堅(jiān)持多舉措筑牢網(wǎng)絡(luò)信息安全長城
文|01一線
長城和大堤一樣必須堅(jiān)固，這樣，才能保住人機(jī)及其系統(tǒng)的長治久安。然而，筑牢它們靠什么？自然是依靠人本身，通過人的智慧去利用和改造機(jī)、物、料，還有方法、環(huán)境和檢測評價及其績效薪酬管理體系。
井岡山卷煙廠筑牢網(wǎng)絡(luò)信息安全長城同樣需要走出這樣的路徑，按照PDCA循環(huán)的過程多舉措筑牢防技和管理。
在P階段，做好調(diào)查研究和宣傳引導(dǎo)，提高員工網(wǎng)絡(luò)信息安全目標(biāo)風(fēng)險意識。這個目標(biāo)，就是堅(jiān)持建設(shè)組織統(tǒng)一的信息交換與資源共享平臺及服務(wù)體系，推進(jìn)軟件開發(fā)和應(yīng)用系統(tǒng)互通、資源共享，實(shí)現(xiàn)工廠工作數(shù)字化目標(biāo)，全面提高全體人員信息化應(yīng)用能力。為此必須堅(jiān)持“統(tǒng)一規(guī)劃、統(tǒng)一標(biāo)準(zhǔn)、統(tǒng)一設(shè)計、統(tǒng)一實(shí)施”的“四個統(tǒng)一”的原則，“5W1H”原則，必須探索建立業(yè)務(wù)、隊(duì)伍、信息化“三位一體”機(jī)制，明確“推進(jìn)建設(shè)、突出應(yīng)用、加強(qiáng)管理”的工作思路。任何階段編制下發(fā)的《信息化發(fā)展規(guī)劃綱要》及其年度計劃、項(xiàng)目計劃，要真正實(shí)現(xiàn)“三位一體”向“四個統(tǒng)一”的轉(zhuǎn)變，推進(jìn)信息化建設(shè)步入規(guī)范有序發(fā)展的快車道，為企業(yè)各項(xiàng)工作科學(xué)發(fā)展、快速高質(zhì)量發(fā)展提供有力支撐。這是策劃信息化建設(shè)全面部署和開展信息化建設(shè)的基本方向。具體工作還要落實(shí)到幾個聚焦上，我曾經(jīng)在2016年09月13日《東方煙草報》（管理前沿）發(fā)表過《精益活動應(yīng)聚焦什么？》，其中提到，精益管理活動是當(dāng)前企業(yè)內(nèi)部降本增效的重要抓手。但由于對其理念認(rèn)識不夠、理解不透，思想上沒有引起足夠重視，有的單位精益管理工作沒有挖掘出足夠的潛力。面臨高質(zhì)量發(fā)展新形勢，精益管理應(yīng)聚焦什么？怎么看、怎么干？解決這些問題，可從聚焦源頭、聚焦問題和聚焦短板三個方面進(jìn)行探索。生產(chǎn)規(guī)模設(shè)計、技改項(xiàng)目投資，包括某個領(lǐng)域的管理體系設(shè)計、信息系統(tǒng)規(guī)劃設(shè)計，哪怕小到一個機(jī)器部件和零件設(shè)計，都會從源頭上影響精益管理降本增效的成效。企業(yè)設(shè)計團(tuán)隊(duì)?wèi)?yīng)從安全成本以及“人、機(jī)、料、法、環(huán)、測”等各項(xiàng)資源要素的合理利用出發(fā)，在要素綜合管理層面下功夫、做文章。
在D階段，開好三種會議，一種是研究部署決策網(wǎng)絡(luò)安全工作黨委會議，另一種是信息化基礎(chǔ)管理專項(xiàng)診斷會議，再一種是動員傳達(dá)性的網(wǎng)絡(luò)安全工作專題會議。
