小企业信息安全精选(九篇)

第1篇：小企业信息安全范文

关键词 中小企业 信息安全 技术 认证

在企业的管理信息系统中有众多的企业文件在流转，其中肯定有重要性文件，有的甚至涉及企业的发展前途，如果这些信息在通过网络传送时被竞争对手或不法分子窃听、泄密、篡改或伪造，将会严重威胁企业的发展，所以，中小企业电子信息安全技术的研究具有重要意义。

一、中小企业的信息化建设意义

在这个网络信息时代，企业的信息化进程不断发展，信息成了企业成败的关键，也是管理水平提高的重要途径。如今企业的商务活动，基本上都采用电子商务的形式进行，企业的生产运作、运输和销售各个方面都运用到了信息化技术。如通过网络收集一些关于原材料的质量、价格、出产地等信息来建立一个原材料信息系统，这个信息系统对原材料的采购有很大的作用。通过对数据的分析，可以得到更多地采购建议和对策，实现企业电子信息化水准。有关调查显示，82%的中小企业对网站的应还处于宣传企业形象，产品和服务信息，收集客户资料这一阶段，而电子商务这样关系到交易的应用还不到四分之一，这说明企业还未充分开发和利用商业渠道信息。中小企业信息化时代已经到来，企业应该加快信息化的建设。

二、电子信息安全技术阐述

1.电子信息中的加密技术。加密技术能够使数据的传送更为安全和完整，加密技术分为对称和非对称加密两种。其中对称加密通常通过序列密码或者分组机密来实现，包括明文、密钥、加密算法以及解密算法等五个基本组成成分。非对称加密与对称加密有所不同，非对称加密需要公开密钥和私有密钥两个密钥，公开密钥和私有密钥必须配对使用，用公开密钥进行的加密，只有其对应的私有密匙才能解密。用私有密钥进行的加密，也只有用其相应的公开密钥才能解密。

加密技术对传送的电子信息能够起到保密的作用。在发送电子信息时，发送人用加密密钥或算法对所发的信息加密后将其发出，如果在传输过程中有人窃取信息，他只能得到密文，密文是无法理解的。接受着可以利用解密密钥将密文解密，恢复成明文。

2.防火墙技术。随着网络技术的发展，一些邮件炸弹，病毒木马和网上黑客等对网络的安全也造成了很大的威胁。企业的信息化使其网络也遭到同样的威胁，企业电子信息的安全也难以得到保证。针对网络不安全这种状况，最初采取的一种保护措施就是防火墙。在我们的个人电脑中防火墙也起到了很大的作用，它可以阻止非黑客的入侵，电脑信息的篡改等。

3.认证技术。消息认证和身份认证是认证技术的两种形式，消息认证主要用于确保信息的完整性和抗否认性，用户通过消息认证来确认信息的真假和是否被第三方修改或伪造。身份认证使用与鉴别用户的身份的，包括识别和验证两个步骤。明确和区分访问者身份是识别，确认访问者身份叫验证。用户在访问一些非公开的资源时必须通过身份认证。比如访问高校的查分系统时，必须要经过学号和密码的验证才能访问。高校图书馆的一些资源要校园网才能进行访问，非校园网的不能进入，除非付费申请一个合格的访问身份。

三、中小企业中电子信息的主要安全要素

1.信息的机密性。在今天这个网络时代，信息的机密性工作似乎变得不那么容易了，但信息直接代表着企业的商业机密，如何保护企业信息不被窃取、篡改、滥用以及破坏，如何利用互联网进行信息传递又能确保信息安全性已成为各中小企业必须解决的重要问题。

2.信息的有效性。随着电子信息技术的发展，各中小企业都利用电子形式进行信息传递，信息的有效性直接关系的企业的经济利益，也是个企业贸易顺利进行的前提条件。所以要排除各种网络故障、硬件故障，对这些网络故障带来的潜在威胁加以控制和预防，从而确保传递信息的有效性。

3.信息的完整性。企业交易各方的经营策略严重受到交易方的信息的完整性影响，所以保持交易各方的信息的完整性是非常重要对交易各方都是非常重要的。在对信息的处理过程中要预防对信息的随意生成、修改，在传送过程中要防止信息的丢失，保持信息的完整性是企业之间进行交易的基础。

四、解决中小企业中电子信息安全问题的策略

1.构建中小企业电子信息安全管理体制。解决信息安全问题除了使用安全技术以外，还应该建立一套完善的电子信息安全管理制度，以确保信息安全管理的顺利进行。在一般中小企业中，最初建立的相关信息管理制度在很大程度上制约着一个信息系统的安全。如果安全管理制度出了问题，那么围绕着这一制度来选择和使用安全管理技术及手段将无法正常进行，信息的安全性就得不到保证。完善，严格的电子信息安全管理制度对信息系统的安全影响很大。在企业信息系统中，如果没有严格完善的信息安全管理制度，电子信息安全技术和相关的安全工具是不可能发挥应有的作用的。

2.利用企业的网络条件来提供信息安全服务。很多企业的多个二级单位都在系统内通过广域网被联通， 局域网在各单位都全部建成，企业应该利用这种良好的网络条件来为企业提供良好的信息安全服务。通过企业这一网络平台技术标准，安全公告和安全法规，提供信息安全软件下载，安全设备选型，提供在线信息安全教育和培训，同时为企业员工提供一个交流经验的场所。

3.定期对安全防护软件系统进行评估、改进。随着企业的发展，企业的信息化应用和信息技术也不断发展，人们对信息安全问题的认识是随着技术的发展而不断提高的，在电子信息安全问题不断被发现的同时，解决信息安全问题的安全防护软件系统也应该不断的改进，定期对系统进行评估。

总之，各中小企业电子星系安全技术包含着技术和管理以及制度等因素，随着信息技术的不断发展，不仅中小企业办公室逐渐趋向办公自动化，而且还确保了企业电子信息安全。

参考文献

[1]温正卫.信息安全技术在电子政务系统中的应用[J].软件导刊，2010.

[2]闫兵.企业信息安全概述及防范[J].科学咨讯，2010.

第2篇：小企业信息安全范文

关键词：中小企业；网络安全；企业网络；架构

中图分类号：TP393.08 文献标识码：A 文章编号：1007-9599 （2012） 20-0000-02

1 中小型企业网络安全

1.1 中小型企业网络安全概念。国际组织（ISO）对网络安全规定为在网络间进行数据处理系统建立是所采取的相应的安全技术，这些技术可以对网络进行时时监控和安全，并保证不让任何人使用的程序通过网络来进行计算机，并始终通过网络有效的保证计算机算硬件的安全，不通过网络泄露个人或者企业等单位的秘密。以此我们可以这样理解中小型企业网络安全为是通过采用各种高科技技术和一定的管理措施，使的中小企业网络系统能够进行正常运作，进而来保证中小企业网络数据的可用性、完整性和保密性。

1.2 中小型企业网络职能。一个安全的中小企业网络职能应该是具有一定的可靠性、可用性、完整性、保密性和真实性等的。中小企业网络的安全不仅要保护企业内部的计算机网络设备的安全和计算机网络系统安全，更重要的是要对企业数据安全的保护。所以对于一个中小型企业来说网络安全最终的职能就是保护企业重要的信息数据。

2 中小型企业信息网络安全的困惑

2.1 中小企业信息网络操作系统安全的困惑。中小型企业经常出现的困惑就是针对信息网络操作时出现的安全困惑，所谓中小型企业信息网络操作系统安全就是指通常是指进行信息网络操作系统的安全。操作系统的某一合法用户可任意运行一段程序来修改该用户拥有的文件访问控制信息，而操作系统无法区别这种修改是用户自己的合法操作还是计算机病毒的非法操作；另外，也没有什么一般的方法能够防止计算机病毒将信息通过共享客体从一个进程传送给另一个进程。为此，中小型企业认识到必须采取更强有力的访问控制手段，这就是强制访问控制。在强制访问控制中，系统对主体与客体都分配一个特殊的一般不能更改的安全属性，系统通过比较主体与客体的安全属性来决定一个主体是否能够访问某个客体。中小型企业为某个目的而运行的程序，不能改变它自己及任何其它客体的安全属性，包括该用户自己拥有的客体。强制访问控制还可以阻止某个进程生成共享文件并通过这个共享文件向其它进程传递信息。目前来说中小型企业的信息网络操作系统多为Windows和UNIX操作系统，这些操作系统本身就有自身的网络安全漏洞，因为操作系统本身都是有后门的，而这些后门和安全漏洞都将存在重大的信息网络安全隐患，造成中小企业信息网络的安全困惑。所以这就要求在进行中小型企业信息网络系统安装时，不只要考虑到企业的自身需求，更多的时候要考虑到中小型企业的信息网络安全，不能因为系统的安装造成过大的中小型企业信息安全的困惑。

