信息网络安全等级保护

第一篇：信息网络安全等级保护

信息网络安全等级保护

自检自查报告

临河人民医院的的信息网络安全建设在上级部门的 关心指导下，近年取得了快速的进步和发展，根据市卫生局《关于开展信息系统等级保护检查工作的通知》文件精神和要求及接到公安局文件后，医院高度重视，及时召开院信息系统安全等级保护工作领导小组会议，积极部署工作、明确责任、具体落实，按照“谁主管谁负责、谁运行谁负责、谁使用谁负责”的原则，认真对照信息安全等级保护自查项目表，对我院信息安全等级保护工作进行了一次摸底调查，现将此项工作自查情况汇报如下：

一、等级保护工作组织开展、实施情况：

成立了临河区人民医院信息系统安全等级保护工作领导小组，落实了信息安全责任制；对等级保护责任部门和岗位人员进行了确定，确保专人落实；制定了等级保护工作的文件及相关工作方案；严格按照国家等级保护政策、标准规范和行业主管部门的要求，组织开展各项工作；及时召开了信息系统安全等级保护工作领导小组工作会议；医院主要领导对等级保护工作作出了重要批示，并在工作会议上提出了四点要求。

2信息安全管理制度的建立和落实情况 院信息中心制定了《临河区人民医院信息化建设总体规划》、《临河区人民医院信息系统工作制度与人员岗位职责目录》、《临河区人民医院计算机管理系统应急预案》、《临河区人民医院HIS信息系统工作制度》等相关制度，并在实际工作中对照制度严格执行各项操作流程。

3按照信息安全法律法规、标准规范的要求制定具体实施方案和落实情况

遵照有关法律法规，对医院信息服务网遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度,对医院信息服务网信息安全保护等级进行了自主定级。

二、信息系统定级备案情况，信息系统变化及定级备案变动情况：

按照《关于开展全国重要信息系统安全等级保护定级工作的通知》（公通字，2007‟861号），对本单位维护的医院内网站（医院信息和服务网）安全保护等级级别定位第二级。

三、信息安全设施建设情况和信息安全整改情况：

1安全设施建设情况：我院计算机、公文处理软件和信息系统安全产品均为国产产品，包括使用360、金山安全卫士、金山毒霸、诺顿nod正版软件等安全软件。公文处理软件使用了Microsoft Office系统。单位使用的工资系统、业务系统、数据传输平台系统、数据库等应用软件均为市委、市政府政府相关部门、市财政局和市卫生局统一指定的产品系统。重点信息系统使用的服务器、路由器、交换机等均为国产产品。2信息安全整改情况：

一信息系统安全工作还需要继续完善和提高相应的维护能力。随着移动护理查房的展开，信息工作人员还需要继续提高信息系统安全管理和管护工作的水平。二设备维护、更新有待加强。科室的正版nod杀毒软件维护能够自动更新升级，并进行了定时扫描，确保不存在系统漏洞，偶尔更换新主机ip地址会有冲突，IP网络地址也进行了统一管理。今后将对线路、系统等的及时维护和保养，及时更新升级软件和管理网络地址。

三信息系统安全工作机制还有待完善。部门信息系统安全相关工作机制制度、应急预案等还不健全，还要完善信息系统安全工作机制，建立完善信息系统安全应急响应机制，以提高医院网络信息工作的运行效率，促进医疗、办公秩序的进一步规范，防范风险。

四、信息安全管理制度建设和落实情况：

1制定了医院信息服务网信息安全管理制度，按照“谁主管谁负责”的原则开展工作，我单位负责人为第一责任人，对医院信息服务网信息安全管理负直接责任，并接受上级单位的监管。

2对医院信息服务网机房实施了24小时值班，操作系统、数据库系统、防病毒系统、网站软件系统实时升级，3发现安全隐患，第一时间由技术人员解决。

五、信息安全产品选择和使用情况：

医院内部服务器使用了IBM和戴尔的服务器，交换机使用了H3C.六、聘请测评机构按规范要求开展技术测评工作情况，根据测评结果开展整改情况：暂无聘请测评机构开展技术测评工作。

七、自行定期开展自查情况：

1每半年对医院信息服务网进行一次信息系统安全保护自查和应急演练措施。2开展信息安全知识和技能培训情况：主动学习信息安全法律法规，积极参加公安机关、上级主管部门组织的信息安全知识和技能培训。

第二篇：网络安全等级保护条例

第一章第二章第三章第四章第五章第六章第七章第八章 网络安全等级保护条例

（征求意见稿）

目录

总 则..........................................支持与保障......................................网络的安全保护..................................涉密网络的安全保护.............................密码管理.......................................监督管理.......................................法律责任.......................................附 则.........................................第一章 总 则

第一条【立法宗旨与依据】为加强网络安全等级保护工作，提高网络安全防范能力和水平，维护网络空间主权和国家安全、社会公共利益，保护公民、法人和其他组织的合法权益，促进经济社会信息化健康发展，依据《中华人民共和国网络安全法》、《中华人民共和国保守国家秘密法》等法律，制定本条例。

第二条【适用范围】在中华人民共和国境内建设、运营、维护、使用网络，开展网络安全等级保护工作以及监督管理，适用本条例。个人及家庭自建自用的网络除外。

第三条【确立制度】国家实行网络安全等级保护制度，对网络实施分等级保护、分等级监管。

前款所称“网络”是指由计算机或者其他信息终端及相关设备组成的按照一定的规则和程序对信息进行收集、存储、传输、交换、处理的系统。

第四条【工作原则】网络安全等级保护工作应当按照突出重点、主动防御、综合防控的原则，建立健全网络安全防护体系，重点保护涉及国家安全、国计民生、社会公共利益的网络的基础设施安全、运行安全和数据安全。

网络运营者在网络建设过程中，应当同步规划、同步建设、同步运行网络安全保护、保密和密码保护措施。

3络安全防范意识。

国家鼓励和支持企事业单位、高等院校、研究机构等开展网络安全等级保护制度的教育与培训，加强网络安全等级保护管理和技术人才培养。

第十四条【鼓励创新】国家鼓励利用新技术、新应用开展网络安全等级保护管理和技术防护，采取主动防御、可信计算、人工智能等技术，创新网络安全技术保护措施，提升网络安全防范能力和水平。

国家对网络新技术、新应用的推广，组织开展网络安全风险评估，防范网络新技术、新应用的安全风险。

第三章 网络的安全保护

第十五条【网络等级】根据网络在国家安全、经济建设、社会生活中的重要程度，以及其一旦遭到破坏、丧失功能或者数据被篡改、泄露、丢失、损毁后，对国家安全、社会秩序、公共利益以及相关公民、法人和其他组织的合法权益的危害程度等因素，网络分为五个安全保护等级。

（一）第一级，一旦受到破坏会对相关公民、法人和其他组织的合法权益造成损害，但不危害国家安全、社会秩序和公共利益的一般网络。

（二）第二级，一旦受到破坏会对相关公民、法人和其他组织的合法权益造成严重损害，或者对社会秩序和公共利益造

6用；

（八）落实违法信息发现、阻断、消除等措施，落实防范违法信息大量传播、违法犯罪证据灭失等措施；

（九）落实联网备案和用户真实身份查验等责任；

（十）对网络中发生的案事件，应当在二十四小时内向属地公安机关报告；泄露国家秘密的，应当同时向属地保密行政管理部门报告。

（十一）法律、行政法规规定的其他网络安全保护义务。第二十一条【特殊安全保护义务】第三级以上网络的运营者除履行本条例第二十条规定的网络安全保护义务外，还应当履行下列安全保护义务：

（一）确定网络安全管理机构，明确网络安全等级保护的工作职责，对网络变更、网络接入、运维和技术保障单位变更等事项建立逐级审批制度；

（二）制定并落实网络安全总体规划和整体安全防护策略，制定安全建设方案，并经专业技术人员评审通过；

（三）对网络安全管理负责人和关键岗位的人员进行安全背景审查，落实持证上岗制度；

（四）对为其提供网络设计、建设、运维和技术服务的机构和人员进行安全管理；

（五）落实网络安全态势感知监测预警措施，建设网络安全防护管理平台，对网络运行状态、网络流量、用户行为、网络安全案事件等进行动态监测分析，并与同级公安机关对接；

（六）落实重要网络设备、通信链路、系统的冗余、备份和恢复措施；

（七）建立网络安全等级测评制度，定期开展等级测评，并将测评情况及安全整改措施、整改结果向公安机关和有关部门报告；

（八）法律和行政法规规定的其他网络安全保护义务。第二十二条【上线检测】新建的第二级网络上线运行前应当按照网络安全等级保护有关标准规范，对网络的安全性进行测试。

新建的第三级以上网络上线运行前应当委托网络安全等级测评机构按照网络安全等级保护有关标准规范进行等级测评，通过等级测评后方可投入运行。

第二十三条【等级测评】第三级以上网络的运营者应当每年开展一次网络安全等级测评，发现并整改安全风险隐患，并每年将开展网络安全等级测评的工作情况及测评结果向备案的公安机关报告。

