⑴ 簡述網路安全的相關評估標准.
1 我國評價標准
1999年10月經過國家質量技術監督局批准發布的《計算機信息系統安全保護等級劃分准則》將計算機安全保護劃分為以下5個級別。
l 第1級為用戶自主保護級（GB1安全級）：它的安全保護機制使用戶具備自主安全保護的能力，保護用戶的信息免受非法的讀寫破壞。
l 第2級為系統審計保護級（GB2安全級）：除具備第一級所有的安全保護功能外，要求創建和維護訪問的審計跟蹤記錄，使所有的用戶對自己的行為的合法性負責。
l 第3級為安全標記保護級（GB3安全級）：除繼承前一個級別的安全功能外，還要求以訪問對象標記的安全級別限制訪問者的訪問許可權，實現對訪問對象的強制保護。
l 第4級為結構化保護級（GB4安全級）：在繼承前面安全級別安全功能的基礎上，將安全保護機制劃分為關鍵部分和非關鍵部分，對關鍵部分直接控制訪問者對訪問對象的存取，從而加強系統的抗滲透能力。
l 第5級為訪問驗證保護級（GB5安全級）：這一個級別特別增設了訪問驗證功能，負責仲裁訪問者對訪問對象的所有訪問活動。
我國是國際標准化組織的成員國，信息安全標准化工作在各方面的努力下正在積極開展之中。從20世紀80年代中期開始，自主制定和採用了一批相應的信息安全標准。但是，應該承認，標準的制定需要較為廣泛的應用經驗和較為深入的研究背景。這兩方面的差距，使我國的信息安全標准化工作與國際已有的工作相比，覆蓋的范圍還不夠大，宏觀和微觀的指導作用也有待進一步提高。
2 國際評價標准
根據美國國防部開發的計算機安全標准——可信任計算機標准評價准則（Trusted Computer Standards Evaluation Criteria，TCSEC），即網路安全橙皮書，一些計算機安全級別被用來評價一個計算機系統的安全性。
自從1985年橙皮書成為美國國防部的標准以來，就一直沒有改變過，多年以來一直是評估多用戶主機和小型操作系統的主要方法。其他子系統（如資料庫和網路）也一直用橙皮書來解釋評估。橙皮書把安全的級別從低到高分成4個類別：D類、C類、B類和A類，每類又分幾個級別，如表1-1所示。
表 安全 級 別
類 別
級 別
名 稱
主 要 特 征
D
D
低級保護
沒有安全保護
C
C1
自主安全保護
自主存儲控制
C2
受控存儲控制
單獨的可查性，安全標識
B
B1
標識的安全保護
強制存取控制，安全標識
B2
結構化保護
面向安全的體系結構，較好的抗滲透能力
B3
安全區域
存取監控、高抗滲透能力
A
A
驗證設計
形式化的最高級描述和驗證
D級是最低的安全級別，擁有這個級別的操作系統就像一個門戶大開的房子，任何人都可以自由進出，是完全不可信任的。對於硬體來說，沒有任何保護措施，操作系統容易受到損害，沒有系統訪問限制和數據訪問限制，任何人不需任何賬戶都可以進入系統，不受任何限制可以訪問他人的數據文件。屬於這個級別的操作系統有DOS和Windows 98等。
C1是C類的一個安全子級。C1又稱選擇性安全保護（Discretionary Security Protection）系統，它描述了一個典型的用在UNIX系統上安全級別。這種級別的系統對硬體又有某種程度的保護，如用戶擁有注冊賬號和口令，系統通過賬號和口令來識別用戶是否合法，並決定用戶對程序和信息擁有什麼樣的訪問權，但硬體受到損害的可能性仍然存在。
用戶擁有的訪問權是指對文件和目標的訪問權。文件的擁有者和超級用戶可以改變文件的訪問屬性，從而對不同的用戶授予不通的訪問許可權。
C2級除了包含C1級的特徵外，應該具有訪問控制環境（Controlled Access Environment）權力。該環境具有進一步限制用戶執行某些命令或者訪問某些文件的許可權，而且還加入了身份認證等級。另外，系統對發生的事情加以審計，並寫入日誌中，如什麼時候開機，哪個用戶在什麼時候從什麼地方登錄，等等，這樣通過查看日誌，就可以發現入侵的痕跡，如多次登錄失敗，也可以大致推測出可能有人想入侵系統。審計除了可以記錄下系統管理員執行的活動以外，還加入了身份認證級別，這樣就可以知道誰在執行這些命令。審計的缺點在於它需要額外的處理時間和磁碟空間。
使用附加身份驗證就可以讓一個C2級系統用戶在不是超級用戶的情況下有權執行系統管理任務。授權分級使系統管理員能夠給用戶分組，授予他們訪問某些程序的許可權或訪問特定的目錄。能夠達到C2級別的常見操作系統有如下幾種：
（1）UNIX系統；
（2）Novell 3.X或者更高版本；
（3）Windows NT，Windows 2000和Windows 2003。
B級中有三個級別，B1級即標志安全保護（Labeled Security Protection），是支持多級安全（例如：秘密和絕密）的第一個級別，這個級別說明處於強制性訪問控制之下的對象，系統不允許文件的擁有者改變其許可許可權。
安全級別存在秘密和絕密級別，這種安全級別的計算機系統一般在政府機構中，比如國防部和國家安全局的計算機系統。
B2級，又叫結構保護（Structured Protection）級別，它要求計算機系統中所有的對象都要加上標簽，而且給設備（磁碟、磁帶和終端）分配單個或者多個安全級別。
B3級，又叫做安全域（Security Domain）級別，使用安裝硬體的方式來加強域的安全，例如，內存管理硬體用於保護安全域免遭無授權訪問或更改其他安全域的對象。該級別也要求用戶通過一條可信任途徑連接到系統上。
A級，又稱驗證設計（Verified Design）級別，是當前橙皮書的最高級別，它包含了一個嚴格的設計、控制和驗證過程。該級別包含較低級別的所有的安全特性。
安全級別設計必須從數學角度上進行驗證，而且必須進行秘密通道和可信任分布分析。可信任分布（Trusted Distribution）的含義是：硬體和軟體在物理傳輸過程中已經受到保護，以防止破壞安全系統。橙皮書也存在不足，TCSEC是針對孤立計算機系統，特別是小型機和主機系統。假設有一定的物理保障，該標准適合政府和軍隊，不適合企業，這個模型是靜態的。
⑵ 風險評估報告內容
風險評估報告內容
風險評估報告內容，隨著社會不斷地進步，報告的用途越來越大，其在寫作上具有一定的竅門。那麼什麼樣的報告才是有效的呢？下面一起來卡看看風險評估報告內容怎麼寫。
風險評估（Risk Assessment） 是指，在風險事件發生之後，對於風險事件給人們的生活、生命、財產等各個方面造成的影響和損失進行量化評估的工作。 風險評估報告是對信息資產面臨的威脅、存在的弱點、造成的影響，以及三者綜合作用而帶來風險的可能性的評估。作為風險管理的基礎，風險評估是組織確定信息安全需求的一個重要途徑，屬於組織信息安全管理體系策劃的過程。
報告內容
風險評估報告，是專業評估人員根據項目主辦單位提供的項目可行性研究報告，通過對目標項目的全面調查、綜合分析和科學判斷，確定目標項目是否可行的經濟文書。它是項目主管部門決定項目取捨的重要依據，是銀行向項目主辦方提供資金保障的有力憑證，也是項目建設施工過程中必需的指導文件。
一般由作為項目評估方的國家項目管理部門或者項目主辦方的上級部門，組織有關專家，或者授權委託專業咨詢公司、意向上為目標項目提供貸款的銀行來實施項目評估並製作項目評估報告。
種類
風險評估報告的種類
1、投資風險評估報告；
2、企業風險評估報告；
3、項目風險評估報告；
4、合規風險評估報告；
5、銀行風險評估報告；
6、信息安全風險評估報告；
7、法律風險評估報告。
投資風險評估報告
項目投資風險評估風險評估的重要組成部分。
項目投資風險評估報告是分析確定風險的過程，在國際投資領域中，為減少投資人的投資失誤和風險，每一次投資活動都必須建立一套科學的，適應自己的投資活動特徵的理論和方法。
項目投資風險評估報告是利用豐富的資料和數據，定性和定量相結合，對投資項目的風險進行全面的分析評價，採取相應的措施去減少、化解、規避風險的途徑。
研究內容
項目投資風險評估報告是在全面系統分析目標企業和項目的基礎上，按照國際通行的投資風險評估方法，站在第三方角度客觀公正地對企業、項目的投資風險進行分析。
投資風險評估報告包含了投資決策所關心的全部內容，如企業詳細介紹、項目詳細介紹、產品和服務模式、市場分析、融資需求、運作計劃、競爭分析、財務分析等內容，並在此基礎上，以第三方角度，客觀公正地對投資風險進行評估。
一、數據活動風險評估報告內容包括哪些
1、重要數據處理者要定期開展數據安全風險評估，評估的內容包括：處理的重要數據的種類、數量，開展數據處理活動的情況，面臨的數據安全風險等內容。
2、法律依據：《中華人民共和國數據安全法》
第三十條 重要數據的處理者應當按照規定對其數據處理活動定期開展風險評估，並向有關主管部門報送風險評估報告。
風險評估報告應當包括處理的重要數據的種類、數量，開展數據處理活動的情況，面臨的數據安全風險及其應對措施等。
二、常見的網路安全問題有哪些
(1)網路系統安全
網路系統安全主要是指計算機和網路本身存在的安全問題，也就是保障電子商務平台的可用性和安全性的問題，其內容包括計算機的物理、系統、資料庫、網路設備、網路服務等安全問題。
(2)網路信息安全
信息安全問題是電子商務信息在網路的傳遞過程中面臨的信息被竊取、信息被篡改、信息被假冒和信息被惡意破壞等問題。如電子的交易信息在網路上傳輸過程中，可能被他人非法修改、刪除或重放(指只能使用一次的信息被多次使用)，從而使信息失去原有的真實性和完整性;
