为有效预防并科学应对网络与信息安全突发事件，确保校园网络与信息系统正常运行，根据《信息安全事件分类分级指南》（GB/T20986-2007）、《教育系统网络安全事件应急预案》（教技〔2018〕8号）、《信息技术安全事件报告与处置流程》（教技厅函〔2014〕75号）等国家和教育行业有关法律法规，结合学校工作实际，特制定本规程。
第一章 总则
第一条 校园网络与信息安全事件是指校园信息化基础设施、应用系统、网站、系统数据等因各种因素遭到破坏，对学校工作、师生学习、生活秩序造成负面影响的事件。
第二条 处置流程遵循“统一领导，预防为本、快速反应，科学处置”的原则，最大可能的降低危害和影响。
第二章 网络与信息安全事件分级
第三条 网络与信息安全事件依据发生过程、性质和特征不同，可分为以下四类：
（一）网络攻击事件：由于遭受有害程序感染、非法入侵或其他技术手段攻击，造成校园网络和信息系统运行异常或存在潜在危险，或造成信息被篡改、假冒、泄漏、窃取等而导致的信息安全事件。
（二）设备故障事件：由于信息系统或外围软硬件设施故障、人为误操作等，造成信息系统破坏、业务中断、系统宕机、网络瘫痪等导致的信息安全事件。
（三）灾害性事件：因洪水、火灾、雷击、地震、台风、非正常停电等外力因素造成网络与信息系统损毁，导致业务中断、系统宕机、网络瘫痪等安全事件。
（四）信息内容安全事件：利用校园网络在校内外传播法律法规禁止的信息、涉及师生隐私的信息，组织非法串联、煽动集会游行或炒作敏感问题并危害国家安全、社会稳定和公众利益的事件。
第四条 网络与信息安全事件按照可控性、严重程度和影响范围不同,可划分为四级：
（一）Ⅰ级（特别重大）：事件导致发生全校性大规模网络及系统瘫痪，或由于网站非法信息引发学校大规模群体性事件，对学校正常工作造成特别严重损害，造成严重社会影响，事态发展超出学校控制能力。
（二）Ⅱ级（重大）：导致校园网发生全校性瘫痪，或由于网站非法信息引发师生反应强烈并有过激行为，对学校正常工作造成严重损害，并造成一定社会影响。
（三）Ⅲ级（较大）：事件导致校园网某一区域的重要网络与信息应用系统瘫痪，或由于网站敏感信息、师生隐私信息、谣言等，对学校正常工作造成一定损害，但未造成社会影响。
（四）Ⅳ级（一般）：事件导致某一局部网络或信息应用系统受到一定程度损坏，学校工作受到一定影响，但不危害学校整体工作。
第三章 组织机构及职责
第五条 学校网络安全和信息领导小组为网络与信息安全事件应急处理领导机构，信息中心负责具体处置工作。其职责包括：
（一）负责网络与信息安全工作的组织、协调和监督，制定相关制度和应急预案；
（二）根据网络与信息安全事件程度提出相应级别预案的启动，组织协调成员单位落实应急预案，共同做好处置工作；
（三）负责及时收集、通报和上报网络与信息安全事件处置的有关情况；
（四）对全校各单位贯彻执行预案以及在事件处置工作中履行职责情况进行检查督办。
第六条 其它单位职责包括：
（一）党委（学校）办公室：牵头组织重大敏感时期、重要活动、重要会议期间发生的信息安全事件的协调处置；负责涉密事件的处理。
（二）信息中心：负责校园基础网络及公共服务信息系统安全，保证校园网络信息服务不中断；负责网络攻击、设备故障类事件的处置；负责全校网络与信息安全事件处置的技术支持工作。
（三）党委宣传部：负责学校舆情监测和信息内容安全类事件的处置，对于涉及师生政治思想方面的预警性、倾向性、苗头性的问题，要加强分析研判，妥善有效应对。
（四）保卫处：密切联系公安部门，负责涉及人为破坏类事件的处置，配合重大安全事件的处置。
（五）财务处：按照相关规定，确保网络和信息安全值班及安全事件处置所需经费。
第七条 各单位负责本单位网站和业务系统的信息安全事件的处置工作，应对照本预案，建立本单位应急处置机制。
第四章 监控预防
第八条 按照“谁主管谁负责、谁运维谁负责、谁使用谁负责”的原则，各单位要做好网络和信息安全事件的隐患排查工作，制定和完善管理制度，做好日常管理和监控，避免和减少网络与信息安全事件的发生和危害。
第九条 健全技术防护体系。信息中心在校园网出入口、数据中心、重要信息系统等重要部位，安装必要的安全防御检测工具，进行实时监测和定期扫描，发现异常情况及时防范处理并逐级报告，同时做好学校服务器操作系统升级杀毒，数据备份、安全审计等日常管理工作，督促各单位做好本单位服务器操作系统升级杀毒，数据备份、安全审计等日常管理工作。
