信息系统等级安全服务方案
信息系统等级安全服务方案-标准化文件发布号：（9456-EUATWK-MWUB-WUNN-INNUL-DDQTY-KII
信息系统等级安全方案
二零零九年八月
目录
1.项目概述 ..................................................................................... 错误!未定义书签。
目标与范围................................................................. 错误!未定义书签。
方案设计..................................................................... 错误!未定义书签。
参照标准..................................................................... 错误!未定义书签。
2.等保现状及建设总目标 ............................................................. 错误!未定义书签。
等级保护现状............................................................. 错误!未定义书签。
国家电网公司等保评测结果.............................. 错误!未定义书签。
公安部等保测评结果.......................................... 错误!未定义书签。
等级保护建设总体目标............................................. 错误!未定义书签。
3.安全域及网络边界防护 ............................................................. 错误!未定义书签。
信息网络现状............................................................. 错误!未定义书签。
安全域划分方法......................................................... 错误!未定义书签。
安全域边界................................................................. 错误!未定义书签。
二级系统边界...................................................... 错误!未定义书签。
三级系统边界...................................................... 错误!未定义书签。
安全域的实现形式..................................................... 错误!未定义书签。
安全域划分及边界防护............................................. 错误!未定义书签。
安全域的划分...................................................... 错误!未定义书签。
4.信息安全管理建设 ..................................................................... 错误!未定义书签。
建设目标..................................................................... 错误!未定义书签。
安全管理机构建设..................................................... 错误!未定义书签。
安全管理制度完善..................................................... 错误!未定义书签。
5.二级系统域建设 ......................................................................... 错误!未定义书签。
概述与建设目标......................................................... 错误!未定义书签。
网络安全..................................................................... 错误!未定义书签。
网络安全建设目标.............................................. 错误!未定义书签。
地市公司建设方案.............................................. 错误!未定义书签。
主机安全..................................................................... 错误!未定义书签。
主机安全建设目标.............................................. 错误!未定义书签。
主机身份鉴别...................................................... 错误!未定义书签。
访问控制.............................................................. 错误!未定义书签。
安全审计.............................................................. 错误!未定义书签。
入侵防范.............................................................. 错误!未定义书签。
恶意代码防范...................................................... 错误!未定义书签。
资源控制.............................................................. 错误!未定义书签。
应用安全..................................................................... 错误!未定义书签。
应用安全建设目标.............................................. 错误!未定义书签。
身份鉴别.............................................................. 错误!未定义书签。
安全审计.............................................................. 错误!未定义书签。
通信完整性、通信保密性.................................. 错误!未定义书签。
