市中医医院开展信息系统等级保护检查工作自查报告

第一篇：市中医医院开展信息系统等级保护检查工作自查报告

市中医医院开展信息系统等级保护检查工作自查报告 为进一步推进信息安全等级保护工作，提高基础信息网络和重要信息系统安全保障能力，保障党的十八大胜利召开，根据市卫生局《关于开展信息系统等级保护检查工作的通知》文件精神和要求，医院高度重视，及时召开院信息系统安全等级保护工作领导小组会议，积极部署工作、明确责任、具体落实，按照“谁主管谁负责、谁运行谁负责、谁使用谁负责”的原则，认真对照信息安全等级保护自查项目表，对我院信息安全等级保护工作进行了一次摸底调查，现将此项工作自查情况汇报如下：

一、等级防护工作的组织部署和实施情况

成立了xx市中医医院信息系统安全等级保护工作领导小组，落实了信息安全责任制；对等级保护责任部门和岗位人员进行了确定，确保专人落实；制定了等级保护工作的文件及相关工作方案；严格按照国家等级保护政策、标准规范和行业主管部门的要求，组织开展各项工作；及时召开了信息系统安全等级保护工作领导小组工作会议；医院主要领导对等级保护工作作出了重要批示，并在工作会议上提出了四点要求。

二、信息安全管理制度的建立和落实情况

院信息中心制定了《xx市中医医院信息化建设总体规划》、《xx市中医医院信息系统工作制度与人员岗位职责目录》、《xx市中医医院计算机管理系统应急预案》、《xx市中医医院HIS信息系统工作制度》等相关制度，并在实际工作中对照制度严格执行各项操作流程。

三、信息系统安全等级保护定级备案情况

我院目前的信息系统所承载的业务、服务范围、安全需求暂时未发生变化；对本单位重要信息系统的重要性均有清楚的认识。

四、信息技术产品和信息系统安全产品使用情况

我院计算机、公文处理软件和信息系统安全产品均为国产产品，包括使用360、金山安全卫士、金山毒霸、卡巴斯基等安全软件。公文处理软件使用了MicrosoftOffice系统。单位使用的工资系统、业务系统、数据传输平台系统、数据库等应用软件均为市委、市政府政府相关部门、市财政局和市卫生局统一指定的产品系统。重点信息系统使用的服务器、路由器、交换机等均为国产产品。

五、信息系统安全检查存在的主要问题及整改情况

1、信息系统安全工作的水平还有待提高。医院的信息系统工作人员均为兼职人员，非专业人员，对信息系统安全的管护水平低，还需要加强专业学习培训，提高信息系统安全管理和管护工作的水平。

2、设备维护、更新有待加强。部分科室计算机的杀毒软件、防护软件没有及时进行更新升级，存在系统漏洞。针对这些问题，信息中心已及时对各终端计算机的杀毒软件、防火墙等进行了更新升级，对存在的漏洞进行了修复。今后将对线路、系统等的及时维护和保养，及时更新升级防护软件。

3、信息系统安全工作机制还有待完善。部门信息系统安全相关工作机制制度、应急预案等还不健全，还要完善信息系统安全工作机制，建立完善信息系统安全应急响应机制，以提高医院网络信息工作的运行效率，促进医疗、办公秩序的进一步规范，防范风险。

六、对信息系统安全检查工作的意见和建议

1、进一步加大对信息系统安全工作人员的业务培训。由于很多部门的信息系统安全工作人员均为兼职，均是“半路出家”，非专业人员，没有专业的技能和知识，希望上级相关部门组织培训班进一步加强对计算机信息系统安全管理工作的业务操作培训，发放一些信息网络安全管理方面的业务知识材料。

2、加强对全院职工的信息系统安全教育。通过开展专题警示教

育培训，增强信息系统安全意识，提高做好信息系统安全工作的主动性和自觉性。

3、加强分类指导。由于各科的工作性质不同，信息系统安全的防护级别也不同。希望结合各科室工作实际，对重点信息系统安全部门和非重点信息系统安全部门进行分类指导。

二〇一二年六月二十六日

第二篇：某区关于开展信息系统等级保护检查工作自查报告

***区关于开展信息系统等级保护检查工作自

查报告

为进一步推进信息安全等级保护工作，提高基础信息网络和重要信息系统安全保障能力，保障党的十八大胜利召开，根据市卫生局《关于开展信息系统等级保护检查工作的通知》文件精神和要求，我区高度重视，及时召开信息系统安全等级保护工作领导小组会议，积极部署工作、明确责任、具体落实，按照“谁主管谁负责、谁运行谁负责、谁使用谁负责”的原则，认真对照信息安全等级保护自查项目表，对我区医疗单位信息安全等级保护工作进行了一次摸底调查，现将此项工作自查情况汇报如下：

一、等级防护工作的组织部署和实施情况

成立了区卫生系统信息系统安全等级保护工作领导小组，落实了信息安全责任制；对等级保护责任部门和岗位人员进行了确定，确保专人落实；制定了等级保护工作的文件及相关工作方案；严格按照国家等级保护政策、标准规范和行业主管部门的要求，组织开展各项工作；及时召开了信息系统安全等级保护工作领导小组工作会议；区主管卫生的副区（局）长对等级保护工作作出了重要批示，并在工作会议上提出了工作点要求。

二、信息系统安全等级保护定级备案情况

我区卫生系统目前的信息系统所承载的业务、服务范围、安全需求暂时未发生变化；各单位重要信息系统的重要性均有清楚的认识。

三、信息技术产品和信息系统安全产品使用情况

我区各卫生系统计算机、公文处理软件和信息系统安全产品均为国产产品，包括使用360、金山安全卫士、金山毒霸、卡巴

斯基等安全软件。公文处理软件使用了MicrosoftOffice系统。各单位使用的业务系统、数据传输平台系统、数据库等应用软件均为省卫生厅，统一指定的产品系统。重点信息系统使用的服务器、路由器、交换机等均为国产产品。

