信息安全检查表
信息安全检查表
。是。否
。未采用托管方式
37、是否采取了备份措施？
。备机。备件
。网站数据备份
。其他措施
38、是否明确了技术支援队伍？
。是。否
39、是否有24小时值班制度？
。开始值班
。拟从奥运会开始实行24小时值班
。不需要进行24小时值班
40、是否建立了网站发布宙核制度？
。是。否
41、对本次检查中发现1可题的整改比例
。是。否
5、网站名称、域名
6、网站安全等级保护级别
。四级。三级。二级。未定级
7、网站主机服务器运行维护管理方式
。自行管理。委托管理
8、是否对安全规章制度进行了梳理？
。是。否
9、是否有明确的网站安全责任处罚规定？
。是。否
10、是否对安全防护措施进行了评估？
。是。否
11、如果开展了安全防护措施评估，评估结果是
附件:
信息安全检查表
单位名称
联系人/联系电话
信息安全主管领导
职务
网站安全第负贝人
职务
1、是否有网络信息安全领导小组、负责机构？
。是。否
2、是否有网络信息安全管理制度？
。是。否
3、是否制定了奥运会期间网络安全突发事件应急
预案？
。是。否
3、是否根据应急预案组织过应急演练？
。是。否
4、是否成立网络信息安全应急小分队？
。一个月以上
。一个月
。半个月
。每周或更短
32、
系统管理和数据库管理的口令长度是多少？
。小于8位
。大于8位
33、是否存在多台服务器或多个帐户使用同一口
令的情况？
。是
网络信息安全检查表
网络信息安全检查表网络信息安全检查表一、安全管理制度1·1 信息安全管理制度的建立和落实情况1·2 安全责任制度的建立和执行情况1·3 员工信息安全意识培训与教育情况1·4 外包及合作单位的信息安全管理情况1·5 安全事件管理制度的建立和运行情况二、信息系统安全2·1 信息系统设备及网络拓扑结构2·2 网络边界防护措施的配置和使用情况2·3 防火墙及入侵检测系统的配置和使用情况2·4 服务器及操作系统的安全配置情况2·5 网络设备和终端设备的安全配置情况2·6 数据备份与恢复策略的制定和执行情况2·7 安全策略和访问控制的配置情况2·8 系统漏洞和补丁管理情况2·9 安全事件的监测和响应情况2·10 合规性要求的检查与合规性报告情况三、网络通信安全3·1 网络通信加密技术的使用情况3·2 网络通信传输的加密与防篡改情况3·3 网络通信传输的可信性检测机制情况3·4 虚拟私人网络（VPN）的使用情况3·5 无线网络的安全管理情况3·6 电子邮件的安全管理情况四、应用系统安全4·1 应用系统开发过程中的安全控制情况4·2 应用系统接口的安全控制情况4·3 应用系统运行日志的监控和审计情况4·4 数据库安全控制情况4·5 业务数据的备份和恢复情况4·6 电子商务系统的安全管理情况4·7 Web应用程序的安全性评估和测试情况附件：1·安全管理制度2·安全责任制度3·员工信息安全培训资料4·外包及合作单位信息安全管理合同5·安全事件管理制度6·网络设备配置列表7·主机设备配置列表8·数据备份与恢复策略9·安全策略和访问控制配置10·系统漏洞和补丁管理记录11·安全事件监测与响应记录12·合规性要求检查与合规性报告13·网络通信加密技术使用手册14·无线网络安全管理手册15·应用系统开发安全控制手册法律名词及注释：1·信息安全管理制度：指企业或组织内部建立的规范信息安全管理的文件或制度。
信息安全检查表1
□本年度是否组织开展信息安全教育培训，次数：
参训人员比例
本年度参加信息安全教育培训的人员占总人数比例为：
七、信息安全检查情况
信息安全检查工作情况
检查工作和经费落实情况： □已落实 □未落实
检查工作方案制定情况： □已制定 □未制定
安全保密和风险控制措施： □已采取 □未采取
组织开展技术检测情况： □已开展 □未开展
□博客内容经审核后发布 □未经审核即可发布
终端计算机
安全管理
①终端计算机安全管理方式：
□使用统一平台对终端计算机进行集中管理 □用户分散管理
②帐户口令管理：
□无：空口令、弱口令和默认口令 □有
③接入互联网安全控制措施：
□有控制措施（如实名接入、绑定计算机IP和MAC地址等）
□无控制措施
④漏洞扫描、木马检测： □定期进行 □未进行
其中感染恶意代码的终端计算机台数：
漏洞检测结果
①进行过漏洞扫描的服务器台数：_______ ，其中存在漏洞的服务器台数：______ ,存在高风险漏洞的服务器台数：_______
②进行过漏洞扫描的终端计算机台数：______ ,其中存在漏洞的终端计算机台数：____ ,存在高风险漏洞的终端计算机台数：
安装Linux操作系统的计算机台数：
安装其他操作系统的计算机台数：
数据库
总套数：，其中国产套数：
信息安全设备
①安装国产防病毒产品的终端计算机台数：
②防火墙（不含终端软件防火墙）台数：
