第一章 总则

第一条 为保证北京外国语大学各类信息系统的安全，根据国家有关计算机、网络和信息安全的相关法律、法规和规定，结合北京外国语大学信息系统建设和管理的实际情况，特制定本办法。

第二条 信息系统安全是学校安全管理的重要内容，其含义是指通过各种计算机、网络、加密及其他信息安全技术手段和相应的管理措施，实现信息系统稳定可靠运行，保证信息在发布、传输、交换和存储过程中的机密性、完整性、真实性与合法性。

第三条 信息系统安全管理应遵循整体性、适应性、易操作性、可评估性原则，以简单易用的安全措施和较小代价保证信息系统适应变化，同时对信息系统采取的安全措施有相应的评价规范和准则。

第四条 信息系统安全管理范畴包括场地与设施安全管理、设备安全管理、系统安全管理、信息安全管理、建设安全管理、运行维护安全管理和技术文档安全管理等。

第五条 本办法内容适用于北京外国语大学所有的各类信息系统的安全管理。

第二章 组织与职责

第六条 信息系统安全管理的组织构成自上而下，包括信息化领导小组、信息系统应用工作小组、校园网络信息管理工作小组、管理员及用户。

第一节 信息化领导小组

第七条 信息化领导小组承担学校信息系统安全的领导职责，在信息系统安全方面具体负责以下工作：

一、贯彻国家有关部门关于信息系统安全工作的方针政策；

二、审定信息系统安全规划；

三、研究、审定并发布信息系统安全管理工作的相关制度文件；

四、研究决定信息系统安全管理中的重大事项；

五、建立信息系统安全管理的奖惩机制。

第二节 信息系统应用工作小组

第八条 信息系统应用工作小组是学校信息系统安全工作的执行机构，具体负责学校信息系统安全工作的规划落实、制度执行、技术指导、运行监控与突发事件处理等。

第九条 信息系统应用工作小组构成：

由符合信息系统安全工作条件的专业技术人员和部分管理人员组成：组长由信息化分管校领导担任，副组长由信息化办公室、信息技术中心、图书馆和宣传部负责人担任，成员由信息化办公室、信息技术中心、图书馆和宣传部等部门负责信息安全工作的技术和管理人员组成。以上人员如发生变更，由继任者替补。

第十条 信息系统应用工作小组职责：

一、贯彻和执行学校信息系统安全管理制度，落实学校信息系统安全的建设发展规划；

二、参与信息系统安全规划，负责信息系统安全体系的实施和完善；

三、负责信息系统的日常安全管理、组织协调工作，监控信息系统安全运行情况，负责为用户的信息系统安全防范提供技术指导；

四、按规定做好相关信息的保密工作。

第三节 校园网络信息管理工作小组

第十一条 校园网络信息管理工作小组是校园网络信息安全工作的执行机构，具体负责学校舆情研判、处理方法等。

第十二条 校园网络信息管理工作小组构成：由党委宣传部、党校办、学生处、团委、就业指导中心、保卫处、信息技术中心、信息化办公室等部门负责人，以及各院系分管学生工作的书记。

第十三条 校园网络信息管理工作小组的安全职责：

一、负责研究制定校园网络信息安全管理的运行机制和工作方案，建立网络信息安全的组织机制、管理制度和队伍培养方案；

二、负责研究有害信息的界定以及网上舆论的监控方案和工作机制；

三、组织各相关部门做好校园网络信息的管理、维护与安全工作。

第四节 管理员及用户安全职责

第十四条 机房管理员安全工作职责：

一、负责机房环境的维护，监控电源、空调等设备的运行并定期检查，监视网络、服务器等设备的运行；

二、负责机房硬件设备的维护，定期检查和清洁设备，保持设备正常运行；

三、不得自行或允许他人在应用服务器上随意安装与应用无关的软件、进行软件或系统功能试验等。

第十五条 网络和服务器管理员安全工作职责：

一、维持网络和服务器系统的稳定、正常运转，保证网络核心交换机、二级交换机、路由器和防火墙等主干设备的正常运转，及时解决网络和服务器系统故障。

二、做好网络设备的配置记录，记录每次的配置改动，备份配置文档，记录配置时间。

三、负责网络、服务器等设备的性能测试和监控，做好服务器配置、安装和改动记录，编写内部网络和系统运行日志。发生故障时，认真记录故障发生情况、处理方法并总结预防措施。

