信息系统安全等级保护测评自查

信息系统安全等级保护测评自查

（二级）

单位全称：XXX

项目联系人：XX X 电话：XXX 邮箱：XXX

1被测信息系统情况

1.1承载的业务情况

深圳市XXX系统，XX年投入使用，包括X台服务器、X台网络设备和X台安全设备。深圳市XXX系统是为深圳市XXX(系统简介)。

1.2网络结构

给出被测信息系统的拓扑结构示意图，并基于示意图说明被测信息系统的网络结构基本情况，包括功能/安全区域划分、隔离与防护情况、关键网络和主机设备的部署情况和功能简介、与其他信息系统的互联情况和边界设备以及本地备份和灾备中心的情况。

深圳市XXX系统由边界安全域、核心安全域和服务器安全域等三个功能区域组成，主要有XXX功能。各功能区都位于XX机房。具体拓扑如下：

图 2-1 深圳市XXX系统拓扑图

备注：需注明网络出口（电信，电子资源政务中心、XXX等）

1.3系统备案情况

深圳市XXX系统备案为X级，系统备案编号为X，备案软件显示系统防护为SXAXGX

2系统构成

2.1机房

序号机房名称物理位置

1 XXX机房XX大楼XX

2.2网络设备

以列表形式给出被测信息系统中的网络设备。

序号设备名称操作系统品牌设备信息用途

数量

（台/套）

重要程

度

1 华为交换

机

OS 华为

S9700

IP:192.168.1.1

接入交换机 2 高

2 华为路由

器

OS

2.3安全设备

以列表形式给出被测信息系统中的安全设备。

序号设备名称操作系统品牌设备信息用途

数量

（台/

套）

重要程

度

1 华为信防

火墙

防火墙OS 华为

型号：XXX

IP：192.168.1.1

策略限制、

访问控制

3 高

2 NIP 绿盟型号：XXX

IP：192.168.1.1

入侵检测

1

高

3 SSLVPN 深信服型号：XXX

IP：192.168.1.1

VPN

1

高

4 负载均衡深信服型号：XXX

IP：192.168.1.1

负载均衡

1

中

2.4服务器/存储设备

以列表形式给出被测信息系统中的服务器和存储设备，描述服务器和存储设备的项目包括设备名称、操作系统、数据库管理系统以及承载的业务应用软件系统。

序号设备名称1

操作系统

/数据库管理系统

版本业务应用软件

数量

（台/套）

重要

程度

1设备名称在本报告中应唯一，如xx业务主数据库服务器或xx-svr-db-1。

序号设备名称1

操作系统

/数据库管理系统

版本业务应用软件

数量

（台/套）

重要

程度

1 服务器名称

windows

IP：192.168.1.1

2008 业务系统应用 2 高

2.5终端

以列表形式给出被测信息系统中的终端，包括业务管理终端、业务终端和运维终端等。

序

号

设备名称操作系统用途数量（台/套）重要程度

1 W-PC windows 业务管理终端

2 高

2.6业务应用软件

以列表的形式给出被测信息系统中的业务应用软件（包括含中间件等应用平台软件），描述项目包括软件名称、主要功能简介。

序号软件名称主要功能开发厂商重要程度

1 XXX系统XXX系统该系统...（系统简

介）

永泰

高

2 Tomcat

3 Weblogic

2.7关键数据类别

以列表形式描述具有相近业务属性和安全需求的数据集合。

序号数据类别2 所属业务应用安全防护需求3 重要程度

1 业务数据XX系统保密性、完整性高

如鉴别数据、管理信息和业务数据等，而业务数据可从安全防护需求（保密、完整等）的角度进一步细分。保密性，完整性等

2.8安全相关人员

序号姓名岗位/角色联系方式

2如鉴别数据、管理信息和业务数据等，而业务数据可从安全防护需求（保密、完整等）的角度进一步细分。3保密性，完整性等。

序号姓名岗位/角色联系方式

1 XXX 安全主管136XXXXX

2 XXX 网络管理员139XXXXX

.. ..... ..... ..... 2.9安全管理文档

序

号

文档名称主要内容

1

《深圳市XXX局计算机网络保密管理办

法》

内网计算机维修、报废、软硬件、IP管理2

《关于成立深圳市XXX局信息安全管理

领导小组的决定》

明确小组成员及成员工作职责

3 《深圳市XXX局信息公开保密审查制度》公开保密审查流程，防止保密信息泄露

4 《市XXX局中心机房管理制度》机房日常、设备、系统软件、计算机病毒防范管理，数据保密及数据备份，管理员职责，计算机使用和管理制度

5

《深圳市XXX局信息安全、网络安全突发

事件的应急处置预案》组织指挥体系及职责、预防和预警机制、应急响应，宣传、培训、审查、监控

6 《深圳市XXX局网站管理暂行办法》

网站日常维护和管理，网站安全、监督与考

核

2.10安全服务

序号安全服务名称4 安全服务商

1 安全运维XXXX

3扫描

3.1主机扫描

采用绿盟极光对服务器、网络设备、数据库等进行主机扫描，发现服务器操作4安全服务包括系统集成、安全集成、安全运维、安全测评、应急响应、安全监测等所有相关安全服务。

系统、数据库版本漏洞、系统补丁、弱口令等安全漏洞。

原始报告可另附。

3.2应用层扫描

采用IBM Rational Appscan对系统进行应用层扫描，发现系统由于编码习惯，插件版本等存在的漏洞，可发现各种CGI 漏洞、SQL注入，跨站脚本，敏感信息泄漏。

原始报告可另附。

4安全管理核查

4.1安全管理制度

安全子类测评指标自查记录备注

管理制度应制定信息安全工作的总体方针和安全策略，说明机构安全工作的总体目标、范围、原则和安全框架等；

应对安全管理活动中的各类管理内容建立安全管理制度；

应对要求管理人员或操作人员执行的日常管理操作建立操作规程；

制定和发

布应指定或授权专门的部门或人员负责安全管理制度的制定；

应组织相关人员对制定的安全管理制度进行论证和审定；

应将安全管理制度以某种方式发布到相关人员手；

评审和修

订应定期对安全管理制度进行评审，对存在不足或需要改进的安全管理制度进行修订；

4.2安全管理机构

安全子类测评指标自查记录备注

岗位设置应设立安全主管、安全管理各个方面的负责人岗位，并定义各负责人的职责；

应设立系统管理员、网络管理员、安全管理员等岗位，并定义各个工作岗位的职责；

人员配备应配备一定数量的系统管理员、网络管理员、安全管理员等；

安全管理员不能兼任网络管理员、系统管理员、数据库管理员等；

授权和审

批应根据各个部门和岗位的职责明确授权审批部门及批准人，对系统投入运行、网络系统接入和重要资源的访问等关键活动进行审批；应针对关键活动建立审批流程，并由批准人签字确认；

