政府部门网络安全实施方案

‘壹’ 当前网络安全的情况怎样有什么样的对策

网络时代

不同的人往往从不同的角度将某个时期冠之以“XX时代”，用来强调某些事物或某些
人对社会的重要影响。这里所说的网络是指以计算机和其他电信设备为用户终端，以现代
综合电信网为传输链路，以交换设备和处理设备为结点，以多种多样的信息为载荷的集合
。这种网络对当代社会的经济、政治、文化、军事和人们的生活等方面均产生了重大的影
响，所以越来越多的人认为我们的社会已经进入“网络时代”。

可从以下数据和事例中看出网络对社会产生的重大影响：

全球的Internet用户已达5亿多户，中国则达4500多万户，而在Internet网之外还有相
当数量的专用网用户。

全球已发现的计算机病毒超过4．5万种，每年造成的经济损失超过1．6万亿美元。

中国青年报2002年9月2日有两篇关于网络的报道。一篇是说张小姐8月24日在云南丽江
乘坐的旅游车翻入山谷，张小姐第三腰椎压缩性骨折，如不及时救治可能终身残疾，其远
在深圳的朋友上网求援，获得民航的包机专运，使病人26日就转至广州中山附二医院，27
日及时进行了手术，网络使她赢得了抢救的时间；另一篇是说7月23日11：15至12：30首都
国际机场因为网络故障而“瘫痪”使60个航班和6000多名旅客的飞行被延误，还提到7月5
日深圳证券交易所因为网络故障而关停数小时的严重事故。

在网络时代，网络给社会带来了前所未有的机遇和挑战。网络的正常运行为社会带来
了巨大的进步和财富，而网络的不安全性也会造成意想不到的灾难和损失。网络正在加速
扩大覆盖范围、加速渗透到各个领域、加速改变传统规则，我们只有努力提高网络的安全
性，趋利避害，才能与网络时代同步前进。

关于网络安全的主要观点

网络安全的目标

保障网络的物理安全，对网络施以物理保护，防止遭到破坏。

保障网络的逻辑安全，即使用逻辑隔离以保证信息的机密性(confidentiality)、完整
性(integrity)、可用性(availability)、可控制性(controllability)、真实性(authent
icity)和不可抵赖性(non-repudiation)。机密性保证信息不会被未经授权的人所解读；完
整性保证信息不会被增、删、篡改和破坏；可用性保证信息确实为授权使用者正常运行；
可控性保证对网络和信息可实施安全监控；真实性保证接收到的信息确实是发信方发的而
不是假冒的；不可抵赖性保证发信方无法否认他发给收信方的信息，并可通过数字取证、
证据保全，使公证方和仲裁方方便介入，用法律管理网络。

保障网络的管理安全，首先是要选用可信任的人，其次是管理部门和管理人员要有足
够的安全常识，制订相应的法律、规章、制度，加强行政管理，预防为主。

安全不是绝对的

安全是一个与风险密切相关的概念，只有在一定风险程度范围内的安全，而没有绝对
的安全。

网络共享和网络威胁是一对公生体，网络开放、共享的程度越高，网络面临的威胁就
越高。或者说，网络的可用性越高，网络的安全性就越低。网络存在安全漏洞是难免的，
网络的被攻击是不可避免的，只是要把被攻破的几率尽可能降低而已。

网络信息战已现端倪

网络信息战是指在网络里为争夺制信息权而进行的军事争斗，目的是瘫痪敌方的指挥
自动化系统。

网络信息战的作战形式包括指挥控制战、电子战、情报战、心理战、黑客战等。

1991年海湾战争中，美军第一次将计算机病毒用于实战并获得了胜利，网络信息战开
始应用于战争；此后，在南斯拉夫的科索沃战争、俄罗斯的车臣战争，2001年以中美战机
相撞事件为导火索出现的中美黑客大战，2001年发生在美国的“9．11”恐怖袭击中，都有
网络信息战的影子。

许多军事专家已在潜心研究网络信息战的方方面面，甚至将网络信息攻击看作是现代
战争的杀手锏。可以设想，在不久的将来，军队编制中出现网络战分队甚至网军都是完全
可能的。

密码技术是网络信息安全最核心最基本的技术

密码的主要作用是将信息的密级属性改变成公开属性，使那些带密级的信息可以在公
共网络中存放、传输和交换。

密码技术可用于信息加密、信息认证、数字签名、授权控制、加密隧道和密钥管理等
方面，使截获信息的人无法凭借现阶段可获得的计算资源进行破译。

秘密全部寓于密钥之中，这是编密者的基本信条，截获者可以截取密文，但只要拿不
到密钥，就应无法破译。

编密有严格的程序和数学算法，而破译则要靠丰富的经验、广泛的联想和恰当的技巧
了。世界上没有不可破译的密码，而往往要受物力、财力、时间、条件的制约，“两军相
逢”只有智者胜了。

简单的加密只能麻痹自己，方便敌人，还不如不加密。

网络安全不能一劳永逸

网络安全和网络威胁是一对矛盾，此消彼长，并在动态中发展，在斗争中前进。

网络安全措施不是万能的，但是没有网络安全措施是万万不能的。

网络安全的重点在于提高网络的顽存性，允许某些非法入侵，允许部分组件受损、允
许某些部件的不可靠，但网络仍能在结构上合理配置资源和资源重组，仍可完成主要任务
。

网络安全要在定期的测评中运用最新技术成果不断改进，不能一劳永逸。

网络安全的投资

网络安全产业包括安全设备和安全服务两部分。安全设备包括防火墙、杀毒软件、密
码机、访问控制、安全认证、加密隧道的构筑等；安全服务包括安全咨询、安全风险评估
、项目实施、整体解决方案、安全培训、售后技术支援、产品更新换代等。

国际上网络安全产业的投资大约占网络产业的10%—15%，其中安全设备和安全服务的
投资比例接近于1：1，而且随着时间的推移安全服务的投资比例还会增大。专家们预计不
久的将来就会出现“网上110”、“网上警察”和“网上急救队”了。

做网络安全的理性用户

理性用户应该遵纪守法，贯彻执行相关的网络安全技术标准、规范；听取专家咨询建
议，制订与网络发展协调的安全方案；精挑细选，掌握产品的真实性能指标；关注最新技
术，动态调整安全方案，备好安全应急措施。

