最新网络安全自查报告2.doc

《最新网络安全自查报告2.doc》由会员分享，可在线阅读，更多相关《最新网络安全自查报告2.doc（35页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、网络安全自查报告2(可以直接使用，可编辑 优秀版资料，欢迎下载）网络安全自查报告市委网络安全和信息化领导小组办公室：为规范我单位计算机信息网络系统的安全管理工作，保证网信息系统的安全和推动精神文明建设，我单位成立了安全组织机构，建立健全了各项安全管理制度，加强了网络安全技术防范工作的力度，进一步强化了办公设备的使用管理，营造出了一个安全使用网络的办公环境。下面将详细情况汇报如下:一、进一步调整、落实网络与信息安全领导小组成员及其分工,做到责任明确,具体到人。为进一步加强我局网络信息系统安全管理工作，我单位成立了由主要领导负责的、各科室负责人组成的计算机信息安全领导小组和工作小组,做到责任明确，

2、具体到人。二、进一步建立健全各项安全管理制度,做到有法可依,有章可循为保证计算机网络的正常运行与健康发展.认真对照中华人民共和国计算机信息系统安全保护条例、中华人民共和国计算机信息网络国际联网管理暂行规定、计算机信息网络国际联网安全保护管理办法、互联网信息服务管理办法对网络安全进行严格的管理。我单位适时组织相关人员进行计算机安全技术培训，提高网络维护以及安全防护技能和意识,并定期进行网络安全的全面检查，对存在的问题要及时进行纠正,消除安全隐患，有力地保障我单位统计信息网络正常运行。三、我单位的技术防范措施主要从以下几个方面来做：1、办公计算机：全部安装正版安全软件；已排查内网计算机全部切断外网

3、连接；通过技术手段实时监控局域网内DDos、ARP等攻击；使用IP安全策略，禁用TCP和 UDP高危端口；及时修补各种系统、软件的补丁;实时针对高发、高危网络安全威胁,安装专杀补丁;2、路由器管理：外网路由器的密码全部采用复杂密码,无线网络不对外广播，并且全部绑定客户端MAC地址,外部设备无法连接我单位任何路由器；全体工作人员的任何 、计算机禁止安装“Wifi万能钥匙”等任何无线局域网破解软件；3、 服务器：全部安装正版服务器操作系统、操作系统防火墙、网页系统防火墙；保持自动和手动补丁更新，安装智能漏洞检测系统，发现安全漏洞短信告警管理员；全面排查硬件防火墙安全隐患，发现高危漏洞及时采取相应解

4、决方案；4、微信公众号：公众号管理登录全部采用复杂密码组合，启用登录管理员微信端二维码验证;微信服务号接口共享 服务器，采用与 服务器相同安全级别；5、数据库管理：我单位已购置磁盘阵列，定期对服务器数据库以及关键数据进行备份,并存放于磁盘阵列中，磁盘阵列无外部网络访问，所有操作全部由内网计算机完成.四、网络安全存在的不足及整改措施目前，我单位网络安全仍然存在以下几点不足：一是安全防范意识较为薄弱；二是病毒监控能力有待提高。针对目前我单位网络安全方面存在的不足,提出以下几点整改办法：1、加强我单位计算机操作技术、网络安全技术方面的培训，强化我单位计算机操作人员对网络病毒、信息安全的防范意识；2、

5、加强我单位职工在计算机技术、网络技术方面的学习，不断提高我单位计算机专管人员的技术水平。xxx网络与信息系统安全工作自查报告按照xx县信息化工作领导小组办公室关于开展2021年全县网络与信息系统安全检查工作的通知文件要求,我单位高度重视，立即组织开展全镇范围内的网络与信息系统安全工作。现将自查情况汇报如下:一、网络与信息系统安全组织管理工作1、我单位高度重视网络与信息系统安全工作，在党委扩大会议上专门研究部署了此项工作,并成立了信息化与网络安全工作领导小组，明确了镇办公室为信息化与网络安全工作办公室，确定了一名网络与信息系统安全工作管理员，负责日常管理工作。2、制定下发了xxx人民政府关于加强

