..TITLE***醫(yī)院信息安全建設方案■文檔編號■密級■版本編號V1.0■日期?DATE\@"yyyy"2018..目錄TOC\h\z\t"附錄1〔綠盟科技,1,附錄2〔綠盟科技,2,附錄3〔綠盟科技,3,附錄4〔綠盟科技,4,標題1〔綠盟科技,1,標題2〔綠盟科技,2,標題3〔綠盟科技,3"一.概述21.1項目背景21.2建設目標31.3建設內容31.4建設必要性4二.安全建設思路52.1等級保護建設流程52.2參考標準6三.安全現狀分析73.1網絡架構分析73.2系統定級情況7四.安全需求分析84.1等級保護技術要求分析8物理層安全需求8網絡層安全需求9系統層安全需求10應用層安全需求10數據層安全需求114.2等級保護管理要求分析11安全管理制度11安全管理機構12人員安全管理12系統建設管理13系統運維管理13五.總體設計思路145.1設計目標145.2設計原則15合規(guī)性原則15先進性原則15可靠性原則15可擴展性原則15開放兼容性原則16最小授權原則16經濟性原則16六.整改建議166.1物理安全166.2網絡安全176.3主機安全19業(yè)務系統主機19數據庫主機216.4應用安全226.4.1HIS系統〔三級226.4.2LIS系統〔三級246.4.3PACS系統〔三級266.4.4EMR系統〔三級27集中平臺〔三級29門戶網站系統〔二級316.5數據安全與備份恢復326.6安全管理制度336.7安全管理機構336.8人員安全管理346.9系統建設管理346.10系統運維管理35七.總體設計網絡拓撲387.1設計拓撲圖387.2推薦安全產品目錄39八.技術體系建設方案418.1外網安全建設41抗DDos攻擊：ADS抗DDos系統41邊界訪問控制：下一代防火墻NF43網絡入侵防范：網絡入侵防御系統NIPS46上網行為管理：SAS488.1.5APT攻擊防護：威脅分析系統TAC508.1.6Web應用防護：web應用防火墻548.2內外網隔離建設58解決方案598.3內網安全建設61邊界防御：下一代防火墻NF61入侵防御62防病毒網關638.3.4APT攻擊防護678.4運維管理建設68運維安全審計：堡壘機68流量審計：網絡安全審計-SAS70漏洞掃描：安全評估系統RSAS75基線核查：配置核查系統BVS77威脅態(tài)勢感知80終端安全83數據庫審計及統方監(jiān)管86終端準入89日志審計建設978.5安全服務100安全漏洞掃描服務100安全加固服務105滲透測試服務113應急演練服務117重要時期安全保障服務124安全巡檢服務132網絡架構分析服務135日志分析服務142應急響應服務144惡意代碼排查服務149九.管理體系建設方案1519.1安全制度建設151總體方針、策略152制定和發(fā)布154評審和修訂1549.2安全管理機構155崗位設置155人員配備156授權和審批156溝通和合作156審核和檢查1579.3人員安全管理1579.4系統建設管理1589.5系統運維管理158環(huán)境管理158資產管理158介質管理159設備管理159監(jiān)控管理和安全管理中心160網絡安全管理160系統安全管理160惡意代碼防范管理161密碼管理161變更管理161備份與恢復管理161安全事件處置162應急預案管理162.PAGE.概述項目背景隨著醫(yī)院信息化建設的逐步深入,網上業(yè)務由單一到多元化,各類應用系統數十個,信息系統承受的壓力日益增長,醫(yī)院信息系統已經成為醫(yī)院正常運行不可或缺的支撐環(huán)境和工作平臺,因此按照信息系統等級保護的基本要求,通過建立合理可靠的技術平臺,細致的日常管理與及時的故障處理應急預案,將信息系統等級保護措施落實到實處,確保信息系統不間斷運行,只有在技術和管理互相提供支撐的前提下才能確保系統的穩(wěn)定運行。從醫(yī)院角度依據信息安全等級保護的要求,通過對醫(yī)院核心信息系統的建設。充分發(fā)揮網絡在醫(yī)院信息系統中的應用。從技術安全闡述如何建立合理技術平臺,加強安全防護對策。強調了保障網絡和信息系統安全,讓安全穩(wěn)定的網絡支撐醫(yī)院走上可持續(xù)發(fā)展之路。核心業(yè)務是醫(yī)院信息化建設的基礎,是醫(yī)院信息系統運行的平臺,對醫(yī)院運行效率和管理水平都有重要作用,因此創(chuàng)造良好信息系統安全運營環(huán)境是醫(yī)院信息安全的最終目。醫(yī)療信息安全工作是我國衛(wèi)生事業(yè)發(fā)展的重要組成部分。做好信息安全等級保護工作,對于促進衛(wèi)生信息化健康發(fā)展,保障醫(yī)藥衛(wèi)生體制改革,維護公共利益、社會秩序和國家安全具有重要意義。為貫徹落實國家信息安全等級保護制度,規(guī)范和指導全國衛(wèi)生行業(yè)醫(yī)療機構信息安全等級保護工作,衛(wèi)生部辦公廳印發(fā)了關于三級甲等醫(yī)院信息安全等級保護建設的相關通知,具體如：衛(wèi)生部關于印發(fā)《衛(wèi)生行業(yè)信息安全等級保護工作的指導意見》的通知衛(wèi)生部辦公廳關于全面開展衛(wèi)生行業(yè)信息安全等級保護工作的通知建設和整改要求：1.對三級甲等醫(yī)院已確定安全保護等級的第三級信息系統,應當按照國家信息安全等級保護工作規(guī)范和《醫(yī)療機構信息系統安全等級保護基本要求》、《醫(yī)療機構重要信息系統等級保護三級測評技術要求項》等國家標準,開展安全保護現狀分析,查找安全隱患及與國家信息安全等級保護標準之間的差距,確定安全需求。2.根據信息系統安全保護現狀分析結果,按照《信息安全技術信息系統安全等級保護基本要求》、《醫(yī)療機構信息系統安全等級保護基本要求》、《醫(yī)療機構重要信息系統等級保護三級測評技術要求項》等國家標準,制訂信息系統安全等級保護建設整改方案。三級衛(wèi)生信息系統安全建設整改方案應當經信息安全技術專家委員會論證,完善安全保護設施,建立安全管理制度,落實安全管理措施,形成信息安全技術防護體系和信息安全管理體系,有效保障醫(yī)院信息系統安全。建設目標依據國家相關政策要求,依據***醫(yī)院信息系統的實際需要,基于現代信息系統安全保障理論,采用現代信息安全保護技術,按照一定規(guī)則和體系化的信息安全防護策略進行的整體設計。