民办学校网络安全主体责任办法

民办学校网络安全主体责任办法第一章总则第一条为深入贯彻落实《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》以及《关键信息基础设施安全保护条例》等法律法规，切实加强民办学校网络安全工作，明确网络安全主体责任，保障学校信息系统、数据资源及师生个人信息的机密性、完整性和可用性，维护校园网络空间的安全稳定，结合民办学校办学特点与实际情况，制定本办法。第二条本办法适用于国家机构以外的社会组织或者个人，利用非国家财政性经费，面向社会举办的各级各类民办学校（以下简称“学校”），包括民办幼儿园、民办小学、民办初中、民办高中、民办中等职业学校、民办普通高等学校及民办非学历高等教育机构等。学校举办的附属机构、在线教育平台及相关合作运营项目均须纳入本办法管理范畴。第三条网络安全工作坚持“谁主管谁负责、谁运营谁负责、谁使用谁负责”的原则。学校是网络安全工作的责任主体，学校的法定代表人（或主要负责人）是网络安全第一责任人。学校应当将网络安全工作纳入学校整体发展规划和年度工作计划，与教学工作、管理工作同部署、同落实、同考核、同奖惩。第四条网络安全工作的核心目标是建立健全网络安全责任体系，落实网络安全等级保护制度，强化关键信息基础设施安全保护，提升数据安全治理能力，防范网络攻击、网络窃密、网络诈骗、散布有害信息等违法犯罪活动，确保校园网络不发生重大网络安全事件，不发生由于网络安全问题引发的重大社会稳定事件。第五条学校应当保障网络安全建设、运维、检测、评估及应急演练等经费投入，将网络安全经费纳入年度预算，确保网络安全防护能力与学校信息化发展水平相适应，满足安全防护需求。第二章组织领导与责任体系第六条学校应当建立网络安全工作领导小组，作为学校网络安全工作的领导和决策机构。领导小组由学校法定代表人任组长，分管信息化工作的校领导任副组长，成员包括教务、学工、财务、人事、宣传、科研、保卫、信息技术中心等部门负责人。领导小组的主要职责包括贯彻落实上级网络安全政策法规，审定学校网络安全规章制度和总体规划，统筹协调网络安全重大问题，指挥网络安全应急处置工作。第七条学校应当明确承担网络安全管理职能的部门（通常为信息技术中心或网络中心），作为网络安全工作的日常执行机构。该部门在网络安全工作领导小组的领导下，负责网络安全技术防护体系建设、日常运维管理、安全监测预警、漏洞排查修复、安全事件处置等技术支撑工作，并监督检查各部门、各院系的网络安全责任落实情况。第八条学校各业务部门（如教务处、财务处、招生办等）是本部门业务系统及数据安全的直接责任主体。各部门主要负责人是本部门网络安全第一责任人，负责指定专人担任网络安全员，落实系统定级备案、数据分类分级、账号权限管理、日常安全自查等工作。业务系统在建设、变更、运维过程中，必须同步落实网络安全措施，遵循“同步规划、同步建设、同步使用”的原则。第九条学校应当建立网络安全责任清单制度，明确从校级领导到具体岗位人员的网络安全职责边界。责任清单应包括责任主体、责任范围、具体任务、考核标准及追责情形，确保网络安全责任落实到岗、落实到人，避免责任虚化、空转。第十条学校应当建立网络安全多部门协同联动机制。信息技术部门负责技术防护，宣传部门负责网络舆情监测与引导，保卫部门负责网络违法犯罪行为的报案与配合调查，保密部门负责涉密信息的监管。各部门应定期召开联席会议，共享安全情报，协同处置跨部门安全事件。