资源控制.............................................................. 错误!未定义书签。
数据安全及备份恢复................................................. 错误!未定义书签。
数据安全及备份恢复建设目标.......................... 错误!未定义书签。
数据完整性、数据保密性.................................. 错误!未定义书签。
6.三级系统域建设 ......................................................................... 错误!未定义书签。
概述与建设目标......................................................... 错误!未定义书签。
物理安全..................................................................... 错误!未定义书签。
物理安全建设目标.............................................. 错误!未定义书签。
机房感应雷防护措施.......................................... 错误!未定义书签。
物理访问控制...................................................... 错误!未定义书签。
防盗措施.............................................................. 错误!未定义书签。
防火措施.............................................................. 错误!未定义书签。
防水和防潮.......................................................... 错误!未定义书签。
电磁防护.............................................................. 错误!未定义书签。
网络安全建设方案..................................................... 错误!未定义书签。
网络安全建设目标.............................................. 错误!未定义书签。
山东省电力集团公司建设方案.......................... 错误!未定义书签。
主机安全..................................................................... 错误!未定义书签。
主机安全建设目标.............................................. 错误!未定义书签。
主机身份鉴别...................................................... 错误!未定义书签。
访问控制.............................................................. 错误!未定义书签。
安全审计.............................................................. 错误!未定义书签。
剩余信息保护...................................................... 错误!未定义书签。
入侵防范.............................................................. 错误!未定义书签。
恶意代码防范...................................................... 错误!未定义书签。
资源控制.............................................................. 错误!未定义书签。
应用安全..................................................................... 错误!未定义书签。
应用安全建设目标.............................................. 错误!未定义书签。
身份鉴别.............................................................. 错误!未定义书签。
访问控制.............................................................. 错误!未定义书签。
安全审计.............................................................. 错误!未定义书签。
剩余信息保护...................................................... 错误!未定义书签。
通信完整性、通信保密性、抗抵赖.................. 错误!未定义书签。
资源控制.............................................................. 错误!未定义书签。
数据安全及备份恢复................................................. 错误!未定义书签。
数据安全及备份恢复建设目标.......................... 错误!未定义书签。
数据完整性、数据保密性.................................. 错误!未定义书签。
备份和恢复.......................................................... 错误!未定义书签。
1.项目概述
根据国家电网公司《关于信息安全等级保护建设的实施指导意见（信息运安〔2009〕27号）》和山东省电力集团公司对等级保护相关工作提出的要求，落实等级保护各项任务，提高山东省电力集团公司信息系统安全防护能力，特制定本方案。
1.1目标与范围
公司为了落实和贯彻公安部、国家保密局、国家密码管理局、电监会等国家有关部门信息安全等级保护工作要求，全面完善公司信息安全防护体系，落实公司“双网双机、分区分域、等级防护、多层防御”的安全防护策略，确保等级保护工作在各单位的顺利实施，提高公司整体信息安全防护水平，开展等级保护建设工作。
前期在省公司及地市公司开展等级保护符合性测评工作，对地市公司进行测评调研工作，范围涵盖内网门户、外网门户、财务管理系统、营销管理系统、电力市场交易系统、生产管理信息系统、协同办公系统、人力资源管理系统、物资管理系统、项目管理系统、邮件系统、公司广域网SGInet、管理制度这13个业务系统分类，分析测评结果与等级保护要求之间的差距，提出本的安全建设方案。
