一、校园网络与信息安全类突发事件等级确认与划分
根据学校校园网络特点、可能造成的危险、可能发展蔓延的趋势等，学校校园网络网络与信息安全类突发公共事件为四级，其中电视播出安全事件按照广电局制定标准分级，不包括在下列分级标准中。
（一）一般校园网络与信息安全事件（IV级）。校园网内出现对学校校园网络安全和稳定构成一定威胁，对学校教学、科研和生活秩序产生一定影响的网络与信息安全事件，为一般网络与信息安全事件（IV级）。
（二）较大校园网络与信息安全事件（III级）。符合下列情形之一的，为较大网络与信息安全事件（III级）：
1.校园网信息系统中断运行造成较严重影响的。
2.校园网内信息系统中的数据丢失或被窃取、篡改、假冒，对学校校园网络安全和稳定构成较大威胁。
3.出现通过校园网传播反动信息、煽动性信息、涉密信息、谣言等情况，对学校校园网络安全和稳定构成较大危害，对学校教学、科研和生活秩序产生一定影响，引起师生广泛关注的事件。
4.其他对学校校园网络安全和稳定构成较大威胁、造成较大影响的网络与信息安全事件。
（三）重大校园网络与信息安全事件（II级）。符合下列情形之一的，为重大网络与信息安全事件（II级）：
1.校园网内信息系统中断运行24小时以上。
2.校园网内信息系统中的数据丢失或被盗取、篡改、假冒，对学校校园网络安全和稳定构成较大的威胁。
3.出现通过校园网传播反动信息、煽动性信息、涉密信息、谣言等情况，对学校校园网络安全和稳定构成较大危害，引发学校突发群体性事件，对学校教学、科研和生活秩序产生较大影响，师生反应强烈的事件。
4.其他对学校校园网络安全和稳定构成重大威胁、造成重大影响的网络信息安全事件。
（四）特别重大校园网络与信息安全事件（Ⅰ级）。符合下列情形之一的，为特别重大网络与信息安全事件（Ⅰ级）：
1.校园网内信息系统中断运行48小时以上。
2.校园网内信息系统中的数据丢失或被盗取、篡改、假冒，对学校校园网络安全和稳定构成特别严重威胁。
3.出现通过校园网传播反动信息、煽动性信息、涉密信息、谣言等情况，对学校校园网络安全和稳定构成特别严重危害，引发学校大规模突发群体性事件，对学校教学、科研和生活秩序产生严重影响，教育教学活动无法正常进行，师生反应强烈并有过激行为的事件。
4.其他对学校校园网络安全和稳定构成严重威胁、造成严重影响的网络与信息安全事件。
二、校园网络与信息安全类突发事件预防和预警机制
（一）预防措施
学校网络中心应按国家法律法规和安全管理规定，应做好网络与信息安全事件的风险评估和隐患排查工作，制订，完善相关应急预案，及时采取有效措施，避免和减少网络与信息安全事件的发生及其危害。具体措施包括：
1.明确职责和管理范围：
学校局域网（主要为校园网）的网络与信息安全保障工作由学校网络、信息中心负责。学校网络与信息安全主管部门及网络中心要预先对校园网络与信息安全类突发事件预警预报体系进行建设，开展校园网络与信息安全类突发事件调查，编制校园网络与信息安全类突发事件防治规划，建设专业监测网络，并规划建设校园网络与信息安全类突发事件信息管理系统，及时处理校园网络与信息安全类突发事件讯情信息。明确与当地公安部门、信息产业部门、通信管理局等国家安全管理相关部门的衔接，明确与当地电信运营商、供电公司等运行安全相关单位的责任划分和应急协调机制。
2.加强教育引导：全面加强师生思想政治教育工作，掌握师生动态。按照早发现、早报告、早控制、早解决的要求，把问题解决在萌芽状态，把风险控制在一定范围内。
3.完善应急管理制度：建立严格的应急管理制度，负责制定学校相关的应急预案、网络管理、机房管理、保密协议等规定，通过培训等手段不断提高管理人员的技术水平、责任意识和安全意识。
