慈溪市橫河中心衛(wèi)生院醫(yī)院

1、慈溪市橫河中心衛(wèi)生院醫(yī)院基礎支撐系統(tǒng)信息安全等級保護（二級）整改項目1.現(xiàn)狀概述1.1信息系統(tǒng)現(xiàn)狀目前慈溪市橫河中心衛(wèi)生院基礎支撐系統(tǒng)現(xiàn)有設備有：服務器11臺；網(wǎng)絡設備若干：路由器、交換機；安全設備有：1臺防火墻、終端殺毒軟件、上網(wǎng)行為管理、VPN設備存儲設備：1臺1.2網(wǎng)絡系統(tǒng)現(xiàn)狀慈溪市橫河中心衛(wèi)生院的網(wǎng)絡系統(tǒng)整體構架采用二層層次化模型網(wǎng)絡架構，即由核心層、接入層組成。網(wǎng)絡現(xiàn)狀：核心層：核心層是網(wǎng)絡的高速交換主干，對整個網(wǎng)絡的連通起到至關重要的作用。公衛(wèi)網(wǎng)核心，由2臺H3C S5560組成。接入層：接入層由H3C S3100 V2接入交換機作為本院內(nèi)各終端接入?yún)R聚，為各區(qū)域提供接入。在華三S

2、5560核心交換機上劃分VLAN，內(nèi)網(wǎng)業(yè)務系統(tǒng)服務器、接入層交換機及其他設備都直接接入至核心交換機上。 安全現(xiàn)狀：在整體網(wǎng)絡中外網(wǎng)邊界處部署一臺火墻做安全防護，除此公衛(wèi)網(wǎng)絡無其他安全設備，安全防護體系不夠完善、區(qū)域劃分不合理，現(xiàn)狀拓撲圖如下：圖表 SEQ 圖表 * ARABIC 1 現(xiàn)狀拓撲圖1.3主機系統(tǒng)現(xiàn)狀慈溪市橫河中心衛(wèi)生院的業(yè)務系統(tǒng)主要有HIS、LIS、PACS和其他非關鍵業(yè)務應用等，部署于多臺服務器上。服務器為機架式服務器，固定于標準機柜與固定位置，有標識區(qū)分。服務器操作系統(tǒng)采用微軟的Windows Server操作系統(tǒng)及Linux。 慈溪市橫河中心衛(wèi)生院辦公終端約為200臺，win

3、7、XP系統(tǒng)各占一半,主機系統(tǒng)沒有進行過定期更新補丁，終端有安裝殺毒軟件。2現(xiàn)狀與差距分析2.1物理安全現(xiàn)狀與差距分析慈溪市橫河中心衛(wèi)生院機房面積30m左右。機房進出未進行人員記錄，存在一些物理安全隱患。UPS、電池均已過保，并缺少設備檢查及維修記錄。機房未配備火災自動消防系統(tǒng)。參照以下標準進行核查、整改；根據(jù)信息安全等級保護（第二級）中對物理安全相關項（防火、防雷、防水、防磁及電力供應等）存在些許差距。詳見下表差距分析。序號控制點二級要求差距分析備注物理訪問控制機房出入口應安排專人值守，控差距制、鑒別和記錄進入的人員。需安裝門禁系統(tǒng)，控制、鑒別和記錄進入的人員。未滿足2電力供應應提供短期的備

4、用電力供應，至少滿足關鍵設備在斷電情況下的正常運行要求需配備全新UPS設備及電池未滿足3防火a) 機房應設置火災自動消防系統(tǒng)，能夠自動檢測火情、自動報警，并自動滅火；需配備全新的火災自動消防系統(tǒng)未滿足2.2網(wǎng)絡安全區(qū)域邊界現(xiàn)狀與分析慈溪市橫河中心衛(wèi)生院信息網(wǎng)絡系統(tǒng)目前公衛(wèi)網(wǎng)未配置防火墻，只在主機終端部署終端殺毒軟件，主要表現(xiàn)出以下問題點：1、結構安全方面：應劃分不同的網(wǎng)絡區(qū)域，并按照方便管理和控制的原則為各網(wǎng)絡區(qū)域分配地址；在重要網(wǎng)絡區(qū)域部署網(wǎng)絡安全設備，與其他網(wǎng)絡區(qū)域之間做可靠的技術隔離；應保證網(wǎng)絡設備的業(yè)務處理能力滿足業(yè)務高峰期需要；網(wǎng)絡各個部分的帶寬滿足業(yè)務高峰期需要。2、訪問控制方面：

