0
沒想到，身為校長的老王，最近也迎來了一場重要的“考試”。
試題內(nèi)容是：構建智慧校園，保障數(shù)據(jù)安全。
一邊是數(shù)據(jù)共享開放，一邊是數(shù)據(jù)安全保護，看完試卷，老王犯起了難——
構建智慧校園，就要做好數(shù)字化轉型，高校包含海量的數(shù)據(jù)信息，隨著數(shù)字化轉型的深入：
教育數(shù)據(jù)價值越來越高！
業(yè)務系統(tǒng)數(shù)據(jù)越來越多！
數(shù)據(jù)安全隱患無處不在！
重大決策信息、財務信息、招生信息、資產(chǎn)信息、師生身份信息、健康信息、上網(wǎng)信息、一卡通信息、位置信息......數(shù)據(jù)資產(chǎn)散落在校園內(nèi)外的各個信息系統(tǒng)。
這些數(shù)據(jù)資產(chǎn)有多少？怎么分布？有哪些類型？哪些是活數(shù)據(jù)？哪些數(shù)據(jù)是沉淀數(shù)據(jù)？哪些可以科研利用？哪些是涉敏信息？實在難以摸清。如此一來，要對數(shù)據(jù)進行分類管理，就要花費大量的時間和精力，導致投入成本過高。
通常，學校的網(wǎng)絡、信息系統(tǒng)都有相應的主管部門，但數(shù)據(jù)信息由于涉及的部門眾多，牽涉較廣，很難建立明確的管理機制。
數(shù)據(jù)跨學院、跨部門流轉，沒有統(tǒng)一團隊、專業(yè)人員牽頭，無法形成統(tǒng)一數(shù)據(jù)安全防護體系；數(shù)據(jù)流通性強，安全事件發(fā)生后，難以有效溯源，缺乏認責依據(jù)。無法認責造成無所顧忌。
隨著《數(shù)據(jù)安全法》、《個人信息保護法》的頒布和實施，教育行業(yè)的合規(guī)要求持續(xù)加碼，教育部聯(lián)合七部門緊隨其后發(fā)布了《關于加強教育系統(tǒng)數(shù)據(jù)安全工作的通知》（下稱：《通知》）。
《通知》明確了教育系統(tǒng)數(shù)據(jù)安全工作的重點目標和教育行業(yè)數(shù)據(jù)安全的工作任務，同時強調，對師生個人信息保護，要增強法律意識，嚴格按照法律法規(guī)的要求行事；對新技術、新應用的推廣，要提升防入侵、防泄漏、防濫用、防竊取等整體防御水平和能力；面向師生的網(wǎng)絡安全意識教育也要同步跟進，形成重視數(shù)據(jù)安全保護的共識和氛圍。
新興技術的運用給高校帶來了極大的便利，同時也引發(fā)了各種數(shù)據(jù)安全問題，包括網(wǎng)絡攻擊、程序缺陷、病毒或黑客等造成的數(shù)據(jù)損壞或數(shù)據(jù)丟失等，導致數(shù)據(jù)泄露風險陡然加劇。
傳統(tǒng)的信息安全建設無法覆蓋現(xiàn)有的數(shù)據(jù)安全問題，因此，高校的數(shù)據(jù)安全保護建設亟需新的防護手段。
為幫助老王擺脫困擾，深信服從組織、技術、運維3個層面為他提供了一套數(shù)據(jù)安全解決方案，并形成了5個具體落地環(huán)節(jié)——
根據(jù)數(shù)據(jù)種類、數(shù)量、分布、流轉、權限、責任現(xiàn)狀，摸清底數(shù)、明確權責，為數(shù)據(jù)安全保護奠定基礎。
通過靜態(tài)探查，查看數(shù)據(jù)庫、終端、業(yè)務系統(tǒng)等地方的數(shù)據(jù)都有哪些？有多少？是如何分布的？通過動態(tài)探查，弄清楚數(shù)據(jù)的流轉情況；通過權責探查，搞明白誰可以使用哪些數(shù)據(jù)，這些數(shù)據(jù)又由誰來管理。
梳理好數(shù)據(jù)資產(chǎn)后，由深信服數(shù)據(jù)安全專家團隊與高校一起，制定數(shù)據(jù)分類分級標準，并展開數(shù)據(jù)分類分級工作。
數(shù)據(jù)分類分級工作是一個繁瑣且復雜的過程，靠人工來實現(xiàn)需要花費大量時間和精力，往往事倍功半。
深信服智能數(shù)據(jù)分類分級基于人工智能和機器學習技術，對數(shù)據(jù)字段進行高維特征自動提取，為每個字段生成特征向量，并通過無監(jiān)督機器學習進行相似字段分析，對相同數(shù)據(jù)字段進行批量打標，大幅提升數(shù)據(jù)分類分級的效率；通過有監(jiān)督機器學習引擎實現(xiàn)數(shù)據(jù)分類分級知識和經(jīng)驗學習，對數(shù)據(jù)分類分級標簽進行智能推薦，完成數(shù)據(jù)分類分級的自動化。
有了深信服智能數(shù)據(jù)分類分級，便可輕松實現(xiàn)數(shù)據(jù)資產(chǎn)的自動發(fā)現(xiàn)和數(shù)據(jù)資源目錄生成，使數(shù)據(jù)資產(chǎn)全局可視，為后續(xù)的數(shù)據(jù)安全保護工作奠定良好的基礎。
