鄒麗 王斌 高峰

摘要：隨著《教育信息化2.0行動計劃》的推進，高校信息化程度已進一步加深，隨之而來的風險隱患也在逐步增加，本著如何構建校園網(wǎng)安全管理體系架構保障校園網(wǎng)絡高速、穩(wěn)定、安全、可靠的運行，提出一些看法和建議。

關鍵詞：網(wǎng)絡安全;高校;等保2.0;網(wǎng)絡安全技術

中圖分類號：TP181 ? ? ? ?文獻標識碼：A

文章編號：1009-3044（2020）28-0054-02

“互聯(lián)網(wǎng)+”已成為高校教育的“新常態(tài)”，在彌補傳統(tǒng)教授模式不足的同時，對教學科研、管理都起到了促進作用，進而改變了師生的工作與學習方式，成為校園生活中不可或缺的重要組成部分。隨著互聯(lián)網(wǎng)技術不斷更新與《教育信息化2.0》的穩(wěn)步推進，高校信息化出現(xiàn)了多樣性和復雜性，同時校園網(wǎng)絡安全問題也日益凸顯，而大多高校對校園網(wǎng)安全仍舊采取大水漫灌式管理，使得校內(nèi)教學科研活動得不到有效的保障，就近幾年高校網(wǎng)絡安全工作來看，如何清晰合理構建網(wǎng)絡安全管理體系以保障校園網(wǎng)師生個人信息安全及重要核心業(yè)務穩(wěn)定、安全、可靠的運行已成為各個高校信息化的當務之急。

1 建設網(wǎng)絡安全管理體系的原因

高校網(wǎng)絡安全管理的本質即在網(wǎng)絡服務不中斷的情況下有效地對通信鏈路、網(wǎng)絡系統(tǒng)硬件、軟件及系統(tǒng)中的數(shù)據(jù)進行防護提高其保密性、完整性、和可用性，不因偶然性或者惡意性等原因而遭受破壞、更改、泄露，保障系統(tǒng)連續(xù)可靠正常地運行，為在校師生及管理者提供可靠便利的服務，做到輕松享受教育信息化2.0建設帶來的便捷服務。

1.1 校園網(wǎng)絡安全管理滯后應用系統(tǒng)建設

由于業(yè)務部門系統(tǒng)建設需求旺盛且建設周期短，建設成效易顯現(xiàn)，而大多數(shù)高校信息化部門主要從事常規(guī)性運維工作，且校園網(wǎng)絡安全管理建設缺乏體系指導，網(wǎng)絡安全風險防范評估能力不足，網(wǎng)絡安全隊伍建設缺乏合理性，各業(yè)務部門缺乏網(wǎng)絡安全風險防范意識等原因，導致校園網(wǎng)絡安全建設及管理存在隨意性、重復性、盲目性、科學性等問題。

1.2 個人信息泄露頻繁

2017年勒索病毒肆虐全球，國內(nèi)高校成為重災區(qū);2018年9月華住集團涉及5億條個人信息泄露;2018年8月，浙江省1000萬條學籍數(shù)據(jù)疑似泄露等安全事件的發(fā)生，加速了我國網(wǎng)絡安全治理工作的步伐，如2017年出臺《網(wǎng)絡安全法》、2019年5月出臺《信息安全技術網(wǎng)絡安全等級保護基本要求》、2019年全國信息安全標準化技術委員會面向全社會公開征求《信息安全技術個人信息安全規(guī)范（草案）》意見等。如何將法律法規(guī)與高校實際業(yè)務需求結合提高政府資金利用率，構建合理合規(guī)可管可控的網(wǎng)絡安全管理體系，避免校園網(wǎng)絡安全建設出現(xiàn)隨意性及粗分散性顯得尤為重要。

1.3 網(wǎng)絡安全威脅不斷增大

近幾年網(wǎng)絡犯罪數(shù)量及犯罪手段不斷翻新，網(wǎng)絡威脅行為造成的破壞不斷增大，就近幾年高校所面臨的網(wǎng)絡安全威脅來看，主要有網(wǎng)站篡改，數(shù)據(jù)盜取，木馬種植、惡意挖礦、病毒破壞、DDOS攻擊等威脅。

