武漢大學：信息安全人才培養現狀與問題

文/張煥國 杜瑞穎

武漢大學：信息安全人才培養現狀與問題

文/張煥國 杜瑞穎

雖然我國已經建立80多個信息安全專業，但是這些專業也都是依托在其他學科下設立的。由于依托學科基礎不同，方向各異，內容混亂，相互摯肘，導致培養人才的知識和能力結構不合理，很難保證培養質量。

沒有信息化就沒有國家現代化，沒有信息安全就沒有國家安全。發展我國信息技術與產業，建設網絡強國，確保國家信息安全，是我國的重大戰略目標。實現這一戰略目標，關鍵是人才。而談到人才培養，教育是基礎。

2001年武漢大學創建了我國第一個信息安全本科專業。如今，全國已有80多所高校建立了信息安全專業。因此，總結交流信息安全人才培養的經驗和教訓，對于提高人才培養質量，實現國家現代化和確保國家安全是十分有益的。

信息安全專業人才培養實踐

人才培養基本情況

2001年武漢大學創建了我國第一個信息安全本科專業，至今已有14年的辦學歷史。在這期間武漢大學信息安全專業的招生和畢業生就業情況一直非常好，辦學質量受到社會的廣泛好評。表1給出了2005年至2011年武漢大學信息安全專業畢業生的就業情況。

課程體系的特色

自2001年我們探索性地制定了全國第一套信息安全本科專業培養方案以來，在11年的辦學過程中，根據信息技術的發展和社會對信息安全專業人才知識和實踐能力結構的需求變化，對培養計劃作了4次修訂，最近兩次修訂分別是在2009年和2013年完成的。從最初只包含3門必修課和3門選修課的信息安全專業課程體系，發展到目前的包含7門必修課和11門選修課的信息安全專業課程體系。這一課程體系在課程設置和課程內容上，具有以下幾個特點：

1.符合《高等學校信息安全專業指導性專業規范》的要求。所設置課程覆蓋了信息安全專業四大研究領域：密碼學，網絡安全、信息系統安全、信息內容安全。覆蓋了《高等學校信息安全專業指導性專業規范》規定的所有必修內容和部分選修內容，并根據武漢大學信息安全學科的優勢適當擴充了部分內容。達到了教育部關于根據專業規范統一基本內容，同時又辦出自己特色的要求。

信息系統安全領域的專業課程有：操作系統原理及安全（必修）、數據庫原理及安全（必修）、軟件安全（必修）、嵌入式系統安全（必修）、信息系統安全導論（選修）、可信計算技術（選修）、程序分析（選修）、云計算及安全（選修）、計算機取證（選修）。

網絡安全領域的專業課程有：網絡安全（必修）、無線網絡安全（選修）、網絡程序設計（選修）、網絡管理（選修）、電子商務和電子政務安全（選修）。

密碼學領域的專業課程有：密碼學（必修）、信息安全數學基礎（必修）。

內容安全領域的專業課程有：信息內容安全（選修）、信息隱藏（選修）。

2.突出武漢大學信息安全專業的辦學特色。武漢大學在演化密碼、可信計算、軟件安全和信息隱藏等方面具有自己的優勢和特色。據此，我們在“密碼學”課程中增加了演化密碼的知識，加強了密碼應用方面的內容，如增加了密碼技術在可信計算中的應用。在實踐課程中設置了“密碼學課程設計”。在信息系統系統領域設置了“可信計算技術”特色課程。在“軟件安全”課程中增加了可信軟件的內容，通過可信編譯等技術來增強軟件的安全性。開設了“程序分析”課程，培養學生掌握軟件逆向工程的技術和能力。

表1 2005年至2011年武漢大學信息安全專業畢業生就業情況

3.體現信息安全學科的自身規律。學校開設了“操作系統原理及安全”課程。這是在以往的“操作系統原理”基礎上增加了18個課時的安全內容形成的，目的是把操作系統原理和安全的內容緊密結合起來，以完整展現該內容的自身規律。這門課程在本科階段開設。之所以開設這門課程是因為操作系統安全屬于信息系統安全的基礎，應該讓學生完整學習這方面的知識。以前的做法是把“操作系統原理”和“操作系統安全”兩門課程分開開設，這樣做的不足之處是操作系統原理的內容和操作系統安全的內容彼此脫節，而且所花的課時數也較多。類似的課程還有數據庫原理及安全（必修）。

