学校网络安全管理制度

学校网络安全管理制度为全面加强学校网络安全管理，保障校园网络系统稳定运行，维护师生信息权益，防范网络安全风险，依据国家相关法律法规及教育行业网络安全规范要求，结合本校实际情况，制定本制度。本制度适用于学校范围内所有使用校园网络（含有线网络、无线网络、物联网系统及各类信息平台）的部门、师生员工及第三方合作单位。第一章管理架构与职责分工学校建立“统一领导、分级负责、协同联动”的网络安全管理体系，明确决策、执行、监督三类主体职责，形成全员参与、全程覆盖的安全管理格局。第一节决策机构成立学校网络安全领导小组（以下简称“领导小组”），由校长任组长，分管信息化工作的副校长任副组长，成员包括办公室、信息中心、保卫处、教务处、学生处、科研处、财务处等部门主要负责人。领导小组为学校网络安全最高决策机构，主要职责包括：1.审定学校网络安全发展规划、年度工作计划及重大投入方案；2.研究决定网络安全重大事项，如应急预案启动、重大安全事件处置策略；3.协调跨部门网络安全工作，督促落实上级主管部门网络安全要求；4.定期听取网络安全工作汇报，审议年度网络安全责任落实情况报告。第二节执行机构信息中心为网络安全日常管理的责任部门，设网络安全管理岗（专职）与技术保障岗（专职/兼职），具体承担以下职责：1.制定校园网络安全技术规范、操作流程及具体管理制度；2.负责校园网核心设备（如路由器、交换机、防火墙、服务器）的部署、运维与安全加固；3.监测网络运行状态，开展安全日志分析、漏洞扫描及风险评估，及时处置网络攻击、数据泄露等安全事件；4.管理校园网账户认证体系（含统一身份认证平台、VPN、无线接入认证），审核各部门信息系统的网络接入申请；5.组织实施师生网络安全培训，指导各部门落实本单位信息系统安全管理要求；6.编制网络安全应急响应预案，定期开展演练并修订完善。第三节协同部门职责1.保卫处：配合信息中心开展网络安全事件调查，对涉及违法违规的网络行为依法协助处理；2.教务处：负责教学类信息系统（如在线教学平台、选课系统）的使用安全管理，监督教师与学生规范使用教学数据；3.学生处：将网络安全纳入学生日常教育内容，指导学生组织开展网络安全宣传活动；4.科研处：监督科研项目相关数据（尤其是敏感科研成果）的存储、传输与共享安全，配合信息中心落实科研信息系统安全防护措施；5.各二级学院/部门：指定1名网络安全联络人，负责本单位办公网络、内部信息系统及师生用户的日常管理，及时报告异常情况。第四节个人责任全体师生员工须严格遵守网络使用规范，履行以下义务：1.妥善保管个人账号（含校园卡、信息系统登录账户）及密码，不得转借、盗用他人账号；2.不得利用网络从事攻击他人设备、传播恶意程序、发布虚假信息等危害网络安全的行为；3.发现网络异常（如页面篡改、数据丢失、网络中断）时，立即向信息中心报告；4.参加学校组织的网络安全培训，提升自身安全意识与防护能力。第二章网络基础设施安全管理校园网络基础设施（含有线网络、无线网络、物联网设备及机房环境）是支撑学校信息化运行的核心载体，须实施全生命周期安全管理。第一节建设与部署1.网络设备（含核心交换机、防火墙、无线AP）及安全产品（如入侵检测系统、日志审计系统）的采购须符合国家网络安全等级保护要求，优先选用通过国家认证的安全可靠产品；2.新校区网络建设或老校区网络改造方案须经信息中心组织安全评审，重点评估网络架构合理性、冗余设计（如双链路、双核心）、访问控制策略等；3.物联网设备（如校园监控摄像头、智能电表、门禁系统）接入校园网前，须通过信息中心安全检测，确保设备固件无已知漏洞、通信协议符合安全标准（如采用TLS1.2以上加密）；4.