基于系統(tǒng)生命周期的高校信息資產(chǎn)安全管理探究

◆路萍 翟躍 楊晶

基于系統(tǒng)生命周期的高校信息資產(chǎn)安全管理探究

◆路萍 翟躍 楊晶

（北京工業(yè)大學(xué) 信息化建設(shè)與管理中心 北京 100124）

教育行業(yè)信息安全問題是影響到國家、社會、個人利益的重大問題，隨著高校信息化的提高，網(wǎng)絡(luò)安全風(fēng)險也隨之加大。良好的信息資產(chǎn)管理是實(shí)現(xiàn)網(wǎng)絡(luò)安全常態(tài)化管理的重要基礎(chǔ)。本文結(jié)合高校實(shí)際問題和工作情況，基于系統(tǒng)的生命周期，論述信息資產(chǎn)的類型、管理內(nèi)容和管理要求，以探索高校信息資產(chǎn)安全管理模式，希望在學(xué)校實(shí)際管理工作中得以實(shí)踐。

等級保護(hù)；信息資產(chǎn)；安全管理；高校

1 引言

近年來，國家、教育部、各地方都高度重視高校網(wǎng)絡(luò)與信息安全工作。2017年6月1日《中華人民共和國網(wǎng)絡(luò)安全法》開始實(shí)施；2018年6月教育部印發(fā)《教育系統(tǒng)網(wǎng)絡(luò)安全事件應(yīng)急預(yù)案》的通知；2019年5月13日，網(wǎng)絡(luò)安全等級保護(hù)制度2.0標(biāo)準(zhǔn)正式發(fā)布，網(wǎng)絡(luò)安全從法規(guī)上升到法律！與此同時，國際與國內(nèi)網(wǎng)絡(luò)安全形勢仍然十分嚴(yán)峻，數(shù)據(jù)泄露、勒索攻擊，黑客活動等各類網(wǎng)絡(luò)安全事件層出不窮，安全威脅來勢洶洶。

從總體上看，高校網(wǎng)絡(luò)與信息安全保障工作尚處于起步階段，存在諸多問題，例如：網(wǎng)絡(luò)與信息系統(tǒng)安全建設(shè)整體規(guī)劃和管理目標(biāo)不明確；網(wǎng)絡(luò)與信息安全意識和安全防范能力薄弱，信息安全滯后于信息化發(fā)展；網(wǎng)絡(luò)與信息安全管理投入不足，管理措施不到位；以及監(jiān)督管理缺乏依據(jù)和標(biāo)準(zhǔn)，監(jiān)管體系尚待完善等。其中最基礎(chǔ)、最本質(zhì)的問題是管理對象不明確，信息資產(chǎn)不清晰，而這是所有后續(xù)安全防護(hù)、應(yīng)急響應(yīng)工作的前提。

根據(jù)等保2.0要求，在信息化建設(shè)過程中應(yīng)按系統(tǒng)分級同步規(guī)劃和建設(shè)信息安全設(shè)施，并系統(tǒng)地、針對地加強(qiáng)網(wǎng)絡(luò)與信息安全管理。同步規(guī)劃和建設(shè)，有利于優(yōu)化信息安全資源配置，有利于控制信息安全建設(shè)成本，同時有利于明確信息安全責(zé)任，提高信息系統(tǒng)安全運(yùn)維的整體水平。因此，從信息系統(tǒng)的申報立項、建設(shè)實(shí)施、運(yùn)行使用、撤銷停用的各個環(huán)節(jié)出發(fā)，探索何時采集哪些信息化軟硬件資產(chǎn)信息，如何鏈接固定資產(chǎn)管理和等級保護(hù)備案管理的相關(guān)資產(chǎn)數(shù)據(jù)，分類統(tǒng)籌管理信息資產(chǎn)，是本文研究的意義所在。

2 高校信息資產(chǎn)管理現(xiàn)狀和問題

隨著近年來高校信息化的加速建設(shè)，無論是通訊、網(wǎng)絡(luò)存儲、監(jiān)控、采集等硬件設(shè)備，還是管理系統(tǒng)、應(yīng)用平臺、大數(shù)據(jù)庫分析等軟件，信息資產(chǎn)規(guī)模大幅度提高，這些資產(chǎn)具備一些通用特征和問題：