四、信息系统安全检查存在的主要问题及整改情况

1、信息系统安全工作的水平还有待提高。各单位的信息系统工作人员均为兼职人员，非专业人员，对信息系统安全的管护水平低，还需要加强专业学习培训，提高信息系统安全管理和管护工作的水平。

2、信息系统安全工作机制还有待完善。信息系统安全相关工作机制制度、应急预案等还不健全，还要完善信息系统安全工作机制，建立完善信息系统安全应急响应机制，以提高网络信息工作的运行效率，促进医疗、办公秩序的进一步规范，防范风险。

五、对信息系统安全检查工作的意见和建议

1、进一步加大对信息系统安全工作人员的业务培训。由于很多部门的信息系统安全工作人员均为兼职，均是“半路出家”，非专业人员，没有专业的技能和知识，希望上级相关部门组织培训班进一步加强对计算机信息系统安全管理工作的业务操作培训，发放一些信息网络安全管理方面的业务知识材料。

2、加强分类指导。由于各单位、部门的工作性质不同，信息系统安全的防护级别也不同。希望结合各单位、部门工作实际，对重点信息系统安全单位、部门和非重点信息系统安全单位、部门进行分类指导。

*****卫生局

二〇一二年九月五日

第三篇：信息系统等级保护建设思路（xiexiebang推荐）

信息系统等级保护建设思路

实施信息安全等级保护，能够有效地提高我国信息和信息系统安全建设的整体水平，有利于在信息化建设过程中同步建设信息安全设施，保障信息安全与信息化建设相协调;有利于为信息系统安全建设和管理提供系统性、针对性、可行性的指导和服务，有效控制信息安全建设成本;有利于优化信息安全资源的配置，重点保障基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统的安全;有利于明确国家、法人和其他组织、公民的信息安全责任，加强信息安全管理;有利于推动信息安全产业的发展。

《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发[2003]27号)，明确指出将等级保护制度作为我国信息安全领域的一项基本制度。2010年发布的《关于推动信息安全等级保护测评体系建设和开展等级测评工作的通知》(公信安[2010] 303号)明确指出，“2011年底前完成第三级(含)以上信息系统的测评工作，2012年底之前完成第三级(含)以上信息系统的安全建设整改工作。”在制度保证的前提下，各企业和组织要明确信息系统等级保护建设思路，才能事半功倍，确实提升信息系统安全保障能力。

一、信息安全等级保护的情况介绍

实施信息安全等级保护，能够有效地提高我国信息和信息系统安全建设的整体水平，有利于在信息化建设过程中同步建设信息安全设施，保障信息安全与信息化建设相协调;有利于为信息系统安全建设和管理提供系统性、针对性、可行性的指导和服务，有效控制信息安全建设成本;有利于优化信息安全资源的配置，重点保障基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统的安全;有利于明确国家、法人和其他组织、公民的信息安全责任，加强信息安全管理;有利于推动信息安全产业的发展。

国内信息安全等级保护工作的开展是一个随着计算机技术的发展和业务对计算机系统依赖性逐渐增加，不断发展和完善起来的。《国家信息化领导小组关于加强信息安全保障工作的意见》正式出台，明确提出非涉密信息系统遵循等级保护思想进行信息安全建设。公安部网络安全保卫局在全国开展等级保护工作试点，先后发布了信息系统定级、备案、整改建设、等级测评等各重要环节的有关文件，指导等级保护工作开展。其中2009年的公信安1429号文《关于开展信息安全等级保护安全建设整改工作的指导意见》明确提出2012年年底前完成已定级信息系统的整改工作。

等级保护的技术体系也基本成型，目前涉及到等级保护建设的技术标准和规范大约有30多个，主要包括了技术、管理、产品、建设流程等各方面的内容，如:定级指南、备案细则、实施指南、安全设计、基本要求、测评过程要求、测评指南，使得等级保护工作在各个环节都有具体的技术标准可以参考。

二、工作思路与建设原则

对于具有分支机构的大型企业组织来说，信息安全工作已经有等级保护的制度和技术体系做依托，更多的是在实践中摸索出适合本企业组织信息系统安全建设的工作思路与建设原则。

统一规划、统一标准、统筹协调

统一规划:统一制订规划建设推进方案、等级保护工程建设方法，各信息系统均需要参照规划方案实施，不能自行规划。

统一标准:统一组织制订等级保护建设的流程、步骤、技术和管理规范，确保上下衔接、互联互通。

统筹协调:统筹全局，协调各分支机构或各业务系统之间的资源共享、业务协同，联合推进等级保护建设。

分级建设、分步实施、分类指导

分级建设;统一组织等级保护项目建设;各分支机构在总体方案的指导下，负责信息系统在本区域范围内的建设和安全运营维护。

分步实施根据目前等级保护项目建设基础条件和特点，采用分批分期建设方式开展项目建设。

分类指导:对干不同的信息系统，采用不同的组织管理模式、工作机制和推进方式。

加强管理

加强管理:落实等级保护项目建设组织机构、责任部门，科学调度，加强项目过程管理，确保项目取得成功。

建设原则

法规遵循:应严格执行国家法律法规、相关主管部门的要求。

科学管理:严谨、先进的技术项目实施与科学、规范的项目实施管理手段相结合，以提高整体项目实施的效率，保证项目质量，缩短项目工期，降低项目成本。

平稳过渡项目包含子系统较多，且项目需要进行网络改造，在项目实施时，采用分项，循序渐进的方式，保证系统改造不影响日常办公的使用，平稳过渡。

适当先进:综合考虑本单位实际情况，在结合实际的基础上，确保建成的信息系统能够符合当前网络技术、信息技术发展的趋势，具有一定的先进性，在未来5年内能满足科研生产任务和国家法律法规相关要求的实际需要。

便于维护:系统应具有良好的可扩展性和可维护性，部署便利、使用简便、维护集中，并可以实现服务和应用的灵活扩展。

重视培训:系统是按计划分步实施的，培训也将随着项目的各个阶段分期进行，并根据培训的效果做出相应的调整，以达到更好的培训的效果。

三、信息安全保障体系总体框架

信息安全保障体系总体框架

在进行信息安全等级保护安全建设工作中，严格遵循国家等级保护有关规定和标准规范要求，坚持管理和技术并重的原则，将技术措施和管理措施有机结合，建立信息系统综合防护体系，提高信息系统整体安全保护能力。非涉密信息系统总体安全框架如图1所示。

