学校校园网络及信息安全管理制度

学校校园网络及信息安全管理制度第一章总则为全面加强学校校园网络及信息安全管理工作，切实保障校园网络系统的稳定、安全、高效运行，维护学校、教职员工及学生的合法权益，防范网络违法犯罪活动，依据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》、《中华人民共和国保守国家秘密法》以及教育部、公安部关于网络安全等级保护管理的相关规定，结合本校信息化建设的实际情况，特制定本制度。本制度适用于学校所有接入校园网络的部门、单位、教职员工、学生、临时聘用人员以及访客。校园网络是指由学校投资建设、管理或租赁的，包括有线网络、无线网络（Wi-Fi）、5G专网以及各类业务专网在内的计算机网络系统及相关基础设施。信息安全管理涵盖学校所有信息系统、数据资源、数字化教学资源及在网络环境中产生、传输和存储的所有信息资产。校园网络及信息安全管理工作遵循“谁主管、谁负责，谁使用、谁负责，谁运行、谁维护”的原则，坚持积极防御、综合防范的方针，实行统一规划、统一标准、分级管理、责任到人的管理体制。学校将网络安全工作纳入年度考核体系，建立网络安全责任制，明确各级单位和人员的责任，确保各项安全措施落到实处。第二章组织机构与职责学校网络安全和信息化领导小组是校园网络及信息安全工作的最高领导机构，由校长任组长，分管信息化工作的副校长任副组长，成员包括各职能部门负责人。领导小组的主要职责包括：贯彻落实国家及上级部门关于网络安全的法律法规和政策文件；审定学校网络安全发展规划和规章制度；研究决定重大网络安全事项；协调解决网络安全建设、运维和管理中的重大问题；指挥和协调重大网络安全事件的应急处置。信息化建设与管理中心（以下简称“信息中心”）作为校园网络及信息安全工作的具体执行与技术支撑部门，负责全校网络安全的技术防护体系建设、日常运维监控和安全事件处置。其具体职责包括：制定并实施网络安全技术防护方案；负责网络设备、服务器、安全设备的日常巡检和维护；监测网络流量，防范网络攻击；负责校园网用户的账号管理与身份认证；定期开展网络安全漏洞扫描和风险评估；配合公安机关和上级主管部门进行网络安全检查和案件调查。学校各院系、部处（以下简称“各单位”）是本单位网络安全和信息安全工作的责任主体，行政负责人是第一责任人。各单位需指定一名信息安全员（兼职），负责本单位的信息安全管理工作。各单位职责包括：落实学校网络安全管理制度，规范本单位人员上网行为；负责本单位管理的信息系统和数据资产的安全管理；定期开展自查，及时报告安全风险和隐患；配合信息中心开展安全整改和应急处置工作。岗位层级责任主体主要安全职责领导决策层校领导班子审批战略规划，批准年度预算，决策重大安全事件，确立总体安全方针。管理执行层信息化中心制定技术标准，实施安全防护，监控网络态势，处置安全事件，管理用户账号。业务责任层各院系/部处负责人落实人员管理，保护业务数据，规范系统使用，配合安全检查，上报安全隐患。操作执行层系统管理员/网络管理员配置安全策略，修补系统漏洞，审查日志记录，执行备份恢复，维护安全设备。终端用户层教职工/学生遵守上网规范，保护个人账号，安装杀毒软件，不传播有害信息，配合安全审计。第三章网络基础设施建设与物理安全校园网络基础设施建设必须符合国家相关技术标准，实行同步规划、同步建设、同步使用的“三同步”原则。新建、改建、扩建的计算机网络系统工程，必须在规划阶段包含网络安全设计方案，并经信息中心审核通过后方可实施。工程验收时，必须包含网络安全专项验收，未通过安全验收的项目不得投入使用。