XX市社保局2015年度安全服务项目实施方案

1、XX市社保局2015年度信息安全服务项目实施计划目 录一、项目概述3二、项目服务内容42.1.风险评估42.2.设备安全加固52.3.安全管理体系建设62.4.等级保护测评142.5.安全技术运维172.6.安全咨询、宣传培训及安全专家服务202.7.上级部门交办的安全自查与整改工作资金概算202.8.通过部署安全配置审计、身份验证令牌等手段，加强系统安全基线审计212.9.安全证书服务212.10.建立安全运维体系222.11.信息安全实时监控服务232.12.网站和网办安全服务24三、项目实施时间及成果文档36一、 项目概述经过多年建设XX社保中心已经初步建成完善的信息系统，为XX社保中心

2、重要业务系统的有效开展提供了强有力的支撑。同时，信息系统的安全可靠运行是确保XX社保中心主营业务正常开展的必要条件。在信息科技发展的同时，各种黑客手段、病毒技术、木马技术也在飞速发展，信息安全问题在信息化的过程中也日益突出，XX社保中心的信息系统建设必须面对日益严峻的信息安全问题。尽管XX社保中心近几年来通过持续的安全建设，形成了初步的单纯依靠安全设备的安全防护体系。但从目前的国内外安全环境以及法律法规的角度来看，仅是单单依靠安全设备，是无法解决XX社保中心的整体信息安全防护需求的。必须引入综合安全服务，结合专业的信息安全服务团队，解决诸多安全设备无法直接解决的安全问题，共同形成确保业务系统安

3、全、稳定运营的综合安全保障措施。 因此，根据目前实际情况，XX社保中心需要引入以安全风险识别、安全风险控制、安全体系完善、日常安全运维、安全宣传、安全培训、网站安全监控、等级保护测评等主要内容的综合信息安全服务保障，切实提高XX社保中心的信息安全保障能力。二、 项目服务内容综合安全服务要求包含风险评估、设备安全加固、安全管理体系建设、等级保护测评、安全技术运维、安全咨询及宣传培训、上级部门交办的安全自查和整改、通过部署安全配置审计身份验证令牌等技术手段加强技术控制、安全服务证书、建立安全运维体系、信息安全实时监控服务、网站和网办安全服务等内容，具体要求如下。. 风险评估针对社保的

4、物理机房环境、网络结构、网络服务、主机系统、中间件、数据库系统、容灾系统及数据存储安全、应用系统、应用代码、安全系统、安全相关人员、处理流程、安全管理制度、安全策略等对象进行评估，包括采用漏洞扫描、人工安全审计、渗透测试、代码安全审计、客户端测试等方法，深入且全面的掌握社保中心的安全现状，为后续的持续安全改进提供科学、详细的依据。主要内容包括： 建立安全风险模型：评估前建立安全风险模型，该模型必须包含但不限于以下要素：资产、影响、威胁、漏洞、安全控制、安全需求、安全风险，投标人应详细描述其风险模型的各个要素及之间的关系，并包括对威胁、漏洞、风险的等级划分标准。安全评估必须按照分层的原则，包括但

5、不限于以下对象：物理环境、网络结构、网络服务、主机系统、数据、应用系统、安全系统、安全相关人员、处理流程、安全管理制度、安全策略等。 信息资产评估：收集社保中心所有信息资产，包括所有的有形资产和无形资产，如服务器、网络设备、存储设备、应用软件、数据、人员、管理等。并对所有资产根据关键安全要素进行赋值，为评估阶段的风险计算和安全优化阶段的风险控制提供依据。 安全审计：对社保中心的服务器和网络设备进行安全审计。其中，服务器的安全审计包括操作系统安全（WINDOWS、LINUX、Solaris、AIX）审计和应用软件（如数据库、IIS、APACHE、TOMCAT、WEBLOGIC）的安全审计。安全审

6、计的每台被审计设备也必须体现CIA三要素包含的安全性、完整性、可用性。 漏洞扫描：漏洞扫描针社保中心的主要IT设备（服务器，网络设备，安全设备）得自身脆弱性进行安全评估。扫描内容包括端口扫描、系统扫描、漏洞扫描、数据库等应用软件扫描等，服务完成后应提供扫描报告，解决方案并对发现漏洞给予解决。 数据安全威胁分析：通过入侵检测系统对社保中心信息安全所面临的威胁进行细致分析，并给出报告。报告必须包括网络事件协议类型统计及对比饼图、事件危险级别统计及对比饼图、事件攻击类型统计及对比饼图、信息安全性综合分析等。 网络结构安全分析：为降低社保中心整体网络安全风险、增强IT内控的实效性、更清晰的评价和监控现

7、有安全状况，需要对网络结构进行分析，并结合业务情况进行安全域的规划设计。安全域设计需要对社保中心现有网络按照等级分为域、区、单元三个级别，描述安全域划分步骤及边界防护原则，对现有网络结构的每项不足之处提出可执行的措施，并在安全优化阶段实施。 渗透测试服务：对所有业务应用系统进行渗透测试。 源代码审核：针对用户应用系统的白盒测试，主要目的是发现系统代码层的安全问题，并提出解决方案。源代码审核需要包括以下内容，且服务方需要形成源代码审核模型图：（1）审核业务流程中是否存在可被绕开的漏洞；（2）审核业务系统源代码中是否有一般性的漏洞类型；（3）审核业务系统源代码中因需要开放给管理员或用户而可能导致的

