【原】案例4：行业生产经营决策管理系统定级保护备案

案例4：行业生产经营决策管理系统定级保护备案

文/01一线

我厂行业生产经营决策管理系统分支系统采用了统一的卷烟生产经营管理应用平台，属于全国烟草行业业务专网，系统与本行业其他单位系统连接，主要服务于我厂生产作业、指挥调度和管理控制内部人员，承载着本厂独立的卷烟生产计划、打码、销售、库存等基础数据，直接涉及本厂生产设备科、物资管理科和企业管理科（信息管理科）等3个部门日常工作。系统数据的存储方式包括本地存储和异地存储两种，年存储数据量级设置在1TGB 以内。系统初期建设投入105万元，系统安全建设投入15万元，2004年 12 月 8 日上线，2005年6月30日投入正常使用。2013年度开始实施异地技改，2016年12月16日完成工厂搬迁。新厂该系统建设投入259.7万元，2016年6月30日正式切换运行。以后年投入网络安全经费约20万元。

2009年以来，随着行业推行国家信息系统安全保护等级制度，我厂开展了信息安全等级保护工作部署，组织学习和宣传应用，学习领会相关文件精神和要求，每年按公司要求进行了信息系统安全保护定级相关工作，于2014 年 8 月 27 日正式向公司申请报批信息安全等级保护定级系统，主要是我厂日常应用的行业生产经营决策管理系统的定级保护并得到公司审核批复。经过前期围绕信息安全等级保护系统的硬件和软件以及制度规范的治理与梳理工作，于2015年4月上旬，根据市公安部门《关于加强市级重要信息系统安全保障工作的通知》（吉公字[2015]29号）精神和行业及公司要求，完成了我厂《信息系统安全等级保护备案表》、系统定级报告等定级保护相关的系统整套材料，5月6日正式向吉安市公安部门（市公安局网络支队）递送材料申请并成功备案。2016年新厂投产后，按搬迁新建投入应用的这套系统的实际情况延续开展了此项工作，由于成效显著，得到公安部门认可，系统备案继续有效。

我厂信息安全等级保护的做法：

1、建立健全并及时调整信息化建设与信息安全管理工作领导机构、信息管理专门机构和信息系统安全等级保护备案日常工作联系机制，指定专人负责资产管理和系统管理，并明确责任人职责。明确各级组织工作职责与权限，主要包括贯彻落实国家及国家局有关信息安全的方针、政策和法律法规，制定和审议我厂信息化建设规划、项目预算、项目立项，信息化管理规章制度；管理与监督重大信息化项目及其配套工程。落实信息系统硬件与软件的选型、配置和建设、日常执行和维护网络安全或信息安全等级保护和保障信息系统安全运行工作制度规范，落实系统业务数据及其它重要数据的备份管理和技术资料的管理、归档。落实突发事件应急预案编制评审，指挥（包括年度演练）、协调、督促并审查重大安全事件的处理等相关工作。

2、抓好系统安全规划与落实。网信机房建设、网络架构或改建时，遵循国家、行业相关安全标准制定和落实网络安全规划和系统网络结构拓扑图。同步制定核心网络设备、操作系统、数据库、服务器等软硬件产品的国产化替代工程计划和经费预算，不断提高安全产品使用、操作系统、服务器、数据库国产化比率。同步制定网络安全保护策略；在新建或改建信息系统在部署实施前，做到系统安全同步纳入企业网络安全规划、部署系统时制定相应保护策略。做好网络边界管理、明确划分安全域，并对系统边界有严格的安全策略控制。每年结合企业年度资产盘点清理和核对系统设备和资产。

3、每年依法坚持开展企业年度重要信息系统和重点网站安全执法检查自查排查整治与评审工作。定期开展企业网信分类与定级工作，提出年度网络和业务信息系统定级备案建议，编制申请《定级报告》。建立和健全企业基础网络平台，科学部署网信安全设备及其软件。

按照国家烟草专卖局办公室《关于开展2014年行业信息系统全面梳理全面诊断全面加固整改情况专项检查的通知》（国烟办综[2014]111号）文件要求和《烟草行业信息系统安全检查暂行办法》（国烟办综〔2009〕289号）有关规定，坚持每年开展公司信息系统全面梳理、全面诊断、全面加固（以下简称“三全”）整改情况专项检查工作。

根据系统上年网信运维情况，结合年度预算提报系统运维安全经费，经费包括：信息安全设施运维、日常管理、教育培训、等级测评和安全建设整改等。

4、每年定期开展风险评估，落实安全建设整改。适时分析和评估异常中断和可能造成的影响范围。依据年度定级备案、等级测评、风险评估及建设情况开展安全加固或整改。加固整改包括公安系统对信息系统定级备案检查中提出的意见和建议，国家测评单位对信息系统进行测评时反馈的问题与建议等，依据状况和结果制定整改方案，完成安全建设整改。

5、抓好系统日志及安全审计与运维管理。编制和执行信息系统运维规范，明确信息系统系统管理、终端管理操作行为安全统一管理。当有委托社会第三方国内安全服务机构提供日常运维管理服务时，做到与受托单位签订保密协议。制订和执行设备运行状态安全审计措施，并对设备运行状态明确日志记录。

