[ 更换 ]
热门城市
北京上海广州深圳成都杭州南京武汉天津西安重庆青岛沈阳长沙大连厦门无锡福州济南宁波昆明苏州郑州长春合肥南昌哈尔滨常州烟台南宁温州石家庄太原珠海南通扬州贵阳东莞徐州大庆佛山威海洛阳淮安呼和浩特镇江潍坊桂林中山临沂咸阳包头嘉兴惠州泉州三亚赣州九江金华泰安榆林许昌新乡舟山慈溪南阳聊城海口东营淄博漳州保定沧州丹东宜兴绍兴唐山湖州揭阳江阴营口衡阳郴州鄂尔多斯泰州义乌汕头宜昌大同鞍山湘潭盐城马鞍山襄樊长治日照常熟安庆吉林乌鲁木齐兰州秦皇岛肇庆西宁介休滨州台州廊坊邢台株洲德阳绵阳双流平顶山龙岩银川芜湖晋江连云港张家港锦州岳阳长沙县济宁邯郸江门齐齐哈尔昆山柳州绍兴县运城齐河衢州太仓张家口湛江眉山常德盘锦枣庄资阳宜宾赤峰余姚清远蚌埠宁德德州宝鸡牡丹江阜阳莆田诸暨黄石吉安延安拉萨海宁通辽黄山长乐安阳增城桐乡上虞辽阳遵义韶关泸州南平滁州温岭南充景德镇抚顺乌海荆门阳江曲靖邵阳宿迁荆州焦作丹阳丽水延吉茂名梅州渭南葫芦岛娄底滕州上饶富阳内江三明淮南孝感溧阳乐山临汾攀枝花阳泉长葛汉中四平六盘水安顺新余晋城自贡三门峡本溪防城港铁岭随州广安广元天水遂宁萍乡西双版纳绥化鹤壁湘西松原阜新酒泉张家界黔西南保山昭通河池来宾玉溪梧州鹰潭钦州云浮佳木斯克拉玛依呼伦贝尔贺州通化朝阳百色毕节贵港丽江安康德宏朔州伊犁文山楚雄嘉峪关凉山雅安西藏四川广东河北山西辽宁黑龙江江苏浙江安徽福建江西山东河南湖北湖南海南贵州云南陕西甘肃青海台湾内蒙古广西宁夏香港澳门
培训资讯网 - 为兴趣爱好者提供专业的职业培训资讯知识

多措并举打造高效能网络安全队伍

网络 网络安全 队伍

在当下网络和信息技术高度普及和快速迭代的背景下,网络和信息安全关乎国家安全和社会稳定,关乎网络空间安全秩序的构建,是高校各项事业顺利开展不可或缺的重要保障,也是学校网络信息技术相关的管理和技术工作的主要内容之一。

本文在简要梳理高校网络安全工作内容的基础上,从高质量、高效率开展网络安全工作角度出发,提出对高校网络安全工作人员的多维度需求和对人员队伍组织与建设的多方面建议,最后结合学校实际介绍东北大学网络安全人员队伍建设的经验和成效。

工作内容梳理

高校作为校园网络和信息资产的所有者、各类网络服务和信息应用的提供者,根据国家法律法规和行业管理要求,应承担网络安全责任和开展网络安全工作。

高校网络安全工作,通常是高校的网络(信息)安全保障工作,可以概括为:使学校校园网络基础设施、信息系统(网站)、数据等信息资产的机密性、完整性和可用性得到保持和不被破坏所开展的管理和技术工作。这些信息资产一般由学校建设、运行、维护和管理,用于支撑学校教学、科研、管理、服务等业务。

从制度、人员和过程角度,可以对高校网络安全的重点工作进行梳理,如表1所示。

多措并举打造高效能网络安全队伍

表1 高校网络安全的重点工作列表

人员需求

高校网络安全的管理和技术工作,都需要有人员来具体承担,人员的认知能力、综合素质和专注程度都影响着网络安全工作开展的成效。

显而易见,建设一支高效能的网络安全管理和技术人员队伍,是高校有效开展网络安全工作的实际需求。从以下三个维度提出对高校网络安全工作的人员需求:

