小企业信息安全篇1
在企业的管理信息系统中有众多的企业文件在流转,其中肯定有重要性文件,有的甚至涉及到企业的发展前途,如果这些信息在通用过网络传送时被竞争对手或不法分子窃听、泄密、篡改或伪造,将会严重威胁企业的发展,所以,中小企业电子信息安全技术的研究具有重要意义。
一、中小企业的信息化建设意义
在这个网络信息时代,企业的信息化进程不断发展,信息成了企业成败的关键,也是管理水平提高的重要途径。如今企业的商务活动,基本上都采用电子商务的形式进行,企业的生产运作、运输和销售各个方面都运用到了信息化技术。如通过网络收集一些关于原材料的质量,价格,出产地等信息来建立一个原材料信息系统,这个信息系统对原材料的采购有很大的作用。通过对数据的分析,可以得到跟多的采购建议和对策,实现企业电子信息化水准。有关调查显示,百分之八十二的中小企业对网站的应还处于宣传企业形象,产品和服务信息,收集客户资料这一阶段,而电子商务这样关系到交易的应用还不到四分之一,这说明企业还未充分开发和利用商业渠道信息。中小企业信息化时代已经到来,企业应该加快信息化的建设。
二、电子信息安全技术阐述
1、电子信息中的加密技术
加密技术能够使数据的传送更为安全和完整,加密技术分为对称和非对称加密两种。其中对称加密通常通过序列密码或者分组机密来实现,包括明文、密钥、加密算法以及解密算法等五个基本组成成分。非对称加密与对称加密有所不同,非对称加密需要公开密钥和私有密钥两个密钥,公开密钥和私有密钥必须配对使用,用公开密钥进行的加密,只有其对应的私有密匙才能解密。用私有密钥进行的加密,也只有用其相应的公开密钥才能解密。
加密技术对传送的电子信息能够起到保密的作用。在发送电子信息时,发送人用加密密钥或算法对所发的信息加密后将其发出,如果在传输过程中有人窃取信息,他只能得到密文,密文是无法理解的。接受着可以利用解密密钥将密文解密,恢复成明文。
2、防火墙技术
随着网络技术的发展,一些邮件炸弹,病毒木马和网上黑客等对网络的安全也造成了很大的威胁。企业的信息化使其网络也遭到同样的威胁,企业电子信息的安全也难以得到保证。针对网络不安全这种状况,最初采取的一种保护措施就是防火墙。在我们的个人电脑中防火墙也起到了很大的作用,它可以阻止非黑客的入侵,电脑信息的篡改等。
3、认证技术
消息认证和身份认证是认证技术的两种形式,消息认证主要用于确保信息的完整性和抗否认性,用户通过消息认证来确认信息的真假和是否被第三方修改或伪造。身份认证使用与鉴别用户的身份的,包括识别和验证两个步骤。明确和区分访问者身份是识别,确认访问者身份叫验证。用户在访问一些非公开的资源时必须通过身份认证。比如访问高校的查分系统时,必须要经过学号和密码的验证才能访问。高校图书馆的一些资源要校园网才能进行访问,非校园网的不能进入,除非付费申请一个合格的访问身份。
三、中小企业中电子信息的主要安全要素
1、信息的机密性
在今天这个网络时代,信息的机密性工作似乎变得不那么容易了,但信息直接代表着企业的商业机密,如何保护企业信息不被窃取,篡改,滥用以及破坏,如何利用互联网进行信息传递又能确保信息安全性已成为各中小企业必须解决的重要问题。
2、信息的有效性
随着电子信息技术的发展,各中小企业都利用电子形式进行信息传递,信息的有效性直接关系的企业的经济利益,也是个企业贸易顺利进行的前提条件。所以要排除各种网络故障、硬件故障,对这些网络故障带来的潜在威胁加以控制和预防,从而确保传递信息的有效性。
3、信息的完整性
企业交易各方的经营策略严重受到交易方的信息的完整性影响,所以保持交易各方的信息的完整性是非常重要对交易各方都是非常重要的。在对信息的处理过程中要预防对信息的随意生成、修改,在传送过程中要防止信息的丢失,保持信息的完整性是企业之间进行交易的基础。
四、解决中小企业中电子信息安全问题的策略
1、构建中小企业电子信息安全管理体制
解决信息安全问题除了使用安全技术以外,还应该建立一套完善的电子信息安全管理制度,以确保信息安全管理的顺利进行。在一般中小企业中,最初建立的相关信息管理制度在很大程度上制约着一个信息系统的安全。如果安全管理制度出了问题,那么围绕着这一制度来选择和使用安全管理技术及手段将无法正常进行,信息的安全性就得不到保证。完善,严格的电子信息安全管理制度对信息系统的安全影响很大。在企业信息系统中,如果没有严格完善的信息安全管理制度,电子信息安全技术和相关的安全工具是不可能发挥应有的作用的。
2、利用企业的网络条件来提供信息安全服务
很多企业的多个二级单位都在系统内通过广域网被联通,局域网在各单位都全部建成,企业应该利用这种良好的网络条件来为企业提供良好的信息安全服务。通过企业这一网络平台技术标准,安全公告和安全法规,提供信息安全软件下载,安全设备选型,提供在线信息安全教育和培训,同时为企业员工提供一个交流经验的场所。
3、定期对安全防护软件系统进行评估、改进
随着企业的发展,企业的信息化应用和信息技术也不断发展,人们对信息安全问题的认识是随着技术的发展而不断提高的,在电子信息安全问题不断被发现的同时,解决信息安全问题的安全防护软件系统也应该不断的改进,定期对系统进行评估。
总之,各中小企业电子星系安全技术包含着技术和管理,以及制度等因素,随着信息技术的不断发展,不仅中小企业办公室逐渐趋向办公自动化,而且还确保了企业电子信息安全。
参考文献:
[1]温正卫;信息安全技术在电子政务系统中的应用[J];软件导刊,2010
[2]闫兵;企业信息安全概述及防范[J];科学咨讯,2010
小企业信息安全篇2
关键词：电子信息安全安全技术安全要素
在企业的管理信息系统中有众多的企业文件在流转，其中肯定有重要性文件，有的甚至涉及到企业的发展前途，如果这些信息在通用过网络传送时被竞争对手或不法分子窃听、泄密、篡改或伪造，将会严重威胁企业的发展，所以，中小企业电子信息安全技术的研究具有重要意义。
一、中小企业的信息化建设意义
在这个网络信息时代，企业的信息化进程不断发展，信息成了企业成败的关键，也是管理水平提高的重要途径。如今企业的商务活动，基本上都采用电子商务的形式进行，企业的生产运作、运输和销售各个方面都运用到了信息化技术。如通过网络收集一些关于原材料的质量，价格，出产地等信息来建立一个原材料信息系统，这个信息系统对原材料的采购有很大的作用。通过对数据的分析，可以得到跟多的采购建议和对策，实现企业电子信息化水准。
二、电子信息安全技术阐述
1.电子信息中的加密技术
加密技术能够使数据的传送更为安全和完整，加密技术分为对称和非对称加密两种。其中对称加密通常通过序列密码或者分组机密来实现，包括明文、密钥、加密算法以及解密算法等五个基本组成成分。非对称加密与对称加密有所不同，非对称加密需要公开密钥和私有密钥两个密钥，公开密钥和私有密钥必须配对使用，用公开密钥进行的加密，只有其对应的私有密匙才能解密。用私有密钥进行的加密，也只有用其相应的公开密钥才能解密。
加密技术对传送的电子信息能够起到保密的作用。在发送电子信息时，发送人用加密密钥或算法对所发的信息加密后将其发出，如果在传输过程中有人窃取信息，他只能得到密文，密文是无法理解的。接受着可以利用解密密钥将密文解密，恢复成明文。
2.防火墙技术
随着网络技术的发展，一些邮件炸弹，病毒木马和网上黑客等对网络的安全也造成了很大的威胁。企业的信息化使其网络也遭到同样的威胁，企业电子信息的安全也难以得到保证。针对网络不安全这种状况，最初采取的一种保护措施就是防火墙。在我们的个人电脑中防火墙也起到了很大的作用，它可以阻止非黑客的入侵，电脑信息的篡改等。
3.认证技术
消息认证和身份认证是认证技术的两种形式，消息认证主要用于确保信息的完整性和抗否认性，用户通过消息认证来确认信息的真假和是否被第三方修改或伪造。身份认证使用与鉴别用户的身份的，包括识别和验证两个步骤。明确和区分访问者身份是识别，确认访问者身份叫验证。用户在访问一些非公开的资源时必须通过身份认证。
三、中小企业中电子信息的主要安全要素
1.信息的机密性
在今天这个网络时代，信息的机密性工作似乎变得不那么容易了，但信息直接代表着企业的商业机密，如何保护企业信息不被窃取，篡改，滥用以及破坏，如何利用互联网进行信息传递又能确保信息安全性已成为各中小企业必须解决的重要问题。
2.信息的有效性
随着电子信息技术的发展，各中小企业都利用电子形式进行信息传递，信息的有效性直接关系的企业的经济利益，也是个企业贸易顺利进行的前提条件。所以要排除各种网络故障、硬件故障，对这些网络故障带来的潜在威胁加以控制和预防，从而确保传递信息的有效性。
3.信息的完整性
企业交易各方的经营策略严重受到交易方的信息的完整性影响，所以保持交易各方的信息的完整性是非常重要对交易各方都是非常重要的。在对信息的处理过程中要预防对信息的随意生成、修改，在传送过程中要防止信息的丢失，保持信息的完整性是企业之间进行交易的基础。
四、解决中小企业中电子信息安全问题的策略
1.构建中小企业电子信息安全管理体制
解决信息安全问题除了使用安全技术以外，还应该建立一套完善的电子信息安全管理制度，以确保信息安全管理的顺利进行。在一般中小企业中，最初建立的相关信息管理制度在很大程度上制约着一个信息系统的安全。如果安全管理制度出了问题，那么围绕着这一制度来选择和使用安全管理技术及手段将无法正常进行，信息的安全性就得不到保证。完善，严格的电子信息安全管理制度对信息系统的安全影响很大。在企业信息系统中，如果没有严格完善的信息安全管理制度，电子信息安全技术和相关的安全工具是不可能发挥应有的作用的。
2.利用企业的网络条件来提供信息安全服务
很多企业的多个二级单位都在系统内通过广域网被联通，局域网在各单位都全部建成，企业应该利用这种良好的网络条件来为企业提供良好的信息安全服务。通过企业这一网络平台技术标准，安全公告和安全法规，提供信息安全软件下载，安全设备选型，提供在线信息安全教育和培训，同时为企业员工提供一个交流经验的场所。
3.定期对安全防护软件系统进行评估、改进
随着企业的发展，企业的信息化应用和信息技术也不断发展，人们对信息安全问题的认识是随着技术的发展而不断提高的，在电子信息安全问题不断被发现的同时，解决信息安全问题的安全防护软件系统也应该不断的改进，定期对系统进行评估。
总之，各中小企业电子星系安全技术包含着技术和管理，以及制度等因素，随着信息技术的不断发展，不仅中小企业办公室逐渐趋向办公自动化，而且还确保了企业电子信息安全。
参考文献：
小企业信息安全篇3
关键词：中小型企业；信息网络安全；网络安全架构
abstract;networksecurityproblemtothesmallandmedium-sizedenterpriseuniversalexistenceasthebackground,analyzesthemainnetworksecurityproblemsofsmallandmediumenterprises,aimingattheseproblems,asmallandmediumenterprisestosolvetheirownproblemsofnetworksecurityaretheroad.andputforwardtheconceptoftherateofreturnoninvestment,accordingtothisconcept,canbeapreliminaryestimateoftheenterpriseinvestmentinnetworksecurity.
