上海商学院网络信息安全管理办法

第一章 总则

第一条 为规范上海商学院网络与信息安全工作，确保学校业务系统安全、稳定和可靠的运行，提升校内服务质量，不断推动学校网络信息安全工作的健康发展，根据《中华人民共和国网络安全法》、《信息安全技术信息系统安全等级保护基本要求》（GB/T22239-2008）、以及《信息安全等级保护安全建设整改工作方案》等标准及规定，结合学校实际情况，制定本办法。

第二条 本办法为上海商学院网络信息安全管理的纲领性文件，为网络信息安全管理制度文件提供指引，其他信息安全相关文件在制定时不得违背本办法中的规定。

第三条 本办法适用于所有使用上海商学院网络或信息资源的用户，包括其他外部机构和个人。

第二章 网络信息安全方针

第四条 上海商学院的网络信息安全方针为：安全第一、综合防范、预防为主、持续改进。

安全第一：网络信息安全为学校业务的可靠开展提供基础保障，网络信息安全应作为信息系统建设和业务经营的首要任务；

综合防范：管理措施和技术措施并重，建立有效的识别和预防网络信息安全风险机制，合理选择安全控制方式，使网络信息安全风险发生概率降低到可接受水平；

预防为主：依据国家、行业监管机构相关规定和信息安全管理最佳实践，对重要信息资产采取有效措施，消除可能的隐患，降低网络信息安全事件的发生概率；

持续改进：建立和完善网络信息安全管理机制，并在此基础上持续改进，不断自我完善，为学校业务的平稳运行提供可靠的安全保障。

第五条 网络信息安全管理的总体目标包括：

网络信息安全管理体系建设和运行应符合国家、监管机构和主管部门的相关规定、规则及适用的相关准则和协议；

确保信息系统能够持续、可靠、正常地运行，提供安全、稳定和高质量的信息技术服务并不断改进；

保护信息系统及数据的机密性、完整性和可用性，保证其不因偶然或者恶意侵犯而遭受破坏、更改及泄露。

第三章 网络信息安全策略

第六条 安全管理制度

（一）应形成由管理规定、管理规范、操作流程等构成的全面的网络信息安全管理制度体系。

（二）网络安全管理制度应具有统一的格式，并进行版本控制，通过正式有效的方式发布。

（三）定期对安全管理制度进行检查和审定，对存在不足或需要改进的安全管理制度进行修订。

第七条 安全管理机构

（一）网络信息安全管理工作实行统一领导和分级管理。学校网络与信息安全领导小组指导信息安全管理工作，决策网络信息安全重大事宜；信息化办公室（以下简称“信息办”）综合协调学校的网络信息安全工作，信息与网络中心负责学校网络信息安全的技术保障。

（二）网络信息安全管理实行主要领导负责制，按照“谁主管、谁负责，谁使用、谁负责，谁运维、谁负责”原则，逐级签署安全责任书，落实学校各单位与个人网络信息安全责任制。

