保障信息系统

保障信息系统（共12篇）

保障信息系统 篇1

1. 前言

随着信息技术的飞速发展和网络技术在各行业的广泛应用, 世界各国的信息化取得了飞速的发展。信息系统在国民经济和社会信息化的背景下, 提高了办公效率, 改善决策和投资环境, 为信息管理、服务水平的提高提供了强大的技术支持。同时, 由于其信息系统的开放性, 针对信息系统的信息安全事件也频繁发生, 安全威胁越来越严重, 信息系统的信息安全问题已成为世界各国重点关注和亟待解决的问题。

世界各国为了解决信息系统的安全问题, 普遍采用了检查、评估等方法来保证信息系统的安全性, 并建立了相应的法律、标准、规范等, 其中以美国的信息安全检查指标体系最具代表性。我国一些关系到国计民生的重点行业为保证信息系统的安全性, 也采取了安全检查的方法来保证信息系统的安全性。

2. 国外信息系统安全检查评估现状

美国联邦信息安全管理法案 (Federal Information Security Management Act, FISMA) 要求联邦各机构对每一个系统实施“定期的有效性测试与评估, 考察信息安全的策略、流程与措施。评估的频率视风险而定, 但不能少于每年一次”。这种评估包括对管理、运行和技术类控制的测试。该条款不要求联邦机构实施国家标准技术研究院 (National Institute of Standards and Technology, NIST) 的认证和认可指南中所需要的复杂的测试, 而是要求维护一个持续不断的风险评估过程, 以确保安全控制能将风险维持在一种可接受的级别上。该条款还强调了对各系统安全状态的了解, 以便正确地维护系统级的行动和里程碑计划 (Plan of Action and Milestone, POA&M) , 并要求在每年度准确地报告各机构IT安全项目的总体态势。

年度FISMA检查的广度和深度依赖于多种因素。

1) 可接受的风险级别以及系统或信息遭受危害的程度;

2) 系统配置和设置得到在案记录以及持续监督的范围;

3) 补丁管理的实施范围;

4) 最近一次检查的相对综合性;

5) 作为系统认证和认可的组成部分的最近一次深度测试与评估的时间。

行政管理和预算局 (Office of Management and Budget, 以下简称OMB) 在每年夏季公布上一年7月1日至下一年6月30日 (一个会计年度) 的信息安全管理实施报告指南, 要求各部门信息主管及由美国审计总署委派、总统任命、独立于各部门的监察长提交报告, OMB再根据前面两个来源的报告撰写总报告后提交国会审议。

OMB制定了一个考评准则, 满分为100分。在OMB的考评准则中, 大部分是针对广泛人群的提问调查。因此, 得分与某项信息安全工作在部门内实施的范围成正比。0分表示比例小于最低要求, 例如只有29%甚至更低比例的雇员接受过信息安全培训;不同的比例范围将被赋予不同的分数, 总分数由各单项分数汇总而成。

除OMB提交的报告外, 美国还有另外一份由国会众议院监管及政府改革委员会 (Committee on Oversight and Government Reform) 做出的政府信息系统安全评估报告。监管及政府改革委员会做出的报告的基础数据来源也是各部门提交的报告, 但其评价方法是量化的。监管及政府改革委员会特地制定了一套政务信息系统安全检查指标体系, 评分后可以直观地了解政府各部门电子政府信息安全的基本情况。

美国众议院监管及政府改革委员会根据各部门提交的报告, 依照评分框架, 每年春季提出各部门的评分与评级结果。该指标体系提供了一个政府各部门信息安全基本情况的排名方法:首先是依据信息安全检查评分框架对各政府部门进行评分, 然后再根据不同部门的评分或评级的高低对部门进行排序, 得出各部门之间信息安全基本情况的横向比较。

俄罗斯在保障政府信息系统信息安全方面做了大量的工作。俄罗斯宪法把信息安全纳入了国家安全管理范围, 颁布了《联邦信息、信息化和信息网络保护法》, 强调了国家在建立信息资源和信息网络化中的责任。俄罗斯联邦政府联络与情报局为俄罗斯联邦国家政权机关建立了因特网网段RGIN (Russian Government Internet Network) , 并建成了高效安全的“阿特拉斯”数据传输, 确保俄罗斯联邦各主体行政中心之间文件的网络传输。

他们还确立了《计算机系统安全评估标准》、《产品安全评估软件》等一系列完善的系统安全评估指标。同时, 建立了联邦经济信息保护中心, 负责政府网络及其他的专门网络、网络信息配套保护、国家政权机关信息技术保障等。俄罗斯十分重视信息安全检查工作, 从法令、机构人员、资金、技术、管理等角度对信息安全检查工作予以全方位的支持和保障。

英国政府非常重视对信息安全法律法规执行情况的监督检查。一些政府部门设有专门的工作小组负责对有关电子政务建设法律法规和规章制度的贯彻落实和监督检查。例如英国教育与技能部有6人工作小组, 专门负责《数据保护法案》和《信息自由法》两法执行情况的监督检查。为形成制约机制, 对法律法规执行情况进行有效的监管, 他们采取了一些行之有效的措施, 如将机关工作人员执行法律法规和规章制度的情况与其业绩和奖惩挂钩, 若有违犯有关规定的行为, 一经发现轻则由人事部门提出警告, 重则开除。

德国在内政部下建立了信息安全局, 负责促进政府、企业和个人在IT应用方面的安全工作, 保证政府信息系统的安全性、实施信息安全技术的合法性及相关标准的统一性等。从确立安全要求, 到应用信息安全技术的计划、设计、实施、评估以及安全检查等, 德国政府进行了多方面的信息安全任务。但是德国信息安全检查工作还存在着一些不足, 例如工作人员责任不清, 授权不明, 检查工作无认证、无标准、无评估, 缺乏经常的监控工作等。

3. 国内信息系统安全检查评估现状

近几年来, 我国电力企业信息化投资占企业总投资的比重越来越大, IT基础设施不断完善, 信息系统越来越多。信息系统安全对电力企业意义重大, 它应该与电网安全一样被重视。

事实上, 2003年, 国家电网公司已将国家电力信息系统的安全运行纳入到电力安全生产管理的范畴, 把信息系统的安全管理纳入电力安全生产体系, 实行了信息系统安全运行报表制度和监督管理制度。电力企业经过多年的电力生产安全管理实践, 形成了一套电力安全生产规章制度, 建立了电力生产安全管理机制, 并且根据现代电力生产管理需求, 基于风险管理的理论, 开展了安全性评价工作。《供电企业安全检查性评价》从生产设备系统、劳动和作业环境、安全生产管理三个方面进行危险性查评诊断, 并坚持“自查、自检、自改”以及专家查评与单位班组自查相结合的原则, 将安全生产管理的重心放到一线班组, 实现安全生产各项管理工作的标准化、规范化, 用规范化的管理实现安全生产的动态过程管理。

供电企业将信息系统安全检查提高到电力安全生产的高度, 并借鉴电力生产安全性评价的做法, 对信息系统安全检查工作常态化, 坚持“自查、自检、自改”, 并坚持安全性评价专家查评与班组自查相结合的原则。

保险信息系统安全问题关系保险业发展全局, 也关系到社会经济的稳定。现代保险业的运转对信息化的依赖程度与日俱增, 信息化不再只是一种辅助的手段, 而是已成为保险机构的大动脉。

中国保监会早已认识到保险业信息系统安全检查的重要性, 在2008年奥运和2009年国庆期间, 保监会都组织了保险业的信息系统安全大检查。保险业信息安全检查工作以各公司自查为主, 主要围绕“内控与组织管理”和“信息技术管理”两个重点开展。保监会统计信息部负责全行业信息系统安全检查工作的组织领导, 并组织检查组对部分公司进行现场检查;各公司负责各自信息系统的安全检查工作的组织实施。

在保险公司进行自查的基础上, 保监会组织网络与信息安全检查组, 对部分保险公司和部分地区的分公司进行现场检查, 在检查中采用抽查方式对核心业务系统进行安全评测, 根据检查情况和评测结果对被检查单位提出整改意见。

随着电信新技术、新业务的不断涌现, 尤其是互联网的蓬勃发展以及电信运营企业向综和信息服务提供商的战略转型, 传统电信网络与现代通信网络的“网络与信息安全”概念有了很大的不同, 做好网络与信息安全工作显得更加重要与突出。在工业和信息化部的要求下, 各省通信管理局开展了信息系统安全检查工作, 提高了电信网络的抗风险能力, 推动了电信网络信息安全保障工作。

电信信息系统安全检查重点检查计算机安全规章制度的落实情况、安全人员的配备、防病毒措施等, 采取企业自查、分组交叉检查和重点抽查相结合的方式, 督促和检查各企业电信网络安全工作的落实情况, 帮助企业进一步完善电信网络安全防范和应急体系。企业以自查工作为契机和动力, 发现自身存在的问题和不足, 制定整改计划和措施着手解决。通过分组交叉检查对电信企业进行了横向比较分析和总结, 促进了相互学习、取长补短, 提高了网络与信息安全的保障能力和水平。

随着税收信息化的快速推进, 各级税务机关对信息安全越来越重视, 信息安全方面的投入也越来越大。税务系统信息安全检查以非涉密的网络系统和物理环境为检查对象, 检查内容包括安全管理检查和安全技术检查两大部分。检查技术和实施方案按照安全评估和等级保护要求, 结合税务行业标准制定的完善, 确保检查的系统性、完整性、针对性和时效性, 提高了税务信息的安全保障能力。在检查实施过程中, 主要使用了人工检查评估和工具检查评估两种方法。所涉及的过程包括安全管理策略问卷调查、网络安全设备评估、主机系统工具扫描、主机系统人工评估、安全威胁调查、渗透性测试、现场勘察等。

税务系统进行信息安全检查, 按照综合评估、点面结合、以点带面、注重实效的工作思路, 在全面系统检查的同时, 对基础性的安全管理、关键技术平台设备、技术实施、运维监控和风险防范进行重点抽查, 既有全面性的问卷调查, 又有重点性的现场上机检查, 紧密围绕建立网络与信息安全基本保障体系建设, 持续性地进行安全加固和风险防范。

综合上述分析, 我国的信息安全起步较晚, 在信息系统安全检查方面开展工作的时间也不长, 在信息安全检查方面还存在着一些不足。

没有统一完善的标准和规范。我国各行业在进行信息安全检查工作时没有统一完善的行业标准和规范, 在开展信息安全检查工作时存在各级企业或机关自定标准自行检查的情况, 这不利于对各级信息系统进行安全性的横向比较, 也不利于检查工作的持续开展。各行业应制定一套明确、全面的检查标准和规范, 建立一套清晰的信息安全检查工作体系, 增强自身的检查评估能力, 推动信息安全建设的持续发展和深化落实。

缺乏良好的指标体系和监管机制。我国各行业信息安全检查虽然取得了一定的效果, 但各行业都没有建立一个良好的信息系统安全检查指标体系和监管机制。各企业和机关在进行自检时随意性较强, 没有规范的执行流程, 没有一套完善的指标体系;上级指导机构对其没有缺乏统一的监督和管理, 没有建立公开、明确的奖惩机制。

对内部威胁的重视不够。各行业的信息安全建设和检查大多还限制在堵漏洞、做高墙、防外攻这些老路上。实际上, 企业和机关内部数据安全的危害性正在日益上升, 如未经授权的雇员对文件或数据的访问、带有涉密数据的可移动设备遗失或失窃等, 恶意员工故意破坏信息系统甚至泄漏机密等, 但这些还没有引起足够的重视。

对信息安全的认识存在误区。目前各行业还普遍存在以是否发生安全事故作为信息安全工作好坏的衡量标准的现象。一些信息系统的建设时间较短, 没有发生足以引起信息安全管理机构重视的安全事件, 因此就盲目地认为当前信息安全防范工作已经足够, 这样的认识存在着误区, 并对信息安全带来极大的安全隐患。信息安全的处理应该遵循风险管理的原则和方法, 安全事件的防范应该以安全风险防范的方式来处理。

