等保测评准备自查方案

等保测评准备自查方案一、自查工作组织与职责划分组织与职责划分是自查工作的指挥中枢，没有明确到人的责任矩阵与时间锁，自查将退化为走马观花。1.1成立自查工作组必须在自查启动前2个工作日成立专项工作组，由分管安全的副总经理担任组长，授权调动跨部门资源。•组长：分管副总（负责审批自查报告、协调重大资源缺口）•副组长：IT部门负责人（负责制定计划、跟踪进度、对接测评机构）•执行组：◦系统管理员：负责主机、存储、虚拟化平台的配置核查与整改◦网络管理员：负责网络架构梳理、安全设备策略核对◦应用开发负责人：负责业务系统的代码安全审查与功能整改◦安全保密专员：负责管理制度文档的编制与台账整理1.2责任矩阵与时间轴各项工作必须锁定责任人与完成时间节点，每日18:00前在工作组内同步进度。自查任务域责任人启动时间完成节点交付物管理制度文档梳理安全保密专员T-14日T-10日制度汇编及发布记录网络与安全设备核查网络管理员T-14日T-7日设备配置核查表主机与应用系统核查系统管理员/开发负责人T-14日T-7日系统基线检查表高风险项专项整改各技术负责人T-7日T-3日整改验收单自查报告编制与复核IT部门负责人T-3日T-1日正式自查报告二、安全技术体系自查指引技术自查是整个准备阶段的硬仗，直接决定测评机构现场测试的通过率，须逐项穿透至设备底层配置，严禁仅凭主观印象打勾。2.1网络与通信安全自查边界防护与内部隔离是阻断外部攻击横向移动的第一道防线，策略配置的严密性直接关乎系统整体安全域的有效性。2.1.1边界防护设备策略核查•核查动作：登录防火墙、Web应用防火墙（WAF）、入侵防御系统（IPS）控制台，导出当前生效策略全集。•机理与要求：防火墙依赖五元组（源IP、目的IP、源端口、目的端口、协议）进行包过滤。必须采用最小权限原则，仅放行业务必需流量。•禁止性条款：严禁配置源地址为Any、目的地址为Any且动作为Permit的策略（此配置会导致边界设备形同虚设，外部攻击流量直达内网）。必须将默认策略设置为DenyAll，再按业务需求逐条添加白名单放行策略。•验证方法：从非授权网段使用Nmap对业务端口进行扫描，若返回filtered或无响应，视为策略生效；若返回open，必须立即排查拦截策略并复测。2.1.2网络架构与冗余核查•核查动作：绘制当前网络拓扑图（必须与实际物理连线一致），核对核心交换机、防火墙的冗余设计。•判定标准：核心网络设备与安全设备必须具备双机热备（HA）配置，单节点故障切换时间应≤32.2主机与计算环境安全自查操作系统与数据库的底层基线配置是防御入侵的最后屏障，弱口令与过期补丁是导致系统被直接攻陷的最常见根因。2.2.1身份鉴别与口令策略核查•核查动作：登录Linux/Windows主机及数据库，检查密码复杂度策略、登录失败处理策略。•核查命令与参数：◦Linux主机执行cat/etc/pam.d/system-auth，检查pam_tally2或pam_faillock模块配置。◦判定标准：密码长度≥8位，必须包含大写字母、小写字母、数字与特殊字符四类中的三类；连续登录失败5次必须锁定账户，锁定时间≥•出问题怎么办：若发现存在test、admin等弱口令账户，必须在1小时内强制修改密码，并核查该账户近30天的登录日志（/var/log/secure），确认是否存在异常登录源（非业务网段IP）。2.2.2恶意代码防范与补丁更新•核查动作：检查防病毒软件控制台，确认终端覆盖率；核对系统内核与关键中间件补丁版本。•风险演化叙事：Web中间件存在已知反序列化漏洞→攻击者发送构造的恶意请求包→中间件执行反序列化操作触发远程代码执行（RCE）→攻击者获取系统Shell权限并植入勒索病毒。•阻断点设计：在补丁未完成测试前，必须在WAF上配置针对该漏洞特征的虚拟补丁进行拦截。•验证方法：在测试机执行nmap-sV-p-<目标IP>，核对返回的服务版本号，比对CVE库确认是否存在90天前发布且未修复的高危漏洞。2.3应用与数据安全自查应用层安全机制直接面向最终用户，数据泄露往往源于越权访问与传输明文，必须在代码逻辑与数据流两个维度建立防护。2.3.1通信传输加密核查•核查动作：使用浏览器或抓包工具（如Wireshark）验证业务系统登录页面及数据交互接口的协议。•要求：涉及用户敏感信息（如身份证号、手机号、财务数据）的系统，优先采用TLS1.2及以上版本协议加密传输；若系统暂未启用HTTPS，必须在测评前部署SSL证书。严禁在生产环境明文传输敏感数据。•判定标准：抓包验证数据包内容必须呈现乱码，无法直接还原请求体中的明文字段。2.3.2数据备份与恢复核查•核查动作：登录数据库管理控制台，检查备份策略执行日志；核对异地备份介质的可用性。•机制与要求：必须执行至少“每周全备+每日增量备份”。关键数据库（如Oracle、MySQL）必须开启Binlog或归档日志，确保能恢复到任意时间点。•禁止性条款：严禁仅将备份数据存储在同物理机或同阵列的其他目录（面临存储介质损坏导致主备双失的风险）。