突發公共事件視域下高校網絡信息安全管理研究

楊麗 朱猛男 張耀軍

摘 要：自新冠肺炎疫情爆發以來，高校網絡信息安全在突發公共事件視域下獲得極大關注。保障系統運行安全、數據安全、網絡信息傳播安全等成為高校網絡信息安全管理的重中之重。從突發公共事件視角分析疫情期間高校線上教學、遠程辦公、圖書館和教學資源對外開放以及信息報送等信息化行為產生的安全風險，同時分析了電腦版“新冠病毒”帶來的安全威脅;針對疫情期間的信息化安全風險，提出采用PDCA循環管理模式、統一身份認證、定期進行網絡安全入侵檢測、數據加密、增強學生網絡信息安全意識等管理方案。

關鍵詞：突發公共事件;高校信息化;網絡信息安全;新冠肺炎疫情

DOI：10. 11907/rjdk. 201767????????????????????????????????????????????????????????????????? 開放科學（資源服務）標識碼（OSID）：

中圖分類號：TP309 ? 文獻標識碼：A ??????????????? 文章編號：1672-7800（2020）011-0197-05

Analysis of Network Information Security Management in Colleges and Universities from the Perspective of Public Emergencies

YANG Li， ZHU Meng-nan， ZHANG Yao-jun

（Shanghai Publishing and Printing College，Shanghai 200093，China）

Abstract： Since the outbreak of COVID-19， the network information security of universities has received great attention in the field of public emergencies. To ensure the security of system operation， data security and network information dissemination has become the top priority of network information security management in colleges and universities. From the perspective of public emergencies， this paper analyzes the security risks of online teaching， remote office， opening up of library and teaching resources and information submission during the epidemic period， and analyzes the security threats brought by viruses with false names of new coronavirus; then， according to the information security risks during the epidemic period， the paper proposes to adopt PDCA cycle management mode and other management strategies including identity authentication， regular network security intrusion detection， data encryption， enhance students' network information security awareness.

Key Words：public emergencies; university informatization; network information security; COVID-19

0 引言

新冠肺炎疫情防控期間，各大高校為做好疫情防控工作均選擇延期開學。高校積極響應教育部“停課不停教、停課不停學”要求，借助網絡和信息化技術手段開展教學及管理工作。為保障師生能夠獲得圖書館數據庫等學習資源，高校開放圖書館線上資源，開通CARSI校外訪問數據庫服務。同時，為切實保障師生健康，學校通過移動端或電腦端平臺每日線上報送個人基本健康信息。由于線上教學平臺、教務教學軟件、各應用系統、遠程辦公信息化、開放圖書館資源以及個人信息報送等都在網絡環境下運行，因此在提供類似服務時也面臨各種信息安全問題，比如網絡攻擊、系統漏洞、數據丟失及損壞等安全隱患，尤其是電腦版“新冠肺炎病毒”惡意程序在網絡上肆意妄為，給學校的網絡信息安全帶來嚴重威脅。在此背景下，高校要分析存在的安全風險，重視網絡信息安全，采取相應防范措施，做好突發公共事件期間校園網絡信息安全管理工作，為保障疫情期間校園乃至社會穩定做出貢獻。

