信息安全評(píng)估報(bào)告

1、xxx有限公司信息安全評(píng)估報(bào)告(管理信息系統(tǒng))x年x月1目標(biāo)xxxxxxxxx公司信息安全檢查工作的主要目標(biāo)是通過(guò)自評(píng)估工作，發(fā)現(xiàn)本公司電子設(shè)備當(dāng)前面臨的主要安全問(wèn)題，邊檢查邊整改，確保信息網(wǎng)絡(luò)和重要信息系統(tǒng)的安全。2評(píng)估依據(jù)、范圍和方法2.1 評(píng)估依據(jù)信息安全技術(shù)信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范（GB/T 20984-2007）信息技術(shù)信息技術(shù)安全管理指南2.2 評(píng)估范圍本次信息安全評(píng)估工作重點(diǎn)是重要的業(yè)務(wù)管理信息系統(tǒng)和網(wǎng)絡(luò)系統(tǒng)等，管理信息系統(tǒng)中業(yè)務(wù)種類(lèi)相對(duì)較多、網(wǎng)絡(luò)和業(yè)務(wù)結(jié)構(gòu)較為復(fù)雜，在檢查工作中強(qiáng)調(diào)對(duì)基礎(chǔ)信息系統(tǒng)和重點(diǎn)業(yè)務(wù)系統(tǒng)進(jìn)行安全性評(píng)估，具體包括：基礎(chǔ)網(wǎng)絡(luò)與服務(wù)器、關(guān)鍵業(yè)務(wù)系

2、統(tǒng)、現(xiàn)有安全防護(hù)措施、信息安全管理的組織與策略、信息系統(tǒng)安全運(yùn)行和維護(hù)情況評(píng)估。2.3 評(píng)估方法采用自評(píng)估方法。3重要資產(chǎn)識(shí)別對(duì)本局范圍內(nèi)的重要系統(tǒng)、重要網(wǎng)絡(luò)設(shè)備、重要服務(wù)器及其安全屬性受破壞后的影響進(jìn)行識(shí)別，將一旦停止運(yùn)行影響面大的系統(tǒng)、關(guān)鍵網(wǎng)絡(luò)節(jié)點(diǎn)設(shè)備和安全設(shè)備、承載敏感數(shù)據(jù)和業(yè)務(wù)的服務(wù)器進(jìn)行登記匯總，形成重要資產(chǎn)清單。資產(chǎn)清單見(jiàn)附表1。4安全事件對(duì)公司半年內(nèi)發(fā)生的較大的、或者發(fā)生次數(shù)較多的信息安全事件進(jìn)行匯總記錄，形成本公司的安全事件列表。本公司至今沒(méi)有發(fā)生較大安全事故。  5安全檢查項(xiàng)目評(píng)估5.1 規(guī)章制度與組織管理評(píng)估 規(guī)章制度詳見(jiàn)計(jì)

3、算機(jī)信息系統(tǒng)及設(shè)備管理辦法5.1.1組織機(jī)構(gòu) 5.1.1.1 評(píng)估標(biāo)準(zhǔn)信息安全組織機(jī)構(gòu)包括領(lǐng)導(dǎo)機(jī)構(gòu)、工作機(jī)構(gòu)。5.1.1.2 現(xiàn)狀描述本公司已成立了信息安全領(lǐng)導(dǎo)機(jī)構(gòu)，但尚未成立信息安全工作機(jī)構(gòu)。5.1.1.3 評(píng)估結(jié)論完善信息安全組織機(jī)構(gòu)，成立信息安全工作機(jī)構(gòu)。  5.1.2崗位職責(zé) 5.1.2.1 評(píng)估標(biāo)準(zhǔn)崗位要求應(yīng)包括：專(zhuān)職網(wǎng)絡(luò)管理人員、專(zhuān)職應(yīng)用系統(tǒng)管理人員和專(zhuān)職系統(tǒng)管理人員；專(zhuān)責(zé)的工作職責(zé)與工作范圍應(yīng)有制度明確進(jìn)行界定；崗位實(shí)行主、副崗備用制度。 5.1.2.2 現(xiàn)狀描述我公司沒(méi)有配置專(zhuān)職

