发布时间：2023-10-09 17:42:06
绪论：一篇引人入胜的安全信息服务，需要建立在充分的资料搜集和文献研究之上。搜杂志网为您汇编了三篇范文，供您参考和学习。
无论是基础设施、资金、人才还是政策扶持，甚至是项目推介和品牌宣传，软件园区这片沃土都给软件企业带来丰富养分。《中国计算机报》“软件园区”专栏，记录软件企业崛起，见证软件产业发展！
如今，电子取证和计算机法证业务在欧美发达国家和我国香港地区已经相当成熟，除了主要应用于金融行业外，在政府和企业中也有了相当多的应用。IDC 统计显示，2011年全球电子数据取证市场的规模达到18 亿美元，预计2015年中国电子数据取证将达到近10亿元人民币的市场规模。
电子取证：安全不可缺的一环
2012年3月，中国内地和香港地区最高级别的计算机法证技术协会——中国计算机法证技术研究会（CCFC）、香港信息安全与法证公会（香港ISFS）正式授权上海浦东软件园信息技术股份有限公司（以下简称浦软信息）为其华东代表处，这标志浦软信息拥有了国内领先的电子取证平台。
2012年7月，首次移师上海的第八届CCFC计算机法证技术峰会在上海浦东软件园举行。会议期间，由浦软信息投巨资新建并已投入运行的高水准电子数据司法鉴定实验室（以下简称取证实验室）及配套设施受到了海内外参会者的关注和期待。取证实验室包含了计算机鉴定人员从事涉及计算机犯罪案件受理、电子数据勘查、调查取证、数据恢复、密码破解、鉴定分析、证据存储等13个专门区域，并已经与CCFC和香港ISFS做了业务上的对接。
据上海浦东软件园信息技术股份有限公司总经理叶慧介绍，浦软信息将集全公司之力把取证试验室建设成为国内在技术与硬件条件上最卓越的实验平台。浦软信息的取证业务将由单一的取证产品向多样化、个性化服务转变，最终形成以自主取证产品销售、司法鉴定服务和专业取证培训为核心的三位一体的业务模式以及“事前预防、事中响应、事后取证”的整体信息安全解决方案。
公司成立了专业的市场销售团队，通过整体的设计与市场策划来推广取证业务。
如今，浦软信息更希望将已经拥有的平台资源和取证业务推广到信息安全市场较成熟的地区，与更多的业界同行一起培育电子取证市场。叶慧强调，浦软信息作为计算机安全防护领域整体解决方案的提供商，有义务和责任通过自身的努力为社会带来更多的价值，并以此作为自己的使命和社会责任。
取证培训：旨在完善认证体系
工欲善其事，必先利其器。专业取证培训是浦软信息取证业务中很重要的一环。取证实验室研发出许多基于高端技术的取证产品，其精心设计的培训教室拥有各类多媒体设备，能够满足取证技术领域内的各种培训要求，并已经举办过多次各类层次的取证培训。
第八届CCFC计算机法证技术峰会引入了海外专业培训方式，在由香港ISFS开办的研习会上，结合实际案例，对计算机法证技术应用及信息安全防护进行专业指导。
浦软信息之所以花大力气开展取证培训业务，就是预见到取证市场的前景将无限广阔，需要一个成熟的资质认证体系，构筑一个中国取证行业专业、统一的标准。因此，浦软信息规划了取证资质认证培训的发展方向，那就是明确自身的市场地位，完善取证实验室的培训体系和业务，今后将与海内外专业机构合作，继续拓展培训业务，最终得到政府部门和业内对浦软信息取证培训资质认证的认可。
制度创新：确保信息业务拓展
今年2月15日，上海股权托管交易中心正式开张，浦软信息成为首批挂牌OTC（场外交易市场）成员。这对浦软信息来说无疑是一个重要的转折点——浦软信息已经从一家中小型的以产品销售为导向的IT公司转变为一家以IT服务为核心的非上市公众公司。
