ICS35.040網(wǎng)絡(luò)安全檢查技術(shù)規(guī)范I 12規(guī)范性引用文件 3術(shù)語和定義 4縮略語 5檢查工作流程 5.1檢查準(zhǔn)備 15.2檢查實(shí)施 25.3檢查分析 26通用網(wǎng)絡(luò)安全檢查 26.1網(wǎng)絡(luò)安全等級保護(hù)落實(shí)情況檢查 26.2關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)落實(shí)情況檢查 36.3云計(jì)算服務(wù)安全情況檢查 36.4數(shù)據(jù)安全保護(hù)情況檢查 46.5安全組織架構(gòu)情況檢查 46.6安全經(jīng)費(fèi)保障情況檢查 56.7人員安全管理情況檢查 56.8外包服務(wù)安全情況檢查 66.9信息資產(chǎn)管理情況檢查 66.10安全建設(shè)檢查 76.11安全運(yùn)維檢查 76.12網(wǎng)絡(luò)邊界安全防護(hù)情況檢查 6.13無線網(wǎng)絡(luò)安全防護(hù)情況檢查 86.14終端計(jì)算機(jī)安全防護(hù)情況檢查 96.15移動(dòng)存儲介質(zhì)檢查 96.16備份與恢復(fù)檢查 96.17監(jiān)測預(yù)警檢查 6.18應(yīng)急響應(yīng)與處置檢查 6.19漏洞修復(fù)情況檢查 16.20技術(shù)檢查 17專項(xiàng)網(wǎng)絡(luò)安全檢查 7.1云計(jì)算服務(wù)平臺專項(xiàng)檢查 127.2工控系統(tǒng)專項(xiàng)檢查 128檢查總結(jié)整改 8.1匯總檢查結(jié)果 8.2分析問題隱患 8.3研究整改措施 8.4編寫總結(jié)報(bào)告 本文件按照GB/T1.1—2020《標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定本文件由新疆維吾爾自治區(qū)互聯(lián)網(wǎng)信息辦公室提出、歸口并組織實(shí)施。本文件起草單位：新疆維吾爾自治區(qū)互聯(lián)網(wǎng)信息辦公室、新疆大學(xué)、新疆維吾爾自治區(qū)產(chǎn)品質(zhì)量監(jiān)督檢驗(yàn)研究院、中國互聯(lián)網(wǎng)絡(luò)信息中心。本文件主要起草人：袁建廷、楊天宗、艾祖鵬、石常海、張新躍、胡小明、劉宜朋、杜文茂、賈程凱、高峰、王靜、賈蕊、楊楠、張文斌、姚強(qiáng)、張亞明。本文件實(shí)施應(yīng)用中的疑問，請咨詢新疆維吾爾自治區(qū)互聯(lián)網(wǎng)信息辦公室、新疆大學(xué)。對本文件的修改意見建議，請反饋至新疆維吾爾自治區(qū)互聯(lián)網(wǎng)信息辦公室(烏魯木齊市西環(huán)北路2221號)、新疆大學(xué)(新疆烏魯木齊市西北路499號)、新疆維吾爾自治區(qū)市場監(jiān)督管理局(烏魯木齊市新華南路167號)。新疆維吾爾自治區(qū)互聯(lián)網(wǎng)信息辦公室聯(lián)系電話傳真郵編：830014新疆大學(xué)聯(lián)系電話傳真郵編：830091新疆維吾爾自治區(qū)市場監(jiān)督管理局聯(lián)系電話傳真郵編：8300041本文件規(guī)定了網(wǎng)絡(luò)安全檢查工作的流程、內(nèi)容和方法。本文件適用于自治區(qū)開展的網(wǎng)絡(luò)安全檢查，也適用于關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者開展網(wǎng)絡(luò)安全自查。