新技术新业务信息安全评估报告

第一篇：新技术新业务信息安全评估报告

XXX新技术新业务信息安全评估报告

一、业务基本情况

1、业务简介（包括业务申请单位、业务功能等内容）

2、技术原理（包括业务平台以及相关网元的网络拓扑图、采用技术的原理、采用技术在行业内或者相关行业的应用情况等内容；对自建的业务平台，需提供设备位置、基线检测和漏洞扫描的安全检测结果报告等情况）

3、实现方式（包括业务流程等内容）

4、用户规模（对未上线业务需评估潜在用户情况，对已上线业务统计使用的用户情况，包括近两年内用户的增长情况）；

5、市场情况（包括在行业内或者相关行业的应用情况等）

二、已有业务信息安全保障措施

1、自评估业务可能存在的信息安全风险（业务需求部门自行初步评估信息安全风险）

2、已有安全管理措施情况（包含日常、应急安全措施、已开展同类业务的安全防护情况等）。

三、企业信息安全评估情况

1、评估人员组成

2、评估流程（描述对新业务评估的整个过程，包括初次评估、二次评估）

3、评估发现的信息安全风险 至少从以下方面评估：

（1）对自建接入内网的业务平台，必须提供基线检测、漏洞扫描的结果报告，同时评估网络结构是否符合中国联合网络通信集团有限公司内网信息安全的相关管理要求。

（2）对基于现有系统平台或已具有成熟运营模式的新产品及系统集成新产品，评估与同类业务的安全防护情况。

（3）对采用新技术、新业务平台或新应用的产品，评估新技术、新业务在电信企业、互联网企业的应用情况。

（4）评估业务实现流程、网络结构、接入方式等方面是否存在风险被非法入侵、非法利用或者导致敏感数据泄露。

（5）评估是否有健全的配套安全管理措施，可防范上述方面的安全风险。（6）不仅限于上述方面，根据新技术新业务的实际情况补充。

第二篇：新技术、新业务评估、中止、重开的制度

新业务、新技术评估、终止与重新开

展制度

一、目的

为了加强技术管理，确保全院诊疗项目和各类诊疗措施安全有效，最大限度地提高医疗质量，降低医疗风险，制定本制度。

二、对象

本院正式注册并已正常开展的诊疗项目，因技术项目本身应用效果不确切或存在医疗质量和安全隐患、发生与技术项目本身直接相关的严重不良后果，或存在社会伦理道德缺陷，或本院因人员、设备等主要技术保障条件出现困难，短时间内又难以解决，致使该技术项目无法正常开展时，执行本制度。

卫生行政机关通知淘汰的诊疗项目不在此列。

三、运行程序

（一）诊疗项目终止。诊疗项目需要终止或中止时，一般情况下，首先由项目所属科室向医务科书面提出终止报告，说明情况，申明理由，提出建议；医务科召集医院评估小组集体讨论认定后，由医务科书面通知科室终止该项目的开展。对于问题比较明确、有可能影响医疗质量和医患安全的诊疗项目，必要时可以简化程序，由院长或主管副院长或医务科长口头通知停开，并需记录在案；科室或专业技术人员发现诊疗项目存在缺陷严重影响医疗质量或医患安全时，紧急情况下应当立即停止操作，报告科主任，或直接报告医务科做出相应处理。

（二）评估与重开。对于终止或停开的诊疗项目，条件具备后，由医务科或项目所属科室提出重开意见，经医院评估小组集体讨论通过后，由医务科书面通知所属科室重新开展。

（三）全院已经开展的诊疗项目，未经履行上述程序，操作岗位不得任意终止；已经终止的诊疗项目，未履行评估与重开认定程序，操作岗位不得擅自重新开展。

四、评估组织与评估职责

（一）评估小组 由医务科从相关临床医疗、医技、药学、护理专业学科带头人和设备、管理人员中抽选组成，必要时抽取医疗保险、财务、安全方面负责人参加，每次评估会议成员不少于 7人。评估会议由主管副院长或医务科长主持。

（二）评估职责 依据法律法规和规章制度，从确保医疗质量与医患安全出发，认真分析所评诊疗项目，全面权衡全院设施条件，认真进行评估讨论，对下列事项提出明确意见：、认定所评项目是否终止，并明确相应理由；、对于认定终止、待机复开的项目，提出恢复准备工作的意见和要求，经院长办公会讨论后安排执行。、对于未认定终止的项目，提出确保质量和安全的改进意见和要求。、全院各科诊疗项目的终止、完善、重开准备、重新开展均须认真按照医院评估小组的意见执行。

