涉密计算机及信息系统安全策略(已改无错字)

　　

【正文】 三、利用远程管理工具，通过事先安装的远程控制管理软件（如Radmin、Pcmain、PcAnywhere等），进行示范性操作，可提高工作效率，减轻奔波之苦。 建立备用工作站对使用频繁或者故障率较高的工作站，比如门诊挂号收费工作站、药房工作站等，要建立备用机。工程师在接听故障申报后，初步判断故障原因和恢复时间，如果时间较长，影响业务正常开展和秩序稳定，应立即更换工作站。建立备用工作站，一定要保证备用设备的软硬件配置完好，保证即插即用。要对备用设备定期检查和测试。 工作站的安全巡检和定期维护。各类工作站使用人员缺乏专业知识，对电脑、打印机的正确使用缺乏了解，例如非法关机、直接拔插电源、不注意打印机的清洁卫生等。工作站使用的细节决定工作站的使用寿命和运行稳定性，因此对工作站的定期安全巡检和维护保养十分必要。“健康档案”。记录工作站台号、网络配置、操作系统、应用软件的安装情况，以及每次的维修操作记录，建立工作站的“健康档案”。管理员在接听工作站故障申报时，首先查看设备档案，了解设备维修情况，对准确判断故障原因和故障排除提供参考。同时建立“健康档案”,还可对全院设备使用、设备型号选择和设备维护进行监督和评价。医院信息系统的安全管理“三分技术、七分管理”，医院信息系统的安全，光有安全设备和技术是远远不够的，必须有完善的管理制度和风险防范意识，制定切实可行的应急预案，将医院信息系统的安全风险降至最低。 安全意识医院信息系统安全策略的制定和落实需要一定的人力、物力和财力,需要自上而下的贯彻落实,因此要建立全员的安全意识。首先，作为医院信息系统的管理部门，信息科要有强烈的安全意识，不断通过业务学习，提高安全风险防范和应对的能力。其次，要让医院各级领导要充分重视信息系统的安全，医院的信息主管或者信息科长要经常对领导进行灌输，增强领导对信息系统的了解和对系统安全的认识。另外，要通过全员培训，增强系统操作人员的安全意识。 安全组织由于医院信息系统设计到医院的各个管理部门和业务部门，必须建立安全组织，统一领导和协调医院信息系统的安全管理工作。在信息化建设的规划设计阶段,就应成立一个以主管领导、信息部门负责人、网络管理员、科室安全管理员等人员组成的安全管理组织机构,用于保障信息化设备及系统的安全。主管领导和信息部门负责人负责安全体系的建设、实施以及科室间的协调工作,网络管理员负责安全策略的制定和技术实施,科室安全管理员负责安全措施的具体实施。 安全管理制度安全策略的执行要制度化,以便于实施和管理,这需要建立信息化设备及系统在使用、运行、管理及维护过程中的相关管理制度,并严格的实施与执行。比如各个业务系统的操作规范、数据库管理员工作规范、网络设备管理制度、医院信息系统应急预案等。 应急预案在医院信息系统的运行过程中,不可避免的会出现各类故障，制定医院信息系统应急预案的目的是为了确保系统安全运行，保障医院正常的医疗服务和就医秩序，提高系统应对突发事件的能力，将中断时间、故障损失和社会影响降到最低程度。制定应急预案，要注意一下几点：。成立以院长为组长的应急方案领导小组，负责全院应急工作的组织协调。医院信息系统几乎涉及全院所有管理和业务部门，单纯信息科或者几个管理部门是无法组织和协调的，必须有院领导统一指挥协调。 制定应急预案分级管理。根据故障的类别、故障的范围和影响程度，将故障分级，针对不同的故障制定相应的应急预案。例如医院网络设备、服务器、医保通信线路、应用软件、供电、病毒防范、业务应用和工作站等应急方案等。 严格掌握启动应急预案的条件。应急状态下的业务处理方式与正常时有很大差别，需要做许多准备工作，启动应急预案需要调动大量的人力物力，给医院正常工作很大挑战，因此要严格掌握启动应急预案的条件，避免盲目启动。 