等保测评方案

湖南省电子产品检测分析所考勤信息系统安全等级测评方案编制：审核：批准：日期：日期：日期：1.概述1.1项目简介湖南省电子产品检测分析所考勤管理信息系统处理的主要业务信息是员工管理数据、政工管理数据等企业内部信息，是本单位的专有信息。如果系统受到破坏，将会严重影响电子分析所的正常工作和，因此湖南省电子产品检测分析所考勤管理信息系统在业务支撑上起着至关重要的作用。分析所考勤管理信息系统的信息系统安全保护等级已定为二级（S2A2G2）湖南省网络与信息安全测评中心（以下简称测评中心）受湖南省电子检测分析所的委托，对湖南省电子产品检测分析所考勤管理信息系统进行信息系统安全等级保护测评，现场测评项目组将分为技术核查小组及管理核查小组；针对安全技术及安全管理两大方向、十个层面进行测评与分析。本次测评的目的是建立信息安全等级保护制度，通过测试手段对安全技术和安全管理上各个层面的安全控制进行整体性验证。协助用户完成等级保护测评工作1.2测评依据信息系统等级测评是对运营和使用单位信息系统建设和管理的状况进行等级测评。依据《信息系统安全等级保护基本要求》、《信息系统安全等级保护测评准则》，在对信息系统进行安全技术和安全管理的安全控制测评及系统整体测评结果基础上，针对不同等级的信息系统遵循的不同标准进行综合系统安全测评评审后确定，由等级保护测评机构给予相应的系统安全等级评审意见。主要参考标准如下：《信息安全等级保护管理办法》《信息安全技术信息系统安全等级保护定级指南》（GB/T22240-2008）信息安全技术信息系统安全等级保护基本要求》(GB/T22239-2008)《信息系统安全等级保护测评要求》(报批稿)《信息系统安全等级保护实施指南》(报批稿)《信息系统安全等级保护测评过程指南》(报批稿)《计算机信息系统安全保护等级划分准则》(GB17859-1999)《信息安全技术信息系统通用安全技术要求》(GB/T20271-2006)《信息安全技术网络基础安全技术要求》(GB/T20270-2006)《信息安全技术操作系统安全技术要求》(GB/T20272-2006)《信息安全技术数据库管理系统安全技术要求》(GB/T20273-2006)《信息安全技术服务器技术要求》(GB/T21028-2007)《信息安全技术终端计算机系统安全等级技术要求》(GA/T671-2006)1.3测评过程信息系统安全等级保护测评过程包括四个阶段。测评准备阶段被测单位向测评机构提出测评申请，测评机构对被测单位的申请材料进行审查，在双方达成共识的情况下，双方签订保密协议、委托书、合同。方案编制阶段测评机构成立项目组后，工作人员到被测单位了解被测评系统的信息，编写信息系统业务调查报告，信息系统规划设计分析报告，与被测单位共同讨论评测方案，评测工作计划，达成共同认可的评测方案和评测工作计划。现场测评阶段在进入现场检测测试阶段时，测评机构项目组成员在参照系统体系建设相关资料（系统建设方案、技术资料、管理资料、日常维护资料）后，对测评单位进行安全管理机构检查、安全管理制度检查、系统备案依据检查、技术要求落实情况测评、定期评估执行情况检查、等级响应、处理检查、教育和培训检查，生成管理检查记录、技术检查记录和核查报告。分析与报告编制阶段测评机构最后进行核查结果分析，等级符合性分析、专家评审，生成等级测评报告和安全建议报告具体流程如下图：1.4测评原则客观性和公正性原则测评工作虽然不能完全摆脱个人主张或判断，但测评人员应当在没有偏见和最小主观判断情形下，按照测评双方相互认可的测评方案，基于明确定义的测评方法和过程，实施测评活动。经济性和可重用性原则基于测评成本和工作复杂性考虑，鼓励测评工作重用以前的测评结果，包括商业安全产品测评结果和信息系统先前的安全测评结果。所有重用的结果，都应基于这些结果还能适用于目前的系统，能反映目前系统的安全状态。可重复性和可再现性原则无论谁执行测评，依照同样的要求，使用同样的方法，对每个测评实施过程的重复执行都应该得到同样的测评结果。