Keywords:smallandmedium-sizedenterprises;networksecurity;networksecurityarchitecture
中图分类号：tn915.08文献标识码：a文章编号：2095-2104（2013）
1、中小型企业网络安全问题的研究背景
随着企业信息化的推广和计算机网络的成熟和扩大，企业的发展越来越离不开网络，而伴随着企业对网络的依赖性与日俱增，企业网络的安全性问题越来越严重，大量的入侵、蠕虫、木马、后门、拒绝服务、垃圾邮件、系统漏洞、间谍软件等花样繁多的安全隐患开始一一呈现在企业面前。近些年来频繁出现在媒体报道中的网络安全案例无疑是为我们敲响了警钟，在信息网络越来越发达的今天，企业要发展就必须重视自身网络的安全问题。网络安全不仅关系到企业的发展，甚至关乎到了企业的存亡。
2、中小型企业网络安全的主要问题
2.1什么是网络安全
网络安全的一个通用定义：网络安全是指网络系统中的软、硬件设施及其系统中的数据受到保护，不会由于偶然的或是恶意的原因而遭受到破坏、更改和泄露。系统能够连续、可靠地正常运行，网络服务不被中断。网络安全从本质上说就是网络上的信息安全。广义地说，凡是涉及网络上信息的保密性、完整性、可用性、真实性（抗抵赖性）和可控性的相关技术和理论，都是网络安全主要研究的领域。
2.2网络安全架构的基本功能
网络信息的保密性、完整性、可用性、真实性（抗抵赖性）和可控性又被称为网络安全目标，对于任何一个企业网络来讲，都应该实现这五个网络安全基本目标，这就需要企业的网络应用架构具备防御、监测、应急、恢复等基本功能。
2.3中小型企业的主要网络安全问题
中小型企业主要的网络安全问题主要体现在3个方面.
1、木马和病毒
计算机木马和病毒是最常见的一类安全问题。木马和病毒会严重破坏企业业务的连续性和有效性，某些木马和病毒甚至能在片刻之间感染整个办公场所从而导致企业业务彻底瘫痪。与此同时，公司员工也可能通过访问恶意网站、下载未知的资料或者打开含有病毒代码的电子邮件附件等方式，在不经意间将病毒和木马带入企业网络并进行传播，进而给企业造成巨大的经济损失。由此可见，网络安全系统必须能够在网络的每一点对蠕虫、病毒和间谍软件进行检测和防范。这里提到的每一点，包括网络的边界位置以及内部网络环境。
2、信息窃取
信息窃取是企业面临的一个重大问题，也可以说是企业最急需解决的问题。网络黑客通过入侵企业网络盗取企业信息和企业的客户信息而牟利。解决这一问题，仅仅靠在网络边缘位置加强防范还远远不够，因为黑客可能会伙同公司内部人员（如员工或承包商）一起作案。信息窃取会对中小型企业的发展造成严重影响，它不仅会破坏中小型企业赖以生存的企业商誉和客户关系。还会令企业陷入面临负面报道、政府罚金和法律诉讼等问题的困境。
3、业务有效性
计算机木马和病毒并不是威胁业务有效性的唯一因素。随着企业发展与网络越来越密不可分，网络开始以破坏公司网站和电子商务运行为威胁条件，对企业进行敲诈勒索。其中，以DoS(拒绝服务)攻击为代表的网络攻击占用企业网络的大量带宽，使其无法正常处理用户的服务请求。而这一现象的结果是灾难性的：数据和订单丢失，客户请求被拒绝……同时，当被攻击的消息公之于众后，企业的声誉也会随之受到影响。
3如何打造安全的中小型企业网络架构
通过对中小型企业网络存在的安全问题的分析，同时考虑到中小型企业资金有限的情况，我认为打造一个安全的中小型企业网络架构应遵循以下的过程：首先要建立企业自己的网络安全策略；其次根据企业现有网络环境对企业可能存在的网络隐患进行网络安全风险评估，确定企业需要保护的重点；最后选择合适的设备。
3.1建立网络安全策略
一个企业的网络绝不能简简单单的就定义为安全或者是不安全，每个企业在建立网络安全体系的第一步应该是定义安全策略，该策略不会去指导如何获得安全，而是将企业需要的应用清单罗列出来，再针对不同的信息级别给予安全等级定义。针对不同的信息安全级别和信息流的走向来给予不同的安全策略，企业需要制定合理的安全策略及安全方案来确保网络系统的机密性、完整性、可用性、可控性与可审查性。对关键数据的防护要采取包括“进不来、出不去、读不懂、改不了、走不脱”的五不原则。
“五不原则”：
1.“进不来”——可用性：授权实体有权访问数据，让非法的用户不能够进入企业网。
2.“出不去”——可控性：控制授权范围内的信息流向及操作方式，让企业网内的商业机密不被泄密。
3.“读不懂”——机密性：信息不暴露给未授权实体或进程，让未被授权的人拿到信息也看不懂。
4.“改不了”——完整性：保证数据不被未授权修改。
5.“走不脱”——可审查性：对出现的安全问题提供依据与手段。
在“五不原则”的基础上，再针对企业网络内的不同环节采取不同的策略。
3.2信息安全等级划分
根据我国《信息安全等级保护管理办法》，我国所有的企业都必须对信息系统分等级实行安全保护，对等级保护工作的实施进行监督、管理。具体划分情况如下：
第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。
第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。
第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。
第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。
第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。
因此，中小型企业在构建企业信息网络安全架构之前，都应该根据《信息安全等级保护管理办法》，经由相关部门确定企业的信息安全等级，并依据界定的企业信息安全等级对企业可能存在的网络安全问题进行网络安全风险评估。
3.3网络安全风险评估
根据国家信息安全保护管理办法,网络安全风险是指由于网络系统所存在的脆弱性，因人为或自然的威胁导致安全事件发生所造成的可能性影响。网络安全风险评估就是指依据有关信息安全技术和管理标准，对网络系统的保密性、完整想、可控性和可用性等安全属性进行科学评价的过程。
网络安全风险评估对企业的网络安全意义重大。首先，网络安全风险评估是网络安全的基础工作，它有利于网络安全的规划和设计以及明确网络安全的保障需求；另外，网络安全风险评估有利于网络的安全防护，使得企业能够对自己的网络做到突出防护重点，分级保护。
3.4确定企业需要保护的重点
针对不同的企业，其需要保护的网络设备和节点是不同的。但是企业信息网络中需要保护的重点在大体上是相同的，我认为主要包括以下几点：
1.要着重保护服务器、存储的安全，较轻保护单机安全。
企业的运作中，信息是灵魂，一般来说，大量有用的信息都保存在服务器或者存储设备上。在实际工作中，企业应该要求员工把相关的资料存储在企业服务器中。企业可以对服务器采取统一的安全策略，如果管理策略定义的好的话，在服务器上文件的安全性比单机上要高的多。所以在安全管理中，企业应该把管理的重心放到这些服务器中，要采用一切必要的措施，让员工把信息存储在文件服务器上。在投资上也应着重考虑企业服务器的防护。
2.边界防护是重点。
当然着重保护服务器、存储设备的安全并不是说整体的防护并不需要，相反的边界防护是网络防护的重点。网络边界是企业网络与其他网络的分界线，对网络边界进行安全防护，首先必须明确到底哪些网络边界需要防护，这可以通过网络安全风险评估来确定。网络边界是一个网络的重要组成部分，负责对网络流量进行最初及最后的过滤，对一些公共服务器区进行保护，Vpn技术也是在网络边界设备建立和终结的，因此边界安全的有效部署对整网安全意义重大。
3.“”保护。
企业还要注意到，对于某些极其重要的部门，要将其划为，例如一些研发部门。类似的部门一旦发生网络安全事件，往往很难估量损失。在这些区域可以采用虚拟局域网技术或者干脆做到物理隔离。
4.终端计算机的防护。
最后作者还是要提到终端计算机的防护，虽然对比服务器、存储和边界防护，终端计算机的安全级别相对较低，但最基本的病毒防护，和策略审计是必不可少的。
3.5选择合适的网络安全设备
企业应该根据自身的需求和实际情况选择适合的网络安全设备，并不是越贵越好，或者是越先进越好。在这里作者重点介绍一下边界防护产品——防火墙的性能参数的实际应用。
作为网络安全重要的一环，防火墙是在任何整体网络安全建设中都是不能缺少的主角之一，并且几乎所有的网络安全公司都会推出自己品牌的防火墙。在防火墙的参数中，最常看到的是并发连接数、网络吞吐量两个指标.