8、隐蔽漏洞；（4）给出加固解决方案；（5）对代码中不符合安全规范的部分进行规范；（6）对今后代码编写的安全措施给出指导意见。（7）检查出代码中存在的安全漏洞。 综合风险分析：在对社保中心信息体系的各个层次进行技术安全评估基础上，综合分析社保中心信息系统面临的各方面威胁，依靠定量计算和定性分析结合的方式，计算出社保中心各方面的风险级别，并提出解决措施。 月度动态安全评估。结合每月的安全运维工作，随时获取信息系统安全要素的最新安全情况，监控社保中心信息系统的最新安全动态情况，并根据需要调整安全策略，确保应对最新的安全威胁。 数据安全保护对业务数据、数据库系统提供实施保护技术服务，协助用户对数据设计及

9、数据库漏洞进行分析整改，对敏感数据进行过滤规划，对测试数据提供脱敏服务。2.2. 设备安全加固安全整改加固工作对通过安全配置核查、漏洞扫描、渗透测试、策略分析等工作中发现的安全漏洞、安全弱点、安全风险，通过多方面的安全加固措施进行修补。特别对问题源头进行整改与加固，以最大限度的降低风险。包括： 配置核查结果的服务器安全加固 漏洞扫描的服务器安全加固 网络及安全设备的安全加固 边界安全策略的安全加固 渗透测试安全核查结果的安全整改 等级保护差距测评结果的安全整改加固 等级保护验收测评结果的安全整改加固 代码审计结果的协助性加固 病毒库升级 其它技术测试、评估发现问题的安全整改加固。2.3. 安全

10、管理体系建设根据各类安全标准要求，包括等级保护要求、社保行业要求，以及劳动保障信息中心内部信息系统运行对安全管理的需求，完善中心的安全管理体系。形成并落实信息安全策略、信息安全管理制度、信息安全操作规范等，提高中心安全运营的管理水平。具体制度要求如下：五个方面包含的主要内容如下：（1）安全管理机构： 设立信息安全管理工作的职能部门，设立安全主管人、安全管理各个方面的负责人，定义各负责人的职责； 设立系统管理人员、网络管理人员、安全管理人员岗位，定义各个工作岗位的职责； 成立指导和管理信息安全工作的委员会或领导小组，其最高领导应由单位主管领导委任或授权； 制定文件明确安全管理机构各个部门和岗位的

11、职责、分工和技能要求。 配备一定数量的系统管理人员、网络管理人员和安全管理人员等； 配备专职安全管理人员，不可兼任； 关键区域或部位的安全管理人员应按照机要人员条件配备； 关键岗位应定期轮岗； 关键事务应配备多人共同管理； 授权审批部门及批准人，对关键活动进行审批； 列表说明须审批的事项、审批部门和可批准人； 建立各审批事项的审批程序，按照审批程序执行审批过程； 建立关键活动的双重审批制度； 不再适用的权限应及时取消授权； 定期审查、更新需授权和审批的项目； 记录授权过程并保存授权文档； 加强各类管理人员和组织内部机构之间的合作与沟通，定期或不定期召开协调会议，共同协助处理信息安全问题； 信息

12、安全职能部门应定期或不定期召集相关部门和人员召开安全工作会议，协调安全工作的实施； 信息安全领导小组或者安全管理委员会定期召开例会，对信息安全工作进行指导、决策； 加强与兄弟单位、公安机关、电信公司的合作与沟通，以便在发生安全事件时能够得到及时的支持； 加强与供应商、业界专家、专业的安全公司、安全组织的合作与沟通，获取信息安全的最新发展动态，当发生紧急事件的时候能够及时得到支持和帮助； 文件说明外联单位、合作内容和联系方式； 聘请信息安全专家，作为常年的安全顾问，指导信息安全建设，参与安全规划和安全评审等； 由安全管理人员定期进行安全检查，检查内容包括用户账号情况、系统漏洞情况、系统审计情况等

13、； 由安全管理部门组织相关人员定期进行全面安全检查，检查内容包括现有安全技术措施的有效性、安全配置与安全策略的一致性、安全管理制度的执行情况等； 由安全管理部门组织相关人员定期分析、评审异常行为的审计记录，发现可疑行为,形成审计分析报告，并采取必要的应对措施； 制定安全检查表格实施安全检查，汇总安全检查数据，形成安全检查报告，并对安全检查结果进行通报； 制定安全审核和安全检查制度规范安全审核和安全检查工作，定期按照程序进行安全审核和安全检查活动。（2）安全管理制度： 制定信息安全工作的总体方针、政策性文件和安全策略等，说明机构安全工作的总体目标、范围、方针、原则、责任等； 对安全管理活动中的各

14、类管理内容建立安全管理制度，以规范安全管理活动，约束人员的行为方式； 对要求管理人员或操作人员执行的日常管理操作，建立操作规程，以规范操作行为，防止操作失误； 形成由安全政策、安全策略、管理制度、操作规程等构成的全面的信息安全管理制度体系； 由安全管理职能部门定期组织相关部门和相关人员对安全管理制度体系的合理性和适用性进行审定。在信息安全领导小组的负责下，组织相关人员制定； 保证安全管理制度具有统一的格式风格，并进行版本控制； 组织相关人员对制定的安全管理进行论证和审定； 安全管理制度应经过管理层签发后按照一定的程序以文件形式发布； 安全管理制度应注明发布范围，并对收发文进行登记； 安全管理制

