附件:

公共资源交易平台网络与数据安全风险清单

序号	安全风险点	处理措施
1	个人终端或评标电脑操作系统未能及时升级补丁，未能安装安全防护软件并及时更新特征库。	根据个人终端或评标电脑操作系统版本，设置自动更新并定期检查或由运维人员定期在官网下载补丁程序集中安装。检查个人终端是否正确安装杀毒软件，配置防护和升级策略。针对评标电脑可以由运维人员定期在官网下载特征库升级包集中安装，或者在评标内网搭建特征库升级服务器，配置下发安装策略，自动更新。
2	个人终端或评标电脑、电子邮箱未定期修改登录口令。	建立定期修改登录密码习惯，保证至少90天更新一次登录密码。
3	使用公共社交软件或电子邮箱存储、传输涉密信息或敏感信息。	禁止使用公共社交软件或电子邮箱存储、传输涉密信息或敏感信息。存储、传递涉密或敏感信息时必须严格执行操作规范，使用国产密码算法加密技术，进行身份鉴别和权限控制，进行必要的内容审查。落实全流程保密管理。
4	社会工程学攻击	提高网络安全意识，不打开来历不明的邮件，不点击不明链接、不连接不安全无线网络，核实来电来访技术人员身份、不透露相关信息。
5	个人终端或评标电脑、电子邮箱等使用弱口令。	根据规范的密码策略配置使用密码，提高账号密码安全。
6	个人数字证书保管不规范。	加强对数字证书重要性的认识，避免将证书随意交给他人或在不安全的网络环境中使用，防止数字身份被冒用以及数据泄露。确保证书的存储、使用和销毁都符合安全规范，定期对证书进行审查和更新，及时撤销不再使用的证书。定期修改数字证书PIN密码。
7	个人终端或评标电脑安装来历不明或盗版的软件。	遵循最小化安装原则，确保个人终端或评标电脑只安装用于办公和评标的必要软件，清理来源不明的软件，检查软件授权是否符合要求。使用官方网站下载的软件和服务。
8	使用远程桌面控制软件	非必要不使用远程桌面控制软件。如必须使用，应设置临时验证码、远程时间，确保在监督之下进行操作。使用后及时关闭服务，禁止软件设置开机自启动。在电脑终端防火墙关闭3389、445、137、138、139等高危端口。
9	未经批准向其他机构及个人提供数据服务。	建立并严格履行数据服务审批程序，核查所提供数据内容，确保数据完整性、准确性。
10	利用数据资源为自己及他人谋取利益。	建立并严格履行数据服务审批程序，按照“最小必要”原则明确数据录入、查看、修改、导出和删除等权限。
11	忽视个人信息和重要数据保护。	及时清理不再使用的账户和服务,减少个人信息泄露的渠道。杜绝访问不安全的网站，使用可靠的附加组件、插件和其它扩展功能。在手机、电脑等设备处于空闲状态时要及时锁屏或关机。定期备份数据。
12	对外公开数据时，没有对数据进行脱敏处理。	在不影响数据使用价值的前提下，对个人信息识别数据进行脱敏处理，将涉及个人隐私的部分（如身份证号码中间几位、银行卡号部分数字）用星号或其他符号代替。
13	公共区域电子显示屏管理不规范。	学习和落实《公共安全视频图像信息系统管理条例》。定期对电子显示屏进行检查和维护，确保电子显示屏系统与互联网及其他外部网络物理隔离，使用专网或单机进行内容发布。配备必要的网络安全设备。
14	办公及公共区域内未经授权使用无线网络设备。	检查办公及公共区域内是否存在未经授权的无线网络接入设备，核实接入设备所有人、使用目的，建立无线网络接入设备管理机制，完善身份认证措施，定期排查无线网络应用情况。
15	办公及公共区域内无线网络与公共资源业务有线网络共用交换设备，未使用安全隔离措施。	检查无线网络是否接入有线网络的交换设备，确保无线网络和有线网络通过安全设备逻辑隔离、政务外网和政务互联网逻辑隔离。根据业务属性划分vlan。
16	个人终端或评标电脑未配置固定IP地址。	禁止使用DHCP策略，固定个人终端和评标电脑IP地址，建立资产清单。