中央戏剧学院信息与网络安全运维管理办法.DOCVIP

中央戏剧学院信息与网络安全运维各项管理办法 (中戏院[2013]158号) 第一部分 安全补丁管理办法 本办法依据我国信息安全的有关法律法规，结合学院自身业务特点并参考国际有关信息安全标准制定。《安全补丁管理办法》规范信息系统安全补丁的识别和安装过程，降低信息系统安全漏洞带来的安全风险，提高信息系统的抗攻击能力。安全补丁的管理流程包括补丁的跟进和通告、补丁的获取、补丁的测试、补丁的加载、补丁的验证和补丁的归档，必须按照流程逐步落实。 目标：为了加强学院信息安全保障能力，建立健全学院的安全管理体系，提高整体的网络与信息安全水平，保证网络通信畅通和业务系统的正常运营，提高网络服务质量，在学院安全体系框架下，本制度为加强学院信息系统安全补丁的管理工作，规范信息系统安全补丁的识别和安装过程，降低信息系统安全漏洞带来的安全风险，提高信息系统的抗攻击能力。 适用范围：本办法适用于学院内部网络、业务系统。 使用人员及角色职责：本办法适用于学院安全管理员、系统管理员及所有使用IT 设备的教职工。 制度相关性：本制度与《安全补丁管理流程》同时使用。 一 、组织和职责 学院安全管理员负责审核和监督安全补丁加载情况。各部门安全管理人员负责提供从正式渠道获取的安全补丁软件。 学院安全管理员亦可把获取的补丁信息通知相关的系统管理员、分发安全补丁软件，负责监督和报告各业务系统的补丁加载情况。 各业务系统管理员负责协调安全补丁的测试、加载、回退，负责协调制定补丁加载流程和回退计划，负责补丁加载后的监督和验证，负责向安全管理员报告业务系统的补丁加载情况。 各业务系统集成商负责安全补丁的测试、补丁加载流程和回退计划制定、补丁加载、补丁回退等实施工作，当补丁加载后影响业务正常运行的情况下负责应用软件的修改工作。产品厂商负责向相关安全管理员及时发布安全补丁信息，并提供安全补丁软件。 二、补丁跟进和通告 学院安全管理员负责跟进各产品的安全漏洞信息和产品厂商发布的安全补丁信息。 安全补丁根据其对应漏洞的严重程度分为三个级别：紧急补丁、重要补丁和一般补丁；紧急补丁必须在15天内完成加载，重要补丁必须在一个月内完成加载，一般补丁要求三个月内完整加载。 各级安全管理员负责通告安全补丁信息，并通知相关的业务系统管理员。 三、补丁获取 学院各级安全管理员负责从正式渠道获取安全补丁，正式渠道包括学院下发的和产品厂商提供的。 学院各级安全管理员负责对安全补丁进行完整性校验，确保获取的安全补丁软件未经篡改和可用。 四 补丁测试 补丁加载之前必须经过严格的测试，严禁未经测试直接在业务系统上加载补丁。 补丁测试的方式有两种：实验室测试和现网测试；实验室测试必须进行，实验室环境需要与现网环境尽可能一致，并考虑差异性带来的风险；条件允许的情况下（如有测试环境或备机）可以现网测试。 补丁测试的内容包括补丁安装测试、补丁功能性测试、补丁兼容性测试和补丁回退测试： 安装测试主要测试补丁安装过程是否正确无误，补丁安装后系统是否正常启动。 补丁功能性测试主要测试补丁是否对安全漏洞进行了修补。 补丁兼容性测试主要测试补丁加载后是否对应用系统带来影响，业务是否可以正常运行。 补丁回退测试主要包括补丁卸载测试、系统还原测试。 补丁测试的工作由系统集成商负责实施，系统管理员负责协调，必须对补丁的现场测试和现网测试限定时间，测试完成后需要编写详细的测试报告，给出明确的测试结论。 为确保系统集成商及时配合补丁的测试和安装工作，需要通过合同的方式，明确集成商的安全补丁测试和安装责任，约束条款至少应包括：实验室测试环境的搭建，在规定时间内完成补丁测试，补丁的加载，补丁加载失败时的测试与分析，补丁与应用冲突时的系统改造和升级工作。 五、补丁加载 从安全漏洞发布到补丁加载前，学院安全管理员根据需要给出应急措施建议，例如通过加强访问控制、临时关闭服务、加强安全审计等应急措施来加强网络安全，各相关业务系统根据建议采取适当的防护措施，并加强对系统的监控，及时发现和报告安全事件。 补丁加载前，必须向学院网络安全管理员提交《安全补丁测试报告》、《安全补丁安装计划和实施方案》、《安全补丁回退实施方案》，经审批通过后按计划执行，审批的周期为2个工作日。 在补丁安装前，必须做好数据备份工作，确保任何的操作都可回退，在到达回退时间补丁加载没有完成时，启动回退操作，保证业务的正常运行。 补丁加载必须安排在业务闲时进行，对补丁加载的操作过程必须详细记录。 核心业务主机的补丁加载建议要求厂商工程师现场支持。 六、补丁验证 补丁安装完成后，业务系统管理员必需查看系统信息，确保安全补丁已经成功加载。 必须对加载补丁后的系统按照计划和验证方案进行严格的测试验证，确保补丁加载后不影响系统的性能，确保各项业务操作正常。