4. 启示

目前, 我国政府对信息系统虽然在信息安全检查方面开展了一些相应的工作, 取得了一定的效果。但与其他行业信息安全检查情况类似, 存在着上述问题。与国外信息安全工作开展较早的国家相比, 我国目前还没有成熟有效的信息系统安全检查方法和相应的管理机制、管理制度和规范等, 在这方面还需要开展很多工作。通过对美、俄、英、德等国信息系统安全检查现状的分析, 在我国政府信息系统安全检查体系建设中可得到以下启示。

加强信息安全基础工作。政府信息系统的信息安全检查评估工作需要依赖已开展的信息安全基础工作, 如信息系统安全性建设、信息安全技术的实施、政府人员的安全教育与培训等。

建立信息安全法规和标准体系。国外的信息安全检查评估大多是针对信息安全标准、法规等进行符合性检查, 这需要建立一套全面完善的法规、标准体系。我国目前在这方面还有很大的不足。

技术与管理并重。国外的信息安全检查很多集中在管理方面, 对技术方面涉及较少。我国在建立信息安全检查指标体系时应该管理与技术并重, 进行全方位的信息安全检查, 来充分保障我国政府信息系统的安全。

自查与监督检查的相结合。政府各部门内部的经常性、规律性的自查可以增强政府人员的信息安全意识, 提高部门信息安全人员的管理和技术水平。监督检查可以在自查的基础上进行针对性的检查和监督, 节约检查时间和成本。

建立信息安全检查评估的管理机制。建立国家层面上的、权威统一的信息安全检查评估管理机制, 对相关工作进行统一的协调和管理, 避免在信息安全检查评估过程中造成检查人员责任不清、授权重叠、授权不足、检查标准降低等情况, 加强对信息安全检查工作的监督管理, 使信息安全检查工作规范、有序地进行, 保证检查工作的高质、高效。

参考文献

[1]Office of Management and Budget.http://www.whitehouse.gov/omb/.

[2]Committee on Oversight and Government Reform.http://oversight.house.gov/.

[3]樊国桢等.美国联邦政府资讯安全管理系统稽核作业与相关标准初探.

[4]刘洋海.浅谈电力企业信息安全性检查.南方电网技术研究.2006, 2 (3) :65-67.

[5]朱惠林.信息安全检查评估在行业系统中的实践初探.江苏科技信息.2008, 10:37-38.

保障信息系统 篇2

1.1 社保卡数据采集整理子系统

数据是社会保障卡系统建设的基础，确保卡内数据的完整性、正确性和唯一性是保证整个项目成功的关键。

1.1.1 个人化数据采集

制卡数据采集功能指通过信息系统的接口或通过人工采集方式收集制卡所需的数据。根据四川省的现状，应该先由各市、区县人社局根据四川省社会保障卡制卡数据规范及当地的实际情况采集符合制卡要求的个人化数据，并将数据通过特定的接口提交给省人保厅，由省人保厅进行汇总，与公安部门人口信息数据进行比对后存入数据库供制卡之用。

制卡数据采集功能要求如下：

 采集制卡所需的用户基础信息数据和业务系统中的业务数据；  对社会保障卡系统原有用户基础信息数据的准确性和真实性进行核对，采用人工参与方式在制卡数据生成前完成；  比对数据由卡系统通过接口反馈给业务系统。 为省人保厅提交制卡所需个人化数据文件时。

 四川省可通过各市、区（县）、街道、乡（镇）社会保障服务指导中心进行数据的采集、核对、录入等。数据采集流程如图所示：

1.1.2 个人化数据生成

制卡数据生成功能是指系统根据系统所采集的制卡所需数据，依据社会保障卡系统规范中定义的参数，生成用于与卡片相关的全部数据，包括基本应用数据、公共应用数据、业务应用数据等。在此基础上生成用于卡商/制卡中心所需的制卡数据文件。

制卡数据生成功能要求如下：

按照社会保障卡规范统一要求的数据格式，生成制卡数据。管理员可设定数据生成规则，生成用于制卡的其他所有参数。

对生成的制卡数据的准确性进行核对，确保其与转换前的个人化数据的一致性。

1.2 社保卡生产子系统 1.2.1 制卡方式的选择

卡管理中心可以根据经费预算、制卡数量、制卡速度等需求，选购1-2台中型制卡机和20-30余台小型机制卡机，每台制卡机均需通过控制PC机连接到系统网络。

中型制卡机，其制卡效率较高，速度快，适用于省级卡中心大批量制卡，且在集中发卡后也可进行批量的补、换卡工作；小型制卡机可适用于地市零星补、换卡工作的进行。

考虑数据安全性及制卡成本、印相效果、工作量等多方面因素，可先由制卡厂商统一印制社会保障卡的裸卡，包括卡面公共信息和图案，再由卡中心完成卡面个性信息的印制和卡内信息的写入工作，并最终完成信封封装和下发。

如需要在短期内大量发卡，也可以考虑将批量制发卡工作外包给卡商完成。

1.2.2 制卡与卡发放流程设计

为充分保证数据信息的安全性，四川省在进行社会保障卡制卡过程中拟采用先印刷卡面再向卡内写入数据的流程。城镇居民、离退休人员申领的社会保障卡，由四川省卡管理中心（专门管理机构）统一管理卡的制作，各市、区（县）社会保障局根据省厅统一规定，将卡下发至各街（道）、乡（镇）社会保障服务指导中心，再发放到各申领人手中；单位从业人员申领的社会保障卡，由四川省卡管理中心（专门管理机构）统一管理卡的制作，由用人单位发放到各申领人手中。

制卡与卡发放流程如图所示：

1.2.3 卡片初始化

该过程实现对卡片出厂初始化操作。卡片经过封装后，卡芯片此时并不能进行创建卡结构及灌注密钥等操作，需要经过一系列的初始化操作，写入卡片历史字节等要素，完成卡片从封装过程到卡片个人化过程的过渡。

该过程还将完成卡片传输密钥的灌注操作，以保证卡片在运输过程中的安全性。

1.2.4 卡片个人化

通常个人化内容包括：UG(平面印刷)、彩照印刷（如有相片）、烫色、IC个人化、写磁等。

IC卡个人化主要是IC卡从个人化设备接受个人化指令和相关数据，并依照个人化指令创建相关的应用、必须的文件结构以及部分数据，以便为下一步的个人化做好准备。

1.2.5 卡片包装出货

产品保安人员负责卡片的包装发货保安检查。卡片运输商必须是通过公司的安全资格审查并共同签订《安全运输合同》，要求其安全运输并对运输过程/内容保密。

1.2.6 制卡统计

四川省人社厅信息中心应对每次制卡情况予以详细的记录，并保存归档，以便日后能根据统计分析情况改进制卡的质量和效率。记录的对象应针对制卡设备、制卡数量、用卡地区情况而进行。记录的内容可分批次保存。

记录制卡设备的使用情况：应统计每个制卡设备的已制卡数量、出错日志，以便日后分析设备的性能、利用效率、磨损程度等指标，并根据指标对制卡设备及时做出维护或调整。

制卡数量统计：应统计出每次制卡量。

用卡情况统计：应统计出制卡批次、COS厂商信息、制卡开始日期、制卡完成日期等信息，发卡类型。

1.3 社保卡发放子系统

发卡系统主要完成社会保障卡的发放、注销以及业务指标扩充、数据结构修改等功能。由于四川省发卡人数多，为了统一管理，采取以下步骤：

 由各服务网点通过人工采集和公共基础数据库相结合的方式完成数据采集工作。

 由省人保厅按照社会保障卡要求生成制卡数据文件。

 制卡数据文件生成后，导入中央发卡系统，并由发卡系统将数据加载到卡片当中。

1.3.1 卡系统网络结构

在发卡过程中，发卡系统通过网络IP地址授权、操作员网络授权、实现发卡系统对加密机或PSAM卡的访问和从而完成四川省社保卡个人化发卡。

基本应用模式如下图所示：

发卡流程

1.4 社保卡应用子系统

整个社会保障卡系统的具体使用及经办需通过应用系统进行，应用系统须满足制卡、卡的发放、卡系统数据维护、卡信息管理和日常卡业务管理等功能，卡管理信息系统的功能结构示意如下

社会保障卡管理信息系统管理子系统应用子系统制卡管理密钥管理应用服务卡片维护终端管理添加数据采集卡片初始化卡片个人化印卡面制卡统计密钥ＰＳＡＭ卡管理鉴别认证服务异常卡处理黑名单管理异地用卡管理PI维N护补卡换卡卡片挂失与解挂 1.4.1 应用系统建设内容

（1）应用服务

卡片应用前，必须对其进行有效性识别，有效性识别包括以下内容：  卡片是否是社会保障卡。

 卡片是否支持该初始化机构编号，即判断该卡是否是本地卡；  卡片是否支持“卡的类别”所代表的卡类型；  卡片是否支持“规范版本”所代表的应用版本；  卡是否在有效期内；  卡片是否支持终端的应用；

 卡片是否支持从IC卡回送的应用版本号所代表的应用版本；  该卡是否在终端存储的黑名单卡之列；

如果以上任一条件不满足，交易将不能开始。此外交易执行过程中还必须提供外部认证、MAC认证及交易结束后的TAC认证等服务，以保证交易数据的完整性、准确性、不可抵赖性及不可被伪造。

（2）异常卡处理 交易过程中若用户卡内数据与数据库数据不一致，则表明该卡出现了异常，此时业务端应停止交易，并将该异常卡送往卡管理中心（专门管理机构）进行处理。卡管理中心（专门管理机构）应从数据中心提取数据与异常卡的卡内数据进行比对，以确定卡片出错的原因。

（3）黑名单管理

省卡管理中心（专门管理机构）必须对卡黑名单进行统一、集中管理，以保证用卡时的校验需求。黑名单管理主要是指对黑名单的收集、分发、存储、检索和更新等的处理。

收集：各市业务经办网点将其每天产生的黑名单汇总到省卡管理中心（专门管理机构）的过程。

（4）异地用卡管理

异地用卡采用 “异地申请联网应用”的方式来处理。

1.4.2 卡片维护

（1）用户个人密码（PIN）维护

 PIN修改。用户输入旧PIN及新PIN，在旧PIN认证通过后将其替换为新PIN。

 PIN重装。当用户忘记了个人密码后，管理人员在受权的情况下可重装PIN，即将用户卡内原有密码替换为用户指定的新密码。

 PIN解锁。当用户认证PIN多次出错误后,IC卡内的PIN会被置为锁定状态,不允许用户再次认证，此时管理人员在授权的情况下可以解锁PIN，即将卡内PIN从锁定状态变为允许认证状态，使客户可以再次执行PIN认证。（2）卡片挂失/解挂

持卡人丢失卡片，需要及时向卡管理中心（专门管理机构）挂失，系统接受口头（电话）挂失和当面挂失。但口头挂失后，需持有效证件在7天内办理当面挂失，否则系统自动解挂。持卡人找到已挂失的卡片，要到卡管理中心（专门管理机构）办理解挂失手续。

（3）补卡 持卡人将卡片丢失后，需持相关证件到卡管理中心（专门管理机构）办理补卡业务。业务经办人员核对持卡人相关证件，若合法，则将持卡人原卡号放入黑名单并补发新卡。补卡时系统从数据中心读取持卡人个人信息、单位信息及其他基本信息，同时将持卡人的当前账户余额写入卡片内。补卡不补交易明细记录。

（4）换卡

卡片发生损坏或其他原因卡片不能使用，需持坏卡及相关证件到卡管理中心（专门管理机构）办理换卡业务。业务经办人员需先将坏卡收回，之后另换新卡。换卡时，系统从数据中心读取持卡人个人信息、单位信息及其他基本信息，同时将持卡人的当前账户余额写入卡片内。换卡不补交易明细记录。

换卡完成后，收回的坏卡必须在一定条件下销毁，防止密钥外泄。

1.4.3 终端管理

卡管理中心（专门管理机构）应对所有的IC卡读写器进行统一的管理和备案。为保证卡片的全国通用，所有用于社会保障卡业务处理的读写器，应符合《社会保障（个人）卡规范》——终端规范的要求。读写器的权限由PSAM卡决定，PSAM卡由卡管理中心（专门管理机构）统一发放。PSAM卡与终端读写机具一一对应，不可互换。