浦软信息希望通过OTC挂牌交易，在为股东和其他投资者提供更多选择的同时，通过股权的发行和交易使得公司的法人治理结构更加规范和严谨，这对浦软信息未来发展是至关重要的，也是最大的挑战。另外，作为公众公司，浦软信息必须考虑到诸多方面的影响，决策上必须更加谨慎，对内部资源的安排也要考虑得更细致，要有平衡企业资源的能力，包括客户和市场资源，要投入更多的资源来支持和规划新的公司制度和运转。对此，叶慧信心满满。
优秀基因：可持续发展的动力
作为一家还处于成长期的中小型IT企业，浦软信息还有相当大的提升空间，但公司管理层始终保持着危机感，对市场保持高度的敏感，业务上真正做到以客户为导向，技术上不遗余力地投入人力物力。追求“优秀”是浦软信息始终坚持的目标。
何谓“优秀”，叶慧对此做了进一步诠释。
“优秀”体现在专业上，就是要有专攻方向。在信息安全领域浦软信息已经有十几年的经验，这既是公司的优势也是公司的品牌。同时，这种专业还要体现在技术研发的能力上，使之成为浦软信息的核心竞争力。作为一家IT公司，技术是最重要的生产力。
“优秀”体现在人才上，就是把员工视作企业发展中最重要的资产，将管理团队与技术团队作为企业的核心。浦软信息的股权结构中也有员工持股，这体现了公司创始人开放的胸襟。
“优秀”同时也体现在健康上，浦软信息未来的目标是上市。作为公众公司，需要给股东和员工持续的回报，这是相当重要的。作为一家肩负着社会责任的公众企业，体制一定要健康，不能一味盲目地追求增长速度，企业发展方式和公司结构至关重要，这也是企业可持续发展的前提。
IT行业内真正能够屹立不倒的百年老店一定具备“优秀”的基因，而不是纯粹靠包装和粉饰；同样，有了这些“优秀”的基因，一个升级版的浦软信息将从企业级信息安全服务行业中脱颖而出，也就有了底气。
记者手记
人生就是一场修炼
从上海市经济和信息化委员会到上海浦东软件园总部再到浦软信息，叶慧的角色在不断转变，虽然都涉及IT和通信行业，但视角却大不相同。尤其是调任浦软信息后，叶慧从原先站在宏观角度转变为以企业职业经理人的微观角度来审视IT和通信行业，同时还要承受着国有企业职业经理人特有的压力。
中图分类号：TP393.08文献标识码：A文章编号：1007-9599 (2012) 06-0000-02
在近些年，金盾工程进一步展开，各项信息网都得到了长足的发展，电子信息技术以计算机为应用基础，网络技术在各行各业中得到了越来越广泛的应用，信息量的传递速度与共享范围达到了前所未有的程度。
一、网络和信息安全存在的威胁因素
计算机网络的应用在日常生活中越来越普及，网络系统及其中的重要信息资源无时无刻不面临着来自四面八方的安全威胁，具体表现在如下几个方面。
首先，内部人员的错误操作以及违规使用
这一类的情况主要有：蓄意盗窃网络密码、越权进入系统、越权操作访问、人为蓄意破坏等。调查显示，对网络系统产生严重影响的行为一般来自于网络内部的错误操作和违规使用，所以每个网络管理者必须面对和思考的问题就是如何能有效地杜绝这一类的行为，在事后能够较为成功的进行定位并及时取证分析。
第二，外部威胁
来自于外部的非法入侵主要是指外部远程用户利用非法软件和系统，进入网络系统，并对相关信息数据进行盗窃、篡改甚至毁坏性掠夺，从而导致网络服务瘫痪乃至整个服务进程的中止。
第三，拒绝服务攻击
表现在对网络服务系统所进行的不间断干扰，有时表现为改变网络服务系统中正常进行的作业流程，或者是执行无关的程序，进而加重整个系统的运转负荷，导致系统响应速度减慢，严重影响正常用户的使用，调查显示，网络因受攻击而拒绝服务的趋势明显上升。
第四，网络病毒
在所有的网络威胁中，网络病毒无疑是最为臭名昭著的，它是最为常见、最重要、最难防范的威胁，它对各种局域网，甚至对整个互联网的安全所产生的威胁是随时存在的。
二、建立网络和信息安全动态策略
