广电BOSS系统-等级保护测评整改方案.doc

数字电视综合运营支撑（BOSS）系统
等级保护整改方案

00000000000

2014年12月

00000000000 I
整改方案
目 录
一、 概述 1
二、 系统现状 1
2.1 数字电视综合运营支撑（BOSS）系统 1
2.1.1 系统描述 1
2.1.2 系统拓扑图 1
2.1.3 系统构成 2
2.1.4 系统测评结论 3
三、 整改依据 4
四、 整改内容 5
4.1 数字电视综合运营支撑（BOSS）系统 5
4.1.1 物理安全 5
4.1.2 基础网络安全 5
4.1.3 边界安全 6
4.1.4 主机安全 7
4.1.5 总要求 9
4.1.6 安全管理机构 10
4.1.7 人员安全管理 12
4.1.8 系统建设管理 13
4.1.9 系统运维管理 15
五、 方案总结 20
附件一：设备清单汇总 22
附件二：管理制度及表单条目清单 23

一、 概述
信息安全等级保护是国家信息安全保障的基本制度、基本策略、基本方法，开展信息安全等级保护工作是保护信息化发展、维护国家信息安全的根本保障。实施信息安全等级保护制度，信息系统运营使用单位和主管部门能按照标准进行安全建设、整改，信息系统安全也有了一个衡量尺度。信息系统根据其在国家安全、经济建设、社会生活中的重要程度，遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度分成五个安全保护等级（从第一级到第五级逐级增高）。
本方案主要针对00000000000信息系统的现状，依据00000000000信息系统等级保护评测工作的《广播数字全自动播出信息系统等级保护定级报告》、《数字电视综合运营支撑（BOSS）系统等级保护测评报告》、 的现有的状况和等保相关要求差距进一步深入分析，并以满足等保需求为基础，对00000000000信息系统的建设整改进行规划设计。
二、 系统现状
2.1 数字电视综合运营支撑（BOSS）系统
2.1.1 系统描述
BOSS系统业务信息包括：数字电视客户基本资料（姓名、地址、电话等），缴费记录、授权情况、欠费信息、机顶盒设备信息等。00000000000为该信息系统定级的责任单位，该系统已被定级为三级（S2A2G2）。
2.1.2 系统拓扑图
核心设备部署了中兴通信的ZXR10 8908万兆路由交换机，19个乡镇以及城区汇聚节点均部署ZXR10 8905万兆路由交换机。具体网络拓扑如下图所示：

图1 00000000000信息系统网络拓扑
2.1.3 系统构成
1) 业务应用软件
表4 00000000000信息系统业务应用软件
序号
软件名称
主要功能
1
数字电视综合运营支撑（BOSS）系统
主要完成数字电视用户信息的录入、更新、认证、授权、计费等功能
2) 主机/存储设备
表5 00000000000信息系统主机/存储设备
序号
设备名称
操作系统/数据库管理系统
1
收费工作站
PC
Windows XP/--
2
数据库服务器-1
IBM X3650 M3
SOLARIS/ Oracle
3
数据库服务器-2
IBM X3650 M3
SOLARIS/ Oracle
4
接口服务器
IBM X3650 M3
Linux/--
5
测试服务器-1
IBM X3650 M3
Linux/--
6
测试服务器-2
IBM X3650 M3
Linux/--
7
认证服务器-1
IBM X3650 M3
Linux/--
8
认证服务器-2
IBM X3650 M3
Linux/--
3) 网络互联设备
表6 00000000000信息系统网络互联设备
序号
设备名称
用 途
1
中兴ZXR10 8908
核心交换机
2
中兴ZXR10 8908
汇聚交换机
2.1.4 系统测评结论
等级测评结论为“基本符合”，差距项分布如下表所示：
名称
测评指标
部分符合项
不符合项
高风险项
技术要求
物理安全
4
0
0
基础网络安全
2
0
0
边界安全
0
3
0
服务器安全
3
1
0
应用安全
5
1
0
数据安全及备份恢复
1
0
0
管理要求
总要求
0
0
0
安全管理机构
5
0
0
人员安全管理
