網(wǎng)絡(luò)信息系統(tǒng)安全檢查表

1、期貨網(wǎng)絡(luò)信息系統(tǒng)安全檢查為建立健全證券期貨業(yè)網(wǎng)絡(luò)與信息安全事件應(yīng)急工作機(jī)制，提高行業(yè)應(yīng)對(duì)網(wǎng)絡(luò)與信息安全事件的應(yīng)急處置能力，預(yù)防和減少網(wǎng)絡(luò)與信息安全事件造成的損失和危害，維護(hù)資本市場(chǎng)穩(wěn)定和健康發(fā)展，維護(hù)國(guó)家金融安全和社會(huì)穩(wěn)定，保護(hù)投資者合法權(quán)益，特成立網(wǎng)絡(luò)信息安全檢查小組對(duì)我司信息技術(shù)部網(wǎng)絡(luò)信息安全進(jìn)行專項(xiàng)檢查。受檢查單位部門檢查日期檢查小組成員名單檢查小組組長(zhǎng)簽字受檢單位技術(shù)負(fù)責(zé)人簽字受檢單位負(fù)責(zé)人簽字檢查情況備注檢查項(xiàng)目檢查內(nèi)容檢查結(jié)果備注1.門戶網(wǎng)站及網(wǎng)上交易系統(tǒng)1.漏洞、木馬、病毒檢測(cè)1.是否安裝了實(shí)時(shí)升級(jí)，在線掃描的木馬、病毒防護(hù)軟件是 否2.是否建立了定期掃描并修補(bǔ)漏洞的工作制度是

2、否3.是否對(duì)網(wǎng)站進(jìn)行了全面檢查，消除了sql注入漏洞、弱口令帳戶、繞過驗(yàn)證、目錄遍歷、文件上傳、下單網(wǎng)頁未使用HTTPS加密機(jī)制等安全隱患是 否2.門戶網(wǎng)站和網(wǎng)上交易系統(tǒng)隔離1.門戶網(wǎng)站和網(wǎng)上交易系統(tǒng)是否進(jìn)行了嚴(yán)格隔離是 否2.網(wǎng)上交易下單網(wǎng)頁和網(wǎng)上交易后臺(tái)數(shù)據(jù)庫之間是否進(jìn)行了嚴(yán)格有效隔離是 否3.交易軟件客戶端下載是否對(duì)通過網(wǎng)站下載的網(wǎng)上交易客戶端軟件采取了嚴(yán)格的防護(hù)措施，能夠防止被捆綁木馬程序是 否4.端口限制和遠(yuǎn)程管理1.是否在防火墻和服務(wù)器上關(guān)閉了與業(yè)務(wù)無關(guān)的端口是 否2. 是否禁止了通過互聯(lián)網(wǎng)對(duì)防火墻、網(wǎng)絡(luò)設(shè)備、服務(wù)器進(jìn)行遠(yuǎn)程管理和維護(hù)是 否5訪問控制與審計(jì)是否采用了可靠的身份認(rèn)證、

3、訪問控制和安全審計(jì)措施，防止來自互聯(lián)網(wǎng)的非法接入和非法訪問是 否6.網(wǎng)頁安全1.是否對(duì)網(wǎng)頁采取了防篡改等措施是 否2.是否對(duì)網(wǎng)頁內(nèi)容采取了監(jiān)控、過濾機(jī)制是 否2.交易業(yè)務(wù)系統(tǒng)1.網(wǎng)絡(luò)隔離1.是否對(duì)交易業(yè)務(wù)網(wǎng)和內(nèi)部辦公網(wǎng)實(shí)施了物理隔離是 否2.處理交易業(yè)務(wù)的計(jì)算機(jī)終端和移動(dòng)存儲(chǔ)介質(zhì)是否專網(wǎng)專用，不允許訪問互聯(lián)網(wǎng)是 否3.是否采用了可靠的身份認(rèn)證、訪問控制和安全審計(jì)措施，防止來自內(nèi)部或現(xiàn)場(chǎng)交易的非法接入和非法訪問是 否4.是否在核心交易業(yè)務(wù)網(wǎng)和非核心交易業(yè)務(wù)網(wǎng)之間采取了有效的隔離措施，確保在外圍系統(tǒng)被攻擊的情況下，核心交易業(yè)務(wù)網(wǎng)能夠安全運(yùn)行是 否2.交易業(yè)務(wù)系統(tǒng)維護(hù)是否制訂了交易業(yè)務(wù)系統(tǒng)主機(jī)、存儲(chǔ)

4、設(shè)備、網(wǎng)絡(luò)設(shè)備的監(jiān)控和維護(hù)計(jì)劃，并有監(jiān)控維護(hù)記錄是 否3.系統(tǒng)評(píng)估公司內(nèi)部是否對(duì)交易業(yè)務(wù)系統(tǒng)的可靠性和安全性有定期評(píng)估制度，并有評(píng)估報(bào)告是 否4.系統(tǒng)升級(jí)在對(duì)交易業(yè)務(wù)系統(tǒng)進(jìn)行的重大升級(jí)和更新前是否制訂了詳細(xì)的升級(jí)方案是 否3.備份措施1.災(zāi)難備份和故障備份1.是否對(duì)交易業(yè)務(wù)系統(tǒng)進(jìn)行了故障備份是 否2.是否對(duì)交易業(yè)務(wù)系統(tǒng)進(jìn)行了同城災(zāi)難備份是 否3.是否對(duì)交易業(yè)務(wù)系統(tǒng)進(jìn)行了異地災(zāi)害備份是 否2.主機(jī)備份1.對(duì)重要主機(jī)、處理機(jī)和存儲(chǔ)設(shè)備等關(guān)鍵設(shè)備是否建立了備份機(jī)制，并有備機(jī)備件是 否2.在主機(jī)和處理機(jī)出現(xiàn)故障時(shí)能否實(shí)現(xiàn)主備機(jī)及時(shí)切換，不影響交易是 否3.數(shù)據(jù)備份1.是否有完整的數(shù)據(jù)備份策略是 否2.

