网络安全与信息系统自查指南.docxVIP

网络安全与信息系统自查指南

文档版本：V1.0

更新日期：2024年

适用范围：适用于各类型组织的信息系统安全自查工作

一、自查工作概述

1.1自查目的

识别信息系统潜在安全风险

检验安全控制措施有效性

满足合规性要求

持续改进安全管理体系

1.2自查周期

全面自查：每年至少1次

专项自查：每季度至少1次

日常检查：每月例行检查

1.3自查原则

全面覆盖，突出重点

客观公正，实事求是

注重实效，持续改进

责任明确，闭环管理

二、安全管理体系自查

2.1安全组织架构

检查项

自查要点

是否符合

安全领导小组

是否成立网络安全领导小组，明确第一责任人

□是□否

专职安全岗位

是否配备专职安全管理员，职责明确

□是□否

部门协作机制

是否建立跨部门安全协调机制

□是□否

外包人员管理

外包人员安全职责是否明确，签订保密协议

□是□否

2.2安全管理制度

制度完整性检查

是否制定网络安全总体策略

是否覆盖人员、设备、数据、应急等关键环节

制度是否定期评审更新（至少每年1次）

制度执行情况

制度是否正式发布并全员告知

是否有制度执行监督机制

是否留存制度执行记录

2.3安全投入与规划

年度安全预算是否满足实际需求（建议占IT预算5%-15%）

是否制定3-5年安全建设规划

安全投入是否覆盖技术、人员、服务等方面

三、物理环境安全自查

3.1机房物理安全

机房选址：是否避开高风险区域（洪水、地震带等）

出入控制：门禁系统是否启用，访客是否登记

视频监控：是否24小时监控，录像保存≥90天

防盗措施：是否安装防盗门窗、入侵报警系统

防火系统：是否配备气体灭火系统，定期检测（每年）

防水防潮：是否有防水检测和排水设施

3.2环境设施管理

项目

标准要求

自查结果

UPS电源

断电支撑≥2小时，每季度充放电测试

□正常□异常

精密空调

温度22±2℃，湿度45%-65%，定期维护

□正常□异常

防雷接地

接地电阻≤1Ω，每年检测

□正常□异常

静电防护

防静电地板、接地腕带等

□正常□异常

3.3设备物理安全

服务器、网络设备是否机架安装并固定

设备标签是否清晰（资产编号、责任人）

闲置设备是否及时清理和销毁数据

报废设备处理流程是否合规

四、网络安全自查

4.1网络架构安全

边界清晰性

是否划分DMZ区、内网区、核心区等安全域

安全域之间是否通过防火墙隔离

是否存在双网卡直连内外网违规情况

冗余设计

核心设备是否双机热备（交换机、防火墙）

关键链路是否冗余（多运营商接入）

是否定期测试主备切换（每半年）

4.2防火墙与访问控制

（此处内容暂时省略）

策略最小化原则

是否存在”anytoany”的允许策略

是否基于”默认拒绝”原则配置

是否每季度清理无效策略

访问控制清单

互联网访问：仅开放必要业务端口（80/443等）

远程运维：是否限制IP，使用VPN或堡垒机

内部访问：按最小权限原则授权

4.3入侵检测与防护

是否部署IDS/IPS系统，特征库是否weekly更新

是否开启防病毒网关，病毒库是否daily更新

是否部署WAF保护Web应用，规则是否及时更新

最近30天是否分析安全告警并处置

4.4无线网络安全

是否单独设置访客无线网络，与内网隔离

无线网络是否采用WPA3或WPA2-Enterprise加密

是否禁用WPS、WEP等不安全协议

是否定期扫描非法接入点（每月）

五、主机系统安全自查

5.1服务器安全基线

检查类别

具体要求

检查方法

身份认证

密码复杂度：大小写字母+数字+符号，≥8位

查看/etc/security/pwquality

访问控制

禁用root远程SSH，超时自动注销（15分钟）

查看/etc/ssh/sshd_config

安全审计

开启系统日志，审计策略覆盖所有账户

查看auditd配置

漏洞管理

高危漏洞修复周期≤7天，中危≤30天

查看漏洞扫描报告

恶意代码

安装防病毒软件，每周全盘扫描

检查防病毒日志

5.2终端安全管控

准入控制

是否部署终端管理系统（EDR/防病毒）

是否禁止非法外联（双网卡、无线热点）

是否定期盘点终端资产（每月）

数据防泄漏

是否禁用USB存储设备

是否加密敏感文件

是否监控异常文件传输

5.3虚拟化与云安全

宿主机与虚拟机是否分层管理

是否使用独立管理网段

是否启用虚拟防火墙/安全组

快照和镜像是否定期安全扫描

六、应用系统安全自查

6.1身份认证与授权

□存在弱口令账户（admin/admin123等）

□未启用多因素认证（MFA）保护重要系统

□会话超时设置过长（30分钟）

□权限未遵循最小化原则

□离职员工账户未及时禁用

口令策略检查

是否强制复杂度要求

是否定期更换（建议90天）

是否防止口令重