设。二级系统可通过建立二级系统区域合理裁剪安全控制。为保障 国家信息系统整体安全，省级数据中心应建立安全预警与监管中 心，建设与部级上下级联的安全运行维护管理平台、应用安全监测 与预警平台和安全工作管理平台。
信息系统在设计规划、建设和运行的整个生命周期中应根据国 家信息安全等级保护制度，同步开展信息系统安全等级保护定级、 备案、等级测评、建设整改和监督检查等工作，并根据《信息系统安 全等级保护基本要求》（GB/T 22239-2008）等国家及行业相关标准 规范进行安全保障体系建设。 4.5.2 信息安全方针策略
省级数据中心应结合整体信息安全需求，实现“积极防御、主 动防护”，并建立符合国家信息安全等级保护三级要求的总体安全 策略，实现信息安全的机密性、完整性、可用性、可控性和不可否 认性的安全目标。 4.5.3 安全技术体系 4.5.3.1 基础设施安全 1.物理安全
应根据数据中心机房的总体要求、国家《电子信息系统机房设计
规范》（GB 50174-2008）等相关标准进行安全建设，采取门禁、消 30
防报警、环境动力设施监控管理、视频监控、防雷击和防静电等措 施，做好符合要求的电力供应，关键基础设施、设备和磁介质应通 过部署防电磁屏蔽机柜等措施建立电磁防护机制。 2.网络安全
(1) 网络结构安全。省级数据中心应根据承载数据的规模、应
用系统的重要程度、数据中心的业务和服务功能等划分不同的安全 域。安全域应包括应用服务器区域、数据库服务器区域、数据存储区 域、前置服务器区域、网络安全管理区域和对外服务区域等，根据“业 务资产重要程度相似、业务风险等级相似”等原则进行安全域划分。 (2) 网络核心安全。数据中心网络核心应确保网络数据的处理 性能和业务连续性，保障核心业务数据的网络资源冗余，并具有硬件 冗余备份机制。
(3) 网络汇聚安全。在网络汇聚安全中应通过 ACL、防火墙实
现访问控制机制，确保重要服务器区域之间的安全访问，建立与业务 逻辑访问关系相一致的网络访问控制策略，并针对三级区域汇聚边界 设置网络入侵检测、网络安全审计等配套安全措施。 (4) 网络接入安全。
① 互联网接入。互联网边界应建立具备冗余机制的边界隔离措
施，例如防火墙、防病毒网关、入侵防御等，或具备综合防护能力的 统一安全网关。同时根据互联网可能发生的安全威胁合理部署抗DOS 攻击、负载均衡、带宽管理等措施。
② 教育系统专网接入。教育系统专网包括教育城域网、教育科 研网的专网接入应至少部署防火墙、入侵检测和网络安全审计等措 施。
③ 第三方接入。其他第三方接入应根据接入的重要程度形成统 31
一的第三方安全解决区域，部署网络接入边界的防火墙、入侵检测和 网络安全审计等措施。
④ 内部服务器和终端接入。在每个网络接入边界应部署用户安 全接入系统，控制远程用户的安全接入，并确保与远程接入系统服务 之间的安全传输和访问。 (5) 网络传输安全
省级数据中心承载的三级信息系统通过互联网进行远程传输
时，应根据实际情况，采用适当的通信传输加密措施，确保网络传输 过程的安全性。在部省两级数据中心之间进行数据传输时，应通过 IPSEC VPN技术措施进行传输加密，在数据中心服务器与应用终端之 间进行数据传输时，应通过SSL VPN技术措施进行传输加密。 (6) 其他安全内容
省级数据中心承载国家信息系统时应设置单独的网络区域，确保 系统和数据的安全性，但整体安全应与本省自建及其他应用系统共同 搭建信息安全保障体系。 3.主机安全
