信息安全等级保护测评机构申请表下载优质资料.doc

《信息安全等级保护测评机构申请表下载优质资料.doc》由会员分享，可在线阅读，更多相关《信息安全等级保护测评机构申请表下载优质资料.doc（168页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、信息安全等级保护测评机构申请表下载优质资料(可以直接使用，可编辑 优质资料，欢迎下载）附件1：信息安全等级保护测评机构申请表名称：地址：日期：国家信息安全等级保护工作协调小组办公室制填表说明：（封皮背面）1、申请表应由申请单位法定代表人签字；委托代表人签字的，应出具有效的委托书。2、如所填内容超出表格时，可添加附页。3、测评机构申请单位测评人员基本情况表一人一表。4、申请表一式二份。同时提供word格式电子版光盘。测评机构申请单位基本情况表单位名称单位地址法定代表人手 机办公 单位负责人手 机办公 单位联系人手 机办公 电子邮箱注册资本单位类型员工总数管理人员技术人员测评机构应当具备的基本条件

2、（请在符合的条件序号前内打“”） 1、在中华人民共和国境内注册成立，由中国公民、法人投资或者国家投资的企事业单位；2、产权关系明晰，注册资金100万元以上；3、从事信息系统安全相关工作两年以上，无违法记录； 4、测评人员仅限于中华人民共和国境内的中国公民，且无犯罪记录； 5、具有信息系统安全相关工作经验的技术人员，不少于10人； 6、具备必要的办公环境、设备、设施，使用的技术装备、设施应满足测评工作需求； 7、具有完备的安全保密管理、项目管理、质量管理、人员管理和培训教育等规章制度； 8、自觉接受等保办的监督、检查和指导，对国家安全、社会秩序、公共利益不构成威胁; 9、不涉及信息安全产品开发、

3、销售或信息系统安全集成等业务。业务范围及主营业务从事信息系统安全相关工作情况（近年来从事信息系统安全相关工作的业绩，需要列举已完成项目的范例）设备设施配备情况（等级测评所需的测试实验环境、测评工作平台、专门工具、测试与评估设备及其它服务保障设施情况；设备类别清单）安全保密管理等制度情况（为加强内部规范管理，适应等级测评业务安全保密要求而采取的人员管理、安全保密管理、设备使用管理、测评质量控制管理等方面的措施和制度建设情况）测评技术力量情况（技术人才数量、层次、培训、承担重大课题、项目情况）申请表应附的有关材料（请在提供的材料序号前内打“”） 1、承诺书 2、测评机构申请单位测评人员汇总表 3、

4、测评机构申请单位测评人员基本情况表（一人一表）、人员缴纳社保的证明 4、营业执照复印件、法定代表人及股东身份证复印件 5、股权（资本）结构说明 6、申请单位组织结构表 7、相关资质能力证书复印件 8、其他：申请单位声明我单位知悉等级测评机构的责任义务，现申请成为等级测评机构，自愿服从并接受相关安全保密、测评规范管理，并保证所提交的有关材料均真实有效。如有虚假，本单位愿承担一切后果及相关法律责任。其他特别声明事项：法定代表人（签字）： 申请单位（盖章）年 月 日承 诺 书等级测评工作是等级保护工作的重要组成部分，直接关系信息系统安全，作为从事等级测评工作的机构，本单位及全体人员知悉测评机构的责任

5、义务和工作规范，愿意服从并接受各项安全保密管理，并承诺按照国家信息安全有关标准规范开展等级测评工作，保证测评工作的客观、公正、安全，承诺不会从事对等级测评工作的公正性产生影响的业务和工作（包括但不限于：从事信息系统安全集成或信息安全产品研发、生产、销售；限定被测评单位购买、使用指定的信息安全产品；影响被测评单位对安全集成商的选择等）。如有虚假或有违反测评管理规范的行为，本单位将承担由此造成的一切后果及相关的法律责任。法定代表人签字：（单位盖章）年 月 日测评机构申请单位测评人员汇总表单位名称（盖章）：填表日期：序号姓名性别身份证号学历岗位测评机构申请单位测评人员基本情况表姓 名性 别免冠照片出