定期演练。制定应急预案后，还要定期组织演练，以保证预案的切实可行，提高处理安全故障的应急能力。 安全培训安全培训分为信息科内部的专业人员安全技术培训和全院系统使用人员的操作安全培训。信息科内部培训主要是针对各类安全技术、安全策略和风险防范；系统使用人员的操作培训，要由技术精湛的技术人员负责，定期开展，保证全员覆盖，主要正对各类计算机设备的安全使用和日常维护保养。结束语医院信息系统是一个不间断运行的系统，随着医院业务对其依赖性越来越强，风险也随之提高，一旦发生故障，将会给医疗服务和医疗秩序带来很大影响。为此，必须在技术上、管理上、思想上对系统的实时性、安全性予以高度重视。医院信息系统安全策略正是因此应运而生，也必将随计算机技术和医院信息系统的发展不断成熟完善。第四篇：涉密信息系统保密管理探讨（模版）涉密信息系统安全保密管理探讨摘要：本文通过分析信息化条件下涉密信息系统保密管理与技术的关系，结合目前涉密信息系统保密管理的现状与问题，根据涉密信息分级保护标准规范要求，从宏观层面初步探讨提出了当前形势下涉密信息系统保密管理的原则、基本思路与方法，并提出了相应的建议。关键词：涉密信息系统 分级保护 信息系统建设生命周期一、引言涉密计算机信息系统（以下简称涉密信息系统）是指涉及国家秘密和党政机关工作秘密的计算机信息系统，主要包括党政军领导机关用于处理涉密信息的单机和用于内部办公自动化或涉密信息交换的信息系统；也包括企事业单位涉及国家秘密的信息系统。当前，随着我国党政军领导机关和国防科研军工单位信息化进程的全面加快，保密管理的对象、领域、方式和环境发生了深刻变化，在知密范围、涉密行为以及涉密人员的界定和管控等方面，出现了许多新的问题，传统的保密管理措施已经不能适应新形势下保密工作发展的要求，由于涉密单位的业务特殊性，如何对涉密信息系统进行科学有效的保密管理，已经成为涉密信息系统建设使用单位急需解决的问题，迫切需要新的管理思路与办法。二、涉密信息系统保密管理与技术的关系在网络环境下，国家秘密的存储、处理和流转方式发生了根本性变化，涉密电子文件易复制、易传播的特点，使得泄密渠道增多，一旦发生泄密情况，则扩散速度快，涉及范围广，且不易被发觉，危害特别大。面对信息化条件下保密工作新形势，传统的纸质涉密文件的保密管理措施已经不能完全适应新形势下保密工作发展的要求，涉密信息系统的保密管理亟需提升技术支撑能力。在当前的形势下，可以说技术与管理是涉密信息系统安全保障的两个支撑要素，二者相辅相成，缺一不可：即使非常严密的管理，没有技术手段支撑，也保证不了安全；无论多么先进保密技术，没有管理措施保障，也不能发挥应有的作用。但在具备了一定技术手段的前提下，管理则成为决定因素。因此，各涉密单位应当根据涉密信息系统自身的特点，制定出具有针对性和可操作性的管理措施，并严格执行。三、涉密信息系统保密管理的现状与问题随着我国综合国力不断增强和国际战略地位显著提高，我国已成为各种情报窃密的重点目标，境内外敌对势力和国外情报机构加紧对我实施全方位的信息监测和情报战略，窃密活动十分猖獗，各级党政军机关、国防军工科研生产单位作为国家秘密的主要生成区、密集区，更是成为敌对势力窃密的重点对象。但目前我国涉密信息系统建设使用单位保密管理水平比较低，与形势的发展很不适应，急需进一步加强。就拿航宇公司为例，该公司先后建立的涉密应用系统有：OA系统，CAPP系统，ERP系统，档案管理系统，PDM系统等，这些系统在建设、规划和保密管理中存在的问题主要表现在以下几个方面：(一)涉密信息系统定密的随意性、不准确问题目前该公司很多涉密信息系统定密比较随意，不准确，界定不清楚，甚至很多涉密人员都不清楚自己管理的应用系统的密级别。