1、報告編號：（XXXXXXXX關(guān)鍵信息、基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全檢查報告檢查單倩.XXXXXX、報告名稱XXXXXXX關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全檢查報告二、關(guān)鍵信息基礎(chǔ)設(shè)施檢查組織開展情況根據(jù) XXXXXX關(guān)于組侖只開展全市關(guān)鍵信息、基礎(chǔ)設(shè)施網(wǎng)絡(luò) 安全檢查工作的方案通知要求，XXXXX帶領(lǐng)技術(shù)人員分別從 網(wǎng)絡(luò)安全責(zé)任制度落實情況、網(wǎng)絡(luò)安全日常管理情況（人員管 理）、網(wǎng)絡(luò)邊界安全防護(hù)情況、無線網(wǎng)絡(luò)安全防護(hù)情況、電子郵 件系統(tǒng)安全防護(hù)情況、服務(wù)器終端安全防護(hù)情況、應(yīng)用服務(wù)安全 防護(hù)情況、網(wǎng)絡(luò)安全應(yīng)急工作情況、滲透測試情況9個方面對 XXXXXX關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全進(jìn)行了檢查。三、關(guān)鍵信息基礎(chǔ)設(shè)施檢查情況（

2、一）網(wǎng)絡(luò)安全責(zé)任制度落實情況XXXXX較為重視網(wǎng)絡(luò)安全工作，由信信息中心承擔(dān)網(wǎng)絡(luò)安 全管理工作，經(jīng)查閱XXXX文件，明確了網(wǎng)絡(luò)與信息安全領(lǐng)導(dǎo)小 組組長、副組長、組員等崗位，有數(shù)據(jù)安全的管理制度，對關(guān)鍵 崗位進(jìn)行了定期培訓(xùn);但未對網(wǎng)絡(luò)安全第一責(zé)任人和直接責(zé)任人 進(jìn)行明確。網(wǎng)絡(luò)管理員、網(wǎng)絡(luò)安全員等崗位的網(wǎng)絡(luò)安全責(zé)任，未與重點崗位 人員簽署保密協(xié)議，未制定人員離崗離職安全管理規(guī)定。（三）網(wǎng)絡(luò)安全邊界防護(hù)管理XXXXX在網(wǎng)絡(luò)安全邊界防護(hù)方面部署較為完善，實際網(wǎng)絡(luò) 運行情況與規(guī)劃的網(wǎng)絡(luò)拓?fù)鋱D一致，便于維護(hù)，內(nèi)部劃分子網(wǎng)且 訪問控制策略相對完善，部署了防火墻，安全中心有日志記錄， 身份鑒別措施相對合理，指

3、定IP進(jìn)行管理。（四）無線網(wǎng)絡(luò)安全防護(hù)管理XXXX未嚴(yán)格管理無線網(wǎng)絡(luò)，單位內(nèi)部提供無線上網(wǎng)，并設(shè) 置了密碼登陸，但未部署無線網(wǎng)絡(luò)安全管理設(shè)備，未對無線網(wǎng)絡(luò) 接入設(shè)備采取身份鑒別認(rèn)證和地址過濾等安全措施。（五）電子郵件系統(tǒng)安全防護(hù)管理XXXX未自建本單位獨立的電子郵件系統(tǒng)，使用其他渠道進(jìn) 行收發(fā)郵件。（六）服務(wù)器終端安全防護(hù)管理XXXX在服務(wù)器終端安全防護(hù)方面落實較好，服務(wù)器啟用了 密碼復(fù)雜度要求，限制了管理登錄范圍，服務(wù)器、終端系統(tǒng)均已 險。（八）網(wǎng)絡(luò)安全應(yīng)急工作情況XXXX制定出臺了關(guān)于網(wǎng)絡(luò)安全與信息安全事件應(yīng)急預(yù) 案，對網(wǎng)絡(luò)安全事件進(jìn)行了說明，對重要數(shù)據(jù)每天生成快照， 20天進(jìn)行一次全量備

4、份。（九）滲透測試情況XXXX未進(jìn)行過安全評估、滲透測試等工作。四、整改建議（一）安全管理制度方面針對檢查中發(fā)現(xiàn)的重點問題，建議按照關(guān)于認(rèn)真貫徹落實 河北省網(wǎng)絡(luò)安全工作責(zé)任制實施細(xì)則的通知要求，明確網(wǎng)絡(luò)安 全第一責(zé)任和直接責(zé)任人，完善網(wǎng)絡(luò)安全管理制度，應(yīng)包含 文件控制、安全檢查、人員安全管理、機(jī)房安全管理、系統(tǒng)安全 管理、惡意代碼管理、備份及介質(zhì)安全管理、事件管理等方面內(nèi) 容；建議與關(guān)鍵崗位人員簽訂網(wǎng)絡(luò)安全保密協(xié)議，規(guī)范人員離崗 離職制度；建議制定單位安全管理工作計劃、工作方案；要進(jìn)一 步加強安全檢查、教育培訓(xùn)等工作并保存相關(guān)文件。（二）安全技術(shù)措施方面五、其他事項具體檢查情況及整改建議詳見附

