教育行業

高校網絡安全行業人才培養、技術創新、產業發展與網絡安全技術應用

智慧教育平臺安全建設 “四步走”

閱讀量：

讓城市變得“智慧”，安全得先行。安恒信息重磅推出“智慧城市”系列——《智慧城市安全二三事》，深入醫療、教育、金融、政府等不同行業，聚焦某一場景應用，論述智慧城市網絡安全解決之道。第二期，說道說道——智慧教育。

何為“智慧教育”？

智慧教育是指，在云計算、大數據、物聯網等新技術日益廣泛應用的背景下，通過對教育信息化資源的有效整合和交互共享，以教學科研為中心，以人才培養為目標，優化和提升高校教學、管理和服務的水平，最終實現提供開放、個性化的教學科研環境和便利舒適的生活育人環境，為國家戰略及時培養和輸送人才。

智慧教育進校園，網絡安全須加強

在智慧教育飛速發展的同時也帶來了各種各樣的問題，信息安全首當其沖。

智慧教育基于云計算平臺建設，平臺承載了實時信息公開、新聞宣傳、在線互動、教學科研、交易支付等業務,如報考系統、學籍查詢、證書查詢、校園一卡通等重要系統，存儲著大量的學生和教職員工個人信息數據。

海量的用戶數據、廣泛應用的教育系統等，也成為了黑客的“必爭之地”。如，利用豐富的計算和網絡資源進行挖礦賺取利潤、在校園網站掛載黑鏈和黑頁劫持權重流量、甚至植入木馬后門長期潛伏，伺機竊取有價值的數據資源。教育系統也一直是政治類黑客組織重點關注的目標，在重大活動期間入侵并篡改網站，實現其政治目的。

因此，現階段如何切實保障智慧教育的平臺穩定、可靠、持續化的為教學、教務、科研和后勤提供服務，已經成為學校面臨的重大挑戰。

同時，《國家中長期教育改革和發展規劃綱要（2010-2020）》、《教育信息化十年發展規劃（2011-2020）》、《教育信息化“十三五”規劃》、《教育信息化2.0行動計劃》等有關政策密集出臺，也對信息化安全提出了明確要求，如全面提高教育系統網絡安全防護能力、落實網絡安全等級保護制度、深入開展網絡安全監測預警、提高網絡安全態勢感知水平、做好關鍵信息基礎設施保障、重點保障數據和信息安全。

智慧教育發展進程中，監管和風險并存，教育行業該如何做好網絡安全建設？

智慧教育平臺安全，分這幾步來推進

針對于智慧教育的特點，安恒信息結合多年在教育行業的實踐經驗，提出了智慧教育平臺安全建設的“四步法”。

第一步：資產管理能力建設

1、對智慧教育的平臺所組成的信息資產進行識別及管理是信息安全工作的基礎，通過網絡資產探測、指紋識別、管理單位識別，開發運維管理人員管理，對信息資產進行清點和資產管理流程梳理重構，治理資產管理混亂的亂象，實現資產全生命周期管理。

2、利用監測技術對信息資產進行全天候全方位的安全監測，結合威脅情報開展安全威脅通報預警，并利用完善的管理流程和制度對處置情況進行追蹤，實現安全威脅處置的閉環。

第二步：安全防護能力建設

1、落實等保2.0對信息系統的安全保護要求，遵循等級保護“一個中心、三重防護”的安全防護理念，建設主動防御體系。設計有效的安全防護檢測體系，構建“三重防護”體系。

2、構建安全管理中心，實現統一的安全管理、審計管理、系統管理，通過以滿足安全物理環境、安全計算環境、安全區域邊界、安全通信網絡、安全管理中心五個方面基本技術要求進行基礎設施安全保障技術體系建設。

第三步：安全運營能力建設

1、采用大數據與人工智能技術，以“安全數據大腦”平臺為數據支撐中心，通過預測、防御、檢測、響應四個維度，以持續監控和分析為核心，利用機器學習、復雜統計分析或預測算法等技術進行安全建模和高級分析對智慧教育平臺環境進行針對性模型構建，形成符合業務的告警，并結合人與機器的能力進行安全事件分析決策，定義標準工作流，自動化驅動事件響應，持續完善自適應安全架構體系。

2、能夠快速、準確的取證調查和威脅追溯，定位單個事件在滲透和攻擊鏈中的所處階段，結合溯源分析，進一步形成完整的證據鏈，還原攻擊過程。通過還原攻擊過程，全面評估損失和安全風險，制定完善的應對方案。

3、協調人員處置安全事件，通過安全運營團隊的有效組織，最終打造“安全、可信、合規”的安全運營體系。

第四步：數據安全治理能力建設

1、建立智慧教育平臺數據資產和信息系統的安全管理規范，明確安全管理目標和安全原則，明確數據資產和信息系統的登記制度，定義數據資產和信息系統的管理者和所應承擔的職責。

2、明確各類業務數據在采集、傳輸、存儲、處理、交換和銷毀各個業務場景下的保障要素，以合規為基線，以業務流程為導向，結合標準規范制度，建立完善的數據生命周期的安全保障和監管措施。

3、構建數據資產清單，包含數據的總體分類、資源標簽、權限層級等，并依據數據主體分級要求建立相應的標記策略、訪問控制、數據加解密、數據脫敏等安全機制和管控措施。