豫建院〔2017〕46号
关于进一步加强网络安全和信息化工作的
通 知
各单位：
为深入贯彻落实中共河南建筑职业技术学院委员会关于印发《关于加强和改进新形势下思想政治工作的实施方案》的通知，加强和改进我院在新形势下的校园网络安全管理工作，提高我院信息化建设发展水平，现将《河南建筑职业技术学院校园网络系统安全管理制度》、《河南建筑职业技术学院计算机机房安全管理规定》、《河南建筑职业技术学院校园网络信息安全管理条例》、《校园网服务器安全管理技术要求》复印发给你们，请遵照执行。
河南建筑职业技术学院
2017年6月23日
河南建筑职业技术学院校园网络系统安全管理制度
第一章 总 则
第一条 为了保护河南建筑职业技术学院校园网络系统的安全、促进学院信息化工作健康发展、保证校园网络的正常运行和网络用户的使用权益，制定本安全管理制度。
第二条 本管理制度所称的校园网络系统，是指由学院投资购买、由学院教育信息技术中心负责维护和管理的校园网络主、辅节点设备、配套的网络线缆设施及网络服务器、工作站所构成的，为校园网络应用及服务的硬件、软件的集成系统。
第三条 校园网系统的安全运行和系统设备管理维护工作由院教育信息技术中心负责，教育信息技术中心可以委托相关单位指定人员代为管理子节点设备。任何单位和个人，未经校园网负责单位同意,不得擅自安装、拆卸或改变网络设备。
第四条 任何单位和个人、不得利用联网计算机从事危害校园网及本地局域网服务器、工作站的活动，不得危害或侵入未授权的（包括CERNET或其它互联网在内的）服务器、工作站。
第二章 安全保护运行
第五条 除校园网负责单位，其他单位或个人不得以任何方式试图登陆进入校园网主、辅节点、服务器等设备进行修改、设置、删除等操作；任何单位和个人不得以任何借口盗窃、破坏网络设施，这些行为被视为对校园网安全运行的破坏行为。
第六条 校园网中对外发布信息的WWW服务器中的内容必须经由部门负责人审核后，交党委宣传部审核备案后，由教育信息技术中心从技术上开通其对外的信息服务。
第七条 校园网各类服务器中开设的帐户和口令为个人用户所拥有，教育信息技术中心对用户口令保密，不得向任何单位和个人提供这些信息。
第八条 网络使用者不得利用各种网络设备或软件技术从事用户帐户及口令的侦听、盗用活动，该活动被认为是对网络用户权益的侵犯。
第九条 校园内从事施工、建设，不得危害计算机网络系统的安全。
第十条 校园网主、辅节点设备及服务器等发生案件、以及遭到黑客攻击后，校园网负责单位必须在二十四小时内向学院网络安全和信息化领导小组办公室及公安机关报告。
第十一条 严禁在校园网上使用来历不明、引发病毒传染的软件；对于来历不明的可能引起计算机病毒的软件应使用公安部门推荐的杀毒软件检查、杀毒。
第十二条 任何单位和个人不得在校园网及其联网计算机上传送危害国家安全的信息(包括多媒体信息)、录阅传送淫秽、色情资料。
第十三条 校园网及子网的系统软件、应用软件及信息数据要实施保密措施。信息资源保密等级可分为：（1）可向Internet公开的；（2）可向校内公开的；（3）可向本系（单位）公开的；（4）可向有关单位或个人公开的；（5）仅限于本单位内使用的；（6）仅限于个人使用的。
第十四条 对所有联网计算机及上网人员严格落实实名登记制度，及时、准确登记备案。多人共用计算机上网的各级行政单位、教学业务单位上网计算机的使用要严格管理，部门负责人为网络安全负责人。学院公共机房一律不准对社会开放，上网人员必须出示学生证、教师证，机房工作人员记录上网人员身份和上下网时间、机号、机器IP地址。公共机房使用网络的记录要保持一年。
第十五条 校园网负责单位必须落实各项管理制度和技术规范，监控、封堵、清除网上有害信息。为了有效地防范网上非法活动，校园网要统一出口管理、统一用户管理，进出校园网访问信息的所有用户必须使用校园网负责单位设立的代理服务器、Email服务器。未经学院网络安全和信息化工作领导小组批准，各单位一律不得开设代理服务器、Email服务器。
第十六条 经学院网络安全和信息化工作领导小组批准开设的服务器必须保持日志记录功能，历史记录保持时间不得低于6个月，并不定期地检查各开通服务器的计算机日志。
第三章 责任和处罚规定
第十七条 违反第五条及第十二条规定的行为一经查实，将向学院网络安全和信息化工作领导小组及保卫部门报告，视情节给予相应的行政纪律处分；造成重大影响和损失的将向市公安部门报告，由个人依法承担相关责任。
第十八条 违反第八条规定的侦听、盗用行为一经查实，将提请学院给予行政处分，并在校园网上公布；对他人造成经济损失的，由本人加倍赔偿受害人损失，关闭其拥有的各类服务帐号；行为恶劣、影响面大、造成他人重大损失的，将向公安部门报案。
