教你从容应对网络安全威胁

毒一下子让企业网络处于瘫痪状态，造成的直接经济损失规模大的惊人。可令人费解的是，众多企业宁可花大把的钱购买服务器、交换机、防火墙，却很少愿意去加强企业网络的管理安全措施。对于一个信息化的企业来说，网络信息安全不仅仅是一个技术问题，也是一个管理问题。在很多病毒或安全漏洞出现不久，通常就会有相应的杀毒程序或者软件补丁出现，但为什么还会让熊猫这样的病毒肆虐呢？

归根结底还是因为很多企业没有养成主动维护系统安全的习惯，同时也缺乏安全方面良好的管理机制。保证网络系统安全的第一步，首先要做到重视安全管理，不要"坐以待毙"。防火墙等设备就如网络上的一把锁，它控制着访问网络的权限，只允许特许用户进出网络。当然也不仅仅是在网络设置防火墙，为了最有效地满足网络安全需求，还需要其它技术，如用户验证、虚拟专用网和入侵检测。但更重要的是从管理和技术两个角度结合起来推进网络安全工作。

(1)网络安全管理体系

随着企业信息化建设的展开，网络安全成为不得不面临的严峻问题。安全体系的建立其实涉及到了管理和技术两个层面，而管理层面的体系建设是首当其冲的。技术上的建设和加强只是网络安全的一方面，而且单纯的实现技术不是目的，技术只是围绕企业具体的工作业务来开展应用。保障业务流程的网络安全，从而进一步促进 IT在企业应用层面的拓展，这才我们应用安全技术最根本的目的。因此，"抓管理还是上技术"的最终定格为"三分技术、七分管理"，构建一个健全的网络安全管理体系是摆在企业面前的重要一环。

从早期的加密技术、数据备份、防病毒到近期网络环境下的防火墙、入侵检测、身份认证等等，新技术层出不穷，单纯依靠技术和产品保障企业信息安全虽然起到了一定效果，但是复杂多变的安全威胁和隐患靠产品难以消除。我们认为："企业要把网络安全提升到管理的高度上实施，然后落实到技术层次上做好保障。"

网络安全管理体系应该如何架构？BS7799安全管理体系标准无疑是一个很好的帮助。它最早由英国商务部推动，由BSI将其发展成为标准。BS7799共分两部分，第一部分是信息安全管理实践指南，第二部分是信息安全管理体系规范。换言之，第二部分告诉我们应该做什么，第一部分则提供了一些如何做或者好做法的指导。

(2)网络行为规范化管理

网络行为的根本立足点，不是对设备的保护，也不是对数据的看守，而是规范企业员工网络行为，这已经上升到了对人的管理的阶段，通过技术设备和规章制度的结合来指导、规范员工正确使用单位的网络资源。

网络安全的根本政策，一定要包含内部的安全管理规范。许多企业花大成本买最好的防火墙，黑客或是熟悉该企业网络环境的离职员工，还是有办法绕过从墙外进来，这是因为没有一套软件可以在没有网络安全管理策略之下发挥作用。防火墙、防毒墙都是提供服务的工具之一，人，才是网络安全最大的关键。CIO必须为网络安全建立一套监督与使用的管理程序，并且彻底实行。

(3)安全意识最重要

面对不断袭来的安全威胁，除了购买安全产品以外，我们还应该做些什么呢？这里需要指出："安全意识最重要"。

安全设施的建立只是企业信息安全的第一步，如何在安全体系中有效彻底的贯彻安全制度，以及不断深化全员安全意识才是关键所在。光依靠技术不能完全解决安全问题，因为过了一段时间，一些先进的技术可能就过时了，所以CIO应该有安全意识，重视自己企业的安全措施。加强安全意识的培训，首先要集团的领导认识到网络安全问题，另外也要对技术人员加强培训，统一认识。

这些安全措施包括，培养员工的安全意识，养成良好的上网习惯，比如及时打好系统补丁、不要浏览不良网站、不随意下载安装来历不明的软件等等;对相关的技术管理人员进行技能培训，对于重要数据一定要做好数据备份，否则会导致灾难性的后果。

其它确保网络安全的有效措施

现在网络安全可以说是关系到企业命运的大事，不管愿意不愿意CIO其中的一个职责就是要保证网络安全。如果公司的信息系统脆弱不堪，CIO必须对此负责。那么，CIO应该制定什么措施来履行这个职责呢？

(1)明确岗位职责，保障网络安全

CIO重要责任之一是保障本公司网络的安全、完整与可用性。这项工作不能外包出去，也责无旁贷，因此要在岗位职能上明确规定。CIO要有特许权，只要检测到网络安全违反行为，就要收集、分析与调查事件。例如职责上明确规定负责安全协调，确保影响网络安全的职能是集成在业务流程过程中而不是独立的任务。同时要进行评估网络安全受到危及或有受到危及之嫌的每一个事件，并把网络