蔣廣學：從系統工程視角思考網絡安全工作

文/本刊記者 余秀

蔣廣學北京大學網絡安全和信息化委員會辦公室主任

2018 年北京大學成立了全國高校第一個“網信委”，陸續出臺《北京大學網絡安全管理辦法》《北京大學校務信息數據管理辦法》等一系列試行規章制度和辦法舉措，在網絡安全的體制機制保障方面取得了顯著成效。在今年5 月全國教育系統網絡安全攻防演習中，北京大學更是斬獲了攻防雙優的驕人成績。在多年的實踐探索中，北大網信部門逐漸形成了對網絡安全的全方位思考，認為網絡安全工作是一項系統工程，是硬件技術、機制體制、觀念意識三個維度的集合，三位一體，不可偏廢。其中最重要的還是觀念意識維度，“要從基礎上、從底子上、從根本上改變觀念，讓全校師生，尤其是學校中高層領導，意識到沒有一勞永逸的網絡安全。” 針對高校網信部門普遍存在的資源受限和缺乏完善評價機制問題，北大提出了“網信工作隊伍體系”的概念，堅持實事求是的方法論，積極主動，盡力而為，“認準方向，能干一點是一點”。

五項使命任務和“十個堅持”為網信工作提供更明確指引

《中國教育網絡》：近日，習近平總書記對網絡安全和信息化工作作出重要指示，提出五項使命任務和“十個堅持”的重要原則。在您看來，這將對我國高等教育信息化和網絡安全工作帶來怎樣的影響？信息化部門該如何落實相關精神？

蔣廣學：習近平總書記這次提出的五項使命任務和“十個堅持”的重要原則，是對網信工作發展定位、職責功能的系統梳理和再次強調，是習近平網絡強國思想的集中體現。其中相關的論述、要求，習近平總書記在不同的階段、不同場合都有提到過，他一直高度重視互聯網的歷史發展方位和經濟社會作用，包括如何做好網絡安全和信息化工作，并在實踐中不斷豐富和完善其理論指導體系，這次的工作指示是比較系統全面地總結提煉。

在習近平總書記看來，網絡安全和信息化工作是一個需要持續重視、持續投入、持續改進、持續創新的長期過程。網絡安全工作更是一個全面推進的系統工程。不是我們的工作今天突然變得重要，也不是我們著急忙慌地從零開始去做好事情，網絡安全不是一個做與不做的事情，而是必須天天做、好好做。

長期以來，北大按照習近平總書記的要求，不斷推進學校的網信工作。這一次五項使命任務和“十個堅持”能夠幫助我們對工作做一個更清晰的系統梳理，指導我們的工作抓住重點，抓住要點，全面地推進。具體到五項使命任務：

舉旗幟聚民心。這是怎么樣用好互聯網的問題。人民群眾在哪里，黨的工作、思想政治、教育教學就應該做到哪里。人民群眾很多時候都在網上，社會已經網絡化，網絡也已經社會化，如果我們不能在互聯網上把旗幟舉起來，把民心聚起來，那就失去了一個最大的工作場域和工作對象。這點很強烈地提醒我們，做好互聯網工作關系到黨運和國運。

防風險保安全。我們現在所有的工作都必須依托互聯網來做，高校也是如此。人工構筑的互聯網技術平臺和運營范式，不可能沒有缺陷。我們在技術上不斷改進，提高防護，修改漏洞，升級系統，但同樣敵對分子和各種復雜勢力，也在不斷地找漏洞、找問題，搞破壞，來竊取國家機密和個人信息等等。這是“道高一尺，魔高一丈”的發展過程。因此網絡安全是一個常態化的工作，永遠在路上，要時時刻刻防風險保安全，不可能一勞永逸。

強治理惠民生。簡單來說就是借助互聯網來惠民，來服務老百姓。現在國家在推行政務一體化，借助互聯網給老百姓提供更便捷的服務，“讓網絡多跑路，讓百姓少跑路”。學校也是如此，比如學校推行的一體化辦事系統。只有把互聯網用好，老百姓才能真正得惠。

