广东联合电子收费股份有限公司(现金)结算系统等级保护.doc

广东省高速公路联网收费广东省高速公路联网收费 现金 结算系统等级保护 现金 结算系统等级保护 测评报告测评报告 项目名称 项目名称 广东省高速公路联网收费 现金 结算系统 委托单位 委托单位 广东联合电子收费股份有限公司 测评单位 测评单位 蓝盾信息安全技术股份有限公司 20102010 年年 8 8 月月 2525 日日 蓝盾信息安全技术股份有限公司 报报告摘要告摘要 一 测评工作概述 广东省高速公路联网收费 现金 结算系统于 2004 年 6 月 28 日 由广东省发改委立项 广东联合电子收费股份有限公司建设 目前该 系统由广东联合电子收费股份有限公司负责运行维护管理 广东省交 通厅是该信息系统业务的主管部门 广东联合电子收费股份有限公司 为该信息系统定级的责任单位 此系统由联网收费 现金 结算中心 和六个区域管理点构成 联网收费 现金 结算中心设立在广州 六 个区域管理点分别设在汕头 开平 广州 深圳 清远和虎门 蓝盾信息安全技术股份有限公司受广东联合电子收费股份有限公 司委托 对广东省高速公路联网收费 现金 结算系统进行信息系统安 全等级保护测评 安排有四人现场测评项目组 分为技术核查小组及 管理核查小组 针对安全技术及安全管理两大方向 十个层面进行了 测评与分析 测评对象包括 广东联合电子收费股份有限公司 5 楼中 心机房 14 台交换机 2 台中心防火墙 6 台服务器 22 台路由器和 其他应用服务系统 以及相关安全管理制度 现场访谈对象 4 人 二 等级测评结果 依据 GB T 22239 信息系统安全等级保护基本要求 信息系统 安全等级保护测评准则 对广东省高速公路联网收费 现金 结算系 统进行测评 整体测评结果为 符合项 85 1 基本符合项 1 9 不 符合项 10 1 不适用项 2 9 从以上测评结果我们可以看出广东省 蓝盾信息安全技术股份有限公司 高速公路联网收费 现金 结算系统整体信息安全措施比较完善 但 与 GB T 22239 信息系统安全等级保护基本要求 中的第二级基本要 求还有一定差距 因此我们判定广东省高速公路联网收费 现金 结 算系统的测评结论为不达标不达标 三 系统存在的主要问题 整个系统在技术安全层面的问题主要集中在网络安全 主机安全 与应用安全 存在的主要问题 网络设备策略配置存在个别不到位 对于外部用户接入到内部网络的行为缺少监控与管理措施 远程控制 缺乏一定的安全措施 审计日志的管理有待加强 应用系统对用户并 发策略不够完善 数据在传输过程中的完整性以及安全性尚存缺陷 易受到窃听及篡改 管理方面缺乏信息安全工作的总体方针和安全策略 与安全管理 相配套的安全管理制度存在缺失 此类不足将大大影响信息安全措施 的执行的效率与成果 四 系统安全建设 整改建议 建议在技术方面主要调整并完善网络 主机与应用的安全性 在 安全管理方面需要制定总体方针和安全策略 并建立相关必要的安全 管理制度 蓝盾信息安全技术股份有限公司 报告基本信息 信息系统基本情况 系统名称广东省高速公路联网收费 现金 结算系统安全保护等级二级 中心机房广东联合电子收费股份有限公司 广州大道南 368 号大楼 5 楼中心机房 灾备中心东莞市虎门镇机房位置 其他机房无 委托单位 单位名称 广东联合电子收费股份有限公司 单位地址 广州市广州大道南 368 号 邮政编码543002 姓 名黎剑威职务 职称技术经理 所属部门联网收费清分中心办公电话 020 84281458联系人 移动电话电子邮件 lijianwei 测评单位 单位名称 蓝盾信息安全技术股份有限公司 通信地址 广州市科韵路 16 号 A 座 20 21 楼 邮政编码510665 姓 名王虎职务 职称项目经理 所属部门技术部办公电话 020 38468377联系人 移动电话电子邮件 whh 编制人黄伟泉日期 2010 8 10 审核人王虎日期 2010 8 15 报告 审核批准 批准人日期 蓝盾信息安全技术股份有限公司 声明声明 声明是测评单位对于测评报告内容以及用途等有关事项做出的约 定性陈述 包含但不限于以下内容 本报告中给出的结论仅对目标系统的当时状况有效 当测评工作 完成后系统出现任何变更 涉及到的模块 或子系统 都应重新进行测 评 本报告不再适用 本报告中给出的结论不能作为对系统内相关产品的测评结论 本报告结论的有效性建立在用户提供材料的真实性基础上 在任何情况下 若需引用本报告中的结果或数据都应保持其本来 的意义 不得擅自进行增加 修改 伪造或掩盖事实 测评单位机构名称 蓝盾信息安全技术股份有限公司 2010 年 8 月 蓝盾信息安全技术股份有限公司 报告目录报告目录 1测评项目概述测评项目概述 10 1 11 1测评目的测评目的 10 1 21 2测评依据测评依据 10 1 31 3测评过程测评过程 10 1 41 4报告分发范围报告分发范围 13 2被测系统情况被测系统情况 14 2 12 1基本信息基本信息 14 2 22 2业务应用业务应用 15 2 32 3网络结构网络结构 15 2 42 4系统构成系统构成 16 2 4 1业务应用软件 16 2 4 2关键数据类别 17 2 4 3主机 存储设备 18 2 4 4网络互联与安全设备 19 2 4 5安全相关人员 