论文部分内容阅读
摘要：本文阐述了国内烟草企业面对的网络信息安全的主要威胁，分析其网络安全防护体系建设的应用现状，指出其中存在的问题。然后从科学设定防护目标原则、合理确定网络安全区域、大力推行动态防护措施、构建专业防护人才队伍、提升员工安全防护意识等方面，提出加强烟草企业网络安全防护体系建设的策略，对相关工作具有一定指导意义。
关键词：烟草企业；网络安全防护；体系建设
随着信息化的逐步发展，国内烟草企业也愈加重视利用网络提高生产管理销售水平，打造信息化时代下的现代烟草企业。但享受网络带来便捷的同时，也正遭受到诸如病毒、木马等网络威胁给企业信息安全方面带来的影响。因此，越来越多的烟草企业对如何强化网络安全防护体系建设给予了高度关注[1]。
1 威胁烟草企业网络信息体系安全的因素
人为的无意失误，如操作员安全配置不当造成的安全漏洞，用户安全意识不强，用户口令选择不慎，用户将自己的账号随意转借他人或与别人共享等都会对网络安全带来威胁。人为的恶意攻击，这是计算机网络所面临的最大威胁，敌手的攻击和计算机犯罪就属于这一类。此类攻击又可以分为以下两种：一种是主动攻击，它以各种方式有选择地破坏信息的有效性和完整性；另一种是被动攻击，他是在不影响网络正常工作的情况下，进行截获、窃取与破译等行为获得重要机密信息[2]。
网络安全设备投资方面，行业在防火墙、网管设备、入侵检测防御等网络安全设备配置方面处于领先地位，但各类应用系统、数据库、软件存在漏洞和“后门”。网络软件不可能是百分之百的无缺陷和无漏洞的，如Telnet漏洞、Web发布软件、E-mail漏洞、匿名FTP等，这些漏洞和缺陷恰恰是黑客进行攻击的首选目标。曾经出现过黑客攻入网络内部的事件，其大部分是因为安全措施不完善所招致的苦果。软件的“后门”都是软件公司的设计编程人员为了自便而设置的，一般不为外人所知，一旦被破解，其造成的后果将不堪设想。另外，各种新型病毒發展迅速，超出防火墙屏蔽能力等，都使企业安全防护网络遭受严重威胁。
烟草企业现有的网络安全防护体系结构，多数采用的是混合型结构，星形和总线型结构重叠并存，相互之间极易产生干扰。利用系统存在的漏洞和“后门”，黑客就可以利用病毒等入侵开展攻击，或者，网络使用者因系统过于复杂而导致错误操作，都可能造成网络安全问题。
2 烟草企业网络安全防护体系建设现状
2.1 业务应用集成整合不足
不少烟草企业防护系统在建设上过于单一化、条线化，影响了其纵向管控上的集成性和横向供应链上的协同性，安全防护信息没有实现跨部门、跨单位、跨层级上的交流，相互之间不健全的信息共享机制，滞后的信息资源服务决策，影响了信息化建设的整体效率。缺乏对网络安全防护体系建设的顶层设计，致使信息化建设未能形成整体合力[3]。
2.2 信息化建设特征不够明显
网络安全防护体系建设是现代烟草企业的重要标志，但如基础平台的集成性、基础设施的集约化、标准规范体系化等方面的建设工作都较为滞后，主营烟草业务没有同信息化建设高度契合，对影响企业发展的管理制度、业务需求、核心数据和工作流程等关键性指标，缺乏宏观角度上的沟通协调，致使在信息化建设中[4]，业务、管理、技术“三位一体”的要求并未落到实处，影响了网络安全防护的效果。
2.3 安全运维保障能力不足
缺乏对运维保障工作的正确认识，其尚未完全融入企业信息化建设的各个环节，加上企业信息化治理模式构建不成熟等原因，制约了企业安全综合防范能力与运维保障体系建设的整体效能，导致在网络威胁的防护上较为被动，未能做到主动化、智能化分析，导致遭受病毒、木马、钓鱼网站等反复侵袭。
3 加强烟草企业网络安全防护体系建设的策略
