廣電BOSS系統(tǒng)_等級保護測評整改方案

1、數(shù)字電視綜合運營支撐（BOSS）系統(tǒng)等級保護整改方案000000000002014年12月、概述1二、系統(tǒng)現(xiàn)狀12.1數(shù)字電視綜合運營支撐（BOSS）系統(tǒng)系統(tǒng)描述12.1.2系統(tǒng)拓撲圖22.1.3系統(tǒng)構成22.1.4系統(tǒng)測評結論4三、整改依據(jù)5四、整改內(nèi)容64.1數(shù)字電視綜合運營支撐（BOSS）系統(tǒng)物理安全64.1.2基礎網(wǎng)絡安全74.1.3邊界安全84.1.4主機安全總要求..6安全管理機構人員安全管理系統(tǒng)建設管理224.1.9系統(tǒng)運維管理26五、方案總結.3.5附件一：設備清單匯總37專業(yè)word可編

2、輯附件二：管理制度及表單條目清單38概述信息安全等級保護是國家信息安全保障的基本制度、基本策略、基本方法，開展信息安全等級保護工作是保護信息化發(fā)展、維護國家信息安全的根本保障。實施信息安全等級保護制度，信息系統(tǒng)運營使用單位和主管部門能按照 標準進行安全建設、整改，信息系統(tǒng)安全也有了一個衡量尺度。信息系統(tǒng)根據(jù) 其在國家安全、經(jīng)濟建設、社會生活中的重要程度，遭到破壞后對國家安全、 社會秩序、公共利益以及公民、法人和其他組織的合法權益的危害程度分成五 個安全保護等級（從第一級到第五級逐級增高）。本方案主要針對00000000000信息系統(tǒng)的現(xiàn)狀，依據(jù)00000000000信息 系統(tǒng)等級保護評測工作的

3、廣播數(shù)字全自動播出信息系統(tǒng)等級保護定級報告、 數(shù)字電視綜合運營支撐（BOSS）系統(tǒng)等級保護測評報告、的現(xiàn)有的狀況和 等保相關要求差距進一步深入分析，并以滿足等保需求為基礎，對 00000000000信息系統(tǒng)的建設整改進行規(guī)劃設計。系統(tǒng)現(xiàn)狀2.1 數(shù)字電視綜合運營支撐 （BOSS）系統(tǒng)2.1.1系統(tǒng)描述BOSS系統(tǒng)業(yè)務信息包括：數(shù)字電視客戶基本資料 （姓名、地址、電話 等），繳費記錄、授權情況、欠費信息、機頂盒設備信息等。00000000000為 該信息系統(tǒng)定級的責任單位，該系統(tǒng)已被定級為三級（S2A2G2）。2.1.2系統(tǒng)拓撲圖核心設備部署了中興通信的 ZXR10 8908萬兆路由交換機，19

4、個鄉(xiāng)鎮(zhèn)以及ZTF CMO ZKEI0 擁05r電防火曲fits'zmohe 盟抽MnZTJEEH 190IH豐山曲*r電中心I1KIU H9UU>X100illthK«申心"UMUtlBt»nJLFNIPEETI9E0三七巾童活nB.qj i城區(qū)匯聚節(jié)點均部署ZXR10 8905萬兆路由交換機。具體網(wǎng)絡拓撲如下圖所示：2XI0&»tXlkv-iIMflHiiC*圖1 00000000000 信息系統(tǒng)網(wǎng)絡拓撲2.1.3系統(tǒng)構成1）業(yè)務應用軟件表4 00000000000信息系統(tǒng)業(yè)務應用軟件序號軟件名稱主要功能1數(shù)字電視綜合運營支撐主要

5、完成數(shù)字電視用戶信息的錄入、更新、認（BOSS）系統(tǒng)證、授權、計費等功能2）主機/存儲設備表5 00000000000信息系統(tǒng)主機/存儲設備序號設備名稱操作系統(tǒng)/數(shù)據(jù)庫管理系統(tǒng)1收費工作站W(wǎng)in dows XP/-PC2數(shù)據(jù)庫服務器-1IBM X3650 M3SOLARIS/ Oracle3數(shù)據(jù)庫服務器-2IBM X3650 M3SOLARIS/ Oracle4接口服務器IBM X3650 M3Linux/-5測試服務器-1IBM X3650 M3Linux/-6測試服務器-2IBM X3650 M3Linux/-7認證服務器-1IBM X3650 M3Linux/-8認證服務器-2IBM X

6、3650 M3Linux/-3）網(wǎng)絡互聯(lián)設備表6 00000000000信息系統(tǒng)網(wǎng)絡互聯(lián)設備序號設備名稱用途1中興 ZXR10 8908核心交換機2中興 ZXR10 8908匯聚交換機2.1.4系統(tǒng)測評結論等級測評結論為基本符合”，差距項分布如下表所示：咅項 合 符 不項 險 風 高技術要求全 安二 理 物4OO2OO全 安 界 邊O3O全 安 口昔 務 艮31O全 安 用 應51O全 安 據(jù) 數(shù)1OO管理要求求 要 總OOO安5OO二 § 管 全 安 員 人41O5OOO12O整改依據(jù)1) GB 17859-1999信息安全技術 計算機信息系統(tǒng)安全保護等級劃分準 貝2) 廣播電視相