5、應在網(wǎng)絡邊界部署訪問控制設備，根據(jù)訪問控制策略設置訪問控制規(guī)則，啟用訪問控制功能。應能根據(jù)會話狀態(tài)信息為數(shù)據(jù)流提供明確的允許/拒絕訪問的能力，控制粒度為網(wǎng)段級。3、入侵防范方面: 應在關鍵網(wǎng)絡節(jié)點處監(jiān)視網(wǎng)絡攻擊行為. 端口掃描、強力攻擊、木馬后門攻擊、拒絕服務攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊和網(wǎng)絡蠕蟲攻擊等。4、惡意代碼和垃圾郵件防范方面：應在關鍵網(wǎng)絡節(jié)點處對惡意代碼進行檢測和清除，并維護惡意代碼防護機制的升級和更新。5、安全審計方面：應在網(wǎng)絡邊界、重要網(wǎng)絡節(jié)點進行安全審計，審計覆蓋到每個用戶，對重要的用戶行為和重要安全事件進行審計；審計記錄應包括事件的日期和時間、用戶、事件類型、事件是否成

6、功及其他與審計相關的信息；應對審計記錄進行保護，定期備份等；6、邊界完整性檢查方面：應能夠對內(nèi)部網(wǎng)絡中出現(xiàn)的內(nèi)部用戶未通過準許私自聯(lián)到外部網(wǎng)絡的行為進行檢查。7、主機防護方面：身份鑒別信息應具有不易被冒用的特點，口令應有復雜度要求并定期更換。當對網(wǎng)絡設備進行遠程管理時，應采取必要措施防止鑒別信息在網(wǎng)絡傳輸過程中被竊聽。詳見下表差距分析：序號控制點二級要求是否符合差距分析邊界防護應保證跨越邊界的訪問和數(shù)據(jù)流通過邊界設備提供的受控接口進行通信不符合應在公衛(wèi)網(wǎng)邊界處增加防火墻訪問控制應在網(wǎng)絡邊界或區(qū)域之間根據(jù)訪問控制策略設置訪問控制規(guī)則，默認情況下除允許通信外受控接口拒絕所有通信；不符合應在公衛(wèi)網(wǎng)邊

7、界處增加防火墻應刪除多余或無效的訪問控制規(guī)則，優(yōu)化訪問控制列表，并保證訪問控制規(guī)則數(shù)籃最小化；不符合應在公衛(wèi)網(wǎng)邊界處增加防火墻應對源地址、目的地址、源端口、目的端口和協(xié)議等進行檢查，以允許拒絕數(shù)據(jù)包進出不符合應在公衛(wèi)網(wǎng)邊界處增加防火墻應能根據(jù)會話狀態(tài)信息為進出數(shù)據(jù)流提供明確的允許拒絕訪間的能力。不符合應在公衛(wèi)網(wǎng)邊界處增加防火墻3入侵防范應在關鍵網(wǎng)絡節(jié)點處監(jiān)視網(wǎng)絡攻擊行為不符合應配置入侵檢測系統(tǒng)4惡意代碼防范應在關鍵網(wǎng)絡節(jié)點處對惡意代碼進行檢測和清除，并維護惡意代碼防護機制的升級和更新。不符合應配置防病毒網(wǎng)關或UTM5安全審計應在網(wǎng)絡邊界、重要網(wǎng)絡節(jié)點進行安全審計，審計覆蓋到每個用戶，對重要的用

8、戶行為和重要安全事件進行審計；不符合應該配置綜全安全審計系統(tǒng)審計記錄應包括事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關的信息；不符合應該配置綜全安全審計系統(tǒng)應對審計記錄進行保護，定期備份，避免受到未預期的刪除、修改或覆蓋等。不符合應該配置綜全安全審計系統(tǒng)6可信驗證可基千可信根對邊界設備的系統(tǒng)引導程序、系統(tǒng)程序、重要配置參數(shù)和邊界防護應用程序等進行可信驗證，并在檢測到其可信性受到破壞后進行報警，并將驗證結果形成審計記錄送至安全管理中心。基本符合2.3安全計算環(huán)境現(xiàn)狀與差距分析慈溪市橫河中心衛(wèi)生院基礎支撐系統(tǒng)安全計算環(huán)境根據(jù)國家信息安全等級保護（第二級）標準在對系統(tǒng)安全進行分析時

