高等学校数据资产管理办法

高等学校数据资产管理办法第一章总则第一条为规范本校数据资产管理，保障数据安全，提升数据资产价值，充分发挥数据在教学、科研、管理、服务中的支撑作用，根据《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《中华人民共和国网络安全法》《政务数据共享开放条例》《高等学校信息化建设标准》等法律法规及政策要求，结合学校实际，制定本办法。第二条本办法所称数据资产，是指学校及所属单位在履行职能、开展业务过程中产生、采集、加工、使用的，以电子或者其他方式记录的，具有明确使用价值和权属关系的各类数据资源，包括但不限于结构化数据、半结构化数据、非结构化数据。具体范畴涵盖：（一）基础数据：包括师生员工身份数据、机构组织数据、校区场地数据、资产设备数据等反映学校基本运行状态的公共基础数据；（二）业务数据：包括教学管理数据、科研项目数据、学生管理数据、人事管理数据、财务管理数据、资产管理数据、后勤服务数据、对外合作数据等各业务领域产生的专项业务数据；（三）科研数据：包括科研项目实施过程中产生的实验数据、观测数据、调查数据、算法模型、研究成果数据等具有学术价值和经济价值的数据资源；（四）公共服务数据：包括面向师生提供的校园服务数据、面向社会提供的继续教育数据、产学研合作数据等对外交互类数据；（五）衍生数据：指对原始数据进行清洗、关联、分析、建模后形成的决策支持数据、趋势预测数据、绩效评估数据等经过增值加工的数据产品。第三条本办法适用于学校各党政管理部门、教学科研单位、直属附属单位，以及代表学校对外开展合作的临时项目组（以下统称“各单位”），所有涉及学校数据资产采集、存储、加工、共享、开放、使用、销毁等活动的单位和个人，均须遵守本办法。第四条学校数据资产管理遵循以下原则：（一）权属清晰原则：学校是所有数据资产的所有权主体，任何单位和个人不得擅自以个人或第三方机构名义占有、使用、处置学校数据资产；（二）统一归集原则：所有符合标准的数据资产须统一纳入学校数据资产目录管理，实现“应归尽归、一数一源”；（三）安全可控原则：数据资产全生命周期管理须落实安全等级保护要求，保障数据完整性、保密性、可用性，防范数据泄露、篡改、滥用风险；（四）价值赋能原则：在保障安全的前提下推动数据资产合规共享、有序开放，充分挖掘数据价值，支撑学校治理体系和治理能力现代化，服务人才培养、科学研究和社会服务职能。第五条学校数据资产实行分级分类管理，根据数据的敏感程度、影响范围将数据分为公开级、内部级、敏感级、机密级四个等级，根据业务属性分为基础类、业务类、科研类、服务类四个类别，分级分类标准另行制定《高等学校数据资产分级分类规范》予以明确。第二章管理机构与职责第六条学校设立数据资产管理委员会，作为数据资产管理的最高决策机构，由校长担任主任，分管信息化工作、科研工作、财务工作的校领导担任副主任，成员包括党政办公室、信息化建设与管理处、科学技术处、人事处、学生工作处、财务处、国有资产管理处、保密办公室、法律事务办公室等部门主要负责人。委员会主要职责：（一）审议学校数据资产管理相关战略规划、规章制度、重大项目方案；（二）统筹协调全校数据资产管理重大事项，解决跨部门数据权属争议、共享开放壁垒等问题；（三）审核学校数据资产安全管理重大决策，审批重要数据对外合作、开放等事项；（四）监督考核各单位数据资产管理工作成效。第七条数据资产管理委员会下设办公室，挂靠信息化建设与管理处，作为数据资产管理的日常执行机构，主要职责：（一）牵头制定学校数据资产管理相关制度、标准、技术规范，组织开展制度宣贯和业务培训；（二）负责学校数据中台、数据资产目录系统、数据安全管控平台等基础设施的建设、运行和维护；（三）组织开展全校数据资产普查、登记、确权、评估工作，动态更新数据资产目录；（四）统筹协调跨部门数据共享需求，审核数据共享、开放申请，监督数据使用合规性；（五）组织开展数据资产安全检查、风险评估、应急处置工作，配合有关部门开展数据安全事件调查；（六）定期向数据资产管理委员会汇报全校数据资产管理工作情况，提出优化改进建议。第八条各业务主管部门是本领域数据资产的责任主体，实行“谁产生、谁负责，谁使用、谁负责”的责任机制，主要职责：（一）制定本领域数据资产管理制度细则，明确本单位数据资产管理岗、数据安全岗责任人，报信息化建设与管理处备案；（二）负责本领域数据的采集、校核、更新、存储，保障本单位产生的数据真实、准确、完整、及时，对数据质量承担首要责任；（三）梳理本单位数据资产清单，完成数据资产登记，配合开展数据资产确权、评估工作；（四）提出本单位数据共享需求，响应其他单位的数据共享申请，明确本领域数据的共享范围、使用条件；（五）落实本领域数据安全防护措施，开展本单位数据安全自查、风险隐患整改，配合开展数据安全事件调查。