系分考试准备的论文（5）：论企业数据安全与应用

论企业数据安全与应用<?xml:namespace prefix = o ns = "urn:schemas-microsoft-com:office:office" />

摘要：

　　本文以我2004年在某自来水公司实施的水务综合管理系统为例，详细介绍了企业信息化建设中的数据安全策略与应用，为保证企业数据安全我主要做了以下几项工作：（1）、将公司网络划分为不同的子网并通过防火墙对内外网进行隔离；（2）、创建域控制器对用户进行集中管理，采用Norton杀病毒软件防止病毒或木马程序的蔓延；（3）、对于数据管理系统采用系统集成的验证方式、为不同的用户创建分组并充分利用视图、存储过程以加强数据库的安全；（4）、应用系统对数据库的存取都采用统一的安全基础设施，在增强系统安全性的同时简化管理员的工作；（5）、制定严密的信息安全管理制度为数据安全应用提供制度上的保证。通过如上措施有效的保证企业运用的安全，得到了公司领导与同事的认可与赞许，同时我也认识到企业数据安全工作是一项长期持续的过程，任重而道远。

正文：

本人所在的某市级自来水公司经过多年的信息化建设已形成数个应用系统，如客户用水工程系统、抄表计量系统、营业收费管理系统、欠费催收系统、生产调度系统及客户服务系统等。由于原系统都是以各部门或分公司为主导建设的，因业务需求的“局部性”及当时技术条件的限制导致系统之间很难共享信息，同时企业业务数据特别是涉及客户费用的核心数据安全性也成为系统的一个致命伤，已不再适应公司业务发展的需要。为此，公司领导经过研究决定于2004年利用自身技术力量重新设计开发一套水务综合管理系统，我作为技术部的负责人，主持并参与了系统的方案选型、系统分析与设计工作。

新的水务综合管理系统涉及到客户用水工程、抄表计量、营业收费、欠费催收、用水报障、生产调度、客户服务及网上业务授理等不同的子系统，除了满足以上的业务功能需求以外系统还具备如下特点：（1）、系统涉及企业内部不同部门如日常业务、生产管理、财务与审计等，要求实现各部门之间应用的隔离；（2）、系统需要与外部系统如语音查询系统、银行客户增值业务系统（实现客户水费的批量及实时扣款处理）；（3）、网上业务授理要求系统利用Web方式为客户提供方便快捷的服务；（4）、防止非法用户通过业务系统、Web浏览器获取企业信息或对信息进行破坏。数据安全成了系统设计的首要目标，没有确实有效的安全措施而谈企业数据安全，就尤如无源之水，无本之木。

企业数据安全不应该只依赖于某一种安全技术或手段，如信息加密技术、身份验证、安全套接字、访问控制或审计技术等，而是需要一套安全策略作指导。根据公司的企业信息环境及系统建设的具体要求，为保证企业数据安全我主要做了以下几方面工作：（1）、将公司网络划分为不同的子网并通过防火墙对内外网络之间的通信进行过滤；（2）、创建域控制器对用户进行集中管理，采用Norton杀病毒软件防止病毒或木马程序的蔓延；（3）、对于数据管理系统采用系统集成的验证方式、为不同的用户创建分组并充分利用视图、存储过程以加强数据库的安全；（4）、应用系统对数据库的存取都采用统一的安全基础设施，在增强系统安全性的同时简化管理员的工作；（5）、制定严密的信息安全管理制度为数据安全应用提供制度上的保证。

因行业特点我公司各部门都较为分散，如各营业所、水厂就遍布于各镇区，同时部门繁多包括管理、工程、生产、仓储、财务、客服等，为让各部门或分公司都能在统一的网络环境中协同工作，而又不会影响各自的数据，我们采用一台Cisco三层交换机作为企业核心交换机，并将各部门划分为8个C类地址的VLAN从而将其隔离开来。在内网与外网之间采用一台netscreen ns25防火墙作为访问Internet的网关，同时用其创建了各分公司与总公司的VPN连接保证分公司的安全接入，也为外出人员提供了接入公司内网的能力，确保相关业务的连续性。

