稅務系統信息安全策略最新文檔(可以直接使用，可編輯最新文檔，歡迎下載）

論文編號：6G21112101稅務系統信息安全策略最新文檔(可以直接使用，可編輯最新文檔，歡迎下載）稅務系統信息安全策略劉宏斌李懷永內容題要：隨著稅收信息化程度不斷提高，稅收工作對信息系統的依賴性不斷增大，稅務信息安全顯得更加重要。本文主要通過分析稅務信息化的網絡安全的重要性和內部網網絡信息存在的安全問題來提出稅務信息化的網絡安全實施方案。關鍵詞：稅務信息化、信息安全、安全策略計算機軟硬件技術的發展和互聯網技術的普及，為電子稅務的發展奠定了基礎。尤其是國家金稅工程的建設和應用，使稅務部門在遏止騙稅和稅款流失上取得了顯著成效。電子稅務可以最大限度地確保國家的稅收收入，但卻面臨著系統安全性的難題。雖然我國稅務信息化建設自開始金稅工程以來，取得了長足進步，極大提高了稅務工作效率和質量。但稅務系統本身也暴露出了一系列要改進的問題，各種應用軟件自成體系、重復開發、信息集中程度低。隨著信息化水平的不斷提高，基于信息網絡及計算機的犯罪事件也日益增加。稅務系統所面臨的信息網絡安全威脅不容忽視。建立稅務管理信息化網絡安全體系，要求人們必須提高對網絡安全重要性的認識，增強防范意識，加強網絡安全管理，采取先進有效的技術防范措施。本文主要通過分析稅務信息化的網絡安全威脅和內部網網絡信息管理的安全策略和技術來提出稅務信息化的網絡安全實施方案。一、稅務機關信息安全的重要性稅收是國家財政收入的重要途徑，相關的稅務系統業務要求其具有準確性、公證性和完整性的特點，隨著稅收信息化程度不斷提高，稅收工作對信息系統的依賴性不斷增大，稅務信息安全顯得更加重要。稅務信息系統已經覆蓋到全國鄉鎮，點多面廣，信息安全防范難度加大，稅務機關信息系統安全基礎條件不足、管理力量薄弱，成為稅務信息安全的重點和難點。因此保證稅務信息系統的安全性意義重大。稅務系統作為電子政務系統的一部分，屬國家基礎信息建設，其基本特點是：網絡地域廣、信息系統服務對象復雜；稅務信息具有數據集中、安全性要求高；應用系統的種類較多，網絡系統安全設備數量大，種類多，管理難度大。稅務系統是一個及其龐大復雜的系統，從業務上有國稅、地稅之分，從地域來說通過總局、省局、市局數據中心的三層數據分布和總局、省局、市局及縣/區級、分局/所五層網絡管理結構。網絡結點眾多、網絡設備和網絡出口不計其數、操作系統種類繁多、應用系統五花八門、網絡機構極其復雜。面對如此復雜的系統，其內部安全隱患隨處可見，經過不斷的研究和探索，目前已經積累了大量解決稅務系統信息基礎設施安全的方法和經驗，形成一整套稅務系統的安全保障方法，相關安全保障的體系也在不斷完善和發展中。二、稅務系統內部網存在的安全問題稅務信息化的網絡為計算機內部網，內部網是獨立于其他任何網絡的獨立網絡,這里所謂的獨立是指的物理上的獨立,因此保證保密內部網的網絡與信息安全也具有特有的要求。稅務內網安全的問題主要表現為：1、物理地域廣。內網設備地理位置分散，內網用戶水平參差不齊，承載業務不同，安全需求各異，從而決定了內網安全建設的復雜性和多元性；2、網絡邊界的擴大。遠程撥號用戶、移動辦公用戶、VPN用戶、分支機構、合作伙伴、供應商、無線局域網等等已經大大地擴展了網絡的邊界，使得邊界保護更加困難；稅務分局、稅務所等分支機構的局域網與上級稅務骨干網的連接，無論采用ADSL、XDSL寬帶，還是采用DDN、SDH專線，基本沒有路由安全和防止入侵的技術措施。3、病毒/蠕蟲/特洛伊木馬。