企業(yè)信息化安全與網(wǎng)絡(luò)管理

摘 要：信息只是數(shù)據(jù)和數(shù)據(jù)處理的集合，但企業(yè)的信息化就不單單是將企業(yè)數(shù)字化的簡(jiǎn)單轉(zhuǎn)變。本人認(rèn)為將員工納入信息化的一部分是至關(guān)重要的，人員信息化是實(shí)現(xiàn)企業(yè)信息化的重要載體。在實(shí)施信息化進(jìn)程時(shí)，應(yīng)將人員的思想觀(guān)點(diǎn)、工作流程逐步轉(zhuǎn)變到數(shù)字信息處理當(dāng)中來(lái)，不要馬上照搬PDM、ERP等相當(dāng)成熟的產(chǎn)品，這樣只會(huì)適得其反。與此同時(shí)，信息化建設(shè)當(dāng)中的硬件部分，也并不是越全越新就好，而是應(yīng)適合企業(yè)的應(yīng)用需要和發(fā)展要求。當(dāng)我們認(rèn)清了企業(yè)信息化的優(yōu)勢(shì)后，就更要正視它所帶來(lái)的不安全因素。企業(yè)信息化安全問(wèn)題，就成了我們?cè)趯?shí)施信息化過(guò)程中所面臨的重要課題。網(wǎng)絡(luò)管理作為企業(yè)信息化安全的重要保障，是解決上述問(wèn)題的癥結(jié)，也是本文的關(guān)鍵。

關(guān)鍵詞：計(jì)算機(jī)系統(tǒng)結(jié)構(gòu)IRP；信息優(yōu)勢(shì)；主動(dòng)預(yù)防

中圖分類(lèi)號(hào)：TP309

企業(yè)要生存、發(fā)展，就必須面向市場(chǎng)，適應(yīng)市場(chǎng)、開(kāi)拓市場(chǎng)，竭力捕捉市場(chǎng)信息。信息對(duì)于市場(chǎng)經(jīng)濟(jì)條件下的企業(yè)來(lái)說(shuō)，具有生死攸關(guān)的巨大價(jià)值。沒(méi)有對(duì)大量準(zhǔn)確、及時(shí)、系統(tǒng)的市場(chǎng)信息資料的掌握，既不能弄清企業(yè)外部條件變化對(duì)企業(yè)生產(chǎn)經(jīng)營(yíng)的影響，也無(wú)法了解企業(yè)內(nèi)部各環(huán)節(jié)、各部門(mén)、各經(jīng)營(yíng)要素的狀況、聯(lián)系和變化。而在同行業(yè)之間的信息互通，也是至關(guān)重要的，將所有資源充分整合，才能形成綜合優(yōu)勢(shì)。

中國(guó)加入WTO后，國(guó)際競(jìng)爭(zhēng)國(guó)內(nèi)化的趨勢(shì)將更加明顯。企業(yè)只有盡快實(shí)施信息化戰(zhàn)略與國(guó)際接軌，才能融入到經(jīng)濟(jì)全球化的大潮中去。這里特別要指出企業(yè)如何規(guī)劃有關(guān)信息。信息資源規(guī)劃（Information Resource Planning，簡(jiǎn)稱(chēng)IRP）是指對(duì)企業(yè)生產(chǎn)經(jīng)營(yíng)所需要的信息，從采集、處理、傳輸?shù)绞褂玫娜嬉?guī)劃。在企業(yè)的生產(chǎn)經(jīng)營(yíng)活動(dòng)中，無(wú)時(shí)無(wú)刻不充滿(mǎn)著信息的產(chǎn)生、流動(dòng)及使用。美國(guó)信息資源管理學(xué)家霍頓（F.W.Horton）和馬錢(qián)德（D.A.Marchand）等人指出：信息資源（Information Resources）與人、財(cái)、物資源一樣，都是企業(yè)的重要資源。目前，許多企業(yè)都已經(jīng)認(rèn)識(shí)到信息資源規(guī)劃的重要性，認(rèn)識(shí)到它是企業(yè)信息化建設(shè)的基礎(chǔ)工程。只有做好信息資源規(guī)劃工作，才能理清并規(guī)范企業(yè)的真正需求，貫徹信息化建設(shè)的“應(yīng)用主導(dǎo)”方針；才能消除因缺乏信息資源管理基礎(chǔ)標(biāo)準(zhǔn)而產(chǎn)生的“信息孤島”，從而整合信息資源，實(shí)現(xiàn)應(yīng)用系統(tǒng)集成；才能指導(dǎo)SCM、ERP、CRM等應(yīng)用軟件的選型并保證成功實(shí)施；才能應(yīng)用規(guī)劃的結(jié)果來(lái)保護(hù)我們所珍視的信息。應(yīng)該說(shuō)信息資源規(guī)劃是我們要提供安全策略的前提。[1]

