网络安全等级保护2.0视域下党校信息系统安全体系设计
网络安全与数据治理
刘兴宇，曾巧
中共天津市委党校
摘要： 针对党校信息系统接入主体多样、业务边界复杂以及学员权限随班次动态变化，传统静态防护难以适配的问题，研究设计了网络安全等级保护2.0视域下的动态信任分区防护体系DTZPS。通过划分五类业务域并构建主体、客体双标签与环境上下文表示，结合强制授权、动态信任、分级决策、班次生命周期管理和联动响应来实现细粒度控制，同时利用策略缓存降低决策开销。实验结果显示DTZPS对6类异常访问的平均拦截率达到98.9%，访问决策Accuracy和MacroF1分别为97.6%和96.6%，在5 000并发请求情况下，缓存使平均决策时延由52.7 ms降至30.6 ms，吞吐量达到16 590 req·s-1。结果表明该体系能够兼顾动态授权、安全防护与高并发运行需求。
中图分类号：TP309文献标志码：ADOI:10.19358/j.issn.2097-1788.2026.09.009
中文引用格式：刘兴宇，曾巧. 网络安全等级保护2.0视域下党校信息系统安全体系设计［J］.网络安全与数据治理，2026，45（9）：66-74.
英文引用格式：Liu Xingyu, Zeng Qiao. The security system design of the party school information system from the perspective of network security level protection 2.0［J］.Cyber Security and Data Governance，2026，45（9）：66-74.
The security system design of the party school information system from the perspective of network security level protection 2.0
Liu Xingyu, Zeng Qiao
Tianjin Municipal Party School of the Communist Party of China
Abstract： In order to solve the problems of party school information system, such as many types of users, complex service restrictions and students′ rights changing with the session, the traditional static protection effect is not good. We study and design a dynamic trust zone protection system named DTZPS from the perspective of network security level protection 2.0. By dividing five service domains and constructing the representation of topics, dual-tag objects and environmental context, we use compulsory authorization, dynamic trust, level decision-making, session lifecycle management and coordinated response for fine control. At the same time, we use policy cache to reduce the decision-making cost. The test results show that DTZPS can block 98.9% of 6 kinds of abnormal access on average. Accuracy and Macro-F1 access decision are 97.6% and 96.6%. In the case of 5 000 simultaneous requests, the cache reduces the average decision time from 52.7 ms to 30.6 ms, and the throughput reaches 16 590 req·s-1. These results show that the system can handle dynamic authorization, security protection and high competition requirements at the same time.
Key words : network security level protection 2.0; the party school information system; dynamic trust; access control of two tags; protection by region
引言
随着党校教学培训、教研咨政、行政办公和公共服务等业务不断数字化，信息系统呈现接入主体多样、业务边界交叉、数据类型复杂以及访问状态动态变化等特征，教职工、在训学员、外聘教师和第三方运维人员在身份有效期、资源范围和终端可信状态方面存在明显差异，特别是学员权限会随开班、报到、延期、结业和归档等事件持续变化。传统依靠网络边界、静态访问控制列表和固定角色的防护方式，难以同时满足网络安全等级保护2.0对区域隔离、身份鉴别、访问控制、安全审计和集中管理的要求，容易出现账号回收滞后、跨班次访问、跨域权限扩大以及异常行为处置不及时等问题［1-2］。
在围绕复杂信息系统的安全建设方面，现有研究先从体系架构和治理机制开始展开探索。Odionu等［3］分析了企业架构在高校数字资源整合与安全治理中的作用，明确指出业务、数据和技术架构需要进行统一规划；Santosa等［4］把ITIL 4与TOGAF相结合构建信息技术服务管理架构，以此增强业务流程、技术资源和运维活动之间的协同性；Herath等［5］将多类安全治理与控制框架纳入统一绩效评价体系，为组织级安全管理提供了系统化思路。为突破静态权限控制存在的局限，相关研究逐渐引入风险、属性和信任评价。You等［6］在软件定义边界环境中借助访问历史和奖惩机制动态调整访问权限；Jiang等［7］把风险量化与UCON模型相结合，通过历史访问记录、指数加权更新和惩罚因子实现持续授权；Cao等［8］从零信任架构的自动化与编排角度，强调身份、设备、策略和安全事件的协同分析与联动处置；Jeong等［9］依据用户行为、网络环境、设备状态及威胁历史计算信任分数，并据此动态调整访问权限；Mao等［10］进一步融合属性访问控制和动态信任评价，提高了复杂环境下授权的细粒度与适应性；Wang等［11］通过深度Q网络自适应调整信任阈值，实现了零信任环境下访问策略的动态更新；Li等［12］利用溯源图异常检测与多维信任评价构建ProvTrust，提高了对连续异常行为的识别能力。这些方法虽增强了访问控制的上下文感知能力，但研究对象大多是云计算、医疗数据或开放网络，尚未充分考虑党校学员权限与班次生命周期同步变化、多业务安全域并存以及数据标签跨环节继承等特定需求。
针对上述问题，本文研究设计了党校信息系统动态信任分区防护系统(Dynamic Trust Zoning Protection System for Party School Information Systems，DTZPS)，依据公共服务等五类业务来划分安全域，并且融合主体和客体标签、环境上下文以及动态信任以实现细粒度访问控制。本文主要创新点包含：(1)构建面向班次生命周期的双标签授权机制；(2)形成强制校验、动态信任、分级决策的访问控制链；(3)引入事件关联、联动响应、版本化策略缓存来实现风险闭环处置与高并发性能优化。
本文详细内容请下载：
https://www.pcachina.com/resource/detail/6000007250
作者信息：
曾巧
(中共天津市委党校，天津300191)
