醫院信息化安全建設項目整改建議物理安全類別問題描述解決措施物理安全物理訪問控制1.沒有登記進出機房的人員，機房重要設備沒有劃區域隔離。建議安排專人值守機房出入口。2.暫無相關申請和審批流程。需要經過申請和審批流程，且有專人陪同。防盜竊與防破壞大部分設備都已固定在機柜中，但部分設備放至在機柜上方，仍有大部分通信線纜未整理和固定；部分設備和線纜有標簽注意每個設備和線路的用途，部分設備和線纜無此設置。建議所有設備和通信線纜均固定在機柜中，且所有設備和線纜設置標簽，說明用途和去向。未部署紅外監控等光、電等技術的防盜報警系統建議部署紅外報警系統防水和防潮精密空調出水位置布置漏水檢測點，對漏水情況自動報警，但檢測范圍未覆蓋所有易漏水的位置。建議部署完整的漏水檢測電磁防護對關鍵設備和磁介質實施電磁屏蔽。建議對關鍵設備和磁介質實施電磁屏蔽網絡安全類別問題描述解決措施網絡安全結構安全無按照對業務服務的重要次序來指定帶寬分配優先級別，保證在網絡發生擁堵的時候優先保護重要主機。采用高性能下一代防火墻，按照業務的業務服務的重要次序來指定帶寬分配優先級別，保證在網絡發生擁堵的時候優先保護重要主機和業務。邊界完整性檢查未能夠對非授權設備私自聯到內部網絡的行為進行檢查，準確定出位置，并對其進行有效阻斷；建議部署網絡準入系統，對非授權設備私自聯到內部網絡的行為進行檢查。未能夠對內部網絡用戶私自聯到外部網絡的行為進行檢查，準確定出位置，并對其進行有效阻斷。建議部署上網行為管理系統，對內部用戶的上網行為進行管理。入侵防范無相關入侵檢測設備實現在網絡邊界處監視以下攻擊行為：端口掃描、強力攻擊、木馬后門攻擊、拒絕服務攻擊、緩沖區溢出攻擊、IP碎片攻擊和網絡蠕蟲攻擊等；當檢測到攻擊行為時，記錄攻擊源IP、攻擊類型、攻擊目的、攻擊時間，在發生嚴重入侵事件時無法提供報警。建議部署IPS實現入侵防范功能，在網絡邊界監視并防護網絡攻擊行為。惡意代碼防范無相關惡意代碼檢測設備在網絡邊界處對惡意代碼進行檢測和清除，并升級和檢測系統的更新。建議部署防毒網關實現惡意代碼防范功能，在網絡邊界監視惡意代碼攻擊行為。訪問控制未能根據會話狀態信息為數據流提供明確的允許/拒絕訪問的能力，控制粒度為端口級建議采用下一代防火墻，根據IP和端口設置安全策略，只有符合策略的數據包才能通過。未根據進出網絡的信息內容進行過濾。建議采用下一代防火墻，對進出網絡的信息內容進行過濾，實現對應用層HTTP、FTP、TELNET、SMTP、POP3等協議命令級的控制。未限制網絡最大流量數及網絡連接數；建議采用下一代防火墻，限制網絡最大流量數及網絡連接數。重要網段未采取技術手段防止地址欺騙；建議啟用下一代防火墻的ARP防欺騙功能網絡設備防護未對網絡設備的管理員登錄地址進行限制；建議通過堡壘機和ACL策略設置限制網絡設備的登錄地址，如信息技術部的網段或若干個管理IP。主要網絡設備目前只使用一種身份鑒別方式。建議通過堡壘機使用U-KEY或者域認證的方式實現雙因子認證。密碼長8位，由小寫字母和數字組成。不定期更改一次口令。建議通過堡壘機設定密碼復雜度規則，并通過改密計劃，自動定期進行改密目前只有一個超級管理員。建議通過堡壘機設置審計員、操作員等角色，實現權限分離。未能夠根據記錄數據進行分析，并生成審計報表；建議通過日志分析系統根據記錄數據進行分析，并生成審計報表通過telnet和http方式訪問設備，未采取必要措施防止鑒別信息在網絡傳輸過程中被竊聽。建議通過堡壘機，使用ssh協議登錄設備。