学校校园网络安全管理办法

学校校园网络安全管理办法一、第一章总则1.1第一条目的与依据校园网络安全的核心矛盾在于：教学、办公、生活服务全面依赖网络，而攻击面（师生终端、公共终端、物联设备、第三方系统）持续扩大，任何单点失守都可能演化为数据泄露、教学中断或舆情事件。为将安全管理从“事后补救”转为“制度性防控”，依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《网络安全等级保护基本要求》（GB/T22239）及教育主管部门相关规定，结合本校实际，制定本办法。1.2第二条适用范围本办法适用于：•全校有线、无线网络基础设施及出口链路；•面向师生和公众的信息系统（含教务、OA、一卡通、图书馆、财务、招生网站等）；•师生个人接入校园网的终端设备；•校园内物联网设备（监控摄像头、门禁、班牌、广播、智能水电表等）；•第三方承建或运维的系统与设备（合同中须附安全责任条款）。1.3第三条基本原则1.分区隔离：办公、教学、学生生活、访客、物联网五类网络逻辑隔离，跨区访问须经防火墙策略审批。2.最小权限：账号权限按岗位最小必需配置，管理员权限双人共管。3.等级保护定级：核心系统（教务、一卡通、财务）按等保二级及以上建设并完成备案测评。4.责任到人：每个系统指定一名安全责任人，名单在信息化办公室备案。二、第二章组织机构与职责2.1第四条网络安全工作领导小组•组长：校长（第一责任人）；副组长：分管副校长。•成员：信息化办公室、保卫处、教务处、学生处、财务处、宣传部负责人。•职责：每学期召开1次专题会议，审定年度安全工作计划与预算；发生二级及以上安全事件（分级见第七章）时2小时内召开临时会议决策。2.2第五条信息化办公室（日常执行机构）•7×24小时维护安全监测平台，威胁告警15分钟内响应、2小时内出具初步研判结论；•每月1日前完成上月漏洞扫描与补丁情况汇总，向领导小组报备；•每学期开学前2周完成出口防火墙策略、无线认证体系、上网行为审计配置的全量核查；•组织年度攻防演练（每学年至少1次，可邀请第三方测试机构承担，费用列入年度预算）。2.3第六条各二级单位职责•指定1名网络安全联络员（须为本单位在编在岗人员），人员变动5个工作日内报信息化办公室更新；•对本单位业务系统的账号开设、权限变更履行审批手续（审批单留存3年）；•每学期对本单位教师进行不少于1次、每次不少于30分钟的安全教育（钓鱼邮件识别、账号密码管理），签到记录报信息化办公室存档。三、第三章网络与基础设施管理3.1第七条网络分区与准入•教学办公区：统一身份认证（账号+密码+短信双因素），终端须安装终端管理客户端并完成合规检查（补丁、杀毒软件启用）方可入网；•学生生活区：实名认证接入，一人一号，共享账号导致日志无法溯源的，由账号所有者承担相应责任；•访客网络：仅提供互联网访问，与内网完全隔离，单次接入有效期不超过24小时，带宽限制在总出口的5%以内；•物联网设备：单独VLAN划分，禁止访问办公网段；出厂默认口令的设备严禁接入（默认口令是摄像头、门禁被入侵的首要通道），接入前必须修改强口令并登记MAC地址、安装位置、责任人。3.2第八条出口与边界防护•出口防火墙策略变更实行申请审批制：申请人提交变更单（变更内容、目的、期限）→信息化办公室技术审核→分管副主任批准；临时策略有效期不超过7天，到期自动回收；•每季度清理一次失效策略，清理清单留档；•对外发布的服务（网站、邮件）集中部署于DMZ区，禁止将内网服务器端口直接映射到公网——直接映射等于将内网主机暴露于全网扫描，一旦该主机存在漏洞即成为跳板攻入内网。四、第四章信息系统与数据安全4.1第九条系统上线与运维•新系统上线前必须完成：漏洞扫描（高危漏洞清零）、渗透测试（二级以上系统）、安全责任书签署，三者齐备方可开放访问；•系统数据备份执行“3-2-1”原则：至少3份副本、2种介质、1份异地（存放于另一校区机房或云端），数据库每日增量备份、每周全量备份，每学期末做1次恢复演练验证备份有效性——只备份不演练，等于假设灾难发生时备份必然可用，这在勒索病毒事件中是最常见的翻车点；•系统停用须先完成数据归档（归档数据加密保存3年）再下线，禁止直接格式化服务器。4.2第十条个人信息保护•采集学生、教职工个人信息遵循最小必要原则，招生、资助等场景采集的身份证号、家庭住址等敏感字段须加密存储；•禁止通过个人微信、个人邮箱、非加密U盘传输含大量个人信息的表格（如全班学生名单含身份证号）；确需外发的，脱敏后传输或使用学校加密文件平台，违规一次通报批评，造成泄露的按第七章追责；•第三方（如成绩查询小程序供应商）接触学生数据的，合同必须约定数据归属、保密义务、到期删除条款，并在服务到期后30天内取得删除证明。