校园重要系统加密防护规定

校园重要系统加密防护规定第一章总则第一条为全面加强校园网络安全建设，规范校园重要信息系统及数据的加密防护工作，确保学校教学、科研、管理及服务等核心业务的保密性、完整性和可用性，依据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》、《密码法》以及教育部、公安部关于网络安全等级保护的相关规定，结合本校信息化建设实际情况，特制定本规定。第二条本规定适用于全校范围内所有依托校园网络运行的信息系统，包括但不限于教务管理系统、财务管理系统、科研管理系统、人事管理系统、学生综合管理系统、一卡通系统、图书馆管理系统、邮件系统、校园门户网站及各类二级单位业务系统。同时适用于涉及学校敏感数据及个人隐私信息的处理、存储和传输环节。第三条加密防护工作遵循“同步规划、同步建设、同步使用”的原则，将密码技术作为保障校园网络安全的核心手段，构建自主可控、安全可靠的密码保障体系。坚持“谁主管、谁负责，谁运营、谁负责”的安全责任制，明确各部门在加密防护工作中的职责与义务。第四条本规定所称加密防护，是指利用密码技术对重要数据和敏感信息进行加密变换、身份认证、访问控制、完整性验证等安全保护措施。涉及的核心数据包括：全校师生员工的个人身份信息（身份证号、护照号等）、账户信息（账号、密码哈希值）、财务数据（银行卡号、交易记录）、科研成果（未公开的论文、数据、专利）、涉密文件及学校关键基础设施数据等。第五条任何部门和个人不得以任何理由拒绝实施必要的加密防护措施，不得擅自降低加密标准或绕过加密机制。因未按规定执行加密防护而导致数据泄露、丢失或篡改的，将依法追究相关责任人的行政及法律责任。第二章适用范围与定义第六条重要系统分类分级。根据系统遭到破坏后对学校秩序、公共利益及合法权益的损害程度，将校园信息系统划分为重要系统和一般系统。本规定重点规范重要系统及包含高敏感度数据的一般系统。（一）核心业务系统：指支撑学校主要职能且存储大量敏感数据的系统，如教务、财务、人事、科研系统等。（二）关键基础设施系统：指支撑校园网络运行的基础平台，如数据中心、身份认证中心、域名系统等。（三）敏感数据接口：指涉及跨部门、跨校区数据交换及对外提供服务的API接口。第七条加密技术应用场景。（一）传输加密：指在网络数据传输过程中，利用SSL/TLS、VPN等技术建立加密通道，防止数据被窃听、篡改。（二）存储加密：指在数据存储于服务器、数据库、终端设备时，利用透明加密、文件加密或数据库加密技术进行保护，防止物理介质丢失导致的数据泄露。（三）密钥管理：指对加密密钥的生成、存储、分发、使用、轮换、归档和销毁等全生命周期的安全管理。（四）签名验签：指利用非对称加密技术对关键数据和指令进行数字签名，确保数据来源的真实性及操作的不可否认性。第三章组织架构与职责第八条网络安全与信息化领导小组是学校加密防护工作的领导机构，负责审定加密防护策略、审批重大密码应用项目、协调解决重大安全问题。第九条网络信息中心（或信息化建设办公室）作为加密防护工作的牵头执行部门，主要职责包括：（一）制定和修订加密防护技术标准及实施细则；（二）负责校园网统一密码基础设施的规划、建设与运维；（三）对各业务系统的加密防护实施情况进行技术指导、监督和检查；（四）负责全校范围内根密钥及主密钥的生成与托管；（五）响应并处置因密钥泄露或加密机制失效引发的安全事件。第十条各业务系统主管部门（如教务处、财务处等）是本部门系统加密防护的责任主体，主要职责包括：（一）梳理本部门管辖范围内的数据资产，识别敏感数据，确定加密需求；（二）在系统新建、改建或扩建时，同步提出加密防护建设需求；（三）负责业务系统日常运行中应用层密钥的使用管理及备份；（四）配合网络信息中心开展定期安全审计和漏洞排查。第十一条安全审计部门负责对加密防护制度的执行情况进行独立审计，定期评估加密措施的有效性，并出具审计报告。第四章密码技术标准与选型第十二条密码算法与合规性要求。全校重要系统必须使用符合国家密码管理局发布的商用密码算法或国际公认的标准算法。严禁使用已被证实存在安全缺陷或强度不足的算法（如DES、MD5、SHA1等）。（一）对称加密算法：推荐使用SM4（国密）或AES-256算法，用于海量数据存储加密。（二）非对称加密算法：推荐使用SM2（国密）或RSA-2048/4096算法，用于身份认证、数字签名及密钥交换。（三）哈希算法：推荐使用SM3（国密）或SHA-256及以上算法，用于口令存储及数据完整性校验。（四）随机数生成：必须使用硬件安全模块（HSM）或操作系统提供的密码学安全伪随机数生成器（CSPRNG），严禁使用普通随机函数生成密钥或盐值。