淺談高校信息安全策略

向運(yùn)瓊

四川大學(xué)保衛(wèi)處

近年來(lái)，科技突飛猛進(jìn)，隨著網(wǎng)絡(luò)與教育的有機(jī)結(jié)合，高校教育已走向網(wǎng)絡(luò)化、信息化和個(gè)性化。高校校園也不再是封閉式的“象牙塔”，呈現(xiàn)出辦學(xué)現(xiàn)代化、國(guó)際化的特點(diǎn)，不斷出現(xiàn)新情況、新問(wèn)題，教育信息和網(wǎng)絡(luò)的安全問(wèn)題已經(jīng)成為保持校園正常教學(xué)、管理的重要課題。

1 高校信息安全所存在問(wèn)題

管理制度不完善。現(xiàn)代化管理體系和機(jī)制尚未建立起來(lái),傳統(tǒng)管理方式造成安全更加脆弱。

部分師生員工信息安全意識(shí)不強(qiáng)。許多高校師生員工、相關(guān)工作者還沒(méi)有真正認(rèn)識(shí)到互聯(lián)網(wǎng)給高校安全穩(wěn)定帶來(lái)的嚴(yán)重威脅。他們的思想認(rèn)識(shí)、工作機(jī)制大多還停留在傳統(tǒng)狀態(tài), 信息時(shí)代的隱形安全隱患還沒(méi)有引起他們的警惕。

技術(shù)力量薄弱。信息時(shí)代帶來(lái)的互聯(lián)網(wǎng)是高新技術(shù)行業(yè), 而從事高校安全保衛(wèi)及信息安全相關(guān)工作的人員大都對(duì)網(wǎng)絡(luò)只知其表不知其理, 網(wǎng)絡(luò)監(jiān)管力量單薄，缺乏專(zhuān)業(yè)技術(shù)人員、專(zhuān)業(yè)技術(shù)的有力支撐。

投入不足，設(shè)施不全。目前，信息化設(shè)備采購(gòu)成本還比較高，加之還沒(méi)有引起重視，因此很多高校信息化設(shè)備陳舊，設(shè)施不全。

2 加強(qiáng)高校信息安全建議

2.1 明確機(jī)構(gòu)，完善信息安全管理機(jī)制

2.1.1 建立健全信息安全管理機(jī)構(gòu)。網(wǎng)絡(luò)對(duì)高校環(huán)境影響的多樣性和復(fù)雜性，要求高校必須重視網(wǎng)絡(luò)信息安全管理工作，必須要有一支獨(dú)立的既懂技術(shù)又懂管理的專(zhuān)職隊(duì)伍來(lái)從事信息安全工作。

2.1.2 落實(shí)信息安全責(zé)任制。建立崗位和人員管理制度，根據(jù)職責(zé)分工，分別設(shè)置安全管理機(jī)構(gòu)和崗位，明確每個(gè)崗位的職責(zé)與任務(wù)，落實(shí)安全管理責(zé)任制。建立安全教育和培訓(xùn)制度，對(duì)信息系統(tǒng)運(yùn)維人員、管理人員、使用人員等定期進(jìn)行培訓(xùn)和考核，提高相關(guān)人員的安全意識(shí)和操作水平。建立定期檢查制度，定期對(duì)全校的所有應(yīng)用系統(tǒng)和網(wǎng)絡(luò)系統(tǒng)進(jìn)行相關(guān)信息安全檢查，形成日志，作為緊急處理程序的重要參考及發(fā)生信息安全問(wèn)題后追查相關(guān)責(zé)任人和責(zé)任單位的重要文檔。

2.1.3 明確信息資源安全等級(jí)、信息安全保護(hù)等級(jí)。對(duì)于信息資源，校內(nèi)各信息資源管理部門(mén)，按照《信息安全等級(jí)保護(hù)定級(jí)技術(shù)指南》[1]規(guī)定，對(duì)內(nèi)部信息資源根據(jù)信息的性質(zhì)和重要程度實(shí)行分級(jí)管理。

根據(jù)劃分的信息資源等級(jí)和國(guó)家頒布的《計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則》[2]，對(duì)于存放在計(jì)算機(jī)系統(tǒng)中的信息，可將校園計(jì)算機(jī)系統(tǒng)安全保護(hù)劃分為以下等級(jí)：[3]用戶自主保護(hù)級(jí)，如教務(wù)、招就、黨籍、團(tuán)籍、離退休信息管理系統(tǒng)等；系統(tǒng)審計(jì)保護(hù)級(jí)，如圖書(shū)、審計(jì)信息系統(tǒng)；安全標(biāo)記保護(hù)級(jí)，如檔案管理、人事勞資管理、財(cái)務(wù)管理、資產(chǎn)管理信息系統(tǒng)；由于科研信息的保護(hù)在高校至關(guān)重要，一旦泄露，后果嚴(yán)重，甚至危害國(guó)家安全，所以根據(jù)科研的安全等級(jí)分為結(jié)構(gòu)化保護(hù)級(jí)和訪問(wèn)驗(yàn)證保護(hù)級(jí)，一般科研項(xiàng)目、重要科研及校園監(jiān)控等系統(tǒng)可劃分為結(jié)構(gòu)化保護(hù)級(jí)，而有關(guān)涉密信息、科研、項(xiàng)目應(yīng)歸為訪問(wèn)驗(yàn)證保護(hù)級(jí)。

