时间：2022-06-13 19:38:36
序论：速发表网结合其深厚的文秘经验，特别为您筛选了11篇信息安全风险管理范文。如果您需要更多原创资料，欢迎随时与我们的客服老师联系，希望您能从中汲取灵感和知识！
作者简介：王旭（1964-），男，浙江宁波人，新疆电力公司电力科学研究院，高级工程师。（新疆 乌鲁木齐 830011）张建业（1972-），男，浙江浦江人，新疆电力公司科技信通部，高级工程师，华北电力大学经济与管理学院博士研究生。（新疆 乌鲁木齐 830002）
基金项目：本文系国家自然科学基金资助项目（基金号：71271084）的研究成果。
中图分类号：F270.7 文献标识码：A 文章编号：1007-0079（2013）26-0163-03
信息安全风险是信息化时代企业发展和内部管理所面临的一个迫切问题，网络化、信息化的飞速发展能够给企业带来无限的发展机遇，同时也让应用信息化技术的企业面临着各种不同的风险威胁，这些风险因素一旦发生，将对企业的日常运营、战略目标的实现甚至长远发展产生无法估计的影响。有效的信息安全风险管理体系对于企业规避信息安全风险、减少不必要的损失具有重要作用。
对于电网企业来说，信息化建设是推动电网企业智能化、现代化等长远发展的核心推动力，但网络病毒、黑客入侵等一系列风险因素，使得电网企业信息安全同样面临着巨大的挑战，必须对电网企业面临的各类信息安全风险进行有效控制，以保证电网企业的信息化内容正常运行。
一、电网企业信息安全风险分析
电网企业的信息安全风险就是企业的信息系统和网络等面临的来自各方面的风险威胁，各种内外部的、潜在的和可知的危险可能会带来的风险威胁等。随着网络环境的复杂性不断增加，新的信息技术的不断应用发展，电网企业的信息安全面临的风险因素也更为繁多复杂，同时由于其注重信息安全的行业特点，电网企业的信息安全风险管理面临的压力更大。为此需要对这些风险因素进行规范、合理的识别分析，进而建立综合的风险管理体系。
电网企业的信息安全面临着来自不同层次、多个方面的风险因素，有来自外部环境的风险威胁，也有企业内部的风险影响；有技术方面的安全风险，也有人员操作方面的安全风险等。具体的信息安全风险因素主要包括以下几个方面：
1.木马病毒入侵的安全风险
随着网络技术的不断发展、电网企业内外部网络环境的日益成熟和网络应用的不断增多，各种病毒也更为复杂、难解。木马等病毒的传染、渗透、传播的能力变得异常强大，其入侵方式也由以前的单一、简单变得隐蔽、复杂，尤其是Internet网络和企业网络环境为木马等病毒的传播和生存提供了可靠的环境。
2.黑客非法攻击的安全风险
近年来各种各样的黑客非法攻击异常频繁，成为困扰世界范围内众多企业的问题。由于黑客具有非常高超的计算机技术能力，他们经常利用计算机设备、信息系统、网络协议和数据库等方面的缺陷与漏洞，通过运用网络监听、密码破解、程序渗透、信息炸弹等手段侵入企业的计算机系统，盗窃企业的保密信息、重要数据、业务资料等，从而进行信息数据破坏或者占用系统的资源等。
3.信息传递过程的安全风险
由于电网企业与很多的外部企业、研究机构等有着广泛的工作联系与业务合作，因此很多日常信息、数据资料等都需要通过互联网进行传输沟通，在这个传输过程中的各类信息都会面临各种不同的安全风险。
4.权限设置的安全风险
信息系统根据不同的业务内容对不同的部门、员工开放不同的系统模块，用户根据其登陆的权限设置访问其范围内的系统内容。每个信息系统都有用户管理功能，对用户权限进行管理和控制，能够在一定程度上增加安全性，但仍然存在一定的问题。很多电网企业内都存在不同的信息系统，各系统之间都是独立存在，没有统一的用户管理，使用起来极不方便，难以保证用户账号的有效管理和使用安全。另外，电网企业的信息系统的用户权限管理功能设置过于简单，不能够灵活实现更为详细的权限控制等。
5.信息设备损坏产生的安全风险
电网企业内的各类业务信息、数据资料、工作内容等信息都是依托于相应的软硬件设备而存储、传递、应用的，当这些计算机硬件设备、信息系统、数据存储设备、用电支撑设备等由于企业内外部不同作用力的影响而出现瘫痪、停止工作等突发状况时，会带来重要信息内容的泄露、丢失等安全风险隐患。
6.人员操作失误形成的安全风险
电网企业内的专业信息技术人员、业务人员、管理人员对信息系统的操作能力存在一定的差异，一些人员的意识较为陈旧、操作能力较差，在对信息系统、网络连接、数据库等的应用过程中，由于对这些技术内容不熟悉从而产生了一些错误操作，为此产生了许多意想不到的安全风险。同时，在运用过程中存在的思想偏差、理解偏误、粗心大意等导致的误操作也会产生相应的安全风险。
7.技术更新变化带来的安全风险
当前的信息技术、系统开发、网络应用、数据库存储等都在日新月异地飞速变化，几乎每天都会发生更新换代的升级变化，没有任何的信息技术能够长时间使用。电网企业原有信息系统等设备进行升级换代或者与新的数据库内容进行新旧结合以及转换时，会因为兼容性差、不能匹配等原因造成一定的信息安全风险。
二、信息安全风险应对机制
电网企业的信息安全承担着极为重要的作用，而其面临的安全风险也是多方面的，仅从信息系统、技术设备的单一角度进行信息安全风险管理远远不够，对于其他很多潜在的风险因素难以有效应对。因此需要从信息技术技术、企业管理、风险控制等多个维度来建立相应的措施，以应对可能出现的各类风险，从而从硬性技术层面到柔性管理层次形成多维度的风险管理手段。电网企业信息安全风险应对机制框架结构如图1所示。
电网企业的信息安全风险管理应对机制是以风险控制角度为核心、信息技术角度为支持、企业管理角度为保障的双向支持、互为影响的一个环状模型，三者之间紧密配合、共同发挥风险应对的作用，具体内容如表1所示。
三、信息安全风险管理体系
电网企业信息安全风险管理体系是进行信息安全风险管理的核心内容，其他的制度建设等方面的应对机制都是为了更好地使风险管理体系发挥有效的作用，能够在不同的情况下进行信息安全风险威胁的提前预防、风险发生时的控制、事后风险影响的结果处理等。
电网企业信息安全风险管理体系框架结构如图2所示。
1.信息安全风险评估
电网企业信息安全风险评估是风险管理体系的第一部分，风险评估效果的好坏直接影响着后面风险管理环节的执行情况。通过风险评估的准确执行，能够有效识别、分析各种不同风险的种类、来源、影响程度等内容，为后续的风险预防、控制等奠定良好的基础。
信息安全风险评估主要由风险案例库、风险因素分析系统、风险定量定性转化系统、数据统计归纳库、风险分析结果传输体系等构成，通过几个模块的有机结合来科学分析评估电网企业遇到的各类信息安全风险因素。
2.风险事前预防
电网企业信息安全风险事前预防就是在风险没有发生时对各种风险进行提前预防，通过建立的预防计划方案来提前避免风险的发生，从而保证信息的安全性。这是风险管理体系希望达到的最佳效果，因此该环节非常重要。
通过对风险案例库的经常性学习，使相关部门和人员对各类风险有了总体的认识和了解；通过建立相应的风险预警装置来提前警告风险的发生，使电网企业能够提前采取措施来避免风险发生；运用信息安全风险管理制度加强员工的行为能力，避免风险产生；通过信息技术的相关配置，从信息系统、网络、数据等方面提前对一些病毒风险等进行处理。
出色地执行电网企业的信息安全风险预防工作，能够避免很多不必要的麻烦，从而有效减少后面风险控制工作内容。
3.风险威胁转移
将可能发生或者即将到来的信息安全风险有效转移到其他的地方，可使得安全风险没有在电网企业的信息系统中发生，避免了风险带来的威胁损害。风险转移同风险的事前预防一样，能够在很大程度上将信息安全风险带来的威胁降低到最小，避免其带来的各类损失。
4.风险过程控制
在对信息安全造成威胁的风险发生时，采取各种方法、手段进行风险的最小化控制，使风险本身随着控制的进行而逐渐变小甚至消失，将风险发生后造成的影响降低到最小或者控制在能够承受的合理范围内。
主要从信息系统、数据库、网络系统、计算机基础设备等技术方面进行控制；从制度、标准、规范等管理层面进行控制；从人员培训、部门协调等组织结构层面进行控制；从风险发生时制定的风险控制措施、计划进行控制；形成动态反馈的风险发生、控制效果的反馈机制，以便及时对控制方案进行调整完善。
5.风险事后处理
信息安全风险发生后，对电网企业的信息系统、网络、数据库等造成一定的影响，已经没有时间进行及时有效的风险控制，此时的工作重点在于如何采取挽救措施对风险造成的信息安全损失进行弥补，将其影响程度降低到最低。
从电网企业的信息安全风险评估开始，到信息安全风险的预防、风险发生时的控制以及风险后果的处理，对整个过程进行深入的分析、总结，发现风险管理体系存在诸多不足和缺陷，控制计划在某些方面需要进行改进完善。将本次发生的信息安全风险控制过程整理进入案例库，以便下次的风险预防借鉴。
电网企业信息安全风险管理体系中的各个流程环节都是按照一定的流程顺序、风险发生种类、大小而进行的，其具体的流程如图3所示。
6.非常态风险应急处理
在电网企业对信息安全进行风险管理的过程中，有时会出现一些案例库、控制计划之外的非常态风险，这些风险没有以往成功的风险管理经验可以借鉴，这时就需要在电网企业信息安全风险管理体系中建立相应的非常态风险应急处理模块。
电网企业信息安全非常态风险应急处理主要是当意外的紧急风险发生时，能够迅速启动应急预案组织相关人员进行风险应对控制、风险预防和控制等；若风险已经发生，此时能够及时还原数据、隔离外部风险入侵，使信息系统、网络、数据库在最快的时间内恢复正常运作。
四、总结
本文通过对电网企业信息安全重要性进行分析，提出了建立信息安全风险管理体系应对各种内外部风险威胁的必要性。在对电网企业信息安全的概念、特点等分析说明的基础上，深入研究了电网企业的信息安全所面临的各种不同的风险因素，建立了包括信息技术、企业管理、风险控制三个方面在内的电网企业信息安全风险应对机制。结合所建立的电网企业信息安全风险应对机制，本文构建了一套综合、全面的电网企业信息安全风险管理体系。该体系的构建能够从事前风险预防、事中风险控制、事后风险影响后果处理等三个环节进行全面的风险管理。
参考文献
[1]张浩，詹辉红，钱洪珍.电网企业信息安全管理体系建设中的风险管理实践[J].电力信息技术，2010，8（6）：21-24.
