數字化轉型背景下高校網絡安全保障研究與實踐

王宇　王衛東　溫占考

［摘 要］在教育行業數字化轉型大背景下，高校信息化建設和網絡安全保障工作都面臨新要求、新場景、新挑戰、新機遇。結合行業特點和工作實際，為滿足數字化轉型需求并保障高校網絡安全和數據安全，分析并提出高校網絡安全工作的重點、難點及應對策略，從建立網絡安全管理制度、實行信息資產備案制度、構建網絡安全縱深防御體系及威脅監測與處置體系、組建網絡安全應急響應團隊、加強網絡安全教育等方面闡述高校網絡安全保障工作的實踐舉措。

［關鍵詞］ 高等學校；數字化轉型；網絡安全保障；數據安全；個人信息保護

［中圖分類號］ TP 393.08 ［文獻標志碼］ A ［文章編號］ 1005-0310（2023）02-0001-06

Research and Practice of Cybersecurity Assurance in Universities under the Background of Digital Transformation

WANG? Yu， WANG? Weidong， WEN? Zhankao

（Office of Information Construction and Cyber Security， Northeastern University， Shenyang 110819， China）

Abstract： ?Under the background of digital transformation of the education sector， the informatization construction and cybersecurity assurance of colleges and universities are facing new requirements， new scenarios， new opportunities， and new challenges. Combined with the experience of the actual work in the education sector， in order to meet the needs of digital transformation and ensure the cybersecurity and data security of universities， this paper analyzes and presents the focus， difficulties and coping strategies of cybersecurity work in universities， and elaborates the practical measures from the aspects of establishing a cybersecurity management system， implementing an information asset filing system， building a cybersecurity in-depth defense system and threat monitoring and disposal system， establishing a cybersecurity emergency response team， and strengthening cybersecurity? education.

Keywords： University；Digital transformation；Cybersecurity assurance；Data security；Personal information protection

0 引言

教育行業的信息化建設經歷了網絡化、數字化、智慧化等階段，數字化轉型日益成為當前的核心任務和主要的發展趨勢，更是國家教育改革發展的整體戰略部署和新時代高等學校發展目標的使命召喚［1］。為滿足數字化轉型需求并保障高校網絡安全和數據安全，本文擬在分析高校網絡安全工作重點和難點的基礎上，有針對性地提出應對策略，并結合教育行業網絡安全工作的特點和實際情況，闡述高校網絡安全保障工作的實踐舉措。

1 教育行業數字化轉型

數字化轉型發端自企業信息化領域，2020年5月，國家發展改革委發布《數字化轉型伙伴行動倡議》，聚焦企業核心業務和能力的信息技術支撐，支持利用大數據、云計算、人工智能、區塊鏈、虛擬/增強現實等創新技術助力打造數字化企業［2］。

隨著數字經濟的蓬勃發展，社會各領域對教育行業的人才培養、科學研究等核心職能提出了新要求，教育行業迫切需要進行數字化轉型，為社會各領域的人才和科技需求提供支撐。《教育部2022年工作要點》提出，實施教育數字化戰略行動，強化需求牽引，深化融合、創新賦能、應用驅動，加快推進教育數字化轉型和智能升級［3］。2023年2月，教育部部長懷進鵬在世界數字教育大會上對教育數字化轉型等一系列議題進行主旨演講［4］，強調國家教育數字化戰略行動提出的“聯結為先、內容為本、合作為要”的“3C”理念（Connection，Content，Cooperation）和“應用為王、服務至上、簡潔高效、安全運行”的推進原則，通過釋放數字技術的溢出效應來促進教育高質量發展，主要包括：利用數字技術促進優質資源高效聚集和傳播分享，利用智能化技術推動線上線下融合及提高教育評價效能，通過數據采集分析工具提供個性化教育方案，綜合利用各類創新的數字技術為教育教學進行數字賦能，利用人工智能、大數據等技術推動教育治理高效化和精準化并提高決策科學化水平。數字化轉型已經成為高校信息化建設繼數字校園建設、智慧校園建設之后的又一關鍵詞。

