浅谈信息系统安全等级保护测评的实施管理

周寅晴，欧阳资春

（郴州市烟草公司，郴州 423000）

随着信息安全在信息系统应用中的重要性日益突出，近年来国家和企业对信息安全的评估检测更加重视。本人以湖南省烟草学会综合管理与期刊媒体工作平台（以下简称学会期刊平台）的安全等级保护测评为例，对信息系统的安全技术状态及安全管理状况做出判断，提出与其相应安全等级保护要求之间的差距以及存在的安全隐患，为后续的安全整改工作提供依据。

1 安全等级保护测评概述

信息安全等级保护是我国信息安全保障的一项基本制度，是国家通过制定统一的信息安全等级保护管理规范和技术标准，组织公民、法人和其他组织对信息系统分等级实行安全保护[1]。等级保护根据信息系统的重要程度由低到高划分1到5个等级，根据安全等级实施保护策略，本次学会期刊平台定级为二级，测评分为四个过程：测评准备过程、方案编制过程、测评实施过程、分析与报告编制过程[2]。

1.1 测评准备

测评准备需要确定学会期刊平台的安全定级、使用时间、应用业务及系统服务等情况，主要任务有项目启动，收集和分析信息，准备表单与测评工具等。

1.2 测评方案编制

根据收集的信息，全面分析学会期刊平台及与其相关的业务应用系统，确定测评对象，按定级结果细化测评指标，选择合适的测评工具，开发测试作业指导书。测评方案是测评工作实施的基础，主要内容有测评概述、对象、指标、工具的接入点以及单元测评实施等。

1.3 现场测评

现场测评以测评方案为依据，应用测评工具取得分析所需的证据和资料，主要任务有现场测评准备、现场测评和结果记录、结果确认和资料归还等。

1.4 分析撰写测评报告

分析撰写测评报告是根据现场测评结果，通过单项测评结果判定、单元测评结果判定、整体测评和风险分析等方法，找出学会期刊平台的安全保护现状与即定保护要求之间的差距，并进行风险分析和评价，给出等级测评结论，形成测评报告，主要任务有单项测评结果判定、单元测评结果判定、整体测评、风险分析、等级测评结论形成及测评报告编制等。

2 学会期刊平台概况

学会期刊平台主要实现了期刊管理、会员服务、公文流转、科学普及学术交流等功能，其研究的方向包括两方面：一是学会期刊与论文采编的流程实现；二是通过移动终端应用开发，对学会的期刊进行移动化和电子化。

2.1 网络结构

学会期刊平台部署在市局办公楼1楼信息中心机房，位于郴州市局网络内。整个网络采用双链路冗余，主链路由中国电信提供，备份链路为中国联通提供，网络结构主要包括：网络核心区、DMZ区、办公区、互联网区。

2.1.1 网络核心区

网络核心区主要提供核心主机、数据库、存储设备等重要设备的数据路由、交换功能。通过部署两台思科7606边界路由器上联到省公司，下联到县公司。省市网络的主干链路边界部署有一台入侵防御系统（启明星辰NIPS-2060），实施对内部网络入侵行为进行检测及防护。

2.1.2 DMZ区

DMZ区放置学会期刊平台系统服务器，主要实现外部网络访问应用，内外网络之间通过一台思科PIX 525防火墙互联，设置一道防护关卡，更加有效地保护内部网络。

2.1.3 办公区

办公区主要提供对办公终端网络接入与业务访问，各楼层使用二层交换机上联到网络核心区核心三层交换机（思科4507、H3C 7506），下联到各楼层办公区终端。按照不同部门划分不同VLAN区，实现不同访问权限控制。

2.1.4 互联网区

互联网区主要提供对学会期刊平台对外服务，互联网出口边界部署一台思科PIX 525防火墙防火墙，保护内网网络的安全。

2.2 系统资产

系统资产包括被测信息系统相关的所有软硬件、人员、数据及文档等。

3 测评范围与方法

3.1 测评指标

学会期刊平台安全保护等级为第二级，其中业务信息安全保护等级为第二级，系统服务安全保护等级为第二级（S2A2G2）。

3.2 测评对象

学会期刊平台等级测评对象种类上基本覆盖，重点抽查主要的设备、设施、人员和文档等，结合网络拓扑结构和业务情况，本次等级测评的测评对象在抽样时主要考虑以下几个方面：

（1）主机房（包括其环境、设备和设施等）；

（2）存储被测系统重要数据的介质的存放环境；

（3）整个系统的网络拓扑结构；

（4）安全设备，包括防火墙等；

（5）边界网络设备，包括路由器、交换机等；

（6）承载业务处理系统主要业务或数据的服务器（包括其操作系统和数据库）；

（7）管理终端和学会期刊平台应用系统主要终端；

（8）能够完成学会期刊平台系统不同业务使命的业务应用系统；

（9）业务备份系统；

（10）信息安全主管人员、各方面的负责人员、安全管理的当事人、业务负责人；

（11）涉及到信息系统安全的所有管理制度和记录。

3.3 测评方法

3.3.1 测评方式

学会期刊平台等级测评采用的主要方式有：访谈、核查、测试及综合风险分析[3]。

3.3.2 测评工具

测评工具采用铱迅漏洞扫描系统 NVS-2000。

3.3.3 测评工具接入点的确定

针对学会期刊平台的网络边界和抽查设备、主机及业务应用系统的情况，测试工具接入点从接入层交换机接入，模拟外部/内部恶意用户发现操作系统、数据库、Web应用、第三方产品等安全漏洞的过程，并尝试利用以上漏洞实施诸如获取系统控制权（GetShell）、获得大量敏感信息（DragLibrary）等模拟攻击行为。

