校园网络安全考核评价办法

校园网络安全考核评价办法第一章总则为深入贯彻落实《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》以及教育部关于加强教育行业网络安全工作的系列指导意见，切实保障校园网络基础设施安全、业务系统平稳运行及数据资产的完整性、保密性和可用性，建立健全校园网络安全责任体系，特制定本办法。本办法旨在通过科学、规范、严谨的考核评价机制，对校内各单位（包括各二级学院、职能部门、直属单位）的网络安全管理工作进行全面评估。考核工作坚持“谁主管谁负责、谁使用谁负责、谁运行谁负责”的原则，将网络安全工作纳入各单位年度绩效考核体系，强化红线意识和底线思维，确保网络安全责任层层落实、到岗到人。考核评价工作遵循客观公正、实事求是、量化为主、注重实效的原则。通过定期的检查、评估与反馈，及时发现安全隐患，督促整改落实，提升全校网络安全防护能力和应急响应水平，构建安全、清朗、有序的校园网络空间。第二章组织机构与职责校园网络安全考核评价工作在学校网络安全和信息化领导小组（以下简称“领导小组”）的统一领导下进行。领导小组负责审定考核评价办法、年度考核计划及考核结果，对考核工作中的重大事项进行决策。学校网络安全与信息化办公室（以下简称“网信办”）作为考核工作的具体执行机构，主要职责包括：制定年度考核实施方案及评分细则；组建考核专家组或委托第三方专业机构开展具体考评工作；汇总、分析考核数据，形成考核报告；向各单位反馈考核结果及整改意见；监督考核发现问题的整改落实情况。校内各单位应明确网络安全分管领导和网络安全管理员（以下简称“网安员”），负责本单位网络安全工作的日常管理、自查自纠以及配合学校开展的考核评价工作。各单位网安员需保持相对稳定，确需调整的，应及时向网信办报备并做好工作交接。第三章考核对象与周期本办法的考核对象为学校所有接入校园网的二级单位，涵盖教学科研单位、党政管理部门、直属附属机构及其他独立运营的校内实体。考核评价工作分为定期考核与专项考核。定期考核为年度考核，每年开展一次，通常安排在第四季度进行，考核周期为自然年度。专项考核根据上级主管部门要求或学校网络安全工作实际需要临时组织，针对特定时期（如重大节假日、重要会议期间）或特定事件（如突发网络安全事件后）开展专项检查与评估。对于新建、改建的信息化项目，应在项目验收阶段同步进行网络安全合规性考核，未通过考核的项目不得通过最终验收。第四章考核内容与指标体系考核内容围绕网络安全管理体系的完整性、技术防护能力的有效性、数据安全管理的规范性、宣传教育的普及性以及应急处置的及时性展开，具体包括以下核心维度：第一节责任落实与制度建设本项主要考核各单位网络安全责任体系的建立与运行情况。重点检查是否成立网络安全工作小组，是否明确党政主要负责人为网络安全第一责任人；是否制定并完善本单位网络安全管理制度、操作规程及应急预案；是否与学校签订网络安全责任书，并将网络安全工作纳入内部绩效考核。制度内容应具有针对性和可操作性，涵盖人员管理、账号管理、资产管理、机房管理、数据管理等方面。考核组将通过查阅文档、访谈询问等方式，验证制度的宣贯情况及执行记录，确保制度不流于形式。第二节网络资产管理本项重点考核网络资产底数的清晰度及动态管理能力。各单位需建立详实的软硬件资产清单，包括服务器、终端、网络设备、安全设备、业务系统、虚拟化资源等，并明确资产的归属责任人和运维责任人。考核内容包括：资产台账是否实时更新，是否存在“僵尸”系统或“影子”资产；是否定期对资产进行漏洞扫描和风险评估；信息系统上线前是否进行备案登记；是否存在私自搭建网站、服务或违规开放端口的行为。