发布时间：2023-10-12 15:41:16
绪论：一篇引人入胜的企业风险控制案例，需要建立在充分的资料搜集和文献研究之上。搜杂志网为您汇编了三篇范文，供您参考和学习。
随着信息时代的来临，信息系统和技术已经成为当下各个领域不可或缺以及赖以生存的基础性建设。现今信息已经成为衡量一个企业综合竞争水平的重要标志。但是，信息技术在不断支撑着企业业务开展的同时，其在运维方面也会产生相应的安全风险，主要表现为非法访问、信息篡改以及信息泄露。这些风险就会对企业的信息安全带来巨大的隐患。
1信息系统安全风险的控制难点
近年来随着网络技术的不断更新，企业也通过各种安全措施加强了信息系统安全风险的防护措施，但仍存在两个难点，首先是信息系统的高风险性，由于当下信息系统较为复杂，且漏洞较多，就会使得系统处于高风险性，使得运维人员很难进行控制。其次是当下IP管理以及信息系统的规模逐渐增加，也就使得攻击源变得多样化，运维人员无法进行有效的追踪，也无法进行有效的防护。
2企业运维管理中信息系统安全风险分析
近年来，信息时代的脚步逐渐加快，信息化的水平也在与日俱增。信息技术也以其方便、实用等特点广泛地应用在各企业之间。而为了更好地将信息技术的最大作用发挥出来，就需要定期对其维护。但是随着信息系统的应用需求逐渐增加，网络规模的不断扩大，使得信息系统的结构愈加复杂，也使得技术漏洞逐渐增加，这就会对企业的信息系统带来安全隐患。在现今运维管理中信息系统的安全风险主要包括下述几个方面。
2.1服务器终端层面的风险
服务器终端层面的风险主要分为下述几个部分：①信息系统的基本安全保密配置不够完善，管理不够成熟，这就使得用户可以私自更改BIOS的启动顺序，使得安全防护产品的失效，从而进行信息的窃取和篡改；②安全风险的报警装置不够成熟，不能够达到预期的效果，通常会由于安全产品之间的兼容性问题失去应用的效用，出现误报或者漏报的情况。然后就是系统含有漏洞，信息系统最主要的部分就是系统，在当下的企业中应用的操作系统基本上都为Windows系列，而一些停止补丁升级的Windows系统就存在着漏洞，很容易受到侵蚀，进而造成数据的丢失。2.2网络层面的风险在网络层面安全风险主要为网络设备的安全配置不当，通常会开启多余的服务或者端口，这就存在了被非法访问的隐患。同时在访问控制方面不能对接入进行有效的控制，会造成设备非法接入的风险。另外，企业通常不会对用户进行分层、分级，这就会导致网络拓扑混乱，使得企业重要的信息资源存在被非法授权访问的安全隐患。
2.3硬件层面的风险
现今，企业都拥有大量的硬件，且都是采用的国外进口。企业根本无法知晓底层硬件的工作机制，其是否含有隐藏通道等。例如惠普的某型号服务器已经被证实存在后门，这些设备的运维都需要专业的工作人员进行，这也就会使得维修过程容易发生信息篡改或者信息窃取的风险。2.4应用层面的风险应用层面的风险主要就是身份认证的管理不够完善。管理员的口令较弱、用户名和密码过于简单等都会被攻击者利用。甚至在当下一些企业还有用户名公用、滥用的现象，这就更给攻击者提供了良好的机会，攻击者可以通过这些漏洞进行水平提权，进而对信息进行窃取，甚至其可以获取管理者的权限，对系统进行控制，这就会给企业造成巨大的经济损失。
2.5安全审计层面的风险
在当下的信息系统风险管理都会部署一些安全监测产品，例如防火墙、杀毒软件等。这些产品只能针对某类安全问题有效，这就使得信息系统的审计工作变得松散，不能形成完整的体系。而且由于系统的兼容性等原因，总会出现误报、漏报的现象，这就会对审计的作用带来巨大的影响，使其无法发挥其应有的效用。另外，企业虽然相应的部署了安全管理平台进行日志的收集，但在当下的信息系统中智能分析能力较弱，不能够对全局进行有效的监控，也就没有办法实现综合监控和安全风险的态势分析。