第二十四条【安全整改】网络运营者应当对等级测评中发现的安全风险隐患，制定整改方案，落实整改措施，消除风险隐患。

第二十五条【自查工作】网络运营者应当每年对本单位落实网络安全等级保护制度情况和网络安全状况至少开展一次自

第二十九条【技术维护要求】第三级以上网络应当在境内实施技术维护，不得境外远程技术维护。因业务需要，确需进行境外远程技术维护的，应当进行网络安全评估，并采取风险管控措施。实施技术维护，应当记录并留存技术维护日志，并在公安机关检查时如实提供。

第三十条【监测预警和信息通报】地市级以上人民政府应当建立网络安全监测预警和信息通报制度，开展安全监测、态势感知、通报预警等工作。

第三级以上网络运营者应当建立健全网络安全监测预警和信息通报制度，按照规定向同级公安机关报送网络安全监测预警信息，报告网络安全事件。有行业主管部门的，同时向行业主管部门报送和报告。

行业主管部门应当建立健全本行业、本领域的网络安全监测预警和信息通报制度，按照规定向同级网信部门、公安机关报送网络安全监测预警信息，报告网络安全事件。

第三十一条【数据和信息安全保护】网络运营者应当建立并落实重要数据和个人信息安全保护制度；采取保护措施，保障数据和信息在收集、存储、传输、使用、提供、销毁过程中的安全；建立异地备份恢复等技术措施，保障重要数据的完整性、保密性和可用性。

未经允许或授权，网络运营者不得收集与其提供的服务无关的数据和个人信息；不得违反法律、行政法规规定和双方约

112涉密网络中使用的安全保密产品，应当通过国家保密行政管理部门设立的检测机构检测。计算机病毒防护产品应当选用取得计算机信息系统安全专用产品销售许可证的可靠产品，密码产品应当选用国家密码管理部门批准的产品。

第四十条【测评审查和风险评估】涉密网络应当由国家保密行政管理部门设立或者授权的保密测评机构进行检测评估，并经设区的市级以上保密行政管理部门审查合格，方可投入使用。

涉密网络运营者在涉密网络投入使用后，应定期开展安全保密检查和风险自评估，并接受保密行政管理部门组织的安全保密风险评估。绝密级网络每年至少进行一次，机密级和秘密级网络每两年至少进行一次。

公安机关、国家安全机关涉密网络投入使用的管理，依照国家保密行政管理部门会同公安机关、国家安全机关制定的有关规定执行。

第四十一条【涉密网络使用管理总体要求】涉密网络运营者应当制定安全保密管理制度，组建相应管理机构，设臵安全保密管理人员，落实安全保密责任。

第四十二条【涉密网络预警通报要求】涉密网络运营者应建立健全本单位涉密网络安全保密监测预警和信息通报制度，发现安全风险隐患的，应及时采取应急处臵措施，并向保密行政管理部门报告。

4密码产品应当经过密码管理部门批准，采用密码技术的软件系统、硬件设备等产品，应当通过密码检测。

密码的检测、装备、采购和使用等，由密码管理部门统一管理；系统设计、运行维护、日常管理和密码评估，应当按照国家密码管理相关法规和标准执行。

第四十七条【非涉密网络密码保护】非涉密网络应当按照国家密码管理法律法规和标准的要求，使用密码技术、产品和服务。第三级以上网络应当采用密码保护，并使用国家密码管理部门认可的密码技术、产品和服务。

第三级以上网络运营者应在网络规划、建设和运行阶段，按照密码应用安全性评估管理办法和相关标准，委托密码应用安全性测评机构开展密码应用安全性评估。网络通过评估后，方可上线运行，并在投入运行后，每年至少组织一次评估。密码应用安全性评估结果应当报受理备案的公安机关和所在地设区市的密码管理部门备案。

第四十八条【密码安全管理责任】网络运营者应当按照国家密码管理法规和相关管理要求，履行密码安全管理职责，加强密码安全制度建设，完善密码安全管理措施，规范密码使用行为。

任何单位和个人不得利用密码从事危害国家安全、社会公共利益的活动，或者从事其他违法犯罪活动。

第六章 监督管理

第四十九条【安全监督管理】县级以上公安机关对网络运营者依照国家法律法规规定和相关标准规范要求，落实网络安全等级保护制度，开展网络安全防范、网络安全事件应急处臵、重大活动网络安全保护等工作，实行监督管理；对第三级以上网络运营者按照网络安全等级保护制度落实网络基础设施安全、网络运行安全和数据安全保护责任义务，实行重点监督管理。

县级以上公安机关对同级行业主管部门依照国家法律法规规定和相关标准规范要求，组织督促本行业、本领域落实网络安全等级保护制度，开展网络安全防范、网络安全事件应急处臵、重大活动网络安全保护等工作情况，进行监督、检查、指导。

地市级以上公安机关每年将网络安全等级保护工作情况通报同级网信部门。

第五十条【安全检查】县级以上公安机关对网络运营者开展下列网络安全工作情况进行监督检查：

（一）日常网络安全防范工作；

（二）重大网络安全风险隐患整改情况；

（三）重大网络安全事件应急处臵和恢复工作；

（四）重大活动网络安全保护工作落实情况；

（五）其他网络安全保护工作情况。

7自参加境外组织的网络攻防活动。

第五十五条【事件调查】公安机关应当根据有关规定处置网络安全事件，开展事件调查，认定事件责任，依法查处危害网络安全的违法犯罪活动。必要时，可以责令网络运营者采取阻断信息传输、暂停网络运行、备份相关数据等紧急措施。

网络运营者应当配合、支持公安机关和有关部门开展事件调查和处置工作。

第五十六条【紧急情况断网措施】网络存在的安全风险隐患严重威胁国家安全、社会秩序和公共利益的，紧急情况下公安机关可以责令其停止联网、停机整顿。

第五十七条【保密监督管理】保密行政管理部门负责对涉密网络的安全保护工作进行监督管理，负责对非涉密网络的失泄密行为的监管。发现存在安全隐患，违反保密法律法规，或者不符合保密标准保密的，按照《中华人民共和国保守国家秘密法》和国家保密相关规定处理。

第五十八条【密码监督管理】密码管理部门负责对网络安全等级保护工作中的密码管理进行监督管理，监督检查网络运营者对网络的密码配备、使用、管理和密码评估情况。其中重要涉密信息系统每两年至少开展一次监督检查。监督检查中发现存在安全隐患，或者违反密码管理相关规定，或者不符合密码相关标准规范要求的，按照国家密码管理相关规定予以处理。

第五十九条【行业监督管理】行业主管部门应当组织制定本行业、本领域网络安全等级保护工作规划和标准规范，掌握网络基本情况、定级备案情况和安全保护状况；监督管理本行业、本领域网络运营者开展网络定级备案、等级测评、安全建设整改、安全自查等工作。

行业主管部门应当监督管理本行业、本领域网络运营者依照网络安全等级保护制度和相关标准规范要求，落实网络安全管理和技术保护措施，组织开展网络安全防范、网络安全事件应急处臵、重大活动网络安全保护等工作。

第六十条【监督管理责任】网络安全等级保护监督管理部门及其工作人员应当对在履行职责中知悉的国家秘密、个人信息和重要数据严格保密，不得泄露、出售或者非法向他人提供。

第六十一条【执法协助】网络运营者和技术支持单位应当为公安机关、国家安全机关依法维护国家安全和侦查犯罪的活动提供支持和协助。

第六十二条【网络安全约谈制度】省级以上人民政府公安部门、保密行政管理部门、密码管理部门在履行网络安全等级保护监督管理职责中，发现网络存在较大安全风险隐患或者发生安全事件的，可以约谈网络运营者的法定代表人、主要负责人及其行业主管部门。

第七章 法律责任

第六十三条【违反安全保护义务】网络运营者不履行本条例第十六条，第十七条第一款，第十八条第一款、第二款，第二十条、第二十二条第一款，第二十四条，第二十五条，第二十八条第一款，第三十一条第一款，第三十二条第二款规定的网络安全保护义务的，由公安机关责令改正，依照《中华人民共和国网络安全法》第五十九条第一款的规定处罚。

第三级以上网络运营者违反本条例第二十一条、第二十二条第二款、第二十三条规定、第二十八条第二款，第三十条第二款，第三十二条第一款规定的，按照前款规定从重处罚。

第六十四条【违反技术维护要求】网络运营者违反本条例第二十九条规定，对第三级以上网络实施境外远程技术维护，未进行网络安全评估、未采取风险管控措施、未记录并留存技术维护日志的，由公安机关和相关行业主管部门依据各自职责责令改正，依照《中华人民共和国网络安全法》第五十九条第一款的规定处罚。

