陳圣楠

高校信息化水平的快速發(fā)展伴隨著網(wǎng)絡(luò)安全體系的巨大變化，潛在的網(wǎng)絡(luò)安全威脅層出不窮。本文從技術(shù)和管理的角度分析了當(dāng)前高校存在的主要問(wèn)題，然探究了在等保2.0下如何構(gòu)建一個(gè)更加完善的安全防護(hù)體系，為高校信息化建設(shè)提供參考。

一、引言

隨著信息技術(shù)和網(wǎng)絡(luò)技術(shù)的快速發(fā)展，高校信息化建設(shè)發(fā)展迅猛。層出不窮的應(yīng)用信息系統(tǒng)和網(wǎng)絡(luò)產(chǎn)品進(jìn)入到高校的方方面面。在加強(qiáng)高校管理水平，提升教學(xué)質(zhì)量，促進(jìn)信息交流和共享的同時(shí)，這些技術(shù)也帶來(lái)了各種各樣的網(wǎng)絡(luò)安全問(wèn)題。這些問(wèn)題時(shí)刻威脅著公民和組織，甚至國(guó)家的權(quán)益。高校如何做好全面的網(wǎng)絡(luò)安全防護(hù)，確保重要數(shù)據(jù)安全和業(yè)務(wù)信息系統(tǒng)的穩(wěn)定運(yùn)行，成為了人們關(guān)注的焦點(diǎn)。

國(guó)家公安部于2019年發(fā)布的《信息安全技術(shù) 網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》等3項(xiàng)標(biāo)準(zhǔn)，構(gòu)成了等保2.0。等保2.0在以資產(chǎn)防護(hù)為主的等保1.0基礎(chǔ)上，結(jié)合目前網(wǎng)絡(luò)信息技術(shù)的新發(fā)展，將云計(jì)算、物聯(lián)網(wǎng)、移動(dòng)互聯(lián)網(wǎng)和工業(yè)控制體系納入保護(hù)范疇，將網(wǎng)絡(luò)安全提升到了一個(gè)新的高度。

二、高校網(wǎng)絡(luò)安全問(wèn)題現(xiàn)狀分析

目前，高校面臨的網(wǎng)絡(luò)安全形勢(shì)嚴(yán)峻，很多問(wèn)題仍然亟待解決。這些問(wèn)題可以分為技術(shù)和管理兩個(gè)方面。

（一） 技術(shù)方面

1. 系統(tǒng)漏洞威脅

網(wǎng)絡(luò)安全的一個(gè)重要影響因素就是漏洞。由于計(jì)算機(jī)硬件、軟件、協(xié)議缺陷或者設(shè)計(jì)者的疏漏，使系統(tǒng)可以在未經(jīng)授權(quán)的情況下被訪問(wèn)、甚至非法獲得某些信息。雖然人們?cè)絹?lái)越重視網(wǎng)絡(luò)安全，但仍有許多問(wèn)題出現(xiàn)，難以解決。例如緩沖區(qū)溢出、驗(yàn)證碼漏洞、身份盜用等。如果不使用漏洞掃描工具，不及時(shí)更新系統(tǒng)補(bǔ)丁，就會(huì)使這些漏洞長(zhǎng)期存在，成為潛在威脅，給網(wǎng)絡(luò)黑客提供了入侵的機(jī)會(huì)。一旦入侵，就會(huì)導(dǎo)致數(shù)據(jù)的丟失、篡改，影響廣大師生的利益。

2. 病毒感染和木馬傳播

網(wǎng)絡(luò)病毒和木馬是另一個(gè)重要影響因素。病毒和木馬通常通過(guò)在正常程序中植入惡意代碼，破壞、刪除用戶電腦中的文件。被感染的電腦可以通過(guò)局域網(wǎng)等其他方式向外繼續(xù)傳播病毒。由于隱蔽性強(qiáng)，不容易馬上被人發(fā)現(xiàn)，造成的破壞力和影響力難以估量。如果不經(jīng)常對(duì)電腦進(jìn)行殺毒，師生很可能在上網(wǎng)時(shí)無(wú)意點(diǎn)擊某個(gè)木馬程序，就被竊取了重要信息或者造成電腦癱瘓。

