下面文章主要針對高校信息化發展過程中的安全問題，進而展開高校信息系統安全防護實踐與研究工作，希望通過開展信息系統安全保護工作，推動高校信息安全保障體系的建立和完善，采取系統、規范科學的管理和技術方案，保障高校各業務系統高效、安全運轉，為構建完善的高校信息安全保障體系提供借鑒，增強行業信息安全保障能力，提高校園信息安全自主防護能力和信息服務能力。

　　關鍵詞：等級保護,安全管理,多層面大縱深防御,健全,安全保障體系

　　隨著高校信息化發展和智慧校園的推進增速，國內各個高校應用業務系統數量增多，覆蓋和提供服務的范圍也不斷擴大，而伴隨著信息化發展，高校遭受非法入侵、非法攻擊和大規模網絡計算機病毒攻擊等各類安全事件的數量急劇增多，安全威脅和安全風險逐年增大。本文主要探討高校信息安全防護建設過程中所采取的措施及管理，主要從目前存在問題、具體解決思路、價值體現等各方面展開。

　　教育行業信息安全涉及當代青年的健康成長，關系到社會的和諧安定。隨著網絡技術的發展、信息化程度的日益廣泛、信息安全的需求也變得越來越重要。因此，在借鑒國外信息安全領域所先進經驗的同時，結合我國當前的基本國情和高校的實際情況，逐步踐行信息安全保護，是促進教育行業信息化健康發展，解決教育行業信息安全問題的必然選擇。

　　1、信息系統安全保護制度

　　信息安全保護是對信息和承載或傳播信息載體按照不同重要性進行分等級保護的一種工作，是國內外很多國家都存在的一種信息安全領域的工作，信息安全保護是當今發達國家保護關鍵信息通訊的基礎設施、保護敏感信息安全的常見做法，也是我國近年來在信息安全方面的經驗總結。對信息安全工作，應提高認識、立足大局，它不僅是保障重要信息系統安全的重大措施，更是一項關系國家安全、社會穩定、國家利益的重要任務。

　　2、國內高校信息安全存在的問題

　　在教育行業信息化建設初期，由于資金和體質等問題，各單位信息系統的運營缺少有效的安全保護措施和審計機制，存在賬戶濫用、業務數據被非法讀取的風險。系統使用者信息安全意識的薄弱也是高校行業信息安全的一大隱患之一。高校信息化建設的持續發展，各個信息系統之間存在業務交叉和數據交互的現象，導致信息系統具有較強的復雜性和多樣性。一直以來缺乏對這些問題進行規范化的安全統計、安全分析、統一安全管理。

　　2.1 安全意識薄弱而帶來的信息安全隱患

　　高校信息系統不僅要為校務教學及教師、學生和家長提供服務，更要注重和保護正常的教學、科研運行及學生、教師等敏感數據信息的保護。如果因信息安全問題導致師生的本人信息或科研信息，乃至于師生家屬的私密信息遭到泄露或非法侵犯，將嚴重損害當事人及學校的合法權益，并影響學校正常教學、公眾形象，甚至引發與社會公眾的惡性不良關系、產生公眾對教育工作的誤解或歪曲的可能性，為此系統使用者信息安全意識的薄弱是教育行業信息化的一大隱患之一。需要不斷針對性的開展安全培訓工作，補全不足。

　　2.2 安全技術層面的信息安全隱患

　　目前，盡管許多高校信息化建設中已經部署了大量的信息安全產品，但隨著信息業務的不斷增加，安全設計上整體設計中不規范、不合理，缺乏安全考慮問題更為突出，同時黑客技術的快速更新，現有安全防護已經遠遠滿足不了實際業務系統對信息安全防護的需求，導致信息安全問題頻繁暴露，潛在問題更是數不勝數。

　　1)內部風險隱患

　　高校信息系統連接著校內各個院系、教務單位、行政單位與學生宿舍等，高校內部網絡節點與服務終端數量眾多，網絡連接情況復雜且高校內面對學生、教師提供信息化業務服務的各類系統軟件應用情景各異。業務軟件在開發過程中難免人為疏忽或不足，自身存在安全漏洞，應用設計缺陷或后門為黑客、病毒等提供了通過合法或非法的形式侵入系統的途徑，進而獲得系統的控制權限、實現對數據的篡改、對系統服務的控制等活動，使得高校整體信息系統安全的漏洞增加、攻擊路徑增多，需防范的安全范圍更廣，有可能使得高校信息安全面臨的風險不斷增大。