6、信息网络安全保障工作的意见和xxx人民政府网站管理维护工作制度,要求各科室、各部门认真组织学习,充分认识网络和信息安全工作的重要性，能够按照各项规定正确使用网络和各类信息系统,确保我镇网络与信息系统的安全.二、网络与信息系统安全日常管理工作结合我镇实际，在日常管理工作中，与各科室、部门签订网络和信息安全工作责任书,并要求各科室、各部门严格按照以下规定执行,确保网络和信息系统的安全。1、计算机必须设置系统启动密码，密码严禁外泄，避免外部人员登录对本单位计算机网络进行攻击。2、办公计算机在使用过程中，要定期进行系统备份，以提高突发事件发生时的应对能力。3、不得随意接入网络设备，避免因擅自接入影响网

7、络和信息系统的正常运行，确因工作需要接入网络设备，必须经信息化与网络安全工作办公室允许方可接入。对于移动存储设备，不得与涉密计算机及政务专网以外计算机共用。4、所有计算机必须安装防火墙，定期查杀网络病毒，移动存储设备在接入计算机使用前,必须进行杀毒。5、严格信息系统文件的收发，完善清点、修理、编号、签收制度。三、网络与信息系统安全专项防护管理工作1、安排专人负责我镇的网络安全工作，并积极参加县有关部门组织的网络安全知识培训，提高工作水平。2、安排专人负责信息系统的管理，对计算机享有独立使用权，计算机的用户名和开机密码为其专有，且规定严禁外泄。3、利用机关干部集中学习,专门组织开展了一次网络与信

8、息安全知识的学习活动。四、“十八大”期间网络与信息系统安全工作为切实做好网络与信息系统安全管理工作,确保“十八大”期间全镇网络与信息系统安全稳定运行，在8月21日我镇召开的十八大安保工作专项部署会上，镇党委政府对此项工作进行了专门部署，要求各科室、各部门严格按照各项工作部署，扎实做好网络与信息系统安全管理工作，确保此项工作落实到位。五、网络与信息系统安全专项检查工作情况目前，针对我镇的网络与信息安全工作现状,信息化与网络安全工作领导小组定期组织由专业技术人员组成的检查小组到各办公室专项检查网络和信息安全情况，仔细排查信息系统的漏洞和安全隐患,用专用工具查杀木马、病毒，及时加强防范措施，并为计算

9、机安装了正版的杀毒软件和系统软件，有效提高了计算机和网络防范、抵御风险的能力.六、存在的主要问题及整改情况1、存在的主要问题一是由于本单位计算机网络方面的专业技术人员较少，网络安全方面可投入的力量有限.二是规章制度体系初步建立，可能还不够完善,未能覆盖到网络与信息系统安全的所有方面。三是遇到计算机病毒侵袭等突发事件时,由于技术力量薄弱,处理不够及时。2、整改措施一是要继续加强对本单位工作人员的安全意识教育,提高做好安全工作的主动性和自觉性。二是安排专人，密切监测，随时随地解决可能发生的信息系统安全事故。三是要加大对网络线路、计算机系统的及时维护和保养，加大更新力度，确保网络和信息系统正常运行。

10、xxx人民政府2012年8月22日信息网安全保障工作自查报告根据关于对政府网站安全保障工作进行检查的通知精神，我对主办的信息网的安全情况进行了自查，现将自查情况汇报如下:一、自查情况（一)网站安全保障责任制度的建设情况成立了信息中心，指定了网站管理的主管领导和具体负责人员，明确了信息中心为信息网安全保障工作的管理机构，负责网站安全防护设施建设，开展网站的日常管理维护和定期监督检查，确定了由网站具体负责人员担任网站的安全员，负责日常维护、检查工作.(二）网站安全制度体系的建设情况为充分发挥信息网对的指导、宣传作用，依据中华人民共和国政府信息公开条例、中华人民共和国计算机信息系统安全保护条例，结合

