平臺數據安全保障研究

導語：在平臺數據安全保障研究的撰寫旅程中，學習并吸收他人佳作的精髓是一條寶貴的路徑，好期刊匯集了一篇優秀范文，愿這些內容能夠啟發您的創作靈感，引領您探索更多的創作可能。

1.智慧校園高質量建設的必要性和意義

高校在落實建設方面要堅持以服務師生為主線，以學校各項政務為建設出發點，堅持理念創新、效能優先，堅持統籌規劃、集約建設。其中，在數據使用方面，要堅持開放共享、安全可控，以數據為現代化校園的驅動力，利用新一代信息技術提升教育管理數字化、網絡化、智能化水平[2]，加快智慧校園高質量建設。現階段努力達到以“融合服務平臺”“一站式服務平臺服務”為基礎建設平臺，以更加便捷、運行高效、安全可控的教育管理服務數字化體系，努力讓校園各項業務辦理的效率大幅提升，同時以此為契機加快學校各類教育信息系統一體化建設，讓學校的教育數據效能充分發揮，“讓師生少跑路，讓數據多跑路”，幫助學校領導和教育管理者對未來學校教育發展的決策科學化、管理精準化、服務個性化有更加明確的定位和指導，從而使學校教育政務服務和數字化監管水平位居同類高校前列，為更好地建設高水平大學打下良好的基礎。

2.目前高校自建平臺的主要網絡安全威脅類型

據不完全統計，目前教育系統信息資產存在的網絡安全威脅的類型主要有漏洞和事件兩種，其中經常出現的漏洞主要是個人隱私信息泄露、信息泄露、弱密碼、SQL注入、跨站腳本等，事件主要是外鏈、病毒感染、暗鏈、后門、網絡攻擊、頁面跳轉、挖礦木馬等。在這些漏洞和事件中，主要有如下幾類：

（1）有近一半的案例和人為疏忽因素有關，如個人隱私信息泄露、信息泄露、弱密碼等，都是典型的缺乏網絡安全常識的表現，涉事單位系統管理員往往沒經過任何培訓就被盲目安排，從而導致敏感信息泄露，系統管理員賬號密碼使用很長時間后保持初始密碼、通用密碼、簡易密碼等狀態，從而導致安全威脅。

（2）SQL注入、跨站腳本、后門等，則多發生在學校相關單位的自建系統中，往往和系統建設單位的后臺建設人員的專業素養有很大關系。某些建設人員的安全意識較為薄弱，系統后臺代碼邏輯思維較為混亂，導致總體架構不夠健壯，容易產生系統漏洞。同時有部分建設人員為了后期維護方便，還以代碼的形式在后臺留有系統的基本信息和“后門”，以方便自己隨時登錄系統后臺進行查看。這些不規范、不安全的操作方式不僅可以留給黑客篡改和加載信息、惡意傳播不良內容的機會，還可以種植后門程序，嚴重影響系統的正常運行甚至導致系統崩潰[3]，對此應堅決避免。

（3）病毒感染、網絡攻擊、挖礦木馬等網絡安全事件，往往發生于服務器或個人電腦端，通常表現為涉事服務器或個人電腦長期處于沒有有效管理的狀態，既沒有納入統一的防護體系、沒有定期更新病毒庫和殺毒，也沒有專門的人員定期過問，基本處于“僵尸”服務器的狀態，以至于病毒在入侵了很長時間后相關設施服務器的管理員都沒有發現，從而導致了重要數據丟失等不可逆的損失。

（4）外鏈、暗鏈、頁面跳轉則屬于形式上較為相似的三種安全事件，大多因為某些臨時性網站、平臺在建設過程中沒有固定的服務器和嘗試使用域名的需要，從未采用臨時租賃購買的方式進行某些業務，多為一些大型論壇、賽事主辦方的網站、平臺。而這些域名在租用購買使用期到期后，在原先的購買方并沒有續費使用的情況下，出于種種原因沒有對原有的域名進行注銷，從而導致該域名被挪用為其他用途，甚至跳轉成為涉及黃色、賭博、暴力等內容的非法鏈接。某些高校在當初組織師生參與這些論壇、比賽的過程中，在自有網P-流水-數據安全站新聞中引用了當初主辦方的鏈接，而在該活動已經完全結束的情況下，也沒有及時將參賽信息撤銷，以至于產生外鏈、暗鏈、頁面跳轉等形式的安全事件，給自身網絡形象造成不利影響。

