高等学校数字校园建设规范（试行）（下）

 

 

9                      网络安全

9.1                      概述

高等学校网络安全工作应遵守《中华人民共和国网络安全法》并符合网络安全等级保护相关的GB/T 22239、GB/T 28448、GB/T 25070及GB/T 25058的要求。

9.2                      基础设施安全

9.2.1                      概述

基础设施安全主要包括物理环境安全、有线网络安全、无线网络安全、物联网设施安全、校园私有云平台安全等。校园网所有密码加密技术应采用安全的加密算法，加密证书应是授权机构颁发。

9.2.2                      基础设施物理环境安全

高等学校应按照网络安全等级保护相关GB/T 22239、GB/T 28448、GB/T25070、GB/T 25058等标准中关于安全物理环境的要求完成物理环境安全的建设。

9.2.3                      有线网络安全

a)                      校园有线网络应具备横纵双向维度的监测和防御机制，确保外部威胁和内部攻击不蔓延。

b)                      互联网和校园网边界区域应具备网络安全监测和告警能力。

c)                      核心交换区域应具备流量检测和用户流量分析能力，核心区域应具备网络流量的基础分析能力为大数据、人工智能技术的使用做数据源支持。

d)                      接入区应具备数据采集或数据采样能力，为数据安全预警做基础数据支持。

e)                      应加强建设网络分区，根据业务服务对象、业务重要性、业务建设阶段等几个维度进行区分。

f)                      应加强网络各个节点的联动性，以网络安全管理为中心加强管理和联动。

9.2.4                      无线网络安全

a)                      提供移动互联网接入时应提供认证功能，并支持采用认证服务器认证或国家密码机构批准的密码模块进行认证。

b)                      应提供措施能够检测非授权无线接入设备和非授权移动终端的接入行为。

c)                      应能够检测到针对无线接入设备的网络扫描、DDoS攻击、密码破解、中间人攻击等行为。

d)                      无线网络应按照网络安全等级保护要求进行入网实名制认证和网络行为审计留存。同时无线网络控制系统应具备和网络安全管理平台或网络安全态势感知系统进行数据互通(包括控制数据和流量数据)，确保数据源的丰富性。

9.2.5                      物联网设施安全

a)                      物联网的感知节点设备所处的物理环境应不对设备环境进行物理破坏。

b)                      感知节点设备在工作状态所处物理环境应能正常反映环境状态。

c)                      感知节点设备在工作状态所处物理环境应不对感知节点设备的正常工作造成影响，如强干扰、电磁屏蔽等。

d)                      应保证只有授权的感知节点可以接入。

e)                      能够限制于感知节点和感知网关的通信，以规避陌生地址的攻击行为。

f)                      应按照GB/T 37044（信息安全技术 物联网安全参考模型及通用要求）要求对物联网安全进行部署。

9.2.6                      校园私有云平台安全

a)                      当远程管理校园网私有云平台中设备时，管理终端和云平台之间应建立双向身份验证机制，虚拟机及平台远程登录，应通过运维堡垒机登录。

b)                      校园私有云平台应允许各分校、校区、院系或者独立的业务管理机构可设置不同虚拟机之间的访问控制策略，应保证当虚拟机迁移时，访问控制策略随其迁移。

c)                      校园私有云平台应能检测虚拟机之间的资源隔离失效、非授权新建虚拟机或者重新启用虚拟机、恶意代码感染及在虚拟机间蔓延的情况等，并进行告警。

d)                      校园网私有云平台应针对重要业务系统提供加固的操作系统镜像或操作系统安全加固服务。

e)                      校园网私有云平台应提供虚拟机镜像、快照完整性校验功能，防止虚拟机镜像被恶意篡改。

f)                      校园网私有云平台应采取密码技术或其他技术手段防止虚拟机镜像、快照中可能存在的敏感资源被非法访问。

9.3                      信息系统安全

9.3.1                      概述

信息系统泛指网站、移动应用、业务平台等软件系统。信息系统上线前应按照GB/T 22240要求进行等级保护定级，定级后按照GB/T 22239基本要求进行安全防护。

9.3.2                      主机安全

a)                      身份鉴别，应对登录操作系统和数据库系统的用户进行身份标识和鉴别。

b)                      访问控制，应启动访问控制功能，依据安全策略控制用户对资源的访问；应限制默认账户的访问权限，重命名系统默认账户，修改这些账户默认口令；应及时删除多余、过期的账户，避免共享账户存在。

c)                      入侵防范，操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序，并保持系统补丁及时得到更新。

d)                      恶意代码防范，应安装防恶意代码软件，并及时更新防恶意代码软件版本和恶意代码库。

e)                      校外对校内网络设备、主机、数据库和业务系统进行访问应采用链路加密技术或响应安全设备，如VPN加密技术、专用的点对点加密设备等。

