對(duì)高校信息安全等級(jí)保護(hù)工作的探究

袁麗媛 宋佳霏

摘要：隨著校園信息化建設(shè)的迅速發(fā)展，網(wǎng)絡(luò)中潛藏的不安全的因素逐漸威脅著高校網(wǎng)絡(luò)安全，對(duì)此我們將對(duì)高校信息系統(tǒng)等級(jí)保護(hù)工作現(xiàn)狀進(jìn)行分析，并提出相應(yīng)的建議，希望對(duì)創(chuàng)建穩(wěn)定的校園網(wǎng)絡(luò)環(huán)境有所幫助。

關(guān)鍵詞：信息安全；等級(jí)保護(hù)；現(xiàn)狀分析

近年來(lái)，由于教學(xué)、科研和管理的需要，高校對(duì)網(wǎng)絡(luò)基礎(chǔ)架構(gòu)和信息安全逐漸提出了更高層次的要求，網(wǎng)絡(luò)安全等級(jí)保護(hù)受到越來(lái)越多的高校管理者的關(guān)注。本文結(jié)合高校網(wǎng)絡(luò)架構(gòu)和特點(diǎn)，根據(jù)信息安全等級(jí)保護(hù)制定標(biāo)準(zhǔn)及相關(guān)法律法規(guī)，對(duì)高校信息安全等級(jí)保護(hù)現(xiàn)狀進(jìn)行分析，根據(jù)需求給出相應(yīng)的建議。

1 信息安全等級(jí)保護(hù)的現(xiàn)狀分析

信息安全等級(jí)保護(hù)工作是按照系統(tǒng)資源所具有的實(shí)際安全需求及資源的重要程度對(duì)信息系統(tǒng)進(jìn)行分級(jí)保護(hù)，對(duì)不同類別信息系統(tǒng)給以不同指導(dǎo)，對(duì)系統(tǒng)分階段實(shí)施，確保信息系統(tǒng)安全穩(wěn)定運(yùn)行。2003年，國(guó)家明確指出“要重點(diǎn)保護(hù)基礎(chǔ)信息網(wǎng)絡(luò)和關(guān)系國(guó)家安全、經(jīng)濟(jì)命脈、社會(huì)穩(wěn)定等方面的重要信息系統(tǒng)，抓緊建立信息安全等級(jí)保護(hù)制度，制定信息安全等級(jí)保護(hù)的管理辦法和技術(shù)指南”，07年頒布的《信息系統(tǒng)安全的等級(jí)保護(hù)基本要求》 明確指出了我國(guó)在開(kāi)展等保工作的過(guò)程中應(yīng)遵循的基本技術(shù)和安全管理要求，是等級(jí)測(cè)評(píng)的一個(gè)基本“標(biāo)尺”。

從信息安全等級(jí)保護(hù)發(fā)展現(xiàn)狀來(lái)看，我國(guó)信息系統(tǒng)安全研究還處于初級(jí)階段。現(xiàn)階段，越來(lái)越多的高校開(kāi)始著手等保預(yù)測(cè)評(píng)，部分高校對(duì)信息安全等保工作持觀望的態(tài)度，還有小部分高校不了解也不關(guān)注等保工作。據(jù)某高校對(duì)信息安全等級(jí)保護(hù)預(yù)測(cè)評(píng)的研究中，不完全符合的測(cè)評(píng)指標(biāo)占比都高達(dá)60%，預(yù)測(cè)評(píng)的信息系統(tǒng)無(wú)論是技術(shù)方面還是管理方面都嚴(yán)重缺失，因而，開(kāi)展高校信息安全等保工作具有非常重要的意義。

2 信息安全等級(jí)保護(hù)測(cè)評(píng)流程

流程一：信息系統(tǒng)定級(jí)。我國(guó)信息安全等級(jí)保護(hù)分為五級(jí)，高校將選擇合理等級(jí)進(jìn)行定級(jí)，一般涉及學(xué)校師生的信息系統(tǒng)（如教務(wù)管理、財(cái)務(wù)管理等系統(tǒng)）確定為二級(jí)，涉及國(guó)家、政府與政黨的信息系統(tǒng)上升為三級(jí)，擬確定為四級(jí)以上的信息系統(tǒng)需請(qǐng)國(guó)家信息安全保護(hù)等級(jí)專家評(píng)審委員會(huì)評(píng)審。

