学校网络及信息安全管理制度

学校网络及信息安全管理制度为规范学校网络与信息活动，明确网络与信息安全责任，保障校园网络和信息系统安全稳定运行，保护师生员工合法权益与学校核心利益，促进学校信息化事业健康发展，根据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《关键信息基础设施安全保护条例》《网络安全等级保护条例》等法律法规，以及教育部、上级教育主管部门关于教育系统网络安全的相关规定，结合学校实际，制定本制度。总则本制度适用于学校所有接入校园网络的单位、个人，学校建设、运营、管理的所有网站、信息系统、数据资源，以及所有在学校网络空间开展的教学、科研、管理、服务、社交等各类活动。学校网络与信息安全工作坚持“党管网络、安全第一”的总原则，落实“谁主管谁负责、谁运营谁负责、谁使用谁负责”的管理要求，坚持安全与发展并重、主动防御与综合治理结合，构建全方位、多层次的网络安全防护体系，保障校园网络空间清朗安全。任何单位和个人使用学校网络资源、开展网络信息活动，都必须遵守本制度及国家相关法律法规，接受学校的安全管理与监督检查。组织机构与职责学校成立网络安全和信息化领导小组，由校党委书记、校长担任双组长，分管信息化建设、分管意识形态安全、分管安全保卫工作的副校长担任副组长，各职能部门、二级学院主要负责人为成员，统筹领导全校网络与信息安全工作，主要职责包括：贯彻落实国家网络安全方针政策和上级工作部署，审定学校网络信息安全发展规划、重大政策和管理制度，研究决定网络信息安全重大事项，协调解决跨部门的网络安全重大问题，督促落实各级网络安全责任，组织开展网络安全工作考核与责任追究，领导网络安全事件应急处置工作。领导小组下设学校网络安全管理办公室，挂靠学校信息化建设与管理处（网络中心），作为日常办事机构，具体职责包括：落实领导小组各项工作部署，起草制定学校网络信息安全具体管理制度和技术防护方案，统筹推进校园网络安全防护体系建设，组织开展网络安全风险评估、等级保护测评、安全检查、应急演练，负责校园网络的日常安全监测和预警处置，对接上级网信、教育主管部门报送网络安全工作信息，组织开展全校网络安全宣传教育和培训，指导各二级单位开展网络安全管理工作。各职能部门分工明确，协同落实安全责任：党委宣传部负责统筹学校网络内容安全与意识形态安全管理，指导监督学校各类网站、新媒体平台的内容审核工作，统筹组织网络舆情的监测和应对处置；学校保密委员会办公室负责指导监督全校涉密网络、涉密信息的安全管理，组织开展涉密信息安全检查，查处违规传输存储涉密信息的行为；保卫处负责配合公安机关处置涉及学校的网络违法犯罪案件，协助做好网络安全事件的现场管控和调查；财务处负责保障网络信息安全建设、运维、应急处置等工作的经费投入；各二级单位是本单位网络信息安全的责任主体，单位主要负责人是本单位网络信息安全第一责任人，必须明确本单位专兼职网络信息安全管理员，落实本单位接入设备、信息系统、发布内容、数据资源的安全管理要求，组织本单位师生开展安全学习，及时上报安全隐患和安全事件。所有第三方合作单位，包括信息系统建设、运维、服务外包单位，必须与学校签订网络安全保密协议，明确安全责任，接受学校的安全监督管理，严格遵守学校网络安全管理制度。网络基础设施安全管理校园网络实行统一出入口管理，严禁任何单位和个人私自在校园内布设网络线路、私设互联网出口，严禁私自搭建VPN服务、私开代理服务器绕过校园网络边界防护；确因工作特殊需要设立专用网络出口的，必须向学校网络安全管理办公室提出申请，经学校网络安全和信息化领导小组审批同意后，由学校网络管理部门统一部署安全防护措施后方可开通。学校校园网边界必须部署防火墙、入侵检测系统、入侵防御系统、DDoS流量清洗、Web应用防火墙等安全防护设备，实时更新规则库，开展7*24小时流量监测，发现异常攻击、异常流量及时处置。核心网络设备、服务器必须放置在符合国家网络安全标准的专业机房内，机房落实防火、防水、防雷击、防潮、防盗窃、防破坏要求，配备24小时门禁、视频监控、恒温恒湿控制系统、UPS不间断电源、备用发电系统，定期开展机房设施巡检，做好巡检记录；任何人员进入机房必须进行登记，第三方人员进入机房必须经过审批，由学校工作人员全程陪同，严禁无关人员单独进入机房操作设备。