王曙光

（新疆維吾爾自治區(qū)圖書館，新疆 烏魯木齊 830011）

隨著互聯(lián)網(wǎng)的快速發(fā)展，網(wǎng)絡(luò)安全問題日益突出，如蠕蟲病毒泛濫、系統(tǒng)漏洞層出不窮、黑客入侵攻擊等許多網(wǎng)絡(luò)安全問題，使得以邊界和核心資產(chǎn)為對象的傳統(tǒng)的安全防護(hù)方法暴露出嚴(yán)重缺陷。網(wǎng)絡(luò)信息安全事關(guān)國家安全和主權(quán)、社會的穩(wěn)定、民族文化的繼承和發(fā)揚(yáng)，并且隨著全球信息化步伐的加快而變得越發(fā)重要。在圖書館數(shù)字資源及網(wǎng)絡(luò)信息化建設(shè)過程中，圖書館服務(wù)體系不斷向數(shù)字化、網(wǎng)絡(luò)化及多元化轉(zhuǎn)變，數(shù)字資源及網(wǎng)絡(luò)已成為現(xiàn)代圖書館的重要組成部分，如何保障圖書館數(shù)字資源及網(wǎng)絡(luò)安全運(yùn)行，是當(dāng)前亟須解決的問題。

1 圖書館數(shù)字資源及網(wǎng)絡(luò)安全的范圍及影響因素

目前，各圖書館在數(shù)字資源傳播方面，基本都是通過互聯(lián)網(wǎng)接入方式，而互聯(lián)網(wǎng)本身極具不安全性，很容易受到非法用戶和病毒的攻擊。網(wǎng)絡(luò)是一個(gè)復(fù)雜且開放的公共資源，要求有相應(yīng)的管理方式和較高的技術(shù)能力才能有效保證網(wǎng)絡(luò)的正常使用。但目前各圖書館為了使讀者能夠簡單方便地使用計(jì)算機(jī)及網(wǎng)絡(luò)資源，往往忽視網(wǎng)絡(luò)安全，開放過多權(quán)限，使得圖書館的網(wǎng)絡(luò)更容易受到侵襲。再加上圖書館內(nèi)部人員計(jì)算機(jī)水平參差不齊，有許多不規(guī)范操作和誤操作的情況出現(xiàn)，使得圖書館數(shù)字資源及網(wǎng)絡(luò)安全問題更加突出。

1.1 圖書館數(shù)字資源及網(wǎng)絡(luò)安全范圍

圖書館數(shù)字資源及網(wǎng)絡(luò)安全范圍主要包括物理性安全及信息安全。物理性安全包括機(jī)房、主服務(wù)器、網(wǎng)絡(luò)設(shè)備、安全設(shè)備以及通信線路的安全等。信息安全包括主機(jī)系統(tǒng)安全及數(shù)據(jù)安全，其中主機(jī)系統(tǒng)安全主要是采用殺毒軟件進(jìn)行保護(hù)，通過防火墻設(shè)置安全策略以防止非法用戶對主機(jī)系統(tǒng)進(jìn)行破壞，但是這并不能從根本上保證主機(jī)系統(tǒng)安全以及圖書館數(shù)字資源、網(wǎng)絡(luò)安全。

1.2 圖書館數(shù)字資源及網(wǎng)絡(luò)安全的影響因素

影響圖書館數(shù)字資源及網(wǎng)絡(luò)安全的因素包括人為因素和非人為因素。人為因素包括內(nèi)部人員的失誤和外部的惡意攻擊，內(nèi)部人員的失誤是指由于圖書館內(nèi)部人員失職及誤操作等造成的安全隱患，例如操作員配置策略不當(dāng)，安全意識不強(qiáng)，隨意讓其他人員登錄或使用計(jì)算機(jī)等。而非人為因素主要是指計(jì)算機(jī)及網(wǎng)絡(luò)硬件設(shè)備的故障 （包括存貯介質(zhì)的損壞等）、意外災(zāi)害（如水災(zāi)、火災(zāi)、雷擊、地震等）。在影響圖書館數(shù)字資源及網(wǎng)絡(luò)安全的因素中，人為因素影響更大，主要表現(xiàn)有：

