等保2.0下的高校網(wǎng)絡(luò)安全治理探索

◆史蕊

等保2.0下的高校網(wǎng)絡(luò)安全治理探索

◆史蕊

（北京第二外國語學(xué)院 網(wǎng)絡(luò)與信息中心（圖書館） 北京 100024）

國家網(wǎng)絡(luò)安全法的頒布實(shí)施，為網(wǎng)絡(luò)安全治理提供了法律依據(jù)，等保2.0是高校網(wǎng)絡(luò)安全實(shí)踐的具體指導(dǎo)。依據(jù)等保2.0，對(duì)高校網(wǎng)絡(luò)和信息系統(tǒng)實(shí)施整體防護(hù)和管理，同時(shí)加強(qiáng)主動(dòng)防御機(jī)制和能力建設(shè)，保障網(wǎng)絡(luò)安全法有效落地實(shí)施，應(yīng)對(duì)各種網(wǎng)絡(luò)安全風(fēng)險(xiǎn)。

網(wǎng)絡(luò)安全法；等保2.0；安全治理

近年來，在新技術(shù)催化下，我國面臨的網(wǎng)絡(luò)安全態(tài)勢(shì)威脅發(fā)生了明顯變化，網(wǎng)絡(luò)攻擊手段和方式更隱蔽、復(fù)雜，各種攻擊、篡改、數(shù)據(jù)竊取、后門、網(wǎng)絡(luò)詐騙等快速增長，網(wǎng)絡(luò)安全事件呈現(xiàn)波及范圍廣、破壞力強(qiáng)、影響惡劣的特征。高校業(yè)務(wù)部門網(wǎng)站和信息系統(tǒng)建設(shè)中安全意識(shí)不強(qiáng)，防護(hù)措施不到位，缺乏日常管理，服務(wù)器漏洞普遍，維護(hù)團(tuán)隊(duì)技術(shù)有限等，是網(wǎng)絡(luò)安全中存在的問題。

2017年6月1日起，大數(shù)據(jù)時(shí)代的個(gè)人信息安全挑戰(zhàn)與機(jī)遇，維護(hù)網(wǎng)絡(luò)空間主權(quán)、安全和發(fā)展利益的法治保障——《中華人民共和國網(wǎng)絡(luò)安全法》正式施行。新冠疫情下，全球經(jīng)濟(jì)惡化，社會(huì)環(huán)境不確定性加劇，網(wǎng)絡(luò)安全形勢(shì)更加嚴(yán)峻。如何有效保障網(wǎng)絡(luò)安全法在高校落地實(shí)施，加強(qiáng)信息網(wǎng)絡(luò)法治建設(shè)，加強(qiáng)總體國家安全觀下的網(wǎng)絡(luò)安全，塑造以科學(xué)的網(wǎng)絡(luò)安全觀營造清朗的校園網(wǎng)絡(luò)空間，維護(hù)校園網(wǎng)絡(luò)安全秩序至為重要。

1 國家網(wǎng)絡(luò)安全法與等級(jí)保護(hù)制度

1.1 國家網(wǎng)絡(luò)安全法

《中華人民共和國網(wǎng)絡(luò)安全法》是我國第一部保障網(wǎng)絡(luò)空間安全和安全管理的基礎(chǔ)性法律，它包括《網(wǎng)絡(luò)安全法》基本原則，明確了網(wǎng)絡(luò)空間的治理目標(biāo)及法制中的權(quán)責(zé)和監(jiān)管。在網(wǎng)安法中強(qiáng)化了網(wǎng)絡(luò)運(yùn)行安全及關(guān)鍵信息基礎(chǔ)設(shè)施的重點(diǎn)保護(hù)，在保護(hù)網(wǎng)絡(luò)信息安全的同時(shí)，也將監(jiān)測(cè)預(yù)警與應(yīng)急處置法制化。有了相關(guān)配套法律的支撐，重大事件網(wǎng)上輿論引導(dǎo)、網(wǎng)絡(luò)安全專業(yè)建設(shè)與人才培養(yǎng)，教育網(wǎng)絡(luò)安全建設(shè)和管理，在實(shí)際應(yīng)用中就有法可依，有據(jù)可依。網(wǎng)絡(luò)安全工作就更易實(shí)施，威脅網(wǎng)絡(luò)安全的事件處理也更加科學(xué)、高效。

