等保2.0背景下的專業課程開發

蔡東蛟 洪志農

【摘要】? ? 介紹等保2.0背景情況，分析等保2.0對信安專業課程體系的影響，以等保三級建設工作為例，采用學習領域課程開發基本路徑，召開實踐專家研討會，提煉職業崗位典型工作任務，確定學習領域課程，設計學習情境和學習任務，完成等級保護專業課程開發。

【關鍵詞】? ? 等級保護? ? 專業課程? ? 學習領域? ? 學習情境

引言：

互聯網的飛速發展，網絡無處不在，網絡安全已成為與國家、社會、個人息息相關的問題，并上升到國家安全層面。2017年實施的《中華人民共和國網絡安全法》明確“國家實行網絡安全等級保護制度”。2019年12月，《網絡安全等級保護2.0》系列標準落地，總體來說，等級保護的基本要求、測評要求和設計技術要求框架統一，即：安全管理中心支持下的三重防護結構框架。此外，通用安全要求+新型應用安全擴展要求，將云計算、移動互聯、物聯網、工業控制系統等納入了標準規范。2020年7月，公安部在《貫徹落實網絡安全等級保護制度和關鍵信息基礎設施安全保護制度的指導意見》中要求：堅持積極防御、綜合防護。同時要求加強人才培養，建設人才庫，建立健全人才發現、培養、選拔和使用機制，為做好網絡安全工作提供人才保障。

從等保2.0的實施和指導意見中我們看到，隨著信息技術的發展，我國等級保護制度已經越來越完善。首先，網絡運營者落實網絡安全等級保護成為一項義務，其次等保2.0和等保1.0對照，除了安全通用要求外，增加了云計算安全、移動互聯安全、物聯網安全、工業控制系統安全等擴展要求，這對等級保護制度提出了新的要求;再者等級保護的基本原則不再僅僅只是依照標準自行保護，而是要積極防御、綜合防護。

因此，在等保2.0背景下，網絡運營者在落實等級保護制度的過程中，不僅在思想上需要重新審視網絡安全的重要性，在實際工作中也需要加強對等保2.0涉及的新標準、新領域、新技術的學習和應用。

一、信安專業課程體系分析

等保2.0的實施對高職信安專業的人才培養也提出了新要求。第一，在教學過程中需要加強網絡安全法的宣導，同時也需要明確作為網絡運營者需要履行的責任和義務;第二，學生職業能力的培養也需要結合等保2.0的能力要求。因此，在等保2.0背景下信安專業的課程體系也要緊跟等保2.0的變化作出相應調整。

開發信安專業學習領域課程體系，首先，需要通過人才市場需求調研和行業企業調研，召開由網絡信息安全行業實踐專家、課程開發專家和信安專業課教師共同參加的實踐專家訪談會，研討信安專業人才培養目標和職業崗位群，剖析網絡信息安全行業里“安全與信息安全管理員”、“安全服務工程師”、“安全銷售工程師”、“安全售前工程師”、“產品技術支持工程師”、“安全技術工程師”、“滲透工程師”、“安全運維工程師”等職業崗位的工作職責和工作任務，進一步分析并確定典型工作任務，根據能力復雜程度整合典型工作任務形成綜合能力領域，再由課程專家和專業教師根據教學的規律及要求把綜合能力領域轉化為學習領域課程體系，由此推導出的專業核心課程包括了《信息安全產品配置與應用》、《數據備份與恢復》、《滲透測試與攻防技術》、《網絡安全防護與運維》、《等級保護基礎與實踐》、《信息安全代碼審計》、《網絡安全編程（Python）》等課程。

在該學習領域課程體系中，《等級保護基礎與實踐》是專業職業能力培養的主要核心課程之一，本課程先行課程有《信息安全產品配置與應用》、《滲透測試與攻防技術》等，后續課程有《網絡安全編程（Python）》、《崗前技能綜合實訓》等。

