《網(wǎng)絡(luò)安全法》實(shí)施一年 ：高校的改變與挑戰(zhàn)

2017年6月1日，《網(wǎng)絡(luò)安全法》正式實(shí)施，這部法律的實(shí)施具有里程碑式的意義，使得網(wǎng)絡(luò)安全有法可依，信息安全行業(yè)由合規(guī)性驅(qū)動(dòng)過(guò)渡到合規(guī)性和強(qiáng)制性驅(qū)動(dòng)并重。

那么，《網(wǎng)絡(luò)安全法》實(shí)施一周年，我國(guó)高校的網(wǎng)絡(luò)安全工作有哪些改變？

從大家的反饋可以看出過(guò)去一年中有許多改變，第一，制度的完善。網(wǎng)絡(luò)安全制度從無(wú)到有或是從有到優(yōu)；第二，意識(shí)的改變。通過(guò)網(wǎng)絡(luò)安全宣傳周等活動(dòng)，學(xué)校用戶群體的網(wǎng)絡(luò)安全素養(yǎng)得到大幅提升，高校各方面已意識(shí)到網(wǎng)絡(luò)安全工作是一件需要大家一起努力的事；第三，觀念的改變。對(duì)于安全服務(wù)外包大家都能普遍接受，當(dāng)然如何更好地優(yōu)化外包之后的管理顯得更加重要。

但是，最重要的一點(diǎn)，網(wǎng)絡(luò)安全中“人”的工作仍然是一個(gè)難點(diǎn)。人的部分怎么去做，這是大家普遍關(guān)注的問(wèn)題。

上海交通大學(xué): 網(wǎng)絡(luò)安全要做到“守土有責(zé)”

姜開(kāi)達(dá)

上海交通大學(xué)網(wǎng)絡(luò)信息中心副主任

2017年對(duì)高校網(wǎng)絡(luò)安全工作來(lái)說(shuō)，是一個(gè)機(jī)遇，更是一個(gè)挑戰(zhàn)。回顧這一年的變化，姜開(kāi)達(dá)認(rèn)為，網(wǎng)絡(luò)安全工作受重視程度在這一年得到前所未有的提升，但對(duì)高校來(lái)說(shuō)，網(wǎng)絡(luò)安全保障體系的頂層設(shè)計(jì)和具體細(xì)化落地舉措仍然有缺失。《網(wǎng)絡(luò)安全法》和《教育行業(yè)網(wǎng)絡(luò)安全綜合治理行動(dòng)方案》發(fā)布實(shí)施，對(duì)網(wǎng)絡(luò)安全整體部署進(jìn)行了框架性指導(dǎo)，但細(xì)則內(nèi)容的指導(dǎo)還不夠明確，比如說(shuō)在教育行業(yè)中，哪些基礎(chǔ)設(shè)施需要定義為關(guān)鍵基礎(chǔ)設(shè)施？如果沒(méi)有一系列具有教育行業(yè)屬性的細(xì)則和規(guī)范，很多高校不清楚如何具體實(shí)施和執(zhí)行，各自理解又帶來(lái)實(shí)際執(zhí)行上的偏差，再好的政策也難以快速落地。希望未來(lái)能夠在基本框架成熟的基礎(chǔ)上，再多明確一些可操作性強(qiáng)的細(xì)則和解釋?zhuān)@樣對(duì)高校更有實(shí)際指導(dǎo)意義。

如何做好高校的網(wǎng)絡(luò)安全工作？姜開(kāi)達(dá)認(rèn)為其核心是“守土有責(zé)”和“合作共贏”，所有高校網(wǎng)絡(luò)安全相關(guān)利益者都應(yīng)承擔(dān)起應(yīng)承擔(dān)的責(zé)任，在此基礎(chǔ)上互相加強(qiáng)合作，高校就會(huì)營(yíng)造一個(gè)相對(duì)安全的整體氛圍和環(huán)境。具體來(lái)說(shuō)就是：領(lǐng)導(dǎo)重視、機(jī)制保障、固定團(tuán)隊(duì)、長(zhǎng)期投入。學(xué)校要從行動(dòng)上真正重視網(wǎng)絡(luò)信息安全；要普及提高全校各院系部門(mén)的安全意識(shí)；國(guó)家和行業(yè)主管部門(mén)加強(qiáng)安全監(jiān)管和提供基礎(chǔ)指導(dǎo)；教育軟件廠商承擔(dān)義務(wù)和更多相應(yīng)責(zé)任；安全廠商提供符合學(xué)校要求的專(zhuān)業(yè)化安全服務(wù)，信息化部門(mén)要做好安全管理的技術(shù)保障。

