科研院所安全信息系統運維標準研究

惠建新 喬德志 婁洪偉

摘 ?要：文章對科研院所安全信息系統運維現狀進行了分析研究，依照國家有關體系規定的要求，提出了建立科研院所安全運維標準的意見。該標準意見具有可靠性、普適性、穩定性，能夠通過技術和管理手段提高運維和審計水平，降低運維成本，并能提供安全可靠的運行環境。實現了問題牽引，靶向解決安全信息系統運維要害，可有力支撐科研院所信息化工作。

關鍵詞：安全信息系統;運維體系;三員人員;安全防護

中圖分類號：TP309 文獻標識碼：A文章編號：2096-4706（2021）13-0128-06

Research on Operation and Maintenance Standard of Safety Information System in Scientific Research Institutes

HUI Jianxin1， QIAO Dezhi2， LOU Hongwei3

（1.Purple Mountain Observatory， Chinese Academy of Sciences， Nanjing 210023， China; 2. Dalian Institute of Chemical Physics， Chinese Academy of Sciences， Dalian 116023， China; 3.Changchun Institute of Optics， Fine Mechanics and Physics， Chinese Academy of Sciences， Changchun 130033， China）

Abstract： This paper analyzes and studies the current situation of operation and maintenance of safety information system in scientific research institutes， in accordance with the requirements of relevant national systems， puts forward suggestions on establishing safety operation and maintenance standards for scientific research institutes. The standard opinion is reliability， universality and stability， it can improve the level of operation and maintenance and audit through technical and management means， reduce operation and maintenance costs， and provide a safe and reliable operating environmentin. It realizes problem traction， aims to solve the key points of operation and maintenance of safety information system， and can effectively support the informatization work of scientific research institutes.

Keywords： safety information system; operation and maintenance system; three personnel; safety protection

0 ?引 ?言

承擔國家安全科研生產任務的科研院所，是國家科研力量的中堅，在科研過程中，安全信息系統運維工作尤為關鍵，隨著新一輪體系論證深入開展，面對新問題、新挑戰、新要求，科研院所面對審查認定所帶來的巨大壓力，在應對標準變化帶來的前期準備工作倉促、內部管理目標的單一化，安全管理易偏向“粗放式”和“教條式”，出現為了迎合審查認定而開展安全工作，具體表現為：“標準有明確要求的才做”“標準要求做到什么程度就到什么程度”，甚至，個別研究所為了通過審查認定而采取“審查認定查什么就準備什么”或者“拿來主義”，不經思考、生搬硬套、照搬照抄等方式，由此，完全背離了安全信息系統運維監督管理的初衷，本末倒置了研究所內部管理對于信息安全管理的需求。

目前對于科研院所而言，在新的認定標準中，安全信息系統運維管理建設是最大的風險點，如：責任制落實不到位、定密不準確、知悉范圍控制不精確、涉密人員管理有空檔，計算機及通訊管理未知因素太多，試驗設備（或工控設備）管理技術手段不夠，宣傳報道管理由于定密不準，審查就會把握尺度不精細。如果安全信息運維管理與研究所科研管理的實際不能有機結合，或者結合不緊密，仍然形成“兩張皮”。安全信息系統運維外循環的安全管理，無從落地，紙上空談，漏洞也必然存在，隱患危害巨大。

本文針對上述問題，就安全信息系統運維管理，開展“做什么”“怎么做”“誰來做”逐一剖析和解答。依國家規定要求，建立適合科研機構安全運維標準意見，在指導科研單位開展信息安全系統運維建設、實現通過技術和管理手段提高運維和審計水平，降低運維成本，并能提供安全可靠的運行環境，實現了問題牽引，靶向安全信息系統運維要害，支撐科研院所信息化工作。

1 ?安全信息系統運行維護分析

信息系統運維涉及工作主要有：

（1）運行維護管理和安全控制，運行管理和安全控制的目的是：保證系統不斷變化和種類繁多的運行管理活動得到控制，信息系統的安全運行，操作人員應對信息系統實行正確和安全的操作。

（2）策略變更管理和安全控制，使用標準的方法和步驟，盡快地實施變更，確保在發生安全配置、安全設施、系統結構和業務應用等變化時，確保變更所導致的信息資產安全性降低、業務中斷或業務影響降到最低。

（3）安全狀態監控，安全等級不同的信息系統，安全監控方面要求采用的手段和監控內容有別。

（4）安全事件處置和應急預案，安全事件采取響應分級對待與事件處置機制，可根據相關標準建立合適的應急響應機制，保障業務系統的持續運行。

（5）運行檢查和升級改進，在信息系統運行維護過程中，信息系統變更、安全狀態改變等，情況常規事件時有發生。故而，定期對信息系統運行狀況安全檢查，并依據檢查結果對信息系統進行持續改進。

