校属各单位:
为做好2022年寒假校园网络信息安全工作,维护我校网络安全稳定,提升网络安全防护水平,全校各级部门要进一步加强网络安全管理,提升网络安全综合防护能力,做好假期网络安全保障。
一、严格落实网络安全责任
1、加强领导,高度重视。各单位要充分认识网络安全保障工作的极端重要性,增强“四个意识”,坚定“四个自信”,做到“两个维护”,严格落实各单位的网络安全主体责任,加强组织领导,不折不扣地落实好寒假期间的网络安全保障工作。
2、明确责任,严格落实。各单位认真检查本单位建设、管理、运行的网络、网站及信息系统的运行状态,对存在的问题及时整改,制定网络安全事件应急预案,健全寒假期间网络信息安全巡查机制,全面落实落细工作职责。
二、主要措施
1.全面加强网站及信息系统技术防护和运行监测。加强对全校范围内网络、信息系统(网站)的安全监测扫描,提升防护策略,增强关键基础设施和关键信息系统服务的技术防护能力,凡发现存在高风险运行的信息系统及信息资产,一律采取先关停再整改的处置措施。
2.全面加强访问管控。寒假期间,开启最小化访问原则,关闭非必要访问的校内业务系统及第三方远程软件的外网访问权限,确有校外访问需求的师生,可与信息技术中心联系。
3.进一步加强安全隐患排查。各单位认真核查、检视本单位信息系统,对所属运行信息系统和信息资产进行全面安全隐患排查,进一步完善系统安全措施和内部管理制度。对于被学校主动检测扫描发现问题的信息系统和信息资产,采取无条件先关停、后整改处置措施。
4.严格规范办公邮箱使用管理。持续加强对校园办公邮箱的规范管理,办公邮箱严格履行专人专用制度,严禁多人共用,定期清理长期不使用的校园公用邮箱,确保不发生办公邮箱安全事件。
5.加强虚拟货币挖矿和交易行为专项整治。加强常态化监测,严禁利用校内信息系统算力从事虚拟货币非法挖矿行为,对发现利用信息系统算力进行非法挖矿的行为,上级主管部门将严肃追究责任,进行非法交易的,严格依法论处。
三、具体要求
1.各单位全面梳理本单位管辖范围内建设、管理、运行(包括本单位师生利用学校资源建设运行)的服务器和信息系统(网站)。严禁师生利用校园网资源私自架设和提供信息系统和Web等服务。未经审批校内各单位原则上不允许在校外开设信息服务和存放学校敏感、重要数据。
2.各单位对存在网络信息安全隐患、无业务加载、无人运维、无安防措施的服务,一律予以自行关停,若必须运行,要及时采取提升防护策略、限制访问等必要措施,并尽快与信息技术中心沟通确认。对不使用的各类联网终端设备,及时断网断电,杜绝安全事件的发生。
3.各单位重点排查双非(非本单位IP地址、非本单位域名)信息系统(网站)和使用频率低、长期未更新、无专人运维的“僵尸”信息系统(网站)。全面排查高危漏洞不修复、非必要端口及服务长期开启、陈旧版本基础软件和通用软件不更新、僵尸主机和系统不整改等问题,及时补齐网络安全短板,避免“一点突破、全网皆失”。
4.对自建自管、托管于信息技术中心的服务器及相关服务进行全面检查,及时更新系统漏洞补丁,做好数据异地备份,及时整改存在的安全隐患。未经备案审批的服务器、信息系统(网站)、App等互联网服务严禁发布运行。
5.各单位加强本单位网站、信息系统和办公邮箱的用户名和口令管理,清理所有弱口令,系统初始化时采用足够强度的口令初始化策略,杜绝默认口令、弱口令、通用口令等安全隐患,及时更新口令,加强对暴力破解的防范。
6.办公邮箱严格按照邮箱审批和备案制度,先审后开。以校内各单位名义发送、收取、存储、处理、转发邮件的邮箱,一律使用域名为ysu.edu.cn的校内办公邮箱,邮箱内的邮件要定期(每月)进行备份清理,不得存储大量公务信息。办公邮箱登陆口令需定期更换,并杜绝轮换使用。如发生邮箱被盗事件,应立即向信息技术中心报告,并做好应急处置措施。
7.全面排查本单位信息系统是否存在参与虚拟货币挖矿行为,信息技术中心将进一步加强网络安全监测,一旦发现利用校内信息系统算力进行非法挖矿的行为,立即停止互联网接入,并依法按规定流程处置。如本单位存在从事相关研究的,必须与学科建设相匹配,并在满足科研、教学条件下尽量缩减规模,并报信息技术中心备案,未经备案,严禁开展相关活动。
四、寒假期间网络安全值守及应急响应
1.各单位网络安全负责人和应急联系人,务必保持7*24小时通讯畅通。
2.各单位务必加强对其所属运行的网站、应用系统的网络安全应急值守工作,相关责任人和管理员要保持7*24小时通讯畅通,并可随时到场。
3.一旦发生网络安全事件,按照《燕山大学网络安全突发事件应急预案》的要求,第一时间中断服务(拔掉相关服务器和网络设备网线),保留现场,同时报信息技术中心(靳玮钰,15032358670)。
信息技术中心
2021年1月12日