（1）未授權(quán)訪問：通過對用戶身份攻擊、非法進(jìn)入網(wǎng)絡(luò)系統(tǒng)進(jìn)行違法操作、竊取合法人員登錄信息等，對網(wǎng)絡(luò)和數(shù)據(jù)資源進(jìn)行非法訪問。

（2）數(shù)據(jù)泄露或丟失：這是指泄露或者丟失重要的數(shù)據(jù)，如他人通過非法手段竊取相關(guān)信息，使信息泄露和丟失。

（3）計(jì)算機(jī)病毒：計(jì)算機(jī)被網(wǎng)絡(luò)病毒感染，導(dǎo)致計(jì)算機(jī)出現(xiàn)各種問題，并可能通過多種形式再傳播、破壞，導(dǎo)致整個(gè)圖書館的網(wǎng)絡(luò)癱瘓或數(shù)據(jù)丟失。

2 目前圖書館數(shù)字資源及網(wǎng)絡(luò)安全的主要問題

2.1 技術(shù)薄弱，人員缺乏

近年來，各級政府部門對圖書館數(shù)字資源及網(wǎng)絡(luò)建設(shè)的支持力度不斷加大，圖書館網(wǎng)絡(luò)建設(shè)及數(shù)字資源建設(shè)取得快速發(fā)展，圖書館網(wǎng)絡(luò)覆蓋辦公、業(yè)務(wù)、電子閱覽、讀者服務(wù)等各個(gè)領(lǐng)域。數(shù)字資源的應(yīng)用也從空白發(fā)展到現(xiàn)在的互聯(lián)網(wǎng)應(yīng)用。但是，圖書館的相關(guān)技術(shù)人員整體上仍然非常缺乏。目前的在職人員，有的身兼多職，有的技術(shù)不精，加上圖書館對數(shù)字資源及網(wǎng)絡(luò)安全認(rèn)識不足，對員工安全知識和安全意識方面的培訓(xùn)較少，導(dǎo)致圖書館數(shù)字資源及網(wǎng)絡(luò)存在安全隱患。

2.2 管理制度不夠健全

圖書館的電子閱覽室是免費(fèi)為讀者提供信息服務(wù)的平臺，但有的圖書館因?yàn)闆]有嚴(yán)格的管理制度，導(dǎo)致圖書館網(wǎng)絡(luò)時(shí)斷時(shí)續(xù)，嚴(yán)重影響圖書館日常對外業(yè)務(wù)的開展。圖書館網(wǎng)絡(luò)平臺的正常運(yùn)行，必須以嚴(yán)格的管理制度作為保障。圖書館應(yīng)通過風(fēng)險(xiǎn)評估的方式解決現(xiàn)有管理方面的不足，建立健全管理制度，完善人員崗位職責(zé)，進(jìn)一步實(shí)現(xiàn)圖書館文獻(xiàn)資源統(tǒng)一建設(shè)、統(tǒng)一管理、統(tǒng)一使用、統(tǒng)一服務(wù)的目標(biāo)。

3 圖書館數(shù)字資源及網(wǎng)絡(luò)安全保障措施

3.1 加強(qiáng)專業(yè)技術(shù)人員隊(duì)伍建設(shè)

圖書館數(shù)字資源及網(wǎng)絡(luò)建設(shè)規(guī)模越來越大，相關(guān)專業(yè)技術(shù)人員隊(duì)伍建設(shè)也應(yīng)該隨之加強(qiáng)，才能有效保障數(shù)字資源及網(wǎng)絡(luò)安全。一方面，圖書館應(yīng)通過社會公開招聘、事業(yè)單位考試錄入、外聘專業(yè)團(tuán)隊(duì)的人員等多種方式對圖書館網(wǎng)絡(luò)系統(tǒng)維護(hù)和管理人員進(jìn)行補(bǔ)充；另一方面，在現(xiàn)有人員的基礎(chǔ)上，圖書館應(yīng)加強(qiáng)各項(xiàng)專業(yè)技能培訓(xùn)工作，組織相關(guān)人員參加各種網(wǎng)絡(luò)知識和技能的培訓(xùn)、行業(yè)技術(shù)交流等。

