广电BOSS系统-等级保护测评整改方案

1、数字电视综合运营支撑（BOSS）系统等级保护整改方案000000000002014年12月一、概述 .1二、系统现状 .12.1数字电视综合运营支撑(BOSS)系统.12.1.1系统描述 .12.1.2系统拓扑图 .12.1.3系统构成 .22.1.4系统测评结论 .3三、整改依据 .4四、整改内容 .54.1数字电视综合运营支撑(BOSS)系统 .54.1.1物理安全 .54.1.2基础网络安全 .54.1.3边界安全 .64.1.4主机安全 .74.1.5总要求 .94.1.6安全管理机构 .104.1.7人员安全管理 . 124.1.8系统建设管理 .134.1.9系统运维管理 . 15

2、五、方案总结 .20附件一：设备清单汇总.22附件二：管理制度及表单条目清单 .23概述信息安全等级保护是国家信息安全保障的基本制度、基本策略、基本方法，开展信 息安全等级保护工作是保护信息化发展、维护国家信息安全的根本保障。实施信息安全 等级保护制度，信息系统运营使用单位和主管部门能按照标准进行安全建设、整改，信 息系统安全也有了一个衡量尺度。信息系统根据其在国家安全、经济建设、社会生活中 的重要程度，遭到破坏后对国家安全、社 会秩序、公共利益以及公民、法人和其他组织 的合法权益的危害程度分成五个安全保护等级（从第一级到第五级逐级增高）。本方案主要针对00000000000言息系统的现状，依

3、据00000000000言息系统 等级保 护评测工作的广播数字全自动播出信息系统等级保护定级报告、数字电视综合运 营支撑（BOSS）系统等级保护测评报告、的现有的状况和等保相关要求差距进一步深 入分析，并以满足等保需求为基础,对00000000000言息系统的建设整改进行规划设 计。二、系统现状2.1数字电视综合运营支撑（BOSS）系统2.1.1系统描述BOSS系统业务信息包括：数字电视客户基本资料（姓名、地址、电话等），缴费记 录、授权情况、欠费信息、机顶盒设备信息等。0000000000 （为该信息系统定级的责任单位，该系统已被定级为三级（S2A2G2） o2.1.2系统拓扑图核心设备部署

4、了中兴通信的ZXR108908万兆路由交换机，19个乡镇以及城区汇聚节点均部署ZXR108905万兆路由交换机。具体网络拓扑如下图所示：ZTK C220ZXEIO KWS四明山2.1.3系统构成1）业务应用软件表4 00000000000信息系统业务应用软件序号软件名称主要功能数字电视综合运营支撑（BOSS主要完成数字电视用户信息的录入、更新、认证、1系统授权、计费等功能2）主机/存储设备表5 00000000000信息系统主机/存储设备序号设备名称操作系统/数据库管理系统1收费工作站PCWin dows XP/-2数据库服务器1IBM X3650 M3SOLARIS/ Oracle3数据库服

5、务器2IBM X3650 M3SOLARIS/ Oracle4接口服务器IBM X3650 M3Li nux/“泗门幢*佰俺舸-年山金J心魏线广顒BRASIns 临 A99H2x lodainu Esuitifcr电申右XXK10 HUM广中也RIO 8M)8BJIJNIPEE naeo密4SHrieMSMz2XiDD-Xlkv-izmo U9QS图1 00000000000信息系统网络拓扑序号设备名称操作系统/数据库管理系统5测试服务器IBM X3650 M3Li nux/-6测试服务器IBM X3650 M3Li nux/“7认证服务器IBM X3650 M3Li nux/“8认证服务器2

6、IBM X3650 M3Li nux/“3）网络互联设备表6 00000000000信息系统网络互联设备序号设备名称用途1中兴 ZXR10 8908核心交换机2中兴 ZXR10 8908汇聚交换机2-1-4系统测评结论等级测评结论为基本符合”差距项分布如下表所示:咅4 40 00 02 20 00 0界 边0 03 30 0nihn艮3 31 10 0应5 51 10 0技术要求居 数1 10 00 0总0 00 00 0安5 50 00 0二 人4 41 10 0nn0 00 0管理要求0 01 12 20 0整改依据1) GB 17859-1999信息安全技术计算机信息系统安全保护等级划分

7、准则；2)广播电视相关信息系统安全等级保护基本要求(GD/J038-2011)3)广播电视相关信息系统安全等级保护测评要求(GD/J044-2012 ；4)信息系统安全等级保护定级报告；5)数字电视综合运营支撑( (BOSS)系统安全等级保护测评报告；四、整改内容4.1数字电视综合运营支撑（BOSS）系统4.1.1物理安全1.相关要求及依据详见GD/J038-201有关物理安全要求。为满足要求，通过部署防盗报警系统及火灾自动报警系统和灭火系统，开展机房运维管理和环境管理，提高机房 的安全性。2.安全现状及整改措施类别测评内容结果记录涉及资产符合情况整改措施物理访问控制b）需进入播出机房的来访

