高校图书馆数据资产的安全风险及保护措施研究

王鹏

摘要：随着高校图书馆服务水平的不断提升，以及服务内容的不断丰富和深化，包括图书馆电子图书、期刊、数据库和读者行为记录等数据资产呈现爆发式增长。如何有效保护这些数据资产，保证其安全，是今后利用大数据建设智慧图书馆，为读者提供智慧化、个性化服务的基础，也是履行保卫国家信息安全的职责的必然要求。本文详细分析了高校图书馆数据资产所面临的安全风险，并针对这些风险提出了相应的保护策略，以帮助高校图书馆堵上安全漏洞，保护数据资产安全。

关键词：高校图书馆;数据资产;安全风险;保护措施

1 研究背景

在2014年4月15日召开的国家安全委员会第一次会议上，习近平首次提出了国家总体安全观的概念，共有11种安全，信息安全位列其中。很显然，在信息社会里，信息安全关乎每个人，也关乎整个国家。而且大数据时代，数据为王，数据是重要的战略资源，事关个人隐私和国家发展大局[1]。高校是个半开放的环境，校内与校外有频繁的人员往来和数据交换，而且校内用户上网需求多样，安全防护意识却相对来说比较淡薄，导致学校常常成为病毒程序感染和传播的高发区，2017年WannaCry病毒事件就是很典型的案例[2]。图书馆是高校中重要的数据管理、使用部门，产生和保存着大量的数据资产。因此，确保数据资产安全，维护国家总体安全，高校图书馆有着重要的作用和职责。

2 图书馆数据资产所面临的安全风险

数据是要依托于介质才能得以长期保存的，因此，讨论图书馆数据资产安全必须首先从介质安全和数据安全这两个角度进行，相应的，图书馆数据资产所面临的安全风险可以分为两大类：介质安全风险和数字安全风险。

2.1 介质安全风险

人类的遗传信息是以碱基对的形式保存的，碱基对有序排列组成长长的碱基链便是DNA，所以DNA也被人们称为人类遗传信息的载体。若是DNA这个载体出了问题，它记载的遗传信息就会改变或丢失。数据也是如此，介质就是数据赖以存在的物质基础，一旦介质被破坏，那么写在介质中的数据也将不复存在。所以，介质安全也可以理解为数据存在的物理环境安全。可能发生的风险具体包括以下几种。

2.1.1硬盘达到报废年限

目前市场上的硬盘理论寿命是30000小时以上。图书馆核心机房除非遇到区域性停电或学校电路检修这样的特殊情况，否则将保持24小时运行。换算下来一块机械硬盘的使用寿命也就是三年多时间。超过此时间，磁头、盘片磨损越来越严重，坏道数增加越来越多，硬盘不能正常使用或彻底报废的可能性也越来越高。

2.1.2工作环境不满足要求

硬盘是极其精密的电子设备，空气中的灰尘如果太多，积聚在硬盘的电路板上，极有可能造成短路，硬盘工作时还会散发大量的热，若无法及时散热，硬盘也会因为温度过高而损坏。空气湿度大同样会造成硬盘短路。此外，还有酸碱性、强磁性物品，都会对硬盘造成破坏。

2.1.3人为蓄意破坏

虽然可能性很低，但是不能完全排除人为蓄意破坏存储介质的情况。比如因合作过程产生矛盾而故意破坏实施报复的，因对工作或生活有不满而通过破坏行为泄愤的，或者毫不相干的人趁工作人员不注意搞恶作剧的，等等。

2.1.4意外事故

图书馆核心机房有很多网络设备升级改造项目，在施工过程中，若工作人员一时大意，就可能在线路布置、连接、设备安装等步骤上出现纰漏，造成安全隐患，或者因为拿不稳而使设备掉落出现故障。如果突然停电，使用年限较长的硬盘很容易受到影响甚至损坏。另外，火灾等安全事故和地震等自然灾害一旦发生，都将对数据存储设备造成严重的、不可恢复的损坏。

2.2 数据安全风险

物理安全并不等于数据资产安全，因为还有介质正常但是保存在介质中的数据本身遭受安全威胁的情况。就像有机体生存的环境虽然没有改变，但是有机体却可能受伤或死亡一样。因此，还需要专门分析数据本身可能存在的安全风险。此类风险并不危及存储介质，只会造成数据丢失、泄露、删除或修改。

2.2.1病毒、木马程序

病毒和木马程序在信息世界广泛存在而又无法被彻底消灭，它们对信息安全构成巨大的威胁。不法分子经常在网络上散播病毒和木马程序，通过它们窃取数据、修改数据、删除数据、劫持数据。或者干脆用这些病毒和木马修改和破坏计算机的正常程序，影响计算机系统和软件的稳定运行，进而威胁到数据安全。

2.2.2人为复制、泄露

这类问题可能出现的情况有：商业公司员工出于经济利益等目的將接触到的数据复制、泄露;工作人员由于工作需要复制数据后导致的数据泄露，比如移动存储设备遗失，在不安全或陌生环境中使用移动存储设备，其他人借用移动存储设备后发现并复制数据;前来办理业务的人偶然在工作人员电脑上发现数据，趁工作人员不备私自复制。

