在高校如火如荼的數字化轉型建設中(zhōng),平衡合規與發展的天平,強化數據安(ān)全保障,是不可(kě)忽視的重要工(gōng)作(zuò)。
關于如何有(yǒu)效開展,美創與多(duō)所國(guó)内一流高校深入實踐,本案例作(zuò)為(wèi)美創護航高校數據安(ān)全的又(yòu)一典型項目,覆蓋了組織建設、制度流程、技(jì )術工(gōng)具(jù)和人員能(néng)力等各個維度,通過風險評估、數據流向分(fēn)析、分(fēn)類分(fēn)級、安(ān)全能(néng)力搭建及運營服務(wù)等,實現一體(tǐ)化數據安(ān)全保障落地,值得參考。
浙江中(zhōng)醫(yī)藥大學(xué)(簡稱:浙中(zhōng)醫(yī)大)是浙江省重點建設高校、高水平大學(xué)建設高校,是浙江省人民(mín)政府、國(guó)家中(zhōng)醫(yī)藥管理(lǐ)局、教育部共建高校。在2023軟科(kē)世界大學(xué)學(xué)術排名(míng)1000強中(zhōng),浙中(zhōng)醫(yī)大跻身779位(中(zhōng)醫(yī)藥院校第二位),3個學(xué)科(kē)進入ESI全球排名(míng)前1%。
近年來,浙中(zhōng)醫(yī)大積極推進數字技(jì )術與教育管理(lǐ)、教育教學(xué)科(kē)研的深度融合,已搭建完成數據中(zhōng)台,實現校域核心業務(wù)數據動态彙聚、治理(lǐ)、授權開放。但随着各類業務(wù)數據互聯互通,數據安(ān)全防護壓力随之增加。
同時,教育行業合規要求也在持續加碼,尤其自《數據安(ān)全法》和《個人信息保護法》頒布實施以來,國(guó)家與教育部及相關部門下發多(duō)項推進教育領域數據安(ān)全工(gōng)作(zuò)的政策文(wén)件,如《教育部機關及直屬事業單位教育數據管理(lǐ)辦(bàn)法》、《關于加強教育系統數據安(ān)全工(gōng)作(zuò)的通知》、《教育系統核心數據和重要數據識别認定工(gōng)作(zuò)指南(試行)》等,對數據安(ān)全治理(lǐ)與建設提出更明确的合規性要求。
為(wèi)此,在統籌發展與安(ān)全的頂層規劃下,實現數據利用(yòng)與安(ān)全防護一體(tǐ)兩翼,平衡發展的目标。浙中(zhōng)醫(yī)大攜手美創,開展以數據中(zhōng)台為(wèi)基礎的數據安(ān)全風險評估工(gōng)作(zuò),并以此為(wèi)切入點,通過識别目前風險現狀,進而建立健全數據安(ān)全防護體(tǐ)系,具(jù)體(tǐ)包括:
基于以上需求,美創結合自身完備的數據安(ān)全“咨詢+産(chǎn)品+運營服務(wù)”,一體(tǐ)謀劃、分(fēn)三步開展,助力浙中(zhōng)醫(yī)大數據安(ān)全體(tǐ)系化升級落地:
結合法律法規及教育行業的相關規定,美創數據安(ān)全咨詢服務(wù)團隊對浙中(zhōng)醫(yī)大數據安(ān)全現狀進行綜合摸底,開展數據安(ān)全風險評估和分(fēn)析,包括合規安(ān)全、組織建設、制度建設、技(jì )術工(gōng)具(jù)等模塊,并完成輸出以下内容:
在組織建設方面,協助輸出完成數據安(ān)全管理(lǐ)辦(bàn)法,明确數據安(ān)全管理(lǐ)層、執行層和監督層,建立安(ān)全保障小(xiǎo)組或責任人機制。
