网络安全安全整改方案

前言：想要写出一篇令人眼前一亮的文章吗？我们特意为您整理了5篇网络安全安全整改方案范文，相信会为您的写作带来帮助，发现更多的写作思路和灵感。

网络安全安全整改方案范文第1篇

一、引言

随着我国信息化建设的快速发展与广泛应用，信息安全的重要性愈发突出。在国家重视信息安全的大背景下，推出了信息安全等级保护制度。为统一管理规范和技术标准，公安部等四部委联合了《信息安全等级保护管理办法》（公通字【2007】43号）。随着等级保护工作的深入开展，原卫生部制定了《卫生行业信息安全等级保护工作的指导意见》（卫办发【2011】85号），进一步规范和指导了我国医疗卫生行业信息安全等级保护工作，并对三级甲等医院核心业务信息系统的安全等级作了要求，原则上不低于第三级。

从《关于信息安全等级保护工作的实施意见》中可知信息安全等级保护对象是国家秘密信息、法人和其他组织以及公民的专有信息和公开信息。对信息系统及其安全产品进行等级划分，并按等级对信息安全事件响应。

    二、医院信息安全等级保护工作实施步骤

2.1定级与备案。根据公安部信息安全等级保护评估中心编制的《信息安全等级保护政策培训教程》，有两个定级要素决定了信息系统的安全保护等级，一个是等级保护对象受到破坏时所侵害的客体，另外一个是对客体造成侵害的程度。表1是根据定级要素制订的信息系统等级保护级别。

    对于三级医院，门诊量与床位相对较多，影响范围较广，一旦信息系统遭到破坏，将会给患者造成生命财产损失，对社会秩序带来重大影响。因此，从影响范围和侵害程度来看，我们非常认同国家卫计委对三级甲等医院的核心业务信息系统安全等级的限制要求。

在完成定级报告编制工作后，填写备案表，并按属地化管理要求到市级公安机关办理备案手续，在取得备案回执后才算完成定级备案工作。我院已按照要求向我市公安局网安支队，同时也是我市信息安全等级保护工作领导小组办公室，提交了定级报告与备案表。

2.2安全建设与整改。在完成定级备案后，就要结合医院实际，分析信息安全现状，进行合理规划与整改。

2.2.1等保差距分析与风险评估。了解等级保护基本要求。《信息系统安全等级保护基本要求》分别从技术和管理两方面提出了基本要求。基本技术要求包括五个方面：物理安全、网络安全、主机安全、应用安全和数据安全，主要是由在信息系统中使用的网络安全产品（包括硬件和软件）及安全配置来实现；基本管理要求也包括五个方面：安全管理制度、安全管理机构、人员安全管理、系统建设管理和系统运维管理，主要是根据相关政策、制度以及规范流程等方面对人员活动进行约束控制，以期达到安全管理要求。

技术类安全要求按保护侧重点进一步划分为三类：业务信息安全类（S类）、系统服务安全类（A类)、通用安全保护类(G类)。如受条件限制，可以逐步完成三级等级保护，A类和S类有一类满足即可，但G类必须达到三级，最严格的G3S3A3控制项共计136条.医院可以结合自身建设情况，选择其中一个标准进行差距分析。

管理方面要求很严格，只有完成所有的154条控制项，达到管理G3的要求，才能完成三级等级保护要求。这需要我们逐条对照，发现医院安全管理中的不足与漏洞，找出与管理要求的差距。

对于有条件的三甲医院，可以先进行风险评估，通过分析信息系统的资产现状、安全脆弱性及潜在安全威胁，形成《风险评估报告》。

经过与三级基本要求对照，我院还存在一定差距。比如：在物理环境安全方面，我院机房虽有灭火器，但没安装气体灭火装置。当前的安全设备产品较少，不能很好的应对网络人侵。在运维管理方面，缺乏预警机制，无法提前判断系统潜在威胁等。

2.2.2建设整改方案。根据差距分析情况，结合医院信息系统安全实际需求和建设目标，着重于保证业务的连续性与数据隐私方面，满足于临床的实际需求，避免资金投入的浪费、起不到实际效果。

整改方案制订应遵循以下原则：安全技术和安全管理相结合，技术作保障，管理是更好的落实安全措施；从安全区 域边界、安全计算环境和安全通信网络进行三维防护，建立安全管理中心。方案设计完成后，应组织专家或经过第三方测评机构进行评审，以保证方案的可用性。

