
智慧城市
智慧城市解決方案
智慧教育平臺(tái)安全建設(shè) “四步走”
智慧教育是指,在云計(jì)算、大數(shù)據(jù)、物聯(lián)網(wǎng)等新技術(shù)日益廣泛應(yīng)用的背景下,通過(guò)對(duì)教育信息化資源的有效整合和交互共享,以教學(xué)科研為中心,以人才培養(yǎng)為目標(biāo),優(yōu)化和提升高校教學(xué)、管理和服務(wù)的水平,最終實(shí)現(xiàn)提供開(kāi)放、個(gè)性化的教學(xué)科研環(huán)境和便利舒適的生活育人環(huán)境,為國(guó)家戰(zhàn)略及時(shí)培養(yǎng)和輸送人才。
在智慧教育飛速發(fā)展的同時(shí)也帶來(lái)了各種各樣的問(wèn)題,信息安全首當(dāng)其沖。
智慧教育基于云計(jì)算平臺(tái)建設(shè),平臺(tái)承載了實(shí)時(shí)信息公開(kāi)、新聞宣傳、在線互動(dòng)、教學(xué)科研、交易支付等業(yè)務(wù),如報(bào)考系統(tǒng)、學(xué)籍查詢、證書查詢、校園一卡通等重要系統(tǒng),存儲(chǔ)著大量的學(xué)生和教職員工個(gè)人信息數(shù)據(jù)。

海量的用戶數(shù)據(jù)、廣泛應(yīng)用的教育系統(tǒng)等,也成為了黑客的“必爭(zhēng)之地”。如,利用豐富的計(jì)算和網(wǎng)絡(luò)資源進(jìn)行挖礦賺取利潤(rùn)、在校園網(wǎng)站掛載黑鏈和黑頁(yè)劫持權(quán)重流量、甚至植入木馬后門長(zhǎng)期潛伏,伺機(jī)竊取有價(jià)值的數(shù)據(jù)資源。教育系統(tǒng)也一直是政治類黑客組織重點(diǎn)關(guān)注的目標(biāo),在重大活動(dòng)期間入侵并篡改網(wǎng)站,實(shí)現(xiàn)其政治目的。
因此,現(xiàn)階段如何切實(shí)保障智慧教育的平臺(tái)穩(wěn)定、可靠、持續(xù)化的為教學(xué)、教務(wù)、科研和后勤提供服務(wù),已經(jīng)成為學(xué)校面臨的重大挑戰(zhàn)。
同時(shí),《國(guó)家中長(zhǎng)期教育改革和發(fā)展規(guī)劃綱要(2010-2020)》、《教育信息化十年發(fā)展規(guī)劃(2011-2020)》、《教育信息化“十三五”規(guī)劃》、《教育信息化2.0行動(dòng)計(jì)劃》等有關(guān)政策密集出臺(tái),也對(duì)信息化安全提出了明確要求,如全面提高教育系統(tǒng)網(wǎng)絡(luò)安全防護(hù)能力、落實(shí)網(wǎng)絡(luò)安全等級(jí)保護(hù)制度、深入開(kāi)展網(wǎng)絡(luò)安全監(jiān)測(cè)預(yù)警、提高網(wǎng)絡(luò)安全態(tài)勢(shì)感知水平、做好關(guān)鍵信息基礎(chǔ)設(shè)施保障、重點(diǎn)保障數(shù)據(jù)和信息安全。
智慧教育發(fā)展進(jìn)程中,監(jiān)管和風(fēng)險(xiǎn)并存,教育行業(yè)該如何做好網(wǎng)絡(luò)安全建設(shè)?
針對(duì)于智慧教育的特點(diǎn),安恒信息結(jié)合多年在教育行業(yè)的實(shí)踐經(jīng)驗(yàn),提出了智慧教育平臺(tái)安全建設(shè)的“四步法”。
第一步:資產(chǎn)管理能力建設(shè)
1、對(duì)智慧教育的平臺(tái)所組成的信息資產(chǎn)進(jìn)行識(shí)別及管理是信息安全工作的基礎(chǔ),通過(guò)網(wǎng)絡(luò)資產(chǎn)探測(cè)、指紋識(shí)別、管理單位識(shí)別,開(kāi)發(fā)運(yùn)維管理人員管理,對(duì)信息資產(chǎn)進(jìn)行清點(diǎn)和資產(chǎn)管理流程梳理重構(gòu),治理資產(chǎn)管理混亂的亂象,實(shí)現(xiàn)資產(chǎn)全生命周期管理。
2、利用監(jiān)測(cè)技術(shù)對(duì)信息資產(chǎn)進(jìn)行全天候全方位的安全監(jiān)測(cè),結(jié)合威脅情報(bào)開(kāi)展安全威脅通報(bào)預(yù)警,并利用完善的管理流程和制度對(duì)處置情況進(jìn)行追蹤,實(shí)現(xiàn)安全威脅處置的閉環(huán)。
第二步:安全防護(hù)能力建設(shè)
1、落實(shí)等保2.0對(duì)信息系統(tǒng)的安全保護(hù)要求,遵循等級(jí)保護(hù)“一個(gè)中心、三重防護(hù)”的安全防護(hù)理念,建設(shè)主動(dòng)防御體系。設(shè)計(jì)有效的安全防護(hù)檢測(cè)體系,構(gòu)建“三重防護(hù)”體系。
2、構(gòu)建安全管理中心,實(shí)現(xiàn)統(tǒng)一的安全管理、審計(jì)管理、系統(tǒng)管理,通過(guò)以滿足安全物理環(huán)境、安全計(jì)算環(huán)境、安全區(qū)域邊界、安全通信網(wǎng)絡(luò)、安全管理中心五個(gè)方面基本技術(shù)要求進(jìn)行基礎(chǔ)設(shè)施安全保障技術(shù)體系建設(shè)。
第三步:安全運(yùn)營(yíng)能力建設(shè)
1、采用大數(shù)據(jù)與人工智能技術(shù),以“安全數(shù)據(jù)大腦”平臺(tái)為數(shù)據(jù)支撐中心,通過(guò)預(yù)測(cè)、防御、檢測(cè)、響應(yīng)四個(gè)維度,以持續(xù)監(jiān)控和分析為核心,利用機(jī)器學(xué)習(xí)、復(fù)雜統(tǒng)計(jì)分析或預(yù)測(cè)算法等技術(shù)進(jìn)行安全建模和高級(jí)分析對(duì)智慧教育平臺(tái)環(huán)境進(jìn)行針對(duì)性模型構(gòu)建,形成符合業(yè)務(wù)的告警,并結(jié)合人與機(jī)器的能力進(jìn)行安全事件分析決策,定義標(biāo)準(zhǔn)工作流,自動(dòng)化驅(qū)動(dòng)事件響應(yīng),持續(xù)完善自適應(yīng)安全架構(gòu)體系。
2、能夠快速、準(zhǔn)確的取證調(diào)查和威脅追溯,定位單個(gè)事件在滲透和攻擊鏈中的所處階段,結(jié)合溯源分析,進(jìn)一步形成完整的證據(jù)鏈,還原攻擊過(guò)程。通過(guò)還原攻擊過(guò)程,全面評(píng)估損失和安全風(fēng)險(xiǎn),制定完善的應(yīng)對(duì)方案。
3、協(xié)調(diào)人員處置安全事件,通過(guò)安全運(yùn)營(yíng)團(tuán)隊(duì)的有效組織,最終打造“安全、可信、合規(guī)”的安全運(yùn)營(yíng)體系。
第四步:數(shù)據(jù)安全治理能力建設(shè)
1、建立智慧教育平臺(tái)數(shù)據(jù)資產(chǎn)和信息系統(tǒng)的安全管理規(guī)范,明確安全管理目標(biāo)和安全原則,明確數(shù)據(jù)資產(chǎn)和信息系統(tǒng)的登記制度,定義數(shù)據(jù)資產(chǎn)和信息系統(tǒng)的管理者和所應(yīng)承擔(dān)的職責(zé)。
2、明確各類業(yè)務(wù)數(shù)據(jù)在采集、傳輸、存儲(chǔ)、處理、交換和銷毀各個(gè)業(yè)務(wù)場(chǎng)景下的保障要素,以合規(guī)為基線,以業(yè)務(wù)流程為導(dǎo)向,結(jié)合標(biāo)準(zhǔn)規(guī)范制度,建立完善的數(shù)據(jù)生命周期的安全保障和監(jiān)管措施。
3、構(gòu)建數(shù)據(jù)資產(chǎn)清單,包含數(shù)據(jù)的總體分類、資源標(biāo)簽、權(quán)限層級(jí)等,并依據(jù)數(shù)據(jù)主體分級(jí)要求建立相應(yīng)的標(biāo)記策略、訪問(wèn)控制、數(shù)據(jù)加解密、數(shù)據(jù)脫敏等安全機(jī)制和管控措施。