建設目標覆蓋以下內容完善基礎安全防護整體架構,開展并完成信息系統等保工作,使之基本達到〔符合行業(yè)等級保護基本要求。加強信息安全管理工作,制訂科學合理的信息安全工作方針、政策,進一步完善信息安全管理制度體系,實現管理制度的標準化、規(guī)范化和流程化。建立科學、完備的信息安全運維管理體系,實現信息安全事件的全程全周期管理,切實保障信息系統安全、穩(wěn)定運行。建設內容依據國家相關政策要求,對***醫(yī)院的信息系統進行安全建設,覆蓋信息安全的管理體系、技術體系和運維體系三個方面,建設內容覆蓋以下各個層面物理層面網絡層面主機層面應用層面數據層面管理層面建設必要性通過近幾年的信息化建設,***醫(yī)院已建成基本穩(wěn)定的信息系統軟、硬件平臺,在信息安全方面也進行了基礎性的部分建設,使系統有了一定的防護能力。但由于病毒攻擊、惡意攻擊泛濫,應用軟件漏洞層出不窮,***醫(yī)院的信息安全方面仍面臨較大的挑戰(zhàn)。另一方面,***醫(yī)院安全措施比較薄弱,安全防護意識有待加強,安全制度還有待完善。隨著信息技術的飛速發(fā)展,如今基于信息系統安全防護已不能僅停留在普通網絡安全設備的層面上,需要部署完善的、基于保護操作系統、數據、網絡和應用的安全防護體系。從等級保護安全要求來看,安全建設的必要性主要體現在兩個方面：安全管理現狀與等級保護要求的差距***醫(yī)院自身信息系統建設及運維基礎上,建立了一套滿足并能夠促進網絡運維的安全管理體系,但同等級保護的安全管理要求相比較,現有管理制度不論在涉及方面的健全性,還是具體內容的完善性,都存在差距。主要包括：建立信息安全總體策略、完善各個方面的信息安全管理制度、以及落實各類制度需要的表單。安全技術現狀與等級保護要求的差距整體設計方面的問題,即某些差距項的不滿足是由于該系統在整體的安全策略設計上存在問題。同事缺乏相應產品實現安全控制,未能通過對產品的正確選擇、部署和恰當配置滿足相應要求。另外,由于使用者技術能力、安全意識的原因,或出于對系統運行性能影響的考慮等原因,產品沒有得到正確的配置,從而使其相關安全功能沒有得到發(fā)揮。安全建設思路等級保護建設流程等級保護的設計與實施通過以下步驟進行：系統識別與定級：通過分析系統所屬類型、所屬信息類別、服務范圍以及業(yè)務對系統的依賴程度確定系統的等級。通過此步驟充分了解系統狀況,包括系統業(yè)務流程和功能模塊,以及確定系統的等級,為下一步安全域設計、安全保障體系框架設計、安全要求選擇以及安全措施選擇提供依據。安全域設計：根據第一步的結果,通過分析系統業(yè)務流程、功能模塊,根據安全域劃分原則設計系統安全域架構。通過安全域設計將系統分解為多個層次,為下一步安全保障體系框架設計提供基礎框架。安全保障體系框架設計：根據安全域框架,設計系統各個層次的安全保障體系框架〔包括策略、組織、技術和運作,各層次的安全保障體系框架形成系統整體的安全保障體系框架。確定安全域安全要求：參照國家相關等級保護安全要求,設計等級安全指標庫。通過安全域適用安全等級選擇方法確定系統各區(qū)域等級,明確各安全域所需采用的安全指標。評估現狀：根據各等級的安全要求確定各等級的評估內容,根據國家相關風險評估方法,對系統各層次安全域進行有針對性的等級風險評估。通過等級風險評估,可以明確各層次安全域相應等級的安全差距,為下一步安全技術解決方案設計和安全管理建設提供依據。安全技術解決方案設計：針對安全要求,建立安全技術措施庫。通過等級風險評估結果,設計系統安全技術解決方案。安全管理建設：針對安全要求,建立安全管理措施庫。通過等級風險評估結果,進行安全管理建設。參考標準《計算機信息系統安全保護等級劃分準則》〔GB17859-1999《信息系統安全等級保護基本要求》〔GB/T22239-2008《信息系統安全保護等級定級指南》〔GB/T22240-2008《信息系統等級保護安全設計技術要求》《信息安全等級保護實施指南》〔報批稿《信息系統安全等級保護測評要求》〔送審稿GA/T387－2002計算機信息系統安全等級保護網絡技術要求GA/T388－2002計算機信息系統安全等級保護操作系統技術要求GA/T389－2002計算機信息系統安全等級保護數據庫管理系統技術要求GA/T390－2002計算機信息系統安全等級保護通用技術要求GA/T391－2002計算機信息系統安全等級保護管理要求GB/T18019-1999信息技術－包過濾防火墻安全技術要求GB/T18020-1999信息技術－應用級防火墻安全技術要求ISO27000IATF：《信息保障技術框架》ISO/IEC15408〔CCISO/IEC13335,第一部分：《IT安全的概念和模型》；第二部分：《IT安全的管理和計劃制定》；第三部分：《IT安全管理技術》；第四部分：《安全措施的選擇》；第五部分：《網絡安全管理指南》。安全現狀分析網絡架構分析現有網絡情況如上圖所示,安全防護能力較弱,只通過網絡防火墻對互聯網邊界進行控制,缺少專業(yè)化的安全防護產品,存在重大安全風險。系統定級情況醫(yī)院內HIS、LIS、PACS、EMR以及集成平臺定義為三級,門戶網站等其他系統為二級。解讀國家相關文件和《定級指南》等要求,結合各單位的實際情況,信息系統的五個等級可以做如下初步落實、描述：第一級,各單位及其下屬單位的一般信息系統,其應用范圍局限于本單位內部。系統受到破壞后,會對本單位及其員工的合法權益造成一般性損害,不良影響主要在本單位內部,不損害國家安全、社會秩序和公共利益。第二級,總部及各單位比較重要的信息系統。系統受到破壞后,會對總部、省級單位及其員工、客戶造成嚴重損害,影響企業(yè)形象,帶來一定的法律問題；或者對社會秩序和公共利益造成一般性損害、帶來一定的社會不良影響,但不損害國家安全。第三級,總部及各單位跨省或全國聯網運行的重要信息系統。系統受到破壞后,會對總部、省級單位造成特別嚴重損害,嚴重影響企業(yè)形象,帶來嚴重的法律問題；或者對社會秩序和公共利益造成嚴重損害,造成較大范圍的社會不良影響；或者對國家安全造成了一般性損害。第四級,重要領域、重要部門三級信息系統中的部分重要系統。系統受到破壞后,會對社會秩序和公共利益造成特別嚴重損害,或者對國家安全造成嚴重損害。第五級,重要領域、重要部門中的極端重要系統。系統受到破壞后,會對國家安全造成特別嚴重損害。