沟通和合

作应加强各类管理人员之间、组织内部机构之间以及信息安全职能部门内部的合作与沟通；应加强与兄弟单位、公安机关、电信公司的合作与沟通；

审核和检

查安全管理员应负责定期进行安全检查，检查内容包括系统日常运行、系统漏洞和数据备份等情况；

4.3人员安全管理

安全子类测评指标自查记录备注

人员录用应指定或授权专门的部门或人员负责人员录用；

应规范人员录用过程，对被录用人的身份、背景、专业资格和资质等进行审查，对其所具有的技术技能进行考核；

应与从事关键岗位的人员签署保密协议；

人员离岗应严格规范人员离岗过程，及时终止离岗员工的所有访问权限；

应取回各种身份证件、钥匙、徽章等以及机构提供的软硬件设备；

应办理严格的调离手续；

人员考核应定期对各个岗位的人员进行安全技能及安全认知的考核；

安全意识教育和培

训应对各类人员进行安全意识教育、岗位技能培训和相关安全技术培训；

应告知人员相关的安全责任和惩戒措施，并对违反违背安全策略和规定的人员进行惩戒；

应制定安全教育和培训计划，对信息安全基础知识、岗位操作规程等进行培训；

外部人员访问管理应确保在外部人员访问受控区域前得到授权或审批，批准后由专人全程陪同或监督，并登记备案；

4.4系统建设管理

安全子类测评指标自查记录备注

系统定级应明确信息系统的边界和安全保护等级；

应以书面的形式说明确定信息系统为某个安全保护等级的方法和理由；

应确保信息系统的定级结果经过相关部门的批准；

安全方案设计应根据系统的安全保护等级选择基本安全措施，依据风险分析的结果补充和调整安全措施；

应以书面形式描述对系统的安全保护要求、策略和措施等内容，形成系统的安全方案；

应对安全方案进行细化，形成能指导安全系统建设、安全产品采购和使用的详细设计方案；

应组织相关部门和有关安全技术专家对安全设计方案的合理性和正确性进行论证和审定，并且经过批准后，才能正式实施；

产品采购和使用应确保安全产品采购和使用符合国家的有关规定；

应确保密码产品采购和使用符合国家密码主管部门的要求；

应指定或授权专门的部门负责产品的采购；

自行软件

开发应确保开发环境与实际运行环境物理分开；

应制定软件开发管理制度，明确说明开发过程的控制方法和人员行为准则；

应确保提供软件设计的相关文档和使用指南，并由专人负责保管；

外包软件

开发应根据开发需求检测软件质量；

应确保提供软件设计的相关文档和使用指南；

应在软件安装之前检测软件包中可能存在的恶意代码；

应要求开发单位提供软件源代码，并审查软件中可能存在的后门；

工程实施应指定或授权专门的部门或人员负责工程实施过程的管理；

应制定详细的工程实施方案，控制工程实施过程；

测试验收应对系统进行安全性测试验收；

在测试验收前应根据设计方案或合同要求等制订测试验收方案，在测试验收过程中应详细记录测试验收结果，并形成测试

验收报告；

应组织相关部门和相关人员对系统测试验收报告进行审定，并签字确认；

系统交付应制定系统交付清单，并根据交付清单对所交接的设备、软件和文档等进行清点；应对负责系统运行维护的技术人员进行相应的技能培训；

应确保提供系统建设过程中的文档和指导用户进行系统运行维护的文档；

安全服务商选择应确保安全服务商的选择符合国家的有关规定；

应与选定的安全服务商签订与安全相关的协议，明确约定相关责任；

应确保选定的安全服务商提供技术培训和服务承诺，必要的与其签订服务合同；

4.5系统运维管理

安全子类测评指标自查记录备注

环境管理应指定专门的部门或人员定期对机房供配电、空调、温湿度控制等设施进行维护管理；

应配备机房安全管理人员，对机房的出入、服务器的开机或关机等工作进行管理；

应建立机房安全管理制度，对有关机房物理访问，物品带进、带出机房和机房环境安全等方面的管理作出规定；

应加强对办公环境的保密性管理，包括工作人员调离办公室应立即交还该办公室钥匙和不在办公区接待来访人员等；

资产管理应编制与信息系统相关的资产清单，包括资产责任部门、重要程度和所处位置等内容；

应建立资产安全管理制度，规定信息系统资产管理的责任人员或责任部门，并规范资产管理和使用的行为；

介质管理应确保介质存放在安全的环境中，对各类介质进行控制和保护，并实行存储环境专人管理；

应对介质归档和查询等过程进行记录，并根据存档介质的目录清单定期盘点；

应对需要送出维修或销毁的介质，首先清除其中的敏感数据，防止信息的非法泄漏；

应根据所承载数据和软件的重要程度对介质进行分类和标识管理；

设备管理应对信息系统相关的各种设备（包括备份和冗余设备）、线路等指定专门的部门或人员定期进行维护管理；

应建立基于申报、审批和专人负责的设备安全管理制度，对信息系统的各种软硬件设备的选型、采购、发放和领用等过程进行规范化管理；

应对终端计算机、工作站、便携机、系统和网络等设备的操作和使用进行规范化管理，按操作规程实现主要设备（包括备份和冗余设备）的启动/停止、加电/断电等操作；

应确保信息处理设备必须经过审批才能带离机房或办公地点；

网络安全管理应指定专人对网络进行管理，负责运行日志、网络监控记录的日常维护和报警信息分析和处理工作；

应建立网络安全管理制度，对网络安全配置、日志保存时间、安全策略、升级与打补丁、口令更新周期等方面作出规定；

应根据厂家提供的软件升级版本对网络设备进行更新，并在更新前对现有的重要文件进行备份；

应定期对网络系统进行漏洞扫描，对发现的网络系统安全漏洞进行及时的修补；

应对网络设备的配置文件进行定期备份；

应保证所有与外部系统的连接均得到授权和批准；

系统安全管理应根据业务需求和系统安全分析确定系统的访问控制策略；

应定期进行漏洞扫描，对发现的系统安全漏洞及时进行修补；

应安装系统的最新补丁程序，在安装系统补丁前，应首先在测试环境中测试通过，并对重要文件进行备份后，方可实施系统补丁程序的安装；

应建立系统安全管理制度，对系统安全策略、安全配置、日志管理和日常操作

流程等方面作出具体规定；

应依据操作手册对系统进行维护，详细记录操作日志，包括重要的日常操作、运行维护记录、参数的设置和修改等内容，严禁进行未经授权的操作；

应定期对运行日志和审计数据进行分析，以便及时发现异常行为；

恶意代码防范管理应提高所有用户的防病毒意识，告知及时升级防病毒软件，在读取移动存储设备上的数据以及网络上接收文件或邮件之前，先进行病毒检查，对外来计算机或存储设备接入网络系统之前也应进行病毒检查；

应指定专人对网络和主机进行恶意代码检测并保存检测记录；

应对防恶意代码软件的授权使用、恶意代码库升级、定期汇报等作出明确规定；

密码管理应使用符合国家密码管理规定的密码技术和产品；

变更管理应确认系统中要发生的变更，并制定变更方案；

系统发生重要变更前，应向主管领导申请，审批后方可实施变更，并在实施后向相关人员通告；

备份与恢复管理应识别需要定期备份的重要业务信息、系统数据及软件系统等；

应规定备份信息的备份方式、备份频度、存储介质、保存期等；

应根据数据的重要性和数据对系统运行的影响，制定数据的备份策略和恢复策略，备份策略须指明备份数据的放置场所、文件命名规则、介质替换频率和将数据离站运输的方法；

安全事件处置应报告所发现的安全弱点和可疑事件，但任何情况下用户均不应尝试验证弱点；

应制定安全事件报告和处置管理制度，明确安全事件的类型，规定安全事件的现场处理、事件报告和后期恢复的管理职责；

应根据国家相关管理部门对计算机安全事件等级划分方法和安全事件对本系统产生的影响，对本系统计算机安全事件进行等级划分；

应记录并保存所有报告的安全弱点和

可疑事件，分析事件原因，监督事态发展，采取措施避免安全事件发生；

应急预案管理应在统一的应急预案框架下制定不同事件的应急预案，应急预案框架应包括启动应急预案的条件、应急处理流程、系统恢复流程、事后教育和培训等内容；

应对系统相关的人员进行应急预案培训，应急预案的培训应至少每年举办一次；

信息系统安全自查报告

第四级：结构化保护级； 第五级：访问验证保护级”） 国家信息化领导小组关于加强信息安全保障工作的意见（中办发[2003]27号） 关于信息安全等级保护工作的实施意见（公通字[2004]66号）定级标准 信息安全等级保护管理办法（公通字[2007]43号） 关于开展全国重要信息系统安全等级保护定级工作的通知（公信安[2007]861号） 关于开展信息安全等级保护安全建设整改工作的指导意见（公信安[2009]1429号） 关于推动信息安全等级保护测评体系建设和开展等级测评工作的通知（公信安[2010]303号） 地方及行业范例 关于加强国家电子政务工程建设项目信息安全风险评估工作的

