文/朱圣才

大數(shù)據(jù)時代高校數(shù)據(jù)安全需求與挑戰(zhàn)

文/朱圣才

針對大數(shù)據(jù)環(huán)境下的高校數(shù)據(jù)安全問題，我們建議在規(guī)劃、建設(shè)、運行過程中，同步考慮“把數(shù)據(jù)關(guān)進(jìn)籠子，讓數(shù)據(jù)訪問在陽光下進(jìn)行”的數(shù)據(jù)安全策略。

高校數(shù)據(jù)安全需求

大數(shù)據(jù)時代背景下，高校信息化產(chǎn)生的各類數(shù)據(jù)成為高校最重要的資產(chǎn)之一。然而，高校的網(wǎng)絡(luò)信息安全建設(shè)工作沒有達(dá)到銀行、證券、金融等行業(yè)的高投入和大規(guī)模建設(shè)，高校的數(shù)據(jù)安全建設(shè)工作在整個網(wǎng)絡(luò)信息安全建設(shè)中沒有得到足夠的重視，在數(shù)據(jù)收集、存儲、傳輸和使用過程中缺乏必要的防護(hù)措施，使得大量敏感信息、個人信息的安全性無法得到有效保障。高校在推進(jìn)業(yè)務(wù)系統(tǒng)整合、數(shù)據(jù)中心建設(shè)、數(shù)字校園與智慧校園建設(shè)、數(shù)據(jù)分析與挖掘等大數(shù)據(jù)建設(shè)的同時，必須堅持安全與發(fā)展并重的方針，為大數(shù)據(jù)發(fā)展構(gòu)建安全保障體系，在充分發(fā)揮大數(shù)據(jù)價值的同時，解決面臨的數(shù)據(jù)安全和個人信息保護(hù)問題。

如何保障數(shù)據(jù)的機(jī)密性、完整性、可用性，對于教育行業(yè)來講，特別是高校，有著更深層次的意義。高校有著大量的科研成果、學(xué)術(shù)資料、教職工信息以及海量的學(xué)生信息，是數(shù)據(jù)泄露的相對高發(fā)地帶。因此，高校需要切實加強(qiáng)安全防護(hù)以保障高校數(shù)據(jù)安全。

當(dāng)前高校數(shù)據(jù)安全面臨的挑戰(zhàn)

老舊系統(tǒng)帶來的數(shù)據(jù)攻擊

早期的老舊系統(tǒng)，明文傳輸、明文存儲較為普遍，并且系統(tǒng)漏洞較多，加之無人運維，常見的SQL注入漏洞、文件上傳漏洞、弱口令、第三方中間件漏洞等這些安全漏洞均會造成服務(wù)器權(quán)限被獲取，數(shù)據(jù)庫被攻擊等網(wǎng)絡(luò)信息安全事件，危害非常之大。從目前教育主管部門的漏洞通報來看，多數(shù)安全漏洞及安全事件都發(fā)生在老舊系統(tǒng)之中。對于老舊系統(tǒng)的攻擊，以及攻擊帶來的數(shù)據(jù)安全問題是比較常見的，如何處理好這些老舊系統(tǒng)是關(guān)鍵。通過這些簡單的攻擊手段就能達(dá)到攻擊目的的攻擊行為基本都是零成本，這種零成本攻擊造成數(shù)據(jù)泄露也是高校最為常見的情況。

大數(shù)據(jù)帶來的數(shù)據(jù)集中

大數(shù)據(jù)時代的到來，給數(shù)據(jù)分析挖掘奠定了豐富的數(shù)據(jù)基礎(chǔ)，這個基礎(chǔ)就是數(shù)據(jù)集中，數(shù)據(jù)集中是指將數(shù)據(jù)集中到中心一點以便于數(shù)據(jù)分析挖掘。這種數(shù)據(jù)的高度集中在給數(shù)據(jù)分析挖掘帶來效益的同時對數(shù)據(jù)安全的危害也是可見的。身處大數(shù)據(jù)時代，高校也在進(jìn)行一系列的大數(shù)據(jù)整合工作，建設(shè)各自的數(shù)據(jù)中心，將數(shù)據(jù)進(jìn)行集中存儲和管控。業(yè)務(wù)流程的整合實現(xiàn)了各自高校各項業(yè)務(wù)的優(yōu)化，優(yōu)化的本質(zhì)是數(shù)據(jù)分析挖掘的結(jié)果。這些優(yōu)化后的成果如果沒有得到更好的保護(hù)，產(chǎn)生的副作用也是巨大的。

