时间：2023-10-18 10:15:26
序论：在您撰写高校信息安全运维时，参考他人的优秀作品可以开阔视野，小编为您整理的7篇范文，希望这些建议能够激发您的创作热情，引导您走向新的创作高度。
1现状与问题
1.信息安全现状
随着信息化建设的推进，我校信息化建设初具规模，软硬件设备配备完成，运行保障的基础技术手段基本具备。网络中心技术力量雄厚，承担网络系统管理和应用支持的专业技术人员达20余人;针对重要应用系统采用了防火墙、IPS/IDS、防病毒等常规安全防护手段，保障了核心业务系统在一般情况下的正常运行，具备了基本的安全防护能力|6];日常运行管理规范，按照信息基础设施运行操作流程和管理对象的不同，确定了网络系统运行保障管理的角色和岗位，初步建立了问题处理的应急响应机制。由网络中心进行日常管理的主要有六大业务应用系统，即网络通信平台、认证计费系统、校园一卡通、电子校务系统、网站群、邮件系统。
网络通信平台是大学各大业务平台的基础核心，是整个校园网的基础，其他应用系统都运行在高校的基础网络环境上;认证计费系统是针对用户接入校园网和互联网的一种接入认证计费的管理方式;校园一卡通系统建设在物理专网上，主要实现学生校园卡消费管理，校园卡与大学网络有3个物理接口;电子校务系统是大学最重要的业务应用系统，系统中存储着重要的教务工作数据、学生考试信息、财务数据等重要数据信息;大学主页网站系统为大学校园的互联网窗口起到学校对外介绍宣传的功能;邮件系统主要为大学教师与学生提供邮件收发服务，目前邮件系统注册用1.2面临的主要问题
通过等级保护差距分析和风险评估，目前大学所面临的信息安全风险和主要问题如下：
(1)高校领域没有总体安全标准指引，方向不明确，缺少主线。
(2)对国际国内信息安全法律法规缺乏深刻意识和认识。
(3)信息安全机构不完善，缺乏总体安全方针与策略，职责不够明确。
(4)教职员工和学生数量庞大，管理复杂，人员安全意识相对薄弱，日常安全问题多。
()建设投资和投入有限，运维和管理人员的信息安全专业能力有待提高。
(6)内部管理相对松散，缺乏安全监管及检查机制，无法有效整体管控。
(7)缺乏信息安全总体规划，难以全面提升管理
(8)缺乏监控、预警、响应、恢复的集中运行管理手段，无法提高安全运维能力。
2建设思路
2.1建设原则和工作路线
学校信息安全建设的总体原则是:总体规划、适度防护，分级分域、强化控制，保障核心、提升管理，支撑应用、规范运维。
依据这一总体原则，我们的信息安全体系建设工作以风险评估为起点，以安全体系为核心，通过对安全工作生命周期的理解从风险评估、安全体系规划着手，并以解决方案和策略设计落实安全体系的各个环节，在建设过程中逐步完善安全体系，以安全体系运行维护和管理的过程等全面满足安全工作各个层面的安全需求，最终达到全面、持续、突出重点的安全保障。
2.2体系框架
信息安全体系框架依据《信息安全技术信息系统安全等级保护基本要求》GBT22239-2008、《信息系统等级保护安全建设技术方案设计要求》(征求意见稿)，并吸纳了IATF模型[7]中“深度防护战略，，理论，强调安全策略、安全技术、安全组织和安全运行4个核心原则，重点关注计算环境、区域边界、通信网络等多个层次的安全防护，构建信息系统的安全技术体系和安全管理体系，并通过安全运维服务和itsm[8]集中运维管理(基于IT服务管理标准的最佳实践)，形成了集风险评估、安全加固、安全巡检、统一监控、提前预警、应急响应、系统恢复、安全审计和违规取证于一体的安全运维体系架构(见图2)，从而实现并覆盖了等级保护基本要求中对网络安全、主机安全、应用安全、数据安全和管理安全的防护要求，以满足信息系统全方位的安全保护需求。
(1)安全策略：明确信息安全工作目的、信息安全建设目标、信息安全管理目标等，是信息安全各个方面所应遵守的原则方法和指导性策略。
(2)安全组织：是信息安全体系框架中最重要的
各级组织间的工作职责，覆盖安全管理制度、安全管理机构和人员安全管理3个部分。
(3)安全运行：是信息安全体系框架中最重要的安全管理策略之一，是维持信息系统持续运行的保障制度和规范。主要集中在规范信息系统应用过程和人员的操作执行，该部分以国家等级保护制度为依据，覆盖系统建设管理、系统运维管理2个部分。
(4)安全技术:是从技术角度出发，落实学校组织机构的总体安全策略及管理的具体技术措施的实现，是对各个防护对象进行有效地技术措施保护。安全技术注重信息系统执行的安全控制，针对未授权的访问或误用提供自动保护，发现违背安全策略的行为，并满足应用程序和数据的安全需求。安全技术包含通信网络、计算环境、区域边界和提供整体安全支撑的安全支撑平台。该部分以国家等级保护制度为依据，覆盖物理层、网络层、主机层、应用层和数据层5个部分。
()安全运维:安全运维服务体系架构共分两层，实现人员、技术、流程三者的完美整合，通过基于ITIL[9]的运维管理方法，保障基础设施和生产环境的正常运转，提升业务的可持续性，从而也体现了安全运3重点建设工作
3.1安全渗透测试
2009年4月，学校对38个网站、2个关键系统和6台主机系统进行远程渗透测评。通过测评，全面、完整地了解了当前系统的安全状况，发现了20个高危漏洞，并针对高危漏洞分析了系统所面临的各种风险，根据测评结果发现被测系统存在的安全隐患。渗透测试主要任务包括:收集网站信息、网站威胁分析、脆弱性分析和渗透入侵测评、提升权限测评、获取代码、渗透测评报告。
3.2风险评估和安全加固
2009年5月，依据安全渗透测试结果，对大学的六大信息系统进行了安全测评。根据评估结果得出系统存在的安全问题，并对严重的问题提出相应的风险控制策略。主要工作任务包括:系统调研、方案编写、现场检测、资产分析、威胁分析、脆弱性分析和风险分析。通过风险评估最终得出了威胁的数量和等级，表1、表2为威胁的数量和等级统计。2009年6月和9月，基于风险评估结果，对涉及到的网络设备(4台)和主机设备(14台)进行了安全加固工作。
3.3安全体系规划
根据前期对全校的网络、重要信息系统及管理层面的全面评估和了解整理出符合大学实际的安全需求，并结合实际业务要求，对学校整体信息系统的安全工作进行规划和设计，并通过未来3年的逐步安全建设，满足学校的信息安全目标及国家相关政策和标准学校依据国际国内规范及标准，参考业界的最佳实践ISMS[10](信息安全管理体系)，结合我校目前的实际情况，制定了一套完整、科学、实际的信息安全管理体系，制定并描述了网络与信息安全管理必须遵守的基本原则和要求。
通过信息安全管理体系的建立，使学校的组织结构布局更加合理，人员安全意识也明显提高，从而保证了网络畅通和业务正常运行，提高了IT服务质量。通过制度、流程、标准及规范，加强了日常安全工作执行能力，提高了信息安全保障水平。
4未来展望和下一步工作
4.1安全防护体系
根据网络与信息系统各节点的网络结构、具体的应用以及安全等级的需求，可以考虑使用逻辑隔离技术(VLAN或防火墙技术)将整个学校的网络系统划分为3个层次的安全域：第一层次安全域包括整个学校网络信息系统;第二层次安全域将各应用系统从逻辑上和物理上分别划分;第三层次安全域主要是各应用系统内部根据应用人群的终端分布、部门等划分子网或子系统。
公钥基础设施包括：CA安全区：主要承载CAServer、主从LDAP、数据库、加密机、OCSP等;KMC管理区:主要承载KMCServer、加密机等;RA注册区:主要承载各院所的RA注册服务器，为各院所的师生管理提供数字证书注册服务。
应用安全支撑平台为各信息系统提供应用支撑服务、安全支撑服务以及安全管理策略，使得信息系统建立在一个稳定和高效的应用框架上，封装复杂的业务支撑服务、基础安全服务、管理服务，并平滑支持业务系统的扩展。主要包括:统一身份管理、统一身份认证、统一访问授权、统一审计管理、数据安全引擎、单点登录等功能。
4.2安全运维体系
ITSM集中运维管理解决方案面对学校日益复杂的IT环境，整合以往对各类设备、服务器、终端和业务系统等的分割管理，实现了对IT系统的集中、统一、全面的监控与管理;系统通过融入ITIL等运维管理理念，达到了技术、功能、服务三方面的完全整合，实现了IT服务支持过程的标准化、流程化、规范化，极大地提高了故障应急处理能力，提升了信息部门的管理效率和服务水平。
根据终端安全的需求，系统应建设一套完整的技术平台，以实现由管理员根据管理制度来制定各种详尽的安全管理策略，对网内所有终端计算机上的软硬件资源、以及计算机上的操作行为进行有效管理。实现将以网络为中心的分散管理变为以用户为中心集中策略管理;对终端用户安全接入策略统一管理、终端用户安全策略的强制实施、终端用户安全状态的集中审计;对用户事前身份和安全级别的认证、事中安全状态定期安全检测，内容包括定期的安全风险评估、安全加固、安全应急响应和安全巡检。
4.3安全审计体系
关键词：高校信息化；IT运维外包；风险管理
中图分类号：TP393 文献标志码：A 文章编号：1673-8454（2014）07-0014-03
一、高校信息化建设和IT运维现状
近年来，随着信息技术的飞速发展和日益普及，信息化浪潮给教育带来了革命性影响，推动着教育领域不断创新发展。2010年，我国颁布的《国家中长期教育改革和发展规划纲要（2010-2020年）》提出推动信息技术与高等教育深度融合，创新人才培养模式。高校信息化部门也在为学生和教师提供更高效率的各类信息化服务平台和安全稳定的网络接入环境而努力创新，深刻影响了传统的教学科研和学校的综合管理模式。同时，国家对教育信息化的重视程度和投入在逐年增加，校园信息化建设也得到了高校的普遍重视和重点投入。
我国高校信息化建设经历了二十多年的历史，在网络基础设施硬件建设方面同国外高校拉近了距离，很多学校都达到了同等甚至更高水平。虽然硬件条件上去了，但是很多高校信息化应用水平仍不理想，在信息化服务能力和IT运维管理上差异较大，普遍存在着重硬件轻软件，重建设轻维护，重建设轻服务等现象。部分实力雄厚的理工科学校和综合性大学通过自身的力量可以完成基础的信息化建设和IT运维工作，但是对于大量的普通高等院校，由于受到技术、经费以及人员的限制，完全利用自身的力量来建设和运维比较困难，无法满足广大师生的实际需求。
