第一章 总则
第一条 为做好我校网络与信息安全工作，保障信息化建设工作顺利进行，根据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等相关法律法规和上级有关文件精神，结合我校工作实际，特制定本办法。
第二条 本办法所称网络与信息安全（以下简称网络安全）是指为保障学校建设、运行、维护、管理的校园网络基础设施、数据中心、信息系统、移动互联网应用程序、网站、新媒体、数据以及校园网络接入终端等资产安全，防止发生有害程序入侵、网络攻击、信息破坏、信息安全、信息化设备设施故障等网络安全事件所开展的管理与技术防护工作。本办法所称网络安全管理，不包含涉密相关工作。
第三条 本办法旨在构建学校网络安全保障体系，健全覆盖网络规划、建设、运维的管理与责任追究制度；严格落实网络安全等级保护制度，强化风险识别、监测预警与应急处置能力，提升师生网络安全意识和校园网络安全防护水平。
第四条 实行网络安全责任制，逐级负责、落实到人。各部门及全体师生须强化网络安全意识，主动履行网络安全责任与义务。
第二章 网络安全管理机构与职责
第五条 学校网络安全和信息化领导小组（简称“领导小组”），负责统筹规划学校网络安全和信息化建设，推进相关工作机制、安全体系建设，指导重大突发网络安全事件的应急处置工作等。
第六条 领导小组下设网络安全和信息化办公室，设在信息与教育技术中心（简称“信息中心”），承担学校网络安全与信息化建设的日常管理工作，配合学校及上级部门开展网络安全事件的调查与处置等。
第七条 学校在网络安全等保测评、系统升级加固、评估监测、事件处置、宣传培训和安全运维等方面安排专项资金以确保相关工作顺利开展；各部门新增信息化项目应包含网络安全专项预算。
第八条 学校各部门是本部门网络安全工作的责任主体，部门负责人是本部门网络安全工作第一责任人，各部门须明确本部门网络安全管理员，负责管理和协调本部门的网络安全工作。各部门主要职责包括本部门网络安全管理，协助学校推进网络安全建设与宣教；落实学校安全制度，审核管理本部门系统、网站及新媒体内容；自建网络或管理服务器的部门需制定相应安全机制和应急预案，并协助处置网络安全事件。
第三章 校园网安全管理
第九条 校园网指校园计算机网络，主要用于学校教学、科研、管理和服务等各项业务，严禁任何部门和个人利用校园网及相关基础设施开展各类未经许可的活动。校园网及相关基础设施由信息中心负责统一规划、建设、管理、维护和提供互联网的统一接入。任何部门及个人不得擅自建设、更改、损毁和挪用校园网设施，不得私自接入其他网络，不得私自提供给校外人员使用。
第十条 校园网同互联网以及其他公共网络实施逻辑上的隔离，由信息中心实行统一出口、统一管理以及统一防护，将校园网划分为不同的网络安全域，并采用必要的安全隔离手段，整体规划网站与信息系统向外网开放的范畴。未经信息中心审核批准，信息化专业系统的业务专网里的任何设备均不得擅自接入校园网、互联网，校园网的任何设备也不得擅自接入业务专网。
第十一条 信息中心根据工作需求，统筹配置学校网络安全防护软硬件；健全完善身份认证、威胁识别、入侵检测、漏洞扫描、攻击防护、访问控制等安全技术防护体系。
第十二条 校园网公网IP地址不得面向校园网外提供互联网服务。如在教学、科研上确有特殊需求，公网IP地址需对外开放服务（限于非信息发布类服务）的，须经信息中心审批同意后方可开放，由IP 使用部门承担相应的网络安全责任。
第十三条 校园网用户需文明使用网络，做好终端的安全防护措施，依法保障个人信息的安全，遇到网络安全事件应及时上报。校园网用户的上网行为不得对学校网络安全与正常秩序造成危害，严禁利用校园网开展未经授权的扫描、渗透、破坏、信息窃取等网络攻击活动。
第十四条 校园网用户与学校各部门有义务维护校园网基础设施的安全，需妥善保管辖区内的无线网和有线网接入设施，做好防盗、防潮、防火及供电管理，若发现问题应及时向信息中心报告。
第四章 信息系统安全管理
