等保2.0 要求從分層防護向綜合防控、集中防護的思想轉(zhuǎn)變。其主要技術(shù)思想方向可歸結(jié)為：第一，“一個中心，三重防護”的體系框架；第二，可信計算；第三，通用+擴展要求。

三個1/3 決定了網(wǎng)絡(luò)安全重要性

黨的十九大以后，教育信息化進入了新的發(fā)展階段。去年4 月，教育部正式印發(fā)了《教育信息化2.0 行動計劃》，提出了到2022 年基本實現(xiàn)“三全兩高一大”的發(fā)展目標(biāo)，要在1.0 階段“三通兩平臺”的基礎(chǔ)上，全面提升教育信息化發(fā)展水平，使中國教育信息化步入世界先進行列，發(fā)揮全球引領(lǐng)作用，以教育信息化全面推動教育現(xiàn)代化，開啟智能時代教育的新征程。

在這個過程中，網(wǎng)絡(luò)安全工作貫穿整個教育信息化建設(shè)的始終，是需要持之以恒、常抓不懈的關(guān)鍵性支撐工作。

網(wǎng)絡(luò)安全的重要性是與三個1/3 分不開的，即教育及教育相關(guān)人口占全國人口的1/3；各類教育行業(yè)在冊的信息系統(tǒng)占了全國將近1/3； 2016 年、2017 年，教育行業(yè)發(fā)生的網(wǎng)絡(luò)安全事件占全國安全事件1/3。

更直觀的數(shù)據(jù)包括：第一，涉及人員多。目前教育機構(gòu)60 萬個，專職教師1800 萬人，各類各級學(xué)生超過3.5 億人。第二，系統(tǒng)數(shù)量多。當(dāng)前教育系統(tǒng)網(wǎng)站超過20 萬個，edu.cn 的系統(tǒng)網(wǎng)站11 萬個，涉及超過百萬人數(shù)據(jù)的系統(tǒng)超過500 個。第三，掌握數(shù)據(jù)多。政務(wù)數(shù)據(jù)資源數(shù)量超過10000 條，教師數(shù)據(jù)超過4000 萬，累計學(xué)生數(shù)據(jù)超過5 億。

我們面臨的安全事件主要涉及數(shù)據(jù)泄漏、數(shù)據(jù)篡改、網(wǎng)站癱瘓、頁面篡改等四個方面。最近重點之一是對教育APP 的治理，在走訪時發(fā)現(xiàn)有個別學(xué)校針對學(xué)生有包括校內(nèi)新聞、吃飯、洗澡、院系選課等各式各樣的40 余個APP 同時使用，建議學(xué)校盡量整合成一個，至少是一個入口，杜絕多口徑分散式管理。

等保2.0 時代的網(wǎng)絡(luò)安全工作

2017 年正式實施的《網(wǎng)絡(luò)安全法》將網(wǎng)絡(luò)安全正式帶入了法治時代，這也就意味著，履行網(wǎng)絡(luò)安全等級保護成為網(wǎng)絡(luò)運營者的基本義務(wù)，假如信息系統(tǒng)沒有定級備案、沒有測評整改，都屬于違法運維，從教育系統(tǒng)以及高校違反網(wǎng)絡(luò)安全法的處理情況來看都是非常嚴格的，需要引起各高校信息化部門的高度重視。

《網(wǎng)絡(luò)安全法》其中很重要的一方面就是網(wǎng)絡(luò)安全等級保護制度。1994 年，國務(wù)院147 號令提出“計算機信息系統(tǒng)全面實行信息安全等級保護”，“等保”這個提法正式出現(xiàn)，隨著近年來云計算、移動互聯(lián)、大數(shù)據(jù)、物聯(lián)網(wǎng)、人工智能等新技術(shù)不斷涌現(xiàn)，計算機信息系統(tǒng)的概念已經(jīng)不能涵蓋全部，特別是互聯(lián)網(wǎng)快速發(fā)展帶來大數(shù)據(jù)價值的凸顯，等保2.0 標(biāo)準(zhǔn)應(yīng)運而生。2019 年5 月13 日，公安部發(fā)布《網(wǎng)絡(luò)安全等級保護基本要求》（GB/T22239-2019）、《網(wǎng)絡(luò)安全等級保護安全設(shè)計技術(shù)要求》（GB/T25070-2019）、《網(wǎng)絡(luò)安全等級保護測評要求》（GB/T28448-2019）。

相比1.0，網(wǎng)絡(luò)安全等級保護2.0 與網(wǎng)絡(luò)安全法保持一致，《中華人民共和國網(wǎng)絡(luò)安全法》明確規(guī)定“國家實行網(wǎng)絡(luò)安全等級保護制度”，等保2.0 也與時俱進地將原標(biāo)準(zhǔn)的“信息系統(tǒng)安全等級保護”改為“網(wǎng)絡(luò)安全等級保護”，并且覆蓋全社會、全行業(yè)和全對象，這個“網(wǎng)絡(luò)”是大的網(wǎng)絡(luò)概念，基礎(chǔ)網(wǎng)絡(luò)、信息系統(tǒng)、移動互聯(lián)網(wǎng)、云計算、物聯(lián)網(wǎng)、工控等都包含在其中。