11、我地区实际，我部门特制定了县信息网网站管理办法。1、在发布信息的权威、一致性方面规定了网站发布、转载有关信息须依据国家有关规定执行，内容加入或更新不得出现有关法律、行政法规禁止的内容，不得有不宜公开的内容;2、在网站信息处理和人员落实方面规定了栏目的内容及相应的信息提供实行各科室分工负责制。即各科室负责对本网站相应栏目提供内容，科室负责人要对所提交内容的真实性和可靠性进行认真审核，要发布的信息经确定后向信息中心提供相应电子文档，信息中心负责网站信息的分类、整理、更新、发布。3、在网上互动及网上办事方面规定了网站所设置的在线问答栏目中群众发布的咨询信息由信息中心负责定时接收,并及时提交给相应科室

12、予以解答。4、在网站涉密信息方面明确了要严格遵守“上网不涉密，涉密不上网”的规定,确保党和国家秘密的绝对安全。（三)安全防范措施落实情况1、局机房安装了硬件防火墙,同时配置安装了瑞星专业杀毒软件，加强了在防篡改、防病毒、防攻击、防瘫痪、防泄密等方面的有效性。2、网站服务器设有开机密码,信息中心工作人员负责保密管理，服务器的用户名和开机密码为其专有，且规定严禁外泄。3、网站管理人员对网站也实行密码管理，用户名和开机密码专有且不得外泄。网站所要发布内容一律要通过管理员验证才能够发表、删除、修改.（四）网站应急响应机制建设情况1、及时对系统和软件进行更新，对网站重要文件、信息资源做到及时备份,数据恢

13、复。2、坚持与网站服务器定点维修单位联系网站服务器检修、维护事宜，并商定其给予局应急技术以最大程度的支持。 3、积极与网络安全保障经验丰富的人员取得联系，聘请其为网站兼职管理员，定期对网站安全保障工作进行检查指导，在突发网站安全事件时给予技术支持。二、自查中发现的不足和整改意见根据通知中的具体要求,在自查过程中我们也发现了一些不足，同时结合我部门实际,今后要在以下几个方面进行整改。存在不足：一是专业技术人员较少，信息系统安全方面可投入的力量有限；二是应急机制初步建立，但还不完善；三是网站发布信息的时效性不强。整改方向：一是加强对机关干部计算机水平和网络安全意识教育，提高有关人员做好网络安全工作

14、的主动性和自觉性，同时密切联系网络安全技术专业人员，加强网站安全措施建设力度，进一步增加网站防篡改、防攻击、防瘫痪能力.二是要切实增强信息安全制度的落实工作，安排专人，完善设施，密切监测，不定期的对安全制度执行情况进行检查，随时随地解决可能发生的信息系统安全事故。对于导致不良后果的责任人，要严肃追究责任，从而提高人员安全防护意识。三是加强对网站的监督管理，严格网站信息发布制度,加大对信息内容，信息权威性、一致性和时效性及网上信息办理情况的监管力度。编号：网络安全防护检查报告数据中心测评单位:报告日期:目 录第1章 系统概况21。1 网络结构21.2 管理制度2第2章 评测方法和工具42.1 测

15、试方式42.2 测试工具42。3 评分方法42。3。1 符合性评测评分方法52.3。2 风险评估评分方法5第3章 测试内容73.1 测试内容概述73。2 扫描和渗透测试接入点83.3 通信网络安全管理审核8第4章 符合性评测结果94。1 业务安全94.2 网络安全94。3 主机安全94.4 中间件安全104。5 安全域边界安全104。6 集中运维安全管控系统安全104。7 灾难备份及恢复114.8 管理安全114。9 第三方服务安全12第5章 风险评估结果135。1 存在的安全隐患13第6章 综合评分146.1 符合性得分146.2 风险评估146.3 综合得分14附录A 设备扫描记录15所依

16、据的标准和规范有： YD/T 2584-2021 互联网数据中心IDC安全防护要求 YD/T 2585-2021 互联网数据中心IDC安全防护检测要求 YD/T 26692021 第三方安全服务能力评定准则 网络和系统安全防护检查评分方法 2021年度通信网络安全防护符合性评测表互联网数据中心IDC还参考标准 YD/T 1754-2021电信和互联网物理环境安全等级保护要求 YD/T 17552021电信和互联网物理环境安全等级保护检测要求 YD/T 17562021电信和互联网管理安全等级保护要求 GB/T 20274 信息系统安全保障评估框架 GB/T 209842007 信息安全风险评估

