農(nóng)業(yè)科研院所信息安全體系構(gòu)建與探討

譚 旭

（廣西壯族自治區(qū)水牛研究所，廣西 南寧530001）

農(nóng)業(yè)科研院所信息安全體系構(gòu)建與探討

譚 旭

（廣西壯族自治區(qū)水牛研究所，廣西 南寧530001）

文章結(jié)合農(nóng)業(yè)科研院所信息安全體系的構(gòu)建方案，針對(duì)農(nóng)業(yè)科研院所信息安全體系在應(yīng)用、平臺(tái)和制度層面的安全問題和安全隱患進(jìn)行分析探討，并提出信息安全體系在安全組織、安全技術(shù)以及安全管理三個(gè)方面的構(gòu)建思路。

信息安全；安全威脅；體系構(gòu)建；局域網(wǎng)

經(jīng)過“十一五”和“十二五”兩個(gè)快速發(fā)展的時(shí)期，農(nóng)業(yè)科研院所的信息化建設(shè)水平已經(jīng)得到了普遍提高，信息化正在改變和完善原有的科研辦公模式，并在多個(gè)層面推動(dòng)著單位的創(chuàng)新和發(fā)展?？梢哉f，對(duì)于現(xiàn)代農(nóng)業(yè)科研院所而言，信息化建設(shè)是科技創(chuàng)新的重要環(huán)節(jié)，是科研管理的重要手段，是學(xué)科發(fā)展的重要引擎，是助力現(xiàn)代農(nóng)業(yè)發(fā)展的重要支撐［1］。隨著信息化的不斷參透和深入，信息安全的問題也隨之凸顯，并成為一個(gè)不可忽視和避免的重要課題。

1 農(nóng)業(yè)科研院所信息安全隱患的幾個(gè)主要層面

在信息化快速發(fā)展的推動(dòng)下，現(xiàn)代農(nóng)業(yè)科研院所結(jié)合自身的業(yè)務(wù)特性，應(yīng)具備以下的具體特征：一是管理、科研、服務(wù)、保障等信息化應(yīng)用的開發(fā)與融合得到不斷推進(jìn)；二是農(nóng)業(yè)科研數(shù)據(jù)資源的整合與利用得到不斷深化；三是對(duì)內(nèi)、外信息服務(wù)的效率與質(zhì)量得到不斷提高［2］。而在這三點(diǎn)特征背后，信息安全也將面臨著應(yīng)用、平臺(tái)和制度等三個(gè)層面建設(shè)發(fā)展的挑戰(zhàn)。

1.1 應(yīng)用層面

目前，大量的業(yè)務(wù)應(yīng)用軟件被運(yùn)用在農(nóng)業(yè)科研院所的日常工作當(dāng)中，從而引發(fā)了“軟件危機(jī)”現(xiàn)象在院所信息化管理的過程中呈爆發(fā)式增長(zhǎng)。所謂“軟件危機(jī)”就是指由于軟件生產(chǎn)方式無法滿足迅速增長(zhǎng)的計(jì)算機(jī)軟件需求，而導(dǎo)致軟件開發(fā)與維護(hù)過程中出現(xiàn)的一些列嚴(yán)重問題。其中，軟件功能欠缺、開發(fā)漏洞以及開發(fā)和維護(hù)上的一系列問題等“軟件危機(jī)”現(xiàn)象正是信息安全隱患的一個(gè)重要因素。［3］

1.2 平臺(tái)層面

承載業(yè)務(wù)應(yīng)用軟件需要大量的計(jì)算機(jī)硬件平臺(tái)設(shè)備以及之間所構(gòu)成的高效網(wǎng)絡(luò)去支撐和運(yùn)行。由于計(jì)算機(jī)的體系和計(jì)算機(jī)網(wǎng)絡(luò)都采用開放式的結(jié)構(gòu)，傳統(tǒng)的防火墻、入侵檢測(cè)和病毒防護(hù)等傳統(tǒng)的被動(dòng)防御手段難以有效地保障計(jì)算機(jī)和網(wǎng)絡(luò)的安全，尤其是計(jì)算機(jī)終端的安全［4］。另一方面，信息機(jī)房的勘察以及電源、空調(diào)等配套設(shè)施達(dá)不到軟件應(yīng)用系統(tǒng)環(huán)境的標(biāo)準(zhǔn)，就會(huì)產(chǎn)生供電系統(tǒng)不穩(wěn)定、斷電發(fā)生時(shí)無安全保護(hù)措施、機(jī)柜接地不到位或者機(jī)房溫濕度不佳或者許多硬件設(shè)備沒能夠合理布放配置等安全隱患。同時(shí)也有可能因?yàn)椴豢勺杩沽α咳缁馂?zāi)、地震或者洪澇災(zāi)害等直接影響運(yùn)營網(wǎng)絡(luò)的安全運(yùn)行。

