如何做好信息安全管理工作

作者结合工作实际阐述了计算机信息安全管理三个组件(风险评估、安全策略和安全教育)，分析企事业单位信息安全面临的风险，提出制定企业的计算机信息安全管理的策略，以及如何进行安全知识教育提高企业人员的风险意识。 在信息安全领域，我们经常听到这样的信息被病毒、蠕虫造成了严重的破坏?黑客获取了信用卡的信息，大型网站主页被黑等等。大部分的人们对安全普遍认识是企业是否安装了安全产品(如:防火墙、入侵检测系统、防病毒系统等)，通常只关心病毒、黑客入侵和操作系统的漏洞，然而这些只是安全广义概念中某些重要的组件。“七分管理三分技术”.在安全业界，信息安全管理是企业信息安全的核心的观念已被广泛接纳.计算机信息安全管理包括风险评估、安全策略和安全教育。这三个组件是企业安全规划的基础。 二、计茸机信安全的风险评估 风险分析是识别企业信息资产和关键资产的使用过程?这个是一个非常关键重要的过程，必须非常认真地执行。本质上?这就是确定你要试图保护什么，试图从谁那里保护它，以及准备如何保护它的过程。为了能够成功地进行风险分析，则必须很好地了解企业的运作方式，其工作和业务过程的方式，确定可能产生安全问题的设备和规程。风险应当被识别、分类，真实的风险是很难估量的，但是对潜在风险进行估量是可取的。在考虑企业的信息安全时，必须重视如下的几种风险:( 1)物理破坏火灾、水灾、电源损坏等; (2)人为错误偶然的或不经意的行为造成破坏;( 3)设备故障系统及外围设备的故障;( 4)内、外部攻击内部人员、外部黑客的有无目的的攻击;(5)数据误用共享机密数据，数据被窃;( 6)数据丢失故意或非故意的以破坏方式丢失数据:( 7)程序错计算错误、输入错误、缓冲区溢出等。 风险评估是识别各种潜在的威胁，由于计算机网络的复杂性、开放性和共享性，网络信息系统自身的脆弱性，如操作系统的漏洞、网络协议的缺陷、通信线路的不稳定、人为因素等，都会给网络信息系统的安全带来威胁。 三、对计算机信息安全问.翻定安全策 企业的计算机信息是否安全，其核心是管理。企业的安全策略是对企业信息管理的重要手段，任何获准访问某个机构技术和信息资产的人员，都必须遵守这些规则。安全策略由高级管理部门制定，在不妨碍企业员工和用户从事他们正常的工作下，确保企业的网络系统运行在一种合理的安全状态。以下是一些常见的安全策略。