下载文档原格式
信息系统安全等级保护测评报告一、根据相关规范和标准的要求，依据信息系统安全等级保护测评的实施细则，对我司信息系统进行了全面深入的安全等级保护测评。
测试范围包括了我司内部各类信息系统和网络设备，以及外部对接的系统接口和服务。
二、检测结果显示，我司信息系统在整体上安全等级保护良好，但仍存在一些安全风险和隐患。
具体表现为：1. 网络防火墙规则配置不规范，存在风险可导致网络攻击和数据泄露。
2. 部分服务器和终端设备存在未及时更新的安全补丁，存在被攻击的风险。
3. 存在未经授权的外部设备接入内部网络的情况，易导致网络攻击和数据泄露。
4. 存在用户密码管理不规范的情况，易导致账号被盗用或密码泄露。
三、针对上述安全隐患，我们建议采取以下措施进行安全风险治理：1. 对网络防火墙规则进行调整和优化，加强对外部攻击的防范和阻隔。
2. 加强服务器和终端设备的安全管理，及时更新安全补丁，防范漏洞攻击。
3. 加强对内部设备和设备接入的管控，限制外部设备接入内部网络的权限。
4. 强化用户密码管理，推行密码定期更换和复杂度管理，加强账号安全保护。
四、整体而言，我们的信息系统安全等级保护工作具有一定基础，并且具备较强的安全保护意识和风险管理能力。
但仍需持续加强系统安全等级保护管理和监控，及时发现和治理安全风险，确保信息系统的安全可靠性和稳定性。
由于信息系统安全防护工作的重要性和复杂性，我们需要对整个信息系统进行全面梳理和改进。
首先，我们需要建立一个完善的信息系统安全管理体系，包括制定安全策略和规范、建立安全事件应急响应机制、加强安全培训和意识教育等。
其次，加强对系统的持续监测和评估，及时发现系统潜在的安全风险并加以修复。
最后，我们需要提高员工的安全意识和保护能力，建立安全文化，使每一个员工都成为信息系统安全的守护者。
在实施安全等级保护措施时，我们需要确保安全性与便捷性之间的平衡。
因为过于严格的安全策略可能会影响用户的工作效率，降低系统的可用性。
信息系统安全等级测评报告一、引言信息系统的安全性在当今数字化时代变得尤为重要。
随着网络攻击手段的日益复杂和恶意行为的增加，企业和组织需要通过对信息系统进行安全等级测评来保护自身的数据和资产。
本报告旨在对所评测的信息系统进行全面的安全性评估，以便提供相关决策和建议。
二、背景介绍本次测评的信息系统是一家大型企业的内部系统，该系统用于存储和处理大量的敏感业务数据，包括客户信息、财务数据等。
由于该系统的重要性，对其安全性进行测评具有重要意义。
三、测评目标本次测评的主要目标是评估信息系统的安全等级，并发现系统中存在的潜在安全风险和漏洞。
针对这些风险和漏洞，我们将提出相应的安全改进建议，以保障信息系统的安全性和完整性。
四、测评方法为了评估信息系统的安全等级，我们采用了以下方法：1. 收集资料：收集与该系统相关的技术文档、安全策略、事件日志等。
2. 系统审查：对系统的结构、组件、功能进行全面审查，了解系统的运作方式、数据流程以及可能存在的安全漏洞。
3. 漏洞扫描：使用专业的漏洞扫描工具对系统进行扫描，发现可能存在的漏洞和弱点。
4. 渗透测试：通过模拟实际攻击行为，测试系统对各种攻击方式的抵御能力。
5. 数据分析：对收集到的资料和测试结果进行分析，评估系统的安全等级。
五、测评结果根据我们的测评结果，该信息系统在许多方面表现出了较高的安全性。
系统的访问控制和身份认证机制均得到有效实施，减少了未经授权的访问风险。
此外，系统的网络通信采用了加密协议，保证了数据传输的机密性。
然而，在测评过程中我们也发现了一些潜在的安全风险和漏洞。
具体包括：1. 弱口令：系统中存在一些用户账号使用弱口令的情况，这增加了系统被破解的风险。
2. 未及时更新补丁：某些系统组件的软件版本存在较老的漏洞，未及时安装相关补丁程序导致系统容易受到已知攻击的威胁。
3. 缺乏事件监测：系统缺乏足够的事件监测工具，难以及时识别和响应潜在的安全事件。
基于上述发现的安全风险和漏洞，我们建议：1. 强制使用强密码：要求所有用户在设置密码时采用符合安全要求的复杂密码，增加系统安全性。
信息系统安全等级保护测评报告概述本文档旨在对信息系统的安全等级保护进行测评，为组织提供详细的安全等级评估报告。
