【正文】 設(shè)備最低電力供應(yīng)需求符合10 電磁防護(hù) 電源線和通信線纜應(yīng)隔離鋪設(shè)，避免互相干擾。(1)網(wǎng)絡(luò)入侵防范措施 √可以安裝軟件補丁 √防止后門軟件攻擊 √通信加密 √安裝防火墻 √其他_安裝有綠盟 ids 入侵檢測系統(tǒng)，深信服上網(wǎng)行為軟件 (2) 是否有專門設(shè)備對網(wǎng)絡(luò)入侵進(jìn)行防范 √是 □否 (3) 網(wǎng)絡(luò)入侵防范設(shè)備是否能檢測以下攻擊行為 √端口掃描 √強力攻擊 √木馬后門攻擊 。 √是 □否b) 應(yīng)保證接入網(wǎng)絡(luò)和核心網(wǎng)絡(luò)的帶寬滿足業(yè)務(wù)高峰期需要；(1) 網(wǎng)絡(luò)中帶寬控制情況 □使用帶寬管理軟件 □代理軟件內(nèi)置的帶寬控制功能 □通過路由器控制帶寬 √其他 帶寬充足 (2) 帶寬分配的原則 □基于端口的劃分 □基于 MAC 地址的劃分 □基于路由的劃分 √其他 帶寬充足 (3) 文檔有接入網(wǎng)絡(luò)及核心網(wǎng)絡(luò)的帶寬滿足業(yè)務(wù)高峰期需要的設(shè)計或說明 √是 □否 符合c) 應(yīng)繪制與當(dāng)前運行情況相符的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖；(1) 網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖與當(dāng)前運行的實際網(wǎng)絡(luò)系統(tǒng)是否一致 √是 □否符合d) 應(yīng)根據(jù)各部門的工作職能、重要性和所涉及信息的重要程度等因素，劃分不同的子網(wǎng)或網(wǎng)段，并按照方便管理和控制的原則為各子網(wǎng)、網(wǎng)段分配地址段。(1) 是否有進(jìn)入機房的審批記錄√ 是 □ 否(2) 審批記錄是否包括來訪人員的訪問范圍√ 是 □ 否符合a) 應(yīng)將主要設(shè)備放置在機房內(nèi)；(1) 關(guān)鍵設(shè)備是否放置在機房內(nèi)或其它不易被盜竊和破壞的可控范圍√ 是 □ 否符合b) 應(yīng)將設(shè)備或主要部件進(jìn)行固定，并設(shè)置明顯的不易除去的標(biāo)記；(1) 關(guān)鍵設(shè)備是否不易被移動或被搬走√ 是 □ 否(2) 關(guān)鍵設(shè)備是否設(shè)置不易被除去的標(biāo)記√ 是 □ 否符合3 防盜竊和防破壞c) 應(yīng)將通信線纜鋪設(shè)在隱蔽處，可鋪設(shè)在地下或(1) 通信線纜是否鋪設(shè)在隱蔽處√ 是 □ 否符合19 / 73管道中；d) 應(yīng)對介質(zhì)分類標(biāo)識，存儲在介質(zhì)庫或檔案室中；(1) 介質(zhì)是否進(jìn)行了分標(biāo)識管理√ 是 □ 否(2) 介質(zhì)是否存放在介質(zhì)庫或檔案室√ 是 □ 否符合e) 主機房應(yīng)安裝必要的防盜報警設(shè)施。? 文檔審閱：通過查閱文件及記錄，以收集測評證據(jù)。3 等級測評范圍與方法 測評指標(biāo)測評指標(biāo)包括基本指標(biāo)和特殊指標(biāo)兩部分。6 / 732 被測信息系統(tǒng)情況廣東電網(wǎng)公司東莞供電局配網(wǎng)生產(chǎn)管理信息系統(tǒng)，通過邏輯隔離措施進(jìn)行了安全控制規(guī)劃，形成了一個或多個物理網(wǎng)段或邏輯網(wǎng)段的集合，已經(jīng)形成了區(qū)域邊界安全防護(hù)、橫向邏輯隔離、縱向的訪問控制實體。