Contract
1. 目的
為維持弘光科技大學(以下簡稱本校)各系統之正常運作,有效管理本校電腦軟硬體設備,確保及監控系統與資料之安全性,對資訊安全的操作管理部份訂定本規定,供所有員工遵循。
2. 適用對象
對資訊安全而言,所有的使用者都應當為維護系統安全負有一部份的責任。本規定的適用對象含括本校教職員工、約聘人員及委外廠商服務人員。
3. 資訊安全管理
3.1 作業存取控制管理
3.1.1 電腦帳號管理
⇨ 本校教職員工於報到時,應進入本校網頁線上填寫「弘光科技大學教師職員Email 申請表單」。
⇨ 使用者帳號名稱不應帶有足以辨識使用者權限的資訊。
⇨ 各系統中只允許必要之帳號存在,非必要之帳號應予刪除,特別是客戶(guest)與匿名(anonymous)帳號一定要取消其登入之權限。
⇨ 各系統負責人應每半年至少一次清查使用者帳號,確保使用者帳號資料之正確性與使用必要性,辦理帳號取消、停用或權限調整,清查的結果應送電子計算機中心主任陳核。
3.1.2 系統維護帳號管理
系統軟、硬體維護廠商承接本校維護計畫時,得於合約簽訂並簽署保密切結書後,填寫「外部使用者帳號申請單」(附件 2)向系統管理單位申請系統維護專用帳號,該帳號不得具有主機或網路系統之特許權限。
3.1.3 系統特許權限帳號管理
⇨ 應嚴格管控系統之特別權限,僅授權予必要之人員,並將系統特別權限授權資料建檔,以備日後之查考。
⇨ 系統的特許權限(administrator、root、資料庫管理者等系統軟體管理者帳號之權限)應每半年至少清查一次,清查的結果應送單位主
管陳核。
3.1.4 使用者身分鑑別
本校提供教職員生使用之服務均應採用 Email 帳號認證提供端末使用者登入使用,目前僅提供Email、FTP 及網頁空間服務。
3.1.5 自動離線的保護
本校因應教職員生作業之需求,網路及網頁服務,均不設定自動離線。對於電腦機房內之伺服器主機,則限定於電腦機房內操作並以畫面鎖定保護。
3.1.6 連線作業時間及逾時自動斷線的限制
使用本校無線上網作業時,其連限作業時間為 4 小時,若在連線期間逾時超過 30 分鐘系統也會自動斷線。
3.2 安全性監控
電腦機房之監控包含網路效能、主機事件、資料庫事件、網路事件、安全攻擊事件、溫溼度、UPS 電力、電腦機房DVR、電腦機房門禁系統及各相關主機、網路設備之監控。
系統監控與稽核軌跡(log trail)之稽查應包括下列項目:
✓ 使用者帳號系統登入的記錄,確定使用者帳號是否有不正常使用的情形。
✓ 系統特許權限帳號使用的情形及配置情形。
✓ 系統存取失敗情形。
✓ 例外事件及資訊安全事項的稽核記錄。
系統監控與稽核軌跡(log trail)之稽查至少應每季定期執行,並留下稽查記錄,作為資訊安全管理系統有效性查核之證據及日後查考之用途。
3.3 網路管理
3.3.1 網路存取管制
3.3.1.1 網路區隔與強制路由存取路徑管控
為管制網路存取,於本校對外存取節點均應設置防火牆或代理伺服器,對伺服器及 DMZ 網段的存取亦應透過防火牆管制,強制區隔安全防護網段及各個不安全的網段,並限制網際網路的存取方
式。
為達到ISMS 執行的要求,路由存取路徑的管制必須留有相關紀錄,對每一個防火牆開放的服務均保留一份申請紀錄,服務類別如為因公用網路系統的需求而開放的服務,由電子計算機中心系統服務組網路管理人員填寫申請單,因各應用系統的需求或維護服務而須開放的服務,由相關人員填寫申請單,經電子計算機中心系統服務組組長同意後開放。開放外部連結至 DMZ 區作業者亦同,申請單如「網路服務連結申請單」(附件 1)。
網路服務連結申請經審核通過後,申請人應隨時注意使用期間