3.2 建立健全管理體系

在數(shù)字資源及網(wǎng)絡(luò)體系建設(shè)方面，圖書館投入了大量的人力、物力和財(cái)力，但如果沒有一個(gè)完善的管理體系，任何先進(jìn)的技術(shù)產(chǎn)品都不能有效地發(fā)揮作用。因此，圖書館要建立健全相關(guān)管理體系，在實(shí)現(xiàn)網(wǎng)絡(luò)信息共建、共知、共享的基礎(chǔ)上，保障數(shù)字資源及信息系統(tǒng)業(yè)務(wù)的可持續(xù)性。

管理制度是信息安全因素中最具能動性的組成部分，大多數(shù)突發(fā)事件和安全隱患都是由于管理不善而造成的。圖書館應(yīng)根據(jù)實(shí)際情況制定完善管理制度，加強(qiáng)人員的管理，建立跟蹤體系完善制度落實(shí)情況，提高整體防范意識。圖書館應(yīng)建立健全機(jī)房管理、軟硬件維護(hù)管理、網(wǎng)絡(luò)安全管理、系統(tǒng)安全管理、電子閱覽室管理、備份和恢復(fù)管理、安全事件報(bào)告和處置方面的管理、應(yīng)急響應(yīng)方法、應(yīng)急響應(yīng)計(jì)劃等制度，并建立完善的跟蹤體系，落實(shí)管理制度。

3.3 進(jìn)行圖書館網(wǎng)絡(luò)風(fēng)險(xiǎn)評估

為保證圖書館信息網(wǎng)絡(luò)平臺上的各項(xiàng)業(yè)務(wù)工作不間斷開展，避免重要信息泄漏、丟失或遭到惡意更改，圖書館應(yīng)邀請專業(yè)公司對網(wǎng)絡(luò)風(fēng)險(xiǎn)進(jìn)行評估。

3.3.1 圖書館網(wǎng)絡(luò)風(fēng)險(xiǎn)評估的意義

圖書館網(wǎng)絡(luò)風(fēng)險(xiǎn)評估，對信息網(wǎng)絡(luò)平臺及應(yīng)用系統(tǒng)進(jìn)行全面檢測，能夠?yàn)閳D書館了解整個(gè)圖書館網(wǎng)絡(luò)安全的現(xiàn)狀和存在的風(fēng)險(xiǎn)提供參考。根據(jù)評估結(jié)果，圖書館可以建立信息系統(tǒng)風(fēng)險(xiǎn)庫，同時(shí)加強(qiáng)網(wǎng)絡(luò)維護(hù)人員的安全培訓(xùn)，提高管理和技術(shù)水平。

3.3.2 圖書館網(wǎng)絡(luò)風(fēng)險(xiǎn)評估的范圍

圖書館網(wǎng)絡(luò)風(fēng)險(xiǎn)評估的范圍主要包括服務(wù)器、機(jī)房架構(gòu)、網(wǎng)絡(luò)等基礎(chǔ)設(shè)施配置和管理狀況，尤其是對防火墻、入侵檢測等設(shè)備和其他安全管理系統(tǒng)進(jìn)行測試評估。此外，圖書館網(wǎng)絡(luò)風(fēng)險(xiǎn)評估范圍還包括管理機(jī)構(gòu)、人員配備、崗位職責(zé)、管理制度的制定與落實(shí)，信息系統(tǒng)相關(guān)人員的防范意識等。