安全需求分析等級保護技術要求分析物理層安全需求物理安全是信息系統安全運行的基礎和前提,是系統安全建設的重要組成部分。在等級保護中將物理安全劃分為技術要求的第一部分,從物理位置選擇、物理訪問控制、防盜竊防破壞、防雷擊、防火、防水防潮、防靜電、溫濕度控制、電力供應、電磁防護等方面對信息系統的物理環(huán)境進行了規(guī)范。物理層考慮因素包括機房環(huán)境、機柜、電源、服務器、網絡設備和其他設備的物理環(huán)境。該層為上層提供了一個生成、處理、存儲和傳輸數據的物理媒體。物理層主要考慮如下方面的內容：物理位置的選擇物理訪問控制防盜竊和防破壞防雷擊防火防水和防潮防靜電溫濕度控制電力供應電磁防護網絡層安全需求網絡層指利用路由器、交換機和相關網絡設備建成的、可以用于在本地或遠程傳輸數據的網絡環(huán)境,是應用安全運行的基礎設施之一,是保證應用安全運行的關鍵,也是實現內部縱向交互、與其它單位橫向交流的重要保證。在安全模型中,網絡層中進行的各類傳輸活動的安全都應得到關注。現有的大部分攻擊行為,包括病毒、蠕蟲、遠程溢出、口令猜測等攻擊行為,都可以通過網絡實現。網絡層主要考慮如下方面的內容：結構安全與網段劃分網絡訪問控制撥號訪問控制網絡安全審計邊界完整性檢查網絡入侵防范惡意代碼防范網絡設備防護系統層安全需求系統層包括各類服務器、終端和其他辦公設備操作系統層面的安全風險。系統層面臨的安全風險主要來自兩個方面,一方面來自系統本身的脆弱性,另一方面來自對系統的使用、配置和管理。這導致系統存在隨時被黑客入侵或蠕蟲爆發(fā)的可能。系統層主要考慮如下方面的內容：身份鑒別自主訪問控制強制訪問控制安全審計系統保護剩余信息保護入侵防范惡意代碼防范資源控制應用層安全需求應用層是在前面層次的基礎之上,可以提供給最終用戶真正辦公功能的層次,應用層是用戶與前面層次的接口。這個層次包括Web應用、文件處理、文件傳輸、文件存儲和其他辦公應用等,這些功能依靠相應的IE瀏覽器、FTP應用軟件、公文處理系統、數據庫訪問控制系統等實現。應用層主要考慮如下方面的內容：身份鑒別訪問控制安全審計剩余信息保護通信完整性通信保密性抗抵賴軟件容錯資源控制代碼安全數據層安全需求數據層是用戶真正的數據,對于用戶而言,數據才是真正至關重要的。數據安全需求包括數據庫安全需求、數據傳輸安全需求、數據存儲安全需求等構成。數據層主要考慮如下方面的內容：數據完整性數據保密性數據備份和恢復等級保護管理要求分析安全管理制度安全管理制度是企業(yè)或單位安全管理的根本,它需要制定信息安全工作的總體方針和安全策略,說明機構安全工作的總體目標、范圍、原則和安全框架,并對安全管理活動中的各類管理內容建立安全管理制度,嚴格規(guī)定安全管理制度的授權和制定,使之能完全符合企業(yè)或單位的實際情況。安全管理制度主要考慮如下方面的內容：管理制度制定和發(fā)布評審和修訂安全管理機構安全管理機構是信息安全管理職能的執(zhí)行者,該職能部門應該是獨立的,同時設定相關的管理職責,實現信息安全管理工作有效進行的目標。加強各類管理人員之間、組織內部機構之間以及信息安全職能部門內部的合作與溝通,定期召開協調會議,共同協作處理信息安全問題。安全管理機構主要考慮如下方面的內容：崗位設置人員配備授權和審批溝通和合作審核和檢查人員安全管理人員安全管理是管理要求重要的組成部分,指定并授權專門的部門責人員錄用,簽署保密協議,并從內部人員中選拔從事關鍵崗位的人員,并簽署崗位安全協議。定期對各個崗位的人員進行安全技能及安全認知的考核,對關鍵崗位的人員進行全面、嚴格的安全審查和技能考核,并考核結果進行記錄和保存。對各類人員進行安全意識教育、崗位技能培訓和相關安全技術培訓人員安全管理主要考慮如下方面的內容：人員錄用人員離崗人員考核安全意識教育和培訓外部人員訪問管理系統建設管理系統建設管理,是針對信息系統定級、設計、建設等工作的管理要求。明確信息系統的邊界和安全保護,組織相關部門和有關安全技術專家對信息系統定級結果的合理性和正確性進行論證和審定；據系統的安全保護等級選擇基本安全措施,并依據風險分析的結果補充和調整安全措施,指定和授權專門的部門對信息系統的安全建設進行總體規(guī)劃,制定近期和遠期的安全建設工作計劃,對產品采購和自行開發(fā)進行規(guī)范化的管理。系統建設管理主要考慮如下方面的內容：系統定級安全方案設計產品采購和使用自行軟件開發(fā)外包軟件開發(fā)工程實施測試驗收系統交付系統備案等級測評安全服務商選擇系統運維管理系統運維管理是安全管理時間占比最大的一項內容,需要安全管理人員按照管理規(guī)范對對機房供配電、空調、溫濕度控制等環(huán)境設施進行維護管理；建立資產安全管理制度,規(guī)定信息系統資產管理的責任人員或責任部門,并規(guī)范資產管理和使用的行為,建立統一的監(jiān)控和安全管理中心。系統運維管理主要考慮如下方面的內容：環(huán)境管理資產管理介質管理設備管理監(jiān)控管理和安全管理中心網絡安全管理系統安全管理惡意代碼防范管理密碼管理變更管理備份與恢復管理安全事件處置應急預案管理總體設計思路設計目標落實GB17859-1999的安全保護要求,在安全保護環(huán)境的基礎上,通過實現基于安全策略模型和標記的強制訪問控制以及增強系統的審計機制,使得系統具有在統一安全策略管控下,保護敏感資源的能力。通過滿足物理安全、網絡安全、主機安全、應用安全、數據安全五個方面基本技術要求進行技術體系建設；通過滿足安全管理制度、安全管理機構、人員安全管理、系統建設管理、系統運維管理五個方面基本管理要求進行管理體系建設,讓信息系統的等級保護建設方案最終既可以滿足等級保護的相關要求,又能夠全方面提供業(yè)務服務,形成立體、縱深的安全保障防御體系,保證信息系統整體的安全保護能力設計原則合規(guī)性原則1994年國務院發(fā)布《中華人民XX國計算機信息系統安全保護條例》〔國務院147號令,規(guī)定"計算機信息系統實行安全等級保護"的制度框架。1999年國家發(fā)布實施的《計算機信息系統安全保護等級劃分準則》GB17859-1999,這是第一部強制性國家信息安全標準,也是一個技術法規(guī)。等級保護不僅是對信息安全產品或系統的檢測、評估以及定級,更重要的是,等級保護是圍繞信息安全保障全過程的一項基礎性的管理制度,是一項基礎性和制度性的工作。