集團化辦學統一網絡安全規定

集團化辦學統一網絡安全規定第一章總則隨著教育信息化2.0時代的深入推進，集團化辦學已成為優化教育資源配置、促進教育均衡發展的重要模式。在享受數字化教學與管理帶來便利的同時，網絡安全風險呈現出跨界融合、復雜多變的態勢。為保障集團內各成員學校及核心業務系統的連續性、保密性和完整性，依據《中華人民共和國網絡安全法》、《中華人民共和國數據安全法》、《中華人民共和國個人信息保護法》及教育部關于加強教育行業網絡安全工作的指導意見，結合集團化辦學實際架構，特制定本統一網絡安全規定。本規定旨在構建“集團統籌、分級負責、全員參與、技術驅動”的網絡安全防御體系，明確集團總部與各成員學校（校區）的安全責任邊界，統一安全基線標準，實現網絡安全風險的統一監測、統一預警和統一處置，確保教育教學秩序不受網絡攻擊干擾，保障廣大師生與家長的合法權益。本規定適用于集團總部、所有成員學校（含分校、校區、托管校）以及接入集團教育專網的所有單位、部門和個人。所有接入集團網絡的計算設備、存儲設備、網絡設備及用戶行為均須遵循本規定。第二章組織架構與職責體系第一節網絡安全領導機構集團成立網絡安全與信息化領導小組，作為集團網絡安全工作的最高決策機構。領導小組由集團總校長擔任組長，分管信息化工作的副校級領導擔任副組長，成員包括各校區執行校長、信息技術中心主任、教務處主任及財務處主任。領導小組主要職責包括：1.貫徹落實國家網絡安全法律法規及上級主管部門的文件精神，制定集團網絡安全發展戰略與總體規劃。2.審定集團網絡安全管理制度、年度經費預算及重大安全項目建設方案。3.統一領導網絡安全事件的應急處置工作，決策重大安全事件的響應級別與處置措施。4.監督檢查各校區、各部門網絡安全責任制的落實情況。第二節網絡安全執行機構集團設立網絡安全與信息化辦公室（以下簡稱“網信辦”），作為領導小組的日常辦事機構，設在集團信息技術中心。網信辦設網絡安全主管一名，專職安全管理人員若干。網信辦主要職責包括：1.組織實施集團網絡安全規劃，制定并修訂各項安全管理制度與操作細則。2.負責集團網絡安全防護體系的建設、運維與管理，包括防火墻、入侵檢測、防病毒系統、態勢感知平臺等的統一配置與策略下發。3.統籌集團網絡安全日常監測、漏洞掃描、滲透測試及風險評估工作。4.負責網絡安全事件的應急響應技術支撐，協調外部安全廠商及監管機構進行事件處置。5.組織開展全員網絡安全意識培訓與技能考核。第三節成員學校及部門職責各成員學校應設立相應的網絡安全工作小組，由該校執行校長擔任第一責任人，并指定至少一名專職或兼職網絡信息安全員（簡稱“安全員”）。各校區及部門職責包括：1.執行集團統一的網絡安全策略，配合網信辦開展安全檢查與整改工作。2.負責本單位內部終端設備、教學設備的日常安全管理與補丁更新。3.負責本單位業務數據的分類分級與備份工作，落實數據保護措施。4.發現網絡安全異常情況立即上報網信辦，并做好先期處置記錄。第三章網絡架構與基礎設施安全第一節網絡分區與邊界防護集團網絡應采用“核心-匯聚-接入”三層架構，并根據業務屬性與安全等級進行邏輯隔離，劃分為核心數據區、教育教學區、行政管理區、互聯網訪問區及DMZ區（非軍事化區）。1.核心數據區：部署集團核心數據庫、身份認證服務器、財務系統等關鍵資產。該區域實施嚴格的訪問控制策略，僅允許授權的應用服務器和運維管理人員訪問，禁止直接互聯網訪問。2.教育教學區：承載多媒體教學、電子班牌、智慧課堂等業務。