1 高校網絡信息安全研究現狀

隨著教育信息化2.0時代的到來，高校信息化快速發展，網絡信息安全也面臨嚴重威脅，我國高校信息安全主要存在信息安全意識薄弱[1]、信息安全防控技術落后[2]、安全治理機制不健全[3]等主要問題。高校校園網絡安全隱患包括網絡自身安全漏洞、軟硬件系統漏洞、外來系統入侵和內部攻擊、網絡安全管理缺陷等問題[4-5]。校園網業務系統面臨嚴重的安全威脅，如入侵防護手段不健全、應用系統維護不到位、賬號權限控制不合理[6]、網站運維缺乏持續性和安全保障[7]等。此外，高校圖書館數字資源泄露[8]、師生檔案信息泄密[9]、高校信息公開遭到威脅攻擊[10]以及高校網絡輿情危機[11]等安全問題。針對高校存在的網絡信息安全問題，學者提出有針對性的網絡安全管理建議：何濟玲等[12]認為高校信息安全治理不僅是技術問題，也是管理問題，構建基于ISO/IEC27001標準的高校信息安全治理體系，覆蓋組織體系、管控體系、技術體系和政策體系4個方面;王聰等[13]基于“線性規劃”治理途徑，建議高校做好“監控—識別—防護—預警—響應—處置”各環節的安全對抗，構建CIA線性規劃式信息安全治理模型;黃志宏等[14]將P2DR模型實踐應用到高校信息資產系統中，實現閉環可控的動態資產稽核，針對安全漏洞和風險威脅提出高校信息系統生命周期安全管理方式。還有一些學者提出要加強大學生網絡安全教育，提高網絡信息安全意識[15]，重視大學生信息倫理道德培養[16]，提升當代大學生信息素養[17-19]等。

2 高校網絡信息安全內容

網絡信息安全指利用網絡控制管理和信息化技術，確保在網絡上傳輸信息的安全，包括網絡系統硬件、軟件及系統中數據的安全和網絡信息傳播安全，保證信息的安全性、保密性、完整性[20]。新冠肺炎疫情時期，高校網絡信息安全內容主要包括以下4個方面：

（1）網絡基礎設施安全。要保證學校機房、網絡硬件等基礎設施的物理安全;保證網絡運行環境能滿足機房防火、供配電、防盜竊和防破壞要求，對通信線路進行安全防護。

（2）系統運行安全。支持學校各應用系統穩定運行，確保線上授課平臺視頻語音流暢，服務器穩定，保證網速和流量，能支持上萬用戶同時在線。防止因為系統崩潰出現運行故障導致系統數據丟失、損壞，保護網絡系統不被病毒攻擊。

（3）信息內容和數據安全。保證學校教學資源、圖書館數字化資源不被盜用、更改、刪除、復制，防止未經授權訪問教務教學等應用系統，防止師生個人信息被故意或偶然的非授權泄露、盜取，保證每日信息報送數據的完整性和一致性。

（4）網絡信息傳播安全。保證校園論壇、班群等社交平臺傳播內容安全，防止和控制轉發傳播不科學的虛假虛報疫情信息，警惕帶有“冠狀病毒”、“疫情”等字樣的可執行文件、郵件和壓縮包等。

3 高校網絡信息安全風險

本文結合疫情防控期間高校信息安全管理工作實際情況，分析線上教學、遠程辦公、信息報送、圖書館數據庫資源開放以及疫情報道謠言傳播和電腦版“新冠肺炎病毒”攻擊存在的風險，為制定網絡信息安全管理策略提供參考。

3.1 線上教學及遠程辦公風險

高校開展線上教學方式有多種：由學校自主開發的線上教學平臺，功能包括網上直播、智慧教室、學習空間等，以及開設具有專業特色的教學資源庫;此外還可借助互聯網平臺全面開展線上教學，如中國大學慕課（MOOC）、學習通、企業微信、騰訊會議、騰訊課堂、釘釘等平臺。師生遠程協作辦公通常選擇使用TeamViewer、Zoom、飛書、石墨文檔、騰訊“云會議”、華為WeLink等遠程協作辦公軟件，這些系統軟件本身就存在安全風險，會受到非法入侵、木馬、病毒、惡意代碼等網絡攻擊。學校重要的學術資源、研究成果在沒有充分安全防范措施情況下與互聯網開放網絡連接，易使不法分子竊取與監聽校內信息，造成信息泄露。因疫情防護需求，高校師生長時間在家駐留，使用手機或電腦瀏覽網頁、接收發送郵件、訪問社交媒體平臺等，由于電腦和手機缺乏專業的安全防護技術，有些甚至沒有安裝病毒查殺軟件，在移動互聯網或WiFi網絡環境下如果沒有設置防火墻，容易引發網絡攻擊。互聯網在線教學軟件歸屬第三方軟件服務商，高校往往缺乏與第三方服務商的技術合作，安全技術應用能力受限，軟件的應用程序、數據庫服務資源不可控，如果第三方服務器因用戶并發數量超載導致崩潰，會造成重大損失。師生遠程協作辦公的視頻會議系統等關鍵應用容易受其它網絡應用（P2P等）沖擊，出現卡頓、網速跟不上、流量受限等現象，導致關鍵業務應用得不到保障。

