第三方物流信息系統的安全管理
1.概念
所謂整個信息系統的安全管理，需要從整個信息系統全面著眼，從機房設置、供電的安全、主機操作系統的安全、數據庫的安全、網絡接入的安全、網絡設備的安全、應用系統的安全、人員的管理等各方面落實。
2.目的
保證系統在有充分保護的安全環境中運行，由可靠的操作人員按規范使用計算機系統、網絡系統、數據庫系統和應用系統，系統符合安全標準。
3.安全策略
(1)物理安全策略
保護計算機服務器、數據存儲、系統終端、網絡交換等硬件設備免受自然災害、人為破壞，確保其安全可用。制定物理安全策略，要重點關注存放計算機服務器、數據存儲設備、核心網絡交換設備的機房的安全防范。其選址與規劃建設要遵循GB936丨計算機場地安全要求和GB2887計算機場地技術條件，保證恒溫、恒濕，防雷、防水、防火、防鼠、防磁、防靜電，加裝防盜報警裝置,提供良好的接地和供電環境，要為核心設備配置與其功耗相匹配的穩壓及UPS
不間斷電源。
(2)網絡安全策略
網絡安全策略旨在防范和抵御網絡資源可能受到的攻擊，保證網絡資源不被非法使用和訪問，保護網內流轉的數據安全。訪問控制是維護網絡安全、保護網絡資源的重要手段，是網絡安全的核心策略之一。訪問控制包括人網訪問控制、網絡授權控制、目錄級安全控制、屬性安全控制、網絡服務器安全控制、網絡監測和鎖定控制、網絡端口和節點的安全控制以及防火墻控制。安全檢查（身份認證）、內容檢查也是保護網絡安全的有效措施。網絡加密手段包括鏈路加密、端點加密和節點加密：鏈路加密是保護網絡節點之間的鏈路數據安全，端點加密是對從源端用戶到目的端用戶之間傳輸的數據提供保護，節點加密是對源節點到目的節點之間的傳輸鏈路提供保護。另外，數字認證在一定程度上保證了網上交易信息的安全。
(3)數據安全策略
數據安全策略旨在防止數據被偶然地或故意地非法泄露、變更、破壞，或是被非法識別和控制，以確保數據完整、保密、可用。數據安全包括數據的存儲安全和傳輸安全兩個方面。數據的存儲安全指數據存放狀態下的安全，包括是否會被非法調用等，可借助數據異地容災備份、密文存儲、設置訪問權限、身份識別、局部隔離等策略提高安全防范水平。
(4)軟件安全策略
軟件安全策略旨在防止由于軟件質量缺陷或安全漏洞使信息系統被非法控制，或使之性能下降、拒絕服務、停機。軟件安全策略分為系統軟件安全策略和應用軟件安全策略兩類。對通用的應用軟件，可參照前種做法，通過加強與軟件提供商的溝通，及時發現；對量身定做的應用軟件，可考慮優選通過質量控制體系認證的、富有行業軟件開發和市場推廣經驗的軟件公司，加強軟件開發質量控制，加強容錯設計，安排較長時間的試運行等策略，以規避風險，提高安全防范水平。
(5)系統管理策略
系統管理策略旨在加強計算機信息系統運行管理，提高系統安全性、可靠性。要確保系統穩健運行，減少惡意攻擊、各類故障帶來的負面效應，有必要建立行之有效的系統運行維護機制和相關制度。比如，建立健全中心機房管理制度、信息設備操作使用規程、信息系統維護制度、網絡通信管理制度、應急響應制度，等等。要根據分工，落實系統使用與運行維護工作責任制。加強對相關人員的培訓和安全教育，減少因為誤操作給系統安全帶來的沖擊。要妥善保存系統運行、維護資料，做好相關記錄，要定期組織應急演練，以備不時之需。
(6)災難恢復策略
災難恢復策略旨在趁著系統還在運行的時候，制訂一個災難恢復計劃，將災難帶來的損失降低到最小，使系統安全得到保障的策略。主要需根據本單位及信息系統的實際情況，研究系統遇到災害后對業務的影響，設計災后業務切換辦法。如定期備份數據，根據災難類型制定災難恢復流程，建立災難預警、觸發、響應機制，組織相關培訓和練習，適時升級和維護災難恢復計劃，等等。