整改方案实施。实施过程中应注意技术与管理相结合，并根据实际情况适当调整安全措施，提高整体保护水平。

我院整改方案是先由医院内部自查，再邀请等级测评#司进行预测评，结合医院实际最终形成的方案。网络技术义员熟悉系统现状，易于发现潜在安全威胁，所以医院要先自查，对自身安全进行全面了解。等级测评公司派专业安全人员进驻医院，经过与医院技术人员沟通，利用安全工具进行测试，可以形成初步的整改报告，对我院安全整改具有指导意义。

2.3开展等级保护测评。下一步工作就是开展等级测评。在测评机构的选择上，首先要查看其是否具有“DICP”认证，有没有在当地公安部门进行备案，还可以到中国信息安全等级保护网站（网站地址：djbh.net)进行核实。测评周期一般为1至2月，其测评流程如下。

2.3.1测评准备阶段。医院与测评机构共同成立项目领导小组，制定工作任务与测评计划等前期准备工作。项目启动前，为防止医院信息泄露，还需要签订保密协议。项目启动后，测评机构要进行前期调研，主要是了解医院信息系统的拓扑结构、设备运行状况、信息系统应用情况及安全管理等情况，然后再选择相应的测评工具和文档。

在测评准备阶段，主要是做好组织机构建设工作，配合等级测评公司人员的调査工作。

2.3.2测评方案编制阶段。测评内容主要由测评对象与测评指标来确定。我院测评对象包含三级的医院信息系统、基础网络和二级的门户网站。测评机构要与医院沟通，制定工具测试方法与测评指导书，编制测评方案。在此阶段，主要工作由等级测评机构来完成。

2.3.3现场测评阶段。在经过实施准备后，测评机构要对上述控制项进行逐一测评，大约需要1至2周，需要信息科人员密切配合与注意。为保障医院业务正常开展，测评工作应尽量减少对业务工作的冲击。当需要占用服务器和网络资源时应避免业务高峰期，可以选择下班时间或晚上。为避免对现有业务造成影响，测评工具应在接人前进行测试，同时要做好应急预案准备，一旦影响医院业务，应立即启动应急预案、在对209条控制项进行测评后应进行结果确认，并将资料归还医院。

该阶段是从真实情况中了解信息系统全面具体的主要工作，也是技术人员比较辛苦的阶段。除了要密切配合测评，还不能影响医院业务开展，除非必要，不然安全测试工作必须在夜间进行。

2.3.4报告编制阶段。通过判定测评单项，测评机构对单项测评结果进行整理，逐项分析，最终得出整体测评报告。测评报告包含了医院信息安全存在的潜在威胁点、整改建议与最终测评结果。对于公安机关来讲，医院能否通过等级测评的主要标准就是测评结果。因此，测评报告的结果至关重要。测评结果分为：不符合、部分符合、全部符合。有的测评机构根据单项测评结果进行打分，最后给出总分，以分值来判定是否通过测评。为得到理想测评结果，需要医院落实安全整改方案。

2.4安全运维。我们必须清醒地认识到，实施安全等级保护是一项长期工作，它不仅要在信息化建设规划中考虑，还要在日常运维管理中重视，是不断循环的过程。按照等级保护制度要求，信息系统等级保护级别定为三级的三甲医院每年要自查一次，还要邀请测评机构进行测评并进行整改，监管部门每年要抽查一次。因此，医院要按照PDCA的循环工作机制，不断改进安全技术与管理上，完善安全措施，更好地保障医院信息系统持续稳定运行。―     

    三、结语

网络安全安全整改方案范文第2篇

[关键词] 信息等级保护概述；中国石油；等级保护建设

[中图分类号] TP391；X913.2 [文献标识码] A [文章编号] 1673 - 0194（2013）05- 0057- 02

1 信息等级保护制度概述

信息安全等级保护制度是国家信息安全保障工作的基本制度，是促进信息化健康发展的根本保障。其具体内容包括：①对国家秘密信息，法人和其他组织及公民的专有信息以及公开信息，存储、传输、处理这些信息的信息系统实行分等级安全保护、分等级监管；②对信息系统中使用的信息安全产品实行按等级管理；③对信息系统中发生的信息安全事件分等级响应、处置。信息安全等级保护配套政策体系及标准体系如图1、图2所示。

