XX等保合规差距评估报告课件.pptx

1、XX项目等保合规差距评估报告第 1 页/共 51 页目 录1引言.51.11.21.31.4评估背景.5评估目的.5评估范围.6评估依据.62评估实施方法与过程.82.12.22.32.42.52.62.7评估实施总体流程.8现有资料收集与整理.9信息安全问卷调研.9现场管理访谈.9人工检查与技术评估.10安全风险分析.11合规性分析.113评估结果综述.123.13.23.3信息化建设现状.12总体信息安全差距.13信息安全技术评估结果.14物理安全评估.143.3.13.3.1.13.3.1.23.3.1.3现状描述.14发现问题.15处置建议.153.3.2网络安全评估.153.3.2.

2、1现状描述.15发现问题.153.3.2.23.3.2.3处置建议.16第 2 页/共 51 页3.3.33.3.43.3.5主机安全评估.163.3.3.1现状描述.16发现问题.16处置建议.173.3.3.23.3.3.3应用安全评估.173.3.4.1现状描述.17发现问题.17处置建议.183.3.4.23.3.4.3数据安全评估.183.3.5.1现状描述.18发现问题.18处置建议.183.3.5.23.3.5.33.4信息安全管理评估结果.19安全管理制度评估.193.4.13.4.23.4.33.4.1.13.4.1.23.4.1.3现状描述.19发现问题.19处置建议.19

3、安全管理机构评估.193.4.2.1现状描述.19发现问题.19处置建议.203.4.2.23.4.2.3人员安全管理评估.203.4.3.1现状描述.20第 3 页/共 51 页3.4.3.23.4.3.3发现问题.20处置建议.203.4.4系统建设管理评估.203.4.4.1现状描述.20发现问题.21处置建议.213.4.4.23.4.4.33.4.5系统运维管理评估.213.4.5.1现状描述.21发现问题.21处置建议.223.4.5.23.4.5.34等保三级差距分析.23第 4 页/共 51 页1 引言1.1 评估背景XX法院成立于19人，本科以上学历151 人，占总人数的90

4、个街道、16 个镇，户籍人口113.1 万人，常住人口10人。2010 年以来，XX法院共审执结各类案件49460 件，解决争议标的额46现 7.7 亿元，XX川经济社会发展作出了应有贡献。50 年 12 月 21 日，法院审判办公楼坐落于XX。全院现有正式干警16.1%，其中硕士33 人，占总人数的21.9%，管辖76.8万人，其中城镇常住人口65.92 万.7 亿元，执行兑 8近年来，随着信息技术的不断发展，信息化建设水平有了显著的提高，基本实现了信息化办公与案件审判执行，全院建设了审判执行系统、案件档案管理系统、OA 系统、数字法庭系统、内部宣传网站系统等业务应用信息系统，提高了日常办公

5、效率，也为重庆市高级人民法院统一的信息数据管理提高了保障。十八大以来，随着国际安全形势不断复杂，国家领导人的不断重视，网络与信息安全已经上升到了国家安全高度，各政府单位与各级相关部门相继开展公安部信息系统安全等级保护系列标准与规范的贯彻与执行工作，对自身信息系统的安全风险识别与整改，提升信息系统安全等级，保障业务应用与重要数据的机密性、完整性、可用性。XX人民法院为响应重庆市高级人民法院关于信息系统安全等级保护工作有效开展的指导意见，希望完善自身业务信息系统（等级保护第三级安全要求）安全保护手段，有必要开展信息系统安全等级保护合规差距分析工作，发现安全短板，找出不足之处，为后期安全整改提供指导

6、性意见与建议。1.2 评估目的现状调研与差距分析是信息系统安全等级保护建设项目的主要基础工作之一，XX公司评估人员通过文件复审、问卷调查、现场访谈、现场走查等方式对XX人民法院信息系统的安全现状进行详细的调研，掌握目前XX人民法院信息安全建设工作中的短板，分析与等级保护体系的差距，评估出现的安全风险，为下一阶段的安全整改工作打下坚实的基础。本次评估工作的主要目的为：了解目前信息化建设的整体状态；第 5 页/共 51 页评测与等级保护的差距水平；找出信息安全建设与管理的工作短板；发现已出现或即将出现的安全风险；提出安全整改指导建议。1.3 评估范围本次评估工作的范围是信息安全技术与信息安全管理相

7、关内容：信息安全技术物理安全网络安全主机安全应用安全数据安全信息安全管理安全管理机构安全管理制度人员安全管理系统建设管理系统运维管理1.4 评估依据本次评估工作的相关标准与依据为：等级保护系统定级GB 17859-1999 计算机信息系统安全保护等级划分准则GB/T aaaaa-xxxx 信息安全技术 信息系统安全等级保护实施指南GB/T 22240-2008 信息安全技术 信息系统安全保护等级定级指南第 6 页/共 51 页技术方面GB/T 22239-2008 信息安全技术 信息系统安全等级保护基本要求GB/T 20270-2006 信息安全技术 网络基础安全技术要求GB/T 20271-

