信息系统安全等级保护测评报告
等保测评报告
信息系统安全等级测评报告模板项目名称：委托单位：测评单位：年月日报告摘要一、测评工作概述概要描述被测信息系统的基本情况（可参考信息系统安全等级保护备案表），包括但不限于：系统的运营使用单位、投入运行时间、承载的业务情况、系统服务情况以及定级情况。
（见附件：信息系统安全等级保护备案表）描述等级测评工作的委托单位、测评单位和等级测评工作的开展过程，包括投入测评人员与设备情况、完成的具体工作内容统计（涉及的测评分类与项目数量，检查的网络互联与安全设备、主机、应用系统、管理文档数量，访谈人员次数）。
二、等级测评结果依据第4、5章的结果对等级测评结果进行汇总统计（测评项符合情况及比例、单元测评结果符合情况比例以及整体测评结果）；通过对信息系统基本安全保护状态的分析给出等级测评结论（结论为达标、基本达标、不达标）。
三、系统存在的主要问题依据6.3章节的分析结果，列出被测信息系统中存在的主要问题以及可能造成的后果（如，未部署DDos防御措施，易遭受DDos攻击，导致系统无法提供正常服务）。
四、系统安全建设、整改建议针对系统存在的主要问题提出安全建设、整改建议，是对第七章内容的提炼和简要描述。
报告基本信息声明声明是测评单位对于测评报告内容以及用途等有关事项做出的约定性陈述，包含但不限于以下内容：本报告中给出的结论仅对目标系统的当时状况有效，当测评工作完成后系统出现任何变更，涉及到的模块（或子系统）都应重新进行测评，本报告不再适用。
本报告中给出的结论不能作为对系统内相关产品的测评结论。
本报告结论的有效性建立在用户提供材料的真实性基础上。
在任何情况下，若需引用本报告中的结果或数据都应保持其本来的意义，不得擅自进行增加、修改、伪造或掩盖事实。
测评单位机构名称年月报告目录1测评项目概述 .........................................................................................................................1.1测评目的........................................................................................................................................1.2测评依据........................................................................................................................................1.3测评过程........................................................................................................................................1.4报告分发范围 ................................................................................................................................ 2被测系统情况 .........................................................................................................................2.1基本信息........................................................................................................................................2.2业务应用........................................................................................................................................2.3网络结构........................................................................................................................................2.4系统构成........................................................................................................................................2.4.1业务应用软件..............................................................................................................................2.4.2关键数据类别..............................................................................................................................2.4.3主机/存储设备............................................................................................................................2.4.4网络互联与安全设备..................................................................................................................2.4.5安全相关人员..............................................................................................................................2.4.6安全管理文档..............................................................................................................................2.5安全环境........................................................................................................................................ 