其中国产防火墙的台数：
六、信息安全教育培训情况
参加培训情况
□本年度是否派员参加信息安全相关业务培训，人次数：，培训部门名称
□已部署有防病毒、防火墙、入侵检测、安全审计等功能的设备 □未部署
信息安全检查表
如果开展了安全措施评估，评估结果是什么
○有效○基本有效○不足
本年度是否开展了网站安全风险评估或等级测评
○自评估委托专业评估○没有开展
是否进行了下列安全检查
○SQL注入攻击隐患○跨站脚本攻击隐患
○弱口令○操作系统补丁安装情况
○网站服务系统及其他应用系统补丁安装情况○防病毒软件升级情况○网站是否已被“挂马”
○是○否
是否对自管的域名解析系统采取了安全防护措施
○是○否○无自管域名解析系统
是否与托管方签订了安全协议
○是○否○未采取托管
是否制定了奥运会期间网站安全突发事件应急预案
○是○否
是否根据应急预案组织过应急演练
○是○否
是否采取了备份措施
○备机○备件○网站数据备份○其他措施
是否明确了技术支援队伍
○是○否
是否有24小时值班制度
○是○否
是否关闭或删除了不必要的服务
○是○否
是否关闭或删除了不必要的端口
○是○否
系统管理和数据库管理口令更换周期是多少
○每周或更短○半个月○一个月
○一个月以上○从未更换或偶尔更换
系统管理和数据库管理口令长度是多少位
○小于等于8位○大于8位
是否存在多台服务器或多个帐户使用同一口令的情况
○是○否
对网站进行远程维护时，是否采取了加密防护措施
○是○否
系统安全日志察看的周期是多少
○每天○每周○每月○偶尔或从不
是否具有独立的安全审计系统
○是○否
网站服务器和同一网段内其他服务器之间是否有访问控制措施
○是○否
操作系统最近一次升级的日期
月日
Web服务器最近一次升级的日期
月日
信息安全检查表
是否定义了公共访问/交接区域？
确认定义文件
是否监控了公共访问和交接区域?
实地查看是否有监控措施
服务器是否得到了妥善的安置和防护？
1. 重要的服务器放在安全的区域（如机房）
2. 是否有UPS
3. 温度和湿度合适
个人电脑是否得到了安置和防护？
1. 笔记本安装PoinSec,配有物理锁
2. 所有电脑使用密码屏幕保护
和信息交换方是否签订了协议
和交换涉及方签订NDA
物理介质传输是否得到了保护
1. 检查包装合理性
2. 搬运方法合理性
是否按照公司规程实施了电子信息交换
确认是否有电子邮件使用规则，和实施情况（如发送重要文件时是否有文件加密等）
是否按照公司规程实施业务信息互联
1. 互联网使用的检查。
2. 户（FX/XC)之间的互联是否有访问控制，权限分配规则
是否有访问控制方针制订
如果有文件共享请确认：
1. 确认是否设置了全员都可以访问的权限。
2. 确认对于长时间不使用的人员是否暂停其帐号。
3. 确认共享文件的访问权限范围。
3. 所有对PC的访问都有密码保护
是否对访问控制方针进行了评审
是否有定期的Review
是否有用户注册的管理
1. 确认用户账号是否有申请书。
是否制定了口令策略
管理人员的密码设定。
是否有员工号等容易推断的密码。
1个帐号是否有多个用户。
密码是否记录在便条上。
密码为6位英文数字以上。
是否执行了口令策略
是否实施了网络隔离（不同功能和密级网络的隔离，物理或逻辑）？
1. 是否有隔离区
2. 从隔离区外是否可以访问区内网络资源
信息安全检查表
○入侵检测系统升级情况
○漏洞扫描系统升级情况
○执行漏洞扫描情况
10、是否有网页防篡改措施？
○安装了防篡改系统
○人工监看
○无防篡改措施
11、是否具有边界保护措施？
○防火墙○其它○无
12、是否有抗拒绝服务攻击措施？
○是○否
13、是否安装了入侵检测系统？
○是○否
14、是展了安全防护措施评估，评估结果是什么？
○有效○基本有效○不足
8、本年度是否开展了网站安全风险评估或等级测评？
○自评估
○委托专业评估
○没有开展
9、是否进行了下列安全检查？
○SQL注入攻击隐患
○跨站脚本攻击隐患
○弱口令
○操作系统补丁安装情况
○网站服务系统及其他应用系统补丁安装情况
○防病毒软件升级情况
○从未更换或偶尔更换
○一个月以上
○一个月
○半个月
○每周或更短
28、系统管理和数据库管理的口令长度是多少？
○小于8位
○大于8位
29、是否存在多台服务器或多个账户使用同一口令的情况？
○是○否
30、对网站进行远程维护时，是否采取了加密措施？
○是○否
31、是否对自管的域名解析系统采取了安全防护措施？
○是○否
信息安全检查表
单位名称
联系人/联系电话
信息安全主管领导
职务
网站安全第一责任人
职务
1、网站名称
2、网站安全等级保护级别
○四级○三级○二级○未定级
3、网站主机服务器运行维护管理方式
○自行管理○委托管理
4、是否对安全规章制度进行了梳理？
