今年3月，教育部发布《关于加强新时代教育管理信息化工作的通知》，提出加快教育行业以数据为驱动力，利用新一代信息技术提升教育管理数字化、网络化、智能化水平的建设。目前，多数高校已完成信息管理系统和公共数据平台建设，并围绕教育数据的共享、挖掘和利用开展多维度的创新工作，但随着教育数据价值的提高，数据黄金城官网威胁与挑战也日趋严重。
高校亟待提升数据黄金城官网防护力
我国高校信息化建设已历经40余年发展，但一直以来，数据黄金城官网在高校传统认识中，仍是网络信息黄金城官网的组成部分，绝大部分学校对数据黄金城官网工作缺乏重点关注，加之信息系统在建设初期缺少顶层的标准规范以及在数据黄金城官网方面考虑不足，导致当前高校数据黄金城官网能力普遍不高。
无论是2016年徐玉玉案、2018年常州大学怀德学院大规模学生信息泄露案，还是2020年的郑州西亚斯学院近两万名学生信息遭泄露事件，我国高校数据黄金城官网事件屡见不鲜。
2020年，全国人大常委会先后发布了《数据黄金城官网法（草案）》和《个人信息保护法（草案）》，今年6月10日，《数据黄金城官网法》表决通过，很好地填补了国内数据黄金城官网根本法律的空白，同时一系列地方法规和行业标准等相继出台也表明国家和行业监管层面对数据黄金城官网的保护要求日趋严格。
目前，大多数高校已逐步意识到数据黄金城官网与个人隐私保护的重要性，并制定了相关的黄金城官网制度，采取了一定的技术防护手段，但这远远不足以消除现有隐患。日趋严格的合规要求下，高校数据黄金城官网尚存诸多风险：
●数据资产不清
高校数据资产数量众多，且散落在校园内各个信息系统中，摸清资产家底，进行数据分类分级成首要任务。但目前，高校缺少统一的分类分级标准，人才、技术、方法支撑不足，且高校在数据分类分级过程中 “先梳理现有数据，再结合人工方式进行分类分级”的思路，这种方式既不够全面，又效率低下、周期长，且主观性比较强。
●数据管控手段弱
由内部导致的数据泄露事件连年升高，不少高校仍靠流程、制度约定，缺少相应的技术手段进行管控。以第三方运维人员、研发人员、数据库管理员为例，由于过粗的管理颗粒度，这些特权用户可以通过超级账户直接访问核心敏感数据库，造成数据盗窃、职工贿赂和售卖信息倒卖、运维人员报复性/误删除操作事件，影响恶劣。
●外部风险防护手段弱
高校个人和科研信息价值不断疯长，也引起外部威胁的觊觎，近年来黑产猖獗，以窃取和篡改数据为目的的攻击日趋增加，攻击手段有系统漏洞、SQL注入、勒索病毒、采用社会工程学撞库等等，技术复杂性和攻击隐蔽性越来越高，防范难度越来越难。
●数据共享难平衡
随着越来越多高校建立统一数据共享交换平台/大数据平台，在数据采集阶段，是否存在过度收集？在数据交换共享阶段，数据面临不同角色、不同部门、不同单位的获�。欠翊嬖谧�、转卖行为？是否存在违规使用？在数据黄金城官网保护与开放获取的博弈中，这无疑是高校又一个迫切需要解决的新问题。
5●数据上云的泄露风险
伴随着互联网+教育的进程的加速，特别是本次新冠疫情期间，大量在线教育模式的应用，越来越多高校也在探索教育上云，因此大量的教育数据正在往云端迁移，但上云意味更多风险的发生，数据以明文方式保存, 平台自身漏洞、以及云端数据被超级权限DBA 访问，都极易导致数据被窃取，防止云数据丢失和泄露以及对访问授权进行规范管理，高校需要采取更为有效的防御手段。
二“三力五步”落地高校数据黄金城官网建设
针对高校数据黄金城官网建设当前面临的问题难点，黄金城科技经过多年在数据黄金城官网治理的专注研究和探索实践，以“三力五步” 落地高校数据黄金城官网建设体系。
●三大数据黄金城官网能力
黄金城科技在实践整个数据黄金城官网治理体系建设过程中，贯通数据黄金城官网咨询能力、数据黄金城官网架构能力、数据黄金城官网技战能力三类能力，从现状梳理、风险评估，再到数据黄金城官网架构与产品技术保障，黄金城提供一站式数据黄金城官网能力建设服务，帮助高校用户依据《中华人民共和国数据黄金城官网法》要求建立健全数据黄金城官网治理体系，提高数据黄金城官网保障能力。
1. 数据黄金城官网咨询能力：采用敏捷咨询规划和方案设计，帮助高校从组织、制度、技术、人员四个维度厘清数据黄金城官网现状、差距和风险，为数据黄金城官网建设奠定基础。