15、度应注明密级，进行密级管理； 定期对安全管理制度进行评审和修订，对存在不足或需要改进的安全管理制度进行修订； 当发生重大安全事故、出现新的安全漏洞以及技术基础结构发生变更时，应对安全管理制度进行检查、审定和修订； 每个制度文档应有相应负责人或负责部门，负责对明确需要修订的制度文档的维护； 评审和修订的操作范围应考虑安全管理制度的相应密级。（3）人员安全管理： 保证被录用人具备基本的专业技术水平和安全管理知识； 对被录用人声明的身份、背景、专业资格和资质等进行审查； 对被录用人所具备的技术技能进行考核； 对被录用人说明其角色和职责； 签署保密协议； 对从事关键岗位的人员应从内部人员选拔，并定期进

16、行信用审查； 对从事关键岗位的人员应签署岗位安全协议； 立即终止由于各种原因即将离岗的员工的所有访问权限； 取回各种身份证件、钥匙、徽章等以及机构提供的软硬件设备； 经机构人事部门办理严格的调离手续，并承诺调离后的保密义务后方可离开； 关键岗位的人员调离应按照机要人员的有关管理办法进行； 对所有人员实施全面、严格的安全审查； 定期对各个岗位的人员进行安全技能及安全认知的考核； 对考核结果进行记录并保存； 对违背安全策略和规定的人员进行惩戒； 对各类人员进行安全意识教育； 告知人员相关的安全责任和惩戒措施； 制定安全教育和培训计划，对信息安全基础知识、岗位操作规程等进行培训； 针对不同岗位制定不

17、同培训计划； 对安全教育和培训的情况和结果进行记录并归档保存。（4）系统运维管理：系统定级- 应明确信息系统划分的方法； 应确定信息系统的安全保护等级； 应以书面的形式定义确定了安全保护等级的信息系统的属性，包括使命、业务、网络、硬件、软件、数据、边界、人员等； 应确保信息系统的定级结果经过相关部门的批准。安全方案设计- 根据系统的安全级别选择基本安全措施，依据风险评估的结果补充和调整安全措施； 以书面的形式描述对系统的安全保护要求和策略、安全措施等内容，形成系统的安全方案； 对安全方案进行细化，形成能指导安全系统建设和安全产品采购的详细设计方案； 组织相关部门和有关安全技术专家对安全设计方案

18、的合理性和正确性进行论证和审定； 确保安全设计方案必须经过批准，才能正式实施。产品采购- 确保安全产品的使用符合国家的有关规定； 确保密码产品的使用符合国家密码主管部门的要求； 指定或授权专门的部门负责产品的采购；自行软件开发- 开发环境与实际运行环境物理分开； 系统开发文档由专人负责保管，系统开发文档的使用受到控制； 提供软件设计的相关文档和使用指南；外包软件开发- 与软件开发单位签订协议，明确知识产权的归属和安全方面的要求； 根据协议的要求检测软件质量； 在软件安装之前检测软件包中可能存在的恶意代码； 要求开发单位提供软件设计的相关文档和使用指南；工程实施- 与工程实施单位签订与安全相关的

19、协议，约束工程实施单位的行为； 指定或授权专门的人员或部门负责工程实施过程的管理； 制定详细的工程实施方案控制实施过程；测试验收- 对系统进行安全性测试验收； 在测试验收前根据设计方案或合同要求等制订测试验收方案，测试验收过程中详细记录测试验收结果，形成测试验收报告； 组织相关部门和相关人员对系统测试验收报告进行审定，没有疑问后由双方签字。系统交付- 明确系统的交接手续，并按照交接手续完成交接工作； 由系统建设方完成对委托建设方的运维技术人员的培训； 由系统建设方提交系统建设过程中的文档和指导用户进行系统运行维护的文档； 由系统建设方进行服务承诺，并提交服务承诺书，确保对系统运行维护的支持；（

20、5）安全运维管理：环境管理- 对机房供配电、空调、温湿度控制等设施指定专人或专门的部门定期进行维护管理； 配备机房安全管理人员，对机房的出入、服务器的开机或关机等工作进行管理； 建立机房安全管理制度，对有关机房物理访问，物品带进、带出机房和机房环境安全等方面的管理作出规定； 应对机房来访人员实行登记、备案管理，同时限制来访人员的活动范围； 加强对办公环境的保密性管理，包括如工作人员调离办公室应立即交还该办公室钥匙和不在办公区接待来访人员等；资产管理- 建立资产安全管理制度，规定信息系统资产管理的责任人员或责任部门； 编制并保存与信息系统相关的资产、资产所属关系、安全级别和所处位置等信息的资产清

21、单； 根据资产的重要程度对资产进行定性赋值和标识管理，根据资产的价值选择相应的管理措施。介质管理- 确保介质存放在安全的环境中，并对各类介质进行控制和保护，以防止被盗、被毁、被未授权的修改以及信息的非法泄漏； 介质的存储、归档、登记和查询记录，并根据备份及存档介质的目录清单定期盘点； 对于需要送出维修或销毁的介质，应首先清除介质中的敏感数据，防止信息的非法泄漏； 根据所承载数据和软件的重要程度对介质进行分类和标识管理，并实行存储环境专人管理。设备管理- 对信息系统相关的各种设备、线路等指定专人或专门的部门定期进行维护管理； 对信息系统的各种软硬件设备的选型、采购、发放或领用等过程建立基于申报、

