2026年信息系统安全评估报告

2026年信息系统安全评估报告本次评估覆盖某大型国有能源集团2025年10月至2026年9月上线运行及存量共127套信息系统，涵盖生产控制类、经营管理类、公众服务类三大类别，评估严格依据《中华人民共和国网络安全法》《关键信息基础设施安全保护条例》《中华人民共和国个人信息保护法》，以及《信息安全技术信息系统安全等级保护测评要求》（GB/T28448-2019）《信息安全技术网络安全等级保护基本要求》（GB/T22239-2019）等国家标准，结合集团内部《信息系统全生命周期安全管理规范》《关键信息基础设施安全保护实施细则》开展，从安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理体系五个维度完成全量测评与实战化风险验证，累计开展漏洞扫描12轮次、渗透测试3轮次、配置核查127次、文档审查176份、人员访谈92人次、现场勘查41个机房节点，全面梳理当前集团信息系统安全防护现状与潜在风险。本次评估的核心背景为，2026年是集团数字化转型深化落地之年，全年新增上线生产调度一体化平台、智慧电厂管控系统、用户用电服务小程序等21套信息系统，存量核心系统完成3轮重大功能迭代，数字化业务覆盖率从2025年的72%提升至2026年的89%，信息系统已经成为支撑集团生产、经营、服务全流程的核心基础设施。为落实监管要求，验证上半年安全整改工作成效，识别数字化转型过程中新增的安全风险，集团网信办委托具备国家网络安全等级保护测评资质的第三方机构开展本次全量安全评估，评估结果将作为集团2027年网络安全防护规划制定、安全资源投入的核心依据。从整体合规性与防护能力来看，当前集团信息系统安全整体处于可控范围。127套信息系统100%完成网络安全等级保护备案，其中17套三级等保系统全部完成本年度测评并取得合格测评报告，合规率100%；32套二级等保系统中仅2套于2026年年中上线尚未完成测评，合规率达93.75%；纳入国家关键信息基础设施名录的12套核心系统全部完成关基安全自查与备案，合规性满足监管要求。防护体系层面，集团已经建成符合等保2.0要求的“一个中心三重防护”体系，集团级安全管理中心实现了对全集团网络流量、系统日志、漏洞信息、安全事件的统一监测与响应，2026年截至评估完成，累计拦截各类恶意攻击127.3万余次，攻击拦截成功率达99.82%，全年未发生造成实质性影响的大规模数据泄露、核心系统长时间宕机等重大网络安全事件，安全防护体系整体能够抵御常见的网络攻击。针对2025年度安全评估发现的189项问题，集团已经完成整改182项，整改完成率达96.3%，剩余7项需依托核心系统版本升级完成整改的问题已经纳入2026年第四季度项目排期，整体整改进度符合预期要求。本次评估累计发现各类安全问题470项，其中技术类问题398项，管理类问题72项，按照风险等级划分，极高风险3项，高风险28项，中风险142项，低风险297项，具体问题分布如下：第一，安全物理环境维度，问题主要集中在老旧分支机构与偏远电站的机房节点。本次评估发现5个地市分公司的建成超过15年的老旧机房，仍然采用传统密码门禁系统，未按等保三级要求配备生物识别认证+双人授权的出入管控机制，外来人员进入机房不需要全程陪同登记，存在物理入侵风险；2个偏远水电站的机房视频监控存储时长仅为25天至30天，未达到监管要求的不少于90天的存储标准，发生安全事件后无法回溯溯源；此外2个偏远电站机房的制冷空调未配备冗余设备，也未配置温度异常自动报警机制，2026年夏季曾出现单台空调停机导致机房温度升至34℃的情况，未触发报警也未启动应急处置，存在核心设备过热宕机的风险。本维度累计发现中危问题8项，低危问题12项，无极高、高危风险问题。第二，安全通信网络维度，核心问题为老旧系统配置不规范、网络架构不合理。