第十九条 故意传播或制造计算机病毒，造成危害校园网系统安全的按《中华人民共和国计算机信息系统安全保护条例》中第二十三条的规定予以处罚。
第四章 附则
第二十条 本管理制度中所指出的校园网负责单位为学院教育信息技术中心。
第二十一条 本管理制度自公布之日起实行。
河南建筑职业技术学院计算机机房安全管理规定
为了加强我校计算机机房的安全管理，保证计算机机房安全、规范运行，根据国家有关法律、法规，特制定河南建筑职业技术学院计算机机房安全管理规定。
一、计算机机房主要指计算机集中放置的学院公用机房、各单位计算机数量超过20台的自用机房、学生自备机房。
二、根据《河南建筑职业技术学院校园网络系统安全管理制度》，凡未经学院网络安全和信息化工作领导小组批准的计算机机房不得连接校园网。经同意批准的计算机机房必须经学院网络安全和信息化工作领导小组检查验收合格后，取得合格证方可使用。
三、开设计算机机房，严格按照“谁开设、谁管理、谁负责”的原则，明确安全责任，落实安全责任人，落实安全措施。
四、用户在校园网相关服务器上开设账户和口令信息要妥善保管，院教育信息技术中心对用户口令保密。
五、计算机机房必须建立健全严格的安全管理制度。管理人员必须对上机人员进行验证登记，确定机位、IP地址、建立计算机使用管理日志，记录使用人员上下机时间；管理日志要保存一年。学生用公用机房需采用校园IC卡跟踪记录的管理办法，上机人员用机记录要便于查询。
对缺乏严格的计算机机房管理制度，造成网络安全事故无法追查的，将追究机房负责人和机房管理人员的责任。
六、机房必须落实以下安全要求：
（1）服务对象必须为校内师生员工，不得对校外人员开放；开放时间平时不得超过22:00，节假日不得超过23:00，各类机房不得以任何形式交由校外人员管理。
（2）计算机机房的机位，不得私自搬动或调换。机房管理人员为计算机分配的IP地址不得自行更改。
（3）每台计算机机位占地面积不得小于2平方米。超过50台计算机的机房必须有2个以上安全出口。
（4）必须按规定配备安全消防设施，安装防盗门、窗及技防设施。
（5）严禁制作、复制和传播有害信息、黄色网站或黄色游戏、淫秽影碟，严禁盗用他人IP地址、用户账号；不得利用计算机技术侵犯用户合法权益；一经发现，追究其领导和相关人员责任。情节严重者移交公安机关处理。
（6）未经机房管理人员批准，任何人不得改变网络拓扑结构、网络设备布置、服务器配置和网络参数，危害网络安全。任何人不得擅自进入未经许可的网络系统，不得篡改系统信息和用户数据。
机房管理人员应及时监控计算机及网络运行状况，对不成功进入、不成功访问、越权存取尝试等进行记录、整理、分析，并提出针对性措施。
（7）任何人不得在网上制造、传播计算机病毒，不得危害网络安全、不得开设二级代理服务器。网络使用者发现病毒，应立即向机房管理人员报告，以便及时处理。
（8）机房网络服务器以及机房内的计算机病毒防治工作由机房管理人员负责。
七、学院网络安全和信息化工作领导小组根据公安部门要求和学院的网络安全状况，不定期地检查各开通服务器的机房的计算机管理日志和管理记录。
八、计算机房内发生治安事件、火灾及发现不良信息时，单位或个人应立即向学院保卫部门报告。
九、凡违反本规定的，学院将根据《中华人民共和国计算机信息系统安全保护条例》和《河南建筑职业技术学院校园网络系统安全管理制度》依纪依法追究责任；情节严重者交公安部门处理。
十、本规定从公布之日执行。
河南建筑职业技术学院校园网络信息安全管理条例
为进一步加强校园网络信息安全的管理，规范学院各级网站建设，保证网络安全，把校园网建设成为广大师生进行交流的平台、教育和学习的阵地、宣传学院事业发展的窗口，根据相关文件精神，结合我校实际情况，特制定本条例。
第一条 本条例中的校园网络信息是指在校园网内由学院各院系部门建立的各类网站的网页、应用信息系统、BBS论坛中的所有信息。
第二条 学院成立网络安全和信息化工作领导小组。领导小组由学院党委书记、院长任组长，学院副书记、副院长、纪委书记、工会主席任副组长，由学院党政办公室、党委宣传部、保卫处、教育信息技术中心、各系部等部门负责人任组员，领导小组办公室设在教育信息技术中心。
第三条 网站管理按照“谁主管谁负责、谁运行谁负责、谁使用谁负责”的原则，明确责任、突出重点、保障安全。院系党委书记是本单位的第一责任人，网络管理员是的直接责任人；机关各部处的主要负责人是本部门的第一责任人，网络管理员是本部门的直接责任人。
第四条 学院为各院系、部门提供统一的网站页面制作软硬件平台，各院系的信息发布及应用系统在数字化校园建成前仍由各单位自行建设管理。