网络安全的基本对策

建立网络安全的体系结构

网络安全的体系结构是一个理论基础，可以使网络安全建设纲举目张、有条不紊、全
面周到、相对完善。

国外的一些政府部门、研究机构和公司已经就网络安全体系结构提出了一些模型，赵
战先生在其基础上提出了适合中国国情的模型，即WPDRRC(预警、保护、检测、反应、恢复
和反击)。预警是指预测网络可能受到的攻击，评估面临的风险，为安全决策提供依据；保
护是指依据不同等级的安全要求，采用不同的保护等级；检测是指动态、实时地查明网络
所受到的威胁性质和程度；反应是指对于危及安全的事件及时做出相应的处理，把危害减
至最低限度；恢复是指采用容错、冗余、替换、修复和一致性保证等技术使网络迅速恢复
正常工作；反击是指具有犯罪取证能力和打击手段。

专网与互联网的隔离

2002年8月5日国家信息化办公室发文要求、“电子政务网络由政务内网和政外网构成
，两网之间有机隔离，政务外网与互联网之间逻辑隔离。”其他部门和单位也有与此类似
的要求。

物理隔离，就是两个网络之间不存在数据流，也不存在可以共享的存储和信道。物理
隔离的实施方案有：支持双主机、单终端的终端切换方案；双硬盘、双网卡的物理隔离方
案；具有双网隔离功能的隔离网卡方案；外部网使用单独硬盘，内部网使用服务器端统一
存储的隔离方案；后来又出现了双主板、单CPU、通过硬件体系结构实现隔离的方案。用户
可以灵活设计自己的物理隔离方案，但它仍然无法抵御来自内部的无意疏忽和有意攻击。

逻辑隔离，就是两个网络之间只允许合法的数据交流，而不允许非法的数据流进入专
网。逻辑隔离可使用防火墙、网闸等来实现，例如校园网与互联网通过防火墙来互联，防
火墙可将互联网上的色情、恐怖、邪教宣传等信息拒之于校园网之外。但是防火墙是防外
不防内的，防火墙的标签区分能力仍有大量的盲点，防火墙自身往往也存在漏洞使攻击者
有隙而入，防火墙的过滤规则如果定义不恰当也会有“漏网之鱼”，防火墙若不能适应新
的安全威胁即时升级和更新也将有名无实。

另外需要指出的是，为了安全关闭网络是因噎废食；为了安全而与外部网物理隔绝，
会使内部网变成“信息孤岛”，大大降低使用效能；采用相对完善的安全方案，使内部网
与外部网(包括互联网)安全互联，使专网用户也能共享互联网的丰富资源，这才是网络的
“大禹治水”之道，网络的发展是硬道理

防火墙技术

防火墙是一种按某种规则对专网和互联网，或对互联网的一部分和其余部分之间的信
息交换进行有条件的控制(包括隔离)，从而阻断不希望发生的网络间通信的系统。

防火墙可以用硬件、也可以用软件、或用硬软件共同来实现。防火墙按应用场合可分
为企业防火墙和个人防火墙，按技术原理可分为包过滤型和应用网关型，按工作模式可分
为网桥模式和路由模式。

防火墙可以为专网加强访问控制、提供信息过滤、应用层的专用代理、日志分析统计
报告、对用户进行“钥匙口令+防火墙一次性口令”的双因于认证等功能。

防火墙的介入不应过多影响网络的效能，正常工作时应能阻挡或捕捉到非法闯入者，
特别是一旦防火墙被攻破时应能重新启动并恢复到正常工作状态，把对网络的破坏降至最
低限度。

访问控制技术

访问控制是一种确定进入网络的合法用户对哪些网络资源(如内存、I／0、CPU、数据
库等)享有何种授权并可进行何种访问(如读、写、运行等)的机制。

访问控制可分为身份访问控制、内容访问控制、规则访问控制、环境访问控制、数据
标签等类型。

访问控制的常用技术有通行字、权限标记、安全标记、访问控制表和矩阵、访问持续
时间限制等。

访问控制必须遵从最小特权原则，即用户在其合法的访问授权之外而无其他的访问特
权，以保证有效防止网络因超权限访问而造成的损失。

值得指出的是，访问控制的强度并不是很高的，也不会是绝对安全的，例如通行字一
般都很短且带有一些人所共知的特征，被猜中或攻破的可能性是较大的。

防病毒技术

计算机病毒是一种攻击性程序，它可以修改其他程序或将自身的拷贝插入其他程序中
来感染计算机网络，病毒通常都具有破坏性作用，并通过网上信息交流而迅速传播，进一
步破坏网上信息的完善性。

计算机病毒的特点是具有非授权的可执行性、隐蔽性好、感染性强、潜伏得深、破坏
性广泛、有条件地触发而发作、新病毒层出不穷等。

计算机病毒的危害多种多样。病毒程序会消耗资源使网络速度变慢；病毒会干扰、改
变用户终端的图像或声音，使用户无法正常工作：有些病毒还会破坏文件、存储器、软件
和硬件，使部分网络瘫痪；有些病毒会在硬盘上设置远程共享区，形成后门，为黑客大开
方便之门。

防病毒技术包括四个方面：病毒的检测(查毒)，并可自动报警和拦截；病毒的清除(杀
毒)，清除力求干净彻底、不伤害网络；网络的修复，依据相关线索抢救丢失的数据，使网
络恢复正常工作；病毒的预防(免疫)，通常利用软件补丁不断弥补网络漏洞，以亡羊补牢
，同时要对杀毒软件及时升级换代，保持其足够的“杀伤力”。

网络病毒千奇百怪，分类方法繁多。按病毒的算法分类则有伴随性病毒(最早出现的一
种病毒)，“蠕虫”型病毒(如1998年的莫里斯病毒)、寄生型病毒(新发现的病毒基本上都
是此类)，如幽灵病毒、装甲病毒、行骗病毒、慢效病毒、轻微破坏病毒、噬菌体病毒、反
反病毒以及综合性病毒等；而广大网民容易理解的还是按应用场合分类为互联网病毒、电
子邮件病毒、宏病毒、Windows病毒、DOS病毒、黑客程序以及其它应用性病毒。道高一尺
，魔高一丈，病毒功防战中只能是“勇敢+智慧+坚韧”的一方取胜了。

入侵检测技术

入侵检测被认为是继防火墙、信息加密之后的新一代网络安全技术。入侵检测是在指
定的网段上(例如在防火墙内)及早发现具有入侵特征的网络连接，并予以即时地报警、切
断连接或其它处置。

入侵检测与防火墙所监视的入侵特征不同。防火墙监视的是数据流的结构性特征，如
源地址、目的地址和端口号等，这些特征一定会表示在数据流的特定位置上；而入侵检测
监视的是体现在数据内容中的攻击特征，如数据流中出现大量连续的Nop填充码，往往是利
用缓；中区溢出漏洞的攻击程序所制，它们使数据流的内容发生了改变。但是还有一些入
侵不会导致数据流出现攻击特征字符串，而是体现为一种异常的群体行为模式，必须靠分
布式入侵检测系统才能综合分析而发现。

