463 lines
14 KiB
Markdown
463 lines
14 KiB
Markdown
# 苏州教育E卡通数据安全运维方案
|
||
|
||
## 前言
|
||
|
||
本方案基于苏州教育E卡通平台的实际运维需求，旨在建立一套**实用、可操作**的数据安全管控体系。聚焦于解决实际工作中真正存在的风险问题。
|
||
|
||
本手册适用于所有参与平台运维、管理的人员，包括但不限于系统管理员、客服人员、学校管理人员等。
|
||
|
||
## 一、风险分级体系
|
||
|
||
### 1.1 三级操作分类
|
||
|
||
**等保三级依据**：根据GB/T 22239-2019要求，对不同风险的操作采取相应控制措施。
|
||
|
||
#### **关键操作**
|
||
**识别标准**：
|
||
- 系统核心配置修改
|
||
- 管理员用户权限分配
|
||
- 审计规则修改
|
||
- 批量数据处理（删改查）（≥50条）
|
||
- 系统重大运维调整
|
||
|
||
**管控要求**：
|
||
- **主管审批**：事前纸质（电子档）审批流程
|
||
- **双人确认**：一人操作，一人监督
|
||
- **双因素认证**：密码+动态码，堡垒机或摄像记录
|
||
- **操作记录**：详细日志记录
|
||
- **数据备份**：执行前备份
|
||
|
||
#### **重要操作**
|
||
**识别标准**：
|
||
- 特殊敏感数据修改（身份证、家庭住址、监护人联系方式）
|
||
- 新生录入、注册报到等
|
||
- 账号创建和权限分配（非管理员，如班主任等）
|
||
|
||
**管控要求**：
|
||
- **主管审批**：事后审核
|
||
- **双因素认证**：重要操作时启用
|
||
- **操作确认**：关键步骤二次确认
|
||
- **操作日志**：完整记录操作链路
|
||
|
||
#### **一般操作**
|
||
**识别标准**：
|
||
- 学生零星信息查询（<50条）
|
||
- 系统状态查看
|
||
- 非敏感信息修改
|
||
- 补换卡订单处理
|
||
- 报表生成和统计
|
||
|
||
**管控要求**：
|
||
- **基本认证**：用户名密码认证
|
||
- **操作记录**：基础日志记录
|
||
- **访问控制**：基于角色的权限控制
|
||
- **会话管理**：超时自动退出
|
||
|
||
---
|
||
|
||
## 二、角色体系
|
||
|
||
### 2.1 核心角色定义
|
||
|
||
| 角色 | 主要职责 | 可操作范围 | 禁止操作 |
|
||
|------|----------|------------|----------|
|
||
| **家长用户** | 查看自己孩子信息 | ✓ 查看基本信息<br>✓ 修改联系方式<br>✓ 查看卡状态 | ✗ 查看其他学生<br>✗ 修改关键信息<br>✗ 批量操作 |
|
||
| **班主任账号** | 管理本班级学生 | ✓ 新生录入<br>✓ 修改本班数据<br>✓ 本班数据查询 | ✗ 跨班查询<br> ✗ 批量导出 |
|
||
| **学校管理员** | 管理本校学生 | ✓ 新生录入<br>✓ 修改本校数据<br>✓ 本校数据查询 <br>✓ 注册报到 <br>✓ 调班 <br>✓ 创建班级 | ✗ 跨校查询<br>✗ 批量导出 |
|
||
| **客服人员** | 处理补卡业务 | ✓ 查询单条学生信息<br>✓ 处理补换卡订单<br>✓ 查询卡状态 | ✗ 查看敏感信息<br>✗ 修改数据<br>✗ 批量导出 |
|
||
| **系统（区域）管理员** | 处理平台业务 | ✓ 信息修改<br>✓ 敏感信息<br>✓ 执行任务<br>✓ 用户账号管理 | ✗ 参与业务审批<br> ✗ 单独操作 |
|
||
| **审核管理员** | 业务审核 | ✓ 业务审批<br>✓ 信息查询<br> | ✗ 修改数据<br>✗ 用户账号管理<br>✗ 单独操作 |
|
||
