图书馆信息安全策略构建

图书馆信息安全策略构建

本文从管理角度探讨了信息安全的防控，以西安文理学院图书馆为例系统分析了图书馆各类信息安全需求以及存在风险，并有针对性地提出安全策略：资源区，采取物理隔离；工作区，将内网工作与外网工作物理隔离；服务区，利用上网行为控制路由器，控制用户上网行为。

标签：图书馆；安全策略

信息技术的不断进步，使得网络的发展越来越迅速。目前大多数高校都建立了自己的网站系统，这一方面拓宽了信息沟通渠道、提高了工作效率，另一方面也面临着安全的威胁。这种威胁有外部因素也有内部因素，外部的主要包括：攻击者利用系统漏洞、恶意网络数据包以及利用病毒、木马等恶意代码进行攻击等；内部的主要包括，内部人员对资源的误操作和对信息的越权访问等。如何控制网络安全，建立起一套完整的网络安全体系，需要从制度、管理、技术等方面综合努力，以达到网络应用和网络安全的平衡。

一、信息安全与信息安全管理

信息安全是指对信息系统的硬件、软件以及数据信息实施安全防护，保证在意外事故或恶意攻击情况下系统不会遭到破坏、敏感数据信息不会被篡改和泄漏，保证信息的机密性、完整性、可用性和可控性，并保证系统能够正常运行，信息服务功能不中断。［1］

当前对网络信息安全的研究多以技术为主，主要介绍信息安全的基本概念、理论、密码算法、黑客技术与防范等，在管理方面甚少涉及。而一个安全的信息体系应该包括技术与管理两方面。技术方面，一个安全保密的计算机信息系统，应能达到“五不”：即进不来、拿不走、看不懂、走不脱、赖不掉［2］。管理方面，一个完整的信息安全管理体系，应包括网络管理、信息安全策略制定、信息安全网络体制制定、选择安全的软硬件、维护和故障检修策略等。下面以西安文理学院图书馆为例，分析图书馆信息安全风险，并尝试建立图书馆信息安全策略体系。

二、图书馆信息安全需求及风险分析

要建立一个完整的安全体系，就要对信息进行分类并分别分析它们的安全需求及存在的风险，最后建立相应的安全策略。西安文理学院图书馆，根据各区域工作方式及其涉及的信息对图书馆业务影响的不同，大致把图书馆局域网分为三个区域：资源区、工作区和服务区。

1、资源区

主要由服务器和存储设备组成，包含资源服务器、资源存储设备、图书馆网站服务器和图书馆自动化系统服务器等，这是图书馆局域网核心的部分，安全级别可设为最高等级。该区域一旦出现故障，可能直接导致图书馆工作瘫痪。

资源区存在的主要风险有：黑客入侵，恣意盗取、删除、篡改信息资源或释放恶意代码，病毒程序破坏服务器运行；不可抗外力因素对资源区设备的毁坏而造成的损失；服务器故障、电等可控外力造成的服务器运行停滞；馆员操作的不良习惯造成的影响；数据提供商拒绝服务；由电子邮件、网站浏览、U盘、CD 等下载所引入的病毒。

2、工作区

可分为两部分即内网工作区和外网工作区。内网工作区主要开展图书馆的传

统业务，直接影响图书馆自动化系统数据，由于只在内网运行，几乎不会受到黑客攻击、病恶意代码的影响，威胁主要来自内部员工；外网工作区主要开展图书馆新业务，负责与图书馆外部沟通联系，对内网信息基本没有影响，其安全策略侧重于控制馆员上网行为，提供工作效率。

工作区存在的主要风险有：U盘、CD等存储介质所引入的病毒；非授权用户越权操作行为、授权用户违规操作或误操作导致的服务器数据完整性、可靠性受到影响；外网用户滥用网络，造成网络阻塞，工作效率低下等问题。

3、服务区

图书馆服务区除电子阅览区外，其他服务终端散落在图书馆的各个角落，无法在物理区域进行控制。但这部分不涉及图书馆核心业务数据，因此安全层级设置为最低。只要能够保证单个机器正常运转，部分区域（如查询机）用户行为可控即可。

服务区存在的主要风险有：由电子邮件、网站浏览、U盘、CD或FTP等下载所引入的病毒；用户非法操作造成图书馆服务资源不足，如某读者长期占用查询机浏览网页，使得其他读者无法使用查询机；工作机故障、失窃等造成的损失。

三、图书馆信息安全策略体系的建立

1、目标

为西安文理学院图书馆建立信息安全策略的目标是，在图书馆提供一些网络服务的情况下保护图书馆的信息和计算机资产以及保障图书馆局域网正常运转：图书馆一般业务开展；图书馆数字资源可用；图书馆电子阅览区正常开放。

2、可能造成的主要影响

图书馆自动化系统服务器停机，将直接导致图书馆基本业务停滞，无法正常开馆；图书馆数字资源服务器停机，可能收到读者因无法访问数字资源而产生的投诉，影响图书馆形象，特别是平时访问量比较大的几个数据库；图书馆网络受到病毒攻击，可能导致电子阅览区无法运行，影响读者体验。

3、安全策略

（1）资源区。采取物理隔离，只有授权的管理员才能进入管理区进行维护管理；在所有系统上安装病毒防护软件及行为监控软件；向服务器上拷贝新数据时，必须通过负责记录日志的服务器，且该日志服务器必须记录本次操作；未经批准，严禁在任何工作站上安装非授权软件；为每台服务器配备不间断电源（UPS）；所有服务器都必须保证能够24×365小时可用；图书馆核心业务服务器需设立备份服务器，并尽可能与主服务器实现物理分离；所有账户的安全事件都必须记录日志。

（2）工作区。将内网工作与外网工作物理隔离，拒绝内网工作机访问外网；所有内网用户必须有保密的专有用户账户和口令；用户不能共享账户，每个用户对自己账户的数据负责；为每个用户设置相应权限，除管理员账户外，其他账户不能访问所有文件，并禁止越权操作。

（3）服务区。保证工作站每天正常运转；利用上网行为控制路由器，控制用户上网行为；服务区每个工作站配备硬件还原设备；做好安全防盗措施。

四、结语

本文从管理角度探讨了信息安全的防控，以西安文理学院图书馆为例系统分析了图书馆各类信息安全需求以及存在风险，并有针对性的尝试建立安全策略，但由于实际工作的复杂性，该安全策略并不全面，只罗列了主要内容，实际工作中还需更细化安全策略，以满足工作需要。