信息系统安全等级保护检查

信息安全等级保护自查报告信息安全等级保护自查报告XX县烟草专卖局(分公司)的信息*安全建设在上级部门的关心指导下，近年取得了快速的进步和发展，实效性强，*安全防控能力大大增强。

为进一步贯彻落实行业*与信息安全各项管理规定，严格规范信息安全等级保护，提高企业对信息*安全的防控能力，保障企业信息*安全，保证公司各项办公自动化工作的正常进行，促进企业效益的稳步提升，按照《XX县人民*办公室关于开展信息*信息安全等级保护安全检查工作的通知》要求，我司组织相关人员对系统内信息*安全等级保护工作认真细致的自检自查，现将自查情况报告如下。

曲烟专司字[2004]35号《曲靖市烟草专卖局(公司)关于建设*安全系统的通知》、《曲靖烟草专卖局(公司)党政工作部关于举办*信息安全培训的通知》，市公司云曲烟办字[2004]98号《曲靖市烟草专卖局(公司)关于建设地面专网的通知》等。

第二类是各项*信息安全建设规范、技术标准及方案等，主要包括有：《云南省烟草行业信息*信息系统技术规范》两部分，《云南省烟草行业信息*系统计算机*系统建设技术规范》、《云南省烟草行业计算机*与信息安全系统建设方案》。

第三类是各类管理制度或规定，主要包括有：《云南省烟草行业信息*管理规范》、《云南省烟草行业计算机*与信息安全管理制度》、《信息化工作管理规定》的*与信息安全管理，《*建设及信息维护按理规定》、《计算机设备管理规定》、《计算机机房管理规定》及《突发信息*事件应急预案》等。

七、定期自查情况根据《永胜县人民*办公室关于开展*信息系统安全检查的通知》(永政办发〔2010〕56号)文件精神，结合我社实际，认真组织开展了信息系统的安全自查工作。

现将相关情况报告如下：一、信息系统安全检查基本情况(一)信息安全组织机构落实情况为规范信息公开工作，落实好信息安全的相关规定，我社成立了信息安全工作领导小组，落实了管理机构，由联社办公室负责信息安全的日常管理工作，明确了信息安全的主管领导、分管领导和具体管理人员。

信息安全技术信息系统安全等级保护测评要求一、概述信息安全技术作为当前社会中不可或缺的一部分，对于信息系统的安全等级保护测评要求也变得愈发重要。

信息系统安全等级保护测评是指为了评估信息系统的安全性，保障信息系统的功能和安全性，根据《信息安全技术信息系统安全等级保护测评要求》，对信息系统进行等级保护测评，明确信息系统安全等级。

二、等级划分根据我国《信息安全技术信息系统安全等级保护测评要求》，信息系统安全等级分为四个等级，分别是一级、二级、三级和四级。

每个等级都有相应的技术和管理要求，以及安全保护的措施。

在信息系统安全等级保护测评中，根据信息系统的安全等级，采用不同的测评方法和技术手段，对信息系统进行全面的评估和测试。

三、技术要求在信息系统安全等级保护测评中，技术要求是至关重要的一环。

根据《信息安全技术信息系统安全等级保护测评要求》，信息系统的技术要求包括但不限于以下几个方面：1. 安全功能要求信息系统在进行测评时，需要满足一定的安全功能要求。

对于不同等级的信息系统，需要有相应的访问控制、身份认证、加密通信等安全功能，以确保系统的安全性。

2. 安全性能要求信息系统的安全性能也是非常重要的。

在信息系统安全等级保护测评中，需要对系统的安全性能进行评估，包括系统的稳定性、可靠性、容错性等方面。

3. 鉴别技术要求鉴别技术是信息系统安全等级保护测评中的关键环节。

通过鉴别技术对信息系统进行鉴别，以确定系统的真实性和完整性，防止系统被篡改和伪造。

4. 安全风险评估要求在信息系统安全等级保护测评中，需要进行全面的安全风险评估，包括对系统可能存在的安全威胁和漏洞进行评估，以及制定相应的安全保护措施和应急预案。

四、管理要求除了技术要求之外，信息系统安全等级保护测评还需要满足一定的管理要求。

管理要求主要包括以下几个方面：1. 安全管理体系要求信息系统安全等级保护测评需要建立健全的安全管理体系，包括安全管理策略、安全管理制度、安全管理流程等，以确保信息系统的安全性。

信息系统安全等级保护三级评测内容信息系统安全等级保护二级评测内容等级保护自上而下分别为：类、控制点和项。

其中，类表示《信息系统安全等级保护基本要求》在整体上大的分类，其中技术部分分为：物理安全、网络安全、主机安全、应用安全和数据安全及备份恢复等5大类，管理部分分为: 安全管理制度、安全管理机构、人员安全管理、系统建设管理和系统运维管理等5大类，一共分为10大类。

