教育系统网络安全运维管理制度

教育系统网络安全运维管理制度总则网络安全是教育教学活动正常开展的底线支撑，运维环节的疏漏是90%以上教育系统网络安全事件的直接诱因。本制度适用于各级教育行政部门、普通中小学、中等职业学校、普通高等学校、直属教育事业单位（教育考试院、教育科学研究院、教育技术装备中心、学生资助管理中心等）的全部网络与信息系统运维活动，涵盖单位自有运维团队、第三方运维服务商承接的所有运维操作。制度制定以《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《教育系统网络安全管理办法》《网络安全等级保护基本要求》（GB/T22239-2019）为核心依据，确立“谁主管谁负责、谁运维谁负责、谁使用谁负责”的总原则，所有运维活动必须以“不中断正常教学秩序、不泄露敏感教育数据、不引发负面舆情”为核心目标。本制度为教育系统网络安全运维的强制性执行标准，所有单位不得因运维经费不足、人员紧张等理由降低执行标准。组织架构与责任体系网络安全运维责任不能悬在空处，必须拆解到具体岗位、对应到具体人员，避免出现“人人有责却人人不负责”的管理真空。全系统建立三级责任传导体系，每一级责任明确可考核、可追溯：第一责任人：各单位主要负责人（局长、校（院）长）为网络安全第一责任人，履行以下职责：每季度至少主持召开1次网络安全专题工作会议，审议年度网络安全运维预算、应急预案、重大安全整改方案；发生Ⅰ级网络安全事件时1小时内到达现场指挥处置；年度网络安全工作成效纳入其绩效考核指标，权重不低于5%。分管负责人：各单位分管信息化工作的副职领导为网络安全直接分管负责人，履行以下职责：每周审阅运维日志与安全告警报告；每月组织1次全系统漏洞排查；每学期审批1次应急演练计划；所有系统上线、第三方人员准入、核心数据导出申请必须经其签字审批后方可执行。专职运维岗：各单位必须按照“每500台终端配备1名专职安全运维人员、核心业务系统配备1名专属系统运维人员”的标准配齐运维团队，运维团队内部实行岗位分离，设置三类岗位，严禁一人兼任多岗形成权限风险：系统运维岗：负责服务器、网络设备、业务系统的日常配置、故障处置、补丁更新，不持有核心数据库操作权限；安全运维岗：负责安全设备策略配置、漏洞扫描、告警处置、应急响应、日志审计，不持有业务系统的业务配置权限；数据运维岗：负责数据备份、恢复、数据权限分配，不持有网络设备、安全设备的配置权限。所有为教育系统提供服务的第三方运维厂商，必须在合同中明确网络安全责任条款，派驻的现场运维人员必须提供无犯罪记录证明，签署《网络安全保密承诺书》（附件1），由学校统一发放临时运维账号，账号有效期与服务周期一致，服务到期立即注销。第三方人员开展运维操作时，必须有本校安全运维岗人员全程旁站监督，所有操作通过运维堡垒机执行并全程录屏，日志留存时间不低于1年。严禁第三方人员单独持有核心系统管理员账号，严禁第三方人员通过私人VPN、向日葵、TeamViewer等非授权远程工具接入教育内网，违反上述要求的厂商立即终止服务合同，纳入教育系统服务商黑名单，造成安全事件的依法追究法律责任。各单位必须明确1名24小时在岗的网络安全联络员，联系方式报上级教育行政部门信息中心备案，人员变动时2个工作日内完成报备更新，严禁出现应急状态下联络中断的情况。日常运维标准化操作规范日常运维的标准化执行是防范80%常规网络攻击的核心手段，绝大多数弱口令、未打补丁、配置错误类风险完全可以通过规范化日常动作提前消解。