等级保护三级承诺书

第一篇：等级保护三级承诺书

承诺书

中国交通通信信息中心：

根据〘关于认真贯彻〖道路运输车辆卫星定位系统平台技术要求〗和〖道路运输车辆卫星定位系统车载终端技术要求〗两项标准的通知〙（交运发〔2011〕158号）、〘关于进一步开展交通运输行业信息安全等级保护工作的通知〙（厅科技字〔2012〕120号）以及〘道路运输车辆卫星定位系统平台和道路运输车辆卫星定位系统车载终端标准符合性审查办法（试行）〙（中交通信字〔2011〕75号）的规定，我公司承诺于2013年12月31日前，按照交通运输部关于行业信息安全等级保护工作的要求提交XXXX（平台名称）的信息系统安全等级保护三级备案证明和测评报告。如未按期完成，愿意接受从符合性审查公告目录中删除的处理。

二〇一二年 月 日

第二篇：业务全网等级保护三级整改建设案例

业务全网等级保护三级整改建设案例

背景

某政府机关单位为保证其核心业务应用的持续、稳定运行，实现各核心业务应用之间信息的安全共享，该单位按照《信息安全等级保护管理办法》（公通字[2007]43号）文件精神，结合自身核心业务系统特点开展信息安全等级保护建设整改工作。

在项目推进的前期准备阶段，该单位信息中心对自身业务系统的安全状况，邀请了专业的第三方等级保护咨询服务商进行了深入的调研和评估，梳理和整理了当前运行的所有业务系统，并依据《信息系统等级保护定级指南》对自身核心业务系统的保护进行了定级备案、差距分析与风险评估、安全规划等一系列准备工作。上级单位通过了该单位等级保护整改建设方案的评审，该单位等级保护工作正式进入整改建设阶段。

安全需求

核心信息系统部署于内网，外网区域部署了若干对外发布应用服务和网站，内外网需要物理隔离。

办公区域分为内网办公区和外网办公区，外网办公区有无线办公环境、虚拟化办公环境及传统PC办公环境。

根据等级保护建设前期调研、评估过程，依据《GB 17859-1999 信息安全技术 信息系统安全保护等级定级指南》和第三方等级保护咨询机构的建议，最终确定本次等级保护建设需求如下：

1.明确安全域、线路和节点冗余设计，实现动态流量优先级控制；

2.各个网络区域边界没有访问控制措施；

3.互联网出口需要重点的安全防护和冗余设计；

4.提高安全维护人员对入侵行为的检测能力； 5.对内部人员访问互联网进行控制和审计；

6.加强网站应用的安全防护措施；

7.建立符合等级保护要求的内部审计机制；

8.构建基于用户身份的网络准入控制体系；

9.从业务角度出发，强化应用安全、保护隐私数据；

10.建立并保持一个文件化的信息安全管理体系，明确管理职责、规范操作行为。

方案设计

通过对现状资产梳理，差距分析后，先将整体网络架构重新设计，如下图：

安全技术层面： 物理安全：机房要满足等保三级基础要求。

网络安全：网络结构进行优化，所有核心节点全冗余部署，同时还要有网络优先级控制；互联网出口部署抗拒绝服务攻击设备；同时由于双出口运营商，部署链路负载均衡实现智能选路；所有安全区域边界位置部署NGAF，开启FW、IDS、WAF、AV模块；互联网出口区域部署AC，实现应用阻截、流控和网络行为审计功能；内外网之间部署网闸设备和VDS；无线环境总出口部署WAC实现无线认证和管控。

主机安全：服务器及用户终端统一安装网络杀毒软件；服务器及用户终端统一安装必要的终端安全管理系统；进行人工干预的安全加固工作；虚拟化办公环境部署ADesk瘦终端，与VDS实现连接后，通过网闸摆渡图像数据，实现远程虚拟化访问，确保主机自身安全性。

