校外设备临时入网安全细则

校外设备临时入网安全细则第一章总则第一条为加强校园网络安全管理，规范校外设备临时接入校园网络的行为，保障校园网络基础设施的稳定运行及内部数据资源的安全，防范外部攻击、病毒传播及数据泄露等安全风险，依据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《计算机信息网络国际联网安全保护管理办法》及相关行业网络安全等级保护制度要求，结合本单位网络实际情况，特制定本细则。第二条本细则旨在建立一套严密、可操作、全流程的校外设备临时入网管理机制。核心原则包括“最小权限原则”、“全程审计原则”和“谁审批归口管理，谁使用负责安全”的原则。所有临时入网行为必须在不降低校园网络整体安全防护能力的前提下进行。第三条本细则适用于所有非本单位资产、未纳入本单位统一终端管理系统的设备，因业务合作、学术交流、工程建设、设备调试或维修等原因，需要通过有线或无线方式临时接入校园网络的场景。第二章适用范围与定义第四条“校外设备”具体指以下几类：（一）外来人员携带的个人笔记本电脑、平板电脑、智能手机等移动智能终端；（二）厂商或服务商用于系统建设、设备维护的工程调试终端、测试仪器等；（三）未在学校资产登记册中，但需临时接入网络进行数据交互的物联网设备、展示屏、临时服务器等；（四）任何未安装学校指定终端安全管理软件（如杀毒软件、准入客户端）的计算机设备。第五条“临时入网”指设备接入校园网络的时间具有明确的截止期限，通常分为短期（单日或数日内）和中期（不超过一个月）。对于超过一个月的长期接入需求，原则上不予办理临时入网，应纳入正式资产管理或通过专用VPN通道访问。第六条本细则涵盖的网络区域包括但不限于：校园网有线接入区域、无线Wi-Fi访客区域、服务器调试区域以及对外提供服务的测试区。严禁校外设备未经授权直接接入核心业务区、涉密区域或财务等敏感业务网络。第三章组织架构与职责第七条网络信息中心（或信息化办公室）是校外设备临时入网的安全管理部门，负责制定技术标准、提供网络接入服务、实施网络层面的安全监控与审计，并拥有最终的断网处置权。第八条各二级单位（部门）是校外设备入网申请的归口管理部门。部门负责人需对本部门引入的校外设备进行严格审核，确保业务需求的真实性，并承担该设备在入网期间的安全管理连带责任。第九条设备使用人或申请人（即“接入责任人”）是设备安全的第一责任人。有义务如实申报设备信息，确保设备符合安全基线要求，并严格遵守本细则规定的操作规范。因违规操作导致安全事件的，由接入责任人承担主要责任。第十条安全保卫处（或网络安全科）负责对临时入网过程中发现的安全违法行为进行查处，配合网络信息中心进行应急响应。第四章入网申请与审批流程第十一条临时入网申请必须遵循“提前申请、一事一审”的原则。除突发紧急故障抢修外，原则上不受理现场即时申请。紧急抢修需由相关业务部门负责人签字确认，并在网络接入后24小时内补办手续。第十二条申请流程如下：（一）填写《校外设备临时入网申请审批表》。表中需详细说明设备使用人信息、有效证件号码、联系方式、设备品牌及型号、MAC地址、操作系统类型、入网时间、离网时间、接入地点以及具体的业务需求理由。（二）申请表需经申请人所在部门（或邀请单位）负责人签字盖章，确认业务必要性。（三）若申请接入的涉及服务器区或需开放特定端口，需增加网络信息中心技术负责人审核环节。（四）将审批通过的纸质版或电子版申请表提交至网络信息中心服务窗口或指定管理系统。第十三条审批权限分级：（一）接入普通访客无线网络（仅限互联网访问，无内网权限）的，可由系统自动审批或授权一线运维人员快速审批。（二）接入有线网络或需要访问校内业务系统的，必须由网络信息中心主管领导审批。（三）涉及开放高危端口（如3389、22、445等）或需调试核心数据库的，需报请分管信息化工作的校领导审批。第十四条申请表中必须包含“安全承诺书”条款，申请人需签字承诺已阅读并理解本细则，同意接受网络审计，并承担违规后果。第五章设备安全基线与准入标准第十五条所有申请入网的校外设备，在接入前必须通过安全基线检查。对于无法通过检查的设备，网络信息中心有权拒绝接入或要求其接入隔离的“沙箱”网络。第十六条操作系统安全要求：（一）操作系统版本必须为官方仍在支持周期的版本，严禁使用已停止更新（如WindowsXP、Windows7等）的操作系统接入核心网络区域。