IP地址、域名实行学校统一分配管理制度，所有IP地址分配落实实名制，明确使用单位和使用人，任何单位和个人不得私自更改IP地址，不得盗用、倒卖、转借IP地址，严禁私自在校园网内搭建DHCP服务器，防止IP地址欺骗和网络混乱；所有域名由学校网络管理部门统一申请、备案和管理，二级单位不得私自申请域名并绑定校内信息系统，停用的IP地址、域名由学校及时收回注销，不得私自转让。无线网络实行统一建设管理，校园公共无线网络必须落实身份认证要求，访客无线网络也必须完成实名认证后方可接入，所有网络访问日志保存不少于6个月；严禁任何单位和个人私自在校园网内私接无线路由器、随身WiFi等无线接入设备，防止非授权接入带来安全风险，违规私接的一经发现立即断网处置，追究使用人责任。严禁任何单位和个人在校园网内私自架设私人服务器、私人网站，不得利用校园网络开展营利性活动或违法违规活动。信息系统与数据安全管理学校所有信息系统实行全生命周期安全管理，新建信息系统必须落实“同步规划、同步建设、同步运行”的三同步要求，安全防护措施必须与系统同步设计、同步建设，系统上线前必须经过学校网络安全管理办公室的安全检测和风险评估，未通过安全评估、存在重大安全隐患的系统不得上线运行；存量信息系统每两年开展一次全面风险评估，发现安全漏洞和隐患及时整改，逾期未整改的暂停系统运行。所有信息系统必须按照网络安全等级保护要求完成定级、备案，定期开展等级保护测评，落实对应等级的安全防护要求，其中招生录取系统、学籍管理系统、财务收费系统、科研管理系统等重要信息系统必须达到三级等保防护标准。停用或废弃的信息系统必须完成数据迁移、残留数据彻底清除，报学校网络安全管理办公室备案后才能下线，不得擅自将废弃系统留在校园网内运行。学校数据实行分类分级保护制度，根据数据的重要程度、敏感程度以及对学校、师生权益的影响程度，将数据划分为核心数据、重要数据、一般数据三个等级：核心数据包括国家秘密、学校未公开的核心科研数据、师生个人敏感信息（包括生物识别、宗教信仰、医疗健康、金融账户、行踪轨迹等信息）、招生考试涉密信息、财务核心数据、学校重大决策未公开信息；重要数据包括师生基本身份信息、学校内部工作信息、一般性科研项目数据、学生成绩数据、人事档案信息；一般数据指学校可以对外公开的政务信息、公开教学资源、公开新闻信息等。核心数据和重要数据必须采用加密存储方式，严格落实访问控制权限，不得存储在互联网公开服务器，不得通过互联网明文传输，严禁核心数据存储在个人终端、个人云盘等非授权存储设备。数据收集、使用、共享严格落实合法合规要求，收集师生个人信息必须遵循合法、正当、必要原则，明确告知收集目的、使用范围，不得超出工作范围过度收集信息；确因工作需要共享学校数据给校外单位的，必须经过数据持有单位主要负责人审批，报学校网络安全管理办公室备案，签订数据共享安全协议，明确数据使用范围和安全责任，不得向任何第三方出售、泄露、倒卖学校数据和师生个人信息；任何单位和个人不得私自导出批量师生信息、批量科研数据，确因工作需要导出的，必须经过本单位主要负责人审批，登记导出用途、范围、存储方式，使用完成后必须及时彻底销毁数据，不得私自留存。涉及国家秘密的信息，必须严格按照《中华人民共和国保守国家秘密法》要求管理，严禁存储在非涉密计算机和非涉密信息系统，严禁通过互联网、即时通讯工具传输涉密信息。第三方运维服务严格落实安全管控要求，第三方单位人员开展运维操作必须提前申请，签订安全保密协议，操作过程全程留痕审计，运维完成后必须立即收回所有系统权限，不得预留超级权限或后门，严禁第三方单位将学校核心数据、重要数据带离学校，确因工作需要带出的，必须经过学校网络安全和信息化领导小组审批，对数据进行脱敏脱密处理后方可带出。用户信息与终端安全管理所有接入校园网的用户实行实名制管理，教职工、学生必须使用本人真实身份信息注册校园网账号，访客、第三方合作人员必须完成实名认证后方可接入，一人一号，不得转借、出租账号，账号转借产生的所有安全责任由账号所有人承担；职工离职、学生离校后，由学校相关部门及时注销账号，收回所有网络访问和系统权限。所有接入校园网的终端必须落实安全防护要求，必须安装正版杀毒软件和终端安全管理工具，定期更新系统安全补丁，关闭不必要的系统端口和服务，严禁接入来历不明的移动存储设备和外部设备，严禁打开来历不明的邮件附件、链接，禁止访问不明来源的违法违规网站；处理核心数据、涉密信息的终端必须与互联网物理隔离，严禁使用个人U盘、移动硬盘、云盘拷贝敏感数据，严禁将敏感数据传输到个人终端。