信息系统安全等级保护测评报告28718.docx

《信息系统安全等级保护测评报告28718.docx》由会员分享，可在线阅读，更多相关《信息系统安全等级保护测评报告28718.docx（167页珍藏版）》请在得力文库 - 分享文档赚钱的网站上搜索。

1、公安部信息安全等级保护评估中心报告编号号：（-16-13303-01）信息系统统安全等等级测评评报告公司2015版说明：一、每个个备案信信息系统统单独出出具测评评报告。二、测评评报告编编号为四四组数据据。各组组含义和和编码规规则如下下：第一组为为信息系系统备案案表编号号，由2段116位数数字组成成，可以以从公+安机关关颁发的的信息系系统备案案证明（或或备案回回执）上上获得。第第1段即即备案证明明编号的前前11位位（前6位为受理理备案公公安机关关代码，后后5位为受理理备案的的公安机机关给出出的备案案单位的的顺序编编号）；第2段即备案证证明编号号的后55位（系系统编号号）。第二组为为年份，由由2位

2、数字组组成。例如009代表表20009年。第三组为为测评机机构代码码，由四四位数字字组成。前两位为省级行政区划数字代码的前两位或行业主管部门编号：00为公安部，11为北京，12为天津，13为河北，14为山西，15为内蒙古，21为辽宁，22为吉林，23为黑龙江，31为上海，32为江苏，33为浙江，34为安徽，35为福建，36为江西，37为山东，41为河南，42为湖北，43为湖南，44为广东，45为广西，46为海南，50为重庆，51为四川，52为贵州，53为云南，54为西藏，61为陕西，62为甘肃，63为青海，64为宁夏，65为新疆，66为新疆兵团。90为国防科工局，91为电监会，92为教育部。后

3、两位为公安机关或行业主管部门推荐的测评机构顺序号。第四组为为本年度度信息系系统测评评次数，由由两位构构成。例例如022表示该该信息系系统本年年度测评评2次。信息系统统等级测测评基本本信息表表信息系统统系统名称称票务系统统安全保护护等级第三级备案证明明编号测评结论论基本符合合被测单位位单位名称称单位地址址邮政编码码联系人姓名职务/职职称部长助理理所属部门门票务运营营部办公电话话移动电话话电子邮件件测评单位位单位名称称单位代码码通信地址址邮政编码码联系人姓名职务/职职称所属部门门办公电话话移动电话话电子邮件件审核批准准编制人编制日期期审核人审核日期期批准人批准日期期注：单位位代码由由受理测测评机构

4、构备案的的公安机机关给出出。2015版声明本报告是是票务系系统的安安全等级级测评报报告。本报告测测评结论论的有效效性建立立在被测测评单位位提供相相关证据据的真实实性基础础之上。本报告中中给出的的测评结结论仅对对被测信信息系统统当时的的安全状状态有效效。当测测评工作作完成后后，由于于信息系系统发生生变更而而涉及到到的系统统构成组组件（或或子系统统）都应应重新进进行等级级测评，本本报告不不再适用用。本报告中中给出的的测评结结论不能能作为对对信息系系统内部部署的相相关系统统构成组组件（或或产品）的的测评结结论。在任何情情况下，若若需引用用本报告告中的测测评结果果或结论论都应保保持其原原有的意意义，不

5、不得对相相关内容容擅自进进行增加加、修改改和伪造造或掩盖盖事实。声明等级测评评结论测评结论论与综合合得分系统名称称票务系统统保护等级级第三级系统简介介测评过程程简介此次测评评的系统统为票务务系统，测测评对象象包括系系统所在在机房，22台服务务器，11台运维维终端，11套数据据库，22台网络络安全设设备，11套应用用软件，及及该公司司的管理理制度及及相关记记录。在在合同约约定的周周期内，经经过系统统调研、方方案编制制、现场场测评、分分析与报报告编制制等阶段段，完成成了对该该系统的的测评工工作，经经过对测测评结果果的整体体分析，判判定该系系统基本本符合等等级保护护三级系系统的基基本要求求，但还还存

