信息安全风险评估需求方案

信息平安风险评估需求方案

一、项目背景

多年来，天津市财政局（地方税务局）在加快信息化建设和

信息系统开发应用的同时，高度重视信息平安工作，实行了许多

防范措施，取得了较好的工作效果，但同新形势、新任务的要求

相比，还存在有许多不相适应的地方。2009年，国家税务总局

和市政府分别对我局信息系统平安状况进行了抽查，在充分确定

成果的同时，也指出了我局在信息平安方面存在的问题。通过抽

查所暴露的这些恒题，给我们敲响了警钟，也对我局信息平安工

作提出了新的更高的要求。

因此，天津市财政局（地方税务局）在对现有信息平安资源

进行整合、整改的同时，依据国家税务总局信息平安管理规定，

结合本单位实际状况确定实施信息平安评估、平安加固、应急响

应、平安询问、平安事务通告、平安巡检、平安值守、平安培训、

应急演练服务等工作内容（以下简称“平安风险评估”），形成

平安规划、实施、检查、处置四位一体的长效机制。

二、项目目标

通过开展信息“平安风险评估”，完善平安管理机制；通过

平安服务的引入，进一步建立健全财税系统平安管理策略，实现

平安风险的可知、可控和可管理；通过建立财税系统信息平安风

险评估机制，实现财税系统信息平安风险的动态跟踪分析，为财

税系统信息平安整体规划供应科学的决策依据，进一步加强财税

内部网络的整体平安防护实力，全面提升我局信息系统整体平安

防范实力，极大提高财税系统网络与信息平安管理水平；通过深

化挖掘网络与信息系统存在的脆弱点，并以业务系统为关键要

素，对现有的信息平安管理制度和技术措施的有效性进行评估，

不断增加系统的匣络和信息系统抵抗风险平安风险实力，促进我

局平安管理水平的提高，增加信息平安风险管理意识，培育信息

平安专业人才，为财税系统各项业务供应平安牢靠的支撑平台。

三、项目需求

（一）服务要求

1基本要求

“平安风险评估服务”全过程要求有据可依，并在产品运用

有据可查，并保持项目之后的持续改进，针对用户单位网络中的

IT设备及应用软件，须要有软件产品识别全部设备及其平安配

置，或以其他方式收集、保存设备明细及平安配置，进行资产收

集作为建立信息平安体系的基础。平安评估的过程及结果要求通

过软件或其他形式进行展示。对于风险的处理包括：帮助用户制

定平安加固方案、在工程建设及日常运维中供应平安值守、询问

及支持服务，通过平安产品解决已知的平安风险。在日常平安管

理方面供应平安支持服务，并依据国家及行业标准制定信息不安

管理体系，针对平安管理员供应平安培训，遇有可能的平安事务

发生时，供应应急的平安分析、紧急响应服务。

2平安评估

评估的范围应全面，涉及到网络信息系统的各个方面，包括

物理环境、网络结构、应用系统、数据库、服务器及网络平安设

备的平安性、平安产品和技术的应用状况以及管理体系是否完善

等等；同时对管理风险、综合平安风险以及应用系统平安性进行

评估；

评估接受专业工具扫描(漏洞扫描、数据库扫描接受产品必

需为商业化产品)、人工评估、渗透测试三种相结合的方式，对

各种操作系统进行评估，包括：帐户与口令平安、网络服务平安、

内核参数平安、文件系统平安、日志平安等；从应用系统相关硬

件、软件和数据等方面来审核应用所处环境下存在哪些威逼，依

据应用系统所存在的威逼，来确定须要达到哪些系统平安目标才

能保证应用系统能够反抗预期的平安威逼。其他评估内容应至少

包括以下几方面：

•信息探测类•网络设备与防火墙

•RPC服务•Web服务

•CGI问题•文件服务

•域名服务•Mail服务

•Windows远程访问•数据库问题

•SQL注入•跨站脚本攻击

•后门程序•其他服务

•网络拒绝服务(DOS)•其他问题

5平安询问

评估单位应依据IS017799等多个标准的相关要求对平安策

略、平安制度、平安流程进行审计，供应改进建议，建立信息平

安的“统一”策略管理机制，并对用户单位信息平安体系建设规

划、信息平安管理体系、信息平安管理制度建设、平安域划分等

相关内容提出符合国家及行业标准的合理化建议，并制定完整的

解决方案。

对于新建信息化项目应从业务需求分析、系统设计、部署实

施、测试验收等全周期供应技术询问支持。

6平安事务通告

评估单位应具备特地的平安探讨人员以跟踪最新平安技术发

展、收集业界发布的最新平安信息刚好通告用户单位最新的平安

动态、平安技术的发展趋势，以刚好效性很强的漏洞、攻击手法、

病毒码的预先通知；

评估单位至少每月供应一次汇总的平安通告信息，当厂商或

平安组织发布紧急平安通告后评估单位应在三天之内供应应人

保相关通告信息；

刚好供应最新的设备补丁，随时依据用户需求，供应相应平

安漏洞与响应的平安系统升级代码；刚好向招标人供应国家颁发

的最新平安制度与法规。

7平安巡检

包括不限于以人工方式检查主机系统和网络设备的日志信

息、平安配置以及审计信息等，提出平安策略建议；如发觉异样

现象或平安问题，刚好向用户单位反馈，并供应后续技术支持，

协作问题的查处和解决。要求每月对平安防护产品进行一次巡检

服务，并生成巡检报告；每季度对全部主机、数据库、网络、平

安产品进行一次全面巡检，并生成巡检报告。

8平安值守服务

要求评估单位在重大节假日及特秩时期支配技术人员供应

平安值守服务（包含在用户单位值守及远程值守）。

9平安培训服务

要求每年支配两次信息平安管理及技术培训（培训只负责供