2規(guī)范性引用文件下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版本(包括所有的修改單)適用于本信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)基本要求信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)定級指南信息安全技術(shù)云計(jì)算服務(wù)安全指南信息安全技術(shù)云計(jì)算服務(wù)安全能力要求信息安全技術(shù)個(gè)人信息安全規(guī)范信息安全技術(shù)工業(yè)控制系統(tǒng)安全檢查指南DB65/T4438-2021關(guān)鍵信息基礎(chǔ)設(shè)施識別指南3術(shù)語和定義DB65/T4438-2021界定的術(shù)語和定義適用于本文件。4縮略語下列縮略語適用于本文件。VLAN:虛擬局域網(wǎng)(VirtualLocalAreaNetwork)WPA:Wi-Fi網(wǎng)絡(luò)安全接入(Wi-FiProtectedAccess)IP:互聯(lián)網(wǎng)協(xié)議(InternetProtocol)MAC:介質(zhì)訪問控制(MediaAccessControl)5檢查工作流程5.1檢查準(zhǔn)備5.1.1檢查工作內(nèi)容由檢查方依據(jù)法律法規(guī)、政策文件要求、網(wǎng)絡(luò)安全檢查技術(shù)規(guī)范和網(wǎng)絡(luò)安全發(fā)展態(tài)勢等進(jìn)行確定。如果被檢查方上一年度也接受了網(wǎng)絡(luò)安全檢查，則還須查驗(yàn)被檢方對上一年度網(wǎng)絡(luò)安全檢查發(fā)現(xiàn)的安全隱患以及漏洞是否及時(shí)處置，是否制定整改方案，是否落實(shí)整改措施。5.1.2檢查方須制定網(wǎng)絡(luò)安全檢查方案和網(wǎng)絡(luò)安全檢查工作表。網(wǎng)絡(luò)安全檢查方案應(yīng)包含概述、檢查2知書。a)查看網(wǎng)絡(luò)與信息系統(tǒng)的等級保護(hù)定級報(bào)告和備案表等，確定是否明確了網(wǎng)絡(luò)與信息系統(tǒng)的安全保護(hù)等級，確定是否說明定級的方法和理由，確定是否組織專家對定級進(jìn)行評審，確定是b)檢查網(wǎng)絡(luò)與信息系統(tǒng)等級測評報(bào)告，檢查等級測評報(bào)告是否按照GB/等級測評，通過訪談、查驗(yàn)等形式對等級測評報(bào)告內(nèi)容進(jìn)行核查驗(yàn)證，驗(yàn)證等級測評結(jié)果是c)訪談安全管理人員對網(wǎng)絡(luò)與信息系統(tǒng)等級測評中發(fā)現(xiàn)的安全隱患，是否制定整改方案，是否3c)查看關(guān)鍵信息基礎(chǔ)設(shè)施識別認(rèn)定報(bào)告和備案表等，確定是否說明了認(rèn)定關(guān)鍵信息基礎(chǔ)設(shè)施的方法和理由，確定是否明確了支撐關(guān)鍵業(yè)務(wù)完整運(yùn)行的網(wǎng)絡(luò)設(shè)施、信息系統(tǒng)等，確定是否組d)查看關(guān)鍵信息基礎(chǔ)設(shè)施安全風(fēng)險(xiǎn)評估報(bào)告。通過訪談、查驗(yàn)等形式對風(fēng)險(xiǎn)評估報(bào)告內(nèi)容進(jìn)行e)訪談安全管理人員對關(guān)鍵信息基礎(chǔ)設(shè)施安全風(fēng)險(xiǎn)評估中發(fā)現(xiàn)的安全風(fēng)險(xiǎn)隱患，是否制定整改31167開展網(wǎng)絡(luò)安全檢查。