长江师范学院
网络安全管理办法
第一章 总则
第一条 为提高长江师范学院网络安全性，降低学校网络存在的安全风险，确保网络安全可靠运行，制定本办法。
第二章 适用范围
第二条 本办法适用于长江师范学院教学院（部）、机关部门，各专职科研机构、学术传播机构、校医院等二级单位，规范信息系统的网络管理工作。
第三章 组织和职责
第三条 信息化办公室负责对网络系统的规划、设计、建设、变更及运维工作进行监督管理。
第四条 网络管理员负责信息系统基础网络和硬件设备的运维和安全管理工作，包括：
1．负责网络IP地址规划、VLAN规划、安全域划分等工作。
2．负责网络设备的部署、维护和管理。
3．负责每日对路由器、交换机、流量管理设备日志进行保存，每周对保存日志进行备份，并对备份有效性进行检查。
4．负责设备运行日志、网络监控记录的日常维护和报警信息分析和处理工作。
5．负责每季度配合审计管理员完成网络监控、设备策略有效性、设备日志保存与备份的审计工作。
第四章 网络安全管理
第五条 网络整体的拓扑结构需进行严格的规划、设计和管理，一经确定，不能轻易更改。
第六条 安全管理员应每个月对网络进行常规漏洞扫描，并与系统管理员、网络管理员一起进行扫描结果的分析。如发现问题，应及时进行修补（可借助第三方），发现重大安全隐患，应立即上报。
第七条 对重要网段要进行重点保护，要使用防火墙等安全设备以及VLAN或其他访问控制方式与隔离技术将重要网段与其他网段隔离开。
第八条 网络管理员定期对网络的性能进行分析，以充分了解系统资源的运行情况及通信效率情况，提出网络优化方案。
第九条 按照最小服务原则为每台网络设备进行安全配置。
第十条 网络互连原则：
1．与互联网的连接中，在网络出口的设备上应进行IP地址转换，保护内部服务器真实的IP地址。
2．任何部门不得私自建立新的信息平台，如确有需求，需经由信息化办公室审批后方可实施。
3．互联网接入必须有防火墙等安全防范设备。未经许可，任何部门或个人不得私自在网络内新增与互联网的连接。
第十一条 办公网络中不同业务的网络之间互连原则：
1．互连边界必须部署安全控制措施，如网络访问控制列表、安装防火墙等。
2．采取集中原则，尽量减少网络边界，并考虑安全冗余。
3．网络边界及相关设备必须纳入到网管监控体系。
第五章 网络外联管理
第十二条 网络连接管理过程中，需明确网络的外联种类，包括互联网、广域网和与其他单位连接网络等，根据外联种类确定授权与批准程序。
第十三条 所有与外部网络的连接均需通过上网认证，并得到信息化办公室的授权和批准。
第十四条 所有与外部网络的连接均必须具备连接策略及对应的访问控制措施。
第六章 用户和口令管理
第十五条 应对网络设备及安全设备的登录账号设置权限级别，授权要遵循最小授权原则。
第十六条 保证用户身份标志的唯一性，即不同的个人用户必须采用不同的用户名和口令登录，并且拥有不同的权限级别。不同用户的登录操作在设备日志文件上均有记录，便于追查问题。
第十七条 网络设备及安全设备的安全管理员拥有超级用户权限，其他管理员按照工作需求分配相应的用户权限。任何人不得私开用户权限给其他人员。
第十八条 用户的口令尤其是超级用户的口令必须足够强壮并定期更新。
第七章 配置文件管理
第十九条 网络设备及安全设备的当前配置文件由网络管理员每周进行一次备份，并将备份情况记录在《备份记录表》。
第二十条 网络设备及安全设备中的运行配置文件和启动配置文件应随时保持一致。
第二十一条 通过安全的传输方式可以将网络设备及安全设备的配置文件下载到本地主机上作备份文件以防不测，在设备配置文件损坏时可再通过安全的传输方式从本地主机上载到设备中恢复。
第二十二条 网络设备及安全设备的拓扑结构、IP地址等信息文档应在一定范围内予以保密。
第二十三条 应定期对网络设备及安全设备的配置信息是否符合当前网络状况进行检查和分析，并做详细记录。
第八章 日志管理
第二十四条 由网络管理员保存网络设备及安全设备日志信息。
第二十五条 在日志文件中要求记录登录过该设备的用户名、时间和所执行的命令操作及操作结果等信息，为发现潜在攻击者的不良行为提供有力依据。
第二十六条 检查设备的日志文件，发现异常情况要及时处理和报告上级领导，尽早消除网络安全隐患。
第二十七条 每周对日志文件进行备份。日志文件保存时间应在3个月以上。
第二十八条 对日志文件的访问要获得安全管理员的批准。
第九章 设备软件管理
第二十九条 网络设备及安全设备的软件版本较低可能会带来安全性和稳定性方面的隐患，因此应定期检查并在设备的FLASH容量许可和兼容性得到验证的情况下统一升级到较新的版本。
第十章 设备登录管理
第三十条 网络设备及安全设备一般都具有远程登录的功能，应使用SSH等安全加密的连接方式实现远程登录。