4
1
0
系统建设管理
5
0
0
系统运维管理
10
2
0

三、 整改依据
1) GB 17859-1999 信息安全技术 计算机信息系统安全保护等级划分准则；
2) 《广播电视相关信息系统安全等级保护基本要求》（GD/J038-2011）
3) 《广播电视相关信息系统安全等级保护测评要求》（GD/J044-2012）；
4) 《信息系统安全等级保护定级报告》；
5) 《数字电视综合运营支撑（BOSS）系统安全等级保护测评报告》；

四、 整改内容
4.1 数字电视综合运营支撑（BOSS）系统
4.1.1 物理安全
1. 相关要求及依据
详见GD/J038-2011有关物理安全要求。
为满足要求， 通过部署防盗报警系统及火灾自动报警系统和灭火系统，开展机房运维管理和环境管理，提高机房的安全性。
2. 安全现状及整改措施
类别
测评内容
结果记录
涉及资产
符合情况
整改措施
物理访问控制
b）需进入播出机房的来访人员应经过申请和审批流程，并限制和监控其活动范围。
进入机房由专人陪同，缺少来访人员进入机房的审批记录
\
部分符合
设置来访人员进行机房审批记录
防盗窃和防破坏
c）应利用光、电等技术设置机房防盗报警系统；
机房缺少防盗报警系统
\
不符合
部署防盗报警系统
机房环境
b) 机房应有防水防潮措施，应充分考虑水管泄漏和凝露的可能性，并做好相应的预防措施；
机房窗户缺少防水防渗处理，机房的窗户、屋顶和墙壁未出现漏水、渗透和返潮现象，机房内空调排水管进行加固防渗、防漏处理，机房空调具有除湿功能，缺少防水防潮处理记录
\
不符合
定期开展机房运维和环境管理
d）机房应设置温、湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的范围之内；
机房内具有专业空调，可对机房内温度进行自动调节，具有空调定期检查和维护记录，缺少机房湿度控制设置
\
部分符合
增加机房湿度调节设施
机房消防设施
b）机房应设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火；
机房内具有日常值守人员，机房具有干粉灭火器，缺少自动灭火设备
\
部分符合
部署火灾自动报警系统和自动灭火系统
4.1.2 基础网络安全
1. 相关要求及依据
详见GD/J038-2011有关基础网络安全要求。
为满足要求， 通过部署动态令牌及日志服务器并完善设备基本配置要求，定期开展设备维护，达到基础网络安全要求。
2. 安全现状及整改措施
类别
测评内容
结果记录
涉及资产
符合情况
整改措施
安全审计
c)应保护审计记录，避免受到未预期的删除、修改或覆盖等，审计记录至少保存 90 天；
缺少对审计日志进行必要保护
交换机
不符合
对日志进行集中管理，定期进行分析
d) 应定期对审计记录进行分析，以便及时发现异常行为；
未定期对审计记录进行分析
交换机
不符合
对日志进行集中管理，定期进行分析
网络设备防护
e) 当对网络设备进行远程管理时，应采用HTTPS、SSH等安全的远程管理手段，防止用户身份鉴别信息在网络传输过程中被窃听；
远程管理设备时采用telnet方式进行
交换机
不符合
采用SSH 远程管理

4.1.3 边界安全
3. 相关要求及依据
详见GD/J038-2011有关边界安全要求。
为满足要求， 通过修改配置，设置日志集中管理并定期分析，提供边界安全性。
4. 安全现状及整改措施
类别
测评内容
结果记录
涉及资产
符合情况
整改措施
恶意代码防范
a) 应在信息系统的网络边界处进行恶意代码检测和清除，并维护恶意代码库的升级和检测系统的更新，播出整备系统、播出系统等播出直接相关系统的边界可根据需要进行部署
BOSS系统在边界处未设置恶意代码防范措施
\
不符合
在网络边界部署恶意代码防范设备
b) 防恶意代码产品应与信息系统内部防恶意代码产品具有不同的恶意代码库
BOSS系统在边界处未设置恶意代码防范措施
\
不符合
入侵防范
a)应在信息系统的网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等，播出整备系统、播出系统等信息系统的边界可根据需要进行部署
