图书馆数字资源及网络安全措施探讨

2012-02-15王曙光

图书馆研究 2012年3期

王曙光

（新疆维吾尔自治区图书馆，新疆乌鲁木齐 830011）

随着互联网的快速发展，网络安全问题日益突出，如蠕虫病毒泛滥、系统漏洞层出不穷、黑客入侵攻击等许多网络安全问题，使得以边界和核心资产为对象的传统的安全防护方法暴露出严重缺陷。网络信息安全事关国家安全和主权、社会的稳定、民族文化的继承和发扬，并且随着全球信息化步伐的加快而变得越发重要。在图书馆数字资源及网络信息化建设过程中，图书馆服务体系不断向数字化、网络化及多元化转变，数字资源及网络已成为现代图书馆的重要组成部分，如何保障图书馆数字资源及网络安全运行，是当前亟须解决的问题。

1 图书馆数字资源及网络安全的范围及影响因素

目前，各图书馆在数字资源传播方面，基本都是通过互联网接入方式，而互联网本身极具不安全性，很容易受到非法用户和病毒的攻击。网络是一个复杂且开放的公共资源，要求有相应的管理方式和较高的技术能力才能有效保证网络的正常使用。但目前各图书馆为了使读者能够简单方便地使用计算机及网络资源，往往忽视网络安全，开放过多权限，使得图书馆的网络更容易受到侵袭。再加上图书馆内部人员计算机水平参差不齐，有许多不规范操作和误操作的情况出现，使得图书馆数字资源及网络安全问题更加突出。

1.1 图书馆数字资源及网络安全范围

图书馆数字资源及网络安全范围主要包括物理性安全及信息安全。物理性安全包括机房、主服务器、网络设备、安全设备以及通信线路的安全等。信息安全包括主机系统安全及数据安全，其中主机系统安全主要是采用杀毒软件进行保护，通过防火墙设置安全策略以防止非法用户对主机系统进行破坏，但是这并不能从根本上保证主机系统安全以及图书馆数字资源、网络安全。

1.2 图书馆数字资源及网络安全的影响因素

影响图书馆数字资源及网络安全的因素包括人为因素和非人为因素。人为因素包括内部人员的失误和外部的恶意攻击，内部人员的失误是指由于图书馆内部人员失职及误操作等造成的安全隐患，例如操作员配置策略不当，安全意识不强，随意让其他人员登录或使用计算机等。而非人为因素主要是指计算机及网络硬件设备的故障（包括存贮介质的损坏等）、意外灾害（如水灾、火灾、雷击、地震等）。在影响图书馆数字资源及网络安全的因素中，人为因素影响更大，主要表现有：

（1）未授权访问：通过对用户身份攻击、非法进入网络系统进行违法操作、窃取合法人员登录信息等，对网络和数据资源进行非法访问。

（2）数据泄露或丢失：这是指泄露或者丢失重要的数据，如他人通过非法手段窃取相关信息，使信息泄露和丢失。

（3）计算机病毒：计算机被网络病毒感染，导致计算机出现各种问题，并可能通过多种形式再传播、破坏，导致整个图书馆的网络瘫痪或数据丢失。

2 目前图书馆数字资源及网络安全的主要问题

2.1 技术薄弱，人员缺乏

近年来，各级政府部门对图书馆数字资源及网络建设的支持力度不断加大，图书馆网络建设及数字资源建设取得快速发展，图书馆网络覆盖办公、业务、电子阅览、读者服务等各个领域。数字资源的应用也从空白发展到现在的互联网应用。但是，图书馆的相关技术人员整体上仍然非常缺乏。目前的在职人员，有的身兼多职，有的技术不精，加上图书馆对数字资源及网络安全认识不足，对员工安全知识和安全意识方面的培训较少，导致图书馆数字资源及网络存在安全隐患。

2.2 管理制度不够健全

图书馆的电子阅览室是免费为读者提供信息服务的平台，但有的图书馆因为没有严格的管理制度，导致图书馆网络时断时续，严重影响图书馆日常对外业务的开展。图书馆网络平台的正常运行，必须以严格的管理制度作为保障。图书馆应通过风险评估的方式解决现有管理方面的不足，建立健全管理制度，完善人员岗位职责，进一步实现图书馆文献资源统一建设、统一管理、统一使用、统一服务的目标。

