机房等保护差距测评报告.doc

报告编号 *机构机房等级保护差距测评报告等保差距测评 信息系统等级测评基本信息表信息系统基本情况系统名称安全保护等级第二级机房位置机房灾备中心委托单位单位名称单位地址联系人测评单位单位名称通信地址邮政编码联系人姓名职务/职称工程师所属部门办公电话移动电话电子邮件审核批准编制人编制日期审核人审核日期批准人批准日期67声 明本报告是单位平台的等级保护差距测评报告。本报告结论的有效性建立在用户提供材料的真实性基础上。本报告中给出的结论仅对被测信息系统当时的安全状态有效，当测评工作完成后，由于信息系统发生变更而涉及到的系统构成组件（或子系统）都应重新进行等级测评，本报告不再适用。本报告中给出的测评结论不能作为对信息系统内部署的相关系统构成组件（或产品）的测评结论。在任何情况下，若需引用本报告中的测评结果或结论都应保持其原有的意义，不得对相关内容擅自进行增加、修改和伪造或掩盖事实。*机构二一四年六月目 录报告摘要31测评项目概述51.1测评目的51.2测评依据61.3测评过程71.4报告分发范围72被测系统情况82.1基本信息82.2网络结构92.3系统构成92.3.1业务应用软件92.3.2关键数据类别92.3.3主机/存储设备102.3.4网络互联与安全设备102.3.5安全相关人员102.3.6安全管理文档112.4安全环境113等级测评范围与方法123.1测评指标123.1.1基本指标123.1.2附加指标243.2测评对象243.2.1测评对象选择方法243.2.2测评对象选择结果243.3测评方法263.3.1现场测评方法263.3.2风险分析方法264等级测评内容274.1物理安全274.1.1结果记录274.1.2结果汇总294.1.3问题分析304.2网络安全304.2.1结果记录304.2.2结果汇总334.2.3问题分析334.3主机安全344.3.1结果记录344.3.2结果汇总394.3.3问题分析404.4应用安全404.4.1结果记录404.4.2结果汇总434.4.3问题分析434.5数据安全及备份恢复444.5.1结果记录444.5.2结果汇总454.5.3问题分析454.6安全管理制度454.6.1结果记录454.6.2结果汇总464.6.3问题分析464.7安全管理机构474.7.1结果记录474.7.2结果汇总484.7.3问题分析484.8人员安全管理484.8.1结果记录484.8.2结果汇总504.8.3问题分析504.9系统建设管理504.9.1结果记录504.9.2结果汇总544.9.3问题分析544.10系统运维管理554.10.1结果记录554.10.2结果汇总614.10.3问题分析614.11工具测试624.11.1主机漏洞625测评结果汇总635.1测评结果汇总表635.2统计图表666差距改进建议66差距报告 *机构报告摘要一、系统概述$部门于2014年5月委托*机构对其建设的单位平台进行差距测评。单位平台是是社会公众了解单位工作、是社会公众了解政府工作、开展服务事项网上办理工作重要工具，是高栏港区向社会公众发布政府信息、进行网络申办与审批工作的重要平台。二、测评范围和主要内容本次测评是按照GB/T 22239-2008信息安全技术 信息系统安全等级保护基本要求内第二级信息系统的安全要求进行差距测评。测试范围包括：物理安全、网络安全、主机安全、应用安全、数据安全及备份恢复、安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理，此次测评总共测评项为175项。三、等级测评结果 通过对单位平台的测评，发现系统存在的主要问题有：物理安全:1、物理访问控制：机房内未部署视频监控系统。2、防盗窃和防破坏：网络设备、安全设备、通信线缆均没有黏贴相应的且不易除去的标签；机房内未部署防盗报警系统。3、防火：机房内未部署消防自动报警系统和灭火器。4、温湿度控制：更换普通空调，采用精密空调，同时部署机房环境监控系统。网络安全：1、结构安全：未按照业务功能以及部门办公划分多个vlan，需要部署防火墙、WAF防火墙、入侵检测设备和安全审计系统。2、网络设备防护：汇聚交换机均未限制管理员的登录地址；汇聚交换机现有用户口令由字母组成，不符合复杂度要求，未定期更换；交换机虽开启的日志审计功能，但未对用户的行为进行审计。日常执行远程管理时，汇集交换机未配置登录失败处理策略，未能有效阻止非法登陆。主机安全：1、 身份鉴别：未启用密码复杂度检查功能，未启用定期更换密码功能；未启用登录失败处理功能。 