发测试区生产区数据交换系统以及客户端，其中 开发测试区包括浪潮用款申请系统开发测试区测试区数据交换系统测试区 生产区包括浪潮用款申请系统服务器以及存储备份系统 数据交换系统包括中国石化总部和银行两个部分，其中在总部包括服务器 前置服务器加密机防火墙等，在银行部分，涉及到与工行建行中行农行四个银行 的连接，设备包括银行前置服务器加密机防火墙等 客户端是指会计处资金处等业务用户在进行资金审批业务时使用的客户端，采用 浏览器的方式和浪潮用款申请系统连接进行业务处理。 企业资金申请审批系统 企业资金申请审批系统是指企业在提报资金申请时使用的客户端，采用浏览器的方 式和总部浪潮用款申请系统连接进资金申请。 移动用户 浪潮用款申请系统的移动用户是指通过连接到总部浪潮用款申请系统进行资 金申请和审批的用户。 浪潮用款申请系统是个结构的业务处理系统，无论是总部的用户还是企业的用 户，只要拥有合法权限的业务账号，就可以通过浏览器登录到总部浪潮用款申请系统进 行相关权限的业务处理，业务流程示意图如所示。 首先，浪潮用款申请系统在管理上要求总部的相关部门及各个企业，在银行设立收支两 种类型的账户，总部的银行账户通过银行系统每天将各个企业和部门的收支两类账户的所有 资金统回收到总部的银行账户进行管理，各个企业和部门若使用资金，需要通过浪潮用款申请系统的客户端浏览器提前天提报申请。审批人员按照固化在系统的流程通过 浪潮用款申请系统的客户端浏览器进行签批，然后进入服务器按照规定的流程进 行审批。在服务器审批通过后，向数据交换系统发出转账请求。数据交换系统的 服务器接到转账请求后，将转账请求转发给前置服务器，前置服务器将转账请求加密后传送 到银行前置服务器，银行前置服务器解密转账请求后，将其转发到银行业务系统进行转账处 理，完成数据交换系统的功能，数据交换系统示意图如图二图三所示。 图二资金申请审批系统业务流程示意图 银行数据交换系统 系统 中国石化前置 服务器 发送交易信息 加解密交易信息 和银行进行数据交换 发送交易信息 密文 银行前置 服务器 加解密交易信息 和中国石化进行数据交换 发送交易信息 银行业务 系统 进行交易处理 返回交易信息 返回交易信息 密文 返回交易信息 中国石化数据交换系统 图三数据交换系统示意图 财务系统相关主机 财务相关系统是指资金管理系统系统筹融资系统财务报表生成系统等四个 系统，这四个系统对于保障企业正常运营具有重要的意义，也是内部控制要求定期评估的对象。 总部网络系统 经过多年的建设，中国石化已经建成了覆盖所有下属企业的光纤主干网，网络上运行着 各种应用系统，实现了生产数据实时传输，形成了管控体化的网络体系。成为中国石化提 高工作效率降低成本提供了有效的手段。网络系统已经成为企业生产经营依赖的不可或 缺的重要信息基础设施。但是。这在客观上也造成了业务系统面临的威胁及风险可能性也大 大增加，随着中国石化信息化行账户通过银行系统每天将各个企业和部门的收支两类账户的所有 资金统回收到总部的银行账户进行管理，各个企业和部门若使用资金，需要通过浪潮用款申请系统的客户端浏览器提前天提报申请。审批人员按照固化在系统的流程通过 浪潮用款申请系统的客户端浏览器进行签批，然后进入服务器按照规定的流程进 行审批。在服务器审批通过后，向数据交换系统发出转账请求。数据交换系统的 服务器接到转账请求后，将转账请求转发给前置服务器，前置服务器将转账请求加密后传送 到银行前置服务器，银行前置服务器解密转账请求后，将其转发到银行业务系统进行转账处 理，完成数据交换系统的功能，数据交换系统示意图如图二图三所示。 图二资金申请审批系统业务流程示意图 银行数据交换系统 系统 中国石化前置 服务器 发送交易信息 加解密交易信息 和银行进行数据交换 发送交易信息 密文 银行前置 服务器 加解密交易信息 和中国石化进行数据交换 发送交易信息 银行业务 系统 进行交易处理 返回交易信息 返回交易信息 密文 返回交易信息 中国石化数据交换系统 图三数据交换系统示意图 财务系统相关主机 财务相关系统是指资金管理系统系统筹融资系统财务报表生成系统等四个 系统，这四个系统对于保障企业正常运营具有重要的意义，也是内部控制要求定期评估的对象。 总部网络系统 经过多年的建设，中国石化已经建成了覆盖所有下属企业的光纤主干网，网络上运行着 各种应用系统，实现了生产数据实时传输，形成了管控体化的网络体系。成为中国石化提 高工作效率降低成本提供了有效的手段。网络系统已经成为企业生产经营依赖的不可或 缺的重要信息基础设施。但是。这在客观上也造成了业务系统面临的威胁及风险可能性也大 大增加，随着中国石化信息化建设的发展，相关业务对信息系统依赖程度将越来越大，信息 基础设施网络系统主机系统的任何意外事故都可能会给中国石化业务及声誉带来重大 影响。 