对已出现的安全问题进行认真分析，并归类统计，大的问题尽量拆解细分，类似的问题归类统一，从而将复杂问题具体化，降低网络防护工作的难度。对企业内部网络来说，应以功能为界限来划分，以划分区域为安全防护区域。同时，要不断地完善安全防护体系建设标准，打破不同企业之间网络安全防护体系的壁垒，实现信息资源更大程度上的互联互通，从而有效地提升自身对网络威胁的抵御力6。
烟草企业在使用网络过程中，不同的区域所担负的角色是不同的。为此，内部网络，在设计之初，应以安全防护体系、业务操作标准、网络使用行为等为标准对区域进行划分。同时，对生产、监管、流通、销售等各个环节，要根据其业务特点强化对应的网络使用管理制度，既能实现网络安全更好防护，也能帮助企业实现更为科学的管控与人性化的操作。
根据网络入侵事件可知，较为突出的问题有病毒更新换代快、入侵手段与形式日趋多样、病毒防护效果滞后等。为此，烟草企业在构建网络安全防护体系时，应根据不同的威胁形式确定相应的防护技术，且系统要能够随时升级换代，从而提升总体防护力。同时，要定期对烟草企业所遭受的网络威胁进行分析，确定系统存在哪些漏洞、留有什么隐患，实现入侵实时监测和系统动态防护。系统还需建立备份还原模块和网络应急机制，在系统遭受重大网络威胁而瘫痪时，确保在最短的时间内恢复系统的基本功能，为后期确定问题原因与及时恢复系统留下时间，并且确保企业业务的开展不被中断，不会为企业带来很大的经济损失。另外，还应大力提倡烟草企业同专业信息防护企业合作，构建病毒防护战略联盟，为更好地实现烟草企业网络防护效果提供坚实的技术支撑。
人才是网络安全防护体系的首要资源，缺少专业性人才的支撑，烟草企业要大力构建专业的网络信息安全防护人才队伍，要采取定期选送、校企联训、岗位培训等方式，充分挖掘内部人力资源，提升企业现有信息安全防护人员的能力素质，也要积极同病毒防护企业、专业院校和科研院所合作，引进高素质专业技术人才，从而为企业更好地实现信息安全防护效果打下坚实的人才基础。
4 管理体系设计
首先制定信息安全策略，为信息安全提供管理指导和支持。信息安全策略指的是从信息资产安全管理的角度出发，为了保护信息资产，消除或降低风险而制订的各种纲领、制度、规范和操作流程的总和。安全策略是一个层次化的概念，包含上到指导方针，下到实施细则的一系列指导性文档体系。
从安全策略中规定的安全各个方面所应遵守的原则方法和指导性策略引出的具体管理规定、管理办法和实施办法，是必须具有可操作性，而且必须得到有效推行和实施的，与其它部分的关系是：向上遵照最高方针，向下延伸到用户签署的文档和协议。用户协议必须遵照管理规定和管理办法，不与之发生违背。
安全管理组织机构和人员的安全职责，包括安全管理机构组织形式和运作方式，机构和人员的一般责任和具体责任。作为机构和员工具体工作时的具体职责依照，此部分必须具有可操作性，而且必须得到有效推行和实施的。与其它部分的关系是：从最高方针中延伸出来，其具体执行和实施由管理规定、技术标准规范、操作流程和用户手册来落实。
5 结语
烟草企业管理者必须清醒认识到，利用信息网络加快企业升级换代、建设一流现代化烟草企业是行业所向、大势所趋，绝不能因为网络存在安全威胁而固步自封、拒绝进步。但也要关注信息化时代下网络安全带来的挑战，以实事求是的态度，大力依托信息网络安全技术，构建更为安全的防护体系，为企业做大做强奠定坚实的基础。
参考文献：
[1]杨波. 基于安全域的烟草工业公司网络安全防护体系研究[J]. 计算机与信息技术，2012（5）.
[2]赖如勤，郭翔飞，于闽. 地市烟草信息安全防护模型的构建与应用[J]. 中国烟草学报，2016（4）.
