信息安全的自查报告(3篇)

信息安全的自查报告(3篇)第一篇本次信息安全自查严格落实《中华人民共和国网络安全法》《党委（党组）网络安全工作责任制实施办法》要求，围绕本单位2024年度上半年信息基础设施、数据管理、人员管理、制度建设四个核心维度开展全覆盖排查，共梳理信息资产127项，排查出风险隐患11项，其中高风险1项，中风险3项，低风险7项，现已完成8项隐患整改，剩余3项整改工作预计于2024年8月底前全部完成。本次自查由单位主要负责人牵头，成立了由办公室、信息技术科、保密办、财务科共同组成的自查工作组，先后召开2次专题部署会，明确了“谁主管谁负责、谁使用谁负责”的排查责任，要求各业务科室先开展内部自查，再由工作组进行交叉核验，确保排查不留盲区、不走过场。自查前工作组全体成员集中学习了中央网信办《关于开展2024年关键信息基础设施安全检查的通知》、省委网信办印发的《党政机关信息安全风险排查指引》等文件，统一了排查标准，细化了12项排查指标，确保自查工作规范有序开展。在信息基础设施安全方面，本次自查覆盖了单位中心机房、官方门户网站、政务服务办理系统、内部OA办公系统、视频会议系统、涉密文件存储系统共6类核心基础设施。物理安全层面，中心机房落实了24小时专人值班制度，配备了双门禁、全区域无死角监控，监控录像留存时长符合90天的要求，温湿度、烟雾报警系统运行正常，配备了七氟丙烷自动灭火装置，备用UPS电源可支持机房满负荷运行4小时，满足断电应急需求。排查发现的问题主要为：机房出入登记本存在漏登情况，近3个月共有7次外包技术人员进入机房未登记，属于低风险隐患；中心机房部分网线标识模糊，故障排查时难以快速定位，属于低风险隐患，上述两项问题已完成立查立改，补登了出入记录，重新完成了所有网线的标识粘贴。网络安全层面，单位网络按要求划分了涉密区、内部办公区、对外服务区三个安全域，域间部署了防火墙做访问控制，入侵检测系统24小时正常运行，规则每月更新一次，近半年未发现严重异常攻击行为，所有网络安全日志留存时长达到180天，符合法规要求。排查发现：单位门户网站的Web应用防火墙规则三个月未更新，存在SQL注入、跨站脚本攻击的潜在风险，属于中风险隐患，现已完成规则更新，并且设置了自动更新规则，今后将每周核验一次更新状态；对外服务开放的3个端口中，有一个闲置端口未关闭，存在被非法入侵的风险，现已关闭该端口，完成了风险处置。终端安全层面，单位共有在职人员办公电脑87台，涉密电脑12台，所有终端均按要求安装了正版杀毒软件，病毒库每日更新，禁用了违规外接端口，涉密电脑按物理断开要求完全隔离了外网。排查发现：2名离职人员的内部办公账号未及时注销，仍然可以登录内部OA系统查阅文件，属于中风险隐患，现已注销两个账号，完善了离职人员账号注销流程；1个业务科室私接了小型无线路由器用于移动办公，未报备信息技术科，存在内网数据泄露风险，属于中风险隐患，现已拆除该路由器，对科室负责人进行了约谈提醒。在数据安全与个人信息保护方面，本次自查按要求完成了全单位数据资产梳理，共梳理出核心政务数据12类，包括企业备案信息、群众办事提交的个人信息、单位内部涉密文件、财政资金信息等，其中敏感个人信息共1.7万条，均按要求完成了分类分级标注。数据收集环节，所有群众办事信息均落实了最小必要原则，未超范围收集信息，隐私告知书在办事大厅和官方网站均进行了公示，收集信息均获得了当事人授权。数据存储环节，核心敏感数据均采用加密存储，密钥由专人管理，定期更换，未发现明文存储敏感信息的情况。数据共享与使用环节，对外提供政务数据均按要求走了审批流程，登记了使用用途、使用范围，签订了数据安全保密协议，未发现违规向第三方提供数据的情况。