信息系統(tǒng)項目管理師安全管理論文

1、論大型信息系統(tǒng)的安全管理策略 摘要： 2010年3月到7月，本人參與了某省級電信運營商“ NGC( 系統(tǒng)中投訴一體化子系統(tǒng)”的項目建設(shè)，擔(dān)任承建方項目經(jīng)理 一職。投訴一體化系統(tǒng)包括支撐投訴、建議、咨詢、報障工 單流轉(zhuǎn)、處理及監(jiān)控，同時，基于投訴一體化的工作流平臺， 支撐審批單流轉(zhuǎn)、處理，一級電話經(jīng)理與其他渠道的聯(lián)動。 新系統(tǒng)要改變過去的被動服務(wù)的模式，實現(xiàn)以主動服務(wù)、精 確營銷、客戶關(guān)懷為主的要求。 信息安全是大型系統(tǒng)的重要保證，在制定安全管理策略 時，本人科學(xué)的運用信息安全管理的理論知識，結(jié)合我司信 息安全管理體系的具體要求和系統(tǒng)的具體情況；從信息安全 的制度、流程、崗位、職責(zé)、人員為出發(fā)點

2、，制定了科學(xué)合 理的信息安全制度體系。按照系統(tǒng)實際情況從應(yīng)用服務(wù)、數(shù) 據(jù)庫、服務(wù)器、網(wǎng)絡(luò)等方面進行信息安全的管理。保障了系 統(tǒng)的安全、高效、可靠。 -310 字 正文： 一、項目概述 2009-2011年本人參與了某省級電信運營商的NGCC系 統(tǒng)項目建設(shè)，此項目共分四期進行建設(shè)，運營商省公司為項 目的發(fā)起人，本公司為項目的唯一承建方。運營商原系統(tǒng)是 本公司在2004年建設(shè)的，主要面向 2G網(wǎng)絡(luò)，為用戶提供 被動服務(wù)為主；2008年后3G網(wǎng)絡(luò)的全面應(yīng)用，使得原有系 統(tǒng)已經(jīng)無法適應(yīng)客戶的業(yè)務(wù)發(fā)展需要，因此必須重新建立一 套以3G網(wǎng)絡(luò)為主，面向4G網(wǎng)絡(luò)，對業(yè)務(wù)流程進行重新梳 理改造，以適應(yīng)主動服務(wù)、

3、精確營銷、客戶關(guān)懷為主要服務(wù) 模式的發(fā)展要求。 由于NGCC項目過于龐大，因此分為多個子項目來進行 建設(shè)，本文以2010年第二期的子項目投訴一體化子系統(tǒng) 為主來對項目實施中的方法、流程、問題等加以分析。 現(xiàn)有投訴一體化系統(tǒng)只能滿足地市級范圍內(nèi)的需要，以被 動服務(wù)為主，而3G時代要滿足全省的業(yè)務(wù)合并需要，兼顧 外省流動用戶業(yè)務(wù)需要，滿足客戶提出的集團-省級-市級 統(tǒng)一的業(yè)務(wù)需求。業(yè)務(wù)模式和流轉(zhuǎn)規(guī)則發(fā)生重大變化。需要 支持省內(nèi)、省外、集團的工單流轉(zhuǎn)，同第三方系統(tǒng)進行交互， 實現(xiàn)主動服務(wù)、客戶關(guān)懷、客戶能力挖掘等功能。為此系統(tǒng) 設(shè)計采用以下架構(gòu) 終端（華為桌面云）+集群應(yīng)用服務(wù)器 + 集群中間件+集

4、群數(shù)據(jù)庫其中集群應(yīng)用軟件以 J2EE輕 量級架構(gòu) Struct2 + Spring + DAS 為主；服務(wù)器采用IBM 小型機、華為刀片服務(wù)器；操作系統(tǒng)為IBM的AIX，Suse Linux ;數(shù)據(jù)庫為 Oracle 11g RAC。 在系統(tǒng)的安全管理策略中，本人以建立合理的信息安全管 理制度為前提，設(shè)置完整的安全管理崗位和人員；并分別從 應(yīng)用服務(wù)、數(shù)據(jù)庫、服務(wù)器、網(wǎng)絡(luò)等方面進行信息安全的管 理。保障了系統(tǒng)的安全、高效、可靠。 -580 字 二、建立科學(xué)合理的信息安全管理制度，完善崗位和人 員的設(shè)置。 在制定系統(tǒng)的信息安全管理制度時，本人參照本公司信息 安全管理體系的要求，并結(jié)合系統(tǒng)實際情況，

