信息安全自查操作指南.docx

1、信息安全自查操作指南信息安全自查操作指南青岛市网络与信息安全协调小组办公室二o二年八月概述 1、自查目的 1二自查工作流程 1环节一自査工作部署 3一、 研究制定自直实施方案 3二、 自查工作动员部署 4环节二 基本情况自奁 6一、系统基本情况自查 6二安全管理情况自查 13三、 技术防护情况自查 17 19五、安全技术检测 20环节三问题与风险分析 22一、主要问题分析 22二 国外依赖度分析 22三、主要威胁分析 23环节四 自查工作总结 25一、自查工作总结 25二自查情况上报 25有关工作要求 26附件1信息安全自査报告编写参考格式 28附件2信息安全检查情况报告表 29为指导重点领域

2、信息安全自查工作，依据国务院办公厅关 于开展重点领域网络与信息安全检查行动的通知（国办函 2012 102号，以下简称检查通知）,制定本指南。本指南主要用于各级政府部门、大型国有企业以及其他有关 单位（以下统称自奁单位 疵开展信息安全自查具体工作时参考。 各区、市网络与信息安全协调小组办事机构”市直各咅各 重点行业主管或监管部门在组织制定本区市、本行业安全检查实 施方案时也可参考本指南。一、 自查目的通过开展安全自查，进一步梳理、掌握本单位重要网络与信 息系统基本情况，查找突出问题和薄弱环节，分析面临的安全威 胁和风险，评估安全防护水平，有针对性地采取防范对策和改进 措施,加强网络与信息系统安

3、全管理和技术防护，促进安全防护 能力和水平提升，预防和减少重大信息安全事件的发生，切实保 障本单位网络与信息安全。二、 自查工作流程信息安全自查主要包括自査工作部署、基本情况自查、问题 与风险分析、自查工作总结等4个环节（见图IL建议时间自查工作环节主要工作内容整改工作8月21日至8月27日自杳工作部署1、 研究制定自杳实施方案2、 自杳工作动员部署8月28日至8月30日基本情况自查1、 系统安全基本情况自杳2、 安全管理情况自杳3、 技术防护情况自杳4、 应急处置及容灾备份情况自查5、 安全技术检测问题整改8月31日至9月5日问题与风险分析1、 主要问题分析2、 国外依赖度分析3、 主要威胁

4、分析问题整改自杳工作总结1、 自杳工作总结2、 自杳工作上报图1自奁工作流程环节一自查工作部署一、研究制定自查实施方案认真学习检査通知，深刻领会文件精神和有关要求，研 究制定自查实施方案,并报主管领导批准。(-)自査实施方案应当明确的内容自査实施方案应当明确以下内容：(1)自查工作负责人、组 织单位和实施机构。(2 )自查范围和自查对象。(3 )自奁工作的 组织方式。(4 )自查工作时间进度安排。1.关于自查范围。此次自直范围是政府信息系统、重点行 业和市政领域的网络与信息系统(含工业控制系统，以下同 检查的重点是事关国家安全和社会稳定，对地区、部门或行业正 常生产生活具有较大影响的重要网络与

5、信息系统。2.关于自查对象。主要指网络与信息系统安全管理与防护 涉及到的信息安全综合管理部门、信息化部门、业务部门、生产 管理部门、财务部门、人事部门等相关部门。各单位可根据实际 情况确定具体的自査对象。3.关于自查工作组织。自直单位可成立自奁工作组开展检 查，也可指定专门机构负责自查实施工作。自查工作组可由本单 位信息化与信息安全部门以及相关业务部门中熟悉业务、具备信 息安全知识、技术能力较强的人员，以及本单位相关技术支撑机 构业务骨干等组成。单位内各部门可指定人员负责协调配合和联 络工作。对于有工业控制系统的单位，可考虑生产管理部门参与 工业控制系统信息安全检査。对于信息系统复杂、自查工作

6、涉及部门多的单位，可根据需 要成立自查工作领导小组，负责自查工作的组织协调与资源配 置。领导小组组长可由本单位信息安全主管领导担任，领导小组 成员可包括信息安全综合管理部门负责人（如办公厅主任信 息化部门负责人（如信息中心主任），以及其他相关部门负责人 （如人事部门、财务部门、业务部门、生产管理部门领导）等。（二）应当注意的有关事项1.纳入检查范围的网络与信息系统从安全防护的角度应具 有相对的独立性。从安全防护的角度判断网络与信息系统独立性的方法如下： 根据系统所承担业务的独立性、责任主体的独立性、网络边界的 独立性、安全防护设备设施的独立性四个因素，对网络与信息系 统进行全面梳理并综合分析，

7、划分出相对独立的网络与信息系 统,并形成网络与信息系统清单,以便于更好地界定检查范围。2.关于重要网络与信息系统,可从系统特征的角度,立足 本地区、本部门或本行业实际，参考以下标准进行判定：（1 ）业务依赖度高。（2 ）数据集中度高（全国、省级或市级数据集中（3 ）实时性要求高。（4 ）系统关联性强（发生重大信息安全事件后，会对与其相连的其他系统造成较大影响，并产生连片连锁反应(5 )直接面向社会公众提供服务，用户数量庞大，覆盖范 围广。(6 )灾备等级高(系统级灾备L3.关于重要工业控制系统,可从发生信息安全事件造成危 害的角度,参考以下标准进行判定：(1 )发生重大信息安全事件”致使系统出

