2026年网络安全等级保护2.0三级安全评估报告

2026年[核心业务系统]网络安全等级保护2.0三级安全评估报告测评编号：DJCP-PG-2026-047被测评单位：[××有限公司]评估机构：[国家网络安全等级保护测评资质机构]2026年6月目录2157第一章评估概述 本报告为[××有限公司]核心业务系统2026年度网络安全等级保护2.0三级安全评估正式成果，评估工作严格遵循《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》及等级保护2.0系列国家标准要求，覆盖评估对象所属的物理环境、网络通信、设备计算、应用数据全技术域，以及安全管理制度、管理机构、人员管理、建设过程、运维活动全管理域的全部控制要求。本次评估累计完成126个三级控制点的核查，通过文档审查、人员访谈、配置核查、工具扫描、授权渗透测试、现场观察、样本验证7类测评方法，全面摸清系统当前安全防护现状，精准识别现存安全风险，形成可落地的整改优化建议，为被测评单位落实网络安全主体责任、达到等保三级合规要求提供客观依据。第一章评估概述1.1评估目的本次评估的核心目的是全面落实网络安全等级保护制度要求，对标《GB/T22239-2019信息安全技术网络安全等级保护基本要求》第三级安全保护能力的各项规定，系统排查当前核心业务系统在安全技术防护、安全管理体系建设方面存在的短板与缺陷，量化评估系统实际安全防护能力与等保三级要求的差距，避免被测评单位出现“重建设、轻运维、重合规、轻实效”的安全工作偏差。通过评估工作，一方面可以帮助被测评单位精准定位安全风险点，明确后续安全建设、整改的优先级与投入方向，避免盲目采购安全设备造成的资源浪费；另一方面可以为公安机关对三级等级保护对象的备案监管工作提供客观、可追溯的测评依据，督促被测评单位切实履行网络安全主体责任，保障系统稳定运行、用户数据安全，避免发生重大网络安全事件、数据泄露事件、业务中断事件。本次评估不替代被测评单位日常的安全运维工作，评估结论仅为评估进场当日的系统安全状态的客观反映，不构成对被测评单位后续安全运营成效的永久承诺。1.2评估范围本次评估的物理范围为被测评单位位于[本市高新区产业园XX号楼3层]的核心业务机房，以及核心业务系统托管的[公有云资源池]专属计算集群；逻辑范围覆盖核心业务系统的全部架构层级，包括互联网接入边界、DMZ区对外发布层、应用服务器区、核心数据库区、运维管理区的全部网络设备、安全设备、服务器、应用组件，以及系统配套的运维管理流程、安全管理制度、人员管理机制。具体纳入评估范围的资产清单包括：边界侧的[2台]万兆核心交换机、[2台]下一代防火墙、[1套]入侵防御系统、[1套]Web应用防火墙、[1套]抗DDoS防护设备、[1套]集中日志审计平台；计算资源侧的[28台]物理服务器、[42台]云主机，覆盖Web应用节点、应用服务节点、数据库节点、备份节点；应用侧包括对外提供服务的[××业务办理Web端]、[××移动端APP]、内部管理后台、配套的数据库系统、缓存组件、消息队列组件。与核心业务系统无关的独立办公网系统、内部办公终端、面向员工的非业务类信息系统，本次不纳入评估范围；第三方运维服务商的内部管理系统，本次仅核查其与核心业务系统交互的安全接口，不覆盖服务商内部的安全管理流程。1.3评估依据本次评估工作的依据体系分为法律法规范畴、国家标准范畴、被测评单位提供的文档范畴三类。