机房等级保护差距测评报告

《机房等级保护差距测评报告》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、报告编号**机构机房等级保护差距测评报告等保差距测评信息系统等级测评基本信息表信息系统基本情况系统名称安全保护等级第二级机房位置机房灾备中心委托单位单位名称单位地址联系人测评单位单位名称通信地址邮政编码联系人姓名职务/职称工程师所属部门办公电话移动电话电子邮件审核批准编制人编制日期审核人审核日期批准人批准日期66等保差距测评声明本报告是××单位平台的等级保护差距测评报告。本报告结论的有效性建立在用户提供材料的真实性基础上。本报告中给出的结论仅对被测信息系统当时的安全状态有效，当测评工作完成后，由于信息系统发生变更而涉及到的系统构成组件（或子系统）都应重新进行等级测评，本报告

2、不再适用。本报告中给出的测评结论不能作为对信息系统内部署的相关系统构成组件（或产品）的测评结论。在任何情况下，若需引用本报告中的测评结果或结论都应保持其原有的意义，不得对相关内容擅自进行增加、修改和伪造或掩盖事实。**机构二Ｏ一四年六月66等保差距测评目录报告摘要31测评项目概述51.1测评目的51.2测评依据61.3测评过程71.4报告分发范围72被测系统情况82.1基本信息82.2网络结构92.3系统构成92.3.1业务应用软件92.3.2关键数据类别92.3.3主机/存储设备102.3.4网络互联与安全设备102.3.5安全相关人员102.3.6安全管理文档112.4

3、安全环境113等级测评范围与方法123.1测评指标123.1.1基本指标123.1.2附加指标243.2测评对象243.2.1测评对象选择方法243.2.2测评对象选择结果243.3测评方法263.3.1现场测评方法263.3.2风险分析方法264等级测评内容274.1物理安全274.1.1结果记录274.1.2结果汇总294.1.3问题分析304.2网络安全304.2.1结果记录304.2.2结果汇总334.2.3问题分析334.3主机安全344.3.1结果记录3466等保差距测评4.3.2结果汇总394.3.3问题分析404.4应用安全404.4.1结果记录404.4.

4、2结果汇总434.4.3问题分析434.5数据安全及备份恢复444.5.1结果记录444.5.2结果汇总454.5.3问题分析454.6安全管理制度454.6.1结果记录454.6.2结果汇总464.6.3问题分析464.7安全管理机构474.7.1结果记录474.7.2结果汇总484.7.3问题分析484.8人员安全管理484.8.1结果记录484.8.2结果汇总504.8.3问题分析504.9系统建设管理504.9.1结果记录504.9.2结果汇总544.9.3问题分析544.10系统运维管理554.10.1结果记录554.10.2结果汇总614.10.3问题分析614

5、.11工具测试624.11.1主机漏洞625测评结果汇总635.1测评结果汇总表635.2统计图表666差距改进建议66166差距报告**机构报告摘要一、系统概述$$部门于2014年5月委托**机构对其建设的××单位平台进行差距测评。××单位平台是是社会公众了解××单位工作、是社会公众了解政府工作、开展服务事项网上办理工作重要工具，是高栏港区向社会公众发布政府信息、进行网络申办与审批工作的重要平台。二、测评范围和主要内容本次测评是按照GB/T22239-2008《信息安全技术信息系统安全等级保护基本要求》内第二级信息系统的安全要求进行差距测评。测试范围包括：物理安全、网络安

6、全、主机安全、应用安全、数据安全及备份恢复、安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理，此次测评总共测评项为175项。三、等级测评结果通过对××单位平台的测评，发现系统存在的主要问题有：物理安全:1、物理访问控制：机房内未部署视频监控系统。2、防盗窃和防破坏：网络设备、安全设备、通信线缆均没有黏贴相应的且不易除去的标签；机房内未部署防盗报警系统。3、防火：机房内未部署消防自动报警系统和灭火器。4、温湿度控制：更换普通空调，采用精密空调，同时部署机房环境监控系统。网络安全：1、结构安全：未按照业务功能以及部门办公划分多个vlan，需要部署防火墙、WA

7、F防火墙、入侵检测设备和安全审计系统。2、网络设备防护：汇聚交换机均未限制管理员的登录地址；汇聚交换机现有用户口令由字母组成，不符合复杂度要求，未定期更换；交换机虽开启的日志审计功能，但未对用户的行为进行审计。日常执行远程管理时，汇集交换机未配置登录失败处理策略，未能有效阻止非法登陆。66差距报告**机构主机安全：1、身份鉴别：未启用密码复杂度检查功能，未启用定期更换密码功能；未启用登录失败处理功能。2、安全审计：服务器仅开启了默认的审核策略（用户登录信息），日志信息没有定期保存，易受到未预期的删除、修改或覆盖等。