如何实现企业信息安全三步走？

不久前，思科系统公司首席安全官JohnStewart称：“企业正在安全流程中浪费金钱，使用补丁和使用杀毒软件，都是不起作用的。”

对此笔者的感想是，在理论上思科公司是可以不使用杀毒软件、打补丁的方法，用更先进的措施办法来解决病毒等威胁攻击的。但我也想用个现实的例子说明一下：晋惠帝御宴，方食肉脯，东抚奏旱荒，饥民多饿死。帝曰：“饥民无谷食，便食这肉脯，也可充腹，何致饿死?”这其实和思科首席安全官的话语有很大程度的相似。

那么，企业究竟应该如何保证企业网络的安全呢?笔者认为应该从以下几步开始。

第一步:

确定安全策略

首先弄清楚所要保护的对象。公司是否在运行着文件服务器、邮件服务器、数据库服务器?办公系统有多少客户端、业务网段有多少客户端、公司的核心数据有多少，存储在哪里?目前亚洲地区仍有相当多的公司，手工将关键数据存储在工作簿或账簿上。如果贵公司的计算机通常只是用来文字处理，或者是玩游戏，那数据可能根本不值得去保护。然而，如果贵公司保存有大量的敏感信息，例如信用卡号码或者财务往来交易事项，那么贵公司所需要的安全等级将会很高。

一般企业网络的应用系统，主要有Web、E-mail、OA优艾设计网_设计、MIS、财务系统、人事系统等。而且随着企业的发展，网络体系结构也会变得越来越复杂，应用系统也会越来越多。从整个网络系统的管理上来看，既有内部用户，也有外部用户，因此，整个企业的网络系统存在以下两个方面的安全问题：

1.Internet的安全性:目前互联网应用越来越广泛，黑客与病毒无孔不入，这极大地影响了Internet的可靠性和安全性，保护Internet、加强网络安全建设已经迫在眉捷。

2.企业内网的安全性:企业内部的网络安全同样需要重视，存在的安全隐患主要有未授权的访问、破坏数据完整性、拒绝服务攻击、计算机病毒传播、缺乏完整的安全策略、缺乏监控和防范技术手段、缺乏有效的手段来评估网络系统和操作系统的安全性、缺乏自动化的集中数据备份及灾难恢复措施等。