2、 安全审计：服务器仅开启了默认的审核策略（用户登录信息），日志信息没有定期保存，易受到未预期的删除、修改或覆盖等。数据库缺少第三方审计系统保证无法保证数据不受篡改。3、 资源控制：未限制可远程管理服务器的终端登录地址。应用安全：1、 身份鉴别：未启用密码复杂度检查功能，未启用定期更换密码功能；未启用登录失败处理功能。 2、 安全审计：服务器仅开启了默认的审核策略（用户登录信息），审计信息不完整，且未部署第三方审计系统保证审计信息不受篡改。3、 数据完整性：应用系统通信过程中应采用校验码技术保证通信过程中数据的完整性。4、 资源控制：未限制可远程管理服务器的终端登录地址。数据备份与恢复：1、 数据保密性：应用系统未采用加密技术，网络、主机配置的备份未采用加密技术实现保存。2、 备份和恢复：关键网络设备、通信线路和服务器设备没有提供硬件冗余。安全管理制度：1、管理制度：目前建立的日常管理操作的操作规程不够全面。安全管理机构：1、授权和审批：关键活动建立审批流程，同时需要有相关文件记录。人员安全管理：1、安全意识教育和培训：未定期对相关人员进行安全知识培训，同时未明确告知相关人员的安全责任和惩戒措施内容。系统建设管理:1、系统定级：信息系统的定级结果未递交市网监并得到批准和定级回执。2、外包软件开发：第三方公司未提供源代码，同时未审查开发单位提供的软件源代码中可能存在的后门。3、测试验收：未组织对信息系统进行验收。系统运维管理：1、网络安全管理：缺少安全审计系统和网管系统，无法对网络设备及服务器运行日志进行信息分析、报警及审计；没有定期对网络设备进行系统版本升级及修补漏洞；2、系统安全管理：缺少访问控制设备无法对业务进行访问控制，业务系统补丁前未在测试环境中进行测试验证并备份重要文件，直接在实际系统环境中进行补丁升级；未建立系统安全管理制度；系统管理员未定期对运行日志和审计数据进行分析。3、恶意代码防范管理：对防恶意代码软件的授权使用、恶意代码库升级，但未定期汇报等作出书面规定。4、应急预案管理：未制定应急预案、培训及演练。四、系统安全建设、整改建议参见单位平台整改建议1 测评项目概述1.1测评目的通过等级保护安全测评发现单位平台存在的安全隐患、漏洞等，针对存在的问题提出有效的整改建议，从而使得信息系统达到相应等级的安全标准，进而提高信息系统的安全指数，使其安全、正常、稳定的运行。1.2测评依据中华人民共和国计算机信息系统安全保护条例（国务院147号令）；中共中央办公厅国务院办公厅转发的通知（中办发200327号）；关于印发的通知（公通字200466号文）；关于印发的通知（公通字200743号文）；关于开展全国重要信息系统安全等级保护定级工作的通知（公信安2007861号文）；信息安全技术信息系统安全等级保护基本要求（GB/T 22239-2008）；信息安全技术信息安全风险评估规范（GB/T 20984-2007）；信息安全技术信息系统安全等级保护测评过程指南（国标送审稿）；信息安全技术信息系统安全等级保护实施指南（国标报批稿）；信息安全技术信息系统安全等级保护测评要求（国标报批稿）；信息安全技术信息系统安全等级保护安全设计技术要求（信安秘字2009059号）；广东省计算机信息系统安全保护条例（2007年12月20日通过）；关于印发的通知（粤公通字2008228号文）。关于印发的通知（粤公通字200945号文）；1.3测评过程图1 测评流程图项目实施过程分为 3 个阶段：1、资料审查阶段：测评方发放等级保护测评调查表，由委托单位填写完整并提交给测评方，测评方对提交资料的完整性进行审查；2、核查测试阶段：测评方根据调查资料，形成针对性的等级保护测评方案，并实施现场测评，该阶段完成后，形成现场测评记录表；3、综合评估阶段：核查测试阶段结束后，测评方对结果记录进行整理。在差距评估阶段，综合评估是对标准的各条要求进行符合性判断，并形成等级保护测评报告。1.4报告分发范围本报告一式两份，其中一份提交测评委托单位，一份由测评单位留存。2 被测系统情况2.1基本信息系统名称单位平台主管机构$部门系统承载业务情况业务类型0生产作业 02指挥调度 03管理控制 04内部办公 05公众服务 09其他 业务描述该系统是以民众与企业网上办事为主要目的为主要目的的业务支撑评估，是社会公众了解政府工作、开展服务事项网上办理工作重要工具，是高栏港区向社会公众发布政府信息、进行网络申办与审批工作的重要平台。 