4.3 信息系统安全管理
知识点
1.为什么光有技术不够
安全领域的一句行话："三分技术，七分管理。"
三个理由：
- 技术有边界——防火墙挡不住"用户自己把密码告诉别人"；再强的加密也防不住"管理员把密钥贴在显示器上"。
- 技术要人配置——默认口令不改、端口随便开、权限给到最大，技术设备形同虚设。
- 攻击的薄弱环节常常是人——钓鱼、冒充客服、内部人员作案，靠的都是"人"这一环。
一组对照最说明问题：
| 技术能做到 | 技术做不到 |
|---|---|
| 检测到异常登录 | 阻止员工用"123456"当密码 |
| 拦截恶意附件 | 阻止学生点开"中奖链接" |
| 备份数据 | 保证备份真的能恢复（要人演练） |
| 记录操作日志 | 保证没人共享账号（要制度约束） |
结论：技术是"硬防线"，管理是"软防线"，两者必须配套。
2.安全管理体系的五个部分
| 部分 | 内容 | 举例 |
|---|---|---|
| 安全策略 | 总纲性文件，说明"为什么做、做到什么程度" | 《校园网络安全管理总则》 |
| 安全制度 | 具体规定"怎么做、谁负责" | 账号管理办法、备份制度、机房出入制度 |
| 组织保障 | 谁牵头、谁执行、谁监督 | 网络安全与信息化领导小组 |
| 人员管理 | 从入职到离岗的全周期约束 | 保密协议、权限审批、离岗权限回收 |
| 运行流程 | 日常怎么运转、出事怎么处置 | 巡检流程、变更流程、应急流程 |
五者关系：策略定方向，制度定规则，组织定责任，人员定执行，流程保落地。
只写制度不建组织，制度就落不了地；只建组织不写流程，出事还是乱成一团。
3.安全策略与制度
安全策略要回答四个问题：
- 保护什么（资产清单：数据、系统、设备）；
- 防什么（威胁清单：泄露、篡改、中断）；
- 做到什么程度（安全目标与可接受风险）；
- 谁负责（责任分工与考核）。
必须有的六项制度（校园场景可直接参照）：
| 制度 | 关键内容 |
|---|---|
| 账号与权限管理制度 | 实名账号、权限审批、定期复核、离岗回收 |
| 数据安全与备份制度 | 分级分类、备份频率、异地保存、恢复演练 |
| 机房与设备管理制度 | 出入登记、环境监控、设备台账 |
| 运行维护与变更制度 | 变更申请、审批、回滚方案、记录留档 |
| 安全事件报告与处置制度 | 上报路径、响应时限、处置流程 |
| 安全教育培训制度 | 培训频次、内容、考核 |
制度的生命在于"可执行"：写"加强安全管理"没有意义；写"新账号开通需填写申请表，由部门负责人与信息中心双签，3 个工作日内开通"才有意义。
4.人员管理：全周期管控
| 阶段 | 管理措施 |
|---|---|
| 入职／入学 | 签署保密与使用承诺、安全培训、按岗授权 |
| 在岗 | 最小权限、定期复核、操作留痕、离岗锁屏 |
| 调岗 | 及时调整权限（收回旧权限、给新权限） |
| 离职／离校 | 立即停用账号、回收设备与门禁卡、交接资料 |
最容易出事的是"调岗与离职"环节：人走了，账号还在，权限没收回——这是审计中最常见的问题，也是内部数据泄露的高发原因。
"账号共享"必须禁止：
- 共享账号意味着无法追溯责任人（日志里全是同一个用户名）；
- 一旦出事，全组人都"有嫌疑"，实际谁也查不出。
一人一账号，是审计的前提。
5.账号与权限管理
四条基本要求：
| 要求 | 说明 |
|---|---|
| 实名唯一 | 一人一号，不用"admin""test"这类公共账号干正事 |
| 最小权限 | 只给工作必需的权限 |
| 职责分离 | 关键操作不由一人完成（如"制单"与"审核"分开） |
| 定期复核 | 每学期／每季度核对一次权限清单 |
特权账号要重点管：
- 数量最少——只给必须的管理员；
- 改名换口令——不用默认的
admin； - 操作留痕——特权操作全量记录；
- 必要时双人复核——重大变更由两人确认。
"改默认管理员账号名"这个小动作，能挡掉大量自动化扫描——因为绝大多数攻击脚本就试 admin。
6.日常运维管理
| 工作 | 频率 | 要点 |
|---|---|---|
| 补丁更新 | 每月／有高危漏洞时立即 | 先测试后上线，避免补丁导致业务异常 |
| 病毒库更新 | 自动每日 | 断网机器要手动更新 |
| 数据备份 | 每日增量＋每周完全 | 定期做恢复演练 |