本方案主要遵循GB/T22239-2008《信息安全技术信息安全等级保护基本要求》、《信息安全等级保护管理办法》（公通字[2007]43号）、《信息安全技术信息安全风险评估规范》（GB/T 20984-2007）、《国家电网公司信息化“SG186”工程安全防护总体方案》、ISO/IEC 27001信息安全管理体系标准和ISO/IEC 13335信息安全管理标准等。
实施的范围包括：省公司本部、各地市公司。
通过本方案的建设实施，进一步提高信息系统等级保护符合性要求，将整个信息系统的安全状况提升到一个较高的水平，并尽可能地消除或降低信息系统的安全风险。
信息系统等级安全服务方案
信息系统等级安全服务方案-标准化文件发布号：（9456-EUATWK-MWUB-WUNN-INNUL-DDQTY-KII
信息系统等级安全方案 二零零九年八月
目录 1.项目概述 ..................................................................................... 错误!未定义书签。 目标与范围................................................................. 错误!未定义书签。 方案设计..................................................................... 错误!未定义书签。 参照标准..................................................................... 错误!未定义书签。 2.等保现状及建设总目标 ............................................................. 错误!未定义书签。 等级保护现状............................................................. 错误!未定义书签。 国家电网公司等保评测结果.............................. 错误!未定义书签。 公安部等保测评结果.......................................... 错误!未定义书签。 等级保护建设总体目标............................................. 错误!未定义书签。 3.安全域及网络边界防护 ............................................................. 错误!未定义书签。 信息网络现状............................................................. 错误!未定义书签。 安全域划分方法......................................................... 错误!未定义书签。 安全域边界................................................................. 错误!未定义书签。 二级系统边界...................................................... 错误!未定义书签。 三级系统边界...................................................... 错误!未定义书签。 安全域的实现形式..................................................... 错误!未定义书签。 安全域划分及边界防护............................................. 错误!未定义书签。 安全域的划分...................................................... 错误!未定义书签。 4.信息安全管理建设 ..................................................................... 错误!未定义书签。 建设目标..................................................................... 错误!未定义书签。 安全管理机构建设..................................................... 错误!未定义书签。 安全管理制度完善..................................................... 错误!未定义书签。 5.二级系统域建设 ......................................................................... 错误!未定义书签。 概述与建设目标......................................................... 错误!未定义书签。 网络安全..................................................................... 错误!未定义书签。 网络安全建设目标.............................................. 错误!未定义书签。 地市公司建设方案.............................................. 错误!未定义书签。 主机安全..................................................................... 错误!未定义书签。 主机安全建设目标.............................................. 错误!未定义书签。 主机身份鉴别...................................................... 错误!未定义书签。 访问控制.............................................................. 错误!未定义书签。 安全审计.............................................................. 错误!未定义书签。 入侵防范.............................................................. 错误!未定义书签。 恶意代码防范...................................................... 错误!未定义书签。 资源控制.............................................................. 错误!未定义书签。 应用安全..................................................................... 错误!未定义书签。 应用安全建设目标.............................................. 错误!未定义书签。 身份鉴别.............................................................. 错误!未定义书签。 安全审计.............................................................. 错误!未定义书签。 通信完整性、通信保密性.................................. 错误!未定义书签。 资源控制.............................................................. 错误!未定义书签。