(時段)之必要性,遇有系統續用、調整、停用或使用屆期時,應主動申請網路服務續用、調整或撤銷。電子計算機中心系統服務組對於限期之網路服務連結申請單應採列管措施,遇有屆期或逾期 者,則主動關閉網路服務,不另行通知;對於職務異動或服務內容變動者,應主動檢討其申請或使用之網路服務,查有非必要對其開放之網路服務時,應通知後取消該網路服務。
3.3.1.2 診斷埠保護
本校伺服主機及網路設備設置於電腦機房,電子計算機中心對電腦機房之實體安全機制及相關設備的 Diagnostic/Console 埠,應妥善保護其安全性。
3.3.1.3 實體連結的限制
本校電腦機房內保護網段的網路中介設備(Switch)應採取嚴格的管控機制,所有非使用中的連結埠應採 disable 處理,不提供連結服務,如確有擴增需求,由電子計算機中心系統服務組另行設定開放。
3.3.1.4 無線網路存取
本校建置之無線區域網路系統,為配合教育部「校園無線漫遊機制整合實驗與推廣計畫」,除提供本校教職員生以 Email 帳號、通行碼登入存取外,亦提供參與漫遊機關學校人員使用個人之 Email 帳號、通行碼登入使用。
為防護本校資訊安全管理系統實施範圍的安全,電子計算機中心電腦機房內禁止使用無線區域網路存取。
3.3.1.5 外部存取
本校教職員工或維護廠商如因業務特殊需求,需於防火牆對外開放特殊服務(如遠端登入或檔案傳輸等),在不影響本校網路安
全條件下(如採用VPN tunnel、SSH 技術),得提出「網路服務連結申請單」經電子計算機中心系統服務組組長核可後設定防火牆權限開放。
外部存取服務如非有迫切的作業需求,應盡量避免常時性的開放,僅於必要時以電話聯繫確認後作暫時性開放,使用結束後即予以關閉。
3.3.2 網路服務的安全
為管理本校網路服務的安全性,應由兩方面來進行管控,一是在防火牆僅開放必要之服務設定,其他非必要的服務一律阻絕;二是在伺服器本身僅開放其提供之服務,其他非必要的服務均予以關閉,以達到網路服務的安全。
3.3.2.1 所有教職員生使用的網路服務安全
3.3.2.1.1 電子郵件服務(SMTP & POP3 & Webmail)
本校提供教職員生電子郵件服務,包含 SMTP 發送、POP3
收信及 Webmail 使用。
電子郵件伺服器設置於 DMZ 網段,因應作業需求,允許教職員生於校內網路或 Internet 直接進行收發電子郵件之動作,對於 SMTP relay 的保護採取驗證電子郵件帳號的方式進行,僅限本校教職員生的Email 帳號透過本校電子郵件伺服器寄送。
3.3.2.1.2 網頁瀏覽服務(HTTP)
本校與外界連結的http 存取服務,校內端末電腦對外部之連結開放直接瀏覽外界網頁。
3.3.2.1.3 檔案傳輸服務(FTP)
本校提供教職員生透過電子郵件帳號登入使用檔案傳輸服務,學生開放使用容量為 20MB,教職員開放使用容量為 500MB,如有特殊需求得向電子計算機中心另行申請。
3.3.2.1.4 網域名稱查詢服務(DNS)
為保護DNS 服務的安全,本校 DNS 伺服器應設定限制,不得提供Internet 外部使用者將其設為DNS Server 進行dump,亦不提供外部的Zone Transfer。
3.3.2.1.5 聯通測試服務(Ping)及路由查詢服務(Trace Route)
本校得提供教職員生於端末設備執行Ping 及 Traceroute 服務,以檢測網路是否聯通,但不得於防火牆提供 Internet 對內部設備之服務。
3.3.2.1.6 微軟檔案分享服務(NetBUEI)
本校僅允許教職員生於校內使用微軟檔案分享功能,對於