　　2)來自外部風險隱患

　　高校信息系統對外連接著Internet和教育網等，隨著黑客技術的發展，基礎網絡建設中路由、交換及網絡安全設備(如：防火墻、交換機等)的設備選型、部署實施或運維使用等不夠合理，留有安全隱患。高校外部信息系統越來越多的暴露兩大安全威脅之中：

　　1、高校重要業務數據(如教務、校務、財務人事、科研、考務等)與教學及學生敏感信息相關的數據，存在被某些不法分子或黑客竊取、篡改的潛在風險;

　　2、高校對外提供服務的網站尤其是高校官網，存在被某些反動和別有用心的人篡改可能，尤其是國家重大節日期間，一旦出現了負面新聞，在社會上給學校聲譽和教育行業會造成極大的破壞和不良影響。

　　2.3 安全管理層面安全隱患

　　1)沒有健全的管理體系，缺少相對應的約束，從而容易產生個人主觀意識方面的信息安全問題。

　　2)缺乏行之有效的管理手段和管理制度，致使個別管理員賬號掌握擁有超乎想象的系統操作權限。

　　3)沒有制定相應的信息安全事件應急預案，或有了應急預案沒有定期進行演練，致使一個小的安全問題，可能演變成大的安全事件。

　　4)網絡安全監控管理，沒有全面覆蓋的相應審計溯源管理措施。

　　5)自主安全保障能力不足，安全運維人員能力有限、多數單位需要借助安全服務商提供全生命周期的安全保障服務、來協助完成安全運維。

　　3、國內高校信息安全隱患帶來的影響解析

　　3.1 基本教育信息的影響

　　1)教師管理及學生學籍信息的影響：主要涉及學生管理信息、教師管理信息系統等，從個人的角度來看，學生學籍及教師管理等均為高校教育管理重要信息數據，一旦其信息被泄露，極有可能被部分不法分子利用，從而成為其牟利犯罪的手段，對學生、教師、家長等產生惡意影響，不僅會損害個人利益，很可能導致家長及社會對教育管理的不滿，引起影響國家和諧穩定的事件。

　　2)公共教育信息的影響：主要指涉及宣傳門戶、招生資源分配、學生資助管理、入學業務辦理等信息部分。該部分信息的泄露，可作為敵對國家或敵對勢力攻擊我國政府、制造民族矛盾的工具，從而影響我國的安定團結和社會穩定。

　　3)教學及校務管理信息的影響：主要指涉及學校日常教學、行政、科研等各類信息的總和。影響安全的這類信息包括學生數據庫，教師工資數據庫，學校經費、資產及辦學條件數據庫等管理信息，這些重要數據信息為學校教育教學管理工作決策和指導方向提供了不可替代的數據支撐作用，敵對勢力可通過這些信息了解我國人才培養配置、學科發展情況、同時通過對這些信息的扭曲、渲染，進而從黨的執政能力、人權等方面來攻擊我國政府，影響我國的國際形象和地位。

　　3.2 信息系統自身安全的影響

　　信息系統安全是保障高校各類業務平穩運行的必要條件。學校各業務系統在校園網環境下平穩、有序、安全的運行，各系統間相互協調、配合共同支撐學校的各項業務有條不紊的運行。因此，任何一個非法操作、攻擊或侵入，都可能對整個高校的信息系統造成眾多的連鎖反應。如：病毒導致網絡擁塞、癱瘓，黑客攻擊使數據被篡改、教師及學生重要信息被竊取等問題，輕則影響學校業務和校園生活的正常進行，重則甚至引發群體事件，危害社會安定、危及國家安全的嚴重后果。

　　4、國內高校安全等級保護管理的具體實施思路

　　4.1 定期安全培訓，提高對信息安全重要性的認識首先要加強人員信息安全意識培訓，促使系統使用者和管理者認識安全意識在信息安全工作中的重要性和必要性。可通過組織開展人員安全培訓、安全政策推送貫宣，來提高信息化從業人員的安全意識。增強人員的安全義務與責任感。

