第一章總則

第一條為提高河北藝術(shù)職業(yè)學(xué)院（以下簡稱“河北藝?！保┚W(wǎng)絡(luò)系統(tǒng)安全性，降低網(wǎng)絡(luò)系統(tǒng)存在的安全風(fēng)險(xiǎn)，確保網(wǎng)絡(luò)系統(tǒng)安全可靠運(yùn)行，制定本制度。

第二章適用范圍

第二條本制度適用于河北藝術(shù)職業(yè)學(xué)院各部門，規(guī)范信息系統(tǒng)的網(wǎng)絡(luò)安全管理工作。

第三章組織和職責(zé)

第三條信息安全執(zhí)行小組負(fù)責(zé)對網(wǎng)絡(luò)系統(tǒng)的規(guī)劃、設(shè)計(jì)、建設(shè)、變更及運(yùn)維工作進(jìn)行監(jiān)督管理。

第四條網(wǎng)絡(luò)管理員負(fù)責(zé)信息系統(tǒng)基礎(chǔ)網(wǎng)絡(luò)和硬件設(shè)備的運(yùn)維和安全管理工作，包括：

1、負(fù)責(zé)網(wǎng)絡(luò)IP地址規(guī)劃、VLAN規(guī)劃、安全域劃分等工作。

2、負(fù)責(zé)網(wǎng)絡(luò)設(shè)備的部署、維護(hù)和管理。

3、負(fù)責(zé)每日對路由器、交換機(jī)、流量管理設(shè)備日志進(jìn)行保存，每周對保存日志進(jìn)行備份，并對備份有效性進(jìn)行檢查。

4、負(fù)責(zé)設(shè)備運(yùn)行日志、網(wǎng)絡(luò)監(jiān)控記錄的日常維護(hù)和報(bào)警信息分析和處理工作。

5、負(fù)責(zé)每季度配合審計(jì)管理員完成網(wǎng)絡(luò)監(jiān)控、設(shè)備策略有效性、設(shè)備日志保存與備份的審計(jì)工作。

第四章網(wǎng)絡(luò)安全管理

第五條網(wǎng)絡(luò)整體的拓?fù)浣Y(jié)構(gòu)需進(jìn)行嚴(yán)格的規(guī)劃、設(shè)計(jì)和管理，一經(jīng)確定，不能輕易更改。

第六條安全管理員應(yīng)每個(gè)月對網(wǎng)絡(luò)進(jìn)行常規(guī)漏洞掃描，并與系統(tǒng)管理員、網(wǎng)絡(luò)管理員一起進(jìn)行掃描結(jié)果的分析。如發(fā)現(xiàn)問題，應(yīng)及時(shí)進(jìn)行修補(bǔ)（可借助第三方），發(fā)現(xiàn)重大安全隱患，應(yīng)立即上報(bào)。

第七條對重要網(wǎng)段要進(jìn)行重點(diǎn)保護(hù)，要使用防火墻等安全設(shè)備以及VLAN或其他訪問控制方式與隔離技術(shù)將重要網(wǎng)段與其他網(wǎng)段隔離開。

第八條網(wǎng)絡(luò)管理員定期對網(wǎng)絡(luò)的性能進(jìn)行分析，以充分了解系統(tǒng)資源的運(yùn)行情況及通信效率情況，提出網(wǎng)絡(luò)優(yōu)化方案。

第九條按照最小服務(wù)原則為每臺網(wǎng)絡(luò)設(shè)備進(jìn)行安全配置。

第十條網(wǎng)絡(luò)互連原則：

1、與互聯(lián)網(wǎng)的連接中，在網(wǎng)絡(luò)出口的設(shè)備上應(yīng)進(jìn)行IP地址轉(zhuǎn)換，保護(hù)內(nèi)部服務(wù)器真實(shí)的IP地址。

