有朋友提出，能不能根据最新的等保安全要求，谈谈信息系统的安全性问题。确实，在安全事故层出不穷的今天，系统安全受到前所未有的关注和重视，所以，小编今天就来说一说。

　　一、信息系统安全的重要性

信息系统安全本身包括的范围很大。小到用户密码被盗个人信息外泄、网页内容被篡改无法访问等，大到网上支付被劫持、国家军事政治等机密信息泄露等，各种信息系统安全事故每年造成重大经济损失，并给个人、机构带来严重影响。2018年4月20日至21日，全国网络安全和信息化工作会议在北京召开，习近平总书记出席会议并发表重要讲话。他指出，没有网络安全就没有国家安全，就没有经济社会稳定运行，广大人民群众利益也难以得到保障。要树立正确的网络安全观，加强信息基础设施网络安全防护，加强网络安全信息统筹机制、手段、平台建设，加强网络安全事件应急指挥能力建设，积极发展网络安全产业，做到关口前移，防患于未然。

网络环境下的信息安全体系是保证信息安全的关键，包括计算机安全操作系统、各种安全协议、安全机制（数字签名、信息认证、数据加密等），直至安全系统，其中任何一个安全漏洞便可以威胁全局安全。

近年来，信息系统安全事故层出不穷，各种网页内容被黑客篡改、重要网站被挂马、旅客住房信息被泄露等新闻频频见诸互联网。基于此，构建信息系统时，安全就变得尤为重要了。

　　二、了解安全等级保护要求

2019年5月13日下午，《网络安全等级保护制度》2.0标准（以下简称“等保2.0标准”）正式发布，实施时间为2019年12月1日。相较于2007年实施的《信息安全等级保护管理办法》所确立的等级保护1.0体系（以下简称“等保1.0标准”），为了适应现阶段网络安全的新形势、新变化以及新技术、新应用发展的要求，2018年公安部正式发布《网络安全等级保护条例（征求意见稿）》，国家对信息安全技术与网络安全保护迈入2.0时代。其中，GB/T22239-2019《信息安全技术网络安全等级保护基本要求》将替代原来的GB/T2239-2008《信息安全技术信息系统安全等级保护基本要求》。

在近日举行的等保2.0国家标准宣贯会上，说起等保2.0标准的特点，公安部信息安全等级保护评估中心测评部主任、等级保护国家标准的主要起草者，马力副研究员表示，相比等保1.0标准，主要体现在以下三个方面：

一是，对象范围扩大。新标准将云计算、移动互联、物联网、工业控制系统等列入标准范围，构成了“安全通用要求+新型应用安全扩展要求”的要求内容。

二是，分类结构统一。新标准“基本要求、设计要求和测评要求”分类框架统一，形成了“安全通信网络”、“安全区域边界”、“安全计算环境”和“安全管理中心”支持下的三重防护体系架构。

三是，强化可信计算。新标准强化了可信计算技术使用的要求，把可信验证列入各个级别并逐级提出各个环节的主要可信验证要求。

等保2.0标准在对等保1.0标准基本要求进行优化的同时，针对云计算、物联网、移动互联网、工业控制、大数据新技术提出了新的安全扩展要求。也就是说，使用新技术的信息系统需要同时满足“通用要求+安全扩展”的要求。

关于等保2.0标准，网上有一篇《权威解读|络安全等级保护2.0标准体系以及主要标准》，更详细的内容感兴趣的朋友可参看：

http://netsecurity.51cto.com/art/201905/596905.htm

　　三、信息系统建设的几个安全原则

在信息系统建设过程中，需要遵循以下几个原则：

　　1、木桶原则

假如系统中有10个漏洞，攻击者总是寻找最容易攻破的漏洞进行攻击，这个最容易被攻破的漏洞就是木桶上最短的那块木板。其它的安全措施做的再好，但是只要有这一个漏洞被攻破，系统就不安全了。好比即使买了最安全的防盗门，但是如果主人出门时忘了锁门，防盗门也就形同虚设了。

　　2、性价比适中原则

一般来说，在系统安全建设上投入越多，信息系统越安全。但是，安全投入并不是越多越好，在信息系统建设费用一定的情况下，需要考虑安全和应用系统建设投入的合理分配，即找到最合适的性价比，既不能影响应用系统的使用，又要最大限度地保证系统安全。

