信息安全自查操作指南.docx
《信息安全自查操作指南.docx》由会员分享，可在线阅读，更多相关《信息安全自查操作指南.docx（31页珍藏版）》请在冰点文库上搜索。
信息安全自查操作指南
附件1：
信息安全自查操作指南
2012年7月
概述
为指导部直属单位信息安全自查工作，依据《国务院办公厅关于开展重点领域网络与信息安全检查行动的通知》（国办函〔2012〕102号）和《关于开展部直属单位重点网络与信息安全检查行动的通知》（以下简称《检查通知》），制定本指南。
本指南主要用于部直属单位及其下属单位（以下统称自查单位）在开展信息安全自查具体工作时参考。
一、自查目的
通过开展安全自查，进一步梳理、掌握本单位重要网络与信息系统基本情况，查找突出问题和薄弱环节，分析面临的安全威胁和风险，评估安全防护水平，有针对性地采取防范对策和改进措施，加强网络与信息系统安全管理和技术防护，促进安全防护能力和水平提升，预防和减少重大信息安全事件的发生，切实保障本单位网络与信息安全。
二、自查工作流程
信息安全自查主要包括自查工作部署、基本情况自查、问题与风险分析、自查工作总结等4个环节（见图1）。
图1自查工作流程
环节一自查工作部署
一、研究制定自查实施方案
认真学习《检查通知》，深刻领会文件精神和有关要求，研究制定自查实施方案，并报主管领导批准。
（一）自查实施方案应当明确的内容
自查实施方案应当明确以下内容：
（1）自查工作负责人、组织单位和实施机构。
（2）自查范围和自查对象。
（3）自查工作的组织方式。
（4）自查工作时间进度安排。
1.关于自查范围。
此次自查范围是部直属单位及其下属单位重点网络与信息系统（含工业控制系统，以下同）。
检查的重点是事关国家安全和社会稳定，对地区、部门或行业正常生产生活具有较大影响的重要网络与信息系统。
2.关于自查对象。
主要指网络与信息系统安全管理与防护涉及到的信息安全综合管理部门、信息化部门、业务部门、生产管理部门、财务部门、人事部门等相关部门。
各单位可根据实际情况确定具体的自查对象。
3.关于自查工作组织。
自查单位可成立自查工作组开展检查，也可指定专门机构负责自查实施工作。
自查工作组可由本单位信息化与信息安全部门以及相关业务部门中熟悉业务、具备信息安全知识、技术能力较强的人员，以及本单位相关技术支撑机构业务骨干等组成。
单位内各部门可指定人员负责协调配合和联络工作。
对于有工业控制系统的单位，可考虑生产管理部门参与工业控制系统信息安全检查。
对于信息系统复杂、自查工作涉及部门多的单位，可根据需要成立自查工作领导小组，负责自查工作的组织协调与资源配置。
领导小组组长可由本单位信息安全主管领导担任，领导小组成员可包括信息安全综合管理部门负责人、信息化部门负责人，以及其他相关部门负责人（如人事部门、财务部门、业务部门、生产管理部门领导）等。
（二）应当注意的有关事项
1.纳入检查范围的网络与信息系统从安全防护的角度应具有相对的独立性。
从安全防护的角度判断网络与信息系统独立性的方法如下：
根据系统所承担业务的独立性、责任主体的独立性、网络边界的独立性、安全防护设备设施的独立性四个因素，对网络与信息系统进行全面梳理并综合分析，划分出相对独立的网络与信息系统，并形成网络与信息系统清单，以便于更好地界定检查范围。
2.关于重要网络与信息系统，可从系统特征的角度，立足本单位实际，参考以下标准进行判定：
（1）业务依赖度高。
（2）数据集中度高（全国、流域数据集中）。
（3）实时性要求高。
（4）系统关联性强（发生重大信息安全事件后，会对与其相连的其他系统造成较大影响，并产生连片连锁反应）。
（5）直接面向社会公众提供服务，用户数量庞大，覆盖范围广。
（6）灾备等级高（系统级灾备）。
3.关于重要工业控制系统，可从发生信息安全事件造成危害的角度，参考以下标准进行判定：
（1）发生重大信息安全事件，致使系统出现严重故障后，可能导致10人以上死亡或50人以上重伤。
（2）发生重大信息安全事件，致使系统出现严重故障后，可能导致5000万元以上直接经济损失。
（3）发生重大信息安全事件，致使系统出现严重故障后，可能影响100万人以上正常生活。
（4）发生重大信息安全事件，致使系统出现严重故障后，可能对与其相连的其他系统造成影响，并产生连片连锁反应。
