网络信息安全服务内容表【模板】

附件1网络信息安全服务内容表序口v服务项目服务要求规格数量1网络安全运维巡检季度定期巡检针对全局业务信息系统，采取漏洞扫描、渗透测试、安全基线配置核查和病毒木马专项检查等方式，以一个季度为周期定期开展巡检工作，及时发现安全风险，以便采取有效防御手段进行安全防护。（1）漏洞扫描：利用现有的安全扫描工具对现有网络系统里的服务器、网络设备、数据库、应用软件进行漏洞探测，对扫描结果进行人工验证，评估安全漏洞的危害程度及被威胁利用难易程度。（2）安全基线配置：核查范围包括操作系统、数据库、网络及安全设备等，包括操作系统补丁安装、进程、端口、服务、用户、策略、权限、审计、内核、恶意程序等内容。数据库管理系统的权限、口令、数据备份与恢复等方面。网络及安全设备核查主要是针对网络及安全设备的访问控制策略进行检查，确定是否开放了网站服务以外的多余服务等。（3）日志审计：对网络设备、安全设备、服务器等信息资产的安全事件、用户访问记录、运行日志、运行状态等各类信息进行收集，并分析判断网络安全状态。（4）安全状态：通过对漏洞扫描、安全基线配置、日志审计等结果进行综合分析，判断网络资产的安全性。（5）对贵州省公路局业务信息1、服务范围：（1）业务系统：括门户网站、贵州省普通国省干线公路建设管理信息化系统、资产信息管理系统、后勤财务系统、贵州省“四好农村路”综合管理系统、贵州省公路交通情况调查系统、公路交通情况调查管理系统设备物资动态管理系统、贵州省普通国省道路网资产管理系统及应用系统（路网资产共7个系统，包括APP）（2）网络及安全设备：至少17台；（3）主机服务器：至少17台2、人员：项目经理：具备CISP、PMP资质，网络安全行业经验至少2年项目成员：网络安全行业经验至少2年。3、工具：使用主流、对业务系统运行无影响的安全工具4、时间：每季度第一个月开展巡检工作，出具问题清单。最后一个月进行安全复核，出具巡检报告。5、成果《网络安全巡检报告》（含整改建议）、资产台账表（信息系统、IT资产及重要网络和安全设备配置台账）4次/年

2系统的资产进行管理，及时更新资产列表和网络拓扑图；同时每季度对开展巡检的信息资产形成巡检记录表。月度安全运维1、在服务期内，派遣1名专业网络安全技术人员每月开展病毒查杀、漏洞排查、安全监测、预警通报等日常安全运维服务。2、病毒查杀：网络安全工程师对贵州省公路局网络进行病毒排查，发现疑似感染病毒的服务器或PC机进行异常进程和端口分析，判断是否是木马或病毒，并进行查杀。3、漏洞排查：对贵州省交通运输厅、贵州省网络安全通报中心通报的安全漏洞进行排查，判断贵州省公路局网络是否存在类似安全漏洞。4、预警通报：对国家及行业内通报的安全漏洞进行收集，并判断是否存在类似漏洞。1、服务范围：（1）业务系统：括门户网站、贵州省普通国省干线公路建设管理信息化系统、资产信息管理系统、后勤财务系统、贵州省“四好农村路”综合管理系统、贵州省公路交通情况调查系统、公路交通情况调查管理系统设备物资动态管理系统、贵州省普通国省道路网资产管理系统及应用系统（路网资产共7个系统，包括APP）（2）网络及安全设备：至少17台；（3）主机服务器：至少17台2、人员：项目经理：具备CISP、PMP资质，网络安全行业经验至少2年项目成员：网络安全行业经验至少2年。3、工具：使用主流、对业务系统运行无影响的安全工具4、时间：每月每周固定一天开展运维工作。月底完成报告编制。5、成果《网络安全运维报告》（含整改建议）、风险漏洞台账（包括漏洞名称、漏洞描述、涉及资产、整改情况）12次/年