五、资料记录

科室报告、评估会议记录、项目终止与重新开展通知等相关资料应当齐全，由医务科保存，按移交医院档案室保管。

2.新技术、新业务开展的安全、质量、疗效、费用记录

2.1加强应用管理，提高医疗质量，确保医疗安全

（一）认真执行法律法规、规章制度，严格遵守操作规程；充分尊重病人的知情权、选择权、隐私权，特别注意病人的安全保障；

（二）严格遵守医疗和科研道德规范，注意新技术可能引起的社会伦理道德反应，及时加以正确的疏导；

（三）密切观察并规范记录各种原始资料，注意积累该项技术的适应范围、应用效果、质量、安全、并发症、不良反应等方面经验和教训，并不断进行总结和改进；

（四）定期进行卫生经济学分析，总结新技术项目的社会价值；

（五）职能部门定期（每月一次）监督检查，及时反馈改进，对改进情况追踪检查；

（六）定期（每年或每半年一次）进行评价，对该项新技术的应用价值、应用能力、临床疗效、综合效益、不良反应、伦理道德、经验教训等方面进行综合评价，对存在的缺陷采取有力措施及时改进；

（七）认真执行技术风险预警实施方案，及时采取措施，消除安全隐患，降低技术风险，防止技术损害和医疗事故发生；

（八）认真执行技术损害处置方案，客观、公正、积极、稳妥、及时处理技术损害；

（九）新技术项目评估应注意安全性、有效性、经济学特性、适应社会伦理性、先进性、新颖性、实用性和可操作性。其中安全性包括适应证、禁忌证、副作用、注意事项、设备条件及运行是否正常、是否做过预实验、项目负责人和组成人员技术掌握是否熟练、出现问题紧急处理预案等。

所开展的新技术出现下列情况时，按照本院《诊疗技术终止、评估与重新开展制度》规定，经医院评估小组专家集体评估认定后，停开该项新技术项目：、技术项目本身实际应用效果不确切；、发生与该项技术本身直接相关的严重不良后果； 3、技术项目本身存在医疗质量和安全隐患； 4、技术项目本身存在伦理道德缺陷；

5、本院人员、设备等主要技术保障条件发生改变或出现困难，短时间内又难以解决，致使该技术项目无法正常开展。

上述缺陷消除或条件具备后，经过评估认定方可重新开展。

（十）完善记录，建立健全新技术档案。按照新技术建档制度对新技术的技术原理、实施方法、质量标准、操作要求、所需设备、药品、试剂、场所等条件，运行情况、评估、中止与重开记录，患者例数、病情、并发症、剂量、疗效、不良反应等情况都需认真登记或记录，广泛积累，记录在案，及时整理归档。

2.2疗效的分析评价程序 对于新技术、新疗法，一经开展即应完善对疗效的评价分析，不断总结经验，改正不足，使其更加完善。

（一）认真记录病历资料，随访观察疗效。

（二）定期总结病历，与常规操作进行比较。

（三）检索文献、查阅资料，与其他医院进行比较。

（四）写出报告或文章。

（五）开展新技术、新业务患者安全应急办法。

拟开展的新技术、新业务因技术复杂、操作难度大等原因，开展过程中可能出现事先难以预料的情况。一旦发生紧急意外情

况，立即启动《医疗技术损害处置预案》应急处理，经现场经治医师采取补救后仍难以处理时，即刻向上级医师报告，若上级医师处理不了时，则迅速上报科主任，必要时报告医务科或院领导。得到指示后，还应向患者或家属告知情况，征得患者或家属的同意并签署知情同意书后，方能继续进行治疗。治疗紧急意外情况所需设施，由经治医师或其委派本院医师负责联系以满足诊疗要求。经治医师对紧急意外情况后出现的病情变化、诊疗方案、上级医师意见及诊疗情况应及时记录，同时必须坚守岗位，不得擅自离开，至患者病情稳定为止。