[2]刘金霞.电力企业给予风险管理的信息安全保障体系建设[J].网络安全技术与应用，2008，（1）：42-44.
中图分类号：G203 文献标识码：A 文章编号：1001-828X（2012）02-00-01
一、引言
20世纪90年代以来，计算机技术以及网络技术的发展把人类带入了信息时代，信息技术被广泛应用到各个领域，给人类社会的发展带来巨大的生产力，信息技术正逐步改变着人类的生产方式和生活方式，社会的发展对信息资源的依赖程序越来越高。然而由于环境的开放性以及信息系统自身的缺陷等因素，导致信息面临着巨大的安全隐患。如何保护信息安全逐步成为人们关注的焦点。
信息安全的解决不仅要要依靠技术，更应当加强安全方面的管理。只有建立有效的信息安全管理体系，对信息安全进行正确的分析评估，制定出相应的策略并实施控制，才能保证信息系统和信息资源的安全。
二、信息安全风险管理的一般过程概况
至目前为止，信息安全风险管理没有通用的管理方法、管理模式。不同的标准有着各自的风险评估方法和管理流程，下面文章分析了一些主要的标准的风险管理方法。
1.英国的BS7799，英国标准协会(BSI)颁布《信息安全管理实施细则》，形成了BS7799的基础。之后经过改版成为国际标准。BS7799提供了一个对组织有效进行信息安全风险管理的公共基础，体现了信息安全的“三分技术，七分管理”的原则。
2.AS/NZS4360：1999《风险管理指南》是澳大利亚和新西兰两个国家联合开发的风险管理标准，第一版于1995年，是在全世界内制定最早、影响最大、并且被国际标准组织(ISO)的国家性风险管理标准。
3.NIST SP800-30风险管理标准，是美国国家技术标准局(NIST)于2002年的信息技术风险管理指南，风险管理包括三个过程：风险评估、风险缓解、再评价及评估。
此外，有关风险管理和风险评估的理论和方法有许多，比如微软的The Security Risk Management Guide(《信息安全管理指南》)，美国卡耐基・梅隆大学开发的风险评估方法OCTIVE，系统安全工程能力成熟度模型SSE-CMM(System Security Engineering Capability Maturity Model)等。还有许多企业或个人参考标准开发的一些风险评估工具等。
三、一种综合的风险管理框架
近年来，许多学者指出需要建立一种综合的信息安全风险管理的方法以减少传统的风险管理方法的一些不足。文章提出一个综合的信息安全风险管理的框架，如图1所示。
框架将风险管理分为四个方面，四个角度，涵盖了风险管理风险评估的所有的内容。
框架的第一部分是标准规范，这是进行风险评估的指导性文件。
第二部分是工具技术，包括数学的模型、统计学的方法、相关的工具以及开发的计算机软件，还有操作中的某些经验等。
第三部分是过程步骤，这是一个动态的角度来分析风险管理。将把信息安全风险管理分为风险规划、风险识别、风险评估、风险决策、风险实施、风险评价等六个阶段。
第四部分是风险管理的对象，企业组织中的人员、资产(主要指物理设备)和资产赖以存在的环境构成了实体层，企业的信息安全既要依靠技术，更要注重管理，管理则主要体现于策略中。而最终的目标都是保证企业的核心业务能正常运转，不会受到信息安全风险的影响。各层内部之间也存在着相互关系。在实体层如人力管理、人员培训，对资产的管理需要分类分级别进行、要落实到人，资产设备的安全则有赖于周围的环境，比如安全边界的划分，电力、温度湿度的保障等。而这些都含有策略因素。此外，环境包括硬环境和软环境，软环境的因素也部分影响着策略的选择，如相关的法律法规、相关的知识产权、个人隐私权等也会影响组织的策略，组织在制定策略时不能与之冲突。在管理层，策略与技术是相互补充的，一些策略的实现离不开技术，比如不同层次的人员具有不同的访问控制权限，信息安全的保障也需要信息技术本身。技术本身也需要一定的管理。在目标层，保持核心业务的连续性，不受干扰是组织的目标。因此需要不断地进行风险管理和风险评估。
四、总结
信息安全对组织的重要性是不言而喻的，对信息安全管理不仅是技术层面的问题，更是管理层面的事件。本文给出的信息安全风险管理综合框架涵盖了风险管理的各个方面，为企业的风险评估和风险管理提供一些有益的帮助。
参考文献：
[1]BS 7799-1,Information Security Management. Code of Practice for Information Security Management System, British Standards Institute,1999.
[2]Australian/New Zealand Standard AN/NZS 4360:Risk Management[S].1999.
[3]NIST SP800-30, Risk Management Guide for Information Technology Systems[S].2002.
[4] Microsoft. The Security Risk Management Guide[S].2004.
[5]ISO/IEC TR 13335-1 Management of Information and Communications technology Security- -part1:Concepts and models of IT Security[S].1997.1.