1.4.4 与其他业务系统应用接口

与其他业务系统的接口软件是社会保障卡应用管理系统的非常重要的一部分。通过各类接口软件，实现社会保障卡、卡片应用管理系统、制卡系统与社会保障业务系统以及与民政，财政，卫生，金融，公安等部门业务系统之间的数据交换和数据共享。包括与社会保险系统、劳动就业系统、人事人才系统，社区服务系统，定点医疗机构系统以及民政系统，财政系统，卫生系统，公安系统，银行金融应用等接口软件。

方式一：数据库接口

数据库接口方式主要应用与社会保障内部社会保障卡管理系统与社会保险系统，城乡居民养老保险系统，劳动就业系统，人事人才系统以及12333系统等的数据交换。

（1）接口完成功能

社会保障卡管理系统通过接口从社会保障业务系统采集制卡所需要的用户基础信息数据和用户业务数据。社会保障卡管理系统通过接口将核对后的用户基础信息数据反馈给社会保障业务管理信息系统。

（2）接口实现方式

接口可采用TCP/IP、FTP、Socket 等协议作为底层承载协议和通信协议。社会保障卡管理系统与劳动和社会保障管理信息系统间接口实现方式如下：

 在社会保障卡管理系统与业务信息系统间建立数据库表单对应关系。 社会保障卡管理系统建设系统调试完毕后，将制卡所需的业务系统用户基础信息数据一次性导入社会保障卡管理系统。

 制卡前，社会保障卡管理系统通过其它采集方式（如人工采集，或者公安系统对比）对用户基础信息数据进行核对，将核对结果通过接口反馈给业务系统。

 系统间的少量数据交互更新，如卡用户基础资料更新（由卡管理系统完成）、卡用户业务资料更新（由业务系统完成）通过数据库表单对应表进行同步。

 数据更新内容生成后，数据采集根据两个系统间接口约定，可采用等待对方系统自己来采集，也可采用送到对方系统中，由对方系统接收的方式。方式一：Socket 接口

Socket接口主要应用于与指定银行业务软件的联接，实现社会保障卡的金融查询、支付等功能。社会保障卡与银行业务结合，通过卡面印刷银行暗磁条，将银行的磁条信息印刷在社会保障卡卡面的下面，磁条内即为持卡人在银行开立账户的信息。根据业务需要，可将银行卡号信息存放于社会保障卡芯片中。最终实现社会保障卡与银行卡合二为一。

首先在后台对社会保障卡和银行帐户进行绑定，形成一一的映射关系。通过银行对该后台授以相应的权限，可使用该帐户进行金融应用，银行方面提供pos功能的动态库。社会保障数据中心的业务应用软件与银行提供的pos动态库进行衔接。当需要通过银行卡进行费用支付时，比如医疗费用的个人支付，通过医保定点端的费用结算系统将银行pos动态库嵌入进来，这样当需要个人支付费用且个人同意后，系统通过社会保障卡判定绑定的银行账户以及是哪家银行，然后将该请求分发调用已有的银行pos动态库，从而实现银行卡消费支付。

以上阐述可以看出，事实上在终端并没有真正的pos机存在，但是通过软pos的机制，实现了社会保障卡与银行二者之间的业务一体化，对服务对象而言，方便、快捷。

方式二：WebService 接口

WebService接口基于异构系统的应用集成，应用支撑平台设计采用封装成WebService接口的形式进行功能服务的集成与整合。主要应用于财政，民政，卫生，公安等部门之间的数据交换和交易请求。

在卡中心建立集中的WebService服务，分析各种业务可能，根据实际需求定义WebService交易请求，并将交易请求整理后统一对外发布。外部门需要使用卡中心业务的，可以通过审批后通过自身的业务系统发起交易请求，卡中心针对交易请求提供服务。

以上是卡中心应用过程中主要涉及的三种模式，针对具体的业务或部门要求可提供组合服务。比如针对社会保险管理系统，可以提供数据库接口和WebService接口服务；针对金融功能需要，可提供Socket接口和WebService接口服务；针对财政，民政，卫生等部门，也可以根据实际的需要提供多种接口服务。

1.5 社保卡接口子系统 1.5.1 基本要求

 IC卡接口应符合劳动和社会保障部《社会保障（个人）卡规范》和《安全要求》。

 IC卡接口的设计和工程质量应符合国家、地方政府相应的法律、法规，以及国家、行业的标准、规范或者行业内部的惯例。 卡基本信息(SSSE.EF05,SSSE.EF06)的读取时间及SAM卡鉴权的总时间不超过0.5秒。

 配合全密钥的社会保障SAM卡，16K卡片的社会保障基本应用(SSSE,DF01/2/3/4)全部数据写入时间应小于12秒。

 配合全密钥的社会保障SAM卡，16K卡片的社会保障基本应用(SSSE,DF01/2/3/4)全部数据读出时间应小于6秒。

 IC卡接口每次从卡片取出的字节数,一次取出数据域的最大可达到256字节；并支持循环取出后续的数据，支持对大文件的分块快速读出。

1.5.2 卡读写总体架构

IC卡读写接口总体架构示意图如下所示：

1.5.3 读卡设备与业务系统的接口

 卡前端应用接口是以卡厂商提供Driver、底层接口函数、应用读写接口为底层基础进行开发的，向业务系统/查询终端提供标准的接口函数。业务系统/查询终端根据标准接口函数进行基础应用和高级应用编程，实行业务系统/查询终端与卡终端/卡的交互。

 接口函数定义应根据劳动和社会保障部发布的《社会保障卡（个人）卡规范》所描述的，由社会保障卡系统卡厂商、劳动和社会保障卡系统开发商共同约定及定义。

 前端应用接口模块应用由业务系统开发商提出需求，卡厂商配合完成开发、对接测试。为了便于业务系统的快速开发， 卡商应提供以下应用读写接口函数: 1)打开设备 2)关闭设备 3)卡片上电

4)卡基本命令(便于后期扩展)5)读卡基本信息(读卡片社会保障基本信息)6)验证个人密码(持卡人输入密码验证合法性)7)验证卡合法性(卡与SAM卡交互验证)8)卡养老保险数据操作 9)卡失业保险数据操作 10)11)12)13)14)15)16)卡劳动就业数据操作 卡工伤保险数据操作 卡生育保险数据操作 卡医疗保险数据操作 获取设备状态 获取SAM卡信息 获取版本等

 接口函数适用于几乎所有Windows的语言开发软件调用。包括VC,VB,JAVASCRIPT,PB,DELPHI,C++ builder等等，业务系统开发商通过调用接口函数，读取卡片信息到本地业务系统，实现卡与业务系统的对接。1.5.4 数据交换平台

省级数据中心纵联中央、地市数据中心，横联财政、民政、卫生、金融机构等相关部门，系统结构复杂、涉及的单位多、地域广。

交换平台按照“立足应用、高于应用、投入应用”的思路，以解决当前人保与其他部门数据共享、应用协同的难题。

以人保数据为基础，搭建数据交换平台，建立与其他相关部门的数据接口，将各个部门的系统联系起来，实现各部门的数据交换、比对。实现社保卡“一卡通用”。

数据交换平台示意图如下：

1.6 社保卡安全子系统 1.6.1 卡系统中心的安全

（1）网络平台安全

网络平台安全主要是防范非法的网络路由接入，阻止非法者窃听、窃取、篡改网络数据，防范通过远程访问非法接入。

（2）数据库安全 数据库安全主要是防范数据库中数据泄密、意外损坏造成数据丢失等。（3）应用系统安全

应用系统安全主要是防范内部人员的误操作、泄密、伪造交易等行为。

1.6.2 卡数据的安全

卡数据安全主要是利用智能卡本身硬件和软件（COS）的安全保护机制来实现的。社会保障卡的密钥采用全国统一的管理体系，按照分级进行管理。其中密钥管理系统主要包括：密钥生成、密钥传输和PSAM卡管理。

（1）密钥管理

四川省密钥系统应由国家级密钥、规范规定的省（市）级密钥、新增业务密钥组成。密钥加载完成后应将其备份并妥善保存。备份的密钥应以密文存储，存储密钥时应登记密钥使用清单，记录密钥的索引、类型、名称、用途、适用范围等信息。

（2）PSAM卡管理

社会保障PSAM卡统一设计、开发，委托专门机构进行生产和发放。四川省社会保障卡管理中心（专门管理机构）在收到发卡网点的PSAM卡申请资料后，应进行认真审查，在批复通过后，应登记该发卡网点的基本信息、PSAM卡使用数量、PSAM卡用途，并保存PSAM卡密钥加载清单。

PSAM卡密钥加载清单应针对各级密钥的使用情况分别进行统计，清单中至少应记录密钥的功能、名称、级别等信息。

PSAM卡在社会保障卡系统的安全运行上有着十分重要的作用，四川省卡管理中心（专门管理机构）有责任对其进行严格的管理，每次从部里领取的PSAM卡数量、时间、类型等应记录到数据库以便查询管理。PSAM卡的丢失、损坏等均需立刻上报国家人保部处理。

1.6.3 安全管理措施

安全管理的一般原则：职责分割、专人负责；多人控制、相互制约；严格执行、定期检查。

保障信息系统 篇3

【关键词】电力信息系统；安全保障体系；建设原则；思路分析

【中图分类号】P208 【文献标识码】A 【文章编号】1672-5158（2012）09-0046-01

随着计算机技术与互联网技术的发展，电力信息系统的安全在电力企业的正常运营、客户营销、财务管理以及电网调度等方面起着积极地促进作用。黑客与病毒以及安全漏洞在很大程度上威胁着电力企业的正常运营。因此，本文将从电力信息系统的安全保障体系的角度出发，对如何在电力企业中建立电力信息系统的安全保障体系的思路与原则进行有效性研究。

一、关于电力信息系统的概述

电力信息系统包括信息网络、网络服务系统、应用系统、安全系统、存储与备份系统、辅助系统、终端计算机用户设备等系统及上述系统的附属设备。其所涉及的技术有：数据加密技术、入侵检测技术、防火墙、访问控制技术以及网络扫描技术等。在网络硬件方面，已基本实现千兆骨干网、百兆到桌面、三层交换以及VLAN等技术的普遍使用；而在软件方面，主要包括办公信息化系统、一体化整合平台、安全生产管理信息系统、电力地理信息系统、营销管理信息系统及各专业相关的应用子系统等。计算机及信息网络系统在电力生产、调度、经营、管理等各个领域有着十分广泛的应用，在安全生产、节能消耗、降低成本、缩短工期、提高劳动生产率等方面取得了明显的社会效益和经济效益。引发信息系统安全问题的因素包括安全架构在设计上出现问题与管理方面出现问题。

二、针对电力信息系统安全保障体系建设原则的研究

电力信息系统安全保障体系建设不能只是简单地局限在电网运行安全这个方面，需要经过三个阶段：一是信息安全系统的建设；二是信息安全管理的建设；三是信息安全策略的建设。随着信息技术的发展与人们对信息安全人士的加深，电力用户对电网的安全管理与用电需求也在发生着变化，由原先单一的产品逐渐向信息安全的管理与构建转变。由于电力企业在社会经济发展的特殊作用，因此在建设电力信息系统的安全保障体系的过程中，需要坚持以下四项原则：

（一）原则之一——动态性原则

在建设电力信息系统安全保障体系的过程主要坚持动态性原则，主要是因为无论哪个安全保障系统都有可能出现技术或者操作问题，不能为企业运行与管理提供真正的安全。再加上随着黑客技术的发展，安全系统的保障能力也逐渐下降。所以，信息安全系统建设计划要具有可扩展性，可以为电力信息系统提供安全预防与维护以及应急方案，

（二）原则之二——均衡性原则

在建设的过程中坚持均衡性原则，是因为安全保障体系是根据电力企业的安全生茶目标进行设置的，其中所涉及的各项技术都要经过成本与效益方法的分析，以降低施工成本并提升企业的经济效益。