2.2 中小企业信息网络应用安全的困惑。现阶段我国的中小型企业网络安全应用仅网络系统就存在很大的安全隐患，系统、应用和数据的安全存在较大的风险。目前，实施的安全方案是基于当时的认识进行的，主要工作集中于网络安全，对于系统和应用的安全防范缺乏技术和管理手段。如缺乏有效的身份认证，对服务器、网络设备和应用系统的访问都停留在用户名/密码的简单认证阶段，很容易被冒充；又如数据备份缺乏整体方案和制度规范，容易造成重要数据的丢失和泄露。当时的网络安全的基本是一种外部网络安全的概念，是基于这样一种信任模型的，即网络内部的用户都是可信的。在这种信任模型下，假设所有可能的对信息安全造成威胁的攻击者都来自于组织外部，并且是通过网络从外部使用各种攻击手段进入内部网络信息系统的。针对外部网络安全，人们提出了内部网络安全的概念，它基于这样一种信任模型：所有的用户都是不可信的。在这种信任模型中，假设所有用户都可能对信息安全造成威胁，并且可以各种更加方便的手段对信息安全造成威胁，比如内部人员可以直接对重要的服务器进行操控从而破坏信息，或者从内部网络访问服务器，下载重要的信息并盗取出去。内部网络安全的这种信任模型更符合现实的状况。美国联邦调查局（FBI）和计算机安全机构（CSI）等权威机构的研究也证明了这一点：超过80%的信息安全隐患是来自组织内部，这些隐患直接导致了信息被内部人员所窃取和破坏。信息系统的安全防范是一个动态过程，某公司缺乏相关的规章制度、技术规范，也没有选用有关的安全服务。不能充分发挥安全产品的效能。

2.3 中小企业信息网络管理安全的困惑。中小型企业信息网络管理方面存在的安全困惑主要包括了，中小型企业的内部管理人员们或者是员工们图方便省事，对自身的计算机不进行密码的设置，没用自己的用户口令，或者是有些管理者和员工设置的密码和口令过短或者是过于简单，这样就导致密码和口令很容易被破解，这样来当出现了信息网络的安全问题时，容易责任不清，并且很难一下就找到问题出现的计算机，因为整个公司都使用相同的用户名和口令，使得整体信息网络的管理出现严重的混乱，并且容易出现企业重要信息的泄密。进行中小型企业信息网络管理是信息网络安全的重要组成部分，是能保证中小型企业信息网络安全的重要组成部分，是可以对外来病毒进行防止的重要环节，是中小型企业内部信息网络不被入侵必须的部分。也是中小型企业信息网络暗中的管理困惑，是普遍中小型企业都会存在的困惑之一。

3 如何进行中小型企业信息网络安全的架构

3.1 中小型企业信息网络安全架构Internet的接入。中小型企业信息网络安全构架中Internet的接入，多是采用了PIX515作为外部边缘得防火墙设备，中小型企业内部的用户登录则是通过互联网时会经过NetEye防火墙，然后再由PIX映射到互联网。PIX与NetEye之间形成了DMZ映射区，这是一种需要进行提供互联网服务的邮件服务和Web服务器等防止在该DMZ区内。中小型企业进行此防火墙的安全策略步骤是：首先要从Internet上设置只能访问到DMZ内Web服务器的80端口和邮件服务器的25端口，其次，则是要从Internet和DMZ区设定出不能进行访问内部网任何资源，最后则是要从Internet进行访问内部网资源的时候只能通过VPN系统进行。

3.2 中小型企业信息网络安全架构用户的认证。中小型企业信息网络安全架构的用户认证系统主要就是用于解决通过电话进行拨号时出现的安全问题和通过VPN进行接入时出现的安全问题，信息网络安全架构的用户认证系统是目前为止运用最为完善的系统用户认证系统、访问控制系统和使用审计系统方面的功能来增强信息网络系统的安全性，并采用了目前为止最为高端的ACS用户认证系统。中小型企业的ERP系统一般采用C/S（客户机/服务器）体系结构，架构于企业内网Intranet上。通常，VPN是对企业内部网的扩展，通过它可以帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信的安全连接，并保证数据的安全传输；VPN还可用于不断增长的移动用户的全球互联网接入，以实现安全连接；可用于实现企业网站之间安全通信的虚拟专用线路。在信息网络的主域服务器上安装Radius服务器，在Cisco拨号路由器和PIX防火墙上配置了Radius客户端。这样当任何人进行电话拨号和VPN用户身份认证时，就会在Radius的服务器上直接进行，这样一来用户账号就会集中的在主域服务器上进行开设。这样做就可以在系统中设置较为严格的用户访问策略和口令策略，能有效的强制使用用户进行定期的口令修改。

综上所述，中小型企业信息网络安全保障是开展其它一切业务往来与技术交流的关键，要想企业长足发展，必须重视信息网络安全的构建。

参考文献：

第3篇：小企业信息安全范文

【关键词】：信息安全 ；问题；解决方案

【引言】：在中小企业的信息管理系统中存在大量的信息和文件材料，其中有对企业发展至关重要的文件材料，一旦这些信息材料在通过网络传送时被不法分子和竞争对手窃听、泄密、篡改或伪造，将会严重威胁中小企业的发展，所以，提出中小企业信息安全问题的解决方案具有重要意义。

1. 中小企业信息安全存在的问题

1.1信息安全管理意识不强。

相对大型企业来说，中小企业信息资产方面的积累相对较为薄弱，并且很多时候这种积累并非企业的有意识行为，所以在正常的信息化应用情况下，往往会忽视对自己信息资产的保护，而只有在信息资产受到破坏，形成了实际的经济和附加损失的情况下，才会开始意识和重视这信息安全问题。

1.2信息安全管理水平较低信息安全风险较大。

目前的中小企业管理层人员虽然已经认识到了信息化的重要性，但却没有认识到企业信息化管理是需要在企业管理念上进行根本变革才能实现的。信息安全大约70%以上的问题都是由管理方面的原因造成的。他们大多是按照原有的管理模式进行改造，结果造成一种信息化的假象，致使“信息化”走向了徒有其表的误区，信息安全也没有得到足够重视。

1.3人才短缺专业人员匮乏。

中小企业一般很难有足够的吸引力留住信息化及信息安全这一领域的人才。因此，在这种人才短缺的情况下，自然影响到企业信息化的进程。主要表现为：企业一般没有自己的信息化建设人才队伍。信息技术专业人员的知识结构也不能达到要求，掌握技术的不懂管理，懂管理的又不会技术，而且信息安全往往没有专业人员进行管理。

1.4资金短缺。

中小企业的资金状况决定了其信息化投入遇到的限制相对较多。企业相对有限的资金，一般要优先投入到直接促进公司业绩增长的方向，而无形中就造成了信息资产所面临的巨大风险；特别是在当今越来越多的企业业务与互联网有密切的联系，甚至一些企业的业务完全建立在互联网之上，以平均不到企业总收入1%的信息安全投入，怎么能保障这些业务的正常运行？尽可能使投入比例接近常规，至少应该使企业核心信息资产的安全得到保证，从实际情况来讲，在良好的安全理念指导下，进行细致的规划和评估，通过适当的投入也是可以达到较好的整体效果，因为在中小企业的应用情境下，信息安全防御广度是相对容易控制的；设计出体现其规律和特点的真正适合中小企业的信息安全产品，才能从根本上满足中小企业信息安全需求。