3.高校網絡平臺進行數據安全風險隱患排查的建議措施

3.1落實網絡安全領導及具體職責

高校領導應高度重視網絡安全工作，堅持健全網絡安全組織領導體系，認真落實國家規定的黨委（黨組）網絡安全主體責任，提高政治站位，加強組織領導，完善網絡安全管理機構和專業人才隊伍，按照實際情況調整高校網絡安全與信息化領導小組成員，并由相關職能部門負責日常工作，確保具體工作層層落實到人。3.2落實網絡數據管理制度要逐步完善落實網絡數據全生命周期安全管理、數據分級分類管理，對高校現有含個人信息的系統開展風險隱患排查。在制定重要時期網絡安全保障措施和網絡安全事件應急預案中需強調對數據安全的保護，對有無重要數據跨境流動情況要加強排查監管，防止外部惡意滲透。

3.3開展日常數據資產梳理和常態化

安全風險排查整改高校相關職能部門平時要注重梳理有重要數據和大量個人信息的重要數據資產清單，并以此為基礎計劃完善制定分類分級制度。針對信息資產中含有大量個人信息的系統，要聯系相關部門、單位聯合建設單位開展自查工作，梳理風險隱患清單，以此進行安全防護檢測和常態化安全掃描，開展常態化網絡數據安全風險排查以及問題整改，如有條件可采購數據中心運維服務。安排專人對本部門、本單位已有信息資產開展梳理統計，堅持屬地化管理，全面摸清底數。梳理統計對象包括各部門、各單位已有的學校統一建設、自主研發、自主選用和上級部門要求使用的各類信息系統（網站），以及在設備、軟件、服務等采購產品中配套使用的APP或小程序，同時注明服務器所使用形式和所在具體位置。對重要數據、重要功能做定時定期備份，以本地化存儲等形式實行。要求學校各部門、各單位在建設含有大量個人信息數據的系統時，需在合同或協議中明確建設方、運維方的網絡和數據安全責任，同時確保信息系統管理賬戶不存在弱口令、默認口令、通用口令和長期未更換的口令。根據國家政策法規及其他相關文件的硬性要求，進一步加強高校網絡信息安全，完善高校網絡信息安全管理制度，建立符合國家安全法要求的安全防護體系。對學校已有的重要信息系統要聯系公安部門及時進行網絡安全等級保護備案，并開展相應的測評工作，同時根據檢查結果進行針對性的整改后，復測沒有問題方能正式上線。
3.4對網絡、系統、設備存在的漏洞隱患進行排查

目前許多高校在建設數字資源的過程中，越來越多地運用到云平臺、云數據庫，師生在運用上述云資源上傳個人信息及資料的過程中，就會產生數據的流動問題，在數據流動的過程中容易被其他網絡截取[4]，容易引發數據泄密等網絡安全問題。高校相關職能部門要對校內服務器是否使用開源操作系統及其他開源數據庫，以及是否使用云計算軟件平臺、開源代碼管理平臺、開放數據訪問接口、遠程管理軟件等支撐數據存儲、處理、訪問的系統和設備情況進行排查，并按照上級部門要求逐步實現操作系統、數據中心的國產化。要通過排查，關閉或刪除非必要應用、服務、端口和鏈接，杜絕出現弱口令、默認口令、通用口令等常見問題。同時優化安全防護策略，使用堡壘機登錄、日志審計等設備嚴格訪問控制。建設學校網絡資產安全掃描與治理系統，對校內所有的信息資產進行梳理，將信息資產備案、審核、上線流程制度化。平時進行常態化漏洞及威脅實時檢測，結合上級部門的通報預警信息，配合事件處置、應急響應等業務模塊進行防范，按需進一步完善其他功能。加強日常核心機房的網絡安全防御，在使用常規性的防火墻、WAF、IPS、虛擬化安全防護等網絡安全軟硬件設備保證校園網日常運行的基礎上，通過其他新型、有效的安全項目，例如反向代理、態勢感知的嘗試建設，進一步優化校園網絡配置和網絡安全保障。