4 单元测评

单元测评内容包括“基本指标”中涉及的安全层面，内容由问题分析和结果汇总等两个部分构成，详细结果及符合程度将记录到测评报告中。

4.1 单元测评小结

根据测评项的符合程度得分，以算术平均法合并多个测评对象在同一测评项的得分，得到各测评项的多对象平均分。

根据测评项权重，以加权平均合并同一安全控制点下的所有测评项的符合程度得分，并按照控制点得分计算公式得到各安全控制点的5分制得分。

以表格形式汇总测评结果，表格以不同颜色对测评结果进行区分，部分符合（安全控制点得分在0分和5分之间，不等于0分或5分）的安全控制点采用黄色标识，不符合（安全控制点得分为0分）的安全控制点采用红色标识。

4.2 安全问题汇总

针对单元测评结果中存在的部分符合项或不符合项加以汇总，形成安全问题列表并计算其严重程度值。依其严重程度取值为1～5，最严重的取值为5。安全问题严重程度值是基于对应的测评项权重并结合对应测评项的符合程度进行的。具体计算公式如下：

安全问题严重程度值=（5-测评项符合程度得分）×测评项权重。

5 整体测评

整体测评从安全控制间、层面间、区域间和验证测试等方面对单元测评的结果进行验证、分析和整体评价。

5.1 安全控制间安全测评

机房位于建筑一楼，存在渗水受潮风险，但已对防风、防水、防潮能力进行强化。能够有效避免渗水、受潮等风险，达到等级保护安全要求[4]。

5.2 层面间安全测评

服务器未开启密码复杂度策略，但在管理要求和实际操作上，已设置的密码复杂度符合安全要求，并定期对密码进行了更改。

5.3 区域间安全测评

服务器防火墙未开启，部分补丁未及时更新，但同时在网络边界上部署了防火墙，能够对针对应用的扫描攻击、木马后门攻击、拒绝服务攻击等行为进行防范。并能够对针对应用的攻击行为进行记录，包括攻击源IP、攻击类型、时间等。由高风险降为中风险。

5.4 验证测试

验证测试包括漏洞扫描，渗透测试等，验证测试发现的安全问题对应到相应的测评项的结果记录中。

5.5 整体测评结果汇总

根据整体测评结果，修改安全问题汇总表中的问题严重程度值及对应的修正后测评项符合程度得分，并形成修改后的安全问题汇总表（仅包括有所修正的安全问题）[5]。根据整体测评安全控制措施对安全问题的弥补程度将修正因子设为0.5～0.9。

修正后问题严重程度值=修正前的问题严重程度值×修正因子。

修正后测评项符合程度=5-修正后问题严重程度值/测评项权重。

6 安全状况分析

6.1 系统安全防护评估

以表格形式汇总学会期刊平台系统已采取的安全保护措施情况，并根据安全控制点得分，以算术平均合并同一安全层面下的所有安全控制点得分，并转换为安全层面的百分制得分。根据表格内容描述被测信息系统已采取的有效保护措施和存在的主要安全问题情况。

6.2 安全问题风险评估

依据信息安全标准规范，采用风险分析的方法进行危害分析和风险等级判定。针对等级测评结果中存在的所有安全问题，结合关联资产和威胁分别分析安全危害，找出可能对信息系统、单位、社会及国家造成的最大安全危害（损失），并根据最大安全危害严重程度进一步确定信息系统面临的风险等级，结果为“高”、“中”或“低”，并以列表形式给出等级测评发现安全问题以及风险分析和评价情况。

6.3 等级测评结论

综合上述测评与风险分析结果，根据符合性判别依据给出等级测评结论，并计算信息系统的综合得分。等级测评结论应表述为“符合、“基本符合”或者“不符合”。

7 结束语

信息安全不是绝对的安全，而是适度、整体的安全。安全等级保护测评是一个集管理方法、技术措施和法律法规于一体的系统工程，始终有其动态发展性，要不断进行完善，持续进行改进，强化安全保障，才能确保信息系统安全稳定运行2。学会期刊平台安全等级保护测评对系统安全技术状态及安全管理状况进行检测，最终形成安全等级测评结论报告，为学会期刊平台的后续完善提出处置意见，进一步确保了系统平台的物理安全、网络安全、主机安全、应用安全、数据安全和运维安全。