企业的安全需求

1、从自己经营公司的角度考虑，企业为什么要考虑信息安全？作者：Morncomm工作效率的需要我不希望我的员工三天两头去给机器重新安装系统，这严重影响了他的工作 效率。虽然通过工具如GHOST等方式可以快速构建机器系统，但是如果再算上 自己的个性化需求和补丁升级时间，每次大概要花费小半天的时间。当我询问他 们为什么经常需要重新部署系统，他们说蓝屏、死机或者机器速度慢等等。更甚 者，有的人已经养成习惯，几乎每周都需要重新安装系统。其实解读蓝屏、死机或者机器慢的原因，大都是因为机器中了病毒木马或者 蠕虫。所以我们企业要考虑防病毒系统。解决病毒木马蠕虫的方法就是从它们的传播途径处理。比如：防止从移动存储介

2、质传播，就需要在机器上部署杀毒软件；防止从外网进入病毒，就需要部署网络防毒墙；防止从企业局域网传播病毒，就需要企业部署准入控制；防止从WEB访问进入，就需要部署WEB安全网关；防止企业员工随意浏览问题网站，就需要部署上网行为管理与审计系统；当然，解决安全/病毒问题，有许多控制手段，但是我认为这不是企业首要 考虑的。比如，为了控制病毒从移动存储介质传播或者防止企业机密信息从机器 外置端口泄露，就部署如USB存储介质管理系统，限制员工使用。这严重影响 了员工的工作效率。对于非涉密企业，这就有些得不偿失。安全不能以牺牲员工 的工作效率和自由为代价，应该有一个平衡点。解决因为员工访问了一些具有木马病毒

3、的网站而带到企业内部，不能以限制 或控制员工访问互联网网站为重点，即使是正规的网站也有可能被挂马。而WEB 安全网关就能帮我们过滤掉由于误访问了挂马网站而带来的木马病毒等。企业名誉的需要企业门户网站是一个企业对外宣传的窗口。通过这个窗口，客户或者准客户 可以了解到企业的基本信息，企业的发展情况以及企业的业务信息。网站已经成 为了企业与客户沟通的一个重要平台。所以，一个企业应该重视这个窗口的安全 性。比如，我们肯定不希望有人在企业经营场所大门口倾倒垃圾，随意乱写乱画， 或者放置一些攻击性的有毒的生物。但是网站我们却很容易忽略。因为缺乏有效 的安全防护措施，使得我们的网站很容易被挂马、入侵或者网页

4、被篡改。有的人会说，我的网站也没有什么安全保护措施，但是到目前为止还没有被 攻击过。我承认这种情况的存在，但是也有可能你的服务器已经被黑客利用，成 为“肉鸡”，但是只不过你没有发现而已。保护重要业务系统的可用性的需要大的企业，面临着外部和内部双重安全威胁的压力。不论是对外发布的重要 业务系统还是对内使用的业务系统，都需要保证其7*24小时的高可用性。所以 要充分考虑黑客攻击的多种途径，来对重要业务系统进行安全保护。另外，如果 资金充足，我们还要做好备份与灾难恢复机制。防止重要信息泄密的需要企业的重要信息可能是客户资料，可能是财务数据，也可能是新的产品研发 计划。这些重要信息的泄露，轻者影响企业

5、的发展造成一定的经济损失，重者有 可能毁灭掉一个公司。国家也是如此甚至更甚。企业信息安全投入多少合适？当我们认可企业的这些安全需求时，下一步就是考虑如何进行信息安全体系 规划，并如何有步骤的实施了。一个企业对于信息安全的投资，是跟你的信息价值成正比的。数据1：在发达国家中，信息安全方面的投入占整个信息产业比重的10% 至15%。我国仅为5%，且全部用来购买产品，服务上的投入几乎为零。而国 外用于购买服务的比例却高达5%至10%。数据2：证券期货经营机构信息技术治理工作指引（试行）第三十五条， 公司最近三个财政年度IT投入平均数额原则上应不少于最近三个财政年度平均 净利润的6%或不少于最近三个财政年度平均营业收入的3%。数据3：关于信息安全的投入，保监会在中国保险业发展“十一五”规划 信息化重点专项规划中明确要求到2010年，信息安全投入达到信息化建设投 入的10%。企业建立信息安全系统，要“三分靠技术，七分靠管理”。在国际上，对信 息安全工作制度的管理有一套通行的尺度-ISO17799。这个标准来源于BSI7799, 因为其管理的科学性，被ISO纳入国际标准。信息安全工