7、關信息系統(tǒng)安全等級保護基本要求(GD/J038-2011 )3) 廣播電視相關信息系統(tǒng)安全等級保護測評要求(GD/J044-2012 );4) 信息系統(tǒng)安全等級保護定級報告；5) 數(shù)字電視綜合運營支撐(BOSS)系統(tǒng)安全等級保護測評報告；四、整改內(nèi)容4.1數(shù)字電視綜合運營支撐（BOSS）系統(tǒng)4.1.1物理安全1. 相關要求及依據(jù)詳見GD/J038-2011有關物理安全要求。為滿足要求，通過部署防盜報警系統(tǒng)及火災自動報警系統(tǒng)和滅火系統(tǒng)，開展機房運維管理和環(huán)境管理，提高機房的安全性。2. 安全現(xiàn)狀及整改措施類別測評內(nèi)容結果記錄涉及資產(chǎn)符合情況整改措施物理訪問控制b）需進入播出機房的 來訪人員應經(jīng)過

8、申請和 審批流程，并限制和監(jiān) 控其活動范圍。進入機房由專人陪同，缺少來訪人員進入機房的審批記錄部分符合設置來訪人員進行機房審批記錄防盜 竊和 防破 壞c）應利用光、電等技術設置機房防盜報警系統(tǒng)；機房缺少防盜報警系統(tǒng)不符合部署防盜報警系統(tǒng)機房環(huán)境b）機房應有防水防潮措 施，應充分考慮水管泄機房窗戶缺少防水防滲處 理，機房的窗戶、屋頂和墻不符合定期開展機房運維和環(huán)境管理漏和凝露的可能性，并做好相應的預防措施；壁未出現(xiàn)漏水、滲透和返潮 現(xiàn)象，機房內(nèi)空調排水管進 行加固防滲、防漏處理，機 房空調具有除濕功能，缺少 防水防潮處理記錄d）機房應設置溫、濕 度自動調節(jié)設施，使機 房溫、濕度的變化在設 備運行

9、所允許的范圍之 內(nèi)；機房內(nèi)具有專業(yè)空調，可對 機房內(nèi)溫度進行自動調節(jié)， 具有空調定期檢查和維護記 錄，缺少機房濕度控制設置部分符合增加機房濕度調節(jié)設施機房消防設施b）機房應設置火災自 動消防系統(tǒng)，能夠自動 檢測火情、自動報警， 并自動滅火；機房內(nèi)具有日常值守人員，機房具有干粉火火器，缺少自動滅火設備部分符合部署火災自動報警系統(tǒng)和自動滅火系統(tǒng)4.1.2基礎網(wǎng)絡安全1.相關要求及依據(jù)詳見GD/J038-2011有關基礎網(wǎng)絡安全要求。為滿足要求，通過部署動態(tài)令牌及日志服務器并完善設備基本配置要求定期開展設備維護，達到基礎網(wǎng)絡安全要求。2.安全現(xiàn)狀及整改措施類別測評內(nèi)容結果記錄涉及資產(chǎn)符合整改措施情況

10、C）應保護審計記錄，避對日志進行集中免受到未預期的刪除、缺少對審計日志進交換機不符管理，定期進行修改或覆蓋等，審計記行必要保護合安全審計錄至少保存 90天；分析d）應疋期對審計記錄進對日志進行集中行分析，以便及時發(fā)現(xiàn)未定期對審計記錄進行分析交換機不符合管理，定期進行異常行為；分析e）當對網(wǎng)絡設備進行遠程管理時，應采用網(wǎng)絡HTTPS、SSH等安全的遠程管理設備時采不符采用SSH遠程管設備交換機遠程管理手段，防止用用telnet方式進行理防護戶身份鑒別信息在網(wǎng)絡傳輸過程中被竊聽；4.1.3邊界安全3. 相關要求及依據(jù)詳見GD/J038-2011有關邊界安全要求。為滿足要求，通過修改配置，設置日志集

11、中管理并定期分析，提供邊界安 全性。4. 安全現(xiàn)狀及整改措施類別測評內(nèi)容結果記錄涉及資產(chǎn)符合情況整改措施a）應在信息系統(tǒng)的網(wǎng)絡邊界處進行惡意代碼檢測和清除，并維護惡意BOSS系統(tǒng)在邊界處代碼庫的升級和檢測系未設置惡意代碼防不符統(tǒng)的更新，播出整備系合惡意統(tǒng)、播出系統(tǒng)等播出直范措施在網(wǎng)絡邊界部署代碼接相關系統(tǒng)的邊界可根惡意代碼防范設防范據(jù)需要進行部署備b）防惡意代碼產(chǎn)品應與BOSS系統(tǒng)在邊界處信息系統(tǒng)內(nèi)部防惡意代未設置惡意代碼防不符碼產(chǎn)品具有不同的惡意范措施合代碼庫a）應在信息系統(tǒng)的網(wǎng)絡邊界處監(jiān)視以下攻擊行為：端口掃描、強力攻BOSS系統(tǒng)在邊界處入侵擊、木馬后門攻擊、拒未設置入侵防御措不符在網(wǎng)絡邊

