信息安全系统检查操作指南设计(人行)

《信息安全系统检查操作指南设计(人行)》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、实用标准信息安全检查操作指南二〇一三年六月文档实用标准目录1概述11.1检查目的11.2检查工作流程12检查工作部署22.1制定检查方案22.2成立检查工作组22.3下达检查通知23信息系统基本情况梳理23.1基本信息梳理23.2系统构成情况梳理34日常工作情况检查54.1规章制度完整性检查54.2信息安全管理情况检查54.2.1组织管理情况检查54.2.2人员管理情况检查64.2.3资产管理情况检查74.2.4采购管理情况检查84.2.5外包服务管理情况检查94.2.6经费保障情况检查104.3安全

2、技术防护情况检查104.3.1物理环境安全情况检查104.3.2网络边界安全防护情况检查114.3.3关键设备安全防护情况检查114.3.4应用系统安全防护情况检查124.3.5终端计算机安全防护情况检查144.3.6存储介质安全防护情况检查154.3.7重要数据安全防护情况检查164.4信息安全应急工作情况检查164.5信息安全教育培训情况检查175安全技术检测185.1设备安全检测185.1.1网络设备及安全设备安全检测185.1.2服务器安全检测185.1.3终端计算机安全检测195.2应用系统

3、安全检测206检查总结整改206.1汇总检查结果206.2分析问题隐患206.3研究整改措施206.4编写总结报告217注意事项21文档实用标准7.1认真做好总结217.2加强风险控制217.3加强保密管理21附件1信息安全检查总结报告参考格式22附件2参考文献23文档实用标准政府部门信息安全检查操作指南为指导各级政府部门开展信息安全检查工作，依据《国务院办公厅关于印发<政府信息系统安全检查办法>的通知》（国办发﹝2009﹞28号）、《国务院关于大力推进信息化发展和切实保障信息安全的若干意见》（国发﹝

4、2012﹞23号）、《国务院办公厅关于开展重点领域网络与信息安全检查行动的通知》（国办发﹝2012﹞102号）等文件精神，参照《信息安全技术政府部门信息安全管理基本要求》（GB/T29245-2012）等国家信息安全技术标准规范，制定本指南。本指南供各级政府部门开展信息安全检查（自查）工作时参考。其他单位也可参考本指南结合实际开展信息安全检查工作。1　概述1.1　检查目的通过开展常态化的信息安全检查，进一步落实信息安全责任，增强人员信息安全意识，查找突出问题和薄弱环节，排查安全隐患和安全漏洞，分析评估

5、信息安全状况和防护水平，有针对性地采取管理和技术防护措施，促进安全防范水平和安全可控能力提升，预防和减少重大信息安全事件的发生，切实保障信息安全。1.2　检查工作流程安全检查工作流程通常包括检查工作部署、信息系统基本情况梳理、日常工作情况检查、安全技术检测、检查总结整改等五个环节，如下图所示。图1政府部门信息安全检查工作流程图文档实用标准1　检查工作部署检查工作部署通常包括制定检查方案、成立检查工作组、下达检查通知等具体工作。1.1　制定检查方案本单位信息安全管理部门根据国家信息安全主管部门关于年度信

6、息安全检查工作的统一安排，结合工作实际，制定检查方案，并报本单位信息安全主管领导批准。检查方案应当明确以下内容：（1）检查工作负责人、组织机构和具体实施机构；（2）检查范围和检查重点；（3）检查内容；（4）检查工作组织开展方式；（5）检查工作时间进度安排；（6）有关工作要求。1.关于检查范围。检查的范围通常包括本单位各内设机构，以及为本单位信息系统（包括办公系统、业务系统、网站系统等）提供运行维护支撑服务的下属单位。可根据本单位信息安全保障工作需要，将其他为本单位信息系统提供运维服务、对本单位信息系统

7、安全可能产生重大影响的相关单位纳入检查范围。2.关于检查重点。在对各类信息系统进行全面检查的基础上，应突出重点，对事关国家安全和社会稳定，对地区、部门或行业正常生产生活具有较大影响的重要信息系统进行重点检查。3.关于重要信息系统，可根据本单位实际，参考以下标准进行判定：（1）关系国家安全和社会稳定。（2）业务依赖度高。（3）数据集中度高（全国或省级数据集中）。（4）业务连续性要求高。（5）系统关联性强（发生重大信息安全事件后，会对与其相连的其他系统造成较大影响，并产生连片连锁反应）。（6）面向社会公众

8、提供服务，用户数量大，覆盖范围广。（7）灾备等级高（系统级灾备）。1.2　成立检查工作组本单位信息安全管理部门制定完成检查方案后，应及时成立检查工作组；组织开展培训，保证工作组成员熟悉检查方案，掌握检查内容、检查工具使用方法等。工作组成员通常由信息安全管理及运维部门、信息化部门有关人员，相关业务部门中熟悉业务、具备信息安全知识的人员，以及本单位相关技术支撑机构的业务骨干等组成。1.3　下达检查通知本单位信息安全管理部门应以书面形式部署信息安全检查工作，明