信息管理系統安全建設研究

羅光明

摘要：本文探討了物理安全建設，分析研究了信息管理系統安全策略、及安全管理。

關鍵詞：信息管理系統；物理安全；安全策略

中圖分類號：TP393.08 文獻標識碼：A 文章編號：1007-9416（2017）10-0207-02

為深入貫徹落實中央有關教育信息化的戰略部署，完成《國家中長期教育改革和發展規劃綱要（2010-2020年）》確定的教育信息化目標任務、全面深入推進“十三五”教育信息化工作，信息化建設成為了四川水利職業技術學院發展的一個重要組成部分。信息化建設作為教育行業的重點發展方向，使得信息管理系統成為了教育信息化建設發展中的一個極其重要的工具。如何安全的利用這個工具提高教育服務的效率和質量是關系到教育信息化持續發展的重大問題。隨著信息化程度的提高，使用信息管理系統開展工作覆蓋了學院各個部門。信息管理系統的大量使用，使得建設安全的信息管理系統成為了維持學院各重要業務開展的首要問題。

1 物理安全建設

物理安全建設主要包括了相關硬件設備的安全，以及存放硬件機房的環境安全。信息管理系統的硬件設備以及相關配件應該綜合考慮防火（配備氣體消防器）、防水防潮（避免進水漏水）、防雷擊（建筑物防雷，設備增加避雷器，交流電源接地）、防靜電（機房使用防靜電地板，設備接地與屏蔽）還有電磁防護（接地，隔離和屏蔽）等問題。

環境安全方面：信息管理系統的硬件存放機房位置的選擇應該在周邊人流量較少的地方。機房應配備精密空調，控制適當的溫濕度；配備防盜措施、門禁系統，進入機房可以采用物理鑰匙加識別系統的雙重保險方式提高安全性，通過指紋、密碼、磁性身份卡等手段對人員進行識別和記錄管理；配備UPS不間斷電源系統，保證信息管理系統的業務不因停電而中斷；還應建立機房動環監控系統，對機房的動力電源、UPS不間斷電源、消防系統、煙火、漏水、溫度、濕度等方面進行監控，并對異常情況報警[1]。

設備物理安全方面：應該增加專職安保人員專門針對機房所在區域進行的24小時的巡邏、檢查，保障硬件設備的物理安全。產品廠商、技術人員等進入機房采用出入管理登記制度，嚴格查驗有關證件，詳細記錄進出時間、進入原因以及進出人員等關鍵信息，并由管理人員陪同進入。建立機房日常巡查制度，每天安排管理人員進入機房進行常規檢查，杜絕各種安全隱患。

2 信息管理系統安全策略

安全策略對于信息管理系統安全來說是至關重要的。建立信息系統安全防范策略，建設全面的網絡安全系統，確保系統安全、數據安全、應用安全和資源安全等。把防火墻、行為管理、入侵檢測、病毒防護、VPN等安全系統和網管系統結合在一起，實現系統之間的聯動和網絡管理與安全的一致性，制定整體的、動態的網絡安全管理策略，形成一個高效的安全防范體系。

為了更好的防范網絡攻擊，保障學院各信息管理系統安全，采用了幾點安全策略[2]：（1）更換傳統防火墻為下一代防火墻（NGFW），能夠進行入侵風險檢測、實時漏洞風險檢測、僵尸主機檢測、DoS攻擊檢測、可以全面應對應用層威脅，使得網絡安全性能大幅提高。（2）對各信息管理系統開展常態化的安全檢查，主要針對SQL注入攻擊、跨站腳本攻擊、弱口令、木馬病毒、端口開放情況、系統管理權限、訪問權限和網頁篡改等情況進行監控，檢查保管系統安全日志。（3）建立了訪問控制策略，通過ACL（訪問控制列表）、行為審計設備、流控設備等方式設置訪問控制安全策略，防止對任何資源進行未授權的訪問，控制用戶對服務器、目錄、文件等網絡資源的訪問，提高網絡整體安全性。（4）使用安全審計系統，建設了專門的審計監測服務器，聯合成都市網監對各個應用系統重要安全事件進行審計，審計結果直接傳送至成都市公安局網監大隊，極大提高了突發事件的處理速度。（5）及時更新系統補丁，制定計算機病毒與惡意代碼防護策略。嚴格對移動存儲工具（介質）接入系統以及軟件的安裝進行管控，如需使用或安裝必須經過專業查殺工具進行計算機病毒與惡意代碼的檢測。（6）容災備份方面：對信息管理系統數據進行即時備份，當出現異常情況和設備故障時，能及時恢復業務，保證了數據的完整性。（7）應急處理方面：制定了系統安全應急預案，進行了系統安全事件演習，能夠快速處理突發網絡信息安全事故。

3 信息管理系統安全管理

安全管理運行機制結構圖1所示，在信息系統安全管理方面，健全了安全管理的運行機制，制定了《四川水利職業技術學院信息化工作管理辦法》，成立了四川水利職業技術學院信息化工作領導小組，下設信息化辦公室。學院各部門在學院信息化工作領導小組領導下開展信息化建設工作。各部門的主要負責人為本部門信息化工作的第一責任人，設置了信息化主管領導，具體負責本部門業務系統的規劃、建設、推廣及信息安全工作，負責信息化工作相關規章制度的貫徹執行；設置信息管理系統管理員工作崗位，配備相關專職（或兼職）技術管理人員，負責部門業務管理系統的及時更新與維護，保證系統的正常運行和安全性。

信息系統安全管理另一個重要因素是人員培訓。主要包括兩個方面[3]：（1）系統的安全運行，整個過程都離不開系統管理人員的技術和管理能力，應對管理員進行系統的全面的培訓，用以不斷提升系統管理人員技術技能和安全意識，提升其抵御系統威脅的能力。（2）對于廣大師生員工，也應該開展基礎的網絡信息安全方面和信息管理系統使用方面的培訓；并通過多種手段對網絡信息安全的制度、危害和防御手段等內容進行宣傳，強化師生員工的信息安全意識，防微杜漸，防范于未然。

4 結語

本文通過對四川水利職業技術學院信息管理系統安全建設多方面的實施和研究，學院信息系統安全方面整體情況較好，取得了不錯的效果，尤其是在健全的管理機制、管理制度的制定和日常管理方面，比較完善規范。相信對于各兄弟高職院校信息管理系統的安全建設工作應該有所幫助和借鑒。

參考文獻

[1]陳健峰.如何建設高安全性的信息系統[J].有線電視技術，2012，（1）：65-68.

[2]黃斌.企業安全信息系統建設研究[J].計算機安全，2011，（12）：47-50.

[3]米爾阿力木江.電力信息系統安全建設的研究[J].電子技術與軟件工程，2014，（20）：223.endprint