另外，大數(shù)據(jù)帶來的數(shù)據(jù)集中需要防范APT攻擊行為，APT攻擊是黑客用客戶發(fā)動的網(wǎng)絡(luò)攻擊和入侵行為，是一種蓄謀已久的網(wǎng)絡(luò)攻擊行為，APT攻擊以竊取核心數(shù)據(jù)資料為目的，對大數(shù)據(jù)應(yīng)用產(chǎn)生重大安全威脅。APT攻擊具有很強(qiáng)的隱蔽性，傳統(tǒng)的防護(hù)策略并不能檢測到，很難被發(fā)現(xiàn)。

云計算帶來的數(shù)據(jù)存儲

云計算是一種服務(wù)模式，通常被分為包括基礎(chǔ)設(shè)施即服務(wù)、平臺即服務(wù)、軟件即服務(wù)三種模式。云計算平臺可以分為包括以數(shù)據(jù)存儲為主的存儲型、以數(shù)據(jù)處理為主的計算型、以計算和數(shù)據(jù)存儲處理兼顧的復(fù)合型三種類型平臺。各高校實際使用情況顯示，各高校目前基本都建立了自己的以數(shù)據(jù)存儲為主的私有云平臺，但是這種用于數(shù)據(jù)存儲的私有云平臺產(chǎn)品基本都是由各廠商提供，并非各高校私有技術(shù)，這些用于數(shù)據(jù)存儲的云計算平臺的安全性如何未知；拋開這些未知數(shù)，目前還有很多高校使用了大量的公有云平臺，將各自的業(yè)務(wù)系統(tǒng)部署在商業(yè)的公有云上，數(shù)據(jù)、應(yīng)用均在外部云上，這些數(shù)據(jù)的安全性也有待商榷。

系統(tǒng)外包帶來的數(shù)據(jù)控制權(quán)

系統(tǒng)外包在各行各業(yè)都有，教育行業(yè)、高校也不例外，各式各樣的系統(tǒng)通過外包方式進(jìn)行開發(fā)維護(hù)，各外包公司掌握著各類系統(tǒng)的應(yīng)用程序源代碼、服務(wù)器權(quán)限、數(shù)據(jù)庫權(quán)限等核心信息。例如高校普遍使用的財務(wù)系統(tǒng)、人力資源系統(tǒng)、招生系統(tǒng)、學(xué)籍管理系統(tǒng)、科研管理系統(tǒng)等等，多數(shù)都使用信息化方式外包或者通過購買產(chǎn)品進(jìn)行運行，如果對這些信息系統(tǒng)運維外包過程管理不嚴(yán)，極有可能造成重要數(shù)據(jù)泄露；同時在進(jìn)行外包運維過程中，運維工程師的技術(shù)水平良莠不齊，有可能由于操作不慎造成數(shù)據(jù)丟失、損壞等。這種過度外包依賴對數(shù)據(jù)的安全是不可控的，各高校需要自主掌握數(shù)據(jù)的控制權(quán)。

數(shù)據(jù)資源開放共享與安全保護(hù)矛盾

大數(shù)據(jù)時代智慧校園建設(shè)對數(shù)據(jù)的需求越來越高，需要精準(zhǔn)的數(shù)據(jù)信息作為支撐，例如，可以通過學(xué)生的個人消費情況，梳理一些特有的功能進(jìn)一步優(yōu)化校園卡服務(wù)。然而，數(shù)據(jù)信息作為一種資源，更是一種資產(chǎn)，需要進(jìn)行保護(hù)，這種對數(shù)據(jù)信息的挖掘底線需要制定，總之，保護(hù)和需求的矛盾越來越顯現(xiàn)。

針對大數(shù)據(jù)環(huán)境下的高校數(shù)據(jù)安全問題，我們建議在規(guī)劃、建設(shè)、運行過程中，同步考慮“把數(shù)據(jù)關(guān)進(jìn)籠子，讓數(shù)據(jù)訪問在陽光下進(jìn)行”的數(shù)據(jù)安全策略。

大數(shù)據(jù)時代，是機(jī)遇與挑戰(zhàn)并存的時代，高校數(shù)據(jù)安全防護(hù)工作任重道遠(yuǎn)，需要有效的技術(shù)手段和相關(guān)政策法規(guī)并舉才能保障大數(shù)據(jù)時代的數(shù)據(jù)安全與個人信息問題，需要技術(shù)創(chuàng)新與制度創(chuàng)新才能不斷引領(lǐng)大數(shù)據(jù)時代的安全工作。

（作者單位為華東師范大學(xué)）