点击图片查看大图

图1 信息安全保障体系总体框架

总体安全框架是将等级保护基本要求、技术设计要求与安全防护需求充分融合，采用“一个中心、两大体系、三重防护”为企业组织提供体系化的防护能力，确保系统安全运行。

四、信息安全管理体系的建设

信息安全管理制度是信息安全领域各种规则的制度化的体现，在信息化相关活动中起着统一目标、规范流程、保障信息安全实施效果的重要作用。通过对信息安全制度规范的决策，首先从高层确保企业组织的信息安全工作“有法可依”，推动信息安全制度建设工作，营造一个积极的信息安全控制环境。

信息安全管理体系的建设，我们要考虑以下几个方面:

一、安全管理制度框架、安全管理制度、规范、流程及表单;

二、信息安全管理机构、岗位;

三、人员安全管理;

四、系统建设管理;

五、系统运维管理。

六、合规性的电子化管理。

企业组织的等级保护工作也需要信息化的手段来进行约束。信息系统合规性监管系统就是将等级保护相关基本要求以及风险管理与控制体系建设方法及过程，按照以重要信息系统为基础、以等级保护建设工作流为核心、以等级保护基本要求进行建模、加以等级保护控制措施进行分析，通过风险评估看清风险，通过体系建设制定任务，通过体系保障完整建设。从而规范等级保护建设管理与控制体系的建设过程，提升组织信息安全风险管理与控制体系的完备性及有效性。

五、信息安全技术体系的建设

信息安全技术体系规划设计流程

信息安全技术体系规划设计流程包括五个阶段:系统调研阶段、安全域规划、系统定级、技术体系设计、技术手段落实。对应的输出是:业务系统调研文档、安全域规划方案、业务系统定级方案、业务系统安全防护方案、初步设计文档技术体系部分。

信息安全技术体系设计原则

设计信息系统技术安全解决方案时，应遵循以下原则:

风险(需求)、成本〔投入)及效果(收益)相平衡的原则

对任何一个信息系统来说，绝对安全是难以达到的。信息安全技术体系建设的最高原则是风险、成本及效果三原则相结合的结果。

综合性、整体性、一致性原则

一个组织的http://www.xiexiebang.com网络骨干区域、网络接人区域。我们可以把它看成公共的基础性区域，是企业各个应用系统出口的高速公路，是企业连续性要求的重要依托。我们强调的是结构化的安全、安全审计与网络设备自身的防护。

终端接入安全防护设计

随着企业和组织的业务发展，组网技术的发展，终端的定义越来越宽泛，接人的形式也越来越多样化。信息安全问题直接延伸到企业人员使用的端点设备上。我们应重点强调身份鉴别、恶意代码防范和用户行为控制，同时也要意识到易用性与安全的平衡。

六、信息安全运维体系的建设

企业和组织的信息化过程已经从大规模建设阶段逐步转型为“建设和运维”并举的阶段。我们可以看到大多数的信息安全运维体系的服务水平处在一个被动的阶段。主要表现在信息技术和设备的应用越来越多，但运维人员在信息系统出现安全事件的时候却茫然不知所措。因此，行之有效的信息安全运维体系，是信息安全管理体系与信息安全技术体系落地的根本之道。

运维服务的发展趋势与阶段划分

安全运维服务通常可以分为五个阶段:混乱、被动、主动、服务和价值阶段。”NSM一ITSM-}BSM”将是IT管理逐步提升的经典路线模型，反映了IT的运营作为一个新兴的企业活动逐步成熟，持续提升。NSM(针对IT技术设施的网络系统管理)、ITSM(针对流程、人员管理的IT服务管理)，BSM(业务服务管理)这些目前己经被广泛应用的理念，在IT管理的发展过程中，发挥了巨大的作用。

安全运维体系的构建

目前条件下的安全运维体系可以分三个阶段构建:

第一阶段从“被动响应”到“主动管理”，是采用NSM实现管理提升的阶段。通过实现对技术元素的数据收集和分析，获得从整个IT信息环境到每个计算实体元素的运行状态信息，因此也能够在故障发生时或者发生之前采取主动的管理操作，实现对工T技术设施的有效掌控和管理，有效提高IT环境的运行质量。建立安全运维监控中心实现第一阶段目标

第二阶段:从“主动管理”到“服务导向”，采用ITSM实现管理提升。在实现了对所有IT技术元素的全面监控以后，IT技术设施的运行质量有了明显改善，但仍未从根本上解决“意外问题”的发生。全球范围内的调查表明，IT问题的出现，除了和设备元素本身的可靠性、性能等密切相关以外，更多的问题(超过80%)是由于IT运维人员没有按照规范的操作流程来进行日常的维护管理，缺乏有效的协同机制等造成的。也就是说，管理的缺位，而不是技术设施本身的问题阻碍了企业IT部门工作效率的提高。借鉴并融合ITIL(信息系统基础设施库)/ITSM(IT服务管理)建立安全运维事件响应中心，借助图形化、可配置的工作流程管理系统，将运维管理工作以任务和工作单传递的方式，通过科学的、符合用户运维管理规范的工作流程进行处置，处理过程电子化流转、减少人工错误，实现对事件、问题处理过程中的各个环节的追踪、监督和审计。

第三阶段:从“服务管理”到“业务价值”，采用BSM实现管理提升。在信息时代，企业的发展和IT环境的成熟是一个互相驱动、交替上升的过程。商业社会中，企业作为一个经济运行实体，其所有的活动和投人都是围绕利益产出的目标进行的。在当前激烈的商业竞争环境中，企业正不断地进行变革，以适应市场和用户的需求。作为业务重要支撑元素的IT正面临着越来越大的挑战。如何充分利用已有的IT资源并持续优化资源配置，如何实现IT和业务目标相统一、持续推动业务发展、创造商业价值，己经成为众多企业信息部门主管、CIO、甚至更高层管理人员的重要难题。建立以信息资产管理为核心的安全运维审核评估中心是这一阶段的工作目标。能够实现信息系统运行质量、服务水平、运维管理工作绩效的综合评估、考核、审计:能够实现关键业务的配置管理、关键业务与基础设施的关联、关键业务的综合运行态势的把握。

