学校校园网络信息管理制度

学校校园网络信息管理制度为规范校园网络空间秩序，保障校园网络信息安全，维护广大师生员工合法权益，促进校园网络文化健康发展，支撑学校教育教学、科学研究与管理服务高质量开展，依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《关键信息基础设施安全保护条例》《教育部关于加强教育网络安全工作的意见》《高等学校校园计算机网络管理办法》等法律法规和政策文件要求，结合本校实际，制定本制度。总则本制度适用于所有接入本校校园网络的单位、个人，以及所有依托校园网络运行的信息系统、网站、新媒体平台、网络服务，覆盖有线网络、无线网络、物联网等所有校园网络形态，全校所有单位、教职工、学生、临时来访人员、合作单位都必须严格遵守本制度。校园网络信息管理坚持“谁主管谁负责、谁运营谁负责、谁使用谁负责”的原则，统筹安全与发展，在保障网络开放服务、支撑教育教学创新的同时，落实全方位安全管理要求，构建安全可控、健康有序的校园网络环境。学校将校园网络安全建设与运行维护经费纳入年度财政预算，保障网络安全设备升级、防护服务购买、应急处置、宣传培训等工作的经费投入，确保各项管理措施落地。管理机构与职责学校成立校园网络安全与信息化工作领导小组，由学校主要党政负责人任组长，分管宣传思想工作、分管信息化工作的校领导任副组长，成员包括党委宣传部、网信办、教务处、科研处、学生工作部（处）、研究生院、保卫处、财务处、后勤管理处、国有资产管理处、各二级学院主要负责人。领导小组主要职责为：贯彻落实国家网络安全与信息化发展的方针政策，统筹学校校园网络建设与安全发展的顶层规划，研究审定校园网络信息管理相关规章制度，协调解决校园网络信息安全领域的重大问题，监督检查各单位网络信息安全工作落实情况，对重大网络安全事件进行决策指挥。学校网信办（网络安全与信息化办公室）是校园网络信息管理的日常办事机构，具体承担以下职责：负责校园网络基础设施的建设、运行、维护和日常管理；落实国家和学校各项网络安全管理制度，组织开展校园网络安全防护、监测预警、应急处置工作；负责校园网络接入审批、用户账号管理、网络资源分配；组织开展校园网络信息内容的安全巡查，督促指导各单位落实信息审核责任；组织开展全校网络安全宣传教育、业务培训和应急演练；对接上级网信部门、教育主管部门，报送网络安全工作信息，配合开展网络安全检查和事件调查。各二级单位（含各学院、职能部门、直属附属单位）为本单位网络信息安全的责任主体，主要负责人是本单位网络信息安全第一责任人，各单位必须指定1名专职或兼职网络信息安全员，具体承担以下职责：落实学校网络信息管理制度，组织开展本单位网络信息安全日常检查；负责本单位所属网站、新媒体平台、业务信息系统的信息内容审核和安全维护；及时上报本单位发生的网络安全事件，配合学校网信办开展事件处置；组织本单位师生学习网络安全知识，落实各项安全防范要求。各相关职能部门按分工落实协同管理职责：党委宣传部负责统筹校园网络意识形态工作，指导校园网络文化建设，对校园网络发布的重大敏感信息进行内容审核；保卫处负责协助处置危害校园网络安全的违法犯罪行为，配合公安机关开展网络违法案件调查，将网络安全防控融入校园整体安全防控体系；学生工作部（处）、研究生院负责将网络素养教育、网络安全教育纳入学生思想政治教育和日常管理体系，牵头处理学生违反网络管理规定的相关行为；教务处负责推动网络安全知识进课堂，将网络安全内容融入相关专业课程和通识课程教学；科研处负责制定科研数据安全管理规范，指导教职工规范科研数据的存储、传输和使用；保密委员会办公室负责对校园网络存储传输的涉密信息进行监督管理，指导涉密网络和涉密信息的安全防护。校园网络接入管理所有接入校园网络的设备、系统和用户，都必须遵守本制度的接入管理规定，任何单位和个人不得未经批准私自接入校园网络。有线网络接入管理本校教学、科研、办公区域的有线网络接入，由使用单位统一向网信办提交书面申请，说明接入用途、接入设备数量、网络负责人信息，经网信办审核通过后，由网信办统一分配网络端口、IP地址，安排技术人员完成接入。任何单位和个人不得私自拉接有线网线，不得私自在校园网内部串联路由器、交换机等网络设备扩展网络范围，不得私自将办公区域网络接入宿舍、校外经营场所等非授权区域。