【正文】 與各相關(guān)部門人員進行交談，主要是管理訪談，以收集測評證據(jù)。? 測試現(xiàn)場測評時，測試工作主要包括：? 漏洞掃描：通過在網(wǎng)絡(luò)環(huán)境中的不同節(jié)點中部署漏洞掃描工具，對信息系統(tǒng)進行全面的脆弱性掃描和測試，以收集測評證據(jù)。 物理安全 結(jié)果記錄測評指標序號 指標名稱 測評項現(xiàn)場測評記錄(√) 要求項符合情況1 物理位置的選擇機房和辦公場地應(yīng)選擇在具有防震、防風(fēng)和防雨等能力的建筑內(nèi)。(1) 機房建筑是否有交流地線√ 是 □ 否符合5 防火 機房應(yīng)設(shè)置滅火設(shè)備和火災(zāi)自動報警系統(tǒng)(1) 是否設(shè)置了滅火設(shè)備√ 是 □ 否(2) 滅火設(shè)備是否合理√ 擺放位置是否合理 √ 有效期是否合格(3) 機房火災(zāi)自動報警系統(tǒng)是否正常工作√ 是 □ 否(4) 記錄 √ 運行記錄√ 報警記錄√ 定期檢查和維修記錄符合6 防水和防潮a) 水管安裝，不得穿過機房屋頂和活動地板下；(1) 水管安裝是否避免穿過屋頂和活動地板下√ 是 □ 否符合20 / 73b) 應(yīng)采取措施防止雨水通過機房窗戶、屋頂和墻壁滲透；(1) 機房是否沒有出現(xiàn)過漏水事件√ 是 □ 否(2) 是否經(jīng)常檢查上 /下水管漏水情部況√ 是 □ 否 無形成記錄(3) 穿過主機房墻壁或樓板的管道√ 是否配置套管√ 管道與套管之間是否采用可靠 的密封措施(4) 漏水、滲透和返潮√ 機房的窗戶、屋頂和墻壁等是否未出現(xiàn)過漏水、滲透和返潮現(xiàn)象 √ 是否不存在明顯的漏水和返潮的威脅√ 能否及時修復(fù)解決符合c) 應(yīng)采取措施防止機房內(nèi)水蒸氣結(jié)露和地下積水的轉(zhuǎn)移與滲透。(1)備用電力供應(yīng)情況√ 設(shè)置了短期備用電源設(shè)備√ 供電時間滿足系統(tǒng)關(guān)鍵設(shè)備最低電力供應(yīng)需求符合10 電磁防護 電源線和通信線纜應(yīng)隔離鋪設(shè)，避免互相干擾。 (4) 是否允許撥號訪問網(wǎng)絡(luò) □是 √否符合b) 應(yīng)能根據(jù)會話狀態(tài)信息為數(shù)據(jù)流提供明確的允許/拒絕訪問的能力，控制粒度為網(wǎng)段級；(1) 是否根據(jù)會話狀態(tài)信息對數(shù)據(jù)流進行控制√是 □否(2) 控制粒度是否為網(wǎng)段級√是 □否符合c) 應(yīng)按用戶和系統(tǒng)之間的允許訪問規(guī)則，決定允許或拒絕用戶對受控系統(tǒng)進行資源訪問，控制粒度為單個用戶；(1) 驗證訪問控制措施是否能對未授權(quán)的訪問行為進行控制√是 □否(2) 控制粒度是否至少為單個用戶√是 □否符合訪問控制d) 應(yīng)限制具有撥號訪問權(quán)限的用戶數(shù)量。(1)網(wǎng)絡(luò)入侵防范措施 √可以安裝軟件補丁 √防止后門軟件攻擊 √通信加密 √安裝防火墻 √其他_安裝有綠盟 ids 入侵檢測系統(tǒng)，深信服上網(wǎng)行為軟件 (2) 是否有專門設(shè)備對網(wǎng)絡(luò)入侵進行防范 √是 □否 (3) 網(wǎng)絡(luò)入侵防范設(shè)備是否能檢測以下攻擊行為 √端口掃描 √強力攻擊 √木馬后門攻擊 。(1) 邊界和關(guān)鍵網(wǎng)絡(luò)設(shè)備是否開啟審計功能√是 □否包括哪些項：(2) 審計記錄的主要內(nèi)容記錄時間√源地址（IP 和 MAC 地址）√源端口√目標地址（IP 和 MAC 地址）√目的端口√事件類型√協(xié)議類型√事件成功情況協(xié)議類型√其他：使用第三方審計記錄 江南科友運維審計 符合邊界完整性檢查應(yīng)能夠?qū)?nèi)部網(wǎng)絡(luò)中出現(xiàn)的內(nèi)部用戶未通過準許私自聯(lián)到外部網(wǎng)絡(luò)的行為進行檢查。 √是 □否b) 應(yīng)保證接入網(wǎng)絡(luò)和核心網(wǎng)絡(luò)的帶寬滿足業(yè)務(wù)高峰期需要；(1) 網(wǎng)絡(luò)中帶寬控制情況 □使用帶寬管理軟件 □代理軟件內(nèi)置的帶寬控制功能 □通過路由器控制帶寬 √其他 帶寬充足 (2) 帶寬分配的原則 □基于端口的劃分 □基于 MAC 地址的劃分 □基于路由的劃分 √其他 帶寬充足 (3) 文檔有接入網(wǎng)絡(luò)及核心網(wǎng)絡(luò)的帶寬滿足業(yè)務(wù)高峰期需要的設(shè)計或說明 √是 □否 符合c) 應(yīng)繪制與當(dāng)前運行情況相符的網(wǎng)絡(luò)拓撲結(jié)構(gòu)圖；(1) 網(wǎng)絡(luò)拓撲結(jié)構(gòu)圖與當(dāng)前運行的實際網(wǎng)絡(luò)系統(tǒng)是否一致 √是 □否符合d) 應(yīng)根據(jù)各部門的工作職能、重要性和所涉及信息的重要程度等因素，劃分不同的子網(wǎng)或網(wǎng)段，并按照方便管理和控制的原則為各子網(wǎng)、網(wǎng)段分配地址段。(1) 防靜電√ 關(guān)鍵設(shè)備安全接地√ 不存在明顯的靜電現(xiàn)象符合8 溫濕度控制機房應(yīng)設(shè)置溫、濕度自動調(diào)節(jié)設(shè)施，使機房溫、濕度的變化在設(shè)備運行所允許的范圍之內(nèi)。(1) 是否有進入機房的審批記錄√ 是 □ 否(2) 審批記錄是否包括來訪人員的訪問范圍√ 是 □ 否符合a) 應(yīng)將主要設(shè)備放置在機房內(nèi)；(1) 關(guān)鍵設(shè)備是否放置在機房內(nèi)或其它不易被盜竊和破壞的可控范圍√ 是 □ 否符合b) 應(yīng)將設(shè)備或主要部件進行固定，并設(shè)置明顯的不易除去的標記；(1) 關(guān)鍵設(shè)備是否不易被移動或被搬走√ 是 □ 否(2) 關(guān)鍵設(shè)備是否設(shè)置不易被除去的標記√ 是 □ 否符合3 防盜竊和防破壞c) 應(yīng)將通信線纜鋪設(shè)在隱蔽處，可鋪設(shè)在地下或(1) 通信線纜是否鋪設(shè)在隱蔽處√ 是 □ 否符合19 / 73管道中；d) 應(yīng)對介質(zhì)分類標識，存儲在介質(zhì)庫或檔案室中；(1) 介質(zhì)是否進行了分標識管理√ 是 □ 否(2) 介質(zhì)是否存放在介質(zhì)庫或檔案室√ 是 □ 否符合e) 主機房應(yīng)安裝必要的防盜報警設(shè)施。另外，在現(xiàn)場測評時，對于有疑義的問題，可采取跟蹤驗證的方式，以收集客觀、真實的測評證據(jù)。? 文檔審閱：通過查閱文件及記錄，以收集測評證據(jù)。測評指標類數(shù)量技術(shù)/管理 層面 S 類(3 級)A 類(3 級)G 類(3 級)小計物理安全 1 1 8 10網(wǎng)絡(luò)安全 1 0 5 6主機安全 2 1 3 6應(yīng)用安全 4 2 1 7安全技術(shù)數(shù)據(jù)安全 2 1 0 3安全管理機構(gòu) 0 0 3 3安全管理制度 0 0 5 5人員安全管理 0 0 5 5系統(tǒng)建設(shè)管理 0 0 9 9安全管理系統(tǒng)運維管理 0 0 12 12合 計 66（類） 測評對象 測評對象選擇方法在確定測評對象時，主要遵循以下原則：? 恰當(dāng)性原則，選擇的設(shè)備、軟件系統(tǒng)等能滿足相應(yīng)等級的測評強度要求；13 / 73? 重要性原則，抽查對被測系統(tǒng)來說重要的服務(wù)器、數(shù)據(jù)庫和網(wǎng)絡(luò)設(shè)備等；? 安全性原則，抽查對外暴露的網(wǎng)絡(luò)邊界；? 共享性原則，抽查共享設(shè)備和數(shù)據(jù)交換平臺/設(shè)備；? 代表性原則，抽查應(yīng)盡量覆蓋系統(tǒng)各種設(shè)備類型、操作系統(tǒng)類型、數(shù)據(jù)庫系統(tǒng)類型和應(yīng)用系統(tǒng)的類型。3 等級測評范圍與方法 測評指標測評指標包括基本指標和特殊指標兩部分。