5、件，請于2020年月 日前 完成整改。附：關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全檢查結(jié)果及整改建議表XXXXXXXXXXX2020年月 日關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全檢查結(jié)果及整改建議表1=1序 號檢查 項目檢查指標(biāo)檢查方法現(xiàn)場檢查記錄整改建議1網(wǎng)絡(luò)安全責(zé)任制落實情況應(yīng)明確一名主管領(lǐng)導(dǎo)，負(fù)責(zé) 本單位網(wǎng)絡(luò)安全管埋工作， 根據(jù)國家法律法規(guī)有關(guān)要 求，結(jié)合實際組織制定網(wǎng) 絡(luò)安全管理制度,完善技術(shù) 防護(hù)措施，協(xié)調(diào)處理重大網(wǎng) 絡(luò)安全事件。查看領(lǐng)導(dǎo)分工等文件，檢 查網(wǎng)絡(luò)安全主管領(lǐng)導(dǎo)落 實情況；查看網(wǎng)絡(luò)安全相關(guān)工作 批示、會議記錄等文件， 檢查主管領(lǐng)導(dǎo)履職情況；檢查有無成立網(wǎng)絡(luò)安全 與信息化領(lǐng)導(dǎo)小組的紅 頭文件。1.1.序

6、號檢查 項目檢查指標(biāo)檢查方法現(xiàn)場檢查記錄整改建議2應(yīng)指定一個機(jī)構(gòu)，具體承擔(dān) 網(wǎng)絡(luò)安全管埋工作，負(fù)責(zé)組 織落實網(wǎng)絡(luò)安全管理制度 和網(wǎng)絡(luò)安全技術(shù)防護(hù)措 施。應(yīng)制定數(shù)據(jù)安全專門管理 辦法。查看本單位各內(nèi)設(shè)機(jī)構(gòu) 職責(zé)分工等文件，檢查指 定網(wǎng)絡(luò)安全管理機(jī)構(gòu)情 況；查看工作計劃、工作方 案、規(guī)章制度、監(jiān)督檢查 記錄、教育培訓(xùn)記錄等文 檔，檢查管理機(jī)構(gòu)履職情 況；查看數(shù)據(jù)安全管理辦法， 本單位數(shù)據(jù)安全檢查次 數(shù)，數(shù)據(jù)安全管理人員數(shù) 量。1.1.序 號檢查 項目檢查指標(biāo)檢查方法現(xiàn)場檢查記錄整改建議3應(yīng)定期對各類人員進(jìn)行安 全意識教育、崗位技能培 訓(xùn)和相關(guān)安全技術(shù)培訓(xùn)。1.檢查對各類人員進(jìn)行安 全意識教育、崗位

7、技能培 訓(xùn)和相關(guān)安全技術(shù)培訓(xùn) 的記錄文件。1.1.4組織進(jìn)行過專業(yè)技術(shù)檢 測、測試、評估等工作。查看進(jìn)行專業(yè)技術(shù)檢測、 測試、評估等工作記錄；查看風(fēng)險評估、滲透測試 等評估報告。1.1.序 號檢查 項目檢查指標(biāo)檢查方法現(xiàn)場檢查記錄整改建議5網(wǎng)絡(luò) 安全 日常 管理 情況 （人 員曾 理）應(yīng)明確重點崗位的計算機(jī) 使用和管理人員的責(zé)任。查看崗位網(wǎng)絡(luò)安全責(zé)任 制度文件；檢查系統(tǒng)管理員、網(wǎng)絡(luò)管 理員、網(wǎng)絡(luò)安全員、一般 工作人員等不同崗位的 網(wǎng)絡(luò)安全責(zé)任明確情況；檢查確認(rèn)統(tǒng)管理員、網(wǎng)絡(luò) 管理員、網(wǎng)絡(luò)安全員是否 為同一人，安全管理員不 能兼任網(wǎng)絡(luò)管理員和系 統(tǒng)管理員。1.1.序 號檢查 項目檢查指標(biāo)檢查方法

