广电BOSS系统等级保护测评整改方案.docx

1、广电BOSS系统等级保护测评整改方案数字电视综合运营支撑（BOSS）系统等级保护整改方案2014年12月一、概述信息安全等级保护是信息安全保障的基本制度、基本策略、基本方法，开展信息安全等级保护工作是保护信息化发展、维护信息安全的根本保障。实施信息安全等级保护制度，信息系统运营使用单位和主管部门能按照标准进行安全建设、整改，信息系统安全也有了一个衡量尺度。信息系统根据其在安全、经济建设、社会生活中的重要程度，遭到破坏后对安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度分成五个安全保护等级（从第一级到第五级逐级增高）。本方案主要针对信息系统的现状，依据信息系统等级保护评测工作

2、的广播数字全自动播出信息系统等级保护定级报告、数字电视综合运营支撑（BOSS）系统等级保护测评报告、的现有的状况和等保相关要求差距进一步深入分析，并以满足等保需求为基础，对信息系统的建设整改进行规划设计。二、系统现状2.1数字电视综合运营支撑（BOSS）系统2.1.1系统描述BOSS系统业务信息包括：数字电视客户基本资料（XX、地址、等），缴费记录、授权情况、欠费信息、机顶盒设备信息等。为该信息系统定级的责任单位，该系统已被定级为三级（S2A2G2）。2.1.2系统拓扑图核心设备部署了中兴通信的ZXR10 8908万兆路由交换机，19个乡镇以及城区汇聚节点均部署ZXR10 8905万兆路由交换

3、机。具体网络拓扑如下图所示：图1 信息系统网络拓扑2.1.3系统构成1)业务应用软件表4 信息系统业务应用软件序号软件名称主要功能1数字电视综合运营支撑（BOSS）系统主要完成数字电视用户信息的录入、更新、认证、授权、计费等功能2)主机/存储设备表5 信息系统主机/存储设备序号设备名称操作系统/数据库管理系统1收费工作站PCWindows XP/-2数据库服务器-1IBM X3650 M3SOLARIS/ Oracle3数据库服务器-2IBM X3650 M3SOLARIS/ Oracle4接口服务器IBM X3650 M3Linux/-5测试服务器-1IBM X3650 M3Linux/-6

4、测试服务器-2IBM X3650 M3Linux/-7认证服务器-1IBM X3650 M3Linux/-8认证服务器-2IBM X3650 M3Linux/-3)网络互联设备表6 信息系统网络互联设备序号设备名称用 途1中兴ZXR10 8908核心交换机2中兴ZXR10 8908汇聚交换机2.1.4系统测评结论等级测评结论为“基本符合”，差距项分布如下表所示：名称测评指标部分符合项不符合项高风险项技术要求物理安全400基础网络安全200边界安全030服务器安全310应用安全510数据安全及备份恢复100管理要求总要求000安全管理机构500人员安全管理410系统建设管理500系统运维管理10

5、20三、整改依据1)GB 17859-1999 信息安全技术 计算机信息系统安全保护等级划分准则；2)广播电视相关信息系统安全等级保护基本要求（GD/J038-2011）3)广播电视相关信息系统安全等级保护测评要求（GD/J044-2012）；4)信息系统安全等级保护定级报告；5)数字电视综合运营支撑（BOSS）系统安全等级保护测评报告；四、整改容4.1数字电视综合运营支撑（BOSS）系统4.1.1物理安全1.相关要求及依据详见GD/J038-2011有关物理安全要求。为满足要求， 通过部署防盗报警系统及火灾自动报警系统和灭火系统，开展机房运维管理和环境管理，提高机房的安全性。2.安全现状及整

6、改措施类别测评容结果记录涉及资产符合情况整改措施物理访问控制b）需进入播出机房的来访人员应经过申请和审批流程，并限制和监控其活动围。进入机房由专人陪同，缺少来访人员进入机房的审批记录部分符合设置来访人员进行机房审批记录防盗窃和防破坏c）应利用光、电等技术设置机房防盗报警系统；机房缺少防盗报警系统不符合部署防盗报警系统机房环境b) 机房应有防水防潮措施，应充分考虑水管泄漏和凝露的可能性，并做好相应的预防措施；机房窗户缺少防水防渗处理，机房的窗户、屋顶和墙壁未出现漏水、渗透和返潮现象，机房空调排水管进行加固防渗、防漏处理，机房空调具有除湿功能，缺少防水防潮处理记录 不符合定期开展机房运维和环境管理