6、在个个别问题题，希望望在安全全建设整整改中继继续完善善。测评结论论基本符合合综合得分分84.779I总体评价价1、基础础设施与与网络环环境票务系统统相关设备备部署于指指挥中心心机房，该机房房按照国国家机房房相关标标准建设设，具备防风、防防雨、防防震等能能力，未未出现雨雨水渗透透，屋顶顶、墙体体、地面面等破损损开裂等等情况，在在物理访访问控制制方面配配备门禁禁系统，能能够鉴别别和控制制人员出出入，并并配有视视频监控控系统，能能够对机机房内主主要区域域进行实实时监控控，主机机房与配配电室隔隔离，通通信线缆缆与供电电线缆隔隔离铺设设，避免免了电磁磁干扰，配配备两台台艾默生生精密空空调，能能够对机机房

7、温湿湿度进行行控制，同同时配有有环境检检测系统统，实时时检测机机房环境境并提供供报警功功能。网网络环境境先对简简单，电电信联通通双线接接入，网网络边界界配有两两台防火火墙作为为边界防防护，通通过两台台核心交交换做内内部数据据交换。2、安全全责任制制该系统的的运营维维护全部部由厂商商负责，厂厂商项目目部成立立了信息息安全领领导小组组，负责责信息安安全工作作的指导导和管理理，项目部部设有系系统管理理员、网网络管理理员、安安全管理理员等重重要岗位位，且安安全管理理员为专专职，通通过值班班体系对对驻场人人员进行行调配，并并形成了了有效的的汇报沟沟通机制制。同时甲甲方也有有专人对对厂商的的运营维维护情况

8、况进行监监督。3、技术术机制在机房保保障机制制方面，该该系统配配备双通通信线路路接入，保保证网络络通畅，同同时边界界防火墙墙、核心心交换机机、应用用服务器器、数据据库服务务器均双双机热备备部署，并并配有存存储设备备存储业业务数据据，同时时配备备备份服务务器对主主要数据据、配置置文件和和日志文文件等进进行备份份，提供供设备冗冗余，保保证系统统的可用用性。在在安全策策略方面面网络设设备、主主机、应应用系统统在身份份验证方方面身份份标识唯唯一，密密码满足足复杂度度要求，并并定期更更换，但但仅采用用用户名名密码方方式进行行身份验验证；在在访问控控制方面面，根据据用户角色色进行了了权限划划分，授授予用户

9、户所需的的最小权权限；在在安全审审计方面面，网络络设备、主主机、应应用系统统配置都都相对完善善，日志志记录信信息基本本满足要要求；另另外厂家家技术工工程师驻驻场维护护，保障障系统安安全稳定定的运行行。4、监测测预警及及应急保保障监测预警警方面厂厂家工程程师通过过软件可可监控网网络设备备、服务务器、软软件的运运行状态态，并提提供报警警功能。通通过对日日志进行行分析发发现系统统出现的的异常情情况及时时处置，并并定期由由工程师师对设备备进行巡巡检。应应急保障障方面厂厂家在系系统设计计之初就就通过双双线路、双双击热备备、存储储设备等等方式保保证系统统的可用用性，同同时安排排工程师师驻场维维护，已已应对

10、突突发事件件，但未未根据相相关规定定对计算算机安全全事件进进行等级级划分，发发生安全全事件采采取何种种处置措措施不明明确，不不利于安安全事件件的及时时处理。综上所述述，被测测票务系统统基本符符合第三三级信息息系统等等级保护护的安全全要求，但但还存在在个别问问题，希希望在安安全建设设整改中中继续完完善。主要安全全问题票务系统统存在的的主要安全全问题：1. 安全管理理方面1) 未成立指指导和管管理信息息安全工工作的领领导小组组；2) 全员统一一考核，未未针对关关键岗位位考核；3) 厂商内部部对系统统进行安安全性测测试，未未委托第第三方测测试单位位对系统统进行测测试；4) 由信息化化部控制制机房的的