网络技术的普及，提高了工作效率，因此构建一个良好的网络环境十分必要，然而，伴随着计算机网络在各行各业中的广泛应用，相关的安全问题也不可避免地日渐突出，如果放任网络上各种安全问题滋生扩大，不仅会严重的降低生产效率和生活质量，还会给人民的生命和财产安全带来极其巨大的威胁和损害。
首先，网络安全主要分为四个主要层面：物理安全、文化安全、信息安全以及系统安全。
第一，物理安全即指包括了各种通讯线路以及设备、计算机主机等硬件设施在内的所有网络基础设施，例如：容错、容外部损伤、对干扰的抵抗等。
第二，系统安全。即是指代存在于网络通信中的基础协议，包含了操作系统以及应用系统在内的可用性，包括使用的合法性。例如，遇到网络阻塞时的防护措施、对非法入侵行为的防护以及防护计算机病毒的自我保护行为等等。其核心内容和技术为：身份认证、日志的审查统计、对所授权限的管理、检测系统漏洞并进行修补、对病毒以及其它各种形式的入侵行为的防护等。对入侵防护技术的概念则为：入侵防范、之后的检测以及响应和系统的恢复。
第三，信息安全是指在保证数据和信息的完整性、保密性以及有效性等特性能，在计算机网络中进行存储、处理和传输等各项过程中得到安全的监护和保护。基础行为包括对信息窃取行为的及时制止，防止恶意篡改信息以及冒名的发送伪造信息等，在所有的安全保障手段中，其最核心的技术则是密码技术。顾名思义，即是在密码技术的支持下，对数据加密、数字签名以及相关身份确认等诸如此类的行为得到完整地实现，所以我们可以看见在信息安全以及系统安全中间存在着极强的彼此相互依赖的关系。
三、建立网络与信息安全体系
为了在最大限度上保证全部网络信息合法用户的网络信息安全，应该建立网络与信息安全的一整套体系，其结构可以划分为呈若干层次，所涉及的环节较多，主要包括：网络安全中各种策略的建设性指导、网络安全标准的统一规范、网络安全全面防范的高端技术、网络安全管理全方位保障以及网络安全服务支持体系的建立等。这种安全体系的初衷是要建立一个可控的安全体系机构，管理人员在规范合理的指导下，得以拥有把握网络整体安全状况的权限，从而可以有效的对安全硬件设备以及先进的安全技术进行合理利用和全面管理，使得整个网络与信息的安全性可控得以实现。网络动态安全的实施则应该按步骤，分层次低进行。
首先，必须了解当前网络整体的安全状况，即进行安全风险的合理评估（主要指确定网络资产的安全威胁性和脆弱性，并进一步估算由此可能会造成的损失程度和影响的过程）在综合考虑提高网络安全性、评估风险以及制定对应的安全措施时，应该考虑要有一套较为完整及符合实际情况的风险分析方法（包括了对应的安全措施制定方法），网络安全评估的主要内容有如下两个方面，首先，在考虑了回避最为常见的威胁以及漏洞（包括网络管理部门在实施安全措施的控制之下仍然发生的破坏安全事件的发生概率）。
第二，当安全措施失效从而导致造成了业务的损失（包括到预计中财产信息被公开，还有信息不完整甚至不可用的全面影响）。这种风险评估所得出的结果应该作为制定网络安全策略时所必须参考的依据，在进行风险评估分析的基础上，进一步提出网络和信息安全的整体需求，以期能够确定网络所要达到的安全系数和级别，对进一步可能采取的安全措施进行总体计划，有针对性地发现并及时、彻底地解决网络中存在着的诸多问题和症状，在动态安全体系的正确指导下，制定出更为合理有效的安全措施，并进行较为严格的安全管理。
安全保护及实时监测。即是指选用相关的安全产品（包括前沿技术、能够执行的合适的安全制度）全面的安全管理规章制度的制定，明确安全实施与管理中全部流程，各个方面安全职责的切实确定，提高网络安全性。而安全保护过程中可以使用的手段包括：设置防火墙、对漏洞进行定期扫描及修补、对非法入侵的检测、对病毒的防护、备份与恢复、对信息进行多重加密、日志与审查统计以及动态口令等。
四、结语
