普通高校信息安全等级保护工作的建议

1、    普通高校信息安全等级保护工作的建议    第4步，补齐短板，进一步推进信息安全等级保护的实施。前期经过初步的网络安全评估，明确了定级备案系统和建设方案，紧接着就进入实施阶段。以下将从等保的管理类要求、技术类要求2个维度进行探讨。1）“三分技术，七分管理”，在等保测评中对管理制度的检查是必检项目之一。管理类主要包括各类网络安全管理制度、人员管理制度、各类证据记录等文档，该类在整个等保建设中是最繁琐、工作量最大的一项工作。通过对10所高校的调研发现，本应建立的管理制度许多高校都没有建立，存在管理不到位、有制度不执行、缺失日常维护记录、证据类文档等问题

2、。这类文档往往需要花费大量的时间和人员收集、整理和完善，同时需要有学校领导层的授权和审批、学校多个部门的通力协作完成。在管理类中比较容易忽略的制度有：信息资产分类、标识、发布、使用、登记管理制度信息安全产品选型采购管理制度信息安全事件与应急管理制度系统监控、风险评估、漏洞扫描方面的管理制度软件外包开发或自我开发方面的管理制度等。记录和证据类文档是证明管理制度执行的最有利证据，该类文档是许多高校在日常管理中最容易忽略的内容。主要有出入机房的登记记录、存储介质归档、查询记录、安全事件处置过程记录、应急预案演练记录、操作过程记录、人员保密协议、消防检测报告、安全检查记录、人员岗位培训记录、安全设计方

3、案、工程实施方案、安全产品销售许可证、产品的选型测试结果记录等。岗位职责文件包括安全管理组织构成、信息安全领导小组、信息安全管理工作的职能部门具体岗位、具体职责分工情况；机构人员及岗位人员名单，各管理员岗位人员配备情况，如安全管理员、系统管理员、网络管理员、文档管理员、是否聘请信息安全专家作为常年的安全顾问。其中，安全管理员必须是专职人员担任不能兼任，二级和三级都要求有人员安全管理，包括人员录用、人员离岗、人员考核、安全意识教育培训、外部人员访问管理等文档。2）技术类主要包括物理安全、网络安全、主机安全、系统安全、数据库安全等。物理安全主要涉及机房、建筑的各类设计和验收文档、机房位置选择说明、

4、机房建筑承重能力、机房建筑防雷、机房综合布线及接地、自动消防系统、机房防火、机房空调和新风系统、电力供应等。一些高校中心机房建设较早，后期未进行升级改造。难以全部符合物理安全的指标，如双路市电供电或备用供电系统、机房防盗报警系统未配置。物理安全容易忽略的是机房不能有窗户、设备是否都固定在机柜上并接有防雷接地线、设备上是否打有清晰的标签。网络安全主要包括网络拓扑安全、网络访问控制、网络安全审计、网络入侵防范、恶意代码防范等。如果定级为三级必须配置的安全防护设备有：防火墙、认证计费系统、上网行为管理、堡垒机、日志审计、数据库审计、web应用防火墙等硬件设备。在日常网络安全设备配置和管理方面我们需要

5、注意：安全设备应启用访问控制功能；对登录设备的地址要进行限制，只有经过授权的用户才能登录网络设备；对设备的用户权限要进行划分，设置非法登录次数和当网络登录连接超时自动退出；限制单个用户的最大网络连接数和带宽；网络设备运行状况、网络流量、用户行为等应有日志记录；发生网络安全事件要记录日期和时间、人员、事件类型、事件处理过程及结果；日志记录保存时间至少6个月；接入层交换机只允许通过ssh进行远程管理。此外，三级要求关键核心安全设备需要有冗余，多数高校因经费不足难以实现核心安全设备的冗余。以本单位为例，因资金不足核心网络无法实现关键网络安全设备的冗余，为了提高整体网络防护能力，减少该项的扣分。我们从

6、核心网络架构入手，根据现有网络安全设备，将核心网络划分为5个区域（出口网络区、内网服务器区、教育网服务区、网络管理区、用户网络区），采用分级、分区域防护部署安全设备，在关键核心网络安全设备故障也可实现对dmz区域的防护，具体如图3所示。主机安全是对服务器的安全进行设置和配置，如管理员登录的身份认证、用户访问控制限制、安全审计设置、系统防护火墙设置等。三级系统要求关键业务的后台数据库、网站管理后台的服务器应具有双机热备、冗余功能。在满足等保测评标准的同时，我们需要考虑运维成本，该类系统一般可部署在多台虚拟机或云计算平台系统上，实现双机热备，通过快照方式进行数据备份，实现冗余和统一管理。此外，我们

7、应该充分考虑虚拟机的网络安全防护，目前高校的服务器都实现了虚拟化应用和集群管理，因不同的虚拟化主机间的网络及逻辑边界越来越难以控制和防护，传统方式下的网络防火墙、网络入侵检测防护等技术失去了应有的作用，导致安全风险及攻击入侵在不同虚拟机主机之间扩散。虽然等保1.0中没有相应的虚拟化安全防护要求，但我们不应忽略，目前新出台的等保2.0草案已提出了对虚拟化安全防护的具体标准要求。系统安全防护是网络安全运维管理中最基本的防护。其主要操作有：定期进行漏洞扫描，对发现的系统安全漏洞及时进行修补；应安装系统的最新补丁程序，在安装系统补丁前要先在测试环境中测试通过，并对重要文件进行备份后方可实施系统补丁程序

