当前位置:首页  网络安全  规章制度

福建省教育厅 福建省公安厅关于切实做好我省教育行业信息安全等级保护工作的通知

发布时间:2018-06-08     作者:宋志     浏览:37


福建省教育厅文件

  

闽教科〔201695

  


福建省教育厅 福建省公安厅

关于切实做好我省教育行业信息安全

等级保护工作的通知

  

各设区市及平潭综合实验区教育局、公安局,各高等学校,厅直属单位(学校):

近年来,随着教育信息化的深化发展,教育行业信息系统及网站遭到挂马、植入暗链、页面遭篡改、数据被窃取等恶意攻击事件时有发生,网络与信息安全面临巨大威胁。为提高我省教育信息系统安全防护能力,保障教育信息化重要网络设施、信息系统及数据安全,根据《教育部、公安部关于全面推进教育行业信息安全等级保护工作的通知》(教技〔20152号)等文件要求,现将切实做好我省教育行业信息系统(含网站,下同)安全等级保护工作有关事项通知如下:

 一、工作目标

按照国家信息安全等级保护制度的相关法律法规、标准规范以及《福建省教育行业信息系统安全等级保护工作指南(试行)》(附件1,以下简称《工作指南》)要求,全面开展信息安全等级保护工作。2017831日前,基本完成全省教育行业信息系统的定级、备案和第三级信息系统的测评、整改工作,建立信息安全等级保护工作长效机制,有效预防和减少信息安全事(案)件的发生。

二、工作分工

教育行业各单位是信息技术安全工作的责任主体,负责本单位所属信息安全等级保护工作省教育厅负责统筹全省教育行业信息安全等级保护工作。各级教育行政主管部门及直属事业单位、各级各类学校按照“自主定级、自主保护”的原则开展本地区、本单位信息系统安全等级保护工作。各级公安机关按照“属地管理”的原则,负责本地区教育行业单位的信息安全等级保护工作的监督和检查。依据《信息安全等级保护测评机构管理办法》要求,教育行业信息系统安全等级测评工作由福建省等级保护工作协调小组办公室推荐有测评资质的机构负责。

三、实施步骤

第一阶段:自主定级(2017115日前)。各级教育行政主管部门及直属事业单位、各级各类学校依据《工作指南》对本单位信息系统类型先分类后进行自主定级,填写《信息系统登记表》(附件2),并整理归档备查。

第二阶段:等级备案(201731)。安全保护等级定级为第二级、第三级的信息系统,应填写《信息系统安全等级保护备案表》(附件3)、《信息系统安全等级保护定级报告》(附件4),于31到公安机关办理备案手续。省教育厅向省公安厅网络安全保卫总队备案;直属事业单位(不含学校)、市(县、区)教育行政主管部门及其直属事业单位、各级各类学校向属地公安机关网安支队(大队)备案。

第三阶段:测评整改(2017631日前)。安全保护等级定级为第二级、第三级的信息系统要在定级备案的基础上,对照等级保护控制项防护措施(附件1附表3),分析差距并确定整改需求,对信息系统进行安全加固和完善,同时必须落实安全管理制度,提高网络和信息系统的整体保护能力。第三级信息系统必须提交《信息系统安全等级测评申请书》(附件6)至测评机构,根据出具的等级测评报告开展安全建设、整改,并每年进行复测。

第四阶段:检查验收(2017831前)。20177月起,按照自下而上的顺序,省教育厅和省公安厅将组成联合检查组,采取局部普查与重点抽查相结合的方式,对全省教育行业信息系统的定级备案和安全防护水平进行检查,进一步查缺补漏,确保我省教育行业信息系统安全平稳运行。

  四、工作要求

(一)提高认识,加强领导。开展信息系统安全等级保护,是贯彻落实国家有关政策法规的重要举措,是抓好新形势下信息安全工作的具体行动,也是我省各级教育部门亟需改进的薄弱环节。厅属各事业单位、各级教育行政主管部门、各高校要高度重视信息系统定级备案和测评整改工作,切实加强统筹领导、明确责任领导和责任部门、提供必要的保障条件,确保工作有序推进。

(二)健全规划,明确节点。各单位应按照省教育厅、省公安厅整体部署,在信息系统自查的基础上,研究制定信息安全等级保护工作方案,细化工作任务、标准要求和进度安排。要以集中开展信息系统定级备案、测评整改为契机,建一步健全信息安全管理体制,完善信息安全管理制度,建立信息安全应急体系,加强网络与信息安全队伍的培训力度,构建常态化、长效化的信息安全工作机制。

(三)加强监督,确保实效。省教育厅、省公安厅将根据信息安全等级保护工作的进度安排,分阶段对各地、各高校工作进展情况进行监督。对在自主定级中故意降低信息系统安全级别,逃避主管部门监督,或者未在规定时限内完成等级备案和测评,存在重大安全隐患的,将追究单位和人员责任,直报省委、省政府、市委、市政府主要领导。各地教育行政部门和公安部门也要采取相应措施,抓好属地信息系统安全等级保护工作。