建立健全灾情速报制度，保障突发性校园网络与信息安全类突发事件紧急信息报送渠道畅通。属于大型校园网络与信息安全类突发事件的，在向主管部门报告的同时，还应向当地公安局计算机信息安全监察科报告。
4.加强技术防范措施：
（1）建立安全、稳定的网络运行环境，加强网络与信息安全的防护措施，在校园网出入口安装必要的监测系统，定期对校园网进行网络漏洞扫描，实时监测局域网和关键信息系统。
（2）重要信息系统要采取高可靠设备，使用成熟稳定的系统与应用软件，进行必要的数据备份;采取有效的安全保护手段，及时进行系统更新并为系统打补丁；遵守安全操作规范，关闭所有不必要服务、账户；严格限制内部用户的访问权限；对关键系统实施全时动态监测。
（3）建立严格的信息上网审查制度，有效阻止网上不良信息传播。主要环节包括：网络边界的访问控制；反垃圾邮件措施；Ｗｅｂ和ＦＴＰ服务器２４小时实时监控等。在校内督查不折不扣落实“用户实名注册”措施。
（二）监测预警。建立严格的信息报送机制，完善快速应急处置的信息处理机制：
1.信息报送流程：
校园网络与信息安全类突发事件发生时，一方面按照应急处置方法进行处置，同时需要判定校园网络与信息安全类突发事件的级别，首先向学校主管部门汇报。在II级和Ⅰ级突发事件发生时或上级领导通知的特殊时间内发生的突发事件，可以同时向当地公安局计算机信息系统安全监察科汇报。IV级和III级的校园网络与信息安全类突发事件，可以只向学校的主管汇报，并及时报告处置工作进展情况，直至处置工作结束。
情况报告内容包括：校园网络与信息安全类突发事件发生的时间、地点，该事件的级别，该事件造成的后果，应急处置的过程、结果，该事件结束的时间，以后如何防范类似事件发生的建议与方案等。
2.信息处理机制：
在校园网络与信息安全类突发事件发生时，首先应区分该事件发生是否为自然灾害与人为破坏两种情况，根据这两种情况把应急处置方法分为两个流程。
流程一：当发生的突发事件为自然灾害时，应根据当时的实际情况，在保障人身安全的前提下，首先保障数据的安全，然后是设备安全。具体方法包括：设备的断电与拆卸、搬迁等。
流程二：当人为或病毒破坏的突发事件发生时，具体按以下顺序进行：判断破坏的来源与性质，断开影响安全与稳定的信息网络设备，断开与破坏来源的网络物理连接，跟踪并锁定破坏来源的IP或其它网络用户信息，修复被破坏的信息，恢复信息系统。按照校园网络与信息安全类突发事件发生的性质分别采用以下方案：
（1）病毒传播：针对这种现象，要及时断开传播源，判断病毒的性质、采用的端口，然后关闭相应的端口，在公布病毒攻击信息以及防御方法。
（2）入侵：对于网络入侵，首先要判断入侵的来源，区分外网与内网。入侵来自外网的，定位入侵的IP地址，及时关闭入侵的端口，限制入侵地IP地址的访问，在无法制止的情况下可以采用断开网络连接的方法。入侵来自内网的，查清入侵来源，如IP地址等信息，同时断开对应的交换机端口。
（3）信息被篡改：这种情况，要求一经发现马上断开相应的信息上网链接，并尽快恢复。
（4）网络故障：一旦发现，可根据相应工作流程尽快排除。
（5）其它没有列出的不确定因素造成的校园网络与信息安全类突发事件，可根据总的安全原则，结合具体的情况，做出相应的处理。不能处理的可以请示相关的专业人员。
（三）预警响应：
突发事件发生时，可根据突发事件的危害程度适当地发布预警，特别是一些在其它地方已经出现，或在安全相关网站发布了预警而校园网还没有出现相应的突发事件，除了在技术上进行防范以外，还应当向全体用户发布预警，直至网络与信息安全类突发事件警报解除。根据预警信息，学校要加强对本部门、本地区的网络与信息系统安全状况的监测，做好应急处理准备工作。