8、2006 信息安全技术 信息系统通用安全技术要求GB/T 20272-2006 信息安全技术 操作系统安全技术要求GB/T 20273-2006 信息安全技术 数据库管理系统通用安全技术要求GA/T671-2006 信息安全技术 终端计算机系统安全等级技术要求GA/T 709-2007 信息安全技术 信息系统安全等级保护基本模型GB/T 22239-2008 信息安全技术 信息系统安全等级保护基本要求管理方面第 7 页/共 51 页2 评估实施方法与过程2.1 评估实施总体流程信息安全现状调研是以XX公司安全咨询方法论为衡量准则和执行方法，同时参考相关政策法规、行业最佳实践以及咨询顾问在信息安

9、全方面的实践经验，采用文件复审、问卷调查与人工检查、现场访谈等方式，针对XX区人民法院信息系统安全制度体系、组织架构、运行维护和技术防护等各方面进行详细调查与综合分析，以全面目前的信息安全现状的过程。下图简单描述了xx公司在信息安全现状调研阶段所采用的工作方式和方法。文档复审人工检查现场访谈分析和总结nn文档复审主要现有的组织架构、岗位职责、现有安全制度等，为现场访谈等做好准备。人工检查通过一系列的重要信息资产的安全配置检查单（操作系统，网络设备，安全设备，数据库等），与数据中心总体运维的各类应用、操作系统、主机和网络设备，安全设备的配置进行对比检查，了解安全运维方面的现状，并通过漏洞扫描，技

10、术性渗透测试等手段发现信息资产的技术性安全问题，为日后形成配置规范打下基础。问卷调查则是提出有针对性的问题调研，通过填卷人对XX法院内部各安全技术环节，各安全管理环节，各安全组织环节的基本情况做出中立的填写，为差距分析做好准备。nn现场访谈通过对信息化相关负责人、骨干人员、运维人员、开发人员的面对面访谈，深入了解各业务组的业务工作及 IT 应用现状和信息安全状况，并了解各业务组面临的具体安全问题和对本项目的期望。在上述各项工作完成之后，XX公司安全顾问结合信息系统安全等级保护基本要求以及其它相关要求，对各项安全现状调研工作的结果进行逐一差距分析，最后对整体的安全现状做出总体评价和描述。第 8

11、页/共 51 页2.2 现有资料收集与整理目的：全面掌握现有组织架构、制度文件、流程类资料。任务：主要任务是收集评估对象相关信息资料，包括企业风险管理框架、制度、流程、KRI地图、业务战略、IT规划、白皮书、IT制度文件、落实留痕、IT运维程序和记录、信息安全管理和记录、IT基础设施资料、IT应用系统资料、组织架构信息和安全事件等。方式和工具：主要采用下发调研表和主动询问整理的方式收集现有资料。制度文件调研表资产收集调研表资料收集情况：XX法院因信息化人员只有一人，相关信息系统管理与安全管理的文件制度相对较少，且长时间没有更新，仅收集到中心机房管理职责规定与中华人民共和国保守国家秘密法规定的十

12、二种禁止行为两份管理制度。2.3 信息安全问卷调研目的：通过问卷填写方式全面了解信息安全技术与管理现状。任务：主要是让信息化相关负责人根据企业实际 IT 建设情况填写相关安全事件、安全管理、安全体系运作、安全运维流程方面的遇到的问题。方式和工具：主要采用下发调研表的方式完成调研。信息安全问卷调研表问卷调研情况：本次评估通过下发信息安全问卷调查表让相关负责人填写后收集。2.4 现场管理访谈目的：通过与人员现场询问、沟通、了解的方式全面了解信息安全技术与管理现状。任务：主要是了解信息资产状况，安全体系管理运行，应用的安全技术，资产管理运行，开发相关的运行，人力管理运行，安全要求和需求，实调研安全运

13、维（操作）流程和程序，监控和审计的调研，备份和容灾的调研等。方式和工具：主要采用下发调研表的方式完成调研。访谈提纲与访谈记录现场访谈情况：本次评估通过根据等保三级差距分析调研表的内容与XX人民法院信息化负责人余欢进行了现场访谈调研。第 9 页/共 51 页2.5 人工检查与技术评估目的：通过技术手段与专家经验分析目前XX法院信息系统与资产的技术防护短板。任务：核心系统抽样服务器技术评估与人工检查，网络架构评估与网络设备安全检查，办公终端抽样检查，业务系统技术性渗透测试。方式和工具：主要采用如下方式进行人工检查和技术评估。工具扫描检测业界成熟的漏洞扫描工具资产安全配置核查规范UNIX 系统安全配