系统服务情况服务范围010全国 011跨省（区、市） 跨 个 020全省（区、市） 021跨地（市、区） 跨 个030地（市、区）内 099其它 服务对象01单位内部人员 02社会公众人员 03两者均包括09其他 系统网络平台覆盖范围01局域网 02城域网 03广域网 09其他 网络性质01业务专网 02互联网 09其它 系统互联情况 1与其他行业系统连接 2与本行业其他单位系统连接3与本单位其他系统连接 04其它(与其他系统无互联)业务信息安全保护等级第二级系统服务安全保护等级第二级信息系统安全保护等级第二级表2-1 网络系统情况表2.2网络结构单位平台的基础网络设施、承载系统的服务器及存储设施均部署在信息中心机房，其所在的珠海市高栏港行政服务中心电子政务外网。系统所在珠海市高栏港行政服务中心电子政务外网出口（网络带宽为 100 M），系统网络由3台服务器直接接入1台汇聚交换机后接入行政服务中心网络。其简要拓扑如下：图2 网络拓扑图2.3系统构成2.3.1业务应用软件序号软件名称主要功能(功能模块)重要程度1.单位平台政务信息网上公开，投资项目网上审批，社会事务网上办理，公共决策网上互动，政府效能网上监察重要2.3.2关键数据类别序号数据类型所属业务应用重要程度1.各类业务信息单位平台重要2.3.3主机/存储设备 序号设备名称操作系统/数据库管理系统业务应用1.信息系统服务器操作系统 windows 2008/数据库系统 oracle单位平台2.数据库服务器操作系统 windows 2008/数据库系统 oracle数据库3.防病毒服务器操作系统 windows 2008MCAFEE杀毒软件（企业版）2.3.4网络互联与安全设备序号设备名称用 途重要程度1.汇聚交换机网络交换重要2.3.5安全相关人员序号姓名岗位/角色1.网络管理员2.主机系统管理员3.安全管理员4.数据库管理员5.应用管理员2.3.6安全管理文档序号文档名称1.统筹发展局机房管理制度2.信息机房设备运行管理制度3.4.5.6.2.4安全环境信息系统可能面临的威胁如下列表：序号威胁分(子)类描述威胁赋值1.网络攻击利用工具和技术通过网络对信息系统进行攻击和入侵高2.软硬件故障对业务实施或系统运行产生影响的设备硬件故障、通讯链路中断、系统本身或软件缺陷等问题中3.物理环境影响对信息系统正常运行造成影响的物理环境问题和自然灾害低4.无作为或操作失误应该执行而没有执行相应的操作，或无意执行了错误的操作中5.管理不到位安全管理无法落实或不到位，从而破坏信息系统正常有序运行低6.恶意代码故意在计算机系统上执行恶意任务的程序代码高7.越权或滥用通过采用一些措施，超越自己的权限访问了本来无权访问的资源，或者滥用自己的权限，做出破坏信息系统的行为高8.物理攻击通过物理的接触造成对软件、硬件、数据的破坏低9.泄密信息泄露给不应了解的他人中10.篡改非法修改信息，破坏信息的完整性使系统的安全性降低或信息不可用高11.抵赖不承认收到的信息和所作的操作和交易中3 等级测评范围与方法3.1测评指标3.1.1 基本指标分类子类基本要求测评项数物理安全物理位置的选择（G2）机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内1物理访问控制（G2）机房出入口应安排专人值守，控制、鉴别和记录进入的人员2需进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围防盗窃和防破坏（G2）应将主要设备放置在机房内5应将设备或主要部件进行固定，并设置明显的不易除去的标记应将通信线缆铺设在隐蔽处，可铺设在地下或管道中应对介质分类标识，存储在介质库或档案室中主机房应安装必要的防盗报警设施防雷击（G2）机房建筑应设置避雷装置2机房应设置交流电源地线防火（G2）机房应设置灭火设备和火灾自动报警系统。1防水和防潮（G2）水管安装，不得穿过机房屋顶和活动地板下3应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透应采取措施防止机房内水蒸气结露和地下积水的转移与渗透防静电（G2）关键设备应采用必要的接地防静电措施1温湿度控制（G2）机房应设置温、湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的范围之内1电力供应（A2）应在机房供电线路上配置稳压器和过电压防护设备2应提供短期的备用电力供应，至少满足关键设备在断电情况下的正常运行要求电磁防护（S2）电源线和通信线缆应隔离铺设，避免互相干扰1网络安全结构安全（G2）应保证关键网络设备的业务处理能力具备冗余空间，满足业务高峰期需要4应保证接入网络和核心网络的带宽满足业务高峰期需要应绘制