高校信息系统安全等级保护解决方案_v0.docx

XXX
大学等级保护项目

技术方案

2013年4月

目 录
1 项目概述 1
1.1 项目建设背景 1
1.2 项目建设目标 1
1.3 项目建设内容 1
1.4 项目建设范围 1
1.5 项目建设依据 2
2 信息系统现状与安全需求 3
2.1 信息化建设现状综述 3
2.2 技术体系结构现状 3
2.2.1 物理环境 4
2.2.2 主机层结构 6
2.2.3 网络层结构 7
2.2.4 应用层结构 8
2.3 管理体系结构现状 13
2.3.1 安全管理机构 13
2.3.2 安全管理制度 13
2.3.3 人员安全管理 18
2.3.4 系统运维管理 19
2.4 安全威胁与风险 20
2.4.1 技术层面威胁与风险 20
2.4.2 管理层面威胁与风险 22
2.5 等级保护安全需求 23
2.5.1 系统安全等级划分 23
2.5.2 系统安全等级 23
2.5.3 等级保护基本安全要求 23
2.5.4 信息系统定级情况 24
2.6 安全需求分析 25
2.6.1 技术层面安全需求分析 25
2.6.2 管理层面安全需求分析 28
3 等级保护方案设计 29
3.1 安全方案设计思路 29
3.1.1 构建分域的控制体系 30
3.1.2 构建纵深的防御体系 30
3.1.3 保证一致的安全强度 30
3.1.4 实现集中的安全管理 30
3.2 安全技术方案详细设计 31
3.2.1 确定保护强度 31
3.2.2 安全域划分与隔离 31
3.2.3 本地备份系统 35
3.2.4 网络链路冗余改造 39
3.2.5 PKI基础设施 40
3.2.6 安全审计管理 42
3.2.7 漏洞扫描系统 45
3.2.8 Web防火墙 49
3.2.9 安全管理平台设计 51
3.2.10 安全实施过程管理 52
3.2.11 服务交付物 53
3.3 安全管理方案详细设计 53
3.4 安全运维方案详细设计 58
3.4.1 XXX大学门户网站安全监控 58
3.4.2 应急响应服务 61
3.4.3 安全通告服务 62
3.4.4 网络及安全设备维护 63
3.4.5 系统安全维护 65
3.4.6 网络防护 65
3.4.7 系统加固 66
3.5 协助测评 69
3.5.1 准备资料 69
3.5.2 现场协助 70
3.5.3 服务交付物 70
4 系统集成实施 71
4.1 项目组织及人员安排 71
4.2 系统集成实施 73
4.2.1 安全规划与实施阶段 73
4.2.2 协助测评阶段 75
4.2.3 项目验收 76
4.2.4 工作成果文档 77
4.3 项目实施质量保证 78
4.3.1 概述 78
4.3.2 项目执行人员的质量职责 78
4.3.3 安全审计过程 78
4.3.4 内部反馈过程 79
4.3.5 质量改进过程 79
4.3.6 改进需求检测 79
4.4 风险规避措施 80
4.4.1 模拟环境 80
4.4.2 系统备份 80
4.4.3 系统恢复 81
4.4.4 时间选择 81
4.4.5 过程监控 81
4.5 项目验收 82
4.5.1 验收标准 82
4.5.2 验收流程 82
5 技术支持、售后服务及培训方案 83
5.1 安全运维服务 83
5.2 技术支持与售后服务方案 83
5.2.1 试运行期的技术支持与服务 83
5.2.2 质量保证期内的技术支持与售后服务 84
5.2.3 质量保证期外的技术支持与售后服务 85
5.2.4 跟踪服务 86
5.2.5 工程师资质保障 87
5.3 培训方案 87
5.3.1 培训方法 87
5.3.2 培训内容 87
5.3.3 服务交付物 88
5.3.4 长期培训计划 88

