人事檔案安全管理自查報告

人事檔案安全管理自查報告1

　　近年來，局領(lǐng)導(dǎo)高度重視檔案信息安全工作，采取有力措施，進(jìn)一步規(guī)范了數(shù)字檔案館務(wù)平臺建設(shè)，落實了工作制度，強(qiáng)化了工作流程管理，檔案信息安全工作日趨規(guī)范化、標(biāo)準(zhǔn)化、科學(xué)化。按照局領(lǐng)導(dǎo)要求，我處室于9月下旬對全局檔案信息安全工作情況進(jìn)行了全面自查。現(xiàn)將自查情況報告如下。

　　一、自查情況

　　1、數(shù)字化外包情況。我局從20xx年開展檔案數(shù)字化工作，從20xx年起每年保障30萬數(shù)字化資金投入，通過政府向社會購買服務(wù)的方式，與江蘇力鼎公司簽訂數(shù)字化項目合同。最近一期的數(shù)字化項目合同期為20xx年-20xx年，在組織實施上，通過競爭性談判選擇江蘇省檔案局推薦的數(shù)字化加工企業(yè)，并對數(shù)字化聘用人員進(jìn)行嚴(yán)格的資格審查，確定無犯罪記錄且非外籍人員，才與其簽訂崗位責(zé)任保密書，以明確相應(yīng)責(zé)任;在數(shù)字化場所管理上，劃定獨立的掃描加工區(qū)域，并配備防盜、視頻監(jiān)控設(shè)施設(shè)備，場所基本符合防塵、防火、防有害生物等安全管理要求，場所管理規(guī)范;在數(shù)字化規(guī)范上，我局嚴(yán)格遵守江蘇省檔案局?jǐn)?shù)字化的地方標(biāo)準(zhǔn)《檔案數(shù)字化轉(zhuǎn)換操作規(guī)程DB32》，移交的數(shù)據(jù)經(jīng)驗收有效、可讀，無木馬病毒，數(shù)據(jù)質(zhì)量符合相應(yīng)規(guī)范標(biāo)準(zhǔn)，檔案實體出入庫有齊全的交接手續(xù)，操作流程規(guī)范達(dá)標(biāo);在數(shù)字化設(shè)備管理上，網(wǎng)絡(luò)與外界物理隔離，并且嚴(yán)禁工作人員攜帶手機(jī)、照相機(jī)、攝像機(jī)等具備攝像、無線功能的設(shè)備和各類移動存儲介質(zhì)進(jìn)入數(shù)字化加工場所，目前未發(fā)現(xiàn)數(shù)據(jù)丟失和泄密事故。

　　2、網(wǎng)站運行情況。鹽城檔案信息網(wǎng)建于20xx年，網(wǎng)站采用租用虛擬主機(jī)的方式，由鹽城市通聯(lián)網(wǎng)絡(luò)公司設(shè)計開發(fā)網(wǎng)頁、負(fù)責(zé)服務(wù)器及相關(guān)軟硬件的維護(hù)，我處室負(fù)責(zé)網(wǎng)站的內(nèi)容維護(hù)和數(shù)據(jù)維護(hù)工作。對于網(wǎng)站的信息發(fā)布，我局嚴(yán)格遵守“上網(wǎng)信息不涉密，涉密信息不上網(wǎng)”的原則，按照“采、編、審、發(fā)”的信息發(fā)布流程，由辦公室匯總編輯各業(yè)務(wù)處室和各縣(市、區(qū))檔案局上報的信息，經(jīng)房局長審批后，交由技術(shù)保護(hù)處發(fā)布在網(wǎng)站的相應(yīng)欄目內(nèi)，信息發(fā)布流程操作規(guī)范;對于網(wǎng)絡(luò)咨詢提問，各相關(guān)處室(一般涉及到業(yè)務(wù)指導(dǎo)處、管理處)按分工視具體問題認(rèn)真及時給予答復(fù)，由技術(shù)保護(hù)處統(tǒng)一在網(wǎng)絡(luò)上回復(fù)，回復(fù)網(wǎng)絡(luò)咨詢提問及時到位;對于網(wǎng)站數(shù)據(jù)備份，網(wǎng)站后臺每天進(jìn)行自動備份，我處室每月1號再通過手動備份的方式將網(wǎng)站數(shù)據(jù)實行異機(jī)備份，網(wǎng)站數(shù)據(jù)相對安全。

