信息系统安全等级保护测评报告新修订

《信息系统安全等级保护测评报告新修订》由会员分享，可在线阅读，更多相关《信息系统安全等级保护测评报告新修订（111页珍藏版）》请在金锄头文库上搜索。

1、I 报告编号：（ -16-1303-01） 信息系统安全等级测评报告信息系统安全等级测评报告 公司2015 版 说明：说明： 一、每个备案信息系统单独出具测评报告。 二、测评报告编号为四组数据。各组含义和编码规则如下： 第一组为信息系统备案表编号，由 2 段 16 位数字组成，可以从公 +安机关颁发的信息系统备案证明（或备案回执）上获得。第 1 段即备案证明 编号的前 11 位 （前 6 位为受理备案公安机关代码， 后 5 位为受理备案的公安机关给 出的备案单位的顺序编号） ；第 2 段即备案证明编号的后 5 位（系统编号） 。 第二组为年份，由 2 位数字组成。例如 09 代表 2009 年

2、。 第三组为测评机构代码，由四位数字组成。前两位为省级行政区划数字代码的 前两位或行业主管部门编号：00 为公安部，11 为北京，12 为天津，13 为河北，14 为山西， 15 为内蒙古， 21 为辽宁， 22 为吉林， 23 为黑龙江， 31 为上海， 32 为江苏， 33 为浙江，34 为安徽，35 为福建，36 为江西，37 为山东，41 为河南，42 为湖北，43 为湖南，44 为广东，45 为广西，46 为海南，50 为重庆，51 为四川，52 为贵州，53 为云南，54 为西藏，61 为陕西，62 为甘肃，63 为青海，64 为宁夏，65 为新疆，66 为新疆兵团。90 为国防科

3、工局，91 为电监会，92 为教育部。后两位为公安机关或 行业主管部门推荐的测评机构顺序号。 第四组为本年度信息系统测评次数， 由两位构成。 例如 02 表示该信息系统本年 度测评 2 次。 公司2015 版 信息系统等级测评基本信息表信息系统等级测评基本信息表 信息系统信息系统 系统名称系统名称票务系统 安全保护等 级 安全保护等 级 第三级 备案证明编号备案证明编号测评结论测评结论基本符合 被测单位被测单位 单位名称单位名称 单位地址单位地址邮政编码邮政编码 姓名姓名 职务职务/职称职称部长助理 所属部门所属部门票务运营部办公电话办公电话 联系人联系人 移动电话移动电话 电子邮件电子邮件

4、测评单位测评单位 单位名称单位名称 单位代码单位代码 通信地址通信地址 邮政编码邮政编码 姓名姓名职务职务/职称职称 所属部门所属部门办公电话办公电话联系人联系人 移动电话移动电话电子邮件电子邮件 编制人编制人编制日期编制日期 审核人审核人审核日期审核日期 审核批准审核批准 批准人批准人批准日期批准日期 注：单位代码由受理测评机构备案的公安机关给出。注：单位代码由受理测评机构备案的公安机关给出。 2015 版 声明 声明声明 本报告是票务系统的安全等级测评报告。 本报告测评结论的有效性建立在被测评单位提供相关证据的真实性基础之上。 本报告中给出的测评结论仅对被测信息系统当时的安全状态有效。当测

5、评工作 完成后，由于信息系统发生变更而涉及到的系统构成组件（或子系统）都应重新进 行等级测评，本报告不再适用。 本报告中给出的测评结论不能作为对信息系统内部署的相关系统构成组件（或 产品）的测评结论。 在任何情况下，若需引用本报告中的测评结果或结论都应保持其原有的意义， 不得对相关内容擅自进行增加、修改和伪造或掩盖事实。 2015 版 I 等级测评结论等级测评结论 测评结论与综合得分测评结论与综合得分 系统名称系统名称票务系统保护等级保护等级第三级 系统简介系统简介 测评过程简介测评过程简介 此次测评的系统为票务系统， 测评对象包括系统所在机房， 2 台服务器， 1 台运维终端，1 套数据库，