3风险评估网络安全风险评估是针对所有信息系统，采取漏洞扫描、渗透测试、安全基线配置核查和病毒木马专项检查等方式，每年至少开展一次全面的网络安全风险评估工作，明确资产的重要性、脆弱点、安全威胁等内容，以便利用有限的资源有针对性地进行安全保护和建设。1、渗透测试主要依据已经掌插的安全漏洞信息，模拟黑客的真实攻击方法对系统和网络进行非破坏性质的攻击性测试。对公路局重要的业务系统，进行模拟黑客的安全渗透测试，对系统中存在的安全漏洞进行准确查找，同时利用渗透性技术检测，发现未知应用系统漏洞和安全隐患。主要有：弱口令、本地权限提升、远程溢出、数据库查询等。同时在公路局修复漏洞后，对漏洞修复情况进行复测。2、安全基线配置核查范围包括操作系统、数据库、网络及安全设备等。包括访问控制、数据安全、补丁安装、进程、端口、服务、用户、策略、权限、审计、内核、恶意程序等内容；参照等保测评、风险评估（国家及交通行业《信息安全技术信息安全风险评估实施指南》（GB/T31509-2015）、《交通运输信息系统安全风险评估指南》（JT/T1275-2019））1、服务范围：（1）业务系统：括门户网站、贵州省普通国省干线公路建设管理信息化系统、资产信息管理系统、后勤财务系统、贵州省“四好农村路”综合管理系统、贵州省公路交通情况调查系统、公路交通情况调查管理系统设备物资动态管理系统、贵州省普通国省道路网资产管理系统及应用系统（共7个系统，包括APP）（2）网络及安全设备：至少17台；（3）主机服务器：至少17台2、人员：项目经理：具备CISP、PMP资质，网络安全行业经验至少2年项目成员：网络安全行业经验至少2年。3、工具：使用主流、对业务系统运行无影响的安全工具4、时间：每年开展一次。5、成果：《网络安全评估报告》1次/年4应急响应安全事件是指信息系统的网络或系统中的计算机或网络设备系统的硬件、软件、数据因非法攻击或病毒入侵等安全原因而遭到破坏、更改、泄漏造成系统不能正常运行，或已经发现的有可能造成上述现象的安全隐患。贵州省公路局通过专业服务机构提供网络安全事件应急1、服务范围：贵州省公路局2、人员：项目经理：具备CISP、PMP资质，网络安全行业经验至少2年项目成员：网络安全应急服务经验至少2年，具备渗透测试能力。按需

响应服务，接派遣专业安全应急工程师第一时间赶赴现场处理，对安全事件进行处置和溯源。3、工具：使用主流、对业务系统运行无影响的安全工具4、时间：每次应急响应结束后1天内，出具安全排查及处置建议方案，并对全局网络进行扫描和病毒查杀，提供安全整改建议。提供1个月的持续跟踪记录。5、成果《网络安全评估报告》5网络安全培训及应急演练应急演练应急演练是为了提高贵州省公路局处置网络安全突发事件能力，加强省局网络信息安全保障工作，形成科学、有效、反应迅速的应急工作机制，确保重要省公路局网信息系统的实体安全、运行安全和数据安全，最大限度地减轻网络安全突发事件的危害。1、服务范围：对重要信息系统提供至少2种安全事件场景2、人员：项目经理：具备CISP、PMP资质，网络安全行业经验至少2年项目成员：网络安全应急服务经验至少2年，具备渗透测试能力。3、工具：使用主流、对业务系统运行无影响的安全工具4、时间：根据实际情况开展5、成果《贵州省公路局网络安全应急预案》、《贵州省公路局网络安全应急演练方案》、演练记录等资料6、演练与培训结合一起，可通过演练课程讲解，实操演示，提高直观性和参与性。1次/年网络安全培训加强职工网络安全意识和相应专业知识培训，提高员工对网络安全风险的认识、识别和防范能力。对贵州省公路局职工开展为期1天的网络信息安全意识教育与培训，内容包括：网络安全意识教育、防护手段、政策法规、日常网络安全工作技能、密码技术等。1、服务范围：贵州省公路局全体职工2、培训老师：从事网络安全行业至少5年，具备CISP、PMP等资质证书。3、时间：根据实际情况开展4、成果：提供培训方案、培训课程、培训记录、培训按需

