如何保證高校數(shù)據(jù)安全？

文/吳海燕

數(shù)據(jù)是信息系統(tǒng)的核心，亦是攻防雙方爭奪的焦點。今年5月，美國多所大學遭黑客入侵，部分數(shù)據(jù)泄露，泄露的數(shù)據(jù)包含了用戶名、地址和電子郵件等個人信息，更將高校的數(shù)據(jù)安全問題暴露于公眾面前。

高校數(shù)據(jù)安全挑戰(zhàn)

高校的數(shù)據(jù)包括管理信息系統(tǒng)數(shù)據(jù)、科研數(shù)據(jù)等，這些數(shù)據(jù)具有很高的價值，面臨來自多方面的安全挑戰(zhàn)。

黑客攻擊的挑戰(zhàn)

高校校園一直是黑客鐘情的一個領(lǐng)域，蠕蟲病毒就在1988年于美國康奈爾大學萌生，之后高校的信息安全經(jīng)歷了主機安全、網(wǎng)絡安全、應用安全三個發(fā)展階段，目前攻防雙方都已經(jīng)逐漸明確目標，將數(shù)據(jù)作為攻擊和防護的核心。數(shù)據(jù)是有價值的，在國外地下黑市，一條信用卡數(shù)據(jù)價值0.85到30美元不等，在中國，從事地下黑色產(chǎn)業(yè)鏈的人數(shù)接近10萬，數(shù)據(jù)對于黑客的誘惑力亦不容小覷。高校蘊含著豐富的數(shù)據(jù)，既包括學校的管理業(yè)務數(shù)據(jù)，更包括大量珍貴的科研數(shù)據(jù)，這對于黑客來說，不異于一所所金礦，必將受到黑客的追逐。

法律合規(guī)的挑戰(zhàn)

隨著互聯(lián)網(wǎng)在各個領(lǐng)域的發(fā)展和滲透，我國增強了對數(shù)據(jù)的立法保護。從國家宏觀層面上看，國家關(guān)于信息保護的標準和法律法規(guī)逐步增加，2007年國家出臺了信息系統(tǒng)等級保護的系列政策法規(guī)和技術(shù)管理標準。繼加強信息系統(tǒng)數(shù)據(jù)監(jiān)管動作后，2012年底以來，國家關(guān)于個人信息保護的法規(guī)和標準陸續(xù)出臺，2013年工業(yè)和信息化部發(fā)布了《電信和互聯(lián)網(wǎng)用戶個人信息保護規(guī)定》（中華人民共和國工業(yè)和信息化部令第24號），2013年2月我國首個個人信息保護標準《信息安全技術(shù)公共及商用服務信息系統(tǒng)個人信息保護指南》正式實施。這一系列措施的出臺是高校在開展數(shù)據(jù)安全相關(guān)工作時必須遵循的合規(guī)要求。如何滿足這些法規(guī)標準的合規(guī)要求，也是對高校的一項挑戰(zhàn)。

師生安全需求的挑戰(zhàn)

隨著師生信息素養(yǎng)的提高，高校師生的信息安全意識正在迅速覺醒，他們對于數(shù)據(jù)的保護將不斷提出新的要求。如果不通過這方面的工作，增強師生的信賴度，使其能夠理解和支持相關(guān)工作，也是高校在數(shù)據(jù)安全方面需要應對的一項挑戰(zhàn)。

美國高校的實踐

美國是世界上關(guān)于信息保護立法的領(lǐng)先國家，對于數(shù)據(jù)的合規(guī)性保護也是美國高校在數(shù)據(jù)安全方面面臨的主要挑戰(zhàn)。

組織機構(gòu)設置

隨著對信息安全的重視程度日益提高，美國許多高校中都成立了專門的信息安全管理部門。由于關(guān)注重點、管理范圍和組成方式的不同，各個高校對管理部門的命名上存在不同，但一般都包括“Information”、“Security”兩個關(guān)鍵詞，有些高校還將“Privacy”、“Technology”涵蓋進了部門名稱中。表明了其對數(shù)據(jù)安全保護的重視。例如，伯克利大學設立了信息安全和隱私委員會（Information Security and Privacy Committee，CISPC）。

數(shù)據(jù)分級保護策略

數(shù)據(jù)分級保護策略是美國高校的核心信息安全策略，在很多高校的網(wǎng)站上，都在最醒目的位置顯示了其數(shù)據(jù)分級保護策略，主要包括數(shù)據(jù)的分類和分級。根據(jù)數(shù)據(jù)的重要性進行分類和分級，根據(jù)等級的不同制定適當?shù)囊?guī)則，既要確保數(shù)據(jù)的正常使用，又要避免資源的浪費。比如對于保密數(shù)據(jù)、銀行賬號等信息要采取最高的保護措施，而對于一些聯(lián)系方式、電話等信息只限制在校內(nèi)訪問，禁止對外傳播。構(gòu)建一個集中的管理系統(tǒng)，對重要的數(shù)據(jù)進行統(tǒng)一的保護。這樣既可以減少安全隱患，又能夠?qū)佑|數(shù)據(jù)的人進行有效的監(jiān)督，還避免了分別構(gòu)建保密環(huán)境的成本。

數(shù)據(jù)安全熱點領(lǐng)域

EDUCAUSE是一個在世界范圍內(nèi)居于領(lǐng)導地位的高等教育信息化專業(yè)組織，策略與安全（Policy and Security）是其關(guān)注的三個重點領(lǐng)域之一，從其關(guān)注的這點我們可對美國高校在數(shù)據(jù)安全方面的熱點領(lǐng)域窺視一斑。其關(guān)注的“Hot Topics”包括：云數(shù)據(jù)存儲安全解決方案（Cloud Data Storage Solutions）、全盤加密（Full Disk Encryption）、云計算安全（Cloud Computing Security）等。