(四)强化规范,落实长效。各级教育行政主管部门及直属事业单位、各级各类学校在新建、改建、扩建第二级、第三级信息系统时,应同时采取安全保护措施,严格落实等级备案、测评和安全建设整改工作。各设区市、平潭综合实验区公安局应加强监督指导,确保我省教育行业信息系统符合相关工作要求。

  

附件:1.福建省教育行业信息系统安全等级保护工作指南

2.信息系统登记表

3.信息系统安全等级保护备案表

4.信息系统安全等级保护定级报告

5.信息系统安全等级测评申请书

  

  

省教育厅科技处联系人:刘心悦,电话:0591-87091208

省公安厅网安总队联系人:张惠源,电话:0591-87094644

  

  

  

福建省教育厅 福建省公安厅

2016年12月6


附件1

福建省教育行业信息系统安全等级保护

工作指南

(试行)

1总则

本指南依据国家信息安全等级保护相关政策和标准,参照教育部《教育行业信息系统安全等级保护定级指南》,结合福建省省教育行业信息化工作的特点和具体实际,对全省教育行业信息系统进行分类,提出安全等级保护的定级思路,给出建议等级,明确工作流程。

本指南适用于福建省各级教育行政部门及其直属事业单位、各级各类学校的非涉密信息系统安全等级保护定级工作。

信息系统的定级工作应在信息系统设计阶段完成,与信息系统建设同步实施。

2定级依据

中华人民共和国计算机信息系统安全保护条例》(国务院第147号令)

《信息系统安全等级保护定级指南》(GB/T 22240-2008

《信息系统安全等级保护实施指南》(GB/T 25058-2010

《关于开展全国重要信息系统安全等级保护定级工作的通知》(公信安〔2007861号)

《信息安全等级保护管理办法》(公通字〔200743号)

《教育行业信息系统安全等级保护定级指南》(教技厅函〔201474号)

3信息系统的类型划分

信息系统的类型划分是进行信息系统安全等级划分的前提和基础。按照信息系统的主管单位、业务对象、部署模式对教育行业信息系统进行分类,形成信息系统分类表(附表1)。

3.1按信息系统主管单位划分

按照信息系统主管单位的不同,信息系统分为“教育行政部门及其直属事业单位信息系统”(简称“部门信息系统”)和“学校信息系统”两类。

部门信息系统可分为省级教育行政部门及其直属事业单位信息系统(省级系统)、地市级教育行政部门及其直属事业单位信息系统(市级系统)和区县级教育行政部门及其直属事业单位信息系统(区县级系统);学校信息系统可分为省重点建设本科高校信息系统(I类)、其他高等学校信息系统(Ⅱ类)、中小学校(含中职中专院校)信息系统(Ⅲ类)。

3.2按信息系统业务对象划分

根据信息系统业务对象不同,部门信息系统可分为政务管理类、学校管理类、学生管理类、教师管理类、综合服务类;学校信息系统可分为校务管理类、教学科研类、招生就业类、综合服务类。

3.3按信息系统部署模式划分

根据信息系统的部署模式,信息系统可以分为内部系统和统一运行系统。内部系统是指仅供本单位内部使用,实现本单位业务管理与服务的信息系统。统一运行系统是指供多家(级)单位共同使用,实现某项业务的跨单位统一管理与服务的信息系统。

统一运行系统可进一步分为集中式系统和分布式系统。集中式信息系统逻辑上是一套系统,在一个单位统一部署、管理和运行,多家(级)单位共同使用,实现信息系统、业务流程和数据的集中式管理;分布式信息系统逻辑上是多套系统在多家(级)单位分别部署、管理和运行,通过技术接口实现信息系统、业务流程和数据的分布式管理。

4信息系统的定级思路

信息系统的定级思路是在信息系统分类的基础上,参照国家对信息系统的安全保护等级标准的等级划分,形成教育行业信息系统安全等级划分建议。按主管单位不同,分别对部门信息系统和学校信息系统采取不同的思路进行分析,分别形成信息系统安全等级建议表(附件2)。实际定级工作中,信息系统所定等级原则上不应低于建议等级,特殊情况应由负责备案的公安机关或单位主管部门同意。

5信息系统的定级工作流程

教育行业信息系统安全等级保护应坚持“自主定级、自主保护”的原则,依据《信息系统安全等级保护定级指南》的定级原理、方法,参照本指南的信息系统类型划分、定级思路组织开展信息系统定级工作。

5.1确定定级责任主体

信息系统应明确定级工作的责任主体。按照“谁主管谁负责、谁运维谁负责、谁使用谁负责”的原则,信息系统的主管单位为定级工作的责任主体,负责组织运维单位、使用单位开展信息系统定级工作。集中式信息系统由信息系统牵头建设单位负责组织信息系统定级工作。分布式信息系统由牵头建设单位负责组织信息系统定级工作,确定中心信息系统安全保护等级;各分支信息系统的主管单位参照中心系统的安全保护等级自主组织定级工作。信息系统的运维单位应协助主管单位完成定级过程中的具体技术支撑工作。