构建风险管理战略
IT管理人员每天都会接到有关系统漏洞、新软件漏洞或新恶意代码的警报，所有这些警报的安全级别很难一下子判断出来。因此，结果往往是 IT 人员不由自主地被这类事务牵着鼻子走，采取既耗时又费力的行动，比如查漏洞、打补丁等。然而，这些行动不见能够真正起到防护的作用。
安全风险管理可以为企业提供必要的流程来提高安全性和法规遵从性。安全风险管理的实施离不开CIO、IT 操作人员、网络安全人员及业务主管人员的通力协作。由于有些系统和应用程序更容易暴露在风险之中，而IT部门无法独自确定企业可承受的风险等级。因此，IT 和业务管理人员需要通力合作来帮助企业确定资产优先级和最大限度地降低风险。
安全团队可以建立明智的风险管理战略，使有限的资源可以集中于应对企业面临的最大威胁。任何公司都不会有足够多的财力和人力用于完全消除其与 IT 相关的潜在风险。因此，将所面临的各种风险量化，然后据此确定安全投资的优先顺序势所必然。
新模型的三要素
为了量化风险并确定补救措施的优先顺序，目前业内比较前沿的一个模型从三个方面测量风险：资产价值、资产易受攻击程度以及各种现实威胁。
资产价值：每分钟需处理价值数千美元交易的服务器显然要比客户服务代表的桌面机更为重要。因此，制定降低风险的明智战略需要清楚了解整个企业中各类 IT 资产所代表的企业价值。
资产易受攻击程度：除具有不同的企业价值外，IT 资产存在其固有的不同程度的软肋。提供公共网页的系统比起根本就不连接到 Internet 的系统来，肯定更容易受到攻击。锁在配线橱柜中的交换机要比距离公司安全数千英里远的膝上电脑更安全。
现实威胁：安全团队还必须清楚了解任何现有资产所面临的各种现实威胁。虽然运行在旧式系统上的旧应用程序可能对公司具有很高的价值，但它们受威胁的可能性会更小一些，因此对公司来说，它们所面临的风险可能要比运行在 Windows 或 Linux 上的应用程序所面临的风险要小很多。
中图分类号：TP309 文献标识码：A 文章编号：1007-9416（2016）11-0209-01
目前，世界各国经济都在迅速发展，经济全球化的进程逐渐加快，伴随着经济的推进，尖端科技迅猛发展。因此，电脑逐渐走进了各家各户，移动互联正在改变人们的生活方式。计算机网络技术的优越性使得人们对计算机网络愈来愈“信赖”。然而随之产生的便是用户的网络信息泄露事件。计算机网络安全问题已经受到了更多人的重视。所以，对信息系统安全风险管理方法的研究有着鲜明的现实意义。
1 信息系统安全风险管理方法研究
随着计算机网络技术的不突破何如普及，极大的方便着人们的生活和学习，而且正在慢慢的改变人们的生活方式。目前，计算机网络技术已经被应用到军事科技当中，中增强着我国国防力量。使得未来战争真正的实现“兵不血刃”。与此同时，信息系统的安全问题会“威胁”着国家的经济建设，和国防建设。所以这一切都表明了信息系统安全问题是一个国家安全建设的基础，是国家社会发展和建设的保障。而信息系统的安全成为了信息化革命的基本。甚至可以说，信息系统安全问题关系着国家安全，民族发展是全人民的的头等大事。信息系统安全计划建设是了一个国家和民族的战略性目标，已经是不争的事实。
2 信息系统的信息安全现状
当今社会信息系统安全问题不容乐观，信息系统面临着严峻的安全风险。根据调查来看，每年的重大信息系统安全事件正在逐年增加。信息系统安全问题主要包含以下两大方面：一是由于现今科技技术的不完善性和局限性，使得信息系统在构建之初便存在着漏洞，导致信息系统“脆弱”。二是现实社会中的各种经济斗争和利益斗争，使得原本的信息系统漏洞被“开发利用”。计算机网络技术是一个复杂的大系统，它是由众多的代码、硬件、软件、协议所共同组成。在计算机网络技术的不完善和设计人员思想局限性的前提下，使得信息安全系统在构建的时候会出现不可避免的漏洞。例如，计算机网络中一个操作系统需要几千几万的代码组成，甚至更多。为满足用户的各种需要，设计的技术复杂性逐渐增多。据调查在繁琐的计算机网络设计时，很可能一千行代码中便会存在一个错误。因此，信息系统的漏洞越来越多，越来越严重。另一方面，“黑客”作为一种“文化现象”一直伴随着计算机网络技术的发展而发展。并且随着人们之间的利益冲突不断加剧，使得黑客的恶意攻击事件愈演愈劣。此外，根据调查显示，在攻击技术复杂的计算机网络时，黑客相对应需要的知识却越来越少[1]。
3 信息系统风险管理的目的和作用
信息系统安全是目前全世界所面临的重大问题。虽然，信息安全问题具有着普遍性，但是同时因为它的特殊性，使得我们不得不重视。信息系统的安全管理已经不再是“0”和“1”之间的问题。我们不断的探索，为了找到一个更好的信息系统安全管理方法。我们希望新的信息系统安全管理方法可以改变现今网络安全的现状，并且让更多的人可以更好的享受计算机网络技术带来的方便。计算机网络在人们的生活和学习中有着重要的的作用，在国家建设上有着重要的地位，信息系统的安全管理的研究，我们旨在便利更多的人民群众，更好的建设国家，为祖国的建设作出贡献。我们要做到防患于未然，让国家和人民免于信息系统安全问题的威胁。由此我们可以得出这样的结论：风险管理是信息系统安全管理方法的新模式，而最佳的信息系统安全保障方法就是对信息系统进行风险管理。
4 信息系统风险管理的趋势
纵观世界，信息系统安全风险管理的经历了技术，技术与管理相结合的阶段。当前，在信息安全保障意识的前提下，还在不断的深入完善。如何将传统的风险管理理论和实际相结合并更好的应用于信息安全管理领域，是全世界面临的一个尚未解决的问题。
5 信息安全风险管理理论基础
信息安全风险管理研究的理论基础大的方面是国家规定的计算机网络技术管理法则，和现今的计算机网络技术。小的方面是现今信息系统所具有的保密性、完整性、可用性、脆弱性。以及网络信息系统面临的威胁[2]。
6 网络信息系统风险管理的ISISRM管理方法
6.1 ISISRM方法的基本思想
ISISRM方法体现的是“定制”思想，它具有较强的开放性，在识别风险因素并进行解决的同时，它不会拘泥于单一的解决方法。它可以使风险管理过程和用户使用目的紧密集合结合在一起，并且在风险评估时采用了“适度量化”的原则。在ISISRM方法的我研究中引用了经济管理学的知识，它将不再只解决信息安全问题，而是从用户的角度上来说变成了一种“投资”行为[3]。
6.2 ISISRM方法的管理周期
按照ISISRM的设计逻辑，ISISRM的管理周期分为风险管理准备阶段、信息安全风险因素识别阶段、信息安全风险分析和评估阶段、信息系统安全保障分析阶段、信息系统安全决策阶段、信息安全风险动态监控阶段。
7 结语
计算机网络技术迅速发展，加速了社会信息化的进程，使得人文建设与信息系统关系日益“亲密”，但是随之而来的信息安全问题值得引起我们的重视，并让我们花费人力和物力进行解决，它时刻的威胁着我们社会主义人文建设。所以我们应该运用ISISRM这样的风险安全方法进行信息系统安全的维护和改善。
参考文献
（二）信息安全风险形式严峻。我国银行业面临的信息安全风险相较于其他行业来说比较严峻，银行系统的开放性和电子商务数量和规模的大幅度增长使得其受到攻击的可能性大幅度上升。银行在发展的过程中为了更大程度地满足客户的需求，往往对信息技术存在着严重的依赖，使得信息系统受到木马攻击、病毒侵害和钓鱼网站危害的可能性大大增加。
二、银行信息安全风险管理的建议
（一）银行要重视信息安全风险识别体系的构建。信息安全风险识别是一项系统的工程，银行要想及时、完整地识别出其在生产经营过程中的风险，就必须重视信息安全风险管理识别体系的建设，从起点上提升系统的整体安全系数标准。银行要定期对信息安全风险管理体系的可靠性进行评估，严格按照全面风险管理的原则对风险进行识别和应对。
（二）银行要建立重大信息安全风险预警和应急方案。重大信息安全风险预警和应急方案能使得银行的信息风险保持在可控的范围之内，在新的金融时期，完善的银行信息安全应急方案给金融系统的稳定上了一层重要的保险。完善的银行信息安全风险预警和应急方案是一种事前控制措施，是银行信息安全风险管理的重要举措。
