《信息系统安全等级保护测评报告.pdf》由会员分享，可在线阅读，更多相关《信息系统安全等级保护测评报告.pdf（263页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、报 告 编 号-16-1303-01)信 息 系 统 安 全 等 级 测 评 报 告说 明：一、每 个 备 案 信 息 系 统 单 独 出 具 测 评 报 告。二、测 评 报 告 编 号 为 四 组 数 据。各 组 含 义 和 编 码 规 则 如 下：第 一 组 为 信 息 系 统 备 案 表 编 号，由 2 段 16位 数 字 组 成，可 以 从 公+安 机 关 颁 发 的 信 息 系 统 备 案 证 明（或 备 案 回 执）上 获 得。第 1段 即 备 案 证 明 编 号 的 前 1 1位（前 6 位 为 受 理 备 案 公 安 机 关 代 码，后 5 位 为 受 理 备 案 的 公 安
2、机 关 给 出 的 备 案 单 位 的 顺 序 编 号）；第 2 段 即 备 案 证 明 编 号 的 后 5 位（系 统 编 号）。第 二 组 为 年 份，由 2 位 数 字 组 成。例 如 0 9代 表 2009年。第 三 组 为 测 评 机 构 代 码，由 四 位 数 字 组 成。前 两 位 为 省 级 行 政 区 划 数 字 代 码 的 前 两 位 或 行 业 主 管 部 门 编 号：0 0 为 公 安 部，1 1为 北 京，12为 天 津，13为 河 北，14为 山 西，15为 内 蒙 古，2 1为 辽 宁，2 2为 吉 林，2 3为 黑 龙 江，3 1为 上 海，3 2为 江 苏，3
3、 3为 浙 江，3 4为 安 徽，3 5为 福 建，3 6为 江 西，3 7为 山 东，4 1为 河 南，4 2为 湖 北，4 3为 湖 南，4 4为 广 东，4 5为 广 西，4 6为 海 南，5 0为 重 庆，5 1为 四 川，5 2为 贵 州，53为 云 南，5 4为 西 藏，6 1为 陕 西，6 2为 甘 肃，6 3为 青 海，6 4为 宁 夏，65为 新 疆，6 6为 新 疆 兵 团。9 0为 国 防 科 工 局，9 1为 电 监 会，9 2为 教 育 部。后 两 位 为 公 安 机 关 或 行 业 主 管 部 门 推 荐 的 测 评 机 构 顺 序 号。第 四 组 为 本 年 度
4、信 息 系 统 测 评 次 数，由 两 位 构 成。例 如 0 2表 示 该 信 息 系 统 本 年 度 测 评 2 次。信 息 系 统 等 级 测 评 基 本 信 息 表 信 息 系 统 系 统 名 称 票 务 系 统 安 全 保 护 等 级 第 三 级 备 案 证 明 编 号 测 评 结 论 基 本 符 合 被 测 单 位 单 位 名 称 单 位 地 址 邮 政 编 码 联 系 人 姓 名 职 务/职 称 部 长 助 理 所 属 部 门 票 务 运 营 部 办 公 电 话 移 动 电 话 电 子 邮 件 测 评 单 位 单 位 名 称 单 位 代 码 通 信 地 址 邮 政 编 码注：单
5、位 代 码 由 受 理 测 评 机 构 备 案 的 公 安 机 关 给 出。联 系 人 姓 名 职 务/职 称 所 属 部 门 办 公 电 话 移 动 电 话 电 子 邮 件 审 核 批 准 编 制 人 编 制 日 期 审 核 人 审 核 日 期 批 准 人 批 准 日 期声 明 本 报 告 是 票 务 系 统 的 安 全 等 级 测 评 报 告。本 报 告 测 评 结 论 的 有 效 性 建 立 在 被 测 评 单 位 提 供 相 关 证 据 的 真 实 性 基 础 之 上。本 报 告 中 给 出 的 测 评 结 论 仅 对 被 测 信 息 系 统 当 时 的 安 全 状 态 有 效。当 测
6、 评 工 作 完 成 后，由 于 信 息 系 统 发 生 变 更 而 涉 及 到 的 系 统 构 成 组 件（或 子 系 统）都 应 重 新 进 行 等 级 测 评，本 报 告 不 再 适 用。本 报 告 中 给 出 的 测 评 结 论 不 能 作 为 对 信 息 系 统 内 部 署 的 相 关 系 统 构 成 组 件（或 产 品）的 测 评 结 论。在 任 何 情 况 下，若 需 引 用 本 报 告 中 的 测 评 结 果 或 结 论 都 应 保 持 其 原 有 的 意 义，不 得 对 相 关 内 容 擅 自 进 行 增 加、修 改 和 伪 造 或 掩 盖 事 实。等 级 测 评 结 论 测