9.3.3                      系统及应用安全

a)                      身份鉴别，应对信息系统登录用户进行身份标识和鉴别，应具备限制非法登录次数和自动退出机制。

b)                      访问控制，应提供访问控制功能控制用户组/用户对信息系统功能和用户数据的访问，应由授权主题配置访问控制策略，并严格限制默认用户访问权限。

c)                      通信完整性，应采用约定通信方式的方法保证通信过程中数据的完整性。

d)                      软件容错性，应提供数据有效性校验功能和数据有效性保证。

e)                      软件易用性，应确保系统和平台交互的友好性及使用的便捷性。

f)                      备份恢复，应对重要信息进行备份和恢复。

g)                      校园网内、校园网内外之间文件传输，应采用安全协议进行通信。安全区域之间、业务系统之间的数据交互，应采用密码技术进行加密传输。

h)                      校园网所有密码加密技术应采用安全的加密算法，加密证书应是授权机构颁发。

 

9.4                      信息终端安全

信息终端泛指一切可以接入网络的计算设备，如个人电脑、移动终端、物联网设备、工控设备等。

a)                      所有终端接入网络须进行认证管理，确保终端安全落实责任。

b)                      具备通用操作系统的终端，如个人电脑、移动终端等，应安装病毒防护和查杀工具，定期更新系统补丁和查杀病毒。

c)                      物联网设备和工控设备等专用设备，需进行定期安全检测和评估，及时维护和更新软件版本，降低安全威胁风险。

d)                      应采用技术手段限制移动存储设备在重要终端与服务器内的使用，确需使用的，应先使用抗恶意代码工具对移动存储设备进行病毒查杀。

e)                      高等学校内部重要数据及文件处理终端，应采用DLP数据防泄漏系统对重要文件及数据进行加密，对重要文件的处理、传输进行管控。

9.5                      数据安全

数字校园相关系统产生的数据量大，且关系到师生的隐私，因此针对数字校园相关系统产生的数据应具备保护措施。

a)                      重要数据在传输和存储过程中的完整性应采用校验技术或密码技术保证，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等。

b)                      重要数据在传输和存储过程中的保密性应采用密码技术保证，包括但不限于鉴别数据、重要业务数据和重要个人信息等。

c)                      高等学校应提供重要数据的本地数据备份与恢复功能；应提供异地实时备份功能，利用通信网络将重要数据实时备份至备份场地；应提供重要数据处理系统的热冗余，保证系统的高可用性。

d)                      高等学校个人信息的收集、存储、使用、共享、转让、公开披露等环节的相关行为应符合GB/T 35273的要求。

e)                      高等学校应仅采集和保存业务必需的用户个人信息，应禁止未授权访问和非法使用学校领导、员工、老师、学生等人的个人信息。涉及接触个人信息的第三方公司应与学校签署安全保密协议。

f)                      校园网私有云平台应确保所有数据和个人信息等存储于中国境内，如需出境应遵循国家相关规定。

g)                      未经学校正式授权，云服务商或第三方不具有云上数据的使用、扩散权限。

h)                      虚拟机迁移过程中重要数据的完整性应使用校验码或密码技术确保，并在检测到完整性受到破坏时采取必要的恢复措施。

i)                      高等学校应具有密钥管理系统，保证实现数据的加解密过程，密钥应符合国家密码管理局相关标准。

j)                      每个校区、分校、院系或者独立的业务管理机构都应在云下本地保存其相关业务数据的备份。

k)                      校园网私有云平台应提供查询数据及备份存储位置的能力。

l)                      云服务商提供的存储服务应保证数据存在若干个可用的副本，各副本之间的内容应保持一致。

9.6                      内容安全

高等学校应建立网络内容发布安全检查机制，宜遵循GA/T 1396-2017相关的要求建立安全管理策略，并根据设定的安全管理策略对违反策略的网站及新媒体进行报警，从而确保网站内容的合规性。

高等学校可采用网站内容检查产品，通过数据采集和分析，对包括网页中的文字、图片、文档、音视频、暗链接和错误链接等对象中包含的信息进行检测、记录和分析，发现违规内容及时进行整改。

