发电企业(火电、水电、风电)信息技术监督百分制考核评.doc

发电企业（火电、水电、风电）信息技术监督百分制考核评价细则（2011年版）序 项 目内 容标准分查证方式扣分标准一、基础管理(22分)1年度计划1.制定年度监督计划，并按要求及时上报3现场检查未按时上报扣1分2.制订上年度技术监督检查不符合项整改计划、本年度重点工作完成计划。计划不符合要求扣1分3.年度计划各项目必须经过单位主管领导审核批准没有批准审核的扣1分2季报管理1.检查季度季报,上报指标真实可靠，2现场检查季报不报晚或报扣1分2.季报数据、格式检查季报数据不准确扣0.5-1分3年度总结、自查自评1.年度总结要求次年1月5日前报，年底检查时提交工作总结和自查自评报告。2现场检查工作总结不报晚报扣1分，没有和自查自评扣1分2.年度整改率高于50%。整改率过低可适当加扣12分4人员技能、资质、培训1.定期对职工开展相关培训，积极参加有关单位组织的专业培训和技术研讨会.（专业技术人员培训，内部培训不算）5查看记录没有培训记录的扣1分2.监督专责应持证上岗。无专责资格证书的扣2分3.每年提交监督会议专题交流论文至少一篇。监督会议不提交论文扣1分4.信息人员应按时参加技术监督会议。不参加会议扣1分5组织机构1.各单位应成立信息化领导小组，并下发正式文件。（信息化工作管理部门、运维部门）2现场检查没有监督领导小组的扣1分2.配备专职信息管理人员没有专职管理人员的扣0.5分3.应明确至少1名信息技术安全管理员没有明确信息安全员文件的扣0.5分4.信息维护资金必须达到信息固定资产的8-15%未满足要求扣1分6规章制度1.具备实施细则要求的基本管理制度2现场检查管理制度不全面扣1分2.具备本单位的信息技术监督实施细则未指定本单位技术监督实施细则扣1分7设备台帐1.信息设备有专人管理，责任到人，具备设备台帐、设备出入库登记簿2现场检查设备无专人管理扣1分2.设备帐、卡、物必须相符出现设备遗漏及不符扣1分帐、卡、物不符的扣0.5分8备品备件管理1.备品备件入库前审核质量证明书、产品合格证，进行入库前的检查验收，并保留测试记录（包括时间、检查人、检查过程）。2现场检查备品资料缺项的扣1分2.入库备品备件应分类存放，并定期做检查没定期检查的扣1分9档案管理1.信息监督规程、标准应齐全（见实施细则附录A）2现场检查规程缺项的扣1分2.设备运行维护记录、报告、计划、季报、总结齐全维护记录等缺项的扣1分二、设备运行（8分）1指标1.企业本部局域网覆盖率100%2现场检查一项指标达不到要求的扣0.5-1分2.广域网系统运行率99.5%3.互连网出口安全设备（IPS/防火墙）部署率100%2设备运行监督1.设备异常运行，必须做好记录、分析并正确制定防范措施。4现场检查设备报警、异常运行的扣1分2.运行维护人员应定期对设备进行巡视及巡检，并作好记录。没有巡视巡检记录的扣1分3.上网计算机的命名应采用实名制管理。计算机命名不符合规定扣1分4.对影响业务系统运行的操作应开操作票，且有操作人和监护人的签字。无操作票扣2分，操作票不规范扣1分3缺陷管理1.机房设备不应存在危及安全运行的缺陷和隐患2现场检查设备存在安全隐患的扣1分2.具有规范的缺陷管理记录记录有漏项或不规范的扣1分三、网络与信息安全（43）1网络与信息安全1.网络拓扑结构合理42现场检查现场检查现场检查拓扑结构不合理扣1分2.重要的系统主机采用双机备份，能够自动切换不能实现双机切换的扣1分3.网络核心设备采用冗余配备，避免单点故障造成网络中断不符合要求扣3分4.防火墙部署位置合理位置不合理的扣1分5.IPS/防火墙安全策略合理、符合安全要求策略不合理的扣1分6.防火墙应具有日志功能，并有专人定期检查缺少日志的扣1分7.安全域划分合理，且隔离措施应落实到位分区及隔离措施不到位扣1分8.生产实时及控制系统与管理信息系统之间应有隔离措施措施不符合要求扣1分9.涉密主机应具有防信息泄密措施没有防信息泄密措施的扣2分10.