某矿山企业信息系统安全分析

引言：互联网是一把实践证明可以推动经济倍增和社会文明跨越发展的双刃之剑，当前和一定时期是其正面之刃互联网+的如火如荼，而其负面之刃含计算机信息网络安全风险防范，也因而尤显紧迫必要和形势严峻。

互联网是一把可以推动经济倍增和社会文明跨越发展的双刃剑，当前是其正面之刃互联网+的如火如荼，而其负面之刃含计算机信息网络安全风险防范，也因而尤显紧迫必要和形势的严峻。为推动企业积极应对当前经济的下行压力，全力以赴打好提质增效攻坚战，不断提高企业重大风险管理水平，实现持续、健康、稳定发展，依据国家机关的相关要求，笔者公司开展了重大风险管理自查工作，本文为其中之一信息系统安全风险年度研究简案，现分享供参考。

2015年度信息系统安全风险管理

一般的信息系统（Information System）是由计算机硬件、网络和通讯设备、软件、信息资源、信息用户和规章制度组成的以处理信息流为目的的人机一体化系统。该系统主要包括：辅助决策系统（DSS）、工业控制系统（CCS）、办公自动化系统（OA）以及数据库、模型库、方法库、知识库和与上级机关及外界交换信息的接口。特别是办公自动化系统（OA）的应用，与上级机关及外界交换信息等都离不开Intranet（企业内部网）的应用。

信息系统安全包含了上述对应范围内容的安全管理，主要有：物理安全，包括环境安全、设备安全、媒体安全等方面。处理秘密信息系统的数据中心机房应采用有效的技术防范措施；运行安全，包括备份与恢复、病毒的检测与消除、电磁兼容等。涉密系统的主要设备、软件、数据、电源等应有备份，并具有在短时间内恢复系统运行的能力。应采用国家有关部门批准的杀毒软件适时查毒杀毒；信息安全，确保信息的保密性、完整性、可用性和抗抵赖性是信息安全保密的中心任务；安全保密管理，包括各级管理组织机构、管理制度和管理技术等。

信息系统安全风险产生过程，主要是交付信息系统的安全保密合同条款的有无；信息系统的陷门；信息系统中发生用户标识截取、伪装、重放攻击；数据截取；非法使用；病毒；拒绝服务；恶意移动代码；数据库数据文件丢失、系统损坏、系统源文件泄露、系统管理员口令暴露等问题。

以上可看出，信息系统安全风险管理是“三高”性的，即高新技术、高智力劳动和高强度工作量。导致其安全维护也相对复杂。

笔者公司于2001年在集团公司内率先建成计算机网络信息系统并投入办公正常应用。领导在信息系统安全意识上较为重视，在其建设期即同步考虑了相应安全内容，并将信息系统安全风险管理工作纳入网络管理日常工作中，前后出台了相应的安全运用制度。还根据工作需要配备了计算机信息网络安全监测系统，开展了日常监测工作；配备了网络异地备份系统，定期检查其运行状况；对引进的网络设备和系统基本设置了身份识别、操作权限和密码管理；逐步加强了调离人员使用IT设备和信息用户清理管理；按制度落实了网络和终端防杀毒措施；还逐年对部分办公人员和新进员工开展了计算机信息网络安全使用培训工作；每年按制度由办公室牵头并联合政工和监察部门不定期对网络安全使用情况例行检查，并进行处罚公示；并作好风险分级管控效果探索等等。

2015年在信息系统安全风险管理方面，除了坚持其常规安全管理工作外，主要有：一是根据管理新常态修订了《矿业总公司网络安全运行管理办法》并严格执行；二是完成了总公司网络机房向绿色数据中心发展的技改，部分达到了B级安全等级以上标准；三是更新和配置了具备防火墙功能的路由器网络出口设备；四是对运行多年的OA系统的服务器硬盘系统进行了成功在线扩容，确保和延长了网上办公的运行容量和服务安全；五是对科技之家网站系统进行了变动的初步安全分析，下步应加强改版工作；六是完成了25人次的部分办公人员和新进大中专毕业生的网络办公和计算机信息网络安全使用培训工作。

截止目前未发生一起重大的信息系统安全风险事件。总体上信息系统安全风险可识别和可控。

另外信息系统中的工业控制系统的安全风险也较多较大，因职责关系，此处略。

2016年度信息系统安全风险评估研究

在一定程度上逐步解决了原信息系统安全风险中的诸如信息系统防杀毒风险、信息系统使用人员安全应用教育风险、数据备份风险、OA系统服务器在线硬盘容量不足运行风险、网络出口设备老化风险、数据中心机房绿色标准化风险等等，并将其纳入常规风险日常监控管理范围。按自身管理需要和本次文件要求，经过逐项的专业分析和排查，认为在2016年及之后，公司在信息系统安全风险还有新增风险如下，当然有的是我们一直申请在解决和监控中。

