年度校园网络安全大检查办法

年度校园网络安全大检查办法第一章总则为深入贯彻落实《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》以及教育部关于加强教育系统网络安全工作的指导意见，切实保障校园网络基础设施安全、业务系统稳定运行及核心数据资产完整，建立健全校园网络安全长效机制，特制定本办法。本办法旨在通过规范年度网络安全大检查的组织流程、技术标准、整改措施及责任追究，全面提升学校综合防护能力，确保教学、科研、管理及服务等各项工作的顺利开展。本次检查工作坚持“安全第一、预防为主、综合治理”的方针，遵循“全面覆盖、突出重点、技管并重、注重实效”的原则。检查范围覆盖全校所有联网单位、二级学院、直属机构及附属单位，涵盖网络基础设施、信息系统、网站群、移动应用、云平台、物联网设备、数据中心及各类终端设备。通过制度化、常态化的年度大检查，旨在及时发现并消除重大安全隐患，堵塞安全漏洞，提升全员网络安全意识，构建可信、可控、可查的校园网络安全环境。第二章组织管理与职责为确保年度校园网络安全大检查工作的有序开展，学校成立网络安全与信息化领导小组，作为检查工作的最高领导机构，负责统筹协调重大事项、审定检查方案及批准整改预算。领导小组下设网络安全大检查工作办公室（以下简称“检查办”），挂靠在网络信息中心，具体负责检查工作的组织实施、技术指导、进度督办及结果汇总。网络信息中心作为技术支撑单位，负责制定详细的技术检测方案，组建专业技术检测团队，配置必要的扫描工具、渗透测试设备及日志审计系统。同时，网络信息中心需对全校各单位进行技术培训，协助其开展自查自纠工作，并对各单位提交的自查报告进行技术复核。各二级单位（包括各学院、行政部门、教辅机构等）是本单位网络安全责任主体，需指定专人作为网络安全联络员，负责落实检查办的具体要求，全面开展本单位管辖范围内的资产梳理、漏洞排查、隐患整改及报告报送工作。保密工作办公室、保卫处、学生工作部等部门需协同配合。保密办负责涉密信息系统及涉密载体的安全监管；保卫处负责网络物理环境安全及消防安全的检查；学工部负责学生群体网络安全教育及个人电脑安全防护的引导工作。财务处需保障检查工作所需的专项经费，包括第三方安全服务采购、应急设备购置及整改奖励资金等。第三章检查范围与对象分类本次年度大检查的对象分为六大类，每一类需制定针对性的检查指标与操作规范。第一类为网络基础设施。包括校园网核心交换机、汇聚交换机、接入交换机、无线控制器（AC）、无线接入点（AP）、路由器、防火墙、负载均衡器、入侵检测/防御系统（IDS/IPS）、VPN网关、光缆传输系统及机房配套设施（UPS、空调、精密配电柜）。重点检查网络架构的合理性、设备固件版本、配置备份情况及物理环境安全性。第二类为信息系统与网站群。包括学校官方网站、各二级部门子站、专题网站、教学科研管理系统（如教务系统、科研管理系统、人事系统、财务系统、研究生管理系统）、办公自动化系统（OA）、邮件系统、域名解析系统（DNS）、统一身份认证平台及各类公共服务平台。重点检查系统漏洞、弱口令、网页防篡改、SSL证书有效性及数据交互安全性。第三类为移动应用与新媒体平台。包括学校及各单位官方开发的APP、微信小程序、微信公众号、微博官方账号及其他社交媒体平台。重点检查API接口安全、个人隐私收集合规性、内容安全审核机制及账号权限管理。第四类为云平台与虚拟化环境。包括私有云服务器、公有云租赁资源、容器集群及虚拟机管理系统。重点检查虚拟化软件漏洞、租户隔离有效性、镜像安全、云平台API访问控制及数据残留处理。第五类为数据资产。包括全校各类数据库（MySQL,Oracle,SQLServer等）、教职工及学生个人信息档案、科研数据、财务数据、教学资源数据及各类电子文档。重点检查数据分类分级、敏感数据加密存储、数据备份策略、数据访问权限控制及数据销毁流程。第六类为终端与物联网设备。包括教职工办公电脑、学生机房电脑、多媒体教室中控、智慧教室设备、门禁系统、考勤机、监控摄像头、智能水表电表及各类传感器。重点检查终端杀毒软件安装率、操作系统补丁更新情况、违规外联监控及物联网设备固件更新与默认密码修改情况。