1 项目概述
1.1 项目建设背景
随着我国学校信息化建设的逐步深入，学校教务工作对信息系统依赖的程度越来越高；教育信息化建设中大量的信息资源，成为学校成熟的业务展示和应用平台，在未来的教育信息化规划中占有非常重要的地位。从安全性上分析，高校业务应用和网络系统日益复杂，外部攻击、内部资源滥用、木马和病毒等不安全因素越来越显著，信息化安全是业务应用发展需要关注的核心和重点。
为贯彻落实国家信息安全等级保护制度，规范和指导全国教育信息安全等级保护工作，国家教委教办厅函[2009]80文件发出“关于开展信息系统安全等级保护工作的通知”；教育部教育管理信息中心发布《教育信息系统安全等级保护工作方案》（征求意见稿）；教育部办公厅《印发关于开展教育系统信息安全等级保护工作专项检查的通知》（教办厅函〔2010〕80号）。
1.2 项目建设目标
本次项目建设目标：为贯彻落实国家、教育部信息安全工作部署，完善XXX大学信息系统安全技术防护措施、安全管理制度和安全运维体系，全面建设完整的信息安全防护体系，顺利通过信息系统等级测评，为XXX大学信息化的健康快速发展保驾护航。
1.3 项目建设内容
天融信依据国家信息安全等级保护技术和管理要求，开展信息安全等级保护建设工作，工作的主要内容包括：（1）方案设计；（2）系统集成；（3）维护服务。
1.4 项目建设范围
本方案的设计范围覆盖XXX大学信息系统。
1.5 项目建设依据
为保证整个项目的实施质量和圆满完成本次项目的项目目标，在整个等级保护整改建设项目的设计规划中将遵循以下标准：
Ø 《计算机信息系统安全保护等级划分准则》（GB17859-1999）（基础标准）
Ø 《信息系统安全等级保护基本要求》（GB/T 22239-2008）（基线标准）
Ø 《信息系统安全保护等级定级指南》（GB/T 22240-2008）（辅助标准）
Ø 《信息系统安全等级保护实施指南》 （辅助标准）
Ø 《信息系统安全等级保护测评准则》 （辅助标准）
Ø 《电子政务信息系统安全等级保护实施指南（试行）》
Ø 《信息安全技术 信息系统通用安全技术要求》（GB/T20271-2006）
Ø 《信息安全技术 网络基础安全技术要求》（GB/T20270-2006）
Ø 《信息安全技术 操作系统安全技术要求》（GB/T20272-2006）
Ø 《信息安全技术 数据库管理系统安全技术要求》（GB/T20273-2006）
Ø 《信息安全技术 终端计算机系统安全等级技术要求》（GA/T671）
Ø 《信息系统安全安全管理要求》（GB/T20269）
Ø 《信息系统安全工程管理要求》（GB/T20282）
Ø 《信息安全技术 服务器技术要求》（GB/T21082）
Ø ISO/IEC TR 13335
Ø ISO 17799:2005
Ø ISO 27001:2005
Ø NIST SP-800系列
Ø ISO 20000
Ø CobiT
2 信息系统现状与安全需求
2.1 信息化建设现状综述
1. 随着XXX大学信息化建设的推进，信息化建设初具规模，服务器等主机设备基本到位，大型网络设备、高端路由设备、多种网络和系统管理软件、专业数据备份软件及网络数据安全设备和软件等大都配备完成，运行保障的基础技术手段基本具备；
2. XXX大学网络信息中心技术力量雄厚，在网络工程、数据库建设、系统设计、软件开发、信息安全等多项领域具有较强的实力和丰富的经验。承担信息中心的网络系统管理和应用支持的专业技术人员达20余人；
3. XXX大学随着信息系统的逐步建设，分别针对重要应用系统采用了防火墙、IPS/IDS、防病毒等常规安全防护手段，保障了核心业务系统在一般情况下的正常运行，具备了基本的安全防护能力；
4. XXX大学的日常运行管理比较规范，按照信息基础设施运行操作流程和管理对象的不同，确定了网络系统运行保障管理的角色和岗位，初步建立了问题处理的应急响应机制。
2.2 技术体系结构现状
XXX大学信息系统主要包括六大业务应用系统，网络、认证计费、校园卡、数字XX、网站、邮件系统。
网络是XXX大学各大业务平台的基础核心，是整个校园网的基础，网络上承载着多种校园业务应用，包括认证计费、数字XX、网站、邮件等多种业务应用系统，这些业务应用系统都运行在XXX大学的基础网络环境上。
XXX大学认证计费系统是针对学生上互联网的一种接入认证计费的管理方式，XXX大学对学生上网是按流量进行统计收费的。认证计费系统共4台服务器，两台认证服务器、一台自服服务器，一台流量统计服务器。学生机上网通过802.1X协议进行接入认证，上网流量通过互联网出口交换机的端口镜象功能将上网数据发送到流量统计服务器，学生通过自服务服务器可以查看个人上网流量的使用情况。计费采用流量计费方式，但每月流量与实际费用不成比例。
校园卡属XXX大学专网，主要实现学生校园卡消费管理。校园卡与XXX大学网络有三个物理接口（包括数字XX、认证计费、东区食堂）。专网，与中国银行通过DDN方式互联，没有部署防火墙，数据传输使用加密机进行加密，终端取用IP/MAC绑定的安全机制，网管采用昆特网管系统对交换机、服务器、终端进行监控管理。
数字XX是XXX大学最重要的业务应用系统，系统中存储着重要的教务工作数据、学生考试信息、财务数据等重要数据信息。数字XX有2个应用服务器，2个认证服务器，1个BI服务器，远程通过VPN、桥服务器管理，有IP访问控制机制，服务器是SUN的主机，安装Solaris 10系统，2台Oralcle数据库服务器，2台Weblogic应用服务器，1台对外提供服务的Apache服务器，应用系统采取数据库，应用，服务的三层安全架构模式部署，服务器没有做安全加固，存在Web应用攻击威胁，测试服务器密码被篡改过。
XXX大学网站系统为XXX大学校园的互联网窗口，起到学校对外介绍宣传的功能。目前，XXX大学网站系统共有6台服务器，服务器区域部署了IDS设备实时检测网站的安全动态，系统配置了主机防火墙，一周进行一次本机数据备份，目前密码强度基本符合安全要求，有安全应急预案，但不完善，没有进行过操作演练。
XXX大学邮件系统主要为XXX大学教师与学生提供邮件收发服务，目前邮件系统用户20000多，邮件系统前端部署了IPS进行安全防护，并通过梭子鱼垃圾邮件网关对垃圾邮件进行过滤，邮件数据最终存储到H3C的IP SAN中，邮件服务器目前单机运行，没有做双机热备，邮件系统受到垃圾邮件，病毒邮件的威胁，WEB邮件服务发生过服务中断，系统系统存在过邮件退信攻击与邮件丢失问题，可能由于邮件系统自身脆弱性造成。
2.2.1 物理环境
l 机房：
位于该楼三层，机房总面积约151m2，机房管理没有采取记录进出人员时间、数量和原因等情况，配电间没铺设防静电地板，接入电源为380V/50HZ/200A，无双电互投，在线UPS 40KVA输出1组，冷备UPS 40KVA输出2组，4个APC电池柜，每组32块电池。机房铺设防静电地板，拥有2组HIROSS专用空调保证机房恒温、恒湿，空调无漏水监控报警，机房内配置防漏电保护、视频监控、烟感和利达海鑫柜式灭火、防静电导流排等必须的防护措施。机架线序混乱，没有规范应急灯和温感监控。
机房物理环境
三层机房物理和环境安全
地理位置
XXX大学三层。
电源
电压380V/50HZ/200A，无双电互投，总接入电量为2x70平方
中央空调
HIROSS 空调2组，没有空调漏水监控报警。
外设空调