第六十五条【违反数据安全和个人信息保护要求】网络运营者违反本条例第三十一条第二款规定，擅自收集、使用、提供数据和个人信息的，由网信部门、公安机关依据各自职责责令改正，依照《中华人民共和国网络安全法》第六十四条第一款的规定处罚。

第六十六条【网络安全服务责任】违反本条例第二十六条

1保密管理和密码管理规定的，由保密行政管理部门或者密码管理部门按照各自职责分工责令改正，拒不改正的，给予警告，并通报向其上级主管部门，建议对其主管人员和其他直接责任人员依法给予处分。

第六十九条【监管部门渎职责任】网信部门、公安机关、国家保密行政管理部门、密码管理部门以及有关行业主管部门及其工作人员有下列行为之一，对直接负责的主管人员和其他直接责任人员，或者有关工作人员依法给予处分：

（一）玩忽职守、滥用职权、徇私舞弊的；

（二）泄露、出售、非法提供在履行网络安全等级保护监管职责中获悉的国家秘密、个人信息和重要数据；或者将获取其他信息，用于其他用途的。

第七十条【法律竞合处理】违反本条例规定，构成违反治安管理行为的，由公安机关依法给予治安管理处罚；构成犯罪的，依法追究刑事责任。

第八章 附 则

第七十一条【术语解释】本条例所称的“内”、“以上”包含本数；所称的“行业主管部门”包含行业监管部门。

第七十二条【军队】军队的网络安全等级保护工作，按照军队的有关法规执行。

第七十三条【生效时间】本条例由自

年 月 日起施行。

第三篇：信息安全等级保护

信息安全等级保护(二级)信息安全等级保护(二级)备注：其中黑色字体为信息安全等级保护第二级系统要求，蓝色字体为第三级系统等保要求。

一、物理安全

1、应具有机房和办公场地的设计/验收文档（机房场地的选址说明、地线连接要求的描述、建筑材料具有相应的耐火等级说明、接地防静电措施）

2、应具有有来访人员进入机房的申请、审批记录；来访人员进入机房的登记记录

3、应配置电子门禁系统(三级明确要求)；电子门禁系统有验收文档或产品安全认证资质，电子门禁系统运行和维护记录

4、主要设备或设备的主要部件上应设置明显的不易除去的标记

5、介质有分类标识；介质分类存放在介质库或档案室内，磁介质、纸介质等分类存放

6、应具有摄像、传感等监控报警系统；机房防盗报警设施的安全资质材料、安装测试和验收报告；机房防盗报警系统的运行记录、定期检查和维护记录；

7、应具有机房监控报警设施的安全资质材料、安装测试和验收报告；机房监控报警系统的运行记录、定期检查和维护记录

8、应具有机房建筑的避雷装置；通过验收或国家有关部门的技术检测；

9、应在电源和信号线上增加有资质的防雷保安器；具有防雷检测资质的检测部门对防雷装置的检测报告

10、应具有自动检测火情、自动报警、自动灭火的自动消防系统；自动消防系统的运行记录、检查和定期维护记录；消防产品有效期合格；自动消防系统是经消防检测部门检测合格的产品

11、应具有除湿装置；空调机和加湿器；温湿度定期检查和维护记录

12、应具有水敏感的检测仪表或元件；对机房进行防水检测和报警；防水检测装置的运行记录、定期检查和维护记录

13、应具有温湿度自动调节设施；温湿度自动调节设施的运行记录、定期检查和维护记录

14、应具有短期备用电力供应设备（如UPS）；短期备用电力供应设备的运行记录、定期检查和维护记录

15、应具有冗余或并行的电力电缆线路（如双路供电方式）

16、应具有备用供电系统（如备用发电机）；备用供电系统运行记录、定期检查和维护记录

二、安全管理制度

1、应具有对重要管理操作的操作规程，如系统维护手册和用户操作规程

2、应具有安全管理制度的制定程序：

3、应具有专门的部门或人员负责安全管理制度的制定（发布制度具有统一的格式，并进行版本控制）

4、应对制定的安全管理制度进行论证和审定，论证和审定方式如何（如召开评审会、函审、内部审核等），应具有管理制度评审记录

5、应具有安全管理制度的收发登记记录，收发应通过正式、有效的方式（如正式发文、领导签署和单位盖章等）----安全管理制度应注明发布范围，并对收发文进行登记。

6、信息安全领导小组定期对安全管理制度体系的合理性和适用性进行审定，审定周期多长。（安全管理制度体系的评审记录）

7、系统发生重大安全事故、出现新的安全漏洞以及技术基础结构和组织结构等发生变更时应对安全管理制度进行检查，对需要改进的制度进行修订。（应具有安全管理制度修订记录）

三、安全管理机构

1、应设立信息安全管理工作的职能部门

2、应设立安全主管、安全管理各个方面的负责人

3、应设立机房管理员、系统管理员、网络管理员、安全管理员等重要岗位（分工明确，各司其职），数量情况（管理人员名单、岗位与人员对应关系表）

4、安全管理员应是专职人员

5、关键事物需要配备2人或2人以上共同管理，人员具体配备情况如何。

6、应设立指导和管理信息安全工作的委员会或领导小组（最高领导是否由单位主管领导委任或授权的人员担任）

7、应对重要信息系统活动进行审批（如系统变更、重要操作、物理访问和系统接入、重要管理制度的制定和发布、人员的配备和培训、产品的采购、外部人员的访问等），审批部门是何部门，审批人是何人。审批程序：

