2019年邮政金融网信息系统信息安全等级专家评审申请报告

1、X省邮政金融网信息系统 信息安全等级专家评审申请报告（示例，试用参考版本）申报单位：（盖章）申报日期：受理单位：受理日期：目录填 写 说 明 11 申请评审的信息系统汇总表 32 信息系统划分 42.1管理机构 42.2网络结构 42.3业务应用 52.4信息系统划分结果 53 邮政金融网中间业务系统自定级报告 74 邮政综合计算机网系统自定级报告 125 系统使用的安全产品清单及认证、销售许可证明 13附件 1 邮政金融网中间业务系统定级评审意见表 14附件 2 邮政综合计算机网系统定级评审意见表 18附件 3 信息系统安全等级保护备案表 21填写说明1、 填报依据。根据浙江省信息安全等级保

2、护管理办法（省政府令223号）和浙江省信息安全等级评审实施细则之规定，制作本表；2、填报范围。本报告由基础信息网络与重要信息系统（第二级以上） 的运营、使用单位或主管部门填写，一级以下信息系统无需申报。3、申报方式。本报告一式五份，由申请单位向受理申请的信息化机构 提交。申报时，同时将电子版本申请材料发电子邮箱：wgc <4、受理申请单位：本报告圭寸面中的“受理申请单位”填写受理申请的信息 化机构名称。此项由受理申请的信息化机构负责填写。5、系统自定级报告：是指依据定级报告模版编写的定级报告。所 有信息系统均应该填写。6、 系统使用的安全产品清单及认证、销售许可证明：是指该信息系统 具体

3、使用的信息安全产品名称、型号、数量、购置日期、生产单位、销 售单位、是否取得计算机安全专用产品销售许可证、销售许可证号、在 同类型（功能）产品中该产品的使用率等信息。7、信息系统安全等级保护备案表：按照备案表中的填写要求准确填写。&解释：本表由市信息产业局负责解释。联系人：赵英，联系电话： 87183416，联系地址：宁波市解放北路91号市政府北大院4号楼1102 , 邮编：3150101申请评审的信息系统汇总表系统编号定级系统名称自定级别0001邮政金融网中间业务系统30002综合计算机网22信息系统划分2.1管理机构X省邮政储汇局成立于1986年。主要负责对全省37个市县局邮 政储

4、蓄、汇兑以及代理保险等金融业务进行管理、指导。邮政局高度 重视邮政信息化建设，建立了覆盖全省各市的邮政金融中间业务系统 和省局办公综合计算机网络系统。在整个网络信息系统中，省邮政储蓄局和地方局承担了不同的安全 管理责任。省邮政储蓄局负责省数据中心核心系统的运行、维护等安 全责任，各市分支机构直接负责所在地的系统的运行、维护和安全责 任。2.2网络结构省邮政金融系统包括金融网中间业务系统和综合计算机网两个 逻辑上隔离的网络系统。金融网中间业务系统包括省级数据中心和部 分市局域网络，涉及的操作系统为HPUX，WINDOWS 和SCOUNIXE。综合计算机网是省局的办公网，包括四台电子汇兑主机，两

5、台报刊发机服务器和两台综合网网管服务器，操作系统涉及Linux和WINDOWS，数据库为 ORACLE，另外在综合网网管服务器上安装NETVIEW。具体网络结构如下:邮政金融网中间业务系统邮政综合办公网络2.3业务应用邮政金融网中间业务系统主要是承担：中国移动代收费、中国联通代收费、代理国债、批量工资代发、批量水电气等费用代扣、代收 烟草款等业务。综合计算机网是部门办公业务网，主要承担：公文收 发、邮件处理、日常办公、财务管理等工作。邮政网的两个业务系统均不涉及国家秘密信息。2.4信息系统划分结果从管理机构的不同考虑，应将省局信息系统和地方信息系统分别 进行划分，形成省局信息系统和地方分支机构

6、信息系统。省局信息系 统中，由于邮政金融网中间业务系统和综合计算机网各自拥有一套独 立的软硬件，且分别承载不同业务，系统业务之间不存在依赖性，故 划分为两个独立的系统。各市的网络和数据中心还要作为整个系统的 分系统另行定级。信息系统划分结果如下：系统编号信息系统名称0001邮政金融网中间业务系统0002综合计算机网3邮政金融网中间业务系统自定级报告一、X省邮政金融网中间业务系统描述（一）该中间业务于 2006年7月1日X省邮政储蓄局科技立项， 省邮政信息技术局自主研发。目前该系统由技术局运行维护部负责运 行维护。省邮政局是该信息系统业务的主管部门，省邮政局委托技术 局为该信息系统定级的责任单位

