關鍵詞 信息安全事故；安全管理；事故致因理論
中圖分類號 F49
文獻標識碼 A
文章編號 1006-5024（2013）01-0055-04
一、引言
在信息化浪潮席捲全球的今天，信息的重要性不言而喻。我國國民經濟和社會信息化建設進程全面加快，網絡與信息系統的基礎性、全局性作用日益增強，信息技術在提高企業服務水平、促進業務創新、提升核心競爭力等方面發揮了重要作用。但是，在進行信息化建設的同時，各種信息安全事故卻頻繁發生。據普華永道2010年度全球信息安全調查報告顯示，中國企業信息安全事故發生率遠遠高於世界平均水平。網絡事故、數據事故及系統事故是中國企業常見的三大信息安全事故，發生率分別為51%、45%和40%，而相同事故在全球範圍內的發生率則為25%、27%與23%。
大量文獻和事實表明，信息的特殊性決定了信息安全事故的高發性。信息具有易傳播、易擴散、易毀損的特點，信息資產比傳統的實物資產更加脆弱，而其運作的風險、收益和機會卻比實物資產大得多。企業對信息系統不斷增強的依賴性也增大了重要信息受到嚴重侵擾和破壞的風險，而這些風險常導致企業資產受損或業務中斷。
目前，對於信息安全的研究大多集中於技術層面，從早期的加密技術、數據備份、防病毒到近期網絡環境下的防火牆、入侵檢測、身份認證等，而從管理方面和流程優化方面研究的較少。Ross Anderson（2001）認為，信息安全的經濟管理研究在某種程度上比技術研究更為重要。傅毓敏（2010）認為，中國企業對信息安全管理人員和流程的重視不足是導致相關安全事故率居高不下的主要原因。因此，有必要系統分析企業信息安全事故發生的機理，以管理因素研究為核心，找出事故發生的根本原因。通過控制事故致因因素預防企業信息安全事故的發生，將對企業的信息安全管理有一定的指導意義。
本文將生產領域的事故致因理論應用到信息安全事故分析中，系統分析企業信息安全事故的形成機理，將信息安全事故致因因素分為四部分，即環境因素、人員因素、技術因素和設備因素，分析各因素對信息安全事故的影響，構建信息安全事故致因因素魚刺圖，並提出針對性的防範措施。
二、理論基礎
（一）國內外從管理角度對信息安全事故的研究
國內外的學者從不同角度對信息安全事故原因進行了研究。Van Niekerk（2010）認為企業信息安全文化氛圍是減少人為因素所導致的信息安全事故的關鍵；Knapp（2009）等先後對信息安全政策和信息安全事故之間的關係進行了研究；Herath（2009）通過問卷調研的實證研究驗證了懲罰力度、壓力和員工的效果認知會對其安全行為產生影響；Albrechtsen（2010）發現員工參與、集體反思和羣體作用可以提高員工的信息安全意識，並改善其安全行為；Stanton（2005）研究發現終端用户的安全行為會對企業信息安全管理產生影響；Ashenden（2008）通過實證研究發現信息安全管理人員、高層管理者和終端用户之間存在信息鴻溝，雙方在理解上的差異會對企業的信息安全管理產生不利影響，增加了信息安全事故發生的機率。此外，Vroom（2004）、Flowerday（2005）等學者也先後對此進行了研究。
與國外相比，國內對於信息安全的研究多集中於技術層面，涉及管理層面的研究較少。沈昌祥、張煥國、馮登國（2007）系統地闡述了信息安全理論及相關技術的發展；官巍、胡若（2007）從社會環境、商業、組織和個人的角度分析了電子商務的信息安全問題；劉福來（2010）對中小企業信息化管理中存在的安全隱患和原因進行了分析。
通過閲讀文獻發現，國外學者大多通過實證研究驗證了一個或幾個因素對信息安全事故的影響，但是缺乏對信息安全事故的系統分析。國內的研究多用於構建信息安全管理體系，對信息安全事故的分析則鮮有研究。
（二）事故致因理論
在信息安全事故分析方法的選擇上，本文選擇了在生產領域廣泛應用的事故致因理論。事故致因理論是研究分析導致事故發生原因因素的科學理論。它是描述事故成因、經過和後果的理論，是研究人、物、環境、管理及事故處置等基本因素如何起作用而形成事故並造成損失的理論。
