xx互联网信息网络安全自查报告.docx

XX 互联网信息网络安全自查报告 根据 xxx5 年联合开展网络信息安全和保密检查工作方 案精神，我局高度重视，及时部署，对照做好网络信息安 全工作的要求，认真开展自查工作，现将自查情况报告如 下： 一、自查情况 (一)加强领导、健全机制。近年来，我局把做好网络 信息安全管理工作作为一项重要任务，按照“谁主管谁负 责、谁使用谁负责、谁运行谁负责”的原则，建立健全了 网络信息安全责任制。成立了网络信息安全管理工作领导 小组，具体负责组织和实施全局网络信息安全管理和保密 审查工作，对通过网络发布的政府信息是否涉密进行严格 把关。目前，我局已形成了主要领导亲自抓，分管领导直 接抓，专职人员具体抓，机关各科室、直属各单位各负其 职并全力配合的工作机制，确保网络信息安全和保密审查 工作落到实处。并进一步做好网络和信息安全事件应急和 通报工作，落实技术支撑队伍，建立应急预案处理机制， 提高应急响应处理能力。 (二)完善制度，规范管理。为进一步规范网络信息安 全管理工作，我局制定了汕尾市商务局门户网站管理办 法 、 汕尾市商务局政府信息发布保密审查制度 、 汕尾 市商务局计算机信息系统安全保密管理制度等规章制度， 进一步明确有关保密审查的职责分工、审查程序和责任追 究办法。在通过网络公开政府信息前，依照中华人民共 和国保守国家秘密法以及其他法律、法规和国家有关规 定，局办公室负责对拟公开的政府信息的保密性及合法性 分别进行审查，确保不发生泄密事件，做到以制度管人、 按程序办事。 (三)加强网络信息安全防护体系建设。我局参照国家 信息系统等级保护或涉密信息系统分级保护等标准要求， 加强了网络层、应用层、数据层安全防护措施，确保信息 系统防泄密、防篡改、防攻击的安全策略及软硬件设备正 常运行。 一是在市保密局的指导下，涉密计算机经过了信息系 统安全技术检查，并安装了防火墙，同时配置安装了专业 杀毒软件，加强了在防篡改、防病毒、防攻击、防瘫痪、 防泄密等方面的有效性。 二是涉密计算机信息系统处于物理隔离未接入互联网， 除专人使用和管理之外，任何人不得接触或查看涉密计算 机信息系统。禁止在非涉密计算机及信息系统内保存或流 转任何涉密文件和内部敏感信息，所有涉密文件和内部敏 感信息一律保存在涉密计算机信息系统中。涉密计算机信 息系统配备单独的移动存储介质，不使用本局内其他科室 的移动存储介质，禁止使用来历不明或未经杀毒的一切移 动存储介质。 三是除政务信息公开场所个别使用无线路由外，局其 他一切硬件设施均采用有线连接，有效地避免了信息在无 线局域网中泄漏。 四是各科室在安装杀毒软件时采用国家主管部门批准 的查毒软件适时查毒和杀毒，不使用来历不明、未经杀毒 的软件、软盘、U 盘、光盘等载体，不访问非法网站，自觉 严格控制和阻断病毒来源。在单位外的 U 盘，不得携带到 单位内使用，计算机在局域网中正常使用多功能一体机进 行打印、扫描等，都是公开的、未涉密的。 (四)加强门户网站安全管理工作。首先，加强对门户 网站信息发布的审查和监控工作。明确办公室负责网站维 护和技术支持、其它各类应用信息系统的监控和维护，并 指定专人负责网站后台管理、网站信息上传，严禁涉密信 息泄漏。严格执行政府信息公开保密审查制度和网络信息 发布登记制度，坚持“先审查、后公开”和“一事一审” 原则，对拟通过网站公开的公文、信息是否涉密进行严格 把关。 其次，进一步提升网站服务水平。近年来，我局对门 户网站“汕尾招商网”的版式不断更新优化、调整栏目， 及时转载市委、市政府重大活动和决策部署信息;及时反馈 本局贯彻落实上级决策、部署情况;及时发布商务运行情况、 工作动态，为全市商务工作提供信息保障。xxx5 年又在 “办事大厅”栏目开设了办事指南、资料下载、表格下载 等功能，主要针对外经贸主要业务工作进行在线服务;在 “汕尾招商”栏目，增添投资环境宣传图片，并与“汕尾 招商信息云平台”系统进行超链接，图文并茂地宣传汕尾 投资环境，进一步扩大宣传推介层面。目前， “汕尾招商网” 已成为我市集宣传推介、投资引导、政策咨询、项目进度、 经济运行于一体的网络信息平台。 二、存在问题 (一)规章制度体系初步建立，但还不够完善，信息系 统安全体系未能全方位覆盖，工作机制有待进一步完善。 (二)个别干部职工网络信息安全意识不强，缺乏主动 性和自觉性。 (三)网络安全技术管理人员配备较少，遇到恶意攻击、 计算机病毒侵袭等突发事件处理能力不够，信息系统安全 方面投入的力量有限。 三、整改措施 (一)完善规章制度，继续检查各个环节安全策略与安 全制度，对其中不完善部分进行重新修订与修改，并不定 期对安全制度执行情况进行检查，确保网络信息安全制度 落到实处。 (二)做好网络安全宣传教育工作，增强全局干部职工 在推行政务公开、政府信息公开中的保密意识，进一步提 高网络安全工作的主动性和自觉性，把计算机安全保护知 识真正融于实际工作中。 (三)加大对网络线路、信息系统的维护和保养，及时 更新和维护好故障设备，以免出现重大安全隐患，为网络 的稳定运行提供硬件保障，提高安全工作的现代化水平。 (四)加强对计算机操作人员的操作技术、网络安全技 术方面的培训，强化对网络病毒、信息安全威胁的防范意 识，提高安全防范和处理能力，做到早发现，早报报告， 早处理。 根据上级网络安全管理文件精神，桃江县教育局成立 了网络信息安全工作领导小组，在组长曾自强副局长的领 导下，制定计划，明确责任，具体落实，对我系统网络与 信息安全进行了一次全面的调查。发现问题，分析问题， 解决问题，确保了网络能更好地保持良好运行，为我县教 育发展提供一个强有力的信息支持平台。 一、加强领导，成立了网络与信息安全工作领导小组 为进一步加强全系统网络信息系统安全管理工作，我 局成立了网络与信息系统安全保密工作领导小组，做到分 工明确,责任具体到人。安全工作领导小组，组长曾自强， 副组长吴万夫，成员有刘林声、王志纯、苏宇。分工与各 自的职责如下：曾自强副局长为我局计算机网络与信息系 统安全保密工作第一责任人，全面负责计算机网络与信息 安全管理工作。办公室主任吴万夫分管计算机网络与信息 安全管理工作。刘林声负责计算机网络与信息安全管理工 作的日常事务，上级教育主管部门发布的信息、文件的接 收工作。王志纯负责计算机网络与信息安全管理工作的日 常协调、督促工作。苏宇负责网络维护和日常技术管理工 作。 二、完善制度，确保了网络安全工作有章可循 为保证我系统计算机网络的正常运行与健康发展，加 强对校园网的管理，规范网络使用行为，根据中国教育 和科研计算机网络管理办法(试行) 、 关于进一步加强桃 江县教育系统网络安全管理工作的通知的有关规定，制 定了桃江县教育系统网络安全管理办法 、 上网信息发 布审核登记表 、 上网信息监控巡视制度 、 桃江县教育 系统网络安全管理责任状等相关制度、措施，确保网络 安全。 三、强化管理，加强了网络安全技术防范措施 我系统计算机网络加强了技术防范措施。一是安装了 卡巴斯基防火墙，防止病毒、反动不良信息入侵网络。二 是安装瑞星和江民两种杀毒软件，网络管理员每周对杀毒 软件的病毒库进行升级，及时进行杀毒软件的升级与杀毒， 发现问题立即解决。三是网络与机关大楼避雷网相联，计 算机所在部门加固门窗，购买灭火器，摆放在显著位置， 做到设备防雷、防盗、防火，保证设备安全、完好。四是 及时对服务器的系统和软件进行更新。五是密切注意 CERT 消息。六是对重要文件，信息资源做到及时备份。创建系 统恢复文件。 我局网络安全领导小组每季度对全系统机房、学校办 公用机、多媒体教室及学校电教室的环境安全、设备安全、 信息安全、管理制度落实情况等内容进行一次全面的检查， 对存在的问题及时进行纠正，消除安全隐患。 根据衡阳市人民政府办公室关于开展全市重点领域 网络与信息安全检查的通知精神，9 月 10 日，由市电政 办牵头，组织对全市政府信息系统进行自查工作，现将自 查情况总结如下： 一、网络与信息安全自查工作组织开展情况 9 月 10 日起，由市电政办牵头，对各市直各单位当前 网络与信息安全进行了一次全面的调查，此次调查工作以 各单位自查为主，市电政办抽查为辅的方式进行。自查的 重点包括：电政办中心机房网络检修、党政门户网维护密 码防护升级，市直各单位的信息系统的运行情况摸底调查、 市直各单位客户机病毒检测，市直各单位网络数据流量监 控和数据分析等。 