《成都市教育计算机信息系统安全建设规范》由会员分享，可在线阅读，更多相关《成都市教育计算机信息系统安全建设规范（3页珍藏版）》请在金锄头文库上搜索。
1、成都市教育计算机信息系统安全建设规范成都市教育计算机信息系统安全建设规范第一章 总则本办法规定了成都市中小学计算机信息系统安全的规划要求和建设标准。本办法适用于成都市行政区划范围内的所有中学、小学、师范、职中的计算机信息系统安全，是计算 机信息系统安全规划、建设、监理、验收的依据。建设教育计算机信息安全系统应本着预防为主、因地制宜、注重实效、及时补漏的原则。计算机信息系统，是指由计算机及其相关的和配套的设备、设施(含网络)构成的，按照一定的应用目 标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。计算机信息系统的安全保护，应当保障计算机及其相关配套设备、设施(含网络)的安全，运行
2、环境的 安全，保障信息的安全，保障计算机功能的正常发挥，维护计算机信息系统的安全运行。有害数据是指计算机信息系统及其存储介质中存在、出现的，以计算机程序、图像、文字、声音等多种 形式表示的，含有攻击人民民主专政、社会主义制度，攻击党和国家领导人，破坏民族团结等危害国家安全 内容的信息；含有宣扬封建迷信、淫秽色情、凶杀、教唆犯罪等危害社会治安秩序内容的信息，以及危害计算 机信息系统运行和功能发挥，应用软件、数据可靠性、完整性和保密性，用于违法活动的计算机程序（含计算机病毒）。安全防范机构及制度安全组织单位必须建立安全机构，单位主要领导必须主管计算机信息系统安全防范工作。安全机构的任务是根据本单位
3、的实际情况制定安全防范策略、作出风险分析、建立安全保障体系。单位必须实行安全防范制度。安全负责人负责安全机构的具体工作。人事管理人员审查：必须根据计算机信息系统所定的保密级别确定审查标准。必须保证关键岗位的人选安全可靠。所有工作人员必须进行相应的计算机安全防范培训。人事部门应定期对系统所有工作人员进行考核，对不适于接触信息系统的人员要及时调离，要 向其申明调离后的保密义务，收回所有资料和证件，退还全部技术手册及有关材料。系统必须更换口令和机 要锁。制定严格的计算中心出入管理制度。制定严格的技术文件管理制度。制定严格的操作规程。制定完备的系统维护制度。制定数据记录媒体管理制度。实体安全设计或改建
4、计算机机房时必须符合下列标准：计算站场地安全要求（GB2887-82）、计算站场地技 术条件、电子计算机机房设计规范的规定。在计算机机房附近施工，不得危害计算机信息系统的安全。单 位采购的计算机信息系统安全产品和保密专业产品必须具有公安部门核发的销售许可证。新购进的计算机 及其设备、软件系统，应经单位计算机安全人员进行检查，确认无有害数据后方可投入使用。防雷措施：应符合建筑防雷设计规范。计算机信息系统在建设时，应进行防雷安全技术检测，并取 得防雷检测合格证。凡未安装防雷安全装置或检测不合格的系统，必须整改。计算机信息系统、电源系统、天 馈系统所使用的防雷产品，应有相关部门质量认可，符合计算机信
5、息系统防雷保安器要求，方能投入使用。防静电措施：计算机信息系统在建设时，应进行防静电安全技术检测。凡未安装防静电安全装置或 检测不合格的系统，必须整改。计算机信息系统、电源系统、天馈系统所使用的防静电产品，应有相关部门质 量认可，方能投入使用。防盗措施：计算机信息系统建设时，应安装必备的防盗设施，应包括教室、楼层和校园三级防盗设施。 并设置必备的安全岗位，安排合格的人员上岗。外部容易接近的门窗应采取防范措施，如钢化玻璃、嵌网玻 璃、及卷帘和铁窗。无人值守时应有自动报警设备。重要部门的计算机中心外部不应设置标明系统及有关设 备所在位置的标志。防火措施：应符合高层民用建筑设计防火规范、建筑设计防火
6、规范。应设置二氧化碳或卤代烷 灭火设备。机房内的电源切断开关应靠近工作人员的操作位置或主要出入口。防水措施：位于用水设备下层的计算机机房，应在吊顶上设防水层，并设漏水检查装置。防磁的防护：应符合计算站场地技术条件方能投入使用。主机及外设的电磁干扰辐射必须符合国 家标准或军队标准的要求，外国产品必须符合生产国家的标准。软件安全操作系统应具有以下安全措施：应有可靠的日志记录。应有较完善的存取控制功能，以防止用户越权存取信息。应有良好的存储保护功能，以防止用户作业在指定范围以外的存储区域进行读写。应有较完善的管理功能，以记录系统的运行情况，监测对数据文件的存取。数据库应有可靠的日志记录。必须有严格的