通知（发改高技[2008]2071号） 关于进一步推进中央企业信息安全等级保护工作的通知 水利网络与信息安全体系建设基本技术要求（2010年3月） 证券期货业信息系统安全等级保护基本要求(试行) （JR/T 0060-2010） 山西省计算机信息系统安全保护条例（2009年1月）广东省计算机信息系统安全保护条例（2008年4月） 宁夏回族自治区计算机信息系统安全保护条例（2009年10月）徐州市计算机信息系统安全保护条例（2009年1月） 标准规范 十大重要标准 计算机信息系统安全等级保护划分准则（GB 17859-1999）（基础类标准） 信息系统安全等级保护实施指南（GB/T 25058-2010）（基础类标准） 信息系统安全保护等级定级指南（GB/T 22240-2008）（应用类定级标准）

信息系统安全等级保护基本要求（GB/T 22239-2008）（应用类建设标准） 信息系统通用安全技术要求（GB/T 20271-2006）（应用类建设标准） 信息系统等级保护安全设计技术要求（GB/T 25070-2010）（应用类建设标准） 信息系统安全等级保护测评要求（GB/T 28448-2012）（应用类测评标准） 信息系统安全等级保护测评过程指南（GB/T 28449-2012）（应用类测评标准） 信息系统安全管理要求（GB/T 20269-2006）（应用类管理标准） 信息系统安全工程管理要求（GB/T 20282-2006）（应用类管理标准） 其它相关标准 GB/T 21052-2007 信息安全技术信息系统物理安全技术要求 GB/T 20270-2006 信息安全技术网络基础安全技术要求

信息安全技术 信息系统安全等级保护测评要求.doc

信息安全技术信息系统安全等级保护基本要求 引言 依据《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）、《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）、《关于信息系统安全等级保护工作的实施意见》（公通字[2004]66号）和《信息安全等级保护管理办法》（公通字[2007]43号）等有关文件要求，制定本标准。 本标准是信息安全等级保护相关系列标准之一。 与本标准相关的系列标准包括： ——GB/T 22240-2008 信息安全技术信息系统安全等级保护定级指南； ——GB/T 22239-2008 信息安全技术信息系统安全等级保护基本要求； ——GB/T AAAA-AAAA 信息安全技术信息系统安全等级保护实施指南。 一般来说，信息系统需要靠多种安全措施进行综合防范以降低其面临的安全风险。本标准针对信息系统中的单项安全措施和多个安全措施的综合防范，对应地提出单元测评和整体测评的技术要求，用以指导测评人员从信息安全等级保护的角度对信息系统进行测试评估。单元测评对安全技术和安全管理上各个层面的安全控制点提出不同安全保护等级的测评要求。整体测评根据安全控制点间、层面间和区域 间相互关联关系以及信息系统整体结构对信息系统整体安全保护能力的影响提出测评要求。本标准给出了等级测评结论中应包括的主要内容，未规定给出测评结论的具体方法和量化指标。 如果没有特殊指定，本标准中的信息系统主要指计算机信息系统。在本标准文本中，黑体字的测评要求表示该要求出现在当前等级而在低于当前等级信息系统的测评要求中没有出现过。 信息系统安全等级保护测评要求 1 范围 本标准规定了对信息系统安全等级保护状况进行安全测试评估的要求，包括对第一级信息系统、第二级信息系统、第三级信息系统和第四级信息系统进行安全测试评估的单元测评要求和信息系统整体测 评要求。本标准略去对第五级信息系统进行单元测评的具体内容要求。 本标准适用于信息安全测评服务机构、信息系统的主管部门及运营使用单位对信息系统安全等级保护状况进行的安全测试评估。信息安全监管职能部门依法进行的信息安全等级保护监督检查可以参考使 用。 2 规范性引用文件 下列文件中的条款通过本标准的引用而成为本标准的条款。注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否 可使用这些文件的最新版本。不注日期的引用文件，其最新版本适用于本标准。 GB/T 5271.8 信息技术词汇第8部分：安全 GB/T 22239-2008 信息安全技术信息系统安全等级保护基本要求 3 术语和定义 GB/T 5271.8和GB/T 22239-2008所确立的以及下列术语和定义适用于本标准。

信息系统安全自查分析报告

信息系统安全自查报告

————————————————————————————————作者：————————————————————————————————日期： 2

信息系统安全材料报告 一、什么是信息系统安全 信息系统安全：包括信息系统安全基本概念、信息系统安全体系、信息系统安全管理目标、信息系统安全需求、风险管理与控制、风险评估与分析、信息系统安全技术、信息安全标准与法律法规。 二、信息系统安全等级保护 信息安全等级保护是对信息和信息载体按照重要性等级分级别进行保护的一种工作，在中国、美国等很多国家都存在的一种信息安全领域的工作。在中国，信息安全等级保护广义上为涉及到该工作的标准、产品、系统、信息等均依据等级保护思想的安全工作；狭义上称为的一般指信息系统安全等级保护，是指对国家安全、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置的综合性工作。 工作内容 信息安全等级保护工作包括定级、备案、安全建设和整改、信息安全等级测评、信息安全检查五个阶段，作为公安部授权的第三方测评机构，为企事业单位提供免费专业的信息安全等级测评咨询服务。 信息系统安全等级测评是验证信息系统是否满足相应安全保护

等级的评估过程。信息安全等级保护要求不同安全等级的信息系统应具有不同的安全保护能力，一方面通过在安全技术和安全管理上选用与安全等级相适应的安全控制来实现；另一方面分布在信息系统中的安全技术和安全管理上不同的安全控制，通过连接、交互、依赖、协调、协同等相互关联关系，共同作用于信息系统的安全功能，使信息系统的整体安全功能与信息系统的结构以及安全控制间、层面间和区域间的相互关联关系密切相关。因此，信息系统安全等级测评在安全控制测评的基础上，还要包括系统整体测评。 政策标准 政策法规 中华人民共和国计算机信息系统安全保护条例（1994年国务院147号令）（“第九条计算机信息系统实行安全等级保护。安全等级的划分标准和安全等级保护的具体办法，由公安部会同有关部门制定”）计算机信息系统安全保护等级划分准则（GB 17859-1999）（“第一级：用户自主保护级； 第二级：系统审计保护级； 第三级：安全标记保护级； 第四级：结构化保护级；

