(2026年)学校网络信息安全管理制度

(2026年)学校网络信息安全管理制度第一章总则本制度依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《关键信息基础设施安全保护条例》及教育部2025年修订的《教育系统网络安全事件应急预案》，结合本校2026年数字化校园建设现状与未来三年发展规划制定，旨在全面规范全校网络信息安全管理工作，防范各类网络攻击、数据泄露、恶意入侵等安全风险，保障师生个人信息安全、校园网络稳定运行及教育教学活动的正常开展。本制度是本校网络信息安全管理的基础性规范，全校所有涉及网络信息活动的主体必须严格遵守。第二章组织架构与职责成立校级网络安全工作领导小组，由校长担任组长，分管信息化工作的副校长担任副组长，成员包括网信办主任、教务处负责人、学生处负责人、财务处负责人、保卫处负责人、后勤处负责人及各院系分管信息化工作的教师代表。领导小组主要职责为：审定本校网络信息安全总体规划与年度工作计划，审议重大网络安全事件的应急处置方案，协调解决跨部门的网络安全管理问题，向上级主管部门汇报网络安全工作情况。领导小组下设办公室，挂靠在校网信办，由网信办主任兼任办公室主任，负责日常网络安全管理工作，具体包括：制定年度网络安全培训计划、组织开展网络安全检查与风险评估、受理网络安全事件的上报与处置、维护网络安全日志与审计数据、对接上级主管部门与属地网络安全监管机构。各院系、部门需明确1名网络安全联络员，负责本单位的网络安全宣传、隐患排查及事件上报工作，每季度向网信办提交本单位网络安全自查报告。第三章网络资产与边界安全管理本校所有网络资产需进行统一登记与分类管理，分为核心资产、重要资产与一般资产三类。核心资产包括学生学籍管理系统、成绩管理系统、财务支付系统、教职工人事档案系统等涉及个人信息与核心业务的系统；重要资产包括智慧教学平台、OA办公系统、校园直播系统等支撑日常教学与办公的系统；一般资产包括校园公告栏、公共WiFi服务等面向全体师生的公共服务系统。所有网络资产需建立台账，明确资产归属、负责人、安全等级及防护要求，每半年更新一次台账。校园网络边界需部署下一代防火墙、入侵防御系统（IPS）、Web应用防火墙（WAF）及零信任访问网关，实现对进出校园网络的流量进行实时监测与过滤，阻断已知与未知的恶意流量。核心业务系统的数据传输采用量子加密技术，与校园网络的核心交换机、服务器之间建立量子密钥分发链路，确保数据在传输过程中的机密性与完整性。禁止未经批准的网络接入设备接入校园核心网络，所有外部访客如需接入校园网络，需通过网信办审批并使用临时访客账号，访客账号的访问权限需严格限制在公共服务资源范围内，且有效期不超过24小时。校园网络需实行分段隔离，核心业务系统与公共服务网络、学生终端网络实行物理或逻辑隔离，防止局部网络攻击波及核心业务系统。校园物联网设备（如安防摄像头、智慧教室终端）需接入专用的物联网子网，与学生终端网络、核心业务网络实行严格隔离，默认关闭不必要的端口，每季度进行一次固件更新，修改默认登录密码，防止被攻击者控制用于发起DDoS攻击或窃取数据。第四章数据安全与隐私保护本校数据分类遵循“最小必要”原则，分为敏感个人信息、重要业务数据与公开数据三类。敏感个人信息包括学生的姓名、身份证号、学籍信息、成绩、健康状况、家庭住址等，依据《个人信息保护法》需实行分级保护：核心敏感信息（如身份证号、学籍号）需采用国密算法进行加密存储，备份数据需存放在异地灾备中心，留存期限不少于6年；一般敏感信息（如家庭住址、联系方式）需采用对称加密算法存储，留存期限不超过业务办理完成后3年。数据脱敏处理需遵循“可用不可见”的原则，在开展教学数据分析、科研合作等活动时，需对敏感个人信息进行假名化或匿名化处理，例如将学生的姓名替换为随机生成的编号，将联系方式的中间四位数字替换为星号，确保在不影响数据分析的前提下，保护学生的个人隐私。未经脱敏处理的敏感个人信息不得用于非业务用途，如商业推广、广告投放等。重要业务数据包括教学计划、科研成果、财务预算等，需实行定期备份，备份频率为每日增量备份、每周全量备份，留存期限不少于3年。