協(xié)助用戶完成等級保護(hù)測評工作。當(dāng)測評工作完成后，由于信息系統(tǒng)發(fā)生變更而涉及到的系統(tǒng)構(gòu)成組件（或子系統(tǒng)）都應(yīng)重新進(jìn)行等級測評，本報告不再適用。本報告中給出的測評結(jié)論僅對被測信息系統(tǒng)當(dāng)時的安全狀態(tài)有效。2 / 731 測評項目概述 測評目的建立信息安全等級保護(hù)制度，通過測試手段對安全技術(shù)和安全管理上各個層面的安全控制進(jìn)行整體性驗證。? 測評綜合分析階段測評機構(gòu)最后進(jìn)行核查結(jié)果分析，等級符合性分析、專家評審，生成等級測評報告和安全建議報告具體流程如下圖：4 / 735 / 73 報告分發(fā)范圍廣東電網(wǎng)公司東莞供電局配網(wǎng)生產(chǎn)管理信息系統(tǒng)等級測評報告的分發(fā)控制如下：? 等級測評報告正本的份數(shù)為一份，副本兩份；? 等級測評報告的分發(fā)范圍為廣東電網(wǎng)公司東莞供電局信息部及廣州競遠(yuǎn)公司。具體網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖如下：7 / 73 系統(tǒng)構(gòu)成 業(yè)務(wù)應(yīng)用軟件序號 軟件名稱 主要功能 重要程度1 配網(wǎng)生產(chǎn)管理信息系統(tǒng)主要實現(xiàn)設(shè)備臺帳管理、功能位置管理、停電計劃管理、巡檢缺陷管理、兩票流程管理、班組工作管理、供電可靠性等七個部分的業(yè)務(wù)功能；重要2 weblogic 中間件 重要8 / 73 關(guān)鍵數(shù)據(jù)類別序號 數(shù)據(jù)類別 所屬業(yè)務(wù)應(yīng)用 主機/存儲設(shè)備 重要程度1配網(wǎng)生產(chǎn)管理信息系統(tǒng)數(shù)據(jù)廣東電網(wǎng)公司東莞供電局配網(wǎng)生產(chǎn)管理信息系統(tǒng)Windows服務(wù)器 重要2 網(wǎng)絡(luò)設(shè)備配置文件廣東電網(wǎng)公司東莞供電局配網(wǎng)生產(chǎn)管理信息系統(tǒng)核心交換機 重要 主機/存儲設(shè)備序號 設(shè)備名稱 操作系統(tǒng)/數(shù)據(jù)庫管理系統(tǒng) 業(yè)務(wù)應(yīng)用軟件 重要程度1 配網(wǎng)生產(chǎn)管理信息系統(tǒng) Windows/Oracle weblogic 重要 網(wǎng)絡(luò)互聯(lián)設(shè)備序號 設(shè)備名稱 用 途 重要程度1 Cisco Catalyst 6509 IDC 交換機 重要2 Cisco Catalyst 6509 廣域網(wǎng)交換 重要 安全設(shè)備序號 設(shè)備名稱 用 途 重要程度1 Nokia (CheckPoint)防火墻提供包過濾、內(nèi)部網(wǎng)重要網(wǎng)段的隔離，訪問控制 ACL 策略重要2 啟明星辰 1000M IDS 內(nèi)網(wǎng)安全風(fēng)險管理與審計系統(tǒng) 重要 安全相關(guān)人員序號 姓名 崗位/角色 聯(lián)系方式1 鄧雄榮 安全專職2 封祐均 域控（安全） 、防火墻管理員3 譚華雄 網(wǎng)絡(luò)（安全）管理員4 高承芳 應(yīng)用（安全）管理員9 / 73序號 姓名 崗位/角色 聯(lián)系方式5 溫兆聰 主機、數(shù)據(jù)庫管理員 安全管理文檔序號 文檔名稱 用途 重要程度1 信息安全管理辦法信息安全工作的總體方針政策文件，保證單位的信息系統(tǒng)的安全，結(jié)合公司信息系統(tǒng)建設(shè)的實際情況，制訂的有關(guān)計算機、網(wǎng)絡(luò)和信息安全的相關(guān)法規(guī)和安全制度重要2 信息化工作管理辦法 信息化工作的具體管理辦法 重要3 信息化規(guī)劃管理辦法 信息化規(guī)劃管理辦法 重要4數(shù)據(jù)處理與存儲中心運行管理規(guī)定機房安全管理制度，重要5 網(wǎng)絡(luò)安全系統(tǒng)運行管理規(guī)定 網(wǎng)絡(luò)運行的管理制度 重要6 第三方安全管理規(guī)范 V 對第三方人員訪問的管理規(guī)范 重要7 介質(zhì)安全管理規(guī)定保密移動存儲介質(zhì)的管理，確保檔案信息的安全重要8 數(shù)據(jù)加密保護(hù)管理規(guī)定 對于數(shù)據(jù)加密保護(hù)等的詳細(xì)規(guī)定 重要9無線網(wǎng)絡(luò)信息安全防護(hù)技術(shù)參考規(guī)范對無線網(wǎng)絡(luò)的使用的詳細(xì)規(guī)定重要10 信息安全管理體系手冊對信息安全工作各個方面實際情況，制定的關(guān)于各個方面的管理規(guī)定，包括系統(tǒng)、網(wǎng)絡(luò)、設(shè)備、介質(zhì)、人員等等重要11信息安全漏洞掃描及加固參考規(guī)范對系統(tǒng)漏洞的管理及發(fā)現(xiàn)漏洞后的加固參考規(guī)范重要10 / 7312 運維管理設(shè)備部署參考規(guī)范 對設(shè)備部署的規(guī)定 重要13 運維管理設(shè)備管理策略要求 對設(shè)備安全管理的策略 重要14 信息資產(chǎn)管理制度 規(guī)范資產(chǎn)的管理 重要15 IDC 機房安全管理制度 機房管理 重要16 IDC 網(wǎng)絡(luò)系統(tǒng)應(yīng)急預(yù)案 IDC 網(wǎng)絡(luò)系統(tǒng)應(yīng)急預(yù)案 重要17 終端安全系統(tǒng)應(yīng)急預(yù)案 終端安全系統(tǒng)應(yīng)急預(yù)案 重要18 防病毒系統(tǒng)應(yīng)急預(yù)案 防病毒系統(tǒng)應(yīng)急預(yù)案 重要 安全環(huán)境序號 威脅分(子)類 描述 威脅賦值1設(shè)備硬件故障、傳輸設(shè)備故障、 存儲媒體故障、系統(tǒng)軟件故障、 應(yīng)用軟件故障、 數(shù)據(jù)庫軟件故障、 開發(fā)環(huán)境故障對業(yè)務(wù)實施或系統(tǒng)運行產(chǎn)生影響的設(shè)備硬件故障 、通訊鏈路中斷、系統(tǒng)本身或軟件缺陷造等問題高2斷電、 靜電、 灰塵、 潮濕 、 溫度 、 鼠蟻蟲害、 電磁干擾、洪災(zāi)、火 災(zāi)、地震等對信息系統(tǒng)正常運行造成影響的物理環(huán)境問題和 自 然災(zāi)害中3維護(hù)錯誤、操作失誤 等 應(yīng)該執(zhí)行而沒有執(zhí)行相應(yīng)的操作，或無意地執(zhí)行了錯 誤的操作中4管理制度和策 略不完善、管理規(guī) 程缺失、職責(zé)不明確、監(jiān)督控管 機制不健全等安全管理無法落實 或不到位，從而破壞信息系統(tǒng)正常有序運行中5病毒、 