在大數(shù)據(jù)、云計(jì)算、人工智能蓬勃發(fā)展的數(shù)字經(jīng)濟(jì)時(shí)代，數(shù)據(jù)已經(jīng)成為與土地、勞動(dòng)力、資本、技術(shù)等傳統(tǒng)要素并列的新型生產(chǎn)要素，成為社會(huì)發(fā)展傾力前行的“石油”，對(duì)國(guó)家經(jīng)濟(jì)發(fā)展、社會(huì)治理與人民生活產(chǎn)生了重大而深刻的影響。
高等學(xué)校作為我國(guó)高層次人才培養(yǎng)與科學(xué)研究的重要基地，在不斷推進(jìn)數(shù)字智慧校園建設(shè)過程中，運(yùn)行龐大復(fù)雜的校園網(wǎng)絡(luò)，收集、存儲(chǔ)、使用、加工、傳輸、提供、公開的數(shù)據(jù)舉不勝舉。
如何確保高校數(shù)據(jù)處于有效保護(hù)和合法利用的狀態(tài)？在《數(shù)據(jù)安全法》實(shí)施后，高校該如何“合規(guī)”，才具備保障數(shù)據(jù)處于持續(xù)安全狀態(tài)的能力？高校的數(shù)據(jù)安全保護(hù)，已經(jīng)成為數(shù)字經(jīng)濟(jì)時(shí)代高等教育持續(xù)健康發(fā)展必須解答的重要問題。
隱患重重：
高校數(shù)據(jù)安全情形甚憂
數(shù)據(jù)是指任何以電子或者其他方式對(duì)信息的記錄。高校教學(xué)、科研、辦公等系列數(shù)據(jù)記錄著師生信息、科研信息、資產(chǎn)財(cái)務(wù)信息等各種內(nèi)容。
一旦發(fā)生網(wǎng)絡(luò)數(shù)據(jù)安全事件，造成系列數(shù)據(jù)泄露、篡改與滅失，都將造成巨大的損失，給高校和社會(huì)帶來難以挽回的不利影響。
近年來，網(wǎng)絡(luò)數(shù)據(jù)安全風(fēng)波在高校頻頻上演，揭示了高校數(shù)據(jù)安全隱患重重的現(xiàn)實(shí)狀況，主要問題表現(xiàn)如下：
第一，網(wǎng)絡(luò)安全意識(shí)淡薄，系統(tǒng)漏洞百出，易受攻擊。
當(dāng)前高?；径加行@網(wǎng)絡(luò)運(yùn)行，其辦公系統(tǒng)線上管理成為日常。部分高校網(wǎng)絡(luò)安全意識(shí)淡薄，對(duì)在線運(yùn)行的信息系統(tǒng)未建立適當(dāng)?shù)木W(wǎng)絡(luò)安全防護(hù)技術(shù)措施，系統(tǒng)存在安全漏洞，處于易受攻擊的風(fēng)險(xiǎn)之中。
例如，2017年12月，長(zhǎng)沙醫(yī)學(xué)院因其附屬第一醫(yī)院協(xié)同辦公系統(tǒng)，存在越權(quán)及任意文件上傳的網(wǎng)絡(luò)安全隱患漏洞，被部門行政警告處罰，責(zé)令限時(shí)整改。
第二，高校數(shù)據(jù)安全保護(hù)不力，學(xué)生個(gè)人信息泄露嚴(yán)重。
目前大多數(shù)高校積極開發(fā)多場(chǎng)景狀態(tài)下的數(shù)據(jù)應(yīng)用以提高教學(xué)科研管理能力，但對(duì)數(shù)據(jù)保護(hù)力度不夠，存在學(xué)生個(gè)人信息泄露的安全隱患。
2020年6月，鄭州西亞斯學(xué)院近兩萬學(xué)生個(gè)人信息被泄露，學(xué)院及負(fù)有領(lǐng)導(dǎo)責(zé)任的一名副校長(zhǎng)和直接責(zé)任人受到行政處罰。據(jù)報(bào)道，學(xué)生因個(gè)人信息泄露，被悄然“入職”用于企業(yè)偷稅逃稅，或遭遇網(wǎng)絡(luò)詐騙等事件。因此，高校數(shù)據(jù)安全保護(hù)力度必須加強(qiáng)，否則類似的事件還將不斷發(fā)生。
第三，數(shù)據(jù)管理制度不健全不規(guī)范，科研數(shù)據(jù)安全保護(hù)亟待加強(qiáng)。
