導語：如何才能寫好一篇企業(yè)網絡安全應急演練，這就需要搜集整理更多的資料和文獻，歡迎閱讀由公務員之家整理的十篇范文，供你借鑒。

篇1

【關鍵詞】發(fā)電企業(yè);網絡安全;管理;技術

近些年，隨著電力體制改革的逐步深入和信息技術的飛速發(fā)展，發(fā)電企業(yè)對信息系統(tǒng)的依賴性逐漸提高，信息系統(tǒng)在企業(yè)生產經營和管理中扮演的角色越來越重要。發(fā)電企業(yè)通過信息化方式進行生產管理和辦公得到了廣泛認同，并因此大幅提高了生產效率和管理水平。

其中，網絡安全工作的落實情況是企業(yè)信息化管理水平的集中體現。作為國家能源行業(yè)的一份子，發(fā)電企業(yè)的信息網絡安全尤為重要，保障發(fā)電企業(yè)的網絡安全也是保障國家和社會安全的重要一環(huán)。發(fā)電企業(yè)對于信息化的重視程度也體現在加強自身信息網絡安全工作上，網絡安全已經成為發(fā)電企業(yè)安全生產的一項重要內容，不論對于火力、水力、核電、風能、太陽能還是新能源發(fā)電企業(yè)，網絡安全同等重要。

從電力行業(yè)信息化的發(fā)展現狀來看，網絡安全工作大致可以分為以下幾個方面：網絡安全管理、安全防護技術、應急保障和宣傳教育等。網絡安全管理包括：企業(yè)要有網絡安全領導責任制、管理機構和信息化網絡專責工作人員;網絡安全責任制的具體落實以及責任追究機制;人員、信息化經費、信息資產、采購、培訓、外包人員等日常安全管理;完整、完善的網絡安全管理制度體系;安全監(jiān)測、硬件冗余、安全審計、補丁管理。安全防護技術包括：防病毒、防篡改、防癱瘓、防攻擊、防泄密等安全措施;服務器、防火墻、物理隔離設備等網絡安全設備的安全策略和功能有效性;局域網、互聯(lián)網、無線網絡安全措施;和非計算機、移動介質及密碼設備的安全防護措施。應急保障工作包括：信息安全事件應急預案、數據備份和恢復演練、應急技術支撐隊伍、重大安全事件處置等。宣傳教育工作包括：企業(yè)日常網絡安全培訓（包含：企業(yè)領導、信息化人員和業(yè)務人員）和網絡安全管理員專業(yè)技術培訓。

發(fā)電企業(yè)已經在網絡安全方面取得了很大的成績，軟件正版化率、自主開發(fā)軟件和國產信息系統(tǒng)的使用率都在逐年提高，國產網絡安全防護設備也已經大范圍應用在企業(yè)網絡中。發(fā)電企業(yè)在取得一些成績的同時，還需要充分認識到自身的不足之處，很多發(fā)電企業(yè)認為發(fā)電才是自己的主業(yè)，對企業(yè)信息化不夠重視，人員和資金的投入都很少，導致企業(yè)網絡安全得不到有效的保障，網絡安全事件時有發(fā)生，這對于企業(yè)和國家都是一筆損失。

綜上所述，發(fā)電企業(yè)要從以下幾個方面入手，逐步改進并完善網絡信息安全工作：企業(yè)應該有獨立的信息化管理部門，設置專門負責網絡安全管理員，明確崗位安全責任制，成立信息化領導小組、信息安全工作小組和招標小組等信息化工作組織機構;定期召開網絡安全管理工作會議，商議決策企業(yè)信息化工作，強化網絡安全;做好企業(yè)網絡安全規(guī)劃，按照年度、短期和長期規(guī)劃來制定，信息安全工作的整體策略及總體規(guī)劃（方案）需要完善，在今后工作中不斷補充、調整與細化;將信息網絡安全管理納入到企業(yè)年度工作計劃和績效考核中;每年都要進行定期的信息安全培訓和宣傳，讓員工充分了解和熟知網絡安全對于企業(yè)的重要性;劃分明確的分區(qū)界限，根據生產、管理等要素進行分區(qū)管理;完善企業(yè)網絡信息安全管理制度，并落實執(zhí)行;加強局域網、廣域網和對外網站的管理;按照公安部和上級部門的有關要求，進行信息系統(tǒng)安全等級保護備案工作，進行安全風險測評;定期開展網絡安全自查工作，并按照檢查問題進行相關整改，需要定期開展網絡安全自查及整改工作，有條件的企業(yè)可以請外面高水平的專家組來企業(yè)做安全測評指導，通過這些檢查可以及時發(fā)現問題，進行有效的整改工作，保障企業(yè)信息網絡安全，使得員工可以通過信息系統(tǒng)提高生產管理和辦公效率;定期進行信息系統(tǒng)數據備份和恢復演練，進一步完善企業(yè)的網絡與信息安全應急管理體系，保障應急資源的及時到位，進一步制定有針對性的、實用化的專項應急預案，同時預案的演練要實現常態(tài)化;設定賬戶鎖定時間、賬戶鎖定閥值、重置賬戶鎖定計數器等安全策略;信息系統(tǒng)管理員需要定期檢查補丁更新、防病毒軟件和防惡意代碼軟件工作日志;口令執(zhí)行策略需要包括：密碼必須符合復雜性要求、密碼長度最小值、密碼短期使用期限、密碼長期使用期限、強制密碼歷史和用可還原的加密來存儲密碼等安全策略;盡可能采用每個賬戶和每個人一一對應的關系，避免了賬戶的重復和共享賬戶的存在，對于多余的、過期的賬戶進行定期檢查和及時刪除;實現操作系統(tǒng)和數據庫系統(tǒng)特權用戶的權限分離，實現數據庫賬戶獨立管理;要有完整的機房進出記錄和系統(tǒng)安全維護檢查記錄;完善備份系統(tǒng)建設;企業(yè)應建立長效機制以確保信息安全建設及運行維護經費及時到位，以實現經費投入的常態(tài)化;加大信息安全產品的投入力度并盡量采購國內廠家的安全產品，降低對國外產品的依賴程度;對在信息安全崗位及其他敏感崗位工作的人員一定要搞好審查工作，只有符合規(guī)定的人員才能上崗，一旦人員離崗必須簽署保密承諾書且其權限要及時收回;按照國家有關要求，需要做到所有計算機類產品不安裝Windows 8操作系統(tǒng)，并采取措施應對Windows XP停止安全服務;安全防護產品采取白名單、卸載與工作無關的應用程序、關閉不必要服務和端口等安全措施情況。