无线网络接入管理校园公共区域、教学办公区域的无线网络由学校统一规划建设和运营管理，任何单位和个人不得私自搭建面向校内师生或社会公众开放的无线热点。确因教学、科研、活动需要搭建临时无线热点的，必须提前3个工作日向网信办提交申请，说明热点用途、使用范围、使用期限，经审核通过后方可搭建；搭建的热点必须设置复杂度符合要求的访问密码，定期更换密码，使用期限结束后必须及时拆除热点，注销相关网络权限。临时人员与校外单位接入管理校外合作单位、来访团队、进修培训人员等需要临时接入校园网络的，必须由对接的校内责任单位出具担保函，向网信办申请临时接入权限，明确使用期限、使用范围。临时接入权限最长不超过180天，到期自动失效；临时接入用户仅能访问公共互联网和授权开放的校内资源，不得访问校内敏感业务系统和涉密信息，校内责任单位对临时接入用户的网络行为承担连带责任。物联网设备接入管理校园内所有接入校园网的物联网设备，包括视频监控、门禁系统、智慧教室终端、智能水电表、校园广播设备、科研实验设备等，新增接入前必须向网信办备案，报备设备型号、IP地址、MAC地址、负责人信息、采集数据内容。设备必须具备基础的身份认证、漏洞更新能力，存在已知安全漏洞且无法修复的设备不得接入校园网；设备报废、更换后必须及时向网信办申请注销接入权限，删除相关备案信息。本部分明确禁止性要求：任何单位和个人不得将校园网络资源转接给校外单位或个人使用，不得利用校园网络从事经营性互联网服务，不得绕过学校防火墙、上网行为管理等安全设备私自搭建通道接入互联网，不得私自架设服务器在校园网内提供公共服务。用户账号与身份管理校园网用户账号实行实名制管理，所有用户必须完成真实身份认证后方可使用校园网络服务，账号管理遵循“一人一号、谁使用谁负责”的原则。正式用户账号管理：本校在职教职工、全日制研究生、本科生、继续教育注册学生为正式用户，正式账号由学校统一根据人事、学籍信息自动注册开通，用户完成初始密码修改后即可使用。任何用户不得转借、出租、出售本人校园网账号，不得使用他人账号登录校园网络，禁止将账号提供给校外人员使用。临时用户账号管理：访客、进修人员、合作项目人员等临时用户，由校内对接单位统一提交申请，网信办审核后发放临时账号，临时账号设置明确的使用期限，到期自动注销，不得延期使用；特殊情况需要延期的必须重新提交申请。账号安全管理：用户必须设置符合安全要求的账号密码，密码长度不低于8位，必须包含大写字母、小写字母、数字、特殊符号中的至少三类，不得使用生日、学号、工号等简单易猜的密码；用户应当定期更换密码，至少每6个月更换一次；发现账号存在异常登录、非授权操作等情况时，必须第一时间修改密码并向网信办报告，配合核查处置。账号注销管理：用户离校（含教职工退休、调动、辞职，学生毕业、退学、开除学籍等）时，网信办自动注销其校园网账号权限，停止所有校内网络服务；任何单位和个人不得私自保留已离校人员账号供他人使用，确因工作需要保留相关数据权限的，必须经单位主要负责人批准后报网信办备案，仅开放指定的数据访问权限，不开放完整网络权限。信息内容发布与审核管理所有在校园网络空间发布、传播的信息内容，都必须遵守国家法律法规和校园网络管理规定，严格落实“谁发布谁负责、谁审核谁负责”的审核制度。官方平台信息发布管理：学校官方网站、官方新媒体平台发布的信息，由业务牵头部门完成内容初审，核对内容的真实性、准确性、合规性，报分管校领导审核签字后方可发布；二级单位所属网站、官方新媒体平台发布的信息，由本单位主要负责人审核签字后方可发布；涉及学校重大政策、重大活动、招生就业、人事变动、突发公共事件等敏感内容的信息，必须提前报送学校党委宣传部审核同意后方可发布，不得擅自发布未经审核的敏感信息。交互类平台与自媒体管理：校园BBS、论坛、社群、学生社团新媒体平台、班级公众号、个人面向校内开放的自媒体账号，都必须落实实名制管理，平台运营负责人必须为本校正式教职工或在读学生；运营负责人必须对平台发布的所有内容进行日常审核，及时删除违法违规内容，禁止发布以下内容：反对宪法确定的基本原则，危害国家安全，损害国家荣誉和利益，破坏民族团结，宣扬邪教和封建迷信，传播色情、暴力、恐怖、赌博信息，编造传播谣言、虚假信息，诽谤他人名誉，侵犯他人知识产权、隐私权，煽动非法聚集、破坏校园稳定，损害学校声誉；任何运营者不得为违法违规信息提供传播渠道。