高校计算机信息系统安全策略之浅析

秦彦彦

摘要：高等学校信息系统建设越来越受到重视，建设的同时还要考虑安全问题。信息系统安全策略的研究是高校信息化建设工作的重中之重，是学校信息系统安全运行的前提条件。本文结合本校智慧校园的建设情况论述了信息系统的安全策略做法。

关键词：信息系统;安全策略;病毒攻击

中图分类号：G642.0     文獻标志码：A     文章编号：1674-9324（2019）10-0245-02

随着高校信息技术应用越来越广泛，高校建设的计算机信息系统也越来越多，很多基本信息系统如教务系统、档案系统、人事系统、学工系统、政务办公系统等等都是各高校必备的信息系统，各种基于信息系统的网络攻击层出不穷，信息系统安全问题亟须解决。本文就本校计算机信息系统为立足点，对信息系统的安全策略设置进行浅要分析。

一、引言

贯彻国家教育部关于印发《教育信息化十年发展规划》纲要精神，我校开展了智慧校园建设工作，建设过程坚持“统一规划、分步实施、加强应用、共享数据、资源整合”的基本原则，定制开发了统一身份认证平台、数据共享平台、统一门户平台，部署了办公自动化系统、人力资源管理系统、教学管理系统、学生管理系统、科研管理系统等等信息系统。

二、信息系统安全运行面临的威胁

智慧校园的建成打通了校内原有信息系统的信息孤岛，实现了校内新建信息系统和原有信息系统的信息互通。当生成数据的信息系统数据发生变化时，其他信息系统的数据会随之即时更新。所有信息系统的数据可以汇集在一起进行统计分析，为学校领导实施校内决策提供数据支撑。可是众多信息系统为本校教务管理和师生教学带来便利的同时也面临着网络中巨大的威胁。

互联网环境复杂多变，病毒繁多。最近的蠕虫病毒和方程式组织3389端口危机为高校敲响了警钟。计算机病毒事件、蠕虫事件、特洛伊木马事件、网页内嵌恶意代码事件等等各类事件频发造成不良影响;网络攻击会利用配置缺陷、协议缺陷、程序缺陷等问题对信息系统进行攻击，导致信息系统异常或不可用的信息安全突发事件;还通过网络等其他技术手段，造成信息系统中的信息被篡改、假冒、泄漏、窃取等而导致系统瘫痪、数据毁坏、数据泄密的信息安全突发事件，如修改教务系统里的学生成绩、窃取学生资料等事件。

三、保障信息系统安全运行的策略和做法

1.提高政治站位，高度重视和加强网络信息安全工作。从思想上重视安全问题。认真学习全国网络安全和信息化工作会议精神，深入领会习近平总书记在上述会议上的重要讲话，树立正确的网络安全观，全力做好学校所属信息系统的安全检查和督导防护工作，不断提高信息安全事件应急处理能力，为学院教学工作创造安全的信息网络环境，做到防患于未然。

2.提高思想认识，完善规章制度。完善规章制度，形成层级式的安全管理责任制。为确保信息系统环境安全，高校必须从领导层次建立重视机制。成立网络信息安全建设工作小组，下设办公室，主抓信息系统安全工作。办公室的职能一般由信息中心担任。信息中心必须落实每个信息系统的信息系统管理员和安全责任人，并由外请专家或第三方培训机构定期对各信息系统的管理员进行安全培训，普及安全知识，提高安全意识。完善相关规章制度，尤其是信息系统日常巡检制度，健全信息系统安全责任制，确保责任到人。

3.多措施多渠道加强安全建设和管理工作。信息系统物理机制建立全部放在中心机房服务器区，由网络防护设备统一防护;定期对服务器集群进行清理检查，对僵尸网站一律采用禁停策略;对不经常使用的服务器采取了“平时关闭，使用时打开”的管理策略;使用网络杀毒软件对信息系统服务器进行统一病毒防护。

