:::
icon 您現在的位置是:首頁資訊安全管理制度 › 二、國中、小學資通安全管理系統實施原則  
icon 二、國中、小學資通安全管理系統實施原則 icon
icon
icon 系統安全

◎職責區隔
icon 學校主機電腦可依個別應用系統之需要,設置專屬電腦,例如網路服務主機(電子郵件、網站主機)、教學系統主機(例如隨選視訊主機)。
icon 學校的行政系統主機(例如財務、人事、公文系統等)電腦,建議由各個縣(市)教育網路中心或教育部等單位統籌管理。

◎對抗惡意軟體、隱密通道及特洛依木馬程式
icon 學校內的個人電腦應:
   ─ 裝置防毒軟體,將軟體設定為自動定期更新病毒碼;或由伺服器端進行病毒碼更新的管理。
   ─ 定期(至少每個月)進行如「Windows Update」之程式更新作業,以防範作業系統之漏洞。
icon 學校內個人電腦所使用的軟體應有授權。
icon 新系統啟用前,應經過掃毒與更新系統密碼程序,以防範可能隱藏的病毒或後門程式。

◎資料備份
icon 學校(或委託)系統管理人員需針對學校重要系統(例如系統檔案、應用系統、資料庫等)定期進行備份工作,或採用自動備份機制;建議週期為每週進行一次。

◎操作員日誌
icon 學校(或委託)系統管理人員需針對敏感度高、或包含特殊資訊的電腦系統進行檢查、維護、更新等動作時,應針對這些活動填寫日誌予以紀錄,作為未來需要時之檢查。
icon 日誌內容可包含以下各項:
   ─ 系統例行檢查、維護、更新活動的起始時間
   ─ 系統錯誤內容和採取的改正措施。[參考日誌範本,文件編號A-2]
   ─ 紀錄日誌項目人員姓名與簽名欄

◎資訊存取限制
icon 學校內所共用的個人電腦應以特定功能為目的,並設定特定安全管控機制(例如限制從網路非法下載檔案行為、限制自行安裝軟體行為、限制特定資料的存取等)。

◎使用者註冊
icon 學校應制定電腦系統使用的使用者註冊及註銷程序,透過該註冊及註銷程序來控制使用者資訊服務的存取,該作業應包括以下內容:
   ─ 使用唯一的使用者識別碼(ID)。
   ─ 檢查使用者是否經過系統管理單位之授權使用資訊系統或服務。
   ─ 保存一份包含所有識別碼註冊的記錄。
   ─ 使用者調職或離職後,應移除其識別碼的存取權限。
   ─ 定期(建議每學期)檢查並取消多餘的使用者識別碼和帳號。
   ─ 定期(建議每學期)檢查新增之帳號,若有莫名帳號產生,應關閉帳號權限,並依通報程序請求處理
     (參照本文件2.10段落)。

◎特權管理
icon 學校的電腦與網路系統資訊具有存取特權人員清單、及其所持有的權限說明,應予以文件化記錄備查。

◎通行碼之使用
icon 管制使用者第一次登入系統時,必須立即更改預設通行碼,預設通行碼應設定有效期限。
icon 資訊系統與服務應避免使用共同帳號及通行碼。
icon 由學校發佈通行碼(Password)制定與使用規則給使用者,[參考優質通行碼設定原則與使用原則,文件編號A-3],內容應包含以下各項:
   ─ 使用者應該對其個人所持有通行碼盡保密責任
   ─ 要求使用者的通行碼設定,避免使用易於猜測之數字或文字,例如生日、名字、鍵盤上聯繫的字母與
      數字(如12345678 或 asdfghjk),以及過多的重複字元等。或建議通行碼應該包含英文字大小
      寫、數字、特殊符號等四種設定中的三種。
icon 因特殊需要擁有多個帳號時,可考慮使用一組複雜但相同的通行碼。

◎原始程式庫之存取控制
icon 學校與系統廠商間的合約應加註對原始程式庫安全之要求,並防範資料庫隱碼(SQL-injection)問題,針對存取資料庫程式碼之輸入欄位進行字元合理性檢查。

◎通報安全事件與處理
icon 資訊安全事件包括:任何來自網路的駭客攻擊、病毒感染、垃圾郵件、資料或網頁遭竄改、以及通訊中斷等。
icon 學校應建立資訊安全事件通報程序[參照安全事件通報程序,編號A-4]以及安全事件通報單[參考安全事件通報單範本,文件編號A-5];通報程序應包括學校內部通報,以及學校與所屬縣市教育網路中心的通報。
icon 當學校內部無法處理之資通安全事件,應通報其所屬縣市網路中心。
icon 所訂出資訊安全事件通報程序應公布於校園內使用電腦與網路之場所,提供使用者瞭解。
icon
往上 TOP