增動能促發展。數字經濟轉型、數字中國建設，是新時代中國和全球新的增長引擎。對于學校也同樣如此。高等教育要提質增效，教育數字化升級轉型，涉及傳統的教學模式的轉變、傳統的管理模式的轉變、傳統的服務模式的轉變，必須利用好互聯網帶來的數據、信息、制度、觀念等利好的沖擊和契機，讓它能夠助推實現教育的升級發展。要實現中國式教育現代化，不借助互聯網契機，是很難做到的。

在這里也多說一句，教育是要“靜”下來，十年樹木，百年樹人。而互聯網更多是“浮光掠影”式的信息刺激，缺少深度的思維和長期的滋養，它和依靠知識學習積累的人才培養模式是有些沖突的，兩者之間形成了一種張力，這也是一個值得思考的問題，也是真正實現創造性轉化必須直面和解決的問題。

謀合作圖共贏。從國家戰略角度來講，互聯網是全球治理體系建設的重要基石，“一帶一路”建設、全球資源共享等，都離不開互聯網的加持。對于高校來講的話，大量的線上課程、國際學術交流、國內外教學科研，都需要更加便捷、高效、開放、安全的互聯網。而這些事業，也是網信工作要服務好的領域。

技術是無止境的，要永葆進取之心。

五項使命任務與整個國家、整個教育，包括高等教育的發展趨勢和職責使命，貼合得很緊密。五項使命任務和“十個堅持”原則，給高校信息化和網絡安全工作提供了更清晰的目標和更明確的指引。

因此，習近平總書記的思想和論述，是高校做好網絡安全工作的指路明燈。每個高校如何能讓全校上下和全體師生員工，尤其是中高層管理干部，能夠充分意識到網絡安全工作的重要性，并結合自身實際找到行之有效的辦法和路徑，這也是一個很嚴肅也很有挑戰的問題。

網絡安全永遠在路上

《中國教育網絡》：當前，全球范圍出現了怎樣的網絡安全挑戰？高等教育領域出現了哪些新的、重大的網絡安全威脅？相關方是如何應對的？

蔣廣學：首先，我們應該認識到，互聯網不像宇宙和自然系統，它是人造的，本身就不完備，存在很多問題，也正因此，它需要不斷地更新。這個過程中必然有新的不足和問題，需要持續改進完善。

其次，我們也要理解，因為資本和技術的加持，互聯網成為全球化的重要推手，正在持續不斷地與全球政治、經濟、文化、社交等各個領域深入融合，滲透到每個人的生活、工作、學習和思想之中。當人和互聯網融合得越緊，社會國家和互聯網貼合得越緊，風險隱患就越來越多，安全挑戰也將隨時隨地出現。

因此，從宏觀上、從系統上來看，只要時代還在往前走，技術在往前走，互聯網在往前走，那么風險只會越來越多，越來越復雜，就像《碟中諜》電影里反派的網絡技術水平越來越高一樣。

所以，應對網絡安全有兩個重要的法寶。第一是全方位的警覺意識，敵人無處不在，安全威脅無時不在。你松懈了，下一秒可能就被攻破了。第二是不斷的創新意識，技術是“魔高一丈，道高十丈”，必須不斷地超越對手，不斷地更新技術，對新技術要有一個動態的理解、分析、把握和超越。技術是無止境的，要永葆進取之心。

以上是單論技術層面的最重要的方向。當然另外還有確保和支持技術往前走得更穩健的條件，包括制度保障、經費保障、人才培養、隊伍建設等。

網絡安全工作是硬件技術、機制體制、觀念意識三個維度的系統工程

《中國教育網絡》：在今年教育系統網絡安全攻防演習中，北京大學獲得了攻防雙優的好成績。您覺得北大在網絡安全方面現在做得比較好的是什么？下一步要聚焦做的是什么？

蔣廣學：對于網絡安全工作，我這些年有較為基礎的思考，在這里分享一下。

第一，網絡安全事業是基礎保障。網絡安全事業是學校的基礎保障條件，要堅持以習近平總書記關于網絡強國重要思想為指導，加強黨對網絡安全的全面領導。無論是學校的發展建設還是安全穩定，沒有好的網絡安全基礎是不可能做到持續發展。習近平網絡強國思想具有認識超前性和實踐針對性，我們必須好好理解，尤其是學校中高層領導干部能加深理解的話，對于做好高校網絡安全工作有巨大的幫助和支持。

