医院信息安全整改建议建设方案.doc

《医院信息安全整改建议建设方案.doc》由会员分享，可在线阅读，更多相关《医院信息安全整改建议建设方案.doc（37页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、医院信息安全整改建议建设方案1.1 物理安全类别问题描述解决措施物理安全物理访问控制1.没有登记进出机房的人员，机房重要设备没有划区域隔离。建议安排专人值守机房出入口。2.暂无相关申请和审批流程。需要经过申请和审批流程，且有专人陪同。防盗窃与防破坏大部分设备都已固定在机柜中，但部分设备放至在机柜上方，仍有大部分通信线缆未整理和固定；部分设备和线缆有标签注意每个设备和线路的用途，部分设备和线缆无此设置。建议所有设备和通信线缆均固定在机柜中，且所有设备和线缆设置标签，说明用途和去向。未部署红外监控等光、电等技术的防盗报警系统建议部署红外报警系统防水和防潮精密空调出水位置布置漏水检测点，对漏水情况自

2、动报警，但检测范围未覆盖所有易漏水的位置。建议部署完整的漏水检测电磁防护对关键设备和磁介质实施电磁屏蔽。建议对关键设备和磁介质实施电磁屏蔽1.2 网络安全类别问题描述解决措施网络安全结构安全无按照对业务服务的重要次序来指定带宽分配优先级别，保证在网络发生拥堵的时候优先保护重要主机。采用高性能下一代防火墙，按照业务的业务服务的重要次序来指定带宽分配优先级别，保证在网络发生拥堵的时候优先保护重要主机和业务。边界完整性检查未能够对非授权设备私自联到内部网络的行为进行检查，准确定出位置，并对其进行有效阻断；建议部署网络准入系统，对非授权设备私自联到内部网络的行为进行检查。未能够对内部网络用户私自联到外

3、部网络的行为进行检查，准确定出位置，并对其进行有效阻断。建议部署上网行为管理系统，对内部用户的上网行为进行管理。入侵防范无相关入侵检测设备实现在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等；当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时无法提供报警。建议部署IPS实现入侵防范功能，在网络边界监视并防护网络攻击行为。恶意代码防范无相关恶意代码检测设备在网络边界处对恶意代码进行检测和清除，并升级和检测系统的更新。建议部署防毒网关实现恶意代码防范功能，在网络边界监视恶意代码攻击行为。访

4、问控制未能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级建议采用下一代防火墙，根据IP和端口设置安全策略，只有符合策略的数据包才能通过。未根据进出网络的信息内容进行过滤。建议采用下一代防火墙，对进出网络的信息内容进行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制。未限制网络最大流量数及网络连接数；建议采用下一代防火墙，限制网络最大流量数及网络连接数。重要网段未采取技术手段防止地址欺骗；建议启用下一代防火墙的ARP防欺骗功能网络设备防护未对网络设备的管理员登录地址进行限制；建议通过堡垒机和ACL策略设置限制网络设备的登录地址，如信

5、息技术部的网段或若干个管理IP。主要网络设备目前只使用一种身份鉴别方式。建议通过堡垒机使用U-KEY或者域认证的方式实现双因子认证。密码长8位，由小写字母和数字组成。不定期更改一次口令。建议通过堡垒机设定密码复杂度规则，并通过改密计划，自动定期进行改密目前只有一个超级管理员。建议通过堡垒机设置审计员、操作员等角色，实现权限分离。未能够根据记录数据进行分析，并生成审计报表；建议通过日志分析系统根据记录数据进行分析，并生成审计报表通过telnet和http方式访问设备，未采取必要措施防止鉴别信息在网络传输过程中被窃听。建议通过堡垒机，使用ssh协议登录设备。1.3 主机安全1.3.1 业务系统主机

6、类别问题描述解决措施身份鉴别密码未符合复杂性要求建议通过堡垒机设置密码复杂度要求，并通过改密计划定期自动改密：密码长度最小值：8个字符；密码最短使用期限：2天；密码最长使用期限：90天；强制密码历史：24未启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施；建议通过堡垒机设置登录失败处理功能建议帐户锁定策略如下：帐户锁定时间：15分钟；帐户锁定阀值：5次无效登录；重围帐户锁定计数器：15分钟之后。目前只使用用户名和密码登录建议通过堡垒机使用U-KEY或者域认证的方式实现双因子认证。访问控制已启用磁盘默认共享功能建议关闭磁盘默认共享功能操作系统用户可直接对数据库系统进行操作，