2、任何部門不得私自建立新的信息平臺，如確有需求，需經(jīng)由信息安全領(lǐng)導(dǎo)小組審批后方可實(shí)施。

3、互聯(lián)網(wǎng)接入必須有防火墻等安全防范設(shè)備。未經(jīng)許可，任何部門或個(gè)人不得私自在網(wǎng)絡(luò)內(nèi)新增與互聯(lián)網(wǎng)的連接。

第十一條辦公網(wǎng)絡(luò)中不同業(yè)務(wù)的網(wǎng)絡(luò)之間互連原則：

1、互連邊界必須部署安全控制措施，如網(wǎng)絡(luò)訪問控制列表、安裝防火墻等。

2、采取集中原則，盡量減少網(wǎng)絡(luò)邊界，并考慮安全冗余。

3、網(wǎng)絡(luò)邊界及相關(guān)設(shè)備必須納入到網(wǎng)管監(jiān)控體系。

第五章網(wǎng)絡(luò)外聯(lián)管理

第十二條網(wǎng)絡(luò)連接管理過程中，需明確網(wǎng)絡(luò)的外聯(lián)種類，包括互聯(lián)網(wǎng)、廣域網(wǎng)和與其他單位連接網(wǎng)絡(luò)等，根據(jù)外聯(lián)種類確定授權(quán)與批準(zhǔn)程序。

第十三條所有與外部網(wǎng)絡(luò)的連接均需提出書面申請，說明具體情況并得到運(yùn)維工作分管領(lǐng)導(dǎo)的授權(quán)和批準(zhǔn)。

第十四條所有與外部網(wǎng)絡(luò)的連接均必須具備連接策略及對應(yīng)的訪問控制措施。

第六章用戶和口令管理

第十五條應(yīng)對網(wǎng)絡(luò)設(shè)備及安全設(shè)備的登錄賬號設(shè)置權(quán)限級別，授權(quán)要遵循最小授權(quán)原則。

第十六條保證用戶身份標(biāo)志的唯一性，即不同的個(gè)人用戶必須采用不同的用戶名和口令登錄，并且擁有不同的權(quán)限級別。不同用戶的登錄操作在設(shè)備日志文件上均有記錄，便于追查問題。

第十七條網(wǎng)絡(luò)設(shè)備及安全設(shè)備的安全管理員擁有超級用戶權(quán)限，其他管理員按照工作需求分配相應(yīng)的用戶權(quán)限。任何人不得私開用戶權(quán)限給其他人員。

第十八條用戶的口令尤其是超級用戶的口令必須足夠強(qiáng)壯并定期更新。

第七章配置文件管理

第十九條網(wǎng)絡(luò)設(shè)備及安全設(shè)備的當(dāng)前配置文件由網(wǎng)絡(luò)管理員每周進(jìn)行一次備份，并將備份情況記錄在《備份記錄表》中（詳見《備份與恢復(fù)管理制度》）。

第二十條網(wǎng)絡(luò)設(shè)備及安全設(shè)備中的運(yùn)行配置文件和啟動配置文件應(yīng)隨時(shí)保持一致。

第二十一條通過安全的傳輸方式可以將網(wǎng)絡(luò)設(shè)備及安全設(shè)備的配置文件下載到本地主機(jī)上作備份文件以防不測，在設(shè)備配置文件損壞時(shí)可再通過安全的傳輸方式從本地主機(jī)上載到設(shè)備中恢復(fù)。

第二十二條網(wǎng)絡(luò)設(shè)備及安全設(shè)備的拓?fù)浣Y(jié)構(gòu)、IP地址等信息文檔應(yīng)在一定范圍內(nèi)予以保密。

第二十三條應(yīng)定期對網(wǎng)絡(luò)設(shè)備及安全設(shè)備的配置信息是否符合當(dāng)前網(wǎng)絡(luò)狀況進(jìn)行檢查和分析，并做詳細(xì)記錄。

