BS7799在图书馆中的应用，本文主要内容关键词为：馆中论文,图书论文，此文献不代表本站观点，内容供学术参考，文章仅供参考阅读下载。
1 信息安全标准产生的背景及简介
随着信息化水平的不断提高，信息技术已被广泛地应用于工作生活中的方方面面，特别是进入21世纪后，一个以网络为核心的信息时代逐渐形成。目前，全球的信息安全状况堪忧。尤其是在我国，安全意识普遍薄弱，为犯罪者提供了温床。
为了对信息进行有效的安全保护和确定各类信息系统控制范围的参考基准，BS7799（《信息安全管理体系标准》）应运而生。BS7799是在BSI/DISC的BDD/2信息安全管理委员会指导下制定完成的。它由两部分构成：BS7799-1《信息安全管理实施细则》和BS7799-2《信息安全管理体系规范》。
BS7799标准于1993年由英国贸易工业部立项，1995年英国首次出版BS7799-1，它提供了一套综合的、由信息安全最佳惯例组成的实施规则。1998年英国又公布标准的第二部分《信息安全管理体系规范》，它规定信息安全管理体系要求与信息安全控制要求，是一个组织的全面或部分信息安全管理体系评估的基础，可以作为一个正式认证方案的根据。1999年，BS7799-1与BS7799-2经过修订重新予以发布。1999版考虑了信息处理技术，尤其是在网络和通信领域应用方面的近期发展，同时还特别强调了商务涉及的信息安全及信息安全的责任。2000年12月，BS7799-1通过了国际标准化组织ISO的认可，正式成为国际标准——ISO/IEC17799-1：2000《信息技术——信息安全管理实施细则》，同时BS7799-2转化工作也正在进行中。ISO17799强调管理体系的有效性、经济性、全面性、普遍性和开放性，目的是为希望达到一定管理效果的组织提供一种高质量、高实用性的参照。信息安全不仅仅是一个技术问题，更重要的是一个管理问题。许多信息系统在设计时只过多地考虑系统本身所要达到的功能，而忽视了系统的安全问题，所以依靠技术手段来实现安全是有限的。此时应当加上适当的管理来支持，即建立信息安全管理体系（ISMS）来对信息安全进行管理。建立和实施信息安全管理体系是保障组织、政府机构信息安全的重要手段。
2 如何实施BS7799建立信息安全管理体系
应用BS7799来建立信息安全管理体系可遵循如下框架：
2.1 制定信息安全方针
信息安全方针在许多场合又称为信息安全策略。确定并实施组织的信息安全方针，是信息安全最佳惯例之一。方针应经管理层批准，传达给所有工作人员，管理层还需定期对方针进行评审，需要时加以修订，确保适用性。
2.2 明确信息管理范围
组织应根据自己的特性、所处的地理位置、资产情况以及技术情况，来界定其拟建立的信息安全管理体系的范围。
2.3 评估信息安全风险
在建立信息安全管理体系时，应首先对组织进行适宜的风险评估，识别组织资产所受到的威胁及管理上的薄弱环节，然后对风险进行评估，确定风险程度。风险评估技术可用于整体，也可应用于局部。
信息安全风险评估应考虑下列情况：
（1）安全故障可能引起的商务损失，应考虑信息及其他资产的机密性、完整性和可用性损失的潜在后果。
（2）根据主要的威胁和薄弱点控制出现这类故障的实际可能性。
上述评估的结果将确定信息安全风险以及为防止这些风险的控制措施。评估风险和选择控制方式的过程可能需要反复进行，以便涉及组织的不同部分及各个信息系统。
信息安全风险还应进行定期评估，以便考虑商务需求和重点的更改；考虑新的威胁和薄弱点；确认控制方式保持有效性、适当性。
（1）确定风险区域。
组织应根据对其信息风险评估的结果、信息安全方针及其信息资产需要的保证程度，来确定应进行管理的风险区域。
（2）控制方式的选择。
当信息安全要求或目标确定以后，就应选择并实施控制，以把风险降到可接受的程度。控制方式根据组织的实际情况制定。