二、信息安全工作情况 通过上半年电政办和各单位的努力，我市在网络与信 息安全方面主要完成了以下工作： 1、所有接入市电子政务网的系统严格遵照规范实施， 我办根据常宁市党政门户网站信息发布审核制度 、 常 宁市网络与信息安全应急预案 、 “中国?常宁”党政门户 网站值班读网制度 、 “中国?常宁”党政门户网站应急管 理预案等制度要求，定期组织开展安全检查，确保各项 安全保障措施落实到位。 2、组织信息安全培训。面向市直政府部门及信息安全 技术人员进行了网站渗透攻击与防护、病毒原理与防护等 专题培训，提高了信息安全保障技能。 3、加强对党政门户网站巡检。定期对各部门子网站进 行外部 web 安全检查，出具安全风险扫描报告，并协助、 督促相关部门进行安全加固。 4、做好重要时期信息安全保障。采取一系列有效措施， 实行 24 小时值班制及安全日报制，与重点部门签订信息安 全保障承诺书，加强互联网出口访问的实时监控，确保十 八大期间信息系统安全。 三、自查发现的主要问题和面临的威胁分析 通过这次自查，我们也发现了当前还存在的一些问题： 1、部分单位规章制度不够完善，未能覆盖信息系统安 全的所有方面。 2、少数单位的工作人员安全意识不够强，日常运维管 理缺乏主动性和自觉性，在规章制度执行不严、操作不规 范的情况。 3、存在计算机病毒感染的情况，特别是 U 盘、移动硬 盘等移动存储设备带来的安全问题不容忽视。 4、信息安全经费投入不足，风险评估、等级保护等有 待加强。 5、信息安全管理人员信息安全知识和技能不足，主要 依靠外部安全服务公司的力量。 四、改进措施和整改结果 在认真分析、总结前期各单位自查工作的基础上，9 月 12 日，我办抽调 3 名同志组成检查组，对部分市直机关 的重要信息系统安全情况进行抽查。检查组共扫描了 18 个 单位的门户网站，采用自动和人工相结合的方式对 15 台重 要业务系统服务器、46 台客户端、10 台交换机和 10 台防 火墙进行了安全检查。 检查组认真贯彻“检查就是服务”的理念，按照衡 阳市人民政府办公室关于开展全市重点领域网络与信息安 全检查的通知要求对抽查单位进行了细致周到的安全巡 检，提供了一次全面的安全风险评估服务，受到了服务单 位的欢迎和肯定。检查从自查情况核实到管理制度落实， 从网站外部安全扫描到重要业务系统安全检测，从整体网 络安全评测到机房物理环境实地勘查，全面了解了各单位 信息安全现状，发现了一些安全问题，及时消除了一些安 全隐患，有针对性地提出了整改建议，督促有关单位对照 报告认真落实整改。通过信息安全检查，使各单位进一步 提高了思想认识，完善了安全管理制度，强化了安全防范 措施，落实了安全问题的整改，全市安全保障能力显著提 高。 五、关于加强信息安全工作的意见和建议 针对上述发现的问题，我市积极进行整改，主要措施 有： 1、对照衡阳市人民政府办公室关于开展全市重点领 域网络与信息安全检查的通知要求，要求各单位进一步 完善规章制度，将各项制度落实到位。 2、继续加大对机关全体工作人员的安全教育培训，提 高信息安全技能，主动、自觉地做好安全工作。 3、加强信息安全检查，督促各单位把安全制度、安全 措施切实落实到位，对于导致不良后果的安全事件责任人， 要严肃追究责任。 4、继续完善信息安全设施，密切监测、监控电子政务 网络，从边界防护、访问控制、入侵检测、行为审计、防 毒防护、网站保护等方面建立起全方位的安全防护体系。 5、加大应急管理工作推进力度，在全市信息安全员队 伍的基础上组建一支应急支援技术队伍，加强部门间协作， 完善应急预案，做好应急演练，将安全事件的影响降到最 低。 为落实“教育部办公厅关于开展网络安全检查的通知” (教技厅函 51 号)、 “教育部关于加强教育行业网络与信息 安全工作的指导意见”(教技 4 号)、陕西省教育厅“关于 开展全省教育系统网络与信息安全专项检查工作的通知” (陕教保【20xx】8 号)，全面加强我校网络与信息安全工作， 校信息化建设领导小组办公室于 9 月 16 日-25 日对全校网 络、信息系统和网站的安全问题组织了自查，现将自查情 况汇报如下： 一、 学校网络与信息安全状况 本次检查采用本单位自查、远程检查与现场抽查相结 合的方式，检查内容主要包含网络与信息系统安全的组织 管理、日常维护、技术防护、应急管理、技术培训等 5 各 方面，共涉及信息系统 28 个、各类网站 89 个。 