基于第三级等保的高校一卡通系统安全体系研究

艾 飞，时东晓，黄建波，苏林忠

（1.华南理工大学信息网络工程研究中心，广东 广州 510640；2.广州城市职业学院信息工程学院，广东 广州 510640）

21 世纪的信息技术与各领域的深度融合，在促进社会、经济发展的同时，因信息技术的快速更迭、管理制度的不完善以及安全意识薄弱等因素所造成的网络安全问题亦日趋严重[1-2]。2017 年，《中华人民共和国网络安全法》正式颁布实施，从法律层面明确国家信息安全的等级保护机制的落实[3]。信息安全等级保护的目的是保障我国基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统的安全，维护国家安全和公共利益[4]。目前，我国重点高等学校的一卡通系统的信息安全等级保护定级为第三级[5]。

那么，高校一卡通系统安全防护对象包括哪些？如何实施安全防护以应对日趋严重的信息安全威胁？如何保障校园一卡通系统满足网络信息安全的第三级等保要求？针对这些问题，该文从一卡通计算体系的视角分析一卡通系统可能存在的网络安全威胁，结合第三级等保要求，从技术和管理两个方面提出高校一卡通系统的安全体系架构，为高校一卡通系统的安全运行提供一个可执行方案。

1 第三级等保的安全体系

2019 年正式实施《信息安全技术 网络安全等级保护基本要求》（GB/T 28448-2019）标志着我国的信息安全等保进入2.0 时代[6]。信息系统根据其在国家安全、经济建设、社会生活中的重要程度，遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等，由低到高划分为五级[7]。

GB/T 28448-2019 定义的第三级等保安全体系涵盖安全技术和安全管理两个方面[8]，其中安全技术针对当前新形势、新技术提出网络信息系统的安全要求项和对应的技术措施，进而保护信息系统的运行环境（物理、计算和网络）、系统服务、系统数据的安全；安全管理则从组织机构、人员、软件生命周期等方面建立规章制度，明确安全管理的方向、目标、范围和职责，从外围加固安全技术无法解决的安全问题[9]，如图1 所示。

图1 第三级等保的安全体系

1）测评对象

随着新技术、新环境的发展，第三级等保的测评对象在通用的信息系统对象的基础上扩延到新型的计算环境、网络环境、管理环境和应用对象，包括云计算、移动计算、大数据、物联网和工业控制。

2）安全技术

安全技术要求物理环境、通信网络、网络区域边界和计算环境的安全性，其中计算环境由主机、数据库、中间件、信息系统、数据等对象组成。

3）安全管理

安全管理从顶层规划安全体系的总纲，明确管理的机构、人员、职责和规程，强调信息系统整个生命周期的安全规划，包括安全管理制度、安全管理机构、安全管理人员、安全建设管理和安全运维管理。

2 一卡通系统的安全威胁分析

2.1 一卡通系统的计算体系

作为高校信息化的基础工程[10]，一卡通系统的应用场景覆盖智慧校园，融合智慧校园的信息系统和社会应用，为全校师生的教学、科研、学习和生活提供便利服务[11]，并为领导决策提供大数据分析的数据支持[12]。一卡通系统2.0 以软件架构为中心，卡片虚拟化，实现身份识别、消费、充值、考勤/签到、自助服务等功能[13]，其计算体系在逻辑结构上分成5层，如图2 所示。

图2 一卡通系统计算体系

其中，网络通信层融合移动网、无线网、有线网，建立智慧校园的宽带泛在网络，打破一卡通传统的专网；计算与存储层融合云计算技术，提供高可用的计算平台；核心服务层基于软件模块化计算范式，采用标准的Web 服务接口，实现与智慧校园应用、互联网应用之间的数据集成和服务融合。

2.2 一卡通系统存在的安全威胁

我国高校一卡通系统始于二十世纪90 年代，技术架构先后融合C/S、B/S 和移动计算。因此，一卡通系统存在安全问题既有技术上的客观因素，也有管理上的主观因素[14]：

1）信息系统的安全威胁不断升级，一卡通系统的早期技术架构无法满足当今安全要求。

2）业务需求动态变化，一卡通系统不断融合其他应用，计算体系的技术架构比较混杂，计算体系内的漏洞具有多样性和隐蔽性。

3）一卡通专网边界的打破，网络服务边界模糊化，访问控制管控复杂、难度大。

4）高校师生的安全意识普遍薄弱、安全防范意识严重不够。

5）缺乏贯通一卡通软件生命周期的网络信息安全的规划和建设。

综合上述的一卡通系统的计算体系和一卡通系统自身的不安全要素，安全威胁主要存在以下几个方面：

1）网络通信

三网融合打破专网的限制，专网与校园网、校园网与移动网、移动网与专网之间的网络边界易造成非法访问和计算机病毒的传播。

2）计算环境

在一卡通系统的向下兼容的计算环境内，存在低版本的操作系统、数据库和中间件，这些低版本系统的漏洞甚至已无法修复，而这些漏洞却是非法入侵的突破口。

3）技术融合

目前一卡通系统2.0 的技术架构融合Web 技术、移动计算技术等，技术的融合存在接口上的安全漏洞以及数据泄露风险。

4）管理制度

管理制度涉及物理环境、计算环境、系统生命周期等。制度不完善的后果是用户的安全意识薄弱，系统的脆弱性高，易遭到网络攻击和人为破坏。

3 高校一卡通系统的安全体系设计

信息系统的安全应具备机密性、完整性、可用性、可审查性和抗抵赖性等特征[15]。一卡通计算体系由物理环境、网络环境和计算环境组成，其中物理环境对象是机房以及相应的机房设施，网络环境对象包括网络分区以及相应的网络设备，计算环境包括计算硬件和计算软件。因此，一卡通系统的安全防护对象主要包括：机房、网络结构（网络拓扑、网络通信）、网络设备、计算硬件（服务器、存储、POSE 机、充值机等终端）和计算软件（包括配置数据和业务数据）。