信息安全服务学习资料
信息安全服务
成都思科赛思通信技术有限公司 公司介绍 成都思科赛思通信技术有限公司成立于2003年，汇集了一批信息安全精英和电信增值业务产品开发人才、组成了信息安全服务事业部和IT代维外包事业部。 思科赛思专业安全服务，结合多年专注信息安全、专心服务客户的经验，结合国际国内安全标准，为客户提供一系列专业安全服务。 思科赛思IT代维外包服务，按照国际最佳实践ITIL来进行流程定制、规范服务，帮助系统管理者进行运营、管理和维护支持工作，按客户所需进行定制化的IT 外包服务。 思科赛思长期和sans ,cve,owasp等国际组织以及 eeye,imperva，amaranten，等专业商业安全公司合作交流，开展技术共享，优势互补。 思科赛思专业安全服务团队由一批经验丰富，富有责任心和使命感的专业技术人员组成，多人拥有CISP、CISSP、CISA、NIIT、计算机信息系统集成项目经理、PMP认证及能力。 我们的服务理念和目标是： “专注安全、专业服务、服务成就价值。” 思科赛思能为您做什么？ 思科赛思在多年协助客户实施信息安全规划、建设、运作、管理的过程中积累了大量经验，并已总结成为一整套科学规范的信息系统安全管理的实践方法。思科赛思信息安全服务是一套针对企业信息安全规划、建设、运作、管理的完善解决方案，能够协助企业更加全面地认识信息技术、评估企业的信息安全隐患及薄弱环节，进一步完善企业系统架构，为企业的网上应用构建高度安全的运行环境，共同规划、设计、实施、运作、管理，从而保护企业信息系统的安全。
信息安全架构设计服务 问题与挑战：管理和技术不能两全？ 企业信息安全架构规划涉及到管理和技术两方面的内容，而不是单一系统或程序能实现的。如果想凭借企业内部管理人员的经验、技术人员的执行力来完成架构规划，不仅需要大量的交流时间，更需要精力去不断地磨合与调整。在资源有限的情况下，企业如何建立最符合企业现状的信息安全管理架构？ 管理层在对企业 进行信息安全架构规 划时难免忽略技术需 求，而技术人员的规 划未必顾及到管理层 面。如果您已经制定 了企业的信息安全架 构规划，那么不妨根 据下列问题对其全面 性做出评估： 您的信息安全架构蓝图是依据各个部门的信息安全目标而制定的吗？ 您的企业在执行信息安全加固项目时，是否有清晰的信息安全规划指导？ 您的企业是否制定了清晰的风险管理流程？ 您的企业是否有、并执行一些关键的信息安全管理流程？
安全服务内容
安全服务内容 、安全弱点评估 每三个月一次，时间定在每季度的第一个月内进行。 定期对黄埔海关计算机网络上的设备进行安全弱点评估，在进行安全弱点评估时，由乙方安全专家根据其经验，收集被评估系统相关资料（如网络拓扑结构图、业务系统类型、已采用的安全控制措施等），通过分析，找出其中存在的安全问题。并使用各类安全分析工具来扫描各个被评估的设备，找出其中存在的安全漏洞。 通过安全弱点评估，逐步完善黄埔海关网络内数据类资产的安全信息库，以实现对黄埔海关计算机网络内所有数据类资产安全状况的全盘掌握。 乙方安全专家可通过调研各业务系统的网络拓扑、范围、服务器清单，并以业务系统为单位，逐步对整个网络实施扫描评估，给出安全评估报告，并在此基础上，协助黄埔海关逐步建立安全信息库。 1、本项目实施过程中所使用到的各种工具软件由乙方推荐，经甲方确认后由乙方提供 并在评估中使用。 2、系统评估应选择在非业务繁忙时段进行，将网络扫描带来的影响减至最小。 3、乙方应向甲方提供详细的原始工具扫描结果报告。发现的安全漏洞应按照风险级别 加以分类，阐明漏洞的危害及相应的攻击方法，给出详细的解决方法和操作步骤。 4、每个系统评估完成后必须出具评估报告。评估报告至少应包括以下的信息内容： 主机清单，每台主机至少包括以下的信息： ?主机名称 ?地址 ?操作系统版本 ?设备型号 ?开放的服务应用及端口 ?操作系统补丁清单 ?用途描述
?漏洞名称列表（应标识已修补和未修补的漏洞） ?潜在威胁； 网络设备清单，每个网络设备至少包括以下的信息： ?设备名称 ?网络设备类型 ?配置 ?协议配置 ?漏洞名称列表（应标识已修补和未修补的漏洞） ?潜在威胁 网络拓扑图 业务逻辑拓扑图 整个业务系统的加固、优化措施。 业务系统加固优化结果 遗留问题 、系统加固与优化 与安全弱点评估同步。 在安全弱点评估的基础上，乙方应提出相应的整改、加固建议，主要包括： 被评估系统周边加固措施、被评估系统服务器本机加固措施、被评估系统网络设备加固措施、被评估系统机加固措施。 甲方根据建议实施安全整改加固，对于无法实施的内容，反馈给乙方安全专家，由乙方安全专家进一步规划可实施的安全措施，并更新评估报告，包括加固后的信息更新、填报完整业务系统加固优化结果和遗留问题，以作参考。 、安全策略制定咨询 根据甲方要求进行。
信息系统安全等级保护定级报告实例
信息系统安全等级保护定级报告 （起草参考实例） 一、支付通网上支付服务系统描述 （一）该中间业务于*年*月*日由*省邮政局科技立项，省邮政信息技术局自主研发。目前该系统由技术局运行维护部负责运行维护。省邮政局是该信息系统业务的主管部门，省邮政局委托技术局为该信息系统定级的责任单位。 （二）此系统是计算机及其相关的和配套的设备、设施构成的，是按照一定的应用目标和规则对邮储金融中间业务信息进行采集、加工、存储、传输、检索等处理的人机系统。整个网络分为两部分，（图略），第一部分为省数据中心，第二部分为市局局域网。 在省数据中心的核心设备部署了华为的S**三层交换机，…… 在省数据中心的网络中配置了两台与外部网络互联的边界设备：天融信NGFW 4**防火墙和Cisco 2**路由器…… 省数据中心网络中剩下的一部分就是与下面各个地市的互联。其中主要设备部署的是……整个省数据中心网络中的所有设备系统都按照统一的设备管理策略，只能现场配置，不可远程拨号登录。 整个信息系统的网络系统边界设备可定为NGFW 4** 与Cisco 2**。Cisco 2** 外联的其它系统都划分为外部网络部分，而NGFW 4** 以内的部分包括与各地市互联的部分都可归为中心的内部网络，与中间业务系统相关的省数据中心网络边界部分和内部网络部分都是等级保护定级的范围和对象。在此次定级过程中，将各市的网络和数据中心连同省中心统一作为一个定级对象加以考虑，统一进行定级、备案。各市的网络和数据中心还要作为整个系统的分系统分别进行定级、备案。