可再现性体现在不同测评者执行相同测评的结果的一致性。可重复性体现在同一测评者重复执行相同测评的结果的一致性。符合性原则测评所产生的结果应当是在对测评指标的正确理解下所取得的良好的判断。测评实施过程应当使用正确的方法以确保其满足了测评指标的要求。1.5测评风险等级测评实施过程中，被测系统可能面临以下风险。验证测试影响系统正常运行在现场测评时，需要对设备和系统进行一定的验证测试工作，部分测试内容需要上机查看一些信息，这就可能对系统的运行造成一定的影响，甚至存在误操作的可能。工具测试影响系统正常运行在现场测评时，会使用一些技术测试工具进行漏洞扫描测试、性能测试甚至抗渗透能力测试。测试可能会对系统的负载造成一定的影响，漏洞扫描测试和渗透测试可能对服务器和网络通讯造成一定影响甚至伤害。敏感信息泄漏泄漏被测系统状态信息，如网络拓扑、IP地址、业务流程、安全机制、安全隐患和有关文档信息。2.被测系统描述2.1被测系统定级情况1系统名称湖南省电子产品检测分析所门户网站信息系统主管机构湖南省电子产品检测分析所系统承载业务情况业务类型1生产作业2指挥调度3管理控制4内部办公5公众服务9其他业务描述信息集成门户，包括信息发布、工作平台综合管理等功能实现系统服务情况服务范围10全国11跨省（区、市）跨个20全省（区、市）21跨地（市、区）跨个30地（市、区）内99其它服务对象1单位内部人员2社会公众人员3两者均包括9其他系统网络平台覆盖范围1局域网2城域网3广域网9其他网络性质1业务专网2互联网9其它系统互联情况1与其他行业系统连接2与本行业其他单位系统连接3与本单位其他系统连接9其它未与单位其它业务系统互联业务信息安全保护等级二级系统服务安全保护等级二级信息系统安全保护等级二级2.2网络结构湖南省电子产品检测分析所考勤管理信息系统采用星型结构，使用天融信防火墙做为区域安全隔离防护过滤设备。区域分为DMZ区，内部局域网，IDC服务器群、外联单位、账务系统网络专区共5个区域，服务器群连接在两台冗余的IDCH3C7506E上，通过IDC天融信防火墙安全连接到其他区域，并连接着IDS提供安全检测；各电厂通过两台H3CSR8808路由器冗余接入局域网；外联单位通过CISCO3640和天融信防火墙连接到局域网交换H3C7506E；外网需要经过入侵防御、两级天融信防火墙、网康流量控制网关、上网行为管理设备、局域网交换H3C7506E、服务器专区防火墙防御访问系统服务器；所有区域与区域之间界限分明，部署合理，确保了网络的稳定性、安全性与可靠性。具体网络拓扑结构图如下：2.3系统构成业务应用软件构成如下表序号软件名称主要功能重要程度1门户网站信息系统门户网站重要2Tomcat中间件重要3Sqlserver考勤数据库重要关键数据类别如下表序号数据类别所属业务应用主机/存储设备重要程度1业务数据门户网站信息系统IBMHS21重要主机/存储设备如下表序号设备名称操作系统/数据库管理系统业务应用软件重要程度1应用服务器Windowsserver2003门户网站信息系统重要2数据库服务器Windowsserver2003/sqlserver门户网站信息系统重要网络互联设备如下表序号设备名称用途型号/ip重要程度1DW6509核心交换机cisco6509Ip：10.48.0.1重要2DW37501-DW375051-5楼接入交换机接入交换机cisco3750Ip:10.152.2.201-205重要3DW4006对外服务区交换机CISCO4006ip：10.152.2.252重要4DW3600(internet)外部接入路由器cisco3600Ip：16.168.194.54重要5DW3640交换机cisco-364010.48.5.1重要6网康流量控制设备Internet出口流量控制-重要安全设备如下表序号设备名称用途型号重要程度1IDS入侵检测设备启明星辰IP：重要2网康上网行为管理上