22、审批和专人负责的管理规定； 对终端计算机、工作站、便携机、系统和网络等设备的操作和使用建进行规范化管理； 对带离机房或办公地点的信息处理设备进行控制； 按操作规程实现服务器的启动/停止、加电/断电等操作，加强对服务器操作的日志文件管理和监控管理，并对其定期进行检查；监控管理- 进行主机运行监视，包括监视主机的CPU、硬盘、内存、网络等资源的使用情况；网络安全管理- 指定专人对网络进行管理，负责运行日志、网络监控记录的日常维护和报警信息分析和处理工作； 根据厂家提供的软件升级版本对网络设备进行更新，并在更新前对现有的重要文件进行备份； 进行网络系统漏洞扫描，对发现的网络系统安全漏洞进行及时的修补

23、； 保证所有与外部系统的连接均应得到授权和批准； 建立网络安全管理制度，对网络安全配置、网络用户以及日志等方面作出规定； 对网络设备的安全策略、授权访问、最小服务、升级与打补丁、维护记录、日志以及配置文件的生成、备份、变更审批、符合性检查等方面做出具体要求； 规定网络审计日志的保存时间以便为可能的安全事件调查提供支持；系统安全管理- 指定专人对系统进行管理，删除或者禁用不使用的系统缺省账户； 制定系统安全管理制度，对系统安全配置、系统账户以及审计日志等方面作出规定； 对能够使用系统工具的人员及数量进行限制和控制； 定期安装系统的最新补丁程序，并根据厂家提供的可能危害计算机的漏洞进行及时修补，并

24、在安装系统补丁前对现有的重要文件进行备份； 根据业务需求和系统安全分析确定系统的访问控制策略，系统访问控制策略用于控制分配信息系统、文件及服务的访问权限； 对系统账户进行分类管理，权限设定应当遵循最小授权要求； 对系统的安全策略、授权访问、最小服务、升级与打补丁、维护记录、日志以及配置文件的生成、备份、变更审批、符合性检查等方面做出具体要求； 规定系统审计日志的保存时间以便为可能的安全事件调查提供支持； 进行系统漏洞扫描，对发现的系统安全漏洞进行及时的修补；恶意代码防范管理- 提高所用用户的防病毒意识，告知及时升级防病毒软件； 在读取移动存储设备（如软盘、移动硬盘、光盘）上的数据以及网络上接收

25、文件或邮件之前，先进行病毒检查，对外来计算机或存储设备接入网络系统之前也要进行病毒检查； 指定专人对网络和主机的进行恶意代码检测并保存检测记录； 对防恶意代码软件的授权使用、恶意代码库升级、定期汇报等作出明确管理规定；密码管理- 密码算法和密钥的使用应符合国家密码管理规定。变更管理- 确认系统中要发生的变更，并制定变更方案； 建立变更管理制度，重要系统变更前，管理人员应向主管领导申请，变更和变更方案经过评审、审批后方可实施变更； 系统变更情况应向所有相关人员通告；备份与恢复管理- 识别需要定期备份的重要业务信息、系统数据及软件系统等； 规定备份信息的备份方式（如增量备份或全备份等）、备份频度（

26、如每日或每周等）、存储介质、保存期等； 根据数据的重要性和数据对系统运行的影响，制定数据的备份策略和恢复策略，备份策略应指明备份数据的放置场所、文件命名规则、介质替换频率和将数据离站运输的方法； 指定相应的负责人定期维护和检查备份及冗余设备的状况，确保需要接入系统时能够正常运行； 根据备份方式，规定相应设备的安装、配置和启动的流程；安全事件处置- 所有用户均有责任报告自己发现的安全弱点和可疑事件，但任何情况下用户均不应尝试验证弱点； 制定安全事件报告和处置管理制度，规定安全事件的现场处理、事件报告和后期恢复的管理职责； 分析信息系统的类型、网络连接特点和信息系统用户特点，了解本系统和同类系统已

27、发生的安全事件，识别本系统需要防止发生的安全事件，事件可能来自攻击、错误、故障、事故或灾难； 根据国家相关管理部门对计算机安全事件等级划分方法，根据安全事件在本系统产生的影响，将本系统计算机安全事件进行等级划分； 记录并保存所有报告的安全弱点和可疑事件，分析事件原因，监督事态发展，采取措施避免安全事件发生；应急预案管理- 在统一的应急预案框架下制定不同事件的应急预案，应急预案框架应包括启动应急预案的条件、应急处理流程、系统恢复流程和事后教育和培训等内容； 对系统相关的人员进行培训使之了解如何及何时使用应急预案中的控制手段及恢复策略，对应急预案的培训至少每年举办一次；2.4. 等级保护测评1、

28、根据相关要求，对于等级保护2级和3级系统，一年进行一次差距评估，通过差距评估，获取最新的安全薄弱环节，并通过后续工作进行安全整改建设；2、 对于未定级的系统，需进行定级备案，差距测评，安全整改等相关工作。根据等级保护标准以及广东公安厅发文要求，等级保护主要建设流程如下： 等级保护建设目标 等级保护建设框架信息系统等级保护建设整体流程框架图如下: 等级保护评估是在信息系统定级以后,根据信息系统等保级别进行风险评估,找出与等保标准的差距,进行安全规划设计,即完成等级保护整改方案。 等级保护评估流程l 评估指标选择根据信息系统的安全等级，从等级保护基本要求的指标中选择和组合评估用的安全指标，形成一套