1.2 等保制度與校園網(wǎng)安全

根據(jù)網(wǎng)絡(luò)安全法規(guī)定，國家實(shí)行網(wǎng)絡(luò)安全等級(jí)保護(hù)制度。為適應(yīng)現(xiàn)階段網(wǎng)絡(luò)安全的新形勢(shì)、新變化以及新技術(shù)、新應(yīng)用發(fā)展的要求，國家已將物聯(lián)網(wǎng)、云計(jì)算、大數(shù)據(jù)、移動(dòng)互聯(lián)網(wǎng)等新興系統(tǒng)和應(yīng)用納入了等級(jí)保護(hù)范疇，對(duì)原有等保制度修改和完善，增加漏洞和風(fēng)險(xiǎn)管理，提出等保2.0。高校網(wǎng)絡(luò)安全以等保2.0為主要依據(jù)，通過對(duì)校園網(wǎng)信息系統(tǒng)實(shí)行分等級(jí)安全保護(hù)、對(duì)校園網(wǎng)信息安全產(chǎn)品實(shí)行按等級(jí)管理、對(duì)校園網(wǎng)安全事件實(shí)行分等級(jí)響應(yīng)和處置，有效提升高校信息系統(tǒng)的安全水平[1]。

2 以等保2.0為依據(jù)的網(wǎng)絡(luò)安全技術(shù)防護(hù)和管理措施

高校網(wǎng)絡(luò)安全建設(shè)管理中，落實(shí)網(wǎng)絡(luò)安全法，以等保2.0為依據(jù)，需要從整體上構(gòu)筑動(dòng)態(tài)、有彈性的立體防護(hù)網(wǎng)，科學(xué)地構(gòu)建高校立體網(wǎng)絡(luò)安全防護(hù)體系。

2.1 以等保2.0為基礎(chǔ)構(gòu)建校園整體技術(shù)防護(hù)

（1）按照等保2.0要求實(shí)施技術(shù)防護(hù)。以智慧校園平臺(tái)（含app）和門戶網(wǎng)站作為評(píng)測(cè)對(duì)象，落實(shí)等保2.0。涵蓋機(jī)房及基礎(chǔ)設(shè)施安全的物理環(huán)境，保障校園有線、無線網(wǎng)絡(luò)具備安全的通信網(wǎng)絡(luò)；邊界區(qū)域使用防火墻、劃分不同用途的VLan隔離網(wǎng)段，對(duì)互聯(lián)網(wǎng)區(qū)、內(nèi)網(wǎng)區(qū)、DMZ區(qū)等實(shí)現(xiàn)分區(qū)隔離管理。加強(qiáng)網(wǎng)絡(luò)設(shè)備、認(rèn)證網(wǎng)關(guān)、專業(yè)安全設(shè)備的管理；對(duì)智慧校園平臺(tái)、Web、應(yīng)用系統(tǒng)、數(shù)據(jù)庫，中間件、移動(dòng)APP應(yīng)用等構(gòu)筑安全的計(jì)算環(huán)境；加強(qiáng)集中管控平臺(tái)、網(wǎng)管監(jiān)控平臺(tái)等的管理。

