文/吳海燕

數(shù)據(jù)是信息系統(tǒng)的核心，亦是攻防雙方爭(zhēng)奪的焦點(diǎn)。今年5月，美國(guó)多所大學(xué)遭黑客入侵，部分?jǐn)?shù)據(jù)泄露，泄露的數(shù)據(jù)包含了用戶名、地址和電子郵件等個(gè)人信息，更將高校的數(shù)據(jù)安全問題暴露于公眾面前。

高校數(shù)據(jù)安全挑戰(zhàn)

高校的數(shù)據(jù)包括管理信息系統(tǒng)數(shù)據(jù)、科研數(shù)據(jù)等，這些數(shù)據(jù)具有很高的價(jià)值，面臨來自多方面的安全挑戰(zhàn)。

黑客攻擊的挑戰(zhàn)

高校校園一直是黑客鐘情的一個(gè)領(lǐng)域，蠕蟲病毒就在1988年于美國(guó)康奈爾大學(xué)萌生，之后高校的信息安全經(jīng)歷了主機(jī)安全、網(wǎng)絡(luò)安全、應(yīng)用安全三個(gè)發(fā)展階段，目前攻防雙方都已經(jīng)逐漸明確目標(biāo)，將數(shù)據(jù)作為攻擊和防護(hù)的核心。數(shù)據(jù)是有價(jià)值的，在國(guó)外地下黑市，一條信用卡數(shù)據(jù)價(jià)值0.85到30美元不等，在中國(guó)，從事地下黑色產(chǎn)業(yè)鏈的人數(shù)接近10萬(wàn)，數(shù)據(jù)對(duì)于黑客的誘惑力亦不容小覷。高校蘊(yùn)含著豐富的數(shù)據(jù)，既包括學(xué)校的管理業(yè)務(wù)數(shù)據(jù)，更包括大量珍貴的科研數(shù)據(jù)，這對(duì)于黑客來說，不異于一所所金礦，必將受到黑客的追逐。

法律合規(guī)的挑戰(zhàn)

隨著互聯(lián)網(wǎng)在各個(gè)領(lǐng)域的發(fā)展和滲透，我國(guó)增強(qiáng)了對(duì)數(shù)據(jù)的立法保護(hù)。從國(guó)家宏觀層面上看，國(guó)家關(guān)于信息保護(hù)的標(biāo)準(zhǔn)和法律法規(guī)逐步增加，2007年國(guó)家出臺(tái)了信息系統(tǒng)等級(jí)保護(hù)的系列政策法規(guī)和技術(shù)管理標(biāo)準(zhǔn)。繼加強(qiáng)信息系統(tǒng)數(shù)據(jù)監(jiān)管動(dòng)作后，2012年底以來，國(guó)家關(guān)于個(gè)人信息保護(hù)的法規(guī)和標(biāo)準(zhǔn)陸續(xù)出臺(tái)，2013年工業(yè)和信息化部發(fā)布了《電信和互聯(lián)網(wǎng)用戶個(gè)人信息保護(hù)規(guī)定》（中華人民共和國(guó)工業(yè)和信息化部令第24號(hào)），2013年2月我國(guó)首個(gè)個(gè)人信息保護(hù)標(biāo)準(zhǔn)《信息安全技術(shù)公共及商用服務(wù)信息系統(tǒng)個(gè)人信息保護(hù)指南》正式實(shí)施。這一系列措施的出臺(tái)是高校在開展數(shù)據(jù)安全相關(guān)工作時(shí)必須遵循的合規(guī)要求。如何滿足這些法規(guī)標(biāo)準(zhǔn)的合規(guī)要求，也是對(duì)高校的一項(xiàng)挑戰(zhàn)。

師生安全需求的挑戰(zhàn)

隨著師生信息素養(yǎng)的提高，高校師生的信息安全意識(shí)正在迅速覺醒，他們對(duì)于數(shù)據(jù)的保護(hù)將不斷提出新的要求。如果不通過這方面的工作，增強(qiáng)師生的信賴度，使其能夠理解和支持相關(guān)工作，也是高校在數(shù)據(jù)安全方面需要應(yīng)對(duì)的一項(xiàng)挑戰(zhàn)。

美國(guó)高校的實(shí)踐

美國(guó)是世界上關(guān)于信息保護(hù)立法的領(lǐng)先國(guó)家，對(duì)于數(shù)據(jù)的合規(guī)性保護(hù)也是美國(guó)高校在數(shù)據(jù)安全方面面臨的主要挑戰(zhàn)。