但是對于安全信息系統，通常大家知道的就是分級保護和BMB標準，對于其他可能就知之甚少。所以本文研究過程中就要解決和回答以下一系列的為什么。

1.1 ?信息系統運維管理保障

因安全信息系統非普通的公共信息系統，該系統是需要保護國家秘密的安全的信息系統，所以安全信息系統必須要按照國家安全相關的法律法規來進行管理，要在組織機構、人員和經費上得到保障。

信息安全是指：運行信息系統中的數據以及信息系統的軟件、硬件受到保護的程度，以及，防止威脅系統正常運行以及盜取系統中的知識、數據等信息而采取的措施。誠然，信息安全是一種思維方式，非依靠某一種技術就能實現的，無絕對的信息安全。

1.2 ?信息系統運維人員職責及履職

2013年的“斯諾登事件”提醒我們，大數據時代要以信息安全為主轉變為數據、信息安全并重，制定防范與處置重大失泄密安全事故預案，自“嚴防死守”轉變為“預防為先、攻防結合”，積極提高信息化管理水平。強化對網絡和信息系統安全策略的管理，嚴密檢測各種數據信息的流向，逐步實現“事先有措施、事中能監視、事后可追蹤”。安全信息系統“三員”必須要認真履職，權限要劃分合理。三員的職責劃分是：

（1）系統管理員職責為信息系統服務器設備、網絡設備的安裝及維護，把握系統運行情況，確保物理安全;負責網絡日常監控、維護，負責系統設備的維護，保證設備穩定運行。負責編寫系統管理、網絡運行部分的審計報告內容。

（2）安全管理員負責部署安全產品，制定和實施相關安全策略，負責信息系統中的用戶賬號管理，定期分析日志，及時解決和處理相關安全事件;負責編寫安全管理系統安全日志、安全事件部分的審計報告內容。

（3）安全審計員負責根據安全審計策略，對系統的日志進行檢查及抽查。對系統管理員、安全管理員的操作行為進行審計、跟蹤分析和監督檢查。根據系統管理員、安全管理員對于系統日志的分析，發現問題，及時糾正。組織定期完成審計報告。

1.3 ?安全信息系統的設備運維管理

涉密終端計算機的安全防護體系是一個比較復雜的系統，包括無線設備拆除、操作系統安裝要求、密碼設置、系統安全配置、安全產品安裝等方面。如果沒有制定新增涉密終端計算機的安裝操作過程文件，系統管理人員在新增涉密終端計算機時沒有可遵守和參考的標準，很容易操作不規范、遺漏重要的安全設置。系統管理人員還應記錄涉密終端計算機的操作具體操作過程，這樣作為系統管理工作的證據，同時也方便后續檢查是否遺漏了哪些設置;再有安全信息系統的服務器、網絡設備維修、報廢和軟硬件安裝、更新，格式化和重裝系統等，如果疏于管理，操作時不經過審批和記錄，很容易就造成失泄密事件發生。

1.4 ?安全防護系統管理

運維人員明確各自職責，在安全防護系統管理方面，系統管理員應負責承載安全產品服務器的安裝、安全防護系統的網絡地址分配等任務。職責明確、分工具體，管理過程不能存在交叉、替代，保證操作過程統一、權責明晰。安全產品是安全信息系統的重要安全保障，單位應規范其管理過程，安全產品管理過程不規范容易造成系統安全措施失效，起不到安全防護的作用，同時影響到信息系統的正常運行。安全管理員具體負責安全產品的測試選型、策略配置、策略下發、終端計算機安全管理系統客戶端安裝管理等。單位應制定安全產品的管理規定和操作過程，安全管理員應按照制度規范操作，詳細記錄操作日志。

1.5 ?應用系統管理

應用系統是安全信息系統的重要資產，承載信息系統中的主要業務。應用系統的管理應實現分權分責，應明確系統管理員和安全員的職責，避免權責不清、工作交叉、替代。系統管理員應主要負責應用系統的服務器安裝、數據庫安裝配置、基礎數據賬號的配置等工作。系統管理員負責具體業務功能、包括權限設置、業務規則設置、監控分析等。應用系統管理不規范容易造成系統中業務混亂，涉密電子文件在信息系統中得不到有效控制，造成涉密文件被非授權人員非法獲取、通過非正常途徑輸出涉密信息等。單位應制定安全信息系統中應用系的管理規定和操作過程，運維人員應按照制度規范操作，詳細記錄操作日志。

