网络信息安全自评估报告范文1
互联网新业务安全评估管理办法
(征求意见稿)
第一条【立法目的】 为了规范电信业务经营者的互联网新业务安全评估活动，维护网络信息安全，促进互联网行业健康发展，根据《全国人民代表大会常务委员会关于加强网络信息保护的决定》《中华人民共和国电信条例》《互联网信息服务管理办法》等法律、行政法规，制定本办法。
第二条【适用范围】 中华人民共和国境内的电信业务经营者开展互联网新业务安全评估活动，适用本办法。
第三条【定义】 本办法所称互联网新业务，是指电信业务经营者通过互联网新开展其已取得经营许可的电信业务，或者通过互联网运用新技术试办未列入《电信业务分类目录》的新型电信业务。
本办法所称安全评估，是指电信业务经营者对其互联网新业务可能引发的网络信息安全风险进行评估并采取必要的安全措施的活动。
第四条【工作原则】 电信业务经营者开展互联网新业务安全评估，应当遵循及时、真实、有效的原则。
第五条【管理职责】 工业和信息化部负责对全国范围内的互联网新业务安全评估工作实施监督管理。
各省、自治区、直辖市通信管理局负责对本行政区域内的互联网新业务安全评估工作实施监督管理。
工业和信息化部和各省、自治区、直辖市通信管理局统称电信管理机构。
第六条【鼓励创新】 国家鼓励电信业务经营者进行互联网技术和业务创新，依法开展互联网新业务，提升互联网行业发展水平。
第七条【行业自律】 国家鼓励互联网行业组织建立健全互联网新业务安全评估自律性管理制度，指导电信业务经营者依法开展安全评估，提高安全评估的能力和水平。
第八条【评估标准】 工业和信息化部依法制定互联网新业务安全评估标准。
第九条【评估要求】 电信业务经营者应当按照电信管理机构有关规定和互联网新业务安全评估标准，从用户个人信息保护、网络安全防护、网络信息安全、建立健全相关管理制度等方面，开展互联网新业务安全评估。
第十条【评估启动】 有下列情形之一的，电信业务经营者应当对所开展的互联网新业务进行安全评估，形成书面评估报告：
(一)拟将互联网新业务面向社会公众上线的(含合作推广、试点、商用试验);
(二)电信管理机构书面要求电信业务经营者进行安全评估的。
按照前款第一项规定进行安全评估的，应当在互联网新业务面向社会公众上线前完成评估。
第十一条【评估方式】 电信业务经营者进行互联网新业务安全评估，可以采取自行评估的方式，也可以委托专业机构实施评估。
第十二条【风险控制】 电信业务经营者进行互联网新业务安全评估，发现存在重大网络信息安全风险的，应当及时改正。
第十三条【评估报告】 电信业务经营者应当在互联网新业务面向社会公众上线后45日内，向准予其电信业务经营许可或者试办新型电信业务备案的电信管理机构告知评估情况。
第十四条【报告材料】 电信业务经营者按照本办法第十三条的规定向电信管理机构告知评估情况的，应当提供以下材料：
(一)书面评估报告，包括业务情况、技术实现方式、安全评估内容和结论、安全管理措施等;
(二)公司名称、法定代表人、安全责任人、应急联系人及其联系方式;
(三)电信管理机构依法要求提交的其他材料。
第十五条【纠正措施】 电信业务经营者提供的互联网新业务安全评估材料不齐全的，电信管理机构应当指导电信业务经营者补正。电信管理机构发现评估报告不符合有关规定、标准的，应当要求电信业经营者限期改正或者重新评估，并在30日内提交评估材料。
第十六条【应急保障】 电信业务经营者开展互联网新业务的，应当按照电信管理机构的要求，建立互联网新业务重大网络信息安全事件应急处置机制，制定网络信息安全应急预案并定期组织演练。
第十七条【内部制度】 电信业务经营者开展互联网新业务的，应当建立并实施企业内部互联网新业务安全评估管理制度和保障制度。
第十八条【员工培训】 电信业务经营者开展互联网新业务的，应当对有关工作人员开展互联网新业务安全评估相关政策、法规、标准、技能的培训和考核。
第十九条【监督检查】 电信管理机构应当对电信业务经营者建立互联网新业务安全评估管理制度、开展安全评估、防范网络信息安全风险等情况实施监督检查。
电信管理机构实施监督检查，可以要求电信业务经营者提供相关资料，对其相关工作人员进行询问，进入其经营场所检查、调查、取证。电信业务经营者应当予以配合、协助。
第二十条【监测】 电信管理机构应当组织对互联网新业务进行监测。在监测中发现互联网新业务存在重大网络信息安全风险的，应当要求电信业务经营者限期改正。电信业务经营者应当进行改正。
第二十一条【约谈改正】 电信业务经营者有下列情形之一的，电信管理机构可以约谈其主要负责人：
(一)未按照本办法的规定及时开展互联网新业务安全评估的;
(二)未按照本办法的规定向电信管理机构告知评估情况，情节严重的;
(三)企业内部安全评估管理制度和保障制度不健全或者未实施，情节严重的;
(四)违反国家有关规定，电信管理机构认为可能影响网络信息安全的其他情形。
电信业务经营者应当按照本办法的规定和电信管理机构在约谈中提出的要求进行改正。
第二十二条【行业通报】 电信管理机构应当建立电信业务经营者互联网新业务安全评估情况通报制度，定期公布互联网新业务安全评估情况。
第二十三条【监督检查】 电信管理机构按照本办法的规定实施监督检查，应当记录监督检查的情况，不得妨碍电信业务经营者正常的经营或者服务活动，不得收取任何费用。
第二十四条【保密要求】 电信管理机构、实施安全评估的专业机构及其工作人员，对其在履行职责、提供服务过程中知悉的国家秘密、商业秘密和个人信息应当予以保密，不得泄露、篡改或者毁损，不得出售或者非法向他人提供。