定条件的测评机构开展等级测评；④建设整改：备案单位根据信息系统安全等级，按照国家政策、标准开展安全建设整改；⑤检查：公安机关定期开展监督、检查、指导。

2 中国石油信息安全等级保护制度建设

中国石油信息化建设处于我国大型企业领先地位，在国资委历年信息化评比中都名列前茅。2007 年全国开展信息安全等级保护工作之后，中国石油认真贯彻国家信息安全等级保护制度各项要求，全面开展信息安全等级保护工作。逐步建成先进实用、完整可靠的信息安全体系，保障信息化建设和应用，支撑公司业务发展和总体战略的实施，使中国石油的信息安全保障能力显著提高。主要采取的措施有以下几个方面：

（1）以信息安全等级保护工作为契机 ， 全面梳理业务系统并定级备案。中国石油根据国家信息安全等级保护制度要求，建立自上而下的工作组织体系，明确信息安全责任部门，对中国石油统一建设的应用系统进行等级保护定级和备案，通过制定《中国石油天然气集团公司重要信息系统安全等级保护定级实施暂行意见》，加强桌面安全、网络安全、身份认证等安全基础防护工作，加快开展重要信息系统的等级测评和安全建设整改工作，进一步提高信息系统的安全防御能力，提高系统的可用性和安全性。在全面组织开展信息系统等级保护定级备案工作之后，聘请专业测评机构，及时开展等级测评、安全检查和风险评估工作，并通过等级测评工作查找系统的不足和安全隐患，制订安全整改方案，开展安全整改和加固改造，保障信息系统持续安全稳定运行。

（2）以信息安全等级保护工作为抓手 ， 全面推动中国石油信息安全体系建设。中国石油以信息安全等级保护工作为抓手，完善信息安全整体解决方案，建立技术保障体系、管理保障体系和控制保障体系。采用分级、分域的纵深防御理念，将桌面安全、身份认证、网络安全、容灾等相关技术相互结合，建立统一的安全监控平台和安全运行中心，实现对应用系统的授权访问、桌面计算机的安全控制、网络流量的异常监控、恶意软件与攻击行为的及时发现与防御、业务与数据安全保障等功能，显著提高抵御外部和内部信息安全威胁的能力。建立了总部、区域网络中心、企事业单位三级信息系统安全运维队伍；采用集中管理、分级维护的管理模式，网络与安全运维人员采用授权方式，持证上岗，建立网络管理员、安全管理员和安全审计员制度；初步建立起中国石油内部信息安全风险评估队伍，并于 2010 年完成地区公司的网络安全风险评估工作。

（3）建立重要信息系统应急处置预案，完善灾难恢复机制。2008 年，中国石油了《网络与信息安全突发事件专项应急预案》，所有业务系统、网络管理、安全管理等都建立了应急响应处置预案和灾备系统，保障业务系统在遭遇突发事件时，能快速反应并恢复业务系统可用性。通过灾难恢复项目研究，形成了现状及风险分析、灾难恢复等级划分、灾备部署策略分析和灾备部署方案四步法，划分了信息系统灾难恢复等级，完善了灾难恢复机制。

（4）规划信息安全运行中心，建立重要信息系统安全监控机制。中国石油规划了信息安全运行中心的建设方案，提出了信息安全运行中心建设目标，通过网络运行状态、安全信息数据汇集、安全监测分析功能和安全管理流程的有机整合，实现中国石油 信息安全状况的可感知、可分析、可展示、可管理和可指挥，形成中国石油信息安全事件分析、风险分析、预警管理和应急响应处理一体化的技术支撑能力；通过完善安全运行管理体系，将安全运行管理组织、安全运维管理流程和安全监测预警系统三方面有机结合，实现事前预警防范、事中监控处置、事后追溯定位的信息安全闭环运行机制，形成中国石油统一的应急指挥与协调调度能力，为中国石油信息安全保障奠定良好的基础。

3 信息安全等级保护工作存在的不足及改进建议

信息安全等级保护管理办法 （公通字[2007]43号）正式标志着全国范围内的信息安全等级保护工作开始，通过5年的努力，全国信息安全工作形成了以落实信息安全等级保护制度为核心，信息通报、应急处理、技术研究、产业发展、网络信任体系和标准化建设等工作快速发展的良好局面，重要行业部门的信息安全意识、重视程度、工作能力有了显著提高。40余个重要行业出台了100余份行业等级保护政策文件，20余个重要行业出台了40余份行业等级保护标准，但同时存在着以下不足：

