基層考試中心教育考試信息安全管理的實(shí)踐探索

崔靜嫻

（海安市教育體育局，江蘇 南通 226600）

0 引言

隨著我國(guó)教育考試信息化改革的不斷深入,各地區(qū)基層考試中心已將信息技術(shù)、網(wǎng)格技術(shù)應(yīng)用到了考試服務(wù)的每一個(gè)環(huán)節(jié),在感受到其優(yōu)化的同時(shí),對(duì)考試信息數(shù)據(jù)安全問題表示擔(dān)憂,一旦教育考試相關(guān)信息出現(xiàn)篡改、破壞以及泄漏等一系列安全問題,則會(huì)對(duì)考試工作帶來嚴(yán)重影響。 因此,基層考試中心的考試信息安全管理是現(xiàn)今基層考試中心改革發(fā)展的重點(diǎn)問題［1-3］。

1 基層考試中心考試信息安全的影響因素

1.1 客觀環(huán)境因素

1.1.1 設(shè)備因素

設(shè)備因素主要指硬件設(shè)備故障可能造成的信息安全隱患,其中包含雷擊、潮濕、著火等意外因素導(dǎo)致的設(shè)備損毀、失竊以及老化等,均可能會(huì)導(dǎo)致考試收集到的數(shù)據(jù)信息出現(xiàn)丟失、損壞等問題。

1.1.2 網(wǎng)絡(luò)環(huán)境

辦公電腦通過互聯(lián)網(wǎng)渠道,可能受到如病毒、后門程序等各種各樣的網(wǎng)絡(luò)攻擊。 這些網(wǎng)絡(luò)攻擊手段會(huì)對(duì)考試中心所采集的所有數(shù)據(jù)予以破壞或竊取,給網(wǎng)絡(luò)信息帶來巨大安全隱患。

1.1.3 數(shù)據(jù)環(huán)境

考試中心內(nèi)部需要存儲(chǔ)大量的考生信息、考題信息以及成績(jī)信息。 這類信息通常具有保密性和隱私性。 如何安全地存儲(chǔ)和調(diào)用這類保密信息,是考試中心日常管理工作的關(guān)鍵。 為了保證考試個(gè)人信息、考試成績(jī)等的調(diào)用方便,通常要采用可恢復(fù)類型的數(shù)據(jù)脫敏技術(shù),對(duì)考生信息、試題信息和成績(jī)信息進(jìn)行數(shù)據(jù)變形,通過加解密算法,將隱私保密數(shù)據(jù)經(jīng)過加密處理以后,再存入對(duì)應(yīng)的數(shù)據(jù)庫(kù)中,同時(shí)考生信息、考試信息和成績(jī)數(shù)據(jù)要進(jìn)行分庫(kù)存儲(chǔ)。

1.2 主觀人為因素

1.2.1 管理制度落實(shí)

管理制度的落實(shí)主要指在日常工作流程及管理制度上可能存在的一些漏洞。 例如,考試中心日常運(yùn)營(yíng)管理制度中出現(xiàn)責(zé)任不明確、制度不完善、操作性較差等問題,均會(huì)造成一系列的信息安全隱患。 根據(jù)有關(guān)調(diào)查顯示,現(xiàn)如今在針對(duì)考試中心的所有網(wǎng)絡(luò)攻擊事件中,約有70%是以考試中心內(nèi)部網(wǎng)絡(luò)安全漏洞為突破口。 再比如,辦公電腦系統(tǒng)的訪問權(quán)限管理缺乏相對(duì)應(yīng)的制度規(guī)范,工作人員在設(shè)置電腦密碼以及數(shù)據(jù)方案權(quán)限時(shí)較為隨意,數(shù)據(jù)安全意識(shí)較差［4］。

1.2.2 操作流程規(guī)范

操作流程包括考試中心考務(wù)服務(wù)項(xiàng)目的具體流程制定以及操作規(guī)范。 如果考試中心對(duì)考務(wù)服務(wù)的執(zhí)行流程以及操作規(guī)范不夠明確,則很有可能出現(xiàn)日常管理的空白地帶,造成考試突發(fā)事件應(yīng)急處理滯后、考場(chǎng)舞弊、試題外泄等嚴(yán)重管理問題。 如果考試中心制定了詳細(xì)的考務(wù)操作流程,向考務(wù)人員發(fā)放具體的考務(wù)操作手冊(cè),考務(wù)人員按章辦事,將會(huì)極大地降低考試突發(fā)事件的風(fēng)險(xiǎn)。