5、是否對(duì)交易業(yè)務(wù)等關(guān)鍵數(shù)據(jù)進(jìn)行每日備份是 否3.備份數(shù)據(jù)是否異地存放，安全保管是 否4.是否對(duì)備份數(shù)據(jù)的有效性進(jìn)行了驗(yàn)證，以保證備份數(shù)據(jù)在應(yīng)急恢復(fù)時(shí)有效是 否4.網(wǎng)絡(luò)備份1.是否對(duì)交易業(yè)務(wù)系統(tǒng)的主干網(wǎng)絡(luò)設(shè)備建立了備份機(jī)制，并有備機(jī)備件是 否2.發(fā)生故障時(shí)，主干網(wǎng)絡(luò)設(shè)備是否可以實(shí)時(shí)切換，不影響交易是 否5.通訊備份1.是否對(duì)通訊設(shè)備建立了備份機(jī)制，有備機(jī)備件是 否2.是否對(duì)重要的通訊線路有冗余備份線路是 否3.發(fā)生故障時(shí)，通信備份線路是否可以及時(shí)切換，不影響交易是 否6.電力備份1.是否采用了雙路供電是 否2.是否采用了UPS后備電源是 否3.是否配備或租賃了發(fā)電機(jī)設(shè)備作為備份，并掌握操作要領(lǐng)是

6、否4.發(fā)生故障時(shí)，電力設(shè)備能否實(shí)時(shí)切換，不影響交易是 否7.空調(diào)備份1.是否建立了空調(diào)備份機(jī)制，有備用空調(diào)機(jī)是 否2.在主用空調(diào)發(fā)生故障時(shí)，備用空調(diào)機(jī)是否能夠及時(shí)啟用是 否4.安全監(jiān)控與管理1.實(shí)時(shí)監(jiān)控1.是否配備了監(jiān)控設(shè)備和人員，對(duì)交易業(yè)務(wù)網(wǎng)內(nèi)的服務(wù)器、主干網(wǎng)絡(luò)設(shè)備的性能進(jìn)行24小時(shí)實(shí)時(shí)監(jiān)控，并形成監(jiān)控記錄是 否2. 是否對(duì)交易、結(jié)算、銀證業(yè)務(wù)等交易業(yè)務(wù)運(yùn)行情況進(jìn)行24小時(shí)不間斷監(jiān)控，并形成監(jiān)控記錄是 否3. 是否對(duì)網(wǎng)絡(luò)流量、網(wǎng)站內(nèi)容等采取了24小時(shí)監(jiān)控措施，并形成監(jiān)控記錄是 否2.日志檢查和分析1.是否定期對(duì)關(guān)鍵網(wǎng)絡(luò)、安全設(shè)備和服務(wù)器日志進(jìn)行備份是 否2.是否定期對(duì)關(guān)鍵網(wǎng)絡(luò)、安全設(shè)備和服務(wù)

7、器日志進(jìn)行檢查和分析，形成記錄是 否3.權(quán)限和口令管理1.是否對(duì)交易業(yè)務(wù)服務(wù)器、主干交換設(shè)備等關(guān)鍵設(shè)備按最小安全訪問原則設(shè)置訪問控制權(quán)限，并及時(shí)清理冗余系統(tǒng)用戶，正確分配用戶權(quán)限是 否2.是否建立了有效的口令管理制度，有修改操作系統(tǒng)、數(shù)據(jù)庫及應(yīng)用系統(tǒng)管理員口令的記錄是 否3.登錄口令修改頻率是否不低于每月一次是 否4.登錄口令長(zhǎng)度是否不低于12位，并采用數(shù)字、字母、符號(hào)混排的方式是 否5.是否對(duì)交易業(yè)務(wù)服務(wù)器、主干網(wǎng)絡(luò)設(shè)備、安全設(shè)備等的管理和維護(hù)采取了限制IP登錄的管理措施是 否4.病毒、木馬監(jiān)控是否對(duì)業(yè)務(wù)網(wǎng)和辦公網(wǎng)安裝了殺毒和防木馬軟件，并進(jìn)行定期升級(jí)和在線掃描是 否5.機(jī)房安全1.是否對(duì)機(jī)房進(jìn)出人員進(jìn)行了登記管理是 否2.是否對(duì)外來人員操作系統(tǒng)有陪同、審批和監(jiān)控制度是 否3.機(jī)房環(huán)境是否防靜電、防水、防火、防盜、防蟲害、防潮、防震是 否5.應(yīng)急保障1.應(yīng)急小組是否成立了突發(fā)事件應(yīng)急處理小組，明確了事件報(bào)告人,并報(bào)當(dāng)?shù)刈C監(jiān)局備案是 否2.應(yīng)急值班制度是否建立了應(yīng)急值班制度，并且應(yīng)急值守人員保持了24小時(shí)電話通暢是 否3.應(yīng)急預(yù)案是否制定了應(yīng)急處置預(yù)案是 否4.應(yīng)急經(jīng)費(fèi)與物資是否落實(shí)了應(yīng)急經(jīng)費(fèi)與物資是 否5.系統(tǒng)文檔是否制定了詳細(xì)的系統(tǒng)管理配置文檔是 否6.應(yīng)急聯(lián)系人是否建立了詳細(xì)的應(yīng)急聯(lián)系人文檔，并及時(shí)更新，保持聯(lián)絡(luò)暢