认知能力

网络安全领域在信息科学大范畴中是处于高维度和具有多学科综合属性的,也是需求涌现、技术发展和政策变化较活跃的信息技术行业,如对信息化建设人员常说的“永远在路上”,对网络安全从业人员来说更是如此,要有应对各种新趋势、学习新知识、探索新领域的思想意愿和学习能力。

综合素质

网络安全工作既要与网络、系统、数据打交道,也需要与学校内外的人打交道,因此对人员素质的要求也是综合性的,既要具备一定的网络安全相关的理论和实践能力,也需要具有较好的与人沟通、文字表达和分析总结能力。

专注程度

即投入网络安全工作的时间和精力水平,显然是越高越好。因为保持工作高质量开展的综合素质,需要在日常投入足够的时间和精力,通过技术提升和资讯“滋养”才能获得。

由于网络安全相关人员主要来源于网络、开发、运维等高“负载”岗位,完全“切割”原有工作很困难;同时,网络安全工作也需要掌握学校网络与信息技术的实际状况,因此完全“切割”原有工作也不适合。

开展接地气的高效能网络安全工作,避免为了安全而安全,就对人员的时间和精力管理提出了更高的要求;部分入职即做网络安全工作的人员,也有必要主动去承担网络、开发、运维等领域的工作来补足综合素质的欠缺,避免空对空开展网络安全工作。

偏管理还是偏技术

高校的网络(信息)安全保障工作是保障类工作,是使用各种管理和技术手段来实现对信息资产的机密性、完整性和可用性的保障(保护),工作手段中有管理、工作目的中有服务,与管理类、服务类工作都有一定的差异,因此对于从事网络安全工作人员的要求也是管理能力和服务(技术)能力的双重要求,也就是岗位可以是有管理和技术区分,但是对于人员要求和实际工作开展中应该是管理和技术要求并重。

高校信息化建设工作和网络安全工作一样,都是需要管理和技术并重的,不应过分纠结于是“七分管理、三分技术”还是“三分管理、七分技术”。

虽然管理驱动的自上而下地开展信息化建设和网络安全工作的效率和现实可行度高,但是技术保障也是网信工作可持续高质量发展、避免“一蹴而就”所不可或缺的。

多措并举打造高效能网络安全队伍

对于现有高校网信工作通常几十人的人员规模,希望参照IT公司的业务和层级划分出需求、开发、测试、安全、运维等各类管理和技术人员岗位并不现实,人员综合素质的参差和内部沟通成本的陡升都会加速学校这类事业单位中人员意志和心气的“磨损”速度。因此,对于高校网络安全人员队伍建设应立足现实,力求队伍精干、能力全面、沟通顺畅、思想开放、心志进取。

人员队伍组织与建设

从高质量、高效率开展网络安全工作的角度出发,结合高校网信工作实际,对高校网络安全人员队伍组织与建设提出如下建议:

专业化

高校要明确网络安全职能处室和技术支撑单位,明确具体的处室和人员来对接网络安全相关各项工作落实,也要对网络安全管理和技术人员开展常态化培训和支持技术人员拥有专业资质。

参考信息行业企业网络安全实施经验,设置独立的网络安全科室和专职的网络安全管理和技术岗位,是可靠有效开展网络安全工作的需要,类似于企业的质检部门,与网络、开发、运维、统筹等平行设置网络安全相关科室,是屏蔽经验、关注、利益、认知等对网络安全管控影响的有效措施。

团队化

网络安全工作涉及网络、开发、运维、服务等网络和信息技术工作的诸多环节,由沟通顺畅的各方面专业人员组成固定的网络安全应急响应和事件处置团队是开展网络安全工作的基本需求,网络安全日常管理、信息系统安全建设、网络安全设备运维、用户网络安全支持等都不是仅靠专职的网络安全管理和技术人员能独立完成的,需要学校层面、网络安全职能处室和技术支撑单位有意识的组建和维护网络安全团队,有网络安全专业基础和学生社团基础的高校也可以组建支持学校网络安全工作开展的学生团队。

层次化

网络安全管理和技术队伍应该是包括与网络安全管理和技术工作相关的管理人员,不仅是职能部处和技术支撑单位的网络安全设备运维人员、安全检测与应急响应人员、网络、开发、运维等相关人员,还可以结合学校网络安全管理架构包括学校各内设机构的网信专员(工作联系人)和各信息系统的系统管理员,结合具体岗位责任和工作内容,在网络安全意识培训和教育基础上有侧重的加强网络安全的管理和技术知识教育和信息分享。

