摘 要：随着数字技术的迅猛发展，通信行业中小企业正面临前所未有的变革挑战，通过对通信行业中小企业数字化转型中的信息安全风险进行分析，提出了相应的防控策略，提供了实证研究和评估方法，明确了通信行业中小企业在数字化转型过程中面临的网络安全、数据安全、应用安全和供应链安全等风险。为了应对这些风险，建议企业部署先进的信息安全服务、建立安全保障防控软实力和建立合规监测机制。这些措施有助于提升通信行业中小企业的信息安全水平，保护企业和用户的数据安全，推动数字化转型的顺利进行。内容目录：
0 引 言
1 通信行业中小企业数字化概述
1.1 通信行业中小企业数字化转型趋势
1.2 通信行业中小企业数字化转型特点
2 通信行业中小企业数字化转型中的信息安全风险
2.1 通信行业中小企业信息安全风险现状
2.2 通信行业中小企业信息安全风险问题
3 通信行业中小企业数字化转型安全实践研究
3.1 通信行业中小企业信息安全风险实证分析
3.2 实证研究结果及分析
3.3 通信行业中小企业信息安全风险评估
4 通信行业中小企业信息安全风险防控措施
4.1 部署先进的信息安全服务
4.2 建立安全防控软实力
4.3 部署建立合规和监测机制
5 结 语
随着数字技术的快速发展，数字化转型已成为各行业经济发展的新趋势。通信行业的中小企业作为经济的重要组成部分，在数字化转型中面临着巨大的机遇和挑战。一方面，中小企业可以利用数字技术提升生产效率、创新能力和市场竞争力；另一方面，通信行业中小企业在数字化转型过程中也面临着更大的安全风险。首先，通信行业是数字经济的重要基础设施行业，通信行业中小企业在数字化转型中面临着特殊的信息安全风险；其次，通信行业涉及大量个人数据和敏感数据，信息安全风险较大；最后，通信行业中小企业的网络安全能力相对较弱，抵御攻击的能力较差。本文旨在通过分析通信行业中小企业数字化转型的特点，识别其信息安全风险的潜在因素；通过实证研究，分析通信行业中小企业的信息安全风险现状；提出通信行业中小企业信息安全风险防控的有效策略。
1.1 通信行业中小企业数字化转型趋势
通信行业中小企业数字化转型主要体现在以下3个方面：业务模式创新、运营效率提升、产品和服务创新。通信行业中小企业积极利用数字技术创新业务模式，例如利用物联网、云计算等技术为客户提供定制化、个性化服务。同时，它们也利用数字技术提升运营效率，例如利用大数据分析技术优化客户服务流程。此外，还通过利用人工智能技术开发智能客服系统等方式创新产品和服务，以提升竞争力。
通信行业中小企业是指在通信行业中，从业人员规模、经营规模相对较小的企业。其特点主要包括：一是业务范围广泛，涵盖通信服务、通信设备制造、通信软件开发等多个领域；二是市场竞争激烈，需要不断创新以保持竞争优势；三是资金实力较弱，信息安全投入有限。2.1 通信行业中小企业信息安全风险现状
通信行业中小企业具有业务范围广泛、市场竞争激烈和资金实力较弱等特点。为了解通信行业中小企业数字化信息安全风险现状，本文采用问卷调查的方法，针对数字化转型的主要内容、数字化转型中遇到的主要困难、面临的主要信息安全风险、信息安全方面采取的主要措施、信息安全遇到的主要困难等问题，对20家通信行业中小企业进行了调研，这些企业涵盖了通信服务、通信设备制造、通信软件开发等多个领域。调查结果显示，通信行业中小企业数字化转型现状总体良好，但由于资源有限，加之在信息安全方面的投入相对较少，只能在主要业务不断创新的前提下兼顾信息安全，因此面临着较大的网络安全风险和数据安全风险。