通過將等級化方法和政府行業(yè)信息安全體系建設有效結合,設計一套符合需求的信息安全保障體系,是適合我國國情、系統化地解決信息安全問題的一個非常有效的方法。先進性原則安全設備必須采用專用的硬件平臺和安全專業(yè)的軟件平臺保證設備本身的安全,符合業(yè)界技術的發(fā)展趨勢,既體現先進性又比較成熟,并且是各個領域公認的領先產品?？煽啃栽瓌t網絡是信息化發(fā)展的基礎,其穩(wěn)定性至關重要；網絡安全設備由于部署在關鍵節(jié)點,成為網絡穩(wěn)定性的重要因素。整個網絡設計必須考慮到高可靠性因素?？蓴U展性原則信息網絡處在不斷發(fā)展完善的階段,其網絡也會不斷的擴充變化,要求在保證網絡安全的基礎上整個網絡具有靈活的可擴展性,特別是對安全域域的新增以及原有安全域域擴充等要求具有良好的支持。開放兼容性原則網絡安全產品設計規(guī)范、技術指標符合國際和工業(yè)標準,支持多廠家產品,從而有效的保護投資。最小授權原則網絡安全策略管理必須遵從最小授權原則,即不同安全域域內的主機只能訪問屬于相應的安全設備必須采用專用的硬件平臺和安全專業(yè)的軟件平臺保證設備本身的安全,符合業(yè)界技術的發(fā)展趨勢,既體現先進性又比較成熟,并且是各個領域公認的領先產品。經濟性原則項目設計和建設過程中,將充分利用現有資源,在可用性的前提條件下充分保證系統建設的經濟性,提高投資效率,避免重復建設。整改建議物理安全類別問題描述解決措施物理安全物理訪問控制1.沒有登記進出機房的人員,機房重要設備沒有劃區(qū)域隔離。建議安排專人值守機房出入口。2.暫無相關申請和審批流程。需要經過申請和審批流程,且有專人陪同。防盜竊與防破壞大部分設備都已固定在機柜中,但部分設備放至在機柜上方,仍有大部分通信線纜未整理和固定；部分設備和線纜有標簽注意每個設備和線路的用途,部分設備和線纜無此設置。建議所有設備和通信線纜均固定在機柜中,且所有設備和線纜設置標簽,說明用途和去向。未部署紅外監(jiān)控等光、電等技術的防盜報警系統建議部署紅外報警系統防水和防潮精密空調出水位置布置漏水檢測點,對漏水情況自動報警,但檢測范圍未覆蓋所有易漏水的位置。建議部署完整的漏水檢測電磁防護對關鍵設備和磁介質實施電磁屏蔽。建議對關鍵設備和磁介質實施電磁屏蔽網絡安全類別問題描述解決措施網絡安全結構安全無按照對業(yè)務服務的重要次序來指定帶寬分配優(yōu)先級別,保證在網絡發(fā)生擁堵的時候優(yōu)先保護重要主機。采用高性能下一代防火墻,按照業(yè)務的業(yè)務服務的重要次序來指定帶寬分配優(yōu)先級別,保證在網絡發(fā)生擁堵的時候優(yōu)先保護重要主機和業(yè)務。邊界完整性檢查未能夠對非授權設備私自聯到內部網絡的行為進行檢查,準確定出位置,并對其進行有效阻斷；建議部署網絡準入系統,對非授權設備私自聯到內部網絡的行為進行檢查。未能夠對內部網絡用戶私自聯到外部網絡的行為進行檢查,準確定出位置,并對其進行有效阻斷。建議部署上網行為管理系統,對內部用戶的上網行為進行管理。入侵防范無相關入侵檢測設備實現在網絡邊界處監(jiān)視以下攻擊行為：端口掃描、強力攻擊、木馬后門攻擊、拒絕服務攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊和網絡蠕蟲攻擊等；當檢測到攻擊行為時,記錄攻擊源IP、攻擊類型、攻擊目的、攻擊時間,在發(fā)生嚴重入侵事件時無法提供報警。建議部署IPS實現入侵防范功能,在網絡邊界監(jiān)視并防護網絡攻擊行為。惡意代碼防范無相關惡意代碼檢測設備在網絡邊界處對惡意代碼進行檢測和清除,并升級和檢測系統的更新。建議部署防毒網關實現惡意代碼防范功能,在網絡邊界監(jiān)視惡意代碼攻擊行為。訪問控制未能根據會話狀態(tài)信息為數據流提供明確的允許/拒絕訪問的能力,控制粒度為端口級建議采用下一代防火墻,根據IP和端口設置安全策略,只有符合策略的數據包才能通過。未根據進出網絡的信息內容進行過濾。建議采用下一代防火墻,對進出網絡的信息內容進行過濾,實現對應用層HTTP、FTP、TELNET、SMTP、POP3等協議命令級的控制。未限制網絡最大流量數及網絡連接數；建議采用下一代防火墻,限制網絡最大流量數及網絡連接數。重要網段未采取技術手段防止地址欺騙；建議啟用下一代防火墻的ARP防欺騙功能網絡設備防護未對網絡設備的管理員登錄地址進行限制；建議通過堡壘機和ACL策略設置限制網絡設備的登錄地址,如信息技術部的網段或若干個管理IP。主要網絡設備目前只使用一種身份鑒別方式。建議通過堡壘機使用U-KEY或者域認證的方式實現雙因子認證。密碼長8位,由小寫字母和數字組成。不定期更改一次口令。建議通過堡壘機設定密碼復雜度規(guī)則,并通過改密計劃,自動定期進行改密目前只有一個超級管理員。建議通過堡壘機設置審計員、操作員等角色,實現權限分離。未能夠根據記錄數據進行分析,并生成審計報表；建議通過日志分析系統根據記錄數據進行分析,并生成審計報表通過telnet和http方式訪問設備,未采取必要措施防止鑒別信息在網絡傳輸過程中被竊聽。建議通過堡壘機,使用ssh協議登錄設備。主機安全業(yè)務系統主機類別問題描述解決措施身份鑒別密碼未符合復雜性要求建議通過堡壘機設置密碼復雜度要求,并通過改密計劃定期自動改密：密碼長度最小值：8個字符；密碼最短使用期限：2天；密碼最長使用期限：90天；強制密碼歷史：24未啟用登錄失敗處理功能,可采取結束會話、限制非法登錄次數和自動退出等措施；建議通過堡壘機設置登錄失敗處理功能建議帳戶鎖定策略如下：帳戶鎖定時間：15分鐘；帳戶鎖定閥值：5次無效登錄；重圍帳戶鎖定計數器：15分鐘之后。目前只使用用戶名和密碼登錄建議通過堡壘機使用U-KEY或者域認證的方式實現雙因子認證。訪問控制已啟用磁盤默認共享功能建議關閉磁盤默認共享功能操作系統用戶可直接對數據庫系統進行操作,權限未分離。建議禁用Windows身份登錄方式。已禁用Guest用戶,已設置管理員密碼,但未重命名Administrator用戶。建議重命名Administrator用戶。安全審計所有審核策略均設置為無審核。建議采用日志審計系統對系統中的登陸日志、操作日志進行審計。剩余信息保護交互式登錄：不顯示最后的用戶名：已禁用。用可還原的加密來儲存密碼：已禁用。