图书馆网络安全（三级等保）建设方案

图书馆网络安全（三级等保）建设方案遵循标准：GB/T22239-2019《信息安全技术网络安全等级保护基本要求》（等保2.0）。定级对象：图书馆智慧图书馆业务系统（图书馆集成管理系统、读者办证/借阅、线上预约、自助借还、读者信息数据库），保护等级第三级。适用于公共图书馆、高校图书馆，兼顾图书馆公共开放便民属性与读者敏感个人信息保护要求。1项目总论1.1项目背景本馆现有智慧图书馆业务包含图书借还管理系统、读者实名数据库、图书馆官网/公众号预约平台、RFID自助借还终端、门禁闸机、外购学术数字资源（知网、万方、超星等）、馆员办公内网、读者公共WiFi。系统存储大量读者身份证、手机号、人脸、借阅轨迹等敏感个人信息，按照《网络安全法》《数据安全法》《个人信息保护法》要求，该业务系统定级为网络安全等级保护第三级，需完成定级备案、安全整改、第三方测评取证。当前普遍痛点：读者访客网络与业务内网未隔离、缺少边界防护、运维操作无审计、读者敏感数据无脱敏、备份机制不完善、安全管理制度缺失，存在数据泄露、勒索病毒、网页篡改、外部终端横向渗透风险。1.2建设目标严格按照GB/T22239-2019三级等保标准完成整改建设，通过具备资质的第三方测评，获取合格等保测评报告，完成公安网安备案落实敏感个人信息防护要求，实现读者隐私数据分级管控、脱敏导出、操作留痕构建纵深防御体系，隔离读者访客网、办公网、核心业务网，做到安全与便民平衡，不影响读者上网、自助借还、图书借阅服务建立常态化运维、应急处置机制，满足文旅、网信部门安全检查要求1.3建设原则三同步原则：同步规划、同步建设、同步使用最小权限原则：账号访问权限按需分配纵深防御：边界、主机、应用、数据多层防护开放可控：读者WiFi仅开放互联网，禁止访问图书馆业务内网可审计原则：所有运维、数据导出、登录行为全程留痕1.4编制依据《中华人民共和国网络安全法》《数据安全法》《个人信息保护法》GB/T22239-2019《信息安全技术网络安全等级保护基本要求》GB/T22240-2020《信息安全技术网络安全等级保护定级指南》GB/T25070-2019《信息安全技术网络安全等级保护安全设计技术要求》GB/T28448-2019《信息安全技术网络安全等级保护测评要求》《公共图书馆建设标准》、智慧图书馆相关行业规范2系统现状与安全差距分析2.1现有业务与网络现状核心业务：图书馆集成管理系统（汇文/ILAS/金盘等）、读者数据库、自助办证借还终端、线上预约系统外部接入：外购学术数据库专线对接、图书馆官网公众号终端网络：馆员办公PC、读者公共WiFi、视频监控、门禁物联网设备原有安全能力：仅基础交换机，无专业安全设备，无独立安全管理平台2.2主要安全风险数据安全风险：读者身份证、手机号等敏感信息明文存储、导出无脱敏，借阅记录可随意导出，存在泄露风险网络边界风险：访客WiFi与业务内网互通，读者终端中毒后横向渗透业务服务器；外购资源接口无白名单管控主机与终端风险：服务器弱口令、系统长期不打补丁；自助借还终端支持U盘拷贝，易带入病毒运维审计风险：多人共用管理员账号，登录、修改、导出数据无录屏审计，出事无法溯源备份与应急风险：仅简单本地备份，无异地备份，无定期恢复验证，缺少勒索病毒、数据泄露专项应急预案管理短板：缺少安全制度、岗位未做到三权分立、无定期安全培训与应急演练2.3等保差距分析对照三级等保"物理环境、通信网络、区域边界、计算环境、安全管理中心"五大技术域、五大管理域逐条差距梳理，形成差距整改清单，作为建设实施依据。3总体安全架构设计（一个中心、三重防护）按照等保2.0标准框架：一个安全管理中心＋三重防护（安全通信网络、安全区域边界、安全计算环境），同时做网络安全域隔离划分。3.1安全域划分（图书馆核心设计）核心业务域（最高防护）：图书业务应用服务器、读者数据库服务器数字资源对接域：知网、万方等外购学术资源接入区，单向访问、接口白名单自助终端域：自助借还、自助办证RFID终端内部办公域：馆员办公电脑、内部OA访客互联网域：读者公共WiFi，独立VLAN，逻辑强隔离，仅允许访问外网，禁止访问任何业务内网安防物联网域：门禁、视频监控系统3.2总体架构说明安全管理中心：集中日志审计、漏洞扫描、堡垒机运维管控、安全告警三重防护：通信网络VLAN与准入控制、边界防火墙/WAF/IPS防护、服务器＋数据库＋终端计算环境加固数据安全贯穿所有域，敏感数据加密、脱敏、备份闭环管理4安全技术体系建设4.1安全物理环境机房独立管控，配置机房门禁、视频监控、UPS不间断电源、气体消防、温湿度监控、防雷接地；服务器机柜上锁，机房人员出入登记，外来厂商进场审批、全程陪同。