信息安全技術(shù)服務項目需求-文庫吧
2025-08-10 15:43 本頁面
【正文】 的梳理和核查，結(jié)合信息化實際情況進完成對信息安全管理體系規(guī)范的落實。 序號 服務項目 內(nèi)容 全年服務 次數(shù) 1 信息安全制度制定、優(yōu)化及落實 梳理和核查包括不限于以下各項信息安全管理制度及制度執(zhí)行情況： a）信息安全管理機構(gòu)成立情況； b）信息安全管理職能部門設置； c) 信息安全管理人員配備； d) 信息系統(tǒng)的規(guī)劃、建設、運維、廢棄等環(huán)節(jié)的信息安全制度制定； e) 信息安全制度執(zhí)行情況記錄。 1 次 2 信息安全管理體系落地 a）建立適合我方實際的信息安全管理體系框架； b）評估和識別關(guān)鍵的業(yè)務處理流程、資產(chǎn)和崗位設置等； c) 實現(xiàn)安全體系文檔化，管理流程化、績效控制可量 化和安全意識普及； 1 次 3 外包服務管理 a)對外包開發(fā)軟件在投入使用前進行了全面的安全檢測； 不低于 4次 信息安全風險評估 按照《信息安全技術(shù)信息安全風險評估規(guī)范》（ GB/T209842020）、《信息系統(tǒng)安全保護等級基本要求》（ GB/T 222392020）等相關(guān)標準，對我局信息系統(tǒng)和 IT 基礎設施進行安全風險評估，包括明確風險評估范圍、識別重要資產(chǎn)、識別脆弱性和威脅、現(xiàn)有安全控制措施、應用系統(tǒng)漏洞掃描、分析和計算風險狀況、制定不可接受風險處置方案和風險評估報告和總結(jié)。 服務內(nèi)容要求： 序 號 服務項目 內(nèi)容 全年服務 次數(shù) 1 資產(chǎn)識別 根據(jù)資產(chǎn)、業(yè)務流程的特性和重要程度對資產(chǎn)進行科學的分類（數(shù)據(jù)、服務、聲譽、硬件和軟件、通訊、程序界面、物理資產(chǎn)、支持設施、人員和訪問控制措施等有形和無形資產(chǎn)），并參考 CIA（保密性、完整性和可用性）進行價值分級和定量，以識別關(guān)鍵的信息資產(chǎn)。 收集統(tǒng)計我局在使用的計算機資下列信息，包含： a）計算機主機名； b）計算機 IP 地址； c）計算機 MAC 地址； d）計算機使用人或責任人； e）計算機所屬部門； f）計算機的物理位置； g）服務器的內(nèi)外網(wǎng) IP 對應。 1 次 2 威脅識別 通過安全策略檢查、文檔查看、業(yè)務流程 1 次 分析、網(wǎng)絡拓撲分析、人員訪談、入侵檢測系統(tǒng)收集的信息和人工分析等手段對可能潛在的威脅進行分類、分析和定性。 3 脆弱性識別 以資產(chǎn)為核心，針對每一項需要保護的資產(chǎn)、識別可能被威脅利用的弱點，并對脆弱性的嚴重程度進行評估，分析出有可能被潛在威脅源利用的系統(tǒng)缺陷或脆弱性列表，并對其進行分級。 1 次 4 現(xiàn)有控制措施有有效性 結(jié)合資產(chǎn)、威脅和脆弱性分析結(jié)果，對現(xiàn)有的預防性安全措施和保護性安全措施進行有效性測試、評 估。 1 次 5 風險分析 資產(chǎn) 威脅 脆弱性映射關(guān)系以及控制措施效果，分析存在的安全風險發(fā)生的可能性和影響。 1 次 6 風險計算 以關(guān)鍵業(yè)務系統(tǒng)為關(guān)聯(lián)要素，通過資產(chǎn)的價值、資產(chǎn)面臨的威脅和存在的脆弱性三個方面的內(nèi)容進行量化，統(tǒng)計分析風險值，評定業(yè)務系統(tǒng)所屬的風險范圍和等級。 1 次 7 風險結(jié)果 通過層面匯總分析和綜合分析等過程找出信息系統(tǒng)的安全風險，識別影響系統(tǒng)安全保護能力的安全隱患，形成評估結(jié)論報告。 1 次 8 風險處置方案 針對信息安全風險評估結(jié)果和存在的關(guān)鍵性問題，提出相應的不可接受風險處置建 議和方案。 1 次 實施要求： （ 1） 對深圳市司法局信息系統(tǒng)進行定期的安全防護和系統(tǒng)漏洞補丁安裝；對新增應用系統(tǒng)進行安全檢測，對發(fā)現(xiàn)的問題，提供具有可操作性的整改方案，并協(xié)助完成加固和優(yōu)化服務； （ 2） 定期對內(nèi)網(wǎng)、外網(wǎng)網(wǎng)絡、主機服務器及所有客戶端電腦進行安全風險分析； （ 3） 對所有主機服務器的端口、配置進行定期的安全檢查、對操作系統(tǒng)級和數(shù)據(jù)庫級的系統(tǒng)安全漏洞進行安全處理； （ 4） 風險評估全過程產(chǎn)生的所有過程文檔、原始數(shù)據(jù)、掃描報告、正式報告等必須進行電子和紙制雙重 歸檔，在項目結(jié)束后一并移交給甲方； （ 5） 擔任用戶單位計算機網(wǎng)絡和主機系統(tǒng)的安全顧問，在網(wǎng)絡和主機系統(tǒng)進行升級、擴建時，提供安全風險評估，并提供安全修補建議。
公司管理相關(guān)推薦
鄂ICP備17016276號-1