通过对信息系统进行分析和评估，可以发现系统中存在的安全风险和漏洞，并提供相应的安全建议和解决方案。
测评方法本次测评采用了以下几种常见的安全评估方法：1.漏洞扫描：使用专业的漏洞扫描工具对系统进行端口扫描和漏洞检测，识别系统中存在的安全漏洞。
2.安全配置审计：通过分析系统的配置文件和日志文件，评估系统的安全配置是否符合最佳实践，识别潜在的配置安全风险。
3.代码审计：对系统的核心代码进行审计，检查代码中是否存在安全漏洞和不安全的编码实践。
4.安全意识培训：通过针对组织内部员工的安全意识培训，提高员工的安全意识和防范能力，减少社交工程等人为因素对系统安全的影响。
5.网络流量分析：对系统的网络流量进行分析，检测是否存在异常的网络行为和入侵攻击。
测评结果经过对信息系统的安全测评，以下是我们得到的主要结论：1.系统存在安全漏洞：通过漏洞扫描工具的测试结果显示，系统中存在多个已知的安全漏洞，这些漏洞可能被攻击者利用来获取系统权限或者篡改系统数据。
2.配置安全风险：部分系统的安全配置未按照最佳实践进行设置，存在潜在的安全风险。
比如，弱密码策略、未开启安全日志记录等。
3.代码安全问题：代码审计发现系统中存在部分代码编写不当的情况，如未对用户输入进行充分的验证和过滤，存在SQL注入和跨站脚本攻击的风险。
4.员工意识不足：安全意识培训结果显示，部分员工对安全意识和操作规范的理解不够，容易受到社交工程等攻击手段的影响。
5.未发现异常网络行为：经过对系统的网络流量进行分析，未发现异常的网络流量和入侵行为。
安全建议和解决方案根据上述测评结果，我们提出以下安全建议和解决方案：1.及时修复漏洞：针对系统中发现的安全漏洞，及时修复并升级相应的软件和组件，以免被攻击者利用。
同时建议定期进行漏洞扫描，及时发现新的漏洞，并进行修复。
报告编号：（ -16-1303-01）信息系统安全等级测评报告说明：一、每个备案信息系统单独出具测评报告。
二、测评报告编号为四组数据。
各组含义和编码规则如下：第一组为信息系统备案表编号，由2段16位数字组成，可以从公+安机关颁发的信息系统备案证明（或备案回执）上获得。
第1段即备案证明编号的前11位（前6位为受理备案公安机关代码，后5位为受理备案的公安机关给出的备案单位的顺序编号）；第2段即备案证明编号的后5位（系统编号）。
第二组为年份，由2位数字组成。
例如09代表2009年。
第三组为测评机构代码，由四位数字组成。
前两位为省级行政区划数字代码的前两位或行业主管部门编号：00为公安部，11为北京，12为天津，13为河北，14为山西，15为内蒙古，21为辽宁，22为吉林，23为黑龙江，31为上海，32为江苏，33为浙江，34为安徽，35为福建，36为江西，37为山东，41为河南，42为湖北，43为湖南，44为广东，45为广西，46为海南，50为重庆，51为四川，52为贵州，53为云南，54为西藏，61为陕西，62为甘肃，63为青海，64为宁夏，65为新疆，66为新疆兵团。
90为国防科工局，91为电监会，92为教育部。
后两位为公安机关或行业主管部门推荐的测评机构顺序号。
第四组为本年度信息系统测评次数，由两位构成。
例如02表示该信息系统本年度测评2次。
信息系统等级测评基本信息表注：单位代码由受理测评机构备案的公安机关给出。
声明本报告是票务系统的安全等级测评报告。
本报告测评结论的有效性建立在被测评单位提供相关证据的真实性基础之上。
本报告中给出的测评结论仅对被测信息系统当时的安全状态有效。
当测评工作完成后，由于信息系统发生变更而涉及到的系统构成组件（或子系统）都应重新进行等级测评，本报告不再适用。
本报告中给出的测评结论不能作为对信息系统内部署的相关系统构成组件（或产品）的测评结论。
在任何情况下，若需引用本报告中的测评结果或结论都应保持其原有的意义，不得对相关内容擅自进行增加、修改和伪造或掩盖事实。
报告编号:（—16-1303-01）信息系统安全等级测评报告说明：一、每个备案信息系统单独出具测评报告。
二、测评报告编号为四组数据。
各组含义和编码规则如下：第一组为信息系统备案表编号，由2段16位数字组成,可以从公+安机关颁发的信息系统备案证明（或备案回执）上获得.第1段即备案证明编号的前11位（前6位为受理备案公安机关代码，后5位为受理备案的公安机关给出的备案单位的顺序编号）;第2段即备案证明编号的后5位（系统编号)。
