9月5日，國家計算機病毒應急處理中心發布了關于西北工業大學遭受美國國家安全局（NSA）網絡攻擊的調查報告，其下屬的特定入侵行動辦公室（TAO）使用了四十一種不同的專屬網絡攻擊武器，對西北工業大學進行持續的網絡攻擊。掩蓋真實的IP地址，精心偽裝網絡攻擊痕跡，并以假郵件“釣魚”形式，非法獲取師生電子郵箱登錄權限，竊取郵件內重要數據信息，造成嚴重社會影響與危害。

西北工業大學作為“國防七子”之一，承擔了多個國家重點科研項目，其高校定位的特殊性，成為網絡攻擊的重要目標。根據相關報告顯示，此類高校被境外勢力有組織、有預謀，無差別的網絡攻擊事件數不勝數，其行為對我國的國防安全、關鍵基礎設施安全、社會安全、生產安全以及公民個人信息安全造成了極大的危害和影響。

調查報告認為，此次西北工業大學遭受到境外網絡攻擊，積極采取防御措施值得受到網絡攻擊的受害者學習，是各高校有效防范抵御境外惡意網絡攻擊行為的有利借鑒。

當前，高校已意識到了數據安全的重要性，數據安全治理工作被推到了信息化建設工作前線。只有通過數據治理才能夠提高數據的質量，促進數據共享交換，深入挖掘數據價值從而實現數據的資產屬性，更快更好地推動高校數字化轉型。

高校數據安全治理工作的不斷推進，打破了原來系統間高耦合的數據交換模式，建立了學校統一的數據共享交換平臺，各個業務系統產生的數據統一匯聚到學校的數據中心，并通過共享交換平臺推送給各個業務系統。

同時，多維度的數據也在學校的數據中心不斷積累和沉淀，以供各種應用進行數據分析和價值挖掘。

如何在數據治理中處理好數據的匯聚、交換和挖掘過程中的安全保護與開放獲取的關系，無疑成為一個迫切需要解決的新問題。

正如控制論創始人維納(Norbert Wiener)所言：“技術的發展，對善和惡都帶來了無限的可能性。”高校一方面享受著數據治理帶來的便捷數據服務，另一方面也承擔著數據安全問題的威脅和挑戰。

創安恒宇認為，數據安全也是高校數據治理的重要內容之一，數據安全是數據價值釋放的前提，一旦關鍵的數據遭到安全威脅，高校整體的工作面臨著陷入混亂的風險，帶來難以估量的損失，只有在可以安全合規使用的前提下，數據才能作為資產發揮最大價值。

數據安全管理的目標主要有三個方面：

第一，不亂改，明確數據的所有權和使用權限。制定完善的數據所有權管理規范，確保對數據的所有更改有“法”可依，有“據”可查。

第二，不丟失，建立數據的備份機制和容災機制，制定完善的數據安全管理規范，確保所有的數據有備份，可恢復。

第三，不泄露，根據組織內部的相關要求，做好數據的保密工作，防止信息泄露。

如何在數據的全生命周期對數據進行安全管理，是進一步推進數據治理工作需要解決的關鍵問題之一。

數據治理帶來的數據安全新問題

隨著學校數據治理工作的開展，數據治理活動中對數據的匯聚、交換和使用也給我們的數據安全帶來了新的挑戰。

這些挑戰區別于以往常見的網絡設施和信息系統的安全風險，主要體現在以下幾個方面。

數據充分利用和安全管控的矛盾

通過數據治理提升數據價值的過程中，數據的多維度、大范圍利用是不可或缺的一個環節，但這與數據安全管控的最小化原則在實際操作中難以找到一個平衡點。

“堡壘往往都是從內部攻破的”，數據管理是數據安全的關鍵問題：

• 一是數據治理集中了各單位數據后，數據產生部門和數據使用部門的安全責任邊界難以劃清。
• 二是使用數據資源需求強烈，往往超出實際需要申請調用數據，增大數據泄露風險。
• 三是數據的開放性增加了數據保護難度，數據調用細節錯綜復雜，每增加一個數據接口就會增加數據訪問控制要求，同時第三方系統供應商對數據的保存和調用也存在數據泄露風險。

數據集中存儲的泄露風險

隨著學校數據治理工作的深入推進，學校的數據倉庫內集成了學校幾乎所有重要業務的海量數據，其中包含了學校大量的重要業務數據和師生個人信息，數據倉庫的安全地位日益凸顯。