3企业运维管理中信息系统安全风险的控制策略
通过对上述安全风险的问题进行有效的分析，基于信息的特点，本文提出了下述信息系统安全风险的控制策略。
3.1加强信息系统数据资源的安全风险控制
数据资源的风险控制主要从三个方面进行：①存储安全，可以采用先进的加密技术对信息数据库进行加密处理，从数据资产产生的源头进行安全防护体系的构建；②标识安全，通过标识技术对信息进行去区分标注，经过审计后，让标识与信息系统密不可分，这样就不会出现信息篡改的问题；③访问安全，可以采用强制访问控制的方式，对访问主体进行限制。例如，某些数据非管理员权限仅能读取，不能够打印或者重新编辑，而一些重要信息限制再无权观看。
3.2加强信息系统的信息安全风险控制
信息安全主要就是对应用安全进行控制，通过对系统的需求进行有效的分析，设计开发指导验收运维过程中进行安全保障。同时还要定期对系统进行渗透测试，如果企业的技术较为先进，还可以通过源代码进行安全风险分析，仔细地对漏洞进行查找，如果发现及时进行修复，长此以往就会不断提高系统的整体安全性。另外还要将运维过程中出现的问题进行整体分析，这样就能够形成较为完善的风险控制规范，为后续的系统安全提供可行性较高的参考数据。
3.3构建运维风险控制平台
针对认证管理和孤岛等问题，就可以亿堡垒机为中间体进行控制平台的构建，形成对企业信息系统全面的安全监控。通过安全防护产品的报警日志和应用系统的审计日志，构建威胁事件的审计模型，构建完善的综合安全事件分析统计平台，这样才能对风险事件进行关联审计分析，最终实现实时报警的效果。
3.4加强信息系统的管理和梳理
要想切实地提高企业的信息系统运维管理能力，必须要加强信息安全专项检查，要制定详细的规范来明确信息系统日常需要进行的管理操作，还要对日常管理的具体细节进行定义，这样才能使信息系统日常管理规范、明确，继而使其信息化和制度化。还要闭环管理信息安全风险和运维实践，防止低层次的信息安全问题发生。另外还要加强专项检查整体提高信息系统的安全运维能力。同时还要对信息资源进行有效的分类整理，要构建完善的应急备灾能力，还要定期对应急备灾的能力进行检测，例如可以临时构建信息丢失的问题，看其恢复能力，只有这样才能有效地保障备份能够及时地恢复。
3.5构建完善的信息风险防护体系
正与邪、矛与盾、攻与防，永远都是相对存在的。在信息系统风险控制上也是一样的，要想预防攻击者的非法入侵，就必须要建立完善的信息风险防护体系。所以，企业要培养构建一支团队，让其不断进行学习，掌握攻击的技术，然后让其对企业的防护系统进行破坏，进而完善，只有不断地从攻击者的角度去思考，才能够构建完善的防护体系，只有不断进行攻防，才能够更好地提升信息风险防护体系，让其更好地保护信息系统，防止信息窃取和篡改的问题出现。
4结语
综上所述，虽然当下企业对信息安全风险的防护工作不断重视，也构建了许多防护的措施，具备了一些防护能力，但由于信息技术的不断发展，使漏洞变得更加隐蔽。所以，企业要想稳定发展，必须要采取措施对信息系统安全风险进行运维控制，只有这样才能有效的保障企业的经济利益，为企业的发展做出有力的支撑。
作者:徐美霞 单位:广东电网有限责任阳江供电局
参考文献：
[1]上官琳琳.企业信息系统的管理与运维研究[J].管理观察,2014(18):100-101+104.
[2]何芬.企业运维管理中信息系统安全风险控制探究[J].信息技术与信息化,2014(5):208-210+212.
