9 网络安全

　　9.1 概述

　　高等学校网络安全工作应遵守《中华人民共和国网络安全法》并符合网络安全等级保护相关的GB/T 22239、GB/T 28448、GB/T 25070及GB/T 25058的要求。

　　9.2 基础设施安全

　　9.2.1 概述

　　基础设施安全主要包括物理环境安全、有线网络安全、无线网络安全、物联网设施安全、校园私有云平台安全等。

      校园网所有密码加密技术应采用安全的加密算法，加密证书应是授权机构颁发。

　　9.2.2 基础设施物理环境安全

　　高等学校应按照网络安全等级保护相关GB/T 22239、GB/T 28448、GB/T25070、GB/T 25058等标准中关于安全物理环境的要求完成物理环境安全的建设。

　　9.2.3 有线网络安全

　　a) 校园有线网络应具备横纵双向维度的监测和防御机制，确保外部威胁和内部攻击不蔓延。

　　b) 互联网和校园网边界区域应具备网络安全监测和告警能力。

　　c) 核心交换区域应具备流量检测和用户流量分析能力，核心区域应具备网络流量的基础分析能力为大数据、人工智能技术的使用做数据源支持。

　　d) 接入区应具备数据采集或数据采样能力，为数据安全预警做基础数据支持。

　　e) 应加强建设网络分区，根据业务服务对象、业务重要性、业务建设阶段等几个维度进行区分。

　　f) 应加强网络各个节点的联动性，以网络安全管理为中心加强管理和联动。

　　9.2.4 无线网络安全

　　a) 提供移动互联网接入时应提供认证功能，并支持采用认证服务器认证或国家密码机构批准的密码模块进行认证。

　　b) 应提供措施能够检测非授权无线接入设备和非授权移动终端的接入行为。

　　c) 应能够检测到针对无线接入设备的网络扫描、DDoS攻击、密码破解、中间人攻击等行为。

　　d) 无线网络应按照网络安全等级保护要求进行入网实名制认证和网络行为审计留存。同时无线网络控制系统应具备和网络安全管理平台或网络安全态势感知系统进行数据互通(包括控制数据和流量数据)，确保数据源的丰富性。

　　9.2.5 物联网设施安全

　　a) 物联网的感知节点设备所处的物理环境应不对设备环境进行物理破坏。

　　b) 感知节点设备在工作状态所处物理环境应能正常反映环境状态。

　　c) 感知节点设备在工作状态所处物理环境应不对感知节点设备的正常工作造成影响，如强干扰、电磁屏蔽等。

　　d) 应保证只有授权的感知节点可以接入。

　　e) 能够限制于感知节点和感知网关的通信，以规避陌生地址的攻击行为。

　　f) 应按照GB/T 37044（信息安全技术 物联网安全参考模型及通用要求）要求对物联网安全进行部署。

　　9.2.6 校园私有云平台安全

　　a) 当远程管理校园网私有云平台中设备时，管理终端和云平台之间应建立双向身份验证机制，虚拟机及平台远程登录，应通过运维堡垒机登录。

　　b) 校园私有云平台应允许各分校、校区、院系或者独立的业务管理机构可设置不同虚拟机之间的访问控制策略，应保证当虚拟机迁移时，访问控制策略随其迁移。

　　c) 校园私有云平台应能检测虚拟机之间的资源隔离失效、非授权新建虚拟机或者重新启用虚拟机、恶意代码感染及在虚拟机间蔓延的情况等，并进行告警。

　　d) 校园网私有云平台应针对重要业务系统提供加固的操作系统镜像或操作系统安全加固服务。

　　e) 校园网私有云平台应提供虚拟机镜像、快照完整性校验功能，防止虚拟机镜像被恶意篡改。

　　f) 校园网私有云平台应采取密码技术或其他技术手段防止虚拟机镜像、快照中可能存在的敏感资源被非法访问。

　　9.3 信息系统安全

　　9.3.1 概述

　　信息系统泛指网站、移动应用、业务平台等软件系统。信息系统上线前应按照GB/T 22240要求进行等级保护定级，定级后按照GB/T 22239基本要求进行安全防护。