公开数据包括校园公告、课程表、公共活动信息等，需经过内容审核后方可发布，防止泄露敏感信息。所有数据的采集、使用、共享与销毁需遵循“谁主管谁负责、谁运行谁负责”的原则，未经本人同意不得将学生敏感个人信息提供给第三方机构，如需与境外合作机构共享数据，需按照《数据出境安全评估办法》进行安全评估，获得批准后方可开展，并签订严格的数据处理协议，明确双方的安全责任与保密义务。对涉及数据处理的岗位人员需进行背景审查，签订保密协议，定期开展数据安全培训。第五章访问控制与身份管理本校全面推行零信任访问架构，落实“永不信任，始终验证”的安全原则，所有访问校园网络资源的主体，无论身处校内还是校外，均需进行身份验证与权限校验，禁止默认信任任何网络环境。师生员工的身份认证需采用多因素认证（MFA）方式，包括密码、生物特征（指纹、人脸）或硬件安全密钥，其中管理员账号、财务系统、学籍系统等核心业务系统的访问必须使用硬件安全密钥进行认证。权限分配遵循“最小必要”原则，每个主体仅被授予完成其工作职责所需的最低权限，例如任课教师仅能访问所教授班级的教学资源与学生成绩查询权限，不得访问其他班级的学生信息；学生仅能访问与自身课程相关的教学资源与成绩查询权限，不得访问教务管理系统的后台配置功能。针对校外合作人员、访客等临时访问主体，需发放临时身份凭证，临时账号的权限需严格限制在其访问的资源范围内，且有效期不超过其访问期限。对于离职、调离的教职工，需在其离职当日注销其账号，并回收相关的访问权限，确保其无法再访问校园网络资源。所有访问操作需留存审计日志，日志内容包括访问主体、访问时间、访问资源、操作内容等，留存期限不少于6个月，核心业务系统的审计日志留存期限不少于12个月，网信办需定期对审计日志进行分析，发现异常访问行为及时处置。禁止出借、共享个人账号，一经发现将按照相关规定进行处理。第六章终端与移动设备安全管理所有接入校园网络的终端设备（包括台式电脑、笔记本电脑、一体机等）需安装本校统一部署的终端检测与响应（EDR）客户端，开启系统防火墙、自动更新功能及病毒查杀功能，禁止安装未授权的软件、破解版软件或挖矿软件。终端设备需定期进行系统补丁更新，核心业务系统所用终端的补丁更新率需达到100%，其他终端的补丁更新率需达到95%以上。禁止使用未经审批的移动存储设备在核心业务终端上使用，如需使用需进行病毒扫描与内容审核。校园内提供的公共WiFi需采用WPA3加密方式，用户需通过实名认证后方可接入，禁止连接不明来源的WiFi热点。学生及教职工的个人移动设备（手机、平板、笔记本电脑等）接入校园网络需符合以下要求：安装校园安全管理APP，开启设备加密功能，关闭不必要的蓝牙与NFC功能，不得访问核心业务系统；如需访问核心业务系统，需通过学校统一的零信任网关进行认证，且仅能使用经授权的应用程序。禁止在校园网络中使用未经过安全检测的个人热点，师生如需共享网络，需使用学校统一部署的热点共享工具，该工具将对共享的网络流量进行过滤，防止恶意软件通过共享网络传播。对违规接入校园网络、安装恶意软件的设备，网信办有权暂时限制其网络访问权限，直至完成安全整改。第七章应用与服务安全管理本校所有自建或外购的网络应用与服务需通过安全评估后方可上线运行，评估内容包括等保测评、漏洞扫描、渗透测试、数据隐私合规性审查等。自建应用需采用安全开发生命周期（SDL）进行开发，从需求分析、设计、编码、测试到部署的每个阶段都需进行安全审查，确保应用不存在高危漏洞。开源软件的使用需经过严格的安全评估，禁止使用存在已知高危漏洞的开源组件，如需使用，需及时进行补丁更新。外购的第三方应用与服务（如智慧校园平台、在线教学工具、财务支付系统等）需满足以下要求：供应商需提供近三年的网络安全审计报告，通过国家网络安全等级保护测评，符合最新的个人信息保护要求；合同中需明确供应商的安全责任，包括数据保密、漏洞修复时限、应急响应流程等，禁止供应商将本校数据用于商业用途或向第三方泄露；每半年需对第三方应用与服务进行一次安全审计，发现安全漏洞需要求供应商在72小时内完成修复。