12、界部署防范絕服務攻擊、緩沖區(qū)溢合入侵防范設備出攻擊、IP碎片攻擊和施網(wǎng)絡蠕蟲攻擊等，播出整備系統(tǒng)、播出系統(tǒng)等信息系統(tǒng)的邊界可根據(jù)需要進行部署安全審計a）應在與外部網(wǎng)絡連接的網(wǎng)絡邊界處進行數(shù)據(jù)通信行為審計BOSS系統(tǒng)與CA系 統(tǒng)、VOD、營業(yè)廳 相連，缺少對系統(tǒng) 網(wǎng)絡邊界處進行數(shù) 據(jù)通信的行為進行 審計不符合在與外部網(wǎng)絡連 接的網(wǎng)絡邊界處 進行數(shù)據(jù)通信行 為審計，并對審 計日志進行集中 管理和日常分析b）審計記錄應包括事件的日期、時間、用戶 名、IP地址、事件類 型、事件是否成功等BOSS系統(tǒng)與CA系 統(tǒng)、VOD、營業(yè)廳 相連，缺少對系統(tǒng) 網(wǎng)絡邊界處進行數(shù) 據(jù)通信的行為進行 審計不符合C）應保護

13、審計記錄，避 免受到未預期的刪除、修改或覆蓋等，審計記 錄至少保存 90天BOSS系統(tǒng)與CA系 統(tǒng)、VOD、營業(yè)廳 相連，缺少對系統(tǒng) 網(wǎng)絡邊界處進行數(shù) 據(jù)通信的行為進行 審計不符合d）應疋期對審計記錄進行分析，以便及時發(fā)現(xiàn)BOSS系統(tǒng)與CA系統(tǒng)、VOD、營業(yè)廳不符合異常行為相連，缺少對系統(tǒng) 網(wǎng)絡邊界處進行數(shù) 據(jù)通信的行為進行 審計4.1.4主機安全1. 相關要求及依據(jù)詳見GD/J038-2011有關主機要求。為滿足要求，通過修改主機安全配置，設置登陸口令復雜度限制、登陸失 敗措施、開啟安全審計、定期升級系統(tǒng)和打補丁，提高主機操作系統(tǒng)和數(shù)據(jù)庫 的安全性。2. 安全現(xiàn)狀及整改措施類別測評內(nèi)容結果記

14、錄涉及資產(chǎn)符合情況整改措施a）應對登錄操作系統(tǒng)和收費工作站數(shù)據(jù)庫系統(tǒng)的用戶進行技術部多人使用冋數(shù)據(jù)庫服務器-1/2每個自然人對應身份標識和鑒別，應為一管理員賬戶，不接口服務器不符使用一個賬戶，身份不同用戶分配不同的用同用戶未分配不同測試服務器-1/2合避免賬戶共享情鑒別戶名，不能多人使用同的用戶名認證服務器-1/2況一用戶名；數(shù)據(jù)庫系統(tǒng)-1/2b）操作系統(tǒng)和數(shù)據(jù)庫系操作系統(tǒng)缺少口令收費工作站不符對操作系統(tǒng)和數(shù)統(tǒng)管理用戶身份標識應長度、更新周期、數(shù)據(jù)庫服務器-1/2合據(jù)庫配置用戶口具有不易被冒用的特復雜性限制接口服務器令有效期的強制點，口令應有復雜度要測試服務器-1/2提醒與更新功求并定期更換；

15、認證服務器-1/2能，使口令設置數(shù)據(jù)庫系統(tǒng)-1/2時系統(tǒng)具有復雜數(shù)字電視綜合運營支撐度檢查和長度限（BOSS）系統(tǒng)制收費工作站數(shù)據(jù)庫服務器-1/2C）應啟用登錄失敗處理接口服務器啟用登錄失敗處功能，可采取結束會操作系統(tǒng)未啟用登測試服務器-1/2不符理功能，口令嘗話、限制非法登錄次數(shù)錄失敗處理功能認證服務器-1/2合試超過規(guī)定次數(shù)和自動退出等措施；數(shù)據(jù)庫系統(tǒng)-1/2鎖定賬戶數(shù)字電視綜合運營支撐（BOSS）系統(tǒng)為操作系統(tǒng)管理員和數(shù)據(jù)庫管理c）應實現(xiàn)操作系統(tǒng)和數(shù)操作系統(tǒng)和數(shù)據(jù)庫不符員崗位配備不同據(jù)庫系統(tǒng)特權用戶的權管理員由同一人擔數(shù)據(jù)庫系統(tǒng)-1/2合的人員，同時補限分離；任，權限未分離充相應人員崗位

