2026年度政务信息系统网络安全评估报告

XX街道办事处2026年度政务信息系统网络安全评估报告评估周期：2026年1月1日—2026年12月31日评估单位：XX区互联网信息办公室、XX区大数据中心、XX网络安全技术测评有限公司联合评估组报告编制单位：XX街道办事处党政综合办公室2027年1月15日目录目录XX街道2026年度政务信息系统安全评估报告为深入贯彻落实《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》以及国家、省、市关于基层政务信息化安全建设的相关工作要求，全面掌握XX街道办事处2026年度政务信息系统的安全运行状况，排查整治潜在的网络安全风险隐患，提升基层政务服务的安全保障能力，区网信办联合区大数据中心、第三方具备资质的网络安全测评机构，于2026年11月10日—12月20日对街道所有在用的政务信息系统开展了全覆盖安全评估，结合现场测评、文档核查、人员访谈、漏洞扫描、渗透测试等多种方式，全面梳理系统运行中存在的安全短板，深入剖析风险产生的根源，提出可落地的整改提升措施，形成本评估报告。一、评估工作概述（一）评估目的本次评估核心目的是全面摸清街道政务信息系统的安全底数，对照国家网络安全等级保护2.0标准与地方政务安全管理要求，精准识别系统运行、数据存储、网络传输、运维管理全流程的安全隐患，压实各科室、各社区的网络安全主体责任，构建“事前预防、事中监测、事后处置”的全链条安全防护体系，切实保障辖区12.7万居民的个人信息安全、保障政务服务业务连续稳定运行，坚决杜绝重特大网络安全责任事件发生，确保街道政务系统符合《网络安全法》《数据安全法》规定的合规性要求，避免因安全防护不到位面临监管处罚。（二）评估依据本次评估严格遵循相关法律法规与技术标准开展，主要依据包括：一是国家层面法律法规，即《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《关键信息基础设施安全保护条例》；二是国家技术标准，即《网络安全等级保护基本要求》（GB/T22239-2019）、《网络安全等级保护测评要求》（GB/T28448-2019）、《政务信息系统安全审计规范》；三是地方管理要求，即《XX市政务数据安全管理条例》《XX区基层政务网络安全工作指引（2026版）》《XX区政务云安全管理办法》；四是街道内部管理文件，即《XX街道网络安全管理办法》《XX街道网络安全事件应急预案》。（三）评估范围本次评估实现街道所有政务信息化资产的全覆盖，具体包含五类对象：一是托管于区政务云的5个政务应用系统，分别为街道协同办公OA系统、街道政务服务综合受理平台、街道智慧网格治理系统、街道12345民生诉求响应模块、街道老年智慧订餐服务系统；二是街道机关及18个社区的政务专网接入网络、核心交换设备、边界防护设备；三是街道中心机房的物理环境、配套电力、消防、温湿度控制设施；四是全街道在用的342台政务办公终端、移动网格终端的安全配置、防护软件安装情况；五是街道官方门户网站、3个社区公众号矩阵、官方视频号的后台管理权限、内容发布安全管控机制。（四）评估实施流程本次评估严格按照规范流程推进，整体分为四个阶段：第一阶段为准备阶段（2026年10月20日—11月9日），评估组对接街道信息化专职联系人，收集所有系统的架构拓扑图、管理制度文件、运维日志、历史测评报告、应急演练记录，结合街道基层工作实际制定现场测评方案，明确测评要点与责任分工；第二阶段为现场测评阶段（2026年11月10日—11月25日），采取技术扫描、实地查看、人员访谈、文档核查的组合方式开展测评，累计访谈街道分管领导2人、科室负责人8人、社区工作人员26人，开展系统漏洞扫描12次、模拟渗透测试5次，现场随机核查终端安全配置126台，逐一记录每个测评点的合规性情况；第三阶段为问题梳理与整改复核阶段（2026年11月26日—12月20日），对现场发现的问题逐一梳理形成标准化问题清单，反馈给街道责任科室督促立行立改，对已经完成整改的问题逐一到现场复核验证，对暂时不具备整改条件的问题，明确临时防护措施与最终整改时限；第四阶段为报告编制阶段（2026年12月21日—2027年1月10日），汇总所有测评数据，严格按照等保测评的评分标准进行量化打分，深入剖析问题产生的根源，提出可落地、可考核的整改措施，形成正式评估报告。