- 相關推薦
關于個人信息的網(wǎng)絡安全保護的論文
隨著計算機及網(wǎng)絡技術的飛速發(fā)展，擁有大量個人信息的公共事業(yè)部門對個人信息的處理與傳遞更加方便和快捷了，這類系統(tǒng)注①需要在互聯(lián)網(wǎng)環(huán)境下實時地進行數(shù)據(jù)傳遞以實現(xiàn)為用戶提供服務的目的。在為用戶提供可查詢的信息服務和數(shù)據(jù)交流的同時，大量的個人信息隨時面臨著被泄露或被篡改的危險。就當今的個人信息管理者注②而言，這種以計算機網(wǎng)絡為載體、以電子介質(zhì)為存儲方式管理的個人信息比傳統(tǒng)的無網(wǎng)絡載體、以紙介質(zhì)為存儲方式具有更大的挑戰(zhàn)性，面臨著更大的個人信息安全風險。近年來，國內(nèi)外不斷發(fā)生的個人信息泄露事件，對公民的個人隱私安全造成了極大的威脅甚至使其蒙受了巨大的財產(chǎn)損失，引發(fā)了公民對個人信息安全的擔憂以及對個人信息管理者的質(zhì)疑，代表公民愿望的新聞媒體對個人信息保護的要求和呼聲也愈加強烈。因此，建設安全的網(wǎng)絡運行環(huán)境以保證公民個人信息的安全已成為個人信息管理者當前亟待解決的問題。
確系統(tǒng)的安全隱患
通常，這類系統(tǒng)是由內(nèi)網(wǎng)和外網(wǎng)構成的，內(nèi)網(wǎng)構造了一個完整的業(yè)務處理環(huán)境，運行和處理個人信息核心業(yè)務；外網(wǎng)則為利用互聯(lián)網(wǎng)登錄的用戶提供了聯(lián)接、使用本系統(tǒng)的服務窗口。由于互聯(lián)網(wǎng)使用的自由性、廣泛性以及網(wǎng)絡攻擊的頻繁性，組織內(nèi)部注③保管的個人信息隨時面臨著非正常用戶的非授權訪問。信息被篡改、泄漏甚至丟失等安全威脅，要達到系統(tǒng)安全、可靠、穩(wěn)定的目標，首先應通過風險分析明確系統(tǒng)的安全隱患，為最終規(guī)劃系統(tǒng)的網(wǎng)絡安全解決方案提供可靠的依據(jù)。
由于這類系統(tǒng)構造的龐大性和復雜性，為便于分析，我們一般采用系統(tǒng)工程的方法將系統(tǒng)劃分為物理層、網(wǎng)絡層、系統(tǒng)層、應用層和管理五個部分來進行分析，各部分存在的主要安全隱患是：
物理層安全隱患：物理層的安全隱患主要是網(wǎng)絡周邊環(huán)境和物理特性導致的網(wǎng)絡、線路和設備的不可用(如設備被盜、被毀壞、意外故障等)，進而造成網(wǎng)絡系統(tǒng)的癱瘓，它是網(wǎng)絡安全的前提。
網(wǎng)絡層安全隱患：網(wǎng)絡層的安全隱患主要是數(shù)據(jù)傳輸中的風險(如：信息的泄漏、丟失、偽造、篡改等攻擊)、網(wǎng)絡邊界風險、服務器安全風險、用戶安全風險等。
系統(tǒng)層安全隱患：系統(tǒng)層的安全隱患主要是來自于信息系統(tǒng)采用的操作系統(tǒng)、數(shù)據(jù)庫及相關商用產(chǎn)品的安全漏洞和病毒威脅。
應用層安全隱患：應用層的安全隱患主要是身份認證漏洞和非授權訪問，提供信息數(shù)據(jù)服務的服務器因缺乏安全保護，可能會被非法用戶直接訪問網(wǎng)絡資源，造成信息外泄。
管理的安全隱患：管理是網(wǎng)絡安全中最重要的一環(huán)，管理制度不健全或缺乏可操作性、各崗位責權不明或管理混亂等都可能造成安全隱患，這些缺陷使得系統(tǒng)在受到安全威脅的情況下不能實時地檢測、監(jiān)控、報告、預警，并可能導致事故發(fā)生后，缺乏對系統(tǒng)運行的可控性和可審計性。
建系統(tǒng)的安全保障體系
從個人信息安全隱患的分析中可以看出：系統(tǒng)面臨著多層次、多形態(tài)的安全隱患，解決系統(tǒng)的安全問題，只依靠某個單一的或孤立的安全技術手段是遠遠不夠的，不僅需要有完善的技術和可靠的設備做支撐，同樣需要有與之配套的安全管理制度作保障。因此，組織內(nèi)部應對系統(tǒng)的過程、策略、標準、監(jiān)督、法規(guī)、技術進行綜合后，構建一套完整可行的系統(tǒng)安全保障體系，如下圖所示的《系統(tǒng)安全保障體系框架》。
