教育数字化知识图谱

第一章 总 则 第一条为加强学校信息化建设统筹规划与规范管理，确保信息化建设工作协调有序开展，根据《海南省信息化条例》《海南省政务信息化项目建设管理办法》《海南省政务信息化项目建设管理实施细则（暂行）》《海南大学采购管理暂行办法》相关规定，结合学校实际，制定本办法。 第二条本办法所称信息化项目，主要是指校园网络、为师生提供公共服务的信息系统、基础数据库、网络与信息安全保障、学校信息公共服务平台及运维服务等建设项目。 第三条信息化项目管理是指对信息化项目申报、论证、审批、立项、建设、试运行、验收、运行维护、绩效评价等全生命周期的过程管理。 第四条信息化项目要遵循集约化、资源整合、数据共享、协同应用的原则，充分利用和整合海南省及海南大学已有的信息化基础设施和资源进行规划设计。 第五条根据信息化建设资金来源不同，信息化项目分为财政经费信息化项目和其他经费信息化项目，财政经费信息化项目是指由学校利用各级财政资金全部投资或部分投资建设实施的信息化项目；其他经费信息化项目是指由校外合作方投资，且在我校建设并运行于校园网的信息化建设项目。 第六条网络安全和信息化领导小组办公室(以下简称“网信办”)负责学校信息化整体发展规划的编制和信息化项目的审批、验收和绩效考核；信息化服务中心根据学校信息化整体发展规划，负责学校公共信息化项目的规划、设计、实施、运行维护及系统安全监督管理；各单位（部门）负责本单位（部门）的信息化建设需求规划；涉及多个单位（部门）的信息化建设，由相关单位（部门）协商确定牵头单位（部门），由牵头单位（部门）会同共建单位（部门）负责信息化建设需求规划。 第二章 申报与立项 第七条各单位（部门）根据本单位（部门）业务范围及信息化需要，在每年的5月份前，通过海南大学网上服务大厅申报下一年度信息化建设项目，填写《海南大学信息化建设项目申请表》，并报送项目建议书，涉及多个单位（部门）共建的，由相关单位协商确定牵头单位（部门），由牵头单位（部门）会同共建单位（部门）共同申报。 非涉密项目的设计方案（项目建议书）应遵循以下要求： 1、充分利用我校已有的基础设施和资源，包括但不限于学校中心机房、网上服务大厅、移动服务平台、数据共享交换平台等公共服务平台，避免重复建设。 2、要强化系统整合、信息共享和业务协同。系统建设应加强快速迭代开发和集约发展管理，构建互联互通、逻辑整合、业务协同、信息共享的一体化信息化系统，避免新增“信息孤岛”。 3、跨部门共建共享的项目，应坚持统筹规划、统一立项、协同建设、整合共享的原则，根据事权划分确定相应的建设内容资金。 4、新建项目网络安全设计应包括入网安全评估、等级保护测评、渗透测试、安全加固、软件测试等安全内容。运维类项目包括安全风险评估、安全培训、安全巡检、应急响应、攻防演练等安全服务。 5、根据国家密码管理有关法律法规和标准规范的要求，关键信息基础设施、网络安全等级保护第三级及以上、面向社会服务等重要非涉密信息项目应同步规划、同步建设、同步运行密码保障系统，并定期进行评估。 涉密信息化项目按照学校保密管理相关制度执行。 第八条网信办在收到相关申请材料后，组织专家进行项目初审，就项目建设必要性、可行性、重要性等进行论证评审。通过初审的项目根据学校实际情况，按照项目建设优先级纳入信息化建设项目库。 第九条网信办根据学校当年信息化建设经费和项目库中项目建设优先顺序，确定当年立项项目，形成当年年度信息化项目建设计划。 购买不需要联调联试集成服务的硬件设备或可直接部署的商品化成熟软件，总体额度不超过50万元的，可按规定直接报采购部门进行采购。 第十条项目审批原则上包括项目建议书、可行性研究报告、初步设计方案及概算等环节。为简化审批程序，提高审批效能，项目总投资金额在100万元及以下的项目编制项目建议书进行审批，项目总投资金额在100万元以上且2000万元及以下的项目可以编制可行性研究报告或初步设计方案进行审批，项目总投资在2000万以上的要编制可行性研究报告和初步设计方案进行审批。初步设计应委托具有设计资质的专业机构编制。 第十一条通过立项初审的申报单位，按要求准备好相关材料，参加专家评审会，在会上进行汇报并就技术方案、数据共享、安全机制等接受质询。 第十二条根据项目类别和投资金额，专家评审会聘请的专家应为奇数，具体人数应符合如下要求： （一）建设或服务类项目评审专家人数为： 项目投资金额在500万元（含）以下的3人及以上； 项目投资金额在500万元-2000万元（含）的5人及以上； 项目投资金额在2000万元-5000万元（含）的7人及以上； 项目投资金额在5000万元-10000万元（含）的9人及以上；项目投资金额10000万元以上11人及以上。 （二）运维项目、变更项目评审专家人数一般为3人及以上。 第十三条专家评审通过的项目，根据专业机构核算的投资金额，按学校有关规定进行审批，审批通过的项目予以立项。 各建设部门（单位）信息系统的运行维护项目每年5月前向信息化服务中心申报运维需求（通过网上服务大厅填报），由信息化服务中心统筹并形成全校的整体运行维护项目。 第十四条未申报或未通过立项审批的信息化项目不允许建设。各单位（部门）不得将信息化项目变相包装或纳入其他项目进行建设。 第三章 项目建设管理 第十五条批准立项的信息化项目，其申请单位（部门）为项目建设单位。建设单位应明确负责人（一般为单位负责人）、联络人（建设单位在编人员）、项目组成员，明确职责分工，并按相关管理制度严格执行采购、合同管理、档案管理等制度，并按照建设目标、建设方案和进度安排等推进项目实施。涉密信息系统的采购应当执行保密有关规定。 （一）信息化项目建设必须遵循国家、海南省及学校相关规范、标准及安全要求。项目涉及到的等级保护测评、密码应用安全性评估、渗透测试、项目监理等专业领域分项内容应与项目主体工程区分采购，按项目批复内容，科学、合理、规范地细化项目采购需求，尽可能集中采购，避免存在漏项，确保符合项目建设目标和内容。 （二）涉及多部门联合的项目，牵头部门应与参建部门充分沟通，按协同建设方式，提高采购效率和项目建设质量，降低建设成本。 （三）项目采购应当采用安全可靠的产品，项目软硬件产品的安全可靠情况，项目密码应用和安全审查情况，以及硬件设备和能源利用效率等情况将是项目验收的重要内容。 （四）除运维项目外，总投资金额超过100万元的项目实行工程监理制。项目建设单位应当按照信息系统工程监理有关规定，委托工程监理单位对项目建设进行工程监理。 （五）项目建设单位应充分利用学校已有的信息化基础设施和资源，包括但不限于学校中心机房、网上服务大厅、移动服务平台、数据共享交换平台等公共服务平台和资源集约化建设。 原则上，涉及学校审批服务事项的，必须与网上服务大厅平台对接，实现网上统一申请、统一受理、统一反馈和进度流程实时监督；面向全校师生使用的校内信息系统原则上应采用学校统一的身份认证系统；信息化建设项目中包含移动应用的，原则上应统一集成整合到学校移动平台。信息化建设项目若涉及网站建设，应纳入学校网站群统一管理。 （六）项目建设方在使用学校数据中心的数据资源之前，应以正式函件的形式签订安全保证书，承诺保护个人隐私，严格遵循申请的授权用途。必要时，需进行数据脱敏处理。 （七）涉及学校共享数据时，必须与学校数据中心对接；信息系统所需校内共享数据只能通过数据中心获得，原则上不从业务系统直接采集或重复采集。信息系统所产生的学校公共数据应集成至学校数据中心。 （八）项目建设单位要深度参与项目建设，及时提出明确的业务需求，减少项目频繁变更，避免项目建设周期延误、影响实际项目交付成果。确因故不能如期完成的项目，项目建设单位应提前30个工作日以书面形式向网信办提交延期申请。 （九）项目应按照《中华人民共和国政府采购法》等法律法规实施政府采购，各部门加强采购过程监管。 第十六条信息化建设项目原则上不对项目建设内容或技术方案进行调整。确需进行变更的，按以下要求办理： （一）在立项批复额度内，建设目标不变，项目内容变更涉及的资金调整数额（含增加、减少及更换数额绝对值累计）不超过立项批复金额的15%的，可以由项目建设单位提出调整，信息化服务中心审核后，按学校有关管理规定办理，并报网信办备案。 （二）在立项批复额度内，建设目标不变，项目内容变更涉及的资金调整数额（含增加、减少及更换数额绝对值累计）超过立项批复金额的15%的，或变更内容超过已批复项目建设框架的，包括主要建设内容变化、项目建设进度调整等，应在变更实施之前向网信办申请变更审批。网信办在收到项目变更申请后，组织项目变更评审。根据评审意见，报校长办公会或学校党委常委会会议审批。 第十七条项目建设单位对信息化项目建设的质量和投资效益负责。 第四章 项目验收 第十八条原则上，信息化项目验收分两个阶段，即初步验收和竣工验收。运维项目和投资金额未达100万元的验收，不做初步验收，由项目建设单位在试运行期满后申请竣工验收。 （一）初步验收。信息化项目建设内容基本完成后，由项目建设单位会同信息化服务中心组织项目初验。在满足系统安全运行的基本条件下，项目建设单位通过网上服务大厅提交《信息化项目试运行申请表》，经信息化服务中心审批后，相关信息系统方可上线试运行。100万以下的项目试运行期不少于1个月，100万以上的项目试运行期不少于3个月，并满足项目验收要求，方可申请竣工验收。项目建设单位试运行期超过6个月不能申请竣工验收的，应当及时向网信办提出延期验收申请。 （二）竣工验收。建设单位应按要求在网上服务大厅填写《信息化项目验收申报书》并将相关附表材料提交给网信办。包括但不仅限于项目设计方案、实施过程材料、财务报告、安全风险评估（包括非涉密信息系统安全等级保护测评报告，涉密信息系统应提供通过分级保护测评的相关材料）、密码应用安全性评估报告等材料。 网信办在收到建设单位竣工验收申请后，会同信息化服务中心、项目建设单位组织信息化专家对项目进行竣工验收。财政经费信息化项目的竣工验收应由建设单位、使用单位、信息化服务中心、财务处共同验收。其他经费信息化项目的竣工验收应由建设单位、使用单位、信息化服务中心和投资方共同验收。 验收应注重对项目的整体建设水平和应用绩效进行评价，须给出“通过验收”、“验收不通过”的结论。未能通过验收的项目，项目责任单位须按照验收报告进行整改。整改完成后可再次提出验收申请。验收合格的项目按资产管理相关规定办理固定资产报增手续。 （三）项目整体竣工验收合格后1个月内以电子和纸质档案形式，项目建设单位应将《信息化项目验收申报书》及与项目建设有关的主要技术文档资料向网信办移交项目档案。验收材料移交不合格的建设单位，不得再申请新的信息化建设项目。 （四）项目未按时申请验收且未提出延期验收的，或“验收不通过”且多次反复整改不达标的，学校对项目建设单位进行通报或暂停该单位其他项目立项审批。项目建设单位未经竣工验收或者竣工验收不通过的项目，不得交付正式使用。 （五）项目验收材料应按省大数据管理局相关规范进行编制，并报主管部门备案。 第十九条项目建设单位应加强项目知识产权保护工作，项目建设单位应在项目竣工验收前完成计算机软件著作权申请工作。项目建设单位应在采购文件中明确项目成果知识产权归属于学校所有，并在项目合同文件中明确知识产权条款及相关违约条款。其中，合同知识产权条款包括但不限于：项目建设完成后形成的全部项目成果（包括但不限于设计文件、源代码、测试文档等）及相关知识产权。学校有权对本项目最终技术成果进行后续改进，由此产生的新技术成果的知识产权归属于学校。 第五章 项目运行维护 第二十条项目验收合格后，上线运行前，需完成校内备案审批工作。项目建设单位应通过网上服务大厅提交《信息化项目上线审批表》、《海南大学信息系统安全保障承诺书》。经信息化服务中心安全评估，确认满足上线条件后，予以开通。 第二十一条建设单位应在项目上线运行前，提供完善的使用手册并做好相关培训工作。 第二十二条信息化项目的运维实行质量保修制度，承揽项目建设的单位对项目承担保修责任。原则上，整体项目的保修期自项目竣工验收合格之日起不得少于2年，法律、法规另有规定的，从其规定。 第二十三条信息化项目的运行和维护实行项目建设单位负责制。项目建设单位应建立健全信息化系统的培训机制、运维机制和操作规程，确保系统安全、稳定、高效运行。 第二十四条信息化项目实行建设投资和运行维护经费协同联动机制。存在以下情况的，不安排项目建设和运行维护经费，由此造成的后果由项目建设单位承担。 （一）未按要求完成系统对接互通、数据归集和信息共享的，或存在重复采集数据的。 （二）不符合密码应用和网络安全要求，或者存在重大安全隐患的。 （三）系统不正常运行存在僵尸系统，或绩效评价不合格且整改不到位的。 第六章 项目绩效评价和监督管理 第二十五条信息化项目要充分发挥资金效益、强化应用绩效考核，项目在可行性研究报告及初步设计方案时应设置可量化、可考核的绩效目标及绩效指标，严格执行绩效评价管理。 （一）项目建设单位应当在建设期内每年对项目绩效目标及绩效指标执行情况进行自评价，征求有关使用单位和监理单位的意见，形成完整的项目绩效自评价报告报网信办。报告内容包括但不限于建设进度、投资执行情况、系统试运行效果、存在问题及整改措施等。 （二）网信办组织对已通过竣工验收满1年的项目进行年度项目绩效再评价，对存在问题提出整改意见。项目建设单位应及时完成整改工作。 第二十六条各单位（部门）要加强项目规范化管理，提高项目建设效率和质量，防范廉政风险。 （一）项目建设单位应当接受有关部门的监督管理，配合做好绩效评价、跟踪监督、审计等管理工作，如实提供项目有关资料，不得拒绝、隐匿、瞒报。 （二）监督发现项目建设单位违反国家、省及学校有关规定或批复要求的，应限期整改；逾期不整改或者整改后仍不符合要求的，可以对其通报批评、暂停项目建设，暂缓拨付或收回建设资金，直至终止项目。 （三）信息化项目全过程应规范、高效管理，严格纪律，同步接受纪检监察部门的跟踪监督。 第七章 附 则 第二十七条对于未经立项私自建设、违反审批要求、擅自调整建设内容、无合理原因长期拖延不验收等情况的，学校将根据有关规定对有关单位或个人进行追责。 第二十八条本办法中涉及到的相关信息标准和编码以学校发布的相关规定和标准为准。 第二十九条尚未验收的已建、在建信息化项目的验收均参照本办法执行。 本办法由网信办负责解释，自发布之日起实施。 阅读全文 >

