淺談信息系統(tǒng)運(yùn)維管理的安全風(fēng)險(xiǎn)分析與建議

張淑鳳 王澤兵 雷晨曦 單琳 郭向陽(yáng)

本文對(duì)信息系統(tǒng)運(yùn)維的具體內(nèi)容進(jìn)行了闡述，分析了當(dāng)前信息系統(tǒng)運(yùn)維工作中存在的主要問(wèn)題，提出加強(qiáng)對(duì)運(yùn)維人員技能培訓(xùn)，建設(shè)規(guī)范化的信息系統(tǒng)運(yùn)維體系，引進(jìn)先進(jìn)的智能化運(yùn)維管理軟件平臺(tái)，加強(qiáng)對(duì)信息系統(tǒng)運(yùn)維工作的監(jiān)管力度等措施建議，促進(jìn)運(yùn)維工作精細(xì)化管理。

當(dāng)前，信息化建設(shè)極大促進(jìn)了企業(yè)發(fā)展，很多日常工作的開(kāi)展都轉(zhuǎn)為線上進(jìn)行，企業(yè)普遍使用信息系統(tǒng)進(jìn)行管理并開(kāi)展業(yè)務(wù)工作，如協(xié)同辦公系統(tǒng)、郵件系統(tǒng)、檔案管理系統(tǒng)、項(xiàng)目實(shí)施系統(tǒng)等。信息系統(tǒng)全生命周期大體包括三個(gè)階段，即規(guī)劃設(shè)計(jì)階段，系統(tǒng)建設(shè)階段和運(yùn)維管理階段。業(yè)內(nèi)研究數(shù)據(jù)標(biāo)明，一般企業(yè)信息化項(xiàng)目中，規(guī)劃、建設(shè)階段占比約20%，運(yùn)維階段占80%。運(yùn)維工作的復(fù)雜性和面臨的困難也達(dá)到了新高度。為保證系統(tǒng)安全穩(wěn)定運(yùn)行、為用戶提供良好的服務(wù)，及時(shí)解決系統(tǒng)出現(xiàn)的各種故障和問(wèn)題，需要在解決問(wèn)題的同時(shí)不斷優(yōu)化和提升信息系統(tǒng)運(yùn)維能力。

信息系統(tǒng)經(jīng)過(guò)建設(shè)和相關(guān)管理審批程序，投入運(yùn)行后，即交付給單位信息系統(tǒng)運(yùn)維機(jī)構(gòu)負(fù)責(zé)日常運(yùn)維，系統(tǒng)運(yùn)維工作主要包括以下內(nèi)容。

（一）基礎(chǔ)設(shè)施硬件運(yùn)維管理

主要包括網(wǎng)絡(luò)綜合布線、機(jī)房管理和信息化設(shè)備管理三個(gè)方面。其中機(jī)房管理包括場(chǎng)地、空調(diào)、通風(fēng)、供電、供水、通信線路、安保等工作內(nèi)容；信息化設(shè)備管理包括對(duì)網(wǎng)絡(luò)設(shè)備、安全設(shè)備、服務(wù)器設(shè)備和終端設(shè)備的管理等。

（二）安全產(chǎn)品運(yùn)維管理

安全產(chǎn)品主要包括入侵檢測(cè)系統(tǒng)、防火墻、主機(jī)監(jiān)控與審計(jì)系統(tǒng)、防病毒系統(tǒng)、終端安全登錄系統(tǒng)、網(wǎng)絡(luò)監(jiān)控審計(jì)系統(tǒng)等。安全產(chǎn)品的運(yùn)維工作重點(diǎn)在于產(chǎn)品的策略配置和有效性監(jiān)管，確保其所覆蓋的服務(wù)器和終端設(shè)備裝備安裝產(chǎn)品的有效性和可用性，并對(duì)產(chǎn)品的審計(jì)日志進(jìn)行分析，以發(fā)現(xiàn)違規(guī)用戶行為。