7、 评 结 论 与 综 合 得 分 系 统 名 称 票 务 系 统 保 护 等 级 第 三 级 系 统 简 介 测 评 过 程 简 介 此 次 测 评 的 系 统 为 票 务 系 统，测 评 对 象 包 括 系 统 所 在 机 房，2 台 服 务 器，1 台 运 维 终 端，1 套 数 据 库，2 台 网 络 安 全 设 备，1套 应 用 软 件，及 该 公 司 的 管 理 制 度 及 相 关 记 录。在 合 同 约 定 的 周 期 内，经 过 系 统 调 研、方 案 编 制、现 场 测 评、分 析 与 报 告 编 制 等 阶 段，完 成 了 对 该 系 统 的 测 评 工 作，经 过 对 测
8、评 结 果 的 整 体 分 析，判 定 该 系 统 基 本 符 合 等 级 保 护 三 级 系 统 的 基 本 要 求，但 还 存 在 个 别 问 题，希 望 在 安 全 建 设 整 改 中 继 续 完 善。测 评 结 论 基 本 符 合 综 合 得 84.79分总 体 评 价 1、基 础 设 施 与 网 络 环 境 票 务 系 统 相 关 设 备 部 署 于 指 挥 中 心 机 房，该 机 房 按 照 国 家 机 房 相 关 标 准 建 设，具 备 防 风、防 雨、防 震 等 能 力，未 出 现 雨 水 渗 透，屋 顶、墙 体、地 面 等 破 损 开 裂 等 情 况，在 物 理 访 问 控
9、制 方 面 配 备 门 禁 系 统，能 够 鉴 别 和 控 制 人 员 出 入，并 配 有 视 频 监 控 系 统，能 够 对 机 房 内 主 要 区 域 进 行 实 时 监 控，主 机 房 与 配 电 室 隔 离，通 信 线 缆 与 供 电 线 缆 隔 离 铺 设，避 免 了 电 磁 干 扰，配 备 两 台 艾 默 生 精 密 空 调，能 够 对 机 房 温 湿 度 进 行 控 制，同 时 配 有 环 境 检 测 系 统，实 时 检 测 机 房 环 境 并 提 供 报 警 功 能。网 络 环 境 先 对 简 单，电 信 联 通 双 线 接 入，网 络 边 界 配 有 两 台 防 火 墙 作
10、为 边 界 防 护，通 过 两 台 核 心 交 换 做 内 部 数 据 交 换。2、安 全 责 任 制 该 系 统 的 运 营 维 护 全 部 由 厂 商 负 责，厂 商 项 目 部 成 立 了 信 息 安 全 领 导 小 组，负 责 信 息 安 全 工 作 的 指 导 和 管 理，项 目 部 设 有 系 统 管 理 员、网 络 管 理 员、安 全 管 理 员 等 重 要 岗 位，且 安 全 管 理 员 为 专 职，通 过 值 班 体 系 对 驻 场 人 员 进 行 调 配，并 形 成 了 有 效 的 汇 报 沟 通 机 制。同 时 甲 方 也 有 专 人 对 厂 商 的 运 营 维 护 情
11、况 进 行 监 督。3、技 术 机 制 在 机 房 保 障 机 制 方 面，该 系 统 配 备 双 通 信 线 路 接 入，保 证 网 络 通 畅,同 时 边 界 防 火 墙、核 心 交 换 机、应 用 服 务 器、数 据 库 服 务 器 均 双 机 热 备 文 档 可 自 由 编 辑部 署，并 配 有 存 储 设 备 存 储 业 务 数 据，同 时 配 备 备 份 服 务 器 对 主 要 数 据、配 置 文 件 和 日 志 文 件 等 进 行 备 份，提 供 设 备 冗 余，保 证 系 统 的 可 用 性。在 安 全 策 略 方 面 网 络 设 备、主 机、应 用 系 统 在 身 份 验 证
12、 方 面 身 份 标 识 唯 一，密 码 满 足 复 杂 度 要 求，并 定 期 更 换，但 仅 采 用 用 户 名 密 码 方 式 进 行 身 份 验 证；在 访 问 控 制 方 面，根 据 用 户 角 色 进 行 了 权 限 划 分，授 予 用 户 所 需 的 最 小 权 限；在 安 全 审 计 方 面，网 络 设 备、主 机、应 用 系 统 配 置 都 相 对 完 善，日 志 记 录 信 息 基 本 满 足 要 求；另 外 厂 家 技 术 工 程 师 驻 场 维 护，保 障 系 统 安 全 稳 定 的 运 行。4、监 测 预 警 及 应 急 保 障 监 测 预 警 方 面 厂 家 工 程
13、 师 通 过 软 件 可 监 控 网 络 设 备、服 务 器、软 件 的 运 行 状 态，并 提 供 报 警 功 能。通 过 对 日 志 进 行 分 析 发 现 系 统 出 现 的 异 常 情 况 及 时 处 置，并 定 期 由 工 程 师 对 设 备 进 行 巡 检。应 急 保 障 方 面 厂 家 在 系 统 设 计 之 初 就 通 过 双 线 路、双 击 热 备、存 储 设 备 等 方 式 保 证 系 统 的 可 用 性，同 时 安 排 工 程 师 驻 场 维 护，已 应 对 突 发 事 件，但 未 根 据 相 关 规 定 对 计 算 机 安 全 事 件 进 行 等 级 划 分，发 生 安