入侵检测的难点在于：检测耗费时间加响应耗费时间之和必须小于攻击耗费时间，这
个时间随着计算机速度的提高往往在μs级甚至于ns级；攻击特征成千上万，既有已知的还
有未知的，入侵检测的算法也要随之而改进：网络宽带越来越大，网上数据流量已是天量
海量，检测如此巨大的数据流真如“大海捞针”；入侵检测要对非法入侵发现得及时、抓
住特征、防止销毁证据并做出反击，是一场不折不扣的高科技战争。

虚拟安全专网(VPN)

VPN是指业务提供商利用公众网(如互联网)将多个用户子网连接成一个专用网，VPN是
一个逻辑网络而非物理网络，它既拥有公众网的丰富资源而又拥有专用网的安全性和灵活
性。

目前的公众网都是基于IP网间协议的，为了解决IP数据流的安全问题，IETF(因特网工
程工作组)制订了一个Ipsec(IP安全标准)。Ipsec采用两种安全机制：一个是AH(IP鉴别头
)，它对IP数据进行强密码校验，进而提供数据完整性鉴别和源鉴别；另一个是ESP(IP数据
封装安全净荷)，它通过加密IP数据来提供数据完整性和保密性，ESP又分为隧道加密方式
(即对整个IP数据全加密)和IP数据净荷加密方式两类。

Ipsec是一种端到端的安全机制，Ipsec工作于互联网协议的第三层即网间协议层，因
此位于第四层的TCP协议(即传送控制协议)不用任何改变即可工作在Ipsec之上。

其它网络安全对策

除了上述几条外，网络安全方面还应采用以下一些对策：

适当强度的密码算法，密码始终是网络安全的基石，也是一切安全对策的核心；

采用安全性好的操作系统；

采用电磁防护措施，一方面要防止有用信息的电磁漏泻发射，另一方面要采用抗电磁
干扰传输方式；

采用防雷电的保护措施；

采用适当的物理防护措施；

加强行政管理、完善规章制度、严格人员选任、法律介入网络等。

结束语

网络是我们驰骋的广阔天地，而网络出口和IP地址为我们划定了网络疆土。网络天地
里既充满了各种各样的有用资源，也暗藏着许多“杀机”，正在进行着一场没有硝烟的战
争。“保存自己、消灭敌人”是我们的基本原则，为了实现网络安全，我们必须不断学习
，与网络的发展同步前进；听取和尊重专家的建议，慎重安全决策；综合运用多种安全对
策，确保适度的网络安全；动态改进安全对策；努力占据安全的制高点。

‘贰’ 网络安全技术措施

最佳的解决方案

1.安装瑞星杀毒或卡巴斯基等杀毒软件，实时清除电脑木马病毒；

2.安装个人硬件防火墙，简单使用，实时监控且能100%防御黑客攻击，又不会影响电脑出现卡机等现象。

目前此类产品中阿尔叙个人硬件防火墙做比较专业，价格还算能接受

在设置一个网络时，无论它是一个局域网（LAN）、虚拟LAN（VLAN）还是广域网（WAN），在刚开始时设置最基本的安全策略非常重要。安全策略是一些根据安全需求，以电子化的方式设计和存储的规则，用于控制访问权限等领域。当然，安全策略也包括一个企业所执行的书面的或者口头的规定。另外，企业必须决定由谁来实施和管理这些策略，以及怎样通知员工这些规则。安全策略、设备和多设备管理的作用相当于一个中央安全控制室，安全人员在其中监控建筑物或者园区的安全，进行巡逻或者发出警报。那什么是安全策略呢？所实施的策略应当控制谁可以访问网络的哪个部分，以及如何防止未经授权的用户进入访问受限的领域。例如，通常只有人力资源部门的成员有权查看员工的薪资历史。密码通常可以防止员工进入受限的领域。一些基本的书面策略，例如警告员工不要在工作场所张贴他们的密码等，通常可以预先防止安全漏洞。可以访问网络的某些部分的客户或者供应商也必须受到策略的适当管理。谁又能来实施管理安全策略呢？制定策略和维护网络及其安全的个人或者群体必须有权访问网络的每个部分。而且，网络策略管理部门应当获得极为可靠，拥有所需要的技术能力的人员。如前所述，大部分网络安全漏洞都来自于内部，所以这个负责人或者群体必须确保其本身不是一个潜在的威胁。一旦被任命，网络管理人员就可以利用复杂的软件工具，来帮助他们通过基于浏览器的界面，制定、分配、实施和审核安全策略。你想怎样向员工传达这个策略呢？如果相关各方都不知道和了解规则，那规则实际上没有任何用处。为传达现有的策略、策略的更改、新的策略以及对于即将到来的病毒或者攻击的安全警报制定有效的机制是非常重要的。

‘叁’ 实施网络内网安全防护策略时，应注意哪些方面

实施网络内网安全防护策略时，应注意哪些方面？
子政务网建设原则

为达到电子政务网络的目标要求，华为公司建议在电子政务建设过程中坚持以下建网原则：从政府的需求出发，建设高安全、高可靠、可管理的电子政务体系!

统一的网络规划

建议电于政务的建设按照国家信息化领导小组的统一部署，制定总体的网络规划，分层推进，分步实施，避免重复建设。

完善的安全体系

网络安全核心理念在于技术与管理并重。建议遵循信息安全管理标准－ISO17799，安全管理是信息安全的关键，人员管理是安全管理的核心，安全策略是安全管理的依据，安全工具是安全管理的保证。

严格的设备选型

在电子政务网建设的过程中，网络设备选择除了要考虑满足业务的需求和发展、技术的可实施性等因素之外，同时为了杜绝网络后门的出现，在满足功能、性能要求的前提下，建议优先选用具备自主知识产权的国内民族厂商产品，从设备选型上保证电子政务网络的安全性。

集成的信息管理

信息管理的核心理念是统一管理，分散控制。制定IT的年度规划，提供IT的运作支持和问题管理，管理用户服务水平，管理用户满意度，配置管理，可用性管理，支持IT设施的管理，安全性管理，管理IT的库存和资产，性能和容量管理，备份和恢复管理。提高系统的利用价值，降低管理成本。

电子政务网体系架构

《国家信息化领导小组关于我国电子政务建设的指导意见》中明确了电子政务网络的体系架构：电子政务网络由政务内网和政务外网构成，两网之间物理隔离，政务外网与互联网之间逻辑隔离。政务内网主要是传送涉密政务信息，所以为保证党政核心机密的安全性，内网必须与外网物理隔离。政务外网是政府的业务专网，主要运行政务部门面向社会的专业性服务业务和不需在内网上运行的业务，外网与互联网之间逻辑隔离。而从网络规模来说，政务内网和政务外网都可以按照局域网、城域网、广域网的模式进行建设；从网络层次来说，内网和外网也可以按照骨干层、汇聚层和接入层的模式有规划地进行建设。