29、信息系统的评估指标，作为评估的依据；将具体评估对象和评估指标进行结合，形成评估使用的评估方案。l 等级保护基本要求信息系统安全等级保护基本要求规定了信息系统安全等级保护的基本要求，包括基本技术要求和基本管理要求，适用于不同安全等级的信息系统的安全保护。技术类安全要求通常与信息系统提供的技术安全机制有关，通过在信息系统中部署软硬件并正确的配置其安全功能来实现；管理类安全要求通常与信息系统中各种角色参与的活动有关，主要是通过控制各种角色的活动，从政策、制度、规范、流程以及记录等方面做出规定来实现。不同安全等级的信息系统，其对业务信息的安全性要求和业务服务的连续性要求是有差异的；即使相同安全等级的信

30、息系统，其对业务信息的安全性要求和业务服务的连续性要求也有差异。因此，对某一个定级后的信息系统的保护要求可以有多种组合。对基本要求进行选择的过程：基本要求的选择由信息系统的安全等级确定，基本要求包括技术要求和管理要求。二级系统应该选择第二级的基本要求，三级系统应该选择第三级的基本要求。l 评估步骤根据所确定的安全评估指标和安全评估方案，通过询问、检查和测试等多种手段，将系统现状与安全评估指标进行逐一对比，记录当前的现状情况，找到与评估指标之间的差距。判断安全管理方面与评估指标的符合程度通过观察现场、询问人员、查询资料、检查记录等方式进行安全管理方面的评估，准确记录评估结果，判断安全管理的各个方

31、面与评估指标的符合程度，给出判断结论。判断安全技术方面与评估指标的符合程度通过观察现场、询问人员、查询资料、检查记录、检查配置、技术测试、渗透攻击等方式进行安全技术方面的评估，准确记录评估结果，判断安全技术的各个方面与评估指标的符合程度，给出判断结论。管理评估指标主要包括以下几个方面：安全管理机构；安全管理制度；人员安全管理；系统建设管理；系统运维管理；技术评估指标主要包括以下几个方面：物理安全；网络安全；主机系统安全；应用安全；数据安全。l 体系执行的差距评估对于信息系统的安全需求分析首先应判断信息系统的安全保护现状与国家等级保护基本要求之间的差距，这种差距作为初步的安全需求；除上述安全需求

32、外，还要通过风险分析的方法确定系统额外的安全需求，这种需求反映在对特殊环境和威胁的安全保护要求，或对系统重要对象的较高保护要求方面。通过现状差距的分析和特殊要求的分析，明确系统的完整安全需求。l 编写整改方案差距评估中，对发现的技术和管理两个方面存在的不足，需要制定等级保护整改方案进行整改建议。整改建议包括针对每项安全弱点的有效建议措施，以及从整个系统角度科学的、统筹安排改进措施，确保最小的投入达到整改目标。2.5. 安全技术运维通过安全技术运维服务工作，充分发挥各类安全设备的价值，并通过专业技术人员的服务工作，完善整个安全技术保障工作。安全技术运维服务工作包括每周的安全设备日志分析与处理，针

33、对所有IT设备每月的漏洞扫描工作，针对网上办事大厅业务、网站业务、医保业务、社保业务、劳动就业业务等业务系统每季度的渗透测试工作，针对新业务系统、新系统模块或新IT设备的上线安全评估工作、针对信息系统的7*24小时应急响应服务工作、针对信息安全预案的修编及年度演练工作、针对设备自身脆弱性的定期安全修补工作等。安全技术运维过程中，需要用到相关的安全工具。为保证安全工具的先进性，以及避免因为工具的使用而生产法律纠纷等，中标人需要承诺安全服务过程中提供符合要求的安全工具，产权仍属于中标人。安全服务过程中提供使用的所有工具必须是国产产品。本项目使用的安全工具具体要求如下：1、对招标人所有服务器操作系统

34、、客户端和网络及安全设备进行安全漏洞扫描，采用的漏洞扫描工具应满足以下要求：(1) “综合安全服务”实施团队应具备多年的漏洞研究经验，具备独立漏洞发掘的能力；(2) 可扫描的漏洞应不小于3600；(3) 漏洞扫描工具支持对各种Web应用系统的扫描，支持检测SQL注入漏洞、XSS攻击漏洞、CGI漏洞、网页挂马、关键字检测、网站备案信息、敏感信息泄露等。提供产品截图证明。(4) 漏洞扫描工具支持对主流数据库的识别与扫描，包括：Oracle、Sybase、SQL Server、DB2、MySQL等，能够扫描的数据库漏洞扫描方法不小于580种。提供产品截图证明。(5) 扫描报告中的漏洞应具备统一的CV

35、SS国际标准评分，以准确衡量漏洞的危险级别，为漏洞修补工作的优先级提供指导；(6) 产品具有中华人民共和国公安部颁发的计算机信息系统安全专用产品销售许可证，要求为增强型，投标时提供证书复印件；(7) 投标人必须承诺供货时提供该产品针对本项目的原厂授权证明函（需加盖原厂商公章）。2、对招标人IT机房设备的第三方人员运维操作行为进行安全审计，所需的运维审计系统至少满足以下要求：(1) 可选择透明接入网络，不改变用户的访问习惯，不改变交换机配置。(2) 审计事件每秒入库速度至少在3000条/秒以上。(3) 支持的操作类型包括Windows图形操作、Unix/Linux图形操作、终端字符命令（Teln

