2026年度政务服务综合业务系统网络安全等级保护三级安全评估报告

2026年度政务服务综合业务系统网络安全等级保护三级安全评估报告（评估周期：2026年1月1日起—2026年6月30日）受评单位：XX市政务服务和数据管理局评估实施单位：XX网络安全等级测评与检测评估有限责任公司报告编号：XX-DJ2026-03122026年6月目录2433一、评估工作概述 本报告基于2026年上半年对XX市政务服务综合业务系统的全维度安全测评结果编制，所有测试操作均在业务低峰期开展，经受评单位现场确认，未对系统正常运行造成影响；报告内涉及的所有问题结论均经过两轮交叉验证，剔除工具误报项，确保风险判定客观、整改方向可落地。一、评估工作概述（一）评估背景随着全市数字政府建设持续深化，政务服务综合业务系统已成为承载个人办事、企业服务、政务审批全流程的核心平台，系统累计汇聚全市常住人口身份信息、不动产登记信息、企业经营信息等敏感数据，服务覆盖全市12个区县、236个镇街便民服务网点，是直接面向群众、涉及民生服务的关键信息基础设施。按照《中华人民共和国网络安全法》《网络安全等级保护条例》关于三级网络系统每年开展一次安全评估的法定要求，结合上级网信、公安部门2026年政务系统安全专项整治工作部署，市政务服务和数据管理局委托具备国家等级测评资质的第三方机构，对系统开展全流程、全要素的安全评估，全面排查当前防护体系存在的短板，守住不发生重大网络安全事件、不发生大规模敏感信息泄露的底线。（二）评估工作目的本次评估核心目标包括三个层面：一是全面对标等保三级标准的技术与管理要求，逐点核查系统现有防护措施的合规性，明确当前安全防护的整体水平；二是通过技术测试、文档核查、现场访谈等方式，精准识别系统存在的技术脆弱性、管理漏洞，量化分析不同风险的影响范围与严重程度，形成完整的风险清单；三是结合政务系统的业务特点与安全需求，提出可落地、分优先级的整改优化建议，帮助受评单位搭建“测改同步、长效防控”的安全管理机制，提升系统应对高级持续性威胁、数据泄露、勒索攻击等新型安全风险的能力。（三）评估工作总体安排本次评估工作自2026年2月正式启动，前后历时四个半月，评估工作组由第三方测评机构的安全测评师、受评单位信息中心运维团队、政务云服务商技术支撑团队共11人组成，严格按照“不影响业务、不破坏数据、可追溯留痕”的原则开展工作，先后完成评估方案编制、资料收集、现场技术测试、管理流程核查、风险交叉验证、报告多轮修订等环节，累计访谈各岗位工作人员12名，核查各类制度、记录、日志资料147份，开展3轮全覆盖漏洞扫描、2轮非破坏性渗透测试，最终形成本评估报告。二、评估对象与评估范围界定（一）评估对象基本情况本次评估的核心对象为XX市政务服务综合业务系统，该系统于2023年6月正式上线运行，2023年9月完成等级保护三级备案，备案编号为[待补充]；2024年、2025年连续两年开展年度等保评估，测评结论均为合格。当前系统部署在市政务云专属安全区域，总计算资源配置为：应用服务器12台、数据库服务器8台、安全防护设备4台，注册用户规模达[××]万，日均访问量[××]万次，平均每笔政务办事流程需调用系统接口27次，是全市政务服务“一网通办”的核心支撑平台。系统的核心业务模块包括5个部分：一是面向群众的PC端政务服务门户，提供社保查询、公积金办理、不动产登记、医保报销等187项高频服务；二是面向群众的移动端政务服务小程序，支持身份证亮证、扫码办事、进度查询等功能；三是面向工作人员的后台管理系统，实现政务审批、事项配置、用户管理等功能；四是面向部门的数据共享接口，对接公安、医保、不动产、公积金等17个市级部门的业务系统，实现跨部门数据调用；五是系统运维监控模块，实现对服务器运行状态、安全告警、日志审计的统一管理。（二）评估范围边界确认本次评估严格按照受评单位确认的范围清单开展，具体覆盖三个维度，未超出约定边界开展测试：技术维度覆盖范围：包括政务云专属区内的所有网络节点、计算资源、应用系统模块、存储的业务数据、对外提供的服务接口；边界外的衔接部分重点核查互联网出口、政务专网专线、跨部门数据共享接口的安全防护措施。