建议整改：?
1、定期扫描系统漏洞，及时安装安全补丁，及时进行漏洞修补

c)应安装系统的最新补丁程序，在安装系统补丁前，首先在测试环境中测试通过，并对重要文件进行备份后，方可实施系统补丁程序的安装；

整改方法：

建议整改：?
1、及时做补丁修补，且安装前补丁经过测试和系统备份

g)应定期对运行日志和审计数据进行分析，以便及时发现异常行为。

整改方法：

建议整改：?
1、定期对运行日志和审计数据进行分析

4.3.???????恶意代码防范管理

b)应指定专人对网络和主机进行恶意代码检测并保存检测记录；

整改方法：

建议整改：?
1、有专人对网络和主机进行恶意代码检测，并保存检测记录

d)应定期检查信息系统内各种产品的恶意代码库的升级情况并进行记录，对主机防病毒产品、防病毒网关和邮件防病毒网关上截获的危险病毒或恶意代码进行及时分析处理，并形成书面的报表和总结汇报。

整改方法：

建议整改：?
1、对系统内的恶意代码防范产品的升级情况予以定期检查和记录，并对安全日志进行定期分析并形成报告

4.4.???????备份与恢复管理

e)应定期执行恢复程序，检查和测试备份介质的有效性，确保可以在恢复程序规定的时间内完成备份的恢复。

整改方法：

建议整改：?
1、定期测试备份介质的有效性，定期执行恢复程序，确定在规定的时间内完成备份恢复

4.5.???????应急预案管理

c)应对系统相关的人员进行应急预案培训，应急预案的培训应至少每年举办一次；

整改方法：

建议整改：?
1、对系统相关人员进行应急预案的培训，培训至少每年举办一次，并保留培训记录

d)应定期对应急预案进行演练，根据不同的应急恢复内容，确定演练的周期；

整改方法：

建议整改：?
1、定期对应急预案进行演练，并保留演练记录

5.??系统建设管理

5.1.???????产品采购和使用

d)应预先对产品进行选型测试，确定产品的候选范围，并定期审定和更新候选产品名单。

整改方法：

建设整改：?
有产品选型测试记录或选型报告、候选产品名单（或候选供应商名录）并定期更新

5.2.???????外包软件开发

d)应要求开发单位提供软件源代码，并审查软件中可能存在的后门。

整改方法：

建议整改：?
1、在软件开发协议中，规定开发单位提供软件源代码，并进行后门审查

5.3.???????测试验收

a)应委托公正的第三方测试单位对系统进行安全性测试，并出具安全性测试报告；

整改方法：

建议整改：?
1、委托公认的第三方测评单位对系统进行安全测评，并有测试报告

6.??人员安全管理

6.1.???????人员考核

a)应定期对各个岗位的人员进行安全技能及安全认知的考核；

b)应对关键岗位的人员进行全面、严格的安全审查和技能考核；

c)应对考核结果进行记录并保存。

整体分析

整改方法：

建议整改：?
1、有定期安全技能和知识的考核，有考核记录
2、有定期对关键岗位的安全考试，有考核记录

6.2.???????安全意识的教育和培训

d)应对安全教育和培训的情况和结果进行记录并归档保存。

整改方法：

建议整改：?
1、对培训的记录和结果归档保存

7.??安全管理机构

7.1.???????人员配备

b)应配备专职安全管理员，不可兼任；

整改方法：

建议整改：?
1、配备安全管理员，安全管理员可兼任非系统维护工作

c)关键事务岗位应配备多人共同管理。

整改方法：

建议整改：?
1、关键岗位设置多人或AB角

7.2.???????授权和审批

d)应记录审批过程并保存审批文档。

整改方法：

建议整改：?
1、保存审批记录

7.3.???????沟通和合作

a)应加强各类管理人员之间、组织内部机构之间以及信息安全职能部门内部的合作与沟通，定期或不定期召开协调会议，共同协作处理信息安全问题；

整改方法：

建议整改：?
1、定期召开信息安全会议，保存有会议纪要

e)应聘请信息安全专家作为常年的安全顾问，指导信息安全建设，参与安全规划和安全评审等。

整改方法：

建议整改：?
1、聘请信息安全专家

7.4.???????审核和检查

a)安全管理员应负责定期进行安全检查，检查内容包括系统日常运行、系统漏洞和数据备份等情况；

整改方法：

建议整改：?
1、定期进行安全检查，有检查内容及结果记录文档

b)应由内部人员或上级单位定期进行全面安全检查，检查内容包括现有安全技术措施的有效性、安全配置与安全策略的一致性、安全管理制度的执行情况等；

整改方法：

建议整改：?
1、内部或上级单位定期全面检查，或行业主管部门委托第三方进行检查

c)应制定安全检查表格实施安全检查，汇总安全检查数据，形成安全检查报告，并对安全检查结果进行通报；

整改方法：

建议整改：?
1、保存有安全检查记录和检查报告

8.??安全管理制度

8.1.???????制定和发布

c)应组织相关人员对制定的安全管理制度进行论证和审定；

整改方法：

建议整改：?
只要有证据（邮件、会议纪要、OA系统中流转记录、文件评审记录等）表明在安全管理制度发布前已进行相关的论证和审定

8.2.???????评审和修订

a)信息安全领导小组应负责定期组织相关部门和相关人员对安全管理制度体系的合理性和适用性进行审定；

整改方法：

建议整改：?
1、没有至少评审一次
2、至少有评审记录

b)应定期或不定期对安全管理制度进行检查和审定，对存在不足或需要改进的安全管理制度进行修订。

整改方法：

建议整改：?
1、每年至少评审一次
2、文件修改记录
3、文件评审记录

（编辑：ASP站长网）