一、项目概述

1.1   项目背景

随着我国信息化建设的不断深入，我们对信息系统的依赖越来越强，国家信息基础设施和重要信息系统能否安全正常地运行直接关系到国家安全、经济命脉、社会秩序，信息系统安全问题已经被提到关系国家安全和国家主权的战略性高度，特别是《中华人民共和国网络安全法》和《国家网络空间安全战略》的颁布，引起了社会各界的关注。《中华人民共和国网络安全法》第二十一条明确提出“国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改….也提出第五十九条 网络运营者不履行本法第二十一条、第二十五条规定的网络安全保护义务的，由有关主管部门责令改正，给予警告:拒不改正或者导致危害网络安全等后果的，处一万元以上十万元以下罚款，对直接负责的主管人员处五千元以上五万元以下罚款关键信息基础设施的运营者不履行本法第三十三条、第三十四条、第三十六条、第三十八条规定的网络安全保护义务的，由有关主管部门责令改正，给予警告: 拒不改正或者导致危害网络安全等后果的，处十万元以上一百万元以下罚款，对直接负责的主管人员处一万元以上十万元以下罚款。

同时为提高广州从化自来水有限公司系统安全的防护水平，加强信息系统安全体系建设。按照《网络安全等级保护管理办法》等文件要求，结合广州从化自来水有限公司实际情况，将开展网络安全等级保护工作作为提高网络安全保障水平的一项重要举措。也是做好国家网络安全的必要条件。

1.2   项目依据

法律文件：

 •《中华人民共和国网络安全法》

政策标准：

1.《国家信息化领导小组关于加强网络安全保障工作的意见》（中办发[2003]27号）；

2.《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）；

3.《中共中央办公厅国务院办公厅转发<国家信息化领导小组关于加强信息处理安全保障工作的意见>的通知》（中办发[2003]27号）；

4.《关于印发<关于网络安全等级保护工作的实施意见>的通知》（公通字[2004]66号文）；

5.《关于印发<网络安全等级保护管理办法>的通知》（公通字[2007]43号文）；

6.《关于开展全国重要信息系统安全等级保护定级工作的通知》（公信安[2007]861号文）；

技术规范

1.《网络安全技术 网络安全等级保护基本要求》；

2.《网络安全技术 网络安全风险评估规范》；

3.《网络安全技术 网络安全等级保护测评过程指南》；

4.《网络安全技术 网络安全等级保护实施指南》；

5.《网络安全技术 网络安全等级保护测评要求》；

6.《网络安全技术 网络安全等级保护安全设计技术要求》；

除上述规范以外，还需遵循国家现行的相关标准和规范要求。

1.3   实施原则

项目的方案设计满足以下原则：

符合性原则：符合国家网络安全等级保护制度及相关法律法规，指出防范的方针和保护的原则。

标准性原则：方案设计与建议依据国内、国际的相关标准进行。

整体性原则：方案中的安全体系设计的范围和内容应当整体全面，包括安全涉及的各个层面，避免由于遗漏造成未来的安全隐患。

保密原则：对方案中获得的数据和结果严格保密，未经授权不得泄露给任何单位和个人，不得利用此数据和结果进行任何侵害用户单位利益的行为。

1.4等级保护测评的重要性

通过网络安全等级保护测评工作，主要实现以下3方面的重要意义：

1、 满足国家政策法律要求。《网络安全法》中第八条明确规定了各部门在网络安全方面的职责分工，第二十一条规定了网络运营者应当按照网络安全等级保护制度，履行安全保护义务。第五十九条规定了对网络运营者和关键信息基础设施的运营者不履行网络安全保护义务需要承担的法律责任。同时《刑法修正案（九）》第二百八十六条之一规定了网络服务提供者不履行法律、行政法规规定的信息网络安全管理义务需要承担的刑事责任。

2、 促进和提高单位网络安全保障水平。以等级保护为标准开展安全建设，可以从网络、主机、应用和数据多个方面成体系保障单位的网络安全环境。

3、 有利于国家安全、社会稳定。重点保障基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统的安全；有利于明确国家、法人和其他组织、公民的网络安全责任，加强网络安全管理。

二 .定级备案

信息系统定级原则

信息系统作为保护对象，《信息安全技术信息系统安全保护等级定级指南GB/T 22240-2020》中将信息系统分为五级，分别为：

第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。

第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。

第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。

第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成 严重损害。

第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。

 

