山西省网络安全检查表

一、部门基本情况 分管网络安全工作①姓名：________________ 的领导（如副部长） ②职务：________________ 网络安全管理机构 （如办公厅） ①名 称：________________ ②负责人：________________ 职 务：________________ ③联系人：________________ 办公电话：________________ 移动电话：________________ 网络安全专职处室 （如网络完全出） ①名 称：________________ ②负责人：________________ 办公电话：________________ 移动电话：________________ 二、信息系统情况 信息系统情况 ①信息系统总数：________________ ②网络连接情况：________________ 可以通过互联网访问的系统数量：________________ 不能通过互联网访问的系统数量：________________ ③面向社会龚总提供服务的系统数量：________________ ④本年度经过安全评测的系统数量：________________ 互联网接入情况 互联网接入口总数：________________ 接入中国联通 接入口数量：________ 接入带宽：________MB □接入中国电信 接入口数量：________ 接入带宽：________MB □其他：_______ 接入口数量：________ 接入带宽：________MB 系统定级情况 第一级：___________ 第二级：___________ 第三级：___________ 第四级：___________ 第五级：___________ 未定级：___________ 三、网络安全日常管理情况 ①岗位网络安全事故责任制：□已建立 □未建立 ②重点岗位人员安全保密协议：□全部签订 □部分签订 □均未签订 ③人员离岗离职安全管理规定：□已制定 □未制定 ④外部人员访问机房等重要区域审批制度：□已建立 □未建立 ①资产管理制度：□已建立 □未建立 ②设备维修维护和保费管理 □已建立管理制度，且记录完整 □已建立管理制度，但记录不完整 □未建立管理制度 人员管理 资产管理 四、网络安全防护情况 ①网络安全防护设备部署：(可多选) □防火墙 □入侵检测设备 □安全审计设备 □防病毒网关 □抗拒绝服务攻击设备 □其它：__________ ②设备安全策略配置：□使用默认配置 □根据需要配置 ③网络访问日志：□留存日志 □未留存日志 网络边界安全防护 无线网络安全防护 ①本单位使用无线路由器数量：__________ ②无线路由器用途： □访问互联网：________个 □访问业务/办公网络：________个 ③安全防护策略：（可多选） □采取身份鉴别措施 □采取地址过滤措施 □未设置安全防护策略 ④无线路由器使用默认管理地址情况：□存在 □不存在 ⑤无线路由器使用默认管理口令情况：□存在 □不存在 门户网站安全防护 ①门户网站域名：____________ ②门户网站IP地址：_____________ ③网页防篡改措施：□采取 □未采取 ④漏洞扫描：□定期，周期_______ □不定期 □未进行 ⑤信息发布者管理：□已建立审核制度，且记录完整 □已建立审核制度，且记录不完整 □未建立审核制度 ⑥运维方式：□自行运维 □委托第三方运维 电子邮件安全防护 ①建立方式：□自行建立 □使用第三方服务器邮件服务提供商___________ ②账户数量：_________个 ③注册管理：□需经审核 □任意注册 ④口令管理：□使用技术措施控制口令强度 □没有采取技术措施控制口令强度 ⑤安全保护：（可多选） □采取病毒木马防护措施 □部署防火墙、入侵检测等设备 □采取反垃圾邮件措施 □其他：___________ ①管理方式： □集中统一管理（可多选） □规范软硬件安装 □统一补丁升级 □统一病毒防护 □统一安全审计 □对移动存储介质接入实施控制 □分散管理 ②接入互联网安全控制措施： □有控制措施（如实名接入、绑定计算机IP和MAC地址等） □无控制措施 ③接入办公系统安全控制措施 □有控制措施（如实名接入、绑定计算机IP和MAC地址等） □无控制措施 ①管理方式： □集中管理，统一登记、配发、收回、维修、报废、销毁 □未采取集中管理方式 ②信息销毁： □已配备信息消除和销毁设备□未配备信息消除和销毁设备 终端计算机安全 防护 移动存储介质 安全防护 五、网络安全应急工作情况 应急预案 应急演练 □已制定 本年度修订情况：□修订 □未修订 □未制定 □本年度已开展，演练时间_______ □本年度未开展 灾难备份 ①数据备份： □采取备份措施，备份周期□实时，□周，□月，□年，□不定期 □未采取备份措施： ②系统备份： 采取实时备份措施的系统数量：_______ 未采取实时备份措施的系统数量：_______ 应急技术队伍 □本部门所属 □外部服务机构 □无 六、网络安全教育培训情况 培训次数 本年度开展网络安全教育培训次数：__________ 