其中法律法规依据包括《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《关键信息基础设施安全保护条例》《网络安全等级保护条例（征求意见稿）》及本市委网信办、公安局发布的网络安全监管相关要求；国家标准依据包括《GB/T22240-2020信息安全技术网络安全等级保护定级指南》《GB/T22239-2019信息安全技术网络安全等级保护基本要求》《GB/T28448-2019信息安全技术网络安全等级保护测评要求》《GB/T30279-2020信息安全技术网络安全风险评估规范》《GB/T25058-2019信息安全技术网络安全等级保护实施指南》；被测评单位提供的支撑文档包括核心业务系统的定级备案证明（备案号：[XXXXXX-3-2025-XXXX]）、系统架构设计文档、资产清单、现有安全管理制度汇编、近1年的运维工单记录、应急演练记录、漏洞整改记录、与云服务商及第三方运维单位签署的服务合同、人员岗位责任书。1.4评估组织与时间安排为保障本次评估工作的专业性与客观性，评估机构组建了专项测评项目组，配置项目总负责人1名（高级测评师，具备10年以上等保测评经验）、技术测评人员4名（其中中级测评师3名，分别负责网络与主机域测评、应用与数据域测评、物理与运维域测评）、管理测评人员1名（负责安全管理体系测评），所有项目组成员均签署了保密协议，承诺对测评过程中获取的被测评单位敏感信息严格保密。评估工作整体分为四个阶段推进，第一阶段为评估准备阶段，时间为2026年4月10日至4月18日，完成与被测评单位的对接、资产清单收集、测评方案编制、授权手续办理、测评工具准备；第二阶段为现场测评阶段，时间为2026年4月19日至4月28日，完成所有现场的访谈、配置核查、工具扫描、渗透测试、文档审查工作；第三阶段为结果分析阶段，时间为2026年4月29日至5月10日，完成测评记录梳理、控制点符合度判定、风险值计算、问题清单核实；第四阶段为报告编制阶段，时间为2026年5月11日至6月5日，完成正式报告撰写、与被测评单位的意见沟通、问题复测、报告终稿出具。1.5被评估系统概况核心业务系统为被测评单位面向社会公众提供的核心业务办理平台，主要功能包括用户实名认证、线上业务申请办理、业务进度查询、电子证照调用、内部业务审核等，截至2026年3月，系统累计注册用户[128.6万]，2025年全年累计办理业务[42.3万笔]，日均访问量[1.2万人次]，存储的数据包括用户个人身份信息（姓名、身份证号、手机号、人脸信息）、业务办理材料、交易记录、内部审核日志，属于典型的第三级等级保护对象，一旦发生数据泄露、业务中断，会对用户的合法权益、被测评单位的正常经营秩序造成较大影响。系统采用典型的三层架构部署，前端Web端与移动端通过互联网访问，经过边界防火墙、WAF设备后，请求转发至DMZ区的负载均衡节点，再由负载均衡将请求分发至应用服务器区的Web应用集群，应用集群通过只读账号访问数据库区的核心数据库，运维人员仅能通过运维管理区的堡垒机登录各设备开展操作，禁止从互联网直接访问服务器、数据库的管理端口。第二章评估方法与实施过程2.1核心评估方法本次评估综合采用7类成熟的测评方法，避免单一方法带来的测评偏差：一是文档审查法，测评人员逐页查阅被测评单位提供的制度文档、运维记录、应急预案、资产台账等材料，核查文档的完整性、时效性、可执行性，重点排查是否存在制度照搬模板、与实际运营情况脱节的问题；二是人员访谈法，按照岗位分别访谈系统负责人、安全管理员、系统运维人员、数据库管理员、普通业务操作人员，通过结构化访谈问题，了解日常安全工作的实际执行流程，对比文档中的制度要求与实际操作的差距；三是配置核查法，通过合法授权登录所有网络设备、安全设备、服务器、数据库、应用系统后台，导出当前的安全配置项，对照等保三级的配置要求逐一核查，重点核查账户策略、访问控制规则、日志配置、加密设置等关键项；四是工具扫描法，采用经过合规检测的漏洞扫描工具、配置合规核查工具，以低强度、低影响的扫描模式，对所有联网资产开展自动化扫描，识别已知的安全漏洞、配置偏差，扫描过程中严格避开业务高峰时段，避免对正常业务造成影响；五是渗透测试法，在获得被测评单位书面授权的前提下，模拟外部攻击者的攻击路径，从互联网侧对系统的对外发布接口开展渗透测试，验证系统的防护能力，测试过程中不开展破坏性操作，不窃取、修改任何真实业务数据；六是现场观察法，测评人员实地核查机房物理环境、出入口管理、终端使用情况，观察现场的实际安全管理状态；七是样本验证法，抽取近3个月的运维工单、日志审计记录、应急演练记录，验证安全制度是否真正落地，避免出现“制度写在纸上、挂在墙上，落实不到行动上”的问题。