14、置规范LINUX 系统安全配置规范WINDOWS 系统安全配置规范网络设备安全配置规范数据库安全配置规范防火墙设备安全配置规范技术性渗透测试黑盒测试检查与评估情况：本次由于XX法院业务系统的运行重要性及时间问题，根据客户要求没有做技术性渗透测试与安全漏洞扫描，但是对以下部分检查：IT 资产的安全配置做了详细的IP 地址资产名称主要用途审判执行应用服务器OA 服务器法院审判执行系统WEB应用 149.XX.0.X法院内部 OA 系统应用法院内部网站应用核心交换机 1149.XX.0.X149.XX0.X149.XX.251.X149.XX.252.X10.XX.251.X未知内部网站服务器中兴交

15、换机 ZXR10中兴交换机 ZXR10深信服防火墙核心交换机 2网络边界防护天融信入侵检测（IDS）网络安全检测第 10 页/共 51 页金盾内网安全管理系统终端安全集中管控149.XX.0.X2.6 安全风险分析目的：分析组织体系，技术体系，管理体系目前存在的问题。任务：分析 IT投入、安全管理体系运行，应用的安全技术，资产管理，开发管理，人力管理，安全要求和需求，安全运维（操作）流程和程序，监控和审计，备份和容灾等方面的管理问题；分析部门职责，岗位职责，安全考核等方面的落实问题；分析系统安全漏洞，配置漏洞，代码漏洞等方面的技术问题。方式和工具：采用如下方式进行问题分析。制度内容评审；制度执

16、行情况分析；设备安全分析；网络安全分析；系统安全分析；组织架构完整性分析；安全风险分析实施情况：评估人员通过结合众多公检法行业的安全检查与评估经验，以专家的视角对目前收集到的原始信息（制度，规范，扫描结果，配置核查结果，访谈记录，调研表的填写，安全意识调查等）对安全风险与出现的问题进行分析。2.7 合规性分析目的：分析目前反映的问题和行业标准的差距。任务：主要任务是分析与信息系统安全等级保护系列标准的差距。方式和工具：采用如下方式和工具了解安全差距方面的问题。等级保护差距分析表；等级保护各项内容现状评估评分表；合规性分析实施情况：评估人员通过参考等级保护三级基本要求的 10 个大类项，73 个

17、子类项，290 个基本要求，对比目前了解的相关安全管理情况作出差距分析结果。第 11 页/共 51 页3 评估结果综述3.1 信息化建设现状XX人民法院信息化建设整体相对较为简单，业务系统不多，网络结构比较单一，如下图所示：高级人民法院nn两台核心交换机为中兴 ZRX10 8905，为主备模式，承载所有法院内部所有业务信息系统和各办公终端的总体网络流量；出口为一台中兴路由器，通过电信提供的专网与XXX高级人民法院和其他区域的人民法院进行网络互连与业务数据共享；nn各楼层均通过楼层交换机汇聚后接入核心交换机访问业务应用区域；业务应用区域内的审批执行系统数据库分别接入爱数存储与同友存储设备，档案管

18、理系统与数字法庭系统分别接入各自数据存储阵列；OA 系统与网站系统均为一台服务器承载应用；第 12 页/共 51 页网络到电信专网的总出口处部署了防火墙进行安全防护；核心交换机分别旁路部署了网络入侵检测（IDS）和终端安全管理认证网关。3.2 总体信息安全差距XX人民法院的信息安全体系建设比较落后，安全短板较多，根据现状调研的安全总体差距体现为除物理安全、网络安全、人员安全达到等级保护三级部分要求外，主机安全、应用安全、数据安全、安全管理制度、安全管理机构、系统建设管理、系统运维管理等几个方面均有较大的安全差距，如下图所示：第 13 页/共 51 页3.3 信息安全技术评估结果3.3.1 物理

19、安全评估3.3.1.1 现状描述n所有物理区域与外界都有门禁系统或者保安人员值守，进入办公楼的外部人员还需进行安全检查；nnn外来人员进入机房均有内部人员陪同，进入机房施工有相应的使用登记单；机房内部环境整洁，没有发现易燃、易爆等危险物品；机房具有完善的空调、消防、供电等设施，对于这些设施能够进行定期的检查与维护；nn机房设备走线规范，都贴有相应的资产标签；明确了机房物理环境的负责人与配合部门；第 14 页/共 51 页3.3.1.2 发现问题机房内发现有未喝完的矿泉水瓶；机房内缺少动力环境情况监控；人员对机房的访问缺少真实的登记记录，来访记录随意性较大；缺少对信息设备信息安全要求描述的条例,