总之，安全不是一朝一夕的事，所以当然不可能会有一个一劳永逸的解决方案。安全防护是一个动态的、不断在进行和改革以期逐步完善的过程。这就引出了网络安全的新概念——网络动态安全体系模型。
参考文献：
1 社区卫生服务中心信息安全背景
20世纪90年代以来，信息技术不断创新，信息产业持续发展，信息网络广泛普及，特别是原卫生部《卫生信息化发展规划(2011～2015年)》之后，明确了卫生信息化是深化医药卫生体制改革的重要内容。那么作为整个卫生信息化体系的“网底”的社区卫生服务中心，其重要性不言而喻。随着卫生信息化的建设不断扩展和深入，依托于区域卫生信息中心的各类应用系统不断上线推广应用。网络与数据安全已逐步成为各项卫生信息工作开展的重要基础依托。因此社区卫生服务中心作为区域卫生信息中心的重要结点。信息安全管理就显得尤为重要。
2 什么是信息安全管理
“三分技术，七分管理”是信息安全保障工作中经常提到的。可见，信息安全管理是信息安全保障的至关重要的组成部分。信息安全管理(Information Security Management)指组织中为了完成信息安全目标，遵循安全策略，按照规定的程序，运用恰当的方法，而进行的规划、组织、指导、协调和控制等活动。作为组织完成的管理体系中的一个重要环节，它构成了信息安全具有能动性的部分，是指导和控制组织相互协调完成关于信息安全风险的活动，其对象就是包括人员在内的各类信息相关资产。在社区卫生服务中心由于信息系统应用较为广泛，基本包含了医疗、护理、医技、行政等所有科室及其人员。
长期以来，社区卫生服务中心在信息安全建设方面，存在重技术轻管理、重产品功能轻安全管理、缺乏整体性信息安全体系考虑等各方面的问题。区域卫生信息中心采用集中管理的信息安全技术及产品的应用，一定程度上可以来解决社区卫生服务中心在网络传输时的信息安全问题。但是仅仅靠这些产品和技术还不够，即使采购和使用了足够先进、足够多的信息安全产品，仍然无法避免一些信息安全事件的发生。近年来，由于管理不善、操作失误等原因导致的卫生信息及病患基本信息泄露的安全事件数量不断攀升，更加剧了社区卫生服务中心需要信息安全管理的迫切性。
3 社区卫生服务中心信息安全管理作用
社区卫生服务中心信息安全管理的作用体现任以下几个方面。
3.1信息安全管理是社区卫生服务中心组织整体管理的重要的、固有的组织部分，是组织实现中心业务目标的重要保障。在信息时代的今天，信息安全威胁已经成为社区卫生服务中心等医疗机构业务正常运营和持续发展的最大威胁。如在社区卫生服务中心发生的费用结算85%以上通过医保信息系统来进行，所有的医生工作站都依托中心服务器来提供数据进行操作，医技部门也通过信息系统获取病人信息和传送结果。一旦信息系统发生故障对于社区卫生服务中心来说是灾难性的。因此中心需要信息安全管理，有其必然性。
3.2信息安全管理是信息安全技术的融合剂，是各项技术措施能够发挥作用的重要保障。安全技术是信息安全控制的重要手段，许多信息系统的安全性保障都要依靠技术手段来实现，但光有安全技术还不行，要让安全技术发挥应有的作用，必然要有适当的管理程序的支持，否则，安全技术职能趋于僵化和失败。如果说安全技术是信息安全的构筑材料，那么信息安全管理就是融合剂和催化剂，良好的管理可以变废为宝，使现有的各项技术相互配合发挥应有的作用，而糟糕的管理会使技术措施变得毫无用处。实现信息安全，技术和产品是基础，管理才是关键。在信息安全保障工作中必须管理与技术并重，进行综合防范，才能有效保障安全，这也是实现信息安全目标的必由之路
