信息化时代下如何做好信息安全工作

烟草在线专稿 力拓“间谍门”唤起了国人对于商业间谍行为的关注，同时也迫使很多企业把信息安全问题提到了重要日程上来。另一方面由于科学技术的发展，使得企业的安全工作已不仅仅局限于传统安全领域，而是使得安全工作的涉及的面更加广泛，包含的内容更加丰富，也使得当前的企业安全工作与以往任何时期相比都显得更为重要。 信息安全工作对于卷烟厂来说同样重要，应当引起足够的重视，积极思考并探索出信息安全保障的有效途径，切实做好信息安全工作，保证生产线的稳定可靠运行，将对我们稳定产品质量、提高生产效率、提升生产管理能力将大有裨益。笔者就自己多年来的学习和工作实践，并结合烟草行业的特点，从下面三个方面谈谈如何在信息时代做好企业信息安全工作，以和大家共同分享。 加强员工的思想、道德、操守教育，提高其对信息安全重要性的认识，增强自我约束力，在人的层面上保证信息的安全。 员工是企业的载体，是企业各项活动的参与者，是企业各种制度的履行着。因此要想做好信息安全工作，首先上要加强员工思想教育，使员工从思想上重视信息安全，充分认识到信息安全工作的重要性。只有在思想上重视，将信息安全工作融入到潜意识中并潜移默化，各项规章制度执行起来才能顺畅有成效，如果员工总是想着如何规避信息安全规章制度，做什么事都图方便、图省事、怕麻烦，对公司各种指令阳奉阴违，不按规章制度走程序，或者更严重的去想如何窃取信息，相信信息安全工作是做不好的。另外从另一个角度来看，企业的政令得不到有效执行，还要花精力研究新的规章制度并贯彻执行，这在某种程度上来说是增加了企业的运行成本。 加强员工道德、操守教育就是要树立一种以保护信息为荣，泄露、窃取信息为耻的道德观念。科学技术的发展为信息的传递提供了便捷条件，今天一个电子邮件，一个大拇指大小的U盘，一条短信息都能轻松、便利、快速的将信息传递出去，而传统办公条件下几个档案箱的纸质文本文件用一个U盘就能装下，这也意味着：公司的机密文件和信息用U盘这样小的工具就能被不良企图的员工轻易的带走，为信息的泄露和窃取埋下了隐患。因此，企业的信息安全在良好周密的规章制度做保障的同时，培养高素质、具有良好道德操守的员工也至关重要，否则再好的规章制度也会形同虚设。 另一方面，加强员工思想、道德、操守教育也是对员工保护和关爱的一种体现。如华为公司就发生过这样的案例：华为深圳总部的几名技术人员参与了公司的一个项目的研发。在掌握了相关的核心技术和相关的技术资料后，他们选择了集体辞职，然后到上海开办了一家小公司，利用从华为窃取和掌握的技术和资料做和华为同样的项目，避免了开发过程，以“0”研发成本赚取巨额利润。华为公司发现后，及时采取有关措施处理了该项事件，并诉诸法律手段起诉了这几名员工，最后等待这几名员工的是几年牢狱生活。 从这个案例我们不难看出，如果企业加强了员工思想、道德、操守教育，使员工能够认识到信息安全的重要性，从自我做起，严格要求自己，就一定能避免这种悲剧的出现，因此做好信息安全工作从某种程度上来讲也是对员工的一种保护和关爱。在我们烟草加工行业同样如此，牌号配方、工艺指标、销售分析数据、“一号工程”数据库系统等等都是我们信息安全工作中的重点，它们的泄露和丢失也必将给我们带来不可估量的损失。 制定详细周密的信息安全管理制度，在制度的层面上保证信息的安全。 俗话说：“没有规矩，不成方圆。”规矩在人们的生活中占有十分重要的地位，信息安全同样需要相应的规章制度做保证。在华为研发部门到处可见这样的标语：文件要受控，信息才安全。华为公司对文件的使用保存、打印机的使用、复印机的使用、电子邮件的监控、计算机的使用、员工出差笔记本电脑的使用和管理、软件的编写等诸多涉及信息的内容制定了详细而周密的规章制度，同时在研发部门，员工出入公司都要经过保安的验包程序，涉及到信息安全的程序可谓“不厌其烦”，但从另一个层面看，这些看似繁复的程序也确实为华为的企业信息安全作出了不可或缺的贡献，也使员工建立了良好的自我约束机制，养成了良好的工作习惯，达到了制度和员工之间的良好互动。 对于我们烟草行业来说，制定相应的信息安全规章制度也同样必不可少，如以制丝车间中控室为例，就应当制定完善的信息安全管理制度，下面笔者就结合制丝车间来谈谈如何建立企业信息安全规章制度。制丝车间中控室的控制计算机虽然说都是工控机，但它们都和家用电脑一样配有USB通信口，有的还配有光驱或光盘刻录机，其实这些都为信息安全埋下了隐患。由于有的员工自我约束力相对差些，拿着自己的U盘拷贝文件到中控室电脑上打印自己的文档，而U盘是最容易传播病毒的。 