校园电子废弃物信息清除细则

校园电子废弃物信息清除细则第一章总则第一条目的与依据为全面加强校园网络安全与数据安全管理，规范校园内电子废弃物（以下简称“电子垃圾”）在报废、处置及流转过程中的信息清除工作，防止因存储介质处理不当导致的敏感数据泄露、知识产权流失及个人隐私侵犯事件，依据《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》、《电子废弃物污染环境防治管理办法》以及教育行业关于网络信息安全的相关规定，结合本校信息化建设与资产管理的实际情况，特制定本细则。第二条适用范围本细则适用于全校所有单位（包括各院系、行政部门、直属单位、科研机构等）以及所有涉及校园电子废弃物处理的相关人员。细则所指电子废弃物，包含但不限于计算机设备（台式机、笔记本、服务器）、移动存储介质（硬盘、U盘、移动硬盘）、网络设备（路由器、交换机、防火墙）、办公自动化设备（打印机、复印机、扫描仪）、多媒体教学设备、消费电子产品（手机、平板、数码相机）及其他含有非易失性存储芯片的电子设备。第三条基本原则电子废弃物信息清除工作遵循“谁主管谁负责、谁使用谁负责、预防为主、全程管控、彻底清除、可追溯”的原则。任何电子废弃物在离开校园控制范围或进行物理销毁前，必须经过严格的信息安全清除处理。对于无法通过技术手段确保信息彻底清除的设备，必须进行物理销毁，严禁将存有敏感数据的电子废弃物直接作为普通垃圾丢弃或未经处理即捐赠、变卖。第四条核心定义（一）逻辑清除：指通过软件覆写技术，将存储介质上的数据区域进行多次覆盖，使原有数据无法被常规数据恢复手段还原的过程。（二）物理销毁：指通过消磁、粉碎、焚烧、熔炼等物理手段，破坏存储介质的物理结构，使其彻底丧失数据读取功能的过程。（三）敏感数据：指涉及学校核心机密、科研未公开成果、师生个人隐私、财务数据、系统登录凭证、网络拓扑结构等一旦泄露将对学校造成不利影响的数据。第二章组织架构与职责第五条网络安全与信息化领导小组职责学校网络安全与信息化领导小组是电子废弃物信息清除工作的最高决策机构，负责统筹规划全校电子废弃物信息安全清除工作，审批相关管理制度，协调解决重大信息安全问题，并对全校信息清除工作的执行情况进行监督考核。第六条网络信息中心（信息化管理办公室）职责网络信息中心作为技术执行与监管部门，主要履行以下职责：（一）制定和修订电子废弃物信息清除的技术标准和操作规范。（二）负责建设和管理校级信息清除平台或专用清除工具，提供必要的技术支持。（三）对各单位的信息清除操作进行技术指导与审核，特别是针对服务器、高性能计算节点等核心设备的清除方案进行专业评估。（四）负责对第三方回收机构的技术能力进行审核与备案，监督其在校园内的信息清除作业。（五）定期组织全校范围内的电子废弃物信息安全检查，对发现的安全隐患下达整改通知书。第七条资产管理与后勤处职责资产管理处负责电子废弃物的实物资产核销与处置流程管理。在办理资产报废手续时，必须查验“信息清除确认单”，对于未取得信息清除合格证明的电子废弃物，资产管理部门不得受理报废申请，不得进入后续的实物处置或变卖流程。后勤处负责集中保管待销毁的电子废弃物实物，并配合网络信息中心进行物理销毁作业。第八条使用单位（部门）职责各使用单位是电子废弃物信息清除的直接责任主体，其主要负责人是第一责任人。具体职责包括：（一）对本单位产生的电子废弃物进行初步筛查，识别其中存储的敏感数据级别。（二）指派专人对待报废设备进行数据备份（如需）和初始化信息清除操作。