3. 網(wǎng)絡(luò)垃圾廣告與郵件

網(wǎng)絡(luò)垃圾廣告與郵件是一類新的問(wèn)題，不容忽視。一些人通過(guò)網(wǎng)絡(luò)肆意散播網(wǎng)絡(luò)垃圾廣告和騷擾郵件，傳播不良信息。這些網(wǎng)絡(luò)垃圾不僅影響師生身心健康，還占用高校的網(wǎng)絡(luò)帶寬資源，造成浪費(fèi)。此外，垃圾郵件中夾雜病毒和木馬，嚴(yán)重破壞計(jì)算機(jī)網(wǎng)絡(luò)安全，使網(wǎng)絡(luò)運(yùn)營(yíng)和維護(hù)受到極大的威脅。雖然不少高校都配備網(wǎng)絡(luò)流量監(jiān)測(cè)與審計(jì)設(shè)備，但由于欠缺有效的管理，使網(wǎng)絡(luò)垃圾廣告與郵件傳播更為迅速，嚴(yán)重時(shí)甚至?xí)?dǎo)致高校網(wǎng)絡(luò)癱瘓的情況。

（二）管理方面

1. 用戶群體龐大，網(wǎng)絡(luò)安全意識(shí)薄弱

高校網(wǎng)絡(luò)中心不僅需要為全校師生提供全天候的網(wǎng)絡(luò)服務(wù)，還需要為許多訪客提供臨時(shí)服務(wù)。用戶群體龐大，且對(duì)網(wǎng)絡(luò)安全知識(shí)的了解程度參差不齊。大多數(shù)人對(duì)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)關(guān)注不多，安全意識(shí)薄弱，對(duì)非法網(wǎng)站、惡意軟件和不良信息的辨別能力有限，導(dǎo)致個(gè)人信息被竊取、網(wǎng)絡(luò)詐騙時(shí)有發(fā)生。更重要的是，大多數(shù)高校雖然一再?gòu)?qiáng)調(diào)師生注意上網(wǎng)安全，但仍缺乏完善的培訓(xùn)計(jì)劃和必要的資金預(yù)算投入，使人們無(wú)法進(jìn)一步提高網(wǎng)絡(luò)安全認(rèn)識(shí)，掌握必要技能。

2. 技術(shù)人員稀缺，人才培養(yǎng)體系不完善

網(wǎng)絡(luò)安全需要專業(yè)的安全運(yùn)維人員來(lái)操作，但是大多數(shù)高校仍缺少專業(yè)的技術(shù)團(tuán)隊(duì)對(duì)校園網(wǎng)絡(luò)安全進(jìn)行分析。一方面是因?yàn)樵诼毴藛T的繼續(xù)教育條件不夠完善，導(dǎo)致他們普遍缺乏先進(jìn)設(shè)備的管理技術(shù)和經(jīng)驗(yàn)。另一方面，高校數(shù)據(jù)中心缺少“新鮮血液”，人才培養(yǎng)的方式相對(duì)滯后。大多數(shù)高校缺乏實(shí)踐型教師團(tuán)隊(duì)和網(wǎng)絡(luò)安全實(shí)踐環(huán)境，導(dǎo)致畢業(yè)生“重理論，輕實(shí)踐”，難以適應(yīng)復(fù)雜多變的網(wǎng)絡(luò)環(huán)境。

3. 管理制度缺失，崗位職責(zé)不明晰

雖然高校大都制定了網(wǎng)絡(luò)安全管理制度，但是這些制度常常跟不上技術(shù)發(fā)展或校園建設(shè)，制定年代久遠(yuǎn)，在實(shí)際工作中難以貫徹執(zhí)行。而且，多數(shù)二級(jí)單位的信息管理員都是身兼數(shù)職，缺乏必要的網(wǎng)絡(luò)安全知識(shí)。且這些人員調(diào)動(dòng)頻繁，不利于網(wǎng)絡(luò)安全工作的整體推進(jìn)。此外，大部分高校或欠缺應(yīng)急演練方案，或欠缺實(shí)戰(zhàn)演習(xí)。在處理網(wǎng)絡(luò)安全突發(fā)應(yīng)急事件時(shí)，常常出現(xiàn)反應(yīng)滯后，方法不得當(dāng)?shù)惹闆r。

三、針對(duì)等保2.0的高校網(wǎng)絡(luò)安全防護(hù)措施

相對(duì)于過(guò)去的等保體系思路，等保2.0更加成熟、穩(wěn)健。它將被動(dòng)的防御審計(jì)方式轉(zhuǎn)變?yōu)橹鲃?dòng)的安全監(jiān)測(cè)、動(dòng)態(tài)響應(yīng)。積極落實(shí)等保2.0，不僅是為了執(zhí)行國(guó)家法律法規(guī)，而且是為了充分發(fā)揮網(wǎng)絡(luò)的綜合安全防護(hù)能力，切實(shí)保護(hù)高校的網(wǎng)絡(luò)、業(yè)務(wù)和數(shù)據(jù)的安全性。因此，高校應(yīng)重新審視自身需求，必須采取一系列新技術(shù)、新理念更好的進(jìn)行網(wǎng)絡(luò)安全防護(hù)。

