- 目錄
高校信息化管理制度是對學(xué)校信息化建設(shè)、運行、維護(hù)和應(yīng)用進(jìn)行全面規(guī)范的體系，旨在提升教學(xué)、科研、管理和服務(wù)的質(zhì)量與效率。這一制度涵蓋了硬件設(shè)施、軟件系統(tǒng)、數(shù)據(jù)管理、信息安全、人員培訓(xùn)、政策法規(guī)等多個方面。
包括哪些方面
1. 硬件設(shè)施管理：包括校園網(wǎng)絡(luò)建設(shè)、數(shù)據(jù)中心運營、智能設(shè)備配置和維護(hù)等。
2. 軟件系統(tǒng)管理：涵蓋教學(xué)管理系統(tǒng)、科研平臺、行政辦公系統(tǒng)以及各類應(yīng)用軟件的選購、安裝、升級與技術(shù)支持。
3. 數(shù)據(jù)管理：涉及數(shù)據(jù)采集、存儲、分析、保護(hù)和共享的規(guī)范。
4. 信息安全：制定并執(zhí)行網(wǎng)絡(luò)安全策略，防范病毒、黑客攻擊和信息泄露等風(fēng)險。
5. 人員培訓(xùn)：為教職員工提供必要的信息化技能培訓(xùn)，提升其信息化素養(yǎng)。
6. 政策法規(guī)遵守：確保信息化工作符合國家及地方的相關(guān)法律法規(guī)要求。
重要性
高校信息化管理制度的重要性不言而喻。一方面，它能夠保障信息技術(shù)的有效利用，推動教育現(xiàn)代化，提高教學(xué)與研究的效率；另一方面，通過規(guī)范化的管理，可以降低信息系統(tǒng)的風(fēng)險，保護(hù)學(xué)校的數(shù)據(jù)資產(chǎn)，避免因技術(shù)故障或安全事件影響學(xué)校的正常運作。此外，良好的信息化環(huán)境也有利于吸引和培養(yǎng)高素質(zhì)的人才，提升學(xué)校的綜合競爭力。
方案
1. 建立健全信息化管理機(jī)構(gòu)，明確職責(zé)分工，負(fù)責(zé)信息化項目的規(guī)劃、實施和監(jiān)督。
2. 制定全面的信息化政策，包括采購、使用、維護(hù)和更新等方面的指導(dǎo)原則。
3. 設(shè)立專門的數(shù)據(jù)治理團(tuán)隊，實施數(shù)據(jù)標(biāo)準(zhǔn)化，保證數(shù)據(jù)質(zhì)量，促進(jìn)數(shù)據(jù)的開放與共享。
4. 定期進(jìn)行信息安全評估，更新防護(hù)措施，提升應(yīng)急響應(yīng)能力。
5. 開展全員信息化培訓(xùn)，提升教職工的信息技術(shù)應(yīng)用能力和信息素養(yǎng)。
6. 加強(qiáng)與業(yè)界合作，引入先進(jìn)的信息化理念和技術(shù)，持續(xù)優(yōu)化信息系統(tǒng)。
7. 設(shè)立反饋機(jī)制，定期收集用戶意見，對信息化服務(wù)進(jìn)行持續(xù)改進(jìn)。
高校信息化管理制度的建立和完善是一項系統(tǒng)工程，需要全校各部門的協(xié)同配合。只有這樣，才能構(gòu)建起高效、安全、便捷的信息化環(huán)境，為高校的長遠(yuǎn)發(fā)展提供有力支撐。
高校信息化管理制度范文
第1篇 高校信息化安全管理方案范本
在高校信息化應(yīng)用日益深化的今天,信息和資源的整合日益密切,如何保障信息系統(tǒng)的持續(xù)穩(wěn)定運行,確保信息安全是亟待解決的關(guān)鍵問題。從調(diào)研顯示,目前我國高校網(wǎng)絡(luò)系統(tǒng)存在許多安全問題,如:非授權(quán)訪問、破壞數(shù)據(jù)完整性、干擾系統(tǒng)正常運行和利用網(wǎng)絡(luò)傳播病毒等,產(chǎn)生這些安全問題的原因在于:沒有建立完善的網(wǎng)絡(luò)系統(tǒng)安全體系;沒有建立相應(yīng)的安全組織、管理、技術(shù)機(jī)構(gòu);沒有建立完備的網(wǎng)絡(luò)系統(tǒng)安全措施。