数据中心服务器主机应建立备份冗余机制，保障系统的持续稳 定运行，针对核心重要信息系统应采用主机安全加固系统，建立 “三权分立”的访问控制机制，确保系统最小化的访问控制配置实 现。
核心服务器应确保采用两种以上的身份鉴别机制，与PKI/CA系 统进行结合，运行维护管理可配合堡垒主机，确保实现细粒度的访 问控制、敏感信息加密以及日志审计功能。
各类服务器应采用系统补丁管理和防病毒系统提高系统的防护 能力，并通过系统配置优化减少自身的安全隐患。对于操作和使用 32
服务器的业务终端应进行统一的管理，确保业务终端的专业程度， 加强终端的自身安全性，包括系统配置优化、防病毒、补丁管理等 措施。 4.存储安全
重要数据应采用数据隔离机制，确保数据存储区域的安全性、 访问的严格控制和数据的严格使用。
关键和重要业务数据、鉴别信息和重要管理数据要采用加密存 储的方式，确保数据的安全性。
数据存储要建立符合数据中心信息系统服务级别的备份恢复机 制，确保数据能够在所要求的时限内及时恢复。数据中心三级信息 系统的备份恢复要建立异地数据级备份中心或采用第三方异地备份 服务，确保每日数据的全备份、异地存储。 4.5.3.2 平台及应用安全 1.平台安全
(1) 数据库系统安全。数据库系统安全是指数据库管理系统的 安全性，应采用符合整体信息系统数据支撑的数据库系统，能够承载 大型数据的结构化处理和存储。数据库管理系统要实现两种以上的身 份鉴别机制，对数据库用户进行权限划分，强制职责分离，实现严格 的访问控制，并对敏感数据进行加密处理和存储，同时启动数据库的 日志审计功能，保障数据安全。
(2) 中间件安全。业务支撑的中间件系统应启动自身安全配置，
并采用漏洞扫描等技术方法对中间件进行评估，能够发现潜在的安全 隐患并及时进行加固处理，确保中间件系统的自身安全。保障中间件 的原厂商能够支持中间件版本的升级，持续提供确保其安全性和稳定 性的服务。
33
(3) 虚拟主机安全。虚拟机的体系结构本身可以增强虚拟域操
作系统的安全性，应当进行合理的设计，通过虚拟机的管理系统加强 虚拟机的隔离机制，并配置支持虚拟化的防病毒、入侵检测等机制。 虚拟主机操作系统的运行维护管理要采用两种以上的身份鉴别 机制，严格的访问控制和日志审计功能。 2.应用安全
应用系统要设计身份鉴别、访问控制、敏感数据加密、抗抵赖 和日志审计等安全功能，符合数据中心的整体技术架构，具体安全 技术要求可参见有关教育管理信息化建设应用系统开发安全规范。 应用系统进行数据采集时，应用系统的数据上报终端，应采用
SSLVPN、终端认证Key及CA认证证书相结合的方式，保障终端用户的 授权认证及数据传输加密，并实现SSLVPN与应用系统的用户身份认 证、数据上报安全控制和其他功能的集成。 4.5.3.3 服务交付安全
数据中心在进行应用交付和系统服务时，应采用必要的安全服 务机制，确保交付和服务的安全性，包括信息安全风险评估、安全
加固、应用代码审计、等级保护安全测评和应急响应等。
在信息系统的建设和运行维护过程中，要通过信息安全风险评 估、安全加固和应用代码审计等服务对系统进行安全分析，降低系 统自身的脆弱性，提升系统的安全保护能力；同时在出现异常问题和 事件时，能够通过应急响应的方式及时进行处理和恢复。 4.5.3.4 电子认证和应用安全支撑系统
应采用电子认证系统，与重要应用系统的身份认证、访问控
制、通信安全以及日志审计功能相结合，逐步建立起统一的教育系 统信任体系。电子认证和应用安全支撑系统应根据应用系统的实际 34
安全需求，配置必要的电子证书，同时结合数字签名技术实现抗抵 赖机制。通过部署RA中心和本地认证网关，实现PKI/CA系统的措施 应用，设置单独的安全区域部署相关的系统设备。 1.电子认证系统