17、规范第1章 系统概况IDC由负责管理和维护，其中各室配备了数名工程师，负责IDC设备硬、软件维护，数据制作,故障处理、信息安全保障、机房环境动力设备和空调设备维护.1.1 网络结构图 1Error! Bookmark not defined.：IDC网络拓扑图1.2 管理制度1. 组织架构信息安全工作组网络安全工作组具体职能部门网络与信息安全工作小组图 1Error! Bookmark not defined.:IDC信息安全管理机构2. 岗位权责分工现有的管理制度、规范及工作表单有：l IDC机房信息安全管理制度规范l IDC机房管理办法l IDC灾难备份与恢复管理办法l 网络安全防护演练与

18、总结l 集团客户业务故障处理管理程序l 互联网与基础数据网通信保障应急预案l IDC网络应急预案l 关于调整公司跨部门组织机构及有关领导的通知l 网络信息安全考核管理办法l 通信网络运行维护规程公共分册数据备份制度l 省分公司转职信息安全人员职责l 通信网络运行维护规程IP网设备篇l 城域网BAS、SR设备配置规范l IP地址管理办法l 互联网网络安全应急预案处理细则l 互联网网络安全应急预案处理预案(2021修订版）第2章 评测方法和工具2.1 测试方式l 检查通过对测试对象进行观察、查验、分析等活动,获取证据以证明保护措施是否有效的一种方法。l 测试通过对测试对象按照预定的方法/工具使其产

19、生特定的响应等活动,查看、分析测试对象的响应输出结果，获取证据以证明保护措施是否有效的一种方法。2.2 测试工具主要使用到的测试工具有：扫描工具、渗透测试工具、抓包工具、漏洞利用验证工具等。具体描述如下表：表3Error! Bookmark not defined.:测试工具序号工具名称工具描述1绿盟漏洞扫描系统脆弱性扫描2科莱网络协议分析工具脆弱性扫描3Nmap端口扫描4Burp SuiteWEB渗透集成工具2.3 评分方法分为符合性检测和风险评估两部分工作。网络单元安全防护检测评分符合性评测得分60风险评估得分40.其中符合性评测评分和风险评估评分均采用百分制。2.3.1 符合性评测评分方

20、法符合性评测评分依据网络单元符合性评测表中所列制度、措施的符合情况计分，其中每个评测项对应分值,由100分除以符合性评测表中评测项总数所得。2.3.2 风险评估评分方法网络单元风险评估首先基于技术检测中发现的安全隐患的数量、位置、危害程度进行一次扣分；然后依据发现的安全隐患是否可被技术检测单位利用进行二次扣分。风险评估评分流程具体如下。1、一次扣分在技术检测时，每发现一个安全隐患，根据其所处的位置及危害程度扣除相应分值。各类安全隐患的扣分值如表32所示。表32 风险评估安全隐患扣分表安全隐患类型重要设备【注1】其它设备高危漏洞【注2】中危漏洞【注2】弱口令其它安全隐患【注3】注1：重要设备包括

21、内外网隔离设备、内部安全域划分设备、互联网直联设备、网络业务核心设备。注2:中高危漏洞以国内外权威的CVE漏洞库和国家互联网应急中心CNVD漏洞库为基本判断依据;对于高危Web安全隐患,以国际上公认的开放式Web应用程序安全项目（OWASP,Open Web Application Security Project）确定最新的Top 10中所列的WEB安全隐患判断作为判断依据。注3:其它安全隐患指可能导致用户信息泄露、重要设备受控、业务中断、网络中断等重大网络安全事件的隐患.2、二次扣分在一次扣分剩余得分的基础上,依据网络单元是否已被攻击入侵或发现的安全隐患是否可被技术检测单位利用，进行二次扣

