校属各单位：

为进一步做好我校网络安全工作，贯彻落实上级关于网络安全工作的要求，严格落实网络安全责任制，全面提高网络安全意识，全面提升网络安全防护能力和管理水平，筑牢校园网络安全屏障，全校各级部门要进一步加强网络安全管理工作，切实提高防范化解网络安全风险隐患的能力。现将相关事宜通知如下。

一、严格落实网络安全责任制

1．加强领导，落实责任。各单位要充分认识网络安全保障工作的重要性和特殊性，加强组织领导，建立“党委/单位第一责任人亲自抓，分管负责人具体抓”的领导责任制，严格落实网络安全主体责任。

2．建立台账，清查资产。各单位按照“谁主管谁负责、谁运营谁负责、谁建设谁负责、谁使用谁负责”的原则，全面摸查本单位职责范围内的网站、信息系统等信息资产，建立本单位信息资产台账，做到本单位的信息资产运行状况底数清、情况明。

3．加强管理，落实整改。各单位完善更新本单位网络安全事件应急预案，明确网络安全应急处置联络人员，全面落实网络安全工作职责。建立网络安全风险隐患台账，全面排查存在的风险隐患并及时整改。

二、具体要求

1．各单位全面梳理本单位管辖范围内建设、管理、运行（包括本单位师生利用学校资源建设运行）的服务器和信息系统（网站）。未经备案审批的服务器、信息系统（网站）、App等互联网服务严禁发布运行。严禁师生利用校园网资源私自架设和提供信息系统和Web等服务。未经审批校内各单位原则上不允许在校外开设信息服务和存放学校敏感、重要数据。重视主机安全，安装终端杀毒软件，保护终端安全。

2．各单位对存在网络信息安全隐患、无业务加载、无人运维、无安防措施的服务，一律予以自行关停，若必须运行，要及时采取提升防护策略、限制访问等必要措施，并尽快与信息技术中心沟通确认。对不使用的各类联网终端设备，及时断网断电，杜绝安全事件的发生。

3．各单位重点排查双非（非本单位IP地址、非本单位域名）信息系统（网站）和使用频率低、长期未更新、无专人运维的“僵尸”信息系统（网站）。全面排查高危漏洞不修复、非必要端口及服务长期开启、陈旧版本基础软件和通用软件不更新、僵尸主机和系统不整改等问题，及时补齐网络安全短板，避免“一点突破、全网皆失”。

4．各单位全面梳理本单位管辖范围内建设、管理、运行的网站、微信公众号、微博、App、LED显示屏，严格执行“先审后发”信息发布审核制度，对已发布的历史内容进行全面检查，严禁不良信息向互联网传播。各单位对公共区域LED显示屏进行梳理，确保其保持离线运行状态，明确责任人，妥善保管控制终端的用户及密码。

5．各单位务必规范各类信息数据的收集、存储、使用和管理工作，加强个人信息保护，严防师生隐私数据泄露，做好重要数据的备份，将数据安全保护工作意识与责任意识、保密意识结合起来，全面提高数据安全保护意识。

6．全面排查各单位网站及信息系统对外发布的内容，及时删除包含公民个人身份敏感信息的内容，或对相关信息进行脱敏处理，及时整改表述不当、存在暗链/盗链等不良信息的内容。

7．各单位对自建自管、托管于信息技术中心的服务器及相关服务进行全面检查，及时更新系统漏洞补丁，做好安全防护策略，及时整改存在的安全隐患。

8．各单位加强本单位网站、信息系统和办公邮箱的用户名和口令管理，清理所有弱口令，系统初始化时采用足够强度的口令初始化策略，杜绝默认口令、弱口令、通用口令等安全隐患，及时更新口令，加强对暴力破解的防范。要完善规范所属业务系统的密码修改流程，用户申请修改密码时，务必核实本人身份，严禁他人代替本人修改密码。

9.加强信息系统后台管理，将管理员登录界面限制到校内访问（尽可能限制管理员登录界面只能由管理员IP地址登录），严禁非管理员账号及校外IP地址访问管理员登录界面。

10．各单位加强本单位重要系统、数据的安全管理和防护，严格限制访问授权，加强检查，及时发现和处置非授权访问等异常情况，加强本单位重要系统、数据的保护和备份。

11.校内各单位使用其他单位或向校内其他单位提供数据资源的，应严格按照《燕山大学数据资源管理办法（试行）》要求进行审批和管控，严禁未经审批向校外提供学校重要数据和敏感数据。

12．加强邮箱内容管理，严防钓鱼邮件攻击。以校内各单位名义发送、收取、存储、处理、转发邮件的邮箱，一律使用域名为ysu.edu.cn的校内办公邮箱，邮箱内的邮件要定期（每月）进行备份清理，不得存储大量公务信息。原则上严禁使用互联网邮箱以燕山大学校内各单位名义发送、收取、存储、处理、转发邮件（因特殊情况确实需要使用互联网邮箱的，责任单位需提交情况说明进行审批备案）。各单位已在使用的互联网办公邮箱，一律禁止用于办公，并全部清除邮箱内存储的办公文件。近期针对特定行业、群体的规模化邮件攻击频发，请提醒本单位师生提高警惕，不明来历的邮件不查看，未知链接不下载。

13．各单位督促本单位师生提升对知识产权保护和计算机系统安全的认识，普及使用校园正版操作系统和办公软件，登录软件正版化管理与服务平台（http://software.ysu.edu.cn）下载使用正版操作系统和办公软件。有意愿使用国产操作系统的师生，可访问信创应用生态联合实验室网站（http://itai.ysu.edu.cn）下载安装使用。鉴于微软已停止提供windows7安全补丁更新，请各单位排查自有办公电脑操作系统，尽快完成windows7替换或升级工作。

14．全面排查本单位信息系统是否存在参与虚拟货币挖矿行为，信息技术中心将开展常态化网络安全监测，一旦发现利用校内信息系统算力进行非法挖矿的行为，立即停止互联网接入，并依法按规定流程处置。如本单位存在从事相关研究的，必须与学科建设相匹配，并在满足科研、教学条件下尽量缩减规模，并报信息技术中心备案，未经备案，严禁开展相关活动。

15．各单位要定期开展网络安全学习，积极响应落实上级及学校网络安全宣传教育工作，联动开展网络安全宣传教育活动。

三、应急响应

1．各单位明确网络安全负责人和应急联系人，网络安全负责人和应急联系人务必保持7*24小时通讯畅通。

2．重要时间节点，各单位务必加强对其所属运行的网站、应用系统的网络安全应急值守工作，相关责任人和管理员要保持7*24小时通讯畅通，并可随时到场。

3.一旦发生网络安全事件，按照《燕山大学网络安全突发事件应急预案》的要求，第一时间中断服务（拔掉相关服务器和网络设备网线），保留现场，同时报信息技术中心（靳玮钰，8051286）。

四、其他

由于学校机构和人员调整，按照网络安全责任制要求，请各单位网络安全负责人签订《网络安全承诺书》（见附件1），更新各单位网络安全联络员名单和本单位信息资产台账（见附件2和附件3），并于3月8日前，将纸质版提交至东区老图书馆603B室，将附件2和附件3电子版发送至邮箱yit@ysu.edu.cn。

咨询电话：8051286     靳老师。

附件：1.《网络安全责任书》

          2.网络安全联络人信息表

          3.燕山大学二级单位信息系统及服务平台名录

信息技术中心

2024年3月3日