（二）操作系统必须开启自动更新功能，或确保已安装了最近30天内的关键安全补丁。（三）系统必须设置登录密码，密码复杂度需满足“长度8位以上，包含大小写字母、数字及特殊符号”的要求，且禁止使用空口令或弱口令。第十七条防病毒与恶意代码防范要求：（一）设备必须安装有效的杀毒软件或终端安全防护软件。（二）杀毒软件病毒库版本必须更新至申请日期前7天以内。（三）严禁安装、运行未授权的破解软件、游戏、挖矿程序或其他可能携带恶意代码的工具。第十八条外设与服务管控要求：（一）除非业务必须，否则应关闭设备不必要的网络服务，如文件共享（SMB/CIFS）、远程桌面（RDP）、Telnet等。（二）在接入调试期间，如需开启远程管理服务，必须修改默认端口，并设置强密码，且仅允许校内特定IP地址访问。（三）建议关闭自动播放功能，防止通过U盘传播病毒。第十九条移动存储介质管理：（一）外来设备使用的U盘、移动硬盘等存储介质，使用前必须经过查杀病毒处理。（二）严禁将涉密存储介质接入非涉密的外来设备，严禁将外来非涉密存储介质接入涉密计算机。第六章网络接入技术与权限控制第二十条网络信息中心应部署网络准入控制系统（NAC），对接入设备进行身份认证和状态评估。第二十一条接入认证方式：（一）有线接入：采用MAC地址绑定与802.1X认证相结合的方式。网络信息中心将审批通过的MAC地址录入准入系统白名单，并绑定对应的交换机端口。（二）无线接入：采用Portal认证或证书认证方式。为临时用户划分专用的SSID（如Guest-Temp），通过短信验证码或临时账号密码登录。第二十二条网络隔离与访问控制列表（ACL）：（一）所有临时入网设备默认划入“DMZ区”或“访客VLAN”，严格禁止其直接访问校园网核心服务器区、办公区网段。（二）根据业务需求，通过防火墙策略精确开放必要的访问路径。例如，仅允许访问特定的测试服务器IP地址及特定端口（TCP/80,TCP/443）。（三）禁止临时设备之间互访，防止感染病毒后在临时设备群内横向传播。第二十三条带宽与流量管理：（一）对临时入网设备实施带宽限速策略，防止因个别设备占用过多带宽影响教学科研正常使用。（二）P2P下载、网络视频播放等高耗流量行为应在申请时注明，原则上禁止进行非业务相关的大流量下载。第二十四条IP地址管理：（一）临时入网设备必须使用DHCP自动获取IP地址，严禁手动配置静态IP地址，以免造成IP地址冲突。（二）DHCP租期应与申请入网时间保持一致或略短，到期后自动释放。第七章使用期间行为规范与数据保护第二十五条接入责任人在使用期间必须遵守以下行为规范：（一）设备严禁无人值守且处于登录状态。离开座位时必须锁定屏幕或注销系统。（二）严禁私自更改网络配置（如IP地址、网关、DNS等），严禁私自接入hubs、交换机等网络设备进行网络延伸。（三）严禁对校园网络进行端口扫描、漏洞探测、ARP欺骗、中间人攻击等任何形式的网络攻击与渗透测试行为。如因调试需要，必须在申请中明确列明测试范围，并获得书面特别授权。第二十六条数据安全保护：（一）严禁通过临时设备存储、处理、传输国家秘密、工作秘密或敏感个人隐私信息（PII）。（二）确需因业务原因交互校内数据的，必须采用加密传输通道（如HTTPS、SSH、VPN）。（三）业务数据在临时设备上的留存时间不得超过业务必要时限，业务结束后必须彻底删除相关数据，并提供数据销毁证明（如涉及）。第二十七条禁止事项清单：（一）严禁利用校园网络发布、传播违法、不良信息，或从事法律法规禁止的活动。（二）严禁私自搭建无线路由器，将校园网络信号转换为WiFi供他人免费使用。（三）严禁尝试绕过网络计费、认证或防火墙机制。第八章安全监控、审计与应急响应第二十八条网络信息中心应对临时入网设备实施全程全流量审计。所有访问日志（源IP、目的IP、端口、时间、流量）必须留存至少6个月以上，满足合规审计要求。第二十九条入侵检测与防御：（一）IDS/IPS设备应针对临时入网VLAN开启更严格的检测规则。（二）一旦发现临时设备存在扫描、爆破、漏洞利用等攻击特征，应立即触发告警。第三十条异常流量监测：（一）部署流量分析系统，实时监控临时设备的流量行为。