信息系统安全保障-展示页

【正文】

求  机房的 外部 环境条件、照明、接地、供电、建筑结构、 介质 存放、监视防护设备等应满足 GB/T 2887《电子计算机场地通用规范》 ~ 的要求 ；  机房的选址、防火、供配电、消防设施、防水、防静电、防雷击应满足 GB/T 9361《计算机场地安全要求》 4～ 8节 的要求 ， 在防火、防雷、防静电、 安防 监控等方面时，应经过相关专业机构的检测。 信息系统安全保障体系 运维 —— 是否 建立 了 合理的恶意代码防范、数据备份、网络监控和系统冗余备份等安全运维机制，保障系统的运行安全 管理制度 —— 管理层 应针对本单位应用状况建立合理的安全管理制度 并有效执行 ，在统一的安全策略下对各类可能影响系统信息安全的行为进行有效管理。 • 苹果为 Safari浏览器推出了安全补丁，修复了 48个安全漏洞。信息系统 安全保障 杭州市基础信息安全测评认证中心 主要内容 信息安全现状 1 信息系统安全保障体系 2 安全保障技术要求 安全保障管理要求 4 3 安全现状 —— 网站安全 2023年全年中国大陆网站监测到被篡改数量  有 万个网站被黑客篡改  其中：政府网站被篡改 2765 个 2023年 12月中国大陆网站监测到被篡改数量  4185个网站被黑客篡改  其中：政府网站被篡改 764个 6月份：大量高校网站被黑（包括北大、清华、浙大） （依据“ 国家计算机网络应急技术处理协调中心 ”报告） 网络攻击的主要目标  根据电信运营商 2023年调查结果 (基于对 2亿 8500万次累计攻击行为数据进行分析 )：对数据库系统的攻击行为占比最高，在 75%左右。 安全现状 —— 主要攻击目标 安全现状 —— 安全漏洞 系统安全漏洞  网络设备、操作系统、数据库、应用软件甚至是安全产品的高危漏洞越来越多， 2023年， CNCERT整理和发布的高危漏洞公告 133个，比 2023年增加 32%  2023年仅以 6月份的第 2个礼拜为例： • 周二微软发布 10 个安全补丁，修复 34个安全漏洞，随后又发布一个 0Day攻击安全漏洞。 • 星期五 Adobe发布的补丁涉及 32个安全漏洞 终端安全： 2023年我国 计算机病毒感染率为 70%，其中多次感染病毒的比率为 43% 安全现状 —— 本市安全现状 测评中心 2023年安全评估结果  93%的系统存在高风险安全漏洞 ；  43%的系统存在 10个以上高风险安全漏洞  85%的 系统在网络边界安全控制上不符合安全评估要求  85%的网站存在 SQL注入漏洞，可直接修改、删除后 台数据库数据  14%网站存在黑客植入 的后门 安全形势 —— 卫生系统 医院医疗业务的开展对网络信息系统的依赖  ，北京某医院，内网服务器受蠕虫攻击，所有应用系统无法运行 医院信息系统在规模、复杂度上的快速提高  HIS、 LIS、 PACS/RIS、麻醉系统、 …… 新的外部信息安全威胁及挑战 各医院院领导及主管部门 对信息安全建设工作的重视 主要内容 信息安全现状 1 信息系统安全保障体系 2 安全保障技术要求 安全保障管理要求 4 3 面临的安全威胁 地震 偷窃 洪水 雷电 火灾 恶意软件 窃听 硬件故障 电力供应故障 非法软件 环境 …… 软件安全缺陷 通讯线路电缆损坏 病毒 网络组件故障 维护错误 黑客 信息系统安全保障体系 管理制度 应用系统 网络平台 系统平台 物理环境 运行维护 信息系统安全保障体系 物理 —— 机房是否 提供系统正常运行的场所，并保证硬件 设备 、通信链路、机房环境的物理安全 网络 —— 是否 合理划分 了 不同的网络区域，并 根据应用需求设置合理的访问控制策略，强化网络设备自身安全配置 信息系统安全保障体系 系统平台 —— 是否 对 应用 系统所依赖的操作系统、数据库及应用平台进行 了 合理的安全配置， 以 保障系统平台的安全 应用系统 —— 业务应用软件应根据安全需求开发 各类 安全功能，并有效启用安全功能， 以 达到保护应用信息的目的。 信息系统安全保障体系 产品选择 —— 必须选用经国家主管部门许可、并经国家 测评 认证机构认可的安全产品。 物理环境安全 —— 机房环境 其它具体要求  提供 合理的 短期备用电力供应  设备防盗、防毁措施；  通讯线路连接、设备标签、布线合理性；  机房出入口配置门禁系统及监控报警系统；  机房出入记录，记录内容包括人员姓名、出入日期和时间，操作内容，携带物品等 。 典型案例  某单位外网防火墙 ：将多台内部服务器的 Oracle数据库服务端口、内部核心业务应用系统 Web服务端口直接开放至 Inter (1年前开发商调试遗留 )  某单位连接下属机构的专网防火墙 ：将业务服务器的所有网络端口不加区分地全部向区县分局开放  某单位基于 Inter的 VPN接入设备 ：对 VPN用户的认证口令易猜测（单位名称缩写），可轻易接入该单位局域网。 网络结构安全 —— 案例 具体安全要求  应对网络边界上部署的网络隔离设备中根据应用需求设置合理的 访问控制 规则，合理开放对外服务  应对系统内部服务器区域进行划分及隔离，在终端计算机与服务器之间进行 访问控制 ，建立安全的访问路径。  禁止非授权 设备接入 内部网络，尤其是服务器区域。 网络设备安全 —— 案例 具体安全要求（以路由器交换机为例）  保持路由器 /交换机软件版本的更新，修补高风险的漏洞； （软件更新 ) 