必须保障安全设备稳定运行，并填写巡检记录安全设备运行中断的扣1分11.重要应用系统服务器CPU负载、硬盘空间应满足生产需求CPU负载、硬盘空间不满足要求的扣1分12.按要求开展信息系统等级保护工作未开展等级保护的扣2分13.按国家信息安全评估指南要求要求开展常态化信息安全风险评估未开展信息安全风险评估扣5分14.有专责人员负责维护安全设备，并定期发布信息安全通告无专人或未发布安全通告扣1分15.及时安装计算机各类补丁未及时安装漏洞补丁扣1分16.制定系统上、下线管理办法，业务系统上线前应由专业机构进行安全性评测。存在1个未进行安全性评测的自建业务系统扣1分。17.所有服务器应关闭与业务无关的服务及端口。服务器一项不符合扣0.5分18.对网络设备的设置应进行备份，并需打印存档。设置记录未存档及更新扣1分19.网络设备无弱口令网络设备存在弱口令扣0.5分20.应网络设备的登录地址进行限制，禁止使用不安全的方式管理。配置不满足要求的扣1分21.核心设备及安全设备应提供登录失败处理功能。未提供登录失败处理功能的扣1分22.网络拓扑图及综合布线应有电子及打印存档图，并及时更新。无拓扑图、综合布线图扣2分，更新不及时扣1分23.所有应用系统应建立合理的备份策略，并严格按照备份策略对系统数据进行备份。数据备份不满足要求扣2分24.开展主机、服务器、中间件及数据库系统的安全加固工作。有1项加固措施不到位的扣1分25.核心应用系统不存在安全漏洞。根据漏洞隐患程度扣1-2分26.所有业务系统服务器及终端不存在弱口令根据弱口令主机数量多少酌情扣分，最多可扣2分27.禁止使用不安全的方式对业务服务器进行管理不符合要求扣1分28.正版防病毒系统应覆盖所有服务器及客户端；杀毒软件不满足要求的扣2分29.防病毒的管理策略合理，及时更新病毒库管理策略不合理的扣1分，病毒库未及时更新的扣1分30.IP地址可控，对发现问题的IP地址可以及时断开IP不可控的扣1分31.外部网站应采取有效的安全防护措施。安全防护措施不到位扣1分32.具有桌面管理、网络管理系统，能够对终端进行接入控制、软件分发、补丁分发、外设管理等功能无桌面管理系统或网络管理系统扣2分，功能不全的扣1分33.敏感数据的访问、传输、储存应采取有效的保护，对关键应用系统的数据功能操作进行审计，审计信息是应有专人定期检查重要数据不加密传输的扣1分四、信息化应用情况（5分）1应用系统1.服务器应使用合法正版软件5现场检查服务器没有正版软件的扣1分2.采购软件原介质必须存档，实际使用时应采用复制介质不采用复制介质的扣1分3.具备满足实际工作要求的业务系统。业务系统不全面酌情扣12分4、各业务系统应运行正常，功能满足生产和管理要求业务系统故障扣1分五、机房环境（22分）1机房环境1.主机房安装门禁、监控、报警系统;监控系统应存储1周以上的视频。10现场检查缺一项扣1分2.具备外来人员出入记录登记。没有记录的扣1分3.机房不能堆有与运行无关设备或杂物。机房环境不满足要求扣0.5-1分4.机房空间合理，人员走动不影响设备运行。机房空间不合理扣1分5.机房地面应做防静电处理。地面未做防静电处理扣1分6.夏季机房温度控制在21-25，冬季控制在18-22，机房湿度应控制在45%至65%。温度超标的扣1分7.服务器和网络设备应有防火、防水、防盗、防鼠、防尘措施。防范措施漏一项扣1分8.机房应具备接地系统并有接地点标识。没有接地点标识的扣1分9.所有机柜应可靠接地。机柜未接地扣1分10.机房内所有设备标识清晰、准确、齐全（配置、购买日期等）。缺设备标识的一项扣0.5分2机房供电1.机房供电系统应将动力、照明用电与计算机系统供电线路分开，并配备应急照明装置。8现场检查电源配置不满足要求扣2分 2.机房应配备专用UPS蓄电池。未配备UPS或UPS损坏扣2分3.机房满足供电系统满足市电/UPS双电源要求，并可实现自动切换。供电系统不满足要求扣1分UPS负载符合要求。UPS负载高于70%扣1分4.每年应对蓄