信息化项目统一运维安全管理 项目需求方案

市信息化项目统一运维安全管理项目需求方案第第页一、项目基本信息项目名称及所属领域与类别项目名称：石家庄市信息化项目统一运维安全管理服务。项目类型及服务对象：本项目的项目类型是政务服务、社会治理、机关办公保障、公共服务及民生保障、全市基础设施及网络安全，服务对象是公众服务、企业服务、政府、内部专用、其他等。项目类别：新建。项目需求单位本项目需求提出单位是石家庄市数据局。本项目工作联系人信息如下：所属部门：数据局科室：统维组职务：姓名及联系方式：姬鹏项目资金来源和概算上限本项目建设资金来源为市级财政投入，项目预计最高概算4800000.00元，合同履行期限36个月，分年度支付，1600000.00元/年。项目实施周期服务周期36个月。项目立项依据详见附表1。二、项目需求主要内容（一）项目需求背景1.项目背景石家庄市数据局是根据《中共河北省委办公厅、河北省人民政府办公厅关于印发〈石家庄市机构改革方案〉的通知》（冀办字〔2018〕106号）成立的市政府工作部门，机构规格正县级。石家庄市政务网络中目前己经投入使用了N朵政务云。目前统一运维的业务系统有300多个，其中政府内部管理系统按照等保2.0二级防护标准建设，对外政务服务系统按照等保2.0三级防护标准建设。我局作为全市政务信息化的主管部门，主要工作职责有：（1）贯彻执行国家、省有关电子政务、智慧城市、政务服务和数据资源管理的方针政策和法律法规，起草相关地方性法规、政府规章草案，拟订全市数据资源管理发展规划、年度计划、政策措施和评价体系并组织实施。（2）组织实施国家和地方数据技术标准；研究制定全市数据资源采集、存储、使用、开放、共享等标准规范并监督实施。（3）会同政务服务管理部门做好“互联网+政务服务”工作的规划及有关项目建设工作。（4）负责全市数据资源安全保障体系建设，会同有关部门指导各级各部门政务数据资源和公共数据资源的安全保障工作。目前，我局已初步实施了全市非涉密信息化系统的统一运维管理服务。2.当前存在的主要问题在进行全市非涉密信息化系统的统一运维管理过程中，需要落实网络安全、ITSS系统运行维护等相关标准，而运维服务的范围广、服务内容丰富，第三方运维团队多，存在以下主要问题：（1）急需建立安全规范的运行维护体系，推进运行维护标准化的落地；建立运行维护质量评估体系，对运维的全过程进行监控，对运维质量进行多维度的评估评价，逐步优化提升运维质量。（2）第三方运维公司对运维人员的操作管理不清晰。运维人员账号交叉使用存在安全风险、运维人员权限管理颗粒度粗放导致管理职责无法落实到位、对运维人员的操作过程难以定位溯源。（3）在政务云资源的使用效率上，要提高资源的有效性，实时监测各个业务系统的资源使用情况，根据政务云管理的相关规定，提供优化建议。（4）增强政务云安全能力，加强风险管理。制定业务系统迁入政务云的安全审查制度，在安全评估通过后方可迁入到政务云上。（5）对各业务系统提供周期性的安全风险评估报告，制定网络安全风险管理制度，协助各单位落实安全整改工作。（二）项目建设目标为解决在全市信息化系统统一运维管理过程中发现的问题，我局通过建设本项目达成建立安全规范的运行维护体系、降低运维团队的操作风险、推动运维工作流程标准化落地、强化政务资源集约化管理、建设运维考核量化评估机制的目标。（三）项目需求分析1.业务功能及流程分析（1）运维团队安全管理运维过程中因实际工作的需要，各委办局需要将网络设备的拓扑、登录信息、管理员账号权限等关键信息告知运维团队；如果由委办局进行登录后，再由运维人员操作，又会大大降低运维效率。所以，实际操作中，存在运维人员留存很多资产清单、网络拓扑图、登录密码、管理员账号权限等关键信息；且这些信息在多个运维人员中流动，运维的安全风险非常高，用户身份唯一性无法确认，一旦发生安全事故，无法溯源事故实际责任人，难以精确定位行为到人，存在较大安全隐患。（2）运维团队权限管理运维人员权限存在粗放式管理，缺少统一的运维操作授权策略，授权粒度粗，无法基于最小权限分配原则管理用户权限，造成因运维人员权限过大，内部权限滥用导致的数据泄露风险，存在巨大的数据隐私安全隐患。（3）运维工作流程标准化全市各信息系统的运维服务工作内容较多，差异性较大，由于缺乏安全运维标准化的工作流程，无法达到标准化运维的要求。（4）政务云使用效率评估目前政务云已承载了上百个业务系统，根据政务云资源使用效率的有关规定，需要对现有的政务云进行多云纳管，实时监控各个业务系统的资源使用效率，提供资源优化建议，提高政务云资源的使用效率，节约财政资金。（5）业务系统迁云前的安全审查随着数字化、信息化的进一步推进，政务云需要承载更多的业务系统，提供更安全的资源环境。应在业务系统迁入政务云前，建立安全审查制度，明确安全审查的评估方式、制定“申请—资料审查—技术审查—迁入政务云”的业务流程。（6）安全运维考核量化评估目前，安全运维考核没有从技术、管理两个维度以数据化的形式展现工作成果，导致服务效果无法客观呈现，服务考核难以有效评估，工作改进缺少数据支撑。2.业务、信息量估算本项目支撑现有300余个业务系统和数十个第三方运维团队。3.系统功能需求见附表2。4.系统性能需求本项目支撑全市非涉密信息化系统的统一运维安全管理工作，涉及300余个业务系统，预计访问量为30000次/天。5.数据资源共享需求本项目不涉及。6.视频资源共享需求本项目不涉及。7.系统安全需求本项目不涉及。8.信息标准化需求本项目拟新建信息化运维管理规范两个，内容涉及政务信息资源全生命周期安全管理以及信息系统迁入政务云管理。（四）部署方式与共性资源使用计划本项目拟规划部署在市政务云资源上。（五）利旧计划本项目不涉及。（六）与其他信息系统的关系本项目拟对接现有运维管理平台和政务云管理平台，通过系统间数据联动推动运维安全管理和云资源优化。（七）数据共享交换计划本项目不涉及。三、项目需求预期成效本项目建成后，可持续优化管理成本、资产成本，推动安全运维标准化管理落地，提升运维工作质量和工作效率，助力行政效能降本提效。同时，极大降低数据泄露风险，为全市信息系统的安全稳定运行提供有力支撑，为资源共建、数据共享、业务协同提供安全保障。