并发连接数：是指防火墙或服务器对其业务信息流的处理能力，是防火墙能够同时处理的点对点连接的最大数目，它反映出防火墙设备对多个连接的访问控制能力和连接状态跟踪能力，这个参数的大小直接影响到防火墙所能支持的最大信息点数。由于计算机用户访问页面中有可能包含较多的其他页面的连接，按每个台计算机发生20个并发连接数计算（很多文章中提到一个经验数据是15，但这个数值在集中办公的地方往往会出现不足），假设企业中的计算机用户为500人，这个企业需要的防火墙的并发连接数是：20*500*3/4=7500，也就是说在其他指标符合的情况下，购买一台并发连接数在10000~15000之间的防火墙就已经足够了，如果再规范了终端用户的浏览限制，甚至可以更低。
网络吞吐量：是指在没有帧丢失的情况下，设备能够接受的最大速率。随着internet的日益普及，内部网用户访问internet的需求在不断增加，一些企业也需要对外提供诸如www页面浏览、Ftp文件传输、DnS域名解析等服务，这些因素会导致网络流量的急剧增加，而防火墙作为内外网之间的唯一数据通道，如果吞吐量太小，就会成为网络瓶颈，给整个网络的传输效率带来负面影响。因此，考察防火墙的吞吐能力有助于企业更好的评价其性能表现。这也是测量防火墙性能的重要指标。
吞吐量的大小主要由防火墙内网卡，及程序算法的效率决定，尤其是程序算法，会使防火墙系统进行大量运算，通信量大打折扣。因此，大多数防火墙虽号称100m防火墙，由于其算法依靠软件实现，通信量远远没有达到100m,实际只有10m-20m。纯硬件防火墙，由于采用硬件进行运算，因此吞吐量可以达到线性90-95m,才是真正的100m防火墙。
从实际情况来看，中小型企业由于企业规模和人数的原因，一般选择百兆防火墙就已经足够了。
3.6投资回报率
在之前作者曾提到的中小企业的网络特点中资金少是最重要的一个问题。不论企业如何做安全策略以及划分保护重点，最终都要落实到一个实际问题上——企业网络安全的投资资金。这里就涉及到了一个名词——投资回报率。在网络安全的投资上，是看不到任何产出的，那么网络安全的投资回报率该如何计算呢?
首先，企业要确定公司内部员工在使用电子邮件和进行weB浏览时，可能会违反公司网络行为规范的概率。可以将这个概率称为暴光值(exposurevalue(eV))。根据一些机构对中小企业做的调查报告可知，通常有25%—30%的员工会违反企业的使用策略，作者在此选择25%作为计算安全投资回报率的暴光值。那么，一个拥有100名员工的企业就有100x25%=25名违反者。
下一步，必需确定一个因素——当发现单一事件时将损失多少人民币。可以将它称为预期单一损失(singlelossexpectancy(SLe))。由于公司中的100个员工都有可能会违反公司的使用规定，因此，可以用这100个员工的平均小时工资作为每小时造成工作站停机的预期单一最小损失值。例如，作者在此可以用每小时10元人民币作为预期单一最小损失值。然后，企业需要确定在一周的工作时间之内，处理25名违规员工带来的影响需要花费多少时间。这个时间可以用每周总工作量40小时乘以暴光值25%可以得出为10小时。这样，就可以按下列公式来计算单一预期损失值：
25x￥10x10/h=￥2500(SLe)
最后，企业要确定这样的事情在一年中可能会发生多少次。可以叫它为预期年均损失(annualizedlossexpectancy(aLe))。这样的损失事件可能每一个星期都会发生，一年有52周，如果除去我国的春节和十一黄金周的两个假期，这意味着一个企业在一年中可能会发生50次这样的事件，可以将它称之为年发生率(annualrateofoccurrence(aRo))。预期的年均损失(aLe)就等于年发生率(aRo)乘以预期单一损失(SLe)：
￥2500x50=￥125,000(aLe)
这就是说，该公司在没有使用安全技术防范措施的情况下，内部员工的违规网络操作行为可能会给公司每年造成12.5万元人民币的损失。从这里就可以知道，如果公司只需要花费10000元人民币来实施一个具体的网络行为监控解决方案，就可能让企业每年减少12.5万元人民币的损失，这个安全防范方案当然是值得去做的。
当然，事实却并不是这么简单的。这是由于安全并不是某种安全技术就可以解决的，安全防范是一个持续过程，其中必然会牵扯到人力和管理成本等因素。而且，任何一种安全技术或安全解决方案并不能保证绝对的安全，因为这是不可能完成的任务。
就拿本例来说，实施这个网络行为监控方案之后，能够将企业内部员工的违规行为，也就是暴光值(eV)降低到2%就已经相当不错了。而这，需要在此安全防范方案实施一段时间之后，例如半年或一年，企业才可能知道实施此安全方案后的最终效果，也就是此次安全投资的具体投资回报率是多少。
有数据表明在国外，安全投入一般占企业基础投入的5%～20%，在国内一般很少超过2%，而网络安全事件不论在国内外都层出不穷，企业可能在安全方面投入了很多，但是仍然频频发生网络安全事故。很多企业的高层管理者对于这个问题都比较头疼。其实网络安全理论中著名的木桶理论，很好的解释了这种现象。企业在信息安全方面的预算不够进而导致了投资报酬不成比例，另外很多企业每年在安全产品上投入大量资金，但是却不关注内部人员的考察、安全产品有效性的审核等安全要素。缺乏系统的、科学的管理体系的支持，也是导致这种结果产生的原因。
小企业信息安全篇4
随着互联网的飞速发展，将软件作为一种商务服务形式提供给客户的需求量迅速增加，其中最突出的就是SaaS平台模式。在SaaS平台模式给广大中小企业用户带来诸多好处的同时也存在着诸如安全性、可靠性、稳定性等信息安全隐患，有效防范这些信息安全隐患对中小企业发展和SaaS平台模式的推广都具有非常重要的意义。
2SaaS平台模式的界定
SaaS是Software-as-a-service的缩写，中文直译过来就是软件即服务。在中国学术期刊网络出版总库中以“SaaS”或“SaaS模式”为题名进行检索，可以分别检索到893篇、256篇从2006年至今的相关学术文献，可见对SaaS的相关研究已经具有一定规模和基础。许多学者对SaaS的概念进行了界定，但仅限于措辞上的差异，基本意义相同，即：SaaS是基于互联网提供软件服务的软件应用模式。在该模式下，服务提供商将应用软件安装在自己的服务器上，用户可以根据自身需求，通过网络向服务提供商购买所需的应用软件服务，按照购买服务的数量和时间向服务提供商支付费用。目前业内平台型SaaS做的较好的服务供应商有八百客、Salesforce等。
3中小企业应用SaaS平台模式的必要性分析
3.1中小企业应用SaaS平台模式的必要性。根据权威统计部门数据，一家中小企业每年用于企业信息化方面的投入至少需要20万元，对于我国四千多万家中小企业而言，能够承受企业信息化年投入20万元以上的企业只占这些企业的5-10%。SaaS平台模式减少了企业购买、搭建、维护等费用，是中小企业实现信息化的最好途径。另外，SaaS平台模式具有快速实施和低维护成本等优势，充分弥补了企业资金、人才等方面的短缺。相关数据显示，截至2011年底，SaaS全球市值达到192亿美元，正在被越来越多的中小企业用户选择使用。
3.2应用SaaS平台模式的优势。与其他传统商务模式相比，应用SaaS平台模式能够给中小企业带来的好处主要体现在以下几方面：
①风险小。SaaS平台模式主要以托管方式来提供服务，这较大程度地降低了由软件开发给企业带来的巨大投入风险。②投入少。SaaS平台模式服务提供商通常是按照企业租用平台模块的数量和时间进行收费。因此，SaaS平台模式的总体投入要比传统模式的企业信息化投入小得多。SaaS平台模式与传统模式的企业信息化预算分配对比如图1所示（图中比例仅用于表示不同模式企业信息化预算变化趋势，并不代表真实比例）。③维护费用低。应用SaaS平台模式，企业既不需要支付高额的维护费用又不需要安排专业人员对软件进行管理，这从很大程度上缓解了企业的资金和人力压力。
■
图1 SaaS平台模式与传统模式企业信息化预算对比
4中小企业应用SaaS平台模式存在的信息安全隐患
尽管中小企业应用SaaS平台模式具有诸多优势，但同时也面临着巨大的挑战。对于中小企业特别是处于快速成长期的中小企业而言，其最核心的企业价值就是客户的数据等信息，因此信息安全是企业管理者最关心的问题[4]。由于SaaS平台模式的解决方案要求将用户的全部相关数据存放在服务供应商提供的平台上，这使得企业数据在安全性、可靠性、稳定性等方面存在较大的信息安全隐患。分析机构iDC的分析师LauraDuBois表示：“中小型企业必须非常谨慎的挑选供应商以存储他们宝贵的数据”。
4.1安全性隐患。安全性隐患是SaaS平台模式面对的首要问题。对于企业来说，数据的安全性至关重要，尤其是作为企业核心机密的财务数据和客户信息。安全性隐患主要体现在以下两方面：一方面，财务管理人员由于缺乏网络信息安全知识和对信息安全规则的认识不足而造成的数据丢失、泄露等隐患。例如，网上报账会使外界干预系统的机会增多，从而加大了更改订单、银行结算单等恶性事件发生的可能性。另一方面，由于目前SaaS平台模式数据库缺少有效的数据加密措施，外界可以轻而易举地从外部打开数据库并进行修改，从而加大了客户信息遭到泄漏、恶意篡改，甚至被删除，造成整个网络系统瘫痪的可能性。
4.2可靠性隐患。可靠性隐患主要体现在网络病毒和非法入侵两方面。一是由于企业使用SaaS平台模式必须将其局域网与互联网相连接，因此，使SaaS平台系统感染病毒的机率大大增加，病毒防范的难度加大，任何在互联网上的行为都有可能使SaaS平台系统感染病毒。二是由于SaaS平台模式采用的是公用通信线路，因此存在恶意损坏网络设备、在网络上对系统进行非法入侵活动等可靠性隐患。
4.3稳定性隐患。稳定性隐患主要是指网络延迟。由于SaaS平台模式服务提供商在数据库设计上普遍采用大型商用关系型数据库和集群技术，使许多个企业用户共享一个数据库，当用户访问量骤然增加时，势必增加响应延迟，影响平台服务的稳定性。