数据中心机房须配备恒温恒湿、消防报警、视频监控及门禁系统，仅允许授权人员进入，进出记录留存至少1年。第二节运维与监测1.核心网络设备实行7×24小时运行监测，信息中心每日检查设备状态（如CPU利用率、内存占用、端口流量），每周生成《网络运行分析报告》；2.网络设备配置文件须定期备份（至少每月1次），备份介质（如移动硬盘、云存储）实行离线存储与加密管理；3.防火墙策略须遵循“最小权限”原则，仅开放必要端口与服务，策略变更需经信息中心负责人审批并记录；4.无线网络（含校园公共WiFi、办公区域无线）统一采用WPA3协议加密，SSID名称规范管理，禁止私设无线热点；5.校外访问校园网须通过学校统一VPN系统，VPN账号实行“一人一密”，访问权限根据用户角色动态分配（如学生仅限访问教务系统，教师可访问办公系统及科研平台）。第三节接入管理1.校园网接入实行“实名认证+授权审批”制度：师生员工首次接入需通过统一身份认证平台注册，绑定校园卡信息，注册信息变更需及时更新；外来人员（如访客、合作单位人员）接入需由接待部门提交申请，经信息中心审核后分配临时账号，使用期限不超过7天；教学、科研设备（如实验室服务器、智能教学终端）接入需由所属部门备案，信息中心核查设备用途及安全配置后开放权限。2.禁止下列违规接入行为：私接路由器、交换机等网络设备；盗用他人IP地址或MAC地址；利用技术手段绕过认证系统接入网络；接入非学校备案的物联网设备（如个人智能音箱、摄像头）。第三章数据安全管理数据安全是网络安全的核心内容，学校对数据实行“分类分级、全程管控、责任到人”的管理模式，重点保护师生个人信息、教学科研数据及学校敏感信息。第一节数据分类分级根据数据敏感性及影响程度，将学校数据分为三级：一级数据（一般数据）：公开可查的信息（如学校新闻、校园活动通知）、匿名化处理后的统计数据；二级数据（敏感数据）：涉及师生个人隐私但不直接影响权益的数据（如非涉密科研成果摘要、教职工联系方式）、教学过程性数据（如课堂考勤记录）；三级数据（核心数据）：高度敏感或依法需严格保护的数据，包括：师生个人敏感信息（身份证号、银行卡号、健康信息）；涉密教学科研数据（如未公开的国家级科研项目成果）；学校财务、人事、招生等关键业务数据（如年度预算、教职工薪酬、录取分数线）。第二节数据全生命周期管理1.采集环节：数据采集须遵循“最小必要”原则，明确采集目的、范围及方式，通过信息系统采集的需在页面显著位置公示《数据采集告知书》，涉及三级数据采集的需经领导小组审批；2.存储环节：二级及以上数据须加密存储（如AES-256加密），存储介质（本地硬盘、数据库、云服务器）须符合等保要求；三级数据实行“一地存储、异地备份”，主存储与备份存储物理隔离，备份频率根据数据更新频率确定（如招生数据每日备份，科研数据实时备份）；禁止将三级数据存储于个人移动设备（如U盘、私人云盘）或未备案的第三方平台；3.传输环节：二级及以上数据通过网络传输时须使用SSL/TLS1.2以上协议加密，重要数据（如财务报销、成绩查询）须采用双向认证；跨部门传输三级数据需通过学校内部安全交换平台，禁止使用邮件、即时通讯工具（如微信、QQ）传输；4.使用环节：访问二级数据需经部门负责人审批，访问三级数据需经分管校领导审批，审批记录留存至少3年；数据查询实行“操作留痕”，信息系统须记录访问时间、账号、查询内容及操作行为，日志留存至少6个月；5.销毁环节：数据销毁须履行审批程序，一级数据由部门自行销毁，二级数据由信息中心监督销毁，三级数据由领导小组审核后委托专业机构物理销毁（如磁盘消磁、粉碎）；销毁过程需记录时间、方式、参与人员，相关记录留存至少5年。