企业信息安全管理中的失误因素浅析

《企业信息安全管理中的失误因素浅析》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、企业信息安全管理中的失误因素浅析　　企业信息安全组织架构的建立是围绕企业信息安全管理的战略目标，以下是小编搜集整理的一篇关于企业信息安全管理因素探究的论文范文，欢迎阅读查看。　　现代社会飞速发展的计算机及网络技术，尤其是以智能手机为载体的移动互联网的迅猛发展，为社会大众带来便利的同时，信息的安全逐渐摆在人们面前，各种软件账号和密码、操作系统漏洞、地理位置信息、病毒木马等等，都对当今企业的信息工作带来巨大挑战。为提升全集团信息安全防护管理水平，根据《建筑施工企业信息化评价标准》等国家标准和总公司相关信息安

2、全文件要求，我单位信息安全管理工作必须按计划有序开展。　　1企业信息安全管理的失误因素分析　　1.1信息安全组织临时化　　通常，企业只有在发生了信息泄露、病毒攻击、系统破坏等信息安全事件时，才会临时从信息技术部和业务部门抽调人手处理和解决信息安全事件。出现新的信息安全要求时，才会临时组建项目小组，根据新的信息安全要求制定解决方案并实施计划，项目完成后，临时小组就会解散，没有人会继续跟进和执行解决方案。由于没有定期的信息安全评估，安全计划不断地重复开始和结束，带来大量的人财物重复投入，这将导致安全计划成本

3、不断增加，企业的工作效率不断降低，信息安全防护也未得到有效提升。　　1.2员工上网无限制　　虽然企业为员工上网提供了用户名及密码，并且对其登录的网站进行了监测，但是员工在工作时间还是可以无设防地利用外网进行网页游览、网络社交等行为，并且使用一些网站的免费邮箱随意地接收和发送电子邮件，这些给黑客、病毒、钓鱼软件等创造了对企业内部网络攻击的机会。于是，员工在不了解原因的情况下，使得企业的信息被泄露或者内部网络瘫痪，从而影响企业的正常工作，造成企业资产的损失。　　1.3个人移动设备(BYOD)使用泛滥　　在企

4、业的办公场合，员工会携带个人移动设备(BYOD)如笔记本电脑、平板电脑、智能手机、移动硬盘等进行办公。企业员工可以较为随意地使用这些移动存储设备对内部文件进行拷贝，并且可以使用移动设备接入企业内网的无线Wi-Fi，并拥有一定程度的内网数据读取权限，这样做虽然节约了企业的办公成本，提高了办公的效率，但是也增加了企业内网病毒感染及遭受黑客恶意入侵的风险。　　1.4信息安全防护水平有限　　出于性能、技术等因素的考虑，加之国内自主研发的信息安全产品较少，目前进口的信息安全产品受到许多企业的广泛采用。尽管这些企业

5、的信息安全需求以此得到了满足，但近几年来，进口产品设备故障的频繁发生也对企业的业务带来了不同程度的影响。同时，进口信息安全产品已经占据了这些企业信息系统的关键节点，这使得企业的商业机密时刻处于高危状态。不仅如此，部分企业仍旧停留在使用免费的个人版杀毒软件阶段，而这些软件不仅无法解决病毒交叉感染的问题，也没有统一的管理平台对企业内网的安全系统进行统一的升级与维护。　　1.5信息安全事件处理不及时　　企业在发生信息安全事件时，即使有相关的信息安全管理产品，但无法迅速定位安全事件，更无法快速进行安全事件响应处

6、理，常处于混乱、无序的运维管理状态。由于企业的安全管理人员无法全面了解整个企业网络中正在发生的内部越权访问和外部攻击，出现问题时，他们多表现得无从下手或者手忙脚乱。而且，企业各部门各自为政，对发生信息安全事件无法进行统一规范的快速处理。　　2改进企业信息安全管理的对策　　2.1建立健全的信息安全组织层级结构　　企业信息安全组织架构的建立是围绕企业信息安全管理的战略目标，对企业的信息资源、人力资源、安全技术产品等进行合理安排和配置，构成相互协作的有机整体，使企业的信息安全活动协调有效地运行。企业通过建立多

7、层次、跨部门的信息安全决策委员会、信息安全工作部、信息安全执行部层级结构，不仅能在企业中形成一张网，覆盖企业的各个部门，有利于信息安全措施的实施和针对信息安全事件的快速响应，而且还能为后续建立信息安全管理体系提供组织上的保证。信息安全决策委员会主要负责制定信息安全制度和策略、明确各部门信息安全职责、协调各部门实施信息安全控制措施以及信息安全活动的实施等。　　2.2加强人员教育培训和规范管理　　信息安全最大的威胁不是来自于企业外部的攻击或是企业信息安全技术的缺陷，而是企业人员缺乏信息安全意识。为了能够有效

8、地提高企业员工的信息安全意识，企业需要对员工进行完善的信息安全教育培训，这不仅能提高员工的信息安全保护技能，还能更好地保护企业的信息安全。企业在制定信息安全教育培训内容时，可以根据员工在企业中所处的职位高低和工作性质的不同有针对性地制定。对于企业管理者而言，教育培训以信息安全核心知识、风险管理、信息安全政策等为主;企业的信息技术人员，则是以信息安全技术教育培训为主;一般员工结合所在部门的业务特点以信息安全意识培训为主。除了对企业的人员进行教