昆仑数智依据相关体系建设要求以及企业公司对信息安全考核检查的要求,提供全面、标准、合规的制度编制服务,本服务包括管理和技术两种类型10项安全要素,其中1-5蓝色代表管理要素,6-10绿色代表技术要素。
网络安全管理制度的建设推广将提高企业员工信息安全意识,提升企业信息安全管理的水平,增强组织抵御灾难性事件的能力,是企业信息化建设中的重要环节,必将大大提高信息管理工作的安全性和可靠性,使其更好地服务于企业的业务发展。
网络安全体系建设管理类服务,包括:安全体系、安全组织、资产分类控制、人员安全、运行管理等五部分内容
网络安全体系建设技术类服务,包括:访问控制;数据管理;应急与备份;风险评估;终端设备等五部分内容
通过对该公司现有的情况进行调研和梳理,对标ISO27001以及业内最佳实践作出差距分析;编制满足ISO27001所需的各类管理制度和管理流程等文档;将梳理的流程与现有IT服务能力管理工具进行整合,进行系统的试运行;最终通过认证机构的审核,获得ISO27001认证。
近年来,国家和集团出台和发布了一系列有关网络安全的政策与法规。学习并深入理解政策与法规是做好网络安全工作的必要条件。提高中层管理人员网络安全管理,掌握基本网络安全知识,提高中高层安全意识。
为了应对目前越发严峻的网络安全形势,应具备一定的应对水平。学习攻防技术、应用系统安全、数据库安全、漏洞及工业控制安全等几个方面。提高实际操作人员的技能水平提升,全面掌握网络安全知识,提高技术人员的实际能力。
针对全员开展网络安全意识培训,从安全案例、日常办公、数据安全、口令安全、个人隐私安全等多方面进行安全意识普及教育。提高普通员工的安全意识,从源头减少安全事件的发生。
包括:CISP;CISP-PTE;CISP-PTS;CISM;CIIPT等专业认证培训。
包括:管理类(网络安全等级保护、ISO27001管理体系解读、等)技术类(终端安全管理与防护、Web阿努齐安管理与防护、漏洞分析与防护、等)意识类(网络安全态势分析、网络安全意识培训、等)。
通过漏洞扫描器对企业内外网服务器、网站域名、应用系统进行安全脆弱性检测,出具专业漏洞扫描报告,并由安全专家提供结果解读、修复指导和复查服务。
安全基线是系统最低安全要求的配置。基线检查服务帮助企业发现目标范围内网络设备、操作系统、数据库等多类设备及系统中存在的配置缺陷,帮助企业提升网络和应用系统的安全强度,提升各类业务系统的安全防护能力,达到整体安全合规要求。
帮助企业对其各类应用系统可能存在的安全风险进行完整全面的漏洞测试(灰盒测试),需要系统提供不同权限的测试帐号各两个,尽可能全面的发现目标系统中存在的安全问题。最后出具安全测试报告、提供修复建议、并协助修复加固和复查。
在经过企业授权、认可渗透测试方案的情况下,由网络安全红客模拟黑客入侵(黑盒测试)方式,准确识别目标系统或网站(IP或域名)的安全风险,帮助企业发现目标系统或网站安全问题。
帮助企业对其ASP、ASPX、PHP、JSP等脚本源代码进行白盒的安全审计和测试,安全分析系统开发框架、应用程序、客户端程序、接口及第三方组件和应用配置,识别源代码安全缺陷。 这是在所有安全服务形式里面工作量最大的一种服务,但能够发现的安全隐患也是最彻底的,可以全面深入的挖掘出所有可能存在的漏洞,并从代码层进行修复,从根本上解决安全问题。
建立健全完善的信息安全管理组织,为企业信息安全提供首要人员和组织保障。
形成一整套在管理、控制、技术等方面制度化、标准化的文件。
使企业安全管理从“无序、零散、被动”的风险补救行为转变为“系统、科学、连贯、主动”的风险驾驭状态。
提升物理环境、网络安全、主机安全、应用系统、用户终端等方面的安全性能。
昆仑数智承担了多家单位的网络安全规划设计方案等规划类项目,从客户核心业务、核心价值出发,根据客户的发展战略,综合国际国内标准、政策要求和实践优化经验,通过风险评估等方式提取客户的安全需求,对相应的安全保障目标、任务、措施和步骤进行规划,并为客户提供了未来3-5年的安全建设规划。
加强企业工控系统的信息安全管理,防范黑客及恶意代码等对工控系统的攻击及侵害,保障企业工控系统的安全稳定运行。
落实国家信息安全等级保护制度,按照国家信息安全等级保护的有关要求,依据业务要求和相关法律法规提供管理制度改进建议,保障工控系统的安全。
帮助企业了解工控系统安全脆弱点的分布情况,促进企业改进工控系统安全防护措施。
在总结企业工控系统安全风险评估报告的基础上,提出企业工控系统安全对策建议。