○是○否
5、是否有明确的网站安全责任处罚规定？
数据信息安全检查表
数据信息安全检查表背景随着信息技术的不断发展和普及，数据安全愈发受到重视。
数据安全检查表是一种重要的工具，可以帮助机构或组织遵循合规要求，检查数据系统中的漏洞及其他安全问题。
本文将介绍数据信息安全检查表的内容和使用方法。
检查表内容数据信息安全检查表主要包括以下方面：1. 身份认证和授权- 检查账户设置和管理是否符合规范- 检查用户权限是否设定合理- 检查传输数据是否加密保护2. 数据保护- 检查数据备份及存储策略是否规范，是否存在数据泄露风险- 检查敏感数据安全策略的有效性，如数据分类、加密、授权3. 系统运维安全- 检查系统安全设置，包括系统补丁更新、防病毒软件设置、系统日志管理等- 检查网络设备安全设置和运行策略是否规范4. 安全事件管理- 检查安全事件发生时，是否有统一的处理流程- 检查安全事件处理流程是否规范、有效使用方法1. 确定检查范围和内容，例如：数据安全管理流程、系统设置、网络安全策略、运维管理等。
2. 制定检查计划，确定检查的时间、人员、工具以及检查标准等。
3. 进行检查，根据检查表的内容逐项进行检查。
对于检查到的问题，可以采取红黄绿三色标记，以区分其重要程度。
4. 汇总检查结果，形成检查报告。
报告应包括检查结果、问题描述、问题风险等内容，并对问题提供建议解决措施。
结论通过使用数据信息安全检查表，可以检查数据系统的安全性，及时发现和解决问题，保障数据安全。
机构或组织在使用检查表时，应根据实际情况做出相应的调整和完善，以确保检查的全面性和有效性。
学校网络与信息安全检查表
学校网络与信息安全检查表学校网络与信息安全检查表1.背景说明本检查表旨在对学校网络和信息系统的安全措施进行全面检查，以确保学校的网络和信息系统能够有效地防范各类安全威胁，并保护学校师生的隐私和敏感信息。
2.网络基础设施安全检查2.1 网络设备2.1.1 确认网络设备的合法性及安全性2.1.1.1 网络设备采购记录是否完备，并在采购时是否进行了安全性评估2.1.1.2 确认网络设备的固件是否为最新版本，是否存在已知的安全漏洞2.1.1.3 确认网络设备的管理员账号和密码是否设置为强度足够的组合，并定期更改密码2.1.2 确认网络设备的配置安全性2.1.2.1 确认网络设备的访问控制策略是否规范，是否存在不必要的开放端口2.1.2.2 确认网络设备的防火墙设置是否合理，并能有效阻止非法访问2.1.2.3 确认网络设备的日志记录是否开启，并是否进行了定期的日志审计2.2 网络连接安全检查2.2.1 确认学校内部网络与外部网络之间的连接是否加密2.2.2 确认网络流量监控工具是否部署，是否能够及时检测和阻断网络攻击3.信息系统安全检查3.1 软件安全检查3.1.1 确认操作系统和应用软件是否为最新版本，并且及时进行安全补丁升级3.1.2 确认是否有合法的软件授权证书，并定期进行软件合规性检查3.1.3 确认是否有有效的杀毒软件和防火墙软件，并进行定期的库和软件更新3.2 访问授权与权限管理3.2.1 确认用户访问控制策略是否严格，并且进行了合理的权限分配3.2.2 确认用户账号和密码是否设置为强度足够的组合，并定期更改密码3.2.3 确认是否有定期的账号清理措施，包括离职人员账号的注销等3.3 数据备份与恢复3.3.1 确认是否有合理的数据备份策略，并进行定期的数据备份3.3.2 确认是否能够有效恢复备份数据，并进行定期的恢复测试4.教育和培训4.1 确认是否有针对师生的网络安全教育和培训计划，并进行定期的教育和培训活动4.2 确认是否有定期的网络安全演练，以检验网络安全响应和处置能力附件：________附件1：________网络设备采购记录附件2：________网络设备配置文件备份附件3：________安全补丁升级记录附件4：________用户账号和权限表附件5：________数据备份和恢复记录法律名词及注释：________1.隐私：________个人信息的保护，包括个人身份、健康、通信等各方面的隐私权利。
信息安全检查表(1)
□已备案 □已制定但未备案 □未制定
应急技术
支援队伍
□本单位自身力量 □外部专业机构 □未明确
信息安全备份
①重要数据： □备份 □未备份
②重要信息系统：□备份 □未备份
③容灾备份服务：□位于境内 □位于境外 □无
五、信息技术产品使用情况
服务器
总台数：，其中国产台数：
使用国产CPU的服务器台数：
□有技术措施用于控制和管理口令强度 □无技术措施
□无：空口令、弱口令和默认口令 □有
②留言板功能（□开设 □未开设）
□留言内容经审核后发布 □未经审核即可发布
③论坛功能（□开设 □未开设）
□已备案 □未备案
□论坛内容经审核后发布 □未经审核即可发布
