提升數(shù)據(jù)安全四大對(duì)策

吳海燕清華大學(xué)信息化技術(shù)中心

數(shù)據(jù)安全并非單一技術(shù)或者管理措施即可解決的復(fù)雜問題，需通過整體的信息安全保障體系的設(shè)計(jì)與實(shí)施，綜合考慮技術(shù)和管理各方面的措施。

清華大學(xué)信息化技術(shù)中心吳海燕認(rèn)為，應(yīng)從以下幾個(gè)方面入手解決高校數(shù)據(jù)安全問題。

第一，建立數(shù)據(jù)分級(jí)防護(hù)策略

數(shù)據(jù)分析防護(hù)策略是核心的數(shù)據(jù)安全策略。建議根據(jù)數(shù)據(jù)的保密性、完整性等安全屬性，根據(jù)相關(guān)法律法規(guī)要求，根據(jù)數(shù)據(jù)對(duì)于學(xué)校的重要程度，對(duì)數(shù)據(jù)進(jìn)行安全級(jí)別劃分，使數(shù)據(jù)能夠得到適當(dāng)?shù)陌踩雷o(hù)。建立數(shù)據(jù)分級(jí)策略需要考慮如下幾個(gè)方面的問題：1.數(shù)據(jù)的分級(jí)原則，考慮到可操作性，建議高校數(shù)據(jù)分為三個(gè)或四個(gè)安全級(jí)別，如可劃分為公開數(shù)據(jù)、一般業(yè)務(wù)數(shù)據(jù)、內(nèi)部敏感數(shù)據(jù)、個(gè)人數(shù)據(jù)四個(gè)安全級(jí)別；2. 數(shù)據(jù)管理與操作的各個(gè)角色設(shè)置；3.各級(jí)別數(shù)據(jù)的防護(hù)措施等方面的內(nèi)容。對(duì)于不同級(jí)別的數(shù)據(jù)，還要明確其在數(shù)據(jù)訪問控制、存儲(chǔ)、傳輸、備份、審計(jì)等方面的要求。

第二，嚴(yán)格數(shù)據(jù)的訪問控制

包括通過防火墻實(shí)現(xiàn)網(wǎng)絡(luò)訪問控制、通過主機(jī)安全加固強(qiáng)化主機(jī)訪問控制、通過數(shù)據(jù)庫加固限制數(shù)據(jù)庫訪問控制，通過Web 應(yīng)用的安全設(shè)計(jì)與開發(fā)防止黑客通過Web 應(yīng)用漏洞獲取敏感數(shù)據(jù)。

第三，探索嘗試數(shù)據(jù)加密與一致性校驗(yàn)技術(shù)

以散列的方式加密存儲(chǔ)口令類不需要解密的數(shù)據(jù)是較成熟的解決方案，但對(duì)于敏感數(shù)據(jù)（如科研經(jīng)費(fèi)等數(shù)據(jù)）的可逆加密目前國內(nèi)外高校都在探索中。清華大學(xué)采用了PKI 相關(guān)的技術(shù)實(shí)現(xiàn)了對(duì)招生數(shù)據(jù)的數(shù)字簽名和定時(shí)驗(yàn)簽，有效地提升了招生數(shù)據(jù)的完整性。

第四，實(shí)施數(shù)據(jù)庫審計(jì)

安全審計(jì)是通過測試信息系統(tǒng)對(duì)一套確定標(biāo)準(zhǔn)的符合程度來評(píng)估其安全性的系統(tǒng)方法。安全審計(jì)根據(jù)一定的安全策略記錄和分析歷史操作事件及數(shù)據(jù)，發(fā)現(xiàn)能夠改進(jìn)系統(tǒng)性能和安全的地方。對(duì)數(shù)據(jù)庫操作進(jìn)行審計(jì)的關(guān)鍵在于審計(jì)策略的設(shè)定，審計(jì)策略設(shè)得寬泛會(huì)導(dǎo)致審計(jì)數(shù)據(jù)過多，而審計(jì)策略設(shè)得過為嚴(yán)格則會(huì)造成審計(jì)數(shù)據(jù)不全，需要進(jìn)行適當(dāng)?shù)钠胶狻?/p>