信息安全工作检查.docx

信息安全工作检查.docx

《信息安全工作检查.docx》由会员分享，可在线阅读，更多相关《信息安全工作检查.docx（18页珍藏版）》请在冰豆网上搜索。

信息安全工作检查

海林市信息化工作领导小组办公室

海信办函【2011】1号

关于开展2011年度政府信息系统

安全检查的通知

市政府各有关部门：

为贯彻落实牡丹江市信息化领导小组、牡丹江市工业和信息化委员会、牡丹江市公安局、牡丹江市国家安全局、牡丹江市国家保密局、牡丹江市国家密码管理局联合下发的《关于开展政府信息系统安全检查的通知》（牡信办函[2011]1号）精神要求，保障建党90周年期间网络信息安全，根据《黑龙江省政府信息系统安全检查实施办法》（黑政办发[2011]54号）等文件要求，决定开展全市政府信息系统安全检查。

　　一、检查目的

依据国家和省有关政策规定和技术标准，对政府各部门信息安全工作进行全面检查，及时发现存在的主要问题和薄弱环节，完善信息安全管理制度，加强安全防护措施，保障建党90周年信息安全。

二、检查范围

检查范围主要是为政府机关履行职能提供支撑的信息系统，包括政府及政府组成部门自行运行和维护管理以及委托其他机构运行和维护管理的办公系统、业务系统、网站系统、重点新闻网站等。

本年度政府信息系统安全检查以全市政府网站信息系统和面向社会提供公共服务的信息系统为重点。

三、检查内容

以保障建党90周年信息安全为重点，针对当前政府信息系统存在的薄弱环节。

重点检查：

（一）信息安全制度落实情况：

是否有主管领导、保密制度工作机构和管理人员；

（二）信息安全防范措施落实情况：

是否网站页面能正常访问，各栏目及其子栏目及时更新，网站系统密码策略、帐户策略等技术措施是否有效；（三）应急响应机制建设情况：

是否有应急制度和应急方案；（四）信息安全教育培训情况：

是否进行安全保密意识教育，重要岗位是否考核后上岗；（五）密码技术与产品使用情况；（六）责任追究情况；（七）安全隐患排查及整改情况；（八）运维管理情况；（九）等级保护与风险评估情况；（十）物理环境情况；（十一）涉密信息与设备的保密管理情况；（十二）信息技术产品和服务国产化情况。

四、检查方式

　　本次安全检查方式采取自查和抽查相结合，以自查为主。

（一）自查。

为保障建党90周年网络信息安全，各部门务必于2011年7月26日前完成政府信息系统安全自查，并对查找的信息安全隐患及时采取应对措施，确保网络信息系统安全稳定运行。

各单位自查情况于7月27日下班之前报市工信局。

（二）抽查。

市信息化工作领导小组办公室定于7月27日对重点部门进行抽查。

牡丹江市拟于7月30日前对各市县进行抽查。

省里8月1日—8月5日进行抽查。

（三）及时整改。

各部门对检查清理中发现的问题要及时整改，确保信息系统安全稳定运行，确保上网信息准确、真实，不发生失泄密问题，确保公众能够及时获取政府信息、获得便利的在线服务。

对确实无力管好的网络和信息系统，要进行整合或予以关闭。

五、工作要求

（一）成立领导小组。

成立由市政府办、市工信局、市保密局、市公安局、市国保大队、市密码管理局组成的联合检查组，具体负责组织实施政府信息系统的安全检查工作。

联合检查组组长由政府办副主任担任，成员由市工信局、市保密局、市公安局、市国保大队、市保密局、市密码管理局相关部门负责人和有关工作人员组成。

（二）严格落实责任。

此次检查过程中，联合检查组将对抽查不合格的单位进行警告并责令其整改，若牡市、省联合检查组抽查再不合格，检查组将向市委、市政府主要领导、分管领导汇报，一并对责任单位通报批评，出现重大泄密事件的，交报请市委、市政府进行行政问责。

