校园合规化网络安全建设规定

校园合规化网络安全建设规定第一章总则为深入贯彻《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》以及《关键信息基础设施安全保护条例》等法律法规，落实教育部关于加强教育行业网络安全工作的指导意见，切实保障校园网络基础设施安全、稳定运行，保护广大师生个人信息及学校核心数据资产，建立健全校园网络安全综合防御体系，特制定本规定。本规定适用于全校范围内所有计算机网络与信息系统（包括但不限于教学、科研、管理、服务等领域的硬件设施、软件平台、数据资源及虚拟化环境）的建设、运维、使用和管理活动。校园网络安全建设坚持“安全第一、预防为主、综合治理、依法管理”的原则，实行“谁主管谁负责、谁运营谁负责、谁使用谁负责”的安全责任制，将网络安全纳入学校整体发展规划和年度考核指标体系，确保网络安全工作与信息化建设同步规划、同步建设、同步使用。第二章组织架构与责任体系学校应当设立网络安全和信息化领导小组，作为全校网络安全工作的最高领导与决策机构。由校长担任组长，分管信息化工作的副校长担任副组长，成员包括各职能部门、二级学院及直属单位的主要负责人。领导小组的主要职责包括：贯彻落实国家网络安全法律法规及上级主管部门的决策部署；审定学校网络安全战略规划、规章制度和年度工作计划；研究解决网络安全重大问题和突发事件；保障网络安全建设、运维及应急响应所需的经费与人员投入。在网络安全和信息化领导小组下设网络安全管理办公室，挂靠于信息化建设与管理中心（或网络中心），作为日常办事机构。该办公室负责统筹协调全校网络安全技术防护体系建设、日常监测预警、合规性检查及应急处置工作。各单位应指定一名负责人分管本单位网络安全工作，并设立网络安全管理员，具体负责本单位范围内的信息系统安全管理和联络工作，形成“学校—职能部门—二级单位”三层级安全管理责任网络。为落实合规化要求，学校应建立网络安全“三权分立”管理机制，即在信息系统管理中设置系统管理员、安全管理员和安全审计员三个角色。系统管理员负责系统的配置、维护和日常运行；安全管理员负责安全策略的制定、部署和监督；安全审计员负责对系统管理员的操作行为和安全日志进行独立审计。三个角色权限互斥，不得兼任，确保内部操作的可追溯性和抗抵赖性。第三章网络架构与基础设施安全校园网络架构设计必须遵循纵深防御、分区隔离的原则，构建边界清晰、层次分明的网络拓扑结构。应根据业务性质、数据重要性和服务对象，将校园网络划分为外部接入区、公共服务区、内部办公区、教学科研区、核心数据区及安全管理区等不同安全域。各安全域之间应通过下一代防火墙（NGFW）实施严格的访问控制策略，禁止非授权的跨域访问。严格落实网络边界防护措施。在校园网与互联网的接口处，必须部署高性能防火墙、入侵防御系统（IPS）、防病毒网关及流量清洗设备，形成坚固的第一道防线。对于无线网络（WLAN），应实施无线接入认证（如802.1X认证或Portal认证），并采用WPA2-Enterprise或WPA3等高强度的加密标准，禁止开放无密码的开放式Wi-Fi。同时，应对无线网络进行SSID隔离，将访客网络与内部教学办公网络在逻辑上和物理上进行彻底隔离，防止通过无线信道渗透进入内部核心网络。加强网络基础设施物理安全建设。核心机房、汇聚节点机房及重要数据中心应符合GB50174-2017《数据中心设计规范》的要求，具备防火、防水、防雷、防静电、防盗窃、防破坏以及温湿度控制、电力供应等物理环境条件。机房应实施严格的门禁管理，进入机房的人员需进行登记审批，并全程视频监控，监控录像留存时间不得少于90天。对于网络设备（路由器、交换机、服务器等），应关闭未使用的物理端口（如USB、Console口等），并定期检查设备固件版本，及时修补已知漏洞。第四章信息系统全生命周期安全管理信息系统建设必须严格执行“网络安全同步规划、同步建设、同步使用”的“三同步”原则。在信息系统立项阶段，需同步编制网络安全建设方案，并进行安全预算评估。在系统设计与开发阶段，应遵循安全编码规范，对输入数据进行严格校验，防范SQL注入、跨站脚本攻击（XSS）、跨站请求伪造（CSRF）等常见Web漏洞。系统上线运行前，必须通过第三方网络安全服务机构进行代码安全审计和渗透测试，出具安全评估报告，对于存在高危漏洞的系统，整改完毕前严禁上线。落实信息系统等级保护制度。学校所有承载教学、科研、管理及师生敏感数据的信息系统，应依据GB/T22240-2020《信息安全技术网络安全等级保护定级指南》科学确定安全保护等级。对于定为第二级及以上的信息系统，应按规定向属地公安机关网安部门备案，并定期开展等级保护测评工作。