第一条为进一步加强对校园网的网络与信息安全管理,根据《中华人民共和国网络安全法》《中华人民共和国计算机信息系统安全保护条例》和教育部《关于加强教育行业网络与信息安全工作的指导意见》等法律、行政法规的规定,结合学校实际情况，制定本办法。 第二条本办法适用于学校校园网及其接入子网和校园网内各应用系统、网站的安全管理。 第三条网络与信息安全管理按照“谁主管谁负责、谁运行谁负责、谁使用谁负责”的原则，明确责任、突出重点、保障安全。 第四条学校成立网络安全和信息化领导小组，全面统筹与决策学校网络安全与信息化重大问题。网络安全和信息化领导小组办公室（简称“网信办”），负责学校网络安全与信息化管理日常事务。 第五条校园网络与信息安全管理实施分级工作责任制。 （一）网络安全和信息化领导小组全面统筹学校的网络与信息安全工作；信息化服务中心负责学校层面的网络安全工作，主要包括网络技术安全、信息保护技术安全、业务系统及其相应的软硬件技术安全等；党委宣传部负责学校层面的信息安全工作。 （二）各单位（部门）负责本单位（部门）网络与信息安全工作。单位（部门）主要负责人为本单位（部门）网络与信息安全第一责任人，信息化联络员同时兼任网络与信息安全联络员。各单位（部门）主要职责包括： 本单位（部门）基础网络设施、服务器以及物联网设施等的安全管理； 本单位（部门）信息系统、各类仿真实验室、智慧教室、数字教室、监控系统等管理平台安全管理； 本单位（部门）网站、LED电子屏等内容发布审查及接入校园网络的各种终端安全管理。 确保本单位（部门）收集的个人信息安全，防止信息泄露、毁损、丢失。 （三）网络与信息安全工作纳入学校安全生产责任制年度考核内容。 第六条校内各单位（部门）和师生个人不得利用校园网络危害国家安全、泄露国家秘密,不得侵犯国家、社会、集体利益和公民 合法权益，不得从事违法犯罪活动。 第七条校内各单位（部门）和师生个人不得利用校园网络制作、复制、查阅和传播下列信息: （一）煽动抗拒、破坏宪法和法律、行政法规实施的； （二）煽动颠覆国家政权,推翻社会主义制度的； （三）煽动分裂国家、破坏国家统一的； （四）煽动民族仇恨、民族歧视,破坏民族团结的； （五）捏造或者歪曲事实,散布谣言,扰乱社会秩序的； （六）宣扬封建迷信、淫秽、色情、赌博、暴力、凶杀、恐怖,教唆犯罪的； （七）侮辱他人或者捏造事实诽谤他人的； （八）损害国家机关信誉的； （九）损害学校公共利益、学校荣誉的； （十）其他违反宪法和法律、行政法规的。 第八条校内各单位（部门）和师生个人不得在校园网域内从事下列危害网络与信息安全的活动： （一）故意制作、传播计算机病毒等破坏性程序； （二）泄露、篡改、毁损、出售、非法收集及向他人提供收集到的师生个人信息； （三）实施或为他人提供相关工具（方法）入侵校园网络、干扰网络正常功能、窃取网络数据等。 第九条校内各单位（部门）和师生个人应按照国家网络实名制规定办理入网实名登记手续,并自觉接受网信部门的安全监督，义务协助查处危害校园网络与信息安全行为。 第十条信息化服务中心负责校园网出入口信道的安全保护管理,应当保护网络和数据中心机房安全，完善重要数据库和系统主要 设备的容灾备份措施。 第十一条建立网络安全与信息化同步机制。单位（部门）申请信息化项目立项时应当同时考虑安全保障措施和经费预算，同步落实网络安全保护措施，否则不予审批。 第十二条信息化服务中心应当掌握接入网络和用户的情况,对在校园网内提供服务的应用系统及网站建立档案,进行备案统计,并按照国家有关规定进行备案。 第十三条网信办负责完善学校网络与信息安全保护管理制度，监督、检查网络安全保护管理以及技术措施的落实情况，提出改进意见,做出详细记录,存档备查。 第十四条信息化服务中心负责校园网电子邮件系统运行监管。对违反学校电子邮件管理制度的用户，可给予警告、停止或取消服务等处置。 第十五条学校建立网络与信息安全投诉、举报平台，及时受理并处理网络信息安全的投诉和举报。 第十六条单位（部门）和师生个人违反网络与信息安全管理规定的行为，经查实对其提出警告乃至停止其网络使用,并在校园网公布；对他人造成经济损失的,由违规人员或单位（部门）根据情况进行 赔偿,关闭其拥有的各类服务帐号；行为恶劣、影响面广、造成他人重大损失的，移交公安、司法部门处理，同时追究相关责任人责任。 第十七条本办法自印发之日起执行，原《海南大学信息化建设与管理暂行办法》（海大办〔2018〕44号）废止。 第十八条本办法由学校网信办负责解释。 阅读全文 >

第一章 总 则 第一条为有效推进校园卡项目建设，提升我校科学化管理水平，提高工作效率，增强学校对校内秩序及各类收费行为的管理，规范校园卡的管理与使用，结合学校实际情况，特制订本办法。 第二条根据学校校园卡建设“统一领导、统一接入、统一认证、统一结算、信息共享”的原则，各单位（部门）应积极配合做好相关工作，提供完整准确的数据信息，充分利用校园卡功能，确保校园卡系统的建设和正常运行。 第三条校园卡由学校统一制作并发放，具有校内身份认证、图书借阅、校园网开户、消费、缴费、门禁管理等功能。校园卡为校内人员的重要证件，未经学校同意，任何单位（部门）不得擅自发放具有身份认证、金融功能的证卡。 第四条校园卡实行一人一卡（包括实体卡和虚拟卡），仅限持卡人本人使用，不得转让或转借他人,实体卡禁止涂画、分拆、弯曲。校园卡账户内金额不计利息，校园卡到期时本人可持有效证件进行销户并办理余额返还手续。 第二章 管理机构及职责 第五条学校成立校园卡建设工作小组，下设校园卡管理服务中心（以下简称“卡务中心”）。工作小组由分管校领导担任组长，成员由校长办公室、财务处、信息化服务中心、人事处、教务处、师生事务保障中心等单位（部门）组成。其主要职责是负责校园卡系统的规划与建设，审定校园卡实施管理相关细则。 第六条卡务中心负责校园卡的制作、授权管理、发放、充值、挂失解挂、销户及校园卡系统结算、维护等日常管理服务工作，制定校园卡实施管理相关细则。 第七条校园卡系统的所有用户、子系统管理部门及商户均应自觉遵守学校校园卡项目建设与管理的有关规章制度。 第三章校园卡的类别 第八条校园卡分为正式卡和临时卡、消费卡三类，正式卡分为教工卡和学生卡。 第九条教工卡适用于学校在岗（含劳务派遣、校聘人员、院（处）聘用人员、离退休人员）的教职员工。学生卡适用于具有海南大学学籍的本科生、研究生、留学生以及经相关部门批准的其他各类学生。临时卡适用于临时来校工作、学习、生活的各类非本校人员。消费卡只提供虚拟卡服务，仅具有消费功能。 第十条校园卡实体卡面上印制持卡人基本信息，并分别授予相应的功能。 第四章 校园卡的日常管理 第十一条校园卡的基本信息由信息生产部门提供。教职工基本信息（工号、姓名、部门等）由人事处提供，学生基本信息（学号、姓名、学院、专业、班级等）按学生类型由教务处、研究生处（研究生工作部）、国际教育学院、继续教育学院等单位（部门）提供。临时卡的信息由各个单位（部门）根据业务需要在线上申请，经审核后开通，消费卡通过扫码自助注册开通。卡务中心应按要求保障卡信息的安全。 第十二条新校园卡具有虚拟卡功能，实行在线交易。为保障系统异常情况时可正常消费，系统启用授信额度，仅限在POS机脱机时使用，教工卡授信额度为50元，学生卡授权额度为30元，临时卡和消费卡无授信额度。脱机消费流水在POS机联机后上传并从账户扣除，余额不足将冻结账户，充值后自动扣还并解冻。为保障持卡人的个人权益，校园卡限制每次消费限额30元，日累计消费限额100元，超出限额消费的应输入卡密码。 第十三条卡功能授权由学校权属管理部门负责，权属管理部门可委托卡务中心进行授权管理。 第十四条教职工离退休或学生毕业离校后，原卡可继续保留，由权属管理部门调整其相应权限。教职工离职、被开除、调离或学生退学、被开除，在办理相关手续时予以注销并回收卡片。 第五章校园卡的收费和结算 第十五条学校相关部门及在校内有经营业务的,可向卡务中心申请使用校园卡系统进行管理和结算，经审核批准后成为校园卡系统的商户。 第十六条使用校园卡系统的商户须开立结算账户。卡务中心根据双方协议定期进行账务清算和核查。卡务中心有责任为商户保密账务，同时有义务根据相关规定，提交商户有关信息和数据。 第十七条首张正式卡由学校免费发放，办理其他类别卡的需收取工本费。因各种原因补卡换卡（实体卡），需缴纳工本费12元。 第十八条商户（不含食堂）接入需与卡务中心签订接入管理协议，并承担相应的接入费用，含设备费用及线路安装费，以实际发生成本计算。 第十九条一般商户每月结算一次，结算周期可由卡务中心与商户协商确定。各结算单位（部门）应指定专人与卡务中心办理结算业务等。 第六章附则 第二十条校园卡系统建设资金由学校统筹提供，各使用单位（部门）和个人应自觉爱护和保管校园卡及相关设施。学校采购的校园卡系统设备，按照固定资产管理制度进行管理，卡务中心负责协助相关部门定期盘点，做到账实相符。 第二十一条为保证系统安全，校园卡系统设备只可用于校园卡业务的管理和使用，不得用于其它用途。严禁接入设备运行与本系统无关的任何程序和文件，信息化服务中心及相关部门应采取切实措施防止系统被入侵。严禁仿冒和伪造、变造校园卡、严禁窃取、篡改、破解卡内数据或密码。 第二十二条校园卡系统设备出现故障，使用单位（部门）应及时通知卡务中心派专业人员进行维修，不得私自处理，否则造成设备损坏的，由使用单位（部门）负责赔偿。凡属故意损坏校园卡系统及设备，影响系统安全运行的行为，一经查实，移交相关部门处理。 第二十三条本办法由信息化服务中心负责解释。 第二十四条本办法自公布之日起执行，原《海南大学校园卡管理暂行办法》（海大办〔2017〕14号）同时废止。 阅读全文 >

第一章 总 则 第一条 为保障学校网站群建设和管理，规范校内各二级网站建设管理，提高各二级网站系统安全性，满足学校教学、科研、管理的需求，根据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国政府信息公开条例》《互联网信息服务管理办法》和《国务院办公厅关于加强政府网站建设和管理工作的意见》，结合学校实际，制定本办法。 第二条 本办法适用范围包括在学校网站群平台上建设的所有网站。 第三条 网站群由海南大学门户网（简称主站)、学校新闻网、各单位（部门）网站（简称子站）组成，使用该服务的网站在形式上各自独立，具有学校独立域名(*.hainanu.edu.cn)和存储空间,是学校互联网信息发布平台。 第四条 网站群按照“集中建站、集中运维、独立管理、制度约束”的原则，通过统一规划、统一标准、统一资源、统一视觉形象识别系统（VIS）、统一平台来实现集约化建设。 第五条 为保证学校整体网络信息安全，各二级单位（部门）所有网站（信息系统除外）原则上全部纳入网站群统一管理，对应纳入网站群统一管理而未纳入的，一律停止接入互联网服务。 第六条 学校各级网站实行登记备案及年审制度，网站的登记备案及年审由信息化服务中心负责，未进行登记备案和年审的网站予以关停。 第二章 管理体制与职责 第七条 学校信息化与网络安全领导小组是网站群建设与管理工作的领导机构。 第八条 校党委宣传部负责组织协调主站版面设计、内容规划、信息发布、舆情监管等工作。 第九条 信息化服务中心为网站群系统运行支撑部门，负责网站群系统平台搭建、硬件环境、技术支持、网络安全、数据备份和网站建设培训等工作。 第十条 网站群各子站建设单位（部门）按照学校统一要求，负责各站点的版面设计、内容规划、信息发布、管理维护等工作。 第十一条 网站建设单位（部门）主管领导为本单位（部门）网站的第一责任人，确保网站信息安全措施落实；单位（部门）分管领导为网站建设和内容安全责任人，负责监督本单位（部门）网站的建设，负责审查、监督本单位（部门）网站的内容安全；网站管理员负责网站建设、运行维护、内容更新等工作。 第十二条 学校网站群提供静态信息的发布，对于用户注册登录、评论留言、数据填报、上传信息等写数据库操作的网站，暂不允许加入网站群。 第十三条 各单位（部门）承担本单位（部门）网站的建设维护、网络信息的监督检查等工作。新建、改版子站应向信息化服务中心提出申请，填写《网站建设（改版）申请表》，同时签署《海南大学网络安全责任书》。 第十四条 对达到僵尸网站标准的网站，学校定期予以清理或者关停。僵尸网站是指年访问量在 1000 人次以下、网站 180 天以上未更新、系统每年录入的信息在 100 条以下、专题网站完成使命、网站无人运维或者运维缺少基本保障的网站。 第三章 内容管理与审核 第十五条 各站点内容管理要求信息主动公开，各网站主管单位（部门）负责审核管理，保证网站发布内容及时准确、安全保密、文责自负。 第十六条 网站信息发布应当依据国家、学校关于网络信息管理的规定执行。信息来源渠道必须合法、正规，不得含有危害国家安全和社会稳定的不良信息。 第十七条 学校主站及子站不得直接发布未经版权确认、未经授权的音乐、影像、图片、文章、书籍等。在学校主站及子站上转载已公布的信息，须依据国家的有关规定执行，并获得有原信息转载授权。在主站和子站上设置的其它网站或网页链接，必须与学校网站群信息宣传定位相符，同时要建立监督管理机制，保证链接的有效性。 第四章 安全与保密 第十八条 建立健全网站群安全管理制度，做好安全保障和备份工作。信息化服务中心负责网站群系统安全保障，定期进行系统和 web 安全漏洞扫描，确保及时修复漏洞保障系统安全。主站及各子站建立应急保障机制，采取有效措施加强网站安全管理，随时检查网页，发现受到攻击等安全问题必须在第一时间进行处理并向信息化服务中心报告。 第十九条 网站建设单位（部门）须遵守国家有关法律法规和学校网络与信息安全管理办法。各单位（部门）作为网站群的使用方，承担如下责任和义务： （一）安排专人负责本部门网站的信息发布，保证内容合法，并对内容信息负全部管理责任； （二）对本部门网站管理帐号和密码负全部安全管理责任，并定期更换密码； （三）须严格执行国家保密法规，严格按照“上网信息不涉密、涉密信息不上网”的原则，严禁发布和推送涉密信息； （四）须严格执行国家个人信息保护的相关规定，网站发布的信息不得泄露个人敏感信息，如确需发布应进行脱敏处理。个人敏感信息主要包括：身份证件号、工号/学号、银行卡号、手机号码、家庭住址、个人生物识别信息等； （五）须建立应急保障预案，采取有效措施加强网站安全管理，定期检查网页，发现受到攻击等安全问题必须在第一时间进行处理并向主管领导及主管部门报告； （六）安排人员参加学校组织的信息技术及安全培训； （七）网站责任人和网站管理员信息发生变更时，应及时向信息化服务中心更新相关信息； （八）在使用中发现问题，及时向信息化服务中心报告和寻求支持。 第五章 监管与评估 第二十条 建立学校网站群运行监控机制，对各站点运行状况、信息维护情况进行监控。 第二十一条 建立学校网站群运行绩效评估指标体系。子站信息更新频度和发布量、在重要栏目中发布信息量、站点访问量等指标，均作为网站绩效评估的参考数据。 第二十二条 对违反有关安全保密规定的，予以通报批评；触犯相关法律法规的，按照有关法律法规予以处理。 第六章 附 则 第二十三条 网站群服务主要用于学校教学、科研、二级单位（部门）管理等方面的 WEB 应用建设，不得用于商业或其他盈利目的，不得用于所申请用途以外的其他用途。对于违反上述各项规定的，信息化服务中心将立即停止网站群服务。 第二十四条 本管理办法由学校信息化服务中心负责解释。 第二十五条 本管理办法自发布之日起执行。 阅读全文 >

