高校校园网络安全管理制度

高校校园网络安全管理制度第一章总则网络安全是高校教学、科研与管理工作平稳运行的生命线，其核心在于构建“可信、可控、可管”的技术防护体系与全员参与的管理闭环。本制度依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《关键信息基础设施安全保护条例》及教育部《教育行业网络安全综合治理行动指南》等法律法规制定，旨在明确全校网络空间的安全边界、管理职责与技术要求，防范网络攻击、数据泄露与服务中断等风险。本制度适用于全校所有接入校园网的计算机信息系统、网络设备、服务器、终端用户以及依托校园网开展业务活动的单位和个人。凡接入校园网的单位和个人，必须遵守国家相关法律法规及本制度规定，承担相应的网络安全责任。第二章管理体制与责任体系网络安全绝非单纯的技术问题，而是“一把手”工程，必须建立权责清晰、协同联动的三级管理组织架构。2.1决策领导机构学校成立“网络安全和信息化领导小组”（以下简称“领导小组”），由校长任组长，分管信息化工作的副校长任副组长，成员包括各二级学院院长、职能部门主要负责人。领导小组职责包括：审定学校网络安全总体规划、年度预算与重大安全政策。启动I级（特别重大）网络安全突发事件应急响应，指挥重大灾难恢复。每季度召开1次网络安全专题例会，听取工作汇报，决策重大事项。2.2执行管理机构设立“网络与信息安全中心”（以下简称“网安中心”），作为全校网络安全工作的专职执行机构，履行以下职能：落实领导小组决议，制定并发布技术标准、操作规程（SOP）。运维管理核心网络设备、安全设备（防火墙、WAF、IDS/IPS、堡垒机等）及安全态势感知平台。实施7×24小时安全监测，每工作日出具1份安全日报，每月出具1份综合态势分析报告。负责网络安全等级保护（等保2.0）测评的协调与整改落实。2.3责任主体机制各二级单位（院、系、部、处）是本单位业务系统与数据安全的责任主体，必须指定1名分管领导作为“网络安全第一责任人”，并配备1名专/兼职“安全管理员”。第一责任人：对本单位业务系统的安全负总责，签署《网络安全责任书》。安全管理员：负责账号权限分配、日志审计、漏洞通报整改及应急联络，必须保持24小时通讯畅通。人员变更时，必须在2个工作日内完成工作交接并报网安中心备案，否则原管理员仍需承担连带责任。第三章网络架构与区域防护网络架构的安全设计遵循“纵深防御、最小权限、分区隔离”原则，通过物理与逻辑边界阻断风险传播路径。3.1网络分区管理校园网必须划分为以下安全区域，区域之间实施严格的访问控制策略（ACL）：核心交换区：部署汇聚层与核心层设备，仅允许网络运维人员通过带外管理网访问。服务器区（DMZ）：存放对外提供服务的Web服务器、邮件网关等。严禁在此区域存放敏感数据或数据库服务器，必须通过WAF（Web应用防火墙）防护。内部业务区：存放教务系统、财务系统、科研管理系统、OA系统等。仅允许通过VPN或受信终端访问，禁止互联网直接访问。办公区：教职工办公终端接入区域，实施802.1x认证。学生宿舍区：实施实名认证，默认禁止访问内部业务区核心端口（如445、135、3389等），防止横向渗透。访客区：通过独立SSID接入，仅提供互联网访问权限，访问内网资源必须通过堡垒机跳转。3.2边界安全防护互联网出口：部署下一代防火墙（NGFW），开启应用层过滤、IPS入侵防御功能。封堵高危端口（如445、3389、1433、5505等），仅保留必要业务端口。VPN接入：教职工远程接入必须使用SSLVPN，强制启用MFA（多因素认证）。严禁使用RDP（远程桌面协议）直接映射至公网。无线网络：无线信号覆盖范围必须控制在物理边界内5~10米，防止信号泄露。采用WPA2-Enterprise或WPA3加密协议，禁止使用WEP或PSK共享密钥模式。第四章账号与身份认证身份认证是网络访问的第一道关卡，弱口令与僵尸账号是90%以上入侵事件的根源。4.1统一身份认证（IAM）全校业务系统必须接入学校统一身份认证平台（基于LDAP/AD），禁止自建独立用户库。口令策略：长度不少于12位。必须包含大写字母、小写字母、数字、特殊符号4类中的至少3类。严禁使用姓名拼音、生日、手机号等易猜测信息。