a)查看是否在采購使用云計(jì)算服務(wù)過程中遵守，并通過合同等手段要求云平臺管理運(yùn)營者遵守安全管理責(zé)任不變、數(shù)據(jù)歸屬關(guān)系不變、安全管理標(biāo)準(zhǔn)不變、敏感信息不出境等云計(jì)算服務(wù)b)查看是否對數(shù)據(jù)的敏感程度、業(yè)務(wù)的重要性進(jìn)行分類，是否全面分析、綜合平衡采用云計(jì)算服務(wù)后的安全風(fēng)險(xiǎn)和效益，是否科學(xué)規(guī)劃和確定采用云計(jì)算服務(wù)的數(shù)據(jù)、業(yè)務(wù)范圍和進(jìn)度安c)查看是否在采購云計(jì)算服務(wù)時(shí)，通過采購文件或合同等手段，明確要求采購的云計(jì)算服務(wù)平4d)查看是否對云計(jì)算服務(wù)平臺的安全控制措施執(zhí)行情況、風(fēng)險(xiǎn)問題的處置情況、重大變更情況、重大安全事件的響應(yīng)情況等開展持續(xù)監(jiān)督；查驗(yàn)是否履行合同規(guī)定的責(zé)任義務(wù)，監(jiān)督云平臺管理運(yùn)營者加強(qiáng)安全防護(hù)管理。查看是否要求云平臺管理運(yùn)營者在發(fā)生網(wǎng)絡(luò)安全案件或重大事件時(shí)，及時(shí)向自治區(qū)主管、監(jiān)管部門報(bào)告，并配合相關(guān)部門開展調(diào)查工作；e)查看是否建立健全云計(jì)算服務(wù)保密審查制度，指定機(jī)構(gòu)和人員負(fù)責(zé)對遷移到云計(jì)算平臺上的數(shù)據(jù)、業(yè)務(wù)進(jìn)行保密審查，確保數(shù)據(jù)和業(yè)務(wù)不涉及國家秘密。查驗(yàn)在使用云計(jì)算服務(wù)前，是否集中組織開展工作人員網(wǎng)絡(luò)安全和保密教育培訓(xùn)，明示使用云計(jì)算服務(wù)面臨的安全保密風(fēng)6.4數(shù)據(jù)安全保護(hù)情況檢查6.4.1檢查要求包括：a)應(yīng)建立健全數(shù)據(jù)全生命周期的數(shù)據(jù)安全管理制度；b)應(yīng)根據(jù)數(shù)據(jù)分類分級的不同，制定符合其安全需要的保護(hù)策略；c)應(yīng)采取措施保護(hù)數(shù)據(jù)的完整性、保密性、可用性，防止泄露、竊取、篡改、損毀、非法使用d)不應(yīng)存在超出用戶授權(quán)范圍或違反要求收集、存儲、使用等個(gè)人信息的情況；e)應(yīng)嚴(yán)格控制重要數(shù)據(jù)的公開、分析、交換、共享和導(dǎo)出等關(guān)鍵環(huán)節(jié)；f)應(yīng)開展數(shù)據(jù)安全風(fēng)險(xiǎn)評估工作；g)對數(shù)據(jù)安全風(fēng)險(xiǎn)評估中發(fā)現(xiàn)的安全問題應(yīng)進(jìn)行整改。c)測試。6.4.3檢查內(nèi)容包括：a)查看是否建立包含采集、傳輸、存儲、處理、交換和銷毀各環(huán)節(jié)的數(shù)據(jù)安全管理制度，并驗(yàn)證內(nèi)容是否詳實(shí)；b)查看對數(shù)據(jù)是否采取了分類標(biāo)識、逐類定級和分級管理相結(jié)合的管理措施；c)查看是否執(zhí)行了數(shù)據(jù)的安全保護(hù)策略，并驗(yàn)證內(nèi)容是否詳實(shí)；d)查看是否建立了數(shù)據(jù)的容災(zāi)備份機(jī)制，驗(yàn)證內(nèi)容是否詳實(shí)，有無重大缺失；e)查看對個(gè)人信息和重要數(shù)據(jù)的傳輸、存儲是否采用了加密等保護(hù)措施；f)查驗(yàn)個(gè)人信息的收集、存儲、使用、共享、轉(zhuǎn)讓、公開披露等是否符合GB/T35273的要求。