1内部控制不到位
信息时代的到来，给现代企业的发展注入了新的发展元素，强化信息化建设成为企业内部控制管理的重要内容。但是，企业具有趋利的天性，强调经济效益为导向下的企业发展模式，进而对信息安全建设落实不到位。首先，企业缺乏信息安全防范意识，主观能动性相对比较欠缺；其次，企业信息安全宣传教育工作疏于开展，导致企业职工在网络操作中，出现不规范的违法行为，进而为黑客及病毒的攻击创造了机会；再次，企业缺乏信息安全风险管理制度的建立，导致信息风险管理流于形式，无法满足企业信息安全发展的需求。
2应用系统安全性不高
企业信息化建设的实现，依托于各种应用系统的有效应用。但应用系统安全性不高等问题，在很大程度上影响了企业的信息安全。一方面，应用系统设计本身存在不足或安全漏洞，如数据传输、存储采用明文的方式。这样一来，数据极易被恶意软件、木马所窃取，实现非法访问，进而造成企业信息丢失或泄露等安全风险；另一方面，企业应用系统的安全防范模式相对比较单一，通过“口令”的认证模式，难以构建完备的安全防范。并且，企业职工在密码设置上，过于简单，且操作行为不规范，这也造成应用系统安全风险增加的重要因素。
3企业信息安全风险的控制策略
企业信息安全风险的控制，关键在于如何营造安全的信息环境、强化安全技术体系的构建，以及风险控制的制度建设，从本质上优化企业信息安全的内外环境。因此，企业可着力于以下几个方面，优化与调整企业信息风险控制的有效性。
3.1注重信息安全建设，设置安全管理机构
信息安全是企业信息化建设的重要基础，注重信息安全建设的狠抓落实，是企业强化内部控制管理的必然需求。当前，企业疏于信息安全管理工作的落实，导致企业所处于的信息环境“危机四伏”。因此，首先，企业应加信息安全纳入到安全管理之中，夯实信息安全建设管理的重要地位。其次，建立健全的安全责任制度，并逐步形成联动的信息安全管理机制，提高信息安全管理的有效性；再次，设置安全管理机构，负责企业信息安全的建设、管理，以及信息安全人员的教育培训等工作，为企业信息安全风险的控制创造良好的内部环境。
3.2强化防火墙设计，提高信息安全防范能力
当前，黑客攻击、木马入侵等在很大程度上增加了企业信息安全风险，不利于企业信息化建设的推进。因此，强化防火墙设计是提高企业信息安全防范能力的重要举措。一些企业在信息安全设备的应用过程中，存在不规范、错误使用的问题。不同功能、品牌的安全设备由于兼容性差，导致安全设备的安全防范能力下降。这就强调，企业在安全防范体系的构建中，要注重科学合理原则，针对企业信息安全建设的需求，做到体系的完备性与安全性。例如，企业在信息安全风险防范体系的构建中，可以引入终端安全管理系统。在这方面，杀毒软件公司瑞星是典型的案例。瑞星公司在其终端安全管理体系的构建中，使用了“统一系统平台+独立功能模块”的设计理念，具体如图2所示。这样一来，不仅提高了企业信息安全防范体系的构建，而且优化了企业信息系统运行的环境。
3.3提高信息安全意识，规范操作行为
良好的主观能动性是提高企业信息安全风险控制的重要基础。首先，企业要强化安全管理人员的安全意识，规范并引导其管理工作的有效落实。尤其是在管理工作中，严格依照相关的规章制度进行，避免人为管理或操作不当，而造成信息安全问题；其次，积极推进企业安全文化建设，为信息安全风险控制的落实创造良好的内部环境。企业职工认识到信息安全的重要性，潜移默化中规范并引导职工规范信息操作；再次，做好信息设备的维护与保护等工作。一方面，要对企业的电脑等设备进行防雷、防磁等保护，让机械设备处于良好的环境下运行；另一方面，不定期开展设备维护工作，以便于及时发现问题、解决问题。
4结束语
综上所述，现代企业信息安全风险是多方因素综合作用的结果，但无论是外部的黑客攻击、木马入侵，还是内部的控制管理不到位，都强调企业要重视信息安全防范体系的构建，确保信息成为企业发展的重要资源。因此，一方面要注重信息安全建设，建立健全相应的管理制度；另一方面，要强化信息安全的教育与培训，并构建完备的安全防范体系，确保企业信息系统的安全。
作者：张征 单位：中国移动通信集团广东有限公司信息系统部