一、隔离防护
工业单向数采装置部署在联合站和作业区与采油厂边界,实现物理隔离、实现数据的绝对单向上传,避免信息网遭受攻击后威胁到生产网。
二、防火墙部署
防火墙部署在工程师站与PLC之间 基于应用白名单策略、信令控制、参数控制、内容过滤、智能识别等技术手段,实现对生产控制区做整体的通信安全防护。
三、安全管理区
网络安全审计和入侵检测设备部署在安全管理区检测非法操作、异常事件、外部攻击等,并实时报警。
安全管理平台部署在安全管理区,形成一体化安全管控功能界面,多视角、多层次的管理与态势感知视图。
四、主机安全防护
主机卫士部署在工程师、服务器等设备上防止违规和误操作、阻止不明程序、授权移动存储介质访问权限等。
一、隔离防护 工业网闸部署在生产网与MES边界,实现MES和生产网之间隔离 ,避免管理网/MES遭受攻击后威胁到生产网。 工业防火墙部署在监控和控制网之间,实现分层隔离的安全防护,抵御已知未知威胁。 二、安全管理区 网络安全审计和入侵检测设备部署在安全管理区检测非法操作、异常事件、外部攻击等,并实时报警。 堡垒机部署在安全管理区 运维人员的系统登录授权、系统密码代维、操作指令限制、操作全程录屏审计等功能。 安全管理平台部署在安全管理区,形成一体化安全管控功能界面,多视角、多层次的管理与态势感知视图。 三、主机安全防护 主机卫士部署工程师、服务器等设备上防止违规和误操作、阻止不明程序、授权移动存储介质访问权限等。。
北京A有限公司是石油钻采配件一级供应网络成员单位,也是井控设备液压装置定点生产厂,有雄厚的技术力量和较强的科研开发能力。通过本项目实施,实现生产网与办公网的隔离,并在网络改造的同时部署了网络安全防护设备,落实了生产网与办公网不能直接连接的要求,同时提高了生产网对攻击行为的发现和防护能力
加强企业工控系统的信息安全管理,防范黑客及恶意代码等对工控系统的攻击及侵害,保障企业工控系统的安全稳定运行。
落实国家信息安全等级保护制度,按照国家信息安全等级保护的有关要求,依据业务要求和相关法律法规提供管理制度改进建议,保障工控系统的安全。
帮助企业了解工控系统安全脆弱点的分布情况,促进企业改进工控系统安全防护措施。
在总结企业工控系统安全风险评估报告的基础上,提出企业工控系统安全对策建议。
对评估范围内的资产进行识别,确定所有的评估对象,然后根据评估的资产在业务和应用流程中的重要程度(从资产的保密性、完整性和可用性三方面)为资产进行赋值。
威胁是指可能对资产或组织造成损害事故的外部原因。作为风险评估的重要因素,威胁是一个客观存在的,不会因为安全保障体系的建立而消亡。威胁利用资产本身的脆弱性,采用一定的途径和方式,对资产造成损害或损失,从而形成风险。
脆弱性是指资产或资产组中能被威胁所利用的弱点,它包括物理环境、组织机构、业务流程、人员、管理、硬件、软件及通讯设施等各个方面,这些都可能被各种安全威胁利用来侵害组织内的工控系统资产,造成资产损失。另外,不正确的、起不到应有作用的或没有正确实施的安全保护措施本身就可能是一个安全薄弱环节。
根据威胁及威胁利用脆弱性的难易程度判断安全事件发生的可能性,根据脆弱性的严重程度及安全事件所作用的资产的价值计算安全事件的损失,根据安全事件发生的可能性以及安全事件出现后的损失,计算安全事件一旦发生对组织的影响,即风险值。
依据国家工控系统安全管理要求,结合A公司的业务实际,本项目设计并实施了SCADA系统网络安全检查和攻防测试,为客户识别了工控系统安全风险和隐患,并给出风险处置建议,帮助客户提升工控系统安全防护水平。
本项目涉及B公司共计十四个二级单位及下属作业区、生产厂站等工控系统风险评估,分析目前工控系统所面临的威胁及脆弱性,评估安全事件一旦发生可能对工控系统造成危害的严重程度,提出符合B公司特点的、有针对性的防护对策和整改措施,将风险控制在可接受的水平,最大限度的为保障工控系统安全提供科学依据。
履行国家《网络安全法》法律义务、满足行业监管机构在信息安全领域的合规要求,有效规避组织所面临的信息安全法律及合规风险。
以等级保护为标准开展安全建设,让安全建设更加体系化,可以从物理、网络、主机、应用和数据多个方面成体系的进行安全建设,避免头痛医头、脚痛医脚,实现体系化的建设提高安全运维效率的成果。
依据多年来在各行业尤其是是有行业积累的经验,拥有众多行业化的等级保护建设方案,协助客户建立完整的安全服务体系支撑等级保护工作有效地落地执行.