所有运维动作必须明确操作标准、校验规则、风险提示，杜绝凭经验、凭习惯的随意操作。资产全生命周期管理所有网络资产必须纳入动态台账管理，严禁存在未登记的“影子资产”——据教育部2024年网络安全情况通报，未纳入管理的闲置测试系统、旧版网站、临时搭建的报名页面是攻击者入侵的最常用跳板，风险演化路径为：长期无人维护的影子资产存在弱口令/未修复漏洞→攻击者获取资产控制权→通过内网横向移动渗透核心业务系统→造成数据泄露或业务瘫痪。具体要求：由系统运维岗牵头，每季度最后1周完成全量资产盘点，更新《网络信息资产动态台账》（附件2），台账信息必须包含资产名称、IP地址、MAC地址、所属业务系统、等保级别、运维责任人、上线时间、维保到期时间、开放端口、运行服务版本；分管负责人每季度抽查不少于10%的资产，核对台账信息与实际配置一致性，准确率必须达到100%。资产下线时必须彻底清除存储数据、关闭端口、断电断网，严禁闲置资产长期挂网运行。资产定级严格按照等级保护2.0要求执行：承载高考、中考、研究生考试等国家教育考试业务的系统、学籍管理系统、学生资助系统、校园一卡通支付系统定为第三级等保对象，必须每年开展1次第三方等级保护测评；学校官网、教务管理系统、办公OA系统定为第二级等保对象，每2年开展1次第三方测评；临时活动页面、公开教学资源站点定为第一级等保对象，落实基础防护措施。账号与权限管理所有系统账号必须遵循“最小权限原则”，即仅为用户分配完成工作必需的最小权限范围，严禁给普通用户开放管理员权限。账号密码必须符合以下强度要求：管理员账号密码长度不低于12位，包含大小写字母、数字、特殊字符三类组合，每90天强制更换，严禁使用“admin@123”“school123”“123456”等在公开弱口令库中出现过的密码；普通用户账号密码长度不低于8位，每180天强制更换。特权账号（服务器root/Administrator账号、数据库sys账号、网络设备enable账号）必须存入加密密码保险箱，实行“双人双锁”管理，每次使用必须登记使用人、使用事由、使用时长，使用完毕后立即更换密码，严禁个人私存特权账号密码。每季度最后1个工作日，由安全运维岗完成全量账号巡检，清理离职人员、调岗人员、过期测试账号，核对账号权限与岗位匹配度，发现超权限账号立即整改。严禁多人共用1个管理员账号，因账号共用导致操作无法追溯的，由账号登记持有人承担全部安全责任。安全运维岗每周开展1次全量弱口令扫描，发现弱口令立即通知使用人在2小时内完成整改，整改后重新扫描验证，严禁出现长期未改的弱口令——据教育系统网络安全通报数据，62%的成功入侵事件是通过暴力破解弱口令实现的。漏洞与补丁管理安全运维岗必须每个工作日浏览国家信息安全漏洞共享平台（CNVD）、教育系统网络安全通报中心发布的漏洞预警，按照CVSS评分分级处置：高危漏洞（CVSS评分≥7.0，可被直接利用获取服务器权限、执行远程代码）：必须在收到预警后24小时内完成漏洞影响范围验证，完成补丁修复或临时防护；中危漏洞（CVSS评分4.0-6.9，可被用于获取敏感信息、提升权限）：必须在72小时内完成修复；低危漏洞（CVSS评分<4.0，仅存在局部信息泄露风险）：必须在7个工作日内完成修复。补丁安装优先在与生产环境配置一致的测试环境完成兼容性验证（教育系统大量存量教学软件基于旧版运行环境开发，直接打补丁可能导致程序崩溃、教学中断）；若不具备独立测试环境条件，可选择非教学时段在单台非核心服务器验证补丁稳定性，确认无异常后再批量部署；严禁在未做任何验证的情况下直接在核心业务服务器批量安装补丁。