信息系统安全等级保护测评报告.docx
《信息系统安全等级保护测评报告.docx》由会员分享，可在线阅读，更多相关《信息系统安全等级保护测评报告.docx（169页珍藏版）》请在冰点文库上搜索。
信息系统安全等级保护测评报告
报告编号：
（-16-1303-01）
信息系统安全等级测评报告
说明：
一、每个备案信息系统单独出具测评报告。
二、测评报告编号为四组数据。
各组含义和编码规则如下：
第一组为信息系统备案表编号，由2段16位数字组成，可以从公
+安机关颁发的信息系统备案证明（或备案回执）上获得。
第1段即备案证明编号的前11位（前6位为受理备案公安机关代码，后5位为受理备案的公安机关给出的备案单位的顺序编号）；第2段即备案证明编号的后5位（系统编号）。
第二组为年份，由2位数字组成。
例如09代表2009年。
第三组为测评机构代码，由四位数字组成。
前两位为省级行政区划数字代码的前两位或行业主管部门编号：
00为公安部，11为，12为XX，13为XX，14为XX，15为XX，21为XX，22为XX，23为XX，31为XX，32为XX，33为XX，34为XX，35为XX，36为XX，37为XX，41为XX，42为XX，43为XX，44为XX，45为XX，46为XX，50为XX，51为XX，52为XX，53为XX，54为XX，61为XX，62为XX，63为XX，64为XX，65为XX，66为XX兵团。
90为国防科工局，91为电监会，92为教育部。
后两位为公安机关或行业主管部门推荐的测评机构顺序号。
第四组为本年度信息系统测评次数，由两位构成。
例如02表示该信息系统本年度测评2次。
信息系统等级测评基本信息表
信息系统
系统名称
票务系统
安全保护等级
第三级
备案证明编号
测评结论
基本符合
被测单位
单位名称
单位地址
邮政编码
联系人
XX
职务/职称
部长助理
所属部门
票务运营部
办公
移动
电子
测评单位
单位名称
单位代码
通信地址
邮政编码
联系人
XX
职务/职称
所属部门
办公
移动
电子
审核批准
编制人
编制日期
审核人
审核日期
批准人
批准日期
注：
单位代码由受理测评机构备案的公安机关给出。
声明
本报告是票务系统的安全等级测评报告。
本报告测评结论的有效性建立在被测评单位提供相关证据的真实性基础之上。
本报告中给出的测评结论仅对被测信息系统当时的安全状态有效。
当测评工作完成后，由于信息系统发生变更而涉及到的系统构成组件（或子系统）都应重新进行等级测评，本报告不再适用。
本报告中给出的测评结论不能作为对信息系统内部署的相关系统构成组件（或产品）的测评结论。
在任何情况下，若需引用本报告中的测评结果或结论都应保持其原有的意义，不得对相关内容擅自进行增加、修改和伪造或掩盖事实。
等级测评结论
测评结论与综合得分
系统名称
票务系统
保护等级
第三级
系统简介
测评过程简介
此次测评的系统为票务系统，测评对象包括系统所在机房，2台服务器，1台运维终端，1套数据库，2台网络安全设备，1套应用软件，及该公司的管理制度及相关记录。
在合同约定的周期内，经过系统调研、方案编制、现场测评、分析与报告编制等阶段，完成了对该系统的测评工作，经过对测评结果的整体分析，判定该系统基本符合等级保护三级系统的基本要求，但还存在个别问题，希望在安全建设整改中继续完善。
测评结论
基本符合
综合得分
84.79
总体评价
1、基础设施与网络环境
票务系统相关设备部署于指挥中心机房，该机房按照国家机房相关标准建设，具备防风、防雨、防震等能力，未出现雨水渗透，屋顶、墙体、地面等破损开裂等情况，在物理访问控制方面配备门禁系统，能够鉴别和控制人员出入，并配有视频监控系统，能够对机房内主要区域进行实时监控，主机房与配电室隔离，通信线缆与供电线缆隔离铺设，避免了电磁干扰，配备两台艾默生精密空调，能够对机房温湿度进行控制，同时配有环境检测系统，实时检测机房环境并提供报警功能。
网络环境先对简单，电信联通双线接入，网络边界配有两台防火墙作为边界防护，通过两台核心交换做内部数据交换。
2、安全责任制
该系统的运营维护全部由厂商负责，厂商项目部成立了信息安全领导小组，负责信息安全工作的指导和管理，项目部设有系统管理员、网络管理员、安全管理员等重要岗位，且安全管理员为专职，通过值班体系对驻场人员进行调配，并形成了有效的汇报沟通机制。
