關于網絡安全不得不說的三個要點

策略篇

高校網絡安全工作確實存在許多挑戰和困境，但在網絡安全已上升為國家戰略的今天，此項工作一定會得到越來越多的支持。

關于網絡安全不得不說的三個要點

姜開達

上海交通大學網絡信息中心信息安全負責人

疲于奔命的救火英雄和烈士不能當

學校信息化部門如何面對日益嚴峻的網絡安全形勢？重要的一點是，疲于奔命的救火英雄和烈士不能當。

在過去的安全工作中，學校往往以安全漏洞和安全事件為中心，一直處于被動應急的局面，這種情況必須得到扭轉。長遠的建設方向還是應該圍繞學校信息資產安全,以此來開展一系列安全工作。我們要梳理清楚學校各類信息資產，分門別類，消除管理盲點。重要系統和次要系統的安全等級和安全投入顯然不能完全一致。系統地理順整個安全工作脈絡并建立完整的安全保障體系，我們才能始終掌握工作的主動性。我們的角色不應該是救火英雄，更不愿意成為光榮的烈士。

網絡安全建設要和信息化發展融為一體，借鑒成熟的網絡管理模式來理順信息系統資產安全管理。網絡安全管理制度必須要有，并且要踏踏實實落地并進行有效監督，而不能僅落在紙面。要靠信息化流程和規章制度來管理，同時也要有一系列技術措施來保障，不能靠個人力量來督促，也不能心存各種僥幸心理，要把安全責任分解到所有相關部門和人員身上，明確各自的管理邊界，只有權責明確才能確保學校安全長治久安。

高校缺失安全力量是偽命題

各地一直在說，信息安全人才缺失，工作難以開展。我覺得這是一個偽命題。高校最不缺的就是人才，成千上萬的學生都可以為我們所用，關鍵還是缺乏相應的機制，缺乏有效組織和系統培養。高校對于安全人才要注重長期培養，有條件的高校選拔相關專業學生，培養專業人才隊伍，參與學校網絡安全工作，彌補保障力量的不足。把學生引進來，培養學生成為網絡安全管理中的一支輔助力量和宣傳隊伍，是雙贏的結果。參與校園網絡安全建設的過程中，他們對計算機領域會有更深入的理解。我們要做到：一是資源整合，機制創新，利用好高校自身安全力量。二是校企合作，引入民間力量，共同培養安全人才。三是加強國內外行業交流合作。加強與國內各安全機構和組織間的順暢溝通，與百度、阿里、騰訊、360等互聯網公司和安全廠商推動深度合作，在教育軟件廠商的協同參與下，共同提升學校自身安全能力。

打造網絡安全共同體

安全是一個長期且動態變化的過程，無法速成。學校要從行動上真正重視網絡信息安全，國家和行業主管部門要加強安全監管和服務，教育軟件廠商要承擔責任和更多義務，安全廠商要提供符合學校要求的專業化安全服務。只有各方共同努力，同舟共濟，互相合作才有教育行業安全的美好未來。

網絡安全的特點是攻防高度不對稱。黑客可以單線作戰，一點突破，引發目標全線崩潰。但作為防護的一方，全局體系任何一處都不能存在短板，一旦忽視被惡意利用，可能就是災難性的后果。我們必須形成安全共同體。這個共同體中，自身安全能力提升自不待言，還要加強與地方網絡安全職能部門、專業機構的合作，建立多方聯動的監測預警和應急處置機制。推進建立地區性的網絡安全協作聯盟，加強經驗交流與技術支持，技術能力較好的學校要為技術能力相對薄弱的學校提供安全咨詢和技術支援。共同體中不可或缺的還有專業的安全企業所提供的產品和服務。

在合作與外包過程中，高校信息化部門需要一個頂層設計的安全保障體系。我們必須意識到：長期的安全持續服務重于一次性的安全產品投入。高校安全需要什么？不是軟硬件安全產品的堆砌、不是孤立的一個個系統建設、不是高等級的安全滲透測試，也不是一次次的救火應急響應，能帶來用戶安全感提升的業務才是好業務。我們的安全需求不限于：管理、制度、咨詢、規劃、人員、培訓、系統、運維、整改、應急、演練、情報、服務等，互聯網在持續發展，這些對安全的需求內容也一直在演變和進步。

（責編：王左利）