信息安全等級(jí)保護(hù)備案在高等院校中的研究與實(shí)踐

路萍+翟躍

摘 要：教育行業(yè)信息系統(tǒng)的安全問題是影響到國(guó)家、社會(huì)、個(gè)人利益的重大問題，等級(jí)保護(hù)是實(shí)施系統(tǒng)安全管理的抓手，現(xiàn)已在教育系統(tǒng)逐步全面展開信息系統(tǒng)安全等級(jí)保護(hù)工作。本文分析了高等院校內(nèi)部進(jìn)行信息系統(tǒng)等級(jí)保護(hù)定級(jí)備案工作的內(nèi)容、保障機(jī)構(gòu)、實(shí)施流程以及管理辦法，并從應(yīng)用角度提出便于日常管理、便于安全自查的系統(tǒng)設(shè)計(jì)方案，使信息安全等級(jí)保護(hù)工作在高等院校中能進(jìn)行更為有效的落地、實(shí)施。

關(guān)鍵詞：信息安全；等級(jí)保護(hù)；定級(jí)；備案

中圖分類號(hào)：G203 文獻(xiàn)標(biāo)志碼：A 文章編號(hào)：1673-8454（2015）21-0012-05

一、背景

近些年來(lái)，隨著互聯(lián)網(wǎng)和信息通信技術(shù)的發(fā)展，信息系統(tǒng)在各行業(yè)、各領(lǐng)域快速拓展。隨著大數(shù)據(jù)時(shí)代的到來(lái)，偽造基站、BIOS后門、高斯病毒、短信僵尸等各類網(wǎng)絡(luò)攻擊層出不窮、日新月異，保障網(wǎng)絡(luò)與信息系統(tǒng)安全，已經(jīng)成為信息化發(fā)展中迫切需要解決的重大問題。教育部、北京市教委等部門為保障教育信息系統(tǒng)的安全，逐步推出了相關(guān)政策和工作辦法。

二、信息安全等級(jí)保護(hù)概述

信息安全等級(jí)保護(hù)（以下簡(jiǎn)稱等保）是指對(duì)國(guó)家秘密信息、法人和其他組織及公民的專有信息以及公開信息和存儲(chǔ)、傳輸、處理這些信息的信息系統(tǒng)分等級(jí)實(shí)施安全保護(hù)，對(duì)信息系統(tǒng)中使用的信息安全產(chǎn)品實(shí)行按等級(jí)管理，對(duì)信息系統(tǒng)中發(fā)生的信息安全事件分等級(jí)響應(yīng)、處置的綜合性工作。[1]

系統(tǒng)定級(jí)備案的實(shí)施是信息安全監(jiān)督、檢查和問責(zé)的需要。通過備案可以使信息化主管部門知道在哪里、由什么人運(yùn)行著何等重要程度的信息系統(tǒng)，為信息安全管理提供基礎(chǔ)數(shù)據(jù)。本文著重論述高等院校信息系統(tǒng)信息安全等級(jí)保護(hù)定級(jí)備案工作的實(shí)施，所指信息系統(tǒng)是指由計(jì)算機(jī)及其相關(guān)和配套的設(shè)備、網(wǎng)絡(luò)構(gòu)成的對(duì)教育行業(yè)相關(guān)業(yè)務(wù)信息進(jìn)行采集、加工、存儲(chǔ)、傳輸、檢索和處理，不涉及國(guó)家秘密的系統(tǒng)。[2]

