时间：2022-09-02 22:04:46
导语：在网络安全整改报告的撰写旅程中，学习并吸收他人佳作的精髓是一条宝贵的路径，好期刊汇集了九篇优秀范文，愿这些内容能够启发您的创作灵感，引领您探索更多的创作可能。
一、组织安排。xx队组织成立自查工作小组，组长为队长xxx担任，由兼职信息系统责任、运行维护和信息安全管理科室的办公室人员组成自查工作小组工作人员，按照自查任务要求，制定具体自查方案，明确本地检查对象和具体要求，落实各项保障措施，开展自查工作，撰写自查报告，并填写相应自查表。
二、制度检查。自查工作小组根据《关于开展重要信息系统及重点网站安全检查工作的通知》，对前郭队的网络安全工作的基本情况以及网站的安全保护情况的相关制度进行了检查，现有制度有：网络与信息安全管理制度、内网计算机与互联网连接制度、终端计算机安全管理制度、桌面安全管理系统制度及其他网络安全管理手段及措施制度。及时发现了问题，要求建立健全信息安全年度预算制度、信息安全发展规划。
三、完备设施。自建互联网局域网网络安全防护措施：xx队接入互联网出口数量只有一个；终端计算机已安装有效的防病毒软件；终端计算机已设置管理员口令；有专门封网计算机可处理涉密信息；机房安全中防盗、消防、供电相关设施完备。
一、加强领导，成立了网络与信息安全工作领导小组
为进一步加强全局网络信息系统安全管理工作，我局成立了网络与信息系统安全保密工作领导小组，由局长任组长，下设办公室，做到分工明确,责任具体到人。确保网络信息安全工作顺利实施。
二、我局网络安全现状
我局的统计信息自动化建设从一九九七年开始，经过不断发展，逐渐由原来的小型局域网发展成为目前与国家局、自治区局以及县区局实现四级互联互通网络。网络核心采用思科7600和3600交换机，数据中心采用3COM4226交换机，汇集层采用3COM4226交换机、思科2924交换机和联想天工iSpirit1208E交换机，总共可提供150多个有线接入点，目前为止已使用80个左右。数据中心骨干为千兆交换式，百兆交换到桌面。因特网出口统一由市信息办提供，为双百兆光纤；与自治区统计局采用2兆光纤直联，各县区统计局及三个开发区统计局采用天融信VPN虚拟专用网络软件从互联网上连接进入到自治区统计局的网络，VPN入口总带宽为4兆，然后再连接到我局。横向方面，积极推进市统计局与政府网互联，目前已经实现与100多家市级党政部门和12个县区政府的光纤连接。我局采用天融信硬件防火墙对网络进行保护，采用伟思网络隔离卡和文件防弹衣软件对重点计算机进行单机保护，安装正版金山毒霸网络版杀毒软件，对全局计算机进行病毒防治。
三、我局网络信息化安全管理
为了做好信息化建设，规范统计信息化管理，我局专门制订了《*市统计局信息化规章制度》，对信息化工作管理、内部电脑安全管理、机房管理、机房环境安全管理、计算机及网络设备管理、数据、资料和信息的安全管理、网络安全管理、计算机操作人员管理、网站内容管理、网站维护责任等各方面都作了详细规定，进一步规范了我局信息安全管理工作。
针对计算机保密工作，我局制定了《计算机管理制度》，并由计算机使用人员签订了《*市统计局计算机保密工作岗位责任书》，对计算机使用做到“谁使用谁负责”；对我局内网产生的数据信息进行严格、规范管理。
此外，我局在全局范围内每年都组织相关计算机安全技术培训，计算站的同志还积极参加市信息办及其他计算机安全技术培训，提高了网络维护以及安全防护技能和意识，有力地保障我局统计信息网络正常运行。
四、网络安全存在的不足及整改措施
目前，我局网络安全仍然存在以下几点不足：
一是安全防范意识较为薄弱；
二是病毒监控能力有待提高；
三是遇到恶意攻击、计算机病毒侵袭等突发事件处理不够及时。
针对目前我局网络安全方面存在的不足，提出以下几点整改办法：
根据《广电总局办公厅贯彻落实国务院办公厅关于开展重点领域网络与信息安全检查行动的通知》文件精神，我台在青岛市文广新局的统一部署下，对本台网络与信息安全情况进行了自查，现汇报如下：
一、信息安全自查工作组织开展情况
1、成立了信息安全检查行动小组。由台长任组长，分管领导为副组长，相关科室负责人为组员的行动小组，负责对全台的重要信息系统的全面指挥、排查并填记有关报表、建档留存等。
2、信息安全检查小组对照网络与信息系统的实际情况进行了逐项排查、确认，并对自查结果进行了全面的核对、分析，提高了对全台网络与信息安全状况的掌控。
二、信息安全工作情况
1、8月6日完成信息系统的自查工作部署，并研究制定自查实施方案，根据所承担的业务要求和网络边界安全性对硬盘播出系统、非线性编辑系统、XX有线电视传输系统进行全面的梳理并综合分析。
2、8月7日对硬盘播出系统、非线性编辑系统、XX有线电视传输系统进行了细致的自查工作。
(1)系统安全自查基本情况
硬盘播出系统为实时性系统，对主要业务影响较高。目前拥有DELL服务器5台、惠普服务器2台、cisco交换机2台，操作系统均采用windows系统，数据库采用SQLServer，灾备情况为数据级灾备，该系统不与互联网连接。
非线性编辑系统为非实时性系统，对主要业务影响较高。目前拥有DELL服务器6台、华为交换机1台，网关采用 UNIX操作系统，数据库采用SQLServer，灾备情况为数据灾备，该系统不与互联网连接，安全防护策略采用默认规则。
XX有线电视传输系统为实时性系统，对主要业务影响高，灾备情况为数据灾备，该系统不与互联网连接。
(2)、安全管理自查情况
人员管理方面，指定专职信息安全员,成立信息安全管理机构和信息安全专职工作机构。重要岗位人员全部签订安全保密协议，制定了《人员离职离岗安全规定》、《外部人员访问审批表》。
资产管理方面，指定了专人进行资产管理，完善了《资产管理制度》、《设备维修维护和报废管理制度》，建立了《设备维修维护记录表》。
存储介质管理方面，完善了《存储介质管理制度》，建立了《存储介质管理记录表》。
(3)、网络与信息安全培训情况
制定了《XX市广播电视台信息安全培训计划》，2019年上半年组织信息安全教育培训2次，接受信息安全培训人数40人，站单位中人数的20%。组织信息安全管理和技术人员参加专业培训4次。
信息安全检查总结报告范文二：
按照《关于组织开展20xx年全市政府信息系统安全检查工作的通知》(镇信安联办【20xx】5号)要求，我局高度重视，立即组织开展全局范围的信息系统安全检查工作。现将自查情况汇报如下。
我局信息系统运转以来，能严格按照上级部门要求，积极完善各项安全制度、充分加强信息化安全工作人员教育培训、全面落实安全防范措施、全力保障信息安全工作经费，信息安全风险得到有效降低，应急处置能力得到切实提高，保证了政府信息系统持续安全稳定运行。
一、信息安全组织管理工作情况
