梧州市地震局网站
当前位置:首页 > 信息公开 > 公告公示

梧州市地震监测中心2019年网络安全检查总结报告

2019-07-04 17:14     来源:梧州市地震局
【字体: 打印

根据中共梧州市委网络安全和信息化委员会办公室《关于开展2019年梧州市关键信息基础设施网络安全检查工作的通知》(梧网办发〔2019〕2号),我中心结合实际,对中心网络安全执法检查情况进行了自查自检,现将检查情况总结如下:

一、网络安全检查工作组织开展情况

根据机构改革情况,我中心调整了原网络安全工作领导小组,由中心主任万桂勇同志任组长,分管网络安全工作领导黄建安副主任任副组长,各科室均安排有兼职的信息安全员,网络安全机构健全。同时将中心网络安全工作领导小组办公室设置于中心办公室,由黄斓同志牵头负责网络安全日常各项工作。单位日常网络安全管理到位,建立了相关人员的责任、保密制度,签订了安全保密协议,制定了各项安全管理规定;网络安全应急管理工作开展顺利,制定了网络安全应急预案,重要的数据均已备份,该中心人员均接受过网络安全的相关教育培训,达到培训普及面100%。

根据相关文件要求,我中心领导小组坚持“谁主管谁负责、谁运行谁负责、谁使用谁负责”的原则,对所要检查的科室、范围及具体要求等作了认真的检查,具体内容主要包括:梧州市地震应急指挥中心系统、我局网络方面的规章制度、安全组织及职责、单位人员管理、体系结构、网络安全、设备和操作系统安全、应用系统安全、数据安全、物理环境安全、应急响应和灾难恢复等情况。

二、2019年信息安全主要工作情况

(一)系统基本情况。

1. 我中心信息公开所使用的梧州市应急管理局门户网站系统为实时系统并对外面向社会公众公开,由于该系统的相关服务器、软硬件设备设施均未设置在我中心,我中心只负责后台登陆进行信息更新工作。相关软硬件设置情况以广西政府网站信息资源库为准。

2. 梧州市地震应急指挥中心系统为实时系统,其与国家地震应急指挥中心系统、自治区地震应急指挥中心系统相连接,系统的服务器及相关软硬件设备设施均由自治区地震局统一采购、配置、安装或在自治区地震局指导下采购、配置,由自治区地震局有关技术专家协助安装,我中心在自治区地震局相关业务处室技术支持下负责完成该系统日常运维使用工作。由于系统部分数据的保密性质,该系统不面向社会公众开放,仅服务于地震系统内部。自治区地震局统一安装的系统设备在连接内部网时采用了逻辑隔离措施,相关数据不集中,我中心对该系统数据实施定期灾备措施。

(二)系统构成情况。

经过对梧州市地震应急指挥中心系统的检查,明确该系统使用有:国产曙光服务器4台,IBM服务器2台,国外H3C路由器1台,国外H3C交换机2台,使用国内神州数码防火墙和华为数码防火墙。

(三)系统软件情况。

梧州市地震应急指挥中心系统的6台服务器均使用国外Windows操作系统,3个数据库均使用国外SQL Server数据库,其办公软件均使用office办公软件。

(四)网络信息系统技术外包服务情况。

我中心未与外部专业机构形成网络系统外包服务。梧州市地震应急指挥中心相关软件系统的管理是采用由自治区地震局应急指挥中心技术人员协助,我中心科技宣传科管理人员进行日常运维管理的方式。

(五)网络安全责任制建立及落实情况。

为做好本单位网络安全各项工作,在本单位机构改革基本落定后,我中心调整了原网络安全工作领导小组,现由中心主任万桂勇同志任组长,分管网络安全工作领导黄建安副主任任副组长,各科室均安排有兼职的信息安全员,网络安全机构健全。同时将中心网络安全工作领导小组办公室设置于中心办公室负责网络安全日常各项工作(由于专业及编制数等限制,目前我局无专职的信息安全员)。本单位岗位信息安全责任相关制度均已制定并实施,工作成效良好,网络由开始运维使用至今,我中心未发生过网络安全责任事故。

(六)日常安全管理制度建立及落实情况。

单位日常网络信息安全管理到位,各项制度较为全面完善。人员管理方面,由本单位科技宣传科统一按照相关制度要求开展单位网络信息管理工作,人员离岗离职须按照相关制度进行移交、交接,确保重要网络信息不泄露,同时外部人员访问单位机房也按制度要求进行了审批登记;资产管理方面,我中心建立了资产管理系列制度,安排了专人负责资产的登记、使用、维护等管理;存储介质管理方面,我中心按照单位存储介质管理制度的相关要求,统一由有关科(室)主要负责人负责存储介质的管理,做到存储介质使用过程有登记、维修报废有记录;运行维护管理方面,我中心指定科技宣传科按照自治区地震局及单位的网络日常运维制度、手册要求对两个网络开展日常运维工作并做好运维记录,保障网络能够负责在任何时候都能有效安全运转;人员培训工作方面,我中心于每年年初制定网络安全工作年度工作计划及培训计划,并在每年年底完成一次网络信息安全突发事件演练。近年我中心网络信息安全教育覆盖率均为100%。

(七)网络信息安全经费投入情况。

我中心将信息安全防护设施建设、运行、维护、检查和管理等费用纳入到本单位的财政预算中,2019年我中心用于市地震应急指挥中心系统的运维经费及设备更新升级费用预算达2余万元,通过对网络运维经费的保障,为我中心网络安全工作创造了良好的条件。