则
第二条
集团公司负责培训外审和企业主要内审专家，参与和督导企业第一次风险控制评估工作;分、子公司生产领导和职能部门负责风险控制评估内审把关和外审组织工作；基层企业应组织相关人员学_和把握风险控制评估标准要求，组织做好内审工作。
第四条
未开展安全生产标准化达标的企业，应随安全风险控制评估外审工作同步开展。特许经营项目部应视同发电企业的一个部门（车间），并按要求同步开展内审工作。
第六条
企业安全风险控制评估工作应纳入企业年度“两措”计划，确保费用落实。
第八条
本细则适用于集团公司各上市公司、分公司、省发电公司以及基层发电企业。
第二章
第十条
体系运行效果评估
每个要素的目标、指标完成情况与流程节点管控情况应一并进行查评，各要素运行效果判定标准如下：
2.目标完成、指标部分完成、不存在重点问题且风险度小于50%，该要素为存在偏差状态。
（二）单元和本质安全型企业体系总体运行效果评估
（1）存在重点问题数超过查评项目的6%。
（3）风险度是否大于15%。
内审组织与管理
第十一条
内审工作的组织
（二）安监部牵头组织管理和环境单元内审，设备部牵头组织设备单元内审，发电部牵头组织人员单元内审，人资部、总经部等其他部门按责任分工负责相关要素内审。
安监部负责内审的归口管理。
（四）每个评审要素（节点或检查项）应结合企业机构设置、职责分工设置A、B角。
第十二条
内审培训
（二）内审人员培训应包括：集团公司《本质安全型发电企业管理体系规范》、《本质安全型发电企业安全风险要素管控重点要求》，《发电企业安全风险控制指导手册》（以下简称《指导手册》）、《发电企业安全风险控制评估工作管理办法》以及本细则对于评估工作的要求。
（四）培训结束后经考试合格方可担任内审员。
（一）每年第四季度企业应制定下年度内审计划，确定评估项目，评估内审时间至少一个月，但不超过三个月。
（三）内审员开展评估工作，将发现的问题进行分类，填入内审报告的“单元及要素评估明细表”中，依据标准进行评分，并提出整改建议。
（五）单元组长汇总本单元各要素存在的问题，核点问题和整改建议，编制本单元内审报告，按时向工作组组长提交。
（七）召开总结会，分、子公司职能部门负责人参加，其他要求同启动会。
第十四条
内审管理要求
（二）内审无问题的检查项要写出管控效果评估；
扣分项必须有实际存在的问题，要依据《指导手册》中的标准进行扣分，不得人为提升或压低分值。
（四）分、子公司要安排专人（或专家）对所属企业内审工作进行现场监督和指导。
第四章
（一）按照分、子公司年度外审计划，每年一季度，进行外审的企业与有资质的技术服务单位签订外审合同，内容应包括：
2.外审专家组长，外审专家和专业分工。
（二）根据外审企业总容量、机组数量、设备系统复杂程度，火电企业外审时间一般为7-10个工作日，专家组成员一般不超过22人；
风电和水电企业外审时间一般为7个工作日，专家组成员一般不超过13人。人员配备标准如下：
2.水电企业：组长1名、单元组长4名，设备专业组按专业配置（水轮机专业1名、电气一次1名、电气二次1名、自动控制1名、水工建筑1名）。
（三）外审专家组组成
2.专家组由专职专家和在职专家组成，原则上比例各占一半。企业分管生产副职、总工程师和发电部、设备部、安监部主任作为外审在职专家，其他由分、子公司推荐的在职人员，可参加学_评审。
第十六条
外审准备工作
（二）外审专家组长外审前，应对外审方案进行策划，方案应包括评审企业的状况、评审范围（确定不参评项）、评审时间、评审过程控制等内容，并经外审企业的上级公司批准。
（四）接受外审的企业根据外审方案和专家行程安排做好迎检工作，并提供相关记录、资料和规章制度。
第十七条