④博客功能（□开设 □未开设）
□已作清理，仅限本部门或有关人员使用□未作清理
⑤在非涉密信息系统和涉密信息系统间混用情况：
□不存在 □存在
⑥是否存在使用非涉密计算机处理涉密信息情况：
□不存在 □存在
存储设备
安全管理
①移动存储设备管理方式：
□集中管理，统一登记、配发、收回、维修、报废、销毁
□未采取集中管理相关措施
②在非涉密信息系统和涉密信息系统间混用情况:
□不存在 □存在
四、信息安全应急管理情况
终端计算机
（含笔记本）
总台数：，其中国产台数：
使用国产CPU的计算机台数：
网络设备
总台数：，其中国产台数：
操作系统
①服务器操作系统情况：
安装Windows操作系统的服务器台数：
安装Linux操作系统的服务器台数：
安装其他操作系统的服务器台数：
②终端计算机操作系统情况：
信息安全检查表
1.单位基本情况12.人员资产情况2.1人员组织架构XXX组织架构图如图所示。
（请提供本单位组织架构图）人员职责描述：本人已确认以上所填内容及结果，确认无误。
填表人：22.2信息安全人员情况表2-1 信息安全人员调查表填写说明：1.此表主要涉及与网络安全相关的人员及部门；2.岗位名称：网络管理员、系统管理员、安全管理员、运维管理员、数据库管理员等。
32.3信息安全培训情况表2-2 信息安全培训调查表43.网络资产情况3.1网络拓扑情况表3-1 网络拓扑调查表填写说明：1.此表主要是提供本单位实际的网络拓扑图2.拓扑图中需标明出口、核心架构区域，以及其他网络区域。
53.2单位外联情况表3-2 单位外联调查表填写说明：1.连接对象为外联的单位名称；2.线路类型包括：SDH、MSTP、PTN、VPN（SSL、IPsec）等；63.3网络区域划分情况表3-3 网络区域划分调查表填写说明：1.网络区域包括：服务器域、核心交换域、办公域、外联域、存储域、运维域、终端域等。
74.信息系统资产情况4.1.信息系统等保备案情况表4-1 信息系统等保备案调查表1.定级备案：等级保护一级、等级保护二级、等级保护三级、等级保护四级、等级保护五级。
84.2.信息系统基本情况表4-2 信息系统基本信息调查表1.架构：C/S、B/S；2.维保情况：维保中、已过保（说明过保原因）；3.重要程度：非常重要、重要、一般。
94.3.信息系统详细情况表4-3 信息系统详细信息调查表1.业务处理信息类别：a.国家秘密信息、b.非密敏感信息（机构或公民的专有信息）、c.可公开信息；2.用户范围：全国、全省、本地区、本单位；3.访问方式：互联网访问、专网访问、内网访问；4.信息系统的日志类型：访问日志、操作日志。
104.4.信息系统备份情况表4-4 信息系统备份调查表填写说明：1.备份周期：实时备份、非实时备份（请提供备份周期）；2.备份介质：NAS（阵列）、外置盘（U盘、硬盘）、网盘、内置硬盘、光盘等。
信息安全检查表
网络和安全设备的配置文件必须定期备份。
严格控制无线路由器和随身WIFI网络共享设备的使用。对公众开放的无线服务必须采取认证机制。
:
服务器
安全
Windows服务器的登陆账户，要求密码长度最小值为8位，启用密码复杂度要求；设置账户锁定时间，锁定阀值为5次无效登录。
删除Windows多余的账户，关闭不必要的文件共享，及时升级系统补丁，安装杀毒软件。
服务器边界部署防火墙，设置了明确的访问控制策略，实现不同系统之间安全区域的有效隔离及访问控制。
数据库安全
数据库定期备份，每天至少备份2次，至少保留最近15天的备份数据。
修改数据库默认账户的SYS、SYSTEM系统默认口令，删除系统中多余的账户，如SYSMAN、DBSNMP等。
业务系统内网迁移
冷链系统访问和设备数据传输迁移至内网。
会计核算软件访问迁移至内网。
检查人员（签字）:
单位负责人（签字）:
防火墙、交换机、服务器等主要设备及线缆设置不易除去的标签。
定期巡检要求医院信息人员或维保公司每周巡检一次；进出机房的外来人员执行进出登记。
"
网络安全
内网网络必须建立计算机准入控制，防止未审批的计算机接入内网网络。
内外网采取有效措施隔离，边界部署防火墙设备，实施相应的访问控制策略。
网络和安全设备中配置SSH加密协议，禁止采用明文的telnet协议。
终端计算机必须设置登陆密码, 账户锁定时间为10分钟。
内网和外网重要信息系统使用的计算机必须严格控制U盘和光盘等移动存储介质。
{
机房安全
机房建立红外线防盗报警器或视频监控系统。
信息安全月度检查表
序号 检查项目
检查内容
k3、人事、考勤、消费数据库是否定 期进行备份
1
数据安全 垃圾文件、过期备份是否定期清理 及备份 文档资料是否妥善备份
数据文档是否存在异常，是否感染病 毒
硬件运行状态是否稳定
状态
时间： 月
年
确认人签字
