晉中財(cái)政網(wǎng)絡(luò)和信息安全建設(shè)情況

晉中市財(cái)政局圍繞財(cái)政網(wǎng)絡(luò)和信息安全建設(shè)，全力打造財(cái)政軟硬件支撐平臺(tái)，2017年至2019年三年期間，市局累計(jì)投入信息化建設(shè)資金3175.3萬(wàn)元，全部用于網(wǎng)絡(luò)、系統(tǒng)維保及基礎(chǔ)環(huán)境軟硬件建設(shè)。

一、基本情況

（一）網(wǎng)絡(luò)和信息安全管理體系建設(shè)情況

安全管理制度建設(shè)層面上，市局不斷加快網(wǎng)絡(luò)和系統(tǒng)安全制度建設(shè)步伐，多次組織召開專題會(huì)議，研究部署安全制度建設(shè)工作，先后出臺(tái)了《互聯(lián)網(wǎng)上網(wǎng)管理規(guī)定》、《電腦及辦公網(wǎng)絡(luò)使用管理辦法》、《晉中市財(cái)政局計(jì)算機(jī)系統(tǒng)安全與磁介質(zhì)保密管理規(guī)定》、《晉中市財(cái)政局信息系統(tǒng)管理風(fēng)險(xiǎn)內(nèi)部控制辦法》和《晉中市財(cái)政局信息中心內(nèi)控操作規(guī)程》等多項(xiàng)制度規(guī)范，補(bǔ)齊了網(wǎng)安制度建設(shè)的短板。

網(wǎng)絡(luò)和信息安全領(lǐng)導(dǎo)機(jī)構(gòu)層面上，市局領(lǐng)導(dǎo)高度重視網(wǎng)絡(luò)和門戶網(wǎng)站等信息系統(tǒng)安全防護(hù)工作，成立了專門的網(wǎng)絡(luò)安全工作領(lǐng)導(dǎo)小組。領(lǐng)導(dǎo)小組下設(shè)辦公室（簡(jiǎn)稱“局信安辦”）。領(lǐng)導(dǎo)組及其下屬辦公室工作職責(zé)明確，責(zé)任落實(shí)到位。

（二）等級(jí)保護(hù)與風(fēng)險(xiǎn)評(píng)估情況

2016年以來(lái)，市局按照上級(jí)部門的要求和局領(lǐng)導(dǎo)的安排，圍繞網(wǎng)安等保工作精準(zhǔn)發(fā)力，結(jié)合業(yè)務(wù)調(diào)整現(xiàn)實(shí)情況，共計(jì)定級(jí)、備案4個(gè)三級(jí)系統(tǒng)（國(guó)庫(kù)集中支付、非稅收入、部門預(yù)算、大平臺(tái)）和3個(gè)二級(jí)系統(tǒng)（OA及檔案系統(tǒng)、內(nèi)網(wǎng)網(wǎng)站），委托第三方安全測(cè)評(píng)公司累計(jì)測(cè)評(píng)3次，發(fā)現(xiàn)并整改問(wèn)題241項(xiàng)，四年來(lái)共計(jì)投入等保經(jīng)費(fèi)78萬(wàn)元。今年上半年共計(jì)投入等保經(jīng)費(fèi)26.7萬(wàn)，分別對(duì)國(guó)庫(kù)集中支付系統(tǒng)、大平臺(tái)、部門預(yù)算三個(gè)系統(tǒng)組織了等保測(cè)評(píng)。

