淺探營銷業(yè)務(wù)應(yīng)用系統(tǒng)的安全風險
時間：
若木1由 分享
摘要：電力營銷作為國家電網(wǎng)公司的核心業(yè)務(wù)，是提高國家電網(wǎng)公司經(jīng)濟效益的關(guān)鍵環(huán)節(jié)，具有基礎(chǔ)性和先導(dǎo)性的重要作用。但任何一個應(yīng)用系統(tǒng)無論其安全控制功能多么完善，運行環(huán)境多么安全，都存在著安全風險。但是，每一個系統(tǒng)的安全，風險的大小又由于系統(tǒng)控制功能和運行環(huán)境的不同而不同。
關(guān)鍵詞：系統(tǒng)；安全；防范策略
電力營銷作為國家電網(wǎng)公司的核心業(yè)務(wù)，是提高國家電網(wǎng)公司經(jīng)濟效益的關(guān)鍵環(huán)節(jié)，具有基礎(chǔ)性和先導(dǎo)性的重要作用。國網(wǎng)營銷業(yè)務(wù)應(yīng)用系統(tǒng)既體現(xiàn)營銷業(yè)務(wù)及管理決策的自身整體性，又是構(gòu)成國網(wǎng)“SG186”中八大應(yīng)用的有機組成部分。系統(tǒng)設(shè)計滿足國網(wǎng)公司統(tǒng)一的技術(shù)要求，即：總體設(shè)計思想應(yīng)嚴格遵循SOA架構(gòu)體系；要真正按照“以客戶為中心”的主導(dǎo)思想，按照國際同行業(yè)先進的CRM思想體系，數(shù)據(jù)、業(yè)務(wù)、管理按照最小顆粒度進行，既能滿足業(yè)務(wù)精細化管理要求，對客戶、受電點、設(shè)備等各類信息既可相互獨立識別管理，又能實現(xiàn)營銷業(yè)務(wù)應(yīng)用層次多、功能復(fù)雜、規(guī)模大、重要性高和變化快等要求。但任何一個應(yīng)用系統(tǒng)無論其安全控制功能多么完善，運行環(huán)境多么安全，都存在著安全風險。但是，每一個系統(tǒng)的安全，風險的大小又由于系統(tǒng)控制功能和運行環(huán)境的不同而不同，所以，如何提高系統(tǒng)的安全程度，降低安全風險成了系統(tǒng)設(shè)計者和系統(tǒng)用戶都必須關(guān)心和考慮的問題。
1 國網(wǎng)營銷業(yè)務(wù)應(yīng)用系統(tǒng)安全風險的形式
國網(wǎng)營銷業(yè)務(wù)應(yīng)用系統(tǒng)的安全是指系統(tǒng)保持正常穩(wěn)定運行狀態(tài)的能力。國網(wǎng)營銷業(yè)務(wù)應(yīng)用系統(tǒng)的安全風險是指由于人為的或非人為的因素使得國網(wǎng)營銷業(yè)務(wù)應(yīng)用系統(tǒng)保護安全的能力減弱，從而造成系統(tǒng)的硬件、軟件無法正常運行等結(jié)果發(fā)生的可能性。保護系統(tǒng)的安全就是保護系統(tǒng)免遭破壞或遭到損害后系統(tǒng)能夠較容易再生、國網(wǎng)營銷業(yè)務(wù)應(yīng)用系統(tǒng)的安全風險主要表現(xiàn)在幾方面：
①營銷數(shù)據(jù)失真。營銷數(shù)據(jù)的真實、完整、準確是營銷業(yè)務(wù)正常開展的基本要求，一旦國網(wǎng)營銷業(yè)務(wù)應(yīng)用系統(tǒng)的安全受到侵害，最直接的影響就是營銷數(shù)據(jù)錯誤、數(shù)據(jù)丟失或被篡改使營銷數(shù)據(jù)失真，從而不同程序地影響營銷數(shù)據(jù)使用者進行有關(guān)決策。②營銷數(shù)據(jù)泄露。信息技術(shù)高速發(fā)展的今天，營銷數(shù)據(jù)在企業(yè)的經(jīng)營管理中變得尤為重要。③系統(tǒng)無法正常運行。