我局高度重视信息系统安全工作，成立有由主要领导任组长、分管领导任副组长、各处室负责人为组员组成的局信息安全工作领导小组，明确了局办公室为主要职能部门，确定了一名兼职信息安全员，召开了由分管领导、信息安全工作职能部门和重点部门负责人参加的会议，对上级有关文件进行了认真学习，对自查工作进行了周密的部署，确定了自查任务和人员分工，真正做到领导到位、机构到位、人员到位、责任到位、措施到位。为确保我局网络信息安全工作有效顺利开展，我局要求以各处室、下属单位为单位认真组织学习相关法律、法规和网络信息安全的相关知识，使全体人员都能正确领会信息安全工作的重要性，都能掌握计算机安全使用的规定要求，都能正确的使用计算机网络和各类信息系统。
二、日常信息安全管理工作情况
我局在以前建立一系列信息安全制度的基础上，针对信息安全工作的特点，结合我局实际，重新修订了一系列信息安全制度和程序，做到按制度办事，提高执行力。按照市政府和市经信委要求，我局与计算机维保单位重新签订了服务协议，增加了信息安全与保密协议内容。同时我局还与全局所有工作人员签订了安全保密协议。我局对涉密计算机和涉密移动存储介质高度关注，对所有涉密计算机和涉密移动存储介质全部进行编号在册统一管理，明确责任人和保管人，对涉密信息系统的使用进行多次重点检查，强化涉密人员管理，严格执行涉密计算机和涉密移动存储介质的相关管理制度，专门为涉密人员配发了带有硬件锁的U盘，严禁在涉密和非涉密信息系统间混用移动存储介质等等。对非涉密计算机的保密系统和防火墙、杀毒软件等皆为国产产品，公文处理软件使用微软公司的正版office系统，信息系统的第三方服务外包均为国内公司。
三、信息安全防护管理工作情况
我局网络系统的组成结构及其配置合理，并符合有关的安全规定;网络使用的各种硬件设备、软件和网络接口是也过安全检验、鉴定合格后才投入使用的，自安装以来运转基本正常。我局经常开展信息安全检查工作，主要对操作系统补丁安装、应用程序补丁安装、防病毒软件安装与升级、木马病毒检测、网页篡改情况等进行监管，认真做好系统安全日记。今年，我局在市政府办的指导下试运行协同办公系统，投入10多万元为所有局领导、各处室配置了内网计算机，为涉密处室另配备了涉密计算机，从硬件上加强了涉密信息系统管理。
四、信息安全应急管理工作情况
我局认真做好各项准备工作，对可能发生的各类信息安全事件做到心中有数，进一步完善了信息安全应急预案，明确应急处置流程，落实了应急技术支撑队伍，把工作做深做细做在前面。
五、信息安全教育培训工作情况
我局针对信息管理人员实际情况，每年开展信息化教育培训，以掌握信息化管理技能为目的进行实践操作能力培训。还组织有关工作人员参加了相关信息安全培训，职工信息安全意识得到有效提高。
六、信息安全专项检查工作情况
目前我局在市行政中心大楼内办公，网络和信息系统便于统一管理，内外网完全物理隔离，内网计算机均在有效管理范围内。局信息安全工作领导小组针对我局的信息安全形势，定期组织由专业技术人员组成的检查小组到各个办公室专项检查网络和信息安全情况，仔细排查信息系统的漏洞和安全隐患，用专用工具查杀木马、病毒，及时加强防范措施，为所有计算机安装了正版杀毒软件和防火墙，有效提高了计算机和网络防范、抵御风险的能力。此外，检查小组针对个别在市行政中心大楼外办公的处室进行了上门检查，不放过任何信息安全死角。在检查的同时，检查小组还就信息安全知识进行了上门培训。经多次检查，我局信息系统总体情况良好，运行正常，未发现重大隐患。
七、信息安全检查工作发现的主要问题及整改情况
(一)存在的主要问题
一是专业技术人员较少，信息系统安全方面可投入的力量有限。
二是规章制度体系初步建立，但还不完善，未能覆盖到信息系统安全的所有方面。
三是遇到计算机病毒侵袭等突发事件处理不够及时。
(二)下一步工作打算
根据自查过程中发现的不足，同时结合我局实际，将着重以下几个方面进行整改：
一是进一步扩大对计算机安全知识的培训面，组织信息员和干部职工进行培训。
二是要切实增强信息安全制度的落实工作，不定期的对安全制度执行情况进行检查，从而提高人员安全防护意识。
三是要以制度为根本，在进一步完善信息安全制度的同时，安排专人，完善设施，密切监测，随时随地解决可能发生的信息安全事故。
信息安全检查总结报告范文三：
根据**市人民政府办公室《关于开展政府信息系统安全的检查的通知》(天政电[20xx]52号)文件精神。我镇对本镇信息系统安全情况进行了自查，现汇报如下：
一、自查情况
(一)安全制度落实情况
1、成立了安全小组。明确了信息安全的主管领导和具体负责管护人员,安全小组为管理机构。
2、建立了信息安全责任制。按责任规定:保密小组对信息安全负首责，主管领导负总责，具体管理人负主责。
3、制定了计算机及网络的保密管理制度。镇网站的信息管护人员负责保密管理，密码管理，对计算机享有独立使用权，计算机的用户名和开机密码为其专有，且规定严禁外泄。
(二)安全防范措施落实情况
1、涉密计算机经过了保密技术检查，并安装了防火墙。同时配置安装了专业杀毒软件，加强了在防篡改、防病毒、防攻击、防瘫痪、防泄密等方面有效性。
2、涉密计算机都设有开机密码，由专人保管负责。同时，涉密计算机相互共享之间没有严格的身份认证和访问控制。
3、网络终端没有违规上国际互联网及其他的信息网的现象，没有安装无线网络等。
4、安装了针对移动存储设备的专业杀毒软件。
(三)应急响应机制建设情况
1、制定了初步应急预案，并随着信息化程度的深入，结合我镇实际，处于不断完善阶段。
2、坚持和涉密计算机系统定点维修单位联系机关计算机维修事宜，并商定其给予镇应急技术以最大程度的支持。
3、严格文件的收发，完善了清点、修理、编号、签收制度，并要求信息管理员每天下班前进行系统备份。
(四)信息技术产品和服务国产化情况
1、终端计算机的保密系统和防火墙、杀毒软件等，皆为国产产品。
2、公文处理软件具体使用金山软件的wps系统。
3、工资系统、年报系统等皆为市政府、市委统一指定产品系统。
(五)安全教育培训情况
1、派专人参加了市政府组织的网络系统安全知识培训，并专门负责我镇的网络安全管理和信息安全工作。
2、安全小组组织了一次对基本的信息安全常识的学习活动。
二、自查中发现的不足和整改意见
根据《通知》中的具体要求，在自查过程中我们也发现了一些不足，同时结合我镇实际，今后要在以下几个方面进行整改。
1、安全意识不够。要继续加强对机关干部的安全意识教育，提高做好安全工作的主动性和自觉性。
2、设备维护、更新及时。要加大对线路、系统等的及时维护和保养，同时，针对信息技术的飞快发展的特点，要加大更新力度。
3、安全工作的水平还有待提高。对信息安全的管护还处于初级水平，提高安全工作的现代化水平，有利于我们进一步加强对计算机信息系统安全的防范和保密工作。
4、工作机制有待完善。创新安全工作机制，是信息工作新形势的必然要求，这有利于提高机关网络信息工作的运行效率，有利于办公秩序的进一步规范。
信息安全检查总结报告范文四：
根据《衡阳市人民政府办公室关于开展全市重点领域网络与信息安全检查的通知》精神，xx月10日，由市电政办牵头，组织对全市政府信息系统进行自查工作，现将自查情况总结如下：
一、网络与信息安全自查工作组织开展情况