7、存取控制措施。数据库管理系统应对输入数据进行逻辑检验，数据库更新时应保证数据的准确性。应具有检查 跟踪能力，可以记录数据库查询、密码利用率、终端动作、系统利用率、错误情况及重新启动和恢复等。数据库管理系统应能检测出涉及事务处理内容及处理格式方面的错误，应能确定是否由于系统 故障而引起了文件或数据的丢失，并予以记录。数据库管理软件应具备从各种人为故障、软件故障和硬件故障中进行恢复的能力。应用软件必须考虑充分利用系统所提供的安全控制功能。在保证完成业务处理要求的同时，应在设计时增加必要的安全控制功能。 防火墙应提供安全、快速和可管理的 Internet 连接。提供快速和全面的控制访问和网络使用检测
8、方法， 保护网络免受未授权访问的侵害，检测网络数据流，当出现网络攻击的时候给管理员提示报警信息。应具备可扩展性和可伸缩的高性能 Web 缓存系统，能对数据层、链路层和应用层进行数据过滤、 对穿过防火墙的数据进行状态检查、对访问策略进行控制并对网络通信进行路由。对所有客户端的透明，有 流量监测、状态监测、入侵检测、高级验证、VPN、智能应用程序过滤器、安全服务器发布等。提供基于策略的安全、加速和管理。管理基础构架，提供一致、有效的方法来管理组的访问、配 置和规则设定。能够进行策略定义、流量路由、服务器发布和监视过程。可扩展的开放平台，有广泛的应用程序支持和可扩展管理选择。软件开发过程应按照下述标
9、准的要求进行：国家教育部中小学教学软件审查标准、教育软件适 用文档编写指南、中小学软件开发指南。安全策略组策略使应用到域或组织单位中的用户的组策略对象数量最小。按照安全组成员身份筛选策略。主要使用基于用户的组策略，仅在必要时才用基于计算机的组策略替代基于用户的组策略。使用组策略而不是系统策略。软件限制策略运用散列规则、证书规则、路径规则或 Internet 区域规则，使应用程序可在策略中得到标识。软件可以运行在两个级别上：“不受限制的”与“不允许的”。有助于保护计算机免受电子邮件病毒侵扰的步骤：审阅最佳操作，为邮件程序用来运行电子邮 件附件的所有文件夹创建路径规则，并将安全级别设为“不允许的”
10、， 指定该规则将适用的文件类型。在将策略应用到任何其他计算机上之前，始终在测试机上对其进行测试。不应将软件限制策略 用作防病毒软件的替代产品。网络安全网络安全的目标： 为了增加网络的安全性，必须对信息资源加以保护(存取和传输)，对服务资源加以控制和管理。信息资源有三类：公众信息：不需访问控制。内部信息：需要身份验证以及根据身份进行访问控 制。敏感信息：需要验证身份和传输加密。服务资源包括：内部服务资源：面向已知客户，管理和控制内部用户对信息资源的访问。公众服 务资源：面向匿名客户，防止和抵御外来的攻击。网络安全需求层次连接子网安全需求：主要解决传输的安全性，该子网的安全要求是在网络层控制出入的
11、路由功 能以及对进出的数据包进行较粗粒度的控制，即保证数据的完整性和保密性。在与外界的出入口设置防火墙， 进行较粗粒度的访问控制，实施第一层次的安全保护。公共子网安全需求：以该层次网络作为安全管理单位，针对应用服务进行细粒度访问控制，对客 户和服务器双方进行身份验证。同时对服务子网和内部网内部服务器的服务提供代理。服务子网安全需求：服务子网的服务器安全要求最高。服务子网应防止内外部的攻击和非授权 访问，服务子网不能完全暴在内部网中。该子网服务器不直接对外服务，只接受公共子网应用代理的服务， 所有用户都必须通过应用代理才能对这些服务器访问。 内部网安全需求：应防止外部的用户直接进入内部网络，对内
12、部用户的对外访问必须实施控制 和管里。内部应用或开发服务器应实施安全管理和控制，必须建立从内部用户到应用服务器直接的安全通道。 安全通道包括安全通汛和身份认证。整体安全要求有四个层次：数据完整性和保密性：在非可靠网络上的传输安全性，访问控制：即保证数据不被修改和窃取。对已知用户或匿名用户访问网络信息资源提供细粒度 的访问控制。双向身份验证：验证已知用户和服务提供者的身份，即验证服务器和客户双方的身份。审计和记录：监听和记录网上的访问活动，加强网络管理。安全机制和手段安全机制：访问控制、认证、加密、审计和记录、数字签名、数据完整性、信息流填充、路由控制、公正安全技术：防火墙、身份认证、内容检查、主机安全、访问控制、密码、安全审计、安全管理、系统 漏洞监测、黑客跟踪