主機安全業務系統主機類別問題描述解決措施身份鑒別密碼未符合復雜性要求建議通過堡壘機設置密碼復雜度要求，并通過改密計劃定期自動改密：密碼長度最小值：8個字符；密碼最短使用期限：2天；密碼最長使用期限：90天；強制密碼歷史：24未啟用登錄失敗處理功能，可采取結束會話、限制非法登錄次數和自動退出等措施；建議通過堡壘機設置登錄失敗處理功能建議帳戶鎖定策略如下：帳戶鎖定時間：15分鐘；帳戶鎖定閥值：5次無效登錄；重圍帳戶鎖定計數器：15分鐘之后。目前只使用用戶名和密碼登錄建議通過堡壘機使用U-KEY或者域認證的方式實現雙因子認證。訪問控制已啟用磁盤默認共享功能建議關閉磁盤默認共享功能操作系統用戶可直接對數據庫系統進行操作，權限未分離。建議禁用Windows身份登錄方式。已禁用Guest用戶，已設置管理員密碼，但未重命名Administrator用戶。建議重命名Administrator用戶。安全審計所有審核策略均設置為無審核。建議采用日志審計系統對系統中的登陸日志、操作日志進行審計。剩余信息保護交互式登錄：不顯示最后的用戶名：已禁用。用可還原的加密來儲存密碼：已禁用。建議設置：交互式登錄：不顯示最后的用戶名：已啟用關機：清除虛擬內存頁面文件：已禁用。建議設置關機：清除虛擬內存頁面文件：已啟用。入侵防范未啟用Windows自帶的防火墻建議啟用windows自帶的防火墻未能夠對重要程序的完整性進行檢測，并在檢測到完整性受到破壞后具有恢復的措施；建議部署防篡改軟件對重要程序的完整性檢測操作系統存在不需要的服務組件和應用程序，系統補丁未及時得到更新。建議通過漏洞掃描系統，定期對系統進行掃描，并及時更新系統補丁，建議通過配置檢查系統，按照等級保護要求進行基線檢查，及時關閉不需要的服務和應用程序惡意代碼防范未安裝殺毒軟件建議安裝殺毒軟件，通過統一管理平臺進行統一升級和維護，保證病毒特征庫得到及時的更新資源控制未限制管理網絡地址范圍。建議設立設備管理區，僅限制幾臺管理終端可以登錄管理服務器建議通過堡壘機和ACL策略設置限制設備的登錄地址，如信息技術部的網段或若干個管理IP。未啟用帶密碼保護的屏幕保護程序。建議啟用帶密碼保護的屏幕保護程序。未能夠對系統的服務水平降低到預先規定的最小值進行檢測和報警。建議采取技術措施監控CPU，內存，硬盤等資源的使用率，并設置報警閾值。數據庫主機類別問題描述解決措施身份鑒別sa用戶的密碼長最低8位，由數字、小寫字母組成，不定期修改。存在7個口令為空的用戶建議禁用口令為空的用戶。未啟用登錄失敗處理功能。建議通過堡壘機設置登錄失敗處理功能，如連續登錄失敗3次則斷開連接目前僅使用用戶名和密碼進行身份鑒別建議通過堡壘機使用U-KEY或者域認證的方式實現雙因子認證。訪問控制操作系統用戶可直接對數據庫系統進行操作，權限未分離。建議禁用Windows身份登錄方式。安全審計已啟用自帶的審計功能，未啟用C2審核跟蹤功能。建議采用數據庫審計系統對數據庫的所有操作進行審計和跟蹤使用內置的審計策略，登錄審核設置為：僅限失敗的登錄建議采用日志審計系統對系統中的登陸日志、操作日志進行審計。資源控制未限制管理網絡地址范圍。建議設立設備管理區，僅限制幾臺管理終端可以登錄管理服務器建議通過堡壘機和ACL策略設置限制設備的登錄地址，如信息技術部的網段或若干個管理IP。未啟用帶密碼保護的屏幕保護程序。建議啟用帶密碼保護的屏幕保護程序。應用安全HIS系統（三級）類別問題描述解決措施身份鑒別使用用戶名/密碼一種身份鑒別方式。