6、抓好恶意代码防范管理。定期进行系统恶意代码扫描、查杀，适时进行信息系统防病毒软件升级更新。

7、抓好安全漏洞管理。定期检查、分析系统安全漏洞，及时对系统发现的安全漏洞进行加固整改。

8、做好信息系统和重要数据的运维、数据的备份与恢复。坚持自行维护信息系统和重要数据。对于有需求要服务托管单位维护时，必须落实托管单位的数据安全保护责任。落实本地（公司）和外地（北京中烟）两级数据备份与恢复策略机制。做到核心网络设备、关键主机设备具有冗余备份、冗余链路备份。

9、数据安全保护。采取加密措施保护系统重要数据，并对系统重要数据采取校验措施以保障数据的完整性，规范系统重要数据的应用、流转等。

10、建立网络安全管理制度。不断完善网络安全管理制度，包括网络安全管理操作规程，同步纳入企业管理体系贯彻落实。定期开展制度检查或纳入年度体系审核，将执行情况或检查审核结果纳入个人绩效考核。

11、建立和执行安全事件处置、报告、追责制度。制定和落实信息系统网络安全事件（事故）等规范。其中包括发生网络安全事件（事故）第一时间向公安机关报告机制。

12、建立内部应急技术支援队伍组织，明确应急联络方式，同时，建立与公司和当地相关安全建立了应急协调机制。

13、抓好应急预案和演练。制定了网络安全应急预案（应急处置预案）。定期开展年度应急演练、评审与持续改进工作。

工作效果：

1、认真贯彻落实了国家等级保护系列标准、《烟草行业信息安全等级保护管理规定》（国烟办综〔2014〕103号）、国烟办综[2014]103号和国烟办综[2014]224号以及《烟草行业信息系统安全等级保护实施规范》（YC/T495-2014）等文件有关精神，加强了企业信息系统安全管理。

2、2015年5月6日初次上报时，顺利通过吉安市公安部门的备案材料审查和考核工作。2015年7月1日顺利通过吉安市公安部门备案。2015年7月7日通过吉安市公安局网络支队现场摸底、检验与复核工作。

3、2015年以来，顺利通过吉安市公安部门的年度检查复核，保留和更新备案。

（于2016.1.23夜应移动技术群秘书补作）

注：图片来源于网络

作者简介：罗余作，男，汉族，1965年11月出生，江西吉安永和人，中共党员，高级工程师，网络与信息管理师，吉安市制造业信息化指导专家，中国知名专家学者。1982年考入江西工业大学（今南昌大学）学习。1986年8月参加工作，长期从事设备技术、网络与信息技术和企业管理实践。现任某央企信息部门主任。

职场上主要擅长机械自动化、电子信息化、管理标准化和企业文化等专业领域的探索与实践，有十多项科技和创新成果、技术改造项目成果、技术改正重大成果荣获省部级和市级表彰，主要作品有专业论著、科技论文、讲义（课件）、调研（技术）报告、案例、QC成果、科技创新成果。在国内重要学术期刊、交流会议和网络媒体上发表论文50余篇。

业余爱好旅游、体育、写作、摄影。主要作品有文学杂文、小说、评论、散文、游记、诗词、格言（语录）、评论、新闻及摄影。在报刊媒体发表新文学作品300余篇。在《中国作家文库》等各类书籍、报刊和文学网发表作品500余篇。其中50多篇作品应邀参赛获奖，曾荣获“中国当代实力派作家”、“中国诗词家”和“当代百强才子”等荣誉的称号。个人辞条已编入《走进大家》、《中国知名专家学者辞典》、《世界优秀专家人才名典》、《百度百科》、《世界名人录》等大型文献。目前参与全国科监委行业发展战略委员会、全国品牌委行业调查委员会、全国高科技创新品牌产业发展研究课题组、中国通俗文艺研究会，中国作家（交流）协会等十多个学会团体活动。

作者自述：我的业余只想静守自己的内心，做岁月里的宁静人。平时业余喜欢随笔写点人生经历和感悟文字，用以调理白天强于工科的头脑。记得在我40岁生日那天，一位朋友给我发过一条短信：“你，一口气在人生的跑道上跑了N圈。今天，又到了起跑点。累了吧？休息一下吧。明天你又将开始新的一圈。而我，将一如既往的站在跑道边为你呐喊助威。”我回复朋友说：人生是一场自我完善的修行，所有的经历，无论悲喜，都为塑造更完美的自己，待那时，即使青春不再，年华已逝，也终究会遇见最美的自己。如果把人生比作一次旅行，降生人世，我们就坐上了生命的时光列车。如果按生命83年计，我们的人生时光也就只有3万天。可是，仔细想想，我们会发现，这些日子，我们没有多少是属于自己的豪迈之行。感念之余，我回顾了过去，检讨了自己。认定了两点体会：一是要把人生奉献给那些永恒不变的事物，因为生命的伟大用途，是要把它花费在比本身寿命更为长久的事物上面。二是要决心为年岁增添生命，因为思想得最多，感受到最高尚的东西，做出最佳行为的人，生活得最丰富。