8、人员应经过申请和审 批流 程，并限制和监控其活动范 帀O进入机房由专人陪同，缺少来 访人员进入机房的审批记录部分符 合设置来访人员进行机房审批记录防盗 窃和 防破 坏C）应利用光、电等技术设 置机房防盗报警系统；机房缺少防盗报警系统不符合部署防盗报警系统b）机房应有防水防潮措 施，应充分考虑水管泄漏和 凝露的可能性，并做好相应 的预防措施；机房窗户缺少防水防渗处理， 机房的窗户、屋顶和墙 壁未出现 漏水、渗透和返潮现象，机房内 空调排水管进 行加固防渗、防漏 处理，机 房空调具有除湿功能， 缺少防水防潮处理记录不符合定期开展机房运维和环境管理机房环 境d）机房应设置温、湿度自 动调节设施，使机

9、房温、湿 度的变化在设备运行所允许 的范围之内；机房内具有专业空调，可对 机 房内温度进行自动调节，具有空 调定期检查和维护记录，缺少机 房湿度控制设置部分符厶增加机房湿度调节 设施机房消防设施b）机房应设置火灾自动消 防系统，能够自动检测火 情、自动报警，并自动灭 火；机房内具有日常值守人员，机 房具有干粉火火器，缺少自动灭 火设备部分符 合部署火灾自动报警 系统和自动灭火系 统4.1.2基础网络安全1.相关要求及依据详见GD/J038-201有关基础网络安全要求。为满足要求，通过部署动态令牌及日志服务器并完善设备基本配置要求,定期开展设备维护,达到基础网络安全要求。2.安全现状及整改措施类

10、别测评内容结果记录涉及资产符合情况整改措施C）应保护审计记录，避免 受到未预期的删除、修 改或 覆盖等，审计记录至少保存 90天；缺少对审计日志进行必要保护交换机不符 合对日志进行集屮管 理，定期进行分析安全审计d）应疋期对审计记录进行 分析，以便及时发现异常行 为；未定期对审计记录进行分析交换机不符 合对FI志进行集屮管 理，定期进行分析网络 设备 防护e）当对网络设备进行远程 管理时，应釆用HTTPS SSH等安全的远程管理手段，防止用户身份 鉴别信息在网络传输过程屮远程管理设备时采用telnet方式进行交换机不符 合采用SSH远程管理4.1.3边界安全3.相关要求及依据详见GD/J038

11、-2011有关边界安全要求。为满足要求，通过修改配置，设置日志集中管理并定期分析，提供边界安全性。4.安全现状及整改措施类别测评内容结果记录涉及资产符合情况整改措施恶意 代码 防范a）应在信息系统的网络边 界处进行恶意代码检测和清 除，并维护恶意代码库的升 级和检测系统的更新，播出 整备系统、播出系统等播出BOSS系统在边界处 未 设置恶意代码防范措施不符 合在网络边界部署恶意代码防范设备接相关系统的边界可根据需 要进行部署b）防恶意代码产品应与信 息系统内部防恶意代码产品 具有不同的恶意代码库BOSS系统在边界处 未 设置恶意代码防范措施不符 合入侵防范a）应在信息系统的网络边 界处监视以下

12、攻击行 为：端 口扫描、强力攻击、木马后 门攻击、拒 绝服务攻击、缓 冲区溢出攻击、IP碎片攻击 和网络蠕虫攻击等，播出 整备系统、播出系统等信息 系统的边界可根据需要进行 部署BOSS系统在边界处未 设置入侵防御措施不符 合在网络边界部署入侵防范设备a）应在与外部网络连接的 网络边界处进行数据通信行 为审计BOSS系统与CA系统、VOD、营业厅相 连，缺少对系统网络边 界处进行数据通信的行 为进行审计不符 合b）审计记录应包括事件的 日期、时间、用户名、IP地 址、事件类型、事件是否成 功等BOSS系统与CA系 统、VOD、营业厅相 连，缺少对系统网络边 界处进行数据通信的行 为进行审计不符

13、4C）应保护审计记录，避免 受到未预期的删除、修改或 覆盖等，审计记录至少保存 90天BOSS系统与CA系 统、VOD、营业厅相 连，缺少对系统网络边 界处进行数据通信的行 为进行审计不符 合安全 审d）应疋期对审计记录进行 分析，以便及时发现异常行 为BOSS系统与CA系统、VOD、营业厅相 连，缺少对系统网络边 界处进行数据通信的行 为进行审计不符 合在与外部网络连接 的网络边界处进行 数据通信行为审 计,并对审计日志 进行集中管理和日 常分析4.1.4主机安全1 相关要求及依据详见GD/J038-201有关主机要求。为满足要求,通过修改主机安全配置，设置登陆口令复杂度限制、登陆失败措施、

