上海市教育系统网络信息安全技术要求_网络信息安全技术pdf

上海市教育系统网络信息安全技术要求由刀豆文库小编整理，希望给你工作、学习、生活带来方便，猜你可能喜欢“网络信息安全技术pdf”。

上海市教育委员会文件

沪教委科„2010‟2号

上海市教育委员会关于印发

《上海市教育系统网络信息安全技术要求》的通知

各高等学校，各区县教育局，市教委各直属单位：

根据《上海市教育委员会关于加强本市教育系统网络与信息安全工作的通知》（沪教委办„2009‟62号），为切实做好2010年上海世博会期间本市教育系统的网络与信息安全保障工作，现结合本市教育单位现状，并根据公安部等《信息安全等级保护管理办法》(公通字„2007‟43号)、《关于开展信息安全等级保护安全建设整改工作的指导意见》(公信安„2009‟1429号)，制定《上海市教育系统网络信息安全技术要求》（见附件），各单位应本着“谁主管谁负责、谁运行谁负责、谁使用谁负责”的原则，对照要求，深化本单位网络与信息系统安全防护，切实做好安全管理工作，确保网络信息系统安全。

特此通知。

— 1 — 附件：上海市教育系统网络信息安全技术要求

上 海 市 教 育 委 员 会 二○一○年一月十三日

主题词：教育

学校

信息

安全

通知 上海市教育委员会办公室

2010年1月14日印发

（共印120份）

— 2 — 附件：

上海市教育系统网络信息安全技术要求

一、物理安全要求

网络设备如交换器、服务器等应放置在符合产品规定要求的可靠场所。网络设备放置场所应具备物理访问控制、防盗窃和防破坏、防雷击、防火防水和防潮、防静电等基本条件，还应当能够进行温湿度控制，具有良好的电力供应并做好电磁防护。

非工作人员对重要网络设备放置区域的访问必须经过有关负责人的批准并由专人陪同或在专人监督下进行，并记录备案。

二、网络安全要求 1.结构安全

应保证关键网络设备的业务处理能力具备冗余空间，以满足业务高峰期需要；

关键网络设备及链路应有备份（冷备份或者热备份)； 应保证接入网络和核心网络的带宽满足业务高峰期需要。2.访问控制

应增强网络边界设备的访问控制粒度，增加安全审计、边界完整性检查、入侵防范及恶意代码防护等设备；

应在网络出口处对网络的连接状态进行监控，并能及时报警和阻断； 对所有网络设备的登录应保证鉴别标识唯一和鉴别信息复杂等要求。

三、主机系统安全要求 1.PC机系统安全要求

— 3 — 对PC机应进行基本的防护，要求主机做到简单的身份鉴别、粗粒度的访问控制以及能够进行恶意代码防范并及时升级。

2.服务器系统安全要求

对主机应进行基本的防护，要求主机做到身份鉴别、访问控制以及能够进行恶意代码防范；

用户只能根据自己的权限大小来访问系统资源，不得越权访问； 要求对服务器用户行为、系统异常情况等基本情况进行审计、记录； 服务器应仅安装必要的系统组件和服务，并设置升级服务器方式以及时更新操作系统和应用软件；

服务器应安装实时检测和查杀恶意代码的软件产品，并及时升级； 服务器操作系统和数据库系统的口令应具有一定的复杂度、不易被冒用；

服务器应通过设定终端接入方式、网络地址范围等条件限制终端登录；

服务器应安装防火墙，仅开放满足应用系统要求的最低数量的端口，其余端口应予以关闭。

四、应用安全要求

对应用进行基本的防护，要求做到身份鉴别，细粒度的访问控制以及数据有效性检验等基本防护，应提供覆盖到每个用户的安全审计功能，对应用系统重要安全事件进行审计；

系统用户身份鉴别信息应具有不易被冒用的特点，例如口令长度、复杂性和定期的更改等；

应定时对重要信息进行有选择的数据备份；

— 4 — 应提供恢复重要信息的功能；

应提供重要网络设备、通信线路和服务器的硬件冗余。

五、数据安全及备份恢复

为确保数据完整性，应对重要用户数据传输过程提出的要求，能够检测出数据完整性是否受到破坏，同时能够对重要信息进行备份；

要求鉴别信息和重要业务数据在传输过程中都要保证数据完整性。要求实现鉴别信息存储保密性，实现备份冗余。

六、管理要求

应落实“安全技术负责人”制度，安全技术责任人作为安全专员负责信息网络安全评估、安全技术方案制订和实施，并对安全事故负责；

应开展安全意识教育和培训；

应告知相关人员的安全责任和惩戒措施；

应制定安全教育和培训计划，对信息安全基础知识、岗位操作规程等进行培训；

应对安全教育和培训的情况和结果进行记录并归档保存。应加强与兄弟院校、公安机关、网络运营商的合作与沟通，以便在发生安全事件时能够得到及时的支持。

七、系统运维管理要求

应对机房运行环境进行日常检查记录，包括温度、湿度、电力等； 应对信息系统的日常运行进行监控，包括各类系统的运行状态（例如CPU负载、内存使用率、磁盘状态、电源状态等）、是否存在异常进程等；

应进行网络系统漏洞扫描，对发现的网络系统安全漏洞进行及时的修补；

— 5 — 应对网络设备的安全策略、授权访问、最小服务、升级与打补丁、维护记录、日志等方面做出具体要求；

应定期安装系统的最新补丁程序，并根据厂家提供的可能危害计算机的漏洞进行及时修补，并在安装系统补丁前对现有的重要文件进行备份。

八、应急处置要求

应制定应急预案，并进行训练和演练；并配备照相机等记录取证设备，在应急操作中随时记录；

应严格执行网络巡检制度，做好日常巡查及日志保存工作，以及时发现问题并及时处置突发性安全事件，发现异常情况应启动应急预案，并判定应急事件级别，根据级别上报相关单位；

应急处置过程中，应先界定事件发生原因，并根据自然灾害与人为破坏两种情况进入以下两类应急处置流程：

自然灾害处置流程：应根据实际情况，在保障人身安全的前提下，首先保障数据的安全，然后是设备安全。具体方法包括：硬盘的拔出与保存，设备的断电与拆卸、搬迁等。

人为破坏处置流程：首先判断破坏的来源与性质，断开影响安全与稳定的信息网络设备，断开与破坏来源的网络物理连接，跟踪并锁定破坏来源的IP地址或其它网络用户信息，修复被破坏的信息，恢复信息系统。按照事件发生的性质分别采用相应方案。

应及时报告处置工作进展情况，直至处置工作结束。在必要的情况下可根据危害程度适当地发布预警。

— 6 —