第一種會議主要研究部署決策問題，部署年度或一個時期的企業(yè)網(wǎng)信安全和信息化工作。解決落實(shí)組織機(jī)構(gòu)、人員配備和隊(duì)伍建設(shè)及其工作職責(zé)和主體責(zé)任，培養(yǎng)和鍛煉造就一支過硬的企業(yè)信息化人員隊(duì)伍。建立專業(yè)技術(shù)人才培養(yǎng)晉升機(jī)制，打通專業(yè)培訓(xùn)和內(nèi)部交流通道，加快培養(yǎng)信息化專業(yè)團(tuán)隊(duì)建設(shè)，提升整體隊(duì)伍整體素質(zhì)；解決要編制和論證的當(dāng)前或今后一個時期企業(yè)網(wǎng)絡(luò)信息安全工作規(guī)劃（包括保障體系建設(shè)規(guī)劃）、年度計劃或方案（包括兩化融合方案）工作要點(diǎn)，部署和分解落實(shí)年度企業(yè)網(wǎng)絡(luò)信息安全項(xiàng)目（工作）和信息化項(xiàng)目（包括網(wǎng)絡(luò)信息安全保障運(yùn)維）論證和建設(shè)工作，全方位促進(jìn)網(wǎng)絡(luò)信息安全和信息化工作理念、機(jī)制、技術(shù)、管理和制度創(chuàng)新；解決網(wǎng)絡(luò)信息安全策略回頭檢查工作機(jī)制問題，其中包括驗(yàn)證其實(shí)效，對隱患開展的整改和加固工作，凈化網(wǎng)絡(luò)信息安全工作環(huán)境等策略，需要建立和健全的企業(yè)相關(guān)規(guī)章制度和信息化管理考核實(shí)施細(xì)則。包括健全網(wǎng)絡(luò)信息安全重大突發(fā)事件應(yīng)急管理機(jī)制。形成健全預(yù)案體系，實(shí)現(xiàn)統(tǒng)一指揮、協(xié)調(diào)、督促、演練，并審查重大網(wǎng)絡(luò)信息安全事件的處理工作。
第二種專項(xiàng)診斷會議主要是專題調(diào)研?？偨Y(jié)分析數(shù)字化工廠建設(shè)成效。梳理問題與情況，瞄準(zhǔn)當(dāng)前工業(yè)互聯(lián)網(wǎng)技術(shù)，開展一些項(xiàng)目的技術(shù)研究和應(yīng)用。爭取在一體協(xié)同、深度融合等重點(diǎn)工作方面有亮點(diǎn)、有特色。促進(jìn)網(wǎng)絡(luò)和各信息系統(tǒng)數(shù)據(jù)安全，數(shù)據(jù)處理上報完整、及時、準(zhǔn)確、真實(shí)、規(guī)范，提供各階層人員決策服務(wù)。
第三種會議主要是傳達(dá)學(xué)習(xí)形勢與任務(wù)。將上級網(wǎng)信安全工作會議精神充分傳達(dá)至各部門、各班組、各崗位，通過廣泛組織員工認(rèn)真學(xué)習(xí)，形成統(tǒng)一思想，提高認(rèn)識，準(zhǔn)確把握網(wǎng)絡(luò)安全形勢，努力營造濃厚的網(wǎng)絡(luò)安全工作氛圍。
源頭管控是開展精益管理活動的最大價值體現(xiàn)，必須引起足夠的重視。如果最初的方向或路線都錯了，那后續(xù)的損失將不可估量。
從源頭做起，也就是從最初的設(shè)計開發(fā)入手，這也是我們通常所說的頂層設(shè)計和底層設(shè)計。要依靠群策群力搞創(chuàng)新創(chuàng)造，以源頭治理為導(dǎo)向，充分做好方案的調(diào)研與論證后方能實(shí)施，對于各項(xiàng)資源的單項(xiàng)管理設(shè)計也是如此。至于后續(xù)開展的持續(xù)改進(jìn)活動，也不過是對于初期的架構(gòu)或產(chǎn)品、流程、信息系統(tǒng)的優(yōu)化與改善等。