Internet 的微軟檔案分享功能則嚴格禁止。
3.3.2.2 系統管理使用之服務安全
3.3.2.2.1 應用系統資料庫服務(SQLNet、MSSQL)
資料庫存取服務僅得於防火牆設定電腦機房內必要網段的連結,禁止開放端末使用者網段服務。
3.3.2.2.2 網路管理服務(SNMP)
為了SNMP 服務的安全性,不得使用預設的SNMP 群組,應設定本校自有的群組進行SNMP 網路管理服務,包含各網路設備、UPS、主機設備均應進行適當的設定。
3.3.2.2.3 時間同步服務(NTP)
為使得各網路、主機設備記錄的有效性與關聯比較需求,所有的網路設備與主機設備均應設定時間同步服務。
而為了防範意外的風險,NTP 服務應僅設定一部主要NTP伺服器(或增加一部備援)連結至Hinet 的 NTP 伺服主機進行對時,其他電腦設備則與本校的NTP 伺服器對時。
3.3.2.2.4 系統監控管理服務(HTTP 及微軟 Terminal Service)
本校所有網路及系統監控管理均應儘可能採用具備自動警示功能的軟、硬體設備,具有透過 Email 或簡訊通報管理者的功能。監控的功能則僅允許於電腦機房或操作室操作。
3.3.3 網路管理系統
為方便管理本校網路,電子計算機中心應建置一套網路管理系統進行相關工作。網路管理系統需具備以下功能:
⇨ 必須能對每個網路端點IP 進行流量管理,必要時得進行阻斷其通訊。
⇨ 網路異常狀態必須能以 Email 通知管理人員。
⇨ 可以記錄網路端點IP 異常的狀態,並提供查詢及報表列印功能。
3.3.4 網路管理者的責任
⇨ 網路管理人員負責建立及維護本校網路系統使用者帳號,並記錄網路系統異常狀況及相關維護書面資料。此外,應定時統計本校網路使用情形,及網路設備現況評估,以提高網路速率,及作為擴充設
備之憑據,如發現異常狀況應依緊急應變處理程序處理。
⇨ 網路管理人員未經權責主管人員許可,不得閱覽、增加、刪除或修改其他網路使用者之私人檔案。
⇨ 網路管理人員登入主機或網路系統時應保留所有登出入系統紀
錄,不得新增、刪除或修改稽核資料檔案,避免於安全事件發生後造成追蹤查詢之困擾。
⇨ 網路管理人員應定期檢查及撤銷閒置不用的帳號,並不得將其重新配賦給其他的使用者。此外,並須確認不得有非必要的帳號存在(如 guest、anonymous…等)。
⇨ 每位網路使用者僅得核發一個使用者帳號,如有特殊情形(如系統測試、免費軟體下載等用途),得經簽奉各單位主管核定,並送電子計算機中心系統服務組組長核可後,始得建立匿名或多人共享的帳號。
⇨ 網路管理人員應隨時注意監控網路的運作,如遇安全事件,應即時啟動緊急應變處理程序。
3.4 伺服器主機管理
3.4.1 系統軟體安裝管理
⇨ 主機系統中啟動的應用服務,如非必要,不得以 Administrator 或root
權限的帳號來執行,降低應用系統被入侵的風險。
⇨ 主機系統負責人員於安裝系統軟體或應用軟體時,應僅針對必要使用之部分進行安裝,主機系統則應僅啟動必要之服務。
⇨ 新建置或安裝之軟體,安裝完成後應立即更新廠商預設之密碼。
⇨ 系統公用程式需進行安全管控,其機制為:
☞ 應嚴格限制及控制電腦公用程式之使用
☞ 設定使用者通行碼以保護系統公用程式
☞ 將系統公用程式與應用系統分離
☞ 將有權使用系統公用程式的人數限制到最小的數目
☞ 移除非必要的公用程式及系統軟體
3.4.2 作業安全管理
⇨ 主機管理人員有義務確保主機系統中各系統軟體與應用軟體的修補程式是處於最新的狀態。
