第二条本管理办法所称的网络系统，是指由投资购买或租用，由图书情报信息中心负责维护和管理的网络系统，主要包括网络主、辅节点设备，配套的网络线缆设施，以及由网络服务器、工作站构成的，提供网络应用及服务的硬件、软件的集成系统。
第四条本管理办法适用于学校所有网络与软件系统的安全。
第二章组织机构与职责
第七条发起风险评估的责任主体为图书情报信息中心。接受安全风险评估的部门应参与制定安全风险评估计划及评估方案，了解评估可能造成的影响及规避措施，配合实施安全风险评估工作。参与安全风险评估人员应严格遵守学校保密管理规定，对接触到的敏感信息、漏洞情况等严格保密。如委托第三方进行风险评估，应选择符合国家和学校要求的风险评估服务机构，并在与之签订的协议中，明确保密要求及禁止利用中提供的权限、信息进行其它破坏性或者信息刺探等非法活动，保障学校及客户利益。
第三章网络安全管理
第九条网络管理员负责网络的运行管理，实施网络安全策略和安全运行细则。
第十条网络管理员应制定周密的切实可靠的网络备份和应急恢复方案，防止由于网络设备系统崩溃、硬件损坏等原因而引起业务中断。
第十一条网络管理员应定期对中心机房网络设备进行巡检，监测网络设备的物理稳定性和系统稳定性，进行系统日志审计，并对系统状况及安全事件进行分析，制定相应的维护策略。
第十二条网络设备发生故障，网络管理员应本着先抢通业务、后排除故障的原则按照规定流程排除故障，遇到重大故障时应及时上报领导，事后做好故障记录并编写故障分析报告。
第十三条网络管理员应负责落实、实施涉及网络设备的密码管理机制。
第十五条任何人不得利用各种网络设备或软件技术从事用户帐户及口令的侦听、盗用活动，不得使用任何非法手段获取他人信息。
第十六条网络设备、服务器等发生破坏案件，或遭到黑客攻击，如该案件影响到学校重要信息系统的正常运行，图书情报信息中心负责启动突发事件应急处置预案，并逐级上报。
第十七条网络管理员定期对配置文件进行离线备份，在配置变更前、变更后分别对网络设备的配置文件进行备份。
第四章网络接入管理
第十八条网络接入应符合“谁主管、谁负责，谁接入、谁负责”总体原则，遵从“基于需求”、“集中化”、“标准化”及“可控”等具体原则。通过规范申请、审批等过程，实现安全的网络互联。
第二十条未经图书情报信息中心许可，任何学校和个人不得非法私自将非计算机接入学校网络或擅自接纳网络用户。
第二十一条未经图书情报信息中心允许，不得共享计算机内的各种资源；不得对计算机网络功能进行删除、修改或者增加；不得对计算机网络中存储、处理或者传输的数据和应用程序进行删除、修改或者增加。
第五章互联网上网管理
第二十二条学校互联网出口必须部署防火墙等安全防护设备，接入互联网的电脑必须经过许可，并且安装防病、毒防火墙等安全防护软件。
第二十三条学校上互联网电脑不得存储国家密级文件及学校重要文件，各学校要按照国家关于互联网上网信息安全有关规定，加强对本学校互联网上网电脑的管理，不得利用互联网泄露学校商业秘密和损害学校的利益，对于出现的违法违纪行为，学校将根据有关规定追究有关学校和当事人的责任。
第二十四条学校互联网接入的目的是为了加强与外界的合作与交流。因此任何人不得在上网电脑上浏览非法网站和下载非法软件等，如因以上原因引起计算机系统染毒、系统崩溃而延误工作造成损失的，上网者将受纪律处分并负责对电脑进行修复。
第二十五条学校员工上网应当遵守有关法律、法规的规定，加强自律，开展文明、健康的上网活动。严禁利用学校网络传播病毒，危害学校网络安全；制作、下载、复制、查阅、发布、传播或以其他方式使用反动、淫秽色情等有害信息；
第六章安全加固及补丁管理
第二十六条供应商和集成商需在服务期内及时为设备和系统安装操作系统、数据库、中间件等第三方软件的安全补丁，保证系统不出现高风险漏洞。
第二十七条供应商和集成商需在安全补丁安装前完成与设备或系统的兼容性测试。如果出现不能兼容的情况，供应商和集成商必须免费对现有程序、应用进行修改和升级，或者免费提供额外的安全措施，以保证安全性。
第二十八条供应商和集成商在系统验收前，必须对系统进行安全加固，并提交加固报告。集成商必须保证提供的系统上不存在任何高风险漏洞。如在验收后发现高风险漏洞，集成商和厂商应立即免费进行升级和加固。
第七章帐号口令及日志审计管理
第二十九条所有网络设备均需要支持基于帐号的访问控制功能，并对口令文件提供妥善的保护。禁止使用设备默认口令密码，禁止设置弱口令式密码。
第三十条各网络设备应能保存帐号增删、配置更改、权限更改、重要操作和登陆信息等有关安全内容的日志。该日志的保存期限建议不小于2年。如果因容量限制无法满足该要求，应将日志定期导出，采用其他手段进行保存。
第三十一条网络管理员管理应定期对运行日志、网络监控记录的日常维护和报警信息进行分析和处理。
第八章网络升级与漏洞扫描管理
第三十三条持续跟踪厂商提供的网络设备的软件升级更新情况，在经过充分的测试评估后对必要的补丁进行更新，并在更新前对现有的重要文件进行备份。
第三十四条定期进行漏洞扫描，对漏洞风险持续跟踪，在经过充分的验证测试后对必要的漏洞开展修补工作。
第三十六条漏洞扫描或漏洞修补后应进行验证测试，以保证网络系统的正常运行。