江蘇科技大學打造網(wǎng)信安全立體化管理新模式

陳宓宓 薛云霞

近日，江蘇科技大學順利通過了數(shù)字化校園系統(tǒng)、云平臺信息系統(tǒng)、校園主頁及站群系統(tǒng)的二級等保測評以及電子郵件系統(tǒng)的三級等保測評。

這份成績正是江蘇科技大學打造網(wǎng)信安全立體化管理模式的成果之一。自《中華人民共和國網(wǎng)絡(luò)安全法》頒布以來，江蘇科技大學緊跟中央網(wǎng)信辦要求，以高屋建瓴的頂層設(shè)計、立體規(guī)范的管理、創(chuàng)新靈活的聯(lián)動機制，圍繞網(wǎng)信安全怎么創(chuàng)新、怎么做實、怎么干好三個方面， 全力推行“制度先行、定期排查、定時掃描、承諾保障、及時整改”的立體化管理模式，在實踐中收到了良好的效果。

實施CIO制度

強化網(wǎng)絡(luò)安全責任

2017年在省內(nèi)高校中率先推出CIO體系，從管理組織架構(gòu)上確定能統(tǒng)籌規(guī)劃、統(tǒng)籌預(yù)算、統(tǒng)籌協(xié)調(diào)與建設(shè)信息資源和技術(shù)的學校領(lǐng)導崗位及其執(zhí)行體系。江蘇科技大學成立了以校黨委書記和校長為組長、分管信息化和輿情的副校長為副組長的網(wǎng)絡(luò)安全和信息化領(lǐng)導小組;頒布《江蘇科技大學首席信息官制度》，構(gòu)架以“網(wǎng)絡(luò)安全和信息化領(lǐng)導小組”為決策層、“網(wǎng)絡(luò)安全和信息化領(lǐng)導小組辦公室”為協(xié)調(diào)層、各部門信息主管（干事）為執(zhí)行層的三層隊伍體系。

這樣的工作架構(gòu)使學校網(wǎng)信安全工作落到了實處，確保網(wǎng)絡(luò)和信息安全工作半徑縱向到底、橫向到邊。所有二級部門的信息主管精心籌劃，信息干事對部門網(wǎng)絡(luò)信息安全范疇的自查自糾，不僅簽署《安全承諾書》，還參照《江蘇科技大學信息安全應(yīng)急預(yù)案》起草制定本部門應(yīng)急預(yù)案、組織應(yīng)急處置演練。

實行CIO制度后，我校網(wǎng)信安全保障能力逐年提升。2017年以來，根據(jù)《江蘇科技大學信息系統(tǒng)（網(wǎng)站）安全管理辦法》協(xié)調(diào)處置網(wǎng)絡(luò)安全漏洞84條，清理“僵尸”信息系統(tǒng)11個，關(guān)閉有安全隱患的聯(lián)網(wǎng)信息發(fā)布終端10個。

優(yōu)化校園網(wǎng)結(jié)構(gòu)

實施網(wǎng)信安全報告制

2018年10月，學校順利通過鎮(zhèn)江市網(wǎng)絡(luò)安全執(zhí)法現(xiàn)場檢查。2018年年底，參加江蘇省公安廳主辦的網(wǎng)絡(luò)安全攻防演練，成功發(fā)現(xiàn)攻擊行為，并以工作規(guī)范性在全省范圍內(nèi)被表揚。這些業(yè)績折射出江蘇科技大學網(wǎng)絡(luò)和信息化安全管理思路的成效。

學校網(wǎng)絡(luò)安全和信息化領(lǐng)導小組高度重視網(wǎng)信安全的整體架構(gòu)和宏觀規(guī)劃，制定了“以優(yōu)化網(wǎng)絡(luò)設(shè)備的安全策略、強化網(wǎng)絡(luò)安全的軟硬件建設(shè)為抓手，以扁平化改造、精細化網(wǎng)絡(luò)管理為載體，施行白名單制度、嚴控服務(wù)器訪問”的管理思路。周南平校長要求學校以網(wǎng)絡(luò)、安全和數(shù)據(jù)為基礎(chǔ)，信息化服務(wù)為導向，新校區(qū)建設(shè)為重點，持續(xù)增強關(guān)鍵信息基礎(chǔ)設(shè)施防護能力。