20、如场外设备安全、设备安全报废和重用、设备维护、线缆安全等；缺乏机房管理细则及场外设备管理制度；3.3.1.3 处置建议应逐步完善机房的日常安全管理制度；应建立完整真实的访问情况记录，提高安全防范意识；应尽快清理机房内的无关物品，保持机房干净整洁；应形成一套完善的机房动力环境安全监控机制，提高运维水平与故障发现效率。3.3.2 网络安全评估3.3.2.1 现状描述网络核心交换部分采用了两台交换机冗余备份，保证了网络核心链路稳定；针对具体业务与区域划分了 VLAN；针对指定的 IP 地址设置了 ACL 列表，做到了访问控制与隔离；网络出口处部署了防火墙进行安全防护；网络中部署了网络安全入侵检测系统

21、进行安全监控；3.3.2.2 发现问题缺乏网络审计手段，对异常流量、设备操作、违规协议等问题不能及时发现和定位；缺乏网络层防病毒手段，对计算机病毒木马和其他恶意代码不能及时阻断；网络入侵检测系统（IDS）没有真正启用，没有数据也没有监控报表定期分析；第 15 页/共 51 页防火墙的 IPS 策略库、WEB 防护策略库、数据泄密防护策略库不是最新的，僵尸网络识别策略库已经过期了；网络性能与流量使用情况缺乏有效的监控管理手段；采样的两台网络设备缺乏基本安全配置，两台核心交换机均为默认配置，具体表现为：没有禁用设备 BANNNER，造成设备信息泄漏；没有启用 SSH 安全登录协议，只用采用了明文的

22、 TELNET 和本地 CONSOLE登录；启用了 OSPF 协议单没有启动路由安全认证，如 MD5 加密；日志没有开启远程收集，本地日志记录有限；设备用户和密码为明文保存，没有加密保存；3.3.2.3 处置建议应完善网络行为审计手段，建立网络审计与安全管控机制；应通过网络防毒设备对计算机病毒与恶意代码进行网络层防护；应完善网络性能监控与设备运维手段，提高网络资源使用分析与集中管控水平；应对网络设备进行安全规范配置；3.3.3 主机安全评估3.3.3.1 现状描述终端操作系统都安装了杀毒软件并通过离线包进行更新；终端通过内网安全管控系统进行认证安全控制；服务器操作系统登陆均设置了复杂密码。3.

23、3.3.2 发现问题部分服务器没有安装杀毒软件，导致出现计算机病毒入侵安全风险；缺乏对操作系统的操作行为审计；第 16 页/共 51 页缺乏账号管理与身份认证的统一管理，没有认证日志记录，存在多人共用一账号的情况；终端安全目前只实现了 U 盘插入安全管理，其他功能没有启用；终端安全使用习惯没有建立，存在大量登录弱口令；缺乏对服务器性能的实时监控与告警机制，运维效率不高；采样的三台应用服务器配置基本为默认配置，存在较高安全风险，具体表现为：没有任何安全防护软件；安全补丁从未更新，存在大量安全漏洞；安全访问审核日志没有打开，从未记录相关访问情况；密码安全策略未开启；账号锁定策略未开启；危险服务如

24、Task Scheduler、remote registry、printer spooler 没有关闭；3.3.3.3 处置建议应继续完善的统一防病毒体系，对终端、服务器进行安全防护；应形成操作行为审计手段；应完善服务器性能监控与设备运维手段，提高网络资源使用分析与集中管控水平；应对服务器进行安全规范配置，对安全补丁、审核日志、本地安全策略、开启服务等进行安全配置修改，提高服务器安全等级。3.3.4 应用安全评估3.3.4.1 现状描述通过防火墙的 WAF 功能对应用系统的 WEB 程序进行安全防护；应用系统的账号按角色进行了权限分类与限制；3.3.4.2 发现问题缺乏应用操作的安全审计手段；

25、缺乏对应用的定期安全评估与漏洞检测；第 17 页/共 51 页缺乏对程序代码的安全审计手段；缺乏对应用性能的有效监控与问题分析定位；3.3.4.3 处置建议应定期对应用系统进行安全漏洞检查与渗透测试；应形成应用系统操作行为审计手段；应完善应用程序的性能监控与设备运维手段，提高资源使用分析与集中管控水平；应规范软件开发流程，形成代码开发或上线前的程序级代码安全审计机制。3.3.5 数据安全评估3.3.5.1 现状描述案例审批信息数据通过应用程序功能设置按账号权限进行数据上传与分享；关键数据都进行了阵列存储备份，并形成了备份机制。3.3.5.2 发现问题数据上传没有经过专用加密通道；重要数据的敏感