2 影響國網(wǎng)營銷業(yè)務(wù)應(yīng)用系統(tǒng)安全風險的因素
影響國網(wǎng)營銷業(yè)務(wù)應(yīng)用系統(tǒng)安全風險的因素可以從硬件系統(tǒng)、軟件系統(tǒng)、營銷數(shù)據(jù)三個方面考慮。
2.1 影響硬件系統(tǒng)安全的因素：①不正確的操作。②人為的有意破壞。③不可預(yù)測的災(zāi)害。
2.2 軟件系統(tǒng)的不安全因素：①操作人員的有意破壞。②計算機病毒。③網(wǎng)絡(luò)黑客。黑客是指非授權(quán)侵入網(wǎng)絡(luò)的用戶或程序。
2.3營銷數(shù)據(jù)的不安全因素：①操作人員篡改程序和數(shù)據(jù)文件。②有權(quán)和無權(quán)用戶的非法操作。③竊取或篡改營銷數(shù)據(jù)等。
3 國網(wǎng)營銷業(yè)務(wù)應(yīng)用系統(tǒng)安全風險的防范策略
3.1 在軟件功能上施加必要的控制措施來保護營銷數(shù)據(jù)的安全
①增加必要的保護功能在突然斷電、程序運行中用戶的突然干擾等偶發(fā)事故。②對輸入系統(tǒng)的數(shù)據(jù)、代碼等都要進行檢驗，對于不符合要求的數(shù)據(jù)系統(tǒng)不予通過。③增加必要的限制功能。
3.2建立必要的管理制度
（1）實行用戶權(quán)限分級授權(quán)管理，建立起網(wǎng)絡(luò)環(huán)境下營銷業(yè)務(wù)應(yīng)用系統(tǒng)的崗位責任制。按照業(yè)務(wù)的需求設(shè)定上機操作崗位，明確崗位職責和權(quán)限，并通過為每個用戶進行系統(tǒng)功能的授權(quán)落實其責任和權(quán)限。
（2）建立嚴格的內(nèi)部牽制制度對系統(tǒng)的所有崗位要職責范圍清楚、同時做到不相容職務(wù)的分離，各崗位之間要有一定的內(nèi)部牽制作保障。
（3）建立必要的上機操作控制和系統(tǒng)運行記錄控制。
①建立嚴格的硬件操作規(guī)程。
②制定操作員訪問系統(tǒng)的標準操作規(guī)程、明確規(guī)定各個操作員進人系統(tǒng)后執(zhí)行程序的順序、各硬件設(shè)備的使用要求、數(shù)據(jù)文件和程序文件的使用要求以及處理系統(tǒng)偶發(fā)事故的操作要求，如設(shè)備突然斷電的處理、設(shè)備的重新啟動要求等、同時要制定數(shù)據(jù)文件的處置標準，對數(shù)據(jù)文件的名稱、保留時間、存放地點、文件重建等事項做出規(guī)定，以便統(tǒng)一管理。
③通過設(shè)置軟件功能、利用系統(tǒng)提供的功能或人工控制記錄等措施對各用戶操作系統(tǒng)的所有活動予以記錄，并定期由系統(tǒng)主管進行監(jiān)察和檢驗及時了解非法用戶和有權(quán)用戶越權(quán)使用系統(tǒng)的情況。