（5）发生重大信息安全事件，致使系统出现严重故障后，可能对生态环境造成严重破坏。
（6）发生重大信息安全事件，致使系统出现严重故障后，可能对国家安全和社会稳定产生重大影响。
二、自查工作动员部署
自查单位可通过召开会议、下发文件等方式对自查工作进行部署，布置自查工作任务。
相关人员要切实落实自查工作责任，各司其职，形成合力，共同推进自查工作。
环节二基本情况自查
一、系统基本情况自查
（一）系统特征情况
1.查看系统规划设计方案、安全防护规划设计方案、网络拓扑图等，核实系统的实时性、服务对象、连接互联网情况、数据集中情况、灾备情况等基本情况，记录检查结果（表1）。
表1系统基本情况检查记录表
序号
系统名称
实时性
服务
对象
连接互联网情况
数据集中情况
灾备情况
实时
非实时
面向社会公众
不面向社会公众
采用逻辑隔离措施连接
采用逻辑强隔离措施连接
不连接
全国集中
省级集中
不集中
系统级灾备
仅数据灾备
无灾备
1
2
3
…
2.根据上述系统基本情况核查结果，分析系统停止运行后对主要业务的影响程度、系统遭受攻击破坏后对社会公众的影响程度等安全特征，记录分析结果（表2）。
（1）关于系统停止运行后对主要业务的影响程度判定标准如下：
影响程度高：
系统停止运行后，主要业务无法开展或对主要业务运行产生严重影响；
影响程度中：
系统停止运行后，对主要业务运行有一定影响，可用手工等传统方式替代；
影响程度低：
系统停止运行后，对主要业务运行影响较小或无影响。
（2）关于系统遭受攻击破坏后对社会公众的影响程度判定标准如下：
影响程度高：
系统遭受攻击破坏，造成系统无法正常运行、被劫持、信息泄露等后果后，对社会公众正常生活、公众利益等产生严重影响；
影响程度中：
系统遭受攻击破坏，造成系统无法正常运行、被劫持、信息泄露等后果后，对社会公众正常生活、公众利益等产生一定影响；
影响程度低：
系统遭受攻击破坏，造成系统无法正常运行、被劫持、信息泄露等后果后，对社会公众正常生活、公众利益等影响较小或无影响。
表2系统特征情况分析记录表
序
号
系统名称
系统对主要业务的
影响程度
系统对社会公众的
影响程度
高
中
低
高
中
低
1
2
3
…
（二）系统构成情况
1.重点检查主要硬件设备类型、数量、生产商（品牌）情况，记录检查结果（表3）。
硬件设备类型主要有：
服务器、路由器、交换机、防火墙、磁盘阵列、磁带库及其他主要安全设备。
硬件设备生产商（品牌）按国内、国外两类进行记录。
其中，国内主要有浪潮、曙光、联想、方正、华为、中兴、天融信、启明星辰、绿盟、联想网御等，国外主要有IBM、HP、DELL、Cisco、Juniper、H3C等。
2.重点检查主要软件设备类型、套数、生产商（品牌）情况，记录检查结果（表4）。
软件设备类型主要有：
操作系统、数据库及主要业务应用系统。
软件设备生产商（品牌）按国内、国外两类进行记录。
其中，国内主要有红旗、麒麟、金仓、达梦等，国外主要有Windows、RedHat、HP-Unix、AIX、Solaris、Oracle、DB2、SQLServer等。
（三）工业控制系统类型与构成情况
通过调阅资产清单、现场查看、上机检查等方式，检查工业控制系统类型和构成情况，汇总记录检查结果（表5）。
工业控制系统类型主要包括数据采集与监控系统、分布式控制系统、过程控制系统、可编程控制器、就地测控设备（仪表、智能电子设备、远端设备）等。
工业控制系统软硬件主要包括：
应用服务器－工程师工作站（组态监控软件、系统软件、PC机/服务器）、数据服务器（数据库软件、系统软件、PC机/服务器）等。
表3信息系统主要硬件检查记录表
检查项
检查结果
主
要
硬
件
服务器
国内品牌数量
浪潮
曙光
联想
方正
其他：
1.品牌，数量
2.品牌，数量
（如有更多，请另列表）
国外品牌数量
IBM
HP
DELL
其他：
1.品牌，数量
2.品牌，数量
（如有更多，请另列表）
路由器
国内品牌数量
华为
中兴
其他：
1.品牌，数量
2.品牌，数量
（如有更多，请另列表）
国外品牌数量
Cisco
Juniper
H3C
其他：
1.品牌，数量
2.品牌，数量
（如有更多，请另列表）
交换机
国内品牌数量
华为
中兴
其他：
1.品牌，数量
2.品牌，数量
（如有更多，请另列表）
国外品牌数量