16、職責安全a）安全審計應覆蓋到服審計功能未開啟或數(shù)據(jù)庫服務器-1/2不符啟用本地安全審審計務器和重要客戶端上的審計不全面，未定接口服務器合計功能或部署堡每個操作系統(tǒng)用戶和數(shù)期對審計記錄進行測試服務器-1/2壘機等第二方審據(jù)庫用戶；分析認證服務器-1/2計系統(tǒng)，審計策數(shù)據(jù)庫系統(tǒng)-1/2略配置登錄登出、權限變更、重要文件增刪行為等事件內(nèi)容通過設置專門的a）操作系統(tǒng)遵循最小安收費工作站升級服務器等方裝的原則，僅安裝需要數(shù)據(jù)庫服務器-1/2式保持對操作系入侵的組件和應用程序，并系統(tǒng)補未及時升接口服務器不符統(tǒng)安全補丁的及防范通過設置升級服務器等級測試服務器-1/2合時更新，并補充方式保持系統(tǒng)補丁及時認證服

17、務器-1/2完善相關系統(tǒng)升得到更新數(shù)據(jù)庫系統(tǒng)-1/2級制度和升級記錄應部署具有統(tǒng)一管理功能的防惡意代碼軟件，收費工作站并定期更新防惡意代碼數(shù)據(jù)庫服務器-1/2建議操作系統(tǒng)安惡意操作系統(tǒng)未部署具軟件版本和惡意代碼接口服務器不裝企業(yè)版或網(wǎng)絡代碼有統(tǒng)一管理功能的庫；新聞制播系統(tǒng)、播測試服務器-1/2符合版殺毒軟件進行防范防惡意代碼軟件出整備系統(tǒng)、播出系統(tǒng)認證服務器-1/2統(tǒng)一管理等播出直接相關系統(tǒng)的數(shù)據(jù)庫系統(tǒng)-1/2核心服務器可根據(jù)需要進行部署和更新。4.1.5總要求1.相關要求及依據(jù)詳見GD/J038-2011有關總要求。為滿足要求，制定信息安全工作的總體方針和安全策略管理制度和操作規(guī)程安全管理制

18、度體系等制度達到目的或檢查要求。2.安全現(xiàn)狀及整改措施類別測評內(nèi)容結果記錄涉及資產(chǎn)符合情況整改措施a）應制定信息安全工作補充信息安全工作的總的總體方針和安全策體方針和安全策略，主略，說明安全工作的總缺少信息安全工作的總體方針和安全策略文件/不符合要內(nèi)容包括機構安全工作體目標、范圍、原則和的總體目標、范圍、方安全框架等；針、原則、和安全框架總要b）應成立指導和管理信00000000000 關于成立信息安全保護工作的補充信息安全管理工作求息安全工作的領導小通知余廣電2012】42部分號，明確成立了信息安/的職能部門，并明確職組，設立信息安全管理全工作的領導小組，但符合工作的職能部門；未設立信息安全

19、官理工作的職能部門能部門的職責c）應制定各項信息安全缺少各項安全管理制不符制定各項安全管理制度和制度和操作規(guī)程，明確度文檔，缺少全面的信息安全管理制度體/ 丨 1 |合操作規(guī)程信息安全管理各項要系制定信息安全管理制度體求，形成由安全方針、 管理制度、細化流程等 構成的全面的信息安全 管理制度體系，使等級 保護工作常態(tài)化、制度 化。系文件，制度體系由總體 方針、安全策略、管理制 度、操作規(guī)程等構成4.1.6安全管理機構1.相關要求及依據(jù)詳見GD/J038-2011有關管理機構要求。為滿足要求，系統(tǒng)管理審批管理制度、系統(tǒng)管理審批記錄、安全檢 查制度、安全檢查管理制度和補充完善崗位職責、安全檢查記錄

20、 等制度，保障系統(tǒng)的安全。2.安全現(xiàn)狀及整改措施類別測評內(nèi)容結果記錄涉及資產(chǎn)符合情況整改措施崗位設置b）應設立信息安全管理 工作的職能部門，負責 信息安全各項工作的組 織和落實，配備專職安 全管理員；設立信息安全組織機 構，負責信息安全各項 工作的組織和落實未配備專職的安全管理員/部分符合補充岡位職責，明確安全管理員的職責，配備專職的安全管理員b）應設立信息安全管理未設立信息安全組織機 構/不符設立信息安全組織機構，工作的職能部門，負責未配備專職的安全管理合明確機構的職責，配備專信息安全各項工作的組員職的安全管理員織和落實，配備專職安全管理員；補充部門職責和崗位職責，主要內(nèi)容包括：安全主管、各

