广东省外语艺术职业学院网络安全管理办法
第一章 总则
第一条 为了落实国家、省、市关于网络信息安全与等级保护的政策和规定，严格执行信息安全管理体系标准，提高学校网络安全管理水平，维护学校业务信息系统安全稳定，实现业务信息和系统服务的网络安全保护等级，根据《中华人民共和国网络安全法》（中华人民共和国主席令第五十三号）、《信息安全技术网络安全等级保护基本要求》GBT22239-2019等法规，结合学校实际，制订本办法。
第二条 本办法适用于学校信息化建设中所涉网络安全的管理。现代教育技术中心（以下简称“现教中心”）负责学校网络安全管理工作，包括网络规划与设计、网络管理等涉及到网络安全相关事宜。
第三条 现教中心根据等级保护对象的划分情况、等级保护对象的定级情况、等级保护对象承载业务情况，通过分析明确等级保护对象安全需求，设计合理的、满足等级保护要求的安全方案，以指导后续的网络安全等级保护项目实施；现教中心在信息系统网络规划、升级、改造建设过程中，应组织相关人员对网络建设方案进行评审，使方案满足网络安全等级保护管理要求。
第二章 网络接入控制
第四条 各部门、单位涉及到网络变更（如网络结构变更、终端网络需求变更）及非常规性网络访问（如外来人员临时性访问）方面的需求，需向现教中心提出申请，现教中心对申请进行评审通过后，方可进行操作。
第五条 学校有线、无线网络由现教中心进行统一部署和管理，面向师生提供服务，其他部门、单位因业务发展有其他的接入需求的，需向现教中心提出申请，经审批通过后方可接入。
第六条 现教中心负责学校网络出口的安全防护，以及校外其他单位访问学校网络的安全防护，在网络边界处采取安全措施进行有效隔离防护，并对违规行为进行检查和阻断。
第七条 现教中心负责网络的VLAN和安全域划分，不同业务应用系统尽量安排在不同的安全域中，各VLAN和安全域间应采取有效的访问控制措施。
第八条 现教中心对网络设备及网络设备之间的连接线缆进行标识，重要网络端口也须进行详细标识。
第三章 网络安全审计
第九条 现教中心采取开启网络设备日志审计模式，并在网络关键位置采取网络审计手段，记录与网络安全相关的操作与活动，并定期对记录进行评审，将评审结果进行记录。
第十条 审计日志保存时间应至少为六个月以上。
第四章 网络设备管理
第十一条 现教中心制定网络备份策略（如网络配置备份、硬件备份），并做好相应备案。
第十二条 现教中心每月对网络配置、网络设备日志进行备份，并做好备份记录。
第十三条 现教中心做好网络配置、网络设备日志及网络设备备件的保存与管理，保证备份的安全性。
第十四条 现教中心定期对配置备份及设备备件进行测试，保证其可用性，并对测试结果进行记录。
第十五条 根据厂家提供的软件升级版本对网络设备进行更新，并在更新前对现有的重要文件进行备份。
第十六条 建立日志服务器，日志保存时间要求不少于6个月。
第十七条 设备口令必须定期修改，修改周期不得超过3个月。对涉密、保密条件差、使用人员复杂的系统应尽可能缩短口令的使用周期；口令的修改应保留相关记录或日志。
第五章 网络安全检查
第十八条 现教中心制定详细的网络检查项目，负责进行网络系统运行的日常检查工作，将检查结果进行记录。
第十九条 现教中心定期对网络设备配置进行检查和评估，确保网络配置与安全策略保持一致，并对检查结果进行记录。
第二十条 定期对网络系统进行漏洞扫描，对发现的网络系统安全漏洞及时进行修补。
第六章 网络访问控制
第二十一条 现教中心制定网络访问控制策略，并做好相应记录。访问控制策略内容应包括：
（一）根据业务、管理等情况，对不同的部门、单位接入进行划分。
（二）明确各部门、单位只能访问被允许访问的网络和网络服务。
（三）规定各部门、单位访问网络和网络服务使用的手段(如VPN等)。
第二十二条 现教中心基于网络访问控制策略进行网络路由控制。
第二十三条 校园网实行实名认证，在职教职工及在校学生由现教中心统一开通网络接入账号，其他人员、商户如需接入网络，需要向现教中心提出申请，由现教中心审核开通，以确保网络用户的访问权限符合网络访问控制策略。
第二十四条 现教中心制定远程设备维护的管理职责与制度，以保证远程维护人员的操作符合信息安全管理策略，防止由于疏忽、密码账户泄漏造成未授权访问连接网络设备与服务器。
第二十五条 现教中心应确保维护厂商的远程维护连接只允许访问指定的设备和服务，维护厂商的远程维护由现教中心负责审批、开启和关闭，保持每次远程连接记录备查，并对远程访问账号定期进行审核。
第二十六条 现教中心对远程诊断和配置端口采取技术手段与管理措施进行保护，如无必要，禁止使用远程诊断和配置端口。
第二十七条 现教中心应对远程用户进行身份鉴别（如回拨程序、证书、密钥、口令等），若系统的远程访问无法提供用户鉴别措施时，禁止使用远程访问功能。
第七章 附则
第二十八条 本办法自印发之日起施行，由现代教育技术中心负责解释。
