高職院校數據安全體系建設路徑探索

廉康 羅偉雄 劉力銘

【摘? 要】 文章圍繞高職院校數據安全體系建設展開研究，分析了當前面臨的網絡威脅、數據泄露等挑戰，針對這些安全威脅，提出了一套綜合的解決方案，包括系統架構設計、數據庫安全性加強以及虛擬化數據備份策略，通過結合高職學校的數據環境和外部威脅，探討了應對各種數據安全挑戰的最佳實踐，旨在為高職院校提供具有針對性的數據安全保障，以確保學校信息資源的安全可靠。

【關鍵詞】 高職院校；數據安全；體系建設路徑

一、系統設計思路

為了應對學校外部和內部的各種數據安全威脅，本研究提出了一個基于多層次分層保護的系統設計思路。業務數據在其生命周期內經歷多個階段，從創建、存儲、處理到最終銷毀。為確保數據的完整性、保密性和可用性，全生命周期安全防護成為學校保護敏感信息的重要策略。通過在數據的每個階段實施相應的安全措施，學校能夠全面保障其數據的安全性，防范潛在的風險和威脅。在不同階段的安全性要求中找到平衡，是構建全生命周期數據安全防護體系的關鍵。

（一）數據創建階段

對數據進行分類，區分敏感信息和非敏感信息，并為其打上相應的標記。這有助于后續采取不同層級的安全措施；對敏感數據在創建時進行加密，確保即便在存儲和傳輸過程中遭遇風險，也難以被未經授權的人訪問。

（二）數據存儲階段

數據存儲是數據生命周期中的一個關鍵環節，需要采取措施保障數據在存儲中的安全。選擇安全的存儲介質，如加密硬盤或云存儲服務，并確保只有經過授權的人員能夠訪問存儲設備；制訂詳細的訪問控制策略，確保只有授權人員能夠讀取、修改或刪除存儲的數據。

（三）數據處理階段

在數據被處理、傳輸和使用的過程中，需要采取防范措施。如實施數據訪問的審計機制，根據數據的訪問歷史追蹤潛在的非法訪問；在數據傳輸過程中使用加密通道，如使用安全套接字層（SSL）或傳輸層安全性（TLS）協議。

（四）數據共享與傳輸階段

在數據需要共享或傳輸時，確保信息的安全性。對數據的傳輸，使用加密協議確保數據在傳輸過程中不被竊取或篡改；在共享數據時，明確定義權限，確保只有授權人員可以訪問和修改共享的信息。

二、建設內容

（一）數據安全管理設計

數據安全管理主要是對場景安全設備的集中管理和監測，通過集中化的設備運行檢測、規則配置更新等提高管理效率，并支持可擴展的設備接入和管理能力，為復雜多變的業務提供支撐能力。要求具備良好的擴展性和兼容性，為后期數據安全管理功能的擴展預留接口和資源，包括但不限于安全設備管理、數據審批管理、標準數據接口，能夠實現對其他必需的安全設備數據及管理接口的對接。

（二）外部威脅防御設計

高職院校業務系統數據庫面臨的外部威脅主要是業務系統、應用服務器、中間件可能存在的未知漏洞。在內網中數據庫服務器與應用服務器互聯互通，雖然其本身不對互聯網開放服務端口，但因業務發展可能存在有對外開放服務端口的應用服務器，這些服務器是黑客入侵數據庫竊取數據的主要途徑。

即使業務沒有對外開放的服務端口，也不能確定業務系統的數據庫得到了全面的安全防護，因為能訪問數據庫的除了應用，還有如下的數據訪問途徑：

1. 其他應用系統可能會調用自動化腳本來定時更新數據庫；2. 內部可能存在接口或者管理程序可以訪問數據庫，方便對業務系統數據進行添加；3. 內部數據庫DBA、IT經理、第三方維護人員、開發人員可通過數據庫管理工具訪問數據庫；4. 其他硬件介質（如U盤）等惡意程序傳播途徑。

在互聯網環境下，基于數據庫漏洞的攻擊和基于業務系統漏洞的SQL注入攻擊是主要的數據庫安全風險。尤其是SQL注入攻擊，由于其可以旁路任意傳統安全設備使入侵者直達數據庫而使其風險極大。通過在數據庫前端部署數據庫防火墻可以防御來自外部及內部等訪問途徑的SQL注入攻擊和基于漏洞的數據庫攻擊，深化在數據庫層面的安全防御，抵御外部及內部威脅。具體的防范思路如下：