（三）財(cái)政專網(wǎng)管理及信息安全防護(hù)情況

一是各網(wǎng)絡(luò)分別架構(gòu)于不同的路由器、交換機(jī)和布線通道，連接互聯(lián)網(wǎng)PC還進(jìn)行了MAC/IP捆綁，嚴(yán)格實(shí)行了不同網(wǎng)絡(luò)間的物理隔離，業(yè)務(wù)網(wǎng)絡(luò)終端不能上互聯(lián)網(wǎng)，只能在業(yè)務(wù)專網(wǎng)環(huán)境下運(yùn)行使用；二是強(qiáng)化殺毒軟件部署。按省財(cái)政廳要求，2017年對(duì)內(nèi)網(wǎng)全部PC機(jī)安裝了趨勢(shì)殺毒軟件，共計(jì)部署完成122臺(tái)內(nèi)網(wǎng)PC端，淘汰了市局之前使用的瑞星殺毒。市局外網(wǎng)PC機(jī)安裝了360和瑞星等殺毒軟件。另外，通過(guò)應(yīng)用管理引擎，限制工作用計(jì)算機(jī)對(duì)不良網(wǎng)站的訪問(wèn)。對(duì)移動(dòng)存儲(chǔ)設(shè)備及時(shí)殺毒；三是部署終端管理軟件。在2011年市局就部署了萊恩塞克終端管理系統(tǒng)，2017年對(duì)連接城域網(wǎng)的200多家預(yù)算單位進(jìn)行了擴(kuò)容升級(jí)。通過(guò)管理平臺(tái)既可以實(shí)時(shí)監(jiān)測(cè)內(nèi)網(wǎng)、城域網(wǎng)上的PC機(jī)非法外聯(lián)情況，又可以通過(guò)平臺(tái)對(duì)違規(guī)外聯(lián)的終端及時(shí)斷開與內(nèi)網(wǎng)的連接，消除網(wǎng)絡(luò)安全隱患；四是加強(qiáng)運(yùn)維巡檢。在日常運(yùn)維過(guò)程中，通過(guò)登錄日志審計(jì)系統(tǒng)、安全管理平臺(tái)查看、分析日志，排查安全隱患。

二、主要存在問(wèn)題

（一）網(wǎng)絡(luò)安全意識(shí)不強(qiáng)，管理制度落實(shí)不到位

一是U盤等移動(dòng)存儲(chǔ)介質(zhì)管理缺位，不按規(guī)定事先殺毒，在內(nèi)網(wǎng)機(jī)上隨意插拔濫用，增加了內(nèi)網(wǎng)機(jī)感染病毒風(fēng)險(xiǎn)；二是個(gè)別縣局單位網(wǎng)絡(luò)、安全設(shè)備弱口令問(wèn)題突出，長(zhǎng)期不更新，設(shè)備密碼泄露風(fēng)險(xiǎn)大；三是市局尤其是縣級(jí)單位管理制度不完善、落實(shí)不到位問(wèn)題突出，尚未形成完備的制度管理體系。

（二）技術(shù)力量薄弱，應(yīng)急能力不足

一是市縣兩級(jí)信息化管理人才短缺嚴(yán)重。全市現(xiàn)有信息中心工作人員20名，專職人員占比僅為1/3，其余全部為兼職；二是現(xiàn)有技術(shù)人員基礎(chǔ)能力較差，人員配備參差不齊，難以滿足財(cái)政信息化建設(shè)能力需要；三是縣級(jí)財(cái)政信息化管理體制尚不完善，2/3的縣局單位缺少專業(yè)的信息化管理機(jī)構(gòu)；四是市局尤其是各縣專業(yè)技術(shù)人員編制少、水平低，不少縣級(jí)財(cái)政信息中心存在一人多崗的情況，缺少一支專業(yè)可靠的應(yīng)急技術(shù)隊(duì)伍。面臨網(wǎng)絡(luò)安全事件應(yīng)急能力不足、經(jīng)驗(yàn)缺乏、應(yīng)急預(yù)案缺失，學(xué)習(xí)培訓(xùn)工作有待進(jìn)一步加強(qiáng)。

（三）網(wǎng)安建設(shè)經(jīng)費(fèi)不足，安全保障水平不高

信息化建設(shè)經(jīng)費(fèi)投入不足、安全建設(shè)經(jīng)費(fèi)占比低已成為制約縣級(jí)財(cái)政網(wǎng)絡(luò)安全建設(shè)的重要瓶頸，主要體現(xiàn)在以下幾方面：一是各縣等保工作普遍“缺位”。按照公安部門和省廳3號(hào)文件要求，各縣應(yīng)全面實(shí)施落實(shí)等保制度，保證等保工作落地實(shí)施。目前，全市僅市局和介休2家單位組織了等保測(cè)評(píng)，其余各縣均未推廣等保工作。二是網(wǎng)絡(luò)邊界防護(hù)能力不足。全市僅市局、介休、昔陽(yáng)3家單位按省廳指導(dǎo)意見在橫向城域網(wǎng)上部署了防火墻、入侵防御系統(tǒng)、防毒墻，其余單位城域網(wǎng)邊界僅部署有防火墻，種類比較單一，不具備多層次安全防護(hù)能力。此外，僅市局、介休2家單位符合信息安全等保中設(shè)備冗余部署要求。

