信息系统等级保护自查报告

信息系统等级保护自查报告一、报告概述自查工作的价值不在于“填表交差”，而在于把等级保护的合规要求转化为本系统真实可验证的控制措施清单——本报告即按“逐项核实、留痕可溯”原则编制。1.1自查基本信息项目内容信息系统名称【填写：如“XX单位业务管理系统”】定级备案编号【填写：公安机关备案回执编号】安全保护等级【填写：如“第二级”】系统运行状态【填写：正式运行/试运行/停用】自查起止时间【填写：如2024年X月X日至X月X日】自查组织部门【填写：如信息安全部牵头，运维部、业务部门配合】自查责任人【填写：姓名、职务、联系方式（可脱敏为138******）】报告编制/审核/批准【填写三级签署人及日期】1.2自查依据•《中华人民共和国网络安全法》•《中华人民共和国数据安全法》•GB/T22239-2019《信息安全技术网络安全等级保护基本要求》•GB/T25070-2019《信息安全技术网络安全等级保护安全设计技术要求》•《网络安全等级保护定级指南》（GB/T22240-2020）•系统定级备案时提交的《信息系统安全等级保护定级报告》及公安机关备案证明1.3自查范围与方法•范围：覆盖系统全部生产环境（应用层、主机层、网络层、数据层），包含云上资源（如适用）、备份介质、运维终端；开发测试环境单独核查但不并入生产结论。•方法：文档审阅（制度文件、台账、审批单）、人员访谈（管理员不少于2人、安全员1人）、技术核查（漏洞扫描、基线核查、日志抽样）、实地查看（机房、介质存储柜）。•抽样规则：同类服务器10台以内全查，超过10台按不低于30%抽查且不少于10台；近3个月日志每月抽查不少于3天。二、系统定级与备案情况定级备案是等保工作的法律起点，定级错误将导致后续所有控制措施强度失配，故本章核查结论须与备案文件逐字比对。2.1定级核查•核查系统定级报告中的业务信息安全和系统服务安全两个受侵害客体的判定是否与当前业务形态一致。若系统自定级后新增了个人信息处理、跨地域服务或对外接口，须重新评估是否需要上调等级。•结论填写：定级适当/需调整；如需调整，注明调整建议（如“建议由第二级上调至第三级，理由：系统承载X万用户个人信息，受侵害客体已涉及社会秩序”）。2.2备案核查•备案回执编号与公安机关备案信息一致；系统名称、IP段、运维单位发生变更的，必须在变更后30日内办理备案变更（依据《信息安全等级保护备案实施细则》相关要求）。•核查项：备案表信息完整性□/变更手续及时性□/备案证明存档□（存档位置：【填写】）。三、安全管理机构与人员核查人的因素占等保失分项的三成以上，制度写在纸上而责任人不知情，是自查中最常见的失效形态。3.1岗位与授权•核查岗位设置：系统管理员、数据库管理员、安全管理员是否分设；若因人员不足兼岗，必须做到系统管理员与安全管理员不兼任同一人，并以书面授权文件明确兼岗范围及补偿性管控（如兼岗操作双人复核）。•授权核查：调取近6个月授权文件，核对每位管理员权限清单与实际账号权限是否一致；发现权限超出授权清单的，列为不符合项并限期5个工作日内整改。3.2人员管理•外部人员访问审批记录：近6个月外来运维人员进出机房及远程接入审批单是否齐全、是否一人一单。•安全意识教育：核查年度培训计划执行情况，要求全员安全培训每年不少于1次、关键岗位人员专项培训不少于2次，留存签到表与课件。•离岗核查：离岗人员账号应在离职当日禁用；核查近12个月离职名单与账号禁用时间戳，逐条比对。四、技术安全措施核查技术措施是等级保护测评的直接取证对象，本章按GB/T22239-2019各层面控制点逐项给出核查方法、合格判据与常见失效证据。4.1网络安全核查项合格判据核查方法结论网络边界防护生产区与办公区、DMZ区之间部署防火墙且策略为默认拒绝登录防火墙导出策略表，核对是否存在any-any放行【填写】访问控制关键设备远程管理启用HTTPS/SSH，禁用Telnet/HTTP明文管理端口扫描+配置核查【填写】入侵防范部署IPS/IDS且策略库版本在6个月内更新查看设备版本与升级记录【填写】网络设备防护设备登录口令复杂度不低于12位（含大小写字母、数字、特殊字符），登录失败5次锁定15分钟抽查3台设备配置【填写】常见失效证据：防火墙存在长期遗留的临时放行策略（无有效期、无审批人）——此类策略必须在自查确认后10个工作日内清理或补办审批并设置到期自动失效。