（三）原则之三——立体性原则

在建设的过程中坚持立体性原则，是因为安全保障体系建设不是一个简单地系统建设。它所涉及的内容包括：人文与自然环境、管理知识、相关技术以及法律法规等。因此在建设的过程中，不仅需要从横向的方向进行考虑，还需要从纵向的方向进行考虑，以确保电力网络的信息安全。

（四）原则之四——法令性原则

在建设的过程中坚持法令性原则，是源于《电力二次系统安全防护规定》的相关规定。管理信息大区要访问电力生产控制大区内的数据，需要在两者之间安装电力专用的横向安全隔离设备，而且这类设备是经过国家相关部门认定的。一旦背离法令性原则的设计施工方案都会对电力企业的正常运行带来巨大的经济损失。

三、针对电力信息系统安全保障体系建设思路的研究

（一）思路之一——采取措施加强信息系统的安全运行与管理建设

要加强电力信息系统安全保障体系的安全运行与管理管理建设，需要做到以下三点：

一是要在电力信息系统安全保障体系的建设过程中，建立并完善多层次、动态、全方位的安全管理信息中心，有效控制因为安全技术问题所引起的混乱局面，将和体系安全有關的各项技术与方案聚合在一个具有整体性、安全性与系统性的平台上，充分发挥人力因素、策略因素以及技术因素的优势，从而提升安全保障体系的质量与水平。

二是要了解并掌握安全管理信息中心的基本内容：设置相关机构、完善相关的技术手段、加强基础设施建设、明确各部门的职能、制定严格的规章制度以及培训专业工作人员。

三是利用先进的计算机技术与网络通讯技术研发信息安全的综合管理系统，该系统除了具有分析电网运行信息、监视电网设备运行状态以及应急响应电网运行过程中的异常事件功能之外，还有数据搜集与分析功能、可视浏览功能等。信息安全的综合管理系统在电力信息系统的安全保障体系中扮演着承上启下的纽带作用，它可以搜集电力网络中的各种信息，并将这些信息进行整理归类后进行分析处理，再反馈给管理人员。其中处理的信息包括：统计数据信息、报警数据信息以及历史数据信息等。

（二）思路之二——采取措施加强电力信息系统中的信息安全系统建设

要加强对信息安全系统的建设，需要做到以下三点：

一是要保障电力信息系统中数据对象的安全，可以采取操作系统加固、数据指纹、主机加固、安装防病毒系统以及数据加密的歌方式对需要保护的对象进行保护，同时要加强电力信息系统安全保障体系建设过程中的周围环境的安全保护。

二是采取措施保障系统结构的安全，其主要侧重在体系的应用、网络数据的应用以及信息数据的边界界定，或者物理与逻辑方面的规划，它是信息系统安全的前提条件，这种方式不仅可以有效地降低企业的施工与管理成本，同时也有助于解决数据泄密等问题。

三是保障信息系统流程的安全，其内容包括两个方面的内容，首先是利用访问控制与身份识别等技术手段，其次是加强流程管理等方面对信息流程的安全进行审核与风险评估，从而设计出有效进行信息流动控制的方案。

四、结语

医院信息系统的安全保障体系 篇4

1 医院信息系统的体系结构与网络

1.1 医院信息系统网络环境的形成

医院信息计算机系统的网络结构对于系统集散数据、通信以及所能提供的信息服务和系统自我的维护、扩充能力都有很大的关系。我院医院信息系统的网络是以星型拓扑结构为基础的分层复合型结构。星型拓扑结构是最古老的一种连接方式, 这种结构便于集中控制, 因为端用户之间的通信必须经过中心站。由于这一特点, 也带来了易于维护和安全等优点。端用户设备因为故障而停机时也不会影响其它端用户间的通信。

1.2 医院信息系统与数据库技术

数据库系统是医院信息系统的主要工具和数据管理模式。当今的数据库技术, 也是医院信息系统数据完整性和安全性的重要保证, 系统的设计者充分利用数据库技术作为数据安全的核心技术与措施。医院信息系统是依靠计算机网络对医院信息实施全面的数字化管理的人机系统。该系统中, 下层是已采集、编码、分类存储的数据集合, 数据库。中层是对数据库的数据进行处理、分析的各个应用数据的子系统 (程序) , 它们从数据中提取业务信息和管理信息, 协调完成业务运作和业务管理;同时系统又把相关的医院管理决策支持信息送到系统高层, 实现信息系统的最终极应用, 显现这一切的基础就是医院信息系统的数据库。

2 医院信息系统数据库安全和保密的重要性

医院信息系统投入运行后, 全面接管了医院收费及医疗信息的采集、传输、处理、统计和存储工作, 成为医院开展医疗服务的业务平台。医院信息系统每日24小时连续工作, 它的任何故障都可能影响全院医疗工作的正常进行, 可能给医院、患者造成经济上和身体上的损害, 甚至造成更严重的后果。如果医院信息系统的数据遭到窃取、更改或破坏, 将涉及患者个人隐私、医院经济利益、病历资料的完整性和真实性等, 甚至会引起法律纠纷。对信息过滤、防堵和保护将是网络运行管理中极其重要的内容, 有时网络信息安全的不利影响甚至超过信息共享所带来的巨大效益。安全问题是一个动态过程, 不能用静止的观点去看待, 不仅仅是计算机硬件存在形式上的安全, 计算机软件也存在着特殊形式的安全问题, 因为运行有故障的软件同非法存取和修改数据一样对计算机的安全构成威胁。人为的有意或无意操作、计算机病毒的发作、不可预知的系统故障和运行错误, 都可能造成计算机中数据的丢失和改变。

3 建立完善的立体的安全保障体系

为了保护计算机网络系统中的硬件、软件及其数据不受偶然或者恶意原因的破坏、更改和泄露, 保障系统连续可靠地正常运行, 建立完善、立体的安全保障体系是非常必要的。这个安全保障体系应该包含以下几个方面:设备安全系统、访问控制系统、安全管理制度、使用杀病毒软件、数据备份和恢复系统等。

3.1 设备安全系统

网络实施安全主要取决于网络结构设计与施工的质量, 网络施工质量直接影响网络安全, 必须有严格的施工监督和验收检测, 各种类型的设备都要有备件, 一旦发生故障能马上更换, 保持线路畅通, 事后或临时增加的线路, 同样必须严格遵守布线安全原则, 否则将引入安全隐患;终端设备是由用户直接使用的终端计算机和打印机, 这些设备最容易发生故障, 除了要配备一定数量的备用机之外, 还必须记录清楚每台终端计算机的标识和配置, 一旦用户的计算机发生故障需要更换时, 就能够很快恢复使用;所有的中央设备应设置两套, 如服务器、主交换机等, 要保证在紧急情况下能够依靠备用设备运行。设备安全保护还包括设备的防雷、防电磁信息泄漏、防线路截获、抗电磁干扰及电源保护等方面。安装系统软件时应根据医院信息系统的要求进行参数配置, 系统软件正常运行后不要随便改变其设置, 不能使用未经验证的软件, 否则可能导致严重的后果;重装应用软件是排除应用软件的故障的有效方法, 重装过程中必须注意参数配置、版本编号;对于换代版本, 必须建立一个模拟环境试用, 反复试用正常后才能展开, 还要注意其对数据库、开发工具的版本要求。网络布线、网路设备、计算机硬件设备要定期保养, 软件和数据要定期维护, 建立数据监控制度, 补齐缺漏数据, 改正错误数据, 删除垃圾数据, 保证数据的完整、准确。

3.2 访问控制系统

访问控制是网络安全防范和保护的主要策略, 其目的是防止对网络资源进行未授权的访问。医院信息系统中各类用户的访问权限应根据用户当今类别, 以及所使用模块的功能进行设定, 即使同一个模块, 不同的使用人员也会有不同的访问权限, 用户访问权限应该经由医院的管理部门认定, 要有专人管理用户帐号, 定期进行检查和清理, 及时注销调离的人员帐号, 新增用户有自己口令, 通过口令对用户身份进行鉴别;口令定期修改, 避免长期使用同一口令。

3.3 数据备份与恢复

数据库备份与恢复是数据库管理员维护数据库安全性和完整性的重要操作。数据安全是整个医院信息系统安全的核心部分, 对数据进行加密, 使得它在网络传输和存储时不会泄漏给非授权用户, 保证数据的完整性、可用性、可控性, 加强数据备份工作, 每周一次数据库全备份, 对涉及数据变化的文件也同时进行备份, 设专人对备份数据进行检查, 确保备份数据完整、可靠;对不同数据库的实际情况, 大致有三种主要备份策略, 分别是只备份数据库、备份数据库和事务日志、增量备份。其中备份数据库和事务日志是指通过备份数据库和事务日志可以在意外发生时有效地实现数据库的恢复;增量备份是一种可以增加备份操作速度, 从而减少备份时间的备份策略。

3.4 安全管理制度

制订健全的信息网络安全管理制度, 作到职责分明, 按章办事。例如: (1) 信息网络系统出入管理制度; (2) 信息网络系统各工作岗位的工作职责、操作规程; (3) 信息网络系统升级、维护制度 (4) 信息网络系统工作人员人事管理制度; (5) 信息网络系统安全检查制度; (6) 信息网络系统应急制度; (7) 信息网络系统信息资料处理制度; (8) 信息网络系统工作人员安全教育、培训制度; (9) 信息网络系统工作人员循环任职制度。从各方面强化计算机信息系统管理, 确保我院信息系统正常安全、运转。

摘要：医院信息系统是依靠计算机网络系统实现对医院业务的数据采集、传输、存储和利用的信息系统。医院信息系统需有实用性、整体性、科学性、安全性和保密性。笔者在此对医院信息系统的安全保障问题进行了探讨。

关键词：网络环境,医院信息系统,网络安全保障体系

参考文献

保障信息系统 篇5

信息系统安全保障

责

任

书

财务科技部制

武胜县联社信息系统安全保障责任书

为确保我县农村信用社信息系统连续、安全、稳定运行，根据银监会《银行业重要信息系统突发事件应急管理规范（试行）》、《银行业金融机构信息系统安全保障问责方案》、《银行、证券跨行业信息系统突发时间应急处理指引》以及省联社相关信息系统风险提示各项管理制度要求，结合我县农村信用社实际，现就做好有关信息系统安全保障工作承诺如下：

一、总体目标

全面落实我社、部信息系统安全保障措施，确保我社、部重要信息系统连续、安全、稳定运行。

二、安全责任

作为部室、信用社机构负责人，须对本机构信息系统安全保障工作负责，并将信息系统安全保障责任分解细化，落实到具体责任人，签订信息系统安全保障责任书，强化信息安全管理执行力。

三、工作目标承诺

（一）切实做好信息系统安全保障工作

1.建立有效的信息安全预防、监督、处理和报告的工作机制，明确和落实各岗位的职责，应急演练、应急预案、风险自查等各项信息系统安全保障工作。

2.明确各岗位信息安全保障的职能分工，落实各个设备管理、使用、维护人员，并组织有关人员开展信息安全工作。

3.已明确信息安全管理人员，确保各项信息安全制度和措施的落实。

（二）切实做好重要信息系统突发事件应急管理工作

建立和完善信息系统安全应急管理组织架构，明确各岗位的职责和工

作流程。落实重要信息系统的应急演练工作，并对演练中发现的问题及时整改。

（三）严格执行信息系统重大突发事件的报告制度

对辖内所发生的信息系统安全事件，我社、部将按相关制度和要求及时报告。

（四）定期组织开展全员计算机安全知识学习、安全生产检查 不断普及计算机安全知识，将学习情况及时上报联社财务科技部。

（五）确保本社部全年无计算机安全责任事故

做好重要设备、岗位、人员的风险防范，加强网络设备及柜员密码管理、行为管理，严格按规定执行系统业务用户管理。

四、问责承诺

（一）因我部门卫生状况、操作不当等原因，导致不能正常提供服务等重大突发事件且造成较大社会影响的，接受上级职能部门的责任追究。

（二）对因瞒报、谎报、迟报、漏报信息系统突发事件的，视情节轻重，联社将严肃追究相关人员责任。

五、本责任书自签署之日起生效，六、本责任书一式两份，责任人和联社财务科技部各保存一份，两份具同等效力。

机构负责人：

联社财务科技部负责人签字：

保障信息系统 篇6

11月16—17日,全国中小学校舍信息管理系统省级技术保障培训班在北京举办。全国中小学校舍安全工程领导小组办公室(以下简称全国校安办)成员、各省校安办工作人员、省教育信息中心主要负责人及有关企业参加了本次培训班。

