高等学校校园网络安全管理办法

高等学校校园网络安全管理办法为贯彻落实国家网络安全法律法规，保障学校网络空间安全，维护正常教学、科研和管理秩序，保护师生员工合法权益，根据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《关键信息基础设施安全保护条例》等相关规定，结合本校实际，制定本办法。第一章总则第一条【目的与依据】本办法以保障校园网络基础设施、信息系统及数据安全为核心，以防范网络攻击、数据泄露、非法侵入等风险为重点，旨在构建“责任明确、制度健全、技术可靠、管理规范”的网络安全防护体系，为学校数字化转型与高质量发展提供安全保障。第二条【适用范围】本办法适用于学校范围内所有网络基础设施（含有线网、无线网、物联网等）、信息系统（含业务系统、网站、移动应用等）、数据资源（含教学、科研、管理等各类电子数据）的规划、建设、运行、维护及使用行为，涵盖校内各单位（含二级学院、职能部门、直属单位等）、师生员工、合作单位及临时访客等网络使用主体。第三条【基本原则】（一）“谁主管谁负责、谁运营谁负责、谁使用谁负责”原则，实行网络安全责任制；（二）“同步规划、同步建设、同步使用”原则，网络安全措施与信息化项目同部署；（三）“积极防御、动态防护”原则，采用技术与管理相结合的综合防护策略；（四）“最小必要”原则，数据收集、存储、使用严格限定于业务必需范围。第二章管理体制与职责分工第四条【领导机构】学校设立网络安全和信息化领导小组（以下简称“领导小组”），由校主要领导担任组长，分管信息化、安全稳定工作的校领导担任副组长，成员包括信息化管理部门、保卫部门、宣传部门、各二级单位主要负责人等。领导小组负责统筹协调全校网络安全重大事项，审议网络安全战略规划、重大政策、应急预案，研究决定网络安全事件处置方案。第五条【主管部门】信息化管理部门为学校网络安全工作的职能部门，承担以下职责：（一）拟定网络安全管理制度、技术规范并组织实施；（二）统筹校园网络基础设施、公共信息平台的安全建设与运维；（三）监测校园网络安全态势，组织开展安全检测、风险评估与漏洞修复；（四）指导、监督二级单位落实网络安全责任，组织网络安全培训；（五）牵头处置重大网络安全事件，协调相关部门开展应急响应；（六）管理校园网IP地址、域名、入网账号等网络资源。第六条【二级单位责任】各二级单位是本单位网络安全工作的责任主体，主要负责人为第一责任人，需指定一名网络安全管理员（可兼职）具体落实以下工作：（一）制定本单位信息系统、数据资源的安全管理细则；（二）确保本单位运营的信息系统符合国家及学校网络安全要求，落实登录认证、访问控制、日志留存等措施；（三）定期核查本单位网络使用行为，防范违规外联、非法接入等风险；（四）配合信息化管理部门开展网络安全检查、事件调查及整改工作；（五）组织本单位师生员工参与网络安全宣传教育。第七条【使用主体责任】全体师生员工及网络使用人员须遵守以下要求：（一）不得利用校园网络传播违法信息、从事危害网络安全的活动；（二）妥善保管个人账号、密码等信息，不得转借、盗用他人账号；（三）发现网络安全隐患或异常情况时，及时向信息化管理部门报告；（四）使用校外第三方服务（如云存储、协作平台）处理学校数据时，须提前报备并评估安全风险。第三章网络安全技术防护第八条【基础设施安全】（一）校园网络边界部署防火墙、入侵检测/防御系统（IDS/IPS）、抗DDoS攻击设备等，根据业务需求动态调整安全策略，定期更新规则库；（二）无线局域网（WLAN）采用WPA3等高强度加密协议，严格管控接入认证，禁止开放未授权的热点；（三）物联网设备（如监控摄像头、教学终端）需进行身份认证与访问控制，禁止直接暴露于公网，定期更新固件；（四）核心网络设备、通信线路实行冗余设计，关键节点部署双链路备份，保障网络连续可用。第九条【信息系统安全】（一）新建信息系统须通过安全方案评审，落实“三同步”要求；上线前须进行安全测试（含漏洞扫描、渗透测试），未通过测试的不得投入使用；（二）信息系统须采用多因素认证（如账号+密码+短信验证码）、角色权限控制（最小权限原则），禁止默认密码、弱密码；（三）重要信息系统（如教务管理、财务系统、科研数据平台）须部署数据库审计、网页防篡改、应用级防火墙（WAF）等防护措施；（四）停止使用的信息系统须及时下线，数据按规定归档或销毁，避免残留安全隐患；（五）外包开发的信息系统须在合同中明确安全责任，要求开发方提供源代码安全检测报告、漏洞修复承诺。第十条【数据安全管理】（一）实行数据分类分级管理：1.一般数据：教学通知、公开文档等非敏感数据，采取基础访问控制；2.重要数据：科研成果、师生个人信息（姓名、身份证号、联系方式等）、财务数据等，需加密存储（如AES-256），传输采用HTTPS/TLS1.3以上协议；3.敏感数据：涉及国家秘密、重大科研突破的核心数据，严格限定访问范围，实行“一人一密”授权，全程日志记录。