应按照教育部的统一部署，在教育部电子认证系统（CA系统）基
础上，建设省级电子认证系统（省级RA系统）。省级电子认证系统通 过建设数字证书注册系统方式实现，并通过教育部电子认证系统（CA 系统）签发数字证书，二者逻辑关系如图7所示。 图7 CA系统体系框架
省级RA系统为省级信息系统用户实现证书签发和管理，与应用 系统的身份认证、访问控制、通信安全以及日志审计功能相结合， 逐步建立起统一的教育系统信任体系。
教育部和省级数据中心进行证书签发的通信网络应采用加密的 方式，确保证书签发和资源访问的安全性。
35
基于省级电子认证系统的证书申请、发放、变更、审核等管理
工作应当设置必要的RA操作员、管理员和审核员，全面做好系统的 运行维护管理工作，确保系统的安全性。 2.数字证书应用支撑系统
省级信息系统根据实际安全需求，配置数字证书，同时结合数 字签名技术实现身份认证和抗抵赖。
通过部署本地身份认证认证网关、签名验证设备、SSL网关等设 备，实现PKI/CA系统的措施应用，设置单独的安全区域部署相关的 系统设备。
4.5.3.5 安全预警与监管平台 1.安全运行维护管理
省级数据中心结合三级信息系统的安全管理要求，应建立统一 的安全运行维护管理平台，能够实现本地计算环境、设备、资源的
统一安全监控、告警、安全事件分析、风险管理、综合日志审计和 工单管理，能够与中央级安全运行维护管理平台相对接，实现联 动，及时上报信息安全事件发生和处理情况。另外，通过统一的安 全预警机制，能够及时对信息安全事件提出响应和处置建议。 2.应用安全监测与预警
省级数据中心应配备应用安全监测与预警平台，实现事前漏洞 监测，进行实时挂马监测、关键字监测、可用性监测、事后篡改监 测，实现安全事件自动通告、安全势态自动跟踪等功能，能够与中央 级应用安全监测与预警平台对接，实现联动，及时上报应用安全漏 洞、事件发生和处理情况。 3.安全工作管理
36
各省级教育行政部门应建立安全工作管理平台，实现对信息系 统的安全定级备案、差距分析、整改建设、等级测评、监督检查、 系统废止等各项工作的全面管理，支持多种方式的查询、分析和统 计，并能够与中央级安全工作管理平台对接，实现联动。 4.5.4 安全管理体系 1.安全管理机构
省级数据中心安全组织应遵循层次化设计原则，分别为信息安 全决策层、信息安全管理层和信息安全执行层。设立信息系统安全 机制集中管理机构，接受信息安全工作职能部门领导，配备必要的 管理和技术人员；负责信息系统安全的集中控制管理，行使防范与 保护、监控与检查、响应与处置职能，统一管理信息系统的安全， 统一进行信息系统安全机制的配置与管理；适时汇集各种安全机制 所获取的与系统安全运行有关的信息；根据应急处置预案作出快速 处理；应对安全事件和处理结果进行管理；建立安全管理控制平 台，完善管理信息系统安全运行的技术手段；负责接受和配合政府 有关部门的信息安全监管工作。 2.人员安全管理
对于省级教育行政部门内部人员和外部人员，必须结合各省级 教育行政部门人力资源管理的实际情况，按照等级保护相关要求进 行人员安全管理。重点考虑以下两个方面：
（1） 内部人员安全管理。内部人员管理从人员录用、人员管理、 人员考核、保密协议、培训、离岗离职等多个方面都要制定相应的管 理制度和规定。建立安全教育和培训制度，定期进行技能考核。 （2） 外部人员安全管理。对于外来人员管理，应包括软件开发
商、产品供应商、系统集成商、设备维护商和服务提供商等外来人员， 37