9.7                      安全管理

9.7.1                      总体要求

a)                      数字校园的网络安全管理需从两个维度进行防护，纵向安全的防护主要面对校园网络与互联网和教育专网之间的互通，横向安全的防护主要加强校园网内部的安全保障。

b)                      数字校园的网络安全管理应从全局布局，从终端、网络、数据中心多个层次进行监测、防护和预警。

c)                      网络安全管理和网络运维应从管理和数据流层面进行数据互通，统一管理上下协同。

d)                      网络安全管理应充分利用网络中各个节点的数据采集和日志记录能力，将管理层网络和数据流量层网络产生的数据进行关联分析，充分发挥管理价值。

e)                      网络安全管理应充分利用新技术，如大数据、人工智能等，对产生的数据充分分析挖掘其中价值，保障数字校园的整体运行安全。

f)                      应启动安全审计功能全面覆盖到每个用户，对重要用户行为和重要安全事件进行审计。

g)                      审计记录应包括事件的日期、事件、用户、事件类型、事件是否成功和其他与审计相关的信息。

h)                      应对系统管理员进行身份鉴别，只允许其通过特定的名录或操作界面进行系统管理操作，并对这些行为进行审计。

i)                      应对网络链路、安全设备、网络设备和服务器等的运行状况进行集中监控。

j)                      应对安全策略、恶意代码、补丁升级等安全相关事项进行集中管理。

k)                      应对网络中发生的各类安全事件进行识别、分析、报警、处置。

9.7.2                      网络安全风险洞察机制

a)                      网络流量、网络设备日志、安全设备日志、数据中心日志进行数据化整合，通过大数据技术进行关联分析，通过统计、交叉、关联等形式挖掘数据价值洞察安全风险。

b)                      要具备安全事件预测预警功能。

c)                      应具备研判网络安全风险发展趋势能力，能够分析总结网络安全风险演化呈现的叠加、联动、放大、诱导等效应情况。

d)                      及时洞察各方面安全风险，特别是高度警惕发生概率小而影响大的“黑天鹅”事件，高度防范发生概率大且影响大的“灰犀牛”事件。

9.7.3                      网络安全风险防控机制

网络安全重在预防，加强网络安全风险分析研判和预测，避免发生网络安全事件。一旦发生网络安全事件，应有并启动网络安全应急处置预案，能够及时有效控制网络安全事件和风险不累积、不扩散、不升级。

a)                      构建网络安全态势感知平台，强化网络安全风险的预测预判预警预防，实现网络安全防御前置。

b)                      构建多层深度智能化动态网络安全保障与防御体系，保障网络安全风险防护与应急处置。

c)                      建设网络舆情咨询专家队伍和网络舆情应急处置数据库。

d)                      网络安全管理实现统筹协调、部门协同、上下联动。

9.7.4                      网络安全风险治理机制

a)                      网络安全顶层设计实现网络安全、内容管理和技术防护的全覆盖、无死角、无短板、无缝衔接，构建形成网络安全风险治理的整体框架。

b)                      构建形成覆盖学校、院系部门、科室、个人的四级网络安全管理和协同机制，形成统筹协调有力、部门协同高效，上下联动顺畅的网络安全工作机制，网络安全责任制及绩效考核办法得到有效落实。

c)                      建成专职网络安全管理和技术队伍，培养提升教职工网络新媒体素养和信息素养，学生网络安全队伍参与，实现社会网络安全力量协同，网络安全竞赛、教育培训、网络安全应急演练实现常态化。

d)                      《网络安全法》《信息安全技术网络安全等级保护基本要求》等网络安全法规、条例、标准的宣传与有关工作要求得到有效落实。

10                      保障体系

10.1                      概述

为了规范高等学校数字校园建设、管理、运维工作，保障信息化建设有序开展，维护网络与信息系统的安全、稳定和可靠，发挥网络与信息系统作为数字校园公共服务体系在教学、科研和管理服务中的重要作用，高等学校应结合实际情况，从组织机构、人员队伍、规章制度（管理）、标准规范（技术）、经费保障、运维服务、综合评价等方面对数字校园保障体系进行规范，通过保障体系的建设，为高等学校信息化工作创造良好的环境。对保障体系建设的总体要求：

a)                      应有明确的组织机构及运行机制。

b)                      应制定学校统一、完备的规章制度。

c)                      应有稳定、专业的技术队伍。

d)                      应有统一、规范、科学，具有强制性的技术标准。

e)                      应有稳定的经费投入，有规范的经费管理办法。

f)                      应有持续、稳定的运维服务。

g)                      应有科学完善的评价标准与体系。

10.2                      组织机构

高等学校要健全校院两级信息化发展与建设组织机构设置：

a)                      设立校级网络安全和信息化工作领导小组作为学校网络安全和信息化工作、数字校园建设的最高管理与决策机构。

b)                      明确信息化建设主责二级机构，负责数字校园、网络安全和信息化发展战略、专项规划、项目建设、管理、运维等相关工作，致力于运用信息技术促进学校教育改革和发展，推动数字校园建设，为师生的学习、科研、管理和生活提供信息化公共服务。