是否定期进行杀毒
2 服务器
是否升级安全补丁
服务器空间资源是否不足
ups不间断电源运行状态是否稳定
mode\路由器运行状态是否稳定
3 网络设备
企智通运行是否安全稳定
核心交换机运行是否稳定
办公电脑是否禁用USB接口
外网权限审查，临时权限及离职人员
权限撤消
入职人员邮箱建立及地址薄更新是否
4 权限审查
正确，外发外收邮件权限是否按需办 理；离职人员邮箱及地址薄是否清理
完毕
k3、权限人员岗位权限是否对应，离
职人员是否及时清理权限
Байду номын сангаас
人事、考勤系统权限清理及审查
服务器管理员密码是否安全
企智通、路由器管理员密码是否安全
5 密码安全 网站后台密码、vip邮箱密码是否安
全
高危不安全端口是否关闭
备注：
信息安全检查收集表
集团信息安全检查综合归纳表
公司名称
检查人：
归纳项目
主要问题
整改措施
整改完成时 间
完成与否
/备注
防火墙
其他网络设备
包含路由器和交换机 等
防病毒系统
审计系统
服务器系统（windows）
服务器系统（AIX）
数据库
文档管理系统
机房环境
桌面环境
杀毒，补丁，正版化情 况
信息安全建议和意见
本地领导的信息安全 需求和建议
14
是否配置了强加密和密码加密
15
是否有完整的系统日志记录功能， 包括 AAA、SNMP Trap Syslog、本地 日志缓存
16
是否实施了配置管理，必要时可将 路由配置恢复到原先状态
17
OSPF协议使用LOOPBACK是否做
ROUTE-ID的标识
编号
生产厂商
物理位置
检查日期
单机
所在网络
检查人
病毒库服务器
物理位置
所在网络
外部IP地址
内部IP地址
网关IP
域名服务器IP
操作系统
版本号
CPU
内存
检查日期
检查人
编号
检查
项目
检查细目
检查内容
结 果
检查
记录
1
审计
数据
产生
审计数据是否包括事件发生的时间、类型、主客体身份和事 件结果等
2
是否可以扩充和修改可审计的事件
3
可审计的事件是否可以追溯到用户的身份和级别
4
审计 记录 的查 阅
检查细目
编号
检查项目
信息安全检查收集表
12
FTP账户是否禁止运行权限
□是□否
13
是否作出限制访问来源策略
□是□否
其他安全设置
14
所有的磁盘卷使用NTFS文件系统。
□是□否
15
已经安装第三方个人版防火墙。
□是□否
16
已经安装防病毒软件。
□是□否
17
防病毒软件的特征码和检查引擎已经更新到最新。
□是□否
18
防病毒软件已设置自动更新。
□是□否
□是□否
其他安全设置
21
所有的磁盘卷使用NTFS文件系统。
□是□否
22
已经安装第三方个人版防火墙。
□是□否
23
已经安装防病毒软件。
□是□否
24
防病毒软件的特征码和检查引擎已经更新到最新。
□是□否
25
防病毒软件已设置自动更新。
□是□否
编号
数据库类型
物理位置
所在网络
外部IP地址
内部IP地址
网关IP
域名服务器IP
□是□否
5
管理员口令是否具有严格的保管措施。
□是□否
运行维护
6
是否具备两个以上的用户身份，对系统策略和日志进行维护和管理。
□是□否
7
防火墙是否具有详细的访问控制列表。
□是□否
8
防火墙是否标注了源地址和目的地址。
□是□否
9
防火墙是否标注了允许和拒绝的动作。
□是□否
10
是否将防火墙配置及时保存并导出。
□是□否
□是□否
12
消防系统
□是□否
13
动力环境集中监控系统
□是□否
信息安全等级保护工作检查表
信息安全等级保护工作检查表单位信息安全等级保护工作检查表一、备案单位基本情况单位全称等级保护工作责任部门责任部门负责人姓名职务或职称办公电话移动电话责任部门联系人姓名职务或职称办公电话移动电话本行业定级备案的信息系统数量四级系统三级系统二级系统合计本单位定级备案的信息系统数量四级系统三级系统二级系统合计二、备案单位等级保护工作开展情况（一）信息安全工作的基本情况检查内容检查内容和所需材料工作情况等级保护工作的组织部署1.1等级保护协调领导机构设置情况是否成立等级保护专门协调领导机构，检查相关文件。
1.2等级保护责任部门和岗位确定情况是否明确等级保护责任部门和工作岗位，检查相关文件。
1.3行业等级保护工作的组织部署情况是否对全行业等级保护工作进行部署，检查具体部署文件。
1.4等级保护工作文件制定情况是否制定贯彻落实等级保护各项工作文件或方案，检查2007年以来有关等级保护工作的文件、方案。
1.5等级保护工作会议、业务培训情况是否召开等级保护工作会议或组织人员培训，检查会议或培训通知。
1.6单位主要领导对等级保护工作的重视情况单位主要领导是否重视等级保护工作，检查是否有领导讲话，是否有领导批示。
1.7制定行业标准规范是否制定出台行业等级保护配套标准，检查相关文件和标准。