控制点表示每个大类下的关键控制点，如物理安全大类中的“物理访问控制”作为一个控制点。

而项则是控制点下的具体要求项，如“机房出入应安排专人负责，控制、鉴别和记录进入的人员。

”根据等级保护第二级的基本要求，在物理安全、网络安全、主机系统安全、应用安全、数据安全及备份恢复、安全管理等几方面目前的安全现状进行分析检测。

物理安全对象主要为中心机房、重要设备存放物理位置等。

指标及检测内容:网络安全对象包括：网络结构、交换机、防火墙。

指标及检测内容：主机系统安全对象包括：服务器、数据库管理系统。

指标及检测内容：信息系统安全等级保护基本要求-主机安全应用安全对象：网络内运行的信息系统。

指标及检测内容信息系统安全等级保护基本要求-应用安全信息系统安全等级保护基本要求-应用安全信息系统安全等级保护基本要求-应用安全发会话连接数进行限制；C）应能够对单个帐户的多重并发会话进行限制。

数据安全及备份恢复对象包括信息系统以及安全设备、网络设备等指标及检查表：安全管理制度安全管理机构信息系统安全等级保护基本要求-安全管理机构人员安全管理系统建设管理系统运维管理2.5.3 介质管理(G2 )2.5.4 设备管理（G2a）应对信息系统相关的各种设备（包括备份和冗余设备）、线路等指定专门的部门或人员定期进行维护管理；b）应建立基于申报、审批和专人负责的设备安全管理制度，对信2.5.5 网络全理G2日常维护和报警信息分析和处理息系统的各种软硬件设备的选型、采购、发放和领用等过程进行规范化管理；C）应对终端计算机、工作站、便携机、系统和网络等设备的操作和使用进行规范化管理，按操作规程实现主要设备（包括备份和冗余设备）的启动/停止、加电/ 断电等操作；d）应确保信息处理设备必须经过审批才能带离机房或办公地点。

篇⼀：信息安全等级保护⾃查报告 XX县烟草专卖局(分公司)的信息络安全建设在上级部门的关⼼指导下，近年取得了快速的进步和发展，实效性强，络安全防控能⼒⼤⼤增强。

为进⼀步贯彻落实⾏业络与信息安全各项管理规定，严格规范信息安全等级保护，提⾼企业对信息络安全的防控能⼒，保障企业信息络安全，保证公司各项办公⾃动化⼯作的正常进⾏，促进企业效益的稳步提升，按照《XX县⼈民政府办公室关于开展信息络信息安全等级保护安全检查⼯作的通知》要求，我司组织相关⼈员对系统内信息络安全等级保护⼯作认真细致的⾃检⾃查，现将⾃查情况报告如下。

⼀、等级保护⼯作部署和组织实施情况 XX县烟草公司企业信息化建设在市局(公司)的统⼀领导下，按照“统⼀络、统⼀平台、统⼀数据库”的要求，以打造“数字烟草”为战略⽬标，以“系统集成、资源整合、信息共享”为⼯作⽅针，取得了快速的发展，在积极推进企业信息化建设的过程中，更加重视络信息的安全建设⼯作。

从省公司到市公司、县公司，领导⾼度重视，统⼀规划，统⼀标准，同步实施。

⾸先是逐级成⽴了领导⼩组和职能部门，XX分公司按照上级部门要求，2000年11⽉成⽴了信息化领导⼩组，下设信息办在公司办公室，并设置了计算机系统管理员岗位，明确了各⾃的职责。

由于络推⼴应⽤迅速，2005年重新更设了计算机络信息中⼼，旨在强化对企业的络建设和络安全管理。

在历次的机构设置中，都明确了分公司主要领导分管信息⼯作，把络信息安全的建设与管理摆到了企业各项⼯作的重要位置中来，表明了企业对信息化建设、络安全管理的⾼度重视和决⼼。

其次是对⾏业的络安全建设⾼瞻远瞩、统⼀标准、规范运作、务求实效。

先后省公司下发了《云南省烟草专卖局关于建设云南省⾏业计算机络与信息安全系统的通知》，对全⾏业的络信息安全建设作了明确、细致的规定，制定了⾼效规范的《云南省烟草⾏业计算机络与信息安全系统建设⽅案》，统⼀在全系统范围内实施。

随后市局公司⼜下发了《曲靖市烟草专卖局(公司)关于建设络安全系统的通知》，对各分公司的络安全建设作了具体的安排部署。

公安机关信息安全等级保护检查工作规范（试行）第一条为规范公安机关公共信息网络安全监察部门开展信息安全等级保护检查工作，根据《信息安全等级保护管理办法》（以下简称《管理办法》），制定本规范。

第二条公安机关信息安全等级保护检查工作是指公安机关依据有关规定，会同主管部门对非涉密重要信息系统运营使用单位等级保护工作开展和落实情况进行检查，督促、检查其建设安全设施、落实安全措施、建立并落实安全管理制度、落实安全责任、落实责任部门和人员。

