高校檔案館信息系統(tǒng)等級(jí)保護(hù)定級(jí)工作探究

近年來(lái)，依托高校信息化建設(shè)的不斷開(kāi)展，高校檔案館大部分升級(jí)成為數(shù)字檔案館，推動(dòng)檔案管理水平不斷提高。使檔案館服務(wù)發(fā)生了質(zhì)的飛躍。其服務(wù)內(nèi)容數(shù)字化、服務(wù)手段網(wǎng)絡(luò)化、服務(wù)方式多樣化、服務(wù)資源共享化、服務(wù)流程一體化等，是傳統(tǒng)檔案館在網(wǎng)絡(luò)環(huán)境下的新發(fā)展。檔案信息系統(tǒng)的建設(shè)過(guò)程中，由于安全意識(shí)淡薄和資金欠缺等方面的原因，各高校檔案館普遍都存在著“重技術(shù)、輕安全、輕管理”的傾向。

由于檔案信息系統(tǒng)需要通過(guò)網(wǎng)絡(luò)上的數(shù)據(jù)轉(zhuǎn)移來(lái)完成，而網(wǎng)絡(luò)系統(tǒng)、操作系統(tǒng)、應(yīng)用軟件所具有的安全漏洞，都可能成為黑客和病毒攻擊的目標(biāo)。高校檔案信息管理系統(tǒng)如果出現(xiàn)諸如檔案數(shù)據(jù)泄露、系統(tǒng)被黑客攻擊等安全問(wèn)題，不僅會(huì)造成損失，而且會(huì)影響學(xué)校聲譽(yù)，帶來(lái)負(fù)面影響。360公司曾在《中國(guó)高校網(wǎng)站安全檢測(cè)報(bào)告》中指出：中國(guó)每所高校網(wǎng)站平均每天被黑客攻擊113次。從教育行業(yè)漏洞報(bào)告平臺(tái)公布的即時(shí)數(shù)據(jù)來(lái)看，位于漏洞排行榜第一名的上海交通大學(xué)漏洞總數(shù)為1075，漏洞威脅值高達(dá)3517（每個(gè)漏洞分值按風(fēng)險(xiǎn)等級(jí)由低到高為0～10）。由此可見(jiàn)，高校信息系統(tǒng)的安全防護(hù)不容忽視，其研究工作意義深遠(yuǎn)。但是，至今高校檔案館信息安全等級(jí)保護(hù)相關(guān)工作的推進(jìn)并不順利，本文對(duì)高校檔案館信息系統(tǒng)等級(jí)保護(hù)定級(jí)工作進(jìn)行分析并提出相應(yīng)對(duì)策。

定級(jí)作為等級(jí)保護(hù)工作的第一步，其能否科學(xué)、合理關(guān)系到后續(xù)環(huán)節(jié)的順利展開(kāi)。本文針對(duì)高校檔案館信息系統(tǒng)的定級(jí)流程、核心要素進(jìn)行分析，結(jié)合上海某高校檔案館信息系統(tǒng)定級(jí)實(shí)例，希望對(duì)高校檔案館信息系統(tǒng)等級(jí)保護(hù)評(píng)測(cè)提供借鑒。

一、定級(jí)依據(jù)

檔案管理信息系統(tǒng)等級(jí)保護(hù)是指檔案管理信息系統(tǒng)根據(jù)其在國(guó)家安全、經(jīng)濟(jì)建設(shè)、社會(huì)生活中的重要程度，遭到破壞后對(duì)國(guó)家安全、社會(huì)秩序、公共利益以及公民和其他組織的合法權(quán)益的危害程度等，由低到高劃分等級(jí)實(shí)施安全保護(hù)。根據(jù)《計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則》，檔案管理信息系統(tǒng)劃分為五個(gè)等級(jí)進(jìn)行保護(hù)，安全級(jí)別由低到高分別為：自主保護(hù)級(jí)、指導(dǎo)保護(hù)級(jí)、監(jiān)督保護(hù)級(jí)、強(qiáng)制保護(hù)級(jí)和專(zhuān)控保護(hù)級(jí)。