与当前运行情况相符的网络拓扑结构图应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段访问控制（G2）应在网络边界部署访问控制设备，启用访问控制功能4应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为网段级应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户应限制具有拨号访问权限的用户数量安全审计（G2）应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录2审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息边界完整性检查（S2）应能够对内部网络中出现的内部用户未通过准许私自联到外部网络的行为进行检查1入侵防范（G2）应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等1网络设备防护（G2）应对登录网络设备的用户进行身份鉴别6应对网络设备的管理员登录地址进行限制网络设备用户的标识应唯一身份鉴别信息应具有不易被冒用的特点，口令应有复杂度要求并定期更换应具有登录失败处理功能，可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听主机安全身份鉴别（S2）应对登录操作系统和数据库系统的用户进行身份标识和鉴别5操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听应为操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有唯一性访问控制（S2）应启用访问控制功能，依据安全策略控制用户对资源的访问4应实现操作系统和数据库系统特权用户的权限分离应限制默认账户的访问权限，重命名系统默认账户，修改这些账户的默认口令应及时删除多余的、过期的账户、避免共享账户的存在安全审计（G2）审计范围应覆盖到服务器上的每个操作系统用户和数据库用户4审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等应保护审计记录，避免受到未预期的删除、修改或覆盖等入侵防范（G2）操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序，并通过设置升级服务器等方式保持系统补丁及时得到更新1恶意代码防范（G2）应安装防恶意代码软件，并及时更新防恶意代码软件版本和恶意代码库2应支持防恶意代码软件的统一管理资源控制（A2）应通过设定终端接入方式、网络地址范围等条件限制终端登录3应根据安全策略设置登录终端的操作超时锁定应限制单个用户对系统资源的最大或最小使用限度应用安全身份鉴别（S2）应提供专用的登录控制模块对登录用户进行身份标识和鉴别4应提供用户身份标识唯一和鉴别信息复杂度检查功能，保证应用系统中不存在重复用户身份标识，身份鉴别信息不易被冒用应提供登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施应启用身份鉴别、用户身份标识唯一性检查、用户身份鉴别信息复杂度检查以及登录失败处理功能，并根据安全策略配置相关参数访问控制（S2）应提供访问控制功能，依据安全策略控制用户对文件、数据库表等客体的访问4访问控制的覆盖范围应包括与资源访问相关的主体、客体及它们之间的操作应由授权主体配置访问控制策略，并严格限制默认账户的访问权限应授予不同账户为完成各自承担任务所需的最小权限，并在它们之间形成相互制约的关系安全审计（G2）应提供覆盖到每个用户的安全审计功能，对应用系统重要安全事件进行审计3应保证无法删除、修改或覆盖审计记录审计记录的内容至少应包括事件日期、时间、发起者信息、类型、描述和结果等通信完整性（S2）应采用校验码技术保证通信过程中数据的完整性1通信保密性（S2）在通信双方建立连接之前，应用系统应利用密码技术进行会话初始化验证2应对通信过程中的敏感信息字段进行加密软件容错（A2）应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的数据格式或长度符合系统设定要求2在故障发生时，应用系统应能够继续提供一部分功能，确保能够实施必要的措施资源控制（A2）当应用系统的通信双方中的一方在一段时间内未作任何响应，另一方应能够自动结束会话3应能够对应用系统的最大并发会