11、人员出出入和物物品带进进带出，暂暂时缺少少机房管管理制度度；5) 未建立安安全管理理中心集集中管理理，厂商商工程师师通过不不同的方方式对设设备状态态、恶意意代码、补补丁升级级、安全全审计等等事项进进行管理理；6) 未对安全全事件划划分等级级管理；7) 暂未制定定应急预预案，未未进行应应急预案案培训和和应急演演练；2. 物理安全全方面1) 机房窗户户没有做做密封处处理，不不能防止止雨水通通过机房房窗户、屋屋顶和墙墙壁渗透透；3. 网络安全全方面1) 未部署入入侵检测测设备，仅仅通过防防火强异异常日志志记录，然然后人为为判断异异常行为为份；2) 网络边界界未配置置恶意代代码检测测设备，仅仅通过防防

12、火墙做做策略防防护；3) 没有对网网络设备备运行状状况、网网络流量量进行监监控，可可以对用用户操作作进行日日志记录录，日志志文件存存储于设设备本地地，覆盖盖式存储储，且无无审计报报表；4) 网络及安安全设备备仅采用用用户名名密码一一种身份份鉴别方方式；5) 没有技术术手段防防止地址址欺骗，不不能防止止从内部部网络发发起的网网络攻击击和对重重要主机机的地址址欺骗；6) 远程管理理采用ttelnnet明明文协议议；4. 主机安全全方面1) 仅使用账账号、密密码登录录系统，未未实现两两种及以以上鉴别别技术对对管理用用户进行行身份鉴鉴别；2) 主机安装装赛门铁铁克杀毒毒软件，网网络暂时时没有启启用防恶

13、恶意代码码设备；3) 终端安装装有3660杀毒毒，网络络没有防防恶意代代码设备备；4) 系统存在在多余账账户，没没有共享享账户存存在；5) 数据库版版本为ssql serrverr20112企业业版，遵遵循最小小安装原原则，没没有开放放多余端端口，补补丁不会会定期进进行更新新；5. 应用安全全方面1) 仅使用账账号密码码登录，没没有使用用两种及及以上方方式进行行身份鉴鉴别；2) 有用户名名唯一鉴鉴别功能能，用户户名没有有设置复复杂度要要求；3) 已启用身身份鉴别别，用户户身份标标识唯一一，用户户身份鉴鉴别信息息复杂度度不满足足要求，开开启登录录失败处处理功能能；4) 修改密码码时，新新设定的的

14、密码与与旧密码码可以相相同，不不符合要要求；5) 审计记录录不能筛筛选，不不能生成成审计报报表进行行分析。6. 数据安全全方面1) 数据信息息没有进进行异地地备份；整改建议议1. 安全管理理方面的的整改建建议1) 建议设立立指导和和管理信信息安全全工作的的委员会会或领导导小组，其其最高领领导是否否由单位位主管领领导委任任或授权权的人员员担任；明确信信息安全全管理委委员会或或领导小小组职责责；2) 建议对关关键岗位位的人员员进行全全面、严严格的安安全审查查和技能能考核；3) 建议安排排专门的的部门负负责测试试验收工工作，并并委托公公正的第第三方测测试机构构对信息息系统进进行独立立的安全全性测试试

15、报告；4) 建议对相相关机房房管理制制度对机机房物理理访问、物物品带进进、带出出机房和和机房环环境安全全等方面面的管理理作出规规定，且且相关制制度建议议张贴在在明显可可见的位位置；5) 应对设备备状态、恶恶意代码码、补丁丁升级、安安全审计计等安全全相关事事项进行行集中管管理，应应对集中中管理的的检测记记录文档档，文档档应包括括检测内内容、检检测人员员、检测测结果和和时间等等；6) 建议根据据本系统统已发生生的和需需要防止止发生的的安全事事件对系系统的影影响程度度划分不不同等级级，划分分为几级级，划分分方法应应参照了了国家相相关管理理部门的的技术资资料，主主要参照照哪些；7) 建议在统统一的应应