從問題和風(fēng)險梳理做起，對于各項(xiàng)資源要素的管理，問題和風(fēng)險出在哪里，哪里就是推進(jìn)管理和技術(shù)安全的重點(diǎn)。對于企業(yè)而言，這既是提升管理效率和管理水平的機(jī)遇，也是對企業(yè)能否消除頑疾、實(shí)現(xiàn)突破的考驗(yàn)。為確保取得實(shí)效，必須聚焦問題，通過查找問題、從解決具體問題入手、從具體事情抓起，真正減少事情重復(fù)浪費(fèi)、優(yōu)化流程、降本增效。為此，要從改變員工思維方式入手，培養(yǎng)員工的對標(biāo)查找意識，引導(dǎo)員工運(yùn)用各種診斷工具和方法來處理日常工作。要建立健全問題解決機(jī)制，不斷總結(jié)和提煉工作中的好經(jīng)驗(yàn)、好做法，借助各類成果交流共享活動果實(shí)，并將確實(shí)能夠取得效能成果固化為相應(yīng)的管理標(biāo)準(zhǔn)、技術(shù)標(biāo)準(zhǔn)或工作標(biāo)準(zhǔn)，為消除影響效率、效益提升的癥結(jié)，開展精益改善打下基礎(chǔ)。
從盯住目標(biāo)和削除的短板做起，不論什么形式的管理行為，都必須以實(shí)現(xiàn)組織目標(biāo)為根本任務(wù)。短板處理來源于日常的目標(biāo)管理，目標(biāo)導(dǎo)向能夠讓我們盯住短板。相對于目標(biāo)管理由上至下、層層分解的模式，問題管理模式體現(xiàn)出較明顯的由下至上的自主管理特征，通常由企業(yè)員工在各自領(lǐng)域和日常工作中發(fā)現(xiàn)問題，給出解決方案并獲取配套的執(zhí)行資源。但是，若解決問題缺乏目標(biāo)導(dǎo)向，就會出現(xiàn)這樣的現(xiàn)象：員工不清楚要找什么樣的問題，或找到的問題不能推動組織關(guān)鍵績效改善等。因此，應(yīng)當(dāng)用一種更加科學(xué)、更加系統(tǒng)的方法將“目標(biāo)”和“問題”統(tǒng)一起來，指導(dǎo)管理實(shí)踐。任何目標(biāo)實(shí)現(xiàn)不理想或問題解決不充分，往往在策劃（P）環(huán)節(jié)就埋下隱患。在目標(biāo)管理實(shí)踐中，引入問題思維能較好解決這一問題。目標(biāo)與現(xiàn)狀存在差距，對這一差距可以利用問題管理的方法進(jìn)行分解，形成需攻克的若干項(xiàng)問題，企業(yè)對每一項(xiàng)問題制定解決計劃、配給執(zhí)行資源，確保問題得到解決。而在問題管理中引入目標(biāo)導(dǎo)向，可優(yōu)先查找制約組織目標(biāo)實(shí)現(xiàn)的重點(diǎn)、難點(diǎn)、焦點(diǎn)問題并予以解決。
近期，為貫徹落實(shí)公司網(wǎng)信安全工作會議和本單位安全月活動精神，進(jìn)一步檢查增強(qiáng)和鞏固企業(yè)網(wǎng)絡(luò)信息安全，井岡山卷煙廠迅速制定行動應(yīng)急預(yù)案，開展網(wǎng)絡(luò)信息安全風(fēng)險排查，筑牢網(wǎng)絡(luò)安全防線。