1.5中小企业的信息伦理意识不强。

由于某些员工的信息伦理原因而带来的信息安全问题屡见不鲜。在很多时候，企业的员工都会因为某些不经意的行为对企业的信息资产造成破坏。尤其是在中小企业中员工的信息安全意识往往相对比较落后，对于互联网上存在的威胁往往缺乏足够的重视，而企业的管理层对于网络的使用也没有很好的管理手段。

2.中小企业信息安全问题的解决措施

2.1从企业的自身情况考虑

要解决中小企业网络信息安全问题，不能仅依靠企业的安全设施和网络安全产品，而应该考虑如何提高企业自身的网络安全意识，将信息安全问题提升到重视的高度，要重视“人”的因素。具体表现在以下两个方面：

2.1.1提高安全认识

定期对企业员工进行网络安全教育培训深化企业的全员信息安全意识，企业管理层要制定完整的信息安全策略并贯彻执行，对安全问题要做到预先考虑和防备。

2.2.2要求中小企业在上网的过程中要做到“一做三不要”

首先将存有重要数据的电脑坚决同网络隔离，同时设置开机密码，并将软驱、硬盘加密锁定，进行三级保护，其次不要在自己的系统之内使用任何具有记忆命令的程序，因为这些程序不但能记录用户的击键动作甚至能以快照的形式记录到屏幕上发生的一切，同时不在网上的任何场合下随意透露自己企业的任何安全信息，最后不要启动系统资源共享功能，要尽量减少企业资源暴露在外部网上的机会和次数，减少黑客进攻的机会【1】。

2.2从网络安全角度考虑

2.2.1从网络安全服务商的角度来说，服务商要重视中小企业对网络安全解决方案的需要，充分考虑中小企业的现实状况，仔细调查和分析中小企业的安全因素，开发出适合中小企业实际情况的网络安全综合解决方案。此外，还应该注意投入大量精力在安全策略的施行及安全教育的开展方面，这样才能为中小企业信息安全工作的顺利开展提供坚实的保证。

2.2.2要用防火墙将企业的局域网（Intranet）与互联网之间进行隔离。由于网络攻击不断升级，对应的防火墙软件也应该及时跟着升级，这样就要求我们企业的网管人员要经常到有P网站上下载最新的补丁程序，以便进行网络维护，同时经常扫描整个内部网络，以发现任何安全隐患并及时更改，才能做到有备无患【2】。

2.2.3企业用户最好自己学会如何调试和管理自己的局域网系统，不要经常请别人来协助管理。中小企业要培养自己解决安全问题的能力，提高自己的信息安全技术。如果缺乏这方面的人才就应该去引进或者培养相关人才。

2.2.4内部网络系统的密码要定期修改。动态的密码有助于防止黑客的攻击以及来自内部人员的泄密。

2.2.5要经常使用杀毒软件来维护局域网系统不受病毒攻击。现在国内的杀毒软件都推出了清除某些特洛伊木马的功能，可以不定期地在脱机的情况下进行检查和清除。

2.2.6同其它企业进行联合，共同抵制黑客的入侵，一旦被入侵要及时向有关部门汇报，并共同查找入侵来源，锁定黑客IP地址。将网络的TCP起时限制在15分钟以内，减少黑客入侵的机会。并扩大连接表，增加黑客填写整个连接表的难度【3】。

小结

综上所述，我国中小企业的信息安全问题日益突出。由于受到管理水平、资金、技术、 意识等几方面的制约，中小企业完全依靠自己解决所有信息化安全问题是不现实的，它们很难使用大企业中那种复杂的信息安全系统，因此迫切需要适合中小企业自身情况的综合解决措施。

【参考文献】：

【1】 杨江；周小玲； 基于企业的危机信息管理[J]；科技情报开发与经济；2009年32期

第4篇：小企业信息安全范文

关键词：中小企业，计算机；网络信息；安全；管理

中图分类号：TU714文献标识码： A

1中小企业计算机网络信息安全现状

计算机网络信息安全指的是其计算机网络包括网络系统的硬、软件及系统中的数据受到保护，不受偶然或恶意的原因而遭到破坏、更改、泄露，使得系统连续、可靠、正常地运行，网络服务不中断。

而在目前中小企业中在其网络信息化不断提高工作效率随之提高的同时，基础网络安全受限于中小企业的微薄财力不得不被忽略，以至于中小企业的网络漏洞的产生、信息泄露的可能性相对较高。而计算机和网络技术却具有的复杂性和多样性，使得计算机和网络安全成为一个需要持续更新和提高的领域。目前黑客的攻击方法已超过了计算机病毒的种类，而且许多攻击都是致命的。在Internet网络上，因互联网本身没有时空和地域的限制，每当有一种新的攻击手段产生，就能在很短时间内传遍全世界，这些攻击手段利用网络和系统漏洞进行攻击从而造成计算机系统及网络瘫痪。蠕虫、后门、Root kits、DOS和Sniffer是大家熟悉的几种黑客攻击手段。这些攻击手段却都体现了它们惊人的威力，时至今日，有愈演愈烈之势。这几类攻击手段的新变种，与以前出现的攻击方法相比，更加智能化，攻击目标直指互联网基础协议和操作系统层次。从Web程序的控制程序到内核级Rootlets。

2影响中小企业计算机网络系统安全的因素

2.1病毒攻击

目前，计算机病毒的制造者大多利用Internet网络进行传播，因中小企业防范薄弱管理规范性有待提高，所以他们很大可能要遭到病毒的攻击。病毒可能会感染大量的机器系统，也可能会大量占用网络带宽，阻塞正常流量，如：发送垃圾邮件的病毒，从而影响企业计算机网络的正常运行。

2.2软件漏洞

任何软件都有漏洞，这是客观事实。而同时中小企业在软件采用上大都以节约为本，不注重也不舍得花销来进行软件更新的后期升级服务，以至于非法用户正好通过这些需要升级的漏洞窃取用户信息和破坏信息，针对固有的安全漏洞进行攻击。

2.3职员不当操作

中小企业计算机管理人员配置少，监督管理都难以细致，其它职工在信息化系统操作中容易出现工作马虎，不细心，不按成型的规范操作，不遵守制定的相应规章制度。中小企业中很多职工信息安全意识不强，将自己的生日或工号作为系统口令，或将单位的账号随意转借他人使用，从而造成信息的丢失或篡改。

3中小企业计算机网络信息安全管理的一些策略

3.1建立企业中合理、规范的网络秩序

中小企业应建立规范的网络秩序，不断完善制度，探索网络空间所体现的需求和原则，为规范网络空间秩序确定制度框架；建立规范的网络秩序，还要在道德和文化层面确定每个职工作为使用网络者的义务，企业应让每个人必须对其网络行为承担法律和道德责任是规范网络秩序的一个重要准则；建立规范的网络秩序，需要在制度基础上建立打击各类网络不合规定的行为。

3.2加强企业入网的访问控制

入网访问控制是网络的第一道关口，主要通过验证用户账号、口令等来控制用户的非法访问。对用户账号、口令应作严格的规定，如：口令和账号要尽可能地长，数字和字母混合，避免用生日、身份证号等常见数字作口令，尽量复杂化，而且要定期更新，以防他人窃取。目前安全性较高的是USBKEY认证方法，这种方法采用软硬件相结合，很好地解决了安全性与易用性之间的矛盾。USBKEY是一种USB接口的硬件设备，用户的密钥或数字证书无需存于内存，也无需通过网络传播。因此，大大增强了用户使用信息的安全性。