16、急预案案框架下下制定不不同事件件的应急急预案，应应急预案案框架应应包括启启动应急急预案的的条件、应应急处理理流程、系系统恢复复流程、事事后教育育和培训训等内容容；8) 建议对相相关人员员进行应应急预案案培训，制制作应急急预案培培训记录录，记录录应包括括培训内内容、培培训对象象、培训训效果和和培训时时间等。9) 建议定期期对应急急预案作作演练，对对各应急急预案做做演练记记录，记记录内容容应包括括演练周周期、演演练内容容、参加加演练人人员、演演练效果果和演练练时间等等；2. 物理安全全方面的的整改建建议1) 建议将窗窗户做密密闭处理理，防止止雨水渗渗透进入入机房；3. 网络安全全方面的的整改建建议

17、1) 建议在网网络边界界部署入入侵检测测设备，开开启日志志记录，对对入侵行行为进行行检测记记录，当当发生攻攻击时及及时报警警；2) 建议在网网络边界界部署恶恶意代码码检测设设备，对对进入网网络的流流量进行行恶意代代码检测测，及时时发现清清除；3) 建议通过过第三方方设备或或软件对对设备的的运行状状况、流流量等进进行监控控，并对对日志文文件定期期分析生生成审计计报表。设设备日志志文件建建议备份份至日志志服务器器，避免免为预期期的修改改或删除除；4) 采用口令令+数字字证书、口口令+硬硬件令牌牌等双因因子鉴别别方式，或或采用堡堡垒机的的方式管管理设备备；5) 在技术条条件允许许的前提提下，对对重要

18、网网段上的的主机等等设备设设置网络络层和数数据链路路层地址址绑定；6) 建议关闭闭设备远远程管理理或采用用SSHH等加密密协议进进行远程程管理。4. 主机安全全方面的的整改建建议1) 建议改造造操作系系统和数数据库登登录控制制模块，使使之采用用两种组组合的鉴鉴别技术术对用户户进行身身份鉴别别，如同同时采用用用户名名/口令令和数字字证书的的认证方方式；或或采用身身份认证证服务器器和双因因子鉴别别服务器器或采用用堡垒机机登录方方式；2) 建议安装装部署入入侵检测测设备，当当网络受受到攻击击时能提提供报警警功能；3) 建议网络络防恶意意代码与与主机防防恶意代代码软件件异构部部署；4) 建议删除除多余

19、的的过期的的账号，不不要多人人共用一一个管理理账号；5) 对服务器器和数据据库的日日志进行行分析，定定期导出出生成审审计报表表，或在在网络上上部署第第三方日日志分析析软件或或第三方方集中审审计平台台；6) 建议定期期对数据据库进行行补丁更更新，防防止黑客客利用漏漏洞对数数据库造造成威胁胁。5. 应用安全全方面的的整改建建议1) 建议身份份验证采采用口令令+数字字证书、口口令+硬硬件令牌牌等双因因子鉴别别方式；2) 建议配置置用户名名唯一性性鉴别功功能，以以及用户户名复杂杂度设置置策略；3) 建议设置置用户名名复杂度度策略，使使用户名名具有复复杂度，防防止受到到恶意攻攻击；4) 建议配置置相关策

20、策略，使使系统用用户修改改密码时时，设置置旧密码码不可与与新密码码相同；5) 建议部署署第三方方日志分分析软件件或第三三方集中中审计平平台，能能对审计计记录进进行筛选选。6. 数据安全全方面的的整改建建议1) 建议建立立异地备备份中心心，定期期将重要要数据传传至备用用场地；VIII2015版目录等级测评评结论II总体评价价II主要安全全问题IIV整改建议议VI1测评项项目概述述11.1测测评目的的11.2测测评依据据11.3测测评过程程21.4报报告分发发范围332被测信信息系统统情况332.1承承载的业业务情况况32.2网网络结构构32.3系系统资产产32.3.1机房房32.3.2网络络设备

21、332.3.3安全全设备442.3.4服务务器/存存储设备备42.3.5终端端42.3.6业务务应用软软件42.3.7关键键数据类类别52.3.8安全全相关人人员52.3.9安全全管理文文档52.4安安全服务务52.5安安全环境境威胁评评估62.6前前次测评评情况663等级测测评范围围与方法法73.1测测评指标标73.1.1基本本指标773.1.2不适适用指标标113.1.3特殊殊指标1153.2测测评对象象153.2.1测评评对象选选择方法法153.2.2测评评对象选选择结果果153.3测测评方法法174单元测测评1994.1物物理安全全194.1.1结果果汇总1194.1.2结果果分析11

