信息安全研究报告精编4篇

【导言】此例“信息安全研究报告精编4篇”的文档资料由阿拉题库网友为您分享整理，以供您学习参考之用，希望这篇资料对您有所帮助，喜欢就复制下载支持吧！

信息安全研究报告1

关键词 内部控制 信息披露 自我评价 审核报告

一、制度背景和研究动机

上海证券交易所和深圳证券交易所在总结我国上市公司信息披露有益做法和借鉴国际经验与教训的基础上分别于2006年6月5日和2006年9月28日出台了《上海证券交易所上市公司内部控制指引》和《深圳证券交易所上市公司内部控制指引》,并分别自2006年7月1日和2007年7月1日起实施。指引的颁布旨在于通过提高内部控制构建与运行的透明度以及内部控制信息披露的可靠性来提高内部控制的运行效果。2008年财政部、证监会、审计署、银监会、保监会共同《企业内部控制基本规范》,要求上市公司对本公司内部控制的有效性进行自我评价，披露年度自我评价报告，并可聘请具有证券、期货业务资格的中介机构对内部控制的有效性进行审计。

本文以2008年在深市公开发行A股的739家上市公司年报中的内部控制披露信息作为样本进行描述性统计与分析，以预测内部控制信息披露健全的公司更倾向于提供事务所的内部控制审核报告，并在此基础上提出相应的政策建议。

二、文献回顾

蔡吉甫以2003年股上市公司为样本，对我国上市公司内部控制信息披露的影响因素进行了实证研究。研究发现经营业绩越好、财务报告质量越高的上市公司越倾向于披露内部控制信息，而财务状况异常即股票交易被特别处理的上市公司披露内部控制信息的动力明显不足。上市公司内部控制信息披露存在自愿披露积极性不高、披露流于形式和隐瞒不利消息的问题，并就如何改进我国上市公司内部控制信息披露问题提出了建议。

李明辉、何海、马夕奎、唐予华在对美国内部控制信息披露及实务进行介绍的基础上，对我国上市公司年年报以及配股说明书中内部控制信息披露状况进行了统计分析，并提出了完善我国上市公司内部控制信息披露的改进措施。

三、研究设计与描述统计

本文选取在深圳证券交易所上市交易的非金融业A股公司2008年度报告作为研究样本，所用的年度报告和数据来自巨潮资讯网。

由于金融类上市公司对内部控制信息的披露是强制的，故本研究剔除所有深圳证券交易所行业分类为金融业的上市公司年报，样本总数为734个。

《指引》要求在年报全文的“重要事项”部分披露公司内部控制建立健全的情况并对其内容做了原则性规定，为了分析强制性规定的执行效果，我们按上市公司披露的详细程度分为“详细说明”、“一般陈述”、“简单披露”三个层次： “详细说明”指能够严格遵守《通知》的要求，在“重要事项”说明了公司内部控制建立健全的情况，包括内部控制建立健全的工作计划、内部控制检查监督部门的设置情况、董事会对内部控制有关工作的安排等；“简单披露”指公司只用一句话概括说明内部控制情况，即只有“本公司建立了完善的内部控制制度”或类似语句；“一般陈述”介于二者之间。由于《通知》鼓励上市公司披露注册会计师对内部控制评估报告的核实评价意见，因此，我们对鼓励性披露设定为“内部控制鉴证报告或内部控制审核报告”。

从表1来看，深圳市场739家上市公司中，所有的公司都按《指引》强制性披露规定的要求在“公司结构”部分披露了公司内部控制建立健全情况的信息。其中能够严格按照《指引》要求在“重要事项”部分详细说明上述内部控制情况的只有411家(占%);有85家(占% )公司都只是简单披露。披露内部控制鉴证或审核报告的公司很少，两者之和不到15%。由此可见，强制性披露要求并未被所有的上市公司遵守，上市公司自愿披露的动机很弱。

从上表不难看出，区分被出具何种类型的审计意见，对鼓励性披露的内控审核报告的公司进行分析后发现：自愿披露自我评估审核报告的公司，只有一家是带强调事项段无保留意见，其余都是被出具了标准无保留意见； 被出具保留意见和无法表示意见的公司中，没有一家公司自愿披露自我评估报告的核实评价意见。由于内部控制审核报告是鼓励披露而非强制披露，那么单独披露内控报告的公司一定程度上表明了管理当局对财务报告质量的信心；另一方面，内部控制自我评估报告是管理当局对企业内部控制制度的设计和执行是否有效做出评估，并表明其对财务报告和资产的安全完整无重大不利影响，这实际上表明了管理当局的一种合理保证，同时也有利于管理当局对内部控制存在的缺陷加以改进，提高企业财务报告的可靠性，因此，可以在一定程度上减少舞弊的可能性。财务报告质量有问题的公司，由于没有一个健全有效的内部控制对财会人员、管理当局形成强有力的约束，从而可能导致他们不遵守相关的财务法规，甚至粉饰财务报表，而一个内部控制并不健全的公司自愿披露内部控制信息可能会得到更加强烈的负面市场反映。这说明我国上市公司内部控制信息披露与财务报告质量有一定关系，财务报告质量较高的公司更愿意披露内部控制信息；财务报告质量较低的公司披露内部控制信息的动机不足。

四、结论

深市739家上市公司中只有411公司很好的按《指引》的强制性披露的要求在“公司结构”部分披露了公司内部控制建立健全情况的信息。强制性披露规定遵循情况不理想的原因在于监管力度不到位。加强监管力度应从引导和处罚两个角度下功夫。证监会应在《公开发行证券公司信息披露内容和格式》等文件中对内部控制信息披露的内容和格式进行具有可操作性的规范，以降低上市公司的编报成本，交易所在证监会统一规定的基础上制定编报细则。在此基础上，健全处罚机制，对违反强制性信息披露规定的企业，通过加大行政处罚和经济处罚的力度来提高违约成本。

基金项目：本文为南京财经大学硕士研究生校级科研课题《内部控制信息披露质量研究》的阶段性成果。

参考文献：

[1]蔡吉甫。我国上市公司内部控制信息披露的实证研究。审计与经济研究。2005 (5).