5.2自主定级

主管单位对本单位信息系统进行梳理分析,参考附表2的建议等级进行自主定级,确定信息系统安全保护等级。对于承载复杂业务的信息系统,安全保护等级可高于建议等级;对于承载多个业务的信息系统,应以所承载业务的信息系统的最高建议等级进行定级。

5.3公安机关备案

第二级、第三级信息系统,由其定级责任主体负责到所设区市级以上公安机关办理备案手续。

6等级测评与安全建设、整改

定级为第二级、第三级的信息系统要在定级备案基础上,对照等级保护控制项防护措施(附表3),进行差距分析,通过测评或分险评估方式确定整改需求,对信息系统进行安全加固和完善,落实安全保护技术措施和安全制度,提高网络和信息系统的整体保护能力。第三级系统在定级备案时需进行一次测评并每年进行一次复测,第二级系统建议在定级备案时进行一次测评并每两年进行一次复测。

7等级变更

信息系统运行过程中,当系统状态变化可能导致业务信息安全或系统服务受到破坏后的受侵害对象和受侵害程度有较大的变化时,应根据具体情况重新定级,并变更等级。

  

附表:1.信息系统分类表

2.信息系统安全保护等级建议表

3.等级保护控制项防护措施

  

  

附表1

信息系统分类表

  

1:部门信息系统分类表

  

序号

分类

信息系统

业务描述

1.

01

政务管理类

(01)办公与事务处理

公文流转与日常办公事务处理等。

2.

(02)公文与信息交换

上下级教育行政部门和学校之间的文件传输、信息报送等。

3.

(03)人事管理

人力资源管理,如人员招聘、合同管理、工资管理、培训管理、绩效考核、奖惩管理等。

4.

(04)财务管理

会计核算、项目经费管理、财务信息发布等。

5.

(05)资产管理

固定资产、仪器设备管理等。

6.

(06)信访管理

信访业务受理、办理、反馈、统计等。

7.

(07)档案管理

档案采集、立卷、组卷、统计、查询等。

8.

(08)党务管理

党员个人基本信息管理、发展党员信息管理、党员进出情况信息管理、党员奖惩信息管理、党组织活动信息发布等。

9.

(09)科研管理

科研项目申报、过程管理、经费管理、结果评估等。

10.

(10)教育统计管理

各类法定教育统计数据的采集、汇总、上报、查询和分析等。

11.

(11)决策支持

数据分析、知识发现、决策支持等。

12.

(12)应急指挥

突发事件应急指挥与处置、监控管理、预测统计、报警联动等。

13.

(13)舆情监测与管理

互联网信息舆情监测、分析与处理等。

14.

(14)高等教育招生计划管理

招生计划管理、高等教育机构招生资格管理等。

15.

(15)普通高校招生网上录取管理

全国普通高校招生网上录取系统。

16.

(16)教育考试考务管理与服务

考务工作信息资源和数据交换、考务工作管理、数据分析、决策指挥等。

17.

(17)评审、表彰管理

教育系统各类评审、表彰类管理,含网上申报、单位推荐和专家评审等。

18.

02

学校管理类

(01)学校管理

各类教育机构设置审核、基本信息管理、教育经费管理、基建管理、技术装备信息管理、教学信息管理等。

19.

(02)学科、专业管理

高等学校和科研机构学科、专业建设管理、评估等。

20.

(03)教学改革管理

教改项目申报、政策与标准发布、教学状态数据库管理等。

21.

(04)教学质量评估

高等学校教学质量评估、学校和专业评估、质量报告发布等。

22.

(05)校园安全与稳定管理

校园安全综合管理、宣传、培训、监控与治理等。

23.

(06)教育经费监管

教育部和各省级教育行政部门对各高校经费执行情况的监管和统计等。

24.

03

学生管理类

(01)学生学籍管理

各类学生入学管理、学生学籍管理等。

25.

(02)招生录取管理

各类学生网上报名、招生、考试、评卷、录取管理等。

26.

(03)学生资助管理

各类学生资助申请、审批、管理、信息统计等。

27.

(04)学位授予管理

学士、硕士、博士学位授予管理等。

28.

04

教师管理类

(01)教师基本信息管理

各级各类教师基本信息上报、管理、更新、个人档案管理等。

29.

(02)教师资格认定管理

教师资格认定网上报名、审核、认定、信息综合管理等。

30.

(03)教师培训管理

各类教师培训管理、师资管理、在线培训等。

31.

(04)教师教育管理

教师教育院校信息管理、师范生信息管理等。

32.

(05)教师职称管理

各级各类教室职称网上申报、评审、信息综合管理等。

33.

05

综合服务类

(01)门户网站

官方信息发布、政务公开、行政审批、政策咨询、社会服务等。

34.

