• 電話:0571-88994238/39/40
  • 傳真:0571-88994238-809
  • 地址:浙江省杭州市文三路259號 昌地火炬大廈 2號樓 1101
您當前位置:主頁 > 產品方案 > 解決方案 >

 

閥門企業的GS-EDS系統實施方案
 

  進入新世紀后,技術創新和管理創新思想已深入到廣大機械制造企業中,隨著企業之間的市場競爭不斷加劇、企業信息化建設的不斷深入以及企業可持續發展總體目標要求的不斷提高,企業信息化建設達到了一定程度上的層次和必備的手段之一。隨著計算機信息網絡作用的不斷擴大,它所帶來的信息安全問題,將會給企業造成更大的影響和損失。據CSI/FBI的調查報告(2002年度)表明,來自計算機犯罪和其它信息安全方面的破壞的威脅正在逐年增長,所造成的經濟損失也飛速增加。由此可見,企業的信息化建設與應用過程中,也存在著一定的風險因素,如何保護和防范企業信息安全成為所有企業的首要問題。

一.信息系統應用框架及安全隱患

  從信息化技術在普通機械制造企業的應用情況來看,主要經歷了3個不同性質的階段,即設備自動化、辦公計算機化和管理計算機化。

  1)設備自動化。設備自動化技術主要基于傳感器和控制器件,通過可編程控制(PLC)技術實現設備運行和作業數據采集、故障診斷、參數優化等自動化。

  2)辦公計算機化。辦公計算機化技術主要體現在辦公文字處理計算機(Office)化和產品開發計算機輔助設計(CAD/CAPP/CAE)化,實現產品開發虛擬化和辦公無紙化。

  3)管理計算機化。隨著計算機應用技術的普及和網絡技術的發展,通過各種計算機應用軟件,如PDM、ERP、OA、財務電算和電子商務等系統實現了企業經營管理計算機化。

  針對機械制造企業,特別是一些中、小型企業的綜合信息化和網絡系統,可能產生涉及綜合信息及網絡系統的安全問題,主要來源以下幾個方面:

  1)物理環境,主要為水、火、供電等災難以及人員的使用、接近的控制等;

  2)系統硬件,主要為監測和控制設備、計算機系統、網絡設備、連接線等;

  3)系統軟件,主要為計算機操作系統和數據庫管理系統;

  4)應用軟件,主要為各種應用軟件系統,如CAD、PDM、ERP、OA等;

  5)外來侵入,主要為病毒、黑客等;

  6)內部濫用,主要為操作失誤、人為破壞、內部作案等。

  機械制造企業局域網是利用Internet技術,建立的企業專用的計算機局域網絡,具有企業內部特殊的安全要求。機械制造企業的信息安全,除具有一般計算機信息網絡的安全特征外,還應有對企業實時運行的信息數據的信息安全特征。任何一個方面出現安全漏洞,都有可能給企業的生產與管理帶來致命的傷害,直接造成企業的經濟損失。因此,建立與企業組織結構相適應的信息安全管理體系是非常必要的。

二.信息安全防護體系建立過程

  對機械制造企業來說,建立一個合理、經濟的信息安全管理體系是十分重要和必要的。但如何建立信息安全管理體系,卻有多種方法和手段,但根本方法是要建立健全的信息安全管理制度和采用相應的技術手段。通過制度和手段的有機結合,可以達到最佳的信息安全管理效果。通過天津塘沽瓦特斯閥門有限公司的信息安全管理體系的建立過程,來進一步說明信息安全管理對企業的作用。

  某閥門公司(簡稱TWT公司)是一家中美合資的專業機械制造廠家,產品的關鍵技術從外方引進,再根據我國技術條件和產品使用環境進行消化吸收后,并加以改進。TWT公司從1992年開始采用計算機技術應用于產品開發、生產管理之中,形成了具有TWT特色的信息化應用體系。

  自TWT公司成立以來,由于產品技術和市場占有率居于國內領先水平,一直受到外界的關注,技術信息和市場信息處于被盜取的危險之中。根據這種情況,TWT公司對企業信息安全防護意識提到較高的地位,于2002年建立適合企業自身條件和環境的信息安全管理體系,2005年再次加以完善。TWT公司信息安全管理體系的建立和運行過程分為四個步驟(見圖1),并以循環的方式給予完善和鞏固。

