现代经济活动离不开信息和网络,随着在经济活动中扮演的角色越来越重要,中小企业对网络和信息技术的依赖性也越来越强。IDC(International Data Corperation)的一项调查数据显示,目前我国已有57.7%的中小企业实施了信息化。伴随着网络应用的不断深化,企业信息安全问题也摆在了中小企业面前。中小企业在我国国民经济中占有重要的地位,而信息化对于中小企业的发展起到了积极的推动作用。随着中小企业对计算机网络和信息技术的依赖性增大的同时,其信息安全问题也突显出来。信息安全问题的表象看似来自外部的攻击,但更为本质问题还是中小企业内部的信息安全管理机制出现问题,表现为信息安全事故多样化和频繁化。相对于大型企业,由于管理、资金和技术等方面的不足,中小企业的信息安全问题更加突出。考察我国中小企业信息安全的现状和存在的问题,借鉴国内外企业信息安全的研究成果,参考ISO/IEC 27001信息安全管理体系的过程方法和控制措施,本文提出了一个中小企业信息安全管理模型,模型分为两个部分:信息安全防护机制和信息安全的保障体系。信息安全防护机制中,强调“教育”功能对于动态防护的显著作用;信息安全保障体系是防护机制的优化和持续改进的基础,主要包括组织、管理和技术三方面。模型的这两个方面保障了中小企业信息安全管理模型的良好运行。本文对于中小企业的信息安全管理有一定的借鉴意义,也提出了一些具体的方法措施,但是如何更好的解决中小企业信息安问题,建立一个完善的、操作性更强的中小企业信息安全体系仍然有待研究。