（4）建立嚴格的硬件管理制度和損害補救措施，比如主服務(wù)器突然出錯時，由備用的服務(wù)器接替繼續(xù)工作。建立健全設(shè)備管理制度，確保硬件設(shè)備的運行環(huán)境、電源、溫度、濕度、靜電、塵土、電磁干擾、輻射等，例如計算機系統(tǒng)要求配置穩(wěn)壓電源，不間斷電源（UPS），有時還需要配置備份電源，以便在長時間斷電的情況下啟用備份電源來保證設(shè)備的正常運行。其次，各系統(tǒng)操作人員應(yīng)分清責任，各自管理和使用自己職責范圍內(nèi)的硬件設(shè)備，不得越權(quán)使用、禁止非計算機操作人員使用計算機系統(tǒng)，以免不當?shù)牟僮鲹p壞硬件設(shè)備。多個用戶使用同一臺設(shè)備的，要進行嚴格的登記，并記錄運行情況。
（5）建立嚴格的檔案管理制度首先，系統(tǒng)投人使用之后，原系統(tǒng)的所有程序文件、軟、硬件技術(shù)資料應(yīng)作為檔案進行保管，并應(yīng)由專人負責，同時嚴格限制無權(quán)用戶、有權(quán)用戶非正常時間等對程序的不正常接觸；在檔案調(diào)用時也必須經(jīng)系統(tǒng)主管和程序保管共同批準，并對使用人、程序名稱、調(diào)出時間、使用原因和目的以及歸還時間等進行詳細的登記，以便曰后核查。
（6）建立預(yù)防病毒的安全措施。
（7）建立對黑客的防護措施。
①設(shè)置防火墻，使用入侵檢測軟件。入侵檢測軟件可以檢測非法入侵的黑客，并將它拒之內(nèi)部網(wǎng)絡(luò)之外。
②抓好網(wǎng)內(nèi)主機的管理。用戶名和密碼管理永遠是系統(tǒng)安全管理中最重要的環(huán)節(jié)之一，對網(wǎng)絡(luò)的任何攻擊，都不可能沒有合法的用戶名和密碼。但目前絕大部分系統(tǒng)管理員只注重對特權(quán)用戶的管理，而忽視對普通用戶的管理。主要表現(xiàn)在設(shè)置用戶時圖省事方便，胡亂設(shè)置用戶的權(quán)限、組別和文件權(quán)限，為非法用戶竊取信息和破壞系統(tǒng)留下了空隙。
③設(shè)置好的網(wǎng)絡(luò)環(huán)境。網(wǎng)上訪問的常用工具有網(wǎng)絡(luò)操作命令，對它們的使用必須加以限制，對系統(tǒng)的各種插件、組件、服務(wù)等資源通過一定的分析。
④加強對重要資料的保密。重要資料主要包括路由器、連接調(diào)制解調(diào)器的電腦號碼及所用的通信軟件的種類、網(wǎng)內(nèi)的用戶名等，這些資料都應(yīng)采取一些保密措施，防止隨意擴散。
⑤加強對重要網(wǎng)絡(luò)設(shè)備的管理。路由器在網(wǎng)絡(luò)安全計劃中是很重要的一環(huán)、現(xiàn)在大多數(shù)路由器已具備防火墻的一些功能，如禁止telnet的訪問、禁止非法的網(wǎng)段訪問等。通過網(wǎng)絡(luò)路由器進行正確的存取過濾是限制外部訪問簡單而有效的手段。
安全風險是國網(wǎng)營銷業(yè)務(wù)應(yīng)用系統(tǒng)能否正常運行的重要因素，除了上述種種措施之外，還必須提高企業(yè)領(lǐng)導(dǎo)對信息系統(tǒng)安全風險的認識，提高系統(tǒng)使用人員的業(yè)務(wù)素質(zhì)和思想修養(yǎng)，使其能夠自覺遵守各種規(guī)章制度和操作規(guī)程，減少實際工作中的差錯、提高系統(tǒng)安全意識和保護系統(tǒng)安全的自覺性，培養(yǎng)知識結(jié)構(gòu)全面的網(wǎng)絡(luò)系統(tǒng)管理人員，不僅精通網(wǎng)絡(luò)系統(tǒng)技術(shù)，還能夠站在更高的視角上觀察問題，思考問題，及時發(fā)現(xiàn)系統(tǒng)的安全風險隱患并及時排除，這對減少系統(tǒng)安全風險是至關(guān)重要的。