建議設置：交互式登錄：不顯示最后的用戶名：已啟用關機：清除虛擬內存頁面文件：已禁用。建議設置關機：清除虛擬內存頁面文件：已啟用。入侵防范未啟用Windows自帶的防火墻建議啟用windows自帶的防火墻未能夠對重要程序的完整性進行檢測,并在檢測到完整性受到破壞后具有恢復的措施；建議部署防篡改軟件對重要程序的完整性檢測操作系統存在不需要的服務組件和應用程序,系統補丁未及時得到更新。建議通過漏洞掃描系統,定期對系統進行掃描,并及時更新系統補丁,建議通過配置檢查系統,按照等級保護要求進行基線檢查,及時關閉不需要的服務和應用程序惡意代碼防范未安裝殺毒軟件建議安裝殺毒軟件,通過統一管理平臺進行統一升級和維護,保證病毒特征庫得到及時的更新資源控制未限制管理網絡地址范圍。建議設立設備管理區(qū),僅限制幾臺管理終端可以登錄管理服務器建議通過堡壘機和ACL策略設置限制設備的登錄地址,如信息技術部的網段或若干個管理IP。未啟用帶密碼保護的屏幕保護程序。建議啟用帶密碼保護的屏幕保護程序。未能夠對系統的服務水平降低到預先規(guī)定的最小值進行檢測和報警。建議采取技術措施監(jiān)控CPU,內存,硬盤等資源的使用率,并設置報警閾值。數據庫主機類別問題描述解決措施身份鑒別sa用戶的密碼長最低8位,由數字、小寫字母組成,不定期修改。存在7個口令為空的用戶建議禁用口令為空的用戶。未啟用登錄失敗處理功能。建議通過堡壘機設置登錄失敗處理功能,如連續(xù)登錄失敗3次則斷開連接目前僅使用用戶名和密碼進行身份鑒別建議通過堡壘機使用U-KEY或者域認證的方式實現雙因子認證。訪問控制操作系統用戶可直接對數據庫系統進行操作,權限未分離。建議禁用Windows身份登錄方式。安全審計已啟用自帶的審計功能,未啟用C2審核跟蹤功能。建議采用數據庫審計系統對數據庫的所有操作進行審計和跟蹤使用內置的審計策略,登錄審核設置為：僅限失敗的登錄建議采用日志審計系統對系統中的登陸日志、操作日志進行審計。資源控制未限制管理網絡地址范圍。建議設立設備管理區(qū),僅限制幾臺管理終端可以登錄管理服務器建議通過堡壘機和ACL策略設置限制設備的登錄地址,如信息技術部的網段或若干個管理IP。未啟用帶密碼保護的屏幕保護程序。建議啟用帶密碼保護的屏幕保護程序。應用安全HIS系統〔三級類別問題描述解決措施身份鑒別使用用戶名/密碼一種身份鑒別方式。建議應用系統采用兩種或兩種以上身份鑒別技術的組合來進行身份鑒別〔如采用用戶名/口令、挑戰(zhàn)應答、動態(tài)口令、物理設備如〔如U-KEY、生物識別技術中的任意兩種組合未提供密碼復雜度校驗功能。建議后臺管理程序提供密碼復雜度校驗功能已啟用身份鑒別、身份標識唯一性檢查、已提供登錄失敗處理功能,未提供用戶口令復雜度檢查功能,未提供根據需要配置相關安全參數功能。建議提供用戶口令復雜度檢查功能,建議后臺管理程序提供根據需要配置相關安全參數功能。訪問控制未對重要信息資源設置敏感標記的功能；建議采用數據審計系統,應用系統對重要信息資源設置敏感標記,如對重要信息資源設置機密和普通的等級,對高危操作或者高頻率敏感數據操作進行告警依據安全策略嚴格控制用戶對有敏感標記重要信息資源的操作建議采用數據審計系統,應用系統對重要信息資源設置敏感標記,如對重要信息資源設置機密和普通的等級,對高危操作或者高頻率敏感數據操作進行告警建議應用系統的強制訪問控制與用戶身份鑒別、標識等安全功能密切配合,并且控制粒度達到主體為用戶級,客體為文件和數據庫表級。安全審計應用層面未提供安全審計建議采用網絡審計系統實現應用層面的審計效果未保證無法單獨中斷審計進程,無法刪除、修改或覆蓋審計記錄建議采用日志審計系統對日志進行獨立存儲的避免對審計記錄的修改、刪除或覆蓋。應用層面未提供安全審計建議采用網絡審計系統,進行全面審計,記錄包括事件的日期、時間、類型、主體標識、客體標識和結果等內容應用層面未提供安全審計建議采用網絡審計系統,定期生成審計報表并包含必要審計要素。數據完整性未采用密碼技術保證通信過程中數據的完整性。建議采用密碼技術保證通信過程中數據的完整性：如系統根據校驗碼判斷對方數據包的有效性,用密碼計算通信數據報文的報過文驗證碼；可通過Hash函數〔如MD5、SHA和MAC對完整性進行校驗,但不能使用CRC。未啟用帶密碼保護的屏幕保護程序。建議啟用帶密碼保護的屏幕保護程序?？沟仲囄词褂脭底肿C書建議部署數字證書。資源控制未限制最大并發(fā)會話連接數。建議限制訪問系統的最大并發(fā)會話連接數未對單個帳戶的多重并發(fā)會話進行限制。建議限制單個賬戶的多重并發(fā),限制一個賬戶只能在一臺終端上登錄未限制一個時間段內的最大并發(fā)會話連接數。建議限制訪問系統的最大并發(fā)會話連接數。未能夠對系統服務水平降低到預先規(guī)定的最小值進行檢測和報警；建議設置專門的監(jiān)控軟件或硬件,監(jiān)控系統的服務能力,當服務能力低于閥值時報警。LIS系統〔三級類別問題描述解決措施身份鑒別使用用戶名/密碼一種身份鑒別方式。建議應用系統采用兩種或兩種以上身份鑒別技術的組合來進行身份鑒別〔如采用用戶名/口令、挑戰(zhàn)應答、動態(tài)口令、物理設備如〔如U-KEY、生物識別技術中的任意兩種組合未提供密碼復雜度校驗功能。建議提供鑒別信息復雜度檢查功能,限制密碼長度在8位以上,包含大小寫字母、數字和字符,及時修改管理員密碼,增強管理員密碼復雜度。未提供登錄失敗處理功能建議提供登錄失敗處理功能,登錄失敗3~5次,鎖定用戶一段時間已啟用身份鑒別、身份標識唯一性檢查、已提供登錄失敗處理功能,未提供用戶口令復雜度檢查功能,未提供根據需要配置相關安全參數功能。建議提供用戶口令復雜度檢查功能,建議后臺管理程序提供根據需要配置相關安全參數功能。訪問控制未對重要信息資源設置敏感標記的功能；建議采用數據審計系統,應用系統對重要信息資源設置敏感標記,如對重要信息資源設置機密和普通的等級,對高危操作或者高頻率敏感數據操作進行告警依據安全策略嚴格控制用戶對有敏感標記重要信息資源的操作建議采用數據審計系統,應用系統對重要信息資源設置敏感標記,如對重要信息資源設置機密和普通的等級,對高危操作或者高頻率敏感數據操作進行告警建議應用系統的強制訪問控制與用戶身份鑒別、標識等安全功能密切配合,并且控制粒度達到主體為用戶級,客體為文件和數據庫表級。