二、IT运维外包的思路和安全风险
信息技术日新月异，如何管理复杂的、高技术含量的IT基础设施，应对灵活多变的IT服务需求，为学校广大师生提供良好的IT服务支持？如何降低运维成本的同时提高管理水平和效率，并保证服务的质量，提升师生对IT服务的满意度？如何提高运维的灵活性和响应速度，迎接信息化带来的各类挑战，提高学校的核心竞争力？这些问题是所有高校所面临的共同难题，困扰着各校的信息化管理部门，而引入IT运维外包服务正是一种经实践证明比较好的解决思路。通过将IT运维服务外包，高校可以把更多精力投入到教学和科研中去。并且以较低成本提供专业化的IT服务。
目前大部分高校的信息化人员编制十分有限，并且对新进人员的学历要求很高，而从事一般的IT工作并不需要非常高的学历。受待遇和未来发展因素影响，高校信息化部门很难长期留住高水平的IT人才。通过外包服务，由公司选派有相应能力的人员长期协助学校从事相应工作，学校不用担心其待遇及去留等问题，保持了IT运维工作人员的相对稳定。
上海交通大学作为一所“综合性、研究型、国际化”的全国重点大学，校内信息化部门以建设数字大学为目标，为校内五万多师生员工提供各类专业的IT服务。在近十几年的信息化建设和日常网络及应用信息系统运维过程中，大量使用了外包服务，在人员、资金、制度上都进行了相应保障，通过全面的发现及确认外包风险，进行分析、评估，对可能引发的安全风险进行了一系列有益的深入探索和实践，从而有效地控制风险。
三、学生团队参与用户服务外包的风险控制
用户服务管理是IT运维的重要组成部分，上海交通大学从2000年开始，在学生宿舍网的管理过程中，引入了学生团队来为学生宿舍区三万多用户提供接入用户网络服务。学校有关部门提供指导，建立一个以学生自我管理、自我服务为主体的学生网络管理体系，发挥学生网管的作用，调动其积极性来参与网络维护工作，为学生打造一个良好的实践与学习环境。学生网管从作为学生的实际需求出发，帮助信息化部门提高了网络故障的应急响应和处理能力, 做了许多有意义的日常用户服务工作，但学生们毕竟缺少实践经验，平时日常学习和科研活动也占用了很多时间。兼职的网络维护工作如何来提高用户满意度？服务质量和服务能力如何控制？这都需要加强管理和组织学习培训，通过完善的制度建设来降低运维工作中的风险。
面对繁杂的学生寝室楼网络维护工作，建立了一套完善的体系来解决学生们平时遇到的各种网络问题。从宿舍楼内学生网管的工作，到学生网管部办公室客服咨询的解答，再到技术报修组的报修受理以及上门服务，这其中的每一个环节都有严格而具体的要求来规范他们的服务，确保服务质量让学生们满意。当然，维护庞大的校园网络单靠人力是远远不够的，因此学生网管自行开发了一套综合的内部技术支持系统。有了它，学生网管员们不仅可以方便地办理各种基础网络业务，还可以实时查看各个终端用户的网络运行状态，以及交换机端口信息等，及时发现问题并针对性处理。
平时宿舍楼内琐碎的网络问题处理是由楼内的学生网管来完成的，每一位网管员都被要求做到尽全力满足用户正常网络接入需要，热情耐心解答用户的任何疑问，在技术层面上指导用户完成一些基本操作。每位学生网管在闲暇之余都被要求多了解网络技术知识，参加内部培训，掌握常见问题的处理方法，在技术上要让用户信得过。
技术报修组专门负责解决楼内网管处理不了的问题，由网管员中的技术骨干组成。他们接受过专门的技能培训，配置专业的网络维修工具，在办公室值班人员所给予的远程配合下，几乎可以解决大部分学生所碰到的网络问题，如果还不能解决则协调学校网络运维部门进一步处理。同时也要求学生网管在解决问题后把全过程书面化，为以后别人的工作处理提供经验积累。在学生团队中的技术骨干由于长期和学校信息化部门沟通，其能力会得到认可，在毕业后也可以择优直接进入高校的IT运维队伍，更快的进入工作角色。
四、信息系统运维外包的风险管理
高校大量的信息系统都来自于直接采购或者由外包厂商定制化开发完成，完全由自己主导开发的大规模系统已经越来越少。常见的信息系统包括人事系统、科研系统、财务系统、学工系统、教务系统、档案系统、校园一卡通系统、公共数据平台等，不少高校还将校内各院系部门网站交由外包公司设计制作和维护。在这些信息系统的实施完成之后，日常运行过程中不可避免的会出现各种问题，高校IT运维部门可以解决部分维护工作，但是很多专业化程度较高的系统维护工作还是不可避免的要依赖外包协助完成。
虽然很多针对高校 IT 市场的外包服务商在信息系统外包过程中获得了成功，并积累了丰富的高校行业经验，但也暴露出不少的安全风险。不同的外包公司之间技术实力和管理水平参差不齐，厂商技术支持人员稳定性不高是普遍遇到的问题，这就要求高校需慎重选择合作方，签订全面详细的合同进一步加以约束，要求通过严格的岗位培训和业务培训，提高外包技术人员的能力。关键项目实施和后期维护期间，要求外包公司核心技术人员常驻学校，保证项目按要求顺利完工，并稳定运行。前期项目开发和后期运维中遇到的问题，需要提交给研发解决的，要有顺畅的正式渠道提交与反馈，限时解决或改进。在每项子系统投入运行前，完成对使用该系统的校内用户培训工作；建立完整的客户培训体系，为高校提供相关的技术培训和业务培训，并提供相应的培训技术资料。
由于很多外包公司开发的各类信息系统广泛应用在多所高校，一旦某所高校的系统被发现有严重的安全漏洞，那么会迅速波及到其他高校，引发严重的安全事件。在教务系统、学工系统等方面，这类安全事件屡见不鲜，给很多学校都造成了较大损失。在信息系统维护外包过程中，由于项目需要，服务商的技术人员可以轻易地获取学校的各类师生个人信息、财务信息、科研信息等，这些敏感信息如果发生泄漏也会给高校带来重大损失。
高校自身要建立完整且独立的信息安全保障体系，在整个IT运维过程中保护学校的重要信息资产。考虑到大部分高校都缺乏专业信息安全运维人员，使用专业安全公司提供的安全服务也成为必然的选择。同时利用高校自身的信息安全科研优势以及和国内外安全研究机构的密切联系，及时获取最新安全资讯，对外包引发的安全风险实时监控，并快速响应。
五、IT运维监控外包的风险
IT运维监控外包在很多高校广泛使用，但也由此带来了一系列安全风险。外包公司为了追求利润最大化，势必考虑降低成本，这样就给外派到学校工作的人员业务素质和稳定性带来了巨大冲击。频繁变动且能力不足的外包人员给高校IT运维必然带来了可预见的安全运营风险，和高校的固有核心利益产生了冲突。对此高校要进一步完善和外包公司的合同细节，明确保障服务质量和要求服务人员的相对稳定性，并签订专门的SLA（Service Level Agreements）服务水平协议。同时高校自身也要不断提升专业IT运维能力，即便采用了外包，也要建立管理和技术并重的内部团队，自己的人员要具备系统的IT运维管理能力，在程序设计开发、应用信息系统维护、数据库和服务器管理、网络管理和安全运维方面都要培养自身的力量，不断学习新技术，培养创新能力，对外包人员进行有效的监督和管理，仔细倾听来自教师学生的第一线业务需求，不能被外包公司所左右，从而降低安全运维风险。
六、IT运维监控平台外包开发的风险管理
IT运维监控平台对任何一所高校网络管理人员来说都是必不可少的。我们没有采取商业的管理监控解决方案，主要是考虑到当网络和应用发展到一定程度之后，其规模和复杂性决定了很难找到完全符合自身需求的方案。我们最终选择了在开源的Zabbix监控系统基础上，采取外包给专业软件公司的模式进行了大量的定制化开发来满足实际运维需求。通过分布部署Agent采集点主动获取各类监控数据，涵盖了学校数据中心使用的各类操作系统和虚拟化环境，也可以支持各大厂商的网络交换路由设备管理，满足了大规模网络和服务器监控需求。但是这条外包之路也同时存在着种种风险，合作方的选择不当可能会导致项目的无法顺利推进；软件流程设计管理不当也会引发开发周期变长，拖延系统的上线时间；大量不同设备的定制化开发需要投入更多资源，项目的成本控制也会直接影响合作方的开发人员投入力量；软件平台的漏洞会直接影响基础IT运维体系的整体安全性；开发人员的流动性也给整个外包开发的质量控制带来了不确定因素；后期维护服务跟不上也会影响IT运维工作的长期可持续性。
关注到这些安全风险，我们有针对性地采取了一系列措施。选择开源监控软件作为系统底层平台已经适度降低了开发风险，慎重的选择具有资质和经验的合作方来保证项目质量。全过程参与功能需求分析和流程设计来控制整个开发周期的进度，进度过慢时要求合作方增加人力，进度过快时要求合作方保障代码质量。和外包方要建立顺畅的沟通渠道，通过周报、月报和定期沟通交流，掌握对方工作进展，监督管理实际开发进度是否和预期一致，投入是否充分，代码质量是否合格。通过要求规范全过程的技术开发文档，保证了即使发生开发人员变更也可以快速完成新老交接。要求系统留有灵活的开放接口以提供良好的伸缩性和可扩展性，也可以在一定程度上规避兼容性风险。在开发过程中和正式交付时都引入第三方专业安全人员进行安全评估和渗透测试，确保IT运维监控系统自身的安全等级达到一定级别。通过详细的开发合同对项目周期和合作双方人员力量投入和项目进展时间节点进行了严格的约定，并事先就开发完成后的后期维护服务达成一致，保持长久合作关系。
七、结束语
信息安全技术一直在发展，攻防对抗在持续升级，各类安全风险和挑战始终存在，安全IT运维必然是一个长期动态的过程。作为有特长的信息网络安全科研机构和同时给数万师生提供IT专业服务的部门，高校信息化团队可以把实际安全经验和运维外包风险管理工作相结合，加强配套安全监管，从而走出一条具有自己特色的安全IT运维外包之路。
参考文献：
[1]赵灿,杜,杜鹃.高校信息化建设项目外包采购管理的探讨[J].中国教育信息化(高教职教),2011(5).