2 高校信息化建設的新要求、新場景、新挑戰、新機遇

高校數字化轉型離不開高校信息化建設，也為高校信息化建設帶來了機遇與挑戰。從以網絡環境建設和信息數字化為主的數字校園建設，到以信息技術與教學、科研、管理、服務等融合提升為主的智慧校園建設，再到以數字化支撐高質量教育體系建設的數字化轉型，高校信息化建設需要不斷變革。在教育行業數字化轉型大背景下，高校信息化建設工作面臨新要求、新場景、新挑戰、新機遇。

2.1 新要求［5］

1）教育數字化轉型要求有高質量的數字化教育基礎設施，需要對支撐學校教學、科研、管理、服務等職能的信息基礎設施進行數字化和智能化的升級，特別是要提供泛在的有線/無線網絡、5G專網、物聯網等基礎網絡環境以實現互聯互通。

2）教育數字化轉型的重點在于教育教學模式的創新和提升，需要以人為本，以培養社會發展需要的高質量人才為目的，在信息技術的支持下，通過線上線下、校際協同、校企聯動等教學組織模式，促進教育教學的個性化和協同化，推動教育評價等教育教學活動的開展。信息化建設要為人工智能、虛擬現實等新技術的高質量運行提供穩定可靠的數據中心基礎環境和高性能計算平臺。

3）數據是高校數字化轉型的基礎［6］。高校要持續推進教育數據治理，統籌推進規范化的高校數據中臺或數據存儲、清洗、交換、共享中心建設，實現高校數據中心的高水平整合，并在此基礎上進行數據分析與決策，為高校各項業務工作的開展提供高質量數據支撐。

4）教育數字化對師生的信息素養和數字技能都有較高要求，高校在信息化建設中：一方面，要關注師生對網絡和信息基礎設施的使用體驗，信息服務應向移動化、App化發展；另一方面，要對人工智能、虛擬/增強現實、區塊鏈等信息領域的新技術持擁抱態度，積極支持高校教育教學領域對新技術的應用，持續提升師生的信息素養和數字技能。

2.2 新場景

1）教育數字化使高校業務職能部門的教育教學、科學研究成為數字化轉型的核心領域，是需要高校信息化建設著力關注和投入的核心場景。

2）教育數字化對高校數據的采集、傳輸、存儲、使用、共享、挖掘及分析等環節都提出較高要求，是高校能否高質量完成數字化轉型的基礎，數據全生命周期的每個環節都是數字化轉型的重要場景。

3）教育數字化對高校網絡和信息基礎設施提出較高要求，統籌建設多網融合的網絡基礎設施、數據中臺或數據中心、高性能計算平臺等成為數字化轉型的基本需求，也是數字化轉型的重要場景。

4）教育數字化對師生信息素養和數字技能的高要求，讓原本以服務為主的高校信息化建設，增加了與師生交互及協助師生提高信息素養和數字技能的新場景。

2.3 新挑戰［7］

1）教育行業數字化轉型的概念、內涵和方法論還在不斷完善和豐富中，高校領導層、信息化建設及相關業務職能部門需要從學校整體視角審視人才培養工作，對數字化轉型工作的必要性、艱巨性建立統一認知，整體構建和推進數字化轉型戰略。

2）數字化轉型是涉及整體的全局工程，需要從關鍵業務入手，分階段推進，但缺少成熟可借鑒的推進方式，因此，如何找到轉型的破局點、階段目標及有效的實施路徑等，還需要業內領先高校和行業專家的更多努力和探索。

3）在數字化轉型過程中，高校信息化部門需要有效地支撐學校教育教學、科學研究等核心職能的信息技術應用。如何建設和保有一支高效能高水平的信息技術應用、實施和服務團隊，是高校在數字化轉型中要面對的一項挑戰。

4）在數字化轉型過程中，高校信息化工作的統籌管理、信息化部門與其他業務部門之間的協作關系和溝通方式也是轉型進程面臨的挑戰，高校的組織架構和評價體系都需要有針對性地進行調整。