排查发现的问题主要为：2021-2023年共有112份办事群众提交的身份证、户口本复印件，未按要求存入保密文件柜，而是存放在普通文件柜中，管理不规范，属于低风险隐患，现已完成整理封存，存入专用保密柜；官方网站的公众留言板块，共留存了2018年以来的317条公众留言，其中包含169条留言人的手机号、邮箱等个人信息，超过了规定的1年留存期限，未定期清理，属于低风险隐患，现已完成清理，设置了每年年底自动清理过期留言的规则；单位官方微信公众号曾经在2023年推送先进工作者评选公示时，违规公示了12名候选人的身份证号、家庭住址等完整敏感信息，虽然发现后1小时内删除了推送，重新做了脱敏处理，但暴露了信息发布审核环节的漏洞，该问题已经对宣传科负责人进行了批评教育，完善了信息发布三级审核制度，所有对外发布的信息必须经过敏感信息脱敏审核才能发布。在制度建设与人员管理方面，单位已经印发了《内部信息安全管理办法》《涉密数据管理规定》《网络安全应急预案》等12项管理制度，明确了各级人员的信息安全责任，落实了网络安全责任制，单位主要负责人是第一责任人，各科室负责人是本科室第一责任人，信息技术科负责日常安全运维。人员管理层面，所有涉密岗位人员均签订了保密协议，新员工入职必须完成信息安全培训才能开通办公账号。排查发现的高风险隐患为：近半年来，共有11名工作人员存在使用个人微信、QQ传输涉密工作文件的情况，违反了涉密信息传输管理规定，一旦个人账号被盗用，极有可能造成涉密信息泄露，该问题属于高风险，目前已经对涉及的11名工作人员进行了保密约谈，组织全员重新学习了涉密信息传输规定，要求所有涉密文件必须通过内部涉密系统传输，下一步将对所有办公终端的微信、QQ进行文件传输监控，发现违规传输立即预警。制度层面存在的问题为：现行网络安全应急预案已经3年未更新，无法适配当前信息系统架构，近5年仅开展过1次应急演练，工作人员应急处置能力不足，属于低风险隐患；全员信息安全培训每年仅开展1次，部分新入职员工未接受系统培训，安全意识薄弱，属于低风险隐患。本次排查梳理出的所有问题，根源主要体现在三个方面：一是思想认识不到位，部分中层干部和普通工作人员认为信息安全是信息技术部门的事，和自身业务工作无关，对日常的安全要求落实不到位，违规操作屡禁不止；二是日常监管力度不足，之前仅每年开展一次全面排查，日常没有定期抽查，导致小隐患长期得不到发现和整改；三是经费保障不足，今年单位预算中信息安全专项经费仅安排了5万元，不足以支持防火墙升级、漏洞扫描、第三方安全测评等工作，部分老旧设备无法及时更新。针对本次排查发现的问题，除已经完成整改的8项外，剩余3项问题的整改计划如下：一是完成应急预案修订工作，将于2024年8月15日前完成新预案的编制，征求各科室意见后印发实施，8月底组织一次全员参与的网络安全应急演练，检验应急处置能力；二是开展新一轮全员信息安全培训，将于8月下旬完成培训，培训后组织安全知识考核，考核不合格的重新培训，考核结果和个人年度绩效挂钩；三是完善违规传输监控系统，将于8月底前完成所有办公终端的监控部署，建立违规操作预警机制，发现违规立即通报。下一步，单位将重点落实四项工作：一是强化责任落实，把信息安全工作纳入各科室年度绩效考核，占比不低于10%，出现重大安全问题的科室取消年度评优资格；二是建立常态化自查机制，每个月开展一次漏洞扫描，每季度开展一次专项排查，及时发现消除隐患；三是加大经费投入，明年预算安排20万元信息安全专项经费，用于更新老旧设备、购买第三方安全服务、开展培训演练；四是持续提升全员安全意识，每半年开展一次专题培训，定期通报违规案例，督促所有工作人员绷紧信息安全这根弦。本次自查全面梳理了本单位信息安全存在的问题，建立了问题台账和整改清单，下一步将严格落实整改要求，压实各方责任，不断提升本单位信息安全保障能力，坚决防范发生重大信息安全事件。第二篇本公司作为面向C端用户提供本地生活服务的互联网平台，本次信息安全自查围绕2023年度网络安全等级保护要求、《个人信息保护法》《数据安全法》相关规定，针对平台全链路数据生命周期、业务系统安全、供应链安全、合规管理开展全流程自我核查，累计排查核心业务系统12个、用户数据资产超2.1亿条、第三方合作服务商79家，排查发现各类风险17项，已完成闭环整改15项，2项中长期风险正在按计划推进整改。本次自查启动于监管部门印发的《互联网平台企业个人信息保护合规自查指引》，公司董事会高度重视，成立了由CTO牵头，法务部、产品部、运营部、运维部、用户隐私保护办公室共同参与的自查工作组，明确了“全资产覆盖、全流程核查、责任到人、闭环整改”的工作要求，用45天完成了资产梳理、工具扫描、人工核验、问题梳理、整改落实五个阶段的工作，所有排查过程留有完整记录，所有问题建立了可追溯的整改台账。在业务系统与网络安全层面，本次自查覆盖了平台用户端APP、商家端管理系统、后台交易系统、用户管理中心、内部办公系统共5类核心业务系统。目前平台核心交易系统已经完成网络安全等级保护2.0三级测评，2023年10月刚完成年度测评，测评提出的8项问题全部完成整改。网络架构层面，平台按要求实现了核心数据区、业务处理区、对外服务区的安全隔离，云服务器部署了DDoS防护、Web应用防火墙、异常流量监测系统，所有安全日志留存时长达到180天，满足监管要求。排查发现的问题主要包括：一是公司测试环境使用了1.2万条真实用户数据进行功能测试，未做完整脱敏处理，部分用户手机号、身份证号可以直接查看，属于中风险隐患，现已删除测试环境中的所有真实用户数据，替换为模拟测试数据，完善了测试环境数据管理规定，今后测试环境一律禁止使用真实敏感数据；二是三个边缘业务的小程序SSL证书过期3天才被运维人员发现，虽然未造成业务中断和数据泄露，但暴露了域名证书管理的漏洞，属于低风险隐患，现已更新了证书，上线了证书到期自动预警系统，提前30天自动发送预警提醒；三是两名离职开发人员的代码仓库权限未及时回收，仍然可以访问平台核心业务的源代码，属于中风险隐患，现已回收了权限，完善了离职人员权限注销流程，要求离职当天必须注销所有系统权限，由HR和运维共同核验签字；四是核心交易系统的一个第三方开发模块存在一个未授权访问的低危漏洞，可以获取部分非敏感的交易统计信息，已经联系开发厂商修复了漏洞，完成了复测，确认风险消除。在数据安全与个人信息保护层面，本次自查从数据收集、存储、传输、使用、共享、销毁全生命周期开展核查，共梳理出全平台敏感个人信息2700万条，包括用户身份证号、银行卡号、手机号、位置信息、人脸信息等。数据收集环节，平台隐私政策已经按最新监管要求更新，明确了收集信息的种类、用途、保存期限、共享范围，用户可以随时撤回授权、注销账号，排查发现平台APP原版本申请了通讯录权限，平台核心业务并不需要读取用户通讯录，属于超范围申请权限，属于中风险隐患，现已在最新版本的APP中移除了该权限申请，对旧版本用户推送了更新提醒；针对用户注销账号，原流程需要3个工作日完成审核，现已调整为7×24小时自动审核注销，注销后10个工作日内完成所有用户数据的销毁，符合监管要求。数据存储环节，所有敏感个人信息均采用加密存储，密钥实行三级分权管理，定期轮换，排查发现2019年之前注册的12万条用户账号，密码采用明文存储在旧版本的用户数据库中，属于高风险隐患，黑客一旦入侵数据库即可获取所有用户密码，极易发生账号被盗事件，现已完成了所有密码的哈希加密处理，向涉及的用户发送了密码修改提醒，告知了风险，关闭了旧数据库的外部访问权限，彻底消除了风险。数据使用环节，内部访问用户数据落实了最小权限原则，所有访问操作都留有审计日志，排查发现一名运营人员为了开展用户回访，私自导出了1万条用户手机号存储在个人办公电脑中，未按要求申请审批，用完后也没有及时删除，属于中风险隐患，已经对该员工进行了批评教育，删除了数据，完善了数据导出审批流程，所有导出数据必须申请，用完后及时核销，运维部门定期审计导出记录。数据共享环节，平台和第三方广告服务商、合作商家共享用户数据，均签订了数据安全协议，明确了数据使用范围，要求第三方不得留存和二次使用，排查发现原隐私政策中仅笼统标注了“可共享给合作伙伴”，未明确列出第三方的具体名称、共享信息的种类，不符合个人信息保护法的要求，属于中风险隐患，现已更新了隐私政策，详细列出了所有合作第三方的信息，明确了共享范围，获得了用户的重新授权。数据销毁环节，排查发现2018-2020年线下推广收集的2万余份纸质用户信息，已经超过留存期限，仍然存放在公司仓库中，未按要求粉碎销毁，属于低风险隐患，已经全部完成粉碎销毁，建立了过期数据定期销毁制度，每年年底清理一次过期数据。在供应链与第三方安全层面，本次自查对所有为平台提供技术服务、数据服务、运营服务的79家第三方供应商进行了安全评估，其中云服务商为国内头部厂商，已经通过了等保三级认证，数据中心符合国家安全要求。排查发现的问题主要包括：一是平台使用的一个开源日志组件存在已知安全漏洞，开发团队两年未更新版本，存在被入侵的风险，属于中风险隐患，已经完成了组件更新，修复了漏洞，建立了开源组件漏洞定期扫描机制，每月扫描一次，及时更新组件版本；二是一家外包开发团队为平台开发的商家营销小程序，存在一个未授权访问漏洞，可以获取近千条商家的开户信息，已经要求外包团队24小时内完成了修复，复测确认风险消除，在外包合同中补充了安全责任条款，要求外包开发的产品上线前必须经过公司安全团队的漏洞扫描，合格才能上线；三是有3家小型第三方合作伙伴，未按协议要求对获取的用户数据进行加密存储，已经要求三家服务商限期一周完成整改，整改不合格终止合作，目前三家都已经完成整改，通过了核验。在制度建设与应急管理层面，公司设立了专门的用户隐私保护办公室，配备了5名专职合规人员，负责日常信息安全合规管理，所有新员工入职必须完成信息安全和个人信息保护培训，考核合格才能上岗。排查发现的问题主要包括：一是近两年仅开展了一次网络安全应急演练，且仅针对系统宕机事件，未开展过数据泄露事件的应急演练，团队应急处置能力不足，属于低风险隐患，已经制定了下半年的演练计划，将于9月开展一次数据泄露事件的实战化应急演练，检验处置能力；二是部分一线产品开发人员对个人信息保护合规要求理解不到位，部分产品功能设计时未考虑合规要求，导致出现超范围收集信息的问题，已经建立了产品上线前合规审核制度，所有新产品上线前必须经过隐私保护办公室的合规审核，不合格不能上线；三是个别开发人员为了方便在家办公，将公司核心代码上传到个人公共代码仓库，存在源代码泄露的风险，属于中风险隐患，已经删除了公共仓库中的代码，对涉及的开发人员进行了约谈，设置了办公终端对外传输文件的监控，禁止核心代码外传。本次排查发现的所有问题，根源主要体现在三个方面：一是平台早期发展过程中重业务扩张、轻安全建设，早期的部分系统遗留了很多安全隐患，部分历史数据的安全不符合最新的合规要求；二是安全团队的建设跟不上业务扩张速度，目前安全团队仅有12人，负责全平台10多个系统的安全运维，日常工作量大，难以做到全流程精细化管理；三是一线业务人员的合规意识不足，很多产品经理、开发人员认为只要功能实现就行，对安全合规的重视程度不够，容易留下隐患。截至目前，17项风险隐患已经完成15项整改，剩余两项中长期风险正在推进：一是全平台数据分类分级工作，目前已经完成了70%的梳理工作，预计2024年12月底前全部完成，建立完善的数据分类分级管理体系；二是安全团队扩容，目前已经完成了6名安全人员的招聘流程，预计9月份全部到岗，充实安全运维和合规管理力量。