3等级测评范围与方法 ............................................................................................................3.1测评指标........................................................................................................................................3.1.1基本指标......................................................................................................................................3.1.2附加指标......................................................................................................................................3.2测评对象........................................................................................................................................3.2.1选择方法......................................................................................................................................3.2.2选择结果......................................................................................................................................3.3测评方法........................................................................................................................................3.3.1现场测评方法..............................................................................................................................3.3.2风险分析方法..............................................................................................................................4等级测评内容 .........................................................................................................................4.1物理安全........................................................................................................................................4.1.1结果记录......................................................................................................................................4.1.2问题分析......................................................................................................................................4.1.3单元测评结果..............................................................................................................................4.2网络安全........................................................................................................................................4.2.1结果记录......................................................................................................................................4.2.2问题分析......................................................................................................................................4.2.3单元测评结果..............................................................................................................................4.3主机安全........................................................................................................................................4.3.1结果记录......................................................................................................................................4.3.2问题分析......................................................................................................................................4.3.3单元测评结果..............................................................................................................................4.4应用安全........................................................................................................................................4.4.1结果记录......................................................................................................................................4.4.2问题分析......................................................................................................................................4.4.3单元测评结果..............................................................................................................................4.5数据安全及备份恢复.....................................................................................................................4.5.1结果记录......................................................................................................................................4.5.2问题分析......................................................................................................................................4.5.3单元测评结果..............................................................................................................................4.6安全管理制度 ................................................................................................................................4.6.1结果记录......................................................................................................................................4.6.2问题分析......................................................................................................................................4.6.3单元测评结果..............................................................................................................................4.7安全管理机构 ................................................................................................................................4.7.1结果记录......................................................................................................................................4.7.2问题分析......................................................................................................................................4.7.3单元测评结果..............................................................................................................................4.8人员安全管理 ................................................................................................................................4.8.1结果记录......................................................................................................................................4.8.2问题分析......................................................................................................................................4.8.3单元测评结果..............................................................................................................................4.9系统建设管理 ................................................................................................................................4.9.1结果记录......................................................................................................................................4.9.2问题分析......................................................................................................................................4.9.3单元测评结果..............................................................................................................................4.10系统运维管理 ................................................................................................................................4.10.1结果记录......................................................................................................................................4.10.2问题分析......................................................................................................................................4.10.3单元测评结果..............................................................................................................................4.11工具测试........................................................................................................................................4.11.1结果记录......................................................................................................................................4.11.2问题分析...................................................................................................................................... 5等级测评结果 .........................................................................................................................5.1整体测评........................................................................................................................................5.1.1安全控制间安全测评..................................................................................................................5.1.2层面间安全测评..........................................................................................................................5.1.3区域间安全测评..........................................................................................................................5.1.4系统结构安全测评......................................................................................................................5.2测评结果........................................................................................................................................5.3统计图表........................................................................................................................................ 6风险分析和评价.....................................................................................................................6.1安全事件可能性分析.....................................................................................................................6.2安全事件后果分析.........................................................................................................................6.3风险分析和评价 ............................................................................................................................ 7系统安全建设、整改建议....................................................................................................7.1物理安全........................................................................................................................................7.2网络安全........................................................................................................................................7.3主机安全........................................................................................................................................7.4应用安全........................................................................................................................................7.5数据安全及备份恢复.....................................................................................................................7.6安全管理制度 ................................................................................................................................7.7安全管理机构 ................................................................................................................................7.8人员安全管理 ................................................................................................................................7.9系统建设管理 ................................................................................................................................7.10系统运维管理 ................................................................................................................................ 附：信息系统安全等级保护备案表1测评项目概述1.1测评目的描述信息系统的重要性：通过描述信息系统的基本情况，包括运营使用单位的性质，承载的主要业务和系统服务情况，进一步阐明其在国家安全、经济建设、社会生活中的重要程度，受到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等。
信息系统安全等级保护测评报告
信息系统安全等级保护测评报告一、根据相关规范和标准的要求，依据信息系统安全等级保护测评的实施细则，对我司信息系统进行了全面深入的安全等级保护测评。
测试范围包括了我司内部各类信息系统和网络设备，以及外部对接的系统接口和服务。
二、检测结果显示，我司信息系统在整体上安全等级保护良好，但仍存在一些安全风险和隐患。
具体表现为：1. 网络防火墙规则配置不规范，存在风险可导致网络攻击和数据泄露。
2. 部分服务器和终端设备存在未及时更新的安全补丁，存在被攻击的风险。
3. 存在未经授权的外部设备接入内部网络的情况，易导致网络攻击和数据泄露。
4. 存在用户密码管理不规范的情况，易导致账号被盗用或密码泄露。
三、针对上述安全隐患，我们建议采取以下措施进行安全风险治理：1. 对网络防火墙规则进行调整和优化，加强对外部攻击的防范和阻隔。
2. 加强服务器和终端设备的安全管理，及时更新安全补丁，防范漏洞攻击。
3. 加强对内部设备和设备接入的管控，限制外部设备接入内部网络的权限。
4. 强化用户密码管理，推行密码定期更换和复杂度管理，加强账号安全保护。
四、整体而言，我们的信息系统安全等级保护工作具有一定基础，并且具备较强的安全保护意识和风险管理能力。
但仍需持续加强系统安全等级保护管理和监控，及时发现和治理安全风险，确保信息系统的安全可靠性和稳定性。
由于信息系统安全防护工作的重要性和复杂性，我们需要对整个信息系统进行全面梳理和改进。
首先，我们需要建立一个完善的信息系统安全管理体系，包括制定安全策略和规范、建立安全事件应急响应机制、加强安全培训和意识教育等。
其次，加强对系统的持续监测和评估，及时发现系统潜在的安全风险并加以修复。
最后，我们需要提高员工的安全意识和保护能力，建立安全文化，使每一个员工都成为信息系统安全的守护者。
在实施安全等级保护措施时，我们需要确保安全性与便捷性之间的平衡。
因为过于严格的安全策略可能会影响用户的工作效率，降低系统的可用性。
信息安全等级保护测评报告模版
信息安全等级保护测评报告模版嘿，朋友们，今天咱们聊聊信息安全等级保护测评报告。
听起来是不是有点高大上？其实吧，咱们的生活中，信息安全无处不在，就像空气一样，看不见摸不着，但没了可就麻烦了。
想想你的手机，里面存着多少重要的东西，银行信息、通讯记录，还有那珍贵的自拍照。
谁都不想这些东西被人“偷”去，对吧？先说说啥是信息安全等级保护。
简单来说，就是为了保护信息不被坏人拿走、损坏或者泄露，国家专门设定了一套规则。
就像有些地方必须佩戴安全帽、系好安全带，保护措施总是要跟上。
你想，信息安全也得有个“保护罩”，不然就像一只没盖的鸡蛋，随时可能被摔碎。
接下来咱们来聊聊这个测评报告，它就像是个健康检查，给你的信息系统做个全面的“体检”。
通过这些测评，能知道你的信息保护得怎么样，是不是像个坚不可摧的堡垒，还是像个豆腐渣工程。
测评的内容其实挺多的，涉及到设备、网络、应用等等，像个大拼图，缺一不可。
报告里首先得有个概述，告诉大家这次测评的背景、目的和方法。
这就像开场白，给人个大概念。
接着得详细描述一下被测评的系统和环境，这可是重头戏，谁都想知道自己的系统是不是强大无比，或者说“这小子实在不怎么样”。
想象一下，如果你的家有个无敌的安防系统，那真是倍儿有面子，邻居都得羡慕。
