构建信息安全体系 打造风险防控平台

梳理流程 建立分责管理体系，构建防范外侵 打造网络防控平台，信息严格内控 完善数据访问策略

      (通讯员 刘刚)当前，安全针对企业重要的体系IT信息系统，尤其是打造涉及金融、生产、风险防控营销等核心数据，平台极易受到外部网络攻击,构建同时，也容易出现内部管理员的信息恶意泄密、篡改，安全由此，体系数据安全面临较大的打造防控风险，如何提升防护能力显得尤为重要。风险防控

      近期，平台中国国航航空股份有限公司重庆信息分部（以下简称：重庆信息分部）根据实际生产情况，构建构建安全信息体系、打造风险防控平台，将部分重要IT信息系统纳入管控体系，从“建立分责管理体系、打造网络防控平台、完善数据访问策略”等三个方面着手，通过“制度+技术”的手段，规范各级管理员的权限和操作流程，以达到提升数据安全和风险防控的能力。

      一、梳理流程  建立分责管理体系

      建立科学有效的风险防控机制，制定相关制度、流程，明确各级管理员的职权，从而建立起分责管理的体系：

      1、根据系统的分级制度，将优先级别较高的“财务管理、餐饮管理、航班指挥、运营分析”等多个重要信息系统纳入风险管控范围。同时，完善了《信息系统安全运行管理规范》，从流程上进行规范，内容涵盖 运维处理流程、数据库管理规范、应急响应方案、安全基线手册等多个管理模块。

      2、采用“权限分离”的办法，合理设置分级操作与监督的关键岗位，明确划分各级管理员的职责权限，实施相应的分离措施，不同角色的管理员不得相互泄露口令，形成相互制约、相互监督的工作机制，可以有效防止因单个内部人员权限过高，而出现的数据窃取、泄密、篡改等徇私行为。

      3、定期结合人工检查及系统对账功能，对发现的问题及风险漏洞进行跟踪排查，将流程管理、信息技术与廉政风险防控深度融合。

二、防范外侵  打造网络防控平台

      通过现有软、硬件设施，打造立体式网络防控平台，及时阻断非法入侵行为，提升安全防范能力：

      1、加强上网行为管理，建立对路由器与交换机的ACL（Access Control Lists）访问控制列表。ACL可以提供网络访问的安全控制手段，包括：屏蔽网络代理工具，屏蔽非法网站，如钓鱼类网站；控制交换访问，对VPN访问、TCP拦截、Console接口、 Telnet或SSH访问实施控制，以此阻止非法访问设备的行为，借助于ACL，可以有效地控制用户对网络的访问，从而最大程度地保障网络安全。

      2、针对不同资源提供不同安全级别的保护，建立DMZ（Demilitarized Zone）安全服务区，用于公司内部网络和外部网络之间的安全缓冲。我们将E-Mail 服务器、WEB 服务器、FTP 服务器等需要为内部和外部网络同时提供服务的设备放置到防火墙后的DMZ 区内。通过策略规划，使DMZ中的服务器既免受到来自外网络的入侵和破坏，也不会对内网中的机密信息造成影响。这样，DMZ 服务区好比一道屏障，在其中放置外网服务器，在为外网用户提供服务的同时也有效地保障了内部网络的安全。

      3、开通网络行为监测审计功能，对防火墙和用户的网路访问做行为管理以及长期日志保存。包括：完善网络安全基线配置、修订防火墙策略、补丁升级、防病毒代码检测；对网络设备运行状况、网络流量、用户行为等进行日志记录并定期分析；开通防火墙设备的审计记录，并对审计记录进行保护，定期利用防火墙对边界网络进行入侵检测等等。

      根据上述措施的有效管理，重庆信息分部将入侵检测、网络监控、预警提示、访问审计等多个系统的数据进行整合，从而形成多维监控、多层级预警防控的手段。

      三、严格内控  完善数据访问策略

      针对上述系统的数据库安全需求，通过多种措施对数据进行细粒度的内部访问控制，实时掌握数据库存在的风险状况，加强敏感信息的访问审计监控，确保数据库访问合法合规。

      1、关闭所有系统的远程数据库连接，仅能本机进行数据库相关操作；同时关闭操作系统远程登录配置，仅能通过KVM本地连接或者虚拟化平台的本机登录（VMWARE主控制台）进行相关操作。

      2、重庆信息分部利用PYTHON程序自行开发出一套监控程序，对非计划任务的“快照回滚”进行监控、对服务器重启后的进程进行“自启动任务作业”设计，对“重要端口号”进行屏蔽和监控，加大整机备份频率。这样，能有效地防止因人为误操作带来的影响，提供有效的容灾保障机制，对人为越权操作等不可预知的问题应有良好的预防和恢复措施。

      3、严控后台管理员权限，防止数据库的高危操作，防止SQL攻击，开通数据库审计功能，重点实现：“数据库违规访问行为有实时预警”、“数据库操作有事后追溯取证”、 “核心数据防泄露、防篡改、防攻击”。

      4、定期对数据库、操作系统的安全配置进行检测，范围包括：系统类、认证类、授权类；定期进行漏洞扫描和修复、口令修改、访问行为规则检查等；通过了解业务系统的特性，进行针对化的策略配置，定期进行修正，使策略达到最佳状态。

      随着上述重点措施的逐步推进落实，逐渐完成信息安全体系和风险防控平台的构建，同时，重庆信息分部针对重点对象、重点领域和关键环节，不断健全动态的管理机制、风险预警机制和内外监督机制，在信息安全风险合规、脆弱性整改跟踪、重要信息资产的访问控制，以及综合的监测分析工具等方面的支撑能力方面得到显著提高。

      基于此，最终形成一套强有力的廉政风险防控体系，即防止来自网络外部的恶意攻击，又最大限度地杜绝来自系统内部的人为泄露，为公司的各项生产运营和管理工作，提供更安全、更高效、更积极的信息系统支持，充分发挥信息风险防控作用。