的东西，对于企业自身的发展具有重要的意义，企业需要妥善进行信息内容的处理，保障信息的安全。近年来企业的发展开始着重于互联网业务的发展，所以，网络方面的风险为企业的信息管理工具增添了更多的挑战。许多的企业已经开始通过各种各样的手段进行制度及安全建设方面的改革，安全工作的重心放也由合规转向信息安全建设和防护上，并且将企业的信息安全管理以及风险控制相连接，以此来稳定企业的平稳发展。
2互联网时代企业所面临的信息安全威胁
2.1传统防护难以抵御新型威胁
金融企业信息安全建设借助于等级保护和相关监管机构工作的推力，企业的信息系统在物理安全、运行安全、安全保密管理等方面取得了一定的成效，具备了一定的防护能力，但是，随着信息技术的飞速发展和广泛应用，信息安全防护已有主动变为被动。现如今随着业务的扩展，信息系统的应用需求在不断增加，涉及各个业务领域，网络规模不断增长，信息系统体系结构更加复杂。但是，由于信息安全的木桶效应，再加上难以控制的技术漏洞和管理不当，必然会导致不可避免的安全攻击和灾难，也就造成信息系统存在高度的脆弱性和风险性。其次，随着信息化的不断推进，信息系统规模不断扩大，组成信息系统的各类硬件、软件、系统，以及各类人员都有可能成为威胁主体，软硬件的后门、漏洞、缺陷，包括对人员的诱惑都是攻击信息系统的常用手段。正是由于攻击源的多样性和防范对象的不确定性导致了传统安全防护手段失效，无法发现和检测新型的威胁和攻击。
2.2技术操作类安全风险
随着业务的持续扩展，企业安全运营所需要的人员成本逐渐提高，当人员配比跟不上企业信息安全发展需要的时候，问题就会很快的暴露出来。人员少任务重经常会出现忽略和误操作的情况出现，比如终端、服务器层面，计算机基本安全保密配置不到位或管理不到位，导致用户可以窃取用户终端所有的文件资料、植入病毒或者木马；安全产品配置不当，不能起到预期的防护效果，误报、漏报情况多见;服务器的防护、监控措施不足，大部分服务器仅仅安装了病毒防护软件，且大量服务器均存在刻录光驱，且安装有刻录软件，对服务器的输入输出没有监控审计技术手段；操作系统基本上都是用国外，服务器大部分为WindowsServer2003(已停止升级服务)、WindowsServer2008，一旦0day漏洞被利用，后果不堪设想。自2014年4月爆出的OpenSSL心脏流血漏洞来看，目前所有使用的网络协议还有多少存在重大安全问题，都是未知数。企业安全管理者没有办法直观的看到当前企业信息安全资产所面临的威胁和整体的虽弱性。这些由技术操作因素导致的潜在信息安全风险是企业内部的毒瘤，一旦被黑客攻破就会造成致命一击。
2.3信息安全管理类安全风险
监管的滞后性同样会给信息安全管理带来严重的风险，信息安全从业者应具备基础的信息安全常识，但随着企业规模的扩大，各类情况时有发生，管理措施的不得当也会带来很严重的风险。如第三方人员权限的控制，进出机房的控制，企业内部人员账号口令及管理权限的控制，安全事件巡检的要求以及安全知识的培训学习等。信息安全管理涉及到较多的流程和制度，同时流程和制度也需要有相应的检查工具和指标进行落地，目前大部分企业还不能够很好的将信息安全管理流程或安全事件处理流程进行有效的落地，往往都会在流程中断节。这也是造成信息安全风险管理失效的重要原因之一。
3金融企业信息安全风险的防范措施与建议
基于金融企业信息安全存在的诸多风险和问题，应从以下几个方面进行加固和改进。
3.1建立综合安全事件分析平台，形成统一监控能力