[2]蒋东兴,宓泳,郭清顺.高校信息化发展现状与政策建议[J].中国教育信息化(高教职教),2009(8).
[3]何秀全.高校信息化中的IT外包及其风险管理研究[D].上海外国语大学 2012年硕士学位论文.
[4]王左利.探讨学生网管模式[J].中国教育网络,2009(3).
关键词:高校信息安全风险保障策略进行研究
现如今，以手机、电脑为主的用户终端在高校校园内早已普及了，并且也融入了学校师生的日常生活。在这样的大背景之下，加强高校信息安全风险的保障策略则显得尤为必要和迫切。尤其是近几年，在互联网带宽大幅提升、大数据建设步伐逐渐加快的形势影响下，高校也开始从“数字化校园”逐步转向为了“智慧校园”的建设与发展模式，以致于传统落后的高校信息安全工作开展受到了强烈的冲击。由此可见，做好高校信息安全风险保障工作，实际也是为了促使高校教育事业得到更好的发展。
一、高校信息安全的基本内容
1.1高校信息安全的基本概念
所谓“高校信息安全”，主要是指保证信息自身、信息处理以及信息利用的安全，进而有效确保院校信息的完整性、机密性、可用性。”通常，高校信息安全内容主要包括三个方面：院校网络设备的安全;系统运行的安全，比如：信息系统不被损坏；流通数据安全，例如，院校网络内流通的数据不被盗用等。在信息时代环境的影响之下，影响各大高校信息安全的因素也开始变得越来越多，常见就有：黑客、病毒等非法侵入系统，曾一度使得院校公共信息、重要的科研资料信息等被窃取和泄露。鉴于此，做好保障高校信息安全工作就显得十分重要，而只有深入分析高校信息安全存在的实际风险，才能采取更加具有针对性的保障策略。
1.2高校信息安全背景
目前，我国高校信息安全工作开展还依旧处于参差不齐的水平状态下，尤其是:经费来源、重视程度、人员素质等内容，更是对实现高校信息的安全造成了巨大的制约。对于那些发展较好的高校而言，它们的信息安全保障工作也是做的相当到位，甚至是超过了211、985等公办高校。然而对于发展相关落后的民办高校来说，其信息安全风险依旧存在，而且数据信息孤岛的现象也比比皆是，这实际上也反映出了高校信息安全工作开展的迫切性，与此同时，也意味着高校信息安全风险保障工作开展还要经历很长的历程。
二、目前高校所存在的信息安全风险
2.1缺乏集中统一的规划
高校信息安全风险的种类有很多，其中校园网建设与发展就是其中一个重要的组成部分，比较明显的缺陷则在于缺乏集中统一的规划、缺乏完整科学论证体系、缺乏合适的运维管理模式，以及存在“数据信息孤岛”等现象。由于校园网建设投入大，建设周期较长，利益产出比也不明显，因此使得一些民办高校在有限投入资金的前提下，会优先考虑教学条件、实习实训基地、学生住宿等方面的支出，这样就可以将校园网建设放在“能使用就尽量不投入”的发展思路之中，同时也促使学校校园网建设变成了简单的设备和平台采购，进而在一定程度上减少了民办高校校园网建设的成本。但是，这样的办学理念却间接地加大了高校所面临的信息安全风险。
2.2缺乏完整的科学论证体系
高校在信息安全管理上之所以会存在科学论证体系不完善的问题，实际上也是因为院校以及相关负责人对于信息安全重视性程度不够，进而缺少必要的防护措施。主要表现为三点:一是作为院校信息安全的工作管理人员，他们难以体会到信息安全对高校所产生的重要影响，因此使得他们工作中的安全意识普遍不强。与此同时，相关信息安全工作人员由于不主动接受相应的信息安全培训教育，从而导致他们防病毒以及防黑客的意识都不强，一旦遇到外界的恶意攻击，必将给高校带来重大的损失。二是作为使用院校网络信息的相关人员，他们在使用过程中也是极度缺乏信息安全的保护意识。尤其是一些高校学生，在日常生活和学习中，网络的使用早已变得愈加频繁，但是他们却潜意识认为保障信息安全只是学校的事，完全与自己无关。正是由于他们缺乏这种信息安全的意识，进而导致其在使用信息的过程中，很可能无意泄露重要的校内信息，并使黑客、病毒等软件有机可趁。三是对信息安全风险漏洞修复，检查不及时。比如：由于技术人员的疏忽，或者是软件使用的时间太久，从而导致一些防护信息安全的软件出现了各类的缺陷，加上相关的信息安全管理人员没有及时对这些问题软件进行下载和重新安装，最终也就导致安全风险保障工作难以做到位。
2.3缺乏专业的信息安全保障技术人员
高校虽然很重视信息安全保障工作的开展，但是对于那些民办高校而言，由于其性质决定了它在办学过程中会过于追求经济利益，因此，相关负责人也会把更多的注意力集中于专业设置和学生专业学习等方面，自然也就忽视了高校信息安全工作的开展。以校园网建设、运维管理为例，则间接导致相关管理人员的缺乏，并且他们还不具备有较强的专业能力，长此以往，则使得高校校园网的建设与发展难以形成一个科学的体系，这也将直接阻碍高校校园网的建设与发展。比如：一些民办高校的办学条件等资源同公办院校相比都存在巨大的差距，除了没有人事编制、管理机构以外，还极度缺乏相关的信息安全保障技术人员。很多民办高校为了节约人员成本，甚至还由其他的教育行政人员兼任技术人员，正因为如此，才使得校园网的建设、运维管理人员的数量等方面与公办院校存在巨大的差异。与此同时，部分技术人员由于薪资待遇等问题，从而使得他们难以认清楚自身所肩负的职责和使命，当某些信息安全风险急需要被解决的时候，他们常常不知所措；而没有风险存在的时候，也不主动对信息安全风险问题进行排查。而其实这都体现出了高校负责人对于信息安全问题的不重视。
2.4缺乏严格的制度管理
我国很多高校在关于信息化建设、运维管理、方案论证、设备采购、后期服务等方面的制度，几乎是一片空白或者是有章不循，这不仅容易导致信息安全风险的出现，还使得整个信息安全保障工作难以落到实处。其实，这也反映出高校各部门，各院系在信息安全保障上各自为战，从而也才使得类似校园网建设与发展等信息化工作的进度缓慢。其实，这都归根于高校信息安全管理制度还不够完善，同时高校负责人对信息管理部门的监管也比较松懈，虽然在教育部门的要求下建有总体规章制度，但整体而言，还是缺乏明确的管理机制，最终导致监管机构形同虚设，相关人员更是无法真正履行应负的职责。除此之外，高校在应对突发校园信息安全问题的时候，也缺乏明显的应急处置机制，往往也是因为问题没有得到及时的处理和解决，而给高校其余教学工作的开展造成了重要的影响。总而言之，尽管各高校目前的信息化建设非常迅速，但是绝大多数院校在信息安全的监管上还依旧存在较为严重的漏洞。
三、关于高校信息安全风险的有效保障策略
3.1加强对高校信息安全风险保障的重视程度
高校管理者对信息安全风险的认知度和重视度是决定高校信息化建设发展成败的关键。因此，必须要从多方面做好相应的信息安全风险保障工作。首先是高校信息安全保障工作开展必须上升到管理层，而且还要由学校领导参与其中，并对相关建设和发展问题进行协调把关，从而才能为方案论证、项目实施、资金、人员、部门协调提供有力的组织保障。同时，利用上层管理者的公关能力加强与公办院校、专业IT公司、运营商的合作也显得尤为必要，因为只有加大信息资源的整合和共享，再借助大数据等相关资源，才能为后期预防信息安全风险获得更多的资金保障。其次是不断强化师生对于信息安全风险保障工作开展的认识。例如：院校可以不定期组织学校负责信息安全管理的工作人员同师生们一起学习网络安全管理制度，主要内容可以包括：计算机信息网络国际互联网安全保护管理办法；信息审核、登记制度等国内外信息安全法律法规的培训教育。借此机会，也可以向广大师生普及信息安全知识，进而提升他们的信息安全保密意识，并共同努力营造出维护院校信息安全的良好氛围。除此之外，在师生中开展信息安全技术教育培训工作也十分必要，比如：举办计算机技能培训;开展网络维护技能培训活动等。总之，通过这样的形式，师生们则能有效掌握网络防御技能，并且也能提升防范信息安全风险的能力。
3.2加强信息安全风险保障工作的发展研究
随着我国《国家中长期教育改革和发展规划纲要（2010-2020年）》的颁布，作为高校负责人，更应根据学校自身发展特色，积极研究本校的信息安全风险保障工作的开展，为了取得良好的效果，除了转变现有管理体制，还要积极建立适合自身发展的规章制度，并在一定程度上加强信息化、校园网建设在内的基础设施建设、应用环境建设、网络安全保障等等。比如：完善校园网络信息安全管理中心。即根据“预防为主，防患未然”和技术防范相结合的准则，对院校的信息安全管理采取“三级联动”的管理机制。所谓“三级联动”，主要是分为三个步骤，第一层则是由学校领导进行决策和监管；第二层则是由学校中层干部实施管理；而第三层则由学校一线操作工作人员负责具体执行。因此也就意味着，高校建立的“三级联动”信息安全管理机制后，则可以专门成立管理学校信息安全的信息管理中心，有条件的高校还可以配备一定数量的专业技术人员，这样就能促使信息安全风险保障工作得到层层落实。总之，通过这样的方式，才能彰显出制度改革对于学校自身发展的重要性，进而更能调动各部门积极参与信息化建设，并共同推进信息化、校园网的持续发展。