在制度建設方面,結合浙中(zhōng)醫(yī)大已具(jù)備的信息安(ān)全保障體(tǐ)系和制度,新(xīn)增《浙江中(zhōng)醫(yī)藥大學(xué)數據安(ān)全管理(lǐ)規範》、《浙江中(zhōng)醫(yī)藥大學(xué)數據合作(zuò)方管理(lǐ)規範》和《浙江中(zhōng)醫(yī)藥大學(xué)數據安(ān)全演練方案》等。
結合大學(xué)人員情況,建立分(fēn)類分(fēn)級工(gōng)作(zuò)組,制定内部工(gōng)作(zuò)彙報流程。通過對校内數據資産(chǎn)進行盤點,劃定本次分(fēn)類分(fēn)級工(gōng)作(zuò)範圍和工(gōng)期計劃。重點參考《教育系統核心數據和重要數據識别認定工(gōng)作(zuò)指南(試行)》、《教育系統數據分(fēn)類分(fēn)級指南(草(cǎo)稿)》、内部《數據目錄白皮書》等,制定分(fēn)類分(fēn)級标準,最終形成分(fēn)類分(fēn)級大綱。
實施過程,由美創數據安(ān)全分(fēn)類分(fēn)級平台支撐,實現數據自動發現識别,并根據分(fēn)類分(fēn)級策略智能(néng)化處理(lǐ)分(fēn)類分(fēn)級标簽,可(kě)視化呈現分(fēn)類分(fēn)級結果。
數據分(fēn)類分(fēn)級大綱
數據分(fēn)類分(fēn)級報告
在安(ān)全技(jì )術建設方面,通過對數據中(zhōng)台系統安(ān)全基線(xiàn)檢查、漏洞掃描、滲透測試等方式,發現數據處理(lǐ)環境中(zhōng)存在的安(ān)全漏洞,進行漏洞整改;并以人、行為(wèi)、數據為(wèi)中(zhōng)心,錨定重要場景,如數據治理(lǐ)、數據訪問、數據流轉、數據開發場景等,落實數據全鏈路的數據安(ān)全技(jì )術防護體(tǐ)系,包括:
通過部署數據庫防水壩進行權限細化和訪問處理(lǐ)數據規則細化。
數據庫防水壩
通過部署數據脫敏系統,對敏感數據匿名(míng)化處理(lǐ),在不破壞數據使用(yòng)價值的前提下,防止開發測試、數據共享、分(fēn)析挖掘等場景中(zhōng)發生數據洩漏風險。
數據脫敏系統
通過部署存儲加密,對個人隐私數據執行加密存儲,防止明文(wén)存儲引起的數據洩露問題。
利用(yòng)數據水印系統,對敏感數據按需進行水印處理(lǐ),确保在數據發生洩漏的情況下進行溯源。
數據水印溯源
通過部署API安(ān)全監測與訪問控制系統,從資産(chǎn)脆弱性、資産(chǎn)暴露面、賬戶共用(yòng)、異常訪問等維度,智能(néng)監測數據中(zhōng)台API接口調用(yòng)過程存在的各類風險,并進行告警阻斷、快速處置;通過數據庫防水壩-高危行為(wèi)管控進行未授權用(yòng)戶的操作(zuò)告警阻斷。
API安(ān)全監測與訪問控制系統
以教職工(gōng)基本信息表為(wèi)例,如下圖所示,通過在數據源系統【人事系統】,數據開放平台【數據中(zhōng)台】,數據使用(yòng)方【E搜系統】進行加密、脫敏、API監測安(ān)全能(néng)力建設,實現整體(tǐ)流轉鏈路表的數據安(ān)全防護落地。
通過對人事系統中(zhōng)的教職工(gōng)基本信息表進行分(fēn)類分(fēn)級,按照判斷數據敏感等級為(wèi)3級,基于《浙江中(zhōng)醫(yī)藥大學(xué)數據分(fēn)類分(fēn)級規範》3級要求,對教職工(gōng)基本信息表進行數據訪問行為(wèi)管理(lǐ)以及數據導出行為(wèi)管控,同時對該教職工(gōng)基本信息表在數據中(zhōng)台API接口調用(yòng)行為(wèi)進行實時監測風險和告警處置。