21 2 4 6安全管理文档 21 2 52 5安全环境安全环境 22 3等级测评范围与方法等级测评范围与方法 23 3 13 1测评指标测评指标 23 3 1 1基本指标 23 3 1 2附加指标 27 3 23 2测评对象测评对象 27 3 2 1测评对象选择方法 27 3 2 2测评对象选择结果 28 3 3测评方法测评方法 29 3 3 1现场测评方法 29 3 3 2风险分析方法 30 蓝盾信息安全技术股份有限公司 4等级测评内容等级测评内容 30 4 14 1物理安全 三级 物理安全 三级 30 4 1 1结果记录 30 4 1 2问题分析 34 4 1 3单元测评结果 35 4 24 2网络安全网络安全 三级三级 35 4 2 1结果记录 35 4 2 2问题分析 40 4 2 3单元测评结果 40 4 34 3主机安全主机安全 41 4 3 1数据库服务器 A 41 4 3 2通讯服务器 A 44 4 3 3应用服务器 A 48 4 44 4应用安全应用安全 51 4 4 1报表统计子系统 51 4 4 2管理点后台通信子系统 54 4 4 3后台三层应用服务子系统 57 4 4 4结算中心后台通信子系统 60 4 4 5通信费拆分结算子系统 63 4 54 5数据安全及备份恢复数据安全及备份恢复 66 4 5 1报表统计子系统 66 4 5 2管理点后台通信子系统 67 4 5 3后台三层应用服务子系统 68 4 5 4结算中心后台通信子系统 69 4 5 5通信费拆分结算子系统 70 4 64 6安全管理制度安全管理制度 71 4 6 1结果记录 71 4 6 2问题分析 72 4 6 3单元测评结果 73 4 7安全管理机构安全管理机构 73 4 7 1结果记录 73 4 7 2问题分析 74 4 7 3单元测评结果 74 4 84 8人员安全管理人员安全管理 75 4 8 1结果记录 75 4 8 2问题分析 76 4 8 3单元测评结果 76 蓝盾信息安全技术股份有限公司 4 94 9系统建设管理系统建设管理 76 4 9 1结果记录 76 4 9 2问题分析 80 4 9 3单元测评结果 80 4 104 10系统运维管理系统运维管理 81 4 10 1结果记录 81 4 10 2问题分析 94 4 10 3单元测评结果 95 4 114 11工具测试工具测试 95 4 11 1扫描工具简介 95 4 11 2结果记录 97 5等级测评结果等级测评结果 109 5 15 1整体测评整体测评 109 5 1 1安全控制点间安全测评 109 5 1 2层面间安全测评 111 5 1 3区域间安全测评 111 5 1 4系统结构间安全测评 111 5 25 2测评结果测评结果 112 5 35 3统计图表统计图表 115 6风险分析和评价风险分析和评价 115 6 1安全事故可能性分析安全事故可能性分析 115 6 2安全事件后果分析安全事件后果分析 117 6 36 3风险分析和评价风险分析和评价 118 7系统安全建设 整改建议系统安全建设 整改建议 119 7 1物理安全物理安全 120 7 2网络安全网络安全 120 7 3主机安全主机安全 120 7 4应用安全应用安全 120 7 4 1报表统计子系统 120 7 4 2管理后台通信子系统 121 蓝盾信息安全技术股份有限公司 7 4 3后台三层应用服务子系统 121 7 4 4结算中心后台通信子系统 121 7 5数据安全及备份恢复数据安全及备份恢复 121 7 6安全管理制度安全管理制度 121 7 7安全管理机构安全管理机构 122 7 8人员安全管理人员安全管理 122 7 9系统建设管理系统建设管理 122 7 10系统运维管理系统运维管理 122 附 信息系统安全等级保护备案表附 信息系统安全等级保护备案表 123 蓝盾信息安全技术股份有限公司 第 10 页 共 126 页页 1 测评项目概述测评项目概述 1 11 1 测评目的测评目的 描述信息系统的重要性 通过描述信息系统的基本情况 包括运营使用单位的性质 承 载的主要业务和系统服务情况 进一步阐明其在国家安全 经济建设 社会生活中的重要程 度 受到破坏后对国家安全 社会秩序 公共利益以及公民 法人和其他组织的合法权益的 危害程度等 描述等级测评工作的基本情况 包括委托单位 测评单位 测评范围及预期 如 通过 等级测评找出与国家标准要求之间的差距 描述测评报告的用途 如 作为后续安全整改的依据 1 21 2 测评依据测评依据 开展测评活动所依据的合同 标准和文件 1 信息安全等级保护管理办法 公通字 2007 43 号 2 关于加强国家电子政务工程建设项目信息安全风险评估工作的通知 发改高技 2008 2071 号 1 3 GB T 22239 2008 信息安全技术 信息系统安全等级保护基本要求 4 GB T 20984 2007 信息安全技术 信息安全风险评估规范 5 信息安全技术 信息系统安全等级保护测评要求 国标报批稿 6 被测信息系统安全等级保护定级报告 7 等级测评任务书 测评合同等 1 31 3 测评过程测评过程 描述本次等级测评的工作流程 可参考 信息系统安全等级保护测评过程指南 具体 内容包括但不限于 一 测评工作流程图 1 针对 国家电子政务工程建设项目 有效 蓝盾信息安全技术股份有限公司 第 11 页 共 126 页页 图5 等级测评基本工作流程 等级测评项目启动 信息收集与分析 工具和表单准备 测 评 准 备 活 动 测评对象确定测评指标确定 测评工具接入点确定 测评方案编制 测评内容确定 测评实施手册开发 方 案 编 制 活 动 测评实施准备 现场测评和结果记录 结果确认和资料归还 单项测评结果判定 单项测评结果汇总分析 系统整体测评分析 综合测评结论形成 测评报告编制 现场 测评 活动 修 订分 析 与 报 告 编 制 活 动 沟 通 与 洽 谈 蓝盾信息安全技术股份有限公司 第 12 页 共 126 页页 二 各阶段完成的关键任务 1 测评准备阶段 测评准备阶段 成立项目组 测评启动会 项目计划制定 人员 工具 表格准备 相关数据 资料 收集与分析 测评方案制定 2 现场测评阶段 现场测评阶段 现场勘查 人员访谈 确定测评工具接入点 工具测试 扫描 渗透等 测评过程结果整理 3 测评分析阶段 测评分析阶段 单项测评结果判定 单项测评结果汇总分析 系统整体测评分析 最终测评结果形成 等级测评报告编写 等级测评整改方案编写 内部方案评审 三 工作的时间节点 序号阶段任务时间 工作日 1 测评启动会 0 5 2 项目计划制定 双方达成共识 0 5 3 测评方案制定 双方达成共识 4 4 测评准备阶段 人员 工具 表格准备 1 蓝盾信息安全技术股份有限公司 第 13 页 共 126 页页 5 数据 资料 收集 15 6 现场勘查 8 7 工具测试 扫描 渗透等 7 8 资料收集阶段 测评过程结果整理 7 9 对数据进行分析 5 10 分析阶段 对照对应的信息系统等级技术和管理要求进行测评 12 11 整理测评结果 形成报告 12 12 对报告进行评审 2 13 测评报告阶段 项目验收 1 总天数 75 1 41 4 报告分发范围报告分发范围 依据项目需求 本报告一式三份 一份提交广东联合电子收费股份有限公司 一份提交 受理备案的广东省公安网警 一份由蓝盾信息安全技术股份有限公司留存 蓝盾信息安全技术股份有限公司 第 14 页 共 126 页页 2 2被测系统情况被测系统情况 2 12 1 基本信息基本信息 01 系统名称系统名称联网收费 现金 结算系统02 系统编号系统编号 0001 业务类型 1 生产作业 2 指挥调度 3 管理控制 4 内部办公 5 公众服务 9 其他 03 系统系统 承载承载 业务业务 情况情况 业务描述为广东省联网高速公路路段业主提供通行费拆分结算服务 服务范围 10 全国 11 跨省 区 市 跨个 20 全省 区 市 21 跨地 市 区 跨个 30 地 市 区 内 99 其它 04 系统系统 服务服务 情况情况 服务对象 1 单位内部人员 2 社会公众人员 3 两者均包括 9 其他路段业主 覆盖范围 1 局域网 2 城域网 3 广域网 9 其他05 系统系统 网络网络 平台平台 网络性质 1 业务专网 2 互联网 9 其它 06 系统互联情况系统互联情况 1 与其他行业系统连接 2 与本行业其他单位系统连接 3 与本单位其他系统连接 9 其它 07关关键键产产品品使使用用情情 况况序 号 产品类型数量 0101 1 安全专用产品 202021 安全专用产品 2 网络产品 4003032 网络产品 3 操作系统 204043 操作系统 4 数据库 105054 数据库 5 服务器 2006065 服务器 07关关键键产产品品使使用用情情 况况 6 其他 007076 其他 服务责任方类型序 号 服务类型 本行业 单位 0808 1 等级测评 有 无 09091 等级测评 2 风险评估 有 无 10102 风险评估 3 灾难恢复 有 无 11113 灾难恢复 4 应急响应 有 无 12124 应急响应 5 系统集成 有 无 13135 系统集成 6 安全咨询 有 无 14146 安全咨询 7 安全培训 有 无 15157 安全培训 08系系统统采采用用服服务务情情 况况 8 其它 16168 09等等级级测测评评单单位位名名 称称无 10何何时时投投入入运运行行使使 用用2003 年 10 月 28 日 蓝盾信息安全技术股份有限公司 第 15 页 共 126 页页 11系系统统是是否否是是分分系系 统统 是 否 如选择是请填下两项 2 22 2 业务应用业务应用 广东省高速公路联网收费 现金 结算系统的核心业务信息是广东省联网高速公路原始通 行记录 各路段收费中心每日将原始通行记录经过各区域管理点集中上传到联网收费 现金 结 算中心 联网收费 现金 结算中心每日根据原始通行记录对通行费进行拆分结算 并向银行发 送划帐指令 联网收费 现金 结算中心同时将最新的运营管理数据经过区域管理点下发到各路 段收费中心 以保障结算系统的正常运营 2 32 3 网络结构网络结构 给出被测信息系统的拓扑结构示意图 并基于示意图说明被测信息系统的网络结构基本情 况 包括但不限于 一一一 功能 安全区域划分 隔离与防护情况 一一一 关键网络和主机设备的部署情况和功能简介 一一一 与其他信息系统的互联情况和边界设备 一一一 本地备份和灾备中心的情况 蓝盾信息安全技术股份有限公司 第 16 页 共 126 页页 2 42 4 