对于未备案的违规系统，将予以高额扣分。第三节技术防护与访问控制本项考核技术防范措施的落实情况，旨在构建纵深防御体系。重点检查边界防护措施，如是否部署防火墙、WAF等设备，策略配置是否合理；是否定期更新病毒库、入侵检测规则库；服务器和终端是否安装正版杀毒软件并及时更新系统补丁。身份认证与访问控制是考核重点，要求关键业务系统必须实施强密码策略（包含大小写字母、数字、特殊符号，长度不少于12位）并定期强制更换；必须开启多因素认证（MFA）；必须严格落实最小权限原则，杜绝默认账号、弱口令及万能密码存在。对于远程访问（如VPN、RDP），必须开启日志审计和异常登录阻断功能。第四节数据安全与个人信息保护本项依据数据安全相关法律法规，考核数据全生命周期的安全管理。重点检查数据分类分级制度的落实情况，是否对重要数据和敏感数据进行识别、标记和加密存储；数据备份策略是否执行，是否定期进行恢复演练。在个人信息保护方面，重点考核是否违规收集、存储、使用、加工、传输学生及教职工个人信息；是否在公开信息中泄露身份证号、手机号等敏感数据；向第三方提供数据时是否经过审批并签署保密协议；是否具备数据防泄漏（DLP）能力。对于发生数据泄露事件的单位，实行一票否决。第五节宣传教育与培训本项考核网络安全意识提升工作的开展情况。各单位应积极组织教职工参加学校举办的网络安全培训讲座、攻防演练及技术竞赛；定期在本单位内部开展网络安全宣传活动，如张贴海报、推送警示案例等。考核组将通过问卷调查、模拟钓鱼测试等方式评估全员网络安全意识水平。模拟钓鱼邮件中点击率或中招率过高的单位将相应扣分。同时，要求新入职教职工必须接受网络安全岗前培训，关键岗位人员需定期参加专业资质培训。第六节应急响应与事件处置本项考核应对突发网络安全事件的准备与处置能力。各单位应制定切实可行的网络安全事件应急预案，并每半年至少组织一次应急演练，保留演练记录。考核内容包括：是否建立7x24小时值班制度或确保联络畅通；发生安全事件时是否按规定时限和路径进行上报（一般事件2小时内上报，重大事件立即上报）；是否能够配合学校及公安机关开展事件调查取证；事件处置后是否进行复盘总结，完善防护措施。瞒报、迟报或谎报安全事件的，将严肃追责。第五章考核方法与程序考核评价采取“单位自查、线上核查、现场检查、技术检测、综合评议”相结合的方式，确保考核结果的全面性和准确性。第一阶段为单位自查自评。各单位对照年度考核评价指标体系进行自我检查，填写《校园网络安全考核自评表》，撰写自评报告，并在规定时间内报送网信办。自评报告应客观反映工作成效、存在问题及整改计划。第二阶段为线上核查与技术检测。网信办利用态势感知平台、漏洞扫描系统、流量分析设备等手段，对各单位信息系统进行远程技术检测，获取漏洞数量、弱口令数量、违规外联、异常流量等客观数据。同时，核查各单位备案系统信息与实际运行情况的一致性。第三阶段为现场抽查与访谈。考核组选取重点单位或风险较高的单位进行现场检查。通过实地查看机房环境、查阅台账资料、询问技术人员操作流程、核查安全配置等方式，验证线上数据的真实性，并评估管理人员的安全技能水平。第四阶段为综合评分与定级。网信办汇总自查得分、技术检测得分及现场检查得分，按照设定的权重计算最终得分。考核组召开评议会，对考核结果进行复核，并对特殊情况（如重大安全事件）进行裁定，确定最终考核等级。第六章评分标准与等级划分考核评价实行百分制，另设加分项和扣分项。基础分值为100分，根据各项指标的重要程度分配权重。具体评分细则如下表所示：考核维度权重关键指标评分标准（示例）分值责任落实15%组织领导未明确第一责任人的，扣5分；未指定网安员的，扣5分。