5防范信息安全隐患的措施
针对SaaS平台模式存在的安全性、可靠性、稳定性等信息安全隐患，无论是SaaS服务提供商还是企业用户，都应该积极采取各种防范措施，减少信息安全隐患的发生。
5.1增强信息安全防范意识。提高信息安全防范意识是保证SaaS平台模式信息安全的重要前提。对于SaaS平台模式服务提供商而言，要增强信息安全防范意识，首先要制定统管全局的信息安全管理制度，明确责任，使信息安全管理有章可循，有法可依;其次要加强对系统维护人员和技术支持人员的职业道德教育，使其在职业操守上能够恪守职责。
5.2确保硬件设备安全。硬件设备安全是SaaS平台正常运营的基本保障。SaaS服务提供商应将SaaS平台服务器、通信设备等硬件设备设置在一个高度安全的场所，该场所应具有防火、防盗、防静电设施，配有温度和湿度控制设备，并且电源安全符合网络设备要求，从而确保硬件设备安全。
5.3建立身份认证和访问控制。在认证与授权方面可以通过对信息操作人员设置不同的权限及权限组合形成多维、多层次、全方位的身份认证和访问控制，最大限度地保证SaaS平台模式的安全性和可靠性。
5.4采用服务器双机热备份模式。在数据存储上可采用服务器双机热备份技术来对数据进行存储和备份。SaaS平台模式服务提供商同时设立两个服务器数据中心，一个服务器数据中心为主服务器，进行日常数据处理，另一个服务器数据中心作为冗余备份。当主服务器出现故障时，备用服务器将自动接管所有服务，待主服务器恢复正常工作后，备用服务器自动交还服务。这样能够减少由于服务器或防火墙故障问题而停止运行带来的信息安全隐患。
小企业信息安全篇5
关键词：全球眼技术中小企业安防信息化管理应用
中图分类号：C931.6
1全球眼技术在中小企业安防信息化管理中应用的局限性
中小企业安防信息化管理应用全球眼技术，主要包括有高中端的家庭住宅、写字楼、商店以及病房等，它们通过利用全球眼技术，实现现场辅助、安防报警以及视频监控等功能。在使用中，主要存在着以下几点局限性。
1.1全球眼的安防报警功能不够完善
就目前来说，全球眼技术的安防报警功能还不够完善。在其网络视频监控系统中，报警终端接入方式主要采取以下两种方法。
第一，利用电缆，实现对硬盘录像机、视频服务器（DVS）或者ipCamera的告警输入接口与报警探测器的连接。当告警输入接口电平出现高低变化时，前端的DVS或者ipCamera就会触发告警，由于已有既定的通信协议，告警就可以上报至“全球眼”网络监控平台。
第二，由安防报警主机管理报警探测器，通过利用无线或者有线，实现安防主机和报警探测器的连接，其中，对于接入的探测器，安防主机不仅可以进行防区设定，还可以布置或者撤销安防管理，通过串口电缆，安防主机就能连接到ipCamera或者DVS。同时ipCamera或DVS对报警探测器的告警触发进行甄别，并且通过既有协议，将告警信息上报平台。
然而，这两种报警方法均存在着局限性。当某一地点发生报警情况时，由于告警传递到平台上的信息量不够充足，因此系统对防区的信息、告警类型等无法正常识别，对前端安防设备的运行状况也不能进行监控，做不到精确监控防区的位置，而只能确定发生报警的ipCamera或者DVS。由于存在着这样的局限，当某一地点发生报警后，工作人员首先需要对监控所在的位置资料进行查看，然后再结合位置的实际情况，做出对警情处理办法的决策，这个过程使工作人员不能及时处理报警事件；同时，由于单向地传输报警信息，因此前端报警终端的监控工作就无法顺利进行，前端报警终端的布、撤防工作也实现不了客户端远程作业与远程管理；除此之外，如果需要详细了解用户前端安防主机的报警信息，还需要电话的帮助，因此全球眼平台无法实现联网上报。而电话、视频监控等等多种安防系统的同时使用，给用户造成了很多麻烦。
1.2全球眼现有的功能没有密切结合中小企业的需要
从中小企业的角度来说，他们希望实现安防报警以及视频监控在同一界面上进行操作的可能，这样，可以对生产情况以及营运情况实现动态化的了解，例如员工的出勤率、商铺的客流量等等，远程监控为他们节省了大量的时间和精力。但是，从全球眼的目前技术上来看，其主要负责实现的是视频监控功能，而且用户一定要保证ipCamera与DVS的捆绑使用，而不能私自进行安防系统功能组合。由于每个用户的需求不同，这种强制性组合安装大大降低了全球眼的吸引力，缩小了全球眼业务拓展的机会。其次，在发生报警时，告警通知的手段比较少，报警信息量不够大，而且单一；当告警信号上报到网络视频服务器时，需要用户在互联网上，否则无法及时发现警情，客户也只能了解些许报警信息，因为平台只是记录报警以及报警时间而已，其他更详细的的信息则无法提供。
1.3全球眼软件技术层面存在着不足
中小企业选择使用全球眼监控，首先，在客户端上，需要用户安装全球眼技术专用的客户端软件，其操作系统也会有相应的限制。其次，在客户端结构上，采取的是C/S（客户机/服务器）结构。当全球眼系统的软件要进行升级时，每一个用户、每一台机器都需要重新安装新的升级软件。然而，由于在实际的使用中，存在着用户移动办公或者分布式办公的现象，因此C/S服务机制会让监控操作程序变得更加繁琐。在监控设备较少或监控点较少的用户上，例如家庭用户、商店或者其他中小企业，由于采用C/S模式，在安装上，工作量非常大；在成本上，所需的维护成本以及升级成本都非常高，大大制约了全球眼业务在市场的扩展。
2如何推进全球眼技术在中小企业安防信息化管理中的应用
2.1改进全球眼技术的视频前端
视频前端由ipCamera或者模拟摄像机以及DVS组成，负责实现监控的音频、视频信息数据的采集、编码、存储、传送等一系列流程功能，同时，来自平台的控制指令可以在视频前端实现作用。从而通过全球眼这一平台，实现对网络视频的监控。
2.2完善安防报警主机
利用ip网络，就可以实现安防报警主机与全球眼平台的连接。网络型安防报警主机下挂各种种类的探测器，以对监控现场的周围环境信息进行采集。要监测现场是否存在着火灾安全隐患时，可以通过烟感探测器；监测现场是否有人员出现时，可以选择红外传感器等等。网络型安防报警系统通过各种类型传感器的帮助，实现了对现场信息的探测、采集，并把采集而来的信息封装成ip数据包，再传输到中心平台。
2.3加强对中心平台的管理功能
利用全球眼现有的监控平台而开发的中心平台，是整个系统的信息控制中心。这个中心平台一方面对全球眼的告警联动、使用者权限以及接入终端进行统一的监控和管理，另一方面，在增设报警管理服务器的前提下，实现对告警联动、联动预案的管理功能，同时指令报警管理服务器，及时、正确地处理安防主机上报的告警信息。
2.4客户端支持多种架构
传统的全球眼客户端只支持C/S结构，改造后还应该能支持B/S架构。这样，客户端的限制度下降，用户就可以利用互联网，登录全球眼平台，远程控制视频前端，同时还可以实现查阅告警记录、浏览实时视频、回放监控录像以及设置报警联动等等功能。
2.5拓宽安防报警的应用范围
由于网络型报警主机具有携带告警信息和全双工通信等功能，因此，可以根据此优势，把安防报警的应用范围扩大到生产管理、经营管理等方面。例如，中国电信可以根据全球眼用户的需求，在安防报警功能的基础上，增加统计客流量、管理人工考勤等功能，从而提高全球眼产品在中小企业安防信息化管理市场上的竞争力。
结束语
尽管全球眼技术在中小企业安防信息化管理的应用中，存在着一些技术上的局限，然而其工作仍然是具有一定的实效性、科学性以及高效性。相信随着科学的进步以及计算机技术的发展，全球眼技术一定能结合用户的需求，做出改变，完善自我，从而促进中小企业安防信息化管理的发展，使之跃上一个新台阶。
参考文献：
[1]许冬琦.智能全球眼走向高清化、智能化，2015年有望全国联网[J].通信世界，2012（47）
小企业信息安全篇6
[关键词]中小企业信息系统；制度问题；分析与对策
一、问题的提出及文献综述
随着我国中小企业开始实现信息化管理，运用信息管理系统来对企业生产进行管理，一方面，提高了企业管理的效率和科学性，使企业的生产、存储、财务、成本、控制都得到了大幅度的改善；而另一方面，在实际的运行中不可避免的引发各种问题，其中包括信息安全性的问题，即存储在计算机或在传输中的文件和数据遭受到破坏和滥用，而且这种活动对企业的影响非常严重，例如：电子商务公司，如果网站出现故障，每天的损失会高达数额人民币，所以如何保障信息系统的安全，使其得到安全的控制，对于企业来说已经变的非常重要。目前，在我国的中小企业信息管理系统内部构建中，经常可以发现由于制度和管理中的疏忽、松懈以及信息系统的监管不到位，所出现数据的丢失或者数据的信息反应迟钝，不能使管理者及时得到有效的信息，使其信息系统的发挥起不到其最佳的效果，因此如何保障中小企业信息系统安全，加强中小企业信息的测控是非常必要的。
在目前关于中小企业的信息系统安全与效率方面的文章主要是集中在如何构建中小企业信息系统方面，涉及到中小企业信息管理制度这方面很少。如：杨斌、费同林(2002)，赵宏中（2005），刘仁勇，王卫平（2007），在企业管理信息系统建设方面提到了制度设计方面，但是没有把其作为一个研究重点，其他一些相似的文献基本是从技术角度探讨。从中小企业实际的成本收益考虑，一般来说，由于运用的相应技术不是很高，基本都是基础的软件系统，所以有必要对中小企业面临的制度方面进行详细的分析。
二、中小型企业信息系统制度方面分析
首先，根据Laudon对企业信息系统面临威胁，按照来源分为六类：硬件故障、软件故障、人为因素、数据、服务及设备被偷盗，这些都是中小企业面临的问题，但Laudon从单个信息系统的角度进行分析，却没有把企业的信息管理系统管理制度考虑进去，在我国中小企业的信息系统建设上许多企业尽管设置了制度，但很大程度上都是形同虚设或者是制度管理存在缺失，容易导致中小企业信息系统实际操作上面临效率和安全的问题，下面具体从制度方面进行分析：