1.信息系統(tǒng)定級(jí)備案基本分類

信息系統(tǒng)定級(jí)是等級(jí)保護(hù)的第一步，需分析系統(tǒng)的業(yè)務(wù)信息類型和系統(tǒng)服務(wù)類型，確定信息安全受到破壞時(shí)所侵害的客體，確定對(duì)客體的侵害程度。信息系統(tǒng)的安全保護(hù)等級(jí)應(yīng)當(dāng)根據(jù)信息系統(tǒng)在國(guó)家安全、經(jīng)濟(jì)建設(shè)、社會(huì)生活中的重要程度，以及系統(tǒng)遭到破壞后對(duì)國(guó)家安全、社會(huì)秩序、公共利益以及公民、法人和其他組織的合法權(quán)益的危害程度等因素確定。[3]高等院校信息系統(tǒng)中，招生管理類、數(shù)據(jù)集成類、校務(wù)管理類、基礎(chǔ)網(wǎng)絡(luò)服務(wù)類等信息系統(tǒng)的業(yè)務(wù)信息安全或系統(tǒng)服務(wù)安全受到破壞，可能影響學(xué)校正常秩序，影響高校正常行使工作職能，侵害學(xué)校、教師、學(xué)生及部分社會(huì)公眾合法權(quán)益，可能在一定范圍內(nèi)對(duì)社會(huì)秩序造成影響，可能侵害公共利益，引起法律糾紛等；教學(xué)支持類、科研管理類、公共服務(wù)類、信息發(fā)布類等信息系統(tǒng)業(yè)務(wù)信息安全或系統(tǒng)服務(wù)安全受到破壞，可能影響學(xué)校正常秩序，影響高校正常行使工作職能，侵害學(xué)校、教師、學(xué)生合法權(quán)益，引起法律糾紛等。[4]

2.高等院校信息系統(tǒng)定級(jí)備案的基本原則

為了保護(hù)信息安全等級(jí)保護(hù)工作的科學(xué)性、合理性，高等院校的信息系統(tǒng)在實(shí)施過程中應(yīng)遵循以下原則：

（1）自主保護(hù)原則。在高等院校的信息安全等級(jí)保護(hù)工作中，學(xué)校各二級(jí)單位按照相關(guān)標(biāo)準(zhǔn)對(duì)管轄范圍內(nèi)的信息系統(tǒng)進(jìn)行自主定級(jí)、自主保護(hù)，并接受信息化主管部門的監(jiān)督、管理。

（2）重點(diǎn)保護(hù)原則。將學(xué)校有限的財(cái)力、物力、人力投入到招生、教務(wù)、科研等重要信息系統(tǒng)安全保護(hù)中，依據(jù)相關(guān)標(biāo)準(zhǔn)建設(shè)安全保護(hù)體系，建立安全保護(hù)制度，落實(shí)安全責(zé)任，優(yōu)化信息安全資源配置。

（3）同步建設(shè)原則。按照等保要求，在學(xué)校新建和改建的信息化項(xiàng)目中，將信息安全建設(shè)與系統(tǒng)建設(shè)同步規(guī)劃、實(shí)施。

（4）動(dòng)態(tài)調(diào)整原則。高等院校信息系統(tǒng)的應(yīng)用功能、服務(wù)對(duì)象、范圍等會(huì)根據(jù)政策、管理辦法、新業(yè)務(wù)需求而發(fā)生變更、擴(kuò)展。當(dāng)發(fā)生較大變化時(shí)，應(yīng)根據(jù)等級(jí)保護(hù)管理規(guī)范和技術(shù)標(biāo)準(zhǔn)的要求重新定級(jí)、備案，實(shí)施安全保護(hù)。

三、高等院校等保定級(jí)備案管理辦法的研究

1.高校信息安全管理存在的主要問題

目前高等院校在信息安全等級(jí)保護(hù)備案方面存在著以下問題：

（1）二級(jí)單位難以按照信息安全等級(jí)保護(hù)基本要求結(jié)合自身情況制定切實(shí)可行的信息安全管理制度和技術(shù)標(biāo)準(zhǔn)規(guī)范。

（2）系統(tǒng)、網(wǎng)站的建設(shè)注重業(yè)務(wù)應(yīng)用的實(shí)現(xiàn)，缺少安全設(shè)計(jì)和部署，開發(fā)環(huán)境與生產(chǎn)環(huán)境混淆，沒有足夠的測(cè)試急于上線，缺少安全防護(hù)意識(shí)。

（3）系統(tǒng)的不斷改造升級(jí)，增加了網(wǎng)絡(luò)安全的脆弱性，降低了系統(tǒng)的安全狀態(tài)。

（4）部分二級(jí)單位對(duì)本單位的信息系統(tǒng)及網(wǎng)站底數(shù)不清，依然存在各自為政開設(shè)網(wǎng)站的情況，安全防護(hù)不統(tǒng)一。且存在科研教學(xué)機(jī)構(gòu)替其他用戶單位在校內(nèi)開發(fā)、運(yùn)營(yíng)系統(tǒng)的情況。