（1）对信息安全工作的认识不到位，对重要信息系统安全保护缺乏应有的重视。依据公安部相关资料统计，截至2012年6月，我国有18%的单位未成立信息安全工作领导机构；21%的单位未落实信息安全责任部门，缺乏信息安全整体规划；14个行业重要信息系统底数不清、安全保护状况不明；12个行业未组织全行业信息安全专门业务培训，开展信息安全工作的思路和方法不得当，措施不得力。20%的单位在信息系统规划过程中，没有认真制定安全策略和安全体系规划，导致安全策略不得当；22%的信息系统网络结构划分不合理，核心业务区域部署位置不当，业务应用不合理，容易导致黑客入侵攻击，造成网络瘫痪，数据被窃取和破坏。34.6%的重要信息系统未配置专职安全管理人员，相关岗位设置不完整，安全管理人员身兼多职；48%的单位信息安全建设资金投入不足，导致重要信息系统安全加固和整改经费严重缺乏；27%的单位没有针对安全岗位人员制订相关的培训计划，没有组织开展信息安全教育和培训，安全管理、运维技术人员能力较弱。

（2）重要信息系统未落实关键安全保护技术措施。重要信息系统未落实安全审计措施。在主机层面，有34.9%的信息系统没有保护主机审计记录，34.8%的信息系统没有保护主机审计进程，容易导致事故责任无法认定，无法确定事故（事件）原因，影响应急处理效率。38%的信息系统没有落实对重要系统程序和文件进行完整性检测和自动恢复的技术措施，35%的信息系统没有采取监测重要服务器入侵行为的技术措施，容易使内部网络感染病毒，对攻击行为无法进行有效监测和处置。

（3）我国信息技术与国外存在一定差距，安全专业化服务力量薄弱。具有我国自主知识产权的重要信息技术产品和核心技术水平还有待提高，依赖国外产品的情况还比较普遍；国内信息安全专业化服务力量薄弱，安全服务能力不强，部分重要信息系统的关键产品维护和系统运维依赖国外厂商，给重要信息系统安全留下了隐患。

为了有效提高我国企业信息安全水平，增加等级保护的可行性及执行力，建议：①各企业开展以信息安全等级保护为核心的安全防范工作，提高网络主动防御能力，并制订应急处置预案，加强应急演练，提高网络应急处置能力。②加大人员和资金投入，提高保障能力。③国家层面加快关键技术研究和产品化，重视产品供应链的安全可控。

主要参考文献

[1]中国石油天然气集团公司. 中国石油天然气集团公司全面开展信息安全等级保护工作为信息化建设保驾护航[J].信息网络安全，2012（1）.

网络安全安全整改方案范文第3篇

一、切实的加强了对隐患排查治理工作组织领导：

我局对行动高度重视，切实加强领导，采取有力措施，强力推进工作。

1、在接到市政府下发的文件后，我局及时的召开局务会议专题研究专项行动方案，并将文件转发至各县区地税局和机关各部门并且贯彻落实。

2、强化领导，为全面贯彻落实好此次治大隐患防大事故安全隐患排查治理专项行动工作，地税系统成立专门工作领导小组，具体负责对应各县区局“专项行动”的工作开展情况。

二、加大隐患排查治理专项行动的宣传工作，营造良好的舆论氛围：

在开展专项行动前期及开展行动期间，各个部门充分利信息网对这次治大隐患防大事故安全隐患排查治理专项行动进行专题宣传，通过开展这些宣传工作，在市各单位营造了良好的舆论氛围。

三、加强督查，确保隐患排查治理专项行动取得实效：

市局在全面排查的基础上，由办公室对存在的问题进行了总结，汇报。并对存在的问题进行分析研究，找出问题，并提出整改方案。为了确保各项安全隐患整改落实到位，市局投入了43488元经费专项用于安全隐患的整改落实。此外，针对电源不稳定和干部交通的安全意识不强等问题，市局还举办了交通安全知识讲座，邀请交警对道路交通安全知识进行了培训，使道路安全出行、文明出行的意识深入人心。