14、开启安全审计、定期升级系统和打补丁，提高主机操作系统和数据库的安全性。2.安全现状及整改措施类别测评内容结果记录涉及资产符合情况整改措施a）应对登录操作系统和数 据库系统的用户进行身份标 识和鉴别，应为不同用户分 配不同的用户名，不能多人 使用同一用户名；技术部多人使用冋一管 理贝账户，不冋用户未 分配不同的用户名收费工作站数据库服务器 接口服务器测试服务器2认证服务器2数据库系统不符 合每个自然人对应使 用一个账户，避免 账户共享情况b）操作系统和数据库系统管理 用户身份标识应具有不易被 冒用的特点，口令应有复杂 度要求并定期更换；操作系统缺少口令长 度、更新周期、复杂性 限制收费工作站数据

15、库服务器12接口服务器测试服务器2认证服务器2数据库系统2数字电视综合运 营支撑（BOSS系统不符 合对操作系统和数据 库配置用户口令有 效期的强制提醒与 更新功能，使口令 设置时系统具有复 杂度检查和长度限 制c）应启用登录失败处理 功 能，可采取结束会话、限制 非法登录次数和自动退出等 措施；操作系统未启用登录失败处理功能收费工作站数据库服务器12接口服务器测试服务器2认证服务器2数据库系统数字电视综合运营支撑（BOSS系统不符 合启用登录失败处理 功能，口令尝试超 过规定次数锁定账 户身份 鉴别c）应实现操作系统和数据 库系统特权用户的权限分 离；操作系统和数据库管理 员由同一人担任，权

16、限 未分离数据库系统12不符 合为操作系统管理员 和数据库管理员岗 位配备不同的人 员，同时补充相应 人员岗位职责安全审计a）安全审计应覆盖至ij服务 器和重要客户端上的每个操 作系统用户和数据库用户；审计功能未开启或审计 不全面，未定期对审计 记录进行分析数据库服务器12接口服务器测试服务器2认证服务器2数据库系统不符 合启用本地安全审计 功能或部署堡垒机 等第二方审计系 统，审计策略配置 登录登出、权限变 更、重要文件增删 行为等事件内容入侵防范a）操作系统遵循最小安装 的原则，仅安装需要的组件 和应用程序，并系统补未及时升级收费工作站数据库服务器 接I 1服务器不符 合通过设置专门的升

17、级服务器等方式保 持对操作系通过设置升级服务器等方式 保持系统补丁及时得到更新测试服务器7/2认证服务器7/2数据库系统统安全补丁的及时 更新，并补充完善 相关系统升级制度 和升级记录恶意代 码防范应部署具有统一管理功能的 防恶意代码软件，并定期更 新防恶意代码 软件版本和恶 意代码库；新闻制播系统、 播出整备系统、播出系统 等播出直接相关系统的核心 服务器可根据需要进行部署 和更新。操作系统未部署具有 统一管理功能的防恶意 代码软件收费工作站数据库服务器层 接口服务器测试服务器7/2认证服务器7/2数据库系统不符 合建议操作系统安装 企业版或网络版杀 毒软件进行统一管 理4.1.5总要求1.

18、相关要求及依据详见GD/J038-201有关总要求。为满足要求，制定信息安全工作的总体方针和安全策略管理制度和操作规程安全管理制度体系等制度达到目的或检查要求。2.安全现状及整改措施类别测评内容结果记录涉及资产符合情况整改措施a）应制定信息安全工作的总 体方针和安全策略，说明安 全工作的总体目标、范围、原 则和安全框架等；缺少信息安全工作的总体方针和安全策略文件/不符 合补充信息安全工作的总体 方针和安全策略，主要内 容包括机构安全工作的总体 目标、范围、方针、原则、 和安全框架总要求b）应成立指导和管理信息安 全工作的领导小组，设立信 息安全管理工作的职能部 H；00000000000关于成

19、立信 息安全保护工作的通知余 广电2012 42号，明确成立了信息安全 工作的领导小组，但 未设 立信息安全官理工作的职 能部门/部分符合补充信息安全管理工作的 职能部门，并明确职能部 门的职责c）应制定各项信息安全制度 和操作规程，明确信息安全 管理各项要 求，形成由安全 方针、管理制度、细化流程等 构成的全面的信息安全管理 制度体系,使等级缺少各项安全管理制度文档，缺少全面的信息安全管理制度体系/不符厶制定各项安全管理制度和操 作规程制定信息安全管理制度体系 文件，制度体系由总体方 针、安全策略、管理制度、 操作规程等构成保护工作常态化、制度化。4.1.6安全管理机构1.相关要求及依据详见