2.2现场测评实施过程现场测评过程严格按照预先编制的测评方案推进，每日工作结束后项目组都会与被测评单位的对接人沟通当日发现的问题，对存在异议的内容当场核实，避免出现误判。现场测评首日，测评人员首先完成了对系统负责人的访谈，确认了当前系统的架构变化、近半年的重大变更、现有安全设备的运行状态；随后完成了对所有制度文档的审查，梳理出制度方面存在的初步问题。现场测评的中期，测评人员分别登录所有网络设备、安全设备、服务器的后台，导出配置文件，完成配置核查工作；同步开展了漏洞扫描与渗透测试，对发现的漏洞逐一复现，记录漏洞的影响范围、可利用难度。现场测评的后期，测评人员实地查看了机房的物理环境，核查了门禁系统、监控系统、消防系统、UPS系统的实际运行状态，抽取了近3个月的运维记录、日志记录，验证制度的执行效果。整个现场测评过程累计开展访谈8人次，完成126个控制点的核查，记录测评证据材料427份，识别初步问题29项，所有问题均经过被测评单位现场人员的确认，不存在被测评单位提出异议的争议项。2.3测评工具说明本次评估使用的所有测评工具均经过被测评单位的安全审核，工具的扫描、测试行为均在授权范围内开展，所有工具均为正版商用工具，不存在恶意程序、后门程序。具体使用的工具包括：商用漏洞扫描工具（版本：绿盟RSASV6.0），用于识别服务器、网络设备、应用系统的已知漏洞；Web应用扫描工具（版本：AWVSV2026），用于识别Web应用的常见安全漏洞；配置合规核查工具（版本：等保合规配置核查系统V3.2），用于核查操作系统、数据库、中间件的安全配置是否符合等保要求；渗透测试辅助工具（Nmap、BurpSuite、Sqlmap），用于辅助渗透测试过程的路径探测、请求拦截、参数测试；日志分析工具，用于提取集中日志平台的留存配置、日志记录情况。所有工具的测试过程均留存了操作日志，测试完成后及时清理了测试过程中在系统内创建的临时账户、测试文件，避免留下安全隐患。第三章整体测评结果概览3.1控制点整体符合度统计经过对126个等保三级控制点的逐一判定，各安全域的符合情况如下表所示，整体符合率为72.2%，不存在完全未覆盖的安全域，各域的安全防护基础整体较好：安全域分类总测点数符合项部分符合项不符合项物理与环境安全10820网络与通信安全201532设备与计算安全251852应用与数据安全201442安全管理制度10721安全管理机构8611安全管理人员8620安全建设管理10721安全运维管理151032合计1269124113.2关键安全指标概览从核心安全指标的核查情况来看，系统已经建成了基础的纵深防御体系，边界侧部署了多道安全防护设备，不会出现被攻击者轻易突破的情况；账号体系已经实现了多因素认证，避免了弱口令、单一认证方式带来的风险；日常运维已经实现了工单化管理，避免了随意操作的问题。但部分关键指标距离等保三级要求还有差距：一是日志留存时长不达标，当前网络边界设备的日志仅留存30天，未达到6个月的强制要求，一旦发生安全事件，无法开展长期的溯源分析；二是入侵防御规则库更新不及时，最近一次规则库更新为测评前45天，超过了要求的15天更新周期，无法防御最新出现的网络攻击；三是权限分配不满足最小权限原则，近15%的运维人员账户拥有超出其工作范围的操作权限；四是数据备份体系不完善，当前备份数据仅存储在本地机房，未建立异地备份机制，一旦机房发生重大故障，备份数据会与生产数据同时丢失；五是应急演练不足，近1年仅开展过1次覆盖单一场景的应急演练，未达到每半年开展一次演练的要求，应急处置能力未得到充分验证。