在通信行业的数字化转型中，中小企业面临的信息安全风险问题主要包括网络安全风险、数据安全风险、应用安全风险和供应链安全风险。其中，网络安全风险是最常见的威胁，包含：一是通过伪装成合法机构或个人的电子邮件来诱骗用户提供敏感信息或点击恶意链接；二是不安全的移动设备，没有安全保护或更新的移动设备可能导致数据泄露或遭到黑客攻击；三是恶意或有害的网站或软件，通过访问或下载含有病毒、木马、勒索软件或其他恶意代码的网站或软件，对用户的设备或数据造成损害或控制；四是不安全的个人设备和物联网设备也是需要重点关注的安全威胁；五是非授权人员访问，未经合法授权的人员访问或使用用户的设备或数据造成泄露。数据安全风险是这类信息安全风险的重要共性问题。此外，还存在应用安全风险和供应链安全风险，应用安全风险主要涉及应用系统漏洞、应用系统配置不合理及应用系统开发和维护不规范，而供应链安全风险涉及供应链中存在安全漏洞、供应链管理不规范和供应链合作伙伴安全意识薄弱。这些信息安全风险的存在严重威胁着通信行业中小企业的数字化转型，可能导致发生数据泄露、窃取、篡改、丢失等安全事件，影响业务的正常运行，甚至可能违反相关法律法规。3.1 通信行业中小企业信息安全风险实证分析
本文采用定性分析法和定量分析法相结合的方法，对通信行业中小企业信息安全风险进行了实证分析。定性分析法主要采用专家判断法，从网络安全、数据安全、应用安全和供应链安全4个方面识别信息安全风险。本文依据国家标准GB/T 20984—2007《信息安全技术 信息安全风险评估规范》的定量分析要求，构建了分析模型对通信企业的信息安全风险进行评估。
中小企业越来越清醒地意识到最大威胁来自何处。本研究的一大发现是，亚太地区的中小企业将网络钓鱼攻击视为首要威胁。网络钓鱼攻击是指黑客伪装成可信赖的实体，试图诱使用户打开黑客向其发送的特定数字通信内容，例如邮件、超链接或即时消息。虽然这种攻击策略早已存在，但由于其简单性和有效性，仍然很受黑客欢迎。此外，商业环境瞬息万变，在疫情的影响下，中小企业的运维方式发生了巨大的变化。最明显的变化是，很多企业转为远程工作模式，大量员工需要从外部网络连接到公司内部网络访问信息。许多员工还会使用个人设备来进行这些连接和访问。依据受访中小企业分析，除钓鱼邮件外（40%，排名第一），不安全的电脑（21%，排名第二）、恶意攻击（17%，排名第三）、不安全的个人设备（13%，排名第四）和物联网设备（9%，排名第五）是中小企业信息安全面对的主要威胁，如图1所示。本文的量化分析模型基本要素包括资产价值、威胁、漏洞和范围。其中，资产价值定义为评估范围（网络安全、数据安全、应用安全和供应链安全）内资产自身价值和资产在系统内重要性的统一值。威胁是指信息资产的安全可能受到的侵害，因目前不可能实现事件和漏洞的精确对应，故采用威胁来关联攻击行为（事件）和漏洞。同时，定量风险评估计算模型知识库的威胁由通信中小企业信息安全根据事件类和漏洞来建立，围绕以上要素，通信行业中小企业信息安全评估计算步骤参考如下：首先，按照网络安全风险、数据安全风险、应用安全风险和供应链安全风险4个维度分类计算安全事件的发生概率，根据威胁赋值及脆弱性被利用难易程度，计算威胁利用脆弱性导致的安全事件的发生概率。式中：T为风险中漏洞所能利用威胁的数值；为风险中脆弱性被利用的难易程度；L为拟合函数。通信行业中小企业信息安全风险值在具体评估中，应综合攻击者技术能力（专业技术程度、攻击设备等）、脆弱性被利用难易程度（可访问时间、设计和操作知识公开程度等）、资产吸引力等因素来综合判断安全事件的发生概率。