UPS
UPS在线40KVA输出1组，冷备10KVA输出2组，APC电池柜2组，每组32*12V*100Ah电池。
地板
600*600静电地板，防静电导流排。
防电涌
有防漏电保护，无防浪涌。
机房温湿度
空调显示温度：1组：21.3℃,2组：24.2℃。
气喷
于电源接入区、设备区
应急灯
无规范应急灯
烟感
烟感：XXX大学自己做一套，消防给做了一套。
温感
没有部署温感监控。
视频监控
有3个，分别部署在设备区和电源接入区。
机架
线序混乱、设备没有规范的标签。
灭火器
二套利达海鑫柜式七氟丙烷气体灭火装置(GQQ150/25)，有效喷射面积不明。
机房面积
配电间7*7=49m2，机房17*6=102 m2，
物理环境
储藏间易燃易爆物品随意堆放，物品杂乱。
l 机房：
位于该楼地下一层，机房总面积约472.72 m2，机房管理没有采取记录进出人员时间、数量和原因等情况，配电间没铺设防静电地板，接入电源380V， 双路市电供电保障，在线UPS 120KVA输出2组、带载26~27KVA, 4组电池组，每组32块电池。机房铺设防静电地板，3组650A HIROSS专用空调保证机房恒温、恒湿，空调无漏水监控报警。机房内配置防漏电保护、15个气体喷淋口、烟感、视频监控、红外线报警器、二氧化碳灭火装置、防静电导流排等必须的防护措施。机架线序混乱，没有规范应急灯和温感监控。
机房物理环境
机房物理和环境安全
地理位置
XXX大学地下一层。
电源
电压380V，双市电接入，总接入电量为2x95平方。
中央空调
HIROSS空调3组，650A。
外设空调

