高等院校网络信息安全管理规定

高等院校网络信息安全管理规定第一章总则第一条为进一步加强和规范高等院校网络与信息安全管理工作，切实保障校园网络基础设施安全、运行安全和数据安全，维护学校正常的教学、科研、生产和生活秩序，根据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》、《计算机信息网络国际联网安全保护管理办法》以及教育部、公安部等相关法律法规和文件精神，结合本校实际，制定本规定。第二条本规定适用于全校范围内所有涉及网络与信息活动的单位和个人。所称网络信息系统，是指由计算机、信息网络及其相关配套的设备、设施构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的系统。包括但不限于校园网、各类业务专网、服务器群、数据中心、云平台、网站、新媒体平台、各类信息系统及终端设备。第三条网络信息安全工作遵循“谁主管、谁负责；谁运行、谁负责；谁使用、谁负责”的原则，坚持安全第一、预防为主、综合治理、动态防御的方针。学校将网络信息安全工作纳入年度工作考核体系，实行一票否决制。第四条学校网络信息安全工作的目标是：建立健全网络信息安全责任体系和技术防护体系，落实网络安全等级保护制度，提高网络安全防护能力和应急处置能力，确保网络基础设施不遭破坏，信息系统持续稳定运行，重要数据和个人信息不泄露、不丢失、不被篡改，坚决防范和打击利用校园网络进行的违法犯罪活动。第五条任何单位和个人不得利用校园网络从事危害国家安全、泄露国家秘密、侵犯社会公共利益、侵犯他人合法权益以及法律法规禁止的其他活动。不得制作、复制、传播违法有害信息。第二章管理机构与职责第六条学校设立网络安全和信息化领导小组（以下简称“网信领导小组”），作为学校网络信息安全工作的领导与决策机构。网信领导小组由校长任组长，分管信息化工作的副校长任副组长，成员包括党政办公室、宣传部、保卫处、信息化建设与管理中心（以下简称“网信中心”）、教务处、科研处、人事处、学生处、财务处、国有资产处等部门主要负责人。第七条网信领导小组的主要职责包括：（一）贯彻落实国家及上级部门关于网络信息安全的政策法规和工作部署；（二）审定学校网络信息安全发展规划、规章制度和年度工作计划；（三）审议学校重大网络信息安全建设项目和经费预算；（四）统一领导学校网络信息安全事件的应急处置工作；（五）监督、检查各部门、各单位的网络信息安全工作落实情况。第八条网信中心是学校网络信息安全工作的职能管理部门和技术支撑机构，负责全校网络信息安全的具体实施与日常管理。其主要职责包括：（一）组织起草学校网络信息安全相关规章制度和技术标准；（二）负责校园网络基础设施、安全防护体系的建设、运行和维护；（三）负责网络安全等级保护工作的协调、测评和整改落实；（四）负责全校网络流量监控、安全日志审计、漏洞扫描和入侵检测；（五）提供网络安全技术咨询、培训和服务，指导各部门开展信息安全工作；（六）发生网络安全事件时，负责技术处置和调查取证。第九条学校各部门（单位）是本单位网络信息安全的责任主体，行政主要负责人是第一责任人。各部门应指定一名分管领导负责网络信息安全工作，并设立网络信息安全员（兼职或专职），具体负责本部门的日常安全管理工作。主要职责包括：（一）落实学校网络信息安全各项规章制度；（二）负责本部门建设、管理的信息系统和网站的安全防护；（三）负责本部门数据和个人信息的保护管理；（四）定期开展自查自纠，及时整改安全隐患；（五）配合网信中心进行安全检查和事件处置。第十条宣传部负责校园网络意识形态安全和内容安全，统筹管理学校官方新媒体平台，监测网络舆情，指导各单位规范信息发布。第十一条保卫处负责打击利用校园网络进行的违法犯罪活动，配合网信中心对网络安全事件进行调查，并依法处理相关责任人，负责机房物理安全监督。第三章网络基础设施建设与安全管理第十二条校园网络基础设施建设必须纳入学校整体发展规划，遵循同步规划、同步建设、同步使用的原则。新建、改建、扩建的网络机房、弱电间等基础设施，必须符合国家相关物理安全标准。