教育信息化安全规范

教育信息化安全规范为贯彻落实《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》及《网络安全等级保护2.0》（GB/T22239-2019）《教育信息化技术标准（CELTS）》等法律法规与行业标准，保障教育信息化系统稳定运行、教育数据安全及师生信息权益，特制定本规范。本规范适用于各级各类学校（含幼儿园、中小学、职业院校、高等院校）的校园网络基础设施、教育数据、应用系统、终端设备、人员管理及安全运维全流程，各单位需结合自身实际细化执行，确保教育信息化安全合规、风险可控。一、总则1.1核心原则（1）最小权限原则：所有网络访问、数据操作、系统权限均遵循“必要且最小”原则，禁止超权限配置；（2）纵深防御原则：构建“边界-网络-系统-终端-数据”多层安全防护体系，避免单一防线失效引发全局风险；（3）动态防护原则：实时监测安全态势，定期更新防护策略，适配新型攻击手段；（4）全员参与原则：将网络安全责任落实到每一位师生，形成“管理员-教职工-学生”三级安全防护网络。1.2责任主体学校法定代表人为网络安全第一责任人，校级网络安全领导小组统筹安全管理工作，信息技术中心（或网络中心）为执行主体，各教学院部、职能部门负责人为二级责任主体，对本部门所辖信息化资源的安全负责。二、网络基础设施安全规范2.1核心网络安全1.核心交换机、路由器需启用访问控制列表（ACL），严格限制非授权IP段访问核心设备管理界面，远程登录仅允许通过SSHv2协议，禁用Telnet明文传输；2.核心网络设备需配置双机热备，采用VRRP或HSRP协议实现链路冗余，单点故障切换时间不超过30秒；3.核心网络流量需实现镜像分流，部署入侵检测系统（IDS）或入侵防御系统（IPS），对异常流量（如DDoS攻击、端口扫描）进行实时告警与阻断，告警响应时间不超过5分钟；4.核心设备配置文件需每日自动备份，备份文件存储于离线加密介质，每周校验备份完整性。2.2无线校园网安全1.无线校园网需采用WPA3加密协议，禁用WEP、WPA等弱加密方式，SSID隐藏校园内网管理信道，仅开放教学区、办公区公开信道；2.无线接入点（AP）需启用用户隔离功能，同一SSID下终端禁止直接通信，防止横向渗透攻击；3.无线认证需采用“用户名+密码+短信验证码”双因子认证，对访客网络设置独立VLAN，与校园内网物理隔离，访问互联网需实名认证；4.无线控制器（AC）需每日监测接入终端的MAC地址，对异常接入（如同一MAC多终端登录）进行自动拉黑，拉黑时长不少于24小时。2.3边界与接入安全1.校园网络与互联网、教育城域网的边界需部署下一代防火墙（NGFW），配置“默认拒绝、按需开放”的访问策略，仅开放必要端口（如80、443、22），每周更新防火墙规则；2.部署VPN设备实现校外人员安全接入校园内网，VPN用户需采用硬件令牌或生物识别认证，接入权限按“最小必要”原则分配，离岗后立即回收；3.校园物联网设备（如智慧门禁、智能电表）需单独划分VLAN，与教学区网络物理隔离，采用MQTT-SN加密协议传输数据，禁止设备直接接入核心网络。三、教育数据安全规范3.1数据分类分级管理依据《数据安全法》及教育行业特性，将教育数据分为四级：1.绝密级：师生生物识别信息（人脸识别、指纹）、心理健康诊疗记录、家庭极端贫困学生精准资助核心数据，此类数据需物理隔离存储，仅授权校级分管领导及专职数据管理员访问；2.机密级：师生身份证号、银行卡号、家庭住址，教职工薪酬待遇，学生期末统考成绩，涉密科研项目资料，此类数据需加密存储，访问需双人审批；3.内部级：日常教学课件、班级管理台账、校内工作通知，此类数据仅限校内访问，禁止对外泄露；4.公开级：学校招生章程、对外宣传资料、公开教学公开课视频，此类数据可通过官方渠道发布。