责任主体职责层级核心责任内容考核指标法定代表人第一责任人全面负责学校网络安全工作，批准重大安全决策，保障经费投入年度安全会议召开次数、经费到位率、重大事件决策时效分管校领导直接责任人组织制定安全规划，协调解决重大隐患，指挥应急响应隐患整改完成率、应急演练参与度、安全培训覆盖率信息技术部门技术执行机构建设防护体系，实施监测预警，开展技术测评，提供技术支持漏洞修复时效、攻击拦截率、系统可用性业务部门负责人业务系统责任人负责本部门数据安全，管理用户权限，落实业务安全逻辑账号审计合规率、数据备份执行率、安全自查频次全体教职员工终端用户遵守安全制度，妥善保管账号密码，报告安全风险安全培训通过率、违规操作次数、密码更换频率第三章网络安全管理制度建设第十一条学校应当建立健全全方位、立体化的网络安全管理制度体系。制度体系应涵盖总体安全策略、人员管理、资产管理、物理环境安全、通信网络安全、区域边界安全、计算环境安全、数据安全、建设运维安全、应急响应管理等各个方面。第十二条在人员安全管理方面，学校应制定《网络安全岗位人员管理办法》。关键岗位人员（如系统管理员、数据库管理员、网络安全员）必须进行背景审查，签署保密协议，并定期进行安全考核。人员离岗离职时，必须严格执行账号注销、权限回收、资产回收及保密承诺延续等流程，防止离职人员利用残留权限非法访问系统。第十三条在资产管理方面，学校应制定《软硬件资产安全管理办法》。建立信息系统、网络设备、服务器、安全设备等资产台账，详细记录资产型号、版本、IP地址、物理位置、责任部门及责任人等信息。对于不再使用的废旧设备和存储介质，必须进行符合国家保密标准的数据清除或物理销毁处理，严禁直接丢弃或作为二手设备处置。第十四条在建设运维安全方面，学校应制定《信息系统建设与运维安全管理办法》。新建、改建、扩建的信息系统，必须在规划阶段确定安全保护等级，同步设计安全方案，同步实施安全建设，同步进行安全验收。系统上线运行前，必须通过第三方专业机构的网络安全等级保护测评，测评未通过的系统不得上线。运维操作应实行严格的审批和记录制度，坚持“双人作业”原则，关键操作须进行全过程审计。第十五条学校应建立《网络安全审计管理办法》。对网络设备、服务器、数据库、业务应用系统及安全设备的运行状态、用户行为、访问日志进行全面的记录和留存。审计日志应包括时间、用户、事件类型、源IP、目的IP、操作结果等关键信息，日志留存时间不少于六个月，满足国家法律法规及等级保护要求，为事后追溯和取证提供依据。第四章网络安全技术与防护体系第十六条学校应当按照网络安全等级保护2.0标准要求，构建“一个中心，三重防护”的技术防护体系。即建立安全管理中心，通过安全通信网络、安全区域边界、安全计算环境三重防护机制，实现对信息系统的全方位保护。第十七条在物理环境安全方面，学校核心机房建设应符合GB50174-2017《数据中心设计规范》的相关标准。机房应具备防雷、防火、防水、防潮、防静电、温湿度控制、电力供应（含UPS不间断电源）及门禁监控等设施。进入机房的人员需进行登记，并限制在授权区域内活动，严禁携带未经检查的电子设备进入核心区域。第十八条在通信网络安全方面，学校应优化网络架构，划分独立的安全域。将教学区、办公区、宿舍区、服务器区、对外服务区等进行逻辑或物理隔离。重要业务系统部署在安全域内，并通过防火墙实施访问控制策略。严禁将校园核心业务系统直接暴露在互联网上，必须通过Web应用防火墙（WAF）、入侵防御系统（IPS）等设备进行串联防护。第十九条在区域边界安全方面，学校应部署下一代防火墙、入侵检测/防御系统、防病毒网关、抗DDoS攻击设备等。关闭不必要的网络端口和服务，严格限制非信任流量的访问。对于远程访问需求，必须通过VPN（虚拟专用网络）接入，并实施多因素认证（MFA），确保远程接入的身份可信和数据传输加密。