信息系统安全自查工作的报告

信息系统安全自查工作的报告 一、注重信息安全工作及规章制度建设 公司自开业以来以《XXX公司信息系统运行管理制度》《XXX公司计算机信息系统安全、保密管理规定》等相关内控制度为基准制定了信息安全工作的安全策略、支撑安全策略实现的各项安全管理规定以及操作规程等构成的全面的信息安全管理制度体系；制订了安全组织的设立、人员的安全管理，系统建设及运维相关安全管理制度；制订了安全管理人员或操作人员执行的管理操作规程；明确了安全管理各个岗位的岗位职责；按监管机构的要求严格实施了机房管理、外来人员管理和信息数据安全管理。 此次自查工作主要分为三个环节逐步开展。第一个环节是以行政人事部为主，从安全管理制度、设施、人员、岗位职责等方面整体梳理总结；分公司的系统管理员在权限之内负责全省的员工权限的相关配置，各中心支公司的系统管理员没有配置系统的权限，实现辖内员工的权限由分公司统一配置，各中心支公司系统管理负责维护本机构的机器、网络、桌而维护以及系统问题的上报。 第二个环节是联合分公司各部门、各中心支公司开展信息安全自查工作讨论，补充现有制度的缺陷； 第三个环节是由信息检查小组再次梳理整体信息安全工

作，并修正检查出的工作错误。 在检查中我公司发现中支信息员对部分规定、通知执行力度不够，无法引起足够的重视，我公司针对此类情况准备下发严格的管控及奖惩措施。 我公司大部分电脑按照总公司要求加入域集中管理，安装了网络版防病毒软件，使用上网行为管理设备对与工作无关的网站及软件进行了封锁，及时更新系统补丁、修复漏洞, 通过以上措施，大大降低了系统文件被篡改、中病毒等风险, 但是通过自查发现分公司对此项工作的执行力度较强，各中心支公司存在没有进入域管理的情况，针对此类情况，我公司再次下发相关文件要求各中支必须对每台电脑进入域管理，以实现集中管理。 二、信息系统的安全管控 为了确保电子信息系统安全、稳定、可靠的运行，网络机房建设严格参照国家机房标准建设，我分公司至总公司网络采用联通SDH专线，备线采用电信SDH专线（互为备份）。机房内现有设备：防火墙、3层交换机、上网行为管理设备、服务器、工控机各一台，路由器2台、二层交换机5台，配备有长效型UPS,目前设备运行状况良好。机房面积12平方米，配备门锁、中央空调，由信息管理人员专人管理，做到每月打扫卫生、每天到场巡视。 公司业务、财务、辅助系统采用B/S模式开发，所有数据

信息系统安全等级保护测评准则.

目录 1 范围 (1) 2 规范性引用文件 (1) 3 术语和定义 (1) 4 总则 (2) 4.1 测评原则 (2) 4.2 测评内容 (2) 4.2.1基本内容 (2) 4.2.2工作单元 (3) 4.2.3测评强度 (4) 4.3 结果重用 (4) 4.4 使用方法 (4) 5 第一级安全控制测评 (5) 5.1安全技术测评 (5) 5.1.1物理安全 (5) 5.1.2网络安全 (7) 5.1.3 主机系统安全 (9) 5.1.4 应用安全 (11) 5.1.5 数据安全 (13) 5.2 安全管理测评 (15) 5.2.1 安全管理机构 (15) 5.2.2 安全管理制度 (17) 5.2.3 人员安全管理 (17) 5.2.4 系统建设管理 (19) 5.2.5 系统运维管理 (23) 6 第二级安全控制测评 (27) 6.1 安全技术测评 (27) 6.1.1 物理安全 (27) 6.1.2 网络安全 (33) 6.1.3 主机系统安全 (37) 6.1.4 应用安全 (42) 6.1.5 数据安全 (47) 6.2 安全管理测评 (50) 6.2.1 安全管理机构 (50) 6.2.2 安全管理制度 (52) 6.2.3 人员安全管理 (54) 6.2.4 系统建设管理 (56) 6.2.5 系统运维管理 (61) 7 第三级安全控制测评 (69) 7.1 安全技术测评 (69) 7.1.1 物理安全 (69) 7.1.2 网络安全 (76)

7.1.3 主机系统安全 (82) 7.1.4 应用安全 (90) 7.1.5 数据安全 (97) 7.2 安全管理测评 (99) 7.2.1 安全管理机构 (99) 7.2.2 安全管理制度 (104) 7.2.3 人员安全管理 (106) 7.2.4 系统建设管理 (109) 7.2.5 系统运维管理 (115) 8 第四级安全控制测评 (126) 8.1 安全技术测评 (126) 8.1.1 物理安全 (126) 8.1.2 网络安全 (134) 8.1.3 主机系统安全 (140) 8.1.4 应用安全 (149) 8.1.5 数据安全 (157) 8.2 安全管理测评 (160) 8.2.1 安全管理机构 (160) 8.2.2 安全管理制度 (164) 8.2.3 人员安全管理 (166) 8.2.4 系统建设管理 (169) 8.2.5 系统运维管理 (176) 9 第五级安全控制测评 (188) 10 系统整体测评 (188) 10.1 安全控制间安全测评 (188) 10.2 层面间安全测评 (189) 10.3 区域间安全测评 (189) 10.4 系统结构安全测评 (190) 附录A（资料性附录）测评强度 (191) A.1测评方式的测评强度描述 (191) A.2信息系统测评强度 (191) 附录B（资料性附录）关于系统整体测评的进一步说明 (197) B.1区域和层面 (197) B.1.1区域 (197) B.1.2层面 (198) B.2信息系统测评的组成说明 (200) B.3系统整体测评举例说明 (201) B.3.1被测系统和环境概述 (201) B.3.1安全控制间安全测评举例 (202) B.3.2层面间安全测评举例 (202) B.3.3区域间安全测评举例 (203) B.3.4系统结构安全测评举例 (203)

信息系统安全自查报告

信息系统安全自查报告 一、自查情况 1、安全制度落实情况: 目前我院已制定了<网络安全管理制度>、<计算机信息系统安全保密管理制度>、<涉密人员管理制度>等制度并严格执行。信息管护人员负责信息系统安全管理，密码管理，且规定严禁外泄。 2、安全防范措施落实情况: (1)计算机经过了信息系统安全技术检查，并安装了防火墙，同时配置安装了专业杀毒软件，加强了在防篡改、防病毒、防攻击、防瘫痪、防泄密等方面的有效性。 (2)禁止使用来历不明或未经杀毒的一切移动存储介质。 (3)在安装杀毒软件时采用国家主管部门批准的查毒杀毒软件适时查毒和杀毒，不使用来历不明、未经杀毒的软件、软盘、光盘、u盘等载体，不访问非法网站，自觉严格控制和阻断病毒来源。在单位外的u盘，不得携带到单位内使用。(4)安装了准入准出管理系统，对内部网络中出现的内部用户未通过允许私自联到外部网络的行为进行检查。对外来终端接入医院网络必须进行健康度审查，直至符合相关要求后，经管理员审核才能接入医院网络。对接入互联网的终端计算机采取控制措施，包括实名接入认证、IP地址与MAC地址绑定等，定期对终端计算机进行安全审计；规范化使用终端软硬件，不得擅自更改软硬件配置，不得擅自安装软件，严禁在计算机上安装非法盗版软件；监控系统开启服务与程序情