使用网络防护软件对关键信息系统进行保护。信息系统入口使用HTTPS安全协议进行访问，能够检测对重要信息系统进行入侵的行为，能够记录“入侵的源IP、攻击的类型、攻击的目的、攻击的时间”，并能在发生严重入侵事件时提供拦截功能。

将操作系统升级为较为安全的版本的正版操作系统，修改操作系统中默认账户和口令，设置计算机策略中的密码强度;定期扫描漏洞和更新补丁;关闭不必要的应用、服务和端口，修改远程3389端口为其他不常用端口;linux服务器根据需要安装最小操作系统，并关闭不必要的telnet服务;采用VPN加密的方式进行服务器的外网访问，以确保数据在网络传输过程中的保密性、完整性和可用性。

加强用户发布信息的管理，各二级单位部门负责的内容由各二级单位部门自行管理，指定一名熟悉计算机专业知识的固定人员担任信息发布员，妥善保存发布密码，并定期更换;高校官方网站的信息发布权限需经管理部门领导审核同意后方能授予，并由信息员保留原始记录。重要信息必须经学校领导审核、签字同意。涉及高校官方网站版面内容变动必须经管理部门领导审核同意后方可进行。

制定并严格遵守《信息系统信息发布流程》、《信息系统管理员申请流程》、《服务器托管流程》等一系列规章制度，规范信息的采集、审核和发布流程，严格信息公开发布工作，防止僵尸网站的存在。

制定网络安全事件应急计划，及时处置系统漏洞、计算机病毒、网络攻击、网络侵入等安全风险，在发生危及网络安全的事件时立即启动应急计划，及时采取相应的补救措施;不定期对学校服务器集群环境和信息安全进行检查，确保信息安全。

加强基础网络安全防护和安全策略配置。校园网出口防火墙设置最严格的访问策略，默认所有的服务端口是关闭状态，针对需要开放的服务，专门建立策略开放。有些需要远程的服务，采取VPN的方式来实现。在服务器区前设置了数据防火墙，只开启需要的服务端口，建立了一个相对独立的安全区域。

4.积极进行等级保护测评工作，并根据测评结果完成整改。信息安全等级保护是我国信息安全保障的基本制度，可以帮助高校有效地解决信息安全面临的主要问题，高校应积极配合国家要求进行等级保护测评工作。为保证网络安全检查和重要系统、网站的等级保护测评整改工作的有效开展，高校需要成立网络安全等级保护测评领导小组，总体负责校内各类网站和各类信息系统的检查及等级保护测评工作。

测评工作进行时首先进行自测评，完成信息系统的定级工作，根据信息系统遭到破坏造成的侵害的程度来确定每个信息系统的安全级别。级别确定后根据该级别的安全基线对信息系统进行合规性检查，确认信息系统与安全基线的偏离程度。

四、结束语

计算机技术在不断发展，高校信息系统建设在不断完善。建设完善的同时不能忽略安全问题。中华人民共和国网络安全法已经实行，信息系统一旦出现网络安全问题会由执法部门按法律条例处置。保障计算机信息系统的安全必须多方面考虑，其中人员要素是最核心的。安全问题要从领导层重视起来，自上而下建立安全运维团队，定期进行安全培训，普及安全知识，提高安全意识。

参考文献：

[1]方玉林.高校计算机信息管理系统中存在的安全隱患[J].信息与电脑，2016，（06）.

[2]宋如如.浅谈高校计算机信息系统的建设与维护[J].信息安全与技术，2014，（05）.

Analysis on the Security Strategy of Computer Information System in Colleges and Universities

QIN Yan-yan

（Shandong University of Arts，Jinan，Shandong 250014，China）

Abstract：More and more attention has been paid to the construction of information system in colleges and universities.The research of information system security strategy is the most important task in the information construction of universities，and it is the precondition for the safe operation of school information system.This paper focuses on the security strategy of information system.

Key words：information system;security strategy;virus attack