一是做好宣傳引導(dǎo)，提高員工網(wǎng)絡(luò)信息安全風(fēng)險意識。井岡山卷煙廠通過召開網(wǎng)絡(luò)安全工作專題會議，將公司網(wǎng)信安全工作會議精神充分傳達(dá)至各部門、各班組、各崗位，廣泛組織員工認(rèn)真學(xué)習(xí)，統(tǒng)一思想，提高認(rèn)識，準(zhǔn)確把握網(wǎng)絡(luò)安全形勢，努力營造濃厚的網(wǎng)絡(luò)安全工作氛圍。
二是做好摸底自查，夯實(shí)全廠網(wǎng)絡(luò)信息安全設(shè)施基礎(chǔ)。井岡山卷煙廠從信息安全出發(fā)，嚴(yán)格落實(shí)企業(yè)網(wǎng)絡(luò)管理規(guī)范，按照“一機(jī)一檔”的原則，對全廠所有辦公電腦進(jìn)行信息收集梳理工作，對安裝的辦公軟件及安全防護(hù)軟件的安全性及合法性進(jìn)行嚴(yán)格把關(guān)，嚴(yán)禁安裝未經(jīng)授權(quán)使用的盜版軟件，防止網(wǎng)絡(luò)安全漏洞。
三是做好防護(hù)措施，封堵全廠網(wǎng)絡(luò)信息安全漏洞短板。井岡山卷煙廠以安全月活動契機(jī)，嚴(yán)格執(zhí)行信息系統(tǒng)等級保護(hù)制度，梳理了網(wǎng)絡(luò)信息安全風(fēng)險清單，并嚴(yán)格按清單內(nèi)容進(jìn)行安全整改工作，現(xiàn)場檢查排查了所有辦公電腦和信息系統(tǒng)的賬戶和登錄密碼，消除了一些弱口令帶來的隱患風(fēng)險，全面清理了在工業(yè)生產(chǎn)網(wǎng)絡(luò)中接入的無線路由等無線設(shè)備，禁止在專網(wǎng)計算機(jī)存儲、處理涉密文件和信息等，從源頭上消除網(wǎng)絡(luò)信息安全漏洞短板。
在C階段，把握原則、方法和標(biāo)準(zhǔn)，適時開展職責(zé)落實(shí)情況和結(jié)果的檢查。比如項(xiàng)目建設(shè)是否堅(jiān)持了嚴(yán)格依法建網(wǎng)、管網(wǎng)和用網(wǎng)原則？主管部門是否認(rèn)真履行了綜合協(xié)調(diào)、監(jiān)督管理職能？是否明確了各個信息系統(tǒng)業(yè)務(wù)主管部門和運(yùn)行維護(hù)部門具體職責(zé)和落實(shí)了網(wǎng)絡(luò)安全責(zé)任制度？源頭安全關(guān)把握上是否做到了“兩個全覆蓋”（覆蓋所有業(yè)務(wù)部門和所有信息系統(tǒng)）？是否提升了全員網(wǎng)絡(luò)安全責(zé)任意識？問題整改是否徹底或有適當(dāng)舉措并納入到了日常績效管理考核？合作供方及人員管理是否充分并得到良性評價？各種工作機(jī)制和應(yīng)急處置體系是否建立健全并得到較好落實(shí)？各層次人員的網(wǎng)絡(luò)安全防護(hù)能力及應(yīng)急處置能力是否得到提升并達(dá)到了安全意識和行動上的共識？
近期，我廠依據(jù)檢查方案開展了一次查漏防護(hù)工作。對現(xiàn)場發(fā)現(xiàn)的問題做到立整立改或提出防護(hù)措施。
一是清理了目前無關(guān)的賬戶，消除了某些弱口令，重申了區(qū)域網(wǎng)絡(luò)盲區(qū)管理，對生產(chǎn)區(qū)域無線網(wǎng)絡(luò)、聯(lián)合工房公共無線網(wǎng)絡(luò)明確了使用和管理規(guī)定。排查了系統(tǒng)漏洞，按分工職責(zé)，開展了辦公電腦、服務(wù)器、工程師站、操作員站等涉及IT的設(shè)備及系統(tǒng)進(jìn)行定期殺毒，漏洞掃描，對于存在的系統(tǒng)漏洞及時進(jìn)行修復(fù)。斷開了閑置服務(wù)器，拆除或封閉了不必要的USB、光驅(qū)、無線等接口。
