集团化办学统一网络安全规定

集团化办学统一网络安全规定第一章总则随着教育信息化2.0时代的深入推进，集团化办学已成为优化教育资源配置、促进教育均衡发展的重要模式。在享受数字化教学与管理带来便利的同时，网络安全风险呈现出跨界融合、复杂多变的态势。为保障集团内各成员学校及核心业务系统的连续性、保密性和完整性，依据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》及教育部关于加强教育行业网络安全工作的指导意见，结合集团化办学实际架构，特制定本统一网络安全规定。本规定旨在构建“集团统筹、分级负责、全员参与、技术驱动”的网络安全防御体系，明确集团总部与各成员学校（校区）的安全责任边界，统一安全基线标准，实现网络安全风险的统一监测、统一预警和统一处置，确保教育教学秩序不受网络攻击干扰，保障广大师生与家长的合法权益。本规定适用于集团总部、所有成员学校（含分校、校区、托管校）以及接入集团教育专网的所有单位、部门和个人。所有接入集团网络的计算设备、存储设备、网络设备及用户行为均须遵循本规定。第二章组织架构与职责体系第一节网络安全领导机构集团成立网络安全与信息化领导小组，作为集团网络安全工作的最高决策机构。领导小组由集团总校长担任组长，分管信息化工作的副校级领导担任副组长，成员包括各校区执行校长、信息技术中心主任、教务处主任及财务处主任。领导小组主要职责包括：1.贯彻落实国家网络安全法律法规及上级主管部门的文件精神，制定集团网络安全发展战略与总体规划。2.审定集团网络安全管理制度、年度经费预算及重大安全项目建设方案。3.统一领导网络安全事件的应急处置工作，决策重大安全事件的响应级别与处置措施。4.监督检查各校区、各部门网络安全责任制的落实情况。第二节网络安全执行机构集团设立网络安全与信息化办公室（以下简称“网信办”），作为领导小组的日常办事机构，设在集团信息技术中心。网信办设网络安全主管一名，专职安全管理人员若干。网信办主要职责包括：1.组织实施集团网络安全规划，制定并修订各项安全管理制度与操作细则。2.负责集团网络安全防护体系的建设、运维与管理，包括防火墙、入侵检测、防病毒系统、态势感知平台等的统一配置与策略下发。3.统筹集团网络安全日常监测、漏洞扫描、渗透测试及风险评估工作。4.负责网络安全事件的应急响应技术支撑，协调外部安全厂商及监管机构进行事件处置。5.组织开展全员网络安全意识培训与技能考核。第三节成员学校及部门职责各成员学校应设立相应的网络安全工作小组，由该校执行校长担任第一责任人，并指定至少一名专职或兼职网络信息安全员（简称“安全员”）。各校区及部门职责包括：1.执行集团统一的网络安全策略，配合网信办开展安全检查与整改工作。2.负责本单位内部终端设备、教学设备的日常安全管理与补丁更新。3.负责本单位业务数据的分类分级与备份工作，落实数据保护措施。4.发现网络安全异常情况立即上报网信办，并做好先期处置记录。第三章网络架构与基础设施安全第一节网络分区与边界防护集团网络应采用“核心-汇聚-接入”三层架构，并根据业务属性与安全等级进行逻辑隔离，划分为核心数据区、教育教学区、行政管理区、互联网访问区及DMZ区（非军事化区）。1.核心数据区：部署集团核心数据库、身份认证服务器、财务系统等关键资产。该区域实施严格的访问控制策略，仅允许授权的应用服务器和运维管理人员访问，禁止直接互联网访问。2.教育教学区：承载多媒体教学、电子班牌、智慧课堂等业务。该区域需保障高带宽与低延迟，同时需具备针对内网横向攻击的检测能力。3.互联网出口统一管理：集团原则上统一互联网出口，各校区不得私自违规开通外网线路。在互联网出口处必须部署下一代防火墙（NGFW）、入侵防御系统（IPS）及网页防篡改系统，开启防病毒、防SQL注入、防XSS攻击等防护模块。4.网间隔离：集团教育专网与互联网之间必须部署网闸或逻辑隔离设备，确保敏感数据“单向摆渡”或严格受控交换。严禁未经批准搭建直连互联网的通道。第二节网络设备安全管理1.设备准入：所有网络设备（交换机、路由器、无线控制器等）必须符合国家网络安全标准，采购时需查验设备的安全性证明文件。严禁使用来源不明、被植入后门或已停止维护的“洋垃圾”网络设备。2.配置管理：网络设备配置文件应定期备份（至少每周一次），配置变更须履行申请审批手续。设备默认账号密码必须在上线前修改，且关闭不必要的服务端口（如Telnet、HTTP等，强制使用SSH、HTTPS）。3.物理安全：核心机房及各校区弱电间需达到GB50174-2017规定的C级以上标准，具备门禁监控、防盗报警、环境监测（温湿度、烟感、水浸）及双路供电UPS系统。