UPS
UPS在线120KVA输出2组，UPS带载26~27KVA ，APC电池柜4组，每组32*12V*100Ah电池。。
地板
600*600静电地板，有防静电导流排。
防电涌
有防漏电保护，无防浪涌。
机房温湿度
空调显示温度：1组：22℃，2组：23.7℃，3组：22.2℃。
气喷
15个喷淋头。
应急灯
非规范应急灯。
烟感
4个烟感。
温感
没有温感监控
视频监控
有4个部署在设备区。
机架
线序混乱、设备没有规范的标签。
灭火器
二氧化碳灭火器，有效喷射面积不明。
机房面积
配电间13*10=130m2，机房20.4*16.8=342.72 m2，
物理环境
清洁无杂物。
2.2.2 主机层结构
本次评估范围内的六个业务应用系统涉及41台服务器。数字XX系统使用1台SUN-fire 15K和1台SUN-fire 25K高端服务器作为数字XX核心服务器，每台服务器上划分了5个应用域，2个管理域，应用域与管理域都安装的Solaris 10操作系统，另外，数字XX还包括2台SUN 490服务器,1台桥服务器。
网站系统共有6台Web服务器，部署的OS 有Advance AS EL 4.0、Windows 2003、Red hat 7.3,起到校园对社会公众的文化宣传与介绍功能。
邮件系统有2台服务器，部署的OS 为Red Hat AS 3，邮件系统主要为XXX大学师生提供互联网邮件服务。邮件系统目前有两万多用户，邮件用户包括XXX大学学生与教职员工。
网络评估范围包括2台网管服务器，2台DNS服务器，1台防病毒服务器与1台补订服务器，这些服务器主要用作网络与安全管理。
认证计费系统包括4台服务器，部署的OS 为Windows server 2003,认证计费系统主要针对学生接入互联网进行认证与计费管理。
校园卡系统的评估范围包括5台服务器，其中两台是校园卡核心SUN 880服务器，另外3台为校园卡与数字XX、认证服务器、东区食堂的互联接口服务器。
2.2.3 网络层结构
XXX大学网络结构较为复杂，网络设备较多，互联网出口有三条链路，一条1000M带宽接入中国教育网，一条100M带宽接入网通，一条1000M带宽接入中国教育网IPv6网络，校园网出口核心设备由Cisco 6500系列高端设备组成，并形成冗余架构，保障了互联网接入的可用性。
XXX大学网络中部署了Macfee网络版防病毒系统、Allot带宽管理设备、网康上网行为管理系统、入侵防御系统及重要的网络核心交换机上配备了防火墙模块，这些安全措施分别保护了不同的业务应用系统的安全性，从一定程度上减少了受到网络攻击、病毒传播的可能性，增强了网络、系统服务的安全性和可用性。
XXX大学网络用户庞大，学生用户20000多，整个网络按照教学楼楼层划分了VLAN，XXX大学对学生上互联网的行为实施了802.1x认证计费，计费方式按照学生上互联网的网络流量进行统计计费，通过流量计费的方式有效的降低了XXX大学学生对互联网带宽的长期站用。
网络评估范围包括2台网管服务器，2台DNS服务器，1台防病毒服务器与1台补订服务器，这些服务器主要用作网络与安全管理。
2.2.4 应用层结构
本次评估范围涉及六个应用系统，分别为网络、认证计费、校园卡、数字XX、网站、邮件系统。
XXX大学信息系统承载了众多业务应用。本次信息安全风险评估对象为其中6个最为重要的业务应用系统：网络、认证计费、校园卡、数字XX、网站、邮件系统。
l XX网络
XXX大学网络结构校为复杂，网络设备较多，互联网出口有三条链路，一条1000M带宽接入中国教育网，一条100M带宽接入网通，一条1000M带宽以IPV6协议接入中国教育网。内部网络为星形架构，接入各个教学楼与院系，内部网络主要按照楼层划分了VLAN，同时网络上承载了XXX大学的众多业务应用系统，主要包括认证计费、数字XX、网站、邮件等多种业务应用。
l 认证计费业务
XXX大学认证计费系统是针对学生上互联网的一种接入认证、计费的管理方式，XXX大学对学生上网是按流量进行统计收费的。认证、计费系统共4台服务器，两台认证服务器、一台自服服务器，一台流量统计服务器。学生机上网通过802.1X协议进行接入认证，上网流量通过互联网出口交换机的端口镜象功能将上网数据发送到流量统计服务器，流量统计服务器对数据进行流量统计与分析，学生能过自服务器可以查看自已的每月的上网流量使用情况。