例如查驗(yàn)是否存在超出用戶授權(quán)范圍或違反要求收集、存儲、使用個(gè)人信息的情況；g)應(yīng)嚴(yán)格控制重要數(shù)據(jù)的公開、分析、交換、共享和導(dǎo)出等關(guān)鍵環(huán)節(jié)。例如查看重要數(shù)據(jù)公開前是否經(jīng)過脫敏處理；查看是否明確數(shù)據(jù)分析的程度和范圍；查看是否限制共享數(shù)據(jù)的類型、范圍以及共享后的使用目的等；h)查看數(shù)據(jù)安全風(fēng)險(xiǎn)評估報(bào)告。通過訪談、查驗(yàn)等形式對評估報(bào)告內(nèi)容進(jìn)行核查驗(yàn)證，驗(yàn)證評估結(jié)果是否客觀屬實(shí)，檢查整改建議是否全面、準(zhǔn)確、合理；i)訪談安全管理人員對數(shù)據(jù)安全風(fēng)險(xiǎn)評估中發(fā)現(xiàn)的安全隱患，是否制定整改方案，是否落實(shí)整改措施，消除安全隱患；j)在自治區(qū)境內(nèi)運(yùn)營中收集、產(chǎn)生和存儲的個(gè)人信息和重要數(shù)據(jù)，因業(yè)務(wù)需要，確需向境外提供的，應(yīng)當(dāng)進(jìn)行安全評估。6.5安全組織架構(gòu)情況檢查5a)運(yùn)營者應(yīng)按照要求建立了網(wǎng)絡(luò)安全管理機(jī)構(gòu)，建立指導(dǎo)和管理網(wǎng)絡(luò)安全工作的委員會(huì)或領(lǐng)導(dǎo)b)應(yīng)設(shè)立網(wǎng)絡(luò)安全管理負(fù)責(zé)人和關(guān)鍵崗位的人員等崗位，明確網(wǎng)絡(luò)安全管理負(fù)責(zé)人和關(guān)鍵崗位c)應(yīng)建立并實(shí)施網(wǎng)絡(luò)安全考核及監(jiān)督問責(zé)機(jī)制，對網(wǎng)絡(luò)安全管理負(fù)責(zé)人和關(guān)鍵崗位的人員進(jìn)行b)查看有關(guān)證明材料，驗(yàn)證運(yùn)營者是否建立并實(shí)施網(wǎng)絡(luò)安全考核及監(jiān)督問責(zé)機(jī)制，驗(yàn)證是否在相關(guān)制度中對人員職責(zé)明確責(zé)任分工情況，并通過考核和監(jiān)督問責(zé)相關(guān)工作記錄文檔查驗(yàn)該a)應(yīng)將網(wǎng)絡(luò)安全設(shè)施運(yùn)行維護(hù)、網(wǎng)絡(luò)安全服務(wù)采購、日常網(wǎng)絡(luò)安全管理、網(wǎng)絡(luò)安全教育培訓(xùn)、網(wǎng)絡(luò)安全自查、等級測評、關(guān)鍵信息基礎(chǔ)設(shè)施檢測評估、網(wǎng)絡(luò)安全應(yīng)急處置等費(fèi)用納入部門b)應(yīng)嚴(yán)格落實(shí)網(wǎng)絡(luò)安全經(jīng)費(fèi)預(yù)算，保證網(wǎng)絡(luò)安全經(jīng)費(fèi)投入。