面对传统防护带来的问题和弊端，企业应建立一套综合的安全事件分析平台，针对各类安全产品、业务数据、信息安全数据进行全面的收集，终结信息孤岛现象。集合现有的安全产品的告警日志，应用系统的审计日志，建立异常行为分析的能力，结合攻击链模型关联分析多个阶段的安全事件，避免单一安全设备产生的误报和漏报，第一时间对安全问题进行实时的分析和告警，并形成趋势和发展态势，直观的呈现出来，让企业安全的领导者第一时间进行决策和判断，有助于提升企业信息安全的整体防护水平。
3.2开展核心资产的脆弱性梳理
加强对内部关键资产的梳理工作，并通过技术手段对资产的漏洞情况、配置情况、安全事件情况、基本属性情况进行综合的分析，以上述四个维度综合分析资产的脆弱性问题，让资产的风险和威胁提前暴露出来，让资产的管理者第一时间知道哪些资产该进行加固，哪些资产正在遭受安全风险，减少人员技术操作的漏洞和误操作问题，加强资产的安全管理，提升企业基础设施的安全加固。
3.3深入开展信息系统的精细化管理
深入开展信息系统的精细化管理，专人负责专项系统的各类安全管理，加强信息安全专项检查，指定信息系统检查和管理的规范，并利用可落地的工具如综合事件管理平台明确检查和分析的步骤和操作，使得信息系统的日常管理呈制度化、流程化、规范化，闭环处理所有信息安全事件，让管理流程和制度有效的落地，提升企业信息安全运维能力。
3.4逐步开展国产自主化应用，提升自主可控力
信息安全不是小问题，安全问题的分析尤为关键，网络设备、硬件设备、操作系统以及安全分析平台应实现自主可控原则，探索自主信息安全分析和保障的产品和体系，提升信息系统的自主可控力。
4结语
金融企业在互联网的作用下发展成为一种新兴的业态形式，金融企业在发展的同时需要保持积极的态度，不断的进行创新，以促进其繁荣发展。同时，也需要对其行业所具有的信息安全风险问题制定相应的监督管理措施，保障其长远的发展。金融企业只有时刻保持信息安全隐患的警惕，才能够获得信息安全管理的主动权，以此来规避金融企业的信息安全风险问题，使其能够更加健康、持续的发展，创造更多的收益。
参考文献
资产安全管理范文7
关键词：信息安全；核电；体系建设
0引言
数字化仪控系统（DCS）是核电厂的信息神经和控制中枢，对保证核电厂安全可靠运行起着至关重要的作用。中国在役核电厂DCS系统的信息安全工作尚处于探索阶段，管理体系亟待完善。技术手段和管理措施没有有效地结合，导致管理和技术脱钩或偏重现象，或技术手段应用过于复杂，或管理手段没有统一遵照执行的标准，尤其在设计阶段几乎未考虑或较少考虑信息安全防护设计。传统的信息安全管理体系架构的设计充分参考和借鉴ISMS（IS027001），技术上参考国际信息安全保障技术框架IATF对信息安全状况进行分析。国内电力企业遵循电力行业信息安全等级测评基本要求、电力监控系统安全防护规定、信息系统风险评估规范等信息安全管理标准和工作实践，采用PDCA的过程模型建设良性循环，持续改进的闭环管理模式，形成一套标准化的安全管理体系［ie］。但传统信息系统与工控系统在生命周期、实时性要求、设备、运行维护等方面都存在较大差异，无法直接照搬照抄信息系统管理体系。针对核电厂DCS系统的信息安全管理体系（以下简称“管理体系”），国内外尚未形成直接可参考借鉴的标准规范。
1信息安全面临的挑战
近年来，核电领域信息安全事件频发，见表1。特别是针对工业控制系统的安全事件数量呈明显上升趋势，并呈现出攻击工具专业化、行为组织化、目的政治化的特点。尤其是2010年6月“震网”病毒攻击伊朗核设施，控制了?30％的纳坦兹设施的计算机，伊朗暂时关闭了核设施和核电厂。为此，中国在工业控制系统信息安全方面也了相关指导文件，如国务院的《关于大力推进信息化发展和切实保障信息安全的若干意见》（国发［2012］23号）；电监信息［2012］62号电力行业信息系统安全等级保护基本要求等？，均对重点领域工业控制系统信息安全的管理提出了意见与要求。
