事件回顧 近期，南昌公安網安部門工作發現，南昌某高校3萬余條師生個人信息數據在境外互聯網上被公開售賣。經查，涉案高校在開展數據處理活動中，未建立全流程數據安全管理制度，未采取技術措施保障數據安全，未履行數據安全保護義務，導致學校存儲教職工信息、學生信息、繳費信息等3000余萬條信息的數據庫被黑客非法入侵，其中3萬余條教職工、學生個人敏感信息數據被非法兜售。 南昌公安網安部門根據《中華人民共和國數據安全法》第四十五條的規定，對該學校作出責令改正、警告并處80萬元人民幣罰款的處罰，對主要責任人作出人民幣5萬元罰款的處罰。
高校由于掌握大量個人信息通常是黑客進行網絡攻擊的重點對象，近年來高校因網絡安全防護不力導致大量數據泄露或被非法使用的情況屢見不鮮。 ● 2020年，鄭州新鄭市某中等專業學校因不履行網絡安全保護義務而被處罰。經查，該校未制定內部安全管理制度和操作規程，未按照規定留存相關網絡日志六個月。新鄭警方對該校及其網絡安全負責人分別處以1萬元和5000元罰款。 ● 貴陽某地警方根據《網絡安全法》對一高校及其負責人分別處以10萬元和5萬元的行政罰款。原因是該高校網站主頁遭遇黑客攻擊，登錄頁面被非法篡改為違法有害信息，影響惡劣。 ● 2022年，國家計算機病毒應急處理中心和360聯合發布了關于西北工業大學遭受境外網絡攻擊的調查報告。調查發現，攻擊源頭是美國國家安全局（NSA）下屬的特定入侵行動辦公室（TAO），對方疑似竊取該校關鍵網絡設備配置、網管數據、運維數據等核心技術數據。 頻頻上演的內部數據泄漏風波，也揭示了目前高校數據管理水平不足、數據安全防范能力不夠、數據泄露風險隱患突出的困境與痛點，在數字化轉型的道路上及時筑牢數據安全防線，是當下每個高校應該重點關注的工作。 高校數據安全目前面臨的困境 ●數據量龐大且敏感級別不斷提升：包括高校師生個人和家庭數據，重點實驗室、科研項目等核心數據，財務數據、學生考評等數據，數據量級不斷增大，數據一量泄漏可能造成巨大影響； ●數據安全精細化管控措施不到位：業務系統眾多，安全歸口管理部門不一，敏感數據散落各處，安全防護力度不足，數據訪問權限難梳理，未落實精細化安全管控措施； ●數據安全管理制度體系不完善 ：高校管理鏈條較長，數據安全管理組織架構不健全，數據安全責任人不明確，數據安全管理制度缺失，數據安全操作流程和規范沒有明確要求； ●內部數據共享安全風險難把控：對敏感數據流向和數據安全風險進行監控和管理，難以感知數據濫用、數據竊取等風險。缺少數據溯源手段，無法對數據泄露事件進行應急處理。 敏捷方案鑄造數據安全的“定海神針” 針對這樣的數據安全現狀，高校該如何做好數據安全建設呢？敏捷科技認為需要技術和管理雙管齊下，以數據分類分級為起點，以管理制度為依據，在具體建設過程和環節中，利用終端數據安全防護技術，逐步構建覆蓋數據全生命周期的數據安全防護體系，實現數據安全防護與統一管理的持續優化和逐步提升。 在管理制度方面 高校應結合法律法規、部門規章、行業標準，制定數據分類分級標準，梳理出高校信息系統重要的數據目錄，明確個人隱私和敏感數據保護范圍。 比如，在制定數據安全管理與隱私保護相關辦法中，高校需明確數據收集、存儲、處理、共享等關鍵環節的操作規范、管理部門職責分工、應急管理與安全檢查機制，充分發揮各部門和各類人員在數據安全保障工作中的作用，共同遵守和執行安全規章制度，保障數據安全策略的貫徹落實。 在防護技術方面 >>> 數據存儲：對師生敏感數據或重要數據進行加密存儲，防止黑客竊取、設備損壞、文件被盜等原因造成信息泄漏；對電腦終端、應用服務器、文件服務器等重要系統部署勒索軟件防范勒索攻擊。 >>> 數據訪問：通過對核心數據定密，結合對內部人員的權限進行細粒度的操作權限控制，防止“高密低流”。通過與業務系統集成，實現上傳解密和下載加密，使得重要數據始終處于加密管控狀態。 >>> 數據交互：采用DLP數據防泄漏系統對重要文件的處理、傳輸進行管控；配合多層級的外發審核和水印溯源技術，加強數據流動場景下的安全保障和風險監測，實現數據可控流動。
敏捷科技基于多年數據安全實踐經驗，結合《數據安全法》和《個人信息保護法》等法律法規的要求和高校數據安全風險場景，為高校數據安全建設提供全生命周期的數據防泄密解決方案，助力高校數據使用變得更加合法合規、安全高效。
18120179909
關注敏捷小助手，了解更多