（三）国家要加大银行信息安全犯罪的惩治力度。国家相关职能部门应该加大力度对信息安全犯罪进行打击。相关部门应该从根本上对这种犯罪进行严肃管理，将常规化管理落实下去，坚决杜绝形式化管理，一旦发现问题要给予严厉的惩罚。对于银行信息安全的重大犯罪要严惩不贷，对网络金融犯罪要高压打击。这样整个银行系统才会意识到信息安全风险管理的重要性，注重维护自身的信息安全。
【关键词】商业银行 信息安全 风险管理 体系构架
在我国加入世贸组织后，在市场经济的影响下逐步形成一个与全球经济同步的开放整体，我国很多商业银行都开始设立国外分行，同时，国外银行也在不断开拓国内市场，这就表明，我国商业银行信息系统安全隐患也将由国内范围加深到世界范围。这时候，应该从分析了解我国商业银行信息系统特性着手，准备把握我国商业银行信息系统的安全风险信息，也可借鉴国外已经成熟了的银行信息系统安全管理体制，再根据本行的信息安全系统的特点，构建并完善我国商业银行信息系统安全风险管理体制，及时防范并有效降低我国商业银行信息的安全损害，确保我国商业银行的信息安全，已经成为我国金融机构热议的话题，必须引起银行以及监督管理机构的重视。
1 我国商业银行信息安全风险管理现状
1.1 信息安全与风险管理
广义上来说，信息安全是在特定社会背景下，国家为维护自身信息安全、低于国外信息威胁利用信息安全的通讯技术、网络IT技术的一种能力。从狭义上来讲，信息安全就是信息内容不被随意泄漏和改变，信息体统不受威胁与攻击。当前，风险管理已经在国际上越来越广泛地被运用，有效的风险管理不但可以削减企业经营风险，还能够在企业决策上提供一定的支持，保障企业的可持续发展。所以，风险管理有非常巨大的存在意义。风险管理是信息安全的基本观念。目前，普遍认为信息安全是识别信息系统风险，并能够采取相应措施不断完善信息系统的一个过程。
1.2 网络风险
在管理商业银行信息系统时，一定要非常谨慎的对待风险管理过程。在评估风险时，可能会发现网络被没有被充分的保护，需要增加一些软件、硬件或者是加强安全管理意识等进行充分保护。网络安全能够平衡银行业务、客户功能和速度。要证明减少某些操作是无误的，比如关闭Active，该行为的发生必须在能够保证银行业务和用户在一个安全的环境下。企业最高决策机构必须时刻强调时刻注意企业的安全，以风险管理为原则不断识别企业网络存在的安全隐患，能准确判断网络容易受到攻击地方，并能够从根本上加强保护。风险评估是风险管理的基础，主要根据三个步骤来实现风险评估：
1.2.1 网络价值的判断
一定要从银行的有形资产和无形资产两方面考虑来评估商业银行的网络价值。比如，在系统出现故障的时候，要考虑到该故障会对企业的财政收入造成的影响；在网络出现故障时，要考虑修复网络需要花费的人力、物力成本，重建网络信息要消耗的资金；在商业银行网络中有重要信息被泄漏，要考虑到整个公司的财政将会受到多大的影响。
1.2.2 定义威胁
商业银行的网络和网络数据经常会很容易被内外部环境的威胁攻击。所以，了解每种类型的威胁是非常必要的，还要尽可能多的鉴别可能存在的威胁。目前，很多管理网络的人员都并不能清楚理解环境自身的威胁。内部威一般很常见也很容易定义、识别。外部威胁就相对较难定义，首先要做的是判断破坏机密文件的以未授权方式的患者记录或者信用卡号。可能是企业的竞争对手为了找到银行客户资料，也可能是为了改变银行的数据并破坏数据的可用性的黑客所为；准确判断网络容易受攻击的地方。安全弱点就是已经被识别的威胁，按等级分类所识别的威胁：威胁的关注度、威胁的可行性。
1.2.3 设定方案
如何执行一个安全的解决方案是网络风险管理过程中的最后一步。该方案需要从以下几方面着手：加强客户以及网络管理人员的安全防范意识；改变并创新网络结构；稳固安全硬件；关闭银行中有安全威胁的并不常用或者根本就不需要的测试、服务以及补丁程序。
网络风险主要表现在这几个方面：安全性风险、网络故障风险、法律媒体风险。防范网络风险需要对网络安全进行风险评估，建立网络安全管理构架，最后制定一系列安全防范措施。评估风险首先需要企业内部专门的网络安全管理人员分析并诊断企业网络安全的状况，然后从管理与技术两个方面探讨研究网络安全问题的存在。网络安全管理体系架构需要考虑到的网络风险的几个方面：通过完善网络设备性能、提高网络承受力、先进传输技术的引进以及定期核查网络设备的方式来避免网络故障风险；通过加强宣传并提高社会成员法律安全意思制定一定的法律条款来防范法律媒体风险；通过增加设立持续不断的电源、增加投保企业保险、加强网络机器安全管理等方法来避免网络安全风险中如断电、火灾等的自然风险。针对网络自身的风险以及网络攻击风险，需要遵循一定的有限级有条理有选择的来解决来自数据、应用、系统、网络的信息安全问题。利用防火墙技术、安全监督体制、IT设计工具、VNP设备、数据加密技术以及数字签名等技术保障网络风险的最小化，并制定符合法律规则的有一定安全标准的全面完善的网络安全风险管理体制。
1.3 外包业务风险
当前，我国商业银行中有一大部分的银行属于中小型银行，在资金水平以及信息技术能力的限制下，缺乏独立的信息系统开发能力，只有通过业务的外包来满足银行信息系统，导致大量的银行核心代码分散到外包公司信息系统中。如果商业银行在这种情况下没有谨慎对待外包商、依据法律条款签订相应的协议、明确协议双方的职责，那么，银行信息系统的信息安全以及系统业务的可持续性将会受到加大的威胁。与此同时，在银行维护信息系统的时候，外包公司审核的不够严谨，没能积极修复系统漏洞、优化信息系统，也会威胁到银行信息系统的安全。银行在与外包公司签订合同协议的时候，如果没有做好协议数据保密工作、外包公司蓄意泄密或者转包服务等情况，都会产生信息安全风险，甚至会给银行带来销毁性的打击。
2 我国商行银行信息安全风险管理体系架构
我国商业银行存在一定信息安全风险是必然的，即使不能避免和杜绝这种风险，也要采取相应的措施最大程度的控制、削减、化解风险的发生频率。我国商业银行信息安全风险管理体系架构主要从技术、运作以及管理组织平台三方面设计。
2.1 管理组织平台
风险管理组织平台处于我国商行银行信息安全风险管理体系的最高层，为整个管理体系提供策略性的引导。主要从商业银行信息安全风险管理的制度与策略、管理人才以及组织机构三方面着手。
2.2 运行平台
我国商业银行信息安全风险管理体系的中间部分就是风险管理的运行平台，也是商业银行信息安全风险管理体系的核心与主体部分。风险运行的整个过程包含了风险的识别、评估以及应对等诸多活动，着重体现一种风险管理持续完善的理念。该过程依据PDCA模式，严格按照计划、实施、改进的管理模式管理商业银行信息安全风险，持续完善商业银行信息安全风险管理体系架构，有利于银行创建良好的安全的信息环境。
2.3 技术平台
商业银行信息安全风险管理体系的最底层便是风险管理的技术平台。技术平台为运行与组织平台的创建和实施提供有力的技术支持，也为我国商业银行信息安全风险管理体系提供了安全性技术保障。从时效上将技术平台分为预防、实时跟踪以及事后恢复三大技术。
我国商业银行信息安全风险管理体系架构主要从技术平台、运行平台、组织平台三方面的构建组成。风险管理组织平台的构建是我国商业银行信息安全风险管理体系的重要组成部分，为整个管理体系提供策略性的引导；风险管理运行平台的构建是我国商业银行信息安全风险管理体系的核心组成部分，风险管理的运行过程严格遵循PDCA的循环定律。通过资产、威胁、脆弱性三方面的评估形成对应的资产、威胁、脆弱性信息，为满足银行业务的需求，可以采取转移风险法、规避风险法、接受风险法以及消减风险法加以应对我国商业银行信息安全风险。具体利用数字加密技术、身份认证技术、控制访问技术、检测入侵技术、数据备份以及恢复技术为我国商业银行信息安全风险管理体系的构架提供安全有力的技术支持。
在我国商行银行信息安全风险管理体系基本构建完成后，还需要对该体系做出评审、改建意见以及相关说明等后期工作。该后期工作的主要内容包括内部审计、外部审计以及文件管理。需要注意的是，在审计过程中，常常会遇到银行信息系统中的大量的铭感信息，假若不能够正确处理审计过程中遇到的银行敏感信息将会给银行的信息安全带来不可忽视的威胁，所以，加强严格管理与控制我国商业银行的外部审计是我国商业银行当前面临的一项刻不容缓的任务。银行最高决策机构应该依据法律制度，设计出相应的整改方案，并定期实施有效方案，提高我国商业银行信息的安全度，保障我国商业银行信息安全风险管理体系的成功构建。
