浅析网络安全在企业生产中重要性

◆王赢庆

行业与应用安全

浅析网络安全在企业生产中重要性

◆王赢庆

（长春工业大学 吉林 130012）

在互联网信息时代，联网企业越来越多，在企业中，信息安全技术已经慢慢成熟。本文对网络安全与企业之间的关系进行了阐述，供有关读者参考。

企业；网络安全技术；发展趋势

1 网络安全简述

在过去，网络安全并不太受重视，网络安全从业者领域的发展出现了阻碍。企业的安全与企业自身所处的资产地位、IT投入能力有关，同时也包括商业模式和业务需求。在互联网行业，笔者认为网络安全应该概括为以下几个方面：

（1）信息安全管理：这部分是对企业重要信息进行保护的措施，整体性较强，跨越度比较大。

（2）普通机构与网络安全：这部分是指IDC，网络的很多链接和设备，大量的服务器，大量的服务程序、中间原件和数据库。网络和主机入侵查验等比较重要，一般起着决定性的作用。

（3）应用与交付安全：对大多数事务部，业务线自主研发的产品进行大多数应用层面的安全分析，代码审计，大量渗透测试，多次验证代码框架的安全功能，要查看应用端的防火墙，分析检验应用层的入侵检测等，这些都属于烦琐的工程。

（4）业务逻辑安全：这部分属于账号等号码安全，交易的风险，反价格爬虫等大多数应用技术与业务相关的安全，这些网络安全系统对企业网络安全来说是至关重要的。

总体来看，传统企业大多数偏重管理，现代互联网企业应该是“三分技术，七分管理”。而互联网企业偏重技术层，我认为前面所说的三七开可以反着写。其实这些说法也是不准确的，问到底什么算技术，什么才算管理，这些都没有很明确的定义。安全领域大部分技术所谓管理不过是有组织技术性的管理活动，这才能叫作技术管理。

从传统互联网企业的特点来看，传统企业安全问题包括IT资产相对固定、业务改变很不频繁、边界网络很不安全、IDC的模型不大甚至是没有

从网络的安全基础建设上来观察，大多数传统企业安全建设是指：在安全系统边界部署的防火墙、IPS或IDS、大多数商业扫描器、一些堡垒机，在服务端上安装一些防病毒以及杀毒软件等等，大多数集成各种设备，同时购买的安全的硬件设备可能比这还要多出几倍。在计算机网络的管理层面上，我们大家比较重视的ISMS（信息安全管理体系）的发展与建设，重视审计，还有些行业也一定做到等级的保护来满足大量的客户和公司的合规性需求。

大型互联网企业安全部门需要应对以下问题：海量数据。据笔者了解，安全隐患完全可能发生在架构层面，应对业务的繁忙的发布和海量数据的变更。并且在架构方面，高性能、高可用性、扩展性应当引起我们的关注。在一些小规模互联网公司和大多数传统企业中，风险管理办法还是可以继续使用的。但是在一些大型的互联网公司，传统企业的策略和管理方法已经不适用，这是因为我们对架构环节的运行过程还不够清晰。当我们察觉到多层系统的接口连接问题和在数据层面上所面临的风险程度时，并且考虑到建设微型粒子反射的规律，这是一项现在难以完成的事情。当产品的生产线很多时，就会发生不可避免的冲突，没有人可以保证自己的产品是不是在业内检测时出现了问题。

生产网络和办公网络是大型网络公司的两部分基础设施结构。生产网络是互联网行业建设所围绕的中心点之一，由此可见比例占的很小的是给办公网络的安全。但是生产网络和办公网络并没有在传统互联网行业中出现，所以他们的网络安全就转换为办公网络安全。据我估计，随着 “互联网+”项目的加速发展，生产网络会在很多自己的企业中被广泛应用。

大型互联网企业在生产网络存在的过程中，网络安全的攻防策略才是网络安全解决方案，安全建设的最直接的驱动力就是怕被黑，怕被拖库，怕被劫持，怕被盗用。互联网公司基本都是站在实际角度去考虑问题，而传统企业做的就没那么好了，大型互联网公司一般考虑问题都是实际问题。曾经有一个例证，有的企业说想把防毒软件装在服务器上，不用推测，这一定是传统企业的思路。这些企业大多数是没有真正地做互联网安全，并且也没有被大型业务所困扰。这是因为大型互联网企业所考虑的非常多，单单是设备性能，运维成本，和软件需求成本就可以把这种需求抛弃，人对服务器的保护成本很高的，所以这种问题看似简单，但考虑的问题非常多。

2 网络安全与企业的关系

（1）网络安全部门的重要

通常情况下只有大企业才会在企业中设立网络安全部门，但随着互联网的发展，现在的网络攻击已经无处不在，许多中小型企业同样也是需要设立网络安全部门的，每个企业都在面临着强化网络安全的各种问题。

（2）主动应对安全威胁

网络攻击事件逐步升级，面对网络安全威胁时企业却不能存在侥幸心理。为了保证网络信息的安全，国家也想出了对策，发布了《网络安全法》，用强有力的手段让所有企业都感受到维护网络安全已经刻不容缓了。单单是被动防御还是不够的，企业应当自觉的主动建立起安全保障机制，以便随时应对各种网络攻击事件。

（3）更加重视邮件安全

邮件不论是在企业的内部还是外部，都是非常重要的沟通方式。企业需要做的不仅是过滤掉垃圾邮件，还需要对邮件中文中的附件和链接进行检查。毕竟在一定程度上，邮件安全就可以决定企业的网络安全，对于中小企业而言，加强邮件安全是更加重要的。

（4）保证信息的可用性

企业的数据信息不仅是决策层用于制定决策的一局，也是开展其他工作的一局。加强企业的信息安全工作，才能有效防止因数据信息丢失引起的人员、流程、技术服务的中断，才能确保企业的重要系统可以正常运行。

（5）企业支出更大

据调查，2018年全球信息安全产品与服务支出的总额增长到将近930亿美元。

“商务密邮”的加密邮箱是专门为企业定制，可以解决企业在邮件篡改、邮箱中间人攻击等 问题上的烦恼，以最低经济、最高效的方式快速提升企业邮件的安全性。

针对以上企业的问题，在此给出网络安全计划。

网络安全大方向上由于在网络环境下，计算机病毒有不可估量的威胁性和破坏力，一次计算机病毒的防范是网络安全性建设中重要的一环。所选的防毒软件应该构造全网统一的防病毒体系。主要面向MAIL、Web服务器，以及办公网段的PC服务器和PC机等。支持对网络、服务器、和工作站的实时病毒监控。网络安全计划通常将风险评估中确定的关键信息资产与核心业务流程、目标和任务相关联。在这种情况下，企业将其客户信息数据库作为关键信息资产，支持着企业运营。网络安全计划还将确定安全要求以及做法，以保护客户信息数据库以及关键业务流程。

信息安全架方面，信息安全架构的基本概念是，如果流入、流出以及流经信息网络的流量无法被看到，则无法有效监控。在这种情况下，企业确实有足够的网络监控来检测攻击期间流出网络的客户数据，而不是在攻击发生的几个月或者几年后。作为事后分析的一部分，企业的信息安全架构的性能将被评估，并将得出相关建议进行潜在变更。可能的变更包括为电子邮件和其他协议使用应用程序代理服务、控制数据传输、构建数据丢失保护系统以及改进整体网络监控。

[1]赵彦，江虎，胡乾威.互联网企业安全高级指南[M].机械工业出版社， 2016：27.