四、认真组织开展隐患排查治理行动工作的情况：

全市各级地税部门加强对办税大厅、办公楼、中心机房、财务室、档案室、资料室、票房、值班室、食堂、宿舍区等部位的重点监控，排查在服务窗口、办公区、宿舍区、机房、网站、车辆、交通、水电、饮食、保密等方面存在的安全隐患，切实的做好防火防盗，并且严防安全事故发生。特别是针对税收征管工作中可能引发的矛盾及矛盾纠纷排查调处，妥善的处理各种矛盾纠纷，切实解决存在问题，预防了发生；切实的做到了不漏一个细节、不少一个环节、不放过一个隐患。比如省机房工作的排查。省局机房网络作为广域网省级节点，它是全系统各州、市网络核心的总汇，不仅提供基础网络传输而且监管网络安全边界的平台。现机房分为监控区，配电区，消防区。监控区为机房整体安全管理核心区，专门进行机房动力环境监控等，总配备终端监控设备有7台；配电区是为各设备提供后备电源保障，以保证现有机房供配电的使用；消防区所用的七佛丙烷气体消防系统，可以覆盖主机房所有区域。主机房中的温度也主要由7台精密空调所控制。现机房机房所需电源均从省局办公楼总配电室供电，办公楼目前为双回路市电，断电自动切换，而且机房配有300KVA的UPS，在两路市电均出故障时，可在数小时内保障机房核心计算机设备运转。为保证省局网络和信息的安全，我局办公楼从网络、线路、路由器和交换机设备到PC机均采取两套系统，内、外网完全物理隔离方式，在一定程度上有效保证了省局机房和计算机系统的应用安全。

五、存在的问题和下一步的打算：

我局治大隐患防大事故安全隐患排查治理专项行动虽然取得一定成效，但还存在一些不容忽视的问题。

（一）、少数职工对隐患排查治理认识不到位，把专项行动当成阶段性任务来完成，后期有松劲情绪。

（二）、重大安全隐患排查治理和监控制度尚不完善，有些制度制定了但还没有完全落实到位。

（三）、机房摆放杂物，极易引起火灾。

（四）、目前我局机房UPS系统备电设备只有一套，当两路市电均出现故障时，UPS供电保障和可靠性降低。

（五）、由于机房设备大量增加，原有空调系统无备用余量，当其中某台设备出现故障时，其他空调无法有效支撑机房温湿度控制需要。

（六）、机房消防系统老化，控制模块损坏，在出现火灾时，不能自动启动，需要手动操作。

（七）、机房空调排水管网老化，排水不够顺畅，排水管与大楼主排水管相连，当雨量较大时，主排水管存水易倒灌。

（八）、在网络运行中主要存在单设备、单链路的单点隐患。

针对上述隐患，我处经研究后，首先按重要程度和紧急性对问题进行分级处理；

（一）、及时更换排水管，扩大排水管径，改变排水位置，同时增设两个排水口，确保空调排水需要。并计划增加部分普通空调，补充空调余量不足问题。

（二）、加强机房管理制度的落实，禁止摆放一切杂物,并严格出入登记，规范制度。

（三）、加强了供电系统的巡查，结合改造项目，计划增加UPS设备，尽早实现双机、双线路热备。目前，机房改造方案已制定完成，并已报财务处申请建设资金。

（四）、今年内对损坏的消防控制模块进行及时更换，保证在出现火灾时，系统能自动启动。目前，以在检查阶段，因原设备已停产，所只有待有备份后，才可及时更换。

网络安全安全整改方案范文第4篇

（一）健全组织管理体系，建立科技风险管理三道防线。安徽省分行成立由行长任组长、分管副行长及各部门负责人参加的信息化建设领导小组及信息安全应急领导小组，制定议事程序，确立工作步骤，审议信息科技重大决策事项及信息科技风险管理、信息安全管理工作。领导小组每季度召开一次会议，对信息化建设工作进行决策、安排和部署。立足于可持续发展战略，安徽省分行提出了“全面风险管理、全程风险管理、全员风险管理”的管理目标，建立了信息科技风险管理的三道防线。第一道防线由信息科技部门组成，负责生产运行、应用研发、科技管理、信息安全等工作。第二道防线成立由信息科技部门和风险管理部门牵头，其他部门共同参与的风险管控平台。依托风险管控平台，通过检查、评测和监控及时发现科技工作中的风险隐患，组织召开风险例会，研究制定整改措施、整改方案，结合工作实际制定信息科技风险管理制度和规范。第三道防线由内部审计部门组成，主要职责是对信息科技工作进行专项审计。

（二）推动制度体系建设，构筑安全生产生命线。多年来，安徽省分行每年都对信息科技制度和技术规范进行修订，对现有信息科技制度体系进行评估，对信息科技制度体系架构进行梳理，逐步建立了制度、实施细则及技术规范三层架构的制度体系。形成了《信息科技制度汇编》，共包括38个科技管理办法、16个实施细则、9项技术规范，在全行范围内印发执行，有效指导了信息化建设和风险管理工作的开展。为了保持制度的严肃性，使基层分支行操作人员严格执行制度，省分行加强制度执行力建设，采取检查、监控及违规积分等措施，确保制度落地，形成人人“重制度，守制度”良好工作氛围。

