信息系统安全评估报告.docxVIP

信息系统安全评估报告

本次信息系统安全评估对象为某省级政务服务一体化平台V2.0版本，评估范围涵盖平台基础设施层、系统应用层、数据资源层、安全管理层四个维度，评估周期为2024年3月12日至2024年4月18日，评估依据《中华人民共和国网络安全法》《中华人民共和国个人信息保护法》《信息安全技术信息系统安全等级保护测评要求》（GB/T28448-2019）《网络安全等级保护条例》《政务数据分类分级指南》等法律法规、部门规章和国家标准开展，评估目的为排查平台上线运行一周年的安全隐患，验证其是否满足网络安全等级保护三级的合规要求，保障政务服务业务连续性和用户敏感数据安全。

评估方法

本次评估结合合规性核查与攻击性验证两类方法，多维度验证平台实际安全防护能力，具体方法包括：

1.文档审查：收集梳理平台安全管理制度、运维日志、变更记录、应急预案、上一次评估整改记录等共计62份文档，从制度层面核查安全管理要求的落实情况；

2.工具自动化扫描：采用Nessus漏洞扫描器完成16个在线资产的端口、服务、漏洞扫描，使用AWVS、AppScan完成Web应用和移动端应用的漏洞扫描，累计发现潜在漏洞42个，其中CVSS评分≥9.0的严重漏洞8个，7.0-8.9的高危漏洞19个；

3.配置核查：对防火墙、核心交换机、入侵防御系统、负载均衡等网络安全设备，以及应用服务器、数据库服务器的配置规则逐一