9、，發(fā)現(xiàn)應用系統(tǒng)涉及到應用系統(tǒng)的運行穩(wěn)定以及業(yè)務數(shù)據(jù)的安全可靠，主要現(xiàn)狀差距分析，如下： 序號控制點二級要求是否符合差距分析身份鑒別應對登錄的用戶進行身份標識和鑒別，身份標識具有唯一性，身份鑒別信息具有復雜度要求并定期更換；不符合應配置主機防護系統(tǒng)應具有登錄失敗處理功能，應配置并啟用結束會話、限制非法登錄次數(shù)和當?shù)卿涍B接超時自動退出等相關措施；不符合應配置主機防護系統(tǒng)當進行遠程管理時，應采取必要措施防止鑒別信息在網(wǎng)絡傳輸過程中被竊聽。不符合應配置主機防護系統(tǒng)2訪問控制應對登錄的用戶分配賬戶和權限；不符合應配置主機防護系統(tǒng)應重命名或刪除默認賬戶，修改默認賬戶的默認口令；不符合應配置主機防護系統(tǒng)應及

10、時刪除或停用多余的、過期的賬戶，避免共享賬戶的存在不符合應配置主機防護系統(tǒng)應授予管理用戶所需的最小權限，實現(xiàn)管理用戶的權限分離。不符合應配置主機防護系統(tǒng)3安全審計應啟用安全審計功能，審計覆蓋到每個用戶，對重要的用戶行為和重要安全事件進行審計不符合應配置日志集中審計系統(tǒng)審計記錄應包括事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關的信息；不符合應配置日志集中審計系統(tǒng)應對審計記錄進行保護，定期備份，避免受到未預期的刪除、修改或覆蓋等。不符合應配置日志集中審計系統(tǒng)4入侵防范應遵循最小安裝的原則，僅安裝需要的組件和應用程序；不符合應配置主機防護系統(tǒng)應關閉不需要的系統(tǒng)服務、默認共享和高危端

11、口；不符合應配置主機防護系統(tǒng)應通過設定終端接入方式或網(wǎng)絡地址范圍對通過網(wǎng)絡進行管理的管理終端進行限制；不符合應配置主機防護系統(tǒng)應提供數(shù)據(jù)有效性檢驗功能，保證通過人機接口輸入或通過通信接口輸入的內(nèi)容符合系統(tǒng)設定要求不符合應配置主機防護系統(tǒng)應能發(fā)現(xiàn)可能存在的已知漏洞，并在經(jīng)過充分測試評估后，及時修補漏洞不符合應配置主機防護系統(tǒng)5惡意代碼防范應安裝防惡意代碼軟件或配置具有相應功能的軟件，并定期進行升級和更新防惡意代碼庫?；痉?可信驗證可基于可信根對計算設備的系統(tǒng)引導程序、系統(tǒng)程序、重要配置參數(shù)和應用程序等進行可信驗證，并在檢測到其可信性受到破壞后進行報警，并將驗證結果形成審計記錄送至安全管理中心

12、?；痉?數(shù)據(jù)完整性應采用校驗技術保證重要數(shù)據(jù)在傳輸過程中的完整基本符合8數(shù)據(jù)備份恢復應提供重要數(shù)據(jù)的本地數(shù)據(jù)備份與恢復功能；基本符合應提供異地數(shù)據(jù)備份功能，利用通信網(wǎng)絡將重要數(shù)據(jù)定時批量傳送至備用場地。基本符合9剩余信息保護應保證鑒別信息所在的存儲空間被釋放或重新分配前得到完全清除基本符合10個人信息保護應僅采集和保存業(yè)務必需的用戶個人信息基本符合應禁止未授權訪間和非法使用用戶個人信息?；痉?.4安全管理中心現(xiàn)狀與差距分析慈溪市橫河中心衛(wèi)生院基礎支撐系統(tǒng)安全管理根據(jù)國家信息安全等級保護（第二級）標準在對系統(tǒng)安全進行分析時，發(fā)現(xiàn)系統(tǒng)管理、審計管理方面存在不足。主要現(xiàn)狀差距分析如下： 序號

