9A文信息安全评估报告Word格式.docx
《9A文信息安全评估报告Word格式.docx》由会员分享,可在线阅读,更多相关《9A文信息安全评估报告Word格式.docx(13页珍藏版)》请在冰豆网上搜索。
![9A文信息安全评估报告Word格式.docx](https://file1.bdocx.com/fileroot1/2022-10/1/16c81d94-cb17-4e89-8411-fa4cd09cea7c/16c81d94-cb17-4e89-8411-fa4cd09cea7c1.gif)
资产清单见附表1。
4安全事件
对本局半年内发生的较大的、或者发生次数较多的信息安全事件进行汇总记录,形成本单位的安全事件列表。
安全事件列表见附表2。
5安全检查项目评估
5.1规章制度与组织管理评估
5.1.1组织机构
5.1.1.1评估标准
信息安全组织机构包括领导机构、工作机构。
5.1.1.2现状描述
本局已成立了信息安全领导机构,但尚未成立信息安全工作机构。
5.1.1.3评估结论
完善信息安全组织机构,成立信息安全工作机构。
5.1.2岗位职责
5.1.2.1评估标准
岗位要求应包括:
专职网络管理人员、专职应用系统管理人员和专职系统管理人员;
专责的工作职责与工作范围应有制度明确进行界定;
岗位实行主、副岗备用制度。
5.1.2.2现状描述
我局没有配置专职网络管理人员、专职应用系统管理人员和专职系统管理人员,都是兼责;
专责的工作职责与工作范围没有明确制度进行界定,岗位没有实行主、副岗备用制度。
5.1.2.3评估结论
本局已有兼职网络管理员、应用系统管理员和系统管理员,在条件许可下,配置专职管理人员;
专责的工作职责与工作范围没有明确制度进行界定,根据实际情况制定管理制度;
岗位没有实行主、副岗备用制度,在条件许可下,落实主、副岗备用制度。
5.1.3病毒管理
5.1.3.1评估标准
病毒管理包括计算机病毒防治管理制度、定期升级的安全策略、病毒预警和报告机制、病毒扫描策略(1周内至少进行一次扫描)。
5.1.3.2现状描述
本局使用SRmantec防病毒软件进行病毒防护,定期从省公司病毒库服务器下载、升级安全策略;
病毒预警是通过第三方和网上提供信息来源,每月统计、汇总病毒感染情况并提交局生技部和省公司生技部;
每周进行二次自动病毒扫描;
没有制定计算机病毒防治管理制度。
5.1.3.3评估结论
完善病毒预警和报告机制,制定计算机病毒防治管理制度。
5.1.4运行管理
5.1.4.1评估标准
运行管理应制定信息系统运行管理规程、缺陷管理制度、统计汇报制度、运维流程、值班制度并实行工作票制度;
制定机房出入管理制度并上墙,对进出机房情况记录。
5.1.4.2现状描述
没有建立相应信息系统运行管理规程、缺陷管理制度、统计汇报制度、运维流程、值班制度,没有实行工作票制度;
机房出入管理制度上墙,但没有机房进出情况记录。
5.1.4.3评估结论
结合本局具体情况,制订信息系统运行管理规程、缺陷管理制度、统计汇报制度、运维流程、值班制度,实行工作票制度;
机房出入管理制度上墙,记录机房进出情况。
5.1.5账号与口令管理
5.1.5.1评估标准
制订了账号与口令管理制度;
普通用户账户密码、口令长度要求符合大于6字符,管理员账户密码、口令长度大于8字符;
半年内账户密码、口令应变更并保存变更相关记录、通知、文件,半年内系统用户身份发生变化后应及时对其账户进行变更或注销。
5.1.5.2现状描述
没有制订账号与口令管理制度,普通用户账户密码、口令长度要求大部分都不符合大于6字符;
管理员账户密码、口令长度大于8字符,半年内账户密码、口令有过变更,但没有变更相关记录、通知、文件;
半年内系统用户身份发生变化后能及时对其账户进行变更或注销。
5.1.5.3评估结论
制订账号与口令管理制度,完善普通用户账户与管理员账户密码、口令长度要求;
对账户密码、口令变更作相关记录;
及时对系统用户身份发生变化后对其账户进行变更或注销。
5.2网络与系统安全评估
5.2.1网络架构
5.2.1.1评估标准
局域网核心交换设备、城域网核心路由设备应采取设备冗余或准备备用设备,不允许外联链路绕过防火墙,具有当前准确的网络拓扑结构图。
5.2.1.2现状描述
局域网核心交换设备准备了备用设备,城域网核心路由设备采取了设备冗余;
没有不经过防火墙的外联链路,有当前网络拓扑结构图。
5.2.1.3评估结论
局域网核心交换设备、城域网核心路由设备按要求采取设备冗余或准备备用设备,外联链路没有绕过防火墙,完善网络拓扑结构图。
5.2.2网络分区
5.2.2.1评估标准
生产控制系统和管理信息系统之间进行分区,VLAN间的访问控制设置合理。
5.2.2.2现状描述
生产控制系统和管理信息系统之间没有进行分区,VLAN间的访问控制设置合理。
5.2.2.3评估结论
对生产控制系统和管理信息系统之间进行分区,VLAN间的访问控制设置合理。
5.2.3网络设备
5.2.3.1评估标准
网络设备配置有备份,网络关键点设备采用双电源,关闭网络设备HTTP、FTP、TFTP等服务,SNMP社区串、本地用户口令强健(>
8字符,数字、字母混杂)。
5.2.3.2现状描述
