中国软件评测中心信息系统安全测评报告

中国软件评测中心信息系统安全测评报告本次测评由中国软件评测中心组织实施，针对XX省政务服务管理局所辖XX省级政务服务平台信息系统开展全面信息系统安全测评，旨在验证该系统的安全防护能力、合规性及风险抵御水平，为系统安全优化提供科学依据，助力政务服务业务安全稳定运行。测评概述本次测评委托方为XX省政务服务管理局，测评对象涵盖XX省级政务服务平台的基础环境层、网络层、应用层、数据层及配套安全管理体系，具体包括政务服务事项办理系统、公共资源交易子系统、个人信息查询子系统等核心应用，以及支撑系统运行的机房物理环境、网络设备、服务器、存储设备等硬件设施，覆盖系统从建设到运维的全生命周期安全管控环节。测评周期为202X年X月X日至202X年X月X日，由中国软件评测中心组建的5人专业测评团队完成，团队成员均持有国家网络安全等级保护测评师资格证书，具备丰富的政务系统安全测评经验。本次测评核心目标包括：一是验证系统是否符合《信息安全技术网络安全等级保护基本要求》GB/T22239-2019中三级系统的安全要求；二是识别系统存在的安全漏洞、配置缺陷及管理短板；三是评估系统面临的安全风险等级；四是提出针对性的整改建议，提升系统整体安全防护能力。测评依据本次测评严格遵循国家相关法律法规、标准规范及委托方提供的文档资料，具体依据如下：1.法律法规类：《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《关键信息基础设施安全保护条例》；2.国家标准类：《信息安全技术网络安全等级保护基本要求》GB/T22239-2019、《信息安全技术网络安全等级保护测评要求》GB/T28448-2019、《信息安全技术网络安全等级保护测评过程指南》GB/T28449-2018、《信息安全技术信息系统安全审计产品技术要求和测试评价方法》GB/T20945-2020、《信息安全技术数据备份与恢复产品技术要求与测试评价方法》GB/T36959-2018；3.行业规范类：《政务信息系统安全等级保护实施指南》《政务数据安全管理规范》；4.委托方资料类：XX省级政务服务平台系统设计说明书、网络拓扑图、安全管理制度汇编、系统运维日志、漏洞扫描报告等。测评范围本次测评明确划定物理、网络、应用、数据及管理五大维度的测评边界，具体如下：（一）物理环境范围覆盖XX市政务服务中心3层专用机房，包括机房物理空间、机柜、UPS电源系统、空调系统、消防系统、门禁系统等设施。（二）网络环境范围涵盖政务外网接入区、核心业务区、数据存储区、运维管理区四个网络区域，涉及防火墙、交换机、路由器、入侵检测系统（IDS）、网络审计系统等网络设备，以及各区域间的网络链路。（三）应用系统范围包括政务服务事项办理系统、公共资源交易子系统、个人信息查询子系统三个核心应用，覆盖用户登录、业务办理、信息查询、数据提交等关键业务流程。（四）数据范围包含政务服务业务数据（如事项办理申请记录、审批结果）、用户个人信息（如身份证号、手机号码、住址）、机构注册信息（如企业营业执照信息、法人信息）三类核心数据。（五）管理体系范围覆盖安全管理机构、安全管理制度、人员安全管理、系统建设管理、系统运维管理五个管理维度的全部管控环节。本次测评排除范围为：第三方支付接口的后端服务（仅测评平台与接口的对接逻辑安全）、移动端App客户端（本次仅测评平台后端服务的安全防护能力）、非政务服务类附属系统（如内部办公OA系统）。测评方法本次测评综合采用多种专业测评方法，确保测评结果全面、客观、准确，具体方法如下：（一）访谈法测评团队与委托方的网络安全管理人员、系统运维人员、应用开发人员、业务经办人员等开展一对一访谈，了解系统架构设计、安全管理制度执行情况、日常运维流程、网络安全事件处置流程等信息，共完成12人次访谈，形成访谈记录6份。（二）文档审查法对委托方提供的系统设计说明书、网络拓扑图、安全管理制度汇编、应急预案、运维日志、漏洞扫描报告等21份文档进行审查，验证文档的完整性、合规性及与实际情况的一致性。