系统系统构成构成 以列表的形式分类描述信息系统的软 硬件构成情况 2 4 12 4 1业务应用软件业务应用软件 以列表的形式给出被测信息系统中的业务应用软件 包括含中间件等应用平台软件 描述 项目包括软件名称 主要功能简介和重要程度 序号序号软件名称软件名称主要功能主要功能重要程度重要程度 1 通信费拆分结算子系统 后台控制进程负责启动 关闭以及定时调度后 台拆分 结算和报表统计分析程序 通行费拆分程序对上传的流水进行实时通行费 拆分帐 并进行拆分结果的车流量以及金额的 初步统计供报表统计分析程序使用 现金通行费结算程序对现金通行费进行结算工 作 后台费率计算程序根据系统中的区域 路段 收费站 标识站 路由节点 路段费率以及区 域费率类型的信息计算区域费率 重要 蓝盾信息安全技术股份有限公司 第 17 页 共 126 页页 序号序号软件名称软件名称主要功能主要功能重要程度重要程度 2 报表统计子系统 对原始流水记录 拆分后的流水记录进行统计 分析 得出前台报表系统所需要的小汇总数据 加快报表检索速度 重要 3 结算中心后台通信子系统 1 发送数据到省中心前置机 2 从省中心前置机接收文本文件 保存到区域 中心系统 3 发送数据到银行前置机 4 从银行前置机接收文本文件 保存到区域中 心系统 5 下发参数到管理点 6 保存流水数据到区域中心 7 保存管理点上传的参数到区域中心 8 前台调用后台程序 9 时钟同步服务 10 日志服务 重要 4 管理点后台通信子系统 1 发送参数数据到区域结算中心 2 保存参数数据到数据库 3 上传流水到区域结算中心 4 发送参数数据到路段 5 保存参数数据到数据库 6 把数据从路段中介库转移到管理点生产库 7 时钟同步 8 入口流水查询服务 9 图像查询服务 重要 5 后台三层应用服务子系统 1 执行前台查询 2 执行前台分页查询 3 调用拆分结算程序 4 执行前台数据库指令 5 监控客户端连接 重要 6 数据库 管理数据 重要 7 中间件 通信子系统部件 重要 2 4 22 4 2关键数据类别关键数据类别 序号序号数据类型数据类型所属业务应用所属业务应用主机主机 存储设备存储设备重要程度重要程度 1 通信流水现金收费全网的主机存储重要 蓝盾信息安全技术股份有限公司 第 18 页 共 126 页页 序号序号数据类型数据类型所属业务应用所属业务应用主机主机 存储设备存储设备重要程度重要程度 2 费率表现金收费全网的主机存储重要 2 4 32 4 3主机主机 存储设备存储设备 以列表形式给出被测信息系统中的主机设备 包含操作系统和数据库管理系统软件 描 述项目包括设备名称 操作系统 数据库管理系统以及承载的业务应用软件系统 操作系统操作系统 数据库管理系统数据库管理系统 序号序号设备名称设备名称 AIXAIXHACMPHACMPDB2DB2 业务应用软件业务应用软件 1 数据库服务器 A 6100 035 58 2 3 通信费拆分结算子系统 报 表统计子系统 2 数据库服务器 B 6100 035 58 2 3 通信费拆分结算子系统 报 表统计子系统 3 通信服务器 A 5200 084 5 结算中心后台通信子系统 TUXEDO8 1 4 通信服务器 B 5200 084 5 结算中心后台通信子系统 TUXEDO 8 1 5 应用服务器 A 5200 084 5 后台三层应用服务子系统 TUXEDO 8 1 6 应用服务器 B 5200 084 5 后台三层应用服务子系统 TUXEDO 8 1 7 粤东管理点 A 6100 035 58 2 8 后台三层应用服务子系统 管理点后台通信子系统 TUXEDO 9 1 8 粤东管理点 B 6100 035 58 2 8 后台三层应用服务子系统 管理点后台通信子系统 TUXEDO 9 1 9 深圳管理点 A 5200 084 58 2 8 后台三层应用服务子系统 管理点后台通信子系统 TUXEDO 8 1 10 深圳管理点 B 5200 084 58 2 8 后台三层应用服务子系统 管理点后台通信子系统 TUXEDO 8 1 11 广州管理点 A 5200 084 58 2 8 后台三层应用服务子系统 管理点后台通信子系统 TUXEDO 8 1 12 广州管理点 B 5200 084 58 2 8 后台三层应用服务子系统 管理点后台通信子系统 TUXEDO 8 1 蓝盾信息安全技术股份有限公司 第 19 页 共 126 页页 序号序号设备名称设备名称 操作系统操作系统 数据库管理系统数据库管理系统 业务应用软件业务应用软件 AIXAIXHACMPHACMPDB2DB2 13 粤西管理点 A 6100 035 58 2 8 后台三层应用服务子系统 管理点后台通信子系统 TUXEDO 9 1 14 粤西管理点 B 6100 035 58 2 8 后台三层应用服务子系统 管理点后台通信子系统 TUXEDO 9 1 15 粤北管理点 A 5200 084 58 2 8 后台三层应用服务子系统 管理点后台通信子系统 TUXEDO 8 1 16 粤北管理点 B 5200 084 58 2 8 后台三层应用服务子系统 管理点后台通信子系统 TUXEDO 8 1 17 珠三角管理点 A 5300 065 48 2 8 后台三层应用服务子系统 管理点后台通信子系统 