（二）数据收集遵循“最小必要”原则，禁止超范围采集；共享数据须通过学校统一数据交换平台，签订安全协议，明确使用范围与责任；（三）数据存储实行本地与异地备份（如本地磁盘+云存储），重要数据每日增量备份、每周全量备份，备份介质离线存放并定期校验；（四）数据删除须采用安全擦除技术（如覆盖写入、物理销毁），确保不可恢复；涉及师生个人信息删除的，须按《个人信息保护法》要求履行告知义务。第十一条【终端与接入安全】（一）校内办公、教学终端须安装统一的终端安全管理软件，定期更新操作系统补丁、防病毒软件；（二）禁止私接无线路由器、交换机等网络设备，禁止擅自修改IP地址、MAC地址；（三）外来设备接入校园网须通过准入认证（如802.1X、Web认证），访客网络实行“账号+时间+流量”限制，禁止访问内部业务系统；（四）移动终端（手机、平板）连接校园网时，须安装学校指定的安全客户端，禁止通过公共WiFi处理敏感业务。第十二条【新技术应用安全】（一）使用云计算服务（私有云、混合云）时，须选择通过国家可信云认证的服务商，数据存储、处理须符合本地化要求；（二）部署人工智能、大数据分析系统时，须评估算法安全风险，避免因模型缺陷导致数据泄露或决策偏差；（三）开展5G、工业互联网等新型网络建设前，须进行安全风险评估，同步部署适配的安全防护措施。第四章网络安全应急处置第十三条【预案体系建设】信息化管理部门负责制定《校园网络安全应急预案》，明确事件分级、响应流程、处置措施。各二级单位需结合自身业务特点，制定专项应急预案（如网站被篡改、数据泄露等），报信息化管理部门备案。第十四条【监测与预警】（一）建立网络安全监测平台，24小时监控网络流量、设备状态、系统日志，通过威胁情报共享机制（如教育行业安全信息共享平台）获取外部风险信息；（二）发现异常流量（如不明IP大量访问、数据异常外传）、系统漏洞（如高危CVE漏洞）或攻击行为（如SQL注入、勒索软件）时，及时发出预警，通知责任单位核查；（三）预警信息通过邮件、短信、协同办公平台等方式推送，确保相关人员第一时间响应。第十五条【事件分级与响应】（一）事件分级：1.特别重大事件：导致核心业务中断超过24小时、大量敏感数据泄露（≥10万条）、引发社会重大负面影响；2.重大事件：导致关键业务中断超过12小时、重要数据泄露（1万-10万条）、影响范围涉及多个二级单位；3.较大事件：导致业务中断超过4小时、一般数据泄露（1千-1万条）、影响范围限于单个二级单位；4.一般事件：业务短暂中断（＜4小时）、少量数据泄露（＜1千条）、未造成明显损失。（二）响应流程：1.发现与事件发生后，责任单位须在30分钟内口头报告、2小时内提交书面报告至信息化管理部门；特别重大事件须同步报告领导小组；2.应急处置：启动相应级别预案，技术团队立即隔离受影响设备/系统，阻断攻击路径，备份关键数据；3.溯源分析：联合第三方安全机构（如教育行业网络安全监测中心）追踪攻击来源，分析漏洞原因；4.修复恢复：清除恶意程序、修补系统漏洞，经验收合格后逐步恢复业务；5.总结事件处置结束后7个工作日内，形成总结报告，提出整改措施并跟踪落实。第十六条【后期处置】（一）对因管理疏漏、操作失误导致的安全事件，追究相关单位及人员责任；（二）对造成数据泄露的，按《个人信息保护法》要求，及时告知受影响师生并采取补救措施；（三）定期组织应急演练（每年至少2次），检验预案有效性，提升团队协同处置能力。第五章监督检查与责任追究第十七条【检查机制】（一）日常检查：信息化管理部门每月对网络基础设施、重点信息系统进行巡检，核查日志留存（至少6个月）、账号权限、漏洞修复等情况；（二）专项检查：每年开展1次网络安全专项检查，重点检查二级单位责任制落实、数据安全管理、应急预案执行等；（三）第三方测评：重要信息系统每3年委托具备资质的机构进行网络安全等级保护测评（三级及以上系统需每年测评），测评结果作为系统运维考核依据。第十八条【违规处理】对违反本办法的单位或个人，视情节轻重采取以下措施：（一）提醒约谈：对未落实安全责任的单位负责人进行约谈，限期整改；（二）通报批评：对整改不力或发生一般及以上安全事件的单位，在全校范围内通报；（三）责任追究：对因玩忽职守导致重大安全事件的，依法依规给予党纪、政纪处分；构成犯罪的，移送司法机关处理；（四）暂停服务：对存在严重安全隐患且拒不整改的信息系统，暂停网络接入服务直至整改合格。第六章教育与培训第十九条【宣传教育】（一）每年9月“国家网络安全宣传周”期间，组织线上线下主题活动（如安全讲座、知识竞赛、案例展播），覆盖全体师生；（二）通过校园网站、公众号、宣传栏等渠道，定期发布网络安全提示（如防范钓鱼邮件、电信诈骗等）；（三）新生入学、新员工入职时，将网络安全纳入必训内容，签订《网络安全承诺书》。第二十条【技能培训】（一）信息化管理部门每年组织2次网络安全专题培训，内容涵盖漏洞管理、应急响应、数据保护等，面向二级单位网络安全管理员、信息系统运维人员；