2.2.3工作制度不完善或执行不到位

因存储空间不足或产生年代久远清理数据时，没有对数据进行备份造成数据丢失。没有按特别规定的流程清除或备份已经替换下来的旧存储介质里面的数据，造成数据泄露或丢失。工作人员由于操作失误，删除或修改了原始数据，比如在数据库上使用了错误的指令，或者某些系统管理员对系统不熟悉执行错误操作。业务系统特别是数据库的用户名和密码泄露，被不法分子得到后违法对数据进行操作造成数据安全威胁的。工作人员业务调整时未能将所管辖业务的数据全面清理、所负责工作交代清楚，造成旧人不管、新人不知的局面，进而导致数据被人遗忘。擅自使用非法或盗版软件，将计算机置于危险境地，危及数据安全。

2.2.4服务停用、升级或服务商倒闭

图书馆的服务系统升级后，新系统未能及时、准确、完整地收录旧系统的数据而造成数据遗失，或因数据标准不一致，新系统无法使用而遗弃旧的数据。服务系统不再使用，已停用系统曾产生的数据也将不再被使用，则该数据被丢弃。此外，服务商突然倒闭，其提供的服务系统无人维护直至被停用，则该系统产生的数据也极有可能被丢弃。

3 图书馆数据资产的保护措施

将图书馆数据资产所面临的安全风险逐个分析之后，就需要相应提出有效的保护策略，以避免风险发生。对照第2部分的内容，这里将保护策略也对应分成两部分：介质保护和数据保护。

3.1 介质保护

（1）加强对硬盘的管理，定期检查硬盘工作状态。对于尚在使用中的、已经或即将达到报废年限的硬盘，以及出现故障的硬盘，要及时、有序更换。

（2）按照图书馆有关管理办法做好防火、防水、防热、防磁、防盗、防尘、防酸碱、防断电等工作，保障存储设备物理环境安全。

（3）加强沟通协调，发现有相关人员情绪不稳定的情况要及时主动了解，防止其做出过激行为，造成人员、财产损失。加强核心机房安全管理，做到“人走门锁，门开人在”。核心机房施工时，必须有图书馆工作人员在现场陪同，防止人为蓄意破坏，避免施工现场发生意外。

（4）配备足够的UPS电源，确保图书馆核心机房在突然停电或短时停电期间的电力稳定。制定科学有效、符合图书馆实际的数据备份策略，采购备份系统和设备，并根据发展需要及时更新、升级。定期检查备份系统，一旦发现故障及时处理，保障备份系统正常运行。根据情况，考虑采用异地备份或云备份方式，提高容灾能力。

3.2 数据保护

（1）主控室要安装防火墙，服务器（包括物理服务器和虚拟服务器）均安装安全软件，定期对图书馆服务器进行检查，及时修复系统漏洞，更新病毒库，发现可疑文件立即处理，保障系统中数据安全。

（2）拷贝数据要用专有的移动存储设备，并给文件或移动存储设备设置密码。办公电脑也要设置密码，工作人员离开时要及时锁屏。

（3）在清理电脑硬盘或数据库时，其中的数据要谨慎处理。确定已没有利用价值的可以直接删除，现在用不到但是将来可能用得着的数据应尽可能做好备份。不再使用的存储介质里的数据要按规定备份或删除，再将介质报废处理。合理划定系统管理员和一般使用者的权限，对馆员进行必要的业务培训，防止由于操作失误导致的数据安全问题。建立清单制度，将图书馆数据资料及业务分工详尽罗列出来，使每个岗位上新到的館员都能做到心中有数。服务器只能用于图书馆业务，不得用于其他用途。所安装软件均需通过安全检查或确认无风险，不得使用来路不明、风险未知的软件。

（4）对于已停用的服务系统/服务器以及所属公司已倒闭的系统，应及时对该系统/服务器上的相关数据进行整理、归档。对于同一业务的新旧两个系统，要鼓励新系统兼容旧系统数据，如不兼容，要及时将旧系统数据整理、归档。逐步引入大数据管理办法，将图书馆存量数据标准化，所有系统均使用该标准数据，从根本上杜绝数据差异引起的数据资产流失。

4 总结和展望

传统上来讲，没有绝对的安全，只能在工作中不断提高保护能力，保障数据相对安全。近些年兴起的区块链技术，与传统数据库技术有明显的不同，它通过去中心化的方法保证数据不可修改[3]。今后图书馆也可以从这个角度去考虑数据的安全保护工作。

参考文献：

[1]习近平在中共中央政治局第二次集体学习时强调  审时度势精心谋划超前布局力争主动  实施国家大数据战略加快建设数字中国[J].城市规划通讯，2017（24）：1-2.

[2]马也，吴文灿，麦永浩.从WannaCry勒索病毒事件谈高校网络安全[J].网络安全技术与应用，2018（04）：66-68.

[3]李红艳.基于“区块链”技术的高校图书馆特色数据库管理[J].传播力研究，2019（14）：298.