3.3信息安全管理是预防、阻止或减少信息安全事件发生的重要保障。早期人们对于信息安全的认识主要侧重在技术措施的开发和利用上，这种技术主导论的思路能够解决信息安全的一部分问题，但却解决不了根本，据权威机构统计表明，信息安全问题大约70%以上是由管理方面原因造成的，大多数信息安全事件的发生，与其说是技术上的原因，不如说是管理不善造成的。因此解决信息安全问题、防止发生信息安全事件不应仅从技术方面着手，同时更应加强信息安全的管理工作。
信息安全涉及的范畴非常广，信息安全不是产品的简单堆积，也不是一次性的静态过程，它是人员、技术、操作三者紧密结合的系统工程，是不断演进、循环发展的动态过程。因此，要求社区卫生服务中心的相关人员正确理解信息安全、理解信息安全管理的关键作用，以更好地开展信息安全管理工作。强调信息安全管理的作用，并不是要削弱信息安全技术的作用;开展信息安全管理工作，要处理好管理和技术的关系，要坚持管理与技术并重的原则，这也是信息安全保障工作的主要原则之一。
4 社区卫生服务中心信息安全管理控制措施
在我国对于信息安全等同采用IS0 27002：2005，命名为《信息技术安全技术信息安全管理实用规则》(GB/T 22081-2008)。信息安全是通过实施一组合适的控制措施而达到的，包括策略、过程、规程、组织结构以及软件和硬件功能。可见对于社区卫生服务中心的信息安全来说，安全控制措施是必要且十分重要的。其中比较重要的如下：
4.1安全方针 社区卫生服务中心的信息安全方针控制目标，是指中心的信息安全方针能够依据业务的要求和相关法律法规提供管理指导并支持信息安全。社区卫生服务中心信息安全方针文件的内容应包含中心管理者的管理承诺、组织管理信息安全的方法、中心信息安全整体目标和范围的定义、中心管理者意图的声明、控制目标和控制措施的框架、重要安全策略、原则、标准和符合性要求说明、中心信息安全管理的一般和特定职责的定义、支持方针的文件的引用等。
4.2信息安全组织 信息安全组织一般分为内部组织和外部组织。社区卫生服务中心内部组织的信息安全控制目标是指在中心内管理信息安全。组织的安全建立在每一位人员不同责任分工的划分，不同的责任会有不同的工作指导原则。其中应当包括信息安全的管理承诺、信息安全协调、信息安全职责的分配、信息处理的授权、保密协议、信息安全的独立评审等。社区卫生服务中心外部组织的信息安全控制目标是保持中心被外部各方访问、处理、管理或与外部进行通信的信息和信息处理的安全。主要包括中心与系统外单位信息通信相关风险的识别、处理相关的安全问题和处理第三方协议中的安全问题等。
4.3人力资源安全 人员在中心的信息安全管理中是一个最重要的因素，有资料表明，70%的安全问题是来自人员管理的疏漏，为了对人员有一个有效的管理，需要从任用之前、任用中、任用的终止或变更三项控制目标进行管理。
4.3.1任用之前控制是指社区卫生服务中心任用人员之前为了确保人力资源的安全，需考虑到角色是否适合相应岗位，以降低设施被窃、信息泄露和误用的风险，这一目标的实现需通过角色和职责、审查、任用条款和条件三项控制措施的落实来保障。
4.3.2任用中社区卫生服务中心的信息安全控制目标就是确保所有的员工、承包方人员和第三方人员知悉信息安全威胁和利害关系、他们的职责和义务、并准备好在其正常工作过程中支持组织的安全方针，以减少人为过失的风险。
4.3.3社区卫生服务中心发生任用的终止或变更时，应确保信息的安全不外泄，确保员工、承包方人员和第三方人员以一个规范的方式退出或改变其任用关系。可以通过终止职责、资产的归还、撤销访问权限等控制措施来实现。
4.4物理和环境安全 社区卫生服务中心的物理和环境安全可以从安全区域和设备安全来入手管理。定义安全区域是为了防止对中心场所和信息的未授权物理访问、损坏和干扰。可以通过设置物理安全边界、物理入口控制、办公室房间和设施的安全保护、外部和环境的安全防护、在安全区域工作、公共访问和交接区安全。设备安全是指防止由于资产丢失、损坏、失窃而危及社区卫生服务中心的资产安全以及信息安全。中心可通过设备安置和保护、支持性设施、布缆安全、设备维护、场所外的设备安全、设备的安全处置和再利用，资产的移动等措施来进行保障。