结合第三级等保体系的安全要求，文中从技术和管理两个方面设计一卡通系统安全体系，对一卡通系统的组成对象进行纵深防护，如图3 所示。

图3 一卡通系统安全体系

3.1 技术体系设计

技术体系是通过采用客观的技术手段实现可控的一卡通系统的物理安全、网络安全和计算安全。

3.1.1 物理安全

依据第三级等保的物理环境要求建设机房，配置电子门禁、消防系统、监控系统、精密空调、UPS、发电机等。在此基础上，独立设置一卡通计算设备的物理区域，保护一卡通计算设备以防人为破坏。

3.1.2 网络安全

网络安全是对网络的可用性和可靠性的要求。实施网络链路、核心网络设备的冗余设计；合理划分三网融合（专网、校园网、移动网）的网络区域，网络区域边界部署安全设备，并集中管控访问策略、审计分析和入侵检测。

3.1.3 计算安全

计算安全是保证一卡通业务7×24 小时正常、安全、稳定运行，保障一卡通服务的连续性。集群技术是一卡通系统高可用性的关键技术；主机的安装和访问基于最小权限和最少安装原则；开启主机和应用系统的审计功能记录用户操作；定期升级病毒软件和支撑软件从而避免非法入侵和病毒传播。

数据安全包括数据的完整性、保密性和备份恢复。数据访问控制结合身份认证和网络认证，并基于加密算法加密通信数据以防数据窃取；部署异地容灾系统实时备份重要数据并定期验证备份数据有效性。

3.2 管理体系设计

网络安全强调“三分技术，七分管理”[16]，安全技术的实施需要管理制度的规范约束。管理体系涉及一卡通信息安全领域、信息安全技术框架、安全操作规程、安全管理机构和人员等对象。

3.2.1 安全总纲

从顶层阐述安全总体目标和范围、安全技术和安全框架，制定相应的管理制度，明确各安全管理活动和应遵循的规程。

3.2.2 机构人员

设立专门的信息安全机构和职能部门，配置一卡通安全岗位，制定相应岗位的职责和安全操作规程，建立安全人员的培养体系。

3.2.3 建设运维

从一卡通系统的建设、开发、部署、运维等各阶段规划安全方案，实施安全措施，完备一卡通资产管理，制定安全事件响应和应急方案，不定期进行安全检测和安全演练。

4 一卡通系统的安全体系应用

华南理工大学的一卡通系统由基础网络、运行环境、服务器、计算机及相关配套的设备构成。一卡通系统跨越3 个校区，融合当前的Web2.0 技术和移动计算技术实现实体卡与虚拟卡的结合以支持移动自助服务。目前一卡通系统集成图书馆、医院、食堂、超市、校巴、体育场馆、会议室签到、教学楼考勤、宿舍门禁以及水电空调等校园业务，实现“一卡在手，走遍校园”。

基于该文的一卡通系统安全体系，学校从外而内对一卡通系统实施纵深防御，建立全局域的安全防护和一卡通局域的安全防护，如图4 所示。

图4 华南理工大学一卡通安全体系

其中，全局域的安全防护对象涉及公共的物理环境、网络环境以及管理制度，通过集中管控的方式保护全校的网络信息安全；一卡通局域安全体系针对一卡通独立的计算体系，安全保护对象涉及一卡通系统相关的物理、网络、计算、数据。

在当前信息安全新要求和信息安全威胁新环境的驱动下，华南理工大学先后实施机房改造、网络设备升级、网络安全设备的加固、一把手负责的安全管理机构的设立、以及贯彻软件生命周期的管理制度的制定，从全局域范围建立全校的网络信息安全防护。一卡通系统涉及全校师生的身份和消费，系统的重要性促使一卡通系统完善计算架构，其中包括：核心计算主机集群的实施、存储设备的冗余设计、以及异地容灾系统和网络边界的防火墙的部署，同时完善相应的管理条例以规范一卡通系统的运维。

目前，华南理工大学一卡通系统具有主动防御能力的安全运行环境。从2019 年始，华南理工大学一卡通系统每年持续通过网络信息安全第三级等保评测。反之，每年的第三级等保评测又促进一卡通系统安全体系的不断完善。

5 结束语

一卡通系统作为高校智慧校园的基础工程，教育部要求定级为第三级等保。文中系统地厘清一卡通系统可能存在的安全威胁，针对这些安全威胁和当前信息安全要求，引入网络安全第三级等保的安全体系，自下而上设计了高校一卡系统的安全体系。基于文中的安全体系，建设和整改了华南理工大学一卡通系统的安全架构，该架构具有纵深防御能力，保障一卡通系统具有第三级等保的安全防护能力。下一阶段将在访问控制授权粒度、多重身份认证模式、数据库审计等方面加强系统的抗抵赖性。