22、分.具体扣分步骤如下：如通过技术检测，发现网络单元中存在恶意代码，或已被入侵而企业尚未发现并处置，扣除一次扣分后剩余得分的40%.如通过技术检测，从网络单元外获取网络单元内设备的管理员权限或获取网络单元内数据库信息，扣除一次扣分后剩余得分的40。如通过技术检测,从网络单元内获取设备的管理员权限或获取数据库信息，扣除一次扣分后剩余得分的20%。最后剩余分数即为风险评估得分.第3章 测试内容3.1 测试内容概述分为符合性评测和安全风险评估两部分，符合性评测具体内容为：业务安全、网络安全、主机安全、中间件安全、安全域边界安全、集中运维安全管控系统安全、灾难备份及恢复、管理安全、第三方服务安全状况。安

23、全风险评估主要通过技术检测发现网络单元内是否存在中高危安全漏洞、弱口令，以及可能导致用户信息泄露、重要设备受控、业务中断、网络中断等重大网络安全事件的隐患,检测是否存在恶意代码或企业尚未知晓的入侵痕迹，检测是否可以获取设备的管理员权限、数据库等.表4Error! Bookmark not defined.:网络架构测试对象序号测试对象描述1IDC检测系统网络架构的合理性表31：IDC网络设备列表设备名称型号IP地址核心路由器表43：IDC网管系统主机列表主机名称型号IP地址系统软件用途数据库服务器Windows 2003数据库服务器应用服务器Windows 2003应用服务器通讯服务器Wind

24、ows 2003通讯服务器流量服务器Windows 2003流量服务器业务/门户管理服务器Windows 2003业务/门户管理服务器表44:IDC网管系统列表系统名称主要功能IDC综合运营管理系统3.2 扫描和渗透测试接入点选择从互联网和内网区域的测试点模拟外部用户与内部托管用户进行渗透测试，并从互联网、托管用户区的测试点进行漏洞扫描。3.3 通信网络安全管理审核该测试范围涉及IDC安全管理审核,主要内容包括：安全管理制度、安全管理机构、人员安全管理、安全建设管理、安全运维管理、灾难备份、应急预案等相关制度管理文档。第4章 符合性评测结果本次符合性评分主要依据网络单元符合性评测表的符合情况得

25、分,其中每个评测项对应分值，由100分除以符合性评测表中评测项总数所得。本次对IDC系统符合性检测项数为89项，单项分值为(100/89）1.12分。4.1 业务安全序号检查内容检查点评测结果分值实际扣分说明1应按照合同保证IDC用户业务的安全；是否按照合同要求保证IDC用户业务安全符合1。12 0与用户签署相关协议，合同中对网络安全及业务安全进行相关描述和约定。但目前客户没有提出过单独的业务安全要求4.2 网络安全序号检查内容检查点评测结果分值实际扣分说明5审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息.审计记录是否包括事件的日期和时间、用户、事件类型、事

26、件是否成功及其他与审计相关的信息符合1。12 0IDC内网络设备syslog审计日志存储在本机中,日志记录信息包含事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息4.3 主机安全序号评测内容评测项评测结果分值实际扣分说明1应对登录操作系统和数据库系统的用户进行身份标识和鉴别；是否对登录操作系统和数据库系统的用户进行身份标识和鉴别符合1。120操作系统和数据库系统自身实现对用户的身份标识和鉴别功能4.4 中间件安全序号检查内容检查点评测结果分值实际扣分说明1”应实现操作系统和中间件用户的权限分离,中间件应使用独立用户;应实现中间件用户和互联网数据中心IDC应用程序用户的权限分

27、离是否实现操作系统和中间件用户的权限分离，中间件是否使用独立用户不适用N/AN/A网管系统使用CS架构，无中间件4.5 安全域边界安全序号检查内容检查点评测结果分值实际扣分说明6启用其它设备(主机隔离等）进行安全边界划分、隔离的应尽量实现严格的访问控制策略查看配置并技术检测验证访问控制措施符合1。120使用交换机ACL规则进行访问控制4.6 集中运维安全管控系统安全序号评测内容评测项评测结果分值实际扣分说明1互联网数据中心（IDC）集中运维安全管控系统应与提供互联网数据中心（IDC）各种服务的互联网数据中心（IDC）基础设施隔离,应部署在不同网络区域，网络边界处设备应按不同互联网数据中心（ID