2.4 新機遇

1）數字化轉型是高校信息化建設與高校育人職能結合得更加緊密的機遇，是將高校信息化軟硬件基礎設施切實支撐高校教育教學、科學研究的機遇。

2）數字化轉型讓高校信息化部門有機會參與、協調和支撐高校核心業務的有效開展，是強化信息技術在高校日常運行中核心作用的機遇。

3）數字化轉型為高校統籌建設校級信息化基礎平臺和數據中心，集中推進數據治理、挖掘和分析，以及統一運維高性能計算平臺等提供了機遇。

4）數字化轉型為數字化變革打下堅實基礎［1］，為實現優化組織架構和業務流程的目標帶來新希望和新機遇。

3 高校網絡安全保障工作的重點、難點及應對措施

高校網絡安全保障工作是為保障校園網絡基礎設施、信息系統、網站、數據等信息資產的機密性、完整性、可用性，而開展的相關管理和技術工作［8］。在當前日益嚴峻的網絡安全形勢下，面向教育數字化轉型的高校網絡和信息基礎設施、數據中臺或數據中心、各類新技術應用等，需要更高質量、更貼近實際威脅防御的網絡安全保障體系。本文結合網絡安全威脅現狀和教育數字化轉型背景下相關信息資產的特征，分析高校網絡安全保障工作的重點、難點和應對措施。

3.1 保障重點

1）數據是高校數字化轉型的基礎，也是網絡安全保障的重點內容。數據泄露和販賣是當前主流的網絡安全威脅，師生個人信息和高校業務數據都需要給予重點關注和保障，高校需要制定相應的管理制度和部署專業的技術措施進行安全保障。

2）服務是高校數字化轉型達到既定目標的重要手段，保障各項服務安全穩定運行是網絡安全保障的重要內容。分布式拒絕服務攻擊（Distributed Denial of Service，DDoS）、高級持續性攻擊（Advanced Persistent Threat，APT）、“網課爆破”等都是常見的攻擊行為，高校需要參照國家和行業相關標準，將制度與技術相結合，對信息服務進行安全保障。

3）新技術為高校數字化轉型提供解決方案，但同時也帶來新的安全風險，比如人工智能、API、移動App、云平臺等，都需要在相應場景中有針對性地制定制度和部署措施來對其進行安全保障。

4）供應鏈安全問題對高校網絡安全的負面影響日益突出。由于SolarWinds、Apache Log4j、GitLab、Laravel等一系列開源中間件和基礎開發軟件造成的供應鏈安全事件頻發，高校必須審視自身行業軟件、開源應用等存在的安全漏洞問題，并在高校數字化轉型中，將供應鏈安全列為重點保障工作內容。

3.2 保障難點

1）高校網絡安全制度建設有待進一步加強，特別是網絡安全責任制體系與機制建設。實現信息化建設與網絡安全同步規劃、同步建設、同步應用，需要學校整體的網絡安全和信息化建設制度提供支撐。

2）高校信息資產的類別繁多、數量龐大，涉及服務器、個人主機、網絡設備、安全設備、自助服務設備、網絡打印機、網絡攝像頭及物聯網傳感器等，因此，對各類設備的網絡安全保障措施應各有側重，需要有針對性地制定安全策略和防護措施。

3）高校網絡環境復雜，包括有線（光）網絡、數據中心網絡、Wi-Fi無線網絡、5G專網、物聯網及互聯網等。由于各類網絡邊界模糊，為保障服務可靠運行并實現有效管控，需要有針對性地部署相應的安全設備和策略，充分滿足新技術應用對網絡帶寬和設備性能等的需求。

4）網絡攻擊手段不斷更新和變化，網絡安全技術更新換代很快，高校網絡安全保障人員需要不斷學習和進步，及時采用新技術體系應對新型安全威脅。

5）教育行業供應鏈安全問題日益嚴重，教育行業信息化解決方案提供商缺乏有效的安全開發管理和應急響應能力。高校應準確掌握信息資產及中間件等供應鏈信息，從而及時有效地獲取其漏洞信息并完成整改加固。

6）高校網絡安全保障的資金和人員投入不足，不僅缺少高水平的網絡安全保障人員隊伍，也缺少對購買第三方專業網絡安全服務的資金支持。在數字化轉型過程中，高校需要擁有足夠的設備、服務和人員來保障信息化基礎設施及各類新技術應用的安全運行。

