广电BOSS系统-等级保护测评整改方案.doc
《广电BOSS系统-等级保护测评整改方案.doc》由会员分享,可在线阅读,更多相关《广电BOSS系统-等级保护测评整改方案.doc(26页珍藏版)》请在咨信网上搜索。
1、数字电视综合运营支撑(BOSS)系统等级保护整改方案000000000002014年12月00000000000 I整改方案目 录一、概述1二、系统现状12.1数字电视综合运营支撑(BOSS)系统12.1.1系统描述12.1.2系统拓扑图12.1.3系统构成22.1.4系统测评结论3三、整改依据4四、整改内容54.1数字电视综合运营支撑(BOSS)系统54.1.1物理安全54.1.2基础网络安全54.1.3边界安全64.1.4主机安全74.1.5总要求94.1.6安全管理机构104.1.7人员安全管理124.1.8系统建设管理134.1.9系统运维管理15五、方案总结20附件一:设备清单汇总2
2、2附件二:管理制度及表单条目清单23一、 概述信息安全等级保护是国家信息安全保障的基本制度、基本策略、基本方法,开展信息安全等级保护工作是保护信息化发展、维护国家信息安全的根本保障。实施信息安全等级保护制度,信息系统运营使用单位和主管部门能按照标准进行安全建设、整改,信息系统安全也有了一个衡量尺度。信息系统根据其在国家安全、经济建设、社会生活中的重要程度,遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度分成五个安全保护等级(从第一级到第五级逐级增高)。本方案主要针对00000000000信息系统的现状,依据00000000000信息系统等级保护评测工作的广播
3、数字全自动播出信息系统等级保护定级报告、数字电视综合运营支撑(BOSS)系统等级保护测评报告、 的现有的状况和等保相关要求差距进一步深入分析,并以满足等保需求为基础,对00000000000信息系统的建设整改进行规划设计。二、 系统现状2.1 数字电视综合运营支撑(BOSS)系统2.1.1 系统描述BOSS系统业务信息包括:数字电视客户基本资料(姓名、地址、电话等),缴费记录、授权情况、欠费信息、机顶盒设备信息等。00000000000为该信息系统定级的责任单位,该系统已被定级为三级(S2A2G2)。2.1.2 系统拓扑图核心设备部署了中兴通信的ZXR10 8908万兆路由交换机,19个乡镇以
4、及城区汇聚节点均部署ZXR10 8905万兆路由交换机。具体网络拓扑如下图所示: 图1 00000000000信息系统网络拓扑2.1.3 系统构成1) 业务应用软件表4 00000000000信息系统业务应用软件序号软件名称主要功能1数字电视综合运营支撑(BOSS)系统主要完成数字电视用户信息的录入、更新、认证、授权、计费等功能2) 主机/存储设备表5 00000000000信息系统主机/存储设备序号设备名称操作系统/数据库管理系统1收费工作站PCWindows XP/-2数据库服务器-1IBM X3650 M3SOLARIS/ Oracle3数据库服务器-2IBM X3650 M3SOLAR
5、IS/ Oracle4接口服务器IBM X3650 M3Linux/-5测试服务器-1IBM X3650 M3Linux/-6测试服务器-2IBM X3650 M3Linux/-7认证服务器-1IBM X3650 M3Linux/-8认证服务器-2IBM X3650 M3Linux/-3) 网络互联设备表6 00000000000信息系统网络互联设备序号设备名称用 途1中兴ZXR10 8908核心交换机2中兴ZXR10 8908汇聚交换机2.1.4 系统测评结论等级测评结论为“基本符合”,差距项分布如下表所示:名称测评指标部分符合项不符合项高风险项技术要求物理安全400基础网络安全200边界安
6、全030服务器安全310应用安全510数据安全及备份恢复100管理要求总要求000安全管理机构500人员安全管理410系统建设管理500系统运维管理1020三、 整改依据1) GB 17859-1999 信息安全技术 计算机信息系统安全保护等级划分准则;2) 广播电视相关信息系统安全等级保护基本要求(GD/J038-2011)3) 广播电视相关信息系统安全等级保护测评要求(GD/J044-2012);4) 信息系统安全等级保护定级报告;5) 数字电视综合运营支撑(BOSS)系统安全等级保护测评报告;四、 整改内容4.1 数字电视综合运营支撑(BOSS)系统4.1.1 物理安全1. 相关要求及依