2存在风险及漏洞
经调研，在役核电厂工业控制系统信息安全至少存在以下问题：一是缺乏安全区域划分，区域间未设置访问控制措施；二是缺乏信息安全风险监控，不能及时发现信息安全问题，出现问题后靠人员经验排查，不能及时了解网络状况，一旦发生问题不能及时确定问题所在，及时排查到故障点，排查过程耗费大量人力成本、时间成本；三是信息安全防护缺失，工业控制系统内部缺乏人侵检测能力，无法及时有效发现网络异常行为和异常流量，以及缺乏安全审计能力，无法进行指令级的审计，也无法进行事件的分析溯源；四是管理与技术没有有效衔接，系统运行后，缺少专业技术措施和管理弊端，导致信息安全维护不能及时有效落实，不能及时处理信息安全设备故障及工业控制系统信息安全威胁等；五是缺乏工业控制系统集中管理，对生产控制大区网络中攻击或异常行为的网络流量、网络设备、安全设备、主机设备等工控系统的设备资产、故障报警、日志存储等的信息全面收集与全网态势分析及时发现、集中报告并统一处理的能力；六是信息安全事件的应急管理没有与核事故应急管理有效衔接，应急响应不明确。
3管理体系建立为保证管理体系
建设成体系化标准化的目标，建设过程中制定以下3项研究原则作为准则：①合规性原则，满足合规性要求是开展管理体系标准化建设工作的基本原则之一，也是管理体系建设工作的核心要求。在管理体系化标准建设工作实施的过程中，每一条要求项均有与之对应的国内外相关标准要求相适应，并确保指标成果能够涵盖选取标准中的防护标准。②全面性原则，目前在役核电厂工控系统未考虑或很少考虑信息安全体系化和标准化设计，而工控系统一旦投人运行，很难再考虑信息安全管理与技术防护相结合，往往受制于各种因素（如：是否会影响工控系统的正常工作，是否会引人新的安全隐患等）而无法得到有效落实。因此，在设计、采购、制造、调试、运行等各阶段中全面考虑信息安全全生命周期的需求变得尤为重要。③适用性原则，在管理体系建设初期充分调研核电厂的实际需求，保证整理归纳后的要求与核电的实际生产工作不冲突。.管理体系建设以PDCA循环的过程方法论来保持组织的ISMS体系持续有效运行和GB／T?22080－2016《信息技术安全技术信息安全管理体系要求》思想理念，从4个阶段（准备阶段、调研阶段、建设阶段、落实推广）开展，通过对比分析国内外信息安全领域和核电领域的法律法规、政策、标准等相关文献，提取适用于核电厂DCS系统信息安全管理指标
3.1准备阶段
准备阶段针对国内外核电领域和信息安全领域相关的法律法规、政策标准进行比较分析、关键指标提取，及汇总收集，从中逐条总结提取出信息安全相关要求。为确保项目的适用性，对比分析了选取大量国内外信息安全领域和核电领域的法律法规、政策、标准作为参考依据。由于参考文献的差异性，在该阶段将划分为国内标准体系、监管部门要求、国外核安全标准3个类别：
1）国内标准体系
目前，国内核电厂信息安全标准体系参考的标准可以分为两种。一是信息安全等级保护标准。GB?17859－1999《计算机信息系统安全保护等级划分准则》是计算机信息系统安全等级保护标准体系的基础，根据计算机信息系统的安全技术和安全风险控制的关系，将信息系统安全保护能力由低到高分为5个级别：用户自主保护级、系统审计保护级、安全标记保护级、结构化保护级和访问验证保护级w?；二是信息安全管理体系GB／T?22080－2016给出了信息安全管理体系要求，其主要针对于组织资产进行全方位的建设和保护，指导企业或组织在已有信息安全管理体系的框架或环境下，建立、实施、运行、监视、评审、保持与改进文件化的网络管理体系（ISMS）?［2＇3］。上述两个标准的管理体系偏重于传统信息安全管理体系建设，而无法直接应用于工控系统管理体系的构建。
