高校网站安全保障体系的建设是一个逐渐完备、循环和动态的过程。全方位、多层次、高效率的网站安全保障体系是以“互联网+”为理念，以人员组织为核心，以技术防护为手段，以管理规范为依据。经过一年多在浙江师范大学的实践，该体系能有效掌握网站安全运作时的状态，预防敏感涉密信息外泄，明显提高管理人员的安全意识，保障高校网站的实体安全、运行安全和数据安全，为高校整体网络与信息安全策略的制定提供权威可靠的支持。

  安全管理最薄弱的地方就是人，加强有关人员的责任观念、安全意识和技术技能，能够使各种管理制度得到最佳的落实。人员组织体系是保障网络与信息安全的关键环节，结合高校网站的自身特点和真实的情况，要建立完整的人员组织体系、安全培训体系和安全责任机制。

  一是建立包括管理决策、组织协调、工作执行三个层次的人员组织体系，具体如图1所示。

  二是建立网络与信息安全教育培训制度，高校网站安全管理人员与各院系、部门安全联络人员是高校网站安全建设和维护的核心力量，一定要通过定期的安全培训、知识讲座和学术交流，使其掌握专业的网站安全建设和防护技术，提升网站安全管理队伍的防范意识、专业方面技术和防护水平。

  三是健全人员奖惩制度，各层次人员按照“谁主管谁负责、谁运营谁负责、谁使用谁负责”的原则切实落实网络与信息安全责任。并通过专业扫描设备对高校二级院系及部门网络站点进行安全检测和评估，建立二级网站及部门信息安全指标体系，制定相应的奖励惩罚机制，不断的提高高校网站的安全意识和防护水平。

  网站安全保障是一项系统工程，对系统的过程要素、组织架构和结构功能做多元化的分析发现大致上可以分为四个层级：

  预警层次在需求调研、平台选型、日常维护等方面都会涉及网站安全的预警，它的基本功能是察觉缺陷、记录问题和预警问题；

  检测层次是在开发阶段、测试阶段及网站上线后的运行阶段进行信息安全检测，它发现网站服务器存在的安全漏洞、安全配置问题、应用系统安全漏洞，形成整体安全风险报告，帮助安全管理人员先于攻击者发现安全问题，及时进行修补；

  保护层次针对网站运行阶段，以及网站下线后的数据保存、归档、销毁等阶段，它是对网站运行的实时保护，包括拒绝服务、入侵检测、流量分析、数据防泄露等；

  响应层次针对网站运行期间的安全事件影响及安全问题处理阶段，它是对网站安全事件进行及时的响应，包括数据库审计、安全监管、安全服务等。

  技术防范体系是保障网站信息安全的有力措施，是根据不同层级和不同阶段利用相应的安全防护技术建立的技术防护体系，具体安全产品及功能如表1 所示。

  技术防护体系建设可以规划为三期：一期建设要解决当前面临最迫切的安全问题，力求快速提升高校网络基础防护能力；二期建设将从多个角度进行安全评估和审计，提升高校网络的风险预警能力；三期让已经建设的安全手段发挥协同防护作用，使整个网络信息安全建设体系化，达到网络信息安全总体建设目标。

  规范化是制度化的最高形式，是一种很有效、严谨的管理方式，是以文件法规形式进行贯彻、实施和监督的一种过程要求。完善的管理规范体系是保障网站安全的法律基础，是通过建立标准规范来约束用户行为的制度，实现的过程就是规范管理的过程。

  网络与信息系统同硬件产品一样具有生命周期，需要随着需求持续不断的发展而更新。依据系统生命周期的准入、备案、检查、运行、退出等五个不同阶段，制定与之对应的管理规范体系，最重要的包含网站安全准入制度、网站登记备案制度、网站安全检查制度、网站安全事件通报与处理制度、网站归档退出制度。

  网站的生命周期层面和制度保障要求之间不是相互孤立的，而是相互关联、密不可分的。图2描述了每个系统生命周期阶段的特征，并说明了管理规范制度如何对这些阶段提供支持。

  网站安全准入制度是指院系或部门申请新建网站的安全准入流程，对即将上线的网络站点进行安全漏洞扫描检测，对网站代码进行白盒扫描测试，确保上线程序中不存在严重的安全漏洞，对有几率存在的安全问题提前做出准备。若安全评估合格后，配置好域名允许该网站的外网访问；若评估不合格，则由用户自行修复网站安全漏洞，确保应用本身的安全、运行环境的安全、数据的安全之后方可上线。

  网站登记备案制度是对学校所有网站及信息系统集中或分散到信息化办公室进行登记备案，备案的系统来进行统一部署、统一防护，不备案的系统不允许对外开放，可以及时掌握学校所有网站和信息系统的总数，实现安全事件的快速处置。具体备案的内容有申请单位、网站名称、单位负责人、网站负责人、信息安全管理员、网站制作人、网站类别、网站制作程序语言、网站域名、网站空间大小、网站主要栏目、单位审核意见、信息化办公室审批意见、党委宣传部审批意见。

  网站安全检查制度包括定期、专项和抽检。按时进行检查是指每年两次全校网站安全检查，发现安全风险隐患由信息化办公室向存在风险的院系或部门发送安全风险整改报告，在限期内不能完成整改的网站将被限制为校内访问或强制关闭；专项检查是指在特定时期集中对某类安全风险隐患做全面、重点的检查活动，专项安全检查具有较强的针对性，便于找出问题、查原因、消除安全隐患；抽检是应对上级管理部门的安全检查要求对学校中某些重点网络站点进行抽查评估。

  网站安全事件通报与处理制度是指出现重大信息安全事件时网站安全管理员第一时间向信息化领导小组汇报信息安全事故，并书面撰写通报及处理报告。通报的内容最重要的包含事件发生时间、服务器地址、安全事件经过、解决方法、处理人等。同时，信息化办公室应及时采取相对应的安全措施，将信息安全事件迅速汇报给当地网警，必要时应立即阻断外网连接，进行实时保护，协助有关部门调查取证和系统恢复等工作，将有关违法事件移交公安单位处理，并及时修复安全漏洞，防止进一步传播，将安全事件的影响降到最低。

  网站归档退出制度一种原因是对安全检测之后发现不合格网站，通知其整改后由于种种原因没有实际整改的网站，则关闭外网访问，对不合格网络站点进行归档退出处理；另一方面是针对一些常年不使用的、没有必要的或无人管理的网站，信息化办公室发布年审通知要求各学院及部门核对网站信息，是否要求对外访问，对于没有上交年审材料的网站采取关闭外网访问权限，并对退出网络站点进行备份和归档。

  作者：季益龙、程松泉，浙江师范大学信息化办公室、浙江师范大学教师教育学院；