（2）重點(diǎn)保障關(guān)鍵基礎(chǔ)信息設(shè)施、關(guān)鍵設(shè)備安全。保障路由器、交換機(jī)的通信安全，服務(wù)器、數(shù)據(jù)存儲(chǔ)等設(shè)備安全，保障防火墻、WAF、IDS、IPS、網(wǎng)閘，反垃圾郵件產(chǎn)品、日志系統(tǒng)等專用安全設(shè)備運(yùn)行安全。實(shí)行網(wǎng)絡(luò)身份鑒定，加強(qiáng)用戶訪問控制和行為審計(jì)。對(duì)包含操作系統(tǒng)、數(shù)據(jù)庫的信息系統(tǒng)進(jìn)行病毒防御和入侵檢測(cè)；對(duì)系統(tǒng)上線前、上線后定期開展系統(tǒng)漏洞掃描、滲透掃描，健全系統(tǒng)生命周期安全管理；做好數(shù)據(jù)容災(zāi)備份和恢復(fù)，保障數(shù)據(jù)安全；維護(hù)系統(tǒng)內(nèi)容安全。建設(shè)安全的管理區(qū)，應(yīng)用堡壘機(jī)、VPN網(wǎng)關(guān)、WAF保護(hù)服務(wù)器、PC安全，實(shí)時(shí)監(jiān)測(cè)預(yù)警和應(yīng)急響應(yīng)。

（3）構(gòu)建主動(dòng)防御機(jī)制，增強(qiáng)主動(dòng)防御能力。通過網(wǎng)絡(luò)安全態(tài)勢(shì)感知，構(gòu)建實(shí)時(shí)彈性防御體系，避免、轉(zhuǎn)移、降低信息系統(tǒng)面臨的風(fēng)險(xiǎn)。根據(jù)IP、端口、網(wǎng)絡(luò)協(xié)議等進(jìn)行主動(dòng)防御，通過網(wǎng)絡(luò)協(xié)議、軟件、接口等形成動(dòng)態(tài)防護(hù)；通過網(wǎng)管系統(tǒng)、主機(jī)監(jiān)控、網(wǎng)安監(jiān)控等數(shù)據(jù)采集，通過流量、日志、漏掃等識(shí)別惡意代碼和IP、事件分析處理，自動(dòng)阻斷。外部聯(lián)合WAF、態(tài)勢(shì)感知及其他網(wǎng)絡(luò)監(jiān)控多級(jí)設(shè)備聯(lián)動(dòng)，而內(nèi)網(wǎng)系統(tǒng)通過堡壘機(jī)，對(duì)異常自動(dòng)進(jìn)行切斷[2]。基于Web監(jiān)測(cè)、流量監(jiān)測(cè)、安全漏洞、入侵事件、設(shè)施故障等單點(diǎn)威脅信息動(dòng)態(tài)調(diào)整監(jiān)測(cè)、防御策略，檢查內(nèi)部資產(chǎn)，修復(fù)漏洞，下線釣魚網(wǎng)站，清除僵尸網(wǎng)絡(luò)，完善監(jiān)測(cè)能力，全天候監(jiān)測(cè)。

2.2 綜合提升網(wǎng)絡(luò)安全管理措施

在管理制度、機(jī)構(gòu)、人員，建設(shè)管理和系統(tǒng)運(yùn)維中落實(shí)安全管理。加強(qiáng)網(wǎng)絡(luò)安全保障機(jī)制建設(shè)，增強(qiáng)網(wǎng)絡(luò)安全領(lǐng)導(dǎo)、管理和執(zhí)行能力。