(02)论坛、社区类网站

即时消息、在线交互、论坛、博客、微博、BBS等。

35.

(03)教育教学资源

互动教学、教育教学资源发布、共享及服务等。

36.

(04)毕业、就业信息管理

各类毕业、就业信息发布,就业政策咨询与指导等。

37.

(05)电子邮件

电子邮件发送、接收、查询等。

38.

(06)视频服务

在线声音、影像及文件资料的即时共享、视频会议、视频点播直播等。

39.

(07)安防监控

重要场所远程监控、安全预警等。

40.

(08)内网门户与身份认证

信息聚合与展现、身份认证、单点登录、权限控制、CA证书管理等。

41.

(09)公共数据库

数据共享交换、数据分析、综合查询等。

42.

(10)运维管理

网络与信息系统运行监控、设备管理、维护等。

  

 2:学校信息系统分类表

  

序号

分类

信息系统

业务描述

1.

01

校务管理类

(01)办公与事务处理

公文流转与日常办公事务处理等。

2.

(02)公文与信息交换

上下级教育行政部门和学校之间的文件传输、信息报送等。

3.

(03)人事管理

人力资源管理,如人员招聘、合同管理、工资管理、培训管理、绩效考核、奖惩管理等。

4.

(04)财务管理

会计核算、项目经费管理、财务信息发布等。

5.

(05)资产管理

固定资产、仪器设备、公房管理等。

6.

(06)后勤管理

后勤工作管理、后勤服务项目管理、后勤咨询投诉处理、能源使用管理等。

7.

(07)学生教育工作管理

各类学生迎新、学生评估、奖惩管理、助学贷款申请审核、离校管理等。

8.

(08)学生体质健康数据管理

各类学生体质健康数据采集、处理、查询等。

9.

(09)档案管理

档案采集、立卷、组卷、统计、查询等。

10.

(10)党务管理

党员个人基本信息管理、发展党员信息管理、党员进出情况信息管理、党员奖惩信息管理、党组织活动信息发布等。

11.

02

教学科研类

(01)教学改革管理

教改项目申报、政策与标准发布、教学状态数据库管理等。

12.

(02)学科、专业管理

学科和专业的申报、建设、评估等。

13.

(03)教务教学管理

各类学生教育管理、学生学籍管理、教学计划管理、选课管理、成绩管理、学分转移与互认、教学实践管理、实训管理、教室管理、毕业管理、学位管理等。

14.

(04)教学资源管理

互动教学平台、教育教学资源制作、发布、共享及教学活动组织管理等。

15.

(05)教学质量评估与保障

学校教学能力、教学水平、教学过程、教学效果评测与保障等。

16.

(06)科研项目管理

科研项目申报、过程管理、经费管理、结果评估,科研与实验的协同、资源共享管理等。

17.

(07)科研情报管理

各种科研情报获取、共享与管理等。

18.

03

招生就业类

(01)招生录取管理

招生信息发布、网上报名、招生、录取管理等。

19.

(02)学生就业管理

学生就业信息发布、就业管理、就业数据分析、就业指导等。

20.

04

综合服务类

(01)门户网站

官方信息发布、校务公开、政策咨询、社会服务等。

21.

(02)论坛、社区类网站

即时消息、在线交互、论坛、博客、微博、BBS等。

22.

(03)数字图书馆

馆藏书目信息维护及查询、图书借阅管理、电子期刊数据查询等。

23.

(04)电子邮件

电子邮件发送、接收、查询等。

24.

(05)视频服务

在线声音、影像及文件资料的即时共享、视频会议、视频点播直播等。

25.

(06)安防监控

重要场所远程监控、安全预警等。

26.

(07)校园一卡通

饭卡、学生证、工作证、医疗卡、上机卡、考勤卡、门禁卡等应用项目的统一认证管理服务等。

27.

(08)内网门户与身份认证

信息聚合与展现、身份认证、单点登录、权限控制、CA证书管理等。

28.

(09)公共数据库

数据共享交换、数据分析、综合查询等。

29.

(10)运维管理

校园网运行监控、设备管理、维护、计费等。


附表2

信息系统安全保护等级建议表

  

1:部门信息系统安全保护等级建议

  