BOSS系统在边界处未设置入侵防御措施
\
不符合
在网络边界部署入侵防范设备
安全审计
a) 应在与外部网络连接的网络边界处进行数据通信行为审计
BOSS系统与CA系统、VOD、营业厅相连，缺少对系统网络边界处进行数据通信的行为进行审计
\
不符合
在与外部网络连接的网络边界处进行数据通信行为审计，并对审计日志进行集中管理和日常分析
b) 审计记录应包括事件的日期、时间、用户名、IP 地址、事件类型、事件是否成功等
BOSS系统与CA系统、VOD、营业厅相连，缺少对系统网络边界处进行数据通信的行为进行审计
\
不符合
c) 应保护审计记录，避免受到未预期的删除、修改或覆盖等，审计记录至少保存 90 天
BOSS系统与CA系统、VOD、营业厅相连，缺少对系统网络边界处进行数据通信的行为进行审计
\
不符合
d) 应定期对审计记录进行分析，以便及时发现异常行为
BOSS系统与CA系统、VOD、营业厅相连，缺少对系统网络边界处进行数据通信的行为进行审计
\
不符合
4.1.4 主机安全
1. 相关要求及依据
详见GD/J038-2011有关主机要求。
为满足要求， 通过修改主机安全配置，设置登陆口令复杂度限制、登陆失败措施、开启安全审计、定期升级系统和打补丁，提高主机操作系统和数据库的安全性。
2. 安全现状及整改措施
类别
测评内容
结果记录
涉及资产
符合情况
整改措施
身份鉴别
a) 应对登录操作系统和数据库系统的用户进行身份标识和鉴别，应为不同用户分配不同的用户名，不能多人使用同一用户名；
技术部多人使用同一管理员账户，不同用户未分配不同的用户名
收费工作站
数据库服务器-1/2
接口服务器
测试服务器-1/2
认证服务器-1/2
数据库系统-1/2
不符合
每个自然人对应使用一个账户，避免账户共享情况
b) 操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换；
操作系统缺少口令长度、更新周期、复杂性限制
收费工作站
数据库服务器-1/2
接口服务器
测试服务器-1/2
认证服务器-1/2
数据库系统-1/2
数字电视综合运营支撑（BOSS）系统
不符合
对操作系统和数据库配置用户口令有效期的强制提醒与更新功能，使口令设置时系统具有复杂度检查和长度限制
c) 应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施；
操作系统未启用登录失败处理功能
收费工作站
数据库服务器-1/2
接口服务器
测试服务器-1/2
认证服务器-1/2
数据库系统-1/2
数字电视综合运营支撑（BOSS）系统
不符合
启用登录失败处理功能，口令尝试超过规定次数锁定账户
c) 应实现操作系统和数据库系统特权用户的权限分离；
操作系统和数据库管理员由同一人担任，权限未分离
数据库系统-1/2
不符合
为操作系统管理员和数据库管理员岗位配备不同的人员，同时补充相应人员岗位职责
安全审计
a) 安全审计应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户；
审计功能未开启或审计不全面，未定期对审计记录进行分析
数据库服务器-1/2
接口服务器
测试服务器-1/2
认证服务器-1/2
数据库系统-1/2
不符合
启用本地安全审计功能或部署堡垒机等第三方审计系统，审计策略配置登录登出、权限变更、重要文件增删行为等事件内容
入侵防范
a) 操作系统遵循最小安装的原则，仅安装需要的组件和应用程序，并通过设置升级服务器等方式保持系统补丁及时得到更新
系统补丁未及时升级
收费工作站
数据库服务器-1/2
接口服务器
测试服务器-1/2
认证服务器-1/2
数据库系统-1/2
不符合
通过设置专门的升级服务器等方式保持对操作系统安全补丁的及时更新，并补充完善相关系统升级制度和升级记录
恶意代码防范
应部署具有统一管理功能的防恶意代码软件，并定期更新防恶意代码软件版本和恶意代码库；新闻制播系统、播出整备系统、播出系统等播出直接相关系统的核心服务器可根据需要进行部署和更新。
操作系统未部署具有统一管理功能的防恶意代码软件
收费工作站
数据库服务器-1/2
接口服务器
测试服务器-1/2
认证服务器-1/2