建議應用系統采用兩種或兩種以上身份鑒別技術的組合來進行身份鑒別（如采用用戶名/口令、挑戰應答、動態口令、物理設備如（如U-KEY）、生物識別技術中的任意兩種組合）未提供密碼復雜度校驗功能。建議后臺管理程序提供密碼復雜度校驗功能已啟用身份鑒別、身份標識唯一性檢查、已提供登錄失敗處理功能，未提供用戶口令復雜度檢查功能，未提供根據需要配置相關安全參數功能。建議提供用戶口令復雜度檢查功能，建議后臺管理程序提供根據需要配置相關安全參數功能。訪問控制未對重要信息資源設置敏感標記的功能；建議采用數據審計系統，應用系統對重要信息資源設置敏感標記，如對重要信息資源設置機密和普通的等級，對高危操作或者高頻率敏感數據操作進行告警依據安全策略嚴格控制用戶對有敏感標記重要信息資源的操作建議采用數據審計系統，應用系統對重要信息資源設置敏感標記，如對重要信息資源設置機密和普通的等級，對高危操作或者高頻率敏感數據操作進行告警建議應用系統的強制訪問控制與用戶身份鑒別、標識等安全功能密切配合，并且控制粒度達到主體為用戶級，客體為文件和數據庫表級。安全審計應用層面未提供安全審計建議采用網絡審計系統實現應用層面的審計效果未保證無法單獨中斷審計進程，無法刪除、修改或覆蓋審計記錄建議采用日志審計系統對日志進行獨立存儲的避免對審計記錄的修改、刪除或覆蓋。應用層面未提供安全審計建議采用網絡審計系統，進行全面審計，記錄包括事件的日期、時間、類型、主體標識、客體標識和結果等內容應用層面未提供安全審計建議采用網絡審計系統，定期生成審計報表并包含必要審計要素。數據完整性未采用密碼技術保證通信過程中數據的完整性。建議采用密碼技術保證通信過程中數據的完整性：如系統根據校驗碼判斷對方數據包的有效性，用密碼計算通信數據報文的報過文驗證碼；可通過Hash函數（如MD5、SHA和MAC）對完整性進行校驗，但不能使用CRC。未啟用帶密碼保護的屏幕保護程序。建議啟用帶密碼保護的屏幕保護程序。抗抵賴未使用數字證書建議部署數字證書。資源控制未限制最大并發會話連接數。建議限制訪問系統的最大并發會話連接數未對單個帳戶的多重并發會話進行限制。建議限制單個賬戶的多重并發，限制一個賬戶只能在一臺終端上登錄未限制一個時間段內的最大并發會話連接數。建議限制訪問系統的最大并發會話連接數。未能夠對系統服務水平降低到預先規定的最小值進行檢測和報警；建議設置專門的監控軟件或硬件，監控系統的服務能力，當服務能力低于閥值時報警。LIS系統（三級）類別問題描述解決措施身份鑒別使用用戶名/密碼一種身份鑒別方式。建議應用系統采用兩種或兩種以上身份鑒別技術的組合來進行身份鑒別（如采用用戶名/口令、挑戰應答、動態口令、物理設備如（如U-KEY）、生物識別技術中的任意兩種組合）未提供密碼復雜度校驗功能。建議提供鑒別信息復雜度檢查功能，限制密碼長度在8位以上，包含大小寫字母、數字和字符，及時修改管理員密碼，增強管理員密碼復雜度。未提供登錄失敗處理功能建議提供登錄失敗處理功能，登錄失敗3~5次，鎖定用戶一段時間已啟用身份鑒別、身份標識唯一性檢查、已提供登錄失敗處理功能，未提供用戶口令復雜度檢查功能，未提供根據需要配置相關安全參數功能。建議提供用戶口令復雜度檢查功能，建議后臺管理程序提供根據需要配置相關安全參數功能。