论文部分内容阅读
[摘 要] 石油企业掌握管理着我国重要资源，关系到国计民生，切实加强石油企业信息化应用的安全防范，通过对石油企业网络与重要信息系统安全中存在问题的梳理分析，构建较为全面的安全管理策略，确保企业稳步、健康发展。
[关键词] 石油企业 信息化 安全管理
随着信息技术的日益发达普及，在生产生活中，各大企业都在引入信息技术用以加强企业内部生产作业、销售采购、合同履行、财务管理等诸多事务的管理水平和运转效率，就石油企业来说，由于其特殊的行业属性，使得石油企业承担着管理和开发国家重要资源，其网络信息安全的重要性可见一斑。在日常的工作实践中将大量信息存储在计算机中，并通过网络传递，在为企业管理提供极大方便的同时，也受到日益严重的信息安全性的威胁，如网络的数据窃贼、黑客的侵袭、病毒发布者，甚至系统内部的泄密者。石油企业在国民经济中发挥着重要作用，任何风险都可能导致国家经济受到重大影响。因此，提高石油企业信息安全意识，加强信息安全管理工作尤为重要。下面，针对目前市级石油销售企业信息系统工作现状，加强信息安全管理应作好哪些具体工作进行浅述。
一、系统集成运行安全
以市级石油销售公司为例，目前应用的管理系统有ERP系统、加油站计量系统、购销存系统、油库计量系统、油库发油系统、调拨单系统、OA办公系统等。多个系统，不同管理目标，对企业的购、销、存业务及日常管理进行全面控制，各个系统协同运作，方便企业敏捷管理和严密控制。特别是ERP（Enterprise Resource Planning）系统，以现代信息技术为平台，以系统化的管理思想，集成ERP管理理念与企业具体业务流程，做到以财务管理为核心，将财务、采购、销售、库存和设备管理等五个业务功能集成，资源整合，流程优化，信息共享，管理涉及的产品包括成品油、润滑油和小产品（如沥青、馏分油、溶剂油等）。按照销售管理的要求，实现业务信息标准化（包括业务的单据、流程、统计）和数据信息标准化（包括客户、供应商、油品），对业务执行层和业务控制层进行分级权限设定，提供实时、多维报表查询和分析。因此，选择功能健全、设计完整、售后可靠的ERP管理系统对企业信息安全管理能够起到一定的保障作用。
二、各类数据存储安全
在企业信息管理系统中，大量的购、销、存等业务、财务数据、文档及客户资料，以存储介质形式存在于计算机中，会由于电磁辐射或数据可访问性等弱点，受到人为和非人为因素的破坏。数据一旦遭到破坏，将会严重影响企业日常业务的正常运作——贻误商机、客户不满、运营效率低、企业声誉受损。因此保证各类数据的安全，就是保证企业的安全。
（一）建立日常数据维护制度，数据安全责任到人
为确保数据保存的可靠、稳定。要对数据存储环境进行经常性的维护。定期对有关设备进行保养、防火、防潮、防电、防尘等管护工作，保持机房与设备的整洁；全方面考虑系统外部环境，防止电磁辐射、防止通信干扰及自然灾害（如雷电、地震、火灾、水灾）等，造成的数据破坏；定期对信息系统进行维护和硬件故障的排除，避免因存储介质和传输介质的故障，导致数据丢失。
（二）建立数据备份维护制度，提高数据管理安全性
数据备份作为提高数据安全的有效策略，能够很大程度的保障数据的安全，系统在发生故障后能够通过备份还原及时恢复业务，尤其是业务运营压力较大时，为了避免太多系统资源被占用，还可以采用增量备份；加强数据档案的管理，并由专人负责；对安装的防病毒软件及时更换更新，选择一个基于服务器系统平台并针对桌面操作系统的防病毒产品；加强系统访问控制（为各级员工提供完成工作所需的用户权限）、实行数据备份和加密、增强系统容灾技术等提高数据管理的安全性。
三、数据网络传输安全
在石油产业链中，企业的购、销、存等项业务发生于不同部门、不同地理位置，相互间的数据传输通过网络实现。由于网络具有开放性、互联性和联结形式多样性等特征，使得信息传递同样存在自然和人为等诸多因素，如网络协议TCP/IP的安全性和黑客入侵等。网络提高了企业运行效率的同时，其自身的安全问题却不容忽视。
