公办学校网络安全监管细则

公办学校网络安全监管细则第一章总则第一条为深入贯彻落实《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》以及教育部关于加强教育行业网络安全工作的指导意见，切实保障公办学校网络空间的安全、稳定、有序运行，保护广大师生和学校的合法权益，特制定本监管细则。第二条本细则适用于各级各类公办学校（含幼儿园、小学、初中、高中、中等职业学校及特殊教育学校）的网络安全管理工作。民办学校可参照本细则执行。第三条网络安全工作遵循“谁主管谁负责、谁运行谁负责、谁使用谁负责”的原则，坚持积极防御、综合防范、分级保护、突出重点的方针，将网络安全纳入学校整体发展规划和年度工作计划，与教学工作同部署、同落实、同考核。第四条学校网络安全监管目标是：确保网络基础设施安全运行，防止网络攻击、病毒传播、系统瘫痪等突发事件；确保数据和信息安全，防止敏感信息泄露、篡改和丢失；确保网络内容健康向上，防止有害信息传播；建立健全网络安全责任制和应急响应机制，提升全员网络安全意识和防护技能。第五条学校应当依据网络安全等级保护制度（以下简称“等保2.0”）要求，对校园网信息系统进行定级、备案、测评和建设整改。核心业务系统原则上不低于网络安全等级保护第三级的要求。第二章组织架构与责任体系第六条学校应当成立网络安全和信息化工作领导小组，作为学校网络安全工作的领导决策机构。领导小组由校长任组长，分管副校长任副组长，成员包括各处室负责人、年级组长及信息技术部门负责人。领导小组主要职责包括：（一）贯彻落实国家及上级部门关于网络安全的政策法规和工作部署；（二）审定学校网络安全总体规划、规章制度和年度预算；（三）协调解决网络安全重大问题，决策网络安全重大事项；（四）监督网络安全责任制落实情况。第七条学校应当设立网络安全管理办公室（或指定信息技术中心、网络中心作为执行部门），配备专职网络安全管理人员。该部门负责网络安全日常工作的具体实施，主要职责包括：（一）起草学校网络安全规章制度和操作规程；（二）负责网络基础设施和信息系统的安全运维管理；（三）组织开展网络安全监测、漏洞扫描、风险评估和等级保护测评；（四）负责网络安全事件的应急处置、报告和调查；（五）组织开展网络安全宣传教育和培训。第八条学校各业务处室（如教务处、德育处、总务处、财务室等）是本部门业务信息系统和数据安全的第一责任主体。各处室应指定一名兼职网络安全联络员，负责配合网络安全管理办公室做好本部门的信息资产梳理、数据安全管理和事件上报工作。第九条建立网络安全责任追究制。对于未履行网络安全职责，导致发生网络安全事件或造成不良影响的，将依照相关规定对相关负责人和直接责任人进行严肃处理。第十条网络安全工作人员应当具备专业的网络安全技能和良好的职业道德，并定期接受专业培训。关键岗位人员实行背景审查，签署保密协议。岗位类别主要职责关键任务责任层级领导小组组长全面负责，决策指挥审批规划、预算、重大事项一级责任分管副组长组织实施，督促检查协调资源、监督考核二级责任网络安全管理员技术防护，日常运维漏洞修复、日志审计、应急响应三级责任部门联络员协同管理，资产梳理数据上报、问题反馈、部门培训四级责任第三章网络基础设施建设与物理安全第十一条学校网络基础设施建设应当同步规划、同步建设、同步运行安全防护设施。新建、改建、扩建的网络工程项目，必须包含网络安全设计方案，并通过安全评审后方可实施。第十二条严格执行物理环境安全管理制度。标准中心机房（数据中心）应当符合GB50174-2017《数据中心设计规范》的相关要求，具备防火、防水、防潮、防雷、防静电、防盗窃、防电磁干扰等物理防护能力。第十三条机房应当实行严格的出入控制。未经授权，任何人员不得进入机房。外来人员因工作需要进入机房的，须经相关部门负责人批准，并由机房管理人员全程陪同，进行实名登记和全程监控记录。第十四条机房内部应当安装环境监控系统，对温度、湿度、电力状态、漏水、烟感等指标进行24小时实时监测和报警。机房供电系统应配备不间断电源（UPS），并具备双路供电或备用发电机，确保在电力中断情况下关键设备能持续运行或安全关机。