外审流程
（二）专家通过问询、文件查阅、现场取证、检验检测等方法开展工作，做好检查记录，并将汇总编制完成的检查表和重点问题及整改建议上报单元组长。
（四）专家组长组织召开专家组内部会议，综合分析评审结果，协调专业间共性问题，判别问题归属要素，对照标准确认外审不符合项以及重点问题。
（六）召开总结会，外审专家组单元组长、专家组长通报外审情况，其他要求同启动会。
（八）外审报告应由外审专家组长报上级公司直至分、子公司。
第__条
外审管理要求
（二）分、子公司应严格执行外审计划。
确因特殊原因需变更计划，分、子公司应书面说明原因，报请集团公司安全生产部同意后方可另行安排。
（四）任何人不得人为划定得分率。
第__条
对外审专家的要求
1.必须掌握与本专业有关的最新法规、规程、标准和反事故措施等，掌握外审评价方法、评审标准和依据；
3.坚持原则，实事求是，客观公正，评审发现的问题应准确、可追溯，提出的整改建议应有针对性、可操作性。
1.严格遵守外审时间安排，按时完成外审任务。
3.外审结束，如数归还企业的评审资料。
（三）安全要求
2.必须在企业配合人员陪同下进入生产现场。
评审报告及问题管理
第二十条
企业内、外审报告编写均应按照“四个凡事”要求，落实领导、技术、现场管理和监督责任，做到检查项目与对应的标准一致、实际工作管控效果和存在问题及所违反的规定描述清楚、存在问题对应的岗位人员责任准确。
第二十二条
内审报告及问题整改计划要以文件形式在本企业，并上报分、子公司；外审报告及问题整改计划由分、子公司以文件形式下发至外审企业，并上报集团公司安全生产部。
第二十四条
内、外审问题整改计划完成率在第二年（整改年）要力争达到100％;由于客观原因，不能按期完成整改的在第三年必须完成;因不可抗力等特殊原因不能进行整改的，企业应以文件形式提出变更或注销申请，上报分、子公司批准。
第六章
第二十六条
外审结束后，外审技术服务单位应组织专家对《指导手册》提出修改意见，随外审报告一并上报分、子公司。分、子公司汇总后，上报集团公司安全生产部。
附则
第二__条
水力、风力发电企业，由分、子公司按照具有完整安全生产管理体系的原则来确定安全风险控制评估的规模（不考虑资产归属）。
（一）50MW以下的水电厂或总装机容量100MW及以下的流域水力发电企业。
（三）天然气、太阳能发电企业的安全风险控制评估工作，待相对应的《指导手册》编制完成后进行。
第三十一条
本细则自之日起执行。
风险理论是指在不确定性的条件下对一个位置视角或者事物的预估过程，国有企业的风险控制是一个基于未来的过程，在对经济活动中存在的风险性问题研究中，奈特表示，经济学当中所有不确定性的问题的根本原因在于经济发展过程自身的一种前瞻性，它使得生产者在生产经营的一开始就必须要定下目标，另一方面，社会商业管理活动的过程中会涉及到经济活动与实际情况的偏差，这种偏差对利润的结果就是不确定性和风险存在的表现。
1.2国有企业风险控制问题研究意义
本文以我国的国有企业发现现状为切入点，对其内在的风险控制问题做出相应的研究，其中主要是对国有企业风险控制的特殊性问题进行了一定程度上的研究，此外，在对国有企业的风险控制机制的一般框架所带来的保障国有资产经营安全性的制约性问题进行研究，进而从风险控制的角度来研究这一问题。它为当下国有企业自身在治理结构上存在的缺陷进行了一定程度上的纠正，同时也为考察工作的顺利进行提供了理论指导，并且从国有企业的控制力和影响力层面探究出相关的理论点，为我国企业的更好更快发展提供坚实有力的理论指导。
2.国有企业风险识别
2.1一般企业风险识别过程