13、控制點二級要求是否符合差距分析1系統(tǒng)管理應對系統(tǒng)管理員進行身份鑒別，只允許其通過特定的命令或操作界面進行系統(tǒng)管理操作，并對這些操作進行審計；不符合應配置運維堡壘機應通過系統(tǒng)管理員對系統(tǒng)的資源和運行進行配置、控制和管理，包括用戶身份、系統(tǒng)資源配置、系統(tǒng)加載和啟動、系統(tǒng)運行的異常處理、數(shù)據(jù)和設備的備份與恢復等不符合應配置運維堡壘機2審計管理應對審計管理員進行身份鑒別，只允許其通過特定的命令或操作界面進行安全審計操作，并對這些操作進行審計；不符合應配置運維堡壘機應通過審計管理員對審計記錄進行分析，并根據(jù)分析結果進行處理，包括根據(jù)安全審計策略對審計記錄進行存儲、管理和查詢等。不符合應配置運維堡壘機2.

14、5安全管理現(xiàn)狀與差距分析慈溪市橫河中心衛(wèi)生院在日常的運行維護管理中，根據(jù)自身的情況有制定一些安全管理制度并執(zhí)行，但沒有進行系統(tǒng)而規(guī)范的制度文件體系建設，以及相應制度執(zhí)行記錄歸檔保存。根據(jù)等級保護管理安全要求，仍有部分制度需要進行完善。管理制度建議如下表：類別管理內(nèi)容制度包括的主要內(nèi)容現(xiàn)狀分析備注物理資產(chǎn)安全管理對信息系統(tǒng)相關的資產(chǎn)清單、分類與標識、使用、轉移、廢棄等做出規(guī)定。不滿足對信息系統(tǒng)相關的資產(chǎn)清單、分類與標識、使用、轉移、廢棄等做出規(guī)定。機房安全管理對進出機房的人員和設備，機房監(jiān)控、機房值班、機房環(huán)境保障等做出規(guī)定。不滿足對進出機房的人員和設備，機房監(jiān)控、機房值班、機房環(huán)境保障等做出規(guī)

15、定。設備安全管理對設備的放置、使用、維護、維修、報廢等做出規(guī)定。不滿足對設備的放置、使用、維護、維修、報廢等做出規(guī)定。介質(zhì)安全管理對介質(zhì)的歸檔、存放、使用、銷毀等做出規(guī)定。不滿足對介質(zhì)的歸檔、存放、使用、銷毀等做出規(guī)定。網(wǎng)絡網(wǎng)絡安全管理對網(wǎng)絡及安全設備的操作、配置、日志記錄和監(jiān)控等做出規(guī)定。不滿足對網(wǎng)絡及安全設備的操作、配置、日志記錄和監(jiān)控等做出規(guī)定。系統(tǒng)系統(tǒng)安全管理對服務器和數(shù)據(jù)庫等的操作、配置、日志記錄和監(jiān)控等做出規(guī)定。不滿足對服務器和數(shù)據(jù)庫等的操作、配置、日志記錄和監(jiān)控等做出規(guī)定。應用數(shù)據(jù)安全管理對信息系統(tǒng)數(shù)據(jù)保存、備份、使用等做出規(guī)定。不滿足對信息系統(tǒng)數(shù)據(jù)保存、備份、使用等做出規(guī)定。病

16、毒防護管理對病毒防護系統(tǒng)的管理、使用和升級等做出規(guī)定不滿足對病毒防護系統(tǒng)的管理、使用和升級等做出規(guī)定終端計算機管理對終端計算機的日常使用、軟件安裝，入網(wǎng)、維修、報廢等做出規(guī)定。不滿足對終端計算機的日常使用、軟件安裝，入網(wǎng)、維修、報廢等做出規(guī)定。便攜計算機管理對便攜計算機的使用、密碼保護、入網(wǎng)、文件存儲、維修等做出規(guī)定。不滿足對便攜計算機的使用、密碼保護、入網(wǎng)、文件存儲、維修等做出規(guī)定。移動存儲介質(zhì)管理對移動存儲介質(zhì)的使用、管理、維修等做出規(guī)定。不滿足對移動存儲介質(zhì)的使用、管理、維修等做出規(guī)定。管理機構和人員管理對設立安全管理機構、機構職能、人員職責及管理，如重要崗位保密責任、人員離崗離職等方面

