2026年省级基础电信企业网络与信息安全工作考核要点与评分标准

2026年省级基础电信企业网络与信息安全工作考核要点与评分标准一、引言为全面贯彻落实国家网络安全相关法律法规及政策要求，切实提升省级基础电信企业网络与信息安全保障能力，有效应对日益复杂的网络安全形势，保障用户合法权益，维护社会稳定和国家安全，特制定本考核要点与评分标准。本标准旨在引导省级基础电信企业建立健全网络与信息安全管理体系，强化安全技术防护能力，提升应急处置水平，压实安全主体责任，推动行业安全健康发展。考核工作将坚持客观公正、科学规范、注重实效的原则，确保考核结果真实反映企业安全工作状况。二、考核基本原则1.坚持总体国家安全观引领：将网络安全置于国家安全战略全局中统筹考量，确保考核方向与国家战略要求高度一致。2.坚持问题导向与目标导向相结合：聚焦当前网络安全领域的突出问题和薄弱环节，同时对标行业领先水平和未来发展需求，推动企业持续改进。3.坚持全面覆盖与重点突出相统一：考核内容既涵盖网络与信息安全各主要方面，又针对关键领域和高风险环节加大考核权重。4.坚持过程管理与结果评估并重：既要关注企业安全工作的日常管理和投入，也要重视安全事件发生情况及处置成效。5.坚持定量考核与定性评价互补：通过可量化指标客观衡量工作成效，辅以定性描述评估工作深度与广度，增强考核的科学性和准确性。三、考核内容与评分标准本考核内容共分为六大类，总分设定为百分制。（一）网络安全保障能力（XX分）1.网络基础设施安全防护*考核要点：网络拓扑结构安全性，核心网络设备、传输线路的冗余备份与抗毁能力，网络接入控制措施，网络边界防护有效性。*评分标准：*网络架构设计合理，关键节点具备冗余备份，无重大结构性安全隐患，得相应基础分。*核心网络设备安全配置规范，定期进行安全加固和漏洞扫描修复，记录完整，得相应分；发现配置不当或未及时修复高危漏洞的，酌情扣分。*网络接入认证和授权机制完善，非法接入事件得到有效遏制，得相应分；发生未经授权的网络接入并造成不良影响的，视情节扣分。2.网络运行安全保障*考核要点：网络运行状态监测与预警能力，网络攻击监测与溯源能力，网络拥塞控制与应急调度机制。*评分标准：*建立健全网络运行监测体系，能够及时发现异常流量和攻击行为，得相应分；监测不到位导致重大网络故障或安全事件未被及时发现的，严重扣分。*具备对常见网络攻击的识别、阻断和溯源分析能力，并有成功案例或演练记录，得相应分；对发生的攻击事件处置不力或无法溯源的，酌情扣分。*制定完善的网络拥塞应急调度预案并定期演练，保障关键业务畅通，得相应分；因调度不当导致大面积业务中断的，视情况扣分。3.关键信息基础设施安全保护*考核要点：关键信息基础设施识别与备案，安全管理制度建设，安全技术措施落实，定期安全检测评估。*评分标准：*按要求完成关键信息基础设施识别、备案，并动态更新，得相应分；未按规定完成识别备案或信息不准确的，扣分。*针对关键信息基础设施制定专门的安全管理制度和操作规程，并有效执行，得相应分；制度缺失或执行不到位的，酌情扣分。*定期开展关键信息基础设施安全检测评估，并根据评估结果进行整改，得相应分；未定期评估或对重大隐患整改不力的，严重扣分。（二）数据安全管理水平（XX分）1.数据安全governance与制度建设*考核要点：数据安全责任制建立，数据分类分级管理实施情况，数据全生命周期安全管理制度健全性。*评分标准：*明确数据安全负责人和管理机构，各级责任落实到位，得相应分；责任体系不健全的，扣分。*按照国家及行业标准规范开展数据分类分级工作，并据此采取差异化保护措施，得相应分；未开展或分类分级不合理的，酌情扣分。*数据收集、存储、传输、使用、加工、公开等各环节管理制度完善，流程规范，得相应分；制度存在明显缺陷或执行不到位的，扣分。2.数据安全技术防护*考核要点：数据存储加密与脱敏措施，数据传输加密与完整性校验，数据访问控制与审计，数据安全态势感知能力。*评分标准：*对敏感数据采取加密存储或脱敏处理，效果良好，得相应分；敏感数据明文存储或脱敏不彻底导致泄露风险的，严重扣分。