數(shù)據(jù)安全策略，這些高校這么做

編者按：

教育行業(yè)的數(shù)據(jù)安全總體來說處于比較初級的階段，重視不夠、體系不全、機制不順、保障不力。伴隨《網(wǎng)絡(luò)安全法》的正式實施、數(shù)據(jù)泄露事件的增多、大數(shù)據(jù)應(yīng)用中的各種挑戰(zhàn)讓高校越來越意識到制定一套行之有效的數(shù)據(jù)安全策略已迫在眉睫。這里展示一些高校的數(shù)據(jù)安全策略，總體來看，學(xué)校將個人信息的泄露、數(shù)據(jù)丟失、數(shù)據(jù)庫安全等列入重點防護對象。

中國礦業(yè)大學(xué)：實施立體的防護體系

中國礦業(yè)大學(xué)網(wǎng)絡(luò)信息中心主任侯效禮介紹說，中國礦業(yè)大學(xué)的數(shù)據(jù)安全是全方位的、立體的和層次化的。目前學(xué)校數(shù)據(jù)中心管理的業(yè)務(wù)系統(tǒng)均處于各類安全設(shè)備或系統(tǒng)的防護之下，主要有IPS、WAF、綜合日志分析系統(tǒng)、漏洞掃描系統(tǒng)、存儲備份系統(tǒng)、虛擬機殺毒系統(tǒng)、堡壘機系統(tǒng)、站點群系統(tǒng)以及數(shù)字加密系統(tǒng)等。不過，對于因主機操作系統(tǒng)漏洞或代碼漏洞造成的風(fēng)險，業(yè)務(wù)系統(tǒng)仍然缺乏發(fā)現(xiàn)和防護的能力。

中國礦業(yè)大學(xué)制訂了《中國礦業(yè)大學(xué)網(wǎng)絡(luò)信息安全管理辦法（試行）》，明確了信息系統(tǒng)數(shù)據(jù)所有者是數(shù)據(jù)安全管理的責(zé)任主體，并負責(zé)規(guī)范數(shù)據(jù)的收集、存儲、傳輸和使用，確保數(shù)據(jù)安全。

未來，學(xué)校主要做好以下幾方面工作：一是進一步完善數(shù)據(jù)安全防護系統(tǒng)設(shè)施，要做到三點：1.搭建網(wǎng)絡(luò)安全態(tài)勢感知平臺，主動感知數(shù)據(jù)訪問動態(tài)；2.構(gòu)建主數(shù)據(jù)庫安全保護平臺，包括數(shù)據(jù)庫審計、數(shù)據(jù)庫加密、數(shù)據(jù)脫敏等，確保數(shù)據(jù)使用安全；3.構(gòu)建綜合安全管理平臺，統(tǒng)一管理數(shù)據(jù)中心安全設(shè)備。二是啟動網(wǎng)絡(luò)應(yīng)急響應(yīng)機制，增強主動防御能力。

華東師范大學(xué)：網(wǎng)站群保障網(wǎng)站數(shù)據(jù)安全

除了實施備份、做好數(shù)據(jù)庫安全管理等工作外，華東師大特別注重網(wǎng)站數(shù)據(jù)的安全。學(xué)校于2011年底開始部署了網(wǎng)站群系統(tǒng)。網(wǎng)站群系統(tǒng)通過統(tǒng)一的服務(wù)器安全措施能夠更好地確保華東師大數(shù)百個校內(nèi)網(wǎng)站的數(shù)據(jù)安全，且其單一的管理后臺更容易排查和避免網(wǎng)站漏洞。

該系統(tǒng)采用制作、發(fā)布和數(shù)據(jù)庫三類服務(wù)器物理分開的部署方式。其中，網(wǎng)站群的制作服務(wù)器作為數(shù)據(jù)存儲端，提供了一個統(tǒng)一的管理后臺，供部門管理員及信息發(fā)布人員進行后臺頁面制作和維護。網(wǎng)站群的發(fā)布服務(wù)器實現(xiàn)網(wǎng)站的前端訪問，所有站點的頁面生成均從制作服務(wù)器獲取相應(yīng)數(shù)據(jù)，再靜態(tài)發(fā)布到發(fā)布服務(wù)器上。網(wǎng)站的瀏覽人群通過站點域名對發(fā)布服務(wù)器上的靜態(tài)頁面文件進行訪問，而無需制作服務(wù)器在此過程中查找和返回數(shù)據(jù)庫中相應(yīng)數(shù)據(jù)，實現(xiàn)了前后臺分離，提高了站點訪問速度，增強了系統(tǒng)安全性。

在制作服務(wù)器和發(fā)布服務(wù)器之間，采用了SSL加密標準和防篡改程序，保障兩者間的數(shù)據(jù)傳輸安全。此外，系統(tǒng)采用容災(zāi)與備份等安全措施，增強了網(wǎng)站數(shù)據(jù)和應(yīng)用程序的安全性。

河海大學(xué)：消除來自內(nèi)部的威脅

河海大學(xué)數(shù)據(jù)安全目前主要做的工作是數(shù)據(jù)防意外丟失，網(wǎng)信中心制定了數(shù)據(jù)的備份策略，對數(shù)據(jù)進行定期的備份。建立堡壘機，防止外協(xié)廠商的技術(shù)人員為了維護系統(tǒng)而擁有直接登錄權(quán)限造成的拖庫等惡意數(shù)據(jù)問題。

學(xué)校針對不同信息系統(tǒng)的情況，對數(shù)據(jù)進行一定的分析，了解該系統(tǒng)之內(nèi)有沒有機密的數(shù)據(jù)處于不安全的狀態(tài)，如果有，對重要的系統(tǒng)分別采取一定的措施來保護。

下一步計劃將數(shù)據(jù)安全管理納入學(xué)校信息安全標準體系中，完善管理規(guī)章制度。對于數(shù)據(jù)進行一定的分類，在建設(shè)、運行、維護有關(guān)數(shù)據(jù)的工作中制定嚴格的訪問控制和分級策略保護數(shù)據(jù)安全。

開展數(shù)據(jù)治理工作，提供統(tǒng)一的數(shù)據(jù)服務(wù)，減少或杜絕共享文件、視圖方式進行數(shù)據(jù)共享，而是通過提供數(shù)據(jù)服務(wù)的方式來共享數(shù)據(jù)，并記錄數(shù)據(jù)的流失量流向，便于跟蹤審計。同時，開展宣傳培訓(xùn)，加強審計，防止特權(quán)用戶隨意修改配置、改變或盜取數(shù)據(jù)，明確業(yè)務(wù)部門和網(wǎng)信中心職責(zé)分工，消除來自內(nèi)部的數(shù)據(jù)安全威脅。