然后，得有评估结果，这个部分就像成绩单，真是让人期待又紧张。
系统的安全性、可用性、可靠性……哎呀，听上去有点复杂，但其实就是在说这个系统到底能不能让人放心。
好比你买个新手机，包装好看、功能全，但用起来要是老是卡，那就是白搭。
再接下来就是发现的问题和风险，这部分可得认真看。
没事，发现问题是好事，说明你还在进步。
就像考试时，错题都是学习的机会，找到了问题才能对症下药，解决它。
这就像你穿的新鞋，有时候磨脚，你得找出原因，是鞋太小了，还是袜子没选对。
解决了问题，才能穿得舒舒服服。
最后嘛，报告里得有点建议，这些都是为了让你的信息系统更安全。
就像医生给你开的处方，不能光说“你病了”，还得告诉你怎么治。
信息系统安全等级保护测评报告
信息系统安全等级保护测评报告概述本文档旨在对信息系统的安全等级保护进行测评，为组织提供详细的安全等级评估报告。
通过对信息系统进行分析和评估，可以发现系统中存在的安全风险和漏洞，并提供相应的安全建议和解决方案。
测评方法本次测评采用了以下几种常见的安全评估方法：1.漏洞扫描：使用专业的漏洞扫描工具对系统进行端口扫描和漏洞检测，识别系统中存在的安全漏洞。
2.安全配置审计：通过分析系统的配置文件和日志文件，评估系统的安全配置是否符合最佳实践，识别潜在的配置安全风险。
3.代码审计：对系统的核心代码进行审计，检查代码中是否存在安全漏洞和不安全的编码实践。
4.安全意识培训：通过针对组织内部员工的安全意识培训，提高员工的安全意识和防范能力，减少社交工程等人为因素对系统安全的影响。
5.网络流量分析：对系统的网络流量进行分析，检测是否存在异常的网络行为和入侵攻击。
测评结果经过对信息系统的安全测评，以下是我们得到的主要结论：1.系统存在安全漏洞：通过漏洞扫描工具的测试结果显示，系统中存在多个已知的安全漏洞，这些漏洞可能被攻击者利用来获取系统权限或者篡改系统数据。
2.配置安全风险：部分系统的安全配置未按照最佳实践进行设置，存在潜在的安全风险。
比如，弱密码策略、未开启安全日志记录等。
3.代码安全问题：代码审计发现系统中存在部分代码编写不当的情况，如未对用户输入进行充分的验证和过滤，存在SQL注入和跨站脚本攻击的风险。
4.员工意识不足：安全意识培训结果显示，部分员工对安全意识和操作规范的理解不够，容易受到社交工程等攻击手段的影响。
5.未发现异常网络行为：经过对系统的网络流量进行分析，未发现异常的网络流量和入侵行为。
安全建议和解决方案根据上述测评结果，我们提出以下安全建议和解决方案：1.及时修复漏洞：针对系统中发现的安全漏洞，及时修复并升级相应的软件和组件，以免被攻击者利用。
同时建议定期进行漏洞扫描，及时发现新的漏洞，并进行修复。
信息系统安全等级保护定级报告
信息系统安全等级保护定级报告一、背景介绍。
信息系统安全等级保护定级报告是对信息系统安全等级保护工作开展情况进行全面评估和定级的重要文件，是信息系统安全等级保护工作的总结和反映。
信息系统安全等级保护是指根据国家有关规定，对信息系统按照其所涉密性和重要性进行等级划分，并采取相应的技术、管理和物理安全措施，保障信息系统的安全运行。
二、保护定级报告内容。
1. 保护定级报告的编制依据。
本报告的编制依据是《信息系统安全等级保护管理办法》和《信息系统安全等级保护测评规范》等相关法律法规和标准，以及我单位的实际情况和信息系统安全等级保护工作的要求。
2. 保护定级报告的主要内容。
本报告主要包括信息系统安全等级保护工作的总体情况、安全等级保护的定级依据、安全等级保护的定级结果、存在的问题和建议等内容。
3. 保护定级报告的编制程序。
本报告的编制程序是经过信息系统安全等级保护工作组织开展信息系统安全等级保护工作，对信息系统进行安全等级保护测评，收集相关资料和信息，编制保护定级报告，经相关部门审核后形成最终报告。
4. 保护定级报告的编制要求。
本报告的编制要求是要真实、客观、全面地反映信息系统安全等级保护工作的情况，对信息系统进行全面评估和定级，对存在的问题提出合理建议。
三、保护定级报告的编制程序。
1. 收集相关资料和信息。
信息系统安全等级保护工作组织收集了信息系统的相关资料和信息，包括信息系统的基本情况、安全等级保护的实施情况、安全事件和安全事故的处理情况等。
2. 进行安全等级保护测评。
信息系统安全等级保护工作组织开展了信息系统的安全等级保护测评工作，对信息系统进行了全面的安全等级保护测评，包括对信息系统的安全性能、安全管理、安全技术和安全应急响应能力等方面进行了评估。
3. 编制保护定级报告。
根据收集的相关资料和信息，以及进行的安全等级保护测评结果，信息系统安全等级保护工作组织编制了保护定级报告，对信息系统的安全等级保护工作进行了总结和反映。
中国软件评测中心信息系统安全测评报告
中国软件评测中心信息系统安全测评报告一、前言随着信息技术的飞速发展，信息系统已成为我国经济社会发展的重要支撑。
保障信息系统安全，对于维护国家安全、社会稳定和人民群众利益具有重要意义。
为了全面了解我国信息系统安全状况，提高信息安全防护能力，中国软件评测中心对某单位信息系统进行了安全测评。
二、测评背景1. 测评目的本次测评旨在全面了解某单位信息系统的安全状况，发现潜在的安全风险，为信息系统安全防护提供科学依据。
2. 测评依据测评依据主要包括以下标准：（1）GB/T 222392008《信息安全技术信息系统安全等级保护基本要求》（2）GB/T 250582010《信息安全技术信息安全风险评估规范》（3）ISO/IEC 27001:2013《信息安全管理系统》（4）其他相关法律法规、标准及最佳实践3. 测评范围本次测评范围包括某单位信息系统的硬件设备、软件系统、网络设备、安全设备、管理制度、人员安全意识等方面。
三、测评过程1. 测评准备（1）成立测评团队：由中国软件评测中心抽调具有丰富经验的测评人员组成。
（2）制定测评方案：根据测评目的、依据和范围，制定详细的测评方案。
（3）收集相关信息：收集某单位信息系统的相关资料，包括硬件设备、软件系统、网络设备、安全设备、管理制度等。
2. 测评实施（1）物理安全测评：对信息系统的硬件设备、网络设备等进行物理安全检查。
（2）网络安全测评：对信息系统的网络架构、网络设备、安全设备等进行安全测评。
（3）系统安全测评：对信息系统的操作系统、数据库、中间件等进行安全测评。
（4）应用安全测评：对信息系统的应用程序进行安全测评。
（5）管理制度测评：对信息系统的安全管理制度、应急预案等进行测评。
（6）人员安全意识测评：对信息系统使用人员进行安全意识测评。
3. 测评结果分析根据测评数据，分析信息系统存在的安全风险，形成测评报告。
四、测评发现的安全问题及整改建议1. 物理安全（1）问题描述：部分硬件设备存在损坏、老化现象，可能导致系统运行不稳定。
信息系统安全等级保护测评报告
报告编号：（-16-1303-01）信息系统安全等级测评报告说明：一、每个备案信息系统单独出具测评报告。
二、测评报告编号为四组数据。
各组含义和编码规则如下：第一组为信息系统备案表编号，由2段16位数字组成，可以从公+安机关颁发的信息系统备案证明（或备案回执）上获得。
