新形勢下服務型考試網站的安全管理實踐

吳志紅

考試網站的主要功能包含網上報名、信息發布、資格審核、成績查詢、證書查詢等一站式服務，“互聯網+”行動給各行各業提出新的發展要求，影響深刻，這既是機遇也是挑戰。互聯網發展越快，智能化程度越高，對服務的要求越高，信息安全面臨的挑戰和風險越來越大，因此，在新形勢下保障“服務+安全”的雙管齊下才是考試網站的主體任務，既要更好地服務于廣大考生，又要在快速發展的互聯網技術形勢下保障網站安全，保障數據安全，這對于網站管理人員提出了更高的要求。

一、考試網站的“服務型”架構特點

考試網站作為政府機構的服務型網站，也是我國“互聯網+政務服務”新形態的一部分，為了推進服務型政府的轉變，加快互聯網上的考試服務力度，一方面要創新工作理念，改變工作思維，制定管理方案，積極打造網上考試服務的“信息窗口”。另一方面，要與大廳服務雙管齊下，實現線上與線下、互聯網服務與傳統現場服務相結合，提升考試服務智慧化水平，推進O2O模式的快速發展，讓考試相關服務圍繞“全流程”、“一站式”、“全方位”的要求，使服務更方便、便捷、有效。

二、構建信息安全管理體系

考試網站必須把信息安全管理放在網站建設的核心位置，努力構建信息安全管理體系，確保考試網站健康、穩定發展。通過制定信息安全總體原則、明確管理職責、以風險評估為基礎選擇重點需要控制的目標與手段等一系列措施來建立信息安全管理體系，強化內部管理，形成一系列的制度及流程文件，并按體系的要求運作。按照計劃-實施-檢查-措施（PDCA）的四循環過程模式不斷完善，首先，制定“服務+安全”總體安全方針和控制網站風險的目標，設計過程和程序；然后實施和運作；再依據方針、目標和實際經驗來評估管理效果，定期提交報告；并采取糾正和預防措施進一步提高管理效果。將這四個步驟成為一個閉環，通過這個環的循環往復，使信息安全管理體系得到持續改進，使信息安全成效不斷上升。

三、加強信息安全技術管理

按照三級信息系統等級保護標準來完善技術層面的管理，信息安全技術體系分為物理安全、網絡安全、主機安全、應用安全、數據安全五個方面，在我國提出的信息安全等級保護有關標準規范中，規定了不同安全層面的控制點要求。在這里不贅述。對于部署在政府數據中心的考試網站來說，網絡、應用和數據尤為重要。

（一）網絡層面防范措施。通過域劃分、入侵檢測與防范等手段防范網絡層面的威脅。對網站業務、數據流向、網絡結構等因素進行安全域的劃分。部署入侵防御系統，抵御來自互聯網的入侵行為。

（二）應用層面防范措施。部署Web應用防火墻對Web應用漏洞進行掃描，同時對SQL注入、跨站腳本等通過應用層的入侵動作實時阻斷，真正達到“網頁防篡改”的目的。對網絡設備運行狀況、網絡流量、用戶行為等進行日志審計，審計內容應包括事件的日期和時間、用戶、事件類型、事件是否成功等內容，對網絡設備日志保存六個月，日志審計以及細致的分析是預測攻擊、定位攻擊以及遭受攻擊后追查攻擊者的有力武器。

（三）數據層面的防范措施。通過網絡安全域劃分，將數據庫隱藏在安全區域，同時通過定期進行安全加固服務對數據庫進行安全配置，嚴格的限定數據庫的訪問用戶與權限，并進行數據庫審計等防范措施，縱向防范來自內部與外部的可能的威脅，保證數據安全。

四、安全運行管理實踐

以下結合考試網站的實際管理經驗，從安全管理機構、安全管理制度、人員安全管理、系統運維管理四個方面系統論述安全運行的管理實踐經驗。

（一） 成立安全管理機構。建立信息化領導小組及管理部門，負責計算機信息系統運行過程中的重大操作管理及審批，目的是控制計算機系統運行過程中的風險。重大操作是指變更機房現有環境及設備設施，修改重要系統的配置參數，增加刪除網絡節點，遠程登錄，系統軟件升級，應用系統的切換，新項目上線，增刪數據，應急計劃的實施等，細化部門職責與崗位說明。