3.3加强信息安全风险保障技术人才队伍建设
由于高校信息安全风险保障工作开展是一个长期的、持续性的过程，因此要注重人才培养、引进建设。根据相关数据分析结果可知，我国信息安全方面的人才缺口极大，特别是业务技术精湛，专业性强的技术人员更是极度欠缺。因此，高校应根据其政策灵活的特色，建立人才培养和引进的长效建设机制，同时还要加大培养学校内部业务和管理的骨干，这样才能从根本上提高信息安全风险保障技术人才队伍的建设。除此之外，高校还可以在“以情动人、以信待人、以德服人、以诚感人”方面下工夫，因为这样可以用浓厚的文化氛围感染人、用良好的工作环境吸引人、用适当的待遇留住人，由此可见，稳定人才队伍，并逐步建立一支专业结构合理、整体素质基本适应学校信息安全风险保障工作的人才队伍，才能促使高校信息化建设工作的发展。
3.4加大各项资源设备的支持力度
一直以来，资金问题都是困扰高校信息一个“瓶颈”，尤其是对于一些民办高校而言，它们的办学经费很少能得到政府的补贴，以致于资金获取方式还是以自筹为主。为了促使信息安全风险保障工作的顺利开展，作为高校负责人，就应该在信息化和校园网建设等过程中严格评估和控制资金投入的效果，在条件允许的情况下，还可以通过校企合作的形式获得相关企业的资金支持。除此之外，建立健全完善的高校网络病毒防御体系也十分必要。比如：装载正规出版且得到了权威认证的杀毒软件，这样就可以和放心的将其运用到校园网内的网络信息管理中心网页，不仅能够方便广大师生免费下载安装，还能够通过杀毒软件的定期更新，及时帮助师生扫描杀毒和修复可能存在的安全漏洞。为了使得网络病毒防御体系的建设真正落到实处，为此还可以开设留言专栏，而这就能及时收集到学生和教职工所反映的问题，进而确保院校内电脑的安全运转。当然，周密制订防火墙防范对策也是相当的重要。例如，严格把关好操做系统的端口配置，并坚持该开放的开放，不许开放的则坚决关闭的原则。至于那些需对外开放的网络服务，则应当将需要开放的服务器端口开放，不需要的端口就坚决关闭。总之，只有各项资源设备变得完善，才能够为高校信息安全风险保障工作的开展提供支持和保障。
四、结语
随着社会的发展和进步，高校也早已进入到了网络环境下的“数字化”时代，在这样的环境影响下，以校园网为代表的信息化工程建设与发展也成为必然，相应的也给高校带来了信息安全风险。所以，如何才能确保高校信息安全保障工作落到实处，并促进民办高校教学事业的发展，成为了一个需要深入思考的问题。本文对此浅析，也是希望能为高校提供更多的借鉴意义和价值，进而有效推动高校信息化建设工作的发展。
参考文献:
[1]吴旭东，柳炳祥校园网网络规划的设计与实现[J]电脑开发与应用2011.02
[2]韩宁浅议高校校园网建设与管理[J]科技创业月刊2011.09
[3]汪莹，朱齐媛关于高校校园网信息安全的现状与对策[J]重庆工学院学报(自然科学版)2008.06
[4]姜少军,卢金海高校信息安全保障体系分析[J]青岛远洋船员学院学报2005.09
关键词：信息安全；IT治理；智慧校园；等级保护；信息服
中图分类号：TP393 文献标志码：A 文章编号：1673-8454（2017）01-0040-05
一、引言
随着网络和信息技术不断应用到社会生活的各个方面，信息服务成为支撑高校教学、科研、管理、服务等职能开展的基础手段。随着高校信息化建设从数字校园建设向智慧校园建设过渡，高校信息服务也从以网站为主向网站与移动应用相结合转变，规划、建设和运行维护的高校IT环境也更加繁杂；在“互联网+”背景下高校信息化建设从“自主”建设为主向“开放与自主”相结合转变[1]，提升高校IT环境管控水平的需求也更加迫切；而网络信息安全领域面临的严峻形势，国家推进信息系统等级保护建设，也对高校IT环境管控能力提出更高要求。如何在信息安全管控要求下，不断提高高校信息服务的管理水平已成为信息化建设的关注点之一。
本文在总结智慧校园建设下IT治理思想的基础上，梳理和分析智慧校园建设下信息服务安全管控需求，提出面向信息安全管控的高校IT治理支持平台的建设理念，采用支持移动多终端访问的开发技术和组件化信息系统集成技术，分析、设计和实现面向高校信息安全等级保护工作开展的IT治理支持平台的实际应用系统，最后结合平台实现和运行状况及IT治理发展前景，提出平台下阶段完善和拓展方向。
二、智慧校园建设下IT治理思想
随着校园网络建设和信息应用建设逐步推进，高校信息化建设已经从最初以校园网络和数据中心等硬件为主的建设阶段，过渡到以数字化校园等软件为主的建设阶段；2015年我国政府工作报告中从国家层面提出“互联网+”概念以来，高校信息化建设领域也从传统的以“构建虚拟校园”为特征的数字校园建设向以“移动互联、智能感知与物联网、大数据分析与决策支持”为特征的智慧校园建设过渡[2]。图1所示是目前主流的关于智慧校园系统层次逻辑的描述。
在“互联网+”背景下，智慧校园建设模式也逐步摆脱数字校园建设阶段以学校“自主”建设模式为主的状况，从自身发展的实际需要出发，以提升学校IT资源利用效率为主要目的，采取“开放与自主”相结合的建设模式，通过“开放”充分利用信息行业各类服务和调动校内外各方建设热情，通过“自主”牢牢掌握关系学校核心利益和师生各类需求的数据、流程和安全管控，营造关注学校核心职能和师生实际需求的“合作开放、利益共享”的信息化建设生态圈[1]。图2所示是“开放与自主”相结合高校信息化建设模式的逻辑结构。
智慧校园建设过程中，随着服务外包的采用和社会服务的集成，如何高效管理学校相关的各类IT资源成为制约数字校园建设向智慧校园建设的一个重要因素，很多高校在数字校园阶段也没有很好解决IT资源管控问题，造成IT资源浪费、数据准确度差、项目实施风险高等问题。通过IT治理（IT Government）将IT战略和高校发展战略有机结合，将学校信息技术资源转换成优势资源，对信息化相关的决策、激励、控制紧密协调，整合学校相关IT资源应用的全过程，整体提升学校IT政策、组织、服务与资源的管控水平，成为保障智慧校园建设顺利开展的有力举措[3]。
IT治理的思想来源于Brown在20世纪90年代中期提出的信息系统治理（IS Governance）的概念[4]。IT治理是描述组织是否采用有效机制，使得IT应用能够完成组织赋予的使命并平衡信息化过程中的风险，确保组织战略目标实现的过程，解决“做什么决策？谁来决策？怎么来决策？如何监督和评价决策？”[5]。IT治理的使命包括：保持IT与组织目标一致，推动组织业务发展，促使收益最大化，合理利用IT资源，适当管控与IT相关风险[6]。
信息化建设程度高的美国研究型高校很早就接纳和推行IT治理思想，多采用联邦式的IT治理模式，对学校信息化建设相关的决策、激励和控制形成有效机制，在设置专职的首席信息官（CIO，Chief Information Officer）的基础上，建设服务全校的信息技术服务（ITS，Information Technology Service）部门支持高校研究和教育、跨地域和跨机构的合作和协作、服务学习者和推动IT技术传播[7]。我国高校信息化领域在2010年前后逐步关注IT治理思想[8]，之前对于在高校设置专职CIO的呼声也一直持续到现在，但是真正的对学校整体信息化治理水平提升的影响十分有限。也因此在高校信息化建设过程中以管理推动的信息化建设模式只有少数信息化领先高校才得以实施，而部分高校通过技术推动的信息化建设模式逐步向管理推动靠拢[1]；而随着“互联网+”背景下各类社交化应用不断渗入高校职能的各个方面，真正实现以师生实际需求来推动的信息化建设模式也有了实际案例。
信息化组织体系与决策机制、信息化发展与项目规划、项目实施与过程控制等三大核心要素是推动高校信息化建设的三大核心要素[9]，也是智慧校园建设下IT治理主要关注的三个方面，在政策制度、组织架构建设的基础上，对于高校IT资源情况感知、监测与管理，对于高校IT项目全生命周期管控等都是需要相关的支持平台来完成。
