大數據時代高校信息安全策略的設計與實現

◆湯志軍

大數據時代高校信息安全策略的設計與實現

◆湯志軍

（南京審計大學 江蘇 211815）

應用大數據思維和技術，能夠推進高校信息安全策略的有效實施。本文首先進行了高校信息安全風險分析，其次提出大數據思維和技術下高校信息安全策略設計，從風險治理視角切入，對大數據時代的高校信息安全進行研究，最后闡述了“大數據”時代高校信息安全策略的實現，從而提高高校信息化管理服務的水平。

校園網；信息安全風險；安全策略

隨著移動互聯網、云計算、物聯網等新一代信息技術的創新和應用普及，全球正逐步進入數據社會階段。在這樣的背景之下，越來越多的高校進行了智慧校園的建設，將各種網絡教育資源切實有效地應用到教育教學中，為現代化教學提供新的理念和方式，提高了教學效率和教學效果，同時在管理方面增加了眾多業務應用軟件，推動了學校管理、教學和發展模式的改革，提高了日常工作效率，但也這對校園網的依賴越來越高，容易導致網絡黑客和計算機病毒通過校園網形成新型的攻擊手段。為了更好地對信息安全進行防范，信息安全技術也應當適應現行的發展形勢，轉變思維。針對上述問題，特別是信息安全風險的逐步深化，高校開始關注加強大數據信息安全系統設計，加強信息安全應對措施，增強對信息安全風險的抵御能力，保障高校校園網在管理、教學、科研及日常生活等各方面正常運行，這也是該課題研究意義所在。

1 大數據時代高校信息安全風險分析

1.1 管理安全風險

《教育部關于加強教育行業網絡與信息安全工作的指導意見》明確要求高校建立網絡與信息安全工作組織體系，建立健全信息安全管理制度，明確信息安全責任人，落實信息安全等級保護措施，防范、控制信息安全風險，增強信息安全應急處置和災難恢復能力，提高高校信息安全整體防護水平。目前大部分高校成立了網絡與信息安全領導小組等信息安全管理機構，也出臺了相應的信息安全管理辦法，但校園信息安全管理架構還不完善，信息安全組織機構僅體現在文件表面，沒有實質性地發揮作用，相關職責劃分還不明確，信息安全系統規劃仍顯不周，信息安全管理人員配備不足，缺乏校園信息安全突發事件的應急預案。

1.2 人員安全風險

校園網信息安全的人員安全風險分為兩類，一是校園網內部用戶，也即是使用校園網的師生，信息安全意識淡薄，可能導致眾多的風險：①統一身份認證的賬號和密碼保管不力，存在外泄的風險，在校園網各業務系統都接入門戶網站，采取統一身份認證的前提下，賬號和密碼一旦外泄，對校園網信息安全的影響是巨大的；②師生所用的臺式電腦、筆記本電腦、平板電腦或其他智能設備病毒防控不到位，容易感染病毒、木馬，在該設備接入校園網后給整體校園網帶來安全隱患；二是校園網外部人員，分為專業黑客和一般人員，專業黑客通過網絡掃描、網絡破解程序侵入校園網，非法獲取或更改數據；一般人員大多則是通過校內用戶外泄的賬號和密碼侵入校園網，出于好奇或某種目的獲取或更改數據。

1.3 數據安全風險

大數據時代高校信息化涉及的業務應用不斷增多，涵蓋了教務管理、學生管理、科研管理、財務管理資產管理、教室管理、公寓管理、維修管理、醫療管理、物業管理、車輛管理、一卡通管理、門禁管理等十幾種應用，應用中的各類業務流程數據、用戶信息數據也在不斷擴大，數據流繁多、產生了海量的業務數據。這些個人隱私數據和校內業務部門的一些機密信息、重要數據等，在校園網中傳輸、分析、處理與儲存時存在被“偵聽”、“截取”、“更改”的風險。

1.4 計算機基礎設施風險

隨著高校智慧校園建設和應用的加快，從數據中心的高性能服務器、小型機、大容量存儲設備、精密空調、核心交換機到各樓宇的匯聚交換機、安防監控設備、智慧后勤、智慧教室、智慧實驗室設備等各類智能化的設備相互連接，構成了龐大的智慧校園系統，實現了大數據的聯通與共享，提升了教學、科研、管理與服務的智能化水平。但是越是高度集成、高度自動化、師生依賴度越高的系統，一旦出現問題，導致的結果也是可怕的。計算機基礎設施風險包括設備的可用性、可靠性、可維護性及穩定性風險。

2 高校信息安全策略設計

大數據時代高校信息安全是以安全策略為核心，安全設施為支撐，安全技術為手段，管理和服務為保障來構建校園信息安全風險防范體系。基于這樣的考慮，大數據時代高校信息安全策略設計可從風險治理視角切入，通過識別校園信息安全漏洞及安全風險，評估和防范潛在信息安全風險來實現校園信息安全風險的治理。所以校園信息安全策略設計從兩方面考慮：管理和技術。管理方面包含：組織機構、管理制度、政策法規、標準規范、人員配備和應急處置機制。技術方面要考慮系統安全、信息安全、網絡安全、應用安全，將校園信息系統的技術層級分為基礎層、數據層、應用層和服務層，每個層級根據不同的安全風險采取相應的安全技術。