8、現(xiàn)場檢查記錄整改建議6應(yīng)與重點岡位的計算機(jī)使 用和管理人員簽訂網(wǎng)絡(luò)安 全與保密協(xié)議。應(yīng)制定人員離崗離職安全 管理規(guī)定。檢查重點崗位人員網(wǎng)絡(luò) 安全與保密協(xié)議簽訂情 況；訪談部分重點崗位人員， 抽查對網(wǎng)絡(luò)安全責(zé)任的 了解程度；檢查是否制定了人員離 崗離職安全管理規(guī)定。1.1.7應(yīng)建立外部人員訪問審批 制度（包括但不限于：進(jìn) 入機(jī)房等重要區(qū)域、維護(hù) 網(wǎng)絡(luò)/服務(wù)器/云資源池等 信息化設(shè)施、接觸業(yè)務(wù)/政 務(wù)數(shù)據(jù)等敏感信息，下 同）。外卜部人員須經(jīng)審批 后方可訪問；應(yīng)采取措施查看外部人員訪問審批 制度文件，檢查是否有訪 問審批、日志記錄等要 求；查看記錄，檢查記錄內(nèi)容 清晰、完整的情況。1.1.-10 -

9、序 號檢查 項目檢查指標(biāo)檢查方法現(xiàn)場檢查記錄整改建議對外部人員的訪問活動進(jìn) 行記錄并留存日志。8網(wǎng)絡(luò) 邊界 安全 防護(hù) 情況應(yīng)有與當(dāng)前運行情況相符 的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖。查看網(wǎng)絡(luò)拓?fù)鋱D；抽查網(wǎng)絡(luò)拓?fù)鋱D中主要 網(wǎng)絡(luò)設(shè)備、安全設(shè)備及服 務(wù)器，檢查與網(wǎng)絡(luò)拓?fù)鋱D 的一致性。1.1.-11 -序 號檢查 項目檢查指標(biāo)檢查方法現(xiàn)場檢查記錄整改建議9應(yīng)根據(jù)工作職能、部門重 要性和所涉及信息的重要 程度等因素，劃分不同的 子網(wǎng)或網(wǎng)段并設(shè)置訪問規(guī) 則。登錄服務(wù)器，用ping命令 查看內(nèi)部劃分子網(wǎng)或網(wǎng) 段；選取不同網(wǎng)段進(jìn)行互訪， 檢查符合訪問控制原則情 況。1.1.10避免將重要服務(wù)或設(shè)備所 在網(wǎng)段部署在網(wǎng)絡(luò)邊界處

10、且直接連接外部信息系 統(tǒng)。（工業(yè)控制系統(tǒng)部署 工業(yè)網(wǎng)閘、工業(yè)防火墻等 專用安全設(shè)備。）登錄服務(wù)器，用ping命令 查看重要服務(wù)或設(shè)備所 在網(wǎng)段直接連接外部系 統(tǒng)；檢查部署防火墻、IDS、 網(wǎng)閘等網(wǎng)絡(luò)防護(hù)設(shè)備或 者其他安全防護(hù)措施情1.1.-12 -序檢查 項目檢查指標(biāo)檢查方法現(xiàn)場檢查記錄整改建議況。11網(wǎng)絡(luò)安全設(shè)備配置合理。抽查防火墻、IDS. 防病 毒網(wǎng)關(guān)等網(wǎng)絡(luò)安全設(shè)備， 檢查使用默認(rèn)配置或未 配置的情況；檢查安全設(shè)備存在未完 全按照需求配置或有多 余策略。1.1.-13 -序 號檢查 項目檢查指標(biāo)檢查方法現(xiàn)場檢查記錄整改建議12身份鑒別措施合理有效。查看口令8位以上且包含 字母、數(shù)字、特殊

11、字符鑒 別方式情況；查看限制管理員登錄范 圍。1.1.13網(wǎng)絡(luò)設(shè)備應(yīng)記錄重要事 件。查看有無日志記錄。日志記錄網(wǎng)絡(luò)重要事件、 管理員操作、設(shè)備運行狀 態(tài)的情況。網(wǎng)絡(luò)安全設(shè)備的日志記 錄應(yīng)最短留存為6個月。1.1.-14 -序 號檢查 項目檢查指標(biāo)檢查方法現(xiàn)場檢查記錄整改建議14無線 網(wǎng)絡(luò) 安全 防護(hù) 情況無線網(wǎng)絡(luò)安全防護(hù)。登錄無線網(wǎng)絡(luò)設(shè)備管理 端，檢查安全防護(hù)策略配 置情況，包括設(shè)置對接入 設(shè)備采取身份鑒別認(rèn)證 措施和地址過濾措施；查看無線網(wǎng)絡(luò)采取身份 鑒別措施、地址過濾措 施，無線路由器未使用默 認(rèn)設(shè)置。1.1.15電子 郵件 系統(tǒng) 安全 防護(hù)應(yīng)加強電子郵件系統(tǒng)安全 防護(hù)，采取反垃圾郵件等