（5）由于學(xué)校人員組織、編制等限制，無(wú)法嚴(yán)格按照等保要求組建專門的、專業(yè)的安全運(yùn)維管理組織，配備崗責(zé)明確的職能人員。二級(jí)單位的系統(tǒng)管理員、網(wǎng)站管理員計(jì)算機(jī)知識(shí)與技能相對(duì)欠缺、安全意識(shí)相對(duì)薄弱，不足以開展安全自查、安全防范和風(fēng)險(xiǎn)分析排查。

針對(duì)上述問題，本文研究信息安全保障機(jī)構(gòu)的建立、校內(nèi)定級(jí)備案工作流程、自查監(jiān)察管理辦法等，以改進(jìn)高校等保定級(jí)備案工作。

2.高校信息安全保障機(jī)構(gòu)的建立

以高?，F(xiàn)有校院兩級(jí)管理實(shí)體為基礎(chǔ)，確定信息安全領(lǐng)導(dǎo)小組、專家組以及信息安全主管部門和責(zé)任人，統(tǒng)一管理與協(xié)調(diào)。按照“誰(shuí)主管、誰(shuí)負(fù)責(zé)”的原則實(shí)行信息工作責(zé)任制和責(zé)任追究制，保證全校的信息安全建設(shè)與運(yùn)維的管理職責(zé)得到落實(shí)。

本文建立的信息安全保障機(jī)構(gòu)實(shí)質(zhì)上是一個(gè)三級(jí)機(jī)構(gòu)，如圖1所示：

（1）信息化主管部門

信息安全領(lǐng)導(dǎo)小組領(lǐng)導(dǎo)下的信息化主管部門通常包括兩類：

一類是宣傳部、信息辦等內(nèi)容主管部門。負(fù)責(zé)學(xué)校各級(jí)網(wǎng)站的內(nèi)容管理，包括網(wǎng)站審批、輿情監(jiān)控；負(fù)責(zé)信息安全組織機(jī)構(gòu)的人員信息登記等工作。

另一類是信息中心、網(wǎng)絡(luò)中心等技術(shù)主管部門。負(fù)責(zé)全校信息安全等級(jí)保護(hù)的管理工作；負(fù)責(zé)校級(jí)系統(tǒng)的物理安全、網(wǎng)絡(luò)安全、主機(jī)安全以及應(yīng)用和數(shù)據(jù)安全；根據(jù)等級(jí)保護(hù)相應(yīng)等級(jí)的技術(shù)要求對(duì)二級(jí)單位的系統(tǒng)網(wǎng)站進(jìn)行安全監(jiān)測(cè)、整改等工作。

（2）信息安全第一責(zé)任人

二級(jí)單位信息安全第一責(zé)任人原則上為本部門一把手，對(duì)本部門各業(yè)務(wù)系統(tǒng)及管轄下的網(wǎng)站在形式、內(nèi)容、運(yùn)行方面承擔(dān)監(jiān)督和管理的責(zé)任，負(fù)責(zé)建立和完善本部門網(wǎng)絡(luò)安全和信息安全組織，統(tǒng)籌本單位的信息系統(tǒng)建設(shè)，建立健全本部門信息化管理制度，審批確定本部門信息系統(tǒng)的安全運(yùn)維方案和應(yīng)急預(yù)案。

信息系統(tǒng)和網(wǎng)站的申請(qǐng)建設(shè)、改造升級(jí)以及撤銷，信息安全第一責(zé)任人負(fù)責(zé)依法進(jìn)行信息安全等級(jí)保護(hù)備案和定級(jí)工作，報(bào)信息化主管部門備案。