Cisco
Juniper
H3C
其他：
1.品牌，数量
2.品牌，数量
（如有更多，请另列表）
防火墙
国内
1.品牌，数量
2.品牌，数量（如有更多，请另列表）
国外
1.品牌，数量
2.品牌，数量（如有更多，请另列表）
其他
国内
1.设备类型：
，品牌，数量
2.设备类型：
，品牌，数量
（如有更多，请另列表）
国外
1.设备类型：
，品牌，数量
2.设备类型：
，品牌，数量
（如有更多，请另列表）
表4信息系统主要软件检查记录表
检查项
检查结果
主
要
软
件
操作系统
国内品牌套数
红旗
麒麟
其他：
1.品牌，套数
2.品牌，套数
（如有更多，请另列表）
国外品牌套数
Windows
RedHat
HP-Unix
AIX
其他：
1.品牌，套数
2.品牌，套数
（如有更多，请另列表）
数据库
国内品牌套数
金仓
达梦
其他：
1.品牌，套数
2.品牌，套数
（如有更多，请另列表）
国外品牌套数
Oracle
DB2
SQLServer
其他：
1.品牌，套数
2.品牌，套数
（如有更多，请另列表）
其他
国内
1.设备类型：
，品牌，套数
2.设备类型：
，品牌，套数
（如有更多，请另列表）
国外
1.设备类型：
，品牌，套数
2.设备类型：
，品牌，套数
（如有更多，请另列表）
表5工业控制系统类型与构成情况检查记录表
检查项
检查结果
国内品牌
国外品牌
系统类型情况
数据采集与监控（SCADA）系统
套
套
分布式控制系统（DCS）
套
套
过程控制系统（PCS）
套
套
可编程控制器（PLC）
大型
台
台
中型
台
台
小型
台
台
就地测控设备
仪表
台
台
智能电子设备（IED）
台
台
远端设备（RTU）
台
台
系统构成情况
应用服务器-工程师工作站
组态监控软件
套
套
系统软件
套
套
PC机/服务器
台
台
数据服务器
数据库软件
套
套
系统软件
套
套
PC机/服务器
台
台
通信设备
台
台
（四）信息技术外包服务情况
重点检查信息技术外包服务类型、服务提供商、服务方式、安全保密协议等，记录检查结果（表6）。
服务类型主要有系统集成、软件开发、系统运维、风险评估、安全检测、安全加固、应急支持、数据存储、规划咨询、系统托管、灾难备份等。
服务方式主要有远程在线服务和现场服务。
安全保密协议内容应包括安全责任、违约责任、协议有效期和责任人等内容。
对于没有安全保密协议文本，但在外包服务合同中具有相关内容的，视同签订安全保密协议。
表6信息技术外包服务检查结果记录表
检查项
检查结果
外包服务机构1
机构名称
机构性质
□国有□民营□外资
服务内容
服务方式
□远程在线服务□现场服务
信息安全与保密协议
□已签订□未签订
外包服务机构2
机构名称
机构性质
□国有□民营□外资
服务内容
服务方式
□远程在线服务□现场服务
信息安全与保密协议
□已签订□未签订
外包服务机构3
机构名称
机构性质
□国有□民营□外资
服务内容
服务方式
□远程在线服务□现场服务
信息安全与保密协议
□已签订□未签订
（如有更多，可另列表）
二、安全管理情况自查
（一）信息安全责任制建立及落实情况
重点检查信息安全主管领导、信息安全管理机构、信息安全工作人员履职以及岗位责任、事故责任追究情况等，记录检查结果（表7）。
1.信息安全主管领导明确及工作落实情况。
检查方法：
调阅领导分工等文件，检查是否明确了信息安全主管领导。
调阅信息安全相关工作批示和会议记录等文件，了解主管领导工作落实情况。
2.信息安全管理机构指定及工作落实情况。
检查方法：
调阅单位内各部门职责分工等文件，检查是否指定了信息安全管理机构。
调阅工作计划、工作方案、管理规章制度、监督检查记录等文件，了解管理机构工作落实情况。
3.信息安全工作人员配备及工作落实情况。
检查方法：
调阅人员列表、岗位职责分工等文件，检查是否配备了信息安全工作人员。
访谈信息安全工作人员，调阅工作计划、工作记录、工作报告等文件，检查信息安全工作人员的工作落实情况。
4.岗位责任和事故责任追究情况。
检查方法：
调阅安全事件记录等文件，检查是否发生过因违反制度规定造成的信息安全事故。
调阅安全事件处置文件，检查是否对信息安全责任事故进行了查处。
表7信息安全责任制建立及落实情况检查记录表
检查项
检查结果
1