2 ?安全信息系統運維管理

2.1 ?運維管理原則

安全信息系統運維原則是：穩定、安全、安全、可控、高效。

2.2 ?運維制度、操作規程

安全信息系統運維工作機構應制定運維管理制度，并經信息化管理部門審核后簽發。安全信息系統運維工作機構應根據運維管理制度建立運維操作規程，規范具體運維工作。

2.3 ?運維人員管理

明確信息系統運維人員的任職條件，制定考核程序，經過考核后上崗工作，運維工作人員應簽訂安全承諾書。定期對安全信息系統運維人員工作情況進行考核，根據考核情況進行獎懲，存在無法勝任信息系統管理工作的情況應及時調整。

安全信息系統管理“三員”人員，不能以其他用戶身份登錄系統;不能查看和修改任何業務數據庫中的信息;不能增刪改日志內容。三員應由本單位內部人員擔任，要求政治上可靠，熟悉安全信息系統管理操作流程，具有較強的責任意識和風險防控意識;并簽署安全承諾書。三員管理業務范圍及邊界如圖1所示。

安全系統終端登錄身份鑒別：對于安裝Windows操作系統的安全系統終端，禁止使用遠程桌面和遠程登錄功能，對于本地登錄，不再單純依靠Windows系統本身的登錄認證機制，需在進行Windows用戶認證的同時，采用USB Key對登錄用戶進行身份認證，同時USB Key使用口令（PIN碼）進行使用保護。

USB Key與安全信息終端連接，在安全信息終端啟動時，必須插入USB Key，并輸入正確的訪問口令，才能進入Windows系統。涉密計算機終端本地登錄身份鑒別的處理流程如圖2所示。

2.4 ?應用系統管理

應用系統管理中各系統管理員職責和相關要求如以下所示：

（1）系統管理員職責是安全系統中應用系統服務器的安裝配備，負責安裝部署應用系統、安裝配置相關的數據庫系統、配置應用系統賬戶，如圖3所示。

（2）安全管理員負責信息系統中應用系統的配置賬號權限、設置業務規則設置，負責監控分析應用系統運行情況。

（3）應用系統部署操作規程。

（4）檢查應用系統在身份認證、權限劃分、安全審計、數據安全方面的系統功能是否符合安全要求。

（5）按照信息系統服務器安裝配置要求安裝與配備應用服務器。

（6）在服務器上安裝與部署應用系統以及相關的數據庫等系統。

（7）配置系統管理員、安全管理員、安全審計員權限。

（8）配置終端用戶賬號及默認密碼，要求用戶首次登錄后修改默認密碼。

（9）配置應用系統數據、文件管理流程及策略，保證敏感數據的存儲、傳輸、輸出等過程符合安全要求。

（10）安全審計員職責是審計系統管理員和安全管理員操作。

（11）應用系統安裝部署、變更、廢止應履行審批手續，經信息化管理部門審批。系統管理員和安全管理員接到《應用系統管理審批表》后，進行操作，安全審計員負責審計系統管理員和安全管理員操作，詳細記錄操作內容。

2.5 ?應用軟件管理

系統管理員在應用軟件管理中應負責的主要事項如下：

（1）系統管理員負責信息系統用戶終端計算機各種應用軟件的安裝與卸載。

（2）信息系統內用戶終端計算機常用軟件可建立軟件白名單，終端用戶可下載并安裝白名單內軟件，無須進行審批。

（3）系統管理員負責信息系統應用軟件白名單管理，將白名單內軟件上傳至信息系統公共下載網站，提供下載服務。

（4）上傳、變更白名單軟件應履行審批手續，經信息化管理部門審批。安全管理員《軟件審批表》后，負責對上傳的軟件進行安全檢查，確保沒有敏感信息，系統管理員負責上傳文件。安全審計員負責審計系統管理員和安全管理員操作。

3 ?安全信息系統運維標準的意見

3.1 ?信息系統運維管理是一個系統性管理

安全信息系統運維管理水平直接影響安全信息系統的使用效果，面對復雜的運維內容和類型繁多的軟硬件設備，通過明確歸口管理，從制度上確定運維管理體系;通過健全組織機構、配備合適人員來“強身體”;通過執行法律法規和規章制度來“正思想”，增強人員能力素質;通過配置運維工具、保證正常運維經費，按程序和規范做“正確事”，并以加強安全防護體系完善和技術創新提升運維“攻防”能力，共同協作推動安全信息系統運維工作向更全面、更迅速、更專業、更智能的方向發展。