附表1石家庄信息化项目需求基本情况表项目名称石家庄市数据局统一运维管控项目所属专项需求部门石家庄市数据局项目编码服务对象☑公众服务☑企业服务☑政府服务☑内部专用☑其他项目类型□国家垂直系统□省建垂直系统☑政务服务☑社会治理☑机关办公保障☑公共服务及民生保障□信息化硬件设备采购☑全市基础设施及网络安全□其他项目需求简介本项目针对在全市信息化系统统一运维管理过程中发现的问题,需要建立安全规范的运行维护体系和运行维护质量评估体系；完善运维人员权限管控机制；优化政务云资源使用效率；加强业务系统迁入政务云的安全审查力度；支撑安全运维考核量化评估工作，从而实现运行维护体系规范化、运维团队操作风险可控化、运维工作流程标准化、政务资源管理集约化、运维考核评估可量化的目标。需求政策依据及批示1、《中华人民共和国网络安全法》（中华人民共和国主席令（第五十三号））2、《中华人民共和国数据安全法》（中华人民共和国主席令（第八十四号））3、《中华人民共和国密码法》（中华人民共和国主席令（第三十五号））4、《商用密码管理条例》（中华人民共和国国务院令（第760号））5、《关键信息基础设施安全保护条例》（中华人民共和国国务院令(第745号)）6、《国家政务信息化项目建设管理办法》（国办发〔2019〕57号）7、《信息安全技术信息安全等级保护定级指南》（GB/T22240—2008）8、《信息安全技术网络安全等级保护基本要求》（GB/T22239-2019）9、《信息安全技术网络安全等级保护设计要求》（GB/T25070-2019）10、《信息安全技术信息系统安全管理要求》（GB/T20269-2006）11、《信息安全技术网络基础安全技术要求》（GB/T20270-2006）12、《信息安全技术信息系统通用安全技术要求》（GB/T20271-2006）13、《信息安全技术信息系统安全等级保护测评要求》（GB/T28448-2012）项目需求预计达成效果本项目建成后，可持续优化管理成本、资产成本，推动安全运维标准化管理落地，提升运维工作质量和工作效率，助力行政效能降本提效。同时，极大降低数据泄露风险，为全市信息系统的安全稳定运行提供有力支撑，为资源共建、数据共享、业务协同提供安全保障。涉密情况☑非密□涉密□机密□绝密运行网络☑政务外网□政务内网☑互联网络☑部门专网（专网名称：）建设类别☑拟建新增□重建更新□在建升级□其他服务形式□自建项目☑市级项目□省级项目□国家级项目涉及行业/领域软件和信息技术服务业服务周期36个月采购及投资情况投资类型：□政府采购□租赁☑政府购买服务□其他资金来源□国家专项□省级专项☑市级专项□其他财政□自筹自支□国债资金□专项债资金□PPP类□其他预计投入的服务器资源（配置及数量）无是否云部署☑是☑市政务云□其他云服务商：□否数据存放形式□本地存储□云端存储☑无存储□异地备份□其他（请注明）（）是否计划使用共性资源否☑是，使用的共性资源包括：石家庄市政务云具体计划为：拟在石家庄市政务云上部署统一运维安全管理平台是否与其他单位业务系统相关联是，关联单位名称（所有方）：☑否预计可实现为本需求提供共享的单位及数据预计本项目支撑业务系统400个本单位现有业务系统间是否为该项目提供共享信息否☑可，共享的信息为：运维工单信息、运维流程信息、运维人员信息及权限如果可提供共享，共享方式为:□（中间）数据库连接☑开放接口调用□前置机共享交换□其他共享频率：□定期交换（□年□季□月□周□其他）☑实时共享预计可否为其他单位业务系统提供共享信息☑否□可，共享的信息为：如果可实现共享，共享方式为:□（中间）数据库连接□开放接口调用□前置机共享交换□其他共享频率：□定期交换（□年□季□月□周□其他）□实时共享预计本项目需求是否利旧☑否是，利旧的具体内容介绍：

附表2系统功能点清单序号功能点名称功能描述关联性描述备注1运维团队安全管理服务使用密码、身份认证、安全隧道等技术，实现运维人员安全接入、唯一身份标识认证、实名制管理，保护数据完整性，防范网络攻击，确保数据安全传输。2运维团队权限管理服务从用户、资产、动作三个维度确定人员权限，建立权限解耦机制，实现管理权限集中到数据局，使用权限分散到运维人员。3运维工作流程标准化管理服务从人、事、物三个维度制定运维工作标准规范，对运维工作事前预警监