应师资及培训教材，培训教材可为电子版），同时，要求供应四

人次专业技术认证培训（含食宿）。

10应急演练服务

要求协作用户制定信息系统风险应急响应方案，并每年至少

支配一次信息系统风险应急演练。

（二）服务原则

为保障平安风险评估工作的有序进行，特提出以下原则：

1.保密性原则

要求评估单位与用户签订保密协议，在进行信息平安风险评

估的过程中，严格遵循保密原则，评估过程中实行严格的管理措

施，确保所涉及到的任何用户保密信息，不会泄露给第三方单位

或个人，不得利用这些信息损害用户利益。

2.最小影响原则

要求从项目管理和技术应用的层面，在风险评估工作实施过

程对我局现有信息系统和网络的正常运行所可能的影响降到最

低程度；要求制定风险评估过程中的风险规避方案及应急措施。

3.规范性原则

要求评估机构在充分总结多年开展信息系统平安风险评估

实践阅历的基础上，确定规范的方案；在此次信息平安风险评估

任务执行过程中，通过规范的项目管理，在人员、项目实施环节、

质量保障和时间进度等方面进行严格管控。

4.标准化原则

风险评估工作要求严格遵守国家和行业的相关法规、标准，

并参考国际的标准来实施。

5.完整性原则

完整性原则包含以下两个层次的内容：

评估内容的完整性一一要求在风险评估工作中，要综合考虑

所评估信息系统的技术措施、人员、业务及运行维护等方面，含

盖信息平安风险评估合同要求。

评估流程的完整性一一要求信息平安评估过程应遵循科学

性、规范性、严谨性原贝心

6•互动性原则

在进行信息平安风险评估过程中，要求必需有用户单位人员

参加，双方共同组成项目实施部门，进行项目实施，从而保证项

目执行的效果并提高受我局的整体平安技能和平安意识。

（三）评估内容

L信息系统平安管理状况检查

评估各种平安制度的建立状况，包括：对终端计算机访问互

联网的相关制度；对终端计算机接入内网的相关制度；运用移动

存储介质的制度；系统的业务应用人员、系统的开发、维护、管

理人员、系统开发、维护人员相关平安管理制度等。

2.网络架构、网络平安设备

评估范围包括：业务办公内网、业务外网、办公外网、外部

单位联网等；分析网络拓扑结构是否清淅划分网络边界；评估网

络的平安区域划分以及访问限制措施。

3.对资产自身存在的脆弱性进行收集和整理

物理环境，包括UPS、变电设备、空调、门禁等。

交换机，包括核心交换机20台，接入交换机20台。检查平

安漏洞和补丁的升级状况，各VLAN间的访问限制策略；口令设

置和管理，口令文件的平安存储形式；配置文件的备份。

路由器，包括核心路由器5台，接入路由器10台。检查操

作系统是否存在平安漏洞；配置方面，检测端口开放、管理员口

令设置与管理、口令文件平安存储形式、访问限制表；是否能对

配置文件进行备份和导出；关键位置路由器是否有冗余配置。

平安设备，包括防火墙、入侵检测系统、网闸、防病毒、桌

面管理、审计、加密机、身份鉴别等；共约20台。查看平安设

备的部署状况。查看平安设备的配置策略；查看平安的日志记录;

通过漏洞扫描系统对平安进行扫描。通过渗透性测试检平安配置

的有效性。

4.重要服务器的平安配置

小型机约60台、服务器约200台。登录平安检测；用户及

口令平安检测；共享资源平安检测；系统服务平安检测；系统平

安补丁检测；日志记录审计检测；木马检测。

5.核心业务系统的平安性

对我局核心业务信息系统，在需求分析和设计阶段是否充分

识别平安需求；是否能确保系统文件的平安；是否能实行措施爱

惜应用系统开发和维护过程中的信息平安。核查“津税系统”“非

税收入”“税管员平台”等重要业务系统数据访问限制状况，敏

感文档资料、服务器、用户终端、数据库等数据加密爱惜实力。

对门户网站进行渗透性测试；对网上报税等核心业务系统进行渗

透性测试；对网络边界进行渗透性测试；对内网进行渗透性测试。

（四）评估的应用系统

1.应用系统

应用类型财政应用地税应用综合办公应用

非税系统津税系统公文系统

国库集中系税收管理员平台邮件系统

应统

用部门预算系远程电子报税系财政地税政务

项统统（含建安网上开网

目票）

会计无纸化外网发票查询、十财税内部信息

考试系统、二万申报、建安项网站

天津会计目预登记、建安房

网、产税控开票、车船

固定资产管税代征代缴系统

理系统

2.数据库

（1）外网远程电子报税系统数据库

（2）津税系统数据库

（3）津税系统查询机

（4）税管员平台数据库

（5）税管员平台ODS数据库

（6）非税收入

(7)会计无纸化考试数据库

(8)国库集中支

(9)部门预算

(10)财税政务网、天津会计网

(11)固定资产管理

3.外部数据交换

(1)津税系统人行数据交换

(2)津税系统残联数据交换

(3)国税联合办证数据交换

(4)国税国地共享

(5)施管站数据交换

(6)车船税数据交换

(7)房管局契税数据交换

(8)非税收入MQ

4.操作系统

应用系统和数据库涉及到的主机操作系统。

5.配电系统

(1)供电系统

(2)UPS

(3)应急供电系统

6.机房环境系统

(1)市局机房空调

（2）市局机房空间及设备摆放

（3）市局机房送回风空调循环系统

（4）市局机房防火系统

（5）市局机房防雷系统、防静电系统

（6）市局机房空调上水水质、管道及下水路由

（五）质量限制