经过前期调研，广州从化自来水有限公司信息系统涉及到个人信息，信息系统受到破坏或者泄露后会对公民、法人和其他组织的合法权益造成严重损害或者，根据 《信息安全技术信息系统安全保护等级定级指南GB/T 22240-2020》 定级要素与安全保护等级的关系(表1）因此初步判定系统应定为二级，最终定级以当地监管部门评审结果为准。

 

 

 

表 1 定级要素与安全保护等级的关系

受侵害的客体	对客体的侵害程度
	一般损害	严重损害	特别严重损害
公民、法人和其他组织的合法权益	第一级	第二级	第二级
社会秩序、公共利益	第二级	第三级	第四级
国家安全	第三级	第四级	第五级

 

 

信息系统定级流程图

 

 

三．项目测评流程

第1章测评概述

根据《广东省计算机信息统安全保护条例》和《广东省公安厅关于计算机信息系统安全保护的实施办法》[粤公通字〔2008〕228号]的要求，以及双方签订的等级测评服务合同，我方参照信息安全等级保护技术标准，对合同约定的被测系统实施等级测评。

测评小组将在被测单位信息系统相关负责人和管理员的协助下，依据相应等级的安全保护测评要求及该信息系统的特殊安全需求对被测系统实施等级测评。测评内容将根据实际情况涵盖等级保护的安全技术要求的4个层面和安全管理要求等4个方面。

第2章.测评标准

法律文件：

 •《中华人民共和国网络安全法》

政策标准：

1.《国家信息化领导小组关于加强网络安全保障工作的意见》（中办发[2003]27号）；

2.《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）；

3.《中共中央办公厅国务院办公厅转发<国家信息化领导小组关于加强信息处理安全保障工作的意见>的通知》（中办发[2003]27号）；

4.《关于印发<关于网络安全等级保护工作的实施意见>的通知》（公通字[2004]66号文）；

5.《关于印发<网络安全等级保护管理办法>的通知》（公通字[2007]43号文）；

6.《关于开展全国重要信息系统安全等级保护定级工作的通知》（公信安[2007]861号文）；

技术规范

1.《网络安全技术 网络安全等级保护基本要求》；

2.《网络安全技术 网络安全风险评估规范》；

3.《网络安全技术 网络安全等级保护测评过程指南》；

4.《网络安全技术 网络安全等级保护实施指南》；

5.《网络安全技术 网络安全等级保护测评要求》；

6.《网络安全技术 网络安全等级保护安全设计技术要求》；

除上述规范以外，还需遵循国家现行的相关标准和规范要求。

2.1.1 测评目的

通过本次安全等级测评，不仅可以检验被测系统是否符合《信息安全技术 网络安全等级保护基本要求》中对信息系统采取安全保护措施的要求，还可以全面、完整地了解信息安全等级保护要求的基本安全控制在信息系统中的实施配置情况以及系统的整体安全性，出具安全等级测评的结论；指出该系统存在的安全问题并提出相应的整改建议，为委托方进一步完善被评估系统安全管理策略、采取适当的安全保障措施提供依据。

2.1.2 测评原则

1)   客观性和公正性原则

测评工作虽然不能完全摆脱个人主张或判断，但测评人员应当在没有偏见和最小主观判断情形下，按照测评双方相互认可的测评方案，基于明确定义的测评方法和过程，实施测评活动。

2)   经济性和可重用性原则

基于测评成本和工作复杂性考虑，鼓励测评工作重用以前的测评结果，包括商业安全产品测评结果和信息系统先前的安全测评结果。所有重用的结果，都应基于这些结果还能适用于目前的系统，能反映目前系统的安全状态。

3)   可重复性和可再现性原则

无论谁执行测评，依照同样的要求，使用同样的方法，对每个测评实施过程的重复执行都应该得到同样的测评结果。可再现性体现在不同测评者执行相同测评的结果的一致性。可重复性体现在同一测评者重复执行相同测评的结果的一致性。

4)   符合性和整体性原则

测评所产生的结果应当是在对测评指标的正确理解下所取得的良好的判断。测评实施过程应当使用正确的方法以确保其满足了测评指标的要求。整体性体现在等级测评的范围和内容应当系统、全面，覆盖信息系统安全所涉及的各个层面，并考虑各个层面的相互关系。