摸清了數(shù)據(jù)底數(shù)之后，就要建立數(shù)據(jù)安全評估和監(jiān)督評價制度。
為幫助高校健全數(shù)據(jù)安全保障體系，深信服特地配備了數(shù)據(jù)安全專家團隊，結合法律法規(guī)及教育行業(yè)的相關規(guī)定，對高校數(shù)據(jù)處理活動進行定期風險評估，將數(shù)據(jù)安全納入高校責任制考核評價；定期進行數(shù)據(jù)安全監(jiān)測預警通報，及時發(fā)現(xiàn)數(shù)據(jù)安全風險、處置數(shù)據(jù)安全威脅，輸出數(shù)據(jù)安全風險評估報告和整改建議。
要解決數(shù)據(jù)安全風險問題，就需要建立由專業(yè)人員組成的數(shù)據(jù)安全統(tǒng)一團隊，推動數(shù)據(jù)安全保障工作有序、穩(wěn)定、持續(xù)開展。
數(shù)據(jù)安全團隊需要包含決策層、管理層、執(zhí)行層、配合層、監(jiān)督層5個層面的成員。由網(wǎng)絡安全和信息化工作領導小組決策，網(wǎng)絡中心/信息中心統(tǒng)籌管理，二級學院、單位負責執(zhí)行，學校師生、合作伙伴整體配合，再由審計人員負責監(jiān)督，形成自上而下的數(shù)據(jù)安全組織架構。團隊需要對管理、運營、合規(guī)、技術等方面負責，保障數(shù)據(jù)安全的整體規(guī)劃實施落地。
此外，為提高數(shù)據(jù)安全法律意識，需要對團隊持續(xù)開展針對性的專業(yè)培訓工作。
針對高校的核心業(yè)務系統(tǒng)，圍繞數(shù)據(jù)處理活動的過程，對數(shù)據(jù)收集、存儲、使用、加工、傳輸、提供、公開進行保護。
深信服數(shù)據(jù)安全解決方案圍繞深信服數(shù)據(jù)安全管理中心，構建身份認證、行為監(jiān)測、信任評估、權限管理、訪問控制、脆弱性管理、威脅狩獵、響應處置、時間管理、溯源調查等數(shù)據(jù)安全保護能力，幫助用戶應對數(shù)據(jù)安全復雜的業(yè)務場景，實現(xiàn)用戶數(shù)字化建設的安全統(tǒng)一，運維統(tǒng)一，策略統(tǒng)一。
安全管理中心在網(wǎng)絡安全的基礎上通過持續(xù)鑒白能力對訪問數(shù)據(jù)的用戶進行環(huán)境、身份、行為的持續(xù)評估；通過持續(xù)鑒黑能力對訪問數(shù)據(jù)的風險用戶進行安全故事鏈的編排，還原入侵行為及安全風險。
管理中心與安全組件的聯(lián)動，可以實現(xiàn)安全事件敏捷感知，安全風險及時管控。
例如：某院系老師需要訪問該校的核心業(yè)務數(shù)據(jù)，管理中心通過分析得出此次訪問有一定風險，就會聯(lián)動組件阻斷此次訪問行為。
數(shù)據(jù)安全工作并非一勞永逸，以高校數(shù)據(jù)資產(chǎn)安全管理為例，需要持續(xù)對數(shù)據(jù)資產(chǎn)進行發(fā)現(xiàn)、分類分級、標記等元數(shù)據(jù)管理工作，這些工作常常建立在數(shù)據(jù)血緣管理、數(shù)據(jù)唯一性管理、數(shù)據(jù)質量管理等等數(shù)據(jù)治理活動中。
數(shù)據(jù)分析安全運營則如同網(wǎng)絡漏洞威脅監(jiān)測預警一樣，需要對存在可疑數(shù)據(jù)訪問權限、敏感數(shù)據(jù)泄漏等進行持續(xù)性安全監(jiān)測與響應，并基于問題持續(xù)推動數(shù)據(jù)安全工作改進。
通過上述5個步驟，深信服數(shù)據(jù)安全解決方案幫助高校實現(xiàn)了數(shù)據(jù)可知、風險可視、安全可控、問題可溯，讓數(shù)據(jù)的共享交換過程更安全，價值釋放更充分，徹底解決的校長老王的難題。幫助老王交上了一份滿意的“答卷”。
正如維納(Norbert Wiener)所言：“技術的發(fā)展，對善和惡都帶來了無限的可能性。”高校一方面享受著數(shù)據(jù)治理帶來的便捷數(shù)據(jù)服務，另一方面也承擔著數(shù)據(jù)安全問題的威脅和挑戰(zhàn)。
數(shù)據(jù)安全是高校數(shù)據(jù)治理的重要內(nèi)容之一。深信服數(shù)據(jù)安全解決方案基于《數(shù)據(jù)安全法》和《個人信息保護法》等法律法規(guī)的要求和實際的數(shù)據(jù)安全風險場景，通過人工智能和機器學習等先進技術，為政府、教育、醫(yī)療等各個行業(yè)用戶提供面向業(yè)務場景的數(shù)據(jù)安全建設體系，讓數(shù)據(jù)使用變得更加合規(guī)、安全。
雷峰網(wǎng)(公眾號：雷峰網(wǎng))