22、94.2网网络安全全214.2.1结果果汇总2214.2.2结果果分析2214.3主主机安全全234.3.1结果果汇总2234.3.2结果果分析2244.4应应用安全全274.4.1结果果汇总2274.4.2结果果分析2274.5数数据安全全及备份份恢复2294.5.1结果果汇总2294.5.2结果果分析3304.6安安全管理理制度3314.6.1结果果汇总3314.6.2结果果分析3314.7安安全管理理机构3314.7.1结果果汇总3314.7.2结果果分析3324.8人人员安全全管理3324.8.1结果果汇总3324.8.2结果果分析3334.9系系统建设设管理3334.9.1结果果汇总

23、3334.9.2结果果分析3344.100系统运运维管理理344.100.1结结果汇总总344.100.2结结果分析析354.111特殊指指标安全全层面3364.122单元测测评小结结364.122.1控控制点符符合情况况汇总3364.122.2安安全问题题汇总3385整体测测评4445.1安安全控制制间安全全测评4445.2层层面间安安全测评评445.3区区域间安安全测评评445.4整整体测评评结果汇汇总4446总体安安全状况况分析4466.1系系统安全全防护评评估4666.2安安全问题题风险评评估4886.3等等级测评评结论5547安全建建设整改改建议555附录A等等级测评评结果记记录60

24、0物理安全全60网络安全全62主机安全全66应用安全全75数据安全全79安全管理理制度882安全管理理机构883人员安全全管理885系统建设设管理887系统运维维管理991目录XII1 测评项目目概述1.1 测评目的的为贯彻落落实国务务院1447号令令和中办办27号号文件，公公安部会会同有关关部委出出台了一一系列的的文件以以及具体体工作的的指导意意见和规规范，并并在全国国范围内内组织完完成了一一系列工工作。目目前，信信息安全全等级保保护工作作已经进进入安全全建设整整改阶段段，公安安部印发发了关关于开展展信息系系统等级级保护安安全建设设整改工工作的指指导意见见（公公信安20009114299），

25、明明确提出出：“依依据信息息安全等等级保护护有关政政策和标标准，通通过组织织开展信信息安全全等级保保护安全全管理制制度建设设、技术术措施建建设和等等级测评评，落实实等级保保护制度度的各项项要求，力力争在220122年底前前完成已已定级信信息系统统安全建建设整改改工作”。本项目目目标系统统为票务务系统，该该系统安安全保护护等级定定为三级。通通过安全全等级测测评来评评判目前前该信息息系统安安全保护护的程度度或水平平与国家家信息系系统安全全等级保保护要求求之间的的差距，以以便指导导进行信信息系统统安全方方面的调调整和改改进。1.2 测评依据据测评过程程中主要要依据的的标准：1） GB/TT 2222

26、399-20008信信息安全全技术信信息系统统安全等等级保护护基本要要求（简简称基基本要求求）2） GB/TT 2884488-20012信信息安全全技术信信息系统统安全等等级保护护测评要要求（简简称测测评要求求）测评过程程中还参参考的文文件和标标准：1) 中华人人民共和和国计算算机信息息系统安安全保护护条例(国务院院1477号令)2) 信息安安全等级级保护管管理办法法（公公通字20007443号）3) GB/TT 2222400-20008信信息安全全技术信信息系统统安全等等级保护护定级指指南（简简称定定级指南南）4) GB/TT 2550588-20010信信息安全全技术信信息系统统安全等