l 校园卡业务
XXX大学校园卡网络属XX专网，主要实现学生校园卡消费管理功能。校园卡与XXX大学网络有三个物理接口（包括数字XX、计费认证、东区食堂），存在数据交换业务。另外校园卡专网还与中国银行、中国工商银行有金融数据交换。此次评估考虑到校园卡专网的实际情况，最终确定评估范围是校园卡网络与XXX大学网络的三处数据交换接口。

l 数字XX
数字XX系统是XXX大学最重要的业务应用系统，系统中存储着重要的教务工作数据、学生考试信息、财务数据等重要数据信息。数字XX系统由两台SUN FIRE 15K/25K高端服务器构成，每台服务器上启用5个服务域，通过交换机VLAN功能实现三层的物理安全应用架构，数据信息通过FC SAN存储到EMC存储池中，管理人员定期对数据进行备份管理，两台服务器的远程管理有两种方式，一是通过接入深信服VPN对服务器进行管理，二是通过远程登录桥服务器在对服务器进行管理。

l 网站系统
XXX大学网站系统为XXX大学校园的互联网窗口，起到学校对外介绍宣传的功能。目前，XXX大学网站系统共有6台服务器，服务器区域部署了IDS设备实时检测网站的安全动态。

l 邮件系统
XXX大学邮件系统主要为XXX大学教师与学生提供邮件收发服务，目前邮件系统用户20000多，邮件系统前端部署了IPS进行安全防护，并通过梭子鱼垃圾邮件网关对垃圾邮件进行过滤，邮件数据最终存储到H3C的IP SAN中。

2.3 管理体系结构现状
2.3.1 安全管理机构
XXX大学网络与教育技术中心成立于上世纪90年代，中心主要承担了XXX大学网络信息化建设与运行维护工作，中心下设7个科室，分别为办公室、网络运行室、信息管理室、用户服务室、多媒体教学服务室、新闻制作室与校园卡管理室7个科室。
目前中心编制共计45人，其中，管理岗位9人（包括中心领导4人，办公室及各级管理人员5人），占总编制20%；技术人员36人，占总编制80%。中心工作由顾涛负责主持，主管网络与教育技术中心具体工作，是本部门面向学校的直接责任人，全面负责中心工作，各科室分别设立不同的岗位职责，并设立科室主任管理员岗位，每个岗位有明确的岗位职责手册。
2.3.2 安全管理制度
XXX大学网络与教育技术中心各个科室的管理制度如下表
l 中心办公室室管理制度