提出工作重點是安全信息系統運維管理應重點圍繞制度建設、組織機構、管理責任、運維管理人員、運維工具、設備和信息交換等可能存在的重大風險和問題，總體要求是要充分認識安全信息系統運維管理和節點安全的重要意義，堅持底線思維，加強風險管理，建設和完善預警監測體系，防范和化解安全信息系統運維中發現的重大安全風險。

（1）圍繞信息領域安全和關鍵核心技術開展安全信息系統安全風險研究，向國家有關部門提出對策建議，著力解決國家安全信息系統安全急需的重大科技問題。

（2）開展安全信息系統安全風險評價工作，建立評價、審核、防范措施落實、監督檢查和評價警示機制，建設并運行安全信息系統管理的預警監測體系，實現安全信息系統運維安全，風險全過程監測預警。

（3）建立和完善安全信息系統安全風險隱患及事件事故處置流程，制定落實獎懲制度，壓實安全信息系統運維安全風險管理工作責任。

3.2 ?規范安全信息系統“三員”的職責和工作標準

安全信息系統的運維工作是由使用者發現系統故障后，提出申請聯系安全信息系統管理員，系統管理員對故障進行初步判斷并開始處理，如需要安全員參與，則安全員按權限完成相應工作，最終解決問題完成該次安全信息系統的運維動作，安全審計員隨后對上述“兩員”工作進行審計。一些研究所由于體量較小，“三員”可能不能完全專職，或兼任其他崗位，所以對“三員”的崗位職責和工作標準必須有清楚的界定和要求。

明確了安全信息系統“三員”的崗位職責。

3.2.1 ?系統管理員

相關職責：安全系統相關參數的制定、配置與監控管理;如運行條件、技術性能、空間分配、參數設置等。

（1）負責網絡系統、服務器系統等的日常運行管理和維護技術支持。

（2）在安全管理員的配合下，定期升級安全設備及其規則庫。

（3）配合安全管理員定期進行病毒查殺、處理。

（4）對系統日志、策略配置文件等數據定期備份。

（5）負責定期分析網絡設備、操作系統等的系統日志，發現系統異常、錯誤或報警等分析原因，提出解決辦法并加以實施。

（6）負責網絡與系統運行狀況的統計分析，定期編寫安全運行報告。

（7）根據安全系統需求變化，不斷優化系統運行環境。

3.2.2 ?安全管理員

負責安全信息系統絡的安全評價，安全策略、用戶權限以及有關參數設置等日常安全管理工作。

（1）主要職責是提出文檔化的安全系統、安全策略文件編制建議，實施各類安全設備的安全策略。

（2）負責實施安全系統用戶權限分配和調整。

（3）協助系統管理員完成操作系統的各項配置，制定和實施安全策略。

（4）檢查分析安全設備、操作系統和應用系統用戶操作日志，負責對用戶及安全審計員的操作行為進行審計。

（5）負責對安全管理系統日志審計、異常事件和行為進行統計分析，定期形成審計報告。

（6）負責網絡安全日志、事件統計分析，定期開展風險評價和形成風險評價報告。

3.2.3 ?安全審計員

其職責是對安全管理員的操作行為進行審計、跟蹤、分析和監督檢查，及時發現違規行為和異常行為，包括系統日志分析、安全事件的分析、取證等。

（1）對系統管理員和安全管理員制定和更改操作系統、應用系統、網絡設備、安全設備的安全策略、用戶權限以及參數設置等進行審核和監督。

（2）定期檢查維護記錄，“檢查有痕”通過記錄，實施監督。

（3）負責對系統管理員和安全管理員的異常操作和行為進行統計分析，定期形成審計報告。

3.3 ?引入安全信息系統信息設備接入和應用管理的操作規范

信息設備是安全信息系統的“骨架”，涉及設備種類、型號、功能等較為復雜，按照運維場景區分為服務端運維和用戶端運維。其中，服務端運維主要針對服務器、路由器、交換機、磁盤陣列等機房設備;用戶端運維主要針對計算機、顯示器、集線器、簽字板等接入終端設備;系統運維工作包括設備的接入維護、保養、更新、升級、故障檢測及排除;系統安全運維包括應用系統、賬號、訪問控制、數據備份、應急預案等，這些工作需要明確的操作規范。

提出了上述系統運維工作的技術標準和操作規范，如：服務器、網絡設備運維管理;安全防護系統管理;應用系統管理;應用軟件管理;賬號及權限管理;數據備份與恢復管理;防病毒系統、系統補丁管理;訪問控制管理;機房管理維護;應急響應管理;安全審計和風險評價管理等，以及工作中所使用的表格。

4 ?結 ?論

安全信息系統運維管理和節點安全有著重要意義，為堅持底線思維，加強風險管理，建設和完善預警監測體系，防范和化解安全信息系統運維中發現的重大安全風險，采取的主要措施有：

