高校網(wǎng)絡(luò)空間的安全風(fēng)險(xiǎn)評(píng)估及對(duì)策研究

李青

[摘 要]隨著信息化技術(shù)的飛速發(fā)展，高校管理與信息化已密不可分，但網(wǎng)絡(luò)空間安全問題也日益突顯。在構(gòu)建安全智慧校園的進(jìn)程中，高校有必要對(duì)校園網(wǎng)絡(luò)空間安全問題進(jìn)行分析評(píng)估，并結(jié)合已頒布實(shí)施的《中華人民共和國網(wǎng)絡(luò)安全法》，探討高校加強(qiáng)網(wǎng)絡(luò)空間安全體系建設(shè)的可行性辦法。

[關(guān)鍵詞]高校；網(wǎng)絡(luò)空間；網(wǎng)絡(luò)安全法；風(fēng)險(xiǎn)

doi：10.3969/j.issn.1673 - 0194.2018.04.066

[中圖分類號(hào)]TP393.08 [文獻(xiàn)標(biāo)識(shí)碼]A [文章編號(hào)]1673-0194（2018）04-0-02

隨著信息通信技術(shù)的不斷進(jìn)展，互聯(lián)網(wǎng)和信息化浪潮遍及全球，形成了獨(dú)立于陸地、海洋、航空、航天之外的第5維空間——網(wǎng)絡(luò)空間（Cyberspace）。教育行業(yè)在“互聯(lián)網(wǎng)+”的時(shí)代背景下有了跨越式發(fā)展。《教育信息化十年發(fā)展規(guī)劃（2011-2020）》中提到：“高等教育信息化是促進(jìn)高等教育改革創(chuàng)新和提高質(zhì)量的有效途徑，是教育信息化發(fā)展的創(chuàng)新前沿”。網(wǎng)絡(luò)技術(shù)在高校教學(xué)、科研等工作中發(fā)揮著重要的作用。網(wǎng)絡(luò)的最大特點(diǎn)就是開放性，使高校網(wǎng)絡(luò)空間安全問題日益突出。

1 高校信息安全的內(nèi)涵及重要性

2014年，國家成立了由習(xí)近平總書記親自掛帥的網(wǎng)絡(luò)安全和信息化領(lǐng)導(dǎo)小組。2017年6月1日，國家正式施行《中華人民共和國網(wǎng)絡(luò)安全法》，這部法律的出臺(tái)奠定了網(wǎng)絡(luò)安全和網(wǎng)絡(luò)強(qiáng)國的法律基礎(chǔ)，將信息安全工作提到了前所未有的高度。

信息安全主要由三方面組成，即完整性、可用性和保密性。高校信息安全是指在高校網(wǎng)絡(luò)空間中運(yùn)行的各類軟硬件及數(shù)據(jù)能夠被有效保護(hù)，不會(huì)被攻擊者破壞并泄露數(shù)據(jù)，使各系統(tǒng)服務(wù)和網(wǎng)絡(luò)服務(wù)能夠穩(wěn)定運(yùn)行。信息安全的實(shí)質(zhì)是防止內(nèi)部數(shù)據(jù)泄露、被篡改，防止應(yīng)用系統(tǒng)被攻克。高校人員眾多，會(huì)有很多科研數(shù)據(jù)，一旦發(fā)生信息安全事故，極易造成規(guī)模化的教學(xué)秩序混亂，因此信息安全建設(shè)是高校信息化發(fā)展的重要前提。

2 高校信息安全存在的問題

教育部官方網(wǎng)站的數(shù)據(jù)顯示，截至2016年，我國共有高等院校2 879所，在校學(xué)生約3 700萬人。高校師生在享受網(wǎng)絡(luò)帶來便捷的同時(shí)，也時(shí)常發(fā)生一些信息安全問題，成為高校管理的一大難題。

2.1 從師生角度分析，存在的問題

（1）病毒與木馬。計(jì)算機(jī)病毒會(huì)破壞計(jì)算機(jī)的信息資源，導(dǎo)致系統(tǒng)無法正常運(yùn)行。有不少用戶計(jì)算機(jī)不安裝防病毒軟件、防火墻，一旦感染病毒，不僅會(huì)危害計(jì)算機(jī)安全，還會(huì)消耗學(xué)校網(wǎng)絡(luò)資源，造成網(wǎng)絡(luò)擁塞，影響全校整體用戶。

