Informe de autoprueba de seguridad informática
Parte 1 del informe de autoinspección de seguridad informática
* * * * (en adelante, * * *) de acuerdo con las leyes y regulaciones nacionales de confidencialidad pertinentes y superiores tales como * * *, * * y * * De acuerdo con los requisitos de confidencialidad pertinentes de la agencia, se ha llevado a cabo el trabajo de confidencialidad relevante. La situación ahora se informa de la siguiente manera: 1. Información básica.
Actualmente, el centro cuenta con un total de 29 ordenadores de sobremesa para uso diario de oficina, incluidos 4 ordenadores confidenciales (ninguno de los cuales no está conectado a Internet), 18 ordenadores que sí están conectados a Internet y 7 Computadoras que no están conectadas a Internet. 14 portátiles.
De acuerdo con los requisitos de gestión, la sala de redes de la estación y la sala integral son responsables de la gestión de seguridad de las computadoras y redes, formulando regulaciones de confidencialidad, regulaciones de administración de Internet y otras reglas y regulaciones relevantes, realizando inspecciones de seguridad regulares o irregulares. , e implementar inspecciones de seguridad en computadoras confidenciales se utilizan medidas de aislamiento físico para administrar y usar computadoras de escritorio en diferentes departamentos, las computadoras portátiles se clasifican y administran de acuerdo con su propósito de uso, y son administradas y mantenidas de manera uniforme por la sala de red de la estación; Se implementa un sistema de registro de uso y devolución.
Para fortalecer la confidencialidad y la seguridad de la información, el centro también compró firewalls de hardware y software de protección de seguridad de red a finales de 20xx, que básicamente resolvieron los problemas de ataques a la red y la propagación de virus y caballos de Troya en la red de área local.
2. Problemas existentes
Aunque el centro ha mejorado continuamente los requisitos de gestión desde una perspectiva institucional y ha aumentado la inversión en equipos de hardware, todavía existe una gran brecha entre realizar plenamente el monitoreo de la seguridad de la información y protección.
(A) Computadoras y equipos de red insuficientes
Según la naturaleza del trabajo y la cantidad de personal del centro, actualmente existe una grave escasez de computadoras en el centro. En caso de trabajo concentrado de horas extras, se requieren ajustes entre departamentos. La gran cantidad de ordenadores públicos ha provocado dificultades de gestión y existen grandes problemas de confidencialidad de la información, seguridad, antivirus y caballos de Troya. De vez en cuando, los caballos de Troya y los virus se propagan a través de medios móviles, como unidades flash USB. Aunque el software de protección de red puede detectarlo y solucionarlo a tiempo, carece de equipo de control de seguridad para la detección antiescaneo, lo que dificulta la detección de amenazas potenciales y aún existen peligros ocultos.
(2) Es necesario mejorar el nivel de gestión y la calidad del personal.
Debido a la gran cantidad de usuarios de computadoras y a que no hay una persona dedicada a usar la computadora, a menudo se producen daños en el sistema o un mal funcionamiento, lo que genera muchos problemas a los administradores. Sin embargo, el centro no cuenta con profesionales informáticos especializados, son a tiempo parcial y su nivel profesional y técnico es limitado. Es urgente mejorar el nivel de gestión y la calidad del personal.
(3) Grave escasez de fondos
Según los requisitos de gestión, la mayoría de las computadoras centrales deben estar separadas de las redes internas y externas. Sin embargo, debido a la insuficiencia de fondos, el presupuesto anual sólo puede cubrir básicamente las necesidades de actualizaciones informáticas, y mucho menos suplementos y mejoras para satisfacer las necesidades laborales. En el lado de la red, los firewalls y el software de protección de redes enfrentan el problema de invertir dinero cada año para actualizar las versiones y las bases de datos de virus.