对因业务系统版本过旧无法安装补丁的资产，必须采取临时防护措施：关闭受影响端口、配置WAF虚拟补丁、断开公网连接，同时制定系统升级计划，明确整改时限，报分管负责人审批后留存备查。日常巡检与特殊时段保障日常巡检实行“日监测、周扫描、月评估”机制：安全运维岗每日检查安全设备告警情况，处置当日告警；每周开展1次全量端口扫描、恶意代码排查，发现问题立即整改；每月形成网络安全运维月报，报分管负责人审阅。针对教育系统的特殊场景制定专项保障要求：寒暑假、7天及以上法定长假期间：安全运维岗必须每日开展2次远程巡检（上午9:00、下午16:00），重点检查官网页面完整性、核心系统可访问性、安全设备告警状态，巡检记录每日上报上级教育行政部门信息中心；长假期间严禁安排核心系统割接、版本升级等高危操作。重大教育考试（高考、中考、研究生考试、学业水平考试）保障期（考前7天至考试结束）：安排至少2名运维人员在考务指挥中心现场值守，提前3天完成涉考系统全量漏洞排查、压力测试，配置双运营商网络冗余备份（主链路故障时1分钟内自动切换到备用链路），涉考系统实行双机热备；考试期间暂停所有系统配置变更、版本升级操作，严禁无关人员接入考务网络。日常教学时段（工作日8:00-18:00）：严禁安排核心教务系统、教学平台的割接、升级操作，所有系统维护必须安排在当日22:00后或周末开展，提前3个工作日发布维护公告，并制定30分钟内可执行的系统回退方案，避免影响正常教学秩序。终端与边界防护所有单位必须在网络边界部署下一代防火墙（NGFW）、Web应用防火墙（WAF）、入侵防御系统（IPS），边界访问控制策略遵循“默认拒绝”原则，仅开放业务必需的端口，严禁将SSH（22端口）、RDP（3389端口）、MySQL（3306端口）、SQLServer（1433端口）等管理端口直接开放到公网。每半年开展1次边界策略全量梳理，清理连续30天无流量的冗余策略，收紧过大的权限范围。所有办公终端、教室多媒体终端、机房服务器必须安装EDR终端检测与响应系统，统一配置病毒库每2小时自动更新，开启实时防护与勒索病毒诱饵文件检测功能；严禁私自卸载EDR客户端、关闭系统防火墙，对私自卸载防护软件的终端，由安全运维岗断开其网络连接，待重新安装防护并完成病毒查杀后才可恢复接入。安全运维岗每月开展1次全员钓鱼邮件模拟测试，对点击钓鱼链接、下载恶意附件的人员开展一对一安全提醒，全年累计3次触发模拟钓鱼风险的人员，必须重新参加网络安全专项培训并通过考核。数据安全运维规范教育系统存储的海量学生个人信息、考试敏感数据是黑产攻击的核心目标，数据运维的疏漏不仅会造成公民个人信息泄露，更可能直接影响考试公平、引发群体性舆情。数据运维必须实现全流程可管控、可追溯，杜绝数据失控风险。数据分类分级管控按照《教育数据分类分级指南》要求，将所有教育数据划分为四级，对应不同的运维管控要求：一级数据（核心敏感）：中高考试题及参考答案、考生志愿填报信息、学生生物识别信息（人脸、指纹）、学生及家长身份证号/手机号/家庭住址、学生资助银行卡信息。该类数据必须采用国密算法加密存储，访问必须经分管负责人双人审批，操作过程全程录屏，严禁通过微信、QQ、个人邮箱等公共即时通讯工具传输一级数据。二级数据（重要）：学生学籍信息、学业成绩记录、教职工人事档案信息、学校财务缴费数据。该类数据的访问必须留存完整操作日志（含访问人、访问时间、访问内容、操作类型），日志留存时间不低于6个月，严禁未授权批量导出。三级数据（内部）：内部工作通知、非公开的教学教研材料。