（三）配合网络信息中心进行深度清除或物理销毁，如实填写设备信息清除记录。（四）建立本单位电子废弃物管理台账，保留清除记录备查。第三章电子废弃物分类与风险定级第九条存储介质分类为了实施精准清除策略，将电子废弃物中的存储介质分为以下四类：（一）磁存储介质：包括机械硬盘（HDD）、磁带等。此类介质数据存储相对稳定，可通过消磁或覆写清除。（二）闪存存储介质：包括固态硬盘（SSD）、U盘、SD卡、手机内置存储芯片等。此类介质由于存在坏块管理机制和磨损均衡算法，逻辑清除难度较大，需采用专用协议清除或物理销毁。（三）光存储介质：包括CD、DVD、蓝光盘等。此类介质主要通过物理破坏（粉碎、划伤）进行清除。（四）嵌入式存储介质：包括打印机、复印机、路由器、交换机、智能摄像头等设备内部的非易失性存储器（NVRAM/Flash），通常存储有配置信息、账号密码或作业缓存。第十条信息风险等级划分根据存储介质中数据的敏感程度及泄露后的影响范围，将电子废弃物信息风险划分为三个等级：风险等级定义描述典型设备示例清除要求高风险存储涉及国家秘密、学校核心商业机密、重大科研未公开数据、大量集中师生个人信息（如身份证号、财务账号）、核心系统底层数据的介质。核心业务服务器硬盘、存储阵列磁盘、涉密计算机硬盘、财务系统主机、保存有试卷或成绩的专用介质。必须进行物理销毁（粉碎或消磁），并进行全程视频监控，双人复核。中风险存储涉及部门内部工作信息、一般科研项目数据、部分个人散点信息、网络设备配置信息的介质。办公台式机硬盘、笔记本电脑硬盘、部门级交换机/路由器、打印机硬盘、移动办公硬盘。优先采用逻辑清除（符合DoD/国密标准），对于无法逻辑清除的（如损坏硬盘）必须物理销毁。低风险仅存储公开教学资料、临时缓存文件，且已确认无敏感信息的介质。光盘、已格式化且经检测无恢复数据的U盘、教学用非联网终端。采用标准逻辑清除或低级别物理破坏。第十一条风险评估流程各单位在提交电子废弃物报废申请前，必须组织技术人员对待报废设备进行风险评估。对于无法确定风险等级的设备，一律按照“高风险”等级处理，并上报网络信息中心进行鉴定。风险评估结果需随报废申请表一并提交。第四章信息清除技术标准与操作规范第十二条逻辑清除技术标准对于采用逻辑清除方式的介质，必须严格遵循以下技术标准之一，严禁使用简单的操作系统格式化（如QuickFormat）或删除文件操作作为清除手段。（一）国际标准（DoD5220.22-M）：对介质进行至少3次覆写，第一次写入全0，第二次写入全1，第三次写入随机字符，最后进行验证。（二）NIST800-88指南：根据介质类型（HDD/SSD）执行相应的清除指令，对于支持ATASecureErase指令的硬盘，优先执行该指令；对于SSD，应执行增强型清除以彻底释放所有块。（三）国密标准：如涉及涉密介质，须采用国家保密局认可的专用清除软件或设备，执行符合国家保密标准的数据销毁程序。（四）验证要求：逻辑清除完成后，必须使用专业数据恢复软件进行抽样检测（抽样比例不低于10%），确保无残留数据可被恢复，并生成清除报告。第十三条物理销毁技术标准物理销毁是针对高风险介质及损坏介质的最彻底手段，具体标准如下：（一）消磁处理：仅适用于磁存储介质（HDD、磁带）。使用强度不低于8000高斯或符合NSA标准的消磁机进行消磁处理，消磁后介质应完全失去磁性，无法被任何驱动器识别。（二）粉碎处理：适用于所有类型的存储介质。1.硬盘（HDD/SSD）：粉碎颗粒直径应小于2.0厘米，确保盘片或存储芯片彻底破碎。2.光盘：粉碎颗粒直径应小于0.5厘米。3.