1、目標
勝達集團資訊保安檢查工作的主要目標是通過自評估工作，發現本局資訊系統當前面臨的主要安全問題，邊檢查邊整改，確保資訊網路和重要資訊系統的安全。
2、評估依據、範圍和方法
2.1 評估依據
根據國務院資訊化工作辦公室《關於對國家基礎資訊網路和重要資訊系統開展安全檢查的通知》（信安通［2006］15號）、國家電力監管委員會《關於對電力行業有關單位重要資訊系統開展安全檢查的通知》（辦資訊[2006]48號）以及集團公司和省公司公司的檔案、檢查方案要求， 開展××單位的資訊保安評估。
2.2 評估範圍
本次資訊保安評估工作重點是重要的業務管理資訊系統和網路系統等，管理資訊系統中業務種類相對較多、網路和業務結構較為複雜，在檢查工作中強調對基礎資訊系統和重點業務系統進行安全性評估，具體包括：基礎網路與伺服器、關鍵業務系統、現有安全防護措施、資訊保安管理的組織與策略、資訊系統安全執行和維護情況評估。
2.3 評估方法
採用自評估方法。
3、重要資產識別
對本局範圍內的重要系統、重要網路裝置、重要伺服器及其安全屬性受破壞後的影響進行識別，將一旦停止執行影響面大的系統、關鍵網路節點裝置和安全裝置、承載敏感資料和業務的伺服器進行登記彙總，形成重要資產清單。
4、安全事件
對本局半年內發生的較大的、或者發生次數較多的資訊保安事件進行彙總記錄，形成本單位的安全事件列表。安全事件列表見附表2。
5、安全檢查專案評估
5.1 規章制度與組織管理評估
5.1.1組織機構
評估標準
資訊保安組織機構包括領導機構、工作機構。
現狀描述
本局已成立了資訊保安領導機構，但尚未成立資訊保安工作機構。
評估結論
完善資訊保安組織機構，成立資訊保安工作機構。
5.1.2崗位職責
估標準
崗位要求應包括：專職網路管理人員、專職應用系統管理人員和專職系統管理人員；專責的工作職責與工作範圍應有制度明確進行界定；崗位實行主、副崗備用制度。
現狀描述
我局沒有配置專職網路管理人員、專職應用系統管理人員和專職系統管理人員，都是兼責；專責的工作職責與工作範圍沒有明確制度進行界定，崗位沒有實行主、副崗備用制度。
評估結論
本局已有兼職網路管理員、應用系統管理員和系統管理員，在條件許可下，配置專職管理人員；專責的工作職責與工作範圍沒有明確制度進行界定，根據實際情況制定管理制度；崗位沒有實行主、副崗備用制度，在條件許可下，落實主、副崗備用制度。
5.1.3病毒管理
評估標準
病毒管理包括計算機病毒防治管理制度、定期升級的安全策略、病毒預警和報告機制、病毒掃描策略（1周內至少進行一次掃描）。
現狀描述
本局使用Symantec防病毒軟體進行病毒防護，定期從省公司病毒庫伺服器下載、升級安全策略；病毒預警是通過第三方和網上提供資訊來源，每月統計、彙總病毒感染情況並提交局生技部和省公司生技部；每週進行二次自動病毒掃描；沒有制定計算機病毒防治管理制度。
評估結論
完善病毒預警和報告機制，制定計算機病毒防治管理制度。
5.1.4執行管理
評估標準
執行管理應制定資訊系統執行管理規程、缺陷管理制度、統計彙報制度、運維流程、值班制度並實行工作票制度；制定機房出入管理制度並上牆，對進出機房情況記錄。
現狀描述
沒有建立相應資訊系統執行管理規程、缺陷管理制度、統計彙報制度、運維流程、值班制度，沒有實行工作票制度；機房出入管理制度上牆，但沒有機房進出情況記錄。
評估結論
結合本局具體情況，制訂資訊系統執行管理規程、缺陷管理制度、統計彙報制度、運維流程、值班制度，實行工作票制度；機房出入管理制度上牆，記錄機房進出情況。