17、做出規(guī)定。不滿足對設立安全管理機構、機構職能、人員職責及管理，如重要崗位保密責任、人員離崗離職等方面做出規(guī)定。運行維護管理對日常運行維護的流程、操作等做出規(guī)定。不滿足對日常運行維護的流程、操作等做出規(guī)定。用戶管理對普通業(yè)務用戶、重要業(yè)務用戶、特權用戶（網(wǎng)絡、系統(tǒng)、安全管理員）的審批、權限、安全要求等做出規(guī)定。不滿足對普通業(yè)務用戶、重要業(yè)務用戶、特權用戶（網(wǎng)絡、系統(tǒng)、安全管理員）的審批、權限、安全要求等做出規(guī)定。密碼管理對信息系統(tǒng)中使用的密碼強度、變更和保存等做出規(guī)定。不滿足對信息系統(tǒng)中使用的密碼強度、變更和保存等做出規(guī)定。應急管理對應急計劃、處理、實施、演練等做出規(guī)定。不滿足對應急計劃、處理、

18、實施、演練等做出規(guī)定。變更管理對信息系統(tǒng)的變更申報、審批流程以及實施等做出規(guī)定。不滿足對信息系統(tǒng)的變更申報、審批流程以及實施等做出規(guī)定。網(wǎng)絡安全檢查對網(wǎng)絡安全檢查流程、工作內(nèi)容等做出規(guī)定。不滿足對網(wǎng)絡安全檢查流程、工作內(nèi)容等做出規(guī)定。 eq oac(,注)：以上制度體系僅供參考，還需結合實際情況進行制定，建議相關制度文件以紅頭文件發(fā)布并歸檔保存，對制度執(zhí)行過程中形成的相關記錄需定期歸檔保存。3.綜合整改建議結合慈溪市橫河中心衛(wèi)生院基礎支撐網(wǎng)絡現(xiàn)狀以及與國家政策標準的差距分析，本方案對醫(yī)院基礎支撐網(wǎng)絡的安全防護做出如下建議：3.1常見高風險問題梳理序號項目類別測評指標二級等保要求（一）網(wǎng)絡結構安

19、全方面1網(wǎng)絡安全結構安全應保證網(wǎng)絡設備的業(yè)務處理能力滿足業(yè)務高峰期需要；網(wǎng)絡各個部分的帶寬滿足業(yè)務高峰期需要2網(wǎng)絡安全結構安全應保證接入網(wǎng)絡和核心網(wǎng)絡的帶寬滿足業(yè)務高峰期需要；3網(wǎng)絡安全訪問控制應在網(wǎng)絡邊界部署訪問控制設備，啟用訪問控制功能；4網(wǎng)絡安全訪問控制應能根據(jù)會話狀態(tài)信息為數(shù)據(jù)流提供明確的允許/拒絕訪問的能力，控制粒度為網(wǎng)段級；5網(wǎng)絡安全訪問控制應按用戶和系統(tǒng)之間的允許訪問規(guī)則，決定允許或拒絕用戶對受控系統(tǒng)進行資源訪問，控制粒度為單個用戶；6網(wǎng)絡安全訪問控制應限制具有撥號訪問權限的用戶數(shù)量。7網(wǎng)絡安全邊界完整性檢查應能夠對內(nèi)部網(wǎng)絡中出現(xiàn)的內(nèi)部用戶未通過準許私自聯(lián)到外部網(wǎng)絡的行為進行檢查