四、定期完成服务器软件系统的升级、日志保存、服务器硬盘整理、清除缓存或垃圾文件等工作。

第十六条 信息系统管理员安全工作职责：

一、负责普通用户及超级用户的帐号和密码管理，严守保密制度，不得对任何无关人员泄露用户信息；

二、定期对系统帐号和权限设置进行审查，避免授权不当或帐号冗余等情况发生；

三、负责对特权用户的行为进行监控，定期审阅监控日志；

四、负责对信息交换和信息发布行为的指导和监控，定期为用户提供信息系统安全防范的技术指导，发现操作不当或恶意发布有害信息要及时记录并迅速处理；

五、及时发现和查找系统漏洞，下载与安装系统安全补丁；

六、跟踪信息系统服务器资源使用情况，定期查看系统日志，及时发现问题；

七、定期对信息系统进行备份，并通过备份恢复实验检查备份方案的有效性；

八、负责进行信息系统安全突发故障分析、定位和排除。

第十七条 数据库管理员安全工作职责：

一、监控数据库的警告日志，监控数据库的日常会话情况、碎片、剩余表空间，监控临时表空间，跟踪文件；

二、规范数据库用户的管理，定期对管理员等重要用户密码进行修改；

三、制定数据备份和恢复的规范、策略和实施的步骤，做好信息系统数据的定期备份工作，确保数据的安全；

四、对系统可用性要求高的数据库服务器，需进行双机备份，保证一台服务器出现故障，另一台服务器能在最短的时间内切换使用。

第十八条用户服务人员安全职责：

一、 网络服务员负责楼宇网络设备正常运行，及时按规程报告网络安全事件；

二、 信息服务员负责信息系统如一卡通的基础账号信息管理，保证数据采集上传准确及时。

三、 终端服务员负责上网终端设备服务，以及用户培训。

第十九条 普通用户安全职责：

一、严格按照系统操作手册正确使用信息系统，不得进行可能危害信息系统安全的操作，不得发布恶意信息；

二、对本人的用户名和密码进行严格保密，不得向其它人员借用和透露；

三、在权限范围内进行操作，不得利用他人的口令和密码进入信息系统；

四、如果离开工作现场，必须在离开前锁定或退出已经运行的程序，防止其他人员越权操作或散发不当信息。

第三章 场地与设施安全管理

第二十条 场地与设施安全管理的内容包括对机房环境、设备设施及人员的安全管理。

第二十一条 机房场地的环境必须具备下面几个方面的安全特性：

一、防震、防火、防水、防静电、防雷电；

二、场地抗电磁干扰性；

三、避开强振动源和强噪声源；

四、避免设在建筑物的高层及用水设备的下层和隔壁。

第二十二条 机房设备布置安全要求：计算机设备采用分区布置，需经常监视和操作的设备布置应方便监控和操作；产生尘埃及废物的设备应远离对尘埃敏感的设备，宜集中布置在靠近机房的回风口处；两相对机柜正面之间的距离不应小于1.5m，机柜侧面（或不用面）距墙不应小于0.5m，当需要维修测试时，则距墙不应小于1.2m，走道净宽不应小于1.2m。

第二十三条 电源配备安全要求：供电要符合设备制造商对供电的规定和要求；通过设置多条供电线路以防某条供电线路出现故障，配制不间断电源和备用发电机等措施，保障供电不中断。