21、個方面的負責人的崗位職責的具體設置 ，d）應制定文件明確安全主要內(nèi)容包括：網(wǎng)絡管理管理機構各個部門和崗缺少職能部門的職責 和崗位職責文件/不符合員、機房管理員、系統(tǒng)管位的職責。理員、安全管理員、數(shù)據(jù)庫管理員、審計員、應用系統(tǒng)管理員等崗位的具體設置，并清晰、明確各個崗位的職責范圍b）應針對系統(tǒng)變更、增加系統(tǒng)管理審批管理重要操作、物理訪冋和缺少審批管理制度（系制度：主要內(nèi)容包括明授權系統(tǒng)接入等事項建立審統(tǒng)變更、重要操作、物不符確對系統(tǒng)投入運行、網(wǎng)絡和審批程序，按照審批程序理訪問和系統(tǒng)接入等事/合系統(tǒng)接入和重要資源的訪批執(zhí)行審批過程，對重要項），缺少逐級審批的冋、變更管理、產(chǎn)品米購活動建立逐級審批制

22、文檔等關鍵活動的審批部門和度；批準人進行規(guī)定，明確審批流程c）應定期審查審批事增加逐級審批的文檔項，及時更新需授權和缺少審批管理制度文檔/不符對審批過程進行記錄，增審批的項目、審批部門合加審批事項的審查記和審批人等信息；錄，包括審批事項、審d）應記錄審批過程并缺少關鍵活動的審批過/不符批部門、審批人的變更進行評審等內(nèi)容，對關鍵活保存審批文檔。程記錄合動的審批進行記錄a）應加強各類管理人不定期召開協(xié)調會議，電話、郵件、當面溝員之間、組織內(nèi)部機構通，溝通內(nèi)容歷史問題增加會議紀要，包括之間以及信息安全職能的解決，缺少組織內(nèi)部部門內(nèi)部的合作與溝機構之間以及信息安全/部分符合組織內(nèi)部機構之間以及信息安全

23、職能部門內(nèi)部的安通，疋期或不疋期召開職能部門內(nèi)部的安全工溝通協(xié)調會議，共同協(xié)作處作會議文件,經(jīng)檢杳,全工作會議文件和合理信息安全問題；通訊錄，明確了組織機作構內(nèi)部人員聯(lián)系表與信息內(nèi)外相關工作單b）應加強與系統(tǒng)內(nèi)外相位建立了溝通與合作機增加會議紀要，包括關工作單位的合作與溝構，郵件、電話進行聯(lián)/部分與系統(tǒng)內(nèi)外相關工作單位通，確保信息安全各項系，包括業(yè)務，安全符合的合作與溝通的記錄工作的順利開展；等，但缺少單獨的工作文件或記錄a）安全管理員應負責1個月檢查一次，包括補充安全檢查記錄 ，定期進行信息安全檢日常運行、備份等，未部分明確檢杳的周期，檢杳的查，檢查內(nèi)容包括系統(tǒng)包括漏洞檢查，經(jīng)檢/符合內(nèi)容包

24、括系統(tǒng)日常運行 、日常運行、系統(tǒng)漏洞和查，缺少安全檢查的記系統(tǒng)漏洞和數(shù)據(jù)備數(shù)據(jù)備份等情況；錄或報告b）應定期進行全面信增加安全檢查制度，息安全檢查，檢查內(nèi)容明確檢查內(nèi)容包括技術措包括現(xiàn)有安全技術措施對信息系統(tǒng)未進行全面施有效性和安全管理制度審核的有效性、安全配置與的安全檢查，缺少安全/不符執(zhí)行情況等方面；增加合和檢安全策略的一致性、安檢查管理制度安全檢查文檔，明確查全管理制度的執(zhí)行情況了定期進行全 面安全 檢等；查，明確了檢查內(nèi)容等增加安全檢查報告安c）信息安全主管部門應全檢杳時的安全檢杳表制定安全檢查表格實施缺少全面的安全檢查結果通告記錄，包括安全檢查，匯總安全缺少全面的安全檢查報/不符檢杳

25、內(nèi)容、檢杳時間、檢檢查數(shù)據(jù)，形成安全告合查人員、檢查數(shù)據(jù)匯總檢查報告，并對安全檢表、檢查結果等內(nèi)容的描查結果進行通報。述制度a）應建立信息安全管理缺少各項安全管理制度部分增加各項安全管理制（訪問控制、系統(tǒng)設/符合管理制度、操作規(guī)程等從訪計、系統(tǒng)建設、系統(tǒng)驗度，明確訪問控制、系問控制、系統(tǒng)設計、系 統(tǒng)建設、系統(tǒng)驗收、系 統(tǒng)運維、應急處置、人 員管理、文件檔案管 理、審核檢查等方面規(guī) 范各項信息安全管理工 作；收、系統(tǒng)運維、應急處 置、人員管理、文件檔 案管理、審核檢查等方 面）統(tǒng)設計、系統(tǒng)建設、系統(tǒng) 驗收、系統(tǒng)運維、人員管 理、文件檔案管理、審核 檢查等方面b）信息安全管理部門負增加安全管理制度