14、 全 事 件 采 取 何 种 处 置 措 施 不 明 确，不 利 于 安 全 事 件 的 及 时 处 理。综 上 所 述，被 测 票 务 系 统 基 本 符 合 第 三 级 信 息 系 统 等 级 保 护 的 安 全 要 求，但 还 存 在 个 别 问 题，希 望 在 安 全 建 设 整 改 中 继 续 完 善。主 要 安 全 问 题 票 务 系 统 存 在 的 主 要 安 全 问 题：1.安 全 管 理 方 面 1）未 成 立 指 导 和 管 理 信 息 安 全 工 作 的 领 导 小 组；2）全 员 统 一 考 核，未 针 对 关 键 岗 位 考 核；3）厂 商 内 部 对 系 统 进 行
15、 安 全 性 测 试，未 委 托 第 三 方 测 试 单 位 对 系 统 进 行 测 试；4）由 信 息 化 部 控 制 机 房 的 人 员 出 入 和 物 品 带 进 带 出，暂 时 缺 少 机 房 管 理 制 度；5）未 建 立 安 全 管 理 中 心 集 中 管 理，厂 商 工 程 师 通 过 不 同 的 方 式 对 设 备 状 态、恶 意 代 码、补 丁 升 级、安 全 审 计 等 事 项 进 行 管 理；6）未 对 安 全 事 件 划 分 等 级 管 理；7）暂 未 制 定 应 急 预 案，未 进 行 应 急 预 案 培 训 和 应 急 演 练；2.物 理 安 全 方 面 1）机 房
16、 窗 户 没 有 做 密 封 处 理，不 能 防 止 雨 水 通 过 机 房 窗 户、屋 顶 和 墙 壁 渗 透；3.网 络 安 全 方 面 1）未 部 署 入 侵 检 测 设 备，仅 通 过 防 火 强 异 常 日 志 记 录，然 后 人 为 判 断 异 常 行 为 份；2）网 络 边 界 未 配 置 恶 意 代 码 检 测 设 备，仅 通 过 防 火 墙 做 策 略 防 护；3）没 有 对 网 络 设 备 运 行 状 况、网 络 流 量 进 行 监 控，可 以 对 用 户 操 作 进 行 日 志 记 录，日 志 文 件 存 储 于 设 备 本 地，覆 盖 式 存 储，且 无 审 计 报 表
17、；4）网 络 及 安 全 设 备 仅 采 用 用 户 名 密 码 一 种 身 份 鉴 别 方 式；5）没 有 技 术 手 段 防 止 地 址 欺 骗，不 能 防 止 从 内 部 网 络 发 起 的 网 络 攻 击 和 对 重 要 主 机 的 地 址 欺 骗；6）远 程 管 理 采 用 t e l n e t明 文 协 议；4.主 机 安 全 方 面 1）仅 使 用 账 号、密 码 登 录 系 统，未 实 现 两 种 及 以 上 鉴 别 技 术 对 管 理 用 户 进 行 身 份 鉴 别；2）主 机 安 装 赛 门 铁 克 杀 毒 软 件，网 络 暂 时 没 有 启 用 防 恶 意 代 码 设
18、备；3）终 端 安 装 有 3 6 0杀 毒，网 络 没 有 防 恶 意 代 码 设 备；4）系 统 存 在 多 余 账 户，没 有 共 享 账 户 存 在；5）数 据 库 版 本 为 s q l s e r v e r 2 0 1 2企 业 版，遵 循 最 小 安 装 原 则，没 有 开 放 多 余 端 口，补 丁 不 会 定 期 进 行 更 新；5.应 用 安 全 方 面 1）仅 使 用 账 号 密 码 登 录，没 有 使 用 两 种 及 以 上 方 式 进 行 身 份 鉴 别；2）有 用 户 名 唯 一 鉴 别 功 能，用 户 名 没 有 设 置 复 杂 度 要 求;3）已 启 用 身
19、份 鉴 别，用 户 身 份 标 识 唯 一，用 户 身 份 鉴 别 信 息 复 杂 度 不 满 足 要 求，开 启 登 录 失 败 处 理 功 能；4）修 改 密 码 时，新 设 定 的 密 码 与 旧 密 码 可 以 相 同，不 符 合 要 求；5）审 计 记 录 不 能 筛 选，不 能 生 成 审 计 报 表 进 行 分 析。6.数 据 安 全 方 面 1）数 据 信 息 没 有 进 行 异 地 备 份；整 改 建 议 1.安 全 管 理 方 面 的 整 改 建 议 1）建 议 设 立 指 导 和 管 理 信 息 安 全 工 作 的 委 员 会 或 领 导 小 组，其 最 高 领 导 是