第九条保密办公室负责指导涉密数据的安全管理工作，审核涉密数据的采集、存储、使用、销毁等环节的合规性，监督涉密数据全生命周期管理的保密要求落实。法律事务办公室负责数据资产管理相关合同、协议的合法性审查，指导处理数据资产相关的法律纠纷。财务处负责数据资产相关经费的预算审核、经费监管，配合开展数据资产价值评估、资产入账工作。国有资产管理处负责将数据资产纳入学校国有资产管理体系，统筹数据资产的产权登记、处置审批等工作。第十条各二级学院、科研团队作为科研数据的产生主体，负责落实科研数据的管理责任，明确科研项目数据负责人，保障科研数据真实可追溯，按照学校要求做好科研数据的归集、存储、共享工作，涉及国家秘密、商业秘密的科研数据须按规定落实保密管理要求。第三章数据资产全生命周期管理第一节数据采集与登记第十一条数据采集实行“一数一源”原则，各单位采集数据须明确唯一数据源，避免重复采集、多头采集。能够通过学校数据中台共享获取的数据，不得要求师生重复填报，不得重复建设同类数据采集系统。第十二条各单位采集数据须符合学校统一数据标准，《高等学校公共数据元规范》是全校数据采集的统一依据，新增数据元须报信息化建设与管理处审核后纳入统一标准体系，确保数据格式、编码规则、口径定义全校统一。第十三条数据采集须遵循合法、正当、必要原则，不得采集与业务无关的信息，不得过度采集个人信息。采集敏感级、机密级数据须明确采集的法律依据、使用目的，告知数据主体采集范围、使用方式、存储期限等事项，征得数据主体同意，法律法规另有规定的除外。第十四条学校实行数据资产登记制度，各单位对本领域产生、管理的所有数据资产，须在数据资产目录系统中完成登记，登记内容包括数据名称、数据来源、数据格式、数据量、更新频率、责任单位、责任人、安全等级、共享属性、使用范围等要素。第十五条新增数据资产须在产生后30个工作日内完成登记，数据要素发生变更的，责任单位须在10个工作日内更新登记信息。信息化建设与管理处每年组织一次全校数据资产普查，核对数据资产登记信息的准确性，更新全校数据资产总目录。第二节数据存储与质量管理第十六条学校数据资产实行分类分级存储，公开级、内部级数据可存储在学校公共云存储资源，敏感级数据须存储在学校本地涉密程度匹配的专用存储设备，机密级数据须按照保密管理要求存储在符合国家保密标准的涉密存储介质，严禁将敏感级、机密级数据存储在境外服务器或未经安全审核的第三方云平台。第十七条各单位须建立数据质量管控机制，落实数据校核、更新责任：（一）基础数据实行“谁产生、谁更新”，责任单位须根据业务变动实时更新数据，保障数据准确率不低于99%；（二）业务数据实行“日周月”更新机制，高频业务数据每日更新，中频业务数据每周更新，低频业务数据每月更新，更新时效要求须在数据资产目录中明确标注；（三）科研数据实行项目全周期管理，项目负责人须在项目结题后3个月内完成科研成果数据的整理、归集和登记，长期保存的科研数据须每3年开展一次介质巡检和数据迁移，避免数据损坏丢失。第十八条信息化建设与管理处牵头建立数据质量评估机制，定期对各单位数据的完整性、准确性、一致性、时效性进行评估，评估结果纳入各单位年度绩效考核，对数据质量不达标的单位下达整改通知书，限期完成整改。第三节数据共享管理第十九条学校数据共享遵循“按需共享、授权使用、全程溯源”原则，除法律法规另有规定或涉及国家秘密、商业秘密、个人敏感信息的情形外，各单位产生的公共数据须无条件向校内授权单位共享，不得设置不合理的共享壁垒。第二十条数据共享分为无条件共享、有条件共享、不予共享三类：（一）无条件共享类：指可以提供给所有校内单位使用的公共基础数据，由数据责任单位明确共享范围后，直接在数据中台开放共享接口，授权单位可按需调用；（二）有条件共享类：指仅能提供给特定单位、用于特定用途的数据，需求单位须提交共享申请，说明使用目的、使用范围、使用期限，经数据责任单位审核同意、信息化建设与管理处备案后，方可获取相关数据；（三）不予共享类：指法律法规规定不得共享，或涉及国家秘密、未公开的敏感业务数据、核心科研数据的，数据责任单位须明确不予共享的依据，报数据资产管理委员会备案。第二十一条数据共享申请审核流程：（一）需求单位登录数据资产目录系统，填写《校内数据共享申请表》，明确共享数据清单、使用场景、安全保障措施，由单位主要负责人签字确认后提交；（二）数据责任单位在5个工作日内完成审核，同意共享的明确使用权限和期限，不同意共享的说明理由并提供相关依据；（三）审核通过的，由信息化建设与管理处开放数据访问权限，签署《数据共享使用承诺书》后方可使用；（四）跨部门共享争议事项由数据资产管理委员会办公室协调解决，协调不成的报数据资产管理委员会审议决定。