27、等级保护护实施指指南（简简称实实施指南南）5) 信息安安全技术术信息系系统安全全等级保保护测评评过程指指南（国国标即将将发布，简简称测测评过程程指南）6) GB/TT 2009844-20007信信息安全全技术信信息安全全风险评评估规范范（简称称风险险评估规规范）1.3 测评过程程票务系统统等级测测评的过过程如下下：1) 调研阶段段2) 方案编制制阶段3) 现场测评评阶段4) 分析与报报告编制制阶段1.4 报告分发发范围本报告一一式四份份，其中中两份提提交公司司，一份份由测评评机构单单位留存存，一份份交由公公安机关关备案。2 被测信息息系统情情况22.1 承载的业业务情况况售票系统统负责处处理

28、电子子渠道发发起售票票业务的的交易处处理、账账务处理理，支持持7*224小时时“全天天候”服服务，具具备权限限管理和和授权控控制。系统采用用B/SS方式架架构，采采用了前前置系统统及防火火墙对外外部访问问进行隔隔离，在在内部采采用了局局域网访访问策略略对应用用服务、数数据库服服务进行行了分项项隔离，确确保系统统安全。2.2 网络结构构（略）2.3 系统资产产122.12.22.32.3.1 机房表Error! No text of specified style in document.-1机房基基本情况况表序号机房名称称物理位置置1指挥中心心机房2.3.2 网络设备备表Error! No t

29、ext of specified style in document.-22网络设设备基本本情况表表序号设备名称称品牌型号操作系统统用途数量(台/套套)重要程度度1核心交换换机H3CS55000-核心交换换2非常重要要2.3.3 安全设备备表Error! No text of specified style in document.-33安全设设备基本本情况表表序号设备名称称品牌型号操作系统统用途数量（台/套套）重要程度度1边界防火火墙JUNIIPERRSSG5550-边界防护护2非常重要要2.3.4 服务器/存储设设备表Error! No text of specified style in

30、 document.-44服务器器/存储储设备基基本情况况表序号设备名称称操作系统统/数据库库管理系系统业务应用用软件数量（台/套套）重要程度度1应用服务务器Winddowss20112/SSql serrverr 20012票务系统统2非常重要要2数据库服服务器Winddowss 20012/SSql serrverr 20012-2非常重要要3数据库SQL serrverr 20012-2非常重要要2.3.5 终端表Error! No text of specified style in document.-55终端基基本情况况表序号设备名称称操作系统统用途数量（台台/套）重要程度度1运维

31、终端端Winddowss 7运维管理理1一般2.3.6 业务应用用软件表Error! No text of specified style in document.-66业务应应用软件件基本情情况表序号软件名称称主要功能能开发厂商商重要程度度1票务系统统处理唐电电子渠道道发起售售票业务务的交易易处理、账账务处理理-非常重要要2.3.7 关键数据据类别表Error! No text of specified style in document.-77关键数数据类别别基本情情况表序号数据类别别所属业务务应用安全防护护需求重要程度度1交易类数数据、信信息资料料类、操操作日志志类票务系统统保密性、完完

32、整性非常重要要2.3.8 安全相关关人员表Error! No text of specified style in document.-88安全相相关人员员基本情情况表序号姓名岗位/角角色联系方式式1赵鑫部长助理理151331599721102周旭升网络管理理员182001011888853文旭系统管理理员2.3.9 安全管理理文档表Error! No text of specified style in document.-99安全管管理文档档基本情情况表序号文档名称称主要内容容1信息系统统安全管管理制度度部门设置置、岗位位设置及及工作职职责定义义方面的的管理制制度2信息系统统安全管管理制度

33、度授权审批批、审批批流程等等方面的的管理制制度3人员安全全教育和和培训管管理制度度人员安全全教育和和培训方方面的管管理制度度4第三方人人员访问问管理制制度第三方人人员访问问控制方方面的管管理制度度5采购管理理制度产品选型型、采购购方面的的管理制制度6网络安全全管理制制度网络安全全管理（网网络配置置、帐号号管理等等）方面面的管理理制度7系统安全全管理制制度系统安全全管理（系系统配置置、帐号号管理等等）方面面的管理理制度8备份和恢恢复管理理制度备份和恢恢复方面面的管理理制度9安全事件件报告与与处置管管理制度度安全事件件报告和和处置方方面的管管理制度度2.4 安全服务务表Error! No text