xx月10日起，由市电政办牵头，对各市直各单位当前网络与信息安全进行了一次全面的调查，此次调查工作以各单位自查为主，市电政办抽查为辅的方式进行。自查的重点包括：电政办中心机房网络检修、党政门户网维护密码防护升级，市直各单位的信息系统的运行情况摸底调查、市直各单位客户机病毒检测，市直各单位网络数据流量监控和数据分析等。
二、信息安全工作情况
通过上半年电政办和各单位的努力，我市在网络与信息安全方面主要完成了以下工作：
1、所有接入市电子政务网的系统严格遵照规范实施，我办根据《常宁市党政门户网站信息审核制度》、《常宁市网络与信息安全应急预案》、《“中国?常宁”党政门户网站值班读网制度》、《"中国?常宁”党政门户网站应急管理预案》等制度要求，定期组织开展安全检查，确保各项安全保障措施落实到位。
2、组织信息安全培训。面向市直政府部门及信息安全技术人员进行了网站渗透攻击与防护、病毒原理与防护等专题培训，提高了信息安全保障技能。
3、加强对党政门户网站巡检。定期对各部门子网站进行外部web安全检查，出具安全风险扫描报告，并协助、督促相关部门进行安全加固。
4、做好重要时期信息安全保障。采取一系列有效措施，实行24小时值班制及安全日报制，与重点部门签订信息安全保障承诺书，加强互联网出口访问的实时监控，确保xx大期间信息系统安全。
三、自查发现的主要问题和面临的威胁分析
通过这次自查，我们也发现了当前还存在的一些问题：
1、部分单位规章制度不够完善，未能覆盖信息系统安全的所有方面。
2、少数单位的工作人员安全意识不够强，日常运维管理缺乏主动性和自觉性，在规章制度执行不严、操作不规范的情况。
3、存在计算机病毒感染的情况，特别是U盘、移动硬盘等移动存储设备带来的安全问题不容忽视。
4、信息安全经费投入不足，风险评估、等级保护等有待加强。
5、信息安全管理人员信息安全知识和技能不足，主要依靠外部安全服务公司的力量。
四、改进措施和整改结果
在认真分析、总结前期各单位自查工作的基础上，xx月12日，我办抽调3名同志组成检查组，对部分市直机关的重要信息系统安全情况进行抽查。检查组共扫描了18个单位的门户网站，采用自动和人工相结合的方式对15台重要业务系统服务器、46台客户端、10台交换机和10台防火墙进行了安全检查。
检查组认真贯彻“检查就是服务”的理念，按照《衡阳市人民政府办公室关于开展全市重点领域网络与信息安全检查的通知》要求对抽查单位进行了细致周到的安全巡检，提供了一次全面的安全风险评估服务，受到了服务单位的欢迎和肯定。检查从自查情况核实到管理制度落实，从网站外部安全扫描到重要业务系统安全检测，从整体网络安全评测到机房物理环境实地勘查，全面了解了各单位信息安全现状，发现了一些安全问题，及时消除了一些安全隐患，有针对性地提出了整改建议，督促有关单位对照报告认真落实整改。通过信息安全检查，使各单位进一步提高了思想认识，完善了安全管理制度，强化了安全防范措施，落实了安全问题的整改，全市安全保障能力显著提高。
五、关于加强信息安全工作的意见和建议
针对上述发现的问题，我市积极进行整改，主要措施有：
1、对照《衡阳市人民政府办公室关于开展全市重点领域网络与信息安全检查的通知》要求，要求各单位进一步完善规章制度，将各项制度落实到位。
2、继续加大对机关全体工作人员的安全教育培训，提高信息安全技能，主动、自觉地做好安全工作。
3、加强信息安全检查，督促各单位把安全制度、安全措施切实落实到位，对于导致不良后果的安全事件责任人，要严肃追究责任。
4、继续完善信息安全设施，密切监测、监控电子政务网络，从边界防护、访问控制、入侵检测、行为审计、防毒防护、网站保护等方面建立起全方位的安全防护体系。
5、加大应急管理工作推进力度，在全市信息安全员队伍的基础上组建一支应急支援技术队伍，加强部门间协作，完善应急预案，做好应急演练，将安全事件的影响降到最低。
信息安全检查总结报告范文五：
按照盟信息化领导小组《关于20xx年我盟开展重点领域信息安全检查工作的通知》(阿信领办字〔20xx〕2号)要求，我局对信息安全管理工作进行自查，现报告如下：
一、信息安全检查工作组织开展情况
按照《政府部门信息安全检查操作指南》规定，我局成立了由王军副局长担任组长的信息安全检查工作组，制发了《阿拉善盟安全生产监督管理局信息安全检查工作方案》，召开专题会议对信息安全检查工作进行安排部署，从8月1日起在单位内部开展了为期30天的信息安全自查和基本信息梳理等相关工作。
二、20xx年信息安全主要工作情况
安全管理方面，制定了《阿拉善盟安全生产监督管理局信息安全管理制度》、《存储介质管理制度》、《人员离职离岗安全规定》等制度，重要岗位人员签订了安全保密协议。
技术防护方面，网站服务器及计算机设置防火墙，拒绝外来恶意攻击，保障网络正常运行，安装了正牌的防病毒软件，对计算机病毒、有害电子邮件采取有效防范，根据系统服务需求，按需开放端口，遵循最小服务配置原则。一旦发生网络信息安全事故应立即报告相关方面并及时进行协调处理。
应急处理方面，加强了网络管理人员应急处理相关培训教育，对突发网络信息安全事故可快速安全地处理。
教育培训方面，对全体干部职工开展了信息安全教育培训。
三、检查发现的主要问题和面临的威胁分析
1. 发现的主要问题和薄弱环节
自查发现个别人员计算机安全意识不强。在以后的工作中我们将继续加强对计算机安全意识教育和防范技能训练让干部职工充分认识到计算机泄密后的严重性与可怕性。
2.面临的安全威胁与风险
无。
3.整体安全状况的基本判断
网络安全总体状况良好，未发生重大信息安全事故。
四、改进措施与整改效果
1. 改进措施
为保证网络安全有效地运行，减少病毒侵入，我局就网络安全及系统安全的有关知识进行了培训。期间，大家对实际工作中遇到的计算机方面的有关问题进行了详细的咨询，并得到了满意的答复。
2. 整改效果
经过培训教育，全体干部职工对网络信息安全有了更深入的了解，并在工作中时刻注意维护信息安全。
五、关于加强信息安全工作的意见和建议
一、贯彻落实条例情况
二00八年以来,在***市人大和信息化工作领导小组的正确指导下，***市公安局为了深入贯彻落实科学发展观,进一步优化我市信息化发展环境,推进我市信息化正规化发展.按照市人大通知精神，成立了***市公安局信息化安全领导小组，并组织相关人员对《***信息化条例》进行了认真学习，学习后按照职责要求对全市从事国际联网业务的单位和个人进行了安全监督、检查和指导，历年无信息安全事件发生。
二、历年工作情况
首先每年每季度组织全市涉及信息化安全的单位召开信息化安全会议，在组织各单位学习信息化条例及网络安全知识的同时，总结各单位网络信息化安全事件，并对各单位网络信息化安全工作提出要求。
首先每年每季度对全市ISPICP单位进行安全检查，发现问题发放整改通知书，督促其落实安全保护技术措施，保障本网络的运行安全和信息安全，并要求其对网络个人用户进行备案管理和安全教育及培训。对全市重点单位开展了全市非经营经联网上网服务营业场所的安全软件安装工作，有效的保障了非经营联网上网服务营业场所的安全运行。
三、存在的不足