第四章检查内容与技术指标第一节网络架构与基础设施安全网络架构安全检查需重点核查网络区域划分是否符合等保2.0要求，核心业务区、数据中心区、办公区、互联网接入区、访客区之间是否实施有效的逻辑隔离。检查边界防护策略，验证防火墙规则是否遵循“最小化原则”，是否存在“anytoany”的高风险策略。核查网络设备的登录认证方式，严禁使用Telnet等明文传输协议，强制要求使用SSHv2或HTTPS管理，且必须启用双因子认证或高强度密码策略。对于无线网络安全，需全面排查无线信号覆盖范围，防止信号泄露至校园外。检查无线加密方式，必须禁止使用WEP或WPA/WPA2-PSK（TKIP）等弱加密算法，强制使用WPA2-Enterprise（AES+802.1X）或WPA3加密标准。核查无线SSID的广播策略及隔离策略，确保访客网络无法访问内部教学科研资源。物理环境安全方面，需检查机房进出登记记录，验证门禁系统的有效性及监控录像保存时长（要求不少于90天）。检查UPS电池续航能力，确保在断电情况下能维持关键设备运行至少2小时。核查机房温湿度控制范围及防雷接地系统的电阻值是否符合国家标准。第二节系统与应用安全信息系统安全检查采用漏洞扫描与人工渗透测试相结合的方式。首先使用专业漏扫工具对目标系统进行全量扫描，检测是否存在SQL注入、跨站脚本（XSS）、远程命令执行、反序列化漏洞等高危漏洞。对于扫描发现的高危漏洞，必须进行人工验证，确认其可利用性及危害程度。重点检查系统的身份认证机制。严禁系统存在弱口令、空口令或默认口令（如admin/admin,root/123456）。核查密码复杂度策略，要求密码长度不少于12位，包含大小写字母、数字及特殊字符，并强制每90天更换一次。检查系统是否具备防暴力破解机制，如登录失败次数限制、验证码校验或账号锁定策略。对于网站群，重点检查网页防篡改系统的运行状态及Web应用防火墙（WAF）的防护策略。核查SSL/TLS证书的有效性及配置强度，禁止使用已过期或自签名证书，强制禁用TLS1.0及TLS1.1协议，仅启用TLS1.2及以上版本，并配置强加密套件。检查网站底部是否按要求备案，是否悬挂公安机关联网备案号及网络安全举报链接。第三节数据安全与隐私保护数据安全检查是本次大检查的核心。需全面梳理各单位掌握的敏感数据资产，建立数据资产清单。重点检查数据库的访问控制，严格限制数据库管理员账号的应用程序访问权限，禁止通过应用程序直接使用高权限账号连接数据库。核查敏感数据存储加密情况，对于学生身份证号、银行卡号、家庭住址、教职工薪酬等敏感信息，必须采用国密算法（如SM4）或国际标准强加密算法（如AES-256）进行加密存储，禁止明文存储。检查数据脱敏机制，在开发测试环境及非授权查询场景下，必须对敏感数据进行掩码处理。数据备份与恢复检查方面，需验证备份策略的执行情况。关键业务系统必须实施“本地+异地”双重备份，且至少保留一份离线备份。核查备份介质的保管安全性，定期进行数据恢复演练，确保备份数据的完整性与可用性。检查数据销毁流程，对于废弃的硬盘、U盘等存储介质，必须进行物理消磁或粉碎处理，严禁简单格式化后丢弃。第四节终端与物联网安全终端安全检查重点针对办公电脑及服务器。通过终端安全管理平台（EDR）检查杀毒软件的安装率、病毒库版本及实时防护开启情况，要求覆盖率达到100%。检查操作系统补丁更新情况，特别是高危漏洞补丁（如CVE级别）的安装时效，要求在补丁发布后7天内完成修复。违规外联监控是检查重点，严禁内部终端私自搭建无线热点、违规连接互联网或私自接入校外设备。检查USB存储介质的使用管理，对于涉密或高敏感区域，建议实施USB端口封禁或仅使用专用加密U盘。对于物联网设备，需重点排查是否存在弱口令、默认Telnet/SSH开启及固件未更新情况。特别是摄像头、智能门禁等设备，必须修改默认密码，并升级至最新固件版本，防止被黑客利用发起僵尸网络攻击或造成视频泄露。检查物联网设备与内网核心业务区域的隔离策略，原则上物联网设备应部署在独立的VLAN或DMZ区。第五章检查流程与实施步骤年度校园网络安全大检查分为五个阶段实施，确保检查工作深入、彻底、无死角。第一阶段：动员部署与资产梳理（每年10月上旬）。检查办发布年度检查通知，召开全校动员大会。