第二组为年份，由2位数字组成。
例如09代表2009年.第三组为测评机构代码,由四位数字组成。
前两位为省级行政区划数字代码的前两位或行业主管部门编号：00为公安部，11为北京，12为天津,13为河北，14为山西，15为内蒙古,21为辽宁，22为吉林，23为黑龙江，31为上海，32为江苏，33为浙江，34为安徽，35为福建，36为江西，37为山东，41为河南，42为湖北,43为湖南，44为广东，45为广西，46为海南,50为重庆，51为四川，52为贵州,53为云南，54为西藏，61为陕西,62为甘肃，63为青海，64为宁夏，65为新疆,66为新疆兵团。
90为国防科工局，91为电监会,92为教育部。
后两位为公安机关或行业主管部门推荐的测评机构顺序号。
第四组为本年度信息系统测评次数，由两位构成。
例如02表示该信息系统本年度测评2次.信息系统等级测评基本信息表注：单位代码由受理测评机构备案的公安机关给出.声明本报告是票务系统的安全等级测评报告。
本报告测评结论的有效性建立在被测评单位提供相关证据的真实性基础之上。
本报告中给出的测评结论仅对被测信息系统当时的安全状态有效。
当测评工作完成后，由于信息系统发生变更而涉及到的系统构成组件（或子系统)都应重新进行等级测评，本报告不再适用。
本报告中给出的测评结论不能作为对信息系统内部署的相关系统构成组件（或产品）的测评结论。
在任何情况下，若需引用本报告中的测评结果或结论都应保持其原有的意义，不得对相关内容擅自进行增加、修改和伪造或掩盖事实.等级测评结论[2015版]总体评价1、基础设施与网络环境票务系统相关设备部署于指挥中心机房，该机房按照国家机房相关标准建设，具备防风、防雨、防震等能力，未出现雨水渗透，屋顶、墙体、地面等破损开裂等情况，在物理访问控制方面配备门禁系统，能够鉴别和控制人员出入，并配有视频监控系统，能够对机房内主要区域进行实时监控，主机房与配电室隔离，通信线缆与供电线缆隔离铺设，避免了电磁干扰，配备两台艾默生精密空调，能够对机房温湿度进行控制，同时配有环境检测系统，实时检测机房环境并提供报警功能。
中国软件评测中心信息系统安全测评报告一、前言随着信息技术的飞速发展，信息系统已成为我国经济社会发展的重要支撑。
保障信息系统安全，对于维护国家安全、社会稳定和人民群众利益具有重要意义。
为了全面了解我国信息系统安全状况，提高信息安全防护能力，中国软件评测中心对某单位信息系统进行了安全测评。
二、测评背景1. 测评目的本次测评旨在全面了解某单位信息系统的安全状况，发现潜在的安全风险，为信息系统安全防护提供科学依据。
2. 测评依据测评依据主要包括以下标准：（1）GB/T 222392008《信息安全技术信息系统安全等级保护基本要求》（2）GB/T 250582010《信息安全技术信息安全风险评估规范》（3）ISO/IEC 27001:2013《信息安全管理系统》（4）其他相关法律法规、标准及最佳实践3. 测评范围本次测评范围包括某单位信息系统的硬件设备、软件系统、网络设备、安全设备、管理制度、人员安全意识等方面。
三、测评过程1. 测评准备（1）成立测评团队：由中国软件评测中心抽调具有丰富经验的测评人员组成。
（2）制定测评方案：根据测评目的、依据和范围，制定详细的测评方案。
（3）收集相关信息：收集某单位信息系统的相关资料，包括硬件设备、软件系统、网络设备、安全设备、管理制度等。
2. 测评实施（1）物理安全测评：对信息系统的硬件设备、网络设备等进行物理安全检查。
（2）网络安全测评：对信息系统的网络架构、网络设备、安全设备等进行安全测评。
（3）系统安全测评：对信息系统的操作系统、数据库、中间件等进行安全测评。
（4）应用安全测评：对信息系统的应用程序进行安全测评。
（5）管理制度测评：对信息系统的安全管理制度、应急预案等进行测评。
（6）人员安全意识测评：对信息系统使用人员进行安全意识测评。
3. 测评结果分析根据测评数据，分析信息系统存在的安全风险，形成测评报告。
四、测评发现的安全问题及整改建议1. 物理安全（1）问题描述：部分硬件设备存在损坏、老化现象，可能导致系统运行不稳定。