3.3积极采用企业防火墙技术

防火墙技术是指隔离在本地网络与外界网络之间的一道防御系统的总称。在互联网上防火墙是一种非常有效的网络安全模型，通过它可以隔离风险区域与安全区域的连接，同时不会妨碍人们对风险区域的访问。防火墙可以监控进出网络的通信量，仅让安全、核准的信息进入。目前的防火墙主要有包过滤防火墙、防火墙和双穴主机防火墙三种类型，并在计算机网络得到了广泛的应用。一套完整的防火墙系统通常是由屏蔽路由器和服务器组成。屏蔽路由器是一个多端口的IP路由器，它通过对每一个到来的IP包依据组规则进行检查来判断是否对之进行转发。屏蔽路由器从包头取得信息，例如协议号、收发报文的IP地址和端口号、连接标志以至另外一些IP选项，对IP包进行过滤。服务器是防火墙中的一个服务器进程，它能够代替网络用户完成特定的TCP/TP功能。一个服务器本质上是一个应用层的网关，一个为特定网络应用而连接两个网络的网关。用户就一项TCP/TP应用，比如Telnet或者FTP，同服务器打交道，服务器要求用户提供其要访问的远程主机名。当用户答复并提供了正确的用户身份及认证信息后，服务器连通远程主机，为两个通信点充当中继。整个过程可以对用户完全透明。用户提供的用户身份及认证信息可用于用户级的认证。

3.4适当使用企业安全加密技术

加密技术的出现为全球电子商务提供了保证，从而使基于Internet上的电子交易系统成为了可能，因此完善的对称加密和非对称加密技术仍是21世纪的主流。对称加密是常规的以口令为基础的技术，加密运算与解密运算使用同样的密钥。不对称加密，即加密密钥不同于解密密钥，加密密钥公之于众，谁都可以用，解密密钥只有解密人自己知道。

3.5中小企业应懂得入侵检测技术

随着网络安全风险系数不断提高，作为对防火墙及其有益的补充，IDS（入侵检测系统）能够帮助网络系统快速发现攻击的发生，它扩展了系统管理员的安全管理能力，提高了信息安全基础结构的完整性。入侵检测系统是一种对网络活动进行实时监测的专用系统，该系统处于防火墙之后，可以和防火墙及路由器配合工作，用来检查一个LAN网段上的所有通信，记录和禁止网络活动，可以通过重新配置来禁止从防火墙外部进入的恶意流量。入侵检测系统能够对网络上的信息进行快速分析或在主机上对用户进行审计分析，通过集中控制台来管理和检测。

3.6中小企业应建立完善的备份系统

备份系统可以全盘恢复运行计算机系统所需的数据和系统信息。对系统设备的备份。备份不仅在网络系统硬件故障或人为失误时起到保护作用,也在入侵者非授权访问或对网络攻击及破坏数据完整性时起到保护作用。

4结束语

中小企业网络信息的安全必须依靠不断创新的技术进步与应用、自身管理制度的不断完善和加强、网络工作人员素质的不断提高等措施来保障。同时要加快网络信息安全技术手段的研究和创新，从而使网络的信息能安全可靠地为企业服务。

参考文献：

【1】谢浩浩.计算机网络安全综述[J].科技广场，2009，11.

【2】瞿坦：《计算机网络原理及应用基础》华中理工大学出版社，2005年9月

第5篇：小企业信息安全范文

摘要]随着我国中小企业的信息化不断应用，管理信息系统的运行使中小企业的各方面效率得到很好的提升，但是在实际的运行中却由于企业中存在的管理制度松散、员工的意识缺乏等制度方面的原因，使企业信息系统得不到适当的维护，对企业的信息数据安全、信息获取效率都有一定的影响，所以加强中小企业信息管理制度层次的设计是有必要的。

一、问题的提出及文献综述

随着我国中小企业开始实现信息化管理，运用信息管理系统来对企业生产进行管理，一方面，提高了企业管理的效率和科学性，使企业的生产、存储、财务、成本、控制都得到了大幅度的改善；而另一方面，在实际的运行中不可避免的引发各种问题，其中包括信息安全性的问题，即存储在计算机或在传输中的文件和数据遭受到破坏和滥用，而且这种活动对企业的影响非常严重，例如：电子商务公司，如果网站出现故障，每天的损失会高达数额人民币，所以如何保障信息系统的安全，使其得到安全的控制，对于企业来说已经变的非常重要。目前，在我国的中小企业信息管理系统内部构建中，经常可以发现由于制度和管理中的疏忽、松懈以及信息系统的监管不到位，所出现数据的丢失或者数据的信息反应迟钝，不能使管理者及时得到有效的信息，使其信息系统的发挥起不到其最佳的效果，因此如何保障中小企业信息系统安全，加强中小企业信息的测控是非常必要的。

在目前关于中小企业的信息系统安全与效率方面的文章主要是集中在如何构建中小企业信息系统方面，涉及到中小企业信息管理制度这方面很少。如：杨斌、费同林(2002)，赵宏中（2005），刘仁勇，王卫平（2007），在企业管理信息系统建设方面提到了制度设计方面，但是没有把其作为一个研究重点，其他一些相似的文献基本是从技术角度探讨。从中小企业实际的成本收益考虑，一般来说，由于运用的相应技术不是很高，基本都是基础的软件系统，所以有必要对中小企业面临的制度方面进行详细的分析。

二、中小型企业信息系统制度方面分析

首先，根据Laudon对企业信息系统面临威胁，按照来源分为六类：硬件故障、软件故障、人为因素、数据、服务及设备被偷盗，这些都是中小企业面临的问题，但Laudon从单个信息系统的角度进行分析，却没有把企业的信息管理系统管理制度考虑进去，在我国中小企业的信息系统建设上许多企业尽管设置了制度，但很大程度上都是形同虚设或者是制度管理存在缺失，容易导致中小企业信息系统实际操作上面临效率和安全的问题，下面具体从制度方面进行分析：

在中小型企业中，存在着正式制度与非正式制度，正式制度是人们有意识建立起来的并以正式方式加以确定的各种制度安排，主要包括法律制度、企业制度安排等；非正式制度，是人们在长期的社会生活中逐步形成的习惯习俗、文化传统、价值观念，是形态等对人们行为产生非正式约束的规则，是那些对人们行为的不成文的限制。

（一）正式制度的分析

在中小企业中，正式的制度包括国家信息系统法律的规定和企业的信息管理制度方面，根据我国1994年通过的《中华人民共和国计算机信息系统安全保护条例》，也只是从信息交换角度来保护整个信息系统的安全，对于企业自身的信息系统安全只是规定各企业根据自身情况自行制定，并没有对企业的实际业务中发生的关于信息系统自身安全进行风险标准规定，也没有一套正确引导进行风险防范的标准规定，所以中小企业的法规建立基本都是从企业各自实际出发，所以各企业的标准不一，导致安全隐患存在比较大。

从企业自己建立的信息管理制度来说，一般大型企业有明确的规定制度，包括维护、人员素质等方面都有明确的规定，在一定程度上能有效防范信息系统存在的安全隐患，并能够及时有效的进行相应信息的反馈，对企业的信息安全与企业效率能起到积极的作用。但对于中小企业来说，由于企业自身比较小，相应的信息管理系统人员比较缺乏，其维护也是谁操作谁负责，这样只能根据各企业自身人员的情况来确定其系统的安全程度，其次在效率方面，由于人员缺乏以及其计算机操作应用存在的不规范，信息交换、反馈也相对比较落后，或者根本起不到效率作用。

再次中小企业虽然有一定的信息管理制度规范，却由于监管不到位，主要是由于中小企业的机构比较小，维护人员、计算机使用都是由使用人员一人来完成，所以容易导致即使有制度，也难以执行，这也是制约中小企业信息系统的数据安全的主要原因。

（二）非正式制度的分析

在非正式制度中，意识形态处于核心地位，它不仅蕴含价值关键、伦理规范、道德观念和风俗习性，而且在形式上构成某种非正式制度的“先验”模式。所以从这个角度上来说，公司员工的思想和过去的传统操作方法在一定程度上影响企业的信息管理系统运行效果。

在中小企业的管理信息系统中，由于员工的意识不强，对于信息系统的维护、使用存在一定的松懈，信息操作员经常在值班时没有定期维护计算机及信息管理系统，只是在当其产生问题时才处理，这样很容易导致企业数据损失，如果信息备份不完全的话，可能由于人为操作或者计算机病毒的侵入会造成整个系统数据损失。

