企业网络安全成熟度评价指标及权重表、评价内容表、满足情况评分表、评分等级表.docxVIP

STYLEREF标准文件_文件编号T/GZHLW001—2024

STYLEREF标准文件_文件编号错误!使用“开始”选项卡将标准文件_文件编号应用于要在此处显示的文字。

PAGE7

PAGE1

（规范性）

企业网络安全成熟度评价指标及权重表

一级指标

二级指标（20个）

权重（示例）

战略与组织

组织机构

5%

战略和架构

5%

策略与制度和流程

5%

资源保障

5%

技术与服务

基础设施安全

5%

边界安全

5%

应用安全

5%

业务安全

5%

数据安全

5%

密码安全

5%

工控安全

5%

云安全

5%

终端安全

5%

物联网安全

5%

运行与管理

管理平台

5%

安全运行

5%

合规与安全

人员网络安全意识

5%

安全措施

5%

供应链安全

5%

国产化替代

5%

STYLEREF标准文件_文件编号T/GZHLW001—2024

STYLEREF标准文件_文件编号错误!使用“开始”选项卡将标准文件_文件编号应用于要在此处显示的文字。

PAGE9

PAGE1

（规范性）

企业网络安全成熟度评价指标及评价内容表

一级指标

二级指标

评价内容

战

略

与

组

织

组织机构

应明确一名分管领导负责本单位网络安全工作（分管领导应为本单位正职或副职领导），并有效履行职责。

网络安全工作应成为本单位文化的组成部分，并以多种形式进行宣贯。

应明确网络安全管理机构、网络安全联络员、职责以及相关人员名单，并确保这些人员有效履行职责。

应通过正式的文件、统一的标准考核网络安全工作成效，并将网络安全工作成效纳入绩效考核。

应设置负责安全审计工作的专岗，有正式发文记录，并确保这些人员有效履行职责。

应按要求设置安全管理员等安全工作的关键岗位，具备相应的任职能力，并正式发文记录。

战略和架构

应建立和维护网络安全规划（战略、架构）和计划，并按照计划开展网络安全工作。且网络安全架构覆盖了资产、网络、数据、应用等，并周期性的进行持续改进。

网络安全架构中应考虑新的网络安全技术或架构的应用。

策略与制度和流程

网络安全策略应符合国家安全战略、法律法规的要求，应满足行业、集团的要求，应满足数字化转型需要，并能够持续性对安全策略进行优化。

应建设体系化、分层级的管理制度体系，应从战略方针、制度规范、操作规程、记录表单等方面固化安全策略，并定期对安全管理制度体系进行评审。

资源保障

应在信息化投入中充分考虑网络安全工作的经费保障，网络安全工作的实际投入占信息化建设投入的比例应合理。

列出的网络安全经费应满足年度网络安全工作的需求。

安全资源（产品、服务）应足够支撑年度网络安全工作的开展及安全事件的响应。

安全资源的调度流程应顺畅，应在发生安全事件时可以及时调度响应。

技

术

与

服

务

基础设施安全

机房出入口应有专人值守或者电子门禁系统，机房应具备基础防雷击，防火，防水，防潮，防盗窃和破坏能力。

机房应避免安置于建筑的地下室或顶层，在地下室或顶层应做好防水、防潮等措施。

机房地面具备防静电措施，机房在短期断电情况下，应具备短期备用电供应，确保设备不掉线。

机房强电系统布线应符合相应规范和要求，具备冗余供电能力；弱电系统布线应符合相应规范和要求，对关键设备实施电磁屏蔽。

边界安全

具备校验技术保证数据通信过程中的完整性，且对通信设备，系统程序等具备基础可信验证，并在其可信验证被破坏时自动告警，并将验证结果形成审计记录传送至安全管理中心。

网络系统应按功能划分不同网络区域，避免将重要网络区域置于网络边界处，重要网络区域同其余网络区域采取必要的隔离措施

网络系统应保证通讯设备的业务处理能力及带宽满足业务高峰需要，对关键设备提供硬件冗余，保证系统可用性，采用密码技术保证通信过程中数据的保密性。

需对跨过边界的访问及数据需通过边界设备的通信口进行通信，且未授权通信请求应默认被边界设备拒绝，同步设立简洁的访问控制规则。

应对关键网络节点处设置网络攻击行为的监测和响应措施。

应对网络进行安全区域划分，应在不同网络边界处设置符合业务逻辑的安全访问控制措施，应对网络流量进行安全风险检测和控制；无线网络应通过受控的边界设备接入内部网络。

应用安全

应用系统与其他系统进行数据交换过程中，应配置必要的安全保护措施。

应对用户访问业务应用系统进行精细的数据访问权限控制。

应具备独立的安全测试环境，对测试数据进行脱敏处理，避免真实数据泄露。

应用系统上线前应进行全面的安全风险评估。

业务安全

应具备能结合业务平台、融入业务流程的安全能力。

应具备聚合身份、终端、网络、内容、行为等方面的数据，进行异常行为分析能力。

应对数据采集、传输、存储、处理、运维、交换、销毁环节进行数据资产管理的能力。