中心办公室 管理制度
三重一大制度实施细则
例会制度
值班制度
工作周报制度
任务单制度
员工培训制度
经费使用管理办法
办公设备与家具管理办法
出差管理办法
项目文件归档管理办法
奖励制度
影像资料管理办法
l 多媒体教学室管理制度
多媒体制作室 管理制度
多媒体教学服务台管理及操作规程
多媒体教学设备使用、管理规定
中控室值机人员作业及交接班管理规程
多媒体教学设备巡检员工作规程
巡检岗故障维修及维护作业管理规定
多媒体教学设备登记、出入库及投影机灯泡使用管理规定
教学服务器密码管理制度
技术档案及原始资料管理规定
教学服务器机房环境管理规定
教学服务器机房维护作业管理规定
多媒体教学设备及教学服务器紧急情况处理预案
l 网络运行室管理制度
网络运行室 管理制度
国家相关法规
中华XXX共和国计算机信息网络国际联网管理暂行规定
中国教育和科研计算机网络管理办法（试行）
中国教育和科研计算机网用户守则
校园基本管理办法（公开）
中国XXX大学校园网管理条例
中国XXX大学校园网接入管理管理办法
服务器接入管理规定
域名管理规定
域名申请和变更表
中国XXX大学接入校园网接入协议（个人）
中国XXX大学校园网入网协议（单位）
中国XXX大学校园网信息安全管理办法
中国XXX大学学生校园网管理办法（宿舍区）
中国XXX大学学生校园网网络收费办法（宿舍区）
中国XXX大学学生校园网管理办法（宿舍区）
中国XXX大学学生校园网网络收费办法（办公区）
中国XXX大学校园网电子邮件管理办法
中国XXX大学校园网IP地址管理办法
中国XXX大学校园网信息服务管理办法
网络运行和服务的内部管理制度
中国XXX大学校园网机房管理制度
中国XXX大学设备间管理制度
网络与教育技术中心用户服务和网络运行管理制度
网络与教育技术中心用户室和运行室岗位职责
网络与教育技术中心网络技术文档管理制度
网络与教育技术中心项目管理办法
测试制度
网络与教育技术中心设备资产管理制度
库房管理办法
电动车使用管理办法
光纤施工和设备安装管理办法
设备及房间命名规则
网络与教育技术中心安全管理规定
网络与教育技术中心网络事件处理规定
网络应急处理职责表
l 校园卡管理室管理制度
校园卡管理室 管理制度
校园卡片文件结构
校园卡绑定银行卡使用规定
校园卡发放和使用管理规定
校园卡管理中心岗位职责
校园卡管理中心网络信息发布管理细则
校园卡管理中心应对灾难性故障的紧急预案
校园卡系统IP地址管理规定
校园卡系统财务结算管理细则
校园卡系统个人生物特征采集和使用管理规定
校园卡系统密钥及PSAM卡片使用管理规定
校园卡系统商户接入管理办法
校园卡系统信息安全保障细则
校园卡系统证照采集和使用管理规定
校园卡管理中心收费管理办法
中国XXX大学校人员编码细则
l 新闻管理室管理制度
新闻制作室 管理制度
工作中既要热情、主动又要认真、及时，决不遗漏重大新闻及有明确要求的新闻摄录
要及时地制作、存档视频资料，并向需要的有关部门提供相应视频资料
尽量不让与工作无关的人员进入机房、办公室等相关工作场所
节假日加班后安排适当时间倒休
磁带保存制度
设备使用制度
l 信息管理室管理制度
信息管理室 管理制度
第一部分 项目管理和建设方面的管理制度
“数字XX”用户培训管理制度
“数字XX”用户登录咨询、密码修改的受理服务管理制度
“数字XX”应用项目需求变更响应管理制度
“数字XX”信息标准版本及变更管理制度
“数字XX”应用项目确认、评审、签字和验收制度
“数字XX”应用项目技术文档规范编写管理制度
“数字XX”文档分类、存储、版本及更新管理制度
“数字XX”登录用户密码和用户信息管理制度
“数字XX”部门信息管理员建立、联络和培训管理制度
VPN资源管理制度
VPN系统运维管理制度
第二部分 系统硬件和系统级软件方面的管理制度
网络与教育技术中心服务器管理制度
网络与教育技术中心服务器运行保障制度
存储系统管理制度
网络教育技术中心系统级口令密码和用户管理制度
硬件设备购买和保管制度
“数字XX”系统事故应急管理办法
数据库管理制度和办法
第三部分 研发方面的管理制度
“数字XX”需求变更响应管理制度
“数字XX”源代码管理规范
“数字XX”系统更新流程管理规范
研发人员操作管理制度
数据信息安全管理制度
“数字XX”平台安全管理制度
“数字XX”文档安全管理规范
知识库维护管理规范
2.3.3 人员安全管理
网络与教育技术中心的人员录用由XXX大学人事处具体管理，中心提出人员需求，人事处负责人员的招聘考核，考核通过后再由中心进行二次考核方可录用，新员工录用不需要签署保密协议。
目前中心人员进多出少，所以没有较为完善的人员离岗流程规范。各科室分别设立不同的岗位，并有明确的岗位职责手册，中心会不定期的组织员工外出参加相关岗位技术培训，但没有科室考核制度。各科室人员结构如表9所示：
网络与教育技术中心各科室主要人员结构
主任