本年度参加网络安全教育培训人数：__________ 占本部门总人数的比例：___________% 培训人数 七、信息技术产品使用情况 ①总台数：________ ②品牌情况：国内品牌台数：______，其中使用国产CPU的台数________，国外品牌台数：________ ③操作系统情况：使用国产操作系统台数：_________ 使用国产操作系统台数：_________ ①总台数：________ ②品牌情况：国内品牌台数：________其中使用国产CPU的台数：_______ ③操作系统情况：使用国产操作系统台数：_________ 使用国外操作系统台数：_________ 其中，使用WindosXP系统的台数：______ ④安装国产自处理软件的终端计算机台数：_________ ⑤安装国外防病毒软件的终端计算机台数：_________ ①总台数：________ ②品牌情况：国内品牌台数：________ 国外品牌台数：________ ①总台数：________ ②品牌情况：国内品牌台数：________ 国外品牌台数：________ ①总台数：________ ②品牌情况：国内品牌台数：________ 国外品牌台数：________ ①总台数：________ ②品牌情况：国内品牌台数：________ 国外品牌台数：________ 总数：__________________ 品牌：__________________ 数量：__________________ 品牌：__________________ 数量：__________________ 服务器 终端计算机 （含笔记本） 路由器 交换机 存储设备 数据库管理系统 邮件系统 负载均衡设备 总数：__________________ 品牌：__________________ 数量：__________________ 品牌：__________________ 数量：__________________ 总数：__________________ 品牌：__________________ 数量：__________________ 品牌：__________________ 数量：__________________ 防火墙 入侵检测设备 （入侵防御） 总数：__________________ 品牌：__________________ 数量：__________________ 品牌：__________________ 数量：__________________ 安全审计设备 总数：__________________ 品牌：__________________ 数量：__________________ 品牌：__________________ 数量：__________________ 八、网络安全经费预算投入情况 经费预算 经费投入 本年度网络安全经费预算额：______________万元 上一年度网络安全经费实际投入额：______________万元 九、本年度技术检测及网络安全事件情况 渗透测试 技 术 检 测 情 况 进行渗透测试的系统数量：__________ 其中，可以成功控制的系统数量:___________ 恶意代码 检测 ①进行病毒木马等恶意代码1检测的服务器台数：_________ 其中，存在恶意代码的服务器台数：________ ②进行病毒木马等恶意代码检测的终端计算机台数：_________ 其中，存在恶意代码的终端计算机台数：________ ①进行漏洞扫描的服务器台数：_______ 其中，存在高风险漏洞2的服务器台数：______ ②进行漏洞扫描的终端计算机台数：_______ 其中，存在高风险漏洞的终端计算机台数：______ 安全漏洞 检查结果 网络 安全 事件 情况 门户网站受 安全防护设备基础到的门户网站受攻击次数：_________ 攻击情况 网页被篡改情况 门户网站网页被篡改（含内嵌恶意代码）次数：_________ 十、信息技术外包服务机构情况（包括参与技术检测的外包专业机构） 机构名称 机构性质 □国有单位 □民营企业 □外资企业 □系统集成 □系统运维 □风险评估 □安全检查 □安全加固 □应急支持 □数据存储 □灾难备份 □其他：__________ □已签订 □未签订 服务内容 外包服务机构1 网络安全 保密协议 信息安全 管理体系认证情况 机构名称 机构性质 □已通过认证 认证机构：______________ □未通过认证 □国有单位 □民营企业 □外资企业 □系统集成 □系统运维 □风险评估 □安全检查 □安全加固 □应急支持 □数据存储 □灾难备份 □其他：__________ □已签订 □未签订 服务内容 外包服务机构2 网络安全 保密协议 信息安全 管理体系认证情况 □已通过认证 认证机构：______________ □未通过认证 （如有2个以上外包机构，每个机构均有填写，可另附页） 本表所称恶意代码，是指病毒木马等具有避开安全防护措施、窃取他人信息、损害他人计算机及信息系统资源、队他人计算机及信息系统实施远程控制等功能的代码或程序。

