DB23T 3868.2-2024教育新型基础设施建设 第 2 部分：网络安全管理规范

23I本文件是DB23/T3868《教育新型基础设施建设》的第2部分。DB23/T3868已经发布了──教育新型基础设施建设──教育新型基础设施建设──教育新型基础设施建设──教育新型基础设施建设请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。业大学、哈尔滨工程大学、黑龙江大学、哈尔滨医科大学、哈尔滨市网络安全应急指挥保障中心。1教育新型基础设施建设第2部分：网络安全管理规范GB/T20986—2023信息安全技术网络安全事件分类分级GB/T42453—2023信息安全技术网络安全态势感知通用技术GB/T43697数据安全技术数据分类分级稳定可靠运行的状态，以及保障数据的完整性、保密性、可用性4缩略语SDN：软件定义网络（SoftwareDefinedVLAN：虚拟局域网（VirtualLocalAreaNetworUPS：不间断电源（UninterruptedPowerSuppAPI：应用程序编程接口（ApplicationProgrammingInterface）25总体要求5.1组织管理应符合但不限于以下要求：a)明确网络安全管理机构，确立网信职能部门和技术支持部门；b)建立上下联动机制，配合上级部门落实文件政策的宣贯执行，内部之间沟通与协调合作，共同处置网络安全问题。5.2制度建设应符合但不限于以下要求：a)制定网络安全管理办法和管理策略，包括信息安全管理办法、网络安全事件应急预案、监测预警通报制度、数据安全管理办法等；b)定期组织相关部门和人员对网络安全相关制度的合理性和适用性进行评估，对不符合最新政策要求的制度进行修订。5.3人员管理应符合但不限于以下要求：a)配备网络安全专业技术人员，开展网络安全管理和应急响应工作；b)对IT服务外包人员进行安全管理，并签署保密协议，及时回收IT服务外包人员的管理权限。5.4安全培训应符合但不限于以下要求：a)制定年度安全培训计划，开展对本单位员工的网络安全通识教育培训和专业技术人员的专项技能培训；b)制定网络安全事件应急预案和演练方案，定期开展网络安全应急演练，根据演练结果及时修订应急预案。6基础设施安全管理6.1基本要求应符合但不限于以下要求：a)网络和设备应实时在线，用户能稳定访问和使用；b)应采取各种技术手段保护数据，防止数据泄漏，包括恶意攻击、内部误操作等；c)采用最小化原则，只允许授权用户和设备访问网络和资源；d)通过持续监控，实时监测安全威胁，提前预警可能的风险；e)在发生安全事件时，能迅速定位问题、及时处理、减少损失，并具备灾难恢复的能力；f)数据中心机房配备UPS,确保备用电力能在断电情况下至少提供2h的运行保障，使用冗余电缆，并实行双路市电供电策略。6.2边界管理应符合但不限于以下要求：a)部署下一代防火墙、入侵防御系统及网络隔离等技术来保护内部网络；3d)定期进行信息资产的更新及威胁监测活动，利用漏洞和威胁信息来探测和鉴别信息资产可能9数据安全管理g)数据安全管理过程明确数据采集、传输、存储、处理、交换、销毁的数据4