（2）賬號(hào)和密碼被盜取。高校擁有各類應(yīng)用系統(tǒng)，如校園門戶平臺(tái)、郵件系統(tǒng)、OA系統(tǒng)、財(cái)務(wù)系統(tǒng)等，賬號(hào)和密碼是用戶在網(wǎng)絡(luò)中的鑰匙，也是不法分子主要瞄準(zhǔn)的盜取對(duì)象。許多用戶為了方便使用，設(shè)置的密碼過于簡單，如果賬戶被盜用，用戶一般無法快速知曉，不法分子就會(huì)繼續(xù)潛伏使用。由于現(xiàn)在很多高校普遍使用單點(diǎn)登陸技術(shù)，不法分子一旦成功盜取密碼，就可以訪問用戶的所有系統(tǒng)，從而會(huì)帶來極大的危害。

（3）個(gè)人信息泄露。用戶的個(gè)人信息一旦泄露，不法分子便可以精準(zhǔn)地開展具有很強(qiáng)目的性的犯罪行為，如網(wǎng)絡(luò)詐騙、篡改破壞數(shù)據(jù)，嚴(yán)重威脅個(gè)人信息安全。

2.2 從學(xué)校角度分析存在的問題

（1）不重視安全問題。網(wǎng)絡(luò)信息安全問題沒有引起校方重視，一方面，高校沒有認(rèn)識(shí)到安全問題的重要性，也沒有認(rèn)識(shí)到信息安全事故的危害性，缺少相應(yīng)的安全培訓(xùn)，認(rèn)為是否發(fā)生安全事故是一種“運(yùn)氣”。另一方面，部分師生認(rèn)為高校的信息安全是學(xué)校網(wǎng)絡(luò)部門的責(zé)任，與自己無關(guān)，在業(yè)務(wù)運(yùn)行方面則重服務(wù)輕安全，例如抱怨在校外通過VPN訪問校內(nèi)資源太麻煩。

（2）缺乏完善的安全制度。不少高校在信息化規(guī)劃、運(yùn)營服務(wù)等方面的制度存在較多空白，或是長期滯后，這樣不僅容易出現(xiàn)信息安全風(fēng)險(xiǎn)，而且無法將信息安全落到實(shí)處。高校各部門、院系在信息安全建設(shè)上各自為戰(zhàn)，缺少統(tǒng)一制度體系引領(lǐng)，各院系的不平衡發(fā)展將直接影響全校的信息化發(fā)展進(jìn)程，導(dǎo)致安全事件發(fā)生的頻率往往要高于那些不重視信息安全的部門院系。

（3）專業(yè)安全人員缺失。高校的崗位設(shè)置中會(huì)有網(wǎng)絡(luò)技術(shù)部門，但是普遍缺少專職的信息安全管理崗位。網(wǎng)絡(luò)技術(shù)部門內(nèi)部也分為多個(gè)職能崗位，每個(gè)崗位的技術(shù)人員會(huì)從自身業(yè)務(wù)的需求考慮信息安全問題，其本身已經(jīng)將體系化的安全建設(shè)工作進(jìn)行了分割，對(duì)于各院系而言，更談不上能基于學(xué)校總體層面的信息安全要求去開展建設(shè)工作。

（4）設(shè)施配備滯后。高校的各類軟硬件技術(shù)發(fā)展很快，但相關(guān)設(shè)備卻發(fā)展滯后。在保障基礎(chǔ)的信息安全前提下，高校并非要緊跟技術(shù)潮流，采購部署新設(shè)施，因?yàn)榘踩讲⒉皇莾H僅依賴設(shè)施的先進(jìn)程度和多寡來決定，但保障信息安全的設(shè)施是必須配備的，如防火墻、入侵防御設(shè)備、網(wǎng)絡(luò)病毒防御系統(tǒng)、各類審計(jì)設(shè)備和正版軟件等。