b)查驗(yàn)相關(guān)財(cái)務(wù)文檔和經(jīng)費(fèi)使用賬目，檢查上一年度網(wǎng)絡(luò)安全經(jīng)費(fèi)實(shí)際投入情況、網(wǎng)絡(luò)安全經(jīng)e)應(yīng)建立網(wǎng)絡(luò)安全責(zé)任事故追查機(jī)制，對違反網(wǎng)絡(luò)安全管理規(guī)定的人員給予嚴(yán)肅處理，對造成6a)查驗(yàn)教育培訓(xùn)計(jì)劃、會(huì)議通知、檢查網(wǎng)絡(luò)安全形勢教育等開展情況；查驗(yàn)培訓(xùn)通知、培訓(xùn)教材、結(jié)業(yè)證書等；訪談網(wǎng)絡(luò)安全管理和技術(shù)人員培訓(xùn)內(nèi)容，查看是否具有人員安全教育培訓(xùn)b)查驗(yàn)崗位網(wǎng)絡(luò)安全責(zé)任制度文件，檢查不同崗位的網(wǎng)絡(luò)安全責(zé)任是否明確；檢查重點(diǎn)崗位人c)查驗(yàn)人員離崗離職管理制度文件，檢查是否有終止系統(tǒng)訪問權(quán)限、收回軟硬件設(shè)備、收回身份證件和門禁卡等要求；檢查離崗離職人員安全保密承諾書簽署情況；查驗(yàn)信息系統(tǒng)賬戶，e)查驗(yàn)安全事件記錄及安全事件責(zé)任查處等文檔，檢查是否發(fā)生過因違反制度規(guī)定造成的網(wǎng)絡(luò)d)外包開發(fā)的關(guān)鍵信息基礎(chǔ)設(shè)施軟件系統(tǒng)上線應(yīng)用前應(yīng)進(jìn)行了等級測評、關(guān)鍵信息基礎(chǔ)設(shè)施風(fēng)c)查驗(yàn)外包人員現(xiàn)場服務(wù)記錄，查驗(yàn)記錄是否完整(包括服務(wù)時(shí)間、服務(wù)人員、陪同人員、工作內(nèi)容等信息);d)訪談系統(tǒng)管理員和工作人員，查驗(yàn)安全測評報(bào)告，檢查外包開發(fā)的軟件系統(tǒng)上線前是否進(jìn)行c)應(yīng)建立信息資產(chǎn)臺賬(清單),統(tǒng)一編號、統(tǒng)一標(biāo)識、統(tǒng)一發(fā)放，并及時(shí)記錄信息資產(chǎn)狀態(tài)d)應(yīng)建立并嚴(yán)格執(zhí)行設(shè)備維修維護(hù)和報(bào)廢管理7b)查驗(yàn)設(shè)備管理員任命及崗位分工等文件，檢查是否明確專人負(fù)責(zé)信息資產(chǎn)管理；訪談設(shè)備管c)查驗(yàn)信息資產(chǎn)臺賬，檢查臺賬是否完整(包括設(shè)備編號、設(shè)備狀態(tài)、責(zé)任人等信息；查驗(yàn)領(lǐng)c)應(yīng)與關(guān)鍵信息基礎(chǔ)設(shè)施系統(tǒng)相關(guān)產(chǎn)品和服務(wù)的提供者簽訂了安全保密協(xié)議，明確了安全和保d)對可能影響國家安全的產(chǎn)品或服務(wù)，應(yīng)通過了國家安全a)訪談網(wǎng)絡(luò)安全管理人員，查看三同步落實(shí)情況相關(guān)文檔，是否落實(shí)同步規(guī)劃、同步建設(shè)和同步使用，包括：在項(xiàng)目規(guī)劃階段，是否有安全部門介入，參與規(guī)劃；建設(shè)階段是否合規(guī)進(jìn)行資金預(yù)算、是否同步設(shè)計(jì)安全措施，驗(yàn)收時(shí)是否針對安全部分進(jìn)行驗(yàn)收測試；使用階段是否b)查看產(chǎn)品或服務(wù)運(yùn)行日志，查閱新系統(tǒng)上線前的關(guān)鍵信息基礎(chǔ)設(shè)施檢測評估報(bào)告，驗(yàn)證系統(tǒng)c)查看安全運(yùn)維記錄，包括但不限于補(bǔ)丁升級、漏洞掃描、防護(hù)策略調(diào)整、遠(yuǎn)程運(yùn)維審批和日8d)訪談網(wǎng)絡(luò)運(yùn)維人員安全運(yùn)維情況，查看是否有遠(yuǎn)程或境外運(yùn)維的產(chǎn)品或服務(wù)并向有關(guān)部門報(bào)備的文檔，內(nèi)容是否詳實(shí)，有無重大缺失。