1高校网络安全管理现状

高校网络建设、使用和管理模式上存在一定的差异性，但用户群体一致性高，业务相似度高，出现的网络安全问题也很相近。为此，本文通过不同高校网络管理的对比研究，主要从网络设施、网络用户和数据安全三方面总结了高校网络安全管理存在的问题[1-2]。

1.1网络设施管理

（1）网络安全基础设施。经过多年的等保建设，高校参照等保建设要求，完成了防火墙、入侵防御系统、堡垒机、数据库审计等网络安全基础设施建设[3]。目前主要存在的问题是，部分高校设备建设陈旧，出现老化或者与新设备接口标准无法兼容，导致性能跟不上或者特征库无法及时更新，防御效果欠佳。另外，存在缺失对于安全设备的持续跟踪管理，对于安全设备产生的安全预警不做分析处理，缺乏针对新的业务或者网络结构变动及时调整安全策略，使得设备无法有效发挥其安全防护价值。（2）学校网络机房。网络机房是校园网络安全的安全基点，作为高校网络核心基础设施及信息系统的核心交换和存储区域，基础设施庞杂，涉及的专业技术知识细而广，往往高校现有管理人员的知识储备和能力水平不足以应对各类网络安全事件的发生和处置。（3）计算机机房。计算机机房主要指高校面向师生教学使用的电脑用房。计算机机房用户使用量大，软硬件建设差异化大，操作系统种类多、业务软件更是五花八门，机房管理人员专业素养高低不同，网络安全意识不足，导致计算机机房的管理模式千差万别，是网络安全事故频发之地，加大了网络安全管理难度。（4）网络终端。网络终端遵循建设单位归属管理原则，设备量大。师生们多自带笔记本、PAD等移动设备，还有大量的物联网设备，这些终端因使用对象不同，使用模式各异，管理方式无法统一，存在很大的安全漏洞。

1.2网络用户管理

（1）网络管理人员。高校网络管理人员在工作过程中，为了简化方便，往往出现不按网络安全管理制度规范执行，缺少台账记录等。高校网络安全技术队伍滞后，专业水平普遍达不到安全工作的需求，接受过CISP等专业网络安全培训的比例也很低，只能处理简单的安全问题，甚至很多高校没有设置专人负责安全管理。（2）信息系统运维人员。信息系统运维人员主要包括学校业务系统管理人员和业务系统第三方人员。这些人员更多关注业务的可用性，为了方便运维，经常设置简单密码、开放远程访问、向日葵等工具，给信息系统的安全运行带来了很大的风险。（3）网络使用人员。使用人员更多关注网络的可用性和易用性，缺乏网络安全基本防护认知。（4）网络安全专业学生及网络安全技术爱好者。这部分人员对于网络技术有着强烈的求知欲和探索欲，容易把学校网络当成知识实践的平台，是学校网络安全潜在的风险点。1.3数据安全[4]（1）数据资产不清。高校建设的大量业务系统都有自己的数据库服务器，各个数据库使用和存储了哪些数据，缺乏统计和梳理。（2）数据库运维管理松散。因数据库分散存在，数据库的管理大多归属业务系统建设部门管理，甚至有的业务厂商直接运维，缺乏一套针对数据库访问权限的控制机制。（3）数据传输缺乏安全风险控制。在数据传输过程中，更多的是考虑业务系统的可用性，数据在传输过程中，经常发生敏感数据未脱敏、接口明文传输密码、接口可执行SQL语句、服务器版本信息泄露等问题。（4）数据缺乏有效备份机制。数据备份机制不够健全，仍然存在大量的数据库采用本地备份，或者无法实时备份，当设备发生物理故障时，可能造成数据永久丢失的风险。（5）数据审计机制不全。在数据整个生命周期中，目前审计更多针对存储和处理环节，其他环节审计不够。

2高校网络安全管理存在问题探究

（1）网络相关设施数量大、类型多，难以统一管理。高校网络结构一般使用分层架构。网络及学校核心业务设备属于校级建设和管理，二级学院网络设备归属二级学院自行建设及管理。网络终端成分就更为复杂，分别归属校级资产、二级学院资产、企业资产和师生个人所有。以上所有不同的设备，因其建设和管理归属无法统一，必然导致建设内容百花齐放，硬件配置、操作系统、应用软件差异巨大，导致很难有统一有效的安全管理策略，增加了管理难度。（2）高校带宽大，流量高。高校网络因使用用户基数大，带宽高特点，使得病毒及不良信息传播快，影响面大，这些都使得高校更易成为攻击目标，为此要求管理需要更为翔实有效的管理措施，增加管理难度。（3）网络环境开放。高校网络作为一个互联网网络群体，最为显著的一个特点就是网络环境的开放性。政府网络和企业网络可设置各种安全措施保证其安全性，而高校网络因教学和科研的需求，很难在出口及内部网络连接和行为上做比较苛刻的安全限制，导致网络管理困难。（4）攻防博弈长期存在，技术迭代更新快。计算机网络因其使用的硬件、软件和协议等不可避免的缺陷，使得不断涌现各式各样的安全漏洞；另外各种软硬件供应商、协议标准机构和安全产品供应者为了保证各自产品的安全运行，不断进行技术创新，提升安全防护能力。为此，高校网络安全管理者必须及时跟进了解和掌握各种网络安全新技术，这些无疑都增加网络安全管理的难度。（5）网络使用人员成分复杂，管理困难。网络因使用人员结构复杂、人数基数体量庞大，安全意识差异大，很难有一套行之有效的管理措施，全方位地对各类网络使用人员进行有效的管理。特别是高校中最为活跃的学生群体，因其尚未形成的科学稳定的三观、好奇心重、易冲动等特点，容易受到网络不良信息的影响，出现网络诈骗、个人信息泄露、不良信息蔓延等网络攻击。（6）学校网络管理意识执行不到位。1）思想重视程度不够。近年来，高校管理者对网络安全越来越重视，但是相对于教学管理，仍有停留在形式的意识。网络安全管理机制更多是有制度无执行；网络安全设备和管理维护人员投入不足，管理效果不佳。2）网络安全教育不足。高校普遍缺乏把网络安全作为一项长期教育专项来抓。缺乏专业的网络安全知识和最新的网络安全法律法规的解读，缺乏集中的有计划的网络安全知识的培训、宣传和教育，使得师生对网络攻击有基础的鉴别和防范能力。

