隨著大數(shù)據(jù)、云計算、移動互聯(lián)網(wǎng)、物聯(lián)網(wǎng)等新一代信息技術(shù)的快速發(fā)展和應(yīng)用，各地高校大力發(fā)展建設(shè)數(shù)字校園、智慧校園，相關(guān)信息化應(yīng)用日益豐富。據(jù)《2020年網(wǎng)絡(luò)安全態(tài)勢洞察報告》數(shù)據(jù)顯示，教育行業(yè)泄漏事件占比高達(dá)53%，其中以高校居多，占比65.36%。2021年3月，教育部發(fā)布《高等學(xué)校數(shù)字校園建設(shè)規(guī)范（試行）》，提出“數(shù)字校園相關(guān)系統(tǒng)產(chǎn)生的數(shù)據(jù)量大，且關(guān)系到師生的隱私，因此針對數(shù)字校園相關(guān)系統(tǒng)產(chǎn)生的數(shù)據(jù)應(yīng)具備保護(hù)措施?！?
基于《數(shù)據(jù)安全保護(hù)法》、《個人信息保護(hù)法》等相關(guān)法律外部監(jiān)管結(jié)合教育行業(yè)業(yè)務(wù)特點，如何合理、合規(guī)的分析和利用高校數(shù)據(jù)，保障其安全就成為了各地高校當(dāng)前亟需解決的問題。
作為一家深耕數(shù)據(jù)安全領(lǐng)域十余年的新一代信息安全技術(shù)企業(yè)，明朝萬達(dá)安全專家認(rèn)為高校數(shù)據(jù)安全風(fēng)險主要體現(xiàn)在以下方面：
1、業(yè)務(wù)系統(tǒng)復(fù)雜，泄漏風(fēng)險點多
由于高校信息化的快速發(fā)展，高校普遍都建立教務(wù)管理系統(tǒng)、財務(wù)系統(tǒng)、招生系統(tǒng)、圖書管理系統(tǒng)等業(yè)務(wù)系統(tǒng)，系統(tǒng)中積聚了海量數(shù)據(jù)，其中包括：師生身份信息（身份證號、學(xué)號、職工號等）、生物識別信息（指紋、人臉等）、一卡通信息、財務(wù)信息、科研信息等等，這些信息具有一定的價值性和某種潛在的關(guān)聯(lián)性。這些海量隱私信息一旦泄露，給高校和社會帶來難以挽回的不利影響。
2、系統(tǒng)外包普遍，第三方泄漏風(fēng)險大
系統(tǒng)外包在各行各業(yè)都有，教育行業(yè)、高校也不例外，各式各樣的系統(tǒng)通過外包方式進(jìn)行開發(fā)維護(hù)，各外包公司掌握著各類系統(tǒng)的應(yīng)用程序源代碼、服務(wù)器權(quán)限、數(shù)據(jù)庫權(quán)限等核心信息。例如高校普遍使用招生就業(yè)、財務(wù)、資產(chǎn)數(shù)據(jù)等等都是不可外泄且不容篡改的數(shù)據(jù)，作為核心數(shù)據(jù)載體，而第三方外包人員進(jìn)入數(shù)據(jù)庫進(jìn)行維護(hù)時是具備非常高的權(quán)限，一旦發(fā)生來自于應(yīng)用用戶越權(quán)操作、程序開發(fā)人員和數(shù)據(jù)庫運維人員的數(shù)據(jù)泄露和篡改，都將造成巨大的損失，必定會給學(xué)校和社會造成重大影響。
3、云端數(shù)據(jù)安全防護(hù)不足
業(yè)務(wù)上云成為當(dāng)前大數(shù)據(jù)時代發(fā)展的趨勢，云存儲、云平臺給各行各業(yè)帶來許多便捷，同時也滋生出諸多安全問題。高校目前基本都建立了自己的以數(shù)據(jù)存儲為主的私有云平臺，但是這種用于數(shù)據(jù)存儲的私有云平臺產(chǎn)品基本都是由各廠商提供，并非各高校私有技術(shù)，云服務(wù)商自身存在安全隱患及行為風(fēng)險無法得到安全保證，同時，云服務(wù)商可能無意間將信息流出或者惡意出售高校數(shù)據(jù)，造成數(shù)據(jù)泄露高校數(shù)據(jù)也隨之面臨風(fēng)險。
明朝萬達(dá)安全專家認(rèn)為，數(shù)據(jù)安全是高校信息安全體系的重要組成部分和核心目標(biāo)之一。面對高校復(fù)雜的數(shù)據(jù)現(xiàn)狀，只通過單一技術(shù)或管理措施是遠(yuǎn)遠(yuǎn)不夠的，必須要通過整體的信息安全保障體系設(shè)計與實施方能實現(xiàn)。
