《網(wǎng)絡(luò)安全法》實施一年：高校的改變與挑戰(zhàn)

2018-07-17 03:23:26

中國教育網(wǎng)絡(luò) 2018年6期

2017年6月1日，《網(wǎng)絡(luò)安全法》正式實施，這部法律的實施具有里程碑式的意義，使得網(wǎng)絡(luò)安全有法可依，信息安全行業(yè)由合規(guī)性驅(qū)動過渡到合規(guī)性和強制性驅(qū)動并重。

那么，《網(wǎng)絡(luò)安全法》實施一周年，我國高校的網(wǎng)絡(luò)安全工作有哪些改變？

從大家的反饋可以看出過去一年中有許多改變，第一，制度的完善。網(wǎng)絡(luò)安全制度從無到有或是從有到優(yōu)；第二，意識的改變。通過網(wǎng)絡(luò)安全宣傳周等活動，學(xué)校用戶群體的網(wǎng)絡(luò)安全素養(yǎng)得到大幅提升，高校各方面已意識到網(wǎng)絡(luò)安全工作是一件需要大家一起努力的事；第三，觀念的改變。對于安全服務(wù)外包大家都能普遍接受，當然如何更好地優(yōu)化外包之后的管理顯得更加重要。

但是，最重要的一點，網(wǎng)絡(luò)安全中“人”的工作仍然是一個難點。人的部分怎么去做，這是大家普遍關(guān)注的問題。

上海交通大學(xué): 網(wǎng)絡(luò)安全要做到“守土有責(zé)”

姜開達

上海交通大學(xué)網(wǎng)絡(luò)信息中心副主任

2017年對高校網(wǎng)絡(luò)安全工作來說，是一個機遇，更是一個挑戰(zhàn)。回顧這一年的變化，姜開達認為，網(wǎng)絡(luò)安全工作受重視程度在這一年得到前所未有的提升，但對高校來說，網(wǎng)絡(luò)安全保障體系的頂層設(shè)計和具體細化落地舉措仍然有缺失。《網(wǎng)絡(luò)安全法》和《教育行業(yè)網(wǎng)絡(luò)安全綜合治理行動方案》發(fā)布實施，對網(wǎng)絡(luò)安全整體部署進行了框架性指導(dǎo)，但細則內(nèi)容的指導(dǎo)還不夠明確，比如說在教育行業(yè)中，哪些基礎(chǔ)設(shè)施需要定義為關(guān)鍵基礎(chǔ)設(shè)施？如果沒有一系列具有教育行業(yè)屬性的細則和規(guī)范，很多高校不清楚如何具體實施和執(zhí)行，各自理解又帶來實際執(zhí)行上的偏差，再好的政策也難以快速落地。希望未來能夠在基本框架成熟的基礎(chǔ)上，再多明確一些可操作性強的細則和解釋，這樣對高校更有實際指導(dǎo)意義。

如何做好高校的網(wǎng)絡(luò)安全工作？姜開達認為其核心是“守土有責(zé)”和“合作共贏”，所有高校網(wǎng)絡(luò)安全相關(guān)利益者都應(yīng)承擔(dān)起應(yīng)承擔(dān)的責(zé)任，在此基礎(chǔ)上互相加強合作，高校就會營造一個相對安全的整體氛圍和環(huán)境。具體來說就是：領(lǐng)導(dǎo)重視、機制保障、固定團隊、長期投入。學(xué)校要從行動上真正重視網(wǎng)絡(luò)信息安全；要普及提高全校各院系部門的安全意識；國家和行業(yè)主管部門加強安全監(jiān)管和提供基礎(chǔ)指導(dǎo)；教育軟件廠商承擔(dān)義務(wù)和更多相應(yīng)責(zé)任；安全廠商提供符合學(xué)校要求的專業(yè)化安全服務(wù)，信息化部門要做好安全管理的技術(shù)保障。

網(wǎng)絡(luò)安全對于信息共享和多方合作的要求，可能也是其他信息化工作不能比擬的。姜開達表示，一所學(xué)校去對抗全球黑客攻擊團隊，能力再強，也始終是弱勢，網(wǎng)絡(luò)空間領(lǐng)域安全事件和攻擊信息的高效共享至關(guān)重要，如果各校自掃門前雪，誰也不能獨善其身，唯有走向共享共治。

姜開達認為，現(xiàn)在虛擬網(wǎng)絡(luò)空間安全的重心有明顯變化，從網(wǎng)站內(nèi)容安全到學(xué)校核心數(shù)據(jù)安全，從苦于被動防御到多面出擊掌握主動安全態(tài)勢，從混沌到有序，應(yīng)建立全生命周期管理的信息資產(chǎn)庫，安全貫穿始終。