公司运行着3台数据库服务器、2台文件服务器、1台Web服务器、3台应用服务器和200多个客户端，上面是财务、抄表计量、营业收费及生产调度等核心业务，因此对于相关操作系统、数据库管理系统及业务系统的安全成为安全工作的重点。我们使用Windows 2003在网络中创建了一台主和备份DNS控制器并建立了活动目录，对所有用户的验证全部采用域验证方式，并禁止Guest帐户、不必要的服务及远程安装、注册表操作的功能，为用户的登录及相关操作建立操作审计日志记录。为防止病毒或木马程序给公司日常业务造成影响和对核心数据的破坏，我们在全公司范围部署了Norton企业版杀病毒软件，并利用其管理控制台完成对客户端的部署及病毒库的下载更新。

公司核心业务相关的数据都存储在数据库内，而我公司的数据库管理系统都采用SQL Server 2000。在信息化建设初期采用的是SQL Server验证方式，但当业务系统逐渐扩展到公司的其它部门时发现这种方式在管理上十分不便，于是我们采用了与系统集成的验证方式。对于新开发的应用系统我们则通过DNS实现的单点登录来简化系统的管理，同时创建了如SQL Server Admin、SQL Server Users、SQL Server Denied Users及SQL Server Developers等组对用户实行统一管理。在数据库的开发过程中我要求尽量使用视图、存储过程等对数据库进行操作，避免将数据操作代码固化到程序中以减少给不法份子进行注入式攻击的可能性，同时为保证企业运用的连续性使用了ARCServe Backup for win&mssql对数据库进行双机热备份。

在企业应用系统的设计过程中，如抄表计量子系统、营业收费子系统、生产调度子系统等，为减少安全设计的难度和复用已有资源，我们开发了企业统一的全局安全基础设施（Global Security Infrastructure，GSI），各子系统都通过GSI进行用户的验证、授权及审计操作。GSI有两种工作模式，（1）、与操作系统集成的安全管理策略，此时GSI作为应用系统的安全验证代理将用户的验证请求转发给DNS，DNS完成用户的验证及授权工作并实现单点登录；（2）、独立的安全管理策略，各应用系统共享一份由数据库保存的用户及分组信息，设计时我们引入了角色的概念，对于多应用系统可分别设计不同的分组与角色，不同的角色拥有不同的授权，用户的最终权限由各角色及私有权限的公共集合组成。通过GSI解决了长期困绕公司的多个应用系统的安全管理问题，用户也不用记住多个帐号与密码。

企业数据安全除了技术上的措施以外完善的安全管理制度则是安全工作的保证。为此我制定了一套安全管理制度主要包括，（1）、对中心机房的进入实行严格的登记制度，并要求管理员定期更改管理密码；（2）、要求系统管理员每日对系统相关的审计记录进行检查，以发现系统运行中的异常情况；（3）、定期对系统进行升级和打补丁以防止黑客利用系统安全漏洞对网络或服务器进行攻击；（4）、定期下载病毒库并为每台客户机进行分发，以保持系统能够对最新的威胁做出及时响应；（5）、对企业核心数据资产进行定期的备份，要求对备份数据进行异地存放，以防止火灾、地震等造成不可挽回的损失。通过制度与技术措施的结合为企业数据安全保驾护航。

新系统及系统安全改造工作于 2004 年底完成，通过以上措施有效的保证了企业数据安全，简化了系统管理人员的日常工作量，特别是基于 GSI 的单点登录的实施，得到了公司领导及同事的认可与赞许。同时，我也认识到企业数据安全工作是一项长期持续的过程，任重而道远，还需要我们在日后工作中做出不懈的努力。现阶段需要重点加强的工作是对公司相关人员安全意识的培训，以使企业信息安全制度与措施落到实处而非形式上的过程。

转载于:https://www.cnblogs.com/JackyXu/archive/2006/03/15/350705.html