总结报告、师资、结业证书等。6重大节日保障1、根据重要时期网络安全保障要求或发生的事件，提供人员、物资、技术的应急保障。保障结束后，提供相关情况分析和总结报告。2、重要节日前对贵州省公路局及全省公路管理局互联网业务系统开展渗透测试，对全部业务系统开展漏洞扫描，提供安全报告及整改建议。在重大节日前进行安全整改，确保贵州省公路局网络安全。1、服务范围：1年内重大节日，元旦、春节、清明、五一、建党、建军、中秋、国庆、护网等。2、人员：成立重大节日保障工作小组，组长从事网络安全行业至少3年，具备CISP、PMP等资质证书。3、成果：提供重保方案、安全排查报告、安全总结报告等资料。按需{根据实际情况7网络安全信息通报根据网络安全监测发现的安全漏洞和风险隐患发布预警通报；对贵州省公路行业网络安全工作最新动态、国内外网络安全与信息安全态势、国内外近期重大网络安全事件情况摘要、网络安全预警信息等进行分析汇编，形成每月一期的安全通报。1、每月对全省10家公路局管理局，2家下属企业的互联网地址及专网地址进行漏洞扫描和渗透测试。2、行业网络安全工作态势：交通行业和省信息安全通报成员单位报送的安全事件、攻击事件和病毒预警爆等情况；安全监测系统产生的安全事件预警、安全事件处置情况等。3、网络安全预警：摘录近期国家信息安全漏洞共享平台(CNVD)、中国信息安全测评中心、国家互联网应急中心1、服务范围：全省10家公路局管理局，2家下属企业互联网系统及专网2、人员：项目经理：具备CISP、PMP资质，网络安全行业经验至少2年项目成员：网络安全行业经验至少2年。3、工具：使用主流、对业务系统运行无影响的安全工具4、时间：每月开展一次。(每月月底根据公路局提供的资产开展漏洞扫描和渗透测试，次月10号前草拟的网络安全情况通报提交甲方审核。5、成果：《XX月网络安全信息通报》12次/年

(CERT)发布的安全通告，主要包括(但不限于)：Windows、AIX、HP-UX.Solaris、Linux操作系统，数据库中间件，以及常用软件和网络与安全设备生产商的漏洞和修补方法。8网络安全技术支撑1、迎检支撑：贵州省公路局迎接上级或相关主管部门网络安全检查时，配合客户检查进行自查。提供安全服务人员，以及有关检查设备，开展网络安全自查及配合贵州省公路局迎接上级部门检查工作。2、日常安全工作：协助完成上级部门网络安全工作，安全通报等工作，根据通报内容进行安全整改；3、在服务期内，为客户提供安全建设咨询服务。4、安全检查：配合贵州省公路局对下级单位的网络安全检查工作1、服务范围：贵州省公路局2、人员：项目经理：具备CISP、PMP资质，网络安全行业经验至少2年项目成员：网络安全行业经验至少2年。3、工具：使用主流、对业务系统运行无影响的安全工具4、时间：按需，根据检查要求，提前进行安全自查等工作5、成果：《安全自查方案》、《安全自查报告》等资料按需

9网络安全加固在服务期内，将对风险评估、定期检查等工作中的发现安全隐患进行整改加固。对于应用系统本身的安全风险，指导协调第三方开发单位进行安全加固。加固内容须包括：操作