2012年浙江省重点领域网络与信息安全检查行动指南

《2012年浙江省重点领域网络与信息安全检查行动指南》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、附件1：2012年浙江省重点领域网络与信息安全检查行动指南为指导重点领域信息安全自查工作，依据《国务院办公厅关于开展重点领域网络与信息安全检查行动的通知》（国办函〔2012〕102号），以下简称《检查通知》），制定本指南。本指南主要用于各级政府部门、重要信息系统、大型企业以及其他有关单位（以下统称自查单位）在开展信息安全自查具体工作时参考。各市网络与信息安全协调小组办事机构、有关重点行业主管或监管部门在组织制定本地区、本行业安全检查实施方案时也可参考本指南。一、自查目的通过开展安全自查，进一步梳理、掌握本单位重要网络与信息系统基本情况，查找

2、突出问题和薄弱环节，分析面临的安全威胁和风险，评估安全防护水平，有针对性地采取防范对策和改进措施，加强网络与信息系统安全管理和技术防护，促进安全防护能力和水平提升，预防和减少重大信息安全事件的发生，切实保障本单位网络与信息安全。二、自查工作流程信息安全自查主要包括自查工作部署、基本情况自查、问题与风险分析、自查工作总结等4个环节（见图1）。建议时间自查工作环节主要工作内容7月12日－7月中下旬自查工作部署②自查工作动员部署①研究制定自查工作方案7月中下旬－8月下旬基本情况自查问题整改⑤安全技术检测④应急处置及容灾备份情况自查③技术防护情况自

3、查②安全管理情况自查①系统安全基本情况自查案8月下旬－9月上旬自查工作总结问题与风险分析问题整改②自查工作上报①自查工作总结③主要威胁分析②国外依赖度分析①主要问题分析图1自查工作流程环节一自查工作部署一、研究制定自查实施方案（一）自查实施方案应当明确的内容自查实施方案应当明确以下内容：（1）自查工作负责人、组织单位和实施机构。（2）自查范围和自查对象。（3）自查工作的组织方式。（4）自查工作时间进度安排。1.关于自查范围。运营主体或运营单位总部在我市范围内的重要信息系统（中央直属单位、企业或分公司等信息系统由国家统一安排）。包括：（1）省

4、、市党政机关信息系统；（2）金融（包括银行、证券、保险等）、能源（包括电厂）、通信、交通（公路）、广播电视、医疗卫生、教育、水利、环境保护、钢铁、化工、装备制造业等重点行业的网络与信息系统（含工业控制系统，下同）；（3）城市轨道交通、供水供气供热等市政领域的网络与信息系统。2.关于自查对象。主要指网络与信息系统安全管理与防护涉及到的信息安全综合管理部门、信息化部门、业务部门、生产管理部门、财务部门、人事部门等相关部门。各单位可根据实际情况确定具体的自查对象。3.关于自查工作组织。自查单位可成立自查工作组开展检查，也可指定专门机构负责自查实施

5、工作。自查工作组可由本单位信息化与信息安全部门以及相关业务部门中熟悉业务、具备信息安全知识、技术能力较强的人员，以及本单位相关技术支撑机构业务骨干等组成。单位内各部门可指定人员负责协调配合和联络工作。对于有工业控制系统的单位，可考虑生产管理部门参与工业控制系统信息安全检查。对于信息系统复杂、自查工作涉及部门多的单位，可根据需要成立自查工作领导小组，负责自查工作的组织协调与资源配置。领导小组组长可由本单位信息安全主管领导担任，领导小组成员可包括信息安全综合管理部门负责人（如办公室主任）、信息化部门负责人（如信息中心主任），以及其他相关部门负责

6、人（如人事部门、财务部门、业务部门、生产管理部门领导）等。（二）应当注意的有关事项1.纳入检查范围的网络与信息系统从安全防护的角度应具有相对的独立性。从安全防护的角度判断网络与信息系统独立性的方法如下：根据系统所承担业务的独立性、责任主体的独立性、网络边界的独立性、安全防护设备设施的独立性四个因素，对网络与信息系统进行全面梳理并综合分析，划分出相对独立的网络与信息系统，并形成网络与信息系统清单，以便于更好地界定检查范围。2.关于重要网络与信息系统，可从系统特征的角度，立足本地区、本部门或本行业实际，参考以下标准进行判定：（1）业务依赖度高。

7、（2）数据集中度高（全国或省级数据集中）。（3）实时性要求高。（4）系统关联性强（发生重大信息安全事件后，会对与其相连的其他系统造成较大影响，并产生连片连锁反应）。（5）直接面向社会公众提供服务，用户数量庞大，覆盖范围广。（6）灾备等级高（系统级灾备）。3.关于重要工业控制系统，可从发生信息安全事件造成危害的角度，参考以下标准进行判定：（1）发生重大信息安全事件，致使系统出现严重故障后，可能导致10人以上死亡或50人以上重伤。（2）发生重大信息安全事件，致使系统出现严重故障后，可能导致5000万元以上直接经济损失。（3）发生重大信息安全事件

8、，致使系统出现严重故障后，可能影响100万人以上正常生活。（4）发生重大信息安全事件，致使系统出现严重故障后，可能对与其相连的其他系统造成影响，并产生连片连锁反应。（5）发生重大