下一步，公司将重点落实四项工作：一是建立常态化信息安全自查机制，每季度开展一次专项排查，每年开展一次全面自查，及时发现和消除隐患；二是持续加大信息安全投入，今年计划将不低于营收3%的资金投入信息安全建设，用于购买安全服务、升级安全系统、扩充安全团队；三是持续提升全员合规意识，每季度开展一次全员信息安全培训，培训内容纳入绩效考核，强化一线人员的安全合规意识；四是完善应急管理体系，每半年开展一次实战化应急演练，不断优化应急预案，提升应对各类信息安全事件的能力，确保平台用户信息安全，符合监管要求。第三篇本次信息安全自查按照教育部《高等学校网络安全管理办法》《教育信息化2.0行动计划》相关要求，结合我校2024年网络安全宣传教育工作部署，针对校园网络基础设施、师生个人信息保护、科研数据安全、校园应用系统四个核心领域开展拉网式排查，共梳理全校信息资产342项，排查各类终端设备12000余台，排查发现风险隐患21项，完成立查立改18项，剩余3项重大隐患整改工作正在有序推进。本次自查由学校分管网络安全的副校长牵头，成立了由网络信息中心、保卫处、科研处、教务处、学生处、财务处、后勤管理处共同组成的自查工作组，明确了“二级单位自查、学校工作组抽查、覆盖所有校区、不留死角盲区”的工作要求，先后召开3次专题部署会，组织各二级单位信息安全员开展了1次排查标准培训，共收到27个二级单位的自查报告，工作组对12个重点二级单位开展了现场抽查，核验了自查结果，确保自查内容真实准确，不隐瞒问题。在校园网络基础设施安全层面，我校共有校本部两个核心机房，东校区一个分机房，覆盖了所有教学区、办公区、学生生活区的校园网络，共有有线接入点1.5万个，无线AP2800个，满足全校3万余名师生的上网需求。物理安全层面，校本部两个机房均按要求配备了双门禁、24小时监控、自动消防系统、温湿度自动调节、备用UPS电源，满足安全要求。排查发现的核心问题为：东校区分机房建成于2005年，消防系统老化，3个烟感报警器故障无法正常报警，自动灭火装置压力不足，达不到消防规范要求，属于高风险隐患，一旦发生火灾无法及时预警和处置，可能造成核心设备损毁和数据丢失；分机房的部分核心交换机已经运行超过10年，固件从未更新，存在多个已知安全漏洞，无法获得厂商技术支持，属于中风险隐患。网络安全层面，校园网出口部署了防火墙、入侵检测系统、异常流量清洗设备，24小时运行，规则每月更新，近一年未发生大规模网络攻击事件，日志留存达到180天，符合要求。排查发现：共有172个学生宿舍存在私接路由器、私改网络网段的行为，容易引发ARP欺骗、网络断网等问题，也给非法入侵校园内网留下了通道，属于低风险隐患，现已通知所有违规私接的学生限期拆除，网络中心逐个楼栋核验，目前已经完成169个宿舍的整改，剩余3个正在推进；共有127台老旧AP设备使用了弱口令，容易被破解入侵，属于低风险隐患，已经全部完成了口令更换，更换为16位以上的复杂口令，定期更换；校园网的公共云盘系统，部分存储分区的权限设置错误，存在越权访问的风险，已经调整了权限，完善了访问管控规则。在师生个人信息保护层面，我校共有教务管理系统、学工管理系统、就业服务系统、一卡通系统、财务报销系统共5个核心业务系统，存储了全校3.2万名学生、4000余名教职工的个人信息，包括身份证号、银行卡号、家庭住址、学籍信息、工资信息等敏感信息。