3.2 圖書館資源開放信息安全隱患

為保證學校圖書館海量資源訪問不受限，高校圖書館免費開放數字資源，一些教學資源數據庫通過VPN即可訪問。為進一步提升資源服務能力，高校還開通CARSI服務，學校師生可在校外直接訪問萬方數據、中國知網（CNKI）、WOS、EI和SD等數據庫，這些舉措在為師生帶來便利獲取學術資源的同時，也帶來網絡安全風險。允許通過外網訪問圖書館資源，在某種程度上降低了授權要求，但可能對網絡安全造成影響，一旦被網絡病毒攻擊會影響圖書館系統正常運行。而且通過VPN或者互聯網訪問學術資源數據庫，存儲、傳輸與下載圖書館電子資源過程中容易造成信息丟失。另外學生網絡安全意識薄弱，在接入圖書館網絡資源的同時，為方便操作會運行一些共享軟件和通信工具，造成黑客攻擊機會。

3.3 信息報送過程中數據傳輸缺失風險

疫情形勢嚴峻，根據學校疫情防控工作需要，一些高校要求全體師生員工每日線上報送個人基本健康狀況等信息。借助手機移動端APP、微信小程序以及電腦端網頁版完成線上數據報送，能夠精準快速統計個人基本健康狀況。在信息報送過程中會存在數據傳輸缺失風險，如果受到數據驅動攻擊，會導致計算機硬盤、存儲文件被破壞。如果在云服務器、各類網盤、電子郵箱中存儲信息報送數據庫，會存在數據庫丟失或泄露風險;在即時聊天工具（如微信、QQ）中傳輸教職工和學生個人敏感信息，存在數據信息泄露、個人隱私泄露等風險;如果小程序、APP架構有漏洞，則會導致小程序遭到攻擊，甚至改動數據權限，造成極大損失。

3.4 疫情相關謠言傳播與病毒攻擊威脅

疫情期間每天各種信息鋪天蓋地，學生信息辨別能力不強，存在轉發傳播不科學的虛假虛報信息現象。這一時期，中央網信辦監測發現一些黑客正在制造并大肆傳播帶有“冠狀病毒”、“逃離武漢”、“新型冠狀病毒預防通知”等熱門字樣的電腦版病毒。很多學生網絡安全意識薄弱，一旦通過班級群、校園論壇或郵件傳播擴散帶有“冠狀病毒”等詞匯的可執行文件（exe、com、scr等）或壓縮包（zip），下載并打開后就可能使校園網受到攻擊，造成系統盤、注冊表刪除，主機被遠程控制，信息被竊取等[21]。

4 高校網絡信息安全管理策略

4.1 落實多重安全管理措施

網絡信息安全管理三分靠技術，七分靠管理。首先，高校應成立網絡安全和信息化領導機構，形成高層主管統領、信息化辦公室主負責、各院系網絡安全小組分級管理的組織機構;其次，建立完善各項網絡信息安全管理制度和措施。制定學校信息網絡安全責任書，明確各部門、領導、人員的信息安全責任;制定學校VPN賬號管理規定，落實用戶實名制;建立網絡系統管理制度，嚴格防范病毒攻擊;明確基礎設備環境安全、校園網絡安全、應用系統穩定運行、軟件系統數據庫存儲和安全應急預案管理等各項信息安全管理內容;最后，建議采用PDCA工作模式。P（Plan）指計劃調研，要事先識別出新冠肺炎疫情防控期間潛在風險，明確網絡信息安全主要內容，充分調研線上教學、圖書館資源開放等信息化行為安全可行性，以及對即將上線的應用系統和軟件進行安全性測試;D（Do）指執行實施，嚴格貫徹執行各項信息安全管理制度，落實信息安全管理工作計劃;C（Check）指監督檢查，安排信息安全專業技術人員監測網絡安全，檢測網絡是否存在安全漏洞，及時發現可能的非法訪問，定期對線上教學等信息化行為進行監督檢查，避免人為誤操作帶來的安全隱患;A（Adjust）指調整，網絡信息安全管理是一個動態的可持續管理活動，在疫情期間有很多變化因素，高校應根據安全管理工作實際情況，不斷調整相關管理制度和措施，建立動態的安全管理體系。