8、的安装；应依据操作手册对系统进行维护，详细记录操作日志，包括重要的日常操作、运行维护记录、参数的设置和修改等内容，严禁进行未经授权的操作；应指定专人对系统进行管理，划分系统管理员角色，明确各个角色的权限、责任和风险，权限设定应当遵循最小授权原则等7。信息系统安全的防护需要有相应制度和人员的保障，系统管理员要严格按流程进行操作，操作的过程形成记录文件，以备查询和检查。第5步，现场测评。由公安部认定的具有资质的第三方测评机构，接受有关单位的委托根据定级备案的等级进行现场测评。测评的方式一般分为2种：1）访谈。测评人员通过与信息系统有关人员（个人/群体）进行交流、讨论等活动，获取相关证据，表明信息系

9、统安全保护措施是否落实。访谈范围上应基本覆盖所有的安全相关人员类型，在数量上可以抽样8。一般访谈的主要对象有：安全主管、系统建设负责人、人事负责人、系统运维负责人、物理安全负责人、系统管理员、网络管理员、安全管理员、资产管理员等。访谈的内容有：安全管理制度建立和落实情况、安全管理机构设置、人员安全管理、系统建设管理、系统运维管理、物理安全。针对具体的安全问题进行针对式提问，深入了解系统在某一特定方面的具体安全措施如何落实等。我们需要客观、认真地对待每一个问题，因为访谈结果是判断与其他几种测评方式所得到证据是否一致的关键。2）检查。不同于行政执法意义上的监督检查，是指测评人员通过对测评对象进行观

10、察、查验、分析等活动，获取证据以证明信息系统安全保护措施是否有效的一种方法9。检查主要是文档查看和现场查看，检查各类文件制度文档、操作规程、执行记录、物理环境、基础设施等。一般以一对一的方式，通过访谈获得肯定回答后，由相关人员现场根据问题进行现场检查，验证访谈结果的真实性。在进行现场测评环节我们需要注意，相应的人员要对自己管理和负责的模块非常熟悉。因网络安全涉及的范围较广，许多模块都有关联性，其他人员要随时协助解答。该环节根据单位网络架构复杂程度和系统数量，一般需要2天时间才能完成现场测评。第6步，测评整改。根据信息系统安全等级测评整改建议报告，结合学校实际情况，应重点关注存在的高危漏洞，通过

11、调整网络结构、增加部署网络安全设备、源代码补丁等方式完善防护体系。整改阶段需要特别注意，高危漏洞须在最终的测评报告发布前完成修复。等保1.0评分规则要求，被测评的系统各项测评分值的总分等于或大于60分为合格，但是系统如果存在一个高危漏洞且在规定的时间内无法完成整改，即使总分达到90分以上都是不能判定为合格。因此，在整改期限内必须完成高危漏洞的修复，如技术能力水平有限对存在的高危漏洞不能在短期内处理，应及时联系软件厂商协助进行漏洞修复。最后测评机构会再次现场进行检查，验证整改结果是否符合标准要求。无论结果是否达标测评机构都会出具信息系统安全等级测评报告。如系统测评合格，将由测评机构把测评的结果信

12、息向公安部门上报和备案。第7步，总结经验。通过了等保测评，并不意味后期不在需要重点关注网络安全工作或不需要完善信息安全防护体系建设。我们应及时召开等保测评工作总结会，在会上向学校领导和各部门领导汇报等保的测评结果，存在问题，对策建议，后期完善管理制度，规范操作，对于短期内无法配置的网络安全设备可通过技术手段进行防护，同时进一步落实网络安全工作责任，积极开展网络安全应急演练，提升整体网络安全防护水平。4 结语不重视网络信息安全信息化建设成果将不堪一击，将会毁于一旦。高校信息化建设需要将网络信息安全放在首位，网络安全等级保护势在必行。我们应通过信息安全等保护建设促进高校建立信息安全管理的长效机制，

13、加固学校的网络安全防护系统。未来随着云计算等级保护相关标准的相继出台，我们希望标准牵头单位能够举办培训，对标准进行详细解读10。希望本文能够为各高校的信息安全等级保护建设提供参考。参考文献：1吕美敬.高校信息系统安全等级保护测评实施研究与分析j.网络空间安全，2018，9（8）：65-692许勣.西部数码网ol.2018-10-22. 3王强民，张保稳，张竞.高校信息系统安全等级保护工作的现状分析c/第2届全国信息安全等级保护技术大会论文集。北京：公安部第三研究所，2013：62-634路萍，翟跃.信息安全等级保护备案在高等院校中的研究与实践j.中国教育信息化：前沿论坛，2015，21（11）

14、：12-155教育部办公厅.教育行业信息系统安全等级保护定级工作指南（试行）z/ol.20142019-03-15. 6中华人民共和国国家质量监督检验检疫总局，中国国家标准化管理委员会.gb/t 222392008信息安全技术信息系统安全等级保护基本要求s.北京：中国标准出版社，20087中华人民共和国国家质量监督检验检疫总局，中国国家标准化管理委员会.gb/t 202712006信息安全技术信息系统通用安全技术要求s.北京：中国标准出版社，20068中华人民共和国国家质量监督检验检疫总局，中国国家标准化管理委员会.gb/t 284492012信息安全技术信息系统安全等级保护测评过程指南s.北京：中国标准出版社，20129中华人民共和国国家质量监督