二、评估对象基本情况（一）街道政务信息化建设总体情况XX街道是XX区的核心城区街道，辖区面积7.2平方公里，下辖18个社区居委会，常住人口12.73万人，登记市场主体1.2万户。2026年全年街道通过政务系统办理各类政务服务事项共计12.4万件，受理12345民生诉求2872件，开展网格巡查上报事件1.9万件，系统承载的数据包含辖区所有居民的身份信息、社保缴纳信息、低保救助信息、居家养老服务信息、矛盾调解记录等敏感数据，数据安全直接关系到辖区居民的切身利益。街道从2019年开始推进政务信息化建设，先后完成了政务专网接入、区政务云平台对接、各应用系统的部署上线，截至2026年底，街道累计在政务信息化方面的投入共计326万元，初步形成了覆盖机关、社区的政务服务网络体系，基本实现了日常办公、政务受理、网格治理、民生诉求响应的全流程线上化。（二）政务信息系统技术架构街道政务系统的整体技术架构分为三个层面：网络层面，街道通过2条运营商专线接入区政务专网，主链路为中国电信100M政务专线，备份链路为中国联通50M专线，链路冗余度达到100%，核心交换设备为2台华为S5730交换机，部署在街道中心机房，通过光纤连接到18个社区的接入交换机，社区端到机关端的网络带宽为100M；计算资源层面，所有应用系统的服务器均托管在区政务云平台，共计分配云主机4台、对象存储8T、云数据库1台，按照业务安全等级进行资源差异化配置，其中政务服务综合受理平台因为承载等保三级业务，分配了2核8G的云主机资源，其他系统为2核4G资源；终端层面，机关科室配置办公电脑126台，每个社区配置网格终端12台，共计216台，所有终端均安装了区统一部署的防病毒软件。（三）历年安全工作基础街道2024年第一次开展政务系统等保测评，当时整体得分是65分，存在高危问题7个；2025年针对测评发现的问题投入6万元开展集中整改，当年开展复评时得分提升到72分，高危问题全部清零，中危问题从21个减少到9个。2026年全年街道组织开展网络安全应急演练2次，分别是6月的勒索病毒应急演练、10月的政务数据泄露应急演练；组织季度安全排查4次，累计排查各类隐患47个；全年未发生重大的网络安全责任事件，网络安全形势整体平稳。三、物理与环境安全防护能力评估（一）机房环境防护情况街道中心机房建于2019年，位于街道办公楼3层走廊尽头，面积12平方米，配备1台5P精密空调、1套七氟丙烷气体灭火装置、1套门禁刷卡系统、2台壁挂式温湿度计、1台3KVA在线式UPS电源。现场测评发现存在四个方面的问题：一是温湿度记录台账存在3次补录情况，分别为2026年4月12日、7月3日、9月18日，对应时段机房温度分别达到28.7℃、29.2℃、27.9℃，超出《机房建设规范》要求的18℃—26℃的合理区间，原因为空调出风口被堆放的废弃纸箱遮挡，未及时清理；二是UPS电源配备的12节12V蓄电池为2021年6月更换，现场带载测试显示实际续航时间为17分42秒，未达到设计标称的30分钟续航要求，单节电池电压检测发现有3节电池的开路电压低于12V，存在明显的电池衰减；三是机房门禁的权限设置存在管理漏洞，运维外包人员的门禁权限为7*24小时全时段开放，未按照最小权限原则设置为工作日工作时段开放，且门禁记录仅保存30天，未达到网络安全等级保护要求的6个月留存期限；四是机房内未部署漏水检测装置，机房下方的空调排水管存在滴水痕迹，2026年5月曾因排水管堵塞漏水，浸湿了1台接入交换机的底部，导致2个社区的政务内网中断了40分钟，后来临时更换了交换机才恢复正常。