3.5做好監測預警和應急保障措施

3.5.1加強日常監測

按規定做好外部攻擊防護和內網檢測，按需調整網絡防護策略。做好網站群管理系統、數據中心及其他各業務系統的網絡安全保障工作，對學校信息基礎設施、校園網核心網絡、各業務系統進行日常維護與巡檢。對異常終端行為、異常內網橫向移動、異常數據訪問等行為進行監測分析，同時進行日志審計、追蹤溯源和綜合研判，及時清理病毒、木馬。3.5.2加強應急管理按照學校實際情況修訂應急管理預案并規范應急響應流程，組織專業人員對全校信息系統（網站）進行網絡安全攻防和應急演練，加強對發現的模擬攻擊行為采取相關的防護措施的可操作性和實用性，以此提高高校信息系統（網站）網絡安全管理水平，檢驗網絡安全事件應急處置機制。

4.其他保障措施

4.1強化數據治理，加強數據歸口管理

通過高校一站式服務平臺、融合服務平臺等項目的建設，建立健全校園信息化數據的采集、傳輸、使用、共享、P-流水-數據安全銷毀過程中的管理規范體系，將所有數據進行統一規范采集，動態進行數據治理，提升數據的準確性、規范性和可用性，為其他業務系統的接入使用提供可靠的數據來源[5]。對個人或部門的隱私信息、敏感信息、重要信息，應在分級分類管控的基礎上，設立多人協同安全使用規則，定期開展風險評估。

4.2加大保障經費投入

學校應每年投入足量資金加強網絡安全治理工作，為安全保障體系的建設提供必要資金保障。同時通過校地合作、校企合作、校銀合作、校校合作等多種合作模式，充分利用雙方資源，拓寬建設資金來源，積極引進優質技術力量，最終達到互利共贏的目的。

4.3嚴格落實學校各部門、各單位的安全責任

要求學校各部門、各單位的主要負責領導簽署安全責任書，同時安排專人，聯系相關建設單位針對已有信息資產進行全面安全漏洞自查。要求對存在安全漏洞長期不修復、長期閑置、缺少運行維護管理等網絡安全隱患的信息資產進行修復。對信息資產所在本地服務器（如有）聯系系統建設方開展系統安全風險評估，重點檢查服務器及系統運行的網絡環境安全、系統自身程序安全、數據存儲及使用安全等，及時升級系統安全補丁，確保不存在任何主機或系統安全漏洞。已停止使用或已廢棄的服務器進行關機、斷網、斷電。同時告知相關部門、單位的網絡分管領導、管理人員要重點防范系統弱密碼、隱私信息泄露、暗鏈外鏈等常見人為因素造成的安全隱患。對新上線的網絡信息業務嚴格進行安全審核，要求申請部門、單位明確分管領導和網絡管理員，提供上線網絡信息業務的安全檢測相關書面證明（如信息系統網絡安全等級備案證明、檢測結果復印件等），同時填報如網絡信息業務上線申請表等材料留存備查，待確認無安全漏洞后方可分配IP地址和域名。結語總而言之，高校網絡安全和信息化工作人員應堅守底線思維，筑牢教育系統網絡安全屏障，推進教育核心數據、重要數據識別和目錄編制工作，強化教育數據分類分級管理。同時利用國家網絡安全宣傳周、校園日等活動，加強全校師生的網絡安全意識教育，共同營造健康的網絡空間。

參考文獻：

[1]江蘇省人民政府關于加快統籌推進數字政府高質量建設的實施意見[J].江蘇省人民政府公報,2022,(7):22-31.

[2]教育部關于加強新時代教育管理信息化工作的通知[J].中華人民共和國教育部公報,2021,(4):33-37.

[3]鐘新榮.網絡教學平臺信息安全的風險防范策略研究[J].中國教育信息化,2008,(11):77-78,82.

[4]孫靜.云平臺下大數據信息安全機制構建問題分析[J].網絡安全技術與應用,2021,(10):65-66.

[5]教育部強調加強新時代教育管理信息化工作[J].中國網絡教育,2021,(4):9.

作者:沈華根 單位:南京藝術學院信息化建設管理中心