[2]李明辉，何海，马夕奎。我国上市公司内部控制信息披露状况的分析。审计研究。2003(1).

书山有路勤为径，学海无涯苦作舟。以上4篇信息安全研究报告就是山草香小编为您分享的信息安全研究报告的范文模板，感谢您的查阅。

信息安全研究报告2

关键词 采矿业； 社会责任； 信息披露

中图分类号 文献标识码 A 文章编号 1004-5937（2017）08-0056-06

一、引言

党的十报告要求，坚持节约资源和保护环境，大力推进生态文明建设。而企业传统的利润最大化目标产生了一系列的社会问题，如污染环境、侵犯员工权益、产品质量不合格等，这使得企业受到社会的强烈遣责，严重影响到公众对企业的信任。企业也逐渐意识到不应该盲目追求利润最大化，也应该关注企业的社会形象。企业作为社会中的一个重要角色，公众不仅期待企业能够承担经济责任，还希望企业能够在股东和其他利益相关者之间进行平衡，承担起更多的社会责任。

为了进一步规范和引导企业进行社会责任信息披露，监管部门虽然陆续出台了一些政策法规，要求部分上市公司必须披露社会责任报告，但目前大部分还属于自愿披露的范畴，相关制度也远未完善。如何正确指引企业按照要求来披露以及监督企业真实、完整、及时地披露社会责任信息，是相关政府部门亟待解决的问题。由于社会对不同行业企业有不同心理预期，企业披露社会责任信息往往呈现明显的行业特征。因此，有必要针对各种不同行业背景，分析其社会责任信息披露情况，以便能够进行更加有针对性的引导和监督。

二、文献综述

社会责任是企业在谋求股东利益最大化之外所负有的维护和增进社会福利的义务，应尊重债权人、员工、消费者、供应商、政府部门、社区等利益相关者的合法权利。目前，国内关于社会责任信息披露的研究是从2004年开始的，主要集中在三个方面。

（一）社会责任信息披露影响因素研究

马连福等[1]以深交所上市的458家公司为样本，选取公司绩效、行业属性、公司规模、公司治理特征为解释变量实证研究其对社会责任信息披露指数的影响程度，结果前三个解释变量通过了显著性检验。沈洪涛[2]以1999―2004年在上交所和深交所上市的石化塑胶行业公司作为样本，选取公司规模、盈利能力、财务杠杆、再融资需求为解释变量，实证检验其对社会责任信息披露指数的影响，部分结论与马连福一致；公司规模、盈利能力是影响社会责任信息披露的重要因素，而新引入的公司财务杠杆和再融资需求两个解释变量未通过显著性检验。高敬忠等[3]基于我国上市公司1999―2006年面板数据，首次采用与传统报表数据相结合的社会责任履行度作为被解释变量，来探讨社会责任履行情况的影响因素。郭岚等[4]研究结果表明，行业竞争与企业社会责任呈倒U型关系，在控制行业竞争这一影响因素的基础上，企业竞争地位与社会责任之间呈负向关系。有关此议题研究已达成一个共识，不管是分行业研究，还是针对沪深两市所有上市公司，盈利能力和公司规模是影响其社会责任信息披露问题的共同因素。

（二）社会责任信息披露产生的经济后果研究

陈玉清等[5]通过构建上市公司对利益相关者承担的社会责任贡献指标体系，实证分析了沪深两市对社会责任信息的反应程度。宋献中等[6]因其议题研究年份在深交所、上交所颁布社会责任报告相关制度之前，所以只能通过传统会计报表中披露社会责任信息的质量和决策价值进行总体评价，得出会计年报可能不能完全反映社会责任信息披露问题的结论。毛洪涛等[7]围绕社会责任信息披露的两个主要议题，即企业社会责任信息披露的影响因素及经济后果，系统梳理了国内外实证研究的主要成果。

（三）社会责任信息披露的规范研究

黎精明[8]选取了钢铁冶金、航运交通、化工材料等六大行I的案例公司，主要结合会计年报以及招股说明书来分析我国早期社会责任信息披露存在的问题。阳秋林[9]借鉴了国外三种社会责任信息披露模式，构建有中国特色社会责任信息披露模式。沈洪涛等[10]探究2002年《上市公司治理准则》颁布前后对我国上市公司社会责任信息披露数量和质量的影响。李正等[11]系统总结了我国社会责任信息披露内容的范围以及四种计量方法，最后对上交所642家企业采用指数法来分析社会责任信息披露问题。孙喜平等[12]立足于2010―2012年度湖北省的数据，统计研究该省份社会责任信息披露的现状。这些多是早期社会责任信息披露规范性研究，存在一些局限性：第一，研究时间较久远，我们更关注自2008年上交所、深交所有关社会责任编制指引之后，企业该方面的信息披露是否有较大改观。第二，绝大多数学者还是借助招股说明书、年报等间接披露社会责任信息的数据，并未直接从近年来企业披露的社会责任报告着手进行更加深入的研究。