TUXEDO 9 1 18 珠三角管理点 B 5300 065 48 2 8 后台三层应用服务子系统 管理点后台通信子系统 TUXEDO 9 1 2 4 42 4 4网络互联与安全设备网络互联与安全设备 以列表形式给出被测信息系统中的网络互联及安全设备 设备名称应确保在被测信息系统范围内的唯一性 建议采取类别 用途 功能 型号 编号 可选 的三段命名方式 序号序号设备名称设备名称用用 途途重要程度重要程度 1 中心路由器 A连接各管理点重要 2 中心路由器 B连接各管理点重要 3 中心防火墙 A安全防御重要 4 中心防火墙 B安全防御重要 5 中心交换机 A连接主机和业务终端重要 6 中心交换机 B连接主机和业务终端重要 7 拨号备份路由器通过 PSTN 连接各管理点重要 蓝盾信息安全技术股份有限公司 第 20 页 共 126 页页 序号序号设备名称设备名称用用 途途重要程度重要程度 8 银行拨号路由器连接各银行系统重要 9 粤东管理点路由器 A连接路段和中心重要 10 粤东管理点路由器 B连接路段和中心重要 11 粤东管理点交换机 A连接管理点主机和业务终端重要 12 粤东管理点交换机 B连接管理点主机和业务终端重要 13 粤东管理点拨号路由器通过 PSTN 连接中心重要 14 深圳管理点路由器 A连接路段和中心重要 15 深圳管理点路由器 B连接路段和中心重要 16 深圳管理点交换机 A连接管理点主机和业务终端重要 17 深圳管理点交换机 B连接管理点主机和业务终端重要 18 深圳管理点拨号路由器通过 PSTN 连接中心重要 19 广州管理点路由器 A连接路段和中心重要 20 广州管理点路由器 B连接路段和中心重要 21 广州管理点交换机 A连接管理点主机和业务终端重要 22 广州管理点交换机 B连接管理点主机和业务终端重要 23 广州管理点拨号路由器通过 PSTN 连接中心重要 24 粤西管理点路由器 A连接路段和中心重要 25 粤西管理点路由器 B连接路段和中心重要 26 粤西管理点交换机 A连接管理点主机和业务终端重要 27 粤西管理点交换机 B连接管理点主机和业务终端重要 28 粤西管理点拨号路由器通过 PSTN 连接中心重要 29 粤北管理点路由器 A连接路段和中心重要 30 粤北管理点路由器 B连接路段和中心重要 31 粤北管理点交换机 A连接管理点主机和业务终端重要 蓝盾信息安全技术股份有限公司 第 21 页 共 126 页页 序号序号设备名称设备名称用用 途途重要程度重要程度 32 粤北管理点交换机 B连接管理点主机和业务终端重要 33 粤北管理点拨号路由器通过 PSTN 连接中心重要 34 珠三角管理点路由器 A连接路段和中心重要 35 珠三角管理点路由器 B连接路段和中心重要 36 珠三角管理点交换机 A连接管理点主机和业务终端重要 37 珠三角管理点交换机 B连接管理点主机和业务终端重要 38 珠三角管理点拨号路由器通过 PSTN 连接中心重要 2 4 52 4 5安全相关人员安全相关人员 以列表形式给出与被测信息系统安全相关的人员 描述项目包括姓名 岗位 角色和联系 方式 人员包括但不限于安全主管 系统建设负责人 系统运维负责人 网络 安全 管理 员 主机 安全 管理员 数据库 安全 管理员 应用 安全 管理员 机房管理人员 资产管理员 业务操作员 安全审计人员等 序号序号姓名姓名岗位岗位 角色角色联系方式联系方式 1 黎剑威网络管理员 数据库管理员2 郑泽波现金应用软件运维负责人 84212955 3 张敏现金应用软件开发负责人 84207130 4 刘宇明现金系统应用软件开发2 4 62 4 6安全管理文档安全管理文档 与信息系统安全相关的文档 包括 一 管理类文档 如机构总体安全方针和政策方面的管理制度 人员安全教育和培训 方面的管理制度 第三方人员访问控制方面的管理制度 机房安全管理方面的管 理制度等 二 记录类文档 如设备运行维护记录 会议记录等 三 其他类文档 如专家评审意见等 蓝盾信息安全技术股份有限公司 第 22 页 共 126 页页 序号序号文档名称文档名称主要内容主要内容 1 联网收费结算系统异常应急处 理规程 联网收费结算系统应急处理 2 联网收费结算系统区域收费中 心主机存储系统维护手册 主机存储系统维护管理 3 联网收费结算系统区域收费中 心网络系统维护手册 区域收费中心网络系统维护管理 4 联网收费结算系统区域收费中 心数据库系统维护手册 区域收费中心数据库系统维护管理 5 粤通卡结算系统维护手册 粤通卡结算系统维护管理 6 联网收费结算系统维护岗位职 责 联网收费结算系统维护岗位职责 7 区域结算系统设备管理制度 区域结算系统设备管理 8 区域结算系统权限管理制度 区域结算系统权限管理 9 区域结算系统安全与权限管理 制度 区域结算系统安全与权限管理 10 粤通卡结算系统系统安全管理 办法 粤通卡结算系统系统安全管理 11 区域结算系统系统巡检指引 区域结算系统系统巡检指引 12 区域结算系统厂家售后服务指 引 区域结算系统厂家售后服务指引 13 联网收费结算中心机房管理制 度 联网收费结算中心机房管理 2 52 5 安全环境安全环境 描述被测信息系统的运行环境中与安全相关的部分 如数据中心位于运营服务商机房中 网络存在互联网连接 