20、。8網(wǎng)絡安全入侵防范應在網(wǎng)絡邊界處監(jiān)視以下攻擊行為：端口掃描、強力攻擊、木馬后門攻擊、拒絕服務攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊和網(wǎng)絡蠕蟲攻擊等。（二）網(wǎng)絡設備方面1網(wǎng)絡安全訪問控制應在網(wǎng)絡邊界部署訪問控制設備，啟用訪問控制功能；2網(wǎng)絡安全訪問控制應能根據(jù)會話狀態(tài)信息為數(shù)據(jù)流提供明確的允許/拒絕訪問的能力，控制粒度為網(wǎng)段級；3網(wǎng)絡安全訪問控制應按用戶和系統(tǒng)之間的允許訪問規(guī)則，決定允許或拒絕用戶對受控系統(tǒng)進行資源訪問，控制粒度為單個用戶；4網(wǎng)絡安全訪問控制應限制具有撥號訪問權限的用戶數(shù)量。5網(wǎng)絡安全安全審計應對網(wǎng)絡系統(tǒng)中的網(wǎng)絡設備運行狀況、網(wǎng)絡流量、用戶行為等進行日志記錄；6網(wǎng)絡安全安全審計審計

21、記錄應包括事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關的信息。7網(wǎng)絡安全網(wǎng)絡設備防護應對登錄網(wǎng)絡設備的用戶進行身份鑒別；8網(wǎng)絡安全網(wǎng)絡設備防護應對網(wǎng)絡設備的管理員登錄地址進行限制；9網(wǎng)絡安全網(wǎng)絡設備防護網(wǎng)絡設備用戶的標識應唯一；10網(wǎng)絡安全網(wǎng)絡設備防護身份鑒別信息應具有不易被冒用的特點，口令應有復雜度要求并定期更換；11網(wǎng)絡安全網(wǎng)絡設備防護應具有登錄失敗處理功能，可采取結束會話、限制非法登錄次數(shù)和當網(wǎng)絡登錄連接超時自動退出等措施；12網(wǎng)絡安全網(wǎng)絡設備防護當對網(wǎng)絡設備進行遠程管理時，應采取必要措施防止鑒別信息在網(wǎng)絡傳輸過程中被竊聽。（三）主機安全方面1WindowsLinux身

22、份鑒別應對登錄操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的用戶進行身份標識和鑒別；2WindowsLinux身份鑒別操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)管理用戶身份標識應具有不易被冒用的特點，口令應有復雜度要求并定期更換；3WindowsLinux身份鑒別應啟用登錄失敗處理功能，可采取結束會話、限制非法登錄次數(shù)和自動退出等措施；4WindowsLinux身份鑒別當對服務器進行遠程管理時，應采取必要措施，防止鑒別信息在網(wǎng)絡傳輸過程中被竊聽；5WindowsLinux身份鑒別應為操作系統(tǒng)和數(shù)據(jù)庫的不同用戶分配不同的用戶名，確保用戶名具有唯一性。6WindowsLinux訪問控制應啟用訪問控制功能，依據(jù)安全策略控制用戶對資源的訪問；7W

23、indowsLinux訪問控制應實現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)特權用戶的權限分離；8WindowsLinux訪問控制應限制默認賬戶的訪問權限，重命名系統(tǒng)默認賬戶，修改這些賬戶的默認口令；9WindowsLinux訪問控制應及時刪除多余的、過期的賬戶，避免共享賬戶的存在。10WindowsLinux安全審計審計范圍應覆蓋到服務器上的每個操作系統(tǒng)用戶和數(shù)據(jù)庫用戶；11WindowsLinux安全審計審計內(nèi)容應包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安全相關事件；12WindowsLinux安全審計審計記錄應包括事件的日期、時間、類型、主體標識、客體標識和結果等；13Wind

24、owsLinux安全審計應保護審計記錄，避免受到未預期的刪除、修改或覆蓋等。14WindowsLinux入侵防范操作系統(tǒng)遵循最小安裝的原則，僅安裝需要的組件和應用程序，并通過設置升級服務器等方式保持系統(tǒng)補丁及時得到更新。15WindowsLinux惡意代碼防范應安裝防惡意代碼軟件，并及時更新防惡意代碼軟件版本和惡意代碼庫；16WindowsLinux惡意代碼防范應支持惡意代碼防范的統(tǒng)一管理。17WindowsLinux資源控制應通過設定終端接入方式、網(wǎng)絡地址范圍等條件限制終端登錄；18WindowsLinux資源控制應根據(jù)安全策略設置登錄終端的操作超時鎖定；19WindowsLinux資源控制