第二，網絡安全工作是個系統工程。它是硬件技術、機制體制、觀念意識三個維度的集合疊加，三位一體，絕對不是哪一面就能解決問題的，三者絕對不可以偏廢。網絡安全工作具有整體性、動態性、開放性、相對性、共通性，我們要從軟硬件投入、體制機制完善、觀念意識培養三個方面，統籌謀劃一體推進網絡安全工作。

第三，作為基礎保障和系統工程的網絡安全工作需要全面推進，尤其要在日常工作中夯實打牢。很多具體事情要從第一個方面和第二個方面去全面持續地推進和落實。

因此，從這幾年實際工作來看，本次全國教育系統演習北大之所以能夠取得攻防雙優的好成績，絕不是偶然。首先是因為技術支持保障隊伍確實很強、很敬業，其次是上述三個方面整體的系統工程做得比較好的緣故。

下一步北大要繼續做好的有以下四點。

第一點，在機制體制方面，完全徹底地堅持校級和二級單位的網絡安全責任制。這是落實習近平總書記要求的體現，也是教育部所強調的。把責任落實到單位的主要領導，落實到每一個責任單位和責任個體，讓大家不敢懈怠、不能懈怠。

責任機制只是一個具體的抓手，抓手背后有一整套的制度構建。早在 2018 年北大就成立了全國高校第一個“網信委”，書記、校長親自擔任主任，其他副校級領導當副主任，其下有眾多成員單位，我是辦公室主任。在學校各級領導的合力推動下，北大相繼成立網信工作小組、數據工作小組、數據辦等機構，出臺了《網絡安全管理辦法》《校務信息數據管理辦法》《校務信息數據共享審批管理規定》等制度，數據管理審批的平臺、制度、人員都形成了。2019 年出臺的《北京大學網絡安全管理辦法》，包括了二級單位的責任制和配套措施；配合2021 年出臺的《北京大學校務信息數據管理辦法》，北大在國內高校范圍第一次實現了硬件安全、軟件安全、數據安全、輿情安全的全面管理。

第二點，加強資源持續投入。加強網絡安全投入，強化網絡安全資源保障，加強網絡安全隊伍建設，進一步推進院系和二級單位配置專職安全管理員的機制，個別單位要考慮從學校層面統一協調資源加強管理，促進學校網絡安全防護能力的整體提升。

關于資源投入，包括軟硬件配備、保障運維等都需要經費，經費投入只是一個方面，隊伍建設也是資源投入的重要一項。北大在全國高校中率先明確提出了“網信工作隊伍體系”的概念，包括了理念、辦法以及具體的激勵、保障措施和機制。

比如對于網絡安全工作隊伍里非編制或者兼職人員來說，要給他們組織和工作的認同感，讓他們知道自己是領域里的中堅力量，是骨干、基礎，幫助他們形成自我認同，這支隊伍建設才可能長遠。僅僅給資源和經費，而在觀念和制度上沒有形成正向的引導，大家就認識不清工作的意義價值和職責使命。因此，觀念、制度、資源三位一體，絕對不能偏廢。有一定的底線資源，有運行管理激勵制度進行約束和激勵，同時推動形成人員對工作的認同、對事業的榮譽感，這是隊伍建設的三個核心要素，缺一不可。

第三點，加強觀念意識的宣傳和引導。持續不斷地解讀和傳達黨和國家對網絡安全工作的重視程度，強調和傳播網絡安全的重要性、安全形勢的嚴峻性及發生問題的嚴重性，讓學校各部門都重視和參與網絡安全工作，提高全校師生上上下下對網絡安全的認知度和參與度。

在宣傳引導方面，北大這幾年想了很多辦法，進行了很多嘗試，取得了不錯的成效，下一步要進行總結提升和制度構建。要利用國家網絡安全宣傳周活動及學校年度網信工作會議、網絡安全攻防演練、網絡安全年度總結和評優表彰等常規重大活動，將網絡安全宣傳和隊伍建設、調研工作加強整合，優化和加強“一線風采”“項目巡禮”“學習強國”“實踐調研”等微信公眾號、《網信工作動態》《網絡輿情簡報》《每周黨政信息（網信）》《每日網安動態》等報送信息的內容建設，在此基礎上探索隊伍建設的相關制度建設。