各单位需在规定时间内，登录校园网络安全管理平台，填报本单位负责的网络资产清单，包括IP地址、域名、系统名称、责任人、联系方式、开发商及部署环境等信息。检查办对上报资产进行核查，确保“资产清、底数明”，未纳入资产清单的系统视为“违规系统”，要求立即关停。第二阶段：单位自查与初整（每年10月中旬至10月下旬）。各单位对照检查指标体系，对本单位管辖范围内的信息系统、网站及终端进行全面自查。自查内容包括账号权限清理、弱口令修改、日志审计、数据备份等。各单位需填写《网络安全自查自纠报告》，详细记录发现的问题及整改措施，并提交至检查办。检查办对自查报告进行形式审查，对自查零报告的单位进行重点抽查。第三阶段：技术检测与深度扫描（每年11月上旬至11月中旬）。检查办组织专业技术团队（含校内专家及聘请的第三方专业安全机构），利用漏洞扫描工具、Web应用防火墙日志分析、基线配置核查工具等，对全校所有在网运行的资产进行深度技术检测。对于核心业务系统，实施人工渗透测试，模拟黑客攻击路径，挖掘深层次逻辑漏洞。技术检测过程需详细记录，保留截图、漏洞证明及测试数据。第四阶段：隐患通报与限期整改（每年11月下旬）。检查办汇总技术检测结果，形成《年度网络安全大检查技术检测报告》。针对发现的安全隐患，按照“一系统一单”模式，下发《网络安全整改通知书》，明确隐患描述、风险等级、整改建议及完成时限。整改通知书直接发送至各单位主要负责人及网络安全联络员。第五阶段：复核验收与总结考核（每年12月上旬至12月中旬）。各单位完成整改后，提交《整改情况报告》。检查办组织技术人员对高风险隐患的整改情况进行复核验证，实行“销号制”管理，整改合格后方可销号。对于未按时完成整改或整改不到位的单位，进行全校通报批评，并扣减年度信息化考核评分。检查办最终撰写《年度校园网络安全大检查总结报告》，上报学校网络安全与信息化领导小组。第六章评分标准与结果认定为确保检查结果的客观公正，本次大检查采用量化评分制，满分100分。评分结果将作为各单位年度绩效考核、评优评先及信息化经费审批的重要依据。一级指标二级指标分值评分标准扣分规则组织管理(20分)责任落实10明确分管领导与联络员，职责清晰未明确领导扣5分，未指定联络员扣5分制度建设5建立本单位网络安全管理制度无制度扣5分，制度不完善扣2分宣传教育5定期开展安全培训或宣传活动未开展扣5分，无记录扣2分技术防护(40分)弱口令整治15系统无弱口令、空口令、默认口令发现一个弱口令扣5分，扣完为止漏洞修复15及时修复高危及以上漏洞发现一个未修复高危漏洞扣5分终端防护10杀毒软件全覆盖，系统补丁及时更新覆盖率不足90%扣5分，补丁滞后扣5分数据安全(25分)数据备份10执行定期备份，且恢复测试成功无备份扣10分，无恢复记录扣5分敏感数据保护15敏感数据加密存储，权限控制严格发现明文存储敏感数据扣10分应急与处置(15分)应急预案5制定网络安全应急预案无预案扣5分事件处置10发生安全事件及时上报并处置迟报、瞒报扣10分，处置不当扣5分根据最终得分，将检查结果认定为四个等级：1.优秀（90分及以上）：网络安全工作扎实，防护能力强，无重大安全隐患。2.良好（75分至89分）：网络安全工作较好，存在少量一般隐患，能及时整改。3.合格（60分至74分）：网络安全工作基础薄弱，存在较多隐患，需重点督导。4.不合格（60分以下）：网络安全管理混乱，存在重大高危漏洞或发生安全责任事故。第七章整改要求与责任追究对于检查中发现的安全隐患，必须坚持“立行立改、彻底整改”的原则。各单位收到《整改通知书》后，应在3个工作日内制定整改计划，明确整改责任人、整改措施及完成时限。对于能够立即解决的问题（如弱口令、高危端口开放），必须在24小时内整改完毕；对于需要代码改造或系统升级的问题，原则上不超过15个工作日。整改过程中，各单位需加强风险管控，防止因整改操作引发服务中断或数据丢失。如需暂停系统服务进行整改，必须提前向检查办报备，并发布公告。整改完成后，各单位需向检查办提交整改证明材料，包括系统截图、配置文件、漏洞修复报告或第三方检测报告。建立严格的责任追究机制。对于在检查中隐瞒不报、弄虚作假的单位，一经查实，直接定为“不合格”，并全校通报批评，约谈单位主要