该类数据仅限单位内部人员访问，不得随意对外传播。四级数据（公开）：学校官网公开的新闻动态、招生宣传材料、公开教学资源。该类数据发布前必须经过内容审核，确保无敏感表述、无错误信息。数据备份与恢复一级、二级数据必须严格执行“3-2-1备份策略”：即保存3份数据副本、存储在2种不同物理介质（机械硬盘、磁带/一次性刻录光盘）、1份异地备份（备份点与主机房物理距离不低于50公里，不受同一区域停电、火灾、自然灾害影响）。备份频率要求：涉考、报名、缴费等高频交易类核心数据执行每1小时增量备份、每日全量备份；一般教学数据执行每日增量备份、每周全量备份。严禁出现“只备份不验证”的形式主义问题：数据运维岗必须每月开展1次备份数据恢复演练，在隔离环境中验证备份文件的完整性、可恢复性，记录恢复时长、数据完整性校验结果，填写《数据备份与恢复演练记录表》（附件3）。风险演化提示：未经过恢复验证的备份等同于无效备份，一旦发生勒索病毒加密、硬件故障、误删除等问题，将导致数据永久丢失，严重时可造成教学秩序全面瘫痪。备份介质必须存放在防火、防水、防盗的专用保险柜中，由数据运维岗专人保管，严禁将备份介质与生产服务器存放在同一机柜或同一房间。数据销毁与脱敏存储敏感数据的废弃硬盘、U盘、服务器存储介质，必须通过消磁（磁场强度≥8000Oe）、物理粉碎（颗粒直径≤2mm）的方式彻底销毁，由2名运维人员全程在场监督，留存销毁过程视频与销毁记录；严禁将未做数据清除的存储介质作为废品出售——该行为的风险演化路径为：未销毁的存储介质流入二手市场→黑产人员通过数据恢复工具提取存储的学生敏感信息→用于电信诈骗、精准营销→引发学生家长群体性投诉、公安机关追责。对外提供数据用于教育统计、政策研究时，必须对一级、二级数据进行脱敏处理，去除身份证号、手机号、家庭住址等可识别个人身份的字段，确需提供明细数据的必须经主要负责人审批，与数据接收方签署数据保密协议，明确数据使用范围与销毁要求。严禁任何单位、个人将学生个人信息提供给校外培训机构、商业机构用于营销推广，违者按照《中华人民共和国个人信息保护法》相关条款追究法律责任。第三方运维与系统上线管理第三方运维人员的权限失控、未做安全检测的系统仓促上线，是近年来教育系统网络安全事件的高发诱因，必须设置比内部运维更严格的准入与约束机制。第三方运维准入与过程监管所有进入教育系统服务商名录的运维厂商，必须具备网络安全服务相关资质，近3年无重大网络安全违规记录、无数据泄露前科。签订运维服务合同时，必须明确网络安全责任条款，明确安全事件的赔偿标准：因厂商操作不规范、产品漏洞导致安全事件的，厂商必须承担相应的经济赔偿与法律责任。第三方运维人员进场前，由学校安全部门完成背景核查，留存身份证复印件与联系方式，发放有效期不超过服务周期的临时运维账号，账号权限严格限定于其工作必需的范围，禁止开放与本次服务无关的系统权限。第三方人员操作过程中，学校安全运维岗人员必须全程旁站，监督操作范围与审批内容一致，发现超范围操作立即制止，必要时终止其操作权限。运维服务结束后，立即注销临时账号，修改相关系统密码，检查是否存在厂商留下的后门账号、隐蔽端口。对运维过程中需要厂商远程支持的场景，必须由校方运维人员发起临时远程会话，会话全程录屏，操作结束后立即断开远程连接，严禁给第三方厂商开放长期有效的远程访问权限。系统上线安全检测所有新建信息系统（含官网改版、微信小程序、公众号服务模块、临时报名系统）上线前，必须完成三项强制性检测，未通过检测的系统一律不得上线运行：代码安全审计：由具备资质的第三方机构对系统源代码进行审计，高危漏洞修复率达到100%，中危漏洞修复率不低于95%，不存在后门、隐藏账号等恶意代码。