××单位信息安全检查报告

××单位

信息安全检查报告(管理信息系统)

××单位

二零一一年九月

1概述

根据国务院信息化工作办公室《关于对国家基础信息网络和重要信息系统开展安全检查的通知》（信安通［2006］15号）、国家电力监管委员会《关于对电力行业有关单位重要信息系统开展安全检查的通知》（办信息[2006]48号）以及集团公司和省公司公司的文件、检查方案要求,进行××单位的信息安全检查工作。

2目标

通过进行本局信息安全大检查，及时发现和查找基础网络和重要信息系统存在的安全隐患，边检查边整改，确保基础网络和重要信息系统安全、可靠运行,掌握当前信息系统面临的主要安全问题，并在对检查结果进行分析判断的基础上提出整改措施。

3检查内容

3.1 重要资产识别检查

本局资产的统计资产清单(见附表1)，通过对重要系统、重要网络设备、重要服务器及其安全属性受破坏后的影响进行识别，将一旦停止运行影响面大的系统、关键网络节点设备和安全设备、承载敏感数据和业务的服务器进行汇总，构成重要资产清单(见附表2)。

3.2 安全事件检查

对本局半年内发生的较大的、或者发生次数较多的信息安全事件进行汇总记录安全事件清单列表(见附表3)。

3.3 安全缺陷检查

根据下发的安全缺陷检查列表进行安全检查，检查结果见附表4。

4综合分析

根据对重要资产、安全事件、安全缺陷检查情况，对信息安全状况进行统计分析和判断，明确各种安全事件产生的原因，提出针对性的整改措施。

4.1 重要资产识别分析

根据重要系统、重要网络设备、重要服务器及其安全属性受破坏后的影响进行识别，将一旦停止运行影响面大的系统、关键网络节点设备和安全设备、承载敏感数据和业务的服务器进行登记汇总，构成重要资产有：二台城域网核心交换机（华为S8512交换机），二台局域网核心交换机（Cisco 6505交换机），Cisco 2600路由器，Cisco PIX525防火墙，八台数据库服务器（OA系统2台、营销系统2台、大客户系统2台、客户服务系统1台、财务系统1台）。

4.2 安全事件分析

2006年近半年没有大的信息安全事件发生，主要是感染病毒，使个人电脑运行速度变慢,影响客户端正常使用。

从检查情况来看，计算机病毒是本局目前信息网络安全面临的首要威胁。应着重加强以下几方面工作：

1、加强信息网络安全教育和培训，增强用户安全防范意识。组织信息安全管理员不同层次的安全培训，开展广泛的、经常性的信息网络安全知识和相关法律法规知识的宣传教育。

2、开展面信息安全预警通报工作。建立信息网络安全预警和通报平台，及时向用户信息安全预警信息。

3、加快推进信息安全等级保护工作，建立健全信息安全防范体系。

4.3 安全缺陷检查分析

4.3.1规章制度与组织管理分析

规章制度与组织管理总分100分，自评分为34分，得分率34%。得分主要是组织机构、岗位职责、病毒管理，账号与口令管理等方面，但都还需完善；运行管理方面没有制订信息系统运行管理规程、缺陷管理制度、统计汇报制度、运维流程、值班制度、没有实行工作票制度，共分50分，检查得分4分，只占8%。

需要整改有如下几方面：

1、完善信息安全组织机构，成立信息安全工作机构。

2、明确专兼职管理人员配置，根据实际情况制定专责的工作职责与工作范围，岗位设置主、副岗备用制度。

3、完善病毒预警和报告机制，制定计算机病毒防治管理制度。

4、制订信息系统运行管理规程、缺陷管理制度、统计汇报制度、运维流程、运行值班制度，实行工作票制度，记录机房进出情况。

5、制订账号与口令管理制度，完善普通用户账户与管理员账户密码、口令长度要求；对账户密码、口令变更作相关记录；及时对系统用户身份发生变化后对其账户进行变更或注销。

4.3.2关键设备和服务采购情况分析

4.3.3网络与系统安全分析

网络与系统安全总分100分，自评分为73分，得分率73%。网络架构、网络设备、IP管理、主机备份得分较高；网络分区、补丁管理、系统安全配置得分低。需要整改有如下几方面：

