资讯科技政策

本安全政策的范围包括所有拥有、经营、 或由F维持&M，信息是在电子媒体上，还是以硬拷贝的形式打印， 或通过公共/专用网络传输. 根据他们的判断，学院的基础设施 委员会保留随时修改本政策的权利. 信息 安全需要联合国所有成员的参与和支持&米社区 获取信息资产. 这是每个成员的责任 F&M社区，以帮助确保所有信息资产保持安全和可用.

II. 范围

此政策适用于F的所有成员&M社区，其中包括，但不是 仅限于员工、学生、访客、志愿者、第三方、承包商、 顾问、客户、临时人员、退休人员和其他人(统称为“用户”); 谁有权访问、支持、管理、管理或维护F&M信息资产.

3。. 定义

1. 数据管理员 数据管理员具有管理控制权，并已被正式指定为负责任的 对于特定的信息资产数据集.  这通常是最资深的军官 在一个部门.

2. 信息资产——信息资产可以被描述为信息或数据 对学院有价值的资料，包括教育记录、 员工记录、知识产权、学生信息等. 这些资产可以 以物理形式(在纸上、cd或其他媒体上)或电子形式(存储在电脑上)存在 数据库，以文件形式，在个人电脑上).

IV. 政策

F&M的信息资产对其成功至关重要. 因此，获取所有信息 资产的授予将基于最小特权原则和业务需要. 访问 保密数据，根据学院的数据分类政策，必须 由适当的数据管理员以书面形式要求并批准. 控制必须 开发、实施、监控和维护以建立用户责任 并防止任何对机密性、可用性和完整性的损害 信息资产.

可接受使用政策

使用者必须遵守学院的规定 可接受使用政策 并可能被要求在可接受使用政策的书面副本上签字 获准进入F区&M信息资产.

创建账户

在就业和/或被学院录取后，F&创建M用户帐户 每一个人. 通常，该帐户包括访问F&电子邮件，核心生产力 套房，以及MyDiplomat门户. 访问其他F&授予M个信息资产 根据以下政策概述.

接入要求

用户必须从适当的数据管理员处获得许可并进行演示 明确的业务需求，以便获得对数据的访问权限. 授权必须是 形成文件，并保留该文件以供审核. 信息所有者 是否会在需要知道的基础上，根据明确界定的和 说明的业务需要. 访问请求者不能批准自己的访问. 依从性 在批准之前必须考虑法规、立法或合同义务 访问任何请求的信息资产.

背景调查

在获得对信息资产的访问权之前，专业人员必须 接受人力资源部(HR)的背景调查. 背景调查可能 包括犯罪调查和就业记录的核实. 酌情决定 人力资源，某些F&职位或多或少需要广泛的背景 检查. 学院成员的证书将按照正常的招聘程序进行审查 正如教务长办公室和学术部门概述的那样.

基于角色的访问

用户访问应根据工作描述、职责或功能建立. 角色的使用提供了一致和有效的访问权限管理. 数据管理员必须了解系统的安全控制和权限 他们负责制定和推荐适当的控制措施.

用户角色变更

更改角色或转到学院其他区域的用户可访问 在获得批准后，立即获得新角色所需的访问权限 适当的数据管理员. 新角色不再需要的访问权限 必须在合理的重叠和过渡期后移除或禁用 不超过三十天.

用户的责任

当被授予访问权限时，用户要对使用的所有系统活动负责 他们独特的叙述. 所有用户都有责任保护他们的帐户 创建和维护符合F的密码&M's 密码策略. 此外，用户有责任维护其个人资料的机密性 唯一的ID和密码，不得与任何其他方共享或重复使用他们的学院 密码在任何其他网站或服务.

访问权限审查

数据管理员应重新评估授予F的权限&每年至少有100万用户 以确定是否仍然需要根据当前的业务需求访问 工作职责. 发现用户帐户或访问权限无效、过期; 不再需要基于缺乏业务需要，或在违反政策必须 立即残疾.

非雇员用户帐户和访问权限，包括访客、志愿者、 第三方，承包商，顾问，客户和临时工，必须包括一个 在创建帐户和分配权限之前的截止日期. 账户 不是通过适当的数据管理员的书面请求手动更新的 会在到期日自动禁用吗.

临时访问控制权限

如果必须临时授予用户特权访问权限，则特权应该是 在预先设定的过期时间移除. 必须得到适当的数据管理员的批准 所有临时访问以书面形式.

使用者离开学院

被终止或辞职用户的用户账户将被禁用所有信息 在接到人力资源部门的通知后立即建立系统.   

信誉良好的离校教师可以保留访问其帐户的权限，包括 他们被授予访问权限的任何文件，在10天之后 应要求终止他们的合同.  善意离职的员工 在他们工作的最后一天都能访问他们的账户、系统和文件.  个人可向资讯科技署提出档案下载及查阅个人资料的要求 在这些时间段过去之前.

退休人员仍然可以使用他们的F&M电子邮件帐户和驱动器存储.  的所有权 学院正在进行的运作所必需的某些文件可能会转移到一个 员工或共享驱动器.

学生帐户将于毕业或离校一年后被删除.
毕业生或以前的学生成为员工将遵守员工规定 帐户管理，如果他们从学院分离.

请参阅 F&M非帐户持有人对帐户内容的访问 政策 在这些时间段之后的任何信息或访问请求.

不活跃的账户

一般情况下，通过F . net提供的用户账号和用户服务&M是暂时的 很少有例外，当一个人不再有积极的关系时，它们就意味着停止 在这里工作、教学或学习&M.  有些姿势的性质是困难的 分配给一个时间表，比如每年夏天回来的实习生，兼职教员 每隔一学期授课或辅导的会员或运动教练等.  为了解决 否则可能被放弃的账户，将在以下时间段和行动中进行 应用:

• • 超过1年未登录的帐户将被禁用.  禁用的账户 可以通过联系ITS帮助台重新启用吗.

  • 2年未登录的帐户将被删除.  删除 账户是不可逆的.  我们会尽一切努力保存那些 从员工账户中共享的信息，以防F&M继续依靠 这些文件.  但是，与该帐户关联的所有其他内容将被删除.

  • 这些时间框架和流程适用于包括退休人员在内的所有账户.

未经授权测试信息资产

F&M个全权负责信息安全的用户是由 F&对高级职员进行信息安全测试，确保学院是充分的 保护资讯资产. 所有其他用户不得进行测试或试图进行妥协 除非主管事先特别书面批准，否则不得实施内部控制 信息官(CIO)或首席信息安全官(CISO).

可能发现漏洞、错误配置或信息不足的用户 学院系统的安全必须立即向CIO或CISO报告他们的发现. 用户不得尝试访问超出授权范围的资产 获取或修改其他用户的访问级别，除非事先特别批准 并由首席信息官或首席信息安全官以书面形式提交.

生产数据的修改和测试

拥有更改或删除大学关键任务数据的能力的帐户 是否受到高度限制和严密监控. 技术和/或操作控制 [删除]确保此类帐户不能无限制地修改生产数据 和/或不受监控的时尚. 审计日志应配置清楚地显示 日期和时间，地点，账户ID和更改. 用户只能修改生产 以预定义的方式保存或增强数据的完整性、可用性和可靠性 保密. 用户只有在使用时才允许修改生产数据 与受影响的数据相关联的数据主管批准的受控过程 或系统.

V. 相关文件及表格

可接受使用政策
密码策略

-----
政策维护人员:信息技术服务部副总裁兼首席信息官 官
最后审查:2023年9月20日