在早期的事故致因理論中，海因裏希（rich）的事故因果連鎖論最具代表性，它最先提出了物的不安全狀態和人的不安全行為是導致傷亡事故發生的兩個直接因素。在海因裏希事故因果連鎖論的基礎上，博德（）等又進一步提出了把安全管理作為背後深層次的間接事故致因因素的現代安全科學觀點，認為任何安全事故發生的深層次原因，都可以歸結為管理的失誤，人的不安全行為或物的不安全狀態不過是其背後的深層原因的徵兆和管理失誤的反映。
本文依據博德（）的現代安全科學觀點，提出如圖1所示的信息安全事故模型。信息安全事故的發生是由於人的不安全行為和物的不安全狀態作用在能量物質/載體上的結果，而企業的管理因素是導致物的不安全狀態和人的不安全行為發生作用的直接因素。
三、信息安全事故分析
通過對各類型信息安全事故致因因素的分析，企業信息安全事故的致因因素大體可分為兩類，即人的因素和物的因素。其中，物的因素可進一步分為環境因素、技術因素、設備因素等。根據實地調研和文獻梳理可以得出，企業文化的缺失、安全規章制度的不完善等環境因素是造成事故的深層原因。因此，本文將企業信息安全事故的可控致因因素整理歸納後分為四類，即環境因素、人員因素、技術因素和設備因素，並構建了信息安全事故魚刺圖（見圖2）。
（一）環境因素分析
在信息化建設過程中，很多企業由於急需開展業務，往往出現“先業務，後安全”的現象，安全管理嚴重滯後於業務的發展。在企業的內部環境中，企業業務的符合性直接決定了信息系統的設計、運行、試用和管理是否超出法律規定和合同規定的安全要求的約束範圍。另外，很多企業安裝了一定的安全設備，但缺乏統一的安全體系規劃和安全防範機制，企業安全責任不明確，這些都大大增加了信息安全事故發生的風險。由於缺乏業務連續性計劃和事故處理機制，發生信息安全事故之後，企業的業務往往會出現中斷，此時，信息管理人員又變成“救火員”恢復業務，最終信息安全建設變成一種“頭痛醫頭，腳痛醫腳”的亡羊補牢式的行為。此外，企業懲戒措施和審計機制的缺乏也是導致信息安全事故頻繁發生或重複發生的重要因素。
在信息安全管理的外部環境中，與企業密切相關的是第三方服務機構或個人。企業選擇第三方服務機構為企業提供服務，就意味着將企業的部分信息轉移至第三方。企業與第三方的外包合約不完善、第三方的服務質量不高以及對第三方數據訪問權限的不明確易導致企業關鍵數據的泄露，容易引發外部攻擊。
（二）人員因素分析
人員是信息安全管理中最為活躍的因素，不同類別的人員對信息安全事故的影響不盡相同。（1）管理人員。高層管理者是企業資源投入的決策者，也是企業信息安全管理的核心，高層對信息安全的支持和重視不夠是導致企業信息安全文化欠缺和員工信息安全意識淡漠的關鍵因素。中層管理者作為銜接企業高層和基層的橋樑，其對上級決策的執行力度直接決定了企業信息安全管理實施的效果。（2）技術人員。在企業中，技術人員可以保證企業信息系統的日常運營和維護。但大多數企業，尤其是中小企業缺乏信息技術人才和安全監察、審計人員。由於受人員及技術的限制，往往一個管理員既要負責系統的配置，又要負責系統的安全管理，安全設置和安全監督都是“一肩挑”。這種情況使得管理權限過於集中，一旦管理員的權限失控，極易導致重要信息泄露。（3）基層人員。目前，我國企業的基層員工普遍缺乏信息安全的教育、培訓，對信息安全意識淡漠，每天都在以不安全的方式處理着企業的大量重要信息，如隨意使用移動設備、上網不限制等，這些不安全的行為都對企業的信息系統構成了潛在的威脅。
（三）技術因素分析
信息安全技術是企業防範信息安全事故的基本因素，也是我國企業在信息安全管理中投入較多的一部分。具體而言，導致信息安全事故技術方面的因素可以分為兩大類：（1）軟件因素，包括軟件設計缺陷或存在技術漏洞、殺毒軟件不及時更新以及突發的軟件故障等。（2）信息系統設計因素，包括信息系統設計時沒有以風險評估為基礎、業務流程描述錯誤或遺漏、前期測試不充分、數據訪問權限設置不清晰、關鍵數據沒有備份、信息資產安全等級不明確以及信息資產沒有保護措施等因素。這些不安全的技術因素導致了信息安全漏洞存在的必然性和普遍性。在目前互聯網普及的開放網絡環境中，這些漏洞無疑會給外部攻擊者留下可乘之機，導致信息安全事故的發生。