在这里非正式制度方面主要是指员工以往的旧做法对中小企业的信息系统安全的影响，对信息反馈报告在效率方面也会产生一定的负面作用，主要原因是领导层的要求不严格，操作人员的报告提交不及时等因素所致，因此非正式制度因素对中小企业信息管理系统影响也是非常大的。

三、加强信息管理系统管理制度建设的对策

在加强制度建设中，主要从国家信息系统的法律制度建设、企业信息制度的设置与执行，再次就是信息系统中操作人员与管理人员意识的改变三个层次来考虑。

（一）首先在我国信息管理系统的法律规范中，不仅应该对信息交换中安全问题进行规范，而且规定信息系统使用公司对其管理系统的安全达到安全的最低标准，这个标准是指从各因素方面来确定信息管理系统的一个安全性的最低标准值，不仅能够使信息安全从法律依据上得到一个基本的系统安全标准，而且也能对公司信息管理系统起到强制规范性的作用。

（二）在制度设定层面，加强中小企业信息系统安全管理制度的健全及制度化，也是保障中小企业信息系统安全极为重要的一个方面。在信息系统运行过程中，信息系统管理部门应制定严格的服务器日常维护、巡视和记录制度、客户机维护、操作制度、用户管理制度、人员培训制度等等，并严格按照制度实施奖惩，从而从企业内部制度上认识到信息管理系统安全的重要性。

（三）培养与使用企业信息化是一项复杂的系统工程，除了领导层要高度重视外，设立一个既懂信息系统、又懂业务流程的复合型信息主管职位，也是非常关键的。在国外大学、大企业的CIO（首席信息主管），相当于企业级的领导，直接参与企业的重大问题决策。一个合格CIO，既能充分调动网络技术人员的积极性，又能把握企业信息化发展全局，并能随时为领导提供参考意见，起到了很好的监督作用，并对公司信息管理信息系统制度改善、监督、反馈上能起到重要的作用，因此在中小企业中也设立这样一个职位，从而使信息化系统成为企业运行中的一个非常重要的部分。

（四）加强信息系统人员的培训，使其对计算机信息系统的操作、安全等方面了解能够熟练的掌握。信息系统人员包括操作人员以及维护人员，定期对信息系统人员进行培训，不仅有助于了解信息系统的最新发展，而且能够使其从意识中不断了解到信息系统安全的重要性，使其操作、维护的规范化不断得到改善，从而减少由于非制度性因素所产生的信息系统安全问题。

四、结论

在中小企业信息管理系统中，很大问题是由于中小企业的制度方面造成的，所以在企业内部加强其监管，使中小企业的信息管理制度得到很好执行是非常必要的，其次就是加强员工的素质培养，使其能够具有很好的业务水平，使信息管理系统得到很好的运行，并能够使管理层及时了解到企业的信息，保证企业的顺利运行；最后完善国家信息管理系统法律，是保证企业信息制度建立的重要标准，使中小企业达到基本的信息系统风险管理水平，从而从制度上使其信息管理系统得到很好的保护。

参考文献

[1]KennethC.LaudonJaneP.Laudon.管理信息系统－管理数字化公司（第8版）[M]北京：清华大学出版社，2005年：501-538

[2]王霞，张永，彭智才，如何保障中小企业信息系统安全[J]，资源方法，2004(9):54-55

[3]刘仁勇，王卫平，企业信息安全管理研究[J].学术研究，2007(6):113-115

第6篇：小企业信息安全范文

[关键词]中小企业信息系统；制度问题；分析与对策

一、问题的提出及文献综述

随着我国中小企业开始实现信息化管理，运用信息管理系统来对企业生产进行管理，一方面，提高了企业管理的效率和科学性，使企业的生产、存储、财务、成本、控制都得到了大幅度的改善；而另一方面，在实际的运行中不可避免的引发各种问题，其中包括信息安全性的问题，即存储在计算机或在传输中的文件和数据遭受到破坏和滥用，而且这种活动对企业的影响非常严重，例如：电子商务公司，如果网站出现故障，每天的损失会高达数额人民币，所以如何保障信息系统的安全，使其得到安全的控制，对于企业来说已经变的非常重要。目前，在我国的中小企业信息管理系统内部构建中，经常可以发现由于制度和管理中的疏忽、松懈以及信息系统的监管不到位，所出现数据的丢失或者数据的信息反应迟钝，不能使管理者及时得到有效的信息，使其信息系统的发挥起不到其最佳的效果，因此如何保障中小企业信息系统安全，加强中小企业信息的测控是非常必要的。

在目前关于中小企业的信息系统安全与效率方面的文章主要是集中在如何构建中小企业信息系统方面，涉及到中小企业信息管理制度这方面很少。如：杨斌、费同林(2002)，赵宏中（2005），刘仁勇，王卫平（2007），在企业管理信息系统建设方面提到了制度设计方面，但是没有把其作为一个研究重点，其他一些相似的文献基本是从技术角度探讨。从中小企业实际的成本收益考虑，一般来说，由于运用的相应技术不是很高，基本都是基础的软件系统，所以有必要对中小企业面临的制度方面进行详细的分析。

二、中小型企业信息系统制度方面分析

首先，根据Laudon对企业信息系统面临威胁，按照来源分为六类：硬件故障、软件故障、人为因素、数据、服务及设备被偷盗，这些都是中小企业面临的问题，但Laudon从单个信息系统的角度进行分析，却没有把企业的信息管理系统管理制度考虑进去，在我国中小企业的信息系统建设上许多企业尽管设置了制度，但很大程度上都是形同虚设或者是制度管理存在缺失，容易导致中小企业信息系统实际操作上面临效率和安全的问题，下面具体从制度方面进行分析：

在中小型企业中，存在着正式制度与非正式制度，正式制度是人们有意识建立起来的并以正式方式加以确定的各种制度安排，主要包括法律制度、企业制度安排等；非正式制度，是人们在长期的社会生活中逐步形成的习惯习俗、文化传统、价值观念，是形态等对人们行为产生非正式约束的规则，是那些对人们行为的不成文的限制。

（一）正式制度的分析

在中小企业中，正式的制度包括国家信息系统法律的规定和企业的信息管理制度方面，根据我国1994年通过的《中华人民共和国计算机信息系统安全保护条例》，也只是从信息交换角度来保护整个信息系统的安全，对于企业自身的信息系统安全只是规定各企业根据自身情况自行制定，并没有对企业的实际业务中发生的关于信息系统自身安全进行风险标准规定，也没有一套正确引导进行风险防范的标准规定，所以中小企业的法规建立基本都是从企业各自实际出发，所以各企业的标准不一，导致安全隐患存在比较大。

从企业自己建立的信息管理制度来说，一般大型企业有明确的规定制度，包括维护、人员素质等方面都有明确的规定，在一定程度上能有效防范信息系统存在的安全隐患，并能够及时有效的进行相应信息的反馈，对企业的信息安全与企业效率能起到积极的作用。但对于中小企业来说，由于企业自身比较小，相应的信息管理系统人员比较缺乏，其维护也是谁操作谁负责，这样只能根据各企业自身人员的情况来确定其系统的安全程度，其次在效率方面，由于人员缺乏以及其计算机操作应用存在的不规范，信息交换、反馈也相对比较落后，或者根本起不到效率作用。

再次中小企业虽然有一定的信息管理制度规范，却由于监管不到位，主要是由于中小企业的机构比较小，维护人员、计算机使用都是由使用人员一人来完成，所以容易导致即使有制度，也难以执行，这也是制约中小企业信息系统的数据安全的主要原因。

（二）非正式制度的分析

在非正式制度中，意识形态处于核心地位，它不仅蕴含价值关键、伦理规范、道德观念和风俗习性，而且在形式上构成某种非正式制度的“先验”模式。所以从这个角度上来说，公司员工的思想和过去的传统操作方法在一定程度上影响企业的信息管理系统运行效果。

在中小企业的管理信息系统中，由于员工的意识不强，对于信息系统的维护、使用存在一定的松懈，信息操作员经常在值班时没有定期维护计算机及信息管理系统，只是在当其产生问题时才处理，这样很容易导致企业数据损失，如果信息备份不完全的话，可能由于人为操作或者计算机病毒的侵入会造成整个系统数据损失。