不論在哪個行業(yè)或領域，安全都是第一位的，而網絡安全在涉及國家安全的發(fā)電企業(yè)更是尤為重要。發(fā)電企業(yè)要按照“誰主管誰負責，誰運營誰負責”的原則，明確任務，落實責任，加強網絡安全工作，保障企業(yè)網絡與信息系統(tǒng)的安全穩(wěn)定運行。因為電力屬于國家能源行業(yè)的重要一環(huán)，必須遵循“上網不、不上網”的原則。總之，發(fā)電企業(yè)面臨的網絡安全形勢是復雜多變的，還有很長的路要走。

參考文獻

[1]羅寧.P2P安全問題初探[A].第十七次全國計算機安全學術交流會暨電子政務安全研討會論文集[C].2002.

[2]祝崇光，姚旺.檢察系統(tǒng)信息網絡安全的風險評估[A].全國計算機安全學術交流會論文集（第二十二卷）[C].2007.

[3] 朱修陽. 檢察機關專網系統(tǒng)信息網絡安全體系初探[A].全國計算機安全學術交流會論文集（第二十二卷）[C].2007.

[4]曾德賢，李睿.信息網絡安全體系及防護[A].第十八次全國計算機安全學術交流會論文集[C].2003.

[5]劉威，劉鑫，杜振華.2010年我國惡意代碼新特點的研究[A].第26次全國計算機安全學術交流會論文集[C].2011.

篇2

【關鍵詞】煤礦 信息網絡信息系統(tǒng) 網絡安全

隨著信息技術、網絡技術、自動化技術、視頻技術、傳感器技術等一系列先進技術的快速發(fā)展和融合，煤礦企業(yè)信息網絡建設也取得了豐碩成果。目前國內大、中型煤礦企業(yè)基本上都已經構建和裝備了企業(yè)互聯(lián)網、工業(yè)以太網、監(jiān)測監(jiān)控、人員定位、工業(yè)控制等信息系統(tǒng)，這些信息系統(tǒng)已經深入到煤礦安全生產的方方面面，而且很多工業(yè)系統(tǒng)自動化程度非常的高，比如提升系統(tǒng)、選煤系統(tǒng)等已經實現了無人操作，遠程開停、故障閉鎖等，操作人員只需要對運行的參數進行觀測和記錄，大大提高了人員工作效率、增強了企業(yè)的核心競爭力。所以今天煤礦企業(yè)信息網安全就顯得尤為重要，本文將就煤礦企業(yè)信息網絡安全現狀及重要性進行分析和探究。

1 現狀分析

我國中、大型煤礦企業(yè)建設和應用了大量的信息系統(tǒng)和工業(yè)控制系統(tǒng)，并且這些信息系統(tǒng)已經深入到生產經營的方方面面，促使煤礦企業(yè)從傳統(tǒng)的密集型、重體力生產模式向“采掘機械化、生產自動化、管理信息化”模式轉變，有力地提升了煤礦企業(yè)管理效率，加速了煤礦的企業(yè)轉型升級。但是煤礦企業(yè)在信息網絡安全管理方面還存在諸多問題：

1.1 企業(yè)管理人員對信息網絡安全的重要性認識不足

主要表現在四點，一是沒有建立完善的信息網絡組織體系，相關的制度建立和落實不到位。二是企業(yè)大都沒有編制詳實可行的信息網絡安全預案，也沒有進行相關的應急演練；三是信息網絡安全方面的投入比較少，企業(yè)安全防護設施不全；四是企業(yè)管理人員對于信息網絡安全的知識非常欠缺，只注重信息系統(tǒng)具體應用和預設功能，對于操作可能帶來的網絡威脅沒有防范意識。

1.2 信息孤島與信息網絡安全之間的矛盾日益沖突

早期煤礦企業(yè)建設的信息系統(tǒng)和工業(yè)控制系統(tǒng)都是一個單一的個體，相互獨立，之間沒有任何聯(lián)系，隨著信息技術的發(fā)展和企業(yè)管控一體化進程的不斷推進。“信息孤島”的問題得到了很大程度的解決，但同時產生的信息網絡安全問題也日益突出。“信息孤島”的消除依賴網絡的廣泛應用，而網絡正是信息安全的薄弱環(huán)節(jié)。消除“信息孤島”勢必使工業(yè)控制系統(tǒng)增加大量的對外聯(lián)系通道，這使得信息網絡安全面臨更加復雜的環(huán)境，安全保障的難度大大增加。