2）监管部门要求
国家发展改革委和能源局的防护要求中，防护对象是电力监测系统，总体要求是“安全分区、网络专用、横向隔离、纵向认证”这十六字方针，主要侧重点是核电厂监控系统的边界防护。在工信部的工控系统信息安全防护指南中，防护对象是工业控制网络，大部分借鉴了等级保护要求，在边界、网络、计算环境等方面提出了十一条重点防护要求，具体要求包括：安全软件选择与管理、配置和补丁管理、边界安全防护、物理和环境安全防护、身份认证、远程访问安全、安全监测和应急预案演练、资产安全、数据安全、供应链管理和落实责任，提出了大的方针政策和技术措施［8］，而对于工控系统信息安全管理则没有明确细化分工。
3）国外核安全标准
IAEA是国际原子能机构的，属于“技术导则”，内容涉及核设施的计算机安全、网络和其他数字系统，是针对预防偷窃、蓄意破坏及其他恶意行为，专门制定的响应导则Q?IAEA使用了广义的信息概念，单独对核设施的计算机安全提出了要求。IAEA注重要求的体系性和完整性，从安保基本法则层面到建议文件层面，再到导则层面，对信息安全的要求逐层具体化，既包括信息安全，也包括图2风险评估工具应用示意图Fig.2?Schematic?diagram?of?the?application?ofrisk?assessment?tools系统和设备的可靠性，对核电厂尤其是工业控制系统没有详细说明。设计单位所参考的RG?5.71标准，是NRC（美国核监督管理委员会）提供的一套能够满足10CFR73.54?（联邦法规第73.54章第10篇）要求的最佳实践方案。该标准的核心目的是建设能够满足美国联邦法规要求的信息安全防护能力，其防护需求与国内的实际情况存在差异［6？＇并不完全适用于国内核电厂。
3.2调研阶段
调研阶段主要将国内外法规标准进行对比分析后得到的指标要求，按照信息安全防护的基本要求、技术要求、管理要求和应急保障要求几个维度思路开展，同时对在役核电厂管理和技术防护各个工作层面开展调研，按照安全纲要、管理机构、人员管理、规划建设、运行维护几个要点开展全面调研，提取并形成一份适用于核电工控领域标准的信息安全管理体系的指标文件6
3.2.1调研实施
调研的工作方式是通过资料查阅、人员访谈等方式，对在役核电厂当前应用于工业控制系统的信息安全管理措施深人、全面、准确地了解工控安全管理现状，分析总结工控系统管理的特征，评估、修订和编写完善的管理制度，包含管理机构、管理制度、应急响应体系以及技术安全防护现状等。同时开展行业及安全设备厂家的调研，将调研结果用于对核电工控领域安全现状的评估。
3.2.2风险评估
采用FMEA失效模式与后果分析，挖掘工控系统信息安全漏洞，对在役核电厂工控系统进行充分地信息采集，如业务目标、业务特性、管理特性和技术特性等，做为风险评估的依据和方法的选择以及评估内容的实施奠定基础。根据调研信息制定方案，识别关键设备资产并进行资产赋值。参考GB／T?20984－2007《信息安全技术信息安全风险评估规范》的基本原理［5］，对重要资产进行风险评估活动，并识別威胁分类及脆弱性，如图2。
3.3建设阶段
管理体系是建立在文档化基础上，管理体系文件遵从质量管理体系文件规范和要求，体系从上至下分为4个层次，包括总体纲要、管理制度、操作规程、记录表单，如图3、图4。
