信息安全风险评估需求方案

1、信息安全全风险评评估需求求方案一、项目目背景多年来，天津市市财政局局（地方方税务局局）在加加快信息息化建设设和信息息系统开开发应用用的同时时，高度度重视信信息安全全工作，采取了了很多防防范措施施，取得得了较好好的工作作效果，但同新新形势、新任务务的要求求相比，还存在在有许多多不相适适应的地地方。220099年，国国家税务务总局和和市政府府分别对对我局信信息系统统安全情情况进行行了抽查查，在充充分肯定定成绩的的同时，也指出出了我局局在信息息安全方方面存在在的问题题。通过过抽查所所暴露的的这些问问题，给给我们敲敲响了警警钟，也也对我局局信息安安全工作作提出了了新的更更高的要要求。因此，天天津市财财

2、政局（地方税税务局）在对现现有信息息安全资资源进行行整合、整改的的同时，按照国国家税务务总局信信息安全全管理规规定，结结合本单单位实际际情况确确定实施施信息安安全评估估、安全全加固、应急响响应、安安全咨询询、安全全事件通通告、安安全巡检检、安全全值守、安全培培训、应应急演练练服务等等工作内内容（以以下简称称“安全风风险评估估”），形成成安全规划划、实施施、检查查、处置置四位一一体的长长效机制制。 二、项目目目标通过开展展信息“安全风风险评估估”, 完完善安全全管理机机制；通通过安全全服务的的引入，进一步步建立健健全财税税系统安安全管理理策略，实现安安全风险险的可知知、可控控和可管管理；通通过建

3、立立财税系系统信息息安全风风险评估估机制，实现财财税系统统信息安安全风险险的动态态跟踪分分析，为为财税系系统信息息安全整整体规划划提供科科学的决决策依据据，进一一步加强强财税内内部网络络的整体体安全防防护能力力，全面面提升我我局信息息系统整整体安全全防范能能力，极极大提高高财税系系统网络络与信息息安全管管理水平平；通过过深入挖挖掘网络络与信息息系统存存在的脆脆弱点，并以业业务系统统为关键键要素，对现有有的信息息安全管管理制度度和技术措措施的有有效性进进行评估估，不断断增强系系统的网网络和信信息系统统抵御风风险安全全风险能能力，促促进我局局安全管管理水平平的提高高，增强强信息安安全风险险管理意意

4、识，培培养信息息安全专专业人才才，为财财税系统统各项业业务提供供安全可可靠的支支撑平台台。三、项目目需求（一）服服务要求求1基本要要求“安全风风险评估估服务”全过程程要求有有据可依依，并在在产品使使用有据据可查，并保持持项目之之后的持持续改进进。针对对用户单单位网络络中的IIT设备备及应用用软件，需要有有软件产产品识别别所有设设备及其其安全配配置，或或以其他他方式收收集、保保存设备备明细及及安全配配置，进进行资产产收集作作为建立立信息安安全体系系的基础础。安全全评估的的过程及及结果要要求通过过软件或或其他形形式进行行展示。对于风风险的处处理包括括：协助助用户制制定安全全加固方方案、在在工程建建

5、设及日日常运维维中提供供安全值值守、咨咨询及支支持服务务，通过过安全产产品解决决已知的的安全风风险。在在日常安安全管理理方面提提供安全全支持服服务，并并根据国国家及行行业标准准制定信信息安全全管理体体系，针针对安全全管理员员提供安安全培训训，遇有有可能的的安全事事件发生生时，提提供应急急的安全全分析、紧急响响应服务务。2安全评评估评估的范范围应全全面，涉涉及到网网络信息息系统的的各个方方面，包包括物理理环境、网络结结构、应应用系统统、数据据库、服服务器及及网络安安全设备备的安全全性、安安全产品品和技术术的应用用状况以以及管理理体系是是否完善善等等；同时对对管理风风险、综综合安全全风险以以及应用

6、用系统安安全性进进行评估估；评估采用用专业工工具扫描描（漏洞洞扫描、数据库库扫描采采用产品品必须为为商业化化产品）、人工工评估、渗透测测试三种种相结合合的方式式，对各种种操作系系统进行行评估，包括：帐户与与口令安安全、网网络服务务安全、内核参参数安全全、文件件系统安安全、日日志安全全等；从应用用系统相相关硬件件、软件件和数据据等方面面来审核核应用所所处环境境下存在在哪些威威胁，根根据应用用系统所所存在的的威胁，来确定定需要达达到哪些些系统安安全目标标才能保保证应用用系统能能够抵挡挡预期的的安全威威胁。其其他评估估内容应应至少包包括以下下几方面面：信息探测测类网络设备备与防火火墙RPC服服务We

7、b服服务CGI问问题文件服务务域名服务务Maill服务Winddowss远程访访问数据库问问题SQL 注入跨站脚本本攻击后门程序序其他服务务网络拒绝绝服务(DOSS)其他问题题安全评估估服务范范围应包包括但不不只限于于协助用用户完成成20110年度度信息安安全专项项检查工工作。3安全加加固每次对用用户单位位网络信信息系统统进行全全面评估估后应立立即制定定安全加加固方案案，另外外如用户户单位有有紧急需需求时可可随时安安排制定定安全加加固方案案。安全全加固方方案应覆覆盖用户户单位IIT系统统中所有有服务器器和网络络设备，以及不不同类别别的操作作系统、数据库库和应用用系统。安全加固固方案不不能影响响

