大学信息安全工作会议纪要与总结

大学信息安全工作会议纪要与总结一、会议概况

（一）会议目的

本次大学信息安全工作会议旨在提升校园信息安全防护能力，明确各部门职责分工，落实年度信息安全工作计划，确保校园网络环境安全稳定。

（二）参会人员

信息中心全体成员、各学院网络管理员、实验室负责人、校安全保卫处代表等共30人出席。

（三）会议时间与地点

时间：2023年10月26日上午9:00-11:30

地点：学校行政楼第三会议室

二、会议主要内容

（一）信息安全工作汇报

1.当前安全状况分析

-网络攻击类型：钓鱼邮件、恶意软件、DDoS攻击等，其中钓鱼邮件占比45%。

-安全事件统计：2023年共发生安全事件12起，较去年同期下降20%。

-主要风险点：部分实验室设备防护不足、无线网络存在漏洞。

2.部门工作总结

-信息中心：完成系统漏洞修复50项，开展安全培训3场。

-学院网络管理员：落实终端安全检查，加强实验室访问控制。

-安全保卫处：配合完成应急演练2次，处理安全投诉5起。

（二）重点工作部署

1.漏洞管理

-建立漏洞扫描常态化机制，每月对所有系统进行扫描。

-优先修复高危漏洞，要求72小时内完成补丁更新。

-示例数据：2023年需修复高危漏洞15项，中危漏洞30项。

2.安全意识培训

-面向全体师生开展年度安全培训，重点讲解密码管理、数据备份等。

-要求各学院每月至少组织1次专题讲座，并提交培训记录。

3.应急响应优化

-更新《信息安全应急预案》，明确事件分级标准。

-组建校级应急小组，每季度开展一次模拟演练。

（三）技术方案讨论

1.终端安全防护

-统一部署防病毒软件，要求覆盖率达100%。

-实施多因素认证，重点部门强制启用。

2.数据备份策略

-关键数据每日备份，重要数据每周异地存储。

-定期恢复测试，确保备份数据可用性。

三、会议总结

（一）关键决议

1.各部门需在11月30日前完成年度安全计划自查，提交书面报告。

2.信息中心牵头制定《校园网络安全评估标准》，2024年1月1日起实施。

（二）后续行动

1.信息中心：采购新的漏洞扫描工具，提升检测效率。

2.各学院：更新实验室安全操作手册，并组织考核。

3.安全保卫处：联合信息中心开展全员安全知识竞赛。

（三）备注事项

-会议确定2024年春季将引入“零信任”安全架构试点，具体方案另行通知。

四、附件

1.《2023年信息安全事件统计表》

2.《年度安全工作计划分解表》

（注：文档内容为示例，实际数据需根据学校具体情况调整。）

三、会议总结（续）

（一）关键决议（续）

1.各部门需在11月30日前完成年度安全计划自查，提交书面报告。

-自查内容清单：

(1)系统漏洞扫描及修复记录；

(2)安全设备运行状态报告（防火墙、入侵检测系统等）；

(3)员工安全意识培训参与率及考核结果；

(4)数据备份策略执行情况（备份频率、存储介质、恢复测试记录）；

(5)应急预案演练方案及参与人员名单。

-提交要求：

-使用统一模板（见附件1），电子版发送至信息安全工作组邮箱，同时提交纸质版至信息中心办公室。

-漏洞修复情况需附带厂商证明或内部测试报告。

2.信息中心牵头制定《校园网络安全评估标准》，2024年1月1日起实施。

-标准制定步骤：

(1)调研阶段（2023年12月）：

-收集国内外高校安全评估框架（如NIST、ISO/IEC27001），结合学校实际需求进行初步筛选。

-设计问卷，面向各部门收集意见，明确评估维度（技术、管理、物理环境）。

(2)草案编写（2024年1月）：

-成立评估小组，由信息中心、安全保卫处、各学院代表组成。

-草拟标准草案，包含评估指标、评分体系、整改要求。

(3)评审与修订（2024年2月）：

-组织内部评审会，邀请校外专家提供咨询意见。

-根据反馈修订草案，形成最终标准。

(4)发布与培训（2024年3月）：

-正式发布标准，并开展专项培训，确保各部门理解评估流程。

（二）后续行动（续）

1.信息中心：采购新的漏洞扫描工具，提升检测效率。

-采购流程：

(1)需求确认（2023年11月）：

-细化技术需求：支持主动扫描与被动监测、兼容现有系统（Windows、Linux、网络设备）、具备报告自动化功能。

-编制预算方案，报学校财务部门审批。

(2)供应商筛选（2023年12月）：

-通过公开招标，选择3家主流厂商进行产品演示。

-重点考察工具的扫描精度、误报率及售后服务能力。