1.3 信息安全管理人員信息安全知識和技能不足，主要依靠外部安全服務公司的力量

主要原因有三點：

（1）煤礦企業(yè)地處偏遠山區(qū)、工作環(huán)境和生活環(huán)境相對都比較差，很難招聘到高科技人才，即是招到人也很難留下來。

（2）企業(yè)以煤炭生產、加工、銷售為主業(yè)，信息技術人才發(fā)展空間小、大多數人員都只是從事信息維修工和桌面支持之類的工作。

（3）信息安全管理人員長期得不到培訓和學習的機會，信息技術知識的儲備量有限、業(yè)務水平處在較低的一個水平，所以只能依靠外部安全服務公司。

1.4 信息網絡安全防護設備利用率低，很難發(fā)揮應有的功能

煤礦企業(yè)在信息網絡建設初期都會做網絡安全方面的布置，比如在網絡邊界架設防火墻、入侵檢測設備，在內部部署殺毒軟件，形成了軟硬件相結合的防御模式，可是很多企業(yè)的防火墻和入侵檢測設備從安裝到被替換可能從來都沒有做過配置更新，和漏洞修復、打補丁之類的操作，大多數的員工電腦也從不安裝殺毒軟件，這就做法無形中弱化了我們防御的盾牌和進攻的長矛，使網絡安全防護設備長期處于半“休眠”狀態(tài)。

2 重要性

“沒有網絡安全就沒有國家安全”，在浙江烏鎮(zhèn)世界互聯(lián)網大會上提出的網絡安全觀，足以證明網絡安全對于國家的重要性。那么同樣對于現今充分利用信息網絡和工業(yè)控制系統(tǒng)的現代化煤礦企業(yè)來說，如果沒有足夠的信息網絡安全也就沒有企業(yè)的安全生產。信息技術是一把“雙刃劍”，它改變了企業(yè)的生產方式，優(yōu)化了企業(yè)的管理流程，提高了企業(yè)管理效率，可是同樣卻又不得不將企業(yè)置身于互聯(lián)網之中。互聯(lián)網是一個“超領土”存在的虛擬空間，存在各種潛在的威脅，比如利用木馬、病毒、遠程攻擊、控制等方式，泄露企業(yè)的商業(yè)機密、修改控制系統(tǒng)指令、攻陷服務器、盜取個人信息等，這些都有可能對企業(yè)造成嚴重安全事故和經濟損失。這些還只是企業(yè)內部的損失，很多大、中型煤礦企業(yè)為了提升企業(yè)管理效率都開通與集團公司之間的專線VPN，承載了很多應用服務包括協(xié)同OA、生產調度、銷售等等的數據都要進行通信，如果信息網絡安全受到攻擊癱瘓，都會對企業(yè)的生產經營造成影響，更有甚者可能通過煤礦企業(yè)本地發(fā)起攻擊，致使整個集團的信息網絡受到嚴重威脅，所以煤礦企業(yè)管理人員一定要樹立正確的信息網絡安全觀，充分認知信息網絡安全的重要性，加快構建關鍵信息基礎設施安全保障體系，增強企業(yè)信息網絡安全的防御能力。

3 總結

總之，信息網絡技術發(fā)展的今天，信息網絡安全已經是每一個煤礦企業(yè)必須面對和正視的問題，也是每一個企業(yè)管理者應該積極參與和考慮的問題。古人云“知己知彼 百戰(zhàn)不殆”，煤礦企業(yè)應該立即行動起來，通過開展關鍵信息基礎設施網絡安全檢查，準確掌握企業(yè)關鍵基礎設施的網絡安全狀況，詳細評估企業(yè)所面R的網絡安全威脅，制定對應的防范措施，構建企業(yè)信息網絡安全的“防火墻”，為企業(yè)安全生產經營、職工娛樂生活營造一個安全、穩(wěn)定、健康的網絡環(huán)境。

參考文獻

[1]陳龍.煤炭企業(yè)網絡安全建設與管理探究[J].煤炭技術，2013.

[2]劉永軍.關于煤炭網絡信息安全問題分析及對策研究[J].科技創(chuàng)新與應用，2014.

篇3

關鍵詞：企業(yè)；計算機網絡；安全問題；維護；措施

中圖分類號：C29文獻標識碼：A 文章編號：

隨著經濟全球化和信息時代的到來，越來越多的企業(yè)通過采用網絡化的方式獲得信息、獲得發(fā)展、促進成長，計算機網絡成為企業(yè)尋求合作、獲取資源的主要途徑之一，發(fā)揮著重要作用。計算機網絡通過管理系統(tǒng)實現在企業(yè)管理中發(fā)揮作用，例如通訊軟件、文字處理、excel、圖形聲像的處理、自動排版、安全保密系統(tǒng)等。

然后，企業(yè)在應用新技術提高企業(yè)運營效益、擺脫原始而傳統(tǒng)的管理方法與手段、向高科技應用索取效率和利潤的同時，如何防范企業(yè)計算機網絡避免出現計算機或網絡癱瘓等致使企業(yè)的辦公處于半停滯狀態(tài)等問題，卻是企業(yè)管理者應重點考慮的項目之一。本文就企業(yè)計算機網絡安全的問題，闡述了幾點企業(yè)計算機網絡安全維護的有效措施，具有一定的技術參考價值。