10制度建设缺乏核心管理制度（如账号管理、数据管理）的，每缺一项扣3分。5资产管理15%资产台账台账不清、存在僵尸系统的，发现一处扣2分；未及时更新台账的，扣3分。10系统备案运行系统未备案的，发现一例扣5分；私自搭建服务的，发现一例扣10分。5技术防护25%漏洞管理存在高中危漏洞未及时修复的，每个扣2分；存在弱口令的，每个扣5分。10终端安全终端未安装杀毒软件或病毒库未更新的，每台扣1分；系统补丁缺失严重的，扣3分。5边界防护违规开放高危端口（如3389,22）至公网的，发现一处扣5分。5认证审计关键系统未开启日志审计或强密码策略的，扣5分。5数据安全20%数据备份关键数据无备份或备份不可用的，扣10分；无异地备份的，扣5分。10隐私保护网页源码或公开文档中包含敏感信息（身份证、手机号）的，发现一处扣5分。10宣传教育10%培训活动未组织内部安全培训的，扣5分；未参加学校培训的，扣3分。5意识测试钓鱼邮件测试中，中招率超过10%的，扣2分；超过20%的，扣5分。5应急响应15%应急预案无预案或预案未更新的，扣5分；未开展演练的，扣5分。10事件处置发生安全事件未及时上报的，扣10分；处置不力导致事态扩大的，扣15分。5加分项+10分专项工作在网络安全攻防演练中表现突出的，加3-5分；有创新做法并推广的，加2-5分。+10扣分项-20分重大事故发生重大网络安全事故（如大规模数据泄露、网页篡改影响恶劣）的，直接扣除本项全分。-20根据最终得分，将考核结果划分为四个等级：（一）优秀（S级）：得分≥90分；（二）良好（A级）：80分≤得分＜90分；（三）合格（B级）：60分≤得分＜80分；（四）不合格（C级）：得分＜60分。出现以下情况之一的，年度考核直接定为“不合格”：1.发生重大网络安全责任事故，造成严重社会影响或重大经济损失的；2.存在重大安全隐患，经上级主管部门或学校多次督办仍拒不整改的；3.违反法律法规，导致学校被通报批评或行政处罚的。第七章结果应用与奖惩机制考核结果经领导小组审定后，将在全校范围内进行通报。考核结果纳入各单位年度综合考核评价体系，并作为评优评先、资源分配、干部考核的重要依据。对于考核结果为“优秀”的单位，学校将给予表彰奖励，并在信息化建设经费预算、项目审批上给予优先支持。对在网络安全工作中做出突出贡献的个人，给予相应的物质奖励或精神奖励，并在职称评定、评优推荐中予以倾斜。对于考核结果为“合格”的单位，网信办应下达整改通知书，明确整改内容、时限及责任人。单位需在规定期限内完成整改并提交整改报告，网信办将组织复查。对于考核结果为“不合格”的单位，实行“一票否决”，取消该单位年度评优评先资格。学校将约谈单位主要负责人及分管负责人，责令其限期整改。整改期间，暂停该单位新建信息化项目的审批。对于因工作失职、渎职导致发生重大网络安全事件的，将依据相关规定严肃追究相关责任人的行政及法律责任；涉嫌违法犯罪的，移交司法机关处理。第八章整改与持续改进考核工作的最终目的是提升网络安全防护水平，各单位必须高度重视考核中发现的问题，建立问题清单、责任清单和整改清单，实行销号管理。整改工作应坚持立行立改与长期建设相结合。对于技术漏洞、配置错误等立即可改的问题，必须在考核结束后的5个工作日内完成整改；对于制度缺失、架构优化等需要周期解决的问题，需制定详细的整改计划，明确阶段性目标，原则上整改期限不超过3个月。网信办建立“回头看”机制，对各单位整改情况进行常态化跟踪监测。对于整改不到位、反复出现同类问题的单位，将在下一年度考核中加倍扣分，并视情节严重程度提请学校纪检监察部门介入监督。学校鼓励各单位在整改过程中引入新技术、新方法，如采用云防护、威胁情报、自动化运维安全审计等先进手段，提升