（三）该支付服务系统业务主要包含：网络表够电、IC卡购电、抄表购电等便民缴费服务。用户不必受网点营业时间限制，足不出户在线完成各类行业IC 卡的充值及信用卡还款、手机充值、游戏点卡、航空客票购买等增值服务。支付宝账号充值和订单支付服务。为银行和银行卡用户提供服务通道，借助支付通平台和支付通终端提供的通路，银行卡用户可在线办理银行卡余额查询、转账等银行卡业务。信息订阅：针对支付通平台用户提供各类信息订阅，为用户提供合作商户及支付通的各类优惠打折信息订阅，主要是通过手机短信或彩信、网页显示方式推送给用户。支付宝账号充值和订单支付服务。后续还会有诸如歌华宽带、速通卡业务、各类手机账单缴费业务、账单支付业务等。 涵盖了网上购物、保险、教育、旅游、交通等行业的电子商务业务的网络支付服务。系统针对业务实现的差异分别提供实时联机处理和批量处理两种方式。其中：通过网络与第三方机构的连接，均采用约定好的报文格式进行通讯，业务处理流程实时完成。 业务处理系统以省集中结构模式，负责各类中间业务的业务处理，包括与第三方实时连接、接口协议转换、非实时批量数据的采集、业务处理逻辑的实现、与会计核算系统的连接等。 二、X省邮政金融网中间业务系统安全保护等级的确定 （一）业务信息安全保护等级的确定 1、业务信息描述 金融网中间业务信息包括：代收费情况信息，缴费公民、法人和其他组织的的个人（单位）信息，欠费情况，以及代收费的银行、电信、燃气、税务、保险等部门的信息等。属于公民、法人和其他组织的专有信息。 2、业务信息受到破坏时所侵害客体的确定（侵害的客体包括：1国家安全，
信息系统安全运维服务
信息系统安全运维服务 项目招标需求 供应商资质资格要求： 1、供应商在宁波本地有常驻服务机构（需提供营业执照复印件）； 2、供应商应具备中国信息安全认证中心或国家信息安全测评中心或宁波市计算机信息网络安全协会颁发的安全服务资质； 3、供应商应具有两名中国信息安全测评中心认证的注册信息安全工程师（出具社保证明和证书复印件，中标后提供原件）； 服务要求： 1、供应商应为本项目组建一个安全运维服务团队，团队成员应由各类信息安全专家、网络专家等组成，标书中应列出团队成员清单并提供相关证书。当驻场工程师不能及时解决问题时应及时给予技术支持。应急响应时间小于1小时，一般安全事件排除时间小于1小时，复杂安全时间排除时间小于4小时； 2、实地驻场一名注册信息安全工程师； 3、全大市约40套安全产品日常管理。要求每天对安全产品的运行状况进行检查，并根据信息系统的安全状况调整安全策略，确保信息系统安全。安全产品包含防火墙、IPS、UTM、上网行为管理，WAF，桌面管理系统，终端入网管理系统，防病毒软件等等； 4、协调各安全产品厂商定期巡检安全产品，在产品故障时及时联系厂商排除故障，确保安全产品正常工作； 5、全大市安全产品日志分析。要求每天对安全产品产生的日志进行交叉比对分析，及时发现并消除安全隐患； 6、全大市约4000台终端电脑安全管理。借助桌面管理系统、终端入网控制系统等管理软件对全大市的电脑终端的安全状况进行跟踪管理，及时发现终端电脑的安全风险，通过调整安全策略及现场、远程协助等方式处理终端出现的安全问题； 7、信息系统安全风险评估。定期对全系统的信息系统安全风险进行评估，并出具评估报告；
信息系统安全等级保护定级报告示例.docx
信息系统安全等级保护定级报告 一、XX平台系统描述 （一）2014年8月，XX正式上线，XX隶属于北京XX科技有限公司，该公司是从事网络借贷信息中介业务活动的金融信息服务企业。主要是通过线上XX平台，将出借人和借款人衔接，为二者提供中介服务进而实现借贷关系。通过提供信息搜集、信息公布、资信评估、信息交互、借贷撮合等服务解决借款人和出借人的投融资难的问题。目前该XX平台系统由公司运维部负责维护。我公司是该平台系统业务的主要负责机构，也是为该信息系统定级的责任单位。 （二）此系统是计算机及其相关的和配套的设备、设施构成的，是按照一定的应用目标和规则对该系统金融业务数据信息进行存储、传输、检索等处理的人机机制。 该系统相关的用户数据中心网络，资金管理等边界部分都是等级保护定级的范围和对象。在此次定级过程中，将该系统的网络设备和数据中心连同业务数据作为一个定级对象加以考虑，统一进行定级、备案。该系统的网络设备和数据中心还要作为整个系统的分系统分别进行定级、备案。 （三）该系统业务主要包含：用户身份安全信息、业务平台数据、购买服务等业务，并新增加了法务审核，风险控制等等业
务。系统针对业务实现的差异分别提供实时联机处理和批量处理两种方式。其中：通过网络与第三方支付平台的连接，均采用约定好的报文格式进行通讯，业务处理流程实时完成。 业务处理系统以内部财务结算模式，负责各类买入转让还款的业务处理，包括与第三方实时连接、接口协议转换、非实时批量数据的采集、业务处理逻辑的实现、与会计核算系统的连接等。系统结构拓扑图如下： 二、XX平台系统安全保护等级确定（定级方法参见国家标准《信息系统安全等级保护定级指南》） （一）业务信息安全保护等级的确定 1、业务信息描述 北京XX科技有限公司是从事网络借贷信息中介业务活动的金融信息服务企业，XX为旗下借贷平台主要是通过线上平台，将出借人和借款人衔接，为二者提供中介服务实现借贷关系。通过提供信息搜集、信息公布、资信评估、信息交互、借贷撮合等服务，解决借款人和出借人的投融资难的问题。 2、业务信息受到破坏时所侵害客体的确定 该业务信息遭到破坏后，所侵害的客体是公民、法人和其他组织的合法权益。 侵害的客观方面表现为：一旦信息系统的业务信息遭到入侵、
信息化系统安全运维服务方案设计
信息化系统 安全运维服务方案
目录 1概述 (2) 1.1服务范围和服务内容 (2) 1.2服务目标 (2) 2系统现状 (2) 2.1网络系统 (2) 2.2设备清单 (3) 2.3应用系统 (5) 3服务方案 (6) 3.1系统日常维护 (6) 3.2信息系统安全服务 (11) 3.3系统设备维修及保养服务 (13) 3.4软件系统升级及维保服务 (14) 4服务要求 (14) 4.1基本要求 (15) 4.2服务队伍要求 (16) 4.3服务流程要求 (16) 4.4服务响应要求 (17) 4.5服务报告要求 (18) 4.6运维保障资源库建设要求 (18) 4.7项目管理要求 (19) 4.8质量管理要求 (19) 4.9技术交流及培训 (19) 5经费预算 (19)