28、C）业务需求实施访问控制策略，应只开放管理所必须的服务及端口，避免开放较大的IP地址段及服务;通过技术测试检验IDC集中运维安全管控系统与IDC基础设施的网络隔离是否符合安全策略符合1。120使用独立网络区域，在E8080E上进行访问控制策略,不允许其他网络对网管区域进行访问4.7 灾难备份及恢复序号评测内容评测项评测结果分值实际扣分说明2互联网数据中心IDC网络灾难恢复时间应满足行业管理、网络和业务运营商应急预案的相关要求。互联网数据中心IDC网络灾难演练恢复时间是否满足行业管理和企业应急预案的相关要求符合1.12 0定期进行各项演练,按客户重要程度不同在一定时间内恢复,满足要求4.8 管理

29、安全序号评测内容评测项评测结果分值实际扣分说明1至少覆盖但不限于安全管理制度、安全管理机构、人员安全管理、安全建设管理、安全运维管理等管理方面；是否包含至少安全管理制度、安全管理机构、人员安全管理、安全建设管理、安全运维管理等内容符合1.12 0制定了相应管理制度，包含安全管理制度、安全管理机构、人员安全管理、安全建设管理、安全运维管理等内容4IDC应有介质存取、验证和转储管理制度，确保备份数据授权IDC是否有介质存取、验证和转储管理制度，确保备份数据授权符合1。12 0制定了IDC灾难备份与恢复管理办法规定了相应内容4.9 第三方服务安全序号评测内容评测项评测结果分值实际扣分说明1应确保安全

30、服务商的选择符合国家的有关规定；是否将通过中国通信企业协会通信网络安全服务能力评定列为外部安全服务提供商招标条件之一符合1。12 0由提供风险评估的第三方服务,符合相应要求。第5章 风险评估结果本次章节评分主要依据网络和系统安全防护检查评分方法，对技术检测中发现的安全隐患的数量、位置、危害程度进行扣分。5.1 存在的安全隐患1. 网管系统监控终端192.168存在的主机弱口令,可直接登录系统网管系统监控终端192.168存在的主机弱口令PC/000,可直接登录系统获取系统权限导致服务器受控，详见附录B。危害程度:弱口令所处位置：其他设备扣分：1分建议：提示用户修改初始口令，口令应具有一定复杂度

31、。第6章 综合评分6.1 符合性得分本次测试对IDC系统进行符合项检测，共检测89项，每项分值为1.12（100/89),其中项不符合要求，符合性得分为分。6.2 风险评估本次主要通过系统应用层扫描、手工核查、内外网渗透对IDC系统进行安全风险评估，共发现2个安全隐患：第一次扣分情况如下：1005=95分安全隐患利用第二次扣分：通过技术检测,从网络单元内获取服务器192。168。2.11的管理员权限,导致服务器受控，扣除一次扣分后剩余得分的20。6.3 综合得分对IDC系统的68项符合性评测和存在的安全隐患进行评估,IDC系统网络单元安全防护检测评分为：附录A 设备扫描记录表A-1信息汇总表I

32、P地址操作系统漏洞风险值配置风险值总风险值危险程度192.168。2.12Windows2无2非常安全Windows2无2非常安全192。168。2.11Windows2无2非常安全住建局网络信息系统安全自查报告我局对网络信息安全系统工作一直十分重视，成立了专门的领导组，建立健全了网络安全保密责任制和有关规章制度，由局信息中心统一管理，各科室负责各自的网络信息安全工作。严格落实有关网络信息安全保密方面的各项规定，采取了多种措施防范安全保密有关事件的发生，总体上看，我局网络信息安全保密工作做得比较扎实,效果也比较好,近年来未发现失泄密问题。一、计算机涉密信息管理情况今年以来，我局加强组织领导，强

