2022公司網絡安全自查情況報告

近期，國鐵集團信息技術中心發布了《關於開展網絡安全自查的通知》(科技網安函[2022]40號), 決定在全路範圍內開展一次網絡安全防護情況自查工作。為落實好《通知》有關工作要求，為深入貫徹落實習近平總書記關於維護網絡安全、qianghuaguanjianxinxijichusheshibaohudexiliezhongyaozhishijingshen，quanlizuohaodangdeershidadengzhongdahuodongwangluoanbaogongzuo，youxiaobeizhanguojiajiwangluogongfangyanlian，xianjiangyouguanzizhaqingkuangbaogaoruxia。

一、自查工作組織開展情況

接到通知後
，領導高度重視，安排了公司副總經理牽頭

，組織信息技術部門人員成立了安全保障團隊
；同時下發的安全公告和工作安排，各部門也積極響應配合落實。

二、自查工作實施情況

1.檢查運維終端IP地址安全管理，並與使用人員簽訂安全責任承諾書。

2.檢查對外開放場所和外來人員的管控，防止其私自接入網絡。

3.排查內部服務網，與國鐵集團、相關鐵路局、其它路內外單位網絡邊界訪問策略，禁止開放any全通策略

，嚴格按照最小化原則開放訪問策略。

4.檢查外部服務網，與國鐵集團
、相關鐵路局、其它路內外單位網絡邊界訪問策略，禁止開放any全通策略，嚴格按照最小化原則開放訪問策略。

5.檢查互聯網邊界訪問策略，禁止開放any全通策略，嚴格按照最小化原則開放訪問策略，特別是禁止高風險端口暴露互聯網
，如：遠程管理TCP:3389/22/23
、數據庫TCP:1433/1521/3306、redis,TCP:6379、文件打印和共享TCP：139/445。

6.檢查辦公終端出現一機兩網的情況。

7.檢查網絡區域邊界、業務訪問路徑關鍵節點是否采取了全麵的網絡監測和審計措施。

8.檢查操作係統、WEB組件、應用程序和數據庫，是否存在第三方廠商或CVE/CNVD/CNNVD發布的0day/Nday漏洞。

9.核查近兩年來互聯網漏洞服務平台、CNCERT、安全檢查及內外部攻防演練發現的安全漏洞是否逐一整改加固。

10.檢查堡壘機

、VPN
、統一身份認證平台是否存在僵屍賬戶；檢查高權限賬戶是否采取雙因素認證或登錄限製措施。

11.檢查運維終端在運維管理過程中是否使用堡壘機登錄
，嚴格禁止使用跳板機登錄
，禁止使用第三方遠程軟件從互聯網遠程運維管理。

12.檢查外部服務網、內部服務網與國鐵集團連接的所有運維主機的終端安全防控軟件、防病毒等安裝情況；是否采取網絡準入措施
；是否記錄相關日誌，確保運維終端的使用定位到人。

13.檢查所有運維終端，禁止瀏覽器
、本地主機文件留存賬號和口令等敏感信息。

14.梳理涉及核心敏感數據（如：公民個人信息、業務生產敏感數據

、運行管理數據
、其他重要數據等）的業務係統


，是否采取加密存儲、傳輸等安全措施；是否部署了數據行為操作審計措施。

15.檢查所有辦公終端，禁止瀏覽器、本地主機文件留存賬號和口令等敏感信息。

16.加強全員安全意識教育培訓，禁止向任意第三方透露係統賬號口令，防止被社工釣魚。

17.檢查操作係統、WEB應用、網絡/安全設備、集權類設備/平台是否存在弱口令/空口令/默認口令和口令複用情況，建議重要係統的賬號，特別是特權賬號采取雙因素認證措施，口令+短信/動態驗證碼
，如：統一登錄類的平台。

三
、自查結果

1.運維終端IP地址已經安全管理，並與使用人員簽訂安全責任承諾書。

2.對外開放場所和外來人員已經管控，防止其私自接入網絡。

3.內部服務網，與國鐵集團
、相關鐵路局
、其它路內外單位網絡邊界訪問策略，已經禁止開放any全通策略

，嚴格按照最小化原則開放訪問策略。

4.外部服務網
，與國鐵集團、相關鐵路局、其它路內外單位網絡邊界訪問策略，已經禁止開放any全通策略
，嚴格按照最小化原則開放訪問策略。

5.互聯網邊界訪問策略，已經禁止開放any全通策略，嚴格按照最小化原則開放訪問策略，特別是禁止高風險端口暴露互聯網，如：遠程管理TCP:3389/22/23
、數據庫TCP:1433/1521/3306
、redis,TCP:6379、文件打印和共享TCP：139/445。

6.辦公終端沒有出現一機兩網的情況。

7.網絡區域邊界
、業務訪問路徑關鍵節點已經采取了全麵的網絡監測和審計措施，相關安全防護升級計劃今年已經開始相關采購。

8.操作係統、WEB組件、應用程序和數據庫，不存在第三方廠商或CVE/CNVD/CNNVD發布的0day/Nday漏洞。

9.近兩年來互聯網漏洞服務平台、CNCERT

、安全檢查及內外部攻防演練發現的安全漏洞已經逐一整改加固。

10.堡壘機、VPN
、統一身份認證平台相關安全防護升級計劃今年已經開始相關采購。

11.運(yun)維(wei)終(zhong)端(duan)在(zai)運(yun)維(wei)管(guan)理(li)過(guo)程(cheng)中(zhong)已(yi)經(jing)使(shi)用(yong)堡(bao)壘(lei)機(ji)登(deng)錄(lu)，嚴(yan)格(ge)禁(jin)止(zhi)使(shi)用(yong)跳(tiao)板(ban)機(ji)登(deng)錄(lu)
，禁(jin)止(zhi)使(shi)用(yong)第(di)三(san)方(fang)遠(yuan)程(cheng)軟(ruan)件(jian)從(cong)互(hu)聯(lian)網(wang)遠(yuan)程(cheng)運(yun)維(wei)管(guan)理(li)，相(xiang)關(guan)安(an)全(quan)防(fang)護(hu)升(sheng)級(ji)計(ji)劃(hua)今(jin)年(nian)已(yi)經(jing)開(kai)始(shi)相(xiang)關(guan)采(cai)購(gou)。

12.外部服務網、內部服務網與國鐵集團連接的所有運維主機已經安裝終端安全防控軟件、防病毒軟件；已經采取網絡準入措施；記錄相關日誌，確保運維終端的使用定位到人。

13.所有運維終端，禁止瀏覽器
、本地主機文件留存賬號和口令等敏感信息。

14.梳理涉及核心敏感數據（如：公民個人信息、業務生產敏感數據、運行管理數據
、其他重要數據等）的業務係統，已經采取加密存儲、傳輸等安全措施
；相關安全防護升級計劃今年已經開始相關采購。

15.所有辦公終端，已經禁止瀏覽器

、本地主機文件留存賬號和口令等敏感信息。

16.已經加強全員安全意識教育培訓，禁止向任意第三方透露係統賬號口令，防止被社工釣魚。

17.操作係統
、WEB應用、網絡/安全設備、集權類設備/平台不存在弱口令/空口令/默認口令和口令複用情況
，重要係統的賬號，特別是特權賬號已經采取雙因素認證措施，口令+短信/動態驗證碼。

XXXXXXXXXXXXXXXXXXXX

2022年X月X日