图1：电子政务网络的体系架构

根据电子政务设计思想及应用需求，鉴于政府各部门的特殊安全性要求，严格遵循《国家信息化领导小组关于我国电子政务建设的指导意见》，在电子政务内、外网在总体建设上采用业务与网络分层构建、逐层保护的指导原则，在逻辑层次及业务上，网络的构建实施如下分配：

图2：电子政务内、外网逻辑层次

互联支撑层是电子政务网络的基础，由网络中心统一规划、构建及管理，支撑层利用宽带IP技术，保证网络的互联互通性，提供具有一定QOS的带宽保证，并提供各部门、系统网络间的逻辑隔离(VPN)，保证互访的安全控制；

安全保障系统是指通过认证、加密、权限控制等技术对电子政务网上的用户访问及数据实施安全保障的监控系统，它与互联支撑层相对独立，由网络中心与各部门单位共同规划，分布构建。

业务应用层就是在安全互联的基础上实施政务网的各种应用，由网络中心与各系统单位统一规划，分别实施。

华为公司电子政务解决方案的核心理念

全面的网络安全

建设安全的电子政务网络是电子政务建设的关键。电子政务的安全建设需要管理与技术并重。在技术层面，华为公司提供防御、隔离、认证、授权、策略等多种手段为网络安全提供保证；在设备层面，华为公司自主开发的系列化路由器、交换机、防火墙设备、CAMS综合安全管理系统和统一的网络操作系统VRP可以保证电子政务网络安全。

针对于政府系统的网络华为公司提供了i3安全三维度端到端集成安全体系架构，在该架构中，除了可以从熟悉的网络层次视角来看待安全问题，同时还可以从时间及空间的角度来审视安全问题，从而大大拓展了安全的思路与视角，具备......

‘肆’ 为保证政府政务网安全,采取了哪些防范措施

电子政务网建设原则

为达到电子政务网络的目标要求，华为公司建议在电子政务建设过程中坚持以下建网原则：从政府的需求出发，建设高安全、高可靠、可管理的电子政务体系!

统一的网络规划

建议电于政务的建设按照国家信息化领导小组的统一部署，制定总体的网络规划，分层推进，分步实施，避免重复建设。

完善的安全体系

网络安全核心理念在于技术与管理并重。建议遵循信息安全管理标准－ISO17799，安全管理是信息安全的关键，人员管理是安全管理的核心，安全策略是安全管理的依据，安全工具是安全管理的保证。

严格的设备选型

在电子政务网建设的过程中，网络设备选择除了要考虑满足业务的需求和发展、技术的可实施性等因素之外，同时为了杜绝网络后门的出现，在满足功能、性能要求的前提下，建议优先选用具备自主知识产权的国内民族厂商产品，从设备选型上保证电子政务网络的安全性。

集成的信息管理

信息管理的核心理念是统一管理，分散控制。制定IT的年度规划，提供IT的运作支持和问题管理，管理用户服务水平，管理用户满意度，配置管理，可用性管理，支持IT设施的管理，安全性管理，管理IT的库存和资产，性能和容量管理，备份和恢复管理。提高系统的利用价值，降低管理成本。

电子政务网体系架构

《国家信息化领导小组关于我国电子政务建设的指导意见》中明确了电子政务网络的体系架构：电子政务网络由政务内网和政务外网构成，两网之间物理隔离，政务外网与互联网之间逻辑隔离。政务内网主要是传送涉密政务信息，所以为保证党政核心机密的安全性，内网必须与外网物理隔离。政务外网是政府的业务专网，主要运行政务部门面向社会的专业性服务业务和不需在内网上运行的业务，外网与互联网之间逻辑隔离。而从网络规模来说，政务内网和政务外网都可以按照局域网、城域网、广域网的模式进行建设；从网络层次来说，内网和外网也可以按照骨干层、汇聚层和接入层的模式有规划地进行建设。

图1：电子政务网络的体系架构

根据电子政务设计思想及应用需求，鉴于政府各部门的特殊安全性要求，严格遵循《国家信息化领导小组关于我国电子政务建设的指导意见》，在电子政务内、外网在总体建设上采用业务与网络分层构建、逐层保护的指导原则，在逻辑层次及业务上，网络的构建实施如下分配：

图2：电子政务内、外网逻辑层次

互联支撑层是电子政务网络的基础，由网络中心统一规划、构建及管理，支撑层利用宽带IP技术，保证网络的互联互通性，提供具有一定QOS的带宽保证，并提供各部门、系统网络间的逻辑隔离(VPN)，保证互访的安全控制；

安全保障系统是指通过认证、加密、权限控制等技术对电子政务网上的用户访问及数据实施安全保障的监控系统，它与互联支撑层相对独立，由网络中心与各部门单位共同规划，分布构建。

业务应用层就是在安全互联的基础上实施政务网的各种应用，由网络中心与各系统单位统一规划，分别实施。

华为公司电子政务解决方案的核心理念

全面的网络安全

建设安全的电子政务网络是电子政务建设的关键。电子政务的安全建设需要管理与技术并重。在技术层面，华为公司提供防御、隔离、认证、授权、策略等多种手段为网络安全提供保证；在设备层面，华为公司自主开发的系列化路由器、交换机、防火墙设备、CAMS综合安全管理系统和统一的网络操作系统VRP可以保证电子政务网络安全。

针对于政府系统的网络华为公司提供了i3安全三维度端到端集成安全体系架构，在该架构中，除了可以从熟悉的网络层次视角来看待安全问题，同时还可以从时间及空间的角度来审视安全问题，从而大大拓展了安全的思路与视角，具备全面考虑与实施安全防护的模型与能力。

图3：华为公司i3 安全 三维度端到端集成安全体系架构

（1）华为公司i3安全三维度端到端集成安全体系架构

i－intelligence(智能)，integrated(集成)，indiviality(个性化)；
3－时间、空间及网络层次三个维度的端到端( End to End)；
安全－所有IP信息网络的安全架构。

（2）网络层次(网络层、用户层、业务层)端到端安全理念

网络的各层次均存在安全威胁的可能，华为的集成安全架构充分体现了网络安全防范的分层思想，根据不同网络层次的特点进行有针对性的防范。

网络层：保障网络路由、网络设备等基础网络的安全；
用户接入层：确保合法的用户接入，访问合法的网络范围，并保障用户信息的隔离等用户接入网络的安全；
业务层：保证用户访问内容的合法性与安全性。
华为公司的i3安全集成安全架构针对传统网络在用户层防范比较薄弱的缺陷，采取了大量的增强措施，如用户接入认证、地址防盗用、访问控制等能力。