33、化宣传教育，落实工作责任,加强日常监督检查，将涉密计算机管理抓在手上。对于计算机磁介质(软盘、U盘、移动硬盘等）的管理，采取专人保管、涉密文件单独存放，严禁携带存在涉密内容的磁介质到上网的计算机上加工、贮存、传递处理文件，形成了良好的安全保密环境。对涉密计算机（含笔记本电脑）实行了与国际互联网及其他公共信息网物理隔离，并按照有关规定落实了保密措施，到目前为止，未发生一起计算机失密、泄密事故;其他非涉密计算机（含笔记本电脑）及网络使用，也严格按照局计算机保密信息系统管理办法落实了有关措施，确保了机关信息安全。二、计算机和网络安全情况一是网络安全方面。我局配备了防病毒软件、网络隔离卡，采用了强口令

34、密码、数据库存储备份、移动存储设备管理、数据加密等安全防护措施，明确了网络安全责任，强化了网络安全工作。二是信息系统安全方面实行领导审查签字制度。凡上传网站的信息，须经有关领导审查签字后方可上传；二是开展经常性安全检查，主要对SQL注入攻击、跨站脚本攻击、弱口令、操作系统补丁安装、应用程序补丁安装、防病毒软件安装与升级、木马病毒检测、端口开放情况、系统管理权限开放情况、访问权限开放情况、网页篡改情况等进行监管，认真做好系统安全日记。三是日常管理方面切实抓好外网、网站和应用软件“五层管理”，确保“涉密计算机不上网，上网计算机不涉密”，严格按照保密要求处理光盘、硬盘、U盘、移动硬盘等管理、维修和销

35、毁工作。重点抓好“三大安全”排查：一是硬件安全，包括防雷、防火、防盗和电源连接等；二是网络安全，包括网络结构、安全日志管理、密码管理、IP管理、互联网行为管理等；三是应用安全，包括网站、邮件系统、资源库管理、软件管理等。三、硬件设备使用合理，软件设置规范，设备运行状况良好。我局每台终端机都安装了防病毒软件,系统相关设备的应用一直采取规范化管理，硬件设备的使用符合国家相关产品质量安全规定,单位硬件的运行环境符合要求，打印机配件、色带架等基本使用设备原装产品；防雷地线正常，对于有问题的防雷插座已进行更换，防雷设备运行基本稳定,没有出现雷击事故;UPS运转正常.网站系统安全有效，暂未出现任何安全隐患

36、.四、通讯设备运转正常我局网络系统的组成结构及其配置合理，并符合有关的安全规定;网络使用的各种硬件设备、软件和网络接口也是通过安全检验、鉴定合格后才投入使用的,自安装以来运转基本正常.五、严格管理、规范设备维护我局对电脑及其设备实行“谁使用、谁管理、谁负责”的管理制度。在管理方面我们一是坚持“制度管人”。二是强化信息安全教育、提高员工计算机技能.同时在局开展网络安全知识宣传,使全体人员意识到了，计算机安全保护是“三防一保”工作的有机组成部分.而且在新形势下，计算机犯罪还将成为安全保卫工作的重要内容.在设备维护方面，专门设置了网络设备故障登记簿、计算机维护及维修表对于设备故障和维护情况属实登记，

37、并及时处理。对外来维护人员，要求有相关人员陪同，并对其身份和处理情况进行登记,规范设备的维护和管理。六、网站安全及我局对网站安全方面有相关要求，一是使用专属权限密码锁登陆后台;二是上传文件提前进行病素检测;三是网站分模块分权限进行维护，定期进后台清理垃圾文件;四是网站更新专人负责。七、安全制度制定落实情况为确保计算机网络安全、实行了网络专管员制度、计算机安全保密制度、网站安全管理制度、网络信息安全突发事件应急预案等以有效提高管理员的工作效率.同时我局结合自身情况制定计算机系统安全自查工作制度，做到四个确保:一是系统管理员于每周五定期检查中心计算机系统,确保无隐患问题；二是制作安全检查工作记录，