　　9.3.2 主机安全

　　a) 身份鉴别，应对登录操作系统和数据库系统的用户进行身份标识和鉴别。

　　b) 访问控制，应启动访问控制功能，依据安全策略控制用户对资源的访问；应限制默认账户的访问权限，重命名系统默认账户，修改这些账户默认口令；应及时删除多余、过期的账户，避免共享账户存在。

　　c) 入侵防范，操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序，并保持系统补丁及时得到更新。

　　d) 恶意代码防范，应安装防恶意代码软件，并及时更新防恶意代码软件版本和恶意代码库。

　　e) 校外对校内网络设备、主机、数据库和业务系统进行访问应采用链路加密技术或响应安全设备，如VPN加密技术、专用的点对点加密设备等。

　　9.3.3 系统及应用安全

　　a) 身份鉴别，应对信息系统登录用户进行身份标识和鉴别，应具备限制非法登录次数和自动退出机制。

　　b) 访问控制，应提供访问控制功能控制用户组/用户对信息系统功能和用户数据的访问，应由授权主题配置访问控制策略，并严格限制默认用户访问权限。

　　c) 通信完整性，应采用约定通信方式的方法保证通信过程中数据的完整性。

　　d) 软件容错性，应提供数据有效性校验功能和数据有效性保证。

　　e) 软件易用性，应确保系统和平台交互的友好性及使用的便捷性。

　　f) 备份恢复，应对重要信息进行备份和恢复。

　　g) 校园网内、校园网内外之间文件传输，应采用安全协议进行通信。安全区域之间、业务系统之间的数据交互，应采用密码技术进行加密传输。

　　h) 校园网所有密码加密技术应采用安全的加密算法，加密证书应是授权机构颁发。

　　9.4 信息终端安全

　　信息终端泛指一切可以接入网络的计算设备，如个人电脑、移动终端、物联网设备、工控设备等。

　　a) 所有终端接入网络须进行认证管理，确保终端安全落实责任。

　　b) 具备通用操作系统的终端，如个人电脑、移动终端等，应安装病毒防护和查杀工具，定期更新系统补丁和查杀病毒。

　　c) 物联网设备和工控设备等专用设备，需进行定期安全检测和评估，及时维护和更新软件版本，降低安全威胁风险。

　　d) 应采用技术手段限制移动存储设备在重要终端与服务器内的使用，确需使用的，应先使用抗恶意代码工具对移动存储设备进行病毒查杀。

　　e) 高等学校内部重要数据及文件处理终端，应采用DLP数据防泄漏系统对重要文件及数据进行加密，对重要文件的处理、传输进行管控。

　　9.5 数据安全

　　数字校园相关系统产生的数据量大，且关系到师生的隐私，因此针对数字校园相关系统产生的数据应具备保护措施。

　　a) 重要数据在传输和存储过程中的完整性应采用校验技术或密码技术保证，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等。

　　b) 重要数据在传输和存储过程中的保密性应采用密码技术保证，包括但不限于鉴别数据、重要业务数据和重要个人信息等。

　　c) 高等学校应提供重要数据的本地数据备份与恢复功能；应提供异地实时备份功能，利用通信网络将重要数据实时备份至备份场地；应提供重要数据处理系统的热冗余，保证系统的高可用性。

　　d) 高等学校个人信息的收集、存储、使用、共享、转让、公开披露等环节的相关行为应符合GB/T 35273的要求。

　　e) 高等学校应仅采集和保存业务必需的用户个人信息，应禁止未授权访问和非法使用学校领导、员工、老师、学生等人的个人信息。涉及接触个人信息的第三方公司应与学校签署安全保密协议。

　　f) 校园网私有云平台应确保所有数据和个人信息等存储于中国境内，如需出境应遵循国家相关规定。

　　g) 未经学校正式授权，云服务商或第三方不具有云上数据的使用、扩散权限。

　　h) 虚拟机迁移过程中重要数据的完整性应使用校验码或密码技术确保，并在检测到完整性受到破坏时采取必要的恢复措施。

　　i) 高等学校应具有密钥管理系统，保证实现数据的加解密过程，密钥应符合国家密码管理局相关标准。

　　j) 每个校区、分校、院系或者独立的业务管理机构都应在云下本地保存其相关业务数据的备份。

　　k) 校园网私有云平台应提供查询数据及备份存储位置的能力。

　　l) 云服务商提供的存储服务应保证数据存在若干个可用的副本，各副本之间的内容应保持一致。

　　9.6 内容安全

　　高等学校应建立网络内容发布安全检查机制，宜遵循GA/T 1396-2017相关的要求建立安全管理策略，并根据设定的安全管理策略对违反策略的网站及新媒体进行报警，从而确保网站内容的合规性。