5.1.5賬號與口令管理
評估標準
制訂了賬號與口令管理制度；普通使用者賬戶密碼、口令長度要求符合大於6字元，管理員賬戶密碼、口令長度大於8字元；半年內賬戶密碼、口令應變更並儲存變更相關記錄、通知、檔案，半年內系統使用者身份發生變化後應及時對其賬戶進行變更或登出。
現狀描述
沒有制訂賬號與口令管理制度，普通使用者賬戶密碼、口令長度要求大部分都不符合大於6字元；管理員賬戶密碼、口令長度大於8字元，半年內賬戶密碼、口令有過變更，但沒有變更相關記錄、通知、檔案；半年內系統使用者身份發生變化後能及時對其賬戶進行變更或登出。
評估結論
制訂賬號與口令管理制度，完善普通使用者賬戶與管理員賬戶密碼、口令長度要求；對賬戶密碼、口令變更作相關記錄；及時對系統使用者身份發生變化後對其賬戶進行變更或登出。
5.2 網路與系統安全評估
5.2.1網路架構
評估標準
區域網核心交換裝置、都會網路核心路由裝置應採取裝置冗餘或準備備用裝置，不允許外聯鏈路繞過防火牆，具有當前準確的網路拓撲結構圖。
現狀描述
區域網核心交換裝置準備了備用裝置，都會網路核心路由裝置採取了裝置冗餘；沒有不經過防火牆的外聯鏈路，有當前網路拓撲結構圖。
評估結論
區域網核心交換裝置、都會網路核心路由裝置按要求採取裝置冗餘或準備備用裝置，外聯鏈路沒有繞過防火牆，完善網路拓撲結構圖。
5.2.2網路分割槽
評估標準
生產控制系統和管理資訊系統之間進行分割槽，VLAN間的訪問控制設定合理。
現狀描述
生產控制系統和管理資訊系統之間沒有進行分割槽，VLAN間的訪問控制設定合理。
評估結論
對生產控制系統和管理資訊系統之間進行分割槽，VLAN間的訪問控制設定合理。
5.2.3 網路裝置
評估標準
網路裝置配置有備份，網路關鍵點裝置採用雙電源，關閉網路裝置HTTP、FTP、TFTP等服務，SNMP社群串、本地使用者口令強健（>8字元，數字、字母混雜）。
現狀描述
網路裝置配置沒有進行備份，網路關鍵點裝置是雙電源，網路裝置關閉了HTTP、FTP、TFTP等服務，SNMP社群串、本地使用者口令沒達到要求。
評估結論
對網路裝置配置進行備份，完善SNMP社群串、本地使用者口令強健（>8字元，數字、字母混雜）。
5.2.4 IP管理
評估標準
有IP地址管理系統，IP地址管理有規劃方案和分配策略，IP地址分配有記錄。
現狀描述
沒有IP地址管理系統，正在進行對IP地址的規劃和分配，IP地址分配有記錄。
評估結論
建立IP地址管理系統，加快進行對IP地址的規劃和分配，IP地址分配有記錄。
5.2.5補丁管理
評估標準
有補丁管理的手段或補丁管理制度，Windows系統主機補丁安裝齊全，有補丁安裝的測試記錄。
現狀描述
通過手工補丁管理手段，沒有制訂相應管理制度；Windows系統主機補丁安裝基本齊全，沒有補丁安裝的測試記錄。
評估結論
完善補丁管理的手段，制訂相應管理制度；補缺Windows系統主機補丁安裝，補丁安裝前進行測試記錄。
5.2.6系統安全配置
評估標準
校園網資訊釋出實行統一管理、分層負責制。網路中心對學校主頁資訊進行管理，各處室的主要負責人負責對本部門的上網資源和計算機系統進行管理。
一、網管中心負責全校的網路資訊和保密工作，定期對網路使用者進行有關保密和網路安全教育。
二、對外資訊釋出。各處室可以申請網路域名和ftp站點（見附件7），自行管理各部門網站資訊釋出。需要在學校首頁上釋出的資訊，需要填寫“網上資訊釋出申請表”，審查後交由網管中心上網釋出。（網上資訊釋出申請表見附件8）