结合工作实践，笔者认为：中控室的计算机不和外界网络相连，不具备被外界互联网络危险源攻击的可能性，这些计算机端口和外设可以说是导致中控室电脑中毒的根源。所以制定中控室的信息安全管理制度可以从两个方面着手：一是制定出严格的员工考核制度。依据“谁使用谁负责，谁主管谁负责”的原则，制定落实操作机长负责制，如果在谁当班期间出现病毒故障就对其进行考核；二是规范中控室出入制度。严格杜绝非工作人员进入中控室，并对确实需要进入中控室的人员进行先向主管领导打报告，征得主管领导同意后，再到中控室签名（登记其出入时间）进入的制度。 还可以从硬件上着手。由于USB接口和光驱部件的管理难度较大，具体我们可以参考华为公司对计算机管理的办法，在计算机机箱的前部去掉光驱和USB接口，只保留机箱后部的USB接口，然后在机箱后部加装特殊的保护罩，钥匙由专人保管负责，确实要使用USB接口的话，可以填写报告（在华为要走电子流程，即要进入相关的公司管理系统填写相关的电子流，等待主管人员的审批同意，审批同意后由专人来开锁），报告报主管领导同意后，由钥匙保管人来开箱。当然这样做可能会比较麻烦，增加了流程，但是采用这样的方法就会从根本上杜绝U盘传播病毒和通过U盘泄露信息。 从计算机软件和硬件着手，两手并重，在技术的层面上保证信息的安全。 在卷烟加工行业，PLC和工控机（或者一般计算机）的配合应用在生产线上得到了广泛的使用，PLC具有CPU、存储器、外设端口，计算机所应具有的单元它都具备，它可以认为是简单的计算机。因此我们就可以结合计算机的软硬件，借鉴计算机信息安全的经验来解决我们自己的信息安全问题。笔者下面从工业以太网通信部分、下位机PLC部分、上位机中控室计算机部分，三个方面论述卷烟生产线上的信息安全问题。 工业以太网通信部分在现场的维护中是一个很让技术人员头疼的问题，一旦出现网络故障，技术人员往往很难判断出具体是那部分出现了故障，尽管西门子公司的工业以太网通信部分给出了详细的网络诊断，但由于技术发展本身的制约，这些诊断功能很难在出现故障时给现场的技术人员有效的指导。其实造成这样的原因不是我们的技术人员技术能力不高、不钻研，而是由工业以太网本身所固有的特点决定的。尽管目前来说，工业以太网考虑工业环境的特点对以太网进行了改进给出了四种类型的工业以太网，但实际上以太网本身固有的痼疾并没有彻底解决，其实这就是出现网络故障，不能保证通信安全性的根本原因。所以解决网络通信的根本途径就是不用工业以太网，但事实上我们不可能因噎废食。 上面主要讨论了控制网络通信中的协议方面的问题，其实就是控制网络通信的软件问题，因为软件是依据协议编写的。下面两个部分主要探讨下位机和和上位机中非通信软件和硬件问题。下位机PLC在我们的生产线上一般采用的是西门子S7系列的PLC，从硬件角度来说具有很好的安全性能。PLC软件一般是由梯形图和语句表编写的，考虑到现场设备的安全性和满足生产的特点，开发人员在软件编写完成后，都经过了严密的软件调试，同时由于PLC程序是扫描执行的，如果软件存在缺陷的话，错误动作将会周期执行。另一方面每次技改工作完成后，我们自己的技术人员依据生产中的实际情况，利用较短的时间将程序调试的更为完善，所以说PLC软件存在缺陷的概率不大，或者说这个部分出现问题，我们是有能力尽快恢复的，能够保证该部分的稳定安全的。 上位机中控室计算机部分我们采用的是IBM的计算机，同时几个工艺生产段的上位控制计算机之间具备冗余备份作用，所以上位机的稳定可靠性能力已经达到了比较高的程度。软件方面采用的是IFIX和VB复合的编程的方式，即前台用的是IFIX，后台程序用的是VB编程。由于上位机的程序也是循环执行的，结合上面PLC部分的论述，可以知道，上位机的程序存在缺陷或者导致系统故障的概率也不大。 综合以上三点可以知道，只有充分掌握通信协议，熟悉设备的软、硬件特点，结合工业现场的实际情况，才能保证工控网络的稳定、健康、安全、健壮运行，而这是从根源上解决问题的唯一途径。 以河南中烟新郑卷烟厂为例，河南中烟新郑厂正在以贯标、对标为契机，深入推进创建优秀卷烟厂活动，创建优秀卷烟工厂的活动内容几乎涵盖了当前新烟工作的所有方面。就行业来讲，随着信息技术的不断更新和快速发展，我们的信息安全的标准还有很多不尽完善的地方，只要我们把握机遇、勤于思考、开拓创新，探索出符合行业情况和特点的信息安全标准也是未尽可知的事。因此这就求全体技术和技能人员发扬勇于探索、勤于钻研、不怕困难、敢为天下先的精神，就一定能做好信息安全工作，为创建优秀卷烟工厂提供可靠的保障。（河南中烟新郑厂制丝车间中控室）