五、第五章账号与终端管理5.1第十一条账号生命周期•入职/入学：凭人事处、教务处录入的正式名单开通账号，禁止口头申请开通；•离职/毕业：人事处、教务处在办理手续当日通知信息化办公室冻结账号，7日内注销——离职账号残留是内部越权访问的高发通道；•密码策略：长度不少于10位、含大小写字母与数字，每180天更换，连续5次输错锁定30分钟；管理员账号启用双因素认证，严禁多系统共用同一密码；•权限变更：凭部门负责人签批的权限变更单办理，管理员权限类变更须双人复核。5.2第十二条终端管理•办公终端统一安装补丁管理与防病毒客户端，卸载须申请；•公共机房、图书馆公共终端：还原卡或无盘系统保护，每次重启自动还原，USB存储默认禁用（防拷贝数据、防植入病毒）；•严禁办公终端私自搭建Wi-Fi热点、私自接入集线器扩展端口——这会在已隔离的网络分区之间打通未受控通道，使整个分区隔离体系失效；有组网需求应向信息化办公室申请有线扩展。六、第六章应急响应6.1第十三条事件分级级别判定标准（满足其一即定级）启动权限一级（重大）核心系统（教务/一卡通/财务）中断超过4小时；敏感数据批量泄露（涉及500人以上）；勒索病毒加密服务器组长（校长）二级（较大）单一系统中断1~4小时；数据泄露涉及50~500人；网站首页被篡改副组长（分管副校长）三级（一般）单点终端感染、局部网段异常、告警核实为误报但存在隐患信息化办公室主任6.2第十四条处置流程1.发现与上报：任何师生发现异常（页面篡改、系统无法登录、收到勒索信息）15分钟内拨打信息化办公室值班电话（见附件二），不得自行尝试修复或在班级群、朋友圈传播截图；2.隔离：值班人员远程或现场断开受影响主机/网段（拔线即断网，先断电易丢失易失性证据；一级、二级事件保留内存与日志镜像供取证）；3.处置：按事件类型执行预案——勒索病毒立即切断备份系统网络连接（防止备份同被加密）再评估恢复路径；数据泄露同步排查泄露范围并留存证据；4.上报：二级及以上事件在初步确认后2小时内报领导小组，涉及个人信息泄露且达到法定门槛的，按《中华人民共和国网络安全法》规定向主管部门报告；5.恢复与复盘：事件关闭后5个工作日内由信息化办公室牵头出具复盘报告（时间线、根因、损失、整改项），整改项明确责任人与完成期限，下月例会核销。6.3第十五条演练•每学年组织1次桌面推演（勒索病毒场景与数据泄露场景轮换），参演对象为领导小组成员及系统管理员；•每学期组织1次模拟钓鱼邮件测试，点击率高于15%的单位需在1个月内完成针对性再培训并复测。七、第七章监督检查与责任追究7.1第十六条检查机制•日常：信息化办公室每月完成漏洞扫描、弱口令检测、僵尸主机排查，结果书面通报到责任单位；•专项：每学期末由领导小组办公室组织联合检查（信息化办公室+保卫处），对照附件三检查表逐项核查，检查记录存档3年。7.2第十七条责任追究•因未履行审批手续、私接设备、违规传输敏感数据造成安全事件的，视情节给予通报批评、绩效扣减，造成严重后果的按学校相关规定处理；•第三方运维单位违反合同安全条款的，扣减运维费用并纳入供应商黑名单；•主动发现并上报重大隐患的师生予以通报表扬，规避“上报即追责”的寒蝉效应——瞒报比事件本身危害更大，因为它剥夺了组织的处置窗口。八、第八章附则1.本办法自发布之日起施行，由信息化办公室负责解释。2.各二级单位可依据本办法制定实施细则，报信息化办公室备案。3.本办法每两年复审一次，法律法规或学校机构设置变化时即时修订。附件一网络安全事件上报登记表（样表）字段填写内容上报人/单位/联系电话张某某/计算机学院/138******发现时间2024-XX-XXXX:XX事件现象描述教务系统登录页面被替换为异常页面影响范围（系统/人数）教务系统/全校约XXXX人已采取措施已通知信息化办公室，未自行操作值班接报人/接报时间李某某/同日XX:XX初判级别一级/二级/三级（勾选）附件二应急联络通讯录（模板）角色姓名座机手机信息化办公室值班室值班员XXXX-XXXXXXX（7×24）138******信息化办公室主任张某某XXXX-XXXXXXX138******分管副校长王某某XXXX-XXXXXXX138******保卫处值班室值班员XXXX-XXXXXXX138******上级主管部门安全联络人——XXXX-XXXXXXX——附件三学期安全检查表序号检查项检查方法合格标准结果1防火墙策略调阅策略清单无过期临时策略、无全放行规则□合格□不合格2漏洞扫描当月扫描报告高危漏洞清零或已列整改计划□合格□不合格3备份有效性最近一次恢复演练记录本学期内完成且恢复成功□合格□不合格4账号注销抽查离职/毕业人员名单账号7日内冻结率100%□合格□不合格5物联网设备台账现场比对无未登记、无默认口令设备□合格□不合格6安全教育记录调阅签到与课件每单位每学期不少于1次□合格□不合格7第三方数据条款抽查在期合同含数据归属与到期删除条款□合格□不合格附件四常见风险阻断要点速查风险演化路径阻断动作勒索病毒钓鱼邮件→员工点击附件→终端中马→内网