在这里非正式制度方面主要是指员工以往的旧做法对中小企业的信息系统安全的影响，对信息反馈报告在效率方面也会产生一定的负面作用，主要原因是领导层的要求不严格，操作人员的报告提交不及时等因素所致，因此非正式制度因素对中小企业信息管理系统影响也是非常大的。

三、加强信息管理系统管理制度建设的对策

在加强制度建设中，主要从国家信息系统的法律制度建设、企业信息制度的设置与执行，再次就是信息系统中操作人员与管理人员意识的改变三个层次来考虑。

（一）首先在我国信息管理系统的法律规范中，不仅应该对信息交换中安全问题进行规范，而且规定信息系统使用公司对其管理系统的安全达到安全的最低标准，这个标准是指从各因素方面来确定信息管理系统的一个安全性的最低标准值，不仅能够使信息安全从法律依据上得到一个基本的系统安全标准，而且也能对公司信息管理系统起到强制规范性的作用。

（二）在制度设定层面，加强中小企业信息系统安全管理制度的健全及制度化，也是保障中小企业信息系统安全极为重要的一个方面。在信息系统运行过程中，信息系统管理部门应制定严格的服务器日常维护、巡视和记录制度、客户机维护、 操作制度、用户管理制度、人员培训制度等等，并严格按照制度实施奖惩，从而从企业内部制度上认识到信息管理系统安全的重要性。

（三）培养与使用企业信息化是一项复杂的系统工程，除了领导层要高度重视外，设立一个既懂信息系统、又懂业务流程的复合型信息主管职位，也是非常关键的。在国外大学、大企业的CIO（首席信息主管），相当于企业级的领导，直接参与企业的重大问题决策。 一个合格CIO，既能充分调动网络技术人员的积极性，又能把握企业信息化发展全局，并能随时为领导提供参考意见，起到了很好的监督作用，并对公司信息管理信息系统制度改善、监督、反馈上能起到重要的作用，因此在中小企业中也设立这样一个职位，从而使信息化系统成为企业运行中的一个非常重要的部分。

（四）加强信息系统人员的培训，使其对计算机信息系统的操作、安全等方面了解能够熟练的掌握。信息系统人员包括操作人员以及维护人员，定期对信息系统人员进行培训，不仅有助于了解信息系统的最新发展，而且能够使其从意识中不断了解到信息系统安全的重要性，使其操作、维护的规范化不断得到改善，从而减少由于非制度性因素所产生的信息系统安全问题。

四、结论

在中小企业信息管理系统中，很大问题是由于中小企业的制度方面造成的，所以在企业内部加强其监管，使中小企业的信息管理制度得到很好执行是非常必要的，其次就是加强员工的素质培养，使其能够具有很好的业务水平，使信息管理系统得到很好的运行，并能够使管理层及时了解到企业的信息，保证企业的顺利运行；最后完善国家信息管理系统法律，是保证企业信息制度建立的重要标准，使中小企业达到基本的信息系统风险管理水平，从而从制度上使其信息管理系统得到很好的保护。

参考文献

[1]Kenneth C.Laudon Jane P.Laudon.管理信息系统－管理数字化公司（第8版）[M]北京：清华大学出版社，2005年：501-538

[2]王霞，张永，彭智才，如何保障中小企业信息系统安全[J]，资源方法，2004(9):54-55

[3]刘仁勇，王卫平，企业信息安全管理研究[J].学术研究，2007(6):113-115

第7篇：小企业信息安全范文

    随着我国中小企业开始实现信息化管理,运用信息管理系统来对企业生产进行管理,一方面,提高了企业管理的效率和科学性,使企业的生产、存储、财务、成本、控制都得到了大幅度的改善;而另一方面,在实际的运行中不可避免的引发各种问题,其中包括信息安全性的问题,即存储在计算机或在传输中的文件和数据遭受到破坏和滥用,而且这种活动对企业的影响非常严重,例如:电子商务公司,如果网站出现故障,每天的损失会高达数额人民币,所以如何保障信息系统的安全,使其得到安全的控制,对于企业来说已经变的非常重要。目前,在我国的中小企业信息管理系统内部构建中,经常可以发现由于制度和管理中的疏忽、松懈以及信息系统的监管不到位,所出现数据的丢失或者数据的信息反应迟钝,不能使管理者及时得到有效的信息,使其信息系统的发挥起不到其最佳的效果,因此如何保障中小企业信息系统安全,加强中小企业信息的测控是非常必要的。

    在目前关于中小企业的信息系统安全与效率方面的文章主要是集中在如何构建中小企业信息系统方面,涉及到中小企业信息管理制度这方面很少。如:杨斌、费同林(2002),赵宏中(2005),刘仁勇,王卫平(2007),在企业管理信息系统建设方面提到了制度设计方面,但是没有把其作为一个研究重点,其他一些相似的文献基本是从技术角度探讨。从中小企业实际的成本收益考虑,一般来说,由于运用的相应技术不是很高,基本都是基础的软件系统,所以有必要对中小企业面临的制度方面进行详细的分析。

    二、中小型企业信息系统制度方面分析

    首先,根据Laudon对企业信息系统面临威胁,按照来源分为六类:硬件故障、软件故障、人为因素、数据、服务及设备被偷盗,这些都是中小企业面临的问题,但Laudon从单个信息系统的角度进行分析,却没有把企业的信息管理系统管理制度考虑进去,在我国中小企业的信息系统建设上许多企业尽管设置了制度,但很大程度上都是形同虚设或者是制度管理存在缺失,容易导致中小企业信息系统实际操作上面临效率和安全的问题,下面具体从制度方面进行分析:

    在中小型企业中,存在着正式制度与非正式制度,正式制度是人们有意识建立起来的并以正式方式加以确定的各种制度安排,主要包括法律制度、企业制度安排等;非正式制度,是人们在长期的社会生活中逐步形成的习惯习俗、文化传统、价值观念,是形态等对人们行为产生非正式约束的规则,是那些对人们行为的不成文的限制。

    (一)正式制度的分析

    在中小企业中,正式的制度包括国家信息系统法律的规定和企业的信息管理制度方面,根据我国1994年通过的《中华人民共和国计算机信息系统安全保护条例》,也只是从信息交换角度来保护整个信息系统的安全,对于企业自身的信息系统安全只是规定各企业根据自身情况自行制定,并没有对企业的实际业务中发生的关于信息系统自身安全进行风险标准规定,也没有一套正确引导进行风险防范的标准规定,所以中小企业的法规建立基本都是从企业各自实际出发,所以各企业的标准不一,导致安全隐患存在比较大。

    从企业自己建立的信息管理制度来说,一般大型企业有明确的规定制度,包括维护、人员素质等方面都有明确的规定,在一定程度上能有效防范信息系统存在的安全隐患,并能够及时有效的进行相应信息的反馈,对企业的信息安全与企业效率能起到积极的作用。但对于中小企业来说,由于企业自身比较小,相应的信息管理系统人员比较缺乏,其维护也是谁操作谁负责,这样只能根据各企业自身人员的情况来确定其系统的安全程度,其次在效率方面,由于人员缺乏以及其计算机操作应用存在的不规范,信息交换、反馈也相对比较落后,或者根本起不到效率作用。

    再次中小企业虽然有一定的信息管理制度规范,却由于监管不到位,主要是由于中小企业的机构比较小,维护人员、计算机使用都是由使用人员一人来完成,所以容易导致即使有制度,也难以执行,这也是制约中小企业信息系统的数据安全的主要原因。

    (二)非正式制度的分析

    在非正式制度中,意识形态处于核心地位,它不仅蕴含价值关键、伦理规范、道德观念和风俗习性,而且在形式上构成某种非正式制度的“先验”模式。所以从这个角度上来说,公司员工的思想和过去的传统操作方法在一定程度上影响企业的信息管理系统运行效果。

    在中小企业的管理信息系统中,由于员工的意识不强,对于信息系统的维护、使用存在一定的松懈,信息操作员经常在值班时没有定期维护计算机及信息管理系统,只是在当其产生问题时才处理,这样很容易导致企业数据损失,如果信息备份不完全的话,可能由于人为操作或者计算机病毒的侵入会造成整个系统数据损失。