第二十五条【社会监督】 任何组织或者个人发现电信业务经营者有违反本办法的行为的，有权向电信管理机构举报。电信管理机构应当及时处理并对举报人的相关信息予以保密。
第二十六条【罚则一】 电信业务经营者违反本办法第十七条、第十八条规定的，由电信管理机构责令限期改正，予以警告;拒不改正的，可以处以一万元以下的罚款，按照有关规定记入电信业务经营不良名单和失信名单并向社会公布。
第二十七条【罚则二】 电信业务经营者违反本办法第十条、第十二条、第十三条、第十六条、第十九条第二款、第二十条的，由电信管理机构责令限期改正，予以警告，可以处以一万元以上三万元以下的罚款，按照有关规定记入电信业务经营不良名单和失信名单并向社会公布。
第二十八条【罚则三】 电信管理机构工作人员在互联网新业务安全评估的监督管理工作中、、的，依法给予处分;构成犯罪的，依法追究刑事责任。
第二十九条【参照执行】 电信业务经营者开展的互联网新业务，在技术实现方式、业务功能或者用户规模等方面发生较大变化，可能存在重大网络信息安全风险的，参照本办法进行安全评估。
电信业务经营者应当至少每六个月对其开展的互联网新业务是否存在前款规定的情形进行自查，保留自查记录;发现存在前款规定情形的，应当在45日内完成评估。
网络信息安全自评估报告范文2
【 关键词 】 网络安全；评估；漏洞扫描
The Research of Network Security Evaluation
Wu Guo-qiang
(Institute of Geophysics, China Earthquake Administration Beijing 100085)
【 Abstract 】 at present, the network has brought great change to people's life, work and study. People in the enjoyment of the Internet brought not only convenience but also security influence. Due to the network with the sharing of resources, widely distributed and open features, to cyber criminals had to take advantage of the machine, to the society and the individual has brought incalculable harm. The network hacker attacks to network bu the use of network management and technical flaws, on the network security evaluation, targeted to network repair job, can fundamentally solve the problem of network security hidden danger, will put an end to. In the existing application level basis, establish and improve the network security assessment system for network, normal, safe and stable operation is of great value in the practical application.
【 Keywords 】 network security; assessment; vulnerability scanning
0 引言
随着网络用户的增多，人们对网络的依赖性越来越严重，网络已经成为人们生活中不可分割的一部分，但是，受到网络危害的人数也在逐年增加。据不完全统计，我国超过一半以上的企事业单位受到过网络安全事故的危害，而且这个数字还在逐年增加。其网络安全的危害主要表现在：黑客攻击、木马侵袭和病毒传染等。
当前，我国的信息化安全建设也随着技术的发展不断进步，但是，由于网络资源共享和分布不均匀的特性及相关法律不健全的影响，让众多网络用户受到网络危害及损失之后，其个人名誉和财产无法得到有效地保护。因此，加强自身网络的安全建设，及时有效地网络系统进行评估，是十分有必要的。
1 模型和算法
网络安全评估主要从物理安全、究全控制、管理安全、数据安全和技术安全几个层次进行评估。当前，社会上存在的评估系统，都是从某个方面入手进行评估验证，只把握住了局部问题，而没有从全局出发，缺乏必要的合理性和科学性。综合国内外准则和技术指标，都是仅仅规定了体系和框架，对于具体的安全扫描操作没有给出具体的步骤和过程。为了能够设计出更加完善的网络安全评估系统，给出定性的安全保护策略和安全评级，首先需要做的是确定其评估模型。
1.1 评估模型分类
（1）定性评估方法
该方法的特点是预见性。模型在没有建立以前，就要确定其漏洞及其危害性。对于漏洞的分析主要通过三个方面进行：一是性质和成区（查看具体由操作系统、应用软件和端口哪一方面引起）；二是危害程度（越级访问、远程控制、非法窃取、非法访问、远程欺骗和拒绝服务）；三是漏洞级别（一般、严重和非常严重）。
该评估模型的优点是实现简单、操作方便，最大的不足之处就是主观性强，需要研发人员对网络安全有足够的经验和水平并且尽可能地多采集相关的信息。其代表方法有历史比较法、因素分析法和德菲尔法等。
（2）定量的评估方法