2.1 信息化整體規(guī)劃落實(shí)難，重復(fù)分散建設(shè)依然存在

目前，許多高校的信息化建設(shè)雖然進(jìn)行了頂層設(shè)計、三-五年規(guī)劃，但在實(shí)際執(zhí)行中，仍然難以落實(shí)統(tǒng)籌目標(biāo)。業(yè)務(wù)主管部門或教學(xué)科研單位在具體系統(tǒng)立項和建設(shè)時，主要關(guān)注前端應(yīng)用功能、服務(wù)，而忽視后臺的技術(shù)框架和管理平臺，從而造成一些系統(tǒng)的通用功能重復(fù)建設(shè)；同時，鮮于考慮系統(tǒng)安全等級需求以及學(xué)校安全防護(hù)體系中安全產(chǎn)品的部署和應(yīng)用情況。例如，不同的二級單位（及三級單位）單獨(dú)建設(shè)的網(wǎng)站，很多是在自己的服務(wù)器上部署了一套CMS系統(tǒng)，而后配置了一個站點(diǎn)，即學(xué)校會同時存在多個相同、或不同，但沒有統(tǒng)一部署和安全防護(hù)的CMS平臺。又如，像圖書館、財務(wù)處、國資處等重要業(yè)務(wù)部門，由于有特殊的用戶訪問需求，也會自行采購和部署VPN，未和學(xué)?；A(chǔ)平臺訪問控制進(jìn)行統(tǒng)一管理。

2.2 信息資產(chǎn)臺賬不清晰，不完整，變更不報備

無論是單一項目建立的業(yè)務(wù)信息系統(tǒng)，還是通過多期、不斷迭代建設(shè)的平臺、應(yīng)用，管理員通常只考慮到新合同采購的軟硬件資產(chǎn)，進(jìn)行固定資產(chǎn)的領(lǐng)用和填報。而在等級保護(hù)備案填寫備案表和項目驗收填報驗收材料時大多會遺漏所使用的已有資產(chǎn)和免費(fèi)資產(chǎn)，且未能按“信息資產(chǎn)”的管理要求進(jìn)行臺賬記錄。例如，只登記web、數(shù)據(jù)庫等服務(wù)器的IP地址、操作系統(tǒng)，而遺漏負(fù)載均衡設(shè)備、備份服務(wù)器、測試服務(wù)器的信息；只登記應(yīng)用系統(tǒng)的主要功能、適用范圍，而遺漏中間件、開發(fā)框架、數(shù)據(jù)庫版本等涉及安全的信息；只登記第一次新建資產(chǎn)，而系統(tǒng)升級改造、遷移時產(chǎn)生的資產(chǎn)變化基本被忽略，不再采集。因此，這樣的資產(chǎn)臺賬不足以支撐后續(xù)的安全檢查和安全運(yùn)維。

2.3 系統(tǒng)撤銷停用不進(jìn)行資源回收

高校的系統(tǒng)，特別是二級單位內(nèi)部使用的系統(tǒng)，無論是因為系統(tǒng)老舊而淘汰，還是因教學(xué)科研項目結(jié)題、團(tuán)隊變更造成的系統(tǒng)“被停用”，通常是隱性行為，沒有進(jìn)行撤銷報備，沒有及時通知信息化部門進(jìn)行相應(yīng)的資產(chǎn)回收。更多的情況是，服務(wù)器依然開機(jī)，應(yīng)用服務(wù)也沒有停用，長期無人看管，形成僵尸系統(tǒng)，帶來嚴(yán)重安全隱患。

2.4 信息資產(chǎn)和固定資產(chǎn)管理分割

傳統(tǒng)的信息資產(chǎn)主要包括信息化相關(guān)的硬件和軟件資產(chǎn)，資產(chǎn)管理員為系統(tǒng)管理員；固定資產(chǎn)通常包括房屋建筑、儀器儀表、各類設(shè)備、工具、家具、圖書等，資產(chǎn)管理員為資產(chǎn)領(lǐng)用人。嚴(yán)格意義上，信息資產(chǎn)是固定資產(chǎn)的子集，但在實(shí)際應(yīng)用中，由于管控對象和目的不同，固定資產(chǎn)系統(tǒng)中沒有記錄網(wǎng)站、APP、業(yè)務(wù)數(shù)據(jù)庫等無形資產(chǎn)信息，即使有部分信息系統(tǒng)的固定資產(chǎn)信息，也很少記錄信息安全所需管理的內(nèi)容，且是松耦合，難以找到一個信息系統(tǒng)所使用到的所有資產(chǎn)。