6、2 台网络安全设备，1 套应用软件，及该公司 的管理制度及相关记录。在合同约定的周期内，经过系统调研、方案编制、 现场测评、分析与报告编制等阶段，完成了对该系统的测评工作，经过对 测评结果的整体分析，判定该系统基本符合等级保护三级系统的基本要求， 但还存在个别问题，希望在安全建设整改中继续完善。 测评结论测评结论基本符合综合得分综合得分84.79 2015 版 II 总体评价总体评价 1、基础设施与网络环境、基础设施与网络环境 票务系统相关设备部署于指挥中心机房，该机房按照国家机房相关标准建设， 具备防风、防雨、防震等能力，未出现雨水渗透，屋顶、墙体、地面等破损开裂等 情况，在物理访问控制方面

7、配备门禁系统，能够鉴别和控制人员出入，并配有视频 监控系统，能够对机房内主要区域进行实时监控，主机房与配电室隔离，通信线缆 与供电线缆隔离铺设，避免了电磁干扰，配备两台艾默生精密空调，能够对机房温 湿度进行控制，同时配有环境检测系统，实时检测机房环境并提供报警功能。网络 环境先对简单，电信联通双线接入，网络边界配有两台防火墙作为边界防护，通过 两台核心交换做内部数据交换。 2、安全责任制、安全责任制 该系统的运营维护全部由厂商负责，厂商项目部成立了信息安全领导小组，负 责信息安全工作的指导和管理，项目部设有系统管理员、网络管理员、安全管理员 等重要岗位，且安全管理员为专职，通过值班体系对驻场人

8、员进行调配，并形成了 有效的汇报沟通机制。同时甲方也有专人对厂商的运营维护情况进行监督。 3、技术机制、技术机制 在机房保障机制方面，该系统配备双通信线路接入，保证网络通畅，同时边界 防火墙、核心交换机、应用服务器、数据库服务器均双机热备部署，并配有存储设 备存储业务数据，同时配备备份服务器对主要数据、配置文件和日志文件等进行备 份，提供设备冗余，保证系统的可用性。在安全策略方面网络设备、主机、应用系 统在身份验证方面身份标识唯一，密码满足复杂度要求，并定期更换，但仅采用用 户名密码方式进行身份验证；在访问控制方面，根据用户角色进行了权限划分，授 予用户所需的最小权限；在安全审计方面，网络设备

9、、主机、应用系统配置都相对 完善，日志记录信息基本满足要求；另外厂家技术工程师驻场维护，保障系统安全 稳定的运行。 4、监测预警及应急保障、监测预警及应急保障 2015 版 III 监测预警方面厂家工程师通过软件可监控网络设备、 服务器、 软件的运行状态， 并提供报警功能。通过对日志进行分析发现系统出现的异常情况及时处置，并定期 由工程师对设备进行巡检。应急保障方面厂家在系统设计之初就通过双线路、双击 热备、存储设备等方式保证系统的可用性，同时安排工程师驻场维护，已应对突发 事件，但未根据相关规定对计算机安全事件进行等级划分，发生安全事件采取何种 处置措施不明确，不利于安全事件的及时处理。 综

10、上所述，被测票务系统基本符合第三级信息系统等级保护的安全要求，但还 存在个别问题，希望在安全建设整改中继续完善。 2015 版 IV 主要安全问题主要安全问题 票务系统存在的主要安全问题：票务系统存在的主要安全问题： 1. 安全管理方面安全管理方面 1)未成立指导和管理信息安全工作的领导小组； 2)全员统一考核，未针对关键岗位考核； 3)厂商内部对系统进行安全性测试，未委托第三方测试单位对系统进行测试 ； 4)由信息化部控制机房的人员出入和物品带进带出，暂时缺少机房管理制度 ； 5)未建立安全管理中心集中管理，厂商工程师通过不同的方式对设备状态、 恶意代码、补丁升级、安全审计等事项进行管理；

11、6)未对安全事件划分等级管理； 7)暂未制定应急预案，未进行应急预案培训和应急演练； 2. 物理安全方面物理安全方面 1)机房窗户没有做密封处理，不能防止雨水通过机房窗户、屋顶和墙壁渗透 ； 3. 网络安全方面网络安全方面 1)未部署入侵检测设备，仅通过防火强异常日志记录，然后人为判断异常行 为份； 2)网络边界未配置恶意代码检测设备，仅通过防火墙做策略防护； 3)没有对网络设备运行状况、网络流量进行监控，可以对用户操作进行日志 记录，日志文件存储于设备本地，覆盖式存储，且无审计报表； 4)网络及安全设备仅采用用户名密码一种身份鉴别方式； 5)没有技术手段防止地址欺骗，不能防止从内部网络发起的