渗透测试：由安全运维岗或第三方测评机构模拟攻击者视角开展黑盒渗透测试，验证不存在可直接获取服务器权限、批量拖取数据库数据的高危利用路径。等保定级备案：按照系统承载的数据重要性完成等级保护定级，在属地网信部门完成备案，落实对应级别的安全防护措施。系统上线操作优先选择周五晚22:00后或节假日非教学时段开展，提前3个工作日在学校官方渠道发布系统维护公告，制定完备的回退方案：一旦上线后出现系统崩溃、功能异常、访问故障，必须在30分钟内回退到上一个稳定版本，恢复业务正常访问。安全监测与应急响应网络攻击没有绝对的“御敌于国门之外”，建立快速发现、快速处置的响应机制，才能把事件影响压缩到最小范围，避免小风险演变成大舆情、大事故。告警分级处置各单位必须部署安全运营中心（SOC）平台，统一接入WAF、EDR、IDS、防火墙、堡垒机的日志数据，7*24小时监测安全告警，按照告警等级执行差异化响应时效：一级告警（明确的入侵行为、勒索病毒感染迹象、网页被篡改、核心数据批量外发、特权账号异地登录）：必须在15分钟内响应，启动初步处置；二级告警（漏洞利用尝试、普通账号多次暴力破解、非核心端口异常扫描、弱口令告警）：必须在1小时内响应处置；三级告警（常规网络扫描、流量小幅波动、普通用户密码错误）：必须在4小时内核查处置。学校官网必须配置网页防篡改系统，开启自动恢复功能：一旦检测到页面被非法篡改，系统自动切换到备份页面，同时向运维人员发送短信、电话告警，确保官网非法页面留存时间不超过10分钟，避免被搜索引擎标记为危险网站、引发不良传播。事件分级响应根据网络安全事件的影响范围、严重程度，将事件划分为三个等级，对应不同的启动权限与处置流程，严禁跨级决策、严禁迟报瞒报：Ⅲ级事件（一般事件）判定标准：单个终端感染非勒索类病毒、非核心页面被篡改、发现少量弱口令漏洞、未造成业务中断或数据泄露。启动权限：安全运维岗负责人处置原则：1小时内完成漏洞修复、病毒查杀、页面恢复，处置完成后24小时内形成事件记录报分管负责人，不对外发布公告。Ⅱ级事件（较大事件）判定标准：核心业务系统访问中断超过30分钟、二级数据少量泄露、官网首页被植入非法涉黄/涉赌/涉诈内容、局部网段网络瘫痪。启动权限：网络安全分管负责人处置原则：立即隔离受影响系统，阻断攻击路径，2小时内恢复核心业务访问，48小时内形成事件处置报告报上级教育行政部门，配合属地网安部门开展溯源工作，必要时面向师生发布情况说明。Ⅰ级事件（重大事件）判定标准：涉考系统故障影响考试正常开展、一级数据批量泄露、全网瘫痪超过2小时、大规模勒索病毒感染、被国家/省级网信/教育部门通报的重大安全事件。启动权限：单位主要负责人处置原则：第一时间隔离受影响网段（注意保留涉考、应急指挥的必要通信通道），10分钟内上报上级教育部门与属地网信、公安网安部门，按照应急预案开展处置，严禁瞒报、迟报、谎报；事件处置完成后72小时内形成正式调查报告，明确事件原因、影响范围、整改措施、责任追究结果。重点场景处置流程针对教育系统高发的勒索病毒攻击，执行标准化处置流程：发现设备感染勒索病毒后，第一时间断开受感染设备的网络连接（严禁直接重启设备，避免病毒加密更多文件），立即向安全运维岗报告，优先隔离核心业务系统所在VLAN，防止病毒通过内网横向传播；排查感染来源（钓鱼邮件、带毒U盘、未修复漏洞），对未感染设备紧急推送对应漏洞补丁与病毒库更新。