36、et、SSH、Rlogin）操作、文件上传和下载操作（、SCP、Netbios、NFS、常用OA操作（HTTP、SMTP、POP3）、数据库操作（Oracle、MS SQL Server、DB2、MySQL）。提供产品截图证明。(4) 用户通过常用的客户端工具(如SecureCRT、PUTTY、Mstsc、PLsql、SQLplus等)不通过堡垒机运维帐号进行直接访问目标资源。支持客户端工具的(SecureCRT、putty)clone session功能，支持secure shell client软件中直接调用sftp功能。提供产品截图证明。(5) 支持的网络设备类型包括Cisco全系列、华

37、为全系列网络设备。(6) 提供用户管理员、配置管理员、审计管理员、普通用户等多种角色。(7) 支持生成各种格式的审计报表，包括PDF、Word、Excel、HTML等格式。(8) 具有计算机信息系统安全专用产品销售许可证（国标增强级，投标时需提供证书复印件）。(9) 有中国信息安全认证中心颁发的信息安全产品认证证书（增强级，投标时需提供证书复印件）。(10) 投标人必须承诺供货时提供该产品针对本项目的原厂授权证明函（需加盖原厂商公章）。3、对招标人工作区域的无线网络安全情况进行定期检查。使用的无线网络检测设备的功能及性能要求如下：(1) 必须具备有中华人民共和国公安部颁发的计算机信息系统安全专

38、用产品销售许可证，并提供证书复印件。(2) 具有CVE兼容性证书，投标时需提供证书复印件。(3) 应提供支持802.11a/b/g/n的标准无线接口；支持24002483/51505850MHz频段。(4) 无线发射性能不低于22 MIMO 20dBm。(5) 无线接收性能不低于22 MIMO -95dBm。(6) 无线准入功能：可手工或自动识别和区分内部AP和外部AP，也可以手工或自动识别合法终端，并基于此设定无线准入策略，通过射频信号阻止非法AP、终端的接入。(7) 无线入侵防御：支持无线扫描、欺骗、DoS、破解等常见无线网络攻击行为的检测、告警、阻断功能，同时支持多种类型流氓AP的检测与

39、阻断。提供产品截图证明。(8) 支持无线网络拓扑识别和呈现。提供产品截图证明。(9) 应满足自身安全性需求，设备对外不可见，且不能介入用户业务流程。(10) 投标人必须承诺供货时提供该产品针对本项目的原厂授权证明函（需加盖原厂商公章）4、对招标人四个机房及网络系统进行实时安全监控，并结合安全威胁与安全脆弱性对全局安全风险进行预警，便于信息安全专家迅速在安全事件的萌芽状态进行处理，消除安全隐患，确保网络安全、平稳运行。安全态势监控及预警平台须至少满足以下要求：(1) 具有中国信息安全测评中心信息技术产品安全测评证书 EAL3，需提供证书复印件(2) 具有计算机软件著作权登记证书，需提供证书复印件

40、；(3) 采用业界主流的B/S方式，不需要安装客户端；(4) 采用基于浏览器的用户界面，至少支持IE与FireFox。为了适应不同用途，用户可以对界面颜色进行选择调整；(5) 具备很强的扩展性，能够方便的支持现有及未来的各类设备；对新设备的定制支持时间小于5个工作日；(6) 事件处理性能可以达到平均每秒15000条事件；(7) 简单部署，无需安装任何其他软件和组件，用户只需要安装管理中心即可实现对全网资源的安全管理；(8) 在综合展示界面中能够显示系统的基本管理信息，包括当前告警状态、最近告警信息、资产告警排行、事件趋势、监控对象概要信息等。提供产品截图证明。；(9) 系统提供基于资产的拓扑视

41、图，可以显示资产之间的逻辑连接关系。在资产拓扑上选择每个资产节点，可查看每个资产的事件信息、告警信息、漏洞信息、风险信息，并且支持向下钻取，直接进入事件列表、关联告警列表。提供产品截图证明；(10) 支持多事件关联，对不同来源的安全事件进行复杂的相关性分析；(11) 投标人必须承诺供货时提供该产品针对本项目的原厂授权证明函（需加盖原厂商公章）。5、针对招标人面临的复杂安全局势，避免当前基于特征匹配检测技术的局限性，需要加强技术手段检测基于未知漏洞或可逃过检测的已知漏洞触发的攻击、检测未知木马的行为、发现不可信的加密信道、APT攻击等。提供的恶意代码检测系统至少满足以下要求：(1) 系统硬件尺寸

42、：2U上架设备。(2) 千兆捕包电口（GE） 6个。(3) 旁路部署。设备支持通过流量镜像方式旁路部署的能力。(4) 0day攻击检测。可以对0day攻击进行检测，并在产品界面中中明确表明该攻击是0day攻击还是Nday攻击。提供产品截图证明。(5) 未知恶意代码检测。具备对未知恶意代码具备检测能力，漏报率不高于10%(6) 基于行为的攻击检测。具备通过分析攻击行为对攻击进行检测的能力。(7) 支持APT攻击行为记录。支持对APT攻击关键步骤的具体攻击行为进行记录的能力。提供产品截图证明。(8) 可区分0day攻击与Nday攻击。可以明确区分出0day攻击与Nday攻击，并在报警界面中进行展示