第二十四条 围墙和门禁安全要求：机房重地需采取一定的隔离控制手段。机房的所有房门都应该足够结实，能防止非法的进入。此外应设置单独入口。为了加强门的保护能力，可将门连接外围警报系统。此外重要区域应设置门卫，门卫仔细检查进入者的证件。

第二十五条 钥匙和锁安全要求：钥匙应由专人管理，并制定严格交接制度以保证安全；所有人离职后，应交出相关钥匙并考虑换锁；钥匙要有备份。

第二十六条 计算机设备安全要求：有完善的计算机设备保管和维护制度；有专人负责设备的领用和保管；制定设备维修计划，定期进行检查、清洁和保养；外来人员修理有重要数据的故障设备时，学校应有专人在场监督；对于机房的附加设备（如空调等）也必须定期维护和保养。

第二十七条 网络设备和设施安全要求：网络设备和设施应配备相应的安全保障措施，包括防盗、防毁、防电磁干扰等，并定期或不定期地进行检查；对重要网络设备配备专用电源或电源保护设备，保证其正常运行。

第二十八条 网络通信线路安全要求：用于数据传输的线路应该符合国家有关标准，用于传输涉密信息的链路应采取密码技术进行加密处理，定期检查接线盒；定期测试信号强度；配备必要的检查设备。

第二十九条 人员控制安全要求：机房应采取分区控制；对长期在机房工作的人发放识别标志，短期工作人员应持有临时出入证；携带物品出入时应有携物证，危险品等不得带入机房；制定附加的信息安全区工作守则。对于经过上级领导批准进入机房的外来人员，必须派专人陪同，尽量避免参观机要部分，并且应该有一定的规章制度进行控制。

第三十条 检测监视系统安全要求：机房应安装检测监视系统，以便及时发现异常状态。

第三十一条 审计访问记录安全要求：机房管理员应详细记录物理设备日志信息、访问者信息、进出设备的情况、检测报警系统报警时间等。

第四章 设备安全管理

第三十二条 设备安全管理的内容包括设备采购、安装、使用和维修过程中的安全管理。

第三十三条 硬件设备选型要求：采购和使用经国家信息安全测评机构认可的产品。

第三十四条 硬件设备检测要求：硬件设备必须经过国家信息安全产品测评认证的合格产品，符合国家标准要求，其电磁辐射强度、可靠性及兼容性也应符合等级要求。

第三十五条 硬件设备安装要求：新购设备应在测试环境下经过连续72小时以上的单机运行测试和联机48小时信息系统兼容性运行测试。测试后进入试运行阶段，通过试运行方可投入业务系统正式运行。

第三十六条 硬件设备登记要求：对所有设备应建立严格的购置、移交、使用、维护、维修和报废等登记制度，并认真做好登记和检查工作。

第三十七条 硬件设备使用管理要求：指定专人负责设备维护并建立详细运行日志，若设备出现故障，责任人立即通知有关人员处理，并如实填写故障报告。

第三十八条 硬件设备维修管理要求：设备有专人维修，制定预防性维修计划；维修时采取数据保护措施。

第五章 系统安全管理

第三十九条 信息系统安全涉及机密性、完整性、可用性、可控性和可审查性五个方面，系统安全管理的内容包括信息系统的日常安全管理、安全监控、安全检测、安全审计及突发事件应对等。

第四十条 学校内部机密信息网络系统与外部公共信息网络系统必须物理隔离。接入互联网的重要信息系统须安装防火墙或其他安全设备。

第四十一条 重要的信息系统自运行开始必须作好备份与恢复等应急措施，一旦系统出现问题能够及时恢复正常。

第四十二条 网络管理员应改善网络系统的安全策略设置，减少安全漏洞。关闭不使用的服务，对不同级别的网络用户设置相应的资源访问权限。重要网络系统的安全配置应达到中华人民共和国国家标准《计算机信息系统安全保护等级划分准则》（GB 17859-1999）中规定的第二级即系统审计保护级以上。