第十条 建立安全事件巡查制度。各单位应负责所主办网站内容的日常监控，信息中心及宣传部定期开展巡检工作，做好校园网络与信息安全的日常巡查及日志保存工作，以保证最先发现安全事件并及时处置突发性安全事件。
第十一条 最先发现或接到发生网络与信息安全事件的单位或个人，要第一时间向信息中心报告，报告内容包括事件的时间、地点、规模、涉及人员和损失情况，事件的危害影响程度和发展趋势等基本情况。
第五章 处置程序
第十二条 启动预案：发生网络与信息安全事件后，信息中心和涉事部门应第一时间采取断网等有效措施，将损害和影响降低到最小范围，保留现场，并报告本单位分管网络安全和信息化的领导和信息中心负责人，填写《兰州文理学院网络与信息安全事件情况报告》。
第十三条 事件定级：信息中心组织有关单位，尽最大可能收集事件相关信息，鉴别事件性质，确定事件来源，弄清事件范围，评估事件带来的影响和损害，确认事件的类别和等级。
第十四条 应急响应：根据事件等级采取相应的响应方式
（一）IV级：信息中心组织相关单位及时、自主进行应急处置，做好处置记录。
（二）III至II级：信息中心应立即上报网络安全和信息化领导小组，由领导小组指挥、协调成员单位进行应急处置。涉及人为主观破坏事件时由学校保卫处报告当地公安部门。
（三）I级：信息中心直接上报网络安全和信息化领导小组组长，由学校报告教育主管部门和当地公安部门，公安部门指挥协调有关单位和学校协同进行应急处置。
第十五条 应急处理方式：根据网络与信息安全事件分类采取不同应急处置方式。
（一）网络攻击事件：判断攻击的来源与性质，关闭影响安全的网络设备和服务器设备，断开信息系统与攻击来源的网络物理连接，跟踪并锁定攻击来源的IP地址或其它网络用户信息，修复被破坏的信息，恢复信息系统。按照事件发生的性质采取以下方案：
1．病毒传播：及时寻找并断开传播源，判断病毒的类型、性质、可能的危害范围；为避免产生更大的损失，保护健康的计算机，必要时可关闭相应的端口，甚至相应楼层的网络，及时请有关技术人员协助进行杀毒处理。
2．外部入侵：判断入侵的来源，区分外网与内网，评价入侵可能或已经造成的危害。对入侵未遂、未造成损害的，且评价威胁很小的外网入侵，定位入侵的IP地址，及时关闭入侵的端口，限制入侵的IP地址的访问。对于已经造成危害的，应立即采用断开网络连接的方法，避免造成更大损失和影响。
3．内部入侵：查清入侵来源，如IP地址、账号、所在办公室等信息，同时断开对应的交换机端口，针对入侵方法调整或更新入侵检测设备。对于无法制止的多点入侵和造成损害的，应及时关闭被入侵的服务器或相应设备。
（二）设备故障事件：判断故障发生点和故障原因，迅速联系设备厂家或IT运维公司尽快抢修故障设备，优先保证校园网主干网络和主要应用系统的运转。
（三）灾害性事件：根据实际情况，在保障人身安全的前提下，保障数据安全和设备安全。具体方法包括：硬盘的拔出与保存，设备的断电与拆卸、搬迁等。
（四）信息内容安全事件：接到校内网站出现不良信息或信息泄露的通知后，应迅速断开网络访问，阻止信息传播，查找信息发布人并做好善后处理。对公安机关要求学校协查的外网不良信息事件，根据校园网上网相关记录查找信息发布人。
（五）其它不确定安全事件：可根据总的安全原则，结合具体情况，做出相应处理，不能处理的及时咨询国家信息安全机构。
第十六条 后续处理：
（一）安全事件最初应急处置后，应及时采取措施，抑制其影响进一步扩大，限制潜在的损失与破坏，同时要确保应急处置措施对涉及的相关业务影响最小。
（二）安全事件被抑制后，通过对有关事件或行为的分析结果，找出问题根源，明确相应补救措施并彻底清除。
（三）安全事件解决后，要及时清理系统，恢复数据、程序、服务，恢复工作应避免出现误操作导致的数据丢失。
第十七条 总结上报
（一）系统恢复运行后，信息中心依据相关单位填写的《兰州文理学院网络与信息安全事件整改报告》，对事件造成的损失、事件处理流程等进行分析评估，总结经验教训，撰写事件处理报告，报学校网络安全和信息化领导小组。
（二）发生Ⅲ至I级事件，在报告学校的同时，应按照教育部办公厅《信息技术安全事件报告与处置流程》（教技厅函〔2014〕75号）报告上级主管部门，同时抄报甘肃省委网络安全和信息化委员会办公室和甘肃省教育厅，属于重大事件或存在非法犯罪行为的，还须第一时间向公安机关报案。
第六章 责任追究
第十八条 依据《兰州文理学院校园网络信息安全责任追究制度》对发生主体事故责任的单位或个人追究相应责任，属于重大事件或存在非法犯罪行为的移交公安机关处理。