（5）缺少資金保障。中國高等教育學(xué)會(huì)教育信息化分會(huì)發(fā)布的《2015高校網(wǎng)絡(luò)信息安全調(diào)研報(bào)告》顯示，全國有47.76%的高校每年在網(wǎng)絡(luò)信息安全方面的總投入少于40萬，其中有13.43%的高校無資金投入。隨著校園業(yè)務(wù)應(yīng)用信息化的普及，校園數(shù)據(jù)信息資產(chǎn)不斷增長，但安全防護(hù)投入未見顯著增長。如果網(wǎng)絡(luò)安全防護(hù)未跟上信息化建設(shè)步伐，整體防護(hù)水平必然下降，這也將大大延緩高校整體信息化的速度。

3 加強(qiáng)高校信息安全管理的策略

《網(wǎng)絡(luò)安全法》是我國第一部針對(duì)網(wǎng)絡(luò)安全領(lǐng)域規(guī)范化管理的法律，將網(wǎng)絡(luò)信息安全規(guī)范提升到國家法律層面，就高校而言，讀透《網(wǎng)絡(luò)安全法》是十分必要的。本文將從高校管理工作角度出發(fā)，結(jié)合高校當(dāng)前工作狀況，探討加強(qiáng)高校信息安全管理的策略。

3.1 制度建設(shè)與落實(shí)并重

由于高校網(wǎng)絡(luò)具有系統(tǒng)龐大、邏輯關(guān)系復(fù)雜的特點(diǎn)，高校可從技術(shù)和管理兩方面著手建立制度體系，技術(shù)方面涉及物理、網(wǎng)絡(luò)、主機(jī)、應(yīng)用和數(shù)據(jù)安全，管理方面涉及安全、機(jī)構(gòu)、人員、系統(tǒng)建設(shè)和系統(tǒng)運(yùn)維，以制度形式確立，落實(shí)責(zé)任人、分管人，并簽訂安全責(zé)任書。同時(shí)，高校要積極引進(jìn)信息安全人員，加強(qiáng)內(nèi)部信息管理人員專業(yè)培訓(xùn)。《網(wǎng)絡(luò)安全法》做了明確要求：“網(wǎng)絡(luò)運(yùn)營者應(yīng)當(dāng)制訂網(wǎng)絡(luò)安全事件應(yīng)急預(yù)案，及時(shí)處置計(jì)算機(jī)病毒、網(wǎng)絡(luò)攻擊、網(wǎng)絡(luò)侵入等安全風(fēng)險(xiǎn)”。這些法律要求使高校必須重視網(wǎng)絡(luò)安全問題，除了加強(qiáng)制定符合高校特點(diǎn)的安全管理制度外，還必須加強(qiáng)落實(shí)，將行政規(guī)范落實(shí)到具體的工作中。

3.2 技術(shù)與管理并重

“互聯(lián)網(wǎng)+教育”已逐步在高校中普及，要保障這些應(yīng)用的正常運(yùn)行，需要配備相應(yīng)的安全政策和技術(shù)手段。《網(wǎng)絡(luò)安全法》中要求：“建設(shè)、運(yùn)營網(wǎng)絡(luò)或者通過網(wǎng)絡(luò)提供服務(wù)，應(yīng)當(dāng)依照法律、行政法規(guī)的規(guī)定和國家標(biāo)準(zhǔn)的強(qiáng)制性要求，采取技術(shù)措施和其他必要措施，保障網(wǎng)絡(luò)安全、穩(wěn)定運(yùn)行”。在此基礎(chǔ)上，高校需調(diào)研當(dāng)前的網(wǎng)絡(luò)安全水平，通過建立等級(jí)保護(hù)體系，系統(tǒng)進(jìn)行安全風(fēng)險(xiǎn)評(píng)估。在管理過程中，高校要建立網(wǎng)絡(luò)系統(tǒng)安全配置基線，規(guī)定操作系統(tǒng)、數(shù)據(jù)庫、中間件、Web應(yīng)用等系統(tǒng)的入網(wǎng)安全必須項(xiàng)。同時(shí)，高校要建立服務(wù)器準(zhǔn)入門檻，施行申請(qǐng)、審核、準(zhǔn)入管理流程；固定管理人員、加強(qiáng)安全檢測(cè)；校外開發(fā)人員由專人申請(qǐng)，通過校內(nèi)VPN訪問校內(nèi)資源。