26、信息没有加密保护；3.3.5.3 处置建议应建立专用数据上传与分享加密 VPN 通道；应对敏感信息进行加密保护。第 18 页/共 51 页3.4 信息安全管理评估结果3.4.1 安全管理制度评估3.4.1.1 现状描述已经制定了一些 IT 管理制度与要求，如移动存储介质管理办法、终端管理办法、网络管理办法、机房管理办法等。3.4.1.2 发现问题管理制度内容覆盖不全，安全管理内容只占较少部分；缺乏纲领性信息安全工作指导，如信息安全目标、策略、方针等；制度长期没有评审与更新，内容过于成旧；制度没有检查执行记录，无法判断是否按照要求执行与宣贯。3.4.1.3 处置建议应完善各方面的安全管理制度与操

27、作规范；应形成制度执行的检查与考核机制，提高自觉遵守管理规定的意识；应定期对管理制度进行内容评审与修订，保持适用性；应建立信息安全方针、目标、策略。3.4.2 安全管理机构评估3.4.2.1 现状描述信息化专职人员 1 名，工作职责包括安全建设、维护、管理；有系统集成厂家负责技术支持与技术沟通。3.4.2.2 发现问题没有形成体系化的信息安全组织架构，信息安全领导层、信息安全管理层、信息安第 19 页/共 51 页全执行层分工不明确；信息化工作岗位没有明确具体安全工作的职责与义务；3.4.2.3 处置建议因法院人员编制问题不能建立信息安全团队，可以通过明确各级领导、中层干部、普通员工的信息安全

28、责任间接建立信息安全组织架构；3.4.3 人员安全管理评估3.4.3.1 现状描述内部人员正式编制员工通过国家统一公务员考试与面试审核入职；所有不同类型编制的内部人员都签订了保密协议；离岗与转岗人员的工作交接都有详细的记录。3.4.3.2 发现问题没有对关键岗位人员进行安全管理与工作审计；没有制定信息安全培训计划，很少进行不同岗位不同层次的安全培训。3.4.3.3 处置建议应定期对关键岗位人员进行安全管理与培训教育；应制定符合实际工作需求的信息安全知识培训计划，对不同岗位的人员从管理、技术、意识等不同内容进行定期的、系统的培训。3.4.4 系统建设管理评估3.4.4.1 现状描述所有业务系统与

29、网络已经定级并完成评测；所有工程项目的方案均正式公开招投标并经过专家组评审；第 20 页/共 51 页所有采购和使用的 IT 产品均是正规厂家生产的市场主流产品，安全产品全部有正式的公安部销售许可证；工程实施过程的质量由厂家和信息化负责人监督控制，并由办公室联合验收。3.4.4.2 发现问题项目管理过程文档与记录过于简单，有的项目只有一个进度确认表，没有形成体系化的项目管理机制；项目需求到设计开发没有安全介入，安全防护设计也没有形成第三方单独的方案；开发过程为高院统一指定外包商开发，对人员不能进行安全控制；没有指定专门的信息安全服务商，而是由项目集成厂家代维安全。3.4.4.3 处置建议应形成

30、完善的项目实施与管理文档记录与流程管理体系；应形成安全介入机制，做到与信息系统“同步规划、同步设计、同步开发、同步运维”应专门指定安全服务商提供技术服务，服务商的选择要符合从业标准，无不良记录。3.4.5 系统运维管理评估3.4.5.1 现状描述业务系统统一由高院负责运维管理；本地维护人员负责设备、网络、环境的运维；PC 和部分系统运维有外包代维。3.4.5.2 发现问题缺乏基于 ITIL 流程的运维管理手段；缺乏安全事件的预警机制；缺乏安全事件与业务连续性的应急处置计划与应对方案；第 21 页/共 51 页没有进行建立安全管理中心进行安全体系统一运作与管理。3.4.5.3 处置建议应建立基于

31、 ITIL 流程管理的运维管理手段；应形成安全事件的预警与实时监控能力；应制定业务连续性应急处置计划与方案并定期开展演练；应建立统一的安全管理中心进行安全管理。第 22 页/共 51 页4 等保三级差距分析总体要求技术要求分类 分项 合规要求点要求 要求符合/不符合整改建议物理 物 理 1)机房和办公场地应选择在具有防震、符合位 置 防风和防雨等能力的建筑内安全的 选择2)机房场地应避免设在建筑物的高层 符合或地下室，以及用水设备的下层或隔壁物 理 1）机房出入口应安排专人值守，控制、符合访 问 鉴别和记录进入的人员控制2）需进入机房的来访人员应经过申请 不符合完 善 审 批 流程，加强来访人