7、权限未分离。建议禁用Windows身份登录方式。已禁用Guest用户，已设置管理员密码，但未重命名Administrator用户。建议重命名Administrator用户。安全审计所有审核策略均设置为无审核。建议采用日志审计系统对系统中的登陆日志、操作日志进行审计。剩余信息保护交互式登录：不显示最后的用户名：已禁用。用可还原的加密来储存密码：已禁用。建议设置：交互式登录：不显示最后的用户名：已启用关机：清除虚拟内存页面文件：已禁用。建议设置关机：清除虚拟内存页面文件：已启用。入侵防范未启用Windows自带的防火墙建议启用windows自带的防火墙未能够对重要程序的完整性进行检测，并在检测到完

8、整性受到破坏后具有恢复的措施；建议部署防篡改软件对重要程序的完整性检测操作系统存在不需要的服务组件和应用程序，系统补丁未及时得到更新。建议通过漏洞扫描系统，定期对系统进行扫描，并及时更新系统补丁，建议通过配置检查系统，按照等级保护要求进行基线检查，及时关闭不需要的服务和应用程序恶意代码防范未安装杀毒软件建议安装杀毒软件，通过统一管理平台进行统一升级和维护，保证病毒特征库得到及时的更新资源控制未限制管理网络地址范围。建议设立设备管理区，仅限制几台管理终端可以登录管理服务器建议通过堡垒机和ACL策略设置限制设备的登录地址，如信息技术部的网段或若干个管理IP。未启用带密码保护的屏幕保护程序。建议启用

9、带密码保护的屏幕保护程序。未能够对系统的服务水平降低到预先规定的最小值进行检测和报警。建议采取技术措施监控CPU，内存，硬盘等资源的使用率，并设置报警阈值。1.3.2 数据库主机类别问题描述解决措施身份鉴别sa用户的密码长最低8位，由数字、小写字母组成，不定期修改。存在7个口令为空的用户建议禁用口令为空的用户。未启用登录失败处理功能。建议通过堡垒机设置登录失败处理功能，如连续登录失败3次则断开连接目前仅使用用户名和密码进行身份鉴别建议通过堡垒机使用U-KEY或者域认证的方式实现双因子认证。访问控制操作系统用户可直接对数据库系统进行操作，权限未分离。建议禁用Windows身份登录方式。安全审计已

10、启用自带的审计功能，未启用C2审核跟踪功能。建议采用数据库审计系统对数据库的所有操作进行审计和跟踪使用内置的审计策略，登录审核设置为：仅限失败的登录建议采用日志审计系统对系统中的登陆日志、操作日志进行审计。资源控制未限制管理网络地址范围。建议设立设备管理区，仅限制几台管理终端可以登录管理服务器建议通过堡垒机和ACL策略设置限制设备的登录地址，如信息技术部的网段或若干个管理IP。未启用带密码保护的屏幕保护程序。建议启用带密码保护的屏幕保护程序。1.4 应用安全1.4.1 HIS系统（三级）类别问题描述解决措施身份鉴别使用用户名/密码一种身份鉴别方式。建议应用系统采用两种或两种以上身份鉴别技术的组

11、合来进行身份鉴别（如采用用户名/口令、挑战应答、动态口令、物理设备如（如U-KEY）、生物识别技术中的任意两种组合）未提供密码复杂度校验功能。建议后台管理程序提供密码复杂度校验功能已启用身份鉴别、身份标识唯一性检查、已提供登录失败处理功能，未提供用户口令复杂度检查功能，未提供根据需要配置相关安全参数功能。建议提供用户口令复杂度检查功能，建议后台管理程序提供根据需要配置相关安全参数功能。访问控制未对重要信息资源设置敏感标记的功能；建议采用数据审计系统，应用系统对重要信息资源设置敏感标记，如对重要信息资源设置机密和普通的等级，对高危操作或者高频率敏感数据操作进行告警依据安全策略严格控制用户对有敏感

