揭秘制造业信息化安全部署

       制造业的信息化一直被认为业界认为是最完善、最复杂的信息化系统，信息化的安全性在制造业中的地位至关重要，没有安全的信息化，企业就难有大的发展。也正是这种行业安全的理念"根深蒂固”，让制造业的信息化建设水平和信息化程度一直排在整个行业的前列。
   

       正如前面所说，制造业与其他行业相比，信息化建设的情况现对完善，从制造业市场的调研、到生产、排程、物流、进销存、销售、客户管理、电子商务，可以说，其他行业里面所有的信息化过程都可以在制造业中体现。面对如此全面和复杂的制造业信息化系统，企业应该以什么样的思路来保证制造业整个生产流程的信息化安全？
   

       制造业的信息安全体现与其他的ERP、CRM等系统一样，需要分析业务目标、制定一个评估标准，然后根据评估标准进行差异化分析，最后通过制定时间规划，进行信息化设备的选择和采购。其中信息化安全的部分，需要考虑信息化系统增长的状况与信息安全规划的协调。
   

       企业信息化系统需要评估
   

       制造业信息化安全的第一步是业务分析。在业务分析的基础上做风险评估。刘歆轶说到，制造业一般按照国际的ISO27001标准进行风险评估，标准中对企业的11个领域目前进而将来可能会存在的问题进行全面的评估。
   

       具体来说，分以下几个部分：
   

       第一部分是企业制定具体的方针。整个企业需要具有信息安全的政策，并且全企业全部贯彻实施。这个政策最好是企业最高层级别的质量手册，这样可以保证方针的有效执行。
   

       第二部分企业信息安全的组织需要完善。专家特别提到，目前很多公司认为信息安全只是IT部门的职责，实际上，信息安全与每个员工都是息息相关的，通过企业的信息安全的组织形式，如建立信息安全委员会（公司的最高层担任委员会的主席）、信息安全核心工作小组（主要做安全工作的跟踪和实施）、审计小组（对企业整个信息情况进行年度或季度内审）、信息安全成员小组（对信息安全策略进行传达）可以贯彻执行企业信息安全制度。
   

       第三部分是对企业信息资产的控制。企业所有包含企业信息的设备都是信息安全部门需要保护的对象。除了最常用的办公工具电脑外，复印件、打印机等具有输出信息功能的设备都是IT资产保护的一部分。此外，再把信息安全管控的因素加进去，把设备的类型、资产类型进行分类、标识、资产发放、合理授权，这样便于企业对其信息资产进行控制。
   

       第四部分内容是保证人力的安全。"人”在某种程度上讲也算是信息的资产的"携带者”。每一个信息化环节上的人员都有特定的角色扮演。而每一个角色担当需要经过严格的聘用条件，选拔，以及雇佣保密协议的限制，这是从企业信息化在人员安全角度必须考虑的问题。
   

       第五部分是信息化系统的物理安全，需要对物理边界进行把控。例如企业日常办公中的门禁系统，门禁权限分配与管理、权限申请与把控。刘歆轶介绍说，对于生产制造型的企业来说，其生产部分、研发部门因为职能的不同，对人员进出的要求也不同。尤其是研发部门，实验室的物理安全性非常重要。
   

       第六部分是对通信等网络设备的安全管控。从广义上的服务器，到狭义上的信息化安全产品的实施和规划、验收、网络的黑客攻防，网络的安全管理，磁盘的备份都是需要做管控。一般企业的IT也是最关心这类的安全内容。
   

       第七部分是访问控制，企业对信息系统的体系和环节都需要访问控制和人员把关，其中包括各种软件的账号管理、网络设备登陆登出管理、权限变更、人员访问和等级划分。
   

       第八部分是信息系统的获取和开发。信息系统的开发一般包括ERP、CRM等各种软件系统的开发和实施。在开发和实施过程中需要符合一点标准。刘歆轶介绍说，美国的萨班斯法案里面的条款的要求，系统的输入保证不出现错误、中间的运算过程不能出现误差、输出结果正确无误……换句话说，如果企业自己开发的系统输入和输出有偏差，企业的CEO或者CIO可能会收到法律的制裁。特别是外企，或者在国外上市的中国企业对信息系统软件的开发的要求相对较高，企业一定要有足够的证据证明自己所开发的系统是能够做到正常输入，防止勿操作、错误数据无法输入，运算过程可追溯……还有经过黑箱测试和白箱测试。此外、除了企业自己开发外，企业购买供应商软件产品时，也要要求供应商提供相应的资质证明。
   

       第九部分是对信息安全事故的管理。企业一旦发生信息安全事故，信息安全事故的处理机制就显得尤为重要。比如发现问题、汇总问题、问题分析、事故处理、问题回顾、再次检测、事故报道撰写、证据收集、案例调整等，都需要对信息安全进行事故管理。
   

       第十部分是业务连续性管理。该部分主要包括容灾恢复与备份、应急预案。刘歆轶说到，从美国911事件之后，地震、火灾、海啸、台风等灾难对于企业业务联系性的影响也越来越受企业重视。与灾难恢复不同的是，该部分注重企业业务连续性的要求，特别是制造业，需要让企业的业务尽快的恢复运行，通过让业务人员的访问其他代替的系统，来保证企业业务不中断。
   

       第十一部分是企业系统的合规性。合规性体现在企业生产安全过程要符合国际的法律、法规，比如说上市公司要符合萨班斯法案、银行金融业需要符合银监会的要求、产品策略需要符合政府的要求……而这些要求最终要体现在信息系统上，所以信息系统上要有检测合规性的模块，使得这套信息系统要符合企业安全的管控要求。

编辑：Karmen