| 日志检查 | 每周 | 关注异常登录、权限变更、批量导出 |
| 设备巡检 | 每周／每月 | 温度、湿度、UPS、磁盘空间、风扇 |
| 资产盘点 | 每学期 | 设备台账与实物一致 |
| 账号复核 | 每学期 | 清理僵尸账号与冗余权限 |
"日志检查"要看什么（实用清单）：
- 异常时间登录（凌晨、假期）；
- 异常地点登录（境外、异地）；
- 连续失败后成功（可能是爆破成功）；
- 短时间大量导出（可能是数据窃取）；
- 权限变更记录（谁给自己提权了）。
"变更管理"常被忽略但极重要：任何对生产系统的改动（改配置、装软件、改数据库结构）都要有申请、有审批、有回滚方案、有记录。大量事故源于"临时改一下"。
7.网络安全等级保护
等级保护是我国网络安全的基本制度，把系统按重要程度分五级，分级保护、分级监管。
| 级别 | 对象（简述） | 监管要求 |
|---|---|---|
| 第一级 | 一般系统，受损影响较小 | 自主保护 |
| 第二级 | 一般业务系统，受损影响公民、法人权益 | 备案＋测评（多数校园系统在此级） |
| 第三级 | 重要业务系统，受损严重危害社会秩序与公共利益 | 每年测评，监管更严 |
| 第四级 | 特别重要系统（如涉及国计民生） | 强制访问控制、更严格测评 |
| 第五级 | 极端重要 | 专控 |
"等保 2.0"的五个技术层面＋五个管理层面（了解框架即可）：
- 技术：物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全、安全管理中心；
- 管理：安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理。
为什么讲这个：它把前面所有技术与管理措施组织成了一套可检查、可测评的体系，是"制度化管理"的最好范例。
8.风险评估
风险评估的四步：
| 步骤 | 做什么 |
|---|---|
| 1. 资产识别 | 列出要保护的东西（数据、系统、设备）并定级 |
| 2. 威胁识别 | 可能遭遇哪些威胁（泄露、病毒、断电） |
| 3. 脆弱性识别 | 自身有哪些弱点（弱口令、无备份、无日志） |
| 4. 风险计算 | 风险 ＝ 可能性 × 影响程度，排出优先级 |
处理风险的四种策略：
| 策略 | 做法 | 举例 |
|---|---|---|
| 规避 | 不做这个业务／不用这项技术 | 不上线风险过高的功能 |
| 降低 | 加控制措施 | 上双因素认证、加备份 |
| 转移 | 转给第三方（保险、云服务） | 购买网络安全保险、用云防护 |
| 接受 | 影响小、成本高，明确接受 | 内网某台测试机不加固 |
关键认识：安全没有"零风险"，只有"可接受的风险"。管理的任务是把风险降到可接受水平，而不是追求绝对安全（那既做不到也不经济）。
9.应急预案与演练
应急预案必须写清五件事：
- 谁报告——发现异常后第一时间告诉谁；
- 怎么处置——先断网还是先取证？先恢复还是先排查？
- 谁能决策——谁有权决定"停服"；
- 对外怎么沟通——家长、学生、主管部门怎么通知；
- 事后怎么复盘——原因、责任、改进措施。
四类常见场景的处置顺序：
| 场景 | 第一步 | 注意 |
|---|---|---|
| 勒索病毒 | 立即断网隔离受感染机器 | 不要急着重启、不要付赎金 |
| 数据泄露 | 保留证据、封堵入口、评估范围 | 依法报告与告知 |
| 系统瘫痪 | 启用备用环境、切换流量 | 先恢复业务，再查原因 |
| 账号被盗 | 立即冻结账号、改密、查操作日志 | 排查是否已横向扩散 |
演练比预案更重要：没演练过的预案，等于一张纸。演练要真实模拟（真断网、真恢复），并记录"哪一步卡住了"。
复盘的原则：对事不对人——鼓励如实报告，否则大家会瞒报，下次还会出事。
10.安全教育与意识
培训要分层：
| 对象 | 内容重点 |
|---|---|
| 全体师生 | 密码管理、识别钓鱼、不随意外传信息、不扫陌生码 |
| 管理员 | 加固配置、日志分析、应急处置、备份恢复 |
| 开发人员 | 安全编码（防注入、防越权）、依赖组件漏洞 |
最有效的三种教育方式：
- 真实案例复盘——讲身边或新闻中的事故，比讲条文有效；
- 钓鱼演练——发一封模拟钓鱼邮件，统计点击率，再针对性讲解；
- 情景问答——"有人打电话要你的验证码，怎么办？"