| **安全审计管理员** | 安全审计 | ✓ 查看所有日志<br>✓ 生成安全报告<br>✓ 设置监控规则<br>✓ 调查安全事件 | ✗ 修改业务数据<br>✗ 执行业务操作<br>✗ 查看敏感信息<br>✗ 参与业务审批 |
|
||
| **系统运维人员** | 系统运维 | ✓ 服务器维护<br>✓ 数据库备份<br>✓ 执行审批脚本<br> | ✗ 查看业务数据<br>✗ 参与业务审批<br>✗ 单独操作 |
|
||
|
||
### 2.2 权限分离
|
||
|
||
**核心原则**：
|
||
- **操作与审核分离**：操作人不能同时是审核人
|
||
- **技术与业务分离**：系统运维人员不接触业务数据
|
||
- **监督与执行分离**：安全管理员只监督不执行
|
||
|
||
|
||
| 操作类型 | 班主任和学校管理员 | 客服人员 | 系统管理员 | 安全管理员 | 审核管理员|系统运维人员 |
|
||
|----------|----------|----------|------------|------------|------------|-----------|
|
||
| 数据查询 | ✅(本班｜本校) | ✅(单条) | ✅ | ✅(审计)| ✅ | ❌ |
|
||
| 数据修改 | ✅(本班｜本校) | ❌ | ✅ | ❌ | ❌| ❌ |
|
||
| 关键操作 | ❌ | ❌ | ✅(双人) | ❌ | ❌ | ❌|
|
||
| 安全审计 | ❌ | ❌ | ❌ | ✅ | ❌|❌ |
|
||
| 业务审核 | ❌ | ❌ | ❌ | ❌ | ✅|❌ |
|
||
| 系统运维 | ❌ | ❌ | ❌ | ❌ | ❌|✅(双人)
|
||
|
||
### 2.3 角色权限具体人员
|
||
| 角色 | 具体人员 |
|
||
|------|----------|
|
||
| 系统管理员 | [市民卡-E卡通项目负责人] |
|
||
| 审核管理员 | [电教馆-E卡通负责人] |
|
||
| 安全审计管理员 | [电教馆-安全负责人] |
|
||
| 系统运维人员 | [市民卡-系统运维人员] |
|
||
| 客服 | [市民卡-客服人员] |
|
||
| 学校 | [学校-相关人员] |
|
||
|
||
|
||
|
||
|
||
---
|
||
|
||
## 三、统一的操作流程
|
||
|
||
### 3.1 标准三阶段流程
|
||
|
||
**所有操作统一采用三阶段流程**：
|
||
|
||
```
|
||
申请阶段 → 审批阶段 → 执行阶段
|
||
```
|
||
|
||
#### **第一阶段：申请**
|
||
- 操作人提交申请
|
||
- 系统自动检查权限
|
||
- 生成操作编号
|
||
|
||
#### **第二阶段：审批**
|
||
- **关键操作**：需要双人确认（审批单）
|
||
- **重要操作**：需要主管审批
|
||
- **一般操作**：自动审批
|
||
|
||
#### **第三阶段：执行**
|
||
- 验证审批状态
|
||
- 执行操作
|
||
- 记录结果
|
||
|
||
|
||
---
|
||
|
||
## 四、权限控制和安全措施
|
||
|
||
### 4.1 访问控制管理
|
||
|
||
**权限分配原则**：
|
||
- **最小权限原则**：每个角色只授予完成工作所需的最小权限
|
||
- **职责分离**：关键操作需要多人协作完成
|
||
- **定期审查**：每季度审查权限分配的合理性
|
||
|
||
**权限分配流程**：
|
||
1. **申请阶段**：
|
||
- 申请人填写《权限申请表》
|
||
- 部门主管初审同意
|
||
- 明确权限使用范围和期限
|
||
|
||
2. **审批阶段**：
|
||
- **一般权限**：系统管理员直接审批
|
||
- **重要权限**：需要安全管理员会签
|
||
- **关键权限**：需要数据安全管理领导小组审批
|
||
|
||
3. **授权阶段**：
|
||
