如何保證高校數據安全？

文/吳海燕

數據是信息系統的核心，亦是攻防雙方爭奪的焦點。今年5月，美國多所大學遭黑客入侵，部分數據泄露，泄露的數據包含了用戶名、地址和電子郵件等個人信息，更將高校的數據安全問題暴露于公眾面前。

高校數據安全挑戰

高校的數據包括管理信息系統數據、科研數據等，這些數據具有很高的價值，面臨來自多方面的安全挑戰。

黑客攻擊的挑戰

高校校園一直是黑客鐘情的一個領域，蠕蟲病毒就在1988年于美國康奈爾大學萌生，之后高校的信息安全經歷了主機安全、網絡安全、應用安全三個發展階段，目前攻防雙方都已經逐漸明確目標，將數據作為攻擊和防護的核心。數據是有價值的，在國外地下黑市，一條信用卡數據價值0.85到30美元不等，在中國，從事地下黑色產業鏈的人數接近10萬，數據對于黑客的誘惑力亦不容小覷。高校蘊含著豐富的數據，既包括學校的管理業務數據，更包括大量珍貴的科研數據，這對于黑客來說，不異于一所所金礦，必將受到黑客的追逐。

法律合規的挑戰

隨著互聯網在各個領域的發展和滲透，我國增強了對數據的立法保護。從國家宏觀層面上看，國家關于信息保護的標準和法律法規逐步增加，2007年國家出臺了信息系統等級保護的系列政策法規和技術管理標準。繼加強信息系統數據監管動作后，2012年底以來，國家關于個人信息保護的法規和標準陸續出臺，2013年工業和信息化部發布了《電信和互聯網用戶個人信息保護規定》（中華人民共和國工業和信息化部令第24號），2013年2月我國首個個人信息保護標準《信息安全技術公共及商用服務信息系統個人信息保護指南》正式實施。這一系列措施的出臺是高校在開展數據安全相關工作時必須遵循的合規要求。如何滿足這些法規標準的合規要求，也是對高校的一項挑戰。

師生安全需求的挑戰

隨著師生信息素養的提高，高校師生的信息安全意識正在迅速覺醒，他們對于數據的保護將不斷提出新的要求。如果不通過這方面的工作，增強師生的信賴度，使其能夠理解和支持相關工作，也是高校在數據安全方面需要應對的一項挑戰。

美國高校的實踐

美國是世界上關于信息保護立法的領先國家，對于數據的合規性保護也是美國高校在數據安全方面面臨的主要挑戰。

組織機構設置

隨著對信息安全的重視程度日益提高，美國許多高校中都成立了專門的信息安全管理部門。由于關注重點、管理范圍和組成方式的不同，各個高校對管理部門的命名上存在不同，但一般都包括“Information”、“Security”兩個關鍵詞，有些高校還將“Privacy”、“Technology”涵蓋進了部門名稱中。表明了其對數據安全保護的重視。例如，伯克利大學設立了信息安全和隱私委員會（Information Security and Privacy Committee，CISPC）。

數據分級保護策略

數據分級保護策略是美國高校的核心信息安全策略，在很多高校的網站上，都在最醒目的位置顯示了其數據分級保護策略，主要包括數據的分類和分級。根據數據的重要性進行分類和分級，根據等級的不同制定適當的規則，既要確保數據的正常使用，又要避免資源的浪費。比如對于保密數據、銀行賬號等信息要采取最高的保護措施，而對于一些聯系方式、電話等信息只限制在校內訪問，禁止對外傳播。構建一個集中的管理系統，對重要的數據進行統一的保護。這樣既可以減少安全隱患，又能夠對接觸數據的人進行有效的監督，還避免了分別構建保密環境的成本。