（二）完善管理制度。首先，制定信息安全的總體方針與安全策略，實施等級保護及風險管理，確保信息安全以及實現持續改進；其次，以“誰主管、誰負責”為原則，對于圍繞網絡安全的資產、數據、人員、信息發布、軟硬件、介質、變更等全方位建立一整套完善的管理制度，賦予不同崗位與人員不同的管理職責，形成制度與流程匯編；另外，根據實際制定主機設備、網絡設備、移動存儲設備等各類設備的管理規程，保障信息系統可靠、安全、穩定運行，并做好各種過程與結果記錄。

（三） 人員安全管理。與相關人員簽訂保密協議；定期進行網絡安全教育和培訓，提高全體人員的預防、應急能力。制定信息安全工作的安全責任與懲戒措施，規范安全主管、系統管理員、數據庫管理員、網絡管理員、機房管理員等人員的行為與規范，最大限度的降低信息系統可能發生的風險。

（四）系統運維管理。內容涵蓋環境、資產、介質、設備、監控、惡意代碼、密碼、變更、備份恢復、安全事件處置、應急預案等多個方面。

1.環境管理。加強辦公室計算機信息系統的保密管理，規范辦公室人員行為，及時了解計算機信息系統使用、管理情況，督促各部門的計算機管理規范化、科學化。

2.資產管理。建立信息資產清單，制定信息資產的分類、標識與保管方法，包括：域名、網絡拓撲結構、網絡IP地址及分配規則、源代碼、系統平臺基礎數據、系統配置數據、系統授權信息、系統說明文檔、用戶手冊等。

3.介質管理。針對介質的存儲、使用、維護、維修、歸檔、銷毀等過程制定相應的管理控制規范，加強對各類紙質文檔、電子文檔、光盤、磁帶、移動存儲設備等各類介質的管理。

4.設備管理。規范設備購置、管理、應用、維護、維修及報廢等方面的工作，保護信息系統安全，加強信息系統軟硬件設備管理。

5.惡意代碼防范管理。制定操作規程，防范在計算機中植入惡意代碼的機會。比如不得制作和輸入計算機病毒；不得向他人提供含有計算機病毒的文件、軟件、媒體等介質；外來的軟盤、光盤和移動存儲設備等應先檢查計算機病毒后使用等等，全方位無死角防范可能引入網絡的惡意代碼。

6.密碼管理。關鍵設備和系統的管理賬號和口令應當由安全管理員分配和管理，設置符合要求的賬號和口令（或密碼），安全管理員應對分配出去的賬號和口令以及變更情況進行加密登記并妥善保存，獲得賬號和口令的工作人員不得散發和與他人共享。

7.變更管理。嚴格管理操作系統、數據庫系統、中間件、應用軟件等信息系統的變更。

8.備份恢復管理。保護系統內重要服務器的數據，確保計算機信息系統安全。備份系統設計要具備穩定性、全面性、自動化、高性能、安全性、時效性和容錯性等特點。一旦出現問題，應盡快從備份介質中恢復出最新數據。

9.安全事件處置。制定措施妥善應對和處置由于自然災害、設備軟硬件故障、內部人為失誤或破壞、黑客攻擊、無線電頻率干擾和計算機病毒破壞等原因造成的業務中斷、系統破壞、數據破壞或信息失竊或泄密等網絡突發事件。

10.應急預案。從組織指揮、應急行動、后期處置等方面制訂應急預案，從而實現正確、迅速和有效地處置可能發生的網絡通訊故障，消除突發事件的危害和影響。

通過以上的安全管理實踐，全方位構建了“服務+安全”型考試網站，加大了安全保障力度，進一步提高了服務能力，為廣大考生提供了一個安全、穩定、高效的考試服務平臺。