二是各部門辦公電腦系統(tǒng)按照“最小安裝”的原則，僅安裝需要的組件和應(yīng)用程序，并按照“一機(jī)一檔”的原則，建立軟件安裝檔案。如需安裝未列入《辦公電腦軟件安裝檔案表》的任何軟件，必須通過OA系統(tǒng)中“井煙信息化業(yè)務(wù)系統(tǒng)調(diào)整申請流程”經(jīng)部門負(fù)責(zé)人同意并得到信息管理科負(fù)責(zé)人審批通過后方能進(jìn)行安裝。開展了IT資產(chǎn)清理、信息系統(tǒng)等級保護(hù)規(guī)范，梳理和完善了IT資產(chǎn)安全臺賬和全廠IP地址臺賬。同步建立并實(shí)施了網(wǎng)絡(luò)信息系統(tǒng)現(xiàn)場應(yīng)急處置機(jī)制，編制并批準(zhǔn)實(shí)施了網(wǎng)絡(luò)和各信息系統(tǒng)現(xiàn)場應(yīng)急處置方案，實(shí)施了應(yīng)急處置方案演練，并不斷充實(shí)應(yīng)急處置經(jīng)驗(yàn)案例知識庫。
三是建立了《井岡山卷煙廠網(wǎng)絡(luò)安全及信息化考核細(xì)則》，明確了各部門年度、月度網(wǎng)絡(luò)安全及信息化考核評價方法，將網(wǎng)絡(luò)安全工作及各信息系統(tǒng)運(yùn)維納入年度綜合考核，以考核評價傳導(dǎo)壓力，確保網(wǎng)信安全和信息化工作貫徹到位、執(zhí)行到位。進(jìn)一步梳理了項(xiàng)目合同執(zhí)行情況，對外部合作方后期工作實(shí)行了供方服務(wù)評價機(jī)制。
四是針對可能的網(wǎng)絡(luò)安全隱患做好演練期間監(jiān)測防護(hù)工作。要求各部門利用班前會、部門會議加強(qiáng)部門所屬人員的網(wǎng)絡(luò)安全意識教育，著力強(qiáng)調(diào)在網(wǎng)絡(luò)攻防演習(xí)期間應(yīng)提高網(wǎng)絡(luò)安全意識，對于來歷不明的圖片、網(wǎng)站做到不點(diǎn)擊，不訪問。加強(qiáng)了在網(wǎng)絡(luò)攻防演習(xí)期間的監(jiān)測機(jī)制，信息主管部門每日對防火墻、上網(wǎng)行為管理和入侵檢測等網(wǎng)絡(luò)安全設(shè)備及系統(tǒng)進(jìn)行巡回查看監(jiān)測，并根據(jù)需求，更新相應(yīng)策略。建立健全了報告機(jī)制、應(yīng)急處置機(jī)制和檢查機(jī)制，明確了報告職責(zé)要求程序、遠(yuǎn)程作業(yè)控制管理程序，嚴(yán)格執(zhí)行制度規(guī)范，并將執(zhí)行和檢查結(jié)果納入績效考核。
在A階段，主要是總結(jié)分析，鞏固成果，提出改正方向。比如，我們內(nèi)部開展的網(wǎng)絡(luò)防御應(yīng)急演練總結(jié)取得的成果主要表現(xiàn)在：