三、智慧校园建设下信息服务安全管控需求
高校信息化建设作为高校教学、科研、管理和服务等职能的网络和信息技术基础，智慧校园建设过程中以用户为中心的个性化信息服务是重要组成部分。为支撑智慧校园服务发挥作用，服务层、数据层、环境层和通讯层涉及多个建设方和运维方，实际运行中的包括电子邮件、外网访问等网络基础服务、网站群、门户系统、身份认证、业务系统、移动应用后端支撑系统等各类信息化应用系统，交换机、路由器、服务器、存储、负载均衡等各类IT硬件设备，统一的系统运维管理是智慧校园建设顺利开展的基本保障。
随着网络和信息基础设施成为国家和社会发展新的重要战略资源，以及我国在IT相关领域缺少核心技术支撑的现状，促使在网络信息安全领域要投入更多管理措施。虽然之前对于网络信息安全保障都当作是信息化建设架构中的重要组成部分，但是实际建设和运维过程中却关注很少，或者常为功能实现而牺牲安全水平，缺乏统一的安全政策制定与执行、安全事件无法及时发现定位和应急处置；在实际的信息系统等级保护工作推进过程中，也暴露出信息系统管理水平低、定级备案整改落实不力、等级测评脱离提高安全管控能力实际等问题。随着国家通过推进信息系统等级保护建设以提高国家整体信息安全水平的工作不断推进，对高校IT环境管控能力提出更高要求。以安全管理制度、应急响应制度等软环境和以防火墙、VPN、堡垒机、IDS/IPS、应用防火墙等各类安全设备硬环境组成的统一的信息安全管控也成为智慧校园建设顺利开展的基本保障。因此，基于等级保护要求，智慧校园建设中对信息服务安全管控提出如下需求：
1）信息服务安全管控应该以全面掌握各类IT资源基本情况、配置变动、状态监控等为基础实施。
2）信息服务安全管控应该贯穿智慧校园建设的规划、设计、实施、运维等各个阶段，并在组织、战略、架构、基础设施、业务需求、投资等各方面充分被考虑，实现安全管控的全过程参与。
3）信息服务安全管控应该充分考虑国家信息系统等级保护要求，对信息系统的定级、备案、测评、整改等提供全生命周期管理。
4）图形化、集中化的对信息服务安全管控态势相关的各个支撑环节进行展示和分析，在充分获取各类安全日志、威胁情报的基础上，分析和定期实现安全评估报告和态势分析，并对发现的不足方面及时完善和加强监控。
5）信息服务的状态监控、安全信息的获取与分析等都要充分实现自动化、智能化管理，减少人工操作工作量份额，以实现全天候状态监控和安全响应的要求，并通过各类事件分析与告知机制实现信息及时交互与分享，提高整体安全防控水平。
在对高校整体IT资源环境进行管控的基础上，智慧校园中信息服务安全管控将在组织和制度建设的基础上，通过集中实时获取、维护、管理、分析信息服务相关的各类信息，将各类智慧校园建设利益关联方整合在统一的IT治理支持平台上，实现决策、激励和控制相关信息的充分共享，不断推动高校信息化决策实施和项目实现，支撑高校新形势下的人才培养和教学科研的战略转型。
四、面向信息安全管控的高校IT治理支持平台的实现与应用
高校IT治理支持平台是根据实际采纳的IT治理框架，实现全过程的信息服务支撑。目前国内外主流IT治理框架包括ITIL（IT Infrastructure Library，信息技术基础架构库）框架、COBIT（Control Objectives for Information and Related Technologic，信息通用审计标准）框架、PRINCE2（Project in Controlled Environment2，受控环境下的项目管理）框架等[10]，各有侧重点和优势领域，其中ITIL重点关注IT过程管理，对整个IT治理流程和信息进行完整的实现和管控，特别强调对组织的IT服务支持和IT项目交付，很契合支撑高校各自特色发展目标的信息化建设的治理需求。
ITIL是由英国政府商务办公室（The Office of Government Commerce，OGC）为解决“IT服务质量差”的问题提出和逐步完善的一套被广泛承认的用于IT服务管理的实践准则。ITIL以流程为导向、以用户为中心，通过整合IT服务与组织业务，提高组织的IT服务提供、运营和管理的能力，详细指明了IT管理流程应当如何构建和落实，操作性和指导性优良[11]。
ITIL主体框架包括服务管理、业务管理、基础设施管理、应用管理、IT服务管理实施规划、安全管理等模块，以服务管理模块为核心，面向IT基础设施管理提供支持，面向业务管理提供服务。其中，IT服务支持关注基础设施的日常服务支持，确保IT服务的稳定性与适应性，通常包括一个服务机构（服务台）和五个管理流程（配置管理、事件管理、问题管理、变更管理和管理）；IT服务提供承担为业务用户提供高质量、低成本的IT服务，与IT服务能力评估有直接关联，与组织阶段规划和持续评估相关，通常包括服务级别管理、可用性管理、能力管理、IT服务可持续管理和IT服务财务管理。
面向信息安全管控的高校IT治理支持平台，就是在基本的ITIL IT治理主体框架和流程基础上，结合高校信息化建设特点和智慧校园建设要求，对业务和基础设施的描述和监测进行数据化，并进一步明确和细化安全管理，在服务台中增加安全服务职能，根据信息系统等级保护具体要求增加专门的安全管理流程，与事件管理、问题管理等流程形成完整的支持信息安全管控的治理结构，具体主要流程结构参见图6。
1.业务和基础设施描述与监测数据化
智慧校园建设中，业务和基础设施的描述都要与具体的建设和运维相关，并在业务与基础设施间建立起有效的可监测的关联。
业务可以看作是面向具体用户方的服务，而基础设施也是提供自己能力的服务。通过将业务和基础设施都看成是基础服务，来对其进行描述与监测，并实现集中的监测与展示。
1）服务相关的具体组成部分的逻辑定义，从具体相关用户角度进行，建立对象、内容项、数据项、元数据的层次结构供IT治理支持平台建模和对象监测使用；
2）服障喙氐挠没描述，根据用户类型和服务功能对用户角色进行分析和归纳，智慧校园建设相关的用户角色通常包括普通用户（注册用户、校友、教师、学生等）、管理人员、系统管理人员、运维人员、外包人员等；
3）服务根据相关对象组成的流程进行组织，如，某台交换设备和教务课表查询功能、成绩查询功能、校园网网费查询功能都成为一个可识别的服务[12]。
2.安全管理细化与服务台增加安全服务职能
智慧校园建设中，安全管理是基本的保障机制，不仅仅是安全环境监测、安全设备管理、安全漏洞发现、安全事件处置，还包括等级保护合规、数据安全管理、安全态势感知等功能，在IT治理后台知识库中也要专门为安全建立专门结构，并与第三方安全服务厂商紧密服务获取漏洞信息和安全态势。在IT治理框架中服务台也需要有针对性的增加具体的安全服务职能，该服务即是面向业务部门提供安全建议，也是面向信息部门提供安全预警，并接受安全管控职能部门的来访和反馈。
3.根据信息系统等级保护要求增加安全管理流程
信息系统等级保护建设已经是智慧校园建设中不能回避的IT治理内容，也是推进高校IT治理水平的一个抓手和动力。安全管理流程需要在原有的配置管理、变更管理、管理等信息服务系统信息管理流程的基础上，根据国家信息安全等级保护相关管理办法和标准指南，实现对信息系统等级保护相关动作的全过程管理，实现对信息系统的立项、定级、备案、上线、测评、整改、变更、撤销等的管理，集中管理和呈现组织信息系统数据，并提供对等级保护指定动作的主动告知和预先准备，提高整体安全管理合规程序的执行效率和自动化水平，并提供第三方测评机构、人员、活动的信息支持和可控共享。
面向信息安全管控的IT治理支持平台的建设理念是来源于校园信息服务日常运维和安全管控的实际经验，主要是为学校IT治理体系和工作推进提供基础数据和信息服务，并面向信息系统等级保护工作开展提供面向信息安全管控的专项提升功能，促进IT治理能力和信息安全管控能力的不断提升。该平台的IT服务支持侧的系统架构图参见图7所示。
东北大学拥有高专业素养和技术水平的网络和信息技术实施与运维团队，长期自动自发的通过网络和信息技术推动学校数字校园乃至智慧校园建设，分阶段分层次的实现学校各类用户的信息服务水平[13]，形成可持续发展的信息化建设氛围，推动信息化建设管理部门组建和顶层设计推动。