流程二：風(fēng)險(xiǎn)評(píng)估。以相應(yīng)的政策、標(biāo)準(zhǔn)為基準(zhǔn)，對(duì)等保體系進(jìn)行風(fēng)險(xiǎn)測(cè)評(píng)，從三者綜合作用角度對(duì)信息資產(chǎn)面臨的威脅、存在的弱點(diǎn)、造成的影響、以及三者綜合作用而帶來(lái)風(fēng)險(xiǎn)的可能性評(píng)估，分析信息系統(tǒng)的等保體系是否達(dá)標(biāo)，風(fēng)險(xiǎn)評(píng)估完成后出具《評(píng)估報(bào)告》和《整改意見(jiàn)》。風(fēng)險(xiǎn)評(píng)估是確定信息安全需求的一個(gè)重要途徑、需請(qǐng)相應(yīng)級(jí)別、具有資質(zhì)的測(cè)評(píng)中心進(jìn)行風(fēng)險(xiǎn)評(píng)估。

流程三：等保方案設(shè)計(jì)與安全體系部署。等級(jí)保護(hù)設(shè)計(jì)對(duì)安全現(xiàn)狀和基本要求進(jìn)行差異性分析，做到以需求為主導(dǎo)、突出重點(diǎn)、整體規(guī)劃，達(dá)到物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全、數(shù)據(jù)安全與備份恢復(fù)各項(xiàng)指標(biāo)要求，以滿足政策要求，滿足標(biāo)準(zhǔn)要求，滿足高校自身要求。等保體系整體架構(gòu)分為通信網(wǎng)絡(luò)、區(qū)域邊界、計(jì)算環(huán)境。

流程四：等保體系測(cè)評(píng)。等保體系測(cè)評(píng)的特點(diǎn)：確保安全，統(tǒng)一規(guī)劃，分步實(shí)施；全局管理、統(tǒng)一標(biāo)準(zhǔn)、適度安全、減少影響。進(jìn)行專家論證，項(xiàng)目組織實(shí)施并進(jìn)行內(nèi)部驗(yàn)收工作。

流程五：等保整改建設(shè)完成。需請(qǐng)相應(yīng)級(jí)別、具有資質(zhì)的測(cè)評(píng)中心進(jìn)行等保測(cè)評(píng)；等保測(cè)評(píng)完成后出具《測(cè)評(píng)報(bào)告》和《整改意見(jiàn)》。等保體系整改建設(shè)完成，構(gòu)筑由安全管理中心統(tǒng)一管理下的計(jì)算環(huán)境、區(qū)域邊界、通信網(wǎng)絡(luò)三重防御體系。

3 高校等保存在的重點(diǎn)難點(diǎn)問(wèn)題

3.1 學(xué)校領(lǐng)導(dǎo)重視度和關(guān)注度普遍不高

部分高校對(duì)信息安全系統(tǒng)等保工作認(rèn)識(shí)不到位，認(rèn)為信息系統(tǒng)沒(méi)必要定級(jí)或者認(rèn)為定級(jí)太高會(huì)提高管理成本，造成不必要的麻煩。因而部分學(xué)校不進(jìn)行系統(tǒng)定級(jí)，或是將信息系統(tǒng)定級(jí)較低。

3.2 資金問(wèn)題

存在長(zhǎng)期閑置的資金，未合理調(diào)整使用方向，未能切實(shí)提高公共資金使用效益。部分高校學(xué)校經(jīng)費(fèi)緊張，信息化建設(shè)主要投資在校園網(wǎng)絡(luò)的基礎(chǔ)設(shè)施，然而在網(wǎng)絡(luò)安全方面的資金投入不足，使得等級(jí)保護(hù)工作整改不到位。

3.3 未建立相應(yīng)的安全管理機(jī)制

在建設(shè)信息系統(tǒng)安全體系時(shí)，許多設(shè)備處于系統(tǒng)默認(rèn)配置而且沒(méi)有配備安全管理員角色，不能起到安全作用。部分高校沒(méi)有建立有效的安全管理制度，并且一些過(guò)舊的管理制度已經(jīng)不能滿足當(dāng)前系統(tǒng)安全管理的需求。[1]