4落实推广
在落实推广阶段，对于形成适用于核电领域管理体系的标准架构及技术防护措施，能够有效帮助在役核电厂更为切合自身特点和顺利高效地开展信息安全管理体系防护工作，有助于提供整个核电行业的信息安全防护水平，形成如下的特点及实施效果：
1）明确系统边界及分类。通过管理体系的全面建立，实施安全设备有针对性防护的分类管理，大大减少了网络安全风险，有效提升核电厂的经济效益。
2）提出一整套核电厂DCS信息安全评价体系及建设标准。创新性地将技术文档规划与系统设备信息安全等级及措施相匹配，使得各系统有明确的信息安全防护标准可依据。
3）提升应急保障能力。提供信息安全事件的应急资源保障额度、培训和演练要求，增加信息安全事件应急处置工作强度，按照核应急要求执行信息安全事件事后总结和经验反馈等变化，使信息安全事件的应急管理要求能够与核安全应急管理工作相适应，提升电厂核安全管理水平，为公众沟通管理提供了有益的支持。
5结束语
资产安全管理范文8
关键词：信息安全；核电；体系建设
0引言
数字化仪控系统（DCS）是核电厂的信息神经和控制中枢，对保证核电厂安全可靠运行起着至关重要的作用。中国在役核电厂DCS系统的信息安全工作尚处于探索阶段，管理体系亟待完善。技术手段和管理措施没有有效地结合，导致管理和技术脱钩或偏重现象，或技术手段应用过于复杂，或管理手段没有统一遵照执行的标准，尤其在设计阶段几乎未考虑或较少考虑信息安全防护设计。传统的信息安全管理体系架构的设计充分参考和借鉴ISMS（IS027001），技术上参考国际信息安全保障技术框架IATF对信息安全状况进行分析。国内电力企业遵循电力行业信息安全等级测评基本要求、电力监控系统安全防护规定、信息系统风险评估规范等信息安全管理标准和工作实践，采用PDCA的过程模型建设良性循环，持续改进的闭环管理模式，形成一套标准化的安全管理体系［ie］。但传统信息系统与工控系统在生命周期、实时性要求、设备、运行维护等方面都存在较大差异，无法直接照搬照抄信息系统管理体系。针对核电厂DCS系统的信息安全管理体系（以下简称“管理体系”），国内外尚未形成直接可参考借鉴的标准规范。
1信息安全面临的挑战
近年来，核电领域信息安全事件频发，见表1。特别是针对工业控制系统的安全事件数量呈明显上升趋势，并呈现出攻击工具专业化、行为组织化、目的政治化的特点。尤其是2010年6月“震网”病毒攻击伊朗核设施，控制了.30％的纳坦兹设施的计算机，伊朗暂时关闭了核设施和核电厂。为此，中国在工业控制系统信息安全方面也了相关指导文件，如国务院的《关于大力推进信息化发展和切实保障信息安全的若干意见》（国发［2012］23号）；电监信息［2012］62号电力行业信息系统安全等级保护基本要求等？，均对重点领域工业控制系统信息安全的管理提出了意见与要求。
2存在风险及漏洞
经调研，在役核电厂工业控制系统信息安全至少存在以下问题：一是缺乏安全区域划分，区域间未设置访问控制措施；二是缺乏信息安全风险监控，不能及时发现信息安全问题，出现问题后靠人员经验排查，不能及时了解网络状况，一旦发生问题不能及时确定问题所在，及时排查到故障点，排查过程耗费大量人力成本、时间成本；三是信息安全防护缺失，工业控制系统内部缺乏人侵检测能力，无法及时有效发现网络异常行为和异常流量，以及缺乏安全审计能力，无法进行指令级的审计，也无法进行事件的分析溯源；四是管理与技术没有有效衔接，系统运行后，缺少专业技术措施和管理弊端，导致信息安全维护不能及时有效落实，不能及时处理信息安全设备故障及工业控制系统信息安全威胁等；五是缺乏工业控制系统集中管理，对生产控制大区网络中攻击或异常行为的网络流量、网络设备、安全设备、主机设备等工控系统的设备资产、故障报警、日志存储等的信息全面收集与全网态势分析及时发现、集中报告并统一处理的能力；六是信息安全事件的应急管理没有与核事故应急管理有效衔接，应急响应不明确。
