教育数字化知识图谱

第一章 总 则

第一条 为加强和规范学院信息系统安全工作，提高信息系统整体安全防护水平，实现信息安全的可控、能控、在控，依据国家有关法律法规规定，结合学院工作实际，制定本规定。

第二条 本规定中信息系统是指部署在学院的各类主机存储设备、网络设备、安全设备、应用系统，以及各部门用户终端的集合。

第三条 本规定适用于学院信息系统的安全保护总体方针、策略和规划方面的工作。

第二章 方针、目标和原则

第四条 学院信息安全工作应坚持“积极预防、全面保障、动态管理、持续改进”的总体方针，实现信息系统安全可控、能控、在控。依照“分区、分级、分域”总体安全防护策略，执行信息系统安全等级保护制度。

第五条 学院信息安全工作的总体目标是确保信息系统持续、稳定、可靠运行和确保信息内容的机密性、完整性、可用性，防止因信息系统本身故障导致信息系统不能正常使用和系统崩溃，抵御黑客、病毒、恶意代码等对信息系统发起的各类攻击和破坏，防止信息内容及数据丢失，防止系统对外服务中断和由此造成的系统运行事故。

第六条 信息安全工作的总体原则

（一）需求导向原则

根据其信息系统承载的业务，信息资产的重要性，可能受到的威胁及面临的风险分析安全需求，按照信息系统等级保护要求确定相应的信息系统安全保护等级，遵从相应等级的规范要求，从全局上平衡安全投入与效果。

（二）领导负责原则

成立信息安全领导小组，学院一把手任组长，负总责，分管图书信息中心院长任副组长，各部门负责人任组员，所有人员在职责范围内各负其责。

（三）全员参与原则

信息系统所有相关人员须参与信息系统的安全管理，共同保障信息系统安全。

（四）标准化原则

按照信息安全等级保护标准体系的要求，采用管理和技术结合的方法，实现信息安全目标。

（五）同步实施原则

新建信息系统时，应充分考虑信息化发展趋势，遵循信息化建设与信息安全建设同步规划、同步建设、同步实施的原则，确保信息化建设与信息安全建设同步进行。

（六）管理与技术并重原则

坚持积极防御和综合防范，全面提高信息系统安全防护能力，采用管理与技术相结合，管理科学性和技术前瞻性结合的方法，保障信息系统的安全性达到所要求的目标。

第三章 总体安全策略

第七条 物理安全策略

（一）机房和办公场地选择在具有防震、防风和防雨等能力的建筑内，机房场地避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁。

（二）进入中心机房的来访人员需经过相关部门同意，并安排人员陪同。

（三）机房内部署基础防护系统和设备，如防雷设备、消防系统、防水监控系统、温湿度控制系统和 UPS 供电系统。

第八条 网络安全策略

（一）保证主要网络设备的业务处理能力具备冗余空间，保证网络各个部分的带宽，以满足业务高峰期需要。

（二）根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段。

（三）应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要网段与其他网段之间采取可靠的技术隔离手段。

（四）应在网络边界部署访问控制设备，根据实际安全需求设置访问控制策略启用访问控制功能。

（五）对网络系统中的网络设备运行状况、网络流量、用户行为等进行审计，并对审计记录数据进行分析，生成审计报表，且保护审计数据。

（六）能够对非授权联接行为进行检查，准确定出位置，并对其进行有效阻断。

（七）在网络边界处监视攻击行为，记录发生的攻击行为。

（八）在网络边界处监视，并维护恶意代码库的升级和检测系统的更新。

（九）对登录网络设备的用户进行身份标识和鉴别，并设置身份标识和鉴别方式。

第九条 主机安全策略

（一）对登录操作系统和数据库系统的用户进行身份标识和鉴别，并设置身份标识和鉴别方式。

（二）启用访问控制功能，设置访问控制策略，依据安全策略控制用户对资源的访问。

（三）对服务器和重要客户端的重要用户行为、系统资源的异常使用和重要系统命令的使用等内容进行安全审计，并对审计记录数据进行分析，生成审计报表，且保护审计数据。

（四）确保操作系统和数据库系统用户的鉴别信息，系统内的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前得到完全清除。

（五）能够对重要服务器进行入侵的行为和对重要程序的完整性进行检测。

（六）安装防恶意代码软件，并及时更新防恶意代码软件版本和恶意代码库，并支持防恶意代码的统一管理。

第十条 应用安全策略

（一）提供专用的登录控制模块对登录用户进行身份标识和鉴别，并设置身份标识和鉴别方式。

（二）提供访问控制功能，依据安全策略控制用户对文件、数据库表等客体的访问。

（三）提供覆盖到每个用户的安全审计功能，对应用系统重要安全事件进行审计，形成审计记录，并对审计记录数据进行分析，生成审计报表，且保护审计数据。

（四）确保应用系统用户的鉴别信息，系统内的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前得到完全清除。