第一章 总则  第一条 为规范学校信息化建设工作，充分发挥网络域名在学校网络信息服务中的重要作用，更好地为广大用户服务，维护有关各方的正当权益，参照《中国互联网域名管理办法》，特制定本办法。  第二条 海南大学校园网域名为在中国教育科研网（教育网）注册的 hainanu.edu.cn，所有校内域名均以 hainanu.edu.cn 为顶级域名，由信息化服务中心负责管理和维护。校内各单位（部 门）均可申请使用该域名下的二级域名，校内域名暂时不对个人提供服务。  第二章 域名管理  第三条 学校二级域名格式为 xxx.hainanu.edu.cn， xxx 为根据不同的应用需要所取的名称，名称不超过 10 个字符，且符合国家有关规定。  第四条 任何单位（部门）或个人，未经允许不得在校园网 中架设域名服务器，经批准开通的域名服务器必须接受信息化服务中心管理。  第五条 信息化服务中心负责学校域名服务器的稳定运行， 并监控、记录、制止、查处和防范涉及所管理域名服务器违反有关规章制度的情况，及时发现并尽快排除影响系统安全和正常运行的各种故障和隐患。  第三章 申请注册  第六条 申请注册域名必须满足下列条件：  1、申请域名所对应的服务器应有可以同校园网连通的固定IP地址（信息化服务中心提供的教育网 IP 地址）；  2、域名遵循先注册者先使用原则，申请的域名不得与已注册的域名相冲突。若有冲突，经确认后应变更申请的域名；  3、申请域名所对应的服务器至少包含 1 个可以通过校园网对外提供公共信息的服务，所提供的服务应通过信息化服务中心的审核；  4、域名申请单位（部门）须设置管理人员，对申请域名所对应的服务器进行管理和维护工作。  第七条 域名申请单位（部门）须向信息化服务中心提出申请，经审核后实施。  第四章 域名的变更、中止和撤消  第八条 域名申请单位（部门）需要暂停或重启域名的，须向信息化服务中心申请及备案。  第九条 域名申请单位（部门）需要变更或撤消域名的，须向信息化服务中心提出申请并办理。  第十条 域名在使用期间违反国家、行业或学校相关规定的， 信息化服务中心有权暂停该域名的使用，经整改后重新使用。  第十一条 域名所对应的服务器如果没有运行所申请的服 务，或者所申请的服务中断运行连续超过三个月，且未向信息化服务中心说明具体原因的，信息化服务中心有权暂停该域名的使用，经整改后重新使用。  第五章 其他  第十二条 域名申请单位（部门）应承担因域名拼写导致的相关责任。  第十三条 校园网用户申请非 hainanu.edu.cn 域名的，需经学校批准同意，同时在信息化服务中心备案并接受管理。  第十四条 本办法由信息化服务中心负责解释并实施。  第十五条 本办法自公布之日起执行。 阅读全文 >

海南师范大学信息安全管理体系职责 发布者： 发布时间：2021-11-15来源： 海南师范大学信息安全管理体系职责   第一章总则 目的 本制度的目的是为规范信息安全管理机构职责，明确海南师范大学在安全管理机构管理方面的工作任务和职责范围，明确海南师范大学安全组织机构的内部机构设置、岗位设置、安全职责划分、授权和审批、沟通与合作、审核和检查等方面的关系和作用，特制定本规范。 适用范围 本规定适用于海南师范大学建立信息安全机构，内部机构设置、岗位设置、安全职责划分、授权和审批、沟通与合作、审核和检查等方面的管理工作。 第二章安全管理机构 信息安全领导小组 1、信息安全领导小组是信息安全的最高决策机构，主要工作职责是批准海南师范大学信息安全总体策略规划、管理规范和技术标准； 2、确定海南师范大学各部门信息安全工作职责，指导、监督信息安全工作； 3、信息安全领导小组组长由海南师范大学主管领导担任，信息安全领导小组成员由各部门负责人组成； 4、信息安全领导小组的成立由海南师范大学正式发文，并说明信息安全领导小组工作职责和各成员工作职责； 安全管理机构职责 信息网络与数据中心为安全管理机构，其工作任务和安全职责规定如下： 1、工作任务 （1）贯彻落实国家和省有关水利建设的政策法规和技术规范； （2）承担信息系统建设、管理、运行维护等工作； （3）承担上级主管部门交办的其他工作。 2、安全职责 （1）信息安全管理工作 负责协调和规范信息安全工作； 负责信息安全工作进行具体安排、落实； 组织对重大的信息安全工作制度和技术操作策略进行审查，拟订信息安全总体策略规划，并执行； 负责协调、督促相关单位的信息安全工作，负责信息系统工程建设中的安全规划，安全措施的执行； 组织信息安全工作检查，分析信息安全总体状况，提出分析报告和安全风险的防范对策； 及时向上级部门、有关单位报告信息安全事件。 跟踪先进的信息安全技术，为信息安全知识的培训工作提供技术支持。 （2）信息安全应急处置工作 制定信息系统网络与信息系统的安全应急策略及应急预案； 决定相应应急预案的启动，负责现场指挥，并组织相关人员排除故障，恢复系统； 每年组织对信息安全应急策略和应急预案进行测试和演练。 第三章安全岗位职责 安全岗位设置 信息安全负责人岗位设置按信息系统安全职能划分为信息安全主管、安全管理员、网络管理员、系统管理员、物理安全管理员。 各信息安全岗位设置详见《安全岗位职责分配表》。 信息安全主管 信息安全主管由信息网络与数据中心主管领导担任。其安全职责包括： （1）负责海南师范大学整体信息安全管理工作； （2）负责海南师范大学信息安全工作的总体方针和安全策略规划； （3）负责海南师范大学人员配备规划和安全管理； （4）负责定期组织相关部门和相关人员对安全管理体系的合理性和实用性进行审定，组织开展对存在不足或需要改进的安全管理制度进行修订工作。 安全管理员 安全管理员安全职责包括： （1）负责信息安全工作的具体实施和有关信息安全问题的整体协调处理，根据信息安全事件的处理情况和结果，向信息安全主管提交信息安全事件处置报告； （2）负责定期对网络系统进行漏洞扫描，对发现的网络系统安全漏洞提出修补要求； （3）负责定期对主机系统进行漏洞扫描，对发现的主机系统安全漏洞提出修补要求； （4）定期进行安全检查，检查物理安全、网络安全、系统安全和数据安全及备份恢复相关安全措施和巡检落实情况； （5）指导和监督其他安全负责人相关安全措施实施工作，为他们的安全改进提供建议； （6）负责涉及信息安全和信息安全主管核准的其它事务。 网络管理员 网络管理员安全职责包括： （1）负责网络安全管理工作； （2）负责整体网络架构规划、网络策略制定、网络安全审计、网络设备防护等安全管理工作； （3）负责网络入侵防范和网络恶意代码防范措施和管理； （4）负责网络运行维护人员变更管理工作； （5）指导和监督网络运行维护人员相关安全措施实施工作，为他们的安全改进提供建议； （6）负责网络安全管理工作的其它事务。 系统管理员 系统管理员安全职责包括： （1）负责主机安全和应用安全管理工作； （2）负责落实主机操作系统、数据库管理系统和应用系统安全措施实施管理工作； （3）负责主机系统和应用系统运行维护人员变更管理工作； （4）指导和监督主机系统和应用系统运行维护人员相关安全措施实施工作，为他们的安全改进提供建议； （5）负责主机系统和应用系统安全管理工作的其它事务。 物理安全管理员 物理安全管理员职责包括： （1）负责机房和辅助机房（UPS机房、备份机房等）具体安全管理工作； （2）负责机房物理访问控制、防盗窃和防破坏、防雷、防火、防静电、温湿度控制、电力供应和电磁防护的管理工作； （3）负责对机房消防、供电、空调、温湿度控制等设施维护和定期巡检管理工作； （4）负责机房值班人员、机房环境和设备设施运行维护人员变更管理工作； （5）指导和监督机房值班人员、机房环境和设备设施运行维护人员相关安全措施实施工作，为他们的安全改进提供建议； （6）负责机房安全管理工作的其它事务。 第四章授权和审批 为加强海南师范大学信息系统的安全管理工作，规范明确各部门和各信息安全负责人授权与审批方面的工作，按照审批程序执行审批过程，对重要活动建立逐级审批制度； 安全管理负责人负责每年组织相关人员审查审批事项，及时更新需授权和审批的项目、审批部门和审批人等信息； 各事项审批过程通过审批表单进行记录，审批事项执行完成后，由各安全责任人提交至安全管理负责人统一保管。 物理安全的审批 1、人员出入机房的审批 内部人员出入机房，只需在值班处进行登记，就可以进入机房； 外部系统运维人员出入机房，需要填写《机房人员出入申请审批表》，由系统安全负责人确认后，提交物理安全负责人审批； 来访参观人员出入机房，需要出具单位工作联络函，并且填写《机房人员出入申请审批表》，提交信息安全主管审批； 审批同意后，将申请审批表提交至值班人员处备案； 值班人员每月定期将备案文档提交至保密管理员存档； 人员出入机房具体管理工作详见机房安全相关的管理制度。 2、设备出入机房的审批 信息系统新增设备需要进入机房时，由设备管理人员填写《机房设备出入申请审批表》，提交物理安全负责人审批； 机房内设备需要带离机房时，由设备管理人员填写《机房设备出入申请审批表》，提交信息安全主管审批。 信息系统变更的审批 信息系统变更根据其变更的类型、涉及范围和变更大小，组成由XX、运行维护人员和系统承建商，以及行业专家相关人员参与的变更控制委员会，对信息系统变更进行审批，具体管理工作详见相关的变更管理制度。 第五章沟通与合作 加强各类人员之间、内部各部门之间的合作与沟通，定期召开协调会议，共同协作处理信息安全问题，形成会议记录； 加强与海南省公安厅、电信公司、联通公司等安全组织的合作与沟通，建立上述单位联系列表； 加强与供应商、业界专家、专业的安全公司、安全组织的合作与沟通，建立上述单位联系列表； 建立外联单位联系列表，包括外联单位名称、联系人和联系方式、合作内容等信息。 聘请信息安全专家团队提供常年的安全顾问服务，指导信息安全的规划与建设； 信息网络与数据中心部门负责组织制定和更新相关联系信息； 各沟通与合作单位及人员信息详见《外联单位联系表》。 第六章审核和检查 各系统安全负责人负责定期对管理范围内的信息系统组件进行检查，检查内容包括物理环境和设备设施巡检、系统日常运行巡检、系统漏洞扫描和数据备份等情况； 安全管理负责人负责每季度进行安全审核，审核安全检查工作是否按照相关安全管理规定执行。并对上述工作进行抽样检查，发现执行不到位的工作，督促相关责任人进行相应的整改。 安全管理负责人负责每年组织内部人员进行全面安全检查，即进行信息安全等级保护自查工作，检查内容包括现有安全技术措施的有效性、安全配置与安全策略的一致性、安全管理制度的执行情况等； 安全管理负责人制定安全检查表格每年实施安全检查，汇总安全检查数据，形成安全检查报告，并对安全检查结果进行通报； 为了贯彻落实国家信息安全等级保护相关管理规定，实现信息系统安全检查的独立性和公正性，定期聘请第三方测评机构对信息系统进行测评，三级信息系统每年进行一次，二级信息系统每两年进行一次，发现不符合相应等级保护标准要求及时整改； 第三方测评机构应选择具备公安部信息安全等级保护评估颁发的“信息安全等级保护测评机构能力评估合格证书 ”和“信息安全等级保护测评机构推荐证书”； 信息安全等级保护测评工作的管理由安全管理负责人负责。 第七章附则 本制度由信息网络与数据中心负责解释并督促执行。 本制度自印发之日起实行。 阅读全文 >

海南师范大学恶意代码防范管理制度 发布者： 发布时间：2021-11-12来源： 海南师范大学恶意代码防范管理制度 第一章总则 第一条目的 为加强对计算机病毒、黑客软件的预防和治理，保护计算机信息系统安全，保障计算机的应用环境安全，最大限度减少此类损失，特制定本制度 第二条适用范围 本制度适用于海南师范大学所有计算机网络和设备、服务器、工作站和员工办公终端计算机。 第三条职责 信息网络与数据中心部门负责对计算机病毒防治工作，主要职责如下： 1. 负责制定防病毒系统的整体规划和安全策略； 2. 负责制定防病毒系统的升级计划，并有效实施； 3. 负责信息系统的监控和预警工作； 4. 负责防病毒系统的日常管理和维护，主要工作包括：防病毒系统的安装、调试、检测、监控、维护、版本升级和病毒代码库更新等。 5. 每月根据计算机防病毒系统运行情况编写计算机病毒与恶意代码防护报告。 第二章制定与实施 第四条整体规划 1. 在网络边界处部署防毒墙，对恶意代码进行检测和清除； 2. 在所有服务器、工作站和办公终端计算机部署网络版防病毒软件，对恶意代码进行检测和清除； 3. 因特殊原因，无法安装防病毒软件的服务器、工作中或员工办公终端计算机，须记录相关原因。 4. 防毒墙和防病毒软件病毒库应采用不同厂家产品； 第五条安全策略 1. 防毒墙和防病毒软件连接互联网，实时更新病毒库，因实际网络运行环境限制，不能通过互联网升级的，由信息网络与数据中心管理人员每周进行离线升级； 2. 服务器、工作站和办公终端计算机病毒库定时自动升级，统一由病毒管理平台下发升级策略，连接病毒管理平台升级； 3. 通过病毒管理平台统一设定安全策略，工作站和员工办公终端计算机每周进行一次快速扫描，每月进行一次全盘扫描； 4. 服务器通过人工方式进行恶意代码扫描，由系统负责人每周进行一次定期快速扫描，每月进行一次全盘扫描。 第六条安全管理 1. 单位内部所有服务器、工作中和办公终端计算机统一安装防病毒软件系统，安装后不得自行关闭或卸载，对擅自卸载或不按规定使用防病毒软件的人员，如造成损失，应承担相应的责任。 2. 移动办公用户应安装由单位统一提供的防病毒客户端软件，并确保防病毒客户端软件开启并可用，并保证病毒库在计算机联网后立即更新。 3. 在读取移动存储设备上的数据以及网络上接收文件或邮件之前，先进行病毒检查，对外来计算机或存储设备接入网络系统之前也应进行病毒检查；当在软盘、光盘上发现病毒后，应在其包装上醒目注明，不得在计算机上再使用，避免计算机病毒的传播。 4. 计算机操作使用人员不得有下列行为： a) 任何单位和个人不得制作计算机病毒； b) 任何单位和个人不得故意输入计算机病毒，危害计算机信息系统安全； c) 何单位和个人不得向他人提供含有计算机病毒的文件、软件、媒体等介质。 5. 除打印机可以共享外，服务器与工作站的硬盘尽量不设置为共享，文件目录一般已进行网络共享。特殊情况需要进行目录共享的必须设定密码，一旦使用完毕后必须立即关闭共享，或加强对该机器的病毒检查。 6. 对购置、维修、借入的计算机及其他网络存储设备，应及时进行病毒检测； 7. 对关键部门的关键数据要经常备份，且一定存放，以备数据破坏后恢复。 第七条安全教育和报告 1. 指定专人对网络和主机进行恶意代码检测并保存检测记录； 2. 所有用户如发现病毒，在防病毒软件无法自行处理的情况下，应立即上报信息网络与数据中心，安全管理员应断开病毒源计算机，并迅速检测、清除计算机及网络系统中的计算机病毒，对处理结果备有检测、清除记录。 3. 信息网络与数据中心每月根据计算机防病毒系统运行情况，编写计算机病毒与恶意代码防护报告。 4. 信息网络与数据中心每月检查信息系统内各种产品的恶意代码库的升级情况并进行记录，对主机防病毒产品、防病毒网关上截获的危险病毒或恶意代码进行及时分析处理，并形成书面的报表和总结汇报。 5. 因计算机病毒引起的计算机及网络系统瘫痪、程序和数据严重破坏等重大事故应及时报告有关部门，并按相关的应急预案管理制度处理。 第三章病毒响应时限 第八条所有病毒防护的负责部门或人员应严格遵守病毒响应时限的要求。如无法在病毒响应时限内完成对病毒的响应工作，应及时上报信息网络与数据中心进行协调解决并承担相应责任。 第九条办公终端计算机被病毒感染，应在发现后及时断网，进行杀毒处理，并保留防病毒系统记录或技术支持电话记录。如1小时内未自行解决，则需立即上报信息网络与数据中心。 第十条服务器、监控平台等业务系统设备被病毒感染，应在发现后及时进行处理，并保留防病毒系统记录或技术支持电话记录。如到现场后30分钟内未解决，则需立即上报信息网络与数据中心。如果该设备会对其他生产设备产生大于设备断网产生的影响时，应立刻切断该设备与网络的连接。 阅读全文 >