5)   最小影响和保密性原则

测评工作应尽可能小地影响网络和系统的正常运行，不能对系统的业务产生显著影响。保密性体现在对测评过程中所接触到的被测系统运营、使用单位的所有敏感信息，测评人员应遵循相关的保密承诺，不利用它们进行任何侵害被测系统运营、使用单位安全利益的行为。

2.1.3 风险和规避

在进行等级测评过程中可能存在以下风险：

1)   验证测试对运行系统可能会造成影响

在现场测评时，需要对设备和系统进行一定的验证测试工作，部分测试内容需要上机查看一些信息，这就可能对系统的运行造成一定的影响，甚至存在误操作的可能。

2)   工具测试对运行系统可能会造成影响

在现场测评时，会使用一些技术测试工具进行漏洞扫描测试、性能测试甚至抗渗透能力测试。测试可能会对系统的负载造成一定的影响，漏洞扫描测试和渗透测试可能对服务器和网络通讯造成一定影响甚至伤害。

3)   敏感信息泄漏

泄漏被检测单位信息系统状态信息，如网络拓扑、IP地址、业务流程、安全机制、安全隐患和有关文档信息。

在等级测评过程中可以通过采取以下措施规避风险：

1)   现场测评工作风险的规避

进行验证测试和工具测试时，测评机构需要与测评委托单位充分的协调，安排好测试时间，尽量避开业务高峰期，在系统资源处于空闲状态时进行，并需要被测系统运营、使用单位对整个测试过程进行监督；在进行验证测试和工具测试前，需要对关键数据做好备份工作，并对可能出现的影响制定相应的处理方案；上机验证测试原则上由被测系统运营、使用单位相应的技术人员进行操作，测评人员根据情况提出需要操作的内容，并进行查看和验证，避免由于测评人员对某些专用设备不熟悉造成误操作；测评机构使用的测试工具在使用前应事先告知被测系统运营、使用单位，并详细介绍这些工具的用途以及可能对信息系统造成的影响，征得其同意。必要时先进行一些试验。

2)   签署保密协议

测评双方应签署完善的、合乎法律规范的保密协议，以约束测评双方现在及将来的行为。保密协议规定了测评双方保密方面的权利与义务。测评工作的成果属被测系统运营、使用单位所有，测评机构对其的引用与公开应得到被测系统运营、使用单位的授权，否则被测系统运营、使用单位将按照保密协议的要求追究测评机构的法律责任。

第3章 测评手段

3.1 测评方法

安全测评的主要方法有：访谈、检查和测试。

l  访谈

访谈是指测评人员通过与信息系统有关人员（个人/群体）进行交流、讨论等活动，获取相关证据以表明信息系统安全保护措施是否有效落实的一种方法。在访谈范围上，应基本覆盖所有的安全相关人员类型，在数量上可以抽样。

l  检查

检查是指测评人员通过对测评对象进行观察、查验、分析等活动，获取相关证据以证明信息系统安全保护措施是否有效实施的一种方法。在检查范围上，应基本覆盖所有的对象种类（设备、文档、机制等），数量上可以抽样。

l  测试

测试是指测评人员针对测评对象按照预定的方法/工具使其产生特定的响应，通过查看和分析响应的输出结果，获取证据以证明信息系统安全保护措施是否得以有效实施的一种方法。在测试范围上，应基本覆盖不同类型的机制，在数量上可以抽样。

3.2 测评工具

主要使用到的测评工具有：扫描工具、渗透测试工具集等。具体描述如下表：

为了发挥测评工具的作用，达到测评的目的，各种测评工具需要接入到被测评的信息系统网络中，并需要配置恰当的网络IP地址。

3.3 测评对象

3.3.1 信息系统情况

经过前期调研，规划了本次网络安全等级保护测评涉及的信息系统。

序号	网络系统	拟定等级	备注
1.	城镇供水信息化系统	三级

 

第4章 测评内容

4.1 单元测评实施

把测评指标内容和测评方法结合到被测信息系统的具体测评对象上，就构成了一个个可以具体测评实施的工作单元。本章按层面，从技术上的安全物理环境、安全网络通信、安全区域边界、安全计算环境和安全管理中心五个层面和管理上的安全管理制度、安全管理机构、安全管理人员、安全建设管理和安全运维管理等五个方面分别描述单元测评实施的主要内容。