（3）二級(jí)單位信息安全工作實(shí)施小組

二級(jí)單位信息安全工作實(shí)施小組主要包括四類人員。

①信息安全員

各二級(jí)單位須指定信息安全管理員，負(fù)責(zé)本單位網(wǎng)絡(luò)與信息系統(tǒng)的管理和運(yùn)維工作。接受本部門第一責(zé)任人、信息化主管部門的領(lǐng)導(dǎo)，協(xié)調(diào)本部門的系統(tǒng)管理員、網(wǎng)站管理員以及信息發(fā)布員實(shí)現(xiàn)信息系統(tǒng)等級(jí)保護(hù)的管理要求、技術(shù)要求。主要有以下工作：

協(xié)助信息安全第一責(zé)任人統(tǒng)籌本單位的網(wǎng)絡(luò)建設(shè)和信息系統(tǒng)建設(shè)，管理本單位的二級(jí)網(wǎng)站和三級(jí)網(wǎng)站，包括信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)備案以及自查等實(shí)施工作。

負(fù)責(zé)本單位局域網(wǎng)管理，學(xué)校固定IP、域名等網(wǎng)絡(luò)資源的申請(qǐng)、配置、管理工作。

負(fù)責(zé)本單位的信息收集與維護(hù)工作，保證數(shù)據(jù)的準(zhǔn)確性、及時(shí)性，支持校內(nèi)外信息交流和交換、數(shù)據(jù)上報(bào)。

負(fù)責(zé)本單位網(wǎng)絡(luò)安全、信息安全與保密工作，對(duì)系統(tǒng)安全策略、系統(tǒng)備份、日志管理和操作流程等方面制訂管理辦法。

②系統(tǒng)管理員和網(wǎng)站管理員

系統(tǒng)管理員和網(wǎng)站管理員應(yīng)是在職教職工，根據(jù)所負(fù)責(zé)的計(jì)算機(jī)信息系統(tǒng)對(duì)應(yīng)的信息安全等保等級(jí)進(jìn)行相應(yīng)技術(shù)和管理工作，從服務(wù)器、數(shù)據(jù)庫(kù)、應(yīng)用服務(wù)等多層面進(jìn)行系統(tǒng)的補(bǔ)丁升級(jí)、定期備份、巡檢、應(yīng)急響應(yīng)、故障解決等工作，保障系統(tǒng)正常、穩(wěn)定運(yùn)行。

③信息發(fā)布員

信息發(fā)布員是網(wǎng)頁(yè)具體內(nèi)容的審核發(fā)布人員，應(yīng)保證信息的及時(shí)有效性，能根據(jù)上級(jí)領(lǐng)導(dǎo)或主管部門的要求更新、撤銷、歸檔網(wǎng)頁(yè)信息。

④資產(chǎn)管理員

通常高等院校各二級(jí)單位都有固定資產(chǎn)管理員，雖然這些管理者不是信息化專業(yè)人員，但是負(fù)責(zé)軟硬件各類設(shè)備的管理，因此也應(yīng)納入等保安全保障體系范疇。

3.校內(nèi)定級(jí)備案工作

高等院校，特別是理工類高等院校內(nèi)的系統(tǒng)/網(wǎng)站繁多，且教學(xué)、科研、服務(wù)等應(yīng)用目標(biāo)不同，管轄等級(jí)不同（校級(jí)、院部處級(jí)、實(shí)驗(yàn)室以及群團(tuán)組織等），但無(wú)論系統(tǒng)大小都應(yīng)按照有關(guān)法律法規(guī)進(jìn)行等級(jí)保護(hù)定級(jí)備案。

各系統(tǒng)主管單位根據(jù)信息系統(tǒng)分類、系統(tǒng)重要程度及實(shí)際的安全需求，參照《計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則》、《信息系統(tǒng)安全等級(jí)保護(hù)基本要求》和《教育行政部門及高等院校信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)指南》進(jìn)行定級(jí)（高校一般不涉及四、五級(jí)系統(tǒng)），實(shí)施安全保護(hù)。原則上安全等級(jí)應(yīng)不低于建議級(jí)別；對(duì)于承載復(fù)雜功能的信息系統(tǒng)，安全等級(jí)可高于建議級(jí)別；對(duì)于承載多個(gè)業(yè)務(wù)功能的信息系統(tǒng)，應(yīng)以建議的最高安全等級(jí)進(jìn)行定級(jí)。其中電子公文與信息交換、信息門戶系統(tǒng)、招生管理系統(tǒng)等為重要保護(hù)對(duì)象。[4]