社会化

网络安全工作涉及较多专业领域,对专业人员素质和技能标准都有要求,如开展风险评估、等级保护测评等,需要有专业网络安全公司和技术团队的加入和合作。

同时,加强与教育行业内以及公安、电信、法律等行业的网络安全政策、制度、技术、经验等的交流与合作,也是有效开展网络安全工作的良好支持。本着开放与合作的态度,是建设一支不与技术发展脱节、能够兼收各行业经验的高质量网络安全团队的基本要求。

多措并举打造高效能网络安全队伍

高校在网络安全管理和技术队伍建设过程中,可以重点关注以下领域:

网络安全交流

目前,网络安全行业发展火爆、从业意愿专业人员众多,技术和经验获取和交流的渠道比较丰富。

  1. 网络安全领域国家队、安全领域领先公司、著名IT大厂的安全响应中心、安全设备主要厂商等都有自己的信息发布渠道(公众号、网站等),一些安全专业团队和人员也开设了很多更新及时的公众号,都可以获取网络安全行业层级的安全资讯和技术经验。
  2. 例如,国家互联网应急中心、国家信息安全漏洞共享平台等都及时发布安全威胁和漏洞信息;安天、盛邦WebRAY、腾讯安全、SecWiki、山石网科等企业每天或每周发布行业安全简讯;FreeBuf、安全圈、安全内参等各类网络安全技术与咨询相关的自媒体和网站也会发布大量安全类资讯和信息;参加网络安全教育培训类公司认证培训,可以获取到与各行业网络安全从业人员交流的微信群、QQ群等渠道。
  3. 教育行业网络安全技术和经验交流,目前主要一方面是通过教育部教育管理信息中心主办的公众号“教育网络信息安全”,每周推送一周安全动态和各类安全资讯;另一方面是高等教育学会信息化分会原有的信息安全工作组组建的高校网络信息安全工作信息交流的微信群、QQ群等。

网络安全资质

目前教育行业认可的网络安全资质主要包括:

  1. 中国网络安全审查技术与认证中心:CISAW(信息安全保障人员认证)、CSERE(网络安全应急响应工程师)、ISA(信息系统审计师)。
  2. 中国信息安全测评中心:CISP(注册信息安全专业人员,分为CISE、CISO、CISP-PTE、CISP-DSG等)、CISM(注册信息安全员)。
  3. 公安部信息安全等级保护评估中心:信息安全等级测评师(高级、中级、初级)。
  4. 教育部教育管理信息中心:ECSP(教育系统网络安全保障专业人员,目前分为ECSP-T专业技术人员、ECSP-M专业管理人员、ECSP-G基础教育安全员)。
  5. ISC2:CISSP(信息系统安全专业认证)、CCSP(云安全专家认证)。
  6. ISACA:CISA(国际信息系统审计师)。
  7. 公安部三所:信息安全网络认证。
  8. 公安部一所/三所、国家信息技术安全研究中心相关认证。

CISAW、CISP、ECSP、CISSP、CompTIA的Security+等都是面向网络安全相关各领域的,其中ECSP是面向教育行业的;ISA、CISA是面向信息系统审计领域的;CSERE、CISP-PTE、CISP-DSG是面向应急响应领域的。

此外,网络安全行业里还有Kali官方的OSCP(渗透测试认证)、国际电子商务顾问委员会(EC-Council)的CEH(“道德黑客”)是面向渗透测试领域的。

网络安全攻防

网络安全的本质在对抗,对抗的本质在攻防两端能力较量。网络攻防的技术和能力是我们从事网络安全工作的人员需要关注和应该主动学习的领域,懂攻防才能做好安全管理和技术工作,懂攻防才能把时间和精力投到修补学校明显安全短板上,懂攻防才能监督和评价安全服务厂商提供的风险评估和等保测评服务,懂攻防才能感知网络安全技术发展和关键领域。