话连接数进行限制应能够对单个账户的多重并发会话进行限制数据安全及备份恢复数据完整性（S2）应能够检测到鉴别信息和重要业务数据在传输过程中完整性受到破坏1数据保密性（S2）应采用加密或其他保护措施实现鉴别信息的存储保密性1备份和恢复（A2）应能够对重要信息进行备份和恢复2应提供关键网络设备、通信线路和数据处理系统的硬件冗余，保证系统的可用性安全管理制度管理制度（G2）应制定信息安全工作的总体方针和安全策略，说明机构安全工作的总体目标、范围、原则和安全框架等3应对安全管理活动中重要的管理内容建立安全管理制度应对安全管理人员或操作人员执行的重要管理操作建立操作规程制定和发布（G2）应指定或授权专门的部门或人员负责安全管理制度的制定3应组织相关人员对制定的安全管理制度进行论证和审定应将安全管理制度以某种方式发布到相关人员手中评审和修订（G2）应定期对安全管理制度进行评审，对存在不足或需要改进的安全管理制度进行修订1安全管理机构岗位设置（G2）应设立安全主管、安全管理各个方面的负责人岗位，并定义各负责人的职责2应设立系统管理员、网络管理员、安全管理员等岗位，并定义各个工作岗位的职责人员配备（G2）应配备一定数量的系统管理员、网络管理员、安全管理员等2安全管理员不能兼任网络管理员、系统管理员、数据库管理员等授权和审批（G2）应根据各个部门和岗位的职责明确授权审批部门及批准人，对系统投入运行、网络系统接入和重要资源的访问等关键活动进行审批2应针对关键活动建立审批流程，并由批准人签字确认沟通和合作（G2）应加强各类管理人员之间、组织内部机构之间以及信息安全职能部门内部的合作与沟通2应加强与兄弟单位、公安机关、电信公司的合作与沟通审核和检查（G2）安全管理员应负责定期进行安全检查，检查内容包括系统日常运行、系统漏洞和数据备份等情况1人员安全管理人员录用（G2）应指定或授权专门的部门或人员负责人员录用3应规范人员录用过程，对被录用人员的身份、背景和专业资格等进行审查，对其所具有的技术技能进行考核应与从事关键岗位的人员签署保密协议人员离岗（G2）应规范人员离岗过程，及时终止离岗员工的所有访问权限3应取回各种身份证件、钥匙、徽章等以及机构提供的软硬件设备应办理严格的调离手续人员考核（G2）应定期对各个岗位的人员进行安全技能及安全认知的考核1安全意识教育和培训（G2）应对各类人员进行安全意识教育、岗位技能培训和相关安全技术培训3应告知人员相关的安全责任和惩戒措施，并对违反违背安全策略和规定的人员进行惩戒应制定安全教育和培训计划，对信息安全基础知识、岗位操作规程等进行培训外部人员访问管理（G2）应确保在外部人员访问受控区域前得到授权或审批，批准后由专人全程陪同或监督，并登记备案1系统建设管理系统定级（G2）应明确信息系统的边界和安全保护等级3应以书面的形式说明信息系统确定为某个安全保护等级的方法和理由应确保信息系统的定级结果经过相关部门的批准安全方案设计（G2）应根据系统的安全保护等级选择基本安全措施，依据风险分析的结果补充和调整安全措施4应以书面形式描述对系统的安全保护要求、策略和措施等内容，形成系统的安全方案应对安全方案进行细化，形成能指导安全系统建设、安全产品采购和使用的详细设计方案应组织相关部门和有关安全技术专家对安全设计方案的合理性和正确性进行论证和审定，并且经过批准后，才能正式实施产品采购和使用（G2）应确保安全产品采购和使用符合国家的有关规定3应确保密码产品采购和使用符合国家密码主管部门的要求应指定或授权专门的部门负责产品的采购自行软件开发（G2）应确保开发环境与实际运行环境物理分开3应制定软件开发管理制度，明确说明开发过程的控制方法和人员行为准则应确保提供软件设计的相关文档和使用指南，并由专人负责保管外包软件开发（G2）应根据开发要求检测软件质量4应确保提供软件设计的相关文档和使用指南应在软件安装之前检测软件包中可能存在的恶意代码应要求开发单位提供软件源代码，并审查软件中可能存在的后门工程实施（G2）应指定或授权专门的部门或人员负责工程实施过程的管理2应制定详细的工程实施方案，控制工程实施过程测试验收（G2）应对系统进行安全性测试验收3在测试验收前应根据设计方案或合同要求等制订测试验收方案，在测试验收过程中应详细记录测试验收结果，并形成测试验收报告应组织相关部门和相关人员对系统测试验收报告进行审定，并签字确认系统交付（G2）应制定系统交付清单，并根据交付清单对所交接的设备、软件和文档等进行清点3应对负责系统运行维护的技术人员进行相应的技能培训应确保提供系统建设过程中的文档和指导用户进行系统运行维护的文档安全服务商选择（G2）应确