该方法主要是通过判断影响网络安全的数值来进行的。其优点是客观公正、科学，其缺点是由于要进行大量的数据比较，其实现相对复杂。其代表的方法有决策树法、因子分解法和聚类分析法等。
（3）综合的评估方法
该方法是结合了前两种方法的优点，其代表的方法有模糊数学法、威胁树法和层次分析法等。
（4）基于模型的评估方法
该方法是目前最有效的方法，它所基于的模型都是建立在成熟的模型的基础之上，所以设计简单、发现漏洞的效率高、易发现未知的攻击模式和脆弱的系统等，能够从全局上对网络进行评估。当前，它所基于的模型主要有故障树模型、信息流模型、访问控制模型和基于角色的访问控制模型等。
1.2 评估模型理论
什么是NKS？NKS的英文全名是A New Kind of Science，2002年，著名的数学软件Mathematica的设计者Wolfram出版了一本书就叫这个名字，专门研究各种简单程序，例如细胞自动机、图灵机、替代系统等等，并得出了丰富的结论，他把这门科学叫做NKS。
评估模型建立的是一种层次化的网络质量度量方法NKS，其主要的评估要素由一系列小的质量要素（:物理安全、技术安全、管理安全和管理策略等）组成，而小的质量要素又是由网络安全评估衡量标准（脆弱性、漏洞和各种弱口令等）组成，标准又通过安全度量元（脆弱性情况、漏洞严重程度和弱口令复杂度等）的特性来完成。通过一层层的递进关系，来准确地评估出确切的评估要素值。
1.3 评估算法
在网络安全评估中，只有通过具体的值才能在计算机中得到体现，一般度量值有两种类型，分别是逻辑型和数值型。逻辑型相对比较简单，只需要根据对应的值进行逻辑判断即可；而数值型则需要通过复杂的数值计算才能够得出具体的判定层次。
在此我们对数值型进行简要的介绍。
首先，将评估要素设成两元关系的集合，第一个参数代表评估的结果，第二个表示其结果在整个网络中所起到的权重值。每一个模型所进行数值计算都是不同的，但不管哪一个，一般都通过采用以下几个要素组合来取得最终的结果，它们是专家库、关系方程、概率分析和权重等。
2 网络安全评估系统组成和功能
在上面理论的基础之上，我们设计出NKS网络安全评估系统，以确保整个网络的安全和对潜在威胁的及时发现。
2.1 系统组成简介
整个系统主要由四个模块组成，分别是评估结果管理模块、安全性检测与评估报告生成模块、系统设置模块和附加功能模块。其结构图如图1所示。
（1）评估结果管理模块
模块主要体现在结果的显示和历史记录的查询上面，由搜索扫描记录、删除扫描记录和显示评估结果组成。
（2）安全性检测与评估报告生成模块
在整个系统中，所有功能及模块都是围绕该模块而运行，它是系统的核心。它首先进行主机存活性识别操作，假如该主机处于活跃状态，那么将对其操作系统进行探测，然后依次进行端口/服务扫描、漏洞扫描和弱口令探测等一系列活动，最后通过安全评估算法的合理运算，生成评估报告。
（3）系统设置及插件配置模块
从系统的角度出发，为了保证合法用户的正确使用，防止非法用户的入侵，必须设置必要的账户进行管理，合法用户可以通过账户进行系统的管理。其主要的功能有添加、删除账户及修改密码等。插件配置子程序主要完成端口扫描、漏洞扫描和弱口令扫描等。
（4）附加功能模块
提供SQL可注入性检测功能的实现。
2.2 功能介绍
该系统的主要功能体现在九个方面。（1）目标主机存活性探测。通过远程对目标主机的存活性进行探测。其具体的要求是速度尽可能地快、正确率尽可能高和穿越防火墙的能力尽可能地强。（2）网络拓扑发现。能够描述出目标主机所在的网络拓扑图。其具体的要求是图形显示网络拓扑和区别各种网络设备。（3）操作系统识别。能够查出目标主机上所具体使用的操作系统的版本相关信息。其具体的要求是通过TCL/IP协议实现。（4）弱口令探测。能够查出目标主机上常用的SQL数据库、FTP和WEB服务的常用口令。（5）开放端口/服务扫描。要求是通过TCP、UDP端口进行扫描。（6）漏洞扫描。它能够对所有的Windows操作系统和部分Linux操作系统进行分析，并对数据库和文档进行集成。（7）木马检查。（8）生成报告。其要求是要以文本和网页两种形式表现出来，并且报告要针对管理员和一般用户进行区分。（9）用户管理。其具体的要求是能够添加、删除用户，并且对用户的密码进行修改主，并且用户的界面要尽可能地人性化。
3 网络安全评估系统详细设计
根据以上的介绍，我们根据网络安全评估系统的功能，对其主要的功能模块进行实现。
3.1 获取远程本机的基本信息
要获取本机的网络安全评估指数，首先要确定其本地的基本信息，如网卡的MAC地址、IP所属的网络段和操作系统基本信息等参数。
3.2 开放端口的判断
端口的开放程度对主机的安全性影响巨大，如何判断该机的哪些端口开放，哪些没有开放，在整个系统的运行中是十分必要的。我们可以通过往某个端口发送其固定数据，看是否接收，来进行判断，其具体的代码如下：
4 总结
针对网络安全展开讨论，首先详细分析了网络安全的模型和算法，对网络安全评估的几种常用方法进行了比较，其次分析了网络安全评估系统的组成和功能，并给出了具体的模块结构图，最后对整个系统的具体实现进行详细的描述，重点介绍了主机常用信息的获取和端口开放的判断，对于其它的内容由于篇幅所限，在此并没有给出。
参考文献
[1] 许晓.应用系统的安全威胁及其防护.信息化研究，2009.
[2] 崔孝林.网络安全评估系统的设计与实现.安徽:中国科学技术大学，2009.
[3] 邢栩嘉,林闯,蒋屹立.计算机系统脆弱性评估研究.计算机学报，2004.
[4] 陈冬雨.趋势科技安全威胁评估报告.计算机安全,2009.
