某礦山企業(yè)信息系統(tǒng)安全分析

引言：互聯(lián)網(wǎng)是一把實(shí)踐證明可以推動(dòng)經(jīng)濟(jì)倍增和社會(huì)文明跨越發(fā)展的雙刃之劍，當(dāng)前和一定時(shí)期是其正面之刃互聯(lián)網(wǎng)+的如火如荼，而其負(fù)面之刃含計(jì)算機(jī)信息網(wǎng)絡(luò)安全風(fēng)險(xiǎn)防范，也因而尤顯緊迫必要和形勢(shì)嚴(yán)峻。

互聯(lián)網(wǎng)是一把可以推動(dòng)經(jīng)濟(jì)倍增和社會(huì)文明跨越發(fā)展的雙刃劍，當(dāng)前是其正面之刃互聯(lián)網(wǎng)+的如火如荼，而其負(fù)面之刃含計(jì)算機(jī)信息網(wǎng)絡(luò)安全風(fēng)險(xiǎn)防范，也因而尤顯緊迫必要和形勢(shì)的嚴(yán)峻。為推動(dòng)企業(yè)積極應(yīng)對(duì)當(dāng)前經(jīng)濟(jì)的下行壓力，全力以赴打好提質(zhì)增效攻堅(jiān)戰(zhàn)，不斷提高企業(yè)重大風(fēng)險(xiǎn)管理水平，實(shí)現(xiàn)持續(xù)、健康、穩(wěn)定發(fā)展，依據(jù)國(guó)家機(jī)關(guān)的相關(guān)要求，筆者公司開(kāi)展了重大風(fēng)險(xiǎn)管理自查工作，本文為其中之一信息系統(tǒng)安全風(fēng)險(xiǎn)年度研究簡(jiǎn)案，現(xiàn)分享供參考。

2015年度信息系統(tǒng)安全風(fēng)險(xiǎn)管理

一般的信息系統(tǒng)（Information System）是由計(jì)算機(jī)硬件、網(wǎng)絡(luò)和通訊設(shè)備、軟件、信息資源、信息用戶和規(guī)章制度組成的以處理信息流為目的的人機(jī)一體化系統(tǒng)。該系統(tǒng)主要包括：輔助決策系統(tǒng)（DSS）、工業(yè)控制系統(tǒng)（CCS）、辦公自動(dòng)化系統(tǒng)（OA）以及數(shù)據(jù)庫(kù)、模型庫(kù)、方法庫(kù)、知識(shí)庫(kù)和與上級(jí)機(jī)關(guān)及外界交換信息的接口。特別是辦公自動(dòng)化系統(tǒng)（OA）的應(yīng)用，與上級(jí)機(jī)關(guān)及外界交換信息等都離不開(kāi)Intranet（企業(yè)內(nèi)部網(wǎng)）的應(yīng)用。

信息系統(tǒng)安全包含了上述對(duì)應(yīng)范圍內(nèi)容的安全管理，主要有：物理安全，包括環(huán)境安全、設(shè)備安全、媒體安全等方面。處理秘密信息系統(tǒng)的數(shù)據(jù)中心機(jī)房應(yīng)采用有效的技術(shù)防范措施；運(yùn)行安全，包括備份與恢復(fù)、病毒的檢測(cè)與消除、電磁兼容等。涉密系統(tǒng)的主要設(shè)備、軟件、數(shù)據(jù)、電源等應(yīng)有備份，并具有在短時(shí)間內(nèi)恢復(fù)系統(tǒng)運(yùn)行的能力。應(yīng)采用國(guó)家有關(guān)部門(mén)批準(zhǔn)的殺毒軟件適時(shí)查毒殺毒；信息安全，確保信息的保密性、完整性、可用性和抗抵賴性是信息安全保密的中心任務(wù)；安全保密管理，包括各級(jí)管理組織機(jī)構(gòu)、管理制度和管理技術(shù)等。