3 结束语
信息在网络信息迅速发展的背景下已经成为一项可贵的必不可少的资源。一般来讲，掌握的信息越多、越准确就越有取胜以及权威的先机。信息对于我国商业银行这样一个特别的行业更是非常重要。在商业银行网络与业务规模不断扩大的背景下，我国商业银行在信息安全保护方面面临严峻的考验，所以，保障商业银行信息安全风险管理体系的安全已经成为目前金融行业重要的使命。
参考文献
[概述]： 随着企业网络的不断扩大，越来越多的安全威胁在影响着企业的安全状况，近两年，熊猫烧香、conficter蠕虫，都给企业带来了大量的安全损失，然而，解决企业的信息安全问题，不能单独从某一个方面入手，最好的解决方案应该是从整体上降低信息安全风险。
国际上传统的风险管理流程较为概略，在中国特有的网络环境中也比较缺乏可实施性，本文将会针对中国IT环境的建设过程，遵循一定信息安全系统建设规律，考虑到各个信息安全产品之间的整合和联动，形成一个完善的动态信息安全风险管理体系，让国际标准在中国的IT环境中得以实现。
1.IT系统信息安全建设的现状
传统的信息安全建设网网局限于防御系统的建设，企业不断的在投入资金，购买各种各样的硬件设备和软件系统，主要的功能集中在抵御各类安全威胁，其中包括：终端防病毒系统、终端安全管理系统、防火墙、入侵防御设备、Web防护类设备，入侵检测等等。采用这样的信息安全产品能够取得一些效果，但是往往造成信息安全系统比较被动，不能够主动的发现安全风险，及时的降低安全风险。
(1)经常采用的信息安全产品我们在信息安全建设的初级阶段，经常采购的信息安全产品包括：
l防病毒：在终端部署的企业防病毒产品，检测和查杀各类病毒；
l防火墙（Firewall）：访问控制设备，帮助建立基本的企业网络安全边界；
lWeb Cache设备：部署在外部网络，实现对网络访问的缓存，提升访问速度；
l负载均衡：对网络访问性能进行调控，保证网络负载均衡；
l邮件安全网关：实时检测和过滤各类病毒邮件及垃圾邮件；
l入侵检测和防御系统：检测网络数据，对网络内部的各类攻击行为进行报警；
部署的安全设备能够起到一定的安全防护功能，但是随着安全威胁的不断变化和发展，现有的安全机制已经难以满足目前的信息安全需求，我们需要主动地控制安全风险，才能够在不断复杂的安全环境中确保企业网络的安全。。
(2)普遍意义上的安全风险管理信息安全风险管理的本质，可以看作是动态地对信息安全风险的管理，即要实现对信息和信息系统的风险进行有效评估、分析、控制和管理。在ISO标准当中，已经给出了一个非常经典的安全风险模型，如下图：
也就是说，只有企业具有了信息化的核心资产（比如有很重要的数据保存在服务器上），这些资产存在弱点和漏洞（比如微软操作系统的漏洞），又存在被损害的可能（比如病毒、黑客攻击等等），才可能给企业造成损失。因此，企业的安全风险和这三个方面相关，企业也只有同时管理好这三个方面，才可能真正的确保网络安全。
而传统的安全产品（如前所述），只是去抵御安全威胁，却忽视了资产的重要性和对漏洞的管理。。更加不可能实现多安全风险的准确评估和动态管理。
(3)风险管理流程既然要降低安全风险，我们就需要一个成熟的流程来对信息安全风险进行管理和控制，一般的安全风险管理流程如下：
l识别风险：准确识别网络中存在的安全风险；
l分析风险：通过定性或者定量的方法确定现存的安全风险是否需要消除；
l消除风险：通过有效的手段降低安全风险；
l监控风险：监控安全风险的变化，做到对风险的动态管理。。
(4)安全风险管理的问题传统的安全产品，如IDS，防病毒系统等只是在被动的抵御或检测安全威胁，缺乏主动的防护措施和手段；而要实现主动的信息安全管理，则需要对企业整体的安全风险进行监控和管理，但在执行过程中，存在如下问题：
l没有技术手段实现对安全风险的全面的监控；
l消除信息安全风险的手段不明确；
l缺乏详细的可实施的信息安全风险管理流程，能够结合所有的信息安全产品，从而实现全面的安全风险管理。
2.动态安全风险管理体系
基于国际信息安全标准，结合中国IT环境的特点，我们应该首先明确安全风险的三个重要方面及控制手段，有计划有步骤的加强整个信息安全体系的建设，才有可能最终实现完善的风险管理系统。
(1)可实施的安全风险管理理论根据安全风险的特点和三个关键要素，我们可以针对信息安全风险形成更具可实施性的安全风险管理方法论，其核心思路是根据企业的基础环境，全面准确的评估安全风险，并根据安全风险的状况结合系统、网络层面的安全防御手段有效抵御安全威胁，最终主动的降低整体安全风险。
要实现对安全风险的管理和控制，需要实现完整的风险管理流程：
l发现安全风险：通过有效的手段，确定存在安全风险的资产和区域，定位安全风险存在的区域；
l评估安全风险：准确高效的评估安全风险，了解安全风险的大小和实质；
l强制措施降低风险：通过管理或强制等安全手段，主动地降低安全风险；
l安全防御：通过各类系统、网络安全设备，防御各类安全威胁；
l修补：主动修补存在的各类漏洞，全面降低安全风险。
综上所述，通过完整的安全风险管理流程，对整个网络的安全风险实现全面的管理和控制，5个步骤缺一不可，同时，风险管理流程根据企业的具体情况，可以有不同的实现方式，最终实现：
l始终遵守确定的安全政策；
l基于风险管理，整合网内现有的安全防护产品；
l通过全面的实时防护产品更好的检测并阻止安全威胁；
(2)实现安全风险管理的详细步骤：1——确立安全标准和方针；
2——统计信息资产；
3——整合并确认资产的商业价值；
4——检测资产存在的安全漏洞；
5——了解存在的潜在威胁；
6——分析存在的安全风险；
7——通过安全防御产品实时阻断安全威胁；
8——强制安全策略并应用补救措施；
9——评估安全效果和影响；
10——针对已有策略进行比对。
综上所述，传统的安全产品（防病毒、防火墙等），只是去抵御安全威胁，却忽视了对整体安全风险的考虑，而整合的安全风险管理体系考虑到了可能影响企业安全风险的三个关键要素，并且可以结合现有的安全产品，通过完善安全风险管理流程帮助企业实时的控制整体安全风险，真正的解决安全问题。
(3)安全风险管理体系的建设步骤要实现完善的安全风险管理，我们需要有计划有步骤的完善自身的安全风险管理体系，并且制定相应的安全策略，做到有的放矢。企业在构建安全风险管理体系的时候，有一个基本次序：
l 首先，构建完善的终端安全体系，因为终端安全是基础，任何安全威胁最终影响到的都是终端系统，同时，终端面对的病毒等威胁数量最多；
l 其次，是构建完善的网络防护体系，如防火墙、入侵防护系统、垃圾邮件过滤系统等，从网络层面第一时间抵御安全威胁，同时，还要防御各类终端难以防御的网络攻击行为；
l 最后，当已经建立了高效的防护体系之后，需要建立全面的资产管理和风险管理体系，整合现有的安全设备和手段，形成成熟完备的动态安全风险管理体系。
[参考文献]：
关键字（Keywords）：
安全管理、风险、弱点、评估、城域网、IP、AAA、DNS
1 信息安全管理概述
普遍意义上，对信息安全的定义是“保护信息系统和信息，防止其因为偶然或恶意侵犯而导致信息的破坏、更改和泄漏，保证信息系统能够连续、可靠、正常的运行”。所以说信息安全应该理解为一个动态的管理过程，通过一系列的安全管理活动来保证信息和信息系统的安全需求得到持续满足。这些安全需求包括“保密性”、“完整性”、“可用性”、“防抵赖性”、“可追溯性”和“真实性”等。
信息安全管理的本质，可以看作是动态地对信息安全风险的管理，即要实现对信息和信息系统的风险进行有效管理和控制。标准ISO15408－1（信息安全风险管理和评估规则），给出了一个非常经典的信息安全风险管理模型，如下图一所示：
既然信息安全是一个管理过程，则对PDCA模型有适用性，结合信息安全管理相关标准BS7799(ISO17799)，信息安全管理过程就是PLAN-DO-CHECK-ACT（计划－实施与部署－监控与评估－维护和改进）的循环过程。
2 建立信息安全管理体系的主要步骤
如图二所示，在PLAN阶段，就需要遵照BS7799等相关标准、结合企业信息系统实际情况，建设适合于自身的ISMS信息安全管理体系，ISMS的构建包含以下主要步骤：
（1） 确定ISMS的范畴和安全边界
（2） 在范畴内定义信息安全策略、方针和指南