34、 of specified style in document.-110安全全服务基基本情况况表序号安全服务务名称安全服务务商1信息安全全等级保保护测评评服务公司2.5 安全环境境威胁评评估序号威胁分(子)类类描述威胁赋值值1恶意攻击击利用工具具和技术术对信息息系统进进行攻击击高2软件故障障操作系统统、应用用软件由由于设计计缺陷等等发生故故障中3管理不到到位由于制度度缺失、不不完善等等原因导导致安全全管理无无法落实实或者不不到位中4无作为或操作失失误应该执行行而没有有执行相相应的操操作，或或者无意意执行了了错误的的操作中5敏感信息息泄露敏感信息息泄露给给不应了了解的他他人中6物理环境境影响对信

35、息系系统正常常运行造造成影响响的物理理环境问问题和自自然灾害害。低7硬件故障障网络、主主机等系系统设备备由于设设备老化化等原因因发生硬硬件故障障低8越权或滥滥用越权访问问本来无无权访问问的资源源，或者者滥用自自己的权权限破坏坏信息系系统低9物理攻击击通过物理理的接触触造成对对软件、硬硬件和数数据的破破坏低10篡改非法修改改信息，破破坏信息息的完整整性使系系统的安安全性降降低或信信息不可可用低11抵赖否认所做做的操作作低2.6 前次测评评情况本次等级级测评是是票务系系统首次次测评，由由公司负责责实施。3 等级测评评范围与与方法33.1 测评指标标基本要要求中中对不同同等级信信息系统统的安全全功能

36、和和措施提提出了具具体要求求，等级级测评应应根据信信息系统统的安全全保护等等级从中中选取相相应等级级的安全全测评指指标，并并依据测测评要求求和测测评过程程指南对对信息系系统实施施安全测测评。本次安全全等级测测评范围围内的票票务系统统的安全全保护等等级为第第三级，其其中业务务信息安安全保护护等级为为第三级级，系统统服务安安全保护护等为第第三级(S3AA3)。表Error! No text of specified style in document.-2测评指指标统计计列表（S3A3）测评指标标技术/管管理安全分类类安全子类类数量S3A3G3小计安全技术术物理安全全11810网络安全全1067主

37、机安全全3137应用安全全5229数据安全全及备份份恢复2103安全管理理安全管理理制度0033安全管理理机构0055人员安全全管理0055系统建设设管理001111系统运维维管理001313合计7333.13.1.1 基本指标标依据信息息系统确确定的业业务信息息安全保保护等级级和系统统服务安安全保护护等级，选择基基本要求求中对对应级别别的安全全要求作作为等级级测评的的基本指指标。表3-22基本指指标安全层面面安全控制制点测评项数数物理安全全电力供应应4防盗窃和和防破坏坏6防火3防静电2防雷击3防水和防防潮4温湿度控控制1物理访问问控制4物理位置置的选择择2电磁防护护3网络安全全备份和恢恢复4

38、安全审计计4恶意代码码防范2访问控制制8结构安全全7入侵防范范2网络设备备防护8边界完整整性检查查2主机安全全备份和恢恢复3资源控制制5安全审计计6恶意代码码防范3入侵防范范3访问控制制7身份鉴别别6剩余信息息保护2应用安全全备份和恢恢复4软件容错错2资源控制制7安全审计计4抗抵赖2访问控制制6身份鉴别别5剩余信息息保护2数据保密密性2数据完整整性2通信保密密性2通信完整整性1安全管理理制度管理制度度4评审和修修订2制定和发发布5安全管理理机构岗位设置置4沟通和合合作5人员配备备3审核和检检查4授权和审审批4人员安全全管理安全意识识教育和和培训4人员考核核3人员离岗岗3人员录用用4外部人员员访

39、问管管理2系统建设设管理安全方案案设计5安全服务务商选择择3测试验收收5产品采购购和使用用4等级测评评4工程实施施3外包软件件开发4系统备案案3系统定级级4系统交付付5自行软件件开发5系统运维维管理安全事件件处置6备份与恢恢复管理理5变更管理理4恶意代码码防范管管理4环境管理理4监控管理理和安全全管理中中心3介质管理理6密码管理理1设备管理理5网络安全全管理8系统安全全管理7应急预案案管理5资产管理理43.1.2 不适用指指标表3-33不适用用指标安全层面面安全控制制点不适用项项原因说明明网络安全全边界防火火墙访问控制制f) 重重要网段段应采取取技术手手段防止止地址欺欺骗在接入交交换机配配置此