(D) Falta de software y equipo de seguridad
Cuando el disco duro de la computadora está dañado y necesita ser reemplazado, no existe un equipo de desmagnetización especial para tratar el disco duro. Además, según los requisitos de la gestión, algunos informes deben transmitirse de forma remota, pero falta un software de cifrado unificado dedicado y existen riesgos de seguridad al enviarlos a través de la red pública.
3. Próximo plan de trabajo
Basado en los temas anteriores, * * planeo aumentar el presupuesto para seguridad informática y de redes en trabajos futuros y, al mismo tiempo, organizar capacitación para personal relevante y comprar equipos y software relevantes, espero obtener un fuerte apoyo de ** y ** oficina.
Parte 2 del informe de autoinspección de seguridad informática
Según el espíritu de los documentos relevantes de los superiores, los líderes de la empresa le conceden gran importancia, lo implementan de acuerdo con los requisitos de la documentar, organizar activamente al personal, convocar al personal relevante de manera oportuna e implementarlos uno por uno, despliegue cuidadoso. En respuesta a las medidas de implementación destacadas en la reunión, se realizó un autoexamen cuidadoso y detallado de las computadoras equipadas por los órganos de la empresa y las instituciones secundarias subordinadas. La situación del autoexamen se informa ahora de la siguiente manera: 1. El desarrollo de la confidencialidad.
Según los requisitos del documento, autoexamen por función y resumen durante el autoexamen: desde el establecimiento del sistema de información informática de nuestra empresa en 20xx, hemos otorgado gran importancia a la construcción de instituciones de gestión informática. . De acuerdo con la ideología rectora de “controlar las fuentes, fortalecer las inspecciones, aclarar las responsabilidades e implementar sistemas”, se ha establecido un centro de información, un sitio web local y un administrador de la red del sistema para gestionar la legalidad, exactitud y confidencialidad de la información y los datos cargados.
Para garantizar el funcionamiento normal y seguro del sistema de información de gestión de la Compañía XXX en el Condado de XXX, garantizar la seguridad de la información de la empresa y proteger los logros tecnológicos de la empresa, se creó un sistema de seguridad y confidencialidad para el sistema de información de gestión de la Oficina XXX. del Condado XXX ha sido formulado.
2. Logros
Desconectar la conexión física directa entre el sistema de información e Internet, y aislar completamente la intranet de la oficina de Internet. Para aquellos que realmente necesitan acceder a Internet, se debe establecer un área de acceso público en la oficina del centro de información de la empresa y se deben tomar medidas de seguridad para acceder a Internet únicamente a través de la red externa para resolver el problema del acceso de los empleados a la información en línea.
(1) Fortalecer la gestión de ordenadores y periféricos dentro y fuera de la red:
“Una máquina para dos usos” está estrictamente prohibido para equipos de oficina. La intranet de información no debe estar conectada a la red externa de ninguna forma, y las medidas de acceso como registro y archivo, vinculación de direcciones IP/MAC, etc. deben implementarse estrictamente para las computadoras conectadas a la intranet. Reforzar la gestión de seguridad de los ordenadores de las redes internas y externas y plantear requisitos estrictos en cuanto a configuración de contraseñas, prevención de virus, etc. Para periféricos inteligentes con discos duros y memoria, el riesgo de fuga de información o implantación de virus troyanos debe reducirse configurando la función de almacenamiento para cancelar o acortar el tiempo de almacenamiento. Fortalecer la gestión de mantenimiento y scrap de computadoras y equipos periféricos.
(2) Fortalecer la oficina móvil remota y la gestión del mantenimiento remoto:
Está prohibido que los equipos de oficina móvil, como computadoras portátiles y teléfonos inteligentes, accedan de forma remota a la intranet de información de nuestra empresa a través de la red externa utilizando VPN. Desconectar las funciones de mantenimiento remoto y abrir puertos de todos los servidores del sistema de información. Si es necesario depurar el sistema, el personal de mantenimiento remoto debe firmar un acuerdo de confidencialidad con el personal de desarrollo y depuración del sistema de información conectado a la intranet; de lo contrario, no se podrá realizar el mantenimiento remoto.