另外，近年來工業控制系統的安全問題日益突出。ICS CERT的統計表明85.7%的工業控制系統存在安全漏洞。從2010年到2013年上半年就發生580多起工業控制系統安全事件。為此，我們在最近一次培養方案調整時，在必修課程中增設了“嵌入式系統安全”及其實驗課程。

4.加大實踐環節，提高學生的實踐動手能力。實踐動手能力是學生培養質量的重要組成部分。在2013版教學計劃中，我們將原來6.5個學分的實踐課程加強到9個學分。除了“信息安全數學基礎”之外，每門專業必修課都配套設置了必修實踐課程，實踐課程的形式包括實驗課、課間實驗、課程設計、科研實踐和社會實習等多種方式。

國家重視、校企合作培養信息安全人才

我國政府十分重視信息安全人才培養。目前全國建立信息安全專業的高校已有80多所，其中一部分高校還建立了信息安全碩士點、博士點和博士后企業產業基地。我國已經形成信息安全人才培養的完整體系。教育部成立了“高等學校信息安全專業教學指導委員會”（以下簡稱為教指委）。在教指委的指導下由武漢大學牽頭，13所大學參加，歷時5年，制定出我國第一個《高等學校信息安全專業指導性專業規范》，并由清華大學出版社正式出版發行。規范詳細制定了信息安全專業學生所應學習的知識體系和所應具備的實踐能力體系。為了適應我國信息安全專業辦學的是實際情況，規范給出了兩套方案，供各高校自主選擇、自主更換。武漢大學作為制定規范的牽頭單位，帶頭執行規范。

我國的信息安全企業十分關心信息安全人才的培養，這是十分可貴的。企業根據自身的工作體會與需求，積極參與信息安全人才培養的討論，提出了許多中肯的意見和寶貴的建議。例如，企業提出信息安全課程教學應當采用案例教學。信息安全人才培養應當重視逆向分析能力的培養。又例如，企業表示愿意為信息安全專業的大學生提供實習機會，并愿意接納更多的信息安全畢業生。高校將會采納這些好的意見和建議，改進信息安全人才培養工作，為國家培養出更多更好的信息安全人才。通過討論，企業也理解了學校是為全社會培養信息安全人才，而社會對信息安全人才的需求是多樣的，因此不能僅僅考慮某個企業的需求。

我國信息安全人才培養現存問題

目前我國信息安全人才培養還存在以下問題和困難。

第一，對信息安全學科的管理不順。信息安全學科是研究信息獲取、信息存儲、信息傳輸和信息處理中的信息安全保障問題的一門新興學科。它由密碼學、網絡安全、信息系統安全、信息內容安全和信息對抗五部分組成。但是，我國現行學科管理體制卻把密碼學劃歸軍事指揮學科，把信息對抗劃歸武器學科，其余劃歸計算機科學科。這種管理體制，顯然不符合信息安全學科的自身規律，也不利于信息安全學科的建設和信息安全人才培養。這是因為：

1.這種管理體制違背了信息安全學科的自身規律。信息安全學科的五個組成部分是一個有機體，它們互相依存、相互作用、共同發展。因此，不應人為地把它們割裂開來。

2.這種管理體制不利于信息安全學科學科建設和人才培養。我國現行學科管理體系規定，只有一級學科才能建立碩士點、博士點和博士后流動站。目前信息安全不是一級學科，所以不能設立碩士點、博士點和博士后流動站，從而不能培養碩士、博士、博士后人才。至今，我國還沒有信息安全博士后流動站。只有武漢大學與企業聯合設立了一個“信息安全企業博士后產業基地”。

雖然我國已經建立的80多個信息安全專業，但是這些專業也都是依托在其他學科下設立的。由于依托學科基礎不同，方向各異，內容混亂，相互摯肘，導致培養人才的知識和能力結構不合理，很難保證培養質量。

總之，如果這種狀況長期下去，將嚴重制約我國信息安全人才培養，影響我國在信息安全領域的國際競爭力。

第二，許多高校缺少信息安全師資，特別是缺少高水平的信息安全師資。致使一些高校的某些課程不能開設，影響學生的培養質量。教指委已經決定開辦一些信息安全師資培訓班，為高校定向培養一些信息安全師資。另外，聘請企業的信息安全專家到高校擔任兼職教師，也是一種有效措施。