在贯彻执行条例中涉及本单位职责范围的工作时，由于部分单位对网络安全监察工作不是太理解，所以对我局开展的网络安全监察工作配合意识不强，对网络信息化安全工作开展形成了障碍，造成了部分工作滞后，网络信息安全责任制落实不到位的情况。
四、下步打算
下步工作中，***市公安局将按照市人大及信息化办公室的要求，认真贯彻落实条例内容，按照本单位职责，在做好本单位工作的同时，对全市涉及网络信息安全的单位及个人进行全面督促检查，履行职责，为全力推动我市信息化健康、协调发展贡献力量。
为切实加强对全省政府系统办公业务资源网(以下简称省政府专网)的安全管理,确保重要网络办公应用系统运行稳定、安全可控,根据《国务院办公厅关于加强政府信息系统安全和保密管理工作的通知》(〔2008〕17号)精神,经省政府同意,现就加强省政府专网安全管理工作通知如下:
一、提高认识,认清形势,高度重视新形势下省政府专网安全管理工作
省政府专网是以省政府办公厅为枢纽的全省政府系统办公业务资源网,是全省电子政务建设的重要组成部分,也是我省推进电子政务建设的重要基础。省政府专网自1997年开始建设使用以来,不断升级完善,目前已连接各省辖市政府及170家省直单位。其网上的主要办公应用有公文交换、信息采编、应急值班、公务邮件会议通知报名等办公应用系统。同时建设了省政府专网网站,为各联网单位提供了信息共享平台。
当前,网络安全形势十分严峻。国内外敌对势力大肆利用各种手段对我各级政府信息系统进行网络攻击、破坏,窃密手段不断翻新,窃密活动十分猖獗。随着信息化建设的不断推进和新技术的发展运用,泄密风险、泄密渠道和泄密隐患明显增多,网络安全管理难度明显加大。同时,一些单位和人员信息安全和保密意识淡薄,管理机制不健全,制度不落实,技术防护措施不完善,违规操作行为有禁不止等问题比较突出。网络安全涉及国家安全,各地、各部门必须站在维护国家安全和利益、保障中原经济区建设顺利进行、加快中原崛起和振兴的战略高度,充分认识信息化条件下政府信息系统安全管理面临的严峻形势,采取切实有效措施,加强省政府专网安全管理工作,保障其安全、稳定运行。
二、加强领导,明确责任,健全省政府专网安全管理责任制
各地、各部门要把省政府专网安全管理工作列入重要议事日程,加强领导,落实责任,完善措施,强化监管,切实抓紧抓好。省政府办公厅负责规划建设省级政府专网平台,制定网络对接、信息交换、安全技术及运行管理标准规范,并对省级政府专网平台安全负责。
各地、各部门要按照“谁主管谁负责、谁运行谁负责、谁使用谁负责”的原则,建立健全省政府专网安全管理责任制,把责任落实到具体岗位和个人。一要明确一名主管领导,负责本地、本部门省政府专网安全管理工作,及时研究解决工作中存在的问题,统筹协调和保障工作的开展。二要指定一个内设机构具体承担本单位省政府专网安全管理工作,负责组织落实本单位网络信息安全保密管理制度,完善防护措施,开展信息安全保密教育和监督检查等。三要指定一位安全观念强、富有责任心、懂安全防护技术的工作人员担任专职或兼职省政府专网安全员,负责日常检查、维护、联系等工作。四要制定完善网络管理岗位责任制度和办法,与网络管理、使用人员签订安全保密责任书,明确省政府专网安全管理责任。
三、强化教育,加强培训,提高网络安全意识和防护技能
各地、各部门要结合实际,认真组织开展对省政府专网分管领导、工作人员的教育培训,加强对国家保密法律、法规和网络安全保密管理规定的深入学习,特别是要对网络管理人员和专兼职网络安全员开展岗位任职培训。当前,要严格落实省政府专网安全管理工作要求,一是严禁将网络、信息系统和国际互联网等公共信息网接入省政府专网;二是严禁在计算机与连接省政府专网计算机之间交叉使用U盘等移动存储设备;三是严禁在没有防护措施的情况下将国际互联网等公共信息网上的数据拷贝到省政府专网;四是严禁计算机、连接互联网的计算机与连接省政府专网的计算机混用。行政机关及其工作人员要切实遵守信息安全和保密管理各项规定,做到令行禁止,杜绝安全隐患。
四、完善措施,增强能力,夯实安全工作基础
(一)实行严格的网络隔离。省政府专网是非的全省政府系统内部办公网络,要与网络以及国际互联网等公共信息网物理隔离,专网专用。
(二)实行严格的接入管理。省政府办公厅对省政府专网实行严格的网络接入审批制度,拟接入省政府专网的单位要以书面形式向省政府办公厅提出申请。对已经接入省政府专网的单位,必须按照省政府办公厅统一分配的域名、IP(网络之间互连的协议)地址段等配置相关设备,未经批准不得随意改动;符合安全要求的单位要将本单位办公局域网整体接入省政府专网;如将接入省政府专网的网络向下连接或改变省政府专网连接方式、范围,或利用省政府专网开展新的纵向办公应用,须先制定网络系统方案和工作方案,并报省政府办公厅电子政务办公室审核。
(三)实行严格的内容管理。连接省政府专网的计算机、服务器和其他设备不得用于存储、处理、传输涉及国家秘密的信息。接入省政府专网的用户不得利用省政府专网制作、复制或传播各类不良信息,不得从事干扰其他省政府专网用户、破坏网络服务和网络设备的活动,如在网络上不真实的信息、散布计算机病毒等。
(四)实行计算机配置管理和安全审计。各单位要对连接省政府专网的计算机和移动存储设备实行配置管理,统一编号、统一标志、统一登记;对办公用计算机逐步加装安全审计工具,定期进行安全审计。
(五)增强网络安全保障能力。各地、各部门要加快信息安全防护设施建设,将信息安全防护设施建设、运行、维护、检查和管理费用纳入预算,保证资金落实。同时,要加快建立健全以身份认证、访问控制、安全审计、责任认定、病毒防护等为主要内容的网络安全体系,完善网络安全技术防护手段。
该文对供水企业信息集成系统安全进行分析，并探讨了可以针对性改进的安全防护措施。首先对当前供水信息系统安全现状做具体分析，然后研究了在“自主定级，自主保护”的原则下改进和提高供水企业集成信息系统安全具体的执行方案，最终实现供水企业信息集成系统的信息安全防护。
关键词：
供水企业信息集成系统；等级保护；信息安全
供水行业对国计民生很重要的一个行业，供水企业的业务性质要求以信息的整体化为基本立足点，集中管理所有涉及运营的相关数据，针对供水企业运行的特殊要求，进行集中的规划和架构，将不同专业的应用系统进行整合，最终形成完整的供水企业综合信息平台。[1]而集成系统中最重要的一个要求就是信息安全。
随着大数据时代的到来，网格、分布式计算、云计算、物联网等新技术相继推出，对供水企业信息集成与应用也提出了更高的要求。而随着应用的扩展，应用中存在着大量的安全隐患，网络黑客、木马、病毒和人为的破坏等将大量的安全威胁带给信息系统。根据美国Radicati公司于2015年3月的调查报告，截至2014年12月，网络攻击已经为全球计算机网络安全造成高达上万亿美元的损失。而且随着网络应用的规模进一步上升，计算机网络信息安全威胁造成的损失正在呈几何级数增长。根据2015年的中国网络安全分析报告，2014年报告的网络安全攻击事件比2013年增加了100多倍。2014年，搜狗由于网络黑客攻击导致搜索服务在全国各地都出现了长达25分钟无法使用。2014年7月，某域名服务商的域名解析服务器发生了网络黑客的集中式攻击，造成在其公司注册的13%的网站无法访问，时间长达17个小时，经济损失不可估量。因此，从信息安全的角度，要对供水企业信息集成系统进行防护，降低信息安全事故的发生的概率，降低其危害，是本文需要研究的内容。