32、员管控和审批流程，并限制和监控其活动范围3）应对机房划分区域进行管理，区域 符合和区域之间设置物理隔离装置，在重要区域前设置交付或安装等过渡区域4）重要区域应配置电子门禁系统，控 不符合配 置 门 禁 系统制、鉴别和记录进入的人员防 盗 1）应将主要设备放置在机房内符合防 破2）应将设备或主要部件进行固定，并 符合坏设置明显的不易除去的标记3）应将通信线缆铺设在隐蔽处，可铺 符合设在地下或管道中4）应对介质分类标识，存储在介质库 符合或档案室中5）应利用光、电等技术设置机房防盗 不符合配 备 机 房 监控报警系统报警系统第 23 页/共 51 页6）应对机房设置监控报警系统不符合配 备 机 房

33、 监控报警系统防 雷 1）机房建筑应设置避雷装置符合符合符合击2）应设置防雷保安器，防止感应雷3）机房应设置交流电源地线防火 1）机房应设置火灾自动消防系统，能 符合够自动检测火情、自动报警，并自动灭火2）机房及相关的工作房间和辅助房应 符合采用具有耐火等级的建筑材料3）机房应采取区域隔离防火措施，将 符合重要设备与其他设备隔离开防 水 1）水管安装，不得穿过机房屋顶和活 符合防潮 动地板下2）应采取措施防止雨水通过机房窗户、符合屋顶和墙壁渗透；3）应采取措施防止机房内水蒸气结露 符合和地下积水的转移与渗透4）应安装对水敏感的检测仪表或元件，不符合配 置 机 房 监控报警系统对机房进行防水检测

34、和报警防 静 1）主要设备应采用必要的接地防静电 符合电措施2）机房应采用防静电地板符合温 湿 1）机房应设置温、湿度自动调节设施，符合度 控 使机房温、湿度的变化在设备运行所允制许的范围之内电 力 1）应在机房供电线路上配置稳压器和 符合供应 过电压防护设备第 24 页/共 51 页2）应提供短期的备用电力供应，至少 符合满足主要设备在断电情况下的正常运行要求3）应设置冗余或并行的电力电缆线路 符合为计算机系统供电4）应建立备用供电系统不符合建 立 备 用 供电系统电 磁 1）应采用接地方式防止外界电磁干扰 符合防护 和设备寄生耦合干扰2）电源线和通信线缆应隔离铺设，避 符合免互相干扰3）应

35、对关键设备和磁介质实施电磁屏 不符合配 置 防 电 磁干扰系统蔽网 络 结 构 1）应保证主要网络设备的业务处理能 符合安全 安全 力具备冗余空间，满足业务高峰期需要2）应保证网络各个部分的带宽满足业 符合务高峰期需要3）应在业务终端与业务服务器之间进 符合行路由控制建立安全的访问路径4）应绘制与当前运行情况相符的网络 不符合保 持 并 更 新网 络 结 构 拓扑拓扑结构图5）应根据各部门的工作职能、重要性 符合和所涉及信息的重要程度等因素，划分不同的子网或网段并按照方便管理和控制的原则为各子网、网段分配地址段6）应避免将重要网段部署在网络边界 符合处且直接连接外部信息系统，重要网段与其他网段

36、之间采取第 25 页/共 51 页可靠的技术隔离手段7）应按照对业务服务的重要次序来指 不符合定带宽分配优先级别，保证在网络发生拥堵的时候优先保护重要主机配 置 网 络QOS 与带宽管 理 控 制 系统访 问 1）应在网络边界部署访问控制设备，符合控制 启用访问控制功能2）应能根据会话状态信息为数据流提 符合供明确的允许/拒绝访问的能力，控制粒度为端口级3）应对进出网络的信息内容进行过滤，符合实 现 对 应 用 层 HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制4）应在会话处于非活跃一定时间或会 不符合设 置 会 话 连接阀值话结束后终止网络连接5）应限制网络最大流量数及

37、网络连接 不符合配 置 带 宽 管理系统数6）要网段应采取技术手段防止地址欺 不符合配 置 源 地 址验证骗7）应按用户和系统之间的允许访问规 符合则，决定允许或拒绝用户对受控系统进行资源访问，控制度为单个用户8）应限制具有拨号访问权限的用户数 符合量安 全 1）应对网络系统中的网络设备运行状 不符合配 置 网 络 安全 审 计 与 性能监控系统审计 况、网络流量、用户行为等进行日志记录2）审计记录应包括：事件的日期和时 不符合配 备 运 维 审第 26 页/共 51 页间、用户、事件类型、事件是否成功及其他与审计相关的信息计系统3）应能够根据记录数据进行分析，并 不符合配 备 运 维 审计系

38、统生成审计报表4）应对审计记录进行保护，避免受到 不符合配 备 运 维 审计 系 统 并 加强访问控制未预期的删除、修改或覆盖等边 界 1）应能够对非授权设备私自联到内部 符合完 整 网络的行为进行检查，准确定出位置，性 检 并对其进行有效阻断查2）应能够对内部网络用户私自联到外 不符合部网络的行为进行检查，准确定出位置，并对其进行有效阻断配 备 网 络 管理系统(NPM)入 侵 1）应在网络边界处监视以下攻击行为：符合防范 端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等2）当检测到攻击行为时，记录攻击源 符合IP、攻击类型、攻击目的、攻击时间，在

