高校檔案信息化安全運維管理研究

文/中國海洋大學檔案館 韓宇亮 孟薔 趙瑞紅

隨著信息化技術的不斷發展，檔案信息化建設已成為檔案工作中必不可少的一部分，各高校不斷加大對檔案信息化的投入，業務系統的功能研發及業務拓展均有跨越式發展，但在檔案信息數字化與網絡化給人們帶來便捷的同時，信息化安全防護不到位等問題也越加凸顯。《中華人民共和國網絡安全法》（以下簡稱《網絡安全法》）對網絡安全管理進行規定，且處罰力度空前嚴格，本法自實施以來，已有多所高校因違反法規受到處罰，給我們信息化安全建設工作敲響了警鐘。如何在《網絡安全法》框架下，更好地完成高校檔案信息化安全建設，實現信息化與檔案管理深度融合，成為系統運維人員必須解決的關鍵問題。

一、《網絡安全法》及相關要求

（一）《網絡安全法》立法的意義。《網絡安全法》是中國首部關于網絡空間管理及安全使用方面的法律，使中國的網絡安全工作有了基本的法律框架，使中國的網絡工作有了法律法規可遵循。《網絡安全法》的頒布在我國網絡空間建設方面有重大歷史意義，使我國擁有了管理互聯網和解決網絡危險的合法武器，以此保障互聯網健康。

（二）《網絡安全法》解決的問題。《網絡安全法》規定了國家網絡安全工作的基本原則、主要任務和重大指導思想；明確了企業、部門、社會組織、院校團體和個人的權利、義務和責任；同時，也為網絡服務工作以及信息化建設提供了堅實的理論基礎與法律依據。

（三）《網絡安全法》將網絡運維管理工作上升至法律層面。《網絡安全法》將網絡運維管理工作上升至法律層面，此法律處罰力度空前嚴格，處罰不僅涉及到企業，還涉及到法人、管理人員、一般員工等多個層面，既有經濟處罰，也有行政處罰。自從實施以來，接受處罰的已有騰訊微信、新浪微博、百度貼吧、boss直聘、京東、淘寶網、蝦米音樂網、蘑菇街互動網等上百家的企事業單位。

（四）《網絡安全法》在運維方面的相關規定。《網絡安全法》第21條、31條、38條對網絡安全等級保護制度進行規定，在系統搭建及運維管理過程中需將等保測評一并考慮，其中需特別注意運行日志的相關內容，法規規定網絡運行狀態、安全事件的日志留存應不少于6個月。《網絡安全法》第22條第3款、41條、42條、43條、64條對用戶信息、個人信息的保護進行規定，我們在系統結構設計及檔案提供利用時需注意對個人信息保護的技術處理。《網絡安全法》第22條對網絡產品和服務進行規定，要求如發現網絡產品、服務存在安全缺陷、漏洞等風險時，應當立即采取補救措施，網絡產品、服務的提供者應當為其產品、服務持續提供安全維護。

由上可見，法規對系統安全風險評估、網絡安全等級保護、安全技術措施同步、個人數據安全保護等方面均有明確要求且有相應處罰措施，《網絡安全法》的頒布對檔案信息化安全運維工作提出了更高要求。

二、高校檔案信息化面臨的安全威脅

（一）互聯網安全態勢嚴峻。近年來，我國重視網絡安全的法規建設，《數據安全法》《個人信息保護法》《密碼法》等法律法規相繼出臺，法律制度體系日趨完善，網絡威脅治理成效顯著，網絡安全環境有所改善，但面臨的形勢依舊嚴峻。根據國家互聯網應急中心發布的《2020年我國互聯網網絡安全態勢綜述》，2020年，CNCERT協調處置網絡安全事件約10.3萬起，雖然植入后門網站、篡改網站、DDos攻擊、僵尸網絡控制等事件次數同比有所減少，但網絡形勢依舊嚴峻，個人信息和重要數據泄露危險更加嚴重。

（二）業務承載平臺的安全隱患。目前，高校檔案系統的業務承載平臺主要是Windows系統和Linux系統，這兩大系統都存在著不同的系統漏洞。雖然廠商都會定期發布系統安全漏洞補丁，但是仍有不少漏洞尚未被發現。騰訊安全對外發布的《2018年Windows平臺漏洞年度報告》指出，在過去二十幾年，Windows操作系統的漏洞提交數量呈逐年上漲趨勢并呈現爆發性增長態勢。《報告》顯示，相比過去三年，2018年的安全漏洞提交數量同比上升超過40%，安全漏洞的數量和嚴重性都創下歷史新高。微軟2018年為Windows、IE、Office等產品共發布了874個補丁，修復了728個漏洞，每月修復60余個漏洞。在所有的漏洞中，系統組件漏洞占到了總漏洞數量的35%，瀏覽器漏洞占總漏洞數量的25%，Office漏洞占比17%。