副主任

副总工程师

中心办公室

网络运行室

用户服务室

信息管理室

新闻制作室

多媒体教学服务室

校园卡管理中心

临时人员

2.3.4 系统运维管理
环境管理：XXX大学网络规模庞大，网络资产8000多件，设备100多个，机房管理由专人负责，并建立机房管理制度。
资产管理：XXX大学资产统一由资产设备处管理，网络与教育技术中心负责相关设备、系统的运行维护工作，并保证设备管理落实到人。
介质管理：网络与教育技术中心没有制定介质管理规范，保障U盘等介质使用的安全性。
设备管理：网络与教育技术中心没有完善的设备管理制度与规范，包括设备操作规范，设备维护规范，但重要的信息系统的维护、更新与建设会按严格的项目实施流程进行。
监控与安全管理：网络与教育技术中心没有建设集中的网络监控与安全预警响应平台，目前正处在规划阶段。
网络安全管理：网络运行室没有制定规范性的网络运行管理制度与规范，目前完全依靠工作人员的工作经验进行网络的运维与安全管理。
系统安全管理：重要的信息系统建设、维护与管理会严格依据项目流程建设，会对系统的安全性进行考虑设计，但没有形成规范性的运维管理规范与制度，对安全、规范化的管理，运维考虑不足。
恶意代码防范管理：网络与教育技术中心统一购买了MCAFEE防病毒系统，但没有强制所有终端机必需安装，没有规范化的病毒管理制度与规范。
密码管理：网络与教育技术中心对密码管理有要求，但各科室的密码管理执行力较差。
备份恢复：网络与教育技术中心对重要信息系统的数据备份有管理要求，但没有完善的考核机制，不能考核管理制度的执行力度。
安全事件处理：网络与教育技术中心没有安全事件处理机制与流程，当安全事件发生，完成依据管理人员的工作经验进行临时处理。
2.4 安全威胁与风险
通过前期的风险评估工作，我们对XXX大学信息系统所面临的安全威胁与风险总结如下，分为技术层面威胁与风险、管理层面威胁与风险：
2.4.1 技术层面威胁与风险
序号
类别
威胁与风险
1
基础设施（机房）
和机房无人值守，没有进行记录，机房没有进入申请和审批流程，如果无授权人员进入，则有较大安全隐患；
2
机房配电间没有铺设防静电地板，无法有效防护静电；
3
和机房内空调下漏水检测系统属于被动式的，没有直观有效的监控方式；
4
机房供电系统采用2x70平方的电缆380V、200A电力接入，一组40KVA UPS、冷备10KVA 输出2组、一路市电没有互投设备。出现电力故障XXX大学业务系统将面临全面停止的风险；
5
和机房缺乏主动式漏水检测和温感监控设备，二氧化碳灭火器缺乏维护检查，一旦机房环境发生变化，得不到及时的告警通知，消防措施也不到位；
6
储藏间易燃物品随意堆放，物品杂乱；
7
机房内综合布线混乱，各设备没有明显标签；
8
通信网络
网络设备中弱口令现象较多，虽然有ACL进行网络控制，但是ACL允许的IP地址范围较宽，存在较大的安全隐患；
9
DNS服务器作为所有XX师生都要访问的设备，没有对区域传输的IP地址做限制，简单的命令便可以泄露XXX大学所有的域名记录，方便攻击者对网络架构进行分析；
10
网络没有流量、带宽及行为管理措施，现有流量管理设备及上网行为管理设备没有使用；
11
IP v6监控系统web登陆方式存在弱口令guest/guest，可以被轻易猜出，登陆以后可以直接看到校园网的网络拓扑和流量情况；
12
区域边界
IPS的规则库没有及时升级，导致设备的安全防护效果大打折扣；
13
信息系统边界划分不明确，在边界处缺乏有效访问控制机制，核心交换机上的防火墙模块未启用，如：校园卡与XXX大学网络有互联接口，但安全互联控制策略机制不健全，交换机没有做访问控制策略,没有采用安全隔离网闸或防火墙进行逻辑有效隔离；
14
办公网划分VLAN依据楼层方式划分，无法有效制定访问控制策略；
15
数字XX、邮件系统、门户网站服务器本身的安全防护机制比较缺乏，目前主要是凭借内网地址的逻辑隔离，来实现系统安全；
16
计算环境
数字XX服务器大多开启了telnet、rlogin、rsh、finger等服务，telnet登陆方式的密码容易被嗅探，finger服务暴漏了主机上的用户名列表，使得用户名、口令的安全性大大降低；
17
数字XX桥服务器作为对数字XX进行维护的重要通道，其本身的安全性极差，缺乏补丁更新，开启多个默认共享，反而成为向内网入侵的一个便利通道；
18
认证计费服务器虽然安装了杀毒软件，但由于版本没有更新，杀毒软件本身存在安全漏洞，且存在snmp弱口令，认证计费系统的安全性急剧降低；
19
北塔网管服务器作为网络监控的核心设备，存在snmp弱口令，可以列举出操作系统的用户名、开放的端口、安装的软件、进程列表等，网管平台的安全没得到保证；
20
网站应用系统缺乏安全加固，存在跨站脚本攻击问题；
21
邮件系统没有强制使用https登陆，用户邮箱口令存在被嗅探窃取的风险
22
办公网终端无法进行有效控制和管理，存在更新补丁不及时，病毒软件未强制安装等问题；
23
核心应用缺乏集中统一的身份认证、授权、用户管理、综合审计，无法有效防止非授权用户访问、泄密、越权等行为的发生，事后无法追查；
24
安全运维
缺乏统一的监控审计手段，不能有效监控、审查内部人员操作行为，无法保护内网主机、服务器、网络及数据库安全；
25
缺乏整体的安全运行管理平台，问题发生时，要根据运维管理人员的经验来判定问题的大致范围，不能对事件进行有效监控、预警、分析、关联及追查。
2.4.2 管理层面威胁与风险
序号
类别
威胁与风险
1
安全策略