網路硬體和軟體問題導致信息傳遞的丟失、謬誤及一些惡意程序的破壞而導致電子商務信息遭到破壞;交易雙方進行交易的內容被第三方竊取或交易一方提供給另一方使用的文件被第三方非法使用等。因此，電子商務中對信息安全的要求就是要求信息傳輸的安全性、信息的完整性及交易者身份的確定性。
(3)網路交易安全
交易安全問題是指在電子商務虛擬市場交易過程中存在的交易主體真實性、資金的被盜用、合同的法律效應、交易行為被抵賴等問題。如電子商務交易主體必須進行身份識別，若不進行身份識別，第三方就有可能假冒交易一方的身份，破壞交易，損害被假冒一方的聲譽或盜竊被假冒一方的交易成果，甚至進行欺詐。
通過上述分析知道，依據《中華人民共和國數據安全法》的'規定，重要數據處理者，要定期開展數據安全風險評估，然後形成報告，風險評估報告應當包括：處理的重要數據的種類、數量，開展數據處理活動的情況等內容。
風險評估報告
新學期開學之前，我校重點對學校校舍等安全隱患進行了全面排查，並對部分隱患進行了整改，達到了開學要求。現在根據縣教育局的要求，學校重點對校園保安、校舍設施、食品衛生、人身安全、交通安全等5項一級指標，22項二級指標，69項評估內容進行了自查，現在把自查情況作如下匯報：
一、自查情況
（一）校園安保：學校按標准配備安保器械；上級給學校配齊配足安保人員（7人），但是這些保安都不來上班，多次向上級反映沒有結果，學校只好讓教師頂崗；學校在校園關鍵部位安裝電子監控；認真落實外來人員進出校園盤查詢問制度，並做好記錄，禁止外來車輛入校；在學生上下學、上操、下課期間等重要時段，學校安排保安和值班人員維持秩序，保障學生安全。
（二）校舍設施安全：我校校舍是8月建成投入使用，部分功能室牆體出現裂紋，有的房屋門窗腐朽，維修難度大，確實存在一定安全隱患，但是學校做了大量的維修工作，並且平時加強對師生的安全教育和應急演練；
教室、實驗室、圖書室等重點部位安全管理到位；消防設施器材按標准配備並定期進行檢修維護和保養；消防通道、安全出口暢通；總務處加強用電、用火等的管理，每月進行兩次檢查。
（三）師生人身安全：學校建立了完善的安全管理制度；周周開展安全教育，次次有主題；學校制定了完善的校園安全應急預案並定期組織應急演練；學校重視學生教學活動、集體活動的安全管理；
學校與辛寨鎮派出所配合定期對校園門口、校園周邊進行排查，到現在為止沒有發現的高危人員和可能危及學生安全的各類隱患；學校能夠及時對學生之間、師生之間矛盾糾紛進行排查化解；
學校建立了特殊群體學生包靠制度，每學期進行管制刀具排查不少於三次；學校相當重視對學生進行防溺水安全教育，層層簽訂責任書，聯系有關村莊加強水域巡查監管，建立了教師包靠制度，落實了有關人員，預防學生溺水事故發生。
（四）食品衛生安全：學校建立了相關規章制度；嚴把食堂從業人員資格、健康體檢、食品采購、存儲管理、加工流程、餐具消毒等關口；嚴格執行食品留樣制度；建立傳染病防控工作預案，開展預防傳染病教育並落實相應的防控措施。
（五）交通安全：學校重視對學生進行交通安全教育；嚴格落實校車管理職責；學校加強對校車駕駛員、隨車照管人員的教育培訓和管理考核，與隨車教師簽訂責任書；經常對校車運行情況進行檢查；建立了校車安全應急預案；建立完善了校內車輛管理制度。
二、發現的主要安全隱患有：
1、上級派來的保安不到崗。
2、學校房屋部分門窗破損。
3、部分滅火器壓力不足。
4、校門前沒有人行橫道線，限速標識和限速帶需要安裝。
5、學校監控覆蓋面不全。
三、整改措施和時限
1、本周繼續向上級反映保安不到位的問題，同時加強對頂崗教師和值班教師的教育、管理和檢查。
2、本周始修繕房屋和門窗，同時加強對全體師生的應急演練和教育。
3、3月14日之前把壓力不足的滅火器全部充壓、修整。
4、3月5日在學校門口兩側劃人行橫道線，3月14日前安裝限速標識和限速帶。
5、3月8日前再安裝3個監控頭，達到16個，基本達到校園全覆蓋。
⑶ 企業網路物理安全策略分析
1. 建立企業網路安全策略的重要性
保障企業網路安全，必須建立良好的企業網路安全策略。見圖1。
● 安全是網路整體系統的問題
安全不僅是單一PC的問題，也不僅是伺服器或路由器的問題，而是整體網路系統的問題。所以網路安全要考慮整個網路系統，因此必須結合網路系統來制定合適的網路安全策略。
● 安全不能由單一的網路產品來保障
如前所述，網路安全涉及到的問題非常多，如防病毒、防入侵破壞、防信息盜竊、用戶身份驗證等，這些都不是由單一產品來完成，也不可能由單一產品來完成，因此網路安全也必須從整體策略來考慮。
● 安全需要實施監測與更新
網路安全防護體系必須是一個動態的防護體系，需要不斷監測與更新，只有這樣才能保障網路安全。
● 安全需要全體員工的參與
調查顯示，有超過70%的安全問題來自企業的內部，如何對員工進行網路安全教育，如何讓員工參與網路安全建設，是網路安全要解決的核心問題之一。
● 安全保障企業的核心業務
企業對信息系統的依賴性越來越強，電子商務公司沒有網路是無法生存的，金融與電信等行業由於網路出問題所造成的損失是無法估量的。因此，安全是企業核心業務的保護神。
2. 如何建立企業網路安全策略
建立企業網路安全策略，應從4個方面予以考慮:安全檢測評估、安全體系結構、安全管理措施和網路安全標准,見圖2。由於安全是一個動態過程，這4個方面組成了一個循環系統。安全檢測與評估隨著安全標準的改變而進行，評估結果又會促進網路體系結構的完善，安全管理措施也會隨著其他方面的變化而增強。由於技術的進步及對網路安全要求的提高，又會促使網路標準的改變。最後形成一種動態的螺旋上升的發展過程。
(1) 重視安全檢測評估
從安全形度看，企業接入Internet網路前的檢測與評估是保障網路安全的重要措施。但大多數企業沒有這樣做，就把企業接入了Internet。基於此情況，企業應從以下幾個方面對網路安全進行檢測與評估。
● 網路設備
重點檢測與評估連接不同網段的設備和連接廣域網(WAN)的設備，如Switch、網橋和路由器等。這些網路設備都有一些基本的安全功能，如密碼設置、存取控制列表、VLAN等，首先應充分利用這些設備的功能。
● 網路操作系統
網路操作系統是網路信息系統的核心，其安全性占據十分重要的地位。根據美國的「可信計算機系統評估准則」，把計算機系統的安全性從高到低分為4個等級：A、B、C、D。DOS、Windows 3.x/95、MacOS 7.1等屬於D級，即最不安全的。Windows NT/2000/XP、Unix、Netware等則屬於C2級，一些專用的操作系統可能會達到B級。C2級操作系統已經有了許多安全特性，但必須對其進行合理的設置和管理，才能使其發揮作用。如在Windows NT下設置共享許可權時，預設設置是所有用戶都是「Full Control」許可權，必須對其進行更改。
● 資料庫及應用軟體
資料庫在信息系統中的應用越來越廣泛，其重要性也越來越強，銀行用戶賬號信息、網站的登記用戶信息、企業財務信息、企業庫存及銷售信息等都存在各種資料庫中。資料庫也具有許多安全特性，如用戶的許可權設置、數據表的安全性、備份特性等，利用好這些特性也是同網路安全系統很好配合的關鍵。
● E-mail系統
E-mail系統比資料庫應用還要廣泛，而網路中的絕大部分病毒是由E-mail帶來的，因此，其檢測與評估也變得十分重要。
● Web站點
許多Web Server軟體(如IIS等)有許多安全漏洞，相應的產品供應商也在不斷解決這些問題。通過檢測與評估，進行合理的設置與安全補丁程序，可以把不安全危險盡量降低。
(2) 建立安全體系結構
● 物理安全
物理安全是指在物理介質層次上對存儲和傳輸的網路信息進行安全保護，是網路信息安全的基本保障。建立物理安全體系結構應從3個方面考慮:一是自然災害（地震、火災、洪水）、物理損壞（硬碟損壞、設備使用到期、外力損壞）和設備故障（停電斷電、電磁干擾）；二是電磁輻射、乘機而入、痕跡泄漏等；三是操作失誤（格式硬碟、線路拆除）、意外疏漏等。
● 訪問控制
訪問控制首先要把用戶和數據進行分類，然後根據需要把二者匹配起來，把數據的不同訪問許可權授予用戶，只有被授權的用戶才能訪問相應的數據。
● 數據保密
數據保密是保護網路中各系統之間的交換數據，防止因數據被截獲而造成泄密。數據保密應考慮以下幾個方面：
連接保密:對某個連接上的所有用戶數據提供保密。
選擇欄位保密:對協議數據單元的一部分選擇欄位進行保密。
信息流保密:對可能從觀察信息流就能推導出的信息提供保密。
● 數據完整性
數據完整性保證接收方收到的信息與發送方發送的信息完全一致，它包括可恢復的完整性、無恢復的完整性、選擇欄位的完整性。目前主要通過數字簽名技術來實現。
● 路由控制
在大型網路中，從源節點到目的節點可能有多條線路，有些線路可能是安全的，有些是不安全的。通過選擇路由控制機制，可使信息發送者選擇特殊路由，以保證數據的安全。
(3) 制定安全管理措施
網路安全管理既要保證網路用戶和網路資源不被非法使用，又要保證網路管理系統本身不被未經授權的訪問。制定合理的安全管理措施，是保證網路安全的重要策略之一。
● 網路設備的安全管理
主要包括網路設備的互聯原則、配置更改原則等。
● 軟體的安全管理
包括軟體的使用原則、配置更改原則、許可權設置原則等。
● 密鑰的安全管理
密鑰的管理主要包括密鑰的生成、檢驗、分配、保存、更換、注入、銷毀等。
● 管理網路的安全管理
