215215單位信息安全評(píng)估報(bào)告(存儲(chǔ)版)
【正文】 但基本沒有 發(fā)布病毒通告 。 存儲(chǔ)備份系統(tǒng)評(píng)估 備份策略 評(píng)估標(biāo)準(zhǔn) 建立明確、合理的備份策略 ， 嚴(yán)格按照備份策略對(duì)系統(tǒng)數(shù)據(jù)進(jìn)行備份（查看備份策略文件、查看備份記錄或查看備份工具配置） 。 評(píng)估結(jié)論 建立介質(zhì)管理制度和廢棄介質(zhì)處理制度 ， 儲(chǔ)存介質(zhì)存放在安全環(huán)境 ， 嚴(yán)格介質(zhì)存取控制，對(duì)存儲(chǔ)介質(zhì)進(jìn)行定期檢查 。 現(xiàn)狀描述 有手提干粉滅火器，沒有采用氣體防火措施，空調(diào)系統(tǒng)定期進(jìn)行檢查，機(jī)房溫度控制在攝氏 26 度以下。 通報(bào)機(jī)制 評(píng)估標(biāo)準(zhǔn) 按照 集團(tuán) 公司的要求建立及時(shí)的信息安全信息通報(bào)機(jī)制 。 評(píng)估結(jié)論 建立完善的信息網(wǎng)故障搶修機(jī)制，應(yīng)急資源到位 。 故障搶修機(jī)制 評(píng)估標(biāo)準(zhǔn) 建立完善的信息網(wǎng)故障搶修機(jī)制，應(yīng)急資源到位 。 現(xiàn)狀描述 重要系統(tǒng)沒 有完善的、可操作的應(yīng)急預(yù)案 。 評(píng)估結(jié)論 補(bǔ)全 機(jī)房配線圖 ， 機(jī)房供電系統(tǒng)將動(dòng)力、照明用電與計(jì)算機(jī)系統(tǒng)供 電線路分開 ， 機(jī)房配備應(yīng)急照明裝置 ， 定期對(duì) UPS 的運(yùn)行狀況進(jìn)行檢測(cè) 和 記錄 。 備份介質(zhì)管理 評(píng)估標(biāo)準(zhǔn) 建立介質(zhì)管理制度和廢棄介質(zhì)處理制度 ， 儲(chǔ)存介質(zhì)存放在安全環(huán)境 ， 有嚴(yán)格的介質(zhì)存取控制，有專人對(duì)存儲(chǔ)介質(zhì)進(jìn)行定期檢查 。 現(xiàn)狀描述 沒有部署身份認(rèn)證系統(tǒng)、安全管理平臺(tái)，沒有漏洞掃描系統(tǒng)，重要系統(tǒng)沒有進(jìn)行信息安全風(fēng)險(xiǎn)評(píng)估，沒有部署針對(duì)安全設(shè)備的日志服務(wù)器。 12 評(píng)估結(jié)論 網(wǎng)絡(luò)中的防火墻位置部署合理 ， 防火墻規(guī)則配置符合安全要求 ， 防火墻規(guī)則配置 的 建立、更改 要 有規(guī)范申請(qǐng)、審核、審批流程 ， 對(duì)防火墻日志 應(yīng) 進(jìn)行存儲(chǔ)、備份 。 遠(yuǎn)程撥號(hào)訪問 評(píng)估標(biāo)準(zhǔn) 有限制遠(yuǎn)程撥號(hào)訪問的管理措施 ， 用于業(yè)務(wù)系統(tǒng)維護(hù)的遠(yuǎn)程撥號(hào)訪問采取身份驗(yàn)證、訪問操作記錄等措施 。 現(xiàn)狀描述 重要的系統(tǒng)主機(jī)采用了雙機(jī)備份 ， 進(jìn)行過熱切換或者故障恢復(fù)的測(cè)試 。 評(píng)估結(jié)論 建立 IP地址管理系統(tǒng)，加快進(jìn)行對(duì) IP地址的規(guī)劃和分配 ， IP地址分配 有 記錄 。 網(wǎng)絡(luò)分區(qū) 評(píng)估標(biāo)準(zhǔn) 生產(chǎn)控制系統(tǒng)和管理信息系統(tǒng)之間 進(jìn)行分區(qū)， VLAN間的訪問控制 設(shè)置 合理 。 現(xiàn)狀描述 沒有 建立 相應(yīng) 信息系統(tǒng)運(yùn)行管理規(guī)程 、缺陷管理制度、統(tǒng)計(jì)匯報(bào)制度、運(yùn)維流程、 值班 制度，沒有 實(shí)行工作票制度 ； 機(jī)房出入管理制度上墻 ，但沒有 機(jī)房進(jìn)出情況記錄 。 評(píng)估結(jié)論 完善 信息安全 組織機(jī)構(gòu)，成立 信息安全 工作機(jī)構(gòu)。 評(píng)估范圍 本次 信息安全 評(píng)估 工作重點(diǎn) 是重要的 業(yè)務(wù)管理信息系統(tǒng) 和網(wǎng)絡(luò)系統(tǒng)等， 管理信息系統(tǒng)中業(yè)務(wù)種類相對(duì)較多、網(wǎng)絡(luò)和業(yè)務(wù)結(jié)構(gòu)較為復(fù)雜，在檢查工作中強(qiáng)調(diào)對(duì)基礎(chǔ)信息系統(tǒng)和重點(diǎn)業(yè)務(wù)系統(tǒng)進(jìn)行安全性 評(píng)估 ，具體包括：基礎(chǔ)網(wǎng)絡(luò)與服務(wù)器、關(guān)鍵業(yè)務(wù)系統(tǒng)、現(xiàn)有安全防護(hù)措施、信息安全管理的組織與策略、信息系統(tǒng)安全運(yùn)行和維護(hù)情況 評(píng)估 。資產(chǎn)清單見附表 1。 評(píng)估結(jié)論 本局已有兼職 網(wǎng)絡(luò)管理 員、應(yīng)用 系統(tǒng)管理 員和 系統(tǒng)管理 員，在條件許可下，配置專職管理人員； 專責(zé)的工作職責(zé)與工作范圍 沒 有明確制度進(jìn)行界定 ，根據(jù)實(shí)際情況制定管理 制度 ；崗位沒有 實(shí)行主、副崗備用制度 ，在條 件許可下，落實(shí) 主、副崗備用制度 。 現(xiàn)狀描述 沒有制訂 賬號(hào) 與 口令管理制度 ， 普通用戶賬戶密碼、口令長(zhǎng)度要求 大部分都不符合 大于 6字符 ； 管理員賬戶密碼、口令長(zhǎng)度大于 8字符 ， 半年內(nèi)賬戶密碼、口令 有 過變更 ，但沒有 變更相關(guān)記錄、通知、文件；半年內(nèi)
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1