应用安全：使用统一认证系统进行身份管理和认证管理；重要业务访问建立安全加密连接，通过部署AD实现SSL卸载；业务服务器前端部署服务器负载均衡实现通信可用性保障；建立CA系统保证抗抵赖机制；实行代码审计工作防御应用级安全漏洞；远程办公用户可通过连接SSL VPN进行应用的授权登陆和加密访问；部署APM实时监控应用服务的性能和审计信息；通过虚拟化技术访问远端应用，借助单点登录技术及强认证访问控制实现虚拟化应用的安全访问和操作。

数据安全：建立备份恢复机制，部署备份服务器和存储系统；建立异地灾备设施；重要数据的存储进行加密和离线处理；建立备份恢复检验机制；异地存储的线路和总部到分支机构的线路间可部署WOC进行优化；通过虚拟化安全桌面技术和服务器/存储虚拟化技术，经过网闸的图像数据摆渡，实现数据的不落地操作，确保敏感数据的不外泄及链路传输的保密性原则。

安全管理层面：部署安全管理中心SOC进行全网管控；编写对应安全管理制度、安全管理机构设定、人员安全管理规范、系统建设管理规范、系统运维管理规范。用户收益

· 明确了重要系统的业务边界，优化原有的网络结构

依据等级保护分域保护思想，为该单位规划了不同功能的安全区域，为该单位今后业务发展以及后续网络安全基础设施的部署和安全策略的实现提供坚实的基础。

· 充分利用多种安全技术手段，提升了业务系统边界保护能力

依据相关等级别保护设计标准，通过部署下一代防火墙以及安全审计等多种安全防护产品，增强了不同区域间业务用户访问控制能力，提升了该单位边界抵御内部攻击行为的能力。

· 从多个层面初步建立了完善的审计机制

安全审计是等级保护中十分强调和关注的安全机制，针对该单位审计能力不足的问题，项目建设中通过分析业务的关键路径和操作行为习惯，设计并部署了网络审计、数据库审计等多种探测引擎，针对用户不同层面，不同视角的业务操作进行审计跟踪，从而国家等级保护部门和上级主管部门对该单位业务的安全监管要求，以及组织内部责任追溯的业务诉求。

· 实现该单位对敏感个人隐私信息的有效保护

依据等级保护关于身份鉴别、可信数字电文的有关要求，实现对该单位业务系统敏感信息机密性、完整性的全面保护，保障了统计上报数据中关于个人及组织的合法利益。

· 明确人员安全管理职责，提高了系统安全运维安全管理水平

本次建设该单位在等级保护技术体系建设的同时，还配合大量的咨询、服务的配合与支撑，提高该单位业务系统安全运维的效率和管理水平。

第三篇：等级保护三级信息系统和二级不同的项

第一章 网络安全测评

1.1网络全局

1.1.1结构安全（G3）

a)应保证主要网络设备的业务处理能力具备冗余空间，满足业务高峰期需要；（2级为关键网络设备）

b)应保证网络各个部分的带宽满足业务高峰期需要；（2级为接入网络和核心网络）c)应在业务终端与业务服务器之间进行路由控制建立安全的访问路径；（2级无此项）d)应绘制与当前运行情况相符的网络拓扑结构图；

e)应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段；

f)应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要网段与其他网段之间采取可靠的技术隔离手段；（2级无此项）

g)应按照对业务服务的重要次序来指定带宽分配优先级别，保证在网络发生拥堵的时候优先保护重要主机。（2级无此项）

1.1.2边界完整性检查（S3）

a)应能够对非授权设备私自联到内部网络的行为进行检查，准确定出位置，并对其进行有效阻断；（2级无此项）

b)应能够对内部网络用户私自联到外部网络的行为进行检查，准确定出位置，并对其进行有效阻断。（内部网络中出现的内部用户未通过准许）

1.1.3入侵防范（G3）

a)应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等；

b)当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警。（2级无此项）

1.1.4恶意代码防范（G3）（2级无此项）

a)应在网络边界处对恶意代码进行检测和清除； b)应维护恶意代码库的升级和检测系统的更新。

1.2网络设备和安全设备

1.2.1访问控制（G3）

a)应在网络边界部署访问控制设备，启用访问控制功能；

b)应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级；（2级为网段级）c)应对进出网络的信息内容进行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制；（2级无此项）