管理網路是一個有關網路維護、運營和管理信息的綜合管理系統。它集高度自動化信息的搜集、傳輸、處理和存儲於一體，主要功能是性能管理、配置管理、故障管理、計費管理等。
● 安全的行政管理
安全的行政管理的重點是安全組織的設立、安全人事管理、安全責任與監督等。如在安全組織結構中，應該有一個全面負責的人，負責整個網路信息系統的安全與保密。
(4) 強化網路安全標准
網路安全標準是一種多學科、綜合性、規范性很強的標准，其目的在於保證網路信息系統的安全運行，保證用戶和設備操作人員的人身安全。一個完整、統一、先進的安全標准體系是十分重要的。通過遵循合適的標准，可以使企業的網路安全有一個較高的起點和較好的規范性，對於網路間的安全互操作也起到關鍵作用。國內外已制定了許多安全方面的標准，具體分為以下4類：
● 基礎類標准
主要包括安全詞彙、安全體系結構、安全框架、信息安全技術評價准則等。
● 物理類標准
包括設備電磁泄漏規范、保密設備的安全保密規范等。
● 網路類標准
包括網路安全協議、網路安全機制、防火牆規范等。
● 應用類標准
包括硬體平台安全規范、軟體應用平台規范、應用業務安全規范、安全工具開發規范、簽證機構安全規范等。
3. 網路安全系統設計原則
雖然任何人都不可能設計出絕對安全和保密的網路信息系統，但是，如果在設計之初就遵從一些合理的原則，那麼相應的網路系統的安全和保密就會更加有保障。如果設計時考慮不全面，消極地將安全和保密措施寄託在事後「打補丁」的思路是非常危險的。從工程技術角度，應遵循的原則如圖3所示。
● 木桶原則：對信息均衡、全面地進行保護。
● 整體性原則：進行安全防護、監測和應急恢復。
● 實用性原則:不影響系統的正常運行和合法用戶的操作。
● 等級性原則：區分安全層次和安全級別。
● 動態化原則：安全需要不斷更新。
● 設計為本原則：安全設計與網路設計同步進行。
⑷ 網路安全自查報告(3)
網路安全自查報告
四、加強網路安全技術防範措施，實行科學管理
我校的技術防範措施主要從以下幾個方面來做的：
1.安裝了天網防火牆，防止病毒、反動不良信息入侵校園網路。
2.安裝網路版的江民殺毒軟體，實施監控網路病毒，發現問題立即解決。
3.學校網路與教學樓避雷網相聯，計算機所在部門加固門窗，購買滅器，擺放在
顯著位置，做到設備防雷，防盜，防火，保證設備安全、完好。
4.及時修補各種軟體的補丁。
5.密切注意CERT消息。
6.對學校重要文件，信息資源做到及時備份。創建系統恢復文件。
五、加強校園計算機網路安全教育和網管人員隊伍建設
xx小學是從20xx年9月初接入錦州市教育局城域網的單位，每位領導和教師都有自己的計算機登陸城域網和網際網路，在查閱資料和進行教學和科研的過程中，我校學校領導非常重視網路安全教育，每學期開始和結束時都進行網路信息安全教育，促使教師們充分認識到網路信息安全對於保證國家和社會生活的重要意義。並要求信息技術教師在備課、上課的過程中，有義務向學生滲透計算機網路安全方面的常識，並對全校學生進行計算機網路安全方面的培訓。做到校園計算機網路安全工作萬無一失。
六、我校定期進行網路安全的全面檢查
我校網路安全領導小組每學期初將對學校微機房、領導和教師辦公用機、各多媒體教室及學校電教室的環境安全、設備安全、信息安全、管理制度落實情況等內容進行一次全面的檢查，對存在的問題要及時進行糾正，消除安全隱患。
網路安全自查報告範文四：
根據南信聯發[XX]4號文件《關於開展**市電子政務網信息安全與網路管理專項檢查的通知》文件精神，我局積極組織落實，認真對照，對網路安全基礎設施建設情況、網路安全防範技術情況及網路信息安全保密管理情況進行了自查，對我局的網路信息安全建設進行了深刻的剖析，現將自查情況報告如下：
一、加強領導，成立了網路與信息安全工作領導小組
為進一步加強全局網路信息系統安全管理工作，我局成立了網路與信息系統安全保密工作領導小組，由局長任組長，下設辦公室，做到分工明確,責任具體到人。確保網路信息安全工作順利實施。
二、我局網路安全現狀
我局的統計信息自動化建設從一九九七年開始，經過不斷發展，逐漸由原來的小型區域網發展成為目前與國家局、自治區局以及縣區局實現四級互聯互通網路。網路核心採用思科7600和3600交換機，數據中心採用3com4226交換機，匯集層採用3com4226交換機、思科2924交換機和聯想天工ispirit 1208e交換機，總共可提供150多個有線接入點，目前為止已使用80個左右。數據中心骨幹為千兆交換式，百兆交換到桌面。網際網路出口統一由市信息辦提供，為雙百兆光纖;與自治區統計局採用2兆光纖直聯，各縣區統計局及三個開發區統計局採用天融信vpn虛擬專用網路軟體從互聯網上連接進入到自治區統計局的網路，vpn入口總帶寬為4兆，然後再連接到我局。橫向方面，積極推進市統計局與政府網互聯，目前已經實現與100多家市級黨政部門和12個縣區政府的光纖連接。我局採用天融信硬體防火牆對網路進行保護，採用偉思網路隔離卡和文件防彈衣軟體對重點計算機進行單機保護，安裝正版金山毒霸網路版殺毒軟體，對全局計算機進行病毒防治。
三、我局網路信息化安全管理
為了做好信息化建設，規范統計信息化管理，我局專門制訂了《**市統計局信息化規章制度》，對信息化工作管理、內部電腦安全管理、機房管理、機房環境安全管理、計算機及網路設備管理、數據、資料和信息的安全管理、網路安全管理、計算機操作人員管理、網站內容管理、網站維護責任等各方面都作了詳細規定，進一步規范了我局信息安全管理工作。
針對計算機保密工作，我局制定了《涉密計算機管理制度》，並由計算機使用人員簽訂了《**市統計局計算機保密工作崗位責任書》，對計算機使用做到“誰使用誰負責”;對我局內網產生的數據信息進行嚴格、規范管理。
此外，我局在全局范圍內每年都組織相關計算機安全技術培訓，計算站的同志還積極參加市信息辦及其他計算機安全技術培訓，提高了網路維護以及安全防護技能和意識，有力地保障我局統計信息網路正常運行。
四、網路安全存在的不足及整改措施
目前，我局網路安全仍然存在以下幾點不足：一是安全防範意識較為薄弱;二是病毒監控能力有待提高;三是遇到惡意攻擊、計算機病毒侵襲等突發事件處理不夠及時。
針對目前我局網路安全方面存在的不足，提出以下幾點整改辦法：
1、加強我局計算機操作技術、網路安全技術方面的培訓，強化我局計算機操作人員對網路病毒、信息安全的防範意識;
2、加強我局計算站同志在計算機技術、網路技術方面的學習，不斷提高我局計算機專管人員的技術水平。
網路安全自查報告範文五：
學校接到:“重慶市巴南區教育委員會關於轉發巴南區信息網路安全大檢查專項行動實施方案的通知”後，按文件精神立即落實相關部門進行自查，現將自查情況作如下報告：
一、充實領導機構，加強責任落實
接到文件通知後，學校立即召開行政辦公會議，進一步落實領導小組及工作組，落實分工與責任人(領導小組見附件一)。魚洞二小網路安全大檢查專項行動由學校統一牽頭，統一指揮，學校信息中心具體負責落實實施。信息中心設立工作小組(工作小組見附件一)，小組成員及各自分工落實管理、維護、檢查信及培訓，層層落實，並堅決執行“誰主管誰負責、誰運行誰負責、誰使用誰負責”的管理原則，保障我校校園網的絕對安全，給全校師生提供一個安全健康的網路使用環境。
二、開展安全檢查，及時整改隱患
1、我校“網路中心、功能室、微機室、教室、辦公室”等都建立了使用及安全管理規章制度，且制度都上牆張貼。
2、網路中心的安全防護是重中之重，我們分為：物理安全、網路入出口安全、數據安全等。物理安全主要是設施設備的防火防盜、物理損壞等;網路入出口安全是指光纖接入防火牆->路由器->核心交換機及內網訪問出去的安全，把握好源頭;數據安全是指對校園網的數據備份、對不安全的信息進行處理上報、對信息的過渡等。信息中心有獨立的管理制度，如網路更新登記、伺服器資源、硬碟分布統計資料、安全日誌等，便於發現問題，既時查找。
⑸ 如何進行企業網路的安全風險評估
安全風險評估，也稱為網路評估、風險評估、網路安全評估、網路安全風險評估，它是指對網路中已知或潛在的安全風險、安全隱患，進行探測、識別、控制、消除的全過程，是企業網路安全管理工作的必備措施之一。
安全風險評估的對象可以是整個網路，也可以是針對網路的某一部分，如網路架構、重要業務系統。通過評估，可以全面梳理網路資產，了解網路存在的安全風險和安全隱患，並有針對性地進行安全加固，從而保障網路的安全運行。
一般情況下，安全風險評估服務，將從IT資產、網路架構、網路脆弱性、數據流、應用系統、終端主機、物理安全、管理安全共8個方面，對網路進行全面的風險評估，並根據評估的實際情況，提供詳細的網路安全風險評估報告。
成都優創信安，專業的網路安全服務、網站安全檢測、IT外包服務提供商。我們提供了專業的網路安全風險評估服務，詳細信息可查看我們網站。
⑹ 網路安全評估主要有哪些項目
網路安全評估，也稱為網路評估、風險評估、網路風險評估、安全風險評估。一般情況下，它包括以下幾個方面：
網路資產評估、網路架構評估、網路脆弱性評估、數據流評估、應用系統評估、終端主機評估、物理安全評估、管理安全評估，一共8個方面。
成都優創信安，專業的網路和信息安全服務提供商。
⑺ 醫院網路安全檢查總結報告
構建網路安全系統，一方面由於要進行認證、加密、監聽，分析、記錄等工作，由此影響網路效率，並且降低客戶應用的靈活性;另一方面也增加了管理費用。下面是我整理的醫院網路安全檢查總結報告，歡迎大家參考!