25、應限制單個用戶對系統(tǒng)資源的最大或最小使用限度；20數(shù)據(jù)庫身份鑒別應對登錄操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的用戶進行身份標識和鑒別；21數(shù)據(jù)庫身份鑒別操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)管理用戶身份標識應具有不易被冒用的特點，口令應有復雜度要求并定期更換；22數(shù)據(jù)庫身份鑒別應啟用登錄失敗處理功能，可采取結束會話、限制非法登錄次數(shù)和自動退出等措施；23數(shù)據(jù)庫身份鑒別當對服務器進行遠程管理時，應采取必要措施，防止鑒別信息在網(wǎng)絡傳輸過程中被竊聽；24數(shù)據(jù)庫身份鑒別應為操作系統(tǒng)和數(shù)據(jù)庫的不同用戶分配不同的用戶名，確保用戶名具有唯一性。25數(shù)據(jù)庫訪問控制應啟用訪問控制功能，依據(jù)安全策略控制用戶對資源的訪問；26數(shù)據(jù)庫訪問控制應實現(xiàn)操

26、作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)特權用戶的權限分離；27數(shù)據(jù)庫訪問控制應限制默認賬戶的訪問權限，重命名系統(tǒng)默認賬戶，修改這些賬戶的默認口令；28數(shù)據(jù)庫訪問控制應及時刪除多余的、過期的賬戶，避免共享賬戶的存在。29數(shù)據(jù)庫安全審計審計范圍應覆蓋到服務器上的每個操作系統(tǒng)用戶和數(shù)據(jù)庫用戶；30數(shù)據(jù)庫安全審計審計內(nèi)容應包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安全相關事件；31數(shù)據(jù)庫安全審計審計記錄應包括事件的日期、時間、類型、主體標識、客體標識和結果等；32數(shù)據(jù)庫安全審計應保護審計記錄，避免受到未預期的刪除、修改或覆蓋等。33數(shù)據(jù)庫資源控制應通過設定終端接入方式、網(wǎng)絡地址范圍等條件限制終

27、端登錄；34數(shù)據(jù)庫資源控制應根據(jù)安全策略設置登錄終端的操作超時鎖定；35數(shù)據(jù)庫資源控制應限制單個用戶對系統(tǒng)資源的最大或最小使用限度；（四）物理安全方面1物理安全物理訪問控制機房出入口應安排專人值守，控制、鑒別和記錄進入的人員；2物理安全物理訪問控制需進入機房的來訪人員應經(jīng)過申請和審批流程，并限制和監(jiān)控其活動范圍。3物理安全防火機房應設置滅火設備和火災自動報警系統(tǒng)。4物理安全溫濕度控制機房應設置溫、濕度自動調(diào)節(jié)設施，使機房溫、濕度的變化在設備運行所允許的范圍之內(nèi)。5物理安全電力供應應在機房供電線路上設置穩(wěn)壓器和過電壓防護設備；6物理安全電力供應應提供短期的備用電力供應，至少滿足關鍵設備在斷電情況

28、下的正常運行要求。3.2等保（二級）要求設備對照表序號設備名稱備注1桌面管理建議部署2邊界防火墻必須部署3VPN如存在外部運維建議部署4入侵檢測系統(tǒng)必須部署6堡壘機如存在第三方運維建議部署7主機防護系統(tǒng)建議部署8日志審計系統(tǒng)必須部署9企業(yè)版殺毒軟件必須部署3.4安全管理綜合整改建議序號測評指標二級等保要求整改建議1安全策略隨著業(yè)務應用系統(tǒng)的不斷增加，網(wǎng)絡結構日益復雜，由于各業(yè)務系統(tǒng)建設、運維分散，沒有總體規(guī)劃逐漸不能適應越來越復雜的應用需求。主要表現(xiàn)在缺乏整體安全策略、沒有統(tǒng)一規(guī)范的安全體系建設標準，安全職責劃分不明確，各業(yè)務系統(tǒng)的安全防護程度不一、人員沒有形成統(tǒng)一的安全意識、缺乏統(tǒng)一的安全操