組織機(jī)構(gòu)設(shè)置

隨著對(duì)信息安全的重視程度日益提高，美國(guó)許多高校中都成立了專門的信息安全管理部門。由于關(guān)注重點(diǎn)、管理范圍和組成方式的不同，各個(gè)高校對(duì)管理部門的命名上存在不同，但一般都包括“Information”、“Security”兩個(gè)關(guān)鍵詞，有些高校還將“Privacy”、“Technology”涵蓋進(jìn)了部門名稱中。表明了其對(duì)數(shù)據(jù)安全保護(hù)的重視。例如，伯克利大學(xué)設(shè)立了信息安全和隱私委員會(huì)（Information Security and Privacy Committee，CISPC）。

數(shù)據(jù)分級(jí)保護(hù)策略

數(shù)據(jù)分級(jí)保護(hù)策略是美國(guó)高校的核心信息安全策略，在很多高校的網(wǎng)站上，都在最醒目的位置顯示了其數(shù)據(jù)分級(jí)保護(hù)策略，主要包括數(shù)據(jù)的分類和分級(jí)。根據(jù)數(shù)據(jù)的重要性進(jìn)行分類和分級(jí)，根據(jù)等級(jí)的不同制定適當(dāng)?shù)囊?guī)則，既要確保數(shù)據(jù)的正常使用，又要避免資源的浪費(fèi)。比如對(duì)于保密數(shù)據(jù)、銀行賬號(hào)等信息要采取最高的保護(hù)措施，而對(duì)于一些聯(lián)系方式、電話等信息只限制在校內(nèi)訪問，禁止對(duì)外傳播。構(gòu)建一個(gè)集中的管理系統(tǒng)，對(duì)重要的數(shù)據(jù)進(jìn)行統(tǒng)一的保護(hù)。這樣既可以減少安全隱患，又能夠?qū)佑|數(shù)據(jù)的人進(jìn)行有效的監(jiān)督，還避免了分別構(gòu)建保密環(huán)境的成本。

數(shù)據(jù)安全熱點(diǎn)領(lǐng)域

EDUCAUSE是一個(gè)在世界范圍內(nèi)居于領(lǐng)導(dǎo)地位的高等教育信息化專業(yè)組織，策略與安全（Policy and Security）是其關(guān)注的三個(gè)重點(diǎn)領(lǐng)域之一，從其關(guān)注的這點(diǎn)我們可對(duì)美國(guó)高校在數(shù)據(jù)安全方面的熱點(diǎn)領(lǐng)域窺視一斑。其關(guān)注的“Hot Topics”包括：云數(shù)據(jù)存儲(chǔ)安全解決方案（Cloud Data Storage Solutions）、全盤加密（Full Disk Encryption）、云計(jì)算安全（Cloud Computing Security）等。

對(duì)策

數(shù)據(jù)安全是高校信息安全體系的重要組成部分和核心目標(biāo)之一。數(shù)據(jù)安全并非單一技術(shù)或者管理措施即可解決的復(fù)雜問題，需通過整體的信息安全保障體系的設(shè)計(jì)與實(shí)施，綜合考慮技術(shù)和管理各方面的措施。限于篇幅，本文只對(duì)目前比較成熟、且在清華大學(xué)已經(jīng)有應(yīng)用效果的數(shù)據(jù)安全技術(shù)進(jìn)行簡(jiǎn)要介紹。

建立數(shù)據(jù)分級(jí)防護(hù)策略

數(shù)據(jù)分析防護(hù)策略是核心的數(shù)據(jù)安全策略。建議根據(jù)數(shù)據(jù)的保密性、完整性等安全屬性，根據(jù)相關(guān)法律法規(guī)要求，根據(jù)數(shù)據(jù)對(duì)于學(xué)校的重要程度，對(duì)數(shù)據(jù)進(jìn)行安全級(jí)別劃分，使數(shù)據(jù)能夠得到適當(dāng)?shù)陌踩雷o(hù)。建立數(shù)據(jù)分級(jí)策略需要考慮如下幾個(gè)方面的問題：

數(shù)據(jù)的分級(jí)原則。可根據(jù)數(shù)據(jù)在保密性、完整性、可用性方面的需求進(jìn)行安全級(jí)別劃分，借鑒國(guó)外高校及國(guó)內(nèi)其他行業(yè)的數(shù)據(jù)分級(jí)策略，考慮到可操作性，建議高校數(shù)據(jù)分為三個(gè)或四個(gè)安全級(jí)別，如可劃分為公開數(shù)據(jù)、一般業(yè)務(wù)數(shù)據(jù)、內(nèi)部敏感數(shù)據(jù)、個(gè)人數(shù)據(jù)四個(gè)安全級(jí)別。

數(shù)據(jù)管理與操作的各個(gè)角色設(shè)置。建立數(shù)據(jù)管理角色，包括數(shù)據(jù)的擁有者、管理著、使用者三個(gè)角色，明確各角色對(duì)于數(shù)據(jù)的安全責(zé)任和操作權(quán)限。