在中小型企业中，存在着正式制度与非正式制度，正式制度是人们有意识建立起来的并以正式方式加以确定的各种制度安排，主要包括法律制度、企业制度安排等；非正式制度，是人们在长期的社会生活中逐步形成的习惯习俗、文化传统、价值观念，是形态等对人们行为产生非正式约束的规则，是那些对人们行为的不成文的限制。
（一）正式制度的分析
在中小企业中，正式的制度包括国家信息系统法律的规定和企业的信息管理制度方面，根据我国1994年通过的《中华人民共和国计算机信息系统安全保护条例》，也只是从信息交换角度来保护整个信息系统的安全，对于企业自身的信息系统安全只是规定各企业根据自身情况自行制定，并没有对企业的实际业务中发生的关于信息系统自身安全进行风险标准规定，也没有一套正确引导进行风险防范的标准规定，所以中小企业的法规建立基本都是从企业各自实际出发，所以各企业的标准不一，导致安全隐患存在比较大。
从企业自己建立的信息管理制度来说，一般大型企业有明确的规定制度，包括维护、人员素质等方面都有明确的规定，在一定程度上能有效防范信息系统存在的安全隐患，并能够及时有效的进行相应信息的反馈，对企业的信息安全与企业效率能起到积极的作用。但对于中小企业来说，由于企业自身比较小，相应的信息管理系统人员比较缺乏，其维护也是谁操作谁负责，这样只能根据各企业自身人员的情况来确定其系统的安全程度，其次在效率方面，由于人员缺乏以及其计算机操作应用存在的不规范，信息交换、反馈也相对比较落后，或者根本起不到效率作用。
再次中小企业虽然有一定的信息管理制度规范，却由于监管不到位，主要是由于中小企业的机构比较小，维护人员、计算机使用都是由使用人员一人来完成，所以容易导致即使有制度，也难以执行，这也是制约中小企业信息系统的数据安全的主要原因。（二）非正式制度的分析
在非正式制度中，意识形态处于核心地位，它不仅蕴含价值关键、伦理规范、道德观念和风俗习性，而且在形式上构成某种非正式制度的“先验”模式。所以从这个角度上来说，公司员工的思想和过去的传统操作方法在一定程度上影响企业的信息管理系统运行效果。
在中小企业的管理信息系统中，由于员工的意识不强，对于信息系统的维护、使用存在一定的松懈，信息操作员经常在值班时没有定期维护计算机及信息管理系统，只是在当其产生问题时才处理，这样很容易导致企业数据损失，如果信息备份不完全的话，可能由于人为操作或者计算机病毒的侵入会造成整个系统数据损失。
在这里非正式制度方面主要是指员工以往的旧做法对中小企业的信息系统安全的影响，对信息反馈报告在效率方面也会产生一定的负面作用，主要原因是领导层的要求不严格，操作人员的报告提交不及时等因素所致，因此非正式制度因素对中小企业信息管理系统影响也是非常大的。
三、加强信息管理系统管理制度建设的对策
在加强制度建设中，主要从国家信息系统的法律制度建设、企业信息制度的设置与执行，再次就是信息系统中操作人员与管理人员意识的改变三个层次来考虑。
（一）首先在我国信息管理系统的法律规范中，不仅应该对信息交换中安全问题进行规范，而且规定信息系统使用公司对其管理系统的安全达到安全的最低标准，这个标准是指从各因素方面来确定信息管理系统的一个安全性的最低标准值，不仅能够使信息安全从法律依据上得到一个基本的系统安全标准，而且也能对公司信息管理系统起到强制规范性的作用。
（二）在制度设定层面，加强中小企业信息系统安全管理制度的健全及制度化，也是保障中小企业信息系统安全极为重要的一个方面。在信息系统运行过程中，信息系统管理部门应制定严格的服务器日常维护、巡视和记录制度、客户机维护、操作制度、用户管理制度、人员培训制度等等，并严格按照制度实施奖惩，从而从企业内部制度上认识到信息管理系统安全的重要性。
（三）培养与使用企业信息化是一项复杂的系统工程，除了领导层要高度重视外，设立一个既懂信息系统、又懂业务流程的复合型信息主管职位，也是非常关键的。在国外大学、大企业的Cio（首席信息主管），相当于企业级的领导，直接参与企业的重大问题决策。一个合格Cio，既能充分调动网络技术人员的积极性，又能把握企业信息化发展全局，并能随时为领导提供参考意见，起到了很好的监督作用，并对公司信息管理信息系统制度改善、监督、反馈上能起到重要的作用，因此在中小企业中也设立这样一个职位，从而使信息化系统成为企业运行中的一个非常重要的部分。
（四）加强信息系统人员的培训，使其对计算机信息系统的操作、安全等方面了解能够熟练的掌握。信息系统人员包括操作人员以及维护人员，定期对信息系统人员进行培训，不仅有助于了解信息系统的最新发展，而且能够使其从意识中不断了解到信息系统安全的重要性，使其操作、维护的规范化不断得到改善，从而减少由于非制度性因素所产生的信息系统安全问题。
四、结论
在中小企业信息管理系统中，很大问题是由于中小企业的制度方面造成的，所以在企业内部加强其监管，使中小企业的信息管理制度得到很好执行是非常必要的，其次就是加强员工的素质培养，使其能够具有很好的业务水平，使信息管理系统得到很好的运行，并能够使管理层及时了解到企业的信息，保证企业的顺利运行；最后完善国家信息管理系统法律，是保证企业信息制度建立的重要标准，使中小企业达到基本的信息系统风险管理水平，从而从制度上使其信息管理系统得到很好的保护。
参考文献
[1]KennethC.LaudonJanep.Laudon.管理信息系统－管理数字化公司（第8版）[m]北京：清华大学出版社，2005年：501-538
[2]王霞，张永，彭智才，如何保障中小企业信息系统安全[J]，资源方法，2004(9):54-55
[3]刘仁勇，王卫平，企业信息安全管理研究[J].学术研究，2007(6):113-115
小企业信息安全篇7
关键词:信息管理
一、问题的提出及文献综述
随着我国中小企业开始实现信息化管理,运用信息管理系统来对企业生产进行管理,一方面,提高了企业管理的效率和科学性,使企业的生产、存储、财务、成本、控制都得到了大幅度的改善;而另一方面,在实际的运行中不可避免的引发各种问题,其中包括信息安全性的问题,即存储在计算机或在传输中的文件和数据遭受到破坏和滥用,而且这种活动对企业的影响非常严重,例如:电子商务公司,如果网站出现故障,每天的损失会高达数额人民币,所以如何保障信息系统的安全,使其得到安全的控制,对于企业来说已经变的非常重要。目前,在我国的中小企业信息管理系统内部构建中,经常可以发现由于制度和管理中的疏忽、松懈以及信息系统的监管不到位,所出现数据的丢失或者数据的信息反应迟钝,不能使管理者及时得到有效的信息,使其信息系统的发挥起不到其最佳的效果,因此如何保障中小企业信息系统安全,加强中小企业信息的测控是非常必要的。
在目前关于中小企业的信息系统安全与效率方面的文章主要是集中在如何构建中小企业信息系统方面,涉及到中小企业信息管理制度这方面很少。如:杨斌、费同林(2002),赵宏中(2005),刘仁勇,王卫平(2007),在企业管理信息系统建设方面提到了制度设计方面,但是没有把其作为一个研究重点,其他一些相似的文献基本是从技术角度探讨。从中小企业实际的成本收益考虑,一般来说,由于运用的相应技术不是很高,基本都是基础的软件系统,所以有必要对中小企业面临的制度方面进行详细的分析。
二、中小型企业信息系统制度方面分析
首先,根据Laudon对企业信息系统面临威胁,按照来源分为六类:硬件故障、软件故障、人为因素、数据、服务及设备被偷盗,这些都是中小企业面临的问题,但Laudon从单个信息系统的角度进行分析,却没有把企业的信息管理系统管理制度考虑进去,在我国中小企业的信息系统建设上许多企业尽管设置了制度,但很大程度上都是形同虚设或者是制度管理存在缺失,容易导致中小企业信息系统实际操作上面临效率和安全的问题,下面具体从制度方面进行分析:
在中小型企业中,存在着正式制度与非正式制度,正式制度是人们有意识建立起来的并以正式方式加以确定的各种制度安排,主要包括法律制度、企业制度安排等;非正式制度,是人们在长期的社会生活中逐步形成的习惯习俗、文化传统、价值观念,是形态等对人们行为产生非正式约束的规则,是那些对人们行为的不成文的限制。
(一)正式制度的分析
在中小企业中,正式的制度包括国家信息系统法律的规定和企业的信息管理制度方面,根据我国1994年通过的《中华人民共和国计算机信息系统安全保护条例》,也只是从信息交换角度来保护整个信息系统的安全,对于企业自身的信息系统安全只是规定各企业根据自身情况自行制定,并没有对企业的实际业务中发生的关于信息系统自身安全进行风险标准规定,也没有一套正确引导进行风险防范的标准规定,所以中小企业的法规建立基本都是从企业各自实际出发,所以各企业的标准不一,导致安全隐患存在比较大。
从企业自己建立的信息管理制度来说,一般大型企业有明确的规定制度,包括维护、人员素质等方面都有明确的规定,在一定程度上能有效防范信息系统存在的安全隐患,并能够及时有效的进行相应信息的反馈,对企业的信息安全与企业效率能起到积极的作用。但对于中小企业来说,由于企业自身比较小,相应的信息管理系统人员比较缺乏,其维护也是谁操作谁负责,这样只能根据各企业自身人员的情况来确定其系统的安全程度,其次在效率方面,由于人员缺乏以及其计算机操作应用存在的不规范,信息交换、反馈也相对比较落后,或者根本起不到效率作用。
再次中小企业虽然有一定的信息管理制度规范,却由于监管不到位,主要是由于中小企业的机构比较小,维护人员、计算机使用都是由使用人员一人来完成,所以容易导致即使有制度,也难以执行,这也是制约中小企业信息系统的数据安全的主要原因。
(二)非正式制度的分析
在非正式制度中,意识形态处于核心地位,它不仅蕴含价值关键、伦理规范、道德观念和风俗习性,而且在形式上构成某种非正式制度的“先验”模式。所以从这个角度上来说,公司员工的思想和过去的传统操作方法在一定程度上影响企业的信息管理系统运行效果。