（3）时间(事前、事后)端到端安全理念

以前政府行业更关注网络的事前防范能力，往往在网络的用户认证、入侵检测、防DOS攻击、防火墙等方面投入力量较多，对事后跟踪能力实施的有效措施不多。而在安全事件发生前后，要求网络所能提供的支持也是不同的，其花费的代价与技术实现难度有非常大的差别：

事前防范：主要通过数据隔离、加密、过滤、管理等技术，加强整个网络的健壮性；
事后跟踪：华为公司的“i3安全”架构提供在网络级做日志记录的能力，通过对用户上网端口、时间、访问地的记录，全面提供用户上网的追溯能力，从而为后期的分析提供第一手的资料。
（4）空间(外网、内网)端到端安全理念

外网：通过VPN、加密等保证信息安全，通过网络防火墙、病毒防火墙等防范网络攻击，侧重的是防范；
内网：通过对用户的识别，保证合法的用户访问合法的网络范围，并做好访问记录，侧重的是监控。
目前政府内网即涉秘网、政府外网即办公专网，两张网按照17号文件要求严格的物理隔离分别进行建设，保证政府网络的安全。

华为公司三纬度集成安全架构提供端到端集成安全服务：

图4：华为公司i3安全三维度端到端集成安全体系架构

随着政府网络网上应用的进一步增多，随着网络进一步深入人们的生活，入侵与反入侵、盗用与反盗用的斗争也必将升级。而政府网络的安全防护作为一个系统工程，只有从网络管理、用户管理、业务管理及管理制度等多层次、多方位地多管齐下才能做到“天网恢恢，疏而不漏”。

完善的端到端的可靠性

网络可靠性主要是指当设备或网络出现故障时，网络提供服务的不间断性。可靠性一般通过设备本身的可靠性和组网设计的可靠性来实现。包括以下内容：

（1）设备可靠性

华为公司的全系列数据产品均采用电信级的可靠性设计。华为公司高端路由器和交换机产品采用分布式体系结构，不存在单点故障；采用无源背板，支持真正热插拔、热备份，同时设备的交换网络、路由处理系统等所有关键部件采用冗余热备份设计，能充分满足电子政务网络对设备高可靠性的要求。

（2）组网设计的可靠性

在控制投资的前提下，在电子政务网络的部分省地骨干节点，可采取VRRP双机备份方式或采取RPR方式进行环网自愈保护，接入骨干传输网的链路可采取双归链路设计或采取RPR方式进行环网自愈保护，从组网角度避免单点故障。

另外，可采用备份中心技术，为路由器上的任意接口提供备份接口；路由器上的任一接口可以作为其它接口(或逻辑链路)的备份接口；可对接口上的某条逻辑链路提供备份。

通过灵活的备份机制及完善的技术，可以充分利用备份资源，确保网络互联互通的可靠性。

简单高效的维护和管理

政府网络信息点数量众多，而且较为稠密，所以网络设备数量众多，特别是接入最终用户的楼层交换机。华为公司的网络管理系统在支持全网设备统一管理、实现拓扑管理、图形化操作界面、实时声光报警、中文操作系统的同时，利用华为组管理协议HGMP可以实现对数量庞大的楼层交换机的动态发现、动态拓扑生成、自动配置的功能，降低网络管理人员的工作量，提高效率。

丰富的业务承载能力

政府信息化的一个重要特点是以业务牵引网络需求，应用不断更新，对网络设备的需求不断提高，在这样的一个动态网络中，网络设备本身的业务承载能力就显得非常重要。因此，华为公司提出了第5代基于网络处理器技术，可以保证在后续新增业务对网络平台有特殊要求时，实现快速定制、快速支持，保证对网络设备投资的连续性。

利用MPLS VPN表现出强大的扩展性和前所未见的高性能，电子政务网可任由业务的增长和变化，网络可以平滑地扩充和升级，可最大程度的减少对网络架构和设备的调整。作为少数能提供整网MPLS技术的厂家，华为公司致力于为政府提供基于先进的MPLS VPN技术的数据、语音和视讯的三网合一技术。

‘伍’ 实施一个完整的网络与信息安全体系,需要采取哪些方面的措施

网络与信息安全体系以及网络安全管理方案
大致包括： 1) 企业网络安全漏洞分析评估2) 网络更新的拓扑图、网络安全产品采购与报价3) 管理制度制定、员工安全教育与安全知识培训计划4) 安全建设方案5) 网管设备选择与网络管理软件应用6) 网络维护与数据灾难备份计划7) 企业防火墙应用管理与策略8) 企业网络病毒防护9) 防内部攻击方案10) 企业VPN设计
网络安全要从两方面来入手
第一、管理层面。包括各种网络安全规章制度的建立、实施以及监督
第二、技术层面。包括各种安全设备实施，安全技术措施应用等
按照你的描述 首先我提醒你一点
安全是要花钱的 如果不想花钱就你现有的这些设备
我认为应该从以下几点入手
一、制定并实施网络安全管理制度 包括服务器以及个人主机安全管理、包括个级别权限管理等等
二、制定并实施网络安全日常工作程序，包括监测上网行为、包括入侵监测
三、从技术层面上，你那里估计是一根专线接入后用交换机或者无线路由器DHCP分配IP地址供大家上网，这样的话你做不到上网行为管理，你需要一台防火墙进行包过滤以及日志记录 或者作一台代理服务器进行上网行为管理并进行日志记录。
四、局域网内计算机系统管理 包括操作系统防病毒 更新补丁等工作 堡垒往往是从内部攻破 内部计算机中毒主动向外发送数据，造成泄密 这已经是很常见的事情 所以做好主机防护很重要。
当然 如果您有钱 黑洞系统 入侵监测 漏洞扫描 多级防火墙 审计系统都可以招呼
最后提醒一点 那就是 没有绝对的安全 安全都是相对的
你需要什么级别的安全 就配套做什么级别的安全措施
管理永远大于技术 技术只是辅助手段