中央领导和教育部高度重视全国中小学校舍信息管理系统建设工作。刘延东国务委员多次强调“这是一项带有根本性的、具有战略意义的基础性工作”,要求“一定要花大力气把它做好”。全国校安办主任、教育部副部长鲁昕同志数次主持召开会议专门对系统的开发进行研究,亲自协调有关单位的工作。

教育部教育管理信息中心为此专门抽调精兵强将成立了专门的开发班子负责此项工作。为满足校舍安全工程的需要,全国校安办领导要求全国中小学校舍信息管理系统于2010年1月1日正式投入使用。近半年来,教育部教育管理信息中心的相关工作人员天天加班加点,放弃周末休息,在对系统功能需求、指标需求、技术方案进行全面调研的基础上进行了设计和开发,做了大量的工作,目前已取得了阶段性成果,并已开始在北京、辽宁、吉林三地进行试点。

培训班上,全国校安办成员、教育部基础一司副巡视员杜柯伟同志传达了关于做好全国中小学校舍信息管理系统数据信息采集工作、相关准备工作及省级技术保障相关培训工作的精神,并对全面理解和建立全国中小学校舍信息管理系统的各项工作提出具体要求。他要求相关人员要提高认识,把握工作目标;完善省级系统技术保障方案,继续做好系统建设的各项准备工作;尽快落实系统建设和运行维护所需经费;按要求做好校舍信息采集工作,及时报送和更新数据;建立保障系统运行的长效机制;组织开展人员培训;开展调研,制订各省地市、区县、学校级系统建设工作方案。

全国校安办成员、教育部教育管理信息中心副主任罗方述同志从系统概要、系统建设实施计划、省市条件保障要求等方面介绍了全国中小学校舍信息管理系统建设的相关工作。

他指出,系统建设目标是建立全国中小学校舍信息管理系统,搭建统一的全国中小学校舍管理平台,为校舍安全工程、学校标准化建设、校舍管理提供支撑和服务,为教育决策提供依据,推动教育信息化建设,提升政府管理水平,促进教育事业科学发展。系统体系结构可概括为“四级校舍数据中心,五级校舍应用系统”。按照“总体规划、分步实施、重点突破、全面推进”的原则进行。

作为全国中小学信息管理系统的五大子系统之一,校舍信息管理系统的开发是重要的基础性工作,在系统功能方面,将采用三维遥感地理信息技术、GPS技术等最先进、最可靠的技术,实现校舍档案管理功能、校舍安全工程管理功能、校舍安全监控功能、分级动态管理功能、基础信息更新功能、汇总分析判断功能等。目前已完成一期开发和测试的全部工作,2009年12月在全国布置,2010年1月1日开始在全国运行。

IBM、惠普、SUN、华三、天融信、锐捷、绿盟、富士通、曙光、思科、甲骨文、联想、浪潮、红旗等有关企业在本次培训班上就全国中小学校舍信息管理系统分别提出了各自的建议方案,介绍了与省级数据中心建设相关的技术解决方案和产品,并提供了相应的技术咨询。

银行信息系统电力保障工作思考 篇7

一、制度规范

2010年1月农业银行总行制定并发布了《中国农业银行分行信息系统机房建设与管理指引》, 全面启动全国分行机房达标工程, 集中解决了分行基础环境上累积的大部分安全生产隐患, 包括机房供配电、空调、消防、安防、布线等基础设施。2014年10月, 农总行下发了《关于印发中国农业银行企业标准“信息系统机房建设技术规范” (QABC3-2014) 的通知》, 进一步提出了机房基础设施领域建设与管理规范化、标准化水平, 明确了分行信息系统机房建设需要满足的技术要求。该规范对农行机房建设提出分级、分类标准, 按照不同保障等级将机房划分为三级。其中一级分行机房定为二级、二级分行机房定为三级, 至2015年中, 农行广东分行辖属所有分行完成机房达标改造。为配合总行制度、规范落实, 农行广东分行制订了相应的工作细则, 规范了分行信息系统管理要求, 下发了《广东分行生产运维操作指南》, 其中第四部分“环境设备”对分行信息系统供配电提出了清晰的规范要求, 包括电力设备的日常监控频率、监控内容和要求, 提出了电力基础设施定期维护的详细内容、具体要求。

二、管理现状

从农行广东分行信息系统供配电风险专项排查的情况来看, 二级分行信息系统供配电存在的问题主要有以下几方面。

(一) 管理主体不明确

在机房供配电管理上存在管理界面模糊、管理主体分散、缺乏联动机制等问题, 分行的科技部门、综合管理部以及物业公司均有参与。在这种情况下, 如果没有较为完备的部门间联动机制及应急管理办法, 将对分行的供配电安全带来一定的风险隐患。农行广东分行辖属22个分行中, 机房发电机归口科技部门管理的有3个, 归口综合管理部管理的有18个、归口物业公司管理的有1个。

(二) 专业人员配备不足

大部分分行没有配备发电机专业管理人员以及供配电设施专业管理人员, 仅个别分行配备了持电工证上岗的人员。22个分行明确在15分钟内可向机房负载供电, 其中15个分行发电机设置为自动启动, 可在1分钟内向机房等供电, 7个分行发电机设置为手动启动, 可在2分至10分钟内向机房供电。

(三) 部分供配电设施老化, 未能及时更新

虽然农行广东分行前几年陆续为辖属分行更新了超安全使用期的机房电气设备, 但仍有个别分行发电机超过农总行规定的安全使用年限, 某分行总配电柜的手动切换开关使用已将近22年, 部分开关已出现切换阻力变大、推拉动难的问题, 可能会出现需要切换的时侯无法使用, 影响供电输出, 从而造成机房无法正常供电的情况。

(四) 部分分行未能有效落实供配电设备维保

部分分行对后备电源重要性认识不足, 未能有效落实维保要求, 出现故障时无法有效保证维修时间。据调查, 22个分行中, 仅16个分行购买了发电机维保服务 (其中2个分行由物业公司负责) , 其他分行未能落实设备维保。

三、管理要求

农行广东分行对二级分行信息系统供配电管理提出了统一的标准要求。

UPS后备时间要求:保障机房等重要设施不间断运行, 机房UPS满载后备时间不少于60分钟, 配套蓄电池使用不超过5年。

发电时间要求:当机房市电中断时, 要在15分钟内完成发电机启动并正常运行, 向机房UPS等重要负载送电。

油料保障要求:能保障8小时的日常供油能力, 并落实紧急情况的油料供应。

供配电岗位要求:配置持证电工, 负责信息系统供配电日常管理和维护。

供配电维保要求:落实发电机、供配电等重要基础设施维保责任, 明确故障修复时间。

做好日常维护:机房发电机要求每周空载运行不少于10分钟, 每月带载运行不少于30分钟, 带载要求不少于30%。

落实管理责任:对于发电、低压配电由分行综合管理部或其他非科技部门负责的分行, 要明确落实责任, 明确边界, 避免出现管理真空。

四、维护内容

在实际工作中, 对分行信息系统电力保障要求定期维护, 内容主要涵盖以下几方面。

(一) 供配电柜检查

1.检查各配电柜、开关、线缆、母排等部件标志是否正确、清晰, 各显示屏、仪表是否出现报警信息, 各开关、线缆、母排等部件的接点状况是否良好, 地线是否良好。

2.检查各相及零地电压、各相电流、频率等供电参数是否正常, 低压配电柜、UPS输入柜的三相是否平衡。

(二) 供配电线路检查

1.检查电缆、线槽、线架、电缆沟等是否完好、清洁, 检查配电线缆的标志是否正确、清晰。

2.检查配电线缆的保护、防鼠、防水等设施是否出现损伤、老化。

3.检测漏电保护开关动作是否良好, 接地系统是否良好。

4.检查照明灯具是否完好、照度是否正常, 应急照明灯的充放电是否正常。

5.检查各级防雷器是否完好、标志是否清晰, 状态指示是否正常, 接点是否紧固。

(三) 发电机组定期检查

1.检查润滑油位、冷却液位、燃油油量。检查发电机供油、润滑、冷却等系统各管路及接头是否出现漏油、漏水现象。

2.检查启动蓄电池电压及充电功能, 检查发电机组内循环水, 检查进风、排风口是否通畅。

3.检查机组各处的连接和紧固情况, 是否出现震动、异常声响等。

(四) UPS系统定期检查

1.检查UPS性能及运行状态。

2.检查UPS蓄电池。检测电池电压及内阻是否正常, 电池外观是否完好, 是否出现变形、漏液现象。

3.充放电测试。估算电池组的安全供电时间, 发现电池组性能下降时, 及时更换。

4.消除系统缺陷, 更换老化或带隐患的模块、元器件及电池。

五、优化计划

除落实标准管理要求外, 农行广东分行还将通过以下措施保障信息系统供配电安全, 化解科技运行风险, 提升服务能力。

(一) 明确管理职责, 落实运维责任

进一步梳理并明确与信息系统供配电相关的综合、保卫、物业及第三方维保单位的管理边界, 明确各自管理范围和管理职责, 避免运维死角。由省行组织辖属几家分行形成信息系统供配电运维规范, 明确部门职责和要求, 并进行试点推广。

(二) 提升自动化运维水平

目前信息系统供配电管理缺乏有效的自动化管理工具, 巡检监控大多局限于人工巡检, 不能实现实时监控, 拟通过完善分行机房监控平台的建设, 实现机房环境基础领域工作的专业化、精细化和标准化, 提升分行机房运维管理的规范性、高效性。

(三) 加快供配电人才培养

分行供配电人才普遍匮乏, 将逐步配置具有资质的供配电运维人员, 确保供配电管理专职专人, 同时通过加强培训提高供配电运维人员的技术水平。

(四) 建立部门联动机制

完善科技与各相关部门的联动保障机制, 并将供配电应急演练列入年度信息系统实战演练计划, 省行通过不定期对辖属分行的供配电管理进行检查, 促进工作改进、提升。

参考文献

[1]赵志宇.谈电力信息系统安全保障体系建设原则及思路[J].计算机安全, 2009 (6) :93-96.