本文設(shè)計(jì)的高等院校內(nèi)部定級(jí)備案工作流程如圖2所示。

本工作流程中，等級(jí)保護(hù)定級(jí)備案的關(guān)鍵節(jié)點(diǎn)在于二級(jí)單位在新建系統(tǒng)或網(wǎng)站時(shí)，需要申請(qǐng)服務(wù)器、固定IP以及二級(jí)域名等網(wǎng)絡(luò)資源。信息化工作主管部門通?？梢栽诖斯?jié)點(diǎn)要求二級(jí)單位完成系統(tǒng)的定級(jí)備案工作，以防疏漏。

如果是校級(jí)系統(tǒng)、二級(jí)單位重要業(yè)務(wù)管理系統(tǒng)，通常需要經(jīng)過經(jīng)信委等上級(jí)主管部門的審批，因此可以在立項(xiàng)之時(shí)就進(jìn)行相應(yīng)的定級(jí)備案、安全規(guī)劃，落實(shí)信息安全等級(jí)保護(hù)相關(guān)控制，以確保在系統(tǒng)的規(guī)劃設(shè)計(jì)、建設(shè)實(shí)施、運(yùn)行維護(hù)整個(gè)安全生命周期中貫徹信息安全等級(jí)保護(hù)要求。

4.自查監(jiān)察管理辦法

（1）等保自查

學(xué)校信息化工作主管部門以及各二級(jí)單位每年都應(yīng)參照等保的要求項(xiàng)和控制點(diǎn)，對(duì)管轄范圍內(nèi)的信息系統(tǒng)依據(jù)保護(hù)級(jí)別制定安全策略，規(guī)范管理和技術(shù)實(shí)施，并定期檢查。包括網(wǎng)絡(luò)與信息系統(tǒng)安全基本情況、技術(shù)防護(hù)情況、信息安全產(chǎn)品使用和信息技術(shù)服務(wù)外包安全管理情況、應(yīng)急處置及容災(zāi)備份情況以及等級(jí)保護(hù)工作落實(shí)情況等。并填報(bào)自查結(jié)果，上報(bào)主管部門備案。

（2）安全監(jiān)控

信息化工作技術(shù)主管部門負(fù)責(zé)利用可利用的安全技術(shù)、產(chǎn)品以及工具了解和評(píng)估系統(tǒng)的安全狀態(tài)；從物理環(huán)境、網(wǎng)絡(luò)、系統(tǒng)、應(yīng)用、數(shù)據(jù)，到最終的用戶終端匯集安全監(jiān)控審計(jì)信息（詳見圖3），并進(jìn)行分析及時(shí)發(fā)現(xiàn)安全隱患，提供可能的解決方案和技術(shù)支持。

信息化工作技術(shù)主管部門還應(yīng)配合教委、公安局等上級(jí)部門進(jìn)行信息安全的抽查、整改工作，完成每年度的信息安全等級(jí)保護(hù)工作匯報(bào)，保障敏感時(shí)期的信息安全保障工作。

（3）整改管理辦法

對(duì)于自行發(fā)現(xiàn)的安全隱患以及上級(jí)下達(dá)的整改通知，信息化主管部門通知二級(jí)單位，落實(shí)人員限期實(shí)施整改，并配合系統(tǒng)主管單位將系統(tǒng)調(diào)整到“最安全”和“風(fēng)險(xiǎn)最低”狀態(tài)。整改完成后，二級(jí)單位以書面形式上交整改報(bào)告，說(shuō)明安全問題描述、原因、整改措施等。對(duì)于影響嚴(yán)重的系統(tǒng)或不能按期整改完成的系統(tǒng)，信息化技術(shù)主管部門有權(quán)停止網(wǎng)絡(luò)服務(wù)，經(jīng)核準(zhǔn)整改效果后方可銷案，同時(shí)加入重點(diǎn)安全監(jiān)控名單。對(duì)于不能解決的安全問題和重大安全問題應(yīng)及時(shí)告知信息安全領(lǐng)導(dǎo)小組和專家組，尋求領(lǐng)導(dǎo)層和校外專業(yè)團(tuán)隊(duì)的指導(dǎo)。