第十三条密码产品与设备要求。采购和使用密码产品（如SSL证书、加密机、加密网关、UKey等）必须选择通过国家密码管理局认证的合规产品。涉及国家秘密的，必须使用指定的保密专用密码设备。第十四条证书管理规范。校园网内部服务及面向师生的服务应使用学校统一申请和签发的数字证书。严禁使用自签名证书对外提供服务，严禁使用已过期或吊销的证书。（一）SSL/TLS服务器证书：必须由受信任的证书颁发机构（CA）签发，支持公钥基础设施（PKI）体系。（二）客户端证书：用于强身份认证，必须绑定具体用户身份，并设置有效期。第五章密钥全生命周期管理第十五条密钥生成。所有高安全级别密钥（如主密钥、CA私钥）必须在安全的加密环境中生成，优先使用硬件安全模块（HSM）或专用密钥管理系统（KMS）。生成过程应保证密钥具有足够的熵值和随机性，避免密钥可预测性。第十六条密钥存储与隔离。（一）密钥永远不应以明文形式存储在代码、配置文件、数据库或普通日志中。（二）主密钥应存储于硬件安全模块（HSM）或专用的物理安全介质中。（三）数据加密密钥（DEK）应由主密钥（KEK）加密后存储，实现密钥的层次化管理。（四）开发环境、测试环境与生产环境的密钥必须严格物理隔离，严禁使用生产环境密钥进行开发和测试。第十七条密钥分发与交换。密钥的分发必须通过安全的加密通道进行。对于人工传递的密钥介质，应执行双人押运制度，并签署交接记录。密钥在网络中传输时，必须使用高强度的加密协议进行保护。第十八条密钥轮换与更新。为降低密钥泄露风险，必须建立定期密钥轮换机制。（一）根密钥和CA私钥：根据策略每3至5年轮换一次，或在发生疑似泄露事件时立即轮换。（二）数据加密密钥：建议每1至2年轮换一次，或当数据存储介质重新分配时进行轮换。（三）会话密钥：每次会话结束后应立即销毁，不得复用。（四）密钥轮换应采用“新密钥加密新数据，旧密钥保留用于解密旧数据”的平滑过渡策略，确保业务连续性。第十九条密钥销毁。当密钥过期、废弃或不再需要时，必须执行安全销毁操作。（一）逻辑销毁：从密钥管理系统中删除密钥记录及关联信息。（二）物理销毁：对于存储在物理介质（如智能卡、USBKey）中的密钥，必须进行物理粉碎或消磁处理，确保密钥无法被恢复。（三）销毁过程需由双人监督并记录在案。第二十条密钥备份与恢复。为确保数据可用性，必须对密钥进行安全备份。（一）主密钥应采用分片存储或多人共享秘密的方式（Shamir秘密共享算法）进行离线备份。（二）备份介质应存放在防火、防磁、防水的安全环境中，并与生产环境物理隔离。（三）密钥恢复需经过严格的审批流程，由网络信息中心专人操作。第六章传输通道加密规范第二十一条网络传输强制加密。校园重要系统在所有网络环境下（包括校园网内部、互联网访问、无线网络）的数据传输必须启用加密通道。第二十二条HTTPS部署要求。（一）所有对外服务的Web站点必须全站强制启用HTTPS（HTTPStrictTransportSecurity,HSTS），禁止HTTP明文传输。（二）Web服务器必须配置强加密套件，优先支持TLS1.2及TLS1.3协议，禁用SSLv2/v3及TLS1.0等弱协议。（三）必须配置安全的前向保密（ForwardSecrecy,FS）密码套件，确保即使服务器私钥泄露，历史会话数据也无法被解密。第二十三条内部服务间调用加密。微服务架构下，各服务节点之间的调用（RPC、RESTfulAPI等）必须通过mTLS（双向认证）或内部专用加密协议进行通信，防止内网嗅探攻击。第二十四条远程访问加密。师生员工及管理员通过公网访问校内重要系统时，必须通过SSLVPN或具备同等安全强度的加密网关接入，严禁直接暴露RDP、SSH、数据库等高风险端口。第二十五条数据库连接加密。应用服务器与数据库服务器之间的连接链路必须启用SSL/TLS加密，并在数据库端配置强制SSL认证，防止数据库连接信息及查询内容被截获。第七章数据存储加密规范第二十六条数据库加密。（一）敏感字段加密：对于数据库中存储的身份证号、银行卡号、密码、手机号等敏感字段，必须采用列级加密或透明数据加密（TDE）技术进行保护。（二）加密粒度：原则上应基于行级或字段级进行加密，密钥应与用户ID或数据ID绑定，实现“一数一密”。（三）索引处理：对加密字段建立索引时，应采用保序加密或令牌化技术，在保证安全的前提下兼顾查询性能。第二十七条文件系统及存储加密。（一）服务器磁盘加密：存放核心数据库、日志文件及配置文件的服务器硬盘，应启用全盘加密（如LUKS、BitLocker）或文件夹级加密。