张伯宁

（河北省应急管理科学研究院，河北 石家庄 050000）

1 信息系统管理和信息安全建设的重要性

中国网络安全和信息化迈入了全新的时代，随着我国新一代信息技术的不断发展，通信网络、物联网、三网融合、高性能集成电路和云计算等技术不断创新，做好信息系统管理与信息安全工作成为适应社会发展态势的迫切需要新信息技术的发展与创新对人们的生产生活方式和思想观念都产生了巨大影响，也为我国的信息化发展带来了新的机遇。

计算机网络是在软件的支持下，通过硬件系统连接若干台计算机组成通信网络，计算机网络的目的在于资源和信息的共享，必须保证计算机网络处在安全的环境中并为资源的交换和共享提供保障。信息化和网络安全建设是为贯彻国家决策部署、各级政府机关信息化工作要求的迫切需要。党和国家高度重视网络与信息安全工作，并于2014年2月27日成立了中央网络安全和信息化领导小组。2018年3月，中央网络安全和信息化领导小组改组为中国共产党中央网络安全和信息化委员会。习近平总书记亲自担任组长，在领导小组第一次会议上就提出“没有网络安全就没有国家安全，没有信息化就没有现代化”的战略论断。为了保证网络安全，捍卫国家网络主权，确保社会经济健康发展，国家在不断完善网络安全方面的法律法规。

2016年11月7日，《中华人民共和国网络安全法》发布，共七章七十九条，对网络运行安全、网络信息安全都做了明确的规定，该法案有效填补了网络安全领域的空白，加强了网络监测预警与应急处置建设，完善了网络安全标准体系。

2017年6月1日，《中华人民共和国网络安全法》施行。国家网信办网络安全协调局负责人就相关问题回答记者提问，针对会制造贸易壁垒的担忧，负责人明确表示：“制定和实施《网络安全法》，不是为限制国外企业、技术、产品进入中国市场，不是为限制数据依法有序自由流动。各单位应该根据国家大政方针指示，把思想和行动统一到一系列相关决策部署上来，推动我国信息系统管理与信息安全工作迈上新台阶。”

对于信息技术发展出现的信息系统和信息安全问题，国家制定的法律法规起到了关键作用，真正做到了有法可依，规范了网络使用行为，维护了信息安全。基于以上方面，更应加快推进系统管理与信息安全工作，进一步加强和做好信息系统管理和网络安全研究工作。

2 信息系统管理与网络信息安全保障

2.1 不断完善信息系统管理体系

做好信息系统管理工作是社会各界加快推动产业信息化、率先实现信息现代化的重要任务。对于信息系统管理安全，需要注重4个方面内容。

（1）增强信息系统管理意识。信息系统管理工作既是信息管理部门必要的工作任务，也是统揽一切信息工作的中心和重心。当前，国家信息化发展已经进入新时期，各级系统管理人员必须清醒地认识到当前面临的新形势、新问题和新挑战，切实提高思想认识，尤其管理层更要提高认识，围绕信息系统管理工作，积极、主动地抓好具体工作落实。

（2）加强组织保障。严格按照相关管理规定要求，领导层充分发挥后盾作用，为信息系统管理工作创造有利条件。上级部门定期听取信息管理部门工作汇报，认真研究解决信息管理部门过程中遇到的问题，抓好信息管理工作，确保信息管理工作正常有序进行。

（3）加强系统管理人员培训工作[1-2]，提高信息系统管理人员管理水平。制定培训管理制度，定期组织管理人员进行业务培训，通过学习安全保障案例和新信息系统安全技术，不断提高系统管理人员运维水平。

（4）要强化责任追究。建立工作考核和责任追究机制，将信息管理工作作为单位年度考核内容，对信息管理工作不力、工作出现失误的，由主管领导对负责部门进行约谈，情节严重的要给予严肃问责，取消责任人及所在部门评先评优资格。

2.2 发展信息网络数据安全保障体系

发展信息化，就必须重视信息网络和数据安全建设，因为安全是信息化发展的前提和保障。各单位应该协同高等院校、社会力量，共同推进信息系统管理与信息安全建设。目前，信息网络数据安全危险主要来自以下3个方面。

首先，外部攻击造成的网络服务瘫痪与信息窃取，这也是各类信息系统所面临的共性问题。面对该问题需要充分利用防火墙安全技术，用于阻止外部攻击和恶意入侵等行为，在网络数据边界建立一道隔绝屏障，起到保护数据的目的。

其次，计算机病毒感染威胁而使系统陷入瘫痪或崩溃。计算机病毒对于信息系统和数据安全都产生了巨大威胁，通过安装杀毒软件，可以解决计算机通过各种途径感染的计算机病毒，但以前的杀毒软件存在共性，登录软件后需通过互联网下载病毒库后计算机才能自行查杀。随着信息技术发展，世界每小时都可以产生出几万个新型计算机病毒，依托于旧杀毒模式已不能满足于信息技术发展的需要，所以需要依托于“云计算”等新技术发展“云安全”。