6.12網(wǎng)絡(luò)邊界安全防護(hù)情況檢查a)網(wǎng)絡(luò)與信息系統(tǒng)與互聯(lián)網(wǎng)及其他公共信息網(wǎng)絡(luò)應(yīng)實(shí)行邏輯隔離；b)應(yīng)建立互聯(lián)網(wǎng)接入審批和登記制度，嚴(yán)格控制互聯(lián)網(wǎng)接入口數(shù)量，加強(qiáng)互聯(lián)網(wǎng)接入口安全管理和安全防護(hù)；c)應(yīng)采取訪問控制、安全審計(jì)、邊界完整性檢查、入侵防范、惡意代碼防范等措施，進(jìn)行網(wǎng)絡(luò)d)應(yīng)根據(jù)承載業(yè)務(wù)的重要性對網(wǎng)絡(luò)進(jìn)行分區(qū)分域管理，采取必要的技術(shù)措施對不同網(wǎng)絡(luò)分區(qū)進(jìn)行防護(hù)、對不同安全域之間實(shí)施訪問控制；e)應(yīng)對網(wǎng)絡(luò)日志進(jìn)行管理，定期分析，及時(shí)發(fā)現(xiàn)安全風(fēng)險(xiǎn)。b)測試。a)查驗(yàn)網(wǎng)絡(luò)拓?fù)鋱D，檢查重要設(shè)備連接情況，現(xiàn)場核查內(nèi)部辦公系統(tǒng)等的交換機(jī)、路由器等網(wǎng)絡(luò)設(shè)備，確認(rèn)以上設(shè)備的光纖、網(wǎng)線等物理線路沒有與互聯(lián)網(wǎng)及其他公共信息網(wǎng)絡(luò)直接連接，有相應(yīng)的安全隔離措施；b)查驗(yàn)網(wǎng)絡(luò)拓?fù)鋱D，檢查接入互聯(lián)網(wǎng)情況，統(tǒng)計(jì)網(wǎng)絡(luò)外聯(lián)的出口個(gè)數(shù)，檢查每個(gè)出口是否均有相應(yīng)的安全防護(hù)措施；c)查驗(yàn)網(wǎng)絡(luò)拓?fù)鋱D，檢查是否在網(wǎng)絡(luò)邊界部署了訪問控制(如防火墻)、入侵檢測、安全審計(jì)以及非法外聯(lián)檢測、病毒防護(hù)等必要的安全設(shè)備；d)分析網(wǎng)絡(luò)拓?fù)鋱D，檢查網(wǎng)絡(luò)隔離設(shè)備部署、交換機(jī)VLAN劃分情況，檢查網(wǎng)絡(luò)是否按重要程度劃分了安全區(qū)域，并確認(rèn)不同區(qū)域間采用了正確的隔離措施；e)查驗(yàn)網(wǎng)絡(luò)日志(重點(diǎn)是互聯(lián)網(wǎng)訪問日志)及其分析報(bào)告，檢查日志分析周期、日志保存方式和保存時(shí)限等。6.13無線網(wǎng)絡(luò)安全防護(hù)情況檢查a)應(yīng)采取身份鑒別、地址過濾等措施對無線網(wǎng)絡(luò)的接入進(jìn)行管理，采用白名單管理機(jī)制，防止非授權(quán)接入造成的內(nèi)網(wǎng)滲透事件發(fā)生；b)應(yīng)修改無線路由設(shè)備的默認(rèn)管理地址和管理賬戶默認(rèn)口令，應(yīng)設(shè)置復(fù)雜口令；c)用戶接入認(rèn)證加密應(yīng)采用WPA2及更高級別算法，防止破解接入口令。b)測試。