（二）备份介质加密：所有离线备份介质（磁带、移动硬盘、光盘）必须使用高强度密码或硬件加密功能进行保护。（三）终端加密：存储有敏感数据的教职工笔记本电脑、移动终端设备，必须启用磁盘加密功能，防止设备丢失导致数据泄露。第二十八条配置文件与代码保护。（一）应用配置文件中的数据库连接串、API密钥等敏感信息，必须加密存储，运行时动态解密。（二）源代码中严禁硬编码密钥、密码及敏感信息。应通过环境变量或密钥管理服务动态注入。第八章身份认证与访问控制加密第二十九条口令存储安全。系统不得存储用户口令的明文，必须使用加盐的哈希算法进行存储。（一）哈希算法：必须使用SHA-256、SHA-3或PBKDF2、bcrypt、Argon2等抗暴力破解的慢哈希算法。（二）盐值：必须为每个用户生成随机且唯一的盐值，盐值长度不得少于128位，并与哈希值一同存储。第三十条多因素认证（MFA）。对于访问重要系统、执行敏感操作（如大额资金转账、修改成绩、导出全量数据）的用户，必须强制实施多因素认证。认证因子应包括：你知道的（口令）、你有的（动态令牌、手机）、你本身的（指纹、人脸）。第三十一条单点登录（SSO）加密。校园统一身份认证平台与各业务系统之间的SSO断言（如SAML、OAuth2、OIDC协议中的Token）必须使用强签名和加密机制，确保令牌在传输和存储过程中不被伪造或篡改。第三十二条会话管理。（一）会话标识（SessionID）必须具有足够的长度和随机性，不得包含用户信息。（二）会话标识应以安全Cookie的形式传输，设置HttpOnly、Secure和SameSite属性，防止XSS攻击窃取Cookie。（三）用户登出或会话超时后，服务器端必须立即销毁会话状态。第九章应急响应与灾难恢复第三十三条密钥泄露应急响应。一旦发现或怀疑密钥泄露，应立即启动应急预案：（一）启动应急响应小组，评估泄露范围和影响程度。（二）立即激活备用密钥或生成新密钥。（三）重新加密受影响的数据，并更新所有依赖该密钥的系统配置。（四）对泄露事件进行溯源分析，修补安全漏洞，并形成书面报告上报。第三十四条解密失败处理。当系统发生解密失败时，应按以下流程处理：（一）记录详细的错误日志，包括时间、用户、数据标识及错误代码。（二）严禁将详细的加密错误信息直接返回给前端用户，防止泄露系统内部结构。（三）管理员应检查密钥版本是否匹配、密文是否被篡改，并尝试使用归档密钥恢复。（四）若确认数据损坏，应从备份数据中恢复。第三十五条灾难恢复演练。网络信息中心应定期（至少每年一次）组织加密系统灾难恢复演练，验证密钥备份的有效性和数据恢复流程的可行性，确保在极端情况下核心业务能够快速恢复。第十章监督审计与合规第三十六条审计日志。所有加密系统必须开启详尽的审计日志功能，记录以下关键事件：（一）密钥的生成、分发、轮换、销毁操作。（二）加解密请求的发起时间、源IP、用户身份及操作结果。（三）加解密失败的异常事件。审计日志应存储于独立的安全日志服务器中，并设置防篡改保护，保存期限不得少于6个月。第三十七条安全监测。利用态势感知平台或安全审计系统，实时监测加密流量和异常行为。重点关注：（一）频繁的密钥请求或解密失败行为，可能预示暴力破解攻击。（二）异常的大批量数据导出行为。（三）使用弱加密算法或未加密流量的网络连接。第三十八条定期评估。学校应每年至少组织一次对全校重要系统加密防护情况的专项评估或渗透测试。评估内容包括：密码算法合规性、密钥管理规范性、加密协议配置正确性等。评估结果纳入各部门年度网络安全考核指标。第三十九条合规性检查。配合上级主管部门及公安机关开展的网络安全检查，如实提供加密防护相关的技术文档、配置参数及审计记录。第十一章责任追究第四十条对于违反本规定，未按要求实施加密防护，导致学校敏感信息泄露、系统瘫痪或造成重大经济损失的，依据学校相关奖惩制度给予责任人通报批评、行政记过等处分；情节严重构成犯罪的，依法移交司法机关追究刑事责任。第四十一条对于在加密防护工作中做出突出贡献，及时发现并阻断重大安全漏洞或攻击事件的个人或团队，学校给予表彰和奖励。第十二章附则第四十二条本规定中涉及的术语定义：（一）明文：未加密的可读数据。（二）密文：经过加密变换后的不可读数据。（三）对称加密：加密和解密使用相同密钥的算法。（四）非对称加密：加密和解密使用不同密钥（公钥和私钥）的算法。（五）HSM：硬件安全模块，用于物理保护和管理密钥的专用设备。第四十三条本文件由网络信息中心负责解释。第四十四条本规定自发布之日起施行。原有相关规定与本规定不一致的，以本规定为准。附录A：校园重要系统加密强度推荐配置表防护类别适用场景推荐算法/协议密钥长度/安全参数备注传输加密W