硬件、制度、觀念，必須分步驟展開，最好能夠同時規劃、協調配合推進，千萬不能只做一點。

第四點，重視供應鏈安全問題。網絡安全的很多問題是由供應鏈導致的。大多數高校的技術開發人員非常少，開發能力相當有限，高校很大程度上依賴于社會的供應商或者是商業供應鏈。北大屬于擁有較強技術開發能力的高校，也依然需要社會供應商提供輔助和補充。要規范供應鏈管理，關鍵是形成完備的制度體系，明確責任分工，形成具體有效的獎懲手段和管理機制，確定風險管理、合同管理、技術標準、人才培養等方面的管理措施，從制度機制上來保障供應商提供的產品和服務質量，應對和緩解供應鏈危機。在供應鏈安全問題上，積極探索一些能落地的機制和辦法。

化危為機，“扯虎皮做大旗”

《中國教育網絡》：網絡安全工作的防御性使它常常隱身于幕后，很多高校信息中心老師反映學校對網絡安全的重要性認識欠缺，投入有限，工作起來受到制約，您能給一些可實操的建議嗎？

蔣廣學：當前網絡攻擊和數據泄露事件接連不斷，社會媒體也對此高度關注。一旦出問題，責任追究不可避免。但危機也意味著機遇。要化“危”為“機”，我們要學會把危機主動轉化為機遇，去向領導爭取資源和政策支持，團結同一戰線的同仁們，共同想辦法克服危機，創造性地提出適用于本校的工作辦法。

第一點，首要之務在于把握住當前蘊含著機遇的時機，盡力宣傳和游說網絡安全的嚴峻情勢和網絡安全工作的重要性。通過反復強調宣傳，提升全校中層正副職領導的網絡安全意識，動員學校各個領域、各個系統的相關部門共同參與，協同推進網絡安全工作。通俗來講，這是“扯虎皮做大旗”，在確保政治正確的情況下，這就是斗爭策略。

第二點，網絡安全工作是個系統工程，它不可能一蹴而就，一定要分步驟、有重點、有先后地推進。

先解決急難險重的問題，之后在建立四梁八柱的過程中，不斷地豐富和完善整個觀念、制度和技術體系。對于當前重大的安全威脅和數據危機，重要的是加大技術投入和資源投入。在向學校爭取資源的同時，要明白安全威脅無時不在，單憑技術不能永久解決問題，制度和機制的問題要同步跟進。網絡安全工作最重要的，還是要從基礎上、從底子上、從根本上改變觀念，讓全校師生，尤其是學校中高層領導，意識到沒有一勞永逸的網絡安全。互聯網是一個超級復雜的系統，僅憑幾個人員就能把學校的網絡運維好、漏洞全管住，是不切實際的，需要學校上下各部門、全體師生協同配合、共同參與。要把大家的傳統觀念扭轉到“網絡安全出小事是常態，不出事是非常態，不出大事才是好狀態”，并加強工作落實，這才是真正的贏的辦法。總之，硬件、制度、觀念，必須分步驟展開，最好能夠同時規劃、協調配合推進，千萬不能只做一點。

第三點，多一些換位思考和升維思考。換位思考意味著要從領導，從學生，從不同的用戶角度思考問題，理解他們面對問題時如何感受，把他們的糾結點、難點、痛點梳理整合出來，這對于做好網信工作會很有助益。

升維思考則是要站在更高的維度進行思考，要超越一個普通的技術人員、管理人員維度，甚至一個高校網絡信息中心或者網信辦主任的維度，而應該站在教育的維度考慮。高校的主業是教書育人，是科研創新。網信工作要思考如何服務于教書育人，如何服務于科研開發多少？只有觸及別人的切膚之痛并解決問題，才能爭取到對方的全力支持。不能就信息化談信息化，一定要就教育或者大學的發展來談信息化，這是一種升維。當然還有更高的升維，比如站在習近平總書記二十大報告里面講的中國式教育現代化的維度來思考，站在懷部長強調的教育數字化的維度來思考，作為高校的信息化工作者，能在網絡安全層面做什么？