信息系統(tǒng)安全風(fēng)險(xiǎn)產(chǎn)生過(guò)程，主要是交付信息系統(tǒng)的安全保密合同條款的有無(wú)；信息系統(tǒng)的陷門(mén)；信息系統(tǒng)中發(fā)生用戶標(biāo)識(shí)截取、偽裝、重放攻擊；數(shù)據(jù)截??；非法使用；病毒；拒絕服務(wù)；惡意移動(dòng)代碼；數(shù)據(jù)庫(kù)數(shù)據(jù)文件丟失、系統(tǒng)損壞、系統(tǒng)源文件泄露、系統(tǒng)管理員口令暴露等問(wèn)題。

以上可看出，信息系統(tǒng)安全風(fēng)險(xiǎn)管理是“三高”性的，即高新技術(shù)、高智力勞動(dòng)和高強(qiáng)度工作量。導(dǎo)致其安全維護(hù)也相對(duì)復(fù)雜。

筆者公司于2001年在集團(tuán)公司內(nèi)率先建成計(jì)算機(jī)網(wǎng)絡(luò)信息系統(tǒng)并投入辦公正常應(yīng)用。領(lǐng)導(dǎo)在信息系統(tǒng)安全意識(shí)上較為重視，在其建設(shè)期即同步考慮了相應(yīng)安全內(nèi)容，并將信息系統(tǒng)安全風(fēng)險(xiǎn)管理工作納入網(wǎng)絡(luò)管理日常工作中，前后出臺(tái)了相應(yīng)的安全運(yùn)用制度。還根據(jù)工作需要配備了計(jì)算機(jī)信息網(wǎng)絡(luò)安全監(jiān)測(cè)系統(tǒng)，開(kāi)展了日常監(jiān)測(cè)工作；配備了網(wǎng)絡(luò)異地備份系統(tǒng)，定期檢查其運(yùn)行狀況；對(duì)引進(jìn)的網(wǎng)絡(luò)設(shè)備和系統(tǒng)基本設(shè)置了身份識(shí)別、操作權(quán)限和密碼管理；逐步加強(qiáng)了調(diào)離人員使用IT設(shè)備和信息用戶清理管理；按制度落實(shí)了網(wǎng)絡(luò)和終端防殺毒措施；還逐年對(duì)部分辦公人員和新進(jìn)員工開(kāi)展了計(jì)算機(jī)信息網(wǎng)絡(luò)安全使用培訓(xùn)工作；每年按制度由辦公室牽頭并聯(lián)合政工和監(jiān)察部門(mén)不定期對(duì)網(wǎng)絡(luò)安全使用情況例行檢查，并進(jìn)行處罰公示；并作好風(fēng)險(xiǎn)分級(jí)管控效果探索等等。

2015年在信息系統(tǒng)安全風(fēng)險(xiǎn)管理方面，除了堅(jiān)持其常規(guī)安全管理工作外，主要有：一是根據(jù)管理新常態(tài)修訂了《礦業(yè)總公司網(wǎng)絡(luò)安全運(yùn)行管理辦法》并嚴(yán)格執(zhí)行；二是完成了總公司網(wǎng)絡(luò)機(jī)房向綠色數(shù)據(jù)中心發(fā)展的技改，部分達(dá)到了B級(jí)安全等級(jí)以上標(biāo)準(zhǔn)；三是更新和配置了具備防火墻功能的路由器網(wǎng)絡(luò)出口設(shè)備；四是對(duì)運(yùn)行多年的OA系統(tǒng)的服務(wù)器硬盤(pán)系統(tǒng)進(jìn)行了成功在線擴(kuò)容，確保和延長(zhǎng)了網(wǎng)上辦公的運(yùn)行容量和服務(wù)安全；五是對(duì)科技之家網(wǎng)站系統(tǒng)進(jìn)行了變動(dòng)的初步安全分析，下步應(yīng)加強(qiáng)改版工作；六是完成了25人次的部分辦公人員和新進(jìn)大中專畢業(yè)生的網(wǎng)絡(luò)辦公和計(jì)算機(jī)信息網(wǎng)絡(luò)安全使用培訓(xùn)工作。

