高校信息系统安全策略的研究与实践

　　摘 要：高等学校信息系统安全策略的研究与实践是学校信息化建设工作的重要组成部分，是学校信息化工作的有力保障。影响学校信息系统安全运行的因素有：物理安全、网络安全、数据安全、系统管理、灾难应急等几方面，本文重点论述了信息系统中数据库安全运行的研究和实践。

　　关键词：信息系统;数据库安全;身份认证;备份恢复

　　一、引言

　　辽宁中医药大学贯彻国家教育信息化十年发展规划纲要精神，开展了全面信息化建设工作，信息化应用系统建设坚持“统一规划、分步实施、加强应用、资源整合、共享数据”的指导思想，定制开发了信息化应用系统支撑和业务平台，建成了以HP Cloud System Matrix云系统为支撑，高效、绿色、安全的数据中心，数据库安全运行是保障数据中心和各业务平台正常运转的前提条件。

　　二、数据库系统安全运行面临的威胁

　　网络故障、病毒侵害、非法访问、数据库破坏、拒绝服务攻击、系统物理故障、使用人员人为失误等构成了数据库系统所面临的安全威胁，这些威胁可造成对数据库系统可用性、完整性和保密性的破坏。

　　三、保障数据库安全运行的具体实现方法和内容

　　全面的数据库系统安全机制是保障数据库安全高效运行的有力保障。学校在身份认证体系、权限管理机制、基于安全级的访问控制能力、数据完整性、数据备份、安全审计等相关方面部署了安全策略。

　　1.安全的身份认证体系

　　统一身份认证系统将学校分散的用户和权限资源进行统一、集中的管理，利用目前流行的业务整合技术SSO(单点登录)实现了信息门户用户身份的统一认证，简化用户访问内部各系统的过程，使得用户只需要通过一次身份认证过程就可以访问具有相应权限的所有资源，构建了为各应用系统提供用户身份识别服务的公共基础平台。

　　2.安全、高效、灵活的权限管理机制

　　数据库系统的安全是应用系统安全运行的基础，对数据库操作用户进行有效管理是至关重要的， 由于学校应用系统的特殊性，每一应用系统都有独立的数据库，SQLServer的SA管理员为各系统管理员设定用户标识、口令和相应权限，并定期修改密码。Oracle数据库DBA管理员利用Oracle 数据库中的角色管理( role organization) 机制，定义系统不同角色，规范数据库访问权限。学校各应用系统实行双管理员制，信息中心管理员负责应用系统的部署、测试和维护，而业务部门管理员根据系统业务需求为系统定义角色、岗位，明确使用用户的角色及岗位及每个角色每位用户权限范围，确保每一用户能且只能在系统授权的范围内使用相应功能和管理相应数据。

　　3.访问控制

　　根据应用系统业务需求和访问对象的不同，在校园网上部署Oracle、SQLServer数据库服务器、版本控制服务器，根据使用用户的不同将Web服务器分别部署在校园网上与互联网上。数据库服务器采用双机集群形式，保证服务永不停止。采用更新包技术，利用版本控制服务器及时更新应用服务器上的程序版本，保证门户主页和程序文件的有效恢复。

　　4.数据完整性

　　根据数据库数据和各应用业务的内在联系，使用完整性约束防止不合法的数据进入基表，Oracle将每个完整性约束的特定信息储存在数据字典中，可以使用这些信息设计数据库应用，为完整性约束提供当前的用户反馈。可以通过索引、UNIQUE约束、主键(PRIMARY KEY)约束实现数据的实体完整性，参数完整性的实现是通过定义外键(FOREIGN KEY)与主键(PRIMARY KEY)之间的对应关系实现的。[1] SQLServer 数据库还可使用触发器和存储过程实现数据完整性，可为数据库表设立触发器，严密控制数据的录入、修改、删除。[2]

　　5.数据备份与恢复

　　当意外事件发生而造成数据库破坏时，数据库备份可及时恢复数据库中的内容。备份遵循如下原则：日志文件归档到磁盘;保持控制文件多个拷贝;联机日志文件应为多个;保存归档重做日志文件的多个拷贝等。

　　Oracle数据库采用3种标准备份方式中导出(Export)方式备份。系统采用多种灵活机动数据备份方式和数据备份策略，制定计划定期自动备份;随机按需手动备份，使用HP备份软件将备份的数据按期抓走转储到异地。

　　核心业务数据每天固定时间进行全备份，保存最少一周，其他数据每天进行差量备份，每周进行全备份;定期进行历史数据转储。

　　6.安全审计

　　审计是监视和记录所选用户的数据活动，通常用于调查可疑活动和监听与收集特定数据库活动的数据。审计操作类型包括登录企图、对象访问和数据库操作。

　　四、结束语

　　随着高校信息化建设日新月异的发展，数字化校园正悄然向我们走来，这其中应用系统建设正画着浓墨重彩的一笔，而做为其核心的数据库系统至关重要，它的安全关系到整个数字校园的生命线，但安全总是相对的，三分技术七分管理，管理制度与技术解决方案相结合，才是制定一切安全方案的基本。?

　　参考文献：

　　[1]郑阿奇.Oracle实用教程[M].北京： 电子工业出版社：114-118.

　　[2]赵杰，李涛.SQL SERVER2005管理员大全[M].北京：电子工业出版社：367-369.

　　来源：《中国教育信息化》 作者：潘 旭