高校數據安全保護任重道遠
2020年，堪稱全球數據治理的變革之年，也是我國公民隱私的保護之年。這一年，我國先后公布了《中華人民共和國數據安全法（草案）》和《中華人民共和國個人信息保護法（草案）》等重要信息安全法律法規(guī)，意味著我國數據安全進入了一個嶄新階段。
值得注意的是，教育部在2020年3月印發(fā)的《2020年教育信息化和網絡安全工作要點》中提出，教育系統(tǒng)須建立覆蓋數據全生命周期的安全管理機制。這一要求無疑是對數據安全發(fā)展趨勢的最佳呼應。
高校數據安全挑戰(zhàn)重重
整體而言，國內高校數據安全保護工作還處于起步階段。大多數高校都逐步意識到數據安全保護的重要性，并制定了相應的管理制度、采取了必要的技術防護手段，在數據安全保護工作上有了一定基礎，但還遠遠不足以消除現(xiàn)有安全風險和隱患。
在采訪中，相關信息化部門主任及領導認為，當前高校數據安全面臨的困難與挑戰(zhàn)主要包括：
首先，一個核心問題是網絡安全意識和素養(yǎng)的不足。
山東大學信息化工作辦公室常務副主任葛連升表示，安全問題事關每個人，這一認識不到位，高校網絡安全包括數據安全工作的推進就比較困難。他認為高校數據安全具有其特殊性：
第一，從數據本身的角度來看，現(xiàn)在一切都在數據化，可以說，數據無處不在，海量的數據給安全管理帶來了挑戰(zhàn)。
第二，從高校的特點看，高校管理的鏈條比較長，管理具有松散特點，數據也是相對分散的。而且在大部分高校，數據集中工作的完成度都不高，導致其數據管理成本較高。
在這樣的背景下，當高校師生自身數據安全的意識和素養(yǎng)比較弱時，安全防護就失去了主動性。因此，雖然當前《數據安全法（草案）》已公布，但從高校來看，制度、技術等方面都不夠完善，這是客觀存在的挑戰(zhàn)。
其次，一個普遍問題是數據保護和使用的邊界模糊。
中國教育和科研計算機網應急響應組鄭先偉認為，教育行業(yè)還沒有相關指導文件，缺乏統(tǒng)一、明確的分級分類標準。對于哪些數據信息屬于隱私，不同的高?？赡苡胁煌慕庾x。
例如師生員工的個人身份信息屬于隱私已經很明確了，但學生的成績、在校的行動軌跡等數據是否涉及隱私其實還存在模糊地帶。要解決這個問題，就要明確隱私數據的定義，把握數據使用和隱私保護的平衡。
使用與保護，平衡是關鍵
“如何平衡數據使用和隱私保護？”是一個在全球范圍內均具有爭議性的話題，而這一問題產生的根源之一在于如何定義隱私數據。
電子科技大學信息中心主任侯孟書表示，高校隱私信息的內涵可分為面向機構的學校敏感信息和面向個人的師生敏感信息。
學校敏感信息包括重大決策信息、財務信息、招生信息、資產信息等。師生敏感信息包括身份信息（身份證號碼、學號、職工號等）、生物識別信息（指紋、人臉等）、健康生理信息（疾病情況）及上網信息、一卡通信息、位置信息等。
復旦大學信息化辦公室主任王新則認為隱私信息主要有三種：
-
一是能夠用來對用戶進行身份識別的基本信息，包含姓名、身份證、照片、指紋、人臉特征等；
-
二是用戶敏感信息，包含健康狀況、財務信息、定位信息、信息化應用訪問情況如一卡通消費記錄、網站訪問詳情等；
-
三是學校的核心信息如重要公文、重要科研成果等。
兩位主任的觀點大同小異，但反映了一個迫切需要解決的問題，即教育數據缺少分級分類統(tǒng)一標準。
數據分級分類是建立數據全生命周期安全防護體系的重要基礎，也是數據安全治理的核心任務之一。