七、结束语

在信息安全保障体系总体框架的指导下，注重信息安全管理体系、技术体系和运维体系的建设。充分意识到等级保护建设整改过程中的政策和技术发展的风险，注重安全技术手段的适用性，就可以有效地解决企业和组织面临的安全问题，按照“明确重点、突出重点、保护重点”的原则，将有限的财力、物力、人力投人到重要信息系统的安全保护中，逐步推进企业信息系统安全保障水平。

第四篇：计算机信息系统等级保护二级基本要求

第二级基本要求 1.1 技术要求 1.1.1 物理安全

1.1.1.1 物理位置的选择（G2）

机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内。1.1.1.2 物理访问控制（G2）

本项要求包括：

a)机房出入口应安排专人值守，控制、鉴别和记录进入的人员；

b)需进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围。1.1.1.3 防盗窃和防破坏（G2）

本项要求包括：

a)应将主要设备放置在机房内；

b)应将设备或主要部件进行固定，并设置明显的不易除去的标记； c)应将通信线缆铺设在隐蔽处，可铺设在地下或管道中； d)应对介质分类标识，存储在介质库或档案室中； e)主机房应安装必要的防盗报警设施。1.1.1.4 防雷击（G2）

本项要求包括：

a)机房建筑应设置避雷装置； b)机房应设置交流电源地线。1.1.1.5 防火（G2）

机房应设置灭火设备和火灾自动报警系统。1.1.1.6 防水和防潮（G2）

本项要求包括：

a)水管安装，不得穿过机房屋顶和活动地板下； b)应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透； c)应采取措施防止机房内水蒸气结露和地下积水的转移与渗透。1.1.1.7 防静电（G2）

关键设备应采用必要的接地防静电措施。1.1.1.8 温湿度控制（G2）

机房应设置温、湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的范围之内。

1.1.1.9 电力供应（A2）

本项要求包括：

a)应在机房供电线路上配置稳压器和过电压防护设备；

b)应提供短期的备用电力供应，至少满足关键设备在断电情况下的正常运行要求。1.1.1.10 电磁防护（S2）电源线和通信线缆应隔离铺设，避免互相干扰。1.1.2 网络安全

1.1.2.1 结构安全（G2）

本项要求包括：

a)应保证关键网络设备的业务处理能力具备冗余空间，满足业务高峰期需要； b)应保证接入网络和核心网络的带宽满足业务高峰期需要； c)应绘制与当前运行情况相符的网络拓扑结构图；

d)应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段。

1.1.2.2 访问控制（G2）

本项要求包括：

a)应在网络边界部署访问控制设备，启用访问控制功能；

b)应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为网段级。

c)应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户；

d)应限制具有拨号访问权限的用户数量。1.1.2.3 安全审计（G2）

本项要求包括：

a)应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录； b)审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息。

1.1.2.4 边界完整性检查（S2）

应能够对内部网络中出现的内部用户未通过准许私自联到外部网络的行为进行检查。1.1.2.5 入侵防范（G2）

应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等。1.1.2.6 网络设备防护（G2）

本项要求包括：

a)应对登录网络设备的用户进行身份鉴别； b)应对网络设备的管理员登录地址进行限制； c)网络设备用户的标识应唯一；

d)身份鉴别信息应具有不易被冒用的特点，口令应有复杂度要求并定期更换； e)应具有登录失败处理功能，可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施；

f)当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听。

1.1.3 主机安全 1.1.3.1 身份鉴别（S2）

本项要求包括：

a)应对登录操作系统和数据库系统的用户进行身份标识和鉴别；

b)操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换；

c)应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施；

d)当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听；

e)应为操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有唯一性。

1.1.3.2 访问控制（S2）

本项要求包括：

a)应启用访问控制功能，依据安全策略控制用户对资源的访问； b)应实现操作系统和数据库系统特权用户的权限分离；

c)应限制默认帐户的访问权限，重命名系统默认帐户，修改这些帐户的默认口令； d)应及时删除多余的、过期的帐户，避免共享帐户的存在。1.1.3.3 安全审计（G2）

本项要求包括：

a)审计范围应覆盖到服务器上的每个操作系统用户和数据库用户；

b)审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件；

c)审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等； d)应保护审计记录，避免受到未预期的删除、修改或覆盖等。1.1.3.4 入侵防范（G2）

操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序，并通过设置升级服务器等方式保持系统补丁及时得到更新。1.1.3.5 恶意代码防范（G2）

本项要求包括：

a)应安装防恶意代码软件，并及时更新防恶意代码软件版本和恶意代码库； b)应支持防恶意代码软件的统一管理。1.1.3.6 资源控制（A2）

本项要求包括：

a)应通过设定终端接入方式、网络地址范围等条件限制终端登录； b)应根据安全策略设置登录终端的操作超时锁定； c)应限制单个用户对系统资源的最大或最小使用限度。1.1.4 应用安全

1.1.4.1 身份鉴别（S2）本项要求包括：

a)应提供专用的登录控制模块对登录用户进行身份标识和鉴别；

b)应提供用户身份标识唯一和鉴别信息复杂度检查功能，保证应用系统中不存在重复用户身份标识，身份鉴别信息不易被冒用；

c)应提供登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施； d)应启用身份鉴别、用户身份标识唯一性检查、用户身份鉴别信息复杂度检查以及登录失败处理功能，并根据安全策略配置相关参数。