序号

分类

信息系统

建议安全保护等级

省级

市级

区县级

1

01

政务管理类

(01)办公与事务处理

第二级

第二级

第一级

2

(02)公文与信息交换

第三级

第二级

第一级

3

(03)人事管理

第二级

第二级

第一级

4

(04)财务管理

第二级

第二级

第一级

5

(05)资产管理

第二级

第二级

第一级

6

(06)信访管理

第二级

第二级

第一级

7

(07)档案管理

第二级

第二级

第一级

8

(08)党务管理

第二级

第二级

第一级

9

(09)科研管理

第二级

第二级

第一级

10

(10)教育统计管理

第二级

第二级

第一级

11

(11)决策支持

第二级

第二级

第一级

12

(12)应急指挥

第二级

第二级

第一级

13

(13)舆情监测与管理

第二级

第二级

第一级

14

(14)高等教育招生计划管理

第二级

第二级

第一级

15

(15)普通高校招生网上录取管理

第三级

第三级

第二级

16

(16)教育考试考务管理与服务

第三级

第二级

第一级

17

(17) 评审、表彰管理

第二级

第二级

第一级

18

02

学校管理类

(01)学校管理

第二级

第二级

第一级

19

(02)学科、专业管理

第二级

第二级

第一级

20

(03)教学改革管理

第二级

第二级

第一级

21

(04)教学质量评估

第二级

第二级

第一级

22

(05)校园安全与稳定管理

第二级

第二级

第一级

23

(06)教育经费监管

第二级

第二级

第一级

24

03

学生管理类

(01)学生学籍管理

第三级

第二级

第一级

25

(02)招生录取管理

第三级

第三级

第二级

26

(03)学生资助管理

第三级

第二级

第一级

27

(04)学位授予管理

第三级

第二级

第一级

28

04

教师管理类

(01)教师基本信息管理

第二级

第二级

第一级

29

(02)教师资格认定管理

第二级

第二级

第一级

30

(03)教师培训管理

第二级

第二级

第一级

31

(04)教师教育管理

第二级

第二级

第一级

32

(05)教师职称管理

第二级

第二级

第一级

33

05

综合服务类

(01)门户网站

第三级

第二级

第一级

34

(02)论坛、社区类网站

第二级

第二级

第一级

35

(03)教育教学资源

第二级

第二级

第一级

36

(04)毕业、就业信息管理

第二级

第二级

第一级

37

(05)电子邮件

第二级

第二级

第一级

38

(06)视频服务

第二级

第二级

第一级

39

(07)安防监控

第二级

第二级

第一级

40

(08)内网门户与身份认证

第二级

第二级

第一级

41

(09)公共数据库

第二级

第二级

第一级

42

(10)运维管理

第二级

第二级

第一级

2:学校信息系统安全保护等级建议

  

序号

分类

信息系统

建议安全保护等级

I类学校

II类学校

III类学校

1

01

校务管理类

(01)办公与事务处理

第二级

第二级

第一级

2

(02)公文与信息交换

第二级

第二级

第一级

3

(03)人事管理

第二级

第二级

第一级

4

(04)财务管理

第二级

第二级

第一级

5

(05)资产管理

第二级

第二级

第一级

6

(06)后勤管理

第二级

第二级

第一级

7

(07)学生教育工作管理

第二级

第二级

第一级

8

(08)学生体质健康数据管理

第二级

第二级

第一级

9

(09)档案管理

第二级

第二级

第一级

10

(10)党务管理

第二级

第二级

第一级

11

02

教学科研类

(01)教学改革管理

第二级

第二级

第一级

12

(02)学科、专业管理

第二级

第二级

第一级

13

(03)教务教学管理

第二级

第二级

第一级

14

(04)教学资源管理

第二级

第二级

第一级

15

(05)教学质量评估与保障

第二级

第二级

第一级

16

(06)科研管理

第三级

第二级

第一级

17

(07)科研情报

第三级

第二级

第一级

18

03

招生就业类

(01)招生录取管理

第三级

第二级

第一级

19

(02)学生就业管理

第二级

第二级

第一级

20

04

综合服务类

(01)门户网站

第三级

第二级

第一级

21

(02)论坛、社区类网站

第三级

第二级

第一级

22

(03)数字图书馆

第二级

第二级

第一级

23

(04)电子邮件

第二级

第二级

第一级

24

(05)视频服务

第二级

第二级

第一级

25

(06安防监控

第二级

第二级

第一级

26

(07)校园一卡通

第三级

第二级

第一级

27

(08)内网门户与身份认证

第二级

第二级

第一级

28

(09)公共数据库

第二级

第二级

第一级

29

(10)运维管理

第二级

第二级

第一级

  

  


附表3

等级保护控制项防护措施

  