保障信息系统 篇8

金融信息系统安全保障体系的总体构架有系统安全、物理安全、应用安全、网络安全、和管理安全 (见图1) 。

1.1 金融信息系统的安全

系统安全指的就是网络结构的安全和操作系统的安全, 应用系统安全等等。网络结构的安全就是指网络拓扑没有冗余的环路产生, 线路比较畅通, 结构合理。操作系统的安全就是指要采用较高的网络操作系统, 删除一些不常用却存在安全隐患的应用, 对一些用户的信息和口令要进行严格的把关和限制。应用系统的安全就是指只保留一些常用的端口号和协议, 要严格的控制使用者的操作权限。在系统中要对系统有一些必要的备份和恢复, 它是为了保护金融系统出现问题时, 能够快速的恢复, 在金融系统在运行的过程中要对其内容进行备份。

1.2 金融信息系统的物理安全

物理安全就是要保证整个网络体系与信息结构都是安全的。物理安全主要涉及的就是环境的安全和设备的安全, 环境安全主要就是防雷、防火、防水等等, 而设备的安全指的就是防盗、放干扰等等。

1.3 金融信息系统的应用安全

金融信息系统的应用安全主要就是指金融信息系统访问控制的需要, 对访问的控制采用不同的级别, 对用户级别的访问授权也是不同。收集验证数据和安全传输的数据都是对目前使用者的身份识别和验证的重要步骤。而对于金融系统中数据资源的备份和恢复的机制也要采取相应的保护措施, 在故障发生后第一时间恢复系统。

1.4 金融信息系统的网络安全

金融信息都是通过才能向外界发布的, 而通过采取数据链路层和网络层的加密来实现通信的保护, 对网络中重要信息进行保护。而对网络进行入侵检测也是必要的, 通过信息代码对进出的网段进行监控, 来确保信息的安全性。对系统也要进行不定期的部件检测, 发现有漏洞要及时的进行补救。

1.5 金融信息系统的安全管理

金融系统是一个涵盖多方面的网络, 也运行着很多的网络, 对金融系统进行信息管理, 就应该设置安全的管理中心, 要集中的管理, 严格的规定和确定明确的责任和控制, 确保金融系统可靠的运行。

2 金融信息系统安全保障的措施

2.1 设置安全保障的措施

对于任何未经允许的策略都严格的禁止, 系统允许访问的都要经过眼的认证才能进入下一步, 重要的金融信息要经加密的措施进行传输。要通过网络安全策略对金融信息系统的网络设置防火墙, 用来保护各个金融节点的信息安全, 允许授权用户访问局域网, 允许授权用户访问该局域网内的特定资源;按业务和行政归属, 在横向和纵向网络上通过采用MPLSVPN技术进行VPN划分。

2.2 使用安全技术和安全产品的措施

为了金融系统有个安全可靠运行环境, 遵循金融系统的安全保障体系策略, 要在金融信息系统中安装一些安全技术和安全的产品。将金融信息系统划分为不同的安全区域, 每个区域都不同的责任和任务, 对不同的区域要有不同的保护措施, 即方便又增强了安全性。在金融系统中安装一道防火墙, 用来防止不可预见的事故, 若是有潜在的破坏性的攻击者, 防火墙会起到一定的作用, 对外部屏蔽内部的消息, 以实现网络的安全防护。应该在金融信息系统中设置入侵检测系统, 要对网络的安全状态进行定期的检测, 对入侵的事件进行检测, 对网络进行全方位的保护。在金融信息系统中安装防病毒的系统, 对有可能产生的病源或是路径进行相对应的配置防病毒的软件, 对金融信息系统提供一个集中式的管理, 对反病毒的程序进行安装、扫描、更新和共享等, 将日常的金融信息系统的维护工作简单化, 对有可能侵入金融信息系统的病毒进行24小时监控, 使得网络免遭病毒的危害。定期的对金融信息系统进行安全评估, 对系统中的工作站、服务器、交换机、数据库一一的进行检测评估, 根据评估的结果, 向系统提供报告。安全的评估与防火墙的入侵检测是相互配合的, 够使网络提供更高性能的服务。

2.3 金融信息管理的安全措施

在管理的技术手段上, 也要提高安全管理的水平。金融信息系统是相对比较封闭的, 金融信息系统的安全是最重要的, 业务逻辑与操作规范的严密是重中之重。因此对于金融信息系统的内部管理, 加强领导班子对安全管理的体系, 强化日常的管理制度, 提升根本的管理层次。

2.3.1 建立完善的组织机构。

如今我国更加重视信息安全的发展, 它可以促进经济发展和维护社会的稳定。在金融信息系统的内部要建立安全管理小组, 安全管理小组的任务就是要制定出符合金融发展的安全策略。管理小组由责任和义务维护好系统的安全和稳定。

2.3.2 制定一系列的安全管理办法和法规, 主要就是抓住内网的管理, 行为、应用等管理, 进行内容控制和存储管理。

对每个设施都要有一套预案, 并定期进行测试。

2.3.3

加强严格管理, 加强登陆身份的认证, 严格控制用户的使用权限, 对每个用户都要进行信息跟踪, 为系统的审核提供保障。

2.3.4 加强重视信息保护的等级, 对金融信息系统中信息重点保护, 对重要信息实施强制保护和强制性认证, 以确保金融业务信息的安全。

也要不断的加强信息管理人才与安全队伍的建设, 加大对复合型人才的培养力度, 通过各种会议、网站、广播、电视、报纸等媒体加大信息安全普法和守法宣传力度, 提高全民信息安全意识, 尤其是加强企业内部人员的信息安全知识培训与教育, 提高员工的信息安全自律水平。

3 结语

随着金融信息化的快速发展, 金融信息系统的规模逐步扩大, 金融信息资产的数量急剧增加, 对网络与信息系统实施安全保护已势在必行。目前互联网的应用还缺乏一定的安全措施, 这样就严重的影响和限制了金融系统通过网络向外界提供服务的质量和种类。因此, 各个金融信息系统都必须要采取一定的安全防护措施, 构建一个安全的合理的金融信息系统。

参考文献

[1]卢新德.构建信息安全保障新体系.中国经济出版社, 2007.

[2]李改成.金融信息安全工程[M].北京.机械工业出版社, 2010.

保障信息系统 篇9

关键词：住房公积金信息系统,风险保障,效果评价

1引言

住房资金管理中心作为类似商业银行管理模式的组织, 在迫切需要提高自身管理和服务水平的现实要求下, 通过分析管理机构的现状和未来发展战略, 认识到管理中心如果想在资金管理和公共服务这两个基本职能上有所作为, 必然要以信息化建设作为组织创新的首要途径。成功的信息化建设, 对于管理中心的管理工作以及服务水平的提升, 能够有极大的助力。但是, 信息化建设在实际案例反映出来, 在建设过程中会出现各种各样的风险, 如果在项目建设初就对其进行完整地风险预测分析, 并且制定相应地保障措施, 那么就可以有效地防范、规避风险的发生。所以, 分析风险、评估风险、制定保障措施、效果评价就是管理中心信息化建设项目中必有的过程。

2风险

根据管理中心信息化建设的战略目标和组织状况, 组织中心信息化建设工作小组成员和建设实施单位一起分析项目建设过程中的风险点, 通过研讨可以发现项目中的风险点主要包括以下几个方面:

(1) 组织发展战略目标发生改变 , 从而引发信息化建设失败。随着管理中心内部、外部环境发生变化, 组织发展的战略目标也在不断发生改变, 如果在这个变化的过程里信息化建设的实施无法随动配合, 必然有一定的失衡存在, 造成信息化建设与组织战略目标相背离的情况。虽然从管理中心当前的发展状况分析, 这种风险发生的可能较小, 但作为一种可能性, 也要加以一定的注意。

(2) 新建网上信息基础平台和管理中心当前使用的业务系统之间的数据交换共享风险。在这两个信息系统之间存在着数据结构、系统架构方面的差别, 新平台系统建设完成后,两个系统间会存在持续大量的信息交换, 所以在建设新的网上平台系统时需要密切关注系统的衔接。

(3) 信息化建设的实施根据规划方案 , 要持续长达一年半的时间, 这期间信息技术也会不断发展, 新建的信息化系统的设计基础会随之产生改变。

(4) 新建网上信息基础平台与管理中心组织变化的相互影响。随着项目的建设进展, 管理中心会在特定时间窗口调整业务流程, 变更组织机构模式, 以适应系统对业务流程的重造, 而这种变更和再造与新建系统是否相互配合协调, 效果如何, 有待我们持续观察。同时对系统的推广使用也需要管理中心制定周密地计划安排, 并组织人力配置。

(5) 管理中心内部人员有限, 技术力量储备不足, 可能对信息化建设产生的影响。此次系统建设涉及面广、技术要求高, 如何在有限的技术力量配合下完成信息化建设工作的顺利实施, 并在以后的工作中保障运行, 需要引起一定的关注。

(6) 管理中心信息化建设工作小组与项目建设实施者之间的良好沟通, 决定了信息化建设实施的成功与否。只有系统设计者充分理解管理中心的业务需求, 才能设计出符合管理机构发展目标的信息管理系统。这就要求管理中心调配组织人力资源, 与项目实施方保持良好的配合协作。

通过严密完整的分析, 双方一致认定,(1)、(4)、(6) 这3个风险点是建设中的主要风险 , 要求管理中心和项目实施方高度重视, 并采取有效措施来防范风险发生;(2)、(3)、 (5) 这3项风险属于次要风险 , 通过人员培训、组织交流等手段可以消除。 经过识别风险, 发现风险, 并采取有效的控制方法, 就可以防范、规避、控制、降低风险。

3风险保障措施

管理中心通过对风险的认识, 采取不同的风险控制手段来应对上述识别出来的风险。

(1) 上述识别出的主要风险 , 管理中心实施的措施为 :分期分批建设实施, 并按照实施的难易程度的不同, 先期建设简单易行并且不会阻碍业务工作进行的部分, 而难点和会引起管理中心机构变化的则要认真研讨, 组织好实施步骤和工作计划安排, 力求在不影响工作开展的情况下稳步实施,并根据实际情况随时组织业务交流会, 及时调整完善。

(2) 至于分析出的次要风险 , 首先要和建设实施单位加强沟通协作, 并邀请业务系统技术支持和网上系统开发人员积极配合, 协助管理中心项目实施; 其次要安排中心工作人员参加培训学习, 全面掌握网上业务系统应用知识, 协助开发人员发现问题, 解决问题。

在项目建设实施的过程中, 按照已经识别出的风险因素,管理中心组织相关部门和人员制定并实施了风险保障措施,具体措施如下:

(1) 持续观察管理中心的发展环境 , 保持信息化建设目标与管理中心的发展方向一致。通过设定“整体规划方案、分期分批建设、 保持业务平稳”的建设策略, 分散可能的风险损失, 这样在万一的风险出现时, 可以减少损失。同时,在系统设计架构时, 对项目实施方开发人员提出要求, 采用适应性高的系统架构技术, 以利于所建设的网上业务系统能够灵活满足不断发展变化的业务工作需求。

(2) 一切以充分满足业务工作需求为主, 适用而且实用,在此基础上, 合理运用信息技术手段, 满足管理中心一定时期内的工作需要, 并保证系统的完善成熟和较好的性价比。

(3) 组织管理中心全体人员培训学习 , 统一认识。此次项目实施需要全体工作人员的大力配合以及主动参与, 并且需要各业务部门从业务规范、业务流程、运营组织上提供全面和精细的需求。从中心领导层到具体工作人员都要清醒地认识到信息化建设关系到中心的长期发展需要, 是中心提升管理水平和服务水平的需要, 是缴存单位和职工的需要, 从而能够在中心内部形成自觉自愿参与建设、提高业务素养、学习掌握新知识的良好氛围。

(4) 全面优化资源配置 , 提高行动力。在管理中心内部要让领导层认识到信息化建设的重要性, 并亲自体验信息化建设工作, 以利于完善加强信息化建设的管理组织工作, 从人财物等各方面提高管理控制的力度, 强化系统运行和维护的制度建设, 完善服务管理体系, 定期检查信息化组织建设工作, 对建设实施情况跟踪监督。

(5) 重视提高中心工作人员的信息化运用水平 , 采取定期和不定期、专项和通用等涉及不同应用层面以及工作类型的信息技术培训班的形式, 全面提高业务人员和管理人员的信息化技能和网上业务系统应用能力, 制定切实有效的人员培训和绩效考核办法, 督促帮助中心工作人员提升自身素质,从而全面提高管理中心的整体水平。

(6) 充分保证信息化建设项目资金和系统运维资金 , 全面规划中心信息化建设各阶段的配套资金, 科学预算、精细投入、杜绝浪费, 确保信息化建设工作顺利开展。

(7) 项目建设过程中 , 严格按照“整体规划方案、分期分批建设、 保持业务平稳”的保障措施, 按实际工作需求指导信息化建设, 有效规避、防范风险的发生。

通过执行拟定的系统建设实施保障措施, 经过管理中心和项目建设方的共同努力, 管理信息平台系统顺利完成建设,但是, 网上业务系统能否提高管理中心的资金管理水平和公共服务水平, 能否满足管理中心的业务工作实际需求, 这些问题就需要通过系统评估来得以解决, 模糊综合评价模型就是一种能够把定性的问题通过数学方法转变成为定量的问题来解决难以定量分析事件的信息系统评价方法。

应用模糊综合评价模型, 可以通过建立评价指标体系,对于信息系统的组织评价、基础设施条件、系统的实际应用性能、信息系统整体安全性评价、 人力资源影响评价这5个方面的因素, 按照其对于整体评价影响程度的大小, 分别计算综合得分, 并根据得分值判定其建设效果。