需特别说明的是，政务云底层基础设施（机房、物理服务器、底层虚拟化平台）的安全防护由云服务商按照等保三级要求单独开展评估，本次评估不包含该部分内容，云服务商已提供2025年度等保合规证明材料。管理维度覆盖范围：包括系统涉及的所有安全管理制度、运维管理流程、人员安全管理要求、外包开发与运维服务商的管理机制、应急处置体系的建设与运行情况。不在本次评估范围内的内容：包括政务办公局域网的其他非三级系统、政务云非专属区的其他单位系统、第三方对接部门的内部业务系统安全防护能力。三、评估依据与判定标准（一）核心评估依据本次评估工作严格遵循国家、行业、地方的正式规范要求，核心依据清单包括：《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《网络安全等级保护条例（2024修订）》《信息安全技术网络安全等级保护基本要求（GB/T22239-2019）》《信息安全技术网络安全等级保护测评要求（GB/T28448-2019）》《XX省政务网络安全管理办法》《XX市数字政府建设安全管理规范》，以及受评单位提供的系统定级备案证明、系统架构设计文档、历史等保测评报告等正式材料。（二）评估等级判定标尺本次评估按照等保三级要求，将所有安全控制点分为安全技术类、安全管理类两大类别，按照各控制点的权重计算综合得分，总分为100分，其中安全技术部分占60%权重，安全管理部分占40%权重。具体判定规则为：综合得分≥80分且无高风险安全问题的，判定为“安全防护优秀”；综合得分≥60分且无高风险安全问题的，判定为“安全防护合格”；综合得分<60分，或存在高风险安全问题的，判定为“待整改合格”，需完成全部高风险问题整改并经复测通过后，方可认定为达标。（三）评估组织分工为保障评估工作高效开展，评估工作组建立了三方协同的分工机制：第三方测评机构负责按照规范要求开展技术测试、管理核查、风险分析、报告编制工作；受评单位信息中心负责提供所有系统资料、协调内部人员配合访谈、确认发现的问题清单；政务云服务商负责提供基础设施运行日志、配合开展网络与主机层面的测试验证。评估全过程建立问题复核机制，所有测试发现的风险均需由两方以上人员现场验证，排除工具误报，确保结论真实可靠。四、评估方法与实施过程（一）采用的核心评估方法为避免单一测试方法带来的结论偏差，本次评估综合采用四类方法交叉验证，覆盖所有安全控制点：访谈调研法：针对系统负责人、安全管理员、运维人员、开发人员、外包服务商对接人共12名不同岗位的人员开展半结构化访谈，重点了解安全职责落实情况、流程执行中的堵点、日常安全事件的处置流程，累计形成访谈记录21份。文档核查法：按照等保测评的资料清单，逐一核查受评单位提供的安全管理制度、运维记录、人员培训记录、应急演练记录、外包合同、安全产品资质等147份文档，核查制度的完整性、适用性与落地执行情况。工具测试法：使用合规的漏洞扫描器、渗透测试工具、流量分析工具，在业务低峰期对系统开展非破坏性测试，测试过程全程留痕，提前做好业务回滚预案，避免测试对正常办事群众造成影响。现场观察法：到政务云机房、运维监控中心现场核查物理安全措施的实际落地情况，确认门禁管控、监控覆盖、应急值守等措施是否真正发挥作用。（二）评估实施全流程本次评估全流程分为四个阶段推进，每个阶段均设置明确的交付物与质量管控节点：第一阶段为准备阶段（2026年2月10日—2月28日）：完成评估方案编制、与受评单位确认评估范围与时间安排、发放资料收集清单，同步开展测评人员的培训，明确测试过程的安全红线。第二阶段为现场测评阶段（2026年3月1日—4月15日）：进场开展所有技术测试与管理核查工作，累计完成3轮漏洞扫描，覆盖所有服务器、应用接口、网络设备；开展2轮渗透测试，从外部互联网视角、内部运维视角分别模拟攻击者的攻击路径；同步完成所有岗位的访谈与文档核查工作，建立初步的问题清单。第三阶段为风险分析阶段（2026年4月16日—5月20日）：对初步清单中的所有问题逐一开展验证，剔除误报项，结合业务场景分析每个风险的影响范围、发生可能性，按照高、中、低三个等级进行分类，形成最终的风险清单并提交受评单位确认。