（3） 对范畴内的相关信息和信息系统进行风险评估
a) Planning（规划）
b) Information Gathering（信息搜集）
c) Risk Analysis（风险分析）
u Assets Identification & valuation(资产鉴别与资产评估)
u Threat Analysis（威胁分析）
u Vulnerability Analysis（弱点分析）
u 资产/威胁/弱点的映射表
u Impact & Likelihood Assessment（影响和可能性评估）
u Risk Result Analysis（风险结果分析）
d) Identifying & Selecting Safeguards（鉴别和选择防护措施）
e) Monitoring & Implementation（监控和实施）
f) Effect estimation（效果检查与评估）
（4） 实施和运营初步的ISMS体系
（5） 对ISMS运营的过程和效果进行监控
（6） 在运营中对ISMS进行不断优化
3 IP宽带网络安全风险管理主要实践步骤
目前，宽带IP网络所接入的客户对网络可用性和自身信息系统的安全性需求越来越高，且IP宽带网络及客户所处的信息安全环境和所面临的主要安全威胁又在不断变化。IP宽带网络的运营者意识到有必要对IP宽带网络进行系统的安全管理，以使得能够动态的了解、管理和控制各种可能存在的安全风险。
由于网络运营者目前对于信息安全管理还缺乏相应的管理经验和人才队伍，所以一般采用信息安全咨询外包的方式来建立IP宽带网络的信息安全管理体系。此类咨询项目一般按照以下几个阶段，进行项目实践：
3.1 项目准备阶段。
a) 主要搜集和分析与项目相关的背景信息；
b) 和客户沟通并明确项目范围、目标与蓝图；
c) 建议并明确项目成员组成和分工；
d) 对项目约束条件和风险进行声明；
e) 对客户领导和项目成员进行意识、知识或工具培训；
f) 汇报项目进度计划并获得客户领导批准等。
3.2 项目执行阶段。
a) 在项目范围内进行安全域划分；
b) 分安全域进行资料搜集和访谈，包括用户规模、用户分布、网络结构、路由协议与策略、认证协议与策略、DNS服务策略、相关主机和数据库配置信息、机房和环境安全条件、已有的安全防护措施、曾经发生过的安全事件信息等；
c) 在各个安全域进行资产鉴别、价值分析、威胁分析、弱点分析、可能性分析和影响分析，形成资产表、威胁评估表、风险评估表和风险关系映射表；
d) 对存在的主要风险进行风险等级综合评价，并按照重要次序，给出相应的防护措施选择和风险处置建议。
3.3 项目总结阶段
a) 项目中产生的策略、指南等文档进行审核和批准；
b) 对项目资产鉴别报告、风险分析报告进行审核和批准；
c) 对需要进行的相关风险处置建议进行项目安排；
4 IP宽带网络安全风险管理实践要点分析
运营商IP宽带网络和常见的针对以主机为核心的IT系统的安全风险管理不同，其覆盖的范围和影响因素有很大差异性。所以不能直接套用通用的风险管理的方法和资料。在项目执行的不同阶段，需要特别注意以下要点：
4.1 安全目标
充分保证自身IP宽带网络及相关管理支撑系统的安全性、保证客户的业务可用性和质量。
4.2 项目范畴
应该包含宽带IP骨干网、IP城域网、IP接入网及接入网关设备、管理支撑系统：如网管系统、AAA平台、DNS等。
4.3 项目成员
应该得到运营商高层领导的明确支持，项目组长应该具备管理大型安全咨询项目经验的人承担，且项目成员除了包含一些专业安全评估人员之外，还应该包含与宽带IP相关的“业务与网络规划”、“设备与系统维护”、“业务管理”和“相关系统集成商和软件开发商”人员。
4.4 背景信息搜集：
背景信息搜集之前，应该对信息搜集对象进行分组，即分为IP骨干网小组、IP接入网小组、管理支撑系统小组等。分组搜集的信息应包含：
a) IP宽带网络总体架构
b) 城域网结构和配置
c) 接入网结构和配置
d) AAA平台系统结构和配置
e) DNS系统结构和配置
f) 相关主机和设备的软硬件信息
g) 相关业务操作规范、流程和接口
h) 相关业务数据的生成、存储和安全需求信息
i) 已有的安全事故记录
j) 已有的安全产品和已经部署的安全控制措施
k) 相关机房的物理环境信息
l) 已有的安全管理策略、规定和指南
m) 其它相关
4.5 资产鉴别
资产鉴别应该自顶向下进行鉴别，必须具备层次性。最顶层可以将资产鉴别为城域网、接入网、AAA平台、DNS平台、网管系统等一级资产组；然后可以在一级资产组内，按照功能或地域进行划分二级资产组，如AAA平台一级资产组可以划分为RADIUS组、DB组、计费组、网络通信设备组等二级资产组；进一步可以针对各个二级资产组的每个设备进行更为细致的资产鉴别，鉴别其设备类型、地址配置、软硬件配置等信息。
4.6 威胁分析
威胁分析应该具有针对性，即按照不同的资产组进行针对性威胁分析。如针对IP城域网，其主要风险可能是：蠕虫、P2P、路由攻击、路由设备入侵等；而对于DNS或AAA平台，其主要风险可能包括：主机病毒、后门程序、应用服务的DOS攻击、主机入侵、数据库攻击、DNS钓鱼等。
4.7 威胁影响分析
是指对不同威胁其可能造成的危害进行评定，作为下一步是否采取或采取何种处置措施的参考依据。在威胁影响分析中应该充分参考运营商意见，尤其要充分考虑威胁发生后可能造成的社会影响和信誉影响。
4.8 威胁可能性分析
2电力企业信息系统安全管理研究
信息安全是一个复杂的、不断变化的动态过程，如果电力企业只根据一时需要而忽略了信息安全的动态性，只是主观的来制定一些风险管理措施，就会造成在企业信息管理中顾此失彼，进而导致企业的安全管理水平止步不前甚至有失偏颇。［2］其正确的做法是，电力企业要遵守相关信息安全标准及实践总结，结合企业自身对信息系统安全的实际需求，在进行完善的风险分析及风险管理的基础上，通过一些合理的、可行的安全风险管理措施来使电力企业信息系统一直处于安全状态。除此之外，不断更新的过程是电力企业进行信息安全管理的最基本出发点，该过程还应该是动态的、变化的，即安全措施要随着环境的变化及信息技术的提高而不断改进和完善，坚决拒绝一成不变，这可以将信息系统的风险降到最低。［3］所以说，基于风险的评估及控制角度来说，电力企业信息系统的安全风险与其他领域的风险具有相似性，与此同时，电力系统信息系统安全风险又具有其独特性。将其他领域内的风险控制过程引入电力企业的信息风险管理领域，需要同时考虑到其共性和个性。安全管理主要分为网络级、系统级和应用级3个部分：（1）网络级安全管理。电力企业信息系统的网络级安全管理主要是指解决企业信息系统与网络互联而产生的安全风险问题，其主要从网络防火墙及网络结构两个方面采取安全管理措施。网络防火墙对企业内部网络及外部网络起到安全隔离作用，它可以有效预防潜在的破坏性入侵，同时可以对即将进入企业内部网络的数据进行严格的检测，并对非法、错误的网络信息进行隔离，从而保护电力企业内部网络的安全。对于网络结构，根据电力企业信息系统的实际情况，相关技术人员结合网络结构，设计出一种介于混合型和网状型结构之间的分布式网络结构，该分布式网络系统具有较高的可靠性及容错能力，从而对已有的网络结构进行了优化。（2）系统级安全管理。在企业信息系统风险管理中，系统级安全设计与用户的具体应用具有密切的联系，具体而言，其分为操作系统与数据处理两个方面。在操作系统方面，利用有效的网络安全扫描对信息系统的安全风险进行合理评估，及时分析操作系统已有的漏洞，同时结合信息系统的漏洞自动修补技术，实现定期为相关用户消除网络中的安全隐患。在数据处理方面，企业要善于利用信息系统平台再次对数据库进行数据安全加密，从而将信息系统的数据库风险降到最低。（3）应用级安全管理。应用级安全设计具有直观、具体的特点，它是在设计电力企业的信息系统时，通过技术手段将相应的安全技术加入到信息系统中，从而有效保证系统的安全稳定运行。具体来说，电力企业信息系统的应用系统访问控制是根据访问信息性质的不同，分别进行公开信息和私密信息的传送、存储及管理，从而实现在应用层次上的访问控制；而数字签名技术可以通过对文件签发者、日期等提供准确的不可更改的历史记录，来保证系统所有文件的完整性。因此，我们得知，为了确保电力企业信息系统的安全，要采取合理、有效的管理手段来最大程度地降低风险，即相关人员不仅要从技术层面来进行安全管理的设计，还要从管理层面进行安全管理设置。［4］具体来说可以从以下方面着手：（1）定期对企业系统的技术人员进行安全教育，增强其信息系统的安全意识；（2）保持相关人员特别是管理层的人员稳定，若有人员调离，需及时更换系统密码，避免企业机密泄露；（3）设置合理的电力企业信息系统安全标准及企业制度等。