網(wǎng)絡(luò)安全對(duì)于信息共享和多方合作的要求，可能也是其他信息化工作不能比擬的。姜開(kāi)達(dá)表示，一所學(xué)校去對(duì)抗全球黑客攻擊團(tuán)隊(duì)，能力再?gòu)?qiáng)，也始終是弱勢(shì)，網(wǎng)絡(luò)空間領(lǐng)域安全事件和攻擊信息的高效共享至關(guān)重要，如果各校自掃門(mén)前雪，誰(shuí)也不能獨(dú)善其身，唯有走向共享共治。

姜開(kāi)達(dá)認(rèn)為，現(xiàn)在虛擬網(wǎng)絡(luò)空間安全的重心有明顯變化，從網(wǎng)站內(nèi)容安全到學(xué)校核心數(shù)據(jù)安全，從苦于被動(dòng)防御到多面出擊掌握主動(dòng)安全態(tài)勢(shì)，從混沌到有序，應(yīng)建立全生命周期管理的信息資產(chǎn)庫(kù)，安全貫穿始終。

在網(wǎng)絡(luò)安全工作上，上海交通大學(xué)可以說(shuō)是一個(gè)先行者，這和幾個(gè)因素有關(guān)：一是有歷史淵源，從CERNET成立之初，上海交通大學(xué)的汪為農(nóng)教授就一直致力于網(wǎng)絡(luò)安全方面的研究，并且培養(yǎng)出了一批業(yè)務(wù)能力卓越的人員，奠定了技術(shù)和人才基礎(chǔ)。二是各層面的領(lǐng)導(dǎo)對(duì)網(wǎng)絡(luò)安全工作都非常重視，有一批人員長(zhǎng)期專(zhuān)職負(fù)責(zé)這方面的工作。三是成立了一支非?？煽康膶W(xué)生隊(duì)伍，幫助學(xué)校做了不少基礎(chǔ)性的工作。這支隊(duì)伍無(wú)論是在日常的安全運(yùn)維，還是在各種網(wǎng)絡(luò)安全攻防比賽中，都取得了非常優(yōu)異的成績(jī)。

姜開(kāi)達(dá)表示，缺乏專(zhuān)業(yè)安全團(tuán)隊(duì)的支持是當(dāng)前高校在網(wǎng)絡(luò)安全工作中存在的共性難題，這也折射出高校信息化部門(mén)專(zhuān)業(yè)人員緊缺的困境。上海交通大學(xué)信息化部門(mén)目前擁有60多位工作人員，在國(guó)內(nèi)高校中人不算少，但是開(kāi)展各項(xiàng)工作還是捉襟見(jiàn)肘。今年的機(jī)構(gòu)調(diào)整將原來(lái)的五個(gè)部門(mén)調(diào)整為三個(gè)部門(mén)，分別是基礎(chǔ)業(yè)務(wù)部、計(jì)算業(yè)務(wù)部、數(shù)據(jù)業(yè)務(wù)部，安全工作目前尚無(wú)單列部門(mén)。

上海交通大學(xué)的學(xué)生安全團(tuán)隊(duì)在學(xué)校網(wǎng)絡(luò)安全工作中一直發(fā)揮著重要的作用。學(xué)生畢業(yè)后是否仍會(huì)留在學(xué)校工作？實(shí)際的情況是團(tuán)隊(duì)中的學(xué)生都是各大互聯(lián)網(wǎng)公司進(jìn)行人才爭(zhēng)奪的對(duì)象，其優(yōu)越的薪酬和待遇讓學(xué)校難以望其項(xiàng)背，但是也開(kāi)始看到，一些有多年公司IT職業(yè)經(jīng)驗(yàn)的優(yōu)秀人才在經(jīng)過(guò)職場(chǎng)奮斗后，也有人希望回到學(xué)校來(lái)做一些工作。

深圳大學(xué)：積極探索多元化服務(wù)機(jī)制

江魁

深圳大學(xué)信息中心副主任

深圳大學(xué)信息中心是一個(gè)集現(xiàn)代教育技術(shù)、網(wǎng)絡(luò)技術(shù)、軟件開(kāi)發(fā)、多媒體制作與應(yīng)用、電話與有線數(shù)字電視、無(wú)線通訊、校園卡運(yùn)行與管理、影視制作和視聽(tīng)技術(shù)支持為一體的多功能機(jī)構(gòu)，目前大約有80名員工，近年來(lái)隨著學(xué)校智慧校園等大型信息化項(xiàng)目的建設(shè)，各學(xué)院、業(yè)務(wù)部門(mén)的應(yīng)用系統(tǒng)和云平臺(tái)資源的數(shù)量也在不斷增加，特別是學(xué)校從之前一個(gè)校區(qū)擴(kuò)展到了西麗、后海北及后海南三個(gè)校區(qū)，為學(xué)校的網(wǎng)絡(luò)與信息系統(tǒng)建設(shè)和運(yùn)維帶來(lái)了新的挑戰(zhàn)。