4、網(wǎng)絡(luò)管理人員、專(zhuān)職應(yīng)用系統(tǒng)管理人員和專(zhuān)職系統(tǒng)管理人員，都是兼責(zé)；專(zhuān)責(zé)的工作職責(zé)與工作范圍沒(méi)有明確制度進(jìn)行界定，崗位沒(méi)有實(shí)行主、副崗備用制度。 5.1.2.3 評(píng)估結(jié)論我公司已有兼職網(wǎng)絡(luò)管理員、應(yīng)用系統(tǒng)管理員和系統(tǒng)管理員，在條件許可下，配置專(zhuān)職管理人員；專(zhuān)責(zé)的工作職責(zé)與工作范圍沒(méi)有明確制度進(jìn)行界定，根據(jù)實(shí)際情況制定管理制度；崗位沒(méi)有實(shí)行主、副崗備用制度，在條件許可下，落實(shí)主、副崗備用制度。 5.1.3病毒管理 5.1.3.1 評(píng)估標(biāo)準(zhǔn)病毒管理包括計(jì)算機(jī)病毒防治管理制度、定期升級(jí)的安全策略、病毒預(yù)警和報(bào)告機(jī)制、病毒掃描策略（1周內(nèi)至少進(jìn)行一次掃描）

5、。 5.1.3.2 現(xiàn)狀描述我公司xxx防病毒軟件進(jìn)行病毒防護(hù)，定期從省官網(wǎng)病毒庫(kù)服務(wù)器下載、升級(jí)安全策略；病毒預(yù)警是通過(guò)第三方和網(wǎng)上提供信息來(lái)源，每月統(tǒng)計(jì)、匯總病毒感染情況；每周進(jìn)行二次自動(dòng)病毒掃描；沒(méi)有制定計(jì)算機(jī)病毒防治管理制度。 5.1.3.3 評(píng)估結(jié)論完善病毒預(yù)警和報(bào)告機(jī)制，制定計(jì)算機(jī)病毒防治管理制度。 5.1.4運(yùn)行管理 5.1.4.1 評(píng)估標(biāo)準(zhǔn)運(yùn)行管理應(yīng)制定信息系統(tǒng)運(yùn)行管理規(guī)程、缺陷管理制度、統(tǒng)計(jì)匯報(bào)制度、運(yùn)5 維流程、值班制度并實(shí)行工作票制度；制定機(jī)房出入管理制度并上墻，對(duì)進(jìn)出機(jī)房情況記錄。 

6、;5.1.4.2 現(xiàn)狀描述沒(méi)有建立相應(yīng)信息系統(tǒng)運(yùn)行管理規(guī)程、缺陷管理制度、統(tǒng)計(jì)匯報(bào)制度、運(yùn)維流程、值班制度，沒(méi)有實(shí)行工作票制度；機(jī)房出入管理制度上墻，但沒(méi)有機(jī)房進(jìn)出情況記錄。 5.1.4.3 評(píng)估結(jié)論結(jié)合本公司具體情況，制訂信息系統(tǒng)運(yùn)行管理規(guī)程、缺陷管理制度、統(tǒng)計(jì)匯報(bào)制度、運(yùn)維流程、值班制度，實(shí)行工作票制度；機(jī)房出入管理制度上墻，記錄機(jī)房進(jìn)出情況。  5.1.5賬號(hào)與口令管理 5.1.5.1 評(píng)估標(biāo)準(zhǔn)制訂了賬號(hào)與口令管理制度；普通用戶(hù)賬戶(hù)密碼、口令長(zhǎng)度要求符合大于6字符，管理員賬戶(hù)密碼、口令長(zhǎng)度大于8字符；半年內(nèi)賬戶(hù)密碼、口令應(yīng)變更并保存變更相關(guān)記錄、通知、文件，半年內(nèi)系統(tǒng)用戶(hù)身份發(fā)生變化后應(yīng)及時(shí)對(duì)其賬戶(hù)進(jìn)行變更或注銷(xiāo)。 5.1.5.2 現(xiàn)狀描述 沒(méi)有制訂賬號(hào)與口令管理制度，普通用戶(hù)賬戶(hù)密碼、口令長(zhǎng)度要求大部分都不符合大于6字符；管理員賬戶(hù)密碼、口令長(zhǎng)度大于8字符，半年內(nèi)賬戶(hù)密碼、口令有過(guò)變更，但沒(méi)有變更相關(guān)記錄、通知、文件；半年內(nèi)系統(tǒng)用戶(hù)身份發(fā)生變化后能及時(shí)對(duì)其賬戶(hù)進(jìn)行變更或注銷(xiāo)。 5.1.5.3