数据库系统-1/2
不符合
建议操作系统安装企业版或网络版杀毒软件进行统一管理
4.1.5 总要求
1. 相关要求及依据
详见GD/J038-2011有关总要求。
为满足要求，制定《信息安全工作的总体方针和安全策略》《管理制度和操作规程》《安全管理制度体系》等制度达到目的或检查要求。
2. 安全现状及整改措施
类别
测评内容
结果记录
涉及资产
符合情况
整改措施
总要求
a) 应制定信息安全工作的总体方针和安全策略，说明安全工作的总体目标、范围、原则和安全框架等；
缺少信息安全工作的总体方针和安全策略文件
/
不符合
补充《信息安全工作的总体方针和安全策略》，主要内容包括机构安全工作的总体目标、范围、方针、原则、和安全框架
b) 应成立指导和管理信息安全工作的领导小组，设立信息安全管理工作的职能部门；
00000000000关于成立信息安全保护工作的通知 余广电【2012】42号，明确成立了信息安全工作的领导小组，但未设立信息安全管理工作的职能部门
/
部分符合
补充《信息安全管理工作的职能部门》，并明确职能部门的职责
c) 应制定各项信息安全制度和操作规程，明确信息安全管理各项要求，形成由安全方针、管理制度、细化流程等构成的全面的信息安全管理制度体系，使等级保护工作常态化、制度化。
缺少各项安全管理制度文档，缺少全面的信息安全管理制度体系
/
不符合
制定各项安全管理制度和操作规程
制定信息安全管理制度体系文件，制度体系由总体方针、安全策略、管理制度、操作规程等构成
4.1.6 安全管理机构
1. 相关要求及依据
详见GD/J038-2011有关管理机构要求。
为满足要求， 《系统管理审批管理制度》、《系统管理审批记录》、《安全检查制度》、《安全检查管理制度》和补充完善《岗位职责》、《安全检查记录》等制度，保障系统的安全。
2. 安全现状及整改措施
类别
测评内容
结果记录
涉及资产
符合情况
整改措施
岗位设置
b)应设立信息安全管理工作的职能部门，负责信息安全各项工作的组织和落实，配备专职安全管理员；
设立信息安全组织机构，负责信息安全各项工作的组织和落实
未配备专职的安全管理员
/
部分符合
补充岗位职责，明确安全管理员的职责，配备专职的安全管理员
b)应设立信息安全管理工作的职能部门，负责信息安全各项工作的组织和落实，配备专职安全管理员；
未设立信息安全组织机构
未配备专职的安全管理员
/
不符合
设立信息安全组织机构，明确机构的职责，配备专职的安全管理员
d) 应制定文件明确安全管理机构各个部门和岗位的职责。
缺少职能部门的职责和岗位职责文件
/
不符合
补充部门职责和岗位职责，主要内容包括：安全主管、各个方面的负责人的岗位职责的具体设置，主要内容包括：网络管理员、机房管理员、系统管理员、安全管理员、数据库管理员、审计员、应用系统管理员等岗位的具体设置，并清晰、明确各个岗位的职责范围
授权和审批
b）应针对系统变更、重要操作、物理访问和系统接入等事项建立审批程序，按照审批程序执行审批过程，对重要活动建立逐级审批制度；
缺少审批管理制度（系统变更、重要操作、物理访问和系统接入等事项），缺少逐级审批的文档
/
不符合
增加《系统管理审批管理制度》：主要内容包括明确对系统投入运行、网络系统接入和重要资源的访问、变更管理、产品采购等关键活动的审批部门和批准人进行规定，明确审批流程
c）应定期审查审批事项，及时更新需授权和审批的项目、审批部门和审批人等信息；
缺少审批管理制度文档
/
不符合
增加《逐级审批的文档》对审批过程进行记录，增加《审批事项的审查记录》，包括审批事项、审批部门、审批人的变更进行评审等内容，对关键活动的审批进行记录
d）应记录审批过程并保存审批文档。
缺少关键活动的审批过程记录
/
不符合
沟通和合作
a）应加强各类管理人员之间、组织内部机构之间以及信息安全职能部门内部的合作与沟通，定期或不定期召开协调会议，共同协作处理信息安全问题；
不定期召开协调会议，
电话、邮件、当面沟通，沟通内容历史问题的解决，缺少组织内部机构之间以及信息安全职能部门内部的安全工作会议文件，经检查，通讯录，明确了组织机构内部人员联系表
/
部分符合
增加《会议纪要》，包括组织内部机构之间以及信息安全职能部门内部的安全工作会议文件