10.3                      人员队伍

高等学校应建立一支梯队合理、责任心强、稳定可靠的数字校园信息化专业队伍，设立校院两级信息化管理和专业技术岗位，设定明确的岗位职责，支撑开展信息化各项工作，并结合信息化发展和工作需求，不断提高信息化工作人员的专业知识和业务技能水平，保障信息化工作有效推进。

a)                      高等学校应建立校院两级网络安全和信息化第一责任人制度，学校网络安全和信息化领导小组组长作为学校网络安全和信息化第一责任人，一般应由学校领导班子主要负责人担任，主要负责学校的网络安全和信息化的规划、决策等工作。

b)                      信息化建设主责二级机构人员负责完成高等学校信息化发展的规划、建设、运行、维护、服务等工作。

c)                      各高等学校二级机构信息化人员构成应包括二级机构网络安全和信息化第一责任人、网络安全和信息化分管领导、信息化工作联络人、系统管理员等，管理本部门网络安全和信息化工作。

10.4                      规章制度

高等学校应全面规范数字校园建设与管理工作，建立健全的规章制度，推动信息化工作合理有序实施和可持续发展。应加强数字校园建设与管理各方面的管理办法的制定，包括但不限于网络与信息安全管理、数据管理、校园网建设与运行管理、校园卡管理、信息化建设项目管理、网站及信息系统管理等方面。

10.5                      标准规范

高等学校应制定数字校园建设相关技术标准规范，以保障数字校园建设运行的顺利开展和可持续发展。

a)                      数据标准建设应符合GB/T 29808的要求，并参照本规范第6章内容，结合高等学校自身实际需求制定标准。规范定义数据元标准结构，保证数据的一致性，方便数据交换与共享，提高信息处理效率。

b)                      网络与信息安全技术规范建设应符合本书第9章的要求，结合高等学校自身的需求，制定学校网络与信息安全技术规范。

c)                      数字校园中心机房建设应符合GB 50174的规定，并参照本规范第5章内容，结合高等学校自身的需求，制定标准规范。

d)                      网络工程建设应参照本规范第5章内容，结合高等学校自身的需求，制定网络工程规划与设计、设备与材料、施工与布线、安全管理标准规范.

e)                      信息化建设项目应在学校信息化整体技术规划框架下，制定信息化建设项目需求分析、设计开发、测试评估、部署实施、验收全流程标准规范。

10.6                      经费保障

持续的经费投入是数字校园可持续发展的基本保障，高等学校应保证数字校园建设和运维经费在学校年度经费中的比例，并适度增长。

a)                      应明确由信息化建设主责二级机构负责学校数字校园建设经费统一的归口管理，按照统筹、集约、共享原则，避免多头建设、重复建设，提高数字校园建设经费使用效率。

b)                      各部门应建立健全信息化工作协调机制，凡涉及数字校园信息化项目建设，均应经过信息化建设主责二级机构的项目前置评审。 

c)                      应统筹安排数字校园建设与运维经费，并保证运维经费与建设经费按适当比例投入。

10.7                      运维服务

运维服务是数字校园建设成果能顺利支撑学校业务、服务师生用户的重要保障。运维服务采取相关的管理办法和技术手段，对运行环境和业务系统等进行维护管理，并面向师生等用户提供技术支持和IT服务。建设要求是：

a)                      应对数字校园相关基础设施、信息系统等进行有效维护，保证各系统和设备的稳定运行。

b)                      应建立从用户报修、现场处理到事后反馈全流程服务体系，建立稳定的运维服务团队，制订统一的服务规范与服务流程，给用户提供优质、及时的服务。

c)                      建设全网络服务信息交互平台，提供多终端、多应用服务；提供运维服务热线电话服务。

d)                      提供便捷的线下服务，设立数字校园一站式服务大厅和分布式的自助服务设备，服务场所应统一设置规范标志。

e)                      应为数字校园用户提供各类相关培训，培训要具有持续性。

f)                      为了给数字校园用户提供更加优质高效的信息化服务，有条件的高等学校应申请ISO、ITIL等标准化运维、服务认证。

10.8                      评价体系

数字校园建设是一个持续的过程，制定适当的评价体系，对数字校园建设工作和应用效果进行评价，有助于促进高等学校数字校园建设。

a)                      数字校园评价体系设计应遵循客观性、整体性、指导性、科学性、发展性原则，评价和反馈应当贯穿于数字校园的各个阶段，对阶段性建设与应用效果进行有针对性的分析诊断，并提出改进的意见和建议，做到“以评促建，评建结合”。

b)                      数字校园评价内容应包括规划、建设、运维服务、用户素养等方面所达到的水平和程度，保障体系的完备性与科学性等。

c)                      数字校园评价方式可选择具有先进性、智能性、及时性的方式，可借助人工智能、大数据分析等新的技术手段来辅助实施。