信息安全责任制落实情况1.8信息安全领导机构设置情况是否建立由单位主管领导任组长的信息安全协调领导机构，检查相关文件。
1.9信息安全职能部门的建立情况是否成立专门信息安全职能部门或明确信息安全责任部门，检查相关文件。
1.10信息安全责任追究制度制定情况是否制定信息安全责任追究制度，检查相关文件。
信息安全制度建设情况1.11人员安全管理制度建设情况检查是否制定了本单位人员录用、离岗、考核、安全保密、教育培训、外来人员管理等安全管理制度，查看制度文件。
1.12机房安全管理制度建设情况检查是否对本单位机房进出人员管理和对机房进行日常监控。
1.13系统建设管理制度制定情况检查是否制定了本单位产品采购、工程实施、验收交付、服务外包等系统建设相关管理制度，查看制度文件。
网络信息安全检查表(Word)
网络信息安全检查表(Word) 网络信息安全检查表一、安全策略和政策1.1 网络安全策略制定1.1.1 制定网络安全政策的目的和范围1.1.2 定义网络安全目标和原则1.1.3 制定网络安全管理责任和权限1.2 网络安全政策的实施1.2.1 确保安全策略的有效传达和可执行性1.2.2 发布和更新网络安全政策1.2.3 安全政策的培训和宣传二、网络设备安全2.1 网络设备配置管理2.1.1 确保网络设备的合理配置2.1.2 进行网络设备的备份和恢复2.1.3 管理网络设备的固件升级2.2 网络设备访问控制2.2.1 设置访问控制列表（ACL）2.2.2 网络设备的远程管理安全三、网络传输安全3.1 加密传输协议的使用3.1.1 使用SSL/TLS保护敏感数据传输3.1.2 配置安全的虚拟专用网络（VPN）3.2 数据包过滤和防火墙3.2.1 配置数据包过滤器3.2.2 定期审查防火墙策略四、网络应用安全4.1 网络应用开发安全4.1.1 基于安全编码实践进行应用开发4.1.2 安全漏洞扫描和修补4.2 网络应用访问控制4.2.1 应用访问控制的身份认证和授权机制4.2.2 进行应用安全漏洞扫描五、人员安全管理5.1 员工安全策略和守则5.1.1 制定员工网络安全责任和义务5.1.2 安全意识培训和教育5.1.3 审计和监控员工的网络行为5.2 网络安全岗位设置和职责5.2.1 设定网络安全管理团队5.2.2 确保网络安全责任的分工和协作附件：2、网络安全政策范例法律名词及注释：1、防火墙：一种网络安全设备，用于控制网络通信的流量，防止未经授权的访问。
2、SSL/TLS：Secure Sockets Layer/Transport Layer Security，一种用于保护数据传输安全的加密协议。
3、VPN：Virtual Private Network，一种通过公共网络建立私密连接的技术。
信息安全督导检查记录表
是否□
是否单独卸载杀毒软件
是□否□
三、数据安全管理
电脑是否设置开机密码
有□ 无□
电脑开机密码复杂度是否满足要求（密码长度大于 8 位，包含大小写字母，不连续
数字，字符等）
是□否□
电脑是否设自动锁屏是□来自□是否私自接入 U 盘等移动存储设备 是否定期杀毒 远程端口是否关闭 防火墙是否开启
有□无□ 是□否□ 是□否□ 正常□不正常□
信息安全督导检查记录表
时 间： 一、硬件安全管理
科 室：
电脑是否专机专用 下班是否关闭计算机，切断电源 是否私自随意更换电脑
是□否□ 是□否□ 是□否□
是否携带电脑等网络设备私自进行安装
二、网络安全管理
是□否□
是否私自更改网络设备
是否□
是否私自更改网络接口
是□否□
是否私自使用无线网络
是□否□
是否随意接入网络设备
有无私自考取单位保密数据
四、存在的主要问题、隐患及整改建议
是□否□
检查人员签名：
五、科室整改措施
年月日
被检查科室签名：
六、整改后追踪效果评价
年月日
检查人员签名：
年月日
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
电监会对检查工作情形进行汇总和全面总结，形成电力企业信息安全检查报告并报国家网络与信息安全和谐小组办公室。
八、工作要求
1.各单位要高度重视，加大组织领导，制定检查方案，明确检查任务，落实检查责任，及时整改检查中发觉的咨询题，并将检查整改情形按时报电监会。
2.各单位要精心部署，周密安排，认真组织。关于发觉的咨询题，要找出缘故，并举一反三，连续改进。各单位要建立检查整改跟踪督办机制，力求使安全隐患都得到整改和妥善处置。
8月31日前，完成整改工作。电力（集团）公司应汇总填写本系统《电力行业信息安全检查情形报告表》和《电力企业信息安全检查项目表（2012版）》，并和自查整改情形报告一起报送电监会。关于无法及时完成整改的隐患项目，有关电力企业要讲明缘故，制定临时应急措施，并将情形讲明按时报电监会。