现阶段，东北大学在信息系统等级保护工作推进下，实现对校内相关的IT资源的全面调研、排查和系统管理，并通过在原有的面向用户的智慧校园信息服务集中监测平台的基础上，结合ITIL IT治理思想设计和实现了面向信息安全管控的IT治理支持平台。该平台采取数据层面的统一逻辑化和抽象化，通过插件化设计为系统提供预先定义的各类对象模板、流程模板等，系统访问界面采用基于Boostrap框架的响应式界面技术设计和实现，基本实现在桌面电脑操作系统、移动手机、平板电脑等终端上提供相对统一的用户体验，数据交换参考REST（Representational State Transfer，表述性状态传递）实现。通过该平台的建设和应用，学校整体IT资源情况得到集中统一的获取、维护、监测和统计分析，为学校推进IT治理思想提供了前期的信息技术手段，同时也满足现阶段信息系统等级保护对信息系统的基本信息、定级备案、整改测评等相关信息的集中管理，对及时发现与处置漏洞和安全事件提供了基础数据支撑，明显提升学校信息安全管控水平。
五、总结与展望
面向信息安全管控的高校IT治理平台是在总结智慧校园建设下IT治理思想基础上，结合等级保护管理要求，在ITIL IT治理框架基础上，提出和设计的IT治理建设信息支持手段，为高校智慧校园建设提供高水平的合规的信息安全管控能力，对于提升安全管控与信息服务全生命周期管理建立良好的信息共享和交互。
该平台主要完善信息安全管控方面功能，是对现有IT治理支持平台的有益补充，特别是对于提ITIL中服务台功能完善是对高校实现信息安全整体管控的有益推动；接下来，可以进一步吸取其他主流IT治理架构优点，结合高校智慧校园建设的社会化、服务化、用户体验中心为主等特点进一步完善IT治理支持平台，如通过可视化的地理信息系统技术实现对IT资源的实时监控与展示，还可以集成校内部门IT能力绩效评估等功能促进高校智慧校园建设不断向深层次推进。
参考文献：
[1]王宇，吴炜鑫，王兴伟.“互联网+”下高校信息化建设模式的探索与研究[C].第四届中国互联网学术年会（ICoC 2015）论文集，2015：235-241.
[2]蒋东兴，付小龙，袁芳，吴海燕，刘启新.大数据背景下的高校智慧校园建设探讨[J].华东师范大学学报（自然科学版），2015（S1）：119-125+131.
[3]刘晓文，胡克瑾.美国高校IT治理的现状与启示[J].中国教育信息化，2008（13）：20-22.
[4]Carol V. Brown. Examining the Emergence of Hybrid IS Governance Solutions： Evidence From a Single Case Study[J]. Information Systems Research， March 1997， 8（1）：69-94.
[5]丁天翔.IT治理与我国高校信息化建设[J].中国工程科学，2011，13（1）：109-112.
[6]彼得.维尔，珍妮.W.罗斯.杨波，译.IT治理：一流绩效企业的IT治理之道[M].北京：商务印书馆， 2005.
[7]杜荩朱悦月，付小龙，蒋东兴.美国研究型高校IT治理结构研究[J].中国教育信息化，2012（1）：9-11.
[8]李林，王贺松.校园IT治理框架研究[J].中国教育信息化，2010（9）：4-6.
[9]赵亚萍，贾春燕，程艳旗，鲁东明.美国高校信息化推进机制分析及其启示[J].中国教育信息化，2011（1）：20-23.
[10]孟秀转，于秀艳，郝晓玲，孙强，等.IT治理：标准、框架与案例分析[M].北京：清华大学出版社，2012.
[11]李萍，郭玉娇.高校IT资源管理服务平台探究[J].实验技术与管理，2011，28（6）：138-141.
安全运维管理专业人才的匮乏。首先是安全运维管理人员数量上的相对不足。虽然近年来很多高校已经设立了信息安全专业，但依然无法满足市面上对信息安全专业人才的大量需求；其次，各自的专业技术水平参差不齐。试想一个不十分“专业”的安全运维人员在数千条的海量告警信息中如何对漏报与误报做出迅速而准确的判断?又怎样令复杂的信息安全保障制度落到实处?以往信息安全专人专职被过分强调，大部分行业用户只配备少量技术人员负责相关工作，很难有效实现先进管理。
信息安全风险管理与事件监控缺少信息化手段。近年来，大量的安全标准的实施和推广意味着更多的技术细节工作需要落实；网络规模不断壮大，IT系统由不同品牌的产品和越来越多的子系统组成，多个管理员分散管理，各自为政；关键行业24小时运行的系统缺少24小时有效的持续监控……以上种种皆令信息安全运维管理面临着前所未有的巨大挑战，技术和人之间的缺口越来越大。
必须要“面对”的内部隐患。目前很多安全威胁的最终来源并不是来自黑客或是我们通常意义上的外部入侵者，而是源于企业内部形形的违规操作，这些内部隐患问题的出现也令信息安全管理面临很大挑战。在大部分IT系统中，交叉管理、一台服务器多人拥有权限使用同一个账号登陆管理的现象非常普遍。未经测试和公告进行配置更改，往往给系统埋下不稳定因素。而由于系统的复杂性和管理人员无暇顾及往往大部分配置变更没有有效记录，这些变更显然也不能依靠变更人员主动自觉的上报来实现。传统的运维管理产品缺少监控手段，仅依靠人为的自觉录入显然已经不符合实际运维环境。利用工具化的手段技术巡检IT系统寻找各项配置变更的实施情况，并快速进行内部通告就显得尤为重要。
信息安全的多头管理局面。纵观世界，中国的信息安全立法和执法的力度不亚于任何发达国家。众多管理机构对于信息安全不约而同的重视令中国的信息安全呈现多头管理局面。安全要求众多，程序纷繁复杂，如何构建一个开放式的平台实现多种合规性的整合，并能根据新的要求进行灵活调整也是安全运维管理面临的现实挑战之一。
关键词关键词：高校网站；网站集群；网站运维；三方联动机制；CMS
DOIDOI：10.11907/rjdk.161430
中图分类号：TP319
文献标识码：A 文章编号：1672-7800（2016）008-0150-03
0 引言
随着高校网站建设规模及数量的不断发展，网站信息内容和服务功能正逐步丰富与完善，已成为向校内外用户提供教学、科研、管理、招生就业等方面公共信息与服务的平台，是展示高校形象、与外界联系的重要窗口，是高校信息化建设的重要组成部分。
高校网站群通常由学校的门户网站及多个子网站组成，如何对网站进行科学建设与运维管理具有重要意义。
1 高校网站建设与运维管理存在的问题
1.1 缺乏统一规划，重复投资建设
许多高校存在各部门单独进行网站规划、设计和管理，各网站分布在相对独立的服务器上，网站之间信息缺乏有效共享，难以实现更高层次的信息处理和数据挖掘利用等问题[1]。由于网站建设初期未进行合理细致的规划，当网站后期需要扩充功能或改版升级时，往往需要重新建设网站，造成人力和财力等资源的严重浪费。
1.2 网站开发人员水平参差不齐、流动性大
高校网站开发人员有专业教师、教辅人员、在校学生及专业技术服务公司。各网站开发团队规模不同、开发水平不一、网站设计风格各异，实现网站安全的技术手段也不尽相同，提供的管理维护方式及力度也有差距。例如，有的网站由在校学生进行建设和管理，学生离校参加工作后，可能不再参与网站的管理S护工作，导致网站后期维护困难。
1.3 网站内容建设重视不足
高校网站建设重开发轻内容现象较为普遍，许多部门对网站的信息内容建设不甚重视，网站信息不能引起用户的兴趣。有的网站内容更新不及时，没有发挥好网站传递信息的作用。
1.4 信息安全意识薄弱，存在安全风险
不少网站管理人员信息安全意识不强，无法有效控制网站安全风险。当发生网页被篡改等攻击事件时，无法及时恢复网站，导致用户无法正常访问。有些被篡改后的网页上显示不良信息，造成负面影响。
2 建立“三方联动”机制，推进高校网站建设工作
为确保高校网站建设运维工作高效有序开展，本文探索推行由校内网络信息管理部门、网站建设部门、网站开发部门共同构成的“三方联动”机制[2]，如图1所示。
在三方联动机制中，网络信息管理部门负责领导和组织网站建设，以及网络信息安全的相关工作，包括制定网站建设与管理的相关制度，对网站建设申请进行审批，并对的网站信息内容进行监督管理。网站建设部门按照制定的相关制度，负责拟定本部门网站建设需求与网站内容更新等工作。网站开发部门在网络信息管理部门的要求和指导下，负责对网站建设和运维管理提供技术服务支持，利用信息技术和网络资源优势做好网站建设的各项工作，确保完成网站建设目标。