6、生年月国 籍政治面貌出 生 地最高学历身份证号护照号码绿卡号码户籍地址 居住地址 职 务职称电子邮箱 犯罪记录业务能力和专长直系亲属涉外关系教育背景（从大专填写）时 间院 校 名 称专业方向见证人培训经历时 间培训机构名称培训项目证书名称工作经历时间单位名称职务职称见证人所提供附件材料（请在提供的材料序号前内打“”） 1、身份证复印件 2、最高学历证书复印件 3、相关认证、技能证书复印件 4、其他：个人郑重声明郑重声明本人清楚国家对等级测评从业人员的安全审查和等级测评技术能力等方面的要求，愿意服从并遵守有关安全保密等管理规范，并承诺按照国家信息安全相关标准规范要求和规定认真履行工作职责。本人承

7、诺所提供的全部资料均真实有效，并自愿接受审核。如有虚假，本人将承担由此造成的一切后果及相关法律责任。个人签名：单位盖章：年月日1。 （）是一种高层次的、具体到事件的策略，主要用于定义在网络中允许的或禁止的网络服务,还包括对拨号访问以及PPP（点对点协议)连接的限制. （单选 )D A、防火墙的设计策略B、审计工作C、规则次序D、网络服务访问策略2。 （)是指一种将内网和外网分开的方法，是在内部网和外部网之间实施安全防范的系统，它实际上是一种隔离技术，同时也是一种访问控制机制，能够限制用户进入一个被严格控制的点。 （单选 ) A、防火墙B、信息保护技术C、互联网信息内容安全管理D、安全恢复技术1

8、. PDCA中的P是指（）。 (单选 ) A、建立信息安全管理体系环境和风险评估B、实施并运行C、监视并评审D、改进1。 （）的实质是任何实体仅拥有该主体需要完成其被指定任务所必需的特权，此外没有更多的特权。 （单选 ) A、最小特权原则B、建立阻塞点原则C、纵深防御原则D、监测和消除最弱点连接原则3。（）的优点是节省了磁带空间，缩短了备份时间.缺点在于当灾难发生时，数据的恢复比较麻烦。(单选 ）A、完全备份B、增量备份C、网络备份D、差分备份2。 （）的原理是一台主机提供服务(服务器），另一台主机接受服务（客户机），作为服务器的主机一般会打开一个默认的端口进行监听。 (单选 ） A、特洛伊木

9、马B、网络监听C、扫描技术D、缓存溢出3. （)分为身体特征和行为特征两类。 （单选 ） A、动态口令B、生物识别C、双因素编辑D、USB KEY2. (）和边界检查相似，它在程序指针被引用之前首先检测到它的改变. (单选 ） A、编写正确的代码B、非执行的缓冲区技术C、程序指针完整性检查D、数组边界检查2. （)可以了解到入侵者进入系统的手段，知道系统目前存在的安全漏洞,从而为今后的系统修补打下基础.有助于管理员发现入侵者留下的“后门”和对系统的改动。 (单选 ） A、切断入侵者的访问途径B、复制一份被侵入的系统C、遗留物分析D、分析入侵途径3. （）可以是非秘密的,而(）必须是秘密的。 (

10、单选 ) A、验证信息;认证信息B、识别符；验证信息C、验证信息;识别符D、识别符；认证信息1. （）是把数据处理的功能和各种模型等决策工具结合起来,以帮助决策的计算机信息处理系统。 （单选 ） A、数据处理系统B、管理信息系统C、办公自动化系统D、决策支持系统3。 （）是解决缓存溢出漏洞的根本办法，必须在开发中就已经详细考虑过安全问题，在编写程序过程中杜绝存在缓存溢出漏洞的一切可能，才使确保程序的最大化安全。 (单选 ） A、编写正确的代码B、非执行的缓冲区技术C、程序指针完整性检查D、安装安全补丁2. ()是指入侵成功后,清除在被入侵机器上留下的访问痕迹,例如清除相应的访问日志,以免被管理

