校园网络保密工作管理规定

校园网络保密工作管理规定第一章总则第一条为加强校园网络信息安全保密管理，确保学校在教学、科研、管理及对外服务等各项工作中产生的国家秘密、工作秘密及敏感个人信息的安全，维护学校合法权益和公共利益，依据《中华人民共和国保守国家秘密法》、《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》以及教育行政部门关于网络信息安全的相关规定，结合本校实际情况，制定本规定。第二条本规定适用于全校范围内所有接入校园网络的单位和个人，包括但不限于各学院、各部门、各直属单位、附属单位（以下统称“各单位”）以及全体教职工、学生、临时聘用人员、外来访客等。所有涉及校园网络保密工作的活动，均须遵守本规定。第三条校园网络保密工作坚持“积极防范、突出重点、依法管理”的方针，实行“业务工作谁主管，保密工作谁负责”、“谁使用、谁负责”、“谁上网、谁负责”的原则。建立健全保密工作责任制，将保密责任落实到具体岗位和个人。第四条校园网络保密管理的主要目标是：建立健全校园网络保密防护体系，确保涉密信息不上网，上网信息不涉密；防止网络窃密、泄密事件发生；保障校园网络中存储、传输和处理的数据安全，特别是涉及国家秘密、核心科研数据及个人隐私数据的安全。第五条学校设立网络安全与信息化领导小组，统一领导全校网络保密工作。领导小组下设办公室，负责日常网络保密工作的组织、协调、指导和监督。各单位主要负责人是本单位网络保密工作的第一责任人，负责本单位网络保密工作的具体实施。第二章涉密信息与网络隔离管理第六条严格界定涉密信息范围。凡涉及国家秘密的文件、资料、数据，包括但不限于涉密科研项目数据、涉密会议记录、涉密学位论文、未公开的上级机密文件等，严禁存储、处理和传输在连接国际互联网或校园公共网络的计算机及网络设备中。第七条实行涉密网络与非涉密网络物理隔离。学校建设涉密信息系统的，必须按照国家保密标准进行规划、建设和运行，与校园公共网络及其他公共信息网络实行物理隔离。严禁任何形式的物理或逻辑连接，包括使用无线网卡、蓝牙模块等具有无线互联功能的设备。第八条涉密计算机及网络设备的管理。涉密计算机必须专机专用、专人负责，并安装符合国家保密标准的防盗、监控及审计软件。严禁在涉密计算机上安装、使用无线鼠标、无线键盘、无线网卡等无线外围设备，严禁使用具有无线互联功能的红外接口。涉密计算机不得安装任何未经国家安全保密监管部门检测的软件和硬件。第九条严禁使用非涉密计算机（包括连接校园网和互联网的计算机）处理、存储、传输涉密信息。各单位应定期对计算机及存储介质进行自查，清理违规存储的涉密信息。对于因工作需要确需在非涉密网络中传输敏感信息的，必须采取加密、脱敏等安全措施，并经单位保密工作负责人审批。第十条涉密移动存储介质（如涉密U盘、移动硬盘等）实行统一编号、登记管理，严禁在涉密计算机与非涉密计算机之间交叉使用。严禁将私人移动存储介质接入涉密计算机。第三章网络接入与终端设备安全管理第十一条实行校园网络实名认证制度。所有接入校园网络的终端设备（包括台式机、笔记本、手机、平板电脑、物联网设备等）必须经过实名注册和认证。网络中心负责建立并维护用户身份信息库，确保入网身份可追溯、可审计。第十二条严格无线网络接入管理。校园无线网络（Wi-Fi）覆盖区域应明确边界，接入点需启用高强度加密协议（如WPA2-Enterprise或WPA3）。严禁私自搭建无线路由器或开启个人设备的移动热点功能，以免造成网络边界模糊和安全隐患。一经发现，网络中心有权立即切断其网络连接并追究相关责任。第十三条规范远程访问安全管理。教职工在校外通过VPN（虚拟专用网络）访问校园内部资源时，必须使用学校统一提供的VPN客户端，并采用多因素认证方式。