最后，人为泄露和窃取信息数据的情况，可以造成数据外泄和财产损失。传统的安全防范措施已难以应对该问题，再复杂的技术防御手段，也难以防止机密信息被人为从内部窃取和转移。所以，还需要国家在法律层面，公司单位在安全规章制度层面完善制度，建立管理机构，设立安全管理岗位等。

3 信息管理系统与网络数据安全性方案

在建立信息管理系统的同时，有效保证系统安全是系统设计的重点之一。设计既要能够满足各角色用户使用的灵活性，又要充分考虑数据的安全性与稳定性。信息管理系统的安全性设计时主要从以下几个方面进行考虑。

3.1 网络及硬件构架安全

网络防火墙分为网络级和应用级。网络级防火墙的主要功能是对各种信息进行包过滤和状态检测，应用级防火墙可采用双网卡结构、屏蔽主机、屏蔽子网等功能。在服务器硬件构架安全方面，相关用户在使用信息系统进行访问时，用户访问须经过数据中心的防火墙与系统相连。采用多应用分布部署方案，尽量做到每个服务系统都有防火墙，保证系统安全。

在负荷承载方面，信息系统各服务可根据实际负荷情况，考虑一个应用部署多个服务器进行负载均衡分配的方式。采用双机热备的方式，保证一台服务器出现故障时，系统立即自动切换到备份机上运行，使系统可以继续正常提供服务而不会中断，提高系统的安全系数。采用负载均衡的部署方式，可降低单一应用服务器的负荷，提高用户的访问效率，同时可降低异常情况或某项服务无法访问的风险[3]。如某处服务宕机，用户使用完全不受影响。在硬件构架设计方面，采用应用分离、数据不分离的方式，多应用数据库集中构建。数据库服务器采用互为热备的主从服务器的构架方式，同时可采用读写分离的模式。当数据承载负荷较大时，根据实际使用情况，可再另行构建数据库服务器集群。

数据库服务器采用多组具有主从的分布式构架方式进行扩展，同时可利用负载均衡的方式进行负载均摊。数据库集中构建，消除了多应用系统数据耦合和一致性问题，同时降低了数据库维护难度；采用数据库主从的分布式构架方式，提高了数据库的安全性、可靠性和扩展性，当数据库处理服务和存储需求负荷过重时，便于扩展。

3.2 信息系统应用安全

在信息系统应用安全方面，用户在通过基于浏览器/服务器模式（Browser/Server，B/S）架构互联网或客户机和服务器结构（Client/Server Structs，C/S）架构客户端信息系统时，都应采用认证机制，对其身份进行合法性认证，并发布独立的查询数据库，限制其访问数据的范围，防止恶意窃取信息。

在数据权限控制方面，应严格按用户绑定人员的组织机构控制其数据访问范围。对使用信息系统保密信息范围的用户采用硬件加密，例如密钥（User Key）严格认证用户身份的合法性与有效性。无硬件密钥的人员将不能访问本系统未公开发布的信息[4]。

在数据存储方面，将对用户信息、应用信息、证件等信息核心数据信息进行加密存储。为防止注入性黑客攻击，还应建立有效数据存取逻辑。建立入侵检测系统，实时监控网络数据流，分析连接状态，通过信息系统内置的网络攻击数据库，查询网络事件并进行响应。根据发生的网络事件，启用配置好的报警方式，提供网络数据流量统计功能，为事件分析提供支持，配合数据库支持多种协议和全面内容恢复，支持分布式结构，提供黑名单快速查看功能[5]。

3.3 系统运行管理安全

首先，加强系统运行安全应急机制管理。依据系统的运行状况，针对不同的系统，制定不同的应急管理方案。整合相关信息制定相应的安全管理方法，保障系统的正常运行。针对可能发生的信息安全问题制定出应急预案，在发生突发事件时，系统内应急机制和系统外人员同时做出应急响应。

其次，加强系统管理人员的培训工作。必须要配备专门的系统管理人员，针对系统规模大小配备相应数量的且明确边界责任的管理人员，上级部门定期组织系统管理人员进行业务相关培训，制定好应急预案。针对系统管理人员由于各种原因可能发生的违规操作等问题或导致信息处于危险的情况，定期进行系统安全风险评估。由于计算机信息系统在使用的过程中会由于不当的操作造成的安全风险，系统管理人员或机构有义务定期评估和识别计算机信息系统风险，将风险划分等级，制定相应的规定，明确工作人员的操作范围。系统管理人员对风险较高的威胁及时处理，防止风险在信息系统中进一步扩散。