同时甲方也有专人对厂商的运营维护情况进行监督。
3、技术机制
在机房保障机制方面，该系统配备双通信线路接入，保证网络通畅，同时边界防火墙、核心交换机、应用服务器、数据库服务器均双机热备部署，并配有存储设备存储业务数据，同时配备备份服务器对主要数据、配置文件和日志文件等进行备份，提供设备冗余，保证系统的可用性。
在安全策略方面网络设备、主机、应用系统在身份验证方面身份标识唯一，密码满足复杂度要求，并定期更换，但仅采用用户名密码方式进行身份验证；在访问控制方面，根据用户角色进行了权限划分，授予用户所需的最小权限；在安全审计方面，网络设备、主机、应用系统配置都相对完善，日志记录信息基本满足要求；另外厂家技术工程师驻场维护，保障系统安全稳定的运行。
4、监测预警及应急保障
监测预警方面厂家工程师通过软件可监控网络设备、服务器、软件的运行状态，并提供报警功能。
通过对日志进行分析发现系统出现的异常情况及时处置，并定期由工程师对设备进行巡检。
应急保障方面厂家在系统设计之初就通过双线路、双击热备、存储设备等方式保证系统的可用性，同时安排工程师驻场维护，已应对突发事件，但未根据相关规定对计算机安全事件进行等级划分，发生安全事件采取何种处置措施不明确，不利于安全事件的及时处理。
综上所述，被测票务系统基本符合第三级信息系统等级保护的安全要求，但还存在个别问题，希望在安全建设整改中继续完善。
主要安全问题
票务系统存在的主要安全问题：
1.安全管理方面
1）未成立指导和管理信息安全工作的领导小组；
2）全员统一考核，未针对关键岗位考核；
3）厂商内部对系统进行安全性测试，未委托第三方测试单位对系统进行测试；
4）由信息化部控制机房的人员出入和物品带进带出，暂时缺少机房管理制度；
5）未建立安全管理中心集中管理，厂商工程师通过不同的方式对设备状态、恶意代码、补丁升级、安全审计等事项进行管理；
6）未对安全事件划分等级管理；
7）暂未制定应急预案，未进行应急预案培训和应急演练；
2.物理安全方面
1）机房窗户没有做密封处理，不能防止雨水通过机房窗户、屋顶和墙壁渗透；
3.网络安全方面
1）未部署入侵检测设备，仅通过防火强异常日志记录，然后人为判断异常行为份；
2）网络边界未配置恶意代码检测设备，仅通过防火墙做策略防护；
3）没有对网络设备运行状况、网络流量进行监控，可以对用户操作进行日志记录，日志文件存储于设备本地，覆盖式存储，且无审计报表；
4）网络及安全设备仅采用用户名密码一种身份鉴别方式；
5）没有技术手段防止地址欺骗，不能防止从内部网络发起的网络攻击和对重要主机的地址欺骗；
6）远程管理采用telnet明文协议；
4.主机安全方面
1）仅使用账号、密码登录系统，未实现两种及以上鉴别技术对管理用户进行身份鉴别；
2）主机安装赛门铁克杀毒软件，网络暂时没有启用防恶意代码设备；
3）终端安装有360杀毒，网络没有防恶意代码设备；
4）系统存在多余账户，没有共享账户存在；
5）数据库版本为sqlserver2012企业版，遵循最小安装原则，没有开放多余端口，补丁不会定期进行更新；
5.应用安全方面
1）仅使用账号密码登录，没有使用两种及以上方式进行身份鉴别；
2）有用户名唯一鉴别功能，用户名没有设置复杂度要求；
3）已启用身份鉴别，用户身份标识唯一，用户身份鉴别信息复杂度不满足要求，开启登录失败处理功能；
4）修改密码时，新设定的密码与旧密码可以相同，不符合要求；
5）审计记录不能筛选，不能生成审计报表进行分析。
6.数据安全方面
1）数据信息没有进行异地备份；
整改建议
1.安全管理方面的整改建议
1）建议设立指导和管理信息安全工作的委员会或领导小组，其最高领导是否由单位主管领导委任或授权的人员担任；明确信息安全管理委员会或领导小组职责；
2）建议对关键岗位的人员进行全面、严格的安全审查和技能考核；
3）建议安排专门的部门负责测试验收工作，并委托公正的第三方测试机构对信息系统进行独立的安全性测试报告；
4）建议对相关机房管理制度对机房物理访问、物品带进、带出机房和机房环境安全等方面的管理作出规定，且相关制度建议X贴在明显可见的位置；
5）应对设备状态、恶意代码、补丁升级、安全审计等安全相关事项进行集中管理，应对集中管理的检测记录文档，文档应包括检测内容、检测人员、检测结果和时间等；
