第一章 总则
第一条 为加强学院网络安全管理，规范网络使用行为，保障校园网络与信息系统安全稳定运行，保护师生个人信息和学院重要数据安全，根据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《个人信息保护法》以及教育部、山西省关于教育信息化和网络安全的相关规定，结合我院实际情况，制定本制度。
第二条 本制度适用于学院所有网络基础设施、信息系统、数据资源以及使用学院网络的所有人员，包括在职教职工、在校学生、临时聘用人员及第三方服务人员。
第三条 学院网络安全工作遵循以下基本原则：（一）安全第一原则。网络安全是学院信息化建设的首要前提，各项信息化工作必须以安全为基础。（二）责任明确原则。实行"谁主管谁负责、谁使用谁负责"的责任制，各部门负责人为本部门网络安全第一责任人。（三）分级保护原则。根据信息系统的重要程度和数据的敏感级别，实施分级分类保护。（四）预防为主原则。加强日常安全防护，定期开展安全检查，及时发现和消除安全隐患。
第二章 组织管理
第四条 学院成立网络安全和信息化领导小组，由院党委书记、院长担任组长，分管信息化工作的副院长担任副组长，成员包括各部门负责人。领导小组负责统筹规划学院网络安全工作，审定网络安全管理制度，协调处理重大网络安全事件。
第五条 信息中心是学院网络安全工作的归口管理部门，具体职责包括：负责校园网络基础设施的建设、运维和安全管理；制定网络安全技术防护方案；组织开展网络安全检查、风险评估和应急演练；负责网络安全事件的监测、预警和应急处置；开展网络安全宣传教育和培训。
第六条 各部门应明确一名网络安全联络员，配合信息中心做好本部门的网络安全工作。各部门负责人应定期组织本部门人员学习网络安全知识，提高安全防范意识。
第三章 网络基础设施安全管理
第七条 校园网络实行统一规划、统一建设、统一管理。任何部门和个人不得擅自建设、改造、接入校园网络，不得私设无线路由器、无线AP、代理服务器等网络设备。确因工作需要接入网络的，须向信息中心提出申请，经审批后方可实施。
第八条 校园网实行实名制认证上网。教职工使用手机号、学生使用学号登录认证，严禁将个人账号转借他人使用。访客上网须经相关部门审批，开设临时账号。
第九条 学院机房、网络设备间等重要场所实行门禁管理，非工作人员未经许可不得进入。关键网络设备应配置冗余电源，定期进行巡检维护。网络设备的配置变更须做好记录，重大变更须经信息中心负责人审批。
第十条 服务器实行集中托管制度。各部门需要部署服务器的，应向信息中心申请机柜空间和IP地址。服务器须安装正版操作系统和杀毒软件，及时更新系统补丁。禁止在服务器上安装与业务无关的软件，禁止利用学院服务器从事商业活动或其他违法活动。
第四章 信息系统安全管理
第十一条 信息系统建设应同步规划、同步建设、同步运行安全防护措施。新建信息系统上线前须进行安全测评，通过测评后方可正式运行。已上线的系统应定期开展安全检测，发现问题及时整改。
第十二条 信息系统实行等级保护制度。信息技术中心应组织对各信息系统进行定级备案，按照等级保护要求落实安全防护措施。涉及师生个人信息和重要数据的系统，应至少达到等级保护二级要求。
第十三条 信息系统账号实行实名制管理，一人一账号，严禁共享账号。账号权限分配遵循最小权限原则，仅授予完成工作所必需的权限。教职工离职或岗位调整时，所在部门负责注销或调整其账号权限。
第十四条 重要信息系统应开启操作日志功能，记录用户登录、数据修改、权限变更等关键操作。日志保存期限不少于六个月，定期对日志进行审查分析，发现异常行为及时处理。
第五章 数据安全管理
第十五条 学院数据按照敏感程度分为核心数据、重要数据和一般数据三级。核心数据包括涉密信息、核心财务数据、重要人事档案等；重要数据包括学生学籍信息、成绩信息、教职工基本信息、科研合同等；一般数据包括课程表、公开通知、宣传资料等。
第十六条 核心数据实行最严格的保护措施，存储在专用服务器上，实行物理隔离或逻辑隔离，访问须经过严格审批并全程留痕。重要数据须加密存储，跨部门共享须经过数据提供部门负责人审批。一般数据可在部门内部共享，对外发布须经部门负责人审核。
第十七条 数据备份是保障数据安全的重要措施。重要数据应实行异地备份，每周至少备份一次。备份数据应定期进行恢复测试，确保备份数据可用。禁止在未经授权的情况下将学院数据存储在个人云盘、移动硬盘等外部存储介质上。
第十八条 数据的采集、使用和共享应遵循合法、正当、必要原则。未经学院批准，任何部门和个人不得将学院数据提供给第三方，不得将数据用于商业用途。涉及个人信息的数据处理活动，应符合《个人信息保护法》的相关规定。
第六章 网络安全事件管理
第十九条 网络安全事件分为一般事件、重大事件和特别重大事件三级。一般事件包括个别终端中毒、弱口令被破解、小规模网络攻击等；重大事件包括重要数据泄露、核心业务系统瘫痪、大规模勒索病毒攻击等；特别重大事件包括核心数据被窃取、网络系统被控制、发生国家级网络攻击等。
第二十条 发现网络安全事件后，应立即向信息中心报告。信息中心接到报告后应迅速进行研判，根据事件级别启动相应的应急响应程序。一般事件由信息中心处置；重大事件须报告学院网络安全和信息化领导小组；特别重大事件须在第一时间报告上级主管部门。
第二十一条 网络安全事件应急处置应遵循先止损、后排查、再恢复的原则。发生安全事件时，可采取断网、封禁IP、暂停服务等必要措施控制事态扩大。事件处置过程中应做好记录，保存相关证据。
第二十二条 网络安全事件处置结束后，应进行总结评估，分析事件原因，制定整改措施，完善安全防护体系。对因失职渎职导致安全事件发生的，依法依规追究相关人员责任。
第七章 监督与考核
第二十三条 信息中心应定期组织开展网络安全检查，每学期至少进行一次全面检查，每月进行一次重点抽查。检查内容包括网络设备运行状态、系统安全补丁更新情况、账号权限管理情况、数据备份情况等。对检查发现的问题，应下达整改通知，限期整改到位。
第二十四条 学院将网络安全工作纳入各部门年度考核内容。对不重视网络安全工作、造成安全隐患或发生安全事件的部门，取消年度评优资格，并追究相关人员责任。
第二十五条 任何部门和个人不得从事危害网络安全的活动，不得制作、传播计算机病毒等恶意程序，不得非法侵入他人网络、干扰他人网络正常运行，不得窃取网络数据。违反本制度规定的，视情节轻重给予批评教育、通报批评或纪律处分；构成犯罪的，移送司法机关依法处理。
第八章 附则
第二十六条 本制度由信息中心负责解释。
第二十七条 本制度自发布之日起施行。原有相关规定与本制度不一致的，以本制度为准。本制度将根据国家法律法规和学院实际情况适时修订。