手机/平板：整体破碎或拆解后单独粉碎核心存储芯片。（三）焚烧与熔炼：仅在具备环保资质的特定处理厂进行，且需符合国家环保法规，此方式通常不作为校内常规操作手段。第十四条常见设备专项清除规范（一）计算机类（台式机、笔记本）：1.拆机取出硬盘，如硬盘未损坏，使用专业清除工作站进行逻辑清除。2.如需整机关闭，应进入BIOS/UEFI执行SecureErase（若支持），或通过PE系统运行清除工具。3.清除完成后，在机箱显著位置粘贴“已清除”标签。（二）服务器与存储阵列：1.必须先在RAID层面将磁盘下线（Offline），并进行逻辑脱离。2.针对阵列中的每一块物理硬盘进行独立清除，严禁仅做阵列逻辑删除。3.对于内置在服务器主板上的BMC管理芯片、SD卡等，需执行重置或物理拆除。（三）办公外设（打印机、复印机）：1.检查设备是否配备硬盘（用于存储作业缓存、通讯录）。2.如有硬盘，必须执行“磁盘初始化”或“清除所有内存”功能（部分高端设备需通过服务菜单进入），或直接拆解硬盘进行物理销毁。3.清除设备面板上的地址簿、预设账号等网络配置信息。（四）移动智能终端（手机、平板）：1.开启“查找我的设备”功能并进行远程抹除（如适用）。2.恢复出厂设置，并关闭“查找我的设备”功能以解除激活锁。3.如设备无法开机，需拆解进行存储芯片物理破坏。第五章处置流程管理第十五条报废申请与初审（一）设备使用人填写《校园电子废弃物报废申请表》，详细列出设备名称、型号、序列号（SN）、存储介质类型、存储数据描述及风险评估等级。（二）单位负责人审核签字，确认数据已备份或不再需要，并确认风险等级划分准确。（三）将申请表提交至资产管理处进行资产核对。第十六条信息清除执行（一）自行清除：对于中、低风险且具备技术条件的单位，可在网络信息中心指导下，使用授权的清除软件自行处理。处理完成后，需生成《电子废弃物信息清除报告》，记录清除算法、时间、操作人及验证结果。（二）委托清除：对于高风险设备或不具备技术条件的单位，须将设备移交至网络信息中心指定的“信息清除工作间”。（三）集中清除：网络信息中心接收设备后，核对资产清单，在监控环境下执行清除操作。操作过程需两人以上在场，一人操作，一人监督。第十七条清除验证与记录（一）逻辑清除验证：系统应自动生成包含覆写过程哈希校验值的日志文件。操作员需在日志上签字确认。（二）物理销毁验证：物理销毁过程需进行全程视频录像。销毁后的残渣需装入专用透明封袋，并在封口处由监督员签字封存。（三）所有清除记录（包括电子日志和纸质单据）必须至少保存5年，以备审计追踪。第十八条实物移交与处置（一）凭《信息清除确认单》和《电子废弃物信息清除报告》到资产管理处办理实物移交手续。（二）资产管理处核对无误后，将已清除信息的电子废弃物移交至后勤处废品仓库暂存。（三）后勤处联系具有环保资质的正规电子废弃物回收企业进行最终回收。在移交时，必须在合同中明确要求回收企业对残渣进行最终环保处理，严禁二次流入市场。第六章第三方服务管理第十九条第三方回收商准入学校建立电子废弃物回收商白名单制度。所有入围的回收企业必须具备以下资质：（一）国家环保部门颁发的《废弃电器电子产品处理资格证书》。（二）ISO27001信息安全管理体系认证。（三）具备数据销毁相关的专业设备和场地，并能提供销毁过程的视频监控证明。（四）签署严格的《数据保密协议》，承诺对回收过程中接触到的任何信息负责，一旦发生泄露，需承担相应的法律责任。第二十条校外作业监督若因设备体积过大（如大型机柜、服务器集群）需在校内进行现场清除作业，必须遵循以下规定：（一）作业人员必须佩戴有效证件，并在学校指定人员的陪同下开展工作。