CIO如何面对企业信息安全架构与IT治理问题

在IT系统给企业带来活力、利润和竞争力的同时，也给企业增加了因此而带来的风险——日益依赖IT系统的企业面临着因IT系统故障导致的业务灾难。不难看出，如何最大限度地降低IT对业务的负面影响，IT系统如何充分为企业战略目标服务，如何获得IT价值最大化，这便是每个企业都必须要真接面对的信息安全与IT治理的问题。 一问理念：如何理解信息安全架构与IT治理的关系？ 2007年在上海举办的“IT治理与安全大会”上，微软公司大中华区信息安全总监何迪生先生表示，假如把信息安全治理比作指引组织进行安全项目的路标，那么安全架构和设计便是组织通往信息安全这个目标所用的交通工具的基本结构。它包括用于设计、实施、监控和保护操作系统、设备、网络、应用以及用以实施各种级别保密性、完整性和可用性控制的概念、原则、结构和标准。 事实上，建立完善的信息安全架构对于整个IT治理来说至关重要。没有了信息安全架构，IT治理根本无从谈起。 据Hillstone安全专家介绍，IT治理需要遵从特定的原则，并在企业统一、完善及健全的安全架构中去实现，这是一个系统工程，需要从信息安全本身直至企业内部的每个员工共同来实现。每个期望通过信息化来达到快速发展的企业都需要将应用安全架构以及IT治理作为工作重心之一。 任何事物都有它的两面性。正确、恰当地使用IT系统能为企业带来飞速的发展，但由于系统缺陷、人为误操作、系统攻击等不可预料的各种风险也同样使得企业面临着巨大的灾难。因此，企业用户更应该建立统一、完善、健全的信息安全架构来规范IT系统行为，通过建立冗余机制、灾备机制、详尽的策略遵从机制等各种风险控制机制来降低整个企业的IT系统风险。 事实上，IT系统诞生之初就决定了它不可能“坚如磐石”，系统问题在所难免，但“因噎废食”的做法和思路绝不可取，用户需要的是在问题出现的时候能够迅速获得有效的解决办法来避免中断造成的影响。 此前深信服的安全产品经理邬迪举例说，早在2005年，国务院信息化办公室携手电子政务、银行、电力、铁路、民航、证券、保险、海关、税务等行业，联合起草的《重要信息系统灾难恢复指南》就正式出台了，灾备的作法将是解决IT系统故障的一方良药，但很可惜因国内广域网的缓慢传输速度，灾备至今还未得到普遍推广和应用，如何大幅提升广域网的传输速度将是这方良药能否发挥作用的前提。 另外，数据传输的安全性也是必须考虑的问题。员工利用企业网络访问一些不良网站，同时一些员工在上班时间在论坛博客上发表一些不负责任的言论……这些行为无疑给企业带来一系列的法律风险和商业灾难。 其实解决此类问题非常简单，只需在企业网络部署一台专用的内容管理设备就可以了。此类设备通过强大的数据中心，很方便地控制审计企业内网流向外网的每一个数据，防止机密的泄露和引起法律风险，即使问题出现也可以做到有据可查。而类似的处理方式都预示着一个问题：IT系统风险随时存在，但是任何风险都可以降低，甚至是可以完全避免的。IT系统问题导致业务灾难的风险，IT监管问题导致法律灾难的风险，都可以利用IT自身的安全架构与技术设计来应对。 二问风险：如何才能平衡IT架构中的风险？ 有业内人士指出，风险控制是一门系统科学，风险降得越低需要的支出就越多。所有的企业都在寻找一个合适的平衡点来保障企业能够在可接受的风险范围内支出尽量少的钱。设备级别的冗余机制是企业用户选择最多、也是见效最快的一种降低设备故障风险的方法。 当然，不可否认，利用先进的信息系统架构确实能够帮助企业很好地完成一部分风险管理和企业治理的工作。但是Hillstone的安全专家认为，风险管理和企业治理中有很大一部分工作是针对自然人的，这就为风险管理和企业治理工作带来了很大的不确定性以及不统一性。 无疑，这就要求IT经理在进行信息系统架构设计与治理的同时，必须了解到安全架构设计应该和企业的安全策略相吻合，否则就不能实现企业的安全目标。换句话说，只有在充分考虑人的因素的前提下，用IT治理IT才能发挥出更大的积极作用。 因此一些用户反映，在进行一个信息系统的设计时，需要对目标系统的众多需求进行平衡，这些需求包括功能、灵活性、性能、易用性、成本、业务需求和安全。