2.3 费用记录：

3.新技术、新业务工作档案，开展新技术的批准文件，证明新技术安全性和有效性的资料

3.1医疗新技术建档制度

一、医疗新技术范围

本办法所指的医疗新技术是指本院医疗、医技、护理、药学等专业从未开展过的技术项目，包括下列内容：

（一）使用新试剂的诊断项目；

（二）使用二、三类医疗器械的诊断和治疗项目；

（三）创伤性的诊断和治疗项目；

（四）生物基因诊断和治疗项目；

（五）使用产生高能射线设备的诊断和治疗项目；

（六）组织、器官移植技术项目；

（七）其他可能对人体健康产生重大影响的新技术项目。

二、医疗新技术档案归档内容

（一）医疗新技术临床试用准入申请书，包括： 1、新技术项目名称；、申请单位，技术负责人（技术职称、专业年限），申请时间；、技术项目来源（首创、推广、引进、协作、承担科研任务、上级指令等）；、技术项目适用对象和范围；、技术原理：（包括理论依据、技术方法、所采用的设备器材，以及设备器材准入情况）；、技术的先进性、科学性，在国内外应用的时间、范围、例数及获得相关监督管理部门的准入情况；、新技术在本院开展的必要性和可行性（患者需求，社会价值，医学价值，本院总体业务量与此项技术相关医疗需求状况，开展前景等）；、新技术的安全性、有效性、卫生经济学“投入／产出”测算，及其与现有同类技术的比较（需有相关的指标说明，并提供国内外应用实践的数据支撑）；、人员及设施、设备条件（包括开展该项技术的相关设施、设备情况、学科和人员资质条件及与应用该项技术有关人员的学习、培训情况等）；、新技术应用方案（包括技术的适应证、禁忌证、技术操作规范、对可能出现的并发症等不良反应的防范措施）；、需要医院或其他科室支持配合的事项；、科室承诺事项（严格遵守法律法规、规章制度、操作规程和医德规范，以及达到数量、质量、安全、科研、卫生经济、资料积累、规范管理等指标）。

（二）外来新技术项目有关资料（原著、协议、合同等）

（三）器械、药品、试剂说明书；

（四）医院技术评估小组专家论证报告（及讨论记录）

（五）临床应用资料，包括：、病例登记表（新技术转为常规技术之前）；、新技术应用效果阶段性统计分析（例数、疗效、安全、费用、效益、副作用分析对比，存在的问题与改进情况等）；、新技术不良反应登记、报告、处理记录；、新技术阶段性评估记录（包括终止、重新开展记录）；

（六）新技术改进记录；

（七）开展新技术后研究成果、论文；

（八）新技术转入常规技术的有关资料 包括系统总结、专家组论证报告及记录、医院医疗质量管理委员会讨论记录。

三、资料质量要求

所有归档资料都必须真实、及时、完整。

四、资料归档程序

（一）申请书、专家组论证资料 新技术通过立项批准开展后，即由医务科存档；

（二）开展新技术经常需要参考的资料 由科室保管使用，最终交由医务科归入医院档案室；

（三）临床应用资料在实际运行中同步产生，由所在技术科室积累并负责临时保管，其中定期分析总结资料每季度产生一次，按时交医务科审查，做出相应处理后归档；

（四）新技术转为常规技术时，所有有关资料由医务科收集齐全移交医院档案室。

五、档案资料管理要求

（一）档案资料在技术科室使用和留存期间，必须明确有人兼职负责保管，要建立资料目录，防止丢失，不得擅自撤换、涂改。医务科、档案室应当定期检查指导；

（二）新技术运行中，科室、医疗质量管理部门要合理利用档案资料，充分运用档案信息，及时采取有效措施，发扬成绩，弥补缺陷，提高医疗质量，确保医疗安全。

3.2新技术新业务准入管理制度

一、新技术、新业务的概念

凡是近年来在国内外医学领域具有发展趋势的新项目(即通过新手段取得的新成果)本院尚未开展过的项目和尚未使用的临床医疗、护理新手段，称为新技术、新业务。

二、新技术、新业务的分级

对开展的新项目实行分级管理，按项目的科学性、先进性、实用性、安全性分为国家级、省级、院级。

（一）国家级 具有国际先进水平的新成果，在国内医学领域里尚未开展的项目和尚未使用的医疗、护理新业务。

（二）省级 具有国内先进水平的新成果，在省内尚未开展的新项目和尚未使用的医疗、护理新业务。

（三）院级 具有省内先进水平，在本市及本院尚未开展的新项目和尚未使用的医疗、护理新业务。

三、新技术、新业务准入的必备条件

（一）拟开展的新技术、新项目应符合国家相关法律法规和各项规章制度。

（二）拟开展的新项目应具有科学性、有效性、安全性、创新性和效益性。

（三）拟开展的新技术、新业务所使用的医疗仪器须有《医疗仪器生产企业许可证》、《医疗仪器经营企业许可证》、《医疗仪器产品注册证》和产品合格证，并提供加盖本企业印章的复印件备查；使用资质证件不齐的医疗仪器开展新项目，一律拒绝进入。

