《驻地安全服务、安全运维技术方案(标书)》由会员分享，可在线阅读，更多相关《驻地安全服务、安全运维技术方案(标书)（8页珍藏版）》请在金锄头文库上搜索。
1、1.11.213信息系统安全服务131服务范围和服务内容本次服务范围为XXX信息系统硬件及应用系统，主要包括计算机终端、打 印机、服务器、存储设备、网络（安全）设备以及应用系统。服务内容包括日常 运维服务（驻场服务）、专业安全服务、信息化建设咨询服务等。132服务目标保障软硬件的稳定性和可靠性；保障软硬件的安全性和可恢复性；故障的及时响应与修复；硬件设备的维修服务；人员的技术培训服务：信息化建设规划、方案制定等咨询服务。内容风险评估风险评估的LI的是了解和控制运行过程中的信息系统安全风险，运维阶段的 风险评估是一种较为全面的风险评估。评佔内容包括对真实运行的信息系统、资 产、威胁、脆弱性等各方
2、面。（1）资产评估：对真实环境下较为细致的评估，包括实施阶段釆购的软硬 件资产、系统运行过程中生成的信息资产、相关的人员与服务等。本阶段资产识 别是询期资产识别的补充与增加；安全巡检安全巡检主要是指深入现场，了解情况：质检服务内容中的各类安全设备, 了解安全设备运行情况，仔细观察各个安全节点的可靠性，并综合安全巡检惜况, 定制安全策略。安全监控对服务内容进行监控，在安全环境产生变化时，及时更新安全策略，在现有 设备和网络情况有改变的时候，快速制定，针对更新后设备环境的安全策略，并 实施部署。避免因设备变更而带来的安全风险。安全通告定期安全通告，在互联网上出现新型病毒或者新出现漏洞并且部分修补的
3、情 况下，制作安全通告及时告知相关运维人员，增强对于新型病毒和漏洞的防御力。安全培训根据驻地需要，组织开展涉及漏洞扫描、渗透性测试、安全配置、安全意识 和法律法规等信息安全相关培训。134服务要求及交付物安全运维管理检査点检查要求交付物日常核心 系统 及关 键服需对关键系统和服务器有清晰的定义（如DNS/DHCP、防病毒等影响全网层面的服务器、承载重要业务或包含敏感信息的系统等）核心业务、关键服务器列表务器定义应急与演练信息化系统和关键服务器需有详尽故障应急预案应急预案应定期进行相关应急演练，并形成演练报告，保证每年所有的平台和关键服务器都至少进行一次演练应急演练报告根据应急演练结果更新应急预
4、案，并保留更新记录，记录至少保留3年应急预案更新记录，预案版本记录备份管理系统所涉及不同层面（如系统的重要性、操作系 统/数据库）应当制定数据的备份恢复以及备份 介质管理制度备份管理制度，包 括备份策略管理制 度与备份介质管理 制度系统所涉及不同层面应根据业务耍求制定数据的本地和异地备份（存放）策略备份管理制度，包 括备份策略管理制 度与备份介质管理 制度相关人员对本地和异地备份策略的结果进行每季度审核策略审核表，加入备份管理制度备份的数据进行恢复性测试，确保数据的可用性，每年不少于一次备份恢复应急演练记录相关人员对备份介质的更换记录进行每半年审核备份介质更换记录表，加入备份管理制度相关人员对
5、备份介质的销毁记录进行每半年审核备份介质销毁记录表，加入备份管理制度故障管理各地市需制定相应的园区信息化系统及服务器故障处理流程故障处理流程系统中发现的异常情况由系统维护人员根据相关流程在规定时间内处理故障处理流程故障处理完成后必须留有相应的故障处理记录故障处理报告上线管理为保障设备接入网络的安全性，设备上线前必须 安装防病毒系统及更新操作系统补丁，并对设备 进行进行安全扫描评估，针对安全漏洞进行安全 加固企业网接入管理办法、接入记录为避免系统上线对其它系统和设备造成影响，发 布前必须对系统应用站点、数据库、后台服务、 网络端口进行安全评估。系统投入正式运营前必 须在测试环境中对系统进行模拟运
6、行一周以上应用系统接入申请流程、接入记录系统上线之后如需对系统进行功能更新，必须由系统管理员或系统管理员指定专门维护人员进行更新操作，严格按照公司安全管理规范执行1、应用系统更新申请流程2、更新记录Web应用应根据业务需求与安全设计原则进行安 全编码，合理划分帐号权限，确保用户帐号密码安 全，加强墩感数据安全保护，提供详细的日志1、根据规范对开 发规范进行修正， 用户名密码的管理 耍求、敏感数据的 管理要求、系统日 志的开发要求2、现有应用的安 全检查漏洞与防病毒定期进行服务器漏洞扫描，并根据漏洞扫描报告 封堵高危漏洞，每季度至少对所有服务器扫描一 次扫描记录与扫描结果报告雷建立统一的WSUS
7、服务器，并每季度对关键服务器进行高危漏洞升级，并留有升级记录1、WSUS服务器中的关键更新的补丁清单，每个月1份2、应用服务器端 每次更新的补丁清单任何终端必须安装正版防病毒软件，11保证90%以上病毒库最新（五日以内）防病毒检查记录每周检查防病毒软件隔离区，排除病毒威胁防病毒检查记录核心系统 和关 键服 务器 日志 审计在操作系统层、数据库层、应用层建立日志记录功能，日志记录中保存1年的内容，日志安全记录能够关联操作用户的身份1、操作系统层日志策略2、数据库日志策略3、应用层日志要求加入开发规范中操作系统日志中需记录“账户管理”“登录事件” “策略更改” “系统事件”等内容操作系统层日志策略
8、操作行为记录需进行定期审计数据库层日志需记录每次数据库操作的内容数据库日志策略应用层日志需记录每次应用系统出错的信息应用层日志要求加入开发规范中检查关键错误日志、应用程序日志中的关键错误记录，保证日志审核正常关键访问与操作应立即启用日志记录功能，避免因日志记录不全，造成入侵后无法被追踪的问题佶息发布管理每夭检查平台短信发送、接收的可用性每夭短信检査记录短信必须设置关键字过滤，每个月进行关键字更新，并检査其有效性短信关键字更新记录，有效性检查记录信息防泄密需对所有信息化系统、应用系统的核心信息进行 清晰的界定，核心信息包括但不限丁涉及客户资 料、客户账户信息、客户密码、操作记录应用系统-核心信息矩阵图需对核心信息设定保密措施应用系统核心信息管理制度对核心信息的操作进行特殊监控，并留下记录访问 控 制账号密码管理服务器上任何账号必须有审批人员审核确认1、账号管理办法2、账号申请表所有系统和服务器上账号必须每季度进行审核账号审核表密码复杂度要求：一. 静态密码：密码应至少每90天进行更新，密码长度应至少6位或以上，密码应由大小写字 母、数字或标点符号等字符组成，五次内不能重 复二. 动态密码。1、密码修改记录表2、历史密码记录表不得有互联网远程维护的访问方式。现场检查远程访问远程访问只能通过SSLVP N或IBMVPN,不得现场检查 存在互联网以VPN等形式的远程访问
