大安全觀下高校網絡信息安全建設

馬新科吳 爽2.華北電力大學信息化建設與管理辦公室；2.華北電力大學網絡與信息中心馬新科，男，碩士，華北電力大學信息化建設與管理辦公室，主要研究方向為信息化推進管理、網絡信息安全。

?

大安全觀下高校網絡信息安全建設

馬新科1吳 爽2
1.華北電力大學信息化建設與管理辦公室；2.華北電力大學網絡與信息中心
馬新科，男，碩士，華北電力大學信息化建設與管理辦公室，主要研究方向為信息化推進管理、網絡信息安全。

link

隨著大學信息化建設的深入推進，網絡信息安全體系建設也逐漸融合并發展進來。該文以華北電力大學網絡信息安全體系構建過程為基礎，從技術安全和內容安全兩個視角全面分析了學校的信息安全現狀和面臨的問題，擴展了網絡信息安全的管控內涵。最后，結合學校工作實際，從信息安全等級保護和內容安全管理的角度介紹了學校網絡信息安全體系建設的過程。

隨著大互聯網的迅猛發展以及信息化水平的不斷提高，教育信息化已成為高水平大學建設的一個發力點和“彎道超車點”，各大高校也積極抓住發展的契機，不斷推進數字校園向智慧校園和智能校園的轉變。同時，高校越來越多的教學資源、圖書資源、管理數據也進了數據中心，信息化的發展與網絡的發展已經和大學前進的步伐逐漸同步。但是，在大學信息化向縱深發展的同時，網絡信息安全問題越來越突出，目前高校網站被黑客攻擊、掛馬、信息系統數據泄露、不實信息傳播等問題層出不窮，大學網絡空間墻壁的可靠性和堅強性受到了極大的挑戰。

本文從華北電力大學網絡信息安全體系建設工作的實際出發，以大安全觀的角度詳細闡述了我校信息安全體系建設的步驟和內容、經驗。

高校網絡信息大安全觀的內涵及重要性

一般意義上，高校網絡信息安全是指：在高校網絡空間中，運行的各類軟硬件、信息系統、用戶數據能夠被有效地保護，不會被攻擊者破壞并泄露數據，各系統服務和網絡服務穩定地運行支持學校各項業務的開展。隨著高校網絡信息化的深入發展，安全概念及安全領域的拓展，由于高校思想陣地的特殊性，高校網絡信息安全的涵義也不僅僅局限于技術安全領域，而是突破了一般概念的束縛，將網絡信息內容安全及傳播安全也同時容納進來。另外，由于網絡信息安全涉及部門眾多，一旦出現問題，聯動效應明顯，因此從某種意義上來說，這也拓寬了高校網絡信息安全的內涵。

高校網絡信息大安全觀的內容包括：系統運行安全、系統信息內容安全、網絡信息傳播安全。大安全觀的“大”主要體現在它突破了一般意義上的安全，將信息傳播安全納入進來了，另外由于網絡信息安全問題涉及的部門眾多，也是“大”的一方面體現。因此，高校網絡信息安全又可以分為技術安全和內容安全，技術安全是從網絡信息技術層面保證的系統安全和數據安全，內容安全是從信息傳播層面，數據信息的真實性、完整性被較好的保護，未受到“臟信息”的傳播干擾，最終保證信息數據在校園網絡上的安全運行和傳輸、傳播。

2014年2月27日，中央網絡安全和信息化領導小組成立，這表明網絡信息安全問題已經從國家層面開始，自上而下的被重視起來。習近平總書記作為小組組長，在會議上強調：“沒有網絡安全就沒有國家安全，沒有信息化就沒有現代化。”高校網絡信息大安全觀的實質就是要保證學校網絡空間中的各類資源被安全的獲取并傳播，事關學校的各類信息未經惡意傳播，最終確保學校網絡空間的安全穩定。由于高校的發展牽動著社會的神經，一旦事關高校的數據信息受到破壞、泄露或者不實擴散傳播，造成的后果將十分嚴重，所以高校網絡信息安全體系的建設一直都是各高校在信息化發展的同時考慮的重要前提。

高校網絡信息安全現狀分析及面臨的問題

現狀分析

目前高校網絡信息安全問題形勢嚴峻，首先是黑客對高校門戶網站的攻擊，一旦高校主頁被篡改，貼上反動標語，這種影響將是巨大的。其次是對高校應用系統的威脅，高校的信息門戶、財務、教務、一卡通等應用系統的重要數據一旦被篡改或者丟失，將嚴重影響學校的正常運轉。再者是網絡信息的快速傳播對信息監管帶來的挑戰，由于信息發布平臺的多樣性和復雜性，信息的傳播渠道十分寬廣，尤其是在高校這種環境下，大學生群體的思想比較活躍，這給信息監管部門的工作增加了極大的難度。目前高校整體網絡信息安全形勢嚴峻，仍存在多方面影響因素。