安全类别

控制项

主要安全措施

二级保护措施

三级保护措施

物理安全

物理访问控制

机房安排专人负责,来访人员须审批和陪同

重要区域配置门禁系统


防盗窃和防破坏

暴露在公共场所的网络设备须具备安全保护措施

主机房安装监控报警系统


防雷击

机房计算机系统接地符合GB 50057-1994 《建筑物防雷设计规范》中计算机机房防雷要求

机房电源,网络信号线,重要设备安装有资质的防雷装置


防火

机房设置灭火设备和火宅自动报警系统

机房配置自动灭火装置


电力供应

机房及关键设备应配置UPS备份电力供应

重要设备应采用双回路电源供应


环境监控

机房设置温,湿度自动调节设施

机房设置防水检测和报警设施


对机房关键设备和重要程度不同划分网段


网络安全

结构安全

网络应按职能和重要程度不同划分网段

重要网段应采用防火墙进行隔离


访问控制

网络边界部署软或硬件防火墙

安全审计

网络日志审计,网络运维管理安全审计

边界完整性检查

采用准入控制系统,实现准入控制,非法外联检查

采用准入控制,实现准入控制及非法外联可阻断


入侵防范

采用入侵检测系统、入侵防御系统实现对入侵行为的识别和监控。

采用威胁预警系统,实现对APT攻击、WEB威胁、邮件威胁等安全事件的识别。

恶意代码防范

防病毒网关


主机安全

入侵防范

采用服务器安全加固

安全审计

采用终端管理系统实现安全审计

恶意代码防范

防病毒软件

应用安全

身份鉴别

采用电子认证措施

软件容错

所有对外发布WEB应用,都应具备7*24小时网站安全监控措施,安全监控信息必须与省网络与信息安全应急处置平台对接,防止非法用户利用恶意提交、扫描等方式攻击。

采用软或硬件防篡改系统防止黑客、病毒等对目录中的网页、电子文档、图片、数据库等任何类型的文件进行非法篡改和破坏,保护网站安全运行。

安全审计

数据库安全审计系统


数据安全与备份恢复

备份和恢复

本地数据备份与恢复

硬件冗余

关键网络设备,线路和服务器硬件冗余


异地备份

异地数据备份


  


附件2

信息系统登记表

单位名称(公章):

系统名称(含网站)

  

人员信息

主任负责人

  

安全责任人

  

联系电话

  

联系手机

  

系统基本情况

系统主要功能

  

系统使用范围

  

安全需求描述

  

系统域名

  

IP地址

  

操作系统

  

数据库系统

  

上线运行时间

  

是否24小时值守

  

ICP
备案

是否ICP备案

  

ICP备案号

  

ICP备案机关

  

ICP备案时间

  

等保定级

是否已定级

  

若已定级则定级别

  

若未定级则参照教育部《教育行业信息系统安全等级保护定级工作指南》和根据工作实际计划所定级别

  

等保备案

是否备案

  

备案证明号

  

备案机关

  

定级备案时间

  

等保测评

是否通过测评

  

安全测评报告编号

  

安全测评机构名称

  

运维情况

是否由外单位运维

  

运维单位名称

  

服务器是否在外托管

  

托管单位名称

  

  

备注:

1.每个系统(含网站)填写一份登记表;

2.安全等级保护备案证明号由第二级以上信息系统填写;

3.安全等级测评报告编号由第三级及以上信息系统填写。

  


附件3

备案表编号:

  

  

  

  

  

  

  

  

  

  

  

  

  

  

信息系统安全等级保护

备案表

  

  

  

  

位:(盖章)

期:

受理备案单位:(盖章)

期:

  

中华人民共和国公安部监制

填 表 说 明

一、制表依据。根据《信息安全等级保护管理办法》(公通字[2007]43号)之规定,制作本表;

二、填表范围。本表由第二级以上信息系统运营使用单位或主管部门(以下简称“备案单位”)填写;本表由四张表单构成,表一为单位信息,每个填表单位填写一张;表二为信息系统基本信息,表三为信息系统定级信息,表二、表三每个信息系统填写一张;表四为第三级以上信息系统需要同时提交的内容,由每个第三级以上信息系统填写一张,并在完成系统建设、整改、测评等工作,投入运行后三十日内向受理备案公安机关提交;表二、表三、表四可以复印使用;

三、保存方式。本表一式二份,一份由备案单位保存,一份由受理备案公安机关存档;

四、本表中有选择的地方请在选项左侧“0划“√”,如选择“其他”,请在其后的横线中注明详细内容;

五、封面中备案表编号(由受理备案的公安机关填写并校验)分两部分共11位,第一部分6位,为受理备案公安机关代码前六位(可参照行标GA380-2002)。第二部分5位,为受理备案的公安机关给出的备案单位的顺序编号;

六、封面中备案单位:是指负责运营使用信息系统的法人单位全称;

七、封面中受理备案单位:是指受理备案的公安机关公共信息网络安全监察部门名称。此项由受理备案的公安机关负责填写并盖章

八、表一04行政区划代码:是指备案单位所在的地(区、市、州、盟)行政区划代码;

九、表一05单位负责人:是指主管本单位信息安全工作的领导;

十、表一06责任部门:是指单位内负责信息系统安全工作的部门;

十一、表一08隶属关系:是指信息系统运营使用单位与上级行政机构的从属关系,须按照单位隶属关系代码(GB/T124041997填写;

十二、表二02系统编号:是由运营使用单位给出的本单位备案信息系统的编号;

十三、表二05系统网络平台:是指系统所处的网络环境和网络构架情况;

十四、表二07关键产品使用情况:国产品是指系统中该类产品的研制、生产单位是由中国公民、法人投资或者国家投资或者控股,在中华人民共和国境内具有独立的法人资格,产品的核心技术、关键部件具有我国自主知识产权;

十五、表二08系统采用服务情况:国内服务商是指服务机构在中华人民共和国境内注册成立(港澳台地区除外),由中国公民、法人或国家投资的企事业单位;

