ＩＳＯ／ＩＥＣ １７７９９在校园网信息安全管理中的应用

王艳玮等

1前言

随着互联网的迅速普及和国内各高校网络建设的不断发展，很多高校都建立了自己的校园网并联入Internet，校园网已经成为高校信息化的重要部分。但是由于各种人为或非人为因素的影响，安全问题对校园网正常使用的影响越来越大。据统计，在2007-2008年内，某高校共发生网络中断20余次，网页上出现非法、反动言论10余次；因网络原因导致校园网内电子邮件不能使用近70小时；校务系统因停电、设备等问题不能使用近5次；主机房由于电力、通风等原因导致无法提供网络服务3—5次，其中计算机病毒影响最为严重，影响时间也较长。这些并不是校园网中的特例，绝大多数的校园网都没有对信息安全引起足够的重视，甚至无视于一些非常明显的风险，即便采取了措施，大多也都是一种缓慢、被动、只强调技术的安全措施，并没有根据校园网的特点、业务和需求去制定适合自身的信息安全管理策略。为了防止各种安全问题影响到校园网的运行，可考虑通过贯彻运行ISO／IEC 17799信息安全标准的方法，从而保证校园网信息的保密性、完整性、可用性和合法性。

2ISO／IEC 17799信息安全标准简介

BS7799标准是由英国标准协会制定的信息安全管理标准，是国际上具有代表性的信息安全管理体系标准，标准包括两个部分：BS7799-1：1999《信息安全管理实施细则》和BS7799-2：1999《信息安全管理体系规范》。BS7799-1标准已转换为ISO国际标准，即ISO／IEC 17799：2005信息安全管理实施指南。ISO／IEC 17799是一个非常详尽、文件化且易操作的信息安全管理标准，它提供了一套综合的、由信息安全最佳惯例组成的实施规则，适用于各大、中、小型组织，包括十一项安全类别，涉及技术和管理两个方面，在这十一项安全类别中，ISO／IEC17799又细分了39个管理目标、133项控制措施和若干个控制要点，涵盖了当前信息安全应该考虑的各个主要因素。

ISO／IEC 17799自发布以来，得到了许多国家和组织的认可与支持，世界上越来越多的国家引用该标准制定国标，越来越多的信息安全公司以该标准为指导为客户提供信息安全咨询服务，还有许多国家的政府机构、银行、证券、保险公司、电信运营商、网络公司等都采用此标准来对自己的信息安全进行系统的管理，而校园网在此标准的指导下，也同样有效的控制了安全问题，收到了良好的效果。

3校园网信息安全管理需求

3.1校园网常见的安全风险

校园网的用户群体庞大密集，并且校园网的网络环境非常开放。所以存在很多的安全风险，其中比较常见的安全风险有：

3.1.1物理环境安全风险

3.1.1.1电源故障造成信息处理设备断电导致数据丢失。

3.1.1.2信息处理设备被盗、被毁造成数据丢失。

3.1.1.3内外部人员非法访问信息处理设备造成信息泄露。

3.1.2校园内部安全风险

3.1.2.1人为操作失误造成数据信息丢失或系统崩溃。

3.1.2.2内部人员恶意破坏主机或盗取网络数据。

3.1.2.3校园网用户借助高校BBS以及FTP散布反动言论。

3.1.3网络信息安全风险

3.1.3.1计算机病毒导致系统崩溃及数据丢失。

3.1.3.2外网用户通过公网线路截获或篡改学生信息数据。

3.1.3.3未经授权人员进入校园网络系统进行非法操作。

3.2校园网主要的安全需求

对于校园网来说，信息和其他商业资产一样有价值，针对以上各种常见的安全风险，相关人员可以通过技术和管理相结合的手段，进一步保证信息数据的完整性、教务系统的保密性、公共网络的可用性以及网络信息的合法性，从而使得校园网络能够高效、稳定的运行。

3.2.1信息数据的完整性

信息数据的完整性是指数据在存储和传输过程中没有被未授权的人修改，插入、删除等，确保了信息及信息处理方法正确而完整。高校学生信息系统、成绩数据库等都是学校统一管理的，一旦被破坏学校责任重大，所以应严格禁止未授权的修改和删除，保证信息数据的完整性。

3.2.2教务系统的保密性

保密性是指信息在存储和传输过程中没有被未授权的人浏览或使用。高校教务系统中的有些资料和数据是保密的，如重要考试的考卷、考试录取名单等等，信息一旦泄露，不但会影响教学，可能还会引起法律纠纷，所以教务系统的保密性应引起足够的重视。