本文從高校信息系統(tǒng)的需求出發(fā),遵從風(fēng)險管理的理念,在信息化戰(zhàn)略規(guī)劃的基礎(chǔ)上,借鑒國際最佳實踐經(jīng)驗,研究并實施高校信息化安全管理體系,為高校信息安全管理工作提供借鑒和參考。
規(guī)劃信息化安全管理體系
分層次建立安全管理制度和手段
信息化安全管理體系規(guī)劃是高校安全體系建立的第一步,目的是識別安全問題,明確安全管理的范圍和內(nèi)容,建立安全管理的組織管理機(jī)制,從管理和技術(shù)兩個角度,分層次規(guī)劃各環(huán)節(jié)的安全管理制度和技術(shù)防范手段,形成完整、可行的信息化安全管理體系。我們將高校信息化安全管理規(guī)劃過程歸納為以下8個步驟:
1. 建立安全管理組織:安全管理組織的成員由機(jī)構(gòu)的戰(zhàn)略影響者組成,包括來自行政、it、業(yè)務(wù)、安全、保衛(wèi)、風(fēng)險和規(guī)劃部門的人員。
2. 識別保護(hù)對象:識別學(xué)校目前的關(guān)注點、面臨的風(fēng)險及威脅,分析它們存在的原因,將分析結(jié)果納入安全管理體系的規(guī)劃中重點考慮。
3. 評估現(xiàn)有措施:了解學(xué)校目前的安全管理措施并評估它們的效力。
4. 考慮長期需要:安全整體規(guī)劃應(yīng)考慮長期的需要,具有一定的前瞻性,如長期的制度適應(yīng)性、設(shè)備老化、安全人員的發(fā)展需要等。
5. 納入學(xué)校的建設(shè)規(guī)劃:了解學(xué)校新建項目,如辦公樓、教學(xué)樓、停車場等項目,是否會影響現(xiàn)有的物理安全規(guī)劃,如有影響,將安全規(guī)劃納入學(xué)校建設(shè)規(guī)劃中通盤考慮。
6. 建立安全工作機(jī)制:形成文件化的制度體系和工作條例,明確各崗位的責(zé)任、應(yīng)提供的服務(wù)和交付物,這些將有助于確保工作的落實和運作效率。
7. 應(yīng)對新老技術(shù)的混合:新技術(shù)的規(guī)劃應(yīng)考慮對老技術(shù)的沖擊,新老技術(shù)的融合運用將是一個挑戰(zhàn)。
8. 關(guān)鍵設(shè)施重點布局:關(guān)鍵設(shè)施指校園中那些需要連續(xù)、可靠運行而又相互關(guān)聯(lián)的復(fù)雜設(shè)施集合,這些設(shè)施的安全尤為重要,風(fēng)險也最為突出。
體系框架的內(nèi)容
上述的規(guī)劃步驟從組織、管理和技術(shù)三方面較全面地考慮高校信息化安全管理的具體問題,有助于形成完整有效的信息化安全管理體系。圖1是高校信息化安全管理體系整體框架,其中包括安全組織體系、安全管理體系和安全技術(shù)體系。
圖1 高校信息化安全管理體系
1. 安全組織體系
它是確保信息安全工作貫徹和落實的基石,基本框架應(yīng)包含決策、管理、運營和應(yīng)用4個層次。決策層負(fù)責(zé)信息化安全管理體系的規(guī)劃、管理制度的審定及重大事項的決策等;管理層負(fù)責(zé)信息化安全管理體系的實施、安全管理工作機(jī)制的研究制訂、安全管理制度的貫徹和執(zhí)行、日常安全管理的組織協(xié)調(diào)等;運營層具體負(fù)責(zé)機(jī)房、網(wǎng)絡(luò)和服務(wù)器、數(shù)據(jù)庫、信息系統(tǒng)的安全管理和維護(hù);應(yīng)用層即普通用戶,職責(zé)包括嚴(yán)格按照系統(tǒng)操作手冊正確使用信息系統(tǒng),不得進(jìn)行可能危害信息系統(tǒng)安全的操作,不得發(fā)布惡意信息等。
2. 安全管理體系