在评价体系中, 这5个指标还可以细分出二阶指标来从更精细的角度, 通过综合评分得到一阶指标的分值。对于信息系统的组织评价这一指标可以建立二阶指标, 分别是信息系统建设在管理中心的战略地位、管理中心组织系统成效、信息系统建设规划设计方案优劣、系统整体预算; 基础设施条件这一指标可以分别建立二阶指标是软件技术、硬件设备、基础设施水平; 系统的实际应用性能指标可以建立二阶指标是门户网站建设水平、数据交换性能、数据标准度、业务处理水平、 数据共享性能、系统建设目标实现度; 信息系统整体安全性评价指标可以建立二阶指标是信息系统安全设备投入比例、信息系统安全措施; 人力资源影响评价指标可以建立二阶指标是工作效率对比、管理机构组织形式影响度、业务流程优化度、组织绩效提高度。 通过专家组的对比评价,可以分别计算出评价体系中每个评价因素的得分, 由此就可以得知信息化系统建设的成效, 如表1所示。

经过对比和分析, 计算出的综合评价分值为N1=67.82,N2=75.34, N3=71.56, N4=81.68, N5=71.75。

保障信息系统 篇10

一管理信息系统教学质量保障体系的现状分析

1.教学质量标准不明确, 规章制度不健全

管理信息系统与教学活动各主要环节实现标准化尚有较大差距, 质量标准不明确, 规章制度建设不健全。此外, 在管理信息系统教学质量保障体系的构建中缺乏全面质量管理的思想, 教学质量管理和监控重表面的东西, 在管理信息系统的教学评价中, 对教师的评价一般是以奖惩性评价为主, 忽视发展性评价, 评价侧重于对教师的测量和评估, 注重结果, 忽略促进教师的专业成长与发展, 缺乏对教师提出改进措施的指导性意见。

2.教学运行机制不健全, 监控管理不到位

管理信息系统课程教学质量监控机构不健全, 监控人员不落实和信息不准确等。教务处、院系和教研室以及相关职能部门是教学质量决策与管理机构, 同时也是教学质量监控机构。教学质量信息反馈主要依靠管理系统的自我反馈, 影响了教学质量保障体系的运行。有些管理信息系统建立了以分管教学副主任任组长的系教学督导组织, 但由于系教学督导组织成员大多为返聘的退休教师, 人员数量较少, 年龄普遍偏大, 报酬比较低, 不能调动他们的积极性。没有建立起对教学全过程的质量监控体系, 对学生实践动手能力缺乏有效的培养办法, 对教师的教学理论素养较重视, 对实践动手能力的培养较放松。

3.教学保障体系不系统, 评价体系不完善

管理信息系统课程教学质量监控措施和办法没有深入到教学的整个环节, 没能形成一个有机整体, 缺乏系统化和科学化, 教学质量保障体系不系统。管理信息系统开展了教学质量评价、课程评价、督导评价和教师评学等形式多样的评价, 由于评价体系过于简单, 不能突出专业特色, 千篇一律, 所以, 大多没能起到预期的效果。缺乏实践教学质量评价体系, 没有构建起一个较为完整的、操作简单实用的教学评价体系, 教学质量保障评价体系不完善。

二管理信息系统教学质量保障体系分析

1.全面质量管理思想与原则

全面质量管理的基本思想可概括为全过程的质量管理、全员参与的质量管理、全方位的质量管理, 要综合利用多种先进的管理方法和技术手段进行质量管理。

管理信息系统构建全面质量保障体系应遵循的三大原则:

第一, 系统规划原则。系统规划就是要把管理信息系统作为一个有机系统, 遵循整体优化的原则, 对系的质量管理进行全面规划、系统设计, 建立科学的决策机制。管理信息系统课程教学是一个系统工程, 分为教学计划的设计、教学计划的制定和教学计划的执行, 是一个完整的体系, 一切教学活动都是按照教学计划来组织并实施的。

第二, 顾客至上原则。学生是管理信息系统课程教学的主要顾客, 此外, 还有家长、用人单位和政府。管理信息系统课程教学要以顾客为中心, 了解和掌握顾客当前和未来的需求, 树立为顾客服务、对顾客负责的思想, 将顾客置于整个管理体系中最重要的位置。

第三, 持续改进原则。持续改进就是管理信息系统根据用人单位和企业不断提出的新要求, 持续地改进并提高质量。质量的持续改进是全面质量管理的目标, 它贯穿了整个管理过程, 影响管理信息系统课程教学质量的各个环节。

2.PDCA方法

管理信息系统课程教学质量保障体系采用PDCA循环管理方法, PDCA是全面质量管理解决问题的基本方法, 它对重复出现的事物提供了数据决策。

PDCA循环管理方法包括四个步骤:一是, 计划 (Plan) 。找出问题制定计划, 各院系制定教学计划, 并把教学计划分解到各教研室, 由各教研室根据专业课程特点制定详细的计划, 最后由任课教师做一份执行计划。二是, 实施 (Do) 。根据教学计划的要求收集数据, 按照一定标准完成, 每一项工作落实到个人。三是, 检查 (Check) 。对教学工作的实施过程和结果进行检查, 把结果与计划进行对比, 检查是否完成了计划规定的任务。通过检查, 找出存在的问题及其原因。四是, 改进 (Action) 。总结经验和教训, 在日常工作中努力运用新的方法, 使新方法成为教学的一部分, 把经验传授给别人, 并不断改进和提高。

3.教学质量保障体系

管理信息系统课程教学质量保障体系是依照教学质量的标准, 通过对影响教学质量的各因素和各环节进行系统的监督、控制与评价建立的体系。根据全面质量管理的理念, 可以将教学质量保障体系分成全员参与、全程管理和全面推进的四个子系统, 具体如下:

第一, 教学质量保证系统。确定管理信息系统教学质量保证系统的责任人, 依据全面质量管理模式, 逐步构建一套适合于系的标准化教学质量保证体系, 目的是体现院系对社会、家长、用人单位、学生的承诺, 体现院系重视教育质量、注重内涵发展的办学思想, 真正树立起管理信息系统的品牌形象, 提高院系的知名度、美誉度, 全面提高学生、家长以及用人单位的满意度。

第二, 教学质量监控系统。管理信息系统教学质量监控系统主要由院系两级教学督导制度、学生信息员制度、教学检查制度等组成。院系教学督导委员会强化院系教学管理工作的调控职能, 保证有关教学管理规章制度的贯彻执行。学生信息员从院系的管理层面和教育层面不断向院系决策者提供影响教学质量的信息, 教学监控系统应当具有层次性。

第三, 教学质量评价系统。对教学各环节考核, 评判管理信息系统教学质量现状与教学质量标准的吻合程度。管理信息系统评价的内容:教学思想与原则、教学大纲和教学计划执行情况, 教学态度、教学内容、教学方法、教学手段和教学效果等教学基本功。教学质量评价采取学生评价、同行评价、系督导评价“三位一体”的评价方式。

第四, 教学信息反馈系统。建立多渠道的管理信息系统教学质量信息反馈系统, 了解和掌握教学工作的实际状态和效果。教学信息反馈系统包括教学过程信息和教学效果信息, 具体为:专家督导组听课记录、学生评教调查表、抽样调查数据、学生座谈会等各种意见, 根据反馈意见教师及时调整教学方法, 做到教和学的相互统一。

三管理信息系统教学质量保障体系的实施步骤

管理信息系统教学质量保障体系中, 实施全面教学的质量管理, 需要经过领导支持实施、准备实施阶段、项目推广阶段、评价改进阶段等几个阶段, 具体如下:

1.领导支持阶段

实施管理信息系统全面质量管理要得到院系领导和教研室主任充分的理解和支持, 才能正确指导组织的教学质量管理工作, 才能使全院系师生思想保持高度统一。系领导首先要明确实施范围, 在制定规划时, 要考虑安排管理信息系统教学质量教育, 以满足广大教师和学生的需要及院系发展的需要。

2.准备实施阶段

首先, 通过对学生、教师的调查, 分析学生、教师群体的不同需要, 并据此制定有关教育目标, 成立教学质量规划小组。提供教职工教育和培训机会, 以便更好地理解和贯彻执行全面质量管理的各项制度。在实施过程中, 质量小组通过与学生和教师交流以及执行教职工的教学信息反馈, 不断修改、完善先前建立的质量管理保障体系。

3.项目推广阶段

一旦有项目的教学质量管理工作取得成功, 就应当逐步在整个教研室内加以大力推广, 成立多个教学质量小组, 多层次、多领域地开展管理信息系统教学质量控制和质量改进工作。

4.评价改进阶段

管理信息系统教学质量评价工作应当定期进行, 如一月一次或一学期一次, 评价方法要统一, 在评价过程中发现的问题要及时采取适当方法加以解决。全面质量管理是一个持续不断的过程, 教学质量改进建立在管理信息系统教学质量评价的基础上, 要分析课程现状的差距和改进的途径、重新设定目标等一系列工作, 不断总结经验和改进措施方法。

全面质量管理在管理信息系统教学质量保障体系中的应用作为一种新的理念和管理方法还处于探索与实践阶段, 要充分考虑教学活动的特点, 管理信息系统在教学管理中通过全面质量管理的正常运作, 建立起一套自我发现问题、自我改进和自我完善的机制。运用PDCA循环管理模式下教学质量保障体系的构建方法与实践措施, 通过教学质量保障体系的实施, 促使管理信息系统课程教学管理水平显著提高, 教学质量得以稳步提升。

参考文献

[1]刘庆军.基于TQM的高等职业教育质量改进体系的实践与研究[J].华章, 2014 (7)

[2]曾琦斐.高职院校加强教学质量监控与评估的研究与实践[J].职业教育研究, 2010 (3)

[3]杨元利.物联网软件工程CDIO项目化教学实施体系设计[J].广西教育, 2015 (9)

[4]朱琳.全面质量管理在科研管理中的应用[J].长春师范学院学报 (自然科学版) , 2010 (5)

[5]付萍、黄秀.高职院校教学质量保障体系精细化的实践与思考[J].湖北广播电视大学学报, 2009 (8)

[6]姜秀丽、苏连江.新建本科院校构建教学质量保障体系的研究与探索[J].黑龙江高教研究, 2014 (1)

[7]沈玉顺.高校教学质量保障体系建设的组织策略初探[J].复旦教育论坛, 2010 (4) :27~30

银行信息安全有保障吗？ 篇11

4月21日，中国人民银行、中国银行业监督管理委员会、中国证券管理委员会、中国保险监督管理委员会联合组织的全国金融信息安全保障工作会议在北京召开。中国人民银行副行长苏宁表示，经过20多年的建设发展，中国金融系统信息化水平有了较大程度的提高。信息技术在提高金融系统服务水平、促进业务创新、提升核心竞争力等方面发挥了重要作用。随着金融信息化的深入发展，金融对计算机信息系统的高度依赖，信息安全的重要性日益突出，并成为确保国家金融安全的重要保证。近年来，为防范和化解金融信息技术风险，保证国家金融安全，在国务院信息化工作办公室和国务院相关部门的协调和推动下，金融系统做了大量工作，取得了显著成绩，保障了金融信息系统的稳定、持续运行。

网络技术的发展，不仅大大改变了银行业的经营方式和服务手段，也使银行治理结构发生了深刻的变化。电子银行依托网络技术，为客户提供实时、全时空和全能金融服务，它不仅可以向客产提供开产、电子支付、网上转账、存贷款等传统服务，而且可以根据客户的特殊需求，提供包括衍生金融产品、证券承销、财务管理、投资咨询在内的多种个性化服务项目。但电子银行发展的基础必须确保其安全性，如果系统和电子数据没有安全性，那么“失去了信誉”的“电子货币”就不可能存在了。

