教育专网接入安全管理规定

教育专网接入安全管理规定第一章总则第一条为规范教育专网接入行为，加强网络安全管理，保障教育专网（以下简称“专网”）安全、稳定、高效运行，保护教育数据和师生个人信息安全，依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《网络安全等级保护基本要求》以及国家关于教育信息化和网络安全工作的相关规定，为构建全方位、多层次、立体化的网络安全防护体系，特制定本规定。第二条本规定适用于所有接入教育专网的单位、个人及相关的网络设备、信息系统。接入单位包括各级教育行政部门、各级各类学校（含幼儿园、中小学、职业院校、高等院校）以及其他经批准接入的教育机构。个人指使用专网资源的教职工、学生及授权访问人员。第三条教育专网接入安全管理工作遵循“谁主管谁负责、谁使用谁负责、谁运营谁负责”的原则，坚持“安全第一、预防为主、综合治理、动态防护”的方针，确保网络边界清晰、接入可控、行为可溯、数据安全。第四条教育专网安全管理目标是：确保网络基础设施安全，防止网络攻击、病毒传播、非法入侵等危害网络安全的行为；确保数据传输和存储的保密性、完整性和可用性；确保网络服务的连续性和业务系统的稳定性。第五条任何接入教育专网的单位和个人，必须严格遵守国家法律法规及本规定，不得利用专网从事任何危害国家安全、公共利益以及侵犯他人合法权益的活动。第二章组织架构与职责第六条教育行政部门网络安全和信息化领导小组（以下简称“网信领导小组”）是教育专网接入安全管理的领导机构，负责统筹规划、决策部署和重大事项协调。网信领导小组下设办公室，负责日常工作的组织实施与监督检查。第七条省级教育网络中心负责教育专网骨干节点、核心交换设备及主干线路的建设、运维和安全管理。其主要职责包括：（一）制定和修订教育专网接入技术标准、安全规范及操作流程；（二）负责专网核心网络设备的配置管理、漏洞扫描、补丁更新和安全加固；（三）监控全网运行状态，分析网络安全态势，处置重大网络安全事件；（四）对下级接入单位进行技术指导、安全检查和考核评估；（五）负责全网IP地址规划、域名管理及路由策略的实施。第八条市、县级教育网络中心及各级各类学校网络管理部门是本级或本单位接入安全的责任主体，其主要职责包括：（一）贯彻落实上级网络安全工作要求，制定本单位网络安全管理制度和应急预案；（二）负责本单位局域网、接入交换机、无线网络及终端设备的日常运维和安全管理；（三）负责本单位用户账号的实名制管理、权限分配和审计监督；（四）定期开展网络安全自查，及时整改发现的安全隐患；（五）发生网络安全事件时，按规定程序上报并配合处置。第九条接入单位应明确网络安全责任人（分管领导）和安全管理人（网络管理员），建立安全管理工作机制，落实安全防护措施，保障必要的人员、经费和场地投入。第三章网络架构与边界安全第十条教育专网采用分层架构，分为核心层、汇聚层和接入层。接入单位网络边界必须清晰明确，严禁私自搭建跨网连接通道，严禁违规开启网络边界设备的远程管理功能。第十一条接入单位通过物理线路或逻辑专网隧道接入教育专网时，必须在网络边界部署下一代防火墙（NGFW）、入侵防御系统（IPS）或Web应用防火墙（WAF）等安全设备，形成有效的安全隔离和防护屏障。第十二条接入单位应按照“最小必要”原则配置安全策略。防火墙策略应遵循默认拒绝（DenyAll）原则，仅开放业务必需的端口和协议。禁止对互联网开放高危端口（如3389、445、23等），如确需开放，必须采取强身份认证、VPN访问或访问控制列表（ACL）等加固措施。第十三条教育专网与互联网之间实行逻辑隔离。各单位出口统一管理，严禁私接互联网出口。严禁在教育专网设备上直接连接互联网线路，确因业务需要混合组网的，必须通过严格的逻辑隔离（VLAN、VRF）和安全审计机制。