信息系统安全等级保护测评报告报告编号：（-16-1303-01）信息系统安全等级测评报告说明：⼀、每个备案信息系统单独出具测评报告。
⼆、测评报告编号为四组数据。
各组含义和编码规则如下：第⼀组为信息系统备案表编号，由2段16位数字组成，可以从公+安机关颁发的信息系统备案证明（或备案回执）上获得。
第1段即备案证明编号的前11位（前6位为受理备案公安机关代码，后5位为受理备案的公安机关给出的备案单位的顺序编号）；第2段即备案证明编号的后5位（系统编号）。
第⼆组为年份，由2位数字组成。
例如09代表2009年。
第三组为测评机构代码，由四位数字组成。
前两位为省级⾏政区划数字代码的前两位或⾏业主管部门编号：00为公安部，11为，12为，13为，14为，15为，21为，22为，23为，31为，32为，33为，34为，35为，36为，37为，41为，42为，43为，44为，45为，46为，50为，51为，52为，53为，54为，61为，62为，63为，64为，65为，66为兵团。
90为国防科⼯局，91为电监会，92为教育部。
后两位为公安机关或⾏业主管部门推荐的测评机构顺序号。
第四组为本年度信息系统测评次数，由两位构成。
例如02表⽰该信息系统本年度测评2次。
信息系统等级测评基本信息表注：单位代码由受理测评机构备案的公安机关给出。
声明本报告是票务系统的安全等级测评报告。
本报告测评结论的有效性建⽴在被测评单位提供相关证据的真实性基础之上。
本报告中给出的测评结论仅对被测信息系统当时的安全状态有效。
当测评⼯作完成后，由于信息系统发⽣变更⽽涉及到的系统构成组件（或⼦系统）都应重新进⾏等级测评，本报告不再适⽤。
本报告中给出的测评结论不能作为对信息系统部署的相关系统构成组件（或产品）的测评结论。
在任何情况下，若需引⽤本报告中的测评结果或结论都应保持其原有的意义，不得对相关容擅⾃进⾏增加、修改和伪造或掩盖事实。
等级测评结论总体评价1、基础设施与⽹络环境票务系统相关设备部署于指挥中⼼机房，该机房按照国家机房相关标准建设，具备防风、防⾬、防震等能⼒，未出现⾬⽔渗透，屋顶、墙体、地⾯等破损开裂等情况，在物理访问控制⽅⾯配备门禁系统，能够鉴别和控制⼈员出⼊，并配有视频监控系统，能够对机房主要区域进⾏实时监控，主机房与配电室隔离，通信线缆与供电线缆隔离铺设，避免了电磁⼲扰，配备两台艾默⽣精密空调，能够对机房温湿度进⾏控制，同时配有环境检测系统，实时检测机房环境并提供报警功能。
报告编号：（-16-1303-01）信息系统安全等级测评报告说明：一、每个备案信息系统单独出具测评报告。
二、测评报告编号为四组数据。
各组含义和编码规则如下：第一组为信息系统备案表编号，由2段16位数字组成，可以从公+安机关颁发的信息系统备案证明（或备案回执）上获得。
第1段即备案证明编号的前11位（前6位为受理备案公安机关代码，后5位为受理备案的公安机关给出的备案单位的顺序编号）；第2段即备案证明编号的后5位（系统编号）。
第二组为年份，由2位数字组成。
例如09代表2009年。
第三组为测评机构代码，由四位数字组成。
前两位为省级行政区划数字代码的前两位或行业主管部门编号：00为公安部，11为北京，12为天津，13为河北，14为山西，15为内蒙古，21为辽宁，22为吉林，23为黑龙江，31为上海，32为江苏，33为浙江，34为安徽，35为福建，36为江西，37为山东，41为河南，42为湖北，43为湖南，44为广东，45为广西，46为海南，50为重庆，51为四川，52为贵州，53为云南，54为西藏，61为陕西，62为甘肃，63为青海，64为宁夏，65为新疆，66为新疆兵团。
90为国防科工局，91为电监会，92为教育部。
后两位为公安机关或行业主管部门推荐的测评机构顺序号。
第四组为本年度信息系统测评次数，由两位构成。
例如02表示该信息系统本年度测评2次。
信息系统等级测评基本信息表注：单位代码由受理测评机构备案的公安机关给出。
声明本报告是票务系统的安全等级测评报告。
本报告测评结论的有效性建立在被测评单位提供相关证据的真实性基础之上。
本报告中给出的测评结论仅对被测信息系统当时的安全状态有效。
