关于落实盟委办、行署办“开展安全生产隐患大排查大整治行动”,切实加强机关信息系统安全工作的会议纪要

来源:住房公积金管理中心               时间:2019-03-20

  2019年3月1日,按照盟委办、行署办“关于印发《全盟安全生产隐患大排查大整治行动工作方案》的通知”要求,结合实际情况,任胜利主任主持召开了锡盟住房公积金管理中心第11次主任办公会议,重点研究了机关信息系统软硬件安全隐患排查及整改防范工作。会议认为,系统上下要深刻吸取西乌旗“2.23”事故教训,时刻绷紧安全生产这根弦,关注好机关目前安全风险隐患较大的信息系统软件及硬件方面的工作。硬件维保已走政府采购第三方服务程序,信息科要做好与临时提供服务维保方的对接、监督工作,确保采购空档期的设备安全;软件方面按“等保测评”指出的风险点做好整改。现将会议议定的相关事宜纪要如下:

  一、机房环境与硬件、网络系统方面

  (一)关于机房未分区和未隔断问题。整改措施:由于中心机房建设时间为2008年,当时还没有规范的国家机房建设标准,机房虽符合当时工作需要,但现在出现面积不足、防静电地板铺设高度不够两项问题。如果对机房建筑结构进行大的改建,一是不具备房屋条件,二是会长时间停办业务。决定先维持目前机房格局,待盟大数据中心各项硬件条件和服务水平达到一定标准后,逐步将服务器和存储设备迁移到大数据中心。今年配电机房更换UPS电池时,增加支架垫高UPS机头、电池柜等设备,增加常用备件存放柜,合理部置后空出部分空间用于其他新增设备交付或安装。2019年6月底前完成整改。

  (二)关于防盗报警问题。整改措施:一是采购红外感应防盗报警设备,若有非法侵入机房情况发生,报警设备将发声警报并送短信至机房管理人员手机;二是增加带移动侦测告警功能的监控摄像头,实现实时抓拍进出机房人员并将图片发送至机房管理人员手机。2019年6月底前完成整改,需经费2000元。

  信息科要积极与盟大数据局沟通探讨机房设备整体搬迁至大数据机房的可能性,沟通重点放在大数据机房是否有存放我中心设备的空间且允许中心采用独立的数据专线网络组网。如允许,可将搬迁至大数据机房作为备用方案。

  (三)关于增加柴油发电设备做为备电问题。整改措施:经咨询,我盟冬季气温太低,柴油发电机无法放置楼顶,信息科沟通盟财政局、供电局等共同协商备用供电系统解决方案,了解电力供电车使用程序、费用等相关事宜。

  (四)关于电磁泄漏防护问题。整改措施:通过接收外泄电磁信号收集信息,需长期在数据机房近处使用专用设备,且需过滤掉海量的重复和无用信息。我中心数据机房工作时间有专人看护,节假日有物业安防,实施成功的难度远大于通过互联网黑客攻击。采纳等保测评建议,在迁移服务器和存储设备至云环境时,将电磁屏蔽机柜和相关线缆列为必要条件之一。

  (五)关于重要网段未采用手段防止地址欺骗。整改措施:已按建议完成整改。

  (六)防毒墙特征库未更新到最新版本。整改措施:2019年6月底前按建议整改完成。

  (七)设备未采用两种或两种以上组合的鉴别技术来进行身份鉴别。整改措施:已按建议完成整改。信息科调整了网络安全策略,将现有堡垒机设置为唯一能够通过网络连接到网络、生产环境服务器、存储阵列等设备的运维入口。堡垒机是经过安全加固,安装了运维管理系统专门用于运维的特殊服务器,可以设置运维流程,也可以对运维操作全过程纪录留痕,目前已经通过堡垒机和设备两层身份鉴别达到了等保要求。另外,网络安全策略调整中设置了网络地址白名单,除了盟中心信息科的电脑,其他设备无法连接堡垒机。