（四）設備因素分析
企業信息安全管理的設備主要包括中心機房、服務器、網絡設備、線路等方面，這些是企業信息安全保障系統的基礎。由於設備因素引起的信息安全事故包括硬件自身故障、保障設施故障、人為破壞事故、其他設備設施故障等四種，其致因因素可以歸納為三類：（1）物理安全方面，包括物理安全邊界不明確、非授權的物理訪問、設備或存儲介質缺乏安全措施、設施設備的非授權使用或移動、硬件 失效等。（2）保障設施方面，包括供電或空調中斷、電氣故障、電纜損壞等。（3）外界不可抗力，包括水災、颱風、地震等自然災害和恐怖襲擊、戰爭等外界不可抗力因素。這些因素往往會造成設施設備硬件的損壞，導致存儲於設備上的數據受到干擾和破壞，容易引發企業業務的中斷。
四、防範措施
針對上述造成信息安全事故的因素分析，可以從人員培訓、制度完善以及硬件改進三個方面進行防範。具體而言：
（一）建立有效的“人力防火牆”，減少人為因素導致的信息安全事故
信息安全是企業每個員工都要面對的問題，通過建立“人力防火牆”能真正調動企業實現長治久安的內在動力。因此，必須加強信息安全宣傳工作，增強所有員工對信息安全重要性的認識。通過增強管理人員對信息安全的重視，營造企業的安全文化氛圍，提高企業員工的信息安全意識；通過對員工進行安全教育與培訓，增強員工的安全技能；通過法律法規、安全政策、訪問權限與懲戒措施來約束員工的行為，減少不安全行為的發生。最終在企業內部形成一種“信息安全，人人有責”的企業文化氛圍，減少人為因素導致的信息安全事故。
（二）完善企業信息安全管理體系，減少由於環境、技術因素導致的信息安全事故
信息安全管理體系是依據企業信息安全需求、業務流程分析和風險評估的結果，綜合利用各種信息安全技術與產品，在統一的綜合管理平台上建立的信息安全管理機制和防範體系。建立並完善信息安全管理體系，可以為企業的信息管理提供來自策略、設計以及運行等各個層面和階段的安全保障，有效減少由於環境因素和技術因素引起的信息安全事故。建立災難恢復與業務持續性計劃，強化重要信息數據備份，在信息安全事故發生時能確保業務持續開展，將損失降到最低程度；建立集中化的管理控制機制，將數據安全控制進行集中化管理，建立一個具有全局性的網絡管理平台，以確保安全防範策略能夠由上至下全面貫徹執行，減少數據安全風險；以“適度防範”為原則，選擇合適的安全技術與產品，制定相應的訪問控制策略，在考慮成本和投資回報的基礎上滿足企業業務安全的需求。
隨着煙草企業生產技術的不斷髮展，煙草企業的消防安全管理工作成為企業安全生產管理工作頭等大事，做好消防管理工作具有重要的作用：一是加強消防管理工作能夠保障企業職工的生命安全。二是有利於提高企業的經濟效益。隨着煙草企業之間競爭的不斷加劇，如何降低生產成本，降低各種費用支出成為煙草企業獲得經濟效益的重要途徑，加強消防安全管理，避免火災的發生，就可以避免企業因為發生火災而產生的巨大損失，因此加強消防安全管理是煙草企業提高經濟效益的重要手段；三是能夠建立清晰的安全生產責任制度。通過強化消防安全管理，可以將具體的安全生產責任制度落實到實處，強化具體責任人的職責，從而實現“預防為主、防治結合”的消防管理制度。
2當前煙草企業消防安全管理工作的現狀
我國2011年4月1日實施頒佈了《煙草企業安全生產標準化規範》，明確了消防管理工作的地位，但是由於在實踐管理工作中由於各種因素的限制，煙草企業的消防安全管理工作還有許多不完善的地方，其主要表現在：
2.1煙草企業的消防設施建設還不完善。雖然近些年國家相關部門、企業安全監督部門等加強了對煙草企業的消防安全檢查力度，企業也加大了對消防安全設施的建設，但是由於煙草企業發展規模的不斷擴大，煙草企業的消防設施建設在某些方面出現了滯後性，比如煙草企業發展規模的不斷擴大，煙草企業的倉庫存儲量不斷地增加，倉庫的煙葉存放量已經超過倉庫防火區的面積，不僅違反了《煙草行業消防安全管理規定》，而且也會為消防安全埋下隱患。