⇨ 系統管理人員未經權責主管人員許可,不得閱覽、增加、刪除或修改其他使用者上傳之私人檔案。如發現有可疑之網路安全情事(如病毒或特洛依木馬等),得經請示電子計算機中心系統服務組組長核可後,使用適當的工具追蹤檢查相關檔案,採取必要處理措施,事後再行知會該檔案擁有者。如確定為感染病毒,為避免病毒擴 散,得經電子計算機中心系統服務組組長同意後,逕行掃毒或刪除檔案再行知會該檔案擁有者。
⇨ 應建置系統開發與測試環境,俾與提供服務之作業環境區隔,避免因系統軟體或應用軟體之開發、測試影響作業環境之正常運作。
3.4.3 電腦病毒及惡意軟體之防範
⇨ 病毒防護軟體由本校電子計算機中心系統服務組統一進行規劃評估與建置。
⇨ 本校聯外網路應建置入侵偵測系統,網路管理人員須隨時監控非法入侵之行為,並收集入侵證據作為法律控訴之證物。
⇨ 本校教職員生應使用合法具版權軟體,避免交換使用或上網下載來路不明之軟體、資料。
⇨ 與外部交換資料時,使用資料前應啟動病毒防護軟體偵測。
⇨ 本校教職員生應不定期注意病毒防護資訊,隨時下載病毒碼更新,並定期下載修補系統漏洞。
⇨ 操作電腦系統如發現病毒時應立即清除,並通報電子計算機中心系統服務組病毒或惡意程式名稱,無法自行清除病毒時通知電子計算機中心系統服務組協助處理。
3.4.4 可攜式程式碼的管制
⇨ 本校因應教學活動需求,不於防火牆或代理伺服器限制可攜式程式碼(包含java、active-X…等)的使用。
⇨ 為防治惡意可攜式程式碼的攻擊行為,電子計算機中心應於入侵偵測系統或網路管理軟體功能上,設定必要條件,對於惡意的攻擊行為主機,立即阻絕其網路存取權限,並進行後續適當的排除處理。
3.5 可攜式設備管理
3.5.1 可攜式電腦管理
內部使用之可攜式電腦必需遵守下列事項:
⇨ 應安裝防毒軟體並啟動連線時即時主動更新,以保持病毒碼為最新
狀態。
⇨ 不得安裝與業務無關的軟體(包含非法軟體與來路不明之軟體)。
⇨ 與外部其他電腦(或攜帶型儲存設備)交換資料時,必須先經過掃毒。
⇨ 應與桌上型電腦同步更新修補程式。
3.5.2 可攜式儲存媒體管理
⇨ 本校員工得使用可攜式儲存媒體備份儲存個人工作資訊,或將個人工作資訊備份至本校網頁伺服器上。
⇨ 嚴禁將敏感、機密性資料儲存至個人系統或儲存媒體,如有特殊業務需求,應經單位主管同意後始得為之。
⇨ 如有個人業務相關的機密/敏感性資訊儲存至可攜式儲存媒體時,應予以加密處理,不得以明文方式直接儲存於媒體中,避免意外遺失或遭有心人士竊取。
3.5.3 攜出設備之安全管理
⇨ 電腦(包含伺服器主機、桌上型個人電腦、可攜式電腦)攜出校外使用時,應啟動系統個人防火牆功能,非必要應避免連結網路。
⇨ 電腦借用攜出人員應負保管之責,妥善使用及保管電腦。
⇨ 電腦攜出使用不得任意安裝或下載軟體使用,應遵循本校相關資訊安全管理規定。
⇨ 電腦攜出使用完畢歸還時,管理人員應進行防毒檢查,降低本校遭受攻擊的風險。
3.6 第三方服務的管理
任何與本校簽署正式協議之機關與廠商委派人員提供本校服務,或本校因應政府法規或行政命令採用第三方提供的服務,本校應對第三方提供的服務進行適當的管理。與本校無正式協議之外部單位,本校不得使用其所提供的服務(公共服務除外)。
✓ 協議提供的服務內容安全性審查
✓ 服務執行人員的資格審查
✓ 服務執行人員的保密切結書
✓ 每月執行成效的審查,得經由會議紀錄、彙整資料審查或現場實地訪查
✓ 第三方提供之服務如須變更時,應正式函文通知並經雙方同意後始得進行變更。
4. 系統安全稽核
4.1 稽核監控系統與事件紀錄管理
4.1.1 網路與安全監控系統
應設置防火牆、入侵偵測系統及網管系統對網路事件進行監控,並應定期檢視相關紀錄以達到監控的目標。
4.1.2 主機稽核系統