7、据详见GD/J038-2011有关物理安全要求。为满足要求, 通过部署防盗报警系统及火灾自动报警系统和灭火系统,开展机房运维管理和环境管理,提高机房的安全性。2. 安全现状及整改措施类别测评内容结果记录涉及资产符合情况整改措施物理访问控制b)需进入播出机房的来访人员应经过申请和审批流程,并限制和监控其活动范围。进入机房由专人陪同,缺少来访人员进入机房的审批记录部分符合设置来访人员进行机房审批记录防盗窃和防破坏c)应利用光、电等技术设置机房防盗报警系统;机房缺少防盗报警系统不符合部署防盗报警系统机房环境b) 机房应有防水防潮措施,应充分考虑水管泄漏和凝露的可能性,并做好相应的预防措施;机房窗户缺
8、少防水防渗处理,机房的窗户、屋顶和墙壁未出现漏水、渗透和返潮现象,机房内空调排水管进行加固防渗、防漏处理,机房空调具有除湿功能,缺少防水防潮处理记录 不符合定期开展机房运维和环境管理d)机房应设置温、湿度自动调节设施,使机房温、湿度的变化在设备运行所允许的范围之内;机房内具有专业空调,可对机房内温度进行自动调节,具有空调定期检查和维护记录,缺少机房湿度控制设置部分符合增加机房湿度调节设施机房消防设施b)机房应设置火灾自动消防系统,能够自动检测火情、自动报警,并自动灭火;机房内具有日常值守人员,机房具有干粉灭火器,缺少自动灭火设备部分符合部署火灾自动报警系统和自动灭火系统4.1.2 基础网络安全
9、1. 相关要求及依据详见GD/J038-2011有关基础网络安全要求。为满足要求, 通过部署动态令牌及日志服务器并完善设备基本配置要求,定期开展设备维护,达到基础网络安全要求。2. 安全现状及整改措施类别测评内容结果记录涉及资产符合情况整改措施安全审计c)应保护审计记录,避免受到未预期的删除、修改或覆盖等,审计记录至少保存 90 天;缺少对审计日志进行必要保护交换机不符合对日志进行集中管理,定期进行分析d) 应定期对审计记录进行分析,以便及时发现异常行为;未定期对审计记录进行分析交换机不符合对日志进行集中管理,定期进行分析网络设备防护e) 当对网络设备进行远程管理时,应采用HTTPS、SSH等
10、安全的远程管理手段,防止用户身份鉴别信息在网络传输过程中被窃听;远程管理设备时采用telnet方式进行交换机不符合采用SSH 远程管理4.1.3 边界安全3. 相关要求及依据详见GD/J038-2011有关边界安全要求。为满足要求, 通过修改配置,设置日志集中管理并定期分析,提供边界安全性。4. 安全现状及整改措施类别测评内容结果记录涉及资产符合情况整改措施恶意代码防范a) 应在信息系统的网络边界处进行恶意代码检测和清除,并维护恶意代码库的升级和检测系统的更新,播出整备系统、播出系统等播出直接相关系统的边界可根据需要进行部署BOSS系统在边界处未设置恶意代码防范措施不符合在网络边界部署恶意代码
11、防范设备b) 防恶意代码产品应与信息系统内部防恶意代码产品具有不同的恶意代码库BOSS系统在边界处未设置恶意代码防范措施不符合入侵防范a)应在信息系统的网络边界处监视以下攻击行为:端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等,播出整备系统、播出系统等信息系统的边界可根据需要进行部署BOSS系统在边界处未设置入侵防御措施不符合在网络边界部署入侵防范设备安全审计a) 应在与外部网络连接的网络边界处进行数据通信行为审计BOSS系统与CA系统、VOD、营业厅相连,缺少对系统网络边界处进行数据通信的行为进行审计不符合在与外部网络连接的网络边界处进行数据通信
12、行为审计,并对审计日志进行集中管理和日常分析b) 审计记录应包括事件的日期、时间、用户名、IP 地址、事件类型、事件是否成功等BOSS系统与CA系统、VOD、营业厅相连,缺少对系统网络边界处进行数据通信的行为进行审计不符合c) 应保护审计记录,避免受到未预期的删除、修改或覆盖等,审计记录至少保存 90 天BOSS系统与CA系统、VOD、营业厅相连,缺少对系统网络边界处进行数据通信的行为进行审计不符合d) 应定期对审计记录进行分析,以便及时发现异常行为BOSS系统与CA系统、VOD、营业厅相连,缺少对系统网络边界处进行数据通信的行为进行审计不符合4.1.4 主机安全1. 相关要求及依据详见GD/