3.3 運(yùn)行監(jiān)管與應(yīng)急并重

運(yùn)行在網(wǎng)絡(luò)空間內(nèi)的是信息數(shù)據(jù)，需重視數(shù)據(jù)的安全管理。因此高校應(yīng)對(duì)新建系統(tǒng)進(jìn)行合規(guī)性和安全檢測(cè)，對(duì)已有系統(tǒng)進(jìn)行安全漏洞掃描，與上級(jí)部門、高校安全工作組、公測(cè)平臺(tái)建立聯(lián)系，第一時(shí)間獲取學(xué)校信息系統(tǒng)的安全測(cè)評(píng)情況，完善風(fēng)險(xiǎn)評(píng)估和應(yīng)急工作機(jī)制，制訂安全事件應(yīng)急預(yù)案。《網(wǎng)絡(luò)安全法》指出：“網(wǎng)絡(luò)運(yùn)營者應(yīng)當(dāng)嚴(yán)格保密收集的用戶信息，并建立健全的用戶信息保護(hù)制度”。高校作為校園網(wǎng)的運(yùn)營者，需要嚴(yán)控審查校園數(shù)據(jù)流通，對(duì)數(shù)據(jù)進(jìn)行必要的脫敏處理，并對(duì)應(yīng)急預(yù)案進(jìn)行分級(jí)處理，將應(yīng)急措施明確到具體的責(zé)任部門及人員。此外，高校每年要進(jìn)行安全演練，并結(jié)合網(wǎng)絡(luò)安全狀況對(duì)網(wǎng)絡(luò)安全事件應(yīng)急預(yù)案進(jìn)行修訂。

4 結(jié) 語

高校網(wǎng)絡(luò)空間安全是一項(xiàng)長期且艱難的工作，涉及面越來越廣，眾多因素和變量導(dǎo)致其始終處于一種“不確定的狀態(tài)”，要在這種不確定下實(shí)現(xiàn)安全，只能維持一種動(dòng)態(tài)、可控、可接受的風(fēng)險(xiǎn)管理狀態(tài)。信息化是提升高校核心競爭力的必要途徑之一，而信息安全是信息化建設(shè)中的重要部分，因此需要高校常抓不懈，抓住《網(wǎng)絡(luò)安全法》的出臺(tái)契機(jī)，自查學(xué)校網(wǎng)絡(luò)空間安全現(xiàn)狀，通過策略、保護(hù)、檢測(cè)、響應(yīng)的安全模型，努力為師生提供一個(gè)安全、穩(wěn)定、可靠的網(wǎng)絡(luò)空間，為提升學(xué)校核心競爭力，創(chuàng)建一流高校提供強(qiáng)有力的保障。

主要參考文獻(xiàn)

[1]馬新科.大安全觀下高校網(wǎng)絡(luò)信息安全建設(shè)[J].中國科技信息，2016（12）.

[2]王江.淺談高校網(wǎng)絡(luò)信息安全問題與對(duì)策[J].中小企業(yè)管理與科技，2016（11）.

[3]胡修龍.校園網(wǎng)網(wǎng)絡(luò)信息安全防護(hù)體系的研究[J].科技與創(chuàng)新，2016（24）.

[4]吳世忠，李斌.信息安全保障導(dǎo)論[M].北京：機(jī)械工業(yè)出版社，2014.

[5]施駿棟.虛實(shí)之間：大學(xué)生在網(wǎng)絡(luò)空間中的自我呈現(xiàn)——以高校BBS論壇網(wǎng)絡(luò)互動(dòng)平臺(tái)為例[J].三峽大學(xué)學(xué)報(bào)：人文社會(huì)科學(xué)版，2017（1）.

[6]朱富麗.高校網(wǎng)絡(luò)學(xué)習(xí)空間的建設(shè)與推廣——以河南牧業(yè)經(jīng)濟(jì)學(xué)院為例[J].數(shù)字教育，2016（4）.

[7]張靜.打造高校圖書館的形象經(jīng)濟(jì)——論網(wǎng)絡(luò)時(shí)代高校圖書館的知識(shí)公共空間建設(shè)策略[J].科技情報(bào)開發(fā)與經(jīng)濟(jì)，2014（11）.