7、。（二）此系统是计算机及其相关的和配套的设备、设施构成的，是按照一定的应用目标和规则对邮储金融中间业务信息进行采集、力口 工、存储、传输、检索等处理的人机系统。整个网络分为两部分，（图略），第一部分为省数据中心，第二部分为市局局域网。在省数据中心的核心设备部署了华为的Switch三层交换机，在省数据中心的网络中配置了两台与外部网络互联的边界设备：天融信NGFW 4防火墙和Cisco 2008路由器。省数据中心网络中剩下的一部分就是与下面各个地市的互联。其 中主要设备部署的是整个省数据中心网络中的所有设备系统都按 照统一的设备管理策略，只能现场配置，不可远程拨号登录。整个信息系统的网络系统边界设

8、备可定为NGFW 4与 Cisco 2008Cisco 2008外联的其它系统都划分为外部网络部分，而NGFW 4*以内的部分包括与各地市互联的部分都可归为中心的内部网络，与中间业 务系统相关的省数据中心网络边界部分和内部网络部分都是等级保护 定级的范围和对象。在此次定级过程中，将各市的网络和数据中心连 同省中心统一作为一个定级对象加以考虑，统一进行定级、备案。各市的网络和数据中心还要作为整个系统的分系统分别进行定级、备案。（三）该信息系统业务主要包含：中国移动代收费、中国联通代 收费、代理国债、批量工资代发、批量水电气等费用代扣、代收烟草 款等业务，并新增加了代收国税、地税，代办保险等业务。

9、系统针对 业务实现的差异分别提供实时联机处理和批量处理两种方式。其中： 通过网络与第三方机构的连接，均采用约定好的报文格式进行通讯， 业务处理流程实时完成。业务处理系统以省集中结构模式， 负责各类中间业务的业务处理， 包括与第三方实时连接、接口协议转换、非实时批量数据的采集、业 务处理逻辑的实现、与会计核算系统的连接等。二、X省邮政金融网中间业务系统安全保护等级的确定（一）业务信息安全保护等级的确定1、业务信息描述金融网中间业务信息包括：代收费情况信息，缴费公民、法人和其他 组织的的个人（单位）信息，欠费情况，以及代收费的银行、电信、燃气、 税务、保险等部门的信息等。属于公民、法人和其他组织的

10、专有信息。2、 业务信息受到破坏时所侵害客体的确定（侵害的客体包括：1国 家安全，2社会秩序和公共利益，3公民、法人和其他组织的合法权益等共 三个客体）该业务信息遭到破坏后，所侵害的客体是公民、法人和其他组织 的合法权益。侵害的客观方面（客观方面是指定级对象的具体侵害行为， 侵害形式 以及对客体的造成的侵害结果）表现为：一旦信息系统的业务信息遭到 入侵、修改、增加、删除等不明侵害（形式可以包括丢失、破坏、损 坏等），会对公民、法人和其他组织的合法权益造成影响和损害，可以 表现为：影响正常工作的开展，导致业务能力下降，造成不良影响，引起法律纠纷等。3、 信息受到破坏后对侵害客体的侵害程度（即上述

11、分析的结果的 表现程度）上述结果的程度表现为 严重损害，即工作职能收到严重影响，业 务能力显著先将，出现 较严重的法律问题，较大范围的不良影响等。4、确定业务信息安全等级查定级指南表2知，业务信息安全保护等级为第二级。业务信息安全被破坏时所侵害的客体对相应客体的侵害程度一般损害严重损害特别严重损害公民、法人和其他组织的合法权益第一级第二级第二级社会秩序、公共利益第二级第三级第四级国家安全第三级第四级第五级（二）系统服务安全保护等级的确定1系统服务描述该系统属于为国计民生、经济建设等提供服务的信息系统，其服 务范围为全省范围内的普通公民、法人等。2、系统服务受到破坏时所侵害客体的确定该系统服务遭