1.2.3 風(fēng)險(xiǎn)管控效果

風(fēng)險(xiǎn)管控是考試中心必備的日常管理內(nèi)容。 考試中心管理人員如果具有風(fēng)險(xiǎn)管控意識(shí),對(duì)數(shù)據(jù)安全、網(wǎng)絡(luò)安全、考務(wù)服務(wù)安全進(jìn)行風(fēng)險(xiǎn)評(píng)估和針對(duì)性管控,能夠極大地提高考試中心日常管理效率,同時(shí)能保障數(shù)據(jù)準(zhǔn)確安全、降低數(shù)據(jù)外泄、減少網(wǎng)絡(luò)攻擊等一系列運(yùn)營(yíng)問題。

2 網(wǎng)絡(luò)安全建設(shè)

2.1 防火墻防范安全隱患

防火墻是軟硬件一體的網(wǎng)絡(luò)安全專用設(shè)備,它的主要作用是對(duì)IP 地址進(jìn)行識(shí)別和轉(zhuǎn)換,將電腦的內(nèi)部局域網(wǎng)IP 地址轉(zhuǎn)換成為互聯(lián)網(wǎng)當(dāng)中的合法IP 地址,并且對(duì)轉(zhuǎn)換后的IP 地址進(jìn)行隱藏、加密,同時(shí)隔絕一些有風(fēng)險(xiǎn)的IP 地址的訪問、鏈接請(qǐng)求,使互聯(lián)網(wǎng)和局域網(wǎng)里面的一系列網(wǎng)絡(luò)安全風(fēng)險(xiǎn)降至最低,進(jìn)而使辦公網(wǎng)絡(luò)的安全性得到保障。 另外,防火墻程序能夠?qū)﹄娔X收到的各類訪問請(qǐng)求進(jìn)行甄別,有效阻擊存在安全隱患的訪問請(qǐng)求,同時(shí)甄別來自其他IP 地址的數(shù)據(jù)信息的安全性,及時(shí)識(shí)別并隔離存在病毒、后門程序等網(wǎng)絡(luò)攻擊手段的程序數(shù)據(jù)。 基層考試中心可以利用防火墻在網(wǎng)絡(luò)安全防護(hù)方面的優(yōu)勢(shì),根據(jù)教育考試信息的特殊性,對(duì)防火墻的防護(hù)規(guī)則進(jìn)行針對(duì)性設(shè)置,提高整個(gè)辦公系統(tǒng)的網(wǎng)絡(luò)安全等級(jí)。

2.2 劃分內(nèi)部網(wǎng)絡(luò)安全區(qū)域

基層考試中心的辦公區(qū)域主要分為辦公區(qū)域和數(shù)據(jù)核心區(qū)域,后者一般情況下是辦公電腦所構(gòu)建的網(wǎng)絡(luò),通過防火墻和三層交換機(jī)與辦公電腦進(jìn)行數(shù)據(jù)交互。 可以充分利用這一特性,在辦公電腦與數(shù)據(jù)核心區(qū)域的數(shù)據(jù)交互方面設(shè)置明確的數(shù)據(jù)交互權(quán)限,利用防火墻技術(shù),規(guī)避掉權(quán)限不符的電腦對(duì)數(shù)據(jù)庫(kù)的違規(guī)操作。 另外,可以利用數(shù)控庫(kù)管理軟件將數(shù)據(jù)核心區(qū)域分為多個(gè)網(wǎng)段,每一個(gè)網(wǎng)段為一個(gè)虛擬局域網(wǎng),實(shí)現(xiàn)每個(gè)網(wǎng)段的數(shù)據(jù)隔離,然后根據(jù)每個(gè)網(wǎng)段信息數(shù)據(jù)的特征,設(shè)置訪問控制規(guī)則,建立數(shù)據(jù)安全體系,既能保證日常工作中符合規(guī)則的正常數(shù)據(jù)交互,又能極大地降低人為因素導(dǎo)致的數(shù)據(jù)安全問題。

2.3 防病毒技術(shù)應(yīng)用

隨著計(jì)算機(jī)技術(shù)的不斷發(fā)展,網(wǎng)絡(luò)病毒的類型和破壞程度也在動(dòng)態(tài)變化中,目前網(wǎng)絡(luò)病毒的傳播途徑更加多樣化、傳播效率更高,應(yīng)針對(duì)電腦桌面、網(wǎng)關(guān)以及服務(wù)器添加專門的殺毒軟件進(jìn)行針對(duì)性病毒防護(hù)。依據(jù)需要病毒防護(hù)的軟件系統(tǒng),測(cè)試殺毒軟件的病毒防護(hù)性能,并且在網(wǎng)絡(luò)里設(shè)置殺毒軟件的控制臺(tái),有效地甄別并滅殺來自互聯(lián)網(wǎng)、USB 入口、內(nèi)部局域網(wǎng)等渠道的電腦病毒,凈化基層考試中心的網(wǎng)絡(luò)環(huán)境。

