企业信息安全对策研究

《企业信息安全对策研究》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、企业信息安全对策研究曾忠禄%1.严峻的信息安全问题企业的信息安全问题涉及多方面的问题，H前绘受人关注的是网络信息安全、商业秘密安全以及公开信息安全问题。耳联网的发展使企业管理逐渐电子化，但同时也使企业在网络信息安全方面面临严峻的挑战。耳联网为入侵者提供了进入我们的计算机系统的机会。入侵者可以破坏我们的数据，修改我们的软件，截获我们的电子邮件，偷窃资料，关闭主机或网络等。去年美国企业界报告的对计算机系统的入侵高达53000起，比2000年增加了150%。由丁•许多企业为了自C的形彖不愿意报告入侵事件，上述数字只占实际

2、发生的1/3（参见农1）。我国利用计算机网络进行各类违法犯罪的行为最近儿年每年以30%的速度增长,仅玄年就破获了黑客案件数百起。今年春天，冇人利用从新闻组中查到的普通技术手段，轻而易举地从多个商业站点窃取到8力个信用卡号和密码，并标价26力元出售。两年前，上海一“电脑黑客”入侵上海交易所某席位，盗卖了价值2.6亿元的股票，这是我国绘大的-•起电子犯罪事件。（曾华国）。网络信息犯罪给企业造成的损失比•般犯罪给企业造成的损失更人，破案更难。银行偷窃每-•作案平均损失金额为&5万美元，破案率为80%,网络信息偷窃平均损失

3、金额为80万美元,破案率只有2%。（Kulczycki,1997）。许多技术管理经理认为,今天的网络不可能是不可渗透的，任何新的安全技术都会很快过时，黑客很快就能发现绕过它们的办法。商业秘密的违法行为也仃益増加。美国产业安全学会（ASIS）1992年对该学会的5000个成员进行问卷调查以了解这种行为给企业带來的损失。有246家公司做了回答。在246家公司中，共发生了589个技术、商业秘密或经莒计划被非法窃取或复制的爭件。该项研究还显示：?自1985年以来，偷窃商业秘密增加了260%。?被偷窃最多的是客户名单。?在所

4、有的偷窃中，有58%涉及现在或过去的雇员。?有30%的偷窃与国外机构有关，这一数字是1985年的2倍。?冇21%的偷窃是发生在国外，其中37%涉及外籍员工。?589件失窃案中，33%是实际被窃，43%是未经授权的复制，只有不到8%的失窃涉及收买。商业秘密的泄露或被盗给企业造成的损失有多人？如果某项技术被盗，其直接经济损失町以根据成本或市场价值计算，比如河南一中南机械厂的技术资料被非法复制，该资料的购买成本是117万元；某研究所的系列测桩仪的全套技术被盗，测算的直接经济损失达300万元。冇些商业秘密泄露造成的损失可以

5、通过销售收入变化计算,如中国青年旅行社1994年状告中国旅行社的起诉书称中国旅行社以引诱等手段挖走其业务骨干，带走客户名单，导致其国外客户在一周时间内取消了原定812月份的旅行团151个，占原定I才I队总数的1/3,减少计划收入人民币2196.4万元，利润损失356万元。2000年广州零售巨头好乂多控告另一家零售巨头万客隆非法获取其客户数据，索赔金额为4200万。但许多商业秘密是无形资产，其损失的价值很难计算。如果说商业秘密的保护对企业是-项严峻的挑战，那么，竟争对手通过公开渠道以合法手段收集企业情报则给企业的倍息

6、安全带來更人的问题。因为企业要保护这方而的信息更加闲难。最近儿年來，随着竞争激化和国外竞争情报方法的传入，我国企业间的情报收集活动迅速增加。比如广州出现了专门收集竞争对手销售价格“007”，一些电讯公司、家电企业都设立了竞争情报项H，专门收集竞争对手的情报。通过对公开渠道获得的信息进行分析，竞争对手nJ以获得需耍的信息的90%以上。竞争对手的惜报项IT可能使竟争对手提前把产品上市，或以更低的价格提供在企业产品基础上的改进产品，或者迫使企业放弃本來是领先的但现在却过时了的产品。企业因此遭受的玄接后果是市场份额降低、利

7、润减少、失去生意机会等等。碰到安全问题的公司％每一公司的经济损失（千元）病毒94243.8内部滥用互联网91357.2内部非授权使用网络49275.6系统侵入40454失去服务功能36122.4偷窃专有信息264447.9破坏数据网络18199.4财务诈骗124420.7电信诈骗10502.3表12001年344家美国公司的安全问题调查资料来源：Computerworld,2002.1,CSVFBI计算机犯罪和安全调杳，2001二、设立首席信息长官为了保证自己的信息安全，许多跨国公司设立了首席信息长官一职，专门负责

8、企业的信息安全工作。传统上企业把信息安全看成是技术部门的事，因为般企业都认为保护商业秘密是技术问题而不是商业问题。但事实上倍息安全不仅是技术问题。公司的各种倍息资产并不具有同等的价值，一•些比另外-•些更需要保护。具体哪些更重要，需要优先保护，哪些可以不保护，只冇业务经理才能回答。如何从战略上、业务上和组织上采取保护措施，也不是一般技术人员可以解决的。比如，