第十三条网络机房物理安全管理要求：（一）机房应具备防火、防水、防雷、防静电、防尘、防电磁干扰、防盗窃和防破坏等物理环境条件；（二）机房应安装门禁系统、视频监控系统，实行24小时值班或远程监控制度。进出机房必须登记，严禁无关人员进入；（三）机房供电系统应配备不间断电源（UPS），并定期进行维护检测，确保电力供应稳定；（四）机房内严禁存放易燃、易爆、腐蚀性等危险物品，严禁吸烟和饮食。第十四条网络架构安全管理要求：（一）校园网络应采用分层架构，合理划分核心层、汇聚层和接入层。关键节点应采用冗余配置，确保网络高可用性；（二）应按照业务类型和安全等级划分虚拟局域网（VLAN）和逻辑隔离区域，如教学区、办公区、宿舍区、服务器区、访客区等。不同安全区域之间应部署访问控制策略；（三）校园网络与互联网连接处必须部署防火墙、入侵防御系统（IPS）、Web应用防火墙（WAF）等安全设备，并配置严格的访问控制规则；（四）严禁私自搭建无线接入点（AP），严禁私自开启个人计算机或路由器的无线热点共享校园网络。第十五条网络设备安全管理要求：（一）网络设备（路由器、交换机、防火墙等）应实施严格的配置管理，建立配置基线。更改配置前必须经过审批并备份原配置；（二）网络设备必须开启身份认证功能，使用强密码，并定期更换。严禁使用默认密码或弱口令；（三）关闭网络设备上不必要的服务和端口（如Telnet、HTTP等），仅保留管理所需的安全服务（如SSH、HTTPS）；（四）网络设备的管理地址应限制在特定的管理网段内，严禁从互联网直接访问内网网络设备管理界面。第四章信息系统与全生命周期管理第十六条学校所有信息系统（含网站、移动应用、小程序等）的建设必须遵循网络安全等级保护制度。系统建设前应定级备案，建设过程中应落实安全技术措施，系统上线前应通过等级保护测评。第十七条信息系统开发安全管理要求：（一）信息系统开发应遵循安全编码规范，防范SQL注入、跨站脚本攻击（XSS）、跨站请求伪造（CSRF）、命令执行等常见Web漏洞；（二）开发环境、测试环境与生产环境必须严格隔离。严禁在生产环境直接进行代码调试；（三）采购或外包开发的软件，必须在合同中明确安全责任，要求供应商提供安全承诺书，并对交付的代码进行安全审计和漏洞扫描。第十八条信息系统上线与变更管理要求：（一）信息系统上线前，必须经过安全功能测试、性能测试和漏洞扫描。存在高危漏洞的系统严禁上线；（二）系统上线实行审批制度，由建设单位申请，网信中心进行技术审核，通过后方可接入校园网络运行；（三）系统发生重大变更、升级或迁移时，必须重新进行安全评估和测试，并履行审批手续。第十九条信息系统运行维护管理要求：（一）系统管理员应定期对系统进行巡检，关注系统日志、CPU使用率、内存占用率等运行状态，及时发现异常；（二）系统必须开启日志审计功能，记录用户登录、操作、数据访问等关键行为。日志留存时间不少于六个月，满足法律法规要求；（三）定期对系统进行补丁更新和版本升级，及时修复已知安全漏洞；（四）对于停止使用或废弃的信息系统，建设单位应及时履行下线注销手续，并做好数据的备份或彻底销毁工作，防止“僵尸系统”成为安全隐患。第五章数据安全与个人信息保护第二十条学校实行数据分类分级保护制度。网信中心负责制定数据分类分级标准和指南。各单位应根据数据的重要性和敏感程度，将数据划分为核心数据、重要数据和一般数据，并采取相应的保护措施。第二十一条数据全生命周期安全管理要求：（一）数据采集：应遵循最小必要和合法正当原则，不得违规采集与业务无关的个人信息。公开采集信息应明示采集目的、方式和范围；（二）数据存储：敏感数据必须采取加密存储措施。核心数据和重要数据应存储在校内核心数据中心或指定的安全区域，严禁违规存储在互联网云平台或个人终端上；（三）数据传输：敏感数据在传输过程中必须采用加密通道（如HTTPS、VPN等），禁止明文传输；（四）数据使用：应严格控制数据访问权限，实行权限最小化原则。重要数据的访问、导出、拷贝必须经过审批并记录留痕；（五）数据销毁：不再需要的敏感数据，应采取符合国家标准的技术手段进行彻底删除或销毁，确保数据无法被恢复。