1当前供水企业信息集成系统安全防护的现状和存在的问题
伴随着科技的不断发展，供水企业的信息化建设也得到了很大的发展，主要是从深度和广度两个层面做进一步拓展。典型的供水企业信息集成系统涵盖了生产调度系统、销售系统、管网信息系统、财务管理系统、人事管理系统、办公自动化系统等子系统。其中多个系统数据需要接受外部访问，存在大量的安全隐患。目前，威胁到供水企业信息安全的风险因素主要分为三个大类：1）人为原因，如恶意的黑客攻击、不怀好意的内部人员造成的信息外泄、操作中出现低级错误等。2）数据存储位置位置的风险。可能由自然灾害引发的问题，缺乏数据备份和恢复能力。3）不断增长的数据交互放大了数据丢失或泄漏的风险。包括未知的安全漏洞、软件版本、安全实践和代码更改等。
2有关分级防护的要求
尤其是供水企业信息集成系统中，存在大量涉及公民个人隐私的信息，也存在像生产调度这样涉及国计民生的信息。因此，需要按照国家有关信息安全的法律法规，明确企业的信息安全责任。提升供水企业信息管理区内的业务系统信息安全防护。依据《信息安全等级保护管理办法》（公通字[2007]43号）第十四条，信息系统建设完成后，运营、使用单位或者其主管部门应当选择符合本办法规定条件的测评机构，依据《信息系统安全等级保护测评要求》等技术标准，定期对信息系统安全等级状况开展等级测评。定级标准按照国家标准《信息系统安全等级保护定级指南》（GB/T22240—2008）实施，根据等级保护相关管理文件，信息系统的安全保护等级分为以下五级：第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。
第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。等级保护对象受到破坏后对客体造成侵害的程度归结为以下三种：1）造成一般损害；2）造成严重损害；3）造成特别严重损害。
3分别防护实施步骤
根据有关法律法规，建设完成并投入使用的信息系统，其有关使用此系统的单位需要对其系统的等级状况做定期的测评。供水企业要遵照要求选择具有资质的测评机构来对管理信息区的业务系统做等级保护的测评工作。其所得到的结果如下表1所示：通常情况下，供水企业信息系统中不会出现第四级和第五级的系统。根据测评结果，有必要对供水企业内部的局域网进行系统化整改。具体的整改内容包括两项主要内容：细化各业务系统服务器的物理位置；按照需求设置信息安全区域。根据供水企业信息集成系统的具体实际，主要有等级包括三个业务区域，以及一个公共业务区和测评业务区。按照上述原则对供水企业信息集成系统服务器做物理划分如图1所示。不同等级的系统服务器针对不同级别的信息安全区进行设置。等级为一、二、三的业务区分别安装着对应的服务器，而公共业务区域的服务器主要是DNS服务器或者是域服务器。公共业务区服务器主要为基础服务提供非业务系统服务，不需要进行保护分级。测评业务区提供是投入正式使用前的测试服务器。
依据表1的测评结果，将安全区域进行细化表2所示的就是企业管理信息区，其主要业务系统对安全区域存放问题的展示。根据表2得到的结果，可以将信息安全设备存放在不同信息区域边界内，以此达到服务器分级防护目的。信息安全设备设置在信息安全区域边界，也就是局域网与信息安全区域之间的连接部。信息安全设备主要是防火墙、查杀病毒、攻击防护、服务防护禁止、授权等。对于不同区域边界的信息安全的部署建议，供水企业要遵照各自的实际情况做周密的设置。供水企业管理信息安全区域边界防护表见表3。将信息安全防护设备部署在所在的区域边界内，如此可以初步实现对供水企业管理信息区的信息安全防护。
4结束语
随着大数据的发展，对供水企业信息集成系统在数据的交互和应用方面会提出更高的要求，也大大加强了安全防护措施的重要性和迫切性。在安全防护措施基本到位的前提下，还需要加强信息审计，及时发现和补救系统缺陷，加强数据库安全防护，维护管理系统的隐患。
参考文献：
[1]孙锋.基于多agent技术的供水企业信息集成系统研究[J].供水技术,2015(10).
第一条 为加强对具有舆论属性或社会动员能力的互联网信息服务和相关新技术新应用的安全管理，规范互联网信息服务活动，维护国家安全、社会秩序和公共利益，根据《中华人民共和国网络安全法》《互联网信息服务管理办法》《计算机信息网络国际联网安全保护管理办法》，制订本规定。
第二条 本规定所称具有舆论属性或社会动员能力的互联网信息服务，包括下列情形：
（一）开办论坛、博客、微博客、聊天室、通讯群组、公众账号、短视频、网络直播、信息分享、小程序等信息服务或者附设相应功能；
（二）开办提供公众舆论表达渠道或者具有发动社会公众从事特定活动能力的其他互联网信息服务。
第三条 互联网信息服务提供者具有下列情形之一的，应当依照本规定自行开展安全评估，并对评估结果负责：
（一）具有舆论属性或社会动员能力的信息服务上线，或者信息服务增设相关功能的；
（二）使用新技术新应用，使信息服务的功能属性、技术实现方式、基础资源配置等发生重大变更，导致舆论属性或者社会动员能力发生重大变化的；
（三）用户规模显著增加，导致信息服务的舆论属性或者社会动员能力发生重大变化的；
（四）发生违法有害信息传播扩散，表明已有安全措施难以有效防控网络安全风险的；
（五）地市级以上网信部门或者公安机关书面通知需要进行安全评估的其他情形。
第四条 互联网信息服务提供者可以自行实施安全评估，也可以委托第三方安全评估机构实施。
第五条 互联网信息服务提供者开展安全评估，应当对信息服务和新技术新应用的合法性，落实法律、行政法规、部门规章和标准规定的安全措施的有效性，防控安全风险的有效性等情况进行全面评估，并重点评估下列内容：
（一）确定与所提供服务相适应的安全管理负责人、信息审核人员或者建立安全管理机构的情况；
（二）用户真实身份核验以及注册信息留存措施；
（三）对用户的账号、操作时间、操作类型、网络源地址和目标地址、网络源端口、客户端硬件特征等日志信息，以及用户信息记录的留存措施；
（四）对用户账号和通讯群组名称、昵称、简介、备注、标识，信息、转发、评论和通讯群组等服务功能中违法有害信息的防范处置和有关记录保存措施；
（五）个人信息保护以及防范违法有害信息传播扩散、社会动员功能失控风险的技术措施；
（六）建立投诉、举报制度，公布投诉、举报方式等信息，及时受理并处理有关投诉和举报的情况；
（七）建立为网信部门依法履行互联网信息服务监督管理职责提供技术、数据支持和协助的工作机制的情况；
（八）建立为公安机关、国家安全机关依法维护国家安全和查处违法犯罪提供技术、数据支持和协助的工作机制的情况。
第六条 互联网信息服务提供者在安全评估中发现存在安全隐患的，应当及时整改，直至消除相关安全隐患。
