1引言

随着中国政府对于信息化的大力推动，互联网、大数据飞速发展，企业很多业务都实现了数字化转型。数字化在给企业业务带来便利的同时，也面临越来越多的信息安全威胁。近年，网络攻击的多元化，特别是勒索病毒的出现，更加使得众多黑客铤而走险，信息安全已经成为信息化面前一个不能忽视的问题。由企业遭受数据泄漏、勒索病毒等影响业务安全的威胁，日益向国家的政治、经济、文化、社会、生态、国防等领域传导渗透，当下信息安全工作面临的困难和挑战将是前所未有的[1]。国家及监管机构对信息安全十分重视，习近平总书记指出“没有网络安全就没有国家安全，就没有经济社会稳定运行，广大人民群众利益也难以得到保障”。

本文以IT企业为例，从信息安全管理和风险防控出发，分析目前IT企业在安全管理方面存在的现状，深入研究其存在问题，并提出解决的对策，有助与IT企业加强安全管理，避免信息泄露或其他原因所造成信息安全的问题，给企业造成经济损失。

2 大数据时代信息安全风险

信息安全风险是当前企业面临的重大风险之一，可能给企业带来重大损失，数据风险影响企业的发展。未经授权的数据访问和泄露可能导致个人隐私泄露、企业商业机密泄露等问题，严重时还可能影响国家安全。数据泄露的原因多种多样，主要分为外部风险和内部风险两大类。

2.2外部风险

2.2.1黑客攻击和入侵风险

黑客攻击可能导致数据受损、网络瘫痪、个人隐私泄露等问题，对IT企业造成巨大损失。黑客攻击和入侵主要包括三类：一是以窃取数据为目的，利用远程命令执行、越权逻辑安全漏洞等方式，获取账号密码、公司核心代码等敏感数据，影响企业形象^[1] 。二是以拒绝服务为目的，黑客发起DDOS(分布式拒绝服务)攻击，阻塞网络带宽，降低网络服务，使得网络或者服务器无法运行。三是勒索病毒，通过加密数据和文件导致企业信息系统遭到破坏:或攻击后删除企业服务器上的数据，导致企业遭受巨大损失^[2]。

2.2.2网络钓鱼

网络钓鱼其基本原理是攻击者伪装成合法实体或组织，通过发送声称来自于银行、社交媒体平台、电商平台等用户常接触的知名机构的欺骗性信息（如垃圾邮件、短信、即时通讯信息等），引诱用户提供个人敏感信息，如用户名、口令、账号ID、信用卡详细信息等^[3]。主要是通过通过伪装成合法来源的邮件或网站，诱骗用户输入敏感信息。例如：仿冒公司的网站、App等，诱骗用户访问或下载，窃取用户信息，非法开展业务获取利益。

2.3内部风险

内部风险主要来源于人，分为两类：一是内部员工恶意窃取或贩卖数据。内部拥有数据权限的员工，如运营人员、数据库管理人员、运维人员开发人员，获取内部运营数据、数据库数据、服务器上的敏感资料等信息后，故意泄露或贩卖^[4]。此类信息泄露造成的危害比外部黑客攻击更严重，因为内部人员掌握的数据和信息更为全面且更了解数据的真正含义和价值。二是无意中泄露数据。由于员工安全意识淡薄而引起的数据泄露事件，如将工作账号密码、重要代码上传到外部平台，或随意将高危端口和服务开放到外网，被外部黑客利用后，进一步渗透到内网，获取公司的敏感信息。此类风险的危害同样不可小觑。

3 大数据时代IT企业信息安全管理策略

3.1 外部防护措施

3.1.1加强技术与防控

目前信息系统安全技术防范主要是通过部署一系列的安全技术和工具，如防火墙、入侵检测系统（IDS）、安全信息和事件管理（SIEM）系统等，以监测和防御潜在的安全威胁，从技术的层面上防控黑客的攻击以及入侵。常见的一些技术手段包括并不限于网络边界防御(入侵检测、防火墙)、虚拟专用网络(VPN)、事件管理(快速反应、法律证据提供)、漏洞评估，人侵测试、杀毒、内容过滤、信息系统安全风险评估、安全审计。此外，还可以采用防泄密的软件避免企业信息的泄露，如域智盾等数据防泄密软件，具有屏幕监控、敏感信息检测、网络活动监控等功能，能够实时监控员工活动，防止数据泄露。

3.1.2定期对网络进行巡查

为了保护好企业的资产，避免信息的泄露造成不必要的损失，需要加强对网络的监控，及时更新操作系统、应用软件和安全软件，以修复已知漏洞。此外，还可以通过安装门禁、监控摄像头等物理安全设施，防止未经授权的人员进入敏感区域。对重要设备进行定期维护和检查，确保其正常运行。

3.2人员防护措施

3.2.1建立完善的信息安全管理体系

建立完善的信息安全管理体系是确保组织信息安全的关键环节，通过明确目标、制定政策、进行风险评估、建立安全策略和标准、实施安全控制措施、制定应急响应计划以及定期审查和更新等措施，确保其信息安全管理体系的有效性和可持续性，为企业的信息安全管理提供强有力的支持。

3.2.2提升员工的信息安全意识

信息安全离不开企业里每一位员工的努力，为了能够提升员工的信息安全的意识。可以对IT企业工作的人员进行不同的分类，不同种类的员工对应不同的安全等级，分配公司账号的不同权限，对具备不同权限的员工安全意识有了不同的要求。此外，还可以通过定期举办培训，组织定期的信息安全培训课程，涵盖最新的安全威胁、防御措施和最佳实践，通过模拟钓鱼邮件、恶意软件攻击等场景，让员工在实战中学习和识别潜在威胁，在线的网络课程等方式，来加强员工对于信息安全重要性，让员工能够不断地提升信息安全的意识。通过定期对员工进行信息安全意识教育和技能培训，能够提高全员的安全防范能力，减少内部风险。

4结论

大数据时代为IT企业带来了前所未有的发展机遇，但同时也带来了复杂的信息安全挑战。面对这些挑战，IT企业必须从外部和内部两个维度进行核查，构建全方位、多层次的信息安全管理体系和风险防控机制。只有这样，才能在享受大数据带来的红利的同时，有效抵御各种安全威胁，保障企业的稳健发展。本文选择了IT企业作为研究对象，对目前网络存在的问题进行了分析，并且提出一定的建议，有助于加强企业信息安全建设。

参考文献

[1] 孙成林, 尚利. 对信息系统管理中信息安全风险评估研究 [J]. 现代电子技术, 2015, 1): 87-9.

[2] 谭莹. 网络与信息安全技术的重要性及发展前景分析 [J]. 黑龙江科技信息, 2016, 01): 194.

[3] 黄玉洁, 唐作其, 梁静. 基于信息熵与三参数区间的信息安全风险评估 [J]. 计算机工程,

2018, 44(12): 178-83.

[4] 宁洋洋, 刘培培, 易忠君. 大数据背景下云会计安全隐患及防范机制研究 [J]. 会计之友,

2019, 000(021): 102-7.