13、J038-2011有关主机要求。为满足要求, 通过修改主机安全配置,设置登陆口令复杂度限制、登陆失败措施、开启安全审计、定期升级系统和打补丁,提高主机操作系统和数据库的安全性。2. 安全现状及整改措施类别测评内容结果记录涉及资产符合情况整改措施身份鉴别a) 应对登录操作系统和数据库系统的用户进行身份标识和鉴别,应为不同用户分配不同的用户名,不能多人使用同一用户名;技术部多人使用同一管理员账户,不同用户未分配不同的用户名收费工作站数据库服务器-1/2接口服务器测试服务器-1/2认证服务器-1/2数据库系统-1/2不符合每个自然人对应使用一个账户,避免账户共享情况b) 操作系统和数据库系统管理用户
14、身份标识应具有不易被冒用的特点,口令应有复杂度要求并定期更换;操作系统缺少口令长度、更新周期、复杂性限制收费工作站数据库服务器-1/2接口服务器测试服务器-1/2认证服务器-1/2数据库系统-1/2数字电视综合运营支撑(BOSS)系统不符合对操作系统和数据库配置用户口令有效期的强制提醒与更新功能,使口令设置时系统具有复杂度检查和长度限制c) 应启用登录失败处理功能,可采取结束会话、限制非法登录次数和自动退出等措施;操作系统未启用登录失败处理功能收费工作站数据库服务器-1/2接口服务器测试服务器-1/2认证服务器-1/2数据库系统-1/2数字电视综合运营支撑(BOSS)系统不符合启用登录失败处理
15、功能,口令尝试超过规定次数锁定账户c) 应实现操作系统和数据库系统特权用户的权限分离;操作系统和数据库管理员由同一人担任,权限未分离数据库系统-1/2不符合为操作系统管理员和数据库管理员岗位配备不同的人员,同时补充相应人员岗位职责安全审计a) 安全审计应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户;审计功能未开启或审计不全面,未定期对审计记录进行分析数据库服务器-1/2接口服务器测试服务器-1/2认证服务器-1/2数据库系统-1/2不符合启用本地安全审计功能或部署堡垒机等第三方审计系统,审计策略配置登录登出、权限变更、重要文件增删行为等事件内容入侵防范a) 操作系统遵循最小安装的原
16、则,仅安装需要的组件和应用程序,并通过设置升级服务器等方式保持系统补丁及时得到更新系统补丁未及时升级收费工作站数据库服务器-1/2接口服务器测试服务器-1/2认证服务器-1/2数据库系统-1/2不符合通过设置专门的升级服务器等方式保持对操作系统安全补丁的及时更新,并补充完善相关系统升级制度和升级记录恶意代码防范应部署具有统一管理功能的防恶意代码软件,并定期更新防恶意代码软件版本和恶意代码库;新闻制播系统、播出整备系统、播出系统等播出直接相关系统的核心服务器可根据需要进行部署和更新。操作系统未部署具有统一管理功能的防恶意代码软件收费工作站数据库服务器-1/2接口服务器测试服务器-1/2认证服务器
17、-1/2数据库系统-1/2 不符合建议操作系统安装企业版或网络版杀毒软件进行统一管理4.1.5 总要求1. 相关要求及依据详见GD/J038-2011有关总要求。为满足要求,制定信息安全工作的总体方针和安全策略管理制度和操作规程安全管理制度体系等制度达到目的或检查要求。2. 安全现状及整改措施类别测评内容结果记录涉及资产符合情况整改措施总要求a) 应制定信息安全工作的总体方针和安全策略,说明安全工作的总体目标、范围、原则和安全框架等;缺少信息安全工作的总体方针和安全策略文件/不符合补充信息安全工作的总体方针和安全策略,主要内容包括机构安全工作的总体目标、范围、方针、原则、和安全框架b) 应成立
18、指导和管理信息安全工作的领导小组,设立信息安全管理工作的职能部门;00000000000关于成立信息安全保护工作的通知 余广电【2012】42号,明确成立了信息安全工作的领导小组,但未设立信息安全管理工作的职能部门/部分符合补充信息安全管理工作的职能部门,并明确职能部门的职责c) 应制定各项信息安全制度和操作规程,明确信息安全管理各项要求,形成由安全方针、管理制度、细化流程等构成的全面的信息安全管理制度体系,使等级保护工作常态化、制度化。缺少各项安全管理制度文档,缺少全面的信息安全管理制度体系/不符合制定各项安全管理制度和操作规程制定信息安全管理制度体系文件,制度体系由总体方针、安全策略、管理
19、制度、操作规程等构成4.1.6 安全管理机构1. 相关要求及依据详见GD/J038-2011有关管理机构要求。为满足要求, 系统管理审批管理制度、系统管理审批记录、安全检查制度、安全检查管理制度和补充完善岗位职责、安全检查记录等制度,保障系统的安全。2. 安全现状及整改措施类别测评内容结果记录涉及资产符合情况整改措施岗位设置b)应设立信息安全管理工作的职能部门,负责信息安全各项工作的组织和落实,配备专职安全管理员;设立信息安全组织机构,负责信息安全各项工作的组织和落实未配备专职的安全管理员/部分符合补充岗位职责,明确安全管理员的职责,配备专职的安全管理员b)应设立信息安全管理工作的职能部门,负
