xxxx无线网络安全风险评估报告.doc

xxxx有限公司

无线网络安全风险评估报告

xxxx有限公司

二零一八年八月

1.目标

xxxx有限公司无线网络安全检查工作的主要目标是通过自评估工作，发现本局信息系统当前面临的主要安全问题，边检查边整改，确保信息网络和重要信息系统的安全。

一.评估依据、范围和方法

1.1评估依据

根据国务院信息化工作办公室《关于对国家基础信息网络和重要信息系统开展安全检查的通知》（信安通［2006］15号）、国家电力监管委员会《关于对电力行业有关单位重要信息系统开展安全检查的通知》（办信息[2006]48号）以及集团公司和省公司公司的文件、检查方案要求, 开展××单位的信息安全评估。

1.2评估范围

本次无线网络安全评估工作重点是重要的业务管理信息系统和网络系统等，管理信息系统中业务种类相对较多、网络和业务结构较为复杂，在检查工作中强调对基础无线网络信息系统和重点业务系统进行安全性评估，具体包括：基础网络与服务器、无线路由器、无线AP系统、现有安全防护措施、信息安全管理的组织与策略、信息系统安全运行和维护情况评估。

1.3评估方法

采用自评估方法。

2.重要资产识别

对本司范围内的重要系统、重要网络设备、重要服务器及其安全属性受破坏后的影响进行识别，将一旦停止运行影响面大的系统、关键网络节点设备和安全设备、承载敏感数据和业务的服务器进行登记汇总。

3.安全事件

对本司半年内发生的较大的、或者发生次数较多的信息安全事件进行汇总记录，形成本单位的安全事件列表。

4.无线网络安全检查项目评估

1.评估标准

无线网络信息安全组织机构包括领导机构、工作机构。岗位要求应包括：专职网络管理人员、专职应用系统管理人员和专职系统管理人员；专责的工作职责与工作范围应有制度明确进行界定；岗位实行主、副岗备用制度。病毒管理包括计算机病毒防治管理制度、定期升

级的安全策略、病毒预警和报告机制、病毒扫描策略（1周内至少进行一次扫描）。

2.现状描述

本司已成立了信息安全领导机构，但尚未成立信息安全工作机构。配置专职网络管理人员，专责的工作职责与工作范围有明确制度进行界定。本司使用360防病毒软件进行病毒防护，病毒预警是通过第三方和网上提供信息来源，每月统计、汇总病毒感染情况并提交局生技部和省公司生技部；每周进行二次自动病毒扫描；没有制定计算机病毒防治管理制度。

3.评估结论

完善信息安全组织机构，成立信息安全工作机构。完善病毒预警和报告机制，制定计算机病毒防治管理制度。

5.无线网络账号与口令管理

1.评估标准

制订了账号与口令管理制度；普通用户账户密码、口令长度要求符合大于6字符，管理员账户密码、口令长度大于8字符；半年内账户密码、口令应变更并保存变更相关记录、通知、文件，半年内系统用

户身份发生变化后应及时对其账户进行变更或注销。

2.现状描述

本司以制订账号与口令管理制度，普通用户账户密码、口令长度要求大部分都符合大于6字符；管理员账户密码、口令长度大于8字符，半年内账户密码、口令有过变更，但没有变更相关记录、通知、文件；半年内系统用户身份发生变化后能及时对其账户进行变更或注销。

3.评估结论

制订账号与口令管理制度，完善普通用户账户与管理员账户密码、口令长度要求；对账户密码、口令变更作相关记录；及时对系统用户身份发生变化后对其账户进行变更或注销。

6.无线网络与系统安全评估

1.评估标准

无线局域网核心交换设备、城域网核心路由设备应采取设备冗余或准备备用设备，不允许外联链路绕过防火墙，具有当前准确的网络拓扑结构图。无线网络设备配置有备份，网络关键点设备采用双电源，关闭网络设备HTTP、FTP、TFTP等服务，SNMP社区串、本地用户口令强健（>8字符，数字、字母混杂）。

2.现状描述

无线局域网核心交换设备准备了备用设备，城域网核心路由设备采取了设备冗余；没有不经过防火墙的外联链路，有当前网络拓扑结构图。网络设备配置没有进行备份，网络关键点设备是双电源，网络设备关闭了HTTP、FTP、TFTP等服务，SNMP社区串、本地用户口令没达到要求。

3.评估结论

无线局域网核心交换设备、城域网核心路由设备按要求采取设备冗余或准备备用设备，外联链路没有绕过防火墙，完善网络拓扑结构图。对网络设备配置进行备份，完善SNMP社区串、本地用户口令强健（>8字符，数字、字母混杂）。

7.ip管理与补丁管理

1.评估标准

有无线IP地址管理系统，无线IP地址管理有规划方案和分配策略，无线IP地址分配有记录。有补丁管理的手段或补丁管理制度，

Windows系统主机补丁安装齐全，有补丁安装的测试记录。

2.现状描述

有IP地址管理系统，正在进行对IP地址的规划和分配，IP地址分配有记录。通过手工补丁管理手段，没有制订相应管理制度；Windows 系统主机补丁安装基本齐全，没有补丁安装的测试记录

3.评估结论

加快进行对IP地址的规划和分配，IP地址分配有记录。完善补丁管理的手段，制订相应管理制度；补缺Windows系统主机补丁安装，补丁安装前进行测试记录。

8.防火墙

1.评估标准

无线网络中的防火墙位置部署合理，防火墙规则配置符合安全要求，防火墙规则配置的建立、更改有规范申请、审核、审批流程，对防火墙日志进行存储、备份。

2.现状描述

无线网络中的防火墙位置部署合理，防火墙规则配置符合安全要

求，防火墙规则配置没有建立、更改有规范申请、审核、审批流程，对防火墙日志没有进行存储、备份。

3.评估结论

网络中的防火墙位置部署合理，防火墙规则配置符合安全要求，防火墙规则配置的建立、更改要有规范申请、审核、审批流程，对防火墙日志应进行存储、备份。

9.自评总结

通过对上述的现状分析进行了自评估，总的来看，有了初步的安全基础设施，在管理方面具备了部分制度和策略，安全防护单一，技术上通过多种手段实现了基本的访问控制，但相应的安全策略、安全管理与技术方面的安全防护需要更新以适应要求。

需要对安全措施和管理制度方面进行改善，通过技术和管理两个方面来确保策略的遵守和实现，最终能够将安全风险控制在适当范围之内，保证和促进业务开展。