4.1.1 安全物理环境

安全物理环境层面测评实施过程涉及10个工作单元，具体如下表：

4.1.2 安全通信网络

安全通信网络层面测评实施过程涉及3个工作单元，具体如下表：

4.1.3 安全区域边界

安全区域边界层面测评实施过程涉及6个工作单元，具体如下表：

4.1.4 安全计算环境

安全计算环境层面测评实施过程涉及10个工作单元，具体如下表：

4.1.5 安全管理中心

安全管理中心层面测评实施过程涉及4个工作单元，具体如下表：

4.1.6 安全管理制度

安全管理制度测评实施过程涉及4个工作单元，具体如下表：

4.1.7 安全管理机构

安全管理机构实施过程涉及5个工作单元，具体如下表：

4.1.8 安全管理人员

安全建设管理测评实施过程涉及4个工作单元，具体如下表：

4.1.9 安全建设管理

安全建设管理测评实施过程涉及10个工作单元，具体如下表：

4.1.10 安全运维管理

安全运维管理测评实施过程涉及14个工作单元，具体如下表：

4.2 特殊指标

根据《信息安全技术 网络安全等级级保护基本要求》（GB/T 22239-2019）中涉及云计算安全扩展要求，应当落实以下信息网络安全要求，具体如下表：

4.3 系统测评实施

信息系统的安全控制综合集成到信息系统后，会在层面内、层面间和区域间产生连接、交互、依赖、协调、协同等相互关联关系，共同作用于信息系统的安全功能，使信息系统的整体安全功能与信息系统的结构以及安全控制间、层面间和区域间的相互关联关系密切相关，在整体上呈现出一种集成特性。这些集成特性在安全控制的工作单元中是没有体现的。因此，在安全控制测评的基础上，有必要对集成系统和运行环境进行整体测评，以确定安全控制部署、层面整合、区域互连乃至整体系统结构等是否会增强或者削弱信息系统的整体安全保护能力；缺失或者低等级的安全控制是否会影响到系统的整体安全功能，在高等级的信息系统使用低等级的安全控制能否达到相应等级的安全要求等，这些共同构成系统整体测评。

    针对系统的情况，对其进行的系统整体安全性测评包括：安全控制间安全测评、层面间安全测评、区域间安全测评和系统结构安全测评等内容。

4.3.1 安全控制间安全测评

安全控制间的安全测评主要考虑同一区域内、同一层面上的不同安全控制间存在的功能增强、补充或削弱等关联作用。

从物理层面上看，主要网络设备、服务器和数据库管理系统都在机房，因此，应测评分析机房各安全控制之间的关联作用。其中，需重点关注物理访问控制与防盗窃和防破坏之间的安全功能互补情况。

从网络层面上看，其网络系统区域划分是明确的，同一区域中的网络设备的安全功能也是较为明确的。但是，一般情况下网络层面的网络安全审计、恶意代码防范等安全控制功能在大多数区域没有使用专门的安全设备来执行。因此，应测评分析网络层面其他安全控制（措施）是否提供补充作用，满足这些安全功能的要求。

对于主机系统层面，应查看不同主机之间是否存在信任关系，是否存在共享相同的安全机制等（如主机身份集中鉴别）。如果不同主机之间存在安全功能上的削弱，如由于存在信任关系，可以从一台机器作为跳板，侵入另外一台机器。因此，需要分析这些安全功能之间的削弱作用。

对于管理涉及的问题大多数是全局性的，因此，对管理各个方面的安全控制应重点查看其措施内容是否能构成一个完整的、全面的管理体系，并且这些管理制度都得到具体落实，有人员、环境和设备的保证。

4.3.2 层面间安全测评

层面间的安全测评主要考虑同一区域内的不同层面之间存在的功能增强、补充和削弱等关联作用。

从系统的实际情况看，测评应重点考虑物理层面和网络层面、主机系统层面之间的关联互补作用，如主机系统的身份鉴别存在的脆弱性是否可以通过物理层面的安全控制措施得到加强弥补。