26、文責制定信息安全管理制缺少安全管理制度文檔/不符檔，規(guī)范制度的版本管度和操作規(guī)程，并進行合理版本控制；C）應組織專豕和相關部門人員對安全管理制度增加管理制度評審記和操作規(guī)程進行論證和不定期對其合理性和適 用性進行審定，根據(jù)需/部分錄，包括評審內(nèi)容、評審定，并定期對其合理要進行修訂符合審周期、參加人員和評審缺少管理制度評審記錄性和適用性進行審定，等根據(jù)需要進行修訂；4.1.7人員安全管理1.相關要求及依據(jù)詳見GD/J038-2011有關人員安全管理要求。為滿足要求，通過制定保密協(xié)議、崗位安全協(xié)議、人員離職管理制度、離崗人員交接記錄外來人員訪問管理制度、外部人員訪問重要區(qū)域的批準文檔、外部人員訪問

27、重要區(qū)域的登記記錄等人員管理制度，保障系統(tǒng)的安全2.安全現(xiàn)狀及整改措施類別測評內(nèi)容結果記錄涉及資產(chǎn)符合情況整改措施增加保密協(xié)議，對關鍵崗位的人員簽署保密協(xié)議，包括安全責任、違約對從事關鍵崗位的人員責任、協(xié)議的有效期限和人員b）應簽署保密協(xié)議和未簽署保密協(xié)議和崗位/不符責任人簽字等內(nèi)容上崗岡位安全協(xié)議。安全協(xié)議合增加崗位安全協(xié)議，包括安 全責任、違約 責任、協(xié)議的有效期限和責任人簽字等內(nèi)容增加人員離崗管理制a）應規(guī)范人員離崗過不符度，包括規(guī)范人員離崗程，及時終止離崗員工缺少人員離崗管理制度/過程，及時終止離崗員工的所有訪問權限；人員的所有訪問權限等內(nèi)容離崗b）應取回各種身份證增加離岡手續(xù)記錄表件

28、、鑰匙、徽章等以及缺少人員交接記錄/不符交接手續(xù)登記表，取單位提供的軟硬件設回離崗人員的各種身份證備；件、鑰匙、徽章等以及機構提供的軟硬件設備等C）應辦理嚴格的調離手缺少人員調離記錄，缺增加保密承諾文檔，續(xù)，關鍵崗位人員離崗少離職人員的保密承諾/不符明確要求關鍵崗位調離人須承諾調離后的保密義文檔合員承諾相關保密義務后方務后方可離開。可離開b）應對信息安全各相關補充人員安全技術考核崗位的人員定期進行安年度考核記錄，未包括安全技能和安全知/部分符合制度、人員考核記全技能、政策及安全認識的考核錄，考核的內(nèi)容包括安培訓與考知的考核；全技能及安全認知等增加安全教育和培訓記核c）應對信息安全培訓和缺少安全

29、教育和培訓記不符錄，包括培訓時間、地考核情況進行記錄并保/錄點、參與人員、培訓內(nèi)存。容、培訓結果等增加外部人員訪問重要訪冋受控區(qū)域前經(jīng)過相區(qū)域的批準文檔、外a）應確保在外部人員關人員的批準，同意后部人員訪問重要區(qū)域的登外部訪問受控區(qū)域前先提出有專人陪冋，缺少外部記記錄，主要內(nèi)容明確人員書面申請，得到授權或人員訪問重要區(qū)域的批/部分對外部人員訪問機房等重訪問審批，批準后由專人全準文檔，缺少外部人員符合要區(qū)域應經(jīng)相關部門或負管理程陪同或監(jiān)督，并登記訪問重要區(qū)域的登記記責人批準，明確外部人員備案；錄訪問的范圍、外部人員進入的條件、外部人員進入的訪問控制措施增加外來人員訪問管理制度，明確允許外部人b）

30、對外部人員允許訪問員訪問的范圍，外部人員的區(qū)域、系統(tǒng)、設備、缺少外部人員訪問管理不符進入的條件，外部人員進信息等內(nèi)容應進行書面/制度合入的訪問控制措施等；對的規(guī)定，并按照規(guī)定執(zhí)允許外部人員訪問的區(qū)行。域、系統(tǒng)、設備和信息等進行明確規(guī)定4.1.8系統(tǒng)建設管理1.相關要求及依據(jù)詳見GD/J038-2011有關系統(tǒng)建設管理要求。為滿足要求，我們通過增加安全設計方案、工程實施文檔、測試驗收 文檔、方案評審記錄、軟件開發(fā)管理規(guī)范和系統(tǒng)交付清單等方式來加強系統(tǒng)的安全2.安全現(xiàn)狀及整改措施類別測評內(nèi)容結果記錄涉及資產(chǎn)符合情況整改措施安全a）根據(jù)信息系統(tǒng)的等技術運維部負責信息系部分增加總體安全策略，萬案級劃分

