各处（室、中心），各二级学院，洛阳校区：为贯彻落实《中华人民共和国网络安全法》《中华人民共和国个人信息保护法》《网络数据安全管理条例》等法律法规，结合我校教育教学工作中个人信息保护实际情况，切实防范师生个人信息泄露，保障师生合法权益，现将有关事项通知如下。一、强化全员保护意识，夯实安全思想基础全体师生需强化个人信息安全意识，在日常学习、工作、生活中严格落实以下防护措施。1.规范软件获取与权限管理：仅通过学校官方推荐、正规应用市场或软件官网下载安装APP、小程序等（含教学、科研、生活服务类工具）；安装时审慎开放权限，拒绝非必要授权（如非导航类软件索取“位置信息”、非社交类软件索取“通讯录访问权”、非拍摄类软件索取“摄像头权限”等），已授权的非必要权限请在设备设置中关闭。2.加强敏感信息传输防护：不通过QQ、微信、钉钉、云盘等公共互联网工具直接传输含有手机号、身份证号、工号/学号、银行卡号、家庭住址等的敏感信息；确因工作学习需要传输的，须先通过压缩软件加密、Office文档加密等方式处理，严禁群发或向无关人员发送。3.提升设备与账户安全等级：在个人电脑、手机等设备上安装腾讯手机管家、360安全卫士等正规安全软件，定期进行病毒查杀；定期修改学校信息门户、邮件系统、云盘等系统平台的登录密码，密码需符合“大小写字母+数字+特殊符号”的强密码策略，不与其他平台密码重复，不向他人泄露密码。4.警惕外部风险与非必要采集：不连接未知公共Wi-Fi，避免在非安全网络环境下操作敏感信息；对陌生电话、短信、链接保持警惕，不轻易点击不明链接、不透露个人信息；如遇非必要人脸识别场景，可拒绝授权并向相关部门反馈。5.拒绝不良信息与违规收集：不浏览、点击有害图片及链接，严防设备中病毒或被植入恶意程序；线下消费、办事时，如遇强制关注公众号、强制注册会员并收集生日、性别等非必要信息的情况，可拒绝提供并留存证据。二、压实主体责任，明确权责管理边界各二级部门需切实履行个人信息保护主体责任，开展自查整改，具体要求如下。（一）全面开展个人信息保护自查1.排查本部门管理的教学区、办公区、宿舍区等场所，是否存在未经审批安装图像采集设备（含人脸识别设备）的情况；重点核查门禁、监控等必要设备是否公示采集目的、方式、范围，是否设置显著提示标识，是否存在非法存储、对外提供人脸信息的行为。2.检查本部门所属网站（含学院官网、部门子站）、信息公告平台、微信公众号等，是否存在未经脱敏直接公布师生身份证号、手机号、家庭住址以及获奖名单中的敏感信息、资助公示中的银行卡号等问题；排查QQ群、微信群等内部群组，是否存在通过共享文档、群文件收集师生敏感信息的情况，是否有无关人员混入群组。3.核查招生、教务、人事、财务、学生管理等业务系统，是否存在超范围收集师生信息（如非必要收集家庭收入、亲属信息等）、未加密存储数据、系统存在安全漏洞的情况；检查是否有工作人员违规下载、拷贝系统内批量师生信息，是否存在向外部单位或个人随意提供师生信息的行为。（二）严格落实整改措施1.非必要的图像采集设备、人脸识别设备立即拆除；必要设备应按照“采集规则公示、提示标识设置、数据加密存储”进行规范，建立人脸信息使用台账，严禁对外提供或公开传播。2.各部门应在11月30日前完成对已发布公示信息的脱敏处理，敏感信息需按“手机号中间4位用‘*’代替（如135****6789）、身份证号中间8位用‘*’代替（如410110********2345）”等标准方法修改，无法脱敏的信息立即删除；今后发布新闻、公告、获奖公示等内容时，须先经部门负责人审核，确保无敏感信息泄露。3.按“最少够用”原则梳理业务系统收集的信息项，删除与业务无关的信息；11月30日前完成对本部门管理业务系统的漏洞扫描与补丁更新，联系软件厂商升级安全防护功能，数据存储需采用加密、去标识化等技术措施；严禁通过群组共享文档收集师生信息。4.