网络中心机房是校园网络的核心枢纽，必须严格执行物理安全管理规定。机房必须具备防火、防水、防潮、防雷、防静电、防尘、防电磁干扰、防盗窃、防破坏等物理环境条件。机房内应配备精密空调、不间断电源（UPS）、气体灭火系统、环境监控系统及门禁系统。门禁系统必须记录所有进出人员信息，非机房管理人员未经许可严禁入内。确因工作需要进入机房的，须经信息中心负责人批准，并由专人陪同，签署《机房出入登记表》，全程实施行为监控。机房内的设备布线应符合综合布线标准，强电与弱电线缆应分离敷设，线缆标识清晰规范。网络设备应按功能区域进行物理隔离，核心交换机、服务器、存储设备等关键设备应放置在机柜内并上锁固定。严禁在机房内私自乱接电源、使用大功率电器或存放易燃易爆物品。机房内严禁拍摄、录像，严禁将无关介质带入机房。网络设备包括路由器、交换机、防火墙、负载均衡器等，必须建立详细的设备台账，记录设备型号、序列号、IP地址、物理位置、固件版本、维护责任人等信息。关键网络设备应采用冗余配置，确保单点故障不影响网络整体运行。设备登录账号必须强密码保护，并启用AAA认证。远程管理网络设备必须通过SSH、HTTPS等加密协议进行，严禁使用Telnet、HTTP等明文协议。第四章网络运行与接入管理校园网络实行IP地址统一管理策略。信息中心负责规划全校IP地址段，各部门和个人不得私自更改IP地址、盗用IP地址或私自搭建DHCP服务器。办公区域和教学区域原则上采用静态IP地址分配，学生宿舍及公共区域采用动态IP地址分配。所有接入校园网的设备必须进行实名登记，实现“IP-MAC-账号-人”的绑定关系，确保网络行为可追溯。校园无线网络（Wi-Fi）覆盖全校主要区域，实行统一认证、统一加密。无线接入点（AP）的部署应符合安全规范，隐藏SSID或使用规范化SSID，开启WPA2-Enterprise或WPA3企业级加密认证，禁止使用WEP或WPA-PSK等弱加密方式。无线网络应启用AP隔离功能，防止接入终端之间的非法访问。对于需要开设访客网络的区域，应实施独立的隔离策略，访客网络仅提供互联网访问权限，严禁访问校内核心业务系统。任何单位和个人不得擅自架设无线热点、私接无线路由器或使用随身Wi-Fi设备接入校园网。确因工作需要扩大无线覆盖范围的，须向信息中心提交申请，经审核批准后，由信息中心统一规划和部署。严禁私自搭建网关、代理服务器、NAT穿透等网络服务，严禁利用校园网络从事商业经营活动或提供对外网络服务。校外单位因合作需要接入校园网的，必须由校内合作单位提出申请，签署《网络安全责任书》，明确双方安全责任，并采用VPN、专线或受控的VLAN等方式接入。接入前必须进行安全风险评估，仅开放必要的网络端口和服务。远程访问校内资源必须通过学校统一的VPN网关进行，并实施多因素认证（MFA），严禁直接将校内信息系统端口映射到互联网。第五章信息系统与数据安全管理学校所有信息系统（包括网站、业务系统、移动应用、小程序等）实行全生命周期安全管理。系统建设前需进行安全需求分析，定级备案；建设过程中需进行代码安全审计和渗透测试；上线运行前需通过安全验收。信息系统必须按照国家网络安全等级保护制度要求，根据系统重要程度确定保护等级（二级或以上），并定期开展等级保护测评和整改。信息系统管理员应严格遵守账号权限管理原则，实行“最小权限”和“权限分离”制度。系统必须具备完善的身份鉴别机制，杜绝弱口令、空口令。管理员应定期（每季度至少一次）更换系统密码，密码长度不得少于12位，且包含大小写字母、数字及特殊符号。系统应开启登录失败处理功能，限制非法登录次数，并设置会话自动超时机制。数据安全是信息安全的核心。