校园网络安全责任制实施办法

校园网络安全责任制实施办法第一章总则第一条为深入贯彻落实《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》以及党委（党组）网络安全工作责任制等法律法规和文件精神，建立健全校园网络安全责任体系，明确网络安全责任主体，保障校园网络基础设施、信息系统及数据资源的运行安全、数据安全和内容安全，结合学校实际情况，制定本办法。第二条本办法适用于全校范围内所有接入校园网络的单位和个人，包括学校各二级学院、职能部门、直属单位（以下统称“各单位”）以及全体教职工、学生、校内临时务工人员及第三方运维人员。第三条校园网络安全工作坚持“谁主管谁负责、谁运行谁负责、谁使用谁负责”的原则，实行统一领导、分级管理、责任到人、协同联动。网络安全责任制的核心在于落实网络安全责任主体，明确责任边界，确保网络安全工作有人抓、有人管、有人干。第四条学校网络安全工作的目标是：建立健全网络安全防护体系，提升网络安全监测预警和应急处置能力，防范网络攻击、网络窃密、数据泄露等重大安全事件，确保校园网络不发生重特大网络安全事故，保障教学、科研、管理等各项工作的顺利开展。第二章组织领导与工作机构第五条学校党委是网络安全工作的领导核心，对全校网络安全工作负总责。学校成立网络安全和信息化领导小组（以下简称“网信领导小组”），作为全校网络安全工作的最高决策和领导机构。网信领导小组由校党委书记和校长担任组长，分管信息化工作的校领导担任副组长，成员包括各单位主要负责人。第六条网信领导小组的主要职责包括：（一）贯彻落实国家及上级部门关于网络安全工作的法律法规和决策部署；（二）制定学校网络安全发展战略、规划和规章制度；（三）统筹协调学校网络安全重大项目建设、经费预算和人员配置；（四）研究决定学校网络安全工作的重大事项，协调解决重大网络安全问题；（五）督促检查各单位网络安全责任制的落实情况。第七条网信领导小组下设办公室（以下简称“网信办”），网信办设在网络与教育技术中心（或信息化建设与管理处），作为全校网络安全工作的日常执行和管理机构。网信办主任由网络与教育技术中心主要负责人担任。第八条网信办的主要职责包括：（一）组织落实网信领导小组关于网络安全工作的各项决议；（二）起草学校网络安全相关管理制度和技术标准；（三）负责校园网络安全防护体系的建设、运维和管理；（四）负责网络安全事件的监测、预警、通报和应急处置技术支持；（五）组织开展网络安全宣传教育培训、应急演练和检查考核；（六）负责对各单位信息系统（网站）的备案、审批和监管。第三章网络安全责任主体与职责划分第九条学校党委书记、校长是学校网络安全第一责任人，对学校网络安全工作负全面领导责任。分管信息化工作的校领导是网络安全直接责任人，负责具体工作的统筹推进和督促落实。第十条各单位主要负责人是本单位网络安全第一责任人，对本单位业务范围内的网络安全工作负领导责任。各单位应明确一名分管领导作为网络安全直接责任人，并指定一名网络安全管理员（或信息员）负责日常网络安全管理事务。第十一条各单位网络安全职责包括：（一）贯彻落实学校网络安全工作部署，将网络安全纳入本单位年度工作计划；（二）负责本单位建设、管理、使用的信息系统（网站）、服务器、终端设备的安全管理；（三）负责本单位产生、采集、存储、处理和传输的数据的安全管理，特别是个人敏感信息和重要科研数据的保护；（四）定期组织开展本单位网络安全自查，及时整改安全隐患；（五）配合网信办开展网络安全监测、应急处置和调查工作。第十二条网络与教育技术中心作为校园网络基础设施和公共平台的技术支撑部门，承担以下主要技术责任：（一）负责校园网络边界安全防护设备（如防火墙、入侵检测/防御系统、WAF等）的策略配置和运维管理；（二）保障校园网络核心交换机、服务器集群、数据中心机房等基础设施的物理安全和运行安全；（三）提供网络安全技术支持服务，协助各单位处置网络安全事件；（四）对全校网络流量进行监控，及时发现并阻断网络攻击行为。第十三条党委宣传部负责校园网络内容安全与意识形态安全，主要职责包括：（一）统筹管理学校官方新媒体平台、门户网站的内容审核与发布；（二）监测校园网络舆情，防范有害信息传播；（三）指导各单位加强网络意识形态阵地管理。第十四条保卫处负责网络安全的治安管理和违法犯罪行为查处，主要职责包括：（一）负责数据中心、机房等重点区域的消防安全和治安防范；（二）配合公安机关调查利用校园网络进行的违法犯罪活动；（三）协助处置因网络安全事件引发的群体性突发事件。