基于對數(shù)據(jù)安全領(lǐng)域的深入研究，結(jié)合高校信息系統(tǒng)及數(shù)據(jù)使用的特點，依托自主研發(fā)的數(shù)據(jù)安全系列產(chǎn)品，明朝萬達(dá)在綜合考慮了高校數(shù)據(jù)管理和技術(shù)應(yīng)用，提出了構(gòu)建校園統(tǒng)一數(shù)據(jù)安全統(tǒng)一管理平臺，集合云、網(wǎng)、端一體化的數(shù)據(jù)安全管控體系及數(shù)據(jù)安全動態(tài)防御集中管控體系。
△ 架構(gòu)圖
管理層面
1、確定安全負(fù)責(zé)人，落實安全
無論是數(shù)據(jù)安全?；顒拥拈_展還是法律義務(wù)的承擔(dān)，“責(zé)任人”的落地必不可少。根據(jù)法律的規(guī)定，在高校處理重要數(shù)據(jù)的情形下，還應(yīng)當(dāng)明確數(shù)據(jù)管理機(jī)構(gòu)。除了應(yīng)當(dāng)設(shè)置專門安全管理機(jī)構(gòu)之外，還應(yīng)當(dāng)對負(fù)責(zé)人和關(guān)鍵崗位人員進(jìn)行安全背景審查。另外，對于業(yè)務(wù)系統(tǒng)由第三方企業(yè)平臺維護(hù)的。學(xué)校需和第三方企業(yè)、平臺簽訂保密協(xié)議，從數(shù)據(jù)保密義務(wù)和數(shù)據(jù)安全管理等層面進(jìn)行操作規(guī)范約束。明確維護(hù)人員的責(zé)任和義務(wù)，防止數(shù)據(jù)泄露。
2、加強宣傳教育，培養(yǎng)數(shù)據(jù)安全思維
對各單位的數(shù)據(jù)管理員進(jìn)行數(shù)據(jù)安全宣傳和培訓(xùn)，宣傳國家數(shù)據(jù)安全政策，加強數(shù)據(jù)管理員數(shù)據(jù)安全意識，提高數(shù)據(jù)使用方的數(shù)據(jù)安全技術(shù)。同時可通過在高校師生中開展“網(wǎng)絡(luò)安全日”和“數(shù)據(jù)安全宣傳周”等宣傳活動，普及《數(shù)據(jù)安全法》及相關(guān)知識，提高高校數(shù)據(jù)安全保護(hù)意識和水平，形成高校共同維護(hù)數(shù)據(jù)安全和促進(jìn)發(fā)展的良好環(huán)境。
技術(shù)層面
1、分類分級管理，建立健全完善的數(shù)據(jù)安全管理制度
高校內(nèi)部的數(shù)據(jù)覆蓋面廣、數(shù)據(jù)量大、涉及用戶多，包括教職工信息、學(xué)生信息、教學(xué)信息、科研信息、財務(wù)信息等。為做好數(shù)據(jù)安全防護(hù)，應(yīng)根據(jù)我國《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》等法律法規(guī)，根據(jù)數(shù)據(jù)對于學(xué)校的重要程度，對數(shù)據(jù)進(jìn)行安全級別劃分，使數(shù)據(jù)能夠得到適當(dāng)?shù)陌踩雷o(hù)。建立數(shù)據(jù)分級策略需要考慮如下幾個方面的問題：
· 數(shù)據(jù)分類分級管理
數(shù)據(jù)在保密性、完整性、可用性方面的需求進(jìn)行安全級別劃分，借鑒國外高校及國內(nèi)其他行業(yè)的數(shù)據(jù)分級策略，考慮到可操作性，建議高校數(shù)據(jù)分為三個或四個安全級別，如可劃分為公開數(shù)據(jù)、一般業(yè)務(wù)數(shù)據(jù)、內(nèi)部敏感數(shù)據(jù)、機(jī)密數(shù)據(jù)四個安全級別。
· 數(shù)據(jù)管理與操作的各個角色設(shè)置
根據(jù)數(shù)據(jù)的擁有者、管理者、使用者三個角色，明確各角色對于數(shù)據(jù)的安全責(zé)任和操作權(quán)限。各級別數(shù)據(jù)的防護(hù)措施等方面的內(nèi)容。對于不同級別的數(shù)據(jù)，還要明確其在數(shù)據(jù)訪問控制、存儲、傳輸、備份、審計等方面的要求。
2、評估敏感數(shù)據(jù)分布，制定數(shù)據(jù)安全防護(hù)策略
數(shù)據(jù)是信息系統(tǒng)的核心，對于數(shù)據(jù)的訪問可能來自于多個途徑，基于數(shù)據(jù)分類分級梳理高校數(shù)據(jù)資產(chǎn)狀況，明確數(shù)據(jù)由誰產(chǎn)生、如何存儲、如何傳輸、被哪些對象使用、如何使用、可能被哪些業(yè)務(wù)系統(tǒng)訪問、訪問路徑以及敏感數(shù)據(jù)分布情況，并按照數(shù)據(jù)采集、傳輸、存儲、處理、交換和銷毀整個生命周期的各個階段對數(shù)據(jù)安全風(fēng)險進(jìn)行分析評估。結(jié)合校園網(wǎng)絡(luò)、數(shù)據(jù)中心、業(yè)務(wù)系統(tǒng)、辦公終端等多個業(yè)務(wù)場景方面，制定相應(yīng)數(shù)據(jù)安全防護(hù)策略。
