大連理工大學(xué)從細(xì)節(jié)保障全生命周期管理

近年來，大連理工大學(xué)開始探索對信息系統(tǒng)進(jìn)行全生命周期內(nèi)的網(wǎng)絡(luò)安全管理，為此成立了網(wǎng)絡(luò)安全部，負(fù)責(zé)整個(gè)信息化建設(shè)當(dāng)中的安全管理與監(jiān)督。2018年網(wǎng)絡(luò)安全部成立后,主要負(fù)責(zé)編寫信息化項(xiàng)目網(wǎng)絡(luò)安全建設(shè)管理規(guī)范。管理規(guī)范主要分為三個(gè)部分，依次是總則、全生命周期各階段網(wǎng)絡(luò)安全建設(shè)和其他相關(guān)制度。

總則包含四個(gè)方面的內(nèi)容。第一，對信息系統(tǒng)全生命周期進(jìn)行了明確的定義。第二，對整個(gè)全生命周期安全管理中的部門進(jìn)行了責(zé)任分工，秉持“誰主管誰負(fù)責(zé)、誰運(yùn)維誰負(fù)責(zé)、誰使用誰負(fù)責(zé)”的原則。第三，網(wǎng)絡(luò)安全一票否決制。第四，廠商安全記錄制。

全生命周期各階段網(wǎng)絡(luò)安全建設(shè)，內(nèi)容如下。

第一，調(diào)研立項(xiàng)預(yù)算階段。包括等保定級（項(xiàng)目立項(xiàng)階段確定安全水平）、Web檢測等安全預(yù)算、資源及安全需求和網(wǎng)絡(luò)安全建設(shè)相關(guān)時(shí)間進(jìn)度。

第二，采購階段。一是采購文件，包括對廠商安全能力的要求和項(xiàng)目安全要求；二是合同，包括項(xiàng)目交付前的安全監(jiān)測和整個(gè)信息系統(tǒng)全生命周期范圍內(nèi)，廠商必須對系統(tǒng)安全負(fù)責(zé)；三是保密協(xié)議，根據(jù)項(xiàng)目具體情況決定，可能有對數(shù)據(jù)和安全要求較高的項(xiàng)目，需要廠商簽署保密協(xié)議。

第三，建設(shè)階段。這一階段有六個(gè)環(huán)節(jié)。

在需求分析環(huán)節(jié)，要求需求必須固定，不得隨意更改，如果有新的需求，可以分階段、分期建設(shè)。在設(shè)計(jì)環(huán)節(jié)，主要是兩個(gè)檢查，一是設(shè)計(jì)文檔的審計(jì)，檢查邏輯的合理性，盡量避免邏輯上的安全問題；二是對開發(fā)所使用的編程語言、開發(fā)框架等做了解和檢查，避免有安全問題的框架的使用。在開發(fā)環(huán)節(jié)，主要是安全開發(fā)、版本管理和開源軟件的二次開發(fā)。在測試環(huán)節(jié)，首先要求廠商必須完成完整的測試，提交明確的測試方案、用例和實(shí)施記錄等；其次在使用測試數(shù)據(jù)時(shí)，必須對真實(shí)數(shù)據(jù)做脫敏處理；最后是代碼審計(jì)，主要是對代碼的規(guī)范性、合理性以及是否存在冗余代碼進(jìn)行檢查。在部署實(shí)施環(huán)節(jié)，首先要求生產(chǎn)服務(wù)器不得用于開發(fā)、測試，同時(shí)進(jìn)行最小化部署；其次是在部署方案里要求廠商明確說明服務(wù)器、軟件環(huán)境、密碼等情況；再次是在交付文檔中提供部署調(diào)整、關(guān)鍵進(jìn)程等參數(shù)，以供后期運(yùn)維階段作為參考；最后是對堡壘機(jī)的使用和服務(wù)器操作要求及審計(jì)做出定義，要求所有的廠商、第三方對于服務(wù)器的遠(yuǎn)程操作必須經(jīng)過堡壘機(jī)。在上線試運(yùn)行環(huán)節(jié)，要求在系統(tǒng)試運(yùn)行之前，每個(gè)項(xiàng)目都要做第三方安全檢測。

第四，驗(yàn)收階段。一方面是文檔的驗(yàn)收，主要有兩個(gè)文檔，分別是第三方Web安全檢測報(bào)告和校方安全檢測處理情況報(bào)告，規(guī)范對第三方檢測機(jī)構(gòu)的資質(zhì)和報(bào)告格式提出了明確的要求和標(biāo)準(zhǔn)，且報(bào)告在驗(yàn)收提交時(shí)均不得存在高危漏洞；另一方面是系統(tǒng)的驗(yàn)收，要求對服務(wù)器進(jìn)行安全檢查，看是否有冗余的軟件代碼、網(wǎng)絡(luò)連接等。

第五，運(yùn)維階段。規(guī)范要求要對整個(gè)運(yùn)維階段進(jìn)行考核。首先是對運(yùn)維方案的考核，包括分工、Bug修復(fù)等一系列的內(nèi)容要求，以保障運(yùn)維的正常進(jìn)行；其次是對運(yùn)維操作的考核，包括堡壘機(jī)的操作、報(bào)告與記錄和最小化的運(yùn)維操作；再次是對升級工作的考核，包括操作系統(tǒng)升級、硬件升級、補(bǔ)丁升級和系統(tǒng)的重大升級，在系統(tǒng)進(jìn)行重大更新或升級時(shí)，必須提前由項(xiàng)目組編制升級方案，審核通過后要嚴(yán)格按照升級方案進(jìn)行升級操作。

第六，結(jié)束階段。規(guī)定給出了項(xiàng)目結(jié)束的條件，包括不再使用、出現(xiàn)故障無法修復(fù)或遇到安全問題無法解決、項(xiàng)目組人員不全致使系統(tǒng)失控失管和國家或?qū)W校規(guī)定要求系統(tǒng)下線，這時(shí)項(xiàng)目就需盡快結(jié)束，避免出現(xiàn)安全隱患。

其他相關(guān)制度主要包含兩方面的內(nèi)容，第一是數(shù)據(jù)安全與個(gè)人信息保護(hù)，對于個(gè)人信息，不得超范圍使用，使用到的數(shù)據(jù)要加密存儲；對于數(shù)據(jù)，建議數(shù)據(jù)本地保存，在進(jìn)行刪除操作時(shí)，項(xiàng)目組要經(jīng)過討論，慎重使用。第二是正版軟件的使用，要求在整個(gè)建設(shè)過程中，不得使用來路不明的軟件，特別是破解版的軟件，避免惡意代碼隨來路不明軟件帶入，盡量使用正版軟件或官方版本的開源軟件。