四、高等院校等保定級(jí)備案管理系統(tǒng)探究

信息安全等級(jí)保護(hù)定級(jí)備案以及自查整改的實(shí)施，大多是信息采集、錄入和管理工作。然而又不同于一般的行政管理，需要結(jié)合技術(shù)的和非技術(shù)的手段保證全校等級(jí)保護(hù)工作的系統(tǒng)性、可行性、有效性和可擴(kuò)展性。

目前已經(jīng)有公司推出了信息安全等級(jí)保護(hù)綜合管理系統(tǒng)，通過應(yīng)用軟件實(shí)現(xiàn)各種備案信息的錄入、批量導(dǎo)入/導(dǎo)出、審核，從而進(jìn)行備案信息的查詢、檢索和統(tǒng)計(jì)，以及為上級(jí)主管部門提供本單位的信息系統(tǒng)備案狀況。但是，這些系統(tǒng)大都缺乏分層管理、數(shù)據(jù)關(guān)聯(lián)、約束檢查，使等保信息還是處于分散的狀態(tài)中，也不便于校內(nèi)日常信息安全工作管理。本文從信息化人員管理、資產(chǎn)管理以及制度管理的角度出發(fā)，討論此類系統(tǒng)的設(shè)計(jì)思想，以實(shí)現(xiàn)定級(jí)備案工作在高校實(shí)施中的有效落地。

1.數(shù)據(jù)關(guān)聯(lián)與約束（見圖4）

建立信息安全保障體系對(duì)照表，通過Dept_code、Administrator、Assets_Manager、Assets_code、Rules_code關(guān)鍵字實(shí)現(xiàn)系統(tǒng)與部門、系統(tǒng)與管理員、系統(tǒng)與資產(chǎn)、系統(tǒng)與制度的關(guān)系。可以知道一個(gè)二級(jí)單位有哪些系統(tǒng)，分別是幾級(jí)系統(tǒng)；可以知道每個(gè)系統(tǒng)使用了哪些固定資產(chǎn)，管理員是誰(shuí)；可以知道每個(gè)系統(tǒng)建立或使用了哪些制度，是校級(jí)的還是二級(jí)單位內(nèi)部的，等等。例如，通過上述關(guān)聯(lián)可以很容易得到如表1所示的查詢統(tǒng)計(jì)表。

而從表2不僅可以獲得二級(jí)單位各系統(tǒng)的資產(chǎn)信息（軟硬件），而且可按系統(tǒng)、部門進(jìn)行匯總計(jì)算，獲得國(guó)外產(chǎn)品百分比統(tǒng)計(jì)等信息。

通過資產(chǎn)編碼Assets_code關(guān)聯(lián)資產(chǎn)信息和資產(chǎn)檢查表，按照資產(chǎn)類型編碼對(duì)應(yīng)的技術(shù)要求-Technology_checkcode、Technology_Description檢查項(xiàng)填寫資產(chǎn)檢查表的檢查結(jié)果，并記錄日期，可以用作后續(xù)的變更記錄和跟蹤。

通過系統(tǒng)編碼System_code從系統(tǒng)定級(jí)信息獲取系統(tǒng)安全等級(jí)G_level，對(duì)應(yīng)到管理要求表得到相應(yīng)的檢查項(xiàng)信息，再根據(jù)“制度-管理檢查項(xiàng)對(duì)照”自動(dòng)獲取校級(jí)制度，便于二級(jí)單位的管理制度檢查信息的填報(bào)。

這些關(guān)系的建立，不但可以獲得更多的級(jí)聯(lián)信息，而且可以進(jìn)行約束。例如，通過制度的“共享標(biāo)志”約束其他部門是否能使用二級(jí)單位自定義的制度；通過在系統(tǒng)備案基本備案信息中錄入的資產(chǎn)數(shù)量Assets_number來(lái)驗(yàn)證資產(chǎn)信息是否填報(bào)完備，等等。