1.3 制度層面

由于需要跟上國家、社會(huì)近年來信息化快速發(fā)展的步伐，我國農(nóng)業(yè)科研院所普遍存在著信息化機(jī)制建設(shè)落后于系統(tǒng)建設(shè)的現(xiàn)象。大多數(shù)造成嚴(yán)重后果的案例都可追溯到機(jī)制制度不健全上。比如作為信息安全管理維護(hù)隊(duì)伍，如若多個(gè)管理職能部門不能做到相互配合、溝通不暢、職責(zé)劃分不夠明確、規(guī)章制度不夠合理完善等，都會(huì)直接影響到系統(tǒng)數(shù)據(jù)的備份和發(fā)生故障時(shí)應(yīng)急處理辦法。同時(shí)管理人員如若存在安全防護(hù)意識(shí)方面的松懈，也會(huì)產(chǎn)生外部入侵的機(jī)會(huì)。另外規(guī)章制度方面死板硬套，沒有針對(duì)性，也會(huì)對(duì)團(tuán)隊(duì)帶來負(fù)面影響。

2 信息安全體系的基本要求

《信息安全技術(shù) 信息系統(tǒng)安全等級(jí)保護(hù)基本要求》（GB/T 22239-2008）中提出，信息系統(tǒng)基本安全要求由技術(shù)要求和基本管理要求兩個(gè)類別（如圖1所示）。技術(shù)類安全要求與信息系統(tǒng)提供的技術(shù)安全機(jī)制有關(guān)，主要通過信息系統(tǒng)中部署軟硬件并正確的配置其安全功能來實(shí)現(xiàn)，從物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全和數(shù)據(jù)安全等幾個(gè)層面提出；管理類安全要求與信息系統(tǒng)中各種角色參與的活動(dòng)有關(guān)，主要通過控制各種角色的活動(dòng)，通過政策、制度、規(guī)范、流程以及記錄等方面做出規(guī)定來實(shí)現(xiàn)，從安全管理制度、安全管理機(jī)構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理和系統(tǒng)運(yùn)維管理幾個(gè)方面提出。［5］

圖1 信息系統(tǒng)基本安全要求

3 信息安全體系的構(gòu)建

結(jié)合國家信息安全等級(jí)保護(hù)體系，開始著手構(gòu)建適合農(nóng)業(yè)科研院所的信息安全體系。目的是能夠設(shè)計(jì)出一套具有針對(duì)性，能夠完全滿足日?？蒲修k公需求，并能為單位的核心數(shù)據(jù)信息提供有力保障的多功能辦公網(wǎng)絡(luò)，為單位未來做好信息化建設(shè)工作奠定基礎(chǔ)。

3.1 安全組織體系的構(gòu)建

通過組建科研院所信息安全領(lǐng)導(dǎo)小組和工作小組，按照“誰主管誰負(fù)責(zé)，誰運(yùn)行誰負(fù)責(zé)”的原則，明確劃分各職能部門和負(fù)責(zé)人的職責(zé)范圍，通過逐級(jí)負(fù)責(zé)的制度，做到層層責(zé)任落實(shí)到位。加強(qiáng)信息安全整體工作的監(jiān)督和管理，劃分具體化工作內(nèi)容，設(shè)定專業(yè)性信息安全管理崗位，并在各職能部門分配兼職安全管理人員，在整個(gè)研究所內(nèi)部形成全范圍的信息安全管理網(wǎng)絡(luò)，讓所有人員參與到信息安全管理中，提升信息安全管理的宏觀整體性。

3.2 安全技術(shù)體系的構(gòu)建

如圖 2所示，信息安全網(wǎng)絡(luò)架構(gòu)將原有的一套辦公網(wǎng)絡(luò)通過安全隔離信息交換網(wǎng)閘區(qū)分為了內(nèi)網(wǎng)和外網(wǎng)兩個(gè)部分。建設(shè)的目的在于將廣西壯族自治區(qū)水牛研究所日常辦公所需要的業(yè)務(wù)軟件與互聯(lián)網(wǎng)進(jìn)行有效隔離，保障信息終端的安全，同時(shí)提升職工在處理信息數(shù)據(jù)時(shí)的可靠性。