[3]匡建华. 新技术发展环境下的烟草网络安全建设和管理[J]. 中国新通信，2016（18）.
[4]匡建华. 烟草工业公司网络安全防护体系[J]. 电子技术与软件工程，2017（8）：205.
关键词：烟草企业；网络安全防护；体系建设
随着信息化的逐步发展，国内烟草企业也愈加重视利用网络提高生产管理销售水平，打造信息化时代下的现代烟草企业。但享受网络带来便捷的同时，也正遭受到诸如病毒、木马等网络威胁给企业信息安全方面带来的影响。因此，越来越多的烟草企业对如何强化网络安全防护体系建设给予了高度关注[1]。
1 威胁烟草企业网络信息体系安全的因素
人为的无意失误，如操作员安全配置不当造成的安全漏洞，用户安全意识不强，用户口令选择不慎，用户将自己的账号随意转借他人或与别人共享等都会对网络安全带来威胁。人为的恶意攻击，这是计算机网络所面临的最大威胁，敌手的攻击和计算机犯罪就属于这一类。此类攻击又可以分为以下两种：一种是主动攻击，它以各种方式有选择地破坏信息的有效性和完整性；另一种是被动攻击，他是在不影响网络正常工作的情况下，进行截获、窃取与破译等行为获得重要机密信息[2]。
网络安全设备投资方面，行业在防火墙、网管设备、入侵检测防御等网络安全设备配置方面处于领先地位，但各类应用系统、数据库、软件存在漏洞和“后门”。网络软件不可能是百分之百的无缺陷和无漏洞的，如Telnet漏洞、Web发布软件、E-mail漏洞、匿名FTP等，这些漏洞和缺陷恰恰是黑客进行攻击的首选目标。曾经出现过黑客攻入网络内部的事件，其大部分是因为安全措施不完善所招致的苦果。软件的“后门”都是软件公司的设计编程人员为了自便而设置的，一般不为外人所知，一旦被破解，其造成的后果将不堪设想。另外，各种新型病毒發展迅速，超出防火墙屏蔽能力等，都使企业安全防护网络遭受严重威胁。
烟草企业现有的网络安全防护体系结构，多数采用的是混合型结构，星形和总线型结构重叠并存，相互之间极易产生干扰。利用系统存在的漏洞和“后门”，黑客就可以利用病毒等入侵开展攻击，或者，网络使用者因系统过于复杂而导致错误操作，都可能造成网络安全问题。
2 烟草企业网络安全防护体系建设现状
2.1 业务应用集成整合不足
不少烟草企业防护系统在建设上过于单一化、条线化，影响了其纵向管控上的集成性和横向供应链上的协同性，安全防护信息没有实现跨部门、跨单位、跨层级上的交流，相互之间不健全的信息共享机制，滞后的信息资源服务决策，影响了信息化建设的整体效率。缺乏对网络安全防护体系建设的顶层设计，致使信息化建设未能形成整体合力[3]。
2.2 信息化建设特征不够明显
网络安全防护体系建设是现代烟草企业的重要标志，但如基础平台的集成性、基础设施的集约化、标准规范体系化等方面的建设工作都较为滞后，主营烟草业务没有同信息化建设高度契合，对影响企业发展的管理制度、业务需求、核心数据和工作流程等关键性指标，缺乏宏观角度上的沟通协调，致使在信息化建设中[4]，业务、管理、技术“三位一体”的要求并未落到实处，影响了网络安全防护的效果。
2.3 安全运维保障能力不足
缺乏对运维保障工作的正确认识，其尚未完全融入企业信息化建设的各个环节，加上企业信息化治理模式构建不成熟等原因，制约了企业安全综合防范能力与运维保障体系建设的整体效能，导致在网络威胁的防护上较为被动，未能做到主动化、智能化分析，导致遭受病毒、木马、钓鱼网站等反复侵袭。
3 加强烟草企业网络安全防护体系建设的策略
对已出现的安全问题进行认真分析，并归类统计，大的问题尽量拆解细分，类似的问题归类统一，从而将复杂问题具体化，降低网络防护工作的难度。对企业内部网络来说，应以功能为界限来划分，以划分区域为安全防护区域。同时，要不断地完善安全防护体系建设标准，打破不同企业之间网络安全防护体系的壁垒，实现信息资源更大程度上的互联互通，从而有效地提升自身对网络威胁的抵御力6。