12、到破坏后，所侵害的客体是公民、法人和其他组织 的合法权益，同时也侵害社会秩序和公共利益但不损害国家安全。客 观方面表现得侵害结果为：1可以对公民、法人和其他组织的合法权益 造成侵害（影响正常工作的开展，导致业务能力下降，造成不良影响， 引起法律纠纷等）；2可以对社会秩序公共利益造成侵害（造成社会不 良影响，引起公共利益的损害等）。根据定级指南的要求，出现上 述两个侵害客体时，优先考虑社会秩序和公共利益，另外一个不做考 虑。3、 服务受到破坏后对侵害客体的侵害程度（即上述分析的结果的 表现程度）上述结果的程度表现为：对社会秩序和公共利益造成严重损害，即会出现较大范围的社会不良影响和 较大程度的公

13、共利益的损害等。4、确定系统服务安全等级查定级指南表 3知，由于侵害的客体有两个，侵害的程度也有两个，则系统服务安全保护等级为第二级。系统服务被破坏时所侵害的客体对相应客体的侵害程度一般损害严重损害特别严重损害公民、法人和其他组织的合法权益第一级第二级第二级社会秩序、公共利益第二级第三级第四级国家安全第三级第四级第五级（三）安全保护等级的确定信息系统的安全保护等级由业务信息安全等级和系统服务安全务安等级的较高者决定。所以，X省邮政金融网中间业务系统安全保护等级为第三级。信息系统名称安全保护等级业务信息安全等级系统服务安全等级X省邮政金融网中间业务系统第三级二二二-三4 邮政综合计算机网系统自定

14、级报告参考金融网中间业务系统定级方式，具体内容略。5系统使用的安全产品清单及认证、销售许可证明是指该信息系统具体使用的信息安全产品名称、型号、数量、购置日期、生产单位、销售单位、是否取得计算机安全专用产品销售许 可证、销售许可证号、在同类型（功能）产品中该产品的使用率等信附件1邮政金融网中间业务系统定级评审意见表信息系统运营、使用单位名称邮政金融网中间业务系统项目负责人联系电话信息系统名称XXXX系统系统自定安全级别XX级专家评审建议级别XX级评审专家组组长XXX评审专家组意见：2007年11月1日，省信息产业厅组织省信息安全等级保护专家 组对*电子银行系统进行了安全等级定级评审。专家组在听取

15、*对该系统的情况介绍、审议有关材料和对现场进行实地考察的基础上， 经过认真讨论，形成如下评审意见：1、提交评审的资料基本齐全，符合信息安全等级评审要求；2、*邮政金融网中间业务系统包括两部分，第一部分为省数 据中心，第二部分为市局局域网；定级工作中，将各市的网络和数据中心连同省中心统一作为一个定级对象加以考虑，网络边界基本清晰，并具有明确的安全责任单位和信息系统的基本要素；3、*邮政金融网中间业务系统的业务主要浙包括息安全国移动审代请报告 收费、中国联通代收费、代理国债、批量工资代发等，承载的业务应 用相对独立；4> *邮政金融网中间业务系统的业务信息主要包括：代收费情 况信息，缴费公民

16、、法人和其他组织的的个人（单位）信息，欠费情况， 以及代收费的银行、电信、燃气、税务、保险等部门的信息等，属于公民、 法人和其他组织的专有信息。该业务信息遭到破坏后，所侵害的客体： 公民经综合考虑上述要素，专家组讨论认为：*邮政金融网中间业务系统信息安全等级为三级。信息化主管部门意见信息化主管部门意见（盖章）：签字：时间：专家组成员姓名单位职称/职务附件2邮政综合计算机网系统定级评审意见表信息系统运营、使用单位名称邮政综合计算机网系统项目负责人联系电话信息系统名称XXXX系统系统自定安全级别XX级专家评审建议级别XX级评审专家组组长XXX评审专家组意见：年月日信息化主管部门意见信息化主管部门意

17、见（盖章）：签字：时间：专家组成员姓名单位职称/职务附件3信息系统安全等级保护备案表备案表编号:信息系统安全等级保护备案表备案单位：（盖章）备案日期：受理备案单位： （盖章）受理日期：中华人民共和国公安部监制填表说明一、制表依据。根据信息安全等级保护管理办法（公通字200743号）之规定，制作本表；二、填表范围。本表由第二级以上信息系统运营使用单位或主管部门（以下简称“备案单位”）填写；本表由四张表单构成，表一为单位信息，每个填表单位填写一张；表二为信息系统基本信息，表三为信息系统定级信息，表二、表三每个信息系统填写一张；表四为第信息系统需要同时提交的内容，由每个第三级以上信息系统填写一张，并