（1）安全意識淡薄。高校網絡信息系統（網站）的管理者、使用者的技術水平以及安全道德素養對信息安全有很大影響。在高校網絡及應用系統建設中，建設主導者一般為具體業務部門的人員，信息化部門的人員一般負責協調，這就導致系統在建設過程中更多的考慮功能性的問題，而忽略了系統安全。在高校網絡信息內容監管方面，由于涉及部門多，人員廣，每個人的網絡信息安全意識較難統一并形成合力，從大安全觀的角度共同解決網絡信息安全事件。

（2）技術水平有限。目前，大多數高校網絡及信息平臺的數據和信息主要靠具體的業務部門自行管理，雖然大多數高校均已建設了數字化校園，對校園信息數據進行了集成，但這種源數據的安全仍然依賴于具體業務部門的工作人員的技術水平。在網絡及信息系統的日常管理維護中，高校由于技術力量的薄弱，往往容易成為受害的對象；在有損學校正面形象的不實信息擴散傳播時，技術人員往往缺乏對應的手段進行及時處理，從而導致網絡信息安全事件的發生。

（3）管理模式落后。高校網絡信息安全并不單純涉及技術問題，同時與管理有很大關聯，尤其是“云大物移”的快速發展對高校網絡安全管理體系的沖擊十分巨大。高校網絡信息安全管理涉及部門多、范圍廣，建立一體化的管控機制比較困難，這導致在處理信息安全事件時，分工混亂，權責模糊，容易造成“踏空現象”的發生。高校網絡是一個極其開放的環境，高校用戶是一個活躍的大規模群體，在這種環境下實施統一的安全策略是不現實的，仍然需要創新管理模式，適應大互聯網時代學校網絡信息安全空間發展的新需求。

面臨的問題

大互聯網的迅速發展對高等教育行業產生了巨大的影響，在帶來資源便捷訪問的同時，新的安全問題也同時誕生。目前，高校信息網絡承載著越來越多的應用系統，如教務管理系統、科研協同系統、網上辦事系統等，這些系統的使用都隱藏著一定的安全問題。從大安全觀的角度，高校網絡信息安全面臨的問題主要在于漏洞、病毒傳播和攻擊、非法入侵和攻擊、惡意破壞應用系統、不實信息非法傳播等方面。

華北電力大校園網注冊用戶2萬，全校采用網關實名認證方式上網，校園網為萬兆主干網絡，出口帶寬共計2.5G，所有教學辦公區開通了無線網絡。在技術安全防護方面，我校采取了多域多級防火墻、上網行為管理系統、VPN系統、網絡防病毒系統、流量監控系統、網絡管理系統、環境監控系統、實名制認證上網系統、網絡備份與恢復系統等多項網絡安全措施，為校園網的安全穩定提供了一定的保障。

我校的網絡信息系統主要包括：上網認證計費系統、校園“一卡通”系統、郵件、網站群、OA、教務管理系統、大財務管控等。通過與國內外其他高校的網絡信息安全整體建設和保障水平進行對比，并結合等級保護差距分析和風險評估，發現我校在網絡信息系統（網站）技術安全方面，面臨的風險和問題如下：

（1）網絡信息安全體系建設規劃不完善，落實起來難度較大；

（2）網絡信息安全體系管理條塊劃分界限模糊；

（3）信息化服務對象安全意識淡薄，系統安全使用素養水平較低；

（4）信息化技術和管理方面均缺乏安全評估、監管檢查反饋機制；

（5）網絡信息安全建設投入不足，人員流動性大。

高校是十分活躍的思想陣地，大學生是這一陣地的主角，怎樣更好的守衛并引導這一思想陣地的發展，使其更好的服務大學的發展，是一項重要的研究課題。由于網絡的快速發展，高校傳播的陣地延伸到了網絡空間，網絡思想陣地也迅速成為大學生熱議各類話題的平臺。由于該平臺的開放性，故其很容易被不法分子利用，成為不實信息傳播擴散的源頭。一旦某些不實信息通過各大社交平臺迅速傳播，若高校不能快速的進行危機公關處理，將造成高校網絡信息安全事故，對學校的形象造成損失。經過總結分析，我校網絡信息內容安全面臨的問題，主要有以下三種表現形式。

