2017年政府信息系统安全检查指南

《2017年政府信息系统安全检查指南》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、2011年政府信息系统安全检查指南　　为指导国务院各部门2011年信息安全检查工作，依据《国务院办公厅关于印发〈政府信息系统安全检查办法〉的通知》（国办发〔2009〕28号，以下简称《检查办法》）等政策文件，参照国家信息安全技术标准，制定本指南。　　一、检查目的　　依据国家信息安全有关政策规定，对各部门信息系统进行检查，掌握信息安全总体状况，发现存在的主要问题和薄弱环节，进一步健全信息安全管理制度，完善信息安全技术措施，提高信息安全防护能力。　　二、检查原则　　坚持“谁主管谁负责、谁运行谁负责、谁使用谁负责”的原则，统筹安排、突出重点、明确责

2、任、注重实效。　　检查工作以各部门自查为主，工业和信息化部会同有关部门统一组织安全抽查。部门管理的全国性信息系统安全检查工作，由主管部门统一组织部署。　　三、检查范围　　信息安全检查的范围是为各部门履行政府职能提供支撑的信息系统，包括自行运行维护管理以及委托其他机构运行维护管理的办公系统、业务系统、网站系统等。检查的重点是本部门的重要业务系统和门户网站。　　涉及国家秘密的信息系统保密检查工作，按照国家保密管理规定执行。　　四、重点检查内容　　（一）信息安全组织管理　　1.信息安全管理机构及其工作开展情况。（1）组织制定并落实信息安全管理规章制

3、度情况；（2）组织制定信息安全工作计划或工作方案情况；（3）组织开展信息安全教育培训和督促检查工作情况。　　2.信息安全员及其工作开展情况。（1）各内设机构信息安全员指定情况；（2）信息安全员开展督促、检查和指导等日常工作情况。　　（二）日常信息安全管理　　1.人员管理。查验相关文档、文件、记录等，重点检查：（1）岗位信息安全和保密责任制落实，特别是重要岗位信息安全和保密协议签订情况；（2）人员离岗离职信息安全管理情况；（3）外部人员访问机房等重要区域管理情况；（4）违反制度规定造成信息安全事件的责任查处情况等。　　2.资产管理。查验相关文档

4、、台帐、记录等，重点检查：（1）资产管理制度建立及落实情况，资产台帐是否清晰、账物是否相符；（2）办公软件、应用软件等安装与使用情况；（3）计算机及相关设备维修维护、报废销毁管理情况，是否有相应的登记记录等。　　3.信息技术外包服务安全管理。针对当前政府部门信息技术外包服务安全风险突出的现状，重点检查系统开发、系统集成、运行维护、灾难备份、数据处理、安全检测、系统托管等外包服务的安全管理：（1）服务机构性质与背景情况；（2）服务合同及安全保密协议签订情况，安全责任是否清晰；（3）人员现场服务记录情况，是否有现场服务监管措施；（4）系统维护方式

5、情况，重点排查远程在线服务带来的安全风险；（5）灾难备份服务情况，重点掌握灾难备份中心设立在境外的情况。　　4.信息技术产品使用管理。重点检查办公用计算机、公文处理软件、信息安全设备、服务器、网络设备等使用产品的安全可控情况，特别是本年度新采购办公用计算机、公文处理软件、信息安全设备是否满足安全可控要求。具体规定可咨询同级工业和信息化主管部门。　　5.信息安全经费保障。重点检查信息安全防护设施建设、运行、维护、检查及管理等费用是否纳入部门年度预算，以及本年度信息安全经费实际投入情况等。　　（三）信息安全防护管理　　1.网络边界防护管理。查看系

6、统总体网络架构、子系统分布、终端节点、区域划分及边界防护措施等，重点检查：（1）网络分区分域合理性；（2）安全防护设备策略配置有效性；（3）互联网接入情况，是否有访问互联网的安全控制措施，是否留存互联网访问日志并定期进行分析。　　2.信息系统安全管理。检查信息安全风险评估、等级保护等安全管理制度落实情况。　　（1）服务器安全防护。重点检查服务器上应用、服务、端口以及系统补丁等情况，是否关闭了不必要的应用，服务、端口；账户口令强度和更新情况；病毒木马防护情况，是否使用技术工具定期进行漏洞扫描、病毒木马检测。　　（2）网络设备防护。重点检查网络设

7、备安全策略配置有效性；账号口令强度和更新情况；是否使用技术工具定期进行漏洞扫描。　　（3）信息安全设备部署及使用。重点检查防病毒、防火墙、入侵检测、安全审计等安全设备部署及使用情况，以及安全策略配置的有效性。　　3.门户网站安全管理。以防攻击、防挂马、防篡改、防瘫痪、防窃密为目标，对门户网站安全防护情况进行全面检查：（1）系统管理账户和口令，清理无关账户，防止出现空口令、弱口令和默认口令；（2）服务器补丁更新情况，关闭不必要的端口，停止不必要的服务和应用，删除不必要的链接和插件；（3）网站目录结构，删除临时文件，防止敏感信息泄露；（4）信息发

8、布审核制度建立及落实情况；（5）是否使用技术工具定期进行漏洞扫描、木马检测。　　4.电子邮箱安全管理。重点检查：（1）邮箱使用情况，是否有非本部门人员特别是无关人员