“基礎安全服務設施”、“內(nèi)部安全管理保障機制”、“安全技術支撐平臺”、“緊急事件處理與恢復機制”等組成了《系統(tǒng)安全保障體系框架》，各組成部分是相互制約的�！断到y(tǒng)安全保障體系框架》表明：完善的“內(nèi)部安全管理保障機制”是實現(xiàn)系統(tǒng)安全之根本；而“基礎安全服務設施”、“安全技術支撐平臺”是相互依賴的，只有實現(xiàn)了下層的安全，才能在真正意義上保證上層的安全；“緊急事件處理與恢復機制”是當系統(tǒng)一旦發(fā)生緊急事件時，為保障系統(tǒng)盡快恢復運行并將事故損失降到最低的保障預案。
劃系統(tǒng)的安全保護策略
從以上的分析中我們知道，控制、管理網(wǎng)絡系統(tǒng)和應用操作過程是實現(xiàn)系統(tǒng)安全的重要途徑，任何組織內(nèi)部的系統(tǒng)安全都是制度和技術的結(jié)合，要保證系統(tǒng)的個人信息安全，必須根據(jù)安全風險分析的結(jié)果，從安全管理、安全技術兩大方面規(guī)劃系統(tǒng)的安全保護策略，以實現(xiàn)個人信息在網(wǎng)絡環(huán)境下的可靠性、保密性、完整性、可用性、可核查性和可控性。
(一)安全管理
安全管理制度是各類安全保障措施的前提，也是其它安全保障措施實施的基礎。安全管理保障體系是以文檔化的方式管理系統(tǒng)中各種角色的活動，以組織內(nèi)部的政策和制度為準則，規(guī)范操作流程，以工作日志等手段記錄和審計操作過程。它主要包括：
1組織管理
應識別組織內(nèi)部的安全風險，制定對應的安全制度，明確信息安全事故報告流程，確保使用持續(xù)有效的方法管理信息安全事故，建立信息安全監(jiān)查工作制度，發(fā)現(xiàn)問題及時改進。
2員工管理
員工是系統(tǒng)安全的操作者，因而是系統(tǒng)安全的管理對象，要提高員工的信息安全意識，落實安全管理責任，責任分離以減少潛在的損失，定期進行信息安全知識培訓。
(二)安全技術
安全技術是通過在系統(tǒng)中正確地部署軟、硬件，利用各類安全產(chǎn)品和技術手段達到無偏差地實現(xiàn)既定的安全策略和安全目標，為整個網(wǎng)絡構筑起一個真實的安全環(huán)境。這里重點介紹：
1物理安全要點
物理安全是保證系統(tǒng)所涉及場所的環(huán)境、設備、線路的實體安全，防止基礎設施的非法使用或遭受破壞。應建立完善的電力保障系統(tǒng)及適宜的溫度、濕度等物理運行環(huán)境；具有良好的防雷擊、抗電磁干擾等基本保障設施；具備抵御地震、洪澇災害等抗自然災害能力；等等。
重要工作區(qū)域應設置物理安全控制區(qū)，建立視頻監(jiān)控系統(tǒng)和防盜設施，鑒別進入人員的身份并登記在案，將準入重要工作區(qū)域的人員限制在可監(jiān)控的范圍內(nèi)。
2主要技術手段
由于網(wǎng)絡安全存在很多問題，抵御網(wǎng)絡攻擊，防止信息泄密，預防信息破壞，控制用戶訪問范圍和權限是規(guī)劃網(wǎng)絡安全的重要內(nèi)容，通常采用的主要技術手段是：
(1)身份認證，識別技術
身份認證，識別技術是通過物理級、網(wǎng)絡級、系統(tǒng)級等多種手段，對網(wǎng)絡中用戶的訪問權限進行控制，是判斷和確認用戶真實身份的重要環(huán)節(jié)。它通過識別用戶的身份決定是否執(zhí)行其提出的訪問要求，可信的身份服務為驗證提供準確的用戶身份確認信息，沒有可信的身份驗證服務，防火墻就可能根據(jù)偽造的合法用戶身份做出錯誤的判斷。
(2)網(wǎng)絡反病毒及安全漏洞掃描技術
反病毒及安全漏洞掃描技術是防御網(wǎng)絡病毒和惡意代碼侵害的主要手段，反病毒技術可通過預防、查殺等技術手段實現(xiàn)對侵入計算機網(wǎng)絡系統(tǒng)的病毒實施安全地防御；而安全漏洞掃描技術則是通過對系統(tǒng)的工作狀態(tài)進行檢測、掃描并加以分析，找出可能威脅系統(tǒng)的異常系統(tǒng)配置，并及時做出反應。