4.2 執行網絡安全技術防范措施

4.2.1 啟用超文本傳輸安全協議（HTTPS）

高校的諸多網站疫情期間也對外開放，如果繼續使用HTTP協議傳輸信息，信息被泄露的風險相對較高。因此，高校要重點抓好學校的網絡信息安全體系建設，加強學校網絡安全等級保護，建立網站群管理平臺，實行全校二級網站集中管理[22]。例如高校可在疫情期間將所有已納入學校網站群管理的網站統一啟用HTTPS協議。HTTPS（Hyper Text Transfer Protocolover Secure Socket Layer）是以安全為目標的HTTP通道，是由“HTTP+SSL”協議構建的可進行加密傳輸、身份認證的網絡協議，為瀏覽器和服務器之間的通訊進行加密并驗證服務器身份[23]。HTTPS協議比HTTP協議安全，提高了網站可信度，可以防流量劫持、防數據篡改、防網絡監聽、防隱私竊取、防漏洞入侵、防黑客攻擊等[24]，能夠保證學校信息報送平臺、教學資源庫等網站的信息安全，進一步提升高校信息安全服務能力。

4.2.2 統一身份認證

學校線上教學平臺、圖書館系統、學術資源數據庫、專業特色教學資源庫、遠程辦公OA系統等信息系統在疫情期間通過互聯網或VPN對在校學生和教職工開放，使用統一身份認證系統可有效避免外部人員非法接入校園網絡，防止不法分子竊取、刪除或更改學校教學資源和圖書館數字化資源。統一身份認證系統對校園網絡內的異構分散的各種應用和服務系統進行整合[25]，統一身份信息認證，落實VPN賬號實名制，為校園網絡提供安全認證機制。統一身份認證系統中LDAP（Lightweight Directory Access Protocol）—輕量目錄訪問協議用來存儲和管理用戶身份和訪問控制權限[26]，采用數字證書作為在校師生的身份證明憑證，并且基于CAS（Central Authentication Service）—中央認證服務的單點登錄（SSO）關鍵技術實現用戶的認證控制。為提升統一身份認證的安全系數，高校應安排網絡管理員負責校內用戶的注冊申請、權限管理、安全審核以及分配IP專線地址、管理專線接入用戶等各項工作。另外，圖書館也要設置權限制度，利用VPN與IP技術使在線師生可以無阻礙地進入數字圖書館瀏覽學習，而不在IP范圍內或未得到VPN授權的用戶則會受到限制。

4.2.3 牢固數據加密技術

數據加密技術能保證數據在傳輸、使用和轉換時不被第三方獲取，提高疫情期間通過網絡報送每日信息的安全性，是保障校園網絡信息安全的關鍵性技術。學生每日填報的健康數據主要通過移動端傳輸數據，建議數據傳輸模式啟用SSL安全套接層協議，在專用終端和客戶端間采用端到端加密方式，基于一種或多種加密算法（如AES算法、DES與RSA算法等）實現邊界與移動終端之間的雙向認證，保證傳輸信息的機密性和完整性。疫情期間學校圖書館文獻服務系統、論文提交系統、學生事務辦公系統、選課系統、財務報銷系統、人事行政辦公、教學管理等關鍵應用系統要運用密鑰密碼技術對系統登錄認證、辦事流程、數據提交等操作進行加密，將要傳輸的數據轉變為密文，然后通過密鑰將密文轉為明文，保證數據安全。