　　3、动态更新原则

信息系统安全建设并不是一劳永逸的，它是一项长期的、动态的工作。各种网络病毒、系统漏洞、黑客攻击手段等每天都在发生变化，安全建设需要随着外部安全环境的变化，动态持续更新，这样才能及时发现信息系统中的安全漏洞，并及时采取补救措施。

　　四、信息系统建设过程中的安全措施

现在，越来越多的客户已经充分认识到信息系统安全的重要性，但是还有一些客户在信息系统曾经出现过安全事故后，“一朝被蛇咬十年怕井绳”，对新系统的建设畏手畏脚，或者提出近乎苛刻的安全要求，其实这都是非常不可取的，也大可不必。市场上有很多专业的安全软硬件设备，从物理层、网络层、主机层、数据层等层面，以及通过安全服务（安全评估、安全检测等），为信息系统的安全稳定运行保驾护航。抛开这些不谈，从信息系统软件本身，在建设过程中，小编认为可以采取以下安全措施。

　　1、合理的软件系统架构

所谓的合理的软件系统架构，其实就是软件开发过程中遵循的一种基本规范。比如MVC框架、微服务架构等就是其中很好的体现之一。一般来说，我们需要遵循“展示和应用分离，静态文件和动态交互分离，应用系统和数据库分离”等软件开发理念。

　　2、重要信息进行加密处理

有数据表明，用户个人信息泄露，很大一部分是由于密码被盗用，而密码被盗用的主要原因是密码设置过于简单或加密算法简单被破解。所以，对于诸如密码等重要信息，需要采用单向加密算法进行存储，并要求长度不少于8位，且应由字符、数字、下划线等组成。同时，对于需要传输的信息，应基于SSL等方式进行加密传输，保证用户密码、传输信息的安全。

　　3、对特殊字符进行处理，防止SQL注入

SQL注入，就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。我们经常在网上看到：输入某个字符进行查询时，查询结果中将很多其它信息显示出来，就是通过这一方式实现的。

针对这一问题，程序员要养成良好的编程习惯，保证代码的规范性，对于在表单中输入的特殊字符，如<>、%、*、单引号等，在提交时，要进行转换处理。同时，对于存放在数据库中的重要信息，要进行加密处理。

　　4、通过细颗粒度权限体系规范人员操作

很多安全事故的调查结果表明，由于内部人员的一些操作，导致信息被修改或删除。造成这一结果的主要原因是，操作人员的权限过大，无意操作。因此，应该通过更细颗粒度的权限体系，为不同的操作人员设置相应的操作权限。

　　5、加强信息发布审核操作

对于重要信息的发布，应加强审核操作。通过设置审批工作流程，严格进行层层审批审核，只有达到可发布状态的信息，才能正式对外发布。通过设置敏感词库、涉密词库等措施，对信息发布过程中涉及的敏感词内容进行事前监控，避免将敏感、涉密信息发布到互联网上。

6、建立事后审计制度

通过事后审计制度，将系统使用人员的重要操作进行记录，一旦发生安全事故，通过查看日志等措施，追踪事故发生的原因和相关行为人。

　　7、持续地进行安全巡检服务

前面说过，信息系统安全建设并不是一劳永逸的，因此需要经常进行安全巡检，及时发现系统中存在的安全漏洞，并通过更新补丁包、升级软件系统等方式，对应用系统进行安全加固。

　　8、制定安全管理制度

在信息系统的使用过程中，要制定安全管理制度，严格遵循“上网不涉密，涉密不上网”等原则，通过不定期组织信息系统安全管理培训，加强系统使用人员的安全意识，自觉地将安全管理制度深深植入到思想意识中，并在实际工作中加以应用。

最后，小编还想说一句，没有百分之百安全的信息系统，安全问题也不应被视作洪水猛兽。信息系统出现了安全问题，在系统产生重大影响之前，及时把问题解决并且在以后不再出现同样的问题就可以了。如果要保证系统百分之百安全，那就只能不建设系统了，或者即使建了也不要使用。虽然防盗门不能百分之百保证住所安全，但是如果没有防盗门，住所安全性将大大降低。相信通过以上各种不同的安全措施，可以大大提高信息系统的安全性。