等保2.0 要求從分層防護向綜合防控、集中防護的思想轉(zhuǎn)變。其主要技術(shù)思想方向可歸結(jié)為：第一，“一個中心，三重防護”的體系框架。三重防護是指“安全通信環(huán)境”、“安全區(qū)域邊界”和“安全計算環(huán)境”；一個中心是指“安全管理中心”。安全管理中心不是某一個平臺，某一個系統(tǒng)，而是把安全管理、安全監(jiān)測、安全審計等各類的設(shè)備和應(yīng)用平臺集中管控的體現(xiàn)。第二，可信計算?；诳尚鸥鶎τ嬎阍O(shè)備的系統(tǒng)引導(dǎo)程序、系統(tǒng)程序、重要配置參數(shù)和應(yīng)用程序等進行可信驗證，并在應(yīng)用程序的關(guān)鍵執(zhí)行環(huán)節(jié)進行動態(tài)可信驗證，一旦檢測到可信性受到破壞就進行報警，并將驗證結(jié)果形成審計記錄送至安全管理中心。第三，通用+擴展要求。將云計算、移動互聯(lián)、物聯(lián)網(wǎng)、工業(yè)控制系統(tǒng)等列入標(biāo)準(zhǔn)規(guī)范。在通用要求的基礎(chǔ)上疊加相關(guān)擴展要求。

具體到測評過程，應(yīng)該注意以下幾個方面，一是測評要求和測評內(nèi)容增加，等保2.0 中雖然表面測評項有所減少，實際上原網(wǎng)絡(luò)、主機、應(yīng)用層面的要求均合并至安全計算環(huán)境，實際測評對象并未減少，且網(wǎng)絡(luò)層面擴充為“安全通信網(wǎng)絡(luò)與安全區(qū)域邊界”，增加了安全管理中心的要求；二是新標(biāo)準(zhǔn)進一步要求加強問題分析以及滲透性驗證測試。三是新標(biāo)準(zhǔn)的測評結(jié)論由之前的“符合、基本符合、不符合”三項變?yōu)閮?yōu)（90 分）、良（80 分）、中（70分）、差（70 分以下）四項量化比較成績，匯總形成教育系統(tǒng)測評得分統(tǒng)計和分析，并通報給有關(guān)部門。

建立長效機制確保萬無一失

近期教育系統(tǒng)網(wǎng)絡(luò)安全重點工作是：

1.建立網(wǎng)絡(luò)安全責(zé)任制。切實加強黨對網(wǎng)信工作的領(lǐng)導(dǎo)；建立網(wǎng)絡(luò)安全工作考核機制，將網(wǎng)絡(luò)安全工作納入領(lǐng)導(dǎo)干部考核；建立網(wǎng)絡(luò)安全問責(zé)機制，確立了六條問責(zé)條款。

2.加快教育系統(tǒng)網(wǎng)絡(luò)安全標(biāo)準(zhǔn)規(guī)范研究與編制。研究制定數(shù)據(jù)安全相關(guān)管理辦法、關(guān)鍵信息基礎(chǔ)設(shè)施識別認定指南和網(wǎng)絡(luò)安全通報機制管理辦法等。

3.推進監(jiān)測通報機制建設(shè)。與教育科研網(wǎng)、高教學(xué)會信息化分會、國家有關(guān)職能部門、專業(yè)安全服機構(gòu)建立合作，建立網(wǎng)絡(luò)安全漏洞和威脅共享機制；更新教育系統(tǒng)網(wǎng)絡(luò)安全工作管理平臺，完善信息系統(tǒng)資產(chǎn)管理，實現(xiàn)網(wǎng)絡(luò)安全監(jiān)測預(yù)警通報自動化，提高教育系統(tǒng)整體安全防護聯(lián)動處置效率。

4.落實監(jiān)督檢查工作。一是推進網(wǎng)絡(luò)安全納入綜治考核，二是開展網(wǎng)絡(luò)安全現(xiàn)場檢查，三是加強網(wǎng)絡(luò)安全通報，四是對網(wǎng)絡(luò)安全涉事單位和責(zé)任人進行監(jiān)督問責(zé)。

5.加強網(wǎng)絡(luò)安全的宣傳教育、人才培養(yǎng)。盡快開展一流網(wǎng)絡(luò)安全學(xué)院建設(shè)、網(wǎng)絡(luò)安全一級學(xué)科設(shè)立，在網(wǎng)絡(luò)安全宣傳周期間讓網(wǎng)絡(luò)安全意識進校園、進教材、進頭腦。

6.部署落實上半年重要時期網(wǎng)絡(luò)安全保障工作。教育部印發(fā)《關(guān)于做好2019年上半年重要時期網(wǎng)絡(luò)安全保障工作的通知》，集中部署春節(jié)寒假、全國兩會、“一帶一路”國際合作峰會論壇、五一假期和高考期間等上半年的重要時期網(wǎng)絡(luò)安全保障工作，提出了加強網(wǎng)絡(luò)安全保障工作的組織部署、按需調(diào)整重要時期網(wǎng)絡(luò)防護策略、健全監(jiān)測預(yù)警通報機制、做好網(wǎng)絡(luò)安全應(yīng)急響應(yīng)工作、落實網(wǎng)絡(luò)安全“零報告”制度等工作要求。