1.1.4.2 访问控制（S2）

本项要求包括：

a)应提供访问控制功能，依据安全策略控制用户对文件、数据库表等客体的访问； b)访问控制的覆盖范围应包括与资源访问相关的主体、客体及它们之间的操作； c)应由授权主体配置访问控制策略，并严格限制默认帐户的访问权限；

d)应授予不同帐户为完成各自承担任务所需的最小权限，并在它们之间形成相互制约的关系。

1.1.4.3 安全审计（G2）

本项要求包括：

a)应提供覆盖到每个用户的安全审计功能，对应用系统重要安全事件进行审计； b)应保证无法删除、修改或覆盖审计记录；

c)审计记录的内容至少应包括事件日期、时间、发起者信息、类型、描述和结果等。1.1.4.4 通信完整性（S2）

应采用校验码技术保证通信过程中数据的完整性。1.1.4.5 通信保密性（S2）

本项要求包括：

a)在通信双方建立连接之前，应用系统应利用密码技术进行会话初始化验证； b)应对通信过程中的敏感信息字段进行加密。1.1.4.6 软件容错（A2）

本项要求包括：

a)应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的数据格式或长度符合系统设定要求；

b)在故障发生时，应用系统应能够继续提供一部分功能，确保能够实施必要的措施。1.1.4.7 资源控制（A2）

本项要求包括：

a)当应用系统的通信双方中的一方在一段时间内未作任何响应，另一方应能够自动结束会话；

b)应能够对应用系统的最大并发会话连接数进行限制； c)应能够对单个帐户的多重并发会话进行限制。1.1.5 数据安全及备份恢复 1.1.5.1 数据完整性（S2）应能够检测到鉴别信息和重要业务数据在传输过程中完整性受到破坏。1.1.5.2 数据保密性（S2）

应采用加密或其他保护措施实现鉴别信息的存储保密性。1.1.5.3 备份和恢复（A2）

本项要求包括：

a)应能够对重要信息进行备份和恢复；

b)应提供关键网络设备、通信线路和数据处理系统的硬件冗余，保证系统的可用性。1.2 管理要求 1.2.1 安全管理制度 1.2.1.1 管理制度（G2）

本项要求包括：

a)应制定信息安全工作的总体方针和安全策略，说明机构安全工作的总体目标、范围、原则和安全框架等；

b)应对安全管理活动中重要的管理内容建立安全管理制度；

c)应对安全管理人员或操作人员执行的重要管理操作建立操作规程。1.2.1.2 制定和发布（G2）

本项要求包括：

a)应指定或授权专门的部门或人员负责安全管理制度的制定； b)应组织相关人员对制定的安全管理制度进行论证和审定； c)应将安全管理制度以某种方式发布到相关人员手中。1.2.1.3 评审和修订（G2）

应定期对安全管理制度进行评审，对存在不足或需要改进的安全管理制度进行修订。1.2.2 安全管理机构 1.2.2.1 岗位设置（G2）

本项要求包括：

a)应设立安全主管、安全管理各个方面的负责人岗位，并定义各负责人的职责； b)应设立系统管理员、网络管理员、安全管理员等岗位，并定义各个工作岗位的职责。1.2.2.2 人员配备（G2）

本项要求包括：

a)应配备一定数量的系统管理员、网络管理员、安全管理员等； b)安全管理员不能兼任网络管理员、系统管理员、数据库管理员等。1.2.2.3 授权和审批（G2）

本项要求包括：

a)应根据各个部门和岗位的职责明确授权审批部门及批准人，对系统投入运行、网络系统接入和重要资源的访问等关键活动进行审批； b)应针对关键活动建立审批流程，并由批准人签字确认。1.2.2.4 沟通和合作（G2）

本项要求包括： a)应加强各类管理人员之间、组织内部机构之间以及信息安全职能部门内部的合作与沟通；

b)应加强与兄弟单位、公安机关、电信公司的合作与沟通。1.2.2.5 审核和检查（G2）

安全管理员应负责定期进行安全检查，检查内容包括系统日常运行、系统漏洞和数据备份等情况。1.2.3 人员安全管理 1.2.3.1 人员录用（G2）

本项要求包括：

a)应指定或授权专门的部门或人员负责人员录用；

b)应规范人员录用过程，对被录用人员的身份、背景和专业资格等进行审查，对其所具有的技术技能进行考核；

c)应与从事关键岗位的人员签署保密协议。1.2.3.2 人员离岗（G2）

本项要求包括：

a)应规范人员离岗过程，及时终止离岗员工的所有访问权限； b)应取回各种身份证件、钥匙、徽章等以及机构提供的软硬件设备； c)应办理严格的调离手续。1.2.3.3 人员考核（G2）

应定期对各个岗位的人员进行安全技能及安全认知的考核。1.2.3.4 安全意识教育和培训（G2）

本项要求包括：

a)应对各类人员进行安全意识教育、岗位技能培训和相关安全技术培训； b)应告知人员相关的安全责任和惩戒措施，并对违反违背安全策略和规定的人员进行惩戒；

c)应制定安全教育和培训计划，对信息安全基础知识、岗位操作规程等进行培训。1.2.3.5 外部人员访问管理（G2）

应确保在外部人员访问受控区域前得到授权或审批，批准后由专人全程陪同或监督，并登记备案。1.2.4 系统建设管理 1.2.4.1 系统定级（G2）

本项要求包括：

a)应明确信息系统的边界和安全保护等级；

b)应以书面的形式说明信息系统确定为某个安全保护等级的方法和理由； c)应确保信息系统的定级结果经过相关部门的批准。1.2.4.2 安全方案设计（G2）

本项要求包括： a)应根据系统的安全保护等级选择基本安全措施，依据风险分析的结果补充和调整安全措施；

b)应以书面形式描述对系统的安全保护要求、策略和措施等内容，形成系统的安全方案；

c)应对安全方案进行细化，形成能指导安全系统建设、安全产品采购和使用的详细设计方案；

d)应组织相关部门和有关安全技术专家对安全设计方案的合理性和正确性进行论证和审定，并且经过批准后，才能正式实施。

1.2.4.3 产品采购和使用（G2）

本项要求包括：

a)应确保安全产品采购和使用符合国家的有关规定；

b)应确保密码产品采购和使用符合国家密码主管部门的要求； c)应指定或授权专门的部门负责产品的采购。1.2.4.4 自行软件开发（G2）

本项要求包括：

a)应确保开发环境与实际运行环境物理分开；

b)应制定软件开发管理制度，明确说明开发过程的控制方法和人员行为准则； c)应确保提供软件设计的相关文档和使用指南，并由专人负责保管。1.2.4.5 外包软件开发（G2）