(八)技术防护情况。

根据自治区地震局统一安装、配置的设备设施,架设在我中心的梧州市地震应急指挥中心系统是采用1M带宽的联通宽带连接自治区地震局到梧州段入口的数据,1M带宽的电信宽带连接梧州段入口到市地震应急指挥中心系统的数据。其基本防护情况为:网络边界安全域隔离防护为无隔离,防护措施只采取了访问控制手段;服务器安全策略、网络设备安全策略、安全设备安全策略、应用系统安全策略均使用默认设置;重要数据防护中传输防护与存储防护均未加密,数据备份采用本地备份措施,网络未使用密码技术防护产品。

(九)应急处置和容灾备份情况。

根据实际情况,我中心制定了《梧州市地震监测中心网络安全管理应急预案》,有效处置我中心地震应急指挥中心系统与单位门户网站等信息的安全性与可靠性,并于每年组织一次信息安全应急演练工作;对于梧州市地震应急指挥中心系统的重要数据与重要信息资料我中心都有进行系统及数据的定期备份,同时不断地健全的灾难备份系统、完善的灾难备份恢复计划,以降低或消除各种灾难对正常工作的影响;因编制少、专业人员缺乏等原因,目前我中心内部无网络安全应急专业队伍,同时由于梧州市地震应急指挥中心系统是由自治区地震局统一开展运维工作的,因此我中心也未与外部应急专业机构签订服务协议或合同,该系统的服务器备机备件是由我中心向自治区地震局报告后,联系设备生产商提供。

三、网络安全等级保护等级备案情况

(一)梧州市地震监测中心公开信息的主要渠道是:梧州市应急管理局政府门户网站系统,其所依托的服务器由自治区统一管理,使用的是广西政府网站信息资源库,服务器及其软硬件设备设施均安装在自治区相关委托部门,本单位信息工作人员主要负责后台登陆梧州市应急管理局政府门户网站进行信息更新工作。因此,该系统应由上级部门统一向公安机关进行定级备案。

(二)根据《信息安全等级保护管理办法》、《网络安全保护等级定级指南》(GB/T 22240-2008)的相关要求,我中心的梧州市地震应急指挥中心系统保护等级评定为二级。

系统服务被破坏时所侵害的客体

对相应客体的侵害程度

一般损害

严重损害

特别严重损害

公民、法人和其他组织的合法权益

第一级

第二级

第二级

社会秩序、公共利益

第二级

第三级

第四级

国家安全

第三级

第四级

第五级

四、重要网络开展等级测评和安全建设整改情况

由于我中心的梧州市地震应急指挥中心系统保护等级评定为二级,且梧州市应急管理局门户网站系统由梧州市应急管理局统一向公安机关进行定级备案,因此我中心在使用的两个网络均不需安排等级测评工作。

五、信息安全产品使用、等级保护自查整改等情况
    由于我中心使用中的梧州市地震应急指挥中心系统软硬件设备设施均由自治区地震局统一采购、配置、安装,因此我中心未另外使用信息安全产品。

我中心等级保护自查工作由中心政府网络安全工作领导小组组织部署,由本单位科技宣传科牵头开展落实。目前我中心未接收过公安机关的关于网络等级保护的相关反馈意见或整改通知书。网络正式运维使用至今,我中心从未发生过重大信息安全事件(事故)。

六、信息安全检查发现的主要问题及威胁分析

(一)目前存在的问题

1、无专业的网络安全技术管理人员及专业应急支援队伍;

2、信息安全管理规章制度仍需进一步完善;

3、防病毒系统更新、升级滞后,整体运行不够稳定,网络存在一定的感染计算机病毒的风险隐患。

(二)主要威胁分析

我中心所有终端计算机与服务器的品牌、防火墙、杀毒软件等,皆为国产产品,国产率使用为100%,终端计算机与服务器的操作系统、交换机、路由器、数据库分别为国外产品Windows操作系统、H3C交换机、H3C路由器、SQL Seever数据库,国产率使用为0%,办公软件均为微软正版office,杀毒软件均为国产正版360杀毒软件;公文收发软件、档案管理系统、人事管理系统、保密专用设备等皆为市委、市政府统一指定产品系统。

从上分析,我中心评估本单位网络的总体安全状况为:对国外产品和服务的依赖程度不高,国外产品和服务对我中心网络与办公的运行影响较小,系统安全防护能力为中等,系统面临的安全威胁程度为低。

七、下一步整改措施

针对以上自查中发现的隐患与不足,为进一步加强网络安全,我中心把重点放在完善规章制度、丰富技术手段上下功夫,认真开展各项整改工作:

一是依据《国家信息安全技术标准规范》,结合我市网络安全检查工作目录,再次检查规章制度各个环节的安全策略与安全制度,并对其中不完善部分进行了重新修订与修改;

二是组织网络使用人员开展多种形式的网络安全知识学习、培训,进一步强化相关工作人员安全意识的教育工作,加强设备安全巡检,防患于未然;

三是继续完善《梧州市地震监测中心网络安全管理应急预案》及相关网络安全应急预案,使之适应信息技术发展的新要求;

四是确保客户端防病毒系统的正确有效,确保安全补丁的及时更新升级;

五是进一步强化网络客户端安全监控及授权管理,确保系统安全。

 

梧州市地震监测中心

2019年7月2日

相关链接