学位论文作者签名：
日期： 年 月 日上海交通大学
学位论文版权使用授权书
本学位论文作者完全了解学校有关保留、使用学位论文的规定，同意学校保留并向国家
有关部门或机构送交论文的复印件和电子版，允许论文被查阅和借阅。本人授权上海交
通大学可以将本学位论文的全部或部分内容编入有关数据库进行检索，可以采用影印、
缩印或扫描等复制手段保存和汇编本学位论文
本学位论文属于：
保密 □，在 年解密后适用本授权书
不保密 □
（请在以上方框内打“√”）
学位论文作者签名： 指导教师签名：
日期： 年 月 日 日期： 年 月 日基于 SPM 方法的 S 石化公司信息安全管理策略的研究
摘要
云计算、大数据和新型社交网络等信息爆炸发展的时代，在为人
们生活带来便利的同时，一方面为企业的发展带来了机遇，信息数据
的海量存储、管理和分析可以协助企业更好地经营发展；另一方面也
为企业带来了新的挑战，如何更加安全有效地使用和管理这些信息数
据是企业需要思考的问题。本文将以 S 石化公司为例，根据公司发展
发现公司在信息安全管理方面现存在的问题，并借助于安全全球的信
息安全评估和规划 SMP 方法对公司进行全面分析和诊断，最后分别从
组织人员、信息安全管理和信息安全技术层面对 S 石化公司作出速盈
整改建议策略，希望对公司的整体长期发展具有一定的指导意义
首先本文将对 S 石化公司的现状进行介绍，同时主要从风险值、
成熟度评分和差异分析等维度对 S 石化公司的信息安全现状进行介
绍。然后文章在 SPM 分析法框架的支撑和约束下，对公司的信息安全
管控进行详细的信息安全现状分析找出公司存在的不足，其中主要从
组织人员、管理安全和技术安全等方面进行详细分析说明。基于对公
司发展的充分理解，随后本论文在结合实施紧迫度，风险评估效果，
实施效益以及技术可行性等角度，针对上文对 S 石化公司提出的问题
依次提出速盈整改建议策略，目的在于帮助 S 石化公司解决信息安全
威胁，同时更好的帮助公司建设主动式信息安全预防体系,保证信息安全工作支持 IT 规划目标的
最后论文总结概述 S 石化公司信息安全管理策略，并将结合现实
操作等不可预测因素对提出的策略指出本文仍存在的不足以及下一
步要做的工作
关键词: 信息安全、SPM、管理策略RESEARCH ON INFORMATION SECURITY TACTICES
FOR S PETROCHEMICAL COMPANY BASE ON SPM
TECHNOLOGY
ABSTRACT
Cloud computing, big data and new social network are developing at a
booming speed that brings numerous conveniences for people’s daily life,
at one hand it brings opportunities for companies that with vast
information storage、management and controlling the company could
have a better operation management and development, at the other hand
new challenges are emerged that how to securely and efficiently use and
manage these information and data is becoming a big problem. This
paper will take S Petrochemical Company as an example to analyze and
find out the problems in information security management, then by
applying the SPM theory to have a full and deep diagnosis of the
company. According to the analysis result, the paper will propose specific
tactics to solve these problems from company organization management,
IT security management, IT security technology aspects aims to providecertain supports for the IT security development and management of S
Petrochemical Company.
Firstly, the paper will have a general introduction on the current situation
of the IT security in S Petrochemical Company. Following, by applying
the SPM theory the paper will detail figure out the main IT security
problems of the company, generally from company organization
management, IT security management, IT security technology and
operation aspects. Based on the fully understanding of the company’s
development strategy, operation feasibility and other considerations, this
paper will propose specific tactics to solve the existing problems aims to
help the S Petrochemical Company to solve the IT security theatres and
establish the active IT security system to realize the IT strategic targets.
At the end of the paper, an overview of the IT security management
tactics will be summarized and by taking the unpredictable operational
factors into consideration some insufficient and predictions will be
developed.
KEY WORDS: Information security, SPM, Strategic Management目录
第一章 绪论..... 1
1.1 研究背景和意义........ 1
1.2 研究思路.. 2
1.3 研究综述.. 2
1.4 研究内容.. 2
第二章 论文相关理论 .......... 4
2.1 信息安全.. 4
2.2 安全程序管理（SPM）... 5
第三章 S 石化公司信息安全现状. 8
3.1 S 石化公司简介........ 8
3.2 S 石化公司信息安全现状 9
3.2.1 信息安全组织人员现状 ....... 9
3.2.2 信息安全管理现状 .......... 10
3.2.2.1 身份和访问管理现状 .. 10
3.2.2.2 资产管理现状 ........ 10
3.2.2.3 威胁和脆弱性现状 .... 11
3.2.2.4 第三方管理现状 ...... 11
3.2.2.5 业务连续性现状 ...... 11
3.2.2.6 数据保护现状 ........ 12
3.2.3 信息安全技术现状 .......... 12
3.2.3.1 网络安全现状 ........ 12
3.2.3.2 应用安全现状 ........ 13
3.2.3.3 终端安全现状 ........ 13
3.2.3.4 安全监控现状 ........ 14
3.2.3.5 隐私与事件管理现状 .. 14
第四章 基于 SPM 方法的 S 石化公司信息安全问题分析 ..... 15
4.1 信息安全组织人员问题分析 ........ 15
4.2 信息安全管理问题分析16
4.2.1 身份和访问管理问题分析 .... 16
4.2.2 资产管理问题分析 .......... 16
4.2.3 威胁和脆弱性问题分析 ...... 17
4.2.4 第三方管理问题分析 ........ 17
4.2.5 业务连续性问题分析 ........ 17
4.2.6 数据保护问题分析 .......... 18
4.3 信息安全技术问题分析19
4.3.1 网络安全问题分析 .......... 19
4.3.2 应用安全问题分析 .......... 21
4.3.3 终端安全问题分析 .......... 22
4.3.4 安全监控问题分析 .......... 22
4.3.5 隐私与事件管理问题分析 .... 22
第五章 S 石化公司信息安全执行策略........ 23
5.1 建设符合公司整体目标的信息安全体系 .......... 23
5.2 组织人员策略 ........ 24
5.2.1 完善信息安全组织架构及评价机制 ........ 24
5.2.2 强化员工信息安全培训机制，建立统一身份认证体系 .... 25
5.3 信息安全管理策略 .... 26
5.3.1 及时更新信息安全策略加强信息安全治理 .. 26
5.3.2 强化数据容灾能力制定业务连续性计划 .... 27
5.3.3 加强补丁及变更管理，优化信息资产库 .... 28
5.3.4 建立完善的信息安全指标体系和风险评估机制 .......... 30
5.3.5 优化第三方人员管理制度 .... 31
5.4 信息安全技术策略..... 32
5.4.1 强化网络架构安全 .......... 32
5.4.2 制定帐号安全策略保护员工隐私 .......... 33
5.4.3 加强安全日志及安全事件管理34
第六章 结论与不足和展望 ..... 35
6.1 结论 .... 35
6.2 不足和展望 .......... 35
参考文献 ........ 37
附录 1........... 39
附录 2........... 40
致谢43
攻读学位期间发表的学术论文目录 .......... 44
。。。。。。以上简介无排版格式，详细内容请下载查看
==>>