3.3.3 圖書館網(wǎng)絡(luò)風(fēng)險(xiǎn)評估的內(nèi)容

圖書館網(wǎng)絡(luò)風(fēng)險(xiǎn)評估以對漏洞進(jìn)行掃描評估和審計(jì)評估相結(jié)合的方式，對圖書館網(wǎng)絡(luò)和信息系統(tǒng)、主機(jī)系統(tǒng)、安全系統(tǒng)、機(jī)房及輔助設(shè)施、管理制度等進(jìn)行系統(tǒng)評估以及深度評估，逐步形成網(wǎng)絡(luò)與信息系統(tǒng)信息資產(chǎn)列表、綜合風(fēng)險(xiǎn)分析報(bào)告、安全弱點(diǎn)報(bào)告、系統(tǒng)規(guī)劃方案等評估文檔體系。

3.4 加強(qiáng)主機(jī)系統(tǒng)保護(hù)

服務(wù)器和存儲系統(tǒng)是圖書館業(yè)務(wù)系統(tǒng)和數(shù)據(jù)信息得以保存并可靠運(yùn)行的支撐，為保證其能安全、可靠地運(yùn)行，防止數(shù)據(jù)泄漏和丟失，防止非法人員訪問、操作業(yè)務(wù)系統(tǒng)和核心服務(wù)器，圖書館可根據(jù)網(wǎng)絡(luò)風(fēng)險(xiǎn)評估得出一套技術(shù)保障和維護(hù)體系，加強(qiáng)圖書館主機(jī)系統(tǒng)安全，主要措施有：保障主機(jī)系統(tǒng)及時(shí)安裝所有最新的補(bǔ)丁，使服務(wù)器免受入侵攻擊；應(yīng)有技術(shù)手段實(shí)現(xiàn)網(wǎng)絡(luò)中的服務(wù)器和數(shù)據(jù)庫進(jìn)行定期的漏洞檢測和分析；定期為所有服務(wù)器進(jìn)行配置管理維護(hù)、跟蹤補(bǔ)丁和系統(tǒng)配置變更；對于重要服務(wù)器要采用單獨(dú)網(wǎng)段進(jìn)行隔離、身份鑒別、備份、恢復(fù)應(yīng)急措施、業(yè)務(wù)審計(jì)等措施進(jìn)行有效防護(hù)；對于內(nèi)部和外部人員對主機(jī)系統(tǒng)的非法操作和維護(hù)等具有一定的防范能力，并具有業(yè)務(wù)審計(jì)功能等。

3.5 加強(qiáng)網(wǎng)絡(luò)邊界防護(hù)

網(wǎng)絡(luò)邊界防護(hù)主要是保護(hù)圖書館網(wǎng)絡(luò)出口和其他相關(guān)數(shù)據(jù)的安全區(qū)域，即對整個(gè)網(wǎng)絡(luò)系統(tǒng)和資源應(yīng)用進(jìn)行標(biāo)志、鑒別、訪問控制、機(jī)密性、完整性和抗抵賴性的服務(wù)體系。為有效控制和防御對來自于外部的非法訪問和攻擊行為，必須對圖書館網(wǎng)絡(luò)整體結(jié)構(gòu)進(jìn)行評估和優(yōu)化，可以劃分出核心區(qū)、DMZ區(qū)、公共區(qū)和接入?yún)^(qū)。要做好網(wǎng)絡(luò)邊界防護(hù)，可以從以下幾個(gè)方面入手：

一是配備多層應(yīng)用級防火墻、安全審計(jì)、防病毒軟件等，可以對非法攻擊做到及時(shí)阻斷，并以郵件方式向管理人員報(bào)警，方便管理者快速解決網(wǎng)絡(luò)故障。

二是優(yōu)化管理網(wǎng)關(guān)，規(guī)范用戶上網(wǎng)行為，對所有上網(wǎng)用戶進(jìn)行統(tǒng)一的身份認(rèn)證，并對上網(wǎng)行為進(jìn)行記錄，做到有據(jù)可查。