12、标记重要信息资源的操作建议采用数据审计系统，应用系统对重要信息资源设置敏感标记，如对重要信息资源设置机密和普通的等级，对高危操作或者高频率敏感数据操作进行告警建议应用系统的强制访问控制与用户身份鉴别、标识等安全功能密切配合，并且控制粒度达到主体为用户级，客体为文件和数据库表级。安全审计应用层面未提供安全审计建议采用网络审计系统实现应用层面的审计效果未保证无法单独中断审计进程，无法删除、修改或覆盖审计记录建议采用日志审计系统对日志进行独立存储的避免对审计记录的修改、删除或覆盖。应用层面未提供安全审计建议采用网络审计系统，进行全面审计，记录包括事件的日期、时间、类型、主体标识、客体标识和结果等内容

13、应用层面未提供安全审计建议采用网络审计系统，定期生成审计报表并包含必要审计要素。数据完整性未采用密码技术保证通信过程中数据的完整性。建议采用密码技术保证通信过程中数据的完整性：如系统根据校验码判断对方数据包的有效性，用密码计算通信数据报文的报过文验证码；可通过Hash函数（如MD5、SHA和MAC）对完整性进行校验，但不能使用CRC。未启用带密码保护的屏幕保护程序。建议启用带密码保护的屏幕保护程序。抗抵赖未使用数字证书建议部署数字证书。资源控制未限制最大并发会话连接数。建议限制访问系统的最大并发会话连接数未对单个帐户的多重并发会话进行限制。建议限制单个账户的多重并发，限制一个账户只能在一台终端

14、上登录未限制一个时间段内的最大并发会话连接数。建议限制访问系统的最大并发会话连接数。未能够对系统服务水平降低到预先规定的最小值进行检测和报警；建议设置专门的监控软件或硬件，监控系统的服务能力，当服务能力低于阀值时报警。1.4.2 LIS系统（三级）类别问题描述解决措施身份鉴别使用用户名/密码一种身份鉴别方式。建议应用系统采用两种或两种以上身份鉴别技术的组合来进行身份鉴别（如采用用户名/口令、挑战应答、动态口令、物理设备如（如U-KEY）、生物识别技术中的任意两种组合）未提供密码复杂度校验功能。建议提供鉴别信息复杂度检查功能，限制密码长度在8位以上，包含大小写字母、数字和字符，及时修改管理员密码

15、，增强管理员密码复杂度。未提供登录失败处理功能建议提供登录失败处理功能，登录失败35次，锁定用户一段时间已启用身份鉴别、身份标识唯一性检查、已提供登录失败处理功能，未提供用户口令复杂度检查功能，未提供根据需要配置相关安全参数功能。建议提供用户口令复杂度检查功能，建议后台管理程序提供根据需要配置相关安全参数功能。访问控制未对重要信息资源设置敏感标记的功能；建议采用数据审计系统，应用系统对重要信息资源设置敏感标记，如对重要信息资源设置机密和普通的等级，对高危操作或者高频率敏感数据操作进行告警依据安全策略严格控制用户对有敏感标记重要信息资源的操作建议采用数据审计系统，应用系统对重要信息资源设置敏感标

16、记，如对重要信息资源设置机密和普通的等级，对高危操作或者高频率敏感数据操作进行告警建议应用系统的强制访问控制与用户身份鉴别、标识等安全功能密切配合，并且控制粒度达到主体为用户级，客体为文件和数据库表级。安全审计应用层面未提供安全审计建议采用网络审计系统实现应用层面的审计效果未保证无法单独中断审计进程，无法删除、修改或覆盖审计记录建议采用日志审计系统对日志进行独立存储的避免对审计记录的修改、删除或覆盖。应用层面未提供安全审计建议采用网络审计系统，进行全面审计，记录包括事件的日期、时间、类型、主体标识、客体标识和结果等内容应用层面未提供安全审计建议采用网络审计系统，定期生成审计报表并包含必要审计要

17、素。软件容错未有自动保护功能，当故障发生时自动保护当前所有状态，保证系统能够进行恢复。建议应用服务器架构负载均衡实现自动保护功能。资源控制未限制最大并发会话连接数。建议限制访问系统的最大并发会话连接数未对单个帐户的多重并发会话进行限制。建议限制单个账户的多重并发，限制一个账户只能在一台终端上登录未限制一个时间段内的最大并发会话连接数。建议限制访问系统的最大并发会话连接数。未能对一个访问帐户或一个请求进程占用的资源分配最大限额和最小限额；建议通过下一代防火墙，通过流量控制的方式限制帐户的资源配额未能够对系统服务水平降低到预先规定的最小值进行检测和报警；建议设置专门的监控软件或硬件，监控系统的服务

