信息安全工作方案

1、信息安全工作方案信息安全工作方案信息安全工作方案一、工作目的按照云南省工业和信息化委员会关于开展2010年度云南省政府信息系统安全检查工作的通知要求，根据国务院办公厅关于加强政府信息安全和保密管理工作的通知、国务院办公厅关于印发 政府信息系统安全检查办法 的通知以及云南省政府办公厅关于印发 政府信息系统安全检查实施办法 的通知、2010年度云南省政府信息系统安全检查指南、昆明市人民政府办公厅关于印发昆明市政府信息系统安全检查工作方案的通知精神，坚持 谁主管谁负责，谁运行谁负责、谁使用谁负责 的原则，开展2010年度石林彝族自治县人民政府信息系统安全检查工作，贯彻落实国家对于信息安全工作的各项要

2、求，在全县范围内对各乡镇、各部门信息系统安全工作进行全面检查，掌握我县党政信息系统安全状况，发现存在的主要问题和薄弱环节，完善信息安全制度，加强安全防护措施，提高信息安全水平。二、组织机构成立石林彝族自治县网络信息安全检查领导小组（以下简称领导小组）。组长：和加卫（县人民政府副县长）副组长：段圳宗（县信息产业办副主任）成员：雷振涛（县政府办副主任）李学（县国家保密局局长）张家友（县公安局网监大队大队长）张波（县信息产业办）领导小组下设办公室在县信息产业办，负责组织实施本次安全检查工作，由段圳宗同志兼任办公室主任，办公室工作人员从领导小组成员单位抽调。三、具体工作（一）检查范围：各乡镇人民政府，

3、县直各部委办局在内外网运行的办公系统、业务系统、网站系统等。各乡镇、各部门的重要业务系统、门户网站是检查重点。（二）按照政府信息系统安全检查实施办法、2010年度云南省政府信息系统安全检查指南（附件一），请各乡镇、各单位对照进行自检，并形成书面材料（附电子文档），填写2010年石林彝族自治县人民政府信息系统安全检查报告表（附件二、三）盖章并附电子文档，于2010年6月13日前一并报领导小组办公室。（三）针对当前政府信息系统存在的薄弱环节，按照云南省政府信息系统安全检查实施办法要求，重点检查以下内容：1信息安全组织机构。2日常信息安全管理。3等级保护与风险评估。4建设防范手段建设。5应急管理工作

4、开展。6信息技术产品和信息安全产品使用。7信息安全服务。8信息安全教育培训。9信息安全经费保障。10安全隐患排除及整改。（四）领导小组对县重点部门的网络信息安全进行现场抽查。（五）2010年6月中下旬接受市网络信息安全检查工作组到石林检查，具体检查单位根据市检查组通知临时确定。（六）2010年9月根据我县的信息安全检查结果，对检查中发现的问题，将按照政府信息系统安全检查办法的规定，责令相关部门限期整改，并追究有关人员的责任。（七）自2010年10月起，各乡镇、各单位开展2010年下半年信息安全检查工作。在上半年工作的基础上，进行自评、自查并形成书面材料（附电子文档），填写2010年度石林彝族自

5、治县政府信息系统安全检查报告表（附件二、三）盖章并附电子文档，于2010年10月15日前一并报领导小组办公室。四、工作要求各乡镇、各部门要把政府信息系统安全检查工作列入重要议事日程，加强领导，明确检查责任，落实专职的检查人员和经费，保证检查工作顺利进行。要求所有参与检查的人员必须严格按照云南省政府信息系统安全检查实施办法和2010年度云南省政府信息系统安全检查指南要求开展工作，要特别强调工作中注意信息安全和保密。涉及国家秘密的信息系统保密检查工作，按照国家保密管理规定执行。附件：12010年度云南省政府信息系统安全检查指南22010年石林彝族自治县人民政府信息系统安全检查情况报告表32010年

6、石林彝族自治县人民政府信息系统安全检查情况报告表附件12010年度云南省政府信息系统安全检查指南为指导规范2010年度云南省政府信息系统安全检查工作，依据国务院办公厅关于印发 政府信息系统安全检查办法 的通知（以下简称检查办法）等文件，参照国家信息安全技术标准规范，总结2009年度政府信息系统安全检查工作，制定本指南。一、检查目的依据国家及我省有关政策规定，在2009年12月开展政府信息系统安全检查工作基础上，对各部门信息安全工作进行全面检查，了解掌握政府信息系统安全总体状况，发现存在的主要问题和薄弱环节，完善信息安全管理制度，加强安全防护措施，提高信息安全工作水平。二、检查原则坚持 谁主管谁

7、负责、谁运行谁负责、谁使用谁负责 的原则，统筹安排、突出重点、明确责任、注重实效。各部门自行组织检查与工业和信息化委员会会同有关部门统一组织抽查相结合。部门管理的全国性信息系统安全检查工作，由主管部门统一组织部署。三、检查范围本指南所称政府信息系统安全检查，是指依据国家有关政策规定，参照国家信息安全技术标准规范，对政府信息系统安全工作进行检测评估、查找隐患、堵塞漏洞、规范管理、完善措施、落实整改、通报情况的过程，包括进行信息安全风险评估、安全检测、等级测评等。政府信息系统安全检查的范围是为各部门履行职能提供支撑的信息系统，包括自行运行维护管理以及委托其他机构运行维护管理的办公系统、业务系统、网

8、站系统等。各部门的重要业务系统、门户网站是检查重点。涉及国家秘密的信息系统保密检查工作，按照国家保密管理规定执行。四、检查依据（一）政策文件1.国家信息化领导小组关于加强信息安全保障工作的意见（中办发200327号）2.国务院办公厅关于印发 政府信息系统安全检查办法 的通知（国办发200928号）3.国务院办公厅关于加强政府信息系统安全和保密管理工作的通知（国办发201517号）4.国务院办公厅关于印发国家网络与信息安全事件应急预案的通知（国办函2015168号）5.关于加强党政机关计算机信息系统安全和保密管理的若干规定（国保发200713号）6.云南省网络与信息安全协调小组关于印发加强党政机

9、关信息系统安全和保密管理工作意见的通知云信安发20152号7.其他有关政策规定（二）技术标准1.信息安全风险评估规范（gb/t20984-2007）2.信息安全风险管理指南（gb/z24364-2009）3.信息系统安全等级保护基本要求（gb/t22239-2015）4.信息安全管理体系要求（gb/t22080-2015）5.信息安全管理实用规则（gb/t22081-2015）6.信息系统安全管理要求（gb/t20269-2006）7.信息安全事件分类分级指南（gb/z20986-2007）8.信息安全事件管理指南（gb/z20985-2007）9.信息系统灾难恢复规范（gb/t20988-2

10、007）10.信息安全应急响应计划规范（gb/t24363-2009）11.其他有关技术标准五、重点检查内容（一）信息安全组织机构检查信息安全工作主管领导、信息安全管理机构、各内设机构信息安全员等设置情况。按照国务院办公厅关于加强政府信息系统安全和保密管理工作的通知要求，各部门应明确一名副职领导主管信息安全工作，应指定一个专门机构承担信息安全管理工作，各内设机构应指定一名专职或兼职信息安全员。（二）日常信息安全管理1.人员管理。查验相关文档、文件、记录等，检查信息安全和保密责任制建立及落实情况，人员离岗离职信息安全管理情况，外部人员访问机房等重要区域管理情况，违反制度规定造成信息安全事件的责任

11、查处情况等。2.资产管理。查验相关文档、台账、记录等，检查资产管理制度建立及落实情况，办公软件、应用软件等安装与使用情况，计算机及相关设备维修维护管理、存储设备报废销毁管理情况等。3.运维管理。查阅相关文档和记录，检查信息系统运营和使用权限管理、重要变更审批备案、日常运维操作管理、安全日志定期备份和分析等情况。对于委托外单位运行管理的，应查看服务合同和安全保密协议等。（三）等级保护与风险评估1.等级保护。检查信息安全等级保护有关文件要求的落实情况。通过查看等级保护定级备案、等级测评报告等相关文档，检查信息系统定级、测评、整改等情况。2.风险评估。检查信息安全风险评估有关文件要求的落实情况。通过

12、查看风险评估报告等，检查风险评估工作的开展情况。（四）技术防护手段建设1.网络边界安全防护。检查系统总体网络架构、子系统分布、终端节点、区域划分及边界防护、网络管理等情况；互联网接入情况；终端接入互联网时是否有安全信息提示措施等。2.信息安全产品部署及使用。检查防火墙、入侵检测、安全审计、病毒防护等信息安全产品部署及使用情况，以及信息安全产品策略配置有效性等。3.服务器安全防护。检查服务器上应用、服务、端口、链接以及系统补丁等情况，是否关闭了不必要的应用、服务、端口、链接；账号口令强度和更新情况；病毒木马防护措施，是否定期进行漏洞扫描、病毒木马检测等。4.网络设备安全防护。检查安全配置有效性；

13、账号口令强度和更新情况；是否定期进行漏洞扫描等。5.终端计算机和移动存储设备安全防护。检查终端计算机是否采取集中安全管理措施；计算机账号口令强度和更新情况；终端计算机接入互联网安全控制措施（如实名接入、对计算机ip和mac地址进行绑定、指定固定上网ip地址等）；是否安装病毒防护软件，定期进行漏洞扫描、病毒木马检测；是否在非涉密和涉密信息系统间混用了计算机和移动存储设备，是否使用了非涉密计算机处理涉密信息等。6.门户网站安全防护。检查网站信息发布审批制度建立及落实情况；边界防护、抗拒绝服务攻击、网页防篡改等安全防护设备的部署情况，以及安全配置策略的有效性；是否定期进行漏洞扫描、木马检测等。7.密

