內網安全解決方案

1、最高管理層對內網安全重視不夠

很多企事業單位的最高管理層對網絡安全、信息安全的認識不足，更多地關注單位的最直接的經濟效益，而沒有花太多的精力來搞網絡建設。只要網絡表面上還能支撐當前的日常工作、還在運轉、甚至還能拖延，都很容易被忽視。造成此結果的原因，一方面取決於企事業單位本身只把經營發展作為頭等大事，網絡靠邊站；但另一方面，也是最主要的方面，是受傳統思想的束縛，管理者的意識還沒有與信息時代同步，對網絡的認識和重視不夠。因此，在一些很依賴網絡的單位，往往發生一個很奇怪的現象：如果網絡故障率越高，管理者就越重視網絡的建設和安全；反之，因為故障率較低，使管理者心存僥倖、放鬆監管和警惕，最後釀 成大禍。

2、普通工作人員的安全意識亟待加強

為了自身工作的方便，或者礙於同事朋友的面子，普通工作人員往往不注意安全操作。隨意的信息拷貝和傳閲、未加安全防護的軟件安裝、無意間將內網連入互聯網，都會給木馬、病毒提供機會，給網絡帶來安全隱患。這種忽視安全制度、有章不循、有禁 不止的根源主要在於安全意識差、法律意識淡薄。

3、內網安全缺乏體系性的監管

在最高管理層對網絡及信息安全認識不足的情況下，網管人員成為救火隊，哪裏出了安全問題才去事後亡羊補牢：平時無專人員維護，出現問題後再去抓壯丁。在網絡安全管理上，缺乏整體考慮、缺乏系統的管理規劃和監 督機制，頭痛醫頭、腳痛醫腳，沒有形成主動防範、積極應對的機制, 自然就無法從根本上提高網絡監測、防護、響應、恢復和抗擊能力。

4、網絡安全的組織管理、培訓工作滯後

信息安全管理是一項系統工程，也是一項管理工程。“三分技術、七分管理、十二分的數據”，這是對技術、管理、數據三者權重的最好詮釋。網絡的實施需要技 術手段提供支持，但任何技術手段最終需要通過嚴格的管理制度來保障落實，否則再好的技術都無法發揮效能。在網絡建設的體制機制上，缺乏有力的組織 保障以及系統、規範的教育培訓；安全管理制度缺乏強有力的監督落實；網絡管理人員兼職較多、待遇偏低、培訓不夠、工作成績多被人誤解（工作做好了看不到成 績，故障處理得多才算成績）的現象很突出，這些都是關係網絡安全建設全局的大事。

5、信息安全防範技術措施單一

對服務器的安全保護 是必須的，對數以百計乃至千計的終端的安全管理也不可忽視；對員工的安全教育是重要的，但嚴格有效的安全管理制度更加重要；內網與外網的物理隔離（隔斷）是必要的，但在內網中加強網絡防毒、防拷貝同樣重要。網絡管理是一項複雜的系統工程，搞好網絡安全管理，需要軟件、硬件、制度、人手等多管齊下，單一的安 全防範措施對於整體安全來説孤掌難鳴或顧此失彼。

6、應用軟件本身安全機制欠缺

軟件開發商為了獲得效益最大化，在開發設計初期或軟件使用前期，往往不太注意軟件本身安全策略的建立和完善，而過分依賴第三方軟件甚至硬件。因第三方軟件的加入，既提高了網絡的複雜性，也增加了網絡風險。

在用户網絡內部，終端一般是通過交換機接入內部網絡。這些接入終端的安全狀態將直接影響整個網絡的運行安全。為了確保只有符合安全標準的用户接入網絡，ASM可以通過交換機的配合，強制終端用户在接入網絡前通過入網強制技術進行身份認證和安全狀態評估，幫助管理員實施安全策略，確保終端病毒庫和系統補丁得到及時更新，降低病毒和蠕蟲蔓延的風險，阻止來自用户內部的安全威脅。

此外，一些內網安全軟件類產品，可通過設置“端口、IP地址、通信方向等”參數，限制外來計算機非法訪問內網/內網計算機非法訪問互聯網等，自動檢測並實時阻斷新計算機非法接入，實時發出報警。

ASM的安全防護層次不僅僅限於用户接入控制，某些用户可能更關心對於核心數據區域（比如數據中心、應用業務服務器區等）的安全保護。通過在關鍵數據區的入口添加安全聯動控制器，ASM可以強制所有訪問關鍵數據區的用户進行入網強制和安全狀態檢查，確保用户訪問關鍵數據時不會無意中因病毒和蠕蟲對其產生破壞。這種保護方式也可以阻止外部用户對敏感數據的非法訪問和攻擊。

大型用户往往擁有分支或下屬機構，分支機構可以通過專線或WAN連接總部。某些用户甚至允許家庭辦公用户或出差人員直接訪問用户內部網絡。這種組網方式在開放型的企業中比較普遍，受到的安全威脅也更嚴重。為了確保接入內部網的用户具有合法身份且符合安全標準，可以在總部入口路由器實施ASM准入認證，強制接入的終端用户進行身份認證和安全狀態檢查。

信息安全管理就是通過保證維護信息的機密性、完整性和可用性來管理和保護組織的所有信息資產的一項體制。通過合理的組織體系、規章制度和控管措施，把具有信息安全保障功能的軟硬件設施和管理以及使用信息的人整合在一起，以此確保整個組織達到預定程度的信息安全。建立信息安全管理體系（ISMS）可以強化員工的信息安全意識，規範組織信息安全行為；對組織的關鍵信息資產進行全面系統的保護，維持競爭優勢；在信息系統受到侵襲時，確保業務持續開展並將損失降到最低程度。

HK-ISMS結構圖

ISMS基本組成部分

ISMS（網絡信息安全管理體系）的基本組成部分可以分為四個部分，第一是總體方針，第二是安全管理組織體系，第三是涵蓋物理、網絡、系統、應用、數據等方面的統一安全策略，第四是可操作的安全管理制度、操作規範和流程。

◆安全管理最高指導方針

在充分遵循和參考國際國內信息安全管理標準、國家法律法規和行業規範的基礎上，闡述了安全管理體系建設的目的、適用範圍、安全定義、體系結構、安全原則、關鍵性成功因素和聲明等內容，對組織技術和管理各方面的安全工作具有通用指導性。

◆安全管理組織體系

建立健全組織信息系統的安全管理責任制。它明確定義了組織內部的安全管理組織體系，以便在整個組織體系範圍內執行信息安全的管理工作。

◆安全策略體系

分別從物理安全、網絡安全、系統安全、應用安全、數據安全、病毒防護、安全教育、應急恢復、口令管理、安全審計、系統開發、第三方安全等方面提出了規範的安全策略要求。

◆安全管理制度、操作規範及流程

主要是從應用角度對各業務系統、各種信息技術角色相關的安全管理制度、操作規範、流程等提出具體的要求，對安全管理工作具有實際的指導作用。