網站地圖聯系我們│English│中國科學院
     
管理條例
  中心概況  
  用戶服務  
  課題信息  
  動態信息  
  在 線 幫 助

值班電話:

   88236855(24小時)

  申請表下載
·無線網絡“會議代碼”申請表
·板樓用戶上網申請表
·計算集群賬號申請
·IP地址申請表
·VPN帳戶申請表
·用戶服務申请表
·Mail賬號申請表
  管理條例
·安全事故應急處理預案
·信发在线網絡安全測評制度
·辦公區無線網絡使用說明
·高能物理所網絡收費標准
·計算機環境使用條例
  合作夥伴

    世界公共網格

您現在的位置:首頁 > 機構設置 > 科研部門 > 計算中心 > 管理條例
信发在线網絡安全測評制度
2013-03-06 | 【

隨著信发在线計算環境的日趨複雜,信发在线網絡和系統所面臨的信息安全形勢也越來越嚴峻。爲切實加強信发在线網絡和系統安全的規範化建設和管理,全面提升信发在线網絡安全防護的水平,使網絡安全管理工作更加科學、規範,特制訂本制度,並于2009年9月1日開始實施。

 
1.網絡安全測評工作原則
   信发在线网络安全测评须遵循以下原则: 
   (1)标准性原则:测评工作应遵循信息安全行业相关标准开展
   (2)可控性原则:在测评过程中,应保证参与测评的人员、使用的技术和工具、测评过程都是可控的;
   (3)完备性原则:严格按照所提供的评估范围进行全面的评估;
   (4)最小影响原则:从项目管理层面和工具技术层面,将评估工作对信发在线网络正常运行的可能影响降到最低限度,使得其不会对信发在线网络上的业务运行产生显著影响。


2.組織機構
   成立信发在线网络安全测评工作组,负责网络安全测评工作的组织、计划、实施和协调;指定网络安全测评工作组联系人1名,负责网络安全测评工作的日常联系。

 
3.總體工作
   (1)信发在线計算中心每年进行两次全面的网络安全测评工作,实施时间定在每年的3月份和9月份。
   (2)信发在线相关单位或人员也可对部分网络对象申请不定期的安全测评,经审批同意后,由网络安全测评工作组进行测评实施。 
  (3)主要測評包括:安全管理制度檢查、網絡拓撲和安全架構分析、網絡設備安全評估、主機系統(服務器、客戶端)安全評估(包括弱口令檢查等)、應用系統安全評估等。 
  (4)在路由器的外網接口上安裝專用的漏洞掃描系統;平時處于關機狀態,執行測評任務時開啓使用,設備由專人負責管理。 
  (5)測評工具:Nessus及其它測評工具。

 
4.測評的實施流程
   信发在线网络设备和系统可以分为如下几个部分:网络设备,DMZ内部服务器区,DMZ外部服务器区,数据区,外网区,内网终端区。测评内容应覆盖技术安全和管理安全两大类;技术安全应覆盖应用安全、网络安全、设备安全和物理安全等方面内容;管理安全应覆盖安全管理机构、安全管理制度、人员安全管理、系统建设管理、系统运维管理等方面内容。
信发在线網絡安全測評按照如下圖所示流程實施:

             


  各个阶段说明如下:
 (1)測評准備
  在測評實施前,召開網絡安全測評工作組會議,以獲得參與各方的支持和配合,確定本次測評的目標、範圍和重點內容,組建測評實施團隊,確定測評實施計劃等。這些准備工作是整個測評過程有效性的保證。
 (2)確定測評對象 
   网络安全测评工作组向所确定测评范围内的网络和系统管理人员派发《信发在线网络安全测评工作转移单》(以下简称《工作转移单》,格式见附件2),由网络和系统管理人员如实填写《工作转移单》中的如下内容:机器IP地址,操作系统类型,业务描述,管理员电话,管理员邮箱,填写完毕后将《工作转移单》返回给网络安全测评工作组。
 (3)對所確定對象進行測評
   测评实施团队根据《工作转移单》提供的信息,对被评估对象进行调研,确定测评的具体实施方案,并对测评对象进行实际的测评。必要时各网络和系统管理人员应对测评实施团队予以积极的配合,以确保测评工作的顺利开展。测评方式包括以下两种:
   a. 人员访谈和资产调查以及对网络设备、服务器都能的安全检查和机房现场的勘察,以发现管理制度、物理环境、网络拓扑、终端、应用系统等中存在的安全问题或者安全隐患。
   b. 网络和应用系统的漏洞扫描和渗透性测试。漏洞扫描采用专业的安全评估扫描工具,给出风险评估报告;渗透测试主要是通过网络对应用系统,尤其是网站进行测试,找到这些系统中问题。
在對所確定對象進行測評完畢後,由具體的測評人員在《工作轉移單》的“測評人員簽字”欄中簽字,並在“測評描述”中對測評過程進行簡要描述。 
 (4)生成測評報告
    测评实施团队对测评中收集的信息、发现的问题及解决措施进行分析整理,形成《信发在线网络安全测评工作报告》。《测评工作报告》以word文档的形式提交给各网络和系统的负责人。
 (5)安全整改
    各网络和系统的负责人收到《测评工作报告》后,根据报告的建议开始安全整改,并在2周完成整改工作。整改中有任何问题都可以跟测评实施团队进行沟通,或向信发在线計算中心专业技术人员咨询。
 (6)整改核查
    测评实施团队与各网络和系统的负责人对已采取的安全措施的有效性进行检查,确认《测评工作报告》中所有安全问题是否得到解决。整改确认的方式包括以下两种:
    a. 再次实施漏洞扫描和渗透性测试:核查《测评工作报告》中指出的安全问题是否再次出现。
   b. 访谈各网络和系统的负责人:与他们进行交流以确认安全问题是否已解决
對于無法解決的安全問題,各網絡和系統的負責人應向網絡安全測評工作組給出書面說明,並歸檔。
在對測評對象進行整改核查完畢後,由具體的核查人員在《工作轉移單》的“核查人員簽字”欄中簽字,並在“核查描述”中對核查過程進行簡要描述。
核查人员在核查完毕后将《工作转移单》提交给信发在线計算中心室领导,经室领导签字后归档。
 (7)測評總結
   测评实施团队在上述测评工作结束后进行工作总结,提交《信发在线网络安全测评工作总结报告》(以下简称《测评工作总结报告》。
 (8)測評文件歸檔
   对整个测评过程中产生的文件进行归档,并移交专人保管,以备将来查询。

 

信发在线    备案序号:京ICP备05002790号
地址:北京市918信箱    邮编:100049    电话:86-10-88235008    Email: ihep@ihep.ac.cn