(C) Fortalecer el monitoreo de la red y el control de acceso:
Verifique periódicamente los registros de operación del sistema de red y los informes de análisis estadístico para verificar si hay un estado anormal de la red. El acceso a la red y las estrategias de acceso de todas las unidades y empresas afiliadas a la empresa deben evitar conexiones transparentes y adoptar estrategias integrales de acceso. Desconecte la ruta de descarga de Internet de la base de datos antivirus de la intranet, descárguela y cópiela manualmente a la base de datos del sistema y preste atención a escanear y eliminar los medios de almacenamiento durante la operación.
(4) Uso seguro de medios de almacenamiento móviles:
Siga "adquisición unificada, identificación unificada, archivo unificado y gestión de seguimiento". Los medios de telefonía móvil están bloqueados temporalmente y no se pueden mezclar para uso personal y de oficina.
(5) Implementar la transformación del sistema empresarial para la prestación de servicios externos:
El sistema de marketing se instala en la sala de carga empresarial y la factura de electricidad se consulta a través de la LAN. , que implica suspender el uso de las facturas de electricidad a través de Internet y el pago en línea. Realizar anuncios y divulgaciones informativas. El Departamento de Finanzas adopta el sistema financiero de carretera, que es una red financiera independiente y no está conectada a ninguna red externa, incluida la red de área local.
(6) Fortalecer la gestión del correo electrónico interno y externo:
Los sistemas de correo electrónico internos y externos deben estar completamente aislados, y los sistemas de correo electrónico utilizados por las empresas municipales y sus unidades subordinadas no deben estar construido por separado. El Departamento de Asuntos Administrativos debe garantizar cuidadosamente la seguridad de cada correo electrónico externo y debe verificarse en busca de virus antes de que puedan usarse.
(7) Controle estrictamente los sitios web externos:
Nuestra empresa no tiene sitios web externos, por lo que es imposible ejecutar scripts y complementos en el lado del servidor. Desconecte todos los puertos periféricos conectados a la red externa del servidor para garantizar un funcionamiento seguro y estable del sistema.
(8) Fortalecer la gestión de tareas y seguridad de la sala de computadoras:
La sala de computadoras debe contar con personal las 24 horas del día, los 7 días de la semana para garantizar el funcionamiento normal del sistema de monitoreo y una comunicación fluida. Fortalezca la gestión de contraseñas del dispositivo, establezca un modo de contraseña segura y cámbielo periódicamente. Actualice el software antivirus y los parches de manera oportuna y utilice actualizaciones manuales. Haga un plan de emergencia y haga ejercicio con regularidad.
(9) Fortalecer la gestión de la seguridad informática:
La información confidencial no está en línea y la información en línea no es confidencial. En primer lugar, el personal del centro de información debe respetar estrictamente el sistema de confidencialidad y tiene prohibido discutir diversos tipos de información en línea sobre el contenido del desarrollo de tecnología del sistema de información de gestión con personal irrelevante. El personal del centro de información tiene estrictamente prohibido cambiar la información en línea sin permiso; está estrictamente prohibido buscar de forma privada varios documentos confidenciales en Internet. La "autoridad" laboral del usuario está autorizada por el personal del centro de información de acuerdo con las regulaciones de la oficina; No se permite revelar a otros los ID o contraseñas de trabajo de los usuarios de Internet sin aprobación, y está estrictamente prohibido cambiar los “permisos” de trabajo de los usuarios de Internet sin autorización. El papel usado por el personal del centro de información debe triturarse para evitar fugas. Sin la aprobación de la dirección, está estrictamente prohibido prestar o transferir materiales y disquetes relevantes a otros, copiarlos o reproducirlos a otros. Si el trabajo lo requiere, se deberán realizar los trámites correspondientes a través del software.
