2026年测绘地理信息安全分险自查报告

2026年测绘地理信息安全分险自查报告一、自查工作概况为深入贯彻《中华人民共和国测绘法》《关键信息基础设施安全保护条例》《测绘地理信息数据安全管理办法》等法律法规要求，落实自然资源部2026年测绘地理信息安全监管工作部署，我单位于2026年7月10日至8月15日组织开展全链条测绘地理信息安全风险自查。本次自查覆盖单位所有测绘业务板块、数据存储处理系统、对外合作项目及从业人员，坚持“摸清底数、排查隐患、闭环整改、长效防控”原则，对照12大类47项安全检查指标逐项核查，累计梳理涉密测绘成果2.37TB、测绘业务系统17个、2023-2026年对外提供数据项目62项、一线作业人员219名，共排查出各类风险隐患21个，已完成立行立改14个，剩余7项制定了明确的整改时间表和责任清单。二、现有测绘地理信息资产底数及安全现状（一）涉密测绘成果底数本次自查全面梳理了2018年以来获取、生产、存储的所有涉密测绘成果，建立动态更新的资产台账：1.基础测绘成果：包含1:500、1:2000比例尺涉密地形图共1276幅，覆盖辖区3240平方公里范围，数据总量1.21TB，全部存储于单位涉密内网专用服务器；2024年获取的省级控制点数据1732个，其中C级GNSS控制点217个、三等水准点1515个，均以加密介质存储于保密柜，借阅使用严格执行双人审批登记制度。2.自主生产涉密成果：2023-2026年累计完成涉密航空摄影测量项目12个，获取0.1米分辨率航飞原始影像0.78TB，生产数字高程模型、数字正射影像等涉密成果0.38TB，所有成果均标注涉密标识，生产过程全程在涉密内网闭环完成，未接入公共网络。3.敏感地理信息数据：包含37处军事管理区、21处能源电力核心设施、14处水利枢纽的高精度空间坐标数据，总量0.19TB，单独存储于加密数据库，仅允许项目核心人员持专项审批权限访问。（二）信息系统及存储介质安全现状我单位目前运行的测绘相关信息系统共17个，按照网络安全等级划分，三级等保系统2个（基础地理信息数据库管理系统、测绘成果服务平台），二级等保系统15个（包括航飞数据处理系统、不动产测绘系统、国土空间基础信息平台子模块等），所有系统均在2025年底前完成等保测评及备案，测评结论均为“良好”及以上。1.网络边界防护：涉密内网与公共网络实行物理隔离，边界部署了3台下一代防火墙、2套入侵检测系统、1套网络流量监测平台，2026年上半年累计拦截异常访问请求1247次，未发生边界突破事件；政务外网与公共网络之间部署了逻辑隔离网闸，仅允许符合白名单规则的非涉密数据单向传输。2.存储介质管理：现有涉密移动硬盘42个、涉密U盘27个，全部粘贴涉密标识并登记唯一编号，执行“统一购置、统一登记、统一销毁”制度，2026年以来共办理介质借出登记76次，归还核验合格率100%；非涉密存储介质共113个，建立动态台账，明确禁止存储任何涉密及敏感地理信息数据，本次抽查35个非涉密介质，未发现违规存储情况。3.技术防护措施：所有涉密终端均安装了主机监控与审计系统、终端防病毒软件，禁用USB接口除涉密介质外的所有外接设备访问权限；基础地理信息数据库部署了数据脱敏、访问审计、异常操作告警模块，2026年上半年触发访问异常告警3次，均为操作人员误操作，未造成数据泄露。（三）制度建设及人员管理现状我单位已建立覆盖“数据获取-生产-存储-提供-销毁”全流程的安全管理制度体系，2026年根据最新法规要求修订了《涉密测绘成果管理办法》《测绘作业现场安全管控细则》《对外合作数据安全审查制度》等5项制度，新增了无人机航飞数据安全管控、人工智能辅助测绘数据安全审查等条款。人员管理方面，现有219名测绘从业人员中，涉密岗位人员47名，全部通过保密资格审查并签订《涉密人员安全承诺书》，2026年组织开展全员测绘地理信息安全培训3次，覆盖所有从业人员，培训内容包括新修订的法律法规、典型泄密案例、作业安全规范，考核通过率100%；外包服务人员共32名，全部签订《保密协议》并完成岗前安全培训，作业过程由我单位专人全程监督，禁止接触核心涉密数据。三、排查发现的主要风险隐患（一）数据生产环节风险1.作业现场数据管控存在漏洞：本次抽查8个外业测绘项目现场，发现2个不动产测绘项目的外业采集平板未设置屏幕密码，作业间隙随意放置在车辆内，存在被无关人员接触获取数据的风险；1个管线测绘项目的外业原始记录纸质台账未按要求每日上交项目负责人保管，而是由作业人员自行带回住处，台账中包含城市核心区地下管线的精确坐标数据，一旦丢失将造成敏感信息泄露。