它是整個安全管理體系有效運作和持續(xù)改進(jìn)的保障,應(yīng)在實踐中逐步實現(xiàn)規(guī)章制度的文件化、工作機(jī)制的程序化和監(jiān)控手段的系統(tǒng)化,基本框架具體包括安全制度的建立、建設(shè)與運營工作條例的建立、應(yīng)急響應(yīng)機(jī)制的建立、審計與評審機(jī)制的建立、安全教育與培訓(xùn)。
3. 安全技術(shù)體系
該體系有力保障信息資源和應(yīng)用系統(tǒng)免受外部攻擊,基本框架由網(wǎng)絡(luò)層安全技術(shù)、系統(tǒng)層安全技術(shù)和應(yīng)用層安全技術(shù)構(gòu)成。網(wǎng)絡(luò)層安全技術(shù)包括防火墻、病毒防范、入侵檢測、vpn等;系統(tǒng)層安全技術(shù)包括數(shù)據(jù)備份與恢復(fù)、數(shù)據(jù)庫安全審計、應(yīng)用系統(tǒng)監(jiān)控、身份認(rèn)證等;應(yīng)用層安全技術(shù)包括權(quán)限管理、信息加密、桌面系統(tǒng)等。
信息化安全管理體系整改
上海財經(jīng)大學(xué)經(jīng)過多年的信息化建設(shè),包括教學(xué)、學(xué)生、辦公自動化、招生、人事、財務(wù)、公共數(shù)據(jù)平臺、校園一卡通等一大批信息系統(tǒng)得到應(yīng)用。隨著應(yīng)用的深化,系統(tǒng)中積累大量的業(yè)務(wù)數(shù)據(jù)和工作成果,這些信息對學(xué)校目前的管理乃至今后的發(fā)展都至關(guān)重要,因此,信息的安全問題也成為信息化工作的焦點。2009年起,在認(rèn)真分析學(xué)校信息安全管理和技術(shù)兩方面的問題和原因的基礎(chǔ)上,學(xué)校從組織、管理、技術(shù)三方面入手進(jìn)行一系列的整改,截至目前,已形成較為完善的組織體系、管理體系和技術(shù)體系。
完善信息安全管理的組織結(jié)構(gòu)
2009年,學(xué)校對信息安全管理的組織結(jié)構(gòu)進(jìn)行重新梳理,形成包含決策、管理、維護(hù)和應(yīng)用4 個層次在內(nèi)的較為完善的網(wǎng)絡(luò)信息系統(tǒng)安全管理組織機(jī)構(gòu),工作職責(zé)更加明確。上海財經(jīng)大學(xué)網(wǎng)絡(luò)信息系統(tǒng)安全管理組織機(jī)構(gòu)如圖2。
圖2 財經(jīng)大學(xué)網(wǎng)絡(luò)信息系統(tǒng)安全管理組織機(jī)構(gòu)
1. 決策層:在信息化領(lǐng)導(dǎo)小組的職能中明確信息系統(tǒng)的安全管理職能,由信息化領(lǐng)導(dǎo)小組統(tǒng)一規(guī)劃、部署和統(tǒng)籌資源。
2. 管理層:組建安全工作小組作為信息化安全工作的執(zhí)行機(jī)構(gòu),工作小組由信息化相關(guān)部門領(lǐng)導(dǎo)及專業(yè)技術(shù)人員和部分管理人員組成。
3. 運營層:完善系統(tǒng)運營各崗位人員的工作職責(zé),包括機(jī)房管理員、網(wǎng)絡(luò)及服務(wù)器管理員、數(shù)據(jù)庫管理員和信息系統(tǒng)管理員。
4. 應(yīng)用層:進(jìn)一步明確應(yīng)用層各院系、部門及用戶的安全責(zé)任,與各院系、部門簽訂安全責(zé)任書,同時明確各院系、部門信息員的日常信息安全工作職責(zé),使其成為信息安全工作的基礎(chǔ)支持隊伍。
形成文件化的信息安全整體策略
早在2008年,學(xué)校就著手組織制定《上海財經(jīng)大學(xué)信息系統(tǒng)安全管理辦法》、《上海財經(jīng)大學(xué)信息系統(tǒng)建設(shè)管理辦法》和《上海財經(jīng)大學(xué)信息系統(tǒng)運行維護(hù)管理辦法》,從場地與設(shè)施安全管理、設(shè)備安全管理、系統(tǒng)安全管理、信息安全管理、建設(shè)安全管理、運行維護(hù)安全管理和技術(shù)文檔安全管理7 個方面詳細(xì)制定安全管理規(guī)定,并明確系統(tǒng)建設(shè)和系統(tǒng)運維過程中相關(guān)人員的工作流程和操作規(guī)范,為全校的信息系統(tǒng)安全管理提供依據(jù)。
