谈行政事业单位网络安全建设对策

摘要：社会经济水平的飞速提升推动着各个行业的发展，同时也使得网络信息技术开始被越来越广泛地应用到不同的行业中，其中也包括行政事业单位。信息技术的应用需建立在发达且具有一定系统化特质的网络环境下，但当前网络环境的实际情况较为复杂，很容易受到各类型的恶意攻击，而行政机关和企业事业单位在信息安全上也有较高的要求。基于此，本文将围绕行政机关和企业事业单位网络安全建设对策进行分析探讨。

关键词：行政事业单位；网络安全；建设对策

网络信息技术的应用在大力推动了各个行业发展的同时，也使得各行业工作面临着全新的风险，急需应用有效的网络安全防范措施。行政事业单位的工作性质使得这类型单位对网络安全的要求更高，特别是面向大众的互联网信息系统，更需要有效且完善的网络安全防护措施，避免因恶意攻击导致信息泄露、遭篡改甚至网络瘫痪的情况出现。由此可见，对行政机关和企事业单位网络安全工作进行有效分析，并建立起相应的网络安全建设对策就显得至关重要。

一、行政机关和企业事业单位网络安全建设现状

我国互联网事业在近几年间得到了飞速发展，并为社会各个行业运行效率的提升及新型功能的开发提供了可靠的支持，但是网络环境呈复杂化、多样化的特点，在不同层面均存在一定的安全问题。就我国行政机关、企事业单位而言，在处理网络安全工作时常表现出以下几种状态；首先，部分单位对网络安全的重视程度不足，网络安全管理规划不够系统，缺乏规范设计的网络安全管理制度和应急演练流程，导致面对网络安全问题时缺少有效的解决方案；其次，网络安全工作不是简单的硬件堆叠，而是需要系统化的设计，并且充分考虑工作环境的网络安全环境需求，对应《网络安全等级保护条例》的具体要求进行网络安全建设，对专业能力的要求较高；最后，则是缺乏处理网络安全工作的专业人才，很少单位单独设置网络安全管理部门和专职的网络安全管理人员，通常由信息化人员兼任，或是将网络安全服务外包给第三方服务提供商，存在信息泄露、数据篡改等安全隐患。

二、网络安全管理面临的常见问题

行政事业单位因网络安全建设现状不理想导致的网络安全建设问题表现在各个方面，在实际工作中则以下几方面问题最为常见。

1.安全漏洞当前主流办公环境操作系统微软的Windows系列操作系统为主，而在行政事业单位中配置的终端计算机则多以Windows7甚至是WindowsXP操作系统为主，这些操作系统正面临被微软官方淘汰的窘境，也难以获得官方的系统漏洞补丁，导致这些操作系统存在大量安全漏洞，成为各类型恶意攻击、病毒传播的有效途径，进而对行政事业单位的网络安全造成了潜在风险。

2.病毒入侵病毒入侵是影响网络安全状态最常见的一种情况。计算机病毒本身具有恶意复制及破坏数据的能力，且可通过多种渠道实现传播，再加上病毒本身体积非常小，又会被植入于难以发现的位置，因而对计算机及操作系统的破坏非常严重。感染病毒的计算机会在病毒的影响下无法正常工作，有时会导致关键数据流失或崩溃，也可能使计算机操作系统被破坏，更严重的情况下甚至可能造成区域网络系统的瘫痪，进而对行政事业单位的网络安全造成严重影响。目前单纯破坏性的病毒软件已经不多了，病毒已成为黑客获取经济利益的主要手段，如窃取敏感信息、勒索钱财等。

3.恶意网络攻击恶意网络攻击是所有网络安全管理部门都会面临的问题，黑客主要通过两个途径进行网络攻击，一是非法控制访问互联网的终端计算机，二是入侵面向互联网用户的应用系统。终端计算机借助互联网传输信息的便捷性获取相应信息或资源的同时，也为黑客恶意攻击创造了条件，黑客在获取终端计算机的控制权后进而对网内其他应用系统进行攻击，或是通过互联网的应用系统的安全漏洞直接控制服务器。与病毒入侵造成的无目的破坏性不同，恶意攻击导致的破坏往往是有目的、有针对性的，通常来自其他网络终端某些黑客一类的组织，因而也具有人为的特质。恶意攻击通常不表现为无序性的破坏，多以关键信息的窃取、遭替换或是丢失体现，但会留下一定的操作痕迹。从某种意义上而言，因恶意攻击导致的破坏在社会影响上比病毒入侵更加严重。

4.操作失准因操作失准导致的网络安全问题通常发生在内部，主要是因为相关工作人员对操作流程的熟练度不足、工作素养不够等因素，这些因素导致网络安全防护措施容易因为个人的操作失误导致严重破坏，可能造成的后果包括大量关键数据丢失，同样也可能造成系统瘫痪等。其最棘手的一点是操作失准在性质上属于内部安全问题，只能应对外来侵袭的防火墙及安全防护软件完全无法应对这种问题。

三、行政机关和企事业单位网络安全建设对策

1.建设网络安全管理专职机构建设专职的网络安全管理机构是做好网络安全工作的必然举措。网络安全工作具有规划性、系统性、专业性、持续性等特点，不能一蹴而就，首先必须认识到网络安全工作重要性，其次需要投入大量的人力、财力、物力，组织专业技术团队对其进行系统性的设计并按照行业标准规范进行建设，最后要持续不断对安全防护手段进行改造升级，这是一个不断迭代的过程。网络安全管理机构通常具备以下职责：一是以《中华人民共和国网络安全法》为依据，贯彻落实网络安全主管部门制定的政策及工作部署，制定本单位的网络安全总体规划和管理制度；二是制定网络安全规章制度，督促、指导本单位各部门落实网络安全规章制度；三是统筹规划网络安全建设和运维所需资金、物资、人力等资源；四是制定网络安全应急预案，组织应对突发事件和领导网络安全事件的追查、处置工作；五是组织、开展网络安全等级保护相关工作；六是制定网络安全宣传和教育计划。