(3)部署与测试（2024年1月）：

-在测试环境部署选型工具，对比实际扫描效果。

-与现有系统（如漏洞管理系统）集成联调。

(4)推广培训（2024年2月）：

-制定操作手册，组织管理员培训，确保正确使用工具。

2.各学院：更新实验室安全操作手册，并组织考核。

-手册更新要点：

(1)增加物理访问控制章节：明确门禁权限、外来人员登记流程。

(2)补充数据安全章节：规定实验数据存储格式、传输方式，禁止使用个人云盘存储涉密信息。

(3)完善应急处理章节：细化断网、设备故障等情况的处置步骤。

-考核方式：

-采用笔试+实操模式：笔试占比60%（安全知识），实操占比40%（模拟场景处置）。

-考核结果与年度评优挂钩，不合格者强制参加补训。

3.安全保卫处：联合信息中心开展全员安全知识竞赛。

-竞赛安排：

(1)赛程设计：

-初赛：线上答题（选择题、判断题），覆盖基础安全知识。

-决赛：现场比拼（必答题、抢答题、情景分析），设置安全情景案例。

(2)奖励机制：

-个人奖：一等奖1名（奖金1000元+荣誉证书），二等奖2名（奖金500元+证书）。

-团队奖：按部门排名评选“安全先进组织”。

(3)宣传动员：

-通过校园网、公众号发布竞赛通知，鼓励全员参与。

-设置趣味科普栏目，预热竞赛氛围。

（三）备注事项（续）

-会议确定2024年春季将引入“零信任”安全架构试点，具体方案另行通知。

-试点范围：

(1)选择1-2个高安全等级部门（如数据中心、科研部）作为试点。

(2)优先改造认证与授权流程，实现“从不信任、始终验证”原则。

-实施计划：

(1)前期准备（2024年3月-4月）：

-开展零信任架构技术培训，邀请行业专家授课。

-评估现有系统兼容性，制定改造方案。

(2)分阶段部署（2024年5月-7月）：

-启用多因素认证（MFA）与设备指纹识别。

-逐步替换传统访问控制策略。

(3)效果评估（2024年8月）：

-收集试点数据（如登录成功率、攻击拦截率），对比传统架构。

-形成总结报告，讨论全范围推广可行性。

四、附件（续）

1.《2023年信息安全事件统计表》

-示例数据：

|事件类型|数量|发生部门|处理时长|

|-||-|-|

|钓鱼邮件|5|全校|<1天|

|恶意软件|4|实验室|3天|

|DDoS攻击|3|网站|6小时|

2.《年度安全工作计划分解表》

-季度任务清单：

(1)Q4（2023）：

-完成80%系统漏洞修复；

-组织全员安全意识培训；

-制定《网络安全评估标准》草案。

(2)Q1（2024）：

-部署新的漏洞扫描工具；

-启动实验室安全手册修订；

-开展零信任架构试点调研。

(3)Q2（2024）：

-完成年度自查与整改；

-举办安全知识竞赛；

-评估试点效果，优化方案。

(4)Q3（2024）：

-推广零信任架构试点经验；

-开展应急演练；

-规划下年度工作重点。

（注：附件内容为示例框架，具体数据需根据学校实际工作调整。）

一、会议概况

（一）会议目的

本次大学信息安全工作会议旨在提升校园信息安全防护能力，明确各部门职责分工，落实年度信息安全工作计划，确保校园网络环境安全稳定。

（二）参会人员

信息中心全体成员、各学院网络管理员、实验室负责人、校安全保卫处代表等共30人出席。

（三）会议时间与地点

时间：2023年10月26日上午9:00-11:30

地点：学校行政楼第三会议室

二、会议主要内容

（一）信息安全工作汇报

1.当前安全状况分析

-网络攻击类型：钓鱼邮件、恶意软件、DDoS攻击等，其中钓鱼邮件占比45%。

-安全事件统计：2023年共发生安全事件12起，较去年同期下降20%。

-主要风险点：部分实验室设备防护不足、无线网络存在漏洞。

2.部门工作总结

-信息中心：完成系统漏洞修复50项，开展安全培训3场。

-学院网络管理员：落实终端安全检查，加强实验室访问控制。

-安全保卫处：配合完成应急演练2次，处理安全投诉5起。

（二）重点工作部署

1.漏洞管理

-建立漏洞扫描常态化机制，每月对所有系统进行扫描。

-优先修复高危漏洞，要求72小时内完成补丁更新。

-示例数据：2023年需修复高危漏洞15项，中危漏洞30项。

2.安全意识培训

-面向全体师生开展年度安全培训，重点讲解密码管理、数据备份等。

-要求各学院每月至少组织1次专题讲座，并提交培训记录。

3.应急响应优化

-更新《信息安全应急预案》，明确事件分级标准。

-组建校级应急小组，每季度开展一次模拟演练。