20、否 由 单 位 主 管 领 导 委 任 或 授 权 的 人 员 担 任；明 确 信 息 安 全 管 理 委 员 会 或 领 导 小 组 职 责；2）建 议 对 关 键 岗 位 的 人 员 进 行 全 面、严 格 的 安 全 审 查 和 技 能 考 核；3）建 议 安 排 专 门 的 部 门 负 责 测 试 验 收 工 作，并 委 托 公 正 的 第 三 方 测 试 机 构 对 信 息 系 统 进 行 独 立 的 安 全 性 测 试 报 告；4）建 议 对 相 关 机 房 管 理 制 度 对 机 房 物 理 访 问、物 品 带 进、带 出 机 房 和 机 房 环 境 安 全 等 方 面 的 管
21、理 作 出 规 定，且 相 关 制 度 建 议 张 贴 在 明 显 可 见 的 位 置；5）应 对 设 备 状 态、恶 意 代 码、补 丁 升 级、安 全 审 计 等 安 全 相 关 事 项 进 行 集 中 管 理，应 对 集 中 管 理 的 检 测 记 录 文 档，文 档 应 包 括 检 测 内 容、检 测 人 员、检 测 结 果 和 时 间 等；6）建 议 根 据 本 系 统 已 发 生 的 和 需 要 防 止 发 生 的 安 全 事 件 对 系 统 的 影 响 程 度 划 分 不 同 等 级，划 分 为 几 级，划 分 方 法 应 参 照 了 国 家 相 关 管 理 部 门 的 技 术
22、资 料，主 要 参 照 哪 些；7）建 议 在 统 一 的 应 急 预 案 框 架 下 制 定 不 同 事 件 的 应 急 预 案，应 急 预 案 框 架 应 包 括 启 动 应 急 预 案 的 条 件、应 急 处 理 流 程、系 统 恢 复 流 程、事 后 教 育 和 培 训 等 内 容；8）建 议 对 相 关 人 员 进 行 应 急 预 案 培 训，制 作 应 急 预 案 培 训 记 录，记 录 应 包 括 培 训 内 容、培 训 对 象、培 训 效 果 和 培 训 时 间 等。9）建 议 定 期 对 应 急 预 案 作 演 练，对 各 应 急 预 案 做 演 练 记 录，记 录 内 容
23、应 包 括 演 练 周 期、演 练 内 容、参 加 演 练 人 员、演 练 效 果 和 演 练 时 间 等；2.物 理 安 全 方 面 的 整 改 建 议 1）建 议 将 窗 户 做 密 闭 处 理，防 止 雨 水 渗 透 进 入 机 房；3.网 络 安 全 方 面 的 整 改 建 议 1）建 议 在 网 络 边 界 部 署 入 侵 检 测 设 备，开 启 日 志 记 录，对 入 侵 行 为 进 行 检 测 记 录，当 发 生 攻 击 时 及 时 报 警；2）建 议 在 网 络 边 界 部 署 恶 意 代 码 检 测 设 备，对 进 入 网 络 的 流 量 进 行 恶 意 代 码 检 测，及
24、时 发 现 清 除；3）建 议 通 过 第 三 方 设 备 或 软 件 对 设 备 的 运 行 状 况、流 量 等 进 行 监 控，并 对 日 志 文 件 定 期 分 析 生 成 审 计 报 表。设 备 日 志 文 件 建 议 备 份 至 日 志 服 务 器，避 免 为 预 期 的 修 改 或 删 除；4）采 用 口 令+数 字 证 书、口 令+硬 件 令 牌 等 双 因 子 鉴 别 方 式，或 采 用 堡 垒 机 的 方 式 管 理 设 备；5）在 技 术 条 件 允 许 的 前 提 下，对 重 要 网 段 上 的 主 机 等 设 备 设 置 网 络 层 和 数 据 链 路 层 地 址 绑
25、定；6）建 议 关 闭 设 备 远 程 管 理 或 采 用 SSH等 加 密 协 议 进 行 远 程 管 理。4.主 机 安 全 方 面 的 整 改 建 议 1）建 议 改 造 操 作 系 统 和 数 据 库 登 录 控 制 模 块，使 之 采 用 两 种 组 合 的 鉴 别 技 术 对 用 户 进 行 身 份 鉴 别，如 同 时 采 用 用 户 名/口 令 和 数 字 证 书 的 认 证 方 式；或 采 用 身 份 认 证 服 务 器 和 双 因 子 鉴 别 服 务 器 或 采 用 堡 垒 机 登 录 方 式；2）建 议 安 装 部 署 入 侵 检 测 设 备，当 网 络 受 到 攻 击 时
26、 能 提 供 报 警 功 能；3）建 议 网 络 防 恶 意 代 码 与 主 机 防 恶 意 代 码 软 件 异 构 部 署；4）建 议 删 除 多 余 的 过 期 的 账 号，不 要 多 人 共 用 一 个 管 理 账 号；5）对 服 务 器 和 数 据 库 的 日 志 进 行 分 析，定 期 导 出 生 成 审 计 报 表，或 在 网 络 上 部 署 第 三 方 日 志 分 析 软 件 或 第 三 方 集 中 审 计 平 台；6）建 议 定 期 对 数 据 库 进 行 补 丁 更 新，防 止 黑 客 利 用 漏 洞 对 数 据 库 造 成 威 胁。5,应 用 安 全 方 面 的 整 改 建
