信息系统管理评估报告

1、密 级： 内部 文档编号：2007002-008 项目编号：2007002 xxxx 市地税局信息系统市地税局信息系统 信息安全管理评估报告信息安全管理评估报告 xx市地税局信息系统信息安全管理评估报告 第 1 页 共 27 页 目目 录录 1概述概述.3 2评评估内容与方法估内容与方法.4 2.1评估范围和内容 .4 2.2评估方法 .5 2.3技术先进性.5 3评评估估过过程程 .5 3.1分析过程 .5 3.1.1文档分析准备.5 3.1.2文档搜集、接收、鉴别、整理.6 3.1.3策略文档分析与答疑.6 3.1.4文档体系的分析.7 3.2主要参与者.7 3.3工作持续时间.7 3.4

2、工作结束准则.8 4管理弱点管理弱点评评估估.8 4.1物理安全管理.8 4.2政策和制度.10 4.3机构与人员.12 4.4安全风险管理.14 4.5工程建设与管理 .16 xx市地税局信息系统信息安全管理评估报告 第 2 页 共 27 页 4.6运行与维护管理 .18 4.7业务连续性管理 .21 4.8法律符合性.23 5管理管理评评估估综综述述.24 5.1主要问题描述.24 5.2改进建议 .25 xx市地税局信息系统信息安全管理评估报告 第 3 页 共 27 页 1 概述概述 根据xx 省人民政府信息化工作办公室关于印发的通知文件精神，xx 省信息安全测评中心承担了 xx 市地税

3、局 “征管信息系统”的风险评估工作。我中心以建立符合我省情况的风险评估方法、 积累风险评估工作经验、培养队伍、协助 xx 市地税局更深入地了解其信息系统 安全现状为目标，通过文档分析、现场访谈、问卷调查、技术评估等方法，对 xx 市地税局“征管信息系统”进行了全面的信息安全风险评估。 信息系统安全管理评估是对 xx 市地税局目前已有的信息安全相关策略参 照业界成熟安全管理标准和电子政务等级保护管理要求，全面评估物理安全、安 全策略和安全制度、安全管理组织和人员安全、安全风险管理、工程建设信息安 全管理、系统运行与维护、业务连续性规划、符合性各方面的管理现状，通过分 析找出 xx 市地税局在信息

4、安全管理方面的缺失，并给出 xx 市地税局信息安全 管理改进建议，通过对个别重要文档进行分析和评价，形成本报告。 在本报告中，对 xx 市地税局提供的所有与计算机管理和计算机网络安全相 关的策略、规章制度、工作流程、培训教材等资料进行分析。分析特别注重对策 略的全面性（包括内容和体系）、技术和理论的先进性，从而找出 xx 市地税局在 信息安全管理制度和策略方面的薄弱点。 报告最后给出了策略改进建议，使 xx 市地税局对当前信息系统安全管理状 况有了一个清晰的认识，以便能够更好的制定安全管理制度和策略，使 xx 市地 税局信息系统的管理更加科学、高效，为 xx 市地税局的安全管理体系建设和安 全

5、策略完善起到指导作用。 本报告所依据的标准： xx市地税局信息系统信息安全管理评估报告 第 4 页 共 27 页 gb-t 19715-2005 信息技术安全管理指南 gb-t 19716-2005 信息安全管理实用规则 gb-t 20269-2006 信息系统安全管理要求 gb-t 20282-2006 信息系统安全工程管理要求 2 评估内容与方法评估内容与方法 安全管理是由相应组织的各类安全策略来体现的。安全管理策略是指导 xx 地税局信息系统维护管理工作的基本依据。 安全管理评估是对现有安全策略以及即将使用的安全策略文档进行全面调 研，总结并发现安全策略文档的弱点，分别从文档内容、策略文

6、档体系、文档适 用范围、文档发布和执行情况、文档格式与控制等几个方面进行评估。 2.1评估范围和内容评估范围和内容 本次安全管理体系评估侧重于管理架构的合理和安全策略的完善，评估范 围包括以下 8 个方面： 1 物理安全 2 政策和制度 3 机构和人员 4 安全风险管理 5 工程建设与管理 6 运行维护与管理 7 业务连续性管理 8 其他管理要求 安全策略文档的分析对象包括所有正在使用或即将使用的安全策略文档， xx市地税局信息系统信息安全管理评估报告 第 5 页 共 27 页 包括安全方针（纲要）、技术标准（规范）、管理制度、操作流程、用户协议、安全培 训资料等涉及安全的策略文档。 2.2评