第十五条 学校信息系统建设需按照学校网络安全相关制度、技术规范、标准流程来实施。在信息系统建设全生命周期的各个环节，均要完成对应的网络安全工作，达到等保要求。信息系统于上线、验收之前，必须完成校内登记，并且通过必需的网络安全检测与测评。在学校信息系统建设与使用期间，不满足网络安全要求的需要进行整改，整改完毕后才能够继续开展建设或者提供服务。
第十六条 面向在校师生的校内各信息系统应集成到学校统一门户中，其用户登录须使用学校统一身份认证。各部门的移动互联网应用程序原则上应基于学校统一的移动门户和入口进行建设、运行和服务。移动互联网应用程序应按照教育行政管理部门、公安部门有关要求履行备案程序，并通过等保测评。
第十七条 学校各部门自建的信息系统在接入网络时，需执行登记备案，并签订安全责任书。信息系统原则上应部署于学校的数据中心，且使用学校的IP地址与域名（dgpt.edu.cn）。涉及学校基础数据、教职工及学生个人信息或敏感信息的信息系统，原则上不得部署于非学校的数据中心。未经信息中心审批同意，严禁使用境外的数据中心/云服务。
特殊用途信息系统如需使用非学校域名或在非校园网环境中建设，须先经信息中心审批同意。
信息系统若建于非学校域名或非校园网环境下，或与学校教学、科研、管理、服务等各类业务无关联，或未经信息中心审批同意，原则上不得使用校名、校徽、域名等学校标识。该系统的网络安全责任由校内相关部门（包括系统建设部门、使用部门、宣传推广部门等）及参与人员承担。
第十八条 信息系统正式上线运行前，责任部门组织开展信息系统安全等级保护定级备案和测评工作，达到二级及以上等级保护要求的信息系统，原则上应取得公安部门出具的《信息系统安全等级保护备案证明》，并形成测评合格报告后方可上线运行。
第十九条 信息系统需健全日志功能，依据国家相关规范记录并留存不少于180天的管理员与用户登录/退出、信息更改及核心操作、系统运作与维护等日志。
第二十条 各部门需严格管理信息系统管理账号密码的使用，做好账号权限设置、密码设置等安全管理工作。信息系统建设部门应定期开展各类系统中各类用户的弱口令检测与清理工作，确保系统安全。
第二十一条 各部门需定期自查本部门网站与信息系统的安全状态、版本更新、管理员信息更新及内容更新等情况，并按学校要求每年将本部门网站与信息系统安全检查结果报备给信息中心。
第五章 终端计算机安全管理
第二十二条 终端计算机的使用者承担着保管与安全使用的职责。不得私自接入未经学校信息中心审批的网络设备，不得利用终端计算机从事危害校园网络安全、违反法律法规或校纪校规的活动。
第二十三条 终端计算机使用者需做好数据的日常管理与保护，定期备份数据。
第二十四条 终端计算机使用者需负责终端计算机的安全防护，应当及时更新系统补丁，安装正规杀毒软件并定期进行病毒查杀，关闭不必要的系统服务和共享端口。若终端计算机出现疑似因病毒或攻击引发的异常系统行为，或者其他安全问题，应即刻断网并进行处理。使用盗版软件所引发的安全与法律责任由终端计算机使用者承担。
第六章 数据安全管理
第二十五条 信息系统数据指的是一系列由信息系统生成的电子数据，涵盖采集、存储、传输和处理等环节。其范围包括但不限于网站内容、学校基本状态数据、各类业务数据、网络课程、图书资源、多媒体音视频以及日志记录等。
第二十六条 数据的所有者承担数据安全管理的主体责任，应依法依规收集、存储、传输及使用数据，保障数据的安全性。信息系统数据收集涉及到个人信息的，应严格按照法律法规规定进行管理，各部门及其工作人员对履职中知悉的个人信息须严格保密，公示信息须进行脱敏处理。
第二十七条 学校各部门原则上要依靠学校数据中台来开展本部门的信息化建设。申请使用数据，须严格遵守有关规定与技术标准，确保数据安全。涉及学校基础数据、个人信息或敏感信息的系统，未经信息中心审批禁止部署于校外。
第二十八条 信息中心承担学校数据备份与恢复的管理工作，依据实际业务需求制定备份与恢复计划，对关键数据及信息系统实施备份，定期对备份与恢复计划进行测试，确保备份数据和备用资源的可用性。同时，各部门需结合本部门业务系统的具体情况，自行完成数据备份工作。
第七章 网站、新媒体与邮件安全管理
