更开放   更紧密  更具影响力
《民航管理》杂志社旗下网站

搭建起民航信息安全的平台

2011-3-7 15:44:50 《民航管理》2010年第3期 陈雷 杨萍 阅读:

        金融、电信和民航一向被认为是我国信息化程度最高的三大行业,也是信息化手段更新最快、对信息技术依赖性最强的行业。信息安全和民航飞行安全、空防安全、地面安全一样可以说是关系到民航发展的大事,而一个稳定的网络架构、一个安全的信息化平台则是民航信息化能否成功的关键因素。民航信息化从七五开始起步,经过八五、九五的重点建设,到《中国民航信息化十五计划和2010年远景规划》的颁布实施,民航信息化得到飞速发展,民航企业越来越依赖网络开展业务交易、进行内部资源共享和日常沟通。

        民航网络与信息安全是保障民航业安全稳健发展的现实需要。民航是国家信息安全保障工作重点行业,民航信息安全工作已经成为国家信息安全工作的重要组成部分。在民航领域,一旦信息系统被攻击、无线电通信系统受到干扰、重要专机信息被泄密、出现各种系统故障等,都会使飞行安全受到严重威胁,轻者会造成航班正常运作中断,重者会危及飞行安全甚至国家安全。因此应该站在全行业信息安全的战略高度,通过建立信息安全平台,实施严格的信息安全监管,才能确保行业信息安全和稳定,为民航业发展保驾护航。

        民航信息安全的现状及存在的问题

        我们看到,虽然这些年我国民航的信息化建设有了很大发展,但信息安全在国内航空的安全体系建设过程中所受到的重视程度往往不够,投资所占的比例明显偏低,网络和信息系统缺乏必要的安全防范手段等。安全是民航运输业的重中之重,但是由于信息安全保障不足,曾出现民航部分机场相继发生离港系统故障,故障造成航班延误,旅客滞留机场,干扰了民航的正常生产秩序,社会影响较大。离港系统故障事件,反映出相关单位在网络与信息安全日常管理上存在缺陷,技术保障上存在漏洞,应急措施上存在不足,同时也凸显了民航网络与信息安全监管的极端重要性。

        随着旅客订座、货运系统和全球分销系统、离港系统的逐步建成,空管航空公司和机场信息系统建设的全面展开以及民航管理信息系统的建成使用,存储在网络上的关键数据也开始暴露给外界,成为恶意攻击的目标。特别是在首都机场离港系统瘫痪等事件发生后,民航业内更是加强了对信息化的安全管理工作,民航信息化安全越来越成为一个不容忽视的课题。但是与国外企业相比,我国的民航企业无论是在网络安全意识还是在网络安全防护技术等诸多方面都还存在不小的差距。根据赛门铁克公司发布的互联网安全威胁报告,民航业和电信、金融行业一同成为面临安全风险最高的几个行业,民航信息化安全面临着严峻的挑战和威胁,比如病毒的侵害、黑客入侵、信息的外泄、内部人员水平、安全意识欠缺等。由此可见,实现民航信息化的安全是民航信息化能否正常健康发展的关键,就目前情况而言,民航企业在信息网络安全方面还处在一个相当薄弱的环节,因此建立一个有效的信息安全体系已经成为民航信息化建设的当务之急。

        民航信息安全平台的建立

        (一)加强信息安全管理制度

        安全的最高境界不是产品,也不是服务,而是管理。民航信息安全工作,必须实行正确、有效的方针和措施,重点要做到责任到位、组织到位、措施到位。民航信息安全工作总体上应实行“谁主管谁负责,谁运营谁负责”的原则。各企业集团对所属生产和运营单位信息安全工作承担管理责任;生产和运营单位作为信息安全工作的责任主体,直接负责信息安全的各项保障工作,承担直接领导责任;在组织上,成立安全协调小组作为全行业信息安全工作最高指挥机构,负责领导全行业信息安全工作。各生产和运营单位作为信息安全工作的责任主体,要确定主管领导,落实责任部门,设立信息安全岗位,逐级建立信息安全责任制。

        另外应成立以主管领导、网络管理员、安全操作员、安全专家等人员组成的多级安全管理体系,主管领导负责安全体系的建设和实施以及部门间协调工作,网络管理员负责指定安全策略和组织技术实施,安全操作员负责安全措施的具体实施,安全专家参与重大安全问题决策和紧急情况下安全问题处理。