　　4.2 立足安全等級保護，增強信息安全自主保障能力

　　4.2.1完善安全技術措施

　　基于安全等級保護的安全防護旨在進行多層面大縱深進行防御，從不同等級安全域出發，考慮多個不同層次安全域如何共同保護，其核心思想是采取多維度、多層次的縱深安全措施來保障信息系統及數據資源的安全。“多維分層防御”是立體防御思想的主要表現之一，從不同等級安全域出發，考慮多個不同層次安全域如何共同保護，在每一個層次都實施信息安全策略和安全機制，將系統的安全風險降至最低，確保系統安全、可靠。

　　(1)基于物理環境的安全物理安全為光纜等網絡鏈路設施，交換、路由等網絡硬件設備，磁盤、磁帶等數據存儲介質，以及承載核心網絡設備的機房環境等方面的安全防護。防止它們受到自然災害或人為的破壞。

　　(2)基于網絡的安全網絡層面的安全是指，在物理環境安全的基礎上，為使信息系統安全運行所提供的網絡方面的支持和保障。為確保信息系統的安全平穩運行，需要提供有效的網絡服務，并確保數據在傳輸過程中的完整性、可用性及保密性等。網絡的拓撲結構應根據訪問控制原則及應用需求進行合理設計，為避免單一節點故障需實現鏈路的冗余，對端口要進行訪問控制，同時要采取網絡入侵檢測、網絡入侵防御、網絡防病毒、網絡安全審計等安全措施。

　　(3)基于系統的安全實現操作系統和數據庫系統的安全運行，需建立備份冗余機制，運維管理應確保實現細粒度的訪問控制、日志審計。及時修復系統補丁、升級病毒庫，來提高系統的防御能力，并采用最小化系統配置原則來優化配置，減少系統自身的安全隱患。

　　(4)基于應用的安全策略在對數據信息進行操作時，尤其是存儲、傳輸和處理時，需要采取相應的安全措施。雖然某些安全措施在支持其運行的物理安全、網絡安全、系統安全和數據庫管理系統安全中已經考慮并做了配置，然而“守土有責、守土負責、守土盡責”，因此應用軟件系統層也應給予重視。在應用系統層面應重點關注系統身份鑒別能力，訪問控制手段，安全審計粒度，信息的完整性、保密性及抗抵賴性的防護，自身容錯能力及資源控制，編碼安全等方面的安全控制能力。

　　(5)基于數據應急處置的安全策略制定應急處置策略的主要目的是為在發生突發或緊急情況時，采取及時有效的安全措施。對核心業務的數據加強防護，敏感和重要業務數據應采用加密技術保護數據的傳輸安全，采用加密技術保護數據的存儲安全。重要業務數據的訪問應當與PKI/CA體系結合，實現抗抵賴機制，可依托數字認證系統，在信息系統中實現身份認證、授權管理和責任認定等。

　　4.2.2借力安全保障服務

　　目前國內多數高校信息安全保護工作建設還處于完善階段，為此各單位應按照PDCA原則持續改進工作機制，在信息系統安全預警、安全監控、風險分析、安全加固、安全審計、應急響應等方面進行持續化保障，更好地確保系統穩定運行。爭取通過全生命周期的信息安全保障服務，來保證安全等級保護建設能持續進行，使整個教育行業信息環境達到持續的安全。

　　4.3 管理與技術并用，全方位提高信息安全管理能力

　　安全管理在信息安全防護要素中具有重要的地位，但安全不是局部的，所謂“三分技術、積分管理”，技術措施和安全產品只是基礎，安全管理才是關鍵，單靠各高校安全產品的堆砌，無法解決信息安全潛在風險，需要根據各單位的現有的組織架構、現行的安全政策、具體的操作流程等因地制宜;系統責權不明、用戶管理混亂、管理制度不健全或缺乏可操作性等都會帶來安全風險。為此安全管理方面要優化安全管理組織結構，完善信息安全管理制度，制定信息系統建設和運維的管理流程，規范人員安全管理。

　　5、國內高校安全等級保護管理價值體現

　　5.1 貫徹落實國家及行業對信息安全合規性要求

　　在中央網信辦第一次會議中，習近平主席提出了“網絡安全和信息化是一體之兩翼、驅動之雙輪，必須統一謀劃、統一部署、統一推進、統一實施。做好網絡安全和信息化工作，要處理好安全和發展的關系，做到協調一致、齊頭并進，以安全保發展、以發展促安全，努力建久安之勢、成長治之業。”同時為保護信息系統的安全，我國將安全等級保護工作作為信息安全保障的一項基本制度，對提高基礎網絡的建設標準和重要信息系統安全防護要求有著重要的作用，國家一直在大力推行此項制度的建立與實施，黨中央、國務院對信息安全等級保護工作非常重視，開展好安全防護工作是有效落實《信息安全等級保護管理辦法》的通知(公通字〔2007〕43號)和《關于印送<關于開展信息安全等級保護安全建設整改工作的指導意見>的函》(公信安[2009]1429號)等有關要求必要工作之。