（1）高校網(wǎng)絡(luò)安全管理中，籌建以黨委（黨組）安全責(zé)任制為指導(dǎo)的網(wǎng)絡(luò)安全管理機(jī)制，加強(qiáng)制度建設(shè)頂層設(shè)計(jì)，制定網(wǎng)絡(luò)與信息化、網(wǎng)絡(luò)安全管理相關(guān)制度和辦法等。落實(shí)網(wǎng)絡(luò)安全責(zé)任，簽訂網(wǎng)絡(luò)安全責(zé)任書，將責(zé)任落實(shí)到人；落實(shí)上網(wǎng)實(shí)名認(rèn)證，簽訂教職工、學(xué)生用戶網(wǎng)絡(luò)使用協(xié)議書。加強(qiáng)網(wǎng)絡(luò)行為審計(jì)，保證對(duì)上網(wǎng)用戶可管可控，對(duì)不良上網(wǎng)行為審計(jì)，對(duì)網(wǎng)絡(luò)和不良郵件信息及時(shí)封堵，避免傳播。增強(qiáng)法律意識(shí)，認(rèn)真履行法定義務(wù)，樹立底線思維。

（2）加強(qiáng)風(fēng)險(xiǎn)管理和應(yīng)急響應(yīng)，完善網(wǎng)絡(luò)應(yīng)急管理和指揮能力建設(shè)。管理中以問題為導(dǎo)向，事件驅(qū)動(dòng)，爭取主動(dòng)先機(jī)，著力安全預(yù)警與信息通報(bào)；運(yùn)用監(jiān)督檢查和考核評(píng)價(jià)手段，遏制各種安全風(fēng)險(xiǎn)，防患于未然。建立多部門協(xié)同聯(lián)防聯(lián)控的網(wǎng)絡(luò)安全應(yīng)急響應(yīng)、應(yīng)急管理機(jī)制，建立和落實(shí)信息安全上報(bào)制度，對(duì)網(wǎng)絡(luò)安全事件進(jìn)行分級(jí)分類管理。事前做好應(yīng)急預(yù)案，開展應(yīng)急演練；事中快速響應(yīng)，通過包括安全檢測(cè)、信息共享、第三方、現(xiàn)場(chǎng)通報(bào)等多渠道獲悉安全信息，降低風(fēng)險(xiǎn)；事后總結(jié)經(jīng)驗(yàn)教訓(xùn)，查找根源，避免再次發(fā)生，并汲取經(jīng)驗(yàn)教訓(xùn)，持續(xù)對(duì)后續(xù)風(fēng)險(xiǎn)監(jiān)測(cè)評(píng)估。

（3）加大網(wǎng)絡(luò)安全培訓(xùn)和教育工作，加強(qiáng)安全隊(duì)伍的建設(shè)，建立各級(jí)多部門專業(yè)和管理人員網(wǎng)絡(luò)安全共同體，形成有效的聯(lián)防聯(lián)控。從管理、技術(shù)、監(jiān)控、輿情方面加強(qiáng)人員安全培訓(xùn)，明確個(gè)人崗位職責(zé)，不定期組織專業(yè)網(wǎng)絡(luò)安全培訓(xùn)，提高專業(yè)技術(shù)能力。同時(shí)組織開展校內(nèi)二級(jí)單位安全管理員和責(zé)任人網(wǎng)絡(luò)安全培訓(xùn)，建立和完善高校長效的網(wǎng)絡(luò)安全機(jī)制[3]。面向校內(nèi)師生廣泛深入開展網(wǎng)絡(luò)安全培訓(xùn)，進(jìn)行常態(tài)、持續(xù)宣傳普及教育。

3 問題與展望

隨著技術(shù)的發(fā)展，網(wǎng)絡(luò)空間的動(dòng)態(tài)開放和長期性，IPV6的應(yīng)用、軟件定義網(wǎng)絡(luò)、網(wǎng)絡(luò)虛擬化、大數(shù)據(jù)等新技術(shù)的涌現(xiàn)，為生活帶來便利的同時(shí)，也帶來新的挑戰(zhàn)。

（1）IPv6有效地解決了IPv4技術(shù)網(wǎng)絡(luò)地址不足的問題，但I(xiàn)Pv6網(wǎng)絡(luò)尚在建設(shè)和推廣中，很多高校設(shè)備與終端不支持IPv6，未能全面升級(jí)更換，存在兼容問題；IPv6對(duì)應(yīng)的網(wǎng)絡(luò)安全設(shè)備尚未普遍應(yīng)用，黑客利用IPv6協(xié)議繞過傳統(tǒng)安全防護(hù)，技術(shù)保障措施不到位等使IPV6應(yīng)用中產(chǎn)生了新問題[4]。