        在措施上,要严格管理制度,确保资金保障,完善应急预案,加强监督检查。信息安全保障是一项长期而艰巨的任务,必须采取有效措施,逐步建立长效保障机制。

        (二)控制信息安全风险,加大资金投入

        信息安全主要目的是为了网络系统的硬件、软件以及系统中的数据受到保护,不会因偶然或恶意的侵害而遭到破坏、更改、泄露,从而保证系统能够连续、可靠、正常地运行,网络的各种服务不中断。随着网络的规模和复杂程度越来越高,各种病毒和间谍程序大肆泛滥,网络阻塞、传输中断、数据丢失、甚至系统瘫痪的现象时有发生,严重威胁着信息网络的安全。

        网络的攻击和防范实际上是“矛”和“盾”的关系,其发展没有尽头。当前我们认为还算安全的系统,不久之后就可能发现其不够安全,因为发现了新的漏洞,黑客研究出了新的攻击技术,或者病毒制造者设计出了新的病毒程序,甚至仅仅是由于我们对系统进行了重新配置,从而带来了新的安全威胁等等。在这种情况下,虽然我们不可能实现“系统永不停机、数据永不丢失、网络永不瘫痪、信息永不泄密”的所谓绝对安全,但是我们完全可以通过不断地更新完善技术手段将安全风险控制在合理程度或允许的范围内。因此,应加大对信息安全的资金投入,包括网络安全基础设施的建设、设备的更新、软件的升级、人员的培训等。新建的信息系统中,信息安全建设资金比例原则上不能低于系统建设总投入的10%.

        (三)建立信息安全监控体系,加强应急预案的制定和演练

        保证民航信息化安全重要的部分是建立民航信息安全监控体系,包括:操作系统安全策略的维护和检查,系统和数据的备份,防火墙路由器等的安全检查,审计分析网络安全事件日志,设备和系统的日常维护等。

        另外针对不同的信息安全危机种类、针对各个等级拟出具体可行的处理办法,建设一套可操作的危机预报、预案、处理、总结等机制,并规划好发生特定信息安全事故时企业应该采取的解决方法。在信息安全危机发生的时候,迅速组成信息安全危机处理小组,依据信息安全危机管理预案和信息安全危机管理手册的步骤,进行相关的危机处理任务,避免危机事件的不当处置引发其他危机的连锁反应。

        (四)加大信息安全培训力度,提高专业人员技术水平

        应大力搞好技术开发和人才培养,尤其是要重视信息安全人才的培养,定期组织对信息安全管理和系统维护人员的安全理论和技能的专业培训,使他们能及时掌握最新的网络安全防范技术。民航院校要从信息安全建设和管理对信息安全人才的实际需求出发,吸引并用好高素质的信息安全技术和管理人才,加强信息安全学科和专业建设。目前,民航院校的短班培训主要还是针对行业内的技能及规章的培训,而信息安全的培训力度还远远不够。

        在信息安全的环节中,人是最重要的也是最薄弱的环节,实际上,数据安全已成为了企业和行业用户所关注的热点。有权威调查机构在欧洲3个发达国家的调查中发现,几乎所有的企业都存在数据泄露的问题,几乎所有的企业在两年内至少有过一次数据泄露的经历。究其原因,由企业内部员工的疏忽和故意行为所造成的泄露占所有数据泄露原因的50%以上。因此,网络管理员应当对企业内部数据安全给予更多的重视,同时还要在民航业内加强信息安全的教育和培训,不断提高员工的信息安全意识,减少企业自身错误导致信息安全危机发生的机率。

        信息化水平是衡量一个国家和地区综合实力、经济成长力和现代化程度的重要标志,全球信息化正在引发当今世界的深刻变革。信息化也是民航快速发展的推进器,加快信息化发展同样是世界各国民航的共同选择。而如何保证民航的信息安全,则是一个整体的问题,需要从管理与技术相结合的高度,制定与时俱进的整体安全管理策略,信息安全将不再仅仅是一项IT技术问题,而将被赋予集成协作、管理策略等更丰富的内涵。

        我国民航由大变强必须适应国际民航发展大的趋势,积极参与国际市场竞争,并在竞争中能够取得优势地位。而信息化是竞争国际市场的关键和保障。因此通过建立完善的民航信息安全管理体制,并切实认真地实施这些策略,保证生产、经营信息的安全,保证民航信息的保密性、完整性和可用性,避免信息系统的许多漏洞,避免未授权访问和滥用,从而达到提高民航信息系统安全性的目的。只有信息化程度高度发达,同时信息安全水平不断提升,才能真正保证我国民航业能够持续、稳定、健康地发展。

相关新闻:
最新期刊: