中小学校网络安全检查自查报告.docx

中小学校网络安全检查自查报告 为了加强我校教育信息网络安全管理，保护信息系统 的安全，促进我校信息技术的应用和发展，保障教育教学 和管理工作的顺利进行，并配合省公安厅、省教育厅(豫公 通 220 号文件精神，对我校计算机信息系统开展以“反黑 客、反破坏、扫黄打非、清理垃圾邮件”为主要内容的安 全大检查，净化校园网络环境，不断提高学校计算机信息 系统安全防范能力，从而为学生提供健康，安全的上网环 境。 为落实“教育部办公厅关于开展网络安全检查的通知” (教技厅函 51 号)、 “教育部关于加强教育行业网络与信息 安全工作的指导意见”(教技 4 号)、陕西省教育厅“关于 开展全省教育系统网络与信息安全专项检查工作的通知” (陕教保【20xx】8 号)，全面加强我校网络与信息安全工作， 校信息化建设领导小组办公室于 9 月 16 日-25 日对全校网 络、信息系统和网站的安全问题组织了自查，现将自查情 况汇报如下： 一、 学校网络与信息安全状况 本次检查采用本单位自查、远程检查与现场抽查相结 合的方式，检查内容主要包含网络与信息系统安全的组织 管理、日常维护、技术防护、应急管理、技术培训等 5 各 方面，共涉及信息系统 28 个、各类网站 89 个。 从检查情况看，我校网络与信息安全总体情况良好。 学校一贯重视信息安全工作，始终把信息安全作为信息化 工作的重点内容。网络信息安全工作机构健全、责任明确， 日常管理维护工作比较规范;管理制度完善，技术防护措施 得当，信息安全风险得到有效降低;比较重视信息系统(网 站)系统管理员和网络安全技术人员培训，应急预案与应急 处置技术队伍有落实，工作经费有一定保障，基本保证了 校园网信息系统(网站)持续安全稳定运行。但在网络安全 管理、技术防护设施、网站建设与维护、信息系统等级保 护工作等方面，还需要进一步加强和完善。 二、20xx 年网络信息安全工作情况 1.网络信息安全组织管理 按照“谁主管谁负责、谁运维谁负责、谁使用谁负责” 的原则，学校网络信息安全工作实行“三级”管理。学校 设有信息化工作领导小组，校主要领导担任组长，信息化 工作办公室设在网教中心，中心主任兼办公室主任。领导 小组全面负责学校网络信息安全工作，授权信息办对全校 网络信息安全工作进行安全管理和监督责任。网教中心作 为校园网运维部门承担信息系统安全技术防护与技术保障 工作。各处室、学院承担本单位信息系统和网站信息内容 的直接安全责任。 2.信息系统(网站)日常安全管理 学校建有“校园网管理条例” 、 “中心机房安全管理制 度“、 “数据安全管理办法” 、 “网站管理办法” 、 “服务器托 管管理办法” 、 “网络故障处理规范” 等系列规章制度。各 系统(网站)使用单位基本能按要求，落实责任人，较好地 履行网站信息上传审签制度、信息系统数据保密与防篡改 制度。日常维护操作较规范，多数单位做到了杜绝弱口令 并定期更改，严密防护个人电脑，定期备份数据，定期查 看安全日志等，随时掌握系统(网站)状态，保证正常运行。 3.信息系统(网站)技术防护 校园网数据中心建有一定规模的综合安全防护措施。 一是建有专业中心机房，配备视频监控、备用电力供 应设备，有防水、防潮、防静、温湿度控制、电磁防护等 措施，进出机房实行门禁和登记制度; 二是网络出口部署有安全系统，站群系统部署有应用 防火墙，并定期更新检测规则库，重要信息系统建立专网 以便与校园网物理隔离; 三是对服务器、网络设备、安全设备等定期进行安全 漏洞检查，及时更新操作系统和补丁，配置口令策略保证 更新频度; 四是全面实行实名认证制度，具备上网行为回溯追踪 能力; 五是对重要系统和数据进行定期备份，并建有灾备中 心。 4.信息安全应急管理 20xx 年制定了西北农林科技大学网络与信息安全突 发事件应急预案 。网教中心为应急技术支持单位，确保网 络安全事件的快速有效处置。 5.信息安全教育培训 20xx 年派员参加了陕西省信息安全保密培训。暑期处 级干部培训安排有信息安全与保密专题，每年组织全校网 管员技术培训，增强管理干部和技术人员的安全防范意识， 提高技术防护能力。 