2 高校網(wǎng)絡安全管理體系架構設計

2.1 高校網(wǎng)絡安全管理體系架構簡介

由圖1可見，從自身信息化資產(chǎn)實際出發(fā)，為保障師生個人隱私安全和核心業(yè)務穩(wěn)定運行為目標，以人和信息資產(chǎn)作為管理對象，建立以安全形勢、國家政策法規(guī)及上級部門工作要求為指引，研究制定符合高校網(wǎng)絡安全的工作方針、政策、規(guī)劃，在安全管理機構、網(wǎng)絡安全人才隊伍、資金支持及領導支持的基礎支撐上，從技術管理體系與制度管理體系相結合的方式保障高校信息資產(chǎn)的網(wǎng)絡安全。

2.2 提高認識、建立網(wǎng)絡安全領導機構

大多高校網(wǎng)絡信息管理部門主要從事校園網(wǎng)絡及信息系統(tǒng)的日常運行、技術維護、安全保障工作。在校園網(wǎng)絡安全統(tǒng)籌規(guī)劃、建設、管理及應急處置時由于網(wǎng)絡基礎設施安全管理不統(tǒng)一、信息資產(chǎn)不清、用戶信息不完整等原因存在巨大的風險隱患。建立以校領導為高校網(wǎng)絡安全第一負責人的領導機構，健全機構職能及制度，從思想上高度重視，做到統(tǒng)一規(guī)劃、統(tǒng)一建設、統(tǒng)一技術標準、統(tǒng)一管理，做到網(wǎng)絡安全與信息化項目同步建設、同步實施、同步發(fā)展;突出校園網(wǎng)絡安全工作重點有效整合校內(nèi)外資源、推動校園網(wǎng)絡整體安全運行。

2.3 完善網(wǎng)絡安全管理制度

按照”誰主管、誰負責;誰使用、誰負責;誰運營、誰負責“的基本原則，重點完善部門網(wǎng)絡安全責任制度，校園網(wǎng)用戶所在部門職能、人員職能，同步制定相關的網(wǎng)絡安全責任考核制度和責任追究制度;對校內(nèi)信息化項目進行風險評估管理，建全校內(nèi)信息備案制度、網(wǎng)絡安全管理臺賬、應急預案及應急保障，規(guī)范運維及外包安全管理制度，加大網(wǎng)絡安全專業(yè)技術人員考核指標，針對校園網(wǎng)用戶開展網(wǎng)絡安全相關政策文件法規(guī)的宣傳工作。制定關鍵信息資產(chǎn)涉及產(chǎn)品的運維管理制度，定期開展安全巡檢工作，對可能出現(xiàn)的風險隱患進行及時有效管理。

2.4 建立重要信息資產(chǎn)分類分級識別備案

對高校重要信息資產(chǎn)進行識別、分類及分級備案，做到網(wǎng)絡安全管理對象更加明確清晰;依照圖1-高校網(wǎng)絡安全管理體系架構圖可見，高校重要信息資產(chǎn)分為兩類;分別是網(wǎng)絡基礎設施資產(chǎn)、信息系統(tǒng)資產(chǎn)。

網(wǎng)絡基礎設施資產(chǎn)包含：路由器、網(wǎng)關等網(wǎng)絡設備;存儲設備、光纖等傳輸線路、UPS、空調、門禁等保障設備;防火墻、上網(wǎng)行為審計、入侵檢測系統(tǒng)（IDS）、入侵防御系統(tǒng)（IPS）、WAF、網(wǎng)絡準入認證系統(tǒng)、VPN等安全設備;PC、電子屏、自助終端業(yè)務機等終端設備。網(wǎng)絡基礎設施資產(chǎn)從設備名稱、品牌、供貨時間、質保期、責任部門等方面進行備案登記管理，主要解決網(wǎng)絡基礎設施資產(chǎn)不清、重復建設、產(chǎn)權歸屬不明確，責任推諉等問題。

信息系統(tǒng)資產(chǎn)包含招生、學籍、宿管、教務、研究生、OA辦公等關鍵業(yè)務應用系統(tǒng)，和移動端應用、大數(shù)據(jù)、云計算等新技術應用系統(tǒng)。主要從互聯(lián)網(wǎng)開放情況、IP地址、域名、業(yè)務范圍、存放位置、開放端口、操作系統(tǒng)、中間件、定等級別、備案號、所屬部門、網(wǎng)絡安全責任人等方面建立信息系統(tǒng)備案登記表，建立信息安全管理基線，對互聯(lián)網(wǎng)接入、端口管理、操作系統(tǒng)正版化、系統(tǒng)漏洞及其他風險防范管理提供支撐。