（三）现场核查法前往政务服务中心机房、运维管理办公室开展现场核查，实地查看机房物理防护设施、网络设备配置、服务器安全设置、应用系统权限管理等情况，拍摄现场照片37张，形成现场核查记录4份。（四）工具测试法使用Nessus漏洞扫描器、BurpSuiteWeb应用测试工具、Wireshark流量分析工具、SQLMap注入测试工具等专业安全工具，对网络设备、服务器、应用系统进行漏洞扫描、渗透测试、流量监控、弱口令检测等，共完成15台网络设备、22台服务器、3个应用系统的工具测试，形成工具测试报告3份。（五）模拟攻击法针对系统核心业务节点开展模拟攻击，包括SQL注入攻击、跨站脚本（XSS）攻击、弱口令暴力破解、钓鱼邮件攻击等，验证系统的风险抵御能力及应急响应机制有效性，共实施8次模拟攻击，形成模拟攻击记录2份。测评内容及结果本次测评从技术防护和管理管控两大维度展开，对照国家等级保护三级要求，共覆盖10个一级控制点、31个二级控制点、138个三级测评项，测评结果如下：（一）技术层面测评结果1.物理安全•物理位置选择：核查机房选址，位于政务服务中心大楼3层，远离易燃易爆场所、电磁干扰源及自然灾害高发区域，符合GB/T22239-2019中“物理位置应选择在具有防震、防风、防雨等能力的建筑内”要求，测评结果为符合。•物理访问控制：现场发现机房出入口仅设置门禁系统，未配备24小时视频监控设备，非运维人员进出机房无书面审批流程及人员登记台账，违反“应对机房出入口进行全天视频监控，对进出机房的人员进行登记和审批”要求，测评结果为不符合。•物理防护：机房配备了防火门、防盗窗及烟雾报警系统，但未设置物理隔离栏对核心设备机柜进行单独防护，违反“应对关键设备所在区域设置物理隔离栏或防盗报警装置”要求，测评结果为基本符合。•防雷击：机房安装了三级防雷系统，经测试防雷接地电阻为2Ω（符合≤4Ω的标准要求），测评结果为符合。•防火：机房配备了七氟丙烷气体灭火系统及手提式干粉灭火器，消防设施定期检测（最近一次检测为202X年X月），测评结果为符合。•防水防潮：机房地面采用防静电地板，配备了湿度传感器，但未设置漏水检测系统，违反“应设置漏水检测系统，对机房内的漏水情况进行监测”要求，测评结果为基本符合。•温湿度控制：机房配备了精密空调系统，现场检测温度为23℃、湿度为45%（符合温度18-28℃、湿度40%-60%的标准要求），但空调系统未设置冗余备份，违反“应设置温湿度自动调节系统，保持机房温湿度在规定范围内，关键设备应配备冗余空调系统”要求，测评结果为基本符合。•电力供应：机房配备了UPS电源系统，续航时间为4小时（满足核心设备断电后持续运行2小时的要求），但未配备备用发电机，违反“应配备备用供电系统，保证关键设备在断电后仍能正常运行”要求，测评结果为基本符合。•电磁防护：机房机柜配备了电磁屏蔽装置，经测试电磁辐射强度符合国家标准要求，测评结果为符合。2.网络安全•网络架构：系统网络采用分区部署模式，政务外网接入区、核心业务区、数据存储区、运维管理区之间通过防火墙实现逻辑隔离，网络拓扑清晰，符合“应划分不同的网络区域，并按照方便管理和控制的原则为各网络区域分配地址”要求，测评结果为符合。•区域边界防护：核心业务区与政务外网接入区之间的防火墙仅配置了基础访问控制策略，未对异常流量（如大量端口扫描、高频率访问请求）进行检测和阻断，且未部署入侵防御系统（IPS），违反“应在网络边界处检测、防止或限制从外部发起的网络攻击行为”要求，测评结果为不符合。•网络设备防护：网络设备（防火墙、交换机）未配置登录失败锁定功能，允许连续10次错误登录，且设备口令未定期更换（最近一次更换为202X年X月），违反“应对登录网络设备的用户进行身份鉴别，设置登录失败处理功能，口令应具有复杂度要求并定期更换”要求，测评结果为不符合。