　　3、數(shù)字檔案館平臺運行情況。鹽城市數(shù)字檔案館平臺自20xx年9月上線以來，一直重視相應(yīng)的安全體系建設(shè)，服務(wù)器和磁盤陣列采用了磁盤冗余技術(shù)，避免了因為單點物理損壞導(dǎo)致的數(shù)據(jù)丟失;服務(wù)器還安裝了正版網(wǎng)絡(luò)殺毒軟件并配備了硬件防火墻，有效保障了平臺的穩(wěn)定運行。數(shù)據(jù)管理方面，對已形成的各種電子數(shù)據(jù)，目錄數(shù)據(jù)庫由批處理程序控制每天自動在線備份，全文數(shù)據(jù)庫采取手動異機(jī)和離線備份的方式，所有數(shù)據(jù)庫數(shù)據(jù)又使用移動硬盤和光盤各手動備份了一套。同時，每兩年開展一次與省館捆綁異地備份工作，將館內(nèi)存量數(shù)據(jù)和增量數(shù)據(jù)一起打包異地備份到湖南省檔案館，有效確保了數(shù)據(jù)完整性和可用性。

　　4、網(wǎng)絡(luò)管理。市檔案局內(nèi)部已建成局域網(wǎng)、連入xxx務(wù)網(wǎng)、接入互聯(lián)網(wǎng)，數(shù)字檔案館平臺運行在單位局域網(wǎng)內(nèi)，電子政務(wù)網(wǎng)主要運行的是政府收發(fā)文系統(tǒng)和財政局的財務(wù)系統(tǒng)，互聯(lián)網(wǎng)上建有單位的網(wǎng)站，已實現(xiàn)“三網(wǎng)”的嚴(yán)格物理隔離，為檔案信息化建設(shè)構(gòu)建了網(wǎng)絡(luò)支撐體系。

　　5、安全管理制度。結(jié)合工作實際情況，在機(jī)房管理上我們制定了《計算機(jī)信息系統(tǒng)安全管理暫行辦法》、《檔案綜合應(yīng)用系統(tǒng)用戶帳戶管理制度》和《計算機(jī)網(wǎng)絡(luò)安全管理制度》等制度;在數(shù)字化加工管理上制定了《鹽城市檔案數(shù)字化工作安全保密管理辦法》，這些工作制度在檔案信息化管理中發(fā)揮了較好的作用。

　　二、目前存在的問題

　　1、網(wǎng)站運行中的問題。在檢查過程中，發(fā)現(xiàn)“業(yè)務(wù)咨詢”版塊存在安全漏洞，有用戶惡意重復(fù)提交空問題(問題編號為“763-1093”)，嚴(yán)重破壞了檔案部門與群眾溝通的橋梁;通過滲透性測試安全評估方式發(fā)現(xiàn)，網(wǎng)站還存在SQL注入風(fēng)險，可能會導(dǎo)致網(wǎng)站所有用戶的信息被竊取，使攻擊者獲取整個服務(wù)器的權(quán)限。

　　2、網(wǎng)絡(luò)管理中的問題。目前我單位xx網(wǎng)內(nèi)運行的系統(tǒng)缺少相應(yīng)的安全設(shè)備，已配備的UPS，不間斷電源系統(tǒng))設(shè)備、硬件防火墻等設(shè)備相對陳舊，不能滿足日趨繁重的網(wǎng)絡(luò)安全管理需要。

　　3、制度管理中的問題。檔案信息化管理中的制度有些相對滯后，不符合現(xiàn)在的發(fā)展形勢;新增的機(jī)房門禁系統(tǒng)等設(shè)備，在人員管理、工作流程等方面沒有建立起配套的管理制度。

