技術咨詢服務項目完成報告_4861

1、信息安全技術咨詢服務項目完成報告1項目名稱：項目編號：技術咨詢服務對象：項目負責人：項目組成員：項目開始時間：項目結束時間：項目交付成果：甲方：代表簽字：年月日乙方：代表簽字：年月日目錄1項目目的 .12項目依據(jù) .13項目實施方案 .23.1技術咨詢準備階段 .23.1.1確定技術咨詢范圍 .23.1.2制定項目計劃書 .33.2信息系統(tǒng)現(xiàn)狀分析階段.33.2.1現(xiàn)場調研準備活動 .33.2.2現(xiàn)場調研和結果記錄 .33.2.3結果確認和資料歸還 .33.3技術咨詢報告編制階段.44項目組織方案 .44.1項目組織結構 .44.2項目人員構成和職責 .44.3項目實施計劃 .65項目質量管理

2、和控制 .85.1過程質量控制管理 .85.2變更控制管理 .85.3項目風險管理 .95.3.1項目進度風險的管理 .95.3.2項目協(xié)作與溝通風險的管理.95.3.3調研工作引入風險的管理 .95.4保密控制管理 .95.4.1人員保密管理 .95.4.2設備保密管理 .105.4.3文檔保密管理 .10-I-1 項目目的XXX受 XXX的委托進行信息系統(tǒng)的現(xiàn)狀分析工作，主要分析信息系統(tǒng)的安全防護能力，確保系統(tǒng)與網(wǎng)絡的安全性和可靠性，以提供安全和可靠的服務。通過對信息安全進行現(xiàn)狀分析，判斷業(yè)務系統(tǒng)的防護能力是否滿足與安全保護等級相對應的安全保護要求，分析總結系統(tǒng)現(xiàn)有安全防護措施存在的優(yōu)勢和

3、不足，并給出整改計劃，從而促進系統(tǒng)安全防護工作的完善和提高，完善安全防護體系建設，保證信息系統(tǒng)的安全和有效運行。2 項目依據(jù)山東省信息安全等級保護測評工作規(guī)范（試行) 省公安廳關于信息安全等級保護工作的實施意見（公通字200466 號）信息安全等級保護管理辦法（公通字 200743號）信息安全技術信息系統(tǒng)安全等級保護基本要求（GB/T 22239-2008 ）信息安全技術信息系統(tǒng)安全等級保護定級指南（GB/T 22240-2008 ）信息安全技術信息系統(tǒng)安全等級保護實施指南信息安全技術信息系統(tǒng)安全等級保護測評要求信息安全技術信息系統(tǒng)安全等級保護測評過程指南國家信息化領導小組關于加強信息安全保障

4、工作的意見( 中辦發(fā) 200327號）計算機信息系統(tǒng)安全保護等級劃分準則（GB/T 17859-1999）信息安全技術信息系統(tǒng)通用安全技術要求（GB/T 20271-2006 ）信息安全技術網(wǎng)絡基礎安全技術要求（ GB/T 20270-2006 ）信息安全技術操作系統(tǒng)安全技術要求（ GB/T 20272-2006 ）信息安全技術數(shù)據(jù)庫管理系統(tǒng)安全技術要求（GB/T 20273-2006 ）信息安全技術終端計算機系統(tǒng)安全等級技術要求（GB/T 671-2006 ）信息安全技術信息系統(tǒng)安全管理要求（ GB/T 20269-2006 ）信息安全技術信息系統(tǒng)安全工程管理要求（GB/T 20282-20

5、06 ）信息安全技術信息安全風險評估規(guī)范（ GB/T 20984-2007 ）第 1 頁3 項目實施方案3.1 技術咨詢準備階段確定技術咨詢范圍為積極響應國家政策要求，創(chuàng)建安全健康的網(wǎng)絡環(huán)境，建立安全管理體系，完備安全技術措施， 全面提高信息安全防護能力， 本公司提供信息安全技術咨詢服務，包括：信息安全等級保護服務咨詢、信息安全風險評估服務咨詢、信息安全管理體系建設咨詢、信息安全技術體系建設咨詢。技術咨詢服務范圍如下表所示：表 3-1技術咨詢服務范圍咨詢范圍具體內容信息系統(tǒng)定級信息系統(tǒng)備案信息安全等級保護信息系統(tǒng)安全現(xiàn)狀分析信息系統(tǒng)建設整改信息系統(tǒng)等級咨詢等級咨詢報告編制風險評估準備資產識別信