  二、服务器系统、数据库系统方面

  (八)数据库、操作系统未采用两种或两种以上组合的鉴别技术来进行身份鉴别。整改措施:已按建议完成整改。同第(七)个问题方案一致,通过堡垒机和运维管理系统对要求连入数据库和设备操作系统的用户进行第一次身份验证,数据库和设备操作系统进行第二次身份验证。

  (九)、(十)数据库、操作系统未对重要信息资源设置敏感标记。未依据安全策略控制用户对敏感标记信息资源的操作。整改措施:已列入预算,采购敏感数据保护系统,规范管理敏感数据。2019年12月底前完成整改。

  (十一)操作系统未安装主机型入侵防范软件。整改措施:已完成整改。将入侵检测系统检测范围扩展到业务系统前置服务器和数据库服务器,监控分析入侵事件。

  (十二)-(十五).操作系统缺少对应用程序重要配置文件、可执行文件等进行完整性检测,未安装防恶意代码软件。整改措施:按建议安装相关检测和防护系统有可能造成和业务应用系统部分正常业务阻断,信息科将尝试增强安全加固部署的解决思路与安泰软件公司积极沟通并向公司提交书面需求,商请软件公司协助解决。目前的保护措施是对前置服务器使用虚拟化系统(VMware)进行备份,一旦前置服务器出现问题,马上启动备份,可在短时间内使业务恢复到正常状态。对数据库服务器的操作系统和文件,在CV备份系统中存储着正常状态备份,如出现问题,可以使用备份替换。

  三、业务系统方面

  (十六)、(十七)、(十八)应用系统未对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别,在用户初次登录系统未被要求修改初始口令,且未提供鉴别信息复杂度检查功能,未对管理员账户形成权限制约。整改措施:提交软件公司解决。在软件需求调研阶段(2017年7月、2018年8月)信息科已反复提过相关需求:一是要求使用“用户名+密码+Ukey”双重认证登录核心业务系统;二是要求按照实际行政管理权限将工作人员权限设置功能授权给各管理部主任,在系统中按照财务、审计、岗位牵制等设置规则。目前,软件公司在测试中实现了“中心版”双重认证登录,“柜台版”尚无法使用。信息科书面督促软件公司最晚2019年底前按需求完成此功能,并对密码复杂度和密码有效时间加以限制。

  (十九)、(二十)应用系统未具有对重要信息资源设置敏感标记的功能。应用系统未依据安全策略严格控制用户对有敏感标记重要信息资源的操作。整改措施:年度预算中已经安排数据脱敏项目,拟于2019年10月底前完成整改。一是通过数据脱敏在业务系统中加以控制;二是严格要求系统运维必须通过堡垒机和运维管理系统完成;三是加强信息科工作人员保密教育和安全管理,制定相关安全保密制度,用制度管人管事,明确细化每个岗位的职责和义务。

  (二十一)、(二十二)应用系统日志审计模块未在前端展示。整改措施:提交书面需求给软件公司按建议解决。业务系统日志中用户标识、所有操作均有纪录,但未进行统计分析,也不方便使用。待软件系统目前存在的业务问题处理完毕后予以解决,预计在2019年底前完成。

  (二十三)-(二十四)在通信双方建立连接之前,应用系统未利用密码技术进行会话初始化验证,未对整个报文或会话过程进行加密。 整改措施:按建议提出需求,确保综合服务平台及其互联网子程序身份认证安全和数据传输安全。提交软件公司评估:在核心业务系统中增加数字证书认证、将目前基于http协议的访问更改为https方式对软件稳定性的影响;如果开发和更换过程中对系统稳定性造成的风险过大,则采用购买和部署https代理设备解决传输过程加密问题。经初步询价约为15万元左右,财务科负责列入2019年采购预算。

  (二十五)、(二十六)应用系统未采取措施为原发者或接收者提供数据原发证据,未采取措施为原发者或接收者提供数据接收证据。整改措施:按建议提出需求,确保综合服务平台及其互联网子程序使用数字签名确保双方信息完整、真实。提交软件公司评估:在核心业务系统中增加数字签名对系统稳定性的影响,在以后大的版本升级中予以解决。综合服务平台系统第25项问题,信息科负责将需求提交软件公司按建议在2019年6月底前解决。