病毒蠕蟲大規模泛濫、新的蠕蟲不斷出現，給內網用戶帶來損失，以及網絡出現病毒、蠕蟲攻擊等安全問題后，不能做到及時地阻斷、隔離；一般是以尋找后門、竊取密碼和重要文件為主，還可以對電腦進行跟蹤監視、控制、查看、修改資料等操作，具有很強的隱蔽性、突發性和攻擊性。由于具有很強的隱蔽性，用戶往往是在自己的密碼被盜、機密文件丟失的情況下才知道自己中了木馬。部分內部網絡終端缺少有效的安全防護，業務資料和私人信息混存，不設開機口令，沒有讀寫控制，業務系統登錄口令簡單且長期不變，移動存儲設備不按規定使用，病毒和垃圾信息充斥。4、身份欺騙。內網安全防范措施相對脆弱，不能有效抵御來自內外部的入侵和攻擊的問題，安全策略不能得到及時地分發和執行，最終導致安全策略形同虛設；主要方式有：IP欺騙、ARP欺騙、DNS欺騙、Web欺騙、電子郵件欺騙、源路由欺騙（通過指定路由，以假冒身份與其他主機進行合法通信或發送假報文，使受攻擊主機出現錯誤動作）、地址欺騙（包括偽造源地址和偽造中間站點）等。5、內網非法主機外聯。非法主機的接入、內部網非法通過Modem、無線網卡非法外聯等的安全防范不足從而引入安全風險。有的終端在內部網和互聯網之間來回換用，一些只應在內部網上運行的操作系統、應用軟件和業務數據沒有與互聯網實行“隔離”，存在潛在風險。6、缺乏上網行為管理監控。缺乏對內網用戶行為（收發郵件，Web頁面訪問，文件上傳下載等等）進行監控的手段，導致組織機密信息和隱私泄漏。內部網上設備和信息共享范圍廣，信息發布和公開比較隨意，不少重要或敏感信息只有發布沒有管理，缺少防止惡意攻擊信息系統和竊取保密信息的技術手段和措施。內外網間的安全解決方案和選購的設備等，不少沒有經過權威部門的檢測和認定，系統運行中缺少嚴格的跟蹤監控，存在安全隱患。7、其他安全威脅緩沖區溢出。緩沖區溢出是指當計算機程序向緩沖區內填充的數據位數超過了緩沖區本身的容量。溢出的數據覆蓋在合法數據上，一小部分數據或者一套指令的溢出就可能導致一個程序或者操作系統崩潰。三、稅務信息化的網絡安全實施方案1、做好信息安全風險評估為確保稅務信息資產的安全，應定期組織業務、技術和管理等專業人員進行信息安全風險評估，制定科學的安全預算。信息安全評估應著重于以下問題：（1）確定可能對信息資產造成危害的威脅，包括計算機病毒、黑客和自然災害等。（2）通過歷史資料和專家的經驗確定威脅實施的可能性。（3）對可能受到威脅影響的信息資產確定其價值、敏感性和嚴重性，以及相應的級別，確定所有信息資產的重要程度。（4）對最重要的、最敏感的信息資產，確定一旦威脅發生其潛在的損失或破壞。（5)準確了解網絡和系統的安全現狀。（6)明晰網絡和系統的安全需求。（7）確定網絡和系統的安全策略。（8）制定網絡和系統的安全解決方案。（9）向上級提交安全保障體系建設的意見和建議。（10)通過項目實施和培訓，培養自己的安全技術骨干及隊伍。2、加強信息安全管理信息安全“三分技術，七分管理”，安全管理是信息安全的核心，建立健全安全管理制度是安全管理的關鍵。規范化的安全管理，能夠最大限度地遏制或避免各種危害，是保障計算機信息安全的最重要環節。（1）建立健全信息安全管理組織，明確領導體制和工作機制。（2）建立健全信息安全管理制度,落實安全防范責任制。（3）廣泛開展計算機信息安全宣傳，提高全員信息安全意識，建立信息安全培訓機制，組織開展多層次、多方位的信息安全培訓，提高全員信息安全防范技能。（4）開展經常性的安全檢查，切實整改安全隱患，不斷改進信息安全管理工作。