1概述 1.1服务范围和服务内容 本次服务范围为XX局信息化系统硬件及应用系统，各类软硬件均位于XX局第一办公区内，主要包括计算机终端、打印机、服务器、存储设备、网络（安全）设备以及应用系统。服务内容包括日常运维服务（驻场服务）、专业安全服务、主要硬件设备维保服务、主要应用软件系统维保服务、信息化建设咨询服务等。 1.2服务目标 ●保障软硬件的稳定性和可靠性； ●保障软硬件的安全性和可恢复性； ●故障的及时响应与修复； ●硬件设备的维修服务； ●人员的技术培训服务； ●信息化建设规划、方案制定等咨询服务。 2系统现状 2.1网络系统 XX局计算机网络包括市电子政务外网（简称外网）、市电子政务内网（简称内网）以及全国政府系统电子政务专网（简称专网）三部分。内网、外网、专网所有硬件设备集中于XX局机房各个独立区域，互相物理隔离。 外网与互联网逻辑隔离，主要为市人大建议提案网上办理、XX局政务公开等应用系统提供网络平台，为市领导及XX局各处室提供互联网服务。外网安全加固措施：WSUS服务器、瑞星杀毒软件服务器为各联网终端提供系统补丁分发和瑞星杀毒软件管理服务，建立IPS、防火墙等基本网络安全措施。 内网与外网和互联网物理隔离，为XX局日常公文流转、公文处理等信息化系统提供基础网络平台。内网安全加固措施：WSUS服务器、瑞星杀毒软件服务器为各联网终端提供系统补丁分发和瑞星杀毒软件管理服务；配备防火墙实现内网中服务器区域间的逻辑隔离及安全区域间的访问控制，重点划分服务器区，实现相应的访问控制策略。 专网由XX局电子政务办公室统一规划建设，专网和互联网、内网及其他非涉密网络严格物理隔离，目前主要提供政务信息上报服务和邮件服务。
某业务运维信息系统风险评估报告
X X X业务运维 信息系统风险评估报告
文档控制 版本信息 所有权声明 文档里的资料版权归江苏开拓信息系统有限公司（以下简称“江苏开拓”）所有。未经江苏开拓事先书面允许，不得复制或散发任何部分的内容。任何团体或个人未经批准，擅自观看方案将被认为获取了江苏开拓的私有信息而遭受法律的制裁。
目录
1.评估项目概述 1.1.评估目的和目标 对XXX信息系统进行风险评估，分析系统的脆弱性、所面临的威胁以及由此可能产生的风险；根据风险评估结果,给出安全控制措施建议。 风险评估范围包括： （1）安全环境：包括机房环境、主机环境、网络环境等； （2）硬件设备：包括主机、网络设备、线路、电源等； （3）系统软件：包括操作系统、数据库、应用系统、监控软件、备份系统等； （4）网络结构：包括远程接入安全、网络带宽评估、网络监控措施等； （5）数据交换：包括交换模式的合理性、对业务系统安全的影响等； （6）数据备份/恢复：包括主机操作系统、数据库、应用程序等的数据备份/恢复机制； （7）人员安全及管理，通信与操作管理； （8）技术支持手段； （9）安全策略、安全审计、访问控制； 1.2.被评估系统概述 1.2.1.系统概况 XXX信息系统主要由HIS系统、LIS系统、PACS系统以及医保、大屏、合理用药、折子工程等业务系统、内外网安全服务器、双翼服务器、OA服务器、交换机、防火墙以及安全控制设备等构成，内外网物理隔离，外网为访问互联网相关服务为主，内网为XXX生产网络。 2.风险综述 2.1.风险摘要 2.1.1.风险统计与分析 经过风险分析，各级风险统计结果如下：
信息系统安全整体解决设计方案
《安全系统整体解决方案设计》
第一章企业网络的现状描述 (3) 1.1企业网络的现状描述 (3) 第二章企业网络的漏洞分析 (4) 2.1物理安全 (4) 2.2主机安全 (4) 2.3外部安全 (4) 2.4内部安全 (5) 2.5内部网络之间、内外网络之间的连接安全 (5) 第三章企业网络安全整体解决方案设计 (5) 3.1企业网络的设计目标 (5) 3.2企业网络的设计原则 (6) 3.3物理安全解决方案 (6) 3.4主机安全解决方案 (7) 3.5网络安全解决方案 (7) 第四章方案的验证及调试 (8) 第五章总结 (9) 参考资料 ...................................................... 错误！未定义书签。
企业网络整体解决方案设计 第一章企业网络的现状描述 1.1企业网络的现状描述 网络拓扑图 以Internet发展为代表的全球性信息化浪潮日益深刻，信息网络技术的应用正日益普及和广泛，应用层次正在深入，应用领域从传统的、小型业务系统逐渐向大型、关键业务系统扩展,以往一直保持独立的大型机和中-高端开放式系统（Unix和NT）部分迅速融合成为一个异构企业部分。 以往安全系统的设计是采用被动防护模式，针对系统出现的各种情况采取相应的防护措施，当新的应用系统被采纳以后、或者发现了新的系统漏洞，使系统在实际运行中遭受攻击，系统管理员再根据情况采取相应的补救措施。这种以应用处理为核心的安全防护方案使系统管理人员忙于处理不同系统产生的各种故障。人力资源浪费很大，而且往往是在系统破坏造
成以后才进行处理，防护效果不理想，也很难对网络的整体防护做出规划和评估。 安全的漏洞往往存在于系统中最薄弱的环节，邮件系统、网关无一不直接威胁着企业网络的正常运行;中小企业需要防止网络系统遭到非法入侵、未经授权的存取或破坏可能造成的数据丢失、系统崩溃等问题，而这些都不是单一的防病毒软件外加服务器就能够解决的。因此无论是网络安全的现状，还是中小企业自身都向广大安全厂商提出了更高的要求。 第二章企业网络的漏洞分析 2.1 物理安全 网络的物理安全的风险是多种多样的。 网络的物理安全主要是指地震、水灾、火灾等环境事故；电源故障；人为操作失误或错误；设备被盗、被毁；电磁干扰；线路截获。以及高可用性的硬件、双机多冗余的设计、机房环境及报警系统、安全意识等。它是整个网络系统安全的前提，在这个企业区局域网内，由于网络的物理跨度不大，只要制定健全的安全管理制度，做好备份，并且加强网络设备和机房的管理，防止非法进入计算机控制室和各种盗窃，破坏活动的发生，这些风险是可以避免的。 2.2 主机安全 对于中国来说，恐怕没有绝对安全的操作系统可以选择，无论是Microsoft的Windows NT或者其他任何商用UNIX操作系统，其开发厂商必然有其Back-Door。我们可以这样讲：没有完全安全的操作系统。但是，我们可以对现有的操作平台进行安全配置、对操作和访问权限进行严格控制，提高系统的安全性。因此，不但要选用尽可能可靠的操作系统和硬件平台。而且，必须加强登录过程的认证，特别是在到达服务器主机之前的认证，确保用户的合法性；其次应该严格限制登录者的操作权限，将其完成的操作限制在最小的范围内。 与日常生活当中一样，企业主机也存在着各种各样的安全问题。使用者的使用权限不同，企业主机所付与的管理权限也不一样，同一台主机对不同的人有着不同的使用范围。同时，企业主机也会受到来自病毒，黑客等的袭击，企业主机对此也必须做好预防。在安装应用程序的时候，还得注意它的合法权限，以防止它所携带的一些无用的插件或者木马病毒来影响主机的运行和正常工作，甚至盗取企业机密。 2.3外部安全 拒绝服务攻击。值得注意的是，当前运行商受到的拒绝服务攻击的威胁正在变得越来越紧迫。对拒绝服务攻击的解决方案也越来越受到国际上先进电信提供商的关注。对大规模拒绝服务攻击能够阻止、减轻、躲避的能力是标志着一个电信企业可以向客户承诺更为健壮、具有更高可用性的服务，也是真个企业的网络安全水平进入一个新境界的重要标志。 外部入侵。这里是通常所说的黑客威胁。从前面几年时间的网络安全管理经验和渗透测试结果来看，当前大多数电信网络设备和服务都存在着被入侵的痕迹，甚至各种后门。这些是对网络自主运行的控制权的巨大威胁，使得客户在重要和关键应用场合没有信心，损失业务，甚至造成灾难性后果。
信息系统安全管理方案1.doc
