1、目標
勝達集團信息安全檢查工作的主要目標是通過自評估工作，發現本局信息系統當前面臨的主要安全問題，邊檢查邊整改，確保信息網絡和重要信息系統的安全。
2、評估依據、範圍和方法
2.1 評估依據
根據國務院信息化工作辦公室《關於對國家基礎信息網絡和重要信息系統開展安全檢查的通知》（信安通［2006］15號）、國家電力監管委員會《關於對電力行業有關單位重要信息系統開展安全檢查的通知》（辦信息[2006]48號）以及集團公司和省公司公司的文件、檢查方案要求， 開展××單位的信息安全評估。
2.2 評估範圍
本次信息安全評估工作重點是重要的業務管理信息系統和網絡系統等，管理信息系統中業務種類相對較多、網絡和業務結構較為複雜，在檢查工作中強調對基礎信息系統和重點業務系統進行安全性評估，具體包括：基礎網絡與服務器、關鍵業務系統、現有安全防護措施、信息安全管理的組織與策略、信息系統安全運行和維護情況評估。
2.3 評估方法
採用自評估方法。
3、重要資產識別
對本局範圍內的重要系統、重要網絡設備、重要服務器及其安全屬性受破壞後的影響進行識別，將一旦停止運行影響面大的系統、關鍵網絡節點設備和安全設備、承載敏感數據和業務的服務器進行登記彙總，形成重要資產清單。
4、安全事件
對本局半年內發生的較大的、或者發生次數較多的信息安全事件進行彙總記錄，形成本單位的安全事件列表。安全事件列表見附表2。
5、安全檢查項目評估
5.1 規章制度與組織管理評估
5.1.1組織機構
評估標準
信息安全組織機構包括領導機構、工作機構。
現狀描述
本局已成立了信息安全領導機構，但尚未成立信息安全工作機構。
評估結論
完善信息安全組織機構，成立信息安全工作機構。
5.1.2崗位職責
估標準
崗位要求應包括：專職網絡管理人員、專職應用系統管理人員和專職系統管理人員；專責的工作職責與工作範圍應有制度明確進行界定；崗位實行主、副崗備用制度。
現狀描述
我局沒有配置專職網絡管理人員、專職應用系統管理人員和專職系統管理人員，都是兼責；專責的工作職責與工作範圍沒有明確制度進行界定，崗位沒有實行主、副崗備用制度。
評估結論
本局已有兼職網絡管理員、應用系統管理員和系統管理員，在條件許可下，配置專職管理人員；專責的工作職責與工作範圍沒有明確制度進行界定，根據實際情況制定管理制度；崗位沒有實行主、副崗備用制度，在條件許可下，落實主、副崗備用制度。
5.1.3病毒管理
評估標準
病毒管理包括計算機病毒防治管理制度、定期升級的安全策略、病毒預警和報告機制、病毒掃描策略（1周內至少進行一次掃描）。
現狀描述
本局使用Symantec防病毒軟件進行病毒防護，定期從省公司病毒庫服務器下載、升級安全策略；病毒預警是通過第三方和網上提供信息來源，每月統計、彙總病毒感染情況並提交局生技部和省公司生技部；每週進行二次自動病毒掃描；沒有制定計算機病毒防治管理制度。
評估結論
完善病毒預警和報告機制，制定計算機病毒防治管理制度。
5.1.4運行管理
評估標準
運行管理應制定信息系統運行管理規程、缺陷管理制度、統計彙報制度、運維流程、值班制度並實行工作票制度；制定機房出入管理制度並上牆，對進出機房情況記錄。
現狀描述
沒有建立相應信息系統運行管理規程、缺陷管理制度、統計彙報制度、運維流程、值班制度，沒有實行工作票制度；機房出入管理制度上牆，但沒有機房進出情況記錄。
評估結論
結合本局具體情況，制訂信息系統運行管理規程、缺陷管理制度、統計彙報制度、運維流程、值班制度，實行工作票制度；機房出入管理制度上牆，記錄機房進出情況。
5.1.5賬號與口令管理
評估標準
制訂了賬號與口令管理制度；普通用户賬户密碼、口令長度要求符合大於6字符，管理員賬户密碼、口令長度大於8字符；半年內賬户密碼、口令應變更並保存變更相關記錄、通知、文件，半年內系統用户身份發生變化後應及時對其賬户進行變更或註銷。
現狀描述
沒有制訂賬號與口令管理制度，普通用户賬户密碼、口令長度要求大部分都不符合大於6字符；管理員賬户密碼、口令長度大於8字符，半年內賬户密碼、口令有過變更，但沒有變更相關記錄、通知、文件；半年內系統用户身份發生變化後能及時對其賬户進行變更或註銷。
評估結論
制訂賬號與口令管理制度，完善普通用户賬户與管理員賬户密碼、口令長度要求；對賬户密碼、口令變更作相關記錄；及時對系統用户身份發生變化後對其賬户進行變更或註銷。
5.2 網絡與系統安全評估
5.2.1網絡架構
評估標準
局域網核心交換設備、城域網核心路由設備應採取設備宂餘或準備備用設備，不允許外聯鏈路繞過防火牆，具有當前準確的網絡拓撲結構圖。
現狀描述
局域網核心交換設備準備了備用設備，城域網核心路由設備採取了設備宂餘；沒有不經過防火牆的外聯鏈路，有當前網絡拓撲結構圖。
評估結論
局域網核心交換設備、城域網核心路由設備按要求採取設備宂餘或準備備用設備，外聯鏈路沒有繞過防火牆，完善網絡拓撲結構圖。
5.2.2網絡分區
評估標準
生產控制系統和管理信息系統之間進行分區，VLAN間的訪問控制設置合理。
現狀描述
生產控制系統和管理信息系統之間沒有進行分區，VLAN間的訪問控制設置合理。
評估結論
對生產控制系統和管理信息系統之間進行分區，VLAN間的訪問控制設置合理。
5.2.3 網絡設備
評估標準
網絡設備配置有備份，網絡關鍵點設備採用雙電源，關閉網絡設備HTTP、FTP、TFTP等服務，SNMP社區串、本地用户口令強健（>8字符，數字、字母混雜）。
現狀描述
網絡設備配置沒有進行備份，網絡關鍵點設備是雙電源，網絡設備關閉了HTTP、FTP、TFTP等服務，SNMP社區串、本地用户口令沒達到要求。
評估結論
對網絡設備配置進行備份，完善SNMP社區串、本地用户口令強健（>8字符，數字、字母混雜）。
5.2.4 IP管理
評估標準
有IP地址管理系統，IP地址管理有規劃方案和分配策略，IP地址分配有記錄。
現狀描述
沒有IP地址管理系統，正在進行對IP地址的規劃和分配，IP地址分配有記錄。
評估結論
建立IP地址管理系統，加快進行對IP地址的規劃和分配，IP地址分配有記錄。
5.2.5補丁管理
評估標準
有補丁管理的手段或補丁管理制度，Windows系統主機補丁安裝齊全，有補丁安裝的測試記錄。
現狀描述
通過手工補丁管理手段，沒有制訂相應管理制度；Windows系統主機補丁安裝基本齊全，沒有補丁安裝的測試記錄。
評估結論
完善補丁管理的手段，制訂相應管理制度；補缺Windows系統主機補丁安裝，補丁安裝前進行測試記錄。
5.2.6系統安全配置
評估標準
校園網信息發佈實行統一管理、分層負責制。網絡中心對學校主頁信息進行管理，各處室的主要負責人負責對本部門的上網資源和計算機系統進行管理。
一、網管中心負責全校的網絡信息和保密工作，定期對網絡用户進行有關保密和網絡安全教育。
二、對外信息發佈。各處室可以申請網絡域名和ftp站點（見附件7），自行管理各部門網站信息發佈。需要在學校首頁上發佈的信息，需要填寫“網上信息發佈申請表”，審查後交由網管中心上網發佈。（網上信息發佈申請表見附件8）