8、应与其它部门之间及内部各部门管理人员定期进行沟通（信息安全领导小组或者安全管理委员会应定期召开会议）

9、应组织内部机构之间以及信息安全职能部门内部的安全工作会议文件或会议记录，定期：

10、信息安全管理委员会或领导小组安全管理工作执行情况的文件或工作记录（如会议记录/纪要，信息安全工作决策文档等）

11、应与公安机关、电信公司和兄弟单位等的沟通合作（外联单位联系列表）

12、应与供应商、业界专家、专业的安全公司、安全组织等建立沟通、合作机制。

13、聘请信息安全专家作为常年的安全顾问（具有安全顾问名单或者聘请安全顾问的证明文件、具有安全顾问参与评审的文档或记录）

14、应组织人员定期对信息系统进行安全检查（查看检查内容是否包括系统日常运行、系统漏洞和数据备份等情况）

15、应定期进行全面安全检查（安全检查是否包含现行技术措施有效性和管理制度执行情况等方面、具有安全检查表格，安全检查报告，检查结果通告记录）

四、人员安全管理

1、何部门/何人负责安全管理和技术人员的录用工作（录用过程）

2、应对被录用人的身份、背景、专业资格和资质进行审查，对技术人员的技术技能进行考核，技能考核文档或记录

3、应与录用后的技术人员签署保密协议（协议中有保密范围、保密责任、违约责任、协议的有效期限和责任人的签字等内容）

4、应设定关键岗位，对从事关键岗位的人员是否从内部人员中选拔，是否要求其签署岗位安全协议。

5、应及时终止离岗人员的所有访问权限（离岗人员所有访问权限终止的记录）

6、应及时取回离岗人员的各种身份证件、钥匙、徽章等以及机构提供的软硬件设备等（交还身份证件和设备等的登记记录）

7、人员离岗应办理调离手续，是否要求关键岗位调离人员承诺相关保密义务后方可离开（具有按照离岗程序办理调离手续的记录，调离人员的签字）

8、对各个岗位人员应定期进行安全技能考核；具有安全技能考核记录，考核内容要求包含安全知识、安全技能等。

9、对关键岗位人员的安全审查和考核与一般岗位人员有何不同，审查内容是否包括操作行为和社会关系等。

10、应对各类人员（普通用户、运维人员、单位领导等）进行安全教育、岗位技能和安全技术培训。

11、应针对不同岗位制定不同的培训计划，并按照计划对各个岗位人员进行安全教育和培训（安全教育和培训的结果记录，记录应与培训计划一致）

12、外部人员进入条件（对哪些重要区域的访问须提出书面申请批准后方可进入），外部人员进入的访问控制（由专人全程陪同或监督等）

13、应具有外部人员访问重要区域的书面申请

14、应具有外部人员访问重要区域的登记记录（记录描述了外部人员访问重要区域的进入时间、离开时间、访问区域、访问设备或信息及陪同人等）

五、系统建设管理

1、应明确信息系统的边界和安全保护等级（具有定级文档，明确信息系统安全保护等级）

2、应具有系统建设/整改方案

3、应授权专门的部门对信息系统的安全建设进行总体规划，由何部门/何人负责

4、应具有系统的安全建设工作计划（系统安全建设工作计划中明确了近期和远期的安全建设计划）

5、应组织相关部门和有关安全技术专家对总体安全策略、安全技术框架、安全管理策略等相关配套文件进行论证和审定（配套文件的论证评审记录或文档）

6、应对总体安全策略、安全技术框架、安全管理策略等相关配套文件应定期进行调整和修订

7、应具有总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计方案等相关配套文件的维护记录或修订版本

8、应按照国家的相关规定进行采购和使用系统信息安全产品

9、安全产品的相关凭证，如销售许可等，应使用符合国家有关规定产品

10、应具有专门的部门负责产品的采购

11、采购产品前应预先对产品进行选型测试确定产品的候选范围，形成候选产品清单，是否定期审定和更新候选产品名单

12、应具有产品选型测试结果记录和候选产品名单及更新记录（产品选型测试结果文档）

13、应具有软件设计相关文档，专人保管软件设计的相关文档，应具有软件使用指南或操作手册

14、对程序资源库的修改、更新、发布应进行授权和批准

15、应具有程序资源库的修改、更新、发布文档或记录

16、软件交付前应依据开发协议的技术指标对软件功能和性能等进行验收检测

17、软件安装之前应检测软件中的恶意代码（该软件包的恶意代码检测报告），检测工具是否是第三方的商业产品

18、应具有软件设计的相关文档和使用指南

19、应具有需求分析说明书、软件设计说明书、软件操作手册等开发文档

20、应指定专门部门或人员按照工程实施方案的要求对工程实施过程进行进度和质量控制

21、应具有工程实施过程应按照实施方案形成各种文档，如阶段性工程进程汇报报告，工程实施方案

22、在信息系统正式运行前，应委托第三方测试机构根据设计方案或合同要求对信息系统进行独立的安全性测试（第三方测试机构出示的系统安全性测试验收报告）

23、应具有工程测试验收方案（测试验收方案与设计方案或合同要求内容一致）

24、应具有测试验收报告

25、应指定专门部门负责测试验收工作（具有对系统测试验收报告进行审定的意见）

26、根据交付清单对所交接的设备、文档、软件等进行清点（系统交付清单）

27、应具有系统交付时的技术培训记录

28、应具有系统建设文档（如系统建设方案）、指导用户进行系统运维的文档（如服务器操作规程书）以及系统培训手册等文档。

29、应指定部门负责系统交付工作

30、应具有与产品供应商、软件开发商、系统集成商、系统运维商和等级测评机构等相关安全服务商签订的协议（文档中有保密范围、安全责任、违约责任、协议的有效期限和责任人的签字等内容

31、选定的安全服务商应提供一定的技术培训和服务

32、应与安全服务商签订的服务合同或安全责任合同书

11、采购产品前应预先对产品进行选型测试确定产品的候选范围，形成候选产品清单，是否定期审定和更新候选产品名单

12、应具有产品选型测试结果记录和候选产品名单及更新记录（产品选型测试结果文档）

13、应具有软件设计相关文档，专人保管软件设计的相关文档，应具有软件使用指南或操作手册

14、对程序资源库的修改、更新、发布应进行授权和批准

15、应具有程序资源库的修改、更新、发布文档或记录

16、软件交付前应依据开发协议的技术指标对软件功能和性能等进行验收检测

17、软件安装之前应检测软件中的恶意代码（该软件包的恶意代码检测报告），检测工具是否是第三方的商业产品

18、应具有软件设计的相关文档和使用指南

19、应具有需求分析说明书、软件设计说明书、软件操作手册等开发文档

20、应指定专门部门或人员按照工程实施方案的要求对工程实施过程进行进度和质量控制

21、应具有工程实施过程应按照实施方案形成各种文档，如阶段性工程进程汇报报告，工程实施方案

22、在信息系统正式运行前，应委托第三方测试机构根据设计方案或合同要求对信息系统进行独立的安全性测试（第三方测试机构出示的系统安全性测试验收报告）

23、应具有工程测试验收方案（测试验收方案与设计方案或合同要求内容一致）

24、应具有测试验收报告

25、应指定专门部门负责测试验收工作（具有对系统测试验收报告进行审定的意见）

26、根据交付清单对所交接的设备、文档、软件等进行清点（系统交付清单）

27、应具有系统交付时的技术培训记录

28、应具有系统建设文档（如系统建设方案）、指导用户进行系统运维的文档（如服务器操作规程书）以及系统培训手册等文档。

29、应指定部门负责系统交付工作

30、应具有与产品供应商、软件开发商、系统集成商、系统运维商和等级测评机构等相关安全服务商签订的协议（文档中有保密范围、安全责任、违约责任、协议的有效期限和责任人的签字等内容

31、选定的安全服务商应提供一定的技术培训和服务

32、应与安全服务商签订的服务合同或安全责任合同书

六、系统运维管理

1、应指定专人或部门对机房的基本设施（如空调、供配电设备等）进行定期维护，由何部门/何人负责。

2、应具有机房基础设施的维护记录，空调、温湿度控制等机房设施定期维护保养的记录

3、应指定部门和人员负责机房安全管理工作

4、应对办公环境保密性进行管理（工作人员离开座位确保终端计算机退出登录状态、桌面上没有包含敏感信息的纸档文件）

5、应具有资产清单（覆盖资产责任人、所属级别、所处位置、所处部门等方面）

6、应指定资产管理的责任部门或人员

7、应依据资产的重要程度对资产进行标识

8、介质存放于何种环境中，应对存放环境实施专人管理（介质存放在安全的环境（防潮、防盗、防火、防磁，专用存储空间））

9、应具有介质使用管理记录，应记录介质归档和使用等情况（介质存放、使用管理记录）

10、对介质的物理传输过程应要求选择可靠传输人员、严格介质的打包（如采用防拆包装置）、选择安全的物理传输途径、双方在场交付等环节的控制

11、应对介质的使用情况进行登记管理，并定期盘点（介质归档和查询的记录、存档介质定期盘点的记录）

12、对送出维修或销毁的介质如何管理，销毁前应对数据进行净化处理。（对带出工作环境的存储介质是否进行内容加密并有领导批准。对保密性较高的介质销毁前是否有领导批准）（送修记录、带出记录、销毁记录）

13、应对某些重要介质实行异地存储，异地存储环境是否与本地环境相同（防潮、防盗、防火、防磁，专用存储空间）

14、介质上应具有分类的标识或标签

15、应对各类设施、设备指定专人或专门部门进行定期维护。

16、应具有设备操作手册

17、应对带离机房的信息处理设备经过审批流程，由何人审批（审批记录）

18、应监控主机、网络设备和应用系统的运行状况等

19、应有相关网络监控系统或技术措施能够对通信线路、主机、网络设备和应用软件的运行状况、网络流量、用户行为等进行监测和报警

20、应具有日常运维的监控日志记录和运维交接日志记录

21、应定期对监控记录进行分析、评审

22、应具有异常现象的现场处理记录和事后相关的分析报告

23、应建立安全管理中心，对设备状态、恶意代码、补丁升级、安全审计等相关事项进行集中管理

24、应指定专人负责维护网络安全管理工作

25、应对网络设备进行过升级，更新前应对现有的重要文件是否进行备份（网络设备运维维护工作记录）

26、应对网络进行过漏洞扫描，并对发现的漏洞进行及时修补。

27、对设备的安全配置应遵循最小服务原则，应对配置文件进行备份（具有网络设备配置数据的离线备份）

28、系统网络的外联种类（互联网、合作伙伴企业网、上级部门网络等）应都得到授权与批准，由何人/何部门批准。应定期检查违规联网的行为。

29、对便携式和移动式设备的网络接入应进行限制管理

30、应具有内部网络外联的授权批准书，应具有网络违规行为（如拨号上网等）的检查手段和工具。

31、在安装系统补丁程序前应经过测试，并对重要文件进行备份。

32、应有补丁测试记录和系统补丁安装操作记录

33、应对系统管理员用户进行分类（比如：划分不同的管理角色，系统管理权限与安全审计权限分离等）

34、审计员应定期对系统审计日志进行分析（有定期对系统运行日志和审计数据的分析报告）

35、应对员工进行基本恶意代码防范意识的教育，如告知应及时升级软件版本（对员工的恶意代码防范教育的相关培训文档）

36、应指定专人对恶意代码进行检测，并保存记录。

37、应具有对网络和主机进行恶意代码检测的记录

38、应对恶意代码库的升级情况进行记录（代码库的升级记录），对各类防病毒产品上截获的恶意代码是否进行分析并汇总上报。是否出现过大规模的病毒事件，如何处理

39、应具有恶意代码检测记录、恶意代码库升级记录和分析报告 40、应具有变更方案评审记录和变更过程记录文档。

41、重要系统的变更申请书，应具有主管领导的批准

42、系统管理员、数据库管理员和网络管理员应识别需定期备份的业务信息、系统数据及软件系统（备份文件记录）

43、应定期执行恢复程序，检查和测试备份介质的有效性

44、应有系统运维过程中发现的安全弱点和可疑事件对应的报告或相关文档

45、应对安全事件记录分析文档

46、应具有不同事件的应急预案

47、应具有应急响应小组，应具备应急设备并能正常工作，应急预案执行所需资金应做过预算并能够落实。

48、应对系统相关人员进行应急预案培训（应急预案培训记录）

49、应定期对应急预案进行演练（应急预案演练记录）50、应对应急预案定期进行审查并更新

51、应具有更新的应急预案记录、应急预案审查记录。

第四篇：信息网络安全等级保护工作自检自查报告

信息网络安全等级保护工作

自检自查报告

XX县烟草专卖局（分公司）的信息网络安全建设在上级部门的关心指导下，近年取得了快速的进步和发展，实效性强，网络安全防控能力大大增强。为进一步贯彻落实行业网络与信息安全各项管理规定，严格规范信息安全等级保护，提高企业对信息网络安全的防控能力，保障企业信息网络安全，保证公司各项办公自动化工作的正常进行，促进企业效益的稳步提升，按照《XX县人民政府办公室关于开展信息网络信息安全等级保护安全检查工作的通知》要求，我司组织相关人员对系统内信息网络安全等级保护工作认真细致的自检自查，现将自查情况报告如下。

