關于進一步加強我校數(shù)據(jù)安全和個人信息保護的通知

校屬各單位：

為深入貫徹落實《陜西省教育廳辦公室關于進一步加強數(shù)據(jù)安全和個人信息保護的通知（陜教信辦〔2020〕2號）》文件精神，增強我校各單位數(shù)據(jù)安全意識，提升廣大師生的數(shù)據(jù)安全和個人信息保護能力，切實保護我校師生個人信息安全，防止個人信息的泄露，現(xiàn)將我校進一步加強數(shù)據(jù)安全和個人信息保護的要求通知如下：

一、強化數(shù)據(jù)安全意識，落實數(shù)據(jù)安全和個人信息保護責任

各單位應嚴格按照《中華人民共和國網(wǎng)絡安全法》《信息安全技術網(wǎng)絡安全等級保護基本要求（GB/T 22239-2019）》等法律法規(guī)以及規(guī)范要求，充分認識數(shù)據(jù)安全和個人信息保護工作的重要性和緊迫性，強化數(shù)據(jù)安全和個人信息保護意識，按照“誰主管誰負責、誰運維誰負責、誰使用誰負責”的原則明確本部門數(shù)據(jù)安全和個人信息保護責任人。

二、開展數(shù)據(jù)安全自查，全面摸清底數(shù)

各單位重點排查本單位相關信息系統(tǒng)、網(wǎng)站及線下數(shù)據(jù)采集、保存、傳遞、處理、應用、銷毀等環(huán)節(jié)中可能存在的數(shù)據(jù)安全風險點，特別是涉及師生個人信息和隱私泄露的風險點，切實保障師生個人信息安全。

相關單位要嚴格按照下述自查內(nèi)容逐條排查，并及時整改發(fā)現(xiàn)的問題和風險隱患，自查的主要內(nèi)容包括:

（一）數(shù)據(jù)安全管理組織機構。各單位是否認真落實，嚴格遵守，建立以主要負責人負責的網(wǎng)絡安全責任制。

（二）數(shù)據(jù)全生命周期管理情況。各單位是否按照《中華人民共和國網(wǎng)絡安全法》《兒童個人信息網(wǎng)絡保護規(guī)定》等制度的要求，采集必要數(shù)據(jù)和個人信息。數(shù)據(jù)采集是否嚴格遵循最小范圍原則。是否嚴格控制數(shù)據(jù)在采集、存儲、傳遞、處理、應用、銷毀等各環(huán)節(jié)中的知悉范圍。

（三）網(wǎng)絡安全相關備案辦理情況。是否按照信息與網(wǎng)絡管理中心要求對信息系統(tǒng)、網(wǎng)站進行備案。在發(fā)生新增、變更、撤銷時是否及時對備案信息進行更新（在我校“網(wǎng)上辦事大廳”中進行信息系統(tǒng)及網(wǎng)站的備案申請）。

（四）網(wǎng)絡安全技術措施落實情況。重點檢查訪問控制、日志留存、數(shù)據(jù)加密、防篡改、防泄密等技術措施的有效性，信息系統(tǒng)是否存在安全漏洞，以及電腦、移動存儲設備、電子文檔的安全防護措施。

（五）線下數(shù)據(jù)安全和個人信息保護情況。檢查線下數(shù)據(jù)采集、保存、傳遞、處理、應用、銷毀等環(huán)節(jié)中是否存在風險點，是否落實了切實有效的保護制度，杜絕非法使用、提供、出售師生個人信息的行為。

三、強化數(shù)據(jù)信息全生命周期管理，切實做好線上線下安全防護

各單位應切實加強數(shù)據(jù)在采集、存儲、傳輸、處理、應用、共享、銷毀等全生命周期的安全防護，嚴防信息泄露。確保應用系統(tǒng)管理和線下數(shù)據(jù)安全責任落實到人，特別是涉及招生、教務、財務、人事、學生等信息的管理。信息系統(tǒng)需強化口令控制、病毒掃描、漏洞補丁等基礎安全措施，確保各類硬件設備安全可控。對信息系統(tǒng)的操作行為進行身份標識、口令限制、訪問控制和操作管理審計。安排專人管理信息系統(tǒng)所涉及的數(shù)據(jù)信息，規(guī)范各類管理人員對數(shù)據(jù)庫管理操作，加強數(shù)據(jù)操作記錄審計和追溯，避免數(shù)據(jù)信息泄露。

重點注意事項如下：

（一）嚴格控制身份證號、電話號碼、家庭住址等個人敏感信息收集，原則上不采集未成年人的人臉、指紋等生物識別信息。

（二）禁止通過公共郵箱和微信、QQ等公共即時通訊工具傳遞非涉密重要數(shù)據(jù)。重要數(shù)據(jù)不得通過公共互聯(lián)網(wǎng)傳遞。

（三）各單位收集產(chǎn)生的重要數(shù)據(jù)和個人信息，不得用于商業(yè)用途，未經(jīng)收集數(shù)據(jù)的批準部門同意，不能與第三方共享。

（四）因階段性工作收集產(chǎn)生的重要數(shù)據(jù)和個人信息，在相應工作結束后（如因疫情防控收集的相關數(shù)據(jù)，在疫情防控工作結束后），相關數(shù)據(jù)原則上不能保留。

（五）禁止發(fā)布（上傳）包含個人數(shù)據(jù)和敏感信息的內(nèi)容。

（六）要加強對各類賬號和密碼的管理，定期更換密碼、杜絕弱口令。

（七）各單位自建的業(yè)務信息系統(tǒng)要及時打補丁和封堵漏洞。

（八）加強對移動存儲介質和筆記本電腦的管理，采取有效措施防范因失竊而造成的個人數(shù)據(jù)和敏感信息泄露。

四、完善工作機制，提升數(shù)據(jù)安全事件應急處理能力

各單位應加強對網(wǎng)絡隱患的日常監(jiān)測，保證對網(wǎng)絡安全事件做到快速覺察、快速反應、及時處理、及時恢復。各單位應進一步規(guī)范線下個人信息采集、保存、傳遞、處理、應用、銷毀等環(huán)節(jié)的相關工作，加強師生個人信息保護，落實數(shù)據(jù)安全責任，防止師生個人信息泄露。

對于發(fā)生數(shù)據(jù)泄露事件的，應按照《陜西科技大學網(wǎng)絡安全事件應急預案》的要求及時報送相關部門，并妥善處置，將影響降到最低。

信息與網(wǎng)絡管理中心

2020年6月18日