7、估方法评估方法 管理评估分为文档检查和访谈两种方式。安全策略文档的选择原则以全面 为主，主要可以分为以下三个方面： 1 以 xx 地税局现有的执行的策略为主 2 内容涉及安全管理 3 现行和即将发行的所有策略文档 安全策略文档的分析方法是采用收集所有策略文档，并根据相关标准 （iso17799）对现有安全策略文档进行鉴别处理，然后通过访谈的形式确认现有 安全策略的完整性和可用性，依据分析标准对安全策略文档进行分析，得到现有 安全策略现状和存在的问题。 2.3技术先进性技术先进性 1 有专业的评估工具，标准的调查表格 2 有规范的评估方法和流程 3 有经验丰富，对安全管理有深入了解的专家队伍对各

8、方面安全管理策略 进行分析 4 有十分深厚的风险评估实施经验，科学的报告编制方法。 3 评估过程评估过程 3.1分析过程分析过程 3.1.1 文档分析准文档分析准备备 在开始文档分析之前，需要做出一些相应的准备工作： xx市地税局信息系统信息安全管理评估报告 第 6 页 共 27 页 通过与地税局的沟通，获得相关策略文档数量的估计； 要求地税局开始搜集相关的策略文档； 根据文档的估计量，确定参加分析的文档数量。 3.1.2 文档搜集、接收、文档搜集、接收、鉴别鉴别、整理、整理 本部分工作将描绘整个策略文档的粗略框架。 搜集搜集地税局将负责策略文档的搜集。搜集的范围包括信息安全管理 相关的规定、

9、流程、指南、通知、条例、处理办法等任何正式成文的内容。 这些文档可以是已经正式发布的，也可以是正在编制和修改的，包括 xx 地税局下发的和编写的。 接收接收对于收集到的所有策略文档，地税局提交给分析小组。作为资 料接收的原始记录，需要对每个接收文档进行登记，并形成文档原始接 收记录。 鉴别鉴别负责分析的顾问对于搜集到的每一个策略文档进行快速的浏 览，迅速判断该文档的主要内容和文档类型，并决定该文档是否应当进 行详细阅读和分析。 整理整理对经过鉴别的文档进行编号和整理成策略文档分析清单。通过 对所有接收的文档进行整理，会发现有某些方面的文档有缺失，此时可 以与地税局进行沟通，提醒并帮助地税局挖掘

10、和搜集其他可能存在的策 略文档。 3.1.3 策略文档分析与答疑策略文档分析与答疑 负责分析的顾问对策略文档进行泛读，粗略浏览文档的内容和体系结构，把 发现的问题记录下来。所有的需要分析的文档粗略阅读完成后，安排与 xx 市地 税局信息中心策略负责人的访谈答疑，进一步理解安全策略的体系和内容。 xx市地税局信息系统信息安全管理评估报告 第 7 页 共 27 页 3.1.4 文档体系的分析文档体系的分析 在经过了对每个现有文档的分析，总结得出整个策略文档体系的概貌和意 见。 文档体系的分析包括从整体的角度来分析文档内容和文档体系的完整性， 对于现有策略文档体系的结构完整性、详尽程度等方面提出建议

11、、意见，最终形 成一个结论，并给出文档体系的改进建议，输出报告。 3.2主要参与者主要参与者 下表列出了在这一过程要素中的主要参与者和他们在管理评估中的角色。 角角 色色人人员员列表列表 评估人员梁立新、梁志、赵白、朱宁宁 地税配合人员xxx、xxx 3.3工作持续时间工作持续时间 工作项内容工作量持续时间 文档调研（准备、搜集、 接收、鉴别与整理） 文档调查表224 个文档1 天 物理安全 18 项 政策和制度 4 项 机构与人员9 项 安全风险管理10 项 工程建设与管理6 项 运行与维护管理21 项 安全管理 文档分析与访谈 业务连续性管理17 项 2.5 天 xx市地税局信息系统信息安

12、全管理评估报告 第 8 页 共 27 页 其他管理要求 4 项 高管访谈安全管理综合访谈21 项0.5 天 3.4工作结束准则工作结束准则 完成文档搜集、接收、鉴别、整理；分析文档完成管理调研调查表的填写，和 高管的访谈，得出翔实的安全管理评估报告，并通过 xx 地税局的验收。 4 管理弱点评估管理弱点评估 4.1物理安全管理物理安全管理 物理安全管理是信息安全保障的基础，是信息系统的支撑，xx 市地税局物 理安全相关的主要管理制度和安全策略为：xx 地税市局机房维护制度（2004）。 物理安全管理的评估方法是用户访谈和机房检查。 在本项目中对物理安全管理的评估包括以下 4 个层面共 18 个

