2026年中小学教职工校园网络安全制度

2026年中小学教职工校园网络安全制度为进一步规范2026学年及今后一段时期中小学教职工校园网络安全管理行为，防范网络安全风险，保障校园网络平稳运行、师生个人信息安全和教育教学秩序稳定，根据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《中华人民共和国未成年人保护法》《未成年人网络保护条例》《教育系统网络安全事件应急预案（2025版）》《中小学数字校园建设规范（2025修订）》等法律法规和政策文件要求，结合中小学实际运行场景，制定本制度，所有本校在职在编教职工、合同制教职工、临聘人员、外包服务人员、挂职支教人员均须严格遵守。第一章岗位职责第一条层级管理责任学校成立网络安全工作领导小组，由校长任组长，是校园网络安全第一责任人，全面统筹网络安全规划、经费保障、人员配置、事件处置等工作，每年投入网络安全经费不低于学校信息化总经费的15%；分管信息化工作的副校长为直接责任人，负责推进各项安全制度落地、定期开展安全检查；信息中心（或网络安全运维组）作为执行部门，配置不少于2名持证上岗的专职网络安全运维人员，负责日常运维、漏洞排查、日志留存、应急处置等工作。各年级组、职能部门负责人为本部门网络安全第一责任人，负责监督本部门教职工遵守安全制度，及时上报本部门发现的安全隐患。第二条普通教职工通用职责严格遵守网络安全各项规定，妥善保管个人办公账号密码，对本人账号下的所有操作承担全部责任，主动参加网络安全培训，发现安全隐患第一时间上报信息中心，不得利用校园网络资源从事任何违法违规活动。第三条特殊岗位专项职责学籍管理员、资助管理员、心理健康档案管理员等核心数据岗位人员，须签订专项保密协议，不得超越权限访问、导出核心数据，工作调整时须完成账号注销、数据交接、保密承诺重申等流程；班主任作为家校群第一责任人，负责群成员实名认证、入群审批、内容审核，每学期至少开展1次家校群网络安全宣传，引导家长规范使用群聊功能；校园监控运维人员不得私自调取、复制、传播监控录像，非办案需要不得向任何校外人员提供监控内容，监控录像留存时间不低于90天，涉及敏感区域（如卫生间、更衣室周边、心理咨询室门口）的录像权限仅对校长和安保负责人开放。第二章网络接入与终端使用规范第四条实名制接入管理所有教职工办公终端（含台式电脑、笔记本电脑、平板、打印机、扫描仪等）须提前向信息中心提交备案申请，完成MAC地址绑定、IP地址分配、终端安全检测后方可接入校园内网，严禁教职工私自搭设无线路由器、私接网线、共享网络端口给校外人员使用，严禁利用个人移动热点将办公终端接入公共网络后同时访问校园内网。第五条终端安全配置要求所有接入校园网的办公终端须统一安装学校配发的正版杀毒软件和终端安全管理系统，不得私自卸载、关闭安全防护功能，信息中心每月推送系统漏洞补丁，教职工须在收到补丁提醒后3个工作日内完成更新，因逾期未更新导致终端被攻击的，由使用人承担全部责任。第六条账号密码管理要求所有办公系统、网络设备的账号实行一人一号，严禁转借、共用账号；密码设置须满足“长度不少于8位，包含大小写字母、数字、特殊字符”的复杂度要求，每90天强制更换一次，严禁使用初始密码、生日、手机号、“123456”等弱口令，信息中心每季度开展一次弱口令排查，发现弱口令的直接冻结账号，使用人完成整改并提交书面承诺后方可恢复使用。第七条自带设备（BYOD）接入要求教职工因工作需要使用个人设备接入校园内网的，须向信息中心提交申请，完成病毒查杀、安全配置检测、安装终端安全管控插件后方可接入，个人设备接入校园内网期间不得访问违规网站、下载来历不明文件，离职或不再需要接入时须主动向信息中心申请注销接入权限。第八条远程办公安全要求教职工因居家办公、外出教研等需要远程访问校园内网资源的，须使用学校统一部署的VPN系统，VPN账号与个人身份绑定，每次登录日志留存不少于180天，访问结束后须及时断开VPN连接，清除本地缓存的内部办公数据，严禁通过微信、QQ、个人网盘等非官方渠道传输内部敏感文件。