网络中部署无线接入点以及支持远程拨号访问用户等 以列表形式给出被测信息系统的威胁列表 并基于历史统计或者行业判断进行威胁赋值 具体内容可参考 风险评估规范 序号威胁分 子 类描述威胁赋值 1 管理制度和策略不完善 管理规程缺失 职责不明确 监督控管机制不健全等 安全管理无法落实或不到 位 从而破坏信息系统正 低 蓝盾信息安全技术股份有限公司 第 23 页 共 126 页页 序号威胁分 子 类描述威胁赋值 常有序运行 2 病毒 特洛伊木马 蠕虫 陷门 间谍 软件 窃听软件等 故意在计算机系统上执行 恶意任务的程序代码 很高 3 非授权访间网络资源 非授权访问系统 资源 滥用权限非正常修改系统配置或 数据 滥用权限泄露秘密信息等 通过采用一些措施 超越 自己的权限访问了本来无 权访问的资源 或者滥用 自已的权限 做出破坏信 息系统的行为 中等 4 网络探测和信息采集 漏洞探测 嗅探 帐号 口令 权限等 用户身份伪造 和欺骗 用户或业务数据的窃取和破坏 系统运行的控制和破坏等 利用工具和技术通过网络 对信息系统进行攻击和人 侵 高 5 内部信息泄露 外部信息泄露等 信息泄露给不应了解的他 人 高 6 篡改网络配置信息 篡改系统配置信息 篡改安全配置信息 篡改用户身份信息 或业务数据信息等 非法修改信息 破坏信息 的完整性使系统的安全性 降低或信息不可用 很高 3 3等级测评等级测评范围与方法范围与方法 3 13 1 测评指标测评指标 测评指标包括基本指标和附加指标两部分 以列表的形式给出 依据定级结果选择 基本要求 中对应级别的安全要求作为等级测评的基本指标 3 1 13 1 1基本指标基本指标 基本指标 物理和网络子类 的例子如下所示 蓝盾信息安全技术股份有限公司 第 24 页 共 126 页页 安全分类安全分类安全子类安全子类测评项数测评项数基本要求基本要求 物理位置的选择 2 测评物理机房所在的外部环境安全性 物理访问控制 4 测评进出机房的审批控制手段以及机房出入 口的安全控制情况 防盗窃和防破坏 6 测评机房内设备和通信线缆的安全性以及监 控报警系统建设情况 防雷击 3 测评建筑防雷和防感应雷的建设情况 防火 3 测评自动监控防火系统设置情况以及机房材 料防火情况 防水和防潮 4 测评机房内水管设置情况 防止结露所采取 的措施以及监控报警系统建设情况 防静电 2 测评机房防静电所采取的措施 温湿度控制 1 测评机房温湿度控制措施 电力供应 4 测评电力线路 备用电源以及发电机的配备 情况 物理安全 电磁防护 3 测评线缆电磁防护手段和设备电磁防护手段 结构安全与网段划分 7 主要核查 主要网络设备的处理能力 业务 高峰期需求带宽 路由控制 网络拓扑结构 图是否一致 子网划分 技术隔离手段和带 宽分配策略 网络访问控制 8 主要核查 访问控制功能 协议深层检测 网络连接超时 流量限制和并发连接数限制 等等 网络安全审计 4 主要核查 网络设备日志收集 分析和统计 以及保护等等 边界完整性检测 2 主要核查 是否能够对非授权设备私自联到 内部网络的行为进行检查并准确定位和阻断 是否能够对内部网络用户私自联到外部网络 的行为进行检查并准确定位和阻断 网络安全 网络入侵防范 2 主要核查 部署 IDS 系统以及使用情况 蓝盾信息安全技术股份有限公司 第 25 页 共 126 页页 安全分类安全分类安全子类安全子类测评项数测评项数基本要求基本要求 恶意代码防范 2 主要核查 恶意代码的防范情况 网络设备防护 8 主要核查 用户身份鉴别 管理员登录地址 限制 用户标识唯一性 组合鉴别技术 口 令策略 登录策略 远程管理和权限分离 身份鉴别 5 主要核查 用户身份鉴别 登录失败处理机 制 口令策略 远程管理和权限分离 访问控制 4 主要核查 是否存在共享文件 默认系统的 权限 安全审计 4 主要核查 网络设备日志收集 分析和统计 以及保护等等 入侵防范 1 主要核查 部署 IDS 系统以及使用情况 恶意代码防范 2 主要核查 是否装防恶意代码软件 并及时 更新防恶意代码软件版本和恶意代码库 主机安全 资源控制 3 主要核查 系统资源的大小限度 安全策略 终端接入方式 身份鉴别 4 主要核查 用户身份鉴别 登录失败处理机 制 口令策略 远程管理和权限分离 访问控制 4 主要核查 访问控制功能 协议深层检测 网络连接超时 并发连接数限制等等 安全审计 3 主要核查 网络设备日志收集 分析和统计 以及保护等等 通信完整性 1 主要核查 是否采用校验码技术保证通信过 程中数据的完整性 通信保密性 2 主要核查 是否设置密码安全策略 软件容错 2 主要核查 是否设置系统安全策略 应用安全 资源控制 3 主要核查 是否能够对应用系统的最大并发 会话连接数进行限制 数据完整性 1 主要核查 是否能够检测到鉴别信息和重要 业务数据在传输过程中完整性受到破坏 数据保密性 1 主要鉴别信息进行密码加密存储 数据安全 数据备份和恢复 2 主要核查 数据备份的安全策略 蓝盾信息安全技术股份有限公司 第 26 页 共 126 页页 安全分类安全分类安全子类安全子类测评项数测评项数基本要求基本要求 岗位设置 2 主要核查 是否规定信息安全管理各个岗位 的管理制度 人员配备 2 主要核查 是否对系统管理员 网络管理员 安全管理员等管理责任做出规范 授权和审批 