（1）境外不實信息對高校的信息安全沖擊。由于網絡的便捷性和信息的傳播快速，網絡上一些不法分子常利用微博、論壇、貼吧等信息發布平臺，發布關于學校的小道消息和謠言。境外各種勢力也常常打著“內幕曝光”、“敏感事件”剖析的旗號，通過網絡向高校師生傳播信息。這些信息隱蔽性強，欺騙性大，容易引起大學生的好奇心。這種有害信息還經常會通過信箱搜索，自動發送垃圾郵件給在校師生，充斥著學校的郵箱系統，這給學校的網絡安全防護工作帶來了新的困難。

（2）不法分子借助新媒體對高校師生和諧氛圍的信息安全攻擊。高校作為一種特殊性的組織，在社會中扮演著很多交叉角色，各種因素交織影響著學校的發展。在網絡越來越普及的現實情形下，社會上各類群體在網絡上的發聲對高校形象的影響越來越大，很多細微的話題經過網絡的放大、擴散，容易造成信息的不實傳播。如一些破壞高校和諧的不法分子，常在論壇、貼吧、自媒體平臺中發布高校人事、招生、教學、科研等方面的不實信息，或惡意詆毀學校某領導、教授等公眾人物，借此營造一種不利于學校的氛圍，給學校施加社會輿論壓力，阻礙學校的正常發展。

（3）高校內部惡意信息的傳播帶來的信息內容安全問題。有些師生憑著自己一時的情緒，在社交媒體上傳播惡行惡言，捏造事實，對學校領導、教師和學生進行信息泛濫攻擊。這種帶有嚴重個人情緒的信息會通過網絡惡意擴散，十分不利于學校正面形象的展示。歸根結底，這都是由于我校缺乏教師和學生活躍參與的網絡陣地，他們只能借助于其他平臺發泄自身的情緒。

上述三類網絡信息內容安全的表現形式，還會以其他形式演變發展并影響著高校的正常運轉，這仍需網絡信息安全工作者在實際問題中，具體問題具體分析。

我校網絡信息安全體系建設思路

網絡信息安全體系建設涉及的部門多、范圍大、人員廣，必須堅持從大安全觀的角度出發，遵循“統一規劃，分步實施，需求為主，突出重點” 的總體原則，才能將網絡信息安全體系建設落到實處。我校的網絡信息安全體系建設分別從以下兩點展開：信息技術安全和信息內容安全，兩條主線在網絡信息安全體系建設的過程中相互交織和融合，依托學校的信息技術安全和管理實際，具體開展工作。技術路線如圖1所示。

依據上述原則和技術路線，我校的網絡信息安全體系建設工作以“大安全觀”為指導，運用網絡信息安全工作生命周期的理念，以技術安全建設和內容安全建設為抓手，將具體方案落實在網絡信息安全工作的各個環節，并在建設過程中逐步完善體系。我校網絡信息安全體系建設工作按照風險評估＞體系規劃＞總體方案＞體系建設實施＞常態運行的流程進行推進。

我校網絡信息安全體系建設內容

我校網絡信息安全體系框架依據國家相關標準和學校文件精神，強調安全規劃、安全管理、安全運維、安全技術和安全傳播5個核心原則，建構管控體系，并通過集約化管理，形成了以風險評估、檢測為基礎的體系架構。上述體系架構，從技術層面上基本滿足了等級保護的要求，在實際中也滿足了學校的信息安全防護需求。在大學網絡信息安全體系架構的構建過程中，不僅強調網絡信息系統軟硬件的安全防護，同時要考慮新媒體環境下，網絡信息內容的傳播安全，這樣體系框架才能涵蓋大學網絡信息安全的各個方面，從而形成真正的“大安全觀”。

推進等級保護工作實質性開展，確保網絡信息技術安全

圖1 華北電力大學統計數據指標體系圖

由于網絡信息系統的業務性特征明顯，信息安全領域存在多頭管理現象，部門之間職責界定不清晰，管理權限交叉重疊嚴重，決策權不集中，各個相關管理機構之間溝通和協調存在壁壘，導致網絡信息安全體系建設工作開展較為緩慢，這表明網絡信息系統安全保障急需一個強有力的抓手。信息安全等級保護是我國信息安全領域的基本制度，在教育尤其是高等教育行業，實施等級保護制度，是促進高校信息化健康發展，為高水平大學建設保駕護航的重要基礎工作。

我校網絡信息安全技術層面的體系架構包括了安全技術、安全管理、人員組織、教育培訓、資金投入等關鍵因素，在此框架中，應以安全策略規劃頂層設計，結合技術、管理和運行三個層面構建安全體系，從而達到網絡信息系統和網絡的可用性、可控性、抗攻擊性、完整性和保密性的安全建設目標，具體框架如圖2所示。

