连载三-web环境下的mes系统信息安全的研究_信息安全_基础信息化_952

《连载三-web环境下的mes系统信息安全的研究_信息安全_基础信息化_952》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、连载三:Web环境下的MES系统信息安全的研究_信息安全_基础信息化　　第3章MES系统的网络安全模型设计　　3.1MES系统信息交流中的安全策略　　根据上章提到的MES系统软件安全架构的网络要求，以及入侵检测和控制要求，本章将讨论与安全架构相适应的安全策略。虽然计算机系统和网络总是相对不安全的，我们通过技术所能实现的内容也是有限的。根据MES实施的经验总结来看，光靠计算机系统、应用程序、加密解密技术和用户的参与和维护还不能确保MES系统的安全运行，还必须制定一系列的系统安全运行策略和机制来保障系统的安全。　　如果将MES系统的安全防范划分为硬件、软件、数据、人员和过程(运行和维护过程)几

2、个组成部分。那么，对于硬件可以通过防火墙和防物理损伤等措施加以防范；对于软件可以通过加密和提高软件质量来加以防范；对于数据可以通过数据分类和加密来防范；对于人员可以通过培训来提高人员素质和能力；对于过程则需要制订系统安全策略和机制来约束。　　依据国际信息安全标准构架的描述和国内外信息安全系统的策略，结合MES系统实施和维护的经验，给出MES系统软件运行和维护应该具有的安全策略：　　(1)安全政策。我们制定MES系统的运行安全方针，为安全的MES系统的开发研制提供了技术支持，为系统安全的建设和管理提供了技术指导，是MES系统安全保护工作的基础。　　(2)组织安全。建立MES系统信息安全基础设

3、施，来管理组织范围内的系统安全；维持被第三方所访问的组织的信息处理设施和系统资产的安全，以及当信息处理外包给其他组织时，维护系统消息的安全。　　(3)人员安全。注意工作职责定义和人力资源中的安全，以减少人为差错、盗窃、欺诈或误用设施的风险；做好用户培训，确保用户知道信息安全威胁和事务，并准备好在其正常工作过程中支持组织的安全政策；制定对安全事故和故障的响应流程，使安全事故和故障的损害减到最小，并监视事故和从事故中学习。　　(4)物理和环境的安全。定义安全区域，以避免对业务办公场所和信息的未授权访问、损坏和干扰；保护设备的安全，防止信息资产的丢失、损坏或泄漏和业务活动的中断；同时还要做好一般

4、控制，以防止信息和信息处理设施的泄漏或盗窃。　　(5)资产的分类与控制安全。核查所有系统信息资产，以维护组织资产的适当保护，并做好信息分类，确保信息资产受到适当程度的保护。　　(6)通信和操作管理安全。制定操作规程和职责，确保信息处理设施的正确和安全操作；建立系统规划和验收准则，将系统故障的风险减低到最小；防范恶意软件，保护软件和信息的完整性；建立内务规程，以维护信息处理和通信服务的完整性和可用性；确保信息在网络中的安全，以及保护其支持基础设施；建立媒体处置和安全的规程，防止资产损坏和业务活动的中断；防止信息和软件在组织之间交换时丢失、修改或误用。　　(7)访问控制安全。制定访问控制的业务

5、要求，以控制对信息的访问；建立全面的用户访问管理，避免信息系统的未授权访问：让用户了解他对维护有效访问控制的职责，防止未授权用户的访问；对网络访问加以控制，保护网络服务；建立操作系统级的访问控制，防止对计算机的未授权访问；建立应用访问控制，防止未授权用户访问保存在信息系统中的信息；监视系统访问和使用，检测未授权的活动；当使用移动计算和远程工作时，也要确保信息安全。　　(8)系统开发和维护安全。标识系统的安全要求，确保安全被构建在信息系统内；控制应用系统的安全，防止应用系统中用户数据的丢失、被修改或误用；使用密码控制，保护信息的保密性、真实性或完整性；控制对系统文件的访问，确保按安全方式进行

6、IT项目和支持活动；严格控制开发和支持过程，维护应用系统软件和信息的安全。　　(9)业务持续性管理安全。目的为了减少业务活动中的运行中断，使关键业务过程免受主要故障或天灾的影响。　　(10)合法性。MES系统软件的设计、操作、使用和管理要符合法律要求，避免任何犯罪、违反民法、违背法规、规章或合约义务以及任何安全要求；定期审查安全政策和技术符合性，确保系统符合组织安全政策和标准；还要控制系统审核，使系统审核过程的效力最大化、干扰最小化。　　结合MES系统软件运行和维护的实践经验，在MES系统使用和维护过程中还需要做好几点日常的维护工作和系统维护策略：　　(1)系统软件的升级和维护。　　对于操

7、作系统和数据库管理系统，要有专人定期进行软件升级和系统维护，防止隐患转化成故障。　　(2)防火墙的升级和维护。　　所有工作客户端需要有单机的软件防火墙，它不仅可以防止计算机病毒的破坏，可以防止本机被侵入，还能纪录连接被扫描了多少次，有利于系统的安全防护，并且要定期升级和维护。　　(3)应用软件的保管、安装和维护。　　由专人妥善保管客户端软件和服务器端软件，由专人负责客户软件的安全和升级维护工作，尽量防止应用软件的扩散和流