（三）材料上报时间。

各部门于7月26日之前将附件表格填写完成，经分管领导签字后报市工信局。

联系人：

潘德军联系电话：

7223178

电子邮箱：

hlsgxj@

附件：

1、2011年度信息安全检查情况报告表

2、2011年度政府网站安全检查专用表

海林市信息化工作领导小组办公室

2011年7月25日

附件1：

2011年度信息安全检查情况报告表

一、部门基本情况

部门名称

（公章）

分管信息安全工作的领导

①姓名：

_______________

②职务：

_______________

信息安全管理机构

①名称：

_______________

②负责人：

_____________职务：

________________

③联系人：

_____________电话：

________________

信息安全专职工作处室

①名称：

_______________

②负责人：

_____________电话：

________________

二、信息系统基本情况

信息系统情况

①信息系统总数：

________________个

②面向社会公众提供服务的信息系统数：

_________个

③委托社会第三方进行日常运维管理的信息系统数：

_________个

④本年度经过安全测评（含风险评估、等级测评）系统数：

_____个

系统定级情况

第一级：

_______个第二级：

_______个第三级：

_______个

第四级：

_______个第五级：

_______个未定级：

_______个

互联网接入情况

互联网接入口总数：

_____个

其中：

□联通接入口数量：

_____个接入带宽：

_______兆

□电信接入口数量：

_____个接入带宽：

_______兆

□其他：

_________________接入口数量：

_____个

接入带宽：

_______兆

三、日常信息安全管理情况

人员管理

①岗位信息安全责任制度：

□已建立□未建立

②重要岗位人员信息安全和保密协议：

□全部签订□部分签订□均未签订

③人员离岗离职安全管理规定：

□已制定□未制定

④外部人员访问机房等重要区域审批制度：

□已建立□未建立

资产管理

①资产管理制度：

□已建立□未建立

②设备维修维护和报废管理：

□已建立管理制度，且维修维护和报废记录完整

□已建立管理制度，但维修维护和报废记录不完整

□尚未建立管理制度

四、信息安全防护管理情况

网络边界防护管理

①网络访问控制：

□有访问控制措施□无访问控制措施

②网络访问日志：

□留存日志□未留存日志

③安全防护设备策略：

□使用默认配置□根据应用自主配置

门户网站安全管理

①网页防篡改措施：

□已部署□未部署

②网站信息发布管理：

□已建立审核制度，且审核记录完整

□已建立审核制度，但审核记录不完整

□尚未建立审核制度

电子邮箱安全管理

①邮箱使用：

□仅限本部门工作人员使用

□除本部门工作人员外，还有其他人员在使用

②账户口令管理：

□使用技术措施控制和管理口令强度

□无口令强度限制措施

终端计算机

安全管理

①终端计算机安全管理方式：

□使用统一平台对终端计算机进行集中管理

□用户分散管理

②接入互联网安全控制措施：

□有控制措施（如实名接入、绑定计算机IP和MAC地址等）

□无控制措施

存储介质安全管理

①存储阵列、磁带库等大容量存储介质安全防护：

□外联，但采取了技术防范措施控制风险

□外联，无技术防范措施

□不外联

②移动存储介质管理方式：

□集中管理，统一登记、配发、收回、维修、报废、销毁

□未采取集中管理方式

③电子信息消除或销毁设备：

□已配备□未配备

五、信息安全应急管理情况

信息安全应急预案

□已制定本年度修订情况：

□修订□未修订

□未制定

信息安全应急演练

□本年度已开展□本年度未开展

信息安全灾难备份

①重要数据：

□备份□未备份

②重要信息系统：

□备份□未备份

应急技术支援队伍

□部门所属单位□外部专业机构□无

六、信息技术产品应用情况

服务器

总台数：

________，其中国产台数：

_______

使用国产CPU的服务器台数：

_______

终端计算机

（含笔记本）

总台数：

________，其中国产台数：

___________

使用国产CPU的计算机台数：

_______

网络交换设备

（路由器、交换机等）

总台数：

________，其中国产台数：

___________

操作系统

①服务器操作系统情况：

安装Windows操作系统的服务器台数：

________________

安装Linux操作系统的服务器台数：

__________________

安装其他操作系统的服务器台数：

____________________

②终端计算机操作系统情况：

安装Windows操作系统的计算机台数：

________________

安装Linux操作系统的计算机台数：

__________________

安装其他操作系统的计算机台数：

____________________

数据库

总套数：

_______________，其中国产套数：

________________

公文处理软件