第十五条人事处、教务处、科研处等业务主管部门在职责范围内，负责相关业务系统和数据的安全监管，落实业务安全责任。第四章信息系统全生命周期安全管理第十六条信息系统实行“同步规划、同步建设、同步使用”的安全三同步原则。新建、改建、扩建的信息系统，必须将网络安全措施纳入项目设计和预算，并在项目上线前完成安全评估和整改。第十七条信息系统定级备案与等级保护。（一）各单位在信息系统立项阶段，应依据《信息安全技术网络安全等级保护定级指南》确定系统安全保护等级；（二）第二级及以上信息系统，必须在建设完成后及时向公安机关网安部门备案，并开展等级保护测评；（三）对于第三级及以上信息系统，每年应至少进行一次等级保护测评，对于第二级信息系统，每两年应至少进行一次测评；（四）测评发现的安全隐患必须及时整改，未整改合格的信息系统不得上线运行。第十八条信息系统账号与权限管理。（一）信息系统必须建立严格的身份认证机制，杜绝弱口令、空口令；（二）严格落实最小权限原则，根据用户岗位职责分配操作权限，定期清理僵尸账号和冗余权限；（三）关键系统必须启用双因素认证（2FA）或多因素认证（MFA）；（四）系统管理员、安全管理员和审计管理员（三权分立）职责必须分离，避免权限过度集中。第十九条供应链安全管理。（一）采购网络设备、安全产品、软件服务时，应优先选用通过国家相关认证的安全可靠产品；（二）与供应商、开发商签订合同时，必须明确双方的网络安全责任和义务，包括知识产权保护、保密义务、安全漏洞响应等；（三）对第三方运维人员进行严格管理，签署保密协议，实施运维操作全程审计和监控，严禁未经授权的远程运维行为。第五章数据安全与个人信息保护第二十条学校实行数据分类分级保护制度。网信办牵头制定学校数据分类分级标准，各单位按照标准对本单位数据进行梳理、标识和报备。第二十一条数据安全管理责任。（一）各单位对本单位产生和管理的数据负安全主体责任；（二）严禁在互联网上明文传输、存储未脱敏的重要数据和敏感个人信息；（三）涉及师生身份证号、银行卡号、家庭住址等敏感信息的数据，在存储和使用过程中必须采取加密、脱敏等保护措施；（四）严禁私自收集、买卖、泄露、非法提供师生个人信息。第二十二条数据备份与恢复。（一）各单位应建立完善的数据备份策略，对核心业务数据实行异地备份；（二）关键数据应采用“热备”或“实时备份”机制，确保数据丢失后能够快速恢复；（三）定期对备份数据进行恢复演练，验证备份的有效性和完整性。第二十三条数据跨境传输管理。确需向境外组织或个人提供数据或数据的，必须严格按照国家数据出境安全评估办法进行安全评估，未经批准不得擅自传输。第六章网络运行与日常运维管理第二十四条校园网络接入管理。（一）接入校园网络的任何终端设备（包括个人电脑、服务器、物联网设备等）必须实名注册，MAC地址绑定；（二）严禁私自搭建无线热点（Wi-Fi），严禁私拉乱接网线；（三）教职工调离、学生毕业离校时，网信办应及时注销其网络接入权限。第二十五条漏洞与补丁管理。（一）网络与教育技术中心应定期（至少每周一次）对校园网内的服务器、网络设备、安全设备进行漏洞扫描；（二）各单位收到漏洞通报后，必须在规定时限内完成补丁更新或漏洞修复；（三）对于无法及时修复的零日漏洞，应采取临时加固措施（如关闭非必要端口、配置访问控制列表等）进行规避。第二十六条恶意代码防范。全校所有办公和教学计算机必须安装正规杀毒软件，并及时更新病毒库。严禁在校园网上传播、制作、复制计算机病毒。第二十七条网络安全监测预警。网信办应建立健全网络安全监测预警体系，利用态势感知平台、日志审计系统等工具，对网络攻击、异常流量、违规操作等行为进行7×24小时实时监测。发现异常情况应立即分析研判，必要时启动应急预案。第七章网络安全应急处置第二十八条学校制定《校园网络安全事件应急预案》，明确应急组织架构、响应流程、处置措施和保障资源。预案应根据实际情况定期修订，原则上每年至少修订一次。第二十九条网络安全事件分级。根据事件的影响范围和危害程度，将网络安全事件分为特别重大（I级）、重大（II级）、较大（III级）和一般（IV级）四个等级。第三十条应急响应流程。（一）事件报告：发现网络安全突发事件后，第一发现人应立即向网信办报告。网信办核实情况后，按照事件等级向网信领导小组和上级主管部门报告。发生I级、II级事件时，应在1小时内上报。（二）先期处置：网信办在接到报告后，应立即组织技术力量采取断开网络连接、保存日志、关停受影响系统等措施，防止事态扩大。