27、 议 1）建 议 身 份 验 证 采 用 口 令+数 字 证 书、口 令+硬 件 令 牌 等 双 因 子 鉴 别 方 式；2）建 议 配 置 用 户 名 唯 一 性 鉴 别 功 能，以 及 用 户 名 复 杂 度 设 置 策 略;3）建 议 设 置 用 户 名 复 杂 度 策 略，使 用 户 名 具 有 复 杂 度，防 止 受 到 恶 意 攻 击；4）建 议 配 置 相 关 策 略，使 系 统 用 户 修 改 密 码 时，设 置 旧 密 码 不 可 与 新 密 码 相 同；5）建 议 部 署 第 三 方 日 志 分 析 软 件 或 第 三 方 集 中 审 计 平 台，能 对 审 计 记 录 进
28、 行 筛 选。数 据 安 全 方 面 的 整 改 建 议 1）建 议 建 立 异 地 备 份 中 心，定 期 将 重 要 数 据 传 至 备 用 场 地;目 录 等 级 测 评 结 论.I总 体 评 价.III主 要 安 全 问 题.V整 改 建 议.VIII1 测 评 项 目 概 述.11.1 测 评 目 的.11.2 测 评 依 据.11.3 测 评 过 程.21.4 报 告 分 发 范 围.32 被 测 信 息 系 统 情 况.32.1 承 载 的 业 务 情 况.32.2 网 络 结 构.32.3 系 统 资 产.32.3.1 机 房.32.3.2 网 络 设 备.42.3.3 安 全
29、 设 备.42.3.4 服 务 器/存 储 设 备.42.3.5 终 端.52.3.6 业 务 应 用 软 件.52.3.7 关 键 数 据 类 别.52.3.8 安 全 相 关 人 员.62.3.9 安 全 管 理 文 档.62.4 安 全 服 务.62.5 安 全 环 境 威 胁 评 估.72.6 前 次 测 评 情 况.93 等 级 测 评 范 围 与 方 法.93.1 测 评 指 标.93.1.1 基 本 指 标.103.1.2 不 适 用 指 标.153.1.3 特 殊 指 标.273.2 测 评 对 象.283.2.1 测 评 对 象 选 择 方 法.283.2.2 测 评 对 象
30、 选 择 结 果.283.3 测 评 方 法.314 单 元 测 评.334.1 物 理 安 全.344.1.1 结 果 汇 总.344.1.2 结 果 分 析.344.2 网 络 安 全.364.2.1 结 果 汇 总.364.2.2 结 果 分 析.374.3 主 机 安 全.404.3.1 结 果 汇 总.404.3.2 结 果 分 析.414.4 应 用 安 全.454.4.1 结 果 汇 总.454.4.2 结 果 分 析.464.5 数 据 安 全 及 备 份 恢 复.484.5.1 结 果 汇 总.484.5.2 结 果 分 析.504.6 安 全 管 理 制 度.514.6.1
31、 结 果 汇 总.514.6.2 结 果 分 析.514.7 安 全 管 理 机 构.524.7.1 结 果 汇 总.524.7.2 结 果 分 析.524.8 人 员 安 全 管 理.534.8.1 结 果 汇 总.534.8.2 结 果 分 析.544.9 系 统 建 设 管 理.554.9.1 结 果 汇 总.554.9.2 结 果 分 析.564.1 0系 统 运 维 管 理.564.10.1.结 果 汇 总 564.10.2.结 果 分 析 574.1 1特 殊 指 标 安 全 层 面.594.1 2单 元 测 评 小 结.594.12.1.控 制 点 符 合 情 况 汇 总 594
32、.1 2.2.安 全 问 题 汇 总 635 整 体 测 评.785.1 安 全 控 制 间 安 全 测 评.785.2 层 面 间 安 全 测 评.785.3 区 域 间 安 全 测 评.785.4 整 体 测 评 结 果 汇 总.786 总 体 安 全 状 况 分 析.816.1 系 统 安 全 防 护 评 估.816.2 安 全 问 题 风 险 评 估.866.3 等 级 测 评 结 论.1017 安 全 建 设 整 改 建 议.103附 录 A 等 级 测 评 结 果 记 录.113物 理 安 全.113网 络 安 全.119主 机 安 全.134应 用 安 全.165数 据 安 全.