圖2 我校網絡信息安全體系建設框架-技術層面

建多部門協作的信息處置平臺，保障網絡信息內容安全

網絡信息內容的安全涉及部門多、范圍大、人員廣、內容雜，因此，構建一個多部門協作的信息發現、處置跟蹤平臺是十分必要的。通過該平臺的建設，將網絡信息內容安全管理工作納入到學校的重要工作事項中，制訂應急預案并根據時期不同進行演練，提高預防、應對和處理各類網絡信息安全突發事件的能力；建立校園信息網絡安全共享機制，監管及杜絕不良網絡信息的傳播，為廣大師生創造文明、健康、和諧、穩定的校園信息網絡環境，切實保障學校各項事業的持續健康發展。

在內容安全層面，多部門協作的網絡信息內容發現、處置、跟蹤平臺的建設在學校網絡與信息安全工作小組的領導下，校外與北京市公安局文保總隊網安大隊、中電聯，構建校園-社會網絡信息內容安全聯動機制；校內聯合黨辦校辦、宣傳部門、保衛部門、網絡信息部門等形成校內聯動機制，具體建設內容如下。

（1）建立并落實制度。在網絡信息安全工作領導小組的協調下，我校已經制定了《華北電力大學網站建設與管理規范》、《華北電力大學網絡與信息安全事件應急預案》、《華北電力大學信息公開保密審查暫行規定》、《華北電力大學信息依申請公開工作流程》等管理文件，但隨著移動互聯網和信息極速獲取時代的到來，一般的網絡信息安全事件通過網絡的發酵，很容易形成網絡輿論熱點，對學校的發展造成影響。

（2）組建隊伍并明確責任全校各單位聯合組建信息化主管、信息化助理、學生信息員三支人員隊伍，形成網絡信息安全“三橫一縱”的人員隊伍管理體系，人員隊伍間形成橫向責任分級，與同一單位三個管理層級之間縱向落實責任，對于全校范圍內各級網絡與信息系統、公共網絡上事關學校各方面的相關信息，形成信息監管、處置體系網，從而第一時間主動發現信息安全事件或輿情信息后，把握主動權，及時回應并妥善處置。

（3）齊抓共管并完善機制。網絡信息內容安全管理已逐漸成為一項常態化工作，因此，應將其以制度的形式規范起來，提高工作效率和水平。根據《華北電力大學網絡與信息安全事件應急預案》，定期組織相關部門和學生開展有特色、有主題的校園網絡與信息安全應急演練與桌面推演，積累應對網絡信息安全突發事件的經驗，不斷完善學校網絡與信息安全應急響應處置工作機制。網絡監督員對廣大師生經常訪問的門戶網站、論壇、微博、百度貼吧、人人網、公共主頁等進行信息瀏覽和搜索，形成日志記錄與報告。依據發現的信息，網絡評論員對師生集中關注的網絡信息輿情內容，進行輿情處置與正面引導。二者相互配合，形成輿情管控聯動機制，從而可以快速掌握校內師生思想動態和社會對學校的評價，更好的推動學校發展。

（4）保障資金并提升發聲能力。創新工作方法和技術平臺，充分運用現代信息化技術手段，提升網絡信息內容安全防護工作的能力。根據國家和學校宣傳和信息傳播工作的需要，建設有特點的專題系統（網站），將師生發聲討論的平臺從校外吸引到校內，一方面可以更好的傾聽師生的心聲，積極改進；另一方面可以更快的發現問題并及時處置，從而可以避免引起校外輿論，將輿論控制在校內，達到可管可控。

網絡信息安全體系建設，涵蓋內容繁多，是一項持久性地系統工程。學校在“大安全觀”的指導下，不斷建立并完善各類網絡信息安全規章制度，制定信息安全事件應急預案，加大安全隱患自查排查與安全推演力度，提高信息安全隊伍團隊發聲能力，應對網絡信息安全事件。網絡信息安全涉及學校的各個方面，需要各部門共同參與，群策群力，穩步推進，逐步形成具有華電特色的網絡信息安全體系，保障學校信息網絡的穩定運行，促進校園平安和諧。

基于大安全觀的網絡信息安全體系建設，會隨著新的信息化技術的發展不斷發展，大安全觀的概念從廣度和深度上也會不斷拓展，這就需要網絡信息安全從業人員不斷學習和創新，順應“云大物移”的發展潮流，群策群力，保護校園網絡空間的這片凈土。

10.3969/j.issn.101- 8972.2016.12.044