统文件保护防病毒管理日志管理总部网络安全评估信息基础设施安全包含包括中国石化局域网主干网和主机系统，在本次评估中，将实现网络结构设计重要网络设备重要安全设备重要主机系统数据库运行管理等几个方面安全评估网络设计网络及边界安全网络系统安全设计网络设备安全功能及使用网络访问控制网络安全检测分析网络连接网络可用性网络设备帐户安全访问控制设备管理安全设备访问控制策略加密策略密码策略安全设备帐户及日常维护入侵检测主机系统帐号安全文件系统安全网络服务安全系统访问控制日志及监控审计拒绝服务保护补丁管理病毒及恶意代码防护系统备份与恢复运行管理日常操作与维护管理变更备份与故障恢复应急处理评估主要手段包括访谈文档检查现场配置问卷调查技术测试等企业站点安全网站探测已知漏洞攻击参数操控跨站脚本注入利用。评估方式是远程黑盒渗透测试。安全建议针对评估结果，提出切实可行安全建议。工作策略中国石化近几年已经开展了系列正式安全风险评估工作和内控检查工作，但由于资金申请审批系统重要性特殊性，需要客户端是指会计处资金处等业务用户在进行资金审批业务时使用客户端，采用浏览器方式和浪潮用款申请系统连接进行业务处理。企业资金申请审批系统企业资金申请审批系统是指企业在提报资金申请时使用客户端，务处理系统，无论是总部用户还是企业用户，只要拥有合法权限业务账号，就可以通过浏览器登录到总部浪潮用款申请系统进行相关权限业务处理，业务流程示意图如所示。首先，浪潮用款申请系统在管理上要求总部相关部浏览器提前天提报申请。审批人员按照固化在系统流程通过浪潮用款申请系统客户端浏览器进行签批，然后进入服务器按照规定流程进行审批。在服务器审批通过后，向数据交换系统发出转账请求。数据交换系据交换系统示意图如图二图三所示。图二资金申请审批系统业务流程示意图银行数据交换系统系统中国石化前置服务器发送交易信息加解密交易信息和银行进行数据交换发送交易信息密文银行前置服务器加解系统筹融资系统财务报表生成系统等四个系统，这四个系统对于保障企业正常运营具有重要意义，也是内部控制要求定期评估对象。总部网络系统经过多年建设，中国石化已经建成了覆盖所有下属企业光纤主干网观上也造成了业务系统面临威胁及风险可能性也大大增加，随着中国石化信息化建设发展，相关业务对信息系统依赖程度将越来越大，信息基础设施网络系统主机系统任何意外事故都可能会给中国石化业务及声誉带来重大漏洞通过服务获取系统超级用户特权通过服务上传木马等非法后门程序，以达到对整个服务器控制服务器数据源被非法入侵，用户些私有信息被窃利用服务器作为跳板，进而设提供了依据。为了保证中国石化信息基础设施和资金申请审批系统安全稳定可靠运行，保证各种应用有效运转，按照有关领导要求，了解信息基础设施和资金申请审批系统安全风险，借鉴加油卡系统评估成果和作用，需要从安息系统安全建议总部网络风险评估报告财务相关系统主机主机设备数据库评估报告企业站点渗透测试报告财务相关主机加固建议企业站点加固建议。项目实施计划组织机构及人员安排为了切实落实并且保证本次项目管理有效性，由中国石化财务部信息系统管理部石化盈科和江南天安，将联合组成评估项目组，担任本次安全评估工作。从项目组织机构项目信息流通方向项目信息审批和项目文档管理几个方面来进行项目组建设和责任分工。此种管理方式保证本项目可以有效地调动项目组各类资源支持项目开展。并且通过项目组密切沟通和支持可以确保用户方中国石化最大利益。负责单位信息系统管理部实施单位石化盈科江南天安参加单位资金申请审批系统使用部门开发商集成商。为使评估项目更好实施，成立领导组管理组安全组协调组实施组等，组织结构图如所示。图六组织结构图进度计划该项目进度计划如图七所示，预计在三个月完成，图中以月日开始为例，那么项目结束时间为月日。图七进度计划可行性分析技术可行性分析石化盈科江南天安长期从事信息安全研究，多次承担了国家信息系统安全风险评估工作，积累了大量工