7、d）机房应设置温、湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的围之；机房具有专业空调，可对机房温度进行自动调节，具有空调定期检查和维护记录，缺少机房湿度控制设置部分符合增加机房湿度调节设施机房消防设施b）机房应设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火；机房具有日常值守人员，机房具有干粉灭火器，缺少自动灭火设备部分符合部署火灾自动报警系统和自动灭火系统4.1.2基础网络安全1.相关要求及依据详见GD/J038-2011有关基础网络安全要求。为满足要求， 通过部署动态令牌及日志服务器并完善设备基本配置要求，定期开展设备维护，达到基础网络安全要求。2.安全现状及整改措

8、施类别测评容结果记录涉及资产符合情况整改措施安全审计c)应保护审计记录，避免受到未预期的删除、修改或覆盖等，审计记录至少保存 90 天；缺少对审计日志进行必要保护交换机不符合对日志进行集中管理，定期进行分析d) 应定期对审计记录进行分析，以便及时发现异常行为；未定期对审计记录进行分析交换机不符合对日志进行集中管理，定期进行分析网络设备防护e) 当对网络设备进行远程管理时，应采用HTTPS、SSH等安全的远程管理手段，防止用户身份鉴别信息在网络传输过程中被窃听；远程管理设备时采用telnet方式进行交换机不符合采用SSH 远程管理4.1.3边界安全3.相关要求及依据详见GD/J038-2011有

9、关边界安全要求。为满足要求， 通过修改配置，设置日志集中管理并定期分析，提供边界安全性。4.安全现状及整改措施类别测评容结果记录涉及资产符合情况整改措施恶意代码防a) 应在信息系统的网络边界处进行恶意代码检测和清除，并维护恶意代码库的升级和检测系统的更新，播出整备系统、播出系统等播出直接相关系统的边界可根据需要进行部署BOSS系统在边界处未设置恶意代码防措施不符合在网络边界部署恶意代码防设备b) 防恶意代码产品应与信息系统部防恶意代码产品具有不同的恶意代码库BOSS系统在边界处未设置恶意代码防措施不符合入侵防a)应在信息系统的网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服

10、务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等，播出整备系统、播出系统等信息系统的边界可根据需要进行部署BOSS系统在边界处未设置入侵防御措施不符合在网络边界部署入侵防设备安全审计a) 应在与外部网络连接的网络边界处进行数据通信行为审计BOSS系统与CA系统、VOD、营业厅相连，缺少对系统网络边界处进行数据通信的行为进行审计不符合在与外部网络连接的网络边界处进行数据通信行为审计，并对审计日志进行集中管理和日常分析b) 审计记录应包括事件的日期、时间、用户名、IP 地址、事件类型、事件是否成功等BOSS系统与CA系统、VOD、营业厅相连，缺少对系统网络边界处进行数据通信的行为进行审计不符合

11、c) 应保护审计记录，避免受到未预期的删除、修改或覆盖等，审计记录至少保存 90 天BOSS系统与CA系统、VOD、营业厅相连，缺少对系统网络边界处进行数据通信的行为进行审计不符合d) 应定期对审计记录进行分析，以便及时发现异常行为BOSS系统与CA系统、VOD、营业厅相连，缺少对系统网络边界处进行数据通信的行为进行审计不符合4.1.4主机安全1.相关要求及依据详见GD/J038-2011有关主机要求。为满足要求， 通过修改主机安全配置，设置登陆口令复杂度限制、登陆失败措施、开启安全审计、定期升级系统和打补丁，提高主机操作系统和数据库的安全性。2.安全现状及整改措施类别测评容结果记录涉及资产符

12、合情况整改措施身份鉴别a) 应对登录操作系统和数据库系统的用户进行身份标识和鉴别，应为不同用户分配不同的用户名，不能多人使用同一用户名；技术部多人使用同一管理员账户，不同用户未分配不同的用户名收费工作站数据库服务器-1/2接口服务器测试服务器-1/2认证服务器-1/2数据库系统-1/2不符合每个自然人对应使用一个账户，避免账户共享情况b) 操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换；操作系统缺少口令长度、更新周期、复杂性限制收费工作站数据库服务器-1/2接口服务器测试服务器-1/2认证服务器-1/2数据库系统-1/2数字电视综合运营支撑（BOSS）