2.數(shù)圖關(guān)聯(lián)

資產(chǎn)管理涉及機(jī)器設(shè)備、軟件系統(tǒng)等方面。梳理資產(chǎn)是實(shí)施等級(jí)保護(hù)的過程中重要的一步，以確定學(xué)校各系統(tǒng)的資產(chǎn)，明確責(zé)任人、物理位置、使用情況以及數(shù)據(jù)信息交互情況。

高校信息系統(tǒng)的資產(chǎn)管理大多還處于手工管理的離散狀態(tài)，即便有固定資產(chǎn)管理系統(tǒng)，也只是從財(cái)產(chǎn)角度對(duì)各類資產(chǎn)進(jìn)行注冊(cè)在案（其分類與信息化角度不同），沒有按照信息安全等級(jí)保護(hù)的管理要求、技術(shù)要求記錄更為詳盡的管理信息、運(yùn)維信息。

本文建議建立基于拓?fù)浣Y(jié)構(gòu)圖的信息系統(tǒng)資產(chǎn)管理，便于基礎(chǔ)信息的錄入、等保檢查項(xiàng)檢查和直觀展示。因?yàn)椋绻皇峭ㄟ^二維表或者樹狀結(jié)構(gòu)圖的形式輸入資產(chǎn)信息，難以直觀地了解到哪些網(wǎng)絡(luò)設(shè)備、哪些服務(wù)器、哪個(gè)數(shù)據(jù)庫(kù)以及哪個(gè)Web應(yīng)用是一個(gè)系統(tǒng)的。但是基于拓?fù)鋱D資產(chǎn)信息管理，可以通過圖形符號(hào)的方式建立資產(chǎn)之間的關(guān)聯(lián)，便于掌握一個(gè)系統(tǒng)的整體資產(chǎn)情況。例如，一臺(tái)服務(wù)器的符號(hào)可以連接服務(wù)器、中間件、數(shù)據(jù)庫(kù)、應(yīng)用等多層資產(chǎn)，逐一錄入（包括沒有固定資產(chǎn)的免費(fèi)資源）。如果少了哪一層資產(chǎn)沒有填報(bào)（沒有需說(shuō)明理由），即當(dāng)前備案信息尚不完備，則該系統(tǒng)應(yīng)該是不允許訪問的狀態(tài)。從等保管理要求，信息化主管部門就可以停止其運(yùn)行服務(wù)。

五、結(jié)束語(yǔ)

每個(gè)高等院校都會(huì)有自己的信息化組織機(jī)構(gòu)、管理制度和辦法，信息化建設(shè)進(jìn)程也不盡相同，在具體應(yīng)用《信息安全等級(jí)保護(hù)基本要求》時(shí)，不應(yīng)一味追求所有的安全項(xiàng)，而是要根據(jù)學(xué)校自身信息化建設(shè)情況、特點(diǎn)，兼顧可操作性設(shè)計(jì)和實(shí)施信息安全體系建設(shè)，穩(wěn)步漸進(jìn)地落實(shí)等級(jí)保護(hù)工作。

參考文獻(xiàn)：

[1]中華人民共和國(guó)國(guó)家質(zhì)量監(jiān)督檢驗(yàn)檢疫總局，中國(guó)國(guó)家標(biāo)準(zhǔn)化管理委員會(huì).GB/T 22239-2008 信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)基本要求[S].中國(guó)標(biāo)準(zhǔn)出版社，2008.

[2]中國(guó)教育信息化網(wǎng).北京市市屬教育行業(yè)信息安全等級(jí)保護(hù)定級(jí)評(píng)審工作辦法[EB/OL]. http：//www.ict.edu.cn/laws/difang/n20140623_14386.shtml，2014-06-23.

[3]沈昌祥，信息安全保障建設(shè)中的等級(jí)保護(hù)[J].信息技術(shù)與標(biāo)準(zhǔn)化，2007（11）.

[4]教育部辦公廳.教育行業(yè)信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)工作指南（試行）[Z].2014.10.

（編輯：王天鵬）