（三）應(yīng)用系統(tǒng)運(yùn)維管理

應(yīng)用系統(tǒng)是信息系統(tǒng)的核心，其運(yùn)維管理除了要保障系統(tǒng)穩(wěn)定運(yùn)行外，重點(diǎn)體現(xiàn)在系統(tǒng)管理、用戶權(quán)限管理和審計(jì)管理上。特別是依據(jù)分級(jí)保護(hù)標(biāo)準(zhǔn)而建設(shè)的涉密應(yīng)用系統(tǒng)，實(shí)現(xiàn)對(duì)用戶的權(quán)限管理和按照用戶密級(jí)分級(jí)管理尤為重要，確保系統(tǒng)中數(shù)據(jù)的流轉(zhuǎn)控制在最小知悉范圍。

此外，針對(duì)軍工科研生產(chǎn)單位，如為涉密信息系統(tǒng)，則設(shè)備入網(wǎng)和人員入網(wǎng)流程辦理也是一個(gè)重要組成部分。武器裝備科研生產(chǎn)單位還要求做到一人一檔和一機(jī)一檔，如發(fā)生策略變化和授權(quán)變化，均需要經(jīng)過(guò)審批程序。

（一）依賴運(yùn)維外包或是承建廠商承擔(dān)運(yùn)維主要工作

很多單位存在自身運(yùn)維團(tuán)隊(duì)人員不足，技術(shù)水平不夠情況，主要依靠運(yùn)維外包或是系統(tǒng)各參加廠商協(xié)助進(jìn)行運(yùn)維，而此種方式運(yùn)維模式下又未明確劃分職責(zé)邊界，缺乏對(duì)派駐的運(yùn)維服務(wù)人員嚴(yán)格的管理，造成重要基礎(chǔ)設(shè)施和重要數(shù)據(jù)掌握在外人手里，存在用戶重要數(shù)據(jù)和敏感數(shù)據(jù)知悉范圍擴(kuò)大甚至泄露的風(fēng)險(xiǎn)。

（二）運(yùn)維管理不規(guī)范，未形成有效的運(yùn)維機(jī)制

單位只注重業(yè)務(wù)工作的開(kāi)展，未能及時(shí)形成體系化的運(yùn)維規(guī)范，在運(yùn)維工作量不大的情況下，尚不明顯，但是一旦系統(tǒng)規(guī)模較大，運(yùn)維不規(guī)范導(dǎo)致的運(yùn)維工作紊亂，不同的人不同的處理方式，在面對(duì)上級(jí)檢查時(shí)，特別是資質(zhì)單位的審查時(shí)會(huì)帶來(lái)較大的麻煩，嚴(yán)重情況將導(dǎo)致單位無(wú)法通過(guò)上級(jí)檢查。

（三）缺乏先進(jìn)的運(yùn)維技術(shù)手段支撐

由于企業(yè)領(lǐng)導(dǎo)不重視或是經(jīng)費(fèi)限制，在信息系統(tǒng)建設(shè)時(shí)，往往只注重管理應(yīng)用和業(yè)務(wù)應(yīng)用系統(tǒng)的建設(shè)，對(duì)運(yùn)維手段建設(shè)方面投入不足，造成了“重建設(shè)，輕運(yùn)維”的情況，導(dǎo)致各業(yè)務(wù)系統(tǒng)上線了，提升了業(yè)務(wù)信息化水平，但運(yùn)維信息化建設(shè)還處于落后階段，無(wú)法規(guī)范高效完成運(yùn)維工作。

