批准日期:2016年10月4日
生效日期:2016年10月4日
负责人:首席信息安全官
负责办公室:[U]科技信息安全办公室
修订历史:版本2.0; dated October 4, 2016
相关法例及大学政策:
审查期限:5年
最近覆检日期:2016年10月4日
涉及:教师，员工，学生，校友，附属帐户持有人
目的
本标准的目的是协助十大体育外围平台排名-权威认证-apple app store-十大体育外围平台排名科技有限公司用户(分配数据管理的人员), 所有权, 以及管理职责)，并根据信息层级别确定基线安全需求. 每一类信息都将有一套指定的基线，以数字增加安全标准的级别，作为处理机密性的风险管理计划的一部分, 完整性, 和可用性.
范围
本政策适用于所有十大体育外围平台排名-权威认证-apple app store-十大体育外围平台排名科技有限公司西储大学信息. 许多安全要求是针对网络信息技术系统的.
取消
不适用.
三类标准信息分类
一般
十大体育外围平台排名-权威认证-apple app store-十大体育外围平台排名科技有限公司使用3层系统对信息类型和敏感性进行分类. 这三个类别中的每一个都是根据大学在保密领域的风险来确定的, 完整性, 以及支持大学使命的数据的可用性. 信息(或数据)所有者负责确定其信息的影响级别，并通过实施适用的控制层管理此类信息的风险.
这些类别源自联邦信息处理标准199 (fips - 199)
| 信息类别 | 保密 | 完整性 | 可用性 |
|---|---|---|---|
| 公共 | 低 | 温和的 | 温和的 |
| 内部使用 | 温和的 | 温和的 | 温和的 |
| 限制 | 高 | 温和的 | 温和的 |
十大体育外围平台排名-权威认证-apple app store-十大体育外围平台排名科技有限公司不会使用保密条款, 秘密, 除非他们准确地描述了被美国归类为最高机密的信息.S. 政府在OMB通告A-130中提到了国家安全信息. 在一般情况下, 该级别的任何信息都不会出现在十大体育外围平台排名-权威认证-apple app store-十大体育外围平台排名科技有限公司的学术报告中, 行政, 研究, 科技环境.
信息管理要求
信息应按技术或行政类别进行隔离，以便能够实施控制以确保保密风险, 完整性, 有效地管理可用性. 最敏感的信息将有最严格的控制. 信息类别的确定是所有信息技术管理和风险管理决策的必要条件.
公共信息
十大体育外围平台排名-权威认证-apple app store-十大体育外围平台排名科技有限公司使用的绝大多数信息都是公开的. 存储信息系统, 过程, 或管理公共信息应用最低安全配置和管理标准. 这些标准已被批准在所有十大体育外围平台排名-权威认证-apple app store-十大体育外围平台排名科技有限公司 IT环境中使用, 至少, 并可根据信息所有者认为适当的情况增强到更严格的控制. 公共信息控制和安全标准包括对网络主机进行基本加固, 系统软件的自动更新, 安装并自动更新防病毒(和反间谍软件)软件, 以及适当的数据备份.
- 参见公共信息示例.
- 见公共信息基本安全控制 (程序III-1c十大体育外围平台排名-权威认证-apple app store-十大体育外围平台排名科技有限公司的标准网络主机配置.
内部使用信息
存储信息系统, 过程, 或管理内部使用信息应用最低安全标准, 并通过附加的主机配置集进行增强，以降低通过网络破坏主机的风险, 或者在系统被盗或丢失的情况下，数据泄露/丢失. 这些仅限内部使用的控件和安全标准包括网络身份验证, 用户访问控制, 增强系统加固, 审计, 数据备份, 系统容灾规划, 定期的风险评估. 在一般情况下, 任何信息的泄露都是值得关注的, 但预计对大学运营的影响微乎其微.
- 参见仅供内部使用的信息示例.
- 请参见仅在内部使用基本安全控制 (测试过程III-1d仅供内部使用的标准网络主机配置信息.
限制信息
存储信息系统, 过程, 或管理受限制的信息是应用上述控制和安全标准, 以及在大学环境中最严格的控制来解决保密问题. 这些被称为受限信息控制和安全标准.
- 参见受限信息示例.
- 参见受限信息基本安全控制 (步骤III-1e限制信息的标准网络主机配置. (包括处理保密资料的指引)
多层系统冲突——当一个信息系统处理多个信息层时, 将应用最高级别的要求.
责任
十大体育外围平台排名-权威认证-apple app store-十大体育外围平台排名科技有限公司 [U]技术服务将为系统和工作流程定义基本的保护控制，以管理风险的方式进行保护, 每个信息类别.
定义
信息所有者:大学官员(大学教职员工)，负责某一特定学院或部门的信息安全. 该官员通常具有指导行政程序的管理权或处理信息服务中断后果的采购/预算权, 损失/破坏, 信息披露, 或修改.
机密性:数据或信息不向未经授权的人员或过程提供或披露的属性
完整性:数据或信息未以未经授权的方式被更改或破坏的特性.
可用性:数据或信息可根据授权人的要求访问和使用的属性.
注:截至2009年5月15日, 信息类别改为第一级, II, III命名法(公开, 仅限内部使用, 限制).
截至10月, 2016, 删除带有罗马数字的信息层编号, 支持描述性类别(公共, 内部使用, 限制性的)现在用于参考控制标准.
标准检讨周期
本标准将每两年在政策生效日的周年纪念日进行审查, 至少. 根据风险暴露的变化，可以更频繁地审查该标准.