3 图书馆数字资源及网络安全保障措施

3.1 加强专业技术人员队伍建设

图书馆数字资源及网络建设规模越来越大，相关专业技术人员队伍建设也应该随之加强，才能有效保障数字资源及网络安全。一方面，图书馆应通过社会公开招聘、事业单位考试录入、外聘专业团队的人员等多种方式对图书馆网络系统维护和管理人员进行补充；另一方面，在现有人员的基础上，图书馆应加强各项专业技能培训工作，组织相关人员参加各种网络知识和技能的培训、行业技术交流等。

3.2 建立健全管理体系

在数字资源及网络体系建设方面，图书馆投入了大量的人力、物力和财力，但如果没有一个完善的管理体系，任何先进的技术产品都不能有效地发挥作用。因此，图书馆要建立健全相关管理体系，在实现网络信息共建、共知、共享的基础上，保障数字资源及信息系统业务的可持续性。

管理制度是信息安全因素中最具能动性的组成部分，大多数突发事件和安全隐患都是由于管理不善而造成的。图书馆应根据实际情况制定完善管理制度，加强人员的管理，建立跟踪体系完善制度落实情况，提高整体防范意识。图书馆应建立健全机房管理、软硬件维护管理、网络安全管理、系统安全管理、电子阅览室管理、备份和恢复管理、安全事件报告和处置方面的管理、应急响应方法、应急响应计划等制度，并建立完善的跟踪体系，落实管理制度。

3.3 进行图书馆网络风险评估

为保证图书馆信息网络平台上的各项业务工作不间断开展，避免重要信息泄漏、丢失或遭到恶意更改，图书馆应邀请专业公司对网络风险进行评估。

3.3.1 图书馆网络风险评估的意义

图书馆网络风险评估，对信息网络平台及应用系统进行全面检测，能够为图书馆了解整个图书馆网络安全的现状和存在的风险提供参考。根据评估结果，图书馆可以建立信息系统风险库，同时加强网络维护人员的安全培训，提高管理和技术水平。

3.3.2 图书馆网络风险评估的范围

图书馆网络风险评估的范围主要包括服务器、机房架构、网络等基础设施配置和管理状况，尤其是对防火墙、入侵检测等设备和其他安全管理系统进行测试评估。此外，图书馆网络风险评估范围还包括管理机构、人员配备、岗位职责、管理制度的制定与落实，信息系统相关人员的防范意识等。

3.3.3 图书馆网络风险评估的内容

图书馆网络风险评估以对漏洞进行扫描评估和审计评估相结合的方式，对图书馆网络和信息系统、主机系统、安全系统、机房及辅助设施、管理制度等进行系统评估以及深度评估，逐步形成网络与信息系统信息资产列表、综合风险分析报告、安全弱点报告、系统规划方案等评估文档体系。

3.4 加强主机系统保护

服务器和存储系统是图书馆业务系统和数据信息得以保存并可靠运行的支撑，为保证其能安全、可靠地运行，防止数据泄漏和丢失，防止非法人员访问、操作业务系统和核心服务器，图书馆可根据网络风险评估得出一套技术保障和维护体系，加强图书馆主机系统安全，主要措施有：保障主机系统及时安装所有最新的补丁，使服务器免受入侵攻击；应有技术手段实现网络中的服务器和数据库进行定期的漏洞检测和分析；定期为所有服务器进行配置管理维护、跟踪补丁和系统配置变更；对于重要服务器要采用单独网段进行隔离、身份鉴别、备份、恢复应急措施、业务审计等措施进行有效防护；对于内部和外部人员对主机系统的非法操作和维护等具有一定的防范能力，并具有业务审计功能等。

3.5 加强网络边界防护

网络边界防护主要是保护图书馆网络出口和其他相关数据的安全区域，即对整个网络系统和资源应用进行标志、鉴别、访问控制、机密性、完整性和抗抵赖性的服务体系。为有效控制和防御对来自于外部的非法访问和攻击行为，必须对图书馆网络整体结构进行评估和优化，可以划分出核心区、DMZ区、公共区和接入区。要做好网络边界防护，可以从以下几个方面入手：

一是配备多层应用级防火墙、安全审计、防病毒软件等，可以对非法攻击做到及时阻断，并以邮件方式向管理人员报警，方便管理者快速解决网络故障。

二是优化管理网关，规范用户上网行为，对所有上网用户进行统一的身份认证，并对上网行为进行记录，做到有据可查。

三是采用硬件VPN，通过加密方式与其他图书馆相连，保障内部系统和数据的安全，防止重要信息泄漏。

四是划分安全区域进行访问控制，阻止非授权访问进入，并对访问控制措施进行集中管理，保障区域的可靠性。

五是确保远程访问进行交换的数据得到保护，防止网络控制信息和支撑基础设施信息的泄漏。