（一）建立或優(yōu)化規(guī)范的運(yùn)維體系

首先，明確運(yùn)維組織機(jī)構(gòu)和職責(zé)。一般情況下，運(yùn)維組織機(jī)構(gòu)往往是在單位負(fù)責(zé)人的分管領(lǐng)導(dǎo)下，由信息化管理部門(mén)具體指導(dǎo)，運(yùn)維責(zé)任部門(mén)承擔(dān)具體運(yùn)維職責(zé)。該運(yùn)維機(jī)構(gòu)同時(shí)接受保密管理部門(mén)的監(jiān)管。運(yùn)維責(zé)任部門(mén)人員按照權(quán)限不同可分設(shè)系統(tǒng)管理員、安全管理員和安全審計(jì)員等；同時(shí)按照運(yùn)維對(duì)象不同可分為網(wǎng)絡(luò)管理員、終端管理員、應(yīng)用系統(tǒng)管理員、數(shù)據(jù)庫(kù)管理員等。

其次，建立規(guī)范化的運(yùn)維管理制度體系。實(shí)施信息系統(tǒng)運(yùn)維管理，完整而有效的運(yùn)維管理制度體系是解決運(yùn)維痛點(diǎn)和問(wèn)題的基礎(chǔ)和保障。一般運(yùn)維制度體系的制定涵蓋兩個(gè)管理層級(jí)，一是由信息化管理部門(mén)制定和發(fā)布的制度文件，包括運(yùn)維管理制度、運(yùn)維管理策略和操作規(guī)程等。運(yùn)維管理制度是最基本的要求，策略是在制度的框架下，針對(duì)各種安全問(wèn)題提出的具體對(duì)策和解決方案，制度保障了策略的實(shí)施和落實(shí)，而操作規(guī)程是實(shí)施安全策略的具體步驟。二是由運(yùn)維機(jī)構(gòu)制定和發(fā)布的系列操作規(guī)程，該系列文件在信息化管理部門(mén)發(fā)布的制度文件要求下，對(duì)運(yùn)維人員和運(yùn)維操作的進(jìn)一步細(xì)化，針對(duì)運(yùn)維機(jī)構(gòu)自身業(yè)務(wù)，如何開(kāi)展培訓(xùn)，如何執(zhí)行日常運(yùn)維規(guī)范化操作等。

（二）培育企業(yè)自身運(yùn)維團(tuán)隊(duì)，加強(qiáng)技能培訓(xùn)，明確考核機(jī)制

運(yùn)維人員是運(yùn)維工作的核心，運(yùn)維人員的責(zé)任意識(shí)和技能本領(lǐng)是運(yùn)維安全的保障。企業(yè)必須建立起自身的運(yùn)維隊(duì)伍，并具備網(wǎng)絡(luò)、產(chǎn)品、終端等各方面的優(yōu)秀人才，制定人才培養(yǎng)培訓(xùn)計(jì)劃，定期參加培訓(xùn)并開(kāi)展實(shí)戰(zhàn)演練，確保運(yùn)維隊(duì)伍政治可靠、專業(yè)性強(qiáng)，有效解決運(yùn)維各種問(wèn)題。要對(duì)運(yùn)維人員的任職條件提出明確要求，明確運(yùn)維人員的職責(zé)和工作標(biāo)準(zhǔn)，簽訂安全承諾書(shū)，定期對(duì)運(yùn)維人員進(jìn)行履職考核，進(jìn)行獎(jiǎng)懲。

（三）引進(jìn)先進(jìn)的智能化運(yùn)維管理平臺(tái)

采用智能化運(yùn)管平臺(tái)協(xié)助運(yùn)維人員開(kāi)展運(yùn)維工作，實(shí)現(xiàn)規(guī)范化運(yùn)維設(shè)備和流程管控，是很多企業(yè)的普遍做法。能夠在最少的人員干預(yù)下使用故障監(jiān)測(cè)技術(shù)尋找設(shè)備運(yùn)行中的故障點(diǎn)，發(fā)生故障時(shí)通過(guò)問(wèn)題分析快速定位故障根源尋找解決方案，并能夠自動(dòng)運(yùn)行預(yù)制腳本與工具進(jìn)行故障的修復(fù)，最后還能夠根據(jù)審計(jì)日志進(jìn)行追溯分析，對(duì)暴露出來(lái)的問(wèn)題進(jìn)行深入的關(guān)聯(lián)解析，找出潛藏的隱患并制定解決預(yù)案。智能化運(yùn)維的終極目標(biāo)，也就是將運(yùn)維人員從煩瑣的工作中解放出來(lái)，提高整體運(yùn)維效率，降低運(yùn)維成本，實(shí)現(xiàn)系統(tǒng)的高可用性。