  (二十七)应用系统未能够对一个访问账户或一个请求进程占用的资源分配最大限额和最小限额。整改措施:提交软件公司按建议解决。

  (二十八)系统管理数据、鉴别信息和重要业务数据在存储过程中缺少存储完整性检查。整改措施:同上(二十五)、(二十六)。对未建设完成的综合服务平台及其互联网子程序按建议提出此项安全需求予以解决。目前业务系统依靠五项措施解决:一是结算系统已对银行交易流水采用了数字证书进行了完整性检查和认证;二是预先设置规则对信息录入和电子档案拍照进行校验;三是业务科室对管理部进行差错率考核和纠错;四是依靠软件公司驻场人员每日业务终了后进行三账匹配的信息完整性检查;五是财务每日进行账实核对。

  (二十九)应用系统未对通信过程中管理数据和重要业务数据进行加密。整改措施:同上(二十三)、(二十四),购买和部署https代理设备解决传输过程加密问题。

  (三十)应用系统未对系统管理数据和重要业务数据进行加密存储。整改措施:住房公积金网上结算、异地转移、电子化检查均建立在国家《住房公积金基础数据标准》规定的数据存储格式基础上,在国家住建部未出台新的数据标准前,不考虑对数据存储方式进行变动。数据库防火墙采购已列入今年采购预算,结合现有数据库审计设备、其他安全设备综合考虑配置解决数据安全问题。2019年12月底前完成整改。

  四、制度化建设和规范化管理方面

  (三十一)未对关键岗位的人员进行全面、严格的安全审查和技能考核,缺少相应的考核记录。整改措施:按建议进行整改。信息科制定科室工作人员培训计划,对工作人员进行系统培训,鼓励尽快取得相应上岗证书。

  (三十二)未组织安全技术专家对总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计方案等相关文档进行论证和审定,缺少相应的论证和审定记录。整改措施:在已列入预算的网络安全渗透测试招标中增加对总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计方案等方面的认证和审定,并保留相应的认证和审定记录。中心核心业务系统的总体建设规划符合国家住建部《住房公积金信息化建设导则》推荐的总体架构。

  (三十三)未对应用软件的运行状况、网络流量、用户行为等进行监控。整改措施:向软件公司提出书面需求,按建议整改。

  (三十四)缺少统一的安全管理中心对设备状态、恶意代码、补丁升级、安全审计等安全事项进行集中管理。整改措施:拟列入2020年预算,采购安全管理软件系统,集中对网络、服务器、安全审计等各类设备安全事项进行智能分析和集中管理。

  (三十五)缺少变更失败的恢复程序文档,缺少重要变更的恢复演练记录。整改措施:按建议建立工作制度,留存好工作文档。

  (三十六)未针对系统中断和造成信息泄密的安全事件制定不同的处理程序和报告程序。整改措施:信息科在目前应急处理预案的基础上,2019年6月30日前修改完善相关制度,建立适合住房公积金行业特点和我中心实际情况的信息管理制度。

  会议还议定:

  一是把需解决的问题分类。如将需要软件公司解决的分为一类,将采购设备或者购买服务能解决的分为另一类。二是信息科要增强安全意识,对软件安全问题定期不定期自查自验,尤其是对硬件安全进行自检并做好自检记录。三是要保证每年购买第三方测评机构对中心的信息安全进行一次等级保护测评。四是信息科内部人员要学习同行先进经验,完备岗位职责、安全管理、培训等制度,细化落实业务流程。五是考虑到修改软件系统可能存在风险,安全为上,能通过设备解决的问题的,尽量不修改软件系统,各项整改计划尽量往前安排。六是信息科制定出2019年度节假日盟中心机房安防及设备巡查值班计划,与维保服务商共同负责好机房和设备安全。七是信息系统安全工作由宫玉山副主任负总责。

  参会人员:宫玉山、钱玉明、段志和、图雅、敖志刚、于华峰、王旭东、吴孟超