三、工作建議

（一）圍繞信息安全等保工作持續(xù)發(fā)力

開展等保工作既是網(wǎng)絡(luò)安全縱深發(fā)展的現(xiàn)實(shí)需求，更是落實(shí)國(guó)家等保制度的必由之路。針對(duì)各縣等保工作普遍“缺位”問(wèn)題，市局要加強(qiáng)對(duì)各縣等保工作的牽引和指導(dǎo)，保證工作上下聯(lián)動(dòng)、壓力層層傳導(dǎo)，堅(jiān)持以等保工作為抓手，不斷梳理全市財(cái)政系統(tǒng)的安全現(xiàn)狀和防護(hù)漏洞，保證工作有的放矢、落地見效，全方位提高財(cái)政網(wǎng)絡(luò)、信息系統(tǒng)的安全保護(hù)水平。

（二）努力保障建設(shè)經(jīng)費(fèi)，切實(shí)提高保障水平

在現(xiàn)行財(cái)政體制下，我市財(cái)政較為困難，信息化投資力不從心。但是，各縣一定要提高網(wǎng)絡(luò)安全思想認(rèn)識(shí)，努力克服縣級(jí)財(cái)力不足等客觀困難，進(jìn)一步加強(qiáng)財(cái)政網(wǎng)安經(jīng)費(fèi)落實(shí)力度，切實(shí)保障足額建設(shè)經(jīng)費(fèi)，市縣共同編織好網(wǎng)絡(luò)安全這張“網(wǎng)”。

（三）著力打造專職網(wǎng)安運(yùn)維力量

現(xiàn)今，全省財(cái)政網(wǎng)絡(luò)安全形勢(shì)嚴(yán)峻，一方面，市財(cái)政尤其是縣級(jí)單位面臨著技術(shù)力量薄弱、應(yīng)急能力不足、依賴第三方運(yùn)維公司的“短板”；另一方面，機(jī)構(gòu)和人員編制問(wèn)題一直以來(lái)是縣級(jí)財(cái)政存在的“陳疴頑疾”。此外，從市局運(yùn)維體系來(lái)看，內(nèi)部缺少一支專業(yè)的安全運(yùn)維力量為全市財(cái)政安全保駕護(hù)航。

從長(zhǎng)計(jì)議，可考慮以服務(wù)外包形式為局財(cái)政量身打造一支安全運(yùn)維力量常駐服務(wù)，同時(shí)為各縣提供安全建設(shè)規(guī)劃指導(dǎo)；縣局單位也要克服現(xiàn)實(shí)困難，全力做好人員統(tǒng)籌調(diào)配，配備至少一名網(wǎng)絡(luò)安全專崗人員負(fù)責(zé)工作。

（四）抓好培訓(xùn)關(guān)鍵點(diǎn)，提升隊(duì)伍戰(zhàn)斗力

在推進(jìn)全市網(wǎng)絡(luò)信息安全建設(shè)進(jìn)程中，局財(cái)政應(yīng)將培訓(xùn)作為一項(xiàng)長(zhǎng)期性、基礎(chǔ)性工作擺到突出位置，充分利用視頻會(huì)議技術(shù)優(yōu)勢(shì)，不斷優(yōu)化培訓(xùn)形式，堅(jiān)持“引進(jìn)來(lái)、走出去”相結(jié)合，積極組織、把握機(jī)會(huì)，調(diào)用有限資源為各縣爭(zhēng)取培訓(xùn)機(jī)會(huì)，努力建設(shè)一直業(yè)務(wù)強(qiáng)、作風(fēng)硬的信息化建設(shè)隊(duì)伍。