海南师范大学信息安全产品采购、使用管理制度 发布者： 发布时间：2021-11-11来源： 海南师范大学信息安全产品采购、使用管理制度 1总则 为了推动信息系统管理的规范化、程序化、制度化,加强信息安全产品的管理,规范安全设备购置、管理、应用、维护、维修及报废等方面的工作,保护信息系统安全,制定本制度。 2设备采购 2.1网络安全设备选型应根据国家有关规定选择经过国家有关权威部门的测评或认证的产品。 2.2所有安全设备后均需进行严格检测,凡购回的设备均应在测试环境下经过连续72小时以上的单机运行测试和联机48小时的应用系统兼容性运行测试。严禁将未经测试验收或验收不合格的设备交付使用。 2.3通过上述测试后,设备才能进入试运行阶段。试运行时间的长短可根据需要自行确定。通过试运行的设备,才能投入生产系统,正式运行。 3设备管理 3.1每台(套)安全设备的使用均应指定专人负责,均应设定严格的管理员身份鉴别和访问控制,严禁盗用帐号和密码,超越管理权限,非法操作安全设备。 3.2安全设备的口令不得少于10位,须使用包含大小写字母、数字等在内的不易猜测的强口令。 3.3安全设备的网络配置应遵循统一的规划和分配,相关网络配置应备案。 3.4安全设备的安全策略应进行统一管理,安全策略固化后的变更应经过信息中心审核批准,并及时更新策略配置库。 3.5关键的安全设备须有备机备件,由信息网络与数据中心统一进行保管、分发和替换。 3.6加强安全设备外联控制,严禁擅自接入国际互联网或其他公众信息网络。 3.7因工作需要,设备需携带出工作环境时,应递交申请并由相关责任人签字并留档。 3.8存储介质(含磁盘、磁带、光盘和优盘)的管理应遵循: 如因工作原因需使用外来介质,应首先进行病毒检查。 存储介质上粘贴统一标识,注明编号、部门、责任人。 存储介质如有损坏或其他原因更换下来的,需交回信息网络与数据中心处理。 3.9安全设备的使用管理: 安全设备每月详细检查一次,记录并分析相关日志,对可疑行力及时进行处理: 关键安全设备每天须进行日常巡检: 当设备的配置更改时,应做好配置的备份工作; 安全设备出现故障要立即报告主管领导,并及时通知系统集成商或有关单位进行故障排除,处理过程要有文档记录; 安全设备操作,应填写操作记录和技术文档。 3.10设备相应责任人负责: 建立详细的运行日志记录、备份制度。 负责设备的使用登记,登记内容应包括运行起止时间、累计运行时数及运行状况等。 负责进行设备的日常清洗及定期保养维护,做好维护记录,保证设备处于最佳状态。 一旦设备出现故障,责任人应立即如实填写故障报告,通知有关人员理。 设备责任人应保证设备在其出厂标称的使用环境(如温度、湿度、电压、电磁干扰、粉尘度等)下工作。 3.11及时关注下发的各类信息安全通告,关注最新的病毒防治信息和提示,根据要求调节相应设备参数配置。 3.12安全管理员应界定重要设备,对重要设备的配置技术文档应考虑双份以上的备份。 阅读全文 >

海南师范大学信息安全总体方针 发布者： 发布时间：2021-11-10来源： 海南师范大学信息安全总体方针 总则 第一条以党的十八大精神为指导，按照“依法管网、以人管网、技术管网”的总体要求，加强和规范海南师范大学信息系统安全工作，提高信息系统整体安全防护水平，有效应对当前国内外各种网络安全威胁，有效防范信息安全事件（事故）的发生，切实维护国家安全、公共安全和基础设施安全，制订本制度。 第二条 本制度的目的是为海南师范大学信息系统安全管理提供一个总体的策略性架构文件，该文件将指导海南师范大学信息系统的安全管理体系的建立。信息安全管理体系的建立是为海南师范大学信息系统的安全管理工作提供参照，以实现统一的安全策略管理，提高整体的网络与信息安全管理水平，确保安全策略落实到位，保障网络与信息系统安全和稳定运行。 第三条 本制度适用于海南师范大学信息系统资产的管理、信息技术人员安全的管理、信息系统安全策略的制定、安全方案的规划、安全建设的实施和安全管理措施的选择。 第四条 本制度所称信息系统指由海南师范大学负责管控的信息系统。 第五条 引用标准及参考文件: 本文档的编制参照了以下国家规范和标准： 《中华人民共和国计算机信息系统安全保护条例》（国务院令第147号） 《信息安全等级保护管理办法》（公通字[2007]43号) 《关于开展信息安全等级保护安全建设整改工作的指导意见》（公信安[2009]1429号） 《信息技术安全技术信息安全管理体系要求》（GB/T22080-2008 / ISO/IEC27001:2005） 《信息安全技术信息系统安全等级保护基本要求》（GB/T 22239-2008） 《信息安全技术 信息系统安全管理要求》（GB/T 20269—2006） 方针、目标和原则 第六条海南师范大学信息系统安全坚持“等级保护，积极预防，管理和技术并重，综合防范”的总体方针，依照“分级、分区、分域”总体安全防护策略，执行信息系统安全等级保护制度。 第七条信息安全工作总体目标是确保信息系统持续、稳定、可靠运行和确保信息内容的机密性、完整性、可用性，实现信息系统安全达到“进不来，拿不走，看不懂，改不了，跑不了”的目标，防止因信息系统本身故障导致信息系统不能正常使用和系统崩溃，抵御黑客、病毒、恶意代码等对信息系统发起的各类攻击和破坏，防止信息内容及数据丢失和失密，防止有害信息在网上传播。 第八条 信息安全工作总体原则 1.基于安全需求原则 组织机构应根据其信息系统担负的使命，积累的信息资产的重要性，可能受到的威胁及面临的风险分析安全需求，按照信息系统等级保护要求确定相应的信息系统安全保护等级，遵从相应等级的规范要求，从全局上恰当地平衡安全投入与效果； 2.主要领导负责原则 主要领导应确立其组织统一的信息安全保障的宗旨和政策，负责提高员工的安全意识，组织有效安全保障队伍，调动并优化配置必要的资源，协调安全管理工作与各部门工作的关系，并确保其落实、有效； 3.全员参与原则 信息系统所有相关人员应普遍参与信息系统的安全管理，并与相关方面协同、协调，共同保障信息系统安全； 4.系统方法原则 按照系统工程的要求，识别和理解信息安全保障相互关联的层面和过程，采用管理和技术结合的方法，提高实现安全保障的目标的有效性和效率； 5.持续改进原则 安全管理是一种动态反馈过程，贯穿整个安全管理的生存周期，随着安全需求和系统脆弱性的时空分布变化，威胁程度的提高，系统环境的变化以及对系统安全认识的深化等，应及时地将现有的安全策略、风险接受程度和保护措施进行复查、修改、调整以至提升安全管理等级，维护和持续改进信息安全管理体系的有效性； 6.依法管理原则 信息安全管理工作主要体现为管理行为，应保证信息系统安全管理主体合法、管理行为合法、管理内容合法、管理程序合法。对安全事件的处理，应由授权者适时发布准确一致的有关信息，避免带来不良的社会影响； 7.分权和授权原则 对特定职能或责任领域的管理功能实施分离、独立审计等实行分权，避免权力过分集中所带来的隐患，以减小未授权的修改或滥用系统资源的机会。任何实体（如用户、管理员、进程、应用或系统）仅享有该实体需要完成其任务所必需的权限，不应享有任何多余权限； 8.选用成熟技术原则 成熟的技术具有较好的可靠性和稳定性，采用新技术时要重视其成熟的程度，并应首先局部试点然后逐步推广，以减少或避免可能出现的失误； 9.分级保护原则 按等级划分标准确定信息系统的安全保护等级，实行分级保护；对多个子系统构成的大型信息系统，确定系统的基本安全保护等级，并根据实际安全需求，分别确定各子系统的安全保护等级，实行多级安全保护； 10.管理与技术并重原则 坚持积极防御和综合防范，全面提高信息系统安全防护能力，立足国情，采用管理与技术相结合，管理科学性和技术前瞻性结合的方法，保障信息系统的安全性达到所要求的目标； 11.信息安全防护“三同步”原则 在规划和建设信息系统时，信息系统安全防护措施应按照“三同步”原则，与信息系统建设同步规划、同步建设、同步投入运行。 总体安全策略 第十条 物理安全策略 机房和办公室必须选择在经过防震、防火、防雷击验收合格的办公大楼内部，机房的窗户需要有防雨水渗透的能力； 机房的位置不能是大楼的地下室、一楼房间或是大楼的顶层，机房的正上方不能是用水量大的房间； 机房出入口必须有专人值守，对工作人员进行登记； 进入机房的来访人员应经过申请和审批流程，由安全管理员或机房管理员全程陪同； 机房内部必须划分重要设备区、一般设备区、过渡区等区域，对不同区域分别进行管理，区域与区域之间进行物理隔离； 机房内部必须部署基础防护系统和设备，如电子门禁系统、监控报警系统、防雷设备、消防灭火系统、防水监控系统、温湿度控制系统、UPS供电系统和电磁屏蔽设备。 第十一条网络安全策略 网络中必须部署路由器、交换机、防火墙、防毒墙、IPS设备、IDS设备和网络管理、安全管理、漏洞扫描、网络版防病毒、补丁分发等系统 网络设备除接入交换机之外，必须进行双机热备，除接入交换机链接工作终端的线路外，其他线路必须进行双线冗余； 整体网络不能出现流量瓶颈，保证带宽充足； 根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段； 划分网络带宽，突出优先级； 应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要网段与其他网段之间采取可靠的技术隔离手段； 网络边界处必须部署防火墙、IPS等安全设备进行安全防范； 能够对非授权设备私自联到内部网络的行为进行检查，准确定出位置，并对其进行有效阻断； 能够对内部网络用户私自联到外部网络的行为进行检查，准确定出位置，并对其进行有效阻断。 网络设备必须开启日志审计功能； 对登录网络设备的用户进行身份鉴别； 对网络设备的管理员登录地址进行限制； 网络设备用户的标识应唯一； 主要网络设备应对同一用户选择两种或两种以上组合的鉴别技术来进行身份鉴别； 身份鉴别信息应具有不易被冒用的特点，口令应有复杂度要求并定期更换； 具有登录失败处理功能，可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施； 对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听； 实现设备特权用户的权限分离。 第十二条主机安全策略 登录操作系统和数据库系统的用户必须进行身份标识和鉴别； 操作系统和数据库系统管理用户身份标识不能出现同名用户，口令应有复杂度要求并定期更换； 操作系统和数据库系统必须启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施； 对服务器进行远程管理时，必须采取必要措施，防止鉴别信息在网络传输过程中被窃听； 为操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有唯一性，不能出重名情况； 根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权限； 实现操作系统和数据库系统特权用户的权限分离； 严格限制默认账户的访问权限，重命名系统默认账户，修改这些账户的默认口令； 操作系统和数据库必须及时删除多余的、过期的账户，避免共享账户的存在； 主机必须开启日志审计功能； 主机必须安装防恶意代码产品，并进行统一管理； 操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序，并通过设置升级服务器等方式保持系统补丁及时得到更新； 对重要服务器进行监视，包括监视服务器的CPU、硬盘、内存、网络等资源的使用情况； 第十三条应用安全策略 应用系统必须在登录时要求输入用户名和口令； 登录应用系统必须进行两种或两种以上的复合身份验证（如用户名口令+Ukey或用户名口令+IP与MAC地址绑定方式）； 应用系统中设置的用户都必须是唯一用户，不能名称相同，且不能出现多人使用同一账户的情况； 应用系统必须开启登录失败处理功能； 应用系统必须开启登录连接超时自动退出等措施； 应用系统必须开启身份鉴别、用户身份标识唯一性检查、用户身份鉴别信息复杂度检查以及登录失败处理功能，并根据安全策略配置相关参数； 应用系统必须开启日志审计功能； 应用系统存储用户信息的设备在销毁、修理或转其他用途时，必须清楚内部存储的信息； 采用密码技术保证通信过程中数据的完整性； 在通信双方建立连接之前，应用系统应利用密码技术进行会话初始化验证； 能够对单个账户的多重并发会话进行限制； 第十四条数据安全策略 业务应用数据和设备配置文档都必须进行备份，以便发生问题时进行恢复； 数据备份至其他设备上时，必须使用专门的备份通道，保证数据传输的完整性； 数据本机备份时应检测其完整性； 数据备份时必须使用专业的备份设备和工具，在数据传输和数据存储时，都必须是加密传输和存储； 数据进行异地备份时，必须利用通信网络将关键数据定时批量传送至备用场地。 附则 第十五条本制度由海南师范大学信息网络与数据中心单位负责解释并督促执行。 第十六条本制度自印发之日起执行。 阅读全文 >