行业属性是社会责任研究议题必须予以重视的一个方面。由于不同的行业可能面临到不同的内部竞争和外部压力，比如重污染行业需要更加关注员工的健康和安全问题，尽量避免职业病以及安全事故的发生，所以每个行业均会形成特有的社会责任[13]。在我国学术界，从行业层面详细、系统、深入地分特征来研究企业社会责任信息披露的文献较少。鉴于以上研究机会，本文试图通过2008―2015年采矿业上市公司独立提供的190份社会责任报告，研究该行业上市公司社会责任信息披露总体情况，以及在社会责任信息披露具体内容中存在的问题，旨在为提高采矿业企业社会责任信息披露水平和监管部门制定相关政策指引提供帮助。

由表3得知：（1）披露CSR报告家数中强制披露组在2010年、2011年呈现明显的上升趋势，从2009年8家增加到2011年的23家，且强制披露组比重也从2009年40%增加到2011年%，说明在上交所、深交所颁布政策后的前两年对企业独立CSR报告起到明显的推动作用。从趋势上来看，近六年上市公司强制披露组占比均值仅为90%，说明政策的贯彻力度有待加强。（2）披露CSR报告家数中自愿披露组逐年在增加，从2008、2009年的1家（辰州矿业）增加到2015年的14家。自愿披露组比重首次在2010年实现三级式跳跃，占比为%，比之前两年的%、%实现了量的飞跃。虽然2015年自愿披露组占比为2008―2015年的最高值，但也只有%，说明其他不再强制披露名单中企业披露社会责任信息动机不是太强。

（三）采矿业上市公司社会责任信息披露内容与方式现状分析

1.企业社会责任信息披露指标体系的构建

借鉴现有的研究，本文采用自愿性信息披露研究中常用的“指数法”，结合我国采矿业企业社会责任信息披露特点和数据采集的可行性，将用五大类指标来界定企业社会责任信息披露的内容。第一类是环境，具体包括引进先进节能减排技术和设备、进行环境技术研发、了解并管理所排放污染物种类及数量、回收废旧原料等活动的披露；第二类是员工，包括加强员工技能以及安全培训、建立应急救援体系、引进高技术人才、安置公司失业员工、保证员工安全以及提高在职员工福利等活动的披露；第三类是产品，包括增加科研投入以提高产品安全性能、建立产品质量风险预控管理体系、汇编产品安全管理制度、强化安全生产责任状的考核等活动的披露；第四类是社区，包括开展社区公益活动、改造社区健身休闲设施、为社区慈善捐赠、安置社区失业居民等活动的披露；第五类是其他，包括开展除社区外的公益慈善捐赠、为股东派发股利、为债权人派发利息、加强客户关系管理、按时缴纳税费、考虑社区外的弱势群体利益等活动的披露。

按照Wiseman的研究，数量化信息好于文字化信息，文字信息好于无信息的原则，采矿业上市公司社会责任报告中社会责任信息披露的方式分为“货币化信息”（赋值为2）、“非货币化信息”（赋值为1）、“无信息”（赋值为0）三种[14]。五类指标的权重相同，然后针对190家采矿业上市公司出具的社会责任报告的五类指标进行评分并加总，得到各个公司的社会责任信息披露指数（CSRDI）最终得分。取值分布在0和10之间。

的描述性统计

从表4可以得出如下结论：（1）2008―2015年CSRDI均值为，总的来看，只有2014、2015年CSRDI在均值之上，2015年CSRDI达到，为研究期间的最大值。 研究期间，CSRDI最大值除2008年只有9，其他年份都达到了10。说明采矿业上市公司有些公司社会责任履行情况较好，披露情况也令人满意。但CSRDI最小值却为3，说明该行业上市公司社会责任信息披露情况良莠不齐，需要进一步加强这部分公司自愿披露的观念。（2）各个年度样本公司CSRDI无论是偏度还是峰度都没有呈现出很明显的偏倚或高低峰（P值都大于10%），说明其分布逼近于正态分布。

3.社会责任信息披露具体内容描述性统计

本文社会责任信息披露的基本内容分为五大类：环境、员工、产品、社区以及其他。由表5中CSRDI的描述性统计得知，2014、2015年CSR信息披露指数高于研究样本区间的平均值，说明近两年采矿业上市公司社会责任信息披露较往年有较大的提升。现针对这两年CSR信息披露的五大类指标展开详细分析，进一步了解行业目前信息披露现状。表5“未披露”指前文社会责任信息披露方式中“无信息”；“未充分披露”指“非货币化信息”；“充分披露”指“货币化信息”。