保安全服务商的选择符合国家的有关规定3应与选定的安全服务商签订与安全相关的协议，明确约定相关责任应确保选定的安全服务商提供技术支持和服务承诺，必要的与其签订服务合同系统运维管理环境管理（G2）应指定专门的部门或人员定期对机房供配电、空调、温湿度控制等设施进行维护管理4应配备机房安全管理人员，对机房的出入、服务器的开机或关机等工作进行管理应建立机房安全管理制度，对有关机房物理访问，物品带进、带出机房和机房环境安全等方面的管理作出规定应加强对办公环境的保密性管理，包括工作人员调离办公室应立即交还该办公室钥匙和不在办公区接待来访人员等资产管理（G2）应编制与信息系统相关的资产清单，包括资产责任部门、重要程度和所处位置等内容2应建立资产安全管理制度，规定信息系统资产管理的责任人员或责任部门，并规范资产管理和使用的行为介质管理（G2）应确保介质存放在安全的环境中，对各类介质进行控制和保护，并实行存储环境专人管理4应对介质归档和查询等过程进行记录，并根据存档介质的目录清单定期盘点应对需要送出维修或销毁的介质，首先清除其中的敏感数据，防止信息的非法泄漏应根据所承载数据和软件的重要程度对介质进行分类和标识管理设备管理（G2）应对信息系统相关的各种设备（包括备份和冗余设备）、线路等指定专门的部门或人员定期进行维护管理4应建立基于申报、审批和专人负责的设备安全管理制度，对信息系统的各种软硬件设备的选型、采购、发放和领用等过程进行规范化管理应对终端计算机、工作站、便携机、系统和网络等设备的操作和使用进行规范化管理，按操作规程实现关键设备（包括备份和冗余设备）的启动/停止、加电/断电等操作应确保信息处理设备必须经过审批才能带离机房或办公地点网络安全管理（G2）应指定人员对网络进行管理，负责运行日志、网络监控记录的日常维护和报警信息分析和处理工作6应建立网络安全管理制度，对网络安全配置、日志保存时间、安全策略、升级与打补丁、口令更新周期等方面作出规定应根据厂家提供的软件升级版本对网络设备进行更新，并在更新前对现有的重要文件进行备份应定期对网络系统进行漏洞扫描，对发现的网络系统安全漏洞进行及时的修补应对网络设备的配置文件进行定期备份应保证所有与外部系统的连接均得到授权和批准系统安全管理（G2）应根据业务需求和系统安全分析确定系统的访问控制策略6应定期进行漏洞扫描，对发现的系统安全漏洞及时进行修补应安装系统的最新补丁程序，在安装系统补丁前，应首先在测试环境中测试通过，并对重要文件进行备份后，方可实施系统补丁程序的安装应建立系统安全管理制度，对系统安全策略、安全配置、日志管理和日常操作流程等方面作出规定应依据操作手册对系统进行维护，详细记录操作日志，包括重要的日常操作、运行维护记录、参数的设置和修改等内容，严禁进行未经授权的操作应定期对运行日志和审计数据进行分析，以便及时发现异常行为恶意代码防范管理（G2）应提高所有用户的防病毒意识，告知及时升级防病毒软件，在读取移动存储设备上的数据以及网络上接收文件或邮件之前，先进行病毒检查，对外来计算机或存储设备接入网络系统之前也应进行病毒检查3应指定专人对网络和主机进行恶意代码检测并保存检测记录应对防恶意代码软件的授权使用、恶意代码库升级、定期汇报等作出明确规定密码管理（G2）应使用符合国家密码管理规定的密码技术和产品1变更管理（G2）应确认系统中要发生的重要变更，并制定相应的变更方案2系统发生重要变更前，应向主管领导申请，审批后方可实施变更，并在实施后向相关人员通告备份与恢复管理（G2）应识别需要定期备份的重要业务信息、系统数据及软件系统等3应规定备份信息的备份方式、备份频度、存储介质、保存期等应根据数据的重要性及其对系统运行的影响，制定数据的备份策略和恢复策略，备份策略指明备份数据的放置场所、文件命名规则、介质替换频率和数据离站运输方法安全事件处置（G2）应报告所发现的安全弱点和可疑事件，但任何情况下用户均不应尝试验证弱点4应制定安全事件报告和处置管理制度，明确安全事件类型，规定安全事件的现场处理、事件报告和后期恢复的管理职责应根据国家相关管理部门对计算机安全事件等级划分方法和安全事件对本系统产生的影响，对本系统计算机安全事件进行等级划分应记录并保存所有报告的安全弱点和可疑事件，分析事件原因，监督事态发展，采取措施避免安全事件发生应急预案管理（G2）应在统一的应急预案框架下制定不同事件的应急预案，应急预案框架应包括启动应急预案的条件、应急处理流程、系统恢复流程、事后教育和培训等内容2应对系统相关的人员进行应急预案培训，应急预案的培训应至少每年举办一次3.1.2 附加指标无。