第四十三条 网络管理员应当做好系统记录，定期检查，发现问题及时解决。网络管理员负责网络系统的备份与恢复的技术规划、实施和操作，并作好详细的记录。

第四十四条 操作系统和数据库管理员应进行系统运行记录（Log）和数据库运行记录（Database Log）的保存以备检查。

第四十五条 重要大型数据库必须运行于专门的服务器或工作站上，并制定专门的备份策略。

第四十六条 网络反病毒。病毒的危害性巨大，对系统和信息的破坏程度具有不可测性，系统管理员和计算机用户应针对具体情况采取预防病毒技术、检测病毒技术和杀毒技术。

第四十七条 各信息系统安全责任部门须自行或委托其它部门对各自负责的网络服务器及应用系统进行日常实时监控，一旦有预警情况发生，须及时处理。根据具体情况，应将处理结果向部门领导和信息化办公室汇报。如出现重大安全预警事件，须及时上报信息系统应用工作小组或校园网络信息管理工作小组予以解决。如有必要，须向校信息化领导小组通报。

第四十八条 定期安全检测与审计：

一、每年4月和10月，信息技术中心负责对全校的网络、服务器、网站进行安全检测；各信息系统安全责任部门负责对各自监管的系统进行应用级的安全检测；检测时须详细记录检测的对象、手段、结果、建议和实施的补救措施与安全策略，检测结果报告提交信息化办公室；

二、相关部门对网络、服务器、PC机及应用系统的检测结果进行分析并及时修正存在的安全漏洞，同时对服务器及系统进行安全审计。安全问题处理结果形成本部门安全工作报告，提交信息系统应用工作小组；

三、信息系统应用工作小组对各部门提交的安全检测与处理报告进行审查，并汇总形成学校信息安全检测报告后统一发布；

四、定期安全检测的协同工作流程见附件。

第四十九条 突发事件应急处理：突发安全事故时，相关人员应按照《北京外国语大学信息系统安全应急预案》规定的流程进行处理。发生重大安全事故，信息系统应用工作小组应第一时间召集小组成员讨论处理方案。

第六章 信息安全管理

第五十条 信息安全管理的内容包括对信息载体、密钥、用户口令等的安全管理，以及信息访问控制、跟踪审计、发布管理等日常安全管理要求。

第五十一条 信息安全是指通过各种计算机、网络和密码技术，保护信息在传输、交换和存储过程中的机密性、完整性和真实性。

第五十二条 信息载体安全管理：指定管理员对于载体介质进行维护；所有的介质都必须建立目录清单；新介质文件要有完整的归档记录；旧介质在销毁前要清除数据；对于存储关键信息的介质要存放于能防火的地点；对于每一种信息资源必须保持足够的备份；制定应急措施，对付突发的灾难性事件。

第五十三条 密钥安全管理：存储密钥的介质必须严加保护；密钥更换过程要有正确性检查机制；必须具有在紧急情况下保护密钥的手段和措施，以防密钥丢失。

第五十四条 信息访问控制管理：对每个用户分配一个唯一的帐号；将拥有相同信息要求、相同功能要求的用户分在一组，把各个用户组定义成角色。

第五十五条 数据备份管理：对重要的数据库应每天备份一次，保存期为两周，并实施异地备份策略；对一般数据库应进行定期备份；保证备份数据介质的物理安全；定期检验备份介质的有效性；做好系统运行日志。