第七章 附则
第十八条 本办法自发布之日起施行。
附件1
兰州文理学院网络与信息安全责任追究制度
第一章 总则
第一条 为明确网络与信息安全事故责任主体(以下简称“责任主体”)，追究网络与信息安全事故的责任，结合学校实际情况，制定本制度。责任主体的范围包括学院、部门、科室或个人等。
第二条 负责追究责任主体事故责任的单位或个人统称为责任追究主体，包括学校各二级单位或各级领导等。
第三条 本制度适用于兰州文理学院，各单位应根据本制度制定具体实施细则。
第四条 网络与信息安全事故责任认定实行“谁主管谁负责、谁使用谁负责”的原则。
第五条 发生网络与信息安全事故后，应根据安全事件造成的影响及相关责任主体的态度，作出如下处理：
(1)批评教育。包括对责任主体进行批评教育，责令学习相关法律法规等；
(2)书面检查。责令责任主体向上级主管领导作出书面检查；
(3)通报批评。在部门范围内对责任主体发文通报，责令整改；
(4)一般处理。降低或扣除责任主体的岗位津贴，将事故写入月度或年度考核中；
(5)严肃处理。追究网络与信息安全事故发生负有领导责任的负责人的管理责任，发生严重网络与信息安全事故的，对相关责任人处以罚款、责令其赔偿事故损失、全校通报批评、降职处理、直至开除。
(6)报警处理。严重损坏社会或国家利益的，上报当地公安部门处理。
第六条 责任追究应当坚持公平公正、有责必究、过罚相当、教育与惩戒相结合的原则。
第二章 责任追究范围和适用
第七条 责任主体有下列行为之一者，应对其进行批评教育或责令其作出书面检查：
(1)发生一般或较大安全事件，未按要求上报的；
(2)未按规定落实相关网络与信息安全管理制度及技术规范，且未导致安全事件发生的；
(3)发生重大安全事件后，对调查工作配合不力的。
第八条 责任主体有下列行为之一者，应当责令其作出书面检查或通报批评：
(1)发生重大安全事件，未按要求上报的；
(2)未按规定落实相关网络与信息安全管理制度及技术规范，导致一般或较大安全事件发生的；
(3)发生重大或特别重大安全事件，且发生安全事件后处理及时，未对学校财产或声誉造成影响的；
(4)经过批评教育或责令作出书面检查后，仍不按规定落实相关网络与信息安全管理制度及技术规范的；
(5)发生特别重大安全事件后，对调查工作配合不力的。
第九条 责任主体有下列行为之一者，应当予以通报批评或一般处理：
(1)发生特别重大安全事件，未按要求上报的；
(2)发生重大或特别重大安全事件，且发生安全事件后处理不及时，给学校财产或声誉带来一定影响的；
(3)发生特别重大安全事件后，对调查工作不配合的。
第十条 责任主体有下列行为之一者，应当予以严肃处理，情况十分严重者应报警处理：
(1)发生重大或特别重大安全事件造成后果严重并刻意隐瞒或谎报，造成恶劣影响的；
(2)未按规定落实相关网络与信息安全管理制度及技术规范导致发生重大或特别重大安全事件，且发生安全事件后处理不及时，给学校财产或声誉带来恶劣影响的；
(3)发生安全事件后销毁证据、弄虚作假的。
第十一条 对应追究责任主体责任而敷衍结案、弄虚作假的，应当对责任追究主体通报批评。
第十二条 有下列情形之一者，不追究责任主体的责任：
(1)因不可抗力导致发生的网络与信息安全事故；
(2)有充分证据证明完全落实了相关安全要求，由未知原因导致网络与信息安全事故发生的。
第十三条 责任主体主动承认过错并及时修补管理或技术漏洞，减少损失、挽回影响，态度非常好的，应当予以从轻或减轻责任追究。
第三章 责任追究程序和实施
第十四条 责任追究过程采用层层负责制，下级责任追究主体对上级责任追究主体负责。
第十五条 责任追究程序包括调查、对调查报告审核、作出责任追究决定等。
第十六条 对网络与信息安全事故的调查和对事故责任的初步定性由信息中心及相应的主管部门共同负责，并对调查报告进行审核。
第十七条 调查报告的审核重点：
(一)事故的事实是否清楚；
(二)证据是否确实、充分；
(三)性质认定是否准确；
(四)责任划分是否明确。
第十八条 责任追究决定：
(一)对责任主体作出批评教育、责令作出书面检查、通报批评时，由责任主体所在部门或信息中心直接决定。
(二)对责任主体作出一般处理、严肃处理时，由责任主体所在部门或主管部门形成书面意见，送交学校网络安全和信息化领导小组办公室审核，上报学校通过后执行。
第十九条 对责任主体的追究决定由对应的主管部门、信息中心等职能部门分别负责实施。
第四章 附则
第二十条 本制度自发布之日起执行。