防范基于SQL通訊協議的攻擊行為；防止因數據庫自身漏洞所引發的入侵行為；防范黑客在進入內網后，通過安全設置薄弱的終端和服務器進行數據庫的非法訪問；防范黑客在進入內網后，對數據庫的撞庫與拖庫行為。

（三）內部風險控制

在高職院校數據安全體系中，圍繞著業務系統數據庫的內部風險控制無疑是非常重要的一個環節，各業務系統都會遇到如下安全問題：

1. 在利用業務系統數據發表文章或者學術交流時，如何確保敏感數據不外泄；2. 如何管理內部維護人員直接訪問數據庫獲取數據，或拷貝數據庫文件導出數據；3. 如何管控第三方外包機構獲取業務系統敏感數據行為；4. 如何防止非法統方；5. 超管DBA權限如何精細化管控；6. 如何防止合法的管理用戶做非法的事情；7. 特權賬號是IT系統中最具價值，并且能夠直接接觸最高等級數據的、最重要的途徑。如何管理重要業務系統中的特權賬號無疑是需要重點考慮的問題。

圍繞以上需求，內部風險控制從主動防御，通過制訂好兩個基礎（敏感數據分級分類機制、三權分立為基礎的制度），管理好兩類應用（業務信息系統和運維開發類工具）及三類人員（業務操作人員、運維和開發隊伍、入侵者和黑客） ；建立安全合規準入及數據庫內部訪問控制；建立業務系統特權賬號管理；建立良好的核心系統數據庫維護服務機制等多個層面建立內部風險控制防護機制，保障業務系統數據安全。

（四）敏感數據防泄漏

敏感數據防泄漏是數據安全體系中的底線防御。將業務系統重要數據去隱私化，可防止合法人員違規訪問業務系統敏感數據，防止共享、測試等環節的數據泄露，防止業務系統數據信息被整體拖庫，以此達到敏感數據防泄漏的作用。

內部人員的數據泄密比外部黑客攻擊來得更直接也更具危害性。通常外部黑客的獲取敏感數據的方式，并不都是直接通過對業務系統、數據庫的攻擊獲取，有相當一部分是通過內部或關聯方的電腦或測試系統進行敏感數據獲取。因為安全意識以及技術手段的欠缺，使得本應該存放在受控環境的敏感數據存在于安全狀況相對較差的環境，這就使黑客增加了獲取敏感數據的途徑，同時也降低了攻擊的難度。在高職院校中，往往存在科研分析部門需要發表文章、學術交流時，需要拿到業務系統的生產數據以便進行更好的分析，當敏感數據一同流傳出去時，數據泄露的途徑也增加了，泄露風險更大。同時各類操作人員如第三方開發人員、內部管理員、運維人員擁有較大的數據庫管理權限，也具備訪問應用系統數據庫的敏感數據。通過以下三種措施可以有效減少敏感數據的泄露：

1. 數據泄露防護

利用數據泄露防護產品有效的監控敏感數據的傳輸。該產品通常部署于互聯網出口點，可以監控互聯網出口點離開內部網絡的數據，以便及時監控知識產權、受保護信息及文件，提供法規遵從性證據等。同時也可以設定監控流入企業的信息，及時了解企業員工行為及合規性，以被動方式，在消息離開企業網絡之前檢測到其是否包含敏感信息，從而評估企業內部數據安全風險，及時補救違規事件造成的危害。

2. 敏感數據脫敏

數據是流動的，為防止數據流動過程中敏感信息泄露的風險，在數據流出安全防護的領域之前，需要對其中的敏感數據進行脫敏處理。

3. 數據庫加密

數據庫加密是敏感數據安全防護中的底線防御，數據庫加密利用一種基于透明加密技術，通過數據庫存儲加密等安全方法，實現數據庫數據存儲保密的完整性，防止被拖庫，防止敏感數據泄露的發生，確保數據安全。