与网络安全专业领域的学生沟通交流是一个提高网络安全攻防技能的渠道,实际参与网络安全众测(漏洞发现与提交)、参加网络安全各类线上线下比赛、有机会参与攻防演练的攻击队伍等更是切实提升网络安全攻防能力的好途径。相关众测环境和CTF比赛环境包括教育行业漏洞报告平台、攻防世界、爱春秋等。

学生团队建设

高校网络安全从业人员,多数都希望能组织和保有一支网络安全学生团队,来协助开展学校网络安全漏洞发现、修补、应急响应处置等工作。

但是由于相比系统开发和服务运维,网络安全领域对技术和经验的要求都要高,而网络安全行业对高水平人才的需求一直旺盛,具备高素质的在校学生很多都可以通过参加CTF比赛和从事渗透测试、攻防演练等兼职来获取不菲收入,同时,要搭建可持续发展的学生队伍对高校网信部门指导人员的技术要求和精力投入也要求很高,因此多数高校很难组建出一支契合学校实际网络安全保障需求的学生团队。组建有助学校网络安全工作开展的高质量学生团队建设,可以着眼以下几个方面:

  1. 学校应该有网络安全专业基础,可以是本科的网络安全专业,也可以是硕士的网络安全方向,如果有网络空间安全学院就更有助于获取高质量的学生来源。
  2. 学生团队应该有灵魂人物,应该能实现“自组织”,学校网信部门指导人员应该尊重学生、与学生们“打成一片”,而不是从老师的视角和站位去与学生们沟通,要有意愿、有能力参与到学生团队的组织建设和能力提升。
  3. 在可能的情况下,学校各有关职能部门应该为学生团队提供便利和支持,特别是一些在学生学业成长过程中“看得见”、“摸得着”的支持,而且要做到公开透明。
  4. 学生团队要有门槛,要具备基本的网络安全素养,而不是对有意愿加入的所有学生开放。可以通过校内CTF比赛、在漏洞响应平台提交漏洞积分达标、主动提交学校重要漏洞信息等方式进行选拔,还可以先选择学生团队队长,然后再具体商讨入队标准。一定要注意引导和支持学生团队的可持续发展,注意团队的延续性,避免年级断档和内部割裂。
  5. 应该结合学生团队能力,在可控状况下逐步参与学校网络安全工作。可以先期支持网络安全宣传教育和意识培训、校内信息系统漏洞发现等日常性功能,再逐步向重要信息系统的规范化漏洞测试、参加各级别网络安全攻防演练、网络安全事件应急响应和整改等方面扩展。

多措并举建设高效能人员队伍

东北大学作为CERNET东北地区节点、CERNET2沈阳节点、ChinaGrid节点依托高校,较早就拥有一支高综合素质和强主动精神的网络和信息服务建设与运维人员队伍。

随着学校网络和信息技术工作向信息化建设和网络安全保障领域倾斜,历经网络中心、信息技术研究院到信息化建设与网络安全办公室(以下简称信网办)的部门和职能转换,长期通过专业化、团队化、层次化、社会化等多举措建设了一支高效能的网络安全人员队伍,积累了较实际的组织经验,取得了较好的建设成果。

  1. 信网办下设独立的科级建制的网络安全部,与网络运行、系统开发、项目统筹等部门协作,负责网络安全管理、安全技术审计、安全保密支撑等工作。
  2. 学校跨网络运行、系统开发、服务运维等领域的高素质、易协作的漏洞处置和应急响应团队,在校园网络环境、信息基础设施、信息服务运行、信息应用建设、数据安全管控等领域充分共享信息和统一目标,保障学校校园网络和各项信息应用的高可靠、高质量运行。
  3. 组建学校各内设机构的三级网络安全人员体系,通过各单位网络安全工作联系人常态化开展网络安全动态分享和信息技术安全培训,并面向师生开展滚动式和层次化的网络安全意识教育和工作。
  4. 持续采购具备服务能力的第三方网络安全服务厂商,提供定期的安全风险评估、等级保护测评、重要时期保障、漏洞情报分享等服务,并积极与教育行业内外交流和分享网络安全资讯。
  5. 充分发挥人员开发和运维能力,自主建设校园网络IPv4/IPv6威胁监测与处置体系、漏洞信息监测与归档通报体系、线上安全意识宣传教育体系。
  6. 鼓励和支持网络安全工作相关人员参加各类技术培训和获取各类网络安全资质,包括ECSP、CISP、CISSP、CompTIA Security+等。
  7. 积极组织人员与校内学生团队合作,主动参加各级各类网络安全竞赛。
  8. 组织参加各级各类网络安全攻防演练在真实环境中锤炼人员的渗透测试和网络攻防能力。