7）高校人員結構復雜，安全防范意識亟待提高，難以應對釣魚、勒索、詐騙等網絡安全威脅。高校需要通過宣傳、培訓、演練等方式持續提升師生的網絡安全意識，特別是提高師生對數據安全和個人信息保護的認知水平和防護能力。

3.3 應對措施

根據高校網絡安全保障工作的重點和難點，本文提出以下應對措施。

1）網絡安全管理制度與技術防護并舉。建立完整的網絡安全責任制體系和管理制度，并根據最新網絡安全政策要求和威脅特征及時進行制度修訂；構建管理制度和技術防護相結合的網絡安全保障體系，根據新威脅和新技術及時部署軟硬件設備和安全策略。

2）開展信息資產管理與網絡安全評估。建立覆蓋全部類別信息資產的管理機制，及時豐富信息資產的屬性，制定各類網絡邊界的安全策略，加強供應鏈信息獲取和安全管控；建立常態化的網絡安全評估機制，加強信息系統上線檢測和管控，及時發現網絡安全漏洞和風險，并采取相應的措施進行修復和加固。

3）建立網絡安全應急響應與審計機制。建立科學有效的網絡安全應急響應機制，及時發現系統漏洞、處置安全事件，力爭做到對高危漏洞及時清零；建立網絡安全審計機制，對安全設備配置、安全策略部署等均需要進行流程審批和事后審計，便于后續對網絡安全事件進行全面跟蹤和分析。

4）關注數據安全和師生個人信息保護。通過相應的制度和策略實現數據全生命周期管理，做好數據發布、傳輸、共享等環節的安全防護，與有關第三方機構簽訂數據安全承諾書或責任書；持續加強師生網絡安全意識教育和培訓，引導師生養成健康的上網習慣，掌握常用的網絡安全知識和技巧，能夠辨識常見的網絡安全風險，并有效防范釣魚攻擊、信息泄露等風險。

5）加強安全技術交流與保障隊伍建設。加強校際交流及與政府部門、行業協會、安全企業、ICT（Information Communication Technology）廠商等方面的深度合作和技術共享，持續提高網絡安全保障能力；加大網絡安全資金和人員的投入，力爭在第三方網絡安全服務的基礎上，建設和保有一支精干、專業、肯學習、會溝通、有興趣、能投入的網絡安全保障隊伍。

4 高校網絡安全保障工作實踐

本文以東北大學為例，闡述高校網絡安全保障工作的實踐舉措。學校依托現有網絡和信息技術人員隊伍，在學校信息化建設與網絡安全工作領導小組的領導下，在第三方網絡安全服務公司的支持下，多措并舉，不斷改進和完善網絡安全保障體系，為學校的數字化轉型保駕護航。

4.1 建立網絡安全管理制度

學校建立《網絡安全管理辦法（試行）》《落實網絡安全責任制考核評價實施辦法（試行）》《信息化項目建設管理辦法（試行）》《網站群管理規范》《數據管理辦法》《師生個人信息保護管理辦法》《校務信息數據共享審批管理規定》《信息化與網絡安全人員管理規定》等網絡安全管理制度，并自2020年以來每年面向校內二級部門開展落實網絡安全責任制的考核評價。

4.2 實行信息資產備案制度

學校需要納入備案管理的信息資產包括信息系統、網站、網絡打印機、公共區域LED顯示屏等。信息系統上線前必須通過網絡安全評估，在滿足學校信息化項目管理要求并完成信息系統備案的基礎上，須通過學校安全威脅檢測工具掃描，確定無高危漏洞才可上線試運行。在學校主要網絡邊界部署基于域名、IPv4/IPv6地址和網絡端口的白名單策略，限制校外訪問校內未經備案的信息資產。網絡拓撲示意圖如圖1所示。

4.3 構建網絡安全縱深防御體系及威脅監測與處置體系

學校利用網絡類、安全類設備持續監測網絡安全威脅與安全事件，建立統一的日志中心，通過日志中心的多種數據檢查策略及時發現網絡中的異常事件，下發封禁策略至集中封禁系統后，通過安全設備阻斷攻擊源。同時，利用集中告警平臺（微信、短信、郵件等）通知網絡安全應急響應團隊，根據事件嚴重程度決定下一步處理方法［9］。網絡安全縱深防御體系如圖2所示，基于日志集中的IPv4/IPv6雙棧校園網絡安全威脅監測與處置體系如圖3所示。