（五）數據庫自動化運維監控

在多年的信息化建設中，國內大多數信息化是采用“煙囪式”結構的信息技術資源配置模式，構成教育信息系統的應用軟件和硬件資源是捆綁在一起建設的。在這種模式下，學校為了滿足某些業務目標而需要構建新系統的時候，不僅需要花費巨額成本購置系統所需的軟硬件設施，還需要投入大量的人力物力對系統及其所依賴的數據庫等資源進行運維。隨著學校信息化建設的不斷深入，巨大的人力物力投入越來越繁重的數據庫運維工作，但對學校管理業務支持的投資回報率卻越來越低。

高職院校可以利用數據庫自動化運維監控系統，可盡早發現應用系統性能瓶頸，及時調整，保障數據庫穩定高效工作；提升應用系統性能，監控各系統數據庫的性能調優工作，包括：外部資源調優、行的重新安排調優、SQL性能調優、表格和索引存儲參數設置調優等；各業務持續性得到有效的保證，防止災難性故障；可對數據庫服務細顆粒度監控，獲取數據庫活動、性能、數據庫狀態、監聽狀態、實例狀態、空間狀態并得到數據庫的當前阻塞會話和瓶頸會話，提前獲知系統的隱含問題，為數據庫管理員提供有效的幫助。

（六）數據備份管理

1. 非結構化數據備份

非結構化數據是指日常系統使用中產生的文檔、視頻、音頻、系統日志、圖像檔案等數據，統稱為文件數據。對文件數據的備份方式采用在系統層面利用備份軟件客戶端掃描文件系統讀取文件系統中所需要備份的數據，然后通過文件備份接口將文件數據打包壓縮加密重刪后傳輸到備份一體機的存儲介質或者是傳輸到云備份中心的云存儲中。

2. 結構化數據備份

結構化數據即數據庫是生產系統中的重要應用，現有高職院校中很多業務系統數據都是存放在數據庫中，由于數據庫自身的復雜性，導致數據庫備份和恢復操作過程比較復雜，如何簡化數據庫備份/恢復，是數據備份軟件最關鍵的問題之一。用戶的生產環境多數是異構環境，同種操作系統環境里，由于應用特性不同，會采用不同數據庫，同種數據庫也會運行在不同的操作系統上。數據庫備份軟件必須支持異構環境下多種數據庫。

3. 虛擬化數據備份

虛擬化或者云架構可以大大提高效率，但也會因數據存儲、動態工作負載和可擴展架構而帶來新挑戰。數據安全應急管理支持各種虛擬化環境（VMware等）環境下的數據備份，

4. 整機備份應急

通過內嵌基于虛擬化平臺的計算池，當生產關鍵業務系統突發故障，出現宕機、數據丟失、文件破壞，造成業務中斷時，根據業務需要，進行快照或者小顆粒度還原，即時啟動虛擬機以接管生產業務，保障業務連續性，減少數據丟失；整個過程通過界面操作實現，無需外部部署。

三、結語

文章圍繞高職院校數據安全體系建設展開描述。在系統設計方面，明確保護目標，通過數據分類建立起清晰的保護框架。基于“零信任”基本原則，建立多層次的數據安全分層保護解決方案，從身份鑒別、數據標簽、訪問控制、威脅防范、抗抵賴到數據保護，形成了全方位的安全保障體系。在外部威脅防御方面，強調了防范SQL注入攻擊和基于漏洞的數據庫攻擊，部署了數據庫防火墻來深化安全防御。

在內部風險控制方面，建立了合規準入和數據庫內部訪問控制機制，重點管理特權賬號的使用。為了防止敏感數據泄露，采用了數據泄露防護、數據脫敏處理和數據庫加密等措施。同時，引入了數據庫自動化運維監控系統，及時發現問題并保障數據庫的穩定高效工作。針對不同類型的數據，制訂合適的備份策略，包括非結構化數據、結構化數據和虛擬化數據，實現了數據的全面備份，提高了數據的可靠性和安全性。

文章提供的高職院校數據安全體系建設方案不僅僅是技術層面的保障，更充分考慮了人員、流程等多方面因素。這一綜合性、多層次的數據安全保障體系，將為高職院校提供更為全面、具有針對性的數據安全保障，確保學校信息資源的安全可靠，為師生的學術研究和教學活動提供穩定的信息化支持，為學校的可持續發展提供堅實的基礎。在不斷發展的信息社會中，只有不斷加強數據安全建設，才能更好地應對各種挑戰，確保高職院校信息資源的安全和穩定。