De acuerdo con las regulaciones pertinentes en documentos superiores, todos los departamentos tienen estrictamente prohibido acceder a Internet.
Las computadoras que necesitan estar conectadas a Internet para fines laborales deben funcionar solas y no deben estar conectadas a la red de área local al mismo tiempo. El personal que necesite ingresar al centro de información debe cumplir con las regulaciones y no se le permite operar el equipo para consultar u obtener información relacionada con el centro de información. El trabajo de recepción de unidades extranjeras que vienen a nuestra empresa para conocer el sistema de información de gestión informática está a cargo del centro de información. Está estrictamente prohibido que todos los departamentos y estaciones de trabajo en red LAN realicen demostraciones del sistema, copien archivos del sistema o proporcionen documentos técnicos. El personal de unidades externas debe registrarse con certificados o cartas de presentación válidos y obtener el consentimiento del director a cargo al ingresar la información; sala de ordenadores del centro. Sin permiso, no se permite que otro personal no relacionado ingrese a la sala de computadoras del centro de información. El personal relevante de cada departamento tiene estrictamente prohibido copiar los procedimientos y documentos técnicos relevantes del sistema MIS de la empresa a otras unidades o individuos. Cualquiera que viole esta disposición será castigado severamente de acuerdo con las regulaciones pertinentes. El centro de información organiza periódicamente a trabajadores de la información a tiempo completo y parcial para aprender el sistema de confidencialidad e inspeccionar la implementación del sistema; cualquier unidad o individuo que viole las regulaciones será tratado severamente de acuerdo con las regulaciones de confidencialidad del sistema de información de la compañía. Prevenga eficazmente la confidencialidad del sistema de información informática y elimine de raíz los signos de inseguridad.
3. Fortalecer la educación en seguridad y realizar inspecciones y supervisión periódicas.
En cada paso de la construcción del sitio web de nuestra empresa, la educación sobre seguridad de la información es una máxima prioridad. Hacer que todos los empleados se den cuenta de que la protección de la seguridad informática es una parte integral del trabajo central de la empresa. En la nueva situación, la seguridad informática también se convertirá en una parte importante de la "seguridad XXX" y el "poder de seguridad" de nuestro condado. Para mejorar aún más la concienciación sobre la seguridad informática, a menudo organizamos personal para inspeccionar el estado de protección de la seguridad informática de los departamentos pertinentes. No utilice software, disquetes, CD, discos USB y otros medios de origen desconocido, no visite sitios web ilegales y controle y bloquee estrictamente y conscientemente la fuente de virus. Al mismo tiempo, cuando se envíe un equipo informático a reparación, lo seguirá el personal designado. Cuando se desecha una computadora, el disco duro y otros medios de almacenamiento deben retirarse o destruirse de inmediato.
En cuarto lugar, el sistema de seguridad de la información mejora día a día.
En términos de administración de sitios web, hemos establecido la idea de administrar personas por sistema y formulamos el documento "Sistema de tareas de la sala de computadoras del Centro de información de la Oficina XXX del condado XXX, responsabilidades laborales del personal de turno y Sistema de gestión de estaciones de trabajo para usuarios finales", que requiere que todos los departamentos. El contenido cargado proporcionado por la oficina será revisado por los jefes de cada departamento y el centro de información, luego se enviará al backend del sitio web y se publicará después de la revisión por parte del administrador del sitio web. El contenido principal se emite después de ser firmado por los principales líderes de la empresa. Sirve como sistema de control interno de la red informática de nuestra empresa para garantizar la confidencialidad de la información del sitio web.
De acuerdo con los requisitos de notificación de documentos superiores, el departamento de información de nuestra empresa realizó un autoexamen del trabajo de seguridad, centrándose principalmente en los aspectos anteriores, pero todavía hay algunos aspectos que necesitan mejorar con urgencia.