网络信息安全自评估报告范文3
地址：_________
法定代表人：_________
乙方：中国信息安全产品测评认证中心_________测评中心
地址：_________
法定代表人：_________
受_________委托，由乙方即中国信息安全产品测评认证中心_________测评中心（该中心系由国家授权履行对信息安全产品，信息系统及信息安全服务进行测评认证的第三方权威，公证机构。）对甲方即进行测评。为保证信息系统检测评估过程的顺利进行，提高信息系统的安全性，现经甲、乙双方平等协商，自愿签订本协议，共同遵守如下条款：
1．经甲乙双方协商，于_________年_________月_________日起（时间约为_________周）由乙方对甲方网络系统的安全性进行检测评估。
2．测评范围为_________。
3．在检测评估过程中，甲方应协助并向乙方提供有关网络系统检测评估所需的文档。
4．乙方在对甲方的网络系统进行检测评估中必须严格依照信息系统检测评估要求与标准执行。信息系统检测评估过程如下：
（1）甲方向乙方提交系统检测评估申请文档；
（2）乙方对甲方提交的文档进行形式化审查；
（3）乙方对甲方提交的文档进行技术审查；
（4）乙方确定现场核查方案及计划；
（5）乙方对甲方申请检测的系统进行现场核查检测；
（6）乙方整理分析检测数据并撰写检测报告；
（7）乙方向甲方提交系统检测报告。
5．乙方在检测评估完毕后_________个工作日内向甲方提交网络系统检测评估报告。
6．乙方有义务对甲方提交的任何文档资料以及检测评估数据与结果保密，严格依照《中华人民共和国保密法》相关事宜执行，以确保任何相关技术及业务文档不得泄露。
7．甲方应在本协议生效之日起_________个工作日内将系统检测评估费用人民币_________元转入乙方指定的银行账户中。
8．本协议未尽事宜，双方协商解决，与国家法律法规相抵触的按国家规定执行。
9．本协议自签订之日起生效，一式三份，甲方持一份，乙方持两份。
甲方（盖章）：_________
乙方（盖章）：_________
代表（签字）：_________
代表（签字）：_________
网络信息安全自评估报告范文4
关键词 互联网金融 P2P 大数据征信 信审
互联网金融自2007年出现直至2015年发展态势愈演愈烈，作为一种新兴的金融服务方式，P2P行业凭借其“短，平，快”的特点和优势获得了迅猛的发展。另一方面，P2P问题平台跑路、倒闭、兑付危机等负面新闻频出，整个行业都受到了牵连，行业发展的迅猛态势倒逼监管加快步伐。其中，作为P2P行业工作的关键环节，信审工作存在的问题及其优化受到了越来越多的关注。本文以“大数据”为研究背景，对P2P企业信审环节中的主要问题展开研究。
一、信审环节主要存在的问题
（一）资料收集阶段――渠道较少，范围较小
目前我国众多P2P企业在收集资料阶段存在信息渠道窄、信息覆盖面不全等主要问题。首先，大多P2P企业获得信息渠道相对单一，以P2P企业与借款融资企业之间的双向往来为主。其次，P2P企业信审大多参考银行传统征信函盖的资料内容与范围，信息的覆盖范围较窄，使风险评估阶段由于数据信息的局限性导致评估结果有一定的偏差性。
（二）风险评估阶段――建模初期，经验主义
风险评估方面的问题是制约P2P企业发展的重要因素。目前较多P2P企业在审核企业信用时采用以往或行业经验来定性评估受审企业的信用等级。由于不同企业在信用审核中存在行业差异性，没有统一的衡量标准，P2P企业为了了解待审企业的运营状况，先实地尽调，再根据受审企业具体问题具体分析。这就导致审核时间长、耗费的成本及人力资源较多且评估结果缺少科学性依据。
（三）数据存储阶段――疏于管理，安全性低
P2P企业都会对借款方企业的前期资料以及后期评估的信用情况进行建档存档。目前，大多P2P企业的数据存储没有专门的数据库系统，也没有设立服务器或交予第三方云服务平台托管的意识。
二、欧美的征信经验及我国的改变
说到信用审核的问题，必然要谈到近两年频繁出现的“大数据征信”了。一些欧美国家在在此方面的应用都是先于我国的。以利用“大数据”进行风险管理的ZestFiance为例，它整合分散数据，借助数据挖掘与自我开发的预测模型（包括防欺诈模型、还款能力模型等十个模型），再将预测模型的结果进行集成处理，挖掘更多传统征信覆盖不到或潜在的信用信息，并借助信用评估模型获得完整的信用评估报告。
而近些年国内有关征信方面也有了不少改变。央行将征信系统向个人及金融机构开放，个人每年可免费查询一次自己的征信报告，而金融机构只要符合相关申请条件经授权批准即可接入征信系统的接口。此外，央行在2015年1月印发的《关于做好个人征信业务准备工作的通知》中，包括芝麻信用、腾讯征信等八家企业被授权挂牌作为民营征信企业。通过对数据的挖掘和分析，各企业从不同维度综合评估，为用户建立个人的信用评分，向个人及机构提供征信服务，丰富了征信内容。这对冲破传统意义上的征信使征信多元化、数据化有着重大意义。
三、对P2P企业信审工作的建议
（一）资料收集阶段――多元化数据搜集
在收集借款方企业的审核资料过程中，可以从两方面做出多元化改善：
