前言

  隨著北京某運(yùn)行商自身信息化水平的不斷提升，其對(duì)業(yè)務(wù)支撐平臺(tái)的安全性能要求也越來越高。雖然該運(yùn)營商在一定程度上較好地實(shí)現(xiàn)了技術(shù)風(fēng)險(xiǎn)的準(zhǔn)入控制，但現(xiàn)階段的信息安全總體水平仍不能完全滿足應(yīng)用安全標(biāo)準(zhǔn)和最佳實(shí)踐的要求,為了鞏固信息安全建設(shè)已有成效，進(jìn)一步提升信息安全技術(shù)保障水平，落實(shí)信息安全體系規(guī)劃，同時(shí)也為滿足外部監(jiān)管、合規(guī)和審計(jì)的要求，急需對(duì)其在線應(yīng)用系統(tǒng)進(jìn)行安全評(píng)估，使安全技術(shù)與運(yùn)維相結(jié)合，進(jìn)一步加強(qiáng)安全技術(shù)風(fēng)險(xiǎn)管控，保障信息業(yè)務(wù)的平穩(wěn)運(yùn)轉(zhuǎn)，因此，該運(yùn)營商啟動(dòng)了本次安全評(píng)估項(xiàng)目。

信息安全評(píng)估對(duì)象

   本次安全評(píng)估工作主要通過人員訪談、設(shè)備和系統(tǒng)調(diào)查、實(shí)地檢查等方式對(duì)物理環(huán)境、主機(jī)系統(tǒng)、應(yīng)用系統(tǒng)、數(shù)據(jù)系統(tǒng)、網(wǎng)絡(luò)系統(tǒng)，進(jìn)行全面、系統(tǒng)的安全風(fēng)險(xiǎn)評(píng)估。
                

  

        

安全評(píng)估實(shí)施過程

   根據(jù)等級(jí)保護(hù)標(biāo)準(zhǔn)，通過實(shí)地調(diào)研和考察，對(duì)物理環(huán)境安全進(jìn)行檢查，得出物理安全評(píng)估結(jié)果。
   通過工具軟件掃描與人工檢測的方式，對(duì)服務(wù)器、數(shù)據(jù)庫、網(wǎng)絡(luò)設(shè)備等進(jìn)行主機(jī)安全檢查，檢查的范圍包括主機(jī)安全漏洞、主機(jī)配置不安全項(xiàng)等。
   分析整體的網(wǎng)絡(luò)架構(gòu)，從網(wǎng)絡(luò)可靠性、網(wǎng)絡(luò)邊界安全、網(wǎng)絡(luò)通信安全這幾方面對(duì)整體網(wǎng)絡(luò)安全進(jìn)行評(píng)估。
      

 

項(xiàng)目實(shí)施成果

    通過對(duì)北京某運(yùn)營商的服務(wù)器、網(wǎng)絡(luò)設(shè)備、應(yīng)用系統(tǒng)進(jìn)行全面、系統(tǒng)的安全評(píng)估工作，總計(jì)發(fā)現(xiàn)問題如下：

• 管理安全問題：10余項(xiàng)
• 物理環(huán)境安全問題：20余項(xiàng)
• 網(wǎng)絡(luò)安全問題：40余項(xiàng)
• 應(yīng)用系統(tǒng)安全問題：20余項(xiàng)
• 主機(jī)安全漏洞：高中風(fēng)險(xiǎn)漏洞總計(jì)800余項(xiàng)，安全配置不符合項(xiàng)2000余項(xiàng)。

    

 總體評(píng)價(jià)

   通過本次安全評(píng)估服務(wù)，幫助北京某運(yùn)營商更加清晰的了解自己平臺(tái)系統(tǒng)存在的安全問題，助其進(jìn)一步完善和增強(qiáng)了業(yè)務(wù)系統(tǒng)和設(shè)備的安全性，提高系統(tǒng)抵御安全風(fēng)險(xiǎn)和黑客入侵的能力。
   當(dāng)然，該運(yùn)營商對(duì)本次安全評(píng)估服務(wù)結(jié)果感到十分滿意，并作出承諾，后面繼續(xù)合作。