淺析高校網絡安全管理現狀及應對措施

◆謝黨恩 常思遠 馮戰申

(河南省許昌市八一路88號許昌學院 河南 461000 )

隨著互聯網的高速發展，網絡安全問題也被國家日漸關注。從 2014年2月 27日成立中央網絡安全和信息化領導小組，到2015年習近平主席多次提及網絡空間安全，再到2016年4月19日習近平主持召開網絡安全與信息化工作會談并發表重要講話，網絡安全已經提升為國家戰略層面[1]。近年來，各類高校都在加大智慧校園建設力度，涌現出來越來越多服務于教學、科研和校務管理等方面的應用，這些應用在方便了師生的同時也加大了高校網絡安全的風險。鑒于此，我們需要充分把握高校網絡安全管理現狀，并提前做好各項應對措施。

1 高校網絡安全現狀分析

1.1 全網資產數據不清

安全防護需要有針對性，沒有一種方案能解決所有的安全問題，這就要求在進行安全體系建設之初必須要明確要被防護的資產[2]。目前很多高校管理部門對全網資產信息沒有詳細的統計分析，無法掌握全網資產數據信息。在此前提下安全就無從談起，只能被動地像救火隊一樣，什么地方起火就處理什么地方的問題，而且經常無法對應到資產責任人及位置信息，導致的結果是無法及時處理問題。

1.2 權責不明晰，管理難度大

在高校里各二級部門都有不少于1個的部門網站，此外還有越來越多的各種管理系統，如OA系統、教務系統、招聘系統、迎新系統、離校系統等各類Web信息系統，數量眾多，管理難度大，費時費力。而這些網站和信息系統在早期都是依靠紙質的備案表格進行備案，沒有線上的備案管理系統，主要依靠人工管理，工作復雜煩瑣，一旦緊急事件后，無法快速進行處理和追責。其次，部分二級單位存在“私搭亂建”現象嚴重，甚至采用租賃云服務的形式，在公有云上搭建業務系統，自身又缺少監管，出現問題時容易對學校造成不良影響，且不易檢測。

1.3 缺乏有效的安全管理體系

安全管理體系，顧名思義就是基于安全管理的一整套體系，體系包括軟件硬件方面[3]。軟件方面涉及思想、制度、教育、組織、管理；硬件包括安全投入、設備、設備技術、運維服務等等。目前，大多數高校都已經開始陸續上線了一系列軟硬件安全產品，以加強對校園網安全建設，但是，有了這些安全產品還遠遠不夠，缺乏必要的管理體系的約束，這些設備只能成為一種擺設。

1.4 安全人員數量不足，待遇差

高校網絡安全總體形勢不容樂觀。就目前網絡信息安全形勢而言，同類高校網絡安全隊伍人員還遠遠不夠，尤其是技術人員還要承擔網絡管理和信息系統管理等諸多工作任務，前沿技術學習不夠，安全敏感度不夠，能投入工作的精力不夠。

安全技術人員的補充對高校來說是個難以解決的問題，高校側重于教學和科研人員的引進和培養，網絡信息安全人員多數歸屬于教學輔助單位，用人方式也多為人事代理或臨時用工，相對教學人員而言，在工資收入和社會地位上都低人一等，無法發揮工作人員的工作積極性和創造性。

2 高校網絡安全管理應對措施

2.1 健全網絡安全管理體系

沒有良好的安全管理體系就沒有好的執行力，安全設備、安全技術是從技術層面解決異常的攻擊，安全管理體系是從管理角度解決制度和流程的問題，制度和流程管理的是人，人再通過安全設備和技術落實安全，提高單位安全能力，安全技術和管理體系要相輔相成。網絡安全管理體系的建設是一個非常重要且需要不斷完善的過程，通過制定一系列制度文件的形式來落實網絡安全管理過程中相關部門的主體責任，要讓各主體部門轉變觀念，明確自己的安全責任。長期以來，高校里面形成一種“安全問題都是信息部門責任”的不良思維，自己的業務系統出了安全事件，推諉扯皮賴到信息部門頭上。其實，學校的信息部門就像是學校的保衛隊，保護的是學校的大門，他們的職責是做好外圍的防護。各個單位相當于圍墻之內的各家各戶，他們有自己的戶型、結構和私有的鑰匙，所以只有各單位才能做好內部防護[4]。