需要强调的是，安全应该在系统设计中的开始阶段就作为一个要害因素进行考虑。 此前新华人寿的IT经理杜大军表示说，如果在信息架构的开发过程中使用了超过业务需求的安全性能，就会导致用户体验的恶化，但降低安全性能也会导致系统的部署和运行维护成本大增。 不难看出，想要平衡IT架构中的安全风险，就必须在IT系统设计的过程中平衡多种需求，这些需求可能是来自业务部门，或者来自企业的方方面面。安全架构的设计者通常需要根据组成构架的每个元素的重要性来确定如何进行取舍和开发。 在设计阶段考虑安全性并不会增加太多的工作量，恰恰相反，这种安全思路贯穿始终的做法可以平滑地嵌入到架构设计的各个阶段，这样就可以保证安全性随着架构设计逐渐的完成而完成。 基于此，不少安全专家认为安全架构从概念上说，就是从安全角度审阅整个系统架构，它主要提供系统架构所需要的安全服务、机制、技术和功能，不仅可以平衡架构设计与应用中的安全风险，而且可以提供如何进行安全设施部署的建议。 但无论如何，信息系统架构安全仍然是一个相对的概念，安全威胁无时无刻不在增加，只有不断地加固才能获得更加有效的安全。整个IT系统的安全涉及方方面面，任何一个地方的疏漏都会成为整个系统的致命短板。因此对用户来说，目前情况下在整体信息安全架构的基础上搭建安全防护设备能够确保企业IT安全的最大化。 三问出路：如何解决信息安全架构与IT治理实现中的技术与管理挑战？ 首先，从技术方面看，目前随着网络应用的快速发展，基于数据应用层的安全防护以及风险控制得到越来越多企业用户的关注。然而为了实现整个信息系统的安全架构，核心网关设备的应用层性能成为了各个企业实现统一安全架构的拦路虎。据Hillstone的安全专家介绍，基于应用处理的高性能安全网关是推动安全架构发展的技术因素之一，只有越来越多的高速设备出炉，才能从技术上确保网关层面的安全。 前面说了，高度集中的应用层安全网关还只是技术环境中的一方面。据何迪生透露，企业如果希望获得完整的信息系统架构安全并在此基础上获得IT治理的效益，那么部署一套全方位的安全系统方案是不可避免的。 比如，对现代企业来说，确保其信息基础架构的安全性已经成为主要任务。在这个过程中，信息与各种协作工具对大多数企业的日常运营来说都至关重要。不幸的是，这些工具常常成为攻击者的目标。因此，企业的CIO必须确保信息和协作基础架构不受外部威胁的干扰，避免企业的工作效率受到影响，从而导致内部问题或者泄露机密信息。 面对种类繁多且不断变化的安全威胁，信息和协作基础架构应具备多层保护机制，在攻击影响到企业网络之前就要解决问题。对此，他的看法是，多个保护层能够减少因单一威胁而导致的网络瘫痪问题。目前的焦点在于，所有的安全厂商都有各自独特的需求，他们提供不同的安全产品和服务。因此，如果要实现全架构的安全防护，安全技术本身也要具有适应性。 以微软的技术方案为例：Microsoft Exchange Hosted Services可在垃圾邮件和病毒渗透到网络之前就进行过滤；Microsoft Forefront内部部署软件可以保护关键应用服务器免受内部威胁侵害，并能执行内容规则；Microsoft Internet and Security Acceleration（ISA）Server 2006可实现协议层和应用层的检查，以确保安全地实现Exchange Server、Live Communication Server和SharePoint Portal Server的远程访问；而Microsoft Windows Rights Management Services（RMS）与Microsoft Office Outlook 2003客户端应用配合工作，可以确保敏感的电子邮件和文档不致泄漏出公司之外。 其实，类似的技术方案有很多，无怪乎都是从多层次、大纵深为出发点。换句话说，一个有效的技术方案，除了为企业整个基础架构提供防御之外，还必须采用纵深防御策略，通过多种技术来发现并防御安全威胁。事实上，依靠多种技术低于攻击或误操作，有助于消除整体安全架构中的单个故障点。 文章作者：赵晓涛