6）建议根据本系统已发生的和需要防止发生的安全事件对系统的影响程度划分不同等级，划分为几级，划分方法应参照了国家相关管理部门的技术资料，主要参照哪些；
7）建议在统一的应急预案框架下制定不同事件的应急预案，应急预案框架应包括启动应急预案的条件、应急处理流程、系统恢复流程、事后教育和培训等内容；
8）建议对相关人员进行应急预案培训，制作应急预案培训记录，记录应包括培训内容、培训对象、培训效果和培训时间等。
9）建议定期对应急预案作演练，对各应急预案做演练记录，记录内容应包括演练周期、演练内容、参加演练人员、演练效果和演练时间等；
2.物理安全方面的整改建议
1）建议将窗户做密闭处理，防止雨水渗透进入机房；
3.网络安全方面的整改建议
1）建议在网络边界部署入侵检测设备，开启日志记录，对入侵行为进行检测记录，当发生攻击时及时报警；
2）建议在网络边界部署恶意代码检测设备，对进入网络的流量进行恶意代码检测，及时发现清除；
3）建议通过第三方设备或软件对设备的运行状况、流量等进行监控，并对日志文件定期分析生成审计报表。
设备日志文件建议备份至日志服务器，避免为预期的修改或删除；
4）采用口令+数字证书、口令+硬件令牌等双因子鉴别方式，或采用堡垒机的方式管理设备；
5）在技术条件允许的前提下，对重要网段上的主机等设备设置网络层和数据链路层地址绑定；
6）建议关闭设备远程管理或采用SSH等加密协议进行远程管理。
4.主机安全方面的整改建议
1）建议改造操作系统和数据库登录控制模块，使之采用两种组合的鉴别技术对用户进行身份鉴别，如同时采用用户名/口令和数字证书的认证方式；或采用身份认证服务器和双因子鉴别服务器或采用堡垒机登录方式；
2）建议安装部署入侵检测设备，当网络受到攻击时能提供报警功能；
3）建议网络防恶意代码与主机防恶意代码软件异构部署；
4）建议删除多余的过期的账号，不要多人共用一个管理账号；
5）对服务器和数据库的日志进行分析，定期导出生成审计报表，或在网络上部署第三方日志分析软件或第三方集中审计平台；
6）建议定期对数据库进行补丁更新，防止黑客利用漏洞对数据库造成威胁。
5.应用安全方面的整改建议
1）建议身份验证采用口令+数字证书、口令+硬件令牌等双因子鉴别方式；
2）建议配置用户名唯一性鉴别功能，以及用户名复杂度设置策略；
3）建议设置用户名复杂度策略，使用户名具有复杂度，防止受到恶意攻击；
4）建议配置相关策略，使系统用户修改密码时，设置旧密码不可与新密码相同；
5）建议部署第三方日志分析软件或第三方集中审计平台，能对审计记录进行筛选。
6.数据安全方面的整改建议
1）建议建立异地备份中心，定期将重要数据传至备用场地；
1测评项目概述
1.1测评目的
为贯彻落实国务院147号令和中办27号文件，公安部会同有关部委出台了一系列的文件以及具体工作的指导意见和规X，并在全国X围内组织完成了一系列工作。
目前，信息安全等级保护工作已经进入安全建设整改阶段，公安部印发了《关于开展信息系统等级保护安全建设整改工作的指导意见》（公信安[2009]1429），明确提出：
“依据信息安全等级保护有关政策和标准，通过组织开展信息安全等级保护安全管理制度建设、技术措施建设和等级测评，落实等级保护制度的各项要求，力争在2012年底前完成已定级信息系统安全建设整改工作”。
本项目目标系统为票务系统，该系统安全保护等级定为三级。
通过安全等级测评来评判目前该信息系统安全保护的程度或水平与国家信息系统安全等级保护要求之间的差距，以便指导进行信息系统安全方面的调整和改进。
1.2测评依据
测评过程中主要依据的标准：
1）GB/T22239-2008《信息安全技术信息系统安全等级保护基本要求》（简称《基本要求》）
2）GB/T28448-2012《信息安全技术信息系统安全等级保护测评要求》（简称《测评要求》）
测评过程中还参考的文件和标准：
1）《中华人民XX国计算机信息系统安全保护条例》（国务院147号令）
2）《信息安全等级保护管理办法》（公通字[2007]43号）
3）GB/T22240-2008《信息安全技术信息系统安全等级保护定级指南》（简称《定级指南》）
4）GB/T25058-2010《信息安全技术信息系统安全等级保护实施指南》（简称《实施指南》）
5）《信息安全技术信息系统安全等级保护测评过程指南》（国标即将发布，简称《测评过程指南》）
6）GB/T20984-2007信息安全技术信息安全风险评估规X（简称《风险评估规X》）