3 信息安全等級保護(hù)對資產(chǎn)的管理要求

信息安全等級保護(hù)測評中的資產(chǎn)管理，要求：“應(yīng)訪談安全主管，詢問是否有資產(chǎn)管理的責(zé)任人員或部門，由何部門/何人負(fù)責(zé)”，即，給出信息系統(tǒng)資產(chǎn)管理清單，涉及“誰”管“什么”的問題。通常，高校的資產(chǎn)管理清單應(yīng)包含如下內(nèi)容：

3.1 管理者

即每個信息資產(chǎn)均需落實(shí)資產(chǎn)責(zé)任，確定信息資產(chǎn)管理員。記錄責(zé)任單位、責(zé)任人員類型（設(shè)備管理員、系統(tǒng)管理員、網(wǎng)站管理員、應(yīng)用管理員、數(shù)據(jù)庫管理員等）、職工號、姓名、手機(jī)、辦公電話、郵箱等信息。

3.2 管理對象

本文所指的高校信息資產(chǎn)包括基礎(chǔ)信息網(wǎng)絡(luò)、云計算平臺/系統(tǒng)、大數(shù)據(jù)應(yīng)用/平臺/資源、物聯(lián)網(wǎng)和采用互聯(lián)網(wǎng)技術(shù)的系統(tǒng)，及其所包含的有形的、無形的信息技術(shù)資產(chǎn)。主要包括以下三種類型資產(chǎn)：

（1）硬件資產(chǎn)：包括服務(wù)器、網(wǎng)絡(luò)設(shè)備（路由器、交換機(jī)等）、安全硬件設(shè)備、通訊鏈路和電力供應(yīng)等信息技術(shù)設(shè)備設(shè)施；

（2）軟件資產(chǎn)：包括操作系統(tǒng)、數(shù)據(jù)庫、中間件、應(yīng)用軟件、開發(fā)工具、應(yīng)用系統(tǒng)等計算機(jī)程序；

（3）數(shù)據(jù)資產(chǎn)：包括應(yīng)用數(shù)據(jù)、配置數(shù)據(jù)、系統(tǒng)文件、管理數(shù)據(jù)等業(yè)務(wù)生成和運(yùn)行相關(guān)的數(shù)據(jù)信息。

3.3 管理內(nèi)容

管理內(nèi)容涉及信息資產(chǎn)安全管理基本信息和運(yùn)維信息。

（1）信息資產(chǎn)基本信息

主要包括資產(chǎn)類型、資產(chǎn)編碼、資產(chǎn)名稱、物理位置、資產(chǎn)有效期、價格、資產(chǎn)管理員等，理論上信息資產(chǎn)基本信息可從固定資產(chǎn)管理系統(tǒng)進(jìn)行數(shù)據(jù)同步。對于其他沒有納入固定資產(chǎn)管理系統(tǒng)的等保對象及所屬資產(chǎn)，包括贈品、免費(fèi)、開源產(chǎn)品應(yīng)指定資產(chǎn)管理員（可分別指定，也可由所屬系統(tǒng)管理員統(tǒng)一擔(dān)任），建立和維護(hù)資產(chǎn)基本信息。此外，還需根據(jù)不同資產(chǎn)類型（應(yīng)用/系統(tǒng)/平臺、網(wǎng)絡(luò)及安全產(chǎn)品、服務(wù)器、系統(tǒng)軟件、應(yīng)用軟件、數(shù)據(jù)資產(chǎn)、新媒體等）建立不同的信息化安全管理屬性和管理細(xì)則，詳見圖1。