20、GD/J038-201有关管理机构要求。为满足要求，系统管理审批管理制度、系统管理审批记录、安全检查制度、安全检查管理制 度和补充完善岗位职责、安全检查记录等制度，保障系统的安全。2.安全现状及整改措施类别测评内容结果记录涉及资产符合情况整改措施b）应设立信息安全管理工 作的职能部门，负责信息安 全各项工作的组 织和落实， 配备专职安全管理员；设立信息安全组织机构， 负责信息安全各项工作的 组织和落实未配备专职的 安全管理员/部分符合补充冈位职责，明确安全管 理员的职责，配备专职 的安 全管理员b）应设立信息安全管理工 作的职能部门，负责信息安 全各项工作的组 织和落实， 配备专职安全管理员；

21、未设立信息安全组织机构未配备专职的安全管理员/不符 合设立信息安全组织机构，明 确机构的职责，配备专职的 安全管理员岗位设置d）应制定文件明确安全管 理机构各个部门和岗位的职 责。缺少职能部门的职责和岗 位职责文件/不符 合补充部门职责和岗位职责， 主要内容包括：安全主管、 各个方面的负责人的岗位职 责的具体设置，主要内容包 括：网络管理员、机房管理 员、系统管理员、安全管理 员、数据库管理员、审计 员、应用系统管理员等岗位 的具体设置，并清晰、明确 各个岗位的职责范围授权和审批b）应针对系统变更、重要 操作、物理访问和系统接入 等事项建立审批程序，按照 审批程序执行审批过程，对 重要活 动建

22、立逐级审批制 度；缺少审批管理制度（系统 变更、重要操作、物理访 问和系统接入等事项）， 缺少逐级审批的文档/不符 合增加系统管理审批管理制 度:主要内容包括明确对 系统投入运行、网络系统接 入和重要资源的访 冋、变更 管理、产品米购 等关键活动 的审批部门和批准人进行规 定，明确审批流程C）应定期审查审批事项， 及时更新需授权和审批的项 目、审批部门和审 批人等信 息；缺少审批管理制度文档/不符 合d）应记录审批过程并保存 审批文档。缺少关键活动的审批过程记录/不符 合增加逐级审批的文档对 审批过程进行记录，增加审批事项的审杳记录， 包括审批事项、审批部门、 审批人的变更进行评审等内 容，对

23、关键活动的审批进行 记录a）应加强各类管理人员Z 间、组织内部机构之间以及 信息安全职能部门内部的合 作与沟通，定期或不定期召 开协调会议，共同协作处理 信息安全问题；不定期召开协调会议，电 话、邮件、当面沟通，沟 通内容历史问题的解决， 缺少组织内部机构 之间以 及信息安全职能部门内部 的安全工作会议文件，经 检杳，通讯录，明确了组 织机构内部人员联系农/部分符合增加会议纪要，包括组 织内部机构之间以及信息安 全职能部门内部的安全工作 会议文件沟通和合作b）应加强与系统内外相关 工作单位的合作与沟通，确 保信息安全各项工作的顺利 开展；与信息内外相关工作单位 建立了沟通与合作机构， 邮件、电

24、话进行联系，包 括业务，安全等，但缺少 单独的工作文件 或记录/部分符合增加会议纪要，包括与 系统内外相关工作单位的合 作与沟通的记录a）安全管理员应负责定期 进行信息安全检查，检查内 容包括系统日常运行、系统 漏洞和数据备份等情况；1个月检杳一次，包括日 常运行、备份等，未包括 漏洞检杳，经检杳，缺少 安全检查的记录或报告/部分符合补充安全检杳记录，明 确检杳的周期，检杳的内容 包括系统日常运行、系统漏 洞和数据备b）应定期进行全面信息安 全检杳检杳内容包 括现有 安全技术措施的有效性、安 全配置与安全策略的一致 性、安全管理制度的执行情 况等；对信息系统未进行全面的 安全检查，缺少安全检查

25、 管理制度/不符 合增加安全检杳制度，明 确检杳内容包括技术措施有 效性和安全管理制度执行情 况等方面；增加安全检杳 文档，明确了定期进行全 面安全检杳，明确了检杳内 容等审核和 检查c）信息安全主管部门应制 定安全检查表格实施安全检 查，汇总安全检杳数据，形 成安全检杳报告，并对安全 检查结果进行通报。缺少全面的安全检查缺 少全面的安全检查报告/不符 合增加安全检查报告安 全检杳时的安全检杳表结果通告记录，包括检 杳内容、检杳时间、检杳人 员、检杳数据汇总表、检杳 结果等内容的描述制度管理a）应建立信息安全管理制 度、操作规程等从访缺少各项安全管理制度（访问控制、系统设计、/部分 符合增加各