分管信息安全工作的领导
①姓名：
_______________
②职务：
_______________（本部门正职或副职领导）
2
信息安全管理机构
①名称：
___________________
②负责人：
_____________职务：
________________
③联系人：
_____________电话：
________________
3
信息安全专职工作机构
①名称：
___________________
②负责人：
_____________电话：
________________
4
信息安全员
①本单位内设机构数量：
_____________
②信息安全员数量：
_____________
③专职信息安全员数量：
_____________
5
岗位责任和事故责任追究
①岗位信息安全责任制度：
□已制定□未制定
②安全责任事故：
□发生过：
□所有事故均已查处相关责任人
□有事故未查处相关责任人
□未发生过
（二）日常安全管理制度建立和落实情况
重点检查人员管理、资产管理、存储介质管理、运行维护管理、年度教育培训等制度建立和落实情况，记录检查结果（表8）。
1.人员管理制度。
检查方法：
调阅人员管理制度等文件，检查是否有岗位信息安全责任、人员离岗离职管理、外部人员访问管理等相关规定。
调阅人员信息安全保密协议，检查系统管理员、网络管理员、信息安全员等重点岗位人员是否签订了协议。
调阅人员离岗离职记录、人员离岗离职承诺书等文件，抽查离岗离职人员信息系统访问权限终止情况，检查人员离岗离职管理落实情况。
调阅外部人员访问审批手续、访问记录等文件，检查外部人员访问管理落实情况及相关记录完整性。
2.资产管理制度
检查方法：
调阅资产管理制度等文件，检查是否有设备发放、使用、维修、维护和报废等相关规定。
调阅资产台账，抽取一定比例的在用设备，核查其对应的资产台账记录；随机抽取资产台账中的设备，核查其对应的实物，检查资产台账完整性和账物符合性。
调阅设备管理员任命、岗位分工等文件，访谈设备管理员，检查是否指定了专人负责资产管理工作。
3.存储介质管理制度。
检查方法：
调阅存储介质管理制度等文件，检查是否有介质领用、交回、维修、报废、销毁等相关规定，调阅存储介质管理相关记录，检查存储介质管理制度落实情况。
访谈网络管理员、数据库管理员，了解存储阵列、磁带库等大容量存储介质是否外联，外联时是否有安全防护措施，是否存在远程维护。
4.运行维护管理制度。
检查方法：
调阅运行维护管理制度等相关文件，检查是否包含备份、应急、监控、审计、变更管理等相关内容。
调阅运维操作手册和运维相关记录，检查是否有运维操作手册、运行维护管理制度落实情况及相关记录完整性。
5.年度教育培训。
检查方法：
访谈网络管理员、系统管理员和工作人员，了解信息安全基本防护技能掌握情况，调阅信息安全教育培训制度、培训计划、培训记录、考核记录及试卷等相关文件，检查年度培训计划制定情况、培训记录（培训时间、培训内容、人员签到、培训讲师等内容），确认信息安全管理人员和技术人员培训内容中是否包含专业技能，确认领导干部和机关工作人员培训内容中是否包含信息安全基本技能。
表8日常安全管理制度建立和落实情况检查结果记录表
检查项
检查结果
1
人员管理
①重要岗位人员安全保密协议：
□全部签订□部分签订□未签订
②人员离岗离职安全管理规定：
□已制定□未制定
③外部人员访问审批制度：
□已制定□未制定
2
资产管理
①资产管理制度：
□已制定□未制定
②是否指定专人进行资产管理：
□是□否
③设备维修维护和报废管理制度：
□已制定□未制定
④设备维修维护和报废记录是否完整：
□是□否
3
存储介质管理
①存储介质管理制度：
□已制定□未制定
②存储介质管理记录：
□完整□不完整
③大容量存储介质：
□外联：
□采取了技术防范措施
□未采取技术防范措施
□不外联
4
运行维护管理
①日常运维制度：
□已制定□未制定
②运维操作手册：
□已制定□未制定
③运维操作记录：
□完整□不完整
5
年度教育培训
①年度培训计划：
□已制定□未制定
②本年度接受信息安全教育培训的人数：
_____人
占本单位总人数的比例：
_____％
③本年度开展信息安全教育培训的次数：
_____次
④本年度信息安全管理和技术人员参加专业培训：