13、系统不符合对操作系统和数据库配置用户口令有效期的强制提醒与更新功能，使口令设置时系统具有复杂度检查和长度限制c) 应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施；操作系统未启用登录失败处理功能收费工作站数据库服务器-1/2接口服务器测试服务器-1/2认证服务器-1/2数据库系统-1/2数字电视综合运营支撑（BOSS）系统不符合启用登录失败处理功能，口令尝试超过规定次数锁定账户c) 应实现操作系统和数据库系统特权用户的权限分离；操作系统和数据库管理员由同一人担任，权限未分离数据库系统-1/2不符合为操作系统管理员和数据库管理员岗位配备不同的人员，同时补充相应人员岗位职责

14、安全审计a) 安全审计应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户；审计功能未开启或审计不全面，未定期对审计记录进行分析数据库服务器-1/2接口服务器测试服务器-1/2认证服务器-1/2数据库系统-1/2不符合启用本地安全审计功能或部署堡垒机等第三方审计系统，审计策略配置登录登出、权限变更、重要文件增删行为等事件容入侵防a)操作系统遵循最小安装的原则，仅安装需要的组件和应用程序，并通过设置升级服务器等方式保持系统补丁及时得到更新系统补丁未及时升级收费工作站数据库服务器-1/2接口服务器测试服务器-1/2认证服务器-1/2数据库系统-1/2不符合通过设置专门的升级服务器等方式保持对

15、操作系统安全补丁的及时更新，并补充完善相关系统升级制度和升级记录恶意代码防应部署具有统一管理功能的防恶意代码软件，并定期更新防恶意代码软件版本和恶意代码库；新闻制播系统、播出整备系统、播出系统等播出直接相关系统的核心服务器可根据需要进行部署和更新。操作系统未部署具有统一管理功能的防恶意代码软件收费工作站数据库服务器-1/2接口服务器测试服务器-1/2认证服务器-1/2数据库系统-1/2 不符合建议操作系统安装企业版或网络版杀毒软件进行统一管理4.1.5总要求1.相关要求及依据详见GD/J038-2011有关总要求。为满足要求，制定信息安全工作的总体方针和安全策略管理制度和操作规程安全管理制度体

16、系等制度达到目的或检查要求。2.安全现状及整改措施类别测评容结果记录涉及资产符合情况整改措施总要求a) 应制定信息安全工作的总体方针和安全策略，说明安全工作的总体目标、围、原则和安全框架等；缺少信息安全工作的总体方针和安全策略文件/不符合补充信息安全工作的总体方针和安全策略，主要容包括机构安全工作的总体目标、围、方针、原则、和安全框架b) 应成立指导和管理信息安全工作的领导小组，设立信息安全管理工作的职能部门；关于成立信息安全保护工作的通知 余广电【2012】42号，明确成立了信息安全工作的领导小组，但未设立信息安全管理工作的职能部门/部分符合补充信息安全管理工作的职能部门，并明确职能部门的职

17、责c) 应制定各项信息安全制度和操作规程，明确信息安全管理各项要求，形成由安全方针、管理制度、细化流程等构成的全面的信息安全管理制度体系，使等级保护工作常态化、制度化。缺少各项安全管理制度文档，缺少全面的信息安全管理制度体系/不符合制定各项安全管理制度和操作规程制定信息安全管理制度体系文件，制度体系由总体方针、安全策略、管理制度、操作规程等构成4.1.6安全管理机构1.相关要求及依据详见GD/J038-2011有关管理机构要求。为满足要求， 系统管理审批管理制度、系统管理审批记录、安全检查制度、安全检查管理制度和补充完善岗位职责、安全检查记录等制度，保障系统的安全。2.安全现状及整改措施类别测

18、评容结果记录涉及资产符合情况整改措施岗位设置b)应设立信息安全管理工作的职能部门，负责信息安全各项工作的组织和落实，配备专职安全管理员；设立信息安全组织机构，负责信息安全各项工作的组织和落实未配备专职的安全管理员/部分符合补充岗位职责，明确安全管理员的职责，配备专职的安全管理员b)应设立信息安全管理工作的职能部门，负责信息安全各项工作的组织和落实，配备专职安全管理员；未设立信息安全组织机构未配备专职的安全管理员/不符合设立信息安全组织机构，明确机构的职责，配备专职的安全管理员d) 应制定文件明确安全管理机构各个部门和岗位的职责。缺少职能部门的职责和岗位职责文件/不符合补充部门职责和岗位职责，主

