高职院校网络安全运营问题与对策分析*

尹俊艳

湖南中医药高等专科学校 湖南 株洲 412000

引言

随着互联网技术应用的飞速发展，在教育部印发的《教育信息化2.0行动计划》的推动下，高等院校信息化程度得到极大的提高，特别是在移动互联网、云计算、大数据、人工智能、5G网络等新技术的驱动下，高等院校师生的教育教学、管理、科研教学以及生活对网络及信息系统的依赖程度日益提升[1]。保障网络和信息系统可靠运行的安全防御工作已经变得不可或缺。切实保障好支撑网络空间良好运行的网络系统和信息资产，构建基础结构安全的静态防御机制以及积极主动的动态防御机制相结合的综合防御能力体系对高等院校网络安全运营具有重大意义。

1 网络安全形势

1.1 安全风险引发的安全事件频发

随着高校信息化的快速发展，教育信息安全问题如影随形。针对教育的勒索、挖矿、数据泄露等信息安全事件层出不穷。例如某职业技术学院招生信息管理系统存在越权漏洞，后台登录密码弱口令，致使系统存储的4353名学生的身份信息泄露；高校业务服务器被植入挖矿木马，自动执行挖矿程序，挖取门罗币，导致电服务器CPU 占用达 100%，运行严重卡慢，影响业务正常运行，给学校正常工作和生活秩序造成重大风险隐患。

1.2 加强安全合规监管要求

自2017年6月1日《中华人民共和国网络安全法》正式实施之后，网络安全上升到国家战略，同时习主席在国家安全工作座谈会中明确提出“加强网络安全预警监测，确保大数据安全，实现全天候全方位感知和有效防护”[2]。除此之外，在教育部印发的《教育信息化2.0行动计划》通知中明确要求：组织主要负责人为网络安全工作的第一负责人，建立网络安全和信息化统筹协调的领导体制；建立网络安全监督考核机制；全面落实网络安全等级保护制度，深入开展网络安全监测预警，提高网络安全态势感知水平。在教育部办公厅印发的《2020年教育信息化和网络安全工作要点》通知中也提到：深入贯彻落实《网络安全法》，持续推进网络安全监测预警通报机制[3]。

当前网络安全形势不容乐观，网络安全法律法规在不断完善，网络安全监管力度在不断加强。高职高校着力建设智慧校园，为学科发展、教学科研和师生生活提供更好的环境和服务的同时，也将“健全网络安全保障体系”作为高校数字化建设中的一项重要任务。

2 高职院校网络安全现状

2.1 网络安全意识有待提高

因信息的固有属性即数字特性原因，尽管国家网络安全管理部门大力宣传网络安全，但从高校普通用户的视角看，很难切身体会到网络安全的重要性[4]。其次很多用户对网络安全相关法律法规条例了解不多，存在“网络安全跟自己无关”的侥幸认知，导致网络安全相关工作的积极性以及配合度较低。

2.2 网络安全管理制度不健全

在各高校全面推进信息化建设过程中，信息化资产频繁地上线、下线、变更已成为常态，信息化资产的归属也各不相同，由于缺乏明确的制度以规范建设过程，很难建立网络资产的台账[6]。其次，高职院校网络安全管理部门更多的是根据上级网络安全管理部门提出的整改要求，应急性地补充管理制度，缺乏系统、全面的制度梳理，因而存在制度织网不严、不实、流于形式的现象。

2.3 常态化运营及应急响应的操作规程缺乏

其一，高校业务系统多，存在分散建设、各部门自行建设等现象，缺乏信息系统建设的需求、设计、开发、测试阶段网络安全检测，导致大量系统“带病上线”，为以后的网络安全问题埋下隐患。

其次，有些高校管理制度虽多，依然存在有些操作性不强，日常运营的操作规程缺乏等现象，难以应对复杂多变网络安全问题。

第三，存在对网络安全应急响应的理解不全面，未制定的应急响应预案，未开展应急演练，以验证预案有效性，导致安全事件发生到事件闭环存在一定的滞后性[7]。

2.4 网络安全技术力量严重不足

高职院校网络安全部门由于成立较晚，技术员的角色更像是电脑维修工，对网络安全缺乏专门技能。其次，负责网络安全与信息化工作的部门人手短缺，有网络安全知识背景的更是凤毛麟角。学校采购的安全设备，依托现有人员对安全设备的运维能力无法发挥安全设备的防护效果，即便是依靠安全设备发现了安全事件，没有技术实力处置网络安全事件，更缺乏主动的风险管控措施。

