文档介绍：建设安全的高校数字图书馆应该注意的几个方面
(作者:___________单位: ___________邮编: ___________)
摘要:在2009年12月的《高校数字图书馆网络安全建设探讨》中,作者探讨了一些高校数字图书馆网络安全应该注意的三个方面。虽然当前数字图书馆建设中主要考虑的是这三方面,但是如果要构建一个安全的数字图书馆系统,就还要考多方面的内容。本文是以原文为基础,增补了一些新的安全考虑,故此能够更好地维护好高校数字图书馆网络安全。
关键词:数字图书馆;网络安全;网络维护;行为控制

在《高校数字图书馆网络安全建设探讨》中,作者提出了高校建设数字图书馆需要从“系统及网络的安全”“网页的安全”“访问的安全”三个方面加以考虑。虽然这是当前数字图书馆建设时考虑的重点,但是从笔者多年来从事的数字图书馆网络安全评估经验来说,这些是远远不够的。故此,笔者从实际数字图书馆系统安全评估方面考虑,提出了:存储数据的安全、工作人员操作的安全、制度安全、内部人员管理的安全。

1 存储数据的安全
高校数字图书馆数据安全是指数字图书馆中电子信息资源的存储安全和存储读者信息的数据库安全。
当前数字图书馆系统大都使用数据库来存储数据,ess和My-SQL,有些大中型数字图书馆系统还使用Oracle、SQL Server、DB2和Sybase。目前许多数字图书馆系统网站存储着数以TB的电子资源,这些资源是数字图书馆的根本,如果丢失或损坏(被篡改),将是难以弥补的损失。此外,数字图书馆还存储读者(客户)信息,这些个人信息对读者来说是极其重要且非常敏感的。这些信息的泄露会对读者(客户)造成物质和精神上的损害,数字图书馆系统网站难辞其咎。
在构建数字图书馆时,就要确保这些数据库系统的安全,合理设置用户及表格权限,在保障正常运行的同时,尽可能地阻止非授权用户对数据库中的敏感数据的访问。要对数据库进行异地备份,有条件的话让Web网站与数据库分开,使用NTFS分区,并启用EFS,并对数据库服务器IP地址加密,增加硬件防火墙,加强对数据的保护。对于基于ASP的网站服务器,对ODBC的访问要有用户权限限制,并将Web服务器中的配置ODBC的工具进行删除,加密数据库访问配置文件。
现在数字图书馆系统大多都有客户的虚拟账号,存有余额。国内高校数字图书馆系统软件还提供读者账户在线查询功能,对客户账目查询所提交的信息,几乎没有使用任何加密协议,也没有对查询数据加密。黑客嗅探并更改查询信息后,很容易获得账户信息,进而获得客户的详细资料,造成客户信息的外泄。现今几乎所有的高校图书馆都有用于与读者交流的论坛。这些论坛大多是在修改购得的商业软件后投入使用的,其源代码在互联网上多有流传,软件开发商编程的疏漏及软件存在的技术缺陷,都可能导致读者信息的泄露。
在这种情况下,读者注册后,其相关信息可能在论坛上出现;论坛调用数据库中读者信息的同时,数据泄漏的风险大大增加;数据库连接的透明性也使数据库服务器容易遭受网络黑客的攻击。
为确保数据完整及安全,对数字图书馆系统网站数据要做到每星期进行一次完整性检查;图书借还信息及电子资源有偿下载信息库自动增量备份要做到30分钟。如我们可以通过使用软件(如使用Symantec Backup Exec