本项要求包括：

a)应根据开发要求检测软件质量；

b)应确保提供软件设计的相关文档和使用指南； c)应在软件安装之前检测软件包中可能存在的恶意代码；

d)应要求开发单位提供软件源代码，并审查软件中可能存在的后门。1.2.4.6 工程实施（G2）

本项要求包括：

a)应指定或授权专门的部门或人员负责工程实施过程的管理； b)应制定详细的工程实施方案，控制工程实施过程。1.2.4.7 测试验收（G2）

本项要求包括：

a)应对系统进行安全性测试验收；

b)在测试验收前应根据设计方案或合同要求等制订测试验收方案，在测试验收过程中应详细记录测试验收结果，并形成测试验收报告；

c)应组织相关部门和相关人员对系统测试验收报告进行审定，并签字确认。1.2.4.8 系统交付（G2）

本项要求包括：

a)应制定系统交付清单，并根据交付清单对所交接的设备、软件和文档等进行清点； b)应对负责系统运行维护的技术人员进行相应的技能培训； c)应确保提供系统建设过程中的文档和指导用户进行系统运行维护的文档。1.2.4.9 安全服务商选择（G2）

本项要求包括：

a)应确保安全服务商的选择符合国家的有关规定；

b)应与选定的安全服务商签订与安全相关的协议，明确约定相关责任；

c)应确保选定的安全服务商提供技术支持和服务承诺，必要的与其签订服务合同。1.2.5 系统运维管理 1.2.5.1 环境管理（G2）

本项要求包括：

a)应指定专门的部门或人员定期对机房供配电、空调、温湿度控制等设施进行维护管理；

b)应配备机房安全管理人员，对机房的出入、服务器的开机或关机等工作进行管理； c)应建立机房安全管理制度，对有关机房物理访问，物品带进、带出机房和机房环境安全等方面的管理作出规定；

d)应加强对办公环境的保密性管理，包括工作人员调离办公室应立即交还该办公室钥匙和不在办公区接待来访人员等。

1.2.5.2 资产管理（G2）

本项要求包括：

a)应编制与信息系统相关的资产清单，包括资产责任部门、重要程度和所处位置等内容；

b)应建立资产安全管理制度，规定信息系统资产管理的责任人员或责任部门，并规范资产管理和使用的行为。

1.2.5.3 介质管理（G2）

本项要求包括：

a)应确保介质存放在安全的环境中，对各类介质进行控制和保护，并实行存储环境专人管理；

b)应对介质归档和查询等过程进行记录，并根据存档介质的目录清单定期盘点； c)应对需要送出维修或销毁的介质，首先清除其中的敏感数据，防止信息的非法泄漏；

d)应根据所承载数据和软件的重要程度对介质进行分类和标识管理。1.2.5.4 设备管理（G2）

本项要求包括：

a)应对信息系统相关的各种设备（包括备份和冗余设备）、线路等指定专门的部门或人员定期进行维护管理；

b)应建立基于申报、审批和专人负责的设备安全管理制度，对信息系统的各种软硬件设备的选型、采购、发放和领用等过程进行规范化管理； c)应对终端计算机、工作站、便携机、系统和网络等设备的操作和使用进行规范化管理，按操作规程实现关键设备（包括备份和冗余设备）的启动/停止、加电/断电等操作；

d)应确保信息处理设备必须经过审批才能带离机房或办公地点。1.2.5.5 网络安全管理（G2）

本项要求包括：

a)应指定人员对网络进行管理，负责运行日志、网络监控记录的日常维护和报警信息分析和处理工作；

b)应建立网络安全管理制度，对网络安全配置、日志保存时间、安全策略、升级与打补丁、口令更新周期等方面作出规定；

c)应根据厂家提供的软件升级版本对网络设备进行更新，并在更新前对现有的重要文件进行备份；

d)应定期对网络系统进行漏洞扫描，对发现的网络系统安全漏洞进行及时的修补； e)应对网络设备的配置文件进行定期备份； f)应保证所有与外部系统的连接均得到授权和批准。1.2.5.6 系统安全管理（G2）

本项要求包括：

a)应根据业务需求和系统安全分析确定系统的访问控制策略； b)应定期进行漏洞扫描，对发现的系统安全漏洞及时进行修补；

c)应安装系统的最新补丁程序，在安装系统补丁前，应首先在测试环境中测试通过，并对重要文件进行备份后，方可实施系统补丁程序的安装；

d)应建立系统安全管理制度，对系统安全策略、安全配置、日志管理和日常操作流程等方面作出规定；

e)应依据操作手册对系统进行维护，详细记录操作日志，包括重要的日常操作、运行维护记录、参数的设置和修改等内容，严禁进行未经授权的操作； f)应定期对运行日志和审计数据进行分析，以便及时发现异常行为。1.2.5.7 恶意代码防范管理（G2）