特洛伊木馬、 蠕蟲、 陷門 、 間諜軟件、竊聽軟件 等故意在計算機系統(tǒng)上執(zhí)行惡意任務(wù)的程序代碼高11 / 736非授權(quán)訪問網(wǎng)絡(luò)資源、 非授權(quán)訪 問系統(tǒng)資源、濫用權(quán)限非正常修改系統(tǒng)配置或數(shù)據(jù)、濫用權(quán)限泄 露秘密信息 等通過采用一些措施，超越自己的權(quán)限訪問了本來無權(quán)訪問的資源，或者濫用自己的職權(quán)，做出破壞信息系統(tǒng)的行為中7網(wǎng)絡(luò)探測和信息采集、 漏洞探測、 嗅探（賬戶、 口令、 權(quán)限等 ） 、 用 戶身份偽造和欺 騙、用戶或業(yè)務(wù) 數(shù)據(jù)的竊取和破壞、系統(tǒng)運行的 控制和破壞等利用工具和技術(shù) 通過網(wǎng)絡(luò)對信息系統(tǒng)進(jìn)行攻擊和入侵高8物理接觸、物理破壞、盜竊 等 通過物理的接觸造成對軟件、硬件、數(shù)據(jù)的破壞低9 內(nèi)部信息泄露、外部信息泄露 等 信息泄露給不應(yīng)了解的他人 低10篡改網(wǎng)絡(luò)配置信息、篡改系統(tǒng)配 置信息、篡改安全配置信息、篡 改用戶身份信息或業(yè)務(wù)數(shù)據(jù)信息 等非法修改信息，破壞信息的完整性使系統(tǒng)的安全性降 低或信息不可用中11 原發(fā)抵賴、接收抵賴、第三方抵賴等 不承認(rèn)收到的信息 和所作的操作和交易低 前次測評情況無。? 檢查現(xiàn)場測評時，檢查工作主要包括：? 配置檢查：通過對信息系統(tǒng)各平臺的安全配置情況進(jìn)行人工審計，以收集測評證17 / 73據(jù)。(1) 機房和辦公場地的環(huán)境條件√ 防震 √ 防風(fēng) √ 防雨 符合a) 機房出入口應(yīng)安排專人值守，控制、鑒別和記錄進(jìn)入的人員；(1) 安全管理制度是否有關(guān)于機房出入方面的規(guī)定√ 是 □ 否(2) 是否專人值守√ 是 □ 否(3) 機房是否不存在專人值守之外的其他出入口√ 存在 □ 不存在符合2 物理訪問控制b) 需進(jìn)入機房的來訪人員應(yīng)經(jīng)過申請和審批流程，并限制和監(jiān)控其活動范圍。(1) 電磁防護(hù)情況√電源線和通信線纜隔離符合 結(jié)果匯總測評指標(biāo)序號測評對象物理位置的選擇物理訪問控制防盜竊和防破壞防雷擊 防火防水和防潮防靜電溫濕度控制電力供應(yīng)電磁防護(hù)符合 符合 符合 符合 符合 符合 符合 符合 符合 符合1物理安全 0/1 0/2 0/5 0/2 0/1 0/3 0/1 0/1 0/2 0/1 問題分析針對物理安全測評結(jié)果中存在的部分符合項或不符合項加以匯總和分析，問題分析如下：無相關(guān)問題 網(wǎng)絡(luò)安全 結(jié)果記錄測評指標(biāo)指標(biāo)名稱測評項現(xiàn)場測評記錄（√） 要求項符合情況結(jié)構(gòu)安全a) 應(yīng)保證關(guān)鍵網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力具備冗余空間，滿足業(yè)務(wù)高峰期需要；(1) 業(yè)務(wù)高峰流量情況√滿足需求 □不滿足需求(2) 網(wǎng)絡(luò)設(shè)計/驗收文檔有關(guān)鍵網(wǎng)絡(luò)設(shè)備業(yè)務(wù)處理能力滿足業(yè)務(wù)高峰期需符合22 / 73要的設(shè)