b) 应加强与系统内外相关工作单位的合作与沟通，确保信息安全各项工作的顺利开展；
与信息内外相关工作单位建立了沟通与合作机构，邮件、电话进行联系，包括业务，安全等，但缺少单独的工作文件或记录
/
部分符合
增加《会议纪要》，包括与系统内外相关工作单位的合作与沟通的记录
审核和检查
a）安全管理员应负责定期进行信息安全检查，检查内容包括系统日常运行、系统漏洞和数据备份等情况；
1个月检查一次，包括日常运行、备份等，未包括漏洞检查，经检查，缺少安全检查的记录或报告
/
部分符合
补充《安全检查记录》，明确检查的周期，检查的内容包括系统日常运行、系统漏洞和数据备
b）应定期进行全面信息安全检查，检查内容包括现有安全技术措施的有效性、安全配置与安全策略的一致性、安全管理制度的执行情况等；
对信息系统未进行全面的安全检查，缺少安全检查管理制度
/
不符合
增加《安全检查制度》，明确检查内容包括技术措施有效性和安全管理制度执行情况等方面；增加《安全检查文档》，明确了定期进行全面安全检查，明确了检查内容等
c)信息安全主管部门应制定安全检查表格实施安全检查， 汇总安全检查数据， 形成安全检查报告，并对安全检查结果进行通报。
缺少全面的安全检查
缺少全面的安全检查报告
/
不符合
增加《安全检查报告》《安全检查时的安全检查表》《结果通告记录》，包括检查内容、检查时间、检查人员、检查数据汇总表、检查结果等内容的描述
制度管理
a) 应建立信息安全管理制度、操作规程等从访问控制、系统设计、系统建设、系统验收、系统运维、应急处置、人员管理、文件档案管理、审核检查等方面规范各项信息安全管理工作；
缺少各项安全管理制度（访问控制、系统设计、系统建设、系统验收、系统运维、应急处置、人员管理、文件档案管理、审核检查等方面）
/
部分符合
增加《各项安全管理制度》，明确访问控制、系统设计、系统建设、系统验收、系统运维、人员管理、文件档案管理、审核检查等方面
b) 信息安全管理部门负责制定信息安全管理制度和操作规程，并进行版本控制；
缺少安全管理制度文档
/
不符合
增加《安全管理制度文档》，规范制度的版本管理
c) 应组织专家和相关部门人员对安全管理制度和操作规程进行论证和审定，并定期对其合理性和适用性进行审定，根据需要进行修订；
不定期对其合理性和适用性进行审定，根据需要进行修订
缺少管理制度评审记录
/
部分符合
增加《管理制度评审记录》，包括评审内容、评审周期、参加人员和评审等
4.1.7 人员安全管理
1. 相关要求及依据
详见GD/J038-2011有关人员安全管理要求。
为满足要求，通过制定《保密协议》、《岗位安全协议、《人员离职管理制度》、《离岗人员交接记录》《外来人员访问管理制度》、《外部人员访问重要区域的批准文档》、《外部人员访问重要区域的登记记录》等人员管理制度，保障系统的安全。
2. 安全现状及整改措施
类别
测评内容
结果记录
涉及资产
符合情况
整改措施
人员上岗
b）应签署保密协议和岗位安全协议。
对从事关键岗位的人员未签署保密协议和岗位安全协议
/
不符合
增加《保密协议》，对关键岗位的人员签署保密协议，包括安全责任、违约责任、协议的有效期限和责任人签字等内容
增加《岗位安全协议》，包括安全责任、违约责任、协议的有效期限和责任人签字等内容
人员离岗
a) 应规范人员离岗过程，及时终止离岗员工的所有访问权限；
缺少人员离岗管理制度
/
不符合
增加《人员离岗管理制度》，包括规范人员离岗过程，及时终止离岗员工的所有访问权限等内容
b) 应取回各种身份证件、钥匙、徽章等以及单位提供的软硬件设备；
缺少人员交接记录
/
不符合
增加《离岗手续记录表》《交接手续登记表》，取回离岗人员的各种身份证件、钥匙、徽章等以及机构提供的软硬件设备等
c) 应办理严格的调离手续，关键岗位人员离岗须承诺调离后的保密义务后方可离开。
缺少人员调离记录，缺少离职人员的保密承诺文档
/
不符合
增加《保密承诺文档》，明确要求关键岗位调离人员承诺相关保密义务后方可离开
培训与考核
b) 应对信息安全各相关岗位的人员定期进行安全技能、政策及安全认知的考核；
年度考核记录，未包括安全技能和安全知识的考核
/
部分符合