為了認真貫徹落實公安部《關於開展重要信息系統和重點網站網路安全保護狀況自檢自查工作的通知》文件精神，為進一步做好我院網路與信息系統安全自查工作，提高安全防護能力和水平，預防和減少重大信息安全事件的發生，切實加強網路與信息系統安全防範工作，創造良好的網路信息環境。近期，我院進行了信息系統和網站網路安全自查，現就我院網路與信息系統安全自查工作情況匯報如下：
一、網路與信息安全自查工作組織開展情況
(一)自查的總體評價
我院嚴格按照公安部對網路與信息系統安全檢查工作的要求，積極加強組織領導，落實工作責任，完善各項信息系統安全制度，強化日常監督檢查，全面落實信息系統安全防範工作。今年著重抓了以下排查工作：一是硬體安全，包括防雷、防火和電源連接等;二是網路安全，包括網路結構、互聯網行為管理等;三是應用安全，公文傳輸系統、軟體管理等，形成了良好穩定的安全保密網路環境。
(二)積極組織部署網路與信息安全自查工作
1、專門成立網路與信息安全自查協調領導機構
成立了由分管領導、分管部門、網路管理組成的信息安全協調領導小組，確保信息系統高效運行、理順信息安全管理、規范信息化安全等級建設。
2、明確網路與信息安全自查責任部門和工作崗位
我院領導非常注重信息系統建設，多次開會明確信息化建設責任部門，做到分工明確，責任具體到人。
3、貫徹落實網路與信息安全自查各項工作文件或方案
信息系統責任部門和工作人員認真貫徹落實市工業和信息化委員會各項工作文件或方案，根據網路與信息安全檢查工作的特點，制定出一系列規章制度，落實網路與信息安全工作。
4、召開工作動員會議，組織人員培訓，專門部署網路與信息安全自查工作
我院每季度召開一次工作動員會議，定期、不定期對技術人員進行培訓，並開展考核。技術人員認真學習貫徹有關文件精神，把信息安全工作提升到重要位置，常抓不懈。
二、信息安全主要工作情況
(一)網路安全管理情況
1、認真落實信息安全責任制
我院制定出相應信息安全責任追究制度，定崗到人，明確責任分工，把信息安全責任事故降低到最低。
2、積極推進信息安全制度建設
(1)加強人員安全管理制度建設
我院建立了人員錄用、離崗、考核、安全保密、教育培訓、外來人員管理等安全管理制度，對新進人員進行培訓，加強人員安全管理，不定期開展考核。
(2)嚴格執行機房安全管理制度
我院制定出《機房管理制度》，加強機房進出人員管理和日常監控制度，嚴格實施機房安全管理條例，做好防火防盜，保證機房安全。
(二)技術安全防範和措施落實情況
1、網路安全方面
我院配備了防病毒軟體、網路隔離卡，採用了強口令密碼、資料庫存儲備份、移動存儲設備管理、數據加密等安全防護措施，明確了網路安全責任，強化了網路安全工作。計算機及網路配置安裝了專業殺毒軟體，加強了在防病毒、防攻擊、防泄密等方面的有效性。並按照保密規定，在重要的涉密計算機上實行了開機密碼管理，專人專用，杜絕涉密和非涉密計算機之間的混用。
2、信息系統安全方面
涉密計算機沒有違規上國際互聯網及其他的信息網的情況，未發生過失密、泄密現象。實行領導審查簽字制度凡上傳網站的信息，須經有關領導審查簽字後方可上傳;二是開展經常性安全檢查，主要對SQL注入攻擊、跨站腳本攻擊、弱口令、操作系統補丁安裝、應用程序補丁安裝、防病毒軟體安裝與升級、木馬病毒檢測、埠開放情況、系統管理許可權開放情況、訪問許可權開放情況、網頁篡改情況等進行監管，認真做好系統安全日記。
(三)應急工作情況
1、開展日常信息安全監測和預警
我院建立日常信息安全監測和預警機制，提高處置網路與信息安全突發公共能力事件，加強網路信息安全保障工作，形成科學、有效、反應迅速的應急工作機制，確保重要計算機信息系統的實體安全、運行安全和數據安全，最大限度地減輕網站網路與信息安全突發公共事件的危害。
2、建立安全事件報告和響應處理程序
我院建立健全分級負責的應急管理體制，完善日常安全管理責任制。相關部門各司其職，做好日常管理和應急處置工作。設立安全事件報告和相應處理程序，根據安全事件分類和分級，進行不同的上報程序，開展不同的響應處理。
3、制定應急處置預案，定期演練並不斷完善
我院制定了安全應急預案，根據預警信息，啟動相應應急程序，加強值班值守工作，做好應急處理各項准備工作。定期演練預警方案，不斷完善預警方案可行性、可操作性。
(四)安全教育培訓情況
為保證我院網路安全有效地運行，減少病毒侵入，我院就網路安全及系統安全的有關知識進行了培訓。期間，大家對實際工作中遇到的計算機方面的有關問題進行了詳細的咨詢，並得到了滿意的答復。
三、網路與信息安全存在的問題
經過安全檢查，我單位信息系統安全總體情況良好，但也存在了一些不足：
1、信息安全意識不夠。員工的信息安全教育還不夠，缺乏維護信息安全主動性和自覺性。
2、設備維護、更新還不夠及時。
3、專業技術人員少，信息系統安全力量有限，信息系統安全技術水平還有待提高。
4、信息系統安全工作機制有待進一步完善。
四、網路與信息安全改進措施
根據自查過程中發現的不足，同時結合我院實際，將著重以下幾個方面進行整改：
一是要繼續加強對全員的信息安全教育，提高做好安全工作的主動性和自覺性。
二是要切實增強信息安全制度的落實工作，不定期的對安全制度執行情況進行檢查，對於導致不良後果的責任人，要嚴肅追進責任，從而提高人員安全防範意識。
三是要加強專業信息技術人員的培養，進一步提高信息安全工作技術水平，便於我們進一步加強計算機信息系統安全防範和保密工作。
四是要加大對線路、系統、網路設備的維護和保養，同時，針對信息技術發展迅速的特點，要加大系統設備更新力度。
五是要創新完善信息安全工作機制，進一步規范辦公秩序，提高信息工作安全性。
五、關於加強信息安全工作的意見和建議
我們在管理過程中發現了一些管理方面存在的薄弱環節，今後我們還要在以下幾個方面進行改進：
一是對於線路不整齊、暴露的，立即對線路進行限期整改，並做好防鼠、防火安全工作。
二是加強設備維護，及時更換和維護好故障設備。
三是自查中發現個別人員計算機安全意識不強。在以後的工作中，我們將繼續加強計算機安全意識教育和防範技能訓練，讓員工充分認識到計算機案件的嚴重性。人防與技防結合，確實做好單位的網路安全工作。
根據上級網路安全管理文件精神，xx縣教育局成立了網路信息安全工作領導小組，在組長曾自強副局長的領導下，制定計劃，明確責任，具體落實，對我系統網路與信息安全進行了一次全面的調查。發現問題，分析問題，解決問題，確保了網路能更好地保持良好運行，為我縣教育發展提供一個強有力的信息支持平台。
一、加強領導，成立了網路與信息安全工作領導小組
為進一步加強全系統網路信息系統安全管理工作，我局成立了網路與信息系統安全保密工作領導小組，做到分工明確,責任具體到人。安全工作領導小組，組長曾自強，副組長吳萬夫，成員有劉林聲、王志純、蘇宇。分工與各自的職責如下：曾自強副局長為我局計算機網路與信息系統安全保密工作第一責任人，全面負責計算機網路與信息安全管理工作。辦公室主任吳萬夫分管計算機網路與信息安全管理工作。劉林聲負責計算機網路與信息安全管理工作的日常事務，上級教育主管部門發布的信息、文件的接收工作。王志純負責計算機網路與信息安全管理工作的日常協調、督促工作。蘇宇負責網路維護和日常技術管理工作。
二、完善制度，確保了網路安全工作有章可循
為保證我系統計算機網路的正常運行與健康發展，加強對校園網的管理，規范網路使用行為，根據《中國教育和科研計算機網路管理辦法(試行)》、《關於進一步加強xx縣教育系統網路安全管理工作的通知》的有關規定，制定了《xx縣教育系統網路安全管理辦法》、《上網信息發布審核登記表》、《上網信息監控巡視制度》、《xx縣教育系統網路安全管理責任狀》等相關制度、措施，確保網路安全。
三、強化管理，加強了網路安全技術防範措施
我系統計算機網路加強了技術防範措施。一是安裝了卡巴斯基防火牆，防止病毒、反動不良信息入侵網路。二是安裝兩種殺毒軟體，網路管理員每周對殺毒軟體的病毒庫進行升級，及時進行殺毒軟體的升級與殺毒，發現問題立即解決。三是網路與機關大樓避雷網相聯，計算機所在部門加固門窗，購買滅火器，擺放在顯著位置，做到設備防雷、防盜、防火，保證設備安全、完好。四是及時對伺服器的系統和軟體進行更新。五是密切注意CERT消息。六是對重要文件，信息資源做到及時備份。創建系統恢復文件。
我局網路安全領導小組每季度對全系統機房、學校辦公用機、多媒體教室及學校電教室的環境安全、設備安全、信息安全、管理制度落實情況等內容進行一次全面的檢查，對存在的問題及時進行糾正，消除安全隱患。
我院積極貫徹落實縣委網信辦《關於做好我縣醫院網路安全保障工作的通知》要求，我院領導高度重視，立即行動，順利完成國慶期間網路信息安全工作。
一、高度重視，落實責任。
我院成立網路安全領導小組，由信息科主任任小組組長，其它各科室主任任副組長和組員。9月21日之前將責任領導、聯絡員名單、網路安全自查表報送網路安全領導小組辦公室，要求組員24小時開機，做好隨時反映、報告網路安全問題的准備工作。
國慶xx周年9月21日至10月10日期間：
1.網路信息安全上報要求24小時監控。
2.風險防控制：發現問題，三分鍾之內必須斷；半小時之內上報網路安全領導小組；無問題，零報告。
3.要求各科室每天15：00時之前上報前一天至當日15：00時網路信息安全情況。
二、強化安全防範措施，提高風險防範能力
1、對醫院辦公通信工具OA，進行漏洞修復檢查升級。堅決整改用戶長期使用默認口令、長期不變口令等問題。
2、信息科對醫院數據採取分類、備份、加密等措施，嚴格數據的訪問許可權，及時發現處置非授權訪問等異常情況。
3、對醫院公共區域的LED屏幕，由專人負責，修改內容需要高強度密碼口令。
三、規范流程操作，養成良好習慣。
要求全體工作人員都應該了解網路安全形勢，遵守安全規定，掌握操作技能，努力提高醫院網路安全保障能力，提出人人養成良好網路安全習慣的六項規定。
1、禁止用非涉密機處理涉密文件。
2、禁止在外網上處理和存放內部文件資料。
3、所有工作電腦要設置開機口令。
4、禁止在工作網路設置無線路由器等無線設備。
5、嚴格做到人離開工作電腦即斷網斷電。
6、禁止在工作網路計算機中安裝游戲等非工作類軟體。
我院在接到貴單位發來的《信息系統安全等保限期整改通知書》後，院領導高度重視，責成信息科按照要求進行整改，現在整改情況報告如下。
一、我院網路安全等級保護工作概況
根據上級主管部門和行業主管部門要求，我院高度重視並開展了網路安全等級保護相關工作，工作內容主要包含信息系統梳理、定級、備案、等級保護測評、安全建設整改等。我院目前運行的主要信息系統有：綜合業務信息系統。綜合業務信息系統是商城縣人民醫院核心醫療業務信息系統的集合，系統功能模塊主要包括醫院信息系統（HIS）、檢驗信息系統（LIS）、電子病歷系統（EMRS）、醫學影像信息系統（PACS），其中醫院信息系統（HIS）、檢驗信息系統（LIS）、電子病歷系統（EMRS）由福建弘揚軟體股份有限公司開發建設並提供技術支持，醫學影像信息系統（PACS）由深圳中航信息科技產業股份有限公司開發建設並提供技術支持。
我院已於20xx年11月完成了綜合業務信息系統的定級、備案、等級保護測評、專家評審等工作，系統安全保護等級為第二級（S2A2G2），等級保護測評機構為河南天祺信息安全技術有限公司，等級保護測評結論為基本符合，綜合得分為76.02分。在測評過程中，信息科已根據測評人員建議對能夠立即整改的安全問題進行了整改，如：伺服器安全加固、訪問控制策略調整、安裝防病毒軟體、增加安全產品等。目前我院正在進行門戶網站的網路安全等級保護測評工作。