- 系统管理员执行权限分配
|
||
- 生成权限授权记录
|
||
- 通知申请人权限已生效
|
||
|
||
**权限变更管理**：
|
||
- **权限升级**：按照新权限申请流程重新审批
|
||
- **权限降级**：直接由系统管理员执行
|
||
- **权限回收**：人员离职或岗位变动时立即回收
|
||
|
||
### 4.2 身份鉴别管理
|
||
|
||
**登录认证要求**：
|
||
|
||
**不同风险等级的认证要求**：
|
||
|
||
| 操作等级 | 认证方式 | 额外验证措施 |
|
||
|----------|----------|--------------|
|
||
| 关键操作 | 双因素认证 | 动态口令+生物特征 |
|
||
| 重要操作 | 双因素认证 | 动态口令+短信验证 |
|
||
| 一般操作 | 用户名密码 | 图形验证码 |
|
||
| 查询操作 | 用户名密码 | 无 |
|
||
|
||
**登录安全控制**：
|
||
- **登录失败处理**：连续5次失败锁定账户30分钟
|
||
- **异常登录检测**：异地登录、异常时间登录触发告警
|
||
- **会话管理**：30分钟无操作自动退出，关键操作前重新认证
|
||
|
||
**密码管理规范**：
|
||
- **密码复杂度**：至少8位，包含大小写字母、数字、特殊字符
|
||
- **密码更换周期**：强制90天更换，提前7天提醒
|
||
- **密码历史**：禁止使用最近5次使用过的密码
|
||
|
||
**特殊情况处理**：
|
||
- **忘记密码**：通过绑定邮箱或手机号重置
|
||
- **账户锁定**：联系安全管理员或客服人员解锁
|
||
- **紧急访问**：启用应急账户，需双人确认使用
|
||
|
||
### 4.3 操作审计管理
|
||
|
||
**审计范围**：
|
||
|
||
**必须审计的操作**：
|
||
- 所有**关键操作**和**重要操作**
|
||
- 权限变更操作
|
||
- 批量数据操作（≥50条）
|
||
- 敏感信息访问（身份证、家庭住址、联系方式）
|
||
- 系统配置修改
|
||
- 异常登录尝试
|
||
- 数据导出操作
|
||
|
||
**审计记录内容**：
|
||
- **操作人信息**：姓名、所属机构、角色
|
||
- **操作时间**：精确到秒的时间戳
|
||
- **操作类型**：增删改查、权限变更等
|
||
- **操作对象**：具体的数据或功能模块
|
||
- **操作结果**：成功或失败
|
||
- **操作参数**：具体的输入数据（敏感信息脱敏）
|
||
- **IP地址**：操作来源地址
|
||
- **设备信息**：操作设备标识
|
||
|
||
**审计日志管理**：
|
||
- **日志保存**：至少保存3年，重要日志永久保存
|
||
- **日志完整性**：采用数字签名防止篡改
|
||
- **日志查询**：授权人员可按条件查询
|
||
- **日志分析**：定期分析异常操作模式
|
||
|
||
**审计报告制度**：
|
||
- **日报**：系统自动生成当日操作异常报告
|
||
- **周报**：安全管理员汇总分析安全状况
|
||
- **月报**：向数据安全管理领导小组汇报
|
||
- **年报**：形成年度安全审计总结报告
|
||
### 4.4 账户密码管理
|
||
#### 4.4.1 账户生命周期管理
|
||
默认账户清理机制：
|
||
- 建立默认账户清单，包括admin、root、system等常见默认用户名
|
||
- 严禁使用默认密码，新账户首次登录必须强制修改密码
|
||
- 定期扫描系统，确保没有遗漏的默认账户存在
|
||
|
||
账户定期审查流程：
|
||
- 每季度由安全管理员牵头进行账户全面审查
|
||
- 重点检查长期未登录（超过90天）的休眠账户
|
||
- 对业务变更产生的多余账户及时清理
|
||
- 建立账户责任人制度，每个账户都有明确的归属责任人
|
||
|
||