43、。提供产品截图证明。(9) 产品具有中华人民共和国公安部颁发的计算机信息系统安全专用产品销售许可证，投标时提供证书复印件。(10) 投标人必须承诺供货时提供该产品针对本项目的原厂授权证明函（需加盖原厂商公章）。2.6. 安全咨询、宣传培训及安全专家服务1、通过各种安全咨询服务，协助中心工作人员加强信息安全建设，提高整个信息系统运维过程中的安全可控性，协调各信息安全项目按质按量实施，确保中心信息安全建设不断积累、逐步完善、达到更高的安全保障能力;2、针对普通工作人员，进行安全宣传。包括制作信息安全宣传的FLASH屏幕保护等;3、针对IT工作人员，提供安全培训。包括安全管理体系的设计、安全管理的执

44、行，安全意识、安全知识等。针对普通工作人员，提供安全意识培训。4、提供2名安全专家5*8小时驻场服务（节假日除外）。2.7. 上级部门交办的安全自查与整改工作资金概算根据上级部门具体安全要求，落实信息安全专项检查整改，并提交相关安全整改报告。 单位上级部门交办安全自查与整改根据广东省社会保险基金管理局、中华人民共和国人力资源和社会保障部等上级部门的安全要求，落实信息安全专项检查工作，包括重要业务系统安全检测工作、重要业务系统安全扫描工作、重要业务系统基线检查工作、重要业务系统应用安全检查工作等，并针对各项检查工作中发现的问题进行整改，提交相关安全整改报告等工作。 行业监管部门交办安全自查与整改

45、根据行业监管部门的安全要求，落实各项信息安全防护工作。依据行业安全标准相关要求，及时进行各项安全自查与整改工作。如安全检测工作、风险评估、安全管理体系评估等，并针对各项安全自查工作中发现的问题进行整改等。 其它监管部门交办安全自查与整改参照网监等监管部门的安全要求，依据信息系统等级保护等标准要求和电子政务安全要求，及时进行中心各项核心业务系统的安全自查与整改工作。如信息系统等级保护定级、信息系统等级保护测评、信息系统等级保护安全建设等工作的开展实施。2.8. 建立安全运维体系社保中心负责整个业务系统的运作，包括开发、实施、维护等，涉及的因素多、对象广、流程复杂，对信息安全管理的要求较高，需要建

46、立较为完善的信息安全管理体系并执行，才能发挥安全技术措施的效果，确保持续的整体安全保障能力。通过安全管理体系建设，在满足等级保护三级安全管理的基础上，实现以下层次化、体系化的安全管理建设内容。为社保中心建立四阶文件组成的安全管理文件体系。第一阶文件为安全管理体系文件中最上层的文件整体安全策略，它反映了最高层领导的意志，明确信息安全工作的总体方针、政策性文件和安全策略文件，明确机构安全工作的总体目标、范围、方针、原则、责任等，明确信息系统的安全策略。第二阶文件为社保中心制定的信息安全管理制度，上级单位或国家相关部门下发的信息安全要求，以及重要安全管理活动流程的制度化文件。它是整体安全策略的具体化

47、表现，通过一系列的安全管理制度文件确保社保中心信息系统安全总体方针、目标的实现，确保社保中心信息安全管理体系与信息系统安全运行维护相适宜,确保信息安全管理体系的建立、保持和运行，并持续不断的改进。第三阶文件为指导信息系统运行维护过程中的具体安全操作，如各类安全技术指南，各类安全检查表要求等。本类文件是第二阶文件的具体落地，它有效将各类管理制度文件中的要求与运维过程中的具体技术相结合，有效实现安全运维。第四阶文件是执行安全管理制度、要求、指南等的记录性文件。形成一系列信息系统运维过程的记录表单。2.9. 网站和网办安全服务信息系统软件源代码安全分析和评估服务。为用户提供整体的源代码安全风险检测解

48、决方案服务，帮助用户从源代码级别控制和降低安全风险。通过审计工具及人工审计的方式，对三个等级保护三级系统做以下内容的代码安全检查：输入验证 在可信系统（例如：服务器）上执行所有的数据验证。 识别所有的数据源，并将其分为可信的和不可信。验证所有来自不可信数据源（例如：客户端）的数据。 为应用程序应提供一个集中的输入验证规则。 为所有输入明确合适的字符集，例如：UTF-8。 丢弃任何没有通过输入验证的数据。 确定系统是否支持 UTF-8 扩展字符集。如果支持，在 UTF-8 解码完成后再进行输入验证。 在对数据处理之前，验证所有来自客户端的数据，包括：所有参数、URL、HTTP 头信息（例如：co

49、okie 名字和数据值等）。确定包括了来自 JavaScript、Flash 或其他嵌入代码的 post back 信息。 验证在请求和响应的报头信息中只含有 ASCII 字符。 核实来自重定向输入的数据（一个攻击者可能向重定向的目标直接提交恶意代码，从而避开应用程序逻辑以及在重定向前执行的任何验证）。 验证正确的数据类型。 验证数据范围。 验证数据长度。 尽可能采用“白名单”形式，验证所有的输入。 如果任何潜在的危险字符必须被作为输入，需要确保执行了额外的控制。例如：输出编码、特定的安全 API等。部分常见的危险字符包括： % ( ) & + 。 如果使用的标准验证规则无法验证下面的输入，那