海南师范大学网络安全管理制度 发布者： 发布时间：2021-11-04来源： 海南师范大学网络安全管理制度 第一章总则 第一条目的 为切实加强海南师范大学网络安全管理工作,规范数据中心机房内网络设备及安全设备的日常操作与运维管理，明确网络设备与安全设备的运维与管理人员的工作职责，保障网络及安全系统的安全，根据《中华人民共和国计算机信息系统安全保护条例》、《信息安全技术信息系统安全等级保护基本要求》、《计算机信息网络国际联网安全保护管理办法》、《中华人民共和国计算机信息网络国际联网管理暂行规定》及其他有关法律法规的规定，特制定本制度。 第二条职责 信息网络与数据中心主管网络安全工作，负责网络安全管理的具体事务，对网络安全管理工作应履行下列职责: 1．传达并执行上级有关网络安全的条例、法规，并制止有关违反网络安全条例、法规的行为。 2．网络安全负责人由信息网络与数据中心网络管理方面负责人担任； 3.指定专门的人员对网络进行管理，划分网络管理员和安全审计员角色，明确各个角色的权限、责任和风险，权限设定遵循最小授权原则 4．购置和配备应用与网络安全管理的软、硬件（如防火墙、IDS、统一安全网关、路由器、杀毒软件等）。 5. 负责海南师范大学的网络安全和信息安全工作，包括网络安全的技术支持、信息发布的审核、重要信息的保存和备份以及不良信息的举报和协助查处工作。 第二章网络设备维护管理 第三条对所有网络设备的购置、使用和报废必须进行详细的登记，建立设备管理台账。 第四条严密监控网络的运行，注意检查网络设备和线路的运行状况。发现影响较大的网络故障时，必须及时向学校领导报告。 第五条必须与网络运营商建立起联系制度，建立确保线路运行的保障体系。 第六条定期维护网络设备（路由器，交换机等），包括这些设备的设置及升级，及时发现和排除各种软硬件故障。 第七条网络设备包括路由器、交换机、网络管理工作站、集线器、同异步调制解调器、通信线路和相关通信设备等，应放置在专用机柜内，放置环境要符合有关规定。 第八条严格执行计算机设备防火、防电、防雷规定，确保网络设备的安全。 第九条对路由器、交换机等网络设备，应定期除尘清洁保养，并进行记录，以保证设备正常运行；对新增设备要在第一时间备案。 第三章安全设备维护管理 第十条对所有安全设备的购置、使用和报废必须进行详细的登记，建立设备管理台账。 第十一条安全设备出现故障时，由安全员和安全设备供应商协调解决。 第十二条建立防火墙访问策略或控制列表，并对策略进行解释与分析，每月检查有效性是否合理； 第十三条严密监控安全设备的运行，注意检查安全设备的运行日志以及监控设备运行状态。发现影响较大的网络故障时，必须及时向学校领导报告。 第十四条定期维护安全设备（防火墙，IDS等），包括这些设备的设置及升级，及时发现和排除各种软硬件故障。 第十五条安全设备包括防火墙、IDS、统一安全网关、安全隔离网闸等，应放置在专用机柜内，放置环境要符合有关规定。 第十六条严格执行计算机设备防火、防电、防雷规定，确保安全设备的安全。 第十七条对防火墙、IDS等网络设备，应定期除尘清洁保养，并进行记录，以保证设备正常运行；对新增设备要第一时间备案。 第四章网络及安全设备运行管理 第十八条加强网络设备、安全设备、网络线路的保障工作，加强核心网络设备、核心安全设备及核心线路的备份工作，确保网络正常运行。 第十九条至少每月对网络运行日志、网络监控记录和报警信息进行分析和处理。 第二十条IP地址管理。网络管理员应根据IP地址规划来分配各单位的IP地址，同时要有文档标识已规划IP地址和空余IP地址；任何个人不得私自更改自己机器上的IP地址，如确实需要更改，由网络管理员重新分配IP地址并备案。 第二十一条网络设备用户名/密码应符合以下要求；（1）根据需要设置用户，删除默认用户或修改默认用户的密码。（2）密码长度至少为8位，由数字、字母、符号组成并进行无规则混排。（3）至少每6个月对密码进行更改，且更新的密码至少5次内不能重复。（4）如果网络设备密码长度不支持8位或其他复杂度要求，密码应使用所支持的最长长度并适当缩小更换周期。 第二十二条网络设备及安全设备的口令指定网络管理员及安全管理员分别保管。 第二十三条网络拓扑管理。做好网络系统的配置工作，随时了解网络拓扑结构和交换的信息，绘制网络拓扑结构图，应包括网络结构的划分、设备型号、设备编号、设备IP地址等，使整个网络系统处于最佳运行状态，注重网络安全管理； 第二十四条网络管理员每个月对网络设备、防火墙、漏洞扫描设备、入侵防御设备等安全设备的升级与补丁情况进行检查并更新，在执行更新操作前，应做好设备配置的备份，在得到领导审批后方可实施，并详细记录操作过程； 第二十五条外单位连接管理。涉及与外单位联网，应制定详细的资料说明备案；需要接入内部网络时，必须通过相关的安全管理措施，报信息网络与数据中心审批后，方可接入和接出。 第二十六条外部互联网管理规定。内部网络不得与互联网进行物理连接；不得将涉密信息在互联网上发布，不得在互联网上发布非法信息；在互联网上下载的文件需经过检测后方可使用，不得下载带有非法内容的文件、图片等。 第二十七条网络使用管理。尽量减少使用网络传送非业务需要的有关内容，尽量降低网络流量；禁止涉密文件在网上共享。 第二十八条依据相关的网络维护和操作手册对网络进行维护，对操作时间、操作人员、操作内容（包括重要的日常操作、运行维护记录、参数的设置和修改等）进行记录。 第五章网络漏洞管理 第二十九条至少每3个月使用专用漏洞扫描工具对网络系统进行漏洞扫描，对网络存在的漏洞、严重级别和结果处理等进行记录。 第三十条实施漏洞扫描或漏洞修补前，对可能的风险进行评估和充分准备，并做好数据备份和回退方案。 第三十一条漏洞扫描或漏洞修补后应进行验证测试，以保证网络系统的正常运行。 阅读全文 >

（2021年8月20日第十三届全国人民代表大会常务委员会第三十次会议通过） 目 录 第一章 总 则 第二章 个人信息处理规则 第一节 一般规定 第二节 敏感个人信息的处理规则 第三节 国家机关处理个人信息的特别规定 第三章 个人信息跨境提供的规则 第四章 个人在个人信息处理活动中的权利 第五章 个人信息处理者的义务 第六章 履行个人信息保护职责的部门 第七章 法律责任 第八章 附 则 第一章 总 则 第一条 为了保护个人信息权益，规范个人信息处理活动，促进个人信息合理利用，根据宪法，制定本法。 第二条 自然人的个人信息受法律保护，任何组织、个人不得侵害自然人的个人信息权益。 第三条 在中华人民共和国境内处理自然人个人信息的活动，适用本法。 在中华人民共和国境外处理中华人民共和国境内自然人个人信息的活动，有下列情形之一的，也适用本法： （一）以向境内自然人提供产品或者服务为目的； （二）分析、评估境内自然人的行为； （三）法律、行政法规规定的其他情形。 第四条 个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。 个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等。 第五条 处理个人信息应当遵循合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息。 第六条 处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。 收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。 第七条 处理个人信息应当遵循公开、透明原则，公开个人信息处理规则，明示处理的目的、方式和范围。 第八条 处理个人信息应当保证个人信息的质量，避免因个人信息不准确、不完整对个人权益造成不利影响。 第九条 个人信息处理者应当对其个人信息处理活动负责，并采取必要措施保障所处理的个人信息的安全。 第十条 任何组织、个人不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息；不得从事危害国家安全、公共利益的个人信息处理活动。 第十一条 国家建立健全个人信息保护制度，预防和惩治侵害个人信息权益的行为，加强个人信息保护宣传教育，推动形成政府、企业、相关社会组织、公众共同参与个人信息保护的良好环境。 第十二条 国家积极参与个人信息保护国际规则的制定，促进个人信息保护方面的国际交流与合作，推动与其他国家、地区、国际组织之间的个人信息保护规则、标准等互认。 第二章 个人信息处理规则 第一节 一般规定 第十三条 符合下列情形之一的，个人信息处理者方可处理个人信息： （一）取得个人的同意； （二）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需； （三）为履行法定职责或者法定义务所必需； （四）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需； （五）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息； （六）依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息； （七）法律、行政法规规定的其他情形。 依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。 第十四条 基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。法律、行政法规规定处理个人信息应当取得个人单独同意或者书面同意的，从其规定。 个人信息的处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意。 第十五条 基于个人同意处理个人信息的，个人有权撤回其同意。个人信息处理者应当提供便捷的撤回同意的方式。 个人撤回同意，不影响撤回前基于个人同意已进行的个人信息处理活动的效力。 第十六条 个人信息处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务；处理个人信息属于提供产品或者服务所必需的除外。 第十七条 个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知下列事项： （一）个人信息处理者的名称或者姓名和联系方式； （二）个人信息的处理目的、处理方式，处理的个人信息种类、保存期限； （三）个人行使本法规定权利的方式和程序； （四）法律、行政法规规定应当告知的其他事项。 前款规定事项发生变更的，应当将变更部分告知个人。 个人信息处理者通过制定个人信息处理规则的方式告知第一款规定事项的，处理规则应当公开，并且便于查阅和保存。 第十八条 个人信息处理者处理个人信息，有法律、行政法规规定应当保密或者不需要告知的情形的，可以不向个人告知前条第一款规定的事项。 紧急情况下为保护自然人的生命健康和财产安全无法及时向个人告知的，个人信息处理者应当在紧急情况消除后及时告知。 第十九条 除法律、行政法规另有规定外，个人信息的保存期限应当为实现处理目的所必要的最短时间。 第二十条 两个以上的个人信息处理者共同决定个人信息的处理目的和处理方式的，应当约定各自的权利和义务。但是，该约定不影响个人向其中任何一个个人信息处理者要求行使本法规定的权利。 个人信息处理者共同处理个人信息，侵害个人信息权益造成损害的，应当依法承担连带责任。 第二十一条 个人信息处理者委托处理个人信息的，应当与受托人约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等，并对受托人的个人信息处理活动进行监督。 受托人应当按照约定处理个人信息，不得超出约定的处理目的、处理方式等处理个人信息；委托合同不生效、无效、被撤销或者终止的，受托人应当将个人信息返还个人信息处理者或者予以删除，不得保留。 未经个人信息处理者同意，受托人不得转委托他人处理个人信息。 第二十二条 个人信息处理者因合并、分立、解散、被宣告破产等原因需要转移个人信息的，应当向个人告知接收方的名称或者姓名和联系方式。接收方应当继续履行个人信息处理者的义务。接收方变更原先的处理目的、处理方式的，应当依照本法规定重新取得个人同意。 第二十三条 个人信息处理者向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。接收方应当在上述处理目的、处理方式和个人信息的种类等范围内处理个人信息。接收方变更原先的处理目的、处理方式的，应当依照本法规定重新取得个人同意。 第二十四条 个人信息处理者利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇。 通过自动化决策方式向个人进行信息推送、商业营销，应当同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式。 通过自动化决策方式作出对个人权益有重大影响的决定，个人有权要求个人信息处理者予以说明，并有权拒绝个人信息处理者仅通过自动化决策的方式作出决定。 第二十五条 个人信息处理者不得公开其处理的个人信息，取得个人单独同意的除外。 第二十六条 在公共场所安装图像采集、个人身份识别设备，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的提示标识。所收集的个人图像、身份识别信息只能用于维护公共安全的目的，不得用于其他目的；取得个人单独同意的除外。 第二十七条 个人信息处理者可以在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；个人明确拒绝的除外。个人信息处理者处理已公开的个人信息，对个人权益有重大影响的，应当依照本法规定取得个人同意。 第二节 敏感个人信息的处理规则 第二十八条 敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。 只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，个人信息处理者方可处理敏感个人信息。 第二十九条 处理敏感个人信息应当取得个人的单独同意；法律、行政法规规定处理敏感个人信息应当取得书面同意的，从其规定。 第三十条 个人信息处理者处理敏感个人信息的，除本法第十七条第一款规定的事项外，还应当向个人告知处理敏感个人信息的必要性以及对个人权益的影响；依照本法规定可以不向个人告知的除外。 第三十一条 个人信息处理者处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的同意。 个人信息处理者处理不满十四周岁未成年人个人信息的，应当制定专门的个人信息处理规则。 第三十二条 法律、行政法规对处理敏感个人信息规定应当取得相关行政许可或者作出其他限制的，从其规定。 第三节 国家机关处理个人信息的特别规定 第三十三条 国家机关处理个人信息的活动，适用本法；本节有特别规定的，适用本节规定。 第三十四条 国家机关为履行法定职责处理个人信息，应当依照法律、行政法规规定的权限、程序进行，不得超出履行法定职责所必需的范围和限度。 第三十五条 国家机关为履行法定职责处理个人信息，应当依照本法规定履行告知义务；有本法第十八条第一款规定的情形，或者告知将妨碍国家机关履行法定职责的除外。 第三十六条 国家机关处理的个人信息应当在中华人民共和国境内存储；确需向境外提供的，应当进行安全评估。安全评估可以要求有关部门提供支持与协助。 第三十七条 法律、法规授权的具有管理公共事务职能的组织为履行法定职责处理个人信息，适用本法关于国家机关处理个人信息的规定。 第三章 个人信息跨境提供的规则 第三十八条 个人信息处理者因业务等需要，确需向中华人民共和国境外提供个人信息的，应当具备下列条件之一： （一）依照本法第四十条的规定通过国家网信部门组织的安全评估； （二）按照国家网信部门的规定经专业机构进行个人信息保护认证； （三）按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务； （四）法律、行政法规或者国家网信部门规定的其他条件。 中华人民共和国缔结或者参加的国际条约、协定对向中华人民共和国境外提供个人信息的条件等有规定的，可以按照其规定执行。 个人信息处理者应当采取必要措施，保障境外接收方处理个人信息的活动达到本法规定的个人信息保护标准。 第三十九条 个人信息处理者向中华人民共和国境外提供个人信息的，应当向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使本法规定权利的方式和程序等事项，并取得个人的单独同意。 第四十条 关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的个人信息处理者，应当将在中华人民共和国境内收集和产生的个人信息存储在境内。确需向境外提供的，应当通过国家网信部门组织的安全评估；法律、行政法规和国家网信部门规定可以不进行安全评估的，从其规定。 第四十一条 中华人民共和国主管机关根据有关法律和中华人民共和国缔结或者参加的国际条约、协定，或者按照平等互惠原则，处理外国司法或者执法机构关于提供存储于境内个人信息的请求。非经中华人民共和国主管机关批准，个人信息处理者不得向外国司法或者执法机构提供存储于中华人民共和国境内的个人信息。 第四十二条 境外的组织、个人从事侵害中华人民共和国公民的个人信息权益，或者危害中华人民共和国国家安全、公共利益的个人信息处理活动的，国家网信部门可以将其列入限制或者禁止个人信息提供清单，予以公告，并采取限制或者禁止向其提供个人信息等措施。 第四十三条 任何国家或者地区在个人信息保护方面对中华人民共和国采取歧视性的禁止、限制或者其他类似措施的，中华人民共和国可以根据实际情况对该国家或者地区对等采取措施。 第四章 个人在个人信息处理活动中的权利 第四十四条 个人对其个人信息的处理享有知情权、决定权，有权限制或者拒绝他人对其个人信息进行处理；法律、行政法规另有规定的除外。 第四十五条 个人有权向个人信息处理者查阅、复制其个人信息；有本法第十八条第一款、第三十五条规定情形的除外。 个人请求查阅、复制其个人信息的，个人信息处理者应当及时提供。 个人请求将个人信息转移至其指定的个人信息处理者，符合国家网信部门规定条件的，个人信息处理者应当提供转移的途径。 第四十六条 个人发现其个人信息不准确或者不完整的，有权请求个人信息处理者更正、补充。 个人请求更正、补充其个人信息的，个人信息处理者应当对其个人信息予以核实，并及时更正、补充。 第四十七条 有下列情形之一的，个人信息处理者应当主动删除个人信息；个人信息处理者未删除的，个人有权请求删除： （一）处理目的已实现、无法实现或者为实现处理目的不再必要； （二）个人信息处理者停止提供产品或者服务，或者保存期限已届满； （三）个人撤回同意； （四）个人信息处理者违反法律、行政法规或者违反约定处理个人信息； （五）法律、行政法规规定的其他情形。 法律、行政法规规定的保存期限未届满，或者删除个人信息从技术上难以实现的，个人信息处理者应当停止除存储和采取必要的安全保护措施之外的处理。 第四十八条 个人有权要求个人信息处理者对其个人信息处理规则进行解释说明。 第四十九条 自然人死亡的，其近亲属为了自身的合法、正当利益，可以对死者的相关个人信息行使本章规定的查阅、复制、更正、删除等权利；死者生前另有安排的除外。 第五十条 个人信息处理者应当建立便捷的个人行使权利的申请受理和处理机制。拒绝个人行使权利的请求的，应当说明理由。 个人信息处理者拒绝个人行使权利的请求的，个人可以依法向人民法院提起诉讼。 第五章 个人信息处理者的义务 第五十一条 个人信息处理者应当根据个人信息的处理目的、处理方式、个人信息的种类以及对个人权益的影响、可能存在的安全风险等，采取下列措施确保个人信息处理活动符合法律、行政法规的规定，并防止未经授权的访问以及个人信息泄露、篡改、丢失： （一）制定内部管理制度和操作规程； （二）对个人信息实行分类管理； （三）采取相应的加密、去标识化等安全技术措施； （四）合理确定个人信息处理的操作权限，并定期对从业人员进行安全教育和培训； （五）制定并组织实施个人信息安全事件应急预案； （六）法律、行政法规规定的其他措施。 第五十二条 处理个人信息达到国家网信部门规定数量的个人信息处理者应当指定个人信息保护负责人，负责对个人信息处理活动以及采取的保护措施等进行监督。 个人信息处理者应当公开个人信息保护负责人的联系方式，并将个人信息保护负责人的姓名、联系方式等报送履行个人信息保护职责的部门。 第五十三条 本法第三条第二款规定的中华人民共和国境外的个人信息处理者，应当在中华人民共和国境内设立专门机构或者指定代表，负责处理个人信息保护相关事务，并将有关机构的名称或者代表的姓名、联系方式等报送履行个人信息保护职责的部门。 第五十四条 个人信息处理者应当定期对其处理个人信息遵守法律、行政法规的情况进行合规审计。 第五十五条 有下列情形之一的，个人信息处理者应当事前进行个人信息保护影响评估，并对处理情况进行记录： （一）处理敏感个人信息； （二）利用个人信息进行自动化决策； （三）委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息； （四）向境外提供个人信息； （五）其他对个人权益有重大影响的个人信息处理活动。 第五十六条 个人信息保护影响评估应当包括下列内容： （一）个人信息的处理目的、处理方式等是否合法、正当、必要； （二）对个人权益的影响及安全风险； （三）所采取的保护措施是否合法、有效并与风险程度相适应。 个人信息保护影响评估报告和处理情况记录应当至少保存三年。 第五十七条 发生或者可能发生个人信息泄露、篡改、丢失的，个人信息处理者应当立即采取补救措施，并通知履行个人信息保护职责的部门和个人。通知应当包括下列事项： （一）发生或者可能发生个人信息泄露、篡改、丢失的信息种类、原因和可能造成的危害； （二）个人信息处理者采取的补救措施和个人可以采取的减轻危害的措施； （三）个人信息处理者的联系方式。 个人信息处理者采取措施能够有效避免信息泄露、篡改、丢失造成危害的，个人信息处理者可以不通知个人；履行个人信息保护职责的部门认为可能造成危害的，有权要求个人信息处理者通知个人。 第五十八条 提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者，应当履行下列义务： （一）按照国家规定建立健全个人信息保护合规制度体系，成立主要由外部成员组成的独立机构对个人信息保护情况进行监督； （二）遵循公开、公平、公正的原则，制定平台规则，明确平台内产品或者服务提供者处理个人信息的规范和保护个人信息的义务； （三）对严重违反法律、行政法规处理个人信息的平台内的产品或者服务提供者，停止提供服务； （四）定期发布个人信息保护社会责任报告，接受社会监督。 第五十九条 接受委托处理个人信息的受托人，应当依照本法和有关法律、行政法规的规定，采取必要措施保障所处理的个人信息的安全，并协助个人信息处理者履行本法规定的义务。 第六章 履行个人信息保护职责的部门 第六十条 国家网信部门负责统筹协调个人信息保护工作和相关监督管理工作。国务院有关部门依照本法和有关法律、行政法规的规定，在各自职责范围内负责个人信息保护和监督管理工作。 县级以上地方人民政府有关部门的个人信息保护和监督管理职责，按照国家有关规定确定。 前两款规定的部门统称为履行个人信息保护职责的部门。 第六十一条 履行个人信息保护职责的部门履行下列个人信息保护职责： （一）开展个人信息保护宣传教育，指导、监督个人信息处理者开展个人信息保护工作； （二）接受、处理与个人信息保护有关的投诉、举报； （三）组织对应用程序等个人信息保护情况进行测评，并公布测评结果； （四）调查、处理违法个人信息处理活动； （五）法律、行政法规规定的其他职责。 第六十二条 国家网信部门统筹协调有关部门依据本法推进下列个人信息保护工作： （一）制定个人信息保护具体规则、标准； （二）针对小型个人信息处理者、处理敏感个人信息以及人脸识别、人工智能等新技术、新应用，制定专门的个人信息保护规则、标准； （三）支持研究开发和推广应用安全、方便的电子身份认证技术，推进网络身份认证公共服务建设； （四）推进个人信息保护社会化服务体系建设，支持有关机构开展个人信息保护评估、认证服务； （五）完善个人信息保护投诉、举报工作机制。 第六十三条 履行个人信息保护职责的部门履行个人信息保护职责，可以采取下列措施： （一）询问有关当事人，调查与个人信息处理活动有关的情况; （二）查阅、复制当事人与个人信息处理活动有关的合同、记录、账簿以及其他有关资料; （三）实施现场检查，对涉嫌违法的个人信息处理活动进行调查; （四）检查与个人信息处理活动有关的设备、物品;对有证据证明是用于违法个人信息处理活动的设备、物品，向本部门主要负责人书面报告并经批准，可以查封或者扣押。 履行个人信息保护职责的部门依法履行职责，当事人应当予以协助、配合，不得拒绝、阻挠。 第六十四条 履行个人信息保护职责的部门在履行职责中，发现个人信息处理活动存在较大风险或者发生个人信息安全事件的，可以按照规定的权限和程序对该个人信息处理者的法定代表人或者主要负责人进行约谈，或者要求个人信息处理者委托专业机构对其个人信息处理活动进行合规审计。个人信息处理者应当按照要求采取措施，进行整改，消除隐患。 履行个人信息保护职责的部门在履行职责中，发现违法处理个人信息涉嫌犯罪的，应当及时移送公安机关依法处理。 第六十五条 任何组织、个人有权对违法个人信息处理活动向履行个人信息保护职责的部门进行投诉、举报。收到投诉、举报的部门应当依法及时处理，并将处理结果告知投诉、举报人。 履行个人信息保护职责的部门应当公布接受投诉、举报的联系方式。 第七章 法律责任 第六十六条 违反本法规定处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得，对违法处理个人信息的应用程序，责令暂停或者终止提供服务；拒不改正的，并处一百万元以下罚款；对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。 有前款规定的违法行为，情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照；对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。 第六十七条 有本法规定的违法行为的，依照有关法律、行政法规的规定记入信用档案，并予以公示。 第六十八条 国家机关不履行本法规定的个人信息保护义务的，由其上级机关或者履行个人信息保护职责的部门责令改正；对直接负责的主管人员和其他直接责任人员依法给予处分。 履行个人信息保护职责的部门的工作人员玩忽职守、滥用职权、徇私舞弊，尚不构成犯罪的，依法给予处分。 第六十九条 处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。 前款规定的损害赔偿责任按照个人因此受到的损失或者个人信息处理者因此获得的利益确定;个人因此受到的损失和个人信息处理者因此获得的利益难以确定的，根据实际情况确定赔偿数额。 第七十条 个人信息处理者违反本法规定处理个人信息，侵害众多个人的权益的，人民检察院、法律规定的消费者组织和由国家网信部门确定的组织可以依法向人民法院提起诉讼。 第七十一条 违反本法规定，构成违反治安管理行为的，依法给予治安管理处罚；构成犯罪的，依法追究刑事责任。 第八章 附 则 第七十二条 自然人因个人或者家庭事务处理个人信息的，不适用本法。 法律对各级人民政府及其有关部门组织实施的统计、档案管理活动中的个人信息处理有规定的，适用其规定。 第七十三条 本法下列用语的含义： （一）个人信息处理者，是指在个人信息处理活动中自主决定处理目的、处理方式的组织、个人。 （二）自动化决策，是指通过计算机程序自动分析、评估个人的行为习惯、兴趣爱好或者经济、健康、信用状况等，并进行决策的活动。 （三）去标识化，是指个人信息经过处理，使其在不借助额外信息的情况下无法识别特定自然人的过程。 （四）匿名化，是指个人信息经过处理无法识别特定自然人且不能复原的过程。 第七十四条 本法自2021年11月1日起施行。 阅读全文 >

