信息系统依赖程度将越来越大，信息基状调查表主机操作系统版本补丁状况口令账号管理文件管理服务管理备份安全措施等网络及物理环境现状调查表链路状况网络拓扑设备产品部署管理平台手段配置状况端口服务安全措施机房环境等。检查表利用检查表检查系统是否存在弱点，检查表由评估人员在安全检查与测试时使用，本次风险评估使用的检查表可能包括业务及应用安全检查表安全管理检查表服务器安全检查表数据库安全检查表操作系统安全检查表物理安全检查表网络设备安全检查表安全设备安全检查表自动化测试工具自动化测试工具包括扫描工具口令破解攻击攻击工具等。用于检测系统可能存在的漏洞或弱点。关键技术其中主要涉及的关键技术包括威胁建模应用设计安全分析渗透测试投资估算人天估算本评估项目人天估算如表六所示。表人天估算类别评估项目评估时间天评估人员备注资金管理系统应用安全评估业务流程控制有效性高级安全咨询顾问人业务顾问人应用系统架构和设计安全应用安全专家人应用技术顾问人应用系统实现安全高级安全咨询顾问人应用技术顾问人页面安全高级安全咨询顾问人应用运行管理高级安全咨询顾问人模块接口安全应用安全专家人应用技术顾问人财务相关系统主机评估主机系统高级安全咨询顾问人数据库高级安全咨询顾问人运行管理高级安全咨询顾问人总部网络系统安全评估网络结构设计资金管理系统部分总部局域网骨干网总部局域网互联网出口高级安全咨询顾问人安全咨询顾问人网络设备安全咨询顾问人安全设备高级安全咨询顾问人安全咨询顾问人企业站点站点渗透测试高级安全咨询顾问人分项总计应用安全专家高级安全咨询顾问业务顾问应用技术顾问安全咨询顾问注上述每项时间包含前期准备时间现场时间后期分项文档时间综合分析应用安全分项与基础设施分项综合分析应用安全专家人高级安全咨询顾问人总计业务顾问人天应用技术顾问人天应用安全专家人天高级安全咨询顾问人天安全咨询顾问人天项目预算注业务顾问是指熟悉中国石化业务流程的资深人员应用技术顾问是指和技术顾问应用安全专家是指熟悉资金申请审批系统应用的评估人员高级安全咨询顾问是指熟悉安全咨询标准具有丰富评估经验的人员安全咨询顾问是指了解安全咨询标准熟悉安全评估内容的人员。投资估算投资估算总额为元，具体内容如下。表投资估算序号内容数量单价元小计元备注技术服务费用业务顾问评估人员现场费用应用技术顾问应用安全专家高级安全咨询顾问安全咨询顾问专用硬件设备,专用软件测试及工具,项目管理费,合计验收指标阶段划分在项目的实施中，将项目分为项目准备阶段现状调研阶段现状分析阶段检查与测试阶段分析评价阶段报告编制阶段等六个阶段，如图五所示。图五项目阶段划分本次风险评估项目分项目准备调研现状分析检查与测试分析评价及起草评估报告六步骤，各步骤验收的内容如下项目准备阶段提交中国石化信息基础设施安全评估项目实施计划中国石化资金申请审批系统安全评估项目实施计划现状调研阶段提交调查报告及测试报告分析评估提交风险分析报告报告编制阶段提交风险评估工作报告及建议。总体验收内容及指标安全评估方案安全评估实施方案资金申请审批系统应用控制有效性穿行测试报告资金申请审批系统应用安全设计与实现评估报告资金申请审批系统用款申请系统渗透测试报告资金申请审批系统模块接口测试报告资金申请审批系统应用及基础设施运行管理风险评估报告资金集中管理信息系统安全评估报告资金集中管理信息系统安全建议总部网络风险评估报告财务相关系统主机主机设备数据库评估报告企业站点渗透测试报告财务相关主机加固建议企业站点加固建议。项目实施计划组织机构及人员安排为了切实落实并且保证本次项目管理的有效性，由中国石化财务部信息系统管理部石化盈科和江南天安，将联合组成评估项目组，担任本次安全评估工作。从项目的组织机构项目信息流通方向项目信息审批和项目文档管理几个方面来进行项目组的建设和责任分工。此种管理方式保证本项目可以有效地调动项目组的各类资源支持项目的开展。并且通过项目组的密切沟通和支持可以确保用户方中国石化的最大利益。负责单位信息系统管理部实施单位石化盈科江南天安参加单位资金申请审批系统使用部门开发商集成商。为使评估项目更好的实施，成立领导组管理组安全组协调组实施组等，组织结构图如所示。