d)应在会话处于非活跃一定时间或会话结束后终止网络连接；（2级无此项）e)应限制网络最大流量数及网络连接数；（2级无此项）f)重要网段应采取技术手段防止地址欺骗；（2级无此项）

g)应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户；

h)应限制具有拨号访问权限的用户数量。

1.2.2安全审计（G3）

a)应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录； b)审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；

c)应能够根据记录数据进行分析，并生成审计报表；（2级无此项）

d)应对审计记录进行保护，避免受到未预期的删除、修改或覆盖等。（2级无此项）

1.2.3网络设备防护（G3）

a)应对登录网络设备的用户进行身份鉴别； b)应对网络设备的管理员登录地址进行限制； c)网络设备用户的标识应唯一；

d)主要网络设备应对同一用户选择两种或两种以上组合的鉴别技术来进行身份鉴别；（2级无此项）

e)身份鉴别信息应具有不易被冒用的特点，口令应有复杂度要求并定期更换； f)应具有登录失败处理功能，可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施；

g)当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听；

h)应实现设备特权用户的权限分离。（2级无此项）

第二章 主机安全

操作系统测评和数据库系统测评 2.1身份鉴别（S3）

a)应对登录操作系统和数据库系统的用户进行身份标识和鉴别；

b)操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换；

c)应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施； d)当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听；

e)应为操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有唯一性。

f)应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别。（2级无此项）

2.2访问控制（S3）

a)应启用访问控制功能，依据安全策略控制用户对资源的访问；

b)应根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权限；（2级无此项）

c)应实现操作系统和数据库系统特权用户的权限分离；

d)应严格限制默认帐户的访问权限，重命名系统默认帐户，修改这些帐户的默认口令； e)应及时删除多余的、过期的帐户，避免共享帐户的存在。f)应对重要信息资源设置敏感标记；（2级无此项）

g)应依据安全策略严格控制用户对有敏感标记重要信息资源的操作；（2级无此项）

2.3安全审计（G3）

a)审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户； b)审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件；

c)审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等； d)应能够根据记录数据进行分析，并生成审计报表；（2级无此项）e)应保护审计进程，避免受到未预期的中断；（2级无此项）f)应保护审计记录，避免受到未预期的删除、修改或覆盖等。

2.4剩余信息保护（S3）（仅操作系统）（2级无此项）

a)应保证操作系统和数据库系统用户的鉴别信息所在的存储空间，被释放或再分配给其他用户前得到完全清除，无论这些信息是存放在硬盘上还是在内存中；

b)应确保系统内的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前得到完全清除。

2.5入侵防范（G3）（仅操作系统）

a)应能够检测到对重要服务器进行入侵的行为，能够记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报警；（2级无此项）b)应能够对重要程序的完整性进行检测，并在检测到完整性受到破坏后具有恢复的措施；（2级无此项）

c)操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序，并通过设置升级服务器等方式保持系统补丁及时得到更新。

2.6恶意代码防范（G3）（仅操作系统）

a)应安装防恶意代码软件，并及时更新防恶意代码软件版本和恶意代码库； b)主机防恶意代码产品应具有与网络防恶意代码产品不同的恶意代码库；（2级无此项）

c)应支持防恶意代码的统一管理。

2.7资源控制（A3）（数据库系统仅a、b、d）

a)应通过设定终端接入方式、网络地址范围等条件限制终端登录； b)应根据安全策略设置登录终端的操作超时锁定；

c)应对重要服务器进行监视，包括监视服务器的CPU、硬盘、内存、网络等资源的使用情况；（2级无此项）

d)应限制单个用户对系统资源的最大或最小使用限度；

e)应能够对系统的服务水平降低到预先规定的最小值进行检测和报警。（2级无此项）

第三章 应用安全测评

3.1身份鉴别（S3）

a)应提供专用的登录控制模块对登录用户进行身份标识和鉴别；

b)应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别；（2级无此项）

c)应提供用户身份标识唯一和鉴别信息复杂度检查功能，保证应用系统中不存在重复用户身份标识，身份鉴别信息不易被冒用；

d)应提供登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施； e)应启用身份鉴别、用户身份标识唯一性检查、用户身份鉴别信息复杂度检查以及登录失败处理功能，并根据安全策略配置相关参数。