二、定級(jí)流程

信息系統(tǒng)定級(jí)工作總體按照“自主定級(jí)、專(zhuān)家評(píng)審、主管部門(mén)審批、備案”的程序進(jìn)行。

（一）業(yè)務(wù)信息描述。檔案信息系統(tǒng)，是業(yè)務(wù)人員管理檔案的工具，也是提供檔案服務(wù)的窗口，聯(lián)結(jié)著檔案信息資源、檔案工作人員、用戶等，是安全保護(hù)的重中之重。檔案信息系統(tǒng)是指開(kāi)展檔案業(yè)務(wù)所使用的檔案信息管理系統(tǒng)、檔案信息服務(wù)系統(tǒng)和檔案辦公系統(tǒng)三類(lèi)信息管理系統(tǒng)：1.檔案信息管理系統(tǒng)類(lèi)包括檔案目錄管理系統(tǒng)、數(shù)字檔案接收系統(tǒng)、數(shù)字檔案管理系統(tǒng)、檔案數(shù)字化加工系統(tǒng)等；2.檔案信息服務(wù)系統(tǒng)類(lèi)包括檔案利用服務(wù)系統(tǒng)、檔案網(wǎng)站系統(tǒng)等；3.檔案辦公系統(tǒng)類(lèi)包括承擔(dān)檔案工作管理的檔案局館辦公業(yè)務(wù)系統(tǒng)等。

結(jié)合本單位實(shí)際，檔案網(wǎng)站系統(tǒng)位于學(xué)校網(wǎng)站集群中，由學(xué)校信息中心統(tǒng)一進(jìn)行等級(jí)保護(hù)工作。檔案目錄管理、數(shù)字檔案接收、數(shù)字檔案管理和檔案利用服務(wù)已經(jīng)整合到一個(gè)系統(tǒng)中。按照“誰(shuí)使用誰(shuí)負(fù)責(zé)，誰(shuí)維護(hù)誰(shuí)負(fù)責(zé)”的原則，由檔案館牽頭完成定級(jí)保護(hù)工作。根據(jù)《中華人民共和國(guó)網(wǎng)絡(luò)安全法》《網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求（GB/T22239-2019）》（等保2.0）和《中華人民共和國(guó)國(guó)家檔案局檔案信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)工作指南》要求，信息系統(tǒng)受到破壞后，會(huì)對(duì)社會(huì)秩序和公共利益造成嚴(yán)重?fù)p害。客觀方面表現(xiàn)的侵害結(jié)果為：1.影響系統(tǒng)正常運(yùn)行及單位形象；2.對(duì)平臺(tái)涉及的公民、法人、其他組織的合法權(quán)益造成特別嚴(yán)重?fù)p害；3.對(duì)社會(huì)秩序和公共利益造成嚴(yán)重?fù)p害。因此該系統(tǒng)考慮定級(jí)為第三級(jí)。