11、员发现入侵痕迹。 (单选 ) A、隐藏IPB、在网络中隐身C、攻击目标系统D、种植后门1. （）是指硬件、软件或策略上的缺陷，从而可使攻击者能够在未经授权的情况下访问系统. (单选 ） A、漏洞B、口令C、黑客D、病毒4. （）是指造成系统停止运转的任何事件，使得系统要重新启动。 （单选 ) A、事务内部的故障B、系统故障C、介质故障D、计算机病毒2。 （)为8个字节64位，是要被加密或被解密的数据. (单选 ） A、KeyB、DAtAC、ModeD、以上都对4. （)一般用在服务器发生意外灾难导致数据全部丢失、系统崩溃或是有计划的系统升级、系统重组等情况，也称为系统恢复。 （单选 ） A、个

12、别文件恢复B、全盘恢复C、重定向恢复D、容灾备份4。 （)，英文名为“domain name,是在互联网上定位和使用网页的工具. (单选 ） A、域名B、商标C、主页D、作品2.（）主要完成收集用户信息、确认用户身份的功能。一般是由一个独立的注册机构（即RA)来承担的。（单选 )A、注册管理B、CA功能C、证书管理D、密钥生命管理4。 （）作为互联网视听节目服务的行业主管部门，负责对互联网视听节目服务实施监督管理,统筹互联网视听节目服务的产业发展、行业管理、内容建设和安全监管。 (单选 ) A、通信管理部门B、新闻和出版管理部门C、广播电视行政部门D、文化主管部门1。不管获取多少密文和有多大的

13、计算能力，对明文始终不能得到唯一解的密码,叫做()。（单选 ）A、理论上保密的密码B、实际上保密的密码C、理论上不保密的密码D、实际上不保密的密码4。 数据库的（）是指不应拒绝授权用户对数据库的正常操作,同时保证系统的运行效率并提供用户友好的人机交互。 (单选 ) A、完整性B、独立性C、保密性D、可用性3。 数据库系统的（）主要包括物理完整性和逻辑完整性。 (单选 ) A、完整性B、独立性C、保密性D、可用性3. 由(）软件构造的正常系统使用的模式，一旦在使用中出现异常就会发出警告,大大减少了系统管理员的工作量。 (单选 ） A、入侵检测B、可确认性C、可信路径D、全面调节1. 在获取一定数

14、量的密文后可以得到唯一解的密码，叫作(）。 （单选 ) A、理论上保密的密码B、实际上保密的密码C、保密的密码D、不保密的密码多选6. 安全授权包括:（）. (多选 ) A、专控信息的授权B、机密信息的授权C、秘密信息的授权D、受控信息的授权7. 常见的Web欺骗方式有（）。 (多选 ) A、基本网站欺骗B、Man in the middle攻击C、URL重写D、缓存感染5. 当网络将任何东西都连接起来（anytoany）的时候,互联网状态将发展成为“一切的互联网”:是()的智能连接. (多选 ） A、人B、数据C、物体D、处理6。 非对称加密算法包括（)。 (多选 ） A、RSAB、RAbi

15、nC、AESD、DES5. 解决网络信息系统安全问题需要采用多种机制互相支持，（），才能更好地抵御攻击者的破坏。 （多选 ） A、建立防火墙B、采用堡垒主机C、加强保安教育D、加强安全管理5。 木马的种类很多，经常可以遇到的木马有（）. (多选 ) A、破坏型木马B、密码发送型木马C、远程访问型木马D、键盘记录木马6。 目前比较优秀的木马软件有(）。 （多选 ） A、冰河B、血蜘蛛C、NETBUSD、WincrAsh6. 数据库是计算机信息系统的重要组成部分，数据库的最大特点是实现数据的共享，存储的数据具有(）. （多选 ） A、独立性B、非独立性C、一致性D、完整性7。 数据库系统的安全机制