一是源頭治理取得成效。開展了網(wǎng)絡(luò)安全設(shè)備與軟件的合理部署，加強(qiáng)了網(wǎng)絡(luò)邊界防護(hù)設(shè)備、人員權(quán)限、遠(yuǎn)程作業(yè)等環(huán)節(jié)的管理。嚴(yán)格實(shí)施生產(chǎn)、監(jiān)控、辦公分區(qū)分域的安全策略，加強(qiáng)了網(wǎng)絡(luò)流量監(jiān)控，對于異常情況，及時阻斷攻擊，并根據(jù)實(shí)際情況更新相應(yīng)策略。另外，通過開展“弱口令”、“掃漏洞”的網(wǎng)絡(luò)安全檢查活動，全面排查了弱口令、信息主管部門對未授權(quán)訪問等突出安全隱患，以及未按要求設(shè)置密碼的終端及時進(jìn)行了整改，并將密碼修改為字母、數(shù)字、特殊符號等3種以上組合且不少于8位。
二是凈化網(wǎng)絡(luò)環(huán)境取得成效。在企業(yè)召開的部署網(wǎng)絡(luò)與信息安全工作專題會上，重申了嚴(yán)格依法建網(wǎng)、管網(wǎng)和用網(wǎng)原則。信息主管部門認(rèn)真履行了綜合協(xié)調(diào)、監(jiān)督管理職能，做到“兩個全覆蓋”（覆蓋所有業(yè)務(wù)部門和所有信息系統(tǒng)），開展網(wǎng)絡(luò)安全宣傳教育與把握。同時，把問題整改作為網(wǎng)絡(luò)安全工作的重要內(nèi)容，提升了全員網(wǎng)絡(luò)安全責(zé)任意識。通過對網(wǎng)絡(luò)治理、臺賬與檔案建立、制度的不斷規(guī)范、工作長效機(jī)制建立與健全、執(zhí)行力檢查與考核、現(xiàn)場應(yīng)急處置方案演練等工作和環(huán)節(jié)的把控，從源頭把好安全關(guān)，從網(wǎng)絡(luò)監(jiān)管把好運(yùn)維關(guān)，從而構(gòu)建起來了法制網(wǎng)絡(luò)、健康網(wǎng)絡(luò)與和諧網(wǎng)絡(luò)，初步實(shí)現(xiàn)了所有業(yè)務(wù)部門和所有信息系統(tǒng)健康相處，和諧與共的良好網(wǎng)絡(luò)環(huán)境。
三是嚴(yán)格規(guī)范取得實(shí)效。建立健全了網(wǎng)絡(luò)安全現(xiàn)場應(yīng)急處置管理體系。通過演練評價，提高了大家的網(wǎng)絡(luò)安全意識、執(zhí)行力意識和網(wǎng)絡(luò)安全防護(hù)能力及應(yīng)急處置能力，發(fā)揮了網(wǎng)絡(luò)安全及信息化工作評價考核機(jī)制的作用。
同時，演練中也發(fā)現(xiàn)的某些不足。主要體現(xiàn)上，缺乏網(wǎng)絡(luò)漏洞掃描工具的應(yīng)用，沒有建立一個實(shí)時識別、分析、預(yù)警安全威脅的統(tǒng)一安全管理系統(tǒng)，防勒索、防病毒、防篡改、合規(guī)檢查等安全能力不足，不能幫助用戶實(shí)現(xiàn)威脅檢測、響應(yīng)、溯源的自動化安全運(yùn)營閉環(huán)，以及保護(hù)系統(tǒng)資產(chǎn)和本地主機(jī)并滿足監(jiān)管合規(guī)要求。有條件的話，建議部署一套集有Web、操作系統(tǒng)漏洞、配置基線掃描與資產(chǎn)內(nèi)容合規(guī)、弱密碼檢測等五大核心功能的網(wǎng)絡(luò)安全產(chǎn)品，這樣的話，就能自動發(fā)現(xiàn)網(wǎng)站或服務(wù)器的網(wǎng)絡(luò)安全風(fēng)險，提供多維度安全檢測服務(wù)，并滿足合規(guī)要求。
聯(lián)系客服