（四）拟开展的新项目所使用的药品须有《药品生产许可证》、《药品经营许可证》和产品合格证，进口药品须有《进口许可证》，并提供加盖本企业印章的复印件备查；使用资质证件不齐的药品开展新项目，一律不准进入。

四、新技术、新业务的准入程序

（一）申报 申报者应具有中级以上专业技术职称的本院临床、医技、护理人员，须认真填写《新技术、新业务申请书》，经本科讨论审核，科主任签署意见后报送医务科。

（二）审核 医务科对《新技术、新业务申请书》进行审核合格后，报请医院技术委员会审核、评估，经充分论证并同意准人后，报请院长审批。

（三）审批 拟开展的新技术、新业务报院长和上级有关部门审批后，由财务科负责向市物价部门申报收费标准，批准后方可实施；医保报销与否，由医保办上报上级医保部门审批。

五、可行性论证的主要内容

包括新技术、新业务的来源，国内外开展本项目的现状，开展的目的、内容、方法、质量指标，保障条件及经费，预期结果与效益等。

六、监察措施

（一）新技术、新业务经审批后必须按计划实施，凡增加或撤销项目需经技术委员会审核同意，报院领导批准后方可进行。

（二）医务科每半年对开展的新项目例行检查 1次，项目负责人每半年向医务科书面报告新项目的实施情况。

（三）对不能按期完成的新项目，项目申请人须向技术季员会详细说明原因。技术委员会有权根据具体情况，对项目申请人提出质疑批评或处罚意见。

（四）新技术、新业务准人实施后，应将有关技术资料妥善保存好；新项目验收后，应将技术总结、论文复印件交医务科存档备案。

3.3 证明新技术安全性和有效性的资料

3.4 受试者或代理人签署的知情同意书

焉耆县人民医院

新技术新业务知情同意书

姓名 性别

年龄

病区

床号

住院号 目前诊断：

患者因患

疾病，本医师针对患者病情，告知了目前治疗方案为一种新技术，此项目可能对你带来益处、风险或不适。向患方充分告知，医患达成一致，选择上述治疗方案。由于病情的关系及个体差异，依据现有医学科学技术的条件，施行该新技术可能出现无法预料或不能防范的不良后果和医疗风险。本医师已充分向患者（患者近亲属、代理人）交代说明，一旦发生所述情况，可能加重原有病情或出现新的病变（损害）甚至危及生命，医务人员将按照医疗原则予以尽力抢救，但仍可能产生不良后果。是否同意手术，请书面表明意愿并签字。

经治医师签名：

****年**月**日

时

分

本人系患者（代理人），（患者）因患

疾病，在贵院治疗。经医师向我说明此种治疗方案的优、缺点后，我选择此项新技术进行治疗。对医师以上说明及本页背面举例讲解的各条告知内容及替代方案，我已充分理解，且愿意承担上述风险，同意医师实施上述治疗方案，同时授权委托医师根据治疗过程中病情判断和患者利益，调整治疗方案，并授权委托医师作出合理的处理。因系本人意愿，目前及以后不再对上述问题提出异议。

患者（代理人）签名： 患者近亲属签名： 与患者的关系：

****年**月**日

时

分

本人系患者（代理人），（患者）因患

疾病，需治疗。经医师向我交代各种治疗方案及替代方案的优、缺点后，我已充分理解以上说明及本页背面举例讲解的各条告知内容，并充分理解拒绝此项技术的风险，仍决定拒绝接受上述治疗并承担相应后果。因系本人意愿，目前及以后对此不提出异议。

患者（代理人）签名：

患者近亲属签名： 与患者的关系：

****年**月**日

时

分

可能出现的并发症及不良后果列举如下：

1、治疗过程中根据病情按医疗原则确定治疗方式；

2、因患者病情（危重、复杂、全身条件差）、个体差异，治疗中、治疗后可能发生隐患疾患突发，多器官功能衰竭（如心功能衰竭、呼吸衰竭、肝功能衰竭、肾功能衰竭、DIC等）或者发生难以预料的病情变化，可危及生命；

3、为了达到治疗目的，可能无法避免地损伤周围及附近组织器官；需对相应的器官进行修补或重建；

4、可能使用特殊医疗用品，如化疗泵、吻合器械等；可能使用特殊治疗

5、此项为新技术，可能出现无法预料的风险，可根据情况及时作出相应处理。

第三篇：互联网新闻信息服务新技术新应用安全评估管理规定2017

互联网新闻信息服务新技术新应用安全评

估管理规定

第一条 为规范开展互联网新闻信息服务新技术新应用安全评估工作,维护国家安全和公共利益,保护公民、法人和其他组织的合法权益,根据《中华人民共和国网络安全法》《互联网新闻信息服务管理规定》,制定本规定。

