文/張巍

數(shù)據(jù)安全全過程管理
——以大連理工大學為例

文/張巍

《網(wǎng)絡安全法》出臺后，以法律的形式明確要求各類組織切實承擔起保障數(shù)據(jù)安全的責任，因此高校必須高度重視數(shù)據(jù)安全工作，做好數(shù)據(jù)安全的全過程管理。

大連理工大學在數(shù)據(jù)安全管理方面也遇到了一些困難和問題，針對這些問題，大連理工大學通過規(guī)范數(shù)據(jù)全過程管理，在一定程度上避免了數(shù)據(jù)安全事件的發(fā)生。

我們認為，加強高校數(shù)據(jù)安全管理，首先要讓師生、業(yè)務部門了解什么是信息化數(shù)據(jù)，學校有哪些信息化數(shù)據(jù)。簡單地說，信息化數(shù)據(jù)是指學校各職能部門、各二級單位以及全校師生員工在履行職責過程中產(chǎn)生或獲取的各類數(shù)據(jù)，包括但不限于各業(yè)務部門直接或通過第三方依法采集的、依法授權(quán)管理的和因履行職責需要依托信息化系統(tǒng)形成的信息化數(shù)據(jù)等。數(shù)據(jù)的內(nèi)容涵蓋學校組織機構(gòu)域、人力資源域、學生管理域、教學資源與管理域、科研管理域、財務資產(chǎn)域、數(shù)字檔案域、個人信息域、公共服務域、系統(tǒng)數(shù)據(jù)域等。

數(shù)據(jù)內(nèi)涵界定清晰后，師生和業(yè)務部門明確了數(shù)據(jù)是怎么產(chǎn)生的，學校有什么數(shù)據(jù)，可以有效避免重復采集數(shù)據(jù)、線下傳遞數(shù)據(jù)等安全隱患。

數(shù)據(jù)安全管理四大原則

數(shù)據(jù)時代，高校掌握盡可能多的數(shù)據(jù)十分必要，但高校信息化部門在進行數(shù)據(jù)治理，獲取數(shù)據(jù)資源過程中經(jīng)常遇到的困難是業(yè)務部門以數(shù)據(jù)保密等原因不愿意把數(shù)據(jù)共享出來，把數(shù)據(jù)資源當作本部門的私有財產(chǎn)，只要解決本部門問題即可，不能站在學校層面考慮數(shù)據(jù)資源共享問題。同時，業(yè)務部門在自有數(shù)據(jù)管理、使用過程中對數(shù)據(jù)安全重視不夠，也發(fā)生過數(shù)據(jù)泄露的安全事件。因此學校應明確數(shù)據(jù)資源的管理原則，保證能夠獲得數(shù)據(jù)，并且安全管理和使用數(shù)據(jù)。

1.統(tǒng)籌建設原則

數(shù)據(jù)是學校的公共資產(chǎn)，各業(yè)務部門的系統(tǒng)不是怎么建設都可以，必須在信息化部門統(tǒng)籌規(guī)劃和參與下建設，以保證學校需要的數(shù)據(jù)能夠由業(yè)務部門生產(chǎn)、維護和共享，保證業(yè)務系統(tǒng)安全、數(shù)據(jù)安全。同時，大連理工大學用一年的時間對各業(yè)務部門所需填寫的表格進行了集中梳理，對梳理出來的1萬余條數(shù)據(jù)字段進行分類匯總分析，確認哪些數(shù)據(jù)已有，哪些沒有；數(shù)據(jù)的生產(chǎn)部門是那些，數(shù)據(jù)的使用部門是哪些；沒有的數(shù)據(jù)應該由哪些業(yè)務部門負責生產(chǎn)，并參與到這些部門系統(tǒng)建設、升級的過程中，系統(tǒng)通過安全檢測后才可以上線，統(tǒng)籌解決了所需數(shù)據(jù)的采集和安全管理。

2.全面共享原則

大連理工大學明確提出業(yè)務部門生產(chǎn)的各類數(shù)據(jù)以全面共享為根本，不共享為例外。如有哪些數(shù)據(jù)不共享，業(yè)務部門必須拿出明確的法律法規(guī)或?qū)W校規(guī)章制度依據(jù)，否則都需要普遍共享或有條件共享。這樣做可以有效保障信息化部門充分獲得學校已有的各類數(shù)據(jù)，建設公共數(shù)據(jù)庫平臺，在平臺層面實現(xiàn)各類數(shù)據(jù)資源的共享、交換，避免線下傳遞數(shù)據(jù)引發(fā)安全隱患。