明确业务系统管理员“专人专责”，与接触师生敏感信息的工作人员（含运维人员、外包服务人员）应签订《个人信息保密协议》，严控信息接触范围；系统运维服务外包的，需在合同中明确保密条款，定期检查外包单位保密义务履行情况，防止数据泄露。（三）建立长效管理机制1.严格执行“先审后发”，各部门主要负责人为信息发布第一责任人，对外发布信息需经“经办人拟稿—部门审核—负责人审批”流程，确保无敏感信息；网站管理员需每周对已发布信息进行复查，发现问题及时整改。2.各二级部门应每年组织本部门工作人员开展一次个人信息保护培训，学习国家相关法律法规，提升工作人员合规意识。3.积极配合信息化管理中心开展的信息系统漏扫和渗透测试，及时整改发现的安全问题。如发现师生信息泄露事件，需第一时间启动应急处置，封存相关数据，向学校报告并协助追溯源头，涉嫌违法的应及时移交公安机关。（四）加强本部门开发运营的移动互联网应用程序（含小程序）管理与整改1.核查程序是否存在超范围收集师生个人信息的情况（如非必要收集师生家庭关系、消费习惯、行踪轨迹等信息）；检查是否制定清晰完整的隐私政策，是否通过显著方式提示师生阅读隐私政策，是否逐一明示收集信息的目的、方式和范围；排查是否存在默认同意收集信息、强制要求授权非必要权限（如小程序强制获取“获取手机号”“访问相册”权限却无对应业务功能）等问题。2.对超范围收集的师生信息，于11月30日前完成全面清理删除，仅保留业务必需的最少信息；完善隐私政策内容，明确信息存储期限、使用范围及第三方共享规则，同步在程序首页显著位置设置隐私政策入口；对于非必要权限申请，立即取消调用，确保权限申请与业务功能严格匹配；若程序涉及人脸信息采集（如身份核验场景），需按规定完成个人信息保护影响评估，设置显著提示标识，单独获取师生书面同意，并采取加密措施存储人脸信息，严禁对外提供。3.明确程序运营负责人，定期开展信息收集使用合规性检测；若委托第三方开发或运维程序，需在合作协议中明确个人信息保护责任，定期检查第三方履行情况；程序更新迭代时，需同步核查信息收集规则是否变化，确保新增功能不违反个人信息保护相关规定。三、完善技术防护，筑牢安全技术屏障1.强化数据存储安全：各部门存储师生信息的系统（如学院学生信息台账、部门教职工薪酬表等）需满足“加密存储”要求；禁止将敏感信息存储在无安全防护的设备（个人私人电脑、非加密U盘、第三方云盘如百度云、腾讯云等）。2.师生个人信息传输需使用校内合规通道，禁止通过QQ、微信、钉钉等非加密互联网工具传递敏感信息；部门间需传递批量信息（如全校学生选课数据、教职工社保信息等）时，需使用“校内OA系统邮箱”；确需向校外传递信息（如上报数据等）时，需使用专用系统平台上报或先通过“压缩软件加密+密码单独告知（不随文件发送）”方式处理，禁止群发或裸发文件。3.各部门管理的信息系统（如学院官网后台、课程管理系统等）需落实“最小权限原则”，即“谁需要、给谁权，用多久、给多久”。如辅导员仅能访问本年级学生的基础信息，无法查看其他年级数据；系统运维员仅能获取故障排查所需权限，无法查看完整敏感信息；每学期需清理“僵尸账号”（如离职教职工账号、毕业学生账号），避免权限滥用导致信息泄露。4.信息化管理中心每季度将对全校重要信息系统（信息门户、教务系统、财务系统等）开展漏洞扫描，各部门需配合提供系统访问权限；各部门自建系统（如学院公众号后台、专业实训管理系统等）需加强自查，每学期至少开展1次全面安全自查，重点核查系统权限设置是否合规、数据存储是否加密、操作日志是否完整留存，自查结果需形成《自建系统安全自查记录表》；发现漏洞后需立即制定整改方案，学校信息化管理中心将提供技术指导，确保漏洞及时闭环处理。请各部门切实承担师生个人信息保护的主体责任，将以上各项要求细化落实到具体工作中。全体师生应主动提升信息安全防护意识，积极配合各部门自查整改，党委宣传部将定期对各部门落实情况开展检查，共同守护师生合法权益。党委宣传部信息化管理中心2025年11月14日