XX集团信息安全咨询评估服务方案建议书目录一ﻩ需求分析.........................................................................................................3１.１背景分析...........................................................................................31.2项目目标ﻩ41．3需求内容分析..................................................................................４1.３.１技术风险评估需求分析...........................................................41.3.2管理风险评估需求分析ﻩ51.4时间进度需求........................................................................................６1.5考核要求ﻩ6１.６服务支撑需求ﻩ6二项目实施方案..............................................................................................62.１技术安全风险评估ﻩ62.1.１资产评估ﻩ62.１.2操作系统平台安全评估.............................................................82.1.3网络安全评估..........................................................................10２.1．4渗透测试ﻩ122.2管理风险评估.....................................................................................1６２.2．1安全管理制度审计..........................................................1６2.2.2业务流程管控安全评估..........................................................１72.3评估工具ﻩ182.4形成报告ﻩ9１一需求分析一.1背景分析XX的信息化建设正在朝着集中化和云化的方向发展，通过云计算技术的应用把原来分散于各医院和分支机构的业务系统进行整合，实现基于云平台的业务系统和数据集中部署,从而解决了长期存在的大量信息孤岛问题,降低珍贵医疗数据和商业数据的流失风险，也为未来的集团医疗大数据分析和精准医疗服务打下扎实的基础。从原来分散式的信息孤岛到现在的云化集中部署,XX的信息化环境正在发生根本性的变化,带来节约人力成本、提高工作效率、减少管理漏洞、提高数据准确性等诸多的好处。当前,国内外数据安全事件层出不穷,网络信息安全环境日趋复杂,信息化环境的变化也同时带来了新的信息安全风险,总体来说包括以下几个方面：一、实现系统和数据的集中化部署后，等于把原来分散的信息安全风险也进行了集中，一旦发生信息安全事故,其影响将是全局性的。比如在原有的信息化环境下发生敏感数据泄漏，其泄漏范围只限于个别的医院或分支机构。而现在一旦发生数据泄漏,泄漏范围会是全集团所有医院和分支机构,直接和间接的损失不可同日而语。二、云计算是一种颠覆传统ＩT架构的前沿技术，它可以增强协作，提高敏捷性、可扩展性以及可用性。还可以通过优化资源分配、提高计算效率来降低成本。这也意味着基于传统IT架构的信息安全技术和产品往往不能再为云端系统和数据提供足够的防护能力。三、系统和数据的集中部署、云计算技术应用都要求建立可靠的信息安全管理机制，改变原有的离散管理模型，从管理规范和工作流程上实现与现有集中模式的对接,降低因管理不当导致的信息安全风险。一.2项目目标对XＸ当前的信息化环境从管理和技术上进行充分的信息安全风险评估,并依据风险评估结果制订相应的风险管控方案。具体建设内容包括：1.技术风险评估:1)对现有的信息系统、机房及基础网络资产和网络拓扑、数据资产、特权账号资产等进行安全风险评估;２）对核心业务系统进行WEＢ安全、数据安全、业务逻辑安全风险评估；3）对正在建设的云计算基础平台架构及承载的操作系统进行安全风险评估;4)渗透模拟黑客可能使用的攻击技术和漏洞发现技术,对业务系统进行授权渗透测试,对目标系统进行深入的探测，以发现系统最脆弱的环节、可能被利用的入侵点以及现网存在的安全隐患。2.ﻩ管理风险评估1)采用调查访谈并结合实地考察的形式，对数据中心和核心系统的安全管理制度进行疏理和安全风险评估；２)对业务管控制度和流程进行安全风险评估,采用阅读流程资料和相关人员访谈的形式了解业务和系统内控制度和实现的业务流程,试...