訪問控制未對重要信息資源設置敏感標記的功能；建議采用數據審計系統，應用系統對重要信息資源設置敏感標記，如對重要信息資源設置機密和普通的等級，對高危操作或者高頻率敏感數據操作進行告警依據安全策略嚴格控制用戶對有敏感標記重要信息資源的操作建議采用數據審計系統，應用系統對重要信息資源設置敏感標記，如對重要信息資源設置機密和普通的等級，對高危操作或者高頻率敏感數據操作進行告警建議應用系統的強制訪問控制與用戶身份鑒別、標識等安全功能密切配合，并且控制粒度達到主體為用戶級，客體為文件和數據庫表級。安全審計應用層面未提供安全審計建議采用網絡審計系統實現應用層面的審計效果未保證無法單獨中斷審計進程，無法刪除、修改或覆蓋審計記錄建議采用日志審計系統對日志進行獨立存儲的避免對審計記錄的修改、刪除或覆蓋。應用層面未提供安全審計建議采用網絡審計系統，進行全面審計，記錄包括事件的日期、時間、類型、主體標識、客體標識和結果等內容應用層面未提供安全審計建議采用網絡審計系統，定期生成審計報表并包含必要審計要素。軟件容錯未有自動保護功能，當故障發生時自動保護當前所有狀態，保證系統能夠進行恢復。建議應用服務器架構負載均衡實現自動保護功能。資源控制未限制最大并發會話連接數。建議限制訪問系統的最大并發會話連接數未對單個帳戶的多重并發會話進行限制。建議限制單個賬戶的多重并發，限制一個賬戶只能在一臺終端上登錄未限制一個時間段內的最大并發會話連接數。建議限制訪問系統的最大并發會話連接數。未能對一個訪問帳戶或一個請求進程占用的資源分配最大限額和最小限額；建議通過下一代防火墻，通過流量控制的方式限制帳戶的資源配額未能夠對系統服務水平降低到預先規定的最小值進行檢測和報警；建議設置專門的監控軟件或硬件，監控系統的服務能力，當服務能力低于閥值時報警。未提供服務優先級設定功能，并在安裝后根據安全策略設定訪問帳戶或請求進程的優先級，根據優先級分配系統資源建議通過下一代防火墻，通過流量通道優先級設定，當資源緊張時優先滿足權限高的用戶的訪問請求。PACS系統（三級）類別問題描述解決措施身份鑒別未提供密碼復雜度校驗功能。建議提供鑒別信息復雜度檢查功能，限制密碼長度在8位以上，包含大小寫字母、數字和字符，及時修改管理員密碼，增強管理員密碼復雜度。已啟用身份鑒別、身份標識唯一性檢查、已提供登錄失敗處理功能，未提供用戶口令復雜度檢查功能，未提供根據需要配置相關安全參數功能。建議提供用戶口令復雜度檢查功能，建議后臺管理程序提供根據需要配置相關安全參數功能。訪問控制未對重要信息資源設置敏感標記的功能；建議采用數據審計系統，應用系統對重要信息資源設置敏感標記，如對重要信息資源設置機密和普通的等級，對高危操作或者高頻率敏感數據操作進行告警依據安全策略嚴格控制用戶對有敏感標記重要信息資源的操作建議采用數據審計系統，應用系統對重要信息資源設置敏感標記，如對重要信息資源設置機密和普通的等級，對高危操作或者高頻率敏感數據操作進行告警建議應用系統的強制訪問控制與用戶身份鑒別、標識等安全功能密切配合，并且控制粒度達到主體為用戶級，客體為文件和數據庫表級。安全審計已提供日志查詢功能，未提供對日志進行統計、分析及生成報表的功能。建議采用日志審計系統，提供對日志進行統計、分析及生成報表的功能。軟件容錯未有自動保護功能，當故障發生時自動保護當前所有狀態，保證系統能夠進行恢復。建議應用服務器架構負載均衡實現自動保護功能。資源控制未提供結束空閑會話功能建議應用系統提供登錄終端的操作超時鎖定，空閑為會話超時時間設置為30分鐘。未能對一個訪問帳戶或一個請求進程占用的資源分配最大限額和最小限額；建議通過下一代防火墻，通過流量控制的方式限制帳戶的資源配額EMR系統（三級）類別問題描述解決措施身份鑒別使用用戶名/密碼一種身份鑒別方式。