實(shí)現(xiàn)智慧教育平臺(tái)資產(chǎn)的全面掌控
通過(guò)實(shí)時(shí)監(jiān)測(cè)、通報(bào)預(yù)警、追蹤管理實(shí)現(xiàn)安全閉環(huán),大大降低資產(chǎn)所面臨的安全風(fēng)險(xiǎn),輔助考評(píng)考核辦法,有效推動(dòng)安全建設(shè)良性循環(huán)。

構(gòu)建智慧教育平臺(tái)縱深安全防御體系
依據(jù)等保2.0和信息保障技術(shù)框架,根據(jù)信息系統(tǒng)的業(yè)務(wù)特性及應(yīng)用重點(diǎn),采用層次化與區(qū)域化相結(jié)合的安全防護(hù)體系設(shè)計(jì)方法,實(shí)現(xiàn)多層次的、縱深的安全防御體系來(lái)保障智慧教育平臺(tái)的安全。

提升主動(dòng)安全防御
通過(guò)人工智能、機(jī)器學(xué)習(xí)及大數(shù)據(jù)建模分析并結(jié)合專業(yè)的安全服務(wù)團(tuán)隊(duì)來(lái)解決異常攻擊、非常規(guī)性安全威脅,主動(dòng)探測(cè)安全威脅,并進(jìn)行安全防范,提高安全防御機(jī)制,防患于未然。

平臺(tái)業(yè)務(wù)數(shù)據(jù)全生命周期保護(hù)
以合規(guī)為基線,以業(yè)務(wù)流程為導(dǎo)向,結(jié)合標(biāo)準(zhǔn)規(guī)范制度,建立完善的基于智慧教育平臺(tái)業(yè)務(wù)數(shù)據(jù)生命周期的安全保障和監(jiān)管措施,實(shí)現(xiàn)從“基于威脅的被動(dòng)保護(hù)”向“基于風(fēng)險(xiǎn)的主動(dòng)防控”轉(zhuǎn)變。