29、作流程和指導手冊；梳理和完善包括安全組織體系、管理體系、防護體系和運維體系的制度建設。應急預案建設與應急預案及攻防演練2安全制度安全組織擁有安全管理員崗位，但安全崗位職能沒有很好得到執(zhí)行，沒有對整個業(yè)務體系安全進行統(tǒng)一規(guī)劃和管理。安全管理基本上靠運維管理人員的自我管理，缺乏統(tǒng)一的安全管理體系；3系統(tǒng)建設由于運維、外包等原因，防護體系的建設依賴于各重要業(yè)務系統(tǒng)的建設，在今后的防護體系建設和改造中希望將安全防護體系統(tǒng)一考慮；4系統(tǒng)運維無法有效安全監(jiān)管，造成重大安全隱患，極有可能成為攻擊跳板；5缺少專業(yè)性的安全運維服務隊伍支撐，業(yè)務系統(tǒng)的安全檢查和漏洞評估沒有周期性執(zhí)行，各主機的安全程度主要依賴于各

30、管理員個人的安全意識水平，沒有形成定期統(tǒng)一的安全檢查制度和安全基線要求；6缺少各項應急預案，導致一但發(fā)生重大安全問題無法快速進行故障的排除和解決，安全隱患較大。7安全發(fā)展應對行業(yè)發(fā)展帶來的安全挑戰(zhàn),缺少專業(yè)機構的咨詢支撐，無法及時了解行業(yè)安全動態(tài),以及發(fā)展趨勢。附件慈溪市橫河中心衛(wèi)生院基礎支撐系統(tǒng)信息安全等級保護（二級）整改項目分項報價序號項目名稱項目特征單位數(shù)量單價（元）金額(元)1防火墻標準機架式 配置為6個10/100/1000BASE-T接口，1個可插撥的擴展槽，吐吞量6G，并發(fā)連接150萬，千兆高性能防火墻，采用雙安全操作系統(tǒng)設計，支持未知威脅檢測，能夠對于未知木馬、病毒、惡意代碼等

31、進行有效檢測與阻斷，支持0day/1day漏洞檢測。臺150,00050,0002入侵防御IPS系統(tǒng)模塊,原外網(wǎng)建議增加模塊套225,900518003日志審計1U機箱，配置為4個10/100/1000BASE-T接口，16g內(nèi)存，4t硬盤，默認含含日志收集、存儲、查詢、關聯(lián)分析、統(tǒng)計分析等功能,含50個日志源臺190,00090,0004內(nèi)網(wǎng)桌面安全管理系統(tǒng)1U機架結構；單電源；標準配置6個1000MBASE-T接口；每秒事務數(shù)（TPS)：800（次/秒），最大吞吐量：300Mbps，最大并發(fā)連接數(shù)：500（條）；授權點數(shù):250；三年質(zhì)保套150000500005堡壘機1U機架式結構;1個

32、console口,2個USB口;4個10/100/1000BASE自適應電口,其中1個可擴展槽;1T存儲空間，50個主機/設備許可;用戶數(shù)不限制，三年質(zhì)保臺18500085,0006主機端應用管理中間件（主要業(yè)務系統(tǒng)服務器）暴力破解防護：針對RDP、SSH、FTP、MY SQL、SQL SERVER等，提供防暴力破解功能，鎖定攻擊源。程序控制：支持對執(zhí)行程序的黑白名單控制，僅允許白名單程序執(zhí)行；系統(tǒng)內(nèi)置白名單庫，自動識別系統(tǒng)中程序的可信度；白名單控制不僅判斷程序的路徑，而且校驗程序hash值，校驗不通過拒絕啟動。支持驅動程序、應用程序、動態(tài)鏈接庫、靜態(tài)鏈接庫等執(zhí)行體的控制。腳本控制：支持對腳本程序的執(zhí)行控制，僅允許在白名單中的腳本執(zhí)行。腳本類型包括shell、bat、python、perl、java、php等。程序保護：支持對執(zhí)行程序、腳本程序的完整性保護，防止被非授權篡改。進程防護：支持對關鍵進程的保護，包括防殺、防止內(nèi)存注入、防止消息HOOK等。配置保護：提供安全配置策略模版，支持對賬戶、服務、程序、系統(tǒng)等關鍵配置進行保護。防止添加、刪除、修改的危