3.2访问控制（S3）

a)应提供访问控制功能，依据安全策略控制用户对文件、数据库表等客体的访问； b)访问控制的覆盖范围应包括与资源访问相关的主体、客体及它们之间的操作； c)应由授权主体配置访问控制策略，并严格限制默认帐户的访问权限；

d)应授予不同帐户为完成各自承担任务所需的最小权限，并在它们之间形成相互制约的关系。

e)应具有对重要信息资源设置敏感标记的功能；（2级无此项）

f)应依据安全策略严格控制用户对有敏感标记重要信息资源的操作；（2级无此项）

3.3安全审计（G3）

a)应提供覆盖到每个用户的安全审计功能，对应用系统重要安全事件进行审计； b)应保证无法单独中断审计进程，无法删除、修改或覆盖审计记录；

c)审计记录的内容至少应包括事件的日期、时间、发起者信息、类型、描述和结果等； d)应提供对审计记录数据进行统计、查询、分析及生成审计报表的功能。（2级无此项）

3.4剩余信息保护（S3）（2级无此项）

a)应保证用户鉴别信息所在的存储空间被释放或再分配给其他用户前得到完全清除，无论这些信息是存放在硬盘上还是在内存中；

b)应保证系统内的文件、目录和数据库记录等资源所在的存储空间被释放或重新分配给其他用户前得到完全清除。

3.5通信完整性（S3）

应采用密码技术保证通信过程中数据的完整性。（2级为校验码技术）

3.6通信保密性（S3）a)在通信双方建立连接之前，应用系统应利用密码技术进行会话初始化验证； b)应对通信过程中的整个报文或会话过程进行加密。（2级为敏感信息字段）

3.7抗抵赖（G3）（2级无此项）

a)应具有在请求的情况下为数据原发者或接收者提供数据原发证据的功能； b)应具有在请求的情况下为数据原发者或接收者提供数据接收证据的功能。

3.8软件容错（A3）

a)应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的数据格式或长度符合系统设定要求；

b)应提供自动保护功能，当故障发生时自动保护当前所有状态，保证系统能够进行恢复。（在故障发生时，应用系统应能够继续提供一部分功能，确保能够实施必要的措施）

3.9资源控制（A3）

a)当应用系统的通信双方中的一方在一段时间内未作任何响应，另一方应能够自动结束会话；

b)应能够对系统的最大并发会话连接数进行限制； c)应能够对单个帐户的多重并发会话进行限制；

d)应能够对一个时间段内可能的并发会话连接数进行限制；（2级无此项）e)应能够对一个访问帐户或一个请求进程占用的资源分配最大限额和最小限额；（2级无此项）

f)应能够对系统服务水平降低到预先规定的最小值进行检测和报警；（2级无此项）g)应提供服务优先级设定功能，并在安装后根据安全策略设定访问帐户或请求进程的优先级，根据优先级分配系统资源。（2级无此项）