26、项安全管理制 度，明确访问控制、系统问控制、系统设计、系统建 设、系统验收、系统运维、 应急处置、人员管理、文件 档案管理、审核检查等方面 规范各项信息安全管理工 作；系统建设、系统验收、系 统运维、应急处曽、人员 管理、文件档案管理、审 核检查等方面）设计、系统建设、系统验 收、系统运维、人员管理、 文件档案管理、审核检查等 方面b）信息安全管理部门负责 制定信息安全管理制度和操 作规程，并进行版本控制；缺少安全管理制度文档/不符 合增加安全管理制度文 档，规范制度的版本管理C）应组织专豕和相关部 门 人员对安全管理制度和操作 规程进行论证和 审定，并定 期对其合理性和适用性进行 审定，根据

27、需要进行修订；不定期对其合理性和适用 性进行审定，根据需要进 行修订缺少管理制度评审记录/部分符合增加管理制度评审记 录，包括评审内容、评审 周期、参加人员和评审等4/L7人员安全管理1.相关要求及依据详见GD/J038-201有关人员安全管理要求。为满足要求，通过制定保密协议、岗位安全协议、人员离职管理制度、离岗人员交 接记录外来人员访问管理制度、外部人员访问重要区域的批准文档、外部人员访问 重要区域的登记记录等人员管理制度，保障系统的安全。2.安全现状及整改措施类别测评内容结果记录涉及资产符合情况整改措施人员上岗b）应签署保密协议和岗位 安全协议。对从事关键岗位的人员未 签署保密协议和岗位

28、安全 协议/不符厶增加保密协议，对关键 岗位的人员签署保密协议， 包括安全责任、违约 责任、 协议的有效期限和责任人签 字等内容增加岗位安全协 议，包括安全责任、违约 责任、协议的有效期限和责 任人签字等内容a）应规范人员离岗过程， 及时终止离岗员工的所有访 问权限；缺少人员离岗管理制度/不符 合增加人员离岗管理制 度，包括规范人员离岗过 程，及时终止离岗员工的所 有访问权限等内容人员离岗b）应取回各种身份证缺少人员交接记录/不符增加离冈手续记录表件、钥匙、徽章等以及单位 提供的软硬件设备；交接手续登记表，取回 离岗人员的各种身份证件、 钥匙、徽章等以及机构提供 的软硬件设备等C）应办理严格的

29、调离手 续，关键岗位人员离岗须承 诺调离后的保密义增加保密承诺文档，明 确要求关键岗位调离人员承 诺相关保密义务后方务后方可离开。缺少人员调离记录，缺少 离职人员的保密承诺文档/不符 合可离开b）应对信息安全各相关岗 位的人员定期进行安全技 能、政策及安全认知的考 核；年度考核记录，未包括 安全技能和安全知识的 考核/部分 符合补充人员安全技术考核制 度、人员考核记录， 考核的内容包括安全技能及 安全认知等培训与 考核c）应对信息安全培训和考 核情况进行记录并保存。缺少安全教育和培训记录/不符 合增加安全教育和培训记 录，包括培训时间、地点、 参与人员、培训内容、培训 结果等a）应确保在外部人

30、员访问 受控区域前先提出书面申 请，得到授权或审批，批准 后由专人全程陪同或监督， 并登记备案；访冋受控区域前经过相关 人员的批准，同意后有专 人陪冋，缺少外部人员访 问重要区域的批准文档， 缺少外部人员访问重要区 域的登记记录/部分 符合增加外部人员访问重要区 域的批准文档、外部 人 员访问重要区域的登记记 录，主要内容明确对外部 人员访问机房等重要区域应 经相关部门或负责人批准， 明确外部人员访问的范围、 外部人员进入的条件、外部 人员进入的访问控制措施外部人 员访问管理b）对外部人员允许访问的 区域、系统、设备、信息等 内容应进行书面的规定，并 按照规定执行。缺少外部人员访问管理制 度/

31、不符 合增加外来人员访问管理制 度，明确允许外部人员访 问的范围，外部人员进 入的 条件，外部人员进入的访问 控制措施等；对允许外部人 员访问的区域、系统、设备 和信息等进行明确规定4.1.8系统建设管理1.相关要求及依据 详见GD/J038-201有关系统建设管理要求。为满足要求，我们通过增加安全设计方案、工程实施文档、测试验收文档、方案评审记录、软件开发管理规范和系统交付清单等方式来加强系统的安全。2.安全现状及整改措施类别测评内容结果记录涉及资产符合 情况整改措施a）根据信息系统的等级划 分情况，应由专门的部门对 信息系统的安全建设进行总 体规划，统考虑信息安全保 障体系的总体安全策略、