10年积累的成都网站制作、成都网站设计经验，可以快速应对客户对网站的新想法和需求。提供各种问题对应的解决方案。让选择我们的客户得到更好、更有力的网络服务。我虽然不认识你，你也不认识我。但先网站制作后付款的网站建设流程，更有蕉岭免费网站建设让你可以放心的选择与我们合作。

互联网专项整治方案

关于互联网专项整治方案以及开始实施了，大家是否了解过这套互联网专项整治方案?以下是互联网专项整治方案全文，欢迎大家阅读!

网络环境整治工作方案【1】

为了进一步净化全镇网络运行服务环境，规范政务用网秩序，打击各类网络违法犯罪活动，充分发挥网络资源优势,有效服务社会经济发展，根据市、县要求，镇党委、镇政府决定，在全镇开展网络环境专项整治工作，特制定如下方案。

一、指导思想

以党的大八大精神为指导，深入贯彻落实市、县政法工作会议精神，紧紧围绕构建社会主义和谐社会的总目标，坚持“属地管理”和“谁主管、谁负责，谁运营、谁负责”的原则，充分发挥各互联网管理部门的职能作用，全面清理网上有害信息传播，依法打击利用网络进行违法犯罪活动，整顿规范互联网管理秩序，提倡引导文明上网行为，健全规范网络运营管理机制，为全镇经济建设营造和谐、健康、文明的社会环境。

二、目标任务

整顿一批政务网络管理混乱的党政机关及企事业单位，查处一批党政干部职工违纪上网行为，查破一批网上违法犯罪案件，整治一批管理秩序混乱的互联网服务单位，清理处置一大批网上有害信息，使党政机关单位政务网络管理进一步规范，网上违法犯罪高发部位得到有效整治，网络非法信息传播得到有效遏制，互联网安全管理、行业管理秩序进一步规范，网站、网吧经营秩序明显改善，网络长效管理机制进一步健全，网络环境得到有效净化。

三、整治重点

全镇网络专项整治活动设政务网络环境整治、舆情网站监督和宣传、网络违法犯罪打击工作组，重点工作任务是：

由镇综治办牵头，镇纪委、派出所、司法所等参加，从以下三个方面做工作：

(一)落实政务网络管理各项工作措施。

严肃查处党员干部职工利用政务网、办公专网、接入互联网办公用计算机进行游戏、聊天、视听等娱乐活动，进行营销、婚介、炒股、期货、房产中介等非政务活动，传播非法信息、发帖、跟帖、转贴，乱发牢骚、制造网络谣言、诋毁侮辱他人等有损社会公德非政务行为。

不断加强网络保密防护措施，健全党政机关互联网接入口审批、接入终端审批，督促全镇党政机关对办公用电脑安装保密软件、插件及保密设施等，严肃查处党政机关办公专网、电脑和硬盘、U盘等存储介质非法接入互联网和卸载互联网监管软件、插件等，杜绝失泄密事件。

