網(wǎng)絡(luò)信息安全自評估報告

網(wǎng)絡(luò)信息安全自評估報告目標(biāo)公司網(wǎng)絡(luò)信息安全檢查工作的主要目標(biāo)是通過自評估工作，發(fā)現(xiàn)當(dāng)前面臨的主要安全問題，邊檢查邊整改，確保信息網(wǎng)絡(luò)和重要信息系統(tǒng)的安全。評估依據(jù)、范圍和方法2.1評估依據(jù)根據(jù)GB/T18336-2001《信息技術(shù)安全技術(shù)信息技術(shù)安全性評估準(zhǔn)則》、ISO17799:2000《基于風(fēng)險管理的信息安全管理體系》及GA/T378~391-2002計算機信息系統(tǒng)安全等級保護技術(shù)要求系列標(biāo)準(zhǔn)開展公司的網(wǎng)絡(luò)信息安全評估。2.2評估范圍具體包括：基礎(chǔ)網(wǎng)絡(luò)與服務(wù)器、關(guān)鍵業(yè)務(wù)系統(tǒng)、現(xiàn)有安全防護措施、信息安全管理的組織與策略、信息系統(tǒng)安全運行和維護情況評估。2.3評估方法采用自評估方式重要資產(chǎn)識別資產(chǎn)定義匯總資產(chǎn)資產(chǎn)的作用和重要性信息財務(wù)信息財務(wù)信息是公司的核心數(shù)據(jù)，目前公司的使用的金蝶財務(wù)管理系統(tǒng)。原始資料及相關(guān)檔案通常指第一手資料，如硬件、軟件設(shè)計文檔、數(shù)據(jù)庫設(shè)計文檔、軟件安裝介質(zhì)、使用手冊、配置手冊、管理制度等等，有些內(nèi)容丟失會造成泄密及無法恢復(fù)的損失。應(yīng)用軟件數(shù)據(jù)庫管理系統(tǒng)數(shù)據(jù)庫管理系統(tǒng)主要采用的是SQLSERVER，部分應(yīng)用系統(tǒng)采用DB2和ORACLE數(shù)據(jù)庫，來保障系統(tǒng)的正常運行，他們關(guān)系到數(shù)據(jù)的完整性和可用性。辦公軟件公司采用的釘釘智能移動辦公平臺，提高工作效率及員工收發(fā)信息的保密度。郵件采用騰訊企業(yè)郵箱管理系統(tǒng)，保障郵件數(shù)據(jù)的完整和安全。服務(wù)器公司采用的阿里云云服務(wù)器為公司提供各種查詢、計劃等數(shù)據(jù)服務(wù)，提升了運維效率及數(shù)據(jù)安全。防火墻軟件公司采用的深信服的防火墻，實現(xiàn)全程的網(wǎng)絡(luò)防護，避免受到入侵和攻擊。安全檢查項目評估4.1崗位職責(zé)安全管理人員配置及責(zé)任劃分不合理，工作職責(zé)與工作范圍沒有明確制度進行界定，工作職責(zé)的劃分沒有體現(xiàn)“分權(quán)制衡”的原則，應(yīng)根據(jù)實際情況制定管理制度，配置專責(zé)的安全管理人員，明確職責(zé)劃分。4.2管理制度已經(jīng)制定了一些安全管理制度，但缺少操作安全管理制度、職責(zé)權(quán)限劃分類管理制度。4.3賬號與口令管理制定了賬號口令相關(guān)的管理制度，普通用戶賬戶密碼、口令長度要求符合大于6字符，管理員賬戶密碼、口令長度大于8字符；半年內(nèi)賬戶密碼、口令變更進行記錄并保存，系統(tǒng)用戶身份發(fā)生變化后及時對其賬戶進行變更或注銷。4.4網(wǎng)絡(luò)架構(gòu)局域網(wǎng)核心交換設(shè)備、城域網(wǎng)核心路由設(shè)備按要求準(zhǔn)備備用設(shè)備，因特網(wǎng)接入通過防火墻，擁有完善的網(wǎng)絡(luò)拓?fù)錂C構(gòu)圖。4.4IP管理有IP地址管理系統(tǒng)，IP地址管理有規(guī)劃方案和分配策略，IP地址分配有記錄。4.5系統(tǒng)安全配置對操作系統(tǒng)的安全配置進行了嚴(yán)格的設(shè)置，刪除系統(tǒng)不必要的服務(wù)、協(xié)議。4.6電子郵件對近三個月的郵件數(shù)據(jù)進行了備份，有專門針對郵件病毒、垃圾郵件的安全措施，郵件系統(tǒng)管理員賬戶口令安全強度高。4.7應(yīng)用系統(tǒng)應(yīng)用系統(tǒng)的角色、權(quán)限分配有記錄；用戶賬戶的變更、修改、注銷有記錄；系統(tǒng)關(guān)鍵功能數(shù)據(jù)進行長期儲存；管理員賬戶口令定期進行更改。4.8防火墻網(wǎng)絡(luò)中防火墻位置部署合理，防火墻規(guī)則配置符合安全要求，配置的建立、更改有規(guī)范的審批流程，對防火墻的日志進行了存儲、備份。4.9病毒防治防病毒系統(tǒng)覆蓋所有客戶端，防病毒客戶端管理策略配置合理（自動升級病毒代碼、每周掃描），有專責(zé)人員負(fù)責(zé)維護防病毒系統(tǒng)并及時發(fā)布病毒通告。4.10存儲備份建立了明確、合理的備份策略并嚴(yán)格按照備份策略