第四阶段为报告编制阶段（2026年5月21日—6月20日）：按照规范要求编制评估报告初稿，组织专家开展内部评审，与受评单位充分交换意见，针对争议的问题开展二次验证，修改完善后形成正式评估报告。五、安全技术层面评估结果分析（一）物理与环境安全测评结果由于系统部署在政务云专属机房，物理安全部分主要依托云服务商的机房防护能力开展核查。经现场核查与资料验证，机房已建立7*24小时门禁管控机制，所有进出机房的人员均需刷卡+人脸识别验证，出入记录留存时间达12个月，符合等保三级要求；机房配备双路市电供电、UPS不间断电源、柴油发电机备用供电体系，可保障断电情况下持续供电8小时以上；机房温湿度实时监控、漏水检测、气体消防等措施均已落地运行。测评发现的问题主要包括两点：一是机房西南角区域的监控摄像头存在2个覆盖盲区，虽然该区域属于设备存储区，但没有实现无死角监控，存在无关人员违规操作设备的风险；二是近12个月的消防演练记录显示，有3次演练未按照每季度一次的要求开展，演练记录留存不完整。整体来看，物理与环境安全的整体合规率为[××]%，基本满足等保三级要求。（二）网络与通信安全测评结果网络安全层面，当前系统已按照等保要求完成四个安全域的划分，包括互联网接入区、应用服务区、数据库区、运维管理区，域间通过下一代防火墙实现访问控制，严格禁止跨域的直接访问；互联网出口部署了Web应用防火墙、入侵防御系统、抗DDoS防护设备，近12个月累计拦截境外恶意访问攻击[××]万次，拦截SQL注入、XSS跨站脚本等Web攻击1.2万次，有效降低了外部攻击的风险。测评发现的问题包括三点：一是防火墙策略长期未梳理清理，共排查出47条失效的冗余规则，这些规则是之前系统临时调试时开通的，后续没有及时删除，扩大了网络访问的攻击面；二是和外部部门对接的2个专线接口没有配置IP绑定的访问控制策略，任何IP地址都可以尝试调用接口，存在未授权访问的风险；三是入侵防御系统的规则库上次更新时间为2026年1月，距上次更新已超过90天，最新出现的高危攻击特征没有完全覆盖，防护能力存在滞后。（三）主机与计算环境安全测评结果主机安全层面，所有正式运行的服务器均已开启强口令策略，要求口令长度不低于12位，包含大小写字母、数字、特殊字符，口令每90天强制更换；服务器已统一部署终端检测与响应（EDR）系统，实现恶意代码查杀、异常行为告警功能；主机访问控制按照最小权限原则配置，普通运维人员没有数据库服务器的直接登录权限。测评发现的问题包括三点：一是有2台用于版本测试的服务器未纳入EDR管理范围，这些服务器直接连接应用服务区网络，一旦被植入恶意代码，可能横向扩散到正式运行的业务服务器；二是主机审计日志的当前留存时间为5个月，未达到等保三级要求的6个月留存要求，无法满足后续安全事件溯源的需要；三是部分服务器的本地管理员账号存在多人共享使用的情况，账号操作日志无法追溯到具体的操作人员，一旦发生违规操作无法定责。（四）应用与业务安全测评结果应用安全层面，当前系统已实现多因素身份认证机制，用户登录需验证账号密码+短信验证码，工作人员登录后台需验证账号密码+动态口令；系统权限按照最小必要原则分配，不同岗位的工作人员仅能访问职责范围内的功能模块；所有应用页面均已开启输入校验，防止恶意字符注入。测评发现的问题包括四点：一是部分对外提供的用户信息查询接口没有配置请求频率限制，攻击者可以通过自动化脚本批量爬取用户的身份、办事记录等敏感信息，存在大规模数据泄露的风险；二是应用前端页面存在3处XSS跨站脚本漏洞，攻击者可以通过构造恶意链接窃取登录用户的会话凭证，冒充用户身份操作账户；三是用户修改密码的旧密码校验逻辑存在缺陷，连续5次输错旧密码没有触发账号锁定机制，攻击者可以通过暴力破解方式猜出用户旧密码，篡改账户信息；四是移动端小程序的本地缓存机制存在缺陷，用户的身份证号、手机号等敏感信息在本地缓存时未做加密处理，一旦手机被获取，攻击者可以直接读取本地缓存的敏感数据。（五）数据与备份安全测评结果数据安全层面，当前核心业务数据已建立“每日全量备份+每小时增量备份”的机制，备份数据同步存储到100公里外的异地容灾机房，可保障极端情况下的数据不丢失；数据传输过程采用HTTPS加密，防止传输过程中的数据被窃听。