4 高校信息安全等級(jí)保護(hù)改進(jìn)方案

針對(duì)上述高校信息安全等級(jí)保護(hù)工作中出現(xiàn)的問(wèn)題，我們將以下幾個(gè)方面加以改進(jìn)。

4.1 加大宣傳，轉(zhuǎn)變觀念

信息安全等級(jí)保護(hù)管理部門(mén)應(yīng)加大信息安全等級(jí)保護(hù)工作的宣傳力度，定期召開(kāi)由高校有關(guān)信息部門(mén)負(fù)責(zé)人參加的信息安全等級(jí)保護(hù)相關(guān)會(huì)議，宣傳信息安全等級(jí)保護(hù)工作的重要性和意義，促使高校積極轉(zhuǎn)變觀念，使高校充分認(rèn)識(shí)校園網(wǎng)絡(luò)安全對(duì)于學(xué)校安全和穩(wěn)定的重要性以及產(chǎn)生的積極作用。[1]

4.2 建立安全管理機(jī)構(gòu)、健全安全管理制度

多年前的安全管理舊制度，已經(jīng)不能滿足日益成熟的安全系統(tǒng)管理需要，需再建立一些新的管理制度來(lái)逐漸完善。建立專門(mén)的網(wǎng)絡(luò)管理部門(mén)和專業(yè)的網(wǎng)絡(luò)管理隊(duì)伍，配備專業(yè)的網(wǎng)絡(luò)安全管理人員，健全工作制度，做好日志記錄工作，制定安全可靠的應(yīng)急處理預(yù)案。[2]

4.3 做好技術(shù)和管理兩方面的工作

在信息系統(tǒng)采取某些安全技術(shù)的同時(shí)，建立配套的安全管理制度。做好網(wǎng)絡(luò)硬件設(shè)備安全建設(shè)工作重點(diǎn)做好環(huán)境安全、設(shè)備安全與介質(zhì)安全三個(gè)方面的工作；做好軟件方面安全建設(shè)工作，重點(diǎn)在于數(shù)據(jù)安全、應(yīng)用安全、網(wǎng)絡(luò)軟件環(huán)境安全與主機(jī)軟件環(huán)境。[3]

4.4 構(gòu)建符合信息系統(tǒng)等保要求的安全體系結(jié)構(gòu)

建設(shè)適合的網(wǎng)絡(luò)安全模式、調(diào)整網(wǎng)絡(luò)安全架構(gòu)，以適應(yīng)等級(jí)保護(hù)的體系架構(gòu)的要求，制作信息等級(jí)保護(hù)實(shí)施方案，做好構(gòu)筑由安全管理中心統(tǒng)一管理下的計(jì)算環(huán)境、區(qū)域邊界、通信網(wǎng)絡(luò)三重防御體系。

5 結(jié)語(yǔ)

互聯(lián)網(wǎng)的快速發(fā)展推動(dòng)了校園數(shù)字化建設(shè)，如何更好地開(kāi)展高校信息系統(tǒng)安全等級(jí)保護(hù)工作和制定科學(xué)的校園網(wǎng)絡(luò)防范體系成為營(yíng)造高校安全、穩(wěn)定網(wǎng)絡(luò)環(huán)境的基礎(chǔ)。本文開(kāi)展對(duì)高校信息安全等級(jí)保護(hù)工作的探究，希望對(duì)各地高校等保工作提供一定的借鑒作用。

參考文獻(xiàn)：

[1]王強(qiáng)民.高校信息系統(tǒng)安全等級(jí)保護(hù)工作的現(xiàn)狀分析[J].第二屆全國(guó)信息安全等級(jí)保護(hù)技術(shù)大會(huì)會(huì)議論文集，2013（06）.

[2]劉澤華.高校信息系統(tǒng)安全等級(jí)保護(hù)研究[J].中國(guó)管理信息化[J].2016（04）.

[3]崔玉華.對(duì)”信息安全等級(jí)保護(hù)”的探討[J].Netinfo Security，2005：7274.

作者簡(jiǎn)介：袁麗媛（1996），女，漢族，濟(jì)南人，本科，山東中醫(yī)藥大學(xué)；宋佳霏（1996），女，漢族，濟(jì)南人，本科，山東中醫(yī)藥大學(xué)。