况，关闭不必要的服务、端口、来宾组等，防止恶意程序后台运行，防止安装过多应用软件及病毒、木马程序的自运行；加强网络访问控制，防止计算机进行违规互联，防止信息因共享等方式进行违规流转，防止木马、病毒在信息系统内大规模爆发。(5)安装了防病毒系统、威肋预警系统，服务器安装支持统一管理的防病毒软件，及时更新软件版本和病毒库;整改配备威胁管理平台和杀软，主机与网络的防范产品统一管理，且必须与终端杀毒软件属不同的安全库；定期（如每半年年）进行系统漏洞扫描，并根据扫描发现的漏洞开展整改工作，应定期（如每月）对恶意代码查杀结果进行分析，对于查杀发现的病毒及其传播、感染方式进行通告，并出具分析报告，及时更新操作系统的安全补丁，更新前应对补丁进行测试，确认其不影响操作系统的业务性能后，再安装系统安全补丁。(6)安装了数据库审计系统（防统方）软件，审计范围覆盖到服务器上的每个操作系统用户和数据库用户；审计内容包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件；审计记录包括事件的日期、时间、类型、主体标识、客体标识和结果等；保护审计记录，避免受到未预期的删除、修改或覆盖等；对医院数据库几张重要的表格（统方）采取相应的安全措施，降低国家省里卫计委三令五声的统方信息泄露事件。整改配备数据库审计系统（反统方），对重要客户端的审计和审计报表计记录的保护。部署数据库审计系统，赋予安全管理员审计系统管理权限，其中系统管理员无审计系统日志访问权限，安全管理员无数据库系统管理权限；(7)安装了网闸隔离设备，医院内网与

信息系统等级保护测评工作方案

XX安全服务公司 2018-2019年XXX项目等级保护差距测评实施方案 XXXXXXXXX信息安全 201X年X月

目录 目录 (1) 1.项目概述 (2) 1.1.项目背景 (2) 1.2.项目目标 (3) 1.3.项目原则 (4) 1.4.项目依据 (4) 2.测评实施容 (6) 2.1.测评分析 (6) 2.1.1.测评围 (6) 2.1.2.测评对象 (6) 2.1.3.测评容 (7) 2.1.4.测评对象 (9) 2.1.5.测评指标 (10) 2.2.测评流程 (12) 2.2.1.测评准备阶段 (13) 2.2.2.方案编制阶段 (14) 2.2.3.现场测评阶段 (14) 2.2.4.分析与报告编制阶段 (17) 2.3.测评方法 (17) 2.3.1.工具测试 (17) 2.3.2.配置检查 (18) 2.3.3.人员访谈 (19) 2.3.4.文档审查 (19) 2.3.5.实地查看 (20)

2.4.测评工具 (21) 2.5.输出文档 (21) 2.5.1.等级保护测评差距报告................................................... 错误!未定义书签。 2.5.2.等级测评报告 ................................................................... 错误!未定义书签。 2.5. 3.安全整改建议 ................................................................... 错误!未定义书签。 3.时间安排 (22) 4.人员安排 (22) 4.1.组织结构及分工 (23) 4.2.人员配置表 (24) 4.3.工作配合 (25) 5.其他相关事项 (27) 5.1.风险规避 (27) 5.2.项目信息管理 (29) 5.2.1.责任法律保证 (30) 5.2.2.现场安全管理 (30) 5.2.3.文档安全管理 (30) 5.2.4.离场安全管理 (31) 5.2.5.其他情况说明 (31) 1.项目概述 1.1.项目背景 为了贯彻落实《国家信息化领导小组关于加强信息安全保障工作的意 见》、《关于信息安全等级保护工作的实施意见》和《信息安全等级保护管理 办法》的精神，2015年XXXXXXXXXXXXXXXXXXX需要按照国家《信息安全技术信息系统安全等级保护定级指南》、《计算机信息系统安全保护等级划分准

关于政府信息系统安全工作的自查报告

市对外经济合作局信息系统安全工作自查报告 市政府信息化工作办公室： 根据《XX市20XX年度政府信息系统安全检查实施工作方案》中“安全检查工作”的八项内容对我局信息系统进行自查，现将自查结果报告如下： 我局信息系统运转以来，能严格按照上级部门要求，积极完善各项安全制度、充分加强信息化安全工作人员教育培训、全面落实安全防范措施、全力保障信息安全工作经费，信息安全风险得到有效降低，应急处置能力得到切实提高，保证了政府信息系统持续安全稳定运行。 一、基本情况 近年来，为保证信息化工作顺利开展，我局先后投入资金XX余万元，为各下属科室分别购置信息化工作办公电脑、办公软件系统和信息安全防护系统。同时，在每个科室确定一名信息管理人员，具体负责向局信息中心上传信息和对电脑的日常维护，截至目前，全局拥有信息化工作办公电脑XX台，信息员XX 名，其中，专职信息员XX名。 二、信息安全系统运行情况 一是强化领导、明晰责任分工。成立了由局长任组长，局党组成员及各科室负责人为成员的领导小组，领导小组下设了办公室，安排两名计算机知识丰富、责任心强的同志担任办公室成员，具体负责安全维护工作。健全的机构、明晰的人员分工为政府信

息系统安全运行奠定了坚实的基础。 二是积极建立健全信息发布体系。在信息收集上传过程中，由信息化工作领导小组办公室统一协调，各科室把信息统一上报至局秘书科，由局秘书科掌握上传密码的同志统一把信息上传发布，从而保证了信息上传的准确性、安全性。 三是不断加大信息安全工作。与XX有限公司签订了技术服务协议，定期对我局计算机进行维护和信息安全检查。 四是专门制订了信息化工作有关规章制度，对信息化工作管理、内部电脑安全管理、计算机及网络设备管理、数据、资料和信息的安全管理、网络安全管理、计算机操作人员管理、网站内容管理、网站维护责任等各方面都作了详细规定，进一步规范了我局信息安全管理工作。 五是积极安排计算机管理人员参加市委、市政府组织的计算机安全技术培训，有效地提高了信息技术人员的安全意识以及维护系统安全的能力，促进了我局信息网络系统正常运行。 六是及时对系统和软件进行更新，对重要文件、信息资源做到及时备份，数据恢复。 三、存在不足 一是专业技术人员较少，信息系统安全方面可投入的力量有限。 二是规章制度体系初步建立，但还不完善，未能覆盖到信息系统安全的所有方面；三是遇到计算机病毒侵袭等突发事件处理不够及时。

信息系统安全等级保护定级指南

1信息系统安全等级保护定级指南 为宣贯《信息系统安全等级保护定级指南》（以下简称《定级指南》）国家标准，由标准起草人介绍标准制、修订过程，讲解标准的主要内容,解答标准执行中可能遇到的问题。1.1定级指南标准制修订过程 1.1.1制定背景 本标准是公安部落实66号文件，满足开展等级保护工作所需要的重要规范性文件之一，是其他标准规范文件的基础。本标准依据66号文件和“信息安全等级保护管理办法”的精神和原则，从信息系统对国家安全、经济建设、社会生活重要作用，信息系统承载业务的重要性、业务对信息系统的依赖程度和信息系统的安全需求等方面的因素，确定信息系统的安全保护等级，提出了分级的原则和方法。 本任务来自全国信息系统安全标准化技术委员会，由全国信息安全标准化技术委员会WG5工作组负责管理。 1.1.2国外相关资料分析 本标准编制前，编制人员收集与信息系统确定等级相关的国外资料，其中主要是来自美国的标准或文献资料，例如： ●FIPS 199 Standards for Security Categorization of Federal Information and Information Systems（美国国家标准和技术研究所） ●DoD INSTRUCTION 8510.1-M DoD Information Technology Security Certification and Accreditation Process Application Manual（美国国防部） ●DoD INSTRUCTION 8500.2 Information Assurance (IA) Implementation（美国国防 部） ●Information Assurance Technology Framework3.1（美国国家安全局） 这些资料表明，美国政府及军方也在积极进行信息系统分等级保护的尝试，从一个侧面反映了分等级对重要信息系统实施重点保护的思想不仅适用于像我国这样的信息技术水平不高的发展中国家，也适用于信息化发达国家。但仔细分析起来，这些文献资料中所描述的等级在其适用对象、定级方法、划定的等级和定级要素选择方面各有不同。 FIPS 199作为美国联邦政府标准，依据2002年通过的联邦信息安全管理法，适用于所有联邦政府内的信息（除其它规定外的）和除已定义为国家安全系统之外的联邦信息系统。根据FIPS 199，信息和信息系统根据信息系统中信息的保密性、完整性和可用性被破坏的