安全審計應用層面未提供安全審計建議采用網絡審計系統實現應用層面的審計效果未保證無法單獨中斷審計進程,無法刪除、修改或覆蓋審計記錄建議采用日志審計系統對日志進行獨立存儲的避免對審計記錄的修改、刪除或覆蓋。應用層面未提供安全審計建議采用網絡審計系統,進行全面審計,記錄包括事件的日期、時間、類型、主體標識、客體標識和結果等內容應用層面未提供安全審計建議采用網絡審計系統,定期生成審計報表并包含必要審計要素。軟件容錯未有自動保護功能,當故障發(fā)生時自動保護當前所有狀態(tài),保證系統能夠進行恢復。建議應用服務器架構負載均衡實現自動保護功能。資源控制未限制最大并發(fā)會話連接數。建議限制訪問系統的最大并發(fā)會話連接數未對單個帳戶的多重并發(fā)會話進行限制。建議限制單個賬戶的多重并發(fā),限制一個賬戶只能在一臺終端上登錄未限制一個時間段內的最大并發(fā)會話連接數。建議限制訪問系統的最大并發(fā)會話連接數。未能對一個訪問帳戶或一個請求進程占用的資源分配最大限額和最小限額；建議通過下一代防火墻,通過流量控制的方式限制帳戶的資源配額未能夠對系統服務水平降低到預先規(guī)定的最小值進行檢測和報警；建議設置專門的監(jiān)控軟件或硬件,監(jiān)控系統的服務能力,當服務能力低于閥值時報警。未提供服務優(yōu)先級設定功能,并在安裝后根據安全策略設定訪問帳戶或請求進程的優(yōu)先級,根據優(yōu)先級分配系統資源建議通過下一代防火墻,通過流量通道優(yōu)先級設定,當資源緊張時優(yōu)先滿足權限高的用戶的訪問請求。PACS系統〔三級類別問題描述解決措施身份鑒別未提供密碼復雜度校驗功能。建議提供鑒別信息復雜度檢查功能,限制密碼長度在8位以上,包含大小寫字母、數字和字符,及時修改管理員密碼,增強管理員密碼復雜度。已啟用身份鑒別、身份標識唯一性檢查、已提供登錄失敗處理功能,未提供用戶口令復雜度檢查功能,未提供根據需要配置相關安全參數功能。建議提供用戶口令復雜度檢查功能,建議后臺管理程序提供根據需要配置相關安全參數功能。訪問控制未對重要信息資源設置敏感標記的功能；建議采用數據審計系統,應用系統對重要信息資源設置敏感標記,如對重要信息資源設置機密和普通的等級,對高危操作或者高頻率敏感數據操作進行告警依據安全策略嚴格控制用戶對有敏感標記重要信息資源的操作建議采用數據審計系統,應用系統對重要信息資源設置敏感標記,如對重要信息資源設置機密和普通的等級,對高危操作或者高頻率敏感數據操作進行告警建議應用系統的強制訪問控制與用戶身份鑒別、標識等安全功能密切配合,并且控制粒度達到主體為用戶級,客體為文件和數據庫表級。安全審計已提供日志查詢功能,未提供對日志進行統計、分析及生成報表的功能。建議采用日志審計系統,提供對日志進行統計、分析及生成報表的功能。軟件容錯未有自動保護功能,當故障發(fā)生時自動保護當前所有狀態(tài),保證系統能夠進行恢復。建議應用服務器架構負載均衡實現自動保護功能。資源控制未提供結束空閑會話功能建議應用系統提供登錄終端的操作超時鎖定,空閑為會話超時時間設置為30分鐘。未能對一個訪問帳戶或一個請求進程占用的資源分配最大限額和最小限額；建議通過下一代防火墻,通過流量控制的方式限制帳戶的資源配額EMR系統〔三級類別問題描述解決措施身份鑒別使用用戶名/密碼一種身份鑒別方式。建議應用系統采用兩種或兩種以上身份鑒別技術的組合來進行身份鑒別〔如采用用戶名/口令、挑戰(zhàn)應答、動態(tài)口令、物理設備如〔如U-KEY、生物識別技術中的任意兩種組合未提供密碼復雜度校驗功能。建議提供鑒別信息復雜度檢查功能,限制密碼長度在8位以上,包含大小寫字母、數字和字符,及時修改管理員密碼,增強管理員密碼復雜度。未提供登錄失敗處理功能建議提供登錄失敗處理功能,登錄失敗3~5次,鎖定用戶一段時間已啟用身份鑒別、身份標識唯一性檢查、已提供登錄失敗處理功能,未提供用戶口令復雜度檢查功能,未提供根據需要配置相關安全參數功能。建議提供用戶口令復雜度檢查功能,建議后臺管理程序提供根據需要配置相關安全參數功能。訪問控制未對重要信息資源設置敏感標記的功能；建議采用數據審計系統,應用系統對重要信息資源設置敏感標記,如對重要信息資源設置機密和普通的等級,對高危操作或者高頻率敏感數據操作進行告警依據安全策略嚴格控制用戶對有敏感標記重要信息資源的操作建議采用數據審計系統,應用系統對重要信息資源設置敏感標記,如對重要信息資源設置機密和普通的等級,對高危操作或者高頻率敏感數據操作進行告警建議應用系統的強制訪問控制與用戶身份鑒別、標識等安全功能密切配合,并且控制粒度達到主體為用戶級,客體為文件和數據庫表級。安全審計應用層面未提供安全審計建議采用網絡審計系統實現應用層面的審計效果未保證無法單獨中斷審計進程,無法刪除、修改或覆蓋審計記錄建議采用日志審計系統對日志進行獨立存儲的避免對審計記錄的修改、刪除或覆蓋。應用層面未提供安全審計建議采用網絡審計系統,進行全面審計,記錄包括事件的日期、時間、類型、主體標識、客體標識和結果等內容應用層面未提供安全審計建議采用網絡審計系統,定期生成審計報表并包含必要審計要素?？沟仲囄词褂脭底肿C書建議部署數字證書。軟件容錯未有自動保護功能,當故障發(fā)生時自動保護當前所有狀態(tài),保證系統能夠進行恢復。建議應用服務器架構負載均衡實現自動保護功能。資源控制未提供結束空閑會話功能建議應用系統提供登錄終端的操作超時鎖定,空閑為會話超時時間設置為30分鐘。未能對一個訪問帳戶或一個請求進程占用的資源分配最大限額和最小限額；建議通過下一代防火墻,通過流量控制的方式限制帳戶的資源配額未提供服務優(yōu)先級設定功能,并在安裝后根據安全策略設定訪問帳戶或請求進程的優(yōu)先級,根據優(yōu)先級分配系統資源建議通過下一代防火墻,通過流量通道優(yōu)先級設定,當資源緊張時優(yōu)先滿足權限高的用戶的訪問請求。集中平臺〔三級類別問題描述解決措施身份鑒別使用用戶名/密碼一種身份鑒別方式。建議應用系統采用兩種或兩種以上身份鑒別技術的組合來進行身份鑒別〔如采用用戶名/口令、挑戰(zhàn)應答、動態(tài)口令、物理設備如〔如U-KEY、生物識別技術中的任意兩種組合未提供登錄失敗處理功能建議提供登錄失敗處理功能,登錄失敗3~5次,鎖定用戶一段時間已啟用身份鑒別、身份標識唯一性檢查、已提供登錄失敗處理功能,未提供用戶口令復雜度檢查功能,未提供根據需要配置相關安全參數功能。