圖1 高校信息資產(chǎn)安全管理ER圖

其中“應(yīng)用/系統(tǒng)/平臺”作為重要的信息資產(chǎn)，重點(diǎn)說明內(nèi)容如下：

a．應(yīng)用/系統(tǒng)/平臺信息資產(chǎn)的子系統(tǒng)：“系統(tǒng)類型”如果為“子系統(tǒng)”，其等保備案編碼填寫所屬父系統(tǒng)的等保備案編碼，即父系統(tǒng)、子系統(tǒng)的基本信息都存儲在“應(yīng)用/系統(tǒng)/平臺資產(chǎn)明細(xì)”表中，各自有獨(dú)立的系統(tǒng)編碼，但通過等保備案編碼可以確定一個等保對象所包含的所有子系統(tǒng)；子系統(tǒng)如與父系統(tǒng)如屬于同一固定資產(chǎn)，其信息資產(chǎn)編碼與父系統(tǒng)的信息資產(chǎn)編碼相同，否則有單獨(dú)的信息資產(chǎn)編碼；子系統(tǒng)可以有各自的管理員。

b. 應(yīng)用/系統(tǒng)/平臺的等保備案信息：“系統(tǒng)類型”如果為系統(tǒng)、平臺、獨(dú)立網(wǎng)站，則表示該信息資產(chǎn)是獨(dú)立的等保備案對象，需填寫“等保備案信息”，記錄備案編號，備案等級，備案時間等。

c. 應(yīng)用/系統(tǒng)/平臺的所屬信息資產(chǎn)：通過“應(yīng)用/系統(tǒng)/平臺資產(chǎn)明細(xì)”所對應(yīng)的“使用資產(chǎn)對照表”，確定某一等保對象使用到的各類軟硬件資產(chǎn)。

d. 應(yīng)用/系統(tǒng)/平臺信息資產(chǎn)的附加信息：

網(wǎng)站群站點(diǎn)信息：一個網(wǎng)站群平臺，本身填寫一次“信息資產(chǎn)基本信息”及“應(yīng)用/系統(tǒng)/平臺資產(chǎn)明細(xì)”，網(wǎng)站群站點(diǎn)作為附屬信息進(jìn)行記錄，包括ICP備案號、二級域名、LOGO、網(wǎng)站描述、服務(wù)范圍等。其管理員可以是網(wǎng)站群管理員，也可以是單獨(dú)站點(diǎn)管理員。

移動應(yīng)用信息：“系統(tǒng)類型”如果為移動APP，需根據(jù)教育部《教育移動互聯(lián)網(wǎng)應(yīng)用程序備案管理辦法》，記錄自研移動APP或使用移動APP所需管理內(nèi)容。其管理員編碼可與所屬web應(yīng)用平臺的管理員編碼不同。

e. 新媒體信息：微信公眾號、博客、抖音等新媒體應(yīng)用，其承載平臺雖然不部署在高校，但作為學(xué)校的無形資產(chǎn)，特別是標(biāo)有校名、校標(biāo)、?；盏葮?biāo)識的媒體賬號，隨著新媒體技術(shù)的發(fā)展與多樣化，這些應(yīng)用將是高校信息安全的重要管理對象。新媒體信息可作為一種應(yīng)用存放于“應(yīng)用/系統(tǒng)/平臺資產(chǎn)明細(xì)”（“系統(tǒng)類型”需增加新媒體類型），也可以作為一種“資產(chǎn)類型”單獨(dú)建立基表進(jìn)行記錄，本文建議采用后者。

（2）信息資產(chǎn)安全運(yùn)維信息

每個信息資產(chǎn)應(yīng)記錄其運(yùn)維服務(wù)信息：服務(wù)協(xié)議信息主要確定維保范圍和期限以及聯(lián)系人信息，這也是進(jìn)行應(yīng)急響應(yīng)的重要支撐；安全運(yùn)維記錄主要用于記錄日常各類安全巡檢結(jié)果，用于整改和備查。

4 基于系統(tǒng)生命周期的信息資產(chǎn)臺賬

信息系統(tǒng)的生命周期基本包括系統(tǒng)的規(guī)劃、建設(shè)、運(yùn)維和停運(yùn)四個階段。信息資產(chǎn)也應(yīng)按其周期過程進(jìn)行相應(yīng)管理，建立、維護(hù)資產(chǎn)臺賬。