1、生产控制系统和管理信息系统之间进行分区。

2、建立IP地址管理系统，加快进行对IP地址的规划和分配。

3、完善补丁管理手段，制订相应管理制度；补缺Windows系统主机补丁安装，补丁安装前进行测试记录。

4、对操作系统的安全配置进行严格的设置，删除系统不必要的服务、协议。

4.3.4网络服务与应用系统分析

网络服务与应用系统总分100分，自评分为20分，得分率20%。没有WWW 服务，远程拨号访问没有相应管理措施，OA系统邮件数据进行一星期备份，邮件系统的维护、检查没有审计记录；营销系统的角色、权限分配有记录，其余系统没有；用户账户的变更、修改、注销没有记录；关键应用系统的数据功能操作没有进行审计；没有针对关键应用系统的应急预案；关键应用系统管理员账户、用户账户口令有定期进行变更；有些新系统上线前没有进行过安全性测试。需要整改有如下几方面：

1、按标准建设WWW服务。

2、解决OA系统趋势防病毒软件系统问题，对邮件系统的维护、检查审计进行记录。

3、远程拨号访问设置按上述标准执行。

4、记录完善系统的角色、权限分配并记录；记录半年内用户账户的变更、修改、注销；关键应用系统的数据功能操作进行审计；制定针对关键应用系统的应急预案；关键应用系统管理员账户、用户账户口令定期进行变更；新系统上线前应严格按照相关标准进行安全性测试。

4.3.5安全技术管理与设备运行状况分析

安全技术管理与设备运行状况总分90分，自评分为26分，得分率29%。网络中的防火墙位置部署合理，防火墙规则配置符合安全要求，防火墙规则配置没有建立、更改有规范申请、审核、审批流程，没有对防火墙日志没有进行存储、备份。防病毒系统覆盖所有客户端（覆盖率大于90％），服务器端除了OA服务器有防病毒系统外其余没有；有兼责人员负责维护防病毒系统，但基本没有发布病毒通告。没有部署身份认证系统、安全管理平台，没有漏洞扫描系统。

需要整改有如下几方面：

1、防火墙规则配置的建立、更改要有规范申请、审核、审批流程，对防火墙日志应进行存储、备份。

2、实施服务器端防病毒系统，配置专责人员负责维护防病毒系统并及时发布病毒通告。

3、按标准部署、配置入侵检测系统。

4、按标准部署身份认证系统、安全管理平台、针对安全设备的日志服务器，采用漏洞扫描系统，重要系统将一年进行一次信息安全风险评估。

4.3.6存储备份系统分析

存储备份系统总分50分，自评分为16分，得分率32%。有备份策略并严格按照备份策略对系统数据进行备份，没有建立明确的恢复预案，也没有定期进行恢复演练，没有建立介质的管理制度和废弃介质的处理制度，储存介质存放在安全环境，没有严格的介质存取控制，没有对存储介质进行定期检查。

需要整改有如下几方面：

1、完善备份策略，严格按照备份策略对系统数据进行备份。

2、建立介质管理制度和废弃介质处理制度，专人对存储介质进行定期检查。

4.3.7介质及物理环境安全分析

介质及物理环境安全总分70分，自评分为37分，得分率53%。主机房没有安装门禁、监控系统，有消防报警系统。没有机房配线图，机房供电系统将动力、照明用电与计算机系统供电线路是分开的，机房没有配备应急照明装置，有定期对UPS的运行状况进行检测但没有检测记录，有手提干粉灭火器，没有采用气体防火措施，空调系统定期进行检查，机房温度控制在摄氏26度以下，有相应的介质管理规定，U盘、移动硬盘等存储介质有资产记录和责任人，磁盘、光盘等存储介质有专人保管，笔记本使用没有明确的管理制度。

需要整改有如下几方面：

1、主机房安装门禁、监控与报警系统。

2、补全机房配线图，定期对UPS的运行状况进行检测和记录。

3、采用气体防火措施。

4、制订笔记本使用管理制度。

4.3.8应急处置分析

应急处置分30分，自评分为5分，得分率17%。重要系统没有完善的、可操作的应急预案，按照集团公司的要求建立及时的信息安全信息通报机制，没有建立故障通讯联动机制，没有建立信息网故障抢修机制。

需要整改有如下几方面：

1、制订重要系统完善的、可操作的应急预案并对应急预案进行定期演练。

2、按照集团公司的要求建立及时的信息安全信息通报机制。

3、建立良好的故障通讯联动机制，进行联合防护。

5检查结论

根据检查结果来看，安全缺陷检查列表检查总分540分，自评分为221分，得分率39%。安全管理方面基础低，需要加强各种信息制度建立，安全组织结构和责任分工要进一步明确，安全策略进一步细化。在安全技术方面来看，加强必要的安全技术建设如补丁管理、入侵检测等的实施，在安全体系建设过程中，需要综合考虑安全要素，既要建立起指导安全工作的安全管理模型，又要建立起完善的技术体系架构，同时为了确保安全运营，还需要建立起信息安全运行维护体系。