信息系统安全等级保护测评过程指南

信息安全技术信息系统安全等级保护测评过程指南 引言 依据《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）、《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）、《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）和《信息安全等级保护管理办法》（公通字[2007]43号），制定本标准。 本标准是信息安全等级保护相关系列标准之一。 与本标准相关的系列标准包括： ——GB/T22240-2008信息安全技术信息系统安全等级保护定级指南； ——GB/T22239-2008信息安全技术信息系统安全等级保护基本要求； ——GB/TCCCC-CCCC信息安全技术信息系统安全等级保护实施指南； ——GB/TDDDD-DDDD信息安全技术信息系统安全等级保护测评要求。 信息安全技术 信息系统安全等级保护测评过程指南 1范围

本标准规定了信息系统安全等级保护测评（以下简称等级测评）工作的测评过程，既适用于测评机构、信息系统的主管部门及运营使用单位对信息系统安全等级保护状况进行的安全测试评价，也适用于信息系统的运营使用单位在信息系统定级工作完成之后，对信息系统的安全保护现状进行的测试评价，获取信息系统的全面保护需求。 2规范性引用文件 下列文件中的条款通过在本标准中的引用而成为本标准的条款。凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否使用这些文件的最新版本。凡是不注明日期的引用文件， 其最新版本适用于本标准。 GB/T5271.8信息技术词汇第8部分：安全GB17859-1999计算机信息系统安全保护等级划分准则GB/T22240-2008信息安全技术信息系统安全等级保护定级指南GB/T22239-2008信息安全技术信息系统安全等级保护基本要求GB/TCCCC-CCCC信息安全技术信息系统安全等级保护实施指南GB/TDDDD-DDDD信息安全技术信息系统安全等级保护测评要求《信息安全等级保护管理办法》（公通字[2007]43号） 3术语和定义 GB/T5271.8、GB17859-1999、GB/TCCCC-CCCC和GB/TDDDD-DDDD确立的以及下列的术语和定义适用于本标准。 3.1

信息系统安全测评工具

信息系统安全测评工具 一、测评工具分类 一）安全测试工具 1、脆弱性扫描工具 脆弱性扫描工具又称安全扫描器或漏洞扫描仪，是目前应用比较广泛的安全测试工具之一，主要用于识别网络、操作系统、数据库、应用的脆弱性，给出修补建议。 1）基于网络的扫描工具：通过网络实现扫描，可以看作是一钟漏洞信息收集工具，根据不同漏洞的特征，构造网络数据包，发给网络中的一个或多个目标，以判断某个特定的漏洞是否存在，能够检测防火墙、IDS等网络层设备的错误配置或者链接到网络中的网络服务器的关键漏洞。 常用工具：天镜脆弱性扫描与管理系统、极光远程安全评估系统、榕基网络隐患扫描系统、Nessus和Nmap等。 2）基于主机的扫描工具：通常在目标系统上安装一个代理（Agent）或者是服务（Services）,以便能够访问所有的主机文件与进程，这也使得基于主机的漏洞扫描器能够扫描更多系统层面的漏洞。 常用工具：微软基线安全分析器、日志分析工具和木马查杀工具等。 3）数据库安全扫描工具：通过授权或非授权模式，自动、深入地识别数据库系统中存在的多种安全隐患，包括数据库的鉴别、授权、认证、配置等一系列安全问题，也可识别数据库系统中潜在的弱点，并依据内置的知识库对违背和不遵循数据库安全性策略的做法推荐修正措施。 常用工具：安信通数据库安全扫描工具、明鉴数据库弱点扫描器等商业产品，还有oscanner、Mysqlweak等专项审核工具。 4）Web应用安全扫描工具：通过构造多种形式的Web访问请求，远程访问目标应用特定端口的服务，记录反馈信息，并与内置的漏洞库进行匹配，判断确认Web应用程序中的安全缺陷，确认Web应用程序遭受恶意攻击的危险。 常用工具：AppScan、WebRavor、WebInspect、Acunetix Web Vulnerability Scanner、N-Stealth 等。 2、渗透测试工具 渗透测试需要以脆弱性扫描工具扫描的结果为基础信息，结合专用的渗透测试工具开展模拟探测和入侵，判断被非法访问者利用的可能性，从而进一步判断已知的脆弱性是否真正会给系统或网络带来影响。 常用工具：流光（Fluxay）、Pangolin、Canvas、SQLMap、SQLIer、SQL Power Injector和SQLNinja等。 3、静态分析工具 静态程序分析是指使用自动化或半自动化工具软件对程序源代码进行检查，以分析程序行为的技术，广泛应用于程序的正确性检查、安全缺陷检测、程序优化等。 常用工具：FortifySCA、Checkmark CxSuite、IBM Rational AppScan Source Edition、PC-Lint、KlocWork公司的K7，以及其他的开源软件及商业软件。 二）测评辅助工具 测评辅助工具主要实现对原始数据的采集、现状分析和趋势分析等单项功能，其输出结果可作为了解被测系统某方面特性或现状、进一步开展相关安全测试的输入，也可以直接作为系统安全评估的技术依据。 1、性能测试工具 性能测试工具是通过自动化手段模拟多种正常、峰值以及异常负载条件来对系统或网络