第五十六条 不良信息的监控管理：建立网络监督审查组，负责审查信息的接收和输出、信息在网络上运行的合法性、网络系统安全漏洞及网络信息安全平台实施运作的情况。

第五十七条 可疑信息的跟踪审计：记录事件类型及其结果，事件发生的时间与日期的列表，事件相关的用户帐号和初始化事件的程序和命令。

第五十八条 信息的内部管理：

一、各院、系、所和职能部门在向校内信息系统提交信息前要作好查毒、杀毒工作，确保信息文件无毒上载；

二、根据实际情况，采取网络病毒监测、查毒、杀毒等技术措施，提高网络的整体抗病毒能力；

三、各应用部门对本部门所负责的信息必须作好备份；

四、各部门应对本部门的信息进行审查，各网站和栏目信息的负责部门必须对所发布信息制定审查制度；对信息来源的合法性、发布范围、信息栏目维护的负责人等作出明确的规定；信息发布后还要随时检查信息的完整性、合法性；

五、涉及学校、部门利益的秘密信息和敏感信息，在传输过程中视情况及国家的有关规定，采用文件加密传输或链路传输加密；涉及学校秘密信息的存储、传输等应指定专人负责，并严格按照国家有关保密的法律、法规执行；

六、个人计算机中的涉密文件不可设置为共享，个人电子邮件的收发要实行病毒查杀。

第五十九条 任何部门和个人不得从事以下活动。如有违者，将根据情节轻重，由公安部门依据国家的法律、法规或由学校依据相关规章制度进行处罚。

一、利用信息系统制作、传播或复制有害信息；

二、盗用他人帐号和密码进入信息系统，查看、修改、删除或新增信息；

三、未经允许入侵他人计算机；

四、未经允许使用他人在信息系统中未公开的信息；

五、未经授权对信息系统中存储、处理或传输的信息（包括系统文件和应用程序）进行增加、修改、复制或删除等；

六、未经授权查阅他人电子邮件；

七、盗用他人名义发送电子邮件；

八、故意干扰网络的畅通运行；

九、从事其他危害信息系统安全的活动。

第六十条 口令安全管理。

一、涉及内部业务操作及信息管理的系统必须使用口令对用户的身份进行验证和确认，信息系统管理部门要有专职或兼职的系统管理员负责日常的口令管理工作；

二、信息系统管理员负责给批准新增的用户分配初始口令；指导用户正确使用口令；检查用户使用口令情况；帮助用户开启被锁定的口令，对非法操作及时查明原因；解决口令使用过程中出现的问题；协助用户保护学校或个人秘密不受侵害；定期向主管领导汇报口令使用情况和需要解决的问题；

三、口令的最长使用时间一般不能超过半年，用户对系统分配的初始口令必须进行修改；在涉密较多、人员复杂、保密条件较差的地方应尽可能缩短口令的使用时间；当口令使用期满时，应更换新的口令；

四、对口令数据库的访问和存取必须加以控制，以防止口令被非法修改或泄露；当系统提供的访问和存取控制机制不够完善时或机制虽然完善，但可能出现系统存储等情况时，应对存储的口令加密；

五、用户应记住自己的口令，不应把它记载在不保密的媒介物上，严禁将口令条贴在终端上；输入的口令不应显示在显示终端上。

第七章 建设安全管理

第六十一条 建设安全管理的内容包括对信息系统可行性分析、选型、开发、版本控制、检测与跟踪等的安全管理。

第六十二条 信息系统的可行性评估分析必须从目标、方案、技术、资金投入、计划进度等几个方面进行，并识别潜在风险，采用相应的安全技术和管理手段确保信息系统建设的顺利开展。

第六十三条 信息系统选型时应考虑信息系统的适用性、开放性、先进性、商品化程度及使用效果、可靠性及可维护性、性能价格比。

第六十四条 信息系统的开发必须遵循领导负责、流程优化、注重实用、规范管理、安全控制的原则。

第六十五条 信息系统版本管理与控制：版本管理应以系统版本产生的先后次序来进行，按照开发状态划分为当前版本、有用版本和无用版本、归档版本、工作版本、提交版本和冻结版本。版本检查时，应做到查明加载的全部软件，查明并清除加载的非法软件和不支持的软件，查明并清除加载的违反版本法和特许协议的软件，查明并清除本系统不支持的软件。版本控制须收集全部服务器所装全部软件、所用软件的特许协议原件及相关证明。

