高雄市小港区汉民国小资通安全管理制度实施计画.docVIP

高雄市小港區漢民國小資通安全管理實施 依據 高雄市小港區漢民國小 (以下簡稱本校) 為推動資訊安全教育，強化資訊安全管理，確保資料、系統、設備及網路安全，保障使用者權益，特依照行政院八十八年九月十五日台八十八經字第三四七三五號函訂頒之『行政院及所屬各機關資訊安全管理要點』、『98年政府機關資訊安全責任等級分級作業施行計畫』、『高雄市政府教育局資訊安全管理要點』及『教育部國中、小學資通安全管理系統實施原則』，訂定本實施計畫。 計畫目標 適用範圍 系統、設備、程序、及人員。...等行政相關之應用系統。 教學應用系統：包含MOD、NAS、教學網站…等教學相關之應用系統。 設備： 行政電腦：校務行政系統所安裝之主機、伺服器及與個人電腦。 班級及教師電腦：各班級學生及教師使用之個人電腦。 教學電腦(電腦教室)：進行電腦資訊課程所安裝之個人電腦。 公用電腦：於公共場所供學生學習、教師教學使用之電腦，如圖書館、會議室、e化專科教室、教學車等場所或設備內置放之個人電腦。 移動式資訊設備：包含個人使用之智慧型手機、筆記型電腦、平板電腦及其他可存取網路資源之移動式資訊設備。 網路設備：校園網路中的網路校換器(switch)、無線熱點(AP)等設備。 資安設備：校園網路防禦入侵及防止不當存取之資訊安全設備，如UTM(本校為fortinet 300A) 程序： 教職員工到離、離職程序：須包含網路使用及其他應用系統之帳號、使用權限之新增、修改、刪除等檢核確認程序。 學生使用網路或相關教學系統之帳號管理(申請、停權、停用)程序：學生帳號/權限之啟用、停權、刪除等管理程序。 資訊資產管理程序：包含資訊設備財產之建立、風險評估、報廢等管理程序；機敏性資訊資產(含個資)之新增、存放、保管、刪除等管理程序。 資安事件通報暨應變程序：資安事件發生後之通報、處理、應變及矯正預防措施之程序。 人員： 包含校內之主官、主管、行政人員（組長及各業務承辦人）、教師、職員、工友、學生及其他使用網路資源之使用者。 實施原則 網路安全 網路控制措施 學校與外界連線，應僅限於經由之管控，以符合一致性與單一性之安全要求。 學校內特殊系統（例如會計系統） 應禁止以電話線連結主機電腦或網路設備。 網路安全管理服務委外廠商合約之安全要求 委外開發或維護廠商必須簽訂安全必威体育官网网址。 系統安全 職責區隔 學校主機電腦依個別應用系統之需要，設置專屬電腦，例如電子郵件、網站主機、。學校財務、人事、公文系統等 對抗惡意軟體、隱密通道及特洛依木馬程式 學校內的個人電腦應： 裝置防毒軟體，將軟體設定為自動定期更新病毒碼；或由伺服器端進行病毒碼更新的管理 進行如「Windows Update」之作業，以防範作業系統之漏洞 學校內個人電腦所使用的軟體應有授權。 新系統啟用前，應經過掃毒程序，以防範可能隱藏的病毒或後門程式。 資料備份 需針對學校重要系統（例如系統檔案、應用系統、資料庫等）定期進行備份工作，建議週期為每一次。 操作員日誌 針對敏感度高、或包含特殊資訊的電腦系統進行檢查、維護、更新等動作時，應針對這些活動填寫日誌予以紀錄，作為未來需要時之檢查。 日誌內容可包含以下各項： 系統例行檢查、維護、更新活動的起始時間 系統錯誤內容和採取的改正措施 紀錄日誌項目人員姓名與簽名欄 資訊存取限制 學校內所共用的個人電腦應以特定功能為目的，並設定特定安全管控機制（例如限制從網路下載檔案行為、限制自行安裝軟體行為、限制特定資料的存取等）。 使用者註冊 學校應制定電腦系統使用的使用者註冊及註銷程序，透過該註冊及註銷程序來控制使用者資訊服務的存取，該作業應包括以下內容： 使用唯一的使用者識別碼（ID） 檢查使用者是否經過系統授權使用資訊系統或服務 保存一份包含所有識別碼註冊的記錄使用者調職或離職後，應移除其識別碼的存取權限 定期檢查並取消多餘的使用者識別碼和帳號 特權管理 電腦與網路系統資訊存取特權應予以記錄。 通行碼之使用 管制使用者第一次登入系統時，必須立即更改預設通行碼 資訊系統與服務應避免使用共同帳號。 由學校發佈通行碼（Password）使用規則給使用者優質通行碼設定原則，內容應包含以下各項： 使用者應該對其個人所持有通行碼盡必威体育官网网址責任 要求使用者的通行碼設定，避免使用易於猜測之數字或文字，例如生日、名字、鍵盤上聯繫的字母與數字（如12345 或 asdfg），以及過多的重複字元等。 因特殊需要擁有多個帳號時，可考慮使用一組複雜但相同的通行碼。 原始程式庫之存取控制 學校與系統廠商間的合約應加註原始程式庫安全之要求 通報安全事件與處理 資訊安全事件包括：任何來自網路的駭客攻擊、病毒感染、垃圾郵件、資料或網頁遭竄改、以及通訊中斷等。 學校應建立資訊安全事件通報程序安全事件通