基于数据采集的安全风险分析-基于数据采集的安全风险分析评估

编辑整理：整理来源：爱奇艺，浏览量：50，时间：2022-08-06 17:35:01

基于数据采集的安全风险分析，物联网数据处理的安全风险和应对策略，数据安全案例分析

前沿：基于数据采集的安全风险分析

A

---

【专家视角】

智能时代，大数据技术在教育领域的应用不断深入，应用场景与范围加速扩展，为教育决策提供了科学依据，为教学改革创新、教育高质量发展提供了强大动力，但教育数据采集、存储、分析、共享等环节面临的隐私安全等风险也不容忽视，教育数据安全事件时有发生。随着教育信息化建设不断推进，教育大数据作为教育战略资源的价值持续提升，保障教育数据安全成为办好人民满意的教育的必答题。

教育数据风险不容小觑

教育数据涉及个人、学校、课程、资源等诸多方面，涉及规模庞大的受教育者与教育者群体，一旦发生风险事件，不仅影响学生、家长、教师、学校等主体，还可能外溢到其他领域，衍生网络欺诈、电信诈骗等，波及更多人群和领域，造成经济等各方面损失。教育数据风险，主要表现为三种形式。

第一，侵权风险，包括数据隐私权被侵犯和数据资产所有权问题。在教育数据采集过程中，不当扩大范围、采集敏感数据等侵犯个人隐私的情况时有发生。比如2021年10月，一小学推出一张学生情况统计表，按照11种类别对学生家庭情况进行统计，包括“领导子女”“企业老板子女”等，造成较大负面影响。而教育数据规模迅猛增长、流动速度超快，数据所有权归属不明晰等，也易引发争议。

第二，监管风险，包括教育数据的泄露和滥用等。教育行业信息化程度不断提高，学生个人信息、成绩、学籍学历、学位等大量敏感信息集中存储在数据库系统中，面临被篡改、窃取、盗用、泄露等威胁，给学生、教师、学校带来很大困扰。近年来，勒索软件攻击成为各国教育数据安全的一大威胁，2021年，仅英国就有18家教育行业机构受到勒索软件攻击影响。

第三，算法风险，包括规则算法束缚自由选择、数据预测剥夺自主决策等。一些教育数据管理者以科技手段为借口“暗箱操作”，利用算法歧视用户，并对用户实施不当干涉。比如，某些学校利用算法分派教师工作，但其实可能已经超出教师的负荷；有学校让学业成绩不佳的学生转专业，剥夺了学生自我决策的机会；一些教育类平台依托算法，向学习者推送网络游戏、低俗小说、娱乐直播等与学习无关的内容。

给予数据安全四维保障

在智能时代，规范教育数据所涉各项流程，提供强有力的安全保障，让数据资源真正成为教育科学决策、创新发展的利器，是教育治理体系和治理能力现代化的应有之义。

教育数据的安全保障，可以从四个层面着手。

首先，完善法律法规。国家应完善教育法等法律中关于教育数据安全保护的部分，明确禁止出现侵权、隐私泄露、数据滥用等现象。教育部等部门应依托数据安全法等法律，制定规章制度，厘清教育数据管理的边界，对教育数据的采集、分析、使用、共享、决策等实行有效规约；明确界定并维护教育数据生成者与提供者的数据权利，尊重其数据人格权与财产权；优先考量保护个人数据隐私，对教育用户数据设立财产权，以教育数据资产增值为优先标准，赋予数据收集实体以产权。省、市教育行政部门，应根据本地教育发展、大数据应用等实际情况，制定具有针对性的教育数据安全保障实施办法，强化对学校、校外培训机构等的监管，并给予技术、培训等支持。

其次，强化风险评估。教育部应联合相关部门，建立教育数据风险评估体系，根据不同风险的影响面、破坏性和可能造成的损失，分类控制、分类治理。建立基于教育数据风险评估的隐私防护机制，构建敏感数据安全存储与传输机制。对师生个人身份信息、学生行为偏好、学籍学历管理等敏感数据的安全传输，应通过加强密码等级、多级用户认证系统、加密电子邮件等协同管理，相关网站采用数字证书，建立信息安全防火墙，保护隐私信息、敏感数据不被泄露、窃取。