（1）開展安全信息系統預警體系，建立評價、審核、防范措施落實、監督檢查和評價警示機制，建設并運行維護系統安全預警監測體系，實現系統安全風險全過程監測預警。

（2）建立和完善安全信息系統安全風險隱患及事件事故處置流程，制定落實獎懲制度，壓實安全信息系統運維安全風險管理工作責任。

（3）根據我們在研究管理過程中發現重大難點與問題，圍繞信息領域安全和關鍵核心技術開展安全信息系統安全風險研究，向國家有關部門提出對策建議，著力解決國家安全信息系統安全急需的重大科技問題。

安全信息系統運維管理應重點圍繞制度建設、組織機構、管理責任、運維管理人員、運維工具、設備和信息交換等可能存在的重大風險和問題，開展風險辨識、分析、監測和評價，提出意見建議，前瞻部署和防范;在制度建設方面，要制定管理標準規范和運維制度，涉及運維外包的要有針對外包運維的管理和考核制度;在組織機構方面，要高度關注運維工作，建立運維工作領導機構和工作機構，嚴格落實防范措施;在管理責任方面，要明確業務部門在運維管理體系中的職責，各負其責;在人員管理方面，要合理配備運維管理人員、明確職責，嚴格考核;在運維工具方面，選取上先進的信息化應用充分提高運維效率和運維水平;在設備管理方面，要標識清晰、準確，存放位置相對固定，專人管理;在信息交換方面，要準確區分安全域，確保信息安全可控;在風險監測方面，建立系統監控平臺，及時發現風險隱患，提高運維效率。

參考文獻：

[1] 王伊然，于奇平，劉奧祥.云計算信息系統安全整體防護策略研究 [J].河南科技，2018（7）：7-9.

[2] 李英.集團級管理的標準化管理信息系統設計與實現 [D].西安：西安工業大學，2014.

[3] 劉文慧.信息安全風險評估量化方法研究 [J].數字通信世界，2018（5）：252+104.

[4] 康冉.公安網絡安全系統的設計與實現 [D].濟南：山東大學，2010.

[5] 王連海.中船重工財務公司綜合信息平臺設計與實現 [D].成都：電子科技大學，2011.

[6] 蔣斌.如何做好大數據時代的保密工作 [J].保密工作，2019（9）：64-65.

[7] 俞航.信息系統安全等級保護制度實施中存在的問題及其對策 [D].蘇州：蘇州大學，2016.

[8] 張惠.信息系統運維階段信息安全風險評估工作研究 [J].網絡安全技術與應用，2018（6）：15-17.

[9] 張紅衛，惠建新.Web Service構架下的多語種構件庫系統及實現 [J].計算機與數字工程，2014，42（4）：616-622+728.

[10] 焦迪.有關構建政務信息系統密碼應用管理體系的建議 [J].信息安全與通信保密，2021（1）：70-76.

[11] 李忠俊，張永峰，宋波.企業信息安全應對策略探討 [J].電腦知識與技術，2017，13（21）：36-37.

[12] 劉志勛.企業信息安全風險及控制策略探究 [J].信息系統工程，2016（3）：74.

[13] 章建聰，沈曄.淺析通信設計企業保密管理體系的構建 [J].保密科學與技術，2020（12）：63-66.

[14] 王洪元，劉曉飛，李曉杰.基于醫院信息系統探究醫院信息管理體系的構建 [J].數字通信世界，2020（4）：196-197.

[15] 桂若柏.信息安全風險評估模型的研究及其應用 [D].重慶：重慶大學，2004.

[16] 學習《國家安全法》百問百答 [EB/OL].（2017-04-18）.http：//www.gdqy.gov.cn/xxgk/zzjg/zfjg/qysszbgs/zwgk/zcfg/content/post_86778.html.

[17] 三員職責 [EB/OL].（2017-10-16）.https：//max.book118.com/html/2017/0911/133408498.shtm.

[18] IT治理信息安全管理：標準、理解與實施 [EB/OL].（2004-11-19）.http：//www.itgov.org.cn/Item/469.aspx.

作者簡介：惠建新（1978—），男，漢族，江蘇鹽城人，工程師，碩士，主要研究方向：應用系統開發，系統分析與集成，信息系統管理;喬德志（1979—），男，漢族，遼寧大連人，高級工程師，碩士，主要研究方向：安全信息系統設計與開發，涉密網運維;婁洪偉（1982—），男，漢族，吉林長春人，正高級工程師，碩士，主要研究方向：網絡安全架構研究，涉密網建設與維護。