《信息安全自查操作指南》由会员分享，可在线阅读，更多相关《信息安全自查操作指南（36页珍藏版）》请在金锄头文库上搜索。
1、附件 1 ：信息安全自查操作指南2012 年 7 月概 述 1一、自查目的 1二、自查工作流程 1环节一自查工作部署 3一、研究制定自查实施方案 3二、自查工作动员部署 4环节二基本情况自查 6一、系统基本情况自查 6二、安全管理情况自查 14三、技术防护情况自查 19四、应急处置及容灾备份情况自查 22五、安全技术检测 23环节三问题与风险分析 24一、主要问题分析 24二、国外依赖度分析 24三、主要威胁分析 25环节四自查工作总结 27一、自查工作总结 27二、自查情况上报 27有关工作要求 28附件 : (1)信息安全自查报告编写参考格式 30(2)信息安全检查情况报告表 32概述为指
2、导部直属单位信息安全自查工作， 依据 国务院办公厅关于开展重点领域网络与信息安全检查行动的通知 （国办函 2012 102 号）与关于开展部直属单位重点网络与信息安全检查行动的通知 （以下简称检查通知 ） ，制定本指南。本指南主要用于部直属单位及其下属单位 （以下统称自查单位）在开展信息安全自查具体工作时参考。一、自查目的通过开展安全自查， 进一步梳理、 掌握本单位重要网络与信息系统基本情况， 查找突出问题与薄弱环节， 分析面临的安全威胁与风险， 评估安全防护水平， 有针对性地采取防范对策与改进措施， 加强网络与信息系统安全管理与技术防护， 促进安全防护能力与水平提升， 预防与减少重大信息安全
3、事件的发生， 切实保障本单位网络与信息安全。二、自查工作流程信息安全自查主要包括自查工作部署、 基本情况自查、 问题与风险分析、自查工作总结等4 个环节（见图 1 ） 。自查工作环节主要工作内容问题*改问题整改图1自查工作流程环节一 自查工作部署一、研究制定自查实施方案认真学习检查通知 ，深刻领会文件精神与有关要求，研究制定自查实施方案，并报主管领导批准。（一）自查实施方案应当明确的内容自查实施方案应当明确以下内容： （ 1）自查工作负责人、组织单位与实施机构。 （ 2 ）自查范围与自查对象。 （ 3）自查工作的组织方式。 （ 4 ）自查工作时间进度安排。1. 关于自查范围。此次自查范围是部直
4、属单位及其下属单位重点网络与信息系统（含工业控制系统，以下同） 。检查的重点是事关国家安全与社会稳定， 对地区、 部门或行业正常生产生活具有较大影响的重要网络与信息系统。2. 关于自查对象。主要指网络与信息系统安全管理与防护涉及到的信息安全综合管理部门、信息化部门、业务部门、生产管理部门、财务部门、人事部门等相关部门。各单位可根据实际情况确定具体的自查对象。3. 关于自查工作组织。自查单位可成立自查工作组开展检查， 也可指定专门机构负责自查实施工作。 自查工作组可由本单位信息化与信息安全部门以及相关业务部门中熟悉业务、 具备信 息安全知识、 技术能力较强的人员， 以及本单位相关技术支撑机构业务
5、骨干等组成。 单位内各部门可指定人员负责协调配合与联络工作。 对于有工业控制系统的单位， 可考虑生产管理部门参与工业控制系统信息安全检查。对于信息系统复杂、 自查工作涉及部门多的单位， 可根据需要成立自查工作领导小组，负责自查工作的组织协调与资源配置。 领导小组组长可由本单位信息安全主管领导担任， 领导小组成员可包括信息安全综合管理部门负责人、信息化部门负责人，以及其他相关部门负责人（如人事部门、财务部门、业务部门、生产管理部门领导）等。（二）应当注意的有关事项1. 纳入检查范围的网络与信息系统从安全防护的角度应具有相对的独立性。从安全防护的角度判断网络与信息系统独立性的方法如下：根据系统所承
6、担业务的独立性、 责任主体的独立性、 网络边界的独立性、 安全防护设备设施的独立性四个因素， 对网络与信息系统进行全面梳理并综合分析，划分出相对独立的网络与信息系统，并形成网络与信息系统清单，以便于更好地界定检查范围。2. 关于重要网络与信息系统，可从系统特征的角度，立足本单位实际，参考以下标准进行判定：（ 1）业务依赖度高。（ 2）数据集中度高（全国、流域数据集中）。（ 3）实时性要求高。（ 4 ）系统关联性强（发生重大信息安全事件后，会对与其相连的其他系统造成较大影响，并产生连片连锁反应）（ 5 ）直接面向社会公众提供服务，用户数量庞大，覆盖范围广。（ 6）灾备等级高（系统级灾备）。3.