二、安全問題整改情況
此次整改報告中涉及到的信息系統安全問題是我院於20xx年11月委託河南天祺公司對醫院信息系統進行測評反饋的內容，主要包括應用伺服器、資料庫伺服器操作系統漏洞和Oracle漏洞等。針對應用伺服器系統漏洞，我院及時與安全公司進行溝通，溝通後通過關閉部分系統服務和埠，更新必要的系統升級包等措施進行了及時的處理。針對Oracle資料庫存在的安全漏洞問題，我們與安全公司和軟體廠商進行了溝通，我院HIS系統於20xx年底投入使用，資料庫版本為Oracle 11g，投入運行時間較早，且部署於內網環境中未及時進行漏洞修復。
經過軟體開發廠商測試發現修復Oracle資料庫漏洞會影響HIS系統正常運行，並存在未知風險，為了既保證信息系統安全穩定運行又降低信息系統面臨的安全隱患，我們主要採取控制資料庫訪問許可權，切斷與伺服器不必要的連接、限制資料庫管理人員許可權等措施來降低資料庫安全漏洞造成的風險。具體措施為：第一由不同技術人員分別掌握資料庫伺服器和資料庫的管理許可權；第二資料庫伺服器僅允許有業務需求的應用伺服器連接，日常管理資料庫採用本地管理方式，資料庫不對外提供遠程訪問；第三對資料庫進行了安全加固，設置了強密碼、開啟了日誌審計功能、禁用了資料庫默認用戶等。
我院高度重視網路安全工作，醫院網路中先後配備了防火牆、防毒牆、入侵防禦、網路版殺毒軟體、桌面終端管理等安全產品，並正在采購網閘、堡壘機、日誌審計等安全產品，同時組建了醫院網路安全小組，由三名技術人員負責網路安全管理工作，使我院網路安全管理水平大幅提升。
「沒有網路安全，就沒有國家安全」。作為全縣醫療救治中心，醫院始終把信息網路安全和醫療安全放在首位，不斷緊跟醫院發展和形勢需要，科學有效的推進網路安全建設工作，並接受各級主管部門的監督和管理。
接到《關於印發《xx市衛生行業網路與信息安全檢查行動工作方案》的'通知》的通知後，我院領導高度重視，立即召開相關科室負責人會議，深入學習和認真貫徹落實文件精神，充分認識到開展網路與信息安全自查工作的重要性和必要性，對自查工作做了詳細部署，由主管院長負責安排、協調相關檢查部門、監督檢查項目，由信息科負責具體檢查和自查工作，並就自查中發現的問題認真做好相關記錄，及時整改，完善。
長期以來，我院在信息化建設過程中，一直非常重視網路與信息安全工作，並採取目前國內較先進的安全管理規范、有效的安全管理措施。自8月21日起，全院開展網路與信息安全工作自查，根據互聯網安全和院內區域網安全的相應特點，逐項排查，消除安全隱患，現將我院信息安全工作情況匯報如下。
一、網路安全管理：
我院的網路分為互聯網和院內區域網，兩網路實現物理隔離，以確保兩網能夠獨立、安全、高效運行。重點抓好「三大安全」排查。
1.硬體安全，包括防雷、防火、防盜和UPS電源連接等。醫院HIS伺服器機房嚴格按照機房標准建設，工作人員堅持每天巡查，排除安全隱患。HIS伺服器、多口的交換機、路由器都有UPS電源保護，可以保證短時間斷電情況下，設備運行正常，不至於因突然斷電致設備損壞。此外，區域網內所有計算機USB介面施行完全封閉，這樣就有效地避免了因外接介質(如U盤、移動硬碟)而引起中毒或泄密的發生。
2.網路安全:包括網路結構、密碼管理、IP管理、互聯網行為管理等；網路結構包括網路結構合理，網路連接的穩定性，網路設備(交換機、路由器、光纖收發器等)的穩定性。HIS系統的操作員，每人有自己的登錄名和密碼，並分配相應的操作員許可權，不得使用其他人的操作賬戶，賬戶施行「誰使用、誰管理、誰負責」的管理制度。互聯網和院內區域網均施行固定IP地址，由醫院統一分配、管理，不允許私自添加新IP，未經分配的IP均無法實現上網。為保障醫院互聯網能夠滿足正常的辦公需要，通過路由器對於P2P等應用軟體進行了屏蔽，有效地阻止了有人利用辦公電腦在上班期間在線看視頻、玩游戲等，極大地提高了互聯網的辦公利用率。
二、資料庫安全管理：
我院目前運行的資料庫為金衛HIS資料庫，是醫院診療、劃價、收費、查詢、統計等各項業務能夠正常進行的基礎，為確保醫院各項業務正常、高效運行，資料庫安全管理是極為有必要的。資料庫系統的安全特性主要是針對數據的技術防護而言的，包括數據安全性、並發控制、故障恢復、資料庫容災備份等幾個方面。我院對數據安全性採取以下措施：(1)將資料庫中需要保護的部分與其他部分相隔。
(2)採用授權規則，如賬戶、口令和許可權控制等訪問控制方法。
(3)對數據進行加密後存儲於資料庫；如果資料庫應用要實現多用戶共享數據，就可能在同一時刻多個用戶要存取數據，這種事件叫做並發事件。當一個用戶取出數據進行修改，在修改存入資料庫之前如有其它用戶再取此數據，那麼讀出的數據就是不正確的。這時就需要對這種並發操作施行控制，排除和避免這種錯誤的發生，保證數據的正確性；資料庫管理系統提供一套方法，可及時發現故障和修復故障，從而防止數據被破壞。資料庫系統能盡快恢復資料庫系統運行時出現的故障，可能是物理上或是邏輯上的錯誤。比如對系統的誤操作造成的數據錯誤等；資料庫容災備份是資料庫安全管理中極為重要的一部分，是資料庫有效、安全運行的最後保障，也是保障資料庫信息能夠長期保存的有效措施。我院採用的備份類型為完全備份，每天凌晨備份整個資料庫，包含用戶表、系統表、索引、視圖和存儲過程等所有資料庫對象。在備份數據的過程中，主、從伺服器正常運行，各客戶端的業務能正常進行，也即是熱備份。
三、軟體管理：
目前我院在運行的軟體主要分為三類：HIS系統、常用辦公軟體和殺毒軟體。HIS系統是我院日常業務中最主要的軟體，是保障醫院診療活動正常進行的基礎，自20xx年上線以來，運行很穩定，未出現過重大安全問題，並根據業務需要，不斷更新充實。對於新入職的員工，上崗前會進行一次培訓，向其講解HIS系統操作流程、規范，也包括安全知識，確保其在使用過程中不會出現重大安全問題。常用辦公軟體均由醫院信息科統一安裝，維護。殺毒軟體是保障電腦系統防病毒、防木馬、防篡改、防癱瘓、防攻擊、防泄密的有效工具。所有電腦，均安裝了正版殺毒軟體(瑞星殺毒軟體和360安全衛士)，並定期更新病毒庫，以保證殺毒軟體的防禦能力始終保持在很高的水平。
四、應急處置：
我院HIS系統伺服器運行安全、穩定，並配備了大型UPS電源，可以保證大面積斷電情況下，伺服器堅持運行八小時。雖然醫院的HIS系統長期以來，運行良好，伺服器未發生過長時間宕機時間，但醫院仍然制定了應急處置預案，並對收費操作員和護士進行過培訓，如果醫院出現大面積、長時間停電情況，HIS系統無法正常運行，將臨時開始手工收費、記賬、發葯，以確保診療活動能夠正常、有序地進行，待到HIS系統恢復正常工作時，再補打發票、補記收費項目。
總體來說，我院的網路與信息安全工作做得很成功的，從未發生過重大的安全事故，各系統運轉穩定，各項業務能夠正常運行。但自查中也發現了不足之處，如目前醫院信息技術人員少，信息安全力量有限；信息安全意識還不夠，個別科室缺乏維護信息安全的主動性和自覺性。今後要加強信息技術人員的培養，更進一步提高信息安全技術水平；加強全院職工的信息安全教育，提高維護信息安全的主動性和自覺性；加大對醫院信息化建設投入，提升計算機設備配置，進一步提高工作效率和系統運行的安全性。
經過了為期一周的自查工作，我院充分意識到安全工作是一個需要常抓不懈的工程，同時要不斷創新，改變舊有的管理方法和理念，以適應新形勢下的安全管理需要。
為進一步加強我院信息系統的安全管理，強化信息安全和保密意識，提高信息安全保障水平，按照省衛計委《關於xx省衛生系統網路與信息安全督導檢查工作的通知》文件要求，我院領導高度重視，成立專項管理組織機構，召開相關科室負責人會議，深入學習和認真貫徹落實文件精神，充分認識到開展網路與信息安全自查工作的重要性和必要性，對自查工作做了詳細部署，由主管院長負責安排、協調相關檢查部門、監督檢查項目，建立健全醫院網路安全保密責任制和有關規章制度，嚴格落實有關網路信息安全保密方面的各項規定，並針對全院各科室的網路信息安全情況進行了專項檢查，現將自查情況匯報如下：
一、醫院網路建設基本情況
我院信息管理系統於xx年xx月由xxxx科技有限公司對醫院信息管理系統(HIS系統)進行升級。升級後的前台維護由本院技術人員負責，後台維護及以外事故處理由xxxx科技有限責任公司技術人員負責。
二、自查工作情況
1、機房安全檢查。機房安全主要包括：消防安全、用電安全、硬體安全、軟體維護安全、門窗安全和防雷安全等方面安全。醫院信息系統伺服器機房嚴格按照機房標准建設，工作人員堅持每天定點巡查。系統伺服器、多口交換機、路由器都有UPS電源保護，可以保證在斷電3個小時情況下，設備可以運行正常，不至於因突然斷電致設備損壞。
2、區域網絡安全檢查。主要包括網路結構、密碼管理、IP管理、存儲介質管理等;HIS系統的操作員，每人有自己的登錄名和密碼，並分配相應的操作員許可權，不得使用其他人的操作賬戶，賬戶施行「誰使用、誰管理、誰負責」的管理制度。院內區域網均施行固定IP地址，由醫院統一分配、管理，無法私自添加新IP，未經分配的IP無法連接到院內區域網。我院區域網內所有計算機USB介面施行完全封閉，有效地避免了因外接介質(如U盤、移動硬碟)而引起中毒或泄密的發生。
3、資料庫安全管理。我院對數據安全性採取以下措施：
(1)將資料庫中需要保護的部分與其他部分相隔。
(2)採用授權規則，如賬戶、口令和許可權控制等訪問控制方法。
(3)資料庫賬戶密碼專人管理、專人維護。
(4)資料庫用戶每6個月必須修改一次密碼。
(5)伺服器採取虛擬化進行安全管理，當當前伺服器出現問題時，及時切換到另一台伺服器，確保客戶端業務正常運行。
三、應急處置
我院HIS系統伺服器運行安全、穩定，並配備了大型UPS電源，可以保證在大面積斷電情況下，伺服器可運行六小時左右。我院的HIS系統剛剛升級上線不久，伺服器未發生過長宕機時間，但醫院仍然制定了應急處臵預案，並對收費操作員和護士進行了培訓，如果醫院出現大面積、長時間停電情況，HIS系統無法正常運行，將臨時開始手工收費、記賬、發葯，以確保診療活動能夠正常、有序地進行，待到HIS系統恢復正常工作時，再補打發票、補記收費項目。
四、存在問題
我院的網路與信息安全工作做的比較認真、仔細，從未發生過重大的安全事故，各系統運轉穩定，各項業務能夠正常運行。但自查中也發現了不足之處，如目前醫院信息技術人員少，信息安全力量有限，信息安全培訓不全面，信息安全意識還夠，個別科室缺乏維護信息安全的主動性和自覺性;應急演練開展不足;機房條件差;個別科室的計算機設備配臵偏低，服務期限偏長。
今後要加強信息技術人員的培養，提升信息安全技術水平，加強全院職工的信息安全教育，提高維護信息安全的主動性和自覺性，加大對醫院信息化建設投入，提升計算機設備配臵，進一步提高工作效率和系統運行的安全性。
⑻ 關於《網路安全和道德》的資料或作文
根據國內一些網路安全研究機構的資料，國內大部分的ISP、ICP、IT 公司、政府、教育和科研機構等都沒有精力對網路安全進行必要的人力和物力投入；很多重要站點的管理員都是Internet 的新手，一些操作系統如UNIX，在那些有經驗的系統管理員的配置下尚且有缺陷，在這些新手的操作中更是漏洞百出。很多伺服器至少有三種以上的漏洞可以使入侵者獲取系統的最高控制權。
為了使廣大用戶對自己的網路系統安全現狀有一個清醒的認識，同時提高對信息安全概念的了解和認識，強化網路系統安全性能，首創網路近日向用戶推出免費安全掃描服務活動。
評估主機范圍