十六、表三010203项:填写上述三项内容,确定信息系统安全保护等级时可参考《信息系统安全等级保护定级指南》,信息系统安全保护等级由业务信息安全等级和系统服务安全等级较高者决定。0102项中每一个确定的级别所对应的损害客体及损害程度可多选;

十七、表三06主管部门:是指对备案单位信息系统负领导责任的行政或业务主管单位或部门。部级单位此项可不填;

十八、解释:本表由公安部公共信息网络安全监察局监制并负责解释,未经允许,任何单位和个人不得对本表进行改动。


表一单位基本情况

01单位名称

  

02单位地址

(自治区、直辖市) (区、市、州、盟)

(区、市、旗)

03邮政编码








04行政区划代码








05单位

负责人

姓名


职务/职称


办公电话


电子邮件


06责任部门


07责任部门

联系人

姓名


职务/职称


办公电话


电子邮件


移动电话


08隶属关系

01中央02(自治区、直辖市)03(区、市、州、盟)

04县(区、市、旗)09其他

09单位类型

01党委机关02政府机关03事业单位04企业09其他

10行业类别

011电信012广电013经营性公众互联网

  

021铁路022银行023海关024税务

025民航026电力027证券028保险

  

031国防科技工业032公安033人事劳动和社会保障034财政

035审计036商业贸易037国土资源038能源

039交通040统计041工商行政管理042邮政

043教育044文化045卫生046农业

047水利048外交049发展改革050科技

051宣传052质量监督检验检疫

  

099其他

11信息系统

总数

12第二级信息系统数

13第三级信息系统数

14第四级信息系统数

15第五级信息系统数






















表二( / )信息系统情况

01系统名称

  

02系统编号

  

  

  

  

03系统

承载

业务

情况

业务类型

01生产作业02指挥调度03管理控制04内部办公

05公众服务09其他

业务描述

  

  

04系统

服务

情况

服务范围

010全国 011跨省(区、市) 跨

020全省(区、市)021跨地(市、区) 跨

030地(市、区)内

099其它

服务对象

01单位内部人员02社会公众人员 03两者均包括09其他

05系统

网络

平台

覆盖范围

01局域网02城域网03广域网09其他

网络性质

01业务专网02互联网09其它

06系统互联情况

01与其他行业系统连接02与本行业其他单位系统连接

03与本单位其他系统连接09其它

07关键产品使用情

序号

产品类型

数量

使用国产品率

全部使用

全部未使用

部分使用及使用率

1

安全专用产品

  

0

0

0%

2

网络产品

  

0

0

0%

3

操作系统

  

0

0

0%

4

数据库

  

0

0

0%

5

服务器

  

0

0

0%

6

其他

  

0

0

0%

08系统采用服务情

序号

服务类型

服务责任方类型

本行业(单位)

国内其他服务商

国外服务商

1

等级测评

00

0

0

0

2

风险评估

00

0

0

0

3

灾难恢复

00

0

0

0

4

应急响应

00

0

0

0

5

系统集成

00

0

0

0

6

安全咨询

00

0

0

0

7

安全培训

00

0

0

0

8

其它

0

0

0

09等级测评单位名

  

10何时投入运行使

年月日

11系统是否是分系

00否(如选择是请填下两项)

12上级系统名称

  

13上级系统所属单位名称

  

















表三( / )信息系统定级情况

01确定

业务

信息

安全

保护

等级

损害客体及损害程度

级别

0仅对公民、法人和其他组织的合法权益造成损害

0第一级

0对公民、法人和其他组织的合法权益造成严重损害

0对社会秩序和公共利益造成损害

0第二级

0对社会秩序和公共利益造成严重损害

0对国家安全造成损害

0第三级

0对社会秩序和公共利益造成特别严重损害

0对国家安全造成严重损害

0第四级

0对国家安全造成特别严重损害

0第五级

02确定

系统

服务

安全

保护

等级

0仅对公民、法人和其他组织的合法权益造成损害

0第一级

0对公民、法人和其他组织的合法权益造成严重损害

0对社会秩序和公共利益造成损害

0第二级

0对社会秩序和公共利益造成严重损害

0对国家安全造成损害

0第三级

0对社会秩序和公共利益造成特别严重损害

0对国家安全造成严重损害

0第四级

0对国家安全造成特别严重损害

0第五级

03信息系统安全保护等级

0第一级0第二级0第三级0第四级0第五级

04定级时间

年月日

05专家评审情况

0已评审0未评审

06是否有主管部门

00无(如选择有请填下两项)

07主管部门名称

  

08主管部门审批定级情况

0已审批0未审批

09系统定级报告

00无附件名称

填表人:

填表日期:年月日






备案审核民警:审核日期:年月日


表四( / )第三级以上信息系统提交材料情况

01统拓扑结构及说明

00无附件名称

02系统安全组织机构及管理制度

00无附件名称

03系统安全保护设施设计实施方案或改建实施方案

00无附件名称

04系统使用的安全产品清单及认证、销售许可证明

00无附件名称

05系统等级测评报告

00无附件名称

06专家评审情况

00无附件名称

07上级主管部门审批意见

00无附件名称

  

  

  

  

  

  

  

  

附件4

信息系统安全等级保护定级报告

一、XXX信息系统描述

简述确定该系统为定级对象的理由。从三方面进行说明:一是描述承担信息系统安全责任的相关单位或部门,说明本单位或部门对信息系统具有信息安全保护责任,该信息系统为本单位或部门的定级对象;二是该定级对象是否具有信息系统的基本要素,描述基本要素、系统网络结构、系统边界和边界设备;三是该定级对象是否承载着单一或相对独立的业务,业务情况描述

二、XXX信息系统安全保护等级确定

(一)业务信息安全保护等级的确定

1.业务信息描述

描述信息系统处理的主要业务信息等。

2.业务信息受到破坏时所侵害客体的确定

说明信息受到破坏时侵害的客体是什么,即对三个客体(国家安全;社会秩序和公众利益;公民、法人和其他组织的合法权益)中的哪些客体造成侵害。

3.信息受到破坏后对侵害客体的侵害程度的确定

说明信息受到破坏后,会对侵害客体造成什么程度的侵害,即说明是一般损害、严重损害还是特别严重损害。

4.业务信息安全等级的确定

依据信息受到破坏时所侵害的客体以及侵害程度,确定业务信息安全等级。

(二)系统服务安全保护等级的确定

1.系统服务描述

描述信息系统的服务范围、服务对象等。

2.系统服务受到破坏时所侵害客体的确定

说明系统服务受到破坏时侵害的客体是什么,即对三个客体(国家安全;社会秩序和公众利益;公民、法人和其他组织的合法权益)中的哪些客体造成侵害。

3.系统服务受到破坏后对侵害客体的侵害程度的确定

说明系统服务受到破坏后,会对侵害客体造成什么程度的侵害,即说明是一般损害、严重损害还是特别严重损害。

4.系统服务安全等级的确定

依据系统服务受到破坏时所侵害的客体以及侵害程度确定系统服务安全等级。

(三)安全保护等级的确定

信息系统的安全保护等级由业务信息安全等级和系统服务安全等级较高者决定,最终确定XXX系统安全保护等级为第几级。

信息系统名称

安全保护等级

业务信息安全等级

系统服务安全等级

XXX信息系统

X

X

X

  


附件5

记录编号:

  

  

  

信息系统安全等级测评

申请书

  

  

申请单位(公章):

  

申请日期:

  


1.用户填写和提供的信息资料应保证真实可靠。

2.申请表中“项目负责人”是指被测系统信息(安全)主管部门的领导。

3.用墨笔填写或计算机打印,字迹要清楚。

4.被测单位每个系统均要提交一份《信息系统概况表》。

5.表格中标有★的内容为必填项,其余为选填项。

  

  

  

  

单位概况

名称:

地址:

电话:

传真:

邮政编码:

项目概况

项目名称:

项目承建单位:

承建单位地址:

承建单位电话:

承建单位传真:





  

  

  

  

  

附表1

信息系统概况

信息系统名称

  

系统性质

系统性质

¨党政 ¨商用¨自用

建设状况

¨新建 ¨扩建 ¨其它

系统定级情况

¨一级¨二级¨三级¨四级

主要服务对象

  

主要应用业务

  

系统连接情况

¨与政务网连接¨Internet连接¨专网或其他

系统安全组织管理机构

信息安全

主管部门

部门名称:

负责人姓名:

负责人职务:

系统运行

管理部门

部门名称:

负责人姓名:

负责人职务:

项目负责人(负责整个测评过程中行政与技术的总调度与总协调,指定项目联系人

姓名:

部门:

职务:

电话:

传真:

邮箱:

项目联系人(负责测评过程中的日常联络与现场配合工作,包括对测评采集数据的签字确认

姓名:

部门:

职务:

电话:

传真:

邮箱:













  


附表2

被测评对象清单(范例)

设备名称

技术参数和系统配置

作用

IP地址

提 供 服 务

SUN- E450

Windows   2003Server操作系统

Oracle   9i 数据库

Web服务:ASP开发

WEB服务器

xx.xx.xx.xx

提供WEB服务

Cisco 4006交换机

10/100100-FX 快速以太网端口33口;10/100/1000BaseT 倍数自适应端口22口;背板带宽24 Gbps;转发速率1800万包/秒;冗余电源2

核心交换机,网络连接设备

xx.xx.xx.xx

连接各楼层二级交换机和五台主服务器,划分七楼子网。

中网防火墙

理器533Mhz,内存128Mb,软件版本1.30,双以太网口

网络数据过滤设备

xx.xx.xx.xx

用于客户上网数据安全保护

  

  

  

  

(主动公开)

  

福建省教育厅办公室2016年12月21印发