索取号 | 发布时间 | 发布机构 | 文件编号 | 备注 |
AB83020002019004 | 上海市卫生健康委员会 | 沪卫信息〔2019〕5号 |
各区卫生健康委,申康医院发展中心、有关大学、中福会,各委直属单位,各市级医疗机构:
庆祝中华人民共和国成立70周年(以下简称“国庆70周年”),是党和国家政治生活中的一件大事,确保国庆活动期间网络安全对于庆祝活动顺利举行至关重要。为确保国庆70周年期间各项工作顺利开展,贯彻落实国家卫生健康委和市委、市政府关于做好国庆期间网络与信息安全服务保障工作要求,切实加强本市卫生健康行业网络安全保障,现就有关事项通知如下:
一、高度重视国庆70周年网络安全保障工作
各单位要树牢“四个意识”,坚定“四个自信”,坚决做到“两个维护”,认真贯彻落实习近平总书记关于网络安全的重要指示精神,以对党和人民高度负责的态度,坚决防范网络安全重大风险,坚决遏制网络安全重大事故,全力做好国庆70周年网络安全保障工作。各单位主要负责同志要靠前指挥,迅速安排部署,强化工作措施,落实工作责任,坚决防止发生重大网络安全事件。
二、全面排查问题隐患,强化事件预防措施
各单位要严格落实《网络安全法》等法律法规和相关政策文件要求,进一步加强网络安全管理和防护。开展1次全面的网络安全自查评估,深入查找问题隐患,及时整改并进行安全加固。重点加强对系统和业务间以及系统之间的关联风险评估,严防产生连锁片式网络安全事故,高度关注有关部门和单位发布的风险信息,及时开展排查和漏洞修补。各单位要对检查、评估、监测、检测中发现的和有关部门通报的各类问题隐患整改后逐一复查,确保问题彻底解决,不留后患。
针对网络安全防护的薄弱环节,进一步强化安全防范措施。对常见的低级错误“零容忍”,坚决杜绝弱口令、默认口令、通用口令、长期不变口令,坚决防止出现高危漏洞不修复、非必要端口及服务长期开启、陈旧版本基础软件和通用软件不更新、僵尸主机和系统不整改等问题。经评估必须对系统采取远程维护措施或需远程登录后台管理系统、内容管理系统的,要采用白名单、按需审批开放等方式实施严格访问控制。设定账户尝试登录次数限制,加强对账号暴力破解的防范。缩减互联网出入口和无线接入点,关闭或删除不必要的应用、服务、端口和链接。
三、切实提高风险防范能力,加强网络威胁应对
各单位要及早研判国庆70周年重大网络安全威胁风险,有针对性地采取措施,防范攻击滋扰。
(一)防范邮件攻击
要加固邮件服务器,必要时配备或升级防病毒网关。使用人员定期更换密码,及时删除离职人员账户。对邮件访问行为严格审计,认真核查异常地址、异常时段登录和批量下载邮件情况。关闭党政机关邮件系统邮件自动转发功能。加强员工邮件安全意识教育,提高对钓鱼邮件、仿冒邮件的识别能力。
(二)防范勒索病毒入侵
要严格执行内网、专网设备和系统的补丁升级和漏洞修复措施,关闭主机和终端上不必要的端口、共享访问以及远程桌面连接,安装并及时升级杀毒软件。定期对重要数据进行备份,防止勒索病毒破坏。采用双活备份方式的系统,如有条件应增加静态数据备份。
(三)防范数据被窃取
要采取数据分类、备份、加密等措施,加强对个人信息和重要数据的保护。采用的密码技术应符合国家管理政策要求。严格数据访问授权,存储重要数据和大量个人信息的数据库接入互联网应采取严格安全防范措施。加强数据访问日志记录和日常审计,及时发现处置非授权访问、大流量数据异常外传等情况。
(四)防范网站攻击篡改
要监测网站访问情况,定时扫描页面、文件、链接,及时发现和处置页面被篡改、域名被劫持、被插入暗链和跳转代码等安全事件。加强与CDN服务提供商、基础电信运营企业的协调联动,及时调整回源策略,有效抵御大规模拒绝服务供给,保证网站稳定运行。
(五)防范供应链安全风险
要加强对新安装软件,特别是在服务器、系统管理终端上新安装软件来源的审核验证。避免从非官方渠道获取安装程序或更新程序。强化对第三方服务机构和人员的管理要求,防止其将系统架构、开发代码、内部数据上传至“吉哈”(Github)及类似代码托管平台或在互联网上私自存储或缓存数据。
(六)防范LED屏幕内容篡改
对公共区域的LED屏幕,特别是室外LED大屏,要明确专人负责。避免使用远程和无线方式管理,确需使用的要修改默认口令,使用高强度口令。有条件的应配备播放内容监控设备,坚决屏蔽非法内容。
四、开展应急能力提升行动,保障网络平稳运行
(一)加强应急基础性工作
要及时制修订网络安全事件应急预案,明确处置应对责任机构、指挥机制、响应流程、临机处置权限,组织开展以事件处置为核心的应急演练。采取自建队伍或采购第三方服务方式,明确应急技术支撑队伍以及职责任务、响应时限方面的要求。加强应急技术支撑平台建设,提高事件应对效率。关键信息基础设施运营单位要重视业务连续性保障,强化设备系统线路冗余和灾难恢复能力建设,发生故障中断时能够及时恢复核心功能和重要数据,确保关键业务连续稳定运行。
(二)加强监测预警和应急准备
各单位要完善网络安全监测预警和通报体系,加强应急值守,保持联络畅通。发生或可能发生网络安全事件时,按照应急预案及时开展响应处置或应对准备。发生重大安全事件时,按程序及时报告有关情况,并加强舆情应对。
各单位要严格落实《关于印发上海市卫生和计划生育委员会网络与信息安全事件应急预案(试行)的通知》(沪卫计信息〔2018〕1号)的要求,对国庆70周年网络安全保障工作进行研究部署,网络安全直接责任人亲自抓,将网络安全责任落实到岗、落实到人,做到领导到位、人员到位、责任到位、措施到位,加强责任追究,确保网络安全保障工作落到实处,重要情况及时上报。
各单位要加强网络安全应急值守工作,重点部门、重点岗位、重点时期要建立24小时值班制度,指定应急联络人员,加强网络安全监测、信息收集及分析研判,及时发现和处置网络安全事件。在发生突发网络安全事件时,事发单位要立即启动应急预案组织先期处置,第一时间上报上级主管单位(一小时内口头上报、二小时内书面上报),不得瞒报、漏报、迟报、误报,要严格落实好本市卫生健康行业网络与信息安全事件应急预案机制。
联系人:市卫生健康委 周晶,23117727、13482016300
市卫生健康信息中心 龚剑敏,22121887 、15692166830
上海市卫生健康委员会
2019年6月28日