深圳大學信息中心副主任江魁表示，數據分級保護與分類保護兩者相輔相成，數據分類把具有共同屬性的數據歸并在一起，數據分級根據數據所具有的后果性標準構建技術保護體系，最后通過數據類別將其納入對應的數據分級體系。
在這方面，相關人士表示，雖然教育部2018年出臺的《教育部機關及直屬事業(yè)單位教育數據管理辦法》中，已對一些數據安全相關標準進行了規(guī)定，但各高校期待教育管理部門盡快出臺更詳細、統(tǒng)一的標準文件，規(guī)范教育數據安全分級分類程序，提升高校數據安全分級分類的可實施性和可操作性，為各高校數據安全管理工作提供指導。
鄭先偉也指出，和所有法律法規(guī)的出臺一樣，這些政策和指導意見必須是廣泛征求各個個體的意見之后才會形成標準。這就要求個別學校先試先行，從而形成參考意見。因此，高校數據分級分類工作可能也遵循螺旋式上升的發(fā)展軌跡。
數據安全保護任重道遠
盡管國內高校在數據安全防護工作上取得了一定的成績，但整體形勢依然嚴峻，還有很多風險和隱患需要解決。
總結各高校網信部門領導的觀點，目前需要進一步加強的方面主要有以下幾點：
首先，要充分利用此次《數據安全法（草案）》、《個人信息保護法（草案）》出臺的機遇，在學校進行大力的宣傳并積極與領導層面溝通交流，積極爭取資源，將數據安全作為下一步信息化工作重點予以高度關注。并通過多種數據安全相關溝通、宣傳渠道，以及定期自查和培訓機制，切實提升學校管理者和用戶的數據安全意識和素養(yǎng)。
其次，在引起足夠重視的基礎上，對整個網絡安全和信息化體系，甚至在整個智慧校園的框架結構中進行頂層設計，形成包括管理、制度、技術，以及應急處置、教育培訓、考核等各方面的保護體系。完成數據發(fā)現(xiàn)與分級分類，從內部安全管控、外部威脅防御、流動數據守護、數據庫安全運維等各個維度做好數據安全保護工作。
一是需要健全組織機構建設。
例如復旦大學信息辦成立了安全中心及預研與數據服務中心，梳理制定數據安全相關規(guī)章制度和標準等，并進行數據安全日常的管理工作。
二是需要完善人才隊伍建設。
海南師范大學黨委委員沈富可表示，數據安全隊伍除了必要的信息化技術人才之外，還需要一定數量的教育、傳媒等相關學科背景人員，能夠將技術問題解釋清楚并推廣普及。
三是需要加強技術設備和措施。
如何通過技術、系統(tǒng)實現(xiàn)安全策略非常重要，例如通過技術實現(xiàn)數據層和應用層的解耦，避免原始數據直接被推出使用。
在這方面，華南理工大學通過建立數據中臺，對校園各專業(yè)系統(tǒng)和業(yè)務系統(tǒng)數據進行融合，形成主題庫。海南師范大學的信息化團隊也搭建了包括基礎數據在內的信息化基礎底座。
兩所學校均完成了對數據的封裝，并以API方式提供使用。在保證職能部門、社會力量等第三方合作伙伴可以在有限范圍內授權使用特定數據的同時，又降低了數據泄露風險。
最后，還應重視提升面向新技術的數據安全防護能力。面對云計算、大數據分析、5G等新技術所帶來的挑戰(zhàn)，應針對性加強安全管理來確保其合規(guī)使用和健康發(fā)展。
例如，采取數據備份、數據加密、數據脫敏和細粒度訪問控制等措施，加強數據安全和隱私保護能力。并深化數據安全技術平臺建設，利用大數據分析和AI技術，智能預測和發(fā)現(xiàn)潛在的數據安全問題和風險，防患于未然，變被動防御為主動出擊。
當然，將安全問題從法律條文具體落實到各個單位，建立起覆蓋數據全生命周期的安全體系，還需要相當長的時間。對廣大高校來說，數據安全的防護與探索任重道遠，且可能永遠在路上。