三、校园网络与信息安全类突发事件应急处置
（一）应急响应
1.一般（IV级）和较大（III级）校园网络与信息安全事件应急响应
事发学校的应急响应：事发学校在校党委领导下，启动本校网络与信息安全事件应急预案，保持24小时联络畅通，相关人员24小时值班；密切掌握事件发展的情况，及时向当地和上级主管教育行政部门汇报；组织专家组和应急技术支撑队伍到现场了解实际情况，研究解决方案，有针对性地加强防范，及时恢复受破坏信息系统正常运行，防止事件蔓延；对于信息内容安全事件要及时采取有效措施，阻止网上不良信息传播；及时开展调查取证，在应急恢复过程中应尽量保留相关数据，对于人为破坏活动，应报当地公安、网安办等相关部门，开展侦查和调查工作。
2.重大（1Ⅰ级）校园网络与信息安全事件应急响应
除按照（IV级）和（III级）校园网络与信息安全事件的应急反应要求，组织实施相应的应急措施外，事发地的指挥机构进入应急状态，做好应急处置工作；相关应急小组在协调小组的统一部署下实施技术处置工作；有针对性地加强防范，防止造成更大范围影响和损失。掌握事件动态，及时将事件进展情况上报省校园网络与信息安全工作组办公室。
3.特别重大（I级）校园网络与信息安全事件应急响应
启动Ⅰ级响应，通报相关单位采取措施；在当地党委、政府的统一领导指挥下，负责本部门应急处置工作或支撑保障工作，24小时值班；立即全面通报信息系统主管部门其主管范围内的信息系统是否受到事件的波及或影响，及时将检查影响的范围、事态发展变化和处置进展情况上报省校园网络与信息安全工作组办公室。
组织、督促相关运行单位有针对性地加强防范，尽快控制事态，防止事件蔓延至其他信息系统。督促事发单位在应急恢复过程中尽量保留相关证据，对于人为破坏活动，应上报省网安办组织开展侦查和调查取证工作。督促事发单位要根据事件发生原因，有针对性地采取措施，消除隐患，恢复受破坏信息系统正常运行；对于信息内容安全事件要及时采取必要的管控措施，有效阻止网上不良信息传播。
（二）应急处置措施：
若影响的范围较小，能够自己解决，则立刻备份、删除。若造成的影响大，不能够独立解决，则启动该预案，并追查到个人。备份不良信息出现的目录、备份不良信息出现时间前后一个星期内的HTTP连接日志、备份防火墙中不良信息出现时间前后一个星期内的网络连接日志。全面查对HTTP日志，防火墙网络连接日志，确定该不良信息的源IP地址，如果来自校内，则立刻全面升级此次事件为最高紧急事件，立刻向领导汇报。
按以下分类进行应急处置：
1.有害程序事件、网络攻击事件的应急处置。
有害程序事件分为计算机病毒事件、蠕虫事件、特洛伊木马事件、僵尸网路事件、混合程序攻击事件、网页内嵌恶意代码事件和其他有害程序事件；网络攻击事件分为拒绝服务攻击事件、后门攻击事件、漏洞攻击事件、网络扫描窃听事件、网络钓鱼事件、干扰事件和其他网络攻击事件。由所属网络中心按照应急流程处置。对于大规模、影响较大的恶意移动代码、拒绝服务攻击、系统入侵和端口扫描处置：
（1）通知应急管理负责人和中心主管，决定上报或通报；
（2）按预案通知相关网络管理员采取措施，或直接实时控制；
（3）处置人员记录事件处理步骤和结果，总结报告。
2.信息内容安全事件、信息破坏事件的应急处置。
信息内容安全事件是指通过网络传播法律法规禁止信息，组织非法串联、煽动集会游行或炒作敏感问题并危害校园安全、学校稳定和师生权益的事件；信息破坏事件分为信息篡改事件、信息假冒事件、信息泄露事件、信息窃取事件、信息丢失事件和其他信息破坏事件。发生信息内容安全事件、信息破坏事件，应紧急联系信息主管负责人，及时消除非法信息，恢复系统。无法迅速消除或恢复系统、影响较大时实施紧急关闭，并紧急上报。