18、能力，当服务能力低于阀值时报警。未提供服务优先级设定功能，并在安装后根据安全策略设定访问帐户或请求进程的优先级，根据优先级分配系统资源建议通过下一代防火墙，通过流量通道优先级设定，当资源紧张时优先满足权限高的用户的访问请求。1.4.3 PACS系统（三级）类别问题描述解决措施身份鉴别未提供密码复杂度校验功能。建议提供鉴别信息复杂度检查功能，限制密码长度在8位以上，包含大小写字母、数字和字符，及时修改管理员密码，增强管理员密码复杂度。已启用身份鉴别、身份标识唯一性检查、已提供登录失败处理功能，未提供用户口令复杂度检查功能，未提供根据需要配置相关安全参数功能。建议提供用户口令复杂度检查功能，建议后

19、台管理程序提供根据需要配置相关安全参数功能。访问控制未对重要信息资源设置敏感标记的功能；建议采用数据审计系统，应用系统对重要信息资源设置敏感标记，如对重要信息资源设置机密和普通的等级，对高危操作或者高频率敏感数据操作进行告警依据安全策略严格控制用户对有敏感标记重要信息资源的操作建议采用数据审计系统，应用系统对重要信息资源设置敏感标记，如对重要信息资源设置机密和普通的等级，对高危操作或者高频率敏感数据操作进行告警建议应用系统的强制访问控制与用户身份鉴别、标识等安全功能密切配合，并且控制粒度达到主体为用户级，客体为文件和数据库表级。安全审计已提供日志查询功能，未提供对日志进行统计、分析及生成报表的

20、功能。建议采用日志审计系统，提供对日志进行统计、分析及生成报表的功能。软件容错未有自动保护功能，当故障发生时自动保护当前所有状态，保证系统能够进行恢复。建议应用服务器架构负载均衡实现自动保护功能。资源控制未提供结束空闲会话功能建议应用系统提供登录终端的操作超时锁定，空闲为会话超时时间设置为30分钟。未能对一个访问帐户或一个请求进程占用的资源分配最大限额和最小限额；建议通过下一代防火墙，通过流量控制的方式限制帐户的资源配额1.4.4 EMR系统（三级）类别问题描述解决措施身份鉴别使用用户名/密码一种身份鉴别方式。建议应用系统采用两种或两种以上身份鉴别技术的组合来进行身份鉴别（如采用用户名/口令、

21、挑战应答、动态口令、物理设备如（如U-KEY）、生物识别技术中的任意两种组合）未提供密码复杂度校验功能。建议提供鉴别信息复杂度检查功能，限制密码长度在8位以上，包含大小写字母、数字和字符，及时修改管理员密码，增强管理员密码复杂度。未提供登录失败处理功能建议提供登录失败处理功能，登录失败35次，锁定用户一段时间已启用身份鉴别、身份标识唯一性检查、已提供登录失败处理功能，未提供用户口令复杂度检查功能，未提供根据需要配置相关安全参数功能。建议提供用户口令复杂度检查功能，建议后台管理程序提供根据需要配置相关安全参数功能。访问控制未对重要信息资源设置敏感标记的功能；建议采用数据审计系统，应用系统对重要信

22、息资源设置敏感标记，如对重要信息资源设置机密和普通的等级，对高危操作或者高频率敏感数据操作进行告警依据安全策略严格控制用户对有敏感标记重要信息资源的操作建议采用数据审计系统，应用系统对重要信息资源设置敏感标记，如对重要信息资源设置机密和普通的等级，对高危操作或者高频率敏感数据操作进行告警建议应用系统的强制访问控制与用户身份鉴别、标识等安全功能密切配合，并且控制粒度达到主体为用户级，客体为文件和数据库表级。安全审计应用层面未提供安全审计建议采用网络审计系统实现应用层面的审计效果未保证无法单独中断审计进程，无法删除、修改或覆盖审计记录建议采用日志审计系统对日志进行独立存储的避免对审计记录的修改、删