31、情況，應由專門統(tǒng)的總體規(guī)劃，經(jīng)檢/符合內(nèi)容包括近期安全建設計設計的部門對信息系統(tǒng)的安查，缺少系統(tǒng)總體安全劃和遠期安全建設計劃配全建設進行總體規(guī)劃，統(tǒng)考慮信息女全保障 體系的總體安全策略、安全技術框架、安全管 理策略、總體建設規(guī) 戈，遠期和近期建設計 劃等；策略、安全技術框架、 安全管理策略、總體建 設規(guī)劃、詳細設計方 案、近期安全建設計劃 和遠期安全建設計劃等 配套文件套文件，增加信息系統(tǒng) 建設的配套文件，包括 安全技術框架、安全管理 策略、總體建設規(guī)劃、詳 細設計方案b ）應根據(jù)國家和行業(yè)標準、規(guī)范合理設計缺少信息系統(tǒng)的信息安部分增加系統(tǒng)安全方案和策信息系統(tǒng)的信息安全方全方案和策略，缺少詳/

32、符合略羊細設計方案和策案和策略，制定詳細細的建設方案略的建設方案；c）應組織相關部門和有關安全技術專家對信息安全的規(guī)劃、建設方缺少配套文件的專家論/不符案等進行論證和審定，證文檔合對安全方案組織專家并且經(jīng)過批準后，才能評審并形成 方案評審記正式實施；錄；對配套文件進行維d）應根據(jù)等級測評、安護記錄形成維護記錄全評估的結果調整和修缺少配套文件的修訂文/不符訂信息安全的規(guī)劃、建檔合設方案等。b）應在軟件安裝之前檢測軟件包中可能存在的惡意代碼；軟件安裝之前未檢測軟件包中可能存在的惡意代碼/不符合軟件安裝之前檢測軟件包 中可能存在的惡意代碼增 加惡意代碼檢測記錄未提供軟件設計的相關增加軟件設計的相關文

33、文檔和使用指南（需求c）應要求開發(fā)單位提供檔和使用指南，包括需外包軟件設計的相關文檔和分析說明書、軟件設計/不符求分析說明書、軟件設計軟件使用指南；說明書、軟件操作手合說明書、軟件操作手冊、開發(fā)冊、軟件源代碼文檔等）軟件源代碼文檔等d）應要求開發(fā)單位提供增加源代碼審查記軟件源代碼，并審查軟缺少軟件源代碼審查記/不符錄，包括軟件中可能存件中可能存在的后門漏錄合在的后門漏洞等內(nèi)容洞等。增加工程實施方案，b）應制定詳細的工程實規(guī)定工程時間限制、進施方案控制實施過程，未提供工程實施方案，不符度、控制、質量控制等方并要求工程實施單位能/面內(nèi)容，工程實施過程按工程正式地執(zhí)行安全工程過未提供階段性實施文檔合

34、照實施方案形成各種文實施程；檔，如階段性工程進程匯扌報扌報告c）應制定工程實施方面缺少工程實施方面的管/不符增加工程實施管理制的管理制度，明確說明理制度合度，包括，明確說明實實施過程的控制方法和人員行為準則。施過程的控制方法和人員行為準則等內(nèi)容信息系統(tǒng)建設完成后對其a）應委托具有資質的第未委托公正具有資質的進行測試，委托第三方測一方對系統(tǒng)進行安全性第三方對系統(tǒng)進行安全/不符試機構對信息系統(tǒng)進行獨測試，并出具安全性測性測試立的安全性測試，形成安試扌報告；全性測試報告b）在測試驗收前應根據(jù)增加工程測試驗收方案，明確參與測試的部設計方案或合冋要求等未提供系統(tǒng)測試驗收方制訂測試驗收方案，在案，未提供系

35、統(tǒng)測試驗/不符門、人員、測試驗收內(nèi)測試驗收過程中應詳細合容、現(xiàn)場操作過程等內(nèi)測試記錄測試驗收結果，并收報告容，制定測試驗收記驗收形成測試驗收報告；錄、測試驗收報告增加測試驗收管理制C）應對系統(tǒng)測試驗收的缺少系統(tǒng)測試驗收管理不符度，包括系統(tǒng)測試驗收控制方法和人員行為準制度/合的控制方法和人員行為準則進行書面規(guī)定；則進行書面規(guī)定e）應組織相關部門和增加驗收報告的審定文相關人員對系統(tǒng)測試驗未提供驗收報告的審定/不符檔，包括驗收報告的審收報告進行審定，并簽文檔合定內(nèi)容及審定意見等字確認。系統(tǒng)a）應制定詳細的系統(tǒng)交未提供系統(tǒng)交付清單/不符增加系統(tǒng)交付清單，交付付清單，并根據(jù)交付清合明確所交接的設備、軟件