18、在完成系统建设、 整改、测评等工作，投入运行后三十日内向受理备案公安机关提交；表二、表三、表四可以 复印使用；三、保存方式。本表一式二份，一份由备案单位保存，一份由受理备案公安机关存档；四、本表中有选择的地方请在选项左侧“”划“V”，如选择“其他”，请在其后的横线中注明详细内容；五、封面中备案表编号（由受理备案的公安机关填写并校验）:分两部分共11位，第一部分6位,为受理备案公安机关代码前六位（可参照行标GA380-2002）。第二部分5位，为受理备案的公安机关给出的备案单位的顺序编号；六、封面中备案单位：是指负责运营使用信息系统的法人单位全称；七、封面中受理备案单位：是指受理备案的公安机关公

19、共信息网络安全监察部门名称。此项由受 _理备案的公安机关负责填写并盖章；八、表一 04行政区划代码： 是指备案单位所在的地（区、市、州、盟）行政区划代码；九、表一 05单位负责人：是指主管本单位信息安全工作的领导；十、表一 06责任部门：是指单位内负责信息系统安全工作的部门；十一、表一 08隶属关系：是指信息系统运营使用单位与上级行政机构的从属关系，须按照单位隶属关系代码（GB/T124041997 ）填写；十二、表二02系统编号：是由运营使用单位给出的本单位备案信息系统的编号；十三、表二05系统网络平台：是指系统所处的网络环境和网络构架情况；十四、表二07关键产品使用情况：国产品是指系统中该

20、类产品的研制、生产单位是由中国公民、法人投资或者国家投资或者控股，在中华人民共和国境内具有独立的法人资格，产品的核心 技术、关键部件具有我国自主知识产权；十五、表二08系统采用服务情况：国内服务商是指服务机构在中华人民共和国境内注册成立（港澳台地区除外），由中国公民、法人或国家投资的企事业单位；十六、表三01、02、03项：填写上述三项内容，确定信息系统安全保护等级时可参考信息系统 安全等级保护定级指南，信息系统安全保护等级由业务信息安全等级和系统服务安全等级 较高者决定。01、02项中每一个确定的级别所对应的损害客体及损害程度可多选；十七、表三06主管部门：是指对备案单位信息系统负领导责任的

21、行政或业务主管单位或部门。部 级单位此项可不填；十八、解释：本表由公安部公共信息网络安全监察局监制并负责解释，未经允许，任何单位和个人 不得对本表进行改动。01单位名称02单位地址省（自治区、直辖市）地（区、市、州、盟）县（区、市、旗）03邮政编码04行政区划代码05单位负责人姓 名职务/职称办公电话电子邮件06责任部门07责任部门 联系人姓 名职务/职称办公电话电子邮件移动电话08隶属关系1中央2省（自治区、直辖市）3地（区、市、州、盟）4县（区、市、旗）9其他09单位类型1党委机关2政府机关3事业单位4企业9其他10行业类别11电信12广电13经营性公众互联网21铁路22银行23海关24税

22、务25民航26电力27证券28保险31国防科技工业32公安33人事劳动和社会保障34财政35审计36商业贸易37国土资源38能源39交通40统计41工商行政管理42邮政43教育44文化45卫生46农业47水利48外交49发展改革50科技51宣传52质量监督检验检疫99其他11信息系统 总数个12第二级信息系统数个13第三级信息系统数个14第四级信息系统数个15第五级信息系统数个表一单位基本情况01系统名称02系统编号03系统承载业务情况业务类型1生产作业2指挥调度3管理控制4内部办公5公众服务9其他业务描述04系统服务情况服务范围10全国11跨省（区、市） 跨个20全省（区、市）21跨地（市、区） 跨个30地（市、区）内99其它服务对象1单位内部人员2社会公众人员3两者均包括9其他05系统网络平台覆盖范围1局域网2城域网3广域网9其他网络性质1业务专网2互联网9其它06系统互联情况1与其他行业系统连接2与本行业其他单位系统连接3与本单位其他系统连接9其它07关键产品使用情况序号产品类型数量使用国产品率全部使用全部未使用部分使用及使用率1安全专用产品%2网络产品%3操作系统%4数据库%5服务器%6其他%08系统采用服务情况序号服务类型服务责任方类型本行业（单位）国内其他服务商国外服务商1等级测评有无2风险