一、等级保护工作部署和组织实施情况

XX县烟草公司企业信息化建设在市局（公司）的统一领导下，按照“统一网络、统一平台、统一数据库”的要求，以打造“数字烟草”为战略目标，以“系统集成、资源整合、信息共享”为工作方针，取得了快速的发展，在积极推进企业信息化建设的过程中，更加重视网络信息的安全建设工作。从省公司到市公司、县公司，领导高度重视，统一规划，统一标准，同步实施。首先是逐级成立了领导小组和职能部门，XX分公司按照上级部门要求，2000年11月成立了信息化领导小组，下设信息办在公司办公室，并设置了计算机系统管理员岗位，明确了各自的职责。由于网络推广应用迅速，2005年重新更设了计算机网络信息中心，旨在强化对企业的网络建设和网络安全管理。在历次的机构设置中，都明确了分公司主要领导分管信息工作，把网络信息安全的建设与管理摆到了企业各项工作的重要位置中来，表明了企业对信息化建设、网络安全管理的高度重视和决心。其次是对行业的网络安全建设高瞻远瞩、统一标准、规范运作、务求实效。先后省公司下发了《云南省烟草专卖局关于建设云南省行业计算机网络与信息安全系统的通知》，对全行业的网络信息安全建设作了明确、细致的规定，制定了高效规范的《云南省烟草行业计算机网络与信息安全系统建设方案》，统一在全系统范围内实施。随后市局公司又下发了《曲靖市烟草专卖局（公司）关于建设网络安全系统的通知》，对各分公司的网络安全建设作了具体的安排部署。XX县烟草公司严格按照上级部门要求，主动推进网络安全建设，严律遵循行业标准规范，组织实施信息项目，积极配合上级部门在全行业开展网络安全建设工作。

二、信息系统安全保护等级备案情况

XX县烟草专卖局（分公司）隶属曲靖市烟草专卖局（公司）子公司，无法人资格。网络信息安全建设也是依照市公司统一要求进行，信息安全保护等级为二级。按照本次检查要求，备案材料主要包括三类。一是各级各部门的文件，包括有：罗烟司字［2000］48号《关于成立云南省烟草XX县公司信息化领导小组的通知》，省公司云烟科［2000］209号《关于决举办云南省烟草行业计算机系统管理员培训班的通知》，省公司云烟信［2003］552号《云南省烟草专卖局关于建设云南省烟草行业计算机网络与信息安全系统的通知》，市公司云曲烟专司字［2004］35号《曲靖市烟草专卖局（公司）关于建设网络安全系统的通知》、《曲靖烟草专卖局（公司）党政工作部关于举办网络信息安全培训的通知》，市公司云曲烟办字［2004］98号《曲靖市烟草专卖局（公司）关于建设地面专网的通知》等。第二类是各项网络信息安全建设规范、技术标准及方案等，主要包括有：《云南省烟草行业信息网络信息系统技术规范》两部分，《云南省烟草行业信息网络系统计算机网络系统建设技术规范》、《云南省烟草行业计算机网络与信息安全系统建设方案》。第三类是各类管理制度或规定，主要包括有：《云南省烟草行业信息网络管理规范》、《云南省烟草行业计算机网络与信息安全管理制度》、《信息化工作管理规定》的网络与信息安全管理，《网络建设及信息维护按理规定》、《计算机设备管理规定》、《计算机机房管理规定》及《突发信息网络事件应急预案》等。

三、信息安全设施建设情况。

根据上级部门的统一规划、建设要求，XX县烟草公司积极推进各项网络安全建设工作。首先，为考虑网络安全，结合业务实际，在网络规划时以建设专线为重点，在全省烟草系统内全部采用专线连接，实现互联互通。在系统主干网络建设上，先是采用卫星专用通道联网，后改用DDN专线，随着网络技术的发展和普及，从2006年开始，全省烟草系统，从省公司至市公司，从市公司至分公司，从分公司至烟叶站、烟叶收购点，采用带宽不同的SDH专线连接。公司绝大部分业务均在内网里运行，各类数据信息通过内网服务器和网络流转、共享，无外网托管现象，只有极少部分业务需挂外网。其次是不断采用新技术、新手段做好网络信息安全防范工作，严格划分企业内网与外网，通过硬件防火墙设置，保证内外信息交互有效进行，实现对垃圾信息、非法访问的有效过滤。同时，通过网络版杀毒软件的安装使用，对计算机病毒进行整体防治，另一方面，对操作终端还配置防木马程序的软件，以及软件防火墙等软件的使用，配合杀毒软件对计算机病毒、黑客攻击、木马程序等进行了有效的防范。总之，通过软硬件技术手段的有效结合，使系统内网及每个终端计算机、系统内的信息、数据安全得到了有效保障，有效保证了企业各业务工作的顺利开展。

四、管理制度建设情况。

烟草企业自2004年工商分制以来，作为一分公司，在曲靖市烟草公司的直接领导下，各项工作稳步推进，伴随着社会效益、企业效益的逐年攀升，曲靖烟草企业更加注重管理模式的总结与创新，强调管理的精细化和规范化，通过长时间的积累、总结和创新，对各行各业各个环节都制定了规范、有效的管理制度。形成了具有行业标准的相关制度－《曲靖烟草商业管理（QTCM）－管理制度》，在网络信息安全方面涉及很多内容。制定了《计算机设备管理规定》，旨在规范烟草系统计算机及相关设备的管理工作，促进设备的有效管理，提高设备的综合效率，满足工作需求；制定了《计算机机房管理理规定》，旨在加强计算机机房的运行、使用和管理，保证各信息系统的稳定可靠运行，促进公司网络的健康发展；制定了《信息化工作管理规定》、以及《网站建设及信息维护管理规定》，包括网络和信息安全管理规定，旨在保证企业网络信息系统运行安全、可靠，做到实体安全、运行安全、数据安全和管理安全。2008年4月份，根据企业《职业健康安全管理体系》运行的整改要求，制定了《突发信息网络事件应急预案》，包括机房渗漏水应急预案、机房盗窃应急预案、机房火灾应急预案、机房长时间停电应急预案、通信网络故障应急预案、网络病毒爆发应急预案、服务器软件系统故障应急预案、核心设备硬件故障应急预案、业务数据损坏应急预案等九部分内容，旨在加强对系统内突发信息网络事件的控制，迅速有效开展应急救援行动，降低危害程度。总之，企业对网络安全高度重视，制定了众多管理制度，并积极层层落实，责任分明，有效地保证了了企业长期以来的网络信息系统的稳定运行。

五、信息安全产品选择和使用情况。

我司的网络信息安全产品，2004年开始根据市公司的要求，进行统一配置。其中，硬件防火墙采用中端型产品，品牌型号为天融信NGFWARES－VPN（S），版本TOPSEC集中管理器V2.2.17，基本满足管理要求。防病毒软件曾采用趋势Trend网络版，2007年以后统一改用瑞星企业专用版，与全国大多企业一致选用国产软件。网络管理平台软件曾使用复旦光华T_Manager网络综合管理系统，预计未来将采用其它新系统实现网络综合管理。此外，针对各终端设备的安全防范，我司还使用了正版的瑞星个人防火墙软件和免费版的奇虎360安全卫土等安全软件，实现防病毒、木马程序、黑客、非法程序等的辅助管理，进一步提高了整个系统的安全防范能力和管理水平。

六、聘请测评机构开展技术测评情况

我司的网络安全检测及风险评估工作也是依照市局（公司）的统一要求组织实施，按照市公司的统一安排，聘请测评机构为曲靖市麒麟区联创信息网络有限公司，检测时间一般为每年6至7月份，检测内容为：机房物理环境、服务器、网络设备（交换机、路由器、防火墙），桌面终端等，其中，桌面终端采用抽查方式进行检测，抽查率不少于总数的30%，检测工作中，工程师需签订《云南省网络与信息系统安全检测单位保密承诺》和安全检测保密协议，检测结果及报告由市公司保存。