 

  1)信息安全風險分析與評估是建立信息安全管理體系的第一步,利用“失誤模型及后果分析法”技術,發現系統中每一個環節所產生的(或潛在的)失誤條件,對信息安全的影響程度。

  2)信息安全防護策略與制度是建立信息安全管理體系的基礎,通過確定關鍵信息、崗位配置、工作人員的權限,明確企業信息的使用范圍和處理方式。

  3)信息安全防護技術實施是對信息安全防護策略與制度執行情況的監控手段,是維護信息安全管理體系的保障。信息安全防護技術是信息安全管理體系中的一個重要環節,是信息安全防護制度和策略重要的執行和保證手段。

  4)信息安全防護效果分析評估是為完善動態信息安全管理體系提供必要的依據。通過信息安全管理效果分析和評估,可以不斷發現新的安全漏洞和隱患,進一步完善信息安全防護策略和制度。

  為了使TWT公司的信息安全管理體系正常運行,以信息中心為主體,建立信息安全管理和控制中心,負責制定信息安全防護制度與策略、監控、分析、評估和管理信息安全管理體系運行狀態。

三.信息安全管理體系創建原則

  任何一個管理體系的建立,必須按照一定的規則。TWT公司信息安全管理體系的建立遵循以下創建原則:

  1)經濟性。建立信息安全管理體系,要充分了解計算機系統的脆弱性和網絡系統所面臨的各種安全威脅,以及可能給企業帶來的直接和間接的經濟損失。

  2)適用性。制定的信息安全防護策略與制度要充分反映企業的信息安全需求,所采用的信息安全技術與信息安全需求和信息安全環境相適應。

  3)簡單性。制定的信息安全防護策略與制度要簡要和明晰,信息安全防護技術要簡單、可操作性強,便于實施和監控。

  4)層次性。企業組織結構和人員狀態與信息安全防護策略與制度相結合,計算機(網絡)硬件、操作系統和應用軟件相結合,多種信息安全防護技術的相互補充與配合,組成立體信息安全防護體系。

  TWT公司按照信息安全管理體系的創建原則和ISO27001標準的要求,在杭州數絡信息技術有限公司的幫助下,經過四個創建階段,建立符合TWT公司實際情況和信息流通環境的信息安全管理體系,取得了實質的信息安全防護效果。

四.信息安全管理體系模型

  TWT公司建有完整的企業組織機構,信息安全防護主要體現在產品開發中心、產品質量檢驗部、產品銷售部、財務核算部、人事部以及總經理辦公室、總工程師辦公室和檔案室。TWT公司建有信息管理中心,負責全公司的計算機硬件、軟件以及局域網的采購、安裝實施和現場維護。

  TWT公司自1992年采用計算機技術用于產品的開發和經營管理,2000年根據公司發展規劃和計算機應用狀況,建立適合企業自身需求的局域網(見圖2),實現企業內部信息自動流通。通過Windows的系統管理(服務)功能,對每一個操作人員建立個人操作檔案,按照各自的崗位性質,設置了個人計算機登錄用戶名和登錄口令,規范計算機操作權限。

 

  1. TWT公司計算機應用技術結構模型

  TWT公司采用計算機應用技術始于上世紀90年代,從單機使用CAD和Office軟件開始,經過十幾年的穩步發展,以形成了CAD/CAPP/CAE/CAM的產品創新體系和PDM/ERP/OA的企業管理創新體系,為企業的快速和深入發展創造了良好的工作環境和創新氛圍。TWT公司的計算機應用技術結構模型見圖3。

 

  2. TWT公司信息流通模型

  TWT公司在建立計算機應用技術環境后,基本上實現信息流通自動化和電子化。通過TWT公司信息流通圖(見圖4),可以看到企業的產品開發、生產流程、供銷采購、市場營銷和經營管理全部基于信息流的傳遞和處理。根據企業的實際業務情況,信息流可分為技術信息流、生產信息流、計劃信息流、設備信息流、安全信息流、財務信息流和人力信息流等,每一個信息流中,可以進一步分為不同層次的子信息流。

 