#### 4.4.2 密码策略管理
|
||
|
||
密码复杂度标准：
|
||
- 最小长度8位，必须包含大写字母、小写字母、数字、特殊字符四类中的至少三类
|
||
- 禁止使用常见的弱密码，不能包含用户名等关联信息
|
||
|
||
密码生命周期管理：
|
||
- 强制90天更换密码，提前7天开始提醒
|
||
- 临时账户密码有效期不超过7天
|
||
|
||
#### 4.4.3 登录安全控制
|
||
|
||
登录失败锁定策略：
|
||
- 连续5次登录失败自动锁定账户30分钟
|
||
- 记录所有登录失败的IP地址和时间
|
||
- 对异常IP地址进行监控和限制
|
||
|
||
会话安全管理：
|
||
- 用户登录后30分钟无操作自动退出
|
||
- 关键操作前需要重新验证身份
|
||
- 提供安全的退出功能，清除本地缓存信息
|
||
|
||
#### 4.4.4 特殊账户管控
|
||
|
||
共享账户管理：
|
||
- 原则上禁止使用共享账户
|
||
- 特殊情况下需要的共享账户，必须经过安全管理员审批和登记
|
||
|
||
高权限账户管控：
|
||
- 系统管理员、审核管理员、系统运维等高权限账户实行双人管理
|
||
- 高权限账户操作必须经过审批流程或堡垒机、录屏等监控操作
|
||
- 定期审查高权限账户的必要性和权限合理性
|
||
|
||
#### 4.4.5 账户安全管理责任
|
||
|
||
管理流程：
|
||
- 人员入职：班级教师、学校发起申请，学校、系统管理员创建账户，审核管理员审批
|
||
- 人员调动：及时调整账户权限和归属部门，系统管理员操作，审核管理员审批
|
||
- 人员离职：立即注销账户，回收所有访问权限，系统管理员操作，审核管理员审批
|
||
- 定期检查：每月生成账户安全报告，发现问题及时整改
|
||
|
||
|
||
---
|
||
|
||
## 五、监控和告警
|
||
|
||
### 5.1 告警规则
|
||
|
||
**告警规则**：
|
||
- 连续5次登录失败
|
||
- 未审批就执行的操作
|
||
|
||
**告警处理**：
|
||
1. 系统自动发送告警
|
||
2. 安全管理员15分钟内响应
|
||
3. 记录处理结果
|
||
|
||
### 5.2 监控指标
|
||
|
||
**核心监控指标**：
|
||
- 登录成功率
|
||
- 操作执行成功率
|
||
- 异常操作数量
|
||
- 系统响应时间
|
||
|
||
---
|
||
|
||
## 六、数据备份
|
||
|
||
|
||
|
||
### 6.1 备份策略
|
||
|
||
**简单的备份方案**：
|
||
- **实时备份**：关键数据实时同步 使用oracle ram 回闪备份技术进行实时备份
|
||
- **每日备份**：全量数据备份 每日凌晨 导出 一份 dmp 文件
|
||
- **异地备份**：备份到异地存储 备份文件同步到异地存储保存
|
||
- **保留期限**：实时备份30天，每日备份1年
|
||
|
||
恢复策略：
|
||
- **快速恢复**：关键数据15分钟内恢复
|
||
- **全面恢复**：全量数据4小时内恢复
|
||
- **定期演练**：每季度进行一次备份恢复演练
|
||
|
||
|
||
---
|
||
|
||
## 七、应急响应
|
||
|
||
### 7.1 应急流程
|
||
|
||
**三级响应**：
|
||
|
||
| 事件级别 | 响应时间 | 处理方式 |
|
||
|----------|----------|----------|
|
||
| **一般事件** | 2小时内 | 在线处理 |
|
||
| **重要事件** | 30分钟内 | 紧急处理 |
|
||
| **重大事件** | 15分钟内 | 立即处理 |
|
||
|
||
|
||
---
|
||
|
||
## 八、培训和考核
|
||
|
||
### 8.1 培训内容
|
||
|
||
**新员工培训**（4小时）：
|
||
- 手册内容和操作规范（2小时）