加强党政机关干部保密工作宣传教育，增强保密观念，强化保密意识。

(二)全面监测清查以网络站点、论坛、视频、博客、贴吧、社区、搜索引擎等发布的影响我镇社会秩序稳定的不良信息，及时正面跟帖、回复，引导正确的舆论导向。

加强全镇网络信息监控，规范管理秩序，督促电信、移动、联通等网络运营单位采取技术手段、对镇内网络站点的正常运行、内容更新实时监控，及时清理不良信息的侵入、传播。

加强网吧的清理整治，打击取缔黑网吧，推行网吧监管平台建设，落实网吧上网实名实时登记制度，切实杜绝网吧接纳未成年人上网，堵塞淫秽色情有害信息在网吧传播。

大力开展网络管理和规范用网等方面知识的宣传，提倡文明上网，教育广大干部群众养成良好的用网习惯，引导群众充分利用网络资源开展工作，进行有益的社会活动。

(三)严厉打击利用互联网和手机短信进行赌博、诈骗和运用黑客技术进行网上盗窃等各类违法犯罪活动。

严肃查处利用互联网传播扰乱社会治安秩序的谣言、侮辱、诽谤、色情等信息和非法出版物等违法行为。

严密防范邪教组织利用网络散布谣言，蛊惑群众、扰乱社会治安秩序等行为。

坚决取缔非法网络站点和营业场所，不断完善网络安全管理工作机制，落实网站(点)和网吧等服务营业场所的安全管理制度。

四、方法步骤

全镇网络环境专项整治活动从2014年5月份开始至12月份结束，分四个阶段进行。

(一)宣传动员阶段(5月初至5月中旬)。

镇党委、镇政府召开全镇网络环境整治工作动员会议，进行全面安排部署。

各村、各单位充分动员，制定相应工作方案，召开干部职工会，加强党员干部思想政治、工作作风、网络常识、网络法律知识及保密工作教育，广泛宣传专项行动各项工作措施和工作要求，提升干部职工对文明上网重要性和必要性的正确认识。

牢牢把握正确舆论导向，用身边的典型事例和群众听得懂的语言，以喜闻乐见的形式，在电视广播等大众媒体上进行宣传报道，公布举报电话，发动广大群众积极举报网上不良信息和违法犯罪活动，实现最佳宣传效果。

(二)自查自纠阶段(5月中旬至5月底)各村、各单位按照整治重点对本村和本单位存在的问题进行自查清理整治。

要对政务网、系统专网、互联网使用进行全面检查，对办公电脑、上网电脑IP地址等相关信息进行统计，并上报各派出所备案。

要健全单位网络管理制度，落实必要的保密措施，安装必要的保密设备，教育干部职工遵守工作纪律，严禁上网进行非公务活动，制定长效管理制度和办法，确保良好的网络工作环境。

自查整治情况以书面形式于5月30日前报镇网络环境整治办公室。

(三)清理整治阶段(6月初日至9月底)。

由派出所组织上报全镇互联网接入单位、场所逐一排查核实，摸清底数，分类建立台账，特别要摸清非经营性互联网服务单位(如学校、宾馆、酒店、图书馆等)和网络服务营业场所(网吧、网店等)底数。

按照重点任务分工，开展党政机关政务网络使用情况普查和互联网有害信息检查，全面清除有害信息，排查信息安全隐患，规范和整顿政务网络、互联网管理秩序，落实防范、管理和打击措施，严肃查究网络管理混乱和整改不力的单位和干部。

严厉打击网上违法犯罪活动，警告、教育不良上网行为者。

要将阶段性工作进展情况及整治工作信息及时上报镇网络环境整治办公室。

(四)巩固成果阶段(10月初日至11月底)。

对专项行动中发现的政务网、互联网管理中存在问题整改情况进行总结，督促各村、各单位建立健全各项管理制度和工作规范。

推进政务网、互联网管理体系建设，探索建立互联网管理长效机制，巩固专项行动工作成果。

11月底由镇网络环境整治办公室牵头，抽调有关单位人员对全镇政务网络制度建设进行一次全面检查，督促落实。

(五)总结阶段(12月份)。

镇网络环境整治办公室对全镇网络专项整治活动进行全面总结，并向镇党委、镇政府作出专题汇报。

五、工作要求

(一)高度重视，加强领导。

为了加强对此项活动的组织领导，镇党委、镇政府成立了以镇党委书记耿勤学任组长，镇党委副书记任天锋任副组长、司法所、派出所等有关单位为成员的全镇网络环境整治工作领导小组，办公室设在镇综治办，党委副书记任天锋同志任办公室主任，专门负责协调全镇网络环境整治工作。