（五）具有在请求的情况下为数据原发者或接收者提供数据原发、接收证据的功能。

（六）应用系统须具有软件容错功能，提供数据有效性检验功能和自动保护功能。

第十一条 数据安全策略

（一）能够检测到系统管理数据、鉴别信息和重要业务数据在传输和存储过程中完整性受到破坏，并在检测到完整性错误时采取必要的恢复措施。

（二）采用加密或其他有效措施实现系统管理数据、鉴别信息和重要业务数据传输和存储保密性。

（三）应提供本地数据备份与恢复功能，完全数据备份至少每天一次，备份介质场外存放。

第十二条 人员安全管理

（一）严格规范人员录用过程，对被录用人的身份、背景、专业资格和资质等进行审查，对其所具有的技术技能进行考核。

（二）严格规范人员离岗过程，及时终止离岗员工的所有访问权限，取回各种身份证件、钥匙以及机构提供的软硬件设备等。

（三）定期对各个岗位的人员进行安全技能及安全认知的考核，对关键岗位的人员进行全面、严格的安全审查和技能考核。

（四）对定期安全教育和培训进行书面规定，针对不同岗位制定不同的培训计划，对信息安全基础知识、岗位操作规程等进行培训。

（五）确保在外部人员访问受控区域前先提出申请，批准后由专人全程陪同或监督，并登记备案。

第十三条 系统建设管理

（一）明确信息系统的边界和安全保护等级，并组织相关部门和有关安全技术专家对信息系统定级结果的合理性和正确性进行论证和审定。

（二）根据信息系统的等级划分情况，统一考虑安全保障体系的总体安全策略、安全技术框架、安全管理策略、总体建设规划和详细设计方案，并形成配套文件

（三）制定详细的工程实施方案控制实施过程，并要求工程实施单位能正式地执行安全工程过程。

（四）在测试验收前根据设计方案或合同要求等制订测试验收方案，在测试验收过程中应详细记录测试验收结果，并形成测试验收报告。

（五）对已定级系统的相关备案材料报相应公安机关备案。

第十四条 系统运维管理

（一）指定部门负责机房安全，并配备机房安全管理人员，对机房的出入、服务器的开机或关机等工作进行管理。

（二）建立资产安全管理制度，对介质和设备的选型、采购、发放、领用、使用、维修、报废等方面规定，并严格执行制度规定。

（三）建立监控和安全管理中心，对通信线路、主机、网络设备和应用软件的运行状况、网络流量、用户行为等进行监测和报警，对设备状态、恶意代码、补丁升级、安全审计等安全相关事项进行集中管理，形成记录并妥善保存。

（四）建立网络、系统安全管理制度，对网络安全配置、日志保存时间、安全策略、升级与打补丁、口令更新周期、系统安全策略、安全配置、日志管理和日常操作流程等方面作出规定，并严格执行相关规定。

（五）建立恶意代码防范管理制度，对防恶意代码软件的授权使用、恶意代码库升级、定期汇报等作出明确规定，并严格执行相关规定。

（六）建立变更管理制度，系统发生变更前，向主管领导申请，变更和变更方案经过评审、审批后方可实施变更，并在实施后将变更情况向相关人员通告。

（七）在统一的应急预案框架下制定不同事件的应急预案，并定期对应急预案进行演练。

第四章 信息安全总体框架

第十五条 应在信息安全策略的指导下，通过构建安全管理、安全技术和安全运维三大体系，在既定方针目标的指引下，相互支撑，相互促进，构成实时、动态和持续改进的全生命周期防护体系。

第十六条 信息安全管理体系。参照《信息安全技术信息系统安全管理要求》（ GB/T 20269 — 2006 ）、《信息安全技术信息系统安全工程管理要求》（ GB/T 20282-2006 ）和《信息安全技术信息系统安全等级保护基本要求》（ GB/T 22239-2006 ）等标准规范，建立健全学院信息安全管理制度体系。

第十七条 信息安全技术体系。参照《信息安全技术信息系统安全等级保护基本要求》（ GB/T 22239-2006 ）、《信息安全技术信息系统等级保护安全设计技术要求》（ GB/T 25070-2010 ）等标准规范，在云安全、物理安全、网络安全、主机安全、应用安全和数据安全方面，同步建设和优化信息安全设施，完善学院信息安全技术体系。

第十八条 信息安全运维体系。根据《信息安全技术信息系统安全等级保护基本要求》（ GB/T 22239-2006 ）、《信息技术安全技术信息安全事件管理指南》（ GB/Z 20985 — 2007 ）和《信息安全技术信息系统灾难恢复规范》（ GBT 20988-2007 ）等标准规范，在机房基础设施、信息化办公设备、网络系统、应用系统、主机存储系统等方面完善学院信息安全运维体系。

第五章 附 则

第十九条 本 规定由学院图书信息中心中心负责解释。

第二十条 本规定自发布之日起施行。