经过安全评估，符合法律、行政法规、部门规章和标准的，应当形成安全评估报告。安全评估报告应当包括下列内容：
（一）互联网信息服务的功能、服务范围、软硬件设施、部署位置等基本情况和相关证照获取情况；
（二）安全管理制度和技术措施落实情况及风险防控效果；
（三）安全评估结论；
（四）其他应当说明的相关情况。
第七条 互联网信息服务提供者应当将安全评估报告通过全国互联网安全管理服务平台提交所在地地市级以上网信部门和公安机关。
具有本规定第三条第一项、第二项情形的，互联网信息服务提供者应当在信息服务、新技术新应用上线或者功能增设前提交安全评估报告；具有本规定第三条第三、四、五项情形的，应当自相关情形发生之日起30个工作日内提交安全评估报告。
第八条 地市级以上网信部门和公安机关应当依据各自职责对安全评估报告进行书面审查。
发现安全评估报告内容、项目缺失，或者安全评估方法明显不当的，应当责令互联网信息服务提供者限期重新评估。
发现安全评估报告内容不清的，可以责令互联网信息服务提供者补充说明。
第九条 网信部门和公安机关根据对安全评估报告的书面审查情况，认为有必要的，应当依据各自职责对互联网信息服务提供者开展现场检查。
网信部门和公安机关开展现场检查原则上应当联合实施，不得干扰互联网信息服务提供者正常的业务活动。
第十条 对存在较大安全风险、可能影响国家安全、社会秩序和公共利益的互联网信息服务，省级以上网信部门和公安机关应当组织专家进行评审，必要时可以会同属地相关部门开展现场检查。
第十一条 网信部门和公安机关开展现场检查，应当依照有关法律、行政法规、部门规章的规定进行。
第十二条 网信部门和公安机关应当建立监测管理制度，加强网络安全风险管理，督促互联网信息服务提供者依法履行网络安全义务。
发现具有舆论属性或社会动员能力的互联网信息服务提供者未按本规定开展安全评估的，网信部门和公安机关应当通知其按本规定开展安全评估。
第十三条 网信部门和公安机关发现具有舆论属性或社会动员能力的互联网信息服务提供者拒不按照本规定开展安全评估的，应当通过全国互联网安全管理服务平台向公众提示该互联网信息服务存在安全风险，并依照各自职责对该互联网信息服务实施监督检查，发现存在违法行为的，应当依法处理。
第十四条 网信部门统筹协调具有舆论属性或社会动员能力的互联网信息服务安全评估工作，公安机关的安全评估工作情况定期通报网信部门。
第十五条 网信部门、公安机关及其工作人员对在履行职责中知悉的国家秘密、商业秘密和个人信息应当严格保密，不得泄露、出售或者非法向他人提供。
根据《基本要求》的规定，二级要求的系统防护能力为：信息系统具有抵御一般攻击的能力，能防范常见计算机病毒和恶意代码危害的能力，系统遭受破坏后，具有恢复系统主要功能的能力。数据恢复的能力要求为：系统具有一定的数据备份功能和设备冗余，在遭受破坏后能够在有限的时间内恢复部分功能。按照二级的要求，一般情况下分为技术层面和管理层面的两个层面对信息系统安全进行全面衡量，技术层面主要针对机房的物理条件、安全审计、入侵防范、边界、主机安全审计、主机资源控制、应用资源控制、应用安全审计、通信完整性和数据保密性等多个控制点进行测评，而管理层面主要针对管理制度评审修订、安全管理机构的审核和检查、人员安全管理、系统运维管理、应急预案等方面进行综合评测。其中技术类安全要求按照其保护的侧重点不同分为业务信息安全类（S类）、系统服务安全类（A类）、通用安全防护类（G类）三类。水利信息系统通常以S和G类防护为主，既关注保护业务信息的安全性，又关注保护系统的连续可用性。
2水利科研院所信息安全现状分析
水利科研院所信息系统结构相对简单，在管理制度上基本建立了机房管控制度、人员安全管理制度等，技术上也都基本达到了一级防护的要求。下面以某水利科研单位为例分析。某水利科研单位主机房选址为大楼低层(3层以下)，且不临街。机房大门为门禁电磁防盗门，机房内安装多部监控探头。机房内部划分为多个独立功能区，每个功能区均安装门禁隔离。机房铺设防静电地板，且已与大楼防雷接地连接。机房内按照面积匹配自动气体消防，能够对火灾发生进行自动报警，人工干预灭火。机房内已安装温度湿度监控探头，对机房内温湿度自动监控并具有报警功能，机房配备较大功率UPS电源，能够保障关键业务系统在断电后2小时正常工作。机房采用通信线路上走线，动力电路下走线方式。以上物理条件均满足二级要求。网络拓扑结构分为外联区、对外服务区、业务处理区和接入区4大板块，对外服务区部署有VPN网关，外部人员可通过VPN网关进入加密SSL通道访问业务处理区，接入区用户通过认证网关访问互联网。整个网络系统未部署入侵检测（IDS）系统、非法外联检测系统、网络安全审计系统以及流量控制系统。由上述拓扑结构可以看出，现有的安全防护手段可基本保障信息网络系统的安全，但按照二级要求，系统内缺少IDS系统、网络安全审计系统和非法外联检测系统，且没有独立的数据备份区域，给整个信息网安全带来一定的隐患。新的网络系统在外联区边界防火墙下接入了入侵检测系统（IDS），新规划了独立的数据备份区域，在核心交换机上部署了网络审计系统，并在接入区安装了非法外联检测系统。形成了较为完整的信息网络安全防护体系。
3信息系统安全等级测评的内容
3.1信息系统等级保护的总体规划
信息系统从规划到建立是一个复杂漫长的过程，需要做好规划。一般情况下,信息系统的安全规划分为计算机系统、边界区域、通信系统的安全设计。相应的技术测评工作也主要围绕这3个模块展开。
3.2测评的要素
信息系统是个复杂工程，设备的简单堆叠并不能有效保障系统的绝对安全，新建系统应严格按照等保规划设计，已建系统要对信息系统进行安全测试，对于测评不合格项对照整改。信息系统安全测试范围很广，主要在网络安全、主机安全、应用安全、数据安全、物理安全、管理安全六大方面展开测评。本文仅对测评内容要素进行描述，对具体测试方法及工具不作描述。
3.2.1网络安全的测评
水利科研院所网络安全的测评主要参照公安部编制《信息安全等级测评》条件对网络全局、路由和交换设备、防火墙、入侵检测系统展开测评。但应结合科研院所实际有所侧重。水利科研院所信息系统数据传输量大，网络带宽占用比例相对较高，因此，在网络全局中主要测试网络设备是否具备足够的数据处理能力，网络设备资源占用情况，确保网络设备的业务处理能力冗余性。科研院所地理位置相对分散，因此，需要合理的VLAN划分，确保局部网络攻击不会引发全局瘫痪。科研院所拥有大量的研究生，这类人群对于制度的约束相对较差，网络应用多伴有P2P应用，对出口带宽影响极大，因此除了用经济杠杆的手段外，在技术上要求防火墙配置带宽控制策略。同时对“非法接入和外联”行为进行检查。网络中应配置IDS对端口扫描，对木马、后门攻击、网络蠕虫等常见攻击行为监视等等。
3.2.2主机安全测评
