××单位信息安全检查报告

1、单位信息安全检查报告(管理信息系统 )单位二零一一年九月1 概述根据国务院信息化工作办公室 关于对国家基础信息网络和重要信息系统开展安全检查的通知（信安通 200615 号）、国家电力监管委员会关于对电力行业有关单位重要信息系统开展安全检查的通知（办信息 200648 号）以及集团公司和省公司公司的文件、检查方案要求, 进行单位的信息安全检查工作。2 目标通过进行本局信息安全大检查， 及时发现和查找基础网络和重要信息系统存在的安全隐患，边检查边整改，确保基础网络和重要信息系统安全、可靠运行,掌握当前信息系统面临的主要安全问题，并在对检查结果进行分析判断的基础上提出整改措施。3 检查内容3.1

2、重要资产识别检查本局资产的统计资产清单 ( 见附表 1) ，通过对重要系统、重要网络设备、重要服务器及其安全属性受破坏后的影响进行识别， 将一旦停止运行影响面大的系统、关键网络节点设备和安全设备、 承载敏感数据和业务的服务器进行汇总， 构成重要资产清单 ( 见附表 2) 。3.2 安全事件检查对本局半年内发生的较大的、 或者发生次数较多的信息安全事件进行汇总记录安全事件清单列表 ( 见附表 3) 。3.3 安全缺陷检查根据下发的安全缺陷检查列表进行安全检查，检查结果见附表4。4 综合分析根据对重要资产、 安全事件、 安全缺陷检查情况， 对信息安全状况进行统计分析和判断，明确各种安全事件产生的原

3、因，提出针对性的整改措施。4.1 重要资产识别分析根据重要系统、 重要网络设备、 重要服务器及其安全属性受破坏后的影响进行识别，将一旦停止运行影响面大的系统、 关键网络节点设备和安全设备、 承载敏感数据和业务的服务器进行登记汇总， 构成重要资产有： 二台城域网核心交换机（华为 S8512 交换机），二台局域网核心交换机（ Cisco 6505 交换机），Cisco 2600 路由器， Cisco PIX525 防火墙，八台数据库服务器（ OA系统 2 台、营销系统 2 台、大客户系统 2 台、客户服务系统 1 台、财务系统 1 台）。4.2 安全事件分析2006 年近半年没有大的信息安全事件发

4、生，主要是感染病毒，使个人电脑运行速度变慢 , 影响客户端正常使用。从检查情况来看， 计算机病毒是本局目前信息网络安全面临的首要威胁。应着重加强以下几方面工作：1、加强信息网络安全教育和培训，增强用户安全防范意识。组织信息安全管理员不同层次的安全培训， 开展广泛的、经常性的信息网络安全知识和相关法律法规知识的宣传教育。2、开展面信息安全预警通报工作。建立信息网络安全预警和通报平台，及时向用户信息安全预警信息。3、加快推进信息安全等级保护工作，建立健全信息安全防范体系。4.3 安全缺陷检查分析4.3.1 规章制度与组织管理分析规章制度与组织管理总分100 分，自评分为34 分，得分率 34%。得

5、分主要是组织机构、岗位职责、病毒管理，账号与口令管理等方面，但都还需完善；运行管理方面没有制订信息系统运行管理规程、缺陷管理制度、 统计汇报制度、 运维流程、值班制度、 没有实行工作票制度， 共分 50 分，检查得分 4 分，只占 8%。需要整改有如下几方面：1、完善信息安全组织机构，成立信息安全工作机构。2、明确专兼职管理人员配置，根据实际情况制定专责的工作职责与工作范围，岗位设置主、副岗备用制度。3、完善病毒预警和报告机制，制定计算机病毒防治管理制度。4、制订信息系统运行管理规程、缺陷管理制度、统计汇报制度、运维流程、运行值班制度，实行工作票制度，记录机房进出情况。5、制订账号与口令管理制

6、度，完善普通用户账户与管理员账户密码、口令长度要求；对账户密码、 口令变更作相关记录； 及时对系统用户身份发生变化后对其账户进行变更或注销。4.3.2 关键设备和服务采购情况分析4.3.3 网络与系统安全分析网络与系统安全总分100 分，自评分为73 分，得分率 73%。网络架构、网络设备、 IP 管理、主机备份得分较高；网络分区、补丁管理、系统安全配置得分低。需要整改有如下几方面：1、生产控制系统和管理信息系统之间进行分区。2、建立 IP 地址管理系统，加快进行对IP 地址的规划和分配。3、完善补丁管理手段，制订相应管理制度；补缺Windows系统主机补丁安装，补丁安装前进行测试记录。4、对