高校网络安全管理和技术队伍建设是一项长期艰巨的工作,立足学校实际情况很重要,好高骛远和简单借鉴先进经验都会影响队伍成员的主动意识和精力投入,鼓励和支持现有具有网络、开发、运维等实际经验的人员投入或协助网络安全工作开展是短期内可行举措。

作者:王宇、王卫东、温占考(东北大学信息化建设与网络安全办公室)

责编:高明

相关内容

【联线智慧法院】内蒙古自治区高级人民法院举办第十四期政法大数据平台与规范量刑智能辅助系统培训

为全面贯彻落实2023年全区政法工作重点任务,进一步提升全区法院应用政法大数据智能化应用平台的能力和水平,10月20日,自治区高院针对全区政法大数据平台及规范量刑智能辅助系统的使用开展全面系统的实操培训。自治区高院党组副书记、副院长王旭军,···

贵州省生态环境厅电子政务中心举办2023年全省生态环境网络安全培训班

10月12日至13日,贵州省生态环境厅电子政务中心举办了2023年全省生态环境网络安全培训班,厅直属各单位和各市(州)生态环境局信息技术负责人现场参训,各区(县)生态环境分局通过视频会议参训。本次培训班强调,贵州省生态环境厅电子政务中心作为···

提升网络建设水平 海南举办2023年电子政务网络安全专题培训

新海南客户端、南海网、南国都市报5月19日消息(记者 姚皓)5月19日,海南2023年电子政务网络安全专题培训在澄迈举行,活动旨在加快推进海南省网络安全建设,加强全省党政机关单位网络安全防护水平,为海南自贸港、数字政府建设创造安全、有序、稳···

格尔木市气象局举办2023年网络安全培训班

10月27日,格尔木市气象局举办网络安全知识培训班,进一步加强网络安全宣传教育,营造安全、健康、文明、和谐的网络环境。格尔木市气象局全体干部职工通过线上或线下方式参加了此次培训。培训围绕网络安全、数据安全等方面展开,解读了当前国内外网络安全···

2023年黑龙江省网络安全宣贯培训会在哈尔滨召开

为贯彻落实中央网信办、公安部相关工作要求,推动党委(党组)网络安全工作责任制和关键信息基础设施安全保护制度深入落实,7月18日,由省委网信办、省公安厅联合举办的2023年黑龙江省网络安全专题培训暨《关键信息基础设施安全保护要求》国家标准宣贯···

京湾区数学建模与人工智能培训在澳门举办

8月25至26日,国家人工智能推广暨京湾区数学建模与人工智能培训在澳门培正中学及康桥教育中心举行。图为部分出席者25日在澳门培正中学合影。 钟欣 摄中新网澳门8月26日电 国家人工智能推广暨京湾区数学建模与人工智能培训25日至26日在澳门培···

淘宝大学参与香港KOL培训 赋能香港青年就业创业

中新社香港3月16日电 (记者 史冰筠)香港青年电商促进会16日宣布,将同阿里巴巴旗下培训平台淘宝大学联合举办淘宝主播培训班,聘请淘宝大学专业的直播导师进行授课,希望赋能学员通过电商拓宽就业、创业渠道,带动香港电商发展。香港青年电商促进会在···

调查:近半香港企业开展新科技培训 涵盖大数据等

中新网6月25日电 据香港《文汇报》报道,香港的一项调查发现,46%受访企业于过去2年间,已开展和新科技有关的雇员培训,内容涵盖大数据、云端技术、物联网及人工智能等。香港人力资源管理学会公布香港培训调查报告。图片来源:香港《文汇报》/赵梦萦···

港媒:近半香港企业开展新科技培训 涵盖大数据等

据香港《文汇报》报道,香港的一项调查发现,46%受访企业于过去2年间,已开展和新科技有关的雇员培训,内容涵盖大数据、云端技术、物联网及人工智能等。香港人力资源管理学会公布香港培训调查报告。图片来源:香港《文汇报》/赵梦萦 摄香港人力资源管理···