第1段即备案证明编号的前11位（前6位为受理备案公安机关代码，后5位为受理备案的公安机关给出的备案单位的顺序编号）；第2段即备案证明编号的后5位（系统编号）。
第二组为年份，由2位数字组成。
例如09代表2009年。
第三组为测评机构代码，由四位数字组成。
前两位为省级行政区划数字代码的前两位或行业主管部门编号：00为公安部，11为北京，12为天津，13为河北，14为山西，15为内蒙古，21为辽宁，22为吉林，23为黑龙江，31为上海，32为江苏，33为浙江，34为安徽，35为福建，36为江西，37为山东，41为河南，42为湖北，43为湖南，44为广东，45为广西，46为海南，50为重庆，51为四川，52为贵州，53为云南，54为西藏，61为陕西，62为甘肃，63为青海，64为宁夏，65为新疆，66为新疆兵团。
90为国防科工局，91为电监会，92为教育部。
后两位为公安机关或行业主管部门推荐的测评机构顺序号。
第四组为本年度信息系统测评次数，由两位构成。
例如02表示该信息系统本年度测评2次。
信息系统等级测评基本信息表注：单位代码由受理测评机构备案的公安机关给出。
声明本报告是票务系统的安全等级测评报告。
本报告测评结论的有效性建立在被测评单位提供相关证据的真实性基础之上。
本报告中给出的测评结论仅对被测信息系统当时的安全状态有效。
当测评工作完成后，由于信息系统发生变更而涉及到的系统构成组件（或子系统）都应重新进行等级测评，本报告不再适用。
本报告中给出的测评结论不能作为对信息系统内部署的相关系统构成组件（或产品）的测评结论。
在任何情况下，若需引用本报告中的测评结果或结论都应保持其原有的意义，不得对相关内容擅自进行增加、修改和伪造或掩盖事实。
信息系统安全等级保护测评报告
报告编号：（-16-1303-01）信息系统安全等级测评报告说明：一、每个备案信息系统单独出具测评报告。
二、测评报告编号为四组数据。
各组含义和编码规则如下：第一组为信息系统备案表编号，由2段16位数字组成，可以从公+安机关颁发的信息系统备案证明（或备案回执）上获得。
第1段即备案证明编号的前11位（前6位为受理备案公安机关代码，后5位为受理备案的公安机关给出的备案单位的顺序编号）；第2段即备案证明编号的后5位（系统编号）。
第二组为年份，由2位数字组成。
例如09代表2009年。
第三组为测评机构代码，由四位数字组成。
前两位为省级行政区划数字代码的前两位或行业主管部门编号：00为公安部，11为北京，12为天津，13为河北，14为山西，15为内蒙古，21为辽宁，22为吉林，23为黑龙江，31为上海，32为江苏，33为浙江，34为安徽，35为福建，36为江西，37为山东，41为河南，42为湖北，43为湖南，44为广东，45为广西，46为海南，50为重庆，51为四川，52为贵州，53为云南，54为西藏，61为陕西，62为甘肃，63为青海，64为宁夏，65为新疆，66为新疆兵团。
90为国防科工局，91为电监会，92为教育部。
后两位为公安机关或行业主管部门推荐的测评机构顺序号。
第四组为本年度信息系统测评次数，由两位构成。
例如02表示该信息系统本年度测评2次。
信息系统等级测评基本信息表注：单位代码由受理测评机构备案的公安机关给出。
声明本报告是票务系统的安全等级测评报告。
本报告测评结论的有效性建立在被测评单位提供相关证据的真实性基础之上。
本报告中给出的测评结论仅对被测信息系统当时的安全状态有效。
当测评工作完成后，由于信息系统发生变更而涉及到的系统构成组件（或子系统）都应重新进行等级测评，本报告不再适用。
本报告中给出的测评结论不能作为对信息系统内部署的相关系统构成组件（或产品）的测评结论。
在任何情况下，若需引用本报告中的测评结果或结论都应保持其原有的意义，不得对相关内容擅自进行增加、修改和伪造或掩盖事实。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
报告编号：（-16—1303—01）信息系统安全等级测评报告说明：一、每个备案信息系统单独出具测评报告.二、测评报告编号为四组数据。
各组含义和编码规则如下:第一组为信息系统备案表编号,由2段16位数字组成，可以从公+安机关颁发的信息系统备案证明(或备案回执）上获得。
第1段即备案证明编号的前11位（前6位为受理备案公安机关代码,后5位为受理备案的公安机关给出的备案单位的顺序编号);第2段即备案证明编号的后5位（系统编号）。
第二组为年份，由2位数字组成.例如09代表2009年。
第三组为测评机构代码，由四位数字组成.前两位为省级行政区划数字代码的前两位或行业主管部门编号:00为公安部，11为北京,12为天津,13为河北，14为山西，15为内蒙古，21为辽宁，22为吉林,23为黑龙江,31为上海，32为江苏,33为浙江，34为安徽，35为福建，36为江西，37为山东，41为河南，42为湖北，43为湖南,44为广东,45为广西，46为海南，50为重庆,51为四川，52为贵州，53为云南，54为西藏，61为陕西，62为甘肃，63为青海，64为宁夏，65为新疆，66为新疆兵团.90为国防科工局，91为电监会，92为教育部.后两位为公安机关或行业主管部门推荐的测评机构顺序号。
第四组为本年度信息系统测评次数，由两位构成。
例如02表示该信息系统本年度测评2次。
信息系统等级测评基本信息表注:单位代码由受理测评机构备案的公安机关给出.声明本报告是票务系统的安全等级测评报告。
本报告测评结论的有效性建立在被测评单位提供相关证据的真实性基础之上。
本报告中给出的测评结论仅对被测信息系统当时的安全状态有效.当测评工作完成后，由于信息系统发生变更而涉及到的系统构成组件（或子系统）都应重新进行等级测评，本报告不再适用。
本报告中给出的测评结论不能作为对信息系统内部署的相关系统构成组件(或产品）的测评结论。
在任何情况下,若需引用本报告中的测评结果或结论都应保持其原有的意义,不得对相关内容擅自进行增加、修改和伪造或掩盖事实。
等级测评结论[2015版]总体评价1、基础设施与网络环境票务系统相关设备部署于指挥中心机房，该机房按照国家机房相关标准建设,具备防风、防雨、防震等能力，未出现雨水渗透，屋顶、墙体、地面等破损开裂等情况，在物理访问控制方面配备门禁系统，能够鉴别和控制人员出入，并配有视频监控系统，能够对机房内主要区域进行实时监控,主机房与配电室隔离，通信线缆与供电线缆隔离铺设，避免了电磁干扰，配备两台艾默生精密空调，能够对机房温湿度进行控制,同时配有环境检测系统，实时检测机房环境并提供报警功能.网络环境先对简单，电信联通双线接入,网络边界配有两台防火墙作为边界防护，通过两台核心交换做内部数据交换.2、安全责任制该系统的运营维护全部由厂商负责,厂商项目部成立了信息安全领导小组，负责信息安全工作的指导和管理,项目部设有系统管理员、网络管理员、安全管理员等重要岗位,且安全管理员为专职，通过值班体系对驻场人员进行调配,并形成了有效的汇报沟通机制。
同时甲方也有专人对厂商的运营维护情况进行监督。