（三）業務系統自身存在的安全隱患。目前，市面上檔案信息系統種類繁多，開發上線這些系統的廠商和時間也不相同，有些業務系統開發時間久遠，所運用的技術和架構已明顯落后。在互聯網技術不斷革新的同時，這些老舊的架構和技術不斷地暴露出安全漏洞和隱患，通過漏洞和隱患發起的攻擊，直接威脅到檔案管理系統的安全。除架構和技術因素外，系統開發人員的業務水平也會產生一定的影響。廠商的開發人員根據客戶的業務需求，利用計算機編程語言開發相應的系統功能，但開發人員的編程水平和設計能力水平差距較大，受這些因素影響，任何系統難免會存在這樣或那樣的編程漏洞及設計缺陷。

（四）系統運維專業人才緊缺。由于檔案館普遍存在引進并留住專業人才困難的狀況，特別在計算機領域更為突出。僅僅依靠現有人員、水平不能及時全面發現、分析、處理信息化建設過程中出現的問題，尤其是業務系統本身的編程缺陷，致使檔案系統運維的網絡環境如服務器的安全策略、防火墻的策略、業務系統代碼漏洞等方面存在一定的隱患。

三、高校信息化安全建設的措施

（一）基礎網絡安全防護。網絡層面主要通過防火墻、入侵檢測、上網行為審計等技術進行安全防護。1.防火墻是通過在系統邊界建立網絡通信監控，對保護網絡的信息和管理系統結構進行屏蔽，從而實現系統的安全防護。針對內網業務，通過指定業務端口放行訪問安全策略，保證系統內外網隔離安全，實現防火墻的功能。2.入侵檢測技術是防火墻技術的合理補充，通過收集和分析網絡行為、安全日志、審計數據等涉及的關鍵點信息，檢查網絡中違反安全策略的行為是否存在，及時發現系統被攻擊的跡象，擴展運維人員的安全管理能力。3.上網行為審計是指根據一定的安全策略記錄，通過分析歷史操作事件及數據，對一個特定網絡安全的脆弱性進行測評、評估、分析的過程，上網行為審計能夠有效提高網絡運維人員的監管能力。

（二）服務器環境安全防護。服務器層面可通過更新系統補丁、安裝網絡殺毒軟件、優化系統服務和端口、合理配置權限、定期檢測日志等手段進行防護。在服務器搭建時，使用正版操作系統，安裝正規途徑獲取的應用軟件，定時做好服務器維護，及時進行系統及軟件升級，消除系統安全漏洞，降低系統被攻擊的風險；安裝網絡殺毒軟件，定期升級病毒庫，預防計算機病毒的入侵，控制病毒傳播；合理配置、優化服務器操作系統的服務及端口，關閉非必需的操作系統組件，停掉非必要的服務、禁止使用存在風險的端口；刪除數據庫非必須的、存在風險的存儲過程，降低應用軟件的運行權限，避免黑客利用漏洞進行入侵和提升權限。