3网络安全管理实践措施

有效网络安全管理，需要具备持续更新，联动整合机制，从顶层设计开始，到具体工作的开展，遵循策略规划，结合技术体系和风险治理落实运行运维，形成一套切实可行的网络防御机制。

3.1做好顶层设计

（1）成立网络安全领导小组，一盘棋高度规划安全工作。明确以校领导管理层为安全第一责任人，思想上高度重视，制度上责任清晰，规划和管理上统一。（2）制定年度工作计划，做好年终总结。在年度工作计划制定时，需将全校部门和人员都纳入计划之中，避免将校级年度计划做成网络中心的部门计划。把主要条块工作及工作任务梳理清楚，建设资金合理安排，重点管理核心项目，保证安全策略有效落地。（3）修订管理制度。从校级、院级和行政教辅部门各个层面修订网络安全责任制度、管理制度、考核制度等，同时逐步完成各项制度配套的规范台账。避免各项制度流于形式，做到真正有效落实执行。（4）定期召开网络安全专题会议。研判学校阶段性的安全事件，落实安全处置意见。

3.2落实网络安全运行运维工作

3.2.1建立安全运维团队

成立一个年龄、知识结构和经验等层次合理，团结配合的运维团队，也可考虑才有外包服务团队模式。管理骨干经验丰富，年轻人知识结构新，学习能力强，使得团队既有丰富成熟的安全运维经验，又有新思想新理念不断补充，保证网络安全不落伍，及时跟上时代的步伐。

3.2.2定量分解落实具体安全工作

（1）持续的资产排查分析。对全校资产进行识别、分析归类，对于重要信息资产做好分级备案。厘清学校资产台账，除了登记各类资产的基本信息外，还需补全类似存放位置、操作系统、中间件、数据类型、IP信息、正版化等更为翔实的内容，解决设备资产不清、产权归属不明、责任不清问题。（2）更新技术体系建设。将多因子认证、SDN服务链、微隔离、EDR、零信任、数据脱敏、数据泄露防护（DLP）等先进的网络安全技术吸收补充进入已有的技术防范系统，应对云计算平台、大数据应用、移动互联接入、物联网、区块链、私有云、虚拟化等应用场景，实现新型网络攻击的有效防范和处理。（3）完善安全策略。一是不断修正校园网内外网的边界策略，修正停用业务的安全策略，开放新增业务的最小网络访问权限。二是要持续跟进学校现有安全设备的运行效果，特别是各类运行日志分析的跟进处理，及时修复发现的安全漏洞。三是根据实时变化的网络安全攻击形势，调整安全管理策略，做到对于新型网络攻击的有效应对。

3.3网络安全处理与风险控制

在发生网络安全事故时，根据学校相关的网络安全通报机制处理，增强防范意识和处理能力。对于严重的安全事故，必须依据上级安全部门意见如实上报。根据网络安全热点问题，组织攻防演练，提高对于可能发生的网络安全事故的应对处理步骤，快速响应、溯源，恢复网络应用能力。

3.4网络等级保护建设

参照《信息安全技术网络安全等级保护基本要求》（GB∕T22239-2019），从安全物理环境、安全通信网络、安全区域边界、安全计算环境和安全管理中心、安全管理制度、安全管理机构、安全管理人员、安全建设管理和安全运维管理等技术和管理要求出发，逐步完善学校应用系统和网络的等保建设内容[6]。

3.5信息素养提升

（1）网络安全岗位。制定年度网络安全岗位培训计划，围绕学校重要核心资产，培训相关网络安全处置和管理能力，提高学校网络安全事件处理能力，提升学校网络安全团队素质。（2）网络用户。通过设计问卷调查师生的安全意识现状和需求，定期线上+线下模式开展组织网络安全培训；通过官微推送网络安全宣传，举办技术讲座。通过丰富多变的宣传形式，提高师生的网络安全意识，提升师生网络安全风险鉴别能力和安全防范能力，培养高素质的网络终端用户[7]。

4结束语

在网络安全快速变换的态势背景下，持续动态更新的安全管理策略，更为针对解决学校最为突出的安全威胁，同时不断健全和更新网络安全管理机制，使得学校网络安全形成一个良性动态策略，有效应对时刻变化的网络环境。

参考文献：

[1]陈欣华.提升高校网络安全保障能力研究[D].郑州大学，2018.

[2]胡锐宁.新形势下高校网络安全隐患与对策[J].产业与科技论坛，2021（17）：283-284.

[3]洪亚玲.高校网络安全问题分析与防范策略[J].电脑知识与技术，2021（8）：41-42.

[4]王冬梅，钱喆敏，应鑫迪.高校数据安全现状分析和体系建设方案[J].福建电脑，2021（9）：46-49.

[5]张将.高校管理信息化问题与对策研究[D].山东大学，2021.

[6]仇静.基于等保2.0标准的高校内网安全防护的探究[J].网络安全技术与应用，2021（9）：103-104.

[7]林敏建.高校网络意识形态安全问题及对策研究[D].北京邮电大学，2021.

作者:宋志 单位:福建信息职业技术学院教育技术与信息中心