圖1是信息安全技術(shù)發(fā)展的四個(gè)階段，當(dāng)我們整合了相關(guān)信息資源，歷經(jīng)信息安全技術(shù)的各個(gè)階段，所缺少的元素便是對(duì)于人的信息化水平的要求。

可見(jiàn)，單從信息流向來(lái)看，其中的人為干預(yù)是必不可少的。因此，保障信息安全更要以人為本，注重網(wǎng)絡(luò)管理，加強(qiáng)制度化，形成標(biāo)準(zhǔn)的操作規(guī)范及流程。針對(duì)企業(yè)信息化安全問(wèn)題，內(nèi)容應(yīng)當(dāng)包括：網(wǎng)絡(luò)集成應(yīng)用系統(tǒng)（包括信息源、信息傳輸網(wǎng)絡(luò)的安全）、企業(yè)人員信息技術(shù)安全（如信息決策者、使用者）、網(wǎng)絡(luò)管理人員信息化安全（涵蓋了網(wǎng)絡(luò)管理、權(quán)限分配等安全管理內(nèi)容）。企業(yè)信息化安全的解決應(yīng)在立足于人員管理的基礎(chǔ)上，致力于整個(gè)企業(yè)網(wǎng)絡(luò)的管理，并以此為目標(biāo)規(guī)劃與建設(shè)安全、實(shí)用、高效的信息環(huán)境，為企業(yè)信息化帶動(dòng)企業(yè)管理現(xiàn)代化保駕護(hù)航，推動(dòng)企業(yè)的高速度、可持續(xù)發(fā)展。

1 網(wǎng)絡(luò)集成應(yīng)用系統(tǒng)安全

本人所在單位的網(wǎng)絡(luò)集成應(yīng)用系統(tǒng)是一個(gè)復(fù)雜體系，不可能精確地估計(jì)防御對(duì)象的規(guī)模與價(jià)值，無(wú)法簡(jiǎn)單地對(duì)其加以標(biāo)定界限，只有將網(wǎng)絡(luò)管理安全保障工作分解，落實(shí)到人，采取主動(dòng)防御方式、方法才是上策。眾說(shuō)周知，網(wǎng)絡(luò)安全信息防御是一個(gè)以保證信息整體安全的可預(yù)見(jiàn)性、靈敏性、可靠性和連續(xù)性為目標(biāo)的工作，在面對(duì)網(wǎng)絡(luò)信息空間遭受可能的災(zāi)難時(shí)，我們站在網(wǎng)絡(luò)管理者的角度應(yīng)可以提供可靠的安全保障，同時(shí)作為各個(gè)信息安全的參與者能夠主動(dòng)進(jìn)行預(yù)見(jiàn)性的操作。

因此，現(xiàn)代信息技術(shù)發(fā)展所提出的信息安全問(wèn)題，比傳統(tǒng)信息安全問(wèn)題更加錯(cuò)綜復(fù)雜，涉及因素和領(lǐng)域也更加廣泛。計(jì)算機(jī)系統(tǒng)結(jié)構(gòu)安全的信息防御，注重的是以信息參與者的人作為主角的主動(dòng)型安全防御。[2]

2 企業(yè)人員信息技術(shù)安全

企業(yè)信息化離不開(kāi)人的參與，同樣企業(yè)信息化所帶來(lái)的安全問(wèn)題也離不開(kāi)人的關(guān)注?！捌髽I(yè)注重人才，人才注重管理?！碑?dāng)我們把員工培養(yǎng)成適應(yīng)企業(yè)快速發(fā)展、掌握信息技術(shù)的人才后，更需要加強(qiáng)信息安全管理，提高計(jì)算機(jī)應(yīng)用水平。因?yàn)椤靶畔ⅰ笔瞧髽I(yè)的重要財(cái)富，這一點(diǎn)是勿庸置疑的。信息系統(tǒng)的非安全因素有可能來(lái)自外部（以病毒、黑客攻擊的方式），或來(lái)自單位內(nèi)部（來(lái)自同事、受信任的客戶(hù)等等所有接觸系統(tǒng)的人），工作人員出于好奇心可能會(huì)造成更大的威脅。[3]

