前言
A 安全管理制度
A-1 未明确信息安全总体方针和策略．
A-2 信息安全制度未说明安全工作的总体目标、范围、原则和安全框架
A-3 未制定信息系统运维人员和督查人员的日常操作规程
A-4 未定期对安全管理制度进行修编或评审
A-5未针对系统变更、重要操作、物理访问和系统接八等重要事项建立审批程序
A-6 安全管理员兼任网络管理员、系统管理员、数据库管理员等
A-7 安全运维员职责未包括定期对系统日常运行、系统漏洞和数据备份等情况进行检查
A-8 未在制度中明确维护人员的责任、涉外维修和服务的审批、维修过程的监督控制等
A-9 未制定制度对网络安全配置、日志保存时间、安全策略、补丁升级与漏洞修补、口令更新等内容作出规定
B 人员安全管理
B-1 未签署保密协议，重要安全岗位人员离职时未签署保密协议
B-2 未制订安全培训计划
B-3 未开展覆盖全员的安全意识教育和培训
B-4 未对关键岗位人员进行全面、严格的安全审查和技能考核
B-5 员工离职、调动后未注销其在信息系统中所有的账号和访问权限
B-6 未对外部人员允许访问的区域、系统、设备、信息等内容进行书面规定，并未按照规定执行
B-7 未明确安全岗位录用要求
B-8 安全管理制度中无第三方人员管理内容．
B-9 操作时未严格执行“两票制度”
B-10 值班人员在工作时间擅自离岗
B-11 员工岗位变动造成人员信息变更时未及时通知信息系统运维人员
C 系统建设管理
C-1 无系统定级报告，未确定安全保护等级，导致不能按照相应等级要求进行安全防护
C-2未向行业监管部门和公安部门申请进行信息系统等级定级审批，无系统备案报告和公安部门备案记录
C-3 未评审业务系统的信息安全等级保护定级情况
C-4 未与信息系统外部合作单位签订保密协议及承诺书
……
D 系统运行管理
E 物理安全
F 网络及边界安全
G 主机安全
H 应用安全
I 数据安全及备份恢复
附录A 运行安全相关表单
附录B 信息系统操作票
附录C 信息系统工作票
鄂公网安备 42010302001612号 