7、操作系统的安全配置进行严格的设置，删除系统不必要的服务、 协议。4.3.4 网络服务与应用系统分析网络服务与应用系统总分100 分，自评分为20 分，得分率 20%。没有 WWW服务，远程拨号访问没有相应管理措施，OA 系统邮件数据进行一星期备份，邮件系统的维护、检查没有审计记录；营销系统的角色、权限分配有记录，其余系统没有；用户账户的变更、修改、注销没有记录；关键应用系统的数据功能操作没有进行审计；没有针对关键应用系统的应急预案；关键应用系统管理员账户、用户账户口令有定期进行变更；有些新系统上线前没有进行过安全性测试。需要整改有如下几方面：1、按标准建设 WWW服务。2、解决 OA系统趋势防

8、病毒软件系统问题，对邮件系统的维护、 检查审计进行记录。3、远程拨号访问设置按上述标准执行。4、记录完善系统的角色、权限分配并记录；记录半年内用户账户的变更、修改、注销；关键应用系统的数据功能操作进行审计；制定针对关键应用系统的应急预案；关键应用系统管理员账户、 用户账户口令定期进行变更；新系统上线前应严格按照相关标准进行安全性测试。4.3.5 安全技术管理与设备运行状况分析安全技术管理与设备运行状况总分 90 分，自评分为 26 分，得分率 29%。网络中的防火墙位置部署合理， 防火墙规则配置符合安全要求， 防火墙规则配置没有建立、更改有规范申请、审核、审批流程，没有对防火墙日志没有进行存储

9、、备份。防病毒系统覆盖所有客户端（覆盖率大于 90），服务器端除了 OA服务器有防病毒系统外其余没有； 有兼责人员负责维护防病毒系统， 但基本没有发布病毒通告。没有部署身份认证系统、安全管理平台，没有漏洞扫描系统。需要整改有如下几方面：1、防火墙规则配置的建立、更改要有规范申请、审核、审批流程，对防火墙日志应进行存储、备份。2、实施服务器端防病毒系统，配置专责人员负责维护防病毒系统并及时发布病毒通告。3、按标准部署、配置入侵检测系统。4、按标准部署身份认证系统、 安全管理平台、 针对安全设备的日志服务器，采用漏洞扫描系统，重要系统将一年进行一次信息安全风险评估。4.3.6 存储备份系统分析存储

10、备份系统总分 50 分，自评分为 16 分，得分率 32%。有备份策略并严格按照备份策略对系统数据进行备份， 没有建立明确的恢复预案， 也没有定期进行恢复演练，没有建立介质的管理制度和废弃介质的处理制度， 储存介质存放在安全环境，没有严格的介质存取控制，没有对存储介质进行定期检查。需要整改有如下几方面：1、完善备份策略，严格按照备份策略对系统数据进行备份。2、建立介质管理制度和废弃介质处理制度，专人对存储介质进行定期检查。4.3.7 介质及物理环境安全分析介质及物理环境安全总分 70 分，自评分为 37 分，得分率 53%。主机房没有安装门禁、监控系统，有消防报警系统。 没有机房配线图， 机房

11、供电系统将动力、照明用电与计算机系统供电线路是分开的， 机房没有配备应急照明装置， 有定期对 UPS的运行状况进行检测但没有检测记录， 有手提干粉灭火器， 没有采用气体防火措施，空调系统定期进行检查，机房温度控制在摄氏 26 度以下，有相应的介质管理规定， U盘、移动硬盘等存储介质有资产记录和责任人，磁盘、光盘等存储介质有专人保管，笔记本使用没有明确的管理制度。需要整改有如下几方面：1、主机房安装门禁、监控与报警系统。2、补全机房配线图，定期对UPS的运行状况进行检测和记录。3、采用气体防火措施。4、制订笔记本使用管理制度。4.3.8 应急处置分析应急处置分 30 分，自评分为 5 分，得分率 17%。重要系统没有完善的、可操作的应急预案， 按照集团公司的要求建立及时的信息安全信息通报机制， 没有建立故障通讯联动机制，没有建立信息网故障抢修机制。需要整改有如下几方面：1、制订重要系统完善的、可操作的应急预案并对应急预案进行定期演练。2、按照集团公司的要求建立及时的信息安全信息通报机制。3、建立良好的故障通讯联动机制，进行联合防护。5 检查结论根据检查结果来看，安全缺陷检查列表检查总分540 分，自评分为 221 分，得分率