1.企業(yè)計算機網絡的安全問題

1.1外網安全問題

黑客攻擊、病毒傳播、蠕蟲攻擊、垃圾郵件泛濫、敏感信息泄露等已成為影響最為廣泛的安全威脅。

1.2內網安全問題

新調查顯示，60%以上調查企業(yè)的員工利用網絡處理私人事務[1]。然而，對網絡的不正當使用，將會降低企業(yè)生產率、阻礙電腦網絡、消耗企業(yè)網絡資源、并引入病毒和間諜，甚至使不法員工可以通過網絡泄漏企業(yè)機密。

1.3內部網絡之間、內外網絡之間的連接安全問題

隨著企業(yè)的發(fā)展壯大，逐漸形成了企業(yè)總部、各地分支機構、移動辦公人員這樣的新型互動運營模式。怎么處理總部與分支機構、移動辦公人員的信息共享安全，既要保證信息的及時共享，又要防止機密的泄漏已經成為企業(yè)成長過程中不得不考慮的問題。

2.企業(yè)計算機網絡維護的內容

（1）網絡安全維護。網絡安全維護內容有選擇配置合適的防火墻系統(tǒng)，制定安全策略，抵御黑客的攻擊，并采用模擬攻擊進行入侵檢測，填補安全漏洞，消除安全隱患。

（2）病毒防治。主要是選擇合適的網絡防毒系統(tǒng)軟件，在服務器端和客戶端進行安裝調試和升級。并具有病毒預警功能，隨時提示病毒發(fā)作信息，降低病毒感染傳播機會，避免病毒發(fā)作造成破壞。在遭受病毒感染后，及時清除，并恢復網絡的正常運行。

（3）日常維護。日常維護則需要技術人員定期上門檢查網絡和計算機的工作狀態(tài)，降低系統(tǒng)故障率。發(fā)生緊急故障后迅速趕赴現場，并及時處理問題。技術人員根據企業(yè)中計算機使用的具體情況，建立系統(tǒng)安全管理制度和計算機使用管理制度，最大限度避免人為故障的發(fā)生。

（4）故障恢復。故障恢復是指針對性地建立全面的備份計劃及災難恢復計劃，做到有備無患。在遇到各類嚴重故障而導致系統(tǒng)崩潰后，要確保在最短時間內恢復。在文件資料和數據被誤操作刪除或遭受病毒感染、黑客破壞后，通過技術手段盡力搶救，爭取恢復[2]。

3.計算機網絡系統(tǒng)現狀

由于傳統(tǒng)行業(yè)人員對計算機網絡應用水平不高，應用不太普及不全面，計算機及網絡系統(tǒng)的維護就更顯重要，管理、維護的好壞直接影響工作業(yè)務的開展，而目前應用普遍存在的問題是[3]：

（1）缺乏規(guī)范管理，可導致維護及維修成本高，電子檔案的無序管理使得單位資源的流失。

（2）缺乏專業(yè)、專人管理，人工維護成本高，人員流動大，連續(xù)性差。

（3）計算機、網絡問題的管理維護隨意性大，常常由于計算機、網絡的問題，而影響正常業(yè)務的運行。

（4）網絡安全沒有足夠重視，網絡病毒防范不強，互聯(lián)網及局域網的隔離不夠，直接將本單位資源在互聯(lián)網上。

（5）資源備份意識不強，常常由于系統(tǒng)的損壞而導致重要文件丟失。

（6）技術人員對新軟件的應用水平參差不齊，經常性的本單位整體培訓、交流不夠。

（7）與外部交流少，軟硬件的發(fā)展應用不足。

4.加強企業(yè)計算機網絡安全維護的措施

4.1加快發(fā)展企業(yè)的安全技術基礎設施建設

充分建立一個功能齊備、全局協(xié)調的安全技術平臺，強化企業(yè)的安全技術防范措施。在信息技術尤其是信息安全關鍵產品的研發(fā)方面，提供全局性的具有超前意識的發(fā)展目標和相關產業(yè)政策，保障企業(yè)的信息技術和信息安全有序進行。

4.2切實加強網絡管理和安全保障工作

（1）建立和完善網絡管理制度。要根據國家有關法規(guī)和單位制定的企業(yè)信息網絡運行維護管理的有關規(guī)定要求，建立和完善計算機網絡安全管理的規(guī)章制度，并切實加以落實。

（2）加強計算機網絡系統(tǒng)的日常維護工作。要加強對計算機網絡設備運行情況的定期檢查，發(fā)現問題及時解決。建立維護日志并做好登記。要安排好汛期的網絡維護值班人員，隨時處置網絡突發(fā)故障，確保網絡安全暢通。

（3）重視網絡病毒的檢查和防范。要及時發(fā)現并查殺病毒，及時更新殺毒軟件的病毒庫。發(fā)現大規(guī)模計算機病毒時應及時向當地公安部門和上級主管部門報告。

（4）制訂應急預案。對重要的網絡設備和電源等應做好冗余備份，并開展針對性應急演練。

4.3做好計算機病毒及系統(tǒng)入侵防范

做好日常操作系統(tǒng)的安全補丁升級、漏洞檢測及修補。信息處應有較強的病毒防范意識，定期進行服務器病毒檢測，發(fā)現病毒立即處理。采用國家許可的正版防病毒軟件并及時更新軟件版本。未經信息處負責人許可，不得在服務器上安裝新軟件，若確需安裝，安裝前應進行病毒例行檢測。經遠程通信傳送的程序或數據，必須經過檢測確認無病毒后方可使用。信息處應做好網絡安全工作，服務器的各種帳號、密碼嚴格保密。監(jiān)控網絡上的數據流，從中檢測出攻擊的行為并給予響應和處理，并向分管領導匯報。