1.获取信息渠道多元化。这里的信息渠道是指获得借款方需审核资料的方式。在行业未来发展中，扩展信息收集渠道将成为一种趋势。如获取借款融资企业资料可通过以下几种方式：第一，申请央行征信系统的接口，获取企业法人、融资负责人、企业核心决策层等相关人员的个人征信报告；第二，向目前已开放的八家征信企业选择一家或几家支付一定服务费用，接入数据接口，获取借款融资方相关人员的信用记录及评分；第三，通过全国企业信用信息公示系统、中国裁判文书网、各地法院官网等官方网站，获取企业基本信息及企业的不诚信经营导致被事件等信息。
2.信息领域多元化。信息领域，也称信息覆盖面。正确地拓宽数据搜集的覆盖面可以为信用审核提供更多维度的信息，使最终的信用评估综合性及参考价值更高。除了传统信审所涵盖的身份信息、信贷信息、金融负债信息及公共信息外，可参考拓宽的领域有：第一，民营征信企业提供的信息。不同征信企业有不同的侧重领域，如：中诚信征信、前海征信、鹏元征信侧重金融领域；中智诚征信和北京华道征信侧重反欺诈领域；腾讯征信、芝麻信用、拉卡拉信用侧重生活场景领域，包括社交、消费等方面。第二，大数据征信视角可探知的信息。这点与上条所说民营征信企业提供的信息有交叠部分。信用信息与信贷记录具有强相关性，同时，它与通过数据挖掘方法获取的一些行为信息也有一定的联系。例如利用数据挖掘获得的搬家次数、网络点击等信息。当然，需在合法合规的前提下获取此类信息。第三，非金融日常信息。如：水电气缴纳情况、有线电视、移动电话等信息。
（二）风险评估阶段――多层次多维度综合评估
多层次的综合评估是指在建立模型的过程中，由基础模型――评估模型――信审模型 构成垂直方向上层级递进的评估模型。首先将收集的数据信息划分为多个维度，划分也可分为两种方法：一是按照信息来源分类，如：央行的征信报告、企业公共信息、民营征信机构信息等；二是按照信息的领域分类，如：验证类基础信息、金融类信息、非金融类信息。不同类别的数据与信审的相关性不同，即每一类信其次针对不同评估方面，以两类或以上的基础模型评估结果为参考，运用相应的算法建立适用的评估模型，如还款能力评估模型、还款意愿评估模型、身份验证评估模型、企业运营评估模型等。最后根据不同类型的企业及其不同的侧重点，在评估模型的基础上加上不同的权重，使用相应的规则，将评估模型整合为最终的信审模型，获得最终的信用评估报告。
（三）数据存储阶段――完善服务器
上文中提到多数P2P企业将信息安全保障集中放在网络平台的运营上，而忽视了对借款方企业信息存储的安全保障。
在长期发展中建议P2P企业在信息存储方面建立完备的数据库服务器对数据统一管理，或将其托管至第三方云服务平台；对于信息中的敏感数据采用一定的加密技术以确保信息存储的安全性。
四、结语
互联网金融P2P行业在我国仍处于初步发展阶段，其发展有无限的可能，也将会朝着网贷行业产业链的趋势发展，形成数据服务企业――征信（信审）服务企业――P2P平台服务企业交叉网状结构，将每一环节的业务细化到每一类企业。对中国征信将来的发展也抱有积极的观望态度。
（作者单位为西南交通大学经济管理学院信息管理与信息系统）
参考文献
[1] 陈初.对中国“P2P”网络融资的思考[J].人民论坛，2010（26）.
[2] 王亮平. P2P网络借贷环境下我国小微企业融资需求分析[J].商场现代化，2015（Z1）.
网络信息安全自评估报告范文5
【关键词】客运专线；CTC网络安全防御系统；功能研究
1引言
CTC又名分散自律调度系统，该系统的功能主要是确保列车安全正常地行驶，调度生产业务系统。这一系统具有2大特点，即独立成网及封闭运行，并且其主要组件并不强大[1]。客运专线的行车安全主要在于系统的保密性、完整性、可用性3点，按照我国等级保护防御区划分原则和信息系统的功能、安全性能等标准，客运专线CTC系统必须具备防火墙、入侵检测、动态口令、安全漏洞、SAV网络病毒防护5个安全系统。
2防火墙及入侵检测系统
CTC的安全防御系统中，防火墙和入侵检测系统属于基本安全设施，这对于构建安全密实的网络系统十分必要。防火墙的功能是过滤数据包，对链接状态进行检查，并检查入侵的行为和会话。防火墙按照用户定义对一些数据实行允许进入或阻拦，以确保内部网络设备及系统不会遭受非法攻击，从而影响访问。此外，可以实现每个通过防火墙的链接都可以快速地建立对应的状态表。如果链接异常，会话遭到威胁或攻击后，防火墙可以很快地阻断非法链接。通过入侵行为的特点，入侵系统可以及时地对每一个数据包进行认真检查，如果数据包对系统存在攻击性，入侵检测系统必须及时断开这一链接，并且由管理人员定义的处理系统会尽快获取幕后攻击者的详细信息，同时，为要得到处理的事件提供对应数据。CTC网络的结构性质为双通道冗余结构，CTC中心和沿线的各个车站数量庞大，并且有着海量的数据流量，业务连接安全性要求很高，CTC中心和沿线车站的各个接口都安置了4台中心防火墙，每网段安置2台；CTC中心和其他系统接口各安置2台防火墙，采用透明模式进行接入。客运专线CTC系统防火墙详见图1。
3安全漏洞评估