3管理体系建立
为保证管理体系建设成体系化标准化的目标，建设过程中制定以下3项研究原则作为准则：①合规性原则，满足合规性要求是开展管理体系标准化建设工作的基本原则之一，也是管理体系建设工作的核心要求。在管理体系化标准建设工作实施的过程中，每一条要求项均有与之对应的国内外相关标准要求相适应，并确保指标成果能够涵盖选取标准中的防护标准。②全面性原则，目前在役核电厂工控系统未考虑或很少考虑信息安全体系化和标准化设计，而工控系统一旦投人运行，很难再考虑信息安全管理与技术防护相结合，往往受制于各种因素（如：是否会影响工控系统的正常工作，是否会引人新的安全隐患等）而无法得到有效落实。因此，在设计、采购、制造、调试、运行等各阶段中全面考虑信息安全全生命周期的需求变得尤为重要。③适用性原则，在管理体系建设初期充分调研核电厂的实际需求，保证整理归纳后的要求与核电的实际生产工作不冲突。.管理体系建设以PDCA循环的过程方法论来保持组织的ISMS体系持续有效运行和GB／T.22080－2016《信息技术安全技术信息安全管理体系要求》思想理念，从4个阶段（准备阶段、调研阶段、建设阶段、落实推广）开展，通过对比分析国内外信息安全领域和核电领域的法律法规、政策、标准等相关文献，提取适用于核电厂DCS系统信息安全管理指标，如图U
3.1准备阶段
准备阶段针对国内外核电领域和信息安全领域相关的法律法规、政策标准进行比较分析、关键指标提取，及汇总收集，从中逐条总结提取出信息安全相关要求。为确保项目的适用性，对比分析了选取大量国内外信息安全领域和核电领域的法律法规、政策、标准作为参考依据。由于参考文献的差异性，在该阶段将划分为国内标准体系、监管部门要求、国外核安全标准3个类别：
1.）国内标准体系
目前，国内核电厂信息安全标准体系参考的标准可以分为两种。一是信息安全等级保护标准。GB.17859－1999《计算机信息系统安全保护等级划分准则》是计算机信息系统安全等级保护标准体系的基础，根据计算机信息系统的安全技术和安全风险控制的关系，将信息系统安全保护能力由低到高分为5个级别：用户自主保护级、系统审计保护级、安全标记保护级、结构化保护级和访问验证保护级w.；二是信息安全管理体系GB／T.22080－2016给出了信息安全管理体系要求，其主要针对于组织资产进行全方位的建设和保护，指导企业或组织在已有信息安全管理体系的框架或环境下，建立、实施、运行、监视、评审、保持与改进文件化的网络管理体系（ISMS）.［2＇3］。上述两个标准的管理体系偏重于传统信息安全管理体系建设，而无法直接应用于工控系统管理体系的构建。
2）监管部门要求
国家发展改革委和能源局的防护要求中，防护对象是电力监测系统，总体要求是“安全分区、网络专用、横向隔离、纵向认证”这十六字方针，主要侧重点是核电厂监控系统的边界防护。在工信部的工控系统信息安全防护指南中，防护对象是工业控制网络，大部分借鉴了等级保护要求，在边界、网络、计算环境等方面提出了十一条重点防护要求，具体要求包括：安全软件选择与管理、配置和补丁管理、边界安全防护、物理和环境安全防护、身份认证、远程访问安全、安全监测和应急预案演练、资产安全、数据安全、供应链管理和落实责任，提出了大的方针政策和技术措施［8］，而对于工控系统信息安全管理则没有明确细化分工。