4.2主机与应用安全•身份鉴别：应用系统口令策略达到复杂度要求，会话空闲10分钟内自动锁定；关键应用启用双因素认证（第三级系统必须具备）。•漏洞管理：按季度开展漏洞扫描，高危漏洞7个工作日内修复或实施补偿措施（如临时封禁来源IP+周期复测），中低危漏洞30日内处理完毕；核查近2个季度扫描报告与整改闭环记录。•恶意代码防范：主机防病毒软件安装率100%，病毒库更新滞后不超过7天。•应用审计：应用日志覆盖用户登录、权限变更、数据导出三类操作，日志留存不少于6个月（依据《网络安全法》第二十一条要求不少于6个月）。4.3数据安全与备份恢复•备份策略核查：数据库全量备份每周1次、增量备份每日1次；备份文件异地存放（与生产机房不同建筑）。•恢复演练：每年至少1次恢复演练，验证备份可用性；核查演练记录中“恢复耗时”是否满足RTO承诺（如RTO4小时），演练失败必须在15个工作日内重新演练直至成功。•加密与脱敏：鉴别信息存储采用不可逆加密（如加盐哈希）；生产数据用于测试前必须脱敏，严禁直接导出含真实个人信息的生产库到测试环境——替代方案为使用脱敏工具生成仿真数据（手机号脱敏为138********格式保留位数）。4.4物理环境安全•机房出入登记：核查近6个月纸质/电子登记台账，逐条核对与门禁刷卡记录，异常出入（无审批刷卡记录）列为不符合项。•供电：配置UPS且续航满足柴油发电机启动时间要求（通常15~30分钟）；核查最近一次UPS电池放电测试记录（应不超过12个月）。•环境监控：温湿度告警阈值设定（温度18~27℃、相对湿度40%~60%），核查告警短信/电话通知链路有效性——现场触发一次测试告警验证。五、安全管理制度核查制度是否有效，判据不是“有没有文件”，而是“文件与操作记录能否互相印证”——本章核查即以此为标准。•制度完备性：应至少具备：机房管理制度、账号权限管理制度、变更管理制度、备份恢复管理制度、应急预案、日志审计制度共6类核心制度；缺项列为不符合项。•制度时效性：每类制度近3年内至少评审修订1次；核查制度文件版本号与评审记录。•执行留痕：抽查变更管理执行情况——近6个月变更单（如数据库变更、防火墙策略变更）是否做到“申请—审批—实施—验证”四环节齐全；缺任一环节即视为变更管理失效，抽查样本不少于10单。六、问题清单与整改计划自查结论的核心交付物不是“合格/不合格”一句话，而是一份可跟踪销项的问题清单；本章即整改管理的操作手册。6.1问题清单（样表）编号问题描述所在章节严重程度整改措施责任人完成期限验收方式P-01防火墙存在2条无审批临时放行策略4.1高补办审批或删除，策略全量清理【填写】X月X日导出策略表复核P-02应用日志未覆盖数据导出操作4.2中升级日志埋点并验证【填写】X月X日抽样导出操作查日志P-03备份演练超12个月未开展4.3高组织恢复演练【填写】X月X日演练报告6.2分级处置原则•高危问题：自发现之日起立即启动整改，7个工作日内完成；无法立即整改的（如需采购设备），必须在3个工作日内提出书面补偿措施（如临时封禁、加强人工巡检）经安全管理员审批执行。•中危问题：30日内完成整改。•低危问题：纳入下一季度改进计划。•闭环机制：整改完成后由自查责任人复核并签署验收意见；整改逾期未完成的，升级报告至分管领导，每周书面汇报进展直至闭环。七、自查结论•总体结论：系统安全保护措施与所定等级要求的符合程度为【填写：基本符合/部分符合/不符合】。•符合项X项、部分符合X项、不符合X项（对应问题清单P-01至P-XX）。•后续工作：完成整改后组织复核；距上次等级测评超过规定周期的，按公安机关要求预约第三方测评机构开展等级测评。附件附件1：自查检查表（打印即用）序号检查项判据结果（符合/不符合/不适用）证据编号1备案证明有效且信息一致与公安备案系统比对2三员分设或兼岗补偿管控授权文件+账号比对3口令策略与登录锁定12位复杂度、5次锁定15分钟4日志留存≥6个月抽查3个月日志时间范围5漏洞高危7日闭环扫描报告+整改单6异地备份可用备份台账+演练记录7机房出入审批台账与门禁比对附件2：应急联络通讯录（样表）角色姓名单位/部门电话职责应急总指挥张某某【单位】