第二十二条个人信息保护管理要求：（一）处理个人信息应遵循合法、正当、必要和诚信原则，不得过度处理；（二）涉及收集学生、教职工个人信息的信息系统，必须设置隐私政策或告知条款，明确告知用户信息处理规则；（三）严禁非法买卖、提供或公开他人个人信息。严禁私自查询、下载、批量导出涉及师生隐私的敏感数据；（四）发生个人信息泄露、篡改、丢失等安全事件时，责任单位应立即启动应急预案，采取补救措施，并按规定上报。第二十三条数据备份管理要求：（一）各单位应建立数据备份制度，对核心数据和重要业务数据实施定期备份；（二）备份策略应包括全量备份和增量备份，备份数据应定期进行恢复测试，确保备份数据的可用性；（三）备份数据应异地存放或存储在独立的物理介质上，防止因主站点灾难导致数据丢失。第六章网络内容安全与舆情管理第二十四条严格落实网络信息发布审核制度。各单位在网站、公众号、微博等平台上发布信息，必须严格执行“三审三校”制度（初审、复审、终审，校对），确保发布内容真实、准确、合规。第二十五条严禁在校园网络上发布、传播以下信息：（一）反对宪法所确定的基本原则的；（二）危害国家安全，泄露国家秘密，颠覆国家政权，破坏国家统一的；（三）损害国家荣誉和利益的；（四）煽动民族仇恨、民族歧视，破坏民族团结的；（五）破坏国家宗教政策，宣扬邪教和封建迷信的；（六）散布谣言，扰乱社会秩序，破坏社会稳定的；（七）散布淫秽、色情、赌博、暴力、凶杀、恐怖或者教唆犯罪的；（八）侮辱或者诽谤他人，侵害他人合法权益的；（九）含有法律、行政法规禁止的其他内容的。第二十六条学校建立网络舆情监测与研判机制。宣传部、网信中心及相关单位应利用技术手段和人工巡查相结合的方式，对校园网及关联的互联网平台进行7×24小时舆情监测。发现负面或有害信息，应立即核实情况并采取删除、屏蔽、辟谣等措施，防止事态扩大。第二十七条严格校园BBS、贴吧、留言板等交互式栏目的管理。实行实名制发帖，版主应履行管理职责，及时删除违规帖子。对管理混乱、存在严重安全隐患的交互式栏目，网信中心有权暂停其服务直至整改合格。第七章运维监控与应急管理第二十八条学校建立健全网络安全运行监控体系。网信中心负责对校园网络主干流量、骨干设备、重要服务器和关键应用进行实时监控，及时发现网络攻击、病毒传播、异常流量等安全威胁。第二十九条实行网络安全值班制度。网信中心及关键业务部门应安排专人进行网络安全值班，保持通讯畅通。重大节假日、重要活动期间应实行24小时值班和领导带班制度。第三十条制定并完善网络安全应急预案。学校应针对网络瘫痪、黑客攻击、病毒爆发、网页篡改、数据泄露等常见安全事件制定专项应急预案，明确应急响应流程、处置措施、责任分工和恢复策略。第三十一条定期开展网络安全应急演练。每年至少组织一次全校性的网络安全应急演练，检验预案的科学性和可操作性，锻炼应急队伍，提高协同处置能力。第三十二条网络安全事件报告与处置要求：（一）发生网络安全事件时，发现单位和个人应立即向网信中心和保卫处报告。重大安全事件应同时向网信领导小组报告；（二）报告内容应包括：事件发生时间、地点、类型、影响范围、初步判断原因、已采取的措施等；（三）网信中心接到报告后，应立即组织技术人员进行研判和处置，采取隔离、断网、日志保存、漏洞修复等措施，防止事态蔓延；（四）对于涉及违法犯罪的事件，保卫处应立即向公安机关报案，并协助调查取证。第八章用户行为规范与账号管理第三十三条校园网用户必须实名登记。入网用户（含教职工、学生、访客）在办理开户手续时，必须提供真实有效的身份证明。网络账号与身份唯一对应，严禁转让、借用或出租。第三十四条账号安全管理要求：（一）用户应妥善保管自己的账号和密码，并对使用该账号所进行的一切活动负责；（二）初始密码必须在首次登录时强制修改。密码长度应不少于10位，包含大小写字母、数字和特殊符号；（三）用户应定期更换密码，防止密码被破解或窃取；（四）发现账号被盗用或密码泄露，应立即报告网信中心冻结账号，并修改密码。