第二十九条 各部门网站应在学校网站群平台下建设。信息中心负责网站群平台的统一建设、管理、运行和维护，提供网站建设技术支持，各部门负责本部门网站的规范运行和内容安全。
第三十条 各部门需做好本部门各类网站、新媒体平台及公众服务号等运行维护与安全监控工作，若发现重大舆情问题，应主动及时向学校汇报，并在学校相关部门指导下妥善处理。
第三十一条 学校信息中心负责电子邮件的建设与安全管理工作，为学校提供校园邮箱服务，学校域名的电子邮箱采用实名制管理。在职教职工和在籍学生可根据个人需求申请使用，邮箱使用者不得利用校园邮箱收发违法违规内容或个人隐私信息等。
第三十二条 学校邮箱使用者需对其电子邮件账号所进行的所有活动承担责任，应妥善保存自己使用的电子邮箱账号与密码，保证密码具备一定强度并定期更新。不得转借、出租、出售给他人使用。使用者离职或者离校后，信息中心将按照学校相关规定注销该账号，停止提供邮箱服务。
第八章 存储介质安全管理
第三十三条 存储介质是能存储数据的物理载体，用于保存、传输或备份信息系统中的各类数据资产，包括结构化数据（如数据库）、非结构化数据（如文档、图像）和日志信息等。原则上，存储阵列、磁带库等大容量介质应由信息中心统一采购和管理，存放在学校数据中心机房。信息中心应采取必要技术措施防范数据泄露风险，确保存储数据安全。
第三十四条 介质使用人对移动介质承担保管与安全使用责任。介质使用人要做好存储介质的内容管理，送出维修或销毁的介质应提前清除敏感信息。非涉密移动存储介质不可存储涉密信息，也不能在涉密计算机上使用。
第九章 人员安全管理
第三十五条 各部门关键岗位的计算机使用和管理人员应签订信息安全保密协议，明确网络安全和保密的责任与要求，及时停止离岗、离职人员的全部访问权限。
第三十六条 各部门要与外包服务方签署信息安全保密协议或合同，明确网络安全、数据安全责任。外包服务人员不得擅自访问超出服务需求范围的系统与数据，不得私自留存、复制学校敏感信息与业务数据。若发生违规操作、信息泄露等安全事件，将按保密协议或合同约定追究责任。
第十章 监测预警与应急处置
第三十七条 信息中心会定期针对校内网站、信息系统、网络、终端计算机以及相关设备进行网络安全检测工作，各部门需依据检测报告，及时开展网络安全自查并修复问题，防止网络安全事件的发生。信息中心有权对“双非网站”与信息系统（非学校IP地址、非学校域名）以及更新不及时、使用率低、长期无人维护的网站与信息系统，实施关闭和清退操作。
第三十八条 信息中心负责学校网络安全应急工作的具体实施，各部门应严格落实网络安全事件处置相关工作。
第三十九条 信息中心负责组织校内网络与信息安全应急演练，各部门应积极参与。发生网络安全事件时，各部门应及时报告并按学校网络信息安全事件应急处置和报告相关规定配合开展工作。
第四十条 各部门要定期自查本部门信息系统、网站等的安全状况，以及安全保护制度和措施的落实情况，并配合信息中心开展信息安全检查工作。
第十一章 教育培训
第四十一条 学校定期举办针对师生员工的网络信息安全培训，增强网络安全防护意识。
第四十二条 信息中心定期开展针对网络信息安全管理人员和技术人员的专业技能培训，包含但不限于网络安全法律法规、防护技术、应急处置流程等专业内容培训，提升其专业能力与管理水平。
第十二章 责任追究
第四十三条 信息中心会定期对全校网络安全工作进行检查，针对违反网络安全管理制度或者存在网络安全隐患的部门，下发网络安全限期整改通知书。若出现瞒报、缓报、处置与整改不力等情形，学校将约谈或通报相关部门责任人；因失职渎职而导致严重后果的，依纪依法追究相关人员责任。
第四十四条 对于违反国家网络信息安全相关法律法规和学校相关规定的部门和个人，一经查实，学校将视情节轻重予以批评教育或处分；涉嫌违法犯罪的，移送相关国家机关处理。
第十三章 附则
第四十五条 学校每年对全校各部门网络安全工作进行考核，考核结果纳入学校各部门考核体系。
第四十六条 本办法由信息与教育技术中心负责解释，自发布之日起施行。
一审：付燕华二审：梁建胜三审：谭继安
