0 引言

随着电力企业通信技术的发展，企业对信息系统的依赖性越来越高。由于计算机网络的特殊性，导致企业接入网络后存在很多潜在的威胁。网络信息安全已成为企业信息安全管理首先解决的关键性问题。本文主要分析乌审旗供电有限责任公司信息网络安全存在的问题，并提出相应的对策。

随着计算机与网络技术的不断发展，乌审旗供电有限责任公司的生产指挥、经营管理等活动已基本融入了计算机信息系统。先进的网络技术在带来便利与效率的同时，也为公司的信息安全带来了新的风险和问题。如果公司的信息系统遭到非法入侵，生产、营销数据被拷贝、删除、破坏等，则会对公司安全、生产运行及经济效益等造成巨大损失。

信息网络的安全隐患来自很多方面，根据其性质可归结为以下几个方面。

网络联通的目的是为了信息传递更加便捷。乌审旗供电有限责任公司上线运行的应用系统较多，如一体化管理信息系统、银电联网系统、小型作业现场管控系统、集抄采集系统、短信发送等，所有数据都需要通过互联网对内部网络进行采集、传递，需要互联网的接入；为了便于职工收集获取信息、发送给电子邮件等，也需要互联网的接入。为此内蒙古电力（集团）有限责任公司开通了互联网宽带业务，以保障企业管理跟得上信息化发展的步伐。但互联网的用户多而杂，从而导致它不易管理。内部网或互联网上的一些用户出于好奇心理或蓄意破坏，可能会对企业接入互联网的系统和设备进行攻击、入侵、传播病毒等。

计算机病毒是一种在计算机的操作系统运行过程中能够在用户未允许的情况下实现传染和侵害原有系统功能的程序，程序的行为类似病毒，其威胁十分广泛。在乌审旗供电有限责任公司的计算机信息安全问题中，计算机病毒是频发率高、影响面宽、损害严重的一个影响因素。在目前局域网逐渐与互联网联通的条件下，计算机病毒传播速度更为快速，1台计算机感染病毒，两三天内可以使其所在区域的计算机系统都受到感染。计算机病毒的传播速度和破坏规模与网络尚未联通时相比高出很多倍，且造成的破坏和损失在所有的安全威胁中位居首位。

信息泄露是指受保护的信息被以非法的手段泄露或透露给某个非授权的单位或个人，如企业内部所发文件、报道、新闻等被外部人员随意浏览与转发。信息泄露主要通过U盘、移动硬盘、QQ聊天等手段实现。

旁路控制是指利用操作系统的漏洞或下载软件捆绑木马、病毒等一系列手段来攻击、入侵、控制在安全方面存在隐患、缺陷的计算机，从而获得非授权的特权或权利，随意浏览、删除、更改系统内容。

授权侵犯是指被授权人出于某些目的将此权转移给非授权人员使用，或非授权人在他人不知晓的情况下，利用授权操作系统访问非授权资源（也被称为“内部攻击”）。授权侵犯通过盗用或破解其他用户密码等手段来实现。

网络信息安全管理涉及许多不同的信息领域，如接入网络、计算机设备、应用系统、开发平台等，它是将计算机软件与硬件相结合，来保护内部系统的一个动态的管理过程。对于将局域网数据接入外网的企业来说，来自信息安全方面的风险与威胁是没有终止的，因此必须摒弃以往的旧观念，认为信息安全不是安全的想法，从规划、设计、管理、技术、人员等多方面入手，使网络信息安全从设计到施工、管理、人员应用形成一个动态的管理过程。

内蒙古电力（集团）有限责任公司内部网络联通电力系统内的所有二级单位，各单位的局域网已全部完善，这为各个旗县供电公司的信息安全管理部门提供了良好的环境。相应地，必须要建立一个坚强的计算机网络信息安全防护体系。

针对面临的信息安全隐患，乌审旗供电有限责任公司结合自身的实际情况，提出保护信息网络安全应从保护内外网络安全、保护系统侧安全、应用安全3个方面入手，各个方面都要考虑周全：在外网侧加装防火墙、防毒墙等；在内网侧加装桌面管理服务、防毒墙等防范措施；在应用服务侧加装动态认证系统，以动态密码形式强化服务器口令强度。通过以上3种形式来保证系统的物理安全及内部信息的安全。乌审旗供电有限责任公司网络安全防护体系见图 1所示。