En primer lugar, en el futuro debemos fortalecer aún más el contacto laboral con la oficina de seguridad del condado y la empresa municipal, encontrar las lagunas y compensar las deficiencias en el trabajo.
El segundo es fortalecer aún más la educación sobre concientización sobre la seguridad de los sistemas de información informática y la capacitación en habilidades de prevención para todos los empleados de nuestra empresa, formular planes de emergencia para la seguridad de los sistemas de información, comprender completamente la gravedad de los casos de seguridad de la información informática y verdaderamente implementar protección de seguridad informática El conocimiento se integra en la mejora de la calidad profesional de los empleados.
La tercera parte del informe de autoinspección de seguridad informática
Con el fin de implementar el "Aviso de la Administración Criptozoológica Nacional" y la "Computadora confidencial del Partido Municipal y los Órganos Gubernamentales de Nanjing Reglamento de gestión de redes" (Oficina de la Comisión de Ning publicada [2007] N° 32) y el "Aviso sobre el fortalecimiento adicional de la gestión de redes confidenciales" (Jiningfa [2011] N° 36) para fortalecer aún más la prevención del robo de redes y la filtración de secretos , nuestra oficina sigue estrictamente los requisitos de los documentos.
Para cumplir estrictamente las disciplinas de confidencialidad, tapar lagunas, eliminar peligros ocultos y fortalecer el trabajo de confidencialidad de la agencia, nuestra oficina ha establecido un grupo líder en el trabajo de confidencialidad. es la oficina principal responsable, el director es el líder del grupo, el director de la oficina es el líder adjunto del grupo y el personal de confidencialidad son miembros. El líder a cargo es responsable de captar la situación y el personal de manejo es específico. Implementar estrictamente el sistema de responsabilidad de liderazgo para el trabajo de confidencialidad, aclarar las responsabilidades de acuerdo con sus respectivas divisiones de trabajo, integrar el trabajo de confidencialidad con el trabajo real y organizar el trabajo de confidencialidad simultáneamente durante la investigación, el despliegue, la inspección y el trabajo resumido. Complete el formulario de registro de gestión de confidencialidad y seguridad de la red confidencial de manera oportuna.
En segundo lugar, fortalecer la gestión del personal confidencial.
Dejar en claro quién es la persona a cargo de la gestión de confidencialidad de las computadoras confidenciales y los sistemas de información informática confidencial de nuestra oficina, y disponer de personal confidencial con alta calidad política y un fuerte sentido de responsabilidad. Ser capaz de realizar concienzudamente deberes de confidencialidad, cumplir estrictamente con las regulaciones de confidencialidad, firmar periódicamente cartas de responsabilidad de confidencialidad con todo el personal confidencial, realizar deberes y obligaciones de confidencialidad y cumplir con las disciplinas de confidencialidad y las regulaciones relacionadas. Los cambios de personal involucrado en redes confidenciales pueden revisarse de acuerdo con la normativa, los procedimientos de aprobación deben completarse en tiempo y forma y los períodos de confidencialidad deben gestionarse en función de la situación.
El período de confidencialidad es generalmente de 6 meses a 3 años. Para el traslado o retiro de personal confidencial, los documentos confidenciales manejados y conservados por el individuo deben ser aclarados de manera oportuna. Sólo después de la verificación por parte de la oficina confidencial se pueden manejar los procedimientos de traslado o retiro de trabajo. Para fortalecer la gestión de la seguridad de las computadoras y sus redes, prevenir fugas de computadoras y redes y garantizar la seguridad de la información secreta de estado, se debe fortalecer la conciencia sobre la seguridad informática de los administradores de redes informáticas, los cuadros dirigentes y el personal secreto que opera computadoras. Nuestra oficina adopta varios métodos y canales para publicitar y educar al personal relacionado con la seguridad informática.
El primero es organizar y estudiar concienzudamente la "Ley de Secretos de Estado", la "Ley de Seguridad Nacional de la República Popular China" y las "Medidas de Implementación de la Ley de la República Popular China sobre la Protección de Secretos de Estado", y exigen que se apliquen en combinación con las condiciones reales.