信息系统安全管理方案1 信息系统安全管理方案 信息系统的安全，是指为信息系统建立和采取的技术和管理的安全保护，保护计算机硬件、软件和数据不因偶然和恶意的原因而遭到破坏、更改和泄漏，以保证系统连续正常运行。信息系统的安全方案是为发布、管理和保护敏感的信息资源而制定的一级法律、法规和措施的总和，是对信息资源使用、管理规则的正式描述，是院内所有人员都必须遵守的规则。信息系统的受到的安全威胁有：操作系统的不安全性、防火墙的不安全性、来自内部人员的安全威胁、缺乏有效的监督机制和评估网络系统的安全性手段、系统不能对病毒有效控制等。 一、机房设备的物理安全 硬件设备事故对信息系统危害极大，如电源事故引起的火灾，机房通风散热不好引起烧毁硬件等，严重的可使系统业务停顿，造成不可估量的损失；轻的也会使相应业务混乱，无法正常运转。对系统的管理、看护不善，可使一些不法分子盗窃计算机及网络硬件设备，从中牟利，使企业和国家财产遭受损失，还破坏了系统的正常运行。 因此，信息系统安全首先要保证机房和硬件设备的安全。要制定严格的机房管理制度和保卫制度，注意防火、防盗、防雷击等突发事件和自然灾害，采用隔离、防辐射措施实现系统安全运行。 二、管理制度
在制定安全策略的同时，要制定相关的信息与网络安全的技术标准与规范。技术标准着重从技术方面规定与规范实现安全策略的技术、 机制与安全产品的功能指标要求。管理规范是从政策组织、人力与流程方面对安全策略的实施进行规划。这些标准与规范是安全策略的技术保障与管理基础，没有一定政策法规制度保障的安全策略形同一堆废纸。 要备好国家有关法规，如：《中华人民共和国计算机信息系统安全保护条例》、《中华人民共和国计算机信息网络国际联网管理暂行规定》、《计算机信息网络国际联网安全保护管理办法》、《计算机信息系统安全专用产品检测和销售许可证管理办法》、《中华人民共和国计算机信息网络国际联网管理暂行规定实施办法》、《商用密码管理条例》等，做到有据可查。同时，要制定信息系统及其环境安全管理的规则，规则应包含下列内容： １、岗位职责：包括门卫在内的值班制度与职责，管理人员和工程技术人员的职责； ２、信息系统的使用规则，包括各用户的使用权限，建立与维护完整的网络用户数据库，严格对系统日志进行管理，对公共机房实行精确到人、到机位的登记制度，实现对网络客户、ＩＰ地址、ＭＡＣ地址、服务帐号的精确管理； ３、软件管理制度； ４、机房设备（包括电源、空调）管理制度； ５、网络运行管理制度；
信息安全服务(终端安全)项目
信息安全服务（终端安全）项目 技术需求 电子税务管理中心 二○一五年七月
第一章项目基本情况 1.1项目背景 税务系统自2005年起，部署实施了瑞星防病毒软件和北信源桌面安全管理系统，覆盖了税务系统超过50万终端计算机，初步实现了病毒木马防治和计算机资源管理，但也存在多个客户端软件运行资源占用较大，统一管理难度大等问题。 为此，税务总局于2013年7月起试点实施了基于云的桌面终端安全管理项目，为终端提供病毒木马查杀、桌面安全管理、补丁管理、网络准入、移动存储管理等安全防护能力。截至目前，桌面管理系统软件已定制开发完毕，并在六个试点省国税局（内蒙、山西、山东、河南、广东、重庆）进行了部署实施，部署终端总数95000余台。 根据工作安排，税务总局决定启动国税系统其他30个单位桌面管理系统的推广实施、售后服务等工作。 1.2软件概况 税务桌面管理系统为税务系统定制开发软件，通过部署一套安全产品，解决终端的桌面安全、准入、防毒杀毒等多种安全需求。通过采用C/S、B/S混合模式，实现了税务私有云模式下的两级部署、多级管理。 1.2.1系统总体框架 整个系统将由以下5个模块组成： 1.私有云模块 私有云模块为系统核心，包含云查杀子模块和云存储子模块。由两个异地互备的计算、存储平台和各省虚拟化平台组成，主要负责绝大部份终端计算任务的执行（如病毒检查、恶意代码检查、终端安全性状况的计算等）和绝大部份的存储任务（如云端病毒库、黑白名单等）。 2.终端安全模块 终端安全子模块是终端安全的本地程序，负责终端信息的搜集、安全策略、防控任务、网络准入的本地响应与控制，同时在云计算平台或本地网络出现异常的情况下，负责临时
信息系统安全运维
信息系统安全运维 1.服务背景 随着信息系统的网络规模、地域分布和复杂性的不断增加，组织面对黑客攻击、未经授权入侵和其它威胁的风险也在逐渐增加。许多组织的系统管理人员常常忙于解决日常运维过程中出现的琐碎问题，以维持信息系统的持续可用，而没有更多精力定期检查信息系统中是否存在安全隐患、跟踪并获得相应的漏洞补丁、及时修复信息系统安全问题。为了降低信息系统中安全隐患被非法利用的可能性或在被利用后能及时加以响应，需要有专业的信息安全服务人员协助组织的系统管理人员进行安全运维工作。 2.服务定义 国信天辰信息系统安全运维指在特定的周期内，通过技术设施安全评估、技术设施安全加固、安全漏洞补丁通告、安全事件应急响应以及信息安全运维咨询，协助组织的系统管理人员进行信息系统的日常安全运维工作，以发现并修复信息系统中所存在的安全隐患，降低安全隐患被非法利用的可能性，并在安全隐患被利用后及时加以响应。 3.服务内容 国信天辰信息系统安全运维服务包括如下内容： 1) 确定安全运维所涉及的信息系统及关键技术设施； 2) 根据所约定的服务范围，执行首次技术设施安全评估，评估关键技术设施所存在的安全隐患； 3) 根据首次技术设施安全评估的结果，制定加固方案，沟通并最终对关键技术设施进行安全加固； 4) 此后定期执行技术设施安全评估，针对评估所发现的安全隐患，提出改进建议，并指导系统管理人员进行安全加固； 5) 当被服务单位的主机或网络正遭到攻击或已经发现遭受入侵的迹象时，及时进行应急响应，分析事故原因并防止损失扩大； 6) 在服务期内，及时跟踪并提供安全漏洞及补丁信息或相应安全建议； 7) 针对系统管理人员在日常维护时发现、产生的安全技术问题提供咨询服务。
信息系统安全等级保护定级报告
附件2: 《信息系统安全等级保护定级报告》 一、易财经描述 （一）该系统于 2018年投入运营，开发服务商为广州致仪计算机软件科技有限公司。目前该信息系统由广州致仪计算机软件科技有限公司技术部负责运行维护。广州致仪计算机软件科技有限公司技术部是该系统业务的主管部门，广州致仪计算机软件科技有限公司总经办为该信息系统定级的责任单位。 （二）该信息系统部署在阿里云云服务器ECS。由主机服务器、网络设备、防火墙设备、存储系统及其相关的配套的设备、设施构成的，是按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。 易财经服务器mysql数据库由2台阿里云云服务器ECS E5互为备份，同时接入校园网络中心机房。实现校内、校外全天侯工作的功能。该系统的外部网部络和内部网络部分都是等级保护定级的范围和对象。 （三）该信息系统目前承载的主要业务包括：系统管理、组织管理、课程管理、排课管理、知识库管理、排课管理、考练测评、论文管理、实训中心、资讯管理、法规库管理、资源库、订单管理、积分优惠卷系统等等。系统针对业务的
差异分别提供联机处理和批量处理两种方式。 二、易财经系统安全保护等级确定 （一）业务信息安全保护等级的确定 1、业务信息描述 该信息系统业务主要包括：系统管理、组织管理、课程管理、排课管理、知识库管理、排课管理、考练测评、论文管理、实训中心、资讯管理、法规库管理、资源库、订单管理、积分优惠卷系统等等。 2、业务信息受到破坏时所侵害客体的确定（根据实际描述） 该业务信息遭到破坏后，所侵害的客体是公民、法人和其他组织的合法权益。 侵害的客观方面（客观方面是指定级对象的具体侵害行为，侵害形式以及对客体的造成的侵害结果）表现为：一旦信息系统的业务信息遭到入侵、修改、增加、删除等不明侵害（形式可以包括丢失、破坏、损坏等），会对公民、法人和其他组织的合法权益造成影响和损害，可以表现为：影响正常工作的开展，导致业务能力下降，造成不良影响，引起法律纠纷等。 3、信息受到破坏后对侵害客体的侵害程度的确定（根据实际描述） 上述结果的程度表现为严重损害，即工作职能受到严重