信息系统安全等级

附件乐3：乐山《信息系统安全等级保护定级报告》模 金阳县人民医院 《信息系统安全等级保护定级报告》 一、金阳县人民医院信息系统描述 金阳县人民医院信息系统主要有医院信息管理系统（HIS）、LIS、PACS、卫生统计直报系统、传染性疾病报告系统、医院门户网站等系统组成。本系统对医院及其所属各部门的人流、物流、财流进行综合管理，对医院从事医疗、办公等活动在各阶段中产生的数据进行采集、存储、分析、处理、汇总，为医院的整体运行提供信息支撑。该信息系统的平台运行维护主要有网络中心承担，医院始终将信息安全建设作为安全重中之重建设和管理，将其确定为定级对象进行监督，网络中心为信息安全保护主体。此系统主要由提供网络连接、网络服务的硬件和数据控制的软件程序两大要素构成，提供网络连接和服务的硬件设备如路由器、交换机和服务器构成了该信息系统的基础，其主要为保障数据的传输和程序文件的运行；数据控制文件系统、程序源码成为信息表现的载体，二者共同完成院内医疗、办公等信息的综合管理。 二、金阳县人民医院信息系统安全保护等级确定（定级方法参见国家标准《信息系统安全等级保护定级指南》） （一）业务信息安全保护等级的确定 1、业务信息描述 本信息系统主要处理的业务有医院日常业务运行、医院最新动态、院务公开、等。旨在保障医院业务正常运行、提高工作效率、增强院务透明度、扩大医院社会影响力。 2、业务信息受到破坏时所侵害客体的确定 该业务信息遭到破坏后，所侵害的客体是患者、法人和医院职工的合法权益。侵害的客观方面（客观方面是指定级对象的具体侵害行为，侵害形式以及对客体的造成的侵害结果）表现为：一旦信息系统的业务信息遭到入侵、修改、增加、删除等不明侵害（形式可以包括丢失、破坏、损坏等），会对患者、医院和医院职工的合法权益造成严重影响和损害。本信息系统由于具有一定的脆弱性，需要不定时进行对该系统进行程序升级和漏洞防范，所以很容易受到“黑客”攻击和破坏，可能会影响医疗、办公正常秩序和正常行使工作职能，导致业务能力下降，从某种角度可侵害患者、医院和医院职工的合法权益，造成一定范围的不良影响等。 3、信息受到破坏后对侵害客体的侵害程度的确定 当此信息受到破坏后，会对患者、医院和医院职工造成一些严重损害。 4、业务信息安全等级的确定 依据信息受到破坏时所侵害的客体以及侵害程度，确定业务信息安全等级为二级。 （二）系统服务安全保护等级的确定 1、系统服务描述 本信息系统主要为医院业务的正常运行、日常办公活动正常开展和提供医疗咨询等服务。2、系统服务受到破坏时所侵害客体的确定 该系统服务遭到破坏后，所侵害的客体是公民、医院和其他组织的合法权益，同时也侵害社会秩序和公共利益但不损害国家安全。客观方面表现得侵害结果为：可以对患者、法人和医院职工的合法权益造成侵害（影响正常工作的开展，导致业务能力下降，造成不良影响，引起医患法律纠纷等）。 3、系统服务受到破坏后对侵害客体的侵害程度的确定 上述结果的程度表现为：患者、医院和医院职工的合法权益造成一般损害，即会出现一定范围的社会不良影响和一定程度的公共利益的损害等。

信息系统安全等级保护测评准则

信息系统安全等级保护测评准则

目录 1 范围1 2 规范性引用文件1 3 术语和定义1 4 总则2 4.1 测评原则2 4.2 测评内容2 4.2.1基本内容2 4.2.2工作单元3 4.2.3测评强度4 4.3 结果重用4 4.4 使用方法4 5 第一级安全控制测评5 5.1安全技术测评5 5.1.1物理安全5 5.1.2网络安全7 5.1.3 主机系统安全9 5.1.4 应用安全11 5.1.5 数据安全13 5.2 安全管理测评15 5.2.1 安全管理机构15 5.2.2 安全管理制度17 5.2.3 人员安全管理17 5.2.4 系统建设管理19 5.2.5 系统运维管理23 6 第二级安全控制测评27 6.1 安全技术测评27 6.1.1 物理安全27 6.1.2 网络安全33 6.1.3 主机系统安全37 6.1.4 应用安全42 6.1.5 数据安全47 6.2 安全管理测评50 6.2.1 安全管理机构50 6.2.2 安全管理制度52 6.2.3 人员安全管理54 6.2.4 系统建设管理56 6.2.5 系统运维管理61 7 第三级安全控制测评69 7.1 安全技术测评69 7.1.1 物理安全69 7.1.2 网络安全76

7.1.3 主机系统安全82 7.1.4 应用安全90 7.1.5 数据安全97 7.2 安全管理测评99 7.2.1 安全管理机构99 7.2.2 安全管理制度104 7.2.3 人员安全管理106 7.2.4 系统建设管理109 7.2.5 系统运维管理115 8 第四级安全控制测评126 8.1 安全技术测评126 8.1.1 物理安全126 8.1.2 网络安全134 8.1.3 主机系统安全140 8.1.4 应用安全149 8.1.5 数据安全157 8.2 安全管理测评160 8.2.1 安全管理机构160 8.2.2 安全管理制度164 8.2.3 人员安全管理166 8.2.4 系统建设管理169 8.2.5 系统运维管理176 9 第五级安全控制测评188 10 系统整体测评188 10.1 安全控制间安全测评188 10.2 层面间安全测评189 10.3 区域间安全测评189 10.4 系统结构安全测评190 附录A（资料性附录）测评强度190 A.1测评方式的测评强度描述190 A.2信息系统测评强度191 附录B（资料性附录）关于系统整体测评的进一步说明196 B.1区域和层面196 B.1.1区域196 B.1.2层面197 B.2信息系统测评的组成说明199 B.3系统整体测评举例说明200 B.3.1被测系统和环境概述200 B.3.1安全控制间安全测评举例201 B.3.2层面间安全测评举例201 B.3.3区域间安全测评举例202 B.3.4系统结构安全测评举例202

信息系统安全检查的自查情况报告

---------------------------------------------------------------范文最新推荐------------------------------------------------------ 信息系统安全检查的自查情况报告 根据**市人民政府办公室《关于开展政府信息系统安全的检查的通知》(天政电[2018]52号)文件精神。我镇对本镇信息系统安全情况进行了自查，现汇报如下： 一、自查情况 (一)安全制度落实情况 1、成立了安全小组。明确了信息安全的主管领导和具体负责管护人员,安全小组为管理机构。 2、建立了信息安全责任制。按责任规定:保密小组对信息安全负首责，主管领导负总责，具体管理人负主责。 3、制定了计算机及网络的保密管理制度。镇网站的信息管护人员负责保密管理，密码管理，对计算机享有独立使用权，计算机的用户名和开机密码为其专有，且规定严禁外泄。 (二)安全防范措施落实情况 1、涉密计算机经过了保密技术检查，并安装了防火墙。同时配置安装了专业杀毒软件，加强了在防篡改、防病毒、防攻击、防瘫痪、防泄密等方面有效性。 2、涉密计算机都设有开机密码，由专人保管负责。同时，涉密计算机相互共享之间没有严格的身份认证和访问控制。 3、网络终端没有违规上国际互联网及其他的信息网的现象，没有 1 / 11

安装无线网络等。 4、安装了针对移动存储设备的专业杀毒软件。 (三)应急响应机制建设情况 1、制定了初步应急预案，并随着信息化程度的深入，结合我镇实际，处于不断完善阶段。 2、坚持和涉密计算机系统定点维修单位联系机关计算机维修事宜，并商定其给予镇应急技术以最大程度的支持。 3、严格文件的收发，完善了清点、修理、编号、签收制度，并要求信息管理员每天下班前进行系统备份。 (四)信息技术产品和服务国产化情况 1、终端计算机的保密系统和防火墙、杀毒软件等，皆为国产产品。 2、公文处理软件具体使用金山软件的wps系统。 3、工资系统、年报系统等皆为市政府、市委统一指定产品系统。 (五)安全教育培训情况 1、派专人参加了市政府组织的网络系统安全知识培训，并专门负责我镇的网络安全管理和信息安全工作。 2、安全小组组织了一次对基本的信息安全常识的学习活动。 二、自查中发现的不足和整改意见 根据《通知》中的具体要求，在自查过程中我们也发现了一些不足，同时结合我镇实际，今后要在以下几个方面进行整改。 1、安全意识不够。要继续加强对机关干部的安全意识教育，提高做好安全工作的主动性和自觉性。

