随着云计算、大数据、物联网、移动互联网、人工智能等新技术的发展，网络边界被不断打破，数字孪生、敏捷创新、安全合规驱动快速转型，各高校正面临着数字化转型带来的数据安全风险。
近年来数据泄露的安全事件频发，国家和相关主管单位对数据安全的重视程度不断提高，数据安全已经与关键信息基础设施一并成为影响国家稳定、民生安全及社会安全的关键因素。
当前，高校在数据安全体系建设方面，主要有以下几方面的工作难点：
【资料图】
传统信息安全体系无法有效保护数据安全
有别与传统信息安全防护体系，由于数据安全防护体系将保护对象聚焦在“数据资产”等无形资产上，数据资产的机密性、完整性以及可用性与硬件资产存在着巨大差别，这导致传统信息安全防护体系通常无法对数据安全提供有效保护能力。
静态防护策略无法保护数据安全
传统信息安全体系安全策略的设计思路往往是静态的。而随着大数据技术的广泛应用，以及移动互联网应用的蓬勃发展，高校数据存储、处理平台所承载的数据量正在以极快的速度增长。若仍以静态的视角看待数据资产，将无法应对由数据量急剧增长所带来的数据泄露、数据损坏、数据篡改以及对数据主体造成影响等安全问题。
数据资产的权责不一致
数据通常来自于高校不同的业务部门和群体，数据安全防护体系的建设常常受到来自不同部门的阻力，为推动数据安全体系建设工作增加了难度。
缺少安全事件异常告警机制
当发生安全事件时，需要及时告警反馈，才能进入应急响应流程。如果缺少安全事件异常告警机制，发生安全事件时就无法及时采取措施。安全事件越晚被发现，造成的损失也将越大。
近年来，绿盟科技（300369）持续深耕教育行业与数据安全领域，开展了大量创新研究、技术探索与落地实践工作。基于对教育行业与数据安全治理工作的深入理解，参考Gartner数据安全治理框架（DSG），提出了“一个中心、四个领域、五个阶段”的顶层设计思路。
一个中心是指以数据安全防护为中心，四个领域是指的数据安全建设的四个领域：组织建设、制度流程，技术工具和人员能力，五个阶段是指的数据安全建设的五个阶段：业务梳理，分级分类，策略制定，技术管控，优化改进。
在数据安全体系化建设方面，绿盟科技通过对国内网络安全工作和各安全事件的分析与理解，总结提炼出了“知”、“识”、“控”、“察”、“行”数据安全方法论，以指导和帮助教育行业客户有序开展数据安全工作。
★ 知
分析理解数据安全相关政策法规，梳理系统业务及人员对数据的使用规范，定义敏感数据。
★ 识
利用技术工具对教育业务系统信息和个人信息等敏感数据进行扫描，对发现的数据进行定位、分类和分级。
★ 控
根据敏感数据的级别，设定数据在全生命周期中的可用范围，通过制度规范和技术措施对数据进行有效细粒度的权限管控。
★ 察
对数据的流转、使用和开放共享进行监督，确保数据在合理可控的范围内正常使用时，对非法数据行为记录并为溯源取证提供支撑。
★ 行
对流转数据动态跟踪和管理，从合规监管、风险管控、策略优化等方面提供可持续运营能力。
高校数据安全体系化建设
根据“知、识、控、察、行”方法论，重点围绕高校业务数据梳理、敏感数据定义与识别、数据全生命周期安全风险评估、数据的纵深安全防护、敏感数据监察分析、优化改进与持续运营等几方面，开展数据安全体系化建设工作。
业务数据梳理
高校各业务系统众多，且同时存储有大量重要的数据和信息。因此，业务部门要深入参与数据资产梳理以及分级分类工作之中，并配合信息安全管理团队、数据业务管理团队，建立并完善数据安全管理组织架构和责任落实机制，加强组织建设、以制度和标准为管理手段，抓好数据安全制度的修订、完善与落实工作，并逐步形成层次化的管理制度规范文件。稳步构建安全管理部门统筹整体数据安全工作、业务部门深度参与、行政主管部门做好数据安全监管与审计的协同联动机制，打造合理有效的组织保障体系。
敏感数据的定义与识别
安全管理部门应事先定义和识别业务系统敏感数据，基于业务特点进行数据的识别、分类、分级。数据分类分级的准确清晰，是后续数据保护的基础。由于高校数据类型不同，对业务的影响程度也不同，建议根据数据安全相关法律与规范，对个人信息和重要数据分开进行评估与定级，再遵循就高不就低的原则对数据条目进行整体定级。
数据全生命周期安全风险评估
在完成敏感数据分类分级后，就需要对风险进行梳理和评估。数据安全风险评估可以从数据的生存周期角度进行考虑，即数据采集安全、数据传输安全、数据存储安全、数据处理安全、数据交换安全、数据销毁安全。
同时，数据生存周期安全风险评估应从通用安全和各阶段安全两个方面进行数据环境风险检查，了解信息系统总体安全风险状况，对脆弱性进行统一分析和评估，以建立快速响应机制，及时有效完成数据安全风险修复工作。
数据的纵深安全防护
针对数据安全的风险，应以数据为中心，向外对业务、网络、设备、用户采取“零信任”的态度。用户侧、终端侧、网络侧、业务侧，以及数据中心，都应做好安全防护措施，外向内防攻击防入侵防篡改，内向外防滥用防伪造防泄露。不仅如此，还应对全部纵深防护环节进行整体控制，实现环境感知，可信控制和全面审计。整合多层次的纵深防御，及时发现问题，及时阻止安全问题。
敏感数据监察分析
以用户、资产和数据行为模式出发，利用5W1H分析模型进行敏感数据行为分析，基于行为模式发现数据异常事件。在数据安全领域，传统的安全分析方法存在信息量大，有效信息少的问题，用户行为分析与机器学习技术能够优秀的解决上述问题帮助使用者更好的识别数据安全风险。
基于历史的可信访问行为提取访问规则，利用各类算法进行行为聚类，形成可划分的访问行为簇并可视化呈现。通过这种图谱分析与可视化展示让管理者对于敏感数据访问情况，由一无所知转变为可视可管。
优化改进与持续运营
安全是一个不断变化的过程。为了应对变化，应对数据安全进行持续优化改进与运营。合规要求指导安全策略的设置，安全策略支撑合规治理要求的落地，二者相辅相成，配合持续优化改进运营的“知识控察行”体系，实现持续自适应的数据安全防护能力。
数据安全建设是一个长期和持续的过程，如何更好地进行数据安全建设，利用一套科学的、系统的数据安全建设体系对于高校来说十分重要且必要。数据安全建设需要技术和管理双管齐下，在建设的过程和环节中，需充分利用和发挥好各种关键技术的作用，在优化改进环节中，引入新技术来优化技术和管理流程。同时，也希望通过数据安全的体系化建设，能够为教育信息化发展提供重要支撑，助力我国教育现代化的发展。