12、技術(shù)措施。檢查電子郵件系統(tǒng)建設(shè) 方式；檢查電子郵件系統(tǒng)安全 防護(hù)情況，采取反垃圾郵 件等技術(shù)措施情況。1.-15 -序 號檢查 項目檢查指標(biāo)檢查方法現(xiàn)場檢查記錄整改建議16情況應(yīng)規(guī)范電子郵箱的注冊管 理，原則上只限于本單位 工作人員注冊使用。查看服務(wù)器上郵箱賬戶 列表，同本單位人員名單 進(jìn)行核對；檢查有非本單位人員使 用。1.17服務(wù) 器、 終端 安全 防護(hù) 情況應(yīng)具備服務(wù)器、終端接入 網(wǎng)絡(luò)安全控制措施。1.檢查采取MAC綁定、實 名接入或部署上網(wǎng)行為 管理、網(wǎng)絡(luò)準(zhǔn)入等設(shè)備。1.18應(yīng)合理、有效管理服務(wù)器、 終端。查看服務(wù)器、終端采用集 中管理系統(tǒng)進(jìn)行硬件、防 病毒、補丁、移動存儲介 質(zhì)等安全

13、措施管理或采 用合理有效的分散管理 措施，工業(yè)控制系統(tǒng)部署 白名單軟件情況。查看服務(wù)器、終端檢查安1.-16 -序 號檢查 項目檢查指標(biāo)檢查方法現(xiàn)場檢查記錄整改建議裝有與工作無關(guān)的軟件。19應(yīng)嚴(yán)格服務(wù)器安全管理策 略。1.檢查服務(wù)器配置服務(wù)器 安全管理策略情況。1.20服務(wù)器進(jìn)行身份鑒別。登錄服務(wù)器查看權(quán)限；檢查服務(wù)器進(jìn)行身份鑒 別情況。1.21應(yīng)用 服務(wù) 安全 防護(hù) 情況身份鑒別防護(hù)措施合理。訪談網(wǎng)絡(luò)管理員；檢查身份鑒別口令情況， 以及管理員的登錄范圍。1.1.-17 -序 號檢查 項目檢查指標(biāo)檢查方法現(xiàn)場檢查記錄整改建議22訪問控制措施合理。檢查有無超級用戶；檢查訪問控制措施按照 不1司需

14、求用戶分配不同 訪問權(quán)限；檢查應(yīng)用是否設(shè)置了審 計管理員以及其他功能 性的管理員或用戶，權(quán)限 需要分離，普通管理員無 法刪除修改日志。1.1.-18 -序 號檢查 項目檢查指標(biāo)檢查方法現(xiàn)場檢查記錄整改建議23應(yīng)嚴(yán)格記錄用戶操作。檢查記錄所有用戶操作， 重點記錄各級操作員重 要操作的情況。記錄的內(nèi) 容至少應(yīng)包括時間的日 期、時間、發(fā)起者信息、 類型、描述和結(jié)果等；檢查無法單獨中斷審計 進(jìn)程，無法刪除、修改和 覆蓋審計記錄的情況；應(yīng)用的操作日志需最低 留存6個月。1.1.-19 -序 號檢查 項目檢查指標(biāo)檢查方法現(xiàn)場檢查記錄整改建議24網(wǎng)絡(luò) 安全 皿 工作 情況應(yīng)制定網(wǎng)絡(luò)安全事件應(yīng)急 預(yù)案，原則上每年評估一 次，并根據(jù)實際情況適時 修訂。根據(jù)網(wǎng)絡(luò)變化情況 更新并進(jìn)行演練。查看應(yīng)急預(yù)案文本等文 件；檢查應(yīng)急預(yù)案制定和年 度評估修訂情況。1.1.25每年應(yīng)開展網(wǎng)絡(luò)安全應(yīng)急 演練，檢驗應(yīng)急預(yù)案的可 操作性，并將演練情況報 網(wǎng)絡(luò)安全主管部門。查看演練計劃、方案、記 錄、總結(jié)等文檔，檢查本 年度開展應(yīng)急演練情況；查看應(yīng)急技術(shù)支援隊伍 合同