再次，构建监管体系。构建国家、省、市、校四级监管体系，形成多方联动、多层治理机制，优化教育数据风险协同监管，充分利用智能技术，对教育数据风险进行识别、定性，全面分析潜藏危害，排查、预警、化解教育数据风险。国家层级，可由教育部、中央网信办、市场监管总局等建立部际联席或协调机制，由教育部牵头，其他部门根据自身权责，承担网络安全监管、市场主体合规审查、打击违法行为等工作，特别是针对全国性的大平台教育数据侵权或安全漏洞进行立案调查。省、市两级可参照国家层级，组建区域内的教育数据监管小组，明确划分并规范教育数据监管权限、责任和义务。学校应按照教育数据监管要求，与教育、网信等部门合作，抽调技术骨干力量，建立数据安全保护机制和校本化数据监管团队，明确管理权责，实现快速响应、快速应对。

最后，规范伦理价值。若忽视教育的伦理和价值，基于智能算法的教育数据服务可能会将教育异化，使其被数据与算法操纵。因此，有必要强调传统教育秉持的人文立场，在对客观真理的追寻中回归教育的人文价值，打破数据霸权。要基于“以人为本”，判定伦理困境与盲区，制定与优化伦理风险化解方案，摒弃数据“暗箱操作”，促进算法公开透明。要建立数据安全审查与问责制度，保障教育数据的合法性、安全性、完整性和可用性，保障师生的教育自主性与教育隐私数据的安全性，对违法违规行为实施惩戒。构建教育数据伦理风险调控机制，促进教育数据在教育管理、教研活动、学生发展等方面合规应用，彰显教育数据应用的人文关怀。