（三）數據資源安全防護。1.對傳輸數據進行加密。在數據傳輸之前需要對檔案數據進行加密，從而預防在網絡傳輸過程中，檔案數據被篡改或者竊取。通過相應的加密算法，將明文信息轉換成密文，接收者在收到密文后，再將其還原成明文。如有必要，還可通過鏈路加密的方式進一步提升數據的安全性，加密的數據在過鏈路節點時，對數據解密，同時使用下一個鏈路傳輸的密碼對檔案數據加密并進行傳輸，通過此方法可在不同鏈路中依次加密傳輸，保證數據在傳輸過程中的安全性。2.用戶訪問權限控制。用戶及其所屬的組群根據其職責及需求的不同，對系統中存儲的內容或者功能需求各不相同，系統管理員需根據人群不同為其劃定訪問權限。用戶因工作不同，需要查詢相應的目錄或者原文，為檔案用戶賦予相應的權限是最有效、最直接的保護信息數據的方法，在審核其訪問的合法性后，對其訪問的時效性進行限定。3.用戶管理“三權分立”。業務系統在用戶權限管理上需采用“三權分立”的管理模式，三者之間相關制衡，從而限定制約其權利。管理角色分為三大類：第一類為審計類型的用戶角色，該類角色的人員主要負責系統的審計工作，監督其他角色人員的操作是否合法。第二類為管理類型的用戶角色，該類角色的人員主要負責具體的管理工作，例如系統管理、業務管理等。第三類為安全管理類型的用戶角色，該類角色的人員主要負責為其他任意角色賦權。三種角色的人員相互監督、相互制約，在信息系統內部實現權限均衡，從而在業務系統的層面上保證數據的安全。4.業務系統日志管理。業務系統需對信息數據進行實時監控，捕獲事件、更改消息以及描述系統上所發生活動的其他數據，并形成詳細、完整、可查和不可更改的管理日志。日志需對用戶的登錄退出、數據操作等相關信息進行實時記錄，對檔案數據的存取、修改、刪除、檔號變更、原文下載、打印、電子文件等操作進行實時記錄，此外，還需對底層表結構改動、系統功能變更、用戶權限授權等行為進行記錄。根據《網絡安全法》的規定，此日志需保存6個月以上。

（四）個人信息保護。依照《網絡安全法》第76條，以電子或者其他方式記錄的，能夠單獨或者與其他信息結合，識別自然人個人身份的各種信息均為個人信息。當前各檔案信息系統中都不同程度地存儲有各類個人信息，可通過數據匿名、數據加密等技術，對系統中存儲的相關信息進行脫敏處理，在檔案原文查閱利用時，也可通過技術手段，遮擋或虛化無關人員的個人信息。

（五）信息系統安全等級保護測評。信息系統安全等級測評是驗證信息系統是否滿足相應安全保護等級的評估過程。應聘請具有相應資質的測評中心以相應的政策、標準為基準，對等保體系進行風險測評，對信息系統面臨的威脅、存在的弱點、造成的影響以及三者綜合作用而帶來風險的可能性進行評估，通過風險評估意見運維人員進行針對性整改，從而達到物理安全、網絡安全、主機安全、應用安全、數據安全與備份恢復各項指標要求。

四、高校信息化安全工作的建議

中國海洋大學于2018年對檔案管理平臺進行更新迭代，從服務器到業務系統均進行重新部署，現業務系統已通過信息安全等級保護二級測評。除以上幾點安全防護措施外，筆者根據自身系統建設及維護經驗，對信息化安全建設提出以下幾點建議：

（一）檔案業務系統的選擇至關重要。目前，市面上檔案管理軟件名目繁多，軟件開發服務商服務質量的好壞，將直接影響檔案管理軟件的安全性。受開發人員編程水平和設計能力的影響，系統漏洞在所難免，軟件公司的技術實力、研發成本的投入、用戶數量、售后維護質量直接決定其漏洞的大小。通過各高校用戶在系統運行中的漏洞反饋及信息安全等級保護評估報告，軟件公司不斷對系統進行完善升級，將系統風險控制在可控范圍內。所以系統選型時，用戶量多、可靠性強、售后完善的軟件開發公司可降低系統安全風險。

（二）充分利用學校云計算平臺。各高校逐漸搭建了云計算平臺，檔案業務系統可依托其虛擬化平臺進行建設。依托學校力量，更易實現硬件防火墻、入侵檢測防御系統、服務器的部署及性能提升，且其網絡環境、物理環境、備份和管理策略等更加完備、規范，從而減少運維人員的維護成本。

（三）在允許的范圍內實行運維外包。隨著檔案信息化建設的深入，各高校檔案館對網絡平臺和應用平臺所提供的服務必然提出更高要求，這就要求管理人員從技術細節中脫身出來，更好地關注系統平臺管理、規劃及對業務的支撐等關鍵業務。采用運維外包的形式，可通過服務商先進的服務管理理念、專業的服務技術、全面的服務內容為檔案館提供管理技術支撐。而在運維服務商中，首選業務系統的軟件服務商，軟件服務商通過其團隊可針對策略配置、系統升級乃至應急響應制定一系列專業的服務。

五、結語

檔案信息化安全建設是高校檔案信息化建設中的一項需長期堅持的工作，特別是在《網絡安全法》實施以后，對信息化安全管理提出更加明確的規定，這需要我們不斷優化完善安全體系，通過不懈努力，打造一個日益安全的檔案系統環境，為高校的信息化可持續發展提供安全保障。