本次评估发现12套运行超过10年的存量经营管理系统，仍然采用已经被淘汰的TLS1.0加密协议，该协议存在多个已知可利用漏洞，攻击者可通过中间人攻击破解加密传输内容，窃取账号密码与业务数据；3套生产控制类系统的核心业务数据在内部传输过程中未采用加密措施，以明文形式传输，一旦攻击者突破边界进入内网，即可直接通过流量抓包获取核心生产数据；7套三级等保核心系统未按照要求划分独立安全域，与内部办公网共用同一网段，未配置横向隔离措施，攻击者入侵单台办公电脑后即可横向移动访问核心系统，扩大攻击影响范围；此外3台核心核心交换机存在公开披露的高危远程代码执行漏洞，因运维人员担心补丁升级影响生产系统稳定性，上线1年多未安装漏洞补丁，随时可能被攻击者利用控制核心网络设备。本维度累计发现高危问题4项，中危问题18项，低危问题21项。第三，安全区域边界维度，主要问题为访问控制规则失效、防护设备更新不及时。本次评估发现集团整体边界访问控制规则中，超过42%的规则为3年以上未产生匹配流量的僵尸规则，累计达1247条，未及时清理，部分僵尸规则开放了不必要的端口与访问权限，甚至存在规则冲突，导致原本应当拦截的恶意流量被正常放行。本次评估开展实战化渗透测试时，测试人员就是利用一条闲置的开放僵尸规则，突破边界进入了核心测试系统，验证了该风险的可利用性；12台分支机构的入侵防御（IPS）设备超过6个月未更新病毒与攻击特征库，无法识别2026年新出现的Web攻击、勒索病毒变种，防护能力严重下降；集团邮件网关的恶意附件与钓鱼链接检测能力不足，本次评估模拟发送200份带宏病毒、恶意链接的钓鱼邮件，仅检测拦截164份，检测率仅为82%，远低于95%的合格标准，2026年上半年已经发生3起员工点击钓鱼邮件导致内网终端被感染的事件，只是未扩散到核心系统。本维度累计发现高危问题7项，中危问题26项，低危问题34项。第四，安全计算环境维度，是本次评估发现问题最多的领域，累计发现高危问题47项，中危问题152项，低危问题208项，大量风险直接威胁核心系统与数据安全。首先是身份认证机制薄弱，8套核心老旧系统未启用多因素身份认证，仅采用单一密码认证，且密码策略要求宽松，允许6位至8位的纯数字弱密码，本次评估通过弱口令暴力破解，仅用2小时就成功获取3套系统的后台管理员权限；12套系统存在上线后未清理的僵尸账号，包括开发商测试账号、外包运维账号、离职人员账号，其中多个账号保留默认弱密码，本次发现的集团核心生产调度一体化平台，就存在开发商留下的默认testadmin管理员账号，密码为123456，测试人员直接登录即可获取全平台最高权限。其次是漏洞整改不及时，本次全量漏洞扫描累计发现已知可利用漏洞312个，其中高危漏洞47个，包括12个遗留的Log4j2高危漏洞、18个2026年上半年公开披露的SpringCloud高危漏洞，大量老旧第三方开发的系统因开发商已经停止维护，没有官方补丁可供升级，漏洞一直未修复，存在被大规模利用的风险。第三是数据安全隐患突出，集团面向公众提供服务的用电服务小程序存在严重的未授权越权访问漏洞，测试人员仅需要修改请求参数中的用户ID，就可以获取任意用户的姓名、身份证号、联系电话、家庭住址、用电记录等完整隐私信息，该漏洞不需要登录权限即可利用，涉及用户信息累计达210万条，一旦被攻击者批量下载利用，不仅违反《个人信息保护法》，还会引发严重的品牌危机；此外还有2套经营管理系统的核心数据库未开启全量操作审计日志，一旦发生数据泄露事件，无法溯源攻击路径与窃取数据的范围；3套核心生产系统的敏感数据未加密存储，攻击者获取数据库权限后可直接导出明文数据。