信息安全工作检查.doc

.海林市信息化工作领导小组办公室海信办函【2011】1号关于开展2011年度政府信息系统安全检查的通知市政府各有关部门：为贯彻落实牡丹江市信息化领导小组、牡丹江市工业和信息化委员会、牡丹江市公安局、牡丹江市国家安全局、牡丹江市国家保密局、牡丹江市国家密码管理局联合下发的关于开展政府信息系统安全检查的通知（牡信办函20111号）精神要求，保障建党90周年期间网络信息安全，根据黑龙江省政府信息系统安全检查实施办法（黑政办发201154号）等文件要求，决定开展全市政府信息系统安全检查。一、检查目的依据国家和省有关政策规定和技术标准，对政府各部门信息安全工作进行全面检查，及时发现存在的主要问题和薄弱环节，完善信息安全管理制度，加强安全防护措施，保障建党90周年信息安全。二、检查范围检查范围主要是为政府机关履行职能提供支撑的信息系统，包括政府及政府组成部门自行运行和维护管理以及委托其他机构运行和维护管理的办公系统、业务系统、网站系统、重点新闻网站等。本年度政府信息系统安全检查以全市政府网站信息系统和面向社会提供公共服务的信息系统为重点。三、检查内容以保障建党90周年信息安全为重点，针对当前政府信息系统存在的薄弱环节。重点检查：（一）信息安全制度落实情况：是否有主管领导、保密制度工作机构和管理人员；（二）信息安全防范措施落实情况：是否网站页面能正常访问，各栏目及其子栏目及时更新，网站系统密码策略、帐户策略等技术措施是否有效；（三）应急响应机制建设情况：是否有应急制度和应急方案；（四）信息安全教育培训情况：是否进行安全保密意识教育，重要岗位是否考核后上岗；（五）密码技术与产品使用情况；（六）责任追究情况；（七）安全隐患排查及整改情况；（八）运维管理情况；（九）等级保护与风险评估情况；（十）物理环境情况；（十一）涉密信息与设备的保密管理情况；（十二）信息技术产品和服务国产化情况。四、检查方式本次安全检查方式采取自查和抽查相结合，以自查为主。（一）自查。为保障建党90周年网络信息安全，各部门务必于2011年7月26日前完成政府信息系统安全自查，并对查找的信息安全隐患及时采取应对措施，确保网络信息系统安全稳定运行。各单位自查情况于7月27日下班之前报市工信局。（二）抽查。市信息化工作领导小组办公室定于7月27日对重点部门进行抽查。牡丹江市拟于7月30日前对各市县进行抽查。省里8月1日8月5日进行抽查。（三）及时整改。各部门对检查清理中发现的问题要及时整改，确保信息系统安全稳定运行，确保上网信息准确、真实，不发生失泄密问题，确保公众能够及时获取政府信息、获得便利的在线服务。对确实无力管好的网络和信息系统，要进行整合或予以关闭。五、工作要求（一）成立领导小组。成立由市政府办、市工信局、市保密局、市公安局、市国保大队、市密码管理局组成的联合检查组，具体负责组织实施政府信息系统的安全检查工作。联合检查组组长由政府办副主任担任，成员由市工信局、市保密局、市公安局、市国保大队、市保密局、市密码管理局相关部门负责人和有关工作人员组成。（二）严格落实责任。此次检查过程中，联合检查组将对抽查不合格的单位进行警告并责令其整改，若牡市、省联合检查组抽查再不合格，检查组将向市委、市政府主要领导、分管领导汇报，一并对责任单位通报批评，出现重大泄密事件的，交报请市委、市政府进行行政问责。（三）材料上报时间。各部门于7月26日之前将附件表格填写完成，经分管领导签字后报市工信局。联系人：潘德军 联系电话：7223178电子邮箱：附件：1、2011年度信息安全检查情况报告表2、2011年度政府网站安全检查专用表海林市信息化工作领导小组办公室2011年7月25日附件1：2011年度信息安全检查情况报告表一、部门基本情况部门名称（公章）分管信息安全工作的领导姓名：_职务：_信息安全管理机构名称：_负责人：_ 职务：_联系人：_ 电话：_信息安全专职工作处室名称：_负责人：_ 电话：_二、信息系统基本情况信息系统情况信息系统总数：_个面向社会公众提供服务的信息系统数：_个委托社会第三方进行日常运维管理的信息系统数：_个本年度经过安全测评（含风险评估、等级测评）系统数：_个系统定级情况第一级：_个 第二级：_个 第三级：_个第四级：_个 第五级：_个 未定级：_个互联网接入情况互联网接入口总数：_个 其中：联通 接入口数量：_个 接入带宽：_兆 电信 接入口数量：_个 接入带宽：_兆 其他：_ 接入口数量：_个 接入带宽：_兆三、日常信息安全管理情况人员管理岗位信息安全责任制度：已建立 未建立重要岗位人员信息安全和保密协议： 全部签订 部分签订 均未签订人员离岗离职安全管理规定：已制定 未制定外部人员访问机房等重要区域审批制度：已建立 