另外，网络层面、应用层面和主机系统层面与安全管理的系统运维管理之间关系密切，应关注他们之间的关联互补作用。如考虑网络层面的边界完整性检查安全功能是否通过采取恰当的安全管理措施而得到满足等等。

4.3.3 区域间安全测评

区域间的安全测评主要考虑互连互通（包括物理上和逻辑上的互连互通等）的不同区域之间存在的安全功能增强、补充和削弱等关联作用，特别是有数据交换的两个不同区域。

4.3.4 系统结构安全测评

系统结构安全测评主要考虑信息系统整体结构的安全性和整体安全防范的合理性。

在掌握系统的物理布局、网络拓扑、业务逻辑（业务数据流）、系统实现和集成方式等基础上，结合系统的业务数据流分析物理布局与网络拓扑之间、网络拓扑与业务逻辑之间、物理布局与业务逻辑之间、不同信息系统之间存在的各种关系，明确物理、网络和业务系统等不同位置上可能面临的威胁、可能暴露的脆弱性等，综合判定系统的整体布局是否合理、主要关系是否简单、整体是否安全有效等。

    在熟悉系统安全保护措施的具体实现方式和部署情况后，结合其业务数据流分析不同区域和不同边界与安全保护措施的关系、重要业务和关键信息与安全保护措施的关系等，参照纵深防御的要求，识别系统的安全防范是否突出重点、层层深入，综合判定系统的整体安全防范是否恰当合理等。

第5章 测评计划

本次等级测评的工作流程各阶段完成的关键任务和具体时间节点如下表：

 

第6章 整改建设服务方案

通过等级保护差距评估活动，出具等级保护差距评估报告，分析当前网络和信息系统的弱点与风险，我司会通过出具信息安全整改建议方案，建议广州从化自来水有限公司选择符合《信息安全等级保护管理办法》要求的安全专用产品，完成相应产品的拓扑设计，并协助落实安全技术措施，健全安全管理制度。

6.1 整改目标

为确保广州从化自来水有限公司已定级的系统按照等级保护差距评估的结果进行整改方案的设计，并且根据整改方案进行整改后符合等级保护的基本要求，广州从化自来水有限公司已定级系统根据设计的整改方案进行合规性整改后通过验收测评。结合广州从化自来水有限公司实际需求与等级保护相关标准与法规进行合理的整改方案设计，同时对整改的流程与整改过程的可能风险及控制措施提供成熟的解决方案，并且在整改过程中协助广州从化自来水有限公司完成等级保护整改，确保最后信息系统整改后的符合等级保护基本要求。

6.2 整改设计原则

n  资源最大化利用为原则

信息安全整改建议所提供的整改方法，应以现有资源最大化利用为原则，应以现有资源最大化利用为原则，减少不必要的设备、软件的购买。

n  重点保护原则

在整改方案设计中，应根据信息系统的重要程度、业务特点，通过划分不同安全保护等级的信息系统，实现不同强度的安全保护，集中资源优先保护涉及核心业务或关键信息资产的信息系统。

n  技术管理并重原则

信息安全问题从来就不是单纯的技术问题，把防范黑客入侵和病毒感染理解为信息安全问题的全部是片面的，仅仅通过部署安全产品很难完全覆盖所有的信息安全问题，因此必须要把技术措施和管理措施结合起来，更有效的保障被检查单位信息系统的整体安全性，形成一个技术和管理并重的系统整改方案。

n  分区分域建设原则

对信息系统进行安全保护的有效方法之一就是分区分域，由于信息系统中各个信息资产的重要性是不同的，并且访问特点也不尽相同，因此需要把具有相似特点的信息资产集合起来，进行总体防护，从而可更好地保障安全策略的有效性和一致性，比如把业务服务器集中起来单独隔离，然后根据各业务部门的访问需求进行隔离和访问控制；另外分区分域还有助于对网络系统进行集中管理，一旦其中某些安全区域内发生安全事件，可通过严格的边界安全防护限制事件在整网蔓延。当然，分区分域建设还需结合适度安全原则进行综合考虑，对整个架构较为简单的信息系统，需分析分区分域建设的必要性。

n  标准性原则

信息安全建设是非常复杂的过程，在设计信息安全系统，进行安全体系规划中单纯依赖经验，是无法对抗未知的威胁和攻击，因此需要遵循相应的安全标准，从更全面的角度进行差异性分析。广州从化自来水有限公司等级保护工作必须严格按照国家、广东省相关政策、标准来实施，特别是在整改方案设计方面，应重点考虑设计架构的合规性、参考依据的合规性、需求分析的合规性、设计思路的合规性、整改内容的合规性和产品选用的合规性。