第三节重点数据保护1.师生个人信息：仅限用于教学、管理及服务目的，禁止出售、泄露或用于商业用途；2.教学数据：在线教学平台、选课系统等须设置严格的访问权限（如学生仅能查看本人成绩，教师仅能管理所授课程数据），考试类数据（如试卷、评分标准）在启用前须加密存储并限制访问；3.科研数据：涉密科研项目数据须存储于学校专用保密机房，访问需双人审批、双人操作，对外共享需经科研处与信息中心联合审核；4.财务与人事数据：财务系统、人事管理系统须采用双因素认证（如账号+动态验证码），关键操作（如工资发放、职称评审数据修改）需二次确认。第四章网络安全事件应急管理为快速应对网络攻击、数据泄露、系统故障等安全事件，最大限度减少损失，学校建立“预防为主、快速响应、协同处置”的应急管理机制。第一节监测与预警信息中心通过网络安全监测平台（含流量分析、日志审计、漏洞扫描系统）实施24小时监测，重点关注以下异常行为：网络流量突增（如超过日常峰值200%）；异常IP访问（如境外IP频繁尝试登录）；数据异常传输（如大量文件外传、敏感数据下载）；设备状态异常（如防火墙阻断次数激增、服务器CPU持续100%占用）。发现预警信号后，信息中心须立即核查，确认存在安全风险时，启动二级预警（黄色），通知相关部门加强防范；确认发生安全事件时，启动一级预警（红色），进入应急响应流程。第二节事件分级与处置根据事件影响范围及严重程度，将网络安全事件分为三级：一般事件：单个信息系统局部故障（如教师个人办公系统登录异常）、少量非敏感数据泄露（涉及人数≤10人），不影响学校正常运行；较大事件：核心业务系统中断（如教务系统无法访问超过2小时）、二级数据泄露（涉及人数10-50人），对教学或管理造成较大影响；重大事件：校园网整体瘫痪（中断超过4小时）、三级数据泄露（涉及人数≥50人）或引发社会负面舆情，严重影响学校声誉。处置流程如下：1.一般事件：信息中心技术岗30分钟内到达现场，2小时内恢复系统或阻断泄露，48小时内提交《事件分析报告》；2.较大事件：信息中心负责人牵头，联合相关部门成立专项组，1小时内隔离受影响设备，4小时内恢复关键业务，3个工作日内完成溯源并整改；3.重大事件：立即报告领导小组，启动《校园网络安全重大事件应急预案》，同步向教育主管部门及公安机关报备，24小时内通过官方渠道发布事件进展说明（涉及个人隐私的除外），7个工作日内形成全面处置报告。第三节事后管理1.事件处置完成后，信息中心须组织漏洞修复、系统加固，必要时升级安全策略或设备；2.对因管理疏漏或操作失误导致的安全事件，追究相关责任人责任（如警告、通报批评、取消年度评优资格）；3.每学期至少开展1次应急演练（如模拟DDOS攻击、数据勒索病毒入侵），检验预案有效性并修订完善。第五章培训与考核网络安全意识与技能是保障网络安全的关键，学校通过常态化培训与严格考核，提升全员安全素养。第一节培训机制1.管理层培训：领导小组每年参加1次上级部门组织的网络安全专题培训，了解政策动态与管理要求；2.技术人员培训：信息中心员工每学期参加1次行业技术培训（如网络安全攻防、数据加密技术），考核合格后方可上岗；3.师生培训：新生入学教育、新教职工入职培训中须包含网络安全专题（如防钓鱼诈骗、个人信息保护）；每学期通过讲座、海报、短视频等形式开展网络安全宣传活动（如“网络安全宣传周”）；教师在使用在线教学平台前须完成操作安全培训，签订《教学数据安全承诺书》。第二节考核与奖惩1.网络安全工作纳入部门年度绩效考核，占比不低于5%，考核内容包括制度落实、事件响应、培训参与率等；2.对在网络安全工作中表现突出的部门或个人（如及时发现重大安全隐患、协助处置事件），给予表彰