13、问题： 安全 方面 安全 项 问题 是否说明 1、评估者应查验机房是否设 有值班室，人员出入主机房和 工作间时是否更衣换鞋，至少 应该换鞋； 机房 出入2、评估者应查验出入机房的 所有人员是否在值班室详细登 记，携带设备是否同时标记清 楚。 机房 防火 3、评估者应访谈和查验机房 是否设有灭火设备，工作人员 是否熟悉灭火流程 机房 安全 机房 供配 电 4、评估者应查验机房内其它 电力负荷是否与计算机主机电 源和不间断电源系统分开供电， 并设置专用动力配电箱 xx市地税局信息系统信息安全管理评估报告 第 9 页 共 27 页 5、评估者应访谈和查验在机 房电源接入处是否设置总开关 或紧急断路器

14、，以备出现紧急 故障时能够及时切断电源，总 开关是否做标记并用防护罩保 护以防意外断电。 机房 空调 降温 6、评估者应查验温度监测控 制点在机房内是否分布均匀有 效，机房温度是否满足设备正 常运行 7、评估者应查验机房内或周 围的用水设备，是否采取有效 的防止给排水漫溢和渗漏的措 施； 8、评估者应查验湿度监测控 制点在机房内是否分布均匀有 效，机房的湿度是否满足设备 正常运行； 机房 防水 防潮 9、评估者应查验是否采取措 施防止雨水通过屋顶和墙壁渗 透以及室内水蒸气结露等现象 的发生。 10、评估者应查验机房内是否 采用了防静电的活动地板； 机房 防静 电 11、评估者应查验设备是否有

15、良好的接地措施。 机房 接地 与防 雷击 12、评估者应访谈和查验机房 接地是否按现行国家有关标准 执行； 机房 电磁 防护 13、评估者应访谈和查验机房 选址是否避开强电磁场干扰 14、评估者应访谈和查验电源 线是否远离计算机信号线,并 避免了并排敷设，当不能避 免时，是否采取相应的屏蔽 措施 通线 路安 全 15、评估者应访谈和查验布线 是否都具有清晰明显的标识 设备 安全 16、评估者应查验是否安装了 必要的防盗保护设施，以防止 对机房内重要设备的盗窃和破 坏行为 xx市地税局信息系统信息安全管理评估报告 第 10 页 共 27 页 17、评估者应查验存放重要数 据和软件的各类记录介质（

16、如 纸介质、磁介质、半导体介质 和光介质等）是否存放在加锁 的柜中，防止介质被盗、被毁 以及信息的非法泄漏 介质 安全 18、评估者应查验介质的归档 和查询是否有记录，并对存档 介质的目录清单至少一年盘点 一次 由上表可见：物理安全，尤其是机房的安全保障 xx 市地税局信息中心做的 相对完善，机房是根据国家有关机房的建设标准建立的，各种保护措施都比较规 范。 物理安全管理方面主要存在以下问题： 1 机房出入方面，对机房出入的登记做得不够好，没有严格的登记出入携 带设备、对出入人员的身份，出入原因登记也不够详细。建议严格执行机 房的安全管理制度，制定更规范的机房出入登记表格，规范出入登记； 2

17、介质安全方面，没有对介质进行合理分类归档，也没有对介质的查询做 记录。缺乏必要的制度规范介质管理和使用，过于依赖人员，这和整体的 资产管理制度不健全相关。目前介质的管理方式容易引起数据完整性的 损坏或者版权方面的问题。应完善介质管理制度，做到有章可循。 4.2政策和制度政策和制度 安全政策和制度是为信息安全活动提供管理方向以及所需的支持手段和管 理层的承诺，同时安全策略还应明确定义组织中安全策略的维护责任。典型的安 全策略包含内容非常广泛，包括信息安全的定义和目的，以及在信息共享运转机 制中安全防范的领域和重要性；管理意图的阐述，信息安全目标和原则的支持； 安全策略、原则和标准的简要说明以及对

18、于机构有其重要的规范实施条件的解 xx市地税局信息系统信息安全管理评估报告 第 11 页 共 27 页 释；阐述信息安全的职责等等。 信息安全政策和制度的评估主要通过与 xx 市地税局相关岗位人员访谈和 制度收集分析的方法。 访谈主要对象包括 xx 市地税局信息安全主管领导，信息中心领导和主管人 员等人。 xx 市地税局的信息安全政策和制度以文件为主，辅助于各处自身的制度、 手册、指南等。在本次评估过程中主要收集和分析了以下文件： 1 xx 地税计算机系统管理制度 2 xx 市地方税务局网络安全管理制度 3 xx 市地方税务局网络运行维护管理制度 4 系统数据库口令管理 5 2007 年信息化

19、工作要点（定稿) 6 xx 市基层单位兼职信息化管理人员职责(新） 7 信息化星级管理办法 2007 8 xx 地税市局征管数据库备份系统维护管理办法 9 xx 地税市局征管数据库备份系统维护手册 10 xx 地税数据复制系统使用维护手册 11 xx 地税数据复制系统维护管理办法（试行） 12 xx 地税市局机房维护制度 13 xx 市地方税务局计算机使用维护管理制度 主要的访谈内容包括 2 个层面 4 个问题： 安全 方面 安全 项 问题 是否说明 信息方针评估者查验文档资料，验证是否制定了总体 xx市地税局信息系统信息安全管理评估报告 第 12 页 共 27 页 方针和政策；安全 方针 与

