福建中医药大学信息系统运行维护管理规定

                                                             第一章  范围及职责
    第一条  本规定适用于信息系统的运行维护管理，包括：业务系统运维管理、数据生产、备份和恢复、口令管理、恶意代码防范管理以及系统补丁管理。
    第二条　网络信息安全领导小组办公室负责信息系统运行维护管理规定的制定和修订；系统管理员负责信息系统的运行维护。
                                                              第二章  业务系统运维管理
    第三条  对运行关键业务的系统进行监控。监控内容包括系统关键性能参数（如启动参数）、工作状态、占用资源和容量使用情况等内容。
    第四条  不得随意重启业务系统服务区相关网络设备和安全设备，不得安装与业务无关的其它软件。
    第五条  定期对系统日志进行审计、备份。
    第六条  对主机系统上开放的网络服务和端口进行检查，发现不需要开放的网络服务和端口时及时通知相关管理员关闭。
    第七条  对系统运行情况进行记录，每月对记录结果进行分析、统计。
    第八条  开办交互式栏目的信息系统必须配备关键字过滤措施，防止出现有害信息和非法言论。
    第九条  不同的业务系统应采取不同的保护措施，达到等级保护二级以上标准时应向网监部门提交备案申请并取得备案证书。
    第十条  已在网监部门备案的信息系统要根据等级保护国标和上级主管部门的工作要求开展测评和整改工作。
    第十一条  所有在互联网发布的信息系统都必须在公安部门进行备案登记。已备案信息系统应注意备案的有效期，应在备案失效前再次向公安部门报送材料进行备案，保证信息系统备案状态的持续性。
                                                         第三章　数据生产
    第十二条　信息系统中的各类数据按照“谁生产，谁负责”的原则，部门领导是本部门数据质量的第一责任人。各相关部门或单位必须确保信息系统数据的准确性、及时性、完整性。
    第十三条　信息系统的数据更新、维护应及时有效，特别是涉及全校或其他部门需要的数据必须在事务完成后的24小时内完成数据更新。
                                                         第四章  备份与恢复管理
    第十四条　根据业务数据的重要性，采取不同介质进行备份，如：专业存储阵列、磁带、硬盘、光盘等；备份介质要标注内容、日期、操作员和状态。
    第十五条  备份介质要按照时间顺序保存。
    第十六条  备份介质必须异地存放，存放环境要满足介质存储的安全要求。
    第十七条  当介质超出有效使用期时，即使还能使用也必须强制报废。
    第十八条　按照备份策略，对不同业务数据采用不同备份方式，灵活运用完全备份、增量备份和差异备份等方式进行备份，保证信息系统出现故障时，能够满足数据恢复的时间点和速度要求。
    第十九条  每次备份必须进行备份记录，对备份介质类型、备份的频率、数据量、数据属性等有明确描述，并及时检查备份的状态和日志，确保备份是成功的。
    第二十条  定期对介质做恢复测试，至少一年两次。
                                                         第五章 口令管理
    第二十一条  口令安全是保护信息安全的重要措施之一。口令规范如下：
    1.保守口令的秘密性，除非有正式批准授权，禁止把口令提供给其他人使用；
    2.避免记录口令（例如在纸上记录），除非使用了安全的保管方式（如保险柜）并得到了批准；
    3.提高安全意识，当信息系统或账户状态出现异常情况时（如怀疑被入侵），应考虑立即更改口令；
    4.设置高质量的口令并定期进行修改，禁止循环使用旧口令；
    5.用户在第一次登陆的时候，须立即修改初始口令；
    6.不能在任何登陆程序中保存口令或启用自动登录，如在宏或功能键中存储口令；
    7.网络设备或服务器、桌面系统的口令安全设置，必须遵守系统安全策略中的相关要求。
                                                        第六章 恶意代码防范管理
    第二十二条  所有计算机必须安装防病毒软件并实时运行。
    第二十三条　校园网用户应及时更新防病毒软件和病毒特征库。严禁制造、引入或传播恶意软件（例如病毒、蠕虫、木马、邮件炸弹等），及时对计算机操作系统补丁进行更新。
    第二十四条　非本单位计算机严禁擅自接入授权业务以外的网络，如因工作需要接入的，接入前必须对其进行恶意代码扫描。
    第二十五条　新购置的、借入的或维修返还的计算机或存储介质，在使用前必须进行恶意代码检查，确保无恶意代码之后才能正式投入使用。
    第二十六条　U盘、光盘以及其它移动存储介质在使用前必须进行恶意代码检测，严禁使用任何未经恶意代码检测过的存储介质。
    第二十七条　计算机软件以及从其它渠道获得的电子文件，在安装使用前必须进行恶意代码检测，禁止安装或使用未经恶意代码检测的计算机软件和电子文件。
    第二十八条　文件拷入计算机之前必须经过恶意代码扫描，文件拷贝的途径包括但不限于网络共享文件的拷贝、通过光盘、U盘等移动存储媒介的拷贝、从Internet下载文件、下载邮件等。
    第二十九条　邮件的附件在打开之前必须进行病毒检测。收到来历不明的邮件时不要打开附件，应确认文件安全否则直接删除。
                                                       第七章 系统补丁管理
     第三十条  定期对信息系统进行漏洞扫描，对发现的信息漏洞和风险进行及时的补救。
     第三十一条  每季度对信息系统设备包括：服务器、网络设备、数据库等）至少进行一次漏洞扫描，并对扫描结束进行分析和归类存档。
     第三十二条  定期检查信息系统的各种补丁状态，并及时更新。
     第三十三条  在安装信息系统各类补丁前须对补丁的兼容性和安全性进行评估和检测，确保新补丁不影响信息系统的正常运转。
     第三十四条  当出现应对高危漏洞的信息系统补丁时，应在第一时间下载补丁，对漏洞进行修补。

                                                       第八章  附 则
    第三十五条  本规定由网络信息安全领导小组负责解释。
    第三十六条  本规定自发布之日起生效执行。

    附：1.备份计划表
　　    2.数据恢复测试计划表

备份计划表

数据恢复测试计划表