16、包括（）。 (多选 ） A、用户标识与鉴别B、存取控制C、数据库加密D、推理控制6. 特洛伊木马具有（)的特点。 （多选 ) A、隐蔽性B、授权性C、公开性D、非授权性5。 网络攻击可能造成（)。 (多选 ) A、计算机网络中数据在存储和传输过程中被窃取、暴露和篡改B、网络系统和应用软件受到恶意攻击和破坏C、网络服务中断D、网络系统和网络应用的瘫痪7。 现实生活中的一切事务，包括（)，几乎都可以在网络中找到踪迹. （多选 ) A、金融交易B、沟通交流C、娱乐休闲D、教育医疗7。信息系统一般包括(）。（多选 )A、数据处理系统B、管理信息系统C、办公自动化系统D、决策支持系统7. 遗留物分析包括

17、(）。 (多选 ） A、检查入侵者对系统软件和配置文件的修改B、检查被修改的数据C、检查入侵者留下的文件和数据D、检查网络监听工具7. 在国家秘密保护中仍然存在一定的问题，主要体现在（）。 （多选 ) A、信息保密法律规定有待具体化B、保密监督检查有待加强C、涉密部门的防范意识有待提高D、保密技术水平有待提高5.在计算机更新换代的改进过程中，（）不断融合和被广泛应用。（多选 ）A、电子化技术B、数字技术C、通信技术D、网络技术7. 在行政方面，互联网信息内容安全管理方法包括（)。 （多选 ） A、信息过滤与封堵政策B、实行网络实名制C、政府指导D、采取内容分级制5. 指纹识别的接触式取像虽然更

18、为直接,但是这本身也是个缺点:(）。 （多选 ） A、接触式取像污染接触面，影响可靠性B、手指污染还可能引起法律纠纷C、取像设备不能做得比拇指更小D、较易制作假指纹判断11. 1976年，迪逖（Dittie）和海尔曼（Hellman）为解决密钥管理问题，提出了一种密钥交换协议，允许在不安全的媒体上通过通信双方交换信息，安全地传送秘密密钥。 （判断 ) 正确错误9。1977年1月，美国政府颁布:采纳IBM公司设计的方案作为非机密数据的正式数据加密标准（DES，Data Encryption Standard）。（判断 ）正确错误10. RSA公开密钥密码体制。所谓的公开密钥密码体制就是使用不同的

19、加密密钥与解密密钥,是一种“由已知加密密钥推导出解密密钥在计算上是不可行的”密码体制。 （判断 ) 正确错误8. 必须努力构建一个建立在自主研究开发基础之上的技术先进、管理高效、安全可靠的国家信息安全体系，以有效地保障国家的安全、社会的稳定和经济的发展。 （判断 ) 正确错误11。 当规则组织好后，应该写上注释并经常更新，注释可以帮助理解每一条规则做什么。对规则理解得越好，错误配置的可能性就越小。 (判断 ） 正确错误9。 当主机工作在监听模式下，无论数据包中的目标物理地址是什么,主机都将接收。 （判断 ) 正确错误9. 防火墙是解决网络信息系统安全问题的唯一办法. （判断 ） 正确错误9.

20、风险评估的目的是：认清信息安全环境、信息安全状况；有助于达成共识，明确责任;采取或完善安全保障措施，使其更加经济有效，并使信息安全策略保持一致性和持续性. （判断 ） 正确错误11。跟踪，即对安全事件的跟踪调查,关注系统恢复以后的安全状况，特别是曾经出现问题的地方。(判断 ）正确错误10。 “后门”程序将自己隐藏在被侵入的系统中,入侵者通过它就可以绕开系统正常的验证，不必使用安全缺陷攻击程序就进入系统. （判断 ) 正确错误10。 互联网不仅仅是一个通信网络,更是一个现实社会的虚拟镜像。 (判断 ） 正确错误8. 加强以密码技术为基础的信息保护和网络信任体系,要规范和加强以身份认证、授权管理、

21、责任认定等为主要内容的网络信任体系建设。 （判断 ) 正确错误8。 解密密钥SK是由公开密钥PK决定的，可以根据PK计算出SK。 (判断 ） 正确错误11。 目前我国政府进行互联网监管的主要手段可以归结为两种，一是控制，二是导向. （判断 ） 正确错误11. 内容安全主要是监控流入和流出网络的内容数据，阻止不安全的信息流入或流出网络，从而降低或消除危险因素，保证网络的正常运行和信息安全。 (判断 ) 正确错误10. 特洛伊木马是一种远程管理工具,它带有伤害性,具有传染性，是病毒的一种. （判断 ) 正确错误8。 网络信息安全是一门交叉科学,涉及计算机科学、网络技术、通信技术、密码技术、信息安全