3.3测评结论初判经过初步的结果分析，系统当前的安全防护能力距离正式达到等保三级要求尚有一定差距，主要差距集中在数据加密存储、运维操作审计、日志集中管理、应急演练四个方面，所有的不符合项均为常规安全建设类的偏差，不存在系统架构层面的颠覆性安全缺陷，被测评单位只需要按照本次评估提出的整改建议，完成所有高风险、中风险项的整改工作，就可以在3个月内达到等保三级的正式合规要求，具备通过公安机关等级保护测评的条件。第四章安全技术层面测评结果4.1物理与环境安全测评物理与环境安全域的整体防护情况较好，机房位于独立楼层，出入口部署了双人管控的门禁系统，人员进出需要验证门禁卡加人脸信息，非授权人员无法随意进入机房；机房内部署了24小时视频监控系统，监控录像留存时长达到90天，覆盖了机房的所有通道、设备区域、出入口，无监控盲区；机房配备了UPS不间断电源，可保障机房在市电中断后持续供电4小时以上，满足应急处置的电力需求；机房部署了七氟丙烷气体消防系统、温湿度自动调节系统，定期对消防设备开展检测，机房内的温度、湿度始终保持在设备运行的适宜范围内。该域存在的部分不符合问题包括：一是机房的防雷接地检测不及时，最近一次有资质机构出具的防雷检测合格报告为2024年9月，距离测评时间已经超过19个月，未按照防雷系统每年检测一次的要求开展检测，一旦发生雷击事件，可能损坏核心网络设备、服务器；二是机房的设备进出登记台账不完整，抽查近3个月的设备进出记录发现，有2次服务器更换的记录缺少进出时间、带出人、带入设备编号的登记信息，也没有对应的审批签字，无法追溯设备的流向，存在设备被盗、被替换的风险；三是机房的电磁防护措施不到位，未对核心服务器、网络设备的电磁泄露情况开展定期检测，不满足等保三级要求的电磁防护要求。该域无不符合项，整体防护基础扎实。4.2网络与通信安全测评网络与通信安全域的整体防护架构合理，被测评单位已经按照等保三级的要求完成了网络区域划分，将网络划分为互联网接入区、DMZ区、应用服务器区、数据库区、运维管理区五个安全域，不同安全域之间通过下一代防火墙设置访问控制策略，仅开放业务必需的端口与流量，禁止不同区域之间的随意访问；边界侧部署了入侵防御系统、Web应用防火墙、抗DDoS防护设备，对互联网进入的所有流量开展实时检测，识别攻击行为并实时阻断；网络设备的管理端口仅允许运维管理区的堡垒机IP地址访问，禁止从互联网、其他业务区域直接登录网络设备的管理后台；系统对外提供的业务访问全部采用HTTPS加密传输，传输过程中采用TLS1.2以上的加密算法，防止传输过程中的数据被窃听、篡改。该域存在的部分不符合问题包括：一是安全域之间的访问控制规则配置存在宽松情况，测评人员核查防火墙策略时发现，DMZ区的负载均衡服务器可以直接访问数据库区的核心数据库3306端口，未按照最小权限原则限制为仅允许应用服务器区的固定IP地址访问数据库，一旦DMZ区的服务器被攻击者攻陷，攻击者可以直接横向移动访问数据库，窃取核心业务数据；二是入侵防御系统的规则库更新不及时，最近一次规则库更新为2026年3月10日，距离测评时间已经45天，未达到每15天更新一次的要求，无法防御最新出现的网络攻击、漏洞利用行为；三是网络边界的流量审计系统日志仅在本地设备存储，留存时长为30天，未达到等保三级要求的日志留存不少于6个月的规定，一旦发生超过30天之前的安全事件，无法开展溯源；四是核心交换机、边界防火墙存在3个中危的已知固件漏洞，未及时升级补丁，可能被攻击者利用获取设备权限。4.3设备与计算安全测评设备与计算安全域的基础防护覆盖全面，所有服务器均开启了账户登录失败处理策略，配置为连续5次登录失败就自动锁定账户30分钟，避免了暴力破解攻击；所有服务器安装了商用的恶意代码防护系统，配置了实时病毒查杀、定期全盘扫描的策略，病毒库自动更新；服务器的主机防火墙开启，仅开放业务必需的业务端口，关闭了所有非必要的端口；数据库系统开启了审计功能，记录所有用户的登录、查询、修改、删除操作，审计日志定期备份。