第十四条无线网络安全管理。接入单位建设的无线局域网（WLAN）若需接入教育专网，必须实现无线网络与专网核心交换机之间的安全认证绑定。（一）无线接入点（AP）必须通过支持IEEE802.1X标准的认证服务器（如RADIUS）进行身份验证；（二）禁止使用WEP等不安全的加密方式，必须使用WPA2-Enterprise或WPA3及以上加密标准；（三）无线网络应通过SSID进行业务区分，访客网络不得直接访问内网核心业务资源，必须通过DMZ区域隔离或仅提供互联网访问权限。第十五条网络区域划分。接入单位应根据业务重要性和数据敏感度，将内部网络划分为外部接入区、核心业务区、数据存储区、运维管理区等。不同安全等级的区域之间应实施严格的访问控制策略，关键业务系统和敏感数据区域应重点防护，禁止非授权访问。第四章接入准入与认证管理第十六条教育专网实行严格的接入准入制度。新申请接入单位需向所属上级教育网络中心提交《教育专网接入申请表》，经审核批准后方可实施接入。第十七条接入申请材料应包含以下内容：（一）单位基本情况及网络安全责任承诺书；（二）网络拓扑图、IP地址规划方案及路由配置说明；（三）网络设备清单及安全防护措施部署情况；（四）网络安全管理制度及应急预案；（五）网络安全责任人及管理人联系方式。第十八条IP地址管理。教育专网采用统一的IP地址规划，接入单位必须严格按照上级分配的地址段进行配置，不得擅自更改、借用或占用未分配的IP地址。IP地址与MAC地址、交换机端口、使用人员应建立绑定关系，实现精准定位。第十九条实名认证管理。教育专网全面实行实名制上网认证管理。（一）教职工使用统一身份认证账号上网，账号与其人事档案信息绑定；（二）学生上网账号由学校统一生成和管理，与学生学籍信息绑定；（三）临时访客需经审批获得临时账号，并严格限制访问权限和有效期；（四）禁止共享账号、私接路由器（NAT）等规避实名认证的行为。第二十条终端准入控制（NAC）。接入单位应部署网络准入控制系统，对接入专网的终端设备进行健康检查。不符合安全基线（如未安装杀毒软件、未更新补丁、存在高危漏洞）的终端，应被限制接入核心网络或被引导至隔离区进行修复。第二十一条远程接入管理。教职工或学生在校外访问教育专网内部资源，必须通过VPN（虚拟专用网络）等加密通道接入。VPN系统应启用多因素认证（MFA），并定期审计接入日志。严禁使用未经审核的第三方远程工具或TeamViewer、向日葵等软件进行远程运维，确需使用的必须经过备案并开启日志审计。第五章终端设备安全管理第二十二条接入教育专网的终端设备包括服务器、计算机、移动智能终端、物联网设备等。所有设备必须符合国家网络安全标准，并纳入资产台账管理。第二十三条服务器安全管理。（一）服务器操作系统应选用正版、稳定且持续获得安全支持的版本；（二）服务器必须安装经过授权的防病毒软件、主机入侵检测系统（HIDS）或终端安全管理系统（EDR）；（三）关闭不必要的服务、端口和默认共享，禁用Guest账号，设置强密码策略（长度不少于12位，包含大小写字母、数字及特殊符号）并定期更换；（四）服务器上线前必须进行漏洞扫描和渗透测试，重大安全漏洞修复后方可上线；（五）重要业务服务器应部署双机热备或负载均衡，确保业务连续性。第二十四条个人计算机（PC）安全管理。（一）必须安装正版操作系统并及时更新系统补丁；（二）必须安装教育行政部门统一指定的终端安全软件（杀毒、桌面管理、数据防泄漏等），并保持病毒库实时更新，不得擅自卸载或关闭；（三）开启主机防火墙，禁用非必要的启动项；（四）严禁在办公电脑上安装与工作无关的游戏、炒股、娱乐及黑客破解软件；（五）严禁将涉密或敏感个人电脑接入教育专网。第二十五条移动终端和物联网设备管理。