第八章日志管理

第二十四條每天由網(wǎng)絡(luò)管理員保存網(wǎng)絡(luò)設(shè)備及安全設(shè)備日志信息。

第二十五條在日志文件中要求記錄登錄過該設(shè)備的用戶名、時(shí)間和所執(zhí)行的命令操作及操作結(jié)果等信息，為發(fā)現(xiàn)潛在攻擊者的不良行為提供有力依據(jù)。

第二十六條每天檢查設(shè)備的日志文件，發(fā)現(xiàn)異常情況要及時(shí)處理和報(bào)告上級領(lǐng)導(dǎo)，盡早消除網(wǎng)絡(luò)安全隱患。

第二十七條每周對日志文件進(jìn)行備份。日志文件保存時(shí)間應(yīng)在3個(gè)月以上。

第二十八條對日志文件的訪問要獲得安全管理員的批準(zhǔn)。

第九章設(shè)備軟件管理

第二十九條網(wǎng)絡(luò)設(shè)備及安全設(shè)備的軟件版本較低可能會帶來安全性和穩(wěn)定性方面的隱患，因此應(yīng)定期檢查并在設(shè)備的FLASH容量許可和兼容性得到驗(yàn)證的情況下統(tǒng)一升級到較新的版本。

第十章設(shè)備登錄管理

第三十條網(wǎng)絡(luò)設(shè)備及安全設(shè)備一般都具有遠(yuǎn)程登錄的功能，應(yīng)使用SSH等安全加密的連接方式實(shí)現(xiàn)遠(yuǎn)程登錄。

第三十一條需限定可遠(yuǎn)程登錄的主機(jī)的IP地址范圍，拒絕潛在的攻擊者，保證網(wǎng)絡(luò)安全登錄。

第三十二條對于關(guān)鍵設(shè)備，需采取雙因素認(rèn)證的方式實(shí)現(xiàn)安全登錄。

第十一章安全補(bǔ)丁管理

第三十三條運(yùn)維部門負(fù)責(zé)安全補(bǔ)丁跟進(jìn)、補(bǔ)丁分級、補(bǔ)丁信息通告，協(xié)助提供從正式渠道獲取的補(bǔ)丁軟件，審核和監(jiān)督各部門安全補(bǔ)丁加載情況。

第三十四條系統(tǒng)管理員、數(shù)據(jù)庫管理員、網(wǎng)絡(luò)管理員負(fù)責(zé)協(xié)調(diào)各自系統(tǒng)安全補(bǔ)丁的測試、加載、回退。負(fù)責(zé)協(xié)調(diào)制定補(bǔ)丁加載流程和回退計(jì)劃，負(fù)責(zé)補(bǔ)丁加載后的監(jiān)督和驗(yàn)證，負(fù)責(zé)向運(yùn)維管理小組報(bào)告業(yè)務(wù)系統(tǒng)的補(bǔ)丁加載情況。

第三十五條安全管理員負(fù)責(zé)跟進(jìn)各類設(shè)備安全漏洞信息和廠商發(fā)布的安全補(bǔ)丁信息。

第三十六條安全補(bǔ)丁根據(jù)其對應(yīng)漏洞的嚴(yán)重程度分為三個(gè)級別：緊急補(bǔ)丁、重要補(bǔ)丁和一般補(bǔ)丁。緊急補(bǔ)丁必須在一周內(nèi)完成加載，重要補(bǔ)丁必須在一個(gè)月內(nèi)完成加載，一般補(bǔ)丁要求兩個(gè)月內(nèi)完成加載。

第三十七條所有安全補(bǔ)丁必須從正式渠道獲取，正式渠道包括產(chǎn)品廠商直接提供的或官方網(wǎng)站發(fā)布的。

第三十八條補(bǔ)丁正式加載之前必須在測試環(huán)境經(jīng)過嚴(yán)格的測試，嚴(yán)禁未經(jīng)測試直接在生產(chǎn)系統(tǒng)上加載補(bǔ)丁。