4.4從技術上加強網絡安全

要應對多種網絡安全風險，滿足自動化系統(tǒng)的信息網絡安全需求，以下設備和措施是必要的：單位計算機網絡系統(tǒng)應分內網和外網兩部分建設，內部局域網應與和Internet直接互聯(lián)的外網邏輯或物理隔離：信息內、外網邊界均應部署獨立的防火墻和IPS[4]，防范來自Internet和其他電網企業(yè)的安全風險；服務器應獨立劃分網絡區(qū)域，使用防火墻和IPS等安全設備進行保護，防范來自內部局域網的安全風險；內部局域網應合理規(guī)劃VLAN，使用訪問控制等措施進行邏輯隔離，防范內部攻擊；應部署網絡漏洞掃描和網絡管理系統(tǒng)，監(jiān)控網絡運行狀況，及時響應安全事件，防范風險于未然。

另外，要滿足單位對于計算機網絡系統(tǒng)的安全需求，以下設備和措施是必要的：鑒于采用Windows操作系統(tǒng)較為普遍，單位的信息內外網均應部署WSUS系統(tǒng)，及時為服務器和PC更新系統(tǒng)補丁，填補漏洞，保障安全；企業(yè)內外網均應部署企業(yè)版殺毒軟件，設定合適的病毒防護策略；各系統(tǒng)賬號和密碼應具有足夠的強度，由專人管理，定時更換；操作系統(tǒng)應配置合理，安全可靠。

同時，為全網主機統(tǒng)一安裝部署基于主機IPS，關停不使用的服務和共享文件，設置好操作系統(tǒng)的各類權限，幫助保護用戶終端的安全;對重要數據做好集中保存、備份、訪問權限控制和加密措施。

5.結束語

總之，企業(yè)計算機網絡安全維護工作，要總結安全維護常出現的管理與技術問題，并針對性的改進且計算機網絡維護的細則，才能營造舒適、安全的網絡辦公環(huán)境，才能使企業(yè)管理與運轉的效率得到有效實質的提高。

參考文獻

[1] 賈靜波，宿明，呂猛. 計算機網絡安全維護工作[J]. 吉林省教育學院學報，2010，09:114-119.

[2] 吳玫桂. 淺議企業(yè)計算機網絡的維護[J]. 信息與電腦(理論版)，2011，01:215-218.

篇4

由于方便、快捷，電子銀行越來越為銀行和客戶所青睞，其業(yè)務量在銀行業(yè)務中的占比逐漸增加。與此同時，電子銀行的安全問題也引起了越來越多的關注。近兩年，網上銀行發(fā)生的安全事件增加了人們對電子銀行安全性的擔心，英國破獲黑客盜劃2.2億英鎊的新聞，讓客戶疑慮自己的財富是否會在眨眼間化為烏有，所以不少人選擇了小規(guī)模、低頻率使用網上銀行的下策。而對于銀行來說，安全事件給銀行造成聲譽和經濟上的重大損失，而且今后還可能面對賠償訴訟。如何保證電子銀行的安全、有效防范風險成為各銀行的頭等大事。

電子銀行的安全問題千頭萬緒，要分析清楚，還得從電子銀行的系統(tǒng)架構和風險點說起（見圖1）。

圖1　電子銀行技術實現的網絡原理

電子銀行風險點

操作系統(tǒng)的安全

操作系統(tǒng)安全的主要考慮有：（1）連續(xù)無故障運行天數。（2）超級用戶指令保管與使用。操作系統(tǒng)的口令是系統(tǒng)安全的命門，一旦超級用戶指令被人知曉，該知情者就可以遠程控制計算機，進而修改數據庫用戶的密碼，從而無障礙地進入數據庫系統(tǒng)進行任何操作。（3）壓力指標。操作系統(tǒng)提供的緩沖空間、進程數等是數據庫、應用軟件運行的基礎參數，需要根據運行情況進行參數最優(yōu)化配置。通常操作系統(tǒng)要與應用系統(tǒng)一起進行壓力測試，以便測出業(yè)務量等極限值。針對極限值，把系統(tǒng)裝備相應的預防、處理、應急機制，如自動或人為分流流量、報警等，避免系統(tǒng)癱瘓。

數據庫的安全

數據庫安全的主要考慮有：（1）操作系統(tǒng)登錄時的用戶名與口令如果泄密將危及整個數據庫的安全，數據的修改將無法控制。（2）數據庫的用戶名和密碼不要簡單得讓人猜出來，不少系統(tǒng)就使用用戶名sa和口令sa，這樣做不但使數據庫安全受威脅，操作系統(tǒng)的安全也受到威脅。因為可以通過一種數據庫遠程控制機制控制遠程操作系統(tǒng)。（3）數據庫操作審計，將運行主機上所有數據庫操作及數據變更寫入日志。這個日志將迅速膨脹，需要專門的日志管理員進行外部備份和清理，否則系統(tǒng)硬盤過一段時間就會漲滿。但是，中小銀行可能會屏蔽數據庫審計功能，以減少日志清理和管理的麻煩。這樣，數據庫安全失去了重要的、可跟蹤恢復的操作監(jiān)視手段。（4）數據同步、一致性問題。數據操作是以事件驅動的，事件沒有完成，則數據庫將自動恢復到事件前狀態(tài)。軟件編程要注意應用數據表之間的邏輯一致性，否則，數據挖掘就得浪費大量的時間清理無效數據。