第六十六条 信息系统的安装必须由专业技术人员和软件供应商按照规定步骤安装，并认真记录和检验安装过程。不得让未授权人员进行系统安装、移植和删除。

第六十七条 信息系统安全检测：定期进行系统检查，如发现违反软件特许、版权法的情况，应进行追踪，并根据软件政策规定通知有关人员。记录检查结果，更新软件登记信息。

第六十八条 信息系统安全跟踪：销毁或删除超出有效特许的拷贝；建立和保存适当的文档来记录每次信息系统管理和清理的结果，并保证文档安全性和正确性。

第八章 运行维护安全管理

第六十九条 运行维护安全管理的内容包括对信息系统的安装配置、版本测试、备份、灾难恢复、审计等的安全管理。

第七十条 信息系统安装配置管理：信息系统的运行版本应保持一致；唯一标识每个信息系统的版本；标识共同构成完整产品的特定版本的每一软件的版本；控制由多人同时对一个软件的更新；标识并跟踪所有的措施和更改。

第七十一条 信息系统版本测试管理：提交测试申请表，写明测试原因、时间和数据要求；做好测试准备工作；分阶段检查测试报告；组织综合测试，最终完成整体测试报告。

第七十二条 信息系统安全维护管理：诊断和改正使用过程中发现的软件错误；修改软件以适应环境的变化；根据用户要求改进或扩充软件；修改软件以便于维护。

第七十三条 信息系统备份管理：制定切实可行的备份制度，根据应用的重要级别、最大停顿时间、数据传输量、最大数据丢失度、数据相关性、应用相关性确定系统备份方案，确保重要数据备份的正确性和可用性；对于备份介质的管理实行专人专管。

第七十四条 信息系统灾难恢复管理：制定灾难恢复方案，根据现有的系统配置、恢复时间、恢复范围等进行确定合理的灾难恢复方案；规范灾难恢复流程，确保重要信息系统在灾难发生后能够快速地恢复业务运作；定期对信息系统灾难恢复能力进行测试、审核与演练。

第七十五条 数据库安全审计：定期对数据库对象的访问及安全相关事件进行审计，根据审计信息，对审计结果进行统计、跟踪和分析。

第九章 技术文档安全管理

第七十六条 技术文档安全管理的内容包括对技术文档登记、借阅、保存、备份、销毁等的安全管理。

第七十七条 技术文档密级管理：文档密级划分为绝密级、机密级、秘密级和一般级四种。文档密级的变更和解密必须按照国家有关保密的法律和行政法规的规定办理。文档的保密等级不得随意提高、降低或解除；主管部门定期或不定期进行保密检查。

第七十八条 技术文档借阅管理：需要查阅技术文档的人员一律要有部门介绍信；查阅技术文档时，不得转抄、拍照和复印；应建立、健全文档的借阅制度。

第七十九条 技术文档登记和保管：建立健全技术文档归档制度，保证技术成果有完整准确的材料归档；明确归档的工作程序、内容和要求。

第八十条 技术文档销毁和监毁：经过鉴定和审查，确无保存价值或保存期现已满的技术文档应当销毁。销毁文档前需要编写销毁清册和撰写销毁报告，经过审查批准后指派两名以上专人检查无误后监毁，直至文档已销毁。

第八十一条 技术文档的保存和维护：技术文档的制作过程要责任分明，文档形成后及时进行保存，保证技术文档载体物理上的安全；保证技术文档内容逻辑上的准确性、原始性、可理解性；以防发生信息损失和变动；对电子文档载体进行有效的监测与维护。

第八十二条 技术文档备份：不得擅自非法复制技术文档，确需复制时需经主管领导同意；对秘密级以上重要技术文档应备份，并分别存放；秘密文档的备份具有同样密级。

第十章 附 则

第八十三条 本规范由信息化办公室负责解释。

第八十四条 本规范自发布之日起实行。