來自外部攻擊的主要風險點在于數據泄露和篡改，近年來由于顯著的黑產利益驅動，互聯網上以竊取和篡改數據為目的的攻擊日趨增加，攻擊手段有系統漏洞、SQL注入、惡意軟件、采用社會工程學撞庫、“釣魚”郵件/文件等等，技術復雜性和攻擊隱蔽性越來越高，防范難度越來越難。如何通過技術手段防范、預警和阻止外部攻擊，是我們時刻都要面對的問題。

數據的丟失和篡改風險

數據治理形成的海量數據防丟失和防篡改需求，也給信息化管理部門造成了很大的壓力。

但學校現有的備份和恢復機制大都是面向網絡設備或者服務器的，對于數據服務停止、數據內容丟失、數據被篡改等數據風險并沒有針對性措施。

一是難以在出現數據庫故障時實現快速恢復數據服務，二是在出現文件丟失、意外覆蓋、惡意篡改等狀況時，不能及時按需回滾數據至指定時間節點。

高校數據管理安全機制探索

針對以上的問題，創安恒宇嘗試建立一套安全機制來應對數據安全問題。

總體而言，數據安全需要從組織機構、管理層面和技術層面三個方面來進行考量。

• 制度層面指通過數據安全組織領導保障和組織架構的建立，保證數據安全工作的方向和深度；
• 管理層面是利用數據標準、數據使用協議、數據保密協議、應急響應預案等規范性措施從管理角度來約束數據平臺的使用過程；
• 技術安全指通過訪問控制、冗余備份、脫敏加密、日志審計等技術手段來支撐數據保護的技術保障。
• 只有把制度層面、管理層面和技術層面三個方面結合起來才能更好地保障數據的安全。

組織機構保障

組織機構是數據安全工作能順利執行的基礎，也是確保各項安全責任得以落實的保證。

數據安全要從源頭抓起，信息化部門是數據安全工作的管理者和維護者，數據的使用部門和生產部門有責任對數據安全負責。

因此創安恒宇在學校網絡安全體系的基礎上，結合數據治理工作中組織機構的建設，在學校數據安全的組織框架建設上主要做了以下兩點。

1.形成涵蓋決策層、管理層和執行層的數據安全治理架構。

將“聯邦制”的學校數據治理框架拓展到數據安全層面。

數據安全的頂層統籌規劃由學校網絡安全和信息化領導小組統領，負責貫徹落實國家有關數據安全和信息化的戰略部署及政策法規，統籌協調學校數據安全重大問題。

學校各單位是本單位數據安全的責任主體和實施主體，負責本單位所產生和使用數據的安全工作，部門負責人和指定的安全聯絡人負責具體數據安全工作。

信息化建設處是學校數據安全管理的職能處室，負責學校數據安全整體管理和技術支撐保障工作，并安排技術對接人員指導和協助業務部門數據安全工作。

2.形成共同治理的數據安全工作推進模式。

數據治理本就是一個多部門協同工作的過程，在數據治理中體現出的數據巨大價值和暴露出的數據安全問題，如何平衡日益增加的數據共享需求和數據安全責任之間的矛盾，成為各部門協同推進數據安全管理工作的動力。

創安恒宇通過制定學校數據管理辦法，以學校文件的形式，對數據產生方、數據使用方、數據管理方在數據創建、存儲、使用、共享、存檔的全生命周期中的任務進行規范，明確了數據治理中產生、使用、管理各角色的數據安全責任，為形成多部門協同的數據安全管理模式打下制度基礎。

管理層面配套落實

數據治理過程是推動學校數據安全管理的一個絕佳契機。

在數據治理任務中的數據資產梳理、數據責任劃分、數據分類分級等內容都可以和數據安全管理進行結合。

針對數據安全管理的問題和特點，創安恒宇在一數一源、劃分權責、合規使用等方面，對學校數據安全管理進行落地和細化。

1.通過數據治理摸清數據安全保護的對象和內容。

通過數據治理對學校數據資產進行統一梳理，識別和發現核心敏感的數據，根據與各業務部門調研結果對數據進行分類，按照數據的保密性、隱私性、發生安全事件后的影響后果等，進行數據分級評估。為往后的數據使用打下基礎。