關(guān)鍵詞：系統(tǒng)；安全；防范策略
電力營銷作為國家電網(wǎng)公司的核心業(yè)務(wù)，是提高國家電網(wǎng)公司經(jīng)濟效益的關(guān)鍵環(huán)節(jié)，具有基礎(chǔ)性和先導(dǎo)性的重要作用。國網(wǎng)營銷業(yè)務(wù)應(yīng)用系統(tǒng)既體現(xiàn)營銷業(yè)務(wù)及管理決策的自身整體性，又是構(gòu)成國網(wǎng)“SG186”中八大應(yīng)用的有機組成部分。系統(tǒng)設(shè)計滿足國網(wǎng)公司統(tǒng)一的技術(shù)要求，即：總體設(shè)計思想應(yīng)嚴格遵循SOA架構(gòu)體系；要真正按照“以客戶為中心”的主導(dǎo)思想，按照國際同行業(yè)先進的CRM思想體系，數(shù)據(jù)、業(yè)務(wù)、管理按照最小顆粒度進行，既能滿足業(yè)務(wù)精細化管理要求，對客戶、受電點、設(shè)備等各類信息既可相互獨立識別管理，又能實現(xiàn)營銷業(yè)務(wù)應(yīng)用層次多、功能復(fù)雜、規(guī)模大、重要性高和變化快等要求。但任何一個應(yīng)用系統(tǒng)無論其安全控制功能多么完善，運行環(huán)境多么安全，都存在著安全風險。但是，每一個系統(tǒng)的安全，風險的大小又由于系統(tǒng)控制功能和運行環(huán)境的不同而不同，所以，如何提高系統(tǒng)的安全程度，降低安全風險成了系統(tǒng)設(shè)計者和系統(tǒng)用戶都必須關(guān)心和考慮的問題。
1 國網(wǎng)營銷業(yè)務(wù)應(yīng)用系統(tǒng)安全風險的形式
國網(wǎng)營銷業(yè)務(wù)應(yīng)用系統(tǒng)的安全是指系統(tǒng)保持正常穩(wěn)定運行狀態(tài)的能力。國網(wǎng)營銷業(yè)務(wù)應(yīng)用系統(tǒng)的安全風險是指由于人為的或非人為的因素使得國網(wǎng)營銷業(yè)務(wù)應(yīng)用系統(tǒng)保護安全的能力減弱，從而造成系統(tǒng)的硬件、軟件無法正常運行等結(jié)果發(fā)生的可能性。保護系統(tǒng)的安全就是保護系統(tǒng)免遭破壞或遭到損害后系統(tǒng)能夠較容易再生、國網(wǎng)營銷業(yè)務(wù)應(yīng)用系統(tǒng)的安全風險主要表現(xiàn)在幾方面：
①營銷數(shù)據(jù)失真。營銷數(shù)據(jù)的真實、完整、準確是營銷業(yè)務(wù)正常開展的基本要求，一旦國網(wǎng)營銷業(yè)務(wù)應(yīng)用系統(tǒng)的安全受到侵害，最直接的影響就是營銷數(shù)據(jù)錯誤、數(shù)據(jù)丟失或被篡改使營銷數(shù)據(jù)失真，從而不同程序地影響營銷數(shù)據(jù)使用者進行有關(guān)決策。②營銷數(shù)據(jù)泄露。信息技術(shù)高速發(fā)展的今天，營銷數(shù)據(jù)在企業(yè)的經(jīng)營管理中變得尤為重要。③系統(tǒng)無法正常運行。