账号密码安全落实强密码要求，用户必须设置长度不低于8位、包含数字字母符号组合的强密码，定期更换密码，不得多个系统共用同一密码，不得将账号密码告知他人；系统管理员等特权账号必须落实最小权限原则，实行双人管理、双人授权登录，定期核查权限，停用的特权账号必须及时注销，不得长期保留。学校移动应用实行统一审核管理，所有面向师生发布的官方移动APP、小程序必须经过学校网络安全管理办公室安全审核、备案后方可推广使用，落实数据安全和个人信息保护要求，定期开展安全检测；严禁任何二级单位私自推广未经审核备案的移动应用，提醒师生不要下载安装非官方来源的APP，防止个人信息泄露和财产损失。内容安全与意识形态管理学校所有网站、微信公众号、微博、抖音、视频号等网络平台，落实意识形态工作责任制，所有发布内容必须坚持正确政治方向，符合社会主义核心价值观，严格落实“三审三校”内容审核制度，坚持“谁发布、谁审核、谁负责”，发布内容不得涉及违法违规、涉密低俗内容，不得发布违背党的教育方针、偏离意识形态要求的内容，不得发布损害学校声誉、侵犯他人合法权益的内容；所有二级单位开设的官方网络平台必须向党委宣传部、网络安全管理办公室备案，未经备案不得开设运营，各平台必须明确专人负责内容审核，建立审核台账，定期清理过期内容，定期检查平台安全，防止平台被非法篡改发布违法内容。师生个人开设的自媒体涉及学校相关内容的，不得擅自发布学校未公开信息，不得发布损害学校利益的内容。校园论坛、留言板、评论区、直播弹幕等互动板块，落实先审后发或实时巡查制度，明确专人24小时值守巡查，及时删除违法违规、不良有害信息，对发布违法违规内容的账号及时封号处置，上报学校保卫部门和网信部门。线上教学内容、科研成果发布严格落实审核要求，线上课程、直播教学内容必须符合国家教育方针，授课教师对教学内容安全负责，平台运营单位做好内容审核；师生发表论文、发布科研成果，不得泄露国家秘密、学校核心科研数据，涉及敏感领域的成果发布必须经过学校科研管理部门、保密部门审核同意后方可发布。学校建立网络舆情监测机制，实时监测涉及学校的网络舆情，发现负面舆情及时按照舆情应急预案启动处置，及时发布权威信息，引导舆论方向，防止舆情发酵扩散。应急处置与事件报告学校建立完善网络安全应急预案体系，制定学校网络安全事件总体应急预案，各二级单位、各重要信息系统制定专项应急预案，明确应急处置流程、责任分工、处置措施，每年至少组织开展1次网络安全应急演练，针对勒索病毒、数据泄露、网站篡改、DDoS攻击等常见事件开展专项演练，根据演练结果及时更新完善预案。学校网络安全管理办公室建立7*24小时安全监测预警机制，对校园网络流量、信息系统运行、漏洞风险、异常访问行为进行实时监测，及时发布安全预警，接到上级部门的安全预警通报后第一时间转发相关单位，督促落实整改措施。针对当前高发的勒索病毒、钓鱼邮件攻击，定期开展专项预警提醒，用户发现终端异常、收到可疑邮件后第一时间断网上报，不得自行处置。发生网络安全事件后，事发单位或个人必须第一时间采取断网、隔离感染终端、切断攻击路径等措施，防止事件扩大，保留好现场证据和操作日志，1小时内上报学校网络安全管理办公室和保卫处，发生重大网络安全事件（包括大面积网络中断、核心数据泄露、网站被篡改发布违法内容、大规模勒索病毒感染等）必须在2小时内上报上级网信部门和教育主管部门，严禁迟报、漏报、瞒报。处置过程做好全程记录，处置完成后开展复盘分析，排查事件原因，完善安全防护措施，避免同类事件再次发生。核心数据和重要信息系统落实定期备份制度，备份数据必须采用离线存储方式，每季度开展一次恢复验证，确保数据可恢复，发生数据损坏或丢失后，按照流程及时恢复数据，验证数据的完整性和可用性。监督考核与责任追究学校网络安全管理办公室每季度开展一次日常安全抽查，每年组织一次全校范围的网络安全全面检查，在重大考试、重大活动期间开展专项安全检查，检查内容包括安全制度落实、安全隐患整改、数据安全防护、内容安全管理等，检查发现的问题下发整改通知书，明确整改要求和整改时限，跟踪整改进度，逾期未整改的暂停相关单位网络权限，通报批评。网络信息安全工作纳入各二级单位年度绩效考核，纳入领导干部综合考核评价内容，作为单位和个人评优评先、干部提拔的重要依据；对落实网络安全责任到位、全年未发生安全事件的单位和个人予以表彰奖励。有下列情形之一的，追究相关单位负责人和直接责任人的责任：未落实安全管理责任，发生重大网络安全事件的；收到安全隐患整改通知后逾期未整改