图六组织结构图进度计划该项目的进度计划如图七所示，预计在三个月完成，图中以月日开始为例，那么项目的结束时间为月日。图七进度计划可行性分析技术可行性分析石化盈科江南天安长期从事信息安全的研究，多次承担了国家信息系统安全风险评估工作，积累了大量的工作经验，为国家部委制定了系列安全技术和安全管理标准，并拥有支高水平的信息安全评估服务队伍，完全有能力承担本次任务。该项目符合中国石化信息化安全稳定发展的需要，符合资金申请审批系统业务高速安全发展的需要，符合资金申请审批系统安全建设策略要求。项目目标清晰内容完整过程规范技术成熟。投入产出分析投入分析产出分析通过本项目的实施，可以使各级领导各级管理部门建设与运维部门操作与控制人员分层分级地把握信息基础设施和资金申请审批系统的安全风险，了解整个系统的安全状况，明确安全保障目标和任务，突出重点，能有效提高信息基础设施和资金申请审批系统安全管理水平，提高安全建设投资效率和安全工作效率，更有利于市场竞争能力提高。风险分析及规避安全评估实施计划评审在项目实施过程中，对安全评估实施计划的内容进行评审，并形成正规化文件。评估实施严格按评估实施方案和安全评估实施计划实施评估。参与评估的人员实施保密教育，签署保密协议。文件管理对评估活动中的所有项目文档，采取专机专用专管专控措施，保证评估的正规化规范化，杜绝失泄密。这些文件包括评估实施方案安全评估实施计划工具集以及中间文档记录等。实施过程中的风险控制由于评估过程中将使用多种攻击性工具，因此评估可能对信息系统安全造成定的潜在威胁，对此主要采取以下控制措施。评估实施前制定详细实施计划，编制项目章程，签署保密协议。所有工作计划必须获得领导批准，并严格按照计划执行。项目章程要明确组织领导关系联系沟通方式报告与会议制度保密制度文档流转控制制度变更控制制度。对于项目中的任何变更，项目实施人员均要通知项目组长或领导组成员，项目组长或领导组成员需要对是否允许变更做出批示。对于重要的变更，需要书面的变更申请，并更新相关计划。评估实施前信息平台重要数据，如网络系统关键设备配置服务器系统配置参数以及应用环境和数据，需做好备份，保证能够快速恢复系统。做好各种可能的应急预案。结论该项目符合中国石化信息化安全稳定发展的需要，符合中国石化信息基础设施和资金集中管理业务高速安全发展的需要，符合中国石化信息基础设施和资金集中管理业务系统安全建设策略要求。目标清晰内容完整过程规范技术成熟费用合理。参考文献资料中国石化信息安全规划初稿信息安全评估指南送审稿安全管理体系要求，替代原替代原安全管理实践信息安全技术信息系统安全管理要求信息安全技术信息系统通用安全技术要求信息系统安全等级保护测评准则信息技术安全技术安全管理指南第部分安全的管理和规划信息技术安全技术信息技术安全性评估准则第部分安全功能要求信息处理系统开放系统互连基本参考模型第部分安全体系结构信息系统安全工程的成熟度模型其它内控安全要求。目录编制依据和原则编写依据项目意义国内外现状及发展趋势国外现状及发展趋势国内现状及发展趋势需求分析系统现状评估需求评估目标和评估内容项目目标项目内容工作策略技术方案和技术路线技术方案技术路线评估手段评估工具关键技术核准通过，归档资料。未经允许，请勿外传！投资估算人天估算投资估算验收指标阶段划分总体验收内容及指标项目实施计划组织机构及人员安排进度计划可行性分析技术可行性分析投入产出分析风险分析及规避结论参考文献资料编制依据和原则编写依据国家信息化办公室要求国有大型企业对信息系统实施全面的安全评估中国人民代表大会发布的中华人民共和国公司法要求中华人民共和国财政部发布的中华人民共和国会计法及企业会计制度要求中国银行业监督管理委员会发布的企业集团财务公司管理办法电子银行业务管理办法电子银行安全评估指引要求中国石化信息安全规划初稿要求中国石化财务部将资金申请审批系统的安全稳定运行作为今后重点工作之，以保证资金申请审批系统和业务的可持续发展中国石化各级领导高实“五统”战略，要求针对重要的信息系统进行安全评估。针对企业财务会计系统，中国人民银行中华人民共和国财政部中国银行业监督管理委员会国务院国有资产监督管理委员会等分别颁布了相关的法规制度，如