為了規范和明確信息化建設中各單位的工作范圍和職責，學校必須建立一套網絡與信息安全管理制度，并通過這些制度對安全管理工作和職責進行劃分。制度應明確網絡與信息系統安全必須要貫穿學校的信息化建設始終，做到同步規劃，同步建設和同步運行，應確定信息管理部門和各二級單位之間的具體職責以及必須開展的工作等。

2.2 增加網絡安全軟硬件的資金投入

學校要加大資金投入，要從技術方面入手做好整個校園環境的基礎信息安全防護，主要包括建立校園網網絡防火墻、VPN、堡壘機、Web應用防火墻、數據庫審計、云防護、網站及信息系統監控平臺、漏掃設備、網絡防病毒軟件等公共平臺設施，確保有防護、有數據、有痕跡，為網絡與信息安全工作提供必須的、完備的環境和條件保障。依照《國家網絡安全法》和《信息系統等級保護條例》的要求做好信息系統的等級保護定期備案工作。

2.3 摸清家底并做好應急預案

高校在大規模引入各類業務系統時，一般都會出現“先建后管”的局面，這就導致經過一段時間的建設，各種業務系統如雨后春筍般涌現出來，無人知曉全校服務器（虛擬機）總數量，甚至有些單位通過采購服務形式在公有云上搭建系統，更是讓信息化管理單位無法掌控。針對這種亂象，必須從應用系統、信息資產、基礎架構、規章制度、應急保障五個維度進行全面梳理，要摸清家底，掌握系統部署、運行、應用和運維工作的基本情況，編制完善的信息化基礎資料，才能夠做到一旦出現安全事件時，快速響應和處置，做到有的放矢。在此基礎上，進一步借助于安全設備來提前發現服務器和系統存在的安全風險，提前告警，趕在事件發生之前完成對系統加固，從而有效避免安全事件發生。

2.4 強化高校網絡安全隊伍建設

有了科學的管理機制還不夠，還需要有專業的技術團隊做支撐。針對高校安全人員數量不足、待遇差的問題，學校人事部門需要制定針對性的解決方案，在人員分配、職稱評審、崗位聘任等方面要適當給予傾斜，以保障高技能網絡安全人才的穩定發展。同時要加大對技術人員的培訓力度，提升團隊的專業技能。在此基礎上，需要擴展渠道，可適度引入外部企業專業的技術人員支持，共同做好學校的安全防護。一方面，學校通過與安全公司進行合作，購買安全服務，引進一批專業的技術支持。另一方面，充分利用有能力的學生做安全方面的測試、攻擊、滲透等工作，讓他們能為學校的安全貢獻出自己的力量。同時，也可以給學生出具工作證明，對他們的白帽子工作給予創新學分等各種方式的肯定。

2.5 加大網絡安全宣傳力度

在高校工作中，要通過媒體介質推送、專題課程、專題培訓、問卷調查、宣傳板等方式加強網絡安全宣傳，協同學生處、教務處將該項教育活動納入高校的日常教學和管理工作當中。通過舉辦網絡安全知識講座、開設網絡安全選修課程等方式為學生進行積極的心理健康引導，規范學生的網絡行為，避免其在具體應用網絡當中出現違反法律法規的情況。同時，通過這些手段可以有效提升師生的網絡安全防護意識，減少惡意占用或利用網絡資源、威脅校園網絡安全的行為，使師生在工作生活當中都能夠對網絡進行規范合理的使用，做一名遵紀守法的網民。

3 結束語

綜上所述，高校在進行數字化校園建設過程中，網絡安全建設要和信息化建設融為一體、同步進行，同時要將網絡安全工作作為評價信息化建設成敗的一項關鍵指標。只要我們構建一套完備的安全管理制度，搭建一套安全監測及智能分析預警軟硬件系統，組建一支技術過硬的安全運維團隊，形成一個信息素養過硬的師生團體，就可以在很大程度上保障高校網絡和信息資產的長治久安。