(3)訪問控制技術
訪問控制技術可用于防止非法用戶的侵入并控制合法用戶對系統(tǒng)資源的非法使用行為，阻斷攻擊者從任何一個終端利用現(xiàn)有的大量攻擊工具發(fā)起對主機的攻擊、控制并進行非法操作或修改數(shù)據(jù)。
(4)防火墻技術
防火墻是保護網(wǎng)絡系統(tǒng)不受另一個網(wǎng)絡攻擊的網(wǎng)絡設備，它能夠隔離安全區(qū)域，根據(jù)制定的安全策略控制進出網(wǎng)絡的信息流向和信息包，提供使用和流量的日志和審計，隱藏內(nèi)部IP地址及網(wǎng)絡結(jié)構的細節(jié)，防止內(nèi)部信息的外泄。
(5)入侵檢測技術
入侵檢測是能夠監(jiān)視網(wǎng)絡或網(wǎng)絡設備的網(wǎng)絡資料傳輸行為的網(wǎng)絡安全設備，能夠即時的中斷、調(diào)整或隔離一些不正�；蚴蔷哂袀π缘木W(wǎng)絡資料傳輸行為，完成對網(wǎng)絡攻擊的決策分析，可分為實時入侵檢測和事后入侵檢測。
(6)設備／數(shù)據(jù)備份技術
設備／數(shù)據(jù)備份技術是保證系統(tǒng)持續(xù)運行的一項重要技術。設備備份是在網(wǎng)絡構建時，對重要的連接點考慮鏈路及設備的冗余和備份，確保網(wǎng)絡的高可用性；數(shù)據(jù)備份是對重要信息進行備份，并提供恢復重要信息的功能。
(7)數(shù)據(jù)加密技術
數(shù)據(jù)加密技術是網(wǎng)絡技術安全的基礎，是用加密密約和加密函數(shù)的方式偽裝需要保護的數(shù)據(jù)，使網(wǎng)絡設備、操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)和應用系統(tǒng)的鑒別信息、敏感的系統(tǒng)管理數(shù)據(jù)和敏感的用戶數(shù)據(jù)采用加密的方式實現(xiàn)存儲和傳輸過程中的完整性、保密性和安全性。
(8)日志、審計技術
日志、審計技術可用于檢測系統(tǒng)重要的安全相關事件，包括重要的用戶行為和重要系統(tǒng)功能的執(zhí)行等操作，經(jīng)對檢測數(shù)據(jù)分析后，盡早地發(fā)現(xiàn)可疑事件或行為，給出報警或?qū)勾胧?注意：審計記錄應受到保護，避免受到未預期的刪除、修改或覆蓋等。)
處理個人信息的公共服務系統(tǒng)，與公民的切身利益息息相關，選擇最優(yōu)的網(wǎng)絡安全解決方案，是保證個人信息安全、防止公民隱私泄漏的關鍵環(huán)節(jié)。因此，個人信息管理者在系統(tǒng)的建設初期，應根據(jù)所建設系統(tǒng)的應用環(huán)境、網(wǎng)絡結(jié)構和業(yè)務需求等特點，從可能導致個人信息安全的風險隱患分析人手，面向需求，構建一個能夠規(guī)避系統(tǒng)風險的、符合本部門業(yè)務需要的個人信息安全之網(wǎng)絡解決方案。
注①系統(tǒng)：本文泛指公共事業(yè)部門擁有的利用互聯(lián)網(wǎng)提供用戶服務(含用戶個人信息)的信息服務系統(tǒng)。
注②個人信息管理者：本文指“獲個人信息主體授權，基于特定、明確、合法目的，管理個人信息的機關、企業(yè)、事業(yè)、社會團體等組織及個人”。參見《個人信息保護規(guī)范》(DB21／T1628.1-2012)
注③組織內(nèi)部：本文指個人信息管理者組織內(nèi)部。
【個人信息的網(wǎng)絡安全保護的論文】相關文章：
個人信息安全保護措施論文10-11
大數(shù)據(jù)征信個人信息安全保護對策論文10-09
個人信息安全風險與防范論文10-09
網(wǎng)上求職要保護個人信息10-26
網(wǎng)絡安全本科論文4篇10-09
電信和互聯(lián)網(wǎng)用戶個人信息保護規(guī)定05-26
保護網(wǎng)絡安全倡議書02-18