教育行业网络安全白皮书_44页_919kb

报告摘要

教育行业网络安全白皮书总结

核心内容

本白皮书由中国软件评测中心·网络空间安全测评工程技术中心于2020年9月发布，全面分析了我国教育行业网络安全的发展环境、总体形势、问题原因及保障建议，旨在提升教育行业整体安全防护水平，保障教育信息系统的安全运行。

主要观点

教育信息化发展迅速，但伴随而来的是网络安全问题日益突出。
教育行业网络安全隐患普遍存在，包括网络病毒、木马程序、DDoS攻击、信息泄露及App风险等。
网络安全重视不足、等级保护制度落实不到位、安全风险管控手段落后、安全管理监督缺位以及在线教育防护能力薄弱是当前教育行业面临的主要问题。
建议通过加强基础设施安全防护、推进三重防护建设、提升信息泄露防护能力、健全安全管理监督体系、全面开展等保测评及引导规范App合规性备案等方式，全面提升教育行业网络安全防护能力。

关键信息

一、教育行业网络安全发展环境

教育信息化自2012年起被纳入国家发展战略，2018年《教育信息化2.0行动计划》进一步推动教育与互联网深度融合。
国家出台多项政策法规，如《网络安全法》、《教育行业网络安全综合治理行动方案》等，强化教育行业网络安全管理。
各地积极响应国家政策，如黑龙江、江苏、山东等地均制定了教育信息化与网络安全工作要点，强化网络安全制度建设。

二、教育行业网络安全总体形势

教育行业信息系统数量庞大，用户群体广泛，数据量巨大，安全隐患多。
网络安全隐患普遍：涉及教育机构数量多、用户规模大、数据信息量大。
校园网络风险众多：校园网病毒传播迅速、运维复杂、权限管理混乱、安全意识薄弱。
外部攻击严重：2019年教育行业被拦截的恶意程序高达181.07亿次，其中挖矿类攻击占比最高。
内部漏洞增多：2017年教育行业发现606个漏洞，其中19%的机构存在严重漏洞。
DDoS攻击频发：42%的教育机构曾遭遇DDoS攻击，重点高校攻击率高达85%。
信息泄露事件高发：如学生信息泄露、数据库泄露等事件频发，涉及隐私保护、数据安全等问题。
App网络风险突出：部分App存在权限采集不合规、数据安全技术不足、内容安全问题等问题。

三、教育行业网络安全问题分析

网络安全重视力度不足：多数教育机构对网络安全投入不足，安全设备应用率偏低，缺乏第三方安全测试。
等级保护落实情况不佳：仅35%的教育机构信息系统达到“良”级别，存在大量不符合项。
安全风险管控手段落后：缺乏统一的数据安全处理平台，数据明文存储、监控手段不足等问题突出。
网络安全管理监督缺位：管理制度不完善、职责不明确、安全意识薄弱、事前和事中监督机制不健全。
在线教育防护能力薄弱：云平台和App在数据安全、权限管理、责任划分等方面存在短板，安全防护体系不健全。

四、教育行业网络安全保障建议

切实做好基础设施安全防护
- 重视物理安全，建设安全机房，配备门禁系统、防雷击、防静电、防火防水等措施。
- 实现冗余供电与灾备机房建设，保障系统稳定运行。
持续推进三重防护安全建设
- 安全通信网络：划分子网、配置细粒度访问控制策略，避免运维区直接访问互联网。
- 安全区域边界：部署IDS/IPS、防毒墙、WAF、堡垒机等设备，提升边界防护能力。
- 安全计算环境：加强身份鉴别、访问控制、安全审计、数据完整性与保密性等措施，提升系统安全防护。
重点提升信息泄露防护能力
- 提升数据安全保护技术能力，建立统一的大数据处理平台，采用透明加密技术保护敏感信息。
- 健全数据安全保护制度体系，分类分级管理关键信息与敏感数据，制定标准规范。
- 增强数据安全保护思想意识，提升师生用户安全使用习惯，防范社会工程学攻击。
全面建设安全管理监督体系
- 建立应急响应预案机制，定期培训与演练，提升应急处置能力。
- 完善信息安全管理体系，借鉴ISO27001标准，推动PDCA循环优化安全体系。
- 加强网络安全人员管理，完善岗位设置、培训考核、外包风险控制等。
全面开展在线教育系统等保测评
- 严格落实《网络安全法》及等级保护制度，推动在线教育平台进行等保备案与测评。
- 测评机构应提供全流程安全咨询、测试、评估、认证、培训等服务，提升系统安全性。
引导规范教育App合规性备案
- 教育App需进行ICP备案与等级保护备案，未按时备案的App将被撤销。
- 强化App合规性监管，确保其在数据收集、存储、使用、传输等环节符合安全要求。