12、网络攻击和对重 要主机的地址欺骗； 2015 版 V 6)远程管理采用 telnet 明文协议； 4. 主机安全方面主机安全方面 1)仅使用账号、密码登录系统，未实现两种及以上鉴别技术对管理用户进行 身份鉴别； 2)主机安装赛门铁克杀毒软件，网络暂时没有启用防恶意代码设备； 3)终端安装有 360 杀毒，网络没有防恶意代码设备； 4)系统存在多余账户，没有共享账户存在； 5)数据库版本为 sql server2012 企业版，遵循最小安装原则，没有开放多余端 口，补丁不会定期进行更新； 5. 应用安全方面应用安全方面 1) 仅使用账号密码登录，没有使用两种及以上方式进行身份鉴别； 2) 有用户

13、名唯一鉴别功能，用户名没有设置复杂度要求； 3) 已启用身份鉴别， 用户身份标识唯一， 用户身份鉴别信息复杂度不满足要求， 开启登录失败处理功能； 4) 修改密码时，新设定的密码与旧密码可以相同，不符合要求； 5) 审计记录不能筛选，不能生成审计报表进行分析。 6. 数据安全方面数据安全方面 1)数据信息没有进行异地备份； 2015 版 VI 整改建议整改建议 1. 安全管理方面的整改建议安全管理方面的整改建议 1)建议设立指导和管理信息安全工作的委员会或领导小组，其最高领导是否 由单位主管领导委任或授权的人员担任；明确信息安全管理委员会或领导 小组职责； 2)建议对关键岗位的人员进行全面、严

14、格的安全审查和技能考核； 3)建议安排专门的部门负责测试验收工作，并委托公正的第三方测试机构对 信息系统进行独立的安全性测试报告； 4)建议对相关机房管理制度对机房物理访问、物品带进、带出机房和机房环 境安全等方面的管理作出规定，且相关制度建议张贴在明显可见的位置； 5)应对设备状态、恶意代码、补丁升级、安全审计等安全相关事项进行集中 管理，应对集中管理的检测记录文档，文档应包括检测内容、检测人员、 检测结果和时间等； 6)建议根据本系统已发生的和需要防止发生的安全事件对系统的影响程度划 分不同等级，划分为几级，划分方法应参照了国家相关管理部门的技术资 料，主要参照哪些； 7)建议在统一的应急

15、预案框架下制定不同事件的应急预案，应急预案框架应 包括启动应急预案的条件、应急处理流程、系统恢复流程、事后教育和培 训等内容； 8)建议对相关人员进行应急预案培训，制作应急预案培训记录，记录应包括 培训内容、培训对象、培训效果和培训时间等。 9)建议定期对应急预案作演练，对各应急预案做演练记录，记录内容应包括 演练周期、演练内容、参加演练人员、演练效果和演练时间等； 2. 物理安全方面的整改建议物理安全方面的整改建议 2015 版 VII 1)建议将窗户做密闭处理，防止雨水渗透进入机房； 3. 网络安全方面的整改建议网络安全方面的整改建议 1)建议在网络边界部署入侵检测设备，开启日志记录，对入

16、侵行为进行检测 记录，当发生攻击时及时报警； 2)建议在网络边界部署恶意代码检测设备，对进入网络的流量进行恶意代码 检测，及时发现清除； 3)建议通过第三方设备或软件对设备的运行状况、流量等进行监控，并对日 志文件定期分析生成审计报表。设备日志文件建议备份至日志服务器，避 免为预期的修改或删除； 4)采用口令+数字证书、口令+硬件令牌等双因子鉴别方式，或采用堡垒机的 方式管理设备； 5)在技术条件允许的前提下，对重要网段上的主机等设备设置网络层和数据 链路层地址绑定； 6)建议关闭设备远程管理或采用 SSH 等加密协议进行远程管理。 4. 主机安全方面的整改建议主机安全方面的整改建议 1)建议改造操作系统和数据库登录控制模块，使之采用两种组合的鉴别技术 对用户进行身份鉴别，如同时采用用户名/口令和数字证书的认证方式；或 采用身份认证服务器和双因子鉴别服务器或采用堡垒机登录方式； 2)建议安装部署入侵检测设备，当网络受到攻击时能提供报警功能； 3)建议网络防恶意代码与主机防恶意代码软