在中小企业的管理信息系统中,由于员工的意识不强,对于信息系统的维护、使用存在一定的松懈,信息操作员经常在值班时没有定期维护计算机及信息管理系统,只是在当其产生问题时才处理,这样很容易导致企业数据损失,如果信息备份不完全的话,可能由于人为操作或者计算机病毒的侵入会造成整个系统数据损失。
在这里非正式制度方面主要是指员工以往的旧做法对中小企业的信息系统安全的影响,对信息反馈报告在效率方面也会产生一定的负面作用,主要原因是领导层的要求不严格,操作人员的报告提交不及时等因素所致,因此非正式制度因素对中小企业信息管理系统影响也是非常大的。
三、加强信息管理系统管理制度建设的对策
在加强制度建设中,主要从国家信息系统的法律制度建设、企业信息制度的设置与执行,再次就是信息系统中操作人员与管理人员意识的改变三个层次来考虑。
(一)首先在我国信息管理系统的法律规范中,不仅应该对信息交换中安全问题进行规范,而且规定信息系统使用公司对其管理系统的安全达到安全的最低标准,这个标准是指从各因素方面来确定信息管理系统的一个安全性的最低标准值,不仅能够使信息安全从法律依据上得到一个基本的系统安全标准,而且也能对公司信息管理系统起到强制规范性的作用。
(二)在制度设定层面,加强中小企业信息系统安全管理制度的健全及制度化,也是保障中小企业信息系统安全极为重要的一个方面。在信息系统运行过程中,信息系统管理部门应制定严格的服务器日常维护、巡视和记录制度、客户机维护、操作制度、用户管理制度、人员培训制度等等,并严格按照制度实施奖惩,从而从企业内部制度上认识到信息管理系统安全的重要性。
(三)培养与使用企业信息化是一项复杂的系统工程,除了领导层要高度重视外,设立一个既懂信息系统、又懂业务流程的复合型信息主管职位,也是非常关键的。在国外大学、大企业的Cio(首席信息主管),相当于企业级的领导,直接参与企业的重大问题决策。一个合格Cio,既能充分调动网络技术人员的积极性,又能把握企业信息化发展全局,并能随时为领导提供参考意见,起到了很好的监督作用,并对公司信息管理信息系统制度改善、监督、反馈上能起到重要的作用,中小企业中也设立这样一个职位,从而使信息化系统成为企业运行中的一个非常重要的部分。
(四)加强信息系统人员的培训,使其对计算机信息系统的操作、安全等方面了解能够熟练的掌握。信息系统人员包括操作人员以及维护人员,定期对信息系统人员进行培训,不仅有助于了解信息系统的最新发展,而且能够使其从意识中不断了解到信息系统安全的重要性,使其操作、维护的规范化不断得到改善,从而减少由于非制度性因素所产生的信息系统安全问题。
四、结论
在中小企业信息管理系统中,很大问题是由于中小企业的制度方面造成的,所以在企业内部加强其监管,使中小企业的信息管理制度得到很好执行是非常必要的,其次就是加强员工的素质培养,使其能够具有很好的业务水平,使信息管理系统得到很好的运行,并能够使管理层及时了解到企业的信息,保证企业的顺利运行;最后完善国家信息管理系统法律,是保证企业信息制度建立的重要标准,使中小企业达到基本的信息系统风险管理水平,从而从制度上使其信息管理系统得到很好的保护。
参考文献
[1]KennethC.LaudonJanep.Laudon.管理信息系统-管理数字化公司(第8版)[m]北京:清华大学出版社,2005年:501-538
小企业信息安全篇8
随着我国中小企业开始实现信息化管理,运用信息管理系统来对企业生产进行管理,一方面,提高了企业管理的效率和科学性,使企业的生产、存储、财务、成本、控制都得到了大幅度的改善;而另一方面,在实际的运行中不可避免的引发各种问题,其中包括信息安全性的问题,即存储在计算机或在传输中的文件和数据遭受到破坏和滥用,而且这种活动对企业的影响非常严重,例如:电子商务公司,如果网站出现故障,每天的损失会高达数额人民币,所以如何保障信息系统的安全,使其得到安全的控制,对于企业来说已经变的非常重要。目前,在我国的中小企业信息管理系统内部构建中,经常可以发现由于制度和管理中的疏忽、松懈以及信息系统的监管不到位,所出现数据的丢失或者数据的信息反应迟钝,不能使管理者及时得到有效的信息,使其信息系统的发挥起不到其最佳的效果,因此如何保障中小企业信息系统安全,加强中小企业信息的测控是非常必要的。
在目前关于中小企业的信息系统安全与效率方面的文章主要是集中在如何构建中小企业信息系统方面,涉及到中小企业信息管理制度这方面很少。如:杨斌、费同林(2002),赵宏中(2005),刘仁勇,王卫平(2007),在企业管理信息系统建设方面提到了制度设计方面,但是没有把其作为一个研究重点,其他一些相似的文献基本是从技术角度探讨。从中小企业实际的成本收益考虑,一般来说,由于运用的相应技术不是很高,基本都是基础的软件系统,所以有必要对中小企业面临的制度方面进行详细的分析。
二、中小型企业信息系统制度方面分析
首先,根据Laudon对企业信息系统面临威胁,按照来源分为六类:硬件故障、软件故障、人为因素、数据、服务及设备被偷盗,这些都是中小企业面临的问题,但Laudon从单个信息系统的角度进行分析,却没有把企业的信息管理系统管理制度考虑进去,在我国中小企业的信息系统建设上许多企业尽管设置了制度,但很大程度上都是形同虚设或者是制度管理存在缺失,容易导致中小企业信息系统实际操作上面临效率和安全的问题,下面具体从制度方面进行分析:
在中小型企业中,存在着正式制度与非正式制度,正式制度是人们有意识建立起来的并以正式方式加以确定的各种制度安排,主要包括法律制度、企业制度安排等;非正式制度,是人们在长期的社会生活中逐步形成的习惯习俗、文化传统、价值观念,是形态等对人们行为产生非正式约束的规则,是那些对人们行为的不成文的限制。
(一)正式制度的分析
在中小企业中,正式的制度包括国家信息系统法律的规定和企业的信息管理制度方面,根据我国1994年通过的《中华人民共和国计算机信息系统安全保护条例》,也只是从信息交换角度来保护整个信息系统的安全,对于企业自身的信息系统安全只是规定各企业根据自身情况自行制定,并没有对企业的实际业务中发生的关于信息系统自身安全进行风险标准规定,也没有一套正确引导进行风险防范的标准规定,所以中小企业的法规建立基本都是从企业各自实际出发,所以各企业的标准不一,导致安全隐患存在比较大。
从企业自己建立的信息管理制度来说,一般大型企业有明确的规定制度,包括维护、人员素质等方面都有明确的规定,在一定程度上能有效防范信息系统存在的安全隐患,并能够及时有效的进行相应信息的反馈,对企业的信息安全与企业效率能起到积极的作用。但对于中小企业来说,由于企业自身比较小,相应的信息管理系统人员比较缺乏,其维护也是谁操作谁负责,这样只能根据各企业自身人员的情况来确定其系统的安全程度,其次在效率方面,由于人员缺乏以及其计算机操作应用存在的不规范,信息交换、反馈也相对比较落后,或者根本起不到效率作用。
再次中小企业虽然有一定的信息管理制度规范,却由于监管不到位,主要是由于中小企业的机构比较小,维护人员、计算机使用都是由使用人员一人来完成,所以容易导致即使有制度,也难以执行,这也是制约中小企业信息系统的数据安全的主要原因。
(二)非正式制度的分析
在非正式制度中,意识形态处于核心地位,它不仅蕴含价值关键、伦理规范、道德观念和风俗习性,而且在形式上构成某种非正式制度的“先验”模式。所以从这个角度上来说,公司员工的思想和过去的传统操作方法在一定程度上影响企业的信息管理系统运行效果。
在中小企业的管理信息系统中,由于员工的意识不强,对于信息系统的维护、使用存在一定的松懈,信息操作员经常在值班时没有定期维护计算机及信息管理系统,只是在当其产生问题时才处理,这样很容易导致企业数据损失,如果信息备份不完全的话,可能由于人为操作或者计算机病毒的侵入会造成整个系统数据损失。
在这里非正式制度方面主要是指员工以往的旧做法对中小企业的信息系统安全的影响,对信息反馈报告在效率方面也会产生一定的负面作用,主要原因是领导层的要求不严格,操作人员的报告提交不及时等因素所致,因此非正式制度因素对中小企业信息管理系统影响也是非常大的。
三、加强信息管理系统管理制度建设的对策
在加强制度建设中,主要从国家信息系统的法律制度建设、企业信息制度的设置与执行,再次就是信息系统中操作人员与管理人员意识的改变三个层次来考虑。
(一)首先在我国信息管理系统的法律规范中,不仅应该对信息交换中安全问题进行规范,而且规定信息系统使用公司对其管理系统的安全达到安全的最低标准,这个标准是指从各因素方面来确定信息管理系统的一个安全性的最低标准值,不仅能够使信息安全从法律依据上得到一个基本的系统安全标准,而且也能对公司信息管理系统起到强制规范性的作用。
(二)在制度设定层面,加强中小企业信息系统安全管理制度的健全及制度化,也是保障中小企业信息系统安全极为重要的一个方面。在信息系统运行过程中,信息系统管理部门应制定严格的服务器日常维护、巡视和记录制度、客户机维护、操作制度、用户管理制度、人员培训制度等等,并严格按照制度实施奖惩,从而从企业内部制度上认识到信息管理系统安全的重要性。
(三)培养与使用企业信息化是一项复杂的系统工程,除了领导层要高度重视外,设立一个
既懂信息系统、又懂业务流程的复合型信息主管职位,也是非常关键的。在国外大学、大企业的Cio(首席信息主管),相当于企业级的领导,直接参与企业的重大问题决策。一个合格Cio,既能充分调动网络技术人员的积极性,又能把握企业信息化发展全局,并能随时为领导提供参考意见,起到了很好的监督作用,并对公司信息管理信息系统制度改善、监督、反馈上能起到重要的作用,中小企业中也设立这样一个职位,从而使信息化系统成为企业运行中的一个非常重要的部分。(四)加强信息系统人员的培训,使其对计算机信息系统的操作、安全等方面了解能够熟练的掌握。信息系统人员包括操作人员以及维护人员,定期对信息系统人员进行培训,不仅有助于了解信息系统的最新发展,而且能够使其从意识中不断了解到信息系统安全的重要性,使其操作、维护的规范化不断得到改善,从而减少由于非制度性因素所产生的信息系统安全问题。