当测评工作完成后，由于信息系统发生变更而涉及到的系统构成组件（或子系统）都应重新进行等级测评，本报告不再适用。
本报告中给出的测评结论不能作为对信息系统内部署的相关系统构成组件（或产品）的测评结论。
在任何情况下，若需引用本报告中的测评结果或结论都应保持其原有的意义，不得对相关内容擅自进行增加、修改和伪造或掩盖事实。
等保测评报告一、引言。
信息安全是当今社会发展中的重要问题，随着网络技术的不断发展，网络安全问题也日益突出。
为了保障国家信息系统的安全，我国制定了《信息安全等级保护基本要求》（GB/T 22239-2008），并对信息系统进行等级保护测评。
本报告旨在对某信息系统进行等保测评，评估其安全等级，发现潜在的安全风险，提出相应的改进建议，为信息系统的安全运行提供保障。
二、测评范围。
本次等保测评范围包括某公司内部的信息系统，涉及人员包括系统管理员、网络管理员、业务人员等。
测评内容包括但不限于网络安全、系统安全、数据安全等方面。
三、测评方法。
1. 文件审查，对系统的安全策略、安全管理制度、安全技术方案等文件进行审查，评估其合规性和完整性。
2. 现场检查，对系统的物理环境、网络设备、安全设施等进行现场检查，发现潜在的安全隐患。
3. 安全测试，对系统进行漏洞扫描、渗透测试等安全测试，评估系统的抗攻击能力。
4. 安全访谈，与系统相关人员进行访谈，了解其对安全策略和安全管理制度的理解和执行情况。
四、测评结果。
1. 文件审查，系统的安全策略和安全管理制度完备，但存在部分制度执行不到位的情况，需要加强督促和监督。
2. 现场检查，系统的物理环境整体良好，安全设施完备，但部分网络设备存在配置不当的情况，存在一定的安全隐患。
3. 安全测试，系统在漏洞扫描和渗透测试中发现了部分安全漏洞，需要及时修复和加固。
4. 安全访谈，系统相关人员对安全策略和安全管理制度的理解和执行情况良好，但个别人员对安全意识不足，需要加强培训和教育。
五、改进建议。
1. 加强安全管理，建立健全安全管理制度，加强对安全策略的宣传和执行，提高全员安全意识。
2. 完善安全设施，对存在配置不当的网络设备进行调整和加固，确保系统的安全运行。
3. 及时修复漏洞，对系统中发现的安全漏洞进行及时修复，提高系统的抗攻击能力。
4. 加强培训，针对个别安全意识不足的人员进行安全培训和教育，提高其安全意识和能力。
信息系统安全等级保护定级报告一、引言信息系统安全已成为现代社会中最为重要的问题之一。
随着网络技术的不断发展，信息交换的方式越来越多样化，信息的传输也变得日益便捷，但同时也带来了新的安全隐患。
为了保障国家安全、社会稳定和个人隐私，我公司在信息系统安全等级保护方面进行了认真的研究和实践。
本报告将针对我公司的信息系统进行安全等级保护定级。
二、保护等级定级依据我公司共有3个信息系统需要进行等级保护，其中一个属于重要信息系统，两个属于一般信息系统。
为了便于管理，我公司采用《信息系统安全等级保护管理办法》第四章第二十四条规定的等保测评方法进行等级保护定级。
三、测评结果1. 重要信息系统保护等级定级结果：本次等保测评结果表明，我公司重要信息系统的保护等级为三级，具体测评结果如下：控制类别保密性等级完整性等级可用性等级技术控制核心级核心级核心级管理控制重要级重要级重要级物理控制重要级重要级重要级2. 一般信息系统保护等级定级结果：本次等保测评结果表明，我公司两个一般信息系统的保护等级均为二级，具体测评结果如下：控制类别保密性等级完整性等级可用性等级技术控制重要级重要级重要级管理控制次要级次要级次要级物理控制次要级次要级次要级四、结论与建议我公司信息系统等级保护工作取得了初步成果，但同时也存在部分方面亟需改进。
建议公司在下一步的等保工作中，加强以下方面的保护措施：1. 强化技术控制，加强对网络环境的保护。
2. 完善管理措施，增加内部审计力度，及时发现和处理安全风险。
3. 加强物理措施，提升系统设备的安全性能。
4. 加强人员素质培训，提高全员安全意识。
五、总结本次信息系统安全等级保护定级报告，是公司信息安全保护工作的重要组成部分。
本次等保测评工作在实践中完善了公司的信息安全保护等级体系，有助于提高公司信息安全保护水平，为公司的健康发展提供保障。