（5）科學評定信息系統及信息資產的重要級別，確定信息安全工作重點，制定近、中、遠期信息安全工作規劃。3、完善信息安全技術手段信息安全離不開安全技術的實施和安全技術防范體系的建立。基層單位要以協助和配合總局、省局統一的信息安全體系建設為主，自主建設為輔，且以內網和內部的防范為重點。（1）病毒防范：建立嚴密的、全方位的、統一的網絡病毒防范系統，實行統一的殺毒組件分發、維護、更新和報警等，重點防控網絡終端、移動存儲設備的病毒入侵和傳染。（2）身份鑒別與訪問控制：嚴格設定所有應用系統用戶的崗位和權限，改變傳統的用戶名加口令的辦法，使用基于密碼技術、生物統計技術等新型的、可靠的電子身份鑒別技術，把好進入系統的第一道關卡，防止非授權用戶進入各級信息系統。（3）安全審計：對網絡的Web瀏覽、Web發布、郵件、即時通信、FTP和遠程登錄等行為進行全面審計，對重要數據庫的訪問對象、訪問時間、訪問類型和訪問內容進行嚴密跟蹤，及時掌握整個網絡動態，發現網絡入侵和違規行為，記錄網上一切行為，為安全事件的處置和查證提供全面依據和確鑿證據。（4）入侵檢測：對內部網中主要的網段進行實時入侵監測，動態地監測網絡內部活動并做出及時的響應，及時發現網上攻擊行為并作出得當的處置。（5）信息加密：對重要信息資料、數據進行加密存儲和傳輸，防止重要信息被篡改、偽造、竊取和泄漏。稅務機關要立足實際，切實解決好人員、資金、技術問題，把信息安全管理工作放在應有位置，逐步實現信息安全的規范化、制度化管理，不斷建立和完善信息安全技術防范體系，為稅收征管信息化提供有力的安全保障。結束語解決信息系統的安全不是一個獨立的項目問題，安全策略包括各種安全方案、法律法規、規章制度、技術標準、管理規范等，是整個信息系統安全建設的依據。現有的安全保障體系一般基于深度防御技術框架，若能進一步利用現代信息處理技術中的人工智能技術、嵌入式技術、主動技術、實時技術等，將形成更加完善的信息安全管理體系。稅務信息安全直接關系到稅收信息化建設的成敗，必須引起稅務機關和每一位稅務人的重視。科學技術的發展不一定能對任何事物的本質和現象都產生影響，技術只有與先進的管理思想、管理體制相結合，才能產生巨大的效益。參考文獻：戴宗坤,羅萬伯等.信息系統安全[M].電子工業出版社，2002.黃章勇.信息安全概論.2005年第1版.出版社:北京郵電大學出版社,2005:7-58孫銳,王純.信息安全原理及應用.2003年7月第1版.清華大學出版社,2003:17-21王聰生.信息與網絡安全中的若干問題.電力信息化[J],2004(7).白巖,甄真,倫志軍,周芮.計算機網絡信息管理及其安全.現代情報[J],2006,8(8).王純斌.淺議計算機網絡信息安全管理.哈爾濱市委黨校學報[J],2006(9).趙月霞.信息網絡安全設計與應用.寧夏電力[J],2004(1).陳月波.網絡信息安全[M].武漢：武漢理工大學出版社，2005.鐘樂海，王朝斌，李艷梅.網絡安全技術[M].北京：電子工業出版社,2003.張千里.網絡安全基礎與應用[M].北京：人民郵電出版社,2007.吳金龍,蔡燦輝,王晉隆.網絡安全[M].北京：高等教育出版社,2004.熊心志.計算機網絡信息安全初探.計算機科學.2006,33卷.B12期:60-62網絡信息安全及防范技術分析.中國科技信息.2006,16期:149-151（作者單位：盤錦市大洼縣國稅局）信息安全管理系統一、產品聚焦1、隨著企業信息化進程的不斷推進，信息安全問題日益凸顯。