2.新型测绘技术应用存在安全盲区：2026年我单位新采购的2架激光雷达航测无人机，默认存储的航飞数据未自动加密，且无人机数据导出端口未设置访问权限，任何持有U盘的人员均可导出原始航飞数据；使用人工智能大模型处理航飞影像标注工作时，存在作业人员将小批量测试数据上传至公共网络大模型平台的情况，虽未涉及核心涉密区域，但测试数据包含部分城市建成区高精度影像，存在敏感信息泄露风险。3.数据加工过程存在交叉风险：部分作业人员同时承担涉密项目和非涉密项目，存在临时将涉密项目的参考数据拷贝至非涉密终端用于对照参考的情况，本次自查发现3台非涉密终端中存储有1:2000比例尺地形图的局部截图，虽未构成完整涉密成果，但违反了非涉密设备不得存储涉密数据片段的管理要求。（二）数据存储及运维环节风险1.涉密数据备份管理不到位：我单位涉密数据的本地备份机制运行正常，但异地备份站点于2025年建成后，仅在2025年底完成1次全量备份，2026年上半年新生产的0.32TB涉密成果未按要求每季度同步至异地备份站点；备份介质的定期核验机制执行不严格，2026年仅对20%的备份介质进行了可读性校验，其余介质未按要求每半年完成一次全量核验，存在备份数据损坏无法恢复的风险。2.系统运维权限管理不规范：2个三级等保系统的运维权限存在超期授权情况，3名2025年已结束运维服务的外包技术人员账号未及时注销，仍持有系统普通访问权限；系统操作日志留存时长不足，部分二级等保系统的操作日志仅留存3个月，未达到《网络安全法》要求的至少留存6个月的标准，一旦发生安全事件无法追溯完整操作流程。3.老旧存储介质清理不彻底：本次排查发现保密柜中存有11个2018年之前使用的老旧涉密硬盘，其中3个已损坏无法读取，未按要求送涉密载体销毁机构统一销毁，仅做了简单的物理打孔处理，存在被技术恢复数据的风险；4个已完成项目的临时存储介质未及时清理，仍存储有项目涉密数据，未按要求进行消磁处理。（三）数据对外提供及合作环节风险1.对外提供数据审查不严谨：抽查2023-2026年62项对外提供数据项目，发现3项面向企业提供的1:2000比例尺地形图成果，申请单位提交的使用证明材料不完整，缺少项目具体用途说明及数据使用范围承诺书；2项向政务部门提供的敏感地理信息数据，未按要求进行脱密处理，直接提供了包含核心设施精确坐标的原始数据，且未与申请单位签订数据安全保密协议。2.对外合作项目管控不到位：我单位与某高校联合开展的城市三维建模项目，合作方人员可以访问我单位政务外网的非涉密成果数据库，本次排查发现合作方人员的账号权限超出约定范围，可访问包含敏感区域的三维模型数据；1个涉外技术合作项目的成果审查环节，仅对最终提交成果进行了保密审查，未对合作过程中交互的中间数据进行定期审查，存在中间数据泄露风险。3.公众服务平台数据风险：我单位运行的公众版地理信息服务平台，2026年上线的高清影像图层部分区域分辨率达到0.2米，超出了公众版地图服务0.5米分辨率的限制要求；平台的POI数据中包含3处未公开的军事管理区地址信息，未按要求进行过滤处理，存在敏感信息公开泄露的风险。（四）人员及制度执行风险1.部分人员安全意识薄弱：本次组织的随机安全知识测试中，12名外业作业人员对涉密测绘成果的范围界定不清晰，认为“只有完整的地形图才是涉密数据，局部截图、坐标片段不属于涉密内容”；3名新入职人员未参加岗前安全培训就直接参与涉密项目作业，对数据安全管控要求不了解。2.制度执行存在“宽松软”情况：涉密成果借阅登记制度执行不严格，本次查阅2026年以来的借阅台账，发现7次借阅登记仅填写了借阅人姓名，未填写借阅用途、归还时间，也未经过部门负责人审批；作业现场安全检查机制执行不到位，2026年上半年仅开展了1次外业现场安全抽查，未按要求每月开展一次全覆盖检查。3.应急处置能力不足：我单位2025年制定的《测绘地理信息安全事件应急预案》未根据2026年新发布的《测绘地理信息数据安全事件应急处置指南》进行修订，应急处置流程与最新要求不符；2026年仅开展了1次网络安全应急演练，未开展数据泄露专项应急演练，部分应急处置人员对事件分级、上报流程、处置措施不熟悉。