8、用户单单位各项项业务的的正常进进行，如如果加固固过程需需要暂时时中断业业务，须须设计具具体的解解决方案案。同时，随随着信息息技术的的发展，当新的的漏洞出出现时，评估单单位有责责任和义义务告知知用户，并配合合用户判判定是否否进行相相应的加加固工作作；4紧急响响应 当用户户单位信信息系统统出现安安全事件件后，用用户可立立即启动动紧急响响应服务务，服务务应包括括远程紧紧急响应应和现场场紧急响响应；紧紧急响应应均要求求724小小时提供供。 紧急响响应要求求在响应应请求发发出2小小时内由由工程师师到达事事故现场场，协助助用户进进行处理理； 响应服务务完成后后评估单单位需整整理详细细的事故故处理报报告，内

9、内容至少少包括事事故原因因分析、已造成成的影响响、处理理办法、处理结结果、预预防和改改进建议议；5安全咨咨询评估单位位应根据据ISOO177799等等多个标标准的相相关要求求对安全全策略、安全制制度、安安全流程程进行审审计，提提供改进进建议，建立信信息安全全的“统一”策略管管理机制制，并对用户户单位信信息安全全体系建建设规划划、信息息安全管管理体系系、信息息安全管管理制度度建设、安全域域划分等等相关内内容提出出符合国国家及行行业标准准的合理理化建议议，并制制定完整整的解决决方案。对于新建建信息化化项目应应从业务务需求分分析、系系统设计计、部署署实施、测试验验收等全全周期提提供技术术咨询支支持。

10、6 安全全事件通通告 评估估单位应应具备专专门的安安全研究究人员以以跟踪最最新安全全技术发发展、收收集业界界发布的的最新安安全信息息及时通通告用户户单位最最新的安安全动态态、安全全技术的的发展趋趋势，以以及时效效性很强强的漏洞洞、攻击击手法、病毒码码的预先先通知； 评估单单位至少少每月提提供一次次汇总的的安全通通告信息息，当厂厂商或安安全组织织发布紧紧急安全全通告后后评估单单位应在在三天之之内提供供给人保保相关通通告信息息； 及时提提供最新新的设备备补丁，随时根根据用户户需求，提供相相应安全全漏洞与与响应的的安全系系统升级级代码；及时向向招标人人提供国国家颁发发的最新新安全制制度与法法规。7安

11、全巡巡检包括不限限于以人人工方式式检查主主机系统统和网络络设备的的日志信信息、安安全配置置以及审审计信息息等，提提出安全全策略建建议；如如发现异异常现象象或安全全问题，及时向向用户单单位反馈馈，并提提供后续续技术支支持，配配合问题题的查处处和解决决。要求求每月对对安全防防护产品品进行一一次巡检检服务，并生成成巡检报报告；每每季度对对所有主主机、数数据库、网络、安全产产品进行行一次全全面巡检检，并生生成巡检检报告。8安全值值守服务务要求评估估单位在在重大节节假日及及特殊时时期安排排技术人人员提供供安全值值守服务务（包含含在用户户单位值值守及远远程值守守）。9安全培培训服务务要求每年年安排两两次信

12、息息安全管管理及技技术培训训（培训训只负责责提供师师资及培培训教材材，培训训教材可可为电子子版），同时，要求提提供四人人次专业业技术认认证培训训（含食食宿）。10应急急演练服服务要求配合合用户制制定信息息系统风风险应急急响应方方案，并并每年至至少安排排一次信信息系统统风险应应急演练练。（二）服服务原则则 为保障障安全风风险评估估工作的的有序进进行，特特提出以以下原则则：1.保密密性原则则要求评估估单位与与用户签签订保密密协议，在进行行信息安安全风险险评估的的过程中中，严格格遵循保保密原则则，评估估过程中中采取严严格的管管理措施施，确保保所涉及及到的任任何用户户保密信信息，不不会泄露露给第三三方

13、单位位或个人人，不得得利用这这些信息息损害用用户利益益。2.最小小影响原原则要求从项项目管理理和技术术应用的的层面，在风险险评估工工作实施施过程对对我局现现有信息息系统和和网络的的正常运运行所可可能的影影响降到到最低程程度；要要求制定定风险评评估过程程中的风风险规避避方案及及应急措措施。3.规范范性原则则要求评估估机构在在充分总总结多年年开展信信息系统统安全风风险评估估实践经经验的基基础上，确定规规范的方方案；在在此次信信息安全全风险评评估任务务执行过过程中，通过规规范的项项目管理理，在人人员、项项目实施施环节、质量保保障和时时间进度度等方面面进行严严格管控控。4.标准准化原则则风险评估估工作