测评发现的问题包括两点：一是近12个月的备份恢复演练记录显示，数据完整恢复的平均时间为6.2小时，比预设的4小时恢复目标慢了2.2小时，一旦发生勒索攻击、数据库损坏等事件，业务恢复效率达不到要求；二是数据库中存储的用户身份证号、家庭住址、联系电话等敏感字段没有开展字段级加密，一旦数据库被非法访问，所有存储的敏感信息会直接泄露，没有二次防护屏障。六、安全管理层面评估结果分析（一）安全管理制度体系测评结果管理体系建设层面，经过近3年的持续完善，受评单位已建立覆盖网络安全总体管理、运维操作、应急处置、人员管理等领域的27项安全管理制度，明确了各岗位的安全职责，在2025年全市政务系统安全考核中获得第二名的成绩。测评发现的问题包括三点：一是部分制度的更新滞后于新的法律法规要求，比如《个人信息保护管理规范》是2023年制定的，没有对照2025年出台的《个人信息保护合规审计管理办法》开展修订，制度内容和最新监管要求存在差距；二是制度宣贯落地不足，近12个月仅组织了1次全员安全培训，新入职的运维人员没有经过岗前安全考核就直接上岗，对制度要求不熟悉；三是制度执行存在偏差，按照运维规范要求，服务器操作需执行“双人复核”机制，但近3个月的运维日志中有12次单人操作服务器的记录，复核流程没有真正落地。（二）安全管理机构与人员测评结果机构设置层面，受评单位已建立独立的安全管理团队，设置了安全主管、安全管理员、系统管理员、审计管理员四个岗位，三个管理员岗位相互独立，没有出现兼任情况，符合等保三级的岗位分离要求。测评发现的问题包括三点：一是专职安全运维人员仅配置3人，按照三级系统的人员配置标准，需至少配备4名专职安全人员，当前团队存在1人的人员缺口，日常7*24小时值守需要依靠云服务商人员补位，自主可控能力不足；二是人员离岗流程存在漏洞，近12个月有2名离职人员的系统账号在离职后72小时才完成注销，超过了要求的离职后2小时内注销账号的时限，存在账号被滥用的风险；三是和公安、网信部门的应急联动机制没有签订正式的书面协议，发生重大安全事件时的报告流程、报告时限、协同处置要求没有明确约定，应急响应效率得不到保障。（三）系统建设与外包管理测评结果系统建设管理层面，系统上线前已完成安全定级备案、上线前安全测试，所有安全产品的采购均按照政府采购流程开展，供应商资质齐全。测评发现的问题包括三点：一是应用系统的外包开发团队在项目交付后，仍然留存了部分测试环境的账号，没有在项目验收时全部收回，存在外包人员非法访问正式系统的风险；二是系统上线后累计完成3次功能迭代升级，每次升级后没有针对新版本开展专项安全测试，新上线功能存在的安全漏洞没有及时发现；三是系统使用的开源组件没有开展供应链安全评估，部分开源组件存在已知的高危漏洞，没有建立定期排查机制。（四）系统运维与应急管理测评结果运维管理层面，当前系统已实现7*24小时安全告警监控，运维团队可实时接收安全设备的告警信息；每年按照要求开展应急演练，提升团队的事件处置能力。测评发现的问题包括四点：一是安全告警响应存在滞后，近12个月处置的42起安全告警中，低危告警的平均响应时间超过2小时，没有达到要求的30分钟响应时限；二是漏洞管理没有形成闭环流程，近6个月排查出的12个中危漏洞，有3个超过30天未完成整改，漏洞长期存在于系统中；三是应急预案的可操作性不强，之前开展的3次演练场景设置过于简单，没有模拟数据库被勒索加密、大规模用户信息泄露等极端场景，演练后的改进措施没有跟踪落地；四是移动存储介质管理存在漏洞，有运维人员使用私人U盘拷贝服务器日志，没有按照要求开展介质登记、病毒查杀，存在通过介质传播恶意代码的风险。七、安全风险分析与等级判定（一）风险判定规则本次风险判定从“风险发生可能性”和“风险影响严重程度”两个维度开展，将所有风险划分为三个等级：高风险是指一旦发生，可能导致核心敏感数据大规模泄露、系统服务长时间中断、引发重大社会舆论影响的问题；中风险是指可能导致局部系统异常、小范围信息泄露、不直接造成重大损失的问题；低风险是指对系统安全影响较小、不会直接触发安全事件的问题。