2009年至2010年,針對信息安全問題突發(fā)性強(qiáng)的特點,為建立健全應(yīng)急工作機(jī)制,提高信息系統(tǒng)安全突發(fā)事件的組織指揮和應(yīng)急處置能力,最大限度地減輕突發(fā)事件造成的損失,學(xué)校完成《上海財經(jīng)大學(xué)信息系統(tǒng)安全應(yīng)急預(yù)案》的制定,并在it部門建立起突發(fā)事件應(yīng)急響應(yīng)工作機(jī)制。與此同時,為加強(qiáng)日常防控來減少突發(fā)事件的發(fā)生,學(xué)校it部門制定《運行維護(hù)工作條例》對硬件維護(hù)、操作系統(tǒng)維護(hù)、數(shù)據(jù)庫維護(hù)和應(yīng)用系統(tǒng)維護(hù)的各個環(huán)節(jié)的工作流程和操作規(guī)程進(jìn)行更加詳細(xì)的規(guī)定,并在工作中增加安全監(jiān)控、安全檢測、安全策略優(yōu)化、安全審計等環(huán)節(jié)加強(qiáng)對信息系統(tǒng)的安全防護(hù)。
2010年初,為明確和建立學(xué)校的信息安全策略,為各部門制定操作規(guī)范和開展安全工作提供指導(dǎo),學(xué)校制定《上海財經(jīng)大學(xué)網(wǎng)絡(luò)信息系統(tǒng)安全管理整體方案》,從信息安全組織體系、管理體系和技術(shù)體系3個層次,詳細(xì)描述管理策略以及技術(shù)手段。該方案的出臺極大地推動it部門管理制度的完善和技術(shù)改進(jìn),同時也促進(jìn)各院系、部門內(nèi)部安全管理的強(qiáng)化和人員安全意識的提高。
強(qiáng)化安全管理
信息安全是一項長期的工作,必須將其納入信息系統(tǒng)的日常管理中常抓不懈,防患于未然。信息系統(tǒng)質(zhì)量的內(nèi)涵,除了系統(tǒng)功能和性能滿足業(yè)務(wù)要求外,與信息系統(tǒng)安全有關(guān)的系統(tǒng)安全性、可靠性、可用性也是系統(tǒng)質(zhì)量控制的范疇。主要采取的管理措施如下:
1.增加建設(shè)過程中的評審環(huán)節(jié)
在項目設(shè)計、開發(fā)階段成果接近完成時,由項目組會同相關(guān)業(yè)務(wù)部門共同組織技術(shù)評審,包括對系統(tǒng)安全性的審查。評審以項目前期形成的方案、文檔及學(xué)校的相關(guān)標(biāo)準(zhǔn)和規(guī)范為依據(jù),對該階段形成的方案、技術(shù)文檔及系統(tǒng)進(jìn)行審查、確認(rèn)等工作,并形成評審結(jié)論。
2.進(jìn)行內(nèi)部測試和第三方測試
在項目驗收前,除了由項目內(nèi)部和業(yè)務(wù)部門參與的集成測試外,聘請專業(yè)的第三方測試機(jī)構(gòu)進(jìn)行測試。
3.安全檢測與審計雙管齊下,全方位監(jiān)控安全事件
對應(yīng)用系統(tǒng)和服務(wù)器進(jìn)行每三個月一次的定期安全檢測,有效消除潛在的安全隱患;定期進(jìn)行應(yīng)用系統(tǒng)的安全審計、數(shù)據(jù)庫的安全審計、服務(wù)器的安全審計、配置管理的安全審計等,避免越權(quán)操作及數(shù)據(jù)泄漏事件的發(fā)生。
4.建立突發(fā)事件應(yīng)急響應(yīng)機(jī)制
基于《上海財經(jīng)大學(xué)信息安全應(yīng)急預(yù)案》,建立突發(fā)事件的應(yīng)急響應(yīng)機(jī)制,落實信息系統(tǒng)的服務(wù)級別管理,實行應(yīng)急預(yù)案演練制度,建立預(yù)案庫,在突發(fā)事件發(fā)生后形成處置報告,分析原因,改進(jìn)工作。