第三级及以上信息系统每年至少进行一次等级保护测评，第二级信息系统每两年至少进行一次。测评发现的问题必须制定整改方案，明确整改责任人和完成时限，实行“销号制”管理。加强供应链安全管理。在采购网络设备、安全产品、软件及服务时，应严格审查供应商的资质和产品安全状况，优先选用通过国家相关认证的国产自主可控产品。在合同中明确供应商的安全责任，要求其提供安全承诺函，不得设置后门、恶意代码或未公开的接口。对于关键信息系统的外包运维服务，应与运维服务商签署保密协议，并对其运维人员进行背景审查，运维操作必须在授权范围内进行，并接受学校的全程审计监督。第五章数据安全与个人信息保护建立健全数据分类分级保护制度。依据数据的敏感程度、泄露后对学校及师生造成的影响范围，将数据划分为核心数据、重要数据和一般数据。核心数据（如涉密科研数据、核心财务数据、未公开的涉密档案等）应实施最高级别保护，存储于经过专门加固的安全区域，并采用国密算法进行加密存储和传输；重要数据（如师生身份证号、家庭住址、银行卡号、成绩单等）应实施强访问控制和脱敏处理；一般数据可按标准流程管理。严格规范个人信息采集、存储、使用、加工、传输、提供、公开、删除等全生命周期管理活动。在收集师生个人信息时，应遵循“最小必要”原则，明示收集、使用信息的目的、方式和范围，并取得个人同意。禁止非法收集、超范围收集或强制索要与教育教学无关的个人信息。建立个人信息泄露通知机制，一旦发生个人信息泄露、篡改、丢失等安全事件，应立即启动应急预案，采取补救措施，并按照法律规定及时告知受影响者和向监管部门报告。加强数据备份与恢复管理。建立完善的数据备份策略，对核心数据和重要数据实施定期备份。备份应采用“本地备份+异地备份”相结合的方式，关键系统应实施“热备”或“双活”架构。备份数据应定期进行恢复演练，验证备份数据的完整性和可用性，确保在发生勒索病毒攻击、硬件故障或自然灾害时，能够快速、完整地恢复业务数据。备份数据的存储介质应实施物理隔离和访问控制，防止数据被恶意篡改或删除。第六章身份认证与访问控制建设全校统一的身份认证平台（IAM），实现用户身份信息的集中管理和统一认证。所有信息系统原则上应接入学校统一身份认证平台，取消独立的用户库，实现“单点登录”。严格规范账号管理，实行“实名制”开户，用户账号应与其真实身份（学号、工号）唯一绑定。对于教职工离职、学生毕业或转学等情况，人事部门和学籍管理部门应及时通知信息化管理部门，在规定时间内注销或冻结其相关系统访问权限，防止“僵尸账号”被非法利用。实施强口令策略和多因素认证（MFA）。全校师生账号密码长度不得少于10位，且必须包含大小写字母、数字及特殊符号，并强制要求每90天或180天更换一次。禁止使用弱口令或默认口令。对于访问核心数据区、财务系统、人事系统及远程接入VPN等高风险操作，必须强制实施多因素认证，结合密码、动态令牌、生物特征或手机验证码等多种方式进行身份鉴别，防止因账号密码泄露导致的系统入侵。细化访问控制权限。遵循“权限最小化”原则，根据用户的岗位职责和业务需求，严格分配系统操作权限。系统管理员应定期（每学期至少一次）梳理用户权限清单，及时回收多余的、过期的或不再需要的权限。对于特权账号（如root、admin等），应建立严格的审批和使用流程，使用过程中必须进行全程录屏审计，确保特权操作的可追溯性。第七章运维管理与监测预警构建统一的网络安全态势感知与监测预警平台。通过部署网络探针、日志审计系统（SIEM）、数据库审计系统等工具，对全网流量、系统日志、应用日志及安全设备告警信息进行集中采集、关联分析和可视化展示。监测范围应覆盖所有网络节点、服务器、数据库及重要应用系统。平台应具备异常行为检测能力，能够及时发现暴力破解、挖矿行为、异常外联、数据批量下载等安全威胁，并通过邮件、短信或微信等方式实时向安全管理人员发送告警信息。建立全天候网络安全值班值守制度。信息化管理部门应安排专职人员实行7×24小时网络安全监测值班，负责监控网络安全态势、处置一般安全告警、核实安全事件并上报。值班人员需详细记录值班日志，包括告警发生时间、处置措施、处置结果等。对于重大节假日、重要会议期间，应提升安全防护等级，启动“零报告”制度，确保万无一失。规范漏洞管理与补丁更新。建立常态化的漏洞扫描与修复机制，利用专业漏洞扫描工具对全网服务器、网络设备及Web应用进行定期扫描（核心系统每周一次，普通系统每月一次）。对于扫描发现的漏洞，应进行风险评估，制定修补计划。操作系统、数据库及中间件的安全补丁应在测试环境验证通过后，及时在生产环境进行更新，修补工作需在24小时内完成，对于无法立即修复的高危漏洞，应采取临时规避措施。第八章应急响应与灾难恢复制定完善的网络安全事件应急预案。