（二）檔案信息系統(tǒng)等級(jí)保護(hù)差距評(píng)估與自測(cè)評(píng)。檔案館內(nèi)部系統(tǒng)維護(hù)人員通過(guò)前期對(duì)檔案館信息系統(tǒng)進(jìn)行全面的梳理，并依托第三方公司從技術(shù)要求與管理要求出發(fā)，對(duì)信息系統(tǒng)及網(wǎng)絡(luò)環(huán)境安全進(jìn)行評(píng)估，開(kāi)展漏洞掃描和滲透測(cè)試工作，生成《差距分析報(bào)告》。使得信息網(wǎng)絡(luò)決策者及負(fù)責(zé)人能更快更清楚了解檔案館信息系統(tǒng)情況及整體的信息安全狀況，以便更好開(kāi)展后期安全建設(shè)及整改工作。通過(guò)對(duì)定級(jí)的系統(tǒng)進(jìn)行自測(cè)評(píng)的結(jié)果數(shù)據(jù)分析，對(duì)本單位內(nèi)信息系統(tǒng)安全狀況有了初步的判斷。主要存在以下幾個(gè)方面的內(nèi)容：1.主機(jī)安全。未對(duì)數(shù)據(jù)庫(kù)資源使用進(jìn)行限制，若單個(gè)用戶過(guò)度占用數(shù)據(jù)庫(kù)資源，可能導(dǎo)致數(shù)據(jù)庫(kù)癱瘓、服務(wù)器宕機(jī)等安全事故；數(shù)據(jù)庫(kù)未重命名系統(tǒng)默認(rèn)賬戶ROOT，可能導(dǎo)致外部能猜測(cè)系統(tǒng)用戶名口令，造成信息泄露；操作系統(tǒng)未限制單個(gè)用戶對(duì)系統(tǒng)資源的最大或最小使用限度，該問(wèn)題可能引發(fā)系統(tǒng)資源耗盡，導(dǎo)致業(yè)務(wù)中斷等風(fēng)險(xiǎn)；未對(duì)操作系統(tǒng)的服務(wù)水平進(jìn)行檢測(cè)和報(bào)警，管理者無(wú)法及時(shí)掌握可能出現(xiàn)的異常事件，無(wú)法及時(shí)對(duì)出現(xiàn)的異常問(wèn)題進(jìn)行分析和應(yīng)對(duì)，對(duì)信息系統(tǒng)的平穩(wěn)運(yùn)行帶來(lái)影響；操作系統(tǒng)未采取措施對(duì)入侵事件進(jìn)行監(jiān)測(cè)，可能無(wú)法及時(shí)發(fā)現(xiàn)入侵行為，不便于對(duì)入侵行為進(jìn)行分析、追溯；操作系統(tǒng)沒(méi)有及時(shí)更新系統(tǒng)補(bǔ)丁，可能導(dǎo)致遭受由系統(tǒng)漏洞帶來(lái)的風(fēng)險(xiǎn)。2.應(yīng)用安全。未使用密碼技術(shù)保證通信過(guò)程中數(shù)據(jù)的完整性，可能導(dǎo)致重要數(shù)據(jù)在傳輸過(guò)程中被攻擊者劫持、篡改；系統(tǒng)未提供監(jiān)控報(bào)警功能，無(wú)法發(fā)現(xiàn)系統(tǒng)出現(xiàn)的異常征兆，導(dǎo)致管理者無(wú)法及時(shí)發(fā)現(xiàn)并排除隱患；未使用負(fù)載均衡、集群、熱備等方式對(duì)系統(tǒng)進(jìn)行自動(dòng)保護(hù)，當(dāng)故障發(fā)生時(shí)無(wú)法自動(dòng)進(jìn)行恢復(fù)。3.管理安全。安全管理制度未通過(guò)正式、有效的方式發(fā)布，未對(duì)安全管理制度進(jìn)行評(píng)審和修訂；沒(méi)有建立人員離崗管理規(guī)定，會(huì)給信息系統(tǒng)帶來(lái)安全隱患，尤其是越權(quán)訪問(wèn)的隱患；對(duì)外包軟件源代碼未全面審查，無(wú)法確保及時(shí)發(fā)現(xiàn)軟件中可能存在的后門(mén)；未指定專(zhuān)人負(fù)責(zé)惡意代碼庫(kù)的升級(jí)并進(jìn)行記錄，可能導(dǎo)致系統(tǒng)惡意代碼監(jiān)測(cè)管理不到位，存在信息系統(tǒng)感染惡意代碼進(jìn)而導(dǎo)致信息泄露的風(fēng)險(xiǎn)。未實(shí)行系統(tǒng)管理員、安全管理員和審計(jì)管理員三員分開(kāi)。即系統(tǒng)管理員對(duì)系統(tǒng)功能進(jìn)行配置；安全管理員對(duì)系統(tǒng)人員權(quán)限進(jìn)行配置，并對(duì)審計(jì)管理員操作日志進(jìn)行審計(jì)；審計(jì)管理員對(duì)系統(tǒng)管理員及安全管理員操作日志進(jìn)行審計(jì)。

三、檔案館信息系統(tǒng)等級(jí)保護(hù)安全建設(shè)與整改

根據(jù)差距分析與自測(cè)評(píng)，總結(jié)出已有信息系統(tǒng)與信息安全等級(jí)保護(hù)之間的差距，并參照信息系統(tǒng)當(dāng)前等級(jí)要求和標(biāo)準(zhǔn)，購(gòu)買(mǎi)和使用相應(yīng)級(jí)別的信息安全產(chǎn)品，采取安全技術(shù)措施，對(duì)信息系統(tǒng)進(jìn)行安全加固。

四、結(jié)語(yǔ)

以本單位檔案館為例，闡述高校檔案館信息系統(tǒng)安全等級(jí)保護(hù)建設(shè)的實(shí)施過(guò)程，檔案館信息系統(tǒng)的信息安全保障工作也在安全等級(jí)保護(hù)的要求和規(guī)范下逐步完善和健全，有效規(guī)避和降低風(fēng)險(xiǎn)，對(duì)事前的防護(hù)、風(fēng)險(xiǎn)規(guī)避以及事后恢復(fù)、溯源都有極大幫助。