在網(wǎng)絡(luò)安全工作上，上海交通大學(xué)可以說是一個先行者，這和幾個因素有關(guān)：一是有歷史淵源，從CERNET成立之初，上海交通大學(xué)的汪為農(nóng)教授就一直致力于網(wǎng)絡(luò)安全方面的研究，并且培養(yǎng)出了一批業(yè)務(wù)能力卓越的人員，奠定了技術(shù)和人才基礎(chǔ)。二是各層面的領(lǐng)導(dǎo)對網(wǎng)絡(luò)安全工作都非常重視，有一批人員長期專職負責(zé)這方面的工作。三是成立了一支非常可靠的學(xué)生隊伍，幫助學(xué)校做了不少基礎(chǔ)性的工作。這支隊伍無論是在日常的安全運維，還是在各種網(wǎng)絡(luò)安全攻防比賽中，都取得了非常優(yōu)異的成績。

姜開達表示，缺乏專業(yè)安全團隊的支持是當前高校在網(wǎng)絡(luò)安全工作中存在的共性難題，這也折射出高校信息化部門專業(yè)人員緊缺的困境。上海交通大學(xué)信息化部門目前擁有60多位工作人員，在國內(nèi)高校中人不算少，但是開展各項工作還是捉襟見肘。今年的機構(gòu)調(diào)整將原來的五個部門調(diào)整為三個部門，分別是基礎(chǔ)業(yè)務(wù)部、計算業(yè)務(wù)部、數(shù)據(jù)業(yè)務(wù)部，安全工作目前尚無單列部門。

上海交通大學(xué)的學(xué)生安全團隊在學(xué)校網(wǎng)絡(luò)安全工作中一直發(fā)揮著重要的作用。學(xué)生畢業(yè)后是否仍會留在學(xué)校工作？實際的情況是團隊中的學(xué)生都是各大互聯(lián)網(wǎng)公司進行人才爭奪的對象，其優(yōu)越的薪酬和待遇讓學(xué)校難以望其項背，但是也開始看到，一些有多年公司IT職業(yè)經(jīng)驗的優(yōu)秀人才在經(jīng)過職場奮斗后，也有人希望回到學(xué)校來做一些工作。

深圳大學(xué)：積極探索多元化服務(wù)機制

江魁

深圳大學(xué)信息中心副主任

深圳大學(xué)信息中心是一個集現(xiàn)代教育技術(shù)、網(wǎng)絡(luò)技術(shù)、軟件開發(fā)、多媒體制作與應(yīng)用、電話與有線數(shù)字電視、無線通訊、校園卡運行與管理、影視制作和視聽技術(shù)支持為一體的多功能機構(gòu)，目前大約有80名員工，近年來隨著學(xué)校智慧校園等大型信息化項目的建設(shè)，各學(xué)院、業(yè)務(wù)部門的應(yīng)用系統(tǒng)和云平臺資源的數(shù)量也在不斷增加，特別是學(xué)校從之前一個校區(qū)擴展到了西麗、后海北及后海南三個校區(qū)，為學(xué)校的網(wǎng)絡(luò)與信息系統(tǒng)建設(shè)和運維帶來了新的挑戰(zhàn)。

目前，網(wǎng)絡(luò)安全運維工作主要集中在網(wǎng)絡(luò)部門，嚴格意義上說還沒有專職人員，唯一的一名網(wǎng)絡(luò)安全核心技術(shù)人員還要兼顧系統(tǒng)運維的職責(zé)。在解決人員方面，深圳大學(xué)打算主要從三個方面著手解決。

第一，吸引并留住人才。

網(wǎng)絡(luò)安全工作招人難的特點是，大部分優(yōu)秀的畢業(yè)生都愿意去IT企業(yè)，一是在薪酬方面，學(xué)校不可能像IT企業(yè)一樣能給與高薪待遇，二是在發(fā)展前景上，學(xué)校的工作更多是一種運維保障，不能提供公司所能提供的針對前沿技術(shù)進行研究的平臺和機會。針對這樣的現(xiàn)實情況，深大信息中心目前的策略是，招聘普通高校畢業(yè)的有意愿參與高校信息化工作的IT專業(yè)學(xué)生，盡量給予其個人技能和職業(yè)成長的空間，將其培養(yǎng)成為網(wǎng)絡(luò)安全工作的骨干，使其在工作中獲得成就感、歸屬感和榮譽感，并利用學(xué)校寒暑假、教職工子女入托入學(xué)等隱性福利留住人才。

