论信息系统安全性设计

摘 要：本文以实际参与过的OA系统安全性设计为例，从物理安全、方案设计安全、操作系统的安全方面论述了信息系统安全性设计。

关键词：物理安全、方案设计安全、操作系统的安全

我参与了县级OA系统设计工作，该系统功能主要包括收发文管理、信息管理、个人事务、办公管理、档案管理、车辆管理、会议管理等。通过这一系统极大地减少了办公室人员的工作负担，提高了行政办公效率，大大节省了办公费用，实现了无纸化办公。在该系统设计中进行了安全性设计，保障了后期系统能够安全运行，下面给大家介绍一下OA系统设计中所做的一些安全性设计。

信息系统的安全包括物理安全、方案设计安全、操作系统安全等方面安全问题：

一、物理安全

为了保障OA系统正常的实时地安全运行，我们的做法是将与信息系统相关的重要服务器、主干交换机都放在专属特定的信息服务中心机房中，同时严格限制外来人员进入，尽可能的减少未经授权的访问。服务器采用了双机热备的方式。在服务器运行端运行着集群软件，主备服务器用“心跳”来检测对方的状态。这些状态包括数据库状态、Web服务器状态以及其他子进程的状态。备机一旦发现主机的某个子进程的状态失效，立即自动切换。这两台服务器上的mysql数据库搭建了定时备份计划，以保证数据库中的数据丢失不会超过一天。

二、方案设计安全。

为了保障OA系统信息安全，我们对用户的访问、用户的操作、数据的完整性等方面进行了安全性设计。

（一）保障用户的访问安全

OA系统运行在政府内部网络上，但是也必须保证只有合法的用户才能访问系统。我们采用登录页面作为用户访问系统的首页，这也是Web应用系统的通用模式。在这个页面上需要输入用户名与口令，系统验证后，方可进入信息系统。主界面作为信息系统的一个模块，不仅仅是为行政中心的职工提供便捷的信息窗口，还是与外界沟通的桥梁，所以登录访问的信息表现是内外有别的，因此信息安全尤为重要，我们将用户登录访问设计成多种方式相叠加的验证方式，首先将用户的密码进行MD5加密后传输并存储到数据库中；使用的计算机以固定IP的形式固定在个人头上，所以密码验证后还要验证当前登录的计算机是否为该用户所绑定的IP，验证通过后即可进入信息系统。

（二）保障用户操作的安全

在信息系统内采用操作权限控制是针对可能出现的非法操作而采取的安全保护措施。针对不同用户根据他们所处的岗位职责，划分为添加、编辑、删除、查看、目录浏览等操作权限，系统管理员可以设置用户的具体权限。操作权限控制是信息系统的权限控制的核心，它在所有的模块中都能够体现出来，例如：OA主界面所有人员可以查看，即所有人具有查看权限，而管理员可以对后台数据进行添加、修改，即具有编辑的权限，OA中的通知公告是为各单位设置的模块，由各单位信息发布，所以各单位管理员具有该模块的内容的添加、修改、删除的权限，而其他人员只具有查看的权限等等，我们将添加、编辑、删除划分属于高级权限，将查看、目录浏览划分属于低级权限，为了保证信息发布的正确性或者数据的完整性，由权威部门负责人发布权威信息，由技术部门负责人发布技术数据，即将高级权限赋予极少数人，将低级权限赋予需要知道和了解信息的多数人，通过这种方式来尽可能的防止出现非法操作发布错误信息。

（三）数据完整性的安全

对于OA系统的数据安全问题，我们通过两个方面的措施，一个是记录用户操作日志，二是定时备份系统数据。

我们对权限用户的每一个权限操作及取消权限操作都进行了日志记录，以便于查找权限用户是否正常使用系统，检查用户的权限范围是否在授权范围内。管理员需要对用户信息进行维护，对用户权限进行管理，以及对系统基础数据维护。我们对管理员的每一个操作也进行了日志记录。日志记录不但可以用于查找管理员和权限用户的操作历史记录，还有助于分析系统其它的功能问题，防止用户的误操作。

我们在Web服务器和数据库服务器设置了一个定时任务，每天对系统的关键数据进行了备份；每周自动进行一次数据完全备份。对于系统自动产生的备份文件，我们采用自己开发的定期复制软件将按期拷贝到备份盘上，并自动删除主盘所拷贝的文件，以释放服务器上的磁盘空间。

三、操作系统的安全

随着计算机在生产生活中担负着越来越重要的任务，软件系统的规模也在不断扩大，复杂性也不断增加。同时，操作系统中也就不可避免地存在漏洞，这也对信息系统及应用软件的基础安全构成了威胁，从而影响信息系统整体的安全性。比如许多病毒和木马程序就是利用操作系统的漏洞进行传播或窃取机密信息的。还有不少黑客攻击是利用系统的溢出来获取超级用户的权限从而获得控制权进行破坏活动的。针对这些情况，在建设OA系统时，我们采取安装补丁、升级包、关闭不需要的服务、引进趋势网络版防病毒软件等措施对系统的安全性进行强化，使信息系统的软环境安全得到有效的保障。

从系统的实际运行效果上看，系统在安全性方面很好地符合了需求。安全性是一个Web应用系统必须重视的问题，不管系统运行在内网还是互联网。用户登录、用户权限、数据安全，以及系统运行安全等方面是Web系统重要安全问题。我们在系统运行安全方面还有个异地备份需要考虑。现在状况是只在一个中心机房内运行信息系统，如果本地系统出现故障，还需要一个异地备中心来接替运行。但在主备中心的数据同步和状态通信上还存在不少需要解决的问题。

参考文献

[1] 杨春晖，孙伟，等.系统架构设计师教程[M].北京：清华大学出版社，2009.6

[2] 张友生.系统分析师教程[M].北京：清华大学出版社，2010.2

[3] 李建东. OA系统可靠性设计[J]. 计算机安全，2013.4

[4] 刘晔.计算机控制系统可靠性设计[J] .信息通信，2016.2

作者简介：普继科（1980年10月），男，本科，工程师，主要研究领域：计算机硬件、电子信息技术、电子政务管理、数据应用管理等。