33、177安 全 管 理 制 度.185安 全 管 理 机 构.188人 员 安 全 管 理.195系 统 建 设 管 理.200系 统 运 维 管 理.214测 评 项 目 概 述 测 评 目 的 为 贯 彻 落 实 国 务 院 147号 令 和 中 办 27号 文 件，公 安 部 会 同 有 关 部 委 出 台 了 一 系 列 的 文 件 以 及 具 体 工 作 的 指 导 意 见 和 规 范，并 在 全 国 范 围 内 组 织 完 成 了 一 系 列 工 作。目 前，信 息 安 全 等 级 保 护 工 作 已 经 进 入 安 全 建 设 整 改 阶 段，公 安 部 印 发 了 关 于 开 展
34、 信 息 系 统 等 级 保 护 安 全 建 设 整 改 工 作 的 指 导 意 见（公 信 安 200911429）,明 确 提 出：“依 据 信 息 安 全 等 级 保 护 有 关 政 策 和 标 准，通 过 组 织 开 展 信 息 安 全 等 级 保 护 安 全 管 理 制 度 建 设、技 术 措 施 建 设 和 等 级 测 评，落 实 等 级 保 护 制 度 的 各 项 要 求，力 争 在 2012年 底 前 完 成 已 定 级 信 息 系 统 安 全 建 设 整 改 工 作”。本 项 目 目 标 系 统 为 票 务 系 统，该 系 统 安 全 保 护 等 级 定 为 三 级。通 过
35、安 全 等 级 测 评 来 评 判 目 前 该 信 息 系 统 安 全 保 护 的 程 度 或 水 平 与 国 家 信 息 系 统 安 全 等 级 保 护 要 求 之 间 的 差 距，以 便 指 导 进 行 信 息 系 统 安 全 方 面 的 调 整 和 改 进。测 评 依 据 测 评 过 程 中 主 要 依 据 的 标 准：1）GB/T 22239-2008 信 息 安 全 技 术 信 息 系 统 安 全 等 级 保 护 基 本 要 求（简 称 基 本 要 求）2）GB/T 28448-2012 信 息 安 全 技 术 信 息 系 统 安 全 等 级 保 护 测 评 要 求（简 称 测 评
36、要 求）测 评 过 程 中 还 参 考 的 文 件 和 标 准：1）中 华 人 民 共 和 国 计 算 机 信 息 系 统 安 全 保 护 条 例（国 务 院 147号 令）2）信 息 安 全 等 级 保 护 管 理 办 法（公 通 字 200743号）3）GB/T 22240-2008 信 息 安 全 技 术 信 息 系 统 安 全 等 级 保 护 定 级 指 南（简 称 定 级 指 南）4）GB/T 25058-2010 信 息 安 全 技 术 信 息 系 统 安 全 等 级 保 护 实 施 指 南（简 称 实 施 指 南）5）信 息 安 全 技 术 信 息 系 统 安 全 等 级 保 护
37、 测 评 过 程 指 南（国 标 即 将 发 布，简 称 测 评 过 程 指 南）6）GB/T 20984-2007信 息 安 全 技 术 信 息 安 全 风 险 评 估 规 范（简 称 风 险 评 估 规 范）测 评 过 程 票 务 系 统 等 级 测 评 的 过 程 如 下：1）调 研 阶 段 2）方 案 编 制 阶 段 3）现 场 测 评 阶 段4）分 析 与 报 告 编 制 阶 段 报 告 分 发 范 围 本 报 告 一 式 四 份，其 中 两 份 提 交 公 司，一 份 由 测 评 机 构 单 位 留 存，一 份 交 由 公 安 机 关 备 案。被 测 信 息 系 统 情 况 承 载
38、 的 业 务 情 况 售 票 系 统 负 责 处 理 电 子 渠 道 发 起 售 票 业 务 的 交 易 处 理、账 务 处 理，支 持 7*24小 时“全 天 候”服 务，具 备 权 限 管 理 和 授 权 控 制。系 统 采 用 B/S方 式 架 构，采 用 了 前 置 系 统 及 防 火 墙 对 外 部 访 问 进 行 隔 离，在 内 部 采 用 了 局 域 网 访 问 策 略 对 应 用 服 务、数 据 库 服 务 进 行 了 分 项 隔 离，确 保 系 统 安 全。网 络 结 构（略）系 统 资 产 2.3.1机 房 表 0 T 机 房 基 本 情 况 表 序 号 机 房 名 称 物