（二）严禁将任何未经清除的存储介质带出校门。（三）作业期间，学校指派专人进行全过程旁站监督，并开启执法记录仪或固定摄像头进行录像。（四）作业完成后，回收商需现场出具《销毁证明书》，由双方签字确认。第二十一条数据销毁证明回收商在完成最终回收处理后，需向学校提供由其盖章确认的《最终处置报告》，报告应包含回收物资的重量、去向（如冶炼厂名称）、处理方式以及销毁过程的影像资料索引。该报告是学校闭环管理的重要凭证。第七章应急响应与违规处理第二十二条数据泄露应急响应在电子废弃物处置过程中，如发现数据丢失、泄露或疑似泄露的情况，应立即启动应急预案：（一）现场保护：立即停止相关作业，保护现场，封存相关设备。（二）事件上报：在发现事件后1小时内，向网络信息中心及网络安全领导小组报告。（三）止损措施：评估泄露范围，如涉及账号密码泄露，立即强制修改相关系统密码；如涉及个人信息泄露，启动相应的公关与法律应对程序。（四）事故调查：成立调查组，查明事故原因、责任主体，并形成调查报告。第二十三条违规责任追究对于违反本细则规定，造成以下后果的，学校将依据相关规定对责任人及责任单位进行严肃处理；构成犯罪的，依法移送司法机关追究刑事责任：（一）未按规定进行信息清除，擅自将电子废弃物丢弃、变卖或捐赠的。（二）伪造信息清除记录，出具虚假《信息清除确认单》的。（三）在清除过程中监守自盗，窃取学校数据或个人隐私的。（四）因管理不善，导致电子废弃物在待处理期间丢失或被盗的。（五）第三方回收商违反保密协议，导致数据外泄的，除追究其法律责任外，立即将其列入黑名单，永久终止合作。第八章监督审计与培训第二十四条日常监督网络信息中心与审计处定期对电子废弃物信息清除工作进行联合审计。审计内容包括：（一）报废申请流程的合规性。（二）信息清除操作记录的完整性与真实性。（三）物理销毁视频监控资料的调阅。（四）第三方回收商的处置报告核查。第二十五条培训与宣传学校每年至少组织一次全校范围内的电子废弃物信息安全处理培训。培训内容包括：（一）国家及行业关于数据安全与电子废弃物处置的法律法规。（二）校园内部的信息清除制度与流程。（三）常见存储介质的数据清除技术实操演示。（四）典型数据泄露案例警示教育。第二十六条制度评估与修订本细则由网络信息中心负责解释。根据国家法律法规的变化、信息技术的演进（如新型存储介质的出现）以及实际执行中遇到的问题，每两年对本细则进行一次评估和修订，确保其适用性和有效性。第九章附则第二十七条特殊设备处理对于涉及国家秘密的涉密电子废弃物，其信息清除与销毁工作必须严格遵循国家保密局相关规定，送至指定的涉密载体销毁中心进行销毁，严禁在校内自行处理。第二十八条费用保障电子废弃物信息清除所需的软件采购、工具购置、外包服务及场地建设等费用，由学校在年度信息化预算或专项经费中列支，保障信息清除工作能够有效开展。第二十九条实施日期本细则自发布之日起正式实施。原有相关规定与本细则不一致的，以本细则为准。第三十条补充说明本细则未尽事宜，由学校网络安全与信息化领导小组研究决定。各单位可根据本细则，结合自身实际情况制定具体的操作规程，但不得低于本细则规定的标准。（以下为附录内容，作为细则的补充说明材料）附录A：校园电子废弃物信息清除作业流程图解说明1.资产盘点：使用部门盘点待报废设备，区分含存储介质设备与不含存储介质设备。2.数据备份：对需要保留的数据进行迁移备份至安全存储区域。3.风险评估：判定存储介质风险等级（高/中/低）