6、息安全風險評估威脅識別脆弱性識別已有安全措施確認安全管理制度安全管理機構信息安全管理體系建設人員安全管理系統(tǒng)建設管理系統(tǒng)運維管理第 2 頁物理安全網(wǎng)絡安全信息安全技術措施建設主機安全應用安全數(shù)據(jù)安全制定項目計劃書在項目計劃書中明確項目實施流程、項目實施人員和項目實施時間。3.2 信息系統(tǒng)現(xiàn)狀分析階段現(xiàn)場調研準備活動現(xiàn)場調研準備活動的目標是最終審定項目實施方案、協(xié)調各種資源，正式啟動現(xiàn)場調研工作。主要工作包括：簽署現(xiàn)場調研授權書；召開首次會議，確定實施方案；協(xié)調各種資源，包括配合人員和需要提供的材料等。本活動中涉及的輸出主要是更新后的實施方案及項目實施計劃書、現(xiàn)場調研授權書和配合人員列表。現(xiàn)場調

7、研和結果記錄現(xiàn)場調研活動的目標是調研人員嚴格按照調研指導書，對信息系統(tǒng)的調研對象進行現(xiàn)場調研、記錄結果，并保證記錄結果的真實、準確、及時和規(guī)范性。主要工作包括：進程確認、實施現(xiàn)場調研、記錄調研證據(jù)、離場確認。本活動中涉及的輸出主要是現(xiàn)場調研獲取的各種證據(jù)。結果確認和資料歸還本任務的目標是對調研證據(jù)進行匯總，查漏補缺，并對發(fā)現(xiàn)的問題進行現(xiàn)場確認，歸還所有的資料文檔， 現(xiàn)場調研工作結束。 主要工作包括： 現(xiàn)場調研記錄匯總，查漏補缺，歸還所有的資料文檔。本活動中涉及的輸出主要是匯總的現(xiàn)場調研證據(jù)源記錄、文檔交接單。第 3 頁3.3 技術咨詢報告編制階段在報告編制活動中，調研人員通過分析現(xiàn)場調研獲得的

8、證據(jù)和資料，判定信息系統(tǒng)是否達到相應安全等級的安全要求，然后進行整體分析和風險分析，并提出信息系統(tǒng)整體改進方案。4 項目組織方案4.1 項目組織結構在本次項目中， XXX成立技術咨詢項目組， 下設項目總監(jiān)、 PTO專員、管理調研組、技術調研組和質量保證組。項目組織結構如下圖所示：圖 4-1 項目組織結構圖4.2 項目人員構成和職責在項目啟動任務中， XXX成立技術咨詢項目組，負責該項目的規(guī)劃與實施，下表為項目組成員列表：表 4-2 項目組成員列表擔任職務序號姓名從業(yè)資格從業(yè)年限相關經驗項目總監(jiān)1PTO 專員2第 4 頁管理調研組3組長管理調研組4成員技術調研組5組長技術調研組6成員7質量保證組

9、8質量保證組9成員第 5 頁4.3 項目實施計劃工作階段項目準備階段表 4-3 技術咨詢項目計劃表工作小組工作內容項目啟動成立項目組及成員分工咨詢小組編制項目計劃編制系統(tǒng)調研表相關資料收集系統(tǒng)調研工作日1系統(tǒng)調研階段咨詢方案準備階段現(xiàn)場咨詢階段咨詢小組咨詢小組管理咨詢組系統(tǒng)資料整理和分析編制系統(tǒng)調研報告確定咨詢范圍確定具體的咨詢對象確定咨詢工作的方法準備咨詢工具編制咨詢方案編制咨詢現(xiàn)場工作計劃咨詢方案和現(xiàn)場工作計劃確認管理訪談管理文件查閱技術訪談324技術咨詢組人工配置核查工具測試第 6 頁工作階段工作小組工作內容工作日訪談結果整理和分析查閱結果整理和分析整體安全管理分析管理咨詢組不符合項整理

10、管理咨詢結論形成改進建議分析訪談結果分析現(xiàn)狀分析階段9核查結果分析滲透結果分析技術咨詢組不符合項整理技術咨詢結論形成防范手段分析完成咨詢報告技術部分和管理部分技術咨詢組報告評審和修改技術咨詢報告編制咨詢小組編制技術咨詢服務報告3項目材料和文檔移交項目驗收咨詢小組項目驗收總結2合計24第 7 頁5 項目質量管理和控制5.1 過程質量控制管理過程自檢始終穿插在過程質量控制管理體系中，它是保證過程質量的最重要方面。過程專檢是在項目的各個階段由項目質量組和PTO專員負責對本階段工作質量和進度進行檢查。過程總檢是在項目的各個階段由項目質量組和PTO專員負責對總體質量和進度進行檢查。 通過三個檢查的共同作