主机安全的测评主要对操作系统、数据库系统展开测评。通常水利科研院所服务器种类繁多，从最多见的机架式服务器到曙光一类的大型并行服务器均有部署，同时操作系统有window系列、Linux、Unix、Solaris等多种操作系统，数据库以主流SQLSERVER、ORACLE为主，早期开发的系统还有Sybase，DB2等数据库。对于window操作系统是容易被攻击的重点，因为二级等保为审计级保护所以重点在于身份鉴别、访问控制、安全审计、入侵防范、恶意代码4个方面进行测评，主要审计重要用户行为、系统资源的异常使用和重要信息的命令使用等系统内重要的安全相关事件。对于LINUX等其他系统和数据库，主要审计操作系统和数据库系统的身份标识唯一性，口令应复杂程度以及限制条件等。
3.2.3应用安全测评
水利科研院所内部业务种类繁多，如OA系统，科研管理系统，内部财务系统、网站服务器群，邮件服务器等，测评的重点主要是对这些业务系统逐个测评身份验证，日志记录，访问控制、安全审计等功能。
3.2.4数据安全的测评
数据安全的测评主要就数据的完整性、保密性已及备份和恢复可靠性、时效性展开测评。水利科研院所数据量十分庞大，一般达到上百TB级数据量，一旦遭受攻击，恢复任务十分艰巨，因此备份区和应用区应该选用光纤直连的方式，避免电缆数据传输效率的瓶颈。日常情况下应做好备份计划，采用增量备份的方式实时对数据备份。
3.2.5物理安全测评
机房的物理安全测评主要是选址是否合理，机房大门防火防盗性能，机房的防雷击、防火、防水防潮防静电设施是否完好达标，温湿度控制、电力供应以及电磁防护是否符合规定等物理条件。
3.2.6安全管理测评
安全管理主要就制定的制度文档和记录文档展开评测。制度文档主要分为3类，流程管理，人员管理和设备管理。记录文档主要为制度文档的具体实施形式。在满足二级的条件下，一般需要制度文档有《信息安全管理办法》、《安全组织及职责管理规定》、《安全审核与检查管理制度》、《授权和审批管理规定》、《信息安全制度管理规范》、《内部人员安全管理规定》、《外部人员安全管理规定》、《系统设计和采购安全管理规定》、《系统实施安全管理规定》、《系统测试验收和交付安全管理规定》、《软件开发安全管理规定》、《系统运维和监控安全管理规定》、《网络安全管理规定》、《系统安全管理规定》、《账号密码管理规定》等基本规章制度。同时对管理制度本身进行也要规范管理，如版本控制，评审修订流程等。需要制定的记录文档有《机房出入登记记录》、《机房基础设施维护记录》、《各类评审和修订记录》、《人员考核、审查、培训记录》、《各项审批和批准执行记录》、《产品的测试选型测试结果记录》、《系统验收测试记录报告》、《介质归档查询等的等级记录》、《主机系统，网络，安全设备等的操作日志和维护记录》、《机房日常巡检记录》、《安全时间处理过程记录》、《应急预案培训，演练，审查记录》等。
4测评的方式方法
按照《基本要求》在等级测评中，对二级及二级以上的信息系统应进行工具测试。
4.1测试目的工具测试
是利用各种测试工具，通过对目标系统的扫描、探测等操作，使其产生特定的响应等活动，查看分析响应结果，获取证据以证明信息系统安全保护措施是否得以有效实施的一种方法。工具测试种类繁多，这里特指适用于等保测评过程中的工具测试。利用工具测试不仅可以直接获得系统本身存在的漏洞，同时也可以通过不同的区域接入测试工具所得到的测试结果判断出不同区域之间的访问控制情况。利用工具测试并结合其他的核查手段能为测试结果提供客观准确的保障。
4.2测试流程
收集信息→规划接入点→编制《工具测试作业指导书》→现场测试→结果整理。收集信息主要是对网络设备、安全设备、主机设备型号、IP地址、操作系统以及网络拓扑结构等信息进行收集。规划接入点是保证不影响整个信息系统网络正常运行的前提下严格按照方案选定范围进行测试。接入点的规划随着网络结构，访问控制，主机位置等情况的不同而不同,但应该遵循以下规则。（1）由低级别系统向高级别系统探测。（2）同一系统同等重要程度功能区域之间要互相探测。（3）由外联接口向系统内部探测。（4）跨网络隔离设备（包括网络设备和安全设备）要分段探测。
4.3测试手段
利用漏洞扫描器、渗透测试工具集、协议分析仪、网络拓扑结构生成工具更能迅速可靠地找到系统的薄弱环节，为整改方案的编制提供依据。
5云计算与等级保护
近年来，随着水利科研院各自的云计算中心相继建立，云计算与以往的计算模式安全风险差异很大，面临的风险也更大，因为以往的系统多数为集中式管理范围较小，安全管理和设备资源是可控的，而云计算是分布式管理，是一个动态变化的计算环境，这种环境在某种意义上是无序的，这种虚拟动态的运行环境更不可控，传统的安全边界消失。同时，云计算在认证、授权、访问控制和数据保密这些方面这对于信息网络安全也提出了更高的要求。由云安全联盟和惠普公司列出了云计算面临的7宗罪（风险），说明云安全的状况变化非常快，现有的技术和管理体系并不完全适应于云计算的模式，如何结合自身特点制定出适合云计算的等级保护体系架构是今后研究的方向。
6结语
主要内容
对银行和信用卡支付卡授权商的系统风险管理。新加坡金管局在2013年6月21日了644号和644A号通知，并于2014年7月1日起开始执行。两个通知分别对在新加坡的银行和信用卡或支付卡授权商的系统风险管理做了安排。644A号文规定信用卡或支付卡授权商是被授权依法进行在新加坡开立信用卡或支付卡业务的个人。通知规定，银行和信用卡或支付卡授权商应该落实一个框架，处理识别核心系统，尽最大努力维持核心系统的高可靠性，确保每一个影响和授权商操作和对客户服务的核心系统的最大意外停机每12个月不超过4小时。并且银行和授权商应该建立一个修复时间目标（RTO，指从故障发生到系统修复的持续时间），对于每一个核心系统不超过4个小时。每12个月须至少验证并且记录一次核心系统在系统修复测试中的表现以及测试时间。一旦核心系统发生故障或事故，银行和授权商应在1小时以内通知新加坡金管局。在重大事件发生的14天以内，或者经当局许可的更长一段时间内，银行和授权商应向新加坡金管局提交一份根本原因和冲击分析报告。报告应该包括：重大事件的综合摘要、触发重大事件的根本原因分析、描述重大事件对银行的冲击、描述已采取的补救措施以解决根本原因和重大事件的结果。最后，银行和授权商应实施IT控制以保护客户信息免遭非法入侵和曝光。
有关IT外包的监管。新加坡金管局在其《IT Outsourcing Circular Jul 2011》对外包商的监管作了明确规定。文件中指出，外包是指位于新加坡国内外的一个或多个提供第三方IT技术和设备的供应商，包括从系统开发、维护和支持到数据中心操作、网络管理、故障修复服务、应用托管和云计算。金融机构要落实正确的框架、政策和流程去评估、审批、复审、控制和监控所有外包活动的风险和实质。在与外包商签订合同之前，金融机构应该就所有的外包建议做一个彻底的风险评估，可以参考基于移动终端的信息化应用服务（MAS）的外包技术调查问卷作为进一步指导，金融机构在签订任何外包委托之前向服务商提交完成后的问卷。新加坡金管局没有直接涵盖对银行技术外包服务商（TSP-Technology Service Providers）的具体要求，而是要求金融机构确保外包商采用高标准的政策和流程以确保敏感信息的机密性和安全性，敏感信息例如客户资料、计算机文件、档案、目标程序和源代码。在与外包商的合同终止时，金融机构应该在有合同的保证下，可以快速移除或销毁所有的IT信息和资产。