5.加強(qiáng)安全意識宣傳與教育
我們可以面向全校師生員工組織一系列的信息安全宣傳和教育活動,包括組織面向?qū)W生和教師的信息安全知識競賽活動,開展信息安全意識培訓(xùn)等,提高人員的安全防范意識,發(fā)揮人在信息安全對策中的主體作用。
加強(qiáng)技術(shù)防范,構(gòu)筑安全堡壘
系統(tǒng)的日常建設(shè)與運行管理中,我們通過構(gòu)建自動化防控系統(tǒng)來加強(qiáng)系統(tǒng)的安全防范,為應(yīng)用系統(tǒng)和用戶構(gòu)筑起堅實的安全堡壘,具體措施包括:
1.搭建版本控制系統(tǒng),確保開發(fā)中源代碼的安全
在程序開發(fā)的過程中,需要多人同時參加和協(xié)作,通過搭建版本控制系統(tǒng),記錄系統(tǒng)建設(shè)過程中相關(guān)文檔和源代碼的變更過程,防止代碼意外丟失、被覆蓋等情況的出現(xiàn)。
2.構(gòu)建三套獨立環(huán)境,保證正式環(huán)境安全
將系統(tǒng)開發(fā)環(huán)境、系統(tǒng)測試環(huán)境和正式系統(tǒng)進(jìn)行分離,確保開發(fā)階段和測試階段的工作不影響正式系統(tǒng)的使用。
3.建立備份與恢復(fù)機(jī)制,保護(hù)系統(tǒng)建設(shè)成果
建立本地及異地數(shù)據(jù)備份及恢復(fù)規(guī)范及方案,研發(fā)數(shù)據(jù)統(tǒng)一管理與備份的相關(guān)程序,對系統(tǒng)建設(shè)過程中的成果進(jìn)行及時備份,防止因為誤操作或機(jī)器故障導(dǎo)致數(shù)據(jù)丟失,切實保證數(shù)據(jù)的安全。
4.防火墻與入侵監(jiān)測,構(gòu)筑網(wǎng)絡(luò)屏障
在internet和校園網(wǎng)之間以及校園網(wǎng)和信息系統(tǒng)服務(wù)器之間架設(shè)兩層防火墻,防止校內(nèi)外用戶對服務(wù)器的攻擊;部署網(wǎng)絡(luò)分析系統(tǒng),實時監(jiān)控網(wǎng)絡(luò)流量、網(wǎng)絡(luò)攻擊和病毒傳播,為網(wǎng)絡(luò)安全事件的定位和取證提供支持;禁止從公網(wǎng)訪問關(guān)鍵信息系統(tǒng),用戶需要通過vpn加密鏈路才能實現(xiàn)從校外訪問關(guān)鍵信息系統(tǒng)。
5.漏洞掃描與日志分析,促進(jìn)應(yīng)用安全的不斷提升
在應(yīng)用系統(tǒng)層,我們采用系統(tǒng)日志分析平臺對應(yīng)用進(jìn)行日志分析,捕捉和定位異常事件;定期對應(yīng)用服務(wù)執(zhí)行漏洞掃描,對出現(xiàn)的sql注入、跨站腳本攻擊、網(wǎng)頁非法篡改、強(qiáng)制訪問等系統(tǒng)安全風(fēng)險及時進(jìn)行分析和整改。
6.主動式監(jiān)控及時追蹤問題
自主完成服務(wù)器軟硬件運行狀態(tài)監(jiān)控系統(tǒng)的開發(fā),實現(xiàn)對服務(wù)器運行狀態(tài)及各信息系統(tǒng)狀態(tài)進(jìn)行主動監(jiān)聽和預(yù)警;建立統(tǒng)一日志服務(wù)器,對所有系統(tǒng)的日志進(jìn)行集中管理和備份,確保問題發(fā)生時通過日志進(jìn)行定位和追蹤。
所謂“三分技術(shù),七分管理”,信息化安全管理問題需要從管理和技術(shù)兩方面考慮和解決,依靠有效的組織保障、規(guī)范的管理流程、安全可靠的系統(tǒng)工具及技術(shù)的支撐,才能達(dá)到“以較小的代價利用有限資源控制安全風(fēng)險”的目標(biāo),更好地保證信息化建設(shè)和應(yīng)用的成果。