随着高校网站建设目标的不断提高，网站服务形式和功能也会发生转变，网站建设部门会根据业务发展需要，提出网站建设新的要求，这反过来会影响或提高校园网站整体建设要求。网络信息管理部门应根据实际情况进行相应调整，网站开发部门在技术上、可利用资源上提供必要的支持。在三方联动机制下，通过明确三方各自的职责，实现三方职能互补、沟通互动，促进三方协同工作高效开展，使网站建设工作更有成效。
高校网站建设流程分为申请、开发和3个阶段，如图2所示。
首先，由网站建设部门提出申请，提交相关申请表格。申请内容包括网站名称、申请部门、网站制作需求等信息；其次，申请表需经网络信息管理部门审批，批准后由网络信息管理部门备案，再由网站开发部门根据需求提供网站建设方案，经与网站建设部门确认后开展网站资料搜集、分类整理和审查工作；网站开发完成后还需进行相关测试，通过测试并经过审核后才可上线。
3 网站开发团队建设
网站开发工作需要专业的知识、技术与经验，通过组建专业化、高素质的高校网站开发团队，以高效率完成网站建设任务。
3.1 组建专业高效的开发团队
结合三方联动机制的思路，由网络信息管理部门与网站开发部门根据学校网站总体建设任务，确定开发团队的规模，选拔任务所需知识结构和专业技能的人员加入团队。同时，还要充分考虑团队成员各方面的差异和需求，制订有针对性的激励措施，充分调动团队成员的积极性、主动性和创造性。增强团队凝聚力，营造良好的协作氛围，使团队成员能够在权责范围内充分发挥应有的作用。
3.2 以任务为导向进行网站建设
以任务为导向的网站开发团队[3]主要工作职责是完成网站建设。开发团队必须清楚认识网站建设的目标，通过制定合理的网站开发流程和相关的工作规范，齐心协力进行网站开发工作，确保建设任务按时保质完成。开发团队还要增强学习意识，通过不断总结网站建设工作经验，改进工作方法和技术手段，逐步提升团队的技术实力和职业素养。
3.3 引导网站用户参与建设
高校网站的设计和开发应优先满足用户的需求和期望，可以邀请并引导师生及用户参与到网站的设计和决策过程中来，将用户的需求和意见融入到设计方案中，确保网站建设效果，创新网站设计，改善用户体验。
4 基于CMS的高校网站集群建设方案
通过采用统一框架下基于内容管理系统（content management system，CMS）的网站集群建设解决方案，实现统一建设、信息共享、提高效率、丰富内容、安全可靠的高校网站建设设计思路，以解决高校各网站相互独立建设和管理而产生的诸多问题，提高网站建设与管理水平。
CMS在B/S架构下的网站集群结构及主要功能如图3所示。
基础设施层：由支持该系统运行的硬件、系统软件和计算机网络组成。
信息资源层：包括系统用户和组织结构信息，网站内容信息，图片、视频等多媒体文件资源及数据库管理系统，为系统中各站点提供信息资源和系统数据，同时通过对用户管理和权限控制，保证信息资源安全。
系统管理层：主要包括对系统用户和角色的管理、权限管理、统计分析、日志管理、数据备份与恢复等功能。
系统应用层：系统进行网站集群建设应用的核心。系统为网站建设和管理人员提供可视化操作界面，能够方便地进行操作。主要包括创建网站、设置网站栏目、创建网页模板、信息等操作。
系统表现层：将各类信息资源以丰富的多媒体形式展现给用户浏览。
用户访问层：用户访问层目标用户包括教师、学生、科研人员、社会公众等人群，这些用户通过Internet可以直接访问校园各网站，浏览和查询网站相关信息。
4.1 统一规划建设，资源整合共享
基于CMS的网站集群建设解决方案是在统一框架下实现对多个网站软硬件资源的共享。在统一的系统平台，采用统一的技术标准和规范，对各网站进行统一规划建设和管理，实现对多个网站的集群管理和数据的集中存储，使各网站的信息资源共享，从而消除信息孤岛现象。校内网站可以使用CMS来建设和维护，不需要单独购买服务器，大大减少了软硬件资金的投入，避免重复投资和资源浪费。同时，便于统一维护和更新软硬件资源，使运维管理成本大幅度降低。
4.2 提高网站建设效率，降低技术要求
在CMS中采用模板与内容分离技术。模板定义了网站前端页面的展示样式，使用这种技术可以在不影响网站内容和业务逻辑的情况下，方便地切换更新网站页面的风格。系统提供多套网站模板，各部门可选择使用，从而简化网站开发流程，缩短建设时间。模板可由网站开发团队统一设计和制作并存储在系统中。系统应支持搭建移动门户功能，实现对网站一次内容采编就能在PC、手机、平板电脑等终端设备上同步。相对于独立进行网站开发而言，CMS的应用降低了网站建设难度，提高了网站建设效率，降低了建站人员的技术要求。
4.3 提高内容建设水平，提升用户满意度
在CMS的系统管理中，网络信息管理部门能够对各网站内容的更新情况进行监管，对网站信息滞后的部门，采取相应的管理措施，督促其及时更新网站内容。网站管理人员可使用系统功能来掌握网站访问量、访客信息等情况，对访客用户行为进行分析，挖掘统计数据，利用统计分析结果辅助决策。此外，网站建设部门通过网站收集用户的反馈意见，根据用户关注或感兴趣的内容完善网站的栏目和服务，有利于增强网站信息内容的针对性和时效性，提高网站信息内容建设水平，充分发挥网站宣传与服务功能，达到提升网站用户满意度的目的。
4.4 建立严格审核机制，构建安全体系
CMS所创建的网站都有相对独立的管理维护权限，各网站管理人员可以方便地创建网站栏目，编辑和栏目内容。为确保网站的信息内容符合相关政策要求，必须建立严格的网站内容审核机制。在CMS中，主要通过“采编审发”流程对网站信息内容进行管理[4]。根据实际情况，在系统中定制相应的审批流程，并授予系统相关用户对网站信息内容的查阅、编辑、审核、等操作权限。明确工作人员责职，提高网站信息内容的准确性和安全性。配合安全管理制度，通过系统提供的数据加密、身份认证、日志管理、数据库管理等功能，构建可靠的系统安全体系，确保系统稳定运行和网站信息内容安全。另外，系统应支持与外部业务应用系统的集成整合，提供必要的数据处理服务，使数据能够安全地进行交换与共享。
5 分级管理思路
在网站开发之初，就应制定相应的运维方案，从技术和管理上提出具体要求。本文所讨论的运维管理主要是针对网站上线运行后的工作。在高校网络信息安全管理制度、网站安全事件应急处理预案等相关管理制度、规定的指导下，网站运维可采用分级管理方式进行，具体如下：
①由网络信息管理部门负责完善制度建设，建立网络信息内容审核机制，做好信息内容的监督管理。使用规章制度来指导网络安全管理工作，提升网站安全事件应急响应能力；②网站建设部门负责网站信息内容的更新维护工作，提出完善网站功能需求的建议；③网站开发部门按照相关要求和规定，增强网站安全管理技术手段，做好网站各项安全保障措施。
CMS的安全稳定运行直接关系到网站的正常运行。CMS的系统管理员负责日常运行维护和安全管理工作，具体工作包括：
（1）通过CMS统一分配管理权限，将网站管理相应的权限赋给特定的用户或角色，使其能进行网站相应的操作，如系统管理员在系统中将相关网站管理功能授予二级学院的网站管理员，网站管理员对该网站进行栏目管理和热莞新等操作，从而实现在对网站管理员进行有效管理的前提下，完成各网站的分级运维工作。系统权限管理如图4所示。
（2）制定合理的系统数据备份与恢复策略，以便对系统数据和网站信息资源等重要数据进行备份和快速恢复，确保系统数据库的安全可靠运行。
（3）利用CMS的日志管理功能，及时查找运行网站发生故障的原因，使故障尽可能在最短时间内解决。
（4）通过分析与评估CMS运行所使用资源的情况，及时进行扩容改造以满足系统运行需求，保证系统的稳定性及安全性。
（5）定期对系统服务器进行漏洞检测，查杀病毒等升级维护工作。
（6）采用Web防火墙或第三方网页防篡改系统等网络安全保护措施[5]，对网站进行实时高效监测与防护，多方位加强网站群的安全保障，以确保网站安全正常运行。
（7）网络信息管理部门与网站开发部门以宣传和培训
的形式，加强各部门网站管理员的信息安全意识。
6 结语
在高校网站不断完善与发展过程中，要始终坚持高校网站建设与管理并重，重视制度与技术相结合。以网站为载体，开发和利用好高校的教育信息资源，促进高校教育信息化建设发展，为进一步提高和完善高校信息化建设目标打下坚实的基础。
参考文献：
[1]屈建萍，刘晓群，吕国.高校网站集群建设管理研究[J].河北建筑工程学院学报，2008，26（4）：89-91.