信息留存与巡查管理：所有校园网络平台必须完整留存不少于6个月的用户操作日志、发布内容日志，以备后续核查；学校网信办、党委宣传部定期对校园网络平台发布的信息进行巡查，发现违法违规信息及时要求运营单位删除，责令整改，对拒不整改的暂停平台运行。业务系统与数据安全管理学校所有校内上线运行的业务信息系统、网站、应用，都必须落实安全管理要求，保障系统和数据安全。系统上线安全检测：各单位新建或改版的业务系统、网站，上线前必须向网信办申请安全检测，由网信办组织开展漏洞扫描、渗透测试，检测确认不存在重大安全漏洞后方可上线运行，未通过安全检测的系统不得接入校园网对外开放。系统日常运维管理：系统运维责任单位必须定期对系统进行安全维护，每月开展一次漏洞扫描，每季度开展一次安全巡检，及时安装系统安全补丁，更新开源组件版本，关闭不必要的端口和服务，对系统管理员账号落实强身份认证要求，禁止使用弱密码；委托第三方单位运维的系统，必须与第三方签订安全保密协议，明确第三方的安全责任，第三方运维人员访问系统必须进行实名认证、登记备案，不得留存学校任何业务数据和用户信息，第三方服务结束后必须及时收回所有系统权限。数据分级分类管理：校园网络数据分为四级，分别为公开数据、内部数据、敏感数据、涉密数据：公开数据为可对社会公众公开的数据，如学校简介、公开招生信息、公开招聘信息等；内部数据为仅对校内师生开放的数据，如校内通知、课程安排、非敏感教务信息等；敏感数据为涉及个人隐私、财务信息、核心科研数据、未公开的学校管理信息等；涉密数据为按照国家保密规定确定的国家秘密信息，涉密数据严禁接入校园网和互联网，必须存储在符合国家保密要求的涉密设备中，任何单位和个人不得将涉密信息上传至校园网。个人信息与敏感数据保护：收集师生个人信息必须遵循合法、正当、必要的原则，不得超出业务范围收集信息，不得过度收集个人信息；收集个人信息必须明确告知收集目的、用途、使用范围，征得本人同意；任何单位和个人不得出售、泄露、非法向第三方提供师生个人信息和敏感数据，确因工作需要向第三方提供敏感数据的，必须经网信办、保密办审核批准，签订保密协议后方可提供；科研核心数据必须存储在学校指定的加密存储平台，不得存储在个人云盘、个人服务器、外部存储设备中，避免数据泄露丢失。网络安全防护与应急处置学校建立全天候网络安全监测防护体系，落实常态化应急管理机制，及时防范处置网络安全事件。安全防护与日常监测：网信办在校园网络出口部署防火墙、入侵检测系统、入侵防御系统、Web应用防火墙、DDoS流量清洗、上网行为管理等安全防护设备，建立7*24小时实时监测机制，对校园网异常流量、网络攻击、异常登录等行为进行监测预警，及时发现处置安全威胁；重大节假日、重大活动期间启动特级防护机制，增加监测频次，落实每日零报告制度。应急预案与演练：学校制定完善校园网络安全事件应急预案，针对大面积网络中断、网站被篡改、勒索病毒攻击、数据泄露、有害信息传播等不同类型安全事件制定明确的处置流程；学校每年至少组织一次全校性网络安全应急演练，各二级单位每学期至少开展一次本单位的应急演练，提升应急处置能力。安全事件处置：任何单位和个人发现网络安全事件后，必须第一时间向网信办报告，不得隐瞒、拖延报告；网信办接到报告后立即启动应急预案，按照流程开展处置：第一时间切断攻击源，隔离受感染设备和系统，防止事件扩大；开展事件排查，定位安全事件原因，清除恶意程序，修复安全漏洞；及时恢复受影响的系统和服务，做好数据恢复；完整留存事件相关证据，按照规定上报上级主管部门，涉及违法犯罪的，及时移交公安机关立案调查；发生勒索病毒攻击事件时，任何单位和个人不得私自向黑客支付赎金，必须第一时间上报学校网信办和保卫处，配合开展处置，避免造成更大损失。监督考核与责任追究学校将网络安全教育纳入全校师生思想政治教育和素质教育体系，常态化开展网络安全宣传教育：新生入学教育必须设置网络安全专题内容，教职工岗前培训必须包含网络信息安全管理要求；每年国家网络安全宣传周期间，学校组织开展形式多样的网络安全主题宣传活动，普及网络安全知识，提升师生安全防范意识和防护技能；每学期组织一次二级单位网络信息安全员专项培训，提升安全员的业务能力和责任意识；鼓励相关专业学生参加网络安全竞赛，培养网络安全专业人才。学校将校园网络信息安全工作纳入各二级单位年度绩效考核，作为单位评先评优的重要依据