2022公司网络安全自查情况报告

近期，国铁集团信息技术中心发布了《关于开展网络安全自查的通知》(科技网安函[2022]40号), 决定在全路范围内开展一次网络安全防护情况自查工作。为落实好《通知》有关工作要求，为深入贯彻落实习近平总书记关于维护网络安全、强化关键信息基础设施保护的系列重要指示精神，全力做好党的二十大等重大活动网络安保工作，有效备战国家级网络攻防演练，现将有关自查情况报告如下。

一、自查工作组织开展情况

接到通知后，领导高度重视，安排了公司副总经理牵头，组织信息技术部门人员成立了安全保障团队；同时下发的安全公告和工作安排，各部门也积极响应配合落实。

二、自查工作实施情况

1.检查运维终端IP地址安全管理，并与使用人员签订安全责任承诺书。

2.检查对外开放场所和外来人员的管控，防止其私自接入网络。

3.排查内部服务网，与国铁集团、相关铁路局、其它路内外单位网络边界访问策略，禁止开放any全通策略，严格按照最小化原则开放访问策略。

4.检查外部服务网，与国铁集团、相关铁路局、其它路内外单位网络边界访问策略，禁止开放any全通策略，严格按照最小化原则开放访问策略。

5.检查互联网边界访问策略，禁止开放any全通策略，严格按照最小化原则开放访问策略，特别是禁止高风险端口暴露互联网，如：远程管理TCP:3389/22/23、数据库TCP:1433/1521/3306、redis,TCP:6379、文件打印和共享TCP：139/445。

6.检查办公终端出现一机两网的情况。

7.检查网络区域边界、业务访问路径关键节点是否采取了全面的网络监测和审计措施。

8.检查操作系统、WEB组件、应用程序和数据库，是否存在第三方厂商或CVE/CNVD/CNNVD发布的0day/Nday漏洞。

9.核查近两年来互联网漏洞服务平台、CNCERT、安全检查及内外部攻防演练发现的安全漏洞是否逐一整改加固。

10.检查堡垒机、VPN、统一身份认证平台是否存在僵尸账户；检查高权限账户是否采取双因素认证或登录限制措施。

11.检查运维终端在运维管理过程中是否使用堡垒机登录，严格禁止使用跳板机登录，禁止使用第三方远程软件从互联网远程运维管理。

12.检查外部服务网、内部服务网与国铁集团连接的所有运维主机的终端安全防控软件、防病毒等安装情况；是否采取网络准入措施；是否记录相关日志，确保运维终端的使用定位到人。

13.检查所有运维终端，禁止浏览器、本地主机文件留存账号和口令等敏感信息。

14.梳理涉及核心敏感数据（如：公民个人信息、业务生产敏感数据、运行管理数据、其他重要数据等）的业务系统，是否采取加密存储、传输等安全措施；是否部署了数据行为操作审计措施。

15.检查所有办公终端，禁止浏览器、本地主机文件留存账号和口令等敏感信息。

16.加强全员安全意识教育培训，禁止向任意第三方透露系统账号口令，防止被社工钓鱼。

17.检查操作系统、WEB应用、网络/安全设备、集权类设备/平台是否存在弱口令/空口令/默认口令和口令复用情况，建议重要系统的账号，特别是特权账号采取双因素认证措施，口令+短信/动态验证码，如：统一登录类的平台。

三、自查结果

1.运维终端IP地址已经安全管理，并与使用人员签订安全责任承诺书。

2.对外开放场所和外来人员已经管控，防止其私自接入网络。

3.内部服务网，与国铁集团、相关铁路局、其它路内外单位网络边界访问策略，已经禁止开放any全通策略，严格按照最小化原则开放访问策略。

4.外部服务网，与国铁集团、相关铁路局、其它路内外单位网络边界访问策略，已经禁止开放any全通策略，严格按照最小化原则开放访问策略。

5.互联网边界访问策略，已经禁止开放any全通策略，严格按照最小化原则开放访问策略，特别是禁止高风险端口暴露互联网，如：远程管理TCP:3389/22/23、数据库TCP:1433/1521/3306、redis,TCP:6379、文件打印和共享TCP：139/445。

6.办公终端没有出现一机两网的情况。

7.网络区域边界、业务访问路径关键节点已经采取了全面的网络监测和审计措施，相关安全防护升级计划今年已经开始相关采购。

8.操作系统、WEB组件、应用程序和数据库，不存在第三方厂商或CVE/CNVD/CNNVD发布的0day/Nday漏洞。

9.近两年来互联网漏洞服务平台、CNCERT、安全检查及内外部攻防演练发现的安全漏洞已经逐一整改加固。

10.堡垒机、VPN、统一身份认证平台相关安全防护升级计划今年已经开始相关采购。

11.运维终端在运维管理过程中已经使用堡垒机登录，严格禁止使用跳板机登录，禁止使用第三方远程软件从互联网远程运维管理，相关安全防护升级计划今年已经开始相关采购。

12.外部服务网、内部服务网与国铁集团连接的所有运维主机已经安装终端安全防控软件、防病毒软件；已经采取网络准入措施；记录相关日志，确保运维终端的使用定位到人。

13.所有运维终端，禁止浏览器、本地主机文件留存账号和口令等敏感信息。

14.梳理涉及核心敏感数据（如：公民个人信息、业务生产敏感数据、运行管理数据、其他重要数据等）的业务系统，已经采取加密存储、传输等安全措施；相关安全防护升级计划今年已经开始相关采购。

15.所有办公终端，已经禁止浏览器、本地主机文件留存账号和口令等敏感信息。

16.已经加强全员安全意识教育培训，禁止向任意第三方透露系统账号口令，防止被社工钓鱼。

17.操作系统、WEB应用、网络/安全设备、集权类设备/平台不存在弱口令/空口令/默认口令和口令复用情况，重要系统的账号，特别是特权账号已经采取双因素认证措施，口令+短信/动态验证码。

XXXXXXXXXXXXXXXXXXXX

2022年X月X日