高校作為國(guó)家科研重要陣地，承擔(dān)國(guó)家系列項(xiàng)目研究（包括國(guó)家涉密課題的研究），加強(qiáng)科研數(shù)據(jù)安全（保密工作）尤為重要。
在大數(shù)據(jù)技術(shù)普遍適用的背景下，除科研活動(dòng)產(chǎn)生的科研數(shù)據(jù)之外，科研人員科研網(wǎng)絡(luò)活動(dòng)行為數(shù)據(jù)（搜索信息資料和檢索網(wǎng)絡(luò)數(shù)據(jù)庫的行為軌跡）也成為境外黑客收集科研情報(bào)的重要來源。
部分高校在開展數(shù)據(jù)處理活動(dòng)過程中，尚未建立健全全流程數(shù)據(jù)安全管理制度，沒有對(duì)具體數(shù)據(jù)處理者開展數(shù)據(jù)安全教育培訓(xùn)，也沒有采取相應(yīng)的技術(shù)措施和其他必要措施保障數(shù)據(jù)安全，當(dāng)前高?？蒲袛?shù)據(jù)安全保護(hù)實(shí)況確實(shí)不容樂觀。
有法可依：
高校數(shù)據(jù)安全規(guī)范指引
2021年6月10日，十三屆全國(guó)人大常委會(huì)第二十九次會(huì)議表決通過經(jīng)歷了三次審議與修改的《中華人民共和國(guó)數(shù)據(jù)安全法》（文后簡(jiǎn)稱《數(shù)據(jù)安全法》）。
《數(shù)據(jù)安全法》共七章五十五條，主要聚焦于數(shù)據(jù)安全與發(fā)展、數(shù)據(jù)安全制度、數(shù)據(jù)安全保護(hù)義務(wù)以及政務(wù)數(shù)據(jù)安全與開放等內(nèi)容，并于2021年9月1日生效實(shí)施。
《數(shù)據(jù)安全法》的頒行，與2017年6月1日起施行的《網(wǎng)絡(luò)安全法》、2010年10月1日起施行的《保守國(guó)家秘密法》一起形成高校數(shù)據(jù)安全法律規(guī)范的調(diào)整體系。
8月20日正式通過的《中華人民共和國(guó)個(gè)人信息保護(hù)法》，也將成為高校數(shù)據(jù)安全重要的法律指引。
根據(jù)《數(shù)據(jù)安全法》的規(guī)定，數(shù)據(jù)安全是指通過采取必要措施，確保數(shù)據(jù)處于有效保護(hù)和合法利用的狀態(tài)，以及具備保障持續(xù)安全狀態(tài)的能力。
數(shù)據(jù)安全概念的提出與界定，以數(shù)據(jù)全生命周期中數(shù)據(jù)安全為聚焦點(diǎn)，將在理論與實(shí)踐中具有區(qū)別但又交叉重疊的信息安全、網(wǎng)絡(luò)安全以及隱私保護(hù)等概念有效地結(jié)合起來。
分析當(dāng)前網(wǎng)絡(luò)數(shù)據(jù)主要的法律規(guī)定，高校數(shù)據(jù)安全法律指引聚焦于以下四個(gè)方面：
第一，網(wǎng)絡(luò)安全等級(jí)保護(hù)制度。
根據(jù)《網(wǎng)絡(luò)安全法》第二十一條的規(guī)定，高校作為網(wǎng)絡(luò)運(yùn)營(yíng)者應(yīng)當(dāng)按照網(wǎng)絡(luò)安全等級(jí)保護(hù)制度的要求，履行相關(guān)安全保護(hù)義務(wù)，保障網(wǎng)絡(luò)免受干擾、破壞或者未經(jīng)授權(quán)的訪問，防止網(wǎng)絡(luò)數(shù)據(jù)泄露或者被竊取、篡改。
文前所述的長(zhǎng)沙醫(yī)院遭受行政處罰，主要原因?yàn)槲绰鋵?shí)網(wǎng)絡(luò)安全等級(jí)保護(hù)制度。根據(jù)法律規(guī)定，若該高校被確定為關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者，則應(yīng)當(dāng)依照《網(wǎng)絡(luò)安全法》第三十一條的規(guī)定，在網(wǎng)絡(luò)安全等級(jí)保護(hù)制度的基礎(chǔ)上，實(shí)行重點(diǎn)保護(hù)。
第二，數(shù)據(jù)分類分級(jí)保護(hù)制度。