14、码技术防护。检查采用密码技术对信息系统、终端计算机、电子文档等进行保护的情况，使用的密码技术产品及含有密码技术的信息技术产品是否符合国家密码管理规定。8.网络信任措施。检查采用数字证书方式实现身份认证和授权管理的情况，使用的数字证书是否符合国家电子认证服务管理规定。（五）应急管理工作开展1.应急预案。检查云南省网络与信息安全事件应急预案落实情况，是否指定了本部门信息安全应急预案，是否及时修订，是否组织开展了相应的宣贯培训。2.应急演练。检查是否按照要求开展了信息安全应急演练。对于已开展演练的，应检查演练相关文档（包括演练组织单位、参与部门、演练责任人、演练时间、演练内容等）。3.应急技术支援队

15、伍。检查是否按照要求明确了应急技术支援队伍。对于已明确的，应检查签订的合同和安全保密协议，掌握应急技术支援队伍的基本情况以及开展的应急技术支援活动等。待添加的隐藏文字内容34.灾难备份。检查是否根据实际需要对重要数据和信息系统进行了灾难备份。对于采用社会第三方灾难备份服务的，应检查签订的合同和安全保密协议以及灾难备份服务的运维情况等。5.信息安全事件应急处置。检查本年度发生的信息安全事件及处置情况。对于发生重大信息安全事件的，应检查是否进行了及时处置，是否按照要求上报和通报等。（信息安全事件分级依据云南省网络与信息安全事件应急预案）（六）信息技术产品和信息安全产品使用1.信息技术产品。检查服务

16、器、网络设备、存储设备、终端计算机、字处理软件等使用本国产品的情况。使用捐赠的服务器、网络设备、存储阵列等产品，应检查产品应用范围、签订的相关协议，以及使用前是否进行安全测评等。2.信息安全产品。检查防火墙、入侵检测设备、安全审计设备、vpn设备等信息安全产品使用本国产品的情况。使用捐赠的信息安全产品，应检查产品应用范围、签订的相关协议，以及使用前是否进行安全测评等。本指南中的国产终端计算机、国产字处理软件、国产信息安全产品，暂按以下方法进行认定：（1）国产终端计算机应具有国内品牌，最终产品在中国境内生产，并符合法律法规和政策规定的其他条件。（2）国产字处理软件应具有国内品牌，最终产品在中国境

17、内生产，拥有核心模块的自主知识产权和源程序，并符合法律法规和政策规定的其他条件。（3）国产信息安全产品应具有国内品牌，最终产品在中国境内生产，拥有核心模块的自主知识产权和源程序，通过国家认定的信息安全产品检测实验室的检测，并符合法律法规和政策规定的其他条件。（七）信息安全服务查看服务合同、安全保密协议等文件，检查信息安全服务机构的服务内容，是否有相应的服务记录，是否有远程在线服务，是否由外资机构提供服务等。（八）信息安全教育培训检查领导干部和机关工作人员参加信息安全教育培训、掌握信息安全常识和基本技能情况，信息安全管理和技术人员参加信息安全专业培训情况等。（九）信息安全经费保障检查信息安全防护

18、设施建设、运行、维护、检查及管理等费用是否纳入部门年度预算，以及本年度信息安全经费实际投入情况等，特别是要检查是否按照检查办法要求落实了安全检查工作经费。（十）安全隐患排查及整改检查对2009年度安全检查中发现问题的整改情况，是否制定了整改措施并及时进行了整改，是否在整改后对信息安全风险和隐患作了进一步的排查和评估。六、时间安排可根据实际情况，统筹规划和组织部署政府信息系统安全检查工作，对安全检查工作进行认真总结、分析和评估，并将安全检查报告报省工业和信息化委。省工业和信息化委将及时跟踪、掌握、汇总安全检查情况，并将安全检查结果报国家工业和信息化部。七、工作要求（一）各部门要把政府信息系统安全

19、检查列入重要议事日程，切实加强组织领导，完善检查工作机制，落实检查工作经费，开展宣传教育培训活动，确保检查工作顺利开展。按照检查办法的要求，参照本指南制定具体的安全检查实施方案和工作计划，并认真组织实施。建立信息安全检查责任制，明确检查责任，落实检查组织机构、参与单位及检查人员。（二）可组织所属信息中心等单位开展安全检查工作，也可根据需要委托外部专业机构协助开展技术检测工作。全面参与技术检测的外部专业机构应至少满足以下条件：1、事业单位；2、从事信息安全检测或相关工作两年以上；3、专业技术检测人员10人以上，均签订二年以上劳动合同；4、参与技术检测的人员均为中国公民，无违法犯罪纪录，并签订安全保密协议。（三）委托外部专业机构协助开展技术检测，应与检测机构及参与检测的人员签订安全保密协议，明确安全保密责任和义务。安全保密协议应包含以下内容：1、检测机构应遵守国家有关法律法规，客观、公正地提供检测服务；2、检测机构应保证所提