建議應用系統采用兩種或兩種以上身份鑒別技術的組合來進行身份鑒別（如采用用戶名/口令、挑戰應答、動態口令、物理設備如（如U-KEY）、生物識別技術中的任意兩種組合）未提供密碼復雜度校驗功能。建議提供鑒別信息復雜度檢查功能，限制密碼長度在8位以上，包含大小寫字母、數字和字符，及時修改管理員密碼，增強管理員密碼復雜度。未提供登錄失敗處理功能建議提供登錄失敗處理功能，登錄失敗3~5次，鎖定用戶一段時間已啟用身份鑒別、身份標識唯一性檢查、已提供登錄失敗處理功能，未提供用戶口令復雜度檢查功能，未提供根據需要配置相關安全參數功能。建議提供用戶口令復雜度檢查功能，建議后臺管理程序提供根據需要配置相關安全參數功能。訪問控制未對重要信息資源設置敏感標記的功能；建議采用數據審計系統，應用系統對重要信息資源設置敏感標記，如對重要信息資源設置機密和普通的等級，對高危操作或者高頻率敏感數據操作進行告警依據安全策略嚴格控制用戶對有敏感標記重要信息資源的操作建議采用數據審計系統，應用系統對重要信息資源設置敏感標記，如對重要信息資源設置機密和普通的等級，對高危操作或者高頻率敏感數據操作進行告警建議應用系統的強制訪問控制與用戶身份鑒別、標識等安全功能密切配合，并且控制粒度達到主體為用戶級，客體為文件和數據庫表級。安全審計應用層面未提供安全審計建議采用網絡審計系統實現應用層面的審計效果未保證無法單獨中斷審計進程，無法刪除、修改或覆蓋審計記錄建議采用日志審計系統對日志進行獨立存儲的避免對審計記錄的修改、刪除或覆蓋。應用層面未提供安全審計建議采用網絡審計系統，進行全面審計，記錄包括事件的日期、時間、類型、主體標識、客體標識和結果等內容應用層面未提供安全審計建議采用網絡審計系統，定期生成審計報表并包含必要審計要素。抗抵賴未使用數字證書建議部署數字證書。軟件容錯未有自動保護功能，當故障發生時自動保護當前所有狀態，保證系統能夠進行恢復。建議應用服務器架構負載均衡實現自動保護功能。資源控制未提供結束空閑會話功能建議應用系統提供登錄終端的操作超時鎖定，空閑為會話超時時間設置為30分鐘。未能對一個訪問帳戶或一個請求進程占用的資源分配最大限額和最小限額；建議通過下一代防火墻，通過流量控制的方式限制帳戶的資源配額未提供服務優先級設定功能，并在安裝后根據安全策略設定訪問帳戶或請求進程的優先級，根據優先級分配系統資源建議通過下一代防火墻，通過流量通道優先級設定，當資源緊張時優先滿足權限高的用戶的訪問請求。集中平臺（三級）類別問題描述解決措施身份鑒別使用用戶名/密碼一種身份鑒別方式。建議應用系統采用兩種或兩種以上身份鑒別技術的組合來進行身份鑒別（如采用用戶名/口令、挑戰應答、動態口令、物理設備如（如U-KEY）、生物識別技術中的任意兩種組合）未提供登錄失敗處理功能建議提供登錄失敗處理功能，登錄失敗3~5次，鎖定用戶一段時間已啟用身份鑒別、身份標識唯一性檢查、已提供登錄失敗處理功能，未提供用戶口令復雜度檢查功能，未提供根據需要配置相關安全參數功能。建議提供用戶口令復雜度檢查功能，建議后臺管理程序提供根據需要配置相關安全參數功能。訪問控制未對重要信息資源設置敏感標記的功能；建議采用數據審計系統，應用系統對重要信息資源設置敏感標記，如對重要信息資源設置機密和普通的等級，對高危操作或者高頻率敏感數據操作進行告警依據安全策略嚴格控制用戶對有敏感標記重要信息資源的操作建議采用數據審計系統，應用系統對重要信息資源設置敏感標記，如對重要信息資源設置機密和普通的等級，對高危操作或者高頻率敏感數據操作進行告警建議應用系統的強制訪問控制與用戶身份鑒別、標識等安全功能密切配合，并且控制粒度達到主體為用戶級，客體為文件和數據庫表級。