    在这里非正式制度方面主要是指员工以往的旧做法对中小企业的信息系统安全的影响,对信息反馈报告在效率方面也会产生一定的负面作用,主要原因是领导层的要求不严格,操作人员的报告提交不及时等因素所致,因此非正式制度因素对中小企业信息管理系统影响也是非常大的。

    三、加强信息管理系统管理制度建设的对策

    在加强制度建设中,主要从国家信息系统的法律制度建设、企业信息制度的设置与执行,再次就是信息系统中操作人员与管理人员意识的改变三个层次来考虑。

    (一)首先在我国信息管理系统的法律规范中,不仅应该对信息交换中安全问题进行规范,而且规定信息系统使用公司对其管理系统的安全达到安全的最低标准,这个标准是指从各因素方面来确定信息管理系统的一个安全性的最低标准值,不仅能够使信息安全从法律依据上得到一个基本的系统安全标准,而且也能对公司信息管理系统起到强制规范性的作用。

    (二)在制度设定层面,加强中小企业信息系统安全管理制度的健全及制度化,也是保障中小企业信息系统安全极为重要的一个方面。在信息系统运行过程中,信息系统管理部门应制定严格的服务器日常维护、巡视和记录制度、客户机维护、操作制度、用户管理制度、人员培训制度等等,并严格按照制度实施奖惩,从而从企业内部制度上认识到信息管理系统安全的重要性。

    (三)培养与使用企业信息化是一项复杂的系统工程,除了领导层要高度重视外,设立一个既懂信息系统、又懂业务流程的复合型信息主管职位,也是非常关键的。在国外大学、大企业的CIO(首席信息主管),相当于企业级的领导,直接参与企业的重大问题决策。一个合格CIO,既能充分调动网络技术人员的积极性,又能把握企业信息化发展全局,并能随时为领导提供参考意见,起到了很好的监督作用,并对公司信息管理信息系统制度改善、监督、反馈上能起到重要的作用,中小企业中也设立这样一个职位,从而使信息化系统成为企业运行中的一个非常重要的部分。

    (四)加强信息系统人员的培训,使其对计算机信息系统的操作、安全等方面了解能够熟练的掌握。信息系统人员包括操作人员以及维护人员,定期对信息系统人员进行培训,不仅有助于了解信息系统的最新发展,而且能够使其从意识中不断了解到信息系统安全的重要性,使其操作、维护的规范化不断得到改善,从而减少由于非制度性因素所产生的信息系统安全问题。

第8篇：小企业信息安全范文

【关键词】　信息安全策略；实施；困难与对策

1 企业信息安全策略实施困难的原因

信息安全策略被制订出以后，最为重要的环节就是将其有效的实施。只有通过实施，才能对企业的信息安全起到积极作用。然而信息安全策略的实施不仅与其实施过程有关，而且与其制定有着密切的联系，因此笔者将导致信息策略实施困难的因素分为两大部分。

1.1 信息安全策略制定过程的影响

首先，制定人员选择困难。制定一个高效权威的信息安全策略不是一个简单的工作，信息安全策略的指定人员对策略的熟悉程度与接受性具有非常大的影响，信息安全策略的指定人员必须深刻的了解企业的生产、运营、文化与目标，且还要熟悉企业当前已有的信息安全策略与规则，制定人员还应熟悉国家相关法律法规，掌握信息安全策略的制定技巧。

此外，企业信息安全策略本身也是一种管理策略，因此，其制定须吸收企业各个岗位与层次的职工意见与工作需求，对于上市公司而言，信息安全策略的制定还需董事会与股东大会的统一以及律师的认可，以上苛刻的条件决定了信息安全策略指定人员选择的难度十分大，间接的影响了企业安全策略的实施。

其次，信息安全策略本身的原因。为了达到预期效果，使执行人员更好的了解和掌握，信息安全策略的内容必须具有易读性、易理解性，如果信息安全策略包含模糊或难以被理解的内容，就会给执行人员造成困扰，影响安全目标的实现。信息安全策略还应具有实用性，很多企业的信息安全策略制定后，并没有发挥其作用，而是被仍在角落里，发生信息安全事故时，处理人员的应对方式往往是根据自己的经验，而不是经细致研究后制定的信息安全策略，即使是一些规模较大的企业和部门，这种现场也十分常见。在实际信息系统中，安全威胁是的的确确存在的，只有增加信息安全策略的实用性与针对性，才能使其更好的发挥作用。信息安全策略的以上特点，也增加了其制定难度，最终影响到企业信息安全策略的实施。

1.2 信息安全策略实施过程中面临的困难

信息安全策略在实施过程中所面临的困难，主要可分为两个方面。

1.2.1社会环境因素

社会环境因素包括企业管理者的行为和企业职工之间的相互关系等。

首先，大部分企业的领导都将企业工作的重点放在企业的生产、收益和员工管理上，很少将信息安全作为衡量企业运行状况的重要指标，虽然很多企业都将创造安全工作环境作为提高企业领导水平和企业生产能力的关键指标，然而，很多企业却仅仅是将安全作为一个口号，没有真正的重视起来，使其成为一纸空文。

其次，企业领导的领导风格也是影响信息安全策略实施的重要因素，经调查发现，作风果敢干练的革命型领导者可以使下属对其安全承诺具有更强烈的认可与感知。

第三，企业的管理者与员工之间的信任度也是影响信息安全策略实施的重要因素，管理者的安全承诺也是企业成功的重要原因，很多企业的管理者对此都没有形成一个正确的认识，在企业中也没有充分向职工表达安全承诺，没有指定可靠的培训措施、安全的生产政策与生产目标，导致上行下效，企业中没有形成重视信息安全的氛围，为信息安全策略的实施增加了很大的困难。

第四，员工之间的相互关系也是影响企业安全的重要原因，一个充满凝聚力的群体更容易严格遵守信息安全策略的规范。

1.2.2员工的自我效能感较差

自我效能感并非是职工的工作技能，也不代表他的真实能力，而是个体对于自己对完成任务能力的评价。如果一个员工不相信自己的能力，那就不会表现出胜任行为。在实际工作中，很多员工对工作都是抱着完成任务的心理，没有充分地调动起自己对工作的积极性，很多信息安全策略的执行人员对自己工作的重视程度也不够，认为自己的工作不能带来直接的收益，受这种思想的指导，在施行企业信息安全策略时，也只是懒懒散散的去敷衍，而非真正的将工作落到实处，而企业中的普通职工，信息安全意识更多的是受到其执行人员的影响，执行人员没有将工作当重点来抓，对信息安全策略的推行模棱两可，导致普通职工也没有将这项工作放在重点位置，而将其当做一个形式，在信息安全策略的推广上，职工的工作能力与工作价值没有得到充分的体现，形成一个懒懒散散的安全环境，最终阻碍了信息安全策略的落实，为企业的信息安全与健康发展埋下了隐患。

2 如何保障企业信息安全策略的实施

2.1 严格筛选制定企业信息安全策略的人员

对于小型企业来说，企业的技术负责人可以兼任信息安全策略的制定者，而对于大型企业，则应成立专门的工作小组来但当信息安全策略的制定者，这个专门的小组应由多方人员构成，其主要任务就是制定并实施企业信息安全策略，还应负责策略的评估与修订。

此外，企业的管理层还应指派一位企业领导来指导和协调此工作小组的工作，以显示企业对信息安全策略的重视程度。信息安全策略作为企业管理策略的重要组成部分，需要企业各级管理层的积极参与，技术人员和安全人员能够提供良好的技术支持，尤为重要。由于信息安全策略对企业的发展有重大影响，因此，企业的业务人员也应积极参加。

如此，信息安全策略制定小组就能够充分的听取各方意见，以保证信息安全策略的科学制定与实施效果最大程度的接近预期目标。如果企业已上市，则还开董事与股东大会，对已制定的信息安全策略措施、制度进行表决，经董事会与股东大会同意后，还应倾听企业律师与员工代表的建议，保证信息安全策略符合相关法律法规的规定，并借助普通职工的力量，寻找策略中的不足，增强其可信性，使企业信息安全策略能够有序的自上而下的推行，影响企业人员的行为。只有充分尊重并收集企业各个层次的员工与领导层的意见，才能在策略的制定与实施中受到良好的效果。