烟草企业在使用网络过程中，不同的区域所担负的角色是不同的。为此，内部网络，在设计之初，应以安全防护体系、业务操作标准、网络使用行为等为标准对区域进行划分。同时，对生产、监管、流通、销售等各个环节，要根据其业务特点强化对应的网络使用管理制度，既能实现网络安全更好防护，也能帮助企业实现更为科学的管控与人性化的操作。
根据网络入侵事件可知，较为突出的问题有病毒更新换代快、入侵手段与形式日趋多样、病毒防护效果滞后等。为此，烟草企业在构建网络安全防护体系时，应根据不同的威胁形式确定相应的防护技术，且系统要能够随时升级换代，从而提升总体防护力。同时，要定期对烟草企业所遭受的网络威胁进行分析，确定系统存在哪些漏洞、留有什么隐患，实现入侵实时监测和系统动态防护。系统还需建立备份还原模块和网络应急机制，在系统遭受重大网络威胁而瘫痪时，确保在最短的时间内恢复系统的基本功能，为后期确定问题原因与及时恢复系统留下时间，并且确保企业业务的开展不被中断，不会为企业带来很大的经济损失。另外，还应大力提倡烟草企业同专业信息防护企业合作，构建病毒防护战略联盟，为更好地实现烟草企业网络防护效果提供坚实的技术支撑。
人才是网络安全防护体系的首要资源，缺少专业性人才的支撑，烟草企业要大力构建专业的网络信息安全防护人才队伍，要采取定期选送、校企联训、岗位培训等方式，充分挖掘内部人力资源，提升企业现有信息安全防护人员的能力素质，也要积极同病毒防护企业、专业院校和科研院所合作，引进高素质专业技术人才，从而为企业更好地实现信息安全防护效果打下坚实的人才基础。
4 管理体系设计
首先制定信息安全策略，为信息安全提供管理指导和支持。信息安全策略指的是从信息资产安全管理的角度出发，为了保护信息资产，消除或降低风险而制订的各种纲领、制度、规范和操作流程的总和。安全策略是一个层次化的概念，包含上到指导方针，下到实施细则的一系列指导性文档体系。
从安全策略中规定的安全各个方面所应遵守的原则方法和指导性策略引出的具体管理规定、管理办法和实施办法，是必须具有可操作性，而且必须得到有效推行和实施的，与其它部分的关系是：向上遵照最高方针，向下延伸到用户签署的文档和协议。用户协议必须遵照管理规定和管理办法，不与之发生违背。
安全管理组织机构和人员的安全职责，包括安全管理机构组织形式和运作方式，机构和人员的一般责任和具体责任。作为机构和员工具体工作时的具体职责依照，此部分必须具有可操作性，而且必须得到有效推行和实施的。与其它部分的关系是：从最高方针中延伸出来，其具体执行和实施由管理规定、技术标准规范、操作流程和用户手册来落实。
5 结语
烟草企业管理者必须清醒认识到，利用信息网络加快企业升级换代、建设一流现代化烟草企业是行业所向、大势所趋，绝不能因为网络存在安全威胁而固步自封、拒绝进步。但也要关注信息化时代下网络安全带来的挑战，以实事求是的态度，大力依托信息网络安全技术，构建更为安全的防护体系，为企业做大做强奠定坚实的基础。
参考文献：
[1]杨波. 基于安全域的烟草工业公司网络安全防护体系研究[J]. 计算机与信息技术，2012（5）.
[2]赖如勤，郭翔飞，于闽. 地市烟草信息安全防护模型的构建与应用[J]. 中国烟草学报，2016（4）.
[3]匡建华. 新技术发展环境下的烟草网络安全建设和管理[J]. 中国新通信，2016（18）.
[4]匡建华. 烟草工业公司网络安全防护体系[J]. 电子技术与软件工程，2017（8）：205.