截止目前未發(fā)生一起重大的信息系統(tǒng)安全風(fēng)險(xiǎn)事件。總體上信息系統(tǒng)安全風(fēng)險(xiǎn)可識(shí)別和可控。

另外信息系統(tǒng)中的工業(yè)控制系統(tǒng)的安全風(fēng)險(xiǎn)也較多較大，因職責(zé)關(guān)系，此處略。

2016年度信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估研究

在一定程度上逐步解決了原信息系統(tǒng)安全風(fēng)險(xiǎn)中的諸如信息系統(tǒng)防殺毒風(fēng)險(xiǎn)、信息系統(tǒng)使用人員安全應(yīng)用教育風(fēng)險(xiǎn)、數(shù)據(jù)備份風(fēng)險(xiǎn)、OA系統(tǒng)服務(wù)器在線硬盤(pán)容量不足運(yùn)行風(fēng)險(xiǎn)、網(wǎng)絡(luò)出口設(shè)備老化風(fēng)險(xiǎn)、數(shù)據(jù)中心機(jī)房綠色標(biāo)準(zhǔn)化風(fēng)險(xiǎn)等等，并將其納入常規(guī)風(fēng)險(xiǎn)日常監(jiān)控管理范圍。按自身管理需要和本次文件要求，經(jīng)過(guò)逐項(xiàng)的專業(yè)分析和排查，認(rèn)為在2016年及之后，公司在信息系統(tǒng)安全風(fēng)險(xiǎn)還有新增風(fēng)險(xiǎn)如下，當(dāng)然有的是我們一直申請(qǐng)?jiān)诮鉀Q和監(jiān)控中。

1.檔案系統(tǒng)備份風(fēng)險(xiǎn)

風(fēng)險(xiǎn)源：數(shù)據(jù)備份（技術(shù)部和辦公室、科技檔案系統(tǒng)研發(fā)項(xiàng)目、電子檔案管理）。

風(fēng)險(xiǎn)成因：現(xiàn)為本機(jī)備份操作風(fēng)險(xiǎn)；服務(wù)器硬盤(pán)損壞風(fēng)險(xiǎn)；共享誤操作風(fēng)險(xiǎn)等。

風(fēng)險(xiǎn)發(fā)生后對(duì)本單位的影響：電子檔案丟失；致使原檔案員勞動(dòng)無(wú)效，其重來(lái)勞動(dòng)已不能復(fù)原檔案原況。

發(fā)生可能性：隨機(jī)發(fā)生、難以預(yù)測(cè)。一旦發(fā)生時(shí)會(huì)產(chǎn)生較大直接經(jīng)濟(jì)損失。安全風(fēng)險(xiǎn)級(jí)別為一級(jí)（特別重大）。

風(fēng)險(xiǎn)預(yù)警指標(biāo)：有無(wú)異地備份系統(tǒng)；備份策略合理性；備份完整性檢查。

主要應(yīng)對(duì)措施和控制策略：在現(xiàn)有備份系統(tǒng)上申請(qǐng)購(gòu)買(mǎi)一至兩個(gè)備份點(diǎn)，或配置專門(mén)備份系統(tǒng)。

2.檔案系統(tǒng)服務(wù)器風(fēng)險(xiǎn)

風(fēng)險(xiǎn)源：服務(wù)器運(yùn)行（辦公室、科技檔案系統(tǒng)研發(fā)項(xiàng)目、服務(wù)器運(yùn)維管理）。

風(fēng)險(xiǎn)成因：現(xiàn)與其他系統(tǒng)共用服務(wù)器，各系統(tǒng)運(yùn)維中會(huì)互相影響。

風(fēng)險(xiǎn)發(fā)生后對(duì)本單位的影響：各系統(tǒng)停止服務(wù)，會(huì)對(duì)相應(yīng)業(yè)務(wù)工作產(chǎn)生一定影響。