1.档案系统备份风险

风险源：数据备份（技术部和办公室、科技档案系统研发项目、电子档案管理）。

风险成因：现为本机备份操作风险；服务器硬盘损坏风险；共享误操作风险等。

风险发生后对本单位的影响：电子档案丢失；致使原档案员劳动无效，其重来劳动已不能复原档案原况。

发生可能性：随机发生、难以预测。一旦发生时会产生较大直接经济损失。安全风险级别为一级（特别重大）。

风险预警指标：有无异地备份系统；备份策略合理性；备份完整性检查。

主要应对措施和控制策略：在现有备份系统上申请购买一至两个备份点，或配置专门备份系统。

2.档案系统服务器风险

风险源：服务器运行（办公室、科技档案系统研发项目、服务器运维管理）。

风险成因：现与其他系统共用服务器，各系统运维中会互相影响。

风险发生后对本单位的影响：各系统停止服务，会对相应业务工作产生一定影响。

发生可能性：大。安全风险级别为二级（重大）。

风险预警指标：服务器是否专用；是否有容错策略。

主要应对措施和控制策略：服务器配置计划已列入2016年公司资本投资计划；软件商协作信息系统迁移；备份系统供应商协作备份点植入。

3. OA系统运行风险

风险源：宕机（办公室、网上业务开展）。

风险成因：信息系统自身运用规律造成。

风险发生后对本单位的影响：网上业务工作不能及时进行。

发生可能性：随发生、难以预测。安全风险级别为三级（较大）。

风险预警指标：是否有常态服务保障。

主要应对措施和控制策略：加强与股份公司办公室联系；与OA系统开发商和供应商服务部门技术人员沟通协调；做好日常监测工作，搞好应急处理工作。

4. 管控一体化系统运用风险

风险源：管理模式变化风险（企管部和办公室、应用软件升级管理）。

风险成因：信息系统自身开发运用规律造成。

风险发生后对本单位的影响：相应自动业务不能进行。

发生可能性：领导可控。若管理模式变化快，将产生大的直接经济损失。安全风险级别为一级（特别重大）。

风险预警指标：管理模式上是否有重大调整。

主要应对措施和控制策略：领导在管理上有重大调整前，应由相应部门对投入大的信息系统作好相应影响评估，听取信息系统安全风险部门意见，再综合决策。

5.管控一体化系统运维风险

风险源：技术支撑人员变化风险（企管部、办公室和系统合作开发方、应用软件升级管理）。

风险成因：正确认识应用系统运维阶段在软件生命周期中的重要性。

风险发生后对本单位的影响：系统不能正常使用或报废。

发生可能性：管理上可控。若发生可能产生大的直接经济损失。安全风险级别为一级（特别重大）。

风险预警指标：是否有2人以上人员消化吸收了系统关键技术；协作方有无保障应急服务的能力。

主要应对措施和控制策略：按本风险预警指标考核或约束内部人员和协作方。

6.其他信息系统等风险

风险源：相关专业管理人员未参加建设或意见未被项目吸取（各单位部门和办公室、系统运维障碍和误会）。

风险成因：部分对信息系统建设规律认识误区或机构职责不易厘清造成。

风险发生后对本单位的影响：系统堆集在运维阶段的问题多，难以厘清和追责。

发生可能性：管理上可控。难以预测直接经济损失。安全风险级别为二级（重大）。

风险预警指标：有无专业管理人员参加并发挥作用和吸取相应意见。

主要应对措施和控制策略：逐步健全机构和厘清职责；确立关联系统上参加人员的合法地位和作用；具备相应系统的知情权，达到一定制约和避免损失。

7.网络不稳定风险

风险源：网络老化风险（各单位和办公室、到各单位的网络主干交换、设备间及主交换系统）。

风险成因：各基层单位网络设备间环境混乱、设备老化、网络主交换损坏、网络接入随意性、网络负荷逐年加重、网络IP拓朴优化等。

风险发生后对本单位的影响：网络不能正常访问、信息系统不能正常使用等。

发生可能性：随机发生。难以预测直接经济损失。安全风险级别为二级（重大）。

风险预警指标：是否网络接入和新应用增加报备；IP规划是否合理；网络故障是否及时或4小时工作时内申报；网络故障申报后是否及时响应或8小时工作时响应；各级是否强化支持；网络操作是否按技术要求或标准执行；网络更新是否系统优化和及时等。

主要应对措施和控制策略：健全制度（含数据中心机房管理制度）；严格执行已有制度；根据管理新常态，合理布局和拓展计算机信息网络；网络更改优化项目已列入2016年公司资本投资计划，拟待资金情况实施。

2016年度信息系统安全风险同2015年度相比的变动情况及原因分析

2015年的信息系统安全风险中的OA系统服务器在线硬盘容量不足，运行风险和网络出口设备老化风险，在其可预期的生命周期内已算彻底解决。信息系统防杀毒风险、信息系统使用人员安全应用教育风险、数据备份风险、数据中心机房绿色标准化风险等要与时俱进，常态化监控。

与2015年相比增加的风险有：档案系统备份风险、档案系统服务器风险、OA系统运行风险、管控一体化系统运用风险、管控一体化系统运维风险、网站升级风险、其他信息系统等风险、网络不稳定风险。并自觉尝试风险分级管控实操效果探索和积累研究（各级标准指标增减（含资源调用）、调级机制等）。

增加或变动主要原因：一是新建项目或信息系统产生；二是电子系统产品属精密用品，更新换代快，使用寿命相对不长；三是其从业性有前述“三高”性，技术含量高；四是国家网络安全及信息化小组成立，对相关要求从严落实等。

结语

信息系统安全风险中对信息的安全要求控制遵从信息安全风险指标控制。据信息和信息系统的前述特性，从长远和发展趋势考虑，要发挥高级信息专家作用，宏观上把控好信息和信息系统的关键技术，在相关信息和信息系统管理、合同洽谈、售后上进行条款约束及有效控制，从而在一定程度上避免被乙方在技术经济上牵制和对其的被动依赖性。

总之，百密未免一疏，倘若稍有不慎，就可能会有“痛点”发生，我们将与时俱进，不断学习，在公司强有力的领导、重视和支持下，力争搞好信息系统安全风险管理工作。