　　5.2 構建具有學校特色的信息安全管理框架

　　為實現信息系統的安全管理，結合我校實際情況，要從系統建設前、建設中以及建設后三階段切實把好安全關。具體包括系統需求分析階段考慮系統應用范圍、涉及信息的敏感性、系統需要定級的等級等;在系統建設中要做好安全方案設計、運行平臺的配置分析、滲透測試、漏洞掃描等;系統通過測試試運行時要在封閉環境內先做好測試驗收、系統交付、系統備案、等級測評等;正式上線運行后，做到日常運行期間的安全監測、漏洞發現和安全加固等。構建一套具備高校自身特色且符合信息安全實際情況的管理體系，實現信息系統安全持續優化。

　　5.3 提升學校信息系統健壯性

　　通過安全保護工作的開展，實現“以管促查、以管促改、以管促建”，增強學校各級人員的安全意識，落實安全主體責任，清晰了解各信息系統定級備案情況，深入分析系統潛在風險、系統運行現狀，全面排查系統安全漏洞，完善防護措施，建設可視、可管、可控、可查的安全監控網絡體系，加強綜合防御能力，預防和減少網絡安全事件的發生，切實提升重要網絡與信息系統的健壯性、保障業務安全穩定運行。

　　5.4 提高學校信息服務水平

　　通過制定各類應急響應預案，并定期組織演練，來加強、提高對于信息安全突發事件處理的水平。減少因信息安全產生的不良影響。全面維護學生、家長利益、提高信息系統安全服務能力、提高用戶滿意度，給學校教學及校務、科研工作等提供更好更便捷的信息服務。

　　5.5 促進學校信息化業務健康發展

　　高校信息系統的安全直接關系著高校教學管理和科研工作的正常運行，一旦網絡、系統服務癱瘓或數據丟失，將會給高校帶來巨大的災難和難以彌補的損失。如果信息系統被不法分子攻擊利用，用于傳播反動言論等非法行為，則更加會對學校的聲譽造成極大的破壞，因此加強信息系統的安全防護水平和安全管理水平，能夠有效保證高校各個業務系統高可用性，進而促進高校信息化業務良性健康發展。

　　6、結束語

　　教育行業信息系統承載著未來國家各行各業的重要數據，它的安全狀況對教學管理、校務管理、學科實驗、乃至社會秩序及穩定、未來國家的發展都具有重要意義。安全防護工作的開展可全面普查高校信息安全的可能存在的風險，統計和分析本單位信息安全的建設狀況，指導和管理本單位信息安全未來發展。

　　通過安全整改促使本單位全面落實安全等級保護工作，提高信息系統安全建設整體水平，使其更好地為教職工和學生及家長服務，維護社會秩序和國家安全，為該行業在社會發展中發揮更大的作用提供基礎保障。因此，各高校在信息安全保護建設工作中統籌管理、應科學合理的規劃，以國家信息安全等級保護規范為依據，遵循主動防御、分級管理、梯次防御等基本建設原則，有效開展信息安全等級保護建設，構建多維度、多層次、大縱深的可視、可管、可控、可查的網絡信息安全體系。

　　參考文獻：

　　[1]蔣建.《數字校園網絡立體化安全防護的研究》.2015.

　　[2]尹曙明.《基于防火墻與入侵檢測的安全防御體系研究與設計》.2005.

　　[3]邵玉蘭,曹亞君.《高校教務管理系統的安全風險及策略研究》.2013.

　　[4]王大萌,王智,劉環鵬.《信息安全等級保護管理系統的建設與推廣》.2014.

　　[5]羅國富,王乙明.《校園網絡安全防范體系研究與應用》2012

　　相關范文閱讀：校園信息安全網絡防范問題與對策

　　這篇信息安全論文發表了校園信息安全網絡防范問題與對策，如今互聯網資源是重要的教學資源，但也同時影響了學校的信息安全問題，論文從學校信息安全網絡防范的內涵出發，闡述我國高中校園網絡信息安全的現狀，進而找到有效應對學校信息安全的防范措施。