等级保护2.0差距分析模板(二级)

信息系统安全等级保护评估差距分析报告

(二级信息系统)

目录

1.概述 (5)

1.1 背景介绍 (5)

1.2 信息系统介绍 (5)

2.系统范围 (6)

2.1 网络及安全设备 (6)

2.2 服务器设备 (6)

3.差距分析方法 (7)

4.差距分析结果 (7)

5.差距分析表 (8)

5.1.安全物理环境 (8)

5.1.1.物理位置选择 (8)

5.1.2.物理访问控制 (8)

5.1.3.防盗窃和防破坏 (8)

5.1.4.防雷击 (9)

5.1.5.防火 (9)

5.1.6.防水和防潮 (9)

5.1.7.防静电 (9)

5.1.8.温湿度控制 (9)

5.1.9.电力供应 (10)

5.1.10.电磁防护 (10)

5.2.安全通信网络 (10)

5.2.1.网络架构 (10)

5.2.2.通信传输 (10)

5.2.3.可信验证 (11)

5.3.安全区域边界 (11)

5.3.1.边界防护 (11)

5.3.2.访问控制 (11)

5.3.3.入侵防范 (12)

5.3.4.恶意代码和垃圾邮件防范 (12)

5.3.5.安全审计 (12)

5.4.安全计算环境 (13)

5.4.1.身份鉴别 (13)

5.4.2.访问控制 (13)

5.4.3.安全审计 (13)

5.4.4.入侵防范 (14)

5.4.5.恶意代码防范 (14)

5.4.6.可信验证 (14)

5.4.7.数据完整性 (14)

5.4.8.数据备份恢复 (15)

5.4.9.剩余信息保护 (15)

5.4.10.个人信息保护 (15)

5.5.安全管理中心 (15)

5.5.1.系统管理 (15)

5.5.2.审计管理 (16)

6.管理要求 (16)

6.1.安全管理制度 (16)

6.1.1.安全策略 (16)

6.1.2.管理制度 (16)

6.1.3.制定和发布 (17)

6.1.4.评审和修订 (17)

6.2.安全管理机构 (17)

6.2.1.岗位设置 (17)

6.2.2.人员配备 (17)

6.2.3.授权和审批 (18)

6.2.4.沟通和合作 (18)

6.2.5.审核和检查 (18)

6.3.安全管理人员 (18)

6.3.1.人员录用 (18)

6.3.2.人员离岗 (19)

6.3.3.安全意识教育和培训 (19)

6.3.4.外部人员访问管理 (19)

6.4.安全建设管理 (19)

6.4.1.定级和备案 (19)

6.4.2.安全方案设计 (20)

6.4.3.产品采购和使用 (20)

6.4.4.自行软件开发 (20)

6.4.5.外包软件开发 (21)

6.4.7.测试验收 (21)

6.4.8.系统交付 (21)

6.4.9.等级测评 (22)

6.4.10.服务供应商选择 (22)

6.5.安全运维管理 (22)

6.5.1.环境管理 (22)

6.5.2.资产管理 (23)

6.5.3.介质管理 (23)

6.5.4.设备维护管理 (23)

6.5.5.漏洞和风险管理 (23)

6.5.6.网络和系统安全管理 (24)

6.5.7.恶意代码防范管理 (24)

6.5.8.配置管理 (25)

6.5.9.密码管理 (25)

6.5.10.变更管理 (25)

6.5.11.备份与恢复管理 (25)

6.5.12.安全事件处置 (26)

6.5.13.应急预案管理 (26)

6.5.14.外包运维管理 (26)

1.概述

1.1 背景介绍

随着信息化的不断发展，对信息系统的依赖程度也越来越高，大部分行业信息化都是以信息技术广泛应用为主导，信息资源为核心，信息网络为基础，信息人才为依托，有关信息法规、政策、标准、管理为保障的综合体系。为了贯彻和响应国家及行业等级保护相关文件要求，保护XXX系统的安全性，XX单位XX部门根据公安部的相关要求，开展等级保护相关工作，并委托XX公司进行信息系统安全评估等工作。为了更进一步了解信息系统与等级保护二级要求的差距，XX公司安全咨询顾问对XXX系统进行等保差距分析，明确与等级保护的具体差距，并为后期安全整改提供有力的依据和指导。

1.2 信息系统介绍

该信息系统为XXX系统，系统部署在XX机房，网络结构由XXX组成，网络拓扑图如下：

拓

扑

图

2.系统范围2.1 网络及安全设备

2.2 服务器设备

3.差距分析方法

我司安全顾问根据信息系统等级保护二级基本要求，对XXX系统信息系统分别从安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心、安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理等方面的现状进行对比，找出XXX系统信息系统与等级保护二级要求的差距。

4.差距分析结果

通过对XXX系统的安全现状与等级保护的二级要求进行了差距分析系统在安全技术和安全管理方面还存在一定的差距。具体的分析结果统计如下：

通过本次信息安全等级保护评估，发现被核查的信息系统未符合或未完全符合项为132项，需要进行整改，以达到信息系统等级保护二级的相关要求。