该域存在的部分符合与不符合问题如下：一是两台核心数据库服务器的操作系统口令策略配置不符合要求，未设置口令复杂度要求、口令定期更换要求，存在弱口令的本地管理员账户，一旦该账户被攻击者破解，会直接获取数据库服务器的最高权限，造成核心数据泄露；二是服务器的权限分配不满足最小权限原则，有12个运维人员的账户拥有多台服务器的root/Administrator最高权限，未按照岗位的工作范围分配对应的操作权限，部分仅负责日常业务查询的人员也拥有服务器的修改、删除权限；三是有3台对外提供服务的Web服务器未安装恶意代码防护客户端，存在被病毒、木马感染的风险；四是服务器的安全审计日志仅存储在服务器本地，未上传到集中的日志审计平台，一旦服务器被攻击者控制，攻击者可以随意删除、篡改本地日志，无法追溯攻击行为；五是核心交换机的固件版本过旧，存在未授权访问的漏洞，未及时开展固件升级。4.4应用与数据安全测评应用与数据安全域的核心安全功能基本完备，应用系统的用户身份鉴别采用“账号密码+短信验证码”的多因素认证方式，不满足多因素认证的用户无法登录系统；应用系统对用户提交的所有输入内容开展了XSS跨站脚本、SQL注入的过滤防护，有效阻挡常见的Web攻击；应用系统的关键操作（修改密码、提交业务申请、审核通过、资金交易）全部留存操作日志，记录操作人、操作时间、操作内容；数据库中的用户敏感信息（手机号、身份证号）做了部分脱敏处理，后台展示时隐藏了中间的几位号码，避免敏感信息过度暴露。该域存在的部分符合与不符合问题如下：一是应用系统的找回密码功能存在逻辑漏洞，测评人员测试发现，接口未对请求者的身份开展强校验，攻击者可以通过遍历用户ID的方式，重置任意用户的登录密码，该漏洞属于可被直接利用的高危漏洞；二是数据库中的用户人脸信息、交易记录等敏感数据未开展加密存储，全部以明文形式存储在数据库中，一旦数据库被拖库，所有敏感信息会直接泄露；三是应用系统的会话超时时间设置为120分钟，超过了等保三级要求的15分钟闲置自动退出的要求，用户离开电脑前如果未主动退出登录，其他人员可以直接操作账户；四是数据备份机制不完善，当前的备份仅为本地的磁盘备份，全量备份每周执行一次，增量备份每日执行，但备份数据存储在本地机房的存储阵列中，未建立异地备份机制，一旦机房发生火灾、断电、勒索病毒加密等重大故障，生产数据与备份数据会同时丢失，无法快速恢复业务；五是旧硬盘的销毁流程不规范，更换下来的旧硬盘直接交给废品回收人员处理，未开展数据消磁、彻底擦除操作，存在硬盘被找回、数据被恢复的泄露风险。第五章安全管理层面测评结果5.1安全管理制度测评被测评单位已经初步建立了覆盖全流程的安全管理制度体系，编制了《机房管理办法》《网络安全应急预案》《账户权限管理规定》《数据备份管理办法》《漏洞管理规定》等核心制度文件，所有制度都经过正式发文，下发到了相关的岗位人员，制度的整体框架符合等保三级的要求。该域存在的部分符合和不符合问题包括：一是制度的内容更新不及时，最近一次制度修订为2023年10月，未根据2025年新实施的《个人信息保护合规审计管理办法》《网络安全等级保护测评最新要求》对制度内容进行修订，缺少专门的个人信息保护管理制度、数据出境安全管理规定，部分制度的要求已经与当前的监管要求不符；二是制度的宣贯不到位，测评人员随机访谈8名运维人员，有3名人员不清楚应急预案中的应急响应流程、上报路径，不知道发生安全事件后应该向谁报告、处置的优先级是什么；三是近半年未组织全员开展网络安全培训，没有留存培训的课件、签到记录、考试记录，人员的安全意识未得到持续提升。