3.依法使用原則

在大連理工大學公共數(shù)據(jù)庫建設不完善、制度不健全時期，各部門所需要的數(shù)據(jù)大多是找到相關(guān)部門導出電子文檔線下傳遞，沒有有效的監(jiān)督，數(shù)據(jù)安全風險極大。在大連理工大學公共數(shù)據(jù)庫建設較好初期，許多業(yè)務部門或個人的數(shù)據(jù)使用也不規(guī)范，往往給信息化部門打個電話、發(fā)個郵件就可以獲取到相關(guān)數(shù)據(jù)，各方數(shù)據(jù)安全意識都不強，數(shù)據(jù)泄露風險極大。因此有必要明確數(shù)據(jù)使用原則，只有在履職或科研等特定工作需要的情況下，才可以申請使用信息化數(shù)據(jù)，且只能在申請范圍內(nèi)合法、合理使用，不得濫用，保證數(shù)據(jù)安全。

4.安全可控原則

業(yè)務系統(tǒng)可能泄露本部門的數(shù)據(jù)，而學校的公共數(shù)據(jù)平臺有可能泄露學校的全部數(shù)據(jù)。因此信息化部門首先應加強公共數(shù)據(jù)平臺的安全建設和管理，建立完善的數(shù)據(jù)共享安全機制，確保數(shù)據(jù)平臺的安全。提供數(shù)據(jù)盡量以平臺對接方式完成，提供數(shù)據(jù)內(nèi)容盡量最小化，不需要的數(shù)據(jù)不提供，需要的數(shù)據(jù)敏感信息脫敏后再提供。對數(shù)據(jù)使用者而言，按照 “誰使用，誰負責”的原則，在嚴格履行數(shù)據(jù)使用申請、審批、簽署保密協(xié)議的基礎(chǔ)上，信息化部門還要加強數(shù)據(jù)的使用監(jiān)督和安全風險提示，對存在安全隱患的使用方式停止數(shù)據(jù)提供。

五大步驟推動數(shù)據(jù)安全工作

高校對數(shù)據(jù)的重要性已經(jīng)達成共識，但對數(shù)據(jù)安全工作重視還需加強。數(shù)據(jù)生產(chǎn)的業(yè)務部門對業(yè)務系統(tǒng)安全、數(shù)據(jù)安全重視不夠，師生的個人數(shù)據(jù)安全保護意識欠缺，數(shù)據(jù)使用者對數(shù)據(jù)安全的忽視，都可能導致安全事件的發(fā)生。那么大連理工大學是如何推動數(shù)據(jù)安全工作的呢？

1.健全數(shù)據(jù)安全管理機構(gòu)和隊伍

大連理工大學成立的“網(wǎng)絡安全與信息化建設管理委員會”由黨委書記和校長擔任主任，委員會下設“網(wǎng)絡與信息安全工作組”，由宣傳部、保衛(wèi)部、網(wǎng)信中心的負責人共同擔任組長，負責全校輿情、政治保衛(wèi)、網(wǎng)絡信息安全工作。同時，大連理工大學各二級單位主要負責人為本單位數(shù)據(jù)安全管理第一責任人，各單位業(yè)務系統(tǒng)管理員是本單位數(shù)據(jù)安全管理人員。學校一把手、各單位主要領(lǐng)導親自抓網(wǎng)絡安全工作，又有具體數(shù)據(jù)安全管理隊伍，使得數(shù)據(jù)安全工作有領(lǐng)導、有隊伍、有抓手，形成數(shù)據(jù)安全工作齊抓共管的局面。

2.建設學校公共數(shù)據(jù)平臺

要規(guī)范學校數(shù)據(jù)的管理，避免數(shù)據(jù)線下傳遞和出現(xiàn)無序采集、擴大化采集和非法使用、超范圍使用數(shù)據(jù)等安全問題，就必須建設學校的公共數(shù)據(jù)平臺，實現(xiàn)學校所有數(shù)據(jù)的統(tǒng)一管理，為業(yè)務部門之間數(shù)據(jù)資源共享交換、數(shù)據(jù)使用提供支撐。大連理工大學從2009年開始建設公共數(shù)據(jù)平臺，當時只建設了沒有按主題域細分的公共數(shù)據(jù)庫，沒有建設數(shù)據(jù)標準管理平臺、數(shù)據(jù)清洗交換平臺、歷史庫和行為數(shù)據(jù)庫等，導致數(shù)據(jù)共享使用效果不理想，一些業(yè)務數(shù)據(jù)還是通過線下方式進行傳遞。2016年開始，大連理工大學開展新一輪基礎(chǔ)平臺建設，其中最核心的內(nèi)容是進行數(shù)據(jù)治理和建設公共數(shù)據(jù)平臺。為保證平臺建設質(zhì)量，大連理工大學規(guī)定全校性的管理信息系統(tǒng)都必須納入信息化數(shù)據(jù)共享工作范圍內(nèi)統(tǒng)籌建設與管理，與公共數(shù)據(jù)平臺對接，使得公共數(shù)據(jù)平臺數(shù)據(jù)更完整和準確，平臺作用得以發(fā)揮。