《信息系统安全等级保护定级报告》.doc

《信息系统安全等级保护定级报告》 一、马尔康县人民检察院门户网站信息系统描述 （一）该信息系统于2014年4月上线。目前该系统由马尔康县人民检察院办信息股负责运行维护。九龙县县政府办是该信息系统业务的主管部门，信息股为该信息系统定级的责任单位。 （二）此系统是计算机及其相关的和配套的设备、设施构成的，是按照一定的应用目标和规则对门户网站信息进行采集、加工、存储、传输、检索等处理的人机系统。 服务器托管在九龙县电信公司机房 （三）该信息系统业务主要包含：等业务。 二、马尔康县人民检察院门户网站信息系统安全保护等级确定 （一）业务信息安全保护等级的确定 1、业务信息描述 该信息系统业务主要包含：九龙新闻、信息公开、在线下载、旅游在线、县长信箱等业务。 2、业务信息受到破坏时所侵害客体的确定 该业务信息遭到破坏后，所侵害的客体是社会秩序和公众利 —9 —

益。 侵害的客观方面（客观方面是指定级对象的具体侵害行为，侵害形式以及对客体的造成的侵害结果）表现为：一旦信息系统的业务信息遭到入侵、修改、增加、删除等不明侵害（形式可以包括丢失、破坏、损坏等），会对社会秩序和公众利益造成影响和损害，可以表现为：发布虚假信息，影响公共利益，造成不良影响，引起法律纠纷等。 3、信息受到破坏后对侵害客体的侵害程度的确定 上述结果的程度表现为严重损害，即工作职能受到严重影响，造成较大范围的不良影响等。 4、业务信息安全等级的确定 业务信息安全保护等级为第二级。 （二）系统服务安全保护等级的确定 1、系统服务描述 该系统属于为民生、经济、建设等提供信息服务的信息系统，其服务范围为全国范围内的普通公民、法人等。 2、系统服务受到破坏时所侵害客体的确定 该业务信息遭到破坏后，所侵害的客体是公民、法人和其他组织的合法权益，同时也侵害社会秩序和公共利益。客观方面表现得侵害结果为：一可以对公民、法人和其他组织的合法权益造成侵害（影响正常工作的开展，造成不良影响，引起法律纠纷等）；—10 —

信息系统安全等级保护测评及服务要求

成都农业科技职业学院 信息系统安全等级保护测评及服务要求 一、投标人资质要求 1.在中华人民共和国境内注册成立（港澳台地区除外），具有独立承担民事责任的能力；由中国公民投资、中国法人投资或者国家投资的企事业单位（港澳台地区除外）。（提供营业执照副本、组织机构代码证副本、税务登记证副本复印件）； 2.测评机构应为成都市本地机构或在成都有常驻服务机构； 3. 参选人必须具有四川省公安厅颁发的《信息安全等级保护测评机构推荐证书》； 4. 参选人必须具有近3年内1例以上，市级以上企事业单位信息安全等级保护测评项目的实施业绩（以合同或协议为准）； 5. 参选人须具有良好的商业信誉和健全的财务会计制度；具有履行合同所必需的设备和专业技术能力；具有依法缴纳税收和社会保障资金的良好记录；有良好的财务状况和商业信誉。没有处于被责令停产、财产被接管、冻结或破产状态，有足够的流动资金来履行本项目合同。 6. 参与项目实施人员中应至少具备3名以上通过公安部信息安全等级保护测评师资格证书的测评工程师。 7.本包不接受联合体参加。 二、信息系统安全等级保护测评目标 本项目将按照《信息系统安全等级保护基本要求》、《信息系统安全

等级保护测评准则》和有关规定及要求，对我单位的重要业务信息系统开展信息安全等级保护测评工作，通过开展测评，了解与《信息系统安全等级保护基本要求》的差距，出具相应的测评报告、整改建议，根据测评结果，协助招标方完成信息安全等级保护后期整改工作，落实等级保护的各项要求，提高信息安全水平和安全防范能力，并配合完成公安系统等级保护备案。 等级保护测评主要是基于《信息安全技术信息系统安全等级保护基本要求》（GB/T 22239-2008）和《信息系统安全等级保护测评准则》中的相关内容和要求进行测评。测评主要包括安全技术和安全管理两个方面的内容，其中安全技术方面主要涉及物理安全、网络安全、主机安全、应用安全与数据安全等方面的内容；安全管理方面主要涉及安全管理制度、安全管理机构、人员安全管理、系统建设管理和系统运维管理等方面的内容，配合相应等级的安全技术措施，提供相应的安全管理措施和安全保障。 三、测评内容及要求 1.完成上述信息系统的等级保护定级工作，协助学院编写相应的《信息系统安全等级保护定级报告》； 2.完成上述信息系统安全等级测评工作，测评后经用户方确认，出具符合信息系统等级测评要求的测评报告； 3.协助完成上述信息系统安全等级保护备案工作； 4.对上述信息系统不符合信息安全等级保护有关管理规范和技术

网络与信息系统安全自查总结报告

网络与信息系统安全自查总结报告 根据《广电总局办公厅贯彻落实国务院办公厅关于开展重点领域网络与信息安全检查行动的通知》文件精神，我台在青岛市文广新局的统一部署下，对本台网络与信息安全情况进行了自查，现汇报如下： 一、信息安全自查工作组织开展情况 1、成立了信息安全检查行动小组。由台长任组长，分管领导为副组长，相关科室负责人为组员的行动小组，负责对全台的重要信息系统的全面指挥、排查并填记有关报表、建档留存等。 2、信息安全检查小组对照网络与信息系统的实际情况进行了逐项排查、确认，并对自查结果进行了全面的核对、分析，提高了对全台网络与信息安全状况的掌控。 二、信息安全工作情况 1、8月6日完成信息系统的自查工作部署，并研究制定自查实施方案，根据所承担的业务要求和网络边界安全性对硬盘播出系统、非线性编辑系统、xx有线电视传输系统进行全面的梳理并综合分析。 2、8月7日对硬盘播出系统、非线性编辑系统、xx有线电视传输系统进行了细致的自查工作。 (1)系统安全自查基本情况 硬盘播出系统为实时性系统，对主要业务影响较高。目前拥有dell服务器5台、惠普服务器2台、cisco交换机2台，操作系统均采用windows系统，数据库采用sqlserver，灾备情况为数据级灾备，

该系统不与互联网连接。 非线性编辑系统为非实时性系统，对主要业务影响较高。目前拥有dell服务器6台、华为交换机1台，网关采用 unix操作系统，数据库采用sqlserver，灾备情况为数据灾备，该系统不与互联网连接，安全防护策略采用默认规则。 xx有线电视传输系统为实时性系统，对主要业务影响高，灾备情况为数据灾备，该系统不与互联网连接。 (2)、安全管理自查情况 人员管理方面，指定专职信息安全员,成立信息安全管理机构和信息安全专职工作机构。重要岗位人员全部签订安全保密协议，制定了《人员离职离岗安全规定》、《外部人员访问审批表》。 资产管理方面，指定了专人进行资产管理，完善了《资产管理制度》、《设备维修维护和报废管理制度》，建立了《设备维修维护记录表》。 存储介质管理方面，完善了《存储介质管理制度》，建立了《存储介质管理记录表》。 (3)、网络与信息安全培训情况 制定了《xx市广播电视台信息安全培训计划》，XX年上半年组织信息安全教育培训2次，接受信息安全培训人数40人，站单位中人数的20%。组织信息安全管理和技术人员参加专业培训4次。 ---来源网络整理，仅供参考