核心系統(tǒng)的安全

第二代核心系統(tǒng)主要有信貸、柜臺、賬務、現金管理等，第三代核心業(yè)務系統(tǒng)模型則包括了客戶關系管理、風險管理、市場營銷分析等模塊。第四代核心系統(tǒng)正在建設當中，思路更加清晰，更加強調數據共享和soa架構，更好地進行業(yè)務流程整合與信息管理整合。

核心系統(tǒng)安全的考慮包括：（1）源程序是否有漏洞、后門和錯誤代碼。由于當代銀行軟件主要采用的是黑匣子測試，而不是白匣子測試，因而大量“死角”無法發(fā)現，隱藏的風險是較大的。20__年底，一客戶在廣州市某銀行atm機上取現金1000元，而賬戶卻只扣一元，客戶因取現17.5萬元被判重刑而引起爭議。其實在這個案件中，銀行過錯在先，因為銀行軟件測試沒有發(fā)現程序錯誤。（2）系統(tǒng)壓力測試。如某銀行的基金理財平臺屬于核心系統(tǒng)，由于股市行情的井噴，致使20__年8月的一天網上銀行占用主機資源過多，主機down機幾個小時。這種現象斷斷續(xù)續(xù)持續(xù)約一個月時間，銀行其他業(yè)務也受到影響。事后，該銀行制定了應對策略，讓分行分流部門網上理財業(yè)務。分行業(yè)務數據通過電信、網通專網與總行相連，避免流量都擠在公網入口的局面。高峰期，專網的傳輸速度比公網快，速度有保證。另外，在分行增設業(yè)務流控制界面，一旦全國行情井噴，則由分行控制流量，避免由于理財產品等邊緣業(yè)務導致整個核心系統(tǒng)癱瘓的惡性事件。（3）核心系統(tǒng)的管理員用戶名和密碼。（4）核心系統(tǒng)的易維護性、易擴展性。如果元數據標準等標準化建設達到了一定的水平，則系統(tǒng)容易擴展核心系統(tǒng)的功能，共享核心系統(tǒng)的數據。同時，核心系統(tǒng)如果獲得越多的子系統(tǒng)的數據，則越可能做數據挖掘等建模工作，而風險管理、管理決策、客戶分析等都離不開數據挖掘和商務智能。（5）版本升級、新產品上線、定期系統(tǒng)在線清理、操作運行主機等操作行為的風險控制。在核心系統(tǒng)down機的嚴重故障中，部分原因恰是系統(tǒng)切換、系統(tǒng)升級或新產品上線欠周全造成的。操作運行主機要有一定的程序要求，要求雙人共同操作，且不可進行試驗性操作。試驗性操作要在備份機器上進行，確認無誤后才可在運行主機上操作。另外，主機長年累月地運行，不可避免地會出現內存、進程等方面的問題，需要人為適當干預。隨著硬件功能越來越強大，以及soa設計理念和設計能力的普及，核心系統(tǒng)的能力范圍會逐漸擴大，安全性也越來越有保證。（6）數據備份與系統(tǒng)備份。大銀行都有南北兩個異地數據中心，每個數據中心有本地同步備份，共有四套系統(tǒng)。目前，監(jiān)管部門強調在數據中心災備就屬于核心系統(tǒng)安全的重要范疇。

路由器、入侵檢測、防火墻的安全

路由器提供了網絡連接的路徑。入侵檢測可以對非法訪問內部網絡的數據包進行檢測并預警。防火墻是通過對網絡層傳輸的數據包中的目標地址進行檢測，控制數據包的流向，從而避免對核心系統(tǒng)的非正常訪問。如果路由器的端口密碼被人攻破，則黑客可以通過直接添加路由，使得外來的訪問變得合法。這時，獲得的內網訪問能力是十分危險的。

區(qū)分外網與內網是重要的安全方法。一般對外網的防護要嚴格些，而對內網的防護則簡單得多。某證券公司嚴禁客戶在內網上炒股，就是擔心客戶反復試驗出總部主機的密碼。因為內網沒有設置相應的安全防護措施。

網上銀行包括個人網銀和企業(yè)網銀。由于個人網上銀

行功能日益豐富，如匯款、基金買賣、外匯買賣、黃金買賣、銀證通、代繳費、網上商家等，數量龐大的客戶群的集中操作給核心系統(tǒng)造成了巨大壓力。

應用軟件服務器

應用軟件服務器處在客戶端和核心系統(tǒng)之間，解決渠道的多變與核心系統(tǒng)穩(wěn)定之間的關系?；ㄆ煦y行的產品達6000個左右，這種方式明顯保持了核心系統(tǒng)的穩(wěn)定。我國銀行核心系統(tǒng)每五六年重新設計一次，達到核心系統(tǒng)穩(wěn)定性與靈活性的統(tǒng)一，每過五六年銀行的硬件就要更新一次。

應用服務器通過數據接口與核心系統(tǒng)相連，也需要有相應審計措施跟蹤人為操作。否則，由于超級權限造成的對客戶數據的直接、非法修改，會危及系統(tǒng)的安全。黑客也可以攻擊應用服務系統(tǒng)，從而修改重要客戶資料。內網用戶也可以攻破應用服務器的關鍵密碼，以獲得超級權限。

應用服務器一般采用雙備份、雙線路方式，一旦由于硬件損壞等原因造成系統(tǒng)故障，可以迅速切換到正常系統(tǒng)。

網絡傳輸的安全

現有網絡安全技術不少是用來解決網絡傳輸數據安全問題的，如數據加密、數字認證、安全標準。數據加密主要有對稱加密算法des和非對稱加密算法rsa。從理論上說，有些現行算法已經被數學家攻破，能夠在現有條件下解密，所以隨著計算機芯片速度的不斷提升，有些算法需要淘汰。