32、安 全技术框架、安全管理策 略、总体建设规划、远期和 近期建设计划等；技术运维部负责信息系统 的总体规划，经检查，缺 少系统总体安全策略、安 全技术框架、安全管理策 略、总体建设规划、详细 设计方案、近期安全建设 计划和远期安全建设计划 等配套文件/部分符合增加总体安全策略，内 容包括近期安全建设计划和 远期安全建设计划配套文 件，增加信息系统建设的 配套文件，包括 安全技术 框架、安全管理策略、总体 建设规划、详细设计方案b）应根据国家和行业标 准、规范合理设计信息系统 的信息安全方案和策略，制 定详细的建设万案；缺少信息系统的信息安全 方案和策略，缺少详细的 建设方案/部分符合增加系统安全

33、方案和策 略详细设计方案和策 略C）应组织相关部门和有关 安全技术匕家对信息安全的 规划、建设方案等进行论证 和审定，并 且经过批准后， 才能正式实施；缺少配套文件的专家论证 文档/不符厶安全万案设计d）应根据等级测评、安全 评估的结果调整和修订信息 安全的规划、建设方案等。缺少配套文件的修订文档/不符厶对安全方案组织专家 评 审并形成方案评审记 录:对配套文件进行维护 记录形成维护记录b）应在软件安装之前检测 软件包中可能存在的恶意代 码；软件安装之前未检测软件 包屮可能存在的恶意 代码/不符 合软件安装Z前检测软件包中 可能存在的恶意代码增加恶意代码检测记录c）应要求开发单位提供软 件设计

34、的相关文档和使用指 南；未提供软件设计的相关文 档和使用指南（需求分析 说明书、软件设计说明 书、软件操作手册、软件 源代码文档等）/不符合增加软件设计的相关文档 和使用指南，包括需求分 析说明书、软件设计说明 书、软件操作手册、软件源 代码文档等外包软件开发d）应要求开发单位提供软 件源代码，并审查软件屮可 能存在的后门漏洞等。缺少软件源代码审查记 录/不符 合增加源代码审查记录， 包括软件屮可能存在的后门 漏洞等内容工程实施b）应制定详细的工程实施 方案控制实施过程，并要求 工程实施单位能正式地执行 安全工程过未提供工程实施方案，未 提供阶段性实施文档/不符 合增加工程实施方案，规 定工程

35、时间限制、进度、控 制、质量控制等方面内容， 工程实施过程按照实程；施方案形成各种文档，如阶 段性工程进程汇报报告C）应制定工程实施方面的 管理制度，明确说明实施过 程的控制方法和人员行为准 则。缺少工程实施方面的管理 制度/不符 合增加工程实施管理制度，包括，明确说明实施 过程的控制方法和人员行为 准则等内容a）应委托具有资质的第一 方对系统进行安全性测试， 并出具安全性测 试报告；未委托公正具有资质的第 三方对系统进行安全性测 试/不符 合信息系统建设完成后对其进 行测试，委托第三方测试机 构对信息系统进行独立的安 全性测试，形成安全性测试 报告b）在测试验收前应根据设 计方案或合冋要求等

36、制订测 试验收方案，在测试验收过 程屮应详细记录测试验收结 果，并形成测试验收报告；未提供系统测试验收方 案，未提供系统测试验收报/不符 合增加工程测试验收方 案，明确参与测试的部 门、人员、测试验收内容、 现场操作过程等内容，制定测试验收记录、测 试 验收报告c）应对系统测试验收的控 制方法和人员行为准则进行 书面规定；缺少系统测试验收管理 制 度/不符 合增加测试验收管理制 度，包括系统测试验收的 控制方法和人员行为准则进 行书面规定测试验收e）应组织相关部门和相 关 人员对系统测试验收报告进 彳丁审定，并签字确认。木提供验收报告的审定 文 档/不符 合增加验收报告的审定文 档，包括验收报

37、告的审定 内容及审定意见等a）应制定详细的系统交付 清单，并根据交付清单对所 交接的设备、软件和文档等 进行清点；未提供系统交付清单/不符 合b）应对负责系统运行维护 的技术人员进行相应的技能 培训；目前系统是内部技术人 员 维护，对维护人员进行过培 训，但未提供系统交付时的 技术培训记录/部分 符合系统交付C）应提供系统建设过程中 的文档和指导用户进行系统 运行维护的文档；未提供系统交付清单/不符 合增加系统交付清单，明 确所交接的设备、软件和文 档等制定项目建设管理制度 要求工程系统交付后进行技 术培训，培训记录并形 成记录4.1.9系统运维管理1 相关要求及依据详见GD/J038-201