39、 理 位 置 1 指 挥 中 心 机 房2.3.2 网 络 设 备 表 0-2网 络 设 备 基 本 情 况 表 序 号 设 备 名 称 品 牌 型 号 操 作 系 统 用 途 数 量（台/套）重 要 程 度 1核 心 交 换 机 H3C S5500 核 心 交 换 2非 常 重 要 2.3.3安 全 设 备 表 0-3安 全 设 备 基 本 情 况 表 序 号 设 备 名 称 品 牌 型 号 操 作 系 统 用 途 数 量（台/套）重 要 程 度 1边 界 防 火 墙 JUNIPER SSG550 边 界 防 护 2非 常 重 要 2.3.4服 务 器/存 储 设 备 表 0-4服 务 器/
40、存 储 设 备 基 本 情 况 表 序 号 设 备 名 称 操 作 系 统/数 据 库 管 理 系 统 业 务 应 用 软 件 数 量（台/套）重 要 程 度 1应 用 服 务 器 Windows2012/Sqlserver 2012票 务 系 统 2非 常 重 要 2数 据 库 服 务 器 Windows2012/Sql server 2非 常 重 要2.3.5终 端 序 号 设 备 名 称 操 作 系 统/数 据 库 管 理 系 统 业 务 应 用 软 件 数 量（台/套）重 要 程 度 20123 数 据 库 SQL server 2012 2 非 常 重 要 表 0-5终 端 基 本
41、情 况 表 序 号 设 备 名 称 操 作 系 统 用 途 数 量（台/套）重 要 程 度 1 运 维 终 端 Windows 7 运 维 管 理 1 一 般 2.3.6 业 务 应 用 软 件 表 0-6业 务 应 用 软 件 基 本 情 况 表 序 号 软 件 名 称 主 要 功 能 开 发 厂 商 重 要 程 度 1 票 务 系 统 处 理 唐 电 子 渠 道 发 起 售 票 业 务 的 交 易 处 理、账 务 处 理 非 常 重 要 2.3.7 关 键 数 据 类 别 表 0-7关 键 数 据 类 别 基 本 情 况 表 序 号 数 据 类 别 所 属 业 务 应 用 安 全 防 护
42、需 求 重 要 程 度 1交 易 类 数 据、信 息 资 料 类、操 作 日 志 类 票 务 系 统 保 密 性、完 整 性 非 常 重 要2.3.8安 全 相 关 人 员 表 0-8安 全 相 关 人 员 基 本 情 况 表 序 号 姓 名 岗 位/角 色 联 系 方 式 1 赵 鑫 部 长 助 理 151315972102 周 旭 升 网 络 管 理 员 182010188853 文 旭 系 统 管 理 员 2.3.9安 全 管 理 文 档 表 0-9安 全 管 理 文 档 基 本 情 况 表 序 号 文 档 名 称 主 要 内 容 1 信 息 系 统 安 全 管 理 制 度 部 门 设
43、置、岗 位 设 置 及 工 作 职 责 定 义 方 面 的 管 理 制 度 2 信 息 系 统 安 全 管 理 制 度 授 权 审 批、审 批 流 程 等 方 面 的 管 理 制 度 3人 员 安 全 教 育 和 培 训 管 理 制 度 人 员 安 全 教 育 和 培 训 方 面 的 管 理 制 度 4 第 三 方 人 员 访 问 管 理 制 度 第 三 方 人 员 访 问 控 制 方 面 的 管 理 制 度 5 采 购 管 理 制 度 产 品 选 型、采 购 方 面 的 管 理 制 度 6 网 络 安 全 管 理 制 度 网 络 安 全 管 理（网 络 配 置、帐 号 管 理 等）方 面 的
44、 管 理 制 度 7 系 统 安 全 管 理 制 度 系 统 安 全 管 理（系 统 配 置、帐 号 管 理 等）方 面 的 管 理 制 度 8 备 份 和 恢 复 管 理 制 度 备 份 和 恢 复 方 面 的 管 理 制 度安 全 服 务 9安 全 事 件 报 告 与 处 置 管 理 制 度 安 全 事 件 报 告 和 处 置 方 面 的 管 理 制 度 表 0-10安 全 服 务 基 本 情 况 表 序 号 安 全 服 务 名 称 安 全 服 务 商 1信 息 安 全 等 级 保 护 测 评 服 务 公 司 安 全 环 境 威 胁 评 估 序 号 威 胁 分（子）类 描 述 威 胁 赋