第四是生产控制类系统存在严重的远程访问风险，某新建智慧电厂的管控系统，为了方便开发商远程运维，将远程运维端口直接映射到公网，未配置IP白名单限制与多因素认证，本次评估测试人员通过公网资产扫描，不到1小时就发现了开放端口，尝试弱密码仅用15分钟就成功登录系统，获取了发电机组控制权限，可直接下发指令调整机组运行参数，一旦被恶意利用，可能导致机组停运、引发生产安全事故。第五，安全管理体系维度，本次累计发现各类问题72项，其中高危问题12项，中危问题35项，低危问题25项。核心问题包括：一是全生命周期安全管理落实不到位，2026年新增上线的21套系统中，有7套因赶项目进度，未开展上线前安全测评就直接投入生产运行，导致大量原生安全漏洞直接带入生产环境，本次发现的47个高危漏洞中，有19个来自新上线未测评系统，占比达40.4%；二是人员与权限管理不规范，12名离职的运维与开发人员的系统账号未及时回收，部分外包运维人员直接获得核心系统的超级管理员权限，未落实权限最小化与双人管控要求，外包人员运维操作也没有全程审计记录；三是应急管理体系不完善，集团2026年仅开展了1次桌面应急演练，未开展实战化演练，多数一线运维人员不熟悉应急处置流程，现有应急预案已经3年未更新，不适应当前新增核心系统的安全需求；四是数据分类分级工作不到位，第一轮数据分类分级完成后，有13套系统存在核心敏感数据分级错误问题，将应当划分为核心敏感的数据划分为一般数据，未采取对应的防护措施，防护等级不匹配。结合风险影响范围与可利用性，本次识别出的3项极高风险分别为：一是智慧电厂管控系统核心控制端口开放公网、无访问限制，可能导致攻击者入侵控制生产设备，引发生产安全事故；二是用户用电小程序越权访问漏洞，可批量窃取210万用户个人信息，违反监管要求并引发品牌危机；三是生产调度一体化平台遗留默认弱密码管理员账号，攻击者可获取核心生产系统最高权限，影响全集团生产调度秩序。以上3项风险均已经过实战化验证，可被轻易利用，危害极大。针对本次评估发现的问题，结合风险等级提出以下整改要求与优化建议：对于3项极高风险，要求责任单位在10个工作日内完成整改，立即关闭违规开放的公网端口，落实远程访问IP白名单与多因素认证，修复越权访问漏洞，清理遗留僵尸账号，整改完成后由评估机构开展复验，确认风险消除；对于28项高危风险，要求责任单位在30个工作日内完成整改，包括修复高危漏洞、全面启用核心系统多因素认证、清理全量僵尸账号、升级加密协议到TLS1.2及以上版本；对于所有中低风险问题，要求责任单位在90个工作日内完成整改，包括清理僵尸访问规则、更新防护设备特征库、完善物理机房防护、规范管理流程。技术层面优化建议：一是针对无官方补丁的老旧系统漏洞，采用虚拟补丁、边界访问控制、流量检测等补偿防护措施，及时阻断攻击路径，条件允许的情况下，2027年底前完成老旧系统的版本升级或替换；二是优化网络架构，所有三级及以上核心系统全部划分独立安全域，落实横向隔离措施，限制横向移动风险；三是强化数据安全防护，按照最新要求重新梳理全系统数据分类分级，对核心敏感数据落实加密存储、加密传输要求，核心数据库全部开启全量审计日志，存储时长不低于6个月；四是加快老旧机房物理环境升级改造，2027年底前完成所有老旧机房门禁、监控、空调的升级，满足等保与关基保护的物理安全要求。管理层面优化建议：一是严格落实信息系统全生命周期安全管理要求，所有新上线系统必须完成上线前安全测评，未通过测评不得上线运行，从源头减少原生安全隐患；二是完善权限管理制度，定期开展全量账号权限梳理，及时清理离职人员、外包人员闲置账号，落实权限最小化原则，外包人员运维必须落实双人授权与全程审计；三是完善应急响应体系，每年至少开展1次针对核心系统的实战化应急演练，每半年更新一次应急预案，提升应急处置能力；四是建立常态化安全评估机制，每月开展一次全量漏洞扫描，每季度开展一次重点系统渗透测试，每年开展一次全量信息系统安全评估，关键信息基础设施每半年开展一次专项安全评估，