•网络行为审计：网络审计系统仅保存审计日志7天，未达到“审计记录应至少保存6个月”的要求，且未定期对审计日志进行分析，违反“应记录网络系统中重要用户行为、异常行为等，审计记录应至少保存6个月，并定期进行分析”要求，测评结果为不符合。•入侵防范：仅在核心业务区部署了入侵检测系统（IDS），未实现实时入侵阻断功能，违反“应在网络边界处部署入侵防范设备，对入侵行为进行检测和阻断”要求，测评结果为基本符合。•恶意代码防范：网络边界未部署统一的恶意代码防范设备，仅在部分服务器上安装了杀毒软件，且杀毒软件病毒库更新不及时（最近一次更新为15天前），违反“应在网络边界处部署恶意代码防范设备，对恶意代码进行检测和清除”要求，测评结果为不符合。•网络冗余：核心网络链路采用双链路备份模式，符合“应提供网络链路的冗余，保证网络服务的连续性”要求，测评结果为符合。3.主机安全•身份鉴别：服务器操作系统（Linux、Windows）均采用用户名+密码的单一认证方式，未启用多因素认证（如Ukey、短信验证码），违反“应对登录的用户进行身份标识和鉴别，可采用多因素鉴别”要求，测评结果为不符合。•访问控制：发现12台服务器存在多余的测试账户（如test、admin等），且部分普通运维账户拥有服务器root/管理员权限，未按照最小权限原则分配账户权限，违反“应根据用户的角色分配权限，实现权限的最小化”要求，测评结果为不符合。•安全审计：服务器审计日志仅保存15天，未达到“审计记录应至少保存6个月”的要求，且未配置审计日志自动分析功能，违反“应记录服务器系统中重要用户行为、异常行为等，审计记录应至少保存6个月，并定期进行分析”要求，测评结果为不符合。•入侵防范：服务器未部署主机入侵检测系统（HIDS），仅依赖杀毒软件进行入侵防范，违反“应安装主机入侵检测系统，对主机的入侵行为进行检测和报警”要求，测评结果为基本符合。•恶意代码防范：部分服务器未安装杀毒软件，已安装杀毒软件的服务器病毒库更新不及时，违反“应安装恶意代码防范软件，并定期更新病毒库”要求，测评结果为不符合。•资源控制：服务器未配置CPU、内存、磁盘等资源的使用限制，当业务高峰期时可能出现资源耗尽导致系统瘫痪的情况，违反“应设置资源使用限制，防止单个用户或进程过度占用资源”要求，测评结果为基本符合。•安全配置：服务器操作系统存在多个高危漏洞（如CVE-2023-1234、CVE-2023-5678），未及时安装补丁，违反“应及时安装系统补丁，修复系统漏洞”要求，测评结果为不符合。4.应用安全•身份鉴别：政务服务事项办理系统的用户登录仅支持用户名+密码认证，未对连续多次登录失败的账户进行锁定（当前设置为允许连续10次失败登录），违反“应设置登录失败处理功能，包括登录失败次数限制、账户锁定等措施”要求，测评结果为不符合。•访问控制：应用系统未实现基于角色的访问控制（RBAC），部分普通用户拥有修改业务数据的权限，违反“应根据用户的角色分配权限，实现权限的最小化”要求，测评结果为不符合。•安全审计：应用系统仅记录用户登录日志，未记录业务操作日志（如事项提交、审批、修改等），违反“应记录应用系统中重要用户行为、异常行为等，包括用户登录、业务操作等”要求，测评结果为不符合。•通信完整性：应用系统数据传输过程中未采用校验码或数字签名等措施验证数据完整性，违反“应采用校验码或数字签名等措施实现通信过程中数据的完整性”要求，测评结果为不符合。•通信保密性：用户提交的个人敏感信息（如身份证号、银行卡号）在政务外网传输时未采用加密传输（仅使用HTTP协议），违反“应采用加密或其他有效措施实现通信过程中数据的保密性”要求，测评结果为不符合。•抗抵赖：应用系统未对用户业务操作进行数字签名，无法追溯操作主体，违反“应采用数字签名等措施实现用户操作的抗抵赖”要求，测评结果为不符合。•软件容错：应用系统存在输入验证缺陷，当用户输入特殊字符（如‘’‘;’等）时会出现页面崩溃情况，违反“应提供软件容错功能，对用户输入的错误或异常进行处理”要求，测评结果为不符合。