6.13.3檢查內(nèi)容包括：a)登錄無線網(wǎng)絡(luò)設(shè)備管理端，檢查安全防護(hù)策略配置情況，包括是否設(shè)置對接入設(shè)備采取身份鑒別認(rèn)證措施和地址過濾措施；b)檢查用戶接入認(rèn)證及管理端口登錄口令，包括口令強(qiáng)度和更新頻率，查看是否登錄頁面采用默認(rèn)地址及默認(rèn)口令；9a)宜采用集中統(tǒng)一管理方式對終端計(jì)算機(jī)進(jìn)行管理，統(tǒng)一軟件下發(fā)，統(tǒng)一安裝系統(tǒng)補(bǔ)丁，統(tǒng)一a)查看集中管理服務(wù)器，抽查終端計(jì)算機(jī)，檢查是否采用了集中統(tǒng)一管理方式對終端計(jì)算機(jī)進(jìn)c)應(yīng)配備必要的電子信息消除和銷毀設(shè)備，對變更用途的存儲介質(zhì)要消除信息，對廢棄的存儲d)查看關(guān)鍵信息基礎(chǔ)設(shè)施中的重要系統(tǒng)和數(shù)據(jù)庫是否實(shí)現(xiàn)異地備份，業(yè)務(wù)數(shù)據(jù)安全性要求高的a)應(yīng)建立了完備的安全監(jiān)測與預(yù)警措施，實(shí)時(shí)對關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)行狀態(tài)進(jìn)行監(jiān)測，應(yīng)能夠a)查看是否實(shí)時(shí)對關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)行狀態(tài)進(jìn)行監(jiān)測，能否第一時(shí)間發(fā)現(xiàn)系統(tǒng)中斷、性能下a)應(yīng)制定了應(yīng)急預(yù)案，并在過去一年中至少開展一次有單位網(wǎng)絡(luò)安全主要責(zé)任人參加的實(shí)戰(zhàn)演a)查看應(yīng)急預(yù)案文本，并在過去一年中至少開展一次有單位網(wǎng)絡(luò)安全主要責(zé)任人參加的實(shí)戰(zhàn)演b)查看梳理歷史重大安全事故、事件的應(yīng)急響應(yīng)處置記錄；按事件分級分類制定應(yīng)急預(yù)案并定a)檢查方使用漏洞檢測工具對網(wǎng)絡(luò)與信息系統(tǒng)進(jìn)行漏洞檢測，驗(yàn)證網(wǎng)絡(luò)與信息系統(tǒng)中是否存在安全漏洞，執(zhí)行的漏洞檢測的類型和內(nèi)容應(yīng)包括：端口服務(wù)掃描、主機(jī)漏洞掃描、應(yīng)用漏洞b)檢查方利用系統(tǒng)安全漏洞，通過模擬攻擊，對目標(biāo)系統(tǒng)嘗試無害的攻擊測試獲取測試結(jié)果，檢查驗(yàn)證網(wǎng)絡(luò)與信息系統(tǒng)安全保護(hù)策略和安全防護(hù)措施的有效性，評價(jià)網(wǎng)絡(luò)與信息系統(tǒng)的安a)使用漏洞掃描等工具檢測操作系統(tǒng)、端口、應(yīng)用、服務(wù)及補(bǔ)丁更新情況，檢測是否關(guān)閉了不b)測試檢查是否可以獲取系統(tǒng)權(quán)限；測試安全域隔離策略是否已經(jīng)失效并可以突破；測試重要e)檢查系統(tǒng)是否被入侵并被控制(存在入侵痕跡和后門)等。7專項(xiàng)網(wǎng)絡(luò)安全檢查7.1云計(jì)算服務(wù)平臺專項(xiàng)檢查為黨政機(jī)關(guān)和關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營者提供服務(wù)的云計(jì)算服務(wù)平臺，應(yīng)按照GB/T31168的要求開展網(wǎng)絡(luò)安全檢查，同時(shí)應(yīng)符合下列要求：a)云計(jì)算服務(wù)平臺，應(yīng)通過云計(jì)算服務(wù)安全評估；b)云平臺管理運(yùn)營者應(yīng)將開展云計(jì)算服務(wù)安全評估的工作情況及整改結(jié)果及時(shí)向自治區