领导小组下设政务网络环境整治、网络舆情监督和宣传、网络违法犯罪的打击三个工作组，由纪委、派出所、司法所有关领导带队开展重点整治活动。

各村、各单位要在镇委、镇政府的统一领导下开展专项整治工作，从构建社会主义和谐社会的高度，进一步提高认识，迅速行动，根据工作需要成立相应工作组织机构，指派专门领导专抓此项工作，切实抓好各项工作措施的落实，确保网络环境整治工作取得实效。

(二)落实责任，务求实效。

全镇网络环境整治各领导成员单位要充分发挥职能作用，各司其职，各负其责，密切协同配合。

要制定具体的工作计划，明确整治工作任务时限和目标要求，主动出击，及时发现并解决政务网络运行环境存在的问题，对政务网、互联网混用，保密措施不落实，职工上班时上网玩游戏、炒股、营销、聊天或网上乱跟贴、乱发言论的，要追查到底。

对单位职工要通报批评，进行整改。

对造成严重影响的个人要通报批评，并给予纪律处分。

对存在问题的单位负责人要进行问责。

互联网管理部门要对本地网站进行一次全面排查，对制作传播淫秽色情、造谣诽谤、攻击党和政府等非法信息网站、网吧、非营业性网络服务企业，在查清事实的基础上，该处罚的要坚决处罚，该整顿的要坚决整顿，该吊销经营许可证的要坚决吊销其经营许可证。

对一些难以查处，影响社会秩序的网上言论，宣传部门及有关单位要及时正面跟帖，澄清事实，正确引导舆论导向，防止炒作引起更大的矛盾纠纷和不良社会影响，要全面落实互联网监控措施，及时发现网络不良信息和违法犯罪活动，准确确定网络违法犯罪活动的地址和嫌疑人，抓住线索、固定证据、迅速破案。

(三)检查指导，畅通信息。

要根据整治活动工作开展情况，组织有关成员单位进行阶段检查、集中检查、突击抽查，督查指导活动顺利开展，协调解决整治活动中存在的'问题。

要督促网络管理部门建立完善网络管理工作办法，加强网络管理工作。

要督促网络运营单位进一步规范运营管理秩序，安装不良信息滤清设施，积极配合开展网络环境整治活动。

要督促各村、各单位完善网络管理及保密制度，营造良好的政务网络工作环境。

同时，各村、各单位要认真总结工作经验，及时上报专项行动工作情况和典型案例、事例，及时上报有关网络环境整治工作情况信息资料，以便及时掌握整治活动进展，调整工作部署和工作方法，确保整治活动深入开展。

十五部委联合发布《P2P网络借贷风险专项整治工作实施方案》【2】

近年来，网贷行业(以下简称“网贷”)风险积聚，出现了一系列风险事件，严重损害了广大投资者合法权益，对互联网金融行业声誉和健康发展带来较大影响。

为贯彻落实党中央、国务院决策部署，促进网贷行业规范有序发展，根据《关于促进互联网金融健康发展的指导意见》(以下简称《指导意见》)和《互联网金融风险专项整治工作实施方案》，银监会会同工业和信息化部、公安部、工商总局、国家互联网信息办公室等十四个部委联合印发了《P2P网络借贷风险专项整治工作实施方案》(以下简称“《方案》”)，在全国范围内开展网贷风险专项整治工作。

《方案》的主要内容如下：

一是明确了网贷风险专项整治工作的目标原则。

按照“态度积极、措施稳妥，底线思维、预案完备，线上线下、统筹治理，分类处理、标本兼治，依法合规、有章可循，上下联动、协调配合”的六大工作原则，坚持重点整治与源头治理相结合、防范风险与创新发展相结合、清理整顿与依法打击相结合，通过摸底排查、分类处置及验收规范三个步骤，对网贷行业进行全面整治，实现扶优抑劣、规范纠偏、正本清源，为网贷行业建立和完善长效机制，促进行业规范创新发展。