3.2.3公共网络的可用性

可用性是指授权用户在需要时能够访问信息并使用相关的信息资产。在校园网中，学生选课、访问个人信息，教务系统安排课程、发布成绩都是通过网络完成的，如果网络的可用性遭到破坏，势必会影响到正常教学，因此网络的可用性是校园网的主要需求之一。

3.2.4网络信息的合法性

网络信息的合法性是指用户传输和发布的信息必须遵守国家法律，严禁违反国家有关规定和涉及国家机密的行为发生。校园网络一项重要的功能就是让内网用户通过服务器浏览Internet，但如果校园网不具有对各种网络资源的识别和过滤作用，就会造成大量非法信息的出入，危害学生的身心健康。此外，如果内网用户利用校园网散布非法言论，也会对高校教育造成极为不利的影响。

4ISO／IEC 17799在校园网信息安全管理中的应用

4.1人员安全

为了避免人为破坏或误操作导致的教务教学系统的不可用，需要对人员的录用和离岗做出明确的规定并制定相关的政策来加以约束，除此还应该对学校师生进行定期的安全意识教育和培训，以保证校园网的安全稳定。

4.1.1人员录用和离岗

在招聘阶段，学校应制定或授权专门的部门或个人负责人员录用，对被录用员工的身份、背景、专业资格等进行审查，考核其技术技能。对从事敏感信息的人员(如网络中心或教务系统的员工)应该说明信息安全责任，并签订相关协议。在人员离岗时，要及时终止员工的所有访问权限，变更系统密码，取回各种身份证件、钥匙、徽章以及机构提供的软硬件设备等。

4.1.2安全意识教育和培训

学校应有计划的培养全体教职人员的安全意识，并根据从事工作的安全等级和所接触信息的敏感程度进行不同程度的培训，培训可以在教职员工入职时进行，也可以定期以讲座的形式开展。学校还应组建以高校学生为主体的安全组织机构，专门负责解决学生用户在操作过程中遇到的技术问题，并不定期通过派发宣传单或专题讲座的形式来对学生群体进行信息安全方面的培训，提高他们的安全技能，并增强他们的安全意识。

4.2物理与环境安全

高校校园网作为学校信息化建设的基础设施，

在教学、科研、管理等方面起着举足轻重的作用，而校园网的物理环境安全更是校园网络安全、可靠、稳定运行的保障。

4.2.1设备安全

4.2.1.1电源管理

高校的教务教学系统如果遇到电源故障会影响到正常的校园秩序，而且信息处理设备断电还可能会导致敏感数据丢失，因此重要区域应提供短期的备用电力供应和UPS不间断电源，这样至少可以满足主要设备在断电情况下的正常运行。为了避免校园发生较长时间的断电事故，还应考虑使用后备发电机。

4.2.1.2设备维护和管理

学校应定期安排专人对设备进行维护，保证其正常运行，而对于一些敏感信息处理设备，则要求授权人员进行维护修理，以免造成不必要的数据丢失和信息泄露。对于办公区域以外的设备，也应引起足够的重视，避免被盗、被毁，并确保对介质进行维修或销毁处理前，所有的敏感信息都已被删除。

4.2.2环境安全

为了避免非法人员进入安全区域，需要在安全区域的唯一出入口安排专人来控制、鉴别和记录人员的进出，必要的话可以设置电子门禁系统。对重要区域需实行划分区域管理，区域之间设置物理隔离装置，并根据学校工作人员的实际工作需要，确定能进出的范围。还应加强对办公环境的保密性管理，规范办公人员的行为，对于纸张及可移动的存储介质采取桌面清空，对于信息处理设备实行屏幕清空等策略。

4.3访问控制安全

4.3.1用户访问和身份认证系统

校园网络基础安全设施配备后，必须要解决用户上网身份问题，而身份认证系统是整个校园网络安全体系的基础，因此应建立基于校园网络的全校统一身份认证系统，制定正式的学生注册和注销程序，规范对学生信息系统与服务的访问授权。学生注册唯一的用户ID，ID与其操作相连，使得学生对其操作负责。还应严格限制学生用户权限的分配和使用，避免其访问数据库等敏感信息，当学生离校时，则注销用户ID。对于教师及其他工作人员(如操作员、网络管理员和数据库管理员)，也都应有个人专用的唯一ID，且按照用户的角色分配权限，仅授予管理用户所需的最小权限，避免越权操作造成数据外泄。为了保证对数据访问和信息服务进行有效控制，管理层还应制定正式程序，定期对用户访问权限进行检查。