目前，網(wǎng)絡(luò)安全運(yùn)維工作主要集中在網(wǎng)絡(luò)部門(mén)，嚴(yán)格意義上說(shuō)還沒(méi)有專(zhuān)職人員，唯一的一名網(wǎng)絡(luò)安全核心技術(shù)人員還要兼顧系統(tǒng)運(yùn)維的職責(zé)。在解決人員方面，深圳大學(xué)打算主要從三個(gè)方面著手解決。

第一，吸引并留住人才。

網(wǎng)絡(luò)安全工作招人難的特點(diǎn)是，大部分優(yōu)秀的畢業(yè)生都愿意去IT企業(yè)，一是在薪酬方面，學(xué)校不可能像IT企業(yè)一樣能給與高薪待遇，二是在發(fā)展前景上，學(xué)校的工作更多是一種運(yùn)維保障，不能提供公司所能提供的針對(duì)前沿技術(shù)進(jìn)行研究的平臺(tái)和機(jī)會(huì)。針對(duì)這樣的現(xiàn)實(shí)情況，深大信息中心目前的策略是，招聘普通高校畢業(yè)的有意愿參與高校信息化工作的IT專(zhuān)業(yè)學(xué)生，盡量給予其個(gè)人技能和職業(yè)成長(zhǎng)的空間，將其培養(yǎng)成為網(wǎng)絡(luò)安全工作的骨干，使其在工作中獲得成就感、歸屬感和榮譽(yù)感，并利用學(xué)校寒暑假、教職工子女入托入學(xué)等隱性福利留住人才。

第二，把學(xué)生的力量組織起來(lái)。

從2016年開(kāi)始，信息中心以勤工助學(xué)的方式把對(duì)網(wǎng)絡(luò)安全感興趣的學(xué)生聚在一起，這批學(xué)生對(duì)學(xué)校網(wǎng)絡(luò)安全運(yùn)維起到了很重要的補(bǔ)充。一方面，彌補(bǔ)了網(wǎng)絡(luò)安全人員的缺口，另一方面，讓一些有可能對(duì)學(xué)校網(wǎng)絡(luò)安全造成“威脅”的學(xué)生變成學(xué)校網(wǎng)絡(luò)安全的守護(hù)者。同時(shí)，對(duì)外，組織這批學(xué)生積極參與國(guó)內(nèi)知名度較高的網(wǎng)絡(luò)安全競(jìng)賽，對(duì)內(nèi)，在老師帶領(lǐng)下開(kāi)展對(duì)學(xué)校信息系統(tǒng)的滲透測(cè)試工作，使其網(wǎng)絡(luò)安全能力有展示和釋放的出口。學(xué)生在幫助學(xué)校做好網(wǎng)絡(luò)安全工作的同時(shí)，自身也得到了極大鍛煉和提高。2018年2月，在信息中心的支持下，這批學(xué)生正式成立了深圳大學(xué)學(xué)生信息網(wǎng)絡(luò)安全協(xié)會(huì)，目前學(xué)生隊(duì)伍已經(jīng)擴(kuò)充到40人左右，為學(xué)校網(wǎng)絡(luò)安全工作補(bǔ)充了新的能量。

第三，積極探索外包服務(wù)。

在現(xiàn)在的情況下，向人事部門(mén)申請(qǐng)用人編制的難度要大于申請(qǐng)項(xiàng)目資金的難度。基于這樣的背景，尋求專(zhuān)業(yè)網(wǎng)絡(luò)公司的外包服務(wù)是一個(gè)較好的解決方案。深圳大學(xué)將在2019年申請(qǐng)網(wǎng)絡(luò)安全加固提升專(zhuān)項(xiàng)資金，其中一部分用于網(wǎng)絡(luò)安全服務(wù)外包，主要滿足24小時(shí)實(shí)時(shí)監(jiān)測(cè)、預(yù)警、應(yīng)急響應(yīng)等工作的需求。

當(dāng)前信息化部門(mén)面臨著許多溝通協(xié)調(diào)的工作，這是信息化部門(mén)的重要特征。信息化部門(mén)有許多工作，這些工作各具特點(diǎn)，所以在人員的分配上一定要注意到工作的特點(diǎn)與員工個(gè)人特點(diǎn)的匹配。