Capitalnet技術支持中心在開展此次活動之前得到了客戶的書面授權。活動中，根據客戶提供的IP地址，並按照客戶指定的時間，對包括網路設備和應用伺服器等在內的主機系統進行安全評估。
評估時間和方式
此次活動持續兩個月時間，由7月1日開始，到8月31日結束。在活動期間，首創網路技術支持中心安全產品組的專家們在與用戶達成共識的前提下，利用專業的安全評估工具，對客戶網路信息系統中的重點環節進行了全方位的安全掃描，並根據掃描結果產生了安全評估報告，提交給客戶。客戶可以根據這一安全評估報告充分了解自己信息系統的安全情況，進而採取相應的安全應對措施，從而提高網路系統安全性。
評估單位分布
此次評估活動共收到IP地址93個，分別來自不同行業的34家單位。這些單位分別屬於多種行業部門。
評估主機分類
93個IP地址基本代表93台主機，分別為各個單位提供不同的信息化應用。如：WEB、Datebase、Mail等常見應用和防火牆等特殊應用。
評估漏洞分布
在93台主機提供的各種信息應用中，都存在這樣或那樣的漏洞，此次評估都漏洞的風險分為三種：高風險漏洞、中風險漏洞、低風險漏洞。
參照標准為：
● 高風險漏洞代表該漏洞可以使攻擊者可以得到該主機的最高許可權或中斷網路服務；
● 中風險漏洞代表該漏洞可以獲取主機信息，有助於攻擊者進一步攻擊，或存在潛在致命漏洞；
● 低風險漏洞代表該漏洞會間接影響系統服務的正常運行。
評估漏洞類型
本次掃描活動主要採用了三星信息安全公司的安全評估工具SecuiScan，但為了真實反映客戶的漏洞存在情況，也結合了其它著名的安全評估工具，為俄羅斯著名安全評估軟體Shadow Security Scanner和著名的自由軟體Nessus。在工具評估後，根據提供的分析報告來人工檢查證實漏洞的真實性，並在不破壞客戶主機正常運行的情況下得出令客戶信服的評估結果。
評估發現，很多存在漏洞的主機都是一些常見的配置錯誤和已經公布的漏洞，而且針對這些漏洞的攻擊工具很容易被惡意的攻擊者獲取。這些漏洞分布如下圖：
評估漏洞說明
1. 弱口令攻擊：不少網站的管理員賬號密碼、ftp 賬號密碼、Sql 賬號密碼等都使用很簡單的或是很容易猜測到的字母或數字，利用現有的家用PIII 機器配合編寫恰當的破解軟體足以在短時間內輕松破解，一旦口令被破解，網站就意味著被攻破。
2. Unicode 編碼漏洞攻擊：對於Windows NT4.0 和Windows 2000 來說都存在有該漏洞，利用該漏洞遠程用戶可以在伺服器上以匿名賬號來執行程序或命令，從而輕易就可達到遍歷硬碟、刪除文件、更換主頁和提升許可權等目的，實施方法簡單，僅僅擁有一個瀏覽器就可實施。
3. ASP 源碼泄漏和MS SQL Server 攻擊：通過向web 伺服器請求精心構造的特殊的url 就可以看到不應該看到的asp 程序的全部或部分源代碼，進而取得諸如MS SQL Server 的管理員sa 的密碼，再利用存儲過程xp_cmdshell 就可遠程以SYSTEM 賬號在伺服器上任意執行程序或命令，事實上，MS SQL Server 默認安裝的管理員sa 的密碼為空，並且大多數系統管理員的確沒有重新設定為新的復雜密碼，這直接就留下了嚴重的安全隱患。
4. IIS 緩沖溢出攻擊：對於IIS4.0 和IIS5.0 來說都存在有嚴重的緩沖溢出漏洞，利用該漏洞遠程用戶可以以具有管理員許可權的SYSTEM 賬號在伺服器上任意執行程序或命令，極具危險性。實施較為復雜，但是可以獲得這種攻擊的傻瓜攻擊軟體。這種攻擊主要存在於Windows NT 和2000 系統中。
5. BIND 緩沖溢出攻擊：在最新版本的Bind 以前的版本中都存在有嚴重的緩沖溢出漏洞，可以導致遠程用戶直接以root 許可權在伺服器上執行程序或命令，極具危險性。但由於操作和實施較為復雜，一般也為黑客高手所用。這種攻擊主要存在於Linux、BSDI 和Solaris 等系統中。
6. 其他攻擊手法：還有利用Send- mail、Local Printer、CGI、Virus、Trojan、DOS、DDOS 等漏洞攻擊的手段，但在這次評估活動中表現的不是非常明顯。
整體安全評估報告
主機系統的安全評估主要在於分析主機系統存在的安全弱點和確定可能存在的威脅和風險，並且針對這些弱點、威脅和風險提出解決方案。
主機存在安全弱點
安全弱點和信息資產緊密相連，它可能被威脅利用、引起資產損失或傷害。但是，安全弱點本身不會造成損失，它只是一種條件或環境、可能導致被威脅利用而造成資產損失。安全弱點的出現有各種原因，例如可能是軟體開發過程中的質量問題，也可能是系統管理員配置方面的，也可能是管理方面的。但是，它們的共同特性就是給攻擊者提供了對主機系統或者其他信息系統進行攻擊的機會。
經過對這些主機系統和防火牆的掃描記錄分析，我們發現目前該網路中的主機系統主要弱點集中在以下幾個方面：
1 ．系統自身存在的弱點
對於商業UNIX 系統的補丁更新不及時，沒有安全配置過，系統還是運行在默認的安裝狀態非常危險。對NT/2000 的伺服器系統，雖然補丁更新的比及時，但是配置上存在很大安全隱患，用戶的密碼口令的強度非常低很多還在使用默認的弱口令，網路攻擊者可以非常輕易的接管整個伺服器。另外存在IPC$這樣的匿名共享會泄露很多伺服器的敏感信息。
2 ．系統管理存在的弱點
在系統管理上缺乏統一的管理策略，比如缺乏對用戶輪廓文件（Profile ）的支持。在系統中存在空口令的Guest 組的用戶，這些用戶有的是系統默認的Guest用戶，有的是IIS 和SQL 伺服器的默認安裝用戶。這些用戶有些是被系統禁用的，如Guest ，有些則沒有，沒有被禁用的這些賬號可能被利用進入系統。
3 ．資料庫系統的弱點
資料庫系統的用戶許可權和執行外部系統指令是該系統最大的安全弱點，由於未對資料庫做明顯的安全措施，望進一步對資料庫做最新的升級補丁。
4 ．來自周邊機器的威脅
手工測試發現部分周邊機器明顯存在嚴重安全漏洞，來自周邊機器的安全弱點（比如可能使用同樣的密碼等等）可能是影響網路的最大威脅。
主機存在的威脅和風險
安全威脅是一種對系統、組織及其資產構成潛在破壞能力的可能性因素或者事件。產生安全威脅的主要因素可以分為人為因素和環境因素。人為因素包括有意的和無意的因素。環境因素包括自然界的不可抗力因素和其它物理因素。威脅可能源於對企業信息直接或間接的攻擊，例如非授權的泄露、篡改、刪除等，在機密性、完整性或可用性等方面造成損害。威脅也可能源於偶發的、或蓄意的事件。一般來說，威脅總是要利用企業網路中的系統、應用或服務的弱點才可能成功地對資產造成傷害。因此威脅分析是圍繞信息系統的可用性、保密性、完整性、可控性、可審查性、抗抵賴性進行的。
安全風險則是一種可能性，是指某個威脅利用弱點引起某項信息資產或一組信息資產的損害，從而直接地或間接地引起企業或機構的損害的可能性。
在這次評估中，主機系統存在的威脅和及其產生的安全風險主要有以下幾個方面：
1. 針對主機的攻擊威脅
包括針對Windows NT 系統及其開放的系統服務的安全弱點攻擊威脅，攻擊者可能由此獲取系統的信息資源或者對系統信息進行破壞。
2. 針對資料庫的攻擊威脅
包括在對資料庫系統的攻擊行為，包括非法獲取、篡改、刪除資料庫信息資源和進行其他形式的服務攻擊。
3. 管理不當所引起的安全威脅
包括由於用戶管理策略不當使得攻擊者可能獲取某一級別的用戶的訪問許可權，並由此提升用戶許可權，造成用戶許可權的濫用和信息資源的泄漏、損毀等；由於採用遠程管理而引發的威脅；缺乏足夠的安全審計致使對安全事件不敏感，無法發現攻擊行為等。
4. 配置不當所引起的安全威脅
包括在主機系統上開放了未做安全防範的服務如IPC$共享所造成的安全威脅等。
網路安全建議
建議把提供網路服務的程序升級到最新版本，關注網路安全通告，或由首創為客戶提供全面、周到、專業的網路安全服務。
總 結
此次活動歷時兩個月時間，為34家客戶的93台主機提供了全面的安全掃描服務，並將最終的掃描結果提供給了客戶。
通過此次活動，我們發現所有的客戶主機都或多或少存在著各種風險度的安全漏洞，安全現狀不容樂觀。其實在這些客戶所暴露出來的漏洞中，絕大多數都是已經有了解決辦法的，只要做一些簡單的升級或安裝補丁就可以解決。另外，我們還發現，有的客戶使用了一些安全產品，但卻由於使用不當，反而引入了更多的安全漏洞。另外，客戶的信息系統普遍也缺乏良好合理的安全規劃和管理，從而使得其自身的系統對外呈現了很多本不應該出現的漏洞，給外界入侵提供了便利的條件。
我們認為出現這樣的問題主要有這樣一些原因：
客戶普遍還缺乏安全意識，不知道自己其實面臨很大的危險；專業知識不夠，不知如何解決安全問題；對安全產品的選擇、使用和設置不當；沒有合理的安全管理策略和機制。
針對這樣一些原因，有些相對容易解決，有些則要困難一些。在首創網路通過自身的努力，在信息安全領域里不斷追求更高的技術水準和服務水準，力爭在競爭日益激烈的今天，面對不斷復雜的信息安全形勢，從容面對，為客戶提供更加完美的產品和服務。
（本報告由首創網路提供，內容有刪節）
「首創網路安全調查」帶來的啟示
本刊記者 曹 玫
近日，首創網路針對我國企
業網路安全現狀，對來自
34個不同行業用戶的93台主機的網路信息系統進行了抽樣調查，結果是100%的用戶的主機都存在不同程度的安全問題。這個數字不能不讓我們吃驚，網路現狀讓人擔擾。
隨著企業信息化、電子政務的進一步推進，對網路安全的要求與過去已不可同日而語。但信息化在我國剛剛起步，企業對網路安全的意識和認知尚待培育。
本刊記者就首創的網路安全評估活動采訪了中國國家信息安全測評認證中心計算機測評中心常務副主任翁正軍女士，她認為：「首創這次的評估活動值得肯定。這類的網路安全評估如果經常性的進行，對用戶了解自身的安全風險非常有益」
另外，翁女士還提醒道：「針對網路和系統的脆弱性評估，有可能對被測系統造成損害。當然，不一定是測試本身的問題，而是被測系統太脆弱。但是不管怎麼樣，都要讓用戶事先知道風險的存在，並且通過恰當的安排盡力迴避這些風險」。
安全意識 攜手培育
網路安全是「三分技術，七分管理」，從首創的報告中可以看出，造成網路漏洞的原因基本上是管理的忽視和疏漏。
已認識到IT系統重要性的大型企業和跨國企業，雖有一些機房和系統的不很細化的管理制度，但大部分也只限於書面文字的約束而已，沒有強有力的監督實施手段和相應的管理人員；大部分的中小企業甚至沒有把網路安全提升到管理的層面，還只是停留在購買一些低端的安全設備上，當然對於國內的中小企業採取何種安全模式仍是專家和安全服務提供商們爭論的熱點問題。
管理問題追溯其根源，還是企業的意識問題，安全意識的加強和培育是需要政府或行業主管單位、安全廠商和用戶自身共同努力來實現的。
如政府和行業主管要加大政策和法令的宣傳力度，改變政策和相關標准滯後的現狀，一方面，用戶有相關的政策和標准來衡量網路安全廠商提供給他們的產品和服務是否符合國家標准，做到有據可依。另一方面，安全廠商有了相關條例和行業標准，在為用戶構建網路平台和生產安全產品時，把各種安全隱患降減到最小程度，做到了有法必依。
安全廠商在培育用戶的安全意識方面，毫無疑問，充當著主力軍的角色，目前，我國的網路安全意識尚處於萌芽階段，因此對用戶意識的培育應屬於安全廠商市場戰略和規劃的一部分，只有大家共同把這塊蛋糕做大，網路安全廣闊的市場才會在短時間內形成規模。
從用戶自身的角度來講，「船到江心才補漏」是需要付出不可估量的代價的，網路數據的迅速增長，單靠一些低端的安全設備已遠遠難以維護系統和網路安全。總的來說，要改善和加強管理力度,必須提高企業的安全意識.