第十五条网络边界防护应当清晰明确。校园网与互联网接入处必须部署下一代防火墙（NGFW）、入侵防御系统（IPS）和Web应用防火墙（WAF）。核心交换机、服务器区域边界应部署访问控制设备，实现逻辑隔离。第十六条无线网络安全管理。校园无线网络（Wi-Fi）应支持WPA2-Enterprise或WPA3加密协议，禁止使用WEP或预共享密钥（PSK）模式。无线接入点（AP）应隐藏SSID或进行白名单管理，并定期进行安全巡检，防止非法接入和私搭乱建。第十七条网络设备管理。路由器、交换机、防火墙等网络设备应当启用身份鉴别机制，采用强密码策略，并定期更换密码（建议每季度一次）。关闭不必要的服务端口（如Telnet、FTP等），仅保留管理所需的SSH（端口22）、HTTPS（端口443）等安全服务。开启设备日志功能，并将日志发送至专用的日志审计服务器进行集中存储和分析，日志保存期限不少于6个月。第四章信息系统与终端安全管理第十八条信息系统全生命周期安全管理。（一）系统定级备案：新建系统在规划设计阶段应确定安全保护等级，并在上线运行前30个工作日内完成公安机关备案；（二）安全开发：系统开发应遵循安全编码规范，防范SQL注入、跨站脚本（XSS）、远程代码执行等常见漏洞；（三）上线测评：系统上线前必须通过代码审计和渗透测试，三级及以上系统需通过第三方网络安全等级保护测评；（四）废弃处置：系统停止使用或报废时，应对其中的数据进行彻底清除或脱敏处理，并对存储介质进行物理销毁或逻辑格式化，防止数据恢复。第十九条服务器安全管理。服务器操作系统应进行安全加固，关闭非必要服务和账号。必须安装防病毒软件并实时更新病毒库。应定期（至少每月一次）进行系统补丁更新和漏洞修复。严禁在服务器上运行与业务无关的软件或游戏，严禁使用服务器进行未授权的互联网访问。第二十条终端计算机安全管理。学校办公计算机、教学用计算机和电子班牌等终端设备应安装统一部署的终端安全管理软件（含杀毒、准入控制、补丁分发等功能）。严禁私自安装未经安全检测的软件。个人计算机接入校园网需进行实名认证，并接受安全检查。第二十一条移动终端安全管理。教职工因工作需要接入校园内网的移动终端（手机、平板等），必须通过移动设备管理（MDM）系统进行注册和管理。严禁使用未经处理的个人移动终端处理、存储敏感数据。第二十二条软件供应链安全。学校采购办公软件、教学软件、管理软件等信息化产品时，应要求供应商提供软件安全检测报告，并在合同中明确供应商的安全责任和义务，包括漏洞修补、技术支持和售后服务等。严禁下载、安装和使用盗版软件或来源不明的破解软件。第二十三条账号与权限管理。信息系统和操作系统应遵循“最小权限”原则分配账号权限。严格限制超级管理员账号的使用，建立多人共管机制或使用特权账号管理（PAM）系统进行审计。教职工调离岗位或离职时，应在24小时内注销其所有系统访问权限。第五章数据安全与个人信息保护第二十四条建立数据资产分类分级管理制度。根据数据的重要性和敏感程度，将数据划分为核心数据、重要数据和一般数据。核心数据（如学生身份证号、生物识别信息、财务数据等）应采取最高级别的防护措施。第二十五条数据全生命周期安全管理。（一）采集：采集个人信息应遵循“正当、必要、诚信”原则，公开收集规则，明示收集目的、方式和范围，并获得个人或监护人的同意；（二）存储：敏感数据存储应采取加密措施。核心数据不得存储在互联网可直连的服务器上，严禁明文存储；（三）传输：敏感数据传输必须采用HTTPS、SSL/TLS等加密通道，禁止通过互联网明文传输；（四）使用：数据使用应进行权限控制和脱敏处理，严禁违规查询、下载和批量导出敏感数据；（五）销毁：超过保存期限或无需继续保存的数据，应及时进行安全销毁，确保无法被恢复。第二十六条数据备份与恢复。建立完善的数据备份策略，实施“本地备份+异地备份”机制。核心业务系统应实施实时备份或每日增量备份、每周全量备份。备份数据应定期进行恢复演练，验证备份数据的完整性和可用性，确保在灾难发生时能够快速恢复业务。