安全漏洞的评估系统是一个漏洞及风险评估的有效工具，主要用来对网络的安全漏洞进行发现、报告以及挖掘，主要作用是对目标网络设备安全漏洞实行检测，并提出具体检测报告以及安全可行的漏洞解决方案，使系统管理员可以提前修补可能引发黑客进入的多个网络安全漏洞，避免黑客入侵带来损失。客运专线CTC系统中心完整地部署了一整套安全漏洞评估系统，基于全面以及多角度的网络关键服务器漏洞分析的评估基础，确保CTC以及TDCS等系统安全运行。还能对黑客的进攻方式进行模拟，并提交相应的风险评估报告，提出对应的整改措施。预防性的安全检查暴露了目前网络系统存在的安全隐患，对此必须实行相应的整改，最大程度地降低网络的运行风险。漏洞评估组需要在网络安全集中管理平台下实现统一监测，并且汇总漏洞威胁时间，结合实际情况及设施制定相应的安全策略。当前存在的安全漏洞扫描一定要从技术底层实现有效划分，分别对主机及网络漏洞进行扫描。主机漏洞评估EVP，针对文件权限、属性、登录设置的值和使用者账号等使用主机型漏洞评估扫描器进行评估。网络型漏洞扫描器NSS，在网络漏洞基础上的评估扫描器采用黑客入侵观点，自动对网上系统和服务实行扫描，对一般性的入侵和具体入侵场景实行真实模拟，最重要的是测试网络基础设施的安全漏洞，会提供相应的修补漏洞意见，扫描图形视图的完整显示过程，扫描相应漏洞而且对漏洞的出现原因进行查找，提供具有实际执行可行性的管理报告，针对多个系统实施扫描。
4反病毒网络系统
根据病毒具有的特征以及多层保护需求，客运专线CTC系统必须要统一、集中监控、多面防护，正对整体以及全面反病毒系统实现积极有效的安排，并融合各层面，覆盖CTC中心、下属车站等。并且还要在客运专线的中心部署2台SAV反病毒服务器，二者相互辅助。对服务器设备和车站终端等实施统一的SAV客户端，并且对网络内存的所有病毒实行统管理、分析，监控、查杀[2]。以整体反病毒解决方案为依据，网络反病毒系统的部署具体要从下面几项开展，多操作系统的服务器、反病毒软件、集中监管的多个系统。
5动态口令
身份认证属于安全防御线的第一道保护。我国的CTC安全建设在最初的使用中运用的是静态密码认证，每一系统和设备都具备自身的专属密码，管理很不方便。大量的管理和维护导致操作人员难以实现方便快捷的使用，因此，出于使用便利，会将设备密码设置为统一密码，系统内各种网络设备和服务器的密码基本上人人都知道；另外，静态口令极易被人猜出、截获、破解，黑客可以通过对密码的猜测或使用成熟破译软件破解用户口令，导致CTC面临极大的隐患。在CTC系统网络中，对CTC系统中心设置相应的动态口令，随后客户端认证请求会自动地分配到认证服务器，该模式充分降低了服务器的工作负荷，提升了系统性能。身份证的依据和访问控制组能通过网络安全集中管理平台发挥监测、报警等功能。安全策略的集中配备，对安全事件进行统一响应，并且充分实现分层、统一用户管理、访问认证授权AAA等策略。动态口令身份认证在AAA认证中的功能为双因素认证，有效解决了静态口令存在的多种问题，提升了系统的安全性。客运专线CTC系统运用动态口令后，实现了对整个网络、运用和主机等的统一覆盖，实现了安全的身份认证控制访问组件，统一身份认证和授权统一，同时还提供了集中身份认证等，通过授权严格对多个访问资源权限实施限制。
6结语
目前，客运专线CTC中心网络运用安全，正处于建立知识信息安全系统和确保信息化的重要阶段，在这一进程的后期阶段还要满足国家等级保护政策需求，对纵深防护体系进行深入研究，确保铁路运输生产业务顺利开展，充分实现铁路信息化运行，将铁路运行的安全性实现提升。
【参考文献】
【1】戴启元.客运专线CTC系统网络安全设计[J].铁道通信信号,2010,46(4):66-68.
网络信息安全自评估报告范文6
一、总则
（一）编制目的
为提处置网络与信息安全突发事件的能力，形成科学、有效、反应迅速的应急工作机制，确保重要计算机信息系统的实体安全、运行安全和数据安全，最大程度地预防和减少网络与信息安全突发事件及其造成的损害，保障信息资产安全，特制定本预案。
（二）编制依据
根据《中华人民共和国计算机信息系统安全保护条例》、公安部《计算机病毒防治管理办法》，制定本预案。
（三）分类分级
本预案所称网络与信息安全突发事件，是指本系统信息系统突然遭受不可预知外力的破坏、毁损、故障，发生对国家、社会、公众造成或者可能造成重大危害，危及公共安全的紧急事件。
1、事件分类
根据网络与信息安全突发事件的性质、机理和发生过程，网络与信息安全突发事件主要分为以下三类：
（1）自然灾害。指地震、台风、雷电、火灾、洪水等引起的网络与信息系统的损坏。
（2）事故灾难。指电力中断、网络损坏或是软件、硬件设备故障等引起的网络与信息系统的损坏。
（3）人为破坏。指人为破坏网络线路、通信设施，黑客攻击、病毒攻击、恐怖袭击等引起的网络与信息系统的损坏。
2、事件分级
根据网络与信息安全突发事件的可控性、严重程度和影响范围，县上分类情况。
（1）i级、ⅱ级。重要网络与信息系统发生全局大规模瘫痪，事态发展超出控制能力，需要县级各部门协调解决，对国家安全、社会秩序、经济建设和公共利益造成特别严重损害的信息安全突发事件。
（2）ⅲ级。某一部分的重要网络与信息系统瘫痪，对国家安全、社会秩序、经济建设和公共利益造成一定损害，属县内控制之内的信息安全突发事件。
（3）ⅳ级。重要网络与信息系统使用效率上受到一定程度的损坏，对公民、法人和其他组织的权益有一定影响，但不危害国家安全、社会秩序、经济建设和公共利益的信息安全突发事件。
（四）适用范围