企业对外信息发布站点 企业对外信息发布站点经过多年的建设，对企业的宣传起着重要的作用，旦被人恶意 攻击修改，对企业会造成影响，比如服务器崩溃，各种应用服务停止服务脚本的 安全漏洞，远程溢出漏洞通过服务获取系统的超级用户特权通过 服务上传木马等非法后门程序，以达到对整个服务器的控制服务器的数据源被非法入 侵，用户的些私有信息被窃利用服务器作为跳板，进而攻击内部的重要数据库服务 器。拒绝服务攻击或分布式拒绝服务攻击恶意的，攻击等。 评估需求 中国石化已经对加油卡系统做了系统化的安全评估，取得了很好的效果，对加油卡系统 的下步安全建设提供了依据。 为了保证中国石化信息基础设施和资金申请审批系统安全稳定可靠运行，保证各种应用的有效运转，按照有关领导的要求，了解信息基础设施和资金申请审批系统的安全风险，借 鉴加油卡系统的评估成果和作用，需要从安全的角度对信息基础设施和资金申请审批系统进 行次全面的安全评估，提出信息基础设施和资金申请审批系统的安全建设建议，为信息基 础设施和资金申请审批系统的安全建设提供依据。 资金申请审批系统评估需求 资金申请审批系统作为中国石化财务业务管理的个重要系统，经过年的试点运行， 为资金的统管理统分配提高使用效率降低运行成本起到了积极的作用。 资金申请审批系统本质上是个具有金融性质的业务系统，不仅涉及资金，还涉及到总 部及各个企业资金的使用，关乎中国石化整个企业的市场经营，其安全稳定运行是整个业务 可持续发展的基础。 资金申请审批系统与其它金融业务系统样，面临方方面面的风险，其中主要考虑资金 安全的评估，包括资金应用系统安全支撑系统安全网络系统安全环境安全以及应 用系统和支撑系统的操作安全等。 财务相关系统主机评估需求 财务相关系统保存和处理的是财务基本数据，这些系统的正常运行是企业能够正常运营 的基本条件，系统旦出现重大信息安全事件，会对企业造成重大经济和名誉损失。中石化 作为海外上市的国际型企业，保障财务相关系统的信息安全及定期相关系统评估是内部控制 的基本要求。 总部网络评估需求 中国石化要求对局域网主干网和出口进行网络与系统安全方面安全管理方面实施评估，确定网络面临的安全风险风险控制措施。评估重点为根据内控要求，评估 中国石化总公司局域网和主干网中的重要网络设备和安全设备重要主机系统是否存在薄弱 环节和风险，对总部主页进行渗透测试，了解出口的安全现状。并进行风险分析， 给出安全建议。这也是内控要求的定期评估内容。 企业对外信息发布站点 企业对外信息发布站点目前已有多种安全保障机制，由于它直接对互联网用户提供服 务，遭受攻击的可能性大大增加，故需要对系统使用的操作系统进行安全检查，检查是 否存在漏洞。对服务器的权限配置进行检测，检查用户越权访问而导致的安全问题的可 能性。对服务器安全配置进行检查，检查管理员的配置不当。检查服务器日志管理。 进行服务器动态脚本的检查。对其进行渗透测试。通过上述检测发现其中的漏洞，并提 出合理的安全建议。 评估目标和评估内容 项目目标 为中国石化信息基础设施和资金申请审批系统安全保障体系建设完善提供决策依 据 为中国石化信息基础设施和资金申请审批系统后续建设发展提供决策依据 通过体系化评估，掌握中国石化信息基础设施和资金申请审批系统的总体安全和风 险状况，从业务流程软件实现基础设施网络设备安全设备主机系统运 行管理等方面评价信息基础设施和资金申请审批系统的安全状况，确定存在的风 险 通过对财务相关系统主机的安全评估，确定主机系统面临的风险，制定安全加固措施，确保财务相关系统的安全，这也是内审的要求 对总部局域网主干网和出口的安全评估，了解目前网络建设的现状， 为下步网络规划和建设提供决策依据 对企业站点进行渗透测试，为站点安全建设提供依据。 项目内容 本次评估工作内容包括三个方面的内容资金管理系统应用安全评估财务系统相 关主机安全评估总部网络系统评估企业站点渗透测试安全建议。 资金管理系统应用安全评估 应用安全评估内容包含业务流程控制有效性应用系统架构和设计安全通用 应用系统实现安全页面安全模块接口安全关键代码安全应用运行管理 等几个方面 业务流程控制有效性 评价系统应用控制能力 资金管理系统系统架构与设计安全威胁建模 浪潮用款申请系统系统和身份鉴别 浪潮用款申请系统系统和权限控制 权限分离 机密数据的保护 密码使用管理 异常处理 安全审计和日志资源利用 资金管理系统实现安全 输入合法性检测 口令安全 应用层拒绝服务 敏感会话保护 加解密技术使用 认证技术 浪潮用款申请系统页面安全 网站探测 已知漏洞攻击 参数操控 跨站脚本 注入 