网络安全措施
一：密码安全
无论你是申请邮箱还是玩网络游戏，都少不了要注册，这样你便会要填密码。
二：QQ安全
1.不要让陌生人或你不信任的人加入你的QQ（但这点很不实用，至少我这样认为）。
2.使用代理服务器（代理服务器英文全称ProxySever，其功能就是代理网络用户去取得网络信息，更确切地说，就是网络信息的中转站）。设置方法是点击QQ的菜单==>系统参数==>网络设置==>代理设置==>点击使用SOCKS5代理服务器，填上代理服务器地址和端口号，确定就好了，然后退出QQ，再登陆，这就搞定了。QQ密码的破解工具也很多，你只要把密码设的复杂点，一般不容易被破解。
三：代理服务器安全
使用代理服务器后可以很有效的防止恶意攻击者对你的破坏。
四：木马防范
木马，也称为后门，直截了当的说，木马有二个程序组成：一个是服务器程序，一个是控制器程序。当你的计算机运行了服务器后，恶意攻击者可以使用控制器程序进入如你的计算机，通过指挥服务器程序达到控制你的计算机的目的。
1：邮件传播：木马很可能会被放在邮箱的附件里发给你。
2：QQ传播：因为QQ有文件传输功能，所以现在也有很多木马通过QQ传播。
3：下载传播：在一些个人网站下载软件时有可能会下载到绑有木马服务器的东东。

‘陆’ 有关中小型局域网的网络安全解决方案

随着局域网的规模不断扩大，局域网的建设已经成为企事业单位以及政府机关信息化的重要组成部分，然而，局域网存在的安全隐患给信息化建设的进一步推进带来了巨大的阻碍。因此，必须对于局域网存在的安全隐患提出科学有效的防治策略。
1 局域网存在的安全隐患
目前，一些局域网内部的计算机和互联网相连，却并未安装相应的比较高级的杀毒软件及防火墙，一些计算机系统或多或少都存在着各种的漏洞。局域网面临着黑客攻击、目录共享导致信息的外泄、计算机操作人员的安全意识不足等安全隐患。
2 针对于局域网存在的安全隐患的防治策略
2.1 对局域网内部重要数据进行备份，做好网络安全协议的配置
局域网内部存在着非常重要的信息，必须及时对这些信息进行完整的备份，以便在出现问题的时候及时恢复。备份一方面包括对局域网内部的重要数据的备份，另一方面，也包括对于核心设备和线路的备份。对于局域网内部的网页服务器，一定要安装网页防篡改系统，从而避免网页被恶意篡改。对于局域网中的核心设备的系统配置必须进行定期和不定期的检查和备份，从而在设备发生问题的时候，可以进行紧急恢复。对于局域网内部的核心线路，应该保持完备和做出适当的备份，从而在一些线路发生问题的时候，可以及时采用备份线路来维持整个局域网的正常工作。
TCP作为两台计算机设备之间保证数据顺序传输的协议，是面向连接的，它需要在连接双方都同意的情况下才能进行通信。任何两台设备之间欲建立TCP连接都需要一个双方确认的起始过程，即“三次握手”。
2.2 建立局域网统一防病毒系统
传统的单机防病毒形式已经不能满足局域网安全的需要，必须建立局域网统一防病毒系统，利用全方位的防病毒产品，对于局域网内部各个可能的病毒攻击点都进行对应的防病毒软件的安装，来实现全方位、多层次的病毒防治功能。与此同时，实现局域网统一防病毒系统的定期自动升级，更好的避免病毒的攻击。
具体来说，局域网统一防病毒系统应该包括防病毒服务器和客户端这两个模块。防病毒服务器是整个系统的控制中心，负责全面防治病毒。通过客户端安装或者网络分发的方式，可以在所有的工作站上分别安装客户端软件，同时设置所有的工作站都必须接受服务器的统一管理和部署。局域网管理员仅仅通过控制台软件，就可以实现统一清除和防治局域网内部的所有计算机存在的病毒的目标，使整个局域网内部病毒的爆发和蔓延得到有效的控制。一旦出现新病毒库，那么，仅仅更新防病毒服务器上的病毒库就可以了，客户端能够自动在防病毒服务器上下载并更新病毒库。局域网统一防病毒系统的病毒库能够实现及时方便的更新，也可以实现统一彻底的病毒防杀，同时具备操作简单快捷的特点，因此，是非常有利于局域网的病毒防治的。360安全卫士就是一个很好的局域网防病毒软件。
2.3 合理安装配置防火墙
防火墙是一种非常科学有效且应用广泛的保证局域网安全的软件，有利于避免计算机互联网上的不安全因素扩散到局域网内部。通过合理安装配置防火墙，可以在利用局域网进行通讯的时候执行一种访问控制列表，允许合法的人和数据来访问局域网，并且拒绝非法的用户和数据对于局域网的访问，从而使黑客对于局域网的攻击行为得到最大限度的阻止，避免黑客对于局域网上的重要信息的随意更改、移动甚至删除。为了切实做好局域网的安全工作，必须按照局域网的安装需求，严格配置防火墙内部的服务器和客户端的各种规则，PIX是一款实现对于局域网防火墙的科学有效的方案。PIX是CISCO公司开发的防火墙系列设备，主要起到策略过滤，隔离内外网，根据用户实际需求设置DMZ（停火区）。
2.4 配备入侵检测系统和漏洞扫描系统
入侵检测系统是防火墙的必要补充部分，能够实现更加全面的安全管理功能，有利于局域网更好的应对黑客攻击。入侵检测系统可以将内外网之间传输的数据进行实时的捕获，通过内置的攻击特征库，利用模式匹配和智能分析的方法，对于局域网内部可能出现的入侵行为和异常现象进行实时监测，同时进行记录。另外，入侵检测系统也能够产生实时报警，从而有利于局域网管理员及时进行处理和应对。
另外，也要配备漏洞扫描系统。在计算机网络飞速发展的形势下，局域网中也会不可避免的产生各种各样的安全漏洞或者“后门”程序。为了进行有效的应对，必须配备现代化的漏洞扫描系统来对局域网工作站、服务器等进行定期以及不定期的安全检查，同时提供非常具体的安全性分析数据，对于局域网内部存在的各种安全漏洞都及时进行修复。
Microsoft基准安全分析器（Microsoft Baseline Security Analyzer，MBSA）是微软公司整个安全部署方案中的一种，可以从微软公司的官方网站http://technet.microsoft.com/zh-cn/security/default.aspx下载。MBSA将扫描基于Windows的计算机，并检查操作系统和已安装的其他组件（如IIS和SQL Server）,以发现安全方面的配置错误，并及时通过推荐的安全更新进行修补。
通过多种形式的安全产品的配备，可以有效防护、预警和监控局域网存在的各种安全隐患，有效阻断黑客的非法访问以及不健康的信息，并且也能够及时发现和处理局域网中存在的故障。
2.5 运用VLAN技术
VLAN 的英文全称是Virtual Local Area Network，也就是虚拟局域网，它是一种实现虚拟工作组的先进技术，能够通过将局域网内的设备对于整个局域网进行逻辑分段，产生多个不同的网段。VLAN 技术的关键就是对局域网进行分段，将整个局域网划分为多个不同的VLAN，它可以按照各种各样的应用业务和对应的安全级别，通过划分VLAN来实现隔离，也能够进行相互间的访问控制，对于限制非法用户对于局域网的访问起到非常巨大的作用。对于利用ATM或者以太交换方式的交换式局域网技术的局域网络，能够通过VLAN 技术的有效利用来切实加强对于内部网络的管理，从而更加有效的保障局域网安全。
2.6 运用访问控制技术
通过访问控制技术的运用，可以保证局域网内部的数据不被非法使用或者非法访问。一般来说，用户的入网访问控制主要包括用户名的识别与验证、用户口令的识别与验证、用户帐户的缺省限制检查等几个方面。一旦用户连接并且登陆局域网，局域网管理员就能够自动授予该用户适当的访问控制权限，用户仅仅可以在它们自身的权限范围内进行数据的增加、修改、删除等操作。因此，通过这种方式，局域网内部的数据只能够被授权用户进行访问。当一个主体访问一个客体时，必须符合各自的安全级别需求，应遵守如下两个原则：
①Read Down:主体安全级别必须高于被读取对象的原则。
②Write up:主体安全级别必须低于被写入对象的级别。
应该注意的是，对于访问控制权限的设定一定要严格按照最小权限原则，也就是说，用户所拥有的权限不能超过他实现某个操作所必须的权限。只有明确用户的操作，找出实现用户操作的最小权限集，根据这个最小权限集，对用户所拥有的权限进行限制，才能实现最小权限原则。
2.7 建立良好的人才队伍，提高计算机操作人员的安全意识
为了保证局域网的安全，建立良好的人才队伍是非常重要的。通过具备较高的专业水平、较好的业务能力、较强的工作责任心的人才队伍，可以做好局域网的合理规划与建设，切实保证局域网日常的维护及管理工作，利用最为先进的技术来防治局域网的各种安全隐患。
与此同时，也应该提高计算机操作人员的安全意识。可以加强有关局域网安全的教育培训，建立健全科学合理的规章制度，切实提高所有人的安全意识。要求计算机操作人员必须规范操作各种局域网设备，合理设置设备以及软件的密码，特别是服务器密码，必须是系统管理员才能掌握。
3 结束语
针对于局域网存在的安全隐患的防治工作不是一劳永逸的，而是一项复杂艰巨的系统工程。在进行局域网的建设和管理过程中，一定要对于局域网中所存在的各种安全隐患进行及时分析，采取最有效的措施来保证局域网的正常工作，为单位的信息化建设提供强有力的支撑力量。