严禁使用未经学校授权的第三方VPN服务或远程控制工具（如TeamViewer、向日葵等，经学校批准的特殊维护场景除外）接入校园内网。第十四条加强终端设备安全防护。所有接入校园网络的计算机终端必须安装杀毒软件、防火墙，并及时更新病毒库和操作系统补丁。学校网络中心应定期发布安全预警，指导用户进行安全加固。终端设备不得安装盗版操作系统及应用软件，以防植入恶意后门程序。第十五条物联网及智能设备管理。校园内部署的摄像头、环境监测仪、智能门锁等物联网设备，必须修改默认出厂密码，设置强密码，并定期更换。此类设备应划分至独立的VLAN（虚拟局域网）中，严禁直接访问核心业务数据或互联网，仅允许与指定的服务器进行通信。第四章数据存储与传输保密管理第十六条数据分类分级保护。学校建立数据分类分级保护制度。根据数据的重要性和敏感程度，将数据划分为核心数据、重要数据、一般数据和公开数据，并采取不同级别的保护措施。涉及学生身份证号、家庭住址、健康状况等个人隐私信息，以及学校财务数据、科研核心数据等，属于重要数据或核心数据，应重点保护。第十七条敏感数据存储加密。对于存储在服务器、数据库或个人终端上的敏感数据，必须采取加密存储措施。数据库系统应启用访问审计功能，记录所有数据的查询、修改、删除操作。个人终端上存储的敏感工作文件，建议使用文档加密工具或加密压缩包进行保护。第十八条数据传输安全。在校园网络内传输账号密码、科研数据、财务信息等敏感信息时，必须使用加密通道（如HTTPS、SFTP、SSH等）。严禁使用FTP、Telnet、HTTP等明文传输协议传输敏感数据。电子邮件发送涉密或敏感信息时，必须对邮件正文及附件进行加密处理，并使用学校官方邮箱系统。第十九条禁止违规使用云存储服务。严禁将涉及国家秘密、工作秘密、科研秘密及个人隐私的数据上传至百度网盘、腾讯微云、GoogleDrive等第三方公有云存储服务。确因工作需要需使用经学校审批的云服务，必须签署保密协议，并确保数据存储在境内服务器。第二十条数据备份与恢复管理。各单位应建立数据备份机制，对重要业务数据定期进行备份。备份数据应妥善保管，备份数据的介质应参照涉密介质管理或进行加密处理。恢复备份数据需履行审批手续，防止数据被非法恢复或篡改。第五章科研与学术活动保密管理第二十一条涉密科研项目保密管理。承担涉密科研项目的课题组，必须严格执行国家相关保密规定。项目负责人为保密第一责任人，需对项目组成员进行保密教育培训。涉密项目的实验数据、技术资料、图纸、论文草稿等，必须在涉密计算机或隔离的内部网络环境中处理。第二十二条学术交流与论文发表保密审查。师生在参加国内外学术会议、发表学术论文、申请专利、出版著作或接受新闻媒体采访前，如果内容涉及未公开的科研成果、技术秘密或敏感数据，必须经过所在单位和学校科研管理部门的保密审查。不得在互联网论坛、博客、微信朋友圈、学术社交平台等公开场合泄露未公开的科研细节。第二十三条涉外合作保密管理。在与境外机构、组织或人员开展合作办学、联合科研、学术交流等活动时，必须签订保密协议，明确保密义务和责任。在合作过程中提供或交换的数据、资料，必须经过严格的保密审查和审批，严禁向境外提供国家秘密和敏感信息。第二十四条学位论文保密管理。涉及国家秘密、重大技术发明或正在申请专利的学位论文，作者应申请保密学位论文。保密学位论文在保密期限内不得在互联网公开，其电子版不得上传至公开的论文数据库或互联网平台，仅可在指定的内部查阅系统中按规定权限查阅。第六章账号与权限管理第二十五条账号全生命周期管理。校园网统一身份认证账号、业务系统账号实行“一人一号”制。用户离校、离职或调动岗位时，所在单位应立即通知网络中心及相关业务系统管理员，注销或冻结其原有账号权限，防止账号被非法使用。第二十六条强密码策略。所有校园网账号及业务系统账号必须设置强密码。强密码应包含大小写字母、数字和特殊符号，长度不得少于10位，并定期强制更换（建议每90天更换一次）。