（作者：赵伟，系交通大学马克思主义学院副教授）

---

补充拓展：基于数据采集的安全风险分析

信息与网络安全需要大数据安全分析
毫无疑问，我们已经进入了大数据（Big Data）时代。人类的生产生活每天都在产生大量的数据，并且产生的速度越来越快。根据IDC和EMC的联合调查，到2020年全球数据总量将达到40ZB。2013年，Gartner将大数据列为未来信息架构发展的10大趋势之首。Gartner预测将在2011年到2016年间累计创造2320亿美元的产值。
　　大数据早就存在，只是一直没有足够的基础实施和技术来对这些数据进行有价值的挖据。随着存储成本的不断下降、以及分析技术的不断进步，尤其是云计算的出现，不少公司已经发现了大数据的巨大价值：它们能揭示其他手段所看不到的新变化趋势，包括需求、供给和顾客习惯等等。比如，银行可以以此对自己的客户有更深入的了解，提供更有个性的定制化服务；银行和保险公司可以发现诈骗和骗保；零售企业更精确探知顾客需求变化，为不同的细分客户群体提供更有针对性的选择；制药企业可以以此为依据开发新药，详细追踪药物疗效，并监测潜在的副作用；安全公司则可以识别更具隐蔽性的攻击、入侵和违规。
　　当前网络与信息安全领域，正在面临着多种挑战。一方面，企业和组织安全体系架构的日趋复杂，各种类型的安全数据越来越多，传统的分析能力明显力不从心；另一方面，新型威胁的兴起，内控与合规的深入，传统的分析方法存在诸多缺陷，越来越需要分析更多的安全信息、并且要更加快速的做出判定和响应。信息安全也面临大数据带来的挑战。　　安全数据的大数据化
　　安全数据的大数据化主要体现在以下三个方面：
　　1） 数据量越来越大：网络已经从千兆迈向了万兆，网络安全设备要分析的数据包数据量急剧上升。同时，随着NGFW的出现，安全网关要进行应用层协议的分析，分析的数据量更是大增。与此同时，随着安全防御的纵深化，安全监测的内容不断细化，除了传统的攻击监测，还出现了合规监测、应用监测、用户行为监测、性能检测、事务监测，等等，这些都意味着要监测和分析比以往更多的数据。此外，随着APT等新型威胁的兴起，全包捕获技术逐步应用，海量数据处理问题也日益凸显。
　　2） 速度越来越快：对于网络设备而言，包处理和转发的速度需要更快；对于安管平台、事件分析平台而言，数据源的事件发送速率（EPS，Event per Second，事件数每秒）越来越快。
　　3） 种类越来越多：除了数据包、日志、资产数据，安全要素信息还加入了漏洞信息、配置信息、身份与访问信息、用户行为信息、应用信息、业务信息、外部情报信息等。
　　安全数据的大数据化，自然引发人们思考如何将大数据技术应用于安全领域。
　　传统的安全分析面临挑战
　　安全数据的数量、速度、种类的迅速膨胀，不仅带来了海量异构数据的融合、存储和管理的问题，甚至动摇了传统的安全分析方法。
　　当前绝大多数安全分析工具和方法都是针对小数据量设计的，在面对大数据量时难以为继。新的攻击手段层出不穷，需要检测的数据越来越多，现有的分析技术不堪重负。面对天量的安全要素信息，我们如何才能更加迅捷地感知网络安全态势？
　　传统的分析方法大都采用基于规则和特征的分析引擎，必须要有规则库和特征库才能工作，而规则和特征只能对已知的攻击和威胁进行描述，无法识别未知的攻击，或者是尚未被描述成规则的攻击和威胁。面对未知攻击和复杂攻击如APT等，需要更有效的分析方法和技术！如何做到知所未知？
　　面对天量安全数据，传统的集中化安全分析平台（譬如SIEM，安全管理平台等）也遭遇到了诸多瓶颈，主要表现在以下几方面：
　　——高速海量安全数据的采集和存储变得困难
　　——异构数据的存储和管理变得困难
　　——威胁数据源较小，导致系统判断能力有限
　　——对历史数据的检测能力很弱
　　——安全事件的调查效率太低
　　——安全系统相互独立，无有效手段协同工作
　　——分析的方法较少
　　——对于趋势性的东西预测较难，对早期预警的能力比较差
　　——系统交互能力有限，数据展示效果有待提高
　　从上世纪80年代入侵检测技术的诞生和确立以来，安全分析已经发展了很长的时间。当前，信息与网络安全分析存在两个基本的发展趋势：情境感知的安全分析与智能化的安全分析。
　　Gartner在2010年的一份报告中指出，“未来的信息安全将是情境感知的和自适应的”。所谓情境感知，就是利用更多的相关性要素信息的综合研判来提升安全决策的能力，包括资产感知、位置感知、拓扑感知、应用感知、身份感知、内容感知，等等。情境感知极大地扩展了安全分析的纵深，纳入了更多的安全要素信息，拉升了分析的空间和时间范围，也必然对传统的安全分析方法提出了挑战。
　　同样是在2010年，Gartner的另一份报告指出，要“为企业安全智能的兴起做好准备”。在这份报告中，Gartner提出了安全智能的概念，强调必须将过去分散的安全信息进行集成与关联，独立的分析方法和工具进行整合形成交互，从而实现智能化的安全分析与决策。而信息的集成、技术的整合必然导致安全要素信息的迅猛增长，智能的分析必然要求将机器学习、数据挖据等技术应用于安全分析，并且要更快更好地的进行安全决策。
　　信息与网络安全需要大数据安全分析
　　安全数据的大数据化，以及传统安全分析所面临的挑战和发展趋势，都指向了同一个技术——大数据分析。正如Gartner在2011年明确指出，“信息安全正在变成一个大数据分析问题”。
　　于是，业界出现了将大数据分析技术应用于信息安全的技术——大数据安全分析（Big Data Security Analysis，简称BDSA），也有人称做针对安全的大数据分析（Big Data Analysis for Security）。
　　借助大数据安全分析技术，能够更好地解决天量安全要素信息的采集、存储的问题，借助基于大数据分析技术的机器学习和数据挖据算法，能够更加智能地洞悉信息与网络安全的态势，更加主动、弹性地去应对新型复杂的威胁和未知多变的风险。

行业热门话题：

【物联网数据处理的安全风险和应对策略】【风险信息采集】【数据采集阶段的安全要求】【数据安全的案例】【数据安全风险排查工作报告】【基于数据采集的安全风险分析评估】【数据采集安全管理策略有】【数据管理安全风险及防范措施】【基于数据采集的安全风险分析工作】【基于数据采集的安全风险分析研究】