第九条终端使用行为禁令严禁在办公终端上安装来历不明的软件、插件、破解程序，严禁浏览涉黄、涉赌、涉诈、涉反动的非法网站，严禁利用办公终端从事刷单、直播带货、有偿补课等与工作无关的活动，严禁在办公终端上存储涉密文件、核心数据。第三章数据全生命周期安全管理规范第十条数据分类分级标准学校实行数据分类分级管理，所有数据划分为三个等级：1.核心数据：包括学生生物识别信息（人脸、指纹、掌纹、虹膜）、学籍信息、特异体质信息、心理健康档案、家庭住址、家长联系方式、资助信息、考试未公开试题、教职工人事档案、薪资数据、学校财务核心数据，该类数据一旦泄露将直接损害师生人身财产安全，影响学校正常办学秩序；2.重要数据：包括校园公共区域监控录像、日常教务安排、非敏感办公文件、学生公开获奖信息、学校年度工作计划，该类数据泄露可能对学校管理造成不利影响；3.公开数据：指学校官网、官方公众号、政务公开平台上对外发布的可公开访问的信息。第十一条数据采集规范采集师生个人信息须遵循“最小必要”原则，不得采集与教育教学无关的信息，不得强制要求学生及家长提供家长职业、收入、房产等非必要信息，采集核心数据前须明确告知数据主体采集用途、存储期限、使用范围，征得学生及监护人书面同意后方可采集，所有采集的数据须统一存储在教育主管部门指定的本地服务器或合规教育云平台，严禁存储在个人电脑、私人网盘、微信文件传输助手等非官方存储介质中。第十二条数据访问与使用规范核心数据实行权限最小化配置，仅授权对应岗位人员访问指定字段，如需导出、复制核心数据，须提交书面申请，经部门负责人审核、分管校长签字批准后方可操作，信息中心对所有核心数据的访问、导出操作留存日志不少于3年，导出的核心数据仅可用于申请载明的用途，使用完成后须在7个工作日内彻底删除，不得私自复制、转发、出售给任何第三方。第十三条数据共享规范确需向校外单位（如教研机构、公益组织、技术服务商）共享师生数据的，须签订专项数据保密协议，明确数据使用范围、安全责任、销毁要求，报上级教育主管部门网络安全管理机构备案后方可共享，共享时仅提供必要字段，不得全量传输核心数据，严禁向校外培训机构、商业营销机构提供任何师生个人信息。第十四条数据销毁规范对于超过存储期限、不再需要留存的数据，须按照规范流程销毁：纸质数据采用碎纸机粉碎处理，电子数据采用多次覆写、磁盘消磁等不可逆方式销毁，核心数据销毁须由2名以上工作人员现场监督，做好销毁记录留存，严禁随意丢弃存储介质、仅通过删除操作销毁电子数据。第十五条个人信息发布禁令严禁教职工在朋友圈、抖音、小红书等公共社交平台发布学生的身份证号、家庭住址、联系方式、健康状况等敏感信息，如需发布学生活动照片、获奖信息，须征得学生及监护人同意，不得在公开场合、公共群聊中发布学生考试成绩排名、负面评价等可能损害未成年人身心健康的内容。第四章网络内容发布与舆情管控规范第十六条校园平台内容审核制度校园平台内容发布实行“三审三校”制度，所有在学校官网、公众号、视频号、校园电子屏、内部办公系统、家校群发布的内容，须经撰稿人自审、部门负责人复审、宣传部门终审后方可发布，谁发布谁负责、谁审核谁负责，发布内容不得违反国家法律法规，不得泄露国家秘密、工作秘密，不得含有低俗、暴力、迷信等不利于未成年人身心健康的内容，不得散布不实信息、恶意抹黑学校及教育系统形象。第十七条个人社交账号使用规范教职工在个人社交平台发布内容时，不得标注学校教职工身份发布不当言论，不得发布学校未公开的工作信息、内部会议内容，不得发布针对学生、家长、同事的人身攻击内容，不得转发未经证实的涉教育、涉校园的不实信息，发现针对学校的不实舆情时，须第一时间上报学校宣传部门或网络安全领导小组，不得随意评论、转发，避免舆情扩大。第十八条家校群管理规范每个家校群仅允许本班班主任、科任老师、学生监护人入群，入群须完成实名认证，群主为班主任，每季度清理一次群成员，及时清退已转学学生家长、无关人员，群内仅可发布与教育教学相关的通知、信息，严禁发布广告、募捐、砍价、营销等无关内容，严禁在群内挑起家长矛盾、讨论不利于学生成长的话题，严禁收取任何形式的群内费用。第十九条校园直播管理规范举办校园开放日、运动会、文艺汇演等活动需要对外直播的，须提前向信息中心和宣传部门报备，直播过程中不得泄露校园安防布局、学生敏感信息，不得拍摄敏感区域，直播生成的录像须经审核后方可对外发布或留存，严禁教职工私自开展面向学生或家长的收费直播、非教学类直播。