4.1 規(guī)劃階段

在系統(tǒng)規(guī)劃階段，應(yīng)根據(jù)學(xué)校的總體目標(biāo)和發(fā)展戰(zhàn)略，基于已有的網(wǎng)絡(luò)、軟硬件和安全環(huán)境，依據(jù)等保2.0的要求對系統(tǒng)初步定級，奠定新建系統(tǒng)的安全基線，做出可行性方案。

（1）支撐新建系統(tǒng)的基礎(chǔ)平臺

學(xué)校的基礎(chǔ)網(wǎng)絡(luò)和安全環(huán)境、私有云平臺、數(shù)據(jù)存儲和災(zāi)備中心等通用“基礎(chǔ)平臺”可分別作為一個獨(dú)立的定級對象或者統(tǒng)一整合進(jìn)行等保管理、資產(chǎn)管理，并為學(xué)校其他信息系統(tǒng)建設(shè)提供基礎(chǔ)支撐和保障?；诘缺?.0統(tǒng)一備案管理的高校校園網(wǎng)絡(luò)平臺應(yīng)包含學(xué)校主要的安全物理環(huán)境、安全通信網(wǎng)絡(luò)、安全區(qū)域邊界，以及安全計算環(huán)境?？紤]高校門戶網(wǎng)站、招生網(wǎng)站等重要應(yīng)用大多依托此平臺進(jìn)行建設(shè)，建議該平臺定為三級系統(tǒng)，按三級系統(tǒng)進(jìn)行安全設(shè)計和建設(shè)，所涉及的信息安全資產(chǎn)及技術(shù)措施如表1所示，所使用的具體產(chǎn)品作為該平臺資產(chǎn)進(jìn)行臺賬登記。

表1 基于等保2.0信息安全產(chǎn)品及技術(shù)措施

（2）新建系統(tǒng)的可行性研究

在基礎(chǔ)平臺的基礎(chǔ)上，考察新建系統(tǒng)預(yù)部署的安全物理環(huán)境；選擇可使用的現(xiàn)有服務(wù)器、軟硬件產(chǎn)品；明確系統(tǒng)是否存在特殊的安全需求（例如：是否建立專網(wǎng)、是否需要網(wǎng)閘隔離設(shè)備、是否需要負(fù)載均衡等）。綜合各類需求與可能，給出系統(tǒng)的多個可行性方案，其中安全內(nèi)容包括但不局限于：行業(yè)合規(guī)咨詢方案、信息安全管理體系設(shè)計、信息安全技術(shù)架構(gòu)設(shè)計，以及安全項目規(guī)劃、安全指標(biāo)設(shè)計等。

根據(jù)不同的可行性方案，從圖1信息資產(chǎn)表中進(jìn)行分類查詢、產(chǎn)品指標(biāo)對比，進(jìn)一步做功能和性能測試，進(jìn)行選型，而后填報信息資產(chǎn)采用情況（填寫計劃使用的資產(chǎn)類型、名稱、品牌型號等信息，無需知道具體的資產(chǎn)編號）和采購計劃（需包含數(shù)量和金額），如表2所示。

表2 新建系統(tǒng)信息資產(chǎn)采用和采購計劃表

可行性研究報告審議通過、確定方案后，進(jìn)行項目正式申報。注意，申報經(jīng)費(fèi)不僅包含安全設(shè)備預(yù)算，還應(yīng)包含安全測評、安全服務(wù)預(yù)算?？尚行匝芯繄蟾鎸⑹窍到y(tǒng)需求說明書、建設(shè)方案和實(shí)施計劃，以及系統(tǒng)設(shè)計說明書的重要依據(jù)。

4.2 建設(shè)階段

根據(jù)系統(tǒng)需求分析產(chǎn)生的系統(tǒng)需求說明書，考慮實(shí)際條件，進(jìn)行概要設(shè)計和詳細(xì)設(shè)計，進(jìn)而將設(shè)計的系統(tǒng)付諸實(shí)施——購置設(shè)備、程序開發(fā)、安裝部署、環(huán)境安全配置、安全訪問配置、數(shù)據(jù)文件轉(zhuǎn)換、安全集成等。建設(shè)過程中，需將所有相關(guān)資產(chǎn)信息進(jìn)行填報。

