三级等保数据加密隐私保护-班汇通.pdf

报告编号：P201803007-GB01 [2015 版] 等级测评结论 测评结论与综合得分 系统名称 班汇通信息服务平台 保护等级 第三级 上海鲁班金融信息服务有限公司系统研发部承担了班汇通信息服务平台信 息系统的安全保护责任，平台架构组负责系统的日常运维工作，为该系统 的主管部门。班汇通信息服务平台系统部署的物理机房位于长江西路 101 号科技网机房。班汇通信息服务平台系统基于 Linux 服务器，使用 Oracle 系统简介 数据库。 本次测评依据GB/T 22239-2008 《信息安全技术信息系统安全等级保护基本 要求》三级（S3A3G3）的要求对上海鲁班金融信息服务有限公司班汇通信 息服务平台的物理安全、网络安全、主机安全、应用安全、数据安全及备 份恢复、安全管理制度、安全管理机构、人员安全管理、系统建设管理、 系统运维管理10 个方面进行信息系统安全等级保护测评。 测评过程简介 综合得分 90.10 分 等级测评结论 -III- 报告编号：P201803007-GB01 [2015 版] 班汇通信息服务平台采用CentOS 操作系统和Oracle 数据库，通过堡垒机对服 务器和数据库进行统一管理，访问堡垒机通过 HTTPS 方式，经由跳板机采用 SSH 方式访问服务器，防止了鉴别信息在网络传输过程中被窃听。操作系统和数据库系 统均启用了口令复杂度策略、访问控制策略、安全审计等功能。操作系统和数据库 系统均根据用户角色为用户分配不同的用户名，设置了系统管理员、审计员、操作 员等，并限制了root 账户的远程访问权限。安装了开源clamAV 防病毒软件，及时 更新软件版本和恶意代码库。通过安恒综合日志审计系统对审计记录数据进行分析， 并生成审计报表。采用SSL 数据加密和SHA256 数据加密算法的技术进行会话初始 化验证。部署了webcare 智能网络监控系统对于重要服务器进行监视，对服务器的 CPU、硬盘、内存、网络等资源的使用情况进行监控，系统资源降低到预先规定的 阈值时软件可通过邮件进行报警系。 班汇通信息服务平台通过HTTPS 协议和SSL 加密技术保证对重要业务数据、 身份鉴别信息在传输规程中的完整性和保密性，采用MD5 摘要算法对用户鉴别信 息进行存储，并采用DES （64 位）加盐密码技术对（手机号、身份证号、银行卡号） 进行加密存储。备份，每天进行rman 0 级物理全量备份，本地备份保留7 天，并通 过rsync 同步至办公机房，备份数据存储于主机房数据备份磁盘，配备高性能磁盘 阵列设备，机房网络设备和服务器设备均采取集群或热备方式冗余部署，并采购了 年付的云盾太极抗D 尊享版，DDoS 攻击防护峰值为10Gbps，保证系统的高可用性。 上海鲁班金融信息服务有限公司建立了较为完善的由安全策略、管理制度、操 作规程等构成的信息安全管理制度体系，包括组织机构、员工、文件规范、网络安 全、系统安全、信息资产、介质管理、设备安全、病毒防护、系统变更、备份恢复、 安全事件、应急预案等方面的管理制度。每年对管理制度体系的合理性和适宜性进 行论证审定，并适时修订或履行作废手续。 制定了《人员信息安全管理制度》，明确由人力资源部负责人员录用与管理的 全过程，对其背景、身份、履历、资质等进行审查和核实。离岗人员及时清理和移 交软件、访问卡、文件和设备等，并撤销访问权限。定期对各个岗位人员进行安全 相关培训，并对外部人员进行受控访问。公司设立研发部为信息安全管理工作的职 能部门，设立了系统管理员、应用管理员、安全管理员、主机管理员、网络管理员、 安全审计员等