2本表所称高风险漏洞，是指计算机硬件、软件或信息系统中存在的严重缺陷，利用这些缺陷可完全控制或部分控制计算机及信息系统，对计算机及信息系统实施攻击、破坏、信息窃取等行为。

1

山西省网络安全管理工作自评估表

评估指标 评估要素 评估标准 权重 指标 （V） 属性 量化方法（P为量化值） 已明确，本年度就网络安全工作作出批示或主持召开专题会议，P=1 已明确，本年度未就网络安全工作作出批示或主持召开专题会议，P=0.5 尚未确定，P=0 已指定，并以正式文件等形式明确其职责，P=1 未指定，P=0 P=指定网络安全员的内设机构数量与内设机构总数的比例。 制度完整，P=1 制度不完整，P=0.5 无制度，P=0。 符合，P=1 不符合，P=0。 评估得分 （V×P） 网络安全主管领导 明确一名主管领导负责本部门网络安全工作（主管领导应为本部门正职或副职领导）。 3 定性 网络安全组织管理 网络安全 管理机构 指定一个机构具有承担网络安全管理工作（管理机构应为本部门二级机构）。 2 定性 网络安全员 各内设机构指定一名专职或兼职网络安全员。 建立网络安全管理制度体系，涵盖人员管理、资产管理、采购管理、外包管理、教育培训等方面。 2 定量 制度完整性 网络 安全 日常 管理 规章制度 制度发布 3 定性 安全管理制度以正式文件等形式发布。 2 定性 重点岗位人员人员管理 签订安全 保密协议 重点岗位人员（系统管理员、网络管理员、网络安全员等）签订网络安全与保密协议。 2 定量 P=重点岗位人员中签订网络安全与保密协议的比例。 评估指标 评估要素 人员离岗 离职管理 措 施 外部人员 访问管理 措 施 责任落实 评估标准 人员离岗、离职时，收回其相关权限，签署安全保密承诺书。 外部人员访问机房等重要区域时采取审批、人员陪同、进出记录等安全管理措施。 指定专人负责资产管理，并明确责任人职责。 建立完整资产台账，统一编号，统一标示、统一发放。 权重 指标 （V） 属性 2 定性 量化方法（P为量化值） 符合，P=1 不符合，P=0。 符合，P=1； 不符合，P=0。 符合，P=1； 不符合，P=0。 符合，P=1； 不符合，P=0。 符合，P=1； 不符合，P=0。 记录完整，P=1 记录基本完整，P=0.5 记录不完整或者无记录，P=0 符合，P=1； 不符合，P=0。 记录完整，P=1 记录基本完整，P=0.5 记录不完整或者无记录，P=0 评估得分 （V×P） 人员管理 2 定性 2 定性 网络 安全 日常 管理 建立台账 资产管理 账务符合度 设备维修 维护和报废 管理措施 外包服务 协 议 外包管理 现场服务 管 理 2 定性 资产台账与实际设备相一致。 2 定性 完整记录设备维修维护和报废信息（时间、地点、内容、责任人等）。 与信息技术外包服务提供商签订网络安全与保密协议，或在服务合同中明确网络安全与保密责任。 现场服务过程中安排专人管理，并记录服务过程。 2 定性 2 定性 2 定性 评估指标 评估要素 外包开发 管 理 运维服务 方 式 评估标准 外包开发的系统、软件上线通过信息安全评测。 原则上不得采用远程在线方式，确需采用时采取书面审核、访问控制、在线监测、日志审计等安全防护措施。 将网络安全设施运维、日常管理、教育培训、检查评估等费用纳入年度预算。 网络信息发布并采取内容核查、审批等安全管理措施。 配备必要的电子信息消除和销毁设备，队变更用途的存储介质进行信息消除，对废弃的存储介质进行销毁。 具备防盗窃、防破坏、防雷击、防火、防水、防潮、防静电及电子供应、温湿度控制、电磁防护等安全措施。 机房配备门禁系统或有专人值守。 权重 指标 （V） 属性 2 定量 量化方法（P为量化值） P=外包开发的系统、软件上线前通过信息安全评测的比例。 符合，P=1； 不符合，P=0。 符合，P=1； 不符合，P=0。 符合，P=1； 不符合，P=0。 符合，P=1； 不符合，P=0。 符合，P=1； 不符合，P=0。 符合，P=1； 不符合，P=0。 符合，P=1； 有设备，但未配置策略，P=0.5； 不符合，P=0 评估得分 （V×P） 外包 管理 2 定性 网络 安全 日常 管理 经费保障 经费预算 3 定性 网站内容 管 理 电子信息 管 理 网站信息 发 布 介质销毁和 信息涂改 2 定性 1 定性 机房安全 信息 安全 防护 管理 物理环境 安 全 2 定性 物理访问 控制 1 定性 网络边界 安 全 访问控制 网络边界部署访问控制设备，能够阻断非授权访问。 3 定性 评估指标 评估要素 评估标准 网络边界部署入侵检查设备，定期更新检查规则库。 网络边界部署安全审计设备，对网络访问情况进行定期分析审计并记录审计情况。 各单位同意办公室区域互联网接入口不超过2个。 部署防病毒网关或同意装防病毒软件、并定期更新恶意代码数据库。 定期对服务器、网络设备、安全设备等进行安全漏洞扫描。 配置口令策略保证服务器口令强度和更新频率。 区域安全审计功能并进行定期分析。 及时对服务器操作系统补丁和数据库管理系统补丁进行更新。 权重 指标 （V） 属性 2 定性 量化方法（P为量化值） 符合，P=1； 有设备，但未配置策略，P=0.5； 不符合，P=0 符合，P=1； 有设备，但未配置策略，P=0.5； 不符合，P=0 符合，P=1； 不符合，P=0。 符合，P=1； 有设备，但未配置策略，P=0.5； 不符合，P=0 符合，P=1； 不符合，P=0。 P=配置了口令策略的服务器比例。 P=对安全审计日志进行定期分析的服务器比例。 P=补丁的及时更新的服务器比例。 评估得分 （V×P） 入侵检查 网络边界 安 全 安全审计 2 定性 互联网接 入口数量 信息 安全 防护 管理 恶意代码 防 护 设备扫描 漏 洞 设备安全 服务器口令 策 略 服务器安全 审 计 服务器补丁 更 新

2 定性 2 定性 2 定性 1 定量 1 定量 2 定量