第五章新兴技术应用场景安全规范第二十条智慧校园设备安全管理校园人脸识别闸机、智慧班牌、智慧黑板、安防监控等物联网设备，须选用符合教育部门安全标准的产品，默认密码须全部修改为强密码，关闭不必要的端口和服务，设备采集的所有数据须存储在学校本地服务器，不得同步至第三方企业服务器，人脸识别数据仅可用于门禁、考勤，不得用于学生行为分析、商业推广等其他用途，信息中心每季度对所有智慧校园设备开展一次漏洞扫描，发现漏洞及时修复。第二十一条教育APP管理规范所有推荐给学生、家长使用的教育APP须选自教育部教育移动互联网应用程序备案名录，严禁教职工私自推荐未备案的APP，不得强制要求学生或家长在APP内充值、消费，不得通过APP采集与教学无关的学生信息，每学期信息中心对在用的教育APP开展一次合规排查，发现存在违规采集数据、超范围使用数据的立即停用。第二十二条AI教学工具使用规范使用AI备课工具、AI作业批改工具、AI个性化辅导工具等AI教育应用时，须选用教育主管部门认定的合规产品，不得将学生的核心数据、未公开的试题上传至第三方公有AI平台，严禁使用生成式AI工具生成含有低俗、错误价值观的教学内容，所有AI工具的使用记录、交互数据须留存不少于180天。第二十三条校园网络常态化运维规范信息中心每月对校园网络、所有系统和设备开展一次全面漏洞扫描，每季度开展一次渗透测试，发现高危漏洞须在72小时内完成修复，中危漏洞15天内完成修复，低危漏洞30天内完成修复，所有运维记录、漏洞修复记录留存不少于1年，每年委托具有资质的第三方机构开展一次网络安全等级保护测评，确保校园网络系统符合等保2.0三级要求。第六章应急处置与问责机制第二十四条事件分级标准网络安全事件分为四个等级：1.一般事件（IV级）：单个终端感染病毒、不影响其他用户和系统运行，未造成数据泄露或不良影响；2.较大事件（III级）：校园网局部区域断网超过2小时，少量重要数据泄露，未涉及核心数据，未造成大范围不良影响；3.重大事件（II级）：校园网全网瘫痪超过4小时，核心数据泄露涉及10人以上，出现不实信息传播造成一定范围舆情，或因网络安全问题影响正常教育教学秩序；4.特别重大事件（I级）：核心数据泄露涉及100人以上，出现学生信息被出售、非法利用情况，或出现涉政、涉恐等违法内容大范围传播，造成严重不良社会影响。第二十五条应急处置流程教职工发现网络安全事件后，须第一时间上报信息中心，信息中心1小时内完成事件等级研判：IV级事件由信息中心直接处置，做好记录；III级事件须上报分管副校长，24小时内完成处置并提交处置报告；II级及以上事件须立即上报校长，同时上报上级教育主管部门网络安全管理机构，配合网信、公安等部门开展处置，处置过程中第一时间切断攻击源，保留完整证据，评估事件影响，如涉及师生信息泄露，须第一时间告知相关人员做好防范，降低损失。第二十六条问责机制1.因教职工个人故意实施违法违规行为，如出售师生个人信息、传播违法内容、恶意攻击校园网络的，一律移送司法机关处理，同时予以开除公职处理，纳入教育系统从业禁止名单；2.因教职工个人过失导致安全事件，如误发敏感信息、使用弱口令导致账号被盗、未及时更新补丁导致终端中毒，未造成严重后果的，予以全校通报批评，扣发当月绩效，取消当年评先评优资格；造成严重后果的，予以记过及以上行政处分，承担相应民事赔偿责任，3年内不得晋升职称；3.因管理失职导致安全事件的，追究部门负责人、分管领导责任，根据情节轻重予以通报批评、行政处分，构成犯罪的移送司法机关处理。第二十七条考核机制网络安全工作纳入教职工年度考核指标，占比不低于10%，年度网络安全考核不合格的，年度考核不得评定为优秀等次，不得参与各级各类人才项目、职称评审申报。第七章培训与常态化运维要求第二十八条培训要求全体教职工每学期须参加不少于2次学校统一组织的网络安全培训，培训内容包括网络安全法律法规、操作规范、应急处置技能，新入职教职工须参加网络安全入职培训，考核合格后方可开通办公账号，核心数据岗位、网络运维岗位人员每年须参加上级教育主管部门组织的专项培训不少于40学时，取得相应培训合格