信息化中心作為網(wǎng)信安全工作的核心部門，通過扁平化改造實現(xiàn)了精細化網(wǎng)絡(luò)管理，回收用戶端的教育網(wǎng)公網(wǎng)IP地址1000余個。信息化中心發(fā)布《江蘇科技大學網(wǎng)絡(luò)與信息安全事件報告制度》《江蘇科技大學網(wǎng)絡(luò)與信息安全問題通報制》，實現(xiàn)網(wǎng)絡(luò)和信息安全問題的早發(fā)現(xiàn)、早處置，具體做法為：根據(jù)對網(wǎng)站、信息系統(tǒng)的常態(tài)化監(jiān)測，一方面通過電話、短信、電子郵件和書面通知等方式，及時向責任部門下發(fā)《網(wǎng)絡(luò)和信息安全隱患限時整改通知單》，另一方面以季度報告、月度簡報、不定期通報等方式向網(wǎng)絡(luò)安全和信息化領(lǐng)導小組和各部門通報存在的漏洞、后門、暗鏈、弱口令等安全隱患，并負責跟蹤核查整改結(jié)果。入侵行為檢測數(shù)據(jù)顯示，數(shù)據(jù)中心安全防護效果逐月增強。2018年隱患整改速度和整改效果與2017年同比提升四成左右，2019年上半年與2018年下半環(huán)比提升13%。

落實數(shù)據(jù)安全

捍衛(wèi)師生敏感信息

大數(shù)據(jù)時代背景下，高校信息化產(chǎn)生的各類數(shù)據(jù)成為高校最重要的資產(chǎn)之一。學校在推進業(yè)務(wù)系統(tǒng)整合、共享數(shù)據(jù)平臺建設(shè)、智慧校園建設(shè)、數(shù)據(jù)分析與挖掘等大數(shù)據(jù)建設(shè)的同時，堅持安全與發(fā)展并重的方針，為大數(shù)據(jù)發(fā)展構(gòu)建安全保障體系，在充分發(fā)揮大數(shù)據(jù)價值的同時，解決面臨的數(shù)據(jù)安全和個人信息保護問題。信息化中心從漏洞掃描預(yù)警、攻擊行為防護、訪問身份識別、運維操作管控、重要數(shù)據(jù)加密、操作行為審計、數(shù)據(jù)容災(zāi)備份這七方面入手，不斷夯實數(shù)據(jù)層面安全管理工作。

這系列安全舉措，取得了明顯的成效。江蘇省高校信息化建設(shè)先進單位、中國教育科研網(wǎng)優(yōu)秀會員單位等榮譽紛至沓來。

加強學科建設(shè)

創(chuàng)新網(wǎng)信人才培養(yǎng)

網(wǎng)信安全人才培養(yǎng)范疇中，江蘇科技大學育人成果喜人。學校在第十屆中國大學生計算機設(shè)計大賽中榮獲一等獎1項、二等獎5項、三等獎1項。王子昂蟬聯(lián)第二屆、第三屆滴滴“信息安全高校闖關(guān)賽”冠軍，并取得在日本東京舉行的第四屆全球信息安全攻防賽第四名的好成績。學校承辦江蘇省第九屆信息安全高層論壇。