第二十条在计算环境安全方面，学校应对所有服务器、终端计算机进行安全加固。及时更新操作系统补丁、应用软件补丁和防病毒软件病毒库。关闭非必要的服务和账号，实施严格的身份鉴别机制，提高口令复杂度要求（如长度不少于10位，包含大小写字母、数字及特殊字符），并定期强制更换。严禁在服务器上使用弱口令或空口令。第二十一条学校应建立漏洞管理机制。定期（至少每季度一次）利用专业漏洞扫描工具对全网资产进行漏洞扫描，及时发现操作系统、应用软件、中间件等存在的安全漏洞。对于高危漏洞，必须在规定时限内（通常不超过72小时）完成修复或采取临时规避措施。对于无法及时修复的漏洞，应向主管部门报告，并加强监控。第二十二条学校应加强恶意代码防范。在网络边界和关键节点部署防病毒网关，在服务器和终端上部署企业级防病毒软件或EDR（端点检测与响应）系统。建立病毒样本库，定期更新恶意代码特征库，实现对已知和未知威胁的检测与阻断。严禁在核心业务终端上随意安装来源不明的软件。第五章数据安全与个人信息保护第二十三条学校应当坚持“数据分类分级、数据确权授权、数据安全使用”的原则，开展数据安全治理工作。根据数据的重要性、敏感程度和数据泄露后对学校、师生及社会造成的危害程度，将数据划分为不同级别（如公开、内部、敏感、绝密），并制定相应的保护策略。第二十四条严格落实个人信息保护要求。学校在收集学生、教职工及其家长的个人信息时，必须遵循“合法、正当、必要”原则，公开收集规则，明示收集目的、方式和范围，并取得个人同意。严禁非法收集、超范围收集与教育教学活动无关的个人信息。第二十五条加强数据全生命周期安全管理。在数据存储环节，对敏感数据（如身份证号、家庭住址、银行卡号、健康状况、成绩等）进行加密存储或脱敏处理；在数据传输环节，采用HTTPS、SSL/TLS等加密协议传输，防止数据被窃听或篡改；在数据使用环节，严格控制数据访问权限，实行最小权限原则；在数据共享环节，确需向第三方提供数据的，必须进行安全评估，签署数据保密协议，并对共享数据进行脱敏处理。第二十六条建立完善的数据备份与恢复机制。对核心业务数据和重要配置信息实施定期备份。备份策略应包括全量备份和增量备份，备份介质应实行异地存放或防磁防火保存。定期（至少每半年一次）开展数据恢复演练，验证备份数据的完整性和可用性，确保在发生勒索病毒攻击、硬件故障或人为误操作时能够快速恢复业务。第二十七条严禁违规使用互联网存储服务处理学校工作数据。教职工不得使用未经学校批准的网盘、社交软件、公有云存储等上传、存储、转发涉及学校秘密、师生隐私及科研数据的文件。确需使用公有云服务的，必须通过学校审批，并确保数据在上传前进行加密，且云端数据密钥由学校自主掌握。第二十八条学校应建立数据泄露应急响应流程。一旦发现数据泄露事件，应立即断开网络连接，封存相关设备，保留证据，并评估泄露范围和影响。涉及大量个人信息泄露的，应按照法律规定立即向公安机关、教育主管部门及受影响用户报告，并采取补救措施。第六章网络安全教育与意识培训第二十九条学校应当将网络安全教育纳入学校安全教育工作体系，针对不同对象开展差异化的网络安全意识和技能培训。培训对象应包括校领导、中层干部、系统管理员、全体教师、学生及后勤服务人员。第三十条针对管理人员和关键岗位人员，重点开展网络安全法律法规、政策标准、安全管理制度、安全风险辨识、应急处置流程等专业培训，提升其网络安全管理能力和决策水平。关键岗位人员每年接受专业培训的时间不少于40学时。第三十一条针对全体教职工和学生，重点开展个人信息保护、防范网络诈骗（如杀猪盘、冒充公检法）、防范钓鱼邮件、安全上网习惯、密码安全、恶意软件防范等通识培训。