|
||
- 系统操作演示（1小时）
|
||
- 应急流程说明（1小时）
|
||
|
||
**年度复训**（2小时）：
|
||
- 安全事件案例分析（1小时）
|
||
- 操作规范更新（1小时）
|
||
|
||
### 8.2 考核要求
|
||
|
||
- 每年1次操作规范考试
|
||
- 每半年1次应急演练
|
||
- 不合格人员重新培训
|
||
|
||
---
|
||
|
||
## 九、操作检查表
|
||
|
||
### 9.1 关键操作检查表
|
||
|
||
**申请阶段**：
|
||
- [ ] 操作目的明确
|
||
- [ ] 影响范围确认
|
||
- [ ] 申请人权限验证
|
||
|
||
**审批阶段**：
|
||
- [ ] 必要性评估
|
||
- [ ] 风险评估
|
||
- [ ] 备份方案确认
|
||
|
||
**执行阶段**：
|
||
- [ ] 双人确认（关键操作）
|
||
- [ ] 操作步骤按计划执行
|
||
- [ ] 结果验证
|
||
|
||
**完成阶段**：
|
||
- [ ] 操作记录保存
|
||
- [ ] 相关人员通知
|
||
- [ ] 异常情况处理
|
||
|
||
### 9.2 系统管理员操作检查表
|
||
|
||
**操作前**：
|
||
- [ ] 维护时间窗口确认
|
||
- [ ] 影响范围评估
|
||
- [ ] 备份完成确认
|
||
- [ ] 回滚方案准备
|
||
|
||
**操作中**：
|
||
- [ ] 按计划执行
|
||
- [ ] 每步确认结果
|
||
- [ ] 异常情况记录
|
||
|
||
**操作后**：
|
||
- [ ] 系统功能验证
|
||
- [ ] 性能检查
|
||
- [ ] 操作记录归档
|
||
|
||
---
|
||
|
||
## 十、附录
|
||
|
||
### 附录A：角色申请表
|
||
|
||
```
|
||
申请编号: [自动生成]
|
||
申请人: [姓名]
|
||
所属部门: [部门]
|
||
申请角色: [角色名称]
|
||
申请原因: [详细说明]
|
||
|
||
申请权限:
|
||
□ 查询权限
|
||
□ 修改权限
|
||
□ 删除权限
|
||
□ 系统管理权限
|
||
|
||
申请人签字: _________ 日期: _________
|
||
部门主管审批: _________ 日期: _________
|
||
安全管理员审核: _________ 日期: _________
|
||
```
|
||
|
||
### 附录B：操作申请单
|
||
|
||
```
|
||
申请单编号: [自动生成]
|
||
申请时间: YYYY-MM-DD HH:MM
|
||
申请人: [姓名]
|
||
操作类型: [关键/重要/一般]
|
||
操作描述: [详细说明]
|
||
|
||
影响范围: [影响的人数/系统范围]
|
||
操作步骤: [简要步骤]
|
||
|
||
申请人签字: _________ 日期: _________
|
||
审批人签字: _________ 日期: _________
|
||
执行确认: _________ 日期: _________
|
||
```
|
||
|
||
### 附录C：应急响应记录表
|
||
|
||
```
|
||
事件编号: [自动生成]
|
||
发生时间: YYYY-MM-DD HH:MM
|
||
事件类型: [一般/重要/重大]
|
||
事件描述: [简要描述]
|
||
|
||
响应时间: ____分钟
|
||
处理过程: [简要记录]
|
||
处理结果: [成功/失败]
|
||
|
||
处理人签字: _________ 日期: _________
|
||
确认人签字: _________ 日期: _________
|
||
```
|
||
|
||
---
|
||
|
||
|
||
**本手册自发布之日起执行，由数据安全管理领导小组负责解释和修订。** |