2.2消防管理制度不能滿足煙草企業發展的要求。煙草企業的消防管理制度不能滿足企業發展的要求其主要體現在：一是煙草企業的消防管理制度建設存在滯後性。雖然我國及時頒佈與實施了《煙草行業消防安全管理規定》、《煙草企業安全生產標準化規範》等制度，但是由於煙草企業的不重視等導致煙草企業的消防管理制度沒有及時的進行更改；二是消防管理制度沒有得以徹底的貫徹執行。為了前面執行消防安全管理制度，相應的法規明確了各部門、各人員的職責，但是在具體的實踐中由於相應崗位職責劃分不科學導致很多制度在企業中沒有得以執行。
2.3消防管理人員的責任心不強。一是消防管理人員在日常的消防管理中缺乏較強的責任心，他們在檢查企業的消防工作時，存在敷衍了事的心態，將工作重點放在表面工作，比如只是查看滅火器是否過期，而不看滅火器是否能夠正常使用等具有實質性的工作；二是消防安全管理部門與其它部門之間缺乏有效的溝通。安全保衞部門與企業的其他部門缺乏有效的溝通，導致消防安全管理責任落實不到實處，影響消防管理工作的效率。比如技改部門只是負責對消防設施的技術改造，而不會考慮消防設備的使用性能，而安全保衞部門在技改工作實施過程中也不會主動地參與，導致技改後的消防技術缺乏高效的實用性。
3加強消防安全管理，提高煙草企業安全生產的具體對策
3.1完善消防安全責任制，將消防安全工作落實到實處。建立完善的消防安全責任制度是保障各項消防安全預防制度落實到實處的有效保障。煙草企業生產產品的易燃性，要求煙草企業必須要加強消防安全管理工作，完善各項消防安全管理制度：一是積極將國家制定的各項安全管理制度與企業的生產相結合，將消防安全責任制度落實到具體的部門、具體的崗位中；二是煙草企業的消防安全責任制度一定要本着從企業實際生產的現狀出發，認真研究，制定切實可行的消防安全責任制度；三是建立完善的消防安全管理機構。建立以廠長為責任主體、副廠長為主抓、保衞科長具體執行的消防管理制度，並且要建立義務消防隊。
3.2加強對煙草企業職工的宣傳教育，提高他們的消防安全意識。消防工作離不開煙草企業全體職工的支持，因此煙草企業要加強對職工的安全教育，加大對消防安全管理工作重要性的宣傳：一是企業積極開展各種消防安全技能比武活動，通過技能比武活動，提高職工對消防安全管理工作的認識；二是企業要積極發揮工會、黨支部等組織職能，強化對黨員幹部的消防安全管理教育，發揮他們的示範帶動作用；三是要積極加強對專職消防管理人員的教育，加強崗位培訓力度。
健全企業安全生產檔案是評價安全生產工作的依據。安全生產管理工作是一個動態過程，通過檔案統籌規範，以文字、圖片、台賬、表格等來反映安全生產工作具體情況。所以評價企業安全生產工作，不能只是依靠現場呈現的場景來做判斷，還要結合安全生產檔案來綜合評價。比如，在某一事故調查中，安全生產檔案就是認定事故責任的最為重要的依據之一，翻查安全生產檔案資料中對事故發生點的歷史記錄，能夠清晰地瞭解安全生產負責人有無履行安全生產監管職責，為事故的定性提供有力證據。
二、構建企業安全生產檔案的主要內容
1．事故應急處理方案。主要是針對企業內部可能發生的危險源，來進行事先設定的應急處理方案。比如，消防器材和防汛設備的分佈位置圖，以及內部各種緊急事故的處理小組成員名單和職責規定。
2．安全生產工作記錄。包含企業內部各會議對安全工企業安全生產檔案作的研究、討論、決議等記錄；勞動保護用品的發放情況記錄；企業開展各項安全生產隱患排查與生產狀況檢查的記錄；安全整改通知書及其跟進結果記錄；事故調查報告和解決進度報告記錄等。
3．企業自身安全工作的規章制度。是企業內部根據實際生產經營情況而制定的規範。內容有專門負責安全生產的主管領導及其下屬人員分工；企業負責人簽署的安全責任書；針對特殊工種設置的專門操作流程，如易燃、易爆、有毒物的處理等，以及各類防範職業病的措施等。
三、加強企業安全生產檔案管理工作的實施