自治区司法厅举办全区司法行政系统网络安全和信息化建设工作能力提升培训班

为深入学习贯彻党的二十大精神和习近平新时代中国特色社会主义思想,贯彻落实习近平总书记对网络安全和信息化工作的重要指示和全国网络安全和信息化工作会议精神,推动全区司法行政系统网络安全和信息化建设工作高质量发展,9月19日—20日自治区司法厅组···

2021年甘肃省网络安全管理员培训班在兰开班

中国甘肃网12月27日讯(本网记者 李红军 任磊)今天上午,由甘肃省委网信办主办、兰州大学国家大学科技园承办的2021年甘肃省网络安全管理员培训班在兰州开班。省委网信办副主任刘宗礼出席开班仪式并作动员讲话,兰州大学网信办主任、信息科学与工程···

数据库使用方法系列培训活动之二|台湾月旦知识库线上讲座

会议主题:西北政法大学【月旦知识库】教育训练会议时间:2022/01/18 15:30-17:30 (GMT+08:00) 中国标准时间 - 北京点击链接入会,或添加至会议列表:https://meeting.tencent.com/dm/···

2023年1 X大数据平台运维证书省级师资培训在河南开放大学举办

7月13日上午,2023年1+X“大数据平台运维证书”省级师资培训在河南开放大学(郑州信息科技职业学院)开班,此次培训由河南省教育厅主办,郑州信息科技职业学院承办。河南开放大学(郑州信息科技职业学院)副校长李小明、培训学院院长张颖、信息工程···

【国家网络安全宣传周】福安市开展网络安全培训

为进一步提升网络安全管理工作水平,增强广大干部网络安全风险防范能力,9月12日下午,福安市开展网络安全培训,福安市各乡镇(街道)、市直单位网络安全业务人员90余人参加培训。本次培训邀请了奇安信福建分区网络安全技术人员郑泽辉进行授课。现场培训···

花溪区开展教育系统网络安全培训

7月4日,由花溪区委网信办指导,区教育局主办的花溪教育系统数据安全培训在溪南高中举行,全区公民办中小学、幼儿园、中职学校相关人员300余人参训。培训邀请网络工程师对数据安全文件进行解读,并通过真实案例介绍了数据安全的问题及处置方法以及数据安···

2023年广西招商引资大数据平台(二期)专题培训会在邕召开

8月24日,2023年广西招商引资大数据平台(二期)专题培训会在南宁召开。培训会邀请大数据招商专家对平台新增功能及使用操作进行讲解,并介绍近年招商工作趋势和产业发展特点,分享大数据招商工作经验和典型案例。全区各市、县区、园区招商业务骨干和自···

云南粉笔:依托大数据智能分析打造公考培训新标准

2023年9月2日,云南粉笔在昆明举行了盛大的省考产品发布会,吸引了来自全国各地的教育专家、媒体代表以及公考学子齐聚一堂。本次发布会上,粉笔推出最新研发的省考培训产品,将线上与线下课堂相结合,依托大数据智能分析,打造公考培训新标准。 云南粉···

2023年度室内设计1 X证书师资及考评员培训(黑龙江站)成功举办

2023年8月21日-25日,为提升试点院校“室内设计职业技能等级证书”教育培训质量,积极推动2023年度证书试点工作顺利开展,由中国室内装饰协会主办、哈尔滨职业技术学院承办、黑龙江省室内装饰协会协办的“2023年度全国室内设计职业技能等级···

昆明经开区开展2023年春漫社区老年人智能手机使用暨网络安全培训活动

来源:【昆明日报-掌上春城】掌上春城讯 “五社联动送服务,点亮民生微幸福”。8月17日,昆明经济技术开发区青年志愿者协会党支部在春漫社区组织开展“融入智能e时代 健康银龄新生活”老年人智能手机使用暨网络安全培训活动。本次培训活动围绕老年人日···

2023年全省“十四五”全民健康信息化与网络安全培训班举办

5月11日—12日,2023年全省“十四五”全民健康信息化与网络安全培训班在张家口市举办。省卫生健康委二级巡视员范素文出席会议并讲话。培训班总结了2022年网络安全和信息化工作,安排了2023年重点工作。培训班邀请国家和省内有关专家对卫生健···