学校对数据实行分类分级保护，根据数据的重要性和敏感程度，将数据划分为公开、内部、敏感、绝密等不同等级，并采取不同的保护措施。涉及学校商业秘密、个人隐私、科研成果、财务数据等敏感信息，必须加密存储和传输。严禁在互联网上明文传输或存储敏感数据，严禁通过社交媒体、公共网盘等非官方渠道传递工作秘密。数据级别定义范围保护措施要求公开数据可向社会公开的信息，如学校简介、招生简章等基础防护，确保数据完整性，防止篡改。内部数据仅限校内使用的非敏感数据，如通知公告、一般教学资料访问控制，需校内身份认证，禁止非法外传。敏感数据涉及个人隐私、财务信息、未公开科研成果等强访问控制，加密存储，传输加密，操作审计。绝密数据涉及国家安全、核心机密的数据物理隔离，专用终端，专人管理，高强度加密，严格审批。数据备份是保障业务连续性的关键措施。信息中心及各业务系统管理员必须建立完善的数据备份策略。对于核心业务数据，应实施“本地备份+异地备份”策略，并定期进行备份恢复演练。备份数据应妥善保管，并采取防篡改、防泄露措施。备份数据的保存期限应符合相关法律法规和档案管理要求。第六章用户行为规范与身份认证校园网用户实行实名制管理。教职员工入网需凭工号，学生入网需凭学号，统一通过学校身份认证系统进行认证。新生入学、新教职工入职时，由相关部门统一开通网络账号；离校、离职或退休时，应注销其网络访问权限。用户账号仅限本人使用，严禁转借、转让、出租给他人使用，严禁盗用他人账号上网。用户在使用校园网络及互联网服务时，必须严格遵守国家法律法规和学校规章制度，自觉维护网络秩序。严禁利用校园网络制作、复制、查阅、传播下列信息：反对宪法所确定的基本原则的；危害国家安全，泄露国家秘密，颠覆国家政权，破坏国家统一的；损害国家荣誉和利益的；煽动民族仇恨、民族歧视，破坏民族团结的；破坏国家宗教政策，宣扬邪教和封建迷信的；散布谣言，扰乱社会秩序，破坏社会稳定的；散布淫秽、色情、赌博、暴力、凶杀、恐怖或者教唆犯罪的；侮辱或者诽谤他人，侵害他人合法权益的；含有法律、行政法规禁止的其他内容的。用户应自觉维护计算机系统安全，安装并及时更新杀毒软件和操作系统补丁。严禁故意制作、传播计算机病毒等破坏性程序，严禁攻击校园网络服务器、网络设备或其他用户终端，严禁扫描端口、嗅探流量、破解密码等黑客行为。严禁私自开启网络共享服务，严禁占用大量网络带宽资源（如P2P下载、广播视频等）影响他人正常使用。电子邮件系统是学校重要的办公通讯工具，用户应规范使用电子邮件。严禁利用学校邮箱发送垃圾邮件、钓鱼邮件或携带病毒的邮件。邮箱用户应设置高强度密码，并开启邮箱登录异地提醒等安全功能。处理涉及敏感信息的邮件时，应使用加密手段。严禁将工作邮件自动转发至个人免费邮箱（如QQ、163等），防止数据泄露。第七章终端设备安全管理接入校园网的终端设备（包括台式机、笔记本、服务器、打印机、智能终端等）必须符合安全接入规范。终端设备应安装经过授权的正版操作系统和应用软件，并开启系统自动更新功能。所有终端必须安装学校指定的终端安全管理软件（如杀毒软件、桌面管理软件），并保持病毒库为最新版本。未安装安全软件或存在高危漏洞的终端，信息中心有权限制其接入校园网络。移动存储介质（U盘、移动硬盘等）是数据泄露和病毒传播的重要途径，需严格管理。严禁在涉密计算机与互联网计算机之间交叉使用移动存储介质。接入处理敏感信息计算机的移动存储介质，必须进行加密处理和病毒查杀。学校鼓励使用云盘等在线协作方式替代物理移动存储介质进行文件传输。服务器是信息系统的核心载体，必须强化安全管理。服务器应关闭不必要的服务和端口，仅开放业务必需的网络通信。