第二十二条数据使用单位须严格按照申请的用途、范围使用共享数据，不得擅自扩大使用范围、泄露共享数据，不得将共享数据用于与申请用途无关的活动，不得向第三方转让、出售共享数据。共享期限届满后，使用单位须主动销毁相关数据，信息化建设与管理处同步回收访问权限。第四节数据开放与对外合作第二十三条学校数据开放遵循“安全可控、分级开放、合规有序”原则，优先开放与师生服务、社会公共服务相关的非敏感数据，涉及国家秘密、商业秘密、个人敏感信息的数据不得开放。第二十四条数据开放分为主动开放、依申请开放两类：（一）主动开放类：指面向社会公众公开的非敏感数据，包括学校基本信息、办学成果、公开招聘信息、招生信息、收费标准等，由数据责任单位审核内容后，通过学校官方网站、公开数据平台发布；（二）依申请开放类：指仅能提供给特定主体用于公益服务、学术研究等场景的数据，申请主体须提交《数据开放申请表》，说明申请主体资质、使用目的、使用范围、安全保障措施，经数据责任单位审核、信息化建设与管理处复核、数据资产管理委员会审批同意后，方可开放。第二十五条对外开展数据合作，包括向校外单位提供数据、与校外单位联合开展数据研究、合作开发数据产品等，须由牵头单位提交合作方案，明确数据范围、使用方式、知识产权归属、安全责任、违约责任等内容，经信息化建设与管理处、保密办公室、法律事务办公室联合审核，报数据资产管理委员会审批后，签署正式合作协议方可实施。第二十六条对外合作产生的衍生数据资产，除协议另有约定外，权属归学校所有，合作方仅享有协议约定范围内的使用权，不得擅自向第三方转让、公开相关数据。涉及科研成果转化的数据合作，须同时符合学校科技成果转化相关管理规定。第五节数据资产销毁第二十七条达到存储期限、无使用价值的data资产，或按照法律法规要求须销毁的数据，由责任单位提出销毁申请，明确销毁数据清单、销毁原因、销毁方式，经信息化建设与管理处、保密办公室审核后，按照规定程序销毁。第二十八条数据销毁须根据数据安全等级选择合规的销毁方式：（一）公开级、内部级电子数据可采用逻辑删除、介质格式化方式销毁；（二）敏感级电子数据须采用消磁、物理粉碎等方式销毁存储介质，确保数据无法恢复；（三）机密级数据须由保密办公室监督销毁，做好销毁记录，严禁擅自丢弃、出售存储过机密级数据的存储介质。第二十九条销毁完成后，责任单位须在10个工作日内更新数据资产目录登记信息，相关销毁记录、审核材料存档期限不少于10年。第四章数据资产安全管理第三十条各单位须落实数据安全主体责任，建立“人防、技防、制度防”三位一体的安全防护体系，落实网络安全等级保护2.0要求，敏感级以上数据资产须匹配相应等级的安全防护措施。第三十一条实行数据访问权限最小化原则，各单位须根据岗位需求设置数据访问权限，权限分配须经单位主要负责人审批，定期开展权限梳理，及时调整离岗、转岗人员的访问权限，严禁超权限访问数据。第三十二条敏感级、机密级数据的访问、导出、加工等操作须全程留痕，操作日志保存期限不少于6个月，涉及国家秘密的数据操作日志保存期限不少于3年。信息化建设与管理处定期开展操作日志审计，发现异常操作及时预警、核查处置。第三十三条学校建立数据安全风险评估机制，每年至少开展一次全校数据资产安全风险评估，对发现的风险隐患下达整改通知书，责任单位须在限期内完成整改。重大活动、重要数据合作项目实施前须开展专项安全评估。第三十四条各单位须制定本领域数据安全应急预案，明确应急处置流程和责任分工，定期开展应急演练。发生数据泄露、篡改、丢失等安全事件时，须第一时间向信息化建设与管理处、保密办公室报告，启动应急预案，采取补救措施，配合有关部门开展调查，不得迟报、瞒报、漏报。第三十五条涉及个人信息的数据处理活动须严格遵守《中华人民共和国个人信息保护法》要求，不得非法收集、存储、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息，处理敏感个人信息须取得个人单独同意，法律法规另有规定的除外。第五章数据资产价值评估与运营第三十六条学校建立数据资产价值评估机制，由信息化建设与管理处、财务处、国有资产管理处联合制定《数据资产价值评估规范》，从数据质量、使用频率、应用成效、稀缺性等维度，定期开展数据资产价值评估，评估结果作为数据资产入账、资源分配、绩效考核的重要依据。第三十七条符合国有资产入账条件的数据资产，由责任单位提交评估报告，经财务处、国有资产管理处审核后，按照国有资产管理规定登记入账，纳入学校国有资产统一管理。第三十八条鼓励各单位在合规前提下开展数据资产运营，挖掘数据资产价值，支撑学校治理决策、人才培养模式创新、科研成果转化。运营产生的收益按照学校国有资产收益管理相关规定执行。第三十九条学校设立数据资产创新专项基金，对在数据共享、数据应用、数据价值挖掘方面取得突出成效的单位和个人给予奖励，支持优秀数据应