信息系统安全服务协议(XXX学院)
XXX学院 信息系统安全服务合同 委托人（甲方）：XXX学院 受托人（乙方）：XXX信息中心
甲方委托乙方对其指定的信息系统进行安全服务。为保证安全服务工作顺利进行，经协商一致，双方达成以下协议： 一、安全服务依据 1、安全服务合法性依据，主要包括如下文件： 1）公安部、国家保密局、国家密码管理局、国务院信息化工作办公室联合转发的《关于信息安全等级保护工作的实施意见》（公通字〔2004〕66号）； 2）公安部、国家保密局、国家密码管理局、国务院信息化工作办公室联合制定的《信息安全等级保护管理办法》（公通字〔2007〕43号）。 2、安全服务技术规范依据，包括但不限于如下技术标准： 1）《信息安全技术信息系统安全等级保护基本要求》； 2）《信息安全技术信息系统安全等级保护测评要求》； 3）《信息安全技术信息系统安全等级保护测评过程指南》。 二、安全服务内容 乙方应在坚持科学、客观、公正原则的基础上，如实反映信息系统的真实情况，不受第三方干扰，完整、准确地向甲方提供其信息系统安全等级保护职责履行情况的数据和信息，并给出相应的安全服务报告，其结果不受他方干扰。 乙方对信息系统进行如下内容的安全服务工作： 安全差距分析 乙方结合甲方信息系统的实际情况，进行安全现状调研，针对本项目信息系统，依据第一章“安全服务依据”第二点相关技术标准，对项目信息系统进行差距分析和风险评估，并对分析和评估的结果进行归纳整理，形成信息系统差距分析报告并提供安全整改建议。 安全技术评估 乙方通过物理安全、网络安全、主机安全、应用安全和数据安全等五个层面测评信息安全等级保护要求的基本安全控制在信息系统中的实施配置情况。 安全管理评估 乙方通过查阅文档、抽样调查等方法，针对甲方在信息安全方面制定规章制度的合理性、适用性等进行评估，主要包括安全管理机构、安全管理制度、人员安全管理、系统建设管理和系统运维管理等内容。 系统整体评估
(完整版)信息安全维护服务协议(安全运维协议)
信息系统安全年度服务协议 合同编号： 甲方： 地址： 联系人： 电话： 传真： 邮政编码： 乙方： 地址： 联系人： 电话： 传真： 邮政编码：
1.协议内容 (3) 1.1 前期系统评估 (3) 1.2 整理工作 (4) 1.3 服务内容 (4) 1.3.1 信息安全风险评估 (4) 1.3.2 信息系统安全加固 (4) 1.3.3 信息系统实时监测 (4) 1.3.4 安全事件应急响应 (5) 1.3.5 等级保护安全建设整改 (5) 1.3.6 信息系统安全通告 (5) 1.3.7 信息安全管理策略 (6) 1.3.8 管理人员安全培训 (7) 1.3.9 信息系统安全测评 (7) 1.3.10 咨询服务 (7) 1.3.11 呼叫中心服务 (7) 1.4 安全服务所包括的设备范围 (8) 1.7 下属情况不在乙方服务范围之列 (8) 1.8 其他服务约定 (8) 2.合同价格 (8) 3.合同有效期 (9) 4.付款条款 (9) 5.违约责任 (9) 6.技术支持服务项目组成员 (9) 7.优惠措施 (9) 8.服务保证 (10) 9.不可抗力 (10) 10.仲裁条款 (10) 11.保密条款 (11) 12.合同变更、补充及终止 (11) 13,合同效力 (11)
甲方向乙方购买信息系统安全服务。甲乙双方本着相互信任、真诚合作、共同发展的原则，在友好协商的基础上达成如下协议。 1.协议内容 我们为您提供的专业安全服务包括： 1. 是否对网络基础平台熟悉：熟悉。 2. 是否提供24小时技术支持：提供。 3. 是否提供365×7×24热线支持：提供。 4. 是否提供工程师到厂安全巡检：提供每月一次的网络安全巡检，并提交巡检报告。 5. 是否提供服务器及网络设置安全策略优化服务：提供。 6. 是否提供24小时热线支持电话：提供。 7. 重大事件响应时间：12个小时内到达甲方现场。 8. 是否对现有信息安全进行风险评估：在甲方许可的情况下可提供风险评估，或每季 度进行一次风险评估。 9. 是否对信息系统安全加固：可按照等级相关要求、标准进行安全加固 10. 是否对互联网网站实时监测：提供实时监测服务。 11. 当发生安全事件后是否提供应急响应：提供 12. 是否提供等级保护测评服务：由专业测评师提供每年不少于一次的测评服务。 13. 是否提供等级保护安全建设整改：针对甲方现状提供整改意见。 14. 是否第一时间提供重大信息系统安全通告：以邮件、短信、微信、传真等方式提供。 15. 是否提供信息安全管理策略：提供 16. 是否提供管理人员安全培训：提供 1.1 前期系统评估 在签订合同并且生效后，乙方需按甲方的要求在协商好的时间之内（一般在__个工作日内），对甲方的计算机网络系统设备的安全状况、运行状况进行全面检查，做出详细的报
信息安全及技术发展室业务能力介绍
信息安全和技术发展室业务能力介绍 2010/8/6
目录 1信息安全业务介绍 (2) 1.1赛宝信息安全检测能力介绍 (2) 1.1.1信息安全产品检测 (2) 1.1.2信息系统安全检测 (2) 1.1.3信息安全公共平台 (2) 1.1.4信息化验收测试 (3) 1.1.5信息安全标准研究 (3) 1.2典型测试案例 (3) 1.3成熟的客户群 (3) 1.4开发的自主知识产权的工具——信息系统安全风险评估软件 (5) 1.4.1我们提出： (5) 1.4.2软件介绍： (5) 1.4.3软件使用情况： (5) 2技术发展相关 (6)
1信息安全业务介绍 工业和信息化部电子第五研究所质量检测中心——即中国赛宝实验室，是专业从事电子与信息系统测评、认证、鉴定评价，以及检测技术研究的国家级实验室，是工业和信息化部直属的独立于产品制造方和产品使用方的第三方认证检测机构。同时为国家保密局电磁泄漏发射防护产品检测中心广州分中心。还承担着国家有关部委的科研任务，从事系统隐患和风险评估基础理论方法研究和技术研发。2007年与广东省公安厅共同承担科研项目《网络信息安全等级保护测评体系框架、测评方法与支撑工具》（粤科计字[2007]130号），在等级保护测评框架、技术、方法和流程等方面展开深入和具体研究。 1.1赛宝信息安全检测能力介绍 1.1.1信息安全产品检测 ?防火墙、入侵检测/防御（IDS/IPS）、网络安全隔离与信息交换设备、安全路由器、安全交换机 ?操作系统、数据库系统、中间件、安全电子邮件、安全传输软件、防垃圾邮件、网络安全评估工具 ?应用软件、业务系统、Web网站软件信息安全检测 1.1.2信息系统安全检测 ?信息系统安全验收测试：按照国家标准和项目合同要求进行安全检测。 ?信息安全等级保护测评：按照信息安全等级保护标准，开展技术和管理测评。 ?信息安全风险评估：全面安全技术与管理评估。 1.1.3信息安全公共平台 ?信息安全政策、法规、标准研究 ?信息安全工程质量体系研究