該區域需保障高帶寬與低延遲，同時需具備針對內網橫向攻擊的檢測能力。3.互聯網出口統一管理：集團原則上統一互聯網出口，各校區不得私自違規開通外網線路。在互聯網出口處必須部署下一代防火墻（NGFW）、入侵防御系統（IPS）及網頁防篡改系統，開啟防病毒、防SQL注入、防XSS攻擊等防護模塊。4.網間隔離：集團教育專網與互聯網之間必須部署網閘或邏輯隔離設備，確保敏感數據“單向擺渡”或嚴格受控交換。嚴禁未經批準搭建直連互聯網的通道。第二節網絡設備安全管理1.設備準入：所有網絡設備（交換機、路由器、無線控制器等）必須符合國家網絡安全標準，采購時需查驗設備的安全性證明文件。嚴禁使用來源不明、被植入后門或已停止維護的“洋垃圾”網絡設備。2.配置管理：網絡設備配置文件應定期備份（至少每周一次），配置變更須履行申請審批手續。設備默認賬號密碼必須在上線前修改，且關閉不必要的服務端口（如Telnet、HTTP等，強制使用SSH、HTTPS）。3.物理安全：核心機房及各校區弱電間需達到GB50174-2017規定的C級以上標準，具備門禁監控、防盜報警、環境監測（溫濕度、煙感、水浸）及雙路供電UPS系統。進出機房需建立嚴格的登記制度。第三節無線網絡安全1.統一認證：集團無線網絡（SSID）應統一規劃，實施基于802.1X協議的Portal+CA證書認證或短信實名認證，禁止使用PSK預共享密鑰方式（除特定封閉用途的物聯網專網外）。2.隔離策略：無線網絡客戶端默認啟用隔離策略，禁止無線終端之間直接互訪，防止病毒在內網橫向傳播。3.虛擬AP（VAP）劃分：應劃分教學用、辦公用、訪客用獨立的SSID。訪客網絡僅提供互聯網訪問權限，通過白名單策略限制其訪問內網資源，并設置嚴格的帶寬限制與在線時長。第四章數據安全與個人信息保護第一節數據分類分級管理集團建立數據分類分級管理制度，根據數據的重要性和敏感程度，將數據由高到低劃分為核心數據、重要數據和一般數據三級。1.核心數據：包括涉及國家安全、集團核心商業秘密、關鍵業務系統的運行數據，以及大量集中存儲的師生個人敏感信息（如身份證號、家庭住址、生物特征、銀行卡號等）。此類數據必須存儲在核心數據區，實施最高級別的加密存儲與訪問審計。2.重要數據：包括教學成績、健康檔案、考勤記錄、資產信息等。此類數據需進行定期備份，并實施訪問控制。3.一般數據：包括公開發布的校園新聞、通知公告、教學課件等。第二節數據全生命周期管理1.數據采集：采集師生個人信息必須遵循“最小必要”原則，公開收集規則，并獲得監護人或本人的明確授權。嚴禁強制采集與教育教學無關的生物識別信息（如指紋、人臉等），確需采集的必須通過嚴格的安全評估。2.數據傳輸：核心數據與重要數據在網絡傳輸過程中必須采用國密算法（如SM2/SM3/SM4）或強加密算法（如TLS1.2以上）進行加密傳輸。嚴禁使用FTP、Telnet、HTTP等明文傳輸協議傳輸敏感數據。3.數據存儲：敏感數據落地存儲時必須采取加密措施。數據庫應開啟審計功能，記錄所有數據訪問操作。生產數據庫與測試、開發環境必須物理隔離，嚴禁將包含真實敏感數據的生產數據直接導入測試環境。4.數據備份：集團建立統一的異地災備機制。核心業務系統數據庫：實施“每日全量+實時增量”備份，備份數據至少保留6個月。關鍵配置與文檔：實施每周一次全量備份。備份介質應定期進行恢復演練，確保備份數據的可用性。5.數據銷毀：當存儲介質（硬盤、U盤、磁帶）報廢或離網時，必須使用專業工具進行物理銷毀（消磁、粉碎）或符合國家標準的邏輯覆寫，確保數據無法被恢復。