2024-07-16 16:16:03 中华网科技
在高校如火如荼的数字化转型建设中，平衡合规与发展的天平，强化数据安全保障，是不可忽视的重要工作。
关于如何有效开展，美创与多所国内一流高校深入实践，本案例作为美创护航高校数据安全的又一典型项目，覆盖了组织建设、制度流程、技术工具和人员能力等各个维度，通过风险评估、数据流向分析、分类分级、安全能力搭建及运营服务等，实现一体化数据安全保障落地，值得参考。
浙江中医药大学(简称：浙中医大)是浙江省重点建设高校、高水平大学建设高校，是浙江省人民政府、国家中医药管理局、教育部共建高校。在2023软科世界大学学术排名1000强中，浙中医大跻身779位(中医药院校第二位)，3个学科进入ESI全球排名前1%。
近年来，浙中医大积极推进数字技术与教育管理、教育教学科研的深度融合，已搭建完成数据中台，实现校域核心业务数据动态汇聚、治理、授权开放。但随着各类业务数据互联互通，数据安全防护压力随之增加。
同时，教育行业合规要求也在持续加码，尤其自《数据安全法》和《个人信息保护法》颁布实施以来，国家与教育部及相关部门下发多项推进教育领域数据安全工作的政策文件，如《教育部机关及直属事业单位教育数据管理办法》、《关于加强教育系统数据安全工作的通知》、《教育系统核心数据和重要数据识别认定工作指南(试行)》等，对数据安全治理与建设提出更明确的合规性要求。
为此，在统筹发展与安全的顶层规划下，实现数据利用与安全防护一体两翼，平衡发展的目标。浙中医大携手美创，开展以数据中台为基础的数据安全风险评估工作，并以此为切入点，通过识别目前风险现状，进而建立健全数据安全防护体系，具体包括：
基于以上需求，美创结合自身完备的数据安全“咨询+产品+运营服务”，一体谋划、分三步开展，助力浙中医大数据安全体系化升级落地：
STEP 1
第一步
识别风险现状，完善管理制度
结合法律法规及教育行业的相关规定，美创数据安全咨询服务团队对浙中医大数据安全现状进行综合摸底，开展数据安全风险评估和分析，包括合规安全、组织建设、制度建设、技术工具等模块，并完成输出以下内容：
数据业务流向图
数据安全风险评估报告
数据安全能力差距评估结果
数据安全管理制度
在组织建设方面，协助输出完成数据安全管理办法，明确数据安全管理层、执行层和监督层，建立安全保障小组或责任人机制。
在制度建设方面，结合浙中医大已具备的信息安全保障体系和制度，新增《浙江中医药大学数据安全管理规范》、《浙江中医药大学数据合作方管理规范》和《浙江中医药大学数据安全演练方案》等。
STEP 2
第二步
厘清数据底账，实施分类分级
结合大学人员情况，建立分类分级工作组，制定内部工作汇报流程。通过对校内数据资产进行盘点，划定本次分类分级工作范围和工期计划。重点参考《教育系统核心数据和重要数据识别认定工作指南(试行)》、《教育系统数据分类分级指南(草稿)》、内部《数据目录白皮书》等，制定分类分级标准，最终形成分类分级大纲。
实施过程，由美创数据安全分类分级平台支撑，实现数据自动发现识别，并根据分类分级策略智能化处理分类分级标签，可视化呈现分类分级结果。
数据分类分级大纲
数据分类分级报告
STEP 3
第三步
安全能力建设，全面保障提升
在安全技术建设方面，通过对数据中台系统安全基线检查、漏洞扫描、渗透测试等方式，发现数据处理环境中存在的安全漏洞，进行漏洞整改;并以人、行为、数据为中心，锚定重要场景，如数据治理、数据访问、数据流转、数据开发场景等，落实数据全链路的数据安全技术防护体系，包括：
“人”的管控
通过部署数据库防水坝进行权限细化和访问处理数据规则细化。
·权限细化，根据运维人员身份角色不同，对其可执行的操作进行管控。
·规则细化，根据人员不同，配置相应的数据库操作权限，高级权限对数据库可进行所有操作和所有数据的查询，中级权限能执行非删除操作和高级敏感数据的权限，低级权限仅能查询非核心数据库数据。
数据库防水坝
“数据”管控
通过部署数据脱敏系统，对敏感数据匿名化处理，在不破坏数据使用价值的前提下，防止开发测试、数据共享、分析挖掘等场景中发生数据泄漏风险。
数据脱敏系统
通过部署存储加密，对个人隐私数据执行加密存储，防止明文存储引起的数据泄露问题。
利用数据水印系统，对敏感数据按需进行水印处理，确保在数据发生泄漏的情况下进行溯源。
数据水印溯源
“行为”管控
通过部署API安全监测与访问控制系统，从资产脆弱性、资产暴露面、账户共用、异常访问等维度，智能监测数据中台API接口调用过程存在的各类风险，并进行告警阻断、快速处置;通过数据库防水坝-高危行为管控进行未授权用户的操作告警阻断。
API安全监测与访问控制系统
“一张表贯通”
场景落地
以教职工基本信息表为例，如下图所示，通过在数据源系统【人事系统】，数据开放平台【数据中台】，数据使用方【E搜系统】进行加密、脱敏、API监测安全能力建设，实现整体流转链路表的数据安全防护落地。
通过对人事系统中的教职工基本信息表进行分类分级，按照判断数据敏感等级为3级，基于《浙江中医药大学数据分类分级规范》3级要求，对教职工基本信息表进行数据访问行为管理以及数据导出行为管控，同时对该教职工基本信息表在数据中台API接口调用行为进行实时监测风险和告警处置。
建设成果
1.通过完善数据安全管理制度，建立数据安全标准体系，有效规范了数据处理活动。
2.基于数据应用和共享建立数据资源目录的动态更新机制，全面掌握数据使用情况，按照浙中医大数据目录白皮书和相关标准指南，开展数据分类分级工作，落实数据分类管理分级保护。
3.按照“一数一源”的原则，根据实现处理目的最小范围，规范数据收集使用范围，优先通过共享获取数据，避免重复处理。
4.全面加强数据安全保障，建立覆盖数据处理活动的全方位安全体系，实现广大师生数据，特别是个人敏感隐私信息的重点保护。