网行为审计管理重要DW208DWDW208FW防火墙，型号：NetScreen3系统内外隔离208重要Ip：10.48.8.22型号：NetScreen4DW208FW防火墙2局域网防火墙208重要Ip：10.49.8.225启明星辰入侵检测设备入侵检测设备重要安全相关人员如下表序号姓名岗位/角色联系方式1陈俊信息安全主管--2邹海亮机房管理员--3于国际网络管理员--4孙敏操作系统管理员--5何伟明数据库管理员--6于国际资产管理员--7吴英杰应用系统管理员--安全管理文档如下表序号文档名称用途重要程度1湖南省电子产品检测分析所信息网络系统安全管理规定关于湖南省电子产品检测分析所信息网络系统安全管理的相关说明重要2湖南省电子产品检测分析所网站管理办法关于湖南省电子产品检测分析所网站管理的相关说明重要3湖南省电子产品检测分析所计算机信息系统安全和保密管理办法关于湖南省电子产品检测分析所计算机信息系统安全和保密管理的相关说明重要4湖南省电子产品检测分析所生产指挥中心生产实时数据通道管理办法关于湖南省电子产品检测分析所生产指挥中心生产实时数据通道管理的相关说明重要5信息安全风险评估管理工作标准关于信息安全风险评估管理工作标准重要6信息中心机房管理工作标准关于信息中心机房管理工作标准重要7IP地址管理工作标准关于IP地址管理工作标准重要8第三方人员管理工作标准关于第三方人员管理工作标准重要9防病毒紧急响应管理工作标准关于防病毒紧急响应管理工作标准重要10信息系统运行管理工作标准关于信息系统运行管理工作标准重要11数据网络管理工作标准关于数据网络管理工作标准重要12通信运行维护管理工作标准关于通信运行维护管理工作标准重要13信息通信设备巡检管理工作标准关于信息通信设备巡检管理工作标准重要14信息通信标准站管理工作标准关于信息通信标准站管理工作标准重要15信息化项目管理办法关于信息化项目管理的相关说明重要16信息机房建设技术规范关于信息机房建设技术规范重要17信息机房运行管理规定关于信息机房运行管理的相关说明重要18重要应用与数据灾难备份系统建设导则关于重要应用与数据灾难备份系统建设导则重要19重要应用与数据灾难备份系统实施指南关于重要应用与数据灾难备份系统实施指南重要20湖南省电子产品检测分析所计算机信息系统安全和保密管理办法（试行）关于湖南省电子产品检测分析所计算机信息系统安全和保密管理的相关说明重要21湖南省电子产品检测分析所涉密计算机上网管理规定关于湖南省电子产品检测分析所涉密计算机上网管理的相关说明重要22信息通信管理手册关于信息通信管理手册重要23调峰调频在用技术标准（信息部分）关于调峰调频在用信息部分技术标准重要24调峰调频在用技术标准（通信部分）关于调峰调频在用通信部分技术标准重要25湖南省电子产品检测分析所办公自动化系统应急预案关于湖南省电子产品检测分析所办公自动化系统应急预案的相关说明重要26调频发电公司网站管理办法（试行）关于调频发电公司网站管理的相关说明重要3.测评对象与指标3.1测评指标测评指标包括基本指标和特殊指标两项3.1.1基本指标被测系统的定级结果为：安全保护等级为2级，业务信息安全等级为S2，系统服务安全等级为A2；则该系统的测评指标应包括GB/T22239-200“8技术要求”中的2级通用指标类（G2），3级业务信息安全指标类（S2），2级系统服务安全指标类（A2），以及第2级“管理要求”中的所有指标类。本次测评的测评指标情况具体如下表所示测评指标技术/管理层面类数量S类（2级）A类（2级）G类（2级）小计安全技术物理安全11810网络安全1056主机安全2136应用安全4217数据安全2103安全管理安全管理制度0033安全管理机构0055人员安全管理0055系统建设管理0099系统运维管理001212合计663.1.2特殊指标根据系统等级保护定级情况及办公业务平台环境，此次测评主要依据等级保护基本要求，不再增加特殊指标3.2测评对象测评对象是等级