5.2安全管理机构测评被测评单位成立了专门的网络安全工作领导小组，由公司分管技术的副总经理担任组长，成员包括技术部、安全部、运维部、法务部的负责人，明确了安全管理的决策机制；在岗位设置上实现了三权分立，分别设置了系统管理员、安全管理员、审计管理员三个岗位，三个岗位由不同的人员担任，不存在权力集中在同一个人身上的问题，符合等保三级的岗位制衡要求。该域存在的部分符合与不符合问题包括：一是安全管理员的配置数量不足，仅1名专职安全管理员负责所有系统的安全管理工作，没有设置后备岗位，一旦该人员离职、休假，安全管理工作会出现断档；二是与外部单位的合作协议未明确安全责任边界，与云服务商、第三方运维服务商签署的服务合同中，未约定双方的安全责任范围、安全事件的追责机制，一旦发生安全事件，容易出现权责不清、互相推诿的问题；三是未建立定期的安全评审机制，近1年未对安全管理机构的职责履行情况、安全工作的成效开展正式评审，安全管理机构的工作效果未得到有效监督。5.3安全管理人员测评所有运维人员在上岗前都签署了保密协议、岗位安全责任书，明确了岗位的安全责任；人员离岗时，按照流程办理了工作交接，收回了系统权限、门禁卡、办公设备，没有出现离岗后依然可以访问系统的情况。该域存在的部分符合情况包括：一是人员的安全考核机制不完善，未将网络安全责任的履行情况纳入员工的绩效考核指标，发生安全事件后没有对应的追责、奖励机制，人员的工作积极性不足；二是外部运维人员的权限管理不规范，有3个外部运维人员的账户在人员项目结束后长期未回收，依然保留最高管理员权限，存在外部人员随意访问系统的风险；三是安全培训的内容针对性不足，之前开展的培训都是通用的网络安全常识培训，未针对运维人员开展专项的安全技能培训，培训后也没有开展考试、考核，培训效果无法验证。5.4安全建设管理测评核心业务系统在建设初期就开展了安全需求分析，按照等级保护的要求完成了安全设计，定级备案材料齐全；外包开发项目签署了正式的合同，明确了开发过程中的安全要求、源代码保密要求。该域存在的部分符合与不符合问题包括：一是系统上线评审流程不完善，每次系统版本上线前，仅由开发团队、运维团队参与评审，未邀请安全管理员参与上线评审，未对系统的安全功能、安全漏洞开展专门的测试，直接上线后容易出现安全漏洞；二是应用系统的源代码托管在外部的代码托管平台，未设置严格的访问权限，开发团队之外的非授权人员可以浏览、下载源代码，存在源代码泄露的风险；三是系统定级备案材料未及时更新，最近一次系统架构升级新增了移动端APP访问模块，但未到公安机关更新备案材料，备案的系统功能与实际的系统功能不一致；四是应急演练频次不达标，近1年仅在2025年11月开展过1次应急演练，演练场景仅覆盖了机房UPS中断切换，未覆盖Web攻击、勒索病毒加密、数据泄露等常见的安全威胁场景，演练完成后也未对演练中暴露的问题开展复盘整改，应急处置能力未得到有效提升。5.5安全运维管理测评被测评单位已经建立了工单化的日常运维机制，所有的运维操作都需要通过工单系统提交申请，经过审批后才可以执行，避免了随意操作的问题；定期对系统的高危漏洞开展补丁更新，一般高危漏洞在发现后7天内完成补丁安装；建立了初步的资产清单，每半年开展一次资产盘点，核对资产的运行状态。该域存在的部分符合与不符合问题包括：一是运维操作的审计不到位，虽然运维人员通过堡垒机登录系统，但堡垒机的操作录屏功能未开启，无法追溯运维人员的具体操作内容，一旦运维人员出现误操作、恶意操作，无法事后追责；二是漏洞扫描频次不足，目前仅每季度开展一次全系统的漏洞扫描，未达到每月扫描一次的要求，新出现的漏洞无法被及时发现；三是存储介质管理不规范，报废的U盘、移动硬盘没有建立专门的销毁台账，随意存放在杂物间，存在介质丢失、数据泄露的风险；四是变更管理流程不规范，近3个月有2次系统配置变更未走正式的变更审批流程，运维人员直接在后台修改了防火墙的配置、服务器的参数，没有经过审批、没有留存变更记录，可能造成系统配置错误、业务中断。