案例分享｜美创科技“双一流”高校的数据安全治理实践之路-





首页 产品与服务 解决方案 客户案例 技术支持 合作发展 关于美创 用户退出 合作商登录 用户登录 申请试用

行业解决方案政府解决方案金融解决方案医疗解决方案教育解决方案能源解决方案物流交通解决方案

售后服务文档中心年度培训

渠道政策申请成为合作伙伴渠道专区

公司动态行业资讯安全研究

热门阅读

美创荣获“中国数据安全领域最具商业合作价值企业”

2024-08-28

国家数据局：数据产业和企业数据资源开发利用政策即将出台

2024-08-28

从这三方面入手，杜绝“删库跑”！

2024-08-22

2024网安创新大赛，美创产品方案双获奖！

2024-08-19

美创科技登榜《2024信创500强》！

2024-08-12

美创荣获“中国数据安全领域最具商业合作价值企业”

2024-08-28

“一带一路”国家青年企业家研修班走进美创，“共享数安”，我们在路上！

2024-08-23

2024网安创新大赛，美创产品方案双获奖！

2024-08-19

全国各地认可再+4，美创入选ZJCERT等多省市网络数据安全支撑单位

2024-08-16

让灾备一键OK！一张图解锁新品「灾备一键通」

2024-08-13

案例分享｜美创科技“双一流”高校的数据安全治理实践之路

发布时间：2024-03-07 阅读次数： 365 次

数据安全是高校安全建设的重中之重，然而伴随高校信息化、数字化工作深入开展，数据安全威胁挑战更加复杂，如何明晰建设路径，推动数据安全工作有的放矢开展，仍面临诸多问题。本文介绍的高校数据安全治理建设实践，是美创数据安全治理咨询服务赋能高校安全建设的又一经典案例，希望通过该案例实践经验，给更多高校的数据安全建设提供参考。

某高校是全国重点大学，国家部委和市人民政府共建的“双一流”、 “211工程”高校，中国著名的高等学府。

图片源自网络

近年来，方兴未艾的数字化浪潮为高校注入新内核，校园管理工作逐步从线下模式转变为线上服务模式，通过服务大厅，为学生、教职工提供一站式服务。为进一步消除“数据孤岛”，该高校网络信息中心（下称“信息中心”）探索建立数据平台，形成学校各部门之间的数据共享，包括人事处、教务处、财务处等业务部门，实现学生选课、资产报修、学校公章、在读证明、就业手续办理等业务对接。

然而各类型应用系统不断增多，系统间业务协同交互场景逐渐增加，业务数据不断汇聚整合，也带来新挑战，数据安全问题也随之而来，在合规监管要求不断提升的背景下，如何进一步加强数据安全和师生个人信息保护提上了日程。

为响应国家号召，全力保障“智慧校园”发展，同时也为有效摸清目前高校在管理、技术层面可能存在风险隐患，规划下一阶段数据安全建设目标，该高校携手美创开启本次数据安全治理咨询工作。

现状分析

数据安全必须贯穿数字化业务全过程，能否守住安全底线至关重要，目前该高校数据安全面临的主要问题包括：

安全理念不匹配：高校内部部门二十多个，且系统多样，有统推部门系统（如教师职称、学生入学、学籍管理等），也有学校自建系统（如招生就业、门户网站、校园一卡通等），这些业务系统负责的部门由于缺乏专业的网络和数据管理人员，对这些系统业务数据的使用和管理上缺乏了解和控制。

职责划分不清晰：数据安全治理工作是一项从上至下、持续性、长期的系统工程，从现有的组织架构上看，目前数据安全管理组织架构比较完整，但职责划分上仍需进一步明确，尤其是数据共享使用场景下，暂未形成规范化的流程，一旦发生数据安全事件，将无从定责追责。