系統管理人員登入主機系統時應保留所有登出入系統紀錄,不得新增、刪除或修改稽核資料檔案,避免於安全事件發生後造成追蹤查詢之困擾。
另為保護稽核日誌的獨立完整性,應將所有UNIX like 主機及 Windows 主機的相關稽核日誌,包含syslog、message、eventlog 等集中管制,並定期檢視。
4.2 系統弱點掃瞄
為強化資訊系統的安全,降低系統軟體已被揭露的漏洞或是應用軟體留下的後門,甚或是不當引入的木馬程式對本校造成安全的危機,定期的系統弱點掃瞄是一種適當的防護手段。
4.2.1 弱點掃瞄的方法與策略
4.2.1.1 在內部對所有主機及網路設備進行檢測
此種掃描方式不需透過防火牆,因此可以檢查出所有弱點掃描工具可辨識的安全弱點。
掃瞄的策略為:每半年至少應掃瞄一次,掃瞄結果應與前次比對,以判定漏洞修補之有效性。
4.2.1.2 從 Internet 對暴露在外的主機及網路設備進行檢測
此種掃描方式因必須透過防火牆,其範圍與外部惡意攻擊者所能接觸到的範圍一樣,可以真實檢測出目前實際暴露在Internet 可能被利用的弱點。此項掃瞄將視經費許可及必要性委託廠商執行。
4.2.2 弱點掃瞄的後續處理
4.2.2.1 弱點掃瞄結果初步分析
弱點掃描報表應按風險高低分類,並針對不同的區域進行風險加權的考量,做為漏洞修補優先順序之重要參考依據。
4.2.2.2 漏洞修補評估
辦理漏洞修補前,應與各相關系統負責人討論初步掃描分析結果,評估漏洞修補之影響範圍、修補方法,施作時程等,並完成掃瞄報告與修補建議。
修補的建議方式可為更新patch、關閉服務、更新軟體版本、限制服務提供目標…等方法,另於評估過程亦應確認弱點是否為誤判,必要時得以人工檢視進行。
4.2.2.3 系統漏洞修補
針對高風險弱點項目,應個別擬定預訂修補期限,並責成相關人員於限期內完成修補工作。
4.2.2.4 修補成效分析
每季對於掃瞄分析的結果、修補的結果、修補的時效性,以及各次弱點的分佈及關連性做整個弱點管理的成效分析報告,藉由此成效報告確認整個弱點修補的有效性管理。
附件 1
弘光科技大學電子計算機中心網路服務連結申請單
申請單位:
申請日期: 年 月 日 編號:IS01- -
申請類別 | □新增 | □撤銷 | □續用 | ||||||||||
申請原因 | |||||||||||||
來源端(source) | 目的端 (destination) | 通訊協定 (protocol)/埠號 (port) | 啟用日期時間 | 停用日期時間 | |||||||||
申 | 請 | 單 | 位 | ||||||||||
處理情形及結果 | |||||||||||||
電 | 子 | 計 | 算 | 機 中 | 心 | 系 | 統 | 服 | 務 | 組 | |||
承 | 辦 | 人 | 組 | 長 | |||||||||
備註:因公用網路系統的需求而開放的服務,由電子計算機中心系統服務組網路管理人員填寫申請單,因各應用系統的需求或維護服務而須開放的服務,由相關人員填寫申請單,送陳電子計算機中心主任同意後開放。 |
附件 2
弘光科技大學電子計算機中心外部使用者帳號申請單
申請日期: 年 月 日 編號:IS02- -
一、申請類別: □新增 □異動 □續用二、主機位址: 三、公司基本資料: 公司名稱: 專案名稱: 專案期間: (帳號使用期間)四、帳號設定資料: Username: 作業權限: 五、其他事項 | |
申請單位 | 系統管理單位 |
備註:1.各外部單位使用者應遵守本校相關資訊安全規定,倘有違反規定時,本校得逕行取消或停用其帳號。 2.專案執行期間結束(專案終止)時,本校系統管理單位得逕行停用或撤銷。 |