（一） 合理部署網(wǎng)絡(luò)安全設(shè)備

網(wǎng)絡(luò)安全設(shè)備是校園網(wǎng)絡(luò)安全運(yùn)行的基礎(chǔ)。目前，大部分高校都采購(gòu)并部署了一些網(wǎng)絡(luò)安全管理工具，但是并不是所有的網(wǎng)絡(luò)安全工具都被有效使用，因此需要重新整合網(wǎng)絡(luò)安全設(shè)備。首先要梳理現(xiàn)有設(shè)備情況，明確這些設(shè)備的特點(diǎn)和優(yōu)勢(shì)。做到合理地、有效地使用。制定安全策略時(shí)，要細(xì)致入微，盡可能將安全隱患較大的端口阻斷在底層，實(shí)現(xiàn)校內(nèi)上網(wǎng)行為可防可控。然后，適當(dāng)添加新設(shè)備，引入新技術(shù)和新理念，例如，大數(shù)據(jù)和人工智能等，強(qiáng)化安全設(shè)備對(duì)日志、流量以及安全事件的監(jiān)控，提高整體分析、管理能力。但是，并不是越多的網(wǎng)絡(luò)安全工具就意味著校園網(wǎng)絡(luò)越安全。隨著網(wǎng)絡(luò)安全工具的增加，工具之間數(shù)據(jù)可能無(wú)法對(duì)接，管理難度上升。

（二） 建立日常巡檢規(guī)范

日常巡檢是校園網(wǎng)絡(luò)安全運(yùn)行的關(guān)鍵步驟。雖然大部分高校都重視日常巡檢，但是在規(guī)范上卻有所欠缺。建立日常巡檢規(guī)范，可使網(wǎng)絡(luò)安全設(shè)備的使用有章可循。例如，建立漏洞管理流程，發(fā)現(xiàn)安全漏洞時(shí)，需要撰寫《漏洞整改通知》。然后下發(fā)到相應(yīng)部門進(jìn)行整改，督促并落實(shí)整改情況。在日常工作中，還需要根據(jù)學(xué)校安全態(tài)勢(shì)進(jìn)行研判，撰寫《安全記錄報(bào)告》并通報(bào)全校。這些都可以納入日常巡檢規(guī)范中，從而使校園網(wǎng)絡(luò)安全管理更加高效、有序。

（三）完善網(wǎng)絡(luò)管理制度

網(wǎng)絡(luò)管理制度是校園網(wǎng)絡(luò)安全運(yùn)行的另一個(gè)重要保障。高校需要結(jié)合自身情況，制定一套完善的管理制度，落實(shí)責(zé)任制，提升全體師生的安全意識(shí)，進(jìn)而提高高校計(jì)算機(jī)網(wǎng)絡(luò)的安全情況。例如，管理人員做好機(jī)房出入記錄，對(duì)進(jìn)入機(jī)房的人員身份，進(jìn)入時(shí)間進(jìn)行登記核驗(yàn)。師生保管好上網(wǎng)密碼，以免信息泄露。此外，定期進(jìn)行網(wǎng)絡(luò)安全應(yīng)急演練，提升管理人員的應(yīng)變能力，強(qiáng)化網(wǎng)絡(luò)安全意識(shí)。

（四）組織網(wǎng)絡(luò)安全培訓(xùn)

面向全校教職員工和學(xué)生定期組織網(wǎng)絡(luò)安全培訓(xùn)也是必不可少的一個(gè)環(huán)節(jié)，首先，需要制定每學(xué)年的培訓(xùn)計(jì)劃并確定培訓(xùn)對(duì)象。培訓(xùn)對(duì)象應(yīng)盡可能的覆蓋到各個(gè)層次。然后，將培訓(xùn)分為“線上+線下”結(jié)合的方式展開，盡可能的使形式和內(nèi)容多樣化?？梢杂尚?nèi)的教授專家、校外企業(yè)的技術(shù)骨干舉行講座。最后，定期考核網(wǎng)絡(luò)安全知識(shí)，檢驗(yàn)網(wǎng)絡(luò)安全學(xué)習(xí)成果。只有不斷的學(xué)習(xí)宣傳，使師生認(rèn)清網(wǎng)絡(luò)中各種潛在威脅。

四、結(jié)束語(yǔ)

等保2.0是高校網(wǎng)絡(luò)安全體系的一塊試金石。面對(duì)日益嚴(yán)峻的安全形勢(shì)，高校需要建設(shè)完善的網(wǎng)絡(luò)安全體系。本文從技術(shù)和管理角度分析了當(dāng)前高校網(wǎng)絡(luò)安全存在的主要問(wèn)題，并給出了一系列措施進(jìn)行改進(jìn)，為全面提升高校網(wǎng)絡(luò)安全能力提供了參考。

作者單位：福建師范大學(xué)網(wǎng)絡(luò)與數(shù)據(jù)中心