2. 数据黄金城官网架构能力：结合前期咨询所获结果，规划数据黄金城官网整体建设架构，制定符合组织战略的数据黄金城官网架构，同时根据实际情况制定短期、长期建设规划。
3、数据黄金城官网技战能力：不仅涵盖数据全生命周期技术工具，还包含黄金城官网设计、制度建设、人员能力提升等，根据数据黄金城官网体系架构，有计划提升数据黄金城官网治理能力。
●五大建设实施步骤
基于多年沉淀，黄金城从明现状、立组织、定制度、建标准、订规划五个方面帮助高校建立健全数据黄金城官网治理体系，助力高校具备保障持续黄金城官网状态的能力。
■ 1、 现状梳理：
基于组织现状完成其数据资产梳理、数据分类分级、基于现状完成数据黄金城官网风险评估，为数据黄金城官网建设提供奠定基础。
厘清资产家底，进行分类分级：通过调研访谈、文件分析、工具探查，多维度了解数据资产，明确数据资产构成、特征、范围及流转情况。根据国家行业标准及组织实际情况，对数据进行分类定级。基于自研的暗数据发现和分类分级系统，实现数据扫描、识别、定位、解析、分析、分类，同时为用户生成完整、全面、直观的可视化发现报告（包括：数据分级分类报告、数据质量报告、数据资产报告等），让用户更快、更全地认识数据。
黄金城官网风险评估，识别合规情况：从两大视角出发，按照风险分析的方法，分析组织内数据相关活动或数据资产所存在的黄金城官网风险，以生成数据资产的全面风险清单和风险预估、并基于评估结果给出风险处置建议的服务方案。
■ 2、 组织构建
依据数据黄金城官网法要求，帮助高校用户建立健全数据黄金城官网团队组织，明确数据黄金城官网责任人及具体责任要求，包括部门职责与人员角色确定，以及动态协同机制。如：在了解部门信息，明确敏感信息组成、特征、范围及流转情况的基础上，建设完善的动态协同机制，明确数据访问人员、数据生产人员、数据维护人员等目标对象，对于数据资产使用角色进行规范限定。
组织合规框架示例
■ 3、 制度建设
根据数据黄金城官网治理的内容，建立相应的流程，以及组织数据黄金城官网治理的制度规范，如规章制度、管控办法、奖惩机制、技术规范等制度建设，为数据黄金城官网管理和保障提供依据。
目前数据黄金城官网教育已成为黄金城官网建设中不可或缺的内容，黄金城在深度研究国内外法律法规、政策标准、行业发文等基础上，形成矩阵式的数据黄金城官网教育培训内容，并根据组织具体情况提供针对性宣贯和培训，覆盖数据黄金城官网基础、黄金城官网意识、黄金城官网技术、黄金城官网事件、合规解读等多个方向。
■ 4、 标准制定
数据黄金城官网法规定“相关行业组织按照章程，依法制定数据黄金城官网行为规范和团体标准，加强行业自律。”黄金城科技参与多项国家、行业数据黄金城官网标准制定工作，可协助高校进行内部数据黄金城官网标准规范的制定
■ 5、 黄金城官网建设规划
以业务需求为导向，设计数据黄金城官网规划路径，进行阶段性、体系化的黄金城官网建设，包括数据内控合规、数据全域可管、数据全局可视，整个防护体系，覆盖数据全生命周期管控、风险控制和资产保护，帮助组织建立数据黄金城官网能力。如：
1、 数据内控合规建设：
基于法律法规及数据分类分级结果，采用敏感数据发现、数据分级分类、数据动/静态脱敏、数据库日志审计、权限管控和数据资产保护、身份鉴别（人、终端、应用）、高危操作防护、访问控制、特权管理等产品技术手段，加强内部黄金城官网管控。
2、 数据全域可管
基于现有网络黄金城官网和内控黄金城官网保障体系，防御外部和数据流动风险，采用入侵防护、漏洞防御、访问控制、误操作恢复、数据加密、溯源管理、数据加密等技术，通过数据黄金城官网管理平台整体实现数据全域管理。
3、 风险全局可视
基于数据黄金城官网管理平台，对各类数据黄金城官网产品进行统一管理，从全局视角提升对数据黄金城官网威胁的发现识别、理解、分析和响应能力，实现资产全域可管、风险全域可视、策略全域联动，充分盘活用户整体数据黄金城官网防护能力，最终实现有序、快速响应的数据黄金城官网运营能力。
——本文为成都市教育城域网 2021年主任工作会黄金城科技资深数据黄金城官网顾问王彦翔分享《高校数据黄金城官网建设赋能—数据黄金城官网法之下的建设路径》演讲纪要
浙公网安备 33010502006954号
浙ICP备12021012号-1