3 高校信息安全策略實現

3.1 完善高校信息安全管理體系

大數據時代高校信息安全策略的實現從管理和技術兩個方面進行，全面考慮校園信息安全面臨的各種風險，對于形成完整的信息安全管理體系將有所幫助。根據高校信息安全布局，大數據時代高校信息安全體系框架如圖１所示。

圖1 大數據時代高校信息安全體系框架

3.1.1安全管理體系

安全管理體系保障了整個信息安全管理體系的高效運作和持續改進。具體實施包括建立健全信息安全組織機構，完善信息安全相關制度，熟悉信息安全政策法規，遵守信息安全標準規范，實現信息安全工作的規范化和程序化。

3.1.2安全技術體系

安全技術體系保障了系統安全和數據安全。分為基礎層、數據層、應用層和服務層共四個層級。

（1）基礎層。基礎層是高校信息安全基礎支撐平臺，依托高校校園網絡，由網絡基礎、硬件設備、系統軟件等構成實現高校校園信息安全基礎設施平臺。

（2）數據層。主要包括資源庫和共享數據庫等。該層為高校信息安全的基礎數據來源，包含標準規范數據、業務數據、人員信息數據等。該層包含數據抽取、數據轉換、數據清洗、數據加載，通過數據挖掘技術對高校信息安全進行風險評估，深入分析高校信息安全。

（3）應用層。整合高校各業務系統，如資產、財務、招生、科研、學工、教務、后勤等系統，數據標準規范統一，是校方使用大數據共享資源體系的界面。

（4）服務層。主要是在高校信息安全的前提下服務于師生的應用平臺界面，包括校園門戶、校園一卡通等。

信息安全技術保障具體實施則是綜合利用各種安全技術，如統一身份認證、入侵檢測、漏洞掃描、防火墻、VPN等手段對校園網進行保護，實時監視和評估系統的安全狀態，強化訪問控制、權限控制、端口控制、安全控制等網絡安全措施，并通過相應的響應機制和預警機制將校園網安全調整到“風險最低”狀態。

3.2 建立高校信息安全風險評估機制

根據高校信息化建設與運維中的實際情況，結合ISO27001信息安全管理體系標準和信息安全等級保護的具體要求，構建高校信息安全風險評估的指標體系，全面評估高校信息安全風險，再通過大數據技術評估信息安全的等級，在風險評估的過程中根據不同的環境和需求，制定出不同的科學合理的評估整改措施，來強化校園信息安全風險評估機制。

3.3 加強高校信息安全管理人員的配備和管理

高校信息安全風險評估和防范，信息安全管理人員的因素不可忽視，建立三個層次的信息安全管理隊伍，一是信息化領導小組，包括相關部門的領導；二是信息安全管理部門的專業技術人員，一般是各高校的信息辦或信息中心的專業人員；三是各部門的信息安全員，還有部分學生信息安全員。對這三個層次的信息安全管理人員，一方面要加強培訓，包括信息安全意識培養，信息安全專業知識傳授，以增強管理人員的安全意識和管理水平；另一方面，要從政策、待遇上給予激勵，調動管理人員的積極性和主動性，才能使他們更好地投身于校園信息安全工作中。

3.4 優化高校信息安全管理應急處置機制

高校信息安全事件頻發，主要涉及黑客攻擊、數據篡改、設備故障、網絡輿情、病毒侵犯等，這些信息安全事件具有隱蔽性、破壞性、傳播性、突發性等特征，所以優化現有的高校信息安全應急處理機制，成立信息安全應急管理機構，制定相應應急預案，明確應急處置流程，落實相關處置人員，快速科學地處理信息安全突發事件則尤為重要。

4 結論

高校信息安全管理是一個系統工程，是一把手工程，涉及面較廣，需要全員重視，同時信息安全也是一個動態發展的過程，隨著互聯網經濟環境的發展，須不斷適應和完善。其信息安全策略的規劃，設計和實施過程應根據高校具體實際情況進行不斷調整、改進、優化，只有加強對信息安全管理工作上存在的安全風險問題的持續改進，不斷優化，才能進一步完善高校信息安全管理體系，改善高校信息安全狀況，提升高校信息安全管理水平。

[1]張明震.上海S高校信息安全管理問題研究[D].上海：上海師范大學論文，2013.

[2]李玉青.校園信息安全及組網策略研究[D].石家莊：河北師范大學論文，2012.

[3]邢凱.網絡信息安全技術管理與計算機應用的相關研究[J].信息記錄材料，2020（2）：217-218.

[4]龍震岳，魏理豪,等.計算機網絡信息安全防護策略及評估算法探究[J].現代電子技術，2015（23）：89-93.

南京審計大學高教研究課題（2020JG015）