本项要求包括：

a)应提高所有用户的防病毒意识，告知及时升级防病毒软件，在读取移动存储设备上的数据以及网络上接收文件或邮件之前，先进行病毒检查，对外来计算机或存储设备接入网络系统之前也应进行病毒检查；

b)应指定专人对网络和主机进行恶意代码检测并保存检测记录；

c)应对防恶意代码软件的授权使用、恶意代码库升级、定期汇报等作出明确规定。1.2.5.8 密码管理（G2）

应使用符合国家密码管理规定的密码技术和产品。1.2.5.9 变更管理（G2）

本项要求包括：

a)应确认系统中要发生的重要变更，并制定相应的变更方案； b)系统发生重要变更前，应向主管领导申请，审批后方可实施变更，并在实施后向相关人员通告。

1.2.5.10 备份与恢复管理（G2）

本项要求包括：

a)应识别需要定期备份的重要业务信息、系统数据及软件系统等； b)应规定备份信息的备份方式、备份频度、存储介质、保存期等；

c)应根据数据的重要性及其对系统运行的影响，制定数据的备份策略和恢复策略，备份策略指明备份数据的放置场所、文件命名规则、介质替换频率和数据离站运输方法。

1.2.5.11 安全事件处置（G2）

本项要求包括：

a)应报告所发现的安全弱点和可疑事件，但任何情况下用户均不应尝试验证弱点； b)应制定安全事件报告和处置管理制度，明确安全事件类型，规定安全事件的现场处理、事件报告和后期恢复的管理职责；

c)应根据国家相关管理部门对计算机安全事件等级划分方法和安全事件对本系统产生的影响，对本系统计算机安全事件进行等级划分；

d)应记录并保存所有报告的安全弱点和可疑事件，分析事件原因，监督事态发展，采取措施避免安全事件发生。

1.2.5.12 应急预案管理（G2）

本项要求包括：

a)应在统一的应急预案框架下制定不同事件的应急预案，应急预案框架应包括启动应急预案的条件、应急处理流程、系统恢复流程、事后教育和培训等内容； b)应对系统相关的人员进行应急预案培训，应急预案的培训应至少每年举办一次。

第五篇：武汉国土局信息系统等级保护应用实践

武汉国土局信息系统等级保护应用实践

来源：公安部信息安全等级保护评估中心 作者：admin 日期：2011年2月17日

为了推动等级标准的实际执行与实施，对计算机信息系统安全等级保护评估工具进行实际使用与测试，验证安全等级保护评估方法与思路，公安部启动了计算机系统安全保护等级评估试点。选择了四个省和两个部委的6个单位和行业进行试点。武汉市规划国土资源管理局（以下简称武汉市规划国土局）被确定为湖北省的试点单位。武汉市土地管理信息中心与公安部计算机信息系统安全产品质量监督检验中心一起对武汉市规划国土局内部网进行了全面的安全评估。依据《计算机信息系统安全等级保护评估准则》及相关等级标准，就评估结果对内部网的安全状况进行了分析和总结。

工作思路与评估方法

《计算机信息系统安全保护等级划分准则》将我国的计算机信息系统安全确定为5个等级，由低到高依次是“用户自主保护级、系统审计保护级、安全标记保护级、结构化保护级、访问验证保护级”，对每一等级的计算机信息系统在物理安全、运行安全、信息安全等安全功能要素和安全保证等方面提出了具体技术要求。信息系统安全等级保护就是采用“调查—测试—评估—分析—改进”的工作步骤，对信息系统依照安全保护等级进行评估，确定信息系统的重点保护对象和保护等级，找出安全隐患，提出改进方案，提升系统安全保护措施，保障系统安全。

因为信息系统用户主要通过应用服务的方式访问被保护的重点对象，所以在评估过程中，以应用服务的访问途径为切入点，选取相应的路径进行安全要素的评测与分析。信息系统安全等级评估的技术部分主要包括以下两个方面：

安全要素评估：需要评估的安全要素包括：身份鉴别、自主访问控制、客体重用、完整性、审计。通过如下几种方式评估安全要素的实现状况：

对应用服务的工作流程、流程中所传输的数据内容、所经过的传输环节（客户终端、路由器、交换机、中心服务器节点）对数据采取的保护措施、应用服务支撑平台（如SQL Server 2000等）的安全状况、应用服务流程中各组件自身的安全状况进行调查。

根据验证方案，现场操作人员协助评估工程师完成一次全过程的应用服务。评估工程师根据此过程中所采取或所能采取的安全保护措施，确定安全要素在访问路径上的实现状况实施现场验证。

根据评估的结果，总结系统安全要素的实现状况，确定信息系统所达到的安全等级，提出可行的安全建议，并撰写完善的安全评估报告。

安全保证要求评估：安全保证要求评估主要以与协助人员交流，查阅并分析系统开发过程中相关的文档资料为主。考察的内容包括信息系统安全功能自身安全保护、密码支持、生命周期支持、配置管理、开发、测试、指导性文档、脆弱性分析、交付与运行等。

武汉市规划国土局信息系统网络拓扑结构一共划分为四个VLAN区域。其中VLAN14区域为武汉市规划国土资源管理局的各个分局和局属院所，VLAN10、VLAN11、VLAN12属于市局内网部分。根据对信息系统的调查分析，确定将NAS服务和办公自动化应用服务作为评估的切入点，将信息系统划分为四个实体层面进行评价，即物理层面、计算机网络层面、系统层面、应用层面。物理安全体现为环境安全、设备安全、媒体安全。计算机网络层面主要包括交换机（cisco3500、cisco9300、cisco2950）和路由器。系统层面主要指服务器上的操作系统（Windows 2000 Server）与数据库系统（SQL2000 Server）。应用层面指实现应用服务的应用软件，包括NAS应用软件、办公自动化应用软件。

评估结果统计分析与评价

依据相关标准《GB17859-1999计算机信息系统安全保护等级划分准则》和《GA/T391-2002计算机信息系统安全等级保护管理要求》，按照管理要求第一级和第二级的评估标准的80项管理要求，武汉市规划国土局信息系统的安全管理评估结果中，满足要求的共计30项，部分满足要求的共计30项，没有满足要求的共计20项，对没有满足的管理要求，按照不适用、技术、预算、时间、文化、环境、其它等7个方面的原因进行了分析归类，其中不适用指评估原则不适用本系统；技术指由于安全管理技术不全面而没有考虑到的原因；预算指出于经费考虑没有实施的原因；时间指项目已列入计划，实施只是时间问题。

根据计算机信息系统安全等级保护管理的第一和第二级要求，武汉市规划国土局较好地实施了对其信息系统的基本管理，也基本实现了操作规程管理（分别对应于安全保护等级中的用户自主保护级和系统审计保护级）。评价具体如下：