[2]齐艳苓.政府、企业、学校三方联动的产学研合作机制研究[J].教育探索，2009（5）：46-48.
[3]赵桂亮.软件项目开发团队的组建问题研究[D].北京：北京工业大学，2006.
近年来，随着我国社会经济的不断发展，国家对教育事业的支持和投入不断增加，我国的高等教育从深度和广度上都有了显著的发展和提高。信息化、网络与计算机技术的不断发展也为教育事业提供了强有力的支持手段，为教育模式的创新、先进教育理念提供了可靠的实现方法。
高校信息化主要以数字化校园建设为主，主要内容包括校园信息管理系统、数据中心、统一信息门户、统一身份认证、校园一卡通、网络安全体系等；大学数字化校园建设通常先提出总体解决方案，确定数字化校园的体系结构，制定数字化校园的信息标准，以及各系统之间的接口标准，然后分阶段实施。建立全校的网络安全体系，保证校园网络的安全，保证关键数据、关键应用的安全以及关键业务部门的安全，实现校园网络及其应用系统的安全高效运行。
1教育信息化中的安全体系建设
在教育信息化建设过程中，信息安全体系是保障教育信息系统的信息完整、系统可用和信息保密的重要支撑体系，对各级学校、职业教育、教育主管机构的正常工作起到了至关重要的保障作用。各级教育主管部门对教育信息系统的安全体系建设给予了充分的重视，也是由于教育信息系统的复杂性、多样性、异构性和应用环境的开放性，给整个信息系统带来了巨大安全威胁。以高校数字校园信息系统为例，高校数字校园信息系统的建设是由高校业务需求驱动的，初始的建设大多没有统一规划，有些系统是独立的网络，有些系统又是共用一个网络。而这些系统的业务特性、安全需求和等级、使用的对象、面对的威胁和风险各不相同。当前高校网络系统是一个庞大复杂的系统，在支撑高校业务运营、发展的同时，信息系统面临的信息安全威胁也在不断增长、被发现的脆弱性或弱点越来越多、信息安全风险日益突出，成为高校面临的重要的、急需解决的问题之一。在进行数字化校园建设的过程中，也曾发生不少信息安全事件，如某高校数据中心一台服务器被黑客入侵，成为肉鸡，被植入僵尸木马程序，受黑客控制疯狂往外网发包，导致学校网络出口瘫痪；某高校在高招中发现网站被挂马、篡改，并且学校内部也曾经发现学生成绩的数据库，有被恶意篡改的痕迹。
2网络安全威胁分析
（1）高校网站的安全威胁，包括高校门户网站、高校招生网站、二级各院系等网站，由于高考、招生、学生就业等敏感时期，聚集了大量的学生及家长访问流量，也引起黑客的关注，高校网站面临的主要安全威胁有：网页被挂马、被篡改，黑客通过SQL注入、跨站脚本等攻击方式，可以轻松的拿到高校网站的管理权限，进而篡改网页代码；部分攻击者将高校网站替换成黄色网站，影响极其恶劣。每年高考招生及高校重要节日期间，高校门户网站极易被DDOS攻击，这种由互联网上发起的大量同时访问会话，导致高校网站负载加剧，无法提供正常的访问。入侵者成功获取WEB服务器的控制权限后，以该服务器为跳板，对内网进行探测扫描，发起攻击，对内网核心数据造成影响。（2）随着校园网信息化的逐步深入，业务系统众多，“一卡通”、教学信息管理系统、电子图书馆、教育资源库等信息化业务系统均普遍的被各大高校采用，而这些系统由于管理及防护不到位，面临着较严重的安全威胁：业务系统缺乏必要的入侵防护手段，高校网络规模扩张迅速，网络带宽及处理能力都有很大的提升，但是管理和维护人员方面的投入明显不足，没有条件管理和维护数万台计算机的安全，一旦受到黑客攻击，无法阻断攻击并发现攻击源；部分高校“一卡通”充值系统与银行互联，边界缺乏必要的隔离和审计措施，出现问题不方便定位，难以追查取证；校园网数据中心内的系统应用众多、服务器众多，管理及维护方式也不尽相同，无法做到所有的系统实施统一的漏洞管理政策。同时，对于存在安全隐患的配置检查，也缺乏自动化的高效检查工具和控制手段；业务系统权限控制不合理，有安全隐患。
3需求分析
根据对高校校园网络的威胁分析，得出在校园网络安全体系建设中，各个网络区域和业务系统的安全需求如下：
（1）校园网络出口应对可能发生的拒绝服务攻击进行有效识别、过滤、清洗，保证网络出口的畅通，保证骨干链路的负载处于正常范围之内。（2）网络出口链路应有相应措施，对来源于公网或内网的黑客入侵、病毒传播等安全威胁进行实时识别与阻断。（3）DMZ区及内网服务器区出口链路上，应对针对WEB应用的7层攻击，如SQL注入、XSS、HTTP GET FLOOD等威胁进行全面深入的防护。（4）应对流经核心交换区域的所有流量进行深入的检测，以识别内部各网络区域之间发生的入侵事件和可疑行为。（5）应对内网用户的网络行为，如公网访问、数据库访问等进行全面的记录和审计，以满足违规事件发生后的追查取证。（6）应在不同校区之间的链路接口进行访问控制、病毒检测、入侵防护等安全控制措施。
应对全网的网络节点进行漏洞风险管理，实现漏洞预警、漏洞加固和漏洞审计的全程风险控制。（7）应对全网的网络节点进行配置合规管理，实现违规配置及时识别、配置整改全面深入、配置风险全程可控。（8）应对运维管理人员进行详细严格的权限划分，并通过技术手段控制运维行为权限，对运维行为进行全程审计，对违规运维操作进行实时告警。
4遵循等保要求
2009年11月，教育部为进一步加强教育系统信息安全工作，由办公厅印发《关于开展信息系统安全等级保护工作的通知》（教办厅函[2009]80号），决定在教育系统全面开展信息安全等级保护工作；等级保护不仅是对信息安全产品或系统的检测、评估以及定级，更重要的是，等级保护是围绕信息安全保障全过程的一项基础性的管理制度，是一项基础性和制度性的工作。通过等级化方法和高校信息安全体系建设有效结合，设计一套符合高校需求的信息安全保障体系，是适合我国国情、系统化地解决高校信息安全问题的一个非常有效的方法。
5网络安全建设方案
（1）在校园网出口处旁路部署抗拒绝服务攻击系统（ADS）对拒绝服务攻击流量进行清洗，并且旁路部署网络流量分析系统（NTA）对网络流量组成和DDOS攻击成分进行分析和判断。在正常环境下，旁路部署的ADS不参与网络出口流量的路由和交换，边界路由器通过NETFLOW等技术将流量信息发送给NTA，由NTA分析流量特征，判断是否遭受DDOS攻击。当发现遭受DDOS攻击时，NTA将激活ADS，由ADS向边界路由器发送针对特定防护目标IP的路由，将所有去往被攻击目标IP的流量牵引至ADS设备。ADS系统进行恶意流量的识别和清洗，将不含有攻击成分的合法流量回注至边界路由器，按正常路由路径发送至目标IP。（2）在出口链路部署入侵防护系统，对接入互联网的访问流量进行深入过滤，有效抵御源自公网的入侵威胁，消除安全风险。（3）在DMZ区和内网服务器出口处部署WEB应用防火墙，对服务器区的WEB服务器进行全方面的防护，对针对WEB站点的黑客攻击，恶意扫描、SQL注入、跨站脚本、病毒木马传播、暴力口令破解、网页篡改等攻击手段进行深入防护。保障网站、电子教务系统、一卡通系统等应用系统的正常工作。（4）在核心交换区旁路部署安全审计系统，通过将核心交换机上各端口的流量镜像到安全审计系统的监听链路，实现对流经核心交换机的网络数据进行全程的审计和过滤。通过制定详细的安全审计策略，对违反审计策略的网络行为进行实时告警。此外，安全审计系统由部署在网络运维区的安全中心进行统一监控与策略下发，并实时收集网络时间日志和告警信息。（5）在核心交换区域的出口链路部署下一代防火墙，实现出口链路的流量检测和安全过滤，保护内部网络安全。建议在核心交换区域与各个校区的网络边界处部署下一代防火墙，通过下一代防火墙对应用层攻击、病毒进行全面阻断，可实现基于源/目的IP地址、协议/端口、时间、用户、VLAN、VPN、安全区的访问控制，保证不同网络区域之间的安全防护边界完整。同时，通过安全管理区的安全管理服务器上安装安全中心对该设备进行全面的管理。