*重要数据传输过程采用加密和完整性校验机制，得相应分；传输过程存在明显安全漏洞的，酌情扣分。*数据访问权限控制严格，操作日志完整可审计，得相应分；出现越权访问数据或审计日志缺失、篡改的，视情节扣分。3.个人信息保护*考核要点：个人信息收集使用规则公开透明，用户授权同意机制合规，个人信息安全事件应急处置，用户权利保障机制。*评分标准：*严格遵守个人信息保护相关法律法规，收集使用规则清晰明示，获得用户有效授权，得相应分；存在违规收集、使用个人信息行为的，发现一起即严重扣分。*建立个人信息安全事件应急预案并定期演练，发生事件后能够及时响应、妥善处置并按规定上报，得相应分；处置不当导致事件扩大或未按要求上报的，加重扣分。*为用户提供便捷的个人信息查询、更正、删除等权利保障渠道，并及时响应处理，得相应分；用户合理诉求得不到及时解决的，酌情扣分。（三）信息安全防护与应急处置（XX分）1.系统与应用安全防护*考核要点：业务系统、支撑系统的安全开发与测试，系统漏洞管理与补丁修复，Web应用安全防护，移动应用安全管理。*评分标准：*建立安全开发生命周期管理流程，重要系统上线前进行安全测试和评估，得相应分；未执行安全开发生命周期导致系统存在重大安全缺陷的，扣分。*建立健全漏洞管理机制，及时跟踪、评估、修复系统和应用漏洞，得相应分；高危漏洞未在规定时限内修复并被利用造成安全事件的，严重扣分。*对Web应用和移动应用采取必要的安全防护措施，定期进行安全检测，得相应分；因防护不当导致应用被篡改、植入恶意代码或发生数据泄露的，视情况扣分。2.恶意代码与网络攻击防范*考核要点：防病毒、防木马、防勒索软件等安全产品部署与更新，钓鱼邮件、钓鱼网站防范措施，DDoS攻击防护能力。*评分标准：*关键节点部署有效的恶意代码防护产品，病毒库、特征库及时更新，定期进行查杀，得相应分；防护产品失效或未及时更新导致大规模恶意代码感染的，严重扣分。*采取技术和管理措施防范钓鱼攻击，员工安全意识培训到位，得相应分；发生群体性钓鱼事件导致用户或企业损失的，酌情扣分。*具备较强的DDoS攻击防护能力，能够有效抵御不同规模和类型的DDoS攻击，保障业务连续性，得相应分；因DDoS攻击导致重要业务长时间中断的，视影响范围扣分。3.网络与信息安全事件应急处置*考核要点：应急预案体系建设与演练，应急响应机制有效性，事件报告与调查处理，事后整改与总结评估。*评分标准：*应急预案体系完整，覆盖各类常见安全事件，定期组织实战化演练并有记录，预案可操作性强，得相应分；预案不完善或未定期演练的，扣分。*应急响应队伍健全，响应流程清晰，能够快速启动应急响应，事件处置及时高效，最大限度降低损失和影响，得相应分；响应迟缓、处置不当导致事件升级的，严重扣分。*严格按照规定时限和要求上报网络与信息安全事件，如实报告事件情况，不得迟报、漏报、谎报、瞒报，得相应分；违反上报规定的，视情节严重程度扣分。事件调查处理规范，有完整的调查报告和整改措施，得相应分；未进行深入调查或未落实整改措施的，酌情扣分。（四）安全管理与责任落实（XX分）1.安全组织与制度建设*考核要点：网络与信息安全领导机构设置，专职安全管理部门及人员配备，安全管理制度体系健全性与更新情况。*评分标准：*企业主要负责人切实履行网络安全第一责任人职责，设立专门的安全领导机构，定期召开安全工作会议，得相应分；组织领导不力，未定期研究安全工作的，扣分。*设立独立的安全管理部门，配备足够数量和专业能力的专职安全人员，得相应分；人员配备不足或专业能力不满足要求的，酌情扣分。*建立覆盖各环节、各层级的安全管理制度体系，并根据法律法规和技术发展及时更新修订，制度执行力良好，得相应分；制度缺失、滞后或形同虚设的，视情况扣分。2.安全责任制与考核*考核要点：全员安全责任体系建立，安全责任分解与落实情况，安全工作纳入绩效考核的力度。*评分标准：*明确从管理层到一线员工的安全职责，签订安全责任书，得相应分；责任未层层分解落实的，扣分。