7、关于重要工业控制系统，可从发生信息安全事件造成危害的角度，参考以下标准进行判定：（ 1 ）发生重大信息安全事件，致使系统出现严重故障后，可能导致 10 人以上死亡或50 人以上重伤。（ 2 ）发生重大信息安全事件，致使系统出现严重故障后，可能导致5000 万元以上直接经济损失。（ 3 ）发生重大信息安全事件，致使系统出现严重故障后，可能影响100 万人以上正常生活。（ 4 ）发生重大信息安全事件，致使系统出现严重故障后，可能对与其相连的其他系统造成影响，并产生连片连锁反应。（ 5 ）发生重大信息安全事件，致使系统出现严重故障后，可能对生态环境造成严重破坏。（ 6 ）发生重大信息安全事件，致使系
8、统出现严重故障后，可能对国家安全与社会稳定产生重大影响。二、自查工作动员部署自查单位可通过召开会议、 下发文件等方式对自查工作进行部署，布置自查工作任务。相关人员要切实落实自查工作责任，各司其职，形成合力，共同推进自查工作。环节二基本情况自查一、系统基本情况自查（一）系统特征情况1 .查看系统规划设计方案、安全防护规划设计方案、网络 拓扑图等，核实系统的实时性、服务对象、连接互联网情况、数 据集中情况、灾备情况等基本情况，记录检查结果（表 1）c表1系统基本情况检查记录表序 号系统名称实时性服务 对象连接互联网情况数据集中 情况灾备情况实 时非 实 时面向社会公众不面向社会公众采用 逻辑 隔离
9、 措施 连接采用 逻辑 强隔 离逻辑强隔离指使用逻辑强隔离设备（使用正向、反向或双向网闸）进行的网络隔离措 施连 接不 连 接全 国 集 中省 级 集 中不 集 中系 统 级 灾 备仅 数 据 灾 备无 灾 备1232 .根据上述系统基本情况核查结果，分析系统停止运行后对主要业务的影响程度、系统遭受攻击破坏后对社会公众的影响程度等安全特征，记录分析结果（表 2）。（1）关于系统停止运行后对主要业务的影响程度判定标准如下:影响程度高： 系统停止运行后， 主要业务无法开展或对主要业务运行产生严重影响；影响程度中： 系统停止运行后， 对主要业务运行有一定影响，可用手工等传统方式替代；影响程度低： 系
10、统停止运行后， 对主要业务运行影响较小或无影响。（ 2 ）关于系统遭受攻击破坏后对社会公众的影响程度判定标准如下：影响程度高：系统遭受攻击破坏，造成系统无法正常运行、被劫持、信息泄露等后果后，对社会公众正常生活、公众利益等产生严重影响；影响程度中：系统遭受攻击破坏，造成系统无法正常运行、被劫持、信息泄露等后果后，对社会公众正常生活、公众利益等产生一定影响；影响程度低：系统遭受攻击破坏，造成系统无法正常运行、被劫持、信息泄露等后果后，对社会公众正常生活、公众利益等影响较小或无影响。表2系统特征情况分析记录表序 号系统名称系统对主要业务的 影响程度系统对社会公众的 影响程度高中低高中低123（二）
11、系统构成情况1 .重点检查主要硬件设备类型、数量、生产商（品牌）情 况，记录检查结果（表 3）。硬件设备类型主要有：服务器、路由器、交换机、防火墙、 磁盘阵列、磁带库及其他主要安全设备。硬件设备生产商（品牌）按国内、国外两类进行记录。其中, 国内主要有浪潮、曙光、联想、方正、华为、中兴、天融信、启 明星辰、绿盟、联想网御等，国外主要有 旧M、HP、DELL、Cisco、 Juniper、H3C 等。2 .重点检查主要软件设备类型、套数、生产商（品牌）情 况，记录检查结果（表 4）。软件设备类型主要有：操作系统、数据库及主要业务应用系 统。软件设备生产商（品牌）按国内、国外两类进行记录。其中,
12、国内主要有红旗、麒麟、金仓、达梦等，国外主要有Windows、RedHat、HP-Unix、AIX、Solaris、Oracle、DB2、SQL Server 等。（三）工业控制系统类型与构成情况通过调阅资产清单、现场查看、上机检查等方式，检查工业控制系统类型与构成情况，汇总记录检查结果（表 5）。工业控制系统类型主要包括数据采集与监控系统、分布式控制系统、过程控制系统、可编程控制器、就地测控设备（仪表、 智能电子设备、远端设备）等。工业控制系统软硬件主要包括： 应用服务器-工程师工作站（组态监控软件、系统软件、PC机/服务器）、数据服务器（数据库软件、系统软件、PC机/服务器）等。表3信息系
13、统主要硬件检查记录表检查项检查结果主 要 硬 件服务器国内品牌数量浪潮曙光联想方正其他：1 .品牌,数量一2 .品牌,数量（如有更多，请另列表）国外品牌数量IBMHPDELL其他：1 .品牌,数量一2 .品牌,数量（如有更多，请另列表）路由器国内品牌数量华为中兴其他：1 .品牌,数量一2 .品牌,数量一（如有更多，请另列表）国外品牌数量CiscoJuniperH3c其他：1 .品牌,数量2 .品牌,数量（如有更多，请另列表）交换机国内品牌数量华为中兴其他：1 .品牌,数量2 .品牌,数量（如有更多，请另列表）国外品牌数量CiscoJuniperH3C其他：1 .品牌,数量2 .品牌,数量（如有更多，请另列表）防火墙国内1 .品牌,数量2 .品牌,数量 （如有更多，请另列表）国外1 .品牌,数量2 .品牌,数量 （如有更多，请另列表）其他国内1 .设备类型：,品牌,数量2 .设备类型：,品牌,数量（如有更多，请另列表）国外1 .设备类型：,品牌,数量一2 .设备类型：,品牌,数量一（如有更多，请另列表）表4信息系统主要软件检查记录表检查项