补充《人员安全技术考核制度》、《人员考核记录》，考核的内容包括安全技能及安全认知等
c) 应对信息安全培训和考核情况进行记录并保存。
缺少安全教育和培训记录
/
不符合
增加《安全教育和培训记录》，包括培训时间、地点、参与人员、培训内容、培训结果等
外部人员访问管理
a）应确保在外部人员访问受控区域前先提出书面申请，得到授权或审批，批准后由专人全程陪同或监督，并登记备案；
访问受控区域前经过相关人员的批准，同意后有专人陪同，缺少外部人员访问重要区域的批准文档，缺少外部人员访问重要区域的登记记录
/
部分符合
增加 《外部人员访问重要区域的批准文档》、《外部人员访问重要区域的登记记录》，主要内容明确对外部人员访问机房等重要区域应经相关部门或负责人批准，明确外部人员访问的范围、外部人员进入的条件、外部人员进入的访问控制措施
b)对外部人员允许访问的区域、系统、设备、信息等内容应进行书面的规定，并按照规定执行。
缺少外部人员访问管理制度
/
不符合
增加《外来人员访问管理制度》，明确允许外部人员访问的范围，外部人员进入的条件，外部人员进入的访问控制措施等；对允许外部人员访问的区域、系统、设备和信息等进行明确规定
4.1.8 系统建设管理
1. 相关要求及依据
详见GD/J038-2011有关系统建设管理要求。
为满足要求，我们通过增加《安全设计方案》、《工程实施文档》、《测试验收文档》、《方案评审记录》、《软件开发管理规范》和《系统交付清单》等方式来加强系统的安全。
2. 安全现状及整改措施
类别
测评内容
结果记录
涉及资产
符合情况
整改措施
安全方案设计
a）根据信息系统的等级划分情况，应由专门的部门对信息系统的安全建设进行总体规划，统一考虑信息安全保障体系的总体安全策略、安全技术框架、安全管理策略、总体建设规划、远期和近期建设计划等；
技术运维部负责信息系统的总体规划，经检查，缺少系统总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计方案、近期安全建设计划和远期安全建设计划等配套文件
/
部分符合
增加《总体安全策略》，内容包括近期安全建设计划和远期安全建设计划配套文件，增加《信息系统建设的配套文件》，包括安全技术框架、安全管理策略、总体建设规划、详细设计方案
b）应根据国家和行业标准、 规范合理设计信息系统的信息安全方案和策略， 制定详细的建设方案；
缺少信息系统的信息安全方案和策略，缺少详细的建设方案
/
部分符合
增加《系统安全方案和策略》《详细设计方案和策略》
c）应组织相关部门和有关安全技术专家对信息安全的规划、建设方案等进行论证和审定，并且经过批准后，才能正式实施；
缺少配套文件的专家论证文档
/
不符合
对《安全方案》组织专家评审并形成《方案评审记录》；对配套文件进行维护记录形成《维护记录》
d) 应根据等级测评、安全评估的结果调整和修订信息安全的规划、建设方案等。
缺少配套文件的修订文档
/
不符合
外包软件开发
b) 应在软件安装之前检测软件包中可能存在的恶意代码；
软件安装之前未检测软件包中可能存在的恶意代码
/
不符合
软件安装之前检测软件包中可能存在的恶意代码增加《恶意代码检测记录》
c) 应要求开发单位提供软件设计的相关文档和使用指南；
未提供软件设计的相关文档和使用指南（需求分析说明书、软件设计说明书、软件操作手册、软件源代码文档等）
/
不符合
增加《软件设计的相关文档和使用指南》，包括需求分析说明书、软件设计说明书、软件操作手册、软件源代码文档等
d) 应要求开发单位提供软件源代码，并审查软件中可能存在的后门漏洞等。
缺少软件源代码审查记录
/
不符合
增加《源代码审查记录》，包括软件中可能存在的后门漏洞等内容
工程实施
b) 应制定详细的工程实施方案控制实施过程，并要求工程实施单位能正式地执行安全工程过程；
未提供工程实施方案，未提供阶段性实施文档
/
不符合
增加《工程实施方案》，规定工程时间限制、进度、控制、质量控制等方面内容，工程实施过程按照实施方案形成各种文档，如阶段性工程进程汇报报告
c) 应制定工程实施方面的管理制度，明确说明实施过程的控制方法和人员行为准则。
缺少工程实施方面的管理制度
/
不符合