采用防火墻系統(tǒng)、入侵檢測系統(tǒng)、內(nèi)網(wǎng)安全保密、審計系統(tǒng)及網(wǎng)頁防篡改來確保網(wǎng)絡(luò)的安全。6 / 732 被測信息系統(tǒng)情況廣東電網(wǎng)公司東莞供電局配網(wǎng)生產(chǎn)管理信息系統(tǒng)，通過邏輯隔離措施進行了安全控制規(guī)劃，形成了一個或多個物理網(wǎng)段或邏輯網(wǎng)段的集合，已經(jīng)形成了區(qū)域邊界安全防護、橫向邏輯隔離、縱向的訪問控制實體。? 測評申請階段被測單位向測評機構(gòu)提出測評申請，測評機構(gòu)對被測單位的申請材料進行審查，在雙方達成共識的情況下，雙方簽訂保密協(xié)議、委托書、合同。協(xié)助用戶完成等級保護測評工作。配網(wǎng)生產(chǎn)管理信息系統(tǒng)的信息系統(tǒng)安全保護等級已定為二級（S2A2G2） 。當(dāng)測評工作完成后，由于信息系統(tǒng)發(fā)生變更而涉及到的系統(tǒng)構(gòu)成組件（或子系統(tǒng)）都應(yīng)重新進行等級測評，本報告不再適用。報告編號：（ ）信息系統(tǒng)安全等級測評報告系統(tǒng)名稱：配網(wǎng)生產(chǎn)管理信息系統(tǒng)被測單位：廣東電網(wǎng)公司東莞供電局測評單位：廣東電網(wǎng)公司信息中心廣州競遠系統(tǒng)網(wǎng)絡(luò)技術(shù)有限公司報告時間：2022 年 8 月 18 日1 / 73信息系統(tǒng)等級測評基本信息表信息系統(tǒng)系統(tǒng)名稱 配網(wǎng)生產(chǎn)管理信息系統(tǒng) 安全保護等級 二級備案證明編號 測評結(jié)論 基本符合被測單位單位名稱 廣東電網(wǎng)公司東莞供電局單位地址 東莞市東城路 239 號 郵政編碼 523000姓 名 鄧雄榮 職務(wù)/職稱 安全專職所屬部門 信息部 辦公電話聯(lián) 系 人移動電話 電子郵件測評單位單位名稱 廣州競遠系統(tǒng)網(wǎng)絡(luò)技術(shù)有限公司 單位代碼 粵001通信地址廣州市天河區(qū)龍口東路 363 號寶供大廈 17樓郵政編碼 510635姓 名 胡欣 職務(wù)/職稱 技術(shù)經(jīng)理所屬部門 等級測評中心 辦公電話 02038483680聯(lián) 系 人移動電話 13925001505 電子郵件 編 制 人 編制日期審 核 人 審核日期審核批準批 準 人 批準日期注：單位代碼由受理測評機構(gòu)備案的公安機關(guān)給出。本報告中給出的測評結(jié)論僅對被測信息系統(tǒng)當(dāng)時的安全狀態(tài)有效。廣東電網(wǎng)公司信息中心廣州競遠系統(tǒng)網(wǎng)絡(luò)技術(shù)有限公司2022 年 8 月 18 日I / 73目 錄信息系統(tǒng)等級測評基本信息表 ...................................................................................................................................1報告摘要 .....................................................................................................................................................................11 測評項目概述 ......................................................................................................................................................2 測評目的 .................................................................................................