數字認證技術，包括數字簽名、數字證書、生物特征識別等，正面很難攻破。但是每一種技術都存在軟肋，通常這些認證證書的保管等是軟肋。

安全標準有ssl、set。這些標準保證了交易的不可否認性，以及網絡傳輸數據的不可修改性。

客戶端的安全

終端用戶的安全是最脆弱的，攻破的成本也最低。主要問題有：

數字證書文件被病毒竊走。這種軟證書比硬證書的安全性低，存在硬盤和外設中，病毒可以將證書文件通過網絡傳給主人。數字證書的弱點在于證書的保管，如硬件證書被挪用，軟證書被復制。

網銀密碼被木馬程序竊走。網銀大盜病毒可以竊取客戶在鍵盤上輸入的賬號和密碼，并通過郵件發(fā)給病毒的主人。英國最近破獲的金額達2.2億英鎊的國際大案，就是黑客知道客戶的賬號和密碼后，轉出客戶資金。對付這類病毒的方法除殺毒、系統(tǒng)打補丁外，可以采用軟鍵盤，即在屏幕上出現鍵盤界面，用鼠標點擊屏幕上的相應鍵符來代替手工鍵盤輸入。用這種方法，病毒無法捕捉鍵盤輸入信息。

信用卡賬戶和密碼被竊取。現在信用卡采用的是磁條技術，極易仿造。由于信用卡都是標準化的，其磁條信息的格式是已知的。如果知道了卡號，就可以使用專用的寫卡器，寫入卡號，偽造出一張信用卡。知道了密碼，該信用卡可以在取款機上取款。要想從根本上解決這個問題，只有采用更新的emv20__技術。這是一種多操作系統(tǒng)的ic卡技術，攜帶不可復制的加密區(qū)，保證ic卡的不可復制。但是，從目前的磁條信用卡標準向emv20__智能卡標準過渡，成本很高。盡管我國監(jiān)管機構積極推進信用卡向emv20__標準遷移，但實際進展不大。

pos系統(tǒng)。如果設法通過客戶輸入密碼的操作來獲得客戶的密碼，則客戶資金就危險了。

客戶對賬號、密碼、證書的管理是網銀、手機銀行、atm機、pos系統(tǒng)等薄弱之處，此外還有釣魚網站法，如騙子網站.cn，其頁面通常做得與實際網站.cn的頁面幾乎完全相同，以欺騙信用卡客戶輸入用戶和密碼。他們的主要作案手法，是篡改公網上指向實際銀行的鏈接地址，指向釣魚網站地址；或者在bbs論壇等網頁空間設置釣餌，文字上看是某某銀行，實際鏈接地址卻是釣魚網站地址。由于釣魚網站域名與真實網址域名相似，沒有警惕性的人是注意不到這些細微差別的?？蛻粢坏┦茯_輸入賬戶和密碼，賬號和密碼就被竊取了。

客戶端的安全方面，銀行有義務教育、協(xié)助客戶保持賬號、密碼、證書的安全。建議建立反釣魚網站法律、組織、技術措施，動態(tài)跟蹤釣魚網站?？蛻羰褂煤唵蔚煽康陌踩椒?，如輸入網址、使用動態(tài)口令卡、取款短信提醒服務、支付的計算機綁定等。對于中小銀行的企業(yè)銀行業(yè)務來說，生物指紋識別是一種可靠的和使用簡單的方法。但這種方法對大銀行不適用，因為目前指紋識別的技術還不很成熟，采樣多，識別時間長。對于大銀行來說，幾億客戶量的指紋讀寫是系統(tǒng)繁重的負擔。

電子銀行安全不止包括技術安全，還包括信息安全。敏感數據被刪除、竊取、篡改、非法訪問，用戶身份被冒充，交易被抵賴，機密信息被公開等等，都是信息安全。我國還缺少對公開客戶信息方面的法律懲戒措施，如果與國際慣例接軌，則要頒布隱私保護法等相應法律。

風險防范對策

銀行轉變觀念，主動承擔起電子銀行各個環(huán)節(jié)的安全義務。以前我國銀行在客戶資金被盜問題上采取了拒絕賠償的立場，使銀行聲譽到影響。所以，銀行不能采取駝鳥政策，應該主動采取措施保證電子銀行的安全，而不能將責任全部推給終端客戶。

技術和管理并重。弱技術配強管理的電子銀行安全效果，與強技術配弱管理的安全效果是一樣的。銀行要通過強技術強管理的組合來保證電子銀行的安全。

所有小型機、大型機的登錄密碼，數據庫登錄密碼都要復雜得讓人記不住。可以采用雙人或多人復合密碼的形式，各人記一段，分段保密。但是也要避免密碼保管過于復雜，以免導致密碼遺失。要加強對密碼保管方式的研究，可以適用保密級別的方法。當然，再怎么保密，還得基于對人的信任。如果對所有人都不信任，那么密碼保管成本將相當高，使用起來也相當麻煩。

運行主機上的所有操作都要有可追蹤的記錄。無論是操作系統(tǒng)操作，還是數據庫操作，都要由系統(tǒng)自動記載。對于應用軟件的操作，在數據表中要有相應的操作記錄，供操作風險審計員使用。一旦發(fā)生重大問題，可以依靠這些記錄來確定責任人和責任原因。否則，責任無法定位的系統(tǒng)從根本上就不是安全的系統(tǒng)，是十分可怕的。