El segundo es llevar a cabo una educación de alerta. A través de los incidentes de fuga de información en Internet de los últimos años, los departamentos gubernamentales deben aprender lecciones, prestar más atención y fortalecer la gestión de seguridad de la información en línea y garantizar la seguridad de las computadoras y sus redes.
En tercer lugar, estandarizar el funcionamiento de los equipos criptográficos.
Nuestra oficina cuenta con una red confidencial, que es la intranet del gobierno electrónico. Las computadoras confidenciales se guardan en la caja fuerte de la sala confidencial y el personal confidencial de la oficina conservará el equipo de contraseñas, por lo que la responsabilidad recae en las personas. Implementar sistemas de personal, puestos, responsabilidades y responsabilidad laboral para prevenir accidentes de responsabilidad como fugas de redes informáticas. Verificar periódica o irregularmente el uso y gestión de los equipos criptográficos para descubrir peligros ocultos, tapar lagunas, prevenir riesgos y garantizar la absoluta seguridad y el normal funcionamiento de los equipos criptográficos.
En cuarto lugar, garantizar la seguridad de los entornos confidenciales.
Para la gestión de redes informáticas, queda estrictamente prohibido crear, almacenar, transmitir y utilizar archivos, información y datos de organización interna confidenciales en ordenadores en Internet. El año pasado, nuestra oficina llevó a cabo un inventario exhaustivo del entorno confidencial: no se produjeron fugas informáticas durante todo el año; las computadoras confidenciales no fueron infectadas con virus troyanos y no se instalaron dispositivos inalámbricos como tarjetas de red inalámbricas; no utilizado; no hubo acceso ilegal a Internet, etc. Los registros de las redes de información pública son buenos; Para estandarizar la gestión de seguridad de las computadoras y sus redes, nuestra oficina ha tomado principalmente las siguientes medidas:
Primero, la computadora implementa las regulaciones y requisitos relevantes de los documentos del departamento superior de confidencialidad, y continuamente mejora la capacidad de hacer un buen trabajo en la gestión de la seguridad informática de acuerdo con la ley;
El segundo es formular varios sistemas de gestión de redes e informática confidenciales y no confidenciales de la Oficina; Regular estrictamente el flujo de información confidencial e implementar estrictamente el principio de "la información confidencial no está en línea y la información en línea no es confidencial".
En quinto lugar, mejorar el libro de contabilidad de documentos confidenciales.
Nuestra oficina ha establecido una cuenta de registro completa de organismos vectores confidenciales, que es registrada y administrada por el personal de confidencialidad de la oficina. A través del libro mayor, se aclaran las funciones del personal confidencial en el envío y recepción, registro, entrega, archivo y destrucción de documentos, de modo que el trabajo de confidencialidad pueda estar verdaderamente basado en reglas, bien documentado y verdaderamente institucionalizado, estandarizado y científico. . Bajo el liderazgo de la Oficina de Confidencialidad del Comité Municipal del Partido, el trabajo de confidencialidad de nuestra oficina se ha ido estandarizando e institucionalizando gradualmente, y nunca ha ocurrido ningún incidente confidencial. A través de un cuidadoso autoexamen, la organización del trabajo de confidencialidad de nuestra oficina este año puede lograr un liderazgo organizacional, gestión de personal y operaciones de confidencialidad estandarizadas adecuadas. En el trabajo futuro, nuestra oficina fortalecerá aún más la importancia del trabajo de confidencialidad, fortalecerá la gestión del contenido confidencial, se esforzará por lograr nuevos logros en el trabajo de confidencialidad, explorará y estudiará activamente nuevas situaciones y nuevos problemas en el trabajo de confidencialidad en la nueva era, y garantizará la confidencialidad del sistema de gestión urbana El trabajo se desarrolla sin problemas.