39、发生严重入侵事件时应提供报警恶 意 1）应在网络边界处对恶意代码进行检 不符合配 置 网 络 防毒墙代 码 测和清除防范2）应维护恶意代码库的升级和检测系 不符合配 置 网 络 防毒墙统的更新网 络 1）应对登录网络设备的用户进行身份 不符合配 置 身 份 认证 与 运 维 审计设 备 鉴别防护2）应对网络设备的管理员登录地址进 不符合配置 IP 地址第 27 页/共 51 页行限制访问限制3）网络设备用户的标识应唯一符合4）主要网络设备应对同一用户选择两 不符合种或两种以上组合的鉴别技术来进行身份鉴别配 备 身 份 认证 与 统 一 授权系统5）身份鉴别信息应具有不易被冒用的 不符合配 备

40、身 份 认证 与 统 一 授权系统特点，口令应有复杂度要求并定期更换6）应具有登录失败处理功能，可采取 不符合结束会话、限制非法登录次数和当网络登录连接超时自动退对 网 络 设 备配 置 安 全 控制参数出等措施7）当对网络设备进行远程管理时，应 不符合采取必要措施防止鉴别信息在网络传输过程中被窃听开 启 并 采 用SSH 协议登录8)应实现设备特权用户的权限分离不符合设置 AB 角管理员主 机 身 份 1）应对登录操作系统和数据库系统的 不符合配 备 身 份 认证 与 统 一 授权系统安全 鉴别 用户进行身份标识和鉴别2）操作系统和数据库系统管理用户身 不符合份标识应具有不易被冒用的特点，口

41、令应有复杂度要求并定期更换配 备 身 份 认证 与 统 一 授权系统3）应启用登录失败处理功能，可采取 不符合结束会话、限制非法登录次数和自动退出等措施设 置 主 机 安全策略4）当对服务器进行远程管理时，应采 不符合取必要措施，防止鉴别信息在网络传输过程中被窃听配置 SSH 登录 或 采 用 双因 素 身 份 认第 28 页/共 51 页证5）应为操作系统和数据库系统的不同 符合用户分配不同的用户名，确保用户名具有唯一性6）应采用两种或两种以上组合的鉴别 不符合配 备 身 份 认证 与 统 一 授权系统技术对管理用户进行身份鉴别访 问 1）应启用访问控制功能，依据安全策 符合控制 略控制用户

42、对资源的访问2）应根据管理用户的角色分配权限，符合实现管理用户的权限分离，仅授予管理用户所需的最小权限3）应实现操作系统和数据库系统特权 不符合系 统 管 理 员与 数 据 库 管理 员 不 为 同一人用户的权限分离4）应严格限制默认帐户的访问权限，符合重命名系统默认帐户，修改这些帐户的默认口令5）应及时删除多余的、过期的帐户，符合避免共享帐户的存在6）应对重要信息资源设置敏感标记不符合对 重 要 信 息做敏感标识7）应依据安全策略严格控制用户对有 不符合配 置 主 机 安全审计系统敏感标记重要信息资源的操作安 全 1）审计范围应覆盖到服务器和重要客 不符合审计 户端上的每个操作系统用户和数据

43、库用户配 备 运 维 审计系统2）审计内容应包括重要用户行为、系 不符合配 备 运 维 审第 29 页/共 51 页统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件计系统3）审计记录应包括事件的日期、时间、不符合配 备 运 维 审计系统类型、主体标识、客体标识和结果等4）应能够根据记录数据进行分析，并 不符合配 备 运 维 审计系统生成审计报表5）应保护审计进程，避免受到未预期 不符合配 备 运 维 审计系统的中断6）应保护审计记录，避免受到未预期 不符合配 备 运 维 审计系统的删除、修改或覆盖等剩 余 1）应保证操作系统和数据库系统用户 不符合信 息 的鉴别信息所在的存储空间

44、，被释放或保护 再分配给其他用户前得到完全清除，无论这些信息是存放在硬盘上还是在内存中建 立 信 息 使用 与 清 除 制度2）应确保系统内的文件、目录和数据 不符合库记录等资源所在的存储空间，被释放或重新分配给其他用户前得到完全清除建 立 信 息 使用 与 合 理 分配制度入 侵 1）应能够检测到对重要服务器进行入 符合防范 侵的行为，能够记录入侵的源 IP、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报警2）应能够对重要程序的完整性进行检 不符合测，并在检测到完整性受到破坏后具有恢复的措施建 立 程 序 防篡机制3）操作系统应遵循最小安装的原则，不符合仅安装需要的组件和应