7.開展教育APP 專項監(jiān)測工作。組織開展校園APP 專項調(diào)研，采取抽樣調(diào)查問卷和網(wǎng)絡(luò)爬蟲相結(jié)合的方式對各級各類學(xué)校和教育行政部門的APP 進行調(diào)研。在此基礎(chǔ)上，對教育行政部門和學(xué)校主管的298 個教育APP 進行網(wǎng)絡(luò)安全監(jiān)測。監(jiān)測共發(fā)現(xiàn)安全威脅3091 個。已將相關(guān)安全威脅通報至相關(guān)單位，并要求涉事單位進行限期整改。目前，相關(guān)安全威脅修復(fù)率已達60%以上。

對高校網(wǎng)絡(luò)安全工作的建議

1.加強學(xué)習(xí)，提升網(wǎng)信工作能力。首先是學(xué)習(xí)習(xí)近平總書記網(wǎng)絡(luò)強國戰(zhàn)略思想和關(guān)于網(wǎng)信工作的一系列重要論述，這是做好網(wǎng)信工作的首要政治任務(wù)和根本措施保障。其次是學(xué)習(xí)最新的網(wǎng)信理論知識和技術(shù)成果，與教育戰(zhàn)線需求相結(jié)合。再次是學(xué)習(xí)兄弟單位乃至其他國家的先進經(jīng)驗和成功做法。最后總結(jié)以往的工作經(jīng)驗和教訓(xùn)，自己向自己學(xué)習(xí)，這要成為網(wǎng)信工作的基本“算法”。

2.加強網(wǎng)絡(luò)安全責(zé)任制落實。按照相關(guān)要求和量化的考核評分辦法，落實網(wǎng)絡(luò)安全和信息化領(lǐng)導(dǎo)小組和網(wǎng)信辦的具體職責(zé)、任務(wù)。黨委（黨組）要定期研究部署網(wǎng)絡(luò)安全工作，分管負責(zé)同志至少每季度召開一次會議聽取網(wǎng)絡(luò)安全工作匯報，每年要制定網(wǎng)信領(lǐng)導(dǎo)小組年度工作要點或者網(wǎng)絡(luò)安全年度工作要點。

3.落實網(wǎng)絡(luò)安全等級保護制度。全面完成信息系統(tǒng)網(wǎng)絡(luò)安全等級保護定級備案，定期開展網(wǎng)絡(luò)安全等級測評（三級系統(tǒng)每年一次，二級系統(tǒng)每兩年一次）和安全整改。按照2.0標(biāo)準(zhǔn)，對照落實相關(guān)要求。

4.加強網(wǎng)絡(luò)安全教育培訓(xùn)。對于單位在職全體人員，要開展全面網(wǎng)絡(luò)安全意識培訓(xùn)，培訓(xùn)時間要滿足要求；對于單位信息化管理人員和技術(shù)人員，要開展網(wǎng)絡(luò)安全素養(yǎng)培訓(xùn)，培訓(xùn)時間要滿足相關(guān)要求；對于系統(tǒng)運維和安全技術(shù)人員，要組織參加專業(yè)技術(shù)培訓(xùn)，獲得相關(guān)資質(zhì)證書，全面提升網(wǎng)絡(luò)安全防范技能和水平。

5.提升數(shù)據(jù)安全防護能力。要做好數(shù)據(jù)治理，推進一數(shù)一源，制定本單位數(shù)據(jù)安全管理辦法，規(guī)范采集、傳輸、管理和使用。全面采用密碼技術(shù)，包括加密、簽名等，加強重要數(shù)據(jù)安全保障。

6.開展安全監(jiān)測和應(yīng)急演練。日常安全威脅監(jiān)測要通過配備工具或者購買服務(wù)的方式進行，對系統(tǒng)運行安全狀態(tài)進行實時監(jiān)測，能夠第一時間發(fā)現(xiàn)問題。落實《教育系統(tǒng)網(wǎng)絡(luò)安全應(yīng)急預(yù)案》要求，參照制定/修訂本單位的預(yù)案和具體信息系統(tǒng)的應(yīng)急預(yù)案，定期開展應(yīng)急演練。有條件的單位開展攻防實戰(zhàn)演習(xí)。

7.落實重要時期安全保障。首先要提高安全意識，加強統(tǒng)籌部署，安全工作是一項政治性很強的工作，關(guān)鍵時間節(jié)點要有不同的措施，確?！叭f無一失”。其次，優(yōu)化信息系統(tǒng)和網(wǎng)站服務(wù)，區(qū)分持續(xù)訪問、工作時間訪問、限制訪問、關(guān)停等策略。第三，落實“零報告”和7×24 小時值守制度。第四，做好監(jiān)測預(yù)警和應(yīng)急管理，發(fā)現(xiàn)問題馬上改，發(fā)生事件馬上報。