由表5和表6的对比可以看出：（1）在五个社会责任信息方面，相对来说，“其他”信息披露的数量和质量是最好的，近两年无一家公司未披露该类信息，2014年有94%进行了充分披露，而2015年全部的33家公司都进行了充分披露。主要原因是我们在定义“其他”类中包含开展除社区外的公益慈善捐赠，在传统的财务会计报告中，该项目被列入“营业外支出”中。（2）“员工”类披露数量和质量在近两年较“其他”类略差一些。2014、2015年分别进行了不同程度的披露，两年的共同点是33家公司都披露了“员工”信息，而且充分披露的比重位居第二名。有数据显示，仅在2015年发生煤炭安全事故达29起，死亡人数达189人，所以公众对于该行业增强员工安全性的措施、开展员工安全培训等方面提出了更高的要求，为保证其整体的社会公众形象，应履行更多的社会责任。（3）与“其他”类、“员工”类一样，“环境”类中全部公司CSR信息披露方式采取了未充分披露以及充分披露两种形式。采矿业作为自然资源开采行业，面临着诸多的环境问题，如水资源受到破坏、大气受到严重的污染等，该行业在为社会带来大量经济增加值的同时，也付出了巨大的生态代价。2010年6月，紫金矿业就因污水渗漏导致严重的环境污染。因此由于行业的特殊性，对环境采取适当的保护措施逐渐受到了人们的重视，其环境绩效相比产品质量及价格更受社会的普遍关注。（4）“产品”类信息的披露2015年比2014年有所好转。未披露方式占比从2014年的10%下降到2015年的3%，而且充分披露方式占比也从2014年的48%上升到2015年的73%。说明“产品”类社会责任信息披露的数量和质量得到了明显的提升。（5）“社区”类信息的披露数量和质量是最差的。近两年未披露方式占比都位居五类信息之首，其中2014年达到39%。

四、结论与启示

在我国，社会责任信息披露对于大部分公司而言是属于自愿披露的范畴。CSR信息披露积极性及披露程度，一方面反映了公司管理层对于社会责任观念的重视，另一方面也凸显了公司在履行社会责任方面愿意做出的贡献。本文通过分析2008―2015年采矿业上市公司数据，得出以下结论：（1）总体来看，采矿业上市公司在上交所、深交所颁布指引之后的第一年即2010年CSR率呈现“井喷式”增长，但CSR率小于50%。（2）从市场分布角度来看，沪市主板2013―2015年CSR报告率稳定在50%以上，明显高于深市主板近三年的率。深市创业板无一家公司CSR报告，是影响深市CSR报告率较低的因素之一。这应引发深交所的进一步思考：上交所公司更愿意披露CSR报告的动机何在，为后续如何制定相关政策以更有效调动深市公司自愿披露积极性提供理论基础。（3）从终极控制人性质来看，中央国有企业和地方国有企业2008―2015年占比都在49%以上，且中央国有企业CSR报告率位居四类企业之首。相对地，民营企业CSR报告率最低，都在30%以下。国有企业大多占据石油石化、矿业、冶金等重要领域，比民营企业拥有更加丰富资源，为了发挥国民经济的主导作用，国有企业应该做好社会责任信息披露的表率作用。（4）从披露的积极性来看，自愿披露组占比从2010年以后有明显的提升，但最高值也仅为%。企业自愿披露CSR报告动力不够、积极性不强。强制披露组占比2010―2015年的均值是90%，说明并不是所有在上交所、深交所社会责任报告强制披露名单中的公司都有CSR报告。这将引发相关监管部门的思考：强制披露名单中未按照规定披露CSR报告的缘由何在，如何警示这些公司后续要按照规定披露CSR报告。（5）从CSR报告披露内容来看，CSRDI从2009年到2015年保持稳增长态势，采矿业上市公司CSR报告信息披露的质量有了明显的提升。其中，“其他”“员工”“环境”类信息披露情况最为充分，“社区”类信息披露数量及质量有待进一步提高。笔者认为主要原因在于目前监管部门并未出具指引企业编制社会责任报告的详细规范，导致作为自愿性披露的信息，有些企业进行印象管理，倾向于披露有利于公司的信息。这有利于监管部门了解采矿业目前在CSR信息披露中存在的问题，为后续制定明确的CSR编制指引提供一些理论支持。

本文还存在一定的局限性：第一，本文只是采取长时期窗口对采矿业上市公司CSR信息披露现状进行纵向的描述性分析，尚未对影响该行业CSR信息披露的影响因素进行全面研究。第二，CSR报告尚缺乏第三方的审验，其完整性与真实性问题有待进一步核查。这些将是以后社会责任信息披露研究的方向。

参考文献

[1] 马连福，赵颖。上市公司社会责任信息披露影响因素研究[J].证券市场导报，2007（3）：4-9.

[2] 沈洪涛。公司特征与公司社会责任信息披露――来自我国上市公司的经验数据[J].会计研究，2007（3）：9-16.

[3] 高敬忠，周晓苏。 经营业绩、终极控制人性质与企业社会责任履行度――基于我国上市公司1999―2006年面板数据的检验[J].财经论丛，2008（6）：63-69.

[4] 郭岚，何凡。行业竞争、企业竞争地位与社会责任履行――以中国酒类行业为例[J].现代财经（天津财经大学学报），2016（3）：62-72.

[5] 玉清，马丽丽。我国上市公司社会责任会计信息市场反应实证分析[J].会计研究，2005（11）：76-81.

[6] 宋献中，龚明晓。社会责任信息的质量与决策价值评价――上市公司会计年报的内容分析[J].会计研究，2007（2）：37-43.

[7] 毛洪涛，张正勇。企业社会责任信息披露影响因素及经济后果研究述评[J].科学决策，2009（8）：87-94.

[8] 黎精明。关于我国企业社会责任会计信息披露问题的研究[J].武汉科技大学学报（社会科学版），2004（3）：8-13.

[9] 阳秋林。中国社会责任会计信息披露模式的构架[J].当代财经，2005（6）：121-124.

[10] 沈洪涛，金婷婷。我国上市公司社会责任信息披露的现状分析[J].审计与经济研究，2006，21（3）：84-87.