第四章 数据安全测评

4.1数据完整性（S3）

a)应能够检测到系统管理数据、鉴别信息和重要业务数据在传输过程中完整性受到破坏，并在检测到完整性错误时采取必要的恢复措施；

b)应能够检测到系统管理数据、鉴别信息和重要业务数据在存储过程中完整性受到破坏，并在检测到完整性错误时采取必要的恢复措施。（2级无此项）

4.2数据保密性（S3）

a)应采用加密或其他有效措施实现系统管理数据、鉴别信息和重要业务数据传输保密性；（2级无此项）

b)应采用加密或其他保护措施实现系统管理数据、鉴别信息和重要业务数据存储保密性。（的）

4.3备份和恢复（A3）

a)应提供本地数据备份与恢复功能，完全数据备份至少每天一次，备份介质场外存放；（2级为应能够对重要信息进行备份和恢复。）

b)应提供异地数据备份功能，利用通信网络将关键数据定时批量传送至备用场地； c)应采用冗余技术设计网络拓扑结构，避免关键节点存在单点故障；

d)应提供主要网络设备、通信线路和数据处理系统的硬件冗余，保证系统的高可用性。（2级为关键网络设备）

第四篇：三级医院等级评审实施方案

三级医院等级评审工作实施方案

为促进医院加强内涵建设，保证医疗安全，持续改进服务质量，提高医院管理水平和服务效率，切实促进我院的发展，根据卫生部《医院评审暂行办法》（卫医管发[2011]75号）、《三级综合医院评审标准实施细则（2011年版）》的要求，以及2012年湖南省卫生工作会议精神，结合我院的实际情况，力争在第二周期三级综合性医院等级评审中确保“三甲”医院等级。为此，特制订医院三级医院等级评审迎评工作实施方案。

一、指导思想

坚持以评促建、以评促改、评建并举、重在内涵的方针，围绕质量、安全、服务、管理、绩效，体现以病人为中心。严格按照卫生部《医院评审暂行办法》（卫医管发[2011]75号）、《三级综合医院评审标准实施细则（2011年版）》的要求, 从细、从实、从严加强管理，提高工作质量，增强服务功能，推进学科建设，构建和谐医院，促进医院全面、协调、可持续发展，全面达到三级甲等医院目标。

二、目标要求

通过建立以院长挂帅的迎评机构及体系，全员发动，以卫生部及湖南省卫生厅“三级综合医院评审标准”为依据，认真学习，扎实培训，对照标准自查与整改，逐条达标，确保公立医院的公益性，保证患者安全，使患者享受优质高效价廉的医疗护理，实现医院管理科学化、规范化、标准化，建立有效的医院管理持续改进体系。

三、领导机构与工作体系

为更好地组织、领导和指挥三级综合医院评审准备活动，保障迎评工作严密有序进行，医院建立“三级医院等级评审”领导机构与工作体系：

（一）领导小组 组 长： 副组长： 成 员：

（二）办公室

设立三级医院等级评审专门办公室，该办工作人员全脱产开展工

作，各成员在领导小组的统一领导下，密切配合，积极参与，各司其职，确保人员到位，责任到位，工作到位。

主 任： 副主任： 成 员： 秘 书：

（三）评审办职责

1、负责制定迎评工作实施方案和具体工作计划，解读《三级综合医院评审标准》和《三级综合医院评审标准实施细则》指标内涵，明确和细化迎评工作内容和目标任务，以及全院各项迎评任务的安排工作；

2、为院领导小组决策提供信息服务以及迎评需要的对外联络工作；

3、负责组织、推动评审工作按计划、分步骤进行；

4、负责组织关于迎评工作全院性的学习、培训和考试工作；

5、组织召开迎评领导工作小组会议；

6、组织部门及科室迎评工作的督查活动，并及时提出反馈及整改建义；

7、督促各单位（部门）各项迎评工作的落实；

8、定期向评审工作领导小组汇报迎评工作的进展情况，并就特殊性问题提交讨论；

9、负责迎评资料的收集、整理、汇编、建档工作；

10、完成迎评领导小组交办的有关工作；

11、负责专家评审工作的陪检人员安排。

（四）医院评审督查专家组 组 长： 副组长： 成 员： 秘 书：

四、实施步骤

（一）准备阶段

迎评工作分为宣传动员、自查整改、整改提高、督查促进、持续

改进、再次自查、继续改进、再次督查、总结完善、申报评审十个阶段实施。

第一阶段（4月份）：宣传动员，提高认识。

高度重视三级甲等医院创建活动，做好宣传动员，提高认识，组织全院职工认真学习等级医院评审标准，提高对创建活动重要性的认识，掌握等级医院评审标准的主要内容、方法和要求。评审办根据《三级综合医院评审标准实施细则（2011年版）》的要求和我院实际情况，分解任务，落实到科室部门和责任人。