安全審計應用層面未提供安全審計建議采用網絡審計系統實現應用層面的審計效果未保證無法單獨中斷審計進程，無法刪除、修改或覆蓋審計記錄建議采用日志審計系統對日志進行獨立存儲的避免對審計記錄的修改、刪除或覆蓋。應用層面未提供安全審計建議采用網絡審計系統，進行全面審計，記錄包括事件的日期、時間、類型、主體標識、客體標識和結果等內容應用層面未提供安全審計建議采用網絡審計系統，定期生成審計報表并包含必要審計要素。通信完整性未采用密碼技術保證通信過程中數據的完整性建議采用密碼技術保證通信過程中數據的完整性：如系統根據校驗碼判斷對方數據包的有效性，用密碼計算通信數據報文的報過文驗證碼；可通過Hash函數（如MD5、SHA和MAC）對完整性進行校驗，但不能使用CRC。通信保密性在通信雙方建立連接之前，應用系統未利用密碼技術進行會話初始化驗證；建議在通信雙方建立會話之前，利用密碼技術進行如會話初始化驗證（如SSL建立加密通道前是否利用密碼技術進行會話初始驗證）；未對通信過程中的整個報文或會話過程進行加密。在通信過程中對敏感信息字段進行加密等抗抵賴未使用數字證書建議部署數字證書軟件容錯未有自動保護功能，當故障發生時自動保護當前所有狀態，保證系統能夠進行恢復。建議應用服務器架構負載均衡實現自動保護功能。未保證通過人機接口輸入或通過通信接口輸入的數據格式或長度符合系統設定要求；建議應用系統對人機接口和通信接口輸入的數據進行校驗。資源控制未限制最大并發會話連接數。建議限制訪問系統的最大并發會話連接數未限制一個時間段內的最大并發會話連接數。建議限制一段時間內的最大并發會話數。未提供結束空閑會話功能建議應用系統提供登錄終端的操作超時鎖定，空閑為會話超時時間設置為30分鐘。未對單個帳戶的多重并發會話進行限制。建議限制單個賬戶的多重并發，限制一個賬戶只能在一臺終端上登錄未能對一個訪問帳戶或一個請求進程占用的資源分配最大限額和最小限額；建議通過下一代防火墻，通過流量控制的方式限制帳戶的資源配額未提供服務優先級設定功能，并在安裝后根據安全策略設定訪問帳戶或請求進程的優先級，根據優先級分配系統資源建議通過下一代防火墻，通過流量通道優先級設定，當資源緊張時優先滿足權限高的用戶的訪問請求。未能夠對系統服務水平降低到預先規定的最小值進行檢測和報警；建議設置專門的監控軟件或硬件，監控系統的服務能力，當服務能力低于閥值時報警。門戶網站系統（二級）類別問題描述解決措施身份鑒別未提供密碼復雜度校驗功能。建議提供鑒別信息復雜度檢查功能，限制密碼長度在8位以上，包含大小寫字母、數字和字符，及時修改管理員密碼，增強管理員密碼復雜度。未提供登錄失敗處理功能建議提供登錄失敗處理功能，登錄失敗3~5次，鎖定用戶一段時間已啟用身份鑒別、身份標識唯一性檢查、已提供登錄失敗處理功能，未提供用戶口令復雜度檢查功能，未提供根據需要配置相關安全參數功能。建議提供用戶口令復雜度檢查功能，建議后臺管理程序提供根據需要配置相關安全參數功能。通信完整性未采用密碼技術保證通信過程中數據的完整性建議通過web應用防護系統，通過Hash函數（如MD5）對完整性進行校驗通信保密性在通信雙方建立連接之前，應用系統未利用密碼技術進行會話初始化驗證；建議通過web應用防護系統在通信雙方建立會話之前，進行會話初始驗證未對通信過程中的整個報文或會話過程進行加密。