4.3.2网络传输和入侵检测系统

为了避免敏感数据在网上传输过程中被非法窃取和篡改，保证数据传输的安全性，需对保密数据进行加密传输和存储。同时，还应该考虑在主干网络上利用交换路由设备开通VPN虚拟专用网络，保证敏感数据在网上传输过程中的机密性和完整性。另外，学校网络中心还应考虑安装入侵监测系统，以此来有效的识别拒绝服务攻击、电子邮件攻击、浏览器攻击等常见攻击，减少威胁隐患，保证校园网络安全。而对于外网人员的恶意攻击和破坏，可通过配置DMZ来防范，实现内外网分离，避免非法操作发生。

4.3.3日志管理和安全审计系统

在校园网中，内外部人员对教学、办公系统进行密码破译和恶意攻击的违规行为时有发生，如果安装安全审计系统就能够为违规处罚提供精确、可信的数据并对非法入侵等攻击行为起到一个约束作用，因此校园网需安装此系统并进行日志管理，实时监测网络上和用户系统中发生的各类与安全有关的事件，包括网络入侵、内部资料窃取、泄密、破坏等行为。比如对于校园网用户借助高校BBS或FTP散布非法信息的行为，学校一方面可以通过建立网络地址库和侦测网页内容的包过滤技术来处理，另一方面就可通过加强安全审计和日志管理来解决，将这些情况真实记录，做到有据可查。而对于一些重要的数据表，系统还需在这些日志管理表上定义一个触发器，每当有用户对其进行删改时，后台触发器就会记录下修改前后的用户信息，形成完整的数据跟踪。

4.4安全政策与规章制度

一个完整的信息安全策略应由技术手段和管理制度两部分组成。要解决企业信息安全问题，技术是基础，管理才是关键。所谓信息安全管理就是从管理的角度出发，制定安全策略、规章制度和惩罚标准来指导规范内部人员的行为。校园网可以从网络突发事件处理办法和违规行为处罚办法两方面来考虑。

4.4.1网络突发事件处理办法

制定针对如信息系统故障或拒绝服务、违反保密要求等安全事故的管理程序，如果发现安全弱点和可疑事件要及时汇报，并立即记录且汇报给事先指定的联系人。将计算机隔离，断开影响安全的信息网络设备，断开与破坏来源的网络物理连接，修复被破坏的信息，恢复信息系统。除非得到授权，用户不要试图删除可疑软件，应由经过培训的富有经验的员工执行恢复工作。在安全事件报告和响应处理过程中，分析和鉴定事件产生的原因，与那些受意外事件影响或参与事故恢复的工作人员交流，收集和获得审查记录和类似证据，最后还应将这些事件用作对用户培训的实例，让员工了解如何对此类似事故进行处理以及今后如何避免此类事件再次发生。

4.4.2违规行为处罚办法

为了规范校园网的使用，杜绝干扰网络正常运行的违规行为，维护广大用户的合法权益，保证校园网的正常运行，除了需要通过必要的技术手段增强网络的安全性外，更重要的是需要针对具体的违规行为制定相应的处罚办法来加以约束。针对在校园网上散布淫秽、色情、赌博、暴力、凶杀等非法信息，未经网络中心批准，采用各种手段切断学校网络连接或通过扫描、侦听、破解口令、安置木马、远程接管等手段对校园网络资源进行盗用等一系列违规行为，学校相关部门可根据违规行为的轻重来对其进行提交书面检查、向所在院系通报、禁用网络账号等相应的行政以及经济处分。

5小结

校园网面临的威胁是多方面的，因此安全防范也应该从多方面去进行。本文通过对ISO／IEC 17799的理解和应用，从技术和管理两方面出发制定了解决校园网安全问题的对策，保证了教务教学系统的访问安全以及数据在Internet传输过程中的完整和保密，通过安全审计系统的应用和惩罚制度的制定，还极大的降低了来自校园网络内外的恶意破坏和非法信息的肆意散播，保证了网络信息传输的合法性，从而基本上解决了校园网常见的安全问题。但校园网的安全防范体系应该是一个动态的、不断发展变化的综合运行机制，所以还需要从整体的角度去不断的改进和完善，这样才能打造出一个相对安全的校园网。