计算机电子信息工程技术安全管理与强化措施探讨

随着信息技术的飞速发展，计算机电子信息工程被广泛应用于社会生产、生活中，计算机电子信息技术的安全关系着国家、企业和个人的安全。随着信息技术复杂度的增加和应用场景的扩大，计算机电子信息技术的安全风险呈指数级增加。

一、计算机电子信息工程技术安全风险

1.1 网络攻击

最为常见的有勒索病毒（如 wannacry）、apt 攻击、ddos 攻击（大于 100g ）、端口扫描入侵等，主要发生在工业控制网络、金融网络。常见的有系统瘫痪、数据加密勒索，比如某制造业，因为受到勒索攻击，企业被迫交纳500 万美元赎金。

1.2 数据泄露

数据泄露是最常见的安全风险，由于业务需求、人员疏忽、攻击入侵、自然灾害等原因造成数据泄露，包括机密性、完整性、可用性、不可否认性、不可跟踪性等数据属性被破坏。包括企业机密数据泄露、个人隐私数据泄露等。1.1 主要表现为密用户身份证、银行卡号等敏感数据泄漏，内部人员倒卖数据，交易中窃听最 in 的当属政务平台、电商系统。用户数据泄露不仅侵犯用户隐私，同时也面临监管处罚，因泄露超50 万数据，被罚款2000 万元。

1.3 系统故障

主要包含硬件故障、软件漏洞（例如:log4j 漏洞）、兼容性（例如:浏览器不兼容）。最in 的是核心业务、云平台。系统故障导致服务中断，一家云服务提供商因为故障影响了10万家企业，造成超过1个亿的损失。

二、计算机电子信息工程技术管理现状

2.1 技术防护

防护方式单一 70% 的企业只有防火墙、杀毒软件，未使用入侵检测系统（ids）、数据防泄漏（dlp）等，新型攻击检测率不高于 49% ；漏洞不及时管理平均漏洞扫描周期超过 1 个月，对高危漏洞的修复率仅为 60% ，某企业因未修复 apachelog4j 漏洞，被黑客入侵；iot、边缘设备不保 80% 的 iot 设备未开启安全认证，成为攻击入口（2024 年 iot 设备被入侵导致的被入侵增加 40% ）。

2.2 制度不合理

40% 中小企业没有安全管理制度，权限分级、操作审计等环节缺失；权限被滥用 60% 的企业不进行权限审计，权限滥用和越权操作普遍，某政务平台员工滥用权限访问敏感数据，导致 10 万条个人信息泄露；不符合要求 30% 的企业不满足《数据安全法》中”数据分类分级、风险评估”要求，面临监管处罚。

2.3 人员不重视

安全培训不足，基层技术人员平均每年安全培训时间仅 12 学时，而安全培训时间应该至少达到24 小时，有 80% 员工无法识别钓鱼邮件；责任划分不明确，安全事件发生后，层层推诿，举证艰难；侥幸心理作祟，有员工认为" 安全事件不会发生在自己身上"，违规行为屡禁不止。

三、计算机电子信息工程技术安全管理实施措施

3.1 加强技术安全措施

（1）加强网络边界安全防护在网络边界处部署下一代防火墙（nfffw），支持深度包检测（支持l7 应用层分析和控制），集成了入侵防御（ips）等模块，实现恶意流量的阻断（拦截率 ⩾95% ）。ddos 攻击采用云清洗 + 本地防护相结合的方式，其中云清洗中心可清洗 1tbps以上流量的 ddos 攻击，本地采用深信服 ad 等抗 d 设备，确保核心业务不中断。支持物联网设备接入网络前强制认证，关闭常用空口，固件更新。系统软件资产管理 : 定期安装软件补丁，定期关闭系统冗余服务，减少攻击面。定期更新应用软件补丁。终端检测与响应（eds）: 部署终端检测与响应（eds）工具，实时监控终端异常行为，对勒索病毒类攻击进行隔离处置。数据加密与数据防泄漏（dllw）数据分类分级 : 数据分为 "