进出机房需建立严格的登记制度。第三节无线网络安全1.统一认证：集团无线网络（SSID）应统一规划，实施基于802.1X协议的Portal+CA证书认证或短信实名认证，禁止使用PSK预共享密钥方式（除特定封闭用途的物联网专网外）。2.隔离策略：无线网络客户端默认启用隔离策略，禁止无线终端之间直接互访，防止病毒在内网横向传播。3.虚拟AP（VAP）划分：应划分教学用、办公用、访客用独立的SSID。访客网络仅提供互联网访问权限，通过白名单策略限制其访问内网资源，并设置严格的带宽限制与在线时长。第四章数据安全与个人信息保护第一节数据分类分级管理集团建立数据分类分级管理制度，根据数据的重要性和敏感程度，将数据由高到低划分为核心数据、重要数据和一般数据三级。1.核心数据：包括涉及国家安全、集团核心商业秘密、关键业务系统的运行数据，以及大量集中存储的师生个人敏感信息（如身份证号、家庭住址、生物特征、银行卡号等）。此类数据必须存储在核心数据区，实施最高级别的加密存储与访问审计。2.重要数据：包括教学成绩、健康档案、考勤记录、资产信息等。此类数据需进行定期备份，并实施访问控制。3.一般数据：包括公开发布的校园新闻、通知公告、教学课件等。第二节数据全生命周期管理1.数据采集：采集师生个人信息必须遵循“最小必要”原则，公开收集规则，并获得监护人或本人的明确授权。严禁强制采集与教育教学无关的生物识别信息（如指纹、人脸等），确需采集的必须通过严格的安全评估。2.数据传输：核心数据与重要数据在网络传输过程中必须采用国密算法（如SM2/SM3/SM4）或强加密算法（如TLS1.2以上）进行加密传输。严禁使用FTP、Telnet、HTTP等明文传输协议传输敏感数据。3.数据存储：敏感数据落地存储时必须采取加密措施。数据库应开启审计功能，记录所有数据访问操作。生产数据库与测试、开发环境必须物理隔离，严禁将包含真实敏感数据的生产数据直接导入测试环境。4.数据备份：集团建立统一的异地灾备机制。核心业务系统数据库：实施“每日全量+实时增量”备份，备份数据至少保留6个月。关键配置与文档：实施每周一次全量备份。备份介质应定期进行恢复演练，确保备份数据的可用性。5.数据销毁：当存储介质（硬盘、U盘、磁带）报废或离网时，必须使用专业工具进行物理销毁（消磁、粉碎）或符合国家标准的逻辑覆写，确保数据无法被恢复。第三节个人信息保护1.访问控制：对师生个人信息的查询、导出、修改权限必须进行严格审批，实行“一人一权”。系统前台展示个人信息时，应对关键敏感字段（如身份证号、手机号）进行脱敏处理（显示为138****1234）。2.接口管理：开放数据接口给第三方应用（如家校互通APP、钉钉/企业号）时，必须进行严格的身份鉴权与流量控制，签署数据保密协议，明确数据使用范围与安全责任。3.防泄漏：在核心数据区部署数据防泄漏（DLP）系统，监控敏感数据的违规外发行为（如通过邮件、网盘、IM工具外发）。第五章身份认证与访问控制第一节统一身份认证（IAM）集团建设统一身份认证平台，作为所有业务系统的唯一身份源，实现“单点登录（SSO）”。1.账号管理：遵循“一人一号”原则，教职工使用工号、学生使用学号作为唯一标识。离职、转学、毕业人员账号须在人事变动生效当日自动或手动冻结、注销。2.口令策略：长度不少于12位。包含大写字母、小写字母、数字、特殊符号中的至少三种。不得包含用户名、生日等易猜解信息。每90天强制更换一次，且新密码不得与最近3次使用的密码重复。3.多因素认证（MFA）：对于访问核心数据区、远程接入VPN及系统后台管理行为的用户，必须强制开启多因素认证（如密码+手机验证码/动态令牌）。第二节权限控制1.最小权限原则：用户仅拥有完成其工作任务所需的最小权限。严禁给普通用户分配管理员权限。2.角色定义：系统权限应基于角色（RBAC模型）进行分配，角色定义应清晰，避免权限交叉。定期（每学期）审计系统账号权限，及时清理僵尸账号、幽灵账号及越权账号。3.远程访问：严禁向互联网开放RDP、SSH等高风险远程管理端口。运维人员需通过堡垒机（运维安全审计系统）进行远程运维，所有运维操作全程录像、可审计。第六章终端与移动设备管理第一节办公与教学终端管理1.操作系统：终端计算机应安装正版操作系统并开启自动更新功能，及时安装安全补丁。严禁使用WindowsXP、Windows7等已停止官方支持（EOS）的操作系统。2.防病毒软件：集团统一部署企业级终端安全管理软件（EDR），覆盖所有办公PC、教学一体机、服务器。终端必须实时开启病毒查杀功能，并禁止私自卸载或关闭。3.软件安装：建立软件白名单机制，禁止私自安装与工作无关的软件（如游戏、炒股软件、非法破解工具）。