第三条信息安全等级保护检查工作由市（地）级以上公安机关公共信息网络安全监察部门负责实施。

每年对第三级信息系统的运营使用单位信息安全等级保护工作检查一次，每半年对第四级信息系统的运营使用单位信息安全等级保护工作检查一次。

第四条公安机关开展检查工作，应当按照“严格依法，热情服务”的原则，遵守检查纪律，规范检查程序，主动、热情地为运营使用单位提供服务和指导。

第五条信息安全等级保护检查工作采取询问情况，查阅、核对材料，调看记录、资料，现场查验等方式进行。

第六条检查的主要内容：（一）等级保护工作组织开展、实施情况。

安全责任落实情况，信息系统安全岗位和安全管理人员设置情况；（二）按照信息安全法律法规、标准规范的要求制定具体实施方案和落实情况；（三）信息系统定级备案情况，信息系统变化及定级备案变动情况；（四）信息安全设施建设情况和信息安全整改情况；（五）信息安全管理制度建设和落实情况；（六）信息安全保护技术措施建设和落实情况；（七）选择使用信息安全产品情况；（八）聘请测评机构按规范要求开展技术测评工作情况，根据测评结果开展整改情况；（九）自行定期开展自查情况；（十）开展信息安全知识和技能培训情况。

第七条检查项目：（一）等级保护工作部署和组织实施情况1．下发开展信息安全等级保护工作的文件，出台有关工作意见或方案，组织开展信息安全等级保护工作情况。

2．建立或明确安全管理机构，落实信息安全责任，落实安全管理岗位和人员。

信息系统安全等级保护测评要求
一、简介
信息系统安全、个人隐私保护和网络安全问题一直是个热点和特殊的研究课题，也是
信息技术世界范围内备受关注的热点。

信息系统安全等级保护（Information System Security Level Protection, ISSLP）测评是一项用来评估信息系统安全水平的评估方法，目的是为信息系统提供安全、可靠保护，防止网络安全攻击和信息泄露。

本文结合安全自
评和安装者评价两个方面，系统总结以下ISSLP测评要求。

二、ISSLP测评要求
1)安全自评：
（1）组织安全管理体系：包括安全系统结构、人员应聘、培训和定期评审、安全管
理架构和流程、安全风险管理体系和安全配置管理。

（2）数据安全性：需要检查系统数据存储、采集和处理能力以及安全加密算法等。

（3）网络安全性：需要检查系统的防火墙、虚拟隔离、网络监控、日志分析等。

2)安全第三方评价：
（1）程序测试：包括对系统程序行为的测试和检查，监督操作，及时发现系统、应
用程序和数据库中可能存在的安全问题。

（2）静态测试：针对需要安全和可靠性测试的技术安全策略，进行程序漏洞分析，
安全漏洞识别，安全破坏分析，保护系统安全等测试。

（3）动态测评：用来评估系统应付攻击环境下的实际可靠性，系统能否充分实现安
全要求，避免恶意行为攻击对安全造成损害。

三、结论
ISSLP测评为了防止安全攻击和信息系统的安全威胁，提出了许多有用的安全措施。

系统架构，数据安全性，网络安全配置，程序测试，静态测试，动态验证等都需要定期检
查和测评，以确保信息系统的安全和可靠性。

公安机关信息安全等级保护检查工作规范（试行）第一条为规范公安机关公共信息网络安全监察部门开展信息安全等级保护检查工作，根据《信息安全等级保护管理办法》（以下简称《管理办法》），制定本规范。

第二条公安机关信息安全等级保护检查工作是指公安机关依据有关规定，会同主管部门对非涉密重要信息系统运营使用单位等级保护工作开展和落实情况进行检查，督促、检查其建设安全设施、落实安全措施、建立并落实安全管理制度、落实安全责任、落实责任部门和人员。

第三条信息安全等级保护检查工作由市（地）级以上公安机关公共信息网络安全监察部门负责实施。

每年对第三级信息系统的运营使用单位信息安全等级保护工作检查一次，每半年对第四级信息系统的运营使用单位信息安全等级保护工作检查一次。

第四条公安机关开展检查工作，应当按照“严格依法，热情服务”的原则，遵守检查纪律，规范检查程序，主动、热情地为运营使用单位提供服务和指导。

第五条信息安全等级保护检查工作采取询问情况，查阅、核对材料，调看记录、资料，现场查验等方式进行。

第六条检查的主要内容：（一）等级保护工作组织开展、实施情况。

安全责任落实情况，信息系统安全岗位和安全管理人员设置情况；（二）按照信息安全法律法规、标准规范的要求制定具体实施方案和落实情况；（三）信息系统定级备案情况，信息系统变化及定级备案变动情况；（四）信息安全设施建设情况和信息安全整改情况；（五）信息安全管理制度建设和落实情况；（六）信息安全保护技术措施建设和落实情况；（七）选择使用信息安全产品情况；（八）聘请测评机构按规范要求开展技术测评工作情况，根据测评结果开展整改情况；（九）自行定期开展自查情况；（十）开展信息安全知识和技能培训情况。

第七条检查项目：（一）等级保护工作部署和组织实施情况1．下发开展信息安全等级保护工作的文件，出台有关工作意见或方案，组织开展信息安全等级保护工作情况。

2．建立或明确安全管理机构，落实信息安全责任，落实安全管理岗位和人员。