第一章 总则
第一条 为加强学院信息系统供应链安全管理，防范因软硬件采购、外包服务及第三方供应商引入的安全风险，保障学院网络与数据安全，依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》及教育部相关规定，结合学院实际，制定本办法。
第二条 本办法适用于学院所有信息系统相关的供应链活动，包括软硬件采购、云服务、运维外包、软件开发及技术服务等活动。
第三条 供应链安全管理遵循以下原则：全生命周期管理原则，覆盖准入、运营、退出各阶段；风险可控原则，对供应商进行安全评估和分级管理；责任明确原则，谁采购谁负责、谁使用谁监管。
第二章 组织职责
第四条 学院网络安全和信息化领导小组负责审定供应链安全管理制度，审批重大采购项目的安全评估报告，决策重大供应链安全风险处置方案。
第五条 信息中心是供应链安全管理的归口部门，负责制定供应商安全准入标准，组织开展供应商安全评估，监督供应商服务过程中的安全合规性，处理供应链安全事件。
第六条 采购部门负责在采购文件中明确网络安全技术要求，将安全评估作为供应商选择的重要依据，在合同中约定数据安全和服务质量条款。
第七条 使用部门负责本部门所用软硬件及服务的日常安全监管，发现供应商安全问题及时报告信息中心，配合开展安全检查和事件处置。
第三章 供应商准入管理
第八条 供应商准入须经过安全评估。评估内容包括：供应商资质审查，包括营业执照、信息安全认证等；产品安全性检测，包括漏洞扫描、代码审计等；数据保护能力审查，包括加密措施、访问控制等。
第九条 采购合同须明确安全条款，包括数据保密义务、安全漏洞响应时限、服务中断赔偿、数据归属及销毁要求等。涉及敏感数据的，须签署专项保密协议。
第十条 关键系统供应商须具备相应资质。提供核心业务系统的供应商应具备等保测评相关能力，云服务供应商数据中心应位于国内并通过等保三级认证。
第四章 供应商运营管理
第十一条 供应商服务人员须经审批后方可接入学院网络，使用专用账号，操作全程留痕。禁止供应商人员擅自访问与业务无关的系统和数据。
第十二条 信息中心应定期开展供应商安全复查，每学期对关键供应商进行安全检查，每年进行全面安全评估。对发现的安全隐患，要求供应商限期整改。
第十三条 供应商发现安全漏洞或发生安全事件时，应在规定时限内向信息技术中心报告。一般漏洞24小时内报告，重大漏洞1小时内报告，并同时提供处置方案。
第五章 供应商退出管理
第十四条 合作终止时，供应商须归还或销毁学院所有数据，不得保留任何副本。信息中心应监督数据清理过程，必要时进行现场核查。
第十五条 供应商退出时，应及时回收其访问账号、API接口权限及物理场所出入权限。供应商使用的设备须经安全检测后方可移出学院。
第六章 监督与考核
第十六条 学院建立供应商安全考核机制，将安全合规情况纳入供应商年度评价。对安全表现优秀的供应商优先考虑续约，对发生安全事件的供应商视情节暂停或终止合作。
第十七条 因供应商原因导致学院数据泄露、系统瘫痪等安全事件的，依法追究供应商责任，并要求赔偿损失。情节严重的，列入黑名单，禁止参与学院后续采购活动。
第七章 附则
第十八条 本办法由信息中心负责解释。
第十九条 本办法自发布之日起施行。