5、在充分征求了 客戶和公司領(lǐng)導(dǎo)的前提下，制定出了本系統(tǒng)的安全管理制 度。并就制定出來的制度與相關(guān)的干系人進行討論與評審， 評審?fù)ㄟ^后請客戶的領(lǐng)導(dǎo)簽字確認(rèn)，并正式實施。 在信息安全的崗位和人員的設(shè)置上，客戶省公司、各地市 公司設(shè)置系統(tǒng)安全管理室，統(tǒng)一管理全省、各地市的信息安 全工作?？蛻羰」驹O(shè)置首席信息安全官，統(tǒng)一領(lǐng)導(dǎo)全省系 統(tǒng)的信息安全工作；各地市公司設(shè)置信息安全室經(jīng)理管理本 地市的安全工作；并設(shè)置了相關(guān)的系統(tǒng)安全管理人員，如機 房管理員、網(wǎng)絡(luò)管理員、系統(tǒng)工程師、安全審計人員等職位。 在組織和流程上保證了信息安全的科學(xué)、合理、可靠。 三、應(yīng)用服務(wù)的安全管理策略。 電信級的系統(tǒng)要求 7 X 24

6、小時不中斷服務(wù)，因此在應(yīng)用服 務(wù)的安全設(shè)置方面，采用了下面的架構(gòu) 終端+集群應(yīng)用服 務(wù)器+集群中間件+分布式集群數(shù)據(jù)庫采用此架構(gòu)保證 了整個系統(tǒng)的安全可靠，系統(tǒng)中的一個部件損壞，不會影響 到系統(tǒng)中其它部件的正常使用，因為它們是相互獨立的。在 每個部件中都采用了集群的技術(shù)，如果集群中的一個服務(wù)器 損壞，不會影響到其它集群服務(wù)器的正常使用，集群中所有 服務(wù)器全部損壞的概率是很小的。如果真的全部損壞，我們 還建立了應(yīng)急系統(tǒng)，并定期的組織應(yīng)急演練。保證了全系統(tǒng) 的安全可靠。 四、數(shù)據(jù)庫的安全策略。 數(shù)據(jù)是企業(yè)的核心資源，因此保證數(shù)據(jù)的安全就尤為重 要，在本系統(tǒng)中采用了下面的數(shù)據(jù)保護策略。 首先對數(shù)據(jù)庫

7、進行分域，不同的數(shù)據(jù)放到不同的域中，各 個域互相獨立，一個域的損壞不會影響其它域的安全。設(shè)置 當(dāng)前數(shù)據(jù)庫和歷史數(shù)據(jù)庫，當(dāng)前數(shù)據(jù)庫只存放兩天的數(shù)據(jù)， 其余的數(shù)據(jù)通過Data Station轉(zhuǎn)移到歷史數(shù)據(jù)庫，并把歷史 數(shù)據(jù)庫中6個月前的數(shù)據(jù)轉(zhuǎn)移到磁帶庫進行存放，保證了數(shù) 據(jù)的安全可靠。在數(shù)據(jù)庫的備份方面采用全量備份和增量備 份相結(jié)合的方法，定期備份數(shù)據(jù)文件和日志文件，并且使用 了賽門鐵克的安全備份恢復(fù)管理軟件，提高了備份的安全與 效率。 五、服務(wù)器的安全策略。 在服務(wù)器方面使用了 IBM小型機、華為刀片服務(wù)器，并使 用了 AIX、Suse Linux操作系統(tǒng)，從硬件上保證了服務(wù)器的 安全。制定了服務(wù)器的安全使用方法，不同的帳號進入服務(wù) 器有不同的使用權(quán)限。對服務(wù)器上的數(shù)據(jù)分級存放，使用了 冗余備份。并定期對服務(wù)器的安全使用進行審計，根據(jù)審計 結(jié)果進行處罰。通過這些措施保證了服務(wù)器的安全。 六、網(wǎng)絡(luò)的安全策略。 網(wǎng)絡(luò)的安全是整個系統(tǒng)安全的基礎(chǔ)，因此保證網(wǎng)絡(luò)的安全 是非常重要的。在網(wǎng)絡(luò)的安全保證方面，使用了防火墻、安 全路由、網(wǎng)絡(luò)隔離、防病毒技術(shù)、動態(tài)口令卡等設(shè)備和方法， 從物理上保證了網(wǎng)絡(luò)的安全。并定期進行安全審計，對審計 出現(xiàn)的問題，及時加以整改。保證了網(wǎng)絡(luò)的安全可靠。 結(jié)尾： 通過上面的安全制度、措施和方法的應(yīng)用，整個系統(tǒng)將是 安全、可靠、高效的。在整個的信息系統(tǒng)安全管理方面，高