30.14 -网络事件报告和响应

内容:

1. 目的
2. 范围
3. 定义
4. 政策
5. 不符合
6. 异常
7. 联系信息
8. 参考文献

A. 目的

学校有义务保密, 完整性, 信息的可获得性. 未经授权访问某些类型的信息可能会使大学对个人负有责任, 大学, 状态, 联邦, 合同调查和报告要求，并导致罚款和声誉影响.

及时对报告和发现的事件作出反应对于防止对个人产生不利影响至关重要, 满足外部报告要求, 并维护大学的使命和声誉.

这项政策确立了报告事件的个人责任, 大学有责任做计划, 回应, 和升级, 根据我们的法律和合同要求.

B. 范围

此政策适用于所有技术资源, 包括资讯系统, 机构数据, 网络以及任何可以访问这些系统或数据的人或设备, 无论隶属什么组织, 位置, 资金来源, 或者合同状态.

C. 定义

C-1. 电脑保安事故应变小组: 信息安全办公室负责接收信息的职能, 回顾, 协调应对涉及大学技术资源的计算机安全事件报告和活动.

C-2. 数据泄露: 根据爱达荷州法典第28-51-104条, “对系统安全的破坏”,，在本政策中称为“数据泄露”,指非法获取未加密的计算机数据，从而对安全造成重大危害, 保密, 或机构维护的一(1)人或多人的个人信息的完整性, 个人, 或者商业实体.”

C-3. 事件响应计划: 也称为技术安全事件响应计划, 或“IR计划”,是支持本政策所必需的文件，其中涉及处理事件响应的具体程序和细节, 符合适用法律.

C-4. 安全事件: 安全事件是指发现任何可能表明对数据或系统存在实际或潜在威胁的信息.

C-5. 安全事件: 安全事件是指对机密性存在当前或迫在眉睫的威胁的安全事件, 完整性, 或者大学技术资源的可用性, 或违反安全策略或标准.

C-6. 大学的数据: 任何格式的数据, 收集, 发达, 维护, 或由大学管理或代表大学管理, 或在学校活动范围内. (参见APM 30.11)

D. 政策

D-1. 报告事件. 任何实际或可疑的安全事故或事件必须立即通过以下指定渠道之一向信息安全办公室报告:.

D-2. 报告事件响应要求. 与实体建立关系或处理具有独特事件响应报告要求的数据的大学社区的所有成员必须向信息安全办公室报告这些要求，以便将其纳入事件响应计划.

D-3. 注册系统和应用程序. 所有使用大学网络的设备必须在OIT网络管理系统中注册，联系信息必须保持最新. 云应用程序和供应商必须在OIT应用程序组合中注册，并在发生更改时进行更新.

D-4. CSIRT会员. CSIRT由首席信息安全官(CISO)及其指定的事件处理人员组成, 以及总法律顾问办公室的代表, 风险管理, 人力资源, 公共安全及保安, 及大学通讯. 其他成员和主题专家可应首席信息安全官的要求或由信息技术副总裁/首席信息官指定，并作为事件响应计划的一部分予以批准, 或者在需要的基础上.

D-5. 调查. 在资讯科技总监的指导下，资讯科技总监获授权:

a. 监控所有相关的技术资源和信息，以关联和检测事件，并确定事件是否发生.

b. 启动事件响应计划并指导分析, 容器, 复苏, 以及对事故的补救.

c. 在必要时加快对信息系统的更改，以应对或防止事故. 这可能包括主动禁用帐户的措施, 网络, 设备, 集成, 或者其他资源.

d. 与总法律顾问合作, 当国家要求时，向指定的第三方报告事故, 联邦, 或者合同要求, 或者激活网络责任保险.

e. 使用安全事件的标准分类法跟踪和记录事件.

f. 与执法部门协调, 政府机构, 同行csirt, 以及相关的信息共享和分析中心(isac)，以识别和调查安全事件. CSIRT被授权与这些不识别个人的组织共享外部威胁和事件信息, 或由法律总顾问或相关资料拥有人另行批准.

D-6. 信息披露. 数据泄露的公开披露必须由IT/CIO副总裁与总法律顾问协商后进行审查和批准, 大学通信, 以及其他相关的大学利益相关者.

D-7. 计划需求. 资讯科技署资讯保安办公室负责协调大学科技保安事件应变计划(IR计划), 保持联系和主题专家名单的更新, 并且至少每年测试和执行该计划.

E. 不服从

不遵守此政策可能会导致后果, 视不遵守的性质而定, 如APM 30所述，用户的帐户或对U of I技术资源的访问被暂停.12 (可接受的技术使用).

F. 异常

可以提交此政策的例外请求 通过OIT支持门户网站. 伊利诺伊大学首席信息安全官将评估风险，并向伊利诺伊大学信息技术副校长和首席信息官提出建议.

G. 联系信息

OIT信息安全办公室可以协助解决有关本政策和相关标准及计划的问题. 问题应通过 石油技术支持门户.

H. 参考文献

NIST SP800-61. 2

Hipaa 45 CFR§164.308(a)(6)

爱达荷州法典-§§28-51-104、105、106、107

爱达荷技术管理局 P4110

APM 30.数据分类和标准

APM 30.12 -可接受使用政策

用户界面私隐声明

版本历史

2023年1月修订. 重新编写，以反映HIPAA和NIST要求的网络安全实践，并解决当前UI面临的网络安全威胁状态.

2007年1月通过.