《網(wǎng)絡(luò)安全法》規(guī)定網(wǎng)絡(luò)運(yùn)營(yíng)者應(yīng)當(dāng)采取數(shù)據(jù)分類、重要數(shù)據(jù)備份和加密等措施保護(hù)網(wǎng)絡(luò)安全?！稊?shù)據(jù)安全法》則進(jìn)一步規(guī)定，根據(jù)數(shù)據(jù)在經(jīng)濟(jì)社會(huì)發(fā)展中的重要程度，對(duì)數(shù)據(jù)實(shí)行分類分級(jí)保護(hù)。
高校應(yīng)當(dāng)根據(jù)本地區(qū)本部門確立的重要數(shù)據(jù)目錄對(duì)相關(guān)數(shù)據(jù)進(jìn)行重點(diǎn)保護(hù)，達(dá)到分類分級(jí)保護(hù)的效果。其中達(dá)到秘密級(jí)的數(shù)據(jù)應(yīng)當(dāng)遵循《保守國(guó)家秘密法》的規(guī)定。
第三，個(gè)人數(shù)據(jù)（信息）處理活動(dòng)應(yīng)合法正當(dāng)必要。
根據(jù)《網(wǎng)絡(luò)安全法》第四章信息安全的規(guī)定，網(wǎng)絡(luò)運(yùn)營(yíng)者收集、使用個(gè)人信息，應(yīng)當(dāng)遵循合法、正當(dāng)、必要的原則，不得泄露、篡改、毀損其收集的個(gè)人信息；未經(jīng)被收集者同意，不得向他人提供個(gè)人信息。
《數(shù)據(jù)安全法》第三十二條規(guī)定任何組織、個(gè)人收集數(shù)據(jù)，應(yīng)當(dāng)采取合法、正當(dāng)?shù)姆绞?，?yīng)當(dāng)在法律、行政法規(guī)規(guī)定的目的和范圍內(nèi)收集使用數(shù)據(jù)。文前所述的鄭州西亞斯學(xué)院被處罰案例，正是違反了《網(wǎng)絡(luò)安全法》個(gè)人信息保護(hù)的相關(guān)規(guī)定。
第四，其他法律規(guī)范指引，例如數(shù)據(jù)活動(dòng)目的審查、重要數(shù)據(jù)出境管理等。
《數(shù)據(jù)安全法》第二十八條規(guī)定，開展數(shù)據(jù)處理活動(dòng)以及研究開發(fā)數(shù)據(jù)新技術(shù)，應(yīng)當(dāng)有利于促進(jìn)經(jīng)濟(jì)社會(huì)發(fā)展、增進(jìn)人民福祉，符合社會(huì)公德和倫理。
這說明高校開展的數(shù)據(jù)處理活動(dòng)及數(shù)據(jù)技術(shù)研發(fā)，應(yīng)該關(guān)注數(shù)據(jù)處理活動(dòng)目的，不能出現(xiàn)違背公德與倫理的情形。
關(guān)于重要數(shù)據(jù)出境的法律規(guī)定，不管是《網(wǎng)絡(luò)安全法》還是《數(shù)據(jù)安全法》都將數(shù)據(jù)出境問題詳細(xì)規(guī)定放在下一步配套法規(guī)或規(guī)范性文件，未來這將對(duì)中外合作辦學(xué)的高校數(shù)據(jù)出境產(chǎn)生針對(duì)性的規(guī)范指引。
“合規(guī)”而行：
高校數(shù)據(jù)安全的法律遵從
“合規(guī)”一詞本源于商業(yè)銀行管理，意指商業(yè)銀行的經(jīng)營(yíng)活動(dòng)與法律、規(guī)則和準(zhǔn)則相一致。近年來，“合規(guī)”廣泛應(yīng)用于網(wǎng)絡(luò)數(shù)據(jù)安全領(lǐng)域，指網(wǎng)絡(luò)運(yùn)營(yíng)者或者數(shù)據(jù)處理者遵從國(guó)家法律法規(guī)、國(guó)家標(biāo)準(zhǔn)以及行業(yè)準(zhǔn)則而規(guī)范自身的行為活動(dòng)。
數(shù)據(jù)安全的重重隱患與風(fēng)險(xiǎn)，高校有望在法律規(guī)范指引之下通過“合規(guī)”而得到消解。具體說來，人員配置、制度管理、流程設(shè)置以及思維培養(yǎng)是高校數(shù)據(jù)安全“合規(guī)”的四個(gè)關(guān)鍵點(diǎn)。
