电子门禁自查报告及整改措施

电子门禁自查报告及整改措施第一章自查背景与目的1.1背景公司总部园区于2021年分批上线“磐石”系列电子门禁系统，覆盖办公主楼、研发独栋、数据中心、地下库房四大区域，共计287道门点。2024年3月，行政服务中心牵头组织年度合规审计，发现部分门点存在权限漂移、离线事件未闭环、日志存储周期不足等隐患。为落实《网络安全法》第21条、GB/T37044-2018《出入口控制系统技术要求》以及公司《信息安全管理办法》第5.2款，特开展本次专项自查。1.2目的通过“逐门、逐卡、逐记录”的拉网式排查，量化风险等级，形成可落地的整改任务书，确保90天内实现“权限最小化、日志可追溯、故障可倒换、应急可封闭”四项硬指标，并为下一阶段门禁系统与工号生命周期自动化联动奠定基础。第二章自查范围与依据2.1物理范围区域门点数量控制器型号读卡器协议备注办公主楼132PS-CtrlV5.2OSDP含访客闸机8台研发独栋84PS-CtrlV5.2Wiegand34含核心实验室12道双人互锁门数据中心36PS-CtrlV6.0OSDP+AES128含冷通道封闭门6道地下库房35PS-CtrlV4.8Wiegand26含防爆门4道2.2逻辑范围账号生命周期、权限矩阵、卡片介质、生物特征模板、边缘控制器固件、门禁日志、视频联动、灾备倒换、应急封闭策略。2.3法规与制度依据a.《网络安全法》第三章第21、22条；b.《数据安全法》第27条；c.GB/T37044-2018、GB50348-2018；d.公司《信息安全管理办法》（2023修订版）；e.公司《门禁权限管理细则》（2022发布版）。第三章自查组织与实施过程3.1组织架构角色部门职责备注组长行政服务中心统筹资源、签发报告总经理授权副组长信息安全部技术判定、漏洞评级含CISSP2人执行组长基础设施运维部现场排查、版本比对含CCNA、RCNA各3人观察员内部审计部抽样复核、出具审计意见直接向审计委员会汇报3.2工具与方法a.磐石门禁运维平台：导出“门点-权限-事件”三维度CSV；b.Python3.11+Pandas：编写《漂移权限识别脚本》，阈值设定为“30天未使用即标记”；c.Nmap7.93：扫描控制器IP，发现未关闭的Telnet、FTP高危端口；d.数字万用表：实测门磁供电，发现3处12V电源衰减至10.8V；e.海康iVMS-4200：回放视频与门禁日志比对，核查“卡开而人未进”异常。3.3时间排期阶段起止日期关键产出准备2024-03-01至03-05资产清单、自查表模板、权限漂移脚本现场排查2024-03-06至03-20原始记录、漏洞照片、电源测试表数据清洗2024-03-21至03-25异常权限清单、离线事件列表风险评级2024-03-26至03-28高/中/低危表、CVSS3.1评分报告编制2024-03-29至03-31本报告、整改任务书第四章发现的问题详情4.1权限管理类a.僵尸权限：研发独栋实验室7×24门禁仍保留2022年离职的42人，其中含外包人员19人；b.超级权限：信息中心两名工程师持有“通开卡”，可开启287道门，未做双人拆分；c.访客权限溢出：访客系统与门禁中间库未同步，导致3月15日访客卡“V12345”在当日18:30后仍可反复进入办公主楼。4.2日志与审计类a.日志缺失：地下库房V4.8控制器因Flash寿命到期，3月6日至3月10日缺失1,832条事件；b.时钟漂移：36台数据中心控制器中，有11台与NTP服务器偏差>5分钟，导致日志无法与门禁视频对齐；c.存储周期不足：办公主楼日志仅保留6个月，低于法规要求的“至少1年”。4.3设备与网络类a.固件版本滞后：研发独栋84台控制器中，有62台运行V5.2.1，存在CVE-2023-4289认证绕过漏洞；b.明文传输：V4.8系列仍使用Wiegand26，截获距离可达50cm；c.单点故障：数据中心冷通道封闭门仅接入一台PoE交换机，无冗余电源。4.4应急与灾备类a.消防联动未测试：2023年全年未进行“消防触发→门常开”演练；b.离线钥匙管理：防爆门应急钥匙由外包保安个人保管，未纳入保险柜双人双锁；c.封闭策略缺失：缺少“暴力冲闸”场景下的30秒一键封闭SOP。第五章风险评估与等级划分采用CVSS3.1基准，结合公司“影响范围×可利用性×合规成本”三维加权，得出：序号问题描述CVSS评分公司加权分风险等级整改时限1僵尸权限42人7.59.0高7天2超级权限通开卡8.29.5高7天3日志缺失1,832条6.98.4中30天4控制器固件CVE7.89.2高30天5消防联动未测试5.57.0中90天第六章整改目标与原则6.1目标a.90天内高危项清零，中危项关闭率≥90%；b.权限最小化覆盖率100%，日志保存≥400天；c.建立“权限-人力-工单”自动化闭环，减少人工操作95%。6.2原则合规优先、先急后缓、责任到人、可验证、不新增业务痛点。第七章整改措施与实施步骤7.1权限治理子方案步骤1：冻结•2024-04-0108:30，行政服务中心在磐石平台导出“>30天未刷卡”清单，批量冻结2,003张卡片；•同步邮件通知持卡人，7天内通过OA发起“权限续期”流程。