数据恢复优先采用最近的离线备份恢复；若离线备份不可用，可联系国家网络与信息安全信息通报中心申请免费解密工具；严禁向攻击者支付赎金（支付赎金不仅无法保证获得有效解密密钥，还会被标记为高价值目标，遭受持续攻击），严禁直接重装系统导致加密文件无法恢复。演练与持续改进核心业务系统每学期至少开展1次实战化应急演练，模拟勒索病毒攻击、网页篡改、数据泄露、系统宕机等真实场景，演练过程严格按照PDCA闭环管理：演练前制定《网络安全应急演练脚本》（附件4），明确演练场景、参与人员、处置流程；演练过程中记录响应时长、处置动作、存在的问题；演练结束后24小时内召开复盘会，评估应急预案的可操作性，修订完善预案内容。严禁“走形式、念脚本”的表演式演练，演练记录、复盘报告必须存档，作为年度网络安全考核的核心依据。所有安全事件处置完成后，必须形成完整的事件档案，包含攻击路径溯源结果、影响范围评估、处置过程记录、整改措施落实情况，档案留存时间不低于3年，严禁篡改、销毁日志与证据记录。每季度对发生的安全事件进行汇总分析，梳理共性问题，优化运维流程与防护策略。能力建设与考核问责网络安全运维的核心是人，再先进的设备、再完善的制度，最终要靠具备专业能力的人员落地执行，没有考核的制度只会沦为一纸空文。培训能力要求专职运维人员每年必须完成不低于40学时的网络安全专业培训，内容涵盖等级保护2.0标准、漏洞挖掘与处置、应急响应、数据安全法规等，培训后通过专业能力考核方可上岗；鼓励运维人员考取CISP、CISSP、等保测评师等专业资质，相关培训、考试费用由单位承担。全体教职工每学期必须完成不低于4学时的网络安全通识培训，内容涵盖防钓鱼邮件、弱口令风险、个人信息保护、终端安全要求，培训后完成在线测试，测试合格率必须达到100%；针对学生群体，每学期至少开展1次网络安全主题班会，普及防电信诈骗、个人信息保护、健康上网相关知识，提升师生整体网络安全意识。考核与问责上级教育行政部门每季度对下属单位开展网络安全运维工作抽查，抽查内容包括资产台账完整性、高危漏洞修复率、弱口令占比、日志留存合规性、应急值守到位情况，考核结果分为优秀、合格、不合格三个等级，考核结果与单位年度绩效考核、运维经费拨付、评优评先资格直接挂钩。对违反本制度要求的行为，按照情节轻重执行对应问责：情节较轻、未造成安全后果的：未按要求完成日常巡检、补丁修复逾期超过3天、账号密码不符合强度要求、长假值守缺位，对相关责任人予以通报批评，扣发当月20%绩效奖金；情节较重、造成一定影响的：未按要求开展漏洞排查导致系统被入侵、第三方运维监管缺位、备份数据未定期验证导致备份失效、安全事件处置不及时导致业务中断超过30分钟，对相关责任人给予行政警告处分，扣发季度50%绩效奖金；情节严重、造成重大后果的：私自泄露或售卖学生敏感数据、重大事件瞒报谎报、故意删除操作日志逃避追责、因运维失职导致考试秩序混乱或重大负面舆情，对相关责任人给予记过及以上行政处分，情节严重涉嫌违法的移送司法机关处理。对及时发现重大安全隐患、成功处置重大网络攻击避免重大损失的运维人员，予以年度评优优先资格，并发给相当于当月绩效50%-200%的一次性奖励。附则制度的生命力在于执行，所有条款必须配套可落地的工具表单与动态修订机制，避免制度与实际运维“两张皮”。本制度自发布之日起施行，各单位必须在本制度发布后1个月内完成现有运维流程的对标整改，配齐必要的安全防护设备与专职运维人员。本制度每年开展1次修订，根据国家最新法规要求、新型攻击手段变化、日常运维与应急演练中发现的问题动态更新条款内容。附件附件1：教育系统网络安全