22、技术、应用数学、数论、信息论等多种学科的综合性学科。 （判断 ) 正确错误8。网络的主要功能就是互联和共享。这里的互联不仅仅是指将移动设备、笔记本、台式机联网，也包括把规模增长的设备互联起来(M2M,Machine to Machine）。 (判断 )正确错误10。为了确定防火墙安全设计策略,进而构建实现预期安全策略的防火墙,应从最安全的防火墙设计策略开始,即除非明确允许，否则禁止某种服务.(判断 )正确错误11。 我国保密法、刑法、公务员法和中国共产党纪律处分条例规定,凡是违反保密法律法规和党的保密纪律,造成泄露党和国家秘密的行为，要承担相应的刑事责任、行政责任和党纪责任。 (判断 ）正确错

23、误8. 我国信息安全管理格局是一个多方“齐抓共管”的体制，是由信息产业部、公安部、国家安全部、国家保密局、国家密码管理委员会、专家顾问组、安全审计机构、安全培训机构等多家机构共同组成,分别履行各自的职能，共同维护国家信息安全. (判断 ） 正确错误10。 向一个有限空间的缓冲区中置入过长的字符串可能会带来两种后果，一是过长的字符率覆盖了相邻的存储单元引起程序运行失败，严重的可导致系统崩溃;另一种后果是利用这种漏洞可以执行任意指令甚至可以取得系统特权由此而引发了许多种攻击方法。 （判断 ) 正确错误9。 要保证识别的有效性,必须保证任意两个不同的用户都不能具有相同的识别符。 （判断 ） 正确错误

24、11. 业务连续性是容灾的最终建设目标。 （判断 ） 正确错误10. 优秀的硬件保护性能是高效、可靠的操作系统的基础。 (判断 ) 正确错误9. 与现有的大量指纹鉴别产品的相比,在可靠性、安全性（指纹易仿造）、稳定精度等方面，虹膜鉴别仍具有巨大的优势。 (判断 ） 正确错误13.技术是一种新颖的防火墙技术,在一定程度上反映了防火墙目前的发展动态。该技术可以根据用户定义的安全策略,动态适应传送中的分组流量。 （填空 )14.就是指对灾难的容忍,是指为了保证关键业务和应用在经历各种灾难后，仍然能够最大限度的提供正常服务所进行的一系列系统计划及建设行为. (填空 ）14.是信息安全体系的重要组成部分

25、，它是保护信息系统安全的第一道大门。它的任务是检验信息系统用户身份的合法性和真实性，并按系统授予的权限访问系统资源,将非法访问者拒之门外. （填空 )12. 是一种按使用量付费的模式，这种模式提供可用的、便捷的、按需的网络访问，进入可配置的计算资源共享池（资源包括网络，服务器，存储，应用软件，服务)，这些资源能够被快速提供，只需投入很少的管理工作，或与服务供应商进行很少的交互。 (填空 ） 13. 是一组规则,它们定义了一个组织要实现的安全目标和实现这些安全目标的途径。 （填空 ) 14.，是指以非法占有为目的,利用互联网采用虚拟事实或者隐瞒事实真相的方法，骗取数额不等的公私财物的行为。 (填

26、空 ）4. ,是指主机网络进程接受到IP数据包后,察看其目标端口是不是自己的端口号,如果是的话就接受该数据包进行处理. (填空 )12.安全管理制度主要包括：、制定和发布、评审和修订三个控制点。 (填空 )12.确保信息系统按照预期运行且不做任何多余的事情,系统所提供的信息机密性可以得到适度的保护，系统、数据和软件的完整性得到维护和统一，以防任何可能影响任务完成的非计划的任务中断。综合起来说，就是要保障电子信息的“. (填空 ）12.信息安全管理标准共包含七大类信息安全标准：基础类标准、技术与机制类标准、信息安全管理标准、信息安全测评标准、通信安全标准、密码技术标准、标准. (填空 ）12。信