[11] 李正，向锐。中国企业社会责任信息披露的内容界定、计量方法和现状研究[J].会计研究，2007（7）：3-11.

[12] 孙喜平，袁志峰，卢俊，等。上市公司社会责任报告现状与趋势――基于2010―2015年度湖北沪深两市上市公司数据[J].财会月刊，2015（5）：28-32.

信息安全研究报告3

（一）信息评价的对象和目的

信息化范围广，含盖社会、经济信息化和国防信息化，社会经济信息化又可分为地区信息化、产业信息化及业务领域信息化；国防信息化可分为军队信息化、武器装备信息化。参见下面信息化分类图及社会经济信息化分类图：信息化的评价就是采用评价指标对各类信息化现状进行测评，以便了解其发展水平，更好采取措施，加快推进信息化向更高水平发展。

（二）我国信息化评价工作的发展现状

我国九十年代国家统计局、信息产业部等政府部门、国家信息中心及高校就开展信息化水平测评的理论、方法及评价指标的研究，提出了信息化水平指数及构成、信息能力的评价指标，对全国30多个省市地区1995-1998年的信息化指数作了统计和分析，2000年以来信息产业部制定信息化评价指标、企业信息化评价指标，科技部制定了制造信息化评价指标，国家统计局信息化应用水平评价指标，在2005年国家统计局开展了信息化应用水平专项调查，对全国行政、事业单位、企业、居民家庭信息化进行专项调查，统计局国际统计中心还进行电子商务专项调查，形成全国电子商务交易额的统计报告。

目前已开展关于信息社会、信息经济、省市地区信息化、智慧城市、企业信息化、电子商务工程、网站、平台、服务及信息安全等的评价：

1、信息社会评价

国家信息中心研制信息社会发展水平测评指标体系：由信息经济指数、网络社会指数、在线政府指数及数字生活指数四个一级指标、9个二级指标和18个三级指标组成，形成信息社会指数ISI，编写中国信息社会发展报告，按信息社会指数划分信息社会发展阶段：为高级阶段。

2、国家及省市信息化发展评价

国家统计局先后推出信息化水平总指数及信息化水平平价指数，2005年开展全国信息化水平专项条件调查，分析研究全国和各省市信息化发展指数（IDI），发改委用于制定国家信息化发展十一五规划，十二五信息化发展指数IDI（2）由基础设施、使用、应用消费、知识支撑和发展效果5个指数组成，2000年起每年31个省市信息化发展指数的比较分析，2011年与工信部联合中国信息化指数统计监测年度报告。

3、智慧城市评价

4、信息经济评价

中国信息化百人会课题组研究信息经济评价，形成“信息经济崛起，重构世界经济新版图”报告，把信息经济分为基础型、融合型、效率型、新生型、福利型层次和类型，提出了基础型与融合型信息经济测算方法。

中国社科院信息化研究中心研究信息化与信息经济测评理论和方法，已有研究成果：《信息化与网络经济：基于均衡的效率与效能计量》，上篇：信息化与网络经济体系创新，基于新技术经济范式的基础框架，下篇：信息化与网络经济计量应用，宏观、中观、微观测度与评价，提出窄义和广义信息经济及计量方法。

5、企业信息化评价

信息产业部信息化推进司2001年提出企业信息化评价基本指标，CECA国家信息化测评中心组织企业信息化500强评选活动，选出企业信息化500强。

科技部推广计算机集成制造系统、及制造信息化，研究制定制造信息化评价指标，提出制造信息化指数，以制造业信息化企业指数和制造业信息化环境指数为基础，合成地区、行业等不同层次的制造业信息化指数。

国资委2007《关于加强中央企业信息化工作的指导意见》（国资发[2007]8号文件），制定《中央企业信息化水平评价暂行办法》（113号文件），根据各企业信息化测评结果，将其划分五个级别。划分标准为：90―100分为A级、80―89分为B级、60―79分为C级、40―59分为D级、39分以下为E级。国资委对145家中央企业开展了2007年度信息化评价工作，定期央企信息化测评报告。

工业和信息化部2013年了《工业企业信息化与工业化融合评估规范国家标准GB/T23020-2013》，2013年10月成立中国两化融合咨询服务联盟，2014年《信息化合工业化融合管理要求（试行）》，制定了两化融合管理体系系列标准，全国1000家企业开展了两化融合管理贯标工作，200家企业通过了第三方认定。

工信部已立项组织电子技g标准化研究院等单位开展智能制造专项综合标准化及试验验证，包含评价指标研究，六所提出智能制造企业评价指标及评估方法。

6、领域信息化的评价

电子政务评价：电子政务网站评价，中国软件评测中心、国脉互联对政府网站进行测评，提出年度政府网站评估报告。

电子商务评价：六所完成科技部十五科技攻关项目电子商务工程评价，提出电子商务工程评价指标和评估方法，近年提出电子商务网站评价、电子商务服务水平评价指标及评估方法，电子商务网站评价已编入电子商务师培训教材，第三方电子商务平台及物流平台评价已有标准，行业网站评价有媒体（互联网刊物）评选商务网站100强，中国互联网协会、农业部信息中心等单位评选涉农网站100强。