三、信息的閲覽與查詢。不得查閲、複製和傳播有礙社會治安和傷風敗俗的信息。校園網工作人員和用户如在網絡上發現有礙社會治安和不健康的信息，有義務及時上報網絡管理人員，做好備份並自覺銷燬。
四、違反本條例規定，有下列行為之一者，校網絡中心可提出警告直至停止其使用網絡，情節嚴重者，提交學校行政部門或有關部門處理。
1．查閲、複製或傳播下列信息者：.煽動分裂國家、破壞國家統一和民族團結、推翻社會主義制度；煽動抗拒、破壞憲法和國家法律、行政法規的實施；捏造或者歪曲事實、故意散佈謠言，擾亂社會秩序公然侮辱他人或者捏造事實誹謗他人宣揚封建迷信、淫穢、色情、暴力、兇殺、恐怖等。
2.破壞、盜用計算機網絡中的信息資源和危害計算機網絡安全活動。
3.盜用他人帳號者。
4.私自轉借、轉讓用户帳號造成危害者。
5.故意製作、傳播計算機病毒等破壞性程序者。
6.不按國家和學院有關規定擅自接納網絡用户者。
7.網絡中心，屬我校園網絡重地，未經許可不得進入。
質量信息管理是企業保證體系的重要組成部分。為了使生產過程中各種質量問題能得到及時收集、傳遞、分析和處理，不斷提高質量管理水平。必須做到以下幾點：
（一）質量反饋的含義
質量信息：主要分產品質量信息和工作質量信息兩個方面。
產品質量信息反饋是指生產的全過程中（包括開發設計一製造一售後服務）各階段、各部門、各環節、名工序，在發現前階段，前部門，上一環節和上道工序存在各種質量不良因素，以及用户反映的各種質量問題時，進行的質量信息的收集、分析、分類、傳遞和處理。
工作質量信息反饋是指企業的任何部門、任何個人，對其他部門和其他人員的活動對產品質量的保證程度達不到要求時，而進行的信息反饋和處理。
（二）質量反饋方法、原則及程序
1.質量反饋可分為廠內質量信息反饋和廠外質量信息反饋兩大類。
2.質量信息必須以書面形式按規定及時反饋。
3.質量反饋的基本原則是後對前、下對上。
4.質量反饋一般按照質量信息反饋程序路線和傳遞方式進行。為了提高各種質量信息的處理效率，除必要的定期質量信息反饋以外，各部門應選用最佳傳遞路線，儘可能地減少傳遞環節。
（三）質量信息的處理
1.質量的反饋中心是全質辦，各種規定的定期質量報表及重要的質量信息應及時報送全質辦，全質辦必須對每個信息及時反饋處理。
2.各責任部門在接到全質辦或有關部門的質量信息後，一般問題必須在三天內作出反饋處理。
（四）外協、外購件質量反饋
1.廠際質量保證體系內協作廠的質量問題，由各部門書面直接反饋給全質辦，由全質辦按廠際質保體系的要求，負責填報質量反饋表及時反饋給協作配套廠，同時存檔備查。
2.外購件和質保體系以外的其他外協件的質量問題，各部門可超反饋到職能科室（如外購件反饋到供運科、外協件反饋到到供運科、外協件反饋到生產調度室），由職能科室與外協廠或生產廠解決，職能科室應將聯繫落實情況填寫產品質反饋表報全質辦。反饋時間，如果在上述的時間內質量問題沿未笪到解決，有關職能部門應報全質辦或分管廠長，以作進一步研究和採取措施。
（五）用户來信來訪及用户走訪
1.用户來信來訪中所涉及的問題，由各部門填寫“質量信息反饋卡”向全質辦反饋，其中可由部門直接解決的，則由該部門負責組織解決，並將措施意見和處理結果填寫在“質量信息卡”上，報全質辦存檔。
2.在調查走訪過程中所發現的質量問題，由調查者整理後填寫“質量信息反饋表”報全質辦，由全質辦負責組織反饋處理。
蒙田範文網