信息网络与数据中心安全培训与考核管理制度 发布者： 发布时间：2021-10-14来源： 信息网络与数据中心安全培训与考核管理制度 第一章总则 第1条 为有效的安全培训与考核管理规定及安全意识培养计划，维持信息安全；为人员提供恰当教育/培训的管埋制度；并为衡量各信息安全管理岗位的工作绩效，制定考核办法。 第二章信息安全培训的要求 第2条 信息安全培训工作需要分层次、分阶段、循序渐进地进行，而且必须是能够覆盖全员的培训。 第3条 分层次培训是指对不同层次的人员，如对管理层（包括决策层）、信息安全管理人员、系统管理员和普通员工开展有针对性和不同侧重点的培训。 第4条 分阶段是指在信息安全管理体系的建立、实施和保持的不同阶段，培训工作要有计划地分步实施。 第5条 信息安全培训要采用内部和外部结合的方式进行。 管理层（决策层） 第6条 管理层培训目标是明确建立信息安全体系的迫切性和重要性，获得管理层（决策层）对信息安全各项工作有形的支持和承诺。 第7条 管理层培训方式可以采用聘请外部信息安全培训、技术专家和咨询顾问以专题讲座、研讨会等形式。 信息安全管理人员 第8条 信息安全管理人员培训目标是理解及掌握信息安全原理和相关技术、强化信息安全意识、支撑信息安全体系的建立、实施和保持。 第9条 信息安全管理人员培训方式可以采用聘请外部信息安全专业资格授证培训、参加信息安全专业培训、自学信息安全管理理论及技术和XX内部学习研讨的方式。 系统管理员 第10条 系统管理员培训目标是掌握各系统相关专业安全技术，协助和各部门信息安全管理人员维护和保障系统正常、安全运行。 第11条 系统管理员培训方式可以采用外部和内部相结合的培训以及自学的方式。 普通员工 第12条 员工培训目标是了解相关信息安全制度和技术规范，并安全、高效地使用信息系统。 第13条 员工培训方式应主要采取内部培训的方式。 第三章信息安全培训的内容 安全体系及安全职责分工 第14条 各级领导及员工明确了解信息安全体系，并明确各自在的安全职责，明确自身对维护保障系统正常、安全运行所需承担的相关责任和义务。 各项安全专业技术教育 第15条 针对安全管理员和系统管理员应定期开展由供应商或厂家提供的专业安全技术培训，帮助相关安全管理人员和系统管理员了解掌握正确、安全地安装、配置、维护系统。 安全专业资格认证 第16条 针对安全管理员和系统管理员应根据实际情况，挑选信息安全管理及安全技术人员进行相关的认证考试培训，并参加认证考试，以提高安全管理人员对信息安全的管理理论和技术的水平。 信息安全内部培训与考核 第17条 针对安全管理员和系统管理员应根据岗位不同，对员工进行相关的信息安全培训，并在培训后实行书面（开卷或闭卷）信息安全考核。 阅读全文 >