本次自查对所有系统的信息安全管理情况开展了核查，排查发现的问题主要包括：一是学校就业指导中心今年春季招聘期间，为了方便第三方就业机构开展就业指导，未经审批也未获得毕业生授权，将本届8000余名毕业生的姓名、手机号、专业、意向就业城市等信息提供给了3家第三方机构，违反了个人信息保护相关规定，属于中风险隐患，现已要求三家机构立即删除所有获取的毕业生信息，出具了删除确认函，对就业指导中心负责人进行了约谈，完善了对外提供信息的审批流程，今后所有对外提供师生信息必须经过网络信息中心和法务办公室审核，获得当事人授权才能提供。二是3个二级学院自行开发的招生报名系统，存储了近五年的1.2万余名考生的个人信息，系统服务器放在学院办公室，没有做任何安全防护，权限设置开放，任何接入校园网的人都可以访问，属于高风险隐患，现已关闭了服务器的外网访问权限，将所有考生数据迁移到学校统一的存储服务器，做了加密处理，完善了访问权限管控。三是财务处存放了2010-2020年共10年的教职工纸质工资条，堆放在后勤杂物仓库，没有按要求销毁，存在信息泄露风险，属于低风险隐患，已经全部完成粉碎销毁，建立了纸质敏感信息定期销毁制度。四是学校已经停用3年的旧招生网站，服务器没有关闭，仍然存在公网访问入口，里面存储了2010-2021年共12年的考生信息，共8万余条，一直没有做处理，属于高风险隐患，现已关闭了服务器，断开了网络连接，将所有数据做了离线封存，下一步将按规定对过期数据进行销毁。五是共有1.2万余名已经毕业的学生、300余名离职教职工的校园系统账号没有注销，仍然可以登录校园网访问内部资源，属于低风险隐患，现已批量注销了所有过期账号，完善了账号注销流程，学生毕业、教职工离职当天必须完成所有账号注销。在科研数据安全层面，我校共有在研国家级科研项目127项，其中涉密科研项目17项，敏感科研项目32项，本次自查针对所有涉密和敏感科研项目的数据安全管理情况开展了全覆盖核查。排查发现的问题主要包括：一是某工科院系的一个国家级涉密课题组，为了方便和国内合作单位开展线上讨论，将部分涉密实验数据拷贝到了连接外网的办公电脑上，违反了涉密数据管理规定，属于重大安全隐患，已经对课题负责人进行了约谈，给予了通报批评，删除了所有涉密数据，对电脑做了全面安全审计，没有发现数据泄露情况，课题组重新学习了涉密数据管理规定，签订了安全承诺书。二是共有19个非涉密敏感课题组，将大量科研数据存储在个人百度云盘、阿里云盘等公共云存储账号中，没有做加密处理，部分课题组的个人账号密码强度低，存在被盗风险，此前已经发生过一个课题组的未发表实验数据因为账号被盗泄露的情况，属于中风险隐患，学校已经为所有课题组统一开通了校内科研云存储服务，提供了足够的存储空间，要求所有科研数据必须存储在校内科研云，禁止存储在个人公共云盘，目前所有课题组已经完成了数据迁移，关闭了个人云盘中的科研数据分享。三是部分课题组向国际期刊投稿时，未按要求做脱密处理，将部分涉及敏感领域的实验数据直接上传到了国外期刊的投稿系统，违反了科研数据出境管理规定，属于中风险隐患，学校已经完善了科研论文投稿审批制度，所有涉及敏感领域的论文投稿前必须经过科研处和保密办审核，做脱密处理才能投稿，目前已经对近一年的所有投稿进行了复盘，未发现违规出境的敏感数据。四是部分课题组的涉密电脑违规插入U盘拷贝数据，没有按要求使用专用涉密U盘，存在病毒感染和数据泄露风险，已经对所有涉密电脑进行了检查，升级了病毒防护，要求所有涉密U盘统一采购、统一登记，禁止使用普通U盘插入涉密电脑。在制度建设与日常管理层面，学校已经印发了《校园网络安全管理办法》《科研数据安全管理规定》《个人信息保护管理办法》等18项管理制度，落实了网络安全责任制，每个二级单位明确了一名兼职信息安全员，负责本单位的信息安全日常管理。排查发现的问题主要包括：一是大多数二级单位的信息安全员都是行政人员兼职，每年仅参加一次学校组织的培训，对最新的信息安全要求不了解，无法胜任日常排查和管理工作，属于低风险隐患，学