银行作为特殊的企业，信息系统的安全一直是大家关注的问题。对银行信息安全建设，许多人的一个错误认识是银行信息安全等同于技术安全，他们只把眼光盯在技术因素上，忽略了对信息安全保障各种因素的全面审视。技术是由人来创造发明的，信息系统也是由人来操作和使用的，培养信息安全人才、提升人们的信息安全认识，对于银行信息安全建设至关重要。除此之外，信息安全必须加强技术防范，目前广泛采用的信息安全技术有密码技术、数字签名技术、病毒防范技术、防火墙技术、入侵检测技术、数据库安全技术等。

伴随着金融电子化建设的不断发展，银行已实现了对公、储蓄、联行等传统业务的电子化，计算机及网络通信等技术在银行的广泛应用和不断扩展，推动了各项业务的发展和创新，对提高银行管理水平和服务质量，发挥了积极作用，同时网上银行、自画银行等新型业务的出现，又使金融电子化成为银行赖以生存和发展的基础随着银行业地计算机网络系统的依赖程度增加，金融产品的不断创新，新技术在给业务带来巨大方便、高效的同时，也带来了巨大的风险。网络安全问题不断暴露。而且，由于银行属于商业系统，都有一些各自的商业机密信息，如果这些涉密信息在网上传输过程中泄密，会造成巨大的损失。

目前银行网络安全的风险主要来自：1、互联网：网上银行、电子商务、网上交易系统都是通过Internet公网并且都与银行发生关系，银行系统网络如果与Internet公网直接或间接互联，那么由于互联网自身的广泛性、自由性等特点，自然会被恶意的入侵者列入其攻击目标的前列；2、外单位：与电信局、水电局、保险公司、证券交易所等单位网络互联，使得银行网络系统存在着来自外单位的安全威胁；3、不信任域：大部分银行系统都发展到全国联网。一个系统分布在全国各地，范围极广，而且各级银行也都是独立核算单位，因此，对每一个区域银行来说，其他区域银行都可以说是不信任的。同样存在安全威胁；4、内部网：据调查统计，已发生的网络安全事件中，70％的攻击是来自内部。因此内部网的安全风险更严重。内部员工对自身企业网络结构、应用比较熟悉，自己攻击或泄露重要信息或内外勾结，都可能成为导致系统受攻击的最致命发全威胁。另外，员工的安全意识薄弱，安全管理体制不健全也是网络存在安全风险的重要因素之一。安全威胁可能引发结果有非法使用资源、恶意破坏数据、数据窃取、数据篡改、假冒、伪造、欺骗、敲诈勒索等。种种结果对银行这样特殊性的行业来说，其损失都是不可估量的。

业内有关专家指出，金融行业与其他行业不同，它是一个经营风险获得收益的行业，金融企业的风险管理水平决定了银行的盈利能力，而金融网络的系统安全则是银行取得效益的基础和前提。在信息技术飞速发展的今天，金融创新依靠传统的手工技术是不可能实现的，必须借助IT系统来完成。对手金融企业来说，产品创新是企业获得盈利的最起码要求，而电子化是金融企业保持灵敏性的惟一动力。从世界角度来看，我国的风险管理还处于低级阶段，信息化的建设还将从最初的信息数据集中开始入手，最终达到金融企业内部管理的集中化。 据了解，目前国内对金融业的监管力度不弱于国外发达国家的水平，但为什么国内大小金融案件仍然很多呢?业内人士认为，这主要是因为目前国内的IT工具的使用和构建程度不够，金融软件的设计没有充分考虑行业特点的发展趋势所致。在谈到目前我国金融业网络安全建设中所存在的问题时，专家指出，我国当前的网络安全建设中还存在着四大方面的欠缺：整体安全系统建设的欠缺；内部网络安全监控与防范的欠缺；智能与主动性安全防范体系建设的欠缺以及全面集中安全管理策略平台定制方面的欠缺。 银行应当从设备、网络、软件系统等技术方面进行有效的安全控制信息技术安全的基础保障应当是—套安全可靠的网络体系。因此，凡是针对网络安全系统应当采取的保护措施，都是银行首先要考虑的。对于网络安全的威胁主要来自以下两个方面：一是对网络纳物理性破坏。比如，雷电、电磁波干扰、水灾、火灾，还有对计算机的人为损毁和意外操作损毁等。对手物理性破坏，应当考虑到并采取预防措施，例如应当对网络的外部环境进行选择，尽量使操作地远离自然风险较大的场所，同时应当加强人力对操作场所进行监督和保护。二是通过网络对数据信息进行非法访问和破坏，这是对子网络安全来说最需防范的方面。主要的破坏方式包括机密信息泄露、未经授权而对网络进行访问及非法操作、传播计算机病毒而使网络受到攻击等。为了应对这些破坏，银行应当尽量做到：第一，配置更安全可靠的设备。所选用的网络硬件设施应当是经过国家公安部门认定、国家保密部门推荐使用的高科技网络安全产品，这些设备的使用和管理要有严格的制度和身份认证。第二，加快防火墙保护体系的建设。逐步在全国银行系统的计算机网络与公网、银行之间的连接处和网上银行采用高强度防火墙，对国际互联网接口和银行间网络接口配备入侵检测系统等。第三，加强网络防病毒软件的开发和使用。现在的计算机病毒越来越多，也越来越隐蔽，由单机向网络发展，而且破坏力极强，及早预防并杀除病毒，以保护数据免受计算机病毒攻击。第四，采用合适的网络加密技术，对传输的数据进行有效防护。应当充分利用网络设备的加密和认证功能，加快银行专用密钥管理基础设施(KMI)、公钥基础设施(PKI)的建设。第五，制订更为严密的法律法规，打击计算机犯罪。应当从全社会的高度树立信息安全意识，在舆论上严厉谴责“黑客”行为，同时实施法律保障，铲除滋生计算机犯罪的土壤。

浅谈医院信息系统安全保障的措施 篇12

1 硬件设备和软件系统的安全保障[1]

1.1 服务器端

对最上层的服务器和数据库来说如何保证所提供服务的可靠性和不间断性以及数据存储的安全是决定一个信息系统安全的关键。首先, 必须使用不间断电源UPS, 保证服务器24小时不间断工作, 防止停电造成的数据库损坏。对于中心服务器, 目前大部分医院采用的是双机热备份磁盘阵列的模式, 当一个服务器发生故障时, 备份服务器能在十几秒的时间内进行切换, 启动数据库, 一般能在2分钟内恢复业务处理。这样只做到一台服务器出现故障时, 能保证信息系统的正常运行, 如果阵列出现故障, 整个系统仍要停止运行, 一般在条件允许的情况下应该备有应急服务器。应急服务器在日常工作时, 通过数据库的备份服务实时地进行异地备份, 保证数据与中心服务器的同步, 当双机服务器或阵列出现故障时, 系统能顺利转移到应急服务器上运行, 所有用户的使用方法保持不变, 患者数据信息连续, 不仅方便操作人员工作, 而且大大的提高系统的安全性。

最重要的是我们将医院的内网和外网做到物理上的完全隔离。

1.2 客户端

对于最底层的机器管理, 为了防止因机器故障而影响临床医疗, 我们将医生工作站、护士工作站以及门诊收费等应用量大且时间要求紧迫的窗口业务的机器都预备了1~2台的备用机, 如果某一台机器出现故障, 先将备用机顶上, 待修理完成后再将备用机换回。为了防止机器感染病毒, 我们拆除了光驱、软驱, 关闭USB端口;每个用户在系统中只有唯一的工作密码。一般用户只能看到与自己工作相关的程序界面, 无法看到网上邻资源管理器等, 这样有效地防止非法用户入侵网络, 这样为医院医疗信息的正常运行提供了可靠的保证。

软件维护包括四方面内容: (1) 纠错性维护, 它是指由于前期测试未能全部查出软件系统中的潜在错误, 用户在使用软件时仍将会遇到错误, 需要诊断和改正这些错误的过程; (2) 适应性维护, 它是指由于更新的硬件设备、操作系统等不断地升级, 为了能适应新的环境而引起的程序修改和扩充活动过程; (3) 完善性维护, 为了扩充原有系统的功能, 提高其性能而进行的系统维护工作; (4) 预防性维护, 系统维护工作应进行主动的预防性维护, 即选择那些还有较长使用寿命, 目前尚能正常运行, 但有可能发生变化的系统进行维护。

2 建立医院信息系统应急预案

2.1 建立应急预案的原则[2]

医院信息系统故障应急预案建立应遵循以下原则:应急预案应针对那些可能造成信息系统数据损失、网络瘫痪、核心设备严重破坏而又具有突发性的故障;应急预案以保护信息系统数据安全为第一目的, 在保证数据安全的前提下最大限度地减少故障对医院业务活动的影响;应急预案应包括对紧急情况的处理程序和措施;应急预案应结合实际, 措施明确具体, 具有很强的可操作性。

2.2 应急预案的实施

我们根据故障的严重程度和影响范围, 将故障分为三类:一类故障:服务器不能工作、光纤损坏、主服务器数据丢失、备份盘损坏、局部网络不通、整体或局部软、硬件故障。二类故障:单一终端软、硬件故障、单一患者信息丢失、偶然性的数据处理错误、单一终端违反工作流程要求。三类故障:各终端由于不熟练或使用不当造成的错误。

确定故障分类后, 要做好组织协调工作, 明确各类故障排除的责任与分工, 一级故障由计算机中心、医务科、护理部、门诊部组织协调;二级故障由计算机中心联合软件开发商解决;三级故障由计算机中心独立解决, 各部门各负其责, 分工明确, 及时完成故障排除任务。

在系统故障排除以后, 应该认真地分析信息系统故障发生的原因、应急预案的执行情况及经验教训;对不可预知的突发故障在技术分析的基础上, 写出书面的情况汇报, 并找出弥补和应该采取的有效防范措施, 避免类似事件再次发生。

3 做好数据维护工作[3]

医院信息系统从开始正常运行, 就将随着时间的推移, 永不停歇地积累数据, 医院中一切基于医院信息系统的活动都以这些数据为基础, 在系统运行中常常会不可避免地遇到一些问题, 如人为误操作、硬件损毁、电脑病毒、断电或是天灾人祸等造成网络系统瘫痪、数据丢失, 这会给医院和患者带来难以弥补的损失。因此避免这种损失就要做好数据维护工作, 最佳办法就是为系统进行可靠的数据备份。

我们建立异地备份数据服务器, 存放主服务器差时数据, 当主服务器有故障时, 备份服务器手动切换, 以保证数据的完整性。

4 建立健全的管理制度, 发挥好网络管理员的作用[4]

网络管理是十分复杂、繁琐的技术工作, 没有规章制度的约束将无法对其进行有效的管理。通常的制度建设包括信息管理中心管理制度、值班制度、网络安全管理制度、网络工作站管理制度、设备管理制度、设备维修登记制度、数据备份制度、服务器运行登记制度、人员培训制度等。医院的网络管理活动都是以网管员为中心展开的, 网管员既要参与网络结构的研讨与规划、合理组织网络资源, 又要对网络系统进行有效配置。网络发生故障时, 要及时诊断与排除故障。管理员不同于一般的网络值班人员, 其素质与水平决定了网络性能发挥的优劣。

总之, 医院只有加强对医院信息系统的维护管理, 才能确保网络系统正常运行, 为患者提供更快更好的优质服务, 为医护人员及时提供准确信息, 为医院领导提供全方位的医院信息制定正确的管理决策, 使医院管理更加科学化、规范化, 从而为医院创造更好的经济效益和社会效益。

摘要：随着信息技术和网络[1]技术的飞速发展, 医院信息系统在医院得到广泛的应用, 如何建立安全有效的医院信息系统, 保障医院信息系统安全、平稳、高效地运行成了重要的研究课题。本文从医院信息系统中软、硬件保障以及建立应急预案和日常维护等方面阐述了如何确保医院信息系统的安全运行。

关键词：医院信息系统,安全保障,应急预案

参考文献

[1]李小华, 傅军, 等.医院信息系统安全措施的实施与体会.实用医学杂志, 2001 (7) :790.

[2]赵顺田, 刘冰, 等.如何建立医院信息系统应急预案.科技情报开发与经济, 2005 (14) :53.

[3]胡敏.维护数据库高可用性.确保医院信息系统稳定运行.医疗卫生装备, 2005 (8) :47.