4.2安全通信网络全网VLAN逻辑划分，访客网络独立网段，ACL阻断访客到业务域路由部署网络准入控制系统NAC：馆员终端、自助终端准入校验，非法终端禁止接入内网核心交换机、汇聚交换机基线加固，关闭不必要服务、禁用弱口令关键业务链路做链路冗余4.3安全区域边界下一代防火墙NGFW：边界访问控制、NAT、流量管控、病毒过滤入侵防御系统IPS：阻断攻击、SQL注入、恶意流量Web应用防火墙WAF：专门防护图书馆官网、线上预约系统，防网页篡改、XSS、暴力破解外购数字资源接口严格配置白名单，只放行资源厂商固定IP，禁止全网开放边界完整性检查，防止私接路由4.4安全计算环境服务器加固：操作系统基线配置、关闭高危端口、补丁管理、部署EDR终端检测响应（杀毒、恶意行为检测）；账号三权分立：系统管理员、安全管理员、审计管理员岗位分离数据库安全：部署数据库审计＋数据库防火墙，记录所有查询、导出、修改操作；敏感字段（身份证、手机号）导出自动脱敏；数据库访问禁止直连，走应用层自助借还终端安全：部署系统还原保护、禁用USB存储外设、程序白名单，仅允许运行借阅软件，防止病毒植入、私自拷贝数据应用系统加固：HTTPS加密传输、会话超时、图形验证码、密码哈希存储，禁止明文保存读者密码，权限最小化配置4.5数据安全与备份恢复（图书馆重点）数据分级：敏感个人信息（身份证、人脸、手机号）、一般业务数据（借阅记录）、公开信息（书目公告）备份策略：全量备份＋增量备份，本地备份一体机＋异地离线备份；每季度开展一次备份恢复验证演练数据生命周期：读者注销账号后，按要求做数据删除/匿名化处理传输安全：读者小程序、预约页面全部HTTPS加密4.6安全管理中心（三级等保强制要求）堡垒机（运维安全网关）：所有服务器、数据库运维必须经过堡垒机，账号代填、操作录屏、指令审计日志审计平台SIEM：统一采集防火墙、WAF、堡垒机、数据库、服务器日志，日志留存≥6个月，支持检索、告警漏洞扫描系统：定期自动扫描服务器、Web系统漏洞，生成整改报告集中告警：异常登录、大量数据导出、攻击行为实时告警推送管理员5安全管理体系建设（等保三级失分高发板块）5.1安全管理机构成立网络安全领导小组，馆长为第一责任人；明确系统管理员、安全管理员、审计管理员，岗位互相分离，不得兼任。5.2安全管理制度汇编（全套交付）网络安全总体策略、账号权限管理办法、运维变更审批制度、访客网络管理规定、自助终端管理规范、数据安全管理办法、外包服务商安全管理、保密管理制度、应急处置预案。5.3人员安全管理内部人员安全培训、签订保密协议；外包厂商进场审批、账号限时开通、离场立即回收权限；人员离岗必须注销所有系统账号。5.4运维管理流程建立账号申请流程、系统上线审批、变更操作审批、定期巡检制度，所有重大变更留审批记录，变更前备份、准备回滚方案。5.5应急管理编制专项应急预案：勒索病毒应急、读者个人信息泄露、官网篡改、业务系统瘫痪；每年至少组织1次实战应急演练，事件发生后按流程上报文旅、网信、公安网安部门。5.6常态化自查每月安全巡检、每季度漏洞复测、每年委托第三方开展等级测评。6项目实施方案与工期施工策略：优先选择闭馆、夜间时段实施，最大限度不影响读者借阅服务；每一步配置前做全量备份，保留回滚方案。阶段1：定级备案（定级报告、专家评审、公安网安备案，7天）阶段2：现场复核、差距确认、方案评审（5天）阶段3：安全设备到货、上架部署、网络策略配置（12天）阶段4：服务器/数据库加固、自助终端防护配置、制度文档编制（10天）阶段5：内部自测、漏洞整改优化（7天）阶段6：第三方等保测评、问题闭环整改（15天）阶段7：验收、资料归档交付（3天）总工期：约59日历天（可根据图书馆实际调整）。7测试、验收与交付成果7.1测试项目边界访问控制测试、渗透测试、备份恢复验证、审计日志溯源测试、访客隔离有效性测试、脱敏导出功能测试。7.2验收标准系统满足GB/T22239-2019三级全部通用要求，第三方测评机构出具合格等级保护测评报告，备案材料齐全。7.3交付物清单网络拓扑图、设备配置文档、全套安全制度汇编、定级备案材料、堡垒机/审计策略文档、备份策略手册、测评报告、培训课件。8售后服务与常态化安全运维硬件设备免费质保3年，7×24小时技术支持，本地工程师到场服务月度远程巡检、季度漏洞扫描服务每年协助图书馆完成一次等级保护复测分层培训：管理员深度运维培训、馆员基础安全培训、领导层安全宣贯9投资估算框架安全硬件：下一代防火墙、IPS、WAF、运维堡垒机、日志审计系统、数据库审计、EDR安全防护、备份一体机实施服务：网络整改、服务器基线加固、策略调试、制度编制、等保咨询第三方服务：等级保护测评服务费年度增值服务：漏洞扫描、安全巡检、应急技术支撑10风险管控与建设效益10.1项目风险控制业务中断风险：夜间施工、变更前备份、一键回滚方案访客