校园卡系统信息安全有关要求和建议.pdfVIP

校园卡系统信息安全工作 有关工作要求和建议 教育信息安全等级保护测评中心 杨伟平 背景 校园卡系统已经成为高校的“关键信息基础设施” 安全问题：“物理上的安全”、“钱”、“生活” 校园卡系统安全事件 CASE 1 利用系统漏洞盗刷校园卡，四年共盗刷10几万。 校园卡系统安全事件 CASE 2 展示如何利用MCT破解校园卡 校园卡系统安全事件 CASE 3 校园卡租赁给校园安全带来隐患 提纲 一、校园卡系统的常见安全威胁与防范 二、校园卡系统安全安全保障工作要求 三、校园卡系统建设与应用安全建议 一、校园卡系统的常见威胁与防范 1. 网络访问控制不严，一卡通系统受其他系统安全隐患影响！ 一卡通系统丏网建设； 与其他系统进行严格的网络隔离。 一、校园卡系统的常见威胁与防范 2.应用层安全漏洞，导致篡改校园卡内资金数据、获取个人隐私信息等。 一卡通系统上线前进行安全评估、定期进行安全巡检、漏洞扫描 和渗透测试，防范应用层漏洞。 一、校园卡系统的常见威胁与防范 3. 校园卡管理人员管理不严格，监测、审计发现能力较弱导致内部人员违 法违规事件频发。 制定明确的管理规范，细化问责； 采取定期监测、审计等措施，争取及早发现幵处置问题。 一、校园卡系统的常见威胁与防范 4.系统故障，造成系统短时间内无法使用、数据错误等。 关键服务器、数据库等冗余部署，数据及时备份。 一、校园卡系统的常见威胁与防范 5.终端安全隐患，利用终端安全问题，对系统进行攻击或查询敏感信息等。 限制终端操作权限，及时升级终端系统补丁； 终端安装防恶意代码软件幵及时更新恶意代码库。 提纲 一、校园卡系统的常见安全威胁与防范 二、校园卡系统安全安全保障工作要求 三、校园卡系统建设与应用安全建议 二、校园卡系统安全保障工作要求 2009年，教办厅凼80号文，教育部首次提出 要在教育行业全面落实信息安全等级保护制度。 2014年，教技4号文，教育部再次提出要全面 落实信息安全等级保护制度，幵将其作为六项 重点任务乊一。 二、校园卡系统安全保障工作要求 2个WWhy What 为什么要进行等级保护？ 何为等级保护？ 二、校园卡系统安全保障工作要求 等级保护制度是国家信息安全保障的等级保护制度是国家信息安全保障的基基 地位地位 本制度、基本策略、基本方法。本制度、基本策略、基本方法。 系统定级 对信息系统分等级保护；对安全产品分 系统备案 监 含义含义 等级管理；对发生的事件分等级响应。 督 建设整改 检 查 系统定级、系统备案、建设整改、等级 等级测评 内容内容 测评、监督检查 二、校园卡系统安全保障工作要求 等级保护工作对运营使用单位意味着什么？ 1. 切实提高安全防护能力 2. 合规、免责 3. 安全建设可