3.2全生命周期安全管理1.数据采集：遵循“最小必要”原则，禁止过度采集师生信息，如需采集人脸、指纹等敏感数据，需获得师生（或监护人）书面同意，签订《数据采集告知书》，明确采集用途、存储期限及使用范围；2.数据存储：绝密级、机密级数据需采用AES-256算法加密存储，存储介质需具备冗余备份（本地+异地双备份），异地备份数据需每季度校验完整性；公开级数据可存储于通过等保2.0三级认证的云平台，云服务商需签订《数据安全保障协议》；3.数据传输：所有非公开级数据传输需采用加密协议，绝密级数据采用专线传输+端到端加密，机密级数据采用HTTPS/SSLVPN，内部级数据采用校园内网加密通道，禁止明文传输；4.数据使用：使用机密级以上数据需提交《数据使用申请单》，经二级部门负责人、信息技术中心双重审批，使用过程全程留痕，禁止复制、导出敏感数据至私人终端；5.数据销毁：废弃存储介质（硬盘、U盘）需采用消磁（磁介质消磁≥3次）、物理粉碎（固态硬盘）方式销毁，销毁过程需双人监督，留存销毁记录（照片、视频）不少于3年；电子数据删除需采用符合《数据安全法》要求的粉碎工具，确保数据无法恢复。四、教育应用系统安全规范4.1系统安全准入1.所有上线的教育应用系统（如教务系统、在线学习平台、OA系统）需进行安全评估，三级及以上系统需通过网络安全等级保护测评，测评周期为每年1次，测评结果需上报当地教育主管部门；2.委托第三方开发的应用系统，需签订《源代码保密协议》，交付时需提供完整的安全测试报告（含漏洞扫描、渗透测试），禁止存在“后门”程序；3.应用系统需部署于云平台或本地服务器集群，服务器需开启安全组规则，仅允许特定IP段访问应用端口。4.2漏洞与补丁管理1.每月对所有应用系统进行1次全量漏洞扫描，采用Nessus、AWVS等专业工具，高风险漏洞（如SQL注入、远程代码执行）修复率需达100%，修复时长不超过72小时；2.操作系统、数据库补丁需在发布后72小时内完成更新，更新前需进行测试环境验证，避免影响业务运行；3.对无法及时修复的漏洞，需临时部署防护策略（如WAF规则拦截、临时关闭端口），并制定长期修复计划，限期不超过30天。4.3身份认证与权限管控1.应用系统需采用“用户名+密码+动态验证码”双因子认证，密码需满足：长度≥12位，包含大小写字母、数字、特殊字符，每90天强制更换一次，禁止使用近3次历史密码；2.应用系统权限需按“岗位适配”原则分配，采用RBAC（基于角色的访问控制）模型，禁止“一人多岗”超权限配置，定期（每季度）进行权限审计，清理冗余权限；3.针对学生用户，需限制其对敏感功能的访问（如修改成绩、导出全班数据），仅允许教师或管理员操作。五、终端设备安全规范5.1通用终端安全1.教师PC、学生平板、办公电脑需安装EDR（终端检测与响应）系统，实时监测终端病毒、恶意软件及异常行为，EDR日志需留存不少于6个月；2.终端USB端口需启用管控功能，仅授权管理员开启USB读取权限，禁止USB写入（特殊岗位需提交申请），禁用蓝牙、红外等无线传输功能（教学所需除外）；3.终端密码需符合《网络安全法》要求，禁止弱密码，每60天强制更换，管理员需定期（每月）排查终端弱密码，发现后立即整改；4.禁止终端安装非授权软件（如游戏、破解工具），教学所需软件需通过信息技术中心统一分发，安装前进行安全检测。5.2智能教学终端安全1.智慧黑板、互动白板需启用开机密码，禁止默认密码，每次教学结束后需退出管理员账户，切换至访客模式；2.智能教学终端需定期（每两周）进行病毒查杀与漏洞扫描，内置操作系统补丁需及时更新，禁止破解终端操作系统；3.教学终端需禁用陌生Wi-Fi接入，仅允许连接校园内网安全Wi-Fi，禁止接入未加密的公共网络。六、人员安全管理规范6.1岗位角色与权限划分1.