2.遵循网络安全等级保护制度进行体系化设计依据现行网络安全等级保护条例以及业务安全需求，对硬件设施、基础网络、业务系统等进行区域划分和确定保护等级，对不同的保护对象从物理环境防护、通信网络防护、区域边界防护、计算环境防护等各方面进行纵深防御的安全防护设计。同时为各防护体系协调统一工作，还需建设安全管理中心，安全管理中心集系统管理、审计管理、安全管理、集中管控等功能于一身，是整个安全防护体系的指挥中心。以等级保护安全框架为依据和参考，在满足国家法律法规和标准体系的前提下通过一个中心、三重防护（即安全管理中心、通信网络防护、区域边界防护、计算环境防护）的安全设计，形成网络安全综合技术防护体系。

3.划分网络安全区域边界依据实际业务需求和等级保护系统级别的要求，对单位网络区域进行划分，如办公区、应用区、数据区、备份区等，并在各区域间架设防火墙进行区域边界访问控制，也可以通过网络设备VLAN隔离技术进行粗粒度的边界控制，具体根据网络安全的实际需求而定。访问控制策略是网络安全防范和保护的主要策略，其目的是保证网络资源不被非法使用和访问或防止合法用户的不当操作造成破坏。通过采取访问控制措施可以具有对网络、系统和应用的访问进行严格控制的能力。针对网络边界的访问控制，建议部署防火墙系统，对所有流经防火墙的数据按照白名单最小化的原则严格控制，禁止不符合访问控制策略的流量，可有效降低越权访问和各类非法攻击行为。

4.强化接入设备安全管控加强接入可信网络的终端管理，要求所有接入可信网络的终端设备严格按照网络安全管理规定要求，安装统一的安全防护管理软件，采取集中安全管理措施。终端计算机实名认证接入后，由管理系统统一管理和分配IP地址，并对计算机IP和MAC地址进行绑定。通过管理策略，要求各终端设备设置开机验证强密码，并定期更新。通过补丁分发策略，自动更新网内终端计算机的操作系统安全补丁。定期使用网络技术工具进行终端的漏洞扫描、病毒木马检测，排除安全隐患。通过移动介质管理策略，对网内的移动介质进行安全加密处理，严禁跨区域使用移动介质。

5.网络边界的入侵检测和防护即使在可信网络中也充斥着各种可能的网络攻击行为，因此需要在网络关键节点上部署相关检测防范设备，应对这些网络攻击。通过在关键网络节点部署下一代防火墙、全流量威胁分析系统或其他网络入侵防范措施，检测、防止或限制从外部和内部发起的网络攻击行为，一旦检测到攻击企图后，会自动地将攻击包丢掉或采取措施将攻击源阻断。在核心交换机旁路部署安全感知平台，针对新型网络攻击进行检测和分析，提升基于全网环境的动态、整体地洞悉安全风险的能力，可以从基于全网的全局视角提升对安全威胁的发现识别、理解分析、响应处置能力。互联网业务系统通过部署抗DDoS服务，可有效抵御多种类型的攻击，包括泛洪攻击、协议漏洞型攻击和复杂的应用层攻击，确保服务可用性。

6.通信网络的安全审计全面实施网络层安全审计，并由安全管理中心集中管理，对确认的违规行为进行报警，并做出相应处置。网络层安全审计可分为内网安全审计和外网接入审计两种，旨在对网络安全活动相关的信息进行识别、记录、存储和分析。网络安全审计工具可以记录应用系统的运行状况，当系统发生故障时，网络安全审计工具可以帮助分析人员进行系统事件的重建和故障分析，让安全管理人员清晰完整地认识系统的故障，降低未来相似故障发生的可能性；同时审计工具还可以作为调查取证工具，为安全事件发生后的取证与分析过程服务，确保相关用户可以对其行为负责，在一定程度上对潜在的攻击者起到震慑的作用；审计工具还可以进行安全事件的检测，对系统的攻击及时进行报警处理，降低系统非法入侵的概率。

7.数据备份和恢复首先要确定需定期备份的网络安全配置信息、业务数据、系统数据及软件等，根据数据的重要性以及等级保护条例中规定的备份要求，确定备份方式、备份周期、存储介质、保存期等，制定数据的备份策略和恢复策略等，定期进行数据备份和恢复应急演练，对于特别重要的数据除了本地备份还需要考虑异地灾备。

四、结语

当前信息技术的飞速发展使得网络安全问题逐渐受到关注，这也意味着行政机关和企业事业单位同样需要重视这方面工作，积极处理日常工作中可能面临的网络安全隐患，落实人力、管理方法、资源等各方面网络安全保障工作内容，进而使网络安全管理工作行之有效。

参考文献

1.杨鹏.分析行政事业单位计算机网络安全问题及技术防范对策.科技资讯，2019（7）

2.陈绍国.行政事业单位计算机网络安全问题及技术防范措施.电子技术与软件工程，2016（11）.

3.张彭.浅谈机关事业单位计算机网络安全与管理.电脑迷，2017（4）

4.谢韬.行政事业单位网络安全防护措施.科技风，2017（13）.

5.高士平.机关事业单位计算机网络安全防护探析.中国管理信息化，2020（22）.

作者：黄凯 单位：福建省统计局