4.4 組建網絡安全應急響應團隊

學校由網絡、開發、安全、服務等技術人員組成應急響應團隊，持續跟蹤CVE、CNVD、GitHub、教育漏洞報告平臺等發布的漏洞信息，及時發現和修復校內信息資產存在的安全隱患。同時，加強與兄弟高校對網絡安全威脅情報和技術措施的分享與交流，持續通過各類網絡安全認證培訓、線上線下比賽等提高網絡安全專業技能。

4.5 持續加強對師生及網絡安全與信息化建設人員的網絡安全教育

學校通過開展網絡安全知識講座、網絡安全意識培訓、辦公應用專項培訓、網絡安全知識競賽、網絡安全技能挑戰賽、網絡安全攻防演練、釣魚郵件風險示警等活動，持續提高師生的安全意識和數字技能，減少由于人員安全意識淡薄而產生的對學校網絡安全保障的負面影響。同時，鼓勵網絡安全與信息化建設人員參加各類技術培訓和專業認證，組建和保有一支由網絡運維、系統運維、系統建設、安全管理、服務支持等相關人員組成并擁有ECSP、CISSP、CISP、“Security+”等網絡安全專業認證的網絡安全保障和事件應急響應團隊。

5 結束語

隨著新的信息技術的不斷應用，高校網絡安全保障工作的目標和內容也會不斷調整。網絡安全保障是高校數字化轉型的必要條件，高校信息化部門需要持續跟進網絡安全技術發展，提升高校網絡安全保障能力，為學校轉型升級和事業發展保駕護航。

［參考文獻］

［1］ 項陽，陳文智.高校數字化轉型首要任務是轉變觀念［J］.中國教育網絡，2022（5）：15-18.

［2］ 國家發展改革委.數字化轉型伙伴行動［EB/OL］.（2020-05-13）［2023-03-01］.https：//liuyan.www.gov.cn/szhzxhbxd/index.htm.

［3］ 教育部.教育部2022年工作要點［EB/OL］.（2022-02-08）［2023-03-01］.http：//www.moe.gov.cn/jyb_sjzl/moe_164/202202/t20220208_597666.html.

［4］ 懷進鵬. 數字變革與教育未來——在世界數字教育大會上的主旨演講［EB/OL］.（2023-02-13）［2023-03-01］. http：//www.moe.gov.cn/jyb_xwfb/moe_176/202302/t20230213_1044377.html.

［5］ 楊宗凱.教育的全面數字化轉型已成必然趨勢［N］.中國青年報，2022-04-11（5）.

［6］ 張小平.高校數字化轉型核心在于數據［EB/OL］.（2022-02-21）［2023-03-01］. https：//www.edu.cn/xxh/focus/gd/202302/t20230221_2302053.shtml.

［7］ 巫莉莉，張波.高校應如何實現數字化轉型［EB/OL］.（2022-02-20）［2023-03-01］. https：//www.edu.cn/info/xy/xytp/202302/t20230220_2301563.shtml.

［8］ 王宇，王衛東，溫占考.網絡攻防視角下的高校網絡安全防護［J］.中國教育網絡，2020（12）：64-65.

［9］ 王宇，溫占考，王衛東，等.校園網絡IPv4/IPv6威脅監測與處置體系的規劃與實踐［J］.深圳大學學報（理工版），2020，37（S1）：55-59.

（責任編輯 白麗媛）

［收稿日期］ 2023-03-10

［作者簡介］ 王宇（1978—），男，遼寧鐵嶺人，東北大學信息化建設與網絡安全辦公室工程師，主要研究方向為網絡信息安全、下一代互聯網、軟件體系架構、并行計算、云計算應用；王衛東（1984—），男，江蘇鹽城人，東北大學信息化建設與網絡安全辦公室工程師，主要研究方向為網絡信息安全、下一代互聯網；溫占考（1980—），男，江西贛州人，東北大學信息化建設與網絡安全辦公室高級工程師，主要研究方向為網絡信息安全、下一代互聯網。E-mail：wangy@mail.neu.edu.cn