8、现严重故障后” 可能导致10人以上死亡或50人以上重伤。(2 )发生重大信息安全事件，致使系统出现严重故障后， 可能导致5000万元以上直接经济损失。(3 )发生重大信息安全事件，致使系统出现严重故障后, 可能影响100万人以上正常生活。(4 )发生重大信息安全事件Z致使系统出现严重故障后， 可能对与其相连的其他系统造成影响Z并产生连片连锁反应。(5 )发生重大信息安全事件，致使系统出现严重故障后， 可能对生态环境造成严重破坏。(6 )发生重大信息安全事件Z致使系统出现严重故障后， 可能对国家安全和社会稳定产生重大影响。二、自查工作动员部署自查单位可通过召开会议、下发文件等方式对自奁工作进行

9、部署,布置自查工作任务。相关人员要切实落实自查工作责任， 各司其职Z形成合力，共同推进自查工作。一、系统基本情况自查（-）系统特征情况1.査看系统规划设计方案、安全防护规划设计方案、网络 拓扑图等,核实系统的实时性、服务对象、连接互联网情况、数 据集中情况、灾备情况等基本情况，记录检查结果（表IL表1系统基本情况检査记录表序号性 时 实务象 服对数据集中 情况实 时2非实时面向社会公众不面向社会公众采用 逻辑 强隔 离“措 施连 接不连接全省集中市级集中不 集 中系统级灾备仅数据灾备无灾备EHB2.根据上述系统基本情况核查结果,分析系统停止运行后 对主要业务的影响程度、系统遭受攻击破坏后对社会

10、公众的影响 程度等安全特征，记录分析结果（表2 L1系统是抬核心业务系统、门户网站系统及其他重要生产信息系统。2实时信息系统是抬系统短暂停顿（政府系统为5秒内，丄控系统为I秒内）或性能拆标严重下降，会造 成较大的影响或者损害单位的利益。$非实时信息系统是抬系统短暂停顿（政府系统为5秒内，匸控系统为1秒内）或性能指标严重下降，不 会造成较大的影响或者损害取位的利益。4逻辑强隔离抬使用逻辑强隔离设备（使用正向、反向或双向网闸）进行的网络隔离。(1)关于系统停止运行后对主要业务的影响程度判走标准如下：影响程度高:系统停止运行后，主要业务无法开展或对主要 业务运行产生严重影响;影响程度中:系统停止运行

11、后,对主要业务运行有一定影响, 可用手工等传统方式替代;影响程度低:系统停止运行后，对主要业务运行影响较小或 无影响。(2 )关于系统遭受攻击破坏后对社会公众的影响程度判定 标准如下：影响程度高：系统遭受攻击破坏Z造成系统无法正常运行、 被劫持、信息泄露等后果后，对社会公众正常生活、公众利益等 产生严重影响；影响程度中：系统遭受攻击破坏,造成系统无法正常运行、 被劫持、信息泄露等后果后，对社会公众正常生活、公众利益等 产生一定影响；影响程度低:系统遭受攻击破坏Z造成系统无法正常运行、 被劫持、信息泄露等后果后，对社会公众正常生活、公众利益等 影响较小或无影响。表2系统特征情况分析记录表序系统名

12、称系统对主要业务的 影响程度系统对社会公众的 影响程度咼中低咼中低123（二）系统构成情况1.重点检查主要硬件设备类型、数量、生产商（品牌）情 况，记录检查结果（表3 L硬件设备类型主要有:服务器、路由器、交换机、防火墙、 磁盘阵列、磁带库及其他主要安全设备。硬件设备生产商（品牌）按国内、国外两类进行记录。其中， 国内主要有浪潮、曙光、联想、方正、华为、中兴、天融信、启 明星辰、绿盟、联想网御、H3C等，国外主要有IBM、HP、DELL、 CiSCOS JUniPer 等。2.重点检查主要软件设备类型、套数、生产商（品牌）情 况，记录检查结果（表4 L软件设备类型主要有:操作系统、数据库及主要

13、业务应用系 统。软件设备生产商（品牌）按国内、国外两类进行记录。其中， 国内主要有红旗、麒麟、金仓、达梦等，国外主要有WindOWs、 RedHatS HP-UniXS AlXS SOIariSX OraCleS DB2、SQL SerVer 等。（三）工业控制系统类型与构成情况通过调阅资产清单、现场查看、上机检查等方式，检查工业 控制系统类型和构成情况，汇总记录检查结果（表5 L工业控制系统类型主要包括数据采集与监控系统、分布式控 制系统、过程控制系统、可编程控制器、就地测控设备（仪表、 智能电子设备、远端设备）等。工业控制系统软硬件主要包括：应用服务器-工程师工作站 （组态监控软件、系统软件、PC机/服务器数据服务器（数 据库软件、系统软件、PC机/服务器）等。表3信息系统主要硬件检查记录表检查项检查结果主要硬件服务口口 斋国内品牌数量浪潮曙光联想方正其他：1品牌 ，数量2.品牌 ，数量（如有更多,请另列表）国外品牌数量IBMHPDELL其他：1品牌 ，数量2.品牌 ,数量（如有更多，请另列表）路由口口 斋国内品牌数量华为中兴H3C其他：1.品牌，数量2.品牌Z数量（如有更多，请另列表）国外品牌数量CiscoJUliiPer其他：1品牌 ，数量2.品牌 ，数量（如有更多，请另列表）交换机国内品牌数量华为十/ H3C其他：1.品牌 ,数量2.品牌 ，数量（如有更多，请另列表）