系統(tǒng)安全等級(jí)保護(hù)定級(jí)報(bào)告

XXXX系統(tǒng)安全等級(jí)保護(hù)定級(jí)報(bào)告一、XXX管理系統(tǒng)描述（一）信息系統(tǒng)基本情況XXX管理系統(tǒng)（以下簡(jiǎn)稱〃XX系統(tǒng)〃）是由XXX有限公司（以下簡(jiǎn)稱〃XXX”）于XX年XX月立項(xiàng)，委托XXX科技有限公司進(jìn)行系統(tǒng)開(kāi)發(fā)。XXX公司XXX部是XXX管理系統(tǒng)的運(yùn)營(yíng)部門(mén)，XXX部是運(yùn)行維護(hù)和信息安全的歸口管理部門(mén)。XXX有限公司是網(wǎng)絡(luò)環(huán)境的運(yùn)營(yíng)管理部門(mén)。XXX部為該信息系統(tǒng)定級(jí)的責(zé)任部門(mén)。（二）信息系統(tǒng)網(wǎng)絡(luò)及安全架構(gòu)XXX系統(tǒng)部署在XXX云機(jī)房?jī)?nèi)。服務(wù)器資源包括2臺(tái)虛擬機(jī)，分別是應(yīng)用服務(wù)器和數(shù)據(jù)庫(kù)服務(wù)器，應(yīng)用服務(wù)器掛載有云共享存儲(chǔ)NAS，服務(wù)器占用單獨(dú)的局域網(wǎng)。同時(shí)采購(gòu)云主機(jī)安全系統(tǒng)（天珣內(nèi)網(wǎng)安全風(fēng)險(xiǎn)管理與審計(jì)系統(tǒng)V6.6）、云防火墻（天清漢馬USG防火墻V2.6）和云綜合日志審計(jì)（泰合信息安全運(yùn)營(yíng)中心系統(tǒng)日志審計(jì)V3.0）服務(wù)。云主機(jī)安全實(shí)現(xiàn)對(duì)服務(wù)器資源的資產(chǎn)管理、風(fēng)險(xiǎn)管理、策略管理以及報(bào)表監(jiān)控等。云防火墻具備入侵防御模塊、病毒過(guò)濾模塊以及行為控制模塊，實(shí)現(xiàn)安全防護(hù)。云綜合日志審計(jì)服務(wù)可提供獨(dú)立日志審計(jì)引擎，支持日志范式化，提供基于資產(chǎn)的拓?fù)湟晥D等。

應(yīng)用系統(tǒng)向互聯(lián)網(wǎng)用戶開(kāi)放，同時(shí)通過(guò)專(zhuān)線與公司內(nèi)部網(wǎng)絡(luò)相連（中間有沒(méi)有部署什么網(wǎng)絡(luò)設(shè)備或安全產(chǎn)品），實(shí)現(xiàn)數(shù)據(jù)交互。系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)如下圖：；rt.RTIFt. 主科H，醫(yī)圖1XXX系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)圖（三）信息系統(tǒng)主要業(yè)務(wù)XXX系統(tǒng)為非涉密信息系統(tǒng)，是處理XXX業(yè)務(wù)、以及由此帶來(lái)的資金業(yè)務(wù)的風(fēng)險(xiǎn)控制系統(tǒng)、數(shù)據(jù)處理系統(tǒng)等。系統(tǒng)包括客戶管理、報(bào)價(jià)管理、項(xiàng)目管理、合同管理、投放管理、放款管理、資金管理、押品管理、租賃物管理、資產(chǎn)分類(lèi)管理、不良資產(chǎn)管理、租后管理、發(fā)票管理、流程管理、風(fēng)險(xiǎn)管理、監(jiān)控管理、移動(dòng)管理、檔案管理、調(diào)息管理、稅率調(diào)整管理、撥備管理、業(yè)務(wù)核算管理、業(yè)財(cái)系統(tǒng)對(duì)接、系統(tǒng)管理、接口管理等功能。系統(tǒng)用戶主要是渠道合作商、承租人、潛在客戶以及公司員工，業(yè)務(wù)范圍只涉及公司開(kāi)展的XXX相關(guān)業(yè)務(wù)。二、XXX管理系統(tǒng)安全保護(hù)等級(jí)確定（一）業(yè)務(wù)信息安全保護(hù)等級(jí)的確定1、 業(yè)務(wù)信息描述XXX系統(tǒng)是公司為開(kāi)展XXX業(yè)務(wù)建設(shè)的系統(tǒng)，業(yè)務(wù)信息包括：XXX經(jīng)銷(xiāo)商注冊(cè)信息（公司名稱、聯(lián)系電話、地址），征信信息（個(gè)人積累信譽(yù)財(cái)富等），購(gòu)車(chē)人、擔(dān)保人、業(yè)務(wù)人員、管理人員、財(cái)務(wù)人員個(gè)人信息（姓名、電話、地址等），車(chē)輛信息（車(chē)架號(hào)等），項(xiàng)目信息（項(xiàng)目對(duì)接負(fù)責(zé)人信息等）等。2、 業(yè)務(wù)信息受到破壞時(shí)所侵害客體的確定該業(yè)務(wù)信息遭到破壞后，所侵害的客體是：公民、法人和其他組織的合法權(quán)益。侵害的客觀方面表現(xiàn)為：一旦信息系統(tǒng)的信息遭到入侵、修改、增加、刪除等不明侵害，增加電話騷擾、詐騙的風(fēng)險(xiǎn)，會(huì)對(duì)公民、法人造成嚴(yán)重?fù)p害。如業(yè)務(wù)信息發(fā)生篡改時(shí)，項(xiàng)目信息等數(shù)據(jù)出現(xiàn)紊亂，會(huì)對(duì)公司車(chē)輛融資租賃業(yè)務(wù)的正常生產(chǎn)經(jīng)營(yíng)活動(dòng)造成損害，導(dǎo)致業(yè)務(wù)能力下降，造成不良影響，

