針對(duì)大數(shù)據(jù)環(huán)境下的高校數(shù)據(jù)安全問題，我們建議在規(guī)劃、建設(shè)、運(yùn)行過程中，同步考慮“把數(shù)據(jù)關(guān)進(jìn)籠子，讓數(shù)據(jù)訪問在陽(yáng)光下進(jìn)行”的數(shù)據(jù)安全策略。
高校數(shù)據(jù)安全需求
大數(shù)據(jù)時(shí)代背景下，高校信息化產(chǎn)生的各類數(shù)據(jù)成為高校最重要的資產(chǎn)之一。然而，高校的網(wǎng)絡(luò)信息安全建設(shè)工作沒有達(dá)到銀行、證券、金融等行業(yè)的高投入和大規(guī)模建設(shè)，高校的數(shù)據(jù)安全建設(shè)工作在整個(gè)網(wǎng)絡(luò)信息安全建設(shè)中沒有得到足夠的重視，在數(shù)據(jù)收集、存儲(chǔ)、傳輸和使用過程中缺乏必要的防護(hù)措施，使得大量敏感信息、個(gè)人信息的安全性無法得到有效保障。高校在推進(jìn)業(yè)務(wù)系統(tǒng)整合、數(shù)據(jù)中心建設(shè)、數(shù)字校園與智慧校園建設(shè)、數(shù)據(jù)分析與挖掘等大數(shù)據(jù)建設(shè)的同時(shí)，必須堅(jiān)持安全與發(fā)展并重的方針，為大數(shù)據(jù)發(fā)展構(gòu)建安全保障體系，在充分發(fā)揮大數(shù)據(jù)價(jià)值的同時(shí)，解決面臨的數(shù)據(jù)安全和個(gè)人信息保護(hù)問題。
如何保障數(shù)據(jù)的機(jī)密性、完整性、可用性，對(duì)于教育行業(yè)來講，特別是高校，有著更深層次的意義。高校有著大量的科研成果、學(xué)術(shù)資料、教職工信息以及海量的學(xué)生信息，是數(shù)據(jù)泄露的相對(duì)高發(fā)地帶。因此，高校需要切實(shí)加強(qiáng)安全防護(hù)以保障高校數(shù)據(jù)安全。
當(dāng)前高校數(shù)據(jù)安全面臨的挑戰(zhàn)
老舊系統(tǒng)帶來的數(shù)據(jù)攻擊
早期的老舊系統(tǒng)，明文傳輸、明文存儲(chǔ)較為普遍，并且系統(tǒng)漏洞較多，加之無人運(yùn)維，常見的SQL注入漏洞、文件上傳漏洞、弱口令、第三方中間件漏洞等這些安全漏洞均會(huì)造成服務(wù)器權(quán)限被獲取，數(shù)據(jù)庫(kù)被攻擊等網(wǎng)絡(luò)信息安全事件，危害非常之大。從目前教育主管部門的漏洞通報(bào)來看，多數(shù)安全漏洞及安全事件都發(fā)生在老舊系統(tǒng)之中。對(duì)于老舊系統(tǒng)的攻擊，以及攻擊帶來的數(shù)據(jù)安全問題是比較常見的，如何處理好這些老舊系統(tǒng)是關(guān)鍵。通過這些簡(jiǎn)單的攻擊手段就能達(dá)到攻擊目的的攻擊行為基本都是零成本，這種零成本攻擊造成數(shù)據(jù)泄露也是高校最為常見的情況。
大數(shù)據(jù)帶來的數(shù)據(jù)集中
大數(shù)據(jù)時(shí)代的到來，給數(shù)據(jù)分析挖掘奠定了豐富的數(shù)據(jù)基礎(chǔ)，這個(gè)基礎(chǔ)就是數(shù)據(jù)集中，數(shù)據(jù)集中是指將數(shù)據(jù)集中到中心一點(diǎn)以便于數(shù)據(jù)分析挖掘。這種數(shù)據(jù)的高度集中在給數(shù)據(jù)分析挖掘帶來效益的同時(shí)對(duì)數(shù)據(jù)安全的危害也是可見的。身處大數(shù)據(jù)時(shí)代，高校也在進(jìn)行一系列的大數(shù)據(jù)整合工作，建設(shè)各自的數(shù)據(jù)中心，將數(shù)據(jù)進(jìn)行集中存儲(chǔ)和管控。業(yè)務(wù)流程的整合實(shí)現(xiàn)了各自高校各項(xiàng)業(yè)務(wù)的優(yōu)化，優(yōu)化的本質(zhì)是數(shù)據(jù)分析挖掘的結(jié)果。這些優(yōu)化后的成果如果沒有得到更好的保護(hù)，產(chǎn)生的副作用也是巨大的。
另外，大數(shù)據(jù)帶來的數(shù)據(jù)集中需要防范APT攻擊行為，APT攻擊是黑客用客戶發(fā)動(dòng)的網(wǎng)絡(luò)攻擊和入侵行為，是一種蓄謀已久的網(wǎng)絡(luò)攻擊行為，APT攻擊以竊取核心數(shù)據(jù)資料為目的，對(duì)大數(shù)據(jù)應(yīng)用產(chǎn)生重大安全威脅。APT攻擊具有很強(qiáng)的隱蔽性，傳統(tǒng)的防護(hù)策略并不能檢測(cè)到，很難被發(fā)現(xiàn)。