每180天强制更换1次，且禁止重复使用最近5次的旧密码。会话管理：系统空闲超时15分钟自动注销，会话最长持续时间不超过8小时。4.2特权账号管理特权账号定义：操作系统root/administrator、数据库system/sysadmin、应用系统superadmin、网络设备enable等。管理要求：特权账号必须通过堡垒机（运维安全审计系统）进行运维操作，严禁直接远程登录服务器。堡垒机须启用MFA认证，并全程记录操作录屏与命令日志，日志留存时间不少于6个月。严禁共享特权账号，坚持“一人一号”。确因运维需要共用时（如厂商维保），必须申请临时账号，有效期不超过24小时，到期自动注销。第五章系统与终端安全管理终端设备是攻击者进入内网的跳板，必须通过技术手段强制实现基线合规。5.1服务器基线配置所有上架服务器（物理机、虚拟机）必须符合以下安全基线，否则不予分配网络资源：操作系统：关闭非必要服务（如telnet、ftp），仅保留ssh（修改默认端口）或业务所需端口。SSH协议强制使用v2版本，禁止root直接登录。补丁管理：接入WSUS/SCCM等补丁管理平台，高危漏洞（CVSS评分≥7.0）发布后72小时内必须完成修补，一般漏洞30天内完成修补。防病毒：必须安装企业级EDR（端点检测与响应）客户端，实时防护功能不得关闭，病毒库版本滞后不得超过3天。5.2办公与移动终端管理准入控制（NAC）：未安装杀毒软件、未打补丁或存在严重漏洞的终端，自动隔离至修复区，仅允许访问补丁服务器。移动存储介质：严禁在涉密计算机与互联网计算机之间交叉使用U盘、移动硬盘。确需拷贝数据，必须使用经过刻录锁定的专用光盘或通过安全摆渡设备。软件安装：严禁私自安装盗版软件、游戏或与工作无关的代理工具（如TeamViewer、向日葵等远程控制软件）。网安中心定期（每周）扫描全网违规进程，发现1次通报批评，发现3次阻断网络接入。第六章数据安全与隐私保护高校掌握着海量高价值个人隐私与科研数据，数据泄露将引发严重的法律风险与声誉危机。6.1数据分类分级根据数据敏感程度与泄露后果，将数据分为以下四级进行管理：L4级（绝密级）：涉及国家秘密的科研数据、核心密码。存储于物理隔离的涉密网，严禁任何形式的互联网连接。L3级（敏感级）：全校师生身份证号、银行卡号、生物识别信息、未公开的科研成果、财务数据。必须加密存储（AES-256），访问需经审批并双人授权。L2级（内部级）：学籍成绩、人事档案、门禁记录、上网日志。存储于内部业务区，禁止批量下载，导出需脱敏处理。L1级（公开级）：学校简介、招生简章、公开新闻。可自由发布，但需防范网页篡改。6.2数据全生命周期管理传输加密：所有涉及L3、L2级数据传输的Web页面，必须强制启用HTTPS（TLS1.2或以上），严禁使用HTTP明文传输。存储加密：数据库敏感字段必须采用透明数据加密（TDE）或应用层加密。备份与恢复：实行“3-2-1”备份策略：3份副本、2种介质（本地磁盘+异地磁带/云存储）、1份离线备份。核心业务系统每日增量备份，每周全量备份。备份数据必须定期（每季度）进行恢复演练，验证可用性。数据销毁：存储介质报废或转借时，必须执行物理销毁（消磁/粉碎）或符合DoD5220.22-M标准的低级格式化，严禁简单格式化后丢弃。6.3防泄漏（DLP）部署在邮件网关、互联网出口及核心业务区域旁路部署DLP系统，对以下行为进行监测与阻断：L3、L2级数据通过个人邮箱、网盘、IM软件外发。大量数据（单次超过500MB或短时超过2GB）异常下载。打印、截屏包含敏感关键词（如“身份证”“Password”）的文件。第七章应急响应与处置应急响应的效率直接决定事故造成的损失大小，必须建立“监测-研判-响应-恢复-复盘”的闭环机制。7.1事件分级与响应时限级别定义判定标准响应时限处置原则I级（特别重大）核心系统瘫痪、敏感数据大规模泄露影响>10000用户或造成直接经济损失>100万元10分钟内响应，30分钟内上报教育部及公安机关断网隔离、保全证据、启动灾难恢复（DR）II级（重大）核心业务中断、网页被篡改影响核心业务（如选课、财务）超过4小时30分钟内响应，2小时内上报校领导恢复业务、溯源分析、发布通告III级（一般）个别病毒感染、非核心页面故障影响范围有限，可快速恢复1小时内响应本地处置、记录日志7.2常见攻击场景处置流程勒索病毒处置：物理隔离：第一时间拔掉网线或禁用网卡，防止横向加密。