严禁使用空密码、默认密码或弱口令（如123456、password等）。第二十七条权限最小化原则。业务系统管理员在分配用户权限时，应严格遵循“权限最小化”和“按需分配”原则。用户仅拥有完成其工作任务所需的最小权限，严禁赋予普通用户管理员权限或越权访问他人数据。第二十八条特权账号管理。系统管理员、数据库管理员、安全管理员等特权账号的创建、使用、变更必须进行严格审批和详细记录。严禁共用特权账号，严禁在非工作时间使用特权账号进行非必要的维护操作。特权账号的操作行为必须纳入审计监控。第七章网络安全监测与应急处置第二十九条安全监测与日志审计。学校网络中心负责对校园网络主干、重要服务器、关键应用系统进行7×24小时安全监测。所有网络设备、安全设备、服务器及应用系统必须开启日志功能，日志记录应完整保存至少6个月以上，重要日志应长期保存。第三十条安全漏洞管理。网络中心定期组织对校园网络系统、服务器、网站及应用软件进行安全漏洞扫描和渗透测试。发现高危漏洞，相关责任单位必须在规定时限内完成修复。对于无法及时修复的漏洞，必须采取临时防护措施（如访问控制、加密传输等）。第三十一条恶意代码防范。学校应在网络边界和关键节点部署恶意代码监测和过滤系统。各单位发现计算机感染病毒、木马或遭受勒索软件攻击时，应立即断开网络连接，保护现场，并向网络中心报告，不得擅自处理或隐瞒不报。第三十二条网络安全事件应急处置。学校制定网络安全事件应急预案，定期开展应急演练。发生网络泄密、数据泄露、黑客攻击等安全事件时，各单位应立即启动应急预案，采取阻断措施，防止事态扩大，并按照规定程序向上级主管部门报告。第八章监督检查与责任追究第三十三条定期保密检查。学校保密委员会办公室联合网络中心，定期或不定期对各单位网络保密工作进行检查。检查内容包括：涉密计算机使用情况、移动存储介质管理、敏感数据存储与传输、账号权限管理、安全防护措施落实情况等。检查结果纳入各单位年度安全考核。第三十四条保密自查自评。各单位应每半年组织一次网络保密自查自评工作，重点排查安全隐患，堵塞管理漏洞。自查报告应报送学校保密委员会办公室备案。第三十五条违规行为处理。违反本规定，造成网络泄密隐患或泄密事件的，学校将视情节轻重，对相关责任人进行批评教育、通报批评、行政处分；构成犯罪的，依法移送司法机关追究刑事责任。第三十六条具体违规情形及处理措施参照下表执行：违规行为类别具体情形描述处理措施涉密信息管理违规在涉密计算机上使用无线互联设备或连接互联网责令立即整改，通报批评，扣除相关绩效在非涉密计算机上存储、处理、传输涉密信息立即删除涉密信息，诫勉谈话，记录违规档案涉密移动存储介质在非涉密计算机上使用收缴介质，强制培训，通报批评网络接入违规私自搭建无线热点或私接路由器强制断网，没收设备，行政警告绕过防火墙或安全网关访问外部资源暂停账号权限30天，严重者开除学籍或解聘未经审批将校外设备接入核心内网立即断开连接，追究审批人及使用人责任数据安全违规将敏感数据上传至公有云或社交网络强制删除数据，全院通报，年度考核不合格未加密传输敏感数据（如明文发密码）责令整改，安全意识培训非法出售、泄露学生或教职工个人信息开除公职或学籍，移交司法机关处理账号管理违规出借、转让个人账号给他人使用冻结账号，通报批评弱口令或长期不修改密码强制修改密码，短信警告共用系统管理员账号或滥用特权取消管理员权限，行政记过第九章宣传教育与培训第三十七条保密宣传教育。学校将网络保密教育纳入新生入学教育、新教职工入职培训体系。利用校园网、宣传栏、微信公众号等多种渠道，普及网络保密法律法规和防护知识，提高全员保密意识。第三十八条专业技能培训。针对涉密人员、系统管理员、网络管理员等关键岗位人员，学校应定期组织专业的保密技能培训和资质考核，确保其具备胜任