数据标准不统一：虽然该校信息中心建立了数据平台，实现了多部门之间数据共享，并按照教育部《教育系统核心数据和重要数据识别认定工作指南（试行）》文件要求，制定了数据分级分类策略，但由于业务系统庞杂，并且业务优先的原则，导致各部门使用数据标准不统一，阻碍了数据分类分级的落地。

数据安全难保障：在目前的安全建设体系中，数据安全存在一定的风险隐患。例如数据库运维管理松散，学校合作第三方开发人员和运维人员私存数据库账号密码，存在数据泄露风险，并且数据资源的使用没有约定范围和有效期，导致数据使用失控。

解决方案

针对该高校上述存在的各方面问题，美创结合高校当前实际情况，认为可从以下几个方面进行入手：

◼︎ 对现有的应用系统数据库进行全面摸底，做到“底数清、情况明”，熟悉各部门业务系统、数据敏感程度、数据使用多方面情况，尤其需要关注个人信息数据存储、使用情况；

◼︎ 数据所属业务的职能部门是数据的主管单位，应当向各业务部门明确数据使用处理规则和防护要求，尤其是业务部门在数据共享交换的场景下，应当对申请的数据资源范围、期限进行明确；

◼︎ 参考DSMM模型内容，开展数据安全风险评估，了解目前的数据安全工作程度，也可完善高校的数据安全检查内容，作为定期开展安全检查的依据；

◼︎ 根据风险等级，结合现有的安全技术手段，以及部门间业务运行、数据流转过程，规划下一阶段的改进和建设任务目标，并针对具体场景的风险程度进行优先级设定。

具体服务内容包括：

数据资产梳理

以系统级、表级的颗粒度，对针对评估范围内的数据开展梳理工作，共计梳理3万张表、50万个数据字段，数据类型覆盖业务数据、个人信息等，如流程表单、户口所在地等。大部分数据为“个人身份信息类”、“个人财产信息类”等敏感个人信息，如户口地址、一卡通卡号、余额等。

基础环境风险评估

对系统和数据库服务器进行安全扫描、安全配置核查和分析，以及对数据权限分配情况的探查，发现配置的不合规项。例如高权限的废弃账户，美创结合实际需求提出了整改修复建议。

数据安全能力评估

结合高校现状以及对数据安全管理的目标诉求，从组织建设、制度流程、技术工具和人员能力等方面，分别对标数据安全能力成熟度模型（DSMM）二级和三级能力要求，从差距分析的结果来看，组织与三级能力仍存在较大差距，故后期若开展能力规划，可先设定到二级，再逐步进行推进。

数据安全合规评估

根据所在教育（高校）行业和地区的法律法规、政策规范等，进行筛选、识别、关联分析，对相关条款逐一进行阐述，根据现状进行对标分析。通过合规评估工作，除了发现潜在的合规风险，也帮助高校对数据安全相关政策要求有了更进一步理解。本次合规评估主要参考文件如下：

数据安全风险评估

数据安全风险评估是以围绕数据全生命周期的数据处理活动，采用了定性和定量相结合的风险分析方法，对数据资产面临的威胁、存在的弱点、造成的影响，以及三者综合作用所带来风险的可能性的评估。通过风险分析，发现数据在全生命周期的处理活动中，均存在不同程度的风险。

数据安全建设规划

在管理层面，根据行业、地区、上级要求以及高校现行制度，结合实际场景，制定了《个人信息保护管理办法》、《数据全生命周期安全管理制度》、《数据分类分级规范》、《数据安全事件应急预案》、《数据安全监督检查管理办法》等制度文件，明确了数据在多个阶段的安全管理要求。同时对多个现行的制度内容进行了审查，提出了优化建议以及持续关注点，如网络安全事件应急预案、数据共享交换规范等。

在技术层面，结合具体的数据使用场景，根据风险情况提出下一步的整改建议，包括技术手段、依托产品工具的建设方式、建设周期、建设优先级等。

成果价值

通过本次数据安全治理咨询，该高校明晰了当下数据资产的重要性以及潜在的安全风险，确定了下一步的工作任务和重心，主要产生的成果价值如下：