23、除或覆盖。应用层面未提供安全审计建议采用网络审计系统，进行全面审计，记录包括事件的日期、时间、类型、主体标识、客体标识和结果等内容应用层面未提供安全审计建议采用网络审计系统，定期生成审计报表并包含必要审计要素。抗抵赖未使用数字证书建议部署数字证书。软件容错未有自动保护功能，当故障发生时自动保护当前所有状态，保证系统能够进行恢复。建议应用服务器架构负载均衡实现自动保护功能。资源控制未提供结束空闲会话功能建议应用系统提供登录终端的操作超时锁定，空闲为会话超时时间设置为30分钟。未能对一个访问帐户或一个请求进程占用的资源分配最大限额和最小限额；建议通过下一代防火墙，通过流量控制的方式限制帐户的资源配

24、额未提供服务优先级设定功能，并在安装后根据安全策略设定访问帐户或请求进程的优先级，根据优先级分配系统资源建议通过下一代防火墙，通过流量通道优先级设定，当资源紧张时优先满足权限高的用户的访问请求。1.4.5 集中平台（三级）类别问题描述解决措施身份鉴别使用用户名/密码一种身份鉴别方式。建议应用系统采用两种或两种以上身份鉴别技术的组合来进行身份鉴别（如采用用户名/口令、挑战应答、动态口令、物理设备如（如U-KEY）、生物识别技术中的任意两种组合）未提供登录失败处理功能建议提供登录失败处理功能，登录失败35次，锁定用户一段时间已启用身份鉴别、身份标识唯一性检查、已提供登录失败处理功能，未提供用户口令

25、复杂度检查功能，未提供根据需要配置相关安全参数功能。建议提供用户口令复杂度检查功能，建议后台管理程序提供根据需要配置相关安全参数功能。访问控制未对重要信息资源设置敏感标记的功能；建议采用数据审计系统，应用系统对重要信息资源设置敏感标记，如对重要信息资源设置机密和普通的等级，对高危操作或者高频率敏感数据操作进行告警依据安全策略严格控制用户对有敏感标记重要信息资源的操作建议采用数据审计系统，应用系统对重要信息资源设置敏感标记，如对重要信息资源设置机密和普通的等级，对高危操作或者高频率敏感数据操作进行告警建议应用系统的强制访问控制与用户身份鉴别、标识等安全功能密切配合，并且控制粒度达到主体为用户级，

26、客体为文件和数据库表级。安全审计应用层面未提供安全审计建议采用网络审计系统实现应用层面的审计效果未保证无法单独中断审计进程，无法删除、修改或覆盖审计记录建议采用日志审计系统对日志进行独立存储的避免对审计记录的修改、删除或覆盖。应用层面未提供安全审计建议采用网络审计系统，进行全面审计，记录包括事件的日期、时间、类型、主体标识、客体标识和结果等内容应用层面未提供安全审计建议采用网络审计系统，定期生成审计报表并包含必要审计要素。通信完整性未采用密码技术保证通信过程中数据的完整性建议采用密码技术保证通信过程中数据的完整性：如系统根据校验码判断对方数据包的有效性，用密码计算通信数据报文的报过文验证码；可

27、通过Hash函数（如MD5、SHA和MAC）对完整性进行校验，但不能使用CRC。通信保密性在通信双方建立连接之前，应用系统未利用密码技术进行会话初始化验证；建议在通信双方建立会话之前，利用密码技术进行如会话初始化验证（如SSL建立加密通道前是否利用密码技术进行会话初始验证）；未对通信过程中的整个报文或会话过程进行加密。在通信过程中对敏感信息字段进行加密等抗抵赖未使用数字证书建议部署数字证书软件容错未有自动保护功能，当故障发生时自动保护当前所有状态，保证系统能够进行恢复。建议应用服务器架构负载均衡实现自动保护功能。未保证通过人机接口输入或通过通信接口输入的数据格式或长度符合系统设定要求；建议应用