（1）部署實(shí)施上線，實(shí)時填報

新系統(tǒng)部署于生產(chǎn)環(huán)境，申請服務(wù)器、固定IP、應(yīng)用二級域名、數(shù)據(jù)等各類IT資源前，應(yīng)該已經(jīng)完成校內(nèi)初步等保定級、備案工作，生成校內(nèi)等保備案編碼。因此所申請的IT資源分配后即可對所采購的、開發(fā)部署的資產(chǎn)進(jìn)行填報，包括圖1相關(guān)基表的各項內(nèi)容。二級及二級以上系統(tǒng)待完成上級主管部門審批和公安備案流程，可用上級批復(fù)的正式等保備案編碼替換校內(nèi)編碼。原則上，沒有等保定級、備案的系統(tǒng)不能申請IT資源；同理，系統(tǒng)升級改造或新增子系統(tǒng)時，需及時更新原系統(tǒng)等級保護(hù)定級報告和備案材料，之后才可申請新IT資源。

對系統(tǒng)、子系統(tǒng)，以及所包含的各類資產(chǎn)上線前應(yīng)完成漏洞掃描、滲透測試、代碼審計等相關(guān)安全檢測。

（2）系統(tǒng)驗收結(jié)題，完備填報

系統(tǒng)準(zhǔn)備驗收時，系統(tǒng)所涉及的所有資產(chǎn)應(yīng)該已經(jīng)清晰，應(yīng)該以等保對象為管理目標(biāo)，將圖1中“使用資產(chǎn)信息”對照表填報完成，形成完整的資產(chǎn)鏈，作為驗收材料提交。測試驗收時，應(yīng)完成集成環(huán)境安全測試、網(wǎng)站安全測試、軟件安全測試，二級及二級以上系統(tǒng)進(jìn)行等級保護(hù)測評。而后由學(xué)校網(wǎng)絡(luò)安全員實(shí)現(xiàn)對資產(chǎn)的準(zhǔn)入管理和白名單管控，加入定期掃描主機(jī)目錄和應(yīng)用目錄，以完成必要的安全巡檢。

填報“使用資產(chǎn)信息”時應(yīng)注意，除新采購、新開發(fā)的信息資產(chǎn)，舊使用的服務(wù)器、操作系統(tǒng)、中間件、數(shù)據(jù)庫等的各類資產(chǎn)也應(yīng)填報（“基礎(chǔ)網(wǎng)絡(luò)和安全平臺”除外）。

4.3 系統(tǒng)運(yùn)維階段，更新資產(chǎn)

系統(tǒng)投入運(yùn)行后，會涉及資產(chǎn)的變更，變更內(nèi)容也可能會影響系統(tǒng)的安全狀態(tài)。例如：更換物理機(jī)房；應(yīng)用和數(shù)據(jù)庫服務(wù)器部署分離；網(wǎng)絡(luò)設(shè)備、安全防護(hù)設(shè)備調(diào)整，補(bǔ)丁升級；更換硬件服務(wù)器、IP地址；域名變更，增加負(fù)載均衡；主機(jī)操作系統(tǒng)、中間件類型、數(shù)據(jù)庫類型變更或大版本升級；數(shù)據(jù)存儲或傳輸方式變更；以及系統(tǒng)應(yīng)用功能變更等等。這些變更完成后，“信息資產(chǎn)安全管理基本信息”及各類資產(chǎn)明細(xì)信息應(yīng)重新填報。涉及系統(tǒng)等保等級的變更，如承載業(yè)務(wù)系統(tǒng)的通信網(wǎng)絡(luò)設(shè)施發(fā)生變更、遷移到云計算平臺、服務(wù)范圍擴(kuò)展到互聯(lián)網(wǎng)、應(yīng)用系統(tǒng)重新開發(fā)、數(shù)據(jù)分類與等級發(fā)生變更時，還需重新提交等級保護(hù)定級報告、等級保護(hù)備案表。

4.4 系統(tǒng)退運(yùn)，回收資產(chǎn)