第三十九條補(bǔ)丁測試的內(nèi)容包括補(bǔ)丁安裝測試、補(bǔ)丁功能性測試、補(bǔ)丁兼容性測試和補(bǔ)丁回退測試：

1、安裝測試主要測試補(bǔ)丁安裝過程是否正確無誤，補(bǔ)丁安裝后系統(tǒng)是否能夠正常啟動。

2、補(bǔ)丁功能性測試主要測試補(bǔ)丁是否對安全漏洞進(jìn)行了修補(bǔ)。

3、補(bǔ)丁兼容性測試主要測試補(bǔ)丁加載后是否對應(yīng)用系統(tǒng)帶來影響，業(yè)務(wù)是否可以正常運(yùn)行。

4、補(bǔ)丁回退測試主要包括補(bǔ)丁卸載測試和系統(tǒng)還原測試。

第四十條必須對補(bǔ)丁的現(xiàn)場測試和現(xiàn)網(wǎng)測試限定時(shí)間，測試完成后，管理員需提交測試報(bào)告給運(yùn)維工作分管領(lǐng)導(dǎo)進(jìn)行審核，審核通過后進(jìn)行補(bǔ)丁加載。

第四十一條從安全漏洞發(fā)布到補(bǔ)丁加載前，安全管理員根據(jù)業(yè)務(wù)重要性和漏洞嚴(yán)重程度給出應(yīng)急措施建議，例如通過加強(qiáng)訪問控制、臨時(shí)關(guān)閉服務(wù)、加強(qiáng)安全審計(jì)等應(yīng)急措施來加強(qiáng)網(wǎng)絡(luò)安全，各相關(guān)業(yè)務(wù)系統(tǒng)根據(jù)建議采取適當(dāng)?shù)姆雷o(hù)措施，并加強(qiáng)對系統(tǒng)的監(jiān)控，及時(shí)發(fā)現(xiàn)和報(bào)告信息安全事件。

第四十二條在漏洞補(bǔ)丁加載前，各系統(tǒng)的管理員必須向安全管理員提交《補(bǔ)丁測試報(bào)告》、《補(bǔ)丁安裝計(jì)劃和實(shí)施方案》、《補(bǔ)丁回退實(shí)施方案》、《應(yīng)急響應(yīng)預(yù)案》，經(jīng)審批通過后按計(jì)劃執(zhí)行。

第四十三條在漏洞補(bǔ)丁加載前，必須做好系統(tǒng)和數(shù)據(jù)備份工作，確保任何的操作都可回退，在到達(dá)回退時(shí)間補(bǔ)丁加載沒有完成時(shí)，啟動回退操作，保證業(yè)務(wù)的正常運(yùn)行。

第四十四條補(bǔ)丁加載必須安排在業(yè)務(wù)比較空閑的時(shí)間進(jìn)行，對補(bǔ)丁加載的操作過程必須詳細(xì)記錄。

第四十五條核心業(yè)務(wù)主機(jī)的補(bǔ)丁加載要求廠商工程師現(xiàn)場支持。

第四十六條補(bǔ)丁加載完成后，各系統(tǒng)管理員須按照計(jì)劃和驗(yàn)證方案進(jìn)行嚴(yán)格的測試，驗(yàn)證查看系統(tǒng)信息，確保安全補(bǔ)丁已經(jīng)成功加載，業(yè)務(wù)系統(tǒng)運(yùn)行正常。

第四十七條各系統(tǒng)的系統(tǒng)管理員必須編寫《補(bǔ)丁安裝報(bào)告》、《補(bǔ)丁驗(yàn)證測試報(bào)告》，提交給運(yùn)維管理小組歸檔。

第四十八條運(yùn)維管理小組負(fù)責(zé)對補(bǔ)丁管理的執(zhí)行情況進(jìn)行考核，考核的內(nèi)容包括補(bǔ)丁加載情況、補(bǔ)丁版本信息的準(zhǔn)確性和相關(guān)文檔的質(zhì)量。