第二，把學(xué)生的力量組織起來。

從2016年開始，信息中心以勤工助學(xué)的方式把對網(wǎng)絡(luò)安全感興趣的學(xué)生聚在一起，這批學(xué)生對學(xué)校網(wǎng)絡(luò)安全運維起到了很重要的補充。一方面，彌補了網(wǎng)絡(luò)安全人員的缺口，另一方面，讓一些有可能對學(xué)校網(wǎng)絡(luò)安全造成“威脅”的學(xué)生變成學(xué)校網(wǎng)絡(luò)安全的守護者。同時，對外，組織這批學(xué)生積極參與國內(nèi)知名度較高的網(wǎng)絡(luò)安全競賽，對內(nèi)，在老師帶領(lǐng)下開展對學(xué)校信息系統(tǒng)的滲透測試工作，使其網(wǎng)絡(luò)安全能力有展示和釋放的出口。學(xué)生在幫助學(xué)校做好網(wǎng)絡(luò)安全工作的同時，自身也得到了極大鍛煉和提高。2018年2月，在信息中心的支持下，這批學(xué)生正式成立了深圳大學(xué)學(xué)生信息網(wǎng)絡(luò)安全協(xié)會，目前學(xué)生隊伍已經(jīng)擴充到40人左右，為學(xué)校網(wǎng)絡(luò)安全工作補充了新的能量。

第三，積極探索外包服務(wù)。

在現(xiàn)在的情況下，向人事部門申請用人編制的難度要大于申請項目資金的難度。基于這樣的背景，尋求專業(yè)網(wǎng)絡(luò)公司的外包服務(wù)是一個較好的解決方案。深圳大學(xué)將在2019年申請網(wǎng)絡(luò)安全加固提升專項資金，其中一部分用于網(wǎng)絡(luò)安全服務(wù)外包，主要滿足24小時實時監(jiān)測、預(yù)警、應(yīng)急響應(yīng)等工作的需求。

當前信息化部門面臨著許多溝通協(xié)調(diào)的工作，這是信息化部門的重要特征。信息化部門有許多工作，這些工作各具特點，所以在人員的分配上一定要注意到工作的特點與員工個人特點的匹配。

網(wǎng)絡(luò)安全工作是國家安全的重要組成部分，具有政治意義，這是高校做網(wǎng)絡(luò)安全工作面臨的首要共性背景，也是網(wǎng)絡(luò)安全運維的核心動力。所以做網(wǎng)絡(luò)安全工作，一定要如履薄冰，兢兢業(yè)業(yè)，以高度責(zé)任感去承擔(dān)這項重任。

中山大學(xué)：觀念的更新是最大的挑戰(zhàn)

張永強

中山大學(xué)信息化管理辦公室副主任

《網(wǎng)絡(luò)安全法》實施一年，明顯感覺到，大家的網(wǎng)絡(luò)安全意識提高了。中山大學(xué)成立了網(wǎng)信領(lǐng)導(dǎo)小組，負責(zé)人是書記和校長。各院系部門一把手明確了網(wǎng)絡(luò)安全責(zé)任，主動配合信息化職能部門和技術(shù)單位的工作。此外，網(wǎng)絡(luò)安全工作得到了廣泛認可及可持續(xù)的經(jīng)費支持，管理制度和技術(shù)體系不斷完善。

但由于從業(yè)人員薪酬上升很快，學(xué)校安全技術(shù)人員流失，2017年我們就有一名骨干跳槽到BAT，這方面的技術(shù)又補充困難，水平高的招不進，入門級的不想要，所以我們轉(zhuǎn)而將部分工作外包。依靠外力是彌補學(xué)校網(wǎng)絡(luò)安全能力不足的重要手段。保護監(jiān)測響應(yīng)等三方面都可以引入外包服務(wù)，例如保護可以引入云防護服務(wù)、監(jiān)測可以引入白盒黑盒測試服務(wù)、響應(yīng)可以引入專家服務(wù)。

我認為，網(wǎng)絡(luò)安全工作的難點在于安全管理體系的完善和實施，尤其是安全制度的施行和落實、人員安全素質(zhì)的提升、安全習(xí)慣的培養(yǎng)及組織安全文化的形成方面，挑戰(zhàn)在于隨著互聯(lián)網(wǎng)變革，新的安全問題不斷涌現(xiàn)，舊觀念、舊辦法無法適應(yīng)變化。

我們對招聘人員的基本需求是：管理人員最好有法律和管理知識背景、技術(shù)人員最好有軟件開發(fā)背景。由于當前從業(yè)薪酬水平比較高，因此招聘比較困難。