27、息系统等级保护实施过程分为五个阶段:系统定级阶段、安全规划设计阶段、阶段、安全运行维护阶段以及系统终止阶段。 (填空 ）12.在网络信息系统中常常需要建立，用于网络内部与外部以及内部的子网之间的隔离,并满足不同程度需求的访问控制。 (填空 )15。 简述加密系统的四个组成部分. （简答 ) 15。 简述信息系统安全等级的划分。 (简答 ) 15。 可信操作系统一般具有哪些关键的安全特征？ （简答 ） 15. 网络诈骗罪有哪些独特的特点？ （简答 ) 15。 组织应该通过多种方式检查信息安全管理体系是否运行良好，并对其业绩进行监视，可能包括哪些管理过程？ （简答 ） 1、执行程序和其他控制以快速

28、检测处理结果中的错误；快速识别安全体系中失败的和成功的破坏；能使管理者确认人工或自动执行的安全活动达到预期的结果；按照商业优先权确定解决安全破坏所要采取的措施；接受其他组织和组织自身的安全经验。2、常规评审信息安全管理体系的有效性；收集安全审核的结果、事故、以及来自所有股东和其他相关方的建议和反馈,定期对信息安全管理体系有效性进行评审。3、评审剩余风险和可接受风险的等级；注意组织、技术、商业目标和过程的内部变化,以及已识别的威胁和社会风尚的外部变化，定期评审剩余风险和可接受风险等级的合理性。4、审核是执行管理程序、以确定规定的安全程序是否适当、是否符合标准、以及是否按照预期的目的进行工作.审核

29、的就是按照规定的周期（最多不超过一年）检查信息安全管理体系的所有方面是否行之有效.审核的依据包括BS 77992:2002标准和组织所发布的信息安全管理程序。应该进行充分的审核策划，以便审核任务能在审核期间内按部就班的展开。xxxxxx信息安全等级保护（三级）建设项目设计方案二一八年二月文档控制文档名称：xxxxxx信息安全等保保护建设（三级）设计方案提交方xxxxx机股份提交日期Xxxxx版本信息日期版本撰写者审核者描述2月28日V1.0初稿3月1日V1.1修订3月7日V1.2修订本文档版权归xxxxxx股份所有，未经xxxx允许，本文档里的任何内容都不得被用来宣传和传播。未经xxxx书面批

30、准，文档或任何类似的资讯都不允许被发布。目录第一章项目概述51.1项目概述51.2项目建设背景5法律要求6政策要求71.3项目建设目标及内容8项目建设目标8建设内容8第二章现状与差距分析92.1现状概述9信息系统现状92.2现状与差距分析12物理安全现状与差距分析12网络安全现状与差距分析16主机安全现状与差距分析22应用安全现状与差距分析27数据安全现状与差距分析32安全管理现状与差距分析342.3综合整改建议37技术措施综合整改建议37安全管理综合整改建议43第三章安全建设目标44第四章安全整体规划464.1建设指导46指导原则46安全防护体系设计整体架构474.2安全技术规划49安全建设

31、规划拓朴图49安全设备功能504.3建设目标规划55第五章工程建设575.1工程一期建设57区域划分57网络环境改造57网络边界安全加固58网络及安全设备部署59安全管理体系建设服务86安全加固服务102应急预案和应急演练109安全等保认证协助服务1095.2工程二期建设110安全运维管理平台（soc）110APT高级威胁分析平台1135.3产品清单115第六章方案预算116第七章方案预估效果1207.1工程预期效果120图表目录图表 1 现状拓扑图10图表 2物理安全现状12图表 3网络安全现状16图表 4主机安全现状22图表 5应用安全现状27图表 6数据安全现状32图表 7安全管理现状3