必须将备份文件异步传输至异地灾备中心或独立对象存储。•验证方法：必须在自查阶段进行一次真实的恢复演练，从备份介质中提取最近一次备份集，在隔离环境中恢复并启动应用，验证数据完整性。演练过程必须截图留存作为测评佐证。三、安全管理体系自查指引管理体系的自查核心在于“印证存在”，即通过查阅台账、记录来证实安全管理制度被真实建立并有效执行，不能仅有空洞的制度文本而缺乏实施轨迹。3.1制度文档体系建设•核查动作：盘点现行安全管理制度文件，核对版本与发布日期。•要求：必须具备总纲（如《信息安全管理总体方针》）、专项管理制度（如《访问控制管理办法》《密码使用管理规定》）、操作规程（如《防火墙配置操作手册》）、记录表单四个层级的文档。•判定标准：制度文件必须经过正式签发流程（有文号、签发人签字或电子签章）。若制度发布时间超过3年或组织架构发生重大变更，必须在测评前完成修订并重新发布。•出问题怎么办：若发现关键操作规程缺失，由安全保密专员在3个工作日内起草，经IT部门负责人审核后，于自查结束前发布生效。3.2人员管理与外部访问审查•核查动作：抽取近6个月的新员工入职记录、离职员工权限交接记录、第三方驻场开发人员网络接入申请单。•要求：◦新员工必须完成安全意识培训并考核合格后方可开通系统访问权限。◦员工离职时，IT部门必须在离职手续发起后2小时内回收所有系统访问权限，并签署权限交接确认单。◦第三方人员接入内网必须签署保密协议（NDA），且网络访问权限必须设置有效期限（如7天），到期自动回收。四、常见高风险问题排查与闭环整改高风险项具有“一票否决”效力，必须在正式测评前完成清零，否则系统将被直接判定为不合格。整改必须遵循PDCA闭环，确保问题根治而非表面规避。4.1风险分级与处置时限根据等保行业标准，将自查发现的问题分为三级，实施差异化管控。风险等级判定标准示例启动权限处置时限处置原则一级（严重）核心系统存在未授权访问；管理后台使用弱口令IT部门负责人24小时内必须立即阻断风险源，当晚组织修复并复测二级（高危）安全设备策略未生效；日志保留不足6个月各技术线主管3个工作日内制定临时补偿措施并限期整改三级（一般）制度文档记录缺失；部分非核心基线不合规执行组成员测评前完成纳入常规整改计划，完善台账记录4.2典型高风险项专项整治4.2.1互联网暴露面收敛•风险描述：内部测试系统、后台管理界面直接映射至公网，导致攻击面扩大，极易被自动化扫描工具捕获并利用。•排查方法：使用外部网络环境，通过Shodan、FOFA等网络空间搜索引擎，输入组织名称或拥有的公网IP段，核查对外开放的端口与服务。•整改动作：1.关停公网映射的非必要服务（如测试环境、旧版管理后台）。2.对于必须开放的管理后台，优先撤回公网映射，改用VPN接入后再访问内部地址；若不具备VPN条件，必须在防火墙配置源IP白名单，严禁向全网开放。4.2.2安全审计日志完整性保障•风险描述：网络设备、安全设备、操作系统的日志仅保存在本地且保留时间不足，导致安全事件发生后无法进行攻击链路追溯。•排查方法：登录各类设备检查日志配置，确认存储路径与轮转策略。若依赖本地硬盘存储，通常在1-2个月内会被覆盖。•整改动作：1.部署或启用日志审计系统（如开源ELK栈或商业日志审计设备）。2.在所有网络设备、安全设备、关键主机上配置Syslog服务，指向日志审计系统IP。3.验证日志审计系统存储容量，按日均日志量（如5GB/天）计算，确保存储空间≥180五、自查工作验收与测评对接验收环节是自查质量的总关口，必须以测评机构的视角进行交叉复核，杜绝自查人员对自身整改结果的盲目乐观。5.1验收标准与复核机制•验收标准：自查发现的问题清单中，一级、二级风险必须100%完成整改并提供证据材料；三级风险必须制定明确的整改计划及责任人。•复核机制：实行“自查-复核”双签制。执行组提交整改证据后，必须由非该业务域的安全保密专员进行独立复测。•出问题怎么办：若复核时发现整改回退或无效，必须立即升级为一级风险，由IT部门负责人直接介入督办，并在12小时内重新提交整改结果。5.2测评机构对接准备•资料准备：整理系统拓扑图、IP地址分配表、设备清单（含型号/序列号/版本）、应用系统功能说明，打包发送给测评机构项目经理。•现场配合：安排熟悉各业务域的技术骨干全程陪同测评。测评过程中若发现现场测试不通过项，应当当场排查是否为环境瞬时故障，申请复测，严禁与测评人员发生冲突，所有争议问题记录在案后统一沟通。六、附件：自查工具表单以下表单为现场核查的标准化工具，必须打印纸质版或使用电子表单在现场逐项核对并签字确认。6.1主机安全基线自查清单（Linux范例）序号检查项核查命令/操作方法判定标准实际结果整改要求责任人复核人1密码复杂度策略cat/etc/pam.d/system-auth检查pam_pwqualityminlen>=8,minclass>=32登录失败锁定cat/etc/pam.d/system-auth检查pam_faillockdeny=5,unlock_ti