38、有关系统运维管理要求。为满足要求，我们制定机房安全管理制度、介质管理制度、设备维护制度、设备操作规程、恶意代码防范管理制度、网络安全管理制度、系统安全管理制 度、备份与恢复管理制度、安全事件报告和处置管理制度和应急预案等达到目的或检查要求。2.安全现状及整改措施类别测评内容结果记录涉及资产符合情况整改措施a）应指定专门的部门或人 员定期对机房供配电、空 调、温湿度控制等设施进行 维护管理；技术运维部进行维护，不 定期进行维护，缺少机房 基础设施的维护记录/部分符合增加机房基础设施维护记 录,包括空调、UPS等环境管理C）应建立机房安全管理制 度，规范机房物理访问、机 房环境安全、工作人员行为

39、等。机房管理制度不够完善， 未包括机房物理访问、物 品带进和带出机房、机房 环境安全和工作人员行为 等方面/部分符合完善机房管理制度，包 括机房物理访问、机房环 境 安全、工作人员行为等内容a）应编制并保存与信息系 统相关的资产清单，包括资 产责任部门、重要程度和所 处位置等内容；未明确资产的责任部门，缺少资产清单/不符 合增加资产清单，明确资 产的责任部门、责任人、重 要程度和所处位置等b）应建立资产安全管理制 度，规定信息系统资产管理 的责任人员或责任部门，并 规范资产管理和使用的行 为；缺少资产安全管理制度/不符 合增加资产安全管理制 度，规定信息系统资产管 理的责任人员或责任部门， 并

40、规范资产管理和使用的行 为c）应根据资产的重要程度 对资产进行标识管理，并选 择相应的管理措施；未明确的分类和标识管 理，不冋类别的资产未釆 取不同的管理措施/不符 合根据资产的重要程度对资产 进行标识管理，并选择相应 的管理措施资产管理d）应对信息分类与标识方 法作出规定，并对信息的使 用、传输和存储等进行规范 化管理。缺少信息分类文档/不符 合增加信息分类管理文 档，包括分类与标识方 法，信息的使用、传输和存 储等内容介质 管理a）应建立介质安全管理制 度，对介质的存放环境、使 用、维护和销毁等方面作出 规定；缺少介质安全管理制度（介质的存放环境、使 用、维护和销毁等方面）/不符 合制定介

41、质安全管理制 度，包括介质的存放环 境、使用、维护和销毁等方 面b）应确保介质存放在安全 的环境屮，并根据未明确专门的存放环 境，对介质未进行分类/不符 合明确介质的存放环境，根据 重要性对介质进行分类所承载数据和软件的重要程 度对介质进行分类和标识管 理，进行相应的控制和保 护；和标识和标识管理，进行相应的控制 和保护C）应对存储介质的使用过 程、送出维修以及销 毁等进 行严格的管理，对经批准带 出工作环境的存储介质进行 登记和监控管理，对送出维 修或销毁的介质应首先清 除介质屮的敏感数据，对保 密性较高的存储介质未经批 准不应自行销毁；缺少介质管理制度（存储 介质的使用过程、送出维 修以及

42、销毁等进行严格的 管理，对经批准带出工作 环境的存储介质进行登记 和监控管理，对送出维修 或销毁的介质应首先清除 介质中的敏感数据）/不符合制定介质管理制度，明 确介质的销毁和维修等方面 的要求。明确对介质的物理 传输过程是否要求选择可靠 传输人员、严格介质的打 包、选择安全的物理传输途 径、双方在场交付等内容d）应根据数据备份的需要 对某些介质实行异地 存储， 存储地的环境要求和管理方 法应与本地相同；重要数据未实行异地存储/不符合明确重要数据进行加密存储c）应建立配套设施、软硬 件维护方面的管理制度，对 其维护进行有效的管理，包 括明确维护人员的责任、涉 外维修和服务的审批、维修 过程的监

43、督控制等；缺少配套设施、软硬件 维护方面的管理制度/不符合增加设备维护制度，明 确维护人员的责任、涉外维 修和服务的审批、维修 过程 的监督控制等内容d）应对终端计算机、工作 站、便携机、系统和网络等 设备的操作和使用进行规范 化管理，按操作规程实现主 要设备的启动/停止、加电/ 断电等操作；缺少设备使用管理文档， 缺少设备的操作规程，关 键设备的操作未建立操作 日志/部分符合增加设备使用管理文 档，包括终端计算机、便 携机和网络设备等使用方 式、操作原则、注意事项等 内容，制定操作规程， 包括对重要系统，如服务 器、防火墙、交换机、路由 器等内容，增加日志管理 记录，包括检查人员、日 期、内