3.设备设施故障、校园网络与信息安全类突发事件性事件的应急处置。
设备设施故障分为软硬件自身故障、外围保障设施故障、人为破坏事故和其他设备设施故障。校园网络与信息安全类突发事件性事件是指由自然灾害等其他突发事件导致的网络与信息安全事件，由网络中心处置。对火灾、盗窃、破坏等紧急事件按照国家校方有关法律法规、单位有关规定处理。对运行关键部位实施24×7小时保卫。禁止任何非授权人员进入。
网络运行过程中设备设施故障，包括线路中断、路由故障、流量异常、域名系统故障等，由网络中心负责，重大事件立即向省委教育工委、省教育厅应急工作组办公室负责人报告。
遇供电相关紧急事件，由负责小组指定的总指挥作紧急现场处置，根据停电时间、用电功耗、电池电能储备、供电管理部门信息、网络和信息运行情况等条件作调度，包括次要系统停电减负载等措施，密切跟踪参数变化并反馈调整控制，联系相关公司和人员做现场维护。总指挥及时与网络和信息主管协商，协调处置事件。
四、校园网络与信息安全突发事件后期处置。
网络中心对网络和信息安全应急事件，除在事发时按安全管理要求上报相关管理部门外，应急处置后还应对重大事件作总结报告，上报相关管理部门。校园网络与信息安全工作组组织调查处理和总结评估，情况报告内容包括：校园网络与信息安全类突发事件发生的时间、地点，校园网络与信息安全类突发事件的级别，校园网络与信息安全类突发事件造成的后果，应急处置的过程、结果，校园网络与信息安全类突发事件结束的时间，以后如何防范类似校园网络与信息安全类突发事件发生的建议与方案等。经突发事件应急处置工作领导小组核准后，酌情向有关部门通报情况。
五、校园网络与信息安全突发事件保障措施
（一）技术保障：重视网络信息技术的建设和升级换代，在校园网络与信息安全类突发事件发生前确保网络信息系统的正常、安全，校园网络与信息安全类突发事件处置过程中和灾后重建中的相关技术支撑。
（二）人员保障：重视人员的建设与保障，确保在校园网络与信息安全类突发事件发生前的人员值班，校园网络与信息安全类突发事件处置过程和灾后重建中的人员在岗与战斗力。
（三）基础平台：加强学校网络与信息安全应急基础平台建设，做到早发现、早预警、早响应，提高应急处置能力。
（四）通信保障：校园网络与信息安全事件应急处置工作组负责收集、建立同相关单位的应急联络信息。网络中心负责建立本校接入用户的应急处置通信联络信息。上述联络信息需及时更新，确保应急联络渠道畅通。
（五）物资保障：学校要根据近几年全国甚至全世界网络信息系统安全防治工作所需经费情况，利用现有政策和资金渠道，积极支持网络与信息安全应急专业队伍建设、基础平台建设、情报力量建设、预案演练等工作开展建立应急物资储备制度，保证应急抢险救灾队伍技术装备的及时更新，以确保校园网络与信息安全类突发事件应急工作的顺利进行。
六、宣传、培训和演练
（一）宣传教育：学校采取有效措施，加强突发网络信息安全事件预防和处置的有关法律、法规和政策的宣传，开展网络与信息安全基本知识和技能的宣讲活动。
（二）预案培训：学校将网络与信息安全事件的应急知识等列入行政管理干部和有关人员的培训内容，加强网络与信息安全应急预案的培训，提高防范意识和技能。
（三）模拟演练：学校网络中心，要求每年组织落实重大网络与信息安全事件的演练，模拟处置特别重大网络与信息安全事件（Ⅰ级），提供实战能力，并根据应急处置演练中暴露的管理、协调和技术等问题，进一步检验和完善方案。