第三，一些高校缺少必要的信息安全實驗條件。致使一些高校的某些實踐課程不能開設，影響學生的實踐動手能力的培養。高校應當努力爭取條件解決實驗條件。高校之間互相共享實驗資源，也是一種解決辦法。另外，與企業聯合辦學，利用企業的實驗條件，也是一種有效的措施。

第四，信息安全專業規范實施不力。雖然我國制定出世界上第一個信息安全專業規范，但是高校對規范的貫徹實施不夠。其原因在于，規范出版發行時間不長，一些學校和教師還沒有看到規范。也有一些學校和教師雖然看到規范，但并不重視。現有的教材完全符合規范的不多，也是影響規范實施的一個原因。因此，組織宣講信息安全專業規范，編寫符合規范的教材，是貫徹實施規范的有效措施。

（作者單位為武漢大學計算機學院）

美國網絡空間安全教育計劃

美國政府發布了網絡空間安全教育計劃，該計劃由商務部NIST研究所牽頭，國土安全部、國防部、教育部、司法部等11個政府部門共同負責。2011年發布了《NICE戰略計劃（草案）》，2012年又進行了修訂。

美國網絡空間安全教育計劃將網絡空間安全專業領域劃分為七個大類，如圖1所示。美國網絡空間安全教育計劃制定了三個具體目標：

提高全民網絡空間安全的風險意識

任務1：增進對網絡空間風險和脆弱性的了解。

任務2：促進網絡空間安全資源和工具的使用。

擴充網絡空間安全隊伍后備人才

任務1：通過加強網絡空間安全與團隊教育，以及數學和計算思維的作用，增加基礎教育中有關網絡空間安全的教學內容。

任務2：通過增加豐富多彩的課程和研究機會，促進對計算機科學和網絡空間安全的興趣。

在高中/大學預科階段，增加豐富多彩的計算機課程。

在本科和研究生層次，增加豐富多彩的網絡安全課程。

開展網絡空間安全競賽。

發展網絡空間安全研究和開發的優秀人才。

協調國家網絡空間安全虛擬實驗室的學習網。

培養一支具有全球競爭力的網絡空間安全隊伍

任務1：鼓勵開發并采用國家網絡空間安全計劃。

達成共識，制定計劃。

開發工具，鼓勵和監督聯邦機構和社會采用該計劃。

任務2：開發網絡空間安全隊伍人員數量預測工具。

利用計劃作指南，評估聯邦網絡空間安全隊伍需求。

任務3：建立網絡空間安全培訓和職業發展的標準和指南。

制定現行網絡空間安全培訓的基本要求。

基于熟練程度、職業水平、專業領域，對培訓分類。

為各種網絡空間安全職位所需的知識和技能提供詳細指南。

開發網絡空間安全工具，提供培訓課程目錄。

任務4：分析幫助各單位雇傭和招聘網絡空間安全專業人員。

分析各職業領域的雇傭和招聘策略。

幫助各單位雇傭和招聘網絡空間安全專業人員。

任務5：評估網絡空間安全隊伍的職業化。

形成一支網絡空間安全職業化隊伍。

圖1 美國網絡空間安全教育計劃框架

我國與美國的信息安全教育體系比較

美國：提出信息安全勞動力的概念，把信息安全看成一種職業。面向全民實施信息安全教育，包括基礎教育、大學教育和職業教育。制定了一個完整的計劃，明確了目標與任務，制定了完整的專業技術領域。由11個政府機構參與，形成了一個信息安全教育社會體系。但是，目前尚缺少具體實施細則。

我國：本科信息安全教育發展很快，制定了信息安全專業規范，信息安全專業標準正在制定中、培養了大量信息安全專業人才。但缺少基礎教育中的信息安全教育，缺少面向全社會的信息安全教育體系。

美國除了網絡空間安全教育計劃之外，ACM/IEEE計算機科學課程體系2013（CS2013），增加了IAS（Information Assurance and Security）內容的課程，并將其作為計算機科學知識體系中的一個知識領域。CS2013認為把IAS納入課程體系，是因為IAS對于計算機科學教育具有關鍵作用。

雖然美國ACM/IEEE計算機科學課程體系2013（CS2013）增加了IAS內容的課程，但其在系統性和完整性等方面都不及我國的信息安全專業規范。

中國和美國的信息安全教育各有所長，也各有所短。兩國應當互相交流，互相借鑒。