教育行業等級保護建設解決方案

一、行業概述
教育行業由于其自身行業特點，承擔著國計民生的重任，對信息化建設要求比較高，其信息化建設走在整個社會信息化建設的前沿，對信息化技術和管理有著較高的要求，也是信息安全防護的重點行業之一。而銀行又是金融行業中信息化建設最為先進、最為前沿的細分行業，本文以下描述，將以銀行業作為主要對象，闡述金融行業等級保護建設的思路。
二、政策背景
中國人民銀行組織信息安全等級保護領域專家和相關技術人員，根據國家關于信息安全等級保護工作的相關制度和標準，編制了符合金融行業特點的、切實可行的金融行業信息系統信息安全等級保護系列標準，并于2012年正式對外發布，包括：金融行業等保建設定級指南、金融行業等保建設實施指引、金融行業等保測評指南和金融行業等保測評服務安全指引等文件。
這些文件的發布，為金融行業等級保護建設提供了具體的參考依據，推動了金融行業積極參與等級保護建設，從而有效提升了金融行業信息安全的建設。
三、建設思路
金融行業的信息系統眾多、復雜，而且每個系統的使用部門、運維部門和開發部門也往往不同，這給等級保護建設帶來的難度，主要問題包括：
1）等級保護只是參照標準，但有很多細項并未具體措施，如何執行？
2）與銀監會的相關要求有何關系，是否存在沖突，如何執行？
3）這么多信息系統該從哪些系統開始做起？
4）等級建設的主要由哪些部門參與，哪個部門牽頭等等？

結合多年金融行業等級保護建設經驗，建議金融行業等級保護建設需要兼顧合規和自身業務安全的要求進行建設，具體如下：
1）合規：是指以人民銀行等級保護建設的標準為主要依據，結合人民銀行以及銀監會關于信息系統安全建設的其他相關要求和通知，建立較為全面的合規基線，從而全面開展等級保護建設，滿足各個監管單位對金融行業信息安全建設的要求。
2）自身業務安全需求：金融行業作為特定的行業，有著自身一些特殊的需求，這些特殊的需求難以在等級保護建設標準中全部涵蓋。此外，國有銀行和股份制銀行、股份制銀行和城市商業銀行、城市商業銀行和農商行等之間也存在差異。因此，在滿足合規要求的同時，也必須結合自身的業務特點，建立起符合自身業務安全需求的信息安全管理和技術體系，而非為了等保而等保。