1．樹立正確管理思想與認知，提升企業領導的重視度。安全生產檔案看似與生產效益高低並無直接關聯，所以許多企業認為只要抓好生產現場的人與物的管理就夠了，導致很多企業領導對這一工作的重視程度不夠，缺少人力、物力、財力的投入。所以，樹立正確的思想與認知，加強宣傳力度，將檔案管理工作納入議事日程，提高企業領導對安全生產檔案重要性的認識，他們才能在各個方面給予充分支持。
2．提高安全生產人員素質，組建企業安全檔案管理專業隊伍。管理人員素質、業務能力和管理水平等是影響安全生產檔案質量的直接因素。相關人員不僅要具備專業的檔案理論知識和管理知識，還要熟練掌握相關安全管理與技術的知識。企業應當積極組織相關人員進行業務培訓，篩選符合崗位要求的高素質人才，組建一支專業的安全生產檔案管理隊伍，滿足企業長足發展的需求。鑑於安全生產檔案的專業性與廣泛性特點，筆者建議安排專門對接人員負責檔案的建設與保管，因為檔案的管理需要按照歸檔標準與範圍逐日積累、充實，才能確保其全面系統、真實地反映企業的安全情況。
為了增強企業員工的安全意識、員工自身的素質和員工的安全操作技能，企業要定期向開展安全管理培訓，以提升企業又員工綜合水平和素質。以減少安全事故的發生，保證施工人員的人身安全。在企業進行配電網建設施工項目施工是要加強對施工安全管理工作的監管，建立相關的安全監管制度，以消除使用現場存在的不安全因素、對於施工條件相對薄弱的地方要加強安全防護措施，同時通過監管來增加各相關人員的責任意識，落實施工安全管理工作，努力做到“預防為主，安全第一”。
2供電企業配電網建設項目的施工安全管理
2.1項目施工現場的勘查
在項目開工前供電企業要派專人到施工現場進行監察，對施工現場的安全管理進行了解而後管理，待施工單位進入施工現場後，為了施工項目的安全生產此專員要對施工單位進行監督以防止施工單位隨意將施工項目工程進行分項轉包。
2.2配電網項目施工安全管理方案的提交
在進行配電網項目施工前按照相關規定，施工企業要事先申請施工許可，在申請時需要提交項目施工安全管理方案。提交的施工方案內容要包含有建設單位、施工單位以及他們的負責人還有項目施工安全生產保證體系以及相關的安全生產措施等。
2.3制定項目施工安全管理制度
供電企業要根據施工需要制定相應的安全施工管理制度，此制度的內容要包含施工管理、安全檢查、會議制度以及安全獎懲制度。另外為了保證相關部門嚴格履行自己的責任、保證施工人員的安全，供電企業還要組織施工安全管理人員和施工單位負責人員進行學習，以增加他們的責任感。
2.4健全配電網項目施工安全管理體系
在進行配電網項目施工時，存在一些複雜或交叉作業的工程項目，此時需要各單位進行分工作業，各單位按照各自的職責劃分為不同的責任部門和協辦部門，保證安全管理體系高效運行的同時又能夠相互制約，同時還要確定項目施工安全管理的框架。
2.5加強對項目施工人員的管理
在進行項目施工安全管理時也要注重對施工人員的管理，在項目施工中有一些複雜的特徵作業項目，針對此類作業項目的作業人員更要加強管理，保證此類作業人員的持證上崗。另外為了保證施工人員的安全，企業要定期組織施工人員進行體檢，並對施工人員的安全工具配置和使用是否合理。
2.6制定相應的施工安全管理考核機制
通過安全管理考核機制的建立使施工安全管理和相關負責人員的利益聯繫到一起，從而加強管理人員對施工安全的監管和整改，以此加強管理人員的責任感。
2.7加強對項目施工單位的安全管理
在進行配電網項目施工時要加強對施工單位安全監督工作的管理，通過監督管理來增強他們對安全施工的重視。在日常的施工過程中要求施工單位加強對現場安全設施的排查，對於存在的安全隱患監督他們及時的整改，以保證項目安全順利的完工。
2.8做好施工事故防範工作
在進行配電網項目施工時對於一些突發事件，供電企業要有完善的突發事件應急處理方案，當事故發生時能夠按照方案有序的進行操作，採用有效的措施對突發事件進行處理，同時還保證了人員的穩定有序和公用物資的順利調用。另外，在遇到突發事件時，要根據事故的具體情況制定不同的應急方案和措施。
3結束語
蒙田範文網