各級(jí)別數(shù)據(jù)的防護(hù)措施等方面的內(nèi)容。對(duì)于不同級(jí)別的數(shù)據(jù)，還要明確其在數(shù)據(jù)訪問控制、存儲(chǔ)、傳輸、備份、審計(jì)等方面的要求。

嚴(yán)格數(shù)據(jù)的訪問控制

數(shù)據(jù)是信息系統(tǒng)的核心，對(duì)于數(shù)據(jù)的訪問可能來自于多個(gè)途徑，可能通過服務(wù)器直接訪問、連接數(shù)據(jù)庫(kù)訪問，或是通過Web應(yīng)用系統(tǒng)進(jìn)行訪問，通過Web應(yīng)用訪問是目前最為主流的訪問方式。嚴(yán)格實(shí)現(xiàn)各個(gè)層面的訪問控制措施，是保護(hù)數(shù)據(jù)的有效屏障，包括通過防火墻實(shí)現(xiàn)網(wǎng)絡(luò)訪問控制、通過主機(jī)安全加固強(qiáng)化主機(jī)訪問控制、通過數(shù)據(jù)庫(kù)加固限制數(shù)據(jù)庫(kù)訪問控制，通過Web應(yīng)用的安全設(shè)計(jì)與開發(fā)防止黑客通過Web應(yīng)用漏洞獲取敏感數(shù)據(jù)。特別要強(qiáng)調(diào)的是，根據(jù)CNCERT的報(bào)告和其他國(guó)內(nèi)外相關(guān)結(jié)構(gòu)的研究報(bào)告，目前通過Web應(yīng)用程序的安全漏洞獲取敏感數(shù)據(jù)是最為常見的數(shù)據(jù)泄露途徑。需要通過安全需求分析、安全架構(gòu)設(shè)計(jì)、安全編碼、安全運(yùn)維來提升Web應(yīng)用的安全性。

數(shù)據(jù)是信息系統(tǒng)的核心，亦是攻防雙方爭(zhēng)奪的焦點(diǎn)。

探索嘗試數(shù)據(jù)加密與一致性校驗(yàn)技術(shù)

以散列的方式加密存儲(chǔ)口令類不需要解密的數(shù)據(jù)是較成熟的解決方案，但對(duì)于敏感數(shù)據(jù)（如科研經(jīng)費(fèi)等數(shù)據(jù)）的可逆加密目前則尚無(wú)成熟的解決方案，國(guó)內(nèi)外高校都在探索中。

我們對(duì)于數(shù)據(jù)的一致性校驗(yàn)技術(shù)進(jìn)行了一些探索性的應(yīng)用。招生數(shù)據(jù)是高校的內(nèi)部敏感級(jí)別數(shù)據(jù)，對(duì)于招生數(shù)據(jù)的最大的安全威脅是受到非法篡改，招生數(shù)據(jù)的最主要安全需求是保持?jǐn)?shù)據(jù)的完整性。在實(shí)際工作中，我們采用PKI相關(guān)的技術(shù)實(shí)現(xiàn)了對(duì)招生數(shù)據(jù)的數(shù)字簽名和定時(shí)驗(yàn)簽，有效地提升了招生數(shù)據(jù)的完整性。

實(shí)施數(shù)據(jù)庫(kù)審計(jì)

安全審計(jì)是通過測(cè)試信息系統(tǒng)對(duì)一套確定標(biāo)準(zhǔn)的符合程度來評(píng)估其安全性的系統(tǒng)方法。安全審計(jì)根據(jù)一定的安全策略記錄和分析歷史操作事件及數(shù)據(jù)，發(fā)現(xiàn)能夠改進(jìn)系統(tǒng)性能和安全的地方。對(duì)數(shù)據(jù)庫(kù)操作進(jìn)行審計(jì)的關(guān)鍵在于審計(jì)策略的設(shè)定，審計(jì)策略設(shè)得寬泛會(huì)導(dǎo)致審計(jì)數(shù)據(jù)過多，而審計(jì)策略設(shè)得過為嚴(yán)格則會(huì)造成審計(jì)數(shù)據(jù)不全，需要進(jìn)行適當(dāng)?shù)钠胶狻?shí)際工作中，我們采用了記錄數(shù)據(jù)增、刪、改的審計(jì)策略，基本滿足了審計(jì)需求。

可以預(yù)見，高校在未來幾年將面對(duì)日益嚴(yán)峻的安全形勢(shì)，對(duì)于數(shù)據(jù)的安全保護(hù)將是高校要面臨的主要信息安全挑戰(zhàn)。