预案应针对勒索病毒攻击、网页篡改、数据泄露、分布式拒绝服务攻击（DDoS）、大规模木马传播等常见安全事件，制定具体的应急响应流程，包括事件分级、报告时限、处置步骤、溯源分析及后期恢复等内容。应急预案应报上级主管部门备案，并定期进行评审和修订，确保其科学性和可操作性。建立网络安全应急响应支撑团队。团队由校内技术骨干和签约的第三方网络安全服务机构专家共同组成，负责在发生安全事件时提供技术支援、事件分析、系统恢复及取证调查工作。每年至少组织一次全校范围的网络安全应急演练，模拟真实攻击场景，检验应急预案的有效性，提升各单位的协同处置能力和实战水平。强化灾难恢复体系建设。对于关键业务系统，必须建设同城或异地灾备中心。明确恢复时间目标（RTO）和恢复点目标（RPO），确保在发生重大灾难时，核心业务能够在规定时间内恢复运行。定期对灾难恢复预案进行演练，确保备份数据的可用性和恢复流程的顺畅性。第九章宣传教育与合规培训将网络安全教育纳入学校日常思想政治教育体系和教职工培训体系。针对不同群体开展差异化的网络安全培训：1.针对新入职教职工和新生，开展网络安全及信息素养入学教育，普及《网络安全法》等法律法规及学校网络安全管理制度，签订《网络安全承诺书》。2.针对系统管理员和网络管理员，开展专业技术培训，重点涵盖安全配置、漏洞挖掘、日志分析、应急响应等技能，提升其安全运维能力。3.针对普通师生，开展常态化网络安全宣传活动，利用国家网络安全宣传周等契机，通过讲座、海报、微课、知识竞赛等形式，普及防范网络诈骗、保护个人信息、识别恶意软件等常识，提高全员网络安全意识。建立网络安全培训考核机制。教职工的网络安全培训情况应计入年度继续教育学时。系统管理员和关键岗位人员必须通过相关的网络安全专业技能考核或持有国家认可的网络安全资格证书方可上岗。定期组织钓鱼邮件模拟演练，检验师生对网络诈骗的识别能力，对中招人员进行针对性的再教育。第十章监督检查与责任追究建立网络安全常态化监督检查机制。网络安全管理办公室应联合保卫处、保密办等部门，定期对各单位网络安全责任制落实情况、信息系统安全状况、数据安全保护措施等进行专项检查。检查采用技术检测（漏洞扫描、渗透测试）与管理核查（制度查阅、台账检查）相结合的方式。检查结果纳入各单位年度绩效考核和领导班子考核评价体系。实行网络安全通报制度。对于在检查中发现的安全隐患和问题，网络安全管理办公室应下发《网络安全整改通知书》，明确整改内容、期限和责任人。对于未按期整改或整改不到位的单位，在全校范围内进行通报批评。对于发生重大网络安全事件的单位，实行“一票否决”制，取消其年度评优评先资格。严肃追究网络安全责任。对于违反本规定，导致网络安全事件发生，造成学校资产损失、声誉损害或数据泄露的，依据情节轻重及造成的后果，对相关责任人进行批评教育、通报批评、取消绩效、行政处分等处理；构成渎职、失职的，依法依规给予党纪政务处分；违反《中华人民共和国治安管理处罚法》的，由公安机关依法给予行政处罚；构成犯罪的，依法追究刑事责任。第十一章附则本规定中涉及的术语定义：1.校园网：指由学校投资建设、管理维护，用于教学、科研、管理和服务的计算机互联网络。2.信息系统：指由计算机硬件、软件、网络和通信设备等组成的，用于处理、存储和传输数据的系统。3.网络安全事件：指由于自然、人为或技术原因，导致网络、信息系统或数据遭到破坏、更改、泄露或功能失效，从而对学校造成不良影响的事件。本规定由学校网络安全和信息化领导小组负责解释。各单位应根据本规定，结合本单位实际情况，制定相应的网络安全管理实施细则。本规定未尽事宜，参照国家及行业相关法律法规执行。以下为校园网络安全建设中关键系统基线配置核查表，作为本规定的执行性附录，各单位在系统部署时需严格对照执行：核查项目检查内容合规标准/基线要求风险等级账号安全账号是否存在空口令或弱口令禁止存在空口令；密码长度需≥10位，且包含大小写字母、数字及特殊字符高账号安全是否存在默认账号（如admin,root）禁止使用默认账号，必须重命名或删除默认账号高账号安全账号锁定策略连续输错密码5-10次应锁定账号30分钟以上中服务配置是否关闭不必要的高危服务关闭Telnet,FTP,Rlogin等非加密明文传输服务；仅保留业务必需端口高服务配置SSH服务配置禁止root直接远程登录；协议版本设置为v2；修改默认端口(22)中日志审计系统日志开启状态开启系统安全日志、应用日志及操作日志中日志审计日志留存时间关键系统日志留存时间≥6个月，符合《网络安全法》要求高网络防护防火墙策略遵循“默认拒绝”原则，仅开放业务需要的源IP、目标IP及端口高网络防护网络隔离重要数据库服务器不直接暴露在公网，需通过DMZ区或跳板机访问高数据传输加密传输协议Web