第六章风险分析与风险等级判定6.1风险判定标准本次风险判定严格遵循《GB/T30279-2020网络安全等级保护安全测试方法》的风险计算规则，从三个维度计算每个风险点的风险值：一是资产重要性，按照系统承载的业务数据、业务影响程度，将资产划分为关键资产、重要资产、一般资产三个等级；二是威胁发生可能性，结合当前的网络攻击趋势、漏洞的可利用程度，评估该风险点被攻击者利用的概率；三是脆弱性严重程度，按照漏洞的影响范围、破坏程度，评估脆弱性的严重等级。最终风险值大于等于400的判定为高风险，需要立即整改；风险值在100-399之间的判定为中风险，需要限期整改；风险值小于100的判定为低风险，需要持续优化。6.2高风险项清单本次评估累计识别高风险项3个，具体清单如下：序号风险位置风险描述可能造成的影响1应用系统找回密码接口接口未做身份强校验，攻击者可通过遍历用户ID重置任意用户登录密码大规模用户账号被盗，用户个人信息泄露，引发公众舆情事件，影响被测评单位的公众信誉2核心数据库服务器数据库服务器操作系统存在弱口令，且运维区未做严格的访问限制攻击者通过横向移动获取数据库权限，窃取全部核心业务数据、用户敏感信息，造成重大数据泄漏事件3数据备份体系备份数据与生产系统同机房存储，无异地备份机制一旦机房发生火灾、断电、勒索病毒加密等重大故障，生产数据与备份数据同时丢失，业务长时间中断，无法快速恢复6.3中风险项清单本次评估累计识别中风险项12个，具体包括：网络边界流量审计日志留存时长不足30天，未达到6个月要求；入侵防御系统规则库更新滞后45天，无法防御最新攻击；DMZ区服务器可直接访问数据库，访问控制规则宽松；12个运维账户权限过大，不满足最小权限原则；3台Web服务器未安装恶意代码防护客户端；服务器审计日志未集中存储，存在被篡改风险；核心交换机固件过旧，存在未授权访问漏洞；应用会话超时时间为120分钟，闲置登录无自动退出功能功能；应用找回密码接口缺少频率限制；制度内容未及时更新，缺少个人信息保护专项制度；外部运维账户长期未回收，权限过高；堡垒机未开启操作录屏，运维操作无法追溯。6.4低风险项清单本次评估累计识别低风险项14个，具体包括：机房防雷接地检测超过1年未开展；机房设备进出登记台账不全；核心设备电磁防护未定期检测；部分制度宣贯不到位，人员对应急预案不熟悉；专职安全管理员配置数量不足，无后备岗位；合作协议未明确安全责任边界；人员安全考核机制不完善；安全培训频次不足，无考核环节；系统上线评审未邀请安全管理员参与；源代码托管平台权限管控不严；定级备案材料未随系统架构更新；应急演练频次不足，场景单一；漏洞扫描频次仅每季度一次；存储介质销毁台账不全。第七章等级保护三级合规性评估结论7.1合规判定规则本次合规判定严格对照《GB/T22239-2019》中第三级等级保护对象的126个控制要求，对每个控制点的符合情况分为三个等级：符合是指控制点对应的安全措施完全落地，满足全部等保要求，不存在任何偏差；部分符合是指控制点的大部分安全措施已经落地，仅存在少量的、可快速整改的配置偏差、流程不完善问题，不影响核心安全防护能力；不符合是指控制点对应的安全措施完全缺失，存在明显的安全隐患，需要重新建设对应的安全能力。7.2整体合规结论经过逐项判定，核心业务系统累计符合控制点91个，占全部控制点的72.2%；部分符合控制点24个，占比19.0%；不符合控制点11个，占比8.7%。系统当前的安全防护基础较好，已经建成了基础的纵深防御体系，不存在架构层面的重大安全缺陷，识别出的所有问题均为安全配置偏差、管理流程不完善类的常规问题，经过针对性整改后即可达到等保三级的正式安全防护要求。具体来看，系统在物理环境安全、边界防护、身份鉴别、恶意代码防护、运维工单管理等方面已经达到了等保三级的要求，核心短板主要集中在敏感数据加密、日志集中管理、运维审计、应急演练、权限精细化管控几个方面，被测评单位不需要大额的安全设备投入，仅需通过配置调整、流程优化、制度完善即可完成大部分整改工作。