20、政 策 与政 策的 制定 评估者查验是否有单位主管领导的签字或盖 章等方式的批准。 评估者查验文档资料，验证是否制定了安全 管理需要的规程和制度； 安全 管理 策略 与制 度 常用 的信 息安 全策 略和 制度 的制 定 评估者查验内容是否覆盖机房、网络、系统、 数据、防病毒管理等方面。 在评估过程中，查验 xx 市地税局有总体方针政策，总体方针以上级发放的 方针政策为主。根据自身工作职责和特点制定了部分与安全有关的制度及流程， 但制度之间缺乏相关性，制度本身也缺乏审核的更新的机制。 针对 xx 市地税局的情况，我们建议地税局管理层提高对信息安全的重视程 度，开发适应本局情况的安全策略。具体来

21、说，包括以下几点：() 1 依据 xx 市地税局的基本要求，建立适应于地税局具体情况的安全方针 和全面的安全策略； 2 依据地税局信息中心以及涉及信息系统安全的其他部门的情况，建立适 应各部门情况的安全管理办法并完善操作流程中的安全规范。 信息安全策略的内容应涵盖以下方面： 1 信息安全的目标和原则； 2 信息安全管理者的职责； 3 违背信息安全策略的后果。 应指定一定的机构及人员对信息安全策略的制订、修改、贯彻落实、检查等 方面负责。所有的安全策略必须经高层管理进行批准推行。 4.3机构与人员机构与人员 安全管理组织包含三个控制目标：组织的信息基础架构、第三方访问安全以 xx市地税局信息系统

22、信息安全管理评估报告 第 13 页 共 27 页 及外包。安全管理组织要求定义组织内部与信息安全有关的组织和协作，如何落 实安全责任，与安全有关的授权过程，同时，要求管理者能够识别第三方合作和 外包过程中的风险，并通过相关的合同控制安全风险。 在 xx 市地税局风险评估项目中，主要对组织内部的安全组织和人员安全进 行评估，没有过多调查第三方访问安全和外包风险。评估的内容包括 3 个层面 9 个问题： 安全方 面 安全项问题是否 备注 / 说 明 1、评估者询问单位主管，让其指出委任 的安全管理人员，确认安全管理人员具有 的安全管理的权力； 2、评估者询问安全管理人员，让其表述 自己的安全管理权

23、力，比较安全管理人员 描述的权力和单位主管赋予权力的区别； 安全管 理人员 配备 3、评估者要求出具安全管理人员的受教 育或培训情况的资料，查验相关资料的内 容，检查专业技术水平是否符合安全管理 人员的要求。 安全管 理人员 总体是否符合 4、评估者查验文档资料，验证是否有人 员录用方面的规定； 人员录 用 5、评估者要求出具录用人员的相关登记 资料，查验是否包括身份的真实性、工作 的经历、技术专业资格或能力等信息验证 的过程。 6、评估者查验文档资料，验证是否有人 员离岗方面的处理规定； 人员安 全管理 人员离 岗 7、评估者要求出具离岗人员的离岗手续 资料，查验是否包括回收证件、设备等的

24、签字信息。 8、评估者要求出示人员的安全意识教育 培训计划、培训教材、培训合格记录等文 件； 教育和 培训 信息安 全意识 教育 9、评估者查验培训教材等材料，验证是 否包括信息的敏感性、信息安全的重要性 和严重性，员工的责任、安全违例可导致 纪律惩罚等方面的内容。 根据对 xx 市地税局的评估情况，地税局的机构和人员建设既有做到相当好 xx市地税局信息系统信息安全管理评估报告 第 14 页 共 27 页 的方面，也同时存在一些重要层面需要进一步完善： 1 没有专职的安全员岗位设置，兼职安全管理人员的责任和权利不够明确。 应设置专门的安全管理岗位，明确的指定信息安全的职责，配备对应的 人员，这

25、是组织保障和安全保障的前提和基础。 2 由于政府机关人员录用和使用上的特点，在当前的环境下，一些对于关 键信息岗位的选、录、用过程中尚不能加入对安全方面的要求，但随着信 息系统重要性的增加，应考虑与人事部门协调，在今后的关键职位任用 时，对人员的安全性予以考虑。 3 目前对于安全岗位的员工的安全资质还没有具体要求，同时也缺少持续 的，有计划的人员培训机制，除了安全岗位安全意识安全技能的培训外， 更广范围的安全意识培训也对组织的安全保障效果起到重要作用，xx 地税局也进行过一些安全培训，但仍需要将培训工作作为一项重要的安 全措施纳入安全管理范畴。 4 建议将安全责任作为每个工作人员职责的一部分，