2.5 校園網(wǎng)絡安全技術體系架構規(guī)范

以應用型高校為例，網(wǎng)絡安全技術體系機構可以依據(jù)《信息安全技術網(wǎng)絡安全等級保護基本要求》GB∕T 22239-2019，針對信息系統(tǒng)定等級別和應用實際出發(fā)，從物理和環(huán)境安全、業(yè)務拓展安全、安全管理與監(jiān)測、計算環(huán)境安全、區(qū)域邊界安全、通信網(wǎng)絡安全和云端安全七個層次建立校園網(wǎng)絡安全技術防范體系框架，可依照色彩深度分三個批次對信息資產(chǎn)安全保護建設進行模塊化階段性劃分，即白色為等級保護二級安全建設要求，淺灰色為等級保護三級建設要求，深灰色為等級保護四級安全建設要求。

2.6 高校安全應急預災備保障

建全高校網(wǎng)絡安全應急與災備保障機制，同城高校之間建立異地災備中心，搭建高校與企業(yè)“協(xié)同行動”的工作機制。制定高校網(wǎng)絡安全應急響應計劃、災難恢復策略、災難恢復預案，并對其有效性和實時性進行修正完善。定期組織校內(nèi)網(wǎng)絡安全應急響應、災備培訓并開展應急演練，保障高校信息化健康持續(xù)發(fā)展。

2.7 重視網(wǎng)絡安全技術人員隊伍建設

持續(xù)把校園網(wǎng)絡安全隊伍能力建設作為強化網(wǎng)絡安全管理的根本。嚴格執(zhí)行國家、地區(qū)和校內(nèi)有關規(guī)定， 制定年度網(wǎng)絡安全管理從業(yè)人員技能培訓計劃， 堅持以保障校內(nèi)重要信息資產(chǎn)安全為依據(jù)有序開展網(wǎng)絡安全技能及知識培訓， 注重培養(yǎng)校內(nèi)網(wǎng)絡安全核心人員發(fā)展，進一步建設校內(nèi)網(wǎng)絡安全人才培養(yǎng)管理工作，努力打造校內(nèi)專業(yè)技術人員，現(xiàn)場事故處置、綜合安全管理“三個能力”的網(wǎng)絡安全管理人才隊伍，為高校網(wǎng)絡安全管理可持續(xù)提升提供良好的人力資源保障。

3 結束語

總的來說，高校信息化程度越高，網(wǎng)絡安全的影響也就越為深刻;在大數(shù)據(jù)、人工智能、物聯(lián)網(wǎng)技術等新技術快速發(fā)展的 大背景下，高校網(wǎng)絡安全管理體系應本著問題導向、目標導向、結果導向，依照政策法規(guī)及互聯(lián)網(wǎng)安全形勢變化將管理體系與技術體系進行合理有效融合是高校網(wǎng)絡安全管理體系構建的根本。

參考文獻：

[1] 段海新.校園網(wǎng)安全問題分析與對策[J].中國教育網(wǎng)絡，2005（3）：22-25.

[2] 劉欽創(chuàng).高校校園網(wǎng)的安全現(xiàn)狀與對策[J].現(xiàn)代計算機，2006（3）：103-106.

[3] 李婧.高校校園網(wǎng)絡安全分析及解決方案[J].信息與電腦（理論版），2019（23）：146-147.

[4] 劉佳.從“勒索病毒”看高校網(wǎng)絡安全[J].科技資訊，2018，16（11）：25，27.

[5] 鄒凱，向尚，張中青揚，等.智慧城市信息安全風險評估模型構建與實證研究[J].圖書情報工作，2016，60（7）：19-24.

[6] 翟躍，路萍，宋亮.基于等級保護的信息資產(chǎn)風險管理系統(tǒng)研究[C]//中國計算機用戶協(xié)會網(wǎng)絡應用分會2019年第二十三屆網(wǎng)絡新技術與應用年會論文集.合肥，2019：259-262.

【通聯(lián)編輯：唐一東】