（2021年6月10日第十三届全国人民代表大会常务委员会第二十九次会议通过） 目录 第一章 总则 第二章 数据安全与发展 第三章 数据安全制度 第四章 数据安全保护义务 第五章 政务数据安全与开放 第六章 法律责任 第七章 附则 第一章 总则 第一条为了规范数据处理活动，保障数据安全，促进数据开发利用，保护个人、组织的合法权益，维护国家主权、安全和发展利益，制定本法。 第二条在中华人民共和国境内开展数据处理活动及其安全监管，适用本法。 在中华人民共和国境外开展数据处理活动，损害中华人民共和国国家安全、公共利益或者公民、组织合法权益的，依法追究法律责任。 第三条本法所称数据，是指任何以电子或者其他方式对信息的记录。 数据处理，包括数据的收集、存储、使用、加工、传输、提供、公开等。 数据安全，是指通过采取必要措施，确保数据处于有效保护和合法利用的状态，以及具备保障持续安全状态的能力。 第四条维护数据安全，应当坚持总体国家安全观，建立健全数据安全治理体系，提高数据安全保障能力。 第五条中央国家安全领导机构负责国家数据安全工作的决策和议事协调，研究制定、指导实施国家数据安全战略和有关重大方针政策，统筹协调国家数据安全的重大事项和重要工作，建立国家数据安全工作协调机制。 第六条各地区、各部门对本地区、本部门工作中收集和产生的数据及数据安全负责。 工业、电信、交通、金融、自然资源、卫生健康、教育、科技等主管部门承担本行业、本领域数据安全监管职责。 公安机关、国家安全机关等依照本法和有关法律、行政法规的规定，在各自职责范围内承担数据安全监管职责。 国家网信部门依照本法和有关法律、行政法规的规定，负责统筹协调网络数据安全和相关监管工作。 第七条国家保护个人、组织与数据有关的权益，鼓励数据依法合理有效利用，保障数据依法有序自由流动，促进以数据为关键要素的数字经济发展。 第八条开展数据处理活动，应当遵守法律、法规，尊重社会公德和伦理，遵守商业道德和职业道德，诚实守信，履行数据安全保护义务，承担社会责任，不得危害国家安全、公共利益，不得损害个人、组织的合法权益。 第九条国家支持开展数据安全知识宣传普及，提高全社会的数据安全保护意识和水平，推动有关部门、行业组织、科研机构、企业、个人等共同参与数据安全保护工作，形成全社会共同维护数据安全和促进发展的良好环境。 第十条 相关行业组织按照章程，依法制定数据安全行为规范和团体标准，加强行业自律，指导会员加强数据安全保护，提高数据安全保护水平，促进行业健康发展。 第十一条国家积极开展数据安全治理、数据开发利用等领域的国际交流与合作，参与数据安全相关国际规则和标准的制定，促进数据跨境安全、自由流动。 第十二条任何个人、组织都有权对违反本法规定的行为向有关主管部门投诉、举报。收到投诉、举报的部门应当及时依法处理。 有关主管部门应当对投诉、举报人的相关信息予以保密，保护投诉、举报人的合法权益。 第二章 数据安全与发展 第十三条国家统筹发展和安全，坚持以数据开发利用和产业发展促进数据安全，以数据安全保障数据开发利用和产业发展。 第十四条国家实施大数据战略，推进数据基础设施建设，鼓励和支持数据在各行业、各领域的创新应用。 省级以上人民政府应当将数字经济发展纳入本级国民经济和社会发展规划，并根据需要制定数字经济发展规划。 第十五条国家支持开发利用数据提升公共服务的智能化水平。提供智能化公共服务，应当充分考虑老年人、残疾人的需求，避免对老年人、残疾人的日常生活造成障碍。 第十六条国家支持数据开发利用和数据安全技术研究，鼓励数据开发利用和数据安全等领域的技术推广和商业创新，培育、发展数据开发利用和数据安全产品、产业体系。 第十七条 国家推进数据开发利用技术和数据安全标准体系建设。国务院标准化行政主管部门和国务院有关部门根据各自的职责，组织制定并适时修订有关数据开发利用技术、产品和数据安全相关标准。国家支持企业、社会团体和教育、科研机构等参与标准制定。 第十八条国家促进数据安全检测评估、认证等服务的发展，支持数据安全检测评估、认证等专业机构依法开展服务活动。 国家支持有关部门、行业组织、企业、教育和科研机构、有关专业机构等在数据安全风险评估、防范、处置等方面开展协作。 第十九条国家建立健全数据交易管理制度，规范数据交易行为，培育数据交易市场。 第二十条国家支持教育、科研机构和企业等开展数据开发利用技术和数据安全相关教育和培训，采取多种方式培养数据开发利用技术和数据安全专业人才，促进人才交流。 第三章 数据安全制度 第二十一条国家建立数据分类分级保护制度，根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护。国家数据安全工作协调机制统筹协调有关部门制定重要数据目录，加强对重要数据的保护。 关系国家安全、国民经济命脉、重要民生、重大公共利益等数据属于国家核心数据，实行更加严格的管理制度。 各地区、各部门应当按照数据分类分级保护制度，确定本地区、本部门以及相关行业、领域的重要数据具体目录，对列入目录的数据进行重点保护。 第二十二条国家建立集中统一、高效权威的数据安全风险评估、报告、信息共享、监测预警机制。国家数据安全工作协调机制统筹协调有关部门加强数据安全风险信息的获取、分析、研判、预警工作。 第二十三条国家建立数据安全应急处置机制。发生数据安全事件，有关主管部门应当依法启动应急预案，采取相应的应急处置措施，防止危害扩大，消除安全隐患，并及时向社会发布与公众有关的警示信息。 第二十四条国家建立数据安全审查制度，对影响或者可能影响国家安全的数据处理活动进行国家安全审查。 依法作出的安全审查决定为最终决定。 第二十五条国家对与维护国家安全和利益、履行国际义务相关的属于管制物项的数据依法实施出口管制。 第二十六条任何国家或者地区在与数据和数据开发利用技术等有关的投资、贸易等方面对中华人民共和国采取歧视性的禁止、限制或者其他类似措施的，中华人民共和国可以根据实际情况对该国家或者地区对等采取措施。 第四章 数据安全保护义务 第二十七条开展数据处理活动应当依照法律、法规的规定，建立健全全流程数据安全管理制度，组织开展数据安全教育培训，采取相应的技术措施和其他必要措施，保障数据安全。利用互联网等信息网络开展数据处理活动，应当在网络安全等级保护制度的基础上，履行上述数据安全保护义务。 重要数据的处理者应当明确数据安全负责人和管理机构，落实数据安全保护责任。 第二十八条开展数据处理活动以及研究开发数据新技术，应当有利于促进经济社会发展，增进人民福祉，符合社会公德和伦理。 第二十九条开展数据处理活动应当加强风险监测，发现数据安全缺陷、漏洞等风险时，应当立即采取补救措施；发生数据安全事件时，应当立即采取处置措施，按照规定及时告知用户并向有关主管部门报告。 第三十条重要数据的处理者应当按照规定对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告。 风险评估报告应当包括处理的重要数据的种类、数量，开展数据处理活动的情况，面临的数据安全风险及其应对措施等。 第三十一条关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的重要数据的出境安全管理，适用《中华人民共和国网络安全法》的规定；其他数据处理者在中华人民共和国境内运营中收集和产生的重要数据的出境安全管理办法，由国家网信部门会同国务院有关部门制定。 第三十二条任何组织、个人收集数据，应当采取合法、正当的方式，不得窃取或者以其他非法方式获取数据。 法律、行政法规对收集、使用数据的目的、范围有规定的，应当在法律、行政法规规定的目的和范围内收集、使用数据。 第三十三条从事数据交易中介服务的机构提供服务，应当要求数据提供方说明数据来源，审核交易双方的身份，并留存审核、交易记录。 第三十四条 法律、行政法规规定提供数据处理相关服务应当取得行政许可的，服务提供者应当依法取得许可。 第三十五条公安机关、国家安全机关因依法维护国家安全或者侦查犯罪的需要调取数据，应当按照国家有关规定，经过严格的批准手续，依法进行，有关组织、个人应当予以配合。 第三十六条 中华人民共和国主管机关根据有关法律和中华人民共和国缔结或者参加的国际条约、协定，或者按照平等互惠原则，处理外国司法或者执法机构关于提供数据的请求。非经中华人民共和国主管机关批准，境内的组织、个人不得向外国司法或者执法机构提供存储于中华人民共和国境内的数据。 第五章 政务数据安全与开放 第三十七条国家大力推进电子政务建设，提高政务数据的科学性、准确性、时效性，提升运用数据服务经济社会发展的能力。 第三十八条国家机关为履行法定职责的需要收集、使用数据，应当在其履行法定职责的范围内依照法律、行政法规规定的条件和程序进行；对在履行职责中知悉的个人隐私、个人信息、商业秘密、保密商务信息等数据应当依法予以保密，不得泄露或者非法向他人提供。 第三十九条 国家机关应当依照法律、行政法规的规定，建立健全数据安全管理制度，落实数据安全保护责任，保障政务数据安全。 第四十条 国家机关委托他人建设、维护电子政务系统，存储、加工政务数据，应当经过严格的批准程序，并应当监督受托方履行相应的数据安全保护义务。受托方应当依照法律、法规的规定和合同约定履行数据安全保护义务，不得擅自留存、使用、泄露或者向他人提供政务数据。 第四十一条国家机关应当遵循公正、公平、便民的原则，按照规定及时、准确地公开政务数据。依法不予公开的除外。 第四十二条 国家制定政务数据开放目录，构建统一规范、互联互通、安全可控的政务数据开放平台，推动政务数据开放利用。 第四十三条法律、法规授权的具有管理公共事务职能的组织为履行法定职责开展数据处理活动，适用本章规定。 第六章 法律责任 第四十四条有关主管部门在履行数据安全监管职责中，发现数据处理活动存在较大安全风险的，可以按照规定的权限和程序对有关组织、个人进行约谈，并要求有关组织、个人采取措施进行整改，消除隐患。 第四十五条 开展数据处理活动的组织、个人不履行本法第二十七条、第二十九条、第三十条规定的数据安全保护义务的，由有关主管部门责令改正，给予警告，可以并处五万元以上五十万元以下罚款，对直接负责的主管人员和其他直接责任人员可以处一万元以上十万元以下罚款；拒不改正或者造成大量数据泄露等严重后果的，处五十万元以上二百万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处五万元以上二十万元以下罚款。 违反国家核心数据管理制度，危害国家主权、安全和发展利益的，由有关主管部门处二百万元以上一千万元以下罚款，并根据情况责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照；构成犯罪的，依法追究刑事责任。 第四十六条违反本法第三十一条规定，向境外提供重要数据的，由有关主管部门责令改正，给予警告，可以并处十万元以上一百万元以下罚款，对直接负责的主管人员和其他直接责任人员可以处一万元以上十万元以下罚款；情节严重的，处一百万元以上一千万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款。 第四十七条 从事数据交易中介服务的机构未履行本法第三十三条规定的义务的，由有关主管部门责令改正，没收违法所得，处违法所得一倍以上十倍以下罚款，没有违法所得或者违法所得不足十万元的，处十万元以上一百万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照；对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。 第四十八条 违反本法第三十五条规定，拒不配合数据调取的，由有关主管部门责令改正，给予警告，并处五万元以上五十万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。 违反本法第三十六条规定，未经主管机关批准向外国司法或者执法机构提供数据的，由有关主管部门给予警告，可以并处十万元以上一百万元以下罚款，对直接负责的主管人员和其他直接责任人员可以处一万元以上十万元以下罚款；造成严重后果的，处一百万元以上五百万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处五万元以上五十万元以下罚款。 第四十九条国家机关不履行本法规定的数据安全保护义务的，对直接负责的主管人员和其他直接责任人员依法给予处分。 第五十条履行数据安全监管职责的国家工作人员玩忽职守、滥用职权、徇私舞弊的，依法给予处分。 第五十一条窃取或者以其他非法方式获取数据，开展数据处理活动排除、限制竞争，或者损害个人、组织合法权益的，依照有关法律、行政法规的规定处罚。 第五十二条违反本法规定，给他人造成损害的，依法承担民事责任。 违反本法规定，构成违反治安管理行为的，依法给予治安管理处罚；构成犯罪的，依法追究刑事责任。 第七章 附则 第五十三条开展涉及国家秘密的数据处理活动，适用《中华人民共和国保守国家秘密法》等法律、行政法规的规定。 在统计、档案工作中开展数据处理活动，开展涉及个人信息的数据处理活动，还应当遵守有关法律、行政法规的规定。 第五十四条军事数据安全保护的办法，由中央军事委员会依据本法另行制定。 第五十五条本法自2021年9月1日起施行。 阅读全文 >

中华人民共和国国务院令 第745号   《关键信息基础设施安全保护条例》已经2021年4月27日国务院第133次常务会议通过，现予公布，自2021年9月1日起施行。 总理  李克强 2021年7月30日 关键信息基础设施安全保护条例 第一章 总  则   第一条 为了保障关键信息基础设施安全，维护网络安全，根据《中华人民共和国网络安全法》，制定本条例。   第二条 本条例所称关键信息基础设施，是指公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领域的，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的重要网络设施、信息系统等。   第三条 在国家网信部门统筹协调下，国务院公安部门负责指导监督关键信息基础设施安全保护工作。国务院电信主管部门和其他有关部门依照本条例和有关法律、行政法规的规定，在各自职责范围内负责关键信息基础设施安全保护和监督管理工作。   省级人民政府有关部门依据各自职责对关键信息基础设施实施安全保护和监督管理。   第四条 关键信息基础设施安全保护坚持综合协调、分工负责、依法保护，强化和落实关键信息基础设施运营者（以下简称运营者）主体责任，充分发挥政府及社会各方面的作用，共同保护关键信息基础设施安全。   第五条 国家对关键信息基础设施实行重点保护，采取措施，监测、防御、处置来源于中华人民共和国境内外的网络安全风险和威胁，保护关键信息基础设施免受攻击、侵入、干扰和破坏，依法惩治危害关键信息基础设施安全的违法犯罪活动。   任何个人和组织不得实施非法侵入、干扰、破坏关键信息基础设施的活动，不得危害关键信息基础设施安全。   第六条 运营者依照本条例和有关法律、行政法规的规定以及国家标准的强制性要求，在网络安全等级保护的基础上，采取技术保护措施和其他必要措施，应对网络安全事件，防范网络攻击和违法犯罪活动，保障关键信息基础设施安全稳定运行，维护数据的完整性、保密性和可用性。   第七条 对在关键信息基础设施安全保护工作中取得显著成绩或者作出突出贡献的单位和个人，按照国家有关规定给予表彰。 第二章 关键信息基础设施认定   第八条 本条例第二条涉及的重要行业和领域的主管部门、监督管理部门是负责关键信息基础设施安全保护工作的部门（以下简称保护工作部门）。   第九条 保护工作部门结合本行业、本领域实际，制定关键信息基础设施认定规则，并报国务院公安部门备案。   制定认定规则应当主要考虑下列因素：   （一）网络设施、信息系统等对于本行业、本领域关键核心业务的重要程度；   （二）网络设施、信息系统等一旦遭到破坏、丧失功能或者数据泄露可能带来的危害程度；   （三）对其他行业和领域的关联性影响。   第十条 保护工作部门根据认定规则负责组织认定本行业、本领域的关键信息基础设施，及时将认定结果通知运营者，并通报国务院公安部门。   第十一条 关键信息基础设施发生较大变化，可能影响其认定结果的，运营者应当及时将相关情况报告保护工作部门。保护工作部门自收到报告之日起3个月内完成重新认定，将认定结果通知运营者，并通报国务院公安部门。 第三章 运营者责任义务   第十二条 安全保护措施应当与关键信息基础设施同步规划、同步建设、同步使用。   第十三条 运营者应当建立健全网络安全保护制度和责任制，保障人力、财力、物力投入。运营者的主要负责人对关键信息基础设施安全保护负总责，领导关键信息基础设施安全保护和重大网络安全事件处置工作，组织研究解决重大网络安全问题。   第十四条 运营者应当设置专门安全管理机构，并对专门安全管理机构负责人和关键岗位人员进行安全背景审查。审查时，公安机关、国家安全机关应当予以协助。   第十五条 专门安全管理机构具体负责本单位的关键信息基础设施安全保护工作，履行下列职责：   （一）建立健全网络安全管理、评价考核制度，拟订关键信息基础设施安全保护计划；   （二）组织推动网络安全防护能力建设，开展网络安全监测、检测和风险评估；   （三）按照国家及行业网络安全事件应急预案，制定本单位应急预案，定期开展应急演练，处置网络安全事件；   （四）认定网络安全关键岗位，组织开展网络安全工作考核，提出奖励和惩处建议；   （五）组织网络安全教育、培训；   （六）履行个人信息和数据安全保护责任，建立健全个人信息和数据安全保护制度；   （七）对关键信息基础设施设计、建设、运行、维护等服务实施安全管理；   （八）按照规定报告网络安全事件和重要事项。   第十六条 运营者应当保障专门安全管理机构的运行经费、配备相应的人员，开展与网络安全和信息化有关的决策应当有专门安全管理机构人员参与。   第十七条 运营者应当自行或者委托网络安全服务机构对关键信息基础设施每年至少进行一次网络安全检测和风险评估，对发现的安全问题及时整改，并按照保护工作部门要求报送情况。   第十八条 关键信息基础设施发生重大网络安全事件或者发现重大网络安全威胁时，运营者应当按照有关规定向保护工作部门、公安机关报告。   发生关键信息基础设施整体中断运行或者主要功能故障、国家基础信息以及其他重要数据泄露、较大规模个人信息泄露、造成较大经济损失、违法信息较大范围传播等特别重大网络安全事件或者发现特别重大网络安全威胁时，保护工作部门应当在收到报告后，及时向国家网信部门、国务院公安部门报告。   第十九条 运营者应当优先采购安全可信的网络产品和服务；采购网络产品和服务可能影响国家安全的，应当按照国家网络安全规定通过安全审查。   第二十条 运营者采购网络产品和服务，应当按照国家有关规定与网络产品和服务提供者签订安全保密协议，明确提供者的技术支持和安全保密义务与责任，并对义务与责任履行情况进行监督。   第二十一条 运营者发生合并、分立、解散等情况，应当及时报告保护工作部门，并按照保护工作部门的要求对关键信息基础设施进行处置，确保安全。 第四章 保障和促进   第二十二条 保护工作部门应当制定本行业、本领域关键信息基础设施安全规划，明确保护目标、基本要求、工作任务、具体措施。   第二十三条 国家网信部门统筹协调有关部门建立网络安全信息共享机制，及时汇总、研判、共享、发布网络安全威胁、漏洞、事件等信息，促进有关部门、保护工作部门、运营者以及网络安全服务机构等之间的网络安全信息共享。   第二十四条 保护工作部门应当建立健全本行业、本领域的关键信息基础设施网络安全监测预警制度，及时掌握本行业、本领域关键信息基础设施运行状况、安全态势，预警通报网络安全威胁和隐患，指导做好安全防范工作。   第二十五条 保护工作部门应当按照国家网络安全事件应急预案的要求，建立健全本行业、本领域的网络安全事件应急预案，定期组织应急演练；指导运营者做好网络安全事件应对处置，并根据需要组织提供技术支持与协助。   第二十六条 保护工作部门应当定期组织开展本行业、本领域关键信息基础设施网络安全检查检测，指导监督运营者及时整改安全隐患、完善安全措施。   第二十七条 国家网信部门统筹协调国务院公安部门、保护工作部门对关键信息基础设施进行网络安全检查检测，提出改进措施。   有关部门在开展关键信息基础设施网络安全检查时，应当加强协同配合、信息沟通，避免不必要的检查和交叉重复检查。检查工作不得收取费用，不得要求被检查单位购买指定品牌或者指定生产、销售单位的产品和服务。   第二十八条 运营者对保护工作部门开展的关键信息基础设施网络安全检查检测工作，以及公安、国家安全、保密行政管理、密码管理等有关部门依法开展的关键信息基础设施网络安全检查工作应当予以配合。   第二十九条 在关键信息基础设施安全保护工作中，国家网信部门和国务院电信主管部门、国务院公安部门等应当根据保护工作部门的需要，及时提供技术支持和协助。   第三十条 网信部门、公安机关、保护工作部门等有关部门，网络安全服务机构及其工作人员对于在关键信息基础设施安全保护工作中获取的信息，只能用于维护网络安全，并严格按照有关法律、行政法规的要求确保信息安全，不得泄露、出售或者非法向他人提供。   第三十一条 未经国家网信部门、国务院公安部门批准或者保护工作部门、运营者授权，任何个人和组织不得对关键信息基础设施实施漏洞探测、渗透性测试等可能影响或者危害关键信息基础设施安全的活动。对基础电信网络实施漏洞探测、渗透性测试等活动，应当事先向国务院电信主管部门报告。   第三十二条 国家采取措施，优先保障能源、电信等关键信息基础设施安全运行。   能源、电信行业应当采取措施，为其他行业和领域的关键信息基础设施安全运行提供重点保障。   第三十三条 公安机关、国家安全机关依据各自职责依法加强关键信息基础设施安全保卫，防范打击针对和利用关键信息基础设施实施的违法犯罪活动。   第三十四条 国家制定和完善关键信息基础设施安全标准，指导、规范关键信息基础设施安全保护工作。   第三十五条 国家采取措施，鼓励网络安全专门人才从事关键信息基础设施安全保护工作；将运营者安全管理人员、安全技术人员培训纳入国家继续教育体系。   第三十六条 国家支持关键信息基础设施安全防护技术创新和产业发展，组织力量实施关键信息基础设施安全技术攻关。   第三十七条 国家加强网络安全服务机构建设和管理，制定管理要求并加强监督指导，不断提升服务机构能力水平，充分发挥其在关键信息基础设施安全保护中的作用。   第三十八条 国家加强网络安全军民融合，军地协同保护关键信息基础设施安全。 第五章 法律责任   第三十九条 运营者有下列情形之一的，由有关主管部门依据职责责令改正，给予警告；拒不改正或者导致危害网络安全等后果的，处10万元以上100万元以下罚款，对直接负责的主管人员处1万元以上10万元以下罚款：   （一）在关键信息基础设施发生较大变化，可能影响其认定结果时未及时将相关情况报告保护工作部门的；   （二）安全保护措施未与关键信息基础设施同步规划、同步建设、同步使用的；   （三）未建立健全网络安全保护制度和责任制的；   （四）未设置专门安全管理机构的；   （五）未对专门安全管理机构负责人和关键岗位人员进行安全背景审查的；   （六）开展与网络安全和信息化有关的决策没有专门安全管理机构人员参与的；   （七）专门安全管理机构未履行本条例第十五条规定的职责的；   （八）未对关键信息基础设施每年至少进行一次网络安全检测和风险评估，未对发现的安全问题及时整改，或者未按照保护工作部门要求报送情况的；   （九）采购网络产品和服务，未按照国家有关规定与网络产品和服务提供者签订安全保密协议的；   （十）发生合并、分立、解散等情况，未及时报告保护工作部门，或者未按照保护工作部门的要求对关键信息基础设施进行处置的。   第四十条 运营者在关键信息基础设施发生重大网络安全事件或者发现重大网络安全威胁时，未按照有关规定向保护工作部门、公安机关报告的，由保护工作部门、公安机关依据职责责令改正，给予警告；拒不改正或者导致危害网络安全等后果的，处10万元以上100万元以下罚款，对直接负责的主管人员处1万元以上10万元以下罚款。   第四十一条 运营者采购可能影响国家安全的网络产品和服务，未按照国家网络安全规定进行安全审查的，由国家网信部门等有关主管部门依据职责责令改正，处采购金额1倍以上10倍以下罚款，对直接负责的主管人员和其他直接责任人员处1万元以上10万元以下罚款。   第四十二条 运营者对保护工作部门开展的关键信息基础设施网络安全检查检测工作，以及公安、国家安全、保密行政管理、密码管理等有关部门依法开展的关键信息基础设施网络安全检查工作不予配合的，由有关主管部门责令改正；拒不改正的，处5万元以上50万元以下罚款，对直接负责的主管人员和其他直接责任人员处1万元以上10万元以下罚款；情节严重的，依法追究相应法律责任。   第四十三条 实施非法侵入、干扰、破坏关键信息基础设施，危害其安全的活动尚不构成犯罪的，依照《中华人民共和国网络安全法》有关规定，由公安机关没收违法所得，处5日以下拘留，可以并处5万元以上50万元以下罚款；情节较重的，处5日以上15日以下拘留，可以并处10万元以上100万元以下罚款。   单位有前款行为的，由公安机关没收违法所得，处10万元以上100万元以下罚款，并对直接负责的主管人员和其他直接责任人员依照前款规定处罚。   违反本条例第五条第二款和第三十一条规定，受到治安管理处罚的人员，5年内不得从事网络安全管理和网络运营关键岗位的工作；受到刑事处罚的人员，终身不得从事网络安全管理和网络运营关键岗位的工作。   第四十四条 网信部门、公安机关、保护工作部门和其他有关部门及其工作人员未履行关键信息基础设施安全保护和监督管理职责或者玩忽职守、滥用职权、徇私舞弊的，依法对直接负责的主管人员和其他直接责任人员给予处分。   第四十五条 公安机关、保护工作部门和其他有关部门在开展关键信息基础设施网络安全检查工作中收取费用，或者要求被检查单位购买指定品牌或者指定生产、销售单位的产品和服务的，由其上级机关责令改正，退还收取的费用；情节严重的，依法对直接负责的主管人员和其他直接责任人员给予处分。   第四十六条 网信部门、公安机关、保护工作部门等有关部门、网络安全服务机构及其工作人员将在关键信息基础设施安全保护工作中获取的信息用于其他用途，或者泄露、出售、非法向他人提供的，依法对直接负责的主管人员和其他直接责任人员给予处分。   第四十七条 关键信息基础设施发生重大和特别重大网络安全事件，经调查确定为责任事故的，除应当查明运营者责任并依法予以追究外，还应查明相关网络安全服务机构及有关部门的责任，对有失职、渎职及其他违法行为的，依法追究责任。   第四十八条 电子政务关键信息基础设施的运营者不履行本条例规定的网络安全保护义务的，依照《中华人民共和国网络安全法》有关规定予以处理。   第四十九条 违反本条例规定，给他人造成损害的，依法承担民事责任。   违反本条例规定，构成违反治安管理行为的，依法给予治安管理处罚；构成犯罪的，依法追究刑事责任。 第六章 附  则   第五十条 存储、处理涉及国家秘密信息的关键信息基础设施的安全保护，还应当遵守保密法律、行政法规的规定。   关键信息基础设施中的密码使用和管理，还应当遵守相关法律、行政法规的规定。   第五十一条 本条例自2021年9月1日起施行。 阅读全文 >