信息安全评价：公安部制定信息安全等级保护标准，中国信息安全测评中心及一批有资质单位，对重点行业、企事业单位进行信息安全评估。

二、信息化评价工作存在的问题

（一）多年来信息化评价工作，各部门各自为政，缺乏统一规划和组织协调

信息化测评工作，由政府有关部门、研究机构分头进行，政出多门，缺乏统一规划和组织协调。信息化的评价研究力量薄弱、分散、缺少整合，未形成国家队，研究水平有待提高。

（二）信息化测评、评价指标的研究，缺少信息化评价的理论及顶层设计

信息化有共同的基本要素，不同部门按同一要素设计的评价指标各不相同，有的五花八门，有的信息化、智能化评价指标与评价内容不匹配。有的名为智能、智慧的评价，但评价内容名不符实，还未能体现智能和智慧。有部分社会领域、行业与地区信息化的评价尚处空白、尚未开展评价工作。

（三）信息化评价的标准化与规范的研制严重迟后，不能满足实际发展的需要

信息化测评需要的原始数据采集缺少标准规范，缺少行业、地区信息化的评价标准。有的标准规范没有与时俱进，统计局企业数据采集表，不能反映近年企业信息化发展的实际状况。

（四）有关信息化调查统计与测评数据，调查手段、收集方法有待改进，有关数据库建设迟后，尚无信息化的公共数据库，部门数据也不能共享。

三、“十三五”信息化评价工作的发展目标和重点

（一）“十三五”信息化评价工作的发展目标

1. 信息化评价理论有突破，初步建立信息化评估理论框架及各类信息化的评价模型

2. 建立与完善信息化评价指标体系（包含基本指标体系、行业、地区、领域指标体系）

3. 研究制定主要领域信息化的评价标准和规范

4. 积极开展社会经济信息化、产业信息化、企业信息化、智慧城市、智慧企业、智能制造评价评估

（二）“十三五”信息化评价工作的重点

1. 加强信息化评价理论研究，建立信息化评价模型，完成重要领域信息化评价的顶层设计

2. 整合资源，建立和完善重要领域信息化评价指标体系、信息化评价指标库和评价标准库

3. 加快研制信息社会、信息经济、产业信息化、企业信息化、电子政务、电子商务评价标准、规范

在梳理现有标准规范基础上，加以修订完善和版本升级，有的需要重新研制，要与国际标准接轨，研究制定新一代的信息社会、信息经济、产业信息化、企业信息化、电子政务、电子商务的评价标准和规范

4. 政产学研用结合，大力开展信息经济、制造业、服务业、农业等产业信息化评价评估工作，推进产业转型升级；有关部委及省市政府组织新型智慧城市试点城市进行智慧城市、智慧社区、智慧家庭评价评估，取得经验后逐步推广。

5. 加强信息安全、企业与个人信用、农村信息化的评价指标研究及积极开展有关评价评估工作

四、信息化评估政策措施建议

（一）中央部委加强对信息化评估工作的领导

国家网信办、发改委、工信部、科技部、国家标准委等政府部门联合成立信息化评估部际协调小组，加强对信息化评估工作的领导和组织协调，各部门要把信息化测评与评估纳入互联网+行动计划及十三五规划。

（二）成立信息化研究国家队，加强信息化评价理论研究和评价指标的顶层设计

组织中国社科院、中国科学院、中国工程院及有关科研院所、高校力量，成立各类信息化研究的国家队（信息化研究院或信息化研究联盟），分工合作，跨界协同创新，加快重点领域信息化评价研究和完成顶层设计，指导建立和完善信息化评价指标和标准体系。

（三）国家统计局牵头与有关部委合作，更新与完善信息化统计制度

尽快修订和完善各类信息化数据报表，更广泛地建立网上直报系统，利用网络采集数据，建立信息化调查统计数据库，为各部门及有关单位提供稻莨蚕矸务

（四）积极发展信息化评价评估及咨询服务业，建设信息化咨询服务体系，鼓励建立信息化评价服务平台，为行业、企业信息化评估评价提供支持和服务。

信息安全研究报告4

一、主要内容

2003年2月14日，美国公布了《确保网络空间安全的国家战略》报告（以下简称报告）。该报告共76页，是布什政府对《美国国土安全的国家战略》（2002年7月份公布）的补充，并由《保护至关重要的基础设施和关键资产的国家战略》（2003年2月14日公布）作为其补充部分。该报告确定了在网络安全方面的三项总体战略目标和五项具体的优先目标。其中的三项总体战略目标是：阻止针对美国至关重要的基础设施的网络攻击；减少美国对网络攻击的脆弱性；在确实发生网络攻击时，使损害程度最小化、恢复时间最短化。五项优先目标是：（1）建立国家网络安全反应系统；（2）建立一项减少网络安全威胁和脆弱性的国家项目；（3）建立一项网络安全预警和培训的国家项目；（4）确保政府各部门的网络安全；（5）国家安全与国际网络安全合作。

该报告明确规定，国土安全部将成为联邦政府确保网络安全的核心部门，并且在确保网络安全方面充当联邦政府与各州、地方政府和非政府组织，即公共部门、私营部门和研究机构之间的指挥中枢。国土安全部将制定一项确保美国关键资源和至关重要的基础设施安全的全面的国家计划，以便向私营部门和其他政府机构提供危机管理、预警信息和建议、技术援助、资金支持等5项责任。该报告把关键基础设施定义为"那些维持经济和政府最低限度的运作所需要的物理和网络系统，包括信息和通信系统、能源部门、银行与金融、交通运输、水利系统、应急服务部门、公共安全以及保证联邦、州和地方政府连续运作的领导机构"。该报告强调，确保美国网络安全的关键在于美国公共与私营部门的共同参与，以便有效地完成网络预警、培训、技术改进、脆弱性补救等工作。