•资源控制：应用系统未配置并发连接数限制，当大量用户同时访问时可能出现系统响应缓慢甚至瘫痪的情况，违反“应设置并发连接数限制，防止系统资源被过度占用”要求，测评结果为基本符合。•代码安全：通过静态代码扫描工具检测，发现应用系统存在2个高危SQL注入漏洞、3个中危跨站脚本（XSS）漏洞、1个低危路径遍历漏洞，违反“应对应用系统代码进行安全检测，修复代码漏洞”要求，测评结果为不符合。5.数据安全•数据完整性：核心业务数据未采用哈希算法或数字签名等措施验证数据完整性，违反“应采用哈希算法或数字签名等措施实现数据的完整性”要求，测评结果为不符合。•数据保密性：存储在数据库中的用户个人敏感信息采用明文存储，未进行加密处理，违反“应采用加密或其他有效措施实现数据的保密性”要求，测评结果为不符合。•数据备份恢复：委托方仅对核心业务数据进行每日本地备份，未实现异地备份，且未定期开展备份恢复演练（最近一次演练为202X年X月，间隔超过6个月），违反“应定期对重要数据进行备份，并进行异地存储，定期开展备份恢复演练”要求，测评结果为不符合。•数据销毁：未建立数据销毁制度，服务器报废时未对存储介质进行彻底销毁，违反“应建立数据销毁制度，对废弃数据进行彻底销毁”要求，测评结果为不符合。•个人信息保护：核查用户个人信息处理流程，发现系统在采集用户信息时未明确告知信息使用范围、保存期限，且存在将用户个人信息共享给第三方合作机构但未获取用户明确同意的情况，违反《个人信息保护法》相关要求，测评结果为不符合。（二）管理层面测评结果1.安全管理机构•机构设置：委托方未设置专门的网络安全管理部门，仅由信息化科兼职负责网络安全工作，未明确网络安全负责人及岗位职责，违反“应设立专门的安全管理机构，明确安全管理负责人及岗位职责”要求，测评结果为不符合。•人员配备：仅配备2名兼职网络安全管理人员，未达到“三级系统应配备至少3名专职网络安全管理人员”的要求，测评结果为不符合。•沟通协作：未与公安机关、网络安全监管部门建立常态化沟通协作机制，违反“应与公安机关、网络安全监管部门建立沟通协作机制，及时通报网络安全事件”要求，测评结果为基本符合。2.安全管理制度•制度制定：安全管理制度不完整，缺少网络安全事件应急预案、个人信息保护专项制度、数据备份恢复管理制度、漏洞扫描与风险评估制度等，违反“应制定完备的安全管理制度，覆盖物理安全、网络安全、主机安全、应用安全、数据安全等各个环节”要求，测评结果为不符合。•制度修订：已有的安全管理制度未定期修订（最近一次修订为202X年X月，间隔超过1年），违反“应定期对安全管理制度进行修订，确保制度的有效性”要求，测评结果为不符合。•制度培训：未组织员工开展安全管理制度培训，大部分员工不了解安全管理制度内容，违反“应定期组织员工开展安全管理制度培训，提高员工的安全意识”要求，测评结果为不符合。3.人员安全管理•人员录用：未对网络安全管理人员进行背景调查，违反“应对录用的网络安全管理人员进行背景调查，确保人员的可靠性”要求，测评结果为不符合。•人员离岗：未建立人员离岗制度，员工离岗时未收回访问权限、销毁敏感信息，违反“应建立人员离岗制度，及时收回离岗人员的访问权限，销毁敏感信息”要求，测评结果为不符合。•人员培训：未定期开展网络安全培训（最近一次培训为202X年X月，间隔超过6个月），违反“应定期组织员工开展网络安全培训，提高员工的安全技能”要求，测评结果为不符合。•人员考核：未建立网络安全考核制度，未对员工的安全行为进行考核，违反“应建立网络安全考核制度，对员工的安全行为进行考核”要求，测评结果为不符合。4.系统建设管理•安全需求分析：系统建设过程中未开展安全需求分析，违反“应在系统建设前开展安全需求分析，明确安全目标和安全要求”要求，测评结果为不符合。•安全设计：系统设计文档中未包含安全设计内容，违反“应在系统设计阶段制定安全设计方案，落实安全需求”要求，测评结果为不符合。