信息技術水平不斷在提升的同時，為何信息泄露，信息安全事件仍然時有發生？2、對于信息安全事件為何我們不能更多的在“事前”及時的發現并控制，而是在“事后”進行補救？3、信息安全管理工作“三分技術、七分管理”的原因何在？4、信息安全管理工作種類繁多，安全管理人員疲于應付，是否有合適的管理手段對其歸類，有的放矢，加強針對性、提升工作效率？是否需要有持續提升信息安全意識和增強知識學習的管理體系？二、產品簡介該產品通過與企業信息安全管理的現狀緊密結合，融合國際主流及先進的風險管理方法、工具、設計理念，有效結合國內外對信息安全管理工作提出的相關安全標準體系要求，通過建立企業信息安全風險全生命周期、全面風險來源、全目標管理的全方位風險管理模型，以監測預警防風險、風險流程查隱患、風險應對控事態、監督評價促改進、保障體系提意識，保證信息安全風險管理在企業的落地生效。三、產品特點1、業務的無縫集成無縫集成企業終端防護類安全系統、邊界防護類安全系統、系統防護類安全系統、數據防護類安全系統、綜合監管類安全管理系統以及相關的基礎認證和授權平臺等，實現對信息安全事件引發因素的全面監測和智能分析，有的放矢的對信息安全工作進行管理。2、“上醫未病，自律慎獨”的風險管理體系目標鮮明、方法合理、注重實效，為企業信息化進程保駕護航。基于企業現有管理制度和安全防御體系構建，實現系統的行之有效、行之有依。3、合理的改進咨詢建議通過系統建設對企業信息安全管理現狀進行梳理和分析，提供合理有效的改進咨詢建議。4、創新實用的管理工具蝴蝶結模型、風險矩陣、風險熱圖等主流風險管理模型的實用化創新應用；德爾菲打分法、層次分析法、灰色評價法等科學分析方法的靈活嵌入；正態分布、泊松分布等概率模型的預測分析，致力于提升風險管理工作的精細度和準確度。5、預置的信息安全風險事件庫由信息安全及風險管理專家組成的專家團隊結合國內外的相關信息安全管理標準梳理的風險事件庫基礎信息，可在系統建設初期提供有力的業務數據支持。6、持續漸進的信息安全知識管理信息安全風險知識管理不僅僅是信息安全相關知識的積累和技術的提升、還在于信息安全管理意識的提升，通過信息安全知識管理體系的建立，提升全員的信息安全管理意識，并提供最新的信息安全知識儲備。

四、應用效果

對信息安全風險管理全過程的數據、重點關注的風險主題進行全方位的數據分析，采用科學合理的數據分析模型，以靈活多樣化的圖表進行展現以輔助決策。五、產品功能1、目標管理維護企業信息安全戰略目標、不同層級風險管理目標、目標預警指標、目標風險等。以目標為龍頭開展企業信息安全風險管理工作。2、風險識別利用層次分析法逐層分析，識別企業信息安全工作中包含的資產、資產脆弱性和面臨的威脅，全面辨識風險源并制定相應的防控措施，并針對風險事件制定緩解措施。3、風險評估創新利用科學合理的風險評估方法對威脅發生概率、嚴重程度進行評估，量化風險指數，借助評估工具得出防范風險優先級并對風險分布進行展示。4、監測預警依托企業現有的信息安全防范體系架構，設置風險監控點，以風險管理視角對各重要的信息安全指標進行實時的數據監控，發揮信息系統“攝像頭”的職能，針對信息安全關注的重大風險進行實時預警提示，確保風險的提前警示和預先處理。5、風險應對通過不同類型風險的標準應對流程的設計和維護，結合現有企業的信息安全管理現狀和需求，以合理的風險應對策略應對不同的風險，確保各類風險的應對行之有效且不過度。6、監督與改進結合內外部風險管理要求，以系統自動考評指標和人工考評指標對風險管理工作進行量化評價，并以報告等形式結合系統內整改流程推動信息安全風險管理的改進。7、風險戰略與決策分析運用商務智能分析原理，通過科學方法將管理數據進行統計分析，為管理層的戰略決策提供數據參考和依據。8、風險信息庫風險管理基礎信息模塊。同時包含含知識管理、培訓管理等。