（3）实施控制。
一旦信息风险的控制方式选定以后，组织就应当将其付诸实施，在实施前可以根据需要制定具体的实施程序。
3 BS7799对图书馆的意义与作用
作为当今社会主要信息服务部门之一的图书馆，其信息安全的重要性是不言而喻的。特别是随着计算机与网络技术高速发展，大多数图书馆已摆脱传统管理模式的制约，向开放性、社会化方面发展，某些图书馆已完全网络化，事实上已成为全球性的公众图书馆，这使得这些图书馆的信息安全问题比以往任何时候都显得严重。BS7799作为通用性的国际信息安全标准，有普遍的适用性，当然也适用于图书馆。同时，作为一种社会服务机构，图书馆有义务遵循国际标准。所以，BS7799有必要在图书馆推广使用，也应该能在图书馆推广使用。
南京农业大学是进入“211工程”的国家重点支持发展的全国百所高校之一。南京农业大学图书馆是一所拥有7个阅览室、1000多个阅览座位、年接待读者62万人次以上、年平均借书总量达20万册的高校图书馆。作为华东地区农林院校的信息情报中心与江苏高校农学文献中心，该图书馆与国内外700多个单位保持着日常的业务联系和书刊交换。南京农业大学1996年开通了校园网，并通过中国教育科研网加入Internet，其校园网的网络中心即设在图书馆。伴随着校园网的建设，图书馆也开始了向现代化图书馆的战略转移。图书馆的流通借阅、图书资料文献信息的查询检索，已实现计算机自动化、网络化。图书馆的计算机局域网已与中国教育科研网、Internet联通，馆内设有网络室与多媒体阅览室，自动化、网络化的水平居全国农业院校前列。
该馆的流通部分成三个部分：自然科学借书处、学生参考书阅览室、社会科学借书处，其中社会科学借书处中还含有书库和文化素质教育书库。流通部负责馆内图书的借还工作，在馆内具有举足轻重的地位，因此对它的信息安全保护不可小视。
为说明BS7799对图书馆信息安全的意义与作用，并进一步阐述BS7799的实施方法，我们以南京农业大学图书馆流通部为实例，按BS7799的规范设计了一套图书馆信息安全管理体系。根据BS7799的规范，该安全管理体系包括信息安全方针、范围、风险评估、安全需求、风险控制五个部分。
4 南京农业大学图书馆流通部信息安全
4.1 信息安全方针
4.1.1总体目标。
保护图书馆的信息资源，找出薄弱点。通过对信息的安全管理使图书馆的信息最大程度地避免一系列的威胁，保障工作的连续性，最大限度地减少损失。
4.1.2方针。
包括人员审查方针、访问控制方针、设施安全方针、系统安全方针、网络服务使用方针、运作方针。
4.1.3范围。
南京农业大学图书馆流通部及其中各项资产，包括实物、软件等。
以平面图方式，标出流通部及各下属部门在图书馆建筑物中的具体位置，作为信息安全体系设计与评估的对象。
4.2 信息安全风险评估
图书馆的运作不太复杂，它的资产只需要一个低等到中等的安全要求就可满足，所以为其做基本风险评估为最佳方案。
4.2.1风险识别。
（1）资产识别与评价。
对图书馆流通部的现有资产进行编号，分别用C1、C2、……表示，按资产相对价值重要性划分为五级，用0～4五个数字表示，得到图书馆流通部资产识别与评价表。
（2）威胁识别与评价。
对每项可能的信息安全威胁进行编号，分别用A1、A2、……表示，将威胁发生的可能性划分为低、中、高三级，分别用0、1、2表示，得到图书馆流通部的威胁识别与评价表。
（3）薄弱点识别与评价。
对每个的信息安全薄弱点进行编号，分别用B1、B2、……表示，对安全薄弱点按其被利用的可能性划分为低、中、高（0～2）三级。每个薄弱点可能面临多项威胁。如针对薄弱点“对室内实物的访问控制不充分”，可能利用该薄弱点造成的信息安全威胁有：盗窃、故意破坏、资源滥用，其对应的评价等级分别为2、2、1。如此，得到图书馆流通部的薄弱点识别与评价表。