發(fā)生可能性：大。安全風(fēng)險(xiǎn)級(jí)別為二級(jí)（重大）。

風(fēng)險(xiǎn)預(yù)警指標(biāo)：服務(wù)器是否專用；是否有容錯(cuò)策略。

主要應(yīng)對(duì)措施和控制策略：服務(wù)器配置計(jì)劃已列入2016年公司資本投資計(jì)劃；軟件商協(xié)作信息系統(tǒng)遷移；備份系統(tǒng)供應(yīng)商協(xié)作備份點(diǎn)植入。

3. OA系統(tǒng)運(yùn)行風(fēng)險(xiǎn)

風(fēng)險(xiǎn)源：宕機(jī)（辦公室、網(wǎng)上業(yè)務(wù)開(kāi)展）。

風(fēng)險(xiǎn)成因：信息系統(tǒng)自身運(yùn)用規(guī)律造成。

風(fēng)險(xiǎn)發(fā)生后對(duì)本單位的影響：網(wǎng)上業(yè)務(wù)工作不能及時(shí)進(jìn)行。

發(fā)生可能性：隨發(fā)生、難以預(yù)測(cè)。安全風(fēng)險(xiǎn)級(jí)別為三級(jí)（較大）。

風(fēng)險(xiǎn)預(yù)警指標(biāo)：是否有常態(tài)服務(wù)保障。

主要應(yīng)對(duì)措施和控制策略：加強(qiáng)與股份公司辦公室聯(lián)系；與OA系統(tǒng)開(kāi)發(fā)商和供應(yīng)商服務(wù)部門(mén)技術(shù)人員溝通協(xié)調(diào)；做好日常監(jiān)測(cè)工作，搞好應(yīng)急處理工作。

4. 管控一體化系統(tǒng)運(yùn)用風(fēng)險(xiǎn)

風(fēng)險(xiǎn)源：管理模式變化風(fēng)險(xiǎn)（企管部和辦公室、應(yīng)用軟件升級(jí)管理）。

風(fēng)險(xiǎn)成因：信息系統(tǒng)自身開(kāi)發(fā)運(yùn)用規(guī)律造成。

風(fēng)險(xiǎn)發(fā)生后對(duì)本單位的影響：相應(yīng)自動(dòng)業(yè)務(wù)不能進(jìn)行。

發(fā)生可能性：領(lǐng)導(dǎo)可控。若管理模式變化快，將產(chǎn)生大的直接經(jīng)濟(jì)損失。安全風(fēng)險(xiǎn)級(jí)別為一級(jí)（特別重大）。

風(fēng)險(xiǎn)預(yù)警指標(biāo)：管理模式上是否有重大調(diào)整。

主要應(yīng)對(duì)措施和控制策略：領(lǐng)導(dǎo)在管理上有重大調(diào)整前，應(yīng)由相應(yīng)部門(mén)對(duì)投入大的信息系統(tǒng)作好相應(yīng)影響評(píng)估，聽(tīng)取信息系統(tǒng)安全風(fēng)險(xiǎn)部門(mén)意見(jiàn)，再綜合決策。

5.管控一體化系統(tǒng)運(yùn)維風(fēng)險(xiǎn)

風(fēng)險(xiǎn)源：技術(shù)支撐人員變化風(fēng)險(xiǎn)（企管部、辦公室和系統(tǒng)合作開(kāi)發(fā)方、應(yīng)用軟件升級(jí)管理）。

風(fēng)險(xiǎn)成因：正確認(rèn)識(shí)應(yīng)用系統(tǒng)運(yùn)維階段在軟件生命周期中的重要性。

風(fēng)險(xiǎn)發(fā)生后對(duì)本單位的影響：系統(tǒng)不能正常使用或報(bào)廢。

發(fā)生可能性：管理上可控。若發(fā)生可能產(chǎn)生大的直接經(jīng)濟(jì)損失。安全風(fēng)險(xiǎn)級(jí)別為一級(jí)（特別重大）。