第三十一条 需限定可远程登录的主机的IP地址范围，拒绝潜在的攻击者，保证网络安全登录。
第三十二条 对于关键设备，需采取双因素认证的方式实现安全登录。
第十一章 安全补丁管理
第三十三条 信息化办公室负责安全补丁跟进、补丁分级、补丁信息通告，协助提供从正式渠道获取的补丁软件，审核和监督各部门安全补丁加载情况。
第三十四条 系统管理员、数据库管理员、网络管理员负责协调各自系统安全补丁的测试、加载、回退。负责协调制定补丁加载流程和回退计划，负责补丁加载后的监督和验证。
第三十五条 安全管理员负责跟进各类设备安全漏洞信息和厂商发布的安全补丁信息。
第三十六条 安全补丁根据其对应漏洞的严重程度分为三个级别：紧急补丁、重要补丁和一般补丁。紧急补丁必须在一周内完成加载，重要补丁必须在一个月内完成加载，一般补丁要求两个月内完成加载。
第三十七条 所有安全补丁必须从正式渠道获取，正式渠道包括产品厂商直接提供的或官方网站发布的。
第三十八条 补丁正式加载之前必须在测试环境经过严格的测试，严禁未经测试直接在生产系统上加载补丁。
第三十九条 补丁测试的内容包括补丁安装测试、补丁功能性测试、补丁兼容性测试和补丁回退测试：
1．安装测试主要测试补丁安装过程是否正确无误，补丁安装后系统是否能够正常启动。
2．补丁功能性测试主要测试补丁是否对安全漏洞进行了修补。
3．补丁兼容性测试主要测试补丁加载后是否对应用系统带来影响，业务是否可以正常运行。
4．补丁回退测试主要包括补丁卸载测试和系统还原测试。
第四十条 必须对补丁的现场测试和现网测试限定时间，测试完成后，系统管理员需提交测试报告。
第四十一条 从安全漏洞发布到补丁加载前，安全管理员根据业务重要性和漏洞严重程度给出应急措施建议，例如通过加强访问控制、临时关闭服务、加强安全审计等应急措施来加强网络安全，各相关业务系统根据建议采取适当的防护措施，并加强对系统的监控，及时发现和报告信息安全事件。
第四十二条 在漏洞补丁加载前，各系统的管理员必须向信息化办公室提交《补丁测试报告》、《补丁安装计划和实施方案》、《补丁回退实施方案》、《应急响应预案》，经审批通过后按计划执行。
第四十三条 在漏洞补丁加载前，必须做好系统和数据备份工作，确保任何的操作都可回退，在到达回退时间补丁加载没有完成时，启动回退操作，保证业务的正常运行。
第四十四条 补丁加载必须安排在业务比较空闲的时间进行，对补丁加载的操作过程必须详细记录。
第四十五条 核心业务主机的补丁加载要求厂商工程师现场支持。
第四十六条 补丁加载完成后，各系统管理员须按照计划和验证方案进行严格的测试，验证查看系统信息，确保安全补丁已经成功加载，业务系统运行正常。
第四十七条 各系统的系统管理员必须编写《补丁安装报告》、《补丁验证测试报告》，提交给信息化办公室归档。
第四十八条 信息化办公室小组负责对补丁管理的执行情况进行考核，考核的内容包括补丁加载情况、补丁版本信息的准确性和相关文档的质量。
第四十九条 可通过安全漏洞扫描和现场人工抽查的方式进行审计和检查。
第十二章 IT设备弱点评估及加固管理
第五十条 应定期对不同类型信息资产进行弱点评估及相应加固工作。
第五十一条 重要设备评估和加固，需要经过信息化办公室批准。
第五十二条 IT设备的日常安全加固，由设备对应的管理员负责。
第五十三条 安全加固内容主要包括：系统及应用补丁安装，安全配置等。
第五十四条 弱点评估和加固的信息资产可以分为如下几类：
1、网络设备：路由器、多层交换机的OS版本及安全配置。
2、服务器：操作系统、数据库、通用应用软件（如：WEB、Mail、DNS等）的安全补丁及安全配置。
3、安全设备：VPN网关、防火墙、安全网闸等设备或软件的系统版本及安全配置。
第五十五条 在对信息资产进行弱点评估前要制定详细的弱点评估方案，充分考虑评估中出现的风险，同时制定相对应的详细回退方案。
第五十六条 在对信息资产进行安全加固前要制定详细的安全加固方案，明确实施对象、实施步骤及分解动作，分析可能存在的风险以及应对措施，阐明可能发生关联的部门、系统和厂商。
第五十七条 对IT设备进行弱点评估和加固的时间要选择在非工作时段，留出充裕的回退时间。
第五十八条 对IT设备进行安全加固完成后，要进行详细的业务测试，确保业务系统的正常运行。
第五十九条 安全加固后，系统管理员等相关监控人员应对加固后的系统进行监控，确保系统的正常运行，实施加固的相关人员应保证通信方式畅通，确保出现问题时能及时处理。
第六十条 实施安全加固后，加固人员应保证对评估中发现的弱点进行了加固，对不能进行加固的问题要说明原因并编写加固报告。各系统管理员应对加固后的IT设备进行二次评估，评估结果作为加固的效果验证。
第十三章 附则
第六十一条 本办法自发布之日起执行。