1.3测评过程
票务系统等级测评的过程如下：
1）调研阶段
2）方案编制阶段
3）现场测评阶段
4）分析与报告编制阶段
1.4报告分发X围
本报告一式四份，其中两份提交公司，一份由测评机构单位留存，一份交由公安机关备案。
2被测信息系统情况
2
2.1承载的业务情况
售票系统负责处理电子渠道发起售票业务的交易处理、账务处理，支持7*24小时“全天候”服务，具备权限管理和授权控制。
系统采用B/S方式架构，采用了前置系统及防火墙对外部访问进行隔离，在内部采用了局域网访问策略对应用服务、数据库服务进行了分项隔离，确保系统安全。
2.2网络结构
（略）
2.3系统资产
1
2
2.1
2.2
2.3
2.3.1机房
表2-1机房基本情况表
序号
机房名称
物理位置
1
指挥中心机房
2.3.2网络设备
表2-2网络设备基本情况表
序号
设备名称
品牌
型号
操作系统
用途
数量
（台/套）
重要程度
1
核心交换机
H3C
S5500
--
核心交换
2
非常重要
2.3.3安全设备
表2-3安全设备基本情况表
序号
设备名称
品牌
型号
操作系统
用途
数量
（台/套）
重要程度
1
边界防火墙
JUNIPER
SSG550
--
边界防护
2
非常重要
2.3.4服务器/存储设备
表2-4服务器/存储设备基本情况表
序号
设备名称
操作系统
/数据库管理系统
业务应用软件
数量
（台/套）
重要程度
1
应用服务器
Windows2012/Sqlserver2012
票务系统
2
非常重要
2
数据库服务器
Windows2012/Sqlserver2012
--
2
非常重要
3
数据库
SQLserver2012
--
2
非常重要
2.3.5终端
表2-5终端基本情况表
序号
设备名称
操作系统
用途
数量（台/套）
重要程度
1
运维终端
Windows7
运维管理
1
一般
2.3.6业务应用软件
表2-6业务应用软件基本情况表
序号
软件名称
主要功能
开发厂商
重要程度
1
票务系统
处理唐电子渠道发起售票业务的交易处理、账务处理
--
非常重要
2.3.7关键数据类别
表2-7关键数据类别基本情况表
序号
数据类别
所属业务应用
安全防护需求
重要程度
1
交易类数据、信息资料类、操作日志类
票务系统
XX性、完整性
非常重要
2.3.8安全相关人员
表2-8安全相关人员基本情况表
序号
XX
岗位/角色
联系方式
1
赵鑫
部长助理
2
周旭升
网络管理员
3
文旭
系统管理员
2.3.9安全管理文档
表2-9安全管理文档基本情况表
序号
文档名称
主要内容
1
信息系统安全管理制度
部门设置、岗位设置及工作职责定义方面的管理制度
2
信息系统安全管理制度
授权审批、审批流程等方面的管理制度
3
人员安全教育和培训管理制度
人员安全教育和培训方面的管理制度
4
第三方人员访问管理制度
第三方人员访问控制方面的管理制度
5
采购管理制度
产品选型、采购方面的管理制度
6
网络安全管理制度
网络安全管理（网络配置、XX管理等）方面的管理制度
7
系统安全管理制度
系统安全管理（系统配置、XX管理等）方面的管理制度
8
备份和恢复管理制度
备份和恢复方面的管理制度
9
安全事件报告与处置管理制度
安全事件报告和处置方面的管理制度
2.4安全服务
表2-10安全服务基本情况表
序号
安全服务名称
安全服务商
1
信息安全等级保护测评服务
公司
2.5安全环境威胁评估
序号
威胁分（子）类
描述
威胁赋值
1
恶意攻击
利用工具和技术对信息系统进行攻击
高
2
软件故障
操作系统、应用软件由于设计缺陷等发生故障
中
3
管理不到位
由于制度缺失、不完善等原因导致安全管理无法落实或者不到位
中
4
无作为
或操作失误
应该执行而没有执行相应的操作，或者无意执行了错误的操作
中
5
敏感信息泄露
敏感信息泄露给不应了解的他人
中
6
物理环境影响
对信息系统正常运行造成影响的物理环境问题和自然灾害。
低
7
硬件故障
网络、主机等系统设备由于设备老化等原因发生硬件故障
低
8
越权或滥用
越权访问本来无权访问的资源，或者滥用自己的权限破坏信息系统
低
9
物理攻击
通过物理的接触造成对软件、硬件和数据的破坏
低
10
篡改
非法修改信息，破坏信息的完整性使系统的安全性降低或信息不可用
低
11
抵赖