企业的信息安全管理包含十分丰富的内容，简单来说是指企业通过各种手段来保护企业硬件和软件，保护网络存储中的各种数据不受偶然因素的破坏或者恶意的原因被攻击。对于信息安全的认定通过包括4个指标，即保证信息数据的完整，保证信息数据不被泄露，保证信息数据能够正常使用，保证信息数据能够控制管理。要想做好企业的信息安全管理，首先需要了解的是关于信息的传输方式。随着信息技术的不断普及，信息传递的方式越来越多，常见的信息传递方式主要有互联网传播，局域网传播，硬件传播等等。要想实现企业的信息安全管理，其中很重要的一项工作在于保护信源、信号以及信息。信息安全管理是一项需要综合学科知识基础的工作，从事企业信息安全管理工作的人员通过需要具有网络安全技术、计算机技术、密码技术、通信技术。从企业的信息安全管理来讲，最为关键的一项工作时保护企业内部经营信息数据的完整。经过近十年来的企业信息安全管理工作经验总结，企业信息安全不仅仅需要信息技术的支持，更需要通过建立完善的企业风险控制体系来帮助企业实现更好地保护企业信息安全的目标。
所以，怎样把企业信息安全管理与风险控制融合起来就是摆在企业经营管理者面前的一道难题。企业的信息安全风险控制必须通过企业建立完善的企业信息安全风险体系实现。企业的信息安全风险控制是指企业在企业信息安全遭遇威胁之前，提前对企业的信息进行风险预估，并采取一系列的有针对性的活动降低企业面临的信息安全风险，从而尽可能减少因为企业本身信息安全管理中存在漏洞给企业带来不必要的损失。常见的企业信息安全风险体系建立主要包含以下几个方面的内容。第一，建立企业信息安全风险管理制度，明确企业信息安全管理的责任分配机制，明确企业各个部门对各自信息安全所应承担的责任，并建立相应的问责机制。第二，设置规范的企业信息安全风险管理指标，对企业存在的可能威胁企业信息安全管理的漏洞予以风险定级，方便企业管理者对不同的信息安全管理漏洞采取有区别的对策。第三，企业要加强对信息安全管理人员的培训，提高企业信息安全管理工作人员的风险意识，让企业内部从事信息安全管理工作人员认识到自身工作的重要性，让企业内部从事信息安全管理工作人员了解到规范自身行为，正确履行职责的重要性。第四，将企业信息安全管理与风险控制有效融合，重视企业信息安全管理工作，通过风险控制对企业内部信息安全的管理方式进行正确评估，找出现行的企业内部信息安全管理手段中存在容易忽视的地方。
二、企业信息安全管理与风险控制存在的不足
1.企业信息安全管理工作人员素质不高
对于企业来说，企业信息安全管理工作是一项极为重要而隐秘的工作，因此，必须增强对企业信息安全管理工作人员的素质要求。但是根据调查统计，目前很多企业对信息安全工作的管理仅仅停留在对企业信息安全管理工作人员的技术要求上，对企业信息安全管理工作人员的道德素养，职业素养，风险意识并没有严格要求。此外，绝大多数企业并没有意识开展对企业信息安全管理工作的道德素质的教育培训，并没有通过建立相关管理制度以及问责机制对企业信息安全管理工作人员实行监督，这无疑给别有用心或者立场不坚定的企业信息安全管理工作人员留下了危害企业信息安全的可乘之机。
2.企业信息安全管理技术不过关
企业信息安全管理工作涉及多许多技术，包括信息技术，计算机技术，密码技术，网络应用技术等等，应当说成熟的计算机应用技术是做好企业信息安全管理的基础，但是，现实是许多企业的信息安全管理技术并不过关，一方面企业的信息安全管理硬件并不过关，在物理层面对企业信息缺乏保护，另一方面，企业信息安全管理工作的专业技术没有及时更新，一些企业信息安全管理工作人员缺乏企业信息安全管理的实践经验，企业信息安全管理的知识也并没有及时更新，从而导致企业的信息安全管理理论严重滞后，这种技术的落后很容易让企业成为不法分子的攻击对象。近年来网络病毒的传播越来越猖狂，很多服务器、系统提示安全补丁的下载更新以及客户端的时常更新成为一个恼人的问题。作为一个行业中的大中型企业，企业内部设备数量比较多，尤其是客户端数量占了较大比重，仅仅靠少数几个管理员进行管理是难以承担如此大量的工作量。另外，企业信息安全管理系统不成熟也是一个重大的隐患。
3.企业信息安全管理制度不健全
企业信息安全管理制度不仅仅需要理论制度的完善，更加需要一系列配套监督机制保障企业信息安全管理的有效执行。通过调查分析，许多企业虽然建立了企业信息安全管理制度，但是通常情况下，这些制度只能流于形式，企业信息安全管理工作缺少有效的制约和监督，企业信息安全管理工作人员缺乏执行力。企业信息安全管理制度不健全，企业信息安全管理工作缺乏执行力常常体现在以下几个方面。第一，企业员工对于信息安全管理的认识严重不足，对企业信息安全管理工作不重视。企业内部计算机系统安全的计算机防病毒软件并没有及时更新，使用，甚至企业内部计算机的防病毒软件还被企业员工卸载了。部分企业员工认为自己的工作与企业信息安全管理不相关，认为做好企业信息安全管理工作仅仅是企业信息安全部门的事。第二，企业内部信息安全管理制度并没有形成联动机制，企业信息安全管理工作仅仅由企业信息安全部门“一人包干”，企业信息安全反映的问题并没有得到积极的反馈，一些企业领导对企业信息安全现状所了解的少之又少。
三、企业信息安全管理常见的技术手段
1.OSI安全体系结构
OSI概念化的安全体系结构是一个多层次的结构，它的设计初衷是面向客户的，提供给客户各种安全应用，安全应用必须依靠安全服务来实现，而安全服务又是由各种安全机制来保障的。所以，安全服务标志着一个安全系统的抗风险的能力，安全服务数量越多，系统就越安全。
2.P2DR模型
P2DR模型包含四个部分：响应、安全策略、检测、防护。安全策略是信息安全的重点，为安全管理提供管理途径和保障手段。因此，要想实施动态网络安全循环过程，必须制定一个企业的安全模式。在安全策略的指导下实施所有的检测、防护、响应，防护通常是通过采用一些传统的静态安全技术或者方法来突破的，比如有防火墙、访问控制、加密、认证等方法，检测是动态响应的判断依据，同时也是有力落实安全策略的实施工具，通过监视来自网络的入侵行为，可以检测出骚扰行为或错误程序导致的网络不安全因素；经过不断地监测网络和系统来发现新的隐患和弱点。在安全系统中，应急响应占有重要的地位，它是解决危险潜在性的最有效的办法。
3.HTP模型
HTP最为强调企业信息安全管理工作人员在整个系统中的价值。企业信息安全工作人员企业信息安全最为关键的参与者，企业信息安全工作人员直接主导企业信息安全管理工作，企业信息安全工作人员不仅仅是企业信息安全的保障者，也是企业信息安全管理的威胁者。因此，HTP模型最为强调对企业信息安全管理工作人员的管理与监督。另外，HTP模式同样是建立在企业信心安全体系，信息安全技术防范的基础上，HTP模式采取了丰富的安全技术手段确保企业的信息安全。最后，HTP强调动态管理，动态监督，对于企业信息安全管理工作始终保持高强度的监督与管理，在实际工作中，通过HTP模型的应用，找出HTP模型中的漏洞并不断完善。
四、完善企业信息安全管理与降低风险的建议
1.建设企业信息安全管理系统
（1）充分调查和分析企业的安全系统，建立一个全面合理的系统模型，安全系统被划分成各个子系统，明确实施步骤和功能摸块，将企业常规管理工作和安全管理联动协议相融合，实现信息安全监控的有效性和高效性。
（2）成立一个中央数据库，整合分布式数据库里的数据，把企业的所有数据上传到中央数据库，实现企业数据信息的集中管理与有效运用。
（3）设计优良的人机界面，通过对企业数据信息进行有效的运用，为企业管理阶层人员、各级领导及时提供各种信息，为企业领导的正确决策提供数据支持，根本上提高信息数据的管理水平。
（4）简化企业内部的信息传输通道，对应用程序和数据库进行程序化设计，加强对提高企业内部信息处理的规范性和准确性。