报告编号：（ -16-1303-01）信息系统安全等级测评报告说明：一、每个备案信息系统单独出具测评报告。
二、测评报告编号为四组数据。
各组含义和编码规则如下：第一组为信息系统备案表编号，由2段16位数字组成，可以从公+安机关颁发的信息系统备案证明（或备案回执）上获得。
第1段即备案证明编号的前11位（前6位为受理备案公安机关代码，后5位为受理备案的公安机关给出的备案单位的顺序编号）；第2段即备案证明编号的后5位（系统编号）。
第二组为年份，由2位数字组成。
例如09代表2009年。
第三组为测评机构代码，由四位数字组成。
前两位为省级行政区划数字代码的前两位或行业主管部门编号：00为公安部，11为，12为，13为，14为，15为，21为，22为，23为，31为，32为，33为，34为，35为，36为，37为，41为，42为，43为，44为，45为，46为，50为，51为，52为，53为，54为，61为，62为，63为，64为，65为，66为兵团。
90为国防科工局，91为电监会，92为教育部。
后两位为公安机关或行业主管部门推荐的测评机构顺序号。
第四组为本年度信息系统测评次数，由两位构成。
例如02表示该信息系统本年度测评2次。
信息系统等级测评基本信息表注：单位代码由受理测评机构备案的公安机关给出。
声明本报告是票务系统的安全等级测评报告。
本报告测评结论的有效性建立在被测评单位提供相关证据的真实性基础之上。
本报告中给出的测评结论仅对被测信息系统当时的安全状态有效。
当测评工作完成后，由于信息系统发生变更而涉及到的系统构成组件（或子系统）都应重新进行等级测评，本报告不再适用。
本报告中给出的测评结论不能作为对信息系统部署的相关系统构成组件（或产品）的测评结论。
在任何情况下，若需引用本报告中的测评结果或结论都应保持其原有的意义，不得对相关容擅自进行增加、修改和伪造或掩盖事实。
等级测评结论[2015版]总体评价1、基础设施与网络环境票务系统相关设备部署于指挥中心机房，该机房按照国家机房相关标准建设，具备防风、防雨、防震等能力，未出现雨水渗透，屋顶、墙体、地面等破损开裂等情况，在物理访问控制方面配备门禁系统，能够鉴别和控制人员出入，并配有视频监控系统，能够对机房主要区域进行实时监控，主机房与配电室隔离，通信线缆与供电线缆隔离铺设，避免了电磁干扰，配备两台艾默生精密空调，能够对机房温湿度进行控制，同时配有环境检测系统，实时检测机房环境并提供报警功能。
网络环境先对简单，电信联通双线接入，网络边界配有两台防火墙作为边界防护，通过两台核心交换做部数据交换。
2、安全责任制该系统的运营维护全部由厂商负责，厂商项目部成立了信息安全领导小组，负责信息安全工作的指导和管理，项目部设有系统管理员、网络管理员、安全管理员等重要岗位，且安全管理员为专职，通过值班体系对驻场人员进行调配，并形成了有效的汇报沟通机制。
同时甲方也有专人对厂商的运营维护情况进行监督。
3、技术机制在机房保障机制方面，该系统配备双通信线路接入，保证网络通畅，同时边界防火墙、核心交换机、应用服务器、数据库服务器均双机热备部署，并配有存储设备存储业务数据，同时配备备份服务器对主要数据、配置文件和日志文件等进行备份，提供设备冗余，保证系统的可用性。
在安全策略方面网络设备、主机、应用系统在身份验证方面身份标识唯一，密码满足复杂度要求，并定期更换，但仅采用用户名密码方式进行身份验证；在访问控制方面，根据用户角色进行了权限划分，授予用户所需的最小权限；在安全审计方面，网络设备、主机、应用系统配置都相对完善，日志记录信息基本满足要求；另外厂家技术工程师驻场维护，保障系统安全稳定的运行。
4、监测预警及应急保障监测预警方面厂家工程师通过软件可监控网络设备、服务器、软件的运行状态，并提供报警功能。
通过对日志进行分析发现系统出现的异常情况及时处置，并定期由工程师对设备进行巡检。
应急保障方面厂家在系统设计之初就通过双线路、双击热备、存储设备等方式保证系统的可用性，同时安排工程师驻场维护，已应对突发事件，但未根据相关规定对计算机安全事件进行等级划分，发生安全事件采取何种处置措施不明确，不利于安全事件的及时处理。
综上所述，被测票务系统基本符合第三级信息系统等级保护的安全要求，但还存在个别问题，希望在安全建设整改中继续完善。