40、项项策略g）应按按用户和和系统之之间的允允许访问问规则，决决定允许许或拒绝绝用户对对受控系系统进行行资源访访问，控控制粒度度为单个个用户；不存在vvpn账账户h）应限限制具有有拨号访访问权限限的用户户数量。不存在拨拨号账户户核心交换换机访问控制制g）应按按用户和和系统之之间的允允许访问问规则，决决定允许许或拒绝绝用户对对受控系系统进行行资源访访问，控控制粒度度为单个个用户；不存在vvpn账账户h）应限限制具有有拨号访访问权限限的用户户数量。不存在拨拨号账户户安全管理理机构沟通和合合作e) 应应聘请信信息安全全专家作作为常年年的安全全顾问，指指导信息息安全建建设，参参与安全全规划和和安全评评审等

41、。现系统使使用期限限不定，暂暂未聘请请信息安安全专家家作为常常年安全全顾问系统建设设管理安全方案案设计e) 应应根据等等级测评评、安全全评估的的结果定定期调整整和修订订总体安安全策略略、安全全技术框框架、安安全管理理策略、总总体建设设规划、详详细设计计方案等等相关配配套文件件。系统暂未未上线，还还未对对对安全方方案进行行调整和和修订产品采购购和使用用b）应确确保密码码产品采采购和使使用符合合国家密密码主管管部门的的要求；不涉及密密码产品品的采购购自行软件件开发a）应确确保开发发环境与与实际运运行环境境物理分分开，开开发人员员和测试试人员分分离，测测试数据据和测试试结果受受到控制制；该公司不不存

42、在软软件开发发b）应制制定软件件开发管管理制度度，明确确说明开开发过程程的控制制方法和和人员行行为准则则；该公司不不存在软软件开发发c）应制制定代码码编写安安全规范范，要求求开发人人员参照照规范编编写代码码；该公司不不存在软软件开发发d）应确确保提供供软件设设计的相相关文档档和使用用指南，并并由专人人负责保保管；该公司不不存在软软件开发发e）应确确保对程程序资源源库的修修改、更更新、发发布进行行授权和和批准。该公司不不存在软软件开发发测试和验验收b) 在在测试验验收前应应根据设设计方案案或合同同要求等等制订测测试验收收方案，在在测试验验收过程程中应详详细记录录测试验验收结果果，并形形成测试试验

43、收报报告；尚未验收收c) 应应对系统统测试验验收的控控制方法法和人员员行为准准则进行行书面规规定；尚未验收收e) 应应组织相相关部门门和相关关人员对对系统测测试验收收报告进进行审定定，并签签字确认认。尚未验收收系统交付付a) 应应制定详详细的系系统交付付清单，并并根据交交付清单单对所交交接的设设备、软软件和文文档等进进行清点点；尚未交付付b) 应应对负责责系统运运行维护护的技术术人员进进行相应应的技能能培训；尚未交付付c) 应应确保提提供系统统建设过过程中的的文档和和指导用用户进行行系统运运行维护护的文档档；尚未交付付d) 应应对系统统交付的的控制方方法和人人员行为为准则进进行书面面规定；尚未交付付e) 应应指定或或授权专专门的部部门负责责系统交交付的管管理工作作，并按按照管理理规定的的要求完完成系统统交付工工作。尚未交付付等级测评评b）应在在系统发发生变更更时及时时对系统统进行等等级测评评，发现现级别发发生变化化的及时时调整级级别并进进行安全全改造，发发现不符符合相应应等级保保护标准准要求的的及时整整改；系统上线线至今未未发生重重大变更更和级别别调整a) 在在系统运运行过程程中，应应至少每每年对系系统进行行一次等等级测评评，发现现不符合合相应等等级保护护标准