網(wǎng)絡(luò)安全工作是國(guó)家安全的重要組成部分，具有政治意義，這是高校做網(wǎng)絡(luò)安全工作面臨的首要共性背景，也是網(wǎng)絡(luò)安全運(yùn)維的核心動(dòng)力。所以做網(wǎng)絡(luò)安全工作，一定要如履薄冰，兢兢業(yè)業(yè)，以高度責(zé)任感去承擔(dān)這項(xiàng)重任。

中山大學(xué)：觀念的更新是最大的挑戰(zhàn)

張永強(qiáng)

中山大學(xué)信息化管理辦公室副主任

《網(wǎng)絡(luò)安全法》實(shí)施一年，明顯感覺(jué)到，大家的網(wǎng)絡(luò)安全意識(shí)提高了。中山大學(xué)成立了網(wǎng)信領(lǐng)導(dǎo)小組，負(fù)責(zé)人是書(shū)記和校長(zhǎng)。各院系部門(mén)一把手明確了網(wǎng)絡(luò)安全責(zé)任，主動(dòng)配合信息化職能部門(mén)和技術(shù)單位的工作。此外，網(wǎng)絡(luò)安全工作得到了廣泛認(rèn)可及可持續(xù)的經(jīng)費(fèi)支持，管理制度和技術(shù)體系不斷完善。

但由于從業(yè)人員薪酬上升很快，學(xué)校安全技術(shù)人員流失，2017年我們就有一名骨干跳槽到BAT，這方面的技術(shù)又補(bǔ)充困難，水平高的招不進(jìn)，入門(mén)級(jí)的不想要，所以我們轉(zhuǎn)而將部分工作外包。依靠外力是彌補(bǔ)學(xué)校網(wǎng)絡(luò)安全能力不足的重要手段。保護(hù)監(jiān)測(cè)響應(yīng)等三方面都可以引入外包服務(wù)，例如保護(hù)可以引入云防護(hù)服務(wù)、監(jiān)測(cè)可以引入白盒黑盒測(cè)試服務(wù)、響應(yīng)可以引入專(zhuān)家服務(wù)。

我認(rèn)為，網(wǎng)絡(luò)安全工作的難點(diǎn)在于安全管理體系的完善和實(shí)施，尤其是安全制度的施行和落實(shí)、人員安全素質(zhì)的提升、安全習(xí)慣的培養(yǎng)及組織安全文化的形成方面，挑戰(zhàn)在于隨著互聯(lián)網(wǎng)變革，新的安全問(wèn)題不斷涌現(xiàn)，舊觀念、舊辦法無(wú)法適應(yīng)變化。

我們對(duì)招聘人員的基本需求是：管理人員最好有法律和管理知識(shí)背景、技術(shù)人員最好有軟件開(kāi)發(fā)背景。由于當(dāng)前從業(yè)薪酬水平比較高，因此招聘比較困難。

從2018年開(kāi)始，學(xué)校設(shè)立了安全培訓(xùn)專(zhuān)項(xiàng)。初步思路是對(duì)全員進(jìn)行意識(shí)教育（形式是在線教育+現(xiàn)場(chǎng)講座），對(duì)專(zhuān)職和兼職的安全人員進(jìn)行專(zhuān)業(yè)技能培訓(xùn)（形式是采用CISP教材的企業(yè)內(nèi)訓(xùn)），未來(lái)打算采購(gòu)專(zhuān)業(yè)的培訓(xùn)服務(wù)。

中國(guó)人民大學(xué)：人員分配不割裂應(yīng)用

梁藝軍

中國(guó)人民大學(xué)信息技術(shù)中心

《網(wǎng)絡(luò)安全法》實(shí)施一年了，這一年來(lái)看，網(wǎng)絡(luò)安全工作中確實(shí)有許多改變。首當(dāng)其沖的就是制度的建立與完善。學(xué)校高度重視，從法律層面嚴(yán)格要求和落實(shí)相關(guān)制度。在《網(wǎng)絡(luò)安全法》實(shí)施后，我校依據(jù)此法，逐步制定各項(xiàng)管理制度、規(guī)范和方法。先后建立急需的制度，比如網(wǎng)站管理，ICP注冊(cè)管理、保密技術(shù)管理和辦公安全等，由校長(zhǎng)辦公會(huì)審核修改后發(fā)布執(zhí)行，在實(shí)踐中不斷完善，并宣傳到位，做到有規(guī)可依。