广西师范大学“一网通办”平台建设方案【师政办〔2021〕13号】 阅读全文 >

广西师范大学公共数据资源共享与安全管理办法（试行）【师政办〔2021〕14号】 阅读全文 >

各位老师同学们，现就学生公寓无法上中国知网的问题做出如下具体反馈： 一、学生公寓网络无法直接免费访问中国知网或我校图书馆购买的外网资源，原因为：学生公寓网络为三大运营商（中国电信，中国移动和中国联通）分别建设和运营的园区网络，没有固定静态的公网IP地址，也没有办法实现与我校内网的无缝对接。而中国知网或我校图书馆购买的外网资源，仅对我校园网出口的静态公网IP地址开放访问权限，即只有我校园的统一出口IP地址才可以直接免费访问中国知网或我校图书馆购买的外网资源。 二、学生公寓网络间接免费访问中国知网或我校图书馆购买的外网资源方法：2020年下半年，我校网络与信息化管理中心已经开通校外VPN访问校内资源的方法，学生公寓的学生仅需要登入类似教务系统等内网资源，即可直接访问到中国知网或我校图书馆购买的外网资源（具体方法见附件）。 三、2021年以来，我校网络与信息化管理中心已经启动学生公寓网络升级改造项目，预计2022年实现全校一网通，该项目将彻底解决包括学生公寓在内的全校网络不可直接免费访问中国知网或我校图书馆购买的外网资源问题。 网络与信息化管理中心 2021年6月21日 通过VPN访问校内资源（以知网和教务系统为例） 1.进入学校官网（www.gxnun.edu.cn），找到VPN入口，点击进入 2.登录WEBVPN 注意：VPN密码要求有大写字母、小写字母、数字，且不能超过11位 1).VPN帐号密码与校内上网认证平台的帐号密码相一致，修改VPN帐号密码，校内上网认证帐号密码将同时被修改，反之成立！ 2).校内上网认证平台的帐号密码非教务系统密码，切勿混淆！ 3.登录成功后，页面左上角显示[广西民族师范学院-WEBVPN] 如需要访问知网，找到【图书资源】-【中国知网】 可在知网界面看到登录情况-广西民族师范学院 通过VPN访问的校内资源，可在对应访问页面的右下角看到【您正在使用VPN】 如需要访问教务系统，在【校内应用】中可找到教务系统的4个入口 注：教务系统帐号密码和校内上网认证平台的密码相互独立，切勿混淆！ 附：手机登录界面演示 1.访问学校官网（www.gxnun.edu.cn） 2.手机浏览器VPN登录界面 3.登录成功界面 4.下滑屏幕界面，找到需要的应用地址 阅读全文 >

第一章 总则第一条 为贯彻落实《中华人民共和国著作权法》《计算机软件保护条例》等法律法规，切实加强我校软件资产管理，规范软件使用行为，防范法律风险，保障学校信息安全和教学科研工作的顺利开展，结合我校实际，制定本办法。第二条 本办法适用于学校各院（部）、职能部门、直属单位（以下统称“各单位”）及全体教职工、学生在学校教学、科研、管理等活动中对计算机软件的采购、安装、使用、管理、处置等行为。第三条 软件正版化管理工作坚持“统一领导、分级负责、规范采购、严格监管、责任到人”的原则，确保学校使用的计算机软件均为正版，杜绝使用未经授权的软件。第二章 软件采购管理第四条 学校所有软件采购均须纳入政府采购管理范畴，严格按照《中华人民共和国政府采购法》《中华人民共和国政府采购法实施条例》等法律法规及学校政府采购相关规定执行。第五条 软件采购实行“统一规划、集中采购与分散采购相结合”的模式。常用办公软件、系统软件等通用性软件由信息化服务中心会同实验设备管理处等相关部门制定集中采购方案，统一组织采购；专业性较强的教学、科研软件，由需求单位提出采购申请，经相关部门审核后，按规定程序组织采购。第六条 采购软件前，需求单位须对软件的功能需求、技术参数、市场价格、供应商资质等进行充分调研，确保采购的软件符合实际工作需要。实验设备管理处会同信息化服务中心对采购需求进行审核，重点核查软件的合法性、兼容性及安全性。第七条 供应商选择应严格遵守相关规定，优先选择具有良好信誉、完善售后服务的正规供应商。严禁向无合法授权的供应商采购软件，严禁采购盗版软件或未经授权的软件。同时，须严格核查供应商关联关系，杜绝单位负责人为同一人或存在直接控股、管理关系的不同供应商参与同一合同项下的软件采购活动。第八条 软件采购合同签订时，须明确软件的名称、版本、数量、许可期限、授权范围、售后服务、升级维护、违约责任等关键条款，确保合同内容合法合规、权责清晰。第三章 软件使用与日常管理第九条 各单位及全体教职工、学生在使用学校计算机设备（含纳入固定资产的计算机、服务器及长期供学校工作使用的个人计算机）时，必须安装使用正版软件，严禁安装、使用盗版软件或未经授权的软件。第十条 信息化服务中心负责提供正版软件安装技术指导，协助各单位完成正版软件的部署与安装。第十一条 各单位须指定专人担任本单位软件管理员，负责本单位软件的日常管理工作，具体职责包括：1．建立并及时更新本单位软件使用台账，详细记录每台计算机的软件安装、使用及授权情况；2．定期对本单位软件使用情况进行自查，及时发现并纠正违规使用软件的行为；3．配合学校开展软件正版化督查检查工作，提供相关支撑材料；4．组织本单位人员学习软件正版化相关法律法规及学校管理制度，提升正版软件使用意识。第十二条 严禁任何单位或个人擅自复制、传播、销售正版软件，严禁将学校采购的正版软件授权用于非学校工作的其他用途，严禁破解、篡改正版软件的授权信息。第十三条 教职工、学生在教学、科研过程中自行开发的软件，其知识产权归属按相关规定执行。学校鼓励师生开发具有自主知识产权的软件，并加强对自主知识产权软件的保护与管理。第四章 监督检查与责任追究第十四条 学校将软件正版化工作纳入常态化监督管理范围，信息化管理中心会同实验设备管理处等相关部门定期对各单位软件正版化工作落实情况开展监督检查，重点检查制度建设、责任落实、软件采购、台账建立、使用管理等情况。第十五条 各单位须定期开展软件正版化自查工作，每年12月前完成本年度自查，并将自查报告及相关台账资料报送信息化服务中心备案。自查报告应包括软件使用基本情况、存在问题及整改措施等内容。第十六条 建立软件正版化工作考核评议制度，将软件正版化工作落实情况纳入各单位年度工作考核内容。对软件正版化工作成效显著的单位和个人，学校将予以表彰奖励。第五章 附则第十七条 本办法由信息化服务中心负责解释。第十八条 本办法未尽事宜，按照国家及海南省相关法律法规、政策规定执行。第十九条 本办法自发布之日起施行。以往学校相关规定与本办法不一致的，以本办法为准。海南大学信息化服务中心2021年6月10日 阅读全文 >

广西师范大学一卡通管理办法【师政办〔2021〕9号】 阅读全文 >

为规范校园网中心机房服务器的托管管理，明确信息化服务中心与托管单位双方的权责，特制定本管理办法。 第一条 托管对象 各单位自购的服务器等设备，用于学校教学、科研、管理，可申请放置在校园网中心机房托管。 第二条 申请办法 托管单位应填写《海南大学服务器托管申请表》，提供服务器、管理员、运行系统等相关信息，由信息化服务中心审核后安排实施。 第三条 信息化服务中心的权责 1. 提供标准的机房环境，提供Internet接入、服务器机柜、不间断电源、机房空调、地址转换与端口映射等服务。 2. 负责服务器物理位置的摆放、跳线分配、IP地址分配、网段划分、域名解析、防火墙端口开放、网络流量监控等工作，保证设备的物理安全和网络畅通。 3. 未经委托单位许可，信息化服务中心不得擅自更改托管服务器硬件、软件配置及各类数据。 4. 托管服务器因设备故障、中毒、遭遇网络攻击等影响其他系统或校园网正常运行时，信息化服务中心可暂停托管服务器运行并通知托管单位进行相应处理。 5. 特殊情况如长时间停电等，为防护服务器硬件受损、数据丢失，在联系不到托管单位责任人的情况下，信息化服务中心可代为关闭服务器。 第四条 托管单位的权责 1. 负责托管服务器硬件和软件系统的日常维护工作，包括：设备维护更新、软件安装升级、病毒防护、数据备份、信息安全等。托管期间如出现故障，由托管单位负责维修处理，信息化服务中心提供必要的便利和配合。 2. 托管单位自行解决服务器上所需软件的版权，以及由此造成的法律纠纷。如使用微软系列软件产品，应当使用学校软件正版化平台所提供的产品。 3. 托管服务器不得运行申请内容之外的服务，所发布的信息内容必须符合国家有关法律、法规、上级管理部门以及学校的相关规定。托管单位对所发布的信息负有全部责任。 4. 管理员一般通过信息化服务中心的堡垒机对被托管服务器进行监测管理，特殊情况需进入机房现场操作时，须经信息化服务中心管理人员同意并履行登记手续。在机房中仅可操作其所托管服务器，不得擅自动用与之无关的任何设备与系统。 5. 管理员应妥善保管登录账号和密码并定期（一般不超过半年）更改密码，管理人员或联系方式发生变化时，须及时更换相关密码并报信息化服务中心备案。 6. 托管单位管理员应为校园网内部用户，个别系统若需要校外用户进行远程管理，须书面申请并经本单位领导同意、加盖公章后，信息化服务中心方可开放校外操作权限，并通过VPN进行远程管理。 第五条、争议解决与不可抗力 1. 由于不可抗力因素引起断电、断网或供电、通信不稳定等造成服务器不能访问、数据丢失等问题，信息化服务中心不承担责任。 2. 由于电信、联通、教育网运营服务商原因造成的网络故障，由信息化服务中心负责积极与运营商联系，及时排除故障。 3 信息化服务中心保留对本规定的最终解释权。   附件：海南大学服务器托管申请表     二〇一九年十一月               海南大学服务器托管申请表 办理部门：信息化服务中心应用技术部 地址：海甸校区老理工楼214室 电话：66262857 申请单位 负责人 职务 联系电话 服务器管理员 职务 移动电话 托管服务器相关信息 品牌型号 序列号（S/N） 申请二级域名 .hainanu.edu.cn 开放端口 操作系统及版本 数据库及版本 硬件配置 用途 服务器托管须知1．负责人是指本单位分管领导，管理员必须是本单位职工；2．认真阅读《海南大学服务器托管管理办法》并遵守相关规定；3．托管单位负责服务器硬件和软件系统的日常维护，包括设备维护更新、软件升级、病毒防护、数据备份、信息安全等工作；4．托管服务器因设备故障、中毒、受到网络攻击等影响其他系统或校园网正常运行时，信息化服务中心可暂停服务器运行并通知托管单位快速处理；5．托管单位自行解决服务器上所需软件的版权，以及由此造成的法律纠纷。 管理员:   年 月 日 托管单位意见：本单位同意托管服务器，同时遵守相关托管规定，并承担相应责任。 负责人：   （盖章） 年 月 日 以下由信息化服务中心填写 信息化服务中心意见： 年 月 日 IP地址 安装位置 机房/ 机柜/ 位置 备注 阅读全文 >