14、要要求严格格遵守国国家和行行业的相相关法规规、标准准，并参参考国际际的标准准来实施施。5.完整整性原则则完整性原原则包含含以下两两个层次次的内容容：评估内容容的完整整性要求在在风险评评估工作作中，要要综合考考虑所评评估信息息系统的的技术措措施、人人员、业业务及运运行维护护等方面面，含盖盖信息安安全风险险评估合合同要求求。评估流程程的完整整性要求信信息安全全评估过过程应遵遵循科学学性、规规范性、严谨性性原则。6.互动动性原则则在进行信信息安全全风险评评估过程程中，要要求必须须有用户户单位人人员参与与，双方方共同组组成项目目实施部部门，进进行项目目实施，从而保保证项目目执行的的效果并并提高受受我局

15、的的整体安安全技能能和安全全意识。（三）评评估内容容1.信息息系统安安全管理理状况检检查 评估估各种安安全制度度的建立立情况，包括：对终端端计算机机访问互互联网的的相关制制度；对对终端计计算机接接入内网网的相关关制度；使用移移动存储储介质的的制度；系统的的业务应应用人员员、系统统的开发发、维护护、管理理人员、系统开开发、维维护人员员相关安安全管理理制度等等。2.网络络架构、网络安安全设备备评估范围围包括：业务办办公内网网、业务务外网、办公外外网、外外部单位位联网等等；分析析网络拓拓扑结构构是否清清晰划分分网络边边界；评评估网络络的安全全区域划划分以及及访问控控制措施施。3.对资资产自身身存在的

16、的脆弱性性进行收收集和整整理物理环境境， 包包括 UUPS、变电设设备、空空调、门门禁等。交换机，包括核核心交换换机200台，接接入交换换机200台。检检查安全全漏洞和和补丁的的升级情情况，各各VLAAN间的的访问控控制策略略；口令令设置和和管理，口令文文件的安安全存储储形式；配置文文件的备备份。路由器，包括核核心路由由器5台台，接入入路由器器10台台。检查查操作系系统是否否存在安安全漏洞洞；配置置方面，检测端端口开放放、管理理员口令令设置与与管理、口令文文件安全全存储形形式、访访问控制制表；是是否能对对配置文文件进行行备份和和导出；关键位位置路由由器是否否有冗余余配置。安全设备备，包括括防火

17、墙墙、入侵侵检测系系统、网网闸、防防病毒、桌面管管理、审审计、加加密机、身份鉴鉴别等；共约220台。查看安安全设备备的部署署情况。查看安安全设备备的配置置策略；查看安安全的日日志记录录；通过过漏洞扫扫描系统统对安全全进行扫扫描。通通过渗透透性测试试检安全全配置的的有效性性。4.重要要服务器器的安全全配置小型机约约60台台、服务务器约2200台台。登录录安全检检测；用用户及口口令安全全检测；共享资资源安全全检测；系统服服务安全全检测；系统安安全补丁丁检测；日志记记录审计计检测；木马检检测。5.核心心业务系系统的安安全性对我局核核心业务务信息系系统，在在需求分分析和设设计阶段段是否充充分识别别安全

18、需需求；是是否能确确保系统统文件的的安全；是否能能采取措措施保护护应用系系统开发发和维护护过程中中的信息息安全。核查“津税系系统”“非税收收入”“税管员员平台”等重要要业务系系统数据据访问控控制情况况，敏感感文档资资料、服服务器、用户终终端、数数据库等等数据加加密保护护能力。对门户户网站进进行渗透透性测试试；对网网上报税税等核心心业务系系统进行行渗透性性测试；对网络络边界进进行渗透透性测试试；对内内网进行行渗透性性测试。（四）评评估的应应用系统统1.应用用系统应用类型型财政应用用地税应用用综合办公公应用应用项目非税系统统津税系统统公文系统统国库集中中系统税收管理理员平台台邮件系统统部门预算算系

19、统远程电子子报税系系统（含含建安网网上开票票）财政地税税政务网网会计无纸纸化考试试系统、天津会计计网、固定资产产管理系系统外网发票票查询、十二万万申报、建安项项目预登登记、建建安房产产税控开开票、车车船税代代征代缴缴系统财税内部部信息网网站2.数据据库（1）外外网远程程电子报报税系统统数据库库（2）津津税系统统数据库库（3）津津税系统统查询机机（4）税税管员平平台数据据库（5）税税管员平平台ODDS数据据库（6）非非税收入入（7）会会计无纸纸化考试试数据库库（8）国国库集中中支（9）部部门预算算（10）财税政政务网、天津会会计网（11）固定资资产管理理3.外部部数据交交换（1）津津税系统统人行数数据交换换（2）津津税系统统残联数数据交换换（3）国国税联合合办证数数据交换换（4）国国税国地地共享（5）施施管站数数据交换换（6）车车船税数数据交换换（7）房房管局契契税数据据交换（8）非非税收入入MQ4.操作作系统应用系统统和数据据库涉及及到的主主机操作作系统。5.配电电系统（1）供供电系统统（2）UUPS（3）应应急供电电系统6.机房房环境系系统（1）市市局机房房空调（2）市市局机房房空间及及设备摆摆放（3）市市局机房房送回风风空调