（2）大數(shù)據(jù)收集數(shù)據(jù)過程中，信息和數(shù)據(jù)被惡意篡改、破壞、損失、惡意利用等；移動(dòng)終端、5G網(wǎng)絡(luò)多終端多設(shè)備接入，復(fù)雜的終端設(shè)備接入、移動(dòng)邊緣計(jì)算、網(wǎng)絡(luò)切片技術(shù)等，開放網(wǎng)絡(luò)下5G網(wǎng)絡(luò)潛在攻擊侵入對(duì)象增多[5]。以5G、人工智能、區(qū)塊鏈等為代表的新技術(shù)發(fā)展應(yīng)用對(duì)網(wǎng)絡(luò)安全工作提出了新要求。

貫徹落實(shí)網(wǎng)絡(luò)安全法，嚴(yán)格執(zhí)行網(wǎng)絡(luò)等級(jí)保護(hù)制度，要加強(qiáng)信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全防護(hù)，建立積極主動(dòng)的動(dòng)態(tài)防御機(jī)制，統(tǒng)籌網(wǎng)絡(luò)安全信息機(jī)制、手段、平臺(tái)管理，強(qiáng)化網(wǎng)絡(luò)安全事件應(yīng)急指揮能力建設(shè)，普及網(wǎng)絡(luò)安全宣傳教育，做到關(guān)口前移，防患于未然。依法嚴(yán)厲各種網(wǎng)絡(luò)犯罪，持續(xù)形成高壓態(tài)勢(shì)，維護(hù)高校師生合法權(quán)益。

網(wǎng)絡(luò)應(yīng)用是相對(duì)、動(dòng)態(tài)的，而安全風(fēng)險(xiǎn)是絕對(duì)的、永恒、可知的。網(wǎng)絡(luò)又具有相對(duì)整體性，通過建立各級(jí)部門網(wǎng)絡(luò)安全命運(yùn)共同體，形成有效的聯(lián)防聯(lián)控，進(jìn)而持續(xù)投入以獲得相應(yīng)的安全保障。同時(shí)要持續(xù)開展網(wǎng)絡(luò)安全技術(shù)研究和探索，為新技術(shù)搭建可信的網(wǎng)絡(luò)技術(shù)設(shè)施環(huán)境，解決新的網(wǎng)絡(luò)環(huán)境帶來的安全風(fēng)險(xiǎn)。

[1]吳添君，唐川，楊岳湘.國防科技大學(xué)：校園網(wǎng)風(fēng)險(xiǎn)管理實(shí)踐[J/OL].中國教育網(wǎng)絡(luò),http://www.edu.cn/info/media/jsgl/wlaq/202103/t20210305_2081191.shtml.

[2]孫佳煒，戴然，闞沁怡，冷佳瑩.基于態(tài)勢(shì)感知設(shè)備安全事件的主動(dòng)防御技術(shù)應(yīng)用[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2021（02）：105-107.

[3]魯學(xué)亮，劉臻.高校分級(jí)分類的網(wǎng)絡(luò)安全防護(hù)體系研究[J].電腦知識(shí)與技術(shù)，2018，14（31）：43-44+48.

[4]袁偉，劉佳琳，譚振江.IPv6雙棧技術(shù)在智慧校園中的應(yīng)用研究[J].數(shù)字技術(shù)與應(yīng)用，2020，38（11）：47-49.

[5]張帆.“互聯(lián)網(wǎng)+”背景下網(wǎng)絡(luò)安全及防御技術(shù)探究[J].數(shù)字通信世界，2021（01）：135-136.