系統(tǒng)停止使用（非暫停使用），應(yīng)由系統(tǒng)管理員提出正式停運(yùn)申請，按照等級保護(hù)備案撤銷流程辦理相關(guān)手續(xù)。之后，進(jìn)行運(yùn)行環(huán)境的清理（系統(tǒng)管理員關(guān)閉應(yīng)用服務(wù)以及服務(wù)器、網(wǎng)絡(luò)安全員注銷訪問控制配置、公共數(shù)據(jù)庫管理員隔離共享數(shù)據(jù)訪問等）；信息資產(chǎn)的回收（服務(wù)器管理員回收固定資產(chǎn)、網(wǎng)絡(luò)管理員按應(yīng)用系統(tǒng)的“使用資產(chǎn)信息”對照表回收相應(yīng)的IP、域名資源等）；以及數(shù)據(jù)歸檔和銷毀。最后，在“應(yīng)用系統(tǒng)平臺資產(chǎn)明細(xì)”表中標(biāo)識本系統(tǒng)的使用狀態(tài)為“停用”，以終結(jié)。

5 基于系統(tǒng)生命周期的信息資產(chǎn)安全管理

5.1 硬件資產(chǎn)安全管理

（1）硬件資產(chǎn)的采購應(yīng)按照采購管理相關(guān)要求執(zhí)行，設(shè)備在購買過程中應(yīng)注重和加強(qiáng)設(shè)備資質(zhì)管理，確保所購買設(shè)備符合信息系統(tǒng)的應(yīng)用需求和網(wǎng)絡(luò)安全管理要求。安全產(chǎn)品采購應(yīng)符合國家有關(guān)規(guī)定，具備安全產(chǎn)品銷售許可、知識產(chǎn)權(quán)證明等資質(zhì)，采購密碼產(chǎn)品應(yīng)符合國家密碼主管部門的要求。

（2）設(shè)備在到貨驗收或配置之后，必須由資產(chǎn)管理員作出相應(yīng)的標(biāo)識，直接體現(xiàn)在設(shè)備上醒目的位置。標(biāo)識應(yīng)包括以下內(nèi)容：固定資產(chǎn)編碼、設(shè)備名稱、設(shè)備用途、IP信息、使用部門、責(zé)任人、供貨商及聯(lián)系方式。

（3）硬件資產(chǎn)使用人在使用過程中應(yīng)確保硬件配置的完整性，不得私自更換硬件資產(chǎn)以及相關(guān)配件。

（4）存儲內(nèi)部信息的硬件資產(chǎn)在重用、維修和報廢前，應(yīng)確保所有存儲的敏感數(shù)據(jù)或授權(quán)軟件已經(jīng)被移除或安全重寫，并做好備份工作，確保信息不泄密、保持信息的完整性和可用性。

（5）對于需要報廢的硬件資產(chǎn)，如含有敏感信息，應(yīng)經(jīng)審批后統(tǒng)一進(jìn)行報廢處理。

5.2 軟件資產(chǎn)安全管理

（1）應(yīng)購買正版商業(yè)軟件，在安裝軟件時要規(guī)定使用權(quán)限，防止非授權(quán)訪問。要分清免費(fèi)安裝和盜版使用的邊界，避免使用第三方提供的產(chǎn)品，產(chǎn)生安全隱患。使用開元軟件需注意產(chǎn)生的安全問題，產(chǎn)品供應(yīng)廠商不能給予有效響應(yīng)。

（2）應(yīng)加強(qiáng)對于開發(fā)應(yīng)用軟件的代碼管理，確保應(yīng)用軟件系統(tǒng)能夠運(yùn)行穩(wěn)定，規(guī)范軟件升級管理工作。

（3）軟件資產(chǎn)管理員應(yīng)加強(qiáng)對于應(yīng)用軟件保存、標(biāo)識、安裝、卸載和升級的統(tǒng)一管理。

（4）對于需要維修的軟件資產(chǎn)，資產(chǎn)管理員須和該軟件資產(chǎn)的使用者溝通后，由軟件供貨商進(jìn)行維護(hù)、修改和升級，并在過程中做好安全控制。

（5）對于需要刪除和報廢的軟件資產(chǎn)，資產(chǎn)管理員可根據(jù)實(shí)際情況取消對于軟件的使用，通知該軟件的使用者，統(tǒng)一應(yīng)用軟件應(yīng)經(jīng)過審核后統(tǒng)一取消和廢除。