四、风险隐患成因分析（一）思想认识层面部分部门负责人存在“重业务、轻安全”的倾向，认为测绘地理信息安全是保密管理部门的责任，业务部门只要完成生产任务即可，对安全管控要求的落实支持力度不足；部分一线作业人员对新型测绘技术带来的安全风险认识不足，对人工智能、无人机航飞、云计算等新技术应用过程中的数据安全边界不清晰，仍沿用传统的作业习惯，未适应新的安全管控要求。（二）制度机制层面现有安全管理制度滞后于技术发展，针对激光雷达测绘、实景三维建模、人工智能辅助测绘等新型业务的安全管控条款不完善，存在制度空白；跨部门安全协同机制不健全，生产部门、数据管理部门、信息技术部门之间的安全职责边界不清晰，出现风险隐患时存在互相推诿的情况；安全考核机制不完善，未将数据安全责任落实情况与部门绩效考核、人员职称评定挂钩，制度执行缺乏约束力。（三）技术防护层面安全技术防护的投入不足，2026年我单位信息化投入中，安全防护投入占比仅为8.7%，低于自然资源部要求的不低于15%的标准；新型业务场景的技术防护手段缺失，无人机航飞数据自动加密、大模型数据上传管控、外业作业终端远程管控等技术措施尚未部署，主要依靠人工检查管控，效率低、漏检率高；安全监测预警能力不足，尚未建立覆盖数据全生命周期的安全监测平台，无法及时发现数据违规拷贝、异常访问等风险行为。（四）人员能力层面安全管理专职人员配置不足，我单位仅配备2名专职测绘地理信息安全管理人员，需要负责200余名从业人员、17个业务系统、上百个存储介质的日常管控，工作力量严重不足；一线作业人员的安全培训针对性不强，现有培训以通用法律法规为主，针对不同业务岗位的专项安全操作培训较少，培训效果难以转化为实际作业中的安全行为。五、整改措施及进度安排针对本次自查发现的风险隐患，我单位制定了“一隐患一方案”的整改清单，明确整改责任部门、责任人、完成时限，确保所有隐患闭环整改到位。（一）立行立改措施（2026年9月底前全部完成）1.针对作业现场管控漏洞，立即为所有外业采集平板设置开机密码和自动锁屏功能，要求外业作业期间设备不得脱离作业人员视线，每日作业结束后必须将原始数据和纸质台账上交项目负责人统一保管；对发现的非涉密终端存储涉密数据片段的问题，立即完成数据清理，对3名违规操作人员进行通报批评，并组织专项安全培训。2.针对对外提供数据不严谨的问题，立即补充完善3项数据提供项目的申请材料，与2个政务部门补签数据安全保密协议；对公众版地理信息服务平台的高清影像图层进行降分辨率处理，过滤所有敏感区域POI信息，2026年8月底前完成平台重新上线前的安全审查。3.针对权限管理不规范的问题，立即注销3名超期运维人员的系统账号，将所有系统的操作日志留存时长调整为12个月，建立账号权限动态调整机制，人员离岗、项目结束后24小时内完成权限注销。4.针对老旧存储介质清理问题，2026年9月底前将所有老旧损坏涉密硬盘送属地保密行政管理部门指定的销毁机构统一销毁，对所有临时存储介质进行全面消磁处理，建立介质销毁全流程登记台账。（二）中期整改措施（2026年12月底前全部完成）1.完善新型业务安全管控机制，2026年10月底前完成无人机航飞数据自动加密模块部署，所有航飞原始数据生成后自动加密，导出数据必须通过专用解密终端并经审批；制定《人工智能辅助测绘数据安全管理细则》，明确禁止任何涉密及敏感数据上传至公共网络大模型平台，采购部署本地部署的专用大模型处理工具，所有数据处理工作在单位内部网络完成。2.完成涉密数据备份体系升级，2026年11月底前完成2026年上半年新生产涉密数据的异地备份工作，建立“每季度增量备份、每半年全量备份、每季度备份核验”的机制，确保备份数据完整可用。3.修订完善安全管理制度，2026年10月底前完成《测绘地理信息安全事件应急预案》修订，补充新型业务场景的应急处置流程，2026年11月底前组织1次数据泄露专项应急演练，覆盖所有应急处置人员；修订安全考核办法，将数据安全责任落实情况与部门绩效考核、人员职称评定挂钩，明确违规行为的处罚标准。（三）长效提升措施（2027年6月底前全部完成）1.加大安全技术投入，2027年3月底前建成覆盖数据全生命周期的测绘地理信息安全监测平台，实现数据访问、拷贝、传输、导出等全流程行为审计和异常告警，将安全防护投入占比提升至15%以上；2027年6月底前完成外业作业终端远程管控系统部署，实现远程锁屏、数据擦除、位置追踪等功能，提升外业作业数据安全管控能力。2.加强人员队伍建设，