网络安全常见问题清单

1 全员网络安全意识不足，网络安全责任贯彻不彻底

2 单位未与部门、个人未签订网络安全承诺书

3 单位年度网络安全资金投入不到位，网络安全工作维持现状

4 缺少网络安全管理机构，人员数量不足，安全岗位为兼职

5 未定期给网信领导汇报，高层对网络安全工作不了解，支持力度有限

6 缺少安全漏洞发现、修复、加固手段，漏洞修复影响业务运行

7 系统及设备存在弱口令，口令更换频率不够，口令存储在表格内，存在泄露风险

8 系统缺少维护人员，业务、服务器使用端口及访问关系不了解

9 网络内部资产管理不清晰，互联网及专网存在僵尸资产或未下线资产

10 网络安全建设碎片化，安全设备堆叠，缺少必要的维护，安全设备发挥不了相应效果

11 网络安全管理制度不完善、不符合实际运行现状，没有正式发布，制度修订不及时

12 外包人员管理不到位，未进行背景调查，没有签订保密协议，权限过高，离职后数据未清除

13 单位缺少网络安全考核机制及惩戒措施

14 业务部门及人员对网络安全工作不理解、不配合，甚至存在抵触情绪

15 业务部门未通过信息部门建设系统，新建系统存在安全隐患

16 未定期组织开展网络安全意识、安全技能相关培训，培训结束后没有考核

17 未建立必要的授权、变更流程、制度，变更策略没有及时进行留痕

18 网络安全应急预案缺失、不完善、无法执行，未开展实战化网络安全应急培训、演练

19 未建立应急专家名单和应急支撑机构，遇到问题短时期无法恢复

20 没有网络安全预警通报机制，发生安全事件被动响应，不及时上报

21 网络安全策略未定期更新、备份

22 供应链缺少必要安全管理与防护

23 远程运维直接通过公网映射方式，业务系统留有后门

24 能够发现安全风险，缺少加固手段或者不敢开展加固

25 外部、内部沟通机制不健全，未定期召开网络安全会议

26 没有建立网络安全顶层设计及规划，采用头疼医头脚痛医脚，治标不治本

27 机房资产缺少必要管理，设备、线路标签不准确

28 机房设备管理不规范，未接地，通信线路混乱

29 机房无人值守，登记制度流于形式，维护人员随意进出

30 机房短期供电措施及应急供电措施缺失

31 未开启自动消防系统，不能自动检测火情、报警及灭火

32 采用账号/密码一种身份认证方式，不满足多因素要求，未开展三权分立

33 网络安全区域划分不合理，内部区域缺少必要的访问控制措施

34 第三方及外联没有进行病毒过滤与入侵检测

35 应用系统开发、测试及上线缺少安全检测手段，带病上线，带病运行

36 安全运维手段缺失或存在多条运维通道，堡垒机形同虚设

37 网络内存在私自搭建无线网络，无线网络存在与专网相互连接

38 重要数据明文传输、备份，重要数据处理不满足冗余机制

39 网络安全被动建设，东西流量检测缺失，缺少集中监测及统一安全管控手段

40 网络安全审计未全覆盖，审计日志无法存在六个月，缺少取证溯源措施

41 服务器未部署安全防护软件，防病毒更新不及时，未开启主机访问控制措施

42 服务器不满足最小权限原则，开启多余端口、服务，部署其他应用程序

43 重要系统、设备、线路存在单点故障，部分设备为单电源

44 未对系统存储的个人信息进行授权管理

45 缺少针对新型攻击、高级攻击行为的安全监测手段

46 部署公有云系统没有防护手段，未与内部传输进行安全控制

47 开展网络安全服务缺少评价机制

48 移动介质随意使用，存在病毒及数据泄露风险

49 网络缺少准入控制手段或存在大量准入白名单，部分机器存在非法外联，无法及时发现

50 采用国外安全设备，不符合自主可控要求

我们在日常工作中经常遇到各种网络安全事件比如网络攻击、数据泄露、勒索病毒......安全事件背后都是一个个网络安全问题，问题之间有的存在相互联系，解决一个问题有时候就能解决一系列问题，因此网络安全建设、维护都要从整体考虑、动态看待，学会把握安全重点，不用被表面所迷惑，从本质上剖析问题、解决问题。