学校资通安全管理规范-敦和国小

《学校资通安全管理规范-敦和国小》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、南投縣敦和國小資通安全管理規範中華民國105年01月01日一、目標本規範為規定敦和國小(以下簡稱本校)資通安全管理作業實施方法，以增進資訊作業之安全性，確保學校各項資料之機密性、完整性與可用性。二、適用範圍本校電腦、資訊與網路服務相關的系統、設備、程序、及人員。三、實施規定1網路安全1.1網路控制措施1.1.1與外界連線，應僅限於經由教育局(處)網路管理單位之管控，以符合一致性與單一性之安全要求。1.1.2應禁止以私人架設網路（如：電話線、2G或3G網路等）連結機房內之主機電腦或網路設備。1.1.3宜依業務性質之不同，區分不同內部網路網段，例如：教學、行政、宿網等，以降低未經授權存

2、取之風險。1.1.4對於開放提供外部使用者或廠商存取之服務，必須限制使用者之來源IP及網路連線埠(Port)，以確保安全。1.2無線網路存取1.2.1應禁止使用者私自將無線網路存取設備介接至校園網路；若有介接之必要應經權責管理人員同意並設定帳號通行碼或加密金鑰以防未經許可之盜用。1.2.2校園內應提供無線網路存取服務，並採取適當安全管控措施：l專供行政使用之無線網路熱點建議設定加密金鑰防護，並避免使用開放之無線網路存取重要資訊系統及處理敏感性資料。l於教學區域、會議室等場所佈建之無線網路熱點應具有使用者身分認證機制，並經由校園無線路漫遊服務系統提供外校來賓使用。l專供師生教學活動使

3、用之無線網路熱點，若採用其他管理方式確有不便時，應採取限定開放時間及限制開放區域等管理措施，減少遭受不當利用之機會。l開放校外人士出入之公共空間可視需要提供民眾無線上網服務，其網段應與校園網路隔離，或委由網路服務業者提供。1系統安全1.1設備區隔伺服器主機可依個別應用系統之需要，設置專屬主機，以避免未經授權之存取，例如網路服務主機(電子郵件、網站主機)、教學系統主機(例如隨選視訊主機)等。1.2對抗惡意軟體、隱密通道及特洛依木馬程式1.2.1個人電腦應：l裝置防毒軟體，將軟體設定為自動定期更新病毒碼；或由伺服器端進行病毒碼更新的管理。l作業系統及軟體應定期更新，以防範系統漏洞。1.

4、2.2個人電腦所使用的軟體應有授權。1.2.3新伺服器系統啟用前，應執行相關程序(如：確認適合該作業系統之掃毒工具、預設通行碼更新、系統更新等，並記錄於啟用與報廢紀錄單)，以防範可能隱藏的病毒或後門程式。（參考啟用與報廢紀錄單格式，文件編號A-1）1.3桌面淨空與螢幕淨空政策1.3.1個人電腦辦公桌面應避免存放機敏性文件，結束工作時，應將其所經辦或使用具有機密或敏感特性的資料（如公文、學籍資料等）妥善存放。1.3.2當個人電腦或終端機不使用時，應使用鍵盤鎖或其他控管措施保護個人電腦及終端機安全個人電腦應設定螢幕保護機制。1.4資料備份1.4.1系統管理人員需針對學校重要電腦系統及資

5、料（如:系統檔案、網站、資料庫等）應每週至少進行一次備份工作；建議使用設備執行異地備份或使用光碟、隨身碟或外接式硬碟執行異地存放。1.4.2每年應定期檢查備份資料之可用性與完整性。1.5資訊工作日誌1.5.1系統管理人員需針對重要電腦系統進行檢查、維護、更新等動作時，應針對這些活動填寫日誌予以紀錄，作為未來需要時之查核。（參考資訊工作日誌格式，文件編號A-2）1.5.2系統管理人員應至少每季執行一次校時。1.6資訊存取限制共用的個人電腦（如：電腦教室電腦、教師休息室電腦等）應以特定功能為目的，並設定特定安全管控機制（如：限制從網路非法下載檔案行為、限制自行安裝軟體行為、限制特定資料

6、的存取等）。1.1使用者註冊人員報到或離退職應會辦電腦系統帳號管理人員，執行電腦系統的使用者註冊及註銷程序，透過該註冊及註銷程序來控制使用者資訊服務的存取，該作業應包括以下內容：l使用唯一的使用者帳號。l檢查使用者是否經過系統管理單位之授權使用資訊系統或服務。l保存一份包含所有帳號註冊的記錄。l使用者調職或離職後，應移除其帳號的存取權限。l每學期應檢查使用者帳號，以確保帳號的有效性。（參考帳號申請單格式，文件編號A-3）1.2特權管理電腦與網路系統資訊具有存取特權人員清單、及其所持有的權限說明，應予以文件化記錄。（參考系統特權帳號清單格式，文件編號A-4）1.3通行碼（Passwo

7、rd）之使用1.3.1管制使用者第一次登入系統時，必須立即更改預設通行碼，預設通行碼應設定有效期限。1.3.2資訊系統與服務應避免使用共用帳號及通行碼。1.3.3由學校發佈通行碼制定與使用規則給使用者(參考優質通行碼設定原則與使用原則文件，文件編號：A-5)，內容應包含以下各項：l使用者應該對其個人所持有通行碼盡保密責任。l要求使用者的通行碼設定，應該包含英文字及數字，長度為8碼（含）以上。1.4通報安全事件與處理1.4.1資訊安全事件包括：系統被入侵、對外攻擊、針對