通过专题讲座、知识竞赛、宣传海报、校园网专栏、微信公众号推送等多种形式，普及网络安全知识，提高全员安全防范意识。第三十二条学校应建立网络安全意识考核机制。将网络安全知识纳入新入职教职工的入职培训考核和学生的安全教育课程。定期组织全员网络安全知识测试或模拟钓鱼邮件测试，对测试不合格或存在高风险行为的个人进行通报批评并强制复训。第三十三条鼓励和支持网络安全相关专业学科建设，开设网络安全选修课程，举办网络安全社团活动，组织学生参加网络安全技能竞赛（如CTF竞赛），培养网络安全人才，发掘校园网络安全特长生，组建学生网络安全志愿者队伍，参与校园网络安全防护工作。第七章网络安全监测预警与应急处置第三十四条学校应当建立7×24小时网络安全监测机制。利用态势感知平台、日志审计系统、网络流量分析等手段，实时监测网络运行状态、攻击行为、异常流量和系统漏洞。重点关注针对招生系统、财务系统、一卡通系统等核心业务系统的攻击行为，以及暗链、网页篡改、勒索病毒等高危威胁。第三十五条建立网络安全预警通报制度。对于监测到的安全风险、漏洞情报和攻击预警，信息技术部门应及时分析研判，确定风险等级，并通过邮件、短信、电话等方式向相关责任部门发布预警信息，明确整改要求和时限。第三十六条学校应当制定《网络安全事件应急预案》。预案应明确应急组织架构、响应流程、处置措施、资源保障及后期恢复等内容。预案应针对不同类型的网络安全事件（如网页篡改、勒索病毒、数据泄露、DDoS攻击等）制定专项处置方案。第三十七条规范网络安全事件报告流程。发生网络安全事件时，发现人员应立即向信息技术部门报告。信息技术部门核实情况后，根据事件等级进行处置。（一）一般网络安全事件：由学校自行组织处置，并在处置结束后记录存档；（二）较大及以上网络安全事件：学校应在1小时内向属地公安机关网安部门和教育主管部门报告，报告内容包括事件概况、初步影响、已采取措施等，并保持后续续报。第三十八条定期开展网络安全应急演练。学校每年至少组织一次全校性的网络安全应急演练，模拟真实攻击场景，检验应急预案的科学性和可操作性，锻炼应急队伍的协同作战能力。演练结束后，应对演练过程进行复盘评估，修订完善应急预案。第八章供应链安全管理第三十九条学校应高度重视信息技术产品和服务供应链安全。在采购网络设备、服务器、安全软件、云服务等信息技术产品和服务时，应优先选择通过国家网络安全审查的产品和服务，审慎采购可能存在国家安全风险、供应链断供风险或“后门”隐患的产品。第四十条加强对软件开发外包的管理。学校委托外部单位开发业务系统或软件时，应在合同中明确双方的安全责任，要求开发方遵守国家网络安全法律法规和学校安全规定。交付的代码必须经过安全检测，不得含有恶意代码或已知漏洞。开发过程中，应严格控制开发人员对学校生产环境和敏感数据的访问权限。第四十一条建立供应商安全评估机制。在引入新的信息技术服务商前，应对其资质、技术实力、安全管理体系、以往安全业绩等进行综合评估。对关键信息基础设施服务商，应每年进行一次安全评估，评估不合格的应终止合作或限期整改。第四十二条加强对第三方运维人员的管理。第三方运维人员进入学校现场或通过远程方式接入系统进行运维时，必须经过审批，并由学校内部人员全程陪同或通过堡垒机进行操作审计。严禁第三方运维人员私自拷贝、导出学校数据。运维结束后，应立即临时回收其访问权限。第九章监督检查与责任追究第四十三条学校网络安全工作领导小组应定期（每季度至少一次）组织对全校网络安全工作落实情况进行监督检查。检查内容包括制度执行情况、技术防护措施有效性、漏洞整改情况、数据备份情况、应急演练开展情况等。第四十四条学校应