检查期间，电监会将组织若干专业小组对各单位进行抽查。抽查有关事项，电监会将于行前通知。
国内品牌
国外品牌
数据采集与监控（SCADA）系统
套
套
分布式操纵系统（DCS）
套
套
过程操纵系统（PCS）
套
套
可编程操纵器（PLC）
大型
台
台
中型
台
台
小型
台
台
就地测控设备
外表
台
台
智能电子设备（IED）
台
台
远端设备（RTU）
台
台
系统构成情形
应用服务器-
工程师工作站
应用软件
套
套
系统软件
套
套
PC机/服务器
台
台
数据库服务器
三、检查范畴
各电力企业运行使用的网络和信息系统，重点检查信息安全爱护等级为3级及以上的重要网络与信息系统。
四、检查方式
此次检查按照“谁主管谁负责、谁运行谁负责”的原则，采纳电力企业自查、电监会派出机构对辖区内电力企业自查情形、自查质量进行跟踪检查和电监会组织专门队伍同时进行抽查相结合的方式。
五、检查内容
6.关键信息资产管控情形。资产清单的建立情形；资产治理职责的落实情形；信息系统基础资料归档情形等。
7.信息系统建设安全治理情形。系统上线安全测评情形；等级爱护建设情形；等级爱护测评情形；信息安全风险评估开展情形；密码产品采购情形；信息产品采购测试情形；安全产品国产化情形等。
8.安全分区防备情形。安全分区情形；横向隔离及纵向认证设备部署情形；跨区连接管控情形；内外网隔离情形等。
（按实时性进行统计）
1.非实时运行的系统数量
2.实时运行的系统数量
（按服务对象进行统计）
1.面向社会公众提供服务的系统数量
2.不面向社会公众提供服务的系统数量
（按联网情形进行统计）
1.直截了当连接互联网的系统数量
2.同互联网强逻辑隔离的系统数量
3.与互联网物理隔离的系统数量
（按数据集中情形进行统计）
3.按照安全检测发觉的漏洞和隐患，分析网络与信息系统存在的安全风险，判定面临的安全威逼程度以及具备的安全防护能力，评估网络与信息系统总体安全状况。
六、检查组织
1.电监会统一组织此次信息安全检查工作，电力行业网络与信息安全领导小组办公室负责信息安全检查的日常工作。电监会各派出机构按照电监会的统一部署，负责辖区内电力企业信息安全自查督导和监督检查工作。
责任落实
组织机构职责涵盖信息安全工作的要紧方面，职责明确到责任部门、责任人员，并以正式文件形式公布。
符合/不符合判定法：
1)不符合，此项得0分；
2)符合，此项得1分。
ORG.4
专职机构及岗位设置
组织信息安全机构及岗位设置符合如下要求：1）电力企业集团公司总部设置信息安全专职机构；2）电力企业集团公司二级单位设置信息安全治理和技术岗位；3）电力企业基层单位设置信息安全岗位。
信息安全检查表
电力行业网络与信息安全检查方案
电力行业网络与信息安全领导小组办公室
二〇一二年七月
为贯彻落实《国务院办公厅关于开展重点领域网络与信息安全检查行动的通知》（国办函〔2012〕102号）要求，结合电力行业信息安全工作实际，制定电力行业网络与信息安全检查方案。
一、检查依据
1.《国务院办公厅关于开展重点领域网络与信息安全检查行动的通知》（国办函〔2012〕102号）；
9.网络安全防护情形。生产操纵大区安全防护情形；治理信息大区安全防护情形；互联网出口统一治理情形；互联网出口安全管控情形；无线网络安全防护情形等。
10.主机和设备安全防护情形。补丁更新治理情形；恶意代码防护情形；系统加固情形；办公终端管控情形；主机和设备帐号口令治理情形等。
11.应用系统和数据安全防护情形。应用系统安全功能及配置情形；对外服务系统信息监控和攻击防备情形；对外服务系统周期测试情形；应用系统账号口令治理情形；重要数据安全爱护情形等。
12.物理环境安全防护情形。机房安全建设情形等。
13.信息系统运行安全治理情形。日常爱护情形；安全审计情形；补丁治理情形；介质治理情形；安全监测情形等。
14.灾难复原情形。硬件冗余情形；定期备份情形；异地容灾中心建设情形；备份介质复原测试情形等。
15.应急治理情形。网络与信息安全信息通报情形；总体应急预案制定情形；重要信息系统应急预案制定情形；应急演练开展情形；应急资源配备情形；事故调查工作情形等。
3.由国外厂商提供运行爱护服务的重要工业操纵系统数量：套
信息安全
防护情形
1.网络边界架设网络安全设备的重要工业操纵系统数量：套
2.安装防病毒软件或设备的重要工业操纵系统数量：套
3.定期进行安全更新的重要工业操纵系统数量：套
4.采取加密措施传输、储备敏锐数据的重要工业操纵系统数量：套
电力企业信息安全检查项目表
安全状况分析结果
信息系统对国外产品和服务的依靠程度
要紧业务
对信息系统的依靠程度
信息系统
面临的安全威逼程度
信息系统
安全防护能力
信息系统名称
高
中
低
高
中
低
高
中
低
高
中
低
1.