云計(jì)算帶來的數(shù)據(jù)存儲(chǔ)
云計(jì)算是一種服務(wù)模式，通常被分為包括基礎(chǔ)設(shè)施即服務(wù)、平臺(tái)即服務(wù)、軟件即服務(wù)三種模式。云計(jì)算平臺(tái)可以分為包括以數(shù)據(jù)存儲(chǔ)為主的存儲(chǔ)型、以數(shù)據(jù)處理為主的計(jì)算型、以計(jì)算和數(shù)據(jù)存儲(chǔ)處理兼顧的復(fù)合型三種類型平臺(tái)。各高校實(shí)際使用情況顯示，各高校目前基本都建立了自己的以數(shù)據(jù)存儲(chǔ)為主的私有云平臺(tái)，但是這種用于數(shù)據(jù)存儲(chǔ)的私有云平臺(tái)產(chǎn)品基本都是由各廠商提供，并非各高校私有技術(shù)，這些用于數(shù)據(jù)存儲(chǔ)的云計(jì)算平臺(tái)的安全性如何未知;拋開這些未知數(shù)，目前還有很多高校使用了大量的公有云平臺(tái)，將各自的業(yè)務(wù)系統(tǒng)部署在商業(yè)的公有云上，數(shù)據(jù)、應(yīng)用均在外部云上，這些數(shù)據(jù)的安全性也有待商榷。
提升數(shù)據(jù)安全四大對(duì)策
數(shù)據(jù)安全并非單一技術(shù)或者管理措施即可解決的復(fù)雜問題，需通過整體的信息安全保障體系的設(shè)計(jì)與實(shí)施，綜合考慮技術(shù)和管理各方面的措施。清華大學(xué)信息化技術(shù)中心吳海燕認(rèn)為，應(yīng)從以下幾個(gè)方面入手解決高校數(shù)據(jù)安全問題。
系統(tǒng)外包帶來的數(shù)據(jù)控制權(quán)
系統(tǒng)外包在各行各業(yè)都有，教育行業(yè)、高校也不例外，各式各樣的系統(tǒng)通過外包方式進(jìn)行開發(fā)維護(hù)，各外包公司掌握著各類系統(tǒng)的應(yīng)用程序源代碼、服務(wù)器權(quán)限、數(shù)據(jù)庫(kù)權(quán)限等核心信息。例如高校普遍使用的財(cái)務(wù)系統(tǒng)、人力資源系統(tǒng)、招生系統(tǒng)、學(xué)籍管理系統(tǒng)、科研管理系統(tǒng)等等，多數(shù)都使用信息化方式外包或者通過購(gòu)買產(chǎn)品進(jìn)行運(yùn)行，如果對(duì)這些信息系統(tǒng)運(yùn)維外包過程管理不嚴(yán)，極有可能造成重要數(shù)據(jù)泄露;同時(shí)在進(jìn)行外包運(yùn)維過程中，運(yùn)維工程師的技術(shù)水平良莠不齊，有可能由于操作不慎造成數(shù)據(jù)丟失、損壞等。這種過度外包依賴對(duì)數(shù)據(jù)的安全是不可控的，各高校需要自主掌握數(shù)據(jù)的控制權(quán)。
數(shù)據(jù)資源開放共享與安全保護(hù)矛盾
大數(shù)據(jù)時(shí)代智慧校園建設(shè)對(duì)數(shù)據(jù)的需求越來越高，需要精準(zhǔn)的數(shù)據(jù)信息作為支撐，例如，可以通過學(xué)生的個(gè)人消費(fèi)情況，梳理一些特有的功能進(jìn)一步優(yōu)化校園卡服務(wù)。然而，數(shù)據(jù)信息作為一種資源，更是一種資產(chǎn)，需要進(jìn)行保護(hù)，這種對(duì)數(shù)據(jù)信息的挖掘底線需要制定，總之，保護(hù)和需求的矛盾越來越顯現(xiàn)。
針對(duì)大數(shù)據(jù)環(huán)境下的高校數(shù)據(jù)安全問題，我們建議在規(guī)劃、建設(shè)、運(yùn)行過程中，同步考慮“把數(shù)據(jù)關(guān)進(jìn)籠子，讓數(shù)據(jù)訪問在陽(yáng)光下進(jìn)行”的數(shù)據(jù)安全策略。大數(shù)據(jù)時(shí)代，是機(jī)遇與挑戰(zhàn)并存的時(shí)代，高校數(shù)據(jù)安全防護(hù)工作任重道遠(yuǎn)，需要有效的技術(shù)手段和相關(guān)政策法規(guī)并舉才能保障大數(shù)據(jù)時(shí)代的數(shù)據(jù)安全與個(gè)人信息問題，需要技術(shù)創(chuàng)新與制度創(chuàng)新才能不斷引領(lǐng)大數(shù)據(jù)時(shí)代的安全工作。
(作者單位為華東師范大學(xué))