针对2026年广泛应用的生成式AI教学工具，本校建立AI工具准入清单，仅允许经审核的AI工具用于教学活动，禁止师生使用未纳入清单的AI工具处理学生个人信息、考试题目、教学资源等敏感内容。学校需部署AI内容检测系统，对师生提交的作业、论文进行AI生成内容检测，防范学术作弊行为；同时部署AI钓鱼邮件检测系统，对师生收到的邮件进行实时扫描，识别并拦截AI生成的钓鱼邮件、恶意链接与附件。学生成绩管理系统采用区块链技术进行数据存储，确保成绩数据不可篡改。第八章网络安全事件响应与应急处置本校建立分级网络安全事件响应机制，根据事件的影响范围与危害程度分为四级：一般事件（影响范围不超过单个终端或部门，未造成数据泄露或业务中断）、较大事件（影响范围覆盖单个院系或多个部门，造成部分业务中断或少量数据泄露）、重大事件（影响范围覆盖全校，造成核心业务系统中断或大量敏感数据泄露）、特别重大事件（影响范围超出本校，造成大规模数据泄露、师生个人信息被公开或被境外势力攻击）。建立网络安全事件上报流程：发现人需在10分钟内向本单位网络安全联络员或网信办报告，网信办接到报告后需在30分钟内完成事件初步研判，根据事件等级启动相应的应急处置预案。一般事件由网信办直接处置，较大事件由网信办协调相关部门处置，重大事件需立即上报校级网络安全工作领导小组，由领导小组协调处置，特别重大事件需在2小时内上报上级教育主管部门与属地公安机关、网络安全监管机构。应急处置流程包括：隔离受影响的设备或系统、阻断攻击源、恢复业务运行、调查事件原因、修复安全漏洞、开展事后审计与整改。在应急处置过程中，需优先保障核心业务系统的恢复，例如学籍管理系统、财务支付系统的恢复时间不得超过4小时，其他业务系统的恢复时间不得超过24小时。每季度需开展一次小型应急演练，每年需开展一次全面的网络安全应急演练，演练内容包括勒索软件攻击、数据泄露、网络瘫痪等场景，演练结束后需形成总结报告，更新应急处置预案。事后需对事件进行全面的调查，形成事件调查报告，包括事件原因、影响范围、损失情况、处置措施等，并根据调查结果完善网络安全防护措施。第九章网络安全教育与培训本校将网络安全教育纳入日常教学与管理体系，针对不同群体制定差异化的培训计划。针对新生，需在入学第一学期开设不少于16学时的网络安全必修课，内容包括网络安全法律法规、个人信息保护、恶意软件防范、钓鱼邮件识别、AI作弊的危害等，考核合格后方可获得学分。针对教职工，需每年开展不少于8学时的网络安全培训，内容包括数据安全、权限管理、第三方服务安全、应急处置流程等，其中网络管理员、财务人员、教务管理人员等关键岗位人员需每年开展不少于24学时的专项培训。针对退休教职工，需定期开展网络安全培训，提醒其防范电信诈骗，防止其个人账号被攻击者盗用。针对留学生群体，需提供多语言版本的网络安全培训材料，确保其能够理解并遵守本校的网络安全管理制度。针对网络安全联络员，需每半年开展一次专项培训，内容包括隐患排查、事件上报、应急处置等。学校需定期发布网络安全预警信息，针对最新的网络安全漏洞、钓鱼攻击、勒索软件等风险，提醒师生采取防范措施。设立校园网络安全宣传周，每年开展一次主题宣传活动，通过展板、讲座、线上课程等形式普及网络安全知识，提高全校师生的网络安全意识。第十章监督检查与问责机制网信办需每季度开展一次全校范围的网络安全检查，内容包括终端安全、网络边界安全、数据安全、访问控制等，检查结果纳入各院系、部门的年度绩效考核。对检查中发现的安全隐患，需下达整改通知书，要求相关单位在7个工作日内完成整改，并提交整改报告。对未按时完成整改的单位，将给予通报批评，并追究单位负责人的责任。每年聘请具有资质的第三方网络安全机构对本校的网络安全状况进行一次全面评估，评估内容包括网络边界安全、终端安全、数据安全、应用安全等，评估报告需提交校级网络安全工作领导小组，根据评估结果制定整改计划，逐步完善本校的网络安全防护体系。对违反本制度的行为，根据情节轻重给予相应的处理：对于一般违规行为（如私自安装未授权软件、连接不明WiFi），给予警告或通报批评；对于较重违规行为（如出借个人账号、泄露一般敏感信息），给予记过或取消年度评优资格；对于严重违规行为（