上面的管理辦法便是從技術(shù)角度加強(qiáng)了人員的權(quán)限設(shè)置，其實(shí)最主要的人員信息化安全管理，還是對(duì)于配套制度的執(zhí)行。目前，有關(guān)企業(yè)信息化標(biāo)準(zhǔn)的爭(zhēng)論有很多，這種標(biāo)準(zhǔn)會(huì)隨著技術(shù)手段和管理要求的不斷發(fā)展而變化。面對(duì)變化，企業(yè)出臺(tái)針對(duì)本企業(yè)安全級(jí)別的管理辦法，結(jié)合自身需求進(jìn)行安全管理才是“以人為本”的上策。

3 網(wǎng)絡(luò)管理人員信息技術(shù)安全

信息技術(shù)安全是企業(yè)信息化安全管理的重中之重，這就給網(wǎng)管人員提出了更高的更全面的要求。在實(shí)際的網(wǎng)絡(luò)管理過(guò)程中，網(wǎng)絡(luò)管理應(yīng)具有的功能非常廣泛，包括了很多方面。本人認(rèn)為，針對(duì)我們所面臨的企業(yè)信息技術(shù)安全，網(wǎng)絡(luò)管理應(yīng)包括四大功能：配置管理、性能管理、故障管理、安全管理。這四大功能是網(wǎng)絡(luò)管理的基本功能。事實(shí)上，網(wǎng)絡(luò)管理還應(yīng)該包括其他一些功能，比如網(wǎng)絡(luò)規(guī)劃、網(wǎng)絡(luò)操作規(guī)范等。其中：

配置管理：自動(dòng)發(fā)現(xiàn)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，構(gòu)造和維護(hù)網(wǎng)絡(luò)系統(tǒng)的配置。監(jiān)測(cè)網(wǎng)絡(luò)被管對(duì)象的狀態(tài)，完成網(wǎng)絡(luò)關(guān)鍵設(shè)備配置的語(yǔ)法檢查，配置自動(dòng)生成和自動(dòng)配置備份系統(tǒng)，對(duì)于配置的一致性進(jìn)行嚴(yán)格的檢驗(yàn)。

故障管理；過(guò)濾、歸并網(wǎng)絡(luò)事件，有效地發(fā)現(xiàn)、定位網(wǎng)絡(luò)故障，給出排錯(cuò)建議與排錯(cuò)工具，形成整套的故障發(fā)現(xiàn)、告警與處理機(jī)制。

性能管理：采集、分析網(wǎng)絡(luò)對(duì)象的性能數(shù)據(jù)，監(jiān)測(cè)網(wǎng)絡(luò)對(duì)象的性能，對(duì)網(wǎng)絡(luò)線(xiàn)路質(zhì)量進(jìn)行分析。同時(shí)，統(tǒng)計(jì)網(wǎng)絡(luò)運(yùn)行狀態(tài)信息，對(duì)網(wǎng)絡(luò)的使用發(fā)展作出評(píng)測(cè)、估計(jì)，為網(wǎng)絡(luò)進(jìn)一步規(guī)劃與調(diào)整提供依據(jù)。

安全管理：結(jié)合使用用戶(hù)認(rèn)證、訪(fǎng)問(wèn)控制、數(shù)據(jù)傳輸、存儲(chǔ)的保密與完整性機(jī)制，以保障網(wǎng)絡(luò)管理系統(tǒng)本身的安全。維護(hù)系統(tǒng)日志，使系統(tǒng)的使用和網(wǎng)絡(luò)對(duì)象的修改有據(jù)可查?？刂茖?duì)網(wǎng)絡(luò)資源的訪(fǎng)問(wèn)。