學校響應(yīng)中央網(wǎng)信辦的號召，加快網(wǎng)絡(luò)安全人才培養(yǎng)，從2016年起，設(shè)置信息安全本科專業(yè)，現(xiàn)已培養(yǎng)120名在校生。學校認真貫徹《關(guān)于加強網(wǎng)絡(luò)安全學科建設(shè)和人才培養(yǎng)的意見》，高度重視網(wǎng)絡(luò)安全人才的創(chuàng)新創(chuàng)業(yè)教育工作，構(gòu)建了“教學-實訓-競賽-孵化”四位一體的創(chuàng)新創(chuàng)業(yè)教育培養(yǎng)體系。以教學為基礎(chǔ)，夯實創(chuàng)新創(chuàng)業(yè)教育課程建設(shè);以實訓為載體，課內(nèi)課外相結(jié)合，建設(shè)一系列創(chuàng)新實驗室和創(chuàng)新創(chuàng)業(yè)社團，持續(xù)實施大學生創(chuàng)新訓練計劃;以賽事為抓手，積極組織學生參加高水平競賽活動，保證每個學生至少參加一項學科競賽、創(chuàng)新訓練項目或?qū)I(yè)實踐活動。

以定期舉辦的攻防實戰(zhàn)演習為例，參與其中的學生收獲的不僅是攻防知識與技巧，使學生零距離感受到各種攻擊手段的魅力以及信息安全現(xiàn)實的殘酷，更加深了學生對專業(yè)迫切性和嚴肅性的理解，激發(fā)其社會責任感。

開展培訓教育

提高安全意識和技能

網(wǎng)絡(luò)安全永遠在路上，網(wǎng)信安全人人有責。這場攻堅戰(zhàn)既是網(wǎng)信辦的戰(zhàn)斗，也是對全體師生員工的網(wǎng)信安全意識的洗禮。

首先要處理好網(wǎng)信安全和學校發(fā)展的平衡關(guān)系。網(wǎng)信安全工作可能會增加師生員工的工作量，但網(wǎng)信安全這項工作必不可少。為提高師生的認識，學校網(wǎng)信辦通過推行網(wǎng)信安全工作例會制和項目研討制，擴大宣傳和教育力度。2018年共召開38次工作例會，組織19個項目的安全專項討論。利用新生入學教育、新教師入職教育、網(wǎng)絡(luò)安全宣傳周、信息化建設(shè)與管理中心黨支部特色活動等契機，通過形勢政策課、講座、報告會、參觀、一對一交流、微信推送、郵件推送、主題網(wǎng)頁等方式，面向廣大師生開展線上線下并行的網(wǎng)絡(luò)安全宣傳教育，提高其網(wǎng)絡(luò)和信息安全意識和素養(yǎng)。

其次，網(wǎng)信安全工作關(guān)系到認識、機制、制度、管理、技術(shù)、隊伍、經(jīng)費等各方面，而且需要調(diào)動各種資源、要獲得全體人員的共識，需要全校上下持續(xù)不斷的努力。根據(jù)學校網(wǎng)絡(luò)和信息安全工作薄弱環(huán)節(jié)以及年度工作重點，網(wǎng)信辦制定了針對不同對象的網(wǎng)絡(luò)和信息安全教育計劃，重點開展面向信息主管、信息干事和系統(tǒng)管理員的專題培訓，切實提高廣大師生的網(wǎng)絡(luò)安全意識和防護能力。領(lǐng)導小組多次召開網(wǎng)信安全工作協(xié)調(diào)會，要求切實加強網(wǎng)絡(luò)安全管理，全面筑牢網(wǎng)絡(luò)安全防線，營造安全和諧網(wǎng)絡(luò)環(huán)境。信息化中心圍繞網(wǎng)信安全和用戶體驗專題，多次召開培訓會。今年4月，信息化中心推出“營造風清氣正網(wǎng)絡(luò)空間，促進線上線下黨建融合”主題教育活動，設(shè)立網(wǎng)絡(luò)安全宣傳月，多渠道多階段開展網(wǎng)信安全知識宣傳，掀起全校學習網(wǎng)信安全的熱潮，增強師生網(wǎng)絡(luò)安全意識，營造風清氣正的校園網(wǎng)絡(luò)空間。