海南师范大学网络安全管理制度

发布者： 发布时间：2019-03-14来源：

海南师范大学网络安全管理制度

第一章总则

第一条目的

为切实加强海南师范大学网络安全管理工作,规范数据中心机房内网络设备及安全设备的日常操作与运维管理，明确网络设备与安全设备的运维与管理人员的工作职责，保障网络及安全系统的安全，根据《中华人民共和国计算机信息系统安全保护条例》、《信息安全技术信息系统安全等级保护基本要求》、《计算机信息网络国际联网安全保护管理办法》、《中华人民共和国计算机信息网络国际联网管理暂行规定》及其他有关法律法规的规定，特制定本制度。

第二条职责

信息网络与数据中心主管网络安全工作，负责网络安全管理的具体事务，对网络安全管理工作应履行下列职责:

1．传达并执行上级有关网络安全的条例、法规，并制止有关违反网络安全条例、法规的行为。

2．网络安全负责人由信息网络与数据中心网络管理方面负责人担任；

3.指定专门的人员对网络进行管理，划分网络管理员和安全审计员角色，明确各个角色的权限、责任和风险，权限设定遵循最小授权原则

4．购置和配备应用与网络安全管理的软、硬件（如防火墙、IDS、统一安全网关、路由器、杀毒软件等）。

5. 负责海南师范大学的网络安全和信息安全工作，包括网络安全的技术支持、信息发布的审核、重要信息的保存和备份以及不良信息的举报和协助查处工作。

第二章网络设备维护管理

第三条对所有网络设备的购置、使用和报废必须进行详细的登记，建立设备管理台帐。

第四条严密监控网络的运行，注意检查网络设备和线路的运行状况。发现影响较大的网络故障时，必须及时向学校领导报告。

第五条必须与网络运营商建立起联系制度，建立确保线路运行的保障体系。

第六条定期维护网络设备（路由器，交换机等），包括这些设备的设置及升级，及时发现和排除各种软硬件故障。

第七条网络设备包括路由器、交换机、网络管理工作站、集线器、同异步调制解调器、通信线路和相关通信设备等，应放置在专用机柜内，放置环境要符合有关规定。

第八条严格执行计算机设备防火、防电、防雷规定，确保网络设备的安全。

第九条对路由器、交换机等网络设备，应定期除尘清洁保养，并进行记录，以保证设备正常运行；对新增设备要在第一时间备案。

第三章安全设备维护管理

第十条对所有安全设备的购置、使用和报废必须进行详细的登记，建立设备管理台帐。

第十一条安全设备出现故障时，由安全员和安全设备供应商协调解决。

第十二条建立防火墙访问策略或控制列表，并对策略进行解释与分析，每月检查有效性是否合理；

第十三条严密监控安全设备的运行，注意检查安全设备的运行日志以及监控设备运行状态。发现影响较大的网络故障时，必须及时向学校领导报告。

第十四条定期维护安全设备（防火墙，IDS等），包括这些设备的设置及升级，及时发现和排除各种软硬件故障。

第十五条安全设备包括防火墙、IDS、统一安全网关、安全隔离网闸等，应放置在专用机柜内，放置环境要符合有关规定。

第十六条严格执行计算机设备防火、防电、防雷规定，确保安全设备的安全。

第十七条对防火墙、IDS等网络设备，应定期除尘清洁保养，并进行记录，以保证设备正常运行；对新增设备要第一时间备案。

第四章网络及安全设备运行管理

第十八条加强网络设备、安全设备、网络线路的保障工作，加强核心网络设备、核心安全设备及核心线路的备份工作，确保网络正常运行。

第十九条至少每月对网络运行日志、网络监控记录和报警信息进行分析和处理。

第二十条IP地址管理。网络管理员应根据IP地址规划来分配各单位的IP地址，同时要有文档标识已规划IP地址和空余IP地址；任何个人不得私自更改自己机器上的IP地址，如确实需要更改，由网络管理员重新分配IP地址并备案。

第二十一条网络设备用户名/密码应符合以下要求；（1）根据需要设置用户，删除默认用户或修改默认用户的密码。（2）密码长度至少为8位，由数字、字母、符号组成并进行无规则混排。（3）至少每6个月对密码进行更改，且更新的密码至少5次内不能重复。（4）如果网络设备密码长度不支持8位或其他复杂度要求，密码应使用所支持的最长长度并适当缩小更换周期。

第二十二条网络设备及安全设备的口令指定网络管理员及安全管理员分别保管。

第二十三条网络拓扑管理。做好网络系统的配置工作，随时了解网络拓扑结构和交换的信息，绘制网络拓扑结构图，应包括网络结构的划分、设备型号、设备编号、设备IP地址等，使整个网络系统处于最佳运行状态，注重网络安全管理；

第二十四条网络管理员每个月对网络设备、防火墙、漏洞扫描设备、入侵防御设备等安全设备的升级与补丁情况进行检查并更新，在执行更新操作前，应做好设备配置的备份，在得到领导审批后方可实施，并详细记录操作过程；

第二十五条外单位连接管理。涉及与外单位联网，应制定详细的资料说明备案；需要接入内部网络时，必须通过相关的安全管理措施，报信息网络与数据中心审批后，方可接入和接出。

第二十六条外部互联网管理规定。内部网络不得与互联网进行物理连接；不得将涉密信息在互联网上发布，不得在互联网上发布非法信息；在互联网上下载的文件需经过检测后方可使用，不得下载带有非法内容的文件、图片等。

第二十七条网络使用管理。尽量减少使用网络传送非业务需要的有关内容，尽量降低网络流量；禁止涉密文件在网上共享。

第二十八条依据相关的网络维护和操作手册对网络进行维护，对操作时间、操作人员、操作内容（包括重要的日常操作、运行维护记录、参数的设置和修改等）进行记录。

第五章网络漏洞管理

第二十九条至少每3个月使用专用漏洞扫描工具对网络系统进行漏洞扫描，对网络存在的漏洞、严重级别和结果处理等进行记录。

第三十条实施漏洞扫描或漏洞修补前，对可能的风险进行评估和充分准备，并做好数据备份和回退方案。

第三十一条漏洞扫描或漏洞修补后应进行验证测试，以保证网络系统的正常运行。