國立彰化師範大學電子計算機中心網路通訊、數位學習資訊安全計畫
國立彰化師範大學電子計算機中心網路通訊、數位學習資訊安全計畫
壹、計畫依據 依據行政院核定之「行政院所屬各機關資訊安全管理要點」及相關規定與法規擬定本計畫。 貳、計畫目標 一、確保網路服務正常。 二、維持資訊系統持續運作。 三、防止駭客、病毒等入侵及破壞。 四、防止人為意圖不當及不法使用。 五、避免人為疏失意外。 參、計畫範圍 本規範管理之範圍包括人員、應用系統、硬體設備及網路設施。 肆、權責分工 一、對於網路設備、電腦作業系統及主機設備,由各管理者負責管理及維護。 二、對於委外維護設備,請須對廠商所負責部份界定清楚。
伍、計畫評估與修正 每半年評估並做修正,以反映目前法令、技術及業務的最新情況,確保資訊安全作業之有效性。 陸、系統及網路之安全管理 一、電腦病毒及惡意軟體之防範 1.電腦病毒及惡意軟體之控制 (1)伺服器及個人電腦應採行必要的事前預防及保護措施,防制及偵測電腦病毒及惡意軟體等的侵入;促使中心同仁正確認知電腦病毒的威脅,提升同仁的資訊安全警覺,健全系統之存取控制機制。 (2)電腦設備如遭病毒感染,應立即鎖定設備IP位置,使其無法透過網路傳染其他主機,直到確認病毒已消除後,才可重新連線。 2.電腦病毒防範應考量的重要原則 (1)使用者應遵守軟體授權規定,禁止使用未取得授權的軟體。 (2)公告病毒發作之特徵以及相關資訊。 (3)使用電腦病毒防制軟體,應依下列原則: a.電腦病毒防治軟體及病毒碼應定期更新版本。 b.應定期或即時(real time)掃瞄電腦系統及資料儲存媒體。 c.應慎選使用可掃除電腦病毒及回復系統功能的解毒軟體。 d.對來路不明及內容不確定的磁片或光碟片,應在使用前詳加檢查是否感染電腦病毒。 e.應定期將必要的資料及軟體備份。 f.定期以電腦病毒掃瞄工具執行病毒掃瞄,並在病毒與惡意執行檔可能入侵的管道,採行防範措施。
二、個人資料之保護 關於個人資料的蒐集、公告、利用、更正、刪除及相關的申請登記、損害賠償、處罰等事宜應依電腦處理個人資料保護法等有關法令規定辦理。
三、日常作業之安全管理 1.資料備份 (1)執行必要的資料及軟體備份,以便發生災害或是儲存媒體失效時,可迅速回復正常作業。 (2)系統資料備份及備援作業,應符合本處業務持續運作之需求。 (3)資料備份作業原則如下所列: a.各單位自行保管之備份資料應儲存於適當環境,其安全標準應儘可能與本處電腦機房的安全標準相同。 b.備份資料除存放在本處外,應另異地存放,以降低發生災害時可能帶來的傷害;存放處所環境應儘可能不低於本處電腦機房的安全標準。 c.重要資料的備份,應至少保留三份以上。 d.應定期測試備份資料,以確保備份資料之可用性及時效性。 e.資料的保存時間應由業務單位訂定。
2.系統錯誤事項之處理 (1)系統發生錯誤時,應迅速報告權責主管人員,並採取必要的更正行動。 (2)使用者對電腦及通信網路系統錯誤的報告,應詳實記錄,以供日後查考。 3.系統錯誤處理程序的作業規定如下: (1)應檢查錯誤處理的紀錄,確保系統作業已經恢復正常。 (2)應檢查更正作業是否妥適,確保更正作業未破壞系統原有的安控措施,及確保更正作業係依正當的授權程序辦理。
四、電腦媒體與資料文件之安全管理 1.應儘量避免使用有明顯用途標示的資料儲存系統;電腦媒體儲存的資料內容,不應在外部以明顯方式標示,以免被輕易地辨識出來。 2.可重複使用的資料儲存媒體,不再繼續使用時,應將儲存的內容消除。 3.儲存媒體應依製造廠商提供的保存規格,存放在安全的環境。 4.系統文件的發送對象,應以最低必要的人員為限,且應經系統擁有者的授權。 5.應保護機關重要的資料檔案,以防止遺失、毀壞、被偽造或竄改。重要的資料檔案應依相關規定,以安全的方式保存。 6.超過法定保存時限的檔案,可依相關規定刪除或銷毀,惟應事前考量是否對機關造成不利的影響。