‘柒’ 网络安全防护的安全方案

人们有时候会忘记安全的根本，只是去追求某些耀人眼目的新技术，结果却发现最终一无所得。而在如今的经济环境下，有限的安全预算也容不得你置企业风险最高的区域于不顾而去追求什么新技术。当然，这些高风险区域并非对所有人都相同，而且会时常发生变化。不良分子总是会充分利用这些高风险区域实施攻击，而我们今天所看到的一些很流行的攻击也早已不是我们几年前所看到的攻击类型了。写作本文的目的，就是要看一看有哪些安全解决方案可以覆盖到目前最广的区域，可以防御各种新型威胁的。从很多方面来看，这些解决方案都是些不假思索就能想到的办法，但是你却会惊讶地发现，有如此多的企业(无论是大企业还是小企业)却并没有将它们安放在应该放置的地方。很多时候它们只是一种摆设而已。
下面给出的5大基本安全方案，如果结合得当，将能够有效地制止针对企业的数据、网络和用户的攻击，会比当今市场上任何5种安全技术的结合都要好。尽管市场上还有其他很多非常有用的安全解决方案，但如果要选出5个最有效和现成可用的方案，那么我的选择还是这5项：
防火墙
这块十多年来网络防御的基石，如今对于稳固的基础安全来说，仍然十分需要。如果没有防火墙屏蔽有害的流量，那么企业保护自己网络资产的工作就会成倍增加。防火墙必须部署在企业的外部边界上，但是它也可以安置在企业网络的内部，保护各网络段的数据安全。在企业内部部署防火墙还是一种相对新鲜但却很好的实践。之所以会出现这种实践，主要是因为可以区分可信任流量和有害流量的任何有形的、可靠的网络边界正在消失的缘故。旧有的所谓清晰的互联网边界的概念在现代网络中已不复存在。最新的变化是，防火墙正变得越来越智能，颗粒度也更细，能够在数据流中进行定义。如今，防火墙基于应用类型甚至应用的某个功能来控制数据流已很平常。举例来说，防火墙可以根据来电号码屏蔽一个SIP语音呼叫。
安全路由器
(FW、IPS、QoS、VPN)——路由器在大多数网络中几乎到处都有。按照惯例，它们只是被用来作为监控流量的交通警察而已。但是现代的路由器能够做的事情比这多多了。路由器具备了完备的安全功能，有时候甚至要比防火墙的功能还全。今天的大多数路由器都具备了健壮的防火墙功能，还有一些有用的IDS/IPS功能，健壮的QoS和流量管理工具，当然还有很强大的VPN数据加密功能。这样的功能列表还可以列出很多。现代的路由器完全有能力为你的网络增加安全性。而利用现代的VPN技术，它可以相当简单地为企业WAN上的所有数据流进行加密，却不必为此增加人手。有些人还可充分利用到它的一些非典型用途，比如防火墙功能和IPS功能。打开路由器，你就能看到安全状况改善了很多。
无线WPA2
这5大方案中最省事的一种。如果你还没有采用WPA2无线安全，那就请把你现在的安全方案停掉，做个计划准备上WPA2吧。其他众多的无线安全方法都不够安全，数分钟之内就能被破解。所以请从今天开始就改用带AES加密的WPA2吧。
邮件安全
我们都知道邮件是最易受攻击的对象。病毒、恶意软件和蠕虫都喜欢利用邮件作为其传播渠道。邮件还是我们最容易泄露敏感数据的渠道。除了安全威胁和数据丢失之外，我们在邮件中还会遭遇到没完没了的垃圾邮件！
Web安全
今天，来自80端口和443端口的威胁比任何其他威胁都要迅猛。有鉴于基于Web的攻击越来越复杂化，所以企业就必须部署一个健壮的Web安全解决方案。多年来，我们一直在使用简单的URL过滤，这种办法的确是Web安全的一项核心内容。但是Web安全还远不止URL过滤这么简单，它还需要有注入AV扫描、恶意软件扫描、IP信誉识别、动态URL分类技巧和数据泄密防范等功能。攻击者们正在以惊人的速度侵袭着很多高知名度的网站，假如我们只依靠URL黑白名单来过滤的话，那我们可能就只剩下白名单的URL可供访问了。任何Web安全解决方案都必须能够动态地扫描Web流量，以便决定该流量是否合法。在此处所列举的5大安全解决方案中，Web安全是处在安全技术发展最前沿的，也是需要花钱最多的。而其他解决方案则大多数已经相当成熟。Web安全应尽快去掉虚饰，回归真实，方能抵挡住黑客们发起的攻击。

