如何保证高校数据安全？

文/吴海燕

数据是信息系统的核心，亦是攻防双方争夺的焦点。今年5月，美国多所大学遭黑客入侵，部分数据泄露，泄露的数据包含了用户名、地址和电子邮件等个人信息，更将高校的数据安全问题暴露于公众面前。

高校数据安全挑战

高校的数据包括管理信息系统数据、科研数据等，这些数据具有很高的价值，面临来自多方面的安全挑战。

黑客攻击的挑战

高校校园一直是黑客钟情的一个领域，蠕虫病毒就在1988年于美国康奈尔大学萌生，之后高校的信息安全经历了主机安全、网络安全、应用安全三个发展阶段，目前攻防双方都已经逐渐明确目标，将数据作为攻击和防护的核心。数据是有价值的，在国外地下黑市，一条信用卡数据价值0.85到30美元不等，在中国，从事地下黑色产业链的人数接近10万，数据对于黑客的诱惑力亦不容小觑。高校蕴含着丰富的数据，既包括学校的管理业务数据，更包括大量珍贵的科研数据，这对于黑客来说，不异于一所所金矿，必将受到黑客的追逐。

法律合规的挑战

随着互联网在各个领域的发展和渗透，我国增强了对数据的立法保护。从国家宏观层面上看，国家关于信息保护的标准和法律法规逐步增加，2007年国家出台了信息系统等级保护的系列政策法规和技术管理标准。继加强信息系统数据监管动作后，2012年底以来，国家关于个人信息保护的法规和标准陆续出台，2013年工业和信息化部发布了《电信和互联网用户个人信息保护规定》（中华人民共和国工业和信息化部令第24号），2013年2月我国首个个人信息保护标准《信息安全技术公共及商用服务信息系统个人信息保护指南》正式实施。这一系列措施的出台是高校在开展数据安全相关工作时必须遵循的合规要求。如何满足这些法规标准的合规要求，也是对高校的一项挑战。

师生安全需求的挑战

随着师生信息素养的提高，高校师生的信息安全意识正在迅速觉醒，他们对于数据的保护将不断提出新的要求。如果不通过这方面的工作，增强师生的信赖度，使其能够理解和支持相关工作，也是高校在数据安全方面需要应对的一项挑战。

美国高校的实践

美国是世界上关于信息保护立法的领先国家，对于数据的合规性保护也是美国高校在数据安全方面面临的主要挑战。

组织机构设置

随着对信息安全的重视程度日益提高，美国许多高校中都成立了专门的信息安全管理部门。由于关注重点、管理范围和组成方式的不同，各个高校对管理部门的命名上存在不同，但一般都包括“Information”、“Security”两个关键词，有些高校还将“Privacy”、“Technology”涵盖进了部门名称中。表明了其对数据安全保护的重视。例如，伯克利大学设立了信息安全和隐私委员会（Information Security and Privacy Committee，CISPC）。

数据分级保护策略

数据分级保护策略是美国高校的核心信息安全策略，在很多高校的网站上，都在最醒目的位置显示了其数据分级保护策略，主要包括数据的分类和分级。根据数据的重要性进行分类和分级，根据等级的不同制定适当的规则，既要确保数据的正常使用，又要避免资源的浪费。比如对于保密数据、银行账号等信息要采取最高的保护措施，而对于一些联系方式、电话等信息只限制在校内访问，禁止对外传播。构建一个集中的管理系统，对重要的数据进行统一的保护。这样既可以减少安全隐患，又能够对接触数据的人进行有效的监督，还避免了分别构建保密环境的成本。

数据安全热点领域

EDUCAUSE是一个在世界范围内居于领导地位的高等教育信息化专业组织，策略与安全（Policy and Security）是其关注的三个重点领域之一，从其关注的这点我们可对美国高校在数据安全方面的热点领域窥视一斑。其关注的“Hot Topics”包括：云数据存储安全解决方案（Cloud Data Storage Solutions）、全盘加密（Full Disk Encryption）、云计算安全（Cloud Computing Security）等。

对策

数据安全是高校信息安全体系的重要组成部分和核心目标之一。数据安全并非单一技术或者管理措施即可解决的复杂问题，需通过整体的信息安全保障体系的设计与实施，综合考虑技术和管理各方面的措施。限于篇幅，本文只对目前比较成熟、且在清华大学已经有应用效果的数据安全技术进行简要介绍。

建立数据分级防护策略

数据分析防护策略是核心的数据安全策略。建议根据数据的保密性、完整性等安全属性，根据相关法律法规要求，根据数据对于学校的重要程度，对数据进行安全级别划分，使数据能够得到适当的安全防护。建立数据分级策略需要考虑如下几个方面的问题：

数据的分级原则。可根据数据在保密性、完整性、可用性方面的需求进行安全级别划分，借鉴国外高校及国内其他行业的数据分级策略，考虑到可操作性，建议高校数据分为三个或四个安全级别，如可划分为公开数据、一般业务数据、内部敏感数据、个人数据四个安全级别。

数据管理与操作的各个角色设置。建立数据管理角色，包括数据的拥有者、管理着、使用者三个角色，明确各角色对于数据的安全责任和操作权限。

各级别数据的防护措施等方面的内容。对于不同级别的数据，还要明确其在数据访问控制、存储、传输、备份、审计等方面的要求。

严格数据的访问控制

数据是信息系统的核心，对于数据的访问可能来自于多个途径，可能通过服务器直接访问、连接数据库访问，或是通过Web应用系统进行访问，通过Web应用访问是目前最为主流的访问方式。严格实现各个层面的访问控制措施，是保护数据的有效屏障，包括通过防火墙实现网络访问控制、通过主机安全加固强化主机访问控制、通过数据库加固限制数据库访问控制，通过Web应用的安全设计与开发防止黑客通过Web应用漏洞获取敏感数据。特别要强调的是，根据CNCERT的报告和其他国内外相关结构的研究报告，目前通过Web应用程序的安全漏洞获取敏感数据是最为常见的数据泄露途径。需要通过安全需求分析、安全架构设计、安全编码、安全运维来提升Web应用的安全性。

数据是信息系统的核心，亦是攻防双方争夺的焦点。

探索尝试数据加密与一致性校验技术

以散列的方式加密存储口令类不需要解密的数据是较成熟的解决方案，但对于敏感数据（如科研经费等数据）的可逆加密目前则尚无成熟的解决方案，国内外高校都在探索中。

我们对于数据的一致性校验技术进行了一些探索性的应用。招生数据是高校的内部敏感级别数据，对于招生数据的最大的安全威胁是受到非法篡改，招生数据的最主要安全需求是保持数据的完整性。在实际工作中，我们采用PKI相关的技术实现了对招生数据的数字签名和定时验签，有效地提升了招生数据的完整性。

实施数据库审计

安全审计是通过测试信息系统对一套确定标准的符合程度来评估其安全性的系统方法。安全审计根据一定的安全策略记录和分析历史操作事件及数据，发现能够改进系统性能和安全的地方。对数据库操作进行审计的关键在于审计策略的设定，审计策略设得宽泛会导致审计数据过多，而审计策略设得过为严格则会造成审计数据不全，需要进行适当的平衡。实际工作中，我们采用了记录数据增、删、改的审计策略，基本满足了审计需求。

可以预见，高校在未来几年将面对日益严峻的安全形势，对于数据的安全保护将是高校要面临的主要信息安全挑战。