提升數(shù)據(jù)安全四大對策

提升數(shù)據(jù)安全四大對策

吳海燕清華大學信息化技術(shù)中心

數(shù)據(jù)安全并非單一技術(shù)或者管理措施即可解決的復雜問題，需通過整體的信息安全保障體系的設(shè)計與實施，綜合考慮技術(shù)和管理各方面的措施。

清華大學信息化技術(shù)中心吳海燕認為，應(yīng)從以下幾個方面入手解決高校數(shù)據(jù)安全問題。

第一，建立數(shù)據(jù)分級防護策略

數(shù)據(jù)分析防護策略是核心的數(shù)據(jù)安全策略。建議根據(jù)數(shù)據(jù)的保密性、完整性等安全屬性，根據(jù)相關(guān)法律法規(guī)要求，根據(jù)數(shù)據(jù)對于學校的重要程度，對數(shù)據(jù)進行安全級別劃分，使數(shù)據(jù)能夠得到適當?shù)陌踩雷o。建立數(shù)據(jù)分級策略需要考慮如下幾個方面的問題：1.數(shù)據(jù)的分級原則，考慮到可操作性，建議高校數(shù)據(jù)分為三個或四個安全級別，如可劃分為公開數(shù)據(jù)、一般業(yè)務(wù)數(shù)據(jù)、內(nèi)部敏感數(shù)據(jù)、個人數(shù)據(jù)四個安全級別；2. 數(shù)據(jù)管理與操作的各個角色設(shè)置；3.各級別數(shù)據(jù)的防護措施等方面的內(nèi)容。對于不同級別的數(shù)據(jù)，還要明確其在數(shù)據(jù)訪問控制、存儲、傳輸、備份、審計等方面的要求。

第二，嚴格數(shù)據(jù)的訪問控制

包括通過防火墻實現(xiàn)網(wǎng)絡(luò)訪問控制、通過主機安全加固強化主機訪問控制、通過數(shù)據(jù)庫加固限制數(shù)據(jù)庫訪問控制，通過Web 應(yīng)用的安全設(shè)計與開發(fā)防止黑客通過Web 應(yīng)用漏洞獲取敏感數(shù)據(jù)。

第三，探索嘗試數(shù)據(jù)加密與一致性校驗技術(shù)

以散列的方式加密存儲口令類不需要解密的數(shù)據(jù)是較成熟的解決方案，但對于敏感數(shù)據(jù)（如科研經(jīng)費等數(shù)據(jù)）的可逆加密目前國內(nèi)外高校都在探索中。清華大學采用了PKI 相關(guān)的技術(shù)實現(xiàn)了對招生數(shù)據(jù)的數(shù)字簽名和定時驗簽，有效地提升了招生數(shù)據(jù)的完整性。

第四，實施數(shù)據(jù)庫審計

安全審計是通過測試信息系統(tǒng)對一套確定標準的符合程度來評估其安全性的系統(tǒng)方法。安全審計根據(jù)一定的安全策略記錄和分析歷史操作事件及數(shù)據(jù)，發(fā)現(xiàn)能夠改進系統(tǒng)性能和安全的地方。對數(shù)據(jù)庫操作進行審計的關(guān)鍵在于審計策略的設(shè)定，審計策略設(shè)得寬泛會導致審計數(shù)據(jù)過多，而審計策略設(shè)得過為嚴格則會造成審計數(shù)據(jù)不全，需要進行適當?shù)钠胶狻?/p>