（三）各单位的信息员兼任网络信息安全管理员。

（四）加强内部部门之间，以及外部监管机构、公安机关、供应商和安全组织的合作与沟通。

第八条 人员安全管理

（一）制定安全用工原则，尤其是信息系统相关人员、敏感信息处理人员的录用、考核、转岗、离职等环节应有具体的安全要求。

（二）信息与网络中心定期组织针对在校教职工的信息安全培训，以增强安全意识、提高安全技能、明确安全职责，应对安全教育和培训的情况和结果进行记录并归档保存。

（三）在岗位职责的描述中，应该阐明网络信息安全责任。

第九条 第三方安全管理

（一）根据第三方所要访问的信息资产的等级及访问方式来进行评估，确定其安全风险。

（二）根据风险评估结果，采取适当的控制方法对第三方访问进行安全控制，保护学校信息资产的安全。

（三）第三方对学校敏感的信息资产进行访问时，应签订保密协议或正式的合同。在协议及合同中应明确第三方的安全责任和必须遵守的安全要求。

第十条 信息系统建设安全管理

（一）在项目立项前，应明确信息系统的安全等级、安全目标及所有的安全需求并文档化。

（二）必须通过对安全需求进行详细的分析，制定安全设计方案，明确安全控制措施及所采取的相关安全技术。

（三）根据设计方案的要求，对使用的软硬件产品进行选型和测试，最终确定具体采用的产品。

（四）根据设计方案和选定的产品编制实施方案。在实施方案中必须考虑到实施过程中的风险，必须包含详细的项目实施计划、实施步骤、测试方案和风险应对措施。

（五）必须对实施过程进行安全管理，明确实施过程中各种活动的程序及职责，并形成文件。

（六）应根据信息系统的安全等级，在系统上线前完成信息系统安全防护措施的实施，包括基线设置等。同时还应建立必要的机制，保证能够对上线后的系统进行更新升级。

（七）必须根据验收流程，对系统进行必要的测试和评定。

第十一条 信息数据管理

   (一)应对学校各业务系统的信息数据进行登记，建立相应的数据清单，并指定其安全责任人。

（二）根据机密性、完整性和可用性要求对信息数据进行分类分级，确定不同级别信息数据在其生命周期内的保护要求。

（三）必须明确信息数据访问控制原则，并建立信息数据访问的授权机制。

第十二条 介质管理

（一）对介质的存放环境、标识、传递、访问、保管、销毁等活动做出规定，有介质的归档和访问记录，并对存档介质的目录清单定期盘点。

（二）存储介质的管理同信息数据管理相一致，根据所承载数据和软件的重要程度对介质进行分类分级管理。

（三）选择公共云盘作为数据备份介质的，应与云盘供应商签订相应的信息安全协议，报信息办审批后归档。

第十三条 监控管理

（一）应对通信线路、网络设备、主机和应用软件的运行状况、网络流量、用户行为等进行监测和报警。

（二）应定期对监测和报警记录进行分析、评审，发现可疑行为，形成分析报告，发现重大隐患和运行事故应及时协调解决，并报上安全相关部门。

（三）应建立安全管理中心，对设备状态、恶意代码、补丁升级、安全审计等安全相关事项进行集中管理。

第十四条 网络安全管理

（一）指定专人对网络进行管理，负责日常的网络维护和报警信息处理工作。

（二）制定网络访问控制机制，网络访问控制策略以“除明确允许执行情况外必须禁止”为原则。

（三）当远程访问信息系统时，应采取额外的安全管控措施，以防止设备被窃、信息未授权泄露、远程非授权访问等风险。

（四）定期对网络系统进行漏洞扫描，对于发现的漏洞，在经过风险评估、验证测试和充分准备后进行修补或升级。

（五）重要网络设备开启日志和审计功能。

第十五条 网站和信息系统安全管理

（一）凡需要提供校外公网访问服务的网站，必须统一归并到学校网站群，没有归并的网站只能在校内访问或在校外通过VPN访问。

（二）信息系统安全等级保护定级原则。凡是需提供外网访问服务的学校信息系统，定级为二级及以上安全等级保护（以下简称“等保”）的信息系统，必须符合二级及以上信息安全等保要求。仅向校内网络提供访问服务的信息系统，应参照一级或以上等级的信息安全等保要求运行及管理。

（三）信息系统安全等保备案。按照国家信息系统等级保护制度的相关法律法规、标准规范以及《关于开展上海教育行业信息系统安全等级保护工作的通知》（沪教委科[2015]51号）要求，学校定期向上级主管部门备案学校信息系统安全等级保护定级情况。信息办作为学校信息系统定级备案归口管理单位，落实上报备案工作，并接受校内二级单位自建自管信息系统的备案。各二级单位需对本单位所有网站和信息系统分别填写《上海商学院网站、信息系统安全等保备案表》（见附件1），向信息办备案。

（四）信息系统外网访问申请。各二级单位新建的信息系统、网站，原则上不予开放外网访问。若二级单位对系统或网站有校外访问需求，需在网上办事大厅上对信息系统或网站进行外网访问申请，信息办将对申请进行审批，信息与网络中心将对申请系统、网站进行全面的安全扫描（周期约为15个工作日）。待信息与网络中心确认系统安全后，由申请部门负责人、部门信息安全员、系统管理员签署《上海商学院信息系统、部门网站网络安全责任书》（见附件2），信息办进行统一归档后，再开通信息系统、网站外网访问权限。未通过信息办审批、信息与网络中心安全确认或未签署《上海商学院信息系统、部门网站网络安全责任书》的信息系统不予开通外网访问。

（五）信息系统安全等保测评。学校信息化专项的等保测评工作由信息办统一安排。自建自管信息系统的安全等保测评工作可由建设单位、部门委托信息与网络中心进行或自行实施第三方测评，测评发现的问题由建设单位、部门落实整改工作，测评和整改费用主要由建设单位、部门承担。原则上只有学校数据中心机房内的服务器可供校外公网访问,其他服务器只能在校内访问或在校外通过VPN访问。