USB存储介质使用应受控，重要区域终端禁止USB自动运行。第二节移动互联设备管理1.移动设备管理（MDM）：对教师用于办公的平板电脑、手机等移动设备，建议接入MDM系统进行统一管理，实现设备绑定、应用分发、远程擦除等策略。2.微信/公众号管理：集团及各校区官方微信公众号、小程序必须经过实名认证，并纳入集团统一台账管理。发布内容须严格执行“三审三校”制度，严防政治性错误与虚假信息。3.个人智能设备：严禁教职工将个人拥有的可穿戴设备、智能音箱等物联网设备私自接入集团办公网络；严禁私自架设私人Wi-Fi热点。第七章应用系统与开发安全第一节应用系统全生命周期管理1.开发安全：集团自行开发或委托开发的应用系统，必须遵循安全编码规范。在需求分析阶段需同步提出安全需求，设计阶段需进行威胁建模，测试阶段需进行代码审计与渗透测试。2.采购安全：采购第三方商业软件时，需要求供应商提供软件成分说明（SBOM）及第三方安全测试报告，合同中须明确供应商的安全责任与维保义务。3.上线安全：新业务系统上线前，必须通过网信办组织的安全验收，包括漏洞扫描、合规性检查，未达标者严禁上线运行。第二节Web应用防护1.防护措施：所有对外发布的Web网站、API接口必须部署Web应用防火墙（WAF），有效防御OWASPTop10攻击（如注入、跨站脚本、文件包含等）。2.HTTPS部署：所有对外服务的网站必须全站部署HTTPS加密，使用由正规CA机构颁发的SSL证书，禁止使用自签名证书或已过期证书。3.文件上传：严格限制系统文件上传功能，上传目录禁止执行脚本权限，文件类型与大小须做严格后端校验。第八章应急响应与灾难恢复第一节应急预案体系集团制定统一的网络安全事件应急预案，并针对勒索病毒、网页篡改、数据泄露、DDoS攻击等典型场景制定专项处置流程。1.事件分级：根据影响范围与危害程度，将安全事件划分为特别重大（I级）、重大（II级）、较大（III级）、一般（IV级）四个等级。2.响应流程：遵循“监测发现->研判上报->应急处置->调查取证->恢复加固->总结通报”的闭环流程。第二节应急演练与处置1.演练机制：网信办每年至少组织一次全集团范围的网络安全实战攻防演练或应急桌面推演，检验预案的有效性与人员的协同能力。2.处置原则：发生安全事件时，优先保障人身安全与核心教学秩序。对于勒索病毒感染，应立即断网隔离，禁止重启服务器，保留现场环境等待专业处置。3.协同联动：建立与上级教育主管部门、网信部门、公安机关及专业网络安全公司的协同联动机制，遇到重大攻击及时寻求外部支援。第三节灾难恢复1.恢复目标：核心业务系统RTO（恢复时间目标）应小于4小时，RPO（数据丢失目标）应接近于0。2.演练要求：每学期至少对核心业务系统进行一次灾难恢复演练，验证备份数据的完整性与恢复流程的可行性。第九章监控审计与合规检查第一节安全监控中心（SOC）集团建设或利用SaaS服务模式建立统一的安全运营中心，接入全网日志与流量信息。1.日志留存：防火墙、交换机、服务器、数据库、中间件及关键应用系统的日志必须统一发送至日志审计系统，留存时间不少于6个月，满足《网络安全法》合规要求。2.态势感知：利用态势感知平台，实时监测网络攻击、异常流量、违规外联等安全态势，实现可视化展示与自动告警。第二节安全检查与考核1.常规检查：网信办每月通过技术手段对全网进行漏洞扫描，每季度进行一次深度人工渗透测试与配置核查，发现漏洞下发整改通知书，限期整改。2.专项检查：在重大节假日、重要会议期间（如两会、中高考期间），启动专项保障模式，提升防护等级，实行7x24小时值守。3.考核评价：将网络安全工作纳入各校区及部门年度绩效考核指标。实行“一票否决制”，对发生重大安全责任事故或造成严重不良影响的单位和个人，取消评优评先资格，并依法依规追究责任。第十章安全教育与培训第一节安全意识教育1.教职工培训：每学期组织至少一次全员网络安全意识培训，内容包括防钓鱼邮件、防电信诈骗、个人信息保护、终端安全操作等。新入职教职工必须接受岗前安全培训并考核合格。2.学生教育：将网络安全知识纳入信息技术课程及德育课程，通过主题班会、宣传海报、知识竞赛等形式，教育学生文明上网、健康上网，不沉迷网络游戏，不浏览不良信息，防范网络欺凌。第二节专业技能培训1.技术队伍培养：鼓励网信办及各校区安全员参加CISP、CISSP等专业认证培训，提升技术团队的专业防护能力。2.攻防演练：定期组织内部技术人员参与红蓝对抗演练，提升实战水平。第十一章附则本规定所涉及的条款，若国家相关法律法规及标准规范发生调整，按新的国家标准执行。集团及各成员学校现有的规章制度与本规定不一致的，以本规定为准。本