五、作業及應用系統紀錄 1.對於任何作業,均應要書面紀錄,並存檔保留,以供日後查核。 2.當作業上或是系統上運作服務紀錄均要備份,並存放在安全的位置。
六、網路服務之管理 1.網路服務系統的最高使用權限,應經由權責主管來指派相關人員管理。 2.網路管理工作之職權可由不同人員負責,並明定職務之代理人。 3.網路系統管理人員負責執行網路管理工具之設定與操作,以確保系統與資料的安全性與完整性。 4.本校教職員工之使用者帳號由電子中心系統人員負責建立;人員離職時,系統人員應於離職生效日起,撤銷其使用者帳號。 5.網路系統管理人員不得私自閱覽他人之檔案,如有特殊緊急狀況除外。 6.對任何網路安全事件,網路系統管理人員應立即向權責主管反應。 7.管理人員不得新增、刪除、修改系統日誌檔案,以避免違反安全事件發生時,造成追蹤查詢的困擾。 8.建立電腦網路系統之防毒機制,以確保資料之安全性及正確性。 9.防火牆管理人員對所有網路服務與通訊協定列表管制。 10.被授權的網路使用者,只能在授權範圍內存取網路資源。
七、使用者管理 1.在系統使用者尚未完成正式授權程序前,資訊服務提供者不得對其提供系統存取服務。 2.應以書面、電子或其他方式賦予使用者系統存取權限。 3.應要求使用者確實瞭解系統存取的各項條件及要求,只能在授權範圍內存取系統資源。 4.使用者不得將個人登入身份識別碼與密碼交付他人使用,使用者亦不得以任何方法竊取他人的登入身份識別碼與密碼。 5.應建立及維持系統使用者之註冊資料紀錄,以備日後查考。 6.使用者調整職務及離(休)職時,應儘速取消其系統存取權限。 7.應定期檢查及註銷閒置不用的識別碼及帳號。
八、主機安全防護 1.不直接提供遠端登入,以避免資料經由電話線路或網際網路傳送時,被偷窺或截取(如一般網路服務HTTP、Telnet、FTP等的登入密碼)。 2.防制非法使用者假冒合法使用者身分登入主機進行偷竊、破壞等情事。 3.視需求使用電子簽章及電子信封等各種安全控管技術,建立安全及可信賴的通信管道,以提升連線作業之安全性。 4.定期檢視主機系統是否存在漏洞,發現漏洞時應立即通知廠商或自行取得修正程式,進行系統更新。 5.妥善保存主機系統紀錄檔 (syslog)。 6.每月統計乙次主機尖峰時間狀況。監控內容包含CPU狀況、硬碟容量、記憶體。 7.定期檢視比對系統相關設定檔案之日期,確定其未受非法變更,及異常狀況。 8.定期更換系統管理者密碼。
九、系統與網路入侵之處理 1.應全面檢討網路安全措施及修正防火牆的設定,以防禦類似的入侵與攻擊。 2.當防護網被突破時,系統應切斷入侵者的連接;或為達到追查入侵者的目的,可考慮讓入侵者做有條件的連接,一旦入侵者危害到內部網路安全,則必須立即切斷入侵者的連接。 3.對入侵者的追查,除利用稽核檔案提供的資料外,得使用系統指令執行反向查詢,並聯合相關單位追蹤入侵者。 4.入侵者之行為若觸犯法律規定,構成犯罪事實,應立即通知檢警單位,請其處理入侵者之犯罪事實調查。 5.立即向中心權責主管及本校資安小組報告入侵情形。