三、資訊的閱覽與查詢。不得查閱、複製和傳播有礙社會治安和傷風敗俗的資訊。校園網工作人員和使用者如在網路上發現有礙社會治安和不健康的資訊，有義務及時上報網路管理人員，做好備份並自覺銷燬。
四、違反本條例規定，有下列行為之一者，校網路中心可提出警告直至停止其使用網路，情節嚴重者，提交學校行政部門或有關部門處理。
1．查閱、複製或傳播下列資訊者：.煽動分裂國家、破壞國家統一和民族團結、推翻社會主義制度；煽動抗拒、破壞憲法和國家法律、行政法規的實施；捏造或者歪曲事實、故意散佈謠言，擾亂社會秩序公然侮辱他人或者捏造事實誹謗他人宣揚封建迷信、淫穢、色情、暴力、凶殺、恐怖等。
2.破壞、盜用計算機網路中的資訊資源和危害計算機網路安全活動。
3.盜用他人帳號者。
4.私自轉借、轉讓使用者帳號造成危害者。
5.故意製作、傳播計算機病毒等破壞性程式者。
6.不按國家和學院有關規定擅自接納網路使用者者。
7.網路中心，屬我校園網路重地，未經許可不得進入。
質量資訊管理是企業保證體系的重要組成部分。為了使生產過程中各種質量問題能得到及時收集、傳遞、分析和處理，不斷提高質量管理水平。必須做到以下幾點：
（一）質量反饋的含義
質量資訊：主要分產品質量資訊和工作質量資訊兩個方面。
產品質量資訊反饋是指生產的全過程中（包括開發設計一製造一售後服務）各階段、各部門、各環節、名工序，在發現前階段，前部門，上一環節和上道工序存在各種質量不良因素，以及使用者反映的各種質量問題時，進行的質量資訊的收集、分析、分類、傳遞和處理。
工作質量資訊反饋是指企業的任何部門、任何個人，對其他部門和其他人員的活動對產品質量的保證程度達不到要求時，而進行的資訊反饋和處理。
（二）質量反饋方法、原則及程式
1.質量反饋可分為廠內質量資訊反饋和廠外質量資訊反饋兩大類。
2.質量資訊必須以書面形式按規定及時反饋。
3.質量反饋的基本原則是後對前、下對上。
4.質量反饋一般按照質量資訊反饋程式路線和傳遞方式進行。為了提高各種質量資訊的處理效率，除必要的定期質量資訊反饋以外，各部門應選用最佳傳遞路線，儘可能地減少傳遞環節。
（三）質量資訊的處理
1.質量的反饋中心是全質辦，各種規定的定期質量報表及重要的質量資訊應及時報送全質辦，全質辦必須對每個資訊及時反饋處理。
2.各責任部門在接到全質辦或有關部門的質量資訊後，一般問題必須在三天內作出反饋處理。
（四）外協、外購件質量反饋
1.廠際質量保證體系內協作廠的質量問題，由各部門書面直接反饋給全質辦，由全質辦按廠際質保體系的要求，負責填報質量反饋表及時反饋給協作配套廠，同時存檔備查。
2.外購件和質保體系以外的其他外協件的質量問題，各部門可超反饋到職能科室（如外購件反饋到供運科、外協件反饋到到供運科、外協件反饋到生產排程室），由職能科室與外協廠或生產廠解決，職能科室應將聯絡落實情況填寫產品質反饋表報全質辦。反饋時間，如果在上述的時間內質量問題沿未笪到解決，有關職能部門應報全質辦或分管廠長，以作進一步研究和採取措施。
（五）使用者來信來訪及使用者走訪
1.使用者來信來訪中所涉及的問題，由各部門填寫“質量資訊反饋卡”向全質辦反饋，其中可由部門直接解決的，則由該部門負責組織解決，並將措施意見和處理結果填寫在“質量資訊卡”上，報全質辦存檔。
2.在調查走訪過程中所發現的質量問題，由調查者整理後填寫“質量資訊反饋表”報全質辦，由全質辦負責組織反饋處理。
蒙田範文網