圖2 信息安全網(wǎng)絡(luò)架構(gòu)

3.2.1 內(nèi)網(wǎng)保護(hù)區(qū)

主要針對(duì)存放內(nèi)網(wǎng)業(yè)務(wù)軟件（如：科研數(shù)據(jù)庫、產(chǎn)業(yè)數(shù)據(jù)庫和行政辦公系統(tǒng)等）和相關(guān)數(shù)據(jù)信息的數(shù)據(jù)服務(wù)器，以及內(nèi)網(wǎng)準(zhǔn)入管理軟件、安全管理系統(tǒng)和數(shù)據(jù)庫審計(jì)系統(tǒng)等信息安全管理和監(jiān)測(cè)平臺(tái)。目的在于構(gòu)建一個(gè)內(nèi)網(wǎng)的信息處理和安全管理中心。

(2) 采取自1900年以來，美國地質(zhì)勘探局在建設(shè)場(chǎng)地一定范圍內(nèi)的地震觀測(cè)資料，通過分析建設(shè)場(chǎng)地相對(duì)于數(shù)次地震的相應(yīng)烈度，采取相應(yīng)的抗震設(shè)防烈度。

3.2.2 內(nèi)網(wǎng)終端區(qū)

包括了內(nèi)網(wǎng)的使用終端和準(zhǔn)入日志服務(wù)器，用戶可以在此區(qū)域內(nèi)使用接入內(nèi)網(wǎng)的計(jì)算機(jī)對(duì)業(yè)務(wù)軟件進(jìn)行操作，達(dá)到日常工作的需要。

3.2.3 外網(wǎng)保護(hù)區(qū)

對(duì)外服務(wù)器的存放區(qū)域，此類服務(wù)器主要存放對(duì)外服務(wù)平臺(tái)、門戶網(wǎng)站等需要接入互聯(lián)網(wǎng)的軟件平臺(tái)。加入網(wǎng)頁防篡改平臺(tái)對(duì)相應(yīng)的軟件平臺(tái)進(jìn)行監(jiān)測(cè)和保護(hù)。

3.2.4 外網(wǎng)終端區(qū)

院所可接入互聯(lián)網(wǎng)終端的使用區(qū)域。設(shè)置上網(wǎng)行為管理平臺(tái)和終端安全管理平臺(tái)對(duì)該區(qū)域的終端進(jìn)行有效管理，保障用戶在該區(qū)域內(nèi)的上網(wǎng)效率和安全。

3.2.5 互聯(lián)網(wǎng)接入安全部分

3.3 安全管理體系的構(gòu)建

從長(zhǎng)遠(yuǎn)角度出發(fā)，信息安全管理體系的構(gòu)建應(yīng)該提升為一個(gè)可以確定信息化的發(fā)展方向和具體方針策略的政策性措施的構(gòu)建。信息安全政策的體系應(yīng)該是一個(gè)由現(xiàn)行全部信息安全政策構(gòu)成的，具有一定結(jié)構(gòu)的，并與社會(huì)環(huán)境發(fā)生相互作用的有機(jī)整體［6］。

3.3.1 有制可依，有制必依

根據(jù)單位日常管理需要，增加信息安全管理制度，特別要針對(duì)具有可行性信息管理制度和操作規(guī)范等安全管理制度及技術(shù)指標(biāo)體系的構(gòu)建。另外還應(yīng)嚴(yán)格遵守所制定的信息化安全管理制度，并對(duì)執(zhí)行情況做持續(xù)性跟蹤，不斷更新和完善安全管理制度和技術(shù)指標(biāo)體系。

3.3.2 制定網(wǎng)絡(luò)接入訪問控制策略

結(jié)合外部網(wǎng)絡(luò)訪問接入需求，制定外部用戶接入和訪問控制策略技術(shù)標(biāo)準(zhǔn)，做到對(duì)計(jì)算機(jī)用戶接入登記和網(wǎng)絡(luò)安全巡檢等，參照已制定的計(jì)算機(jī)網(wǎng)絡(luò)管理辦法，指導(dǎo)整個(gè)網(wǎng)絡(luò)體系的擴(kuò)展、管理與維護(hù)工作。

3.3.3 逐漸培養(yǎng)和組建高技術(shù)、高素質(zhì)信息安全管理隊(duì)伍

通過在已分配的專業(yè)信息安全管理崗位中選撥優(yōu)秀技術(shù)人才，培養(yǎng)出專業(yè)性人才，并在日常工作中加入信息安全管理工作，使得單位IT部門可以有效控制運(yùn)維成本，提升信息安全管理水平，提高系統(tǒng)使用人員滿意度。另外還可構(gòu)建統(tǒng)一規(guī)范組織保障系統(tǒng)，結(jié)合實(shí)際工作反復(fù)修改完善，達(dá)到農(nóng)業(yè)科研院所信息安全體系的可知、可達(dá)、可控的安全目標(biāo)。