未建立资产管理资产管理制度：已建立 未建立设备维修维护和报废管理： 已建立管理制度，且维修维护和报废记录完整 已建立管理制度，但维修维护和报废记录不完整 尚未建立管理制度四、信息安全防护管理情况网络边界防护管理网络访问控制：有访问控制措施 无访问控制措施网络访问日志：留存日志 未留存日志安全防护设备策略：使用默认配置 根据应用自主配置门户网站安全管理网页防篡改措施：已部署 未部署网站信息发布管理：已建立审核制度，且审核记录完整 已建立审核制度，但审核记录不完整 尚未建立审核制度电子邮箱安全管理邮箱使用：仅限本部门工作人员使用 除本部门工作人员外，还有其他人员在使用账户口令管理：使用技术措施控制和管理口令强度 无口令强度限制措施终端计算机安全管理终端计算机安全管理方式： 使用统一平台对终端计算机进行集中管理 用户分散管理接入互联网安全控制措施： 有控制措施（如实名接入、绑定计算机IP和MAC地址等） 无控制措施存储介质安全管理存储阵列、磁带库等大容量存储介质安全防护： 外联，但采取了技术防范措施控制风险 外联，无技术防范措施 不外联移动存储介质管理方式： 集中管理，统一登记、配发、收回、维修、报废、销毁 未采取集中管理方式电子信息消除或销毁设备：已配备 未配备五、信息安全应急管理情况信息安全应急预案已制定 本年度修订情况：修订 未修订未制定信息安全应急演练本年度已开展 本年度未开展信息安全灾难备份重要数据：备份 未备份重要信息系统：备份 未备份应急技术支援队伍部门所属单位 外部专业机构 无六、信息技术产品应用情况服务器总台数：_，其中国产台数：_ 使用国产CPU的服务器台数：_终端计算机（含笔记本）总台数：_，其中国产台数：_ 使用国产CPU的计算机台数：_网络交换设备（路由器、交换机等）总台数：_，其中国产台数：_操作系统服务器操作系统情况：安装Windows操作系统的服务器台数：_安装Linux操作系统的服务器台数：_安装其他操作系统的服务器台数：_终端计算机操作系统情况：安装Windows操作系统的计算机台数：_安装Linux操作系统的计算机台数：_安装其他操作系统的计算机台数：_数据库总套数：_，其中国产套数：_公文处理软件（终端计算机安装）安装国产公文处理软件的终端计算机台数：_安装国外公文处理软件的终端计算机台数：_信息安全产品安装国产防病毒产品的终端计算机台数：_防火墙（不含终端软件防火墙）台数：_ 其中国产防火墙的台数：_七、信息安全教育培训情况培训人数本年度接受信息安全教育培训的人数：_人 占本部门总人数的比例：_培训次数本年度开展信息安全教育培训的次数：_次专业培训本年度信息安全管理和技术人员参加专业培训：_人次八、信息安全经费预算投入情况经费预算本年度信息安全经费预算额：_万元经费投入本年度信息安全经费投入额：_万元（上一年度信息安全经费投入额 2010年没有统计此项，为保证数据完整，补充此项：_万元）九、本年度信息安全事件情况本年度安全技术检测结果病毒木马等恶意代码 本表所称恶意代码，是指病毒木马等具有避开安全保护措施、窃取他人信息、损害他人计算机及信息系统资源、对他人计算机及信息系统实施远程控制等功能的代码或程序。检测结果进行过病毒木马等恶意代码检测的服务器台数：_ 其中感染恶意代码的服务器台数：_进行过病毒木马等恶意代码检测的终端计算机台数：_ 其中感染恶意代码的终端计算机台数：_漏洞检测结果进行过漏洞扫描的服务器台数：_ 其中存在漏洞的服务器台数：_ 存在高风险漏洞 本表所称高风险漏洞，是指计算机硬件、软件或信息系统中存在的严重安全缺陷，利用这些缺陷可完全控制或部分控制计算机及信息系统，对计算机及信息系统实施攻击、破坏、信息窃取等行为。的服务器台数：_进行过漏洞扫描的终端计算机台数：_ 其中存在漏洞的终端计算机台数：_ 存在高风险漏洞的终端计算机台数：_本年度信息安全事件统计门户网站受攻击情况本部门入侵检测设备检测到的门户网站受攻击次数：_网页被篡改情况门户网站网页被篡改（含内嵌恶意代码）次数：_设备违规使用情况使用非涉密终端计算机处理涉密信息事件数：_终端计算机在非涉密系统和涉密系统间混用事件数：_移动存储介质在非涉密系统和涉密系统间交叉使用事件数：_十、信息技术外包服务机构情况（包括参与技术检测的外部专业机构）外包服务机构1机构名称机构性质国有 民营 外资服务内容 服务内容主要包括：系统集成、系统运维、风险评估、安全检测、安全加固、应急支持、数据存储等。