‘捌’ 网络安全如何实施跪谢！

怎么网络安全
1.安装好杀毒软件和防火墙并及时更新。
2.养成良好的上网习惯，不去点击一些不良网站和邮件。少下载
3.定期杀毒，及时给系统打好补丁。
4.学习网络安全知识，远离黑客工具。
首先：系统补丁要及时打
其次：安装杀毒软件是必要的
再次：不好的网站不要乱上。
最后：基本上平时注意点就可以了
************************************************************************************************
企业级解决方案之内部防护
针对企业用户内部网络的基本架构情况，把网络的信息安全划分为五个层次，从底层往上依次为物理层、网络层、系统层、应用层 （含数据库）及管理层。
物理层安全及解决措施
物理安全应考虑到环境安全和设备、设施安全。为保护计算机设备、设施 （含网络）以及其他媒体免遭地震、水灾、火灾、有害气体和其他环境事故 （如电磁污染等）破坏，应采取适当的保护措施。
网络层安全及解决措施
由于网络系统内运行的TCP/IP协议并非专为安全通讯而设计，所以网络系统存在大量安全隐患和威胁。网络层的安全主要有数据加密传输、网络资源的访问控制、远程接入的安全控制、网络漏洞的检测、网络入侵检测等手段。
操作系统访问控制安全
可以通过对用户的身份认证来加强对操作系统的访问控制。
在应用系统的访问控制中提供的两种解决方案，都包含有对操作系统的访问控制。其原理是通过对用户访问权限的设定，来决定对操作系统的访问。
应用层安全及解决措施
应用层安全是指应用系统的安全，包括应用系统的访问控制安全、应用系统的数据传输安全、应用系统的桌面安全。
管理层安全及解决措施
管理层安全包括管理制度、管理技术。
管理制度须制订一系列的安全管理制度，普及安全教育，包括用户守则的制订，如 ：服务器机房安全制度定制和普通机房管理制度的制订等。管理技术包括安全理论知识的培训、对安全产品使用培训、建立安全信息分发系统、及时通报最新安全事件、建立安全论坛、交流安全技术等。
************************************************************************************************************
企业级解决方案之局域防护
企业需要Web站点作为宣传的窗口 ；与外界的信息交流需要Internet接入，实施电子邮件服务 ；企业内部网络需要有数据共享，文件打印等功能以及企业所需的特殊应用。典型局域网络拓扑图如图2所示。而所有这一切都使感染病毒成为可能。
要知道，每天有将近15种新病毒出现，全世界每个月有将近450种新的病毒出现，企业局域网中一台电脑受到感染，就有可能感染网络中的所有微机，建立针对企业内部网络的病毒解决方案已到了刻不容缓的地步。
过去，一个好的企业级局域网病毒防护解决方案主要由两部分组成 ： 一套优秀的防毒软件和一个工作勤奋努力的网络管理员。为什么这样说？过去的防病毒软件通常没有自动分发，而自动更新、自动设置的功能防毒软件必须由管理员手动地安装在网络中的所有电脑上，由于防毒软件必须持续更新，否则将不能对付新出现的病毒。
此外，防病毒软件的更新频率不能太慢，因此网络管理员必须作到定期地到每台工作站上进行软件本身的升级和病毒特征文件的更新。
这样既费时又不能做到在最短时间内更新，网络管理复杂低效。
随着网络版杀毒技术的不断进步，局域网的防毒变得十分简单、高效。在解放网络管理员的同时，也提高了网络管理的效率，使得病毒无法侵入。

‘玖’ 网络安全管理措施

【热心相助】

您好！网络安全管理措施需要综合防范，主要体现在网络安全保障体系和总体框架中。

面对各种网络安全的威胁，以往针对单方面具体的安全隐患，提出具体解决方案的应对措施难免顾此失彼，越来越暴露出其局限性。面对新的网络环境和威胁，需要建立一个以深度防御为特点的信息安全保障体系。

【案例】我国某金融机构的网络信息安全保障体系总体框架如图1所示。网络信息安全保障体系框架的外围是风险管理、法律法规、标准的符合性。

图1 网络信息安全保障体系框架

风险管理是指在对风险的可能性和不确定性等因素进行收集、分析、评估、预测的基础上，制定的识别风险、衡量风险、积极应对风险、有效处置风险及妥善处理风险等一整套系统而科学的管理方法，以避免和减少风险损失，促进企业长期稳定发展。网络安全管理的本质是对信息安全风险的动态有效管理和控制。风险管理是企业运营管理的核心，风险分为信用风险、市场风险和操作风险，其中后者包括信息安全风险。实际上，在信息安全保障体系框架中充分体现了风险管理的理念。网络信息安全保障体系架构包括五个部分：

1) 网络安全战略。以风险管理为核心理念，从长远战略角度通盘考虑网络建设安全。它处于整个体系架构的上层，起到总体的战略性和方向性指导的作用。

2) 信息安全政策和标准。以风险管理理念逐层细化和落实，是对网络安全战略的逐层细化和落实，跨越管理、运作和技术三个不同层面，在每一层面都有相应的安全政策和标准，通过落实标准政策规范管理、运作和技术，以保证其统一性和规范性。当三者发生变化时，相应的安全政策和标准通过调整相互适应。安全政策和标准也会影响管理、运作和技术。

3) 网络安全运作。是基于风险管理理念的日常运作模式及其概念性流程（风险评估、安全控制规划和实施、安全监控及响应恢复）。既是网络安全保障体系的核心，贯穿网络安全始终；又是网络安全管理机制和技术机制在日常运作中的实现，涉及运作流程和运作管理。

4) 网络安全管理。涉及企业管理体系范畴，是网络安全体系框架的上层基础，对网络安全运作至关重要，从人员、意识、职责等方面保证网络安全运作的顺利进行。网络安全通过运作体系实现，而网络安全管理体系是从人员组织的角度保证网络安全运作，网络安全技术体系是从技术角度保证网络安全运作。

5) 网络安全技术。网络安全运作需要的网络安全基础服务和基础设施的及时支持。先进完善的技术可以极大提高网络安全运作的有效性，从而达到网络安全保障体系的目的，实现整个生命周期（预防、保护、检测、响应与恢复）的风险防范和控制。

（拓展参考本人资料：清华大学出版社，贾铁军教授主编，网络安全实用技术）