网路安全管理程序书.docVIP

管理系統文件 文件類別 第 二 階 文 件 文件編號 ISMS-P-012 文件名稱 網路安全管理程序書 發行單位 文 件 管 制 小 組 發行日期 103年12月01日 版次 A 訂修廢單位 審 查 核 准 資通安全處理小組 （原版簽名頁保存於文件管制小組） 訂 修 廢 記 錄 版次 發行日期 訂 修 廢 內 容 摘 要 A 103/12/01 初版發行 目的 為使本校網路安全之管理有一明確規範，以確保資料透過網路進行傳輸時之安全性，並透過程序化之安全控管機制，以防止未經授權的系統存取，使網路正常運作，特制定本程序書。 適用範圍 本校所有連接內部網路及對外網路之設備及相關人員的網路管理，均適用本程序書。 參考文件 ISMS-W-002一般資訊設備安全管理作業標準書。 ISMS-P-013帳號密碼及存取控制管理程序書。 ISMS-P-018委外作業管理程序書。 ISMS-P-009資訊安全事件管理程序書。 ISMS-P-015資訊備份管理程序書。 ISMS-P-014系統發展與維護管理程序書。 ISMS-P-008矯正及預防管理程序書。 ISMS-P-003資訊資產管理程序書。 ISMS-P-016資訊設備維護與管理程序書。 名詞定義 網路使用者 指經過適當授權並具有使用網路資源之人員。 網路系統管理人員 確保網路資源之安全管理，並維護其機密性、完整性與可用性。 系統管理者 負責維運與管理所管轄之伺服器主機系統，並確保伺服主機系統提供正常之服務。 權責主管 負責核准相關網路設備使用及連線之申請，並督導網路設備之安全管理。 防毒軟體 安裝於前端使用者（Client）電腦中，具有病毒過濾及防護功能之系統。 防毒管控系統 安裝於後端伺服器主機（Server）中，具有管控、更新病毒碼、派送病毒碼及監控校內防毒軟體防護狀況之系統。 防毒管控系統管理者 負責維運與管理防毒管控系統，並確保此系統提供正常之運作與防毒服務。 惡意程式 病毒 病毒是一段電腦程式碼，它會將自身附加到程式或檔案，在電腦之間傳佈，並在散佈途中感染電腦。病毒可能會損壞使用者的作業系統、軟體、硬體和檔案。 特洛伊木馬程式 特洛伊木馬程式不像電腦病毒一樣會感染其他檔案，特洛伊木馬程式通常都會以一些特殊管道進入使用者的電腦系統中，然後伺機執行其惡意行為（如竊取或刪除檔案、竊取密碼等）。 電腦蠕蟲 蠕蟲（Worm）就像病毒，會透過掌控電腦上可傳輸檔案或資訊的功能自動進行複製。例如蠕蟲可將它本身的複本傳給電子郵件通訊錄所列出的每個人，該人員的電腦接著會執行相同的動作，從而發生大量網路流量之連鎖效應，進而降低整個網路和網際網路的速度。當新的蠕蟲散播時，它們會以極快的速度散佈開來，塞滿網路並可能讓使用者等待兩倍的時間才能檢視網際網路上的網頁。 間諜程式 間諜程式並非病毒或惡意的程式碼，而是危及隱私的應用程式，允許駭客在使用者毫無知覺的情況下取得電腦的控制權。它們經常隨著使用者下載想要的應用程式的同時，不知不覺地下載到使用者的電腦上。這些安全威脅包括間諜程式、廣告軟體、惡意撥號程式、惡作劇程式、駭客工具、遠端存取工具、密碼破解應用程式，以及其他未分類的軟體。 重大惡意程式感染事件 大範圍個人電腦或伺服器主機系統遭受病毒感染。 因中毒造成大規模網路癱瘓。 弱點 指軟硬體資訊設備上，已揭露且可被利用進行攻擊之技術漏洞。重大弱點為弱點發布單位或系統原廠所定義之嚴重、重大或應立即改善之弱點，應考量本校的防禦強度與相關安控機制，認為技術風險超出可接受範圍，應立刻著手補強。 安全性修正程式（Patch） 針對特定資訊設備技術安全性弱點所廣泛部署的修正程式，其中依據廠商定義與部署方式不同，亦可稱為更新（Update）、修補（Hotfix）或服務套件（Service Pack）等。 檢核人員 負責弱點掃描與威脅比對作業，專責檢查各設備之弱點是否依據計畫定期補強。 作業內容 網路安全管理流程圖 作業流程 權責單位 相關表單 資通安全處理小組 網路系統管理人員 系統管理者/資訊人員 防火牆連線服務異動申請單資訊設備重大弱點補強紀錄表 資通安全處理小組 資通安全處理小組 資通安全處理小組 網路系統管理人員 資訊安全事件報告單 資通安全處理小組 資通安全處理小組 資通安全處理小組 系統管理者 相關業務承辦人員 設定網路安全管理規定 網路使用者安全管理 本校網路須經授權始可使用，已授權的使用者，僅能在授權範圍內存取網路資源。 不得將自己的登入身分識別與密碼交付他人使用。 禁止以任何方法竊取他人的登入身分識別與密碼。 禁止以任何儀器設備或軟體工具竊聽網路上的通訊。 不得以任何手段蓄意干擾或妨害網路的正常運作。 應遵守上述網路安全