服务器管理员应定期检查系统日志，关注异常登录和操作行为。服务器上严禁运行与业务无关的软件，严禁进行非授权的远程控制操作。对于托管在信息中心机房的服务器，托管单位需配合信息中心进行安全管理和维护。BYOD（自带设备）接入校园网需进行严格管控。教职工个人笔记本电脑、平板电脑等设备接入校园网，需接受终端安全检查，符合安全基线要求后方可入网。对于通过无线网络接入的移动智能终端，应限制其访问内部核心服务器资源。对于感染病毒或发起攻击的终端设备，信息中心将立即断开其网络连接，直至安全隐患消除。第八章网络安全监测与应急响应学校建立健全网络安全监测预警体系。信息中心负责利用防火墙、入侵检测/防御系统（IDS/IPS）、Web应用防火墙（WAF）、态势感知平台等安全设备，对校园网络流量和系统运行状态进行7×24小时实时监测。监测内容包括网络攻击、病毒爆发、异常流量、违规访问、网页篡改等。一旦发现安全威胁，系统应自动报警并生成日志记录。网络安全事件应急处置遵循“统一指挥、快速反应、协同作战”的原则。学校制定《网络安全事件应急预案》，并定期组织演练。根据网络安全事件的性质、严重程度和影响范围，将安全事件划分为四个等级：特别重大事件（I级）、重大事件（II级）、较大事件（III级）和一般事件（IV级）。事件等级描述特征响应时限I级（特别重大）全校性网络瘫痪，核心数据大规模泄露，核心系统被篡改，造成严重社会影响立即响应，30分钟内上报，启动最高级处置流程II级（重大）大面积网络中断，重要业务系统停摆，敏感信息泄露立即响应，1小时内上报，启动专项应急预案III级（较大）局部网络故障，个别系统受攻击，网页被篡改2小时内响应并处置，24小时内上报IV级（一般）单台设备中毒，个别账号被盗，轻微网络攻击4小时内响应并处置，记录备案发生网络安全事件时，发现人应立即向信息中心报告。信息中心接到报告后，应立即进行研判，确定事件等级，并启动相应级别的应急响应流程。处置措施包括：断开网络连接（物理隔离或逻辑隔离）、保留现场证据（日志、数据、截图）、分析攻击来源和路径、清除恶意代码、恢复系统和数据、修补安全漏洞。对于涉及违法犯罪的行为，应立即向公安机关报案，并协助调查。应急处置结束后，信息中心应组织编写《网络安全事件调查处理报告》，分析事件原因，评估损失，总结经验教训，提出整改措施，并上报学校网络安全和信息化领导小组。报告内容应真实、准确、完整，不得瞒报、谎报或缓报。第九章安全教育与培训学校高度重视网络安全意识和技能的教育培训工作，将网络安全教育纳入师生安全教育体系。针对不同对象，开展分层次、分类别的安全培训。针对教职员工，每年至少组织一次全员网络安全意识培训，内容包括国家网络安全法律法规、学校网络安全制度、个人信息保护、常见网络诈骗防范、办公终端安全操作规范、邮件安全使用规范等。各部门信息安全员应接受专业的技术技能培训，具备初步的安全事件研判和处置能力。针对学生，通过开设信息技术课程、专题讲座、主题班会、校园文化活动等形式，普及网络安全知识。重点教育学生健康文明上网，自觉抵制网络谣言、网络暴力、网络赌博和不良信息，防范网络诈骗和钓鱼网站，保护个人隐私信息。鼓励学生参与网络安全知识竞赛、网络安全攻防演练等活动，提升实践能力。针对新入职教职工和新生，在入学、入职教育环节中必须包含网络安全培训内容，确保其在上岗或入学前掌握基本的网络安全常识和学校相关管理规定。培训后应进行考核，考核不合格者需重新培训。信息中心应定期发布网络安全预警信息、安全通报和防护建议，通过校园网门户、公众号、邮件等渠道推送至全校师生，提高全员安全防范意识和应对能力。第十章监督检查与责