2.
（如有更多，请另列表）
二、重要工业操纵系统安全检查情形
差不多情形
重要工业操纵系统运营单位总数：家
重要工业操纵系统总数：套
系统型情形
4)符合，此项得0.3分。
治理层
符合/不符合判定法：
5)不符合，此项得0分；
6)符合，此项得0.3分。
执行层
ORG.2
第一责任人确立
组织要紧负责人是本单位网络与信息安全的第一责任人，对本单位的网络与信息安全负全面责任。
符合/不符合判定法：
1)不符合，此项得0分；
2)符合，此项得1分。
第一责任人
ORG.3
检查组组长
检查组成员
2检查项及检查记录
2.1组织体系（ORG）
标识
检查项
检查要素
得分判定方法
检查记录
得分
备注
ORG.1
组织机构建立
组织建立了由决策层、治理层、执行层组成的完整信息安全组织机构。
符合/不符合判定法：
1)不符合，此项得0分；
2)符合，此项得0.4分。
决策层
符合/不符合判定法：
3)不符合，此项得0分；
3.资金保证情形。经费预算情形；安全运维经费投入情形；安全建设经费投入情形等。
4.人员安全治理情形。全员安全培训及保密协议签订情形；专业技能培训情形；岗位人员审查情形；岗位调整安全管控情形等。
5.服务外包管控情形。外包服务协议签订情形；第三方人员访咨询治理情形；远程服务管控情形；现场开发管控情形等。
2.《电力行业网络与信息安全监督治理暂行规定》（电监信息〔2007〕50号）。
3.《电力二次系统安全防护规定》（电监会5号令）。
二、检查目的
通过开展电力行业网络与信息安全检查，全面把握重要电力网络与信息系统差不多情形，分析面临的安全威逼和风险，评估安全防护水平，查找突出咨询题和薄弱环节，有针对性地采取防范计策和改进措施，加大网络与信息系统安全治理、技术防护和人才队伍建设，促进安全防护能力和水平提升，预防和减少重大信息安全事件的发生，切实保证电力网络与信息系统安全，爱护电力系统安全稳固运行，保证党的十八大顺利召开。
1.全国数据集中的系统数量
2.省级数据集中的系统数量
3.未进行数据集中的系统数量
（按灾备情形进行统计）
1.进行系统级灾备的系统数量
2.仅对数据进行灾备的系统数量
3.无灾备的系统数量
系统构成情形
要紧硬件和软件
服务器
路由器
交换机
防火墙
磁盘阵列
磁带库
操作系统
数据库
国内品牌数量（台/套）
国外品牌数量（台/套）
（三）存在的咨询题和面临的风险分析。
在完成差不多情形调查和安全防护情形检查的基础上，各单位要围绕着以下三个方面对存在的咨询题和面临的要紧风险进行分析。
1.当前安全治理和技术防护中的要紧咨询题及薄弱环节，制定安全防护能力提升的要紧因素（包括法律法规、政策制度、技术手段等方面）。
2.统计国外产品和服务在要紧软硬件设备和信息技术外包服务中所占的比例，分析网络与信息系统对国外产品和服务的依靠程度。
标识
检查项
检查要素
得分判定方法
检查记录
得分
备注
REG.1
整体策略及总体规划（方案）制定
组织制定了信息安全工作的整体策略和总体规划（方案），讲明信息安全工作的总体目标、范畴、防护框架和防护措施。
符合/不符合判定法：
1)不符合，此项得0分；
2)符合，此项得1分。
机构
依据企业层级选择其中之一填写。