第一，確定網(wǎng)絡(luò)安全責(zé)任人與數(shù)據(jù)安全負(fù)責(zé)人，落實(shí)安全保護(hù)責(zé)任。
無論是數(shù)據(jù)安全保護(hù)活動(dòng)的開展還是法律義務(wù)的承擔(dān)，“責(zé)任人”的落地必不可少。根據(jù)法律的規(guī)定，在高校處理重要數(shù)據(jù)的情形下，還應(yīng)當(dāng)明確數(shù)據(jù)管理機(jī)構(gòu)。
高校如果被認(rèn)定為關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者，除了應(yīng)當(dāng)設(shè)置專門安全管理機(jī)構(gòu)之外，還應(yīng)當(dāng)對(duì)負(fù)責(zé)人和關(guān)鍵崗位人員進(jìn)行安全背景審查。
第二，建立健全完善的網(wǎng)絡(luò)數(shù)據(jù)安全管理制度。
法律的要求應(yīng)當(dāng)詳細(xì)地體現(xiàn)于高校數(shù)據(jù)安全管理制度之中。
例如網(wǎng)絡(luò)安全等級(jí)保護(hù)制度要求的監(jiān)測(cè)、記錄網(wǎng)絡(luò)運(yùn)行狀態(tài)、留存相關(guān)的網(wǎng)絡(luò)日志不少于六個(gè)月等內(nèi)容應(yīng)細(xì)化為高校數(shù)據(jù)安全管理制度條款。
又如在數(shù)據(jù)分級(jí)分類制度方面，建議高校將本地區(qū)本部門“自上而下”確定的重要數(shù)據(jù)具體目錄納入單位安全制度依據(jù)，對(duì)列入目錄的數(shù)據(jù)進(jìn)行重點(diǎn)保護(hù)。
發(fā)現(xiàn)數(shù)據(jù)安全缺陷、漏洞等風(fēng)險(xiǎn)應(yīng)當(dāng)采取補(bǔ)救措施與報(bào)告、法定條件下數(shù)據(jù)風(fēng)險(xiǎn)評(píng)估等內(nèi)容都是高校結(jié)合自身情況，將其細(xì)化如數(shù)據(jù)安全管理制度的應(yīng)有內(nèi)容。
第三，采取安全技術(shù)措施，確立合理的操作規(guī)程。
完善的管理制度需要合理的操作流程才能發(fā)揮實(shí)效。高?？刹捎谩皺?quán)限分層+技術(shù)控制”的雙重方式建立數(shù)據(jù)操作流程，即確立不同主體對(duì)數(shù)據(jù)訪問與處理的權(quán)限分層，并在操作規(guī)程中嵌入數(shù)據(jù)審計(jì)，隱私加密、數(shù)據(jù)脫敏等網(wǎng)絡(luò)安全技術(shù)，增補(bǔ)各個(gè)安全節(jié)點(diǎn)，完善數(shù)據(jù)訪問與處理的操作流程，強(qiáng)化網(wǎng)絡(luò)數(shù)據(jù)安全保障。
第四，加強(qiáng)宣傳教育，培養(yǎng)數(shù)據(jù)安全思維。
在高校師生中開展“網(wǎng)絡(luò)安全日”和“數(shù)據(jù)安全宣傳周”等宣傳活動(dòng)，尤其關(guān)注提高大學(xué)生個(gè)人信息保護(hù)意識(shí)，積極防范網(wǎng)絡(luò)詐騙。
有條件的高校還可以開設(shè)《網(wǎng)絡(luò)安全法律治理》《數(shù)據(jù)安全法律合規(guī)》等前沿課程與講座，甚至聘請(qǐng)專業(yè)的網(wǎng)絡(luò)安全法律團(tuán)隊(duì)為高校數(shù)據(jù)安全具體“合規(guī)”，提高高校數(shù)據(jù)安全保護(hù)意識(shí)和水平，形成高校共同維護(hù)數(shù)據(jù)安全和促進(jìn)發(fā)展的良好環(huán)境。
作者：夏燕（重慶郵電大學(xué)網(wǎng)絡(luò)空間安全與信息法學(xué)院、重慶郵電大學(xué)網(wǎng)絡(luò)法治研究中心）
聯(lián)系客服