附件工業控制系統信息安全自查表填表說明一、組成結構本表包含三個分表：（1）工業控制系統信息安全檢查情況匯總表（2）工業控制系統運營單位基本情況表（3）工業控制系統信息安全自查表二、填寫對象各分表填寫責任人如下：（1）工業控制系統信息安全檢查情況匯總表：由各地經濟和信息化主管部門指定專人負責匯總填寫。（2）工業控制系統運營單位基本情況表：由各工業控制系統運營單位指定專人負責填寫。（3）工業控制系統信息安全自查表：由工業控制系統運營單位的各工業控制系統負責人填寫。表1工業控制系統信息安全檢查情況匯總表市州名稱基本情況重要工業控制系統1運營單位總數：家重要工業控制系統總數：套系統構成情況類型設備國內品牌國外品牌工業生產控制設備可邏輯編程控制器（PLC）臺臺分布式控制系統（DCS）臺臺遠程終端設備（RTU）臺臺數控機床臺臺工業機器人臺臺智能儀表臺臺其它臺臺工業網絡通信設備工業交換機臺臺工業路由器臺臺串口服務器臺臺其它臺臺工業主機設備工業主機2臺臺組態軟件&數據采集與監控系統（SCADA）軟件套套工業數據庫套套其它臺臺工業生產信息系統制造執行系統（MES）套套ERP管理系統套套工業云套套其它套套工業網絡安全設備工業防火墻臺臺工業網閘臺臺主機安全防護設備臺臺其它臺臺安全軟件選擇與管理情況1、安裝防病毒軟件或應用程序白名單軟件的重要工業控制系統數量：套2、病毒庫或白名單規則及時更新的重要工業控制系統數量：套3、定期對工業控制系統進行查殺的重要工業控制系統數量：套4、已建立防病毒和惡意軟件入侵管理機制的重要工業控制系統數量：套配置和補丁管理情況1、已建立工業控制網絡安全配置策略的重要工業控制系統數量：套2、已建立工業主機安全配置策略的重要工業控制系統數量：套3、已建立工業控制設備安全配置策略的重要工業控制系統數量：套4、已建立工業控制系統配置清單的重要工業控制系統數量：套5、定期對配置清單進行更新和維護的重要工業控制系統數量：套6、及時修復重大工控安全漏洞的重要工業控制系統數量：套邊界安全防護情況1、直接與企業網連接的重要工業控制系統數量：套2、直接與互聯網連接的重要工業控制系統數量:套3、對工業控制系統進行安全區域劃分的重要工業控制系統數量：套4、對工業控制系統安全區域實施邏輯隔離的重要工業控制系統數量：套物理和環境安全防護情況1、已明確劃分重點物理安全防護區域并建立物理安全防護措施的重要工業控制系統數量：套2、拆除或封閉工業主機上不必要外設接口的重要工業控制系統數量：套3、使用外設安全管理技術手段管理外設接口的重要工業控制系統數量：套身份認證情況1、使用身份認證管理手段的重要工業控制系統數量：套2、以最小特權原則分配賬戶權限的重要工業控制系統數量：套3、未使用默認口令或弱口令的重要工業控制系統數量：套4、定期更新口令的重要工業控制系統數量：套遠程訪問安全情況1、面向互聯網開通HTTP、FTP等網絡服務的重要工業控制系統數量：套2、使用數據單向訪問控制等策略進行安全加固的重要工業控制系統數量：套3、使用VPN等遠程接入方式的重要工業控制系統數量：套4、保留工業控制系統相關訪問日志