11、用來保證項目的質量和工作的進度。質量保證組負責過程質量控制管理體系的建設和實施。質量保證組負責過程質量控制管理體系的試運行和內部審核。質量保證組和PTO專員負責監(jiān)督過程質量控制管理體系的落實情況并提出整改意見。質量保證組由項目總監(jiān)任命并對項目總監(jiān)負責。5.2 變更控制管理對處于項目質量和控制管理下的變更進行控制，確保相關工作產品和項目活動狀態(tài)與其保持一致，使其合理、可控制、可追溯。變更申請一般包括以下幾個步驟：1) 提交變更申請2) 審核變更申請3) 識別變更可行性4) 批準變更申請5) 實施變更申請變更控制管理相關人員包括變更申請人、變更經理、變更可行性研究小組、變更審批小組、變更小組。其中

12、除申請人外均由項目總監(jiān)任命質量保證組和PTO專員負責。項目總監(jiān)設立 PTO專員和項目質量保證組， 對整個項目進行跟蹤和監(jiān)控。 由 PTO專員負責制定項目變更控制程序，對項目變更的提出、變更的審核與批準、變更的實施等各個變更控制環(huán)節(jié)的流程和內容進行規(guī)范和指導。從而保證有效地控制和管理項目變更。第 8 頁5.3 項目風險管理項目進度風險的管理采用科學的方法確定進度目標，編制進度計劃與資源供應計劃， 進行進度控制，在與質量、費用、安全目標協(xié)調的基礎上，實現(xiàn)工期目標。編制進度計劃前進行詳細的項目結構分析，系統(tǒng)地剖析整個項目結構構成，包括實施過程和細節(jié)，系統(tǒng)規(guī)則地分解項目。做到明確單元之間的邏輯關系與工

13、作關系，作到每個單元具體地落實到責任者，并能進行各部門、各專業(yè)的協(xié)調。項目協(xié)作與溝通風險的管理項目組內部、 咨詢小組與被咨詢單位之間的適時、充分的溝通是達成項目目標、保證項目成功的重要因素。項目總監(jiān)負責建立項目溝通機制，保持暢通的項目溝通渠道。調研工作引入風險的管理調研工作的開展應該以不對被測系統(tǒng)造成不良影響為前提。在調研工作中要遵循以下要求： XXX 加強對本公司調研人員安全意識教育，提高調研實施人員主動規(guī)避風險的能力；調研開始前調研人員需要被測單位確認調研對象中的關鍵數(shù)據(jù)已經備份。如沒有備份則不進行核查；調研工作開始前對調研可能對被測系統(tǒng)造成的影響進行評估，如有潛在風險則不允許在被測生產系

14、統(tǒng)上核查，可協(xié)調被測單位搭建測試環(huán)境進行核查；對于調研過程中可能對被測系統(tǒng)產生較大壓力的調研動作要求必須避開業(yè)務高峰期進行；嚴格執(zhí)行保密協(xié)議和文檔交接送還制度，保證被測單位重要信息不外泄，調研過程由被測單位相關技術人員陪同，嚴格遵守被測單位工作紀律和操作規(guī)程。5.4 保密控制管理人員保密管理調研活動開始前調研人員需要與被測單位簽訂保密協(xié)議。調研過程中嚴格執(zhí)行保密協(xié)議規(guī)定保證被測單位信息不被披露或使用，包括意外或過失。對違反保密協(xié)第 9 頁議的人員依法追究法律責任。設備保密管理調研活動中調研人員嚴格禁止出現(xiàn)下列行為：將涉密信息設備接入互聯(lián)網(wǎng)及其他公共信息網(wǎng)絡；使用非涉密信息設備存儲、處理國家秘密；在涉密計算機與非涉密計算機之間交叉使用存儲介質；使用低密級信息設備存儲、處理高密級信息；在涉密計算機與非涉密計算機之間共用打印機、掃描儀等信息設備；擅自卸載涉密計算機上的安全保密防護軟件或設備；文檔保密管理所有重要文檔集中管理， 維護檔案的安全與完整。各項目小組人員