一条核心意识："凡是让你'立刻、马上、别告诉别人'的，基本都是骗局。"
11.管理与法律的衔接
安全管理必须符合法律法规要求（第5单元会系统展开），至少要落实三件事：
| 法律要求 | 管理动作 |
|---|---|
| 《网络安全法》 | 落实等级保护、日志留存不少于 6 个月、制定应急预案 |
| 《数据安全法》 | 数据分类分级、重要数据保护、风险评估 |
| 《个人信息保护法》 | 最小必要采集、告知同意、个人权利响应 |
一句话：合规不是"额外负担"，而是安全管理的"最低标准"。
12.校园信息系统安全管理实例
| 方面 | 具体做法 |
|---|---|
| 组织 | 成立网络安全与信息化领导小组，校长任组长，信息中心具体负责 |
| 制度 | 制定账号、备份、机房、应急、培训五项制度并公示 |
| 账号 | 教师一人一号，学生用学号；管理员账号不用 admin；每学期复核 |
| 终端 | 机房统一装还原卡、关闭 USB 自动运行、统一防病毒 |
| 网络 | 内外网隔离、无线实名认证、访客网络单独划分 |
| 数据 | 成绩等敏感数据加密存储、导出需审批、列表脱敏展示 |
| 备份 | 每日增量、每周完全、每月一份离线异地保存 |
| 应急 | 每学期一次恢复演练，明确"谁断网、谁上报、谁决策" |
| 教育 | 新生入学教育含网络安全专题，每学期一次钓鱼演练 |
这张表可以直接作为学校安全自查清单使用。
13.速查表
| 序号 | 考点 | 结论 |
|---|---|---|
| 1 | 安全的基本比例 | 三分技术、七分管理 |
| 2 | 管理体系五部分 | 策略、制度、组织、人员、流程 |
| 3 | 策略要回答的四问 | 保护什么、防什么、做到什么程度、谁负责 |
| 4 | 必需制度 | 账号权限、数据备份、机房、运维变更、应急、培训 |
| 5 | 人员管理四阶段 | 入职、在岗、调岗、离职 |
| 6 | 最易出事的环节 | 调岗与离职的权限回收 |
| 7 | 审计的前提 | 一人一账号，禁止共享 |
| 8 | 权限四要求 | 实名唯一、最小权限、职责分离、定期复核 |
| 9 | 特权账号管理 | 数量最少、改名换口令、操作留痕、双人复核 |
| 10 | 补丁管理要点 | 先测试后上线 |
| 11 | 备份关键 | 恢复演练（备份不等于能恢复） |
| 12 | 日志要看五类异常 | 异常时间／地点、爆破成功、批量导出、提权 |
| 13 | 变更管理四要素 | 申请、审批、回滚方案、记录 |
| 14 | 等级保护分级 | 五级，多数校园系统为第二级 |
| 15 | 等保 2.0 结构 | 五个技术层面＋五个管理层面 |
| 16 | 风险评估四步 | 资产、威胁、脆弱性、风险计算 |
| 17 | 风险公式 | 风险 ＝ 可能性 × 影响 |
| 18 | 四种风险策略 | 规避、降低、转移、接受 |
| 19 | 安全的现实目标 | 可接受的风险，不是零风险 |
| 20 | 勒索病毒第一步 | 立即断网隔离，不付赎金 |
| 21 | 演练的地位 | 没演练的预案等于一张纸 |
| 22 | 复盘原则 | 对事不对人 |
| 23 | 日志留存要求 | 不少于 6 个月 |
| 24 | 最有效的教育 | 案例复盘＋钓鱼演练 |
14.课堂提示（讲课参考）
- 开场做一个"制度缺失"的思想实验：问学生"机房装了最好的防火墙，但管理员账号是
admin/123456，所有人共用，这个机房安全吗？"——三分钟就能把"三分技术七分管理"讲透，比讲道理有效。 - "调岗离职不回收权限"建议做真实排查：让学生（在教师指导下）查看学校某个系统的账号列表，往往能发现往届学生或已调走教师的账号还在。真实发现最能震撼，也最能让学校重视。
- 应急预案不要只讲条文，要"演一遍"：设定"机房断电"或"勒索病毒"情景，让各组分别扮演"发现者、管理员、校领导、家长"，限时 10 分钟写出处置步骤，再对比标准答案。学生会对"谁决策、先断网还是先取证"这类问题产生真正的思考。
- 风险评估用"给自家手机做一次评估"：资产（照片、聊天记录、支付）、威胁（丢失、被偷看、钓鱼）、脆弱性（无锁屏密码、密码复用）、风险等级。学生做一遍就懂整套方法论。
- 收尾落到"每个人都是安全的一环"：不需要人人都成为专家，但每个人都要做到三件事——密码不复用、验证码不外传、陌生链接不点。这三条能挡住绝大多数针对个人的攻击。