20、责信息安全各项工作的组织和落实,配备专职安全管理员;未设立信息安全组织机构未配备专职的安全管理员/不符合设立信息安全组织机构,明确机构的职责,配备专职的安全管理员d) 应制定文件明确安全管理机构各个部门和岗位的职责。缺少职能部门的职责和岗位职责文件/不符合补充部门职责和岗位职责,主要内容包括:安全主管、各个方面的负责人的岗位职责的具体设置,主要内容包括:网络管理员、机房管理员、系统管理员、安全管理员、数据库管理员、审计员、应用系统管理员等岗位的具体设置,并清晰、明确各个岗位的职责范围授权和审批b)应针对系统变更、重要操作、物理访问和系统接入等事项建立审批程序,按照审批程序执行审批过程,对重要活
21、动建立逐级审批制度;缺少审批管理制度(系统变更、重要操作、物理访问和系统接入等事项),缺少逐级审批的文档/不符合增加系统管理审批管理制度:主要内容包括明确对系统投入运行、网络系统接入和重要资源的访问、变更管理、产品采购等关键活动的审批部门和批准人进行规定,明确审批流程c)应定期审查审批事项,及时更新需授权和审批的项目、审批部门和审批人等信息;缺少审批管理制度文档/不符合增加逐级审批的文档对审批过程进行记录,增加审批事项的审查记录,包括审批事项、审批部门、审批人的变更进行评审等内容,对关键活动的审批进行记录d)应记录审批过程并保存审批文档。缺少关键活动的审批过程记录/不符合沟通和合作a)应加强各
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 广电 BOSS 系统 等级 保护 测评 整改 方案
1、咨信平台为文档C2C交易模式,即用户上传的文档直接被用户下载,收益归上传人(含作者)所有;本站仅是提供信息存储空间和展示预览,仅对用户上传内容的表现方式做保护处理,对上载内容不做任何修改或编辑。所展示的作品文档包括内容和图片全部来源于网络用户和作者上传投稿,我们不确定上传用户享有完全著作权,根据《信息网络传播权保护条例》,如果侵犯了您的版权、权益或隐私,请联系我们,核实后会尽快下架及时删除,并可随时和客服了解处理情况,尊重保护知识产权我们共同努力。
2、文档的总页数、文档格式和文档大小以系统显示为准(内容中显示的页数不一定正确),网站客服只以系统显示的页数、文件格式、文档大小作为仲裁依据,平台无法对文档的真实性、完整性、权威性、准确性、专业性及其观点立场做任何保证或承诺,下载前须认真查看,确认无误后再购买,务必慎重购买;若有违法违纪将进行移交司法处理,若涉侵权平台将进行基本处罚并下架。
3、本站所有内容均由用户上传,付费前请自行鉴别,如您付费,意味着您已接受本站规则且自行承担风险,本站不进行额外附加服务,虚拟产品一经售出概不退款(未进行购买下载可退充值款),文档一经付费(服务费)、不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
4、如你看到网页展示的文档有www.zixin.com.cn水印,是因预览和防盗链等技术需要对页面进行转换压缩成图而已,我们并不对上传的文档进行任何编辑或修改,文档下载后都不会有水印标识(原文档上传前个别存留的除外),下载后原文更清晰;试题试卷类文档,如果标题没有明确说明有答案则都视为没有答案,请知晓;PPT和DOC文档可被视为“模板”,允许上传人保留章节、目录结构的情况下删减部份的内容;PDF文档不管是原文档转换或图片扫描而得,本站不作要求视为允许,下载前自行私信或留言给上传者【天****】。
5、本文档所展示的图片、画像、字体、音乐的版权可能需版权方额外授权,请谨慎使用;网站提供的党政主题相关内容(国旗、国徽、党徽--等)目的在于配合国家政策宣传,仅限个人学习分享使用,禁止用于任何广告和商用目的。
6、文档遇到问题,请及时私信或留言给本站上传会员【天****】,需本站解决可联系【 微信客服】、【 QQ客服】,若有其他问题请点击或扫码反馈【 服务填表】;文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“【 版权申诉】”(推荐),意见反馈和侵权处理邮箱:1219186828@qq.com;也可以拔打客服电话:4008-655-100;投诉/维权电话:4009-655-100。