26、纳入到绩效考核体系。 4.4安全风险管理安全风险管理 风险管理是信息安全管理的重要方法，风险管理的方法应该持续在整个信 息系统生命周期。 xx 地税局项目中安全风险管理评估主要是通过访谈等方式了解地税局当前 如何利用风险评估的方法进行信息系统安全的管理。 在此项评估中，从资产、弱点、威胁等风险分析要素出发，了解 xx 市地税局 的风险管理的状况。 评估的内容包括 5 个层面 10 个问题： xx市地税局信息系统信息安全管理评估报告 第 15 页 共 27 页 安全 方面 安全 要求 项 问题 是否 说明 1、评估者要求出示信息系统相关的资产清单等 文件，查验资产清单中是否清晰识别每项资产、 其

27、拥有权、责任人以及资产现在的位置等信息； 资产 鉴别 和管 理 资产 清单 2、评估者观察实际环境中网络设备、主机设备 及安全设备等，验证是否有设备标识信息。 威胁 分析 和评 估 基本 的威 胁分 析 3、评估者要求出示信息系统威胁分析的相关文 件。 4、评估者要求出示对信息系统漏洞扫描的具体 报告或相关报告； 5、评估者查验漏洞扫描的具体日期，判断漏洞 扫描数据的可信程度； 脆弱 性分 析和 评估 脆弱 性的 工具 扫描6、评估者判断漏洞扫描范围是否包括网关设备、 网络设备、主机设备和安全设备等。 风险 分析 和评 估 经验 的风 险评 价 7、评估者要求出示信息系统的风险评估报告等 相关

28、的文件。 8、评估者要求出示用户自己的安全产品选型指 南或相关文件； 9、 评估者要求介绍安全措施选择的基本过程 和方法； 选择 和实 施风 险控 制措 施 基于 安全 基线 表选 择控 制措 施 10、评估者判断安全措施的选择是否符合基线 选择要求。 xx 地税局在安全风险管理方面表现一般，以前没有做过威胁分析、脆弱性 分析以及风险分析，因而也就没有相关的报告，文件可查。但是在本次项目中这 些工作却是重点工作内容； 在评估中，发现安全主管领导和安全管理组织的安全风险意识都非常强烈， 对风险管理也有比较深刻的认识，因此需要将这种意识拓展，只要全员的安全风 险意识都有提高，将全面提升 xx 地税

29、局信息系统的保障水平。 针对评估内容，建议 xx 市地税局在以下方面进行改善： 1 加强资产管理，以安全属性为核心的资产管理是实现等级化防护的基础， xx市地税局信息系统信息安全管理评估报告 第 16 页 共 27 页 鉴于 xx 市地税局信息系统发展的状况和人员不足的困难，没有采取资 产管理方法，对后期的安全管理造成了比较大的困难。建议引进资产管 理系统，可以选用适合的工具，降低资产管理的复杂度，弥补 xx 市地税 局人力的紧张和不足。在初期可以利用合作伙伴完成基础整理工作，尤 其首先要对主机、网络设备以及安全设备进行清晰的资产标识更重要的 是形成长期的、周期性的资产管理制度，使得所得数据的

30、准确。 2 通过风险评估项目，进行翔实的威胁、脆弱性、风险分析，得出详细的报 告和过程文档。为以后的安全建设以及管理做好依据和基准。 3 评估工作应符合安全状态动态变化的特点，定期和不定期的评估相结合， 外部评估和内部审计相结合，形成比较完善的保障系统。 4 加大人员安全培训工作的深度和广度，全面提升 xx 市地税局信息安全 风险管理意识和技能水平。 4.5工程建设与管理工程建设与管理 工程建设管理应对风险管理应该是信息系统的整个生命周期而非仅运维阶 段，因此在工程建设阶段就充分考虑到信息系统所面临的威胁和风险，将一些风 险从内部解决而不是通过补丁来修正，无论从提高系统安全性还是节约成本而 言

31、都具有积极的意义。 工程建设管理是科学管理的结果。 鉴于税务系统当前的工程建设模式，本次评估只是对最基本的安全要求进 行分析，分析结果也主要用于今后 xx 市地税局进行工程建设时的一个参考，评 估的内容包括 2 个方面 6 个问题： 安全 方面 安全 要求 项 问题 是否说明 xx市地税局信息系统信息安全管理评估报告 第 17 页 共 27 页 1、 评估者要求出示信息系统的安全需求 报告； 安全 需求 分析 和说 明 2、评估者查验是否有单位主管领导的签字 或盖章等方式的批准。 3、评估者要求出示信息系统的安全详细设 计方案； 安全 详细 方案 设计 4、评估者查验是否包括系统组件的性能和