　　三、整改措施及下一步工作建議

　　1、改進(jìn)網(wǎng)站建設(shè)工作。對于目前發(fā)現(xiàn)的網(wǎng)站安全漏洞問題，首先要堅持問題導(dǎo)向積極整改，聯(lián)系網(wǎng)站服務(wù)商鹽城市通聯(lián)網(wǎng)絡(luò)公司采取相應(yīng)安全措施，針對網(wǎng)站“業(yè)務(wù)咨詢”版塊的安全漏洞，增加網(wǎng)絡(luò)提問驗證機(jī)制，防止惡意重復(fù)提交;針對SQL注入安全漏洞，進(jìn)行轉(zhuǎn)義處理或編碼轉(zhuǎn)換屏蔽出錯信息。其次是加強(qiáng)網(wǎng)站定期進(jìn)行安全檢查和數(shù)據(jù)備份，堅持關(guān)口前移，加強(qiáng)日常防范，徹查各種安全隱患及根源做到堵塞漏洞，防患未然。再次是建議進(jìn)一步優(yōu)化網(wǎng)站版面和欄目設(shè)計，使網(wǎng)站主頁更加簡潔大方，對網(wǎng)站現(xiàn)有數(shù)據(jù)進(jìn)行整合、優(yōu)化，通過技術(shù)手段進(jìn)一步提高我局網(wǎng)站頁面打開速度，使網(wǎng)站發(fā)揮檔案宣傳、服務(wù)、教育、在線交流的重要作用，為群眾提供更優(yōu)質(zhì)的檔案信息服務(wù)。

　　2、強(qiáng)化安全技術(shù)保障。在信息化快速發(fā)展的背景下，我們需要主動適應(yīng)，積極推動檔案安全防范體系的建設(shè)和升級，結(jié)合下一步建設(shè)集中式虛擬檔案室和電子文件中心等工作的需要，建議增加一批設(shè)備設(shè)施：xx網(wǎng)核心交換機(jī)1臺、入侵檢測系統(tǒng)1臺，網(wǎng)絡(luò)安全審計1臺，硬件防火墻1臺，漏洞掃描1臺，殺毒軟件1套，服務(wù)器2臺，磁盤陣列1臺，KVM系統(tǒng)1臺，UPS不間斷電源系統(tǒng)1臺，更換恒溫恒濕系統(tǒng)以及大樓安保視頻監(jiān)控系統(tǒng)。

　　3、健全安全管理制度。檔案安全制度供給不足是檔案安全體系建設(shè)亟需重點解決的問題。在這次自查過程中列出制度清單，進(jìn)一步明確工作職責(zé)，根據(jù)實際工作，健全安全管理制度，確保覆蓋無死角，對不適應(yīng)新形勢新要求的檔案安全制度，抓緊修訂完善;對不符合現(xiàn)實要求的及時予以廢止，切實增強(qiáng)制度的操作性和執(zhí)行力。

　　4、建立應(yīng)急響應(yīng)機(jī)制。檔案信息安全應(yīng)急響應(yīng)機(jī)制是處理或管理突發(fā)性公共事件的重要內(nèi)容和組成部分,是為預(yù)防和應(yīng)對各種自然或人為突發(fā)性公共事件引起的數(shù)據(jù)丟失或泄密而專門設(shè)計建立的一套完整的緊急狀態(tài)處理程序,以最大限度地降低突發(fā)性公共事件所引起的數(shù)據(jù)丟失，建議下一步探索建立并完善檔案安全工作(既包含檔案實體安全也包括檔案信息安全)應(yīng)急機(jī)制的可行途徑，保證突發(fā)事故應(yīng)急處置工作有序進(jìn)行。

　　5、加強(qiáng)安全教育培訓(xùn)。通過安全主題教育、專題培訓(xùn)、法規(guī)學(xué)習(xí)、模擬演練等方式，提高全館人員的安全意識和安全防范技能;技術(shù)保護(hù)處加強(qiáng)對最新檔案信息安全技術(shù)基礎(chǔ)理論和關(guān)鍵方法的研究攻關(guān)，以提高應(yīng)對新技術(shù)的能力和水平;另外加強(qiáng)檔案信息安全文化教育，通過單位的展廳普及信息安全知識，引導(dǎo)大家把安全操作的規(guī)范外化為自覺行為，在全局上下營造檔案安全宣傳輿論氛圍，筑牢全員安全思想防線。

　　6、建立安全追責(zé)機(jī)制。安全追責(zé)機(jī)制的建立是檔案信息安全體系建設(shè)的重要手段，落實全程追責(zé)，建立責(zé)任清單和移交清單制度，建立健全從檔案信息數(shù)據(jù)形成、管理、備份等各環(huán)節(jié)全過程的檔案安全責(zé)任追究機(jī)制，加強(qiáng)對安全事故的事前問責(zé)和事故發(fā)生后的責(zé)任追究，以安全追責(zé)機(jī)制的建立倒逼安全體系的完善，應(yīng)用法治思維探索依法治檔新途徑。