44、容等设备 管理e）应确保信息处理设备必 须经过审批才能带离机房或 办公地点。缺少设备带离机房或办公场地的审批记录/不符 合制定处理设备必须经过 审 批才能带离机房或办公地点 的记录，明确审批内容和 批准人恶意代 码防范b）应对防恶意代码软件的 授权使用、恶意代码库升 级、定期汇报等作缺少恶意代码方面的管理 制度/不符 合增加恶意代码防范管理制 度，包括防恶意代码软件 的授权使用、恶意代码出明确规定；库升级、定期汇报等内容管理C）应定期检查信息系统内 各种产品的恶意代码库的升 级情况并进行记录，对防恶 意代码产品上截获的危险病 毒或恶意代码进行及时分析 处理，并形成书面的报表 和总结汇报。缺少恶

45、意代码检测记录、 恶意代码库升级记录和分 析报告/不符 合增加恶意代码检测记录恶意代码库升级记录和恶意代码分析报告，明 确其检查周期、检查人员、 检查结果等密码管理a）应使用符合国家密码 管 理规定的密码技术和产品；缺少密码使用方面的管理 制度/不符 合增加密码管理制度，明 确密码使用方面的内容b）应建立变更管理制 度， 系统发生变更前，向主管领 导申请，变更 和变更方案经 过评审、审批后方可实施变 更，并在实施后将变更情况 向相关人员通告；缺少变更管理制度（更前 审批、变更过程记录、变 更后通报等方面内容）/不符 合增加变更管理制度，明 确变更类型、变更原因、变 更过程、变更前评估等方面 内

46、容；c）应建立变更控制的申报 和审批文件化程序，对变更 影响进行分析，记录变更实 施过程，并妥善保存所有文 档和记录；缺少变更控制的申报和审 批程序文档/不符 合增加变更管理制度，包 括变更申报、审批程序，规 定需要申报的变更类型、申 报流程、审批部门、批准人 等方面内容变更 管理d）应建立中止变更并从失 败变更中恢复的文件 化程 序，明确过程控制方法和人 员职责，必要时对恢复过程 进行演练；缺少变更方案、缺少变更失败恢复程序文档/不符 合增加变更方案变更恢 复程序文档，明确过程控 制方法和人员职责，必要时 对恢复过程进行演练备份与 恢复管理b）应建立备份与恢复管理 相关的安全管理制度，对备

47、份信息的备份方式、备份频 度、存储介质和保存期等进 行规范；缺少备份与恢复管理相关的安全管理制度/不符 合增加备份与恢复管理制 度，包括备份信息的备份 方式、备份频度、存储介 质、保存期等C）应根据数据的重要性和 数据对系统运行的影响，制 定数据的备份策略和恢复策 略，备份策略须指明备份数 据的放置场所、文件命名规 则、缺少备份与恢复管理制 度，缺少备份与恢复策略 文档/不符 合增加备份与恢复管理制 度、备份策略文档和恢 复策略文档包括备份数据 的放置场所、文件命名规 贝1、介质替换频率和数据离 站运输方法等内容介质替换频率和将数据离站 运输的方法；d）应建立控制数据备份和 恢复过程的程序，对

48、备份过 程进行记录，所有文件和记 录应妥善保存；缺少数据备份和恢复过程 记录/不符 合增加备份和恢复记录， 明确内容、日期、检查人、 结果等a）应制定安全事件报告和 处置管理制度，明确安全事 件的类型，规定安全事件的 现场处理、事件报告和后期 恢复的管理职责；缺少安全事件报告和处 置 管理制度/不符 合增加安全事件报告和处H 管理制度，明确安全事件 类型，规定安全事件的现场 处理、事件报告和后期恢复 的管理职责b）按照国家和行业相关规 定及时上报信息安全事件和 可疑事件；缺少信息安全事件和可疑 事件上报文档/不符 合增加信息事件和可疑事件 上报的文档，明确内容、 日期、检查人、结果等c）应制定

49、安全事件报告和 响应处理程序，确定事件的 报告流程，响应和处置的范 用、程度，以及处理方法 等；缺少安全事件报告和响应 处理程序/不符 合增加安全事件报告和响应 处理程序，包括事件的报 告流程，响应和处置的范 围、程度，以及处理方法等安全事件处置d）应在安全事件报告和响 应处理过程中，分析和鉴定 事件产生的原因，收集证 据，记录处理过程，总结经 验教训，制定防止再次发生 的补救措施，过程形成的所 有文件和记录均应妥善保 存。缺少安全事件分析文档/不符 合增加安全事件分析文 档，包括分析和鉴定事件 产生的原因，收集证据，记 录处理过程，总结经验教 训，制定防止再次发生的补 救措施a）应在统一的应急框架下 制定不同事件的应急预案， 应急预案框架应包括启动应 急预案的条 件、应急处理流 程、系统恢复流程、后期处 理等内容；缺少应急预案框架文档， 缺少不同事