45、用程序，并通过设置升级服务器等方式保持系统补丁关 闭 不 必 要的 服 务 与 组建，开启系统第 30 页/共 51 页及时得到更新自动更新恶 意 1）应安装防恶意代码软件，并及时更 不符合代 码 新防恶意代码软件版本和恶意代码库防范服 务 器 安 装防 病 毒 软 件并定期更新2）主机防恶意代码产品应具有与网络 符合防恶意代码产品不同的恶意代码库3）应支持防恶意代码的统一管理符合资 源 1）应通过设定终端接入方式、网络地 符合控制 址范围等条件限制终端登录2）应根据安全策略设置登录终端的操 不符合设 置 终 端 登录 操 作 超 时锁定作超时锁定3）应对重要服务器进行监视，包括监 不符合视服

46、务器的 CPU、硬盘、内存、网络等资源的使用情况配 置 性 能 监控 与 管 理 系统4）应限制单个用户对系统资源的最大 符合或最小使用限度5）应能够对系统的服务水平降低到预 不符合配 置 性 能 监控 与 管 理 系统先规定的最小值进行检测和报警应 用 身 份 1）应提供专用的登录控制模块对登录 符合安全 鉴别 用户进行身份标识和鉴别2）应对同一用户采用两种或两种以上 不符合配 备 身 份 认证 与 统 一 授权系统组合的鉴别技术实现用户身份鉴别3）应提供用户身份标识唯一和鉴别信 不符合息复杂度检查功能，保证应用系统中不存在重复用户身份标识，身份鉴别信息不易被冒用配 备 身 份 认证 与 统

47、 一 授权 系 统 并 设置 用 户 标 识第 31 页/共 51 页唯一4）应提供登录失败处理功能，可采取 符合结束会话、限制非法登录次数和自动退出等措施5）应启用身份鉴别、用户身份标识唯 不符合一性检查、用户身份鉴别信息复杂度检查以及登录失败处理功能，并根据安全策略配置相关参数配 备 身 份 认证 与 统 一 授权系统访 问 1）应提供访问控制功能，依据安全策 符合控制 略控制用户对文件、数据库表等客体的访问2）访问控制的覆盖范围应包括与资源 符合访问相关的主体、客体及它们之间的操作3）应由授权主体配置访问控制策略，符合并严格限制默认帐户的访问权限4）应授予不同帐户为完成各自承担任 符合务

48、所需的最小权限，并在它们之间形成相互制约的关系5）应具有对重要信息资源设置敏感标 不符合对 敏 感 信 息标识记的功能6）应依据安全策略严格控制用户对有 不符合配 置 操 作 审计 与 日 志 记录敏感标记重要信息资源的操作安 全 1）应提供覆盖到每个用户的安全审计 不符合配 备 应 用 审计系统审计 功能，对应用系统重要安全事件进行审计2）应保证无法单独中断审计进程，无 不符合配 备 应 用 审计系统法删除、修改或覆盖审计记录第 32 页/共 51 页3）审计记录的内容至少应包括事件的 不符合日期、时间、发起者信息、类型、描述和结果等配 备 应 用 审计系统4）应提供对审计记录数据进行统计、

49、不符合配 备 应 用 审计系统查询、分析及生成审计报表的功能剩 余 1）应保证用户鉴别信息所在的存储空 不符合信 息 间被释放或再分配给其他用户前得到保护 完全清除，无论这些信息是存放在硬盘上还是在内存中设 置 用 户 鉴别 信 息 清 除机制2）应保证系统内的文件、目录和数据 不符合库记录等资源所在的存储空间被释放或重新分配给其他用户设 置 资 源 释放 或 重 新 分配机制前得到完全清除通 信 1）在通信双方建立连接之前，应用系 符合完 整 统应利用密码技术进行会话初始化验性证2）应对通信过程中的整个报文或会话 不符合配置 VPN 加过程进行加密密隧道抗 抵 1）应具有在请求的情况下为数据

50、原发 不符合配 置 日 志 记录与管理赖者或接收者提供数据原发证据的功能2）应具有在请求的情况下为数据原发 不符合配 置 日 志 记录与管理者或接收者提供数据接收证据的功能软 件 1）应提供数据有效性检验功能，保证 不符合容错 通过人机接口输入或通过通信接口输入的数据格式或长度符合系统设定要求设 置 数 据 有效性检验2）应提供自动保护功能，当故障发生 符合时自动保护当前所有状态，保证系统能够进行恢复第 33 页/共 51 页资 源 1）当应用系统的通信双方中的一方在 不符合控制 一段时间内未作任何响应，另一方应能够自动结束会话设 置 系 统 无响 应 操 作 时间限制2）应能够对系统的最大并