小結一下，我提了三點建議，第一是化“危”為“機”；第二是系統工程，第三是換位和升維思考。受到制約，遇到困難是正常的，要往好里看，找到希望，找到方向，用正確的方法來解決，最后就會有好的結果。

認準方向，盡力而為“進一寸有一寸的歡喜”

《中國教育網絡》：有老師反映學校網絡安全和信息化工作缺乏明確的評價機制，希望教育部能給一些可量化的評價參數。您怎么看這個問題呢？

蔣廣學：首先，不能“坐等靠要”，在一定程度上要自己主動想辦法。網信工作的評價機制，不是一點都說不清，也不是一點都推進不了。認準方向，盡力而為，能干一點是一點，哪怕只有微小的進展，也能收獲成就感。

其次，通過換位思考、升維思考，找到突破口或具體辦法。比如可以根據學校具體實際，做些調研和評估，提出來一個方案。當然，這個方案很大可能會遭到否定或者批判，但是如果不提出來、說出去，學校怎么意識到存在這個問題，問題又有多重要？現在有個普遍現象，系統內部有問題，抱怨、發牢騷自循環，但問題不提出去。

再次，向學校反映問題、爭取支持的時候，不能就信息化談信息化，必須從整個學校、整個系統的角度來談如何設計評估方法，如何評價效益。這也是我們提出“網信工作體系系統”概念的原因之一。高校信息中心一般只有十幾到二十幾個人，這個體量對整個學校來說很小。“網信工作隊伍體系”這個概念則將網信工作隊伍擴展到全校各單位專兼職網信工作人員，這在北大就有200 多人，其他高校也應該人數不少。這支規模可觀的隊伍的評估機制，包括職稱、級別等，肯定會內嵌到將來的發展中，專門為這支隊伍去調整和設計評估方案，對學校來說，就是必要的。

此外，一定要借力打力，比如說可以參考實驗室與設備系列的評估辦法，直接借鑒修改，接著爭取學校人事部門和校長辦公會的認可，不被認可就一直改。關于績效和評價標準，我們也在積極探索。

總之，事在人為，要積極主動地謀劃和推進，建立和完善網信工作的評價機制。沒有事情能夠一步到位，一切都是爭取和妥協的結果。

對教育網絡安全服務平臺的期待和建議

《中國教育網絡》：今年5 月，教育網絡安全服務平臺（https://ecp.emic.edu.cn）上線開通。該平臺能夠幫助解決什么問題？關于此平臺的進一步完善，您有何建議和期待？

蔣廣學：我親身見證了教育網絡安全服務平臺的上線開通，5 月份在貴陽我參加了平臺的開通儀式。

教育網絡安全服務平臺是從實際工作的需求出發，面向各級教育行政部門和不同類型的學校，構建了一個綜合性的網絡安全線上一體服務平臺。

我們期待平臺能夠持續創新，不斷引入新的服務功能，一方面是完善當前的服務范圍，包括一些沒有的東西，更重要的是能夠不斷適應變化的網絡安全挑戰和需求，來開發新的技術、應用、理念、思維資源。

另一方面，也希望平臺成為一個橋梁，不僅在技術和信息層面連接各個學校，更在合作和共享的理念上架起樞紐。教育系統各個單位可以借助平臺共同深入探討網絡安全領域的新趨勢、新挑戰，并匯聚集體智慧，探索新的解決方案，推動整個教育系統網絡安全不斷提升。

此外，互聯網是應用為王，人氣是靠應用堆積的。期待平臺能夠用互聯網的思維解決互聯網的問題，從用戶的角度開發新應用，提高關注度和瀏覽量，打造共享和交流的大平臺。做好高校的網絡安全和信息化工作一定要嘗試運用管理思維，而不能僅僅從技術視角考慮問題。如果只是局限于技術自身，那就只能扮演配角。要想站到前臺，一定要有管理思維。

信息化是一個管理主導、業務主控、技術支撐三位一體的不斷開辟的新領域。信息化絕對不只是信息化，還需要考慮背后和周邊的方方面面。一定要跳出本位局限，進行換位思考，甚至升維思考，事情才可能做得更好。我想，這個原則在任何領域都有共通性。