（二）物理访问控制情况机房门口安装有1台高清监控摄像头，监控录像留存时间为90天，符合安全要求。但现场核查发现存在明显管理漏洞：一是机房的2个备用物理钥匙未纳入统一登记管理，直接放在党政办的公共抽屉里，任何科室工作人员都可以拿到钥匙进入机房，没有登记领用记录；二是机房的临窗位置未安装防盗网，窗户距离旁边的消防通道平台不足1米，外部人员可以通过消防通道直接爬到机房窗外，存在物理入侵的风险；三是每年的机房安全检查仅由街道兼职信息化工作人员开展，没有邀请第三方专业机构开展防雷、防静电检测，2026年全年没有开展过机房接地电阻的检测。（三）配套电力与消防设施情况机房的电力是从办公楼的总配电箱单独拉出的专线，配备独立空开，供电可靠性有基础保障。但现场检查发现：一是机房内没有配备专门的应急照明装置，一旦办公楼停电，机房内部没有照明，无法开展应急处置操作；二是机房的七氟丙烷气体灭火装置有效期为2028年，2026年6月做过一次检测，压力值正常，符合要求；三是机房内放置的2个干粉灭火器已经过了有效期，没有及时更换，无法起到初期火灾扑救的作用。四、网络与通信安全防护能力评估（一）网络架构与VLAN划分情况当前街道政务专网按照业务类型划分了3个VLAN，分别是机关办公区VLAN、核心服务区VLAN、公共区域视频监控VLAN，VLAN之间通过核心交换机配置访问控制策略，实现不同业务区域的网络隔离。但现场核查发现，有3个社区的接入交换机没有按照要求划分VLAN，社区的网格终端、办公电脑、视频监控摄像头全部处于同一个广播域内，没有做网络隔离，一旦有一个终端感染病毒，会直接在整个社区的网络内传播，2026年6月某社区发生的勒索病毒事件，就是因为VLAN没有划分，导致社区内3台关联的办公电脑都被勒索病毒加密，影响了社区的日常办公。（二）边界防护与访问控制情况街道在政务专网出口部署了1台华为USG6305防火墙，配置了127条访问控制规则，实现外部网络对内部系统的访问控制。但现场核查发现存在明显风险：一是有12条防火墙规则是2023年之前制定的，规则设置过于宽泛，比如存在“允许任意IP地址访问云主机3389远程桌面端口”的规则，规则生效时间设置为长期，没有设置过期时间，存在被黑客暴力破解入侵服务器的高风险；二是防火墙的日志留存时间仅为30天，没有达到《网络安全法》要求的网络日志留存不少于6个月的标准；三是防火墙的特征库版本停留在2025年6月，近半年没有开展过特征库更新，对2026年新出现的网络攻击、病毒变种的识别能力严重不足。（三）入侵检测与恶意代码防护情况区网信办在区级边界部署了统一的入侵检测系统，街道的所有网络流量会被同步到区级入侵检测平台，实现对网络攻击的统一监测。但现场评估发现存在两个方面的短板：一是街道没有部署本地的入侵监测设备，所有的攻击预警都依赖区级平台推送，平均预警响应时间为2个小时，存在明显的响应延迟，无法在攻击发生的第一时间开展处置；二是部署在街道边界的防病毒网关，病毒库更新频率为每周一次，现场深度扫描发现有3个云主机存在2个高危病毒，没有被防病毒网关检测到，说明当前的恶意代码识别存在盲区。（四）网络带宽与可用性监测情况街道政务专网主链路的平均带宽利用率为35%，整体带宽可以满足日常业务需求。但在工作日上午9点到11点的业务高峰期，智慧网格系统的带宽利用率最高达到92%，会出现网格终端卡顿、工单图片上传失败的情况；同时，街道没有部署本地的网络实时监测大屏，链路中断的发现完全依赖社区工作人员报故障，平均故障发现时间为15分钟，距离要求的5分钟以内快速发现指标存在明显差距，2026年10月曾发生过一次主链路光纤被施工挖断的情况，街道过了20分钟才发现网络中断，影响了当时正在开展的政务服务直播活动。