3 基于问题的对策分析

3.1 增强网络安全意识

“没有网络安全就没有国家安全”，在国家高度重视网络安全的大环境下，运用各种渠道积极地宣传《中华人民共和国网络安全法》、网络安全基本知识，充分利用各种网络安全事件案例，以师生喜闻乐见的载体“以案释法”，组织全员网络安全知识竞赛，提升广大的师生网络安全意识，自觉净化网络环境，维护网络安全，维护国家安全[8]。

3.2 建立网络安全体制机制及管理制度

全面梳理校内的业务系统、中间件、数据库、虚拟机、服务器、网络设备、IP、移动端等资产，根据网络安全优先顺序，在兼顾校情的基础上，适当添置网络安全设备[9]。其次，根据不同信息资产等级，构建分级分类的网络安全防护机制。建立目标明确、责任清晰的网络安全责任制；建立包含漏洞发现，漏洞分析、修复优先级判断、漏洞整改、漏洞复测的漏洞全生命周期的管理机制。完善安全策略，实现网络安全边界防护可防可控，

3.3 常态化运营及应急响应的操作规程缺乏

全面梳理不同时期、不同阶段的信息化建设项目，形成信息资产清单。规范日常运营操作规范，构建信息资产及安全事件等级矩阵，对不同的资产类别及安全事件等级赋予不同的操作规程，将管理制度逐一转换成网格化的核查单。强化应对外部网络安全威胁事件应急处置的能力，制定应急响应预案，定期开展应急演练工作来验证预案流程的有效性。组建专业应急响应团队，避免安全事件发生到事件闭环的滞后性。

3.4 提升能力，加强校企合作[10]

加强技术队伍的培训培养，充分利用网络安全设备厂商的技术优势，采用院校选送培养、师徒跟班制培养、专家来校讲座等多种校企合作模式，全面提升现有技术人员的专业技术水平。其次，增强网路安全技术人员的使命感和责任担当精神，积极吸纳有行业经验的技术员来校工作。第三，充分借助网络安全设备厂商的技术力量，可以有效地保障在关键节点、重点防护期网络安全。

卡类型的编码，0：社保卡；1：医保卡；2：全市统一自费就诊卡；3：医院自费卡；4：区内统一自费就诊卡；5：新农合卡；6：居民健康卡；9：其他卡。对于市管干部、在编军人，这里的卡号、卡类型请填写“TS”

4 构建基于“人机共智”的网络安全运营防护体系

职业院校加强网络安全运营中心建设，创新网络安全运营服务模式，通过安全组件、安全平台、安全专家，构建“人机共智”的云地协同、集“预防、监测、处置、溯源、加固”一体化的深度运营防护体系（如表1所示）。

表1 安全运营体系构架表

安全组件：通过在学校网络环境中部署防火墙、态势感知平台及终端安全监测响应平台等专业安全组件，进行必要的安全日志及告警信息收集。

安全平台：将安全组件对接到专业的云端安全运营中心统一聚合安全事件，实现网络安全设备安全流量与日志的统一汇聚、检测与分析，集中安全告警。

安全专家：借助安全服务的形式构建起一支内外部协同的专家队伍，扩展已有的安全能力，实现高阶安全能力的持续供给。在专家指导下建立各类安全处置工作的标准化流程步骤和应对措施[11]。

除此之外，还需赋能学校以下安全能力对以上体系进行补充。

信息系统安全检测：针对校内新业务系统，在业务系统上线前进行安全检测，防止业务系统“带病上线”。定期对校内的信息系统开展渗透测试工作，模拟APT组织对业务开展攻击演练，降低因漏洞造成的网络安全、数据泄露等事件的危害。

网络安全培训教育：结合网络安全宣传周和教育部要求，积极开展技术培训和针对全校教职员工和学生的网络安全意识教育。

常态化网络安全攻防演练：积极参与由地方网络安全监管单位组织的攻防演练以及应急演练，通过实战演练检验并提高学校的网络安全防护能力。

5 结束语

在国内外网络安全新态势下，高职院校作为高校师生学习、工作生活的主场所，数据要素的密集产地，应持续高度关注网络空间安全。高职院校采用有效的方式全面提升师生的网络安全意识，以网络安全设备组件为基础，结合人机态势感知耦合机制，采用“人机共智”的工作模式，搭建新型安全运营体系。通过“人机共智”的方式，实现智慧校园网络安全运营全程动态监测、实时感知、主动防御。同时，以必要的制度为保障，以部门之间的高效协同，建立统一的网络安全协同运营机制，从而保证网络安全运营的时效性和高效性。