断电保护：若未感染全盘，对未开机机器保持断电状态。取证分析：对中毒机器现场保护，提取样本文件、哈希值提交至网安中心。恢复重建：严禁支付赎金。必须使用干净的备份数据进行重装恢复，恢复前需对备份数据进行病毒扫描。DDoS攻击处置：流量清洗：启用CDN或运营商清洗服务，将攻击流量引流至清洗中心。策略调整：在防火墙层启用GeoIP封堵（如封堵境外异常IP），启用限速策略。公告发布：通过官方渠道告知用户服务异常及恢复进度，避免恐慌。网页篡改处置：页面下线：立即切换至维护页面，切断篡改页面的对外访问。日志回溯：提取WebServer日志，分析攻击者IP、利用漏洞及上传Webshell的时间点。漏洞修补：修复上传漏洞，删除Webshell及后门账号，从版本库重新部署纯净代码。7.3演练与复盘常态化演练：每年至少组织1次全校性网络安全实战攻防演练（红蓝对抗），每学期组织1次I级或II级专项应急演练（如勒索病毒专项）。复盘机制：事件处置结束后5个工作日内，网安中心须组织复盘会议，输出《网络安全事件分析报告》，明确根本原因、改进措施（RCA）及责任追究结果，并更新知识库。第八章审计与合规检查没有审计就没有安全，必须通过持续的技术监测与行政检查确保制度落地。8.1日志审计日志留存：防火墙、WAF、交换机、服务器、业务系统的日志必须留存不少于6个月，满足《网络安全法》合规要求。综合审计：利用SIEM（安全信息和事件管理）平台，对全网日志进行关联分析。重点关注：深夜（22:00-06:00）的特权账号登录、异地登录、短时间内连续的登录失败（暴力破解）、大流量数据传输。违规通报：对于审计发现的违规行为（如私自搭建热点、违规外联、弱口令），网安中心每周下发《网络安全通报》，抄送人事处与相关单位领导。8.2合规性检查等级保护测评：全校定级为等保三级及以上的信息系统，必须每两年由具备资质的第三方机构进行1次测评，测评分数低于80分视为不合格，必须限期整改。上线前安全评估：新建或重构的业务系统，上线前必须通过代码审计（SAST/DAST）及渗透测试。存在高危漏洞（如SQL注入、XSS、反序列化）的系统，严禁上线。第九章责任追究对于违反本制度规定，造成网络安全事故或重大隐患的单位和个人，依据情节轻重，给予以下处理：通报批评：首次发现违规操作或未按期完成漏洞整改的，全校通报批评。暂停权限：因操作不当导致终端感染病毒影响他人，暂停其校园网接入权限7~30天。行政处分：因管理不善导致L3级及以上数据泄露或系统瘫痪超过24小时的，依据学校规定给予警告、记过等行政处分。法律责任：违反《中华人民共和国刑法》相关规定，非法侵入计算机信息系统、破坏计算机信息系统功能、非法获取计算机信息系统数据，构成犯罪的，依法移送司法机关追究刑事责任。第十章附则本制度由学校网络与信息安全中心负责解释。本制度自发布之日起施行，原有相关规定与本制度不一致的，以本制度为准。国家相关法律法规如有更新，本制度应做相应修订。附录A：可执行工具与表单附录A.1：服务器安全配置基线检查表（样表）检查项合格标准检查方法频次责任人账号策略密码长度≥12，复杂度符合要求查看/etc/login.defs或组策略上架前/每月系统管理员远程登录禁止root直登，SSH端口非默认尝试root登录，查看sshd_config上架前/每周系统管理员补丁状态无高危漏洞（CVSS≥7.0）使用Nessus/OpenVAS扫描每周安全管理员防病毒软件EDR客户端在线，病毒库最新查看控制台状态每日安全管理员服务端口仅开放业务必要端口使用Nmap全端口扫描上架前/变更时网络管理员附录A.2：网络安全应急响应通讯录（模板）角色姓名办公电话手机号邮箱备注分管校领导[姓名][号码]138******xxx@总指挥网安中心主任[姓名][号码]138******xxx@现场处置系统运维组长[姓名][号码]138******xxx@技术执行网络运维组长[姓名][号码]138******xxx@网络隔离公安网安支队[联系人][号码]110-外部支援电信运营商IDC[联系人][号码]138******xxx@流量清洗附录A.3：常用高危端口封堵清单以下端