2 主要核查 是否建立专门审批部门并对其进 行规范化 沟通和合作 2 主要核查 加强与兄弟单位 公安机关 电 信公司的合作与沟通 安全管理机构 审核和检查 1 主要核查 是否对系统定期做安全检查 管理制度 3 主要核查 是否对信息安全管理作出相对应 的规范 制定和发布 3 主要核查 对发布形式和管理作出的规范 安全管理制度 评审和修订 1 主要核查 是否定期对安全管理制度进行评 审 对存在不足或需要改进的安全管理制度 进行修订 人员录用 3 主要核查 是否对人员的录用做出相应的规 范制度 人员离岗 3 主要核查 是否对人员离岗做出相应的安全管 理制度 人员考核 1 主要核查 是否对人员的考核设置相应机构 并制定规范 安全意识教育和培训 3 主要核查 是否对安全意识进行培训和制定 相对赏罚制度 人员安全管理 第三方人员访问管理 1 主要核查 是否对外部访问人员进行权限限 制和访问记录制度 系统定级 3 主要核查 是否对系统定级做出相关制度 安全方案设计 4 主要核查 是否对安全方案做出相应的安全 措施 策略和详细方案计划 产品采购 3 主要核查 是否设立专门采购部门并制定规 范 系统建设管理 自行软件开发 3 主要核查 是否制定软件开发管制度 明确 蓝盾信息安全技术股份有限公司 第 27 页 共 126 页页 安全分类安全分类安全子类安全子类测评项数测评项数基本要求基本要求 说明开发过程的控制方法和人员行为准 外包软件开发 4 主要核查 是否对外包系统进行安全检测 工程实施 2 主要核查 是否指定或授权专门的部门或人 员负责工程实施过程的管理 并制定规范 测试验收 3 是否对验收项目进行检测 形成报告 通过 专门验收部门审核通过 系统交付 3 主要核查 是否制定系统交付清单 并根据 交付清单对所交接的设备 软件和文档等进 行清点 安全服务商选择 3 是否确保选定的安全服务商提供技术支持和 服务承诺 必要的与其签订服务合同 环境管理 4 主要核查 是否对机房的物理环境进行安全 规范 资产管理 2 主要核查 是否建立资产安全管理制度 介质管理 4 主要核查 是否对介质管理制定安全制度 设备管理 4 主要核查 是否对设备管理制定安全制度 网络安全管理 6 主要核查 是否建立网络安全管理制度 系统安全管理 6 主要核查 是否建立系统安全管理制度 恶意代码防范管理 3 主要核查 是否建立恶意代码防范管理制度 密码管理 1 主要核查 是否建立密码管理安全策略 变更管理 2 主要核查 是否制定变更管理规范 备份与恢复管理 3 主要核查 是否规定备份信息的备份方式 备份频度 存储介质 保存期等 安全事件处理 4 主要核查 是否建立安全事件处理制度 系统运维管理 应急预案管理 2 主要核查 是否建立应急预案管理机制 3 1 23 1 2附加指标附加指标 无 蓝盾信息安全技术股份有限公司 第 28 页 共 126 页页 3 23 2 测评对象测评对象 3 2 13 2 1测评对象选择方法测评对象选择方法 描述本次等级测评中采用的测评对象选择方法和具体规则 通常采用抽查的方法 兼顾 类别与数量 测评对象包括网络互联与安全设备操作系统 业务应用软件 主机操作系统 存储设备 操作系统 数据库管理系统 安全相关人员 机房 介质以及管理文档 选择过程中应综合 考虑信息系统的安全保护等级 业务应用特点和对象所在具体设备的重要情况等要素 并兼 顾工作投入与结果产出两者的平衡关系 其中 主机设备的重要程度由其承载的业务应用和 业务数据的重要程度决定 机房 介质 2和管理文档不需要抽样 具体方法和规则可参考 信息系统安全等级保护测评过程指南 3 2 23 2 2测评对象选择结果测评对象选择结果 1 网络互联设备网络互联设备 序号序号操作系统名称操作系统名称设备名称设备名称 1 FreeBSD 6 3 中心交换机 A 2 FreeBSD 6 3 中心交换机 B 2 安全设备安全设备 序号序号操作系统名称操作系统名称设备名称设备名称 1 Cisco IOS 中心防火墙 A 2 Cisco IOS 中心防火墙 B 3 业务应用软件业务应用软件 序号序号软件名称软件名称操作系统操作系统 数据库管理系统数据库管理系统 1 通信费拆分结算子系统 AIX 5200 08 8 2 3 2 报表统计子系统 AIX 5200 08 8 2 3 3 结算中心后台通信子系统 AIX 5200 08 8 2 3 蓝盾信息安全技术股份有限公司 第 29 页 共 126 页页 序号序号软件名称软件名称操作系统操作系统 数据库管理系统数据库管理系统 4 管理点后台通信子系统 AIX 5200 08 8 2 3 5 后台三层应用服务子系统 AIX 5200 08 8 2 3 4 主机 存储 设备主机 存储 设备 序号序号设备名称设备名称操作系统操作系统 数据库管理系统数据库管理系统 1 数据库服务器 AAIX 6100 03 8 2 3 2 数据库服务器 BAIX 6100 03 8 2 3 3 通信服务器 AAIX 5200 08 4 通信服务器 BAIX 5200 08 5 应用服务器 AAIX 5200 08 6 应用服务器 BAIX 5200 08 5 访谈人员访谈人员 序号序号姓名姓名岗位岗位 角色角色联系方式联系方式 1 黎剑威网络管理员 数据库管理员2 