（三）完善技术体系建设，提升技术防范能力1．建设高标准机房。2009年到2011年期间，率先启动省、市、县三级机房达标工程改造，共投入2000万元用于辖内66个机构机房的建设和改造，机构覆盖面达到90%以上。机房建设突出了“高可用、高可靠、易管理、前瞻性”的理念，对供电、防雷、消防、空调、装饰系统进行了全面改造，为信息系统安全运行提供了可靠的物理保障。2．健全后备供电保障体系。2012年，利用有限的固定资产指标，为全辖所有市级分行配置了功率在20KVA以上的UPS，为60个县支行配置了10KVA的UPS；在3个新建办公楼机构建设了市电双回路供电、7个行自备发电机；11个行与电力公司、电信或联通等公司签订应急供电协议。形成了UPS、发电机、双回路供电、移动发电车等多重供电安全保障。3．建立功能完善的监控系统。省、市分行统一建立了机房预警监控系统（包括网络预警监控系统和机房动力环境监控系统），实现对机房物理环境、重要设备、网络设备、数据链路、业务系统进行实时监测及预警。系统采用分级监控方式，本级行不仅可以监控自身机房及信息系统运行情况,还可以实时监控到辖内行情况，实现科技风险监测的纵横结合，提升风险预警与防控能力。4．构建高效安全的网络体系。基层行成立不久，就实现了分网运行，根据业务种类、服务范围等分为生产网、办公网和监控网，针对不同的网络采用不同的安全控制策略；在网络线路上，采用三家运营商多线路、互为热备方式实现网络通讯的高可靠性；结合不同的应用分别采取了防火墙、入侵检测、内外网隔离等技术防范手段，确保网络安全。5．部署防病毒系统。部署了覆盖全行的计算机病毒防治系统，支持防病毒软件的统一管理和升级，有效防止病毒转播与蔓延。6．建立省分行级的异地灾备中心。通过在异地机房内架设EMC存储，使用现有网络在非工作时段进行数据复制，解决了重要数据异地灾备问题。同时在存储中划分一定的空间供二级分行使用，也解决了二级分行重要数据异地存储的难题。经过演练测试验证，灾备系统运行稳定,能够有效地保障数据安全。

（四）加强信息系统应急管理，保持业务连续性省分行严格按照《中国农业发展银行信息系统突发事件应急管理办法》要求，成立相应组织，切实履行职责，在全辖范围内每年都组织一次应急演练。2013年仅在网络应急演练中，就模拟了6个场景，模拟突发网络故障情况108种，验证演练数据1638项。通过把演练工作做实做细，使得一些潜在的隐患得以暴露，强化了各级行对突发事件的响应和处置能力。此外还以应急演练为抓手，引入PDCA（策划-实施-检查-改进）持续改进机制，不断完善应急预案及应急物资储备。在演练策划阶段，针对已有的和潜在的信息科技风险因素进行充分的评估，有重点地制定演练方案；实施阶段实时跟踪监测各类信息科技风险因素的产生和变化，适时调整信息科技风险应对策略和措施；检查阶段对演练情况展开具体分析，对业务具体造成的影响、潜在风险、变化情况等进行收集整理，作为修订完善应急预案的依据；在改进阶段及时修正、完善应急演练预案。通过对应急演练持续改进，大大降低了信息科技风险事件的影响和损失，有效维持业务的不间断运营。

二、基层行信息科技风险管理工作面临的挑战

（一）信息科技风险管理意识及能力尚需提高。一是部分基层行领导存在重业务发展重业务风险防范，轻信息科技建设轻信息科技风险防范的现象，致使科技风险管理不到位。二是一线操作人员风险意识淡薄，认为信息科技风险是信息科技部门的事，与己无关。对移动存储设备使用、IC卡管理、密码管理等安全管理规定置若罔闻，非常容易产生操作风险。三是信息科技人员缺乏科技风险管理方面专业系统的培训，风险管理知识及经验不足，风险识别、风险评估、风险处置能力不强。