七、定期自查情况

XX县烟草公司高度重视网络安全建设工作，强调日常维护、安全防范和定期自查工作。对管理制度不断完善更新，新技术新手段积极采用，借助于企业职业健康安全管理体系的贯标、运行和提升工作，不断开展网络信息安全的检查工作，对一经查出的问题及时整改，自己不能解决的及时上报上级部门，给予帮助解决，有效地促进了整个安全防控体系的完善和管理水平的提高。

曲靖市烟草公司XX分公司

二OO八年十月三十日 关于上报宣州区地税局信息系统安全自查的报告

宣州区地方税务局文件

宣区地税〔2010〕77号

签发人: 殷本辉

关于上报宣州区地税局信息系统安全自查的报告

宣城市地方税务局

根据宣城市地税局对我局网络与终端物理隔离和安全使用检查情况反馈意见，参照安徽地税信息系统安全自查方案，我局对全区网络与信息安全现状进行了自查，查找薄弱环节和安全隐患，进一步强化信息安全意识、规范信息安全管理，以提高网络与信息系统的安全保障能力，现将自查情况上报给你们。

（本文只发电子文件）

二〇一〇年六月二十四日

宣州区地税局信息系统安全自查报告

根据宣城市地税局对我局网络与终端物理隔离和安全使用检查情况反馈意见，参照《安徽省地税局2010年税务信息系统安全检查方案》，从“安全管理检查”、“安全技术检查”、“终端和移动存储介质检查和加固”等三大方面对宣州区地税局信息安全系统进行了认真地自查与整改，现将自查情况报告如下：

一、领导高度重视，组织、部门健全

宣州区地税局领导班子高度重视信息系统安全工作，本着“谁主管谁负责、谁运行谁负责、谁使用谁负责”的原则，成立了宣州区地税局信息系统安全领导小组，区局一把手担任领导小组组长，分管领导为副组长，下属各单位负责人为成员。

各基层分局设立计算机管理员岗位，分别 有责任心、取得全国计算机等级二级以上（含二级）证书、熟悉业务操作的人员担任，负责本单位计算机软、硬件及网络安全管理。对本单位计算机出现的软、硬件问题及时上报区局信息中心。区局结合本部门的信息系统安全管理需求，不定期地对计算机管理员开展相关业务培训。

二、结合安徽地税系统安全自查方案，认真开展自查工作

（一）安全管理方面：区局制定了《宣州区地税局公文处理应急预案》、《宣州区地税局内部网站应急预案》、《宣州区地税局网络故障应急预案》、《宣州区地税局计算机机房运行维护管理办法》，并着重落实上级部门下发的信息安全政策、法规和规章制度。确定信息中心一名工作人员担任信息系统安全管理员，具体处理信息系统安全的相关工作。区局中心机房于2008年建成，面积约90平方米，安装了接地保护装置，配备了手持式灭火器，配有两台柜式空调，并确保空调24小时正常运转。加强中心机房的供电管理，配备一台专用的10KV UPS电源专供中心机房设备使用，配备一台专用的6KV UPS电源专供征收大厅设备使用，并定期对UPS电池性能进行相应测试。

宣州区地税局办公网络已于2009年元月实行内、外网物理隔离，内外网均通过2套线路和隔离卡实现内外网切换。内网分为应用服务区与办公区，通过一台硬件防火墙进行对外与对外的访问控制，所有内网服务器与终端均安装网络版病毒防火墙。外网通过硬件防火墙、上网行为管理工和防病毒网关实行访问控制。局机关所有计算机安装隔离卡进行内外网物理隔离，基层分局只在分局负责人计算机上安装隔离卡实行内外网物理隔离，其他计算机只允许上内网。

征管数据市局集中后，区局目前的重要数据库有区局内网数据库、公文处理数据库、车辆税及触摸查询系统数据库，定期对上述数据库进行备份，并将备份数据复制到文件服务器上。

（二）安全技术方面：区局的网络通过租用联通的专线，实现市局、区局及分局三级网络互联，各基层分局通过路由交换和以太网两种方式按入区局，区局机关按股室按分VLAN。区局中心机房内网设备目前有1台华为2631路由器、1台华为3680路由器和2台华为3552交换机为核心层，3台华为3026交换机作为接入层。除华为3552交换机有热备份，其他网络设备没有冷、热备份，通过1台东软硬件防火墙进一步加强网络安全管理。

区局中心机房外网设备目前有5台华为3928交换机，1台防病毒网关，1台上网行为管理，1台防火墙，另外租用网通地址，各基层分局以以太网方式接入互联网。

宣州区地税局共有服务器6台，5台服务器的操作系统为Windows 2000 Server SP4,1台服务器的操作系统为Windows 2003 Server，所有服务器根据账号策略设置用户密码，强化安全管理。

宣州区地税局所有内外网中的路由器和交换机均按照省局网络运行管理规范进行命名管理，并对其用户口令进行加密。内外网中的防火墙均设置访问控制策略，提高系统的网络安全系数。

（三）工作用台式机、笔计本电脑和移动存储介质检查和加固： 及时更新台式机和笔计本电脑的操作系统和应用程序补丁，禁用GUEST用户组，统一安装网络版瑞星防病毒软件，并通过设置自动升级和定时对计算机进行扫描，对外接的USB设备，必须进行病毒扫描。

三、存在的主要问题

通过本次自查发现，我局信息系统存在不少安全隐患问题，主要有以下几方面：

（一）安全保护意识有待增强，各种安全保护措施有待加强，部分管理人员的安全保护意识薄弱。

（二）数据的存储及备份机制还不够完善，存在信息丢失的隐患，存在移动存储介质内外网混用，个别笔记本电脑存在内外网混用。

（三）因区局搬迁新办公楼后，对区局的内网进行了重新规划，路由策略进行了了修改，核心网络设备失效的路由策略未即时清理。

（四）重技术建设、轻安全保护。进行计算机信息系统建设规划时，主要考虑了业务需求和系统技术性能要求，没有很好地将系统的安全保护措施一并考虑，造成安全保护工作相对滞后。

四、加强安全保护工作的意见和建议

根据信息安全自查的情况，结合区局实际情况，现就加强区局信息系统安全工作，提出以下意见和建议：

（一）加强领导，提高对信息系统安全重要性和紧迫性的认识。组织相关人员认真学习与信息系统安全有关的管理规定，不断增强信息系统安全保护意识，做到认识到位、措施到位、管理到位。

（二）认真落实技术防范措施，着重落实以下等安全保护技术措施：

1、系统重要数据的冗余或备份措施；

2、计算机病毒防治措施；

3、网络攻击防范、追踪措施；

4、研究有关内网补丁升级的措施。

（三）严格防范内外网移动存储混用，加强对移动存储的分类管理，严禁在外网机器处理或保存涉税文件，严格执行内、外网物理隔离制度。

（四）停用内外到外网出口，瑞星防病毒托管服务器升级下挂到市局。

（五）加强网络和安全设备管理，调整网络和安全设备配置，严格网络访问控制策略，保护网络安全。

（六）加强中心机房的管理工作，提高机房运行环境，保障设备安全。

黄河科技学院网络信息安全防范系统

情况自查报告

随着网络在我校教学与管理环节中的普及，我校领导已充分认识到开展高校校园和网络信息安全防范工作，是加强维护高校稳定工作，为高校创造良好的教学科研环境，推进高校校园安全防范系统和网络信息安全系统建设的重要措施。自一九九九年我校初建校园网，一直到现在，上至领导下到我们中心的工作人员一直比较注重网络的安全性。严格按照“谁主管、谁负责”、“谁主办、谁负责”的原则，各单位、部门层层落实责任制，明确责任人和职责，细化工作措施和流程，建立完善了一系列的管理制度和实施办法，确保使用的网络和提供服务信息的安全。现根据省教育厅的《关于在开展高校校园和网络信息安全防范系统情况调查工作的通知》的文件精神，对我校的网络与信息安全与网络与信息服务等内容做了详细的自查，自查情况如下：

（一）我校于一九九九年十月，成立了以常务副校长为组长，以网络中心主任董峰及保卫处处长宋同先为副组长的黄河科技学院网络中心安全组织。

（二）根据我校的网络发展情况以及国家、省、市等有关的文件精神，我们相继建立了一系列的安全管理制度,并落实到各部门。如：信息的发布审核由新闻办指办专人负责；信息的监视、保存、备份、清除由网络中心负责；校内所有上网的帐号、邮件帐号、网站帐号等我们都做有实名备案；对于较为知名的公众网络媒体，如我校相关的百度贴吧，我校新闻办公室也安排专人负责信息的监管工作，以实现正面的引导，并及时发现和删除各类有害信息，维护学校和社会的稳定。