•安全开发：开发人员未接受安全编码培训，系统开发过程中未采用安全编码规范，违反“应对开发人员进行安全编码培训，采用安全编码规范进行开发”要求，测评结果为不符合。•安全测试：系统上线前未进行安全测评，违反“应在系统上线前进行安全测评，发现并修复安全漏洞”要求，测评结果为不符合。5.系统运维管理•日常运维：未建立日常运维日志制度，运维操作无记录，违反“应建立日常运维日志制度，记录运维操作内容”要求，测评结果为不符合。•漏洞管理：未定期开展漏洞扫描和风险评估（最近一次扫描为202X年X月，间隔超过6个月），发现漏洞未及时修复，违反“应定期开展漏洞扫描和风险评估，及时修复漏洞”要求，测评结果为不符合。•事件处置：未建立网络安全事件处置预案，未开展应急演练，违反“应制定网络安全事件处置预案，定期开展应急演练”要求，测评结果为不符合。•设备管理：网络设备、服务器未建立资产台账，未定期进行维护，违反“应建立资产台账，定期对设备进行维护”要求，测评结果为不符合。风险分析根据测评结果，本次共识别安全风险点72个，其中高风险点21个、中风险点35个、低风险点16个，各等级风险的具体影响如下：（一）高风险分析高风险点主要集中在应用安全、数据安全及管理机构设置环节，具体包括：应用系统存在高危SQL注入和XSS漏洞，易被黑客利用窃取核心业务数据或控制系统；用户敏感信息明文传输及存储，易导致个人信息泄露；核心业务区边界未部署IPS，无法有效阻断外部入侵行为；未设置专门的网络安全管理机构，安全责任无法有效落实；数据无异地备份，本地存储设备故障易导致核心数据丢失。此类风险一旦发生，将直接导致政务服务业务中断、数据泄露、系统被非法控制，严重影响政务服务公信力，甚至引发法律风险。（二）中风险分析中风险点主要集中在网络安全、主机安全及人员管理环节，具体包括：网络设备未配置登录失败锁定功能，易遭受暴力破解；服务器存在多余测试账户，易被非法利用；安全管理制度不完整，安全管控无章可循；运维人员未签订保密协议，易导致敏感信息泄露；网络审计日志保存周期不足，无法追溯安全事件。此类风险若长期存在，将逐步削弱系统的安全防护能力，增加被攻击的概率，影响系统的稳定性和可靠性。（三）低风险分析低风险点主要集中在物理安全及系统建设管理环节，具体包括：机房未设置物理隔离栏、未配备备用发电机；系统上线前未进行安全测评；未定期开展备份恢复演练。此类风险对系统的直接影响较小，但长期积累可能引发连锁反应，例如机房物理隔离缺失可能导致核心设备被误操作，备用发电机缺失可能在长时间断电时导致业务中断。整改建议针对本次测评发现的安全风险点，结合国家等级保护三级要求及政务系统安全需求，提出以下针对性整改建议：（一）技术层面整改建议1.物理安全整改：在机房出入口加装24小时视频监控设备，建立人员进出审批及登记台账；为核心设备机柜设置物理隔离栏；安装漏水检测系统；配备备用发电机，完善电力冗余保障；定期对空调系统进行维护，确保温湿度稳定。2.网络安全整改：在核心业务区与政务外网接入区之间部署入侵防御系统（IPS），配置异常流量检测和阻断策略；为网络设备配置登录失败锁定功能（连续5次失败锁定15分钟），定期更换设备口令（每3个月至少一次）；调整网络审计日志保存周期至6个月以上，每月对审计日志进行分析；在网络边界部署统一的恶意代码防范设备，定期更新病毒库（每日至少一次）。3.主机安全整改：为服务器启用多因素认证（如Ukey）；删除多余的测试账户，按照最小权限原则分配账户权限；调整服务器审计日志保存周期至6个月以上，配置审计日志自动分析功能；部署主机入侵检测系统（HIDS），实时监测主机入侵行为；为所有服务器安装杀毒软件，每日更新病毒库；及时安装操作系统补丁，修复高危漏洞；配置服务器资源使用限制，防止单个用户或进程过度占用资源。4.应用安全整改：为应用系统设置登录失败锁定功能（连续5次失败锁定15分钟），启用多因素认证；实现基于角色的访问控制（RBAC），按照最小权限原则分配用户权限；完善应用系统审计日志，记录用户登录、业务操作等