信息安全和保密协议已签订 未签订信息安全管理体系认证情况已通过认证认证机构：_未通过认证外包服务机构2机构名称机构性质国有单位 民营企业 外资企业服务内容信息安全和保密协议已签订 未签订信息安全管理体系认证情况已通过认证认证机构：_未通过认证外包服务机构3机构名称机构性质国有单位 民营企业 外资企业服务内容信息安全和保密协议已签订 未签订信息安全管理体系认证情况已通过认证认证机构：_未通过认证（如有3个以上外包机构，每个机构均应填写，可另附页）填表人：_ 单位：_ 电话：_附件2：2011年度政府网站安全检查专用表1、 网站安全检查评估自查基本情况单位名称（公章）单位地址网站系统管理负责人职务电话Email网站系统维护负责人职务电话Email网站安全等级保护级别四级 三级 二级 一级 未定级网站域名（含以“.”、“.政务.cn”、“.政务”结尾）网站名称网站IP检查门户网站个其中服务器台检查网络设备台检查安全设备台/套网站服务器是否托管（托管单位名称）是否经过专业机构开展了网站安全风险评估或等级测评次涉密计算机（含笔记本电脑）台涉密移动存储介质（包括U盘、移动硬盘等存储解释）个发现安全隐患处已完成整改处网站提供的服务信息发布 业务办理 论坛 邮件服务接入了何种网络互联网 省公务外网 省公务内网行业系统内部使用的广域网或城域网 内部局域网 网络总带宽10M 100M 1000M 其它_ 填表时间2、网站安全防范实施情况本年度开展的信息安全日常管理工作信息安全测评 系统安全定级、备案 信息安全检查 信息安全风险评估信息安全管理体系建设 网站安全管理其它：_接入互联网采取的主要安全防护措施互联网接入口安装了防火墙 全部安装 部分安装 没有互联网接入口安装了入侵检测设备 全部安装 部分安装 没有对IP、MAC地址进行绑定 全部 部分 没有运维管理情况根据相关的制度运行、维护系统部署了系统性能监控措施对系统异常情况能够进行报警是否进行了下列安全检查SQL注入攻击隐患 跨站脚本攻击隐患弱口令 操作系统补丁安全情况网站服务系统及其他应用系统补丁安装情况防病毒软件升级情况 源码漏洞隐患网站是否已被“挂马” 敏感信息泄露入侵检测系统升级情况 网站栏目内容更新漏洞扫描系统升级情况 网站功能及提供的服务安全隐患扫描情况网站采取了哪些防范措施防止信息泄漏 防止SQL注入 防止跨站脚本攻击 定期进行弱口令检查 定期进行网站挂马检查 定期进行漏洞扫描 定期对网站发布系统进行升级关闭了不必要的端口 关闭或删除了不必要的链接关停了不必要的账户 关闭了不必要的服务或应用其它：_ 是否有网页防篡改措施安装了防篡改系统人工监看无防篡改措施是否具有抗拒绝服务攻击措施是 否是否保留了系统安全日志是 否系统安全日志查看的周期是多少每月 每周每天 偶尔查看或从不查看是否有独立的安全审计系统是 否网站服务器和同一网段内其他服务器之间是否有访问控制措施是 否是否有在公务外网和互联网上处理内部敏感信息是 否数字证书使用情况 未采用 采用 面向社会公众服务系统 使用第三方CA第三方CA机构名称 使用自建CA 内部系统 使用第三方CA第三方CA机构名称 使用自建CA 在访问计算机、重要资源或信息时，是否所有用户都需要进行身份鉴别（认证）是 没有鉴别 只有部分用户进行了鉴别列举本单位采取的鉴别机制口令 智能卡 数字证书CA 生物识别 其它：_ 是否有内部用户非法外联的监控措施和管理措施是；其中采取的措施_ 否 3、 网站应急响应机制建设情况网站重大信息安全事件处置情况信息安全事件本年度发生特别重大事件（级）次数：_本年度发生重大事件（级）次数：_本年度发生较大事件（级）次数：_本年度发生一般事件（级）次数：_本年度涉密信息系统和非涉密信息系统间混用移动存储介质的事件数：_本年度涉密信息系统和非涉密信息系统间混用计算机的事件数：_本年度用非密信息系统处理涉密信息的事件数：_本年度检查中发现高风险漏洞的服务器台数：_本年度检查中发现木马的服务器台数：_本年度网站网页被篡改（含挂马）的次数：_应急管理信息安全应急预案： 有 无应急技术支援队伍： 内部 外部 无发生安全事件类型感染病毒、木马程序 拒绝服务攻击 端口扫描攻击 数据窃取 破坏数据或网络 篡改网页 垃圾邮件 内部人员有意破坏 内部人员滥用网络端口和系统资源 网络诈骗和盗窃 被利用发送和传播有害信息 源码泄露其他：_导致发生安全事件的原因未修补系统或软件漏洞 网络、系统或软件配置错误 源码存在安全隐患登录密码过于简单或未修改原始密码 缺少访问控制攻击者使用拒绝服务攻击 攻击者利用软件默认设置利用内部用户安全管理漏洞或内部人员作案 内部网络违规外联 攻击者使用欺诈方法缺少身份认证措施 不知原因 网站存在错链或断链 其他：发现安全事件后采取的措施向相关部门报案 向上级业务主管部门报告请安全服务单位协助解决 请开发维护单位协助解决请安全事件应急响应组织解决 自行解决