（二）信息科技风险管理制度还需完善。一是信息科技管理制度还不够完善。比如现有的制度在电子设备采购、管理、报废等方面进行了规范，但在设备选型、设备更换、固定资产指标使用等方面缺乏统一规定，部分机构出现设备老化、设备带病工作、设备兼容性差等情况。二是内部管控制度不健全。目前对信息科技风险审计能力不足，缺乏信息科技风险的有效监管。审计部门只对信息科技资产进行审计，缺乏必要的技术力量和技术方法对信息科技风险及信息科技人员行为进行审计。信息科技部门既是运动员，又是裁判员，不能形成有效的制衡机制。三是制度执行不到位。由于基层行信息科技人员不足，技术力量薄弱，科技部门重要岗位缺乏备份人员，内部岗位之间缺乏制约，影响某些规章制度有效落实。

（三）信息安全技术保障体系需进一步提升。一是技术安全标准和技术规范不够全面，在风险预警、评估、处置等方面存在漏洞。二是在终端安全、网络准入控制、网络分区等方面技术手段不足，既增加人力维护成本，又极易产生信息科技安全隐患。三是IT服务外包需进一步规范，在外包合同签订、外包人员管理、服务质量的监督等方面需加强监管，在努力提高服务水平的同时，最大限度地保护信息安全。

三、基层行信息科技风险治理展望

（一）加强内控制度建设，巩固三道防线。内控管理是一项长期而重要的工作，基层行应紧密结合现有业务流程，以完善管理机制、建立健全制度体系为主线，不断优化现有信息系统，提高信息系统基础设施的服务保障能力。信息科技风险虽然体现在信息系统的运行操作环节，但往往涉及业务流程和操作模式的合理性、业务需求的质量等众多方面，防范信息科技风险必须综合考虑业务需求制定、项目实施、软件开发、基础设施建设、运行维护管理等不同环节的各种因素，由业务主管部门、科技管理部门和审计部门协同工作，才能起到事半功倍的效果。各基层行首先应充分认识信息科技安全的紧迫性和重要性，明确信息科技风险管理目标，落实信息科技风险管理责任制，将信息科技风险纳入自身的总体风险框架，筑起第一道“思想”防线；其次，在加强信息安全监督、自查力度的同时，还应定期组织辖内信息科技风险的专项检查，对于日常经营管理和生产运行中发现的操作风险隐患，建立信息系统风险持续跟进机制，及时消除风险隐患，坚守第二道“监查”防线；此外，还应明确业务部门责任，将科技风险管理纳入到业务部门日常管理，设立专门的IT审计团队，培养专业的IT审计人才，对信息科技风险进行评估，督促整改，构建“以查带审，以审促查”的第三道防线。

（二）重在预防，完善信息风险防控体系。一是建立信息风险监控平台，通过对现有各类生产系统、监控系统中的可疑数据进行跟踪与分析，从而有效地对信息科技风险进行预警、评估、处置。平台采用实时预警和T+1分析相结合的方式，对于风险程度高、要求响应速度快的风险点，依托短信平台、邮件系统在最短时间内给出预警；对于日常操作和行为信息，采用T+1分析的方式，通过事后追查、责任落实来规避风险。二是完善信息科技风险评估制度，严格控制对应用项目外包、软硬件产品和相关服务外包的风险，建立对外包服务商、产品供应商的信息科技风险的评估机制，实现对第三方全过程的跟踪管理，防范外包服务的实施风险。三是实施风险管理的全覆盖。将全省人员按照省、市、县三级组织实施分级管理，一级管一级，实现从上到下、从省到县的逐级有序结构，使科技工作风险管控的触角延伸到每一个人、每一台计算机、每一项业务。

（三）强化保障体系，持续推动业务连续性管理。首先，应严格执行机房值班制度，每日巡查机房，确保将安全隐患消灭于萌芽之中。其次，还应加强后备电源、备品备件的管理，落实各二级分行机房的第二供电保障渠道，有条件的行采用双回路供电，没有改造条件的自备发电机，对重要设备还应采取热备或冷备的方式，消除单点故障隐患。再次，研发推广桌面（终端）安全系统，包含内网准入、补丁分发、病毒库升级和主动防御等功能，从源头防范，确保网络安全。此外，还必须未雨绸缪，及时修订应急预案，做好业务连续性规划、业务恢复机制、风险化解和转移措施、数据备份方案等多方面的工作，并加强灾备演练，以保障在突如其来的灾难性事故面前能从容应对，迅速恢复生产，尽可能降低事故造成的损失。