4.2.2风险测量。
使用风险矩阵表（又称为预先价值矩阵）进行测量，该方法是利用威胁发生的可能性、薄弱点被威胁利用的可能性及资产的相对价值的三维矩阵来确定风险的大小，用上述风险识别中所划分的等级来测量。这样，得到下述形式的风险价值矩阵表。
风险价值矩阵表
将图书馆流通部的资产识别与评价表、威胁识别与评价表、薄弱点识别与评价表中的各项编号与等级值代入风险价值矩阵表，就得出南京农业大学图书馆流通部各要素信息安全风险值的风险价值矩阵。
4.2.3风险优先级别确定。
有了风险价值矩阵，就可以根据风险价值矩阵中的取值，采用区间划分方法将风险划分为不同优先等级，以便因地制宜，采取不同方法进行控制。当风险值为6、7、8时，为高风险，须优先重点控制；当风险值为3、4、5时，为一般风险，须进行适当控制；当风险值为0、1、2时，为低风险，代表风险可以接受。
4.3 南京农业大学图书馆流通部信息安全需求的制定
分析图书馆流通部的风险价值矩阵可发现，从威胁发生的可能性来看，该部门因“故意破坏”和“通信服务故障”所造成的威胁最大，其次是“硬件故障”、“资源滥用”、“操作人员错误”等威胁，而最小的威胁是“空气中灰尘”这一项。“故意破坏”可利用的薄弱点有“对室内实物的访问控制不充分”、“对计算机的使用没有进行严格管理”和“缺乏网络监控防护程序”；“通信服务故障”可利用的薄弱点为“网络监控防护程序”。
从薄弱点来看，“对室内实物的访问控制不充分”可被三项威胁所利用，“缺乏网络监控防护程序”可被三项威胁所利用，“对计算机的使用没有进行严格管理”可被两项威胁所利用，“培训工作不到位”可被两项威胁所利用。
综上所述，我们应对“室内访问控制”、“网络监控”、“计算机使用”、“培训工作”这几个薄弱点进行重点管理和防护。
4.4 南京农业大学图书馆流通部信息安全的风险控制
确定信息安全管理体系范围所涉及的风险后，就要采取适宜合理的方法进行安全控制。依据评估结果，对南京农业大学图书馆流通部提出如下几条具体管理方法：
4.4.1设立安全组织。
（1）建立信息安全组织机构。
该机构应由图书馆最高管理层和相关安全技术管理人员组成，所应履行的职责包括：定期召开会议；确认风险评估结果；追踪动态，分析当前安全形势，不时对现有的方案进行改进；根据实际情况，不时调整部门及人员的责任；加强与其它高校图书馆的合作。
（2）对第三方访问加以控制。
允许访问的人员有：本校学生；本校老师；持有通用借书证的人员；参观学习人员；软硬件维护人员；清洁工等服务人员；校内其他工作人员。
安全控制措施有：校内非流通部人员凭本人校内借阅证借阅图书，无有效证件者不得进入流通部借书处；非校内人员可持高校通用借书证进入，否则不得进入；允许访问的其他人员应在流通部相关人员的陪同下进入，并应被告知重要的安全注意事项；任何第三方访问人员不得带书包等物品进入借书处；任何非流通部工作人员不得把书擅自带离借书处。
4.4.2对资产进行分类。
将流通部的各项固定资产按不同性质进行分类。对每一项新增加的资产及时登记在资产清单上。实行责任承包制，把资产分给每个工作人员进行安全保护，每个人将自己所分到的保护资产每天使用情况进行详细记录，如发现异常，及时向管理层或相关技术部门反映。
4.4.3人员安全。
信息安全三分靠技术，七分靠管理。而管理中最重要的因素就是人。对人的管理分两部分进行：
（1）对内部工作人员控制措施。
定期对图书馆相关工作人员进行安全教育及培训，使其明确安全职责；为员工制订详细职责工作说明；与重要岗位人员签订保密协议，转岗或离岗时，不得把重要秘密信息透露于他人；对工作人员的道德行为进行考察；建立工作人员惩戒机制。
（2）对用户控制措施
对用户进行定期培训；制定用户使用规章制度；建立用户惩戒机制。