郑泽波现金应用软件运维负责人 84212955 3 张敏现金应用软件开发负责人 84207130 4 刘宇明现金系统应用软件开发6 安全管理文档安全管理文档 序号序号文档名称文档名称主要内容主要内容 1 联网收费结算系统异常应急处理规 程 应急处理 2 联网收费结算系统维护岗位职责岗位管理 3 区域结算系统设备管理制度日常管理 4 区域结算系统权限管理制度日常管理 5 粤通卡结算系统安全与权限管理制 度 日常管理 蓝盾信息安全技术股份有限公司 第 30 页 共 126 页页 序号序号文档名称文档名称主要内容主要内容 6 区域结算系统系统安全管理规定 日常管理 7 联网收费结算中心机房管理制度 机房管理 3 3测评测评方法方法 3 3 13 3 1现场测评方法现场测评方法 描述本次等级测评工作中采用的测评方法 现场测评方法主要包括访谈 检查和测试等三类 可细分为人员访谈 文档审查 配置 核查 现场观测和工具测试等 如果采用工具测试 应给出工具接入示意图 并对测评工具 的接入点和预期的测试路径进行描述 3 3 23 3 2风险分析方法风险分析方法 本项目依据安全事件可能性和安全事件后果对信息系统面临的风险进行分析 分析过程 包括 1 判断信息系统安全保护能力缺失 等级测评结果中的部分符合项和不符合项 被威胁 利用导致安全事件发生的可能性 可能性的取值范围为高 中和低 2 判断安全事件对信息系统业务信息安全和系统服务安全造成的影响程度 影响程度取 值范围为高 中和低 3 综合 1 和 2 的结果对信息系统面临的风险进行汇总和分等级 风险等级的取值范 围为高 中和低 4 结合信息系统的安全保护等级对风险分析结果进行评价 即对国家安全 社会秩序 公共利益以及公民 法人和其他组织的合法权益造成的风险 4 4等级测评内容等级测评内容 单元测评的内容及结果记录如下所示 蓝盾信息安全技术股份有限公司 第 31 页 共 126 页页 4 14 1 物理安全 三级 物理安全 三级 4 1 14 1 1结果记录结果记录 类 别 测评内容结果记录 符合 情况 a 机房和办公场地应选择在具 有防震 防风和防雨等能力的 建筑内 机房处于 368 大楼 5 层 具备防震 防风 和防雨等能力 防震大于 8 级 可抗 12 级 台风 符合 物 理 位 置 的 选 择 b 机房场地应避免设在建筑物 的高层或地下室 以及用水设 备的下层或隔壁 机房处于 5 层 UPS 在 2 楼 1 楼有排 洪设备 有防洪渗水预警 有效防止水渗 入 没有用水设备通过 符合 a 机房出入口应安排专人值守 控制 鉴别和记录进入的人员 办公大楼配有保安 门禁系统控制 共三 道门禁 进入机房需有登记 并由公司专 人全程陪同 符合 b 需进入机房的来访人员应经 过申请和审批流程 并限制和 监控其活动范围 不用申请和审批流程 来访人员登记后专 人陪同 有摄像头监控 符合 c 应对机房划分区域进行管理 区域和区域之间设置物理隔离 装置 在重要区域前设置交付 或安装等过渡区域 现金和非现金区域隔离 门禁系统控制 空调和网络系统物理隔离 有火灾预警系 统 符合 物 理 访 问 控 制 d 重要区域应配置电子门禁系 统 控制 鉴别和记录进入的 人员 配置有电子门禁系统 机房内部有视频监 控 可以有效控制 鉴别机房出入的人员 符合 a 应将主要设备放置在机房内主要设备全部放置在机房内部符合 防 盗 窃 和 防 破 坏 b 应对设备或主要部件进行固 定 并设置明显的不易除去的 标记 机房内部设备贴有资产标签 应用系统标 签缺失 标签未做不易除去处理 内部已 做好资产登记 基本 符合 蓝盾信息安全技术股份有限公司 第 32 页 共 126 页页 c 应将通信线缆铺设在隐蔽处 可铺设在地下或管道中 机房通信线缆均铺设在地下管道中符合 d 应对介质分类标识 存储在 介质库或档案室中 每周执行一次数据全备 将存储介质 磁 带 每周定期存放至异地 岑村 符合 e 应利用光 电等技术设置机 房防盗报警系统 视频监控系统 门禁系统 强行闯入有报 警 符合 f 应对机房设置监控报警系统 有中央空调监控报警系统 主要针对温湿 度监控 有集中监控系统对市电 柴油发 电机 UPS 空调 漏水 消防 门禁进行 监测 符合 a 机房建筑应设置避雷装置 大楼有避雷装置 中心机房防雷接地等级 为 1 级 符合 b 应设置防雷保安器 防止感 应雷 电源线和避雷装置 但信号线 通信电缆 没有避雷装置 不符 合 防 雷 击 c 机房应设置交流电源地线机房设有交流电源地线符合 防 火 a 机房应设置灭火设备和火灾 自动报警系统 设置了灭火设备和火灾自动报警系统符合 蓝盾信息安全技术股份有限公司 第 33 页 共 126 页页 b 机房及相关的工作房间和辅 助房应采用具有耐火等级的建 筑材料 机房及相关工作房采用防火防静电建筑材 料 符合 c 机房应采取区域隔离防火措 施 将重要设备与其他设备隔 离开 采用防火玻璃 墙壁进行区域隔离符合 a 水管安装 不得穿过屋顶和 活动地板下 没有水管通过 地板下面有防漏水检测装 置 符合 b 应采取措施防止雨水通过机 房窗户 屋顶和墙壁渗透 机房没有窗户 屋顶和墙壁防火 防水符合 c 应采取措施防止室内水蒸气 结露和地下积水的转移与渗透 精密空调有湿湿度感应器并有自动除湿功 能 符合 防 水 和