增加《工程实施管理制度》，包括，明确说明实施过程的控制方法和人员行为准则等内容
测试验收
a) 应委托具有资质的第三方对系统进行安全性测试，并出具安全性测试报告；
未委托公正具有资质的第三方对系统进行安全性测试
/
不符合
信息系统建设完成后对其进行测试，委托第三方测试机构对信息系统进行独立的安全性测试，形成安全性测试报告
b) 在测试验收前应根据设计方案或合同要求等制订测试验收方案，在测试验收过程中应详细记录测试验收结果，并形成测试验收报告；
未提供系统测试验收方案，未提供系统测试验收报告
/
不符合
增加《工程测试验收方案》，明确参与测试的部门、人员、测试验收内容、现场操作过程等内容，制定《测试验收记录》、《测试验收报告》
c) 应对系统测试验收的控制方法和人员行为准则进行书面规定；
缺少系统测试验收管理制度
/
不符合
增加《测试验收管理制度》，包括系统测试验收的控制方法和人员行为准则进行书面规定
e）应组织相关部门和相关人员对系统测试验收报告进行审定，并签字确认。
未提供验收报告的审定文档
/
不符合
增加《验收报告的审定文档》，包括验收报告的审定内容及审定意见等
系统交付
a) 应制定详细的系统交付清单，并根据交付清单对所交接的设备、软件和文档等进行清点；
未提供系统交付清单
/
不符合
增加《系统交付清单》，明确所交接的设备、软件和文档等
制定《项目建设管理制度》要求工程系统交付后进行技术培训，《培训记录》并形成记录
b) 应对负责系统运行维护的技术人员进行相应的技能培训；
目前系统是内部技术人员维护，对维护人员进行过培训，但未提供系统交付时的技术培训记录
/
部分符合
c) 应提供系统建设过程中的文档和指导用户进行系统运行维护的文档；
未提供系统交付清单
/
不符合
4.1.9 系统运维管理
1. 相关要求及依据
详见GD/J038-2011有关系统运维管理要求。
为满足要求，我们制定《机房安全管理制度》、《介质管理制度》、《设备维护制度》、《设备操作规程》、《恶意代码防范管理制度》、《网络安全管理制度》、《系统安全管理制度》、《备份与恢复管理制度》、《安全事件报告和处置管理制度》和《应急预案》等达到目的或检查要求。
2. 安全现状及整改措施
类别
测评内容
结果记录
涉及资产
符合情况
整改措施
环境管理
a) 应指定专门的部门或人员定期对机房供配电、空调、温湿度控制等设施进行维护管理；
技术运维部进行维护，不定期进行维护，缺少机房基础设施的维护记录
/
部分符合
增加《机房基础设施维护记录》，包括空调、UPS等
c) 应建立机房安全管理制度，规范机房物理访问、机房环境安全、工作人员行为等。
机房管理制度不够完善，未包括机房物理访问、物品带进和带出机房、机房环境安全和工作人员行为等方面
/
部分符合
完善《机房管理制度》，包括机房物理访问、机房环境安全、工作人员行为等内容
资产管理
a) 应编制并保存与信息系统相关的资产清单，包括资产责任部门、重要程度和所处位置等内容；
未明确资产的责任部门，缺少资产清单
/
不符合
增加《资产清单》，明确资产的责任部门、责任人、重要程度和所处位置等
b) 应建立资产安全管理制度，规定信息系统资产管理的责任人员或责任部门，并规范资产管理和使用的行为；
缺少资产安全管理制度
/
不符合
增加《资产安全管理制度》，规定信息系统资产管理的责任人员或责任部门，并规范资产管理和使用的行为
c) 应根据资产的重要程度对资产进行标识管理，并选择相应的管理措施；
未明确的分类和标识管理，不同类别的资产未采取不同的管理措施
/
不符合
根据资产的重要程度对资产进行标识管理，并选择相应的管理措施
d) 应对信息分类与标识方法作出规定，并对信息的使用、传输和存储等进行规范化管理。
缺少信息分类文档
/
不符合
增加《信息分类管理文档》，包括分类与标识方法，信息的使用、传输和存储等内容
介质管理
a) 应建立介质安全管理制度，对介质的存放环境、使用、维护和销毁等方面作出规定；
缺少介质安全管理制度（介质的存放环境、使用、维护和销毁等方面）
/
不符合
制定《介质安全管理制度》，包括介质的存放环境、使用、维护和销毁等方面
b) 应确保介质存放在安全的环境中，并根据所承载数据和软件的重要程度对介质进行分类和标识管理，进行相应的控制和保护；