公开、内部、敏感、机密" 四级，敏感级以上数据加密。数据防泄漏（dllw）:部署数据防泄漏（dllw）系统，监控敏感数据外发（邮件、优盘拷贝），拦截率大于等于 90%

3.2 管理制度强化

安全管理制度: 制定《网络安全管理制度》、《数据安全管理制度》、《设备安全管理制度》等，明确 " 谁主管、谁负责 "，如网络管理员负责边界防护、数据管理员负责数据加密和备份；权限划分为三级，即浏览级、操作级、管理级，采用" 最小授权原则"，核心系统权限分为" 浏览、操作、管理 " 三级，一般不授权，必要时只授权少量关键人员（如敏感数据管理授权人员仅 3-5 人），每月开展授权审计，清理空权、废权；规范操作，制定《设备操作手册》、《数据传输规范》等，不使用弱口令（口令须包含大小写字母、数字、特殊符号，长度不少于 12 位）、不使用公共wifi 传输敏感数据，操作日志至少保存6 个月；合乎规范（1）每年开展2 次合规性审计。对照《网络安全法》、《数据安全法》、《个人信息保护法》等法律法规，重点关注数据分类分级、风险评估、应急处置等内容，确保合规率达到 100% 。（2）关键信息基础设施（如工业控制网络、金融核心系统）每三年应委托第三方机构开展一次安全评估。（3）对提供硬件、软件、服务的供应商开展安全资质审查（如符合《个人信息保护法》要求，取得 iso27001 等信息安全认证），与其签署安全协议，明确安全责任。

3.3 人员培训

加强人员安全培训，确保关键人员（如网络管理员、数据管理员、系统管理员）熟悉相关安全制度和流程。分层分类培训（1）高管培训 :每年两次，每次16 学时，培训内容包括安全战略、安全合规、安全管理，以提高高管的安全重视程度。（2）技术人员培训: 每月一次，每次8 学时，培训内容包括防范 cvss 漏洞、应急演练、数据加密，以使技术人员掌握关键的防护技能（培训考核通过率不低于 90% ）。（3）员工培训 : 每季度一次，每次 4 学时，培训内容包括钓鱼邮件、弱密码危害、违规操作后果，通过案例分析、模拟演练提高全体员工的安全意识（培训覆盖率达 100% ）。（2）对于违规操作、导致安全事件的员工给予处罚。

3.4 强化应急响应能力

无改写应急响应队伍和流程 : 建立专职应急响应队伍，实行 24 小时值班制度，定义 " 发现 - 判断 - 处置 - 恢复 - 总结 " 为五部曲，应急响应时间 ⩽2 小时；制定《安全事件应急响应预案》，将安全事件分为" 一般、较大、重大、特别重大 " 四级，不同的安全事件对应不同的处置流程（如重大事件应向监管部门报告），每一年对预案进行修订，每半年开展一次实战演练。安全事件处置和恢复 : 一旦发现安全事件，应采取隔离措施（如断网、停止相关服务等），以阻止风险进一步扩散；对安全事件进行分析研判（如通过对日志的分析研判攻击路径、对已泄露范围的数据进行分析），进而采取针对性的处置措施（如清除恶意代码、补丁修复、恢复备份数据等），核心业务恢复时间 ⩽4 小时；安全事件处置后，进行复盘总结，分析管理漏洞，修订防护措施。

结语:

在这个新经济时代，正以前所未有的速度前行，计算机电子信息技术作为现代社会的 " 神经系统 "，是科技第一生产力，不断推动着社会的进步。但网络空间的开放性和互联系性，也使得它成为各种恶意攻击的" 竞技场"。

参考文献：

[1] 许铭 . 计算机电子信息工程技术的应用与安全管理 [J]. 信息与电脑 ,2019,000（016）:210-218.

[2] 李杰 . 电子信息工程技术的应用和安全管理分析 [J]. 科学与信息化 ,2019,000（035）:157-159.