*将网络与信息安全工作成效纳入各级单位和相关人员的绩效考核体系，考核权重合理，得相应分；未纳入考核或考核流于形式的，酌情扣分。3.安全投入与人才培养*考核要点：网络与信息安全经费投入的充足性与合理性，安全技术研发与成果应用，安全专业人才队伍建设与培养机制。*评分标准：*每年投入不低于规定比例的经费用于网络与信息安全建设、运维、培训等，并能保障重点安全项目的实施，得相应分；投入不足影响安全保障能力的，扣分。*鼓励安全技术创新和成果转化应用，在关键技术领域有自主可控成果或成功应用案例，得相应分。*建立健全安全人才培养、引进和激励机制，定期组织内部员工安全意识和技能培训，员工安全素养普遍较高，得相应分；培训不足或员工安全意识淡薄导致安全事件的，酌情扣分。4.合规性管理与监督检查*考核要点：法律法规符合性，内部安全审计与监督检查机制，第三方安全评估开展情况，供应商安全管理。*评分标准：*严格遵守网络安全、数据安全、个人信息保护等相关法律法规及行业监管要求，无重大违法违规行为，得相应分；发生重大违法违规行为并被监管部门处罚的，严重扣分。*定期开展内部安全审计和监督检查，对发现的问题及时督促整改，得相应分；未定期开展或对发现问题整改不力的，酌情扣分。*按要求定期开展或配合完成第三方安全评估、等级保护测评等工作，对评估发现的问题及时整改，得相应分；未按要求开展评估或整改不到位的，扣分。*建立健全供应商安全管理制度，对合作方进行安全资质审查和风险评估，明确安全责任，得相应分；因供应商原因导致安全事件的，追究相关管理责任并扣分。（五）新技术新业务安全风险防控（XX分）1.新兴技术安全评估与防护*考核要点：对云计算、大数据、人工智能、物联网、5G/6G等新技术应用的安全风险评估与管控措施。*评分标准：*在引入新技术前进行充分的安全风险评估，并根据评估结果采取针对性的安全防护措施，得相应分；未进行风险评估或防护措施不到位导致安全风险的，扣分。*针对新技术特点，部署相应的安全技术和管理手段，保障新技术应用安全可控，得相应分；新技术应用中出现重大安全漏洞或被攻击利用的，视影响扣分。2.新业务安全合规性管理*考核要点：新业务上线前的安全评估与备案，业务运营中的安全监测，用户数据安全与隐私保护措施。*评分标准：*新业务上线前严格执行安全评估和备案程序，确保符合相关安全要求，得相应分；未履行评估备案程序或业务存在重大安全隐患的，严重扣分。*对新业务运营过程进行持续安全监测，及时发现和处置安全问题，得相应分；监测缺失导致新业务发生安全事件并造成不良影响的，酌情扣分。（六）安全支撑与保障（XX分）1.安全技术支撑体系建设*考核要点：安全运营中心（SOC/NOC）建设与运行效能，安全大数据分析平台应用，威胁情报收集与共享利用。*评分标准：*建成功能完善的安全运营中心，实现安全事件的统一监控、分析、研判和处置，运行高效，得相应分；运营中心作用发挥不充分的，扣分。*有效利用安全大数据分析技术，提升安全威胁发现和预测能力，得相应分；数据分析能力不足，未能有效挖掘安全隐患的，酌情扣分。*积极参与威胁情报共享，建立内部威胁情报库并有效应用于安全防护，得相应分；情报利用不足的，酌情扣分。2.安全宣传教育与用户感知*考核要点：面向公众的网络安全宣传教育活动开展情况，用户安全提示与风险告知机制，用户安全投诉处理与满意度。*评分标准：*积极组织或参与网络安全宣传周等活动，通过多种渠道向用户普及安全知识，提升用户安全意识，得相应分；宣传教育工作开展不力的，扣分。*对用户进行必要的安全提示和风险告知，如账号异常登录提醒、诈骗信息预警等，得相应分；未履行告知义务导致用户权益受损的，酌情扣分。*建立畅通的用户安全投诉渠道，及时处理用户反映的安全问题，用户满意度较高，得相应分；投诉处理不及时或用户满意度低的，酌情扣分。四、考核组织与实施1.考核组织：由省级通信管理部门牵头组织实施，可邀请相关专家、第三方机构参与。2.考核方式：采取企业自查自评与考核组现场检查、材料审查、技术检测、日常监测数据相结合的方式进行。3.周期与报送