教育信息化2.0时代 高校网络安全如何保障？

高校是基础研究主力军和重大科技突破策源地，是国家战略科技力量和国家创新体系的重要组成部分。党的十八大以来，高校创新能力快速提升、重大成果持续涌现、体制机制改革纵深推进，日渐成为社会可持续发展的强大动力，为创新型国家建设做出重要贡献。

数字化时代下，高校信息系统极大地保障和促进了教学、科研、管理和对外交流等活动的开展，但其中产生的大量数据，包括教育资源、科研成果、师生信息、教学素材、国家教学资助信息等，隐藏着巨大的网络安全隐患。对此，需要先梳理清楚以下内容：

● 高校的信息化发展历程

● 教育部对高校网络安全提出的安全建设规划

● 负责高校网络安全建设与管理的主体

本次分享将围绕以上内容，带您了解高校所面临的网络安全挑战，不容错过！

我国高校的信息化发展大约从2000年开始，前期主要围绕信息化基础设施展开，后续则是转向“信息技术与教育教学的深度融合”，着手建设“三通两平台”，即宽带网络校校通、优质资源班班通、网络学习空间人人通，建设教育资源公共服务平台和教育管理公共服务平台，这个阶段也被称为教育信息化1.0时代。

2018年，教育部印发《教育信息化 2.0 行动计划》，提出“三全两高一大”，即教学应用覆盖全体教师、学习应用覆盖全体适龄学生、数字校园建设覆盖全体学校，信息化应用水平和师生信息素养普遍提高，建成“互联网+教育”大平台，标志着我国教育信息化正式进入全新 2.0 时代。如图所示：

另一方面，随着高校信息化的快速发展和信息技术的广泛应用，高校网络安全也面临着不小的威胁。教育信息化是国家信息化的重要组成部分，教育行业网络与信息安全工作关系着教育信息化的稳步推进和教育事业的改革发展，因此教育部从17年开始便在各类规划或指导文件中强调了网络安全的重要性：

其中，需要重点关注2021年的两份文件——《教育信息化2.0行动计划》与《关于推进教育新型基础设施建设构建高质量教育支撑体系的指导意见》，以下简称“2.0行动计划”与“指导意见”。

2.0行动计划提出，要以《网络安全法》等法律法规为纲，落实网络安全等级保护制度和做好关键关键信息基础设施保障，深入开展网络安全监测预警，提高网络安全态势感知水平，全面提高教育系统网络安全防护能力，切实维护好广大师生的利益。

而指导意见则是明确了在网络安全部分的要求：

上述提到了教育部对于高校安全发展的规划和建议，那么落实到具体高校，安全主体的责任该由谁来承担呢？

结合对于各高校的组织架构分析，一般校直属都有一个部门专门负责网络安全和信息化，不同高校称呼也各不相同——“信息中心”、“网络与信息化中心”、“网络管理中心”等。以下统称为“信息中心”。其下属一般还设有综合办公室（统筹管理）、网络通讯部门（基础设施）、信息与系统部（规划管理）、校园卡中心、科研中心等（不同高校称呼不一）。但整体部门人数相对较少，同时也缺乏专业的网络安全人才，更多依赖于安全服务。