第三十五条校园网用户行为规范：（一）严禁私自更改IP地址、MAC地址等网络配置；（二）严禁扫描、侦听校园网络端口，严禁利用网络工具攻击校园网内外的任何计算机或网络设备；（三）严禁在校园网络上传播计算机病毒、木马程序、恶意代码等；（四）严禁占用大量网络带宽资源进行非教学科研相关的活动（如私架下载服务器、进行大规模P2P下载、挖矿等），影响他人正常使用网络；（五）严禁私自接入路由器、交换机等网络设备，将个人网络扩大覆盖；（六）遵守知识产权法律法规，严禁利用校园网络下载、传播盗版软件、影视作品等。第三十六条外来人员访问管理。外来单位或人员因工作需要接入校园网或访问校内信息系统的，必须由校内接待单位办理申请手续，签署安全保密协议，经审批后发放临时账号，并实施严格的访问控制和审计。访问结束后，接待单位应立即注销临时账号。第九章安全教育与培训第三十七条学校将网络安全教育纳入学生安全教育和教职工入职培训体系。网信中心、宣传部、学工部、人事处等部门应定期组织开展网络安全宣传教育活动。第三十八条针对不同对象开展分层次培训：（一）针对普通师生，每年至少开展一次全员网络安全意识培训，普及防诈骗、防病毒、个人信息保护等基础知识；（二）针对各部门网络信息安全员和管理人员，每学期至少开展一次专业技能培训，提升安全管理水平和应急处置能力；（三）针对系统开发人员和运维人员，定期开展安全开发、安全运维技术培训。第三十九条鼓励师生参加国家网络安全宣传周、网络安全知识竞赛等活动，营造网络安全人人有责、人人参与的良好校园氛围。第十章监督检查与责任追究第四十条建立网络安全自查与监督检查机制。各部门应每季度至少组织一次网络安全自查，重点检查系统漏洞、弱口令、病毒木马、数据备份等。网信中心应定期或不定期对全校各单位进行抽查和专项检查，并通报检查结果。第四十一条建立网络安全通报机制。对于检查中发现的严重安全隐患，网信中心应下达《网络安全整改通知书》，责令限期整改。相关单位应在规定时间内完成整改并反馈结果。第四十二条建立网络安全责任追究制度。对于违反本规定，造成网络安全事件或不良后果的，学校将视情节轻重，对相关责任单位和责任人进行严肃处理：（一）情节较轻，未造成严重后果的，给予通报批评，责令作出书面检查；（二）造成一定损失或不良影响的，对责任人进行行政问责或纪律处分；（三）造成重大损失或严重社会影响的，对责任人给予降级、撤职等处分，并扣除年度绩效奖金；（四）违反法律法规构成犯罪的，依法移送司法机关追究刑事责任。第四十三条网络安全事件发生后，相关责任单位隐瞒不报、谎报或拖延报告的，将从严追究主要负责人的责任。第十一章附则第四十四条本规定中涉及的关键术语定义：（一）网络安全：是指通过采取必要的措施，防范对网络的攻击、侵入、干扰、破坏和非法使用以及意外事故，使网络处于稳定可靠运行的状态，以及保障网络数据的完整性、保密性、可用性的能力。（二）个人信息：是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。（三）安全漏洞：是指计算机系统、网络或软件中存在的缺陷，可能被攻击者利用来对系统进行非授权访问或破坏。第四十五条本规定未尽事宜，参照国家及上级部门相关法律法规执行。第四十六条本规定由学校网络安全和信息化领导小组负责解释。第四十七条本规定自发布之日起施行。原相关规定与本规定不一致的，以本规定为准。附件：1.高等院校网络安全事件应急处置流程图2.高等院校信息系统安全自查表3.高等院校数据安全分类分级标准参考表附录：数据安全分类分级标准参考表为了便于各单位执行数据分类分级工作，特制定本参考表作为执行依据。数据级别定义描述典型数据示例保护措施要求核心数据（L4）关系到国家安全、经济运行、社会稳定，一旦泄露、篡改或破坏将对国家利益、学校声誉造成特别严重损害的数据。涉及国家秘密的科研数据、未公开的重大科研成果、核心系统源代码、全校师生生物识别信息（指纹、人脸等）、高精度地理位置信息。最高级别加密存储和传输；严格的双人双审访问机制；操作日志永久保存；禁止导出至非安全环境；定期进行安全审计。重要数据（L3）关系到学校正常运行、师生合法权益，一旦泄露、篡改或破坏将对学