风险控制是一项具有整体性的制度安排，其管理模式是动态的，最终目的在于企业组织的收益性。在企业管理中，最根本的目的是收获经济效益，在此前提之下，必要的经济估算则是实现这一目标的必经过程，而在经济估算当中，由于预想与实际情况的偏差所导致的问题以及人与交易的控制点的差异性对经济估算结果带来的影响成为相关研究者和企业管理者所关心的问题。风险识别就是对这种风险进行判断、界定和管理的主体，它包括各个具体的职能部门以及企业管理层两个层次，在一般情况下，风险识别是对风险管理中的风险认知水平进行有效识别。
2.2国有企业风险识别特点
不同企业类型在风险识别管理机制上的内容与方式不尽相同，因此，在国有企业的日常经营管理过程中，一般意义上的风险识别并不完全适用于国有企业的管理，比如一般企业的风险识别主要集中于管理层面，而国有企业的风险识别主要集中于治理层面，在这种情况下，我们对国有企业的风险识别问题上应该有所区分。国有企业的风险识别特点在外在决定性上的体现较为明显，一方面在于其完善的制度管理体系，另一方面在于其决策层的足够保证，这就使得国有企业在风险识别主体的选择机制上存在特殊性。
2.3国有企业风险识别具体内容
从一般企业的风险识别与国有企业的风险识别的对比之下可以预见到国有企业在企业群体中的差异性，这一差异性包括两方面的内容，一是单个国有企业风险识别具体内容的界定，另外还包括国有资产监督机构风险识别具体内容的界定。通过对双方面因素进行综合衡量，来获取风控重点内容。
3.国有企业风险控制
3.1国有企业风险治理概述
在国有企业的经济体制改革中，风险控制是一项严肃的课题，它关系到企业的探索过程，风险治理涉及到诸多理论知识，包括政治经济学、法律以及经营管理，风险控制是一项系统的课程，它在企业的日常经营管理中发挥着潜在的影响作用，对于国有企业的风险治理，各大相关领域暂时达成了一致的共识，认为在企业治理中应该有风险控制的意识，另外，我国目前的国有企业在风险控制的创新方面还存在一定程度上的欠缺，因此，本文的研究目的在于为国有企业的风险控制提供新的视角与思路，并从更加广泛的角度和更高层面为国有企业的风险控制理论提供案例以及参考。由于国有企业在企业内部风险交易和风险传导机制上存在一些特异点，因此，国有企业的风险控制问题应该被单独列到一个版块进行相关的理论阐述和实践探究。商场化改革为我国国有企业的发展道路指明了方向，同时在企业的风险治理方面，必须遵循标准化的价值原则，以我国国有企业治理问题的研究为导向，对市场环境下企业治理的模式进行考量，以此来丰富国有企业风险控制理论的研究状况。
3.2国有企业风险案例研究及案例分析
我国企业集团的形成过程比较短，在相关的体制建设和制度研究方面尚且存在缺陷，现实西方经济体系中活跃的大型企业集团均拥有稳定的企业制度和成熟的运作机制。本文就西方大型企业运行机制与我国国有企业发展现状为前提性背景，对国有企业的风险治理实践情况做相应的实践探究。首先是对企业经营管理过程中的法律风险进行调查，分析其内部原因与外部原因，对企业治理存在的缺陷进行探讨，根据国资委对14家央企的抽样调查中可以发现，在2010年上半年累计发生的法律纠纷案件有288件，在2010年下半年则增加到了544件，增幅高达143%，其中金融、投资、知识产权和并购等方面的法律风险尤其突出。说明这一问题的严重性，本文采用改制后国有企业引入民营企业作为战略投资者的案例，从反面证明了当前国有企业改制中存在的法律风险问题。国有企业风险控制是一个综合化过程，内部控制与外部控制应该同时实施。内部从制度、资源配置优化等方面展开，做好风控评估工作，并制定出预防性方案，使得风险事件发生概率得以降低。外部控制则需要结合市场动态进行，以市场为导向，遵从市场机制，防范市场风险，从而让企业能够立足于市场。
