武鋼信息系統整體安全防御體系的研究與應用

圖2 武鋼主干網整體安全防御體系的構建及系統優化結構圖

　　4 信息安全管理制度建設（ISMS）

　　信息安全保障是一個動態發展的過程，不但要貫穿于信息系統的生命周期，也要落實到信息系統使用的全過程。所以必須建立完善的管理體系來實現信息安全保障工作的可持續發展。

　　信息安全保障的一般原則是“3分技術，7分管理，以技術來保證管理手段的落實”；同時也是“3分建設，7 分運維，以維護來保證信息安全的持續改善”。為此，武鋼從更高的層面進行信息安全保障體系的建設。2006年開始參與國信辦信息安全管理試點工作，參照ISO27001國際標準，在更高水平和更深層次上保障信息安全。

　　雖然從技術手段上實施了信息安全工程，但信息系統安全是一個復雜的系統工程，信息安全工作是一項長期的工作，必須建立有效的管理制度體系。武鋼成立了公司計算機網絡安全保密領導小組和計算機專家組，陸續建立了《武漢鋼鐵（集團）公司新建和技改計算機系統建設規定》，《計算機信息系統安全管理條例》，轉發中共中央保密委員會《關于嚴禁用涉密計算機上國際互聯網的通知》，關于下發《公司電視網絡計算機互聯網絡安全管理辦法》，《武漢鋼鐵（集團）公司整體產銷資訊系統授權管理辦法》，《武漢鋼鐵（集團）公司信息化系統事故管理辦法（試行）》，《武漢鋼鐵（集團）公司信息系統突發事件應急預案》，《信息化系統建設及運行管理規定》，《武鋼涉密計算機規定》，《實施武鋼生產及管理網與國際互聯網物理隔離》，《武鋼國際互聯網上網專用區建設與管理辦法》。

　　通過信息安全管理制度建設，武鋼確定了公司信息安全的方針是：“全員參與 管控兼并 持續改進 確保安全”。

　　明確了公司信息安全的目標：

　　（1）實現公司信息與信息系統的保密性、完整性、可用性；
　?。?）全年重大信息安全事故為零；
　?。?）公司級信息安全系統功能運轉率達到98％；
　　（4）公司級信息系統作業率達到95%以上；
　　（5）公司級信息系統管理、使用、維護人員信息安全培訓覆蓋率超過60％；
　?。?）遵照PDCA不斷持續改進信息安全管理體系。

　　建立以集團公司總經理為最高領導的信息安全管理機構，并明確了各部門的信息安全職責；完成了公司管理手冊和30 個信息安全管理程序文件，初步建立公司信息安全管理體系架構等。這項工作由科技創新部負責，得到了公司領導的重視和支持，公司各職能部門積極參與，付出了艱苦的勞動；專業公司也花費大量的心血，同時得到國家頂級信息安全專家的指導，取得了豐碩的成果。這是武鋼信息安全建設的重大成就，也走在全國大型企業的最前列。

　　5 結束語

　　信息化也為武鋼發展注入了后發勢力，為提高武鋼整體管理水平，促進管理現代化，轉換經營機制，建立現代企業制度，都將發揮巨大的作用。確保武鋼信息系統安全是一個長期的、復雜的系統工程，在前期工作的基礎上，狠抓落實，在遵守國家相關法令、法規的前提下，堅持技術與管理并重、堅持以安全保發展、在發展中求安全，以信息安全管理體系為中心，通過全員參與信息安全管理體系建設，通過信息安全宣傳、教育與培訓，不斷提高公司員工的個人信息安全素質和公司信息系統的安全防范、安全管理能力，保障公司重要業務及信息系統的安全穩定運行；通過不斷地對公司信息安全管理體系進行內部審核和管理評審，使公司信息安全管理體系得以持續改進，按照信息系統“五統一”（統一規劃、統一審核、統一維修、統一管理、統一標準）的戰略思想，為武鋼的生產和發展創造安全高效的信息化環境，促進武鋼信息化系統安全、穩定、高效運行。

　　武鋼實施信息安全工程以來，有力地保證了武鋼整體產銷資訊系統的安全、高效和穩定運行，對武鋼的生產經營起到積極作用，通過武鋼信息安全管理體系的建立與實踐，武鋼人總結了信息安全的公式，這就是：信息安全＝防范意識＋先進技術＋完美流程＋嚴格的制度＋優秀的執行團隊＋法律保障。