（三）我们加强了安全保护技术措施，切实抓紧、抓实、抓好，保障了学校网络和信息安全，网络运行正常、使用规范，网站没有发现有害信息和不良连接，网络节点安全设施基本符合要求。我们使用了天融信防火墙与天阗入侵监测系统相结合，使日志留存具有保存60日以上系统运行日志和用户使用日志记录功能，内容包括IP地址及使用情况，交互式栏目发布者和上、下网时间及信息、主页维护者、邮箱使用者和对应的IP地址情况等；对于邮件服务器，我们使用的是亿邮，并配套使用了亿邮网关，并与公安部门实行了数据对接，有效的隔离了垃圾邮件，防止有害信息的干扰和破坏。对于我们的网站信息服务系统建立了备份，一旦受到破坏能及时恢复正常。

（四）针对网上突发事件，我们制定了应急处置方案，细化流程，责任到人。做到及时预警、快速反应、果断处置网上突发事件。

（五）我校网络中心经过仔细排查，已经关闭所有校园网内开通的交互式栏目（BBS，留言板）；对于必须使用留言服务的招生咨询网站，我们采取了用户发布信息必须审核和记录用户IP地址的机制。同时由新闻办公室安排专人负责信息审核工作，并在技术上采用了关键字过滤来防止有害信息。由于我们的高度重视，认真组织，确保了网络正常运行和信息安全，至今为止没有发生任何事故，受到了我校有关领导的肯定和好评。当然，随着科技的发展，社会信息的不断扩大，新时代，新情况对网络安全技术的要求也越来越高，新的问题也会不断出现，我们真正希望通过省厅的此次网络信息安全防范系统情况的调查使我校的网络运行得更安全，有利于社会的安定及国家的繁荣昌盛。

永胜县供销合作社联合社

2010年上半年政府信息系统安全检查自查报告

根据《永胜县人民政府办公室关于开展政府信息系统安全检查的通知》（永政办发〔2010〕56号）文件精神，结合我社实际，认真组织开展了信息系统的安全自查工作。现将相关情况报告如下：

一、信息系统安全检查基本情况

㈠信息安全组织机构落实情况

为规范信息公开工作，落实好信息安全的相关规定，我社成立了信息安全工作领导小组，落实了管理机构，由联社办公室负责信息安全的日常管理工作，明确了信息安全的主管领导、分管领导和具体管理人员。

㈡日常信息安全管理落实情况

根据供销合作社的工作实际，供销社日常信息安全工作主要涉及上级下发的涉密文件管理、政府信息公开工作信息管理、业务工作相关数据信息管理、组织人事信息管理。根据这些实际，县联社已从落实管理机构和人员、加强教育培训、更新设备、健全完善相关制度等方面对信息安全的人员、资产、运行和维护管理进行了落实。

一是，落实具体负责信息安全工作的人员，对涉密信息文件、材料实行专人管理；对重要办公区、办公计算机等进行严格管理，确保信息保密工作。

二是，结合供销社工作实际，对涉密文件材料管理和计算机、移动存储设备等的维修、报废、销毁管理进行了规定。对日常信息办公软件、应用软件等的安装使用，主要是由上级组织人事部门、业务主管部门下发的业务工作应用软件，均按照上级部门的要求和规定，严格进行操作管理。

三是，结合供销社政府信息公开工作，按照信息公开的相关保密规定和程序，初步建立了《永胜县供销合作社政府信息公开保密审查制度（试行）》，对信息公开、阳光政府四项制度等公开发布信息保密审查机制、程序进行了规范，完善相关信息审批备案和日常记录。

㈢等级保护与风险评估

永胜县供销合作社的相关信息系统主要是业务工作，不是重要涉密部门，还达不到涉密信息系统等级，所以，没有对信息系统定级、测评和评估。

㈣技术安全防范措施和手段落实情况

1、计算机及网络经过检查，已安装了防火墙，同时配置安装了专业杀毒软件，加强了在防篡改、防病毒、防攻击、防瘫痪、防泄密等方面的有效性。并按县委保密局的要求，在主要的计算机上统一粘贴了“非涉密计算机严禁处理涉密信息”的标识，杜绝涉密和非涉密计算机之间的混用。

2、网络终端没有违规上国际互联网及其他的信息网的现象，没有安装无线网络等。对信息公开发布门户网站及相关应用系统帐户、口令等进行检查，对服务器上的应用、服务、端口和链接进行了检查，没有网站信息被非法篡改，也没有非法链接。同时，日常工作中，及时对计算机进行漏洞扫描、木马检测等，加强安全监管。我单位使用的计算机都为非涉密计算机，主要是用于业务工作，没有用于处理涉密信息的情况。目前，网络运行良好，安全防范措施和设备运行良好，没有涉及国家秘密的相关信息，未在网上存储、传输国家秘密信息，未发生过失密、泄密现象。

3、密码技术防范方面。我单位的相关信息还达不到涉密信息系统等级，目前还没有使用密码技术防护措施。

㈤应急工作机制建设情况

1、应急响应机制建设上，根据相关要求，建立了信息安全的相关规章制度，要求县社信息安全管理办公室根据信息安全工作情况及时向工作领导小组报告相关情况，并及时上报县信息化办公室，及时采取有效措施，处理相关问题。目前，还没有应急响应方案。

2、对非涉密的相关重要工作信息实行光盘备份，以防范计算机系统故障带来的损失和影响。

3、目前，我社的信息安全管理工作还没有明确应急技术支援队伍，主要由县社办公室根据工作中的问题向县信息办及时报告咨询解决。目前，没有发生信息安全事件。

㈥信息技术产品和信息安全产品使用情况

我单位终端计算机安装的防火墙、入侵检测设备、杀毒软件等信息安全产品，使用360安全卫士等软件，皆为国产产品。公文处理软件具体使用金山软件的WPS office系统和Microsoft Office系统。单位使用的工资系统、业务统计报表系统、组织人事统计系统等应用软件均为县委、县政府相关部门和市供销社统一指定的产品系统。

㈦安全教育培训情况

1、县供销社积极参加全县保密工作会议和县委政府相关部门组织的信息系统安全知识培训，并专门负责机关的网络安全管理和信息安全工作。

2、结合集中学习，县供销社对全县保密工作会议精神进行了传达学习。同时，在日常工作中相关保密、信息安全工作人员也结合《保密工作》杂志及相关文件精神，开展自学，提高信息安全意识、保密意识。

㈧信息安全经费保障。

县供销合作社信息安全工作得到县社领导高度重视，信息安全相关学习培训材料的征订购买和相关防护设施建设、运行、维护和管理经费均纳入预算，实报实销，为信息安全提供了经费保障。

二、信息安全检查存在的主要问题及整改情况

经过安全检查，我单位信息安全总体情况良好，但也存在了一些不足，同时结合单位工作实际，进行了整改同时提出了进一步整改的措施。

1、部分干部职工对信息安全工作的认识不到位。由于本部门工作涉密很少，机关干部对信息安全防范的意识还不高，对信息系统安全工作重要性的认识还不足。针对这些情况，县社领导已结合传达全县保密工作会议精神，进一步作了强调和要求。结合工作开展，今后将继续加强对机关干部的信息系统安全意识教育，提高干部职工对信息安全工作重要性的认识。

2、设备维护、更新不及时。部分股室计算机的杀毒软件、防护软件没有及时进行更新升级，存在部分漏洞。针对这些问题，办公室已及时对各终端计算机的杀毒软件、防火墙等进行了更新升级，对存在的漏洞进行了修复。今后将对线路、系统等的及时维护和保养，及时更新升级防护软件。

3、信息系统安全工作的水平还有待加强。供销社的信息系统工作人员均为兼职人员，非专业人员，对信息安全的管护水平低，还需要加强专业学习培训，提高信息安全管理和管护工作的水平。

4、信息安全工作机制还有待完善。部门信息安全相关工作机制制度、应急预案等还不健全，还要完善信息安全工作机制，建立完善信息安全应急响应机制，以提高机关网络信息工作的运行效率，促进办公秩序的进一步规范，防范风险。

三、对信息安全检查工作的意见和建议

一是，进一步加大对信息安全工作人员的业务培训。由于很多部门的信息安全工作人员均为兼职，均是“半路出家”，非专业人员，没有专业的技能和知识，希望进一步加强对计算机信息系统安全管理工作的业务操作培训，发放一些信息网络安全管理方面的业务知识材料。

二是，加强对各级各部门干部职工的信息系统安全教育。通过开展专题警示教育培训，增强信息系统安全意识，提高做好信息安全工作的主动性和自觉性。

三是，加强分类指导。由于各部门工作性质不同，信息安全的级别也不同。希望结合各部门工作实际，对重点信息安全部门和非重点信息安全部门进行分类指导。

二○一○年六月二十二日

泸州市人民政府信息化管理办公室：

根据你办《关于印发<2009泸州市政府信息系统安全检查指南>的通知》(市府信管办〔2009〕33号)文件要求和市府办召开的网络与信息安全事件应急预案暨信息系统安全检查工作会的要求，现就我区政府信息系统安全检查自查情况汇报如下：