（二）对于流量异常突增（如疑似僵尸网络DDoS攻击被控端）或异常连接（如深夜大量境外连接）的设备，系统应自动阻断并通知管理员。第三十一条应急响应机制：（一）当监测到临时设备发生安全事件（如感染勒索病毒、发起网络攻击）时，网络信息中心有权立即断开该设备的网络连接，无需先行通知。（二）断网后，网络信息中心应立即通知接入责任人和其所属部门负责人。（三）接入责任人需配合进行事件调查，提供设备日志，说明原因，并完成安全整改（如杀毒、重装系统）。整改完成后，需重新提交申请方可恢复入网。第九章离网与权限回收机制第三十二条临时入网到期自动回收：（一）网络准入系统应设置定时任务，在申请截止时间到达时，自动注销该设备的认证权限，删除MAC地址绑定，并释放IP地址。（二）对于有线接入，系统应同时下发配置指令，关闭对应的交换机端口。第三十三条人工离网确认：（一）对于短期调试或维修任务，任务完成后，接入责任人应主动通知网络信息中心运维人员，确认离网。（二）运维人员在接到通知后，应立即手动清除相关网络策略，确保“人离网断，过时不留”。第三十四条数据清理验证：（一）对于曾接入内网并进行过数据操作的设备，在离网前，建议由网络信息中心安全人员进行必要的数据残留核查（在申请人监督下），确保无敏感数据留存。（二）若设备为学校租用或借用的，在归还前必须进行格式化或安全擦除处理。第三十五条审计归档：（一）入网申请表、审批记录、网络日志、异常事件处理记录等应统一归档，形成该次临时入网的完整档案，以备日后追溯。第十章违规责任认定与处罚第三十六条对于违反本细则规定的接入责任人及部门，将视情节严重程度采取以下处罚措施：违规等级违规行为描述处罚措施轻微违规未按时离网、设备未设置屏保密码、占用带宽过高影响他人、申请信息填写不实等。1.口头警告并责令立即整改；2.记录在案，暂停该责任人下一次临时入网申请资格1个月。一般违规私自搭建热点、私自更改网络配置、传播少量垃圾信息、设备长期带毒运行且拒不处理等。1.立即断网并终止本次入网权限；2.书面通报批评，并通知其所在部门负责人；3.暂停该责任人及其所在部门临时入网申请资格3-6个月。严重违规发起网络攻击、扫描内网、窃取或泄露敏感数据、传播病毒导致内网瘫痪、利用网络从事违法活动等。1.立即永久封禁设备接入权限，并列入黑名单；2.全校通报批评；3.依据法律法规及校纪校规追究当事人及部门负责人行政责任；4.构成犯罪的，依法移送公安机关追究刑事责任。第三十七条连带责任：若因审批不严、监管不到位导致外来设备发生重大网络安全事故，将依据《网络安全法》及相关问责办法，追究申请部门负责人及相关审批人的管理责任。第三十八条黑名单制度：网络信息中心维护“临时入网违规黑名单”。对于曾造成严重安全事件的设备MAC地址、责任人姓名及身份证号，将永久拒绝其入网申请。第十一章附则第三十九条本细则中所涉及的技术参数（如带宽限制、租期时间、密码复杂度等），网络信息中心可根据网络安全形势变化进行动态调整，调整前需发布通知。第四十条对于特殊重大活动（如大型学术会议、招生考试等）的批量临时入网需求，可制定专项临时网络保障方案，经主管领导批准后，适当简化流程，但必须保留完整的审计日志。第四十一条本细则由网络信息中心负责解释。第四十二条本细则自发布之日起施行。此前发布的相关规定与本细则不一致的，以本细则为准。校外设备临时入网申请审批表（示例）字段名称填写说明/示例备注申请单号系统自动生成如：LS-2023-001申请人姓名真实姓名必填所属单位校内邀请/对接单位必填联系电话移动电话必填证件类型及号码身份证/护照/工作证必填设备名称如：厂商调试笔记本A必填设备型号如：DellLatitude7490必填操作系统Windows10/macOS/Linux必填MAC地址有线网卡物理地址格式：XX:XX:XX:XX:XX:XX接入方式有线/无线单选接入地点具体楼栋房间号如：实验楼305入网开始时间YYYY-MM-DDHH:MM精确到分入网结束时间YYYY-MM-DDHH:MM精确到分业务需求详述具体要做什么，访问什么资源需详细填写，否则不予审批需访问的内网资源IP地址或系统名称如无则填“仅互联网”需开放的端口如需远程调试请注明默认不开放申请人签字手写签名或电子签章承诺遵守安全规定部门负责人审批签字/盖章确认业务必要性网络中心审批签字/技术分配分配VLAN/IP/权限安全承诺本人已阅