主要安全问题票务系统存在的主要安全问题：1.安全管理方面1)未成立指导和管理信息安全工作的领导小组；2)全员统一考核，未针对关键岗位考核；3)厂商部对系统进行安全性测试，未委托第三方测试单位对系统进行测试；4)由信息化部控制机房的人员出入和物品带进带出，暂时缺少机房管理制度；5)未建立安全管理中心集中管理，厂商工程师通过不同的方式对设备状态、恶意代码、补丁升级、安全审计等事项进行管理；6)未对安全事件划分等级管理；7)暂未制定应急预案，未进行应急预案培训和应急演练；2.物理安全方面1)机房窗户没有做密封处理，不能防止雨水通过机房窗户、屋顶和墙壁渗透；3.网络安全方面1)未部署入侵检测设备，仅通过防火强异常日志记录，然后人为判断异常行为份；2)网络边界未配置恶意代码检测设备，仅通过防火墙做策略防护；3)没有对网络设备运行状况、网络流量进行监控，可以对用户操作进行日志记录，日志文件存储于设备本地，覆盖式存储，且无审计报表；4)网络及安全设备仅采用用户名密码一种身份鉴别方式；5)没有技术手段防止地址欺骗，不能防止从部网络发起的网络攻击和对重要主机的地址欺骗；6)远程管理采用telnet明文协议；4.主机安全方面1)仅使用账号、密码登录系统，未实现两种及以上鉴别技术对管理用户进行身份鉴别；2)主机安装赛门铁克杀毒软件，网络暂时没有启用防恶意代码设备；3)终端安装有360杀毒，网络没有防恶意代码设备；4)系统存在多余账户，没有共享账户存在；5)数据库版本为sql server2012企业版，遵循最小安装原则，没有开放多余端口，补丁不会定期进行更新；5.应用安全方面1)仅使用账号密码登录，没有使用两种及以上方式进行身份鉴别；2)有用户名唯一鉴别功能，用户名没有设置复杂度要求；3)已启用身份鉴别，用户身份标识唯一，用户身份鉴别信息复杂度不满足要求，开启登录失败处理功能；4)修改密码时，新设定的密码与旧密码可以相同，不符合要求；5)审计记录不能筛选，不能生成审计报表进行分析。
6.数据安全方面1)数据信息没有进行异地备份；整改建议1.安全管理方面的整改建议1)建议设立指导和管理信息安全工作的委员会或领导小组，其最高领导是否由单位主管领导委任或授权的人员担任；明确信息安全管理委员会或领导小组职责；2)建议对关键岗位的人员进行全面、严格的安全审查和技能考核；3)建议安排专门的部门负责测试验收工作，并委托公正的第三方测试机构对信息系统进行独立的安全性测试报告；4)建议对相关机房管理制度对机房物理访问、物品带进、带出机房和机房环境安全等方面的管理作出规定，且相关制度建议贴在明显可见的位置；5)应对设备状态、恶意代码、补丁升级、安全审计等安全相关事项进行集中管理，应对集中管理的检测记录文档，文档应包括检测容、检测人员、检测结果和时间等；6)建议根据本系统已发生的和需要防止发生的安全事件对系统的影响程度划分不同等级，划分为几级，划分方法应参照了国家相关管理部门的技术资料，主要参照哪些；7)建议在统一的应急预案框架下制定不同事件的应急预案，应急预案框架应包括启动应急预案的条件、应急处理流程、系统恢复流程、事后教育和培训等容；8)建议对相关人员进行应急预案培训，制作应急预案培训记录，记录应包括培训容、培训对象、培训效果和培训时间等。
9)建议定期对应急预案作演练，对各应急预案做演练记录，记录容应包括演练周期、演练容、参加演练人员、演练效果和演练时间等；2.物理安全方面的整改建议1)建议将窗户做密闭处理，防止雨水渗透进入机房；3.网络安全方面的整改建议1)建议在网络边界部署入侵检测设备，开启日志记录，对入侵行为进行检测记录，当发生攻击时及时报警；2)建议在网络边界部署恶意代码检测设备，对进入网络的流量进行恶意代码检测，及时发现清除；3)建议通过第三方设备或软件对设备的运行状况、流量等进行监控，并对日志文件定期分析生成审计报表。
设备日志文件建议备份至日志服务器，避免为预期的修改或删除；4)采用口令+数字证书、口令+硬件令牌等双因子鉴别方式，或采用堡垒机的方式管理设备；5)在技术条件允许的前提下，对重要网段上的主机等设备设置网络层和数据链路层地址绑定；6)建议关闭设备远程管理或采用SSH等加密协议进行远程管理。