小企业信息安全篇9
论文摘要:文章首先分析了信息安全外包存在的风险，根据风险提出信息安全外包的管理框架，并以此框架为基础详细探讨了信息安全外包风险与管理的具体实施。文章以期时信息安全外包的风险进行控制，并获得与外包商合作的最大收益。
1信息安全外包的风险
1.1信任风险
企业是否能与信息安全服务的外包商建立良好的工作和信任关系，仍是决定时候将安全服务外包的一个重要因素。因为信息安全的外包商可以访问到企业的敏感信息，并全面了解其企业和系统的安全状况，而这些重要的信息如果被有意或无意地对公众散播出去，则会对企业造成巨大的损害。并且，如若企业无法信任外包商，不对外包商提供一些关键信息的话，则会造成外包商在运作过程中的信息不完全，从而导致某些环节的失效，这也会对服务质量造成影响。因此，信任是双方合作的基础，也是很大程度上风险规避的重点内容。
1.2依赖风险
企业很容易对某个信息安全服务的外包商产生依赖性，并受其商业变化、商业伙伴和其他企业的影响，恰当的风险缓释方法是将安全服务外包给多个服务外包商，但相应地会加大支出并造成管理上的困难，企业将失去三种灵活性:第一种是短期灵活性，即企业重组资源的能力以及在经营环境发生变化时的应变能力;第二种是适应能力，即在短期到中期的事件范围内所需的灵活性，这是一种以新的方式处理变革而再造业务流程和战略的能力，再造能力即包括了信息技术;第三种灵活性就是进化性，其本质是中期到长期的灵活性，它产生于企业改造技术基本设施以利用新技术的时期。www.133229.Com进化性的获得需要对技术趋势、商业趋势的准确预测和确保双方建立最佳联盟的能力。
1.3所有权风险
不管外包商提供服务的范围如何，企业都对基础设施的安全操作和关键资产的保护持有所有权和责任。企业必须确定服务外包商有足够的能力承担职责，并且其服务级别协议条款支持这一职责的履行。正确的风险缓释方法是让包括员工和管理的各个级别的相关人员意识到，应该将信息安全作为其首要责任，并进行安全培训课程，增强常规企业的安全意识。
1.4共享环境风脸
信息安全服务的外包商使用的向多个企业提供服务的操作环境要比单独的机构内部环境将包含更多的风险，因为共享的操作环境将支持在多企业之间共享数据传输(如公共网络)或处理(如通用服务器)，这将会增加一个企业访问另一企业敏感信息的可能性。这对企业而言也是一种风险。
1.5实施过程风险
启动一个可管理的安全服务关系可能引起企业到服务外包商，或者一个服务外包商到另一个外包商之间的人员、过程、硬件、软件或其他资产的复杂过渡，这一切都可能引起新的风险。企业应该要求外包商说明其高级实施计划，并注明完成日期和所用时间。这样在某种程度上就对实施过程中风险的时间期限做出了限制。
1.6合作关系失败将导致的风险
如果企业和服务商的合作关系失败，企业将面临极大的风险。合作关系失败带来的经济损失、时间损失都是不言而喻的，而这种合作关系的失败归根究底来自于企业和服务外包商之间的服务计划不够充分完善以及沟通与交流不够频繁。这种合作关系在任何阶段都有可能失败，如同其他商业关系一样，它需要给予足够的重视、关注，同时还需要合作关系双方进行频繁的沟通。
2信息安全外包的管理框架
要进行成功的信息安全外包活动，就要建立起一个完善的管理框架，这对于企业实施和管理外包活动，协调与外包商的关系，最大可能降低外包风险，从而达到外包的目的是十分重要的。信息安全外包的管理框架的内容分为几个主体部分，分别包括企业协同信息安全的外包商确定企业的信息安全的方针以及信息安全外包的安全标准，然后是对企业遭受的风险进行系统的评估.并根据方针和风险程度.决定风险管理的内容并确定信息安全外包的流程。之后，双方共同制定适合企业的信息安全外包的控制方法，协调优化企业的信息安全相关部门的企业结构，同时加强管理与外包商的关系。
3信息安全外包风险管理的实施
3.1制定信息安全方针
信息安全方针在很多时候又称为信息安全策略，信息安全方针指的是在一个企业内，指导如何对资产，包括敏感性信息进行管理、保护和分配的指导或者指示。信息安全的方针定义应该包括:(1)信息安全的定义，定义的内容包括信息安全的总体目标、信息安全具体包括的范围以及信息安全对信息共享的重要性;(2)管理层的目的的相关阐述;(3)信息安全的原则和标准的简要说明，以及遵守这些原则和标准对企业的重要性;(4)信息安全管理的总体性责任的定义。在信息安全方针的部分只需要对企业的各个部门的安全职能给出概括性的定义，而具体的信息安全保护的责任细节将留至服务标准的部分来阐明。
3.2选择信息安全管理的标准
信息安全管理体系标准bs7799与信息安全管理标准is013335是目前通用的信息安全管理的标准:
(1)bs7799:bs7799标准是由英国标准协会指定的信息安全管理标准，是国际上具有代表性的信息安全管理体系标准，标准包括如下两部分:bs7799-1;1999《信息安全管理实施细则》;bs7799-2:1999((信息安全管理体系规范》。
(2)is013335:is013335《it安全管理方针》主要是给出如何有效地实施it安全管理的建议和指南。该标准目前分为5个部分，分别是信息技术安全的概念和模型部分;信息技术安全的管理和计划部分;信息技术安全的技术管理部分;防护和选择部分以及外部连接的防护部分。
3.3确定信息安全外包的流程
企业要根据企业的商业特性、地理位置、资产和技术来对信息安全外包的范围进行界定。界定的时候需要考虑如下两个方面:(1)需要保护的信息系统、资产、技术;(2)实物场所(地理位置、部门等)。信息安全的外包商应该根据企业的信息安全方针和所要求的安全程度，识别所有需要管理和控制的风险的内容。企业需要协同信息安全的外包商选择一个适合其安全要求的风险评估和风险管理方案，然后进行合乎规范的评估，识别目前面临的风险。企业可以定期的选择对服务外包商的站点和服务进行独立评估，或者在年度检查中进行评估。选择和使用的独立评估的方案要双方都要能够接受。在达成书面一致后，外包商授予企业独立评估方评估权限，并具体指出评估者不能泄露外包商或客户的任何敏感信息。给外包商提供关于检查范围的进一步消息和细节，以减少任何对可用性，服务程度，客户满意度等的影响。在评估执行后的一段特殊时间内，与外包商共享结果二互相讨论并决定是否需要解决方案和/或开发计划程序以应对由评估显示的任何变化。评估所需要的相关材料和文档在控制过程中都应该予以建立和保存，企业将这些文档作为评估的重要工具，对外包商的服务绩效进行考核。评估结束后，对事件解决方案和优先级的检查都将记录在相应的文件中，以便今后双方在服务和信息安全管理上进行改进。
3.4制定信息安全外包服务的控制规则
依照信息安全外包服务的控制规则，主要分为三部分内容:第一部分定义了服务规则的框架，主要阐明信息安全服务要如何执行，执行的通用标准和量度，服务外包商以及各方的任务和职责;第二部分是信息安全服务的相关要求，这个部分具体分为高层服务需求;服务可用性;服务体系结构;服务硬件和服务软件;服务度量;服务级别;报告要求，服务范围等方面的内容;第三部分是安全要求，包括安全策略、程序和规章制度;连续计划;可操作性和灾难恢复;物理安全;数据控制;鉴定和认证;访问控制;软件完整性;安全资产配置;备份;监控和审计;事故管理等内容。
3.5信息安全外包的企业结构管理具体的优化方案如下:
(1)首席安全官:cso是公司的高层安全执行者，他需要直接向高层执行者进行工作汇报，主要包括:首席执行官、首席运营官、首席财务官、主要管理部门的领导、首席法律顾问。cso需要监督和协调各项安全措施在公司的执行情况，并确定安全工作的标准和主动性，包括信息技术、人力资源、通信、法律、设备管理等部门。
(2)安全小组:安全小组的人员组成包括信息安全外包商的专业人员以及客户企业的内部it人员和信息安全专员。这个小组的任务主要是依照信息安全服务的外包商与企业签订的服务控制规则来进行信息安全的技术性服务。
(3)管理委员会:这是信息安全服务外包商和客户双方高层解决问题的机构。组成人员包括双方的首席执行官，客户企业的cio和cso，外包商的项目经理等相关的高层决策人员。这个委员会每年召开一次会议，负责审核年度的服务水平、企业的适应性、评估结果、关系变化等内容。
(4)咨询委员会:咨询委员会的会议主要解决计划性问题。如服务水平的变更，新的技术手段的应用，服务优先等级的更换以及服务的财政问题等，咨询委员会的成员包括企业内部的ti’人员和安全专员，还有财务部门、人力资源部门、业务部门的相关人员，以及外包商的具体项目的负责人。
(6)安全工作组:安全工作组的人员主要负责解决信息安全中某些特定的问题，工作组的人员组成也是来自服务外包商和企业双方。工作组与服务交换中心密切联系，将突出的问题组建成项目进行解决，并将无法解决的问题提交给咨询委员会。
(7)服务交换中心:服务交换中心由双方人员组成，其中主要人员是企业内部的各个业务部门中与信息安全相关的人员。他们负责联络各个业务部门，发掘出企业中潜在的信息安全的问题和漏洞，并将这些问题报告给安全工作组。
（8）指令问题管理小组:这个小组的人员组成全部为企业内部人员，包括信息安全专员以及各个业务部门的负责人。在安全小组的技术人员解决了企业中的安全性技术问题之后，或者，是当cso了关于信息安全的企业改进方案之后，这些解决方案都将传送给指令问题管理小组，这个小组的人员经过学习讨论后，继而将其到各个业务部门。
(9)监督委员会:这个委员会全部由企业内部人员组成。负责对外包商的服务过程的监督。
小企业信息安全篇10
摘要所谓中小企业的信息化管理指的是基于开放互通的互联网运算技术，把财务管理作为核心，并与业务管理与财务信息相联系，可以在网络环境下进行财务管理、以及远程记帐、报表等各种远程操作，最终使得企业能够进行动态会计核算与在线财务管理。中小企业财务管理信息化中存在的安全问题、电子商务的突起带来会计无纸化问题、人才缺乏的问题以及网络软件开发等诸多问题。应当从提高财务人员的整体素质、建立网上安全认证机构、从技术控制上构建安全保障体系等方面解决信息化管理存在的问题。