· 終端層面防護(hù)
加強終端數(shù)據(jù)安全管理，通過終端監(jiān)控方式監(jiān)控來自多種網(wǎng)絡(luò)通道的外發(fā)數(shù)據(jù)，幫助高校保護(hù)敏感數(shù)據(jù)通過Web、終端外設(shè)、打印、刻錄、IM通訊、遠(yuǎn)程連接、FTP、文件共享等諸多渠道的敏感文件外發(fā)控制、審批，同時對終端上存儲的靜態(tài)文件實時監(jiān)控與周期性掃描，進(jìn)而實現(xiàn)對通過各種方式泄露的敏感信息進(jìn)行監(jiān)控，發(fā)現(xiàn)并記錄網(wǎng)絡(luò)外發(fā)的敏感數(shù)據(jù)泄露事件。
· 網(wǎng)絡(luò)層面防護(hù)
加強網(wǎng)絡(luò)數(shù)據(jù)防泄漏防護(hù)，對網(wǎng)絡(luò)中傳輸?shù)拿舾行畔⑦M(jìn)行安全審計和管控，利用關(guān)鍵字、正則表達(dá)式、文件指紋、自然語言處理等規(guī)則，對高校外發(fā)數(shù)據(jù)進(jìn)行解析與掃描，實時識別、監(jiān)控、保護(hù)高校敏感數(shù)據(jù)。對即將發(fā)生、正在發(fā)生的泄漏敏感數(shù)據(jù)行為按照預(yù)置策略及時阻斷并告警，防止高校敏感數(shù)據(jù)傳輸?shù)叫@外部，實現(xiàn)對高校外發(fā)敏感數(shù)據(jù)的可知、可見、可控。其次，針對校園與第三方公司合作開發(fā)新系統(tǒng)或新功能，可以使用脫敏數(shù)據(jù)產(chǎn)品，對數(shù)據(jù)中的證件號、聯(lián)系方式、地址等比較敏感的數(shù)據(jù)進(jìn)行屏蔽、替換、隨機(jī)化、加密等處理，防止真實數(shù)據(jù)泄漏。此外，校內(nèi)人員使用數(shù)據(jù)時，比如學(xué)校師生在項目、科研實驗中需要調(diào)用到學(xué)校的人員信息數(shù)據(jù)，教務(wù)處或信息中心等部門需要授權(quán)相關(guān)的數(shù)據(jù)信息，可通過走校園內(nèi)部審批流程進(jìn)行申請，最終分管校長審批通過，才能使用數(shù)據(jù)，保證數(shù)據(jù)在校園內(nèi)部使用的合規(guī)性。
· 云端層面防護(hù)
增加云訪問安全代理，當(dāng)高校將自己的服務(wù)部署在云端時，時常會遇到服務(wù)被非法入侵或數(shù)據(jù)被窺視的現(xiàn)象，使用CASB反向代理將服務(wù)真實地址隱藏，加上CASB內(nèi)置的安全模塊，可有效保障高校的服務(wù)及數(shù)據(jù)的安全。當(dāng)高校使用云存儲服務(wù)時，存儲的數(shù)據(jù)或文件被大數(shù)據(jù)引擎窺視分析，甚至被暴力入侵，此時CASB的正向代理服務(wù)內(nèi)置的安全服務(wù)可對上云文件進(jìn)行密級加密或DLP掃描，有效保障上云文件安全的同時確保高校敏感信息外泄。
3、建立統(tǒng)一安全集中監(jiān)控與審計平臺，實時監(jiān)管數(shù)據(jù)流動安全
大數(shù)據(jù)時代的快速發(fā)展，高校都不斷在擴(kuò)大內(nèi)部業(yè)務(wù)系統(tǒng)和建設(shè)自己對應(yīng)的數(shù)據(jù)中臺，數(shù)據(jù)也在不斷地發(fā)生變化。為快速發(fā)現(xiàn)、處理數(shù)據(jù)安全風(fēng)險，可以通過部署安全集中監(jiān)控與審計平臺管理數(shù)據(jù)資產(chǎn)狀況，以數(shù)據(jù)視角對整個數(shù)據(jù)生命周期過程進(jìn)行全方位的實時監(jiān)視，記錄數(shù)據(jù)活動和用戶行為，及時發(fā)現(xiàn)數(shù)據(jù)存在的風(fēng)險、威脅、漏洞以及數(shù)據(jù)的異常訪問、用戶的異常操作等事件，并生成數(shù)據(jù)合規(guī)報告，保證入侵、破壞、泄露、篡改敏感數(shù)據(jù)的行為事前能被發(fā)現(xiàn)，事中能被攔截和監(jiān)查，事后能被審計追溯，確保數(shù)據(jù)全生命周期的安全。