三是采用硬件VPN，通過加密方式與其他圖書館相連，保障內(nèi)部系統(tǒng)和數(shù)據(jù)的安全，防止重要信息泄漏。

四是劃分安全區(qū)域進(jìn)行訪問控制，阻止非授權(quán)訪問進(jìn)入，并對訪問控制措施進(jìn)行集中管理，保障區(qū)域的可靠性。

五是確保遠(yuǎn)程訪問進(jìn)行交換的數(shù)據(jù)得到保護(hù)，防止網(wǎng)絡(luò)控制信息和支撐基礎(chǔ)設(shè)施信息的泄漏。

3.6 運(yùn)用先進(jìn)技術(shù)

先進(jìn)網(wǎng)絡(luò)技術(shù)的運(yùn)用是圖書館網(wǎng)絡(luò)運(yùn)行的保障基礎(chǔ)。運(yùn)用先進(jìn)網(wǎng)絡(luò)技術(shù)主要針對以下方面：

3.6.1 安全事件分析

采用入侵檢測系統(tǒng)收集數(shù)據(jù)信息并對其進(jìn)行分析，從中發(fā)現(xiàn)網(wǎng)絡(luò)或系統(tǒng)中是否有違反主機(jī)策略的行為和遭到襲擊的跡象，根據(jù)分析及時(shí)進(jìn)行響應(yīng)。

3.6.2 防火墻設(shè)置

通過部署多層千兆防火墻，劃分各個(gè)安全區(qū)域，設(shè)置區(qū)域安全策略，開放相應(yīng)服務(wù)端口，保護(hù)重要業(yè)務(wù)系統(tǒng)，防止外界非法人員的攻擊。

3.6.3 網(wǎng)絡(luò)傳輸加密

網(wǎng)絡(luò)傳輸加密技術(shù)是實(shí)現(xiàn)數(shù)據(jù)庫加密和硬件加密的核心技術(shù)，圖書館可以利用VPN加密技術(shù)有效保護(hù)圖書館的信息傳遞。

3.6.4 病毒防護(hù)

大多數(shù)的黑客攻擊和病毒感染都能通過系統(tǒng)日志的記錄發(fā)現(xiàn)，因此，定期檢查系統(tǒng)日志,就能及時(shí)發(fā)現(xiàn)病毒事件及漏洞，然后通過及時(shí)升級軟件、查殺病毒、隔離非法用戶、修復(fù)系統(tǒng)漏洞等手段，提高網(wǎng)絡(luò)的安全性。

3.6.5 容災(zāi)和恢復(fù)

作為一個(gè)完整的網(wǎng)絡(luò)體系，只有防范和檢測措施是遠(yuǎn)遠(yuǎn)不夠的，還必須具有災(zāi)難容忍和系統(tǒng)恢復(fù)的能力。因此，對于圖書館重要的信息系統(tǒng)必須采用容災(zāi)技術(shù)提高系統(tǒng)的可靠性和完整性，即使發(fā)生系統(tǒng)災(zāi)難，也能快速地恢復(fù)系統(tǒng)數(shù)據(jù)，完整地保護(hù)圖書館數(shù)據(jù)安全。

圖書館的數(shù)字資源和網(wǎng)絡(luò)隨時(shí)面臨各種威脅風(fēng)險(xiǎn)，安全工作任重道遠(yuǎn)，需要常抓不懈，圖書館對此應(yīng)加強(qiáng)重視程度，充分認(rèn)識到圖書館網(wǎng)絡(luò)安全工作一刻也不能停止。

［1］左君．?dāng)?shù)字化圖書館網(wǎng)絡(luò)安全對策［J］．中共貴州省委黨校學(xué)報(bào)，2007（1）：90－91．

［2］胡賽，梁勇．區(qū)域圖書館網(wǎng)絡(luò)安全的對策［J］．電腦知識與技術(shù)，2010（7）：5950－5952．

［3］黎平國，鐘守機(jī)．?dāng)?shù)字圖書館的信息安全問題與相關(guān)對策的探討［J］．現(xiàn)代情報(bào)，2005（9）：75－76，79．