一、信息安全总体情况

10月15日、16日参加完市上会议之后，我区及时开展了信息系统安全情况的调查摸底工作，制定了工作方案，并获得领导的大力支持。于10月23日印发了《2009泸州市纳溪区政府信息系统安全检查指南》的通知。在10月27日，我区召开了全区网络与信息安全事件应急预案暨政府信息系统安全检查工作会，安排布置了全区的工作。

1、安全制度落实情况

经自查发现，我区各级各单位的网络与信息系统管理机构比较完善，有主管领导和具体检查人员，信息安全责任制和各项安全保密制度较完善，重要部门人员管理制度落实，每个部门都落实了一名人员，负责信息日常安全。严格实行了“谁上网，谁使用，谁负责”的原则。重要信息上网必须经过单位分管领导批准，一般信息上网必须经过部门负责人审核。我区针对新中国成立60周年国庆制定了完善的应急工作方案，坚持了网络值班。同时将信息安全经费列入财政预算，今年全区已落实近15万元用于网络与信息安全建设。

近年来，通过中心机房建设和对网络配套改造，建成了覆盖全区的高速信息网络系统。我区部署了网络硬件路由、防火墙，党政网上应用了金山毒霸网络版杀毒软件，政务外网上应用了卡巴斯基网络版杀毒软件。机房实施了UPS供电，建立了中心机房网络雷电防护

体系。我区建立健全了网络值班制度，加强了网络值班工作，区信息化办工作人员每天对设备运行情况、网站信息发布情况进行监控，并填写值班日志。

2、安全防范措施落实情况

我区要求各级各单位严格按保密管理、密码管理、等级保护要求，对上党政网的计算机进行了加密保护。涉密计算机实行专人管理，责任到人。对涉密介质，如光盘、磁盘、优盘等由专人管理。做到了涉密计算机定点维修，保证了涉密计算机的安全和保密；同时加强对涉密文件资料的管理，所有印发的涉及单位秘密的文件资料者是在单位文印部门（打印中心）制作，并编排序号；上级发来的涉密文件资料都是作好严格登记，并根据工作需要，严格控制范围，认真履行了传借阅国家秘密文件登记、签收手续，未有丢失现象；对秘密文件都是实行专门文件夹传阅，并将领导阅后的秘密文件收回并专门保管，防止秘

密文件的流失。

自查发现，我区计算机使用国产化率较高，主要的品牌有联想、清华同方等，使用较多的非国产品牌有HP、DELL等。字处理软件95%以上都使用微软Office,只有少数使用国产WPS。互联网终端计算机上85%使用的瑞星和金山毒霸等杀毒软件，少数使用360安全卫士和卡巴斯基等。党政网的计算机90%以上都使用了网络版金山毒霸，电子政务外网

85%以上都使用了网络版的卡巴斯基。

我区各级各单位都高度重视政府信息系统安全检查工作，为了搞好这次检查，都成立了领导小组，主要领导亲自抓，分管领导具体抓。对这次检查进行了统筹安排，严密组织，明确了职责，强化了责任，以确保检查不走过场，注重实效，确保检查质量，以切实提高政府信息系统安全保障能力，确保我区政府信息系统安全运行。

二、信息安全检查发现的主要问题及整改情况

根据《通知》中的具体要求，在自查过程中我们也发现了一些不足，同时结合我区实际，今后要在以下几个方面进行整改。

1、部分单位安全意识不够。部分单位工作人员信息安全意识不够，未引起高度重视。检查要求其要高度保持信息安全工作的警惕性，从政治和大局出发，继续加强对机关干部的安全意识教育，提高做好安全工作的主动性和自觉性。

2、部分单位缺乏相关专业人员。由于部分单位缺乏相关专业技术人员，信息系统安全方面可投入的力量非常有限，下一步要加强相关技术人员的培训工作。

3、部分单位安全制度落实不力。要求各单位要加强制度建设，加大安全制度的执行力度，责任追究力度。要强化问责制度，对于行动缓慢、执行不力、导致不良后果的单位和个人，要严肃追究相关责任人责任，从而提高人员安全防护意识。

4、部分单位工作机制有待完善。部分单位网络与信息安全管理混乱，要进一步创新安全工作机制，提高机关网络信息工作的运行效率，进一步规范办公秩序。

5、计算机病毒问题较为严重。由于单位经费紧张，部分单位使用的是盗版杀毒软件，有的是网上下载的，有的是已过期不能升级的，更有不装杀毒软件的。要求各单位加大投

入，确保用上正版杀毒软件。

6、计算机密码管理重视不够。相当部分计算机未设置密码，有的密码设置也过于简单。要求各台计算机至少要设置8-10个字符的开机密码。

三、对信息安全检查工作的建议和意见

信息和信息网络安全的防范和监管是信息主管部门的一个重要职责。明确信息安全检查工作是为了加强安全防范，在此，对于做好安全防范工作建议如下：

1、明确各层组织机构和人员的网络和信息安全责任，实现组织和人力上的安全保证；

2、组织建立和健全各项信息和信息网络安全制度，实现制度和管理上的安全保证；规范日常信息化管理和检查制度。包括：软件管理、硬件管理、机房管理、系统运行和维护管理、网络管理等，提出并实施各系统配置和标准化设置，便于安全的维护和加固，实

现基础管理上的安全保证；

3、组织好单位内的项目协调、实施、推广应用与培训等工作，确保信息化项目的实施成效，实现规划和应用上的安全保证；

4、我区对网络与信息安全检查工作进行了部署，建议市上指导我区开展网络和信息

系统安全应急演练。

泸州市纳溪区人民政府信息化管理办公室

二OO九年十一月五日

第五篇：烟草专卖局信息网络安全等级保护工作自检自查报告

烟草专卖局信息网络安全等级保护工作自检自查报告

根据市局通知要求，我局立即开展了一系列的自查自评活动，认真对照2010年综治、安全目标管理考评办法，精心部署并周密安排了对全年综治、安全工作的自查自纠活动，自查自纠结束后，我局还对照2010年综治、安全考评表对自查结果进行自我评价。现将自查自评情况汇报如下：

一、制定科学的安全管理制度，确保各项规定落实到位

二、为使综治工作进一步规范化、制度化，确保综治安全工作做到有章可循、严格依章管好每一个岗位的人员，我局在原有制度的基础上，完善了安全工作十三条制度、七项职责，完善健全了车辆和驾驶员管理台帐，车辆派车单、车队工作、车辆使用、维修、派车、停放制度和驾驶员管理制度。同时成立了各类机构，设立了专门安全员，并与各部门及相关岗位签订了安全责任奖。为了确保制度的行之有效，我局把安全工作列入各科室的绩效考评。

二、对重点部位进行细致的检查。

对局卷烟仓库、财务室、微机房、网点中队等重点部位灭火器、应急照明、疏散指示标志等进行自查，有10个灭火器需在11月中旬换药，目前已全部更换好，均达安全要求，其他各类防盗设施、监控系统完整好用，网络系统安全稳定，制定了安全保卫管理制度，并定期对员工进行安全教育和突发事件应对措施教育，加强员工的安全防患意

识，全面落实人防、物防、技防措施，确保安全。

三、节假日值班及日常检查情况。

我县局（公司）联系实际，在重大节日和非常时期都落实了24小时值班制度，并由领导亲自带班，交接班按严格进行登记，值班人员坚守岗位，没有无故缺岗，值班巡查作好了详细记录。坚持开展常规性检查、突击性检查和专项检查相结合的方式，发现隐患及时认真整改，防止了事故的发生，并对自查、整改情况记入《安全检查档案》。

四、综治安全教育培训情况。

我局定期对驾驶员、综治安全员、财务人员进行培训教育，并做好学习记录，我局还定期组织驾驶员学习交通法律法规，经常交流驾驶经验和心得，使其自觉遵守交通规则和单位制度，同时，抓好派车、用车、管车等制度的落实，严防交通事故的发生。

五、职业健康安全体系开展情况

在安全体系运行的过程中，全员认真学习体系文件，全面掌握体系标准的基本内容，深刻领会其精神实质，领导带头遵守体系文件的各项规定，确保了贯标工作落到实处，同时不断完善和修改体系文件，针对辨识的危险源，在认真调查研究的基础上，多次召开专题会议，先后修订完善了防盗、抢应急预案、防触电事故应急预案、食物中毒应急预案、防震救灾、防交通事。安全管理水平逐步迈上规范化、制度化的轨道。

六、发现的问题及自评情况。

通过本次对全局一年来综治安全工作的自查自纠活动，我局也发现了一些问题和不足，如：综治安全工作一些方面做得还不够细,安全检查人员的素质不够高；矛盾纠纷排查工作开展力度还不够；综治安全方面法律法规和相关制度的学习应加强。

总的来说，我局本的综治安全工作基本可以达到市局考评方案要求，我局将立即整改自查自纠中发现的问题，扬长补短，迎接好即将到来的省、市局综治安全年终考评工作。

南丰县烟草专卖局

二0一0年十一月二十九日