2 影響國網(wǎng)營銷業(yè)務(wù)應(yīng)用系統(tǒng)安全風險的因素
影響國網(wǎng)營銷業(yè)務(wù)應(yīng)用系統(tǒng)安全風險的因素可以從硬件系統(tǒng)、軟件系統(tǒng)、營銷數(shù)據(jù)三個方面考慮。
2.1 影響硬件系統(tǒng)安全的因素：①不正確的操作。②人為的有意破壞。③不可預(yù)測的災(zāi)害。
2.2 軟件系統(tǒng)的不安全因素：①操作人員的有意破壞。②計算機病毒。③網(wǎng)絡(luò)黑客。黑客是指非授權(quán)侵入網(wǎng)絡(luò)的用戶或程序。
2.3營銷數(shù)據(jù)的不安全因素：①操作人員篡改程序和數(shù)據(jù)文件。②有權(quán)和無權(quán)用戶的非法操作。③竊取或篡改營銷數(shù)據(jù)等。
3 國網(wǎng)營銷業(yè)務(wù)應(yīng)用系統(tǒng)安全風險的防范策略
3.1 在軟件功能上施加必要的控制措施來保護營銷數(shù)據(jù)的安全
①增加必要的保護功能在突然斷電、程序運行中用戶的突然干擾等偶發(fā)事故。②對輸入系統(tǒng)的數(shù)據(jù)、代碼等都要進行檢驗，對于不符合要求的數(shù)據(jù)系統(tǒng)不予通過。③增加必要的限制功能。
3.2建立必要的管理制度
（1）實行用戶權(quán)限分級授權(quán)管理，建立起網(wǎng)絡(luò)環(huán)境下營銷業(yè)務(wù)應(yīng)用系統(tǒng)的崗位責任制。按照業(yè)務(wù)的需求設(shè)定上機操作崗位，明確崗位職責和權(quán)限，并通過為每個用戶進行系統(tǒng)功能的授權(quán)落實其責任和權(quán)限。
（2）建立嚴格的內(nèi)部牽制制度對系統(tǒng)的所有崗位要職責范圍清楚、同時做到不相容職務(wù)的分離，各崗位之間要有一定的內(nèi)部牽制作保障。
（3）建立必要的上機操作控制和系統(tǒng)運行記錄控制。
①建立嚴格的硬件操作規(guī)程。
②制定操作員訪問系統(tǒng)的標準操作規(guī)程、明確規(guī)定各個操作員進人系統(tǒng)后執(zhí)行程序的順序、各硬件設(shè)備的使用要求、數(shù)據(jù)文件和程序文件的使用要求以及處理系統(tǒng)偶發(fā)事故的操作要求，如設(shè)備突然斷電的處理、設(shè)備的重新啟動要求等、同時要制定數(shù)據(jù)文件的處置標準，對數(shù)據(jù)文件的名稱、保留時間、存放地點、文件重建等事項做出規(guī)定，以便統(tǒng)一管理。
③通過設(shè)置軟件功能、利用系統(tǒng)提供的功能或人工控制記錄等措施對各用戶操作系統(tǒng)的所有活動予以記錄，并定期由系統(tǒng)主管進行監(jiān)察和檢驗及時了解非法用戶和有權(quán)用戶越權(quán)使用系統(tǒng)的情況。
（4）建立嚴格的硬件管理制度和損害補救措施，比如主服務(wù)器突然出錯時，由備用的服務(wù)器接替繼續(xù)工作。建立健全設(shè)備管理制度，確保硬件設(shè)備的運行環(huán)境、電源、溫度、濕度、靜電、塵土、電磁干擾、輻射等，例如計算機系統(tǒng)要求配置穩(wěn)壓電源，不間斷電源（UPS），有時還需要配置備份電源，以便在長時間斷電的情況下啟用備份電源來保證設(shè)備的正常運行。其次，各系統(tǒng)操作人員應(yīng)分清責任，各自管理和使用自己職責范圍內(nèi)的硬件設(shè)備，不得越權(quán)使用、禁止非計算機操作人員使用計算機系統(tǒng)，以免不當?shù)牟僮鲹p壞硬件設(shè)備。多個用戶使用同一臺設(shè)備的，要進行嚴格的登記，并記錄運行情況。