32、4图表 8综合技术措施整改建议表格37图表 9综合安全管理体系整改建议表格43图表 10安全保障体系图47图表 11安全建设规划拓扑图49图表 12建设规划55图表 13 信息安全组织架构示意图92图表 14 安全管理制度规划示意图98图表 15产品清单表115图表 16方案预算表116第一章 项目概述1.1 项目概述xxxxxx是人民政府的职能部门，贯彻执行国家有关机关事务工作的方针政策，拟订省机关事务工作的政策、规划和规章制度并组织实施，负责省机关事务的管理、保障、服务工作。在面对现在越来越严重的网络安全态势下，xxxxxx积极响应国家相关政策法规，积极开展信息安全等级保护建设。对自有网络

33、安全态势进行自我核查，补齐等保短板，履行安全保护义务。项目目标：打造一个可信、可管、可控、可视的安全网络环境，更好的为机关各部门及领导者和公务人员提供工作和生活条件，更好的保障各项行政活动正常进行。1.2 项目建设背景机关后勤管理工作因为其政府内部服务的特殊性，一直比较少地为社会公众所关注或重视。机关后勤管理包括对物资、财务、环境、生活以及各种服务项目在内的事务工作的管理，是行政机关办公室管理的重要一环，为机关各部门以及领导者和公务人员提供工作和生活条件，是保障各项行政活动正常进行的物质基础。随着这几年地区经济的高速发展和政府行政职能分配管理的需要，使机关事务管理工作的管理范围和管理对象也相应

34、的扩展和增加，管理工作变得十分繁重。尤其是在新增的一些业务管理工作方面，如对政府机关单位固定资产的管理、房屋出租、分配的管理等，同时，随着这几年国家对资产管理的重视，信息化建设从原来注重财务管理信息化逐渐向国有资产管理信息化发展，作为机关事务管理的机构，正承担着这样一种责任和使命。同时在面对现在不容乐观的整体安全态势环境下，开展机关事务管理的信息化建设与信息安全建设，是整个社会和国家发展的必然趋势。1.2.1 法律要求在2021年6月1日颁发的中华人民共和国网络安全法中明确规定了法律层面的网络安全。具体如下：“没有网络安全，就没有国家安全”，网络安全法第二十一条明确规定“国家实行网络安全等级保

35、护制度”。各网络运营者应当按照要求，开展网络安全等级保护的定级备案、等级测评、安全建设、安全检查等工作。除此之外，网络安全法中还从网络运行安全、关键信息基础设施运行安全、网络信息安全等对以下方面做了详细规定：网络日志留存：第二十一条还规定，网络运营者应当制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任;采取防计算机病毒、网络攻击、网络侵入等危害网络安全行为的技术措施;采取监测、记录网络运行状态、网络安全事件的技术措施，留存不少于六个月的相关网络日志;采取数据分类、重要数据备份和加密等措施。未履行上述网络安全保护义务的，会被依照此条款责令整改，拒不改正或者导致危害网络安全

36、等后果的，处一万元以上十万元以下罚款，对直接负责的主管人员处五千元以上五万元以下罚款。漏洞处置：第二十五条规定，网络运营者应当制定网络安全事件应急预案，及时处置系统漏洞、计算机病毒、网络攻击、网络侵入等安全风险;在发生危害网络安全的事件时，立即启动应急预案，采取相应的补救措施，并按照规定向有关主管部门报告。没有网络安全事件应急预案的，没有及时处置高危漏洞、网络攻击的;在发生网络安全事件时处置不恰当的，会被依照此条款责令整改，拒不改正或者导致危害网络安全等后果的，处一万元以上十万元以下罚款，对直接负责的主管人员处五千元以上五万元以下罚款。容灾备份：第三十四条第三项规定，关键信息基础设施单位对重要

37、系统和数据库进行容灾备份。没有对重要系统和数据库进行容灾备份的会被依照此条款责令改正。应急演练：第三十四条第四项规定，关键信息基础设施单位应当制定网络安全事件应急预案，并定期进行演练。没有网络安全事件预案的，或者没有定期演练的，会被依照此条进行责令改正。安全检测评估：第三十八条规定，关键信息基础设施的运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险每年至少进行一次检测评估，并将检测评估情况和改进措施报送相关负责关键信息基础设施安全保护工作的部门。每年没有进行安全检测评估的单位要被责令改正。1.2.2 政策要求为切实加强门户网站安全管理和防护，保障网站安全稳定运行，国家非常