二是确定了网贷风险专项整治工作的范围和重点。

此次专项整治的对象，既包括按照《指导意见》要求从事信息中介服务的网贷机构，也包括以网贷名义开展经营、异化为信用中介的机构。

《方案》要求对机构的基本情况、各类产品和业务运营情况、机构存在的主要问题进行全面排查，并对近年业务扩张过快、在媒体过度宣传、承诺高额回报、涉及房地产配资或校园网贷等业务的网贷机构进行重点排查。

同时，专项整治工作重点整治和取缔互联网企业在线上线下违规或超范围开展网贷业务，以网贷名义开展非法集资等违法违规活动。

三是明确了网贷风险专项整治工作的标准措施。

在综合采取多方数据汇总、逐一对比、网上核验、现场实地认证等方式对网贷机构基本信息进行摸底排查的基础上，根据《指导意见》和有关监管要求，甄别判断网贷机构在信息中介定位、业务合规性、客户资金第三方存管、信息披露及网络设施安全性等方面是否符合要求，结合风险程度、违法违规性质和情节轻重、社会危害程度大小、处理方式等因素，将网贷机构划分为合规类、整改类、取缔类三大类，制定差别化措施实施分类处置。

四是确定了网贷风险专项整治工作的职责分工。

专项整治工作坚持“双负责制”原则，即中央金融监管部门与省级政府双负责、地方政府金融监管部门和银监会派出机构双负责的原则，明确分工，落实责任。

在中央层面，银监会会同十四个部委成立网贷风险专项整治工作领导小组，在银监会设立网贷风险专项整治工作小组办公室，建立日常工作的组织协调机制。

银监会作为网贷风险专项整治工作统筹部门，牵头负责组织协调、规则制定、培训部署、督导汇总等工作。

在地方层面，各省级政府按照中央监管部门的统一方案和要求，负责本地区网贷风险具体整治工作。

在各省级政府的统一领导下，设立网贷风险专项整治联合工作办公室，由省级金融办(局)和银监局共同负责，办公室成员由省级政府根据工作需要确定相关部门组成，具体组织实施专项整治工作。

专项整治工作于2017年1月底前完成，通过专项整治，防止行业风险蔓延、偏离正确轨道，保护鼓励网贷机构在依法合规的前提下创新发展，提升行业整体形象，回归服务实体经济和小微企业等普惠金融本质上来。

如何保证数据安全？如何防泄漏？

如何保证数据安全？如何防泄漏？措施有两个，第一个，数据安全防范工作应按照《反不正当法》的规定，采取保密措施。第二个，部署域之盾。

第一个：部署规章制度

首先，在确定的保密区域内进行责任划分，加强保卫措施，并确定管理办法。

其次，对企业的重要文件、资料应及时确定其保密级别、加盖保密章，予以存档或销毁，同时应制定出企业的文件管理、借阅、复印、销毁办法，以及外发文件的审阅办法。

再次，把商业秘密限定在必须了解该秘密的员工以及第三方、合同方范围之内，对职工限制掌握的知识，并加强对员工的保密。

最后，在合同中约定保密义务。包括：在劳动合同或专门的保密合同中，与员工签定书面保密协议，要求员工保守在工作期间接触到的一切企业的商业秘密以及企业承担保密责任的其他企业的商业秘密。

同时应该规定，员工在离开企业后的一定期间内不得对外泄漏其所知的商业秘密，不得从事与企业相竞争的工作，但这必须具备企业向员工支付保密及不竞争费用的前提；在对外签订的经济合同中，写明保密条款，要求对方保证不泄漏履行合同时掌握的企业的商业秘密，否则将承担违约和赔偿责任。

另外，公司应建立商业秘密保护制度，并设立监督员，企业领导也应定期检查保密工作。

第二个，部署域之盾

域之盾信息防泄露整体解决方案

完美实现闭环管理全面清除内部信息安全威胁!

文件管理：文件批量分发、文件操作记录、文件自动备份；

行为审计：聊天内容审计、邮件内容审计、网址应用审计；

外设管控：打印强制水印、∪盘操作管控、非法外网报警；

屏幕监控：多屏同时监控、屏幕自动录制、屏幕强制水印；

远程控制：远程文件管理、远程鼠标键盘、手机操作电脑。