成熟。

投入产出分析投入分析产出分析通过本项目实施，可以使各级领导各级管理部门建设与运维部门操作与控制人员分层分级地把握信息基础设施和资金申请审批系统安全风险，了解整个系统安全状况，明确安全保障目标和任务，突出重点，能有效提高信息基础设施和资金申请审批系统安全管理水平，提高安全建设投资效率和安全工作效率，更有利于市场竞争能力提高。

风险分析及规避安全评估实施计划评审在项目实施过程中，对安全评估实施计划内容进行评审，并形成正规化文件。

评估实施严格按评估实施方案和安全评估实施计划实施评估。

参与评估人员实施保密教育，签署保密协议。

文件管理对评估活动中所有项目文档，采取专机专用专管专控措施，保证评估正规化规范化，杜绝失泄密。

这些文件包括评估实施方案安全评估实施计划工具集以及中间文档记录等。

实施过程中风险控制由于评估过程中将使用多种攻击性工具，因此评估可能对信息系统安全造成定潜在威胁，对此主要采取以下控制措施。

评估实施前制定详细实施计划，编制项目章程，签署保密协议。

所有工作计划必须获得领导批准，并严格按照计划执行。

项目章程要明确组织领导关系联系沟通方式报告与会两个部分，其中在总部包括服务器前置服务器加密机防火墙等，在银行部分，涉及到与工行建行中行农行四个银行连接，设备包括银行前置服务器加密机防火墙等客户端是指会计处资金处等业务用户在进行资金审批业务时使用客户端，采用浏览器方式和浪潮用款申请系统连接进行业务处理。

企业资金申请审批系统企业资金申请审批系统是指企业在提报资金申请时使用客户端，采用浏览器方式和总部浪潮用款申请系统连接进资金申请。

移动用户浪潮用款申请系统移动用户是指通过连接到总部浪潮用款申请系统进行资金申请和审批用户。

浪潮用款申请系统是个结构业务处理系统，无论是总部用户还是企业用户，只要拥有合法权限业务账号，就可以通过浏览器登录到总部浪潮用款申请系统进行相关权限业务处理，业务流程示意图如所示。

首先，浪潮用款申请系统在管理上要求总部相关部门及各个企业，在银行设立收支两种类型账户，总部银行账户通过银行系统每天将各个企业和部门收支两类账户所有资金统回收到总部银行账户进行管理，各个企业和部门若使用资金，需要通过浪潮用款申请系统客户端浏览器提前天提报申请。

审批人员按照固化在系统流程通过浪潮用款申请系统客户端浏览器进行签批，然后进入服务器按照规定流程进行审批。

在服务器审批通过后，向数据交换系统发出转账请求。

数据交换系统服务器接到转账请求后，将转账请求转发给前置服务器，前置服务器将转账请求加密后传送到银行前置服务器，银行前置服务器解密转账请求后，将其转发到银行业务系统进行转账处理，完成数据交换系统功能，数据交换系统示意图如图二图三所示。

图二资金申请审批系统业务流程示意图银行数据交换系统系统中国石化前置服务器发送交易信息加解密交易信息和银行进行数据交换发送交易信息密文银行前置服务器加解密交易信息和中国石化进行数据交换发送交易信息银行业务系统进行交易处理返回交易信息返回交易信息密文返回交易信息中国石化数据交换系统图三数据交换系统示意图财务系统相关主机财务相关系统是指资金管理系统系统筹融资系统财务报表生成系统等四个系统，这四个系统对于保障企业正常运营具有重要意义，也是内部控制要求定期评估对象。

总部网络系统经过多年建设，中国石化已经建成了覆盖所有下属企业光纤主干网，网络上运行着各种应用系统，实现了生产数据实时传输，形成了管控体化网络体系。

成为中国石化提高工作效率降低成本提供了有效手段。

网络系统已经成为企业生产经营依赖不可或缺重要信息基础设施。

但是。

这在客上也造成了业务系统面临威胁及风险可能性也大大增加，随着中国石化信息化建设发展，相关业务对信息系统依赖程度将越来越大，信息基础设施网络系统主机系统任何意外事故都可能会给中国石化业务及声誉带来重大影响。

企业对外信息发布站点企业对外信息发布站点经过多年建设，对企业宣传起着重要作用，旦被人恶意攻击修改，对企业会造成影响，比如服务器崩溃，各种应用服务停止服务脚本安全漏洞，远程溢出漏洞通过服务获取系统超级用户特权通过服务上传木马等非法后门程序，以达到对整个服务器控制服务器数据源被非法入侵，用户些私有信息被窃利用服务器作为跳板，进而攻击内部重要数据库服务器。