4.主机安全方面的整改建议1)建议改造操作系统和数据库登录控制模块，使之采用两种组合的鉴别技术对用户进行身份鉴别，如同时采用用户名/口令和数字证书的认证方式；或采用身份认证服务器和双因子鉴别服务器或采用堡垒机登录方式；2)建议安装部署入侵检测设备，当网络受到攻击时能提供报警功能；3)建议网络防恶意代码与主机防恶意代码软件异构部署；4)建议删除多余的过期的账号，不要多人共用一个管理账号；5)对服务器和数据库的日志进行分析，定期导出生成审计报表，或在网络上部署第三方日志分析软件或第三方集中审计平台；6)建议定期对数据库进行补丁更新，防止黑客利用漏洞对数据库造成威胁。
5.应用安全方面的整改建议1)建议身份验证采用口令+数字证书、口令+硬件令牌等双因子鉴别方式；2)建议配置用户名唯一性鉴别功能，以及用户名复杂度设置策略；3)建议设置用户名复杂度策略，使用户名具有复杂度，防止受到恶意攻击；4)建议配置相关策略，使系统用户修改密码时，设置旧密码不可与新密码相同；5)建议部署第三方日志分析软件或第三方集中审计平台，能对审计记录进行筛选。
6.数据安全方面的整改建议1)建议建立异地备份中心，定期将重要数据传至备用场地；目录等级测评结论 (I)总体评价 (II)主要安全问题 (IV)整改建议 (VI)1测评项目概述 (1)1.1测评目的 (1)1.2测评依据 (1)1.3测评过程 (2)1.4报告分发围 (3)2被测信息系统情况 (3)2.1承载的业务情况 (3)2.2网络结构 (3)2.3系统资产 (3)2.3.1机房 (3)2.3.2网络设备 (3)2.3.3安全设备 (4)2.3.4服务器/存储设备 (4)2.3.5终端 (4)2.3.6业务应用软件 (4)2.3.7关键数据类别 (5)2.3.8安全相关人员 (5)2.3.9安全管理文档 (5)2.4安全服务 (5)2.5安全环境威胁评估 (6)2.6前次测评情况 (6)3等级测评围与方法 (7)3.1测评指标 (7)3.1.1基本指标 (7)3.1.2不适用指标 (11)3.1.3特殊指标 (15)3.2测评对象 (15)3.2.1测评对象选择方法 (15)3.2.2测评对象选择结果 (15)3.3测评方法 (17)4单元测评 (19)4.1物理安全 (19)4.1.1结果汇总 (19)4.1.2结果分析 (19)4.2网络安全 (21)4.2.1结果汇总 (21)4.2.2结果分析 (21)4.3主机安全 (23)4.3.1结果汇总 (23)4.3.2结果分析 (24)4.4应用安全 (27)4.4.1结果汇总 (27)4.4.2结果分析 (27)4.5数据安全及备份恢复 (29)4.5.1结果汇总 (29)4.5.2结果分析 (30)4.6安全管理制度 (31)4.6.1结果汇总 (31)4.6.2结果分析 (31)4.7安全管理机构 (31)4.7.1结果汇总 (31)4.7.2结果分析 (32)4.8人员安全管理 (32)4.8.1结果汇总 (32)4.8.2结果分析 (33)4.9系统建设管理 (33)4.9.1结果汇总 (33)4.9.2结果分析 (34)4.10系统运维管理 (34)4.10.1结果汇总 (34)4.10.2结果分析 (35)4.11特殊指标安全层面 (36)4.12单元测评小结 (36)4.12.1控制点符合情况汇总 (36)4.12.2安全问题汇总 (38)5整体测评 (44)5.1安全控制间安全测评 (44)5.2层面间安全测评 (44)5.3区域间安全测评 (44)5.4整体测评结果汇总 (44)6总体安全状况分析 (46)6.1系统安全防护评估 (46)6.2安全问题风险评估 (48)6.3等级测评结论 (54)7安全建设整改建议 (55)附录A等级测评结果记录 (60)物理安全 (60)网络安全 (62)主机安全 (66)应用安全 (75)数据安全 (79)安全管理制度 (82)安全管理机构 (83)人员安全管理 (85)系统建设管理 (87)系统运维管理 (91)1测评项目概述1.1测评目的为贯彻落实国务院147号令和中办27号文件，公安部会同有关部委出台了一系列的文件以及具体工作的指导意见和规，并在全国围组织完成了一系列工作。
