中小型IT公司的系统安全策略和部署实践

论文摘要

在最近几十年中,企业对信息安全的需求日益增强。特别是随着网络技术和Internet的迅速发展,企业对信息安全的认识逐步从单纯的物理信息载体的安全管理转向到全方位的信息安全管理。以网络安全和软件安全为代表的电子信息安全,在现代企业信息安全管理中的重要性越来越显著。网络技术和软件的不断发展,带给人们生活很多便利,但同时,计算机和网络带来的安全问题也日益突出。企业必须不断加强自身信息安全建设,特别是加强对网络和电子信息安全体系的防护。我国的中小型企业,特别是中小型IT企业,其主要特点是资金实力相对薄弱,很多中小型IT企业的核心竞争力在于少数的创意性专利产品。这些企业一方面希望尽可能的保护自己的专有资源和核心资源；另一方面,由于经验、意识或是资金问题,对IT安全保障工作投入不够,没有整体的信息安全规划和建设,在安全管理方面随意性较强,企业的信息安全存在极大的隐患。本文基于国际安全标准和中小型企业的特点,分析当今企业面临的典型安全威胁,提出风险管理为核心的中小型IT企业安全管理机制,并讨论详细的安全策略和技术作为实施辅助,总结出了一套面向中小型IT企业的安全建设方案。其中一些重要的思想包括：对公司资产进行安全级别划分,集中IT力量保护最重要的资产；安全制度的实施必须以严格的执行和监督为辅助；充分利用开源和免费的安全工具达到节约开支的目的；良好的物理架构和IT资产管理是实施软件管理的基础；主动防御和监控系统的部署,虚拟化；通过自主开发的系统脚本加强自动化等等。这套信息安全管理方案,将给企业安全管理者提供一个比较清晰的安全管理框架。企业可以结合自身业务需求和安全现状,进行有效的风险控制,最终完成一个适于自己企业的安全制度、流程和实施方案。

论文目录

• 摘要
• ABSTRACT
• 第1章 引言
• 1.1 信息安全国内外发展现状
• 1.2 企业信息安全研究现状
• 1.3 论文主要内容和章节安排
• 第2章 信息安全标准分析和安全管理理论
• 2.1 ISO 27001标准的核心思想
• 2.2 ISO 27001的实施方案
• 2.3 ISO 27001的问题和思考
• 第3章 中小型IT公司的信息安全现状研究
• 3.1 中小型IT公司的特点
• 3.2 A公司早期信息安全管理情况
• 3.3 A公司以往发生过的典型信息安全问题
• 第4章 A公司信息安全风险分析和安全管理策略
• 4.1 建设ISMS体系
• 4.2 确定阶段性安全目标
• 4.3 实施风险管理
• 4.4 A公司的安全规定和流程
• 4.5 ISMS系统自身的审计和升级
• 4.6 中小型IT公司信息安全管理策略
• 第5章 A公司的信息安全部署实践
• 5.1 网络安全实施技术
• 5.2 其他安全实施
• 5.3 信息安全实施的效果
• 第6章 总结
• 6.1 结论
• 6.2 问题和展望
• 参考文献
• 致谢