十、使用者之註冊管理 1.對於多人使用的資訊系統,必須建立正式的使用者註冊管理程序。 2.使用者註冊管理程序,必須考量的事項如下: (1)查核使用者是否已經取得使用該資訊系統之正式授權。 (2)查核使用者被授權的程度是否與業務目的相稱,是否符合資訊安全政策及規定(例如:有無違反權責分散原則。) (3)必須以書面、電子郵件方式,告知使用者之系統存取權限。 (4)必須建立及維持系統使用者之註冊資料說明紀錄,以備日後查考。 (5)使用者調整職務及離(休)職時,必須儘速註銷其系統存取權限。 (6)必須定期檢查及取消閒置不用的識別碼及帳號。 3.遠距教學平台使用者註冊管理如下: (1)遠距教學平台使用者帳號依其身份分為教師及學員兩種。申請時應填寫相關申請表,學員須有任課教師之核准並保留書面紀錄,以備查詢。 (2)遠距教學平台學員帳號係依據使用者不同身份,將其帳號第一個字母加上不同英文字母加以區別。教師帳號部分則同校內教職員電子郵件信箱帳號。 (3)使用者應妥善保管其帳號及密碼,並嚴禁轉借。 (4)教師離職或退休後將刪除其使用者帳號。學生畢業後亦須儘速刪除其使用者帳號。 (5)帳號之刪除及新增皆有正式程序並留下紀錄。
十一、使用者通行碼之管理 1.為維持通行密碼的機密性,必須先配賦使用者臨時通行密碼,並強迫使用者於首次使用時,立即更改通行密碼的方式處理。 2.系統如經評估必須建立更高等級的安全機制,則必須利用電子簽章等安全等級更高的存取控制技術。
十二、網路存取之安全控制 1.使用者應在授權範圍內存取網路系統服務事項。 2.維修廠商以遠端登入方式進入本處電腦網路系統進行維修的通信作業埠,應經申請核准後才可使用;維修完畢後,需將該系統之遠端登入密碼變更或刪除。 3.跨單位的網路系統,應由網管人員建立網路路由控制,以確保電腦連線作業,不致影響應用系統的存取政策。 4.重要主機設備與外界網路直接相連接的界面,皆以防火牆區隔,以控管外界與網路之間的資料傳輸與資源存取。 5.對於通過防火牆之來源端主機IP位址、目的端主機IP位址、來源通訊埠編號、目的地通訊埠編號、通訊協定、登入登出時間、存取時間以及採取的行動,均確實記錄。 6.主機系統管理人員由特定IP位置及以SSH加密方式登入防火牆主機,以避免登入資料遭竊取,危害網路安全。
十三、系統與網路紀錄 1.資訊安全事項發生時應建立記錄,並保存至結案查出原因為止,以作為日後調查及監督之用。 事件之記錄應包括下列事項: (1)使用者識別碼。 (2)登入及登出系統之日期及時間。 (3)電腦的識別資料或其網路位址。 2.由系統管理人員或應用系統負責人,視需要監督個別系統使用情形,以確保使用者只能執行授權範圍內的事項;系統使用之監督作業應經權責主管之正式授權,監督應考量事項如下: (1)系統存取失敗情形。 (2)檢查系統登入的模式,確定使用者識別碼是否有不正常使用。 (3)查核系統存取特別權限的帳號使用及配置情形。 (4)追蹤特定的系統存取。 (5)敏感性資料的使用情形。
十四、電腦系統實體管理 1.各系統實體機器,由各管理理者規劃系統位置擺放,並確實執行連接備用電源、網路線路以及防震等措施,達到電腦系統實體管理之責。 2.若放置機房的設備,請依照機房管理者之規劃放置實體設備,並盡管理之責。 3.各項重要電腦硬體設備皆加裝不斷電系統,以防止不正常的斷電狀況。
十五、環境安全管理 1.一般辦公環境之安全保護: (1)辦公室環境的安全保護,應以事前劃定的各項資訊設施為基礎,並設置必要的障礙 (例如:辦公室的門鎖),以達成安全控管的目的。 (2)每項資訊設備的實體保護程度,以及實體障礙設置的位置,應依資訊資產及服務系統的價值及安全的風險決定。 (3)電腦設備、資料或是軟體,在沒有管理人員書面授權的情形下,不應被帶離辦公室。 2.電腦機房之安全管理: (1)電機房應考量火災、水災、地震等災害的實體安全防護措施,並考量鄰近空間的可能安全威脅。 (2)危險性及易燃性的物品,應存放在遠離電腦機房的安全地點。