5.3 數(shù)據(jù)資產(chǎn)安全管理

（1）數(shù)據(jù)資產(chǎn)根據(jù)其重要程度分為受控和公開數(shù)據(jù)，數(shù)據(jù)的創(chuàng)建者或管理者負(fù)責(zé)對數(shù)據(jù)資產(chǎn)的重要程度進(jìn)行標(biāo)識。受控數(shù)據(jù)應(yīng)明確授權(quán)范圍，禁止非授權(quán)的用戶讀取受控數(shù)據(jù)。

（2）系統(tǒng)相關(guān)崗位人員負(fù)責(zé)各自設(shè)備、系統(tǒng)的配置數(shù)據(jù)、系統(tǒng)文件和管理數(shù)據(jù)的存儲、備份，確保設(shè)備中相關(guān)配置數(shù)據(jù)和管理數(shù)據(jù)的完整性和安全性。

（3）數(shù)據(jù)資產(chǎn)管理員負(fù)責(zé)系統(tǒng)數(shù)據(jù)的備份恢復(fù)工作，確保系統(tǒng)數(shù)據(jù)的可用性。

（4）對于需要維修的數(shù)據(jù)資產(chǎn)，數(shù)據(jù)資產(chǎn)使用人需要數(shù)據(jù)生產(chǎn)部門和使用部門進(jìn)行溝通，數(shù)據(jù)恢復(fù)應(yīng)經(jīng)過確認(rèn)后統(tǒng)一進(jìn)行數(shù)據(jù)修復(fù)和恢復(fù)。

（5）敏感及受控數(shù)據(jù)的刪除應(yīng)進(jìn)行記錄，電子形式數(shù)據(jù)的刪除或報廢，應(yīng)由數(shù)據(jù)資產(chǎn)生產(chǎn)部門進(jìn)行處理。

所有硬件資產(chǎn)、軟件資產(chǎn)、數(shù)據(jù)資產(chǎn)的采購（建設(shè)）、變更、廢棄時，資產(chǎn)管理員須在信息資產(chǎn)臺賬進(jìn)行相應(yīng)記錄和描述。

6 結(jié)束語

信息資產(chǎn)是信息安全管理體系的作用對象，信息資產(chǎn)的安全管理是常態(tài)化網(wǎng)絡(luò)安全檢測和運(yùn)維的重要依據(jù)，是高校實(shí)現(xiàn)網(wǎng)絡(luò)安全水平可控可管的重要手段，在整個信息安全管理體系的建立、實(shí)施和運(yùn)行中占有重要地位。因此，需要學(xué)校依據(jù)政策，將信息安全管理與學(xué)校組織架構(gòu)相結(jié)合，建立和落實(shí)網(wǎng)絡(luò)安全管理制度，配備網(wǎng)絡(luò)安全技術(shù)人員隊伍，找準(zhǔn)信息資產(chǎn)這個抓手，進(jìn)行基于系統(tǒng)生命周期的動態(tài)資產(chǎn)梳理和管理，在此基礎(chǔ)上，努力將安全工作實(shí)時化和主動化，保障高校網(wǎng)絡(luò)安全穩(wěn)定運(yùn)行。

[1]GBT22239-2019信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)基本要求[S].

[2]魏楚元，任彥龍，李欣. 高校網(wǎng)絡(luò)安全治理體系構(gòu)建研究[J]. 網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2021（01）.

[3]徐藝揚(yáng)，查德平，劉百祥，等. 復(fù)旦大學(xué)新型信息資產(chǎn)治理平臺為二級單位安全賦能[J].中國教育網(wǎng)絡(luò)，2019（10）.

[4]司成偉，趙全洲. 構(gòu)建基于信息化資產(chǎn)的網(wǎng)絡(luò)安全工作體系[J]. 數(shù)字通信世界，2019（09）.

[5]韓碩祥，張洪光. 信息安全管理體系中的資產(chǎn)管理[J].中國標(biāo)準(zhǔn)化，2007（04）.

北京工業(yè)大學(xué)2020年度教育管理研究課題（GL2020-B08）