2.1.4 根據(jù)安全等級(jí)劃分安全人員，做好人員安全管理。信息安全與信息資源管理領(lǐng)導(dǎo)小組根據(jù)信息資源安全等級(jí)、信息安全保護(hù)等級(jí)，按照《信息系統(tǒng)安全等級(jí)保護(hù)基本要求》[4]中“人員安全管理”要求，在信息安全員隊(duì)伍中確定每一級(jí)別的安全人員，選擇好安全人員，做好人員安全管理。人員安全管理主要包括人員錄用、離崗、教育培訓(xùn)、績(jī)效考核等內(nèi)容。規(guī)范人員錄用、離崗、考核，關(guān)鍵崗位要根據(jù)《中華人民共和國(guó)保密法》(2010年修訂)簽署保密協(xié)議，對(duì)各類(lèi)人員進(jìn)行安全意識(shí)教育、崗位技能培訓(xùn)和相關(guān)安全技術(shù)培訓(xùn)，對(duì)關(guān)鍵崗位的人員進(jìn)行全面、嚴(yán)格的安全審查和技能考核。對(duì)外部人員允許訪問(wèn)的區(qū)域、系統(tǒng)、設(shè)備、信息等加以控制。

2.2 加強(qiáng)信息安全意識(shí)的宣傳教育及信息安全的培訓(xùn)工作

自互聯(lián)網(wǎng)接入我國(guó)后，信息傳播速度得到了迅速提升，給人們的生活帶來(lái)了很大的便利，但是在傳播信息的同時(shí)，一些惡意信息在網(wǎng)絡(luò)中肆意橫行，怎樣在信息量大、傳播速度快、覆蓋面廣，具有高度的開(kāi)放性和交互性的互聯(lián)網(wǎng)中如何趨利避害，讓校內(nèi)人員自身認(rèn)識(shí)到信息安全并不是一個(gè)離自己比較遠(yuǎn)的話題，它就在我們身邊，與每個(gè)人都密切相關(guān)呢？

2.2.1 利用行政手段。通過(guò)各種會(huì)議進(jìn)行信息安全宣傳教育；

2.2.2 利用教育手段。通過(guò)定期開(kāi)展信息安全學(xué)術(shù)研討會(huì)、安全知識(shí)講座、安全知識(shí)競(jìng)賽等進(jìn)行信息安全教育方式，增強(qiáng)師生員工信息安全意識(shí)和維護(hù)信息安全的能力；

2.2.3 利用學(xué)校傳播媒介、輿論工具等手段。通過(guò)校刊、校報(bào)、校園網(wǎng)絡(luò)、廣播、宣傳欄等方式進(jìn)行信息安全教育。

2.3 提高信息安全環(huán)境

我國(guó)網(wǎng)絡(luò)信息安全技術(shù)研究起步相對(duì)較晚，信息安全體系建設(shè)尚處于不完善狀態(tài)，國(guó)內(nèi)計(jì)算機(jī)網(wǎng)絡(luò)信息安全技術(shù)的研究,與發(fā)達(dá)國(guó)家相比,存在一定的差距。而高校信息安全技術(shù)較其他領(lǐng)域，目前處于滯后狀態(tài)，借鑒其他領(lǐng)域相關(guān)經(jīng)驗(yàn)，高校信息安全技術(shù)需要：

2.3.1 加強(qiáng)信息安全技術(shù)硬件的配備。由于目前高校人員安全意識(shí)不強(qiáng)，對(duì)信息安全技術(shù)硬件的投入不夠，未能得到重視。俗話說(shuō)“巧婦難為無(wú)米之炊”，硬件設(shè)施跟不上，安全環(huán)境就得不到基本的保障。既要配備網(wǎng)絡(luò)信息防范設(shè)備，加強(qiáng)安全保密建設(shè)，做好物理環(huán)境的安全，盡量防止意外事件或人為破壞具體的物理設(shè)備，又要做好計(jì)算機(jī)設(shè)備安全，對(duì)計(jì)算機(jī)的機(jī)箱采取一定的物理隔離防護(hù)措施。