50、么它们需要被单独验证：l 验证空字节 (%00)；l 验证换行符 (%0d, %0a, r, n)；l 验证路径替代字符“点-点-斜杠”（./或 .）。如果支持 UTF-8 扩展字符集编码，验证替代字符： %c0%ae%c0%ae/ (使用规范化验证双编码或其他类型的编码攻击)。输出编码 在可信系统（例如：服务器）上执行所有的编码。 为每一种输出编码方法采用一个标准的、已通过测试的规则。通过语义输出编码方式，对所有返回到客户端并来自于应用程序信任边界之外的数据进行编码。 针对 SQL、XML 和 LDAP 查询，语义净化所有不可信数据的输出。 对于操作系统命令，净化所有不可信数据输出。身份验证

51、和密码管理 除了特定设为“公开”的内容以外，对所有的网页和资源均要求身份验证。 所有的身份验证过程必须在可信系统（例如：服务器）上执行。 在任何可能的情况下，建立并使用标准的、已通过测试的身份验证服务。 为所有身份验证控制使用一个集中实现的方法。 将身份验证逻辑从被请求的资源中隔离开，并重定向到集中的身份验证控制。 所有的身份验证控制应当安全的处理未成功的身份验证。所有的权限管理功能至少应当具有和主要身份验证机制一样的安全性。 如果应用程序管理的凭证被存储，应当保证只保存通过使用强加密单向 salted 哈希算法得到的密码，并且只有应用程序具有对保存密码和密钥的表/文件的写权限（禁止使用 MD

52、5 算法，该算法不够安全）。 密码哈希必须在可信系统（例如：服务器）上执行。 只有当所有的数据输入以后，才开始对身份验证数据进行验证，特别是对连续身份验证机制。 身份验证的失败提示信息应当避免过于明确。例如：可以使用“用户名和/或密码错误”，而不要使用“用户名错误”或者“密码错误”。错误提示信息在显示和源代码中应保持一致。 涉及敏感信息或功能的外部系统连接需要使用身份验证。 用于访问应用程序以外服务的身份验证凭据信息应当加密，并存储在一个可信系统（例如：服务器）中受到保护的地方。 只使用 Http Post 请求传输身份验证的凭据信息。 非临时密码只在加密连接中发送或作为加密的数据 通过规则加

53、强密码复杂度的要求（例如：要求使用字母、数字和/或特殊符号）。 通过规则加强密码长度要求。常用使用 8-16 个字符长度。 输入的密码应当在用户的屏幕上非明文显示。 当连续多次登录失败后（例如：通常情况下是 5 次），应强制锁定账户。账户锁定的时间必须足够长，以阻止暴力攻击猜测登录信息，但不能长到允许执行拒绝服务攻击。 密码重设和更改操作需要类似于账户创建和身份验证的同样安全控制等级。 密码重设问题应当支持尽可能随机的提问（通过注册账号环节收集用户填写的提问信息）。 如果使用基于邮件的密码重设，只将临时链接或密码发送到预先注册的邮件地址。 临时密码和链接应当有一个短暂的有效期。 当再次使用临时

54、密码时，强制修改临时密码。 阻止密码重复使用。 密码在被更改前应当至少使用了一天，以阻止密码重用攻击。 强制定期更改密码。重要系统或账号需要更频繁的更改。更改时间周期必须进行明确。 为密码填写框禁用“记住密码”功能。 用户账号的上一次使用信息（成功或失败）应当在下一次成功登录时向用户报告。 执行监控以捕获针对使用相同密码的多用户帐户攻击（例如：暴力破解）。当用户名可以被攻击者得到或被猜到时，该攻击模式可以绕开标准的锁死功能。 更改所有厂商提供的默认用户用户名和密码，或者禁用相关帐号。 在执行关键操作以前，对用户再次进行身份验证。 为高度敏感或重要的账户使用多因子身份验证机制。 如果使用了第三方

55、身份验证的代码，仔细检查代码以保证其不会受到任何恶意代码的影响。会话管理 使用服务器或者框架的会话管理控制。应用程序应当只识别有效的会话标识符。 会话标识符必须总是在一个可信系统（例如：服务器）上创建。 会话管理控制应当使用随机会话标识符，确保随机会话标识符没有任何规律。 为包含已验证的会话标识符的 cookie 设置域和路径，以为站点设置一个恰当的限制值。 注销功能应当完全终止相关的会话或连接。 注销功能应当可用于所有受身份验证保护的网页。 在平衡风险与业务功能需求的基础上，设置一个尽量短的会话超时时间。通常情况下，应当不超过几个小时。 禁止连续的登录并强制执行周期性的会话终止，即使是活动的会话。 如果一个会话在登录以前就建立，在成功登录以后，关闭该会话并创建一个新的会话。 在任何重新身份验证过程中建立一个新的会话标识符。 不允许同一用户名的并发登录。 禁止在 URL、错误信息或日志中暴露会话标识符。会话标识符应当只出现在 HTTP cookie 头信息中。不要将会话标识符以 GET 参数进行传递。 通过在服务器上使用恰当的访问控制，保护服务器端会话数据免受来自服务器其它用户的未授权访问。 生成一个新的会话标识符并周期性地使旧会话标识符失效，降低因会话标识符