信息技术中心需划分系统管理员、数据管理员、安全运维员、审计员等岗位，岗位间需职责分离，禁止一人兼任管理员与审计员；2.系统管理员负责网络设备、应用系统的配置维护，数据管理员负责数据的分类分级与全生命周期管理，安全运维员负责安全监测与应急处置，审计员负责全流程安全审计；3.所有涉密岗位（数据管理员、系统管理员）需签订《保密责任书》，承诺不泄露敏感数据与系统配置信息。6.2人员培训与考核1.系统管理员、安全运维员需取得《网络安全等级保护测评师》《注册信息安全工程师（CISP）》等资质，每年参加不少于24学时的专业培训，培训内容涵盖等保2.0、数据安全法、应急处置演练等，培训后需通过考核，不合格者暂停岗位权限；2.普通教职工每年需参加不少于8学时的网络安全培训，内容包括数据保护规范、邮件诈骗防范、终端安全配置等，培训通过率需达100%；3.学生每年需参加不少于4学时的网络安全宣传教育，内容包括个人信息保护、校园网络诈骗防范、网络行为规范等，采用线上课程+线下讲座结合的方式开展。6.3人员离岗与权限回收1.涉密岗位人员离岗（辞职、调岗）需提前30天提交申请，信息技术中心需在离岗当天回收所有系统权限、门禁权限、存储介质，签订《离岗保密承诺书》；2.离岗人员需交接所有工作文档、系统配置资料，交接过程需双人监督，留存交接记录不少于3年；3.对主动泄露敏感数据、违规操作造成安全事件的离岗人员，依法追究法律责任，并通报其新入职单位。七、安全运维与应急处置规范7.1日常运维管理1.建立运维日志制度，记录所有网络设备、应用系统的操作（如配置修改、补丁更新），日志需包含操作人、时间、内容、结果，留存不少于6个月；2.每周开展一次日常安全巡检，内容包括网络设备运行状态、漏洞扫描结果、终端EDR告警、数据备份情况，形成巡检报告；3.每月开展一次全面安全评估，邀请第三方安全厂商或行业专家对校园网络、系统、数据进行渗透测试，形成评估报告并制定整改计划，整改完成率需达100%。7.2应急处置流程依据安全事件的影响范围与严重程度，分为三个等级：1.一级（重大事件）：核心网络瘫痪超过4小时、师生敏感数据泄露涉及1000人以上、在线学习平台被勒索病毒攻击，需在1小时内上报当地教育主管部门与网络安全监管部门，启动应急指挥部，切断受感染网段，启用备份系统，联系专业安全厂商支援，事件处置完成后72小时内提交详细调查报告；2.二级（较大事件）：部分应用系统瘫痪超过2小时、敏感数据泄露涉及100-1000人，需在30分钟内上报校级网络安全领导小组，启动应急预案，隔离受影响系统，排查事件原因，24小时内提交处置报告；3.三级（一般事件）：单个终端感染病毒、局部网络故障，需在1小时内处置，处置记录留存不少于1年。7.3应急预案与演练1.制定《校园网络安全应急预案》《教育数据泄露应急预案》《勒索病毒攻击应急预案》等专项预案，预案需每年修订一次，根据演练结果更新内容；2.每半年开展一次应急演练，模拟勒索病毒攻击、数据泄露等场景，参演人员覆盖信息技术中心、教学院部、职能部门，演练后进行复盘总结，优化应急预案；3.应急演练需邀请当地教育主管部门、网络安全监管部门现场指导，演练记录（视频、报告）需留存不少于3年。八、监督与考核8.1监督检查机制1.校级网络安全领导小组每季度开展一次安全专项检查，内容包括规范落实情况、安全事件处置情况、培训考核情况，形成检查报告；2.信息技术中心每月开展一次安全自查，排查网络、系统、终端的安全隐患，及时整改；3.接受当地教育主管部门、网络安全监管部门的年度检查，对检查发现的问题限期整改，整改期限不超过30天。8.2考核指标与问责1.年度安全考核指标包括：等保测评通过率100%、高风险漏洞修复率100%、安全事件年发生率≤2次、人员培训覆盖率100%、数据备份完整性校验通过率100%；2.对未落