對策

數(shù)據(jù)安全是高校信息安全體系的重要組成部分和核心目標之一。數(shù)據(jù)安全并非單一技術(shù)或者管理措施即可解決的復雜問題，需通過整體的信息安全保障體系的設計與實施，綜合考慮技術(shù)和管理各方面的措施。限于篇幅，本文只對目前比較成熟、且在清華大學已經(jīng)有應用效果的數(shù)據(jù)安全技術(shù)進行簡要介紹。

建立數(shù)據(jù)分級防護策略

數(shù)據(jù)分析防護策略是核心的數(shù)據(jù)安全策略。建議根據(jù)數(shù)據(jù)的保密性、完整性等安全屬性，根據(jù)相關(guān)法律法規(guī)要求，根據(jù)數(shù)據(jù)對于學校的重要程度，對數(shù)據(jù)進行安全級別劃分，使數(shù)據(jù)能夠得到適當?shù)陌踩雷o。建立數(shù)據(jù)分級策略需要考慮如下幾個方面的問題：

數(shù)據(jù)的分級原則?？筛鶕?jù)數(shù)據(jù)在保密性、完整性、可用性方面的需求進行安全級別劃分，借鑒國外高校及國內(nèi)其他行業(yè)的數(shù)據(jù)分級策略，考慮到可操作性，建議高校數(shù)據(jù)分為三個或四個安全級別，如可劃分為公開數(shù)據(jù)、一般業(yè)務數(shù)據(jù)、內(nèi)部敏感數(shù)據(jù)、個人數(shù)據(jù)四個安全級別。

數(shù)據(jù)管理與操作的各個角色設置。建立數(shù)據(jù)管理角色，包括數(shù)據(jù)的擁有者、管理著、使用者三個角色，明確各角色對于數(shù)據(jù)的安全責任和操作權(quán)限。

各級別數(shù)據(jù)的防護措施等方面的內(nèi)容。對于不同級別的數(shù)據(jù)，還要明確其在數(shù)據(jù)訪問控制、存儲、傳輸、備份、審計等方面的要求。

嚴格數(shù)據(jù)的訪問控制

數(shù)據(jù)是信息系統(tǒng)的核心，對于數(shù)據(jù)的訪問可能來自于多個途徑，可能通過服務器直接訪問、連接數(shù)據(jù)庫訪問，或是通過Web應用系統(tǒng)進行訪問，通過Web應用訪問是目前最為主流的訪問方式。嚴格實現(xiàn)各個層面的訪問控制措施，是保護數(shù)據(jù)的有效屏障，包括通過防火墻實現(xiàn)網(wǎng)絡訪問控制、通過主機安全加固強化主機訪問控制、通過數(shù)據(jù)庫加固限制數(shù)據(jù)庫訪問控制，通過Web應用的安全設計與開發(fā)防止黑客通過Web應用漏洞獲取敏感數(shù)據(jù)。特別要強調(diào)的是，根據(jù)CNCERT的報告和其他國內(nèi)外相關(guān)結(jié)構(gòu)的研究報告，目前通過Web應用程序的安全漏洞獲取敏感數(shù)據(jù)是最為常見的數(shù)據(jù)泄露途徑。需要通過安全需求分析、安全架構(gòu)設計、安全編碼、安全運維來提升Web應用的安全性。

數(shù)據(jù)是信息系統(tǒng)的核心，亦是攻防雙方爭奪的焦點。

探索嘗試數(shù)據(jù)加密與一致性校驗技術(shù)

以散列的方式加密存儲口令類不需要解密的數(shù)據(jù)是較成熟的解決方案，但對于敏感數(shù)據(jù)（如科研經(jīng)費等數(shù)據(jù)）的可逆加密目前則尚無成熟的解決方案，國內(nèi)外高校都在探索中。

我們對于數(shù)據(jù)的一致性校驗技術(shù)進行了一些探索性的應用。招生數(shù)據(jù)是高校的內(nèi)部敏感級別數(shù)據(jù)，對于招生數(shù)據(jù)的最大的安全威脅是受到非法篡改，招生數(shù)據(jù)的最主要安全需求是保持數(shù)據(jù)的完整性。在實際工作中，我們采用PKI相關(guān)的技術(shù)實現(xiàn)了對招生數(shù)據(jù)的數(shù)字簽名和定時驗簽，有效地提升了招生數(shù)據(jù)的完整性。

實施數(shù)據(jù)庫審計

安全審計是通過測試信息系統(tǒng)對一套確定標準的符合程度來評估其安全性的系統(tǒng)方法。安全審計根據(jù)一定的安全策略記錄和分析歷史操作事件及數(shù)據(jù)，發(fā)現(xiàn)能夠改進系統(tǒng)性能和安全的地方。對數(shù)據(jù)庫操作進行審計的關(guān)鍵在于審計策略的設定，審計策略設得寬泛會導致審計數(shù)據(jù)過多，而審計策略設得過為嚴格則會造成審計數(shù)據(jù)不全，需要進行適當?shù)钠胶?。實際工作中，我們采用了記錄數(shù)據(jù)增、刪、改的審計策略，基本滿足了審計需求。

可以預見，高校在未來幾年將面對日益嚴峻的安全形勢，對于數(shù)據(jù)的安全保護將是高校要面臨的主要信息安全挑戰(zhàn)。