n  动态调整原则

信息安全问题不是静态的，它总是随着管理相关的组织策略、组织架构、信息系统和操作流程的改变而改变，因此必须要及时跟踪信息系统的变化情况，调整安全保护措施。

n  客观性原则

整改方案设计应建立在之前完成的信息安全风险评估以及信息安全检查所发现的安全隐患和问题的基础上，设计方应遵循客观性原则对整个信息系统进行客观、直接的评价。因此整改方案所设计的安全措施和安全策略一方面能够符合国家、广东省信息系统等级保护的相关要求，另一方面又能够很好地解决被检查单位信息系统中真实存在的各类安全问题，满足其特性需求。

6.3 整改流程建议及内容

u 安全建设整改工作的流程

见下图所示：

安全建设整改工作可以分五步进行。

第一步：按照要求开展等级保护差距评估，对信息系统现状进行全面分析。

第二步：落实负责安全建设整改工作的责任部门，由责任部门牵头制定本单位和本行业信息系统安全建设整改工作规划，对安全建设整改工作进行总体部署。

第三步：根据等级保护差距评估报告结果，确定安全保护策略，制定信息系统安全建设整改方案。在安全需求分析的基础上，进行信息系统安全建设整改方案设计，包括总体设计和详细设计，制定工程预算和工程实施计划等，为后续安全建设整改工程实施提供依据。

第四步：按照信息系统安全建设整改方案，实施安全建设整改工程，建立并落实安全管理制度，落实安全责任制，建设安全设施，落实安全措施。在实施安全建设整改工程中，需要加强投资风险控制、实施流程管理、进度规划控制、工程质量控制和信息保密管理。

第五步：开展安全等级保护测评，确保信息系统整改后的符合等级保护基本要求。

u 整改建议内容概述

单位在开展安全建设整改工作中，应坚持管理和技术并重的原则，依据GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》，落实信息安全责任制，建立并落实各类安全管理制度，开展安全管理人员、安全管理机构、安全建设管理和安全运维管理等工作，落实安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心等安全保护技术措施。

（一）信息安全等级保护安全管理制度建设

u 建设内容

（1）落实信息安全责任制。成立信息安全工作领导机构，明确信息安全工作的主管领导。成立专门的信息安全管理部门或落实信息安全责任部门，确定安全岗位，落实专职人员或兼职人员。明确落实领导机构、责任部门和有关人员的信息安全责任。

（2）落实安全管理人员制度。制定人员录用、离岗、考核、教育培训等管理制度，落实管理的具体措施。对安全岗位人员要进行安全审查，定期进行培训、考核和安全保密教育，提高安全岗位人员的专业水平，逐步实现安全岗位人员持证上岗。

（3）落实安全建设管理制度。建立信息系统定级备案、方案设计、产品采购使用、密码使用、软件开发、工程实施、验收交付、等级测评、安全服务等管理制度，明确工作内容、工作方法、工作流程和工作要求。

（4）落实安全运维管理制度。建立机房环境安全、存储介质安全、设备设施安全、安全监控、安全通信网络、系统安全、恶意代码防范、密码保护、备份与恢复、事件处置等管理制度，制定应急预案并定期开展演练，采取相应的管理技术措施和手段，确保安全运维管理制度的有效落实。

u 建设要求

（1）在具体实施过程中，可逐项建立管理制度，也可以进行整合，形成完善的安全管理体系。要根据具体情况，结合系统管理实际，不断健全完善管理制度。同时，将管理制度与管理技术措施有机结合，确保安全管理制度得到有效落实。

（2）建立并落实监督检查机制。备案单位定期对各项制度的落实情况进行自查，行业主管部门组织开展督导检查，公安机关会同主管部门开展监督检查。

（二）信息安全等级保护安全技术措施建设

u 建设内容

结合行业特点和安全需求，制定符合相应等级要求的信息系统安全技术建设整改方案，开展信息安全等级保护安全技术措施建设，落实相应的安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心等安全保护技术措施。在信息系统安全技术建设整改中，可以采取“一个中心、三维防护”（即一个安全管理中心和安全计算环境、安全区域边界和安全通信网络）的防护策略，实现相应级别信息系统的安全保护技术要求，建立并完善信息系统综合防护体系，提高信息系统的安全防护能力和水平。