其次，计算安全事件发生后的损失，根据资产价值及安全事件影响程度，计算安全事件一旦发生后的损失：中小企业信息安全事件的发生造成的损失不仅仅影响资产本身，还可能影响业务的连续性，不同安全事件的发生对组织造成的影响也是不一样的。最后，计算系统资产风险值。根据计算出的安全事件的发生概率及安全事件造成的损失，计算系统资产风险值Q。计算业务风险值应根据业务所涵盖的系统资产风险，综合计算得出业务风险值：式中：为业务风险计算函数；为业务所涵盖系统资产的风险值。根据自身情况选择相应的风险计算方法计算风险，按照网络安全、数据安全、应用安全和供应链安全4个维度将安全事件的发生概率与安全事件的损失进行运算得到风险值。依据定量的风险评估方法计算得出每个风险的具体数值，再根据计算的业务风险值对通信行业中小企业风险进行等级划分，参考国家标准GB/T 20984—2007《信息安全技术 信息安全风险评估规范》，设定5个等级，如表1所示。通信行业中小企业在选择信息安全技术和产品时，应根据自身的实际需求进行选择，重点考虑安全风险、成本和易用性。基于多个企业的试点经验，中小企业应从网络安全、数据安全、应用安全3个方面部署风险防控措施。在网络安全方面，通信行业中小企业应采用多层次的网络安全防护措施，包括防火墙、防病毒软件、网络安全审计等。在数据安全方面，通信行业中小企业应采用数据加密、数据库安全、数据备份和恢复等技术和产品，保护数据的安全。在应用安全方面，建议采用应用程序安全测试、应用程序防火墙等技术和产品，防范应用程的安全漏洞 。通信行业中小企业应建立健全的安全保障机制，加强应急响应能力，及时应对突发安全事件，从流程软实力上确保信息安全工作。安全保障机制应包括安全监测、预警、应急响应等环节，能够及时发现和处置安全风险。此外，通信行业中小企业还应加强与政府部门、行业协会等组织的合作，共同加强信息安全防范工作。通信行业中小企业应建立健全的合规和监测机制，确保企业信息安全符合相关的法律法规和行业标准。合规和监测机制应包括定期审查和更新安全政策、制定合规措施、进行内部安全审计等环节。同时，建立安全监测和预警系统，及时发现和处置安全事件，保障企业的信息安全。
本文对通信行业中小企业数字化转型中的信息安全风险进行了深入的分析和研究，提出了一系列的防控策略。通过本文的实证分析，我们发现通信行业中小企业在数字化转型过程中所面临的信息安全风险普遍存在，尤其是网络安全、数据安全、应用安全和供应链安全方面的问题较为突出。为了解决这些问题，我们提出了一系列的信息安全防控措施，包括加强网络设备安全性、加强数据存储和传输安全、优化应用系统配置和开发规范、加强供应链管理等方面的措施。这些措施的实施将有助于提升通信行业中小企业的信息安全水平，保护企业和用户的数据安全，确保数字化转型的顺利进行。希望本文的研究结果能够为通信行业中小企业的数字化转型提供参考和借鉴，促进行业的健康发展，确保信息安全，繁荣数字经济。引用格式：邱江, 杨超, 任天雷, 等.通信行业中小企业数字化转型中的信息安全风险分析[J].信息安全与通信保密 ,2024(6):23-29.
邱 江，男，硕士，高级工程师，主要研究方向为数字硬件、通信技术、网络安全和新技术等；杨 超，男，硕士，高级工程师，主要研究方向为工业互联网应用、数据智能、数据安全、工业大数据等；任天雷，男，硕士，工程师，主要研究方向为大数据应用、数据安全、商业数据分析等；林紫微，男，硕士，中级工程师，主要研究方向为嵌入式系统设计、物联网、设备安全等；郑康伟，男，硕士，工程师，主要研究方向为数字硬件、窄带网络、通信服务安全等。选自《信息安全与通信保密》2024年第6期（为便于排版，已省去原文参考文献 
还没有评论，来说两句吧...