2.摸清學校數據資產分布，落實數據源頭。

通過數據治理可以得到學校數據地圖和具體的U/C矩陣，并能按照字段逐一落實數據生產單位。數據源確定后，可按照“誰產生誰負責，誰維護誰負責”的原則劃分數據產生單位安全責任，并通過后續發布數據標準和數據服務清單的方式進行公布和認責。

3.通過簽訂數據使用協議，規范數據使用權限。

數據大致分為三類，第一類是無條件共享的，第二類是有條件共享的，第三類是核心敏感數據，不允許共享。

數據使用方按照最小必要原則提出數據申請，信息化建設處根據數據的安全級別進行安全風險評估，并在數據產生方和信息化建設處審核通過后簽訂三方數據使用協議，信息化建設處按照協議向數據使用方提供數據接口。

4.通過數據保密協議，落實數據防泄漏責任。

數據使用前我們會分別與校內數據使用部門和校外實施公司簽訂數據保密協議，以“誰使用誰負責”的原則細化數據違規使用和非授權使用的安全責任。

5.加強宣傳培訓，增強數據防護能力。

對各單位的數據管理員進行數據安全宣傳和培訓，宣傳國家數據安全政策，加強數據管理員數據安全意識，提高數據使用方的數據安全技術。

技術層面安全防護

在技術防護方面，針對學校數據共享平臺和信息系統技術架構和業務模型，主要從網絡、應用、業務、監管四個層面加強防護，實現網絡安全防護的連續性，如下圖所示。

數據中心安全架構

1.網絡層面，采用多層防火墻保護，細化數據訪問策略。

利用虛擬化技術，將數據中心傳統單臺防火墻虛擬成多臺，并根據業務類型和管理需要分開管理，逐級細化防火墻管理策略，并嚴格依據數據使用協議按IP和端口落實數據平臺訪問權限，在網絡層面實現按需的最小化對外開放。

根據技術架構，學校信息化服務器主要分為Web應用程序和數據庫兩大部分，Web應用程序利用數據中心主防火墻和WAF（Web應用防護墻）進行防護，由學校網絡管理員統一管理。

數據庫存儲業務數據，安全最為重要，在主防火墻內增加一層核心服務器虛擬防火墻和數據庫防火墻，由數據庫管理員統一管理，實現安全防護更加精準。

2.應用層面。

通過建設數據開放平臺的方式，盡量采用Web API的方式對外提供數據服務。

數據發布服務器通過Web API封裝數據服務的方式較之數據庫直連讀取的方式，數據開放平臺具備的HTTPS傳輸加密、接口調用頻率限制、精細到數據項的權限申請、接口權限有效期管理等安全功能，可有效實現數據調用過程中的權限管理，在有效隔離數據底層訪問的同時，對數據調用的內容和頻率進行管控，落實數據共享交換時的分級保護，避免直接為應用創建數據庫用戶帶來的安全風險。

3.業務層面，利用冗余與備份技術保障業務連續性。

建設備用數據庫的軟硬件環境，并通過數據庫同步軟件維持主數據庫和備用數據庫的之間的實時數據同步。

當主數據庫出現軟硬件故障導致數據服務中斷時，可通過切換數據服務到備用數據庫的方式，盡快恢復業務，避免數據服務長時間中斷。

另外，還建設了數據統一備份系統，對核心數據進行定期的增量和全量備份，按照網絡安全管理要求，最少保留三個月的數據庫備份文件，保證在數據丟失、篡改的情況下能進行對應時間節點的回滾。

4.監管層面，數據操作納入統一日志系統，實現數據訪問的可追溯。

將數據共享交換平臺API調用日志和底層數據庫的訪問日志發送到統一日志系統進行存放和處理，同時業務系統供應商和第三方運維服務商在校內的數據接入必須通過運維堡壘機進行。建立起數據訪問的審計機制，為數據安全管理中的責任追溯提供可靠手段。

本文中，我們首先分析了數據安全治理框架下高校數據安全面臨的主要問題，繼而從管理制度和技術方面上針對性的提出了一套數據安全管理機制，從而保障數據服務的安全性和數據內容的完整性和可信性。

創安恒宇認為，對于學校數據安全管理工作而言，一個可靠的數據安全機制必須在管理層面和技術層面并行推進，通過技術手段將數據安全管理要求進行落地。