网络设备配置没有进行备份,网络关键点设备是双电源,网络设备关闭了HTTP、FTP、TFTP等服务,SNMP社区串、本地用户口令没达到要求。
5.2.3.3评估结论
对网络设备配置进行备份,完善SNMP社区串、本地用户口令强健(>
5.2.4IP管理
5.2.4.1评估标准
有IP地址管理系统,IP地址管理有规划方案和分配策略,IP地址分配有记录。
5.2.4.2现状描述
没有IP地址管理系统,正在进行对IP地址的规划和分配,IP地址分配有记录。
5.2.4.3评估结论
建立IP地址管理系统,加快进行对IP地址的规划和分配,IP地址分配有记录。
5.2.5补丁管理
5.2.5.1评估标准
有补丁管理的手段或补丁管理制度,Windows系统主机补丁安装齐全,有补丁安装的测试记录。
5.2.5.2现状描述
通过手工补丁管理手段,没有制订相应管理制度;
Windows系统主机补丁安装基本齐全,没有补丁安装的测试记录。
5.2.5.3评估结论
完善补丁管理的手段,制订相应管理制度;
补缺Windows系统主机补丁安装,补丁安装前进行测试记录。
5.2.6系统安全配置
5.2.6.1评估标准
对操作系统的安全配置进行严格的设置,删除系统不必要的服务、协议。
5.2.6.2现状描述
没有对操作系统的安全配置进行严格的设置,部分系统删除不必要的服务、协议。
5.2.6.3评估结论
5.2.7主机备份
5.2.7.1评估标准
重要的系统主机采用双机备份并进行热切换或者故障恢复的测试。
5.2.7.2现状描述
重要的系统主机采用了双机备份,进行过热切换或者故障恢复的测试。
5.2.7.3评估结论
重要的系统主机采用了双机备份,进行热切换或者故障恢复的测试。
5.3网络服务与应用系统评估
5.3.1WWW服务器
5.3.1.1评估标准
WWW服务用户账户、口令应健壮(查看登录),信息发布进行了分级审核,外部网站有备份或其他保护措施。
5.3.1.2现状描述
没有WWW服务。
5.3.1.3评估结论
考虑按上述标准建设WWW服务。
5.3.2电子邮件服务器
5.3.2.1评估标准
对近三个月的邮件数据进行备份,有专门针对邮件病毒、垃圾邮件的安全措施,邮件系统管理员账户/口令应强健,邮件系统的维护、检查应有审计记录。
5.3.2.2现状描述
OA系统邮件数据进行一星期备份,有专门针对邮件病毒、垃圾邮件的趋势防病毒软件系统,但该软件存在问题比较多,邮件系统管理员账户/口令设置合理,邮件系统的维护、检查没有审计记录。
5.3.2.3评估结论
对OA系统邮件数据进行三个月备份,关注解决趋势防病毒软件系统问题;
邮件系统管理员账户/口令设置合理,对邮件系统的维护、检查审计进行记录。
5.3.3远程拨号访问
5.3.3.1评估标准
有限制远程拨号访问的管理措施,用于业务系统维护的远程拨号访问采取身份验证、访问操作记录等措施。
5.3.3.2现状描述
没有远程拨号访问。
5.3.3.3评估结论
远程拨号访问设置按上述标准执行。
5.3.4应用系统
5.3.4.1评估标准
应用系统的角色、权限分配有记录;
用户账户的变更、修改、注销有记录(半年记录情况);
关键应用系统的数据功能操作进行审计并进行长期存储;
对关键应用系统有应急预案;
关键应用系统管理员账户、用户账户口令定期进行变更;
新系统上线前进行安全性测试。
5.3.4.2现状描述
营销系统的角色、权限分配有记录,其余系统没有;
用户账户的变更、修改、注销没有记录;
关键应用系统的数据功能操作没有进行审计;
没有针对关键应用系统的应急预案;
关键应用系统管理员账户、用户账户口令有定期进行变更;
有些新系统上线前没有进行过安全性测试。
5.3.4.3评估结论
完善系统的角色、权限分配有记录;
记录用户账户的变更、修改、注销(半年记录情况);
关键应用系统的数据功能操作进行审计;
制定针对关键应用系统的应急预案;
新系统上线前应严格按照相关标准进行安全性测试。
5.4安全技术管理与设备运行状况评估
5.4.1防火墙
5.4.1.1评估标准
网络中的防火墙位置部署合理,防火墙规则配置符合安全要求,防火墙规则配置的建立、更改有规范申请、审核、审批流程,对防火墙日志进行存储、备份。
5.4.1.2现状描述
网络中的防火墙位置部署合理,防火墙规则配置符合安全要求,防火墙规则配置没有建立、更改有规范申请、审核、审批流程,对防火墙日志没有进行存储、备份。
5.4.1.3评估结论
网络中的防火墙位置部署合理,防火墙规则配置符合安全要求,防火墙规则配置的建立、更改要有规范申请、审核、审批流程,对防火墙日志应进行存储、备份。
5.4.2防病毒系统
5.4.2.1评估标准
防病毒系统覆盖所有服务器及客户端(覆盖率至少应大于90%),对服务器的防病毒客户端管理策略配置合理(自动升级病毒代码、每周扫描),有专责人员负责维护防病毒系统并及时发布病毒通告。
5.4.2.2现状描述
防病毒系统覆盖所有客户端(覆盖率大于90%),服务器端除了OA服务器有防病毒系统外其余没有;
有兼责人员负责维护防病毒系统,但基本没有发布病毒通告。
5.4.2.3评估结论
防病毒系统覆盖所有客户端(覆盖率大于90%),服务器端除了OA服务器有防病毒系统外其余没有,考虑以后实施;
考虑配置专责人员负责维护防病毒系统,并及时