2.2 保证信息安全策略的可行性

信息安全策略应具有的两大特征为可读性与实用性，因此，企业信息安全策略的制定应始终围绕这两大特点来进行。

首先，应加强资料搜集与调研中作，很多时候，因为工序复杂和操作难度较大等原因，该步骤都被一定程度上简化。然而，资料收集不全面，调研工作不充分将导致信息安全策略的制定与企业实际的安全需求相一致，也无法与企业的管理目标相契合，导致信息安全策略的可读性下降。

其次，还应做好信息安全策略的评审，信息安全策略的制定具有很高的政策性，评审小组一般由各级管理部门、普通职工、技术、安全人员组成，在信息安全策略的制定过程中进行评审，使其能够更加简洁与清晰，增加其可读性，为其以后的实施奠定基础。

第三，增加信息安全策略的实用性，分析企业内部的信息结构，信息安全策略的制定应与之相适应，使信息安全策略的实施能够符合企业的组织结构特点，在企业发生安全事故时，能够在信息安全策略中找到足够的依据来处理发生的问题。

2.3 有效的实施企业信息安全策略

首先，企业管理者应充分重视信息安全策略的实施，并给与充足的制度、外力支持，由于信息安全策略的实施会给员工与部门带来额外的工作，却无法直接带来好处，很多员工对此都有抵触情绪，因此高层领导的支持能够使策略实施的阻力大为减小，只有领导层重视了，才能引起下属职工的重视。

其次，加大推广力度，指派专门的信息安全策略负责人员，明确其责任，也让员工明白遇到问题时该由谁负责和解决。还应加大培训力度，将信息安全策略于内部网络，或制成条幅悬挂，使员工在日常工作中就能潜移默化的被策略所影响，还可以制作相关的影音文件，使员工能够更加方便的学习，针对不同的对象制定与之相适应的培训方针。

参考文献

[1]　吕韩飞，王钧.信息安全策略实施困难的原因与对策[J].浙江海洋学院学报（自然科学版），2011（03）.

[2]　裴毅.高校数字图书馆信息安全管理研究[J].安徽科技学院学报，　2009（05）.

[3]　翟雪荣，刘志刚，卞春.信息系统信息安全风险管理的发展趋势分析[J].农业网络信息，2007（12）.

作者简介：

第9篇：小企业信息安全范文

安永大中华区信息科技风险与审计咨询服务合伙人阮祺康表示，“实施信息安全转型旨在缩小脆弱性现状和安全性目标之间日趋扩大的差距，这不依靠复杂的技术解决方案，而是需要领导力、承诺、能力和行动的勇气，不是在一两年之后而是当下。”

企业在信息安全所面临的挑战

调查报告显示，企业在信息安全所面临的挑战不可小觑，主要的挑战包括：一是外部威胁有增无减，令企业深感担忧： 77%受访者表示其所在企业面临的外部威胁正不断增加；二是安全防范措施未能同步追随云计算快速应用的步伐：从2010年至2012年，云计算的应用增长已翻倍，但仍有38%的受访者表示所在企业没有采取任何措施，缓解云计算所带来的安全风险；三是移动应用大幅增长，但安全防护技术部署明显滞后： 44%的受访企业允许员工在工作中使用企业或者个人的平板电脑，但其中只有40%的企业对移动设备采用了加密技术；四是社交媒介广泛普及，成为企业安全隐患：31%的受访者表示其企业并未采取相应的机制来处理社交媒介的安全风险；五是安全预算和能力匮乏，差距持续扩大：62%的受访问企业表示预算受限，是信息安全工作的主要障碍之一。此外，44%的企业表示，安全管理和执行人员的能力偏低，严重阻碍了安全目标的实现。

该报告的结论指出：“企业只有从根本上转变信息安全管理策略，才能有效应对现有安全威胁，及由新兴技术带来的新的安全风险 。”

今年是该报告的第十五个年头，在本年度调查过程中，共邀请了来自于包括中国在内的64个国家，1850多位首席信息官（CIO）、首席信息安全官 （CISO）和其他信息安全高管共同参与，此次调查也是该领域调查中最为全面的一次。

不断升级的外部威胁

随着信息安全威胁愈演愈烈、信息安全事故频发，企业也意识到所面临的风险环境正不断地改变。尽管企业做出种种改进，仍然跟不上风险变化的速度。2009年，有41%的受访者注意到外部攻击正不断增加；到了2011年，这一数字升至72%；而在2012年，这个比例增至77%。不断加剧的外部攻击包括黑客行为、间谍活动、有组织的犯罪、以及恐怖主义等。同时，企业也注意到内部安全方面的挑战不断增加。该报告显示，近一半的受访者（46%）表示已关注到这一点，他们认为员工信息安全意识薄弱是成功实施信息安全项目的最大挑战。

势不可挡的云服务应用

新技术在为企业带来无限商机的同时，也引发了一些新的潜在威胁。云计算是业务模式创新的主要驱动因素之一，在过去两年中，应用云计算的企业数量已经翻倍。然而，仍有38%的受访者表示其所在的企业没有采取任何措施应对风险；例如诸多企业并未对云计算服务提供商的合同管理开展相对更严格的监管流程，以及采用加密技术。

方兴未艾的移动应用

在移动互联网发展趋势下，企业员工购买并使用智能手机与数据服务的情况将越来越多。利用个人设备接入企业应用，有助于企业降低整体的设备采购成本，并有助于提高员工的工作效率，且能激发员工的创造力。然而，风险总是与机遇并存。企业亟需找到引导员工正确使用工作设备与个人设备的解决方案，为此也必须深入考虑其中的信息安全问题。

安永大中华区信息科技风险与审计咨询服务总监林育民表示，“在2011年的调查中，BYOD（Bring Your Own Device）比率仅为20%；而今年的调查结果显示，有44%的企业允许员工在工作中使用企业或者个人的平板电脑。这导致企业内外信息交互量激增，也令相应的安全管控变得更加困难。”然而，在快速发展的移动应用环境中，对应的安全技术与软件的使用率仍然较低，调查中发现，只有40%的企业对其移动设备采用了加密技术。

日渐盛行的社交媒介

社交媒体在创造众多机遇的同时，也带来许多新的挑战；通过社交媒体，企业能迅速建立品牌与开拓市场，同样也可以快速地对企业形象造成重大的负面冲击。此外，随之而来的挑战，还包括数据安全、隐私隐患、监管与合规要求，以及对员工生产力的影响。今年的调查结果显示，约31%的受访者表示其所在的企业，没有设计相应的机制来应对社交媒介使用所带来的风险；这不但造成企业整体风险的上升，更严重冲击企业未来全面利用社交媒体渠道行销的能力。

亟须提升的信息安全资源与能力

从股东与投资人角度来看，信息安全应该成为他们关注的重点之一，安全管理应得到充分的支持；然而，信息安全的资源与能力问题，依旧困扰着信息安全工作。在今年的调查报告中显示，62%的受访问企业表示预算受限，是信息安全工作的主要障碍之一；此外，44%的企业表示，安全管理和执行人员的能力偏低，严重阻碍了安全目标的实现。

林育民说：“对于有些企业来说，安全专业人士、安全成熟度或安全预算也许在决策过程中起到一定作用；然而，这些修补式或简单叠加的应付方案，看似满足了短期的信息安全需求，但也掩盖了潜在的巨大安全隐患 。”

此次调查也显示，目前企业仅采用治标式和修补式的解决方案提高信息安全能力，却忽略了对信息安全威胁的整体与全面的应对；仅约8%的受访者表示在过去两年中，企业发生的信息安全事故的数量有所减少， 因此建立一个强健的安全体系成为企业的当务之急。然而，约有63%的受访者称其所在企业尚未建立信息安全整体架构体系，只有约16%的受访者认为其所在企业的信息安全职能完全符合业务需求。