的重要工業控制系統數量：套安全監測和應急預案演練情況1、在工業控制網絡部署網絡安全監測設備的重要工業控制系統數量：套2、在重要工業控制設備前端已部署具備深度包分析和過濾功能防護設備的重要工業控制系統數量：套3、已制定工控安全事件應急響應預案的重要工業控制系統運營單位數量：家4、定期對應急預案進行演練的重要工業控制系統運營單位數量：家5、對應急響應預案進行修訂的重要工業控制系統運營單位數量：家資產安全情況1、建立工業控制系統資產清單的重要工業控制系統數量：套2、對關鍵主機設備進行冗余配置的重要工業控制系統數量：套3、對網絡設備進行冗余配置的重要工業控制系統數量：套4、對控制組件進行冗余配置的重要工業控制系統數量：套數據安全情況1、對靜態存儲的重要工業數據進行保護的重要工業控制系統數量：套2、對動態傳輸的重要工業數據進行保護的重要工業控制系統數量：套3、定期備份關鍵業務數據的重要工業控制系統數量：套4、對測試數據進行保護的重要工業控制系統數量：套供應鏈管理情況1、合同中已約定服務商在服務過程中應當承擔的信息安全責任和義務的重要工業控制系統數量：套2、與服務商簽訂保密協議的重要工業控制系統數量：套落實責任情況1、建立工控安全管理機制的重要工業控制系統運營單位數量：家1重要工業控制系統是指與國家安全、國家經濟安全、國計民生緊密相關的，如鋼鐵、有色、化工、裝備制造、電子信息、核設施、石油石化、電力、天然氣、水利樞紐、環境保護、鐵路、城市軌道交通、民航、城市供水供氣供熱等工業生產領域中的工業控制系統。2工業主機是指工業生產控制各業務環節涉及組態、操作、監控、數據采集與存儲等功能的主機設備載體，包括工程師站、操作員站、歷史站等。表2工業控制系統運營單位基本情況表單位信息單位全稱法人代表通訊地址組織機構代碼單位網址郵政編碼所屬行業1銷售收入經濟類型□國有事業單位2□國有及國有控制企業3（□中央□地方）□股份制企業□外商及港澳臺投資企業4□集體企業□民營企業□其他：聯系人姓名職務所屬部門工作電子郵件工控系統基本情況工業控制系統總數量系統名稱系統簡介工業安全管理情況應急預案演練情況1.工控安全事件應急響應預案：□已制定，包括：□應急計劃策略和規程□應急計劃培訓□應急計劃測試與演練□應急處理流程□事件監控措施□應急事件報告流程□應急支持資源□應急響應計劃□其它：□未制定2.急預案演練情況：□定期開展，演練周期：□本年度已開展□將演練情況報網絡安全主管部門□未將演練情況報網絡安全主管部門□應急演練結束后對應急預案進行了評估和適用性修訂□應急演練結束后未對應急預案進行了評估和適用性修訂□本年度未開展□未定期開展落實責任情況1.工控安全管理機制：□已建立，包括：□建立了工業控制系統安全管理制度□成立了工業控制系統信息安全協調小組□明確了工控安全管理責任人□其它：□未建立注1：工控系統基本情況可另附表說明。注2：此處工業控制系統的劃分原則為1）具體的完整的工業控制系統：以企業工業自動化生產過程為基礎，屬于企業的一個自動化生產全過程或一個工業自動化生產裝置；或者是2）工業控制系統中相對獨立的一部分：以企業工業自動化生產過程的局部環節為基礎，屬于企業的一個自動化生產全過程或一個工業自動化生產裝置的工業控制系統中的相對獨立的且物理邊界清晰的某個安全區域或通信網絡。1按照《國民經濟行業分類》（GB/T4745-2021）規定填寫。2按照《事業單位登記管理暫行條例》登記的，為社會公益目的、由國家機關舉辦或者其他組織組織利用國有資產舉辦的，從事教育、科技、文化、衛生等活動的社會服務組織。