关键领域数据安全建设观察——教育领域

随着教育领域数字化建设加速，越来越多的科研成果、学术资料、师生身份信息等数据被搜集、存储、汇聚，其中大量信息用于行业科研合作、数据交换和共享，成为支撑业务运营发展的重要资产。

与此同时，这些具备高潜价值的、互联互通的数据资产正被不法组织所觊觎，数据安全管理内忧外患。近年来，高校等教育机构遭黑客入侵，进而导致大量数据泄露或被非法使用的情况屡见不鲜：

• 2023年8月，南昌某高校3万余条师生个人信息数据在境外互联网上被公开售卖，该校受到责令改正、警告并处80万元人民币罚款的处罚，主要责任人被罚款5万元人民币。

• 2022年6月，某知名大学生学习软件的数据库信息被公开售卖，超1.7亿条信息疑遭泄露，公安机关介入调查。

• 2022年6月，西北工业大学声明其电子邮件系统遭攻击，攻击者向师生发送包含木马程序的钓鱼邮件，企图窃取相关师生邮件数据和公民个人信息，经公安机关判定是境外黑客组织发起的网络攻击行为。

• 2021年9月，山东济南某所高校的新生个人信息遭到泄露，在一个名为“协院助手”的微信公众号上可以查询该校新生的个人信息。

诸如此类的安全事件的背后，折射出教育领域在数据安全建设和管理上尚且面临诸多疑难：

教育领域存在涉及重要业务信息和个人信息的关键信息基础设施，一旦发生数据泄露和丢失等安全事故，将对社会和个人造成巨大影响。《数据安全法》的发布，标志着我国以数据安全保障、数据开发利用和产业发展全面进入法治化轨道，同时也对数据安全治理与建设工作提出了合规性要求。

近些年，国家与教育部及相关部门下发多项推进教育领域数据安全工作的政策文件。2018年，教育部办公厅印发《教育部机关及直属事业单位教育数据管理办法》，明确教育数据各环节的管理程序，做到教育数据管理全过程有规可依。依托国家信息安全保障体系，完善教育数据共享与公开安全机制，保护个人隐私信息，保障教育数据资源安全。

2021年，教育部等七部门印发了《关于加强教育系统数据安全工作的通知》，提出“要建立教育系统数据安全责任体系和数据分类分级制度，形成教育系统数据资源目录。健全覆盖数据收集、传输存储、使用处理、开放共享等全生命周期的数据安全保障制度，开展常态化的数据安全监测预警通报”等工作目标。

2022年9月，教育部印发《教育系统核心数据和重要数据识别认定工作指南(试行)》，要求教育各级部门按指南要求梳理部门数据资产，并识别、上报核心重要数据清单。

基于从边界防御转向内部治理的安全思路，零信任模式践行先验证、再访问的机制，正是革新传统安全架构的一种新范式。

我们从易安联了解到，针对教育领域，他们提出安全防护上手段、安全运维不放松、安全服务全方位三维思路来打造全方位立体化的教育零信任安全体系，以实现对整体业务系统及核心数据的全方位持续防护，最大限度提升教育机构安全整体水平。

打造一套基于零信任的安全基础设施，变传统的烟筒式防御架构为统一联动的整体安全平台，使得任何用户在任何时间、任何地点，使用任何终端设备访问教育机构的任何资源，都需要经过零信任接入平台的安全过滤。因此，从网络安全到应用安全再到数据安全，从终端安全到访问安全再到自适应动态安全，提供的是端到端全方位的安全防护，让正确的人使用正确的设备在正确的环境下获取正确的权限访问正确的应用，且访问行为持续监测与审计，保证教育机构的数据资产始终处于高度安全状态。

零信任安全平台提供的是全网视角统一安全管理，统一身份、统一认证、统一门户、统一监控、统一分析，发现威胁后第一时间预警或直接处理，同时上报关联分析和溯源分析给管理员，在管理员免干预的情况下解决绝大多数的安全问题，提升安全管理效率。

并且，基于教育机构业务特点和易安联自适应动态策略，通过实战化技战法可以不断提升用户的防御能力，有效应对各类安全威胁、快速响应各类突发事件，把安全风险降至最低，智能化保障教育机构的运营安全和安全体系的持续性发展。

基于贯穿数据全生命周期的安全管理，则考验数据安全治理体系的建设及运营。

绿盟科技提出以管理制度为依据，以资产梳理、分类分级、风评评估为基础，为重要业务场景构建应对覆盖全流程、全链路的数据安全防护体系，以实现常态化数据安全运营，保障数据安全的持续优化与提升，满足教育机构各项规范需求、规避各类数据安全风险。

数据安全管理体系

首先基于国家和行业数据安全要求，完善数据安全管理体系、组织架构设计，解决数据管理水平不足的问题。

其次，通过静态扫描+动态监听+人工复核的方式，全面梳理教育数据资产，三种方式互为补充，对结构化与非结构化全量数据进行动态识别与发现，形成全面完整的数据资产清单，解决数据资产底数不清的问题。

然后，基于分级分类情况，确定数据安全需求较高的数据范围，以敏感数据为中心，从技术角度识别评估敏感数据在业务流程中的威胁风险点，明确敏感数据泄露的可能途径，通过梳理威胁信息并结合威胁调查判定的威胁源发生的频率和可能性，从技术和管理两个方面进行审视数据脆弱性，分析安全措施的效力，综合安全事件所作用的资产价值及脆弱性的严重程度，判断安全事件造成的损失对组织的影响，解决数据安全风险不明的问题。

再次，锚定教育机构数据应用重要业务场景，比如数据治理、数据访问、数据流转、数据共享、开发场景等等，落实数据全链路的数据安全技术防护体系，让数据安全融入业务，解决数据安全防范能力不够的问题。

最后，定期支撑教育机构数据安全主题培训，协助搭建数据安全靶场，组织实现数据安全事件应急演练和数据安全攻防演练等工作，解决人员数据安全意识薄弱的问题。

数据资产成为推动教育领域高质量发展的重要引擎，深挖数据安全的风险源，构建数据安全保护体系刻不容缓。欢迎更多在数据安全方向面向教育领域具有前瞻思考和成功实践的甲乙方与我们交流，全面加强数据安全保护能力，提升数据安全合法合规管理水平，有力支撑教育事业迈入数字化与智能化时代。