  3. TWT公司信息安全管理體系模型

  根據不同類別信息流和相同類別的不同層次的信息流的各自的特征、安全需求,制定出相應的安全策略,采用相應的安防技術。因此,按照TWT公司信息網絡環境和信息流通模式的實際狀況,構建一個多層次的信息安全管理體系(見圖5),對不同類別和不同層次的信息流進行保護和監測,保證信息流的真實、完整和安全。特別對一些產品創新信息、企業經營信息等一些涉及企業根本利益的機密信息流,采用特殊的信息安全管理模式,達到“可靠的人,獲得可靠的信息”的目的。

 

  TWT公司圍繞著企業信息流,采用多層次的信息安全管理技術,使它們發揮各自的作用,相互彌補各自的不足。使得:

  1)硬件系統方面有智能化診斷技術、自動恢復技術等;

  2)軟件系統方面有病毒檢測技術、入侵檢測技術等;

  3)信息流方面有信息加密技術、數據備份和災難恢復技術;

  4)操作方面有身份認證技術、權限限制技術、訪問控制技術;

  5)管理配套方面有一系列信息安全管理規章制度等。

五.信息流安全管理層次劃分

  TWT公司按照信息流的層次、使用單位和使用對象,在信息安全管理體系中給予充分體現。總經理辦公室和公司信息中心是信息安全管理體系的歸口管理部門,總經理辦公室主要負責建立涉及企業信息安全管理體系的各種行政管理制度和日常的監督檢查,信息中心負責計算機硬件、軟件、局域網、操作日志、各部門子系統管理員的購買、維護、監督和授權等。而企業各部門只負責本部門的授權事宜。TWT公司對各級員工分為兩類五級,即普通工作人員的初級、中級、高級3級和管理人員2級。

  1)初級人員一般在OA或PDM或ERP平臺下,通過用戶名和登錄口令進入相應的操作軟件,如CAD、WORD或OA、PDM、ERP的子系統進行操作,并將操作的結果按照事先規定的原則放置在相應的位置和提交。初級人員在信息安全管理體系中只有對部分信息的獲取和信息的建立(輸入)。初級人員的信息,除屬于個人隱私或上級指定的信息外,其余信息對企業內部開放。

  2)中級人員除擁有初級人員的權利外,還可以根據工作需要(如項目組)建立自己的信息源,并獲取比初級人員更多的信息和對初級人員的信息(輸入)進行審核。中級人員的信息源可以不對初級人員開發或部分開放。

  3)高級人員除擁有初級、中級人員的權利外,還可以根據工作需要建立自己的跨部門、跨專業的信息源,并獲取比初級、中級人員更多的信息和對初級、中級人員的信息(輸入)進行審核。高級人員的信息源可以不對初級、中級人員開放或部分開放。

  4)中級管理人員(一般為部門級經理)除擁有一般員工的權利外,還可以根據工作需要建立自己和部門的信息源,并獲取比部門其他員工更多的信息和對其他員工的信息(輸入)進行審核。中級管理人員的信息源可以不對本部門其他員工開發或部分開放。

  5)高級管理人員(一般為企業級經理)除擁有中層管理人員和一般員工的權利外,還可以根據工作需要建立自己和企業(主管工作區域)的信息源,并獲取比中層管理人員和普通員工更多的信息和對中層管理人員和普通員工的信息(輸入)進行審核。高級管理人員的信息源可以不對其他員工開發或部分開放。

  TWT公司針對企業信息安全管理體系的要求,設置了專門人員負責計算機網絡和信息安全管理體系的日常維護。設置了系統管理員、日志管理員、安全管理員、數據管理員和文件打印員等崗位,在工作權限方面進行分工,相互制約。

  1)系統管理員主要負責企業局域網的建設和維護、外購軟件的安全性能測試以及日志管理員、安全管理員、數據管理員和文件打印員的權限分配和授權。

  2)日志管理員主要負責對日志文件的內容進行檢查、清理,對日志內容所描述的事件進行分析,提出信息安全和系統運行等方面的報告和預防建議。經過整理的日志文件,通過數據管理員進行備份與保存。