45、值 1恶 意 攻 击 利 用 工 具 和 技 术 对 信 息 系 统 进 行 攻 击 高 2软 件 故 障 操 作 系 统、应 用 软 件 由 于 设 计 缺 陷 等 发 生 故 障 中 3管 理 不 到 位 由 于 制 度 缺 失、不 完 善 等 原 因 导 致 安 全 管 理 无 法 落 实 或 者 不 到 位 中 4无 作 为 或 操 作 失 误 应 该 执 行 而 没 有 执 行 相 应 的 操 作，或 者 无 意 执 行 了 错 误 的 操 作 中5敏 感 信 息 泄 露 敏 感 信 息 泄 露 给 不 应 了 解 的 他 人 中 6物 理 环 境 影 响 对 信 息 系 统 正 常
46、 运 行 造 成 影 响 的 物 理 环 境 问 题 和 自 然 灾 害。祗 7硬 件 故 障 网 络、主 机 等 系 统 设 备 由 于 设 备 老 化 等 原 因 发 生 硬 件 故 障 低 8越 权 或 滥 用 越 权 访 问 本 来 无 权 访 问 的 资 源，或 者 滥 用 自 己 的 权 限 破 坏 信 息 系 统 储 9物 理 攻 击 通 过 物 理 的 接 触 造 成 对 软 件、硬 件 和 数 据 的 破 坏 低 10篡 改 非 法 修 改 信 息，破 坏 信 息 的 完 整 性 使 系 统 的 安 全 性 降 低 或 信 息 不 可 用 低 11抵 赖 否 认 所 做 的
47、操 作 储前 次 测 评 情 况 本 次 等 级 测 评 是 票 务 系 统 首 次 测 评，由 公 司 负 责 实 施。等 级 测 评 范 围 与 方 法 测 评 指 标 基 本 要 求 中 对 不 同 等 级 信 息 系 统 的 安 全 功 能 和 措 施 提 出 了 具 体 要 求，等 级 测 评 应 根 据 信 息 系 统 的 安 全 保 护 等 级 从 中 选 取 相 应 等 级 的 安 全 测 评 指 标，并 依 据 测 评 要 求 和 测 评 过 程 指 南 对 信 息 系 统 实 施 安 全 测 评。本 次 安 全 等 级 测 评 范 围 内 的 票 务 系 统 的 安 全 保
48、 护 等 级 为 第 三 级，其 中 业 务 信 息 安 全 保 护 等 级 为 第 三 级，系 统 服 务 安 全 保 护 等 为 第 三 级(S3A3)o表 0-1 测 评 指 标 统 计 列 表(S3A3)测 评 指 标 技 术/管 理 安 全 分 类 安 全 子 类 数 量 S3 A3 G3 小 计 安 全 技 术 物 理 安 全 1 1 8 10网 络 安 全 1 0 6 7主 机 安 全 3 1 3 7应 用 安 全 5 2 2 9测 评 指 标 技 术/管 理 安 全 分 类 安 全 子 类 数 量 S3 A 3 G 3 小 计 数 据 安 全 及 备 份 恢 复 2 1 0 3
49、安 全 管 理 安 全 管 理 制 度 0 0 3 3安 全 管 理 机 构 0 0 5 5人 员 安 全 管 理 0 0 5 5系 统 建 设 管 理 0 0 11 11系 统 运 维 管 理 0 0 13 13合 计 733.1.1 基 本 指 标 依 据 信 息 系 统 确 定 的 业 务 信 息 安 全 保 护 等 级 和 系 统 服 务 安 全 保 护 等 级，选 择 基 本 要 求 中 对 应 级 别 的 安 全 要 求 作 为 等 级 测 评 的 基 本 指 标。表 3-2基 本 指 标 安 全 层 面 安 全 控 制 点 测 评 项 数 物 理 安 全 电 力 供 应 4防 盗
50、 窃 和 防 破 坏 6防 火 3安 全 层 面 安 全 控 制 点 测 评 项 数 防 静 电 2防 雷 击 3防 水 和 防 潮 4温 湿 度 控 制 1物 理 访 问 控 制 4物 理 位 置 的 选 择 2电 磁 防 护 3网 络 安 全 备 份 和 恢 复 4安 全 审 计 4恶 意 代 码 防 范 2访 问 控 制 8结 构 安 全 7入 侵 防 范 2网 络 设 备 防 护 8边 界 完 整 性 检 查 2主 机 安 全 备 份 和 恢 复 3安 全 层 面 安 全 控 制 点 测 评 项 数 资 源 控 制 5安 全 审 计 6恶 意 代 码 防 范 3入 侵 防 范 3访 问