三、检查发现的主要问题 对照通知中的具体检查项目，我校在信息安全工 作上还存在一定的问题： 1.安全管理方面：网管员为兼职，投入精力难以保证， 部分网管员长时间未登录过自己管理的系统(网站)，无法 及时知晓已发生的安全事件。部分系统 (网站)日常管理维 护不够规范，仍存在管理员弱口令、数据备份重视不够、 信息保密意识差等问题(20xx 年发生 2 起个人隐私信息上传 网站的事件)。 2.技术防护方面：校园网安全技术防护设施仍不足， 如缺少数据中心安全防御系统和审计系统，欠缺安全检测 设施，无法对服务器、信息系统(网站)进行安全漏洞扫描 与隐患检查。 3.应用系统(网站)方面：个别应用系统(网站)存在设 计缺陷和安全漏洞，容易发生安全事故。(经统计 20xx 年 以来 14 个网站发生安全事故 17 起，其中 11 起是因为网站 存在技术问题，如安全漏洞或设计缺陷)。 4.信息系统等级保护工作尚未全面开展。 5.部分院(系)管辖的机房或学习室尚未实行认证和审 计。 四、整改措施 针对存在的问题，学校信息化领导小组专门进行了研 究部署。 1.进一步完善网络信息安全管理制度，规范信息系统 和网站日常管理维护工作程序。加强网管员技术培训，提 高安全意识和技术能力。 2.继续完善网络信息安全技术防护设施，配备必要的 安全防御和检测设备，实行信息系统(网站)安全检测准入 制度，从根本上降低安全风险。定期对服务器、操作系统 进行漏洞扫描和隐患排查，建立针对性的主动防护体系。 3.针对各级网站建设水平参差不齐问题，学校 20xx 年 引入了站群系统管理平台，目前已将多个部门共计 12 个网 站迁移到站群系统管理平台。今后将加大推进力度，逐步 将全部各级网站迁入站群系统管理平台，提高网站技术安 全性能。 4.全面开展信息系统等级保护工作，按照新颁布的 教育行政部门及高等院校信息系统安全等级保护定级指南 ， 完成所有在线系统的定级、备案工作。积极创造条件开展 后续定级测评、整改等工作。 5.加强应急管理，修订应急预案，组建以网教中心技 术人员为骨干、重要系统管理员参加的应急支援技术队伍， 加强部门间协作，做好应急演练，将安全事件的影响降到 最低。 6.对院(系)管机房或学习室强制认证和审计。 五、几点建议 1.建议按年度列支相关经费，用于培训、应急演练、 网站改造等工作开展。(“网络安全经费预算投入情况”也 是教技厅函 51 号文件 9 个检查项目之一); 2.建议在 20xx 年数字校园建设经费里列支专项经费用 于等保定级、测评、整改等工作; 3.建议各类网站在适当的时候(最好是改版时)加入学 校站群系统管理平台，一旦加入该站群系统管理平台，管 理者将无需考虑网站的技术安全及风险，只需考虑网站的 信息与内容安全。 为了加强我校教育信息网络安全管理，保护信息系统 的安全，促进我校信息技术的应用和发展，保障教育教学 和管理工作的顺利进行，并配合省公安厅、省教育厅(豫公 通*号文件精神，对我校计算机信息系统开展以“反黑客、 反破坏、扫黄打非、清理垃圾邮件”为主要内容的安全大 检查，净化校园网络环境，不断提高学校计算机信息系统 安全防范能力，从而为学生提供健康，安全的上网环境。 一、领导重视，责任分明，加强领导 为了认真做好迎检准备工作，进一步提高教育网络信 息安全工作水平，促进教育信息化健康发展，我校建立了 专门的网络信息安全管理组织，成立了由分管领导、网络 管理员组成的计算机网络信息安全管理领导小组。负责制 定学校计算机信息系统安全管理的办法和规定，协调处理 全校有关计算机信息系统安全的重大问题;负责学校计算机 信息系统的建设、管理、应用等工作;负责信息系统安全的 监督、事故的调查和处罚。学校网络管理人员要在学校计 算机安全管理领导小组的领导下，负责校园网的安全保护 工作和设备的维护工作，必须模范遵守安全管理制度，积 极采取必要的防范技术措施，预防网络安全事故的发生。 二、完善制度，加强管理 为了更好的安全管理网络，我校建立了健全的安全管 理制度： (一)计算机机房安全管理制度 1、 重视安全工作的思想教育，防患于未然。 