个人信息网络安全保护.docVIP

个人信息网络安全保护 　　随着计算机及网络技术的飞速发展，拥有大量个人信息的公共事业部门对个人信息的处理与传递更加方便和快捷了，这类系统注①需要在互联网环境下实时地进行数据传递以实现为用户提供服务的目的。在为用户提供可查询的信息服务和数据交流的同时，大量的个人信息随时面临着被泄露或被篡改的危险。就当今的个人信息管理者注②而言，这种以计算机网络为载体、以电子介质为存储方式管理的个人信息比传统的无网络载体、以纸介质为存储方式具有更大的挑战性，面临着更大的个人信息安全风险。近年来，国内外不断发生的个人信息泄露事件，对公民的个人隐私安全造成了极大的威胁甚至使其蒙受了巨大的财产损失，引发了公民对个人信息安全的担忧以及对个人信息管理者的质疑，代表公民愿望的新闻媒体对个人信息保护的要求和呼声也愈加强烈。因此，建设安全的网络运行环境以保证公民个人信息的安全已成为个人信息管理者当前亟待解决的问题。 　　确系统的安全隐患 　　通常，这类系统是由内网和外网构成的，内网构造了一个完整的业务处理环境，运行和处理个人信息核心业务；外网则为利用互联网登录的用户提供了联接、使用本系统的服务窗口。由于互联网使用的自由性、广泛性以及黑客攻击的频繁性，组织内部注③保管的个人信息随时面临着非正常用户的非授权访问。信息被篡改、泄漏甚至丢失等安全威胁，要达到系统安全、可靠、稳定的目标，首先应通过风险分析明确系统的安全隐患，为最终规划系统的网络安全解决方案提供可靠的依据。 　　由于这类系统构造的庞大性和复杂性，为便于分析，我们一般采用系统工程的方法将系统划分为物理层、网络层、系统层、应用层和管理五个部分来进行分析，各部分存在的主要安全隐患是： 　　物理层安全隐患：物理层的安全隐患主要是网络周边环境和物理特性导致的网络、线路和设备的不可用(如设备被盗、被毁坏、意外故障等)，进而造成网络系统的瘫痪，它是网络安全的前提。 　　网络层安全隐患：网络层的安全隐患主要是数据传输中的风险(如：信息的泄漏、丢失、伪造、篡改等攻击)、网络边界风险、???务器安全风险、用户安全风险等。 　　系统层安全隐患：系统层的安全隐患主要是来自于信息系统采用的操作系统、数据库及相关商用产品的安全漏洞和病毒威胁。 　　应用层安全隐患：应用层的安全隐患主要是身份认证漏洞和非授权访问，提供信息数据服务的服务器因缺乏安全保护，可能会被非法用户直接访问网络资源，造成信息外泄。 　　管理的安全隐患：管理是网络安全中最重要的一环，管理制度不健全或缺乏可操作性、各岗位责权不明或管理混乱等都可能造成安全隐患，这些缺陷使得系统在受到安全威胁的情况下不能实时地检测、监控、报告、预警，并可能导致事故发生后，缺乏对系统运行的可控性和可审计性。 　　建系统的安全保障体系 　　从个人信息安全隐患的分析中可以看出：系统面临着多层次、多形态的安全隐患，解决系统的安全问题，只依靠某个单一的或孤立的安全技术手段是远远不够的，不仅需要有完善的技术和可靠的设备做支撑，同样需要有与之配套的安全管理制度作保障。因此，组织内部应对系统的过程、策略、标准、监督、法规、技术进行综合后，构建一套完整可行的系统安全保障体系，如下图所示的《系统安全保障体系框架》。 　　“基础安全服务设施”、“内部安全管理保障机制”、“安全技术支撑平台”、“紧急事件处理与恢复机制”等组成了《系统安全保障体系框架》，各组成部分是相互制约的。《系统安全保障体系框架》表明：完善的“内部安全管理保障机制”是实现系统安全之根本；而“基础安全服务设施”、“安全技术支撑平台”是相互依赖的，只有实现了下层的安全，才能在真正意义上保证上层的安全；“紧急事件处理与恢复机制”是当系统一旦发生紧急事件时，为保障系统尽快恢复运行并将事故损失降到最低的保障预案。 　　划系统的安全保护策略 　　从以上的分析中我们知道，控制、管理网络系统和应用操作过程是实现系统安全的重要途径，任何组织内部的系统安全都是制度和技术的结合，要保证系统的个人信息安全，必须根据安全风险分析的结果，从安全管理、安全技术两大方面规划系统的安全保护策略，以实现个人信息在网络环境下的可靠性、必威体育官网网址性、完整性、可用性、可核查性和可控性。 　　(一)安全管理 　　安全管理制度是各类安全保障措施的前提，也是其它安全保障措施实施的基础。安全管理保障体系是以文档化的方式管理系统中各种角色的活动，以组织内部的政策和制度为准则，规范操作流程，以工作日志等手段记录和审计操作过程。它主要包括： 　　1　组织管理 　　应识别组织内部的安全风险，制定对应的安全制度，明确信息安全事故报告流程，确保使用持续有效的方法管理信息安全事故，建立信息安全监查工作制度，发现问题及时改进。 　　2　员工管理 　　员工是系统安全的操作者，因而是系统安全的管理对象，要提高员工的信