　　高等学校可采用网站内容检查产品，通过数据采集和分析，对包括网页中的文字、图片、文档、音视频、暗链接和错误链接等对象中包含的信息进行检测、记录和分析，发现违规内容及时进行整改。

　　9.7 安全管理

　　9.7.1 总体要求

　　a) 数字校园的网络安全管理需从两个维度进行防护，纵向安全的防护主要面对校园网络与互联网和教育专网之间的互通，横向安全的防护主要加强校园网内部的安全保障。

　　b) 数字校园的网络安全管理应从全局布局，从终端、网络、数据中心多个层次进行监测、防护和预警。

　　c) 网络安全管理和网络运维应从管理和数据流层面进行数据互通，统一管理上下协同。

　　d) 网络安全管理应充分利用网络中各个节点的数据采集和日志记录能力，将管理层网络和数据流量层网络产生的数据进行关联分析，充分发挥管理价值。

　　e) 网络安全管理应充分利用新技术，如大数据、人工智能等，对产生的数据充分分析挖掘其中价值，保障数字校园的整体运行安全。

　　f) 应启动安全审计功能全面覆盖到每个用户，对重要用户行为和重要安全事件进行审计。

　　g) 审计记录应包括事件的日期、事件、用户、事件类型、事件是否成功和其他与审计相关的信息。

　　h) 应对系统管理员进行身份鉴别，只允许其通过特定的名录或操作界面进行系统管理操作，并对这些行为进行审计。

　　i) 应对网络链路、安全设备、网络设备和服务器等的运行状况进行集中监控。

　　j) 应对安全策略、恶意代码、补丁升级等安全相关事项进行集中管理。

　　k) 应对网络中发生的各类安全事件进行识别、分析、报警、处置。

　　9.7.2 网络安全风险洞察机制

　　a) 网络流量、网络设备日志、安全设备日志、数据中心日志进行数据化整合，通过大数据技术进行关联分析，通过统计、交叉、关联等形式挖掘数据价值洞察安全风险。

　　b) 要具备安全事件预测预警功能。

　　c) 应具备研判网络安全风险发展趋势能力，能够分析总结网络安全风险演化呈现的叠加、联动、放大、诱导等效应情况。

　　d) 及时洞察各方面安全风险，特别是高度警惕发生概率小而影响大的“黑天鹅”事件，高度防范发生概率大且影响大的“灰犀牛”事件。

　　9.7.3 网络安全风险防控机制

　　网络安全重在预防，加强网络安全风险分析研判和预测，避免发生网络安全事件。一旦发生网络安全事件，应有并启动网络安全应急处置预案，能够及时有效控制网络安全事件和风险不累积、不扩散、不升级。

　　a) 构建网络安全态势感知平台，强化网络安全风险的预测预判预警预防，实现网络安全防御前置。

　　b) 构建多层深度智能化动态网络安全保障与防御体系，保障网络安全风险防护与应急处置。

　　c) 建设网络舆情咨询专家队伍和网络舆情应急处置数据库。

　　d) 网络安全管理实现统筹协调、部门协同、上下联动。

　　9.7.4 网络安全风险治理机制

　　a) 网络安全顶层设计实现网络安全、内容管理和技术防护的全覆盖、无死角、无短板、无缝衔接，构建形成网络安全风险治理的整体框架。

　　b) 构建形成覆盖学校、院系部门、科室、个人的四级网络安全管理和协同机制，形成统筹协调有力、部门协同高效，上下联动顺畅的网络安全工作机制，网络安全责任制及绩效考核办法得到有效落实。

　　c) 建成专职网络安全管理和技术队伍，培养提升教职工网络新媒体素养和信息素养，学生网络安全队伍参与，实现社会网络安全力量协同，网络安全竞赛、教育培训、网络安全应急演练实现常态化。

　　d) 《网络安全法》《信息安全技术网络安全等级保护基本要求》等网络安全法规、条例、标准的宣传与有关工作要求得到有效落实。