3.加強業(yè)務系統(tǒng)安全和運維管理

高校由于業(yè)務系統(tǒng)安全漏洞、系統(tǒng)不規(guī)范運維、系統(tǒng)管理員和用戶弱密碼等原因造成的數(shù)據(jù)泄露是發(fā)生數(shù)據(jù)安全事件的最主要原因，因此加強數(shù)據(jù)安全工作，要從數(shù)據(jù)產(chǎn)生源頭——業(yè)務系統(tǒng)的安全管理著手。目前大連理工大學大部分業(yè)務系統(tǒng)完成了等保定級，新開發(fā)系統(tǒng)只有完成安全檢測才能上線，網(wǎng)信中心也定期對校內(nèi)系統(tǒng)進行安全檢測，對發(fā)現(xiàn)有問題的系統(tǒng)臨時限制在校內(nèi)訪問，對所在部門發(fā)出書面整改通知書，整改完成后恢復使用；在系統(tǒng)運維方面，對于公司代維護的業(yè)務系統(tǒng)，公司維護前需申請校內(nèi)堡壘機臨時使用權(quán)限，通過堡壘機進行運維。網(wǎng)信中心負責各業(yè)務系統(tǒng)的技術(shù)負責人也通過堡壘機對系統(tǒng)云主機進行定期的安全運維；在系統(tǒng)管理方面，學校要求業(yè)務部門定期對本部門負責管理的數(shù)據(jù)進行檢查，明確數(shù)據(jù)的修正、補充、更新、刪除等操作流程，保存數(shù)據(jù)運維過程中所有相關(guān)的日志記錄，避免因人為誤操作導致的數(shù)據(jù)安全風險。學校也培訓和要求各業(yè)務系統(tǒng)管理員加強系統(tǒng)登錄權(quán)限、密碼的管理，避免初始密碼、弱密碼、助學學生代管、公司代管系統(tǒng)的情況發(fā)生。同時，大連理工大學的統(tǒng)一身份認證系統(tǒng)進行了密碼強度校驗，登錄時強制修改滿足要求的密碼，未來，大連理工大學將逐步隱藏各業(yè)務系統(tǒng)的登錄鏈接，系統(tǒng)管理員和普通用戶登錄業(yè)務系統(tǒng)都通過安全性較高的統(tǒng)一身份認證系統(tǒng)來完成。

4.嚴格數(shù)據(jù)資源使用審批和監(jiān)管

大連理工大學明確規(guī)定各業(yè)務部門和個人在使用校內(nèi)數(shù)據(jù)時只能通過公共數(shù)據(jù)平臺獲得，不允許業(yè)務部門以離線文檔的形式傳遞。在數(shù)據(jù)使用申請管理上，學校所有的信息化數(shù)據(jù)使用都需向網(wǎng)信中心提出書面申請，簽署數(shù)據(jù)使用保密協(xié)議，審批通過后才能獲得數(shù)據(jù)。對于普遍共享類數(shù)據(jù)，需求經(jīng)網(wǎng)信中心申請得到批準后，網(wǎng)信中心通過公共數(shù)據(jù)平臺直接提供數(shù)據(jù)；對有條件共享類數(shù)據(jù)，網(wǎng)信中心還會將申請轉(zhuǎn)至數(shù)據(jù)產(chǎn)生部門審批；在數(shù)據(jù)使用上，學校要求所有數(shù)據(jù)使用者承諾在使用數(shù)據(jù)時必須保護個人隱私，數(shù)據(jù)只能用于申請授權(quán)范圍以內(nèi)的用途，不得將獲得的數(shù)據(jù)公開，不得直接或以改變數(shù)據(jù)形式等方式提供給第三方，也不得用于或變相用于其他目的。

5.開展數(shù)據(jù)安全問題追責

大連理工大學以文件的形式明確規(guī)定對不按照規(guī)定隨意采集、濫用、非授權(quán)使用、擴大范圍使用、未經(jīng)許可擴散和泄露數(shù)據(jù)且對學校和個人造成損失的行為進行嚴肅追責，按照學校和相關(guān)規(guī)定予以處理。

數(shù)據(jù)為王時代，機遇與挑戰(zhàn)并存，數(shù)據(jù)安全形勢日益嚴峻，高校數(shù)據(jù)安全工作未來將面臨更大的挑戰(zhàn)。高校掌握大量的數(shù)據(jù)的同時也集中了風險，數(shù)據(jù)安全、數(shù)據(jù)使用、決策支持、隱私保護等等問題，已經(jīng)觸及了法律和倫理地帶，需要高校信息化工作者帶著對數(shù)據(jù)安全的敬畏認真思考，加強數(shù)據(jù)安全管理，使數(shù)據(jù)在合法合規(guī)使用的前提下發(fā)揮更大的作用。

（作者單位為大連理工大學）