驻地安全服务安全运维关键技术专项方案标书模板

信息系统安全服务服务范围和服务内容此次服务范围为XXX信息系统硬件及应用系统，关键包含计算机终端、打印机、服务器、存放设备、网络（安全）设备和应用系统。服务内容包含日常运维服务（驻场服务）、专业安全服务、信息化建设咨询服务等。服务目标保障软硬件稳定性和可靠性；保障软硬件安全性和可恢复性；故障立即响应和修复；硬件设备维修服务；人员技术培训服务；信息化建设计划、方案制订等咨询服务。服务内容风险评定风险评定目标是了解和控制运行过程中信息系统安全风险，运维阶段风险评定是一个较为全方面风险评定。评定内容包含对真实运行信息系统、资产、威胁、脆弱性等各方面。（1）资产评定：对真实环境下较为细致评定，包含实施阶段采购软硬件资产、系统运行过程中生成信息资产、相关人员和服务等。本阶段资产识别是前期资产识别补充和增加；（2）威胁评定：真实环境中威胁分析，应全方面地评定威胁可能性和影响程度。对非有意威胁产生安全事件评定能够参考事故发生率；对有意威胁关键由评定人员就威胁各个影响原因做出专业判定；同时考虑已经有控制方法；（3）脆弱性评定：全方面脆弱性评定。包含运行环境下物理、网络、系统、应用、安全保障设备、管理脆弱性。对于技术脆弱性评定采取核查、扫描、案例验证、渗透性测试方法验证脆弱性；对安全保障设备脆弱性评定时考虑安全功效实现情况和安全方法本身脆弱性。对于管理脆弱性采取文档、统计核查进行验证；（4）风险计算：依据相关标准，对关键资产风险进行定性或定量风险分析，描述不一样资产风险高低情况。安全加固安全加固是指对在风险评定中发觉系统安全风险进行处理，根据等级不一样，应该在对应时间内完成。安全加固内容关键包含：（1）日常安全加固工作，关键是依据风险评定结果进行系统安全调优服务，依据系统运行需要适时调整各类设备及系统配置、合理计划系统资源、消除系统漏洞，提升系统稳定性和可靠性；（2）主动安全加固，在未出现安全事故之前就对已经通报或暴露出来软件漏洞或最新病毒库更新，就主动进计划升级和改善，从而避免出现安全事故。具体加固内容包含但不限于：帐户策略、帐户锁定策略、审核策略、NTFS、用户权限分配、系统服务策略、补丁管理、事件日志、应用软件更新等。应急响应应急状态安全值守、响应工作，关键是系统应急响应、重大安全故障处理，确保系统出现安全事件时快速反应、立即处理，降低系统安全问题对XX局内工作影响。安全巡检安全巡检关键是指深入现场，了解情况：质检服务内容中各类安全设备，了解安全设备运行情况，仔细观察各个安全节点可靠性，并综合安全巡检情况，定制安全策略。安全监控对服务内容进行监控，在安全环境产生改变时，立即更新安全策略，在现有设备和网络情况有改变时候，快速制订，针对更新后设备环境安全策略，并实施布署。避免因设备变更而带来安全风险。安全通告定时安全通告，在互联网上出现新型病毒或新出现漏洞而且部分修补情况下，制作安全通告立即通知相关运维人员，增强对于新型病毒和漏洞防御力。安全培训依据驻地需要，组织开展包含漏洞扫描、渗透性测试、安全配置、安全意识和法律法规等信息安全相关培训。服务要求及交付物安全运维管理检验点检验要求交付物日常维护关键系统及关键服务器定义需对关键系统和服务器有清楚定义（如DNS/DHCP、防病毒等影响全网层面服务器、承载关键业务或包含敏感信息系统等）关键业务、关键服务器列表应急和演练信息化系统和关键服务器需有详尽故障应急预案应急预案应定时进行相关应急演练，并形成演练汇报，确保每十二个月全部平台和关键服务器全部最少进行一次演练应急演练汇报依据应急演练结果更新应急预案，并保留更新统计，统计最少保留3年应急预案更新统计，预案版本统计备份管理系统所包含不一样层面（如系统关键性、操作系统/数据库）应该制订数据备份恢复和备份介质管理制度备份管理制度，包含备份策略管理制度和备份介质管理制度系统所包含不一样层面应依据业务要求制订数据当地和异地备份（存放）策略备份管理制度，包含备份策略管理制度和备份介质管理制度相关人员对当地和异地备份策略结果进行每三个月审核策略审核表，加入备份管理制度备份数据进行恢复性测试，确保数据可用性，每十二个月不少于一次备份恢复应急演练统计相关人员对备份介质更换统计进行每六个月审核备份介质更换统计表，加入备份管理制度相关人员对备份介质销毁统计进行每六个月审核备份介质销毁统计表，加入备份管理制度故障管理各地市需制订对应园区信息化系统及服务器故障处理步骤故障处理步骤系统中发觉异常情况由系统维护人员依据相关步骤在要求时间内处理故障处理步骤故障处理完成后必需留有对应故障处理统计故障处理汇报上线管理为保障设备接入网络安全性，设备上线前必需安装防病毒系统及更新操作系统补丁，并对设备进行进行安全扫描评定，针对安全漏洞进行安全加固企业网接入管理措施、接入统计为避免系统上线对其它系统和设备造成影响，公布前必需对系统应用站点、数据库、后台服务、网络端口进行安全评定。系统投入正式运行前必需在测试环境中对系统进行模拟运行一周以上应用系统接入申请步骤、接入统计系统上线以后如需对系统进行功效更新，必需由系统管理员或系统管理员指定专门维护人员进行更新操作，严格根据企业安全管理规范实施1、应用系统更新申请步骤