对个人移动设备的监管。2014年9月26日，新加坡金管局了《Circular SRD TR02 2014》，对金融机构中“自带设备”所带来的风险进行了规定。文件中指出“自带你的移动设备”（BYOD）是越来越多的金融机构采用的一种相对较新的实践，让员工从他们的个人移动设备访问公司电子邮件、日历、应用程序和数据。但是“自带设备”相应地会增加金融风险，金融机构应该发展出一套综合的防止资料损失的策略，去保护敏感或机密的用户信息。一些不利于策略有效应用的因素包括几个方面，第一，隐私和个人使用的冲击。在“自带设备”环境中，雇员可以根据他们的选择自由在他们的移动设备上安装应用，并且拒绝安装特定的安全软件；第二，不同的设备组合。实施“自带设备”的金融机构将不得不支持大范围的设备，操作系统和应用组合。这将造成一个一致而有效的方式难以被应用于不同平台的混合环境；第三，缺乏对于设备升级的控制。在自带设备的环境中，雇员们可以随意在他们的个人设备上安装应用和运行软件升级，这可能给他们的设备带来安全漏洞和恶意软件。这将危及可由这些设备进入的金融机构的资料和公司系统，第四，移动安全方法的成熟性。移动的安全方法仍然普遍处于起始阶段。 两个常见的解决“自带设备”安全隐患的方法是使用移动设备管理和虚拟化。移动设备管理方面，在移动设备被许可进入公司网络之前，设备要被验证以确保没有被越狱或被嵌入的风险。移动设备管理方法也可以在一个沙盒环境（指在一个受限制的操作系统环境中执行一个应用去保护公司应用可能使用的资源）中管理公司应用、资料、政策和设置。这样做目的是允许雇员们自由地使用设备，同时使企业得以保护其工作环境。一个健全的移动设备管理方法应该被应用于所有的“自带设备”安排中。在虚拟化方面，允许雇员们通过一个请求式的入口从他们的移动设备进入公司的资源和资料，使用强力认证和网络加密。由于公司的资料在公司数据中心内部处理而不能被下载进入移动设备。在虚拟环境中严格的安全政策限制设备的复制和使用，例如打印机，可移动存储设备等，以帮助防止数据进一步的数据泄露。
新加坡金管局要求，如果金融机构不能够恰当地管理相关的安全风险，则不应该实施自带设备。金融机构要牢记保持警戒并且紧跟移动领域的技术进步和关注紧急威胁。定期在自带设备基础设施上实施漏洞评估和渗透测试以确保任何安全漏洞被识别并尽快做出调整。
对我国的启示
2006年银监会《银行业金融机构信息系统风险管理指引》（以下简称《指引》），填补了我国银行业信息系统监管领域的空白，为推动国内银行业信息科技风险管理奠定了基础。2009年3月，银监会对原《指引》进行修订，并重新定名为《商业银行信息科技风险管理指引》。新《指引》贯彻了“管法人、管风险、管内控、提高透明度”的银行监管理念。新《指引》规定，“商业银行法定代表人是本机构信息科技风险管理的第一责任人”。要求商业银行建立有效的机制，实现对信息科技风险的识别、计量、监测和控制，促进商业银行安全、持续、稳健运行，推动业务创新，提高信息技术使用水平。要求商业银行在信息系统开发、测试和维护以及服务外包过程中加强对客户信息的保护，防止敏感信息泄露，对业务连续性管理也加以规范，保障客户数据安全和服务连续。在新《指引》中，提出要构建信息科技风险管理的三大防线，即信息科技管理、信息科技风险管理、信息科技风险审计。
从银监会对商业银行信息系统风险管理的现场检查实践来看，主要有如下几个问题：高层的知晓度和参与度较低，存在重建设、轻管理的现象；信息科技风险管理三道防线的设置存在缺失、重合和分工不清晰的问题；信息系统开发风险须引起全行更多关注；银行业金融机构对灾难性、突发性事件的应对能力有待提升。
新加坡金管局从2001年开始开展信息科技风险监管工作，经过不断实践、探索，摸索出一套较为先进的监管做法。新加坡金管局的信息科技风险监管由现场检查和非现场监管构成。现场检查的工作方式有访谈、调阅资料、现场取证等，检查结束后金管局给金融机构检查意见书，金融机构要在三个星期内向金管局提交整改报告（已整改的问题、未整改问题的整改计划），金管局会在下次现场检查时核查整改情况。金融机构按照新加坡金管局的要求填报调查问卷作为非现场监管的资料。在处罚方面，罚款是处罚的一种方式，另一种处罚方式是提高存款准备金率。另外，新加坡金管局定期召集商业银行高管人员会议传达科技监管信息。金管局利用此种形式，向被监管机构定期讲解信息科技风险发展的最新形势，对金融机构进行技术辅导，警示风险，并介绍有关风险领域的解决方案。
结合新加坡的监管安排及我国银行及监管的实践，新加坡的监管经验对我国有一定的启发。
加强我国信息科技风险管理部门建设。大力度培养复合型信息科技风险监管人员，提高科技人员的业务监督能力，推动业务监管人员掌握信息科技监督知识。
进一步完善我国银行业信息科技风险监管的有关规章制度。有必要完善信息科技风险评估体系，系统分析银行业机构采取的风险防控措施的有效性，客观评价银行业机构信息科技风险管理水平；建立健全IT外包监管体系，建立IT外包监督流程，要求商业银行健全外包商的风险评估机制，加强对外包风险的识别和监控；进一步出台有关银行数据保护规范或政策，要求商业银行对数据进行分类、定级，确定不同的保护措施和方法。
向银行业及时提示信息科技风险信息。各级银行监管机构应定期召集辖内商业银行信息科技工作高级管理人员举办情况通报会议，每次会议选定重点关注的信息科技风险点，及时传达监管部门的工作意图，使商业银行能够及时获取风险控制手段和工作技巧。
因此，对于我国银行机构防控信息系统风险来说，有如下几点应予以重视。
加强对电子支付欺诈案件的防范。首先，网上支付安全最重要的基础是客户端的安全。MAS认为客户端安全的责任在银行而非客户本身，银行有义务对客户进行安全教育，并提供更安全和便捷的技术工具去增强客户端的安全性。其次，加快推广银行卡的EMV（芯片卡）和动态认证的实施进程。相对于磁条卡，EMV有安全性高和不易伪造的特点。在芯片卡的认证方式上，MAS要求银行发放动态和混合数据认证的芯片卡并逐步替代已有的静态数据认证芯片卡，以解决静态卡中可能存在的仿冒风险，以强化电子支付的安全性。
强化银行数据安全问题的关注。近年来国际上发生的一系列数据丢失并导致了客户资金被盗等恶性案件。如2009年8月德国某银行由于数据泄漏而导致了30万欧元的经济损失，2010年3月汇丰瑞士私人银行的一个IT员工窃取了该行24000个账户信息。新加坡金管局在其许多监管文件中都反复提到了数据泄露保护（DLP-Data Loss Prevention）。在IT外包，核心系统可靠性和个人移动设备管理上下大力气保护敏感信息的机密性和安全性。借鉴国际银行业数据中心先进经验，加强对银行数据中心、灾难恢复能力的建设。深入研究和解决目前在灾难备份系统建设方面存在的突出问题和技术难点。
购物车(0)