3按照《中華人民共和國企業法人登記管理條例》登記注冊的三類經濟組織：（1）全部資產歸國家所有的（非公司制）國有企業；（2）全部資產歸國家所有的國有獨資有限責任公司；（3）由國有資本占控制地位的有限責任公司和股份，此處稱國有控股公司。4包括港、澳、臺資本和其他地區外資資本投資設立的獨資或控股的獨資公司、有限責任公司和股份。表3工業控制系統信息安全自查表系統名稱1000t聚己內酯DCS控制系統負責人姓名職務所屬部門工作功能描述（描述該系統的功能、業務流程）1、設備運行工藝參數監控、調整。2、現場設備安全運行狀況監控、報警。業務互聯（描述與其他工業控制系統、上層監控系統、MES系統互聯情況）無系統組成結構（描述該工業控制系統的組成情況、網絡拓撲圖等）該系統由熔融罐、中間罐、反應器、脫揮器、水下切粒機及其他附屬設備組成。系統構成情況類型設備國內品牌國外品牌工業生產控制設備可邏輯編程控制器（PLC）臺臺分布式控制系統（DCS）1套臺遠程終端設備（RTU）臺臺數控機床臺臺工業機器人臺臺智能儀表若干臺臺其它臺臺工業網絡通信設備工業交換機2臺臺工業路由器臺臺串口服務器臺臺其它臺臺工業主機設備工業主機12臺臺組態軟件&數據采集與監控系統（SCADA）軟件1套套工業數據庫1套套其它臺臺工業生產信息系統制造執行系統（MES）套套ERP管理系統套套工業云套套其它套套工業網絡安全設備工業防火墻臺臺工業網閘臺臺主機安全防護設備臺臺其它臺臺安全軟件選擇與管理情況1.工業主機防護設備（如防病毒軟件、應用程序白名單軟件）：□已安裝，防護設備名稱：■未安裝2.及時進行惡意代碼庫或白名單規則庫更新升級：□是，目前庫版本號：□否，目前庫版本號：3.定期進行系統查殺：□是，查殺時間間隔：■未進行定期查殺4.防病毒和惡意軟件入侵管理機制：□已建立，包括：□定期掃描病毒和惡意軟件□定期更新病毒庫□查殺臨時接入設備（如臨時接入U盤、移動終端外設）■未建立配置和補丁管理情況1.工業控制網絡安全配置策略：■已建立，包括：■網絡分區分域■非必要端口禁用□其它：□未建立2.工業主機安全配置策略：■已建立，包括：■遠程控制管理禁用■關閉默認賬戶□最小服務配置■關閉非必要文件共享■啟用登錄口令復雜度要求□其它：□未建立3.工業控制設備安全配置策略：□已建立，包括：□口令策略合規性□其它：■未建立4.工業控制系統配置清單：■已建立，包括：■設備名稱■設備編號■配置策略■配置時間□其它：□未建立5.定期進行配置清單的更新和維護：□是，維護時間間隔：更新時間間隔：■部分是，定期更新和維護的配置清單：時間間隔：半年□否6.及時修復重大工控安全漏洞：■是□否邊界安全防護情況1.直接與企業內網連接：□是■否，組網方式（單選）：■獨立□使用防護設備進行隔離，防護設備名稱及生產廠商：□其它：2.直接與互聯網連接：□是■否，組網方式（單選）：■獨立□使用防護設備進行隔離，防護設備名稱及生產廠商：□通過企業網連接□其它：3.對工業控制系統網絡進行安全域劃分：□是，劃分原則：□安全域重要性□業務需求□其它：□■否4.各安全域之間進行邏輯隔離：□是，隔離措施：□防火墻□網閘□其它：■否物理和環境安全防護情況1.物理安全防護區域防護措施：□無■門禁系統□專人值守■視頻監控□其它：2.拆除或封閉工業主機外設接口：■是□否，未拆除或封閉的外設接口包括：□USB□光驅□無線□其它：3.