建議通過web應用防護系統在通信過程中對敏感信息字段進行加密等軟件容錯未有自動保護功能，當故障發生時自動保護當前所有狀態，保證系統能夠進行恢復。建議應用服務器架構負載均衡實現自動保護功能。未通過人機接口輸入或通過通信接口輸入的數據格式或長度符合系統設定要求；建議應用系統對人機接口和通信接口輸入的數據進行校驗。資源控制未限制最大并發會話連接數。建議限制訪問系統的最大并發會話連接數未對單個帳戶的多重并發會話進行限制。可以限制為單點登錄或者多點登錄的情況，必須限制其數量。數據安全與備份恢復類別問題描述解決措施數據完整性未能夠檢測到系統管理數據、鑒別信息和重要業務數據在傳輸過程中完整性受到破壞，并在檢測到完整性錯誤時采取必要的恢復措施；建議采用校驗碼技術保證傳輸過程中數據的完整性。門戶網站建議使用https協議進行數據傳輸。數據保密性未采用加密或其他有效措施實現系統管理數據、鑒別信息和重要業務數據傳輸保密性；集成平臺系統建議對鑒別信息和重要業務信息進行加密傳輸。備份和恢復未提供異地備份功能。建議定期將重要數據備份到異地的備份機房。網絡架構未完全使用冗余技術設計，無法避免單點故障建議采用冗余技術設計網絡拓撲結構，避免關鍵節點存在單點故障。主要網絡設備如核心交換設備、出口線路均有硬件冗余，其他關鍵設備未提供冗余功能。建議其他關鍵設備如防火墻等提供硬件冗余功能。安全管理制度類別問題描述解決措施管理制度未提供相關管理制度。建議建立信息安全相關管理制度。制定和發布未提供相關管理制度。建議對安全管理制度的制定和發布建立管理制度，并按管理制度執行。評審和修訂未提供相關管理制度。建議對安全管理制度的評審和修訂建立管理制度，并按管理制度執行。安全管理機構類別問題描述解決措施崗位設置未提供相關管理制度。建議對安全管理機構的崗位設置建立管理制度，并按管理制度執行。人員配備未提供相關管理制度。建議對安全管理機構的人員配備建立管理制度，并按管理制度執行。授權和審批未提供相關管理制度。建議定期審查審批事項，及時更新需授權和審批的項目、審批部門和審批人等信息記錄審批過程并保存審批文檔。溝通和合作信息技術部必須與信息使用部門密切配合，建立溝通協調制度，加強部門之間的溝通，運用恰當的方式方法，及時解決各種故障，但未提及處理信息安全問題。建議對安全管理機構的溝通和合作建立管理制度，并按管理制度執行。審批與檢查未提供相關管理制度。建議對安全管理機構的審核和檢查建立管理制度，并按管理制度執行。人員安全管理類別問題描述解決措施人員錄用未提供相關管理制度。建議對人員安全管理的人員錄用建立管理制度，并按管理制度執行。人員離崗未提供相關管理制度。建議對人員安全管理的人員離崗建立管理制度，并按管理制度執行。人員考核未提供相關管理制度。建議對人員安全管理的人員考核建立管理制度，并按管理制度執行。安全意識教育和培訓未提供相關管理制度。建議對人員安全管理的安全意識教育和培訓建立管理制度，并按管理制度執行。外部人員訪問管理未提供相關管理制度。建議對人員安全管理的外部人員訪問管理建立管理制度，并按管理制度執行。系統建設管理類別問題描述解決措施安全方案設計未提供相關管理制度。建議對系統建設管理的安全方案設計建立管理制度，并按管理制度執行。產品采購和使用未提供相關管理制度。建議對系統建設管理的產品采購和使用建立管理制度，并按管理制度執行。外包軟件開發未提供相關管理制度。建議對系統建設管理的外包軟件開發建立管理制度，并