管理目标和范围方面：有统一的安全管理机构以及较完整的安全管理计划，但计划还不全面，如安全管理计划并没有涉及风险管理的内容。安全目标和安全范围具体，有详细的安全管理文档描述和说明，对信息系统的网络、物理设备以及自主开发应用系统实施了生命周期的全程管理，制定了设备购买及其安全操作方面的操作规程，但安全操作规程尚不完善。

人员与职责要求方面：安全管理机构符合要求，任命了安全管理员，并赋予其相应的安全管理权限。安全管理员都有一定的专业技术水平，安全负责人在安全工作方面具有相应的经验和技能，并且都基本履行了相应的职责，但在风险分析和安全性评估方面的工作有所欠缺。

物理安全管理要求方面：信息中心建立了物理安全区，机房是专用机房，还为服务器建立一个单独的隔离机房。而且此机房的物理安全防护措施在防火、温度控制、防盗、出入监控方面较完备，但对一些必备的物理安全措施没有很好实现，如湿度控制，物理安全管理工作由几个相关部门协同负责完成，而且也具有物理安全管理规章制度，并据此制定了相应的物理设施的操作流程。对所有设备建档立卷，实现了对物理设施的分类编目以及严格的登记制度。

系统安全管理要求方面：系统安全管理方面的工作主要由信息中心网络室工作人员负责，其对操作系统和数据库系统进行了日常的安全管理。具有对操作系统和数据库的安全配置和备份方面的安全管理规章制度，操作系统和数据库系统及其信息资源实际也得到了安全的备份，但没有针对操作系统和数据库系统的配置和备份等方面的操作规程，且经实地验证，操作系统和数据库系统均为默认安装配置，存在安全隐患。系统授权用户使用唯一的用户名和口令访问系统资源，但没有对用户口令复杂度的规定，实际存在较多弱口令。采取一定的措施，如统一分发系统工具和拆卸光驱，对系统进行授权管理和变更控制。系统管理员开展了一定的系统安全性维护工作，但经漏洞扫描验证有服务器存在安全配置方面的漏洞。

网络安全管理要求方面：由网络管理室工作人员负责网络环境安全管理工作，网络管理员具体履行对网络安全措施的日常管理，对网络连接和网络安全措施等方面实施安全性检查。具有关于网络配置和网络接入方面的安全管理规定，但没有制定网络使用和网络服务方面的策略。利用授权制度和机制实现用户对网络的安全访问控制，实现对网络配置的变更控制，但经实地验证，网络交换机和路由器的口令为空口令，存在严重的安全隐患，同时也没有对网络访问和网络安全事件等进行安全审计，也缺乏网络安全事件报告流程，以及相应的应急计划。网络设施实施了必要的备份。每年对网络用户实施安全教育和培训。

应用安全管理要求方面：网络管理室工作人员负责应用系统的安全管理，对应用系统进行安全配置和备份，维护工作由系统开发室负责完成，但都没有制定相关的规章制度。数据库应用软件自主开发，有配套的技术和操作文档，经验证管理人员基本据此实施对应用系统的管理。依据部门划分对应用系统数据和信息进行分类管理，并利用授权和访问控制机制保证信息的安全共享和发布，但没有与授权用户签署授权许可以及安全协议。经验证对应用系统及数据实施了有效地备份，但缺乏明确的备份计划和应急计划。

运行安全管理要求方面：制定了信息中心安全生产管理规定，并制定了部分管理制度，但没有对这些规定和制度进行完善。确保运行安全而采取的方法和措施有物理监控、备份、容错以及病毒检测和防护，经验证均运转正常，但信息系统感染病毒情况较多。信息中心实行网络值班制，负责对信息中心运行安全的监督和检查。经验证每年举办安全方面的培训，但没有制定特别明确的计划。经验证明确了系统安全管理员和普通用户的访问权限以及其对各类资源的责任，并有相应的管理。对应用软件的采购、安装和使用等方面实施批准和授权制度。对外部服务方访问信息系统实施人员监督，但没有签署安全保密合同，也没有对其可能带来的安全性问题进行安全性评估。实现了良好的自动化备份，且有专人负责，但备份制度还有待于完善。

系统安全建议

对照计算机信息系统安全等级保护的要求，要满足第一级要求，必须在一些方面进行改进，如：制定整体全面的安全管理计划，以进一步明确安全目标和范围；建立和健全对物理、系统、网络、应用和运行制定安全规章制度，并不断修订和完善；充分考虑到对安全管理员作安全管理的职责规定和实际履行要求；根据分类编号对物理设备加上识别标签；加强出入管理保证运行安全，建议被测单位信息中心工作人员佩戴识别标志（比如胸牌等标志）等。

要达到计算机信息系统安全等级保护管理第二级安全要求，还应该进行这样一些改进：制定针对物理安全、网络安全、系统安全、应用系统安全和运行安全几方面的具体安全操作规程，内容可涉及安全使用、安全配置、变更控制、安全分析、安全事件处理、以及安全培训等；制定安全策略，特别在网络安全管理方面要制定网络使用和网络服务的策略要求。网络安全管理要求、应用系统安全管理要求以及运行安全管理要求方面开展相应的风险分析和安全性评估等风险管理；建立网络安全事件报告流程及相应应急计划，实施对信息系统的应急响应，不断对其可行性进行验证；更换服务器和网络设备的弱口令及其默认配置。操作系统自身默认的简单审计功能不能满足多方面的审计要求，要对操作系统、数据库应用系统以及网络的使用、访问、配置和变更作安全方面的审计，并指定专人负责此方面的工作；严格取消内网Modem与外网的连接，并进一步严格控制光驱的安装，以防病毒侵入以及黑客攻击；丰富和完善病毒防护体系的使用管理规定。对应用系统关键岗位的工作人员实施资质管理；与应用系统的授权用户签署授权许可书和安全协议，并且在制定外部服务方访问被测单位信息系统的安全制度时，包括并实施与外部服务方签署安全保密协议或合同这一项的内容；建立严格的运行过程管理文档，并保证所有文档的一致性。