______人次
（三）信息安全经费投入情况
重点检查信息安全经费预算和投入情况，记录检查结果（表9）。
1.本年度信息安全经费预算
检查方法：
调阅本年度经费预算文件，检查是否将信息安全防护设施建设、运行、维护以及信息安全相关检查、测评、管理等费用纳入了年度预算，记录本年度信息安全经费预算情况。
2.上年度信息安全经费投入
检查方法：
查阅相关财务文件，记录上一年度信息安全经费实际投入情况。
表9信息安全经费投入情况表
检查项
检查结果
1
本年度信息安全经费预算
本年度信息安全预算：
□有，预算额：
_______万元
□无
2
上年度信息安全经费投入
上年度信息安全经费实际投入额：
_____________万元
三、技术防护情况自查
对纳入检查范围的每一个网络与信息系统、工业控制系统的技术防护情况逐个进行检查，重点检查技术防护体系建设、网络边界安全防护措施、设备安全策略配置、重要数据传输存储安全防护措施等情况，记录检查结果（表10）。
（一）网络边界安全防护措施
检查方法：
对照网络拓扑图，检查网络实际连接情况，确认同网络拓扑图一致。
分析网络拓扑图，查看网络隔离设备部署、交换机VLAN划分，检查网络是否按重要程度划分安全区域，确认不同区域采用了正确的隔离措施。
检查互联网连接情况，统计网络外联的出口个数，检查每个出口是否都进行了安全控制。
检查网络边界防护设备部署情况，确认外部网络接入内部网络采用了安全的加密传输方式（如VPN）等。
（二）安全策略或安全功能配置及有效性
检查方法：
分别登录服务器、网络设备、安全设备，查看安全策略配置，检查安全策略配置是否合理，并验证其有效性，确认按需开放端口、符合最小服务原则。
检查应用系统安全功能配置情况，确认具有身份认证、访问控制、安全审计等安全功能，登录系统验证安全功能的有效性。
（三）重要数据传输、存储安全防护措施
检查方法：
登录数据库，查看重要数据，确认加密存储。
采用网络嗅探工具抓取访问系统时的通信数据包，检查是否加密传输。
访谈数据库管理员，检查重要数据是否进行备份，确认备份方式是本地备份还是异地备份。
核查备份数据文件，确认备份周期。
（四）密码技术和设备情况。
检查方法：
调阅资产台账，查看在用系统，检查在用的密码设备、密码技术，检查供应商情况、是否具有相应资质。
表10技术防护情况检查记录表
（每个系统单独成一张表）
系统名称
_______________________________________________
检查项
检查结果
1
网络边界防护
①安全域隔离情况：
□逻辑强隔离□逻辑隔离□无隔离
②连接互联网情况：
□连接互联网：
互联网接入总数：
_______个
其中□联通接入口数量:
____个接入带宽:
_____兆
□电信接入口数量:
____个接入带宽:
_____兆
□其他:
__________________接入口数量:
____个
接入带宽:
_____兆
□不连接互联网
③网络边界防护措施（多选）:
□访问控制□安全审计□边界完整性检查□入侵防范
□恶意代码防范□VPN方式接入□无措施
2
安全防护策略
①服务器安全策略：
□使用默认配置□根据应用自主配置
□按需开放端口□最小服务配置
②网络设备安全策略：
□使用默认配置□根据应用自主配置
□按需开放端口□最小服务配置
③安全设备安全策略：
□使用默认配置□根据应用自主配置
□按需开放端口□最小服务配置
④应用系统安全功能：
□身份验证□访问控制□安全审计
3
重要数据防护
①传输防护：
□加密□未加密
②存储防护：
□加密□未加密
③备份：
□本地备份□异地备份□未备份
4
密码技术防护
□使用密码产品：
□硬件产品□软件产品
□未使用密码产品
四、应急处置及容灾备份情况自查
重点检查应急预案制修订、应急演练和灾备措施情况，记录检查结果（表11）。
（一）信息安全事件应急预案制定和修订情况
检查方法：
调阅应急预案文本、预案年度评估记录和修订记录等文件，检查应急预案制定和修订情况。
（二）预案演练及相关人员对预案的熟悉程度
检查方法：
调阅应急预案宣传材料、预案培训记录，访谈系统管理员、网络管理员和工作人员，询问对应急预案的熟悉程度。
（三）灾难备份和恢复措施建设情况
检查方法：
查看重要网络设备、通信线路
升级会员 