從2018年開始，學(xué)校設(shè)立了安全培訓(xùn)專項。初步思路是對全員進行意識教育（形式是在線教育+現(xiàn)場講座），對專職和兼職的安全人員進行專業(yè)技能培訓(xùn)（形式是采用CISP教材的企業(yè)內(nèi)訓(xùn)），未來打算采購專業(yè)的培訓(xùn)服務(wù)。

中國人民大學(xué)：人員分配不割裂應(yīng)用

梁藝軍

中國人民大學(xué)信息技術(shù)中心

《網(wǎng)絡(luò)安全法》實施一年了，這一年來看，網(wǎng)絡(luò)安全工作中確實有許多改變。首當其沖的就是制度的建立與完善。學(xué)校高度重視，從法律層面嚴格要求和落實相關(guān)制度。在《網(wǎng)絡(luò)安全法》實施后，我校依據(jù)此法，逐步制定各項管理制度、規(guī)范和方法。先后建立急需的制度，比如網(wǎng)站管理，ICP注冊管理、保密技術(shù)管理和辦公安全等，由校長辦公會審核修改后發(fā)布執(zhí)行，在實踐中不斷完善，并宣傳到位，做到有規(guī)可依。

我們在2018年成立了網(wǎng)絡(luò)安全與信息化領(lǐng)導(dǎo)小組，信息技術(shù)中心作為實施牽頭部門更是直接成立網(wǎng)絡(luò)安全科，專人負責(zé)處理和協(xié)調(diào)相關(guān)事務(wù)。

在制度的保障下，我感覺網(wǎng)絡(luò)和信息中心的工作比以前“好做”。首先，職權(quán)加大，原來不敢處理的，現(xiàn)在可以直接依法快速處理，管理的范圍亦可進行延伸。其次，學(xué)校為網(wǎng)絡(luò)安全的投資加大了，原來2～3年沒有相關(guān)的設(shè)備系統(tǒng)的技術(shù)投資，目前已經(jīng)落實，尤其是服務(wù)經(jīng)費。第三，人才的聚集，我們成立了網(wǎng)絡(luò)安全科，引入聘用人才參與建設(shè)。

目前來看，在網(wǎng)絡(luò)安全工作中，我認為首要的挑戰(zhàn)是全校師生觀念的改變。觀念的改變是困難的，如何能從《網(wǎng)絡(luò)安全法》的威懾執(zhí)行到自覺動作，將安全觀念融入到學(xué)校規(guī)劃整體考量中，融入到項目建設(shè)運行的整個周期中比較重要。如果大家都能從心里意識到安全的重要性，做到上下一心，風(fēng)險就可以降到最小。

由于學(xué)校內(nèi)部人員的技術(shù)和精力的局限，外包是必不可少的。但是由于專業(yè)企業(yè)和學(xué)校的立場不同，這是個矛盾體，企業(yè)追逐利潤，學(xué)校要求穩(wěn)定，因此只能依賴合作的基礎(chǔ)——安全進行分工，校內(nèi)人員必須主導(dǎo)和主責(zé)，跟蹤整個服務(wù)的過程，做到第一收到和最后收尾。

我們的網(wǎng)絡(luò)安全人員分為在編和外聘，外聘人員主要從其他科室抽調(diào)，這樣做的好處就是不割裂應(yīng)用，熟悉信息化的情況。我認為，安全隊伍不易大，小而精、勉強夠用即可，因為安全不是獨立的，要應(yīng)用到各個領(lǐng)域，比如網(wǎng)絡(luò)方面的安全就與網(wǎng)絡(luò)密切相關(guān)，需要網(wǎng)絡(luò)部門配合完成；在內(nèi)容安全方面，不僅是技術(shù)，還要有對內(nèi)容尺度的把握人才。做安全的人員應(yīng)該不僅僅懂得安全內(nèi)容，還要精通安全的實施領(lǐng)域，比如網(wǎng)站安全，至少要知道網(wǎng)站所涉及到的所有技術(shù)環(huán)節(jié)。所以，作為一個網(wǎng)絡(luò)安全人員，需要經(jīng)常補充各種新的知識。

北京科技大學(xué)：最難的部分還是“人”的工作

楊德斌

北京科技大學(xué)信息化辦公室主任

這一年，我們的網(wǎng)絡(luò)安全工作在管理、技術(shù)和人員上都有了新的改變。管理上，建立起基于微信的實時交流、互動安全群，實時發(fā)布、部署網(wǎng)絡(luò)安全信息和防范要求。技術(shù)上，強制所有已上線和待上線的系統(tǒng)進行強安全技術(shù)條件下的安全檢測和審核。人員上，建立起了各二級部門的非計算機專業(yè)管理人員共同關(guān)注的網(wǎng)絡(luò)安全體系，形成有效的防控、聯(lián)動隊伍。