4.5通信和操作管理 社区卫生服务中心的通信和操作管理一般可从操作规程和职责、第三方服务交付管理、系统规划和验收、防范恶意和移动代码、备份、网络安全管理、介质处置、信息的交换、电子商务服务、监视等方面入手。
4.6访问控制 对于社区卫生服务中心来说，访问控制可从访问控制的业务要求、用户访问管理、用户职责、网络访问控制、操作系统访问控制、应用和信息访问控制、移动计算和远程工作等控制目标来入手。
4.7信息安全事件管理 社区卫生服务中心的信息安全事件管理可以从报告信息安全事态和弱点、信息安全事件和改进的管理两个控制目标入手进行管理。
4.7.1报告信息安全事态和弱点这项控制目标旨在确保中心与信息系统有关的信息安全事态和弱点能够以某种方式传达，以便及时采取纠正措施。该目标下有报告信息安全事态和报告安全弱点这两项控制措施来保障这一目标的实现。①报告信息安全事态控制措施，是指信息安全事态应该尽可能快地通过适当的管理渠道进行报告。实施过程中应建立正式的信息安全事态报告程序，以及在收到信息安全事态报告后采取措施的事件响应和上报程序。②报告安全弱点控制措施，是指中心应要求信息系统和服务的所有职员、承包方人员和第三方人员记录并报告他们观察到的或怀疑的任何系统或服务的安全弱点。报告机制应尽可能容易、易理解和方便可用。应告知他们在任何情况下，都不应试图去证明被怀疑的弱点。
4.7.2信息安全事件和改进的管理。社区卫生服务中心信息安全事件和改进的管理这一控制目标旨在确保采用一致和有效的方法对信息安全事件进行管理。中心可以用职责和程序的控制措施、对信息安全事件的总结、证据的收集三项控制措施来保障这一目标的实现。①职责和程序的控制措施。它是指中心应当建立管理职责和程序，以确保能对信息安全事件做出快速、有效和有序的响应。该项措施实施时除了对中心的信息安全事态和弱点进行报告外，还应利用对系统、报警和脆弱性的监视来检测中心信息安全事件。遵循严格的信息安全事件管理程序的前提是中心需建立规程以处理不同类型的信息安全事件，如恶意代码、拒绝服务、信息系统故障和服务丢失、违反保密性和完整性、信息系统误用等。中心除了考虑正常的应急计划还要考虑事件原因的分析和确定、遏制事件影响扩大的策略、向合适的机构报告所采取的措施等。②中心对信息安全事件的总结控制措施，是指社区卫生服务中心应有一套机制量化和监视信息安全事件的类型、数量和代价。从信息安全事件评价中获取的信息应用来识别再发生的事件或高影响的事件。③证据的收集。证据的收集对于社区卫生服务中心来说，是指当中心的一个信息安全事件涉及到诉讼(民事的或刑事的)，需要进一步对个人或组织进行起诉时，应收集、保留和呈递证据，以使证据符合相关诉讼管辖权。过程有：为应对惩罚措施而收集和提交证据，应制定和遵循内部程序，为了获得被容许的证据，中心应确保其信息系统符合任何公布的标准或实用规则来产生被容许的证据：任何法律取证工作应仅在证据材料的拷贝上进行。
4.8业务连续性管理 对于社区卫生服务中心来说业务连续性管理是指防止中心业务中断，保证中心重要业务流程不受重大故障与灾难的影响。业务连续性管理过程中包含信息安全，该控制措施是指应为贯穿于组织的业务连续性开发和保持一个管理过程。解决中心的业务连续性所需的信息安全要求，保护关键业务过程免受信息系统重大失误或灾难的影响，并确保他们的及时恢复。应包含中心的信息安全、业务连续性和风险评估、制定和实施包含信息安全的连续性计划、业务连续性计划框架、测试、维护和再评估业务连续性计划等内容。
5 社区卫生服务机构信息安全的展望