32、功能要求、系统组件的形态和接口规范、系 统组件的部署和配置要求等等。 安全 系统 的设 计和 采购 系统、 产品 和服 务采 购 5、 评估者查验是否有系统、产品和服务采 购方面的规程； 工程 项目 的控 制和 验收 安全 系统 的测 试验 收 6、评估者要求出示安全系统验收的相关记 录或证据，表明进行了测试和验收； 1 通过评估可以看出，在以前 xx 市地税局的工程建设中，基本没有正规 的安全需求分析报告，也没有主管领导盖章批准的需求分析文件。详细 设计阶段也没有详细的设计方案材料。在工程建设上基本没有安全性方 面的一些要求和控制措施，在一些大项目中的整体方案中提出了一些安 全需求，但并没有

33、处于一个重要的地位。 2 对与规模较小的项目，基本没有正式的需求报告； 3 对于建设方案，基本没有对应的安全详细设计方案； 4 在验收过程中，也基本没有安全性的检验方法和要求，主要以实现功能 为目的，安全性考虑较少。 基于以上现状，建议 xx 地税局重点完善以下几个方面的管理： 1 加强工程设计、建设阶段的安全比重，在项目可行性分析、需求研究的阶 段加入安全风险分析，将安全控制作为系统功能的一部分予以考虑 2 加强小项目的安全质量的控制管理 xx市地税局信息系统信息安全管理评估报告 第 18 页 共 27 页 3 在项目实施时可以考虑以项目管理的方式提高项目实施的效率和质量。 4.6运行与维护

34、管理运行与维护管理 运行维护包括网络维护、操作维护以及系统维护，具体内容囊括了操作流程 和责任，恶意软件的防护，物理环境管理，网络管理，介质处理与安全，设备管理 与安全，系统计划和接收，信息和软件交流等，操作流程和责任是确保信息处理 设施的操作正确性和安全性，包括书面操作程序记录，变更管理，事件管理和职 责分离等控制措施。系统计划和接收的控制措施包括容量规划和系统接收，目标 是将系统故障的风险降到最低水平，恶意软件防护的目标是保护软件和信息的 完整性免受恶意软件的伤害，网络管理目标是保卫网络中的信息、保护支持性的 基础架构。介质处理与安全对于目前移动性越来越高的企业 it 环境来说具有特 殊意

35、义，其目标是防止资产受到破坏，防止业务活动受到干扰等等。 xx 市地税局项目中选择了对于政府机关比较重要的 6 大类 21 个方面进行 了评估： 安全 方面 安全 要求 项 问题 是否说明 1、评估者应询问安全管理人员是否有人员负 责机房的出入，外部人员访问范围是否受到限 制、活动是否有人监督； 2、 评估者应观察被评估系统机房或重要服 务器是否加锁，并询问钥匙是否由专人保管； 物理 环境 管理 机房 管理 评估者应观察被评估机房及控制室是否没有 茶杯、食品、烟蒂等物品。 3、 评估者应询问安全管理人员，并观察各类 记录介质，如纸介质、磁介质、半导体介质和 光介质是否存放在加锁的柜中； 资源

36、管理 介质 管理 4、评估者应询问安全管理人员，如何处理需 要送出维修或销毁的介质。 xx市地税局信息系统信息安全管理评估报告 第 19 页 共 27 页 5、 评估者应询问系统管理员或网络管理员， 是否不定期检查 ups 系统，是否按照设备的操 作手册进行设备的加电启动和断电中止操作； 服务 器操 作管 理 6、评估者应查验系统管理员或网络管理员是 否保留了重要系统的配置和服务设定文件。 工作 站管 理 7、评估者应询问安全管理人员被评估系统规 定的工作站口令策略； 8、 评估者应询问安全管理人员被评估系统是 否规定了便携机口令策略； 设备 使用 管理 便携 机管 理 9、评估者应询问便携机

37、使用人员，如何进行 便携机的资产转移或清退。 10、评估者应查验是否有拓扑图和网段划分、 vlan 划分、ip 地址分配说明； 访问 控制 策略 管理 11、评估者应询问网络管理员是否保留了主要 网络节点（网段划分、vlan 划分、ip 地址分配 的说明）的访问控制列表的备份； 12、 评估者应查验被评估系统的防病毒管理 规定，是否包括关于检查、记录、升级和报告 的规定； 病毒 防护 管理 13、 评估者应询问安全管理人员，如何汇报病 毒安全状况，并通过询问主管领导，得到验证。 14、 评估者应询问主管领导是否指定了专人 作为主要应用服务器的系统管理员； 系统 管理 员责 任 15、 评估者应