二、出台背景

美国自20世纪40年明第一台计算机以来，相继建立了信息高速公路(NII)和全球信息基础设施(GII)，并涌现出英特尔芯片公司、微软公司、IBM公司等一大批全球信息产业的领头羊。因此，美国的信息技术及其应用水平遥遥领先，成为信息第一大国。信息技术及其产业不仅成为美国经济发展的支柱和动力，而且也成为美国交通、能源、金融、通讯乃至国防、情报等赖以存在和发展的基础。美国拥有世界上最为强大的军事和经济力量。这两种力量相互强化，相互依赖，同时也日益依赖于关键基础设施和网络信息系统。这种依赖关系成为了脆弱性的根源。因此，在美国政府看来，计算机网络的脆弱性已经给美国国家安全提出了一个紧迫的问题，关键基础设施和信息系统的安全成为美面临的首要威胁之一，"电子珍珠港"事件随时可能爆发，美国必须采取措施保障关键基础设施和信息系统的安全，避免"信息灾难"。

由大量信息系统组成的国家信息基础结构，已成为美国经济的命脉和国家的生命线，也成为容易受到攻击的高价值的战略目标。1988年，美国康奈尔大学计算机系研究生罗伯特o莫里斯制造出震惊世界的"莫里斯蠕虫病毒"事件，造成全球6000多所大学和军事机构的计算机受到感染而瘫痪，而美国遭受的损失最为惨重。美国政府2001年公布的评估报告显示，在2000年，黑客至少获得了美国的155个政府和18家民间机构计算机系统的完全控制权；美国商务部对下属部门的计算机系统进行全面监测后，发现存在5000多个安全漏洞，在被监测的1200多台工作站和主机中，有30%被划归"极度危险"类。针对网络安全方面的这些严重事故或隐患，美国前总统克林顿忧心忡忡地指出，"这个充满希望的时代也充斥着危险。所有受计算机驱动的系统都容易遭到入侵和破坏。重要经济部门或者政府机构的计算机一旦受到合力攻击，就会产生灾难性的后果"。

从20世纪80年代开始，美国政府以政府通告、总统行政命令等形式，不断推出有关信息安全的政策方针和各类规章制度，而且每隔数年就重新进行审定，以适应科技的发展趋势。与此同时，通过设立层层主管机构，逐步形成一整套信息安全防范体系。这一防范体系从关键基础设施和信息系统的脆弱性分析入手，要求各级政府和私营企业建立"预警一检测一反应一恢复"体系并制定出完善的补救计划，同时强调推广安全意识的教育，加强保护基础设施的研发工作，并力图在收集和分析有关国家威胁美基础设施的情报及开展国际合作方面有所建树。

1984年以来美国政府共了近10个涉及关键基础设施和信息安全的国家政策、通告、总统行政命令和国家计划，对如何维护关键基础设施和信息系统的安全提出了具体的要求。例如，克林顿总统于1998年5月签署的第63号总统令 (PDD-63)规定，拥有最关键系统的政府部门被指定为第一批实施信息安全保护计划的要害部门，其中包括中央情报局、商务部、国防部、能源部、司法部、联邦调查局、交通部、财政部、联邦紧急事务处理局、国家安全局等，它们已经在1998年11月完成了其保护其关键信息系统的计划。2000年1月，根据PDD-63的要求，美国政府制定了《信息系统保护国家计划》，将信息安全保护分为十项内容，涉及到脆弱性评估、信息共享、事件响应、人才培养以及隐私保护、法律改革等。该计划要求在2000年12月建立一个具备初步运作能力的关键信息系统防备体系，到2003年5月实现全部运转。该计划力图实现三个主要目标，即准备和预防、侦查和反应及建立牢固的基础设施。

2001年10月，布什政府了《信息时代保护关键基础设施》的行政命令，组建了总统关键基础设施委员会，其成员包括国务卿、国防部长、司法部长、商务部长、行政管理与预算局局长、科学与技术政策办公室主任、国家经济委员会主席、总统国家安全事务助理、总统国土安全助理等官员。根据该命令，委员会主席将成为总统网络安全事务的特别顾问。他有权了解各部／局内属于其管辖范围的所有情况，并召集和主持委员会的各种会议、制定委员会的议事日程，向相关官员提供保护关键基础设施的政策和方案，并向总统国家安全事务助理和国土安全助理汇报。

今年2月14日，布什政府又公布了《确保网络空间安全的国家战略》，明确规定国土安全部将成为联邦政府确保网络安全的核心部门，并且在确保网络安全方面充当联邦政府与各州、地方政府和非政府组织，即公共部门、私营部门和研究机构之间的指挥中枢。

三、作用与影响

该报告是美国在网络安全方面专门出台的第一份国家战略，既凸现了布什政府对美国网络安全的担心与重视，也显示出其在新世纪确保美国信息霸权和安全的长远战略目标，必将对美国未来的国家安全战略指导思想、网络安全管理机制产生深远的影响。