2、 遵守“教学仪器设备和实验室管理办法” ，做好安 全保卫工作。 3、 凡进入机房的人员除须遵守校规校纪外，还必须 遵守机房的各项管理规定，爱护机房内的所有财产，爱护 仪器设备，未经管理人员许可不得随意使用，更不得损坏， 如发现人为损坏将视情节按有关规定严肃处理。 4、 机房内禁止吸烟，严禁明火。 5、 工作人员必须熟悉实验室用电线路、仪器设备性 能及安全工作的有关规定。 6、 实验室使用的用电线路必须符合安全要求，定期 检查、检修。 7、 杜绝黄色、迷信、反动软件，严禁登录黄色、迷 信、反动网站，做好计算机病毒的防范工作。 8、 工作人员须随时监测机器和网络状况，确保计算 机和网络安全运转。 9、 机房开放结束时，工作人员必须要关妥门窗，认 真检查并切断每一台微机的电源和所有电器的电源，然后 切断电源总开关。 (二)操作人员权限等级分配制度 1、 校领导统一确定操作人员职能权限。 2、 电教组成员负责管理、维修学校所有计算机，出 现重大事故应及时报上级领导。 3、 教师用户帐号、密码由网络管理员发放，并统一 管理。 4、 学校计算机管理人员需定期维护计算机软件和数 据，重要信息定期进行检查和备份。 5、 网络管理员负责校园用户计算机系统能够正常上 网，为用户提供日常网络维护服务和日常数据备份。 (三)账号安全保密制度 1、 网络用户的账号、密码不得外传、外借。 2、 非法用户使用合法用户的账号进入校园网的，追 究该帐号拥有者的安全责任。 (四)计算机病毒防治制度 1、学校购买使用公安部颁布批准的电脑杀毒产品。 2、未经许可证，任何人不得携入软件使用，防止病毒 传染。 3、凡需引入使用的软件，均须首先防止病毒传染。 4、电脑出现病毒，操作人员不能杀除的，须及时报电 脑主管处理。 5、在各种杀毒办法无效后，须重新对电脑格式化，装 入正规渠道获得的无毒系统软件。 6、建立双备份制度，对重要资料除在电脑贮存外，还 应拷贝到软盘上，以防遭病毒破坏而遗失。 7、及时关注电脑界病毒防治情况和提示，根据要求调 节电脑参数，避免电脑病毒侵袭。 (五)安全教育培训制度 1、学校组织教师认真学习计算机信息网络国际互联 网安全保护管理办法,提高教师的维护网络安全的警惕性 和自觉性。 2、学校负责对本校教师进行安全教育和培训，使教师 自觉遵守和维护计算机信息网络国际互联网安全保护管 理办法 ，使他们具备基本的网络安全知识。 3、校管理中心对信息源接入的骨干人员进行安全教育 和培训，使之自觉遵守和维护计算机信息网络国际互联 安全保护管理办法 ，杜绝发布违犯计算机信息网络国际 互联网安全保护管理办法的信息内容。 (六)、事故和案件及时报告制度 1、任何单位和个人不得利用互联网制作、复制、查阅 和传播下列信息： 煽动抗拒、破坏宪法和法律、行政法规实施。 煽动颠覆国家政权，推翻社会主义制度。 煽动分裂国家、破坏国家统一。 煽动民族仇恨、民族歧视、破坏民族团结。 捏造或者歪曲事实、散布谣言，扰乱社会秩序。 宣扬封建迷信、淫秽、色情、赌博、暴力、凶杀、恐 怖、教唆犯罪。 公然侮辱他人或者捏造事实诽谤他人。 损害国家机关信誉。 其他违反宪法和法律、行政法规。 如发现有上述行为，保留有关原始记录，并填写好 安全日志 ，在 12 小时内向上级报告。 2、接受并配合区电教中心和公安机关的安全监督、检 查和指导，如实向公安机关提供有关安全保护的信息、资 料及数据文件，协助公安机关查处通过国际联网的计算机 信息网络的违法犯罪行为。 3、发现有关计算机病毒、危害国家安全、违反国家有 关法律、法规等计算机安全案情的，应在 12 小时以内向上 级报告。 4、计算机机房设管理员一名，其职责是每天不定期浏 览主页或自己页面，负责领导还应经常巡视操作者，如发 现有违反上述规定者应立即制止并报告校园网安全领导小 组。 (七)、面对大面积病毒应急处理方案 1、制定计算机病毒防治管理制度和技术规程，并检查 执行情况; 2、培训计算机病毒防治管理人员; 3、采取计算机病毒安全技术防治措施; 4、对网站计算机信息系统应用和使用人员