（一）如何克服客户端安全漏洞
市级石油销售企业的ERP系统一般都是一个基于客户/服务器结构和开放系统的、集成的企业资源计划系统，身份和访问管理功能是应用程序安全策略的核心，要严格的限制外部访问的权限，并且一定要注意权限的设置；启用密码策略，实施入网访问控制；应用信息加密，不仅能克服ERP系统中服务器端与客户端数据明文传输的弊病，还可有效防止网络窃听。
（二）使用加密移动存储设备
加强移动存储设备的管理和使用，采用加密移动存储设备，在工作中避免使用来历不明的软盘和各种非法拷贝的软件，在一定范围内，会防止计算机病毒的感染与传入，防止移动存储设备随意使用造成的泄密事件发生，防止使用不当造成设备损坏丢失数据。
（三）网络的安全防范策略
目前的石油销售网络采用专网实时连接、专线连接、电话拨号、ADSL、无线方式等不同连接方式，多个管理系统协调配合，各部门业务流程紧密衔接，使企业的物流、资金流、信息流实现在内外网之间的共享和传递，可谓层次分明，结合有机，层层递进。
防火墙技术是一种行之有效且应用广泛的网络安全机制。一方面，在网络通讯时阻止网络中的黑客攻击。黑客通过分析漏洞，建立模拟环境，最后实施攻击，获取系统的访问权，进行读取、搜索和盗窃文件，毁坏数据，破坏系统。防火墙通过执行一种访问控制规则，保护内部网络资源免遭非法使用者的侵入。另一方面，防火墙技术可有效抵制网络病毒传播。计算机病毒可同时对系统的软件和硬件造成破坏，甚至导致系统崩溃。在网络环境下，病毒的传播更难以清除。尤其是当前频发的木马病毒，以其高度的隐蔽性、危害性、目的性已经给企业、国家造成巨大的经济损失。单机安装的防火墙技术使内部网络与Internet之间或与其他外部网络互相隔离，加强上网计算机的安全。但是，防火墙技术通过隐蔽内部网络结构，只做到限制外部网络到内部网络的访问。对于网络内部的侵袭，可利用网络监听维护，对各个子网做一个具有一定功能的监听程序，掌握内网计算机之间的联系情况，为网络管理人员分析自己的网络运作状态提供依据。
另外，还可以利用入侵检测技术，用于检测计算机网络中违反安全策略行为；漏洞扫描技术，利用优化系统配置和打补丁等方式最大可能地弥补最新的安全漏洞和消除安全隐患；利用MAC地址唯一性的特点，在路由器上捆绑IP和MAC地址解决IP盗用等问题。
四、提高各级员工安全意识
信息安全工作能否顺利进行，说到底是要落实到人的身上。要把每个环节落实到进行这种具体操作的员工身上。作为石油销售企业，因为商品特殊、业务复杂、管理难度大，要求员工除了具备相当的业务能力，还要树立信息安全意识，员工安全意识的缺失同样影响到信息安全，如保密观念不强造成信息外泄、存储介质遗失等。
（一）信息安全教育制度化
加强员工信息安全教育，建立信息安全培训制度，定期安排员工进行信息安全教育。加强法制教育和职业道德教育，使员工从硬件设备及软件系统的使用、维护、管理、服务等各个环节，明白数据信息安全的重要性；掌握一定的安全知识（如备份本地的数据）；掌握一定的网络知识（如数据共享）；养成良好的计算机使用习惯，杜绝无意的人为失误。
（二）明确信息安全管理责任
明确信息安全管理的组织结构，明确安全管理责任。结合实际制定信息安全管理方案，制定信息系统操作制度和规程；设置专门数据管理岗位，对数据实行专人管理，加强用户管理；对所有登录到系统的操作人员做细致的权限划分，保证数据共享范围，进行访问控制；建立电脑日志文件，通过分析用户的登陆时间和IP地址，查看审核记录；制定应急措施，明确信息安全管理责任，建立信息安全管理监督机制等，来确保信息系统安全、可靠地运行。
信息安全管理是一项系统的工程，企业的信息安全管理需要伴随信息化发展程度，不断进行动态调整，结合企业的实际经营管理，从技术层面和管理角度全面分析，兼顾成本和效益，寻找漏洞，使石油企业在面对国内外市场竞争加剧，国内成品油零售市场全面放开，国外石油公司进入中国市场从事分销和零售业务等纷繁复杂的局面下，充分利用信息化的成果进行管理创新，提升管理水平和竞争力，为企业健康、高效、可持续发展提供可靠的保障。