图 1

图 1 乌审旗供电有限责任公司网络安全防护体系楼层交换

3.1 外网侧网络安全的保护

由于互联网的接入，给企业信息网络安全带来更高的要求。本文结合乌审旗供电有限责任公司实际情况，内网与互联网采用硬件与软件相结合方式进行防护。在外网接入路由器的情况下，加装防火墙、防毒墙、上网行为管理软件；在外网接入路由器的情况下加装防毒墙与桌面管理服务器^{[1, 2]}。

硬件采用防火墙、防毒墙技术：防火墙在内部互联网络与各类不安全的外部网络之间设置阻碍信息传输的障碍，阻止外界无关人员对内部各类资源的非法访问及内部人员对外部不安全网络的访问。安全防火墙能够在有非法访问时有效防止黑客入侵、利用不安全的内部网络服务对内部网络进行非法攻击，并且能够实现管理人员对内部网络数据流的监控、非法网址过滤及监督各类记录和报告功能，能够较好地阻隔内部互联网络与外部互联网络的相互连接。利用防毒墙“多协议关联分级”技术及可见、可定位、可处理方式进行监控，将管理员在网络中的可疑活动、智能行为分析和代码比对转化为详细的处理措施并进行落实，解决网络中已知、未知威胁，找到威胁感染源头，避免二次传播，构建企业网络安全预警系统^[3]。

软件方面采用主动防御系统、上网行为管理软件及桌面管理系统相结合，主动防御系统软件用于预防与清除计算机网络病毒，基本上可以防治绝大多数计算机病毒。上网行为管理软件监测并记录一切活动，并按企业要求阻断相应的行为，如购物网站、网络游戏等，可有效防止SQL注入、XSS跨站脚本、CSRF跨站请求伪造等，避免敏感信息泄漏。桌面管理系统自动监测上网行为，自动监测、下载客户端补丁，对已注册终端计算机进行健康检查，只有符合安全检查策略方可接入网络（如是否安装运行规定的杀毒软件、病毒库是否更新，是否安装指定的补丁程序等）^[4]。

保护系统的安全是指从企业的各个角度进行系统安全防护。保护系统的安全与网络系统的各类硬件、软件的平台，各类操作系统及各种系统需要的应用软件互相关联，一般采用技术与管理相结合的方式，使系统具有最小穿透风险性^[5]。操作系统方面，在应用服务器操作系统上采用更安全的UNIX操作系统，且对所有接入数据的来源必须进行审核、核对，对使用系统的用户必须进行培训及严格的安全管理，每日记录系统日志，以方便有意外情况时检测并跟踪入侵系统攻击等现象。系统软件方面采取系统设计初期保护与系统应用期保护，在这些系统设计初期，向程序设计方提出数据加密设计，在系统应用期安装动态认真系统，采用时间同步技术，将所有服务器密码由传统的静态密码更换为动态密码，每分钟更换一次密码，由于每次计算时参数的随机性保证了每次密码的不可预测性，从而在最基本的密码认证这一环节保证了系统的安全性，避免因口令欺诈而导致的重大损失，防止恶意入侵者或人为破坏^[6]。

信息系统的安全最终落实，最基础的是人的因素，人往往是信息系统中最薄弱也最关键的因素。应该清醒认识到，如果人在日常工作中不注意使用、不注重信息网络安全，再好的硬件或软件都不可能将信息网络上的安全全部屏蔽、阻止。因此企业应该加强人员的信息网络安全培训，使之正确使用移动存储设备、杀毒软件及日常系统清理；建立、健全企业信息安全管理制度、标准，对信息网络安全进行明确的规定；建立信息安全工作领导小组等，使信息安全深入人心，实现人人懂信息安全、以人管信息安全的目标。

完全绝对的信息网络安全是不存在的。任何网络、系统、软件硬件均存在不同程度的漏洞和风险，这种漏洞和风险是可以接受的。乌审旗供电有限责任公司信息安全系统上线运行后，通过对内外网传输的防护、对客户端的实时监控监测、对应用系统及服务器管理等一系列手段，到目前为止没有发生一起因网络安全引发的事故，有效保障了信息网络的安全稳定运行，做到了网络信息可控、再控，确保发生网络信息突发事件时，能够在第一时间把风险、损失降到最低。

信息网络安全是一个长期的动态过程，需要管理人员随时掌握最新信息网络安全隐患，定期对信息网络安全状况进行检查、评估并进行相应的方案、安全策略调整。信息安全已成为企业的热点课题，变得至关重要。目前乌审旗供电有限责任公司在信息安全技术方面的起点还较低，应当充分认识信息安全在网络信息时代的重要性和迫切性，在当前的形势下，要不断提高信息安全的防范意识，加强信息安全培训、病毒防治，规范日常操作，不断完善企业的信息安全管理。