38、确保工作落实；三是实行领导定期询问制度，由系统管理员汇报计算机使用情况，确保情况随时掌握；四是定期组织全局人员学习有关网络知识，提高计算机使用水平，确保预防。八、安全教育为保证我局网络安全有效地运行，减少病毒侵入，我局就网络安全及系统安全的有关知识进行了培训.期间，大家对实际工作中遇到的计算机方面的有关问题进行了详细的咨询，并得到了满意的答复.九、自查存在的问题及整改意见我们在管理过程中发现了一些管理方面存在的薄弱环节，今后我们还要在以下几个方面进行改进。（一)对于线路不整齐、暴露的，立即对线路进行限期整改，并做好防鼠、防火安全工作.（二）加强设备维护，及时更换和维护好故障设备。(三）自查中发

39、现个别人员计算机安全意识不强。在以后的工作中，我们将继续加强计算机安全意识教育和防范技能训练，让员工充分认识到计算机案件的严重性。人防与技防结合,确实做好单位的网络安全工作.住建局信息中心二一一年六月六日第7章 *第8章 网络安全自查报告按照*卫计委发【*】*号文件通知精神，我院领导高度重视，成立以主管院长*为组长,副院长*为副组长，其他科室部门负责人为成员网络安全领导工作小组,召开相关科室负责人会议,深入学习和认真贯彻落实文件精神,充分认识到开展网络与信息安全自查工作的重要性和必要性，对自查工作做了详细部署，由主管院长负责安排信息安全自查工作，并就自查中发现的问题认真做好相关记录,及时整改，

40、完善。现将我院信息安全工作自查情况汇报如下：一、 网络安全管理:我院的网络分为互联网和院内局域网，两网络实现物理隔离，以确保两网能够独立、安全、高效运行。重点抓好“三大安全”排查。 网络安全:包括网络结构、密码管理、IP管理、互联网行为管理等；网络结构包括网络结构合理,网络连接的稳定性，网络设备（交换机、路由器、等）的稳定性。互联网和院内局域网均施行固定IP地址,由医院统一分配、管理，不允许私自添加新IP，未经分配的IP均无法实现上网.二、 数据库安全管理： 我院目前运行的数据库为*数据库,是医院诊疗、划价、收费、查询、统计等各项业务能够正常进行的基础，为确保医院各项业务正常、高效运行，数据库

41、安全管理是极为有必要的。数据库容灾备份是数据库安全管理中极为重要的一部分,是数据库有效、安全运行的最后保障，也是保障数据库信息能够长期保存的有效措施。我院采用的备份类型为完全备份,系统管理员手动将数据库中数据备份到移动硬盘上。三、软件管理： 目前我院在运行的软件主要分为三类：*管理信息系统、常用办公软件和杀毒软件。*管理信息系统是我院日常业务中最主要的软件,是保障医院诊疗活动正常进行的基础,自上线以来，运行很稳定,未出现过重大安全问题，并根据业务需要,不断更新充实。对于新入职的员工，上岗前会进行一次培训，常用办公软件均由医院信息系统管理人员统一安装,维护。杀毒软件是保障电脑系统防病毒、防木马、

42、防篡改、防瘫痪、防攻击、防泄密的有效工具.所有电脑,均安装了杀毒软件（360安全卫士、360杀毒等），以保证杀毒软件的防御能力始终保持在很高的水平。三、 应急处置:我院*管理信息系统服务器运行安全、稳定，我院并配备了发电机,可以保证在断电情况下,可维持服务器正常运行.虽然*管理信息系统长期以来，运行良好,服务器未发生过长时间宕机时间，但医院仍然制定了应急处置预案，并对收费操作员和护士进行过培训,如果医院出现大面积、长时间停电情况，新益华系统无法正常运行，将临时开始手工收费、记账、发药,以确保诊疗活动能够正常、有序地进行，待到系统恢复正常工作时，再补打发票、补记收费项目.总体来说，我院的网络与信息安全工作做得很成功的,从未发生过重大的安全事故，各系统运转稳定，各项业务能够正常运行.但自查中也发现了不足之处,如目前医院信息技术人员少，信息安全力量有限；信息安全意识还不够,个别科室缺乏维护信息安全的主动性和自觉性。今后要加强信息技术人员的培养,更进一步提高信息安全技术水平;加强全院职工的信息安全教育，提高维护信息安全的主动性和自觉性;加大对医院信息化建设投入,提升计算机设备配臵，进一步提高工作效率和系统运行的安全性. *