運行機雙人操作、版本升級管理、備份等的管理制度。運行機雙人操作，避免操作人因為情緒激動和僥幸原因而人為導致重大操作失誤。各銀行在版本升級管理方面是交了學費才總結出一套操作規(guī)程經驗的。備份有災備、備份數據中心、系統(tǒng)熱備份等不同級別的方法和措施。

不斷就最新的安全技術進行實驗使用，跟蹤國際電子銀行安全技術，參與國際交流。災備中心平時就是實驗中心，可以就最新的安全技術進行實驗性使用。銀行對于軟硬件的使用，偏好于穩(wěn)定性好的技術系統(tǒng)，而不是技術最新的不穩(wěn)定技術。銀行通常要等新技術通過其他實際部門一段時間有效使用后，才大規(guī)模地使用。新技術有入侵檢測技術、防火墻技術、加密技術、反病毒技術、數字認證技術、安全標準等等，銀行要加強對這些技術的弱點的研究和把握，以便分析電子銀行安全所處的態(tài)勢，并研究實際中發(fā)生的安全問題的原因，提出對策。矛與盾總是此消彼長，任何一門技術總有破解的新方法。同樣，新技術被破解之后，更新的技術又會出現，而且風險防范的技術也相應演化。對于安全態(tài)勢和技術的研究是目前我國銀行的弱點，需要建立相應的合作機制。銀行要獨立、自主地關注電子銀行的安全問題，而不能完全依賴第三方安全公司。銀行要在電子銀行的安全領域有所作為，有自主知識產權的產品和理念。

設置客戶端電子銀行安全保障崗位。銀行總行應有相應的崗位就目前客戶端的電子銀行的安全問題進行調查、分析，提出對策，并反饋、主導建立電子銀行客戶端安全保障機制。安全既是技術又是管理，可以通過強化技術來改善安全管理的預見性、可控性，在保證整體安全效果的情況下，降低安

全管理的難度和風險。

備份和應急機制。在市場成熟技術條件下，投入越大，安全水平越高。但是，投入水平與安全水平并不成線性關系，而是非線性關系。當安全要求達到閥值時，市場上沒有相應的安全產品，此時需要進行研發(fā)，或者為了把安全水平提高一點，需要幾倍的投入。在一套系統(tǒng)的運行故障率是a的情況下，兩套系統(tǒng)熱備份運行時的故障概率是a2。工行要保障系統(tǒng)運行的正常率是99.99%，從概率學來說，若兩套系統(tǒng)同行運行，自動切換，一套系統(tǒng)的故障率就能容忍達到1%的較高故障水平。

正是由于高安全的高成本，銀行應該有計劃地加大對安全的研究性投入，包括安全產品、技術、標準的投入。從機會成本上說，這是劃算的。電子銀行應用的首要問題就是安全問題，銀行有義務在此領域保持領先地位。

絕對的安全是不存在的。所以，要建立應急機制。應急機制有技術應急和管理應急。筆者認為，沒有必要建立千年蟲那種級別的應急機制，成本太高，而可以建立中等級別的應急機制，比如說切換系統(tǒng)演練。對于異地備份系統(tǒng)來說，由于數據不同步，系統(tǒng)切換就面臨著無從考證的數據包丟失問題。這將使銀行面臨復雜的舉證責任。如果是客戶取錢沒有入賬，客戶可能不會主動找銀行退錢。但若是客戶的系統(tǒng)入賬沒有收到，而出賬已經劃賬的情形，客戶必然要求銀行核實并糾正錯誤。銀行可以考察賬戶的資金劃出流向，一般來說是可以追蹤的，通過橫向不同賬戶和縱向不同時間的對賬，可以發(fā)現賬戶的真實改變情形。一套運行系統(tǒng)，銀行基本上需要四套系統(tǒng)配套，本地備份一套，異地備份一套和異地的本地備份一套。這就是電子銀行安全的備份成本。

在銀證通、銀期通等系統(tǒng)中，常會出現單邊賬情況，如20__年第三方存管業(yè)務的高峰期時，銀行系統(tǒng)無法滿足證券交易系統(tǒng)的大量交易和實時性要求，反復出現單邊賬情形，雙方日終對賬要對到午夜十二點，有時甚至到凌晨三四點。

圖2　電子銀行安全投入與安全水平的關系

制定標準與法律，加強監(jiān)管。借鑒國外標準，修改完善現有電子銀行安全標準，包括安全建設、運行管理、安全組織設置等。企業(yè)的軟件開發(fā)、安全達標，以及監(jiān)管機構的安全監(jiān)管都依據此標準，以此提高電子金融的安全水平。我們要做以下方面的工作：完善信息安全的行業(yè)規(guī)范與法規(guī)；系統(tǒng)安全評估；信息系統(tǒng)戰(zhàn)略規(guī)劃；系統(tǒng)和網絡安全；業(yè)務持續(xù)性經營計劃；外包業(yè)務監(jiān)控。不止安全標準，基礎標準、技術標準、管理標準、應用標準等都會對電子銀行的安全產生影響。頒布《電子銀行安全法》，以便對電子銀行安全的義務與權利認定、犯罪量刑等做出框架性的規(guī)定。業(yè)已生效的《電子合同法》、《電子簽名法》為電子銀行的發(fā)展奠定了基礎。加大對電子銀行犯罪的打擊力度，保護消費者的權益，將是電子銀行再一次爆發(fā)式增長的重要推動力。短期內，借鑒《薩班斯法案》加強對上市銀行的信息化監(jiān)管。