19、要容包括：安全主管、各个方面的负责人的岗位职责的具体设置，主要容包括：网络管理员、机房管理员、系统管理员、安全管理员、数据库管理员、审计员、应用系统管理员等岗位的具体设置，并清晰、明确各个岗位的职责围授权和审批b）应针对系统变更、重要操作、物理访问和系统接入等事项建立审批程序，按照审批程序执行审批过程，对重要活动建立逐级审批制度；缺少审批管理制度（系统变更、重要操作、物理访问和系统接入等事项），缺少逐级审批的文档/不符合增加系统管理审批管理制度：主要容包括明确对系统投入运行、网络系统接入和重要资源的访问、变更管理、产品采购等关键活动的审批部门和批准人进行规定，明确审批流程c）应定期审查审批事项

20、，及时更新需授权和审批的项目、审批部门和审批人等信息；缺少审批管理制度文档/不符合增加逐级审批的文档对审批过程进行记录，增加审批事项的审查记录，包括审批事项、审批部门、审批人的变更进行评审等容，对关键活动的审批进行记录d）应记录审批过程并保存审批文档。缺少关键活动的审批过程记录/不符合沟通和合作a）应加强各类管理人员之间、组织部机构之间以及信息安全职能部门部的合作与沟通，定期或不定期召开协调会议，共同协作处理信息安全问题；不定期召开协调会议，、当面沟通，沟通容历史问题的解决，缺少组织部机构之间以及信息安全职能部门部的安全工作会议文件，经检查，通讯录，明确了组织机构部人员联系表/部分符合增加会议

21、纪要，包括组织部机构之间以及信息安全职能部门部的安全工作会议文件b)应加强与系统外相关工作单位的合作与沟通，确保信息安全各项工作的顺利开展；与信息外相关工作单位建立了沟通与合作机构，、进行联系，包括业务，安全等，但缺少单独的工作文件或记录/部分符合增加会议纪要，包括与系统外相关工作单位的合作与沟通的记录审核和检查a）安全管理员应负责定期进行信息安全检查，检查容包括系统日常运行、系统漏洞和数据备份等情况；1个月检查一次，包括日常运行、备份等，未包括漏洞检查，经检查，缺少安全检查的记录或报告/部分符合补充安全检查记录，明确检查的周期，检查的容包括系统日常运行、系统漏洞和数据备b）应定期进行全面信息

22、安全检查，检查容包括现有安全技术措施的有效性、安全配置与安全策略的一致性、安全管理制度的执行情况等；对信息系统未进行全面的安全检查，缺少安全检查管理制度/不符合增加安全检查制度，明确检查容包括技术措施有效性和安全管理制度执行情况等方面；增加安全检查文档，明确了定期进行全面安全检查，明确了检查容等c)信息安全主管部门应制定安全检查表格实施安全检查， 汇总安全检查数据， 形成安全检查报告，并对安全检查结果进行通报。缺少全面的安全检查缺少全面的安全检查报告/不符合增加安全检查报告安全检查时的安全检查表结果通告记录，包括检查容、检查时间、检查人员、检查数据汇总表、检查结果等容的描述制度管理a) 应建立

23、信息安全管理制度、操作规程等从访问控制、系统设计、系统建设、系统验收、系统运维、应急处置、人员管理、文件档案管理、审核检查等方面规各项信息安全管理工作；缺少各项安全管理制度（访问控制、系统设计、系统建设、系统验收、系统运维、应急处置、人员管理、文件档案管理、审核检查等方面）/部分符合增加各项安全管理制度，明确访问控制、系统设计、系统建设、系统验收、系统运维、人员管理、文件档案管理、审核检查等方面b) 信息安全管理部门负责制定信息安全管理制度和操作规程，并进行版本控制；缺少安全管理制度文档/不符合增加安全管理制度文档，规制度的版本管理c) 应组织专家和相关部门人员对安全管理制度和操作规程进行论证