从检查情况看，我校网络与信息安全总体情况良好。 学校一贯重视信息安全工作，始终把信息安全作为信息化 工作的重点内容。网络信息安全工作机构健全、责任明确， 日常管理维护工作比较规范;管理制度完善，技术防护措施 得当，信息安全风险得到有效降低;比较重视信息系统(网 站)系统管理员和网络安全技术人员培训，应急预案与应急 处置技术队伍有落实，工作经费有一定保障，基本保证了 校园网信息系统(网站)持续安全稳定运行。但在网络安全 管理、技术防护设施、网站建设与维护、信息系统等级保 护工作等方面，还需要进一步加强和完善。 二、20xx 年网络信息安全工作情况 1.网络信息安全组织管理 按照“谁主管谁负责、谁运维谁负责、谁使用谁负责” 的原则，学校网络信息安全工作实行“三级”管理。学校 设有信息化工作领导小组，校主要领导担任组长，信息化 工作办公室设在网教中心，中心主任兼办公室主任。领导 小组全面负责学校网络信息安全工作，授权信息办对全校 网络信息安全工作进行安全管理和监督责任。网教中心作 为校园网运维部门承担信息系统安全技术防护与技术保障 工作。各处室、学院承担本单位信息系统和网站信息内容 的直接安全责任。 2.信息系统(网站)日常安全管理 学校建有“校园网管理条例” 、 “中心机房安全管理制 度“、 “数据安全管理办法” 、 “网站管理办法” 、 “服务器托 管管理办法” 、 “网络故障处理规范”等系列规章制度。各 系统(网站)使用单位基本能按要求，落实责任人，较好地 履行网站信息上传审签制度、信息系统数据保密与防篡改 制度。日常维护操作较规范，多数单位做到了杜绝弱口令 并定期更改，严密防护个人电脑，定期备份数据，定期查 看安全日志等，随时掌握系统(网站)状态，保证正常运行。 3.信息系统(网站)技术防护 校园网数据中心建有一定规模的综合安全防护措施。 一是建有专业中心机房，配备视频监控、备用电力供 应设备，有防水、防潮、防静、温湿度控制、电磁防护等 措施，进出机房实行门禁和登记制度; 二是网络出口部署有安全系统，站群系统部署有应用 防火墙，并定期更新检测规则库，重要信息系统建立专网 以便与校园网物理隔离; 三是对服务器、网络设备、安全设备等定期进行安全 漏洞检查，及时更新操作系统和补丁，配置口令策略保证 更新频度; 四是全面实行实名认证制度，具备上网行为回溯追踪 能力; 五是对重要系统和数据进行定期备份，并建有灾备中 心。 4.信息安全应急管理 20xx 年制定了西北农林科技大学网络与信息安全突 发事件应急预案 。网教中心为应急技术支持单位，确保网 络安全事件的快速有效处置。 5.信息安全教育培训 20xx 年派员参加了陕西省信息安全保密培训。暑期处 级干部培训安排有信息安全与保密专题，每年组织全校网 管员技术培训，增强管理干部和技术人员的安全防范意识， 提高技术防护能力。 三、检查发现的主要问题 对照通知中的具体检查项目，我校在信息安全工 作上还存在一定的问题： 1.安全管理方面：网管员为兼职，投入精力难以保证， 部分网管员长时间未登录过自己管理的系统(网站)，无法 及时知晓已发生的安全事件。部分系统(网站)日常管理维 护不够规范，仍存在管理员弱口令、数据备份重视不够、 信息保密意识差等问题(20xx 年发生 2 起个人隐私信息上传 网站的事件)。 2.技术防护方面：校园网安全技术防护设施仍不足， 如缺少数据中心安全防御系统和审计系统，欠缺安全检测 设施，无法对服务器、信息系统(网站)进行安全漏洞扫描 与隐患检查。 3.应用系统(网站)方面：个别应用系统(网站)存在设 计缺陷和安全漏洞，容易发生安全事故。(经统计 20xx 年 以来 14 个网站发生安全事故 17 起，其中 11 起是因为网站 存在技术问题，如安全漏洞或设计缺陷)。 4.信息系统等级保护工作尚未全面开展。 5.部分院(系)管辖的机房或学习室尚未实行认证和审 计。 四、整改措施 针对存在的问题，学校信息化领导小组专门进行了研 究部署。 1.进一步完善网络信息安全管理制度，规范信息系统 和网站日常管理维护工作程序。加强网管员技术培训，提 高安全意识和技术能力。 2.继续完善网络信息安全技术防护设