（一）移动存储介质（U盘、移动硬盘等）接入专网计算机前必须进行病毒查杀，建议采用专网专用移动介质管理策略，禁止在涉密计算机与互联网计算机之间交叉使用移动存储介质；（二）物联网设备（摄像头、环境监测仪等）接入专网时，必须修改默认密码，固件版本应更新至最新，且传输数据必须加密；（三）智能摄像头等视频采集设备应部署在内网独立区域，严禁直接暴露在互联网上，视频数据存储应符合隐私保护要求。第六章应用系统与数据安全第二十六条应用系统上线安全。部署在教育专网上的各类应用系统（网站、教务系统、OA等）必须落实网络安全等级保护制度。（一）系统开发建设应遵循安全编码规范，防范SQL注入、XSS跨站脚本、文件上传等常见Web漏洞；（二）系统上线前需通过等级保护测评或第三方安全审计，未达标不得上线运行；（三）系统应具备完备的用户权限管理功能，实现基于角色的访问控制（RBAC），防范越权访问。第二十七条数据安全管理。（一）数据分类分级。各单位应建立数据分类分级制度，识别核心数据、重要数据和一般数据。核心数据和重要数据应采取加密存储、传输加密、访问控制等强化保护措施；（二）数据备份。建立本地与异地相结合的数据备份机制。核心业务数据应实施实时备份或每日增量备份，并定期开展恢复演练，确保备份数据的可用性；（三）数据导出与脱敏。敏感数据（如身份证号、家庭住址、财产信息）导出时必须进行脱敏处理。批量导出敏感数据需经过严格审批并全程记录操作日志。第二十八条内容安全。教育专网网站及信息系统发布的信息必须进行内容审核，建立“三审三校”制度，严禁发布法律法规禁止的信息，防止出现不良信息、政治错误或虚假信息。各单位应部署网页防篡改系统，防止网站被恶意篡改。第二十九条第三方服务安全管理。涉及购买第三方云服务、软件服务或外包运维的，必须对服务商进行安全资质审查，签订网络安全保密协议，明确数据所有权、安全责任及违约条款。严禁将涉及师生隐私及核心业务数据托管在未通过安全审查的境外云平台或国内商业云平台非合规区域。第七章运维监控与审计第三十条日志审计。接入单位网络设备、安全设备、服务器及应用系统必须开启日志功能，并配置统一的日志审计系统（SIEM或日志服务器）。（一）日志内容应包含用户登录、操作行为、资源访问、错误告警等关键信息；（二）日志存储时间应符合法律法规要求，关键系统日志保存时间不少于6个月；（三）严禁擅自删除、修改或屏蔽日志记录，确保日志的真实性、完整性和不可篡改性。第三十一条漏洞管理。接入单位应建立漏洞全生命周期管理机制。（一）定期利用漏扫工具对网络和系统进行检测，原则上核心业务系统每季度一次，通用系统每半年一次；（二）接到上级通报或厂商发布的高危漏洞预警后，应在规定时限（通常不超过72小时）内完成核查、修补或规避；（三）建立漏洞管理台账，记录漏洞发现、通报、修复、验证全过程。第三十二条监控预警。教育网络中心及各单位应部署网络流量分析、态势感知等监控系统，实时监控网络流量、异常连接、攻击行为等。（一）设置合理的告警阈值，发现异常流量（如DDoS攻击、病毒爆发）应立即告警；（二）建立7x24小时值班值守制度，重大活动、重要时期应启动零报告和日报制度。第三十三条配置管理。网络设备和服务器的配置变更应履行审批手续，建立配置基线。变更前应备份原有配置，变更后应测试业务可用性。定期（每半年）核对设备运行配置与基线配置的一致性，防止被恶意篡改。第八章应急响应与事件处置第三十四条应急预案。接入单位应制定网络安全事件应急预案，明确应急组织架构、响应流程、处置措施及恢复方案。预案应根据人员变动和技术发展进行动态更新，每年至少组织一次应急演练。第三十五条事件分级。网络安全事件分为特别重大、重大、较大和一般四个级别。（一）特别重大事件：教育专网骨干网瘫痪、核心数据大规模泄露、发生影响全系统的勒索病毒攻击等；（二）重大事件：区域网络中断、重要业务系统停运超过24小时、敏感数据泄露等；（三）较大事件：部分单位网络中断、业务系统受损、网页被篡改等；（四）一般事件：个别终端感染病毒、非关键服务中断等。