3.2测评对象3.2.1测评对象选择方法本次等级测评中采用抽查的方法，兼顾类别与数量。测评对象包括安全设备、业务应用软件、主机操作系统、存储设备操作系统、数据库管理系统、安全相关人员、机房、介质以及管理文档。本次选择过程中综合考虑信息系统的安全保护等级、业务应用特点和对象所在具体设备的重要情况等要素，机房、介质和管理文档不抽样。3.2.2测评对象选择结果3.2.2.1物理机房序号机房名称物理位置1.口岸大楼机房珠海市金湾区高栏港经济区行政服务中心口岸大楼三楼 3.2.2.2网络互联与安全设备序号设备名称用 途重要程度1.汇聚交换机网络交换重要3.2.2.3业务应用软件序号软件名称主要功能(功能模块)重要程度1.单位平台政务信息网上公开，投资项目网上审批，社会事务网上办理，公共决策网上互动，政府效能网上监察。重要3.2.2.4主机（存储）操作系统序号设备名称操作系统/数据库管理系统业务应用1.信息系统服务器操作系统 windows 2008/数据库系统 oracle单位平台2.数据库服务器操作系统 windows 2008/数据库系统 oracle数据库3.2.2.5访谈人员序号姓名岗位/角色1.网络管理员/主机系统管理员/数据库管理员/应用管理员2.安全管理员3.2.2.6安全管理文档序号文档名称7.统筹发展局机房管理制度8.信息机房设备运行管理制度9.10.11.12.3.3测评方法3.3.1现场测评方法现场测评方法主要包括访谈、检查和测试等三类。访谈：测评人员通过与信息系统有关人员（个人/群体）进行交流、讨论等活动，获取证据以证明信息系统安全保护措施是否有效的一种方法。检查：测评人员通过对测评对象进行观察、查验、分析等活动，获取证据以证明信息系统安全保护措施是否有效的一种方法。测试：测评人员使用预定的方法/工具使测评对象产生特定的行为，通过查看、分析这些行为的结果，获取证据以证明信息系统安全保护措施是否有效的一种方法。3.3.2风险分析方法本次测评依据等级保护的相关规范和标准，对测评结果中存在的安全问题可能对信息系统安全造成的影响进行风险分析，分析过程包括：1）判断安全问题被威胁利用的可能性；2）判断安全问题被威胁利用后，对信息系统安全造成的影响程度；3）综合1）和2）的结果对信息系统面临的风险进行汇总和分等级，风险等级的取值范围为高、中和低；4）结合信息系统的安全保护等级对风险分析结果进行评价，即对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益造成的风险。4 等级测评内容4.1物理安全4.1.1 结果记录根据该系统物理安全备测评对象的单项测评结果，可以判定得出物理安全层面测评指标的测评结论，具体如下表所示：类别测评内容结果记录符合情况物理位置的选择机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内1、珠海市金湾区高栏港经济区行政服务中心口岸大楼三楼 ；2、机房所在建筑为3楼，非高层和地下室，楼层共6层；3、机房具有七级防震、防风和防雨等能力。符合物理访问控制机房出入口应安排专人值守，控制、鉴别和记录进入的人员1、机房出入口有电子门禁系统，能够自动记录进入人员身份信息；2、机房外为办公区域。符合需进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围1、 对机房进出人员进行身份鉴定，来访人员由专人陪同，并限制活动范围。2、 机房内未部署视频监控系统。部分符合防盗窃和防破坏应将主要设备放置在机房内被测系统相关的网络设备、安全设备放置于此机房内。符合应将设备或主要部件进行固定，并设置明显的不易除去的标记1、网络设备、安全设备均固定放置在相应机柜；2、网络设备、安全设备没有黏贴相应标签；3、网络线缆没有黏贴相应的标签。部分符合应将通信线缆铺设在隐蔽处，可铺设在地下或管道中1、通信线缆铺设在地下或管道等隐蔽处中；2、通信线缆铺设整齐。符合应对介质分类标识，存储在介质库或档案室中1、介质统一存放于保密局，由保密局统一处理；2、巡检记录等纸质介质由专人负责存储。符合主机房应安装必要的防盗报警设施机房未部署防盗报警设施，机房所在大楼每一出口有视频监控系统，大楼保安每四小时巡查一次。部分符合防雷击机房建筑应设置避雷装置1、 机房所在建筑设置地网，每2年检查一次；2、 机房所在楼层设有防雷器；3、 机房内有强电防雷设置。符合机房应设置交流电源地线机房已设置交流等电位铜排。符合防火机房应设置灭火设备和火灾自动报警系统。1、机房未设置消防自动报警系统；2、机房门口没有配置二氧化碳灭火器。