第五条 进一步加强网站、贴吧、微博、微信、论坛的管理。目前学院有自己的官方网站、微博、微信，建院贴吧也由学院负责管理。各单位如因教学科研需要开设微信微博公众号的，必须向学院网络安全和信息化工作领导小组申请，经批准后方能运行。凡经批准开设的网站、公众号、论坛，必须采用后台实名制进行身份认证、关闭匿名发帖功能，并保留相关的系统日志。
第六条 各网站必须明确责任人和系统管理员，同时将责任人和系统管理员的电话(手机)报领导小组办公室备案；如人员发生变化，需及时通知领导小组办公室。
第七条 校内各子网站的管理工作不得交学生或兼职人员代管，采用相关软件聘请第三方进行开发的，在正式启用后必须需由本部门网络管理员接管。
第八条 网站的信息内容应及时更新，如网站长期不更新或无人管理，主办单位应及时报有关部门注销该网站。
第九条 网站管理员以及版面管理员必须经常浏览、监测网站及版面信息发布情况，发现版面内有不良内容或问题必须立即删除或屏蔽，并及时向主管部门报告，保证网站健康运行。
第十条 各类网站必须定期清查服务器漏洞或病毒，以防止计算机中的重要信息文件通过漏洞或病毒程序到处传播，造成重大泄密事故。
第十一条 具有信息系统网站的单位责任人应定期对信息系统进行安全检查，检查内容应包括：
（1）安全责任落实情况，重点检查信息系统及网站管理人员落实情况；
（2）安全防范措施落实情况，重点检查信息系统及网站的身份认证、访问控制、防篡改、防病毒、防攻击等安全技术措施的有效性；
（3）应急相应机制建设情况，重点检查信息系统及网站出现问题后的应急预案制定、落实情况，应急技术支持队伍建设情况，重大信息安全事故处置情况，以及重要数据及业务系统的备份情况；
（4）安全隐患排查及整改情况，重点检查对安全事故、防范措施、设备设施等方面存在的漏洞和薄弱环节的排查情况，分析产生问题和隐患的原因，研究和落实整改措施等情况；
（5）安全形势及安全风险评估. 深入、系统地分析外部安全形势和内部防范措施的有效性，全面评估信息系统计网站的安全风险状况，提出整改意见。
第十二条 责任追究。对违反信息系统及网站安全管理规定、造成信息安全事故的直接责任人和有关单位的第一责任人进行责任追究。
校园网服务器安全管理技术要求
各单位管理的服务器(包括托管在院教育信息技术中心的虚拟主机)承担着通过网络向校内、外用户发布信息的主要功能，影响范围广泛。因此，除了做好发布信息的管理，还必须加强服务器系统自身的安全、做好系统的配置工作。
一、对服务器系统及其管理的整体要求
（1）服务器须采用安全稳定的操作系统，推荐使用Linux操作系统。非不得以使用Windows Server操作系统的，必须时刻关注和修补系统漏洞、打好系统补丁。
（2）服务器需要做好系统备份工作，特别注意做好发布信息的备份。一旦出现系统故障或问题，可以立即做好系统恢复、重启服务。
（3）系统管理员必须注意保存近期系统运行的相关服务日志，以备查询；同时，设定服务器运行监控日志，定期转发给管理员进行查看。
（4）严格限定仅允许系统管理员进入并维护服务器系统。限定登录服务器的管理员登录权限，限定登录者的IP地址，限定仅允许指定的账号进入系统等。
（5）服务器操作系统须采用正规、正版软件产品。
二、对不同操作系统管理的安全措施
（一）Linux操作系统
（1）确保系统管理员进入以及退出系统时的安全设置(包括设置管理员在离开服务器时的系统自动注销)。
（2）确保系统口令的安全(包括关闭不设口令的账号、修改系统账号的Shell变量、修改缺省的密码长度等)。
（3）关闭不需要的端口，例如只开80端口。
（4）取消系统中所有不用的服务，同时设置防止未经许可的删除或添加服务。
（5）删除不需要的协议和服务。
（6）禁止运行不使用的程序(例如禁止运行SUID/SGID程序)。
（7）设置目录、文件等的访问权限权限，例如设置script文件权限，只有root才允许读、写、执行。
（8）停掉或删除不使用的账户。
（9）禁用root远程直接登录。
（10）合理配置系统防火墙，有效控制远程连接。
（二）Windows操作系统
（1）安装系统补丁，包括操作系统补丁、SQL补丁；扫描漏洞全面杀毒。
（2）删除与系统管理无关人员的账号，修改密码长度。
（3）关闭不需要的端口，例如只开80端口。
（4）关闭不需要的服务。
（5）删除不需要的协议和服务。
（6）关闭默认共享的空连接。
（7）细心设置权限，包括磁盘、目录、文件等的访问权限，隐藏重要的文件及目录。
（8）停掉或删除不使用的账户，例如Guest账号。
（9）配置Web服务器，使之在页面出错时不显示调试信息（如文件路径等）。
河南建筑职业技术学院办公室 2017年6月26日印发