38、询问系统管理员是否有为外部 人员使用的账户，如有，应询问开设该账户是 否经过审批，并验证外部人员账户的权限是否 适当。 16、 评估者应询问主管领导是否指定了专人 作为网络管理员； 网络 管理 员责 任 17、 评估者应询问网络管理员是否定期检查 数据库容量，如何确定数据备份的周期和方法。 用户 责任 18、评估者应询问安全管理人员，系统管理者 是否以口头或书面形式告知用户在保护系统 安全方面的责任，内容包括（但不限于）用户应 保护好自己账户内的信息和口令，不得非授权 进入其他系统，不得泄露机构敏感信息，发现 安全事件时有义务报告系统管理员； 用户 管理 用户 口令 19、 评估者应询问系统管

39、理者如何将用户初 始口令传递给用户； 通过培训 xx市地税局信息系统信息安全管理评估报告 第 20 页 共 27 页 管理 20、 评估者应询问系统管理员、工作人员是 否有相互知道口令的情况。 xx 市地税局存在一些书面化的操作流程，详细规定了业务操作方面的安全 内容。但是由于信息安全涉及的面比较广，xx 地税局的业务操作在安全方面还 是存在一定的疏漏，具体包括： 1 机房管理制度落实情况不好，对出入机房没有严格登记，钥匙也无专人 管理； 2 没有资产管理办法和资产管理系统工具的支持，资产管理比较混乱，设 备标识不清楚； 3 对系统的变更没有明确的审批操作流程，在执行过程中也存在不合规范 的行

40、为； 4 缺乏终端管理的制度和策略，没有规定用户的口令策略，也没有对便携 设备的安全管理规定； 5 在用户管理方面，没有为外来人员单独开放帐号，外来人员使用的帐号 也没有经过审批； 6 对系统文档未强调授权访问的控制措施，目前基本是共享使用的； 针对 xx 地税局在业务系统操作方面的问题，我们给出如下建议： 1 加强机房维护管理制度的落实和修订，在制度中更明确的规定机房的出 入、操作规定，并切在领导的监督下严格落实； 2 制定本局的资产管理办法，详细说明资产的分类，各类资产的管理方式 方法，责任人等。引进资产管理系统，加强资产管理工作的效率； 3 增强系统变更管理的力度，可以通过完善变更审批和

41、操作流程，加大检 查力度来实现； 4 加强对终端的管理，制定终端计算机的设置策略和管理制度，建议部署 xx市地税局信息系统信息安全管理评估报告 第 21 页 共 27 页 终端管理系统，实现对终端的集中管理，可大大提高终端的安全性； 5 加强对外来人员的管理，建立第三方人员管理办法，对外来人员访问系 统要单独建立帐号，开放适当权限，并要经过领导审批； 6 加大检查力度和惩罚措施，防止在生产环境中自主安装和运行无关的软 件； 7 对系统文档应采取控制措施，确保有必要的授权才可以得到指定的文档， 避免信息的泄漏。 4.7业务连续性管理业务连续性管理 业务连续性管理只有一个控制目标：业务连续性管理的

42、各个方面，要求制定 相应策略和管理制度，消除政务活动受到干扰，保护关键政务活动不受重大故障 或者灾难的影响。 连续性管理是个非常大的课题，涉及的内容非常多，本项目中结合政府机关 管理的特点，针对以下内容进行分析和评估，包括 5 个方面的 17 个问题： 安全 方面 安全 要求 项 问题 是否说明 1、评估者查验策略、规范、制度等文档，验证是 否制定了备份和恢复相关的策略； 2、评估者查验内容是否包含定期备份重要业务 信息、系统数据及软件等要求； 3、评估者查验是否规定了重要业务信息的保存 期以及永久保存的归档拷贝的保存期。 备份 与恢 复 数据 备份 和恢 复 4、评估者查验是否规定了对重要数

43、据和应用环 境每周进行全备份。 5、评估者查验文档资料，验证是否对故障、事 故或灾难的情况划分了级别； 故障 事故 及灾 难的 划分 6、评估者查验级别划分的内容是否包含不可抗 力、设备故障、病毒爆发事件、外部网络入侵事 件、内部信息安全事件和内部误操作等。 安全 事件 处理 安全 事故 报告 7、评估者查验文档资料，验证是否制定了安全 事件的报告程序和安全事件的响应程序； xx市地税局信息系统信息安全管理评估报告 第 22 页 共 27 页 8、评估者询问员工，查验员工对安全事件报告 的了解，针对某一事件员工的回答比较与安全 事件报告程序的区别； 9、评估者查验文档资料，验证以往安全事件处