第三十六条事件报告。发生网络安全事件后，事发单位应立即启动应急预案，采取断网、关机、隔离等措施防止事态扩大，并按照“边处置、边报告”的原则，在规定时间内（一般事件1小时内，重大及以上事件30分钟内）向上级主管部门报告。报告内容包括事件概况、影响范围、初步判断、已采取措施等。第三十七条事件处置与调查。（一）对于攻击事件，应保留现场（日志、数据、磁盘镜像），联系专业技术人员进行溯源分析；（二）对于病毒爆发事件，应立即进行病毒查杀、补丁分发和系统恢复；（三）对于数据泄露事件，应立即评估损失范围，通知相关受影响人员，并采取补救措施；（四）事件处置结束后，应形成总结报告，分析原因，追究责任，完善防范措施。第九章监督检查与考核第三十八条教育行政部门定期或不定期对各单位教育专网接入安全情况进行监督检查，检查方式包括现场核查、技术扫描、远程渗透测试和日志审计等。第三十九条检查内容包括：制度落实情况、技术防护措施有效性、漏洞整改情况、应急预案演练情况、安全教育培训情况等。第四十条建立网络安全考核评价机制，将网络安全工作纳入各单位年度绩效考核和领导干部综合考评体系。对考核优秀的单位和个人给予表彰奖励。第四十一条对于违反本规定，导致网络安全事件发生的，上级主管部门将视情节严重程度，对相关责任单位进行通报批评，责令整改；对相关责任人给予约谈、通报批评、行政处分等处理；构成犯罪的，依法追究刑事责任。第十章附则第四十二条本规定所涉及的术语定义：（一）教育专网：指专门服务于教育系统的专用计算机通信网络，连接各级教育机构和学校。（二）DMZ（非军事化区）：指为了解决安装在外部网上的公共服务器安全问题而设立的一个缓冲区域。（三）VPN（虚拟专用网络）：指在公用网络上建立专用网络，进行加密通讯的技术。第四十三条本规定由省级教育行政部门网络安全和信息化领导小组办公室负责解释。第四十四条本规定自发布之日起施行。原有相关规定与本规定不一致的，以本规定为准。附件：1.教育专网接入安全配置基线表设备/系统类型配置项安全要求检查方法网络设备(交换机/路由器)远程管理禁止Telnet，仅允许SSHv2；配置ACL限制管理IP；修改默认端口查看运行配置网络设备密码策略enablesecret密码加密存储，密码复杂度要求（大写+小写+数字+特殊字符，长度>10）查看配置文件网络设备端口安全闲置端口关闭（shutdown）；开启端口安全，限制最大MAC数查看端口状态网络设备Banner设置设置登录警告提示，声明法律责任登录设备查看防火墙访问控制策略遵循默认拒绝原则；策略按源/目的/端口/服务细化；定期清理冗余策略审计策略表防火墙NAT配置隐藏内网拓扑结构；不进行全端口映射查看NAT规则服务器(Windows/Linux)账号管理禁用Guest、默认管理员账号；重命名Administrator/root；设置账号锁定策略检查本地用户组服务器服务与端口关闭不必要服务（如Telnet,FTP,RDP）；仅开放业务所需端口使用Nmap扫描服务器补丁管理安装最新的安全补丁和ServicePack查看系统版本服务器日志审计开启安全日志策略，记录登录、对象访问、特权使用等；日志定期备份查看事件查看器数据库权限控制禁止使用默认账号（如sa）；遵循最小权限原则；禁止公网直接访问查看数据库用户表数据库敏感数据敏感字段（身份证、密码）必须加密存储（如MD5加盐、AES）抽查数据表无线AP加密方式禁用WEP/WPA-PSK；使用WPA2-Enterprise(802.1X)查看无线配置无线APSSID广播教学网SSID可广播，管理网SSID隐藏扫描无线信号2.教育专网网络安全事件应急处置流程表阶段步骤详细操作内容责任主体时限要求事件监测发现通过态势感知、告警日志、用户举报发现异常值班人员/系统实