智能化運(yùn)管平臺(tái)通常具備以下功能：可實(shí)現(xiàn)全面化設(shè)備管理；實(shí)現(xiàn)可視化拓?fù)浣Y(jié)構(gòu)管理；實(shí)現(xiàn)及時(shí)性故障處理，迅速定位告警設(shè)備，及時(shí)告警、自動(dòng)處理，確保故障及時(shí)解決，極大提升告警處理效率，降低因故障帶來(lái)的損失；實(shí)現(xiàn)多維度性能管理，全面采集設(shè)備資源、應(yīng)用、服務(wù)等性能信息，運(yùn)維人員隨時(shí)把握設(shè)備性能狀態(tài)，防患于未然；實(shí)現(xiàn)精細(xì)化報(bào)表統(tǒng)計(jì)，具有多項(xiàng)數(shù)據(jù)的統(tǒng)計(jì)功能，通過(guò)多種類(lèi)型的圖表展現(xiàn)，使運(yùn)維人員對(duì)整體網(wǎng)絡(luò)有一個(gè)全面直觀的掌握，通過(guò)數(shù)據(jù)分析，全面把握網(wǎng)絡(luò)狀況為決策提供依據(jù)；多層次安全管理及審計(jì)日志。通過(guò)對(duì)用戶網(wǎng)絡(luò)、用戶權(quán)限進(jìn)行設(shè)置，以及對(duì)黑白名單的控制，以多層次多角度提升網(wǎng)絡(luò)安全性，對(duì)行為追溯審計(jì)，便于事后跟蹤，保障用戶網(wǎng)絡(luò)安全。

（四）建立對(duì)信息系統(tǒng)運(yùn)維工作的監(jiān)管機(jī)制。

為提高信息系統(tǒng)運(yùn)維管理水平，強(qiáng)化日常運(yùn)維執(zhí)行能力，對(duì)運(yùn)維人員的履職情況進(jìn)行監(jiān)管是一種必要的手段。一是信息化管理部門(mén)對(duì)運(yùn)維機(jī)構(gòu)的監(jiān)管。這主要從任務(wù)下達(dá)方的角度監(jiān)管運(yùn)維工作的完成情況和用戶的反饋情況。二是保密部門(mén)對(duì)運(yùn)維機(jī)構(gòu)實(shí)施監(jiān)管。這主要從運(yùn)維規(guī)范化的角度出發(fā)，對(duì)運(yùn)維工作進(jìn)行評(píng)價(jià)，從保密監(jiān)督檢查的角度對(duì)運(yùn)維人員的操作是否合規(guī)進(jìn)行評(píng)價(jià)，從而保障數(shù)據(jù)安全。

企業(yè)信息系統(tǒng)運(yùn)維工作關(guān)乎著廣大員工的應(yīng)用體驗(yàn)，保障著業(yè)務(wù)系統(tǒng)的正常運(yùn)轉(zhuǎn)，對(duì)運(yùn)維工作實(shí)施精細(xì)化、規(guī)范化管理能有效提升運(yùn)維工作的規(guī)范性、統(tǒng)一性，提升工作效率，引進(jìn)運(yùn)維軟件平臺(tái)更是能讓運(yùn)維工作朝著智能化邁進(jìn)，極大提升工作效率，從而有效保障企業(yè)在面臨各種突發(fā)情況下業(yè)務(wù)能夠正常開(kāi)展。

作者單位：中核戰(zhàn)略規(guī)劃研究總院有限公司