二、《等級保護基礎與實踐》課程開發

等保課程培養的是學生開展等保2.0相關建設工作及利用等保2.0對網絡進行安全評估的綜合職業能力。在先行課程學習基礎上，通過本課程學習，理解等保2.0工作的責任與義務，了解等級保護制度及相關法律法規，熟悉等保2.0系列標準，掌握等保建設和評估中網絡設備、信息安全產品、服務器、防火墻、入侵檢測設備、漏洞掃描設備、等保工具箱等產品工具的使用，能根據《信息安全技術網絡安全等級保護基本要求》的標準要求開展不同等級等保安全體系建設。

2.1開發思路

采用工作過程導向開發《等級保護基礎與實踐》學習領域課程，整個課程內容學習過程模擬了企業中網絡安全體系從無到有的構建并進行管理的完整工作過程，課程開發過程如圖1所示。

首先，對職業崗位做工作任務分析，在此基礎上，提煉典型工作任務，確定學習領域課程，設計學習情境和學習任務，完成等級保護專業課程開發，基于行動導向的教學方式，做好課程的實施及評價[1-3]。

2.2典型工作任務分析與學習情境設計

經過與網絡安全從業人員交流，目前工作中主要以二級和三級的等級保護建設項目居多。

三級標準高于二級，在此參照建設等級保護三級網絡安全防護體系的工作過程來開發《網絡安全等級保護基礎與實踐》課程。

根據《GB_T 25058-2019 信息安全技術網絡安全等級保護實施指南》，等級保護的實施流程如圖2所示。

以某單位網站開展等保三級建設工作為例，分析梳理出實際工作過程中典型的工作任務與工作內容，如表1所示，按照學習領域課程開發流程，得出課程對應的學習情境與學習任務，如表2所示。

2.3 課程綜合案例分析示例

以某單位網站按照等級保護三級標準要求建設網絡安全防護體系為例，如圖3所示，該單位網絡安全防護體系首先把網絡劃分為五個安全域，分別是互聯網出口域、核心交換域、辦公區域、核心業務域和運維管理域。同時在核心業務域與互聯網出口域兩個重要安全域都采用冗余建設，避免出現單點故障。

各個安全域之間用下一代防火墻進行防護。態勢感知系統、入侵檢測系統、抗APT攻擊系統、終端安全管理系統、網頁防篡改系統對網站及其他三級系統進行實際防護與監測。日志審計系統、數據庫審計系統、堡壘機系統實現了對內部設備、用戶、各系統的內容及行為審計。通過建設達到等級保護三級標準要求。

三、結束語

等保2.0的實施，給信安專業《等級保護基礎與實踐》課程開發提出了新的要求。一方面，要深刻理解等保2.0系列標準內容和貫徹落實等保的指導意見，另一方面，要結合學習領域課程開發路徑做好課程的系統化開發。在課程的實施上，實訓實踐環節始終是課程的重要組成部分，抓好這一環節對課程的實施及評價效果是比較重要的。

參? 考? 文? 獻

[1] 歐盟Asia-Link項目“關于課程開發的課程設計”課題組.職業教育與培訓——學習領域課程開發手冊（第1版）[M].北京：高等教育出版社，2007.

[2] 姜大源.論高職教育工作過程系統化課程開發[J].徐州建筑職業技術學院學報，2010（3）：1-6

[3] 趙志群.職業教育學習領域課程及課程開發[J].徐州建筑職業技術學院學報，2010（6）：1-8

蔡東蛟（1967—），男， 浙江蒼南，副教授/高級工程師，主要從事網絡信息安全研究。

手機：13665067119

通訊地址：福建省福州市晉安區岳峰鎮桂溪路298號融信后海小區1座1805房? 蔡東蛟? 收? ? 郵編：350014

基金項目：福建省2019年省級職業教育專業教學資源庫建設項目（閩教職[2019]39號）

蔡東蛟（1967-），男， 漢族，浙江蒼南，碩士，副教授，高級工程師，研究方向：網絡信息安全;

洪志農（1988-），男， 漢族，福建泉州，本科，工程師，研究方向：網絡安全。