網路測試 謹慎評估
做安全測試，一定要做非常細化的風險評估策略，首先要確定企業哪些資源需要保護，並根據保護成本與如果事件發生前不採取行動需付出的代價之間的平衡制定評估方案，檢測後要確定企業具體環境下到底存在哪些安全漏洞和安全隱患，一旦這些漏洞被黑客利用會造成哪些風險和破壞。
最後綜合對各種風險因素的評價，明確網路系統的安全現狀，確定網路系統中安全的最薄弱環節，從而改進網路的安全性能。所以檢測之前與之後的評估是非常重要的。全面的網路系統的漏洞評估應該包括對網路的漏洞評估、對系統主機的漏洞評估以及對資料庫系統的漏洞評估三個方面。首創的安全評估屬於對系統主機的漏洞的評估，測試的安全風險相對要小一些。
測試不是目的，制定相應的安全策略並徹底解決用戶存在的安全問題，才是我們的願望。
首創的安全測試為我們敲醒了警鍾，加強安全意識已成為企業高層迫切需要正確對待的問題。
企業信息安全意識有待覺醒
本刊記者 陳 慧
為了解客戶的安全現狀，並
提高客戶的安全意識，首
創網路在7月1日到8月31日為期兩個月的時間內為34家客戶的93台主機提供了免費遠程安全掃描服務。提交的報告結果表明，這些客戶所有的業務部門都或多或少存在著安全漏洞，其中高風險漏洞佔42%，中風險漏洞佔28%，低風險漏洞達30%。可見這些客戶的信息安全現狀令人堪憂。
面對安全漏洞，
視而不見還是立即行動
「此次掃描主要是針對黑客的攻擊行為，」首創網路安全產品經理鍾博向記者介紹說，「我們選擇這種遠程的網路掃描的服務活動比較容易開展，類似於黑客攻擊的第一個階段，還未涉及到內部攻擊。」在發現客戶漏洞之後，首創還可以針對客戶的要求為其提供相應的修補、加固和優化服務、專門的培訓和分析，以及遠程管理和緊急響應等多種全方位的安全服務。
在首創網路掃描過程中發現的網路安全漏洞主要涉及到底層的操作系統平台和應用系統兩個方面。漏洞可能是操作系統帶來的，比如採用Windows操作系統平台的企業漏洞特別多；也有可能是應用系統本身的問題，比如資料庫、Web系統和ERP應用軟體等等。在應用系統方面，資料庫的漏洞比較多，其中又以SQL Server資料庫的漏洞為甚。對於操作系統的漏洞，大多可通過從網上下載補丁程序的方法加以解決，有些客戶沒有下載補丁程序，因而容易被攻擊。也有客戶把用戶訪問口令設成了空的，也容易被攻擊。這些漏洞本都很容易避免，之所以出現，主要因為應用和管理人員本身安全意識淡薄所導致。
被掃描的首創網路的IDC和專線客戶，都是經常使用IT設備和網路應用的，其中，本身業務系統與安全結合不是很緊密的客戶比較容易產生安全漏洞，比如媒體的網站、製造業企業的網站等。在首創網路的整個掃描服務期間中就出現過這樣的情況。一家傳媒機構的網站被黑客攻擊，其主頁被篡改了。客戶要求首創對其遭到攻擊的主機進行掃描，了解其被攻擊的原因。通過掃描，發現主要原因在於這個傳媒機構把操作系統裝好之後，採取了默認配置，並沒有做安全性增強方面的考慮和設置，其主機上的漏洞都是一些很常見也很容易彌補的。此外，製造業企業涉及到CRM和ERP這樣的系統。總部與分支機構之間經常有大量機密的數據需要交互，對於這樣的企業，如果不做好全面的安全規劃並採取相應的安全手段，也容易對外暴露很多安全漏洞。
面對送過來的掃描結果和漏洞分析，客戶的反應五花八門：有的客戶一接到掃描的結果，發現自己的網路安全存在這么多的問題，非常著急，立刻要求首創為其提供相應的解決方案；有的客戶要求首創幫助把漏洞堵上；也有客戶說，賣我們一個防火牆吧；還有客戶沒有反應，好像在忙著理順自己的網路，無暇顧及安全問題。
安全防範，投入多少並採取哪些手段
有兩個問題需要企業考慮清楚，一是企業要保護的信息到底值得投入多少；二是採取什麼手段。網路時代，企業要連接到互聯網上與外部溝通。任何企業無論大小，總是有些信息是不希望被外界知道的，每一個企業都有必要採取一定的手段保護自己的信息，防止被別人竊取、篡改或者破壞。那麼企業值得投入多少人力、物力和財力保護信息安全？
信息的價值其實不太好量化。鍾博認為，那些有關產品生產的科研數據，如果被競爭對手掌握，很快搶占市場，可能造成經濟利益的巨大損失，那麼可以說這些信息非常有價值；還有企業的人事信息和財務信息，一般來說也是需要保密的；也有一些信息可能被別人看到也沒有太大問題。信息的價值是可以分級別的，針對信息的價值企業考慮是否投入相應的人力、物力和財力來做相應的保護。一般來說，在一個企業的網路的建設中，在信息安全方面需要15%～20%的投入，對於不同的行業，比例會有所不同，有的企業可能會更高，這主要取決於企業需要保護的信息價值有多大。
在確定需要多少投入進行信息安全建設之外，還要考慮如何來保護和合理地分攤投入。主要有安全管理，安全技術和產品這兩個方面。企業一方面要與提供安全產品或者解決方案的廠商共同制定一個合理的安全管理制度，另一方面，要很好地利用安全產品，讓它在企業安全防範中發揮作用。
安全管理就是制定安全策略，安全管理制度。比如員工上機制度，機房管理制度等等，不同的企業具體情況不同，需要網路安全廠商或者解決方案提供商同客戶共同協商制定。如果客戶對此不太了解，就需要安全廠商先提出方案，然後由客戶認可之後在企業內執行。而對於安全技術和產品來說，很多企業認為，購買了一個防火牆、防病毒的產品，把它們加入到信息系統裡面，就認為萬事大吉了。但實際上，很可能由於管理方面的不當，不能夠起到很好的保護的作用。
安全事件的產生源，分為內部和外部的兩種，如果是內部人員有意要破壞信息，可能要比來自外部的更輕車熟路。首先要准確地區分什麼是內部和外部。一個公司內外隔離的點，一般是企業內部網路與互聯網的接入點，在這個點上可以做防火牆等設置。在整個企業實體的內部，還要做一些具體的劃分，核心的部分要作為內部的內部，即使是內部員工也不可以隨便訪問。在內部解決安全問題常見的手段就是入侵檢測，防止入侵行為出現。有重要的數據存儲的部分，需要數據完整性的保護，需要防病毒、身份認證和審計等等安全手段。找准隔離和保護的點在哪裡，這樣才知道相應的安全設備和手段應該用在什麼地方。
安全意識淡薄、無序競爭的現狀有待改進
2001年，安全產品的市場份額已經達到40億，2002年將會繼續增長，安全市場成為整個IT業的一個亮點。國內的安全廠商也很多，但是存在無序競爭和惡性降價的情況。在安全產品競爭中，有些地方存在地方保護主義。在產品與服務的意識上，中外企業也有差別。首創網路是一家網路安全解決方案提供商，在為客戶服務的過程中，鍾博覺得外資客戶更看重安全服務，比如安全掃描，入侵檢測數據的報告，以及出現某種問題的分析，甚至提出租用安全服務提供商的設備，而國內企業比較重視安全產品的擁有。
目前，整個安全市場的發育不是很平衡，大多數客戶認識到的安全產品只有防火牆和防病毒產品。實際上，信息安全領域還有很多其它產品：比如身份認證、保密產品、VPN（虛擬私有網）、關鍵行業使用的防電磁泄露、信息隱藏（數字水印）、政府部門需求比較多的物理隔離等等。
在首創網路的這次安全評估報告總結中，我們可以看到，企業普遍缺乏安全意識，不知道自己其實面臨很大的危險，專業知識不夠，對安全產品的選擇、使用和設置不當，沒有合理的安全管理策略和機制。如何提高企業的安全意識呢？鍾博認為必須要讓企業有切身的面臨危機的感受。通過首創網路的這次掃描活動，讓客戶意識到，他的網路中肯定是存在這樣那樣的漏洞，並且有具體的描述，這樣多多少少都會引起客戶注意。這其實也是首創網路在積極地提醒市場的一種行為。
企業在考慮信息安全問題的時候，如果信息系統正在建設的過程之中，這時需要把相關安全問題考慮進去。如果信息系統已經建好了，只是做安全增強的工作，這時可能就比較困難，可能需要對整個系統的參數配置做一些修改，客戶有時會為了避免麻煩而放棄安全方面的考慮。對於信息系統已經建好的企業，最好是能夠及時地意識自己的安全問題，盡量做一些相關的調整.
