网络安全等级保护测评服务项目结果公告

网络安全等级保护测评服务项目结果公告一、公告依据与项目基本情况本次结果公告依据《中华人民共和国网络安全法》《网络安全等级保护条例（公开征求意见稿）》《信息安全技术网络安全等级保护测评要求》（GB/T28448-2019）以及本单位采购管理制度编制，旨在向项目主管部门、被测评单位及测评机构正式确认测评服务的实施结果、问题清单与整改责任，作为后续整改验收和等级保护备案变更的直接依据。读者（信息安全管理员、整改责任人、分管领导）读完本文档应完成三项动作：核对测评结论、认领整改任务、按第三章时限启动整改。1.1项目基本信息项目内容项目名称网络安全等级保护测评服务项目采购方式公开招标（招标编号：XXCG-2024-XXX）中标测评机构XX信息安全测评有限公司（测评机构等级：XX级，证书编号：XXXXXX）测评依据GB/T28448-2019、GB/T22239-2019、GB/T25070-2019测评周期2024年X月X日至2024年X月X日（现场测评XX个工作日）被测评系统办公OA系统（二级）、业务管理系统（三级）、对外门户网站（二级），共3个系统项目负责人张某某（甲方）、李某某（乙方，测评师证书编号XXXXXX）联系方式138********/xxx@1.2测评范围与方法•范围覆盖上述3个信息系统的定级对象全部构成组件，含服务器XX台、网络设备XX台、安全设备XX台、数据库XX套、应用系统3套。•方法采用访谈、核查、测试三种手段：技术层面开展漏洞扫描、基线核查、渗透测试（仅三级系统）；管理层面核查制度文件、记录台账并访谈管理人员。•单元测评覆盖率100%，全部测评单元均出具单项测评结果。二、测评结果测评结论是本公告的核心输出，直接决定整改的紧迫程度与备案动作。按GB/T28448-2019规定，综合得分与结论判定标准为：得分90分以上且无高风险项为「优」，80~90分为「良」，70~80分为「中」，70分以下或存在高风险项为「差」。2.1系统测评结论汇总系统名称保护等级综合得分测评结论高风险项数量中风险项数量低风险项数量业务管理系统第三级78.5分中1411办公OA系统第二级85.2分良038对外门户网站第二级82.7分良029判定说明：业务管理系统存在1项高风险项，依据GB/T28448-2019第6.1节判定规则，只要存在高风险项，综合结论不得高于「中」。该系统须在3个月内完成高风险项整改并申请复测，方可用于等级保护备案及年度检查材料。2.2高风险项详情及风险演化路径高风险项（业务管理系统）：互联网出口未部署对业务系统的入侵防范措施，应用层攻击检测能力缺失。风险演化路径：攻击者通过互联网扫描发现系统暴露面→利用未修补的Web中间件漏洞（测评中实测发现存在可远程代码执行的历史漏洞）获取应用服务器权限→以应用服务器为跳板横向渗透至内网数据库区→拖取业务数据库数据，造成数据泄露及业务中断。阻断点应设在互联网边界与服务器区边界两处。整改要求（必须执行）：1.在互联网边界部署具备Web应用防护能力的设备或启用云WAF服务，开启SQL注入、XSS、命令注入特征拦截，拦截策略设置为「阻断+告警」，整改完成后提交1份7天拦截日志作为验收材料。2.修补测评报告附录中列明的XX项应用漏洞，其中高危漏洞必须在15个自然日内完成修补并复测验证。3.整改完成后由原测评机构在30个自然日内实施高风险项复测，复测费用已包含在合同总价内。2.3中低风险问题清单（摘要）以下为中风险项分布，完整清单见《XX项目测评报告》（编号XXXX）附录B：序号所属系统问题层面问题描述建议措施建议完成时限1业务管理系统安全管理制度应急预案近2年未开展演练，无演练记录每年至少组织1次桌面推演+1次实战演练，留存记录90日内2业务管理系统安全运维管理部分服务器未启用操作日志审计，审计留存不足6个月启用系统审计功能，日志集中留存不少于6个月30日内3办公OA系统安全通信网络关键链路无冗余，单点故障可致业务中断核心交换与出口链路增加冗余或明确业务可接受中断窗口180日内4门户网站身份鉴别管理后台未启用双因素认证后台登录启用短信或OTP双因素认证60日内三、整改组织与时限要求整改工作的成败取决于责任到人、时限刚性、验收有据三条线同时闭环。本项目整改实行「一项一表、一人一责、限期销号」机制。3.1整改责任分工层面责任人职责产出领导小组分管副总（组长）、信息部门负责人（副组长）每月召开1次整改例会，协调资源，审定整改方案会议纪要（会后24小时内下发）技术整改组网络管理员、系统管理员各1名实施技术类整改项，编写整改前后对比记录整改记录表、配置截图、日志管理整改组安全管理员1名修订制度文件、组织培训与演练修订版制度、演练记录、培训签到表验收组信息部门负责人+外聘测评机构复核逐项核验整改证据，出具验收意见整改验收表3.2整改时限1.高风险项：15个自然日内完成漏洞修补，30个自然日内完成全部技术整改并申请复测。2.中风险项：按2.3表中时限执行，最迟不超过180日。3.低风险项：纳入年度安全工作计划，在下一次测评前完成。4.所有整改项实行销号管理：每完成一项，由责任人填写《整改销号登记表》（附件1），经验收组签字后方可销号；逾期未销号的，领导小组在例会上说明原因并重新排期，连续2次逾期的上报分管领导追责。3.3异常处置•整改过程中因设备采购周期等原因确实无法按期完成的，责任人必须在到期前5个工作日提出书面延期申请，说明替代性缓解措施（如临时加严访问控制、启用监控告警），经领导小组批准后可延期1次，最长不超过30日；严禁以「等设备到货」为由裸奔运行——在缓解措施未部署期间，必须对相关系统开启每日告警巡检。•整改引入新设备导致业务中断风险的，必须安排在业务低峰窗口（周五22:00至周六06:00）实施，并提前准备回退方案：实施前完成配置备份，若变更后30分钟内业务验证不通过，立即按备份回退。四、后续工作安排测评结论与整改结果将直接用于三项后续动作，各部门应按以下节点推进：1.备案材料更新：业务管理系统复测结论达到「良」以上后10个工作日内，向属地公安机关网安部门提交测评报告更新备案材料（责任：安全管理员）。2.年度自查：每年12月31日前完成1次等级保护自查，自查表采用本次测评的问题清单为基线，逐项核对是否复发（责任：安全管理员）。3.下一轮测评：三级系统每1年、二级系统按属地要求每2年开展1次测评，采购工作提前2个月启动（责任：信息部门负责人）。附件附件1：整改销号登记表（样表）序号问题编号问题描述责任人整改措施计划完成日期实际完成日期验收证据名称验收人签字销号状态1GFY-001（示例）部署WAF王某某互联网边界部署WAF并开启阻断模式2024-XX-XX7天拦截日志、配置截图待验收附件2：应急联络通讯录（样表）角色姓名单位/部门电话邮箱职责场景甲方项目负责人张某某信息部门138******xxx@整改协调、对外报送测评机构项目经理李某某XX测评公司139******xxx@复测、报告澄清设备厂商技术支持——400-XXX-XXXX—安全设备故障处置属地网安部门备案联系人——0XX-XXXXXXXX—备案与事件报送附件3：整改检查表（验收组用）•