第二条 国家和省、自治区、直辖市互联网信息办公室组织开展互联网新闻信息服务新技术新应用安全评估,适用本规定。

本规定所称互联网新闻信息服务新技术新应用(以下简称“新技术新应用”),是指用于提供互联网新闻信息服务的创新性应用(包括功能及应用形式)及相关支撑技术。

本规定所称互联网新闻信息服务新技术新应用安全评估(以下简称“新技术新应用安全评估”),是指根据新技术新应用的新闻舆论属性、社会动员能力及由此产生的信息内容安全风险确定评估等级,审查评价其信息安全管理制度和技术保障措施的活动。

第三条 互联网新闻信息服务提供者调整增设新技术新应用,应当建立健全信息安全管理制度和安全可控的技术保障措施,不得发布、传播法律法规禁止的信息内容。

第四条国家互联网信息办公室负责全国新技术新应用安全评估工作。省、自治区、直辖市互联网信息办公室依据职责负责本行政区域内新技术新应用安全评估工作。

国家和省、自治区、直辖市互联网信息办公室可以委托第三方机构承担新技术新应用安全评估的具体实施工作。

第五条鼓励支持新技术新应用安全评估相关行业组织和专业机构加强自律,建立健全安全评估服务质量评议和信用、能力公示制度,促进行业规范发展。

第六条互联网新闻信息服务提供者应当建立健全新技术新应用安全评估管理制度和保障制度,按照本规定要求自行组织开展安全评估,为国家和省、自治区、直辖市互联网信息办公室组织开展安全评估提供必要的配合,并及时完成整改。

第七条有下列情形之一的,互联网新闻信息服务提供者应当自行组织开展新技术新应用安全评估,编制书面安全评估报告,并对评估结果负责:

(一)应用新技术、调整增设具有新闻舆论属性或社会动员能力的应用功能的;

(二)新技术、新应用功能在用户规模、功能属性、技术实现方式、基础资源配置等方面的改变导致新闻舆论属性或社会动员能力发生重大变化的。

国家互联网信息办公室适时发布新技术新应用安全评估目录,供互联网新闻信息服务提供者自行组织开展安全评估参考。

第八条互联网新闻信息服务提供者按照本规定第七条自行组织开展新技术新应用安全评估,发现存在安全风险的,应当及时整改,直至消除相关安全风险。

按照本规定第七条规定自行组织开展安全评估的,应当在应用新技术、调整增设应用功能前完成评估。

第九条互联网新闻信息服务提供者按照本规定第八条自行组织开展新技术新应用安全评估后,应当自安全评估完成之日起10个工作日内报请国家或者省、自治区、直辖市互联网信息办公室组织开展安全评估。

第十条报请国家或者省、自治区、直辖市互联网信息办公室组织开展新技术新应用安全评估,报请主体为中央新闻单位或者中央新闻宣传部门主管的单位的,由国家互联网信息办公室组织开展安全评估;报请主体为地方新闻单位或者地方新闻宣传部门主管的单位的,由省、自治区、直辖市互联网信息办公室组织开展安全评估;报请主体为其他单位的,经所在地省、自治区、直辖市互联网信息办公室组织开展安全评估后,将评估材料及意见报国家互联网信息办公室审核后形成安全评估报告。

第十一条互联网新闻信息服务提供者报请国家或者省、自治区、直辖市互联网信息办公室组织开展新技术新应用安全评估,应当提供下列材料,并对提供材料的真实性负责:

(一)服务方案(包括服务项目、服务方式、业务形式、服务范围等);

(二)产品(服务)的主要功能和主要业务流程,系统组成(主要软硬件系统的种类、品牌、版本、部署位置等概要介绍);

(三)产品(服务)配套的信息安全管理制度和技术保障措施;

(四)自行组织开展并完成的安全评估报告;

(五)其他开展安全评估所需的必要材料。

第十二条国家和省、自治区、直辖市互联网信息办公室应当自材料齐备之日起45个工作日内组织完成新技术新应用安全评估。

国家和省、自治区、直辖市互联网信息办公室可以采取书面确认、实地核查、网络监测等方式对报请材料进行进一步核实,服务提供者应予配合。

国家和省、自治区、直辖市互联网信息办公室组织完成安全评估后,应自行或委托第三方机构编制形成安全评估报告。

第十三条新技术新应用安全评估报告载明的意见认为新技术新应用存在信息安全风险隐患,未能配套必要的安全保障措施手段的,互联网新闻信息服务提供者应当及时进行整改,直至符合法律法规规章等相关规定和国家强制性标准相关要求。在整改完成前,拟调整增设的新技术新应用不得用于提供互联网新闻信息服务。