舉例來(lái)說(shuō)，本人所在單位為盡量減小安全上的漏洞，我們配置管理采用了 VLAN方式，即各個(gè)部門(mén)劃分為不同的虛擬網(wǎng)段，沒(méi)有權(quán)限的用戶(hù)無(wú)法訪(fǎng)問(wèn)其他網(wǎng)段。

VLAN（虛擬局域網(wǎng)）就是一個(gè)計(jì)算機(jī)網(wǎng)絡(luò)，其中的計(jì)算機(jī)好像是被同一網(wǎng)線(xiàn)連接在一起，而實(shí)際上它們可能分處于局域網(wǎng)的不同區(qū)域。VLAN更多的是通過(guò)軟件而非硬件來(lái)實(shí)現(xiàn)，因此這使得它具有很高的靈活性。VLAN的一個(gè)主要特性就是提供了更多的管理控制，減少了相對(duì)日常管理開(kāi)銷(xiāo)，提供了更大的配置靈活性。VLAN的這些特性包括：①當(dāng)用戶(hù)從一個(gè)地點(diǎn)移動(dòng)到另一個(gè)地點(diǎn)時(shí)，簡(jiǎn)化了配置操作和過(guò)程修改；②當(dāng)網(wǎng)絡(luò)阻塞時(shí)，可以重新調(diào)節(jié)流量分布；③提供流量與廣播行為的詳細(xì)報(bào)告，同時(shí)統(tǒng)計(jì)VLAN邏輯區(qū)域的規(guī)模與組成；④提供根據(jù)實(shí)際情況在VLAN中增加和減少用戶(hù)的靈活性。

還有就是：我們的網(wǎng)絡(luò)管理可以通過(guò)網(wǎng)關(guān)（即邊界路由器）控制外來(lái)用戶(hù)對(duì)網(wǎng)絡(luò)資源的訪(fǎng)問(wèn)，以防止外來(lái)的攻擊；通過(guò)告警事件的分析處理，以發(fā)現(xiàn)正在進(jìn)行的可能的攻擊；通過(guò)安全漏洞檢擒來(lái)發(fā)現(xiàn)存在的安全隱患，以防患于未然。當(dāng)然，我們這些操作手段可以借助于相應(yīng)的網(wǎng)絡(luò)管理軟件，以提供給我們相關(guān)的技術(shù)保障。但在實(shí)際操作中，我也發(fā)現(xiàn)，單用一種軟件是無(wú)法實(shí)現(xiàn)的。比如IDS、基于SNMP技術(shù)的網(wǎng)絡(luò)拓?fù)洹①Y產(chǎn)管理等等，這些技術(shù)需要我們一步步加強(qiáng)。還有像加強(qiáng)域的管理，充分利用現(xiàn)有軟件的功能，都是提高我們網(wǎng)絡(luò)管理的方式、方法，而這些工作地展開(kāi)都要基于網(wǎng)管人員的素質(zhì)和計(jì)算機(jī)應(yīng)用水平。

綜上所述，不論是從網(wǎng)絡(luò)集成應(yīng)用系統(tǒng)框架，還是人員信息化以及網(wǎng)絡(luò)管理者自身來(lái)看，企業(yè)信息化安全重在網(wǎng)絡(luò)管理，而網(wǎng)絡(luò)管理的核心是人，是整個(gè)信息化安全的參與者，只有“硬制度、軟管理”相互依托，主動(dòng)預(yù)防、預(yù)見(jiàn)網(wǎng)絡(luò)不安全因素，讓所有參與者都意識(shí)到網(wǎng)絡(luò)安全管理對(duì)于企業(yè)信息安全的重要性，才是我們網(wǎng)絡(luò)管理的最終目的和有效保障。

參考文獻(xiàn)：

[1]Steve Riley， Likes fearing occurs simultaneously the manager， Windows IT Pro Magazine， Microsoft Corp，2006（02）：30-32.

[2]Microsoft Corp，Microsoft Security Anthology，Microsoft Corp，2003（03）：1-20.

[3]侯炳輝，郝宏志.企業(yè)信息管理師[M].北京：機(jī)械工業(yè)出版社，2005（02）：76-89.

作者簡(jiǎn)介：李蓓（1983-），女，工程師，從事信息化建設(shè)工作；閻曉強(qiáng)（1981-），男，工程師，從事信息化建設(shè)工作。

作者單位：中國(guó)市政工程華北設(shè)計(jì)研究總院，天津 300074