第二阶段（5月1日—5月30日）：自查整改。

根据评审办分解的任务，各科室部门和责任人落实各项内容，对照评审标准，查缺补漏，健全各项制度，完善医疗规范，强化三基三严，充实技术项目。评审办组织医院评审督查专家组考核检查，形成书面报告上报领导小组，提出整改意见，针对普遍问题、薄弱环节，重点突破。向全院反馈检查结果。

第三阶段（6月1日—6月15日）：整改提高。

各科室部门根据检查检查反馈结果，找出工作中存在的不足，根据评审办的整改意见，提出本科室部门具体的整改措施加以整改。重点是项目内容空缺部分，一定要在本阶段制定计划、逐一落实解决。

第四阶段（6月16日—6月31日）：督查促进。

邀请省卫生厅医政处相关领导及专家来我院指导、督查，促进各项评审准备工作的全面改善和提高。评审办根据省卫生厅专家组检查结果，形成书面报告上报领导小组，提出进一步整改意见，针对核心要素的实际情况，重点整改。向全院反馈检查结果。

第五阶段（7月1日—7月15日）：持续改进。

各科室部门根据卫生厅专家检查反馈检查结果和整改意见，进一步找出工作中存在的不足，提出本科室部门具体的整改措施加以整改。重点是核心要素的落实。

第六阶段（7月16日—7月30日）：再次自查。

评审办再次组织医院评审督查专家组考核检查，形成书面报告上报领导小组，重点是查缺补漏。向全院反馈检查结果。

第七阶段（8月1日—8月15日）：继续改进。

各科室部门根据医院评审督查专家组检查反馈检查结果和整改

意见，进一步找出工作中存在的不足，提出本科室部门具体的整改措施加以整改。重点是核心要素的落实。

第八阶段（9月16日—9月31日）：再次督查。

再次邀请省卫生厅医政处相关领导及专家来我院指导、督查，促进各项评审准备工作的全面改善和提高。评审办根据省卫生厅专家组检查结果，形成书面报告上报领导小组，提出进一步整改意见，针对A类指标的实际情况，重点整改。向全院反馈检查结果。

第九阶段（10月1日—11月31日）：总结完善。

各科室部门根据卫生厅专家再次检查反馈检查结果和整改意见，进一步找出工作中存在的不足，提出本科室部门具体的整改措施加以整改。重点是持续不断改进。

第十阶段（12月1日—12月30日）：申报评审。

评审办根据卫生部《医院评审暂行办法》，准备评审申请材料上报领导小组审查，审查通过后上报卫生厅医政处。

四、工作方法

1.全面自查：各职能部门及科室，根据本部门、科室的工作情况，按照评审标准的要求，逐条对照检查，对没有做到位的工作及时完善，对自己确实难以完成、需要医院支持的以书面形式报评审办，由评审办与医院领导协调解决。各职能部门及科室工作要衔接，各种资料要相互对应。

2.医院评审督查专家组检查：评审办定期组织医院评审督查专家组进行检查，对存在的普遍问题、薄弱环节，重点突破。

3.邀请卫生厅专家督查：邀请省卫生厅医政处领导以及省评审专家进行指导和督查。

4.持续改进：各科室部门要根据每次检查、督查的结果提出具体的整改措施，并认真落实整改。

5.所有评审过程的自查、检查、整改都要保留原始记录。

六、具体措施

（一）针对薄弱环节重点突破。以学习、创建、建立、实践、完善、提高为主线，以质量、安全、服务为主题。

1、学习和掌握三级综合医院评审标准：自学和组织集中学习两种方式，医院和科室或部门两个层次，管理人员和非管理人员两种要

求。

2、学习管理知识：全院职工统一思想，把握评审标准的主题和内涵，以管理人员为主体，结合自身岗位，刻苦钻研和学习管理知识。

3、学习业务知识：加强医务人员基本理论、基本知识、基本技能的培训、学习和考核，夯实医务人员自身素质，以高于三级甲等医院要求的业务能力迎接等级医院的评审。

4、建立院科两级的质量安全管理体系：各科室及部门，总结和组织学习本专业或部门的标准及管理规范，建立各专业或部门的质量安全管理规范，按照本专业或部门的标准和要求建立院科两级管理组织，通过实践、督查、改正即“PDCA”循环，不断丰富和完善质量安全管理体系。