未明确专门的存放环境，对介质未进行分类和标识
/
不符合
明确介质的存放环境，根据重要性对介质进行分类和标识管理，进行相应的控制和保护
c) 应对存储介质的使用过程、送出维修以及销毁等进行严格的管理，对经批准带出工作环境的存储介质进行登记和监控管理，对送出维修或销毁的介质应首先清除介质中的敏感数据，对保密性较高的存储介质未经批准不应自行销毁；
缺少介质管理制度（存储介质的使用过程、送出维修以及销毁等进行严格的管理，对经批准带出工作环境的存储介质进行登记和监控管理，对送出维修或销毁的介质应首先清除介质中的敏感数据）
/
不符合
制定《介质管理制度》，明确介质的销毁和维修等方面的要求。明确对介质的物理传输过程是否要求选择可靠传输人员、严格介质的打包、选择安全的物理传输途径、双方在场交付等内容
d) 应根据数据备份的需要对某些介质实行异地存储， 存储地的环境要求和管理方法应与本地相同；
重要数据未实行异地存储
/
不符合
明确重要数据进行加密存储
设备管理
c) 应建立配套设施、软硬件维护方面的管理制度，对其维护进行有效的管理，包括明确维护人员的责任、涉外维修和服务的审批、维修过程的监督控制等；
缺少配套设施、软硬件维护方面的管理制度
/
不符合
增加《设备维护制度》，明确维护人员的责任、涉外维修和服务的审批、维修过程的监督控制等内容
d) 应对终端计算机、工作站、便携机、系统和网络等设备的操作和使用进行规范化管理，按操作规程实现主要设备的启动/停止、加电/断电等操作；
缺少设备使用管理文档，缺少设备的操作规程，关键设备的操作未建立操作日志
/
部分符合
增加《设备使用管理文档》，包括终端计算机、便携机和网络设备等使用方式、操作原则、注意事项等内容，制定《操作规程》，包括对重要系统，如服务器、防火墙、交换机、路由器等内容，增加《日志管理记录》，包括检查人员、日期、内容等
e) 应确保信息处理设备必须经过审批才能带离机房或办公地点。
缺少设备带离机房或办公场地的审批记录
/
不符合
制定《处理设备必须经过审批才能带离机房或办公地点的记录》，明确审批内容和批准人
恶意代码防范管理
b) 应对防恶意代码软件的授权使用、恶意代码库升级、定期汇报等作出明确规定；
缺少恶意代码方面的管理制度
/
不符合
增加《恶意代码防范管理制度》，包括防恶意代码软件的授权使用、恶意代码库升级、定期汇报等内容
c) 应定期检查信息系统内各种产品的恶意代码库的升级情况并进行记录，对防恶意代码产品上截获的危险病毒或恶意代码进行及时分析处理，并形成书面的报表和总结汇报。
缺少恶意代码检测记录、恶意代码库升级记录和分析报告
/
不符合
增加《恶意代码检测记录》《恶意代码库升级记录》和《恶意代码分析报告》，明确其检查周期、检查人员、检查结果等
密码管理
a）应使用符合国家密码管理规定的密码技术和产品；
缺少密码使用方面的管理制度
/
不符合
增加《密码管理制度》，明确密码使用方面的内容
变更管理
b) 应建立变更管理制度，系统发生变更前，向主管领导申请，变更和变更方案经过评审、审批后方可实施变更，并在实施后将变更情况向相关人员通告；
缺少变更管理制度（更前审批、变更过程记录、变更后通报等方面内容）
/
不符合
增加《变更管理制度》，明确变更类型、变更原因、变更过程、变更前评估等方面内容；
c) 应建立变更控制的申报和审批文件化程序，对变更影响进行分析，记录变更实施过程，并妥善保存所有文档和记录；
缺少变更控制的申报和审批程序文档
/
不符合
增加《变更管理制度》，包括变更申报、审批程序，规定需要申报的变更类型、申报流程、审批部门、批准人等方面内容
d) 应建立中止变更并从失败变更中恢复的文件化程序，明确过程控制方法和人员职责，必要时对恢复过程进行演练；
缺少变更方案、缺少变更失败恢复程序文档
/
不符合
增加《变更方案》《变更恢复程序文档》，明确过程控制方法和人员职责，必要时对恢复过程进行演练
备份与恢复管理
b) 应建立备份与恢复管理相关的安全管理制度，对备份信息的备份方式、备份频度、存储介质和保存期等进行规范；
缺少备份与恢复管理相关的安全管理制度
/
不符合
增加《备份与恢复管理制度》，包括备份信息的备份方式、