基于ISMS的校園信息安全體系的研究與實踐

戴慰，蔡暐

摘要：隨著數字化校園平臺和電信校園“翼機通”系統的實施，信息系統被攻擊風險增大。本文分析了學院網絡整體架構、數字化校園系統框架及系統應用層次，參照國際標準ISO/IEC27001信息安全管理體系（ISMS），研究和構建了校園信息安全體系。

關鍵詞：ISMS；信息安全；管理體系

中圖分類號：G718.5?搖 文獻標志碼：A 文章編號：1674-9324（2012）09-0149-02

作為國家示范性骨干高職院校和浙江省示范性高職院校的建設單位，隨著學院不斷加大對信息化建設的投入，我院已經初步建成了一個以信息技術為基礎，以師生服務為核心的基于現代教育的數字化校園，并在信息資源、信息技術、服務方式和服務質量等方面處于國內高職院校的領先水平。

信息系統（information system）建設的深入和完善，使得信息（information）和數據（data）大量產生并持續快速增長，如何確保整個學院信息及數據的安全已經成為我院信息化的重點工作。參照國際標準信息安全管理體系（Information Security Management System，ISMS）來構建校園信息安全體系可以有效地解決校園網絡中存在的諸如不良信息傳播、非法訪問、惡意破壞等問題，也可以進一步保障數據信息的安全。

一、現狀分析

學院已在網絡出口部署專業防火墻，能夠對整個校園網起到基本的防護作用。但傳統的防火墻都是基于三到四層的檢測和過濾，對應用層的安全威脅視而不見。同時，學校終端設備數量龐大，各類軟硬件信息系統均廣泛應用，雖然已經實現了對（于）用戶身份的認證管理系統，但是對（于）用戶計算機的安全狀態是不了解的，也無法控制用戶的網絡行為。

隨著學校數字化校園的建設，以及眾多B/S架構信息系統的普及，越來越多的Web威脅已經對學校的Web應用造成了重大安全隱患，如利用Internet對Web服務執行身份竊取、私密信息竊取、帶寬資源占用等。而幾乎所有的Web威脅都無法被防病毒軟件和傳統的防火墻發現；另一方面，與信息化廣泛應用相對應的是大量關鍵數據的產生，如何確保關鍵數據的可靠性至關重要。但是，學校有部分信息系統仍為手工備份甚至沒有備份，即使采用手工備份也是將數據庫資料保存在服務器本地硬盤，數據丟失仍存在隱患。

二、信息安全體系的構建

學院校園信息安全體系的建設是針對信息安全在物理層、網絡層、終端層、應用層（包括Web應用和數據庫應用）、數據層等不同層次上采取行之有效的安全防范措施，以用來建立完整信息安全管理制度和流程，形成一套嚴密的安全保障體系，實現多渠道的安全控制，保證信息系統的安全穩定運行。

（一）物理層安全措施

從可靠性和安全性兩個方面來完善和提高，通過增加設備及鏈路的冗余來提高其可靠性，通過嚴格的機房管理制度以及機房監控等措施來提高其安全性。

（二）網絡層安全措施

在Internet出口處部署專業的IPS（主動入侵防御設備），開啟實時防御和安全過濾，使防火墻與主動入侵防御系統緊密配合，真正實現校園網絡與應用的安全保障；在數據中心前面部署IPS和防火墻，可以保護關鍵服務器，抵御來自校園網外部及內部的各種惡意攻擊和病毒傳播，確保校園核心業務和核心資源的安全；部署專業的流控設備，實現學院網絡流量的全面透析與管控，優化網絡帶寬，構建可視、可控、可優化的高效網絡。

（三）終端層安全措施

采用強制有效的網絡準入技術，對需要使用網絡的用戶進行實名認證，對將接入網絡的主機進行實名安全體檢，只有符合安全規范的才能確保接入網絡，從而保證了整個網絡的安全性和可管理性；采用上網行為管理設備，確保對院內終端用戶的上網行為進行合理規范和有效監管。這不僅大大提高了網絡利用效率，同時還極大的降低了因為終端用戶的違法網絡行為帶來的安全及法規風險；與此同時，在終端部署專業的桌面管理軟件，也可以實現IT資產分級安全管理、桌面設置及運維、統一補丁管理等。

（四）應用層安全措施

選用Web應用防火墻針對Web應用進行專門保護，在第一時間捕獲相關攻擊包，識別絕大多數的攻擊行為，并且實現攻擊阻斷。此設備可防御各類Web應用攻擊及其變種，如蠕蟲、緩沖區溢出、CGI信息掃描、目錄遍歷、惡意遠程文件執行及跨站腳本攻擊。

選用數據庫加固設備，針對數據庫管理系統的漏洞及潛在的風險進行檢測，對數據庫系統的各項設置、數據庫系統軟件本身的已知漏洞以及數據庫系統完整性進行檢查和對數據庫系統的整體安全性做出評估，并給出提高數據庫安全性的修復建議。

（五）數據層安全措施

（1）統一備份：針對整個信息系統進行統一定時的D2D2T備份，并結合重復數據刪除等技術提高數據備份效率和數據保留周期。

（2）數據庫服務器業務連續性保護：增加虛擬化同步服務器以及同步磁盤陣列，采用信息數據的持續復制，將關鍵的數據庫數據持續復制到虛擬化同步服務器，一旦生產環境中的應用發生故障，可以快速找到啟用虛擬化同步服務器對應的虛擬主機。也可以快速將同步服務器的數據回遷到原數據庫服務器。

（3）應用服務器負載保護：增加應用負載同步服務器，采用應用負載遷移同步，實現對眾多單機應用服務器的負載保護，一旦其中一臺應用服務器出現問題，將能夠短時間內接管應用，并方便實現整體負載的回遷。

三、信息安全保障制度的建設

建立信息安全體系與實行保護措施，只是邁出了安全體系建設的第一步，更重要的是通過規范信息安全體系建設，建立健全長效的保障機制，形成科學完善的安全保障制度，定期進行信息安全查驗。做到對安全隱患及時發現、及時消除，以持續有效的方法全方位地保證校園信息網絡的安全。

安全問題是一個系統工程，需要決策層、管理層、技術層的通力配合，從安全制度建設和技術手段著手，不斷改進和完善安全管理措施，做到制度建設與安全運行同步，安全保障與網絡發展同步，業務操作與控制監督同步，把安全風險降到最低，實現校園網絡的安全、通暢和可靠。

參考文獻：

[1]吳海燕，戚麗，沈立強.數字校園信息安全保障體系的設計與實現[D].清華大學計算機與信息管理中心，2008.

院課題：基于ISMS的校園信息安全機制的研究與實踐（項目編號：2011YK17）