第四十九條可通過安全漏洞掃描和現(xiàn)場人工抽查的方式進(jìn)行審計(jì)和檢查。

第十二章 IT設(shè)備弱點(diǎn)評估及加固管理

第五十條應(yīng)定期對不同類型信息資產(chǎn)進(jìn)行弱點(diǎn)評估及相應(yīng)加固工作。

第五十一條重要設(shè)備評估和加固，需要經(jīng)過運(yùn)維工作分管領(lǐng)導(dǎo)批準(zhǔn)。

第五十二條IT設(shè)備的日常安全加固，由設(shè)備對應(yīng)的管理員負(fù)責(zé)。

第五十三條安全加固內(nèi)容主要包括：系統(tǒng)及應(yīng)用補(bǔ)丁安裝，安全配置等。

第五十四條弱點(diǎn)評估和加固的信息資產(chǎn)可以分為如下幾類：

1、網(wǎng)絡(luò)設(shè)備：路由器、多層交換機(jī)的OS版本及安全配置。

2、服務(wù)器：操作系統(tǒng)、數(shù)據(jù)庫、通用應(yīng)用軟件（如：WEB、Mail、DNS等）的安全補(bǔ)丁及安全配置。

3、安全設(shè)備：VPN網(wǎng)關(guān)、防火墻、安全網(wǎng)閘等設(shè)備或軟件的系統(tǒng)版本及安全配置。

第五十五條在對信息資產(chǎn)進(jìn)行弱點(diǎn)評估前要制定詳細(xì)的弱點(diǎn)評估方案，充分考慮評估中出現(xiàn)的風(fēng)險(xiǎn)，同時(shí)制定相對應(yīng)的詳細(xì)回退方案。

第五十六條在對信息資產(chǎn)進(jìn)行安全加固前要制定詳細(xì)的安全加固方案，明確實(shí)施對象、實(shí)施步驟及分解動作，分析可能存在的風(fēng)險(xiǎn)以及應(yīng)對措施，闡明可能發(fā)生關(guān)聯(lián)的部門、系統(tǒng)和廠商。

第五十七條對IT設(shè)備進(jìn)行弱點(diǎn)評估和加固的時(shí)間要選擇在非工作時(shí)段，留出充裕的回退時(shí)間。

第五十八條對IT設(shè)備進(jìn)行安全加固完成后，要進(jìn)行詳細(xì)的業(yè)務(wù)測試，確保業(yè)務(wù)系統(tǒng)的正常運(yùn)行。

第五十九條安全加固后，系統(tǒng)管理員等相關(guān)監(jiān)控人員應(yīng)對加固后的系統(tǒng)進(jìn)行監(jiān)控，確保系統(tǒng)的正常運(yùn)行，實(shí)施加固的相關(guān)人員應(yīng)保證通信方式暢通，確保出現(xiàn)問題時(shí)能及時(shí)處理。

第六十條實(shí)施安全加固后，加固人員應(yīng)保證對評估中發(fā)現(xiàn)的弱點(diǎn)進(jìn)行了加固，對不能進(jìn)行加固的問題要說明原因并編寫加固報(bào)告。各系統(tǒng)管理員應(yīng)對加固后的IT設(shè)備進(jìn)行二次評估，評估結(jié)果作為加固的效果驗(yàn)證。

第十三章相關(guān)文件

第六十一條與本制度相關(guān)的其他文件及表單包括：

1、《賬號與密碼管理制度》

2、《備份與恢復(fù)管理制度》

第十四章附則

第六十二條本制度自發(fā)布之日起執(zhí)行。

第六十三條本制度的解釋和修改權(quán)屬于信息安全領(lǐng)導(dǎo)小組。

第六十四條信息安全領(lǐng)導(dǎo)小組每年統(tǒng)一檢查和評估本制度，并做出適當(dāng)更新。在業(yè)務(wù)環(huán)境和安全需求發(fā)生重大變化時(shí)，也將對本制度進(jìn)行檢查和更新。