28、系统对人机接口和通信接口输入的数据进行校验。资源控制未限制最大并发会话连接数。建议限制访问系统的最大并发会话连接数未限制一个时间段内的最大并发会话连接数。建议限制一段时间内的最大并发会话数。未提供结束空闲会话功能建议应用系统提供登录终端的操作超时锁定，空闲为会话超时时间设置为30分钟。未对单个帐户的多重并发会话进行限制。建议限制单个账户的多重并发，限制一个账户只能在一台终端上登录未能对一个访问帐户或一个请求进程占用的资源分配最大限额和最小限额；建议通过下一代防火墙，通过流量控制的方式限制帐户的资源配额未提供服务优先级设定功能，并在安装后根据安全策略设定访问帐户或请求进程的优先级，根据优先级分配

29、系统资源建议通过下一代防火墙，通过流量通道优先级设定，当资源紧张时优先满足权限高的用户的访问请求。未能够对系统服务水平降低到预先规定的最小值进行检测和报警；建议设置专门的监控软件或硬件，监控系统的服务能力，当服务能力低于阀值时报警。1.4.6 门户网站系统（二级）类别问题描述解决措施身份鉴别未提供密码复杂度校验功能。建议提供鉴别信息复杂度检查功能，限制密码长度在8位以上，包含大小写字母、数字和字符，及时修改管理员密码，增强管理员密码复杂度。未提供登录失败处理功能建议提供登录失败处理功能，登录失败35次，锁定用户一段时间已启用身份鉴别、身份标识唯一性检查、已提供登录失败处理功能，未提供用户口令复

30、杂度检查功能，未提供根据需要配置相关安全参数功能。建议提供用户口令复杂度检查功能，建议后台管理程序提供根据需要配置相关安全参数功能。通信完整性未采用密码技术保证通信过程中数据的完整性建议通过web应用防护系统，通过Hash函数（如MD5）对完整性进行校验通信保密性在通信双方建立连接之前，应用系统未利用密码技术进行会话初始化验证；建议通过web应用防护系统在通信双方建立会话之前，进行会话初始验证未对通信过程中的整个报文或会话过程进行加密。建议通过web应用防护系统在通信过程中对敏感信息字段进行加密等软件容错未有自动保护功能，当故障发生时自动保护当前所有状态，保证系统能够进行恢复。建议应用服务器架

31、构负载均衡实现自动保护功能。未通过人机接口输入或通过通信接口输入的数据格式或长度符合系统设定要求；建议应用系统对人机接口和通信接口输入的数据进行校验。资源控制未限制最大并发会话连接数。建议限制访问系统的最大并发会话连接数未对单个帐户的多重并发会话进行限制。可以限制为单点登录或者多点登录的情况，必须限制其数量。1.5 数据安全与备份恢复类别问题描述解决措施数据完整性未能够检测到系统管理数据、鉴别信息和重要业务数据在传输过程中完整性受到破坏，并在检测到完整性错误时采取必要的恢复措施；建议采用校验码技术保证传输过程中数据的完整性。门户网站建议使用https协议进行数据传输。数据保密性未采用加密或其他

32、有效措施实现系统管理数据、鉴别信息和重要业务数据传输保密性；集成平台系统建议对鉴别信息和重要业务信息进行加密传输。备份和恢复未提供异地备份功能。建议定期将重要数据备份到异地的备份机房。网络架构未完全使用冗余技术设计，无法避免单点故障建议采用冗余技术设计网络拓扑结构，避免关键节点存在单点故障。主要网络设备如核心交换设备、出口线路均有硬件冗余，其他关键设备未提供冗余功能。建议其他关键设备如防火墙等提供硬件冗余功能。1.6 安全管理制度类别问题描述解决措施管理制度未提供相关管理制度。建议建立信息安全相关管理制度。制定和发布未提供相关管理制度。建议对安全管理制度的制定和发布建立管理制度，并按管理制度执

33、行。评审和修订未提供相关管理制度。建议对安全管理制度的评审和修订建立管理制度，并按管理制度执行。1.7 安全管理机构类别问题描述解决措施岗位设置未提供相关管理制度。建议对安全管理机构的岗位设置建立管理制度，并按管理制度执行。人员配备未提供相关管理制度。建议对安全管理机构的人员配备建立管理制度，并按管理制度执行。授权和审批未提供相关管理制度。建议定期审查审批事项，及时更新需授权和审批的项目、审批部门和审批人等信息记录审批过程并保存审批文档。沟通和合作信息技术部必须与信息使用部门密切配合，建立沟通协调制度，加强部门之间的沟通，运用恰当的方式方法，及时解决各种故障，但未提及处理信息安全问题。建议对安