关键词中小企业财务管理信息化问题对策
随着电子计算机技术突飞猛进的发展和网络社会的到来，以及电子商务势如破竹的发展态势，以往财务管理的方式的劣势暴露的一览无余，对于中小企业来说，信息化管理可以有效解决这些问题。所谓信息化管理指的是基于开放互通的互联网运算技术，把财务管理作为核心，并与业务管理与财务信息相联系，可以在网络环境下进行财务管理、以及远程记帐、报表等各种远程操作，最终使得企业能够进行动态会计核算与在线财务管理。笔者根据自己的认识，对中小企业财务管理信息化发展的影响、问题和相关趋势做一些思考。
一、中小企业财务管理信息化存在的问题
中小企业财务管理信息化中存在的安全问题、电子商务的突起带来会计无纸化问题、人才缺乏的问题以及网络软件开发等诸多问题。
1．面临着安全问题
中小企业财务管理信息化存在的核心问题是安全问题，这主要表现在以下几个方面。一者，中小企业财务管理信息化会造成信息数据在具体输送中信息泄露以及信息的残缺不全等问题。中小企业财务管理信息化是在网络环境下进行财务管理以及远程记帐、报表等各种远程操作，因而，肯定会存在企业的核心商业机密、财务信息、电子材料遭受外来电脑的侵袭以及内部人士非法窃取以及恶意篡改，已经越来越呈现多样化的趋势，很难被财务人员。如若中小企业财务管理信息化系统的数据遭受外来窃取，很容易造成财务数据信息失真，最终影响财务信息的应用者的有效决策。二者，中小企业财务管理信息化可能产生的安全隐患，既有可能产生于中小企业财务管理信息化信息系统的软件设备，也有可能产生于中小企业财务管理信息化信息系统的硬件设备。其中，软件安全隐患包含财会管理者或系统设计者软件设计方面的缺陷和操作方面的失误，比如没有设置好特权访问权限、没有控制好机房环境等问题，如若软件系统的安全隐患遭受黑客恶意侵袭、电脑病毒侵入等问题，后果将不堪设想。除此之外，中小企业财务管理信息化的硬件设施自身的安全性能问题将直接关系到中小企业财务管理信息化系统的正常运作，最终使得中小企业财务管理信息化系统的数据处理失常或者数据信息的完整性得以破坏。因而，安全问题是中小企业财务管理信息化必须予以最先考虑的核心问题。
2．面临着会计无纸化问题
电子商务的突起带来会计无纸化问题主要包括以下几个方面。一者，财务数据原件无据可查。传统财务管理模式向中小企业财务管理信息化财务管理模式转变的过程中，原有的财务操作记录介质由纸张向磁盘或光盘方面转变，也就是说原有的会计原始凭证、记帐凭单以及会计报表全部向电子凭证、电子记帐凭单以及电子报表转变。其中面临的一个重要问题是，这么多电子数据如若遭受不法修改，将很难发现任何痕迹。二者，在法律层面上依然存在着能否将电子数据作为法律原件的问题，如若不能必将对推广电子商务造成重要影响。三者，财务数据的电子原件经认定之后，其电脑中会不会与最原始的数据协同一致。在中小企业财务管理信息化的具体运作中，财务数据不是在在纸张上进行记录，也无需让业务部门誊写后进行各自保管，而是通过电脑软件使得财务方面的电子数据自然而然的变成电子凭证、帐簿等数据。
3．面临着人才缺乏的问题
企业实施中小企业财务管理信息化后，财会人员的工作内容又发生了很大的变化。网络财务人员素质的高低，对中小企业财务管理信息化管理水平的高低有着十分重要的影响，最终进一步影响企业的可持续发展。在中小企业财务管理信息化的具体运作中，除了网络系统自身能否适合企业的发展需要之外，最主要的还是要取决于既懂计算机网络，又了解财会运作的高技术人才的加入。具体而言，中小企业财务管理信息化要求会计人员应当具备过硬的网络技术以及解决实际问题的各种能力。然而，目前为止，很多财务人员队伍的专业知识欠缺、水平较低，还不能符合中小企业财务管理信息化运行的要求。所以说，加大对会计人员队伍的培养力度，提升其综合素质，是摆在中小企业财务管理信息化发展面前的一大难题。
4．网络财务软件的开发问题
网络财务软件的开发问题包含以下几个方面。其一，中小企业财务管理信息化中的财务软件与传统人工会计核算型财务软件有着很大不同，中小企业财务管理信息化中的财务软件主要属于管理和决策型网络财务系统软件，十分不容易开发，首先，中小企业财务管理信息化中的财务软件应当在网络环境下全面应用（包含具有动态核算、电子商务、网络化管理等功能）；其次，财务软件必须与国家财会制度以及国际会计准则相符合，必须通过共享各种数据信息的最大限度化，把财务、管理、决策系统有机统一起来，努力做到会计与各种业务的有机统一。二者，在实施中不同行业、规模企业管理决策方式不尽相同，对系统提出的具体要求不同，这给财务系统的开发带来多样性，增加开发难度。这是中小企业财务管理信息化需考虑的软件问题。
二、相关对策建议
解决中小企业财务管理信息化存在的问题，要从构建安全保障的技术体系、建立网上安全认证机构、提高财务人员的整体素质以及加强网络财务软件的开发应用等方面做起。
1．构建安全保障的技术体系
构建安全保障的技术体系是解决中小企业财务管理信息化存在问题诸多对策的一个重要方面。维护中小企业财务管理信息化系统始终处于安全状态的关键在于要对诸如通讯平台的整个中小企业财务管理信息化系统的中每一个层面进行严格地安全防范，并且要制定严格地安全防护规则，从而在技术层面上构建安全保障的技术体系。鉴于中小企业财务管理信息化的信息数据经常被窃取或修改等问题，可以采取防火墙技术、数字签名技术以及密钥技术对窃取或修改等问题进行防护，构建中小企业财务管理信息化防护的嘴坚固的城墙。防火墙等三大技术的确立对于网络安全问题的解决是一次根本性的突破，通过这三大技术的应用，可以从全面防御外部病毒、木马等的侵袭和进攻。
2．加快网上安全认证机构建立的进程
在中小企业财务管理信息化的建立过程中，加快网上安全认证机构建立的进程十分必要。处理财务信息应当通过填制各种凭证、登记账簿等相关过程。在以往的会计核算过程中，基本数据以及记账凭证必须由人工进行收集，然后将其输入原始凭证之中。中小企业财务管理信息化系统，利用网络技术，把原本由人工完成的数据收集、记账等功能进行替换，从而完成对整个企业财务数据的归纳、组合以及预测。交易双方的会计人员根据原始凭证入帐，如果有会计人员怀疑原始凭证的真实性，可以依据网上安全认证机构进行查验，最终对中小企业财务管理信息化无纸化问题进行有效解决。另外，由于电子商务在我国依然处在初始阶段，随着我国经济发展水平的提高以及全球经济一体化进程的加快，我国的贸易渐渐与国际接轨，全新的电子贸易将取代传统贸易手段，所以，主管部门一定要及时制定我国电子贸易的相关法律法规，促进电子商务发展。
3．提高财务人员的整体素质
构建安全保障的技术体系、加快网上安全认证机构建立的进程都只是技术层面的推进策略。若想从根本上实现中小企业财务管理信息化运行质的变化，从根本上讲，必须提高财务人员的整体素质。在中小企业财务管理信息化过程中，企业财务人员素质的高低，对中小企业财务管理信息化的管理水平的高低有着十分重要的影响。因此，企业的领导者一定要重视加强财务人员的素质建设。在具体的财务管理过程中，企业领导要大力聘请熟悉中小企业财务管理信息化的的专业财务人员，以不断推进该企业的网络财务管理工作。不仅如此，还要加强对本企业财务管理人员的培训力度。作为企业的领导者首先要不断加强学习和研究，大力提高自身的财务知识水平。财务管理人员也应加强对相关中小企业财务管理信息化方面的专业知识的学习，树立遵纪守法的理财观念。要意识到自身素质的提高对财务管理产生的重要影响。除此之外，应当增强财务管理人员的法制意识，提高其思想政治素质，使会计真正成为高素质的网络财务管理人员。
4．增强对网络财务软件的应用力度
除了构建安全保障的技术体系、建立网上安全认证机构、提高财务人员的整体素质之外，解决中小企业财务管理信息化存在问题还要增强对网络财务软件的应用力度。企业在开发应用网络财务软件的过程中有必要一切本单位本部门的实际出发，从中小企业财务管理信息化发展的长远出发，以科学严谨的态度进行系统设计。这主要包括如下几个方面：其一，企业应当依据本身业务实际，把财务部门作为系统设计的关键，在此基础之上把企业会计和业务管理进行有机统一，并对其进行严格的目标定位，制定好具体要求。二者，对网络财务软件进行合理开发。在中小企业财务管理信息化的开发过程中除了从财务角度出发之外，还要根据整个系统的要求进行统一设计规划，从管理的角度对网络财务软件进行有效选择和开发。三者，设计并实施好具体方案。在此过程中应当步步为营、逐渐推进，中小企业由于密级不高，能够采用租借网络财务软件的方式，有效降低财务成本，提高管理者决策效率；大点的企业应当全力研发出自己的网络财务软件，可以采用整体统筹以及逐步推进的方法建立好中小企业财务管理信息化信息系统，从而通过信息技术互享各种财务信息，最终为企业的长远发展提供决策方面的信息。
在我国的经济发展过程中，中小企业财务管理信息化能够将企业各机构、运作过程中收入、成本、预算等各种资料以网络技术为载体进行统一操作，并通过对企业进行预测、分析、管理和控制实现企业财务管理的网络化。这将极大地缩小了会计人员的工作内容，减少了工作量，降低了企业的成本，也极大地节省了时间，提高了企业的工作效率，对企业极其管理人员来说是一次史无前例的解放。可以说，中小企业财务管理信息化的运行，是我国企业管理历史上的一次质的变化，它将带来企业管理的巨大变革。相信不久的未来，中小企业财务管理信息化将伴随我国经济腾飞的进程和电子商务的发展而逐渐成为从企业财务管理的常态。
参考文献：
[1]赵建.浅析中小企业财务管理信息化信息系统的内部控制.经济研究导刊.2010(1):22-23.
[2]石晓婷.中小企业财务管理信息化的发展及其相关问题研究.企业研究.2011(2):10-11.