建議提供用戶口令復雜度檢查功能,建議后臺管理程序提供根據需要配置相關安全參數功能。訪問控制未對重要信息資源設置敏感標記的功能；建議采用數據審計系統,應用系統對重要信息資源設置敏感標記,如對重要信息資源設置機密和普通的等級,對高危操作或者高頻率敏感數據操作進行告警依據安全策略嚴格控制用戶對有敏感標記重要信息資源的操作建議采用數據審計系統,應用系統對重要信息資源設置敏感標記,如對重要信息資源設置機密和普通的等級,對高危操作或者高頻率敏感數據操作進行告警建議應用系統的強制訪問控制與用戶身份鑒別、標識等安全功能密切配合,并且控制粒度達到主體為用戶級,客體為文件和數據庫表級。安全審計應用層面未提供安全審計建議采用網絡審計系統實現應用層面的審計效果未保證無法單獨中斷審計進程,無法刪除、修改或覆蓋審計記錄建議采用日志審計系統對日志進行獨立存儲的避免對審計記錄的修改、刪除或覆蓋。應用層面未提供安全審計建議采用網絡審計系統,進行全面審計,記錄包括事件的日期、時間、類型、主體標識、客體標識和結果等內容應用層面未提供安全審計建議采用網絡審計系統,定期生成審計報表并包含必要審計要素。通信完整性未采用密碼技術保證通信過程中數據的完整性建議采用密碼技術保證通信過程中數據的完整性：如系統根據校驗碼判斷對方數據包的有效性,用密碼計算通信數據報文的報過文驗證碼；可通過Hash函數〔如MD5、SHA和MAC對完整性進行校驗,但不能使用CRC。通信保密性在通信雙方建立連接之前,應用系統未利用密碼技術進行會話初始化驗證；建議在通信雙方建立會話之前,利用密碼技術進行如會話初始化驗證〔如SSL建立加密通道前是否利用密碼技術進行會話初始驗證；未對通信過程中的整個報文或會話過程進行加密。在通信過程中對敏感信息字段進行加密等抗抵賴未使用數字證書建議部署數字證書軟件容錯未有自動保護功能,當故障發(fā)生時自動保護當前所有狀態(tài),保證系統能夠進行恢復。建議應用服務器架構負載均衡實現自動保護功能。未保證通過人機接口輸入或通過通信接口輸入的數據格式或長度符合系統設定要求；建議應用系統對人機接口和通信接口輸入的數據進行校驗。資源控制未限制最大并發(fā)會話連接數。建議限制訪問系統的最大并發(fā)會話連接數未限制一個時間段內的最大并發(fā)會話連接數。建議限制一段時間內的最大并發(fā)會話數。未提供結束空閑會話功能建議應用系統提供登錄終端的操作超時鎖定,空閑為會話超時時間設置為30分鐘。未對單個帳戶的多重并發(fā)會話進行限制。建議限制單個賬戶的多重并發(fā),限制一個賬戶只能在一臺終端上登錄未能對一個訪問帳戶或一個請求進程占用的資源分配最大限額和最小限額；建議通過下一代防火墻,通過流量控制的方式限制帳戶的資源配額未提供服務優(yōu)先級設定功能,并在安裝后根據安全策略設定訪問帳戶或請求進程的優(yōu)先級,根據優(yōu)先級分配系統資源建議通過下一代防火墻,通過流量通道優(yōu)先級設定,當資源緊張時優(yōu)先滿足權限高的用戶的訪問請求。未能夠對系統服務水平降低到預先規(guī)定的最小值進行檢測和報警；建議設置專門的監(jiān)控軟件或硬件,監(jiān)控系統的服務能力,當服務能力低于閥值時報警。門戶網站系統〔二級類別問題描述解決措施身份鑒別未提供密碼復雜度校驗功能。建議提供鑒別信息復雜度檢查功能,限制密碼長度在8位以上,包含大小寫字母、數字和字符,及時修改管理員密碼,增強管理員密碼復雜度。未提供登錄失敗處理功能建議提供登錄失敗處理功能,登錄失敗3~5次,鎖定用戶一段時間已啟用身份鑒別、身份標識唯一性檢查、已提供登錄失敗處理功能,未提供用戶口令復雜度檢查功能,未提供根據需要配置相關安全參數功能。建議提供用戶口令復雜度檢查功能,建議后臺管理程序提供根據需要配置相關安全參數功能。通信完整性未采用密碼技術保證通信過程中數據的完整性建議通過web應用防護系統,通過Hash函數〔如MD5對完整性進行校驗通信保密性在通信雙方建立連接之前,應用系統未利用密碼技術進行會話初始化驗證；建議通過web應用防護系統在通信雙方建立會話之前,進行會話初始驗證未對通信過程中的整個報文或會話過程進行加密。建議通過web應用防護系統在通信過程中對敏感信息字段進行加密等軟件容錯未有自動保護功能,當故障發(fā)生時自動保護當前所有狀態(tài),保證系統能夠進行恢復。建議應用服務器架構負載均衡實現自動保護功能。未通過人機接口輸入或通過通信接口輸入的數據格式或長度符合系統設定要求；建議應用系統對人機接口和通信接口輸入的數據進行校驗。資源控制未限制最大并發(fā)會話連接數。建議限制訪問系統的最大并發(fā)會話連接數未對單個帳戶的多重并發(fā)會話進行限制?？梢韵拗茷閱吸c登錄或者多點登錄的情況,必須限制其數量。數據安全與備份恢復類別問題描述解決措施數據完整性未能夠檢測到系統管理數據、鑒別信息和重要業(yè)務數據在傳輸過程中完整性受到破壞,并在檢測到完整性錯誤時采取必要的恢復措施；建議采用校驗碼技術保證傳輸過程中數據的完整性。門戶網站建議使用https協議進行數據傳輸。數據保密性未采用加密或其他有效措施實現系統管理數據、鑒別信息和重要業(yè)務數據傳輸保密性；集成平臺系統建議對鑒別信息和重要業(yè)務信息進行加密傳輸。備份和恢復未提供異地備份功能。建議定期將重要數據備份到異地的備份機房。網絡架構未完全使用冗余技術設計,無法避免單點故障建議采用冗余技術設計網絡拓撲結構,避免關鍵節(jié)點存在單點故障。主要網絡設備如核心交換設備、出口線路均有硬件冗余,其他關鍵設備未提供冗余功能。建議其他關鍵設備如防火墻等提供硬件冗余功能。安全管理制度類別問題描述解決措施管理制度未提供相關管理制度。建議建立信息安全相關管理制度。制定和發(fā)布未提供相關管理制度。建議對安全管理制度的制定和發(fā)布建立管理制度,并按管理制度執(zhí)行。評審和修訂未提供相關管理制度。建議對安全管理制度的評審和修訂建立管理制度,并按管理制度執(zhí)行。安全管理機構類別問題描述解決措施崗位設置未提供相關管理制度。建議對安全管理機構的崗位設置建立管理制度,并按管理制度執(zhí)行。人員配備未提供相關管理制度。建議對安全管理機構的人員配備建立管理制度,并按管理制度執(zhí)行。授權和審批未提供相關管理制度。建議定期審查審批事項,及時更新需授權和審批的項目、審批部門和審批人等信息記錄審批過程并保存審批文檔。