4 結(jié)束語

構(gòu)建合理完善的農(nóng)業(yè)科研院所信息安全體系是一項(xiàng)系統(tǒng)級(jí)工程項(xiàng)目，要充分做好農(nóng)業(yè)科研院所自身不斷發(fā)展變化與安全需求分析。參考當(dāng)前已有的信息化建設(shè)基礎(chǔ)和網(wǎng)絡(luò)架構(gòu)，采取逐步求精的辦法，搭建出著實(shí)有效、安全穩(wěn)定且可行性強(qiáng)的體系，不但可以實(shí)現(xiàn)在信息安全技術(shù)方面的有效防范，還可以讓參與人員增強(qiáng)信息安全意識(shí)，理解網(wǎng)絡(luò)系統(tǒng)是人機(jī)交互系統(tǒng)。所以，強(qiáng)化安全技術(shù)支撐，加強(qiáng)組織隊(duì)伍建設(shè)，細(xì)化管理防范措施，通過持續(xù)不間斷修改和完善，方可構(gòu)建出高效、穩(wěn)定、可靠、安全的網(wǎng)絡(luò)體系，有效提升農(nóng)業(yè)科研院所在信息安全方面的主動(dòng)防御能力，為農(nóng)業(yè)科研院所的課題研究和技術(shù)創(chuàng)新應(yīng)用提供安全、可信的信息化服務(wù)保障。

［1］ 馬曉杰，馬一杏，還紅華，等.農(nóng)業(yè)科研單位加強(qiáng)信息化建設(shè)的需求分析［J］.山西農(nóng)經(jīng)，2015（10）:36-38.

［2］ 還紅華，馬曉杰，馬一杏，等.智慧型農(nóng)業(yè)科研院所信息化建設(shè)策略［J］.農(nóng)業(yè)科技管理，2016（1）:40-42.

［3］ 陳一明.軟件危機(jī)現(xiàn)象與面向?qū)ο蠓椒ǚ治觯跩］.湖北民族學(xué)院學(xué)報(bào)，2001（5）:67-69.

［4］ 郭靈兒，蔣志翔.可信硬件平臺(tái)的設(shè)計(jì)與實(shí)現(xiàn)［J］.計(jì)算機(jī)工程與設(shè)計(jì)，2011（2）:501-504.

［5］ GB/T 22239-2008.信息安全技術(shù) 信息系統(tǒng)安全等級(jí)保護(hù)基本要求［S］.北京:公安部信息安全登記保護(hù)評(píng)估中心，2008.

［6］ 高思靜，馬海群.信息安全政策體系構(gòu)建研究［J］.情報(bào)理論與實(shí)踐，2011（10）:13-16.

［7］ 祝利莉，鄭可鋒，葉少挺.農(nóng)業(yè)科研院所科技管理全程信息化實(shí)踐與探討［J］.農(nóng)業(yè)科技管理，2012（4）:32-34.

［8］ 趙娜，李喜升，石淑萍，等.淺談農(nóng)業(yè)科研院所門戶網(wǎng)站建設(shè)存在的問題與對(duì)策［J］.農(nóng)業(yè)科技管理，2012（3）:42-43.

［9］ 侯亮.農(nóng)業(yè)科研機(jī)構(gòu)網(wǎng)絡(luò)信息安全分析［J］.農(nóng)業(yè)圖書情報(bào)學(xué)刊，2013（4）:23-25.

［10］ 高倩，李敏，蔡海燕.談農(nóng)業(yè)科研院所局域網(wǎng)安全防范［J］.河北農(nóng)業(yè)科學(xué)，2014（10）:134-135.

On the construction of the information security system of Agricultural Scientific Research Institutes

On the basis of the construction scheme of the information security system of Αgricultural Scientific Research Institutes，this paper analyzes and explores its security problems in application， platform and institution level， and puts forward some suggestions on the construction of security organization， security technology and security management.

Information security； security threats； system construction； local area network

TP393.08

Α

1008-1151（2016）06-0013-03

2016-05-10

譚旭（1986-），男，廣西靖西人，廣西壯族自治區(qū)水牛研究所助理工程師，研究方向?yàn)橛?jì)算機(jī)應(yīng)用。