适用于本系统发生或可能导致发生网络与信息安全突发事件的应急处置工作。
（五）工作原则
1、居安思危，预防为主。立足安全防护，加强预警，重点保护基础信息网络和关系国家安全、经济命脉、社会稳定的重要信息系统，从预防、监控、应急处理、应急保障和打击犯罪等环节，在法律、管理、技术、人才等方面，采取多种措施，充分发挥各方面的作用，共同构筑网络与信息安全保障体系。
2、提高素质，快速反应。加强网络与信息安全科学研究和技术开发，采用先进的监测、预测、预警、预防和应急处置技术及设施，充分发挥专业人员的作用，在网络与信息安全突发事件发生时，按照快速反应机制，及时获取充分而准确的信息，跟踪研判，果断决策，迅速处置，最大程度地减少危害和影响。
3、以人为本，减少损害。把保障公共利益以及公民、法人和其他组织的合法权益的安全作为首要任务，及时采取措施，最大限度地避免公共财产、信息资产遭受损失。
4、加强管理，分级负责。按照“条块结合，以条为主”的原则，建立和完善安全责任制及联动工作机制。根据部门职能，各司其职，加强部门间协调与配合，形成合力，共同履行应急处置工作的管理职责。
5、定期演练，常备不懈。积极参与县上组织的演练，规范应急处置措施与操作流程，确保应急预案切实有效，实现网络与信息安全突发事件应急处置的科学化、程序化与规范化。
二、组织指挥机构与职责
（一）组织体系
成立网络安全工作领导小组，组长局党委书记、局长担任，副组长由局分管领导，成员包括：信息全体人员、各通信公司相关负责人。
（二）工作职责
1、研究制订我中心网络与信息安全应急处置工作的规划、计划和政策，协调推进我中心网络与信息安全应急机制和工作体系建设。
2、发生i级、ⅱ级、ⅲ级网络与信息安全突发事件后，决定启动本预案，组织应急处置工作。如网络与信息安全突发事件属于i级、ⅱ级的，向县有关部门通报并协调县有关部门配合处理。
3、研究提出网络与信息安全应急机制建设规划，检查、指导和督促网络与信息安全应急机制建设。指导督促重要信息系统应急预案的修订和完善，检查落实预案执行情况。
4、指导应对网络与信息安全突发事件的科学研究、预案演习、宣传培训，督促应急保障体系建设。
5、及时收集网络与信息安全突发事件相关信息，分析重要信息并提出处置建议。对可能演变为i级、ⅱ级、ⅲ级的网络与信息安全突发事件，应及时向相关领导提出启动本预案的建议。
6、负责提供技术咨询、技术支持，参与重要信息的研判、网络与信息安全突发事件的调查和总结评估工作，进行应急处置工作。
三、监测、预警和先期处置
（一）信息监测与报告
1、要进一步完善各重要信息系统网络与信息安全突发事件监测、预测、预警制度。按照“早发现、早报告、早处置”的原则，加强对各类网络与信息安全突发事件和可能引发网络与信息安全突发事件的有关信息的收集、分析判断和持续监测。当发生网络与信息安全突发事件时，在按规定向有关部门报告的同时，按紧急信息报送的规定及时向领导汇报。初次报告最迟不得超过4小时，较大、重大和特别重大的网络与信息安全突发事件实行态势进程报告和日报告制度。报告内容主要包括信息来源、影响范围、事件性质、事件发展趋势和采取的措施等。
2、重要信息系统管理人员应确立2个以上的即时联系方式，避免因信息网络突发事件发生后，必要的信息通报与指挥协调通信渠道中断。
3、及时上报相关网络不安全行为：
（1）恶意人士利用本系统网络从事违法犯罪活动的情况。
（2）网络或信息系统通信和资源使用异常，网络和信息系统瘫痪、应用服务中断或数据篡改、丢失等情况。
（3）网络恐怖活动的嫌疑情况和预警信息。
（4）网络安全状况、安全形势分析预测等信息。
（5）其他影响网络与信息安全的信息。
（二）预警处理与预警
1、对于可能发生或已经发生的网络与信息安全突发事件，系统管理员应立即采取措施控制事态，请求相关职能部门，协作开展风险评估工作，并在2小时内进行风险评估，判定事件等级并预警。必要时应启动相应的预案，同时向信息安全领导小组汇报。
2、领导小组接到汇报后应立即组织现场救援，查明事件状态及原因，技术人员应及时对信息进行技术分析、研判，根据问题的性质、危害程度，提出安全警报级别。
（三）先期处置
1、当发生网络与信息安全突发事件时，及时请技术人员做好先期应急处置工作并立即采取措施控制事态，必要时采用断网、关闭服务器等方式防止事态进一步扩大，同时向上级信息安全领导小组通报。
2、信息安全领导小组在接到网络与信息安全突发事件发生或可能发生的信息后，应加强与有关方面的联系，掌握最新发展态势。对有可能演变为ⅲ级网络与信息安全突发事件，技术人员处置工作提出建议方案，并作好启动本预案的各项准备工作。信息安全领导小组根据网络与信息安全突发事件发展态势，视情况决定现场指导、组织设备厂商或者系统开发商应急支援力量，做好应急处置工作。对有可能演变为ⅱ级或i级的网络与信息安全突发事件，要根据县有关部门的要求，上报县政府有关部门，赶赴现场指挥、组织应急支援力量，积极做好应急处置工作。
四、应急处置
（一）应急指挥
1、本预案启动后，领导小组要迅速建立与现场通讯联系。抓紧收集相关信息，掌握现场处置工作状态，分析事件发展趋势，研究提出处置方案，调集和配置应急处置所需要的人、财、物等资源，统一指挥网络与信息安全应急处置工作。