34、全管理机构的沟通和合作建立管理制度，并按管理制度执行。审批与检查未提供相关管理制度。建议对安全管理机构的审核和检查建立管理制度，并按管理制度执行。1.8 人员安全管理类别问题描述解决措施人员录用未提供相关管理制度。建议对人员安全管理的人员录用建立管理制度，并按管理制度执行。人员离岗未提供相关管理制度。建议对人员安全管理的人员离岗建立管理制度，并按管理制度执行。人员考核未提供相关管理制度。建议对人员安全管理的人员考核建立管理制度，并按管理制度执行。安全意识教育和培训未提供相关管理制度。建议对人员安全管理的安全意识教育和培训建立管理制度，并按管理制度执行。外部人员访问管理未提供相关管理制度。建议对

35、人员安全管理的外部人员访问管理建立管理制度，并按管理制度执行。1.9 系统建设管理类别问题描述解决措施安全方案设计未提供相关管理制度。建议对系统建设管理的安全方案设计建立管理制度，并按管理制度执行。产品采购和使用未提供相关管理制度。建议对系统建设管理的产品采购和使用建立管理制度，并按管理制度执行。外包软件开发未提供相关管理制度。建议对系统建设管理的外包软件开发建立管理制度，并按管理制度执行。工程实施未提供相关管理制度。建议制定详细的工程实施方案控制实施过程，并要求工程实施单位能正式地执行安全工程过程。测试验收未提供相关管理制度。建议委托公正的第三方测试单位对系统进行安全性测试，并出具安全性测试

36、报告建议对系统测试验收的控制方法和人员行为准则进行书面规定系统交付未提供相关管理制度。建议对系统建设管理的系统交付建立管理制度，并按管理制度执行。安全服务商选择未提供相关管理制度。建议对系统建设管理的安全服务商选择建立管理制度，并按管理制度执行。1.10 系统运维管理类别问题描述解决措施环境管理已制定信息技术部负责机房安全，但未配备机房安全管理人员。建议配备机房安全管理人员，对机房的出入、服务器的开机或关机等工作进行管理。资产管理未提供相关管理制度。建议对系统运维管理的资产管理建立管理制度，并按管理制度执行。介质管理未提供相关管理制度。建议对系统运维管理的介质管理建立管理制度，并按管理制度执行

37、设备管理未提供相关管理制度。建议建立配套设施、软硬件维护方面的管理制度，对其维护进行有效的管理，包括明确维护人员的责任、涉外维修和服务的审批、维修过程的监督控制等建议确保信息处理设备必须经过审批才能带离机房或办公地点。监控管理和安全管理中心未提供相关管理制度。建议对系统运维管理的监控管理和安全管理中心建立管理制度，并按管理制度执行。采用企业安全中心系统，对网络中的安全设备进行统一管理，统一收集日志并进行日志分析，感知风险态势。网络安全管理未提供相关管理制度。建议对系统运维管理的网络安全管理建立管理制度，并按管理制度执行。建议通过态势感知平台，收集全网安全态势，定期检查违反网络安全策略的行为。系

38、统安全管理未提供相关管理制度。建议对系统运维管理的系统安全管理建立管理制度，并按管理制度执行。恶意代码防范管理未提供相关管理制度。建议对系统运维管理的恶意代码防范管理建立管理制度，并按管理制度执行建议采用防病毒中心，统一管理终端的病毒软件，保证及时更新。密码管理未提供相关管理制度。建议对系统运维管理的密码管理建立管理制度，并按管理制度执行。建议采用堡垒机中的改密计划功能，设置复杂度、长度、改密周期等，并通过改密日志进行审计和保存改密历史。变更管理未提供相关管理制度。建议对系统运维管理的变更管理建立管理制度，并按管理制度执行。备份与恢复管理未提供相关管理制度。建议对系统运维管理的备份与恢复管理建立管理制度，并按管理制度执行。安全事件处置未提供相关管理制度。建议对系统运维管理的安全事件处置建立管理制度，并按管理制度执行。应急预案管理未提供相关管理制度。建立事件分级制度和应急管理体系，针对事件的影响程度进行分级，并对每个级别事件配置对应的应急预案，并对其进行定期演练和修改