第一，该报告显示，确保网络安全已经被提升为美国国家安全战略的一个重要组成部分。布什政府认为，信息技术的迅猛发展与计算机网络在美国的普及，已经使美国的国家安全问题不再局限于军事安全、经＜＞济安全和政治安全。网络的便捷使美国社会越来越依赖于信息技术，信息技术的发展已使之成为21世纪美国发展的支柱，而网络成为美国发展的神经中枢。以信息化方式运作的金融、商贸、交通、通信、军事等系统，成为美国国家经济与社会的基础。防止敌对组织或个人对美国的信息系统和全国性网络的破坏，已不再只是一个技术层面的概念，而成为与社会、政治、经济、文化等各个方面密切相关的问题，即这些领域的安全直接关系到美国国家安全的重要因素，信息安全已成为美国国家安全的一个重要组成部分，直接影响到美国的国家运转、经济发展和社会稳定。因此，布什政府出台这份《确保网络空间安全的国家战略》报告，显示出其对网络安全的高度重视。

第二，该报告是美国在"9·11"事件之后，为确保网络安全而采取的一系列举措中的一个核心步骤。其实，"9·11"事件发生后，布什政府一直担心恐怖分子会对美国发动网络恐怖袭击，因此，它采取一系列预防和打击网络恐怖活动的措施。布什政府经国会批准将反恐开支增加到600亿美元，为2000年反恐经费的5倍。其中用于打击网络恐怖活动的开支也增加了两倍多；迅速成立了"国土安全办公室"（即目前已经成立的国土安全部的前身），将打击网络恐怖作为其主要职责之一；任命网络反恐怖专家理查德o克拉克为总统网络安全顾问，并出任在"国土安全办公室"统辖下新设立的"电脑信息网络安全委员会"主席，负责制定、协调全美政府机构网络反恐计划和行动；着手建立一个政府网络(GovNet)，使它与现行互联网分离，以保障政府通讯信息网络的安全性和保护美国国家信息基础设施；召集有副总统理查德·切尼、司法部长约翰·阿什克罗夫特和美国10大网络供应商高官参加的"网络恐怖袭击对策"会议；在美联邦调查局内新设反网络犯罪局，专门负责打击网络犯罪；指令美军加强网络战准备，防范网络恐怖袭击以及打击网络恐怖活动和支持网络恐怖的国家。美国总统布什还对美国指认的所谓纵容网络恐怖主义的国家发出警告称，"如果任何国家为网络恐怖主义者提供安全的避风港，国际社会将切断它与国际互联网的联系，把它排斥在互联网之外。"《确保网络空间安全的国家战略》报告明确提出，美国在网络安全方面的管理机构将会进一步加以整合，最终使国土安全部成为联邦政府确保网络安全的核心部门。

第三，该报告尤其强调发动社会力量对网络安全进行全民防御。虽然美国历届政府在维护信息系统安全方面采取了众多的措施，但它也意识到，仅仅依靠政府的力量是不够的，必须建立起一个全方位的防御体系，动员一切可以动员的社会力量。因此，美国政府十分重视与私营企业之间建立合作关系，重视发挥学术研究机构的优势，同时也重视培养美国公民的信息安全意识。首先，美国历届政府把建立政府和私营企业间的合作关系作为一个主要内容。政府强调保护美国的关键基础设施仅仅依靠联邦政府是不行的，必须与企业界、各州及地方政府进行积极有效的合作。例如，1998年11月，能源部、天然气研究所和电力研究所共同主办了能源论坛，邀请了100余家电力、天然气和石油企业和政府代表参加；1999年10月1日，由政府和私营企业联合发起建立了金融服务信息共享及分析中心。2001年1月，包括IBM在内的500多家公司加入了FBI成立的一个被称作"InfraGard"的组织，共同打击日趋嚣张的网络犯罪活动。《确保网络空间安全的国家战略》报告也多次指出，"确保美国网络安全的关键在于美国公共与私营部门的共同参与"。

其次，重视发挥大专院校和社会科研机构的力量。目前许多大学都设有与信息技术和信息安全相关的学院、研究中心和专业，例如，卡内基-梅隆大学的软件工程研究所，乔治敦大学的计算机信息安全研究所、美国全国计算机安全协会、国际战略研究中心(CSIS)的技术委员会，卡内基国际和平研究所的信息革命与国际关系研究项目等等。目前，美国还开始利用高等院校的科研实力为其服务，2002年2月，美众院通过《网络安全研究与发展法案》，同意在5年内为大学和研究机构提供亿美元的资助，用来研究保护美国计算机网络不受恐怖主义分子和黑客袭击的技术。政府与这些机构展开合作的最好事例就是，由国防部高级研究计划局出资，在卡内基-梅隆大学软件工程研究所内设立了计算机应急处理小组协调中心(CERT)。该中心提供24小时紧急情况联络点，通过与世界范围内IT界和专家之间的交流，提高人们对计算机安全的认识。

最后，重视人才的培养和公民的安全意识教育。该报告认为，到目前为止，还没有"电子珍珠港"事件能够唤醒公众采取行动保护美国网络的意识。许多美国人没有认识到美经济和国家安全对计算机和信息系统依赖到何种程度。而保卫美国的网络空间则需要所有美国人的行动，包括最普通的大众。《确保网络空间安全的国家战略》提出的具体措施包括：完善"网络公民计划"，对美国儿童进行有关网络道德和正确使用互联网和其他通讯方式的教育；借助"关键基础设施安全伙伴"建立美国企业和信息技术精英间的合作关系；保证政府雇员具备保护信息系统安全的意识；在上述行动的基础上，把提高安全意识的活动推广到其他私营部门和普通公众。

参考书目：

1.国务院发展研究中心国际技术经济研究所编：《信息战与信息安全战略》，金城出版社，1995年。