24、和审定，并定期对其合理性和适用性进行审定，根据需要进行修订；不定期对其合理性和适用性进行审定，根据需要进行修订缺少管理制度评审记录/部分符合增加管理制度评审记录，包括评审容、评审周期、参加人员和评审等4.1.7人员安全管理1.相关要求及依据详见GD/J038-2011有关人员安全管理要求。为满足要求，通过制定XX协议、岗位安全协议、人员离职管理制度、离岗人员交接记录外来人员访问管理制度、外部人员访问重要区域的批准文档、外部人员访问重要区域的登记记录等人员管理制度，保障系统的安全。2.安全现状及整改措施类别测评容结果记录涉及资产符合情况整改措施人员上岗b）应签署XX协议和岗位安全协议。对从事关键

25、岗位的人员未签署XX协议和岗位安全协议/不符合增加XX协议，对关键岗位的人员签署XX协议，包括安全责任、违约责任、协议的有效期限和责任人签字等容增加岗位安全协议，包括安全责任、违约责任、协议的有效期限和责任人签字等容人员离岗a)应规人员离岗过程，及时终止离岗员工的所有访问权限；缺少人员离岗管理制度/不符合增加人员离岗管理制度，包括规人员离岗过程，及时终止离岗员工的所有访问权限等容b) 应取回各种XX件、钥匙、徽章等以及单位提供的软硬件设备；缺少人员交接记录/不符合增加离岗手续记录表交接手续登记表，取回离岗人员的各种XX件、钥匙、徽章等以及机构提供的软硬件设备等c) 应办理严格的调离手续，关键岗

26、位人员离岗须承诺调离后的XX义务后方可离开。缺少人员调离记录，缺少离职人员的XX承诺文档/不符合增加XX承诺文档，明确要求关键岗位调离人员承诺相关XX义务后方可离开培训与考核b)应对信息安全各相关岗位的人员定期进行安全技能、政策及安全认知的考核；年度考核记录，未包括安全技能和安全知识的考核/部分符合补充人员安全技术考核制度、人员考核记录，考核的容包括安全技能及安全认知等c)应对信息安全培训和考核情况进行记录并保存。缺少安全教育和培训记录/不符合增加安全教育和培训记录，包括培训时间、地点、参与人员、培训容、培训结果等外部人员访问管理a）应确保在外部人员访问受控区域前先提出书面申请，得到授权或审批

27、，批准后由专人全程陪同或监督，并登记备案；访问受控区域前经过相关人员的批准，同意后有专人陪同，缺少外部人员访问重要区域的批准文档，缺少外部人员访问重要区域的登记记录/部分符合增加 外部人员访问重要区域的批准文档、外部人员访问重要区域的登记记录，主要容明确对外部人员访问机房等重要区域应经相关部门或负责人批准，明确外部人员访问的围、外部人员进入的条件、外部人员进入的访问控制措施b)对外部人员允许访问的区域、系统、设备、信息等容应进行书面的规定，并按照规定执行。缺少外部人员访问管理制度/不符合增加外来人员访问管理制度，明确允许外部人员访问的围，外部人员进入的条件，外部人员进入的访问控制措施等；对允许

28、外部人员访问的区域、系统、设备和信息等进行明确规定4.1.8系统建设管理1.相关要求及依据详见GD/J038-2011有关系统建设管理要求。为满足要求，我们通过增加安全设计方案、工程实施文档、测试验收文档、方案评审记录、软件开发管理规和系统交付清单等方式来加强系统的安全。2.安全现状及整改措施类别测评容结果记录涉及资产符合情况整改措施安全方案设计a）根据信息系统的等级划分情况，应由专门的部门对信息系统的安全建设进行总体规划，统一考虑信息安全保障体系的总体安全策略、安全技术框架、安全管理策略、总体建设规划、远期和近期建设计划等；技术运维部负责信息系统的总体规划，经检查，缺少系统总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计方案、近期安全建设计划和远期安全建设计划等配套文件/部分符合增加总体安全策略，容包括近期安全建设计划和远期安全建设计划配套文件，增加信息系统建设的配套文件，包括安全技术框架、安全管理策略、总体建设规划、详细设计方案b）应根据和行业标准、 规合理设计信息系统的信息安全方案和策略， 制定详细的建设方案；缺少信息系统的信息安全方案和策略，缺少详细的建设方案/部分符合增加系统安全方案和策略详细设计方案和策略c）应组织相关部门和有关安全技术专家对信息安全的规划、建设方案等进行论证和审定，并且经过批准后，才能正式实施；缺少配套文件的专家论证文档