（终端计算机安装）

安装国产公文处理软件的终端计算机台数：

_________________

安装国外公文处理软件的终端计算机台数：

_________________

信息安全产品

①安装国产防病毒产品的终端计算机台数：

_________________

②防火墙（不含终端软件防火墙）台数：

___________________

其中国产防火墙的台数：

____________________

七、信息安全教育培训情况

培训人数

本年度接受信息安全教育培训的人数：

_____人

占本部门总人数的比例：

_____％

培训次数

本年度开展信息安全教育培训的次数：

_____次

专业培训

本年度信息安全管理和技术人员参加专业培训：

______人次

八、信息安全经费预算投入情况

经费预算

本年度信息安全经费预算额：

_____________万元

经费投入

本年度信息安全经费投入额：

_____________万元

（上一年度信息安全经费投入额：

_____________万元）

九、本年度信息安全事件情况

本年度安全技术检测结果

病毒木马等恶意代码检测结果

①进行过病毒木马等恶意代码检测的服务器台数：

_____________

其中感染恶意代码的服务器台数：

_____________

②进行过病毒木马等恶意代码检测的终端计算机台数：

_________

其中感染恶意代码的终端计算机台数：

_________

漏洞检测

结果

①进行过漏洞扫描的服务器台数：

___________________

其中存在漏洞的服务器台数：

_________________

存在高风险漏洞的服务器台数：

__________

②进行过漏洞扫描的终端计算机台数：

_______________

其中存在漏洞的终端计算机台数：

_____________

存在高风险漏洞的终端计算机台数：

_______

本年度信息安全事件统计

门户网站受攻击情况

本部门入侵检测设备检测到的门户网站受攻击次数：

___________

网页被篡

改情况

门户网站网页被篡改（含内嵌恶意代码）次数：

_______________

设备违规

使用情况

①使用非涉密终端计算机处理涉密信息事件数：

_______________

②终端计算机在非涉密系统和涉密系统间混用事件数：

_________

③移动存储介质在非涉密系统和涉密系统间交叉使用事件数：

___

十、信息技术外包服务机构情况（包括参与技术检测的外部专业机构）

外包服务机构1

机构名称

机构性质

□国有□民营□外资

服务内容

信息安全和保密协议

□已签订□未签订

信息安全管理体系认证情况

□已通过认证

认证机构：

______________________

□未通过认证

外包服务机构2

机构名称

机构性质

□国有单位□民营企业□外资企业

服务内容

信息安全和保密协议

□已签订□未签订

信息安全管理体系认证情况

□已通过认证

认证机构：

______________________

□未通过认证

外包服务机构3

机构名称

机构性质

□国有单位□民营企业□外资企业

服务内容

信息安全和保密协议

□已签订□未签订

信息安全管理体系认证情况

□已通过认证

认证机构：

______________________

□未通过认证

（如有3个以上外包机构，每个机构均应填写，可另附页）

填表人：

_____________单位：

_______________电话：

_______________

附件2：

2011年度政府网站安全检查专用表

1、网站安全检查评估自查基本情况

单位

名称

（公章）

单位

地址

网站系统管理

负责人

职务

电话

Email

网站系统维护

负责人

职务

电话

Email

网站安全等级保护级别

○四级○三级○二级○一级○未定级

网站域名（含以“”、“.政务.cn”、“.政务”结尾）

网站名称

网站IP

检查门户网站

个

其中服务器

台

检查网络设备

台

检查安全设备

台/套

网站服务器是否托管（托管单位名称）

是否经过专业机构开展了网站安全风险评估或等级测评

次

涉密计算机

（含笔记本电脑）

台

涉密移动存储介质（包括U盘、移动硬盘等存储解释）

个

发现安全隐患

处

已完成整改

处

网站提供的服务

□信息发布□业务办理□论坛□邮件服务

接入了何种网络

○互联网○省公务外网○省公务内网

○行业系统内部使用的广域网或城域网○内部局域网

网络总带宽

○10M○100M○1000M○其它_____

填表时间

2、网站安全防范实施情况

本年度开展的信息安全日常管理工作

□信息安全测评

□系统安全定级、备案

□信息安全检查

□信息安全风险评估

□信息安全管理体系建设

□网站安全管理

□其它：

________

接入互联网采取的主要安全防护措施

①互联网接入口安装了防火墙○全部安装○部分安装○没有

②互联网接入口安装了入侵检测设备

○全部安装○部分安装○没有

③对IP、MAC地址进行绑定○全部○部分○没有

运维管理情况

□根据相关的制度运行、维护系统

□部署了系统性能监控措施

□对系统异常情况能够进行报警

是否进行了下列安全检查