2、更新统计Web应用应依据业务需求和安全设计标准进行安全编码,合理划分帐号权限，确保用户帐号密码安全,加强敏感数据安全保护，提供具体日志1、依据规范对开发规范进行修正，用户名密码管理要求、敏感数据管理要求、系统日志开发要求

2、现有应用安全检验漏洞和防病毒定时进行服务器漏洞扫描，并依据漏洞扫描汇报封堵高危漏洞，每三个月最少对全部服务器扫描一次扫描统计和扫描结果汇报需建立统一WSUS服务器，并每三个月对关键服务器进行高危漏洞升级，并留有升级统计1、WSUS服务器中关键更新补丁清单，每个月1份

2、应用服务器端每次更新补丁清单任何终端必需安装正版防病毒软件，且确保90%以上病毒库最新（五日以内）防病毒检验统计每七天检验防病毒软件隔离区，排除病毒威胁防病毒检验统计关键系统和关键服务器日志审计在操作系统层、数据库层、应用层建立日志统计功效，日志统计中保留1年内容，日志安全统计能够关联操作用户身份1、操作系统层日志策略

2、数据库日志策略

3、应用层日志要求加入开发规范中操作系统日志中需统计“账户管理”“登录事件”“策略更改”“系统事件”等内容操作系统层日志策略操作行为统计需进行定时审计数据库层日志需统计每次数据库操作内容数据库日志策略应用层日志需统计每次应用系统犯错信息应用层日志要求加入开发规范中检验关键错误日志、应用程序日志中关键错误统计，确保日志审核正常关键访问和操作应立即启用日志统计功效，避免因日志统计不全，造成入侵后无法被追踪问题信息公布管理天天检验平台短信发送、接收可用性天天短信检验统计短信必需设置关键字过滤，每个月进行关键字更新，并检验其有效性短信关键字更新统计，有效性检验统计信息防泄密需对全部信息化系统、应用系统关键信息进行清楚界定，关键信息包含但不限于包含用户资料、用户账户信息、用户密码、操作统计应用系统-关键信息矩阵图需对关键信息设定保密方法应用系统关键信息管理制度对关键信息操作进行特殊监控，并留下统计访问控制账号密码管理服务器上任何账号必需有审批人员审核确定1、账号管理措施

2、账号申请表全部系统和服务器上账号必需每三个月进行审核账号审核表密码复杂度要求：