安全状况调查表

安全状况调查表安全状况调查表 1.1. 安全治理机构安全治理机构 安全组织体系是否健全，治理职责是否明确，安全治理机构岗位 设置、人员配备是否充分合理。 序号 1. 检查项 信息安全治理机构设 置 结果 □ 以下发公文方式正式设置了信息安全治理工作的专 门职能机构。 □ 设立了信息安全治理工作的职能机构，但还不是专门 的职能机构。 □ 其它。 2.信息安全治理职责分 工情形 □ 信息安全治理的各个方面职责有正式的书面分工，并 明确具体的责任人。 □ 有明确的职责分工，但责任人不明确。 □ 其它。 3.人员配备□ 配备一定数量的系统治理人员、网络治理人员、安全 治理人员等; 安全治理人员不能兼任网络治理员、系统 治理员、数据库治理员等。 □ 配备一定数量的系统治理人员、网络治理人员、安全 治理人员等，但安全治理人员兼任网络治理员、系统治 理员、数据库治理员等。 □ 其它。 4.关键安全治理活动的 授权和审批 □ 定义关键安全治理活动的列表，并有正式成文的审批 程序，审批活动有完整的记录。 □ 有正式成文的审批程序，但审批活动没有完整的记 录。 □ 其它。 5.与外部组织沟通合作□ 与外部组织建立沟通合作机制，并形成正式文件和程 序。 □ 与外部组织仅进行了沟通合作的口头承诺。 备注 □ 其它。 6.与组织机构内部沟通 合作 □ 各部门之间建立沟通合作机制，并形成正式文件和程 序 。 □ 各部门之间的沟通合作基于惯例，未形成正式文件和 程序。 □ 其它。 2.2. 安全治理制度安全治理制度 安全策略及治理规章制度的完善性、可行性和科学性的有关规章 制度的制定、公布、修订及执行情形。 1 检查项 信息安全策略 结果 □ 明确信息安全策略，包括总体目标、范畴、原则和安全框架 等内容。 □ 包括相关文件，但内容覆盖不全面。 □ 其它 2安全治理制度□ 安全治理制度覆盖物理、网络、主机系统、数据、应用、建 设和治理等层面的重要治理内容。 □ 有安全治理制度，但不全而面。 □ 其它。 3操作规程□ 应对安全治理人员或操作人员执行的重要治理操作建立操 作规程。 □ 有操作规程，但不全面。 □ 其它。 4安全治理制度 的论证和审定 □ 组织相关人员进行正式的论证和审定，具备论证或审定结 论。 备注 □ 其它。 5安全治理制度 的公布 6安全治理制度 的爱护 □ 文件公布具备明确的流程、方式和对象范畴。 □ 部分文件的公布不明确。 □ 其它。 □ 有正式的文件进行授权专门的部门或人员负责安全治理制 度的制定、储存、销毁、版本操纵，并定期评审与修订。 □ 安全治理制度分散治理，缺乏定期修订。 □ 其它。 7执行情形□ 所有操作规程的执行都具备详细的记录文档。 □部分操作规程的执行都具备详细的记录文档。 □ 其它。 3.3. 人员安全治理人员安全治理 人员的安全和保密意识教育、安全技能培训情形，重点、敏锐岗 位人员有无专门治理措施以及对外来人员的治理情形。 序号 1. 检查项 重点、敏锐 岗位人员录 用和审查 2保密协议的 签 署 3人员离岗 结果 □ 为与信息安全紧密相关的重点、敏锐岗位人员制定专门的录用要 求。对被录用人的身份、背景和专业资格进行审查，对技术人员的 技术技能进行考核，有严格的制度规定要求。 □ 其它。 □ 与从事关键岗位的人员签署保密协议， 包括保密范畴、 保密责任、 违约责任、协议的有效期限和责任人签字等内容。 □ 其它。 □ 规范人员离岗过程，有具体的离岗操纵方法，及时终止离岗人员 的所有访问权限并取回各种身份证件、钥匙、徽章等以及机构提供 备注 的软硬件设备。 □ 其它。 4安全意识教 育 □ 依照岗位要求进行有针对性的信息安全意识培训。 □ 未依照岗位要求进行有针对性的信息安全意识培训，仅开展全员 安全意识教育。 □ 其它。 5安全技能培 训 □ 制定了有针对性的安全技能培训打算，培训内容包含信息安全基 础知识、岗位操作规程等，并认真实施，而且有培训记录。 □ 安全技能培训针对性不强，成效不显著。 □ 其它。 6在岗人员考 核 □ 定期对所有人员进行安全技能及安全知识的考核，对重点、敏锐 岗位的人员进行全面、严格的安全审查。 □ 仅对重点、敏锐岗位的人员进行全面、严格的安全审查，未普及 到全员。 □ 其它。 7惩戒措施□ 告知人员相关的安全责任和惩戒措施，并对违反违抗安全策略和 规定的人员进行惩戒。 □ 有惩戒措施，但成效不佳。 □ 其它。 8外部人员访 问治理 □ 外部人员访问受控区域前得到授权或审批，批准后由专人全程陪 同或监督，并登记备案。 □ 外部人员访问受控区域前得到授权或审批，但不能全程陪同或监 督。 □ 其它。 4. 系统建设治理 关键资产采购时是否进行了安全性测评，对服务机构和人员的保 密约束情形如何，在服务提供过程中是否采取了管控措施。 信息系统 开发过程中设计、开发和验收的治理情形。 序号 1 检查项 关键资产采 购时进行安 全性测评 结果 □相关专门部门负责产品的采购，产品的选用符合 国家的有关规定。资产采购之前进行选型测试，确定产品的候选范 畴，具有产品选型测试结果、候选产品名单审定记录或更新的候选 产品名单，通过主管信息安全领导批准。 □ 专门部门负责产品的采购，产品的选用符合国家的有关规定。 □ 关键资产采购未进行安全性测试或未通过主管信息安全领导批 准。 2服务机构和 人员的选择 □ 在具有资格的服务机构中进行选择，通过内 部和专家的评选。对服务机构的人员，审查其所具有的资格。 □ 对服务机构的能力进行了详细的审查。 □ 服务机构和人员的选择未通过审查和选择。 3保密约束□ 签订的安全责任合同书或保密协议包含服务内容、保密范畴、安 全责任、违约责任、协议的有效期限和责任人的签字等。定期考察 其服务质量和保密情形。 □ 签订的安全责任合同书或保密协议明确规定各项内容。但无监督 考察机制。 □ 未签订合约或签订了安全责任合同书或保密协议，但服务范畴、 安全责任等未明确规定。 4服务管控措 施 □ 制定了详细的服务审核要求和规范。对服务提供过程中的重要操 作进行审核，并要求服务机构定期提供服务的情形汇总。每半年组 织内部检查，审查服务机构的服务质量。 □ 定期进行检查。但缺乏规范的检查内容和要求。 □ 未采纳任何管控措施。 5系统安全方 案制定 □ 依照信息系统安全保证要求，书面形式加以描述，形成能指导安 全系统建设、安全产品采购和使用的详细设计方案，并通过专家论 备注 证和审定。 □ 形成能指导安全系统建设、 安全产品采购和使用的概要设计方案， 内部相关部门审定。 □ 缺乏体系化的安全方案。 6信息系统开 发 □ 依照软件开发治理制度，各类开发文档齐全，信息系统均通过功 能、安全测试，并形成测试报告。 □ 开发文档不全面，仅在内部进行功能测试。 □ 无开发文档，或外包开发，没有源代码或有源代码但未通过全面 的安全测试。 7信息系统建 设实施过程 进度和质量 操纵 8.信息系统验 收 □ 制定验收方案，组织相关部门和相关人员对系统测试验收报告进 行审定，详细记录验收结果，形成验收报告。重要的信息系统在验 收前，组织专业的第三方测评机构进行测评。 □ 组织了验收