3 考試信息安全

3.1 信息采集檢驗(yàn)

首先應(yīng)依據(jù)《個(gè)人信息保護(hù)條例》等法律法規(guī)制定一套完善的信息采集檢驗(yàn)標(biāo)準(zhǔn),信息采集當(dāng)中的任何一個(gè)環(huán)節(jié)一定要嚴(yán)格落實(shí)信息校驗(yàn)制度,同時(shí)要注意初審及復(fù)核環(huán)節(jié),所有信息在組合過程當(dāng)中必須要對(duì)相關(guān)數(shù)據(jù)信息進(jìn)行反復(fù)校驗(yàn),保證考試信息數(shù)據(jù)的完全準(zhǔn)確。 另外,校驗(yàn)過程中發(fā)現(xiàn)采取信息數(shù)據(jù)期間的錯(cuò)誤報(bào)告、工作操作失誤、漏報(bào)等問題要及時(shí)予以糾正,并保留糾正記錄。

3.2 數(shù)據(jù)備份歸檔

考試信息備份工作是教育考試信息安全管理至關(guān)重要的一個(gè)環(huán)節(jié),也是應(yīng)對(duì)一系列信息安全風(fēng)險(xiǎn)的有效措施。 備份工作計(jì)劃流程要依據(jù)相關(guān)數(shù)據(jù)類型、硬件平臺(tái)特點(diǎn)針對(duì)性地制定。 根據(jù)工作類型,考試中心的數(shù)據(jù)備份工作可以分為實(shí)時(shí)、異地以及歸檔三類。(1）實(shí)時(shí)備份:將整個(gè)系統(tǒng)的設(shè)備狀態(tài)和數(shù)據(jù)予以備份,包含操作系統(tǒng)以及數(shù)據(jù)庫(kù)。 其特征主要是保證整個(gè)系統(tǒng)數(shù)據(jù)的完整性,一旦出現(xiàn)意外情況,需要從備份當(dāng)中予以恢復(fù)。 通常備份在服務(wù)器磁盤當(dāng)中,條件允許的情況下使用聯(lián)機(jī)備份；(2）異地備份:將相關(guān)數(shù)據(jù)保存在中心機(jī)房以外的地方,例如,上級(jí)中心或者當(dāng)?shù)亟逃值姆?wù)器。 由于異地服務(wù)器的存儲(chǔ)空間限制,以及在傳輸過程中必須要充分考慮到的效率問題,這一類型的備份數(shù)據(jù)屬于較為重要的信息；(3）歸檔備份:基層考試中心的工作具有非常強(qiáng)的階段性以及年度性,在每個(gè)考試工作結(jié)束的時(shí)候,均需要對(duì)采集到的相關(guān)數(shù)據(jù)信息以及資料歸檔整理,同時(shí)予以備份。 考試成績(jī)能夠切實(shí)體現(xiàn)一所學(xué)校的教學(xué)情況,對(duì)教育部門、學(xué)校等進(jìn)行相關(guān)教育評(píng)估服務(wù),這一類型的備份通常采取刻錄光盤的方式,具有存儲(chǔ)便捷、成本低以及安全性相對(duì)較高等優(yōu)勢(shì)［5-6］。

4 信息管理安全

針對(duì)基層考試中心人為因素造成的信息安全問題,主要有以下三個(gè)方面的優(yōu)化建議:第一,信息系統(tǒng)需要最為先進(jìn)的計(jì)算機(jī)系統(tǒng)以及辦公軟件運(yùn)行考務(wù)工作,同時(shí)對(duì)系統(tǒng)操作人員進(jìn)行相應(yīng)的系統(tǒng)軟件操作技能培訓(xùn)；第二,需要構(gòu)建完善的辦公系統(tǒng)用戶權(quán)限管理體系,根據(jù)工作職能對(duì)用戶角色進(jìn)行有效區(qū)分,每一個(gè)用戶均具有自己的系統(tǒng)訪問權(quán)限,保證整個(gè)辦公系統(tǒng)信息的完整性以及安全性；第三,開展師德師風(fēng)培訓(xùn)和保密教育,同時(shí)提高工作人員對(duì)信息安全、網(wǎng)絡(luò)數(shù)據(jù)泄密原理以及保密技術(shù)的認(rèn)識(shí)。

5 結(jié)語

當(dāng)前我國(guó)基層考試中心的信息安全管理水平顯著提升,能夠順利完成各類考試服務(wù)任務(wù),沒有發(fā)生過惡性信息泄露事件。 切實(shí)落實(shí)日常管理工作中的信息安全責(zé)任意識(shí),積極優(yōu)化教育考試信息安全規(guī)章制度,在基層考試中心信息化建設(shè)的關(guān)鍵時(shí)期,做好教育考試信息的安全管理工作。