5、分析和总结普遍性、薄弱性、重点性、关键性问题（如临床技能、病历书写等），成立机构或指派专人按时间和要求完成任务。

（二）实行责任追究制度，严格有关评审工作组织、管理、实施奖惩办法（具体措施另行制定）。

七、工作要求

（一）统一认识，明确目标。

医院各科室要进一步提高对三级综合性医院等级评审重要性的认识，要克服松懈情绪，以评审三级甲等医院为抓手，全面提高医院服务的能力和水平。

（二）加强领导，完善措施。

部门及科室负责人为执行的第一责任人，开展动员组织部署，调动部门及科室医务人员的积极性，制定完善措施和制度，确保评审工作顺利进行。

（三）突出重点，持续改进。

针对医院管理中的薄弱环节做好整改工作，改进思维模式和管理习惯，坚持“以人为本”、“以病人为中心”，走以内涵建设为主、内涵与外延相结合的发展道路，持之以恒地予以推动。

二○一二年八月六日

第五篇：安全等级保护管理办法

安全等级保护管理办法

为规范信息安全等级保护管理，提高信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化建设，根据《中华人民共和国计算机信息系统安全保护条例》等有关法律法规制定以下办法：

第1条 网络安全策略管理由安全保密管理员专职负责，未经允许任何人不得进行此项操作。

第2条 根据网络信息系统的安全设计要求及主机审计系统数据的分析结果，制定、配置、修改、删除主机审计系统的各项管理策略，并做记录。

第3条 根据网络信息系统的安全设计要求制定、配置、修改、删除网络安全评估分析系统的各项管理策略，并做记录。

第4条 根据网络信息系统的安全设计要求制定、配置、修改、删除入侵检测系统的各项管理策略，并做记录。

第5条 根据网络信息系统的安全设计要求制定、配置、修改、删除、内网主机安全监控与审计系统的各项管理策略，并做记录。

第6条 每周对网络信息系统安全管理策略进行数据备份，并作详细记录。第7条 网络信息安全技术防护系统（主机审计系统、漏洞扫描系统、防病毒系统、内网主机安全监控与审计系统）由网络安全保密管理员统一负责安装和卸载。

第8条 网络信息系统安全检查由安全保密管理员专职负责执行，未经允许任何人不得进行此项操作。

第9条 每天根据入侵检测系统的系统策略检测、审计系统日志，检查是否有网络攻击、异常操作、不正常数据流量等，对异常情况做及时处理，遇有重大安全问题上报保密局，并做详细记录。

第10条 每周登陆入侵检测系统产品网站，下载最新升级文件包，对系统进行更新，并做详细记录。

第11条 每月通过漏洞扫描系统对网络系统终端进行安全评估分析，并对扫描结果进行分析，及时对终端系统漏洞及安全隐患进行处理，作详细记录，并将安全评估分析报告上报保密办。

第12条 每周登录全评估产品网站，下载最新升级文件包，对系统进行更新，并作详细记录。

第13条 每周备份入侵检测系统和漏洞扫描系统的审计信息，并作详细记录。第14条 涉密计算机安全管理由安全保密管理员专人负责，未经允许任何人不得进行此项操作。

第15条 根据网络系统安全设计要求制定、修改、删除涉密计算机安全审计策略，包括打印控制策略、外设输入输出控制策略、应用程序控制策略，并做记录。

第16条 每日对涉密计算机进行安全审计，及时处理安全问题，并做详细记录，遇有重大问题上报保密部门。

第17条 涉密计算机的新增、变更、淘汰需经保密部门审批，审批通过后由安全保密管理员统一进行操作，并做详细记录。

第18条 新增涉密计算机联入涉密网络，需经保密局审批，由安全保密管理员统一进行操作，并做详细记录。