38、重视，陆续颁布以下文件：关于加强党政机关网站安全管理的通知（中网办发文20211号）、关于做好党政机关网站开办审核、资格复核和网站标识管理工作的通知（中央编办发202169号），公安部、中央网信办、中编办、工信部等四部门关于印发党政机关、事业单位和国有企业互联网网站安全专项整治行动方案的通知（公信安20212562号）1.3 项目建设目标及内容1.3.1 项目建设目标依据国家信息安全等级保护相关指导规范，对xxxxxx信息系统、基础设施和骨干网络按照等保三级进行安全建设规划，对安全建设进行统一规划和设备选型，实现方案合理、组网简单、扩容灵活、标准统一、经济适用的建设目标。依据信息安全等级保护三

39、级标准，按照“统一规划、统一标准、重点明确、合理建设”的基本原则，在物理安全、网络安全、主机安全、应用安全、数据安全等几个方面进行安全规划与建设，确保“网络建设合规、安全防护到位”。方案目标是让xxxxxx的骨干网络、相关应用系统达到安全等级保护第三级要求。经过建设后使整体网络形成一套完善的安全防护体系，提升整体信息安全防护能力。1.3.2 建设内容本项目以xxxxxx骨干网络、信息系统等级保护建设为主线，以让相关信息系统达到安全等级保护第三级要求。借助网络产品、安全产品、安全服务、管理制度等手段，建立全网的安全防控管理服务体系，从而全面提高xxxxxx的工作效率，提升信息化运用水平。建设内容

40、包括xxxxxx内网骨干网络、基础设施和信息系统等。第二章 现状与差距分析2.1 现状概述2.1.1 信息系统现状本次项目中xxxxxx外网项目中涉及的设备有：1) 服务器4台2) 网络设备若干 路由器、交换机、ap 3) 安全设备有：1台防火墙（过保）、WAF（过保）、2台ips（dmz区前IPS已过保）、上网行为管理（过保）、防病毒网关、绿盟安全审计系统、360天擎终端杀毒（只具有杀毒模块）4) 存储设备：火星舱容灾备份2.1.1.1 网络系统现状xxxxxx的网络系统整体构架采用三层层次化模型网络架构，即由核心层、汇聚层和接入层组成。网络现状：核心层：核心层是网络的高速交换主干，对整个网

41、络的连通起到至关重要的作用。xxxxxx内网核心，由1台DPX安全业务网关组成。汇聚层：汇聚层是网络接入层和核心层的“中介”，是在工作站接入核心层前先做汇聚，以减轻核心层设备的负荷。xxxxxx内网中，由迪普和H3C交换机作为内网的有线汇聚和内网的无线汇聚交换机。接入层：接入层向本地网段提供工作站接入。xxxxxx内网网络中，由各种品牌的交换机作为终端前端接入交换机，为各区域提供接入。在DPX核心交换机上划分VLAN和网关，整体网络中部署了防病毒网关、IPS、UAG、DDI、数据容灾备份系统。OA系统连接至无线汇聚交换机。其他各系统旁路至核心交换机上。 安全现状：在整体网络中部署有相应的安全设

42、备做安全防护，但部分安全设备过保，整体网络安全防护体系不够完善、区域划分不合理，现状拓扑图如下： 图表 1 现状拓扑图2.1.1.2 主机系统现状xxxxxx的业务系统OA、文件交换箱等，部署于多台服务器上。服务器为机架式服务器和塔式服务器，固定于标准机柜与固定位置，并进行标识区分。服务器操作系统全都采用微软的Windows Server系列操作系统。 xxxxxx办公终端约为300台，win7为主，XP系统占少数，主机系统没有进行过定期更新补丁，安装有360天擎杀毒软件2.1.1.3 应用系统现状xxxxxx的应用系统主要为以下业务系统：OA、文件交换箱等。也包含一些其他的办公软件。 2.2 现状与差距分析2.2.1 物理安全现状与差