3、技术机制在机房保障机制方面，该系统配备双通信线路接入，保证网络通畅，同时边界防火墙、核心交换机、应用服务器、数据库服务器均双机热备部署，并配有存储设备存储业务数据，同时配备备份服务器对主要数据、配置文件和日志文件等进行备份，提供设备冗余，保证系统的可用性.在安全策略方面网络设备、主机、应用系统在身份验证方面身份标识唯一，密码满足复杂度要求，并定期更换，但仅采用用户名密码方式进行身份验证;在访问控制方面，根据用户角色进行了权限划分,授予用户所需的最小权限；在安全审计方面，网络设备、主机、应用系统配置都相对完善，日志记录信息基本满足要求；另外厂家技术工程师驻场维护,保障系统安全稳定的运行。
4、监测预警及应急保障监测预警方面厂家工程师通过软件可监控网络设备、服务器、软件的运行状态,并提供报警功能。
通过对日志进行分析发现系统出现的异常情况及时处置，并定期由工程师对设备进行巡检。
应急保障方面厂家在系统设计之初就通过双线路、双击热备、存储设备等方式保证系统的可用性，同时安排工程师驻场维护,已应对突发事件，但未根据相关规定对计算机安全事件进行等级划分，发生安全事件采取何种处置措施不明确，不利于安全事件的及时处理。
综上所述，被测票务系统基本符合第三级信息系统等级保护的安全要求，但还存在个别问题，希望在安全建设整改中继续完善。
主要安全问题票务系统存在的主要安全问题:1.安全管理方面1)未成立指导和管理信息安全工作的领导小组；2)全员统一考核，未针对关键岗位考核；3)厂商内部对系统进行安全性测试，未委托第三方测试单位对系统进行测试；4)由信息化部控制机房的人员出入和物品带进带出,暂时缺少机房管理制度；5)未建立安全管理中心集中管理，厂商工程师通过不同的方式对设备状态、恶意代码、补丁升级、安全审计等事项进行管理；6)未对安全事件划分等级管理；7)暂未制定应急预案，未进行应急预案培训和应急演练；2.物理安全方面1)机房窗户没有做密封处理,不能防止雨水通过机房窗户、屋顶和墙壁渗透；3.网络安全方面1)未部署入侵检测设备，仅通过防火强异常日志记录，然后人为判断异常行为份;2)网络边界未配置恶意代码检测设备,仅通过防火墙做策略防护；3)没有对网络设备运行状况、网络流量进行监控，可以对用户操作进行日志记录，日志文件存储于设备本地，覆盖式存储，且无审计报表；4)网络及安全设备仅采用用户名密码一种身份鉴别方式；5)没有技术手段防止地址欺骗，不能防止从内部网络发起的网络攻击和对重要主机的地址欺骗；6)远程管理采用telnet明文协议；4.主机安全方面1)仅使用账号、密码登录系统，未实现两种及以上鉴别技术对管理用户进行身份鉴别；2)主机安装赛门铁克杀毒软件,网络暂时没有启用防恶意代码设备；3)终端安装有360杀毒，网络没有防恶意代码设备;4)系统存在多余账户，没有共享账户存在；5)数据库版本为sql server2012企业版，遵循最小安装原则，没有开放多余端口，补丁不会定期进行更新；5.应用安全方面1)仅使用账号密码登录，没有使用两种及以上方式进行身份鉴别；2)有用户名唯一鉴别功能，用户名没有设置复杂度要求；3)已启用身份鉴别，用户身份标识唯一，用户身份鉴别信息复杂度不满足要求,开启登录失败处理功能；4)修改密码时,新设定的密码与旧密码可以相同，不符合要求；5)审计记录不能筛选,不能生成审计报表进行分析。
6.数据安全方面1)数据信息没有进行异地备份；整改建议1.安全管理方面的整改建议1)建议设立指导和管理信息安全工作的委员会或领导小组,其最高领导是否由单位主管领导委任或授权的人员担任；明确信息安全管理委员会或领导小组职责；2)建议对关键岗位的人员进行全面、严格的安全审查和技能考核；3)建议安排专门的部门负责测试验收工作,并委托公正的第三方测试机构对信息系统进行独立的安全性测试报告；4)建议对相关机房管理制度对机房物理访问、物品带进、带出机房和机房环境安全等方面的管理作出规定，且相关制度建议张贴在明显可见的位置；5)应对设备状态、恶意代码、补丁升级、安全审计等安全相关事项进行集中管理，应对集中管理的检测记录文档，文档应包括检测内容、检测人员、检测结果和时间等;6)建议根据本系统已发生的和需要防止发生的安全事件对系统的影响程度划分不同等级，划分为几级，划分方法应参照了国家相关管理部门的技术资料，主要参照哪些；7)建议在统一的应急预案框架下制定不同事件的应急预案，应急预案框架应包括启动应急预案的条件、应急处理流程、系统恢复流程、事后教育和培训等内容；8)建议对相关人员进行应急预案培训，制作应急预案培训记录，记录应包括培训内容、培训对象、培训效果和培训时间等。
9)建议定期对应急预案作演练，对各应急预案做演练记录，记录内容应包括演练周期、演练内容、参加演练人员、演练效果和演练时间等；2.物理安全方面的整改建议1)建议将窗户做密闭处理，防止雨水渗透进入机房;3.网络安全方面的整改建议1)建议在网络边界部署入侵检测设备，开启日志记录，对入侵行为进行检测记录,当发生攻击时及时报警；2)建议在网络边界部署恶意代码检测设备，对进入网络的流量进行恶意代码检测，及时发现清除;3)建议通过第三方设备或软件对设备的运行状况、流量等进行监控，并对日志文件定期分析生成审计报表。
设备日志文件建议备份至日志服务器，避免为预期的修改或删除；4)采用口令+数字证书、口令+硬件令牌等双因子鉴别方式,或采用堡垒机的方式管理设备；5)在技术条件允许的前提下,对重要网段上的主机等设备设置网络层和数据链路层地址绑定;6)建议关闭设备远程管理或采用SSH等加密协议进行远程管理。
4.主机安全方面的整改建议1)建议改造操作系统和数据库登录控制模块，使之采用两种组合的鉴别技术对用户进行身份鉴别，如同时采用用户名/口令和数字证书的认证方式；或采用身份认证服务器和双因子鉴别服务器或采用堡垒机登录方式；2)建议安装部署入侵检测设备，当网络受到攻击时能提供报警功能；3)建议网络防恶意代码与主机防恶意代码软件异构部署;4)建议删除多余的过期的账号，不要多人共用一个管理账号；5)对服务器和数据库的日志进行分析，定期导出生成审计报表，或在网络上部署第三方日志分析软件或第三方集中审计平台;6)建议定期对数据库进行补丁更新,防止黑客利用漏洞对数据库造成威胁。
5.应用安全方面的整改建议1)建议身份验证采用口令+数字证书、口令+硬件令牌等双因子鉴别方式;2)建议配置用户名唯一性鉴别功能，以及用户名复杂度设置策略；3)建议设置用户名复杂度策略，使用户名具有复杂度,防止受到恶意攻击；4)建议配置相关策略，使系统用户修改密码时，设置旧密码不可与新密码相同；5)建议部署第三方日志分析软件或第三方集中审计平台，能对审计记录进行筛选。
6.数据安全方面的整改建议1)建议建立异地备份中心，定期将重要数据传至备用场地；目录等级测评结论 (I)总体评价 (II)主要安全问题 .............................................................................................................................................. I V 整改建议 ...................................................................................................................................................... V I 1测评项目概述. (1)1。