2.设计企业信息安全管理风险体系
（1）确定信息安全风险评估的目标
在企业信息安全管理风险体系的设计过程中，首要工作是设计企业信息安全风险评估的目标，只有明确了企业信息安全管理的目标，明确了企业信息安全管理的要求和工作能容，才能建立相关围绕信息安全风险控制为目标的信息安全管理工作制度，才能顺利通过对风险控制的结果的定量考核，检测企业信息安全管理的风险，定性定量地企业信息安全管理工作进行分析，找准企业信息安全管理的工作办法。
（2）确定信息安全风险评估的范围
信息安全管理是一项需要综合学科知识基础的工作,从事企业信息安全管理工作的人员通过需要具有网络安全技术、计算机技术、密码技术、通信技术。从企业的信息安全管理来讲,最为关键的一项工作时保护企业内部经营信息数据的完整。经过近十年来的企业信息安全管理工作经验总结,企业信息安全不仅仅需要信息技术的支持,更需要通过建立完善的企业风险控制体系来帮助企业实现更好地保护企业信息安全的目标。所以,怎样把企业信息安全管理与风险控制融合起来就是摆在企业经营管理者面前的一道难题。企业的信息安全风险控制必须通过企业建立完善的企业信息安全风险体系实现。
企业的信息安全风险控制是指企业在企业信息安全遭遇威胁之前,提前对企业的信息进行风险预估,并采取一系列的有针对性的活动降低企业面临的信息安全风险,从而尽可能减少因为企业本身信息安全管理中存在漏洞给企业带来不必要的损失。常见的企业信息安全风险体系建立主要包含以下几个方面的内容。第一,建立企业信息安全风险管理制度,明确企业信息安全管理的责任分配机制,明确企业各个部门对各自信息安全所应承担的责任,并建立相应的问责机制。第二,设置规范的企业信息安全风险管理指标,对企业存在的可能威胁企业信息安全管理的漏洞予以风险定级,方便企业管理者对不同的信息安全管理漏洞采取有区别的对策。第三,企业要加强对信息安全管理人员的培训,提高企业信息安全管理工作人员的风险意识,让企业内部从事信息安全管理工作人员认识到自身工作的重要性,让企业内部从事信息安全管理工作人员了解到规范自身行为,正确履行职责的重要性。第四,将企业信息安全管理与风险控制有效融合,重视企业信息安全管理工作,通过风险控制对企业内部信息安全的管理方式进行正确评估,找出现行的企业内部信息安全管理手段中存在容易忽视的地方。
二、企业信息安全管理与风险控制存在的不足
1.企业信息安全管理工作人员素质不高
对于企业来说,企业信息安全管理工作是一项极为重要而隐秘的工作,因此,必须增强对企业信息安全管理工作人员的素质要求。但是根据调查统计,目前很多企业对信息安全工作的管理仅仅停留在对企业信息安全管理工作人员的技术要求上,对企业信息安全管理工作人员的道德素养,职业素养,风险意识并没有严格要求。此外,绝大多数企业并没有意识开展对企业信息安全管理工作的道德素质的教育培训,并没有通过建立相关管理制度以及问责机制对企业信息安全管理工作人员实行监督,这无疑给别有用心或者立场不坚定的企业信息安全管理工作人员留下了危害企业信息安全的可乘之机。
2.企业信息安全管理技术不过关
企业信息安全管理工作涉及多许多技术,包括信息技术,计算机技术,密码技术,网络应用技术等等,应当说成熟的计算机应用技术是做好企业信息安全管理的基础,但是,现实是许多企业的信息安全管理技术并不过关,一方面企业的信息安全管理硬件并不过关,在物理层面对企业信息缺乏保护,另一方面,企业信息安全管理工作的专业技术没有及时更新,一些企业信息安全管理工作人员缺乏企业信息安全管理的实践经验,企业信息安全管理的知识也并没有及时更新,从而导致企业的信息安全管理理论严重滞后,这种技术的落后很容易让企业成为不法分子的攻击对象。近年来网络病毒的传播越来越猖狂,很多服务器、系统提示安全补丁的下载更新以及客户端的时常更新成为一个恼人的问题。作为一个行业中的大中型企业,企业内部设备数量比较多,尤其是客户端数量占了较大比重,仅仅靠少数几个管理员进行管理是难以承担如此大量的工作量。另外,企业信息安全管理系统不成熟也是一个重大的隐患。
3.企业信息安全管理制度不健全
企业信息安全管理制度不仅仅需要理论制度的完善,更加需要一系列配套监督机制保障企业信息安全管理的有效执行。通过调查分析,许多企业虽然建立了企业信息安全管理制度,但是通常情况下,这些制度只能流于形式,企业信息安全管理工作缺少有效的制约和监督,企业信息安全管理工作人员缺乏执行力。企业信息安全管理制度不健全,企业信息安全管理工作缺乏执行力常常体现在以下几个方面。第一,企业员工对于信息安全管理的认识严重不足,对企业信息安全管理工作不重视。企业内部计算机系统安全的计算机防病毒软件并没有及时更新,使用,甚至企业内部计算机的防病毒软件还被企业员工卸载了。部分企业员工认为自己的工作与企业信息安全管理不相关,认为做好企业信息安全管理工作仅仅是企业信息安全部门的事。第二,企业内部信息安全文秘站:管理制度并没有形成联动机制,企业信息安全管理工作仅仅由企业信息安全部门“一人包干”,企业信息安全反映的问题并没有得到积极的反馈,一些企业领导对企业信息安全现状所了解的少之又少。
三、企业信息安全管理常见的技术手段 1.OSI安全体系结构
OSI概念化的安全体系结构是一个多层次的结构,它的设计初衷是面向客户的,提供给客户各种安全应用,安全应用必须依靠安全服务来实现,而安全服务又是由各种安全机制来保障的。所以,安全服务标志着一个安全系统的抗风险的能力,安全服务数量越多,系统就越安全。
2.P2DR模型
P2DR模型包含四个部分:响应、安全策略、检测、防护。安全策略是信息安全的重点,为安全管理提供管理途径和保障手段。因此,要想实施动态网络安全循环过程,必须制定一个企业的安全模式。在安全策略的指导下实施所有的检测、防护、响应,防护通常是通过采用一些传统的静态安全技术或者方法来突破的,比如有防火墙、访问控制、加密、认证等方法,检测是动态响应的判断依据,同时也是有力落实安全策略的实施工具,通过监视来自网络的入侵行为,可以检测出骚扰行为或错误程序导致的网络不安全因素;经过不断地监测网络和系统来发现新的隐患和弱点。在安全系统中,应急响应占有重要的地位,它是解决危险潜在性的最有效的办法。
3.HTP模型
HTP最为强调企业信息安全管理工作人员在整个系统中的价值。企业信息安全工作人员企业信息安全最为关键的参与者,企业信息安全工作人员直接主导企业信息安全管理工作,企业信息安全工作人员不仅仅是企业信息安全的保障者,也是企业信息安全管理的威胁者。因此,HTP模型最为强调对企业信息安全管理工作人员的管理与监督。另外,HTP模式同样是建立在企业信心安全体系,信息安全技术防范的基础上,HTP模式采取了丰富的安全技术手段确保企业的信息安全。最后,HTP强调动态管理,动态监督,对于企业信息安全管理工作始终保持高强度的监督与管理,在实际工作中,通过HTP模型的应用,找出HTP模型中的漏洞并不断完善。
四、完善企业信息安全管理与降低风险的建议
1.建设企业信息安全管理系统
(1)充分调查和分析企业的安全系统,建立一个全面合理的系统模型,安全系统被划分成各个子系统,明确实施步骤和功能摸块,将企业常规管理工作和安全管理联动协议相融合,实现信息安全监控的有效性和高效性。
(2)成立一个中央数据库,整合分布式数据库里的数据,把企业的所有数据上传到中央数据库,实现企业数据信息的集中管理与有效运用。
(3)设计优良的人机界面,通过对企业数据信息进行有效的运用,为企业管理阶层人员、各级领导及时提供各种信息,为企业领导的正确决策提供数据支持,根本上提高信息数据的管理水平。
(4)简化企业内部的信息传输通道,对应用程序和数据库进行程序化设计,加强对提高企业内部信息处理的规范性和准确性。
2.设计企业信息安全管理风险体系
(1)确定信息安全风险评估的目标
在企业信息安全管理风险体系的设计过程中,首要工作是设计企业信息安全风险评估的目标,只有明确了企业信息安全管理的目标,明确了企业信息安全管理的要求和工作能容,才能建立相关围绕信息安全风险控制为目标的信息安全管理工作制度,才能顺利通过对风险控制的结果的定量考核,检测企业信息安全管理的风险,定性定量地企业信息安全管理工作进行分析,找准企业信息安全管理的工作办法。
(2)确定信息安全风险评估的范围