風(fēng)險(xiǎn)預(yù)警指標(biāo)：是否有2人以上人員消化吸收了系統(tǒng)關(guān)鍵技術(shù)；協(xié)作方有無(wú)保障應(yīng)急服務(wù)的能力。

主要應(yīng)對(duì)措施和控制策略：按本風(fēng)險(xiǎn)預(yù)警指標(biāo)考核或約束內(nèi)部人員和協(xié)作方。

6.其他信息系統(tǒng)等風(fēng)險(xiǎn)

風(fēng)險(xiǎn)源：相關(guān)專業(yè)管理人員未參加建設(shè)或意見(jiàn)未被項(xiàng)目吸?。ǜ鲉挝徊块T(mén)和辦公室、系統(tǒng)運(yùn)維障礙和誤會(huì)）。

風(fēng)險(xiǎn)成因：部分對(duì)信息系統(tǒng)建設(shè)規(guī)律認(rèn)識(shí)誤區(qū)或機(jī)構(gòu)職責(zé)不易厘清造成。

風(fēng)險(xiǎn)發(fā)生后對(duì)本單位的影響：系統(tǒng)堆集在運(yùn)維階段的問(wèn)題多，難以厘清和追責(zé)。

發(fā)生可能性：管理上可控。難以預(yù)測(cè)直接經(jīng)濟(jì)損失。安全風(fēng)險(xiǎn)級(jí)別為二級(jí)（重大）。

風(fēng)險(xiǎn)預(yù)警指標(biāo)：有無(wú)專業(yè)管理人員參加并發(fā)揮作用和吸取相應(yīng)意見(jiàn)。

主要應(yīng)對(duì)措施和控制策略：逐步健全機(jī)構(gòu)和厘清職責(zé)；確立關(guān)聯(lián)系統(tǒng)上參加人員的合法地位和作用；具備相應(yīng)系統(tǒng)的知情權(quán)，達(dá)到一定制約和避免損失。

7.網(wǎng)絡(luò)不穩(wěn)定風(fēng)險(xiǎn)

風(fēng)險(xiǎn)源：網(wǎng)絡(luò)老化風(fēng)險(xiǎn)（各單位和辦公室、到各單位的網(wǎng)絡(luò)主干交換、設(shè)備間及主交換系統(tǒng)）。

風(fēng)險(xiǎn)成因：各基層單位網(wǎng)絡(luò)設(shè)備間環(huán)境混亂、設(shè)備老化、網(wǎng)絡(luò)主交換損壞、網(wǎng)絡(luò)接入隨意性、網(wǎng)絡(luò)負(fù)荷逐年加重、網(wǎng)絡(luò)IP拓樸優(yōu)化等。

風(fēng)險(xiǎn)發(fā)生后對(duì)本單位的影響：網(wǎng)絡(luò)不能正常訪問(wèn)、信息系統(tǒng)不能正常使用等。

發(fā)生可能性：隨機(jī)發(fā)生。難以預(yù)測(cè)直接經(jīng)濟(jì)損失。安全風(fēng)險(xiǎn)級(jí)別為二級(jí)（重大）。

風(fēng)險(xiǎn)預(yù)警指標(biāo)：是否網(wǎng)絡(luò)接入和新應(yīng)用增加報(bào)備；IP規(guī)劃是否合理；網(wǎng)絡(luò)故障是否及時(shí)或4小時(shí)工作時(shí)內(nèi)申報(bào)；網(wǎng)絡(luò)故障申報(bào)后是否及時(shí)響應(yīng)或8小時(shí)工作時(shí)響應(yīng)；各級(jí)是否強(qiáng)化支持；網(wǎng)絡(luò)操作是否按技術(shù)要求或標(biāo)準(zhǔn)執(zhí)行；網(wǎng)絡(luò)更新是否系統(tǒng)優(yōu)化和及時(shí)等。