[关键词] 石油企业 信息化 安全管理
随着信息技术的日益发达普及，在生产生活中，各大企业都在引入信息技术用以加强企业内部生产作业、销售采购、合同履行、财务管理等诸多事务的管理水平和运转效率，就石油企业来说，由于其特殊的行业属性，使得石油企业承担着管理和开发国家重要资源，其网络信息安全的重要性可见一斑。在日常的工作实践中将大量信息存储在计算机中，并通过网络传递，在为企业管理提供极大方便的同时，也受到日益严重的信息安全性的威胁，如网络的数据窃贼、黑客的侵袭、病毒发布者，甚至系统内部的泄密者。石油企业在国民经济中发挥着重要作用，任何风险都可能导致国家经济受到重大影响。因此，提高石油企业信息安全意识，加强信息安全管理工作尤为重要。下面，针对目前市级石油销售企业信息系统工作现状，加强信息安全管理应作好哪些具体工作进行浅述。
一、系统集成运行安全
以市级石油销售公司为例，目前应用的管理系统有ERP系统、加油站计量系统、购销存系统、油库计量系统、油库发油系统、调拨单系统、OA办公系统等。多个系统，不同管理目标，对企业的购、销、存业务及日常管理进行全面控制，各个系统协同运作，方便企业敏捷管理和严密控制。特别是ERP（Enterprise Resource Planning）系统，以现代信息技术为平台，以系统化的管理思想，集成ERP管理理念与企业具体业务流程，做到以财务管理为核心，将财务、采购、销售、库存和设备管理等五个业务功能集成，资源整合，流程优化，信息共享，管理涉及的产品包括成品油、润滑油和小产品（如沥青、馏分油、溶剂油等）。按照销售管理的要求，实现业务信息标准化（包括业务的单据、流程、统计）和数据信息标准化（包括客户、供应商、油品），对业务执行层和业务控制层进行分级权限设定，提供实时、多维报表查询和分析。因此，选择功能健全、设计完整、售后可靠的ERP管理系统对企业信息安全管理能够起到一定的保障作用。
二、各类数据存储安全
在企业信息管理系统中，大量的购、销、存等业务、财务数据、文档及客户资料，以存储介质形式存在于计算机中，会由于电磁辐射或数据可访问性等弱点，受到人为和非人为因素的破坏。数据一旦遭到破坏，将会严重影响企业日常业务的正常运作——贻误商机、客户不满、运营效率低、企业声誉受损。因此保证各类数据的安全，就是保证企业的安全。
（一）建立日常数据维护制度，数据安全责任到人
为确保数据保存的可靠、稳定。要对数据存储环境进行经常性的维护。定期对有关设备进行保养、防火、防潮、防电、防尘等管护工作，保持机房与设备的整洁；全方面考虑系统外部环境，防止电磁辐射、防止通信干扰及自然灾害（如雷电、地震、火灾、水灾）等，造成的数据破坏；定期对信息系统进行维护和硬件故障的排除，避免因存储介质和传输介质的故障，导致数据丢失。
（二）建立数据备份维护制度，提高数据管理安全性
数据备份作为提高数据安全的有效策略，能够很大程度的保障数据的安全，系统在发生故障后能够通过备份还原及时恢复业务，尤其是业务运营压力较大时，为了避免太多系统资源被占用，还可以采用增量备份；加强数据档案的管理，并由专人负责；对安装的防病毒软件及时更换更新，选择一个基于服务器系统平台并针对桌面操作系统的防病毒产品；加强系统访问控制（为各级员工提供完成工作所需的用户权限）、实行数据备份和加密、增强系统容灾技术等提高数据管理的安全性。
三、数据网络传输安全
在石油产业链中，企业的购、销、存等项业务发生于不同部门、不同地理位置，相互间的数据传输通过网络实现。由于网络具有开放性、互联性和联结形式多样性等特征，使得信息传递同样存在自然和人为等诸多因素，如网络协议TCP/IP的安全性和黑客入侵等。网络提高了企业运行效率的同时，其自身的安全问题却不容忽视。
（一）如何克服客户端安全漏洞