（二）本次评估发现的风险汇总经过两轮验证，本次评估累计发现各类安全风险15个，其中高风险2个、中风险8个、低风险5个，具体清单如下表所示：序号风险类别风险等级问题描述影响范围1应用安全高风险对外查询接口未配置频率限制，可被批量爬取用户敏感信息所有注册用户的个人信息2数据安全高风险数据库敏感字段未加密，数据库被访问后敏感信息直接泄露系统存储的所有民生类敏感数据3网络安全中风险防火墙存在47条冗余失效规则，扩大网络攻击面所有安全域的网络访问边界4网络安全中风险外部专线接口未做IP绑定，存在未授权访问风险跨部门数据共享接口5主机安全中风险2台测试服务器未纳入EDR防护范围，存在恶意代码扩散风险应用服务区的服务器集群6主机安全中风险主机审计日志留存5个月，未达到6个月的等保要求所有服务器的日志溯源能力7人员管理中风险专职安全运维人员缺口1人，自主值守能力不足整个安全团队的运维效能8外包管理中风险外包开发人员留存测试账号，未在项目验收时收回测试环境及关联的应用系统9运维管理中风险3个中危漏洞超过30天未完成整改，漏洞闭环机制缺失存在漏洞的3个应用功能模块10数据备份中风险数据恢复时间6.2小时，超出预设的4小时恢复目标业务系统的灾备恢复能力11物理安全低风险机房存在2个监控覆盖盲区机房物理访问管控12物理安全低风险3次消防演练未按季度开展，记录不完整机房消防应急能力13网络安全低风险入侵防御规则库超过90天未更新边界攻击防护能力14应用安全低风险移动端缓存的用户信息未做加密处理移动端的用户数据安全15运维管理低风险运维人员使用私人U盘拷贝日志，介质管理不规范运维操作的安全管控（三）系统安全水平综合判定按照权重计算，本次评估的综合得分为70分，其中安全技术部分得分72分（占60%权重）、安全管理部分得分68分（占40%权重），由于存在2个高风险安全问题，整体判定为“待整改合格”。也就是说，当前系统已经搭建了基础的安全防护框架，绝大多数安全控制点符合等保三级要求，但存在的高风险问题一旦被攻击者利用，可能造成大规模用户敏感信息泄露、引发重大社会影响，必须完成整改并经复测通过后，方可达到等保三级的正式合格标准。八、安全整改优化建议（一）高风险问题立即整改要求针对2个高风险问题，要求受评单位在评估报告出具后的15个工作日内完成全部整改，整改完成后第一时间申请复测：针对应用接口未做频率限制的问题，立即对所有对外提供服务的接口开展全量梳理，配置请求频率限制、IP访问白名单、人机验证机制，对异常高频访问的IP自动封禁，坚决阻断攻击者批量爬取用户信息的路径；同步对近3个月的接口访问日志开展回溯分析，排查是否存在已被批量爬取的情况，一旦发现及时按规定上报主管部门。针对数据库敏感字段未加密的问题，立即启动敏感字段透明加密改造，对存储的身份证号、手机号、家庭住址等敏感数据开展加密存储，所有敏感数据的访问全部留痕审计，即使发生数据库被非法访问的情况，攻击者获取的也是加密后的无效数据，从根本上降低数据泄露的影响。（二）中风险问题限期整改要求针对8个中风险问题，要求受评单位在3个月内完成全部整改：组织专人梳理防火墙的所有访问规则，清理冗余失效的47条规则，建立规则上线、下线的审批流程，每季度开展一次规则核查，确保访问策略最小化、无冗余。把所有未纳入EDR管理的测试服务器全部纳入防护范围，实现主机防护100%覆盖，定期开展EDR告警的分析处置。按照等保要求，将所有主机、应用的审计日志留存时间延长到6个月以上，日志统一同步到安全审计平台，实现全量日志的集中存储与分析。按照三级系统的人员配置标准，在3个月内补充1名专职安全运维人员，建立新员工岗前安全考核机制，考核合格后方可上岗。全面收回外包开发人员留存的所有测试账号，建立外包人员账号的动态管理机制，在项目交付后第一时间完成所有账号的注销。建立漏洞管理闭环台账，明确每个漏洞的整改责任人、整改时限，每两周核查一次整改进度，确保所有中高危漏洞在30天内完成整改。对跨部门对接的专线接口配置IP绑定的访问控制策略，仅允许授权的IP地址调用接口，防止未授权访问。优化数据备份恢复流程，定期开展恢复演练，将数据完整恢复的时间控制在4小时以内，满足业务连续运行的要求。（三）低风险问题持续优化建议针对5个低风险问题，要求受评单位在半年内完成优化提升：补齐机房的监控覆盖盲