第二十七条个人信息保护重点。严格保护学生和教职工的身份证号、家庭住址、电话号码、银行卡号、健康状况、指纹、人脸等敏感个人信息。严禁非法出售、非法提供或非法泄露上述信息。处理不满十四周岁未成年人个人信息的，应当取得其监护人的同意。第二十八条第三方数据安全管理。学校因业务需要将数据委托给第三方机构（如校讯通服务商、食堂充值系统、在线教育平台等）处理时，应对第三方机构的数据安全保护能力进行评估，签订数据安全保密协议，明确数据的使用范围、存储位置和保护责任。严禁向第三方提供超出业务必要范围的敏感数据。第六章网络内容安全与舆情管控第二十九条严格落实网络信息内容生态治理规定。校园网门户网站、微信公众号、微博、抖音等官方新媒体平台发布的信息，必须严格执行“三审三校”制度（初审、复审、终审，校对），确保信息内容真实、准确、合法、合规。第三十条建立网络内容安全监测机制。部署网页防篡改系统和内容安全监测平台，对学校网站进行24小时监控，一旦发现网页被篡改或出现不良信息，应立即进行断网处理并启动应急预案，在规定时间内（通常不超过30分钟）完成恢复。第三十一条强化校园网电子公告牌（BBS）、留言板、评论区等互动区域的管理。实行用户实名注册制度，先审后发，即时巡查。严禁发布法律法规禁止的信息，以及涉及暴力、色情、赌博、恐怖、邪教等有害内容。第三十二条网络舆情监测与引导。学校应关注涉及本校的网络舆情，建立舆情监测、研判、报告和处置机制。发现负面或敏感舆情，应第一时间上报主管部门，并迅速核实情况，通过官方渠道及时发布权威信息，澄清事实，正面引导，消除不良影响。第三十三条电子邮件安全。学校应建设安全的电子邮件系统，启用反垃圾邮件、反病毒邮件功能。教职工应警惕钓鱼邮件，不随意点击不明链接，不下载不明附件，不在邮件中传输敏感信息。第七章运维管理与应急响应第三十四条建立网络安全日常运维管理制度。定期对网络设备、安全设备、服务器、应用系统进行巡检，记录巡检日志。建立网络安全漏洞管理流程，定期（至少每季度一次）开展漏洞扫描和渗透测试，发现高危漏洞应在72小时内完成修复。第三十五条实行网络安全值班制度。在重要节假日、重大活动期间，启动7×24小时网络安全值班值守制度，保持通讯畅通，一旦发生安全事件，立即响应。第三十六条建立网络安全应急响应机制。制定详细的网络安全事件应急预案，预案应针对不同类型的突发事件（如DDoS攻击、勒索病毒感染、网页篡改、数据泄露等）制定具体的处置流程。第三十七条网络安全事件分级处置。（一）一般事件：学校内部自行处置，事后记录并分析原因；（二）较大事件：在采取隔离、断网等临时措施的同时，立即上报上级教育主管部门，并寻求专业技术支持；（三）重大及特别重大事件：立即断开网络连接，保护现场，立即向上级主管部门和公安机关报告，配合相关部门开展调查和取证工作。第三十八条应急演练。学校每年至少组织一次网络安全应急演练，模拟真实攻击场景，检验应急预案的有效性和可操作性，提升应急处置团队的协同作战能力。演练结束后应进行总结评估，修订完善应急预案。第三十九条建立网络安全通报预警机制。密切关注国家网络安全漏洞库（CNNVD）、国家信息安全漏洞共享平台（CNVD）及上级主管部门发布的安全预警信息，及时获取漏洞情报和威胁情报，提前做好防范措施。第八章教育培训与考核评价第四十条建立网络安全教育培训体系。将网络安全教育纳入教职工继续教育培训体系和学生德育教育体系。第四十一条教职工网络安全培训。每年至少组织一次全员网络安全意识培训，内容包括：法律法规、个人信息保护、密码安全、钓鱼邮件识别、办公终端安全等。对关键岗位人员每年至少开展一次专业技能培训。第四十二条学生网络安全教育。通过信息技术课、专题讲座、主题班会等形式，对学生开展网络安全教育，内容包括：文明上网、防网络诈骗、防沉迷网络、个人信息保护等，引导学生树立正确的网络安全观，培养良好的网络行为习惯。第四十三条网络安全考核评价。将网络安全工作纳入学校年度绩效考核和领导干部履职评价体系。对在网络安全工作中做出突出贡献的部门和个人给予表彰奖励；对未落实网络安全责任，导致发生安全事件的，实行“一票