服务提供者拒绝整改,或整改后未达法律法规规章等相关规定和国家强制性标准相关要求,而导致不再符合许可条件的,由国家和省、自治区、直辖市互联网信息办公室依据《互联网新闻信息服务管理规定》第二十三条的规定,责令服务提供者限期改正;逾期仍不符合许可条件的,暂停新闻信息更新;《互联网新闻信息服务许可证》有效期届满仍不符合许可条件的,不予换发许可证。

第十四条组织开展新技术新应用安全评估的相关单位和人员应当对在履行职责中知悉的国家秘密、商业秘密和个人信息严格保密,不得泄露、出售或者非法向他人提供。

第十五条国家和省、自治区、直辖市互联网信息办公室应当建立主动监测管理制度,对新技术新应用加强监测巡查,强化信息安全风险管理,督导企业主体责任落实。

第十六条互联网新闻信息服务提供者未按照本规定进行安全评估,违反《互联网新闻信息服务管理规定》的,由国家和地方互联网信息办公室依法予以处罚。

第十七条申请提供互联网新闻信息服务,报请国家或者省、自治区、直辖市互联网信息办公室组织开展新技术新应用安全评估的,参照适用本规定。

第十八条本规定自2017年12月1日起施行。

第四篇：银行信息安全评估报告

信息安全评估报告

XXXX银行：

根据《商业银行信息科技风险管理指引》要求，信息科技管理部门应定期向总行提交本行信息安全评估报告，结合我行2020信息安全管理情况，现将本信息安全评估情况报告如下：

一、评估目标

信息安全评估的主要目标是通过自评估工作，发现我行信息系统当前面临的主要安全问题，边检查边整改，确保信息系统的安全。

二、评估依据、范围和方法

(一)评估依据：《商业银行信息科技风险管理指引》及省联社相关制度办法。

(二)评估范围：全行信息系统的安全制度管理、安全组织管理、资产管理、人员管理、物理与环境管理、通信与运营管理、访问控制管理、安全事故管理及合规性管理等方面。

(三)评估方法：采用自评估方法。

三、项目评估

(一)安全制度管理。制定了《信息系统安全运行管理办法》《信息安全策略》《信息安全工作管理办法》《信息系统设备管理办法》《信息系统网络设备用户管理办法》等一系列制度办法，明确了职责范围、工作流程，规范了信息系统生产运行安全工作。

评估结论：制定了切合实际的信息系统安全制度。

(二)信息安全组织管理。成立了信息科技管理委员会、信息系统及网络安全工作领导小组、业务连续性管理委员会及相关工作领导小组，制定了相关职责均按要求履行。

评估结论：成立了相关委员会并履行职责。

(三)资产管理。截止2020年11月底，全行共有计算机886台、UPS 87台、发电机78台、ATM机28台、CRS机58台、3G路由器77台、4G路由器5台、高拍仪台216台、扫描153仪台，均按部门按机构建立有电子台账，专人管理，按照“谁使用谁负责”的原则负责设备安全。定期安排对所有设备的使用进行安全检查，及时进行维修，排出隐患。

评估结论：有专人管理有台账，仍需加强日常维护管理。

(四)人员安全管理。一是各岗位的人员具有相应的专业知识和技能。二是重要岗位采取下列风险防范措施：验证个人信息，审核信息科技员工的道德品行，确保其具备相应的职业操守。三是确保员工了解、遵守信息科技策略、指导原则、信息保密、授权使用信息系统、信息科技管理制度和流程等要求，并同员工签订相关协议。四是评估关键岗位信息科技员工流失带来的风险，做好安排候补员工和岗位接替计划等防范措施；在员工岗位发生变化后及时变更相关信息。五是明确其岗位权限。

评估结论：配备有专职信息科技人员，但人员配备不足，专业胜任能力有待提高，对关键岗位人员流失带来的风险缺乏有效应对措施。

(五)物理与环境安全管理。设立有物理安全保护区域，如计算机中心机房、放置网络设备的专用机房或标准化机柜等重要信息科技设备的区域，明确相应的职责，配置了网络设备和应用程序使用的网络协议和端口。内部网络内容过滤、逻辑访问控制、传输加密、网络监控、记录活动日志等均由省联社按照级别进行了控制。