第三節個人信息保護1.訪問控制：對師生個人信息的查詢、導出、修改權限必須進行嚴格審批，實行“一人一權”。系統前臺展示個人信息時，應對關鍵敏感字段（如身份證號、手機號）進行脫敏處理（顯示為138****1234）。2.接口管理：開放數據接口給第三方應用（如家校互通APP、釘釘/企業號）時，必須進行嚴格的身份鑒權與流量控制，簽署數據保密協議，明確數據使用范圍與安全責任。3.防泄漏：在核心數據區部署數據防泄漏（DLP）系統，監控敏感數據的違規外發行為（如通過郵件、網盤、IM工具外發）。第五章身份認證與訪問控制第一節統一身份認證（IAM）集團建設統一身份認證平臺，作為所有業務系統的唯一身份源，實現“單點登錄（SSO）”。1.賬號管理：遵循“一人一號”原則，教職工使用工號、學生使用學號作為唯一標識。離職、轉學、畢業人員賬號須在人事變動生效當日自動或手動凍結、注銷。2.口令策略：長度不少于12位。包含大寫字母、小寫字母、數字、特殊符號中的至少三種。不得包含用戶名、生日等易猜解信息。每90天強制更換一次，且新密碼不得與最近3次使用的密碼重復。3.多因素認證（MFA）：對于訪問核心數據區、遠程接入VPN及系統后臺管理行為的用戶，必須強制開啟多因素認證（如密碼+手機驗證碼/動態令牌）。第二節權限控制1.最小權限原則：用戶僅擁有完成其工作任務所需的最小權限。嚴禁給普通用戶分配管理員權限。2.角色定義：系統權限應基于角色（RBAC模型）進行分配，角色定義應清晰，避免權限交叉。定期（每學期）審計系統賬號權限，及時清理僵尸賬號、幽靈賬號及越權賬號。3.遠程訪問：嚴禁向互聯網開放RDP、SSH等高風險遠程管理端口。運維人員需通過堡壘機（運維安全審計系統）進行遠程運維，所有運維操作全程錄像、可審計。第六章終端與移動設備管理第一節辦公與教學終端管理1.操作系統：終端計算機應安裝正版操作系統并開啟自動更新功能，及時安裝安全補丁。嚴禁使用WindowsXP、Windows7等已停止官方支持（EOS）的操作系統。2.防病毒軟件：集團統一部署企業級終端安全管理軟件（EDR），覆蓋所有辦公PC、教學一體機、服務器。終端必須實時開啟病毒查殺功能，并禁止私自卸載或關閉。3.軟件安裝：建立軟件白名單機制，禁止私自安裝與工作無關的軟件（如游戲、炒股軟件、非法破解工具）。USB存儲介質使用應受控，重要區域終端禁止USB自動運行。第二節移動互聯設備管理1.移動設備管理（MDM）：對教師用于辦公的平板電腦、手機等移動設備，建議接入MDM系統進行統一管理，實現設備綁定、應用分發、遠程擦除等策略。2.微信/公眾號管理：集團及各校區官方微信公眾號、小程序必須經過實名認證，并納入集團統一臺賬管理。發布內容須嚴格執行“三審三校”制度，嚴防政治性錯誤與虛假信息。3.個人智能設備：嚴禁教職工將個人擁有的可穿戴設備、智能音箱等物聯網設備私自接入集團辦公網絡；嚴禁私自架設私人Wi-Fi熱點。第七章應用系統與開發安全第一節應用系統全生命周期管理1.開發安全：集團自行開發或委托開發的應用系統，必須遵循安全編碼規范。在需求分析階段需同步提出安全需求，設計階段需進行威脅建模，測試階段需進行代碼審計與滲透測試。2.采購安全：采購第三方商業軟件時，需要求供應商提供軟件成分說明（SBOM）及第三方安全測試報告，合同中須明確供應商的安全責任與維保義務。3.上線安全：新業務系統上線前，必須通過網信辦組織的安全驗收，包括漏洞掃描、合規性檢查，未達標者嚴禁上線運行。