以上海某高校为例，其网络安全建设现状可分为三个维度：

综上所述，结合默安科技在高校行业的沉淀和积累，本处简单总结了目前高校在网络安全方面可能面临的安全挑战：

那么，对于安全从业者以及企业、组织的安全负责人，应该怎样去应对这些挑战呢？

默安科技高校行业网络安全治理框架构建思路分为四步，如下图所示：

图 高校网络安全体系建设框架

● 第一步 高校IT资产风险治理

帮助高校梳理可能被攻击的资产暴露面，全方位发现当前所有IT资产并进行常态化安全监测。

● 第二步 主动纵深式安全防御

从网络侧、外部视角进行安全防护，以事前发现、事中溯源、事后分析的逻辑搭建主动纵深式安全防御。

● 第三步 软件供应链安全治理

着眼于软件自身的安全性，从软件供应链角度保障高校外采业务系统的安全性。

● 第四步 引入专业安全服务

针对高校安全人员短缺的问题，引入第三方专业安全服务，可以很好地补齐高校安全能力短板。

2016年的网信工作座谈会上强调了IT资产的重要性，教育部也于2021年发布相关文件对IT资产安全提出了具体的要求：

那么如何将“摸清家底”融入到高校网络安全建设中去，落实教育部的要求呢？建议从以下几个方面进行：

近几年，高校网络安全事件时有发生，今年西北工业大学遭受的国家级黑客攻击事件便是一个重要的警示。并且，随着教育系统网络安全攻防演习成为常态化，提升网络安全防御能力对于各大高校来说已然迫在眉睫。

本系列上篇提到高校安全建设仍以传统为主，何为传统安全防护？即建设一个安全堡垒，确保所有资产100%安全无死角，但这几乎是无法实现的，因此需要转换思路。

大禹治水 堵不如疏

既然不能完全封死攻击者的道路，何不如提前设下陷阱，主动将其捕获？

默安科技在2016年率先提出主动欺骗防御的理念，化被动为主动，在攻击者的必经之路上构建陷阱，混淆攻击目标，感知并溯源攻击行为，最终进行攻击阻断，保障教务系统的安全，具体措施如下：

此外，这套主动防御体系除了能为高校教务系统的安全保驾护航，还能在此基础上与默安科技进一步合作：共同打造属于高校自身的攻防对抗实训室。

某大学攻防实训课程示例

补充说明：主动式欺骗防御建设并不是抛弃传统安全防护体系，而是1+1＞2的关系，前者负责诱捕和拖延，后者负责处置，相辅相成，缺一不可。

主动式欺骗防御建设主要针对教务系统的外部防护，在疫情影响和高校行业信息化的快速发展下，根据CNVD漏洞平台国家信息安全漏洞共享平台提供的数据显示，近几年的安全漏洞主要集中在应用程序或WEB应用自身。

近几年网络安全漏洞影响对象类型

图源: CNVD漏洞平台国家信息安全漏洞共享平台

然而，对于高校来说，其自身教务系统绝大多数都是向第三方开发商进行采购，或是招聘外部开发人员进行驻场开发，难以从根本上对系统进行安全管控。

这里便需要引入“软件供应链安全”的概念：

软件供应链安全可以被理解为软件生产的整个过程中软件设计与开发的各个阶段来自编码过程、工具、设备、供应商以及最终交付渠道所共同面临的安全问题。 

简单来讲，软件供应链的业务流程可以抽象成开发、交付以及应用三个环节，虽然高校往往缺乏开发能力，但可以从交付阶段开始进行安全管控：

高校不同于金融、互联网这类网络安全发展走在前端的行业，很多高校都没有专门的网络安全岗位，安全能力严重不足，对此教育部也表示：

高校需要具备丰富工作经验、具备优秀安全设备日志分析与场景建模能力、具备安全事件应急响应和运维能力的专业技术人员，为其提供细致、全面的安全服务，弥补其人力的不足、技术的不足、信息的不足、安全运维的不足。针对此，可以参考默安科技的高校安全服务体系：

图 默安科技高校安全服务体系

基于对前沿攻防技术的持续研究，默安科技的安全服务团队深耕甲方安全一线，已成功为党政机关、金融、运营商、能源、制造、交通运输、教育等30多个行业500余家政企单位提供切实有效的安全保障服务，包括但不限于各类安全培训、安全咨询、重大节事安全保障、常态化安全巡检、红蓝对抗安全服务等；近年来圆满完成了北京冬奥会、全国“两会”、中国国际进口博览会、G20杭州峰会、世界互联网大会、建党百年等多项网络安全保障任务并获得致谢。