引起法律糾紛。3、信息受到破壞后對(duì)侵害客體的侵害程度的確定上述結(jié)果的程度表現(xiàn)為嚴(yán)重?fù)p害，即XXX系統(tǒng)業(yè)務(wù)信息安全受到破壞后，對(duì)公司車(chē)輛融資租賃業(yè)務(wù)工作的開(kāi)展造成嚴(yán)重影響，業(yè)務(wù)顯著能力下降。對(duì)公民、法人和其他組織的合法權(quán)益造成嚴(yán)重?fù)p害合法權(quán)益造成嚴(yán)重?fù)p害，造成較大范的不良影響。4、業(yè)務(wù)信息安全等級(jí)的確定按照《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)定級(jí)指南》(GB/T22240-2020)，依據(jù)XXX系統(tǒng)業(yè)務(wù)信息安全受到破壞時(shí)所侵害的客體以及侵害程度，確定公司的XXX系統(tǒng)業(yè)務(wù)信息安全為二級(jí)。表1對(duì)標(biāo)定級(jí)指南評(píng)級(jí)業(yè)務(wù)信息安全被破壞時(shí)所侵害的客體對(duì)相應(yīng)客體的侵害程度一般損害嚴(yán)重?fù)p害特別嚴(yán)重?fù)p害公民、法人和其他組織的合法權(quán)益第一級(jí)第二級(jí)第二級(jí)社會(huì)秩序、公共利益第二級(jí)第三級(jí)第四級(jí)國(guó)家安全第三級(jí)第四級(jí)第五級(jí)(二)系統(tǒng)服務(wù)安全保護(hù)等級(jí)的確定1、系統(tǒng)服務(wù)描述XXX系統(tǒng)的服務(wù)范圍為全國(guó)、服務(wù)對(duì)象是公司車(chē)輛業(yè)務(wù)系統(tǒng)相關(guān)業(yè)務(wù)人員以及用戶。2、系統(tǒng)服務(wù)受到破壞時(shí)所侵害客體的確定該系統(tǒng)服務(wù)遭到破壞后，所侵害的客體是：公民、法人和其他組織的合法權(quán)益。侵害的客觀方面：一旦信息系統(tǒng)服務(wù)遭到不明侵害，會(huì)導(dǎo)致公司XXX系統(tǒng)無(wú)法正常訪問(wèn)或信息泄漏、篡改，對(duì)該業(yè)務(wù)的正常生產(chǎn)經(jīng)營(yíng)活動(dòng)造成損害，會(huì)出現(xiàn)較大的財(cái)產(chǎn)損失和法律糾紛。3、系統(tǒng)服務(wù)受到破壞后對(duì)侵害客體的侵害程度的確定XXX系統(tǒng)服務(wù)受到破壞，一般表現(xiàn)在網(wǎng)絡(luò)設(shè)備及線路、服務(wù)器、應(yīng)用系統(tǒng)、安全防護(hù)產(chǎn)品、用戶終端等方面的故障或無(wú)法為用戶提供服務(wù)，可能會(huì)對(duì)公司生產(chǎn)經(jīng)營(yíng)、業(yè)務(wù)管理造成一般損害或嚴(yán)重?fù)p害，工作效率受到影響，業(yè)務(wù)能力下降等。侵害程度對(duì)應(yīng)如下表：表2侵害程度界定序號(hào)影響因素故障風(fēng)險(xiǎn)故障恢復(fù)時(shí)間允許丟失的數(shù)據(jù)量對(duì)單位影響程度1網(wǎng)絡(luò)設(shè)備及線路用戶無(wú)法正常訪問(wèn)4小時(shí)—般損害2服務(wù)器用戶無(wú)法訪問(wèn)、數(shù)據(jù)丟失24小時(shí)12小時(shí)數(shù)據(jù)嚴(yán)重?fù)p害3應(yīng)用系統(tǒng)用戶無(wú)法正常訪問(wèn)4小時(shí)—般損害

4安全防護(hù)產(chǎn)品用戶無(wú)法正常訪問(wèn)4小時(shí)—般損害5用戶終端用戶無(wú)法正常訪問(wèn)2小時(shí)—般損害4系統(tǒng)服務(wù)安全等級(jí)的確定按照《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)定級(jí)指南》(GB/T22240-2020)，依據(jù)XXX系統(tǒng)服務(wù)安全受到破壞時(shí)所侵害的客體以及侵害程度(較高者)，確定公司的XXX系統(tǒng)服務(wù)安全為二級(jí)。表3系統(tǒng)服務(wù)安全等級(jí)界定系統(tǒng)服務(wù)安全被破壞時(shí)所侵害的客體對(duì)相應(yīng)客體的侵害程度一般損害嚴(yán)重?fù)p害特別嚴(yán)重?fù)p害公民、法人和其他組織的合法權(quán)益第一級(jí)第二級(jí)第二級(jí)社會(huì)秩序、公共利益第二級(jí)第三級(jí)第四級(jí)國(guó)家安全第三級(jí)第四級(jí)第五級(jí)三)安全保護(hù)等級(jí)的確定按照《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)定