□SQL注入攻击隐患□跨站脚本攻击隐患

□弱口令□操作系统补丁安全情况

□网站服务系统及其他应用系统补丁安装情况

□防病毒软件升级情况□源码漏洞隐患

□网站是否已被“挂马”□敏感信息泄露

□入侵检测系统升级情况□网站栏目内容更新

□漏洞扫描系统升级情况□网站功能及提供的服务

□安全隐患扫描情况

网站采取了哪些防范措施

□防止信息泄漏□防止SQL注入□防止跨站脚本攻击

□定期进行弱口令检查□定期进行网站挂马检查

□定期进行漏洞扫描□定期对网站发布系统进行升级

□关闭了不必要的端口□关闭或删除了不必要的链接

□关停了不必要的账户□关闭了不必要的服务或应用

□其它：

_____________________________

是否有网页防篡改措施

○安装了防篡改系统

○人工监看

○无防篡改措施

是否具有抗拒绝服务攻击措施

○是○否

是否保留了系统安全日志

○是○否

系统安全日志查看的周期是多少

○每月○每周

○每天○偶尔查看或从不查看

是否有独立的安全审计系统

○是○否

网站服务器和同一网段内其他服务器之间是否有访问控制措施

○是○否

是否有在公务外网和互联网上处理内部敏感信息

○是○否

数字证书使用情况

□未采用

□采用

□面向社会公众服务系统

□使用第三方CA

第三方CA机构名称

□使用自建CA

□内部系统

□使用第三方CA

第三方CA机构名称

□使用自建CA

在访问计算机、重要资源或信息时，是否所有用户都需要进行身份鉴别（认证）

○是

○没有鉴别

○只有部分用户进行了鉴别

列举本单位采取的鉴别机制

□口令□智能卡□数字证书CA□生物识别

□其它：

_____________________________

是否有内部用户非法外联的监控措施和管理措施

○是；其中采取的措施_____________________________

○否

3、网站应急响应机制建设情况

网站重大信息安全事件处置情况

信息安全事件

本年度发生特别重大事件（Ⅰ级）次数：

_______

本年度发生重大事件（Ⅱ级）次数：

_______

本年度发生较大事件（Ⅲ级）次数：

_______

本年度发生一般事件（Ⅳ级）次数：

_______

本年度涉密信息系统和非涉密信息系统间混用移动存储介质的事件数：

___

本年度涉密信息系统和非涉密信息系统间混用计算机的事件数：

___

本年度用非密信息系统处理涉密信息的事件数：

___

本年度检查中发现高风险漏洞的服务器台数：

_______

本年度检查中发现木马的服务器台数：

________

本年度网站网页被篡改（含挂马）的次数：

________

应急管理

①信息安全应急预案：

○有○无

②应急技术支援队伍：

□内部□外部□无

发生安全事件类型

□感染病毒、木马程序□拒绝服务攻击

□端口扫描攻击□数据窃取

□破坏数据或网络□篡改网页

□垃圾邮件□内部人员有意破坏

□内部人员滥用网络端口和系统资源□网络诈骗和盗窃

□被利用发送和传播有害信息□源码泄露

□其他：

______________

导致发生安全事件的原因

□未修补系统或软件漏洞□网络、系统或软件配置错误□源码存在安全隐患

□登录密码过于简单或未修改原始密码□缺少访问控制

□攻击者使用拒绝服务攻击□攻击者利用软件默认设置

□利用内部用户安全管理漏洞或内部人员作案

□内部网络违规外联□攻击者使用欺诈方法

□缺少身份认证措施□不知原因

□网站存在错链或断链□其他：

发现安全事件后采取的措施

□向相关部门报案□向上级业务主管部门报告

□请安全服务单位协助解决□请开发维护单位协助解决

□请安全事件应急响应组织解决□自行解决

□未采取任何措施□其他：

重要服务器、网站备份情况

○重要服务器、网站均进行了备份○部分备份

○未备份

本地备份频率

○实时○天○星期○月

有无异地容灾备份需求

○有；如有，是否已实现异地容灾备份○是○否

○无

网站应急预案制定落实情况

应急响应组织机构情况（成立时间、负责人等）

应急预案制定情况（覆盖范围、预案名称等）

应急演练情况（时间、内容和次数等）

应急支援机构

建党90周年和国庆等重要时期的应急工作

○有；制定了哪些应急工作方案和工作计划：

○无

填表人：

_____________单位：

_______________电话：

_______________

填表说明：

1、各单位按照安全检查内容和相关要求完成自查后，如实填写，没有可不填。

填写内容不实等情况引起后果由填表人承担，本表须盖单位公章后有效。

本表填写完成后，由各部门根据国家规定确定密级。

2、表中各选项前为“○”标记表示为单选项；“□”标记为可多选项。

凡有“其他”项的，在后面注明具体内容。

3、网络与信息安全事件的分级按照国家标准执行。

4、表中所指国产字处理软件、国产信息安全产品，按国家相关规定认定如下：

国产信息安全产品应具有国内品牌，最终产品在中国境内生产，拥有核心模块的自主知识产权和源程序，通过国家认定的信息安全产品检测实验室的检测，并符合法律法规和政策规定的其他条件。

5、参与检查的机构及人员情况，参与检查的机构指委托的专业机构，如有多个机构同时参与检查时，每个机构均应填写一个表格。

6、如表格预留空间不足，可自行复印或续页填写。

7、方案和表格可以在黑龙江省工业和信息化委员会网站（）下载。