3）国外核安全标准
IAEA是国际原子能机构的，属于“技术导则”，内容涉及核设施的计算机安全、网络和其他数字系统，是针对预防偷窃、蓄意破坏及其他恶意行为，专门制定的响应导则Q.IAEA使用了广义的信息概念，单独对核设施的计算机安全提出了要求。IAEA注重要求的体系性和完整性，从安保基本法则层面到建议文件层面，再到导则层面，对信息安全的要求逐层具体化，既包括信息安全，也包括图2风险评估工具应用示意图Fig.2.Schematic.diagram.of.the.application.ofrisk.assessment.tools系统和设备的可靠性，对核电厂尤其是工业控制系统没有详细说明。设计单位所参考的RG.5.71标准，是NRC（美国核监督管理委员会）提供的一套能够满足10CFR73.54.（联邦法规第73.54章第10篇）要求的最佳实践方案。该标准的核心目的是建设能够满足美国联邦法规要求的信息安全防护能力，其防护需求与国内的实际情况存在差异［6？＇并不完全适用于国内核电厂。
3.2调研阶段调研阶段
主要将国内外法规标准进行对比分析后得到的指标要求，按照信息安全防护的基本要求、技术要求、管理要求和应急保障要求几个维度思路开展，同时对在役核电厂管理和技术防护各个工作层面开展调研，按照安全纲要、管理机构、人员管理、规划建设、运行维护几个要点开展全面调研，提取并形成一份适用于核电工控领域标准的信息安全管理体系的指标文件6
3.2.1调研实施
调研的工作方式是通过资料查阅、人员访谈等方式，对在役核电厂当前应用于工业控制系统的信息安全管理措施深人、全面、准确地了解工控安全管理现状，分析总结工控系统管理的特征，评估、修订和编写完善的管理制度，包含管理机构、管理制度、应急响应体系以及技术安全防护现状等。同时开展行业及安全设备厂家的调研，将调研结果用于对核电工控领域安全现状的评估。
3.2.2风险评估
采用FMEA失效模式与后果分析，挖掘工控系统信息安全漏洞，对在役核电厂工控系统进行充分地信息采集，如业务目标、业务特性、管理特性和技术特性等，做为风险评估的依据和方法的选择以及评估内容的实施奠定基础。根据调研信息制定方案，识别关键设备资产并进行资产赋值。参考GB／T.20984－2007《信息安全技术信息安全风险评估规范》的基本原理［5］，对重要资产进行风险评估活动，并识別威胁分类及脆弱性，如图2。
3.3建设阶段
管理体系是建立在文档化基础上，管理体系文件遵从质量管理体系文件规范和要求，体系从上至下分为4个层次，包括总体纲要、管理制度、操作规程、记录表单，如图3、图4。
4落实推广
在落实推广阶段，对于形成适用于核电领域管理体系的标准架构及技术防护措施，能够有效帮助在役核电厂更为切合自身特点和顺利高效地开展信息安全管理体系防护工作，有助于提供整个核电行业的信息安全防护水平，形成如下的特点及实施效果：
1）明确系统边界及分类。通过管理体系的全面建立，实施安全设备有针对性防护的分类管理，大大减少了网络安全风险，有效提升核电厂的经济效益。
2）提出一整套核电厂DCS信息安全评价体系及建设标准。创新性地将技术文档规划与系统设备信息安全等级及措施相匹配，使得各系统有明确的信息安全防护标准可依据。
3）提升应急保障能力。提供信息安全事件的应急资源保障额度、培训和演练要求，增加信息安全事件应急处置工作强度，按照核应急要求执行信息安全事件事后总结和经验反馈等变化，使信息安全事件的应急管理要求能够与核安全应急管理工作相适应，提升电厂核安全管理水平，为公众沟通管理提供了有益的支持。
5结束语