随着业务应用系统的不断增加，网络结构日益复杂，由于各业务系统建设、运维分散，没有总体规划逐渐不能适应越来越复杂的应用需求。主要表现在缺乏整体安全策略、没有统一规范的安全体系建设标准，安全职责划分不明确，各业务系统的安全防护程度不一、人员没有形成统一的安全意识、缺乏统一的安全操作流程和指导手册；
2
安全制度
安全组织
拥有安全管理员岗位，但安全岗位职能没有很好得到执行，没有对整个业务体系安全进行统一规划和管理。安全管理基本上靠运维管理人员的自我管理，缺乏统一的安全管理体系；
3
系统建设
由于运维、外包等原因，防护体系的建设依赖于各重要业务系统的建设，在今后的防护体系建设和改造中希望将安全防护体系统一考虑；
4
系统运维
对于各分院、系及处室自行建设的信息系统，无法有效安全监管，造成重大安全隐患，极有可能成为攻击跳板；
5
缺少专业性的安全运维服务队伍支撑，业务系统的安全检查和漏洞评估没有周期性执行，各主机的安全程度主要依赖于各管理员个人的安全意识水平，没有形成定期统一的安全检查制度和安全基线要求；
6
各项应急预案即使有也没有很好的贯彻与演练实施，导致一但发生重大安全问题无法快速进行故障的排除和解决，安全隐患较大。

2.5 等级保护安全需求
2.5.1 系统安全等级划分
信息系统的安全保护等级应当根据信息系统在国家安全、经济建设、社会生活中的重要程度，信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素确定。
等级
定义
第一级
息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。
第二级
信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。
第三级
信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。
第四级
信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。
第五级
信息系统受到破坏后，会对国家安全造成特别严重损害。
2.5.2 系统安全等级
通过对系统业务信息安全性和系统服务安全性的分析，依据信息系统受到破坏后，会对公民、法人和其他组织的合法权益，以及对社会秩序、公共利益、国家安全造成的损害程度确定系统的安全等级。
XXX大学信息系统的技术要求应满足安全等级二级和三级的基本要求，管理要求应满足信息系统最高级（三级）要求。
2.5.3 等级保护基本安全要求
不同级别的信息系统应具备不同的安全保护能力，根据GBT 22239-2008《信息安全技术信息系统安全等级保护基本要求》，对安全等级二级和三级的信息系统应具备的基本安全保护能力要求如下：
第二级安全保护能力：应能够防护系统免受来自外部小型组织的、拥有少量资源的威胁源发起的恶意攻击、一般的自然灾难、以及其他相当危害程度的威胁所造成的重要资源损害，能够发现重要的安全漏洞和安全事件，在系统遭到损害后，能够在一段时间内恢复部分功能。
第三级安全保护能力：应能够在统一安全策略下防护系统免受来自外部有组织的团体、拥有较为丰富资源的威胁源发起的恶意攻击、较为严重的自然灾难、以及其他相当危害程度的威胁所造成的主要资源损害，能够发现安全漏洞和安全事件，在系统遭到损害后，能够较快恢复绝大部分功能。
上述对二级和三级的信息系统的基本安全保护能力要求是一种整体和抽象的描述。信息系统所应该具有的基本安全保护能力，将通过体现基本安全保护能力的安全目标的提出，以及实现安全目标的具体技术要求和管理要求的描述得到具体化。
基本要求的各级指标如下图所示：

2.5.4 信息系统定级情况
XXX大学主要业务系统及定级情况，请见下表：
序号
业务系统
概述
1
数字XX
（等保三级）
XXX大学最重要的业务应用系统，系统中存储着重要的教务工作数据、学生考试信息、财务数据等重要数据信息。
2
网站
（等保二级）
网站系统为XXX大学校园的互联网窗口，起到学