否认所做的操作
低
2.6前次测评情况
本次等级测评是票务系统首次测评，由公司负责实施。
3等级测评X围与方法
3
3.1测评指标
《基本要求》中对不同等级信息系统的安全功能和措施提出了具体要求，等级测评应根据信息系统的安全保护等级从中选取相应等级的安全测评指标，并依据《测评要求》和《测评过程指南》对信息系统实施安全测评。
本次安全等级测评X围内的票务系统的安全保护等级为第三级，其中业务信息安全保护等级为第三级，系统服务安全保护等为第三级（S3A3）。
表3-1测评指标统计列表（S3A3）
测评指标
技术/管理
安全分类
安全子类数量
S3
A3
G3
小计
安全技术
物理安全
1
1
8
10
网络安全
1
0
6
7
主机安全
3
1
3
7
应用安全
5
2
2
9
数据安全及备份恢复
2
1
0
3
安全管理
安全管理制度
0
0
3
3
安全管理机构
0
0
5
5
人员安全管理
0
0
5
5
系统建设管理
0
0
11
11
系统运维管理
0
0
13
13
合计
73
3
3.1
3.1.1基本指标
依据信息系统确定的业务信息安全保护等级和系统服务安全保护等级，选择《基本要求》中对应级别的安全要求作为等级测评的基本指标。
表3-2基本指标
安全层面
安全控制点
测评项数
物理安全
电力供应
4
防盗窃和防破坏
6
防火
3
防静电
2
防雷击
3
防水和防潮
4
温湿度控制
1
物理访问控制
4
物理位置的选择
2
电磁防护
3
网络安全
备份和恢复
4
安全审计
4
恶意代码防X
2
访问控制
8
结构安全
7
入侵防X
2
网络设备防护
8
边界完整性检查
2
主机安全
备份和恢复
3
资源控制
5
安全审计
6
恶意代码防X
3
入侵防X
3
访问控制
7
身份鉴别
6
剩余信息保护
2
应用安全
备份和恢复
4
软件容错
2
资源控制
7
安全审计
4
抗抵赖
2
访问控制
6
身份鉴别
5
剩余信息保护
2
数据XX性
2
数据完整性
2
通信XX性
2
通信完整性
1
安全管理制度
管理制度
4
评审和修订
2
制定和发布
5
安全管理机构
岗位设置
4
沟通和合作
5
人员配备
3
审核和检查
4
授权和审批
4
人员安全管理
安全意识教育和培训
4
人员考核
3
人员离岗
3
人员录用
4
外部人员访问管理
2
系统建设管理
安全方案设计
5
安全服务商选择
3
测试验收
5
产品采购和使用
4
等级测评
4
工程实施
3
外包软件开发
4
系统备案
3
系统定级
4
系统交付
5
自行软件开发
5
系统运维管理
安全事件处置
6
备份与恢复管理
5
变更管理
4
恶意代码防X管理
4
环境管理
4
监控管理和安全管理中心
3
介质管理
6
密码管理
1
设备管理
5
网络安全管理
8
系统安全管理
7
应急预案管理
5
资产管理
4
3.1.2不适用指标
表3-3不适用指标
安全层面
安全控制点
不适用项
原因说明
网络安全
边界防火墙
访问控制
f）重要网段应采取技术手段防止地址欺骗
在接入交换机配置此项策略
g）应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户；
不存在vpn账户
h）应限制具有拨号访问权限的用户数量。
不存在拨号账户
核心交换机
访问控制
g）应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户；
不存在vpn账户
h）应限制具有拨号访问权限的用户数量。
不存在拨号账户
安全管理机构
沟通和合作
e）应聘请信息安全专家作为常年的安全顾问，指导信息安全建设，参与安全规划和安全评审等。
现系统使用期限不定，暂未聘请信息安全专家作为常年安全顾问
系统建设管理
安全方案设计
e）应根据等级测评、安全评估的结果定期调整和修订总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计方案等相关配套文件。
系统暂未上线，还未对对安全方案进行调整和修订
产品采购和使用
b）应确XX码产品采购和使用符合国家密码主管部门的要求；
不涉及密码产品的采购
自行软件开发
a）应确保开发环境与实际运行环境物理分开，开发人员和测试人员分离，测试数据和测试结果受到控制；
该公司不存在软件开发
b）应制定软件开发管理制度，明确说明开
升级会员 