究其原因主要是没有严格确定定密责任，缺乏专业定密人员，定密依据不够明确和细化，定密程序不规范等。(二)涉密信息系统安全保密工作 “重技术、轻管理”的现象比较突出目前公司很多涉密信息系统的安全保密方案只注重安全保密技术建设，过于依赖技术来实现保密要求，而忽略保密管理的重要性。由于缺乏有针对性的保密管理措施进行有机整合，所有的安全保密措施只是产品的简单堆砌，使得整个安全保密方案先天性不足。众所周知，如果没有强有力的管理来支持，再好的技术防范措施都会大打折扣，再好的技术防范产品也将成为摆设，因此涉密信息系统安全保密工作的重点还是在于管理。（三）涉密信息系统建设生命周期“重建设、轻监管”通常情况下，我们将信息系统建设生命周期（SDLC）划分为五个阶段：规划需求阶段、设计开发阶段、实施阶段、运行维护阶段、废弃阶段。也就是说，系统是不断变化的，安全保密工作也应随之发生变化，各个阶段安全保密要求不同，每个阶段都应制定相应的保密制度，并落实执行、监管。由于公司很多应用项目都是和第三方公司合作，而这些公司可能存在着对系统建设生命周期各阶段的保密标准的具体要求把握不准的情况，使得工程实施各阶段没有严格执行保密要求或者与安全保密建设不同步情况时有发生，而这一块我们又缺乏最起码的监管手段，从而给系统增加了安全隐患。举个例子，在涉密信息系统经过保密审批投入运行后，由于一般都是由系统建设使用单位的信息化部门在负责日常的运行维护。但信息化部门并不清楚保密方面的要求，而保密部门又属于行政部门，不熟悉系统业务应用情况，只能制定一些原则性管理规章制度，无法对系统进行有效的保密监管，不能及时发现系统的违规行为和泄密隐患。（四)涉密信息系统安全保密工作 “重制度、轻执行”的现象比较突出航宇公司在涉密信息系统安全保密工作上制定了大量的制度、规范，并且有专门的保密网站进行宣贯，但由于保密工作的长期性和繁琐性不可避免地对日常工作造成影响，而我们某些员工认为保密工作对其日常工作造成居多不便，从而产生抵触情绪，进而对保密制度进行抵制，或者“打折处理，表面执行”，造成安全保密制度真正落实执行的少，让很多制度流于形式，流于纸面。另外，我们制定保密制度还存在一个错误观念，就是：制定保密制度是为了应付保密检查，至于落实不落实，执行不执行没有多大关系。所以，要坚决克服为了制定制度而制定制度的错误观念。制定制度不是目的，通过制定安全保密制度，并坚决落实执行来加强军工单位保密管理，保证国家秘密安全才是制定制度的根本目的。四、涉密信息系统安全保密管理原则（一）基于安全需求、适度安全的原则：由于信息泄露、滥用、非法访问或非法修改而造成的危险和损害相适应的安全。没有绝对安全的信息系统(网络)，任何安全措施都是有限度的。关键在于“实事求是”、“因地制宜”地去确定安全措施的“度”，即根据信息系统因缺乏安全性造成损害后果的严重程度和实际需求来决定采取什么样的安全措施。组织机构应根据其信息系统担负的使命，积累的信息资产的重要性，可能受到的威胁及面临的风险分析安全需求，按照信息系统等级保护要求确定相应的信息系统安全保护等级，遵从相应等级的规范要求，从全局上恰当地平衡安全投入与效果；（二）最小化授权以及分权和授权相结合原则：涉密信息系统的建设规模要最小化，非工作所必需的单位和岗位，不得建设可登陆涉密信息系统的终端；其次，涉密信息系统中涉密信息的访问权限要最小化，非工作必需知悉的人员，不得具有关涉密信息的访问权限。分权和授权原则是指对特定职能或责任领域的管理功能实施分离、独立审计等实行分权，避免权力过分集中所带来的隐患，以减小未授权的修改或滥用系统资源的机会。任何实体（如用户、管理员、进程、应用或系统）仅享有该实体需要完成其任务所必须的权限，不应享有任何多余权限；（三）同步建设、严格把关的原则：涉密信息系统的建设必须要与安全保密设施的建设同步规