地市供电公司终端安全管理方式探索

郭琨

摘 要：近年来，终端安全逐渐成为信息安全管理工作中的重点，文章针对当前桌面终端曝露出来的安全问题，深入分析具体原因，通过对终端安全事件和隐患情况进行分析，提炼了终端安全管理成功的方法，并提出了终端安全工作的改进方向。

关键词：终端；信息安全

中图分类号：TP393 文献标识码：A 文章编号：1006-8937（2015）32-0076-01

近年来，国内外信息安全事件层出不穷，黑客入侵、病毒泛滥、敏感信息泄露、信息失控，都为企业信息安全管理打上一个问号？作为关系到国家民生的基础行业性企业，更应注重企业自身的信息安全管理。随着公司内外网隔离和省公司对应用系统的集中部署，地市公司在信息安全管理工作中逐步将侧重点放在了终端安全管理。做好企业终端安全管理，需要从实际出发，建立一个完善的终端安全管理体系，要从管理、技术、安全文化等方面不断完善终端安全管理方式，提升企业信息安全软实力，为企业发展保驾护航。

1 终端运行现状

公司现有内网终端5335，外网终端236台，2013年度市公司及其县公司，发生大大小小安全事件222起，具体情况见表1。

通过数据可以看出，员工在使用终端设备时已具备一定的安全意识，故违规外联、弱口令、未装杀毒软件、未注册客户端、敏感邮件的安全事件数量较少，但是由于安全意识的细节掌握不全面，在使用存储介质或进行文件传递时，造成的病毒木马事件较多。针对终端易出现安全事件，深入分析问题所在，在管理措施、技术手段、和安全宣传上进行改进。

2 执行严格的管理措施

根据国网下发的《国家电网公司办公计算机信息安全和保密管理规定》和《国家电网公司信息内网计算机桌面终端管理系统管理规定》，依照信息安全“八不准”和“五禁止”要求，严格制定公司终端安全管理，形成了从终端配置、变更、调换、故障处理、安全加固、到报废的全生命周期闭环管理。通过签订《信息安全承诺书（个人版）》、《互联网用户使用安全承诺书》加强了终端使用人的安全管理。建立健全信息安全管理体系，对桌面终端实现全方位安全监控，制定了相关信息监控管理制度，并编制了《信息系统监控操作手册》和《信息监控记录》，并以月为单位对各单位安全情况开展评价，对安全事件进行考核，提升桌面终端安全运行水平。

3 完善技术手段，提高终端安全水平

3.1 终端安全监控

充分利用现有系统平台，做好终端安全监控工作。以桌面终端管理系统、网管系统、趋势防病毒系统、天境脆弱性扫描与管理系统、多媒体监控平台等系统数据为依据，做好桌面终端安全各项指标监控工作。当出现安全事件后，监控人员通过《信息安全整改通知单》派发给相关责任单位，对出现安全事件的终端进行处理，确保安全事件得到及时解决。

3.2 加强移动存储介质管理，有效控制病毒感染情况

通过对2013年度安全事件分析，发现93%以上的安全事件是有病毒接触和病毒感染触发的，而引起终端感染病毒的原因主要通过移动存储介质进行传播，为做好公司桌面终端防病毒工作，提高信息安全指标，公司开展了移动存储介质治理整顿工作，签订《安全移动存储介质承诺书》，规范了移动存储介质使用步骤。规范移动存储介质使用后，病毒接触率和病毒感染率指标大大提升，2014年第一季度较2013年同一时期降低80%以上。

3.3 桌面终端做“体检”

公司每年开展一次桌面终端巡检，一次桌面终端督查，秉承“服务到家”的理念，从细处着手，认真制定巡检（督察）计划，在实施过程中以《终端巡检操作指南》为指导，对照《终端设备巡检服务单》各项内容，对终端设备进行安全“体检”。巡检完成后并发放《桌面终端安全要求宣传单》。巡检过程中及时解决现场的技术咨询工作，处理软件、硬件故障，现场为用户讲解安全须知，耐心解答用户提出的任何问题。

活动的开展不仅规范了终端用户的使用行为，普及了技术知识，而且强化了安全须知，还能及时发现终端安全存在的隐患问题，有效地提高了终端安全运行水平，为终端设备安全稳定运行提供了支撑与保障。

4 宣贯信息安全，创建安全氛围

从近年来的工作来看，我们会发现“信息安全”已成为我们当下的工作重点。从很多安全评估资料和安全检查的结果来看，即使在安全技术上做足了功课，一个很弱的安全文化也会让企业在这方面的努力付之东流。我们通过实际工作探索，总结了一套信息安全意识培养的方法。

4.1 争取上级领导支持，与关键部门合作

在实际工作开展中，信息安全文化的传播需要得到领导支持，并与有共同利益的部门合作开展，可获得更大的收获。我们与办公室合作开展的终端安全保密培训，对终端日常使用为例，通过实际发生案例，认真分析讲解终端日常使用中易造成安全事件的行为，并对终端保密知识进行宣讲。培养了员工安全意识和保密意识，广大员工通过一次培训学到更多与之相关的内容，最终获得效益也是1+1>2的。

4.2 创新让工作更顺利

创新可以提高我们工作的积极性，可以提高员工们认识信息安全兴趣。相比动辄上万、十万、百万的安全设备或监控系统，有时候很少的经费，就能用创意和热情来弥补经费的不足。“信息安全宣传”鼠标垫、安全创意活动、终端安全视频、通讯报道、展板、门户专题栏等等，只需很少的一部分经费，即可起到很广泛的影响力。

4.3 终端安全意识培养

在终端安全意识培养过程中，不仅要明令禁止那些不能做的事情，还要对那写可以做的事情告诉人们怎么做，而不会变成例外。比如，在修改口令时，要求口令必须为8位以上，数字、字母和字符相结合的强口令。

每年制定信息安全宣传计划，通过设定年度安全活动主题，开展全局范围内信息安全宣传活动，在开展安全活动中，不仅要对员工进行安全宣讲，还应注意宣讲后取得的效果，这才是我们最终想要的成效，否则，没有目标的宣讲也是徒劳无功的。通过与广大员工面对面的交流，解决他们实际工作中遇到的问题，才能更好发现我们在终端安全管理中的问题和不足，从而及时弥补因此而引发的安全隐患。

5 总 结

桌面终端管理因其工作点多、范围广、差异性大的因素，一直是信息安全工作中的重点和难点，要做好此项工作，需要长期一步步、细致的从全局出发，结合终端安全自身的特点，使用科学的方法，通过建立完善终端安全管理体系，完善技术手段，创建信息安全氛围，在探索和实践过程中，持续优化终端安全水平，才能保证企业呈现出一个良好的安全态势。

参考文献：

[1] 孟粉霞，王越，雷磊.统一终端安全管理系统在内网中的分析及应用 [J].信息系统工程，2013，（8）.

[2] 王学伶，王宏伟.电力企业办公终端信息安全技术研究[J].网友世界，

2013，（4）.

[3] 山钧羽，王曼维.浅析电力系统信息管理现状及其安全防范[J].信息 系统工程，2013，（11）.

[4] 金葳蕤.终端安全、内网安全、数据安全：未来谁是主流？[J].信息安 全与通信保密，2012，（5）.