6.4 整改风险规避措施

Ø  整改操作细则

结合等级保护差距评估以及信息安全检查所发现的安全隐患和问题，在进行安全整改主要包括安全技术整改措施（安全产品部署、安全加固和运维管理技术措施等）与安全管理整改措施（主要安全管理制度及其他制度集建立与优化、人员与机构管理优化、系统建设与安全运维管理优化等），根据整改的内容及可能的风险的大小我司建议的整改流程主要如下：

首先，进行安全管理措施的整改：比如安全管理制度集建设与优化、安全管理人员与机构安全管理优化；建立应急处理机制、应急预案、应急演练机制、完善设备、介质、机房的操作规范与管理；建立补丁管理、变更管理、备份与恢复管理及制度；外连审批流程与管理、外包IT运维服务管理等。

其次，进行安全技术措施的整改，先对非主要业务区域、灾备系统与灾备网络进行网络改造、安全加固与产品部署方面的整改，安全产品的部署先对旁路方式或部署过程中风险较小的产品进行实施，再进行其他产品部署。

最后，对主业务区域、主系统和主网络线路进行网络结构调整、安全加固与产品部署等技术措施的整改。

Ø  整改风险规避措施

对主业务区域、主系统和主线路进行网络结构调整、安全加固与产品部署等技术措施的整改的过程中可能对正常的业务稳定性产生影响，我司建议在对网络设备、网络配置、服务器策略、数据库策略、中间件应用系统、部分非旁路安全通信网络设备与影响应用业务应用的产品进行部署，建议在应用业务非使用时间（比如下班时间或周末）进行此类整改内容的整改实施。同时由实施方与相关网络管理员、系统管理员、数据库管理员、应用管理员与安全管理员多方在场进行，实施前做好应急与恢复措施，确保整改实施过程对应用业务的正常使用不产生影响。

由于应用业务的重要性与保密性，所以存在实施方人员泄密风险，我司建议广州从化自来水有限公司与实施方签订保密协议。确保实施过程人员的稳定性，同时实施过程做好相关登记记录备案措施，对实施人员实施过程中进行严格管理。

安全管理制度及其他管理制度编写完成后进行制度落地执行过程中，由于制度落地执行牵涉部门较多，存在制度落地执行效率较低风险。我司建议广州从化自来水有限公司成立专门的安全管理制度与其他制度执行小组，执行小组领导包括广州从化自来水有限公司上层领导，确保制度执行过程的效率。

 

6.5 安全产品整改建议

 

6.6 阶段交付文档

《等级保护测评整改建议》每个系统1份。

安全整改方案编制过程是根据差距评估报告，结合测评现场实际情况编制完成被测评单位的《等级保护测评整改建议》进行编写，整改方案的内容应至少包括以下两方面：

（1）安全差距（问题）与我司协商制定，内容包括：问题存在的系统、问题分类、问题详细描述。

（2）信息安全规范与建设标准，主要是对广州从化自来水有限公司内部统一的安全要求进行标准的规范，内容包括：安全域（物理和网络架构）的划分和防护；各网络、主机、应用等设备的安全配置标准；统一的信息安全管理体系的要求。

 

序号	服务名称	子系统、服务器数量等	服务内容	服务单价	备注
1	城镇供水信息化系统	20以内	定级备案 差距测评 协助整改 等级测评	￥
备注： 1）网络安全等级保护测评服务周期一般是2-3个月的时间，具体出测评报告的时间取决于业主方对信息系统的整改项目的配合和信息系统本身的完善程度。2-3个月是我们实施的经验时间，不作为确切时间。 2）网络安全等级保护测评服务是参照等级保护的标准提供测评，帮助甲方的系统安全建设提供相关指导意见。 3）测评服务的实施时间周期原则上不超过一年，业主方的整改时间周期原则上不超过半年，对于超期不配合或者未完成全部整改项的客户，测评方将有权出具不符合的测评报告。 4）网络安全等级保护测评服务的合同交付物是对应的《网络安全等级保护测评报告》。
合计：￥ (大写整）