评估结论：有物理与环境安全防护措施，但仍然存在使用U盘等移动介质带来的病毒感染风险和安全风险。

(六)通信与运营管理。截止2020年11月末我行生产业务租用电信公司SDH线路77条连接市中心机房，线路带宽4M，总行营业部直连市中心机房,生产备用线路租用联通公司3G SIM卡77个连接市中心无线链路业务路由，OA业务租用移动公司MSTP线路77条连接市中心机房，带宽50M，总行营业部直连市中心机房带，生产业务市中心机房2条MSTP 线路连接省中心机房运营商分别为电信公司和联通公司,线路带宽20M。OA业务市中心机房2条MSTP线路连接省中心机房运营商分别为电信公司和移动公司，线路带宽20M。核心路由、核心交换、无线链路业务路由均在市中心机房。

评估结论：生产网主线路稳定，业务办理流畅。但备用线路存在山区网络信号差、不稳定现象，亟需更换4G及以上路由器。

(七)访问控制管理。登陆所有系统均采用个人用户名、密码及柜员卡登陆，用户名实行终身制，一人一卡，卡随人走，并要求定期修改密码。用户调动到新的工作岗位或离开我行时，在系统中及时检查、更新或注销用户身份。

评估结论：系统用户访问控制制度完善，在实际操作中需加强与综合部的沟通，及时将调整人员做系统变更。

(八)系统开发与维护管理。除省联社托管系统外，我行无自建系统。现有的系统全部由省联社开发、测试和运维。

评估结论：无自建系统，本行不涉及。

(九)信息安全事故管理。建立有应急预案及应急处置报告制度，各级机构及时响应信息系统运行事故，逐级向相关的信息科技管理人员报告事故的发生，并进行记录、分析和跟踪，直到完成彻底的处置和根本原因分析。省联社建立有专门处理问题的服务电话，为用户提供相关技术问题的在线支持，并将问题提交给相关信息科技部门进行调查和解决。

评估结论：我行的信息系统从未发生不安全事故，但仍需不断提升应急处置能力和风险防范能力，杜绝不安全事故的发生。

(十)合规性管理。指定了风险管理部专人负责信息科技风险管理，负责协调制定有关信息科技风险管理策略，尤其是在涉及信息安全、业务连续性计划和合规性风险等方面，为业务部门和信息科技部门提供建议及相关合规性信息，实施持续信息科技风险评估，跟踪整改意见的落实，监控信息安全威胁和不合规事件的发生。

评估结论：我行信息系统安全管理均按上级监管部门和管理部门相关制度执行，合规到位。

三、评估总结

通过以上对信息系统安全的自查自评，总的来看，我行的信息系统安全体系较为完善，但仍然存在一定的风险和隐患。比如来自不可控互联网的外部攻击威胁和内部人员的操作风险等。一是要进一步加强员工信息安全意识教育，严格网络与信息安全管理制度，提高网络安全及信息安全工作的主动性和自觉性，增强对安全防范意识和处置能力。二是要加快信息系统基础设施建设，通过安全设施与管理相结合，使安全风险可控，杜绝不安全事故的发生。

信息管理部

第五篇：网络信息安全评估报告

计算机信息安全评估报告

如何

实

现

如

下

图

所

示

可用性1.人们通常采用一些技术措施或网络安全设备来实现这些目标。例如：

使用防火墙，把攻击者阻挡在网络外部，让他们“迚不来”。

即使攻击者迚入了网络内部，由于有加密机制，会使他们“改不了”和“拿不走”关 键信息和资源。

机密性2机密性将对敏感数据的访问权限控制在那些经授权的个人，只有他们才能查看数据。机密性可防止向未经授权的个人泄露信息，或防止信息被加工。

如图所示，“迚不来”和“看不懂”都实现了信息系统的机密性。

人们使用口令对迚入系统的用户迚行身份鉴别，非法用户没有口令就“迚不来”，这就保证了信息系统的机密性。

即使攻击者破解了口令，而迚入系统，加密机制也会使得他们“看不懂”关键信息。例如，甲给乙发送加密文件，只有乙通过解密才能读懂其内容，其他人看到的是乱码。由此便实现了信息的机密性。

完整性3如图所示，“改不了”和“拿不走”都实现了信息系统的完整性。使用加密机制，可以保证信息系统的完整性，攻击者无法对加密信息迚行修改或者复制。

不可抵赖性4如图所示，“跑不掉”就实现了信息系统的不可抵赖性。如果攻击者迚行了非法操作，系统管理员使用审计机制或签名机制也可让他们无所遁形

对考试的机房迚行“管理制度”评估。（1）评估说明

为规范管理,保障计算机设备的正常运行,创造良好的上机环境,必须制定相关的管理制度

（2）评估内容

没有建立相应信息系统运行管理规程、缺陷管理制度、统计汇报制度、运维流程、值班制度，没有实行工作票制度；机房出入管理制度上墙，但没有机房迚出情况记录（3）评估分析报告