4.4.4实物与环境安全。
实物的损坏对图书馆有最直接的影响，对实物的保护是信息保护的基础，是非常重要的一方面。对实物可进行以下几方面的保护：
（1）划定安全区域。
划定流通部安全周界，在借阅进出口处设置控制台，刷卡进出，并记录每个访问人的进出时间。
（2）设备安全管理。
重要设备，如计算机等，应尽量避免放置在非工作人员伸手可及的地方；对特殊设备要进行隔离；对室内空调系统进行控制，使温度、湿度和清洁度得到保证；加固门窗；安装报警系统，装备专用灭火器、灭火工具及必要的辅助设备；计算机应插在具有保护装置的不间断电源设备上；对所有设备进行定期维护；定期对线路进行维护。
（3）通用管理。
非工作时间不得使用计算机等重要设备，如有特殊情况，需经上级批准；计算机等设备，在不使用时应通过键盘锁定、口令或其他控制加以保护。
4.4.5通信与运作管理。
（1）操作职责。
建立安全事故响应、管理责任程序；进行职责分离。
（2）对病毒的控制。
建立使用计算机的相关规章制度。
（3）数据备份。
备份管理流程为：识别出需要备份的数据；明确数据备份要求；实施备份；备份媒体标识；安全存储；必要时，对备份媒体可用性定期测试。
（4）网络管理。
安装防火墙；设置权限，进行加密；采用网络探测器探测攻击，对远程网络实施监控；将网络操作职责与计算机操作职责分开。
（5）媒体管理。
对于需要保存的媒体，标记后，划分保密级别，由经授权管理的人员进行管理，存放在适宜的环境中；对于无用的媒体采取物理或化学方法破坏或再次利用。
4.4.6访问控制。
（1）用户访问管理。
建立一个正式的用户登记和解除登记的授权程序，使用用户口令管理。
（2）网络访问控制。
进行网络隔离，将信息服务、用户和信息系统进行分组控制；使用网络连接控制，限制用户的连接能力；对访问网络的用户进行身份鉴别。
4.4.7系统安全。
在建立系统之初考虑加入信息安全技术要强于事后亡羊补牢。系统安全的控制主要使用加密技术，南京农业大学图书馆现使用的是汇文软件系统。该系统的一大特点就是绑定技术。该系统安装在不同的计算机上，就有供应商提供的不同用户名和密码，安装后，该用户名和密码即与计算机绑定，即使其他用户获得密码，只能在已绑定的计算机上使用，在其它计算机中使用无效。
4.4.8持续性管理。
如有意外发生，可采取应急措施，保证工作的持续性：
（1）购买相应的保险。
（2）应急程序。
与警察、火灾服务中心，当地相关部门联系。
（3）恢复。
建立恢复领导小组，负责协调整个恢复工作；建立网络恢复小组，负责恢复整个网络基础设施；建立系统恢复小组，负责所有主机的恢复工作；建立数据库恢复小组，负责数据库系统的修复、重起，数据恢复和加载；应用恢复小组，负责整个应用系统的恢复。
（4）备用程序。
计算机系统发生故障时，可改用人工记载借还记录。
（5）职责分配。
如发生意外，各工作人员履行其相应职责。
4.4.9依从。
依从相关的信息法律法规，避免和刑法等有关法规及其它安全要求的规定相抵触。
5 结论
与一些单位的敏感部门相比，图书馆计算机系统所存储、传输、处理信息的重要性较低，但其中的书目数据库、读者数据库、流通数据库等信息是图书馆工作开展的必要条件，如果安全防护措施不够，有可能使计算机系统无法正常工作，严重影响图书馆的工作，影响声誉，造成损失。
本文试图说明，应该重视图书馆的信息安全管理工作，及早做好防护工作，并且，以BS7799为标准，建立适合图书馆的安全防护体系是必要的，也是可行的。本文的研究结果，在南京农业大学图书馆的具体工作实践中得到了认可和证实。
标签：信息安全论文; 图书馆论文; 信息安全管理体系论文; 计算机安全论文; 信息安全标准论文; 风险评价论文; 矩阵管理论文; 工作管理论文; 安全管理论文;