信息安全自查操作指南-长沙市政府.docVIP

信息安全自查操作指南 二〇一二年八月 目 录 概 述 13 一、自查目的 13 二、自查工作流程 错误！未定义书签。 环节一 自查工作部署 13 一、研究制定自查实施方案 13 二、自查工作动员部署 13 环节二 基本情况自查 13 一、系统基本情况自查 13 二、安全管理情况自查 13 三、技术防护情况自查 13 四、应急处置及容灾备份情况自查 13 五、安全技术检测 13 环节三 问题与风险分析 13 一、主要问题分析 13 二、国外依赖度分析 13 三、主要威胁分析 13 环节四 自查工作总结 13 一、自查工作总结 13 二、自查情况上报 13 有关工作要求 13 附件1 信息安全自查报告编写参考格式 13 附件2 信息安全检查情况报告表 13  概 述 为指导重点领域信息安全自查工作，依据《国务院办公厅关于开展重点领域网络与信息安全检查行动的通知》（国办函〔2012〕102号，以下简称《检查通知》），制定本指南。 本指南主要用于各级政府部门、大型国有企业以及其他有关单位（以下统称自查单位）在开展信息安全自查具体工作时参考。各省（区、市）网络与信息安全协调小组办事机构、有关重点行业主管或监管部门在组织制定本地区、本行业安全检查实施方案时也可参考本指南。 自查目的 通过开展安全自查，进一步梳理、掌握本单位重要网络与信息系统基本情况，查找突出问题和薄弱环节，分析面临的安全威胁和风险，评估安全防护水平，有针对性地采取防范对策和改进措施，加强网络与信息系统安全管理和技术防护，促进安全防护能力和水平提升，预防和减少重大信息安全事件的发生，切实保障本单位网络与信息安全。  环节一 自查工作部署 一、研究制定自查实施方案 认真学习《检查通知》，深刻领会文件精神和有关要求，研究制定自查实施方案，并报主管领导批准。 （一）自查实施方案应当明确的内容 自查实施方案应当明确以下内容：（1）自查工作负责人、组织单位和实施机构。（2）自查范围和自查对象。（3）自查工作的组织方式。（4）自查工作时间进度安排。 1. 关于自查范围。此次自查范围是政府信息系统、重点行业和市政领域的网络与信息系统（含工业控制系统，以下同）。检查的重点是事关国家安全和社会稳定，对地区、部门或行业正常生产生活具有较大影响的重要网络与信息系统。 2. 关于自查对象。主要指网络与信息系统安全管理与防护涉及到的信息安全综合管理部门、信息化部门、业务部门、生产管理部门、财务部门、人事部门等相关部门。各单位可根据实际情况确定具体的自查对象。 3. 关于自查工作组织。自查单位可成立自查工作组开展检查，也可指定专门机构负责自查实施工作。自查工作组可由本单位信息化与信息安全部门以及相关业务部门中熟悉业务、具备信息安全知识、技术能力较强的人员，以及本单位相关技术支撑机构业务骨干等组成。单位内各部门可指定人员负责协调配合和联络工作。对于有工业控制系统的单位，可考虑生产管理部门参与工业控制系统信息安全检查。 对于信息系统复杂、自查工作涉及部门多的单位，可根据需要成立自查工作领导小组，负责自查工作的组织协调与资源配置。领导小组组长可由本单位信息安全主管领导担任，领导小组成员可包括信息安全综合管理部门负责人（如办公室主任）、信息化部门负责人（如信息中心主任），以及其他相关部门负责人（如人事部门、财务部门、业务部门、生产管理部门领导）等。 （二）应当注意的有关事项 1. 纳入检查范围的网络与信息系统从安全防护的角度应具有相对的独立性。 从安全防护的角度判断网络与信息系统独立性的方法如下：根据系统所承担业务的独立性、责任主体的独立性、网络边界的独立性、安全防护设备设施的独立性四个因素，对网络与信息系统进行全面梳理并综合分析，划分出相对独立的网络与信息系统，并形成网络与信息系统清单，以便于更好地界定检查范围。 2. 关于重要网络与信息系统，可从系统特征的角度，立足本地区、本部门或本行业实际，参考以下标准进行判定： （1）业务依赖度高。 （2）数据集中度高（全国或省级数据集中）。 （3）实时性要求高。 （4）系统关联性强（发生重大信息安全事件后，会对与其相连的其他系统造成较大影响，并产生连片连锁反应）。 （5）直接面向社会公众提供服务，用户数量庞大，覆盖范围广。 （6）灾备等级高（系统级灾备）。 3. 关于重要工业控制系统，可从发生信息安全事件造成危害的角度，参考以下标准进行判定： （1）发生重大信息安全事件，致使系统出现严重故障后，可能导致10人以上死亡或50人以上重伤。 （2）发生重大信息安全事件，致使系统出现严重故障后，可能导致5000万元以上直接经济损失。 （3）发生重大信息安全事件，致使系统出现严重故障后，可能影响100万人以上正常生活。 （4）发生重大信息安全事件，