非有必要,電腦相關文具設備不應存放在電腦機房內。 (3)備援作業用的設備及備援媒體,應存放在安全距離以外的地點以免資訊電腦機房受到損害時也一併受到毀損。 (4)人員進入電腦機房應予適當的管制,並記錄進出時間;人員只有在特定的目的或是被授權情形下,才能進入電腦機房。 (5)應安裝適當的安全偵測及防制設備,例如熱度及煙霧偵測設備,火災警報設備、滅火設備及火災逃生設備;各項安全設備應依廠商的使用說明書定期檢查。 (6)應建置機房火警、空調、溫溼度、電源供應等警示自動通報系統,全天候掌控機房運作情況,以確保機房設施安全。
十六、設備安全管理 1.設備安置地點之防護: (1)重要資訊設備應安置在適當的地點並予保護,以減少環境不安全,引發的危險及未經授權存取系統的機會。 (2)應定期檢查及評估電力供應、火災、水災、地震、灰塵、煙、化學效應、電磁幅射等可能的風險。 (3)電腦作業區應禁止抽煙及飲用食物。 2.電源供應: (1)資訊設備之設置,應防止斷電或其他電力不正常導致的傷害;電源供應依據製造廠商提供的規格設置,並定期進行檢測。 (2)重要資訊設備應考量安置預備電源,並考量使用不斷電系統。 (3)應謹慎使用電源延長線,以免電力無法負荷,導致火災等安全情事。 3.設備維護: (1)資訊設備應妥善的維護,以確保設備的完整性及可以持續使用。 (2)資訊設備維護作業僅能由授權的維護人員執行,並應將維護情形予以記錄。 4.設備報廢處理之安全措施: (1)含有儲存媒體的設備 (例如硬碟) 應在報廢處理前詳加檢查,以確保任何機密性、敏感性的資料及有版權的軟體已經被移除。 5.資訊設備誤用之防止: (1)資訊設備如有業務目的以外的使用,或是超出授權目的以外的使用需求,應經權責主管人員的核准。 (2)如從監督性的資訊或是從其他方法發現資訊設備有不當使用情形,應作適當的紀律處理。
十七、人員進出管制 1.辦公室人員管制 (1)同仁對於外來訪客,宜儘量延請至會客區洽談;如確有需要必須進入辦公室,亦應全程陪同,並親送離去。 (2)非上班時間廠商進行施工、維修或外包清潔公司前來打蠟拖地等,相關組別應派員督導及全程陪同。 (3)最後離開所在辦公室之人員,應關妥門窗及電源,再行離去。 2.電腦機房進出管制 (1)本處人員非因業務需要或被授權核准者,不得進入電腦機房。 (2)進入電腦機房應以刷卡或按鈴或其他報准之方式進入,並嚴禁將通行磁卡借予他人使用。 (3)電腦維修廠商或其他廠商人員,應由業務相關人員陪同,始得進入機房工作。 (4)機房操作員應防止身份不明或未經授權人員,進入機房。 (5)進入機房工作人員除因所負責公務外,若無特殊事由,應於當日廿三時前離去。
十八、資料中心及機房之安全管理 1.支援機關重要業務運作的資料中心及電腦機房,應設立良好的實體安全措施;資訊中心及電腦機房地點的選定,應考量火災、水災、地震等自然及人為災害的可能性,並考量鄰近空間的可能安全威脅。 2.資料中心及機房安全應考量的事項如下: (1)主要的設施應遠離大眾或是公共運輸系統可直接進出的地點。 (2)資料中心及電腦機房的建築,應儘可能不要有過於明顯的標示;在建築物內部及外部說明,應以提供最低必要的指引或配置說明為限。 (3)各樓層的配置說明及內部的電話聯絡簿,應以不讓有心人士循線找出電腦設施的所在地為原則。 (4)危險性及易燃性的物品,應存放在遠離資料中心或電腦機房的安全地點。非有必要,電腦相關文具設備不應存放在電腦機房內。 (5)備援作業用的設備及備援媒體,應存放在安全距離以外的地點,以免資料中心或電腦機房受到損害時也一併受到毀損。 (6)應安裝適當的安全偵測及防制設備,例如熱度及煙霧偵測設備,火災警報設備、滅火設備及火災逃生設備;各項安全設備應依廠商的使用說明書定期檢查;機關的員工應施予適當的安全設備使用訓練。 (7)機關資訊安全緊急處理作業程序應以書面方式記載,並定期演練及測試。 (8)機關不上班或沒有人看護時,門窗應予閉鎖,並應考量窗戶的外部保護措施。 十九、辦公室桌面之安全管理 1.個人電腦不使用時,應關機、上鎖或是使用密碼控制措施保護。 2.個人電腦嚴禁使用非經授權及來路不明之軟硬體。 3.個人電腦設定螢幕保護程式含密碼保護,並於電腦暫時無人使用時自行啟動;下班時關閉所用之個人電腦。 4.個人電腦安裝防毒軟體,並於上班時維持個人電腦之防毒機制於啓動狀態且定期掃描及更新電腦病毒碼。 5.機密性及敏感性資訊資產,不使用或下班時存放於櫃子並上鎖。 6.列印機密資訊文件後,立即從印表機取走,以避免資訊外洩。
二十、財產移轉之安全管理 電腦設備、資料或是軟體,在沒有管理人員書面授權的情形下,不應被帶離辦公室。
柒、系統備份、資料備份及異地儲存 一、適當及足夠的備援設施,定期執行必要的資料及軟體備份及備援作業,以便發生災害或是儲存媒體失效時,可迅速回復正常作業。 二、系統資料備份及備援作業,應符合機關業務永續運作之需求。 三、料備份作業原則如下: 1.正確及完整的備份資料,除存放在主要的作業場所外,應另外存放在離機關有一段距離的 場所,以防止主要作業場所發生災害時可能帶來的傷害。 2.重要資料的備份,以維持三份為原則。 3.備份資料應有適當的實體及環境保護,其安全標準應儘可能與主要作業場所的安全標準相同;主要作業場所對電腦媒體的安控措施,應儘可能適用到備援作業場所。 4.應定期測試備份資料,以確保備份資料之可用性。 5.資料的保存時間,以及檔案永久保存的需求,應由資料擁有者研提。 6.於變更原先舊環境之作業或軟體系統程式前,需將相關資料及設定檔予以完整備份。
捌、急事故通報機制 一、網路或作業系統發生重大事故,立即啟動「緊急應變計畫」,依照程序執行,以利解決問題。 二、處理過程中,務必通知該系統之管理者,以利處理時效。 玖、緊急應變計畫 一、依影響網路資訊系統安全運作程度區分為下列四級: 『A』級:影響公共安全、生命財產者。 『B』級:網路以及電腦系統完全停頓,業務無法運作者。 『C』級:業務中斷,影響系統效率者。 『D』級:業務短暫停頓,可立即修復者。 1.資訊安全事故屬『A』級者:諸如火災,強震等。啟動「國立彰化師範大學安全衛生緊急應變計畫」,俾儘量將事故影響降至最低。 2.資訊安全事故屬『B』級者:諸如機房停電,斷電,大型設備損壞等,業務運作則暫採人工作業方式因應,並洽電力負責單位或資訊維護廠商處理,以維重點業務持續運轉,事件相關資料則於系統恢復正常運作後再予回補。 3.資訊安全事故屬『C』級者:諸如單一網路系統故障或某系統主機當機,立即洽相關資訊系統維護廠商支援處理,俟系統恢復正常後,再以書面資料向上級單位核備。 4.資訊安全事故屬『D』級者:由該系統管理人員自行處理完成後,再予填報相關書面資料請上級單位核備。
壹拾、備援計畫
一、購置UPS不斷電系統設備,當台電無法正常提供機房電力時,可使各系統主機正常運作。並設置獨立柴油發電機,提供機房內冷氣以及不斷電系統電力來源。 二、網路設備以及系統主機:除了大型系統設備須由維護廠商支援外,其他均有替代設備或是備援主機待命,可以在最短時間內恢復中斷之系統服務。 壹拾壹、回復計畫 一、主要目的在於將機房電力以及各系統設備回復正常運作,恢復各項網路服務。 二、標準作業程序可遵照緊急應變計畫來執行並處理。 三、定期演練時,各系統主機管理者以及機房管理者均須到場參與演練。 瀏覽數
|