网络安全安全整改方案范文第5篇

一、指导思想

我们要从讲政治、促稳定的高度，充分认识到学校创建平安校园工作的重要性和必要性，认真贯彻落实创建平安校园应该以“安全第一，预防为主”的方针，以对人民群众负责，对师生高度负责的态度，处理好学校创建平安校园工作与提高学校教育教学质量的关系。把创建平安校园工作纳入学校重要议事日程，采取必要措施，保障学校创建平安校园工作落到实处，为师生营造一个安全祥和的工作和学习环境。

二、工作目标

通过 “平安校园”创建的广泛宣传，进一步完善制度，细化责任，强化措施落实，促进我校教育教学工作的有序进行，确保校园无安全事故，无纠纷案件，无上访事件，无周边环境问题。达到师生平安和谐，秩序井然。

三、工作措施

（一）明确工作重点。

根据上级有关文件精神，结合本校实际，我校把以下几个方面作为新年度创建平安校园的工作重心：1、要对学生加强交通安全、消防安全、人身安全、卫生安全、危害等教育，增强自我安全意识和防范能力。2、要加强未成年人思想道德建设，

特别是法制教育，切实提高师生的遵纪守法观念。3、要认真开展网络安全教育，提高学生抵御网络文化中的腐朽、消极内容的能力。4、要加强对校舍和教学设施设备的安全检查，及时排除危房，消除安全隐患，确保学生的生命安全。5、对容易引发火灾、存放危险物品及人员集中的场所作重点检查，要对消防设施进行定期维护，确保消防器材的完好。6、要加强对仪器室安全措施，严格剧、易燃易爆品的管理。7、加强饮食卫生管理工作。8、加强学生心理健康教育，创建宽松、民主、和谐的育人环境。9、加强校园周边环境的综合治理工作。10、做好贫困学生的帮困结对助学工作，消除社会不稳定因素。

（二）广泛宣传，增强师生安全意识。

继续开展创建平安校园活动是新形势下学校“保安全、保稳定、保发展”的重大举措，事关学校的稳定和学校的健康发展。因此，我们要充分利用条幅、印发材料、班会课、黑板报等阵地进行广泛宣传，进一步明确安全工作要求、安全防范知识等。积极引导师生增强做好学校安全工作的紧迫感和责任感，强化安全防范意识。

（三）加强教育，提高安全防范能力。

各班级要利用国旗下讲话、主题班队会、晨会等时间，同时根据各时令的特点开展“学规范、

守规范、争做优秀班集体”、“安全教育周”“演讲与征文”以及举办讲座、观看影视片等途径，对学生重点是加强思想政治教育、日常行为规范教育、师生的安全防范知识和卫生常识教育、交通安全教育、法制教育和心理健康教育等。更要注意防电、防火、防溺水、防毒及公共卫生事件应急措施等方面的学习，并注重自我保护能力的培养，不断提高全校师生的安全防范能力。

（四）完善制度，安全工作有章可循。

结合学校实际和创建平安校园的工作要求，逐步建立健全和完善各项管理制度，特别要完善安全和卫生管理制度。使得相关工作有章可循，并在实际工作中依章办事，狠抓落实。

（五）排查隐患，安全工作防患未然。

为确保师生安全，我校按照上级相关要求，学校每月一次对校园进行全面排查，各班坚持天天查，值周组坚持24小时巡查，做到横向到边，纵向到底，不留死角、盲区。对存在的安全和卫生隐患在校教师会上进行通报，并一一登记，逐一制订切实可行的整改方案，及时消除隐患。

（六）协调关系，加强周边环境治理。

学校将尽全力协调与当地有关部门及学校周边居委会和居民的关系，争取他们全方位地支持。同时，注重协调与学生家长之间的联系，取得家长

的支持和理解，消除误会，增进了解，密切关系，努力使学校的教育教学工作得到家长的配合。

（七）开展活动，创建工作不拘形式。

为促使全校师生人人重视、人人参与创建工作，学校拟在全校开展以下几项活动：1、交通安全教育系列活动。2、应急预案大演练。3、安全卫生专题讲座。4、每月一次全面排摸安全隐患，并通报安全工作。

（八）加强领导，创建工作常抓不懈。

为切实加强对创建平安校园工作的领导，学校成立创建工作领导小组，由校长xxx任组长，其他行政班子成员为成员，具体负责对本项工作的组织领导和检查。在日常工作中坚持谁分管、谁负责的原则，分工到人，责任到人。平时既各司其职，又相互协作，使得该项工作常抓不懈，抓出成效。