主要應(yīng)對(duì)措施和控制策略：健全制度（含數(shù)據(jù)中心機(jī)房管理制度）；嚴(yán)格執(zhí)行已有制度；根據(jù)管理新常態(tài)，合理布局和拓展計(jì)算機(jī)信息網(wǎng)絡(luò)；網(wǎng)絡(luò)更改優(yōu)化項(xiàng)目已列入2016年公司資本投資計(jì)劃，擬待資金情況實(shí)施。

2016年度信息系統(tǒng)安全風(fēng)險(xiǎn)同2015年度相比的變動(dòng)情況及原因分析

2015年的信息系統(tǒng)安全風(fēng)險(xiǎn)中的OA系統(tǒng)服務(wù)器在線硬盤(pán)容量不足，運(yùn)行風(fēng)險(xiǎn)和網(wǎng)絡(luò)出口設(shè)備老化風(fēng)險(xiǎn)，在其可預(yù)期的生命周期內(nèi)已算徹底解決。信息系統(tǒng)防殺毒風(fēng)險(xiǎn)、信息系統(tǒng)使用人員安全應(yīng)用教育風(fēng)險(xiǎn)、數(shù)據(jù)備份風(fēng)險(xiǎn)、數(shù)據(jù)中心機(jī)房綠色標(biāo)準(zhǔn)化風(fēng)險(xiǎn)等要與時(shí)俱進(jìn)，常態(tài)化監(jiān)控。

與2015年相比增加的風(fēng)險(xiǎn)有：檔案系統(tǒng)備份風(fēng)險(xiǎn)、檔案系統(tǒng)服務(wù)器風(fēng)險(xiǎn)、OA系統(tǒng)運(yùn)行風(fēng)險(xiǎn)、管控一體化系統(tǒng)運(yùn)用風(fēng)險(xiǎn)、管控一體化系統(tǒng)運(yùn)維風(fēng)險(xiǎn)、網(wǎng)站升級(jí)風(fēng)險(xiǎn)、其他信息系統(tǒng)等風(fēng)險(xiǎn)、網(wǎng)絡(luò)不穩(wěn)定風(fēng)險(xiǎn)。并自覺(jué)嘗試風(fēng)險(xiǎn)分級(jí)管控實(shí)操效果探索和積累研究（各級(jí)標(biāo)準(zhǔn)指標(biāo)增減（含資源調(diào)用）、調(diào)級(jí)機(jī)制等）。

增加或變動(dòng)主要原因：一是新建項(xiàng)目或信息系統(tǒng)產(chǎn)生；二是電子系統(tǒng)產(chǎn)品屬精密用品，更新?lián)Q代快，使用壽命相對(duì)不長(zhǎng)；三是其從業(yè)性有前述“三高”性，技術(shù)含量高；四是國(guó)家網(wǎng)絡(luò)安全及信息化小組成立，對(duì)相關(guān)要求從嚴(yán)落實(shí)等。

結(jié)語(yǔ)

信息系統(tǒng)安全風(fēng)險(xiǎn)中對(duì)信息的安全要求控制遵從信息安全風(fēng)險(xiǎn)指標(biāo)控制。據(jù)信息和信息系統(tǒng)的前述特性，從長(zhǎng)遠(yuǎn)和發(fā)展趨勢(shì)考慮，要發(fā)揮高級(jí)信息專家作用，宏觀上把控好信息和信息系統(tǒng)的關(guān)鍵技術(shù)，在相關(guān)信息和信息系統(tǒng)管理、合同洽談、售后上進(jìn)行條款約束及有效控制，從而在一定程度上避免被乙方在技術(shù)經(jīng)濟(jì)上牽制和對(duì)其的被動(dòng)依賴性。

總之，百密未免一疏，倘若稍有不慎，就可能會(huì)有“痛點(diǎn)”發(fā)生，我們將與時(shí)俱進(jìn)，不斷學(xué)習(xí)，在公司強(qiáng)有力的領(lǐng)導(dǎo)、重視和支持下，力爭(zhēng)搞好信息系統(tǒng)安全風(fēng)險(xiǎn)管理工作。