我們?cè)?018年成立了網(wǎng)絡(luò)安全與信息化領(lǐng)導(dǎo)小組，信息技術(shù)中心作為實(shí)施牽頭部門(mén)更是直接成立網(wǎng)絡(luò)安全科，專(zhuān)人負(fù)責(zé)處理和協(xié)調(diào)相關(guān)事務(wù)。

在制度的保障下，我感覺(jué)網(wǎng)絡(luò)和信息中心的工作比以前“好做”。首先，職權(quán)加大，原來(lái)不敢處理的，現(xiàn)在可以直接依法快速處理，管理的范圍亦可進(jìn)行延伸。其次，學(xué)校為網(wǎng)絡(luò)安全的投資加大了，原來(lái)2～3年沒(méi)有相關(guān)的設(shè)備系統(tǒng)的技術(shù)投資，目前已經(jīng)落實(shí)，尤其是服務(wù)經(jīng)費(fèi)。第三，人才的聚集，我們成立了網(wǎng)絡(luò)安全科，引入聘用人才參與建設(shè)。

目前來(lái)看，在網(wǎng)絡(luò)安全工作中，我認(rèn)為首要的挑戰(zhàn)是全校師生觀念的改變。觀念的改變是困難的，如何能從《網(wǎng)絡(luò)安全法》的威懾執(zhí)行到自覺(jué)動(dòng)作，將安全觀念融入到學(xué)校規(guī)劃整體考量中，融入到項(xiàng)目建設(shè)運(yùn)行的整個(gè)周期中比較重要。如果大家都能從心里意識(shí)到安全的重要性，做到上下一心，風(fēng)險(xiǎn)就可以降到最小。

由于學(xué)校內(nèi)部人員的技術(shù)和精力的局限，外包是必不可少的。但是由于專(zhuān)業(yè)企業(yè)和學(xué)校的立場(chǎng)不同，這是個(gè)矛盾體，企業(yè)追逐利潤(rùn)，學(xué)校要求穩(wěn)定，因此只能依賴(lài)合作的基礎(chǔ)——安全進(jìn)行分工，校內(nèi)人員必須主導(dǎo)和主責(zé)，跟蹤整個(gè)服務(wù)的過(guò)程，做到第一收到和最后收尾。

我們的網(wǎng)絡(luò)安全人員分為在編和外聘，外聘人員主要從其他科室抽調(diào)，這樣做的好處就是不割裂應(yīng)用，熟悉信息化的情況。我認(rèn)為，安全隊(duì)伍不易大，小而精、勉強(qiáng)夠用即可，因?yàn)榘踩皇仟?dú)立的，要應(yīng)用到各個(gè)領(lǐng)域，比如網(wǎng)絡(luò)方面的安全就與網(wǎng)絡(luò)密切相關(guān)，需要網(wǎng)絡(luò)部門(mén)配合完成；在內(nèi)容安全方面，不僅是技術(shù)，還要有對(duì)內(nèi)容尺度的把握人才。做安全的人員應(yīng)該不僅僅懂得安全內(nèi)容，還要精通安全的實(shí)施領(lǐng)域，比如網(wǎng)站安全，至少要知道網(wǎng)站所涉及到的所有技術(shù)環(huán)節(jié)。所以，作為一個(gè)網(wǎng)絡(luò)安全人員，需要經(jīng)常補(bǔ)充各種新的知識(shí)。

北京科技大學(xué)：最難的部分還是“人”的工作

楊德斌

北京科技大學(xué)信息化辦公室主任

這一年，我們的網(wǎng)絡(luò)安全工作在管理、技術(shù)和人員上都有了新的改變。管理上，建立起基于微信的實(shí)時(shí)交流、互動(dòng)安全群，實(shí)時(shí)發(fā)布、部署網(wǎng)絡(luò)安全信息和防范要求。技術(shù)上，強(qiáng)制所有已上線和待上線的系統(tǒng)進(jìn)行強(qiáng)安全技術(shù)條件下的安全檢測(cè)和審核。人員上，建立起了各二級(jí)部門(mén)的非計(jì)算機(jī)專(zhuān)業(yè)管理人員共同關(guān)注的網(wǎng)絡(luò)安全體系，形成有效的防控、聯(lián)動(dòng)隊(duì)伍。

但是，感覺(jué)最難的地方還是“人”。專(zhuān)職人員少，安全壓力大、任務(wù)重，而在培訓(xùn)方面，缺乏有效的培訓(xùn)和實(shí)際演練。當(dāng)前最困難的是，我們對(duì)網(wǎng)絡(luò)安全人員的需求大，但招聘難，隊(duì)伍建設(shè)沒(méi)有好的政策支持。