（5）建立嚴格的檔案管理制度首先，系統(tǒng)投人使用之后，原系統(tǒng)的所有程序文件、軟、硬件技術(shù)資料應(yīng)作為檔案進行保管，并應(yīng)由專人負責，同時嚴格限制無權(quán)用戶、有權(quán)用戶非正常時間等對程序的不正常接觸；在檔案調(diào)用時也必須經(jīng)系統(tǒng)主管和程序保管共同批準，并對使用人、程序名稱、調(diào)出時間、使用原因和目的以及歸還時間等進行詳細的登記，以便曰后核查。
（6）建立預(yù)防病毒的安全措施。
（7）建立對黑客的防護措施。
①設(shè)置防火墻，使用入侵檢測軟件。入侵檢測軟件可以檢測非法入侵的黑客，并將它拒之內(nèi)部網(wǎng)絡(luò)之外。
②抓好網(wǎng)內(nèi)主機的管理。用戶名和密碼管理永遠是系統(tǒng)安全管理中最重要的環(huán)節(jié)之一，對網(wǎng)絡(luò)的任何攻擊，都不可能沒有合法的用戶名和密碼。但目前絕大部分系統(tǒng)管理員只注重對特權(quán)用戶的管理，而忽視對普通用戶的管理。主要表現(xiàn)在設(shè)置用戶時圖省事方便，胡亂設(shè)置用戶的權(quán)限、組別和文件權(quán)限，為非法用戶竊取信息和破壞系統(tǒng)留下了空隙。
③設(shè)置好的網(wǎng)絡(luò)環(huán)境。網(wǎng)上訪問的常用工具有網(wǎng)絡(luò)操作命令，對它們的使用必須加以限制，對系統(tǒng)的各種插件、組件、服務(wù)等資源通過一定的分析。
④加強對重要資料的保密。重要資料主要包括路由器、連接調(diào)制解調(diào)器的電腦號碼及所用的通信軟件的種類、網(wǎng)內(nèi)的用戶名等，這些資料都應(yīng)采取一些保密措施，防止隨意擴散。
⑤加強對重要網(wǎng)絡(luò)設(shè)備的管理。路由器在網(wǎng)絡(luò)安全計劃中是很重要的一環(huán)、現(xiàn)在大多數(shù)路由器已具備防火墻的一些功能，如禁止telnet的訪問、禁止非法的網(wǎng)段訪問等。通過網(wǎng)絡(luò)路由器進行正確的存取過濾是限制外部訪問簡單而有效的手段。
安全風險是國網(wǎng)營銷業(yè)務(wù)應(yīng)用系統(tǒng)能否正常運行的重要因素，除了上述種種措施之外，還必須提高企業(yè)領(lǐng)導(dǎo)對信息系統(tǒng)安全風險的認識，提高系統(tǒng)使用人員的業(yè)務(wù)素質(zhì)和思想修養(yǎng)，使其能夠自覺遵守各種規(guī)章制度和操作規(guī)程，減少實際工作中的差錯、提高系統(tǒng)安全意識和保護系統(tǒng)安全的自覺性，培養(yǎng)知識結(jié)構(gòu)全面的網(wǎng)絡(luò)系統(tǒng)管理人員，不僅精通網(wǎng)絡(luò)系統(tǒng)技術(shù)，還能夠站在更高的視角上觀察問題，思考問題，及時發(fā)現(xiàn)系統(tǒng)的安全風險隱患并及時排除，這對減少系統(tǒng)安全風險是至關(guān)重要的。