2.3.2 建立專(zhuān)門(mén)的信息安全員隊(duì)伍。建立專(zhuān)門(mén)的信息安全員隊(duì)伍，信息安全員的選擇，保密覺(jué)悟排在第一位，其次安全意識(shí)要強(qiáng)，最后信息安全技術(shù)過(guò)硬也是必不可少的，信息安全管理人員必須做到及時(shí)進(jìn)行漏洞修補(bǔ)、軟件定期升級(jí)和安全系統(tǒng)定期巡檢，保證對(duì)網(wǎng)絡(luò)的監(jiān)控和管理。在管理方面，要對(duì)信息安全工作人員定期舉辦信息安全培訓(xùn)，并定期與各部處學(xué)院的信息安全管理員進(jìn)行溝通，及時(shí)發(fā)現(xiàn)相關(guān)論壇、BBS、內(nèi)部資源系統(tǒng)及儲(chǔ)存設(shè)置等存在的問(wèn)題，并及時(shí)妥善處理。

2.3.3 完善技術(shù)防范體系。技防是人防和物防功能的延伸和加強(qiáng)，是對(duì)人防和物防防范漏洞的彌補(bǔ)。雖然目前大部分計(jì)算機(jī)使用了防火墻和計(jì)算機(jī)病毒防治產(chǎn)品, 安裝了基本的技術(shù)防范設(shè)備, 但是技術(shù)防范措施比較薄弱。因此應(yīng)加強(qiáng)這方面的指導(dǎo),例如：大力使用加密技術(shù)。另外，加強(qiáng)高校信息科技安全技術(shù),應(yīng)確定哪些技術(shù)須自主開(kāi)發(fā),哪些技術(shù)可以加以利用，這樣才能最終保障校內(nèi)信息資源的安全，提高高校信息安全的技術(shù)防范能力。

2.4 建立應(yīng)急處理機(jī)制

高校信息安全具有復(fù)雜性和動(dòng)態(tài)性。復(fù)雜性是指高校的信息安全問(wèn)題并非被限制在某個(gè)特定領(lǐng)域內(nèi)討論，信息安全工作不僅僅是保護(hù)特定的信息不被竊取非法使用，有時(shí)也可能是為了特定的社會(huì)和集體利益而對(duì)特定信息進(jìn)行刪除、屏蔽或隱藏。動(dòng)態(tài)性主要是指高校信息安全工作總是處于動(dòng)態(tài)變化之中，每個(gè)月都可能出現(xiàn)不同的信息熱點(diǎn)問(wèn)題，甚至一個(gè)月中可能會(huì)出現(xiàn)數(shù)個(gè)不同的信息熱點(diǎn)問(wèn)題。[5]

信息安全的復(fù)雜性和動(dòng)態(tài)性，決定了在日常管理中需要未雨綢繆、居安思危，超前考慮可能出現(xiàn)的各種問(wèn)題，根據(jù)不同的問(wèn)題制訂相應(yīng)的應(yīng)急處理機(jī)制，明確各單位職責(zé)、任務(wù)和處置措施，并定期進(jìn)行操作演練，這樣在真正出現(xiàn)影響國(guó)家安全利益與高校穩(wěn)定的信息安全事件的時(shí)候才不至于手忙腳亂，能夠立即采取措施，有效地控制危機(jī)，將損失減少到最低程度。

3 結(jié)語(yǔ)

高校信息安全是一項(xiàng)長(zhǎng)期的、系統(tǒng)的、綜合性的課題,涉及技術(shù)、管理、使用等許多方面,既包括信息系統(tǒng)本身的安全問(wèn)題,又有物理的和邏輯的技術(shù)措施。世界上不存在絕對(duì)安全的信息系統(tǒng)，除了必要的硬件和技術(shù)作為有力支撐外，使用者和管理人員之間的默契配合、使用者安全意識(shí)、管理人員責(zé)任心等都是非常重要的。只有在建立健全組織機(jī)構(gòu)、提高安全意識(shí)的同時(shí)，還要有完善的規(guī)章制度、超前的管理措施、一流的安全管理人員，這樣才能保障高校信息安全工作順利開(kāi)展。

[1]信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)指南(GB/T 22240-2008)[S]

[2]計(jì)算機(jī)信息系統(tǒng)安全保護(hù)劃分準(zhǔn)則(GB17859-1999)[S]

[3]劉玉燕.高校信息安全等級(jí)保護(hù)評(píng)測(cè)[J].信息技術(shù)，2011.02

[4]信息系統(tǒng)安全等級(jí)保護(hù)基本要求(GB/T 22239—2008)[S]

[5]李西明，鹿海濤.高校信息安全管理探討[J].中國(guó)教育信息化，2010.01