市级石油销售企业的ERP系统一般都是一个基于客户/服务器结构和开放系统的、集成的企业资源计划系统，身份和访问管理功能是应用程序安全策略的核心，要严格的限制外部访问的权限，并且一定要注意权限的设置；启用密码策略，实施入网访问控制；应用信息加密，不仅能克服ERP系统中服务器端与客户端数据明文传输的弊病，还可有效防止网络窃听。
（二）使用加密移动存储设备
加强移动存储设备的管理和使用，采用加密移动存储设备，在工作中避免使用来历不明的软盘和各种非法拷贝的软件，在一定范围内，会防止计算机病毒的感染与传入，防止移动存储设备随意使用造成的泄密事件发生，防止使用不当造成设备损坏丢失数据。
（三）网络的安全防范策略
目前的石油销售网络采用专网实时连接、专线连接、电话拨号、ADSL、无线方式等不同连接方式，多个管理系统协调配合，各部门业务流程紧密衔接，使企业的物流、资金流、信息流实现在内外网之间的共享和传递，可谓层次分明，结合有机，层层递进。
防火墙技术是一种行之有效且应用广泛的网络安全机制。一方面，在网络通讯时阻止网络中的黑客攻击。黑客通过分析漏洞，建立模拟环境，最后实施攻击，获取系统的访问权，进行读取、搜索和盗窃文件，毁坏数据，破坏系统。防火墙通过执行一种访问控制规则，保护内部网络资源免遭非法使用者的侵入。另一方面，防火墙技术可有效抵制网络病毒传播。计算机病毒可同时对系统的软件和硬件造成破坏，甚至导致系统崩溃。在网络环境下，病毒的传播更难以清除。尤其是当前频发的木马病毒，以其高度的隐蔽性、危害性、目的性已经给企业、国家造成巨大的经济损失。单机安装的防火墙技术使内部网络与Internet之间或与其他外部网络互相隔离，加强上网计算机的安全。但是，防火墙技术通过隐蔽内部网络结构，只做到限制外部网络到内部网络的访问。对于网络内部的侵袭，可利用网络监听维护，对各个子网做一个具有一定功能的监听程序，掌握内网计算机之间的联系情况，为网络管理人员分析自己的网络运作状态提供依据。
另外，还可以利用入侵检测技术，用于检测计算机网络中违反安全策略行为；漏洞扫描技术，利用优化系统配置和打补丁等方式最大可能地弥补最新的安全漏洞和消除安全隐患；利用MAC地址唯一性的特点，在路由器上捆绑IP和MAC地址解决IP盗用等问题。
四、提高各级员工安全意识
信息安全工作能否顺利进行，说到底是要落实到人的身上。要把每个环节落实到进行这种具体操作的员工身上。作为石油销售企业，因为商品特殊、业务复杂、管理难度大，要求员工除了具备相当的业务能力，还要树立信息安全意识，员工安全意识的缺失同样影响到信息安全，如保密观念不强造成信息外泄、存储介质遗失等。
（一）信息安全教育制度化
加强员工信息安全教育，建立信息安全培训制度，定期安排员工进行信息安全教育。加强法制教育和职业道德教育，使员工从硬件设备及软件系统的使用、维护、管理、服务等各个环节，明白数据信息安全的重要性；掌握一定的安全知识（如备份本地的数据）；掌握一定的网络知识（如数据共享）；养成良好的计算机使用习惯，杜绝无意的人为失误。
（二）明确信息安全管理责任
明确信息安全管理的组织结构，明确安全管理责任。结合实际制定信息安全管理方案，制定信息系统操作制度和规程；设置专门数据管理岗位，对数据实行专人管理，加强用户管理；对所有登录到系统的操作人员做细致的权限划分，保证数据共享范围，进行访问控制；建立电脑日志文件，通过分析用户的登陆时间和IP地址，查看审核记录；制定应急措施，明确信息安全管理责任，建立信息安全管理监督机制等，来确保信息系统安全、可靠地运行。
信息安全管理是一项系统的工程，企业的信息安全管理需要伴随信息化发展程度，不断进行动态调整，结合企业的实际经营管理，从技术层面和管理角度全面分析，兼顾成本和效益，寻找漏洞，使石油企业在面对国内外市场竞争加剧，国内成品油零售市场全面放开，国外石油公司进入中国市场从事分销和零售业务等纷繁复杂的局面下，充分利用信息化的成果进行管理创新，提升管理水平和竞争力，为企业健康、高效、可持续发展提供可靠的保障。