五、计算环境与数据安全防护能力评估（一）服务器安全配置情况当前4台云主机的操作系统均为CentOS7.9版本，现场核查发现：一是有2台云主机关闭了默认的高危端口，但是还有2台云主机开放了21、23、445等不需要使用的端口，这些端口都是黑客开展暴力破解、病毒传播的主要入口；二是2026年区大数据中心累计推送了17个高危系统补丁，有4个补丁因为担心安装后影响业务运行，一直没有安装，包括影响较大的OpenSSL高危漏洞、SMB远程代码执行漏洞；三是服务器的密码策略要求为8位以上，包含数字、字母组合，但有2个云主机的登录密码是6位纯数字，已经超过1年没有更换，密码强度严重不足；四是服务器的本地操作日志是开启的，但日志仅保存在服务器本地硬盘上，没有做异地备份，一旦服务器被黑客入侵，日志会被攻击者恶意删除，无法开展安全事件溯源。（二）终端安全防护情况全街道342台终端的防病毒软件安装率为98.2%，剩余6台未安装防病毒软件的终端均为社区网格终端，原因是这些终端安装了2018年开发的老旧社区办事系统，和新版防病毒软件存在程序冲突，所以一直没有安装；终端的系统补丁更新率为87%，其中有42台终端还是Windows7系统，已经停止了官方安全更新，存在明显的安全漏洞；现场随机抽查发现有23台终端的登录密码是123456、888888这类极易破解的弱密码，有19台终端没有设置自动屏幕锁屏，工作人员离开座位时电脑处于敞开状态，很容易被无关人员操作窃取数据。（三）数据安全防护情况当前系统里存储的居民个人信息共计12.7万条，包含姓名、身份证号、联系电话、家庭住址、低保救助金额等敏感数据，现场核查发现存在三个方面的严重风险：一是数据库里的敏感字段全部为明文存储，没有开展字段级加密，一旦数据库被黑客拖库，所有居民的敏感信息会直接泄露，违反《个人信息保护法》的相关要求；二是数据备份机制为每天开展一次全量备份，备份文件存储在区政务云的对象存储桶里，但没有定期开展备份恢复测试，2026年全年只在6月份做过一次恢复测试，近6个月没有验证备份文件的可用性，一旦发生数据损坏，存在备份文件无法恢复的风险；三是数据导出权限管控不严格，有12个社区工作人员的账号拥有导出全量居民数据的权限，按照最小权限原则，普通网格人员只应该看到自己负责网格范围内的居民数据，不应该拥有全量数据导出的权限，存在内部人员违规导出、售卖居民数据的潜在风险。（四）应用系统安全情况对5个在用系统的安全情况逐一开展测评：一是OA协同办公系统为2021年上线的老旧版本，上线以来从未开展过专业的渗透测试，现场扫描发现存在SQL注入漏洞，攻击者可以通过漏洞直接获取数据库内的所有公文数据；二是政务服务综合受理平台是和区大数据中心联合开发的，2026年刚刚完成等保三级测评，得分82分，整体防护能力较好；三是2026年8月新上线的老年智慧订餐系统，上线时没有按照要求开展等保测评，也没有做过安全渗透测试，现场扫描发现存在3个高危漏洞，其中最严重的是越权访问漏洞，只要输入老人的身份证号，不需要登录验证就可以查看老人的订餐记录、家庭住址、亲属联系方式；四是街道公众号矩阵的后台权限设置松散，有7个社区宣传干事的账号被设置为超级管理员权限，可以直接发布文章，没有建立“编辑-审核-发布”的三级审核机制，2026年3月发生的公众号不实留言事件，就是因为没有设置留言前置审核功能，值班人员4个小时后才发现违规内容。六、安全管理体系建设情况评估（一）安全组织架构建设情况街道已经成立了网络安全和信息化工作领导小组，由党工委书记任组长，分管政务服务的副主任任副组长，成员包括党政办、社建办、政务服务中心、18个社区的主任，领导小组办公室设在党政办，配备2名兼职工作人员负责日常网络安全工作。但组织架构运行存在明显短板：一是领导小