（三）应急响应：启动相应级别的应急预案，调动应急资源，开展攻击溯源、系统恢复、漏洞修补等工作。（四）调查评估：事件处置完毕后，网信办应组织对事件原因、性质、损失、责任进行调查评估，形成总结报告。第三十一条应急演练。网信办应每年至少组织一次全校性的网络安全应急演练，通过实战模拟检验预案的科学性和可操作性，提升应急队伍的协同作战能力。第八章宣传教育与培训考核第三十二条网络安全宣传教育。网信办、党委宣传部及各单位应利用国家网络安全宣传周、新生入学教育、教职工入职培训等契机，通过网站、公众号、讲座、竞赛等多种形式，广泛开展网络安全法律法规和知识技能宣传，提升全员网络安全意识。第三十三条网络安全培训。（一）网信办每年应组织不少于一次针对各单位网络安全管理员和技术骨干的专业技能培训；（二）各单位应定期组织本单位教职工进行网络安全知识和操作规范培训；（三）关键岗位人员（如系统管理员、数据库管理员）必须经过专业培训并考核合格后方可上岗。第三十四条网络安全考核。（一）学校将网络安全工作纳入各单位年度绩效考核和领导班子考核评价体系；（二）实行网络安全“一票否决”制。对发生重大及以上网络安全责任事故，或存在严重安全隐患拒不整改的单位，取消其当年评优评先资格，并追究相关责任人的责任。第九章监督检查与责任追究第三十五条网络安全检查。网信办应定期或不定期组织开展全校网络安全专项检查，检查内容包括制度落实情况、技术防护措施、漏洞整改情况、数据安全管理等。检查结果应向全校通报，并作为年度考核依据。第三十六条隐患整改。对检查中发现的安全隐患，网信办应下达《网络安全整改通知书》，明确整改内容、时限和要求。责任单位应在规定期限内完成整改并书面反馈。未按期整改的，网信办有权采取暂停网络服务、关停系统等强制措施。第三十七条责任追责。对违反本办法规定，导致网络安全事件发生或造成不良后果的，学校将视情节轻重，对相关责任人进行批评教育、通报批评、组织处理或纪律处分；涉嫌违法犯罪的，移交公安机关或司法机关处理。（一）有下列情形之一的，追究第一责任人和直接责任人的责任：1.未落实网络安全责任制，导致发生重大网络安全事故的；2.未按规定开展等级保护测评、备案，导致信息系统带病运行的；3.发现重大安全隐患拒不整改或整改不力的；4.违反数据安全管理规定，导致批量个人信息泄露或滥用的；5.发生网络安全事件隐瞒不报、谎报或迟报的。（一）教职工或学生违反本办法，利用校园网络从事违法活动的，依据校纪校规处理；构成犯罪的，依法追究刑事责任。第十章附则第三十八条本办法中所指信息系统，包括但不限于网站、业务应用系统、移动APP、小程序、云平台、物联网平台等。第三十九条涉密信息的网络安全管理，严格按照国家保密法律法规执行，不适用本办法。第四十条本办法由网络与教育技术中心（网信办）负责解释。第四十一条本办法自发布之日起施行。原有相关规定与本办法不一致的，以本办法为准。附录A：校园网络安全责任清单参考表责任主体责任层级主要职责内容关键考核指标校领导领导责任1.统筹全校网络安全工作2.批准重大安全建设项目和预算3.督促责任制落实1.年度安全会议召开次数2.安全经费投入占比网信办管理责任1.制定制度和技术标准2.监测预警与应急处置3.组织检查与培训1.重大事故发生率为02.漏洞整改率100%3.应急演练频次业务单位主体责任1.管理本单位系统和数据2.配合整改与应急处置3.用户安全教育1.本单位系统定级备案率2.数据泄露事件数为0网络中心技术责任1.基础设施运维2.边界防护策略配置3.技术支持服务1.网络可用性（如99.9%）2.攻击阻断率个人用户使用责任1.遵守上网行为规范2.妥善保管账号密码3.及时报告异常1.违规上网次数2.账号泄露情况附录B：信息系统安全基线配置要求配置项配置要求适用范围检测方法密码策略长度不少于10位，包含大小写字母、数字、特殊字符，每90天强制更换所有系统及服务器账号登录策略测试远程访问禁止服务器直接使用RDP/SSHroot账号远程登录，必须使用VPN或跳板机所有服务器端口扫描+登录测试端口服务关闭非业务必需的高危端口（如445,135,3389等）所有服务器漏洞扫描器日志审计开启系统安全日志、应用日志、操作日志，日志保留时间不少于6个月所有信息系统日志审计系统抽查防病毒必须安装企业级杀毒软件，病毒库实时更新所有终端（PC/Server）现场查看/控制台统计网页防篡改部署网页防篡改系统，核心目录开启只读保护对外发布网站模拟篡改测试附录C：数据安全分级分类标准指引级别定义示例