（三）技术方案讨论

1.终端安全防护

-统一部署防病毒软件，要求覆盖率达100%。

-实施多因素认证，重点部门强制启用。

2.数据备份策略

-关键数据每日备份，重要数据每周异地存储。

-定期恢复测试，确保备份数据可用性。

三、会议总结

（一）关键决议

1.各部门需在11月30日前完成年度安全计划自查，提交书面报告。

2.信息中心牵头制定《校园网络安全评估标准》，2024年1月1日起实施。

（二）后续行动

1.信息中心：采购新的漏洞扫描工具，提升检测效率。

2.各学院：更新实验室安全操作手册，并组织考核。

3.安全保卫处：联合信息中心开展全员安全知识竞赛。

（三）备注事项

-会议确定2024年春季将引入“零信任”安全架构试点，具体方案另行通知。

四、附件

1.《2023年信息安全事件统计表》

2.《年度安全工作计划分解表》

（注：文档内容为示例，实际数据需根据学校具体情况调整。）

三、会议总结（续）

（一）关键决议（续）

1.各部门需在11月30日前完成年度安全计划自查，提交书面报告。

-自查内容清单：

(1)系统漏洞扫描及修复记录；

(2)安全设备运行状态报告（防火墙、入侵检测系统等）；

(3)员工安全意识培训参与率及考核结果；

(4)数据备份策略执行情况（备份频率、存储介质、恢复测试记录）；

(5)应急预案演练方案及参与人员名单。

-提交要求：

-使用统一模板（见附件1），电子版发送至信息安全工作组邮箱，同时提交纸质版至信息中心办公室。

-漏洞修复情况需附带厂商证明或内部测试报告。

2.信息中心牵头制定《校园网络安全评估标准》，2024年1月1日起实施。

-标准制定步骤：

(1)调研阶段（2023年12月）：

-收集国内外高校安全评估框架（如NIST、ISO/IEC27001），结合学校实际需求进行初步筛选。

-设计问卷，面向各部门收集意见，明确评估维度（技术、管理、物理环境）。

(2)草案编写（2024年1月）：

-成立评估小组，由信息中心、安全保卫处、各学院代表组成。

-草拟标准草案，包含评估指标、评分体系、整改要求。

(3)评审与修订（2024年2月）：

-组织内部评审会，邀请校外专家提供咨询意见。

-根据反馈修订草案，形成最终标准。

(4)发布与培训（2024年3月）：

-正式发布标准，并开展专项培训，确保各部门理解评估流程。

（二）后续行动（续）

1.信息中心：采购新的漏洞扫描工具，提升检测效率。

-采购流程：

(1)需求确认（2023年11月）：

-细化技术需求：支持主动扫描与被动监测、兼容现有系统（Windows、Linux、网络设备）、具备报告自动化功能。

-编制预算方案，报学校财务部门审批。

(2)供应商筛选（2023年12月）：

-通过公开招标，选择3家主流厂商进行产品演示。

-重点考察工具的扫描精度、误报率及售后服务能力。

(3)部署与测试（2024年1月）：

-在测试环境部署选型工具，对比实际扫描效果。

-与现有系统（如漏洞管理系统）集成联调。

(4)推广培训（2024年2月）：

-制定操作手册，组织管理员培训，确保正确使用工具。

2.各学院：更新实验室安全操作手册，并组织考核。

-手册更新要点：

(1)增加物理访问控制章节：明确门禁权限、外来人员登记流程。

(2)补充数据安全章节：规定实验数据存储格式、传输方式，禁止使用个人云盘存储涉密信息。

(3)完善应急处理章节：细化断网、设备故障等情况的处置步骤。

-考核方式：

-采用笔试+实操模式：笔试占比60%（安全知识），实操占比40%（模拟场景处置）。

-考核结果与年度评优挂钩，不合格者强制参加补训。

3.安全保卫处：联合信息中心开展全员安全知识竞赛。

-竞赛安排：

(1)赛程设计：

-初赛：线上答题（选择题、判断题），覆盖基础安全知识。

-决赛：现场比拼（必答题、抢答题、情景分析），设置安全情景案例。

(2)奖励机制：

-个人奖：一等奖1名（奖金1000元+荣誉证书），二等奖2名（奖金500元+证书）。

-团队奖：按部门排名评选“安全先进组织”。

(3)宣传动员：

-通过校园网、公众号发布竞赛通知，鼓励全员参与。

-设置趣味科普栏目，预热竞赛氛围。

（三）备注事项（续）

-会议确定2024年春季将引入“零信任”安全架构试点，具体方案另行通知。

-试点范围：

(1)选择1-2个高安全等级部门（如数据中心、科研部）作为试点。

(2)优先改造认证与授权流程，实现“从不信任、始终验证”原则。