（六）应指定专人对网站和信息系统进行管理，划分系统管理员角色，明确各个角色的权限、责任和风险，权限设定应当遵循最小授权原则。制定系统访问策略，未经明确授权的用户，系统应默认采用禁止访问原则。负责系统日志的采集、保存、备份和失效处理等工作。在条件允许的情况下，可采用技术手段实现。

（七）在信息与网络中心的协助下，定期对系统进行漏洞扫描，对于发现的漏洞，在经过风险评估、验证测试和充分准备后进行修补或升级。

（七）重要系统服务器开启日志和审计功能，重要日志必须安全地存储在介质中，并定期备份和检查。

第十六条 恶意代码防范管理

（一）专人负责计算机病毒防范工作的组织与实施。

（二）指定专人负责跟踪厂商发布的漏洞补丁情况，定期对服务器、网络、应用软件进行漏洞扫描。

（三）对于确有必要升级的漏洞补丁，在安装前必须进行充分的验证测试和风险评估。

（四）如果无法及时完成漏洞补丁加载，应进行原因分析，并采取一定的安全防护措施，必要时进行回退。

（五）根据日常安全监控、风险评估、信息安全检查和信息安全审计的结果，调整入侵和攻击防范策略或采用新的、成熟的技术产品。

（六）定期对学校重要信息系统进行渗透测试等工作，以及时掌握信息系统安全状况，防范入侵和攻击。

第十七条 变更管理

（一）必须对信息系统的所有操作建立有效的管理和监控机制，确定相关人员及部门职责。

（二）根据信息系统变更所涉及的信息资产的安全等级，对信息系统变更进行分级，针对不同等级的信息系统变更以文档的形式明确相应的审批管理程序。

（三）在系统变更审批前，变更申请部门提交申请报告，变更管理员要提交系统变更方案，明确变更存在的风险及对系统的影响。

（四）实施变更前，应该对变更内容进行严格测试。

（五）严格遵照实施方案中所规定的流程实施变更，变更实施过程应记录并妥善保存。

第十八条 备份和恢复管理

（一）数据备份工作应指定专人负责；根据系统的重要程度，制定相应的备份策略；

（二）明确数据恢复的原则和审批程序；

（三）制定数据备份恢复方案；

（四）重要信息系统的恢复性测试在不影响生产环境运行的情况下至少每年进行一次。根据恢复测试结果进行数据恢复过程的调整。

第十九条 信息安全事件管理

（一）网络信息安全相关事项由信息办会宣传部集中管理。

（二）制定包括信息系统运行状况检测、异常处理、汇报等的安全监控工作制度，指定专人负责安全监控。

（三）信息办对安全监控的结果进行定期检查，以保证安全监控结果的有效性和完整性。确保安全监控结果可作为其他统计和分析工作的数据来源。

（四）安全事件处理的原则是“积极预防、及时发现、快速响应、确保恢复”。

（五）信息办建立详细的安全事件响应机制，明确安全事件的发现、分析、处理、总结和奖惩阶段的相关责任，最大限度地减少安全事件造成的损害。

（六）对安全事件做好记录和存档工作，记录内容包括事件的原因、处理过程、处理结果、建议改进的安全对策。

第二十条 应急预案

（一）制定应急预案并文档化，确定应急预案的总体策略，确保重大故障时重要系统和业务的及时恢复。

（二）应急预案应定期检查、及时更新维护，以确保其有效性。

（三）应急预案内容至少应包括启动应急预案的条件、应急处理流程、系统恢复流程和事后教育和培训等内容。

（四）应从人力、设备、技术和财务等方面确保应急预案的执行有足够的资源保障。

（五）应根据不同的应急恢复内容，确定演练的周期并定期进行培训和演练。

第二十一条 审核和检查

（一）应从技术管理和业务保障等方面，进行全面的信息安全检查，检查依据为不同时期的信息安全要求。

（二）信息安全检查工作应采取定期全面检查和不定期的专项检查相结合的方式。

（三）对于安全检查的结果应予以跟踪落实，应对整改后的结果进行复查并汇报。

第四章 附则

第二十二条 学校各单位可根据本办法制定相应的实施细则。

第二十三条 本办法经学校网络安全和信息化领导小组、信息化工作委员会审议并报校长办公会审定通过，自印发之日起施行。

上 海 商 学 院

                           2019年6月11日