溝通和合作信息技術部必須與信息使用部門密切配合,建立溝通協調制度,加強部門之間的溝通,運用恰當的方式方法,及時解決各種故障,但未提及處理信息安全問題。建議對安全管理機構的溝通和合作建立管理制度,并按管理制度執(zhí)行。審批與檢查未提供相關管理制度。建議對安全管理機構的審核和檢查建立管理制度,并按管理制度執(zhí)行。人員安全管理類別問題描述解決措施人員錄用未提供相關管理制度。建議對人員安全管理的人員錄用建立管理制度,并按管理制度執(zhí)行。人員離崗未提供相關管理制度。建議對人員安全管理的人員離崗建立管理制度,并按管理制度執(zhí)行。人員考核未提供相關管理制度。建議對人員安全管理的人員考核建立管理制度,并按管理制度執(zhí)行。安全意識教育和培訓未提供相關管理制度。建議對人員安全管理的安全意識教育和培訓建立管理制度,并按管理制度執(zhí)行。外部人員訪問管理未提供相關管理制度。建議對人員安全管理的外部人員訪問管理建立管理制度,并按管理制度執(zhí)行。系統建設管理類別問題描述解決措施安全方案設計未提供相關管理制度。建議對系統建設管理的安全方案設計建立管理制度,并按管理制度執(zhí)行。產品采購和使用未提供相關管理制度。建議對系統建設管理的產品采購和使用建立管理制度,并按管理制度執(zhí)行。外包軟件開發(fā)未提供相關管理制度。建議對系統建設管理的外包軟件開發(fā)建立管理制度,并按管理制度執(zhí)行。工程實施未提供相關管理制度。建議制定詳細的工程實施方案控制實施過程,并要求工程實施單位能正式地執(zhí)行安全工程過程。測試驗收未提供相關管理制度。建議委托公正的第三方測試單位對系統進行安全性測試,并出具安全性測試報告建議對系統測試驗收的控制方法和人員行為準則進行書面規(guī)定系統交付未提供相關管理制度。建議對系統建設管理的系統交付建立管理制度,并按管理制度執(zhí)行。安全服務商選擇未提供相關管理制度。建議對系統建設管理的安全服務商選擇建立管理制度,并按管理制度執(zhí)行。系統運維管理類別問題描述解決措施環(huán)境管理已制定信息技術部負責機房安全,但未配備機房安全管理人員。建議配備機房安全管理人員,對機房的出入、服務器的開機或關機等工作進行管理。資產管理未提供相關管理制度。建議對系統運維管理的資產管理建立管理制度,并按管理制度執(zhí)行。介質管理未提供相關管理制度。建議對系統運維管理的介質管理建立管理制度,并按管理制度執(zhí)行設備管理未提供相關管理制度。建議建立配套設施、軟硬件維護方面的管理制度,對其維護進行有效的管理,包括明確維護人員的責任、涉外維修和服務的審批、維修過程的監(jiān)督控制等建議確保信息處理設備必須經過審批才能帶離機房或辦公地點。監(jiān)控管理和安全管理中心未提供相關管理制度。建議對系統運維管理的監(jiān)控管理和安全管理中心建立管理制度,并按管理制度執(zhí)行。采用企業(yè)安全中心系統,對網絡中的安全設備進行統一管理,統一收集日志并進行日志分析,感知風險態(tài)勢。網絡安全管理未提供相關管理制度。建議對系統運維管理的網絡安全管理建立管理制度,并按管理制度執(zhí)行。建議通過態(tài)勢感知平臺,收集全網安全態(tài)勢,定期檢查違反網絡安全策略的行為。系統安全管理未提供相關管理制度。建議對系統運維管理的系統安全管理建立管理制度,并按管理制度執(zhí)行。惡意代碼防范管理未提供相關管理制度。建議對系統運維管理的惡意代碼防范管理建立管理制度,并按管理制度執(zhí)行建議采用防病毒中心,統一管理終端的病毒軟件,保證及時更新。密碼管理未提供相關管理制度。建議對系統運維管理的密碼管理建立管理制度,并按管理制度執(zhí)行。建議采用堡壘機中的改密計劃功能,設置復雜度、長度、改密周期等,并通過改密日志進行審計和保存改密歷史。變更管理未提供相關管理制度。建議對系統運維管理的變更管理建立管理制度,并按管理制度執(zhí)行。備份與恢復管理未提供相關管理制度。建議對系統運維管理的備份與恢復管理建立管理制度,并按管理制度執(zhí)行。安全事件處置未提供相關管理制度。建議對系統運維管理的安全事件處置建立管理制度,并按管理制度執(zhí)行。應急預案管理未提供相關管理制度。建立事件分級制度和應急管理體系,針對事件的影響程度進行分級,并對每個級別事件配置對應的應急預案,并對其進行定期演練和修改..總體設計網絡拓撲設計拓撲圖..推薦安全產品目錄分類子類推薦安全產品網絡安全結構安全抗拒絕服務系統網絡安全訪問控制防火墻網絡安全入侵防范入侵防護系統主機安全入侵防范應用安全訪問控制web應用防護系統應用安全軟件容錯應用安全資源控制主機安全惡意代碼防范網絡版的防病毒軟件主機安全惡意代碼防范高級威脅分析系統數據安全及備份恢復備份和恢復網絡冗余,無單點故障主機安全安全審計日志審計系統網絡安全安全審計安全審計系統應用安全安全審計網絡安全網絡設備防護堡壘機主機安全身份鑒別主機安全訪問控制主機安全資源控制應用安全身份鑒別主機安全安全審計數據庫審計數據安全及備份恢復數據完整性系統運維管理設備管理態(tài)勢感知及日志審計系統運維管理監(jiān)控管理和安全管理中心系統運維管理監(jiān)控管理和安全管理中心網站監(jiān)控系統系統運維管理網絡安全管理漏洞掃描系統運維管理系統安全管理安全管理機構溝通和合作安全咨詢服務系統建設管理等級測評等級測評服務人員安全管理安全意識教育和培訓培訓服務系統運維管理系統安全管理日志分析服務系統建設管理外包軟件開發(fā)滲透測試系統建設管理測試驗收滲透測試安全管理機構審核和檢查巡檢服務系統運維管理網絡安全管理系統運維管理系統安全管理系統運維管理安全事件處置應急響應服務系統運維管理應急預案管理系統建設管理安全方案設計咨詢服務技術體系建設方案外網安全建設抗DDos攻擊：ADS抗DDos系統在外網互聯出口邊界,串聯部署抗DDos系統,對DDoS攻擊進行檢測、分析和阻斷。解決方案NSFOCUSADS〔綠盟抗拒絕服務攻擊產品——作為綠盟流量清洗產品系列中的關鍵組成,NSFOCUSADS提供了單臺最大240Gbps的DDoS線速防護能力。通過部署NSFOCUSADS設備,可以對網絡中的DDoS攻擊流量進行清洗,同時保證正常流量的訪問。NSFOCUSADS采用旁路集群模式可以實現T級防護容量,提高整個系統抵御海