步骤2：复核•部门经理+信息安全部双人审批，采用“钉钉视频会议+屏幕共享”方式逐条确认；•对研发独栋核心实验室实行“白名单”制度，仅保留174人。步骤3：拆分超级权限•将通开卡拆解为“区域卡”+“时段卡”+“双人卡”三要素；•引入SafeNeteToken5110+挑战响应式OTP，实现“卡+OTP+指纹”三因子。步骤4：自动化对接•调用HR系统离职接口，触发“账号冻结→权限回收→工牌失效”T+0；•代码示例（Python）：```pythondefrevoke_access(emp_id):hr_status=hr_api.get_status(emp_id)ifhr_status=="resigned":doors=access_db.query_doors(emp_id)fordindoors:access_db.revoke(door_id=d,emp_id=emp_id)(f"revoked{emp_id}from{d}")```7.2日志补齐与存储升级子方案步骤1：补齐缺失•从视频NVR提取3月6日至3月10日门点录像，人工比对进出人员，补录1,832条“人工确认”事件，字段含：卡号、时间、门点、补录人、视频文件名；•补录数据写入磐石平台“manual”表，标记为“人工补录”，防止审计混淆。步骤2：扩容存储•采购NASDS1821+，配备8×4TB企业级硬盘，RA6+热备，可用容量24TB；•设置rsync每日02:30增量同步，保留400天滚动周期；•启用WORM（WriteOnceReadMany）策略，防止日志被篡改。步骤3：时钟同步•统一指向内网NTP池ntp.corp.local，控制器每日05:00强制同步；•监控采用Zabbix6.4，触发器>30秒即告警，短信至值班工程师。7.3固件与传输安全子方案步骤1：升级固件•制定《控制器升级作业指导书》，明确“备份配置→夜间窗口→灰度→全量”四步；•先在测试机房2台控制器运行V5.2.5Beta7天，确认无异常后，分三批升级剩余82台。步骤2：加密传输•V4.8控制器逐步替换为V6.0主板，预算纳入2024年Q2CAPEX；•过渡阶段在Wiegand线路上增加“数据扰乱器”，随机插入噪声，降低截获成功率。步骤3：端口关闭•通过SSH批量下发“noiptelnetserver”“noipftpserver”命令；•启用fail2ban，3次密码错误即封IP24小时。7.4应急与灾备子方案步骤1：消防联动演练•拟定演练脚本：模拟3楼档案室火警，消防信号→门禁常开→人员撤离→复位；•2024-05-1015:00进行首次演练，记录耗时、门开率、复位时间；•演练不达标项纳入《演练问题跟踪表》，下次演练前必须关闭。步骤2：离线钥匙双控•采购AIPU保险柜2台，双人双锁+机械密码+指纹；•钥匙领用通过OA“应急物资”模块，支持扫码+地理定位+拍照留存。步骤3：一键封闭•在磐石平台新增“暴力冲闸”按钮，30秒内下发“全锁+警铃+抓拍”指令；•联动钉钉工作群机器人推送消息，@保安队长+行政经理+信息安全部。第八章制度修订与发布8.1新增制度《电子门禁权限自动化管理办法》条款内容责任部门罚则第5条离职T+0权限回收信息安全部逾期1天扣部门KPI1分第11条权限续期≤90天各部门经理超期视为僵尸权限，冻结并通报第18条超级权限拆分行政服务中心未拆分发现一次，责任人书面警告8.2修订制度《门禁控制器固件升级管理细则》a.升级窗口：工作日20:00-24:00或节假日全天；b.回退时限：升级失败30分钟内必须回退；c.记录要求：升级报告保存≥3年，含升级前后版本截图、MD5校验值。第九章培训与宣贯9.1培训矩阵对象课程时长方式考核全员门禁安全基础30分钟钉钉直播线上测验≥80分部门安全员权限申请流程1小时线下+实操上机演练一次通过运维工程师控制器升级实战3小时实验机房独立完成升级+回退9.2宣贯材料a.短视频《一分钟看懂僵尸权限》上传钉钉“公司圈”，播放量目标≥90%；b.海报张贴于食堂旋转门，二维码直达OA权限申请页面。第十章验收标准与测试方法10.1验收维度维度指标测试方法通过阈值权限最小化活跃账号占比抽样50门点，比对HR在岗名单≥98%日志完整性补录事件准确率视频回放复核100条100%固件升级CVE漏洞消除使用绿盟RSAS扫描0个高危消防联动门常开成功率演练3次100%10.2测试工具Nessus10.7、绿盟RSASV6、iVMS-4200V3.6、Python自写比对脚本。第十一章运行维护与持续改进11.1日常巡检a.每日08:30-09:00自动化脚本检查控制器在线率，<100%即建工单；b.每周一测试离线钥匙完好性，记录锈蚀、断裂情况；c.每月15日review权限续期OA流程，平均耗时>2天即优化。11.2持续改进a.引入ABAC（属性基授权）模型，2025年Q1试点“项目标签+门禁”动态权限；b.与IoT平台对接，实现“能耗+门禁”联合分析，发现深夜空转空调自动降频；c.建立“白帽子奖励计划”，外部研究员提交漏洞经确认后给予3,000-10,000元奖励。