所存在问题：1没有系统的相关负责人，机房也是谁人都可以自由出入。2在上机过程中做与学习无关的工作。3机房财产规划不健全等（4）评估建议

1、计算机室的管理由系统管理员负责，非机房工作人员未经允许不准迚入。未经许可不得擅自上机操作和对运行设备及各种配置迚行更改。

2、保持机房内清洁、安静，严禁机房内吸烟、吐痰以及大声喧哗；严禁将易燃、易爆、易污染和强磁物品带入机房。

3、机房内的一切物品，未经管理员同意，不得随意挪动，拆卸和带出机房。

4、上机时，应先认真检查机器情况，如有问题应及时向机房管理员反应。

5、上机人员不得在机房内迚行与上机考试无关的计算机操作。

6、上机时应按规定操作，故意或因操作不当造成设备损坏，除照价赔偿外，视情节轻重给予处罚。对考试的机房迚行“物理安全”评估。（1）评估说明

防火，防水，防尘，防腐蚀，主机房安装门禁、监控与报警系统。（2）评估内容 主机房没有安装门禁、监控系统，有消防报警系统。（3）评估分析报告

没有详细的机房配线图，机房供甴系统将动力、照明用甴与计算机系统供甴线路是分开的，机房没有配备应急照明装置，有定期对UPS的运行状况迚行检测但没有检测记录。

（4）评估建议

有详细的机房配线图，机房供甴系统将动力、照明用甴与计算机系统供甴线路分开，机房配备应急照明装置，定期对UPS的运行状况迚行检测（查看半年内检测记录）对考试的机房迚行“计算机系统安全”评估。（1）评估说明

应用系统的角色、权限分配有记录；用户账户的变更、修改、注销有记录（半年记录情况）；关键应用系统的数据功能操作迚行审计幵迚行长期存储；对关键应用系统有应急预案；关键应用系统管理员账户、用户账户口令定期迚行变更；新系统上线前迚行安全性测试。

（2）评估内容

营销系统的角色、权限分配有记录，其余系统没有；用户账户的变更、修改、注销没有记录；关键应用系统的数据功能操作没有迚行审计；没有针对关键应用系统的应急预案；关键应用系统管理员账户、用户账户口令有定期迚行变更；有些新系统上线前没有迚行过安全性测试。

（3）评估分析报告

网络中的防火墙位置部署合理，防火墙规则配置符合安全要求，防火墙规则配置的建立、更改有规范申请、审核、审批流程，对防火墙日志迚行存储、备份。

（4）评估建议

完善系统的角色、权限分配有记录；记录用户账户的变更、修改、注销（半年记录情况）；关键应用系统的数据功能操作迚行审计；制定针对关键应用系统的应急预案；关键应用系统管理员账户、用户账户口令定期迚行变更；新系统上线前应严格按照相关标准迚行安全性测试。

对考试的机房迚行“网络与通信安全”评估。（1）评估说明

按标准部署身份认证系统、安全管理平台、针对安全设备的日志服务器，采用漏洞扫描系统，重要系统一年迚行一次信息安全风险评估。

（2）评估内容

没有部署身份认证系统、安全管理平台，没有漏洞扫描系统，重要系统没有迚行信息安全风险评估，没有部署针对安全设备的日志服务器。

（3）评估分析报告

按标准部署身份认证系统、安全管理平台、针对安全设备的日志服务器，采用漏洞扫描系统，重要系统一年迚行一次信息安全风险评估。

（4）评估建议

部署身份认证系统、安全管理平台，采用漏洞扫描系统，重要系统一年内迚行信息安全风险评估，部署针对安全设备的日志服务器。

信息安全评估：

对考试的机房迚行“日志与统计安全”评估。（1）评估说明

每天计算机上机记录日志在册，对系统迚行不定时的还原。对本局半年内发生的较大的、或者发生次数较多的信息安全事件迚行汇总记录，形成本单位的安全事件列表

（2）评估内容

已成立了信息安全领导机构，但尚未成立信息安全工作机构。

（3）评估分析报告

局域网核心交换设备、城域网核心路由设备应采取设备冗余或准备备用设备，不允许外联链路绕过防火墙，具有当前准确的网络拓扑结构图

（4）评估建议

完善信息安全组织机构，成立信息安全工作机构。