(qū)網(wǎng)信部門報(bào)告，并提交《云計(jì)算服務(wù)安全評估報(bào)告》;c)針對云計(jì)算服務(wù)安全評估發(fā)現(xiàn)的風(fēng)險(xiǎn)問題，云平臺管理運(yùn)營者應(yīng)按計(jì)劃及時(shí)進(jìn)行風(fēng)險(xiǎn)處置，不斷提升云計(jì)算服務(wù)安全能力水平；d)通過云計(jì)算服務(wù)安全評估的云計(jì)算服務(wù)平臺，云平臺管理運(yùn)營者應(yīng)嚴(yán)格按照《云計(jì)算服務(wù)系統(tǒng)安全計(jì)劃》,落實(shí)執(zhí)行相關(guān)安全控制措施；e)云平臺管理運(yùn)營者應(yīng)對云計(jì)算服務(wù)平臺重大變更(如采用的虛擬化技術(shù)版本變更，云管理平臺版本變更，系統(tǒng)或網(wǎng)絡(luò)架構(gòu)調(diào)整、云平臺機(jī)房搬遷、更換運(yùn)維方等)可能產(chǎn)生的風(fēng)險(xiǎn)進(jìn)行分析，應(yīng)采取有效措施規(guī)避或降低因重大變更引發(fā)的安全風(fēng)險(xiǎn)，并按相關(guān)要求向自治區(qū)網(wǎng)信f)云平臺管理運(yùn)營者在發(fā)生網(wǎng)絡(luò)安全案件或重大事件時(shí)，應(yīng)及時(shí)向自治區(qū)網(wǎng)信部門報(bào)告，并配合相關(guān)部門開展調(diào)查工作；g)云平臺管理運(yùn)營者應(yīng)嚴(yán)格履行合同中所規(guī)定的安全責(zé)任和義務(wù)，確保用戶數(shù)據(jù)和業(yè)務(wù)的機(jī)密性、完整性、可用性，以及互操作性、可移植性；未經(jīng)用戶授權(quán)，不得收集、訪問、修改、披露、利用、轉(zhuǎn)讓、銷毀用戶數(shù)據(jù)；云平臺管理運(yùn)營者應(yīng)根據(jù)用戶需求，確定個(gè)人信息安全要求，并按照GB/T35273要求提供相應(yīng)的個(gè)人信息保護(hù)機(jī)制；h)云平臺管理運(yùn)營者，在服務(wù)合同終止時(shí)，應(yīng)按照合同中所規(guī)定要求做好數(shù)據(jù)、文檔等資源的移交和清除工作。7.2工控系統(tǒng)專項(xiàng)檢查對于工控系統(tǒng)網(wǎng)絡(luò)安全檢查，應(yīng)按照GB/T37980的規(guī)定執(zhí)行，同時(shí)應(yīng)符合下列要求：a)企業(yè)應(yīng)明確工控系統(tǒng)的安全保護(hù)等級，應(yīng)完成工控系統(tǒng)的等級保護(hù)定級和備案工作；b)企業(yè)應(yīng)開展工控系統(tǒng)的等級測評工作，等級測評報(bào)告應(yīng)客觀準(zhǔn)確地反映被測評工控系統(tǒng)的安全保護(hù)狀況，并提供整改建議。企業(yè)對等級測評中發(fā)現(xiàn)的安全問題應(yīng)進(jìn)行整改；c)企業(yè)應(yīng)開展關(guān)鍵信息基礎(chǔ)設(shè)施的識別認(rèn)定工作和備案工作；d)認(rèn)定為關(guān)鍵信息基礎(chǔ)設(shè)施的工控系統(tǒng)應(yīng)每年開展安全風(fēng)險(xiǎn)評估工作，并對風(fēng)險(xiǎn)評估中發(fā)現(xiàn)的安全問題應(yīng)進(jìn)行整改；e)企業(yè)應(yīng)對工業(yè)數(shù)據(jù)進(jìn)行保護(hù)，應(yīng)建立工業(yè)數(shù)據(jù)的安全保護(hù)制度，應(yīng)制定工