2、需要成立现场指挥部的，立即在现场开设指挥部，并提供现场指挥运作的相关保障。现场指挥部要根据事件性质迅速组建各类应急工作组，开展应急处置工作。
（二）应急支援
本预案启动后，领导小组可根据事态的发展和处置工作需要，及时申请增派专家小组和应急支援单位，调动必需的物资、设备，支援应急工作。参加现场处置工作的有关人员要在现场指挥部统一指挥下，协助开展处置行动。
（三）信息处理
现场信息收集、分析和上报。技术人员应对事件进行动态监测、评估，及时将事件的性质、危害程度和损失情况及处置工作等情况及时报领导小组，不得隐瞒、缓报、谎报。符合紧急信息报送规定的，属于i级、ⅱ级信息安全事件的，同时报县委、县政府相关网络与信息安全部门。
（四）扩大应急
经应急处置后，事态难以控制或有扩大发展趋势时，应实施扩大应急行动。要迅速召开信息安全工作领导小组会议，根据事态情况，研究采取有利于控制事态的非常措施，并向县政府有关部门请求支援。
（五）应急结束
网络与信息安全突发事件经应急处置后，得到有效控制，将各监测统计数据报信息安全工作领导小组，提出应急结束的建议，经领导批准后实施。
五、相关网络安全处置流程
（一）攻击、篡改类故障
指网站系统遭到网络攻击不能正常运作，或出现非法信息、页面被篡改。现网站出现非法信息或页面被篡改，要第一时间请求相关职能部门取证并对其进行删除，恢复相关信息及页面，同时报告领导，必要时可请求对网站服务器进行关闭，待检测无故障后再开启服务。
（二）病毒木马类故障
指网站服务器感染病毒木马，存在安全隐患。
1)对服务器杀毒安全软件进行系统升级，并进行病毒木马扫描，封堵系统漏洞。
2)发现服务器感染病毒木马，要立即对其进行查杀，报告领导，根据具体情况，酌情上报。
3)由于病毒木马入侵服务器造成系统崩溃的，要第一时间报告领导，并联系相关单位进行数据恢复。
（三）突发性断网
指突然性的内部网络中某个网络段、节点或是整个网络业务中断。
1)查看网络中断现象，判定中断原因。若不能及时恢复，应当开通备用设备和线路。
2)若是设备物理故障，联系相关厂商进行处理。
（四）数据安全与恢复
1.发生业务数据损坏时，运维人员应及时报告领导，检查、备份系统当前数据。
2.强化数据备份，若备份数据损坏，则调用异地光盘备份数据。
3.数据损坏事件较严重无法保证正常工作的，经部门领导同意，及时通知各部门以手工方式开展工作。
4.中心应待数据系统恢复后，检查基础数据的完整性；重新备份数据，并写出故障分析报告。
（五）有害信息大范围传播
系统内发生对互联网电子公告服务、电子邮件、短信息等网上服务中大量出现危害国家安全、影响社会稳定的有害、敏感信息等情况进行分析研判，报经县委、县政府分管领导批准后启动预案；或根据上进部门要求对网上特定有害、敏感信息及时上报，由上级职能部门采取封堵控制措施，按照市上职能部门要求统一部署启动预案。
（六）恶意炒作社会热点、敏感问题
本系统互联网网站、电子公告服务中出现利用社会热点、敏感问题集中、连续、反复消息，制造舆论焦点，夸大、捏造、歪曲事实，煽动网民与政府对立、对党对社会主义制度不满情绪，形成网上热点问题恶意炒作事件时，启动预案。
（七）敏感时期和重要活动、会议期间本地互联网遭到网络攻击
敏感时期和重要活动、会议期间，本系统互联网遭受网络攻击时，启动预案。要加强值班备勤，提高警惕，密切注意本系统网上动态。收到信息后，及时报警，要迅速赶赴案（事）发网站，指导案（事）件单位采取应急处置措施，同时收集、固定网络攻击线索，请求县上技术力量，分析研判，提出技术解决方案，做好现场调查和处置工作记录，协助网站恢复正常运行并做好防范工作。
六、后期处置
（一）善后处置
在应急处置工作结束后，要迅速采取措施，抓紧组织抢修受损的基础设施，减少损失，尽快恢复正常工作，统计各种数据，查明原因，对事件造成的损失和影响以及恢复重建能力进行分析评估，认真制定恢复重建计划，迅速组织实施。
（二）调查和评估
在应急处置工作结束后，信息安全工作领导小组应立即组织有关人员和专家组成事件调查组，对事件发生及其处置过程进行全面的调查，查清事件发生的原因及财产损失状况和总结经验教训，写出调查评估报告。
七、应急保障
（一）通信与信息保障
领导小组各成员应保证电话24小时开机，以确保发生信息安全事故时能及时联系到位。
（二）应急装备保障
各重要信息系统在建设系统时应事先预留出一定的应急设备，做好信息网络硬件、软件、应急救援设备等应急物资储备工作。在网络与信息安全突发事件发生时，由领导小组负责统一调用。
（三）应急队伍保障
按照一专多能的要求建立网络与信息安全应急保障队伍。选择若干经国家有关部门资质认可的，具有管理规范、服务能力较强的企业作为我县网络与信息安全的社会应急支援单位，提供技术支持与服务；必要时能够有效调动机关团体、企事业单位等的保障力量，进行技术支援。
（四）交通运输保障
应确定网络与信息安全突发事件应急交通工具，确保应急期间人员、物资、信息传递的需要，并根据应急处置工作需要，由领导小组统一调配。
（五）经费保障
网络与信息系统突发公共事件应急处置资金，应列入年度工作经费预算，切实予以保障。
八、工作要求
（一）高度重视。互联网信息安全突发事件应急处置工作事关国家安全、社会政治稳定和经济发展，要切实增强政治责任感和敏感性，建立应急处置的快速反应机制。