數據安全熱點領域

EDUCAUSE是一個在世界范圍內居于領導地位的高等教育信息化專業組織，策略與安全（Policy and Security）是其關注的三個重點領域之一，從其關注的這點我們可對美國高校在數據安全方面的熱點領域窺視一斑。其關注的“Hot Topics”包括：云數據存儲安全解決方案（Cloud Data Storage Solutions）、全盤加密（Full Disk Encryption）、云計算安全（Cloud Computing Security）等。

對策

數據安全是高校信息安全體系的重要組成部分和核心目標之一。數據安全并非單一技術或者管理措施即可解決的復雜問題，需通過整體的信息安全保障體系的設計與實施，綜合考慮技術和管理各方面的措施。限于篇幅，本文只對目前比較成熟、且在清華大學已經有應用效果的數據安全技術進行簡要介紹。

建立數據分級防護策略

數據分析防護策略是核心的數據安全策略。建議根據數據的保密性、完整性等安全屬性，根據相關法律法規要求，根據數據對于學校的重要程度，對數據進行安全級別劃分，使數據能夠得到適當的安全防護。建立數據分級策略需要考慮如下幾個方面的問題：

數據的分級原則。可根據數據在保密性、完整性、可用性方面的需求進行安全級別劃分，借鑒國外高校及國內其他行業的數據分級策略，考慮到可操作性，建議高校數據分為三個或四個安全級別，如可劃分為公開數據、一般業務數據、內部敏感數據、個人數據四個安全級別。

數據管理與操作的各個角色設置。建立數據管理角色，包括數據的擁有者、管理著、使用者三個角色，明確各角色對于數據的安全責任和操作權限。

各級別數據的防護措施等方面的內容。對于不同級別的數據，還要明確其在數據訪問控制、存儲、傳輸、備份、審計等方面的要求。

嚴格數據的訪問控制

數據是信息系統的核心，對于數據的訪問可能來自于多個途徑，可能通過服務器直接訪問、連接數據庫訪問，或是通過Web應用系統進行訪問，通過Web應用訪問是目前最為主流的訪問方式。嚴格實現各個層面的訪問控制措施，是保護數據的有效屏障，包括通過防火墻實現網絡訪問控制、通過主機安全加固強化主機訪問控制、通過數據庫加固限制數據庫訪問控制，通過Web應用的安全設計與開發防止黑客通過Web應用漏洞獲取敏感數據。特別要強調的是，根據CNCERT的報告和其他國內外相關結構的研究報告，目前通過Web應用程序的安全漏洞獲取敏感數據是最為常見的數據泄露途徑。需要通過安全需求分析、安全架構設計、安全編碼、安全運維來提升Web應用的安全性。

數據是信息系統的核心，亦是攻防雙方爭奪的焦點。

探索嘗試數據加密與一致性校驗技術

以散列的方式加密存儲口令類不需要解密的數據是較成熟的解決方案，但對于敏感數據（如科研經費等數據）的可逆加密目前則尚無成熟的解決方案，國內外高校都在探索中。

我們對于數據的一致性校驗技術進行了一些探索性的應用。招生數據是高校的內部敏感級別數據，對于招生數據的最大的安全威脅是受到非法篡改，招生數據的最主要安全需求是保持數據的完整性。在實際工作中，我們采用PKI相關的技術實現了對招生數據的數字簽名和定時驗簽，有效地提升了招生數據的完整性。

實施數據庫審計

安全審計是通過測試信息系統對一套確定標準的符合程度來評估其安全性的系統方法。安全審計根據一定的安全策略記錄和分析歷史操作事件及數據，發現能夠改進系統性能和安全的地方。對數據庫操作進行審計的關鍵在于審計策略的設定，審計策略設得寬泛會導致審計數據過多，而審計策略設得過為嚴格則會造成審計數據不全，需要進行適當的平衡。實際工作中，我們采用了記錄數據增、刪、改的審計策略，基本滿足了審計需求。

可以預見，高校在未來幾年將面對日益嚴峻的安全形勢，對于數據的安全保護將是高校要面臨的主要信息安全挑戰。