4.2.4 建立網絡病毒防御體系

開放的網絡環境容易受到病毒攻擊，因此高校要建立網絡病毒防御體系。要在防火墻、殺毒軟件、網絡安全漏洞掃描和入侵檢測4個方面采取技術防范措施，具體如下：

（1）設置防火墻。在校園內網與因特網之間設置防火墻，對流經的網絡通信進行掃描，過濾掉不安全的網絡服務;在學校內網的中心機房服務器和校內普通用戶之間設立虛擬防火墻，以防范來自內網的攻擊;開啟服務器系統自帶的防火墻，以防范同VLAN服務器間的攻擊;運用VLAN、專網等技術對重要信息系統進行網絡隔離，盡量關閉不使用的網絡端口，以確保重要信息安全。防火墻技術主要有數據隔離、屏蔽路由、應用網關和代理服務等，應用防火墻技術對校園信息系統的訪問行為和數據訪問行為進行監控，有效保護校園內部網絡，規避各種網絡安全風險。

[11] 程桂龍. 非傳統安全視閾下高校學生網絡輿情管控機制研究[J]. 重慶郵電大學學報（社會科學版），2016，28（2）：70-74，142.

[12] 何濟玲，陳仕品，程吉麟，等. 基于ISO/IEC27001標準的高校信息安全治理[J]. 現代教育技術，2016，26（9）：60-65.

[13] 王聰，薛靜，王革明. 智慧治理高校信息安全的多重線性規劃策略[J]. 現代教育技術，2019，29（6）：19-25.

[14] 黃志宏，梁卓明. 高校信息安全漏洞和威脅管理的研究與實踐[J]. 重慶理工大學學報（自然科學版），2019，33（2）：117-124.

[15] 劉慶慶，何燕君，楊守鴻. 移動互聯網新時代高校網絡安全教育的困境與策略[J]. 重慶大學學報（社會科學版），2018，24（5）：218-226.

[16] 李景春，余仰濤. 大學生信息倫理道德培養路徑探析[J]. 理論月刊，2018，17（3）：183-188.

[17] 李儀，秦祖偉，祝順欣. 云計算下大學生個人檔案信息安全的維護探徑——主要以高校信息素養教育的開展為視角[J]. 山西檔案，2016，15（4）：75-77.

[18] 龔成，李成剛. 淺析大學生的網絡信息安全素養——從面向客體、構成要素和主體責任的角度[J]. 教育探索，2013，12（6）：134-135.

[19] 孫留濤. 校園網絡文化視域下大學生網絡信息安全素養的三維培養路徑[J]. 中國成人教育，2015，14（1）：51-53.

[20] 牛少彰，崔寶江，李劍. 信息安全概率[M]. 北京：北京郵電大學出版社，2004.

[21] 教育網. 關于電腦版“新型冠狀病毒”悄然蔓延的安全預警[EB/OL]. https：//www.sppc.edu.cn/xxb/2020/0204/c558a28803/page.htm.

[22] 劉明月. 新形勢下高校信息安全的管理策略研究[J]. 山東工業技術，2018，17（5）：224-225.

[23] 互動百科. Https[EB/OL]. http：//www.baike.com/wiki/https.

[24] 張靜鵬，周秀霞，楊雨師. 淺析HTTPS對高校圖書館安全能力的提升[J]. 農業圖書情報，2019，31（2）：62-67.

[25] 殷娜. 數字化校園統一身份認證平臺的構建[J]. 計算機技術與發展，2014，24（8）：139-142.

[26] 楊哂哂，宋曉光. 高校統一身份認證的探討與研究[J]. 信息安全，2010， 45（9）：104-106，111.

[27] 王延明，許寧. 高校信息安全風險分析與保障策略研究[J]. 情報科學，2014，59（10）：134-138.

（責任編輯：杜能鋼）