44、理过程留下的记录等材料符合安全事件的报告 程序和安全事件的响应程序规定的要求。 10、评估者查验文档资料，验证是否制定了应 急计划； 11、评估者查验应急计划的内容，验证应急计 划是否划分了人员的角色、规定了人员的职责； 应急 计划 的制 定、测 试和 维护 应急 计划 制定 12、评估者选择一个应急计划案例，要求模拟 实施应急计划，验证应急计划的可执行程度， 以及人员和资源方面的保证是否做到 13、评估者要求出示应急计划的培训计划、培 训教材、培训合格记录等文件 14、评估者查验培训教材等材料，验证是否包 括控制手段和恢复策略的培训内容 15、评估者查验培训计划和培训记录等材料， 验证应急计

45、划的培训周期是否符合要求； 16、评估者查验培训计划和培训记录等材料， 验证是否针对新雇员进行应急计划的培训 应急 计划 的实 施保 证 应急 计划 的培 训 17、评估者询问应急计划涉及的相关人员，让 其描述应急计划的执行过程，是否与应急计划 的内容一致 可以看出 xx 市地税局在业务连续性保障方面还存在很多薄弱环节，只在数 据的备份和恢复方面做得较好，具体不足之处在于： 1 安全事件处理方面，没有对故障、事故或灾难划分等级 2 没有安全事件的规范报告程序和响应程序 3 没有制定应急计划、方案等制度策略，因而也没有应急计划的培训和演 练 4 没有对系统中断事件的可能性及后果进行的风险评估；

46、针对以上问题，我们建议如下： 1 制定安全事件的报告和响应流程程序，并对事件进行分级，分级内容应 包括但不限于以下方面：包含不可抗力、设备故障、病毒爆发事件、外部 xx市地税局信息系统信息安全管理评估报告 第 23 页 共 27 页 网络入侵事件、内部信息安全事件和内部误操作等。针对不同级别的事 件做不同的处理程序 2 制定详细的应急预案或计划，并对应急预案进行培训和测试演练，验证 应急计划的可执行性和执行效果 3 实施对各系统中断事件产生的可能性及其后果的评估过程，做出定量或 者半定量分析，作为采用冗余设施的决策依据； 4 由各部门参与，开发一套完整的业务持续性计划，并予以贯彻落实。对该 计

47、划要进行周期性的测试和检查，随时根据实际情况作出调整。 5 进一步完善流程类、操作类的策略，提高应急预案的总体流程框架下的 可操作性。 4.8法律符合性法律符合性 符合性包括符合法律要求，对安全策略和技术符合性的评估，系统审核等， 符合法律要求的内容覆盖了明确使用的法律、知识产权保护、组织记录保护、个 人隐私和数据保护，防止信息设施滥用、证据收集等。对安全策略和技术符合性 的评估要求采取审计监督措施保护组织的安全策略得到了遵守、各种技术活动 处于合法状态。系统审核的目标是将系统审计程序的效力提升到最高，将其对系 统的影响降到最低。 本次评估中主要从法律符合性方面分析了 xx 地税局现有在符合性

48、方面的 现状，包括 2 个方面 4 个问题： 安全 方面 安全 要求 项 问题 是否说明 1、评估者查验文档资料，验证是否制定了涉 及知识产权和软件版权等方面的规定； 符合 法律 要求 知 识产 权 2、评估者询问软件开发人员和工程承包商， 让其描述对知识产权和软件版权的要求，是否 与规定的内容一致。 xx市地税局信息系统信息安全管理评估报告 第 24 页 共 27 页 3、评估者查验文档资料，验证是否制定了涉 及知识产权和软件版权等方面的规定； 软 件版 权 4、评估者查验系统中使用的软件，选择使用 的几个软件作为案例，要求出示使用许可协议， 是否均有使用许可协议。 从评估结果看来，xx 市

49、地税局在使用正版软件方面做的较好，这也是国家 信息系统的统一特点。不足主要体现在： 1 缺乏防止滥用工作设备和资源的机制； 2 虽然存在各种安全流程和技术检查制度，但是执行不力，不能得到有效 的贯彻落实。 针对 xx 市地税局目前的状况，我们建议进行如下措施的改进： 1 完善检查制度，加大处罚措施，增设必要的审计控制软件，防止工作设备 和资源的滥用； 2 完善各种安全流程和技术标准，增加执行检查力度，将周期性的检查结 果作为绩效考核的重要依据，保证各种制度的落实。 5 管理评估综述管理评估综述 5.1主要问题描述主要问题描述 根据以上安全管理八个方面的分析，对 xx 市地税局目前在安全管理方面存 在的主要问题列举如下： 1 物理安全方面，机房管理维护制度落实不好，对机房出入登记少，在机房 内的活动限制不好；对设备以及介质资产的管理情况不好，没有资产管 理办法作为指导，主机、网络设备等都没有贴上清晰的资产标识；介质也 没有很好的分类管理； 2 政策和制度方面，主要的信息安全方针，规章制度都依赖于省