7.3关键合规项达成情况从等保三级的关键合规项来看，身份鉴别机制已经完全达标，实现了多因素认证、登录失败处理、口令复杂度要求；访问控制机制部分达标，核心的访问控制逻辑已经建立，但存在部分规则宽松、权限过大的问题；安全审计机制部分达标，已经建立了日志留存的基础能力，但存在留存时长不足、未集中存储、运维操作审计不到位的问题；数据备份恢复机制部分达标，已经建立了本地备份机制，但缺少异地备份、备份恢复演练的环节；应急响应机制部分达标，已经编制了应急预案，但存在演练不足、宣贯不到位的问题；漏洞管理机制部分达标，已经建立了补丁更新的流程，但存在扫描频次不足、规则库更新不及时的问题。第八章安全整改建议8.1高风险项整改建议（立即整改，整改周期1个月）针对识别出的3个高风险项，建议被测评单位优先投入资源完成整改，彻底消除可能引发重大安全事件的隐患：一是针对应用系统找回密码接口的逻辑漏洞，建议开发团队在2026年6月底前完成漏洞修复，增加接口的身份强校验逻辑，要求重置密码时必须验证用户的实名认证手机号，同时配置接口的访问频率限制，单个IP每分钟对应该接口的请求不能超过5次，防止遍历攻击，漏洞修复完成后开展二次渗透测试，验证漏洞是否彻底修复；二是针对核心数据库服务器的弱口令问题，建议运维团队在3个工作日内完成所有服务器的口令策略配置，强制所有账户的口令长度不小于12位，包含大小写字母、数字、特殊字符，每90天更换一次口令，同时配置运维区的访问控制规则，仅允许堡垒机的IP地址访问数据库的管理端口，禁止其他区域直接访问数据库；三是针对无异地备份的问题，建议在2026年7月底前建立异地备份机制，将每周的全量备份数据同步到距离本地机房100公里以上的异地备份节点，每月开展一次备份数据的恢复验证，确保在故障发生时可以在4小时内恢复核心业务数据。8.2中风险项整改建议（限期整改，整改周期2个月）针对12个中风险项，建议被测评单位在2026年8月底前完成全部整改，补齐防护短板：一是配置集中日志审计平台的日志留存策略，将所有网络设备、安全设备、服务器、应用系统的日志全部接入集中平台，确保所有日志留存时长不少于6个月，满足合规溯源要求；二是配置入侵防御系统规则库的自动更新功能，确保规则库每7天自动更新一次，新出现的高危威胁规则24小时内加载生效；三是梳理防火墙的访问控制策略，删除多余的宽松规则，调整DMZ区到数据库区的访问规则，仅允许应用服务器区的固定IP地址访问数据库的3306端口，实现最小权限的访问控制；四是开展一次全系统的权限梳理，按照岗位的工作范围回收多余的权限，建立每季度的权限复核机制，清理僵尸账户、闲置账户、权限过大的账户；五是为3台未安装恶意代码防护客户端的Web服务器安装客户端，配置实时病毒查杀策略；六是将所有服务器的本地审计日志实时上传到集中日志审计平台，禁止本地存储超过7天的审计日志，避免日志被篡改；七是完成核心交换机的固件升级，修复未授权访问漏洞；八是调整应用系统的会话超时时间为15分钟，用户闲置15分钟后自动退出登录；九是补全安全管理制度的内容，新增个人信息保护、数据安全管理的专项制度，每半年对制度内容开展一次更新；十是开展外部运维账户的全面梳理，项目结束后及时回收所有外部人员的权限，建立外部人员账户的到期自动失效机制；十一是开启堡垒机的操作录屏功能，所有运维人员的操作全程录屏，录屏日志留存6个月，实现运维操作的全程可追溯。8.3低风险项整改建议（持续优化，整改周期3个月）针对14个低风险项，建议被测评单位在2026年9月底前已完成整改，逐步完善管理体系：一是委托有资质的机构完成机房的防雷接地检测，取得合格检测报告，之后每年定期开展检测；二是完善机房的设备进出、人员进出登记台账，安排专人负