⑼ app安全評估報告還要現場勘查嗎
這個是不用的，只要下載安全評估報告，簽字蓋章，掃描後轉成PDF格式，然後上傳到應用開放平台即可。
拓展資料：
安全評估分狹義和廣義二種。狹義指對一個具有特定功能的工作系統中固有的或潛在的危險及其嚴重程度所進行的分析與評估，並以既定指數、等級或概率值作出定量的表示，最後根據定量值的大小決定採取預防或防護對策。廣義指利用系統工程原理和方法對擬建或已有工程、系統可能存在的危險性及其可能產生的後果進行綜合評價和預測，並根據可能導致的事故風險的大小，提出相應的安全對策措施，以達到工程、系統安全的過程。安全評估又稱風險評估、危險評估，或稱安全評價、風險評價和危險評價。
(Safety assessment ) 網路安全評估又叫安全評價。
一個組織的信息系統經常會面臨內部和外部威脅的風險。 隨著黑客技術的日趨先進，沒有這些黑客技術的經驗與知識很難充分保護您的系統。安全評估利用大量安全性行業經驗和漏洞掃描的最先進技術，從內部和外部兩個角度，對企業信息系統進行全面的評估。
由於各種平台、應用、連接與變更的速度和有限的資源組合在一起，因此採取所有必要措施保護組織的資產比以往任何時候都困難。環境越復雜，就越需要這種措施和控制來保證組織業務流程的連續性。
在項目評估階段，為了充分了解企業專用網路信息系統的當前安全狀況（安全隱患），因此需要對網路系統進行安全狀況分析。經我系安全小組和該企業信息中心的雙方確認，對如下被選定的項目進行評估。
· 管理制度的評估。
· 物理安全的評估。
· 計算機系統安全評估。
· 網路與通信安全的評估。
· 日誌與統計安全的評估。
· 安全保障措施的評估。
· 總體評估。
⑽ 物理安全風險主要表現在哪些方面
.
我國網路銀行除了具有傳統銀行的流動性風險、利率風險、結算風險、道德風險、新金融工具風險外,還增加了一些網路環境下的新風險。
一、 我國網路銀行面臨的風險
1.系統風險
(1) 操作系統風險。操作系統是作為計算機資源的直接管理者,它直接和硬體打交道並為用戶提供介面,是計算機系統能夠正常、安全運行的基礎。Windows操作系統存在許多安全漏洞,UNIX操作系統是一個開放的系統,源代碼已公開。根據美、荷、法、德、英、加共同制定的通用安全評價標准《Common Criteria for IT Security Evaluation(簡稱CC標准)》,微軟的Windows操作系統、大部分的UNIX操作系統其安全性僅達到C2級安全,而網路銀行的操作系統的安全級別應至少達到B級。
(2)應用系統風險。網路業務系統設計存在漏洞。目前,網路應用軟體存在以下安全漏洞:無效參數、失效的訪問控制、失效的賬戶、跨站點腳本漏洞、緩沖溢出、命令注入漏洞、錯誤處理問題、密碼系統的非安全利用、遠程管理漏洞、網路及應用軟體伺服器錯誤配置。
在設計過程中,只重視「計算機如何完成任務」方面的設計,對運行過程中的程序控制或檢查考慮不全面,系統沒有為審計留下介面,難以進行實時審計。
(3)數據存儲風險。數據存取、保密、硬碟損壞導致的風險。
(4)數據傳輸風險。數據傳輸過程中被竊取、修改等風險。
2.操作風險
網路銀行操作風險是指由於網路銀行中的內部程序、人員、系統的不完善或失誤,以及外部事件而導致網路銀行直接或間接損失的風險。產生操作風險的原因有以下幾點:
(1)網路銀行操作風險意識淡薄。
(2)組織機構職責不清。
(3)內控制度不健全或執行不力。
(4)沒有適合的網路銀行稽核審計部門。
3.信用風險
網路銀行的信用風險主要表現為客戶在網路上使用信用卡進行支付時惡意透支,或使用偽造的信用卡來欺騙銀行。
4.信息不對稱風險
信息不對稱表現在兩個方面,一方面是由於網路銀行無法得到足夠客戶信息,另一方面是由於客戶無法得到有關網路銀行的足夠信息。信息不對稱使得網上客戶更容易隱蔽他們的信息和行動,做出對自己有利而對網路銀行不利的行為,也使得客戶不能正確評價網路銀行的優劣。
5.法律風險
我國對網路銀行和網上交易缺乏相應的法規。如:如何徵收與管理網上稅收、數字簽名是否具有法律效力、交易的跨國界問題、知識產權問題、電子合同問題、電子貨幣問題、電子轉賬問題。
二、 我國網路銀行風險防範對策
1.系統風險的防範
(1)物理安全。主要指對計算機設備場地、計算機系統、網路設備、密鑰等關鍵設備的安全防衛措施。為了防止電磁泄露,要對電源線和信號線加裝濾波器,減少傳輸阻抗和導線間的交叉耦合,同時對輻射進行防護。
(2)應用安全操作系統技術。安全操作系統不僅可以防範黑客利用操作系統平台本身的漏洞來攻擊網路銀行交易系統,而且它還可以在一定程度上屏蔽掉應用軟體系統的某些安全漏洞。美國先後開發了各種級別的安全操作系統,其中作為商用的有Data General公司的DG UX B1/B2安全操作系統,HP公司的HPUX CMW B1級安全操作系統等。國內各大科研機構及公司也研製出高安全級別的操作系統,如:中科院信息安全工程研究中心研製的SECLINUX安全操作系統、中軟總公司研製的COSIX LINUX系統。目前,中國建設銀行的網路銀行系統建立在安全操作系統平台之上,該系統基於HP9000硬體平台,採用HP公司的B1級安全操作系統。
(3)數據通信加密技術的應用。對傳輸中的數據流進行加密,按實現加密的通信層次可分為鏈路加密、節點加密、端到端加密。在鏈路數較多以及對流量分析要求不高的情況下,適合採用「端到端加密」方式。在對流量分析要求較高的情況下,可採用「鏈路加密」與「端到端加密」相結合的方式:用「鏈路加密」對報文的報頭進行加密,防止進行流量分析,再用「端到端加密」對傳送的報文進行加密保護。
對數據進行加密的演算法主要有DES和RSA兩種。DES屬於私鑰加密體制(又稱對稱加密體制),它的優點是加、解密速度快,演算法容易實現,安全性好,缺點是密鑰管理不方便。RSA屬於公鑰加密體制(又稱非對稱加密體制),它的優點是安全性好,網路中容易實現密鑰管理。因此可以採用將DES和RSA相結合的綜合加密體制:用DES演算法對數據進行加密,用RSA演算法對密鑰進行加密。
(4)應用系統安全。應用系統安全主要包括對交易雙方的身份確認和對交易的確認。在網路銀行系統中,用戶的身份認證依靠數字簽名機制和登錄密碼雙重檢驗,將來還可以通過自動指紋認證系統進行身份認證。數字簽名還確保了客戶提交的交易指令的不可否認性。公鑰基礎設施——PKI(Public Key Infrastructure)是解決大規模網路環境中信任和加密問題的很好的解決方案。同時採用安全電子交易協議,目前主要的協議標准有:安全超文本傳輸協議(S-HTTP)、安全套接層協議(SSL)、安全交易技術協議(STT)、安全電子交易協議(SET),其中SET涵蓋了信用卡的交易協定、信息保密、資料完整及數據認證、數字簽名等,已經成為事實上的工業標准。
加強應用系統開發過程的審計,應用系統運行過程中的實時審計。
(5)應用資料庫安全技術。應用存取控制技術、數據加密技術、硬碟分區防護技術、資料庫的安全審計技術、故障恢復技術等。
(6)應用防火牆安全技術。建立綜合計算機病毒檢測技術、代理服務技術和包過濾技術的第四代防火牆,提供DES加密、支持鏈路加密或虛擬專網、病毒掃描等安全服務,並具有實時報告、實時監控、記錄非法登錄、統計分析等功能。設置放火牆時要截止所有從135到142的TCP和UDP連接,改變默認配置埠,拒絕PING 信息包,通過設置ACCESS LIST 的過濾規則來實現包過濾功能。採用防火牆雙機冷備份策略。進行入侵檢測和定期漏洞掃描。
2.操作風險的防範
操作風險主要來自銀行內部,應完善網路銀行的內部控制制度,建立科學的操作規范,嚴格內部制約機制,將不相容職務如管理員與經辦員分離、程序員與操作員分離、製作者與執行者分離,對主管和操作員實行IC卡身份鑒別,並同時加口令,任何進入系統的操作必須有日誌記載。
建立操作風險管理中心,對員工進行防範操作風險的技術培訓,監督各項操作風險管理制度的執行情況,對網路銀行的操作風險進行評估,並採取相應措施。建立操作風險應急反應中心,對業務的影響因素進行研究,識別出可能導致業務中止的情況,系統的備份及定期測試公司的災難應急計劃,對出現的安全問題提供技術支援和解決方案。使用保險來抵補那些「低頻率、高危害」的操作風險。建立操作風險審計中心,對全部的網路銀行業務實時監控、網路掃描,並利用審計記錄,對業務操作人員和計算機系統管理人員進行稽核。
來自外部的操作風險,尤其是網路銀行金融欺詐方面,不但要對個人服務的零售業務進行監控,還要加強對登錄網路銀行的企業加強監控,通過數據挖掘軟體對可疑資金交易進行分析,防範利用網路進行非法資金交易。
3.信用風險的防範
建立全國性的用戶信用管理信息系統,將用戶劃分為不同的信用等級,針對不同等級的用戶採取不同的管理措施。應共享客戶資料信息庫,與其他商業銀行、保險公司等非銀行金融機構、世界各銀行等金融機構合作,及時將客戶的守信情況和違約情況記錄入庫。
4.信息不對稱風險的防範
建立信息披露制度,強化信息披露的質量。應定期發布經注冊會計師審計的關於網路銀行經營活動和財務狀況的公允信息,披露有關網路銀行風險的大小和網路銀行為了規避風險而採取的措施以及消費者權益保護的信息。建立社會監管體系,網路銀行之間進行相互監督。
5.法律風險的防範
應充分利用和執行《網路銀行業務管理暫行辦法》,應充分利用《合同法》、《會計法》、《票據法》、《支付結算辦法》等法律擬訂網路銀行相關協議,制定有關業務流程和業務處理規定,應充分利用目前執行的關於網路安全方面的行政法規,如《計算機信息系統安全保護條例》、《計算機信息網路國際聯網管理暫行規定》等,充分利用中國金融認證中心在認證技術方面的權威性和第三方認證的合理性。網路銀行應注重交易數據的保管,為可能的糾紛或訴訟過程做好證據准備。
建立網路銀行法律監管體系,制定網路銀行的外部懲罰措施以及網路銀行的市場退出機制。建立網路銀行業務運營法律體系,如建立《電子銀行法》、《電子簽名法》、《電子資金劃撥法》等法律法規,同時對已有法律法規進行充實、修改。完善網路銀行配套法律法規建設,主要有稅收征管法、國際稅收法、電子商務法、刑法、訴訟法、票據法、證券法、商業銀行法、消費者權益保護法、反不正當競爭法等相關法律法規。加強與國際立法、司法實踐的交流與合作,加大打擊網上洗錢、網上盜竊等電子犯罪的力度。