不符合防水和防潮水管安装，不得穿过机房屋顶和活动地板下机房内没有穿过屋顶和活动地板下的水管。符合应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透1、机房靠中间过道有窗户、所在3楼非在顶楼和地下层，可防止墙壁渗透；2、机房未发现有漏水、渗透和返潮的现象出现。符合应采取措施防止机房内水蒸气结露和地下积水的转移与渗透1、机房没有配置机房环境监控系统（监控防水和防潮）；不符合防静电关键设备应采用必要的接地防静电措施机房均采用防静电地板铺设。符合温湿度控制机房应设置温、湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的范围之内1、机房范围部署1台普通空调,并设定了固定温度，不具备恒湿功能；2、机房缺少机房环境监控设备，无法对温湿度进行控制。不符合电力供应应在机房供电线路上配置稳压器和过电压防护设备1、机房已配置1套APC 6KVA UPS设备；2、UPS对区域设备进行供电。符合应提供短期的备用电力供应，至少满足关键设备在断电情况下的正常运行要求1、机房已配置1套APC 6KVA UPS设备，可提供后备2个小时；符合电磁防护电源线和通信线缆应隔离铺设，避免互相干扰1、通信线缆和电源线缆分开隔离铺设；2、通信线缆和电源线缆铺设整齐；3、机房强电线缆铺设隐蔽。符合4.1.2 结果汇总物理安全测评结果汇总和统计表测评项符合部分符合不符合不适用物理位置的选择1000物理访问控制1100防盗窃和防破坏3200防雷击2000防火0010防水和防潮2010防静电1000温湿度控制0010电力供应2000电磁防护10004.1.3 问题分析根据现场测评记录结果和上表的统计，信息系统在物理安全方面采取的安全保护措施和存在的主要问题如下：1、物理访问控制：机房内未部署视频监控系统。2、防盗窃和防破坏：网络设备、安全设备、通信线缆均没有黏贴相应的且不易除去的标签；机房内未部署防盗报警系统。3、防火：机房内未部署消防自动报警系统和灭火器。4、温湿度控制：更换普通空调，采用精密空调，同时部署机房环境监控系统。4.2网络安全4.2.1结果记录根据该系统网络安全备测评对象的单项测评结果，可以判定得出网络安全层面测评指标的测评结论，具体如下表所示：4.2.1.1网络全局类别测评内容结果记录符合情况结构安全应保证关键网络设备的业务处理能力具备冗余空间，满足业务高峰期需要1、 汇聚交换机资源使用率：CPU 1%，内存10%11%；符合应保证接入网络和核心网络的带宽满足业务高峰期需要1、与电子政务外网的出口为100M带宽，满足业务高峰的需求。符合应绘制与当前运行情况相符的网络拓扑结构图当前网络拓扑与实际情况相符。符合应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段未按照业务功能以及部门办公划分多个vlan。 不符合访问控制应在网络边界部署访问控制设备，启用访问控制功能各网络出口没有部署防火墙作为访问控制设备，无法启用其访问控制策略。不符合应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为网段级没有访问控制设备无法明确的源 IP 地址和目的IP地址。不符合应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户没有拨号上网用户。不适用应限制具有拨号访问权限的用户数量没有拨号上网用户。不适用边界完整性检查应能够对内部网络中出现的内部用户未通过准许私自联到外部网络的行为进行检查没有部署安全审计系统。不符合入侵防范应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等核心区域没有部署入侵检测系统和WAF防火墙，无法监视网络入侵行为和WEB服务的入侵行为。不符合4.2.1.2汇聚交换机类别测评内容结果记录符合情况访问控制应在网络边界部署访问控制设备，启用访问控制功能各网络出口没有部署防火墙作为访问控制设备，无法启用其访问控制策略。不符合应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为网段级没有访问控制设备无法明确的源 IP 地址和目的IP地址。不符合应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户没有拨号上网用户。不适用应限制具有拨号访问权限的用户数量没有拨号上网用户。不适用安全审计应对网络系统中的网络设备运