36、單對所交接的設備、軟和文檔等件和文檔等進行清點；制定項目建設管理制目前系統(tǒng)是內(nèi)部技術人度要求工程系統(tǒng)交付后b）應對負責系統(tǒng)運行維員維護，對維護人員進部分進行技術培訓，培訓記護的技術人貝進仃相應行過培訓，但未提供系/符合錄并形成記錄的技能培訓；統(tǒng)交付時的技術培訓記錄c）應提供系統(tǒng)建設過程中的文檔和指導用戶進未提供系統(tǒng)交付清單/不符行系統(tǒng)運行維護的文合檔；4.1.9系統(tǒng)運維管理1. 相關要求及依據(jù)詳見GD/J038-2011有關系統(tǒng)運維管理要求。為滿足要求，我們制定機房安全管理制度、介質管理制度、設備維護 制度、設備操作規(guī)程、惡意代碼防范管理制度、網(wǎng)絡安全管理制 度、系統(tǒng)安全管理制度、備份與恢復管

37、理制度、安全事件報告和處 置管理制度和 應急預案等達到目的或檢查要求。2. 安全現(xiàn)狀及整改措施類別測評內(nèi)容結果記錄涉及資產(chǎn)符合整改措施情況a）應指定專門的部門或技術運維部進行維護，增加機房基礎設施維護人員定期對機房供配不定期進行維護，缺少/部分記錄，包括空調、UPS電、空調、溫濕度控制機房基礎設施的維護記符合等環(huán)境等設施進行維護管理；錄管理C）應建立機房安全管理機房管理制度不夠完完善機房管理制度，制度，規(guī)范機房物理訪善，未包括機房物理訪 問、物品帶進和帶出機/部分斥斥人包括機房物理訪問、機房問、機房環(huán)境安全、工房、機房環(huán)境安全和工符合環(huán)境安全、工作人員行為作人員行為等。作人員仃為等方面等內(nèi)容a

38、）應編制并保存與信息增加資產(chǎn)清單，明確系統(tǒng)相關的資產(chǎn)清單，未明確資產(chǎn)的責任部不符資產(chǎn)的責任部門、責任包括資產(chǎn)責任部門、重/門,缺少資產(chǎn)清單人、重要程度和所處位置要程度和所處位置等內(nèi)等容；b）應建立資產(chǎn)安全管理增加資產(chǎn)安全管理制資產(chǎn)制度，規(guī)定信息系統(tǒng)資度，規(guī)定信息系統(tǒng)資產(chǎn)管理產(chǎn)管理的責任人員或責缺少資產(chǎn)安全管理制度/不符合管理的責任人員或責任部任部門，并規(guī)范資產(chǎn)管門，并規(guī)范資產(chǎn)管理和使理和使用的行為；用的行為c）應根據(jù)資產(chǎn)的重要程未明確的分類和標識管根據(jù)資產(chǎn)的重要程度對資度對資產(chǎn)進行標識管理，不冋類別的資產(chǎn)未/不符合產(chǎn)進行標識管理，并選擇理，并選擇相應的管理米取不同的管理措施相應的管理措施措施；

39、d）應對信息分類與標識 方法作出規(guī)定，并對信 息的使用、傳輸和存儲 等進行規(guī)范化管理。缺少信息分類文檔/不符合增加信息分類管理文檔，包括分類與標識方 法，信息的使用、傳輸和 存儲等內(nèi)容a）應建立介質安全管理制定介質安全管理制制度，對介質的存放環(huán)缺少介質安全管理制度（介質的存放環(huán)境、使/不符度，包括介質的存放環(huán)境、使用、維護和銷毀用、維護和銷毀等方合境、使用、維護和銷毀等面）等方面作出規(guī)定；方面b）應確保介質存放在安全的環(huán)境中，并根據(jù)所明確介質的存放環(huán)境，根承載數(shù)據(jù)和軟件的重要未明確專門的存放環(huán)不符據(jù)重要性對介質進行分類介質程度對介質進行分類和境，對介質未進行分 類和標識/合和標識管理，進行相應的管理標識管理，進行相應的控制和保護控制和保護；c）應對存儲介質的使用缺少介質管理制度（存 儲介質的使用過程、送制定介質管理制度，過程、送出維修以及銷出維修以及銷毀等進行 嚴格的管理，對經(jīng)批準不符合明確介質的銷毀和維修等毀等進行嚴格的管理，帶出工作環(huán)境的存儲介/方面的要求。明確對介質質進行登記和監(jiān)控管對經(jīng)批準帶出工作環(huán)境理，對送出維修或銷毀的物理傳輸過程是否要求的存儲介質進行登記和的介質應首先清除介質中的敏感數(shù)據(jù)）選擇可靠傳輸人員、嚴格監(jiān)控管理，對送出維修或銷毀的介質應首先清介質的打包、選擇安全的物理傳輸途徑、雙方在場除介質中的敏感數(shù)據(jù) ，交付等內(nèi)容對保密性較高的存儲介質未經(jīng)批準不應自