  3)安全管理員主要負責軟件的防“病毒”侵襲、電子文件的解密以及各客戶端的權限分配和授權。

  4)數據管理員主要負責定期對企業各系統所產生的數據、電子文擋進行有效備份,確保數據和電子文擋的安全,以便在企業信息網絡出現“災難”時恢復數據和電子文擋。同時,維護計算機數據庫管理系統。

  5)文件打印員主要負責與產品開發有關的技術文擋、企業允許外發文擋的打印,所打印的數據資產必須得到相關權限的批準和授權。一般情況下,所打印的數據資產應通過OA、PDM或ERP系統的打印審批流程。

  在TWT公司計算機應用軟件中,通過對商品化軟件的二次開發和設定,使所有應用軟件,如CAD、WORD等建立了軟件操作登錄窗口,每個操作人員必須輸入自己的用戶名和登錄口令,方可進入或啟動軟件進行操作。操作人員在CAPP(工藝人員)、OA(所有辦公人員)、PDM(工藝、設計人員)、ERP(生產經營人員)和Windows(所有員工)等系統中,進行身份確認,并授予相應的操作權限,保證企業信息的安全。

六.經驗與教訓

  信息安全是一個相對概念,沒有絕對的安全。確定合理的信息安全措施,防止因過分強調信息安全而大幅度降低系統運行質量和性能,妥善處理信息安全與運行質量及性能的關系,進一步規范系統運行規則,建立符合標準與合理相結合的安全措施,可提高系統的運行效果。通過TWT公司信息安全管理體系的建立,使企業的信息始終處于有效和安全的管理狀態之中,杜絕了可能造成的信息泄露之源,保護了企業的根本利益。其經驗教訓為:

  1)盡量統一企業計算機操作平臺,如Windows XP Professional作為客戶端操作系統,實行“域”管理,配給每個操作人員相應的用戶名和登錄密碼,并劃分不同人員在操作系統中的權限。

  2)采用電子文件(主要文擋文件、圖形文件)加密軟件,如杭州數絡信息技術有限公司的GS-EDS系統(數絡電子文檔安全管理系統)作為企業內部信息自動加密之用,達到加密后的信息在企業內部無障礙使用,而流失到企業外部后無法使用。同時,將各客戶端的應用軟件與GS-EDS系統進行“綁定”,使經過“綁定”的應用軟件在脫離GS-EDS系統后,無法進行運行和操作。

  3)對于一些無登錄界面功能的軟件,如WORD、AutoCAD、GS-ICAD等,進行二次開發,建立用戶登錄后才能操作的功能,使一些脫離CAPP、PDM和OA、ERP系統管理的用戶進行安全操作。

  4)利用GS-CAPP、GS-PDM和OA、ERP系統的用戶權限功能,劃定各操作人員的工作范圍和相應系統的操作權限,達到“不同的人,做不同的事”的目的。同時,通過GS-CAPP、GS-PDM或OA、ERP系統建立電子文件倉庫,統一管理企業所有的電子文件。

  5)設置信息安全員崗位,統一對通過GS-PDM或ERP審批流程的需要解密的電子文件進行解密,解密的電子文件發送到相應的外部位置或打印。

  6)充分借助專業IT公司,對系統網絡和信息網絡進行診斷,建立符合安全要求的系統網絡和信息網絡,以及今后的維護。

  7)建立和完善企業信息安全管理體系是一個動態、復雜過程,需要企業各個部門、各個環節的深入了解和配合,企業信息管理中心在安全技術和安全管理方面應該具有絕對權威。同時,應建立相應的行政管理措施和規章制度。

  隨著機械制造企業信息化建設步伐的加快和深入,信息系統與信息網絡的安全問題不容忽視。只要以科學的態度對待信息安全問題,建立一套切實有效的和適應企業環境的信息安全管理體系,就會將安全風險降至最小。對于機械制造企業信息安全管理體系的建立,還需要進一步細化和量化,比如,風險分析、安全威脅、安全成本的量化分析等。總之,按照科學的方法,構建一個符合機械制造企業安全需求的統一的、綜合信息安全管理體系,是必要的,也是可行的。

  • 售前咨詢
  • 售后服務
  • 渠道管理
亚洲无吗|男女黄段视频高清|ten1819第一次处|在线观看视频亚洲电影