第二節Web應用防護1.防護措施：所有對外發布的Web網站、API接口必須部署Web應用防火墻（WAF），有效防御OWASPTop10攻擊（如注入、跨站腳本、文件包含等）。2.HTTPS部署：所有對外服務的網站必須全站部署HTTPS加密，使用由正規CA機構頒發的SSL證書，禁止使用自簽名證書或已過期證書。3.文件上傳：嚴格限制系統文件上傳功能，上傳目錄禁止執行腳本權限，文件類型與大小須做嚴格后端校驗。第八章應急響應與災難恢復第一節應急預案體系集團制定統一的網絡安全事件應急預案，并針對勒索病毒、網頁篡改、數據泄露、DDoS攻擊等典型場景制定專項處置流程。1.事件分級：根據影響范圍與危害程度，將安全事件劃分為特別重大（I級）、重大（II級）、較大（III級）、一般（IV級）四個等級。2.響應流程：遵循“監測發現->研判上報->應急處置->調查取證->恢復加固->總結通報”的閉環流程。第二節應急演練與處置1.演練機制：網信辦每年至少組織一次全集團范圍的網絡安全實戰攻防演練或應急桌面推演，檢驗預案的有效性與人員的協同能力。2.處置原則：發生安全事件時，優先保障人身安全與核心教學秩序。對于勒索病毒感染，應立即斷網隔離，禁止重啟服務器，保留現場環境等待專業處置。3.協同聯動：建立與上級教育主管部門、網信部門、公安機關及專業網絡安全公司的協同聯動機制，遇到重大攻擊及時尋求外部支援。第三節災難恢復1.恢復目標：核心業務系統RTO（恢復時間目標）應小于4小時，RPO（數據丟失目標）應接近于0。2.演練要求：每學期至少對核心業務系統進行一次災難恢復演練，驗證備份數據的完整性與恢復流程的可行性。第九章監控審計與合規檢查第一節安全監控中心（SOC）集團建設或利用SaaS服務模式建立統一的安全運營中心，接入全網日志與流量信息。1.日志留存：防火墻、交換機、服務器、數據庫、中間件及關鍵應用系統的日志必須統一發送至日志審計系統，留存時間不少于6個月，滿足《網絡安全法》合規要求。2.態勢感知：利用態勢感知平臺，實時監測網絡攻擊、異常流量、違規外聯等安全態勢，實現可視化展示與自動告警。第二節安全檢查與考核1.常規檢查：網信辦每月通過技術手段對全網進行漏洞掃描，每季度進行一次深度人工滲透測試與配置核查，發現漏洞下發整改通知書，限期整改。2.專項檢查：在重大節假日、重要會議期間（如兩會、中高考期間），啟動專項保障模式，提升防護等級，實行7x24小時值守。3.考核評價：將網絡安全工作納入各校區及部門年度績效考核指標。實行“一票否決制”，對發生重大安全責任事故或造成嚴重不良影響的單位和個人，取消評優評先資格，并依法依規追究責任。第十章安全教育與培訓第一節安全意識教育1.教職工培訓：每學期組織至少一次全員網絡安全意識培訓，內容包括防釣魚郵件、防電信詐騙、個人信息保護、終端安全操作等。新入職教職工必須接受崗前安全培訓并考核合格。2.學生教育：將網絡安全知識納入信息技術課程及德育課程，通過主題班會、宣傳海報、知識競賽等形式，教育學生文明上網、健康上網，不沉迷網絡游戲，不瀏覽不良信息，防范網絡欺凌。第二節專業技能培訓1.技術隊伍培養：鼓勵網信辦及各校區安全員參加CISP、CISSP等專業認證培訓，提升技術團隊的專業防護能力。2.攻防演練：定期組織內部技術人員參與紅藍對抗演練，提升實戰水平。第十一章附則本規定所涉及的條款，若國家相關法律法規及標準規范發生調整，按新的國家標準執行。集團及各成員學校現有的規章制度與本規定不一致的，以本規定為準。本