使用外設安全管理技術手段進行安全管理：□是，方式：□主機外設統一管理設備（或軟件）：□隔離存放有外設接口的工業主機□其它：■否身份認證情況1.使用身份認證管理手段：■是，包括：■口令密碼□USB-Key□智能卡□生物指紋□其它：2.最小權限原則分配賬戶權限：■是□否3.工業控制系統口令使用：■采用默認口令□采用弱口令□其它：（口令策略要求）4.定期更新口令：□是，更新周期：■否遠程訪問安全情況1.面向互聯網開通通用網絡服務：□是，包括：□HTTP□FTP□Telnet□其它：■否2.使用遠程訪問：□是，安全加固策略：□無□采用數據單向訪問控制□其它：■否3.使用遠程維護：□是，安全加固策略：□無□采用虛擬專用網絡（VPN）□其它：■否4.工業控制系統相關訪問日志：□留存，留存期：■未留存安全監測情況1.工業控制系統網絡部署網絡安全監測設備：■是，網絡安全監測設備型號及生產商：□否2.重要工業控制設備前端部署具備深度包分析和過濾功能的防護設備：□是，防護設備型號及生產商：□否資產安全情況1.工業控制系統資產清單：■已建立，包括：■設備名稱■設備編號■設備型號■設備類型■生產廠商■設備重要程度/密級■設備版本□啟用時間■責任部門■責任人■使用狀態□其它：□未建立2.關鍵主機設備是否進行硬件冗余：■是□否3.網絡設備是否進行硬件冗余：■是□否4.控制組件是否進行硬件冗余：■是□否數據安全情況1.對靜態存儲的重要工業數據進行保護：■是，保護措施：■數據加密■隔離存放□訪問權限控制□其它：□否2.對動態傳輸的重要工業數據進行保護：■是，保護措施：■數據加密□數據隔離□其它：□否3.定期備份關鍵業務數據：■是，備份周期：半年□否4.對測試數據進行保護：■是，保護措施：■數據加密□數據銷毀■隔離存放□訪問權限控制□其它：□否供應鏈管理情況1.服務商在服務過程中應當承擔的信息安全責任和義務：■已約定，包括：售后維護□未約定2.服務商簽訂保密協議情況：■已簽訂□未簽訂注：多套系統可復印分別填寫。1工業主機是指工業生產控制各業務環節涉及組態、操作、監控、數據采集與存儲等功能的主機設備載體，包括工程師站、操作員站、歷史站等。廣東鴻聯九五信息產業網絡與信息安全檢查情況報告去年以來，我司大力實施信息化基礎建設，嚴格落實信息系統安全機制，從源頭做起,從基礎抓起，不斷提升信息安全理念，強化信息技術的安全管理和保障，加強對包括設備安全、網絡安全、數據安全等信息化建設全方位的安全管理,以信息化促進公司管理的科學化和精細化.一、提升安全理念，健全制度建設我司結合信息化安全管理現狀，在充分調研的基礎上,制定了《機房進出登記表》、《系統故障處理表》、《廠商巡檢報告》、《設備進出機房登記表》、《生產設備定期檢查表》、《生產用戶權限申請表》、《系統變更申請表》、《機房應急管理制度》、《機房巡檢登記表》、《機房設備到期檢查表》、《設備維修記錄表》等以公文的形式下發執行，把安全教育發送到每一個崗位和人員。進一步強化信息化安全知識培訓，廣泛簽訂《保密協議》。進一步增強公司的安全防范意識，在全公司統建立保密及信息安全工作領導小組，由技術部經理毛偉為組長，網絡工程師主管謝嘉為副組長,技術部羅江林為網絡安全管理員，負責公司的網絡信息安全工作。二、著力堵塞漏洞，狠抓信息安全我司現有計算機85臺,每個工作人員使用的計算機按涉密用、內網用、外網用三種情況分類登記和清理，清理工作分為自我清理和檢查兩個步驟。清理工作即每個干部職工都要對自己使用的計算機（含筆記本電腦)和移動存儲介質