大数据时代高校大学生信息保护的重要性及措施研究

马丽梅

（河北师范大学 计算机与网路空间安全学院，河北 石家庄 050024）

近年来，各省发生了多起高校学生隐私信息泄漏事件，导致学生姓名、学号、身份证号码、出生年月甚至银行卡账号等被人通过校园网络盗取。高校管理人员如何防范高校学生隐私信息被盗取、保证学生的信息安全问题是亟待解决的问题，高校学生的隐私信息安全保护刻不容缓[1]。

1 高校学生隐私信息的分类和特征

高校学生的个人隐私信息主要包括两类：（1）常用信息隐私，包括姓名、学号、年龄、班级、家庭住址、身份证号、父母姓名、一卡通消费信息、考试成绩、考勤、性格、健康、日常表现等过程类、学习类、生活类信息，也包括疾病史、过敏史等身体隐私。（2）网络隐私，包括微信、微博、邮件、电话、QQ、空间隐私、网络信息类。

高校学生隐私有两个重要特征[2]：（1）涵盖内容丰富，在信息时代，数据是财富，对于个人而言，个人信息、个人数据在一定意义上也是个人资产。高校学生的信息不同于其他类别人的信息，就高校学生这个特殊群体来说，除了和其他类别人物相同的信息以外，还包括学生的成绩、奖惩情况、个人身心情况、一卡通消费记录、校园网访问记录等，显然也属于个人物隐私信息，不宜公开发布或不做限制的浏览。（2）隐形特征显著，通过跨学科、线上线下的信息积累、关联和大数据算法及模型，学生的学习习惯、学习能力、兴趣爱好、性格特点、消费能力和偏好等深层个人特征被推算出来。

2 高校学生隐私信息存在的安全风险

在错综复杂的互联网时代，高校学生隐私信息的安全风险不仅是高校自身的问题，也包括学生自己和第三方对信息保护的疏忽大意，主要体现在以下3个方面：

（1）学校业务过程中的信息泄露，包括新生入学、学生入党、学生体检、获奖公示等业务环节会进行纸质信息统计，而对纸质信息的随意处理则会导致信息泄露。

（2）学校业务系统的信息泄露，包括学校的教学、学工等业务系统由于自身漏洞或遭受黑客攻击等造成信息泄露。

（3）各种APP注册造成的信息泄露，包括APP运营商以“免费礼品”为诱饵，让学生注册并填写信息，后期可能向其他商户变卖或分享来获利，造成学生信息泄露。

3 基于WinRoute Firewall的防火墙过滤规则

大部分学生的信息都是被别有用心的人通过校园网盗取的，在技术上，应部署防火墙、认证系统、堡垒机，对访问进行筛选，阻断异常的访问和查询，防止重要信息被泄露、篡改或者删除，用WinRoute Firewall创建包过滤规则：禁止使用ping命令、FTP访问、HTTP访问[3]。

（1）禁止使用ping命令，防止学校内网的Web服务器被外网的计算机使用“Ping”指令探测。因为Ping命令使用的的协议是ICMP，在protocol选择“ICMP”协议，在“CMP Type”中，将复选框全部选中。在“Action”栏目中，选择“Drop”。在“Log Packet”中，选择“Log into Window”，创建完毕后点击按钮“OK”，禁止使用ping命令规则就创建完毕示。设置完毕，客户机对学校的Web服务器使用“Ping”指令时，学校的服务器就不再响应外界的Ping指令了。虽然学校的服务器没有响应，但是已经将事件记录系统的到安全日志里。选择“View”下的“Logs>Security Logs”可查看日志纪录。

（2）用WinRoute禁用HTTP访问。当在日志中发现IP地址10.10.2.2，或者通过 namp扫描，发现IP地址10.10.2.2有恶意访问学校服务器202.206.100.3的嫌疑时，就可以在WinRoute中设置禁用HTTP访问。设置规则：动作为禁止，恶意IP为10.10.2.2，服务器的IP为202.206.100.3，源端口为全部，目的端口为80，协议类型为TCP。当浏览服务器的网页时，将遭到拒绝，不能打开202.206.100.3页面。

（3）用Win Route禁用FTP访问。FTP是文件的下载服务，黑客扫描发现学生的信息后，使用FTP下载。可以设置Win Route禁用FTP访问，设置规则：动作为禁止，源IP为全部，目的IP为202.206.100.3，源端口为全部，目的端口为21，协议类型为TCP。设置访问规则以后，再访问服务器202.206.100.3的FTP服务，将遭到拒绝，访问违反了访问规则，会在主机的安全日志中记录下来。

通过部署漏洞扫描、入侵检测等系统来检测系统漏洞，发现攻击，阻断信息泄露的通道。

4 学校的管理措施

积极做好安全等保工作，对学校应用系统及数据进行等保备案。制定并切实履行信息审核发布机制，“谁发布、谁负责”。从机制上要求各部门承担起应有的责任，引起足够重视。建立“读网巡查”检测机制，确保“早发现、早下架”。鉴于各部门的网络安全意识及技术手段参差不齐，信息中心应建立“读网巡查”机制，及时查漏补缺[4]。

校企合作共建信息化是提升高校信息化建设水平的重要途径，针对校企合作中第三方对学生信息数据的采集及应用，第三方采集的信息必须是通过学校的数据共享平台或数据仓库来进行传递，不允许第三方企业或平台直接从业务系统或线下采集信息，以保障学校对被采集信息的可管、可控。

不断完善相应规章制度，在《网络安全法》实施之后，学校制定了相应规章制度，对与学校合作的第三方企业，在购置平台、系统软件时签订网络信息安全协议，对学校业务部门相关信息人员队伍签订数据保密协议。在第三方企业、平台信息采集及应用方面，校方通过和第三方企业、平台签订信息安全及保密协议，从保密义务和安全管理上对第三方企业、平台进行约束。在技术层面上，通过数据分级保护制度、基于访问控制的隐私保护、匿名化处理、信息加密等手段进行严格控制。

5 高校学生隐私保护体系的建立

应从国家层面开始，从机制、人员和设备着手，自上而下地建立一个一体化高校信息安全体系，覆盖全校的数据安全，而不仅是局限于学生隐私保护。

（1）制定数据/信息保护的相关法律法规，如英国于2017年、欧盟于2018年都颁布了严格的数据保护法案。在高校应常态化地开展信息安全教育和信息安全评估，设立相关数据保护机构并明确其职责。

（2）加强法律法规的落地实施。目前，我国已经出台一系列涉及学生隐私保护的法律法规，包括总揽网络信息安全的《网络安全法》、针对高等教育的基本法《高等教育法》，但问题在于相关条款内容都是原则性要求，可操作性不强。

（3）强化教育科技公司的责任。国内教育科技公司，尤其是目前位列第一梯队的教育数据公司，应严格按照有关法律法规，在充分保障、尊重学生对隐私信息的知情权和控制权的基础上，开展相应的教育数据的采集、传输、存储、利用和分享。