通过风险评估强化网络安全,提升网络安全合规性,降低业务系统网络攻击风险。信息系统安全问题单凭技术是无法得到彻底解决的 它的解决涉及到政策法规、管理、标准、技术等方方面面,任何单一层次上的安全措施都不可能提供真正的全方位的安全信息系统安全问题的解决更应该站在系统工程的角度来考虑,在这项系统工程中,信息系统安全风险评估占有重要的地位,它是信息系统安全的基础和前提, 可以有效的减少人员和资金的巨大浪费。
管理制度评估,对被评估单位的组织机构、资产分类、安全运行、访问控制、数据安全管理和应急响应等制度进行评估,以切实保证管理制度符合IT资产中的可用性、机密性和完整性的要求
物理环境评估,主要是针对用户机房/设备间进行评估,通过实地走访用户方的机房现场,参照机房环境安全建设方面的有关国家标准以及行业性规章要求的基础上,实地评估用户方各机房环境的物理安全状况,重点是审查安全措施的完备性。物理环境评估主要是通过对机房场地、电磁防护、访问控制、消防系统、接地与防雷击、防水与防潮、空调系统、供电系统、防静电等九大方面进行评估。
网络安全评估-网络架构评估 ,结合用户方的业务支撑需求,评估现有网络架构设计的合理性和安全性,对于网络架构中可能存在的各种安全隐患给出相应的改造建议。网络安全架构评估采用人工访谈与人工查看相结合的方式进行。
网络安全评估-网络设备评估
,网络设备评估主要针对路由器、交换机、防火墙等设备,涵盖思科、华为、中兴、天融信等品牌,利用昆仑数智自主开发的信息安全检查平台,依据基线要求对现网设备进行配置核查,对存在的安全隐患进行分析验证,给出整改建议,确保网络设备的合规性。
Web系统安全评估 ,模拟黑客的攻击方法对系统和网络进行非破坏性质的攻击性测试,在保证整个渗透测试过程都在可以控制和调整的范围之内尽可能的获取目标信息系统的管理权限以及敏感信息,并将入侵的过程和细节产生报告给用户,由此证实用户系统所存在的安全威胁和风险,并能及时提醒安全管理员完善安全策略。Web系统评估分三个阶段:准备阶段、渗透阶段、复查阶段。
服务器数据评估,配置基线核查、高危漏洞扫描和日志管理三部分,涵盖Windows、Linux/Unix等操作系统,安全评估方式主要是工具检查和人工验证,其中昆仑数智自主研发安全检查平台可以对服务器基线和高危漏洞进行检查。
数据库安全评估,配置基线核查、高危漏洞扫描和日志管理三部分,涵盖Oracle、My SQL、SQL Server等数据库,安全评估方式主要是工具检查和人工验证,其中昆仑数智自主研发安全检查平台可以对数据库基线和高危漏洞进行检查。
此次风险评估为A公司评估物理环境(机房)1处,信息系统网络1套,以及安全管理体系,共涉及网络及安全设备安全检查32台,服务器安全检查70台,数据库检查2套,终端设备60台。
此次风险评估为B公司完成物理环境(机房)1处,信息系统网络1套以及安全管理体系。 本次风险评估共涉及网络和安全设备安全检查43台,服务器安全检查9台,数据库检查5套,应用资产系统5套。
RF-GIS产品采用面向微件的设计理念,制定GIS应用微件的接口定义和开发规范的研究应用;开发了可复用、可集成的GIS应用微件,形成具有自主知识产权的可供终端用户直接使用的RF-GIS Viewer;形成了可集成GIS应用包和RF-GIS Manager;该产品具有可扩展性,易用性,灵活性,具有广阔的应用前景。 RF-GIS Manager提供可视化配置界面,以配置方式实现对GIS应用微件及其他资源的管理和配置,支持快速搭建GIS应用系统,可满足GIS应用系统在地图功能和业务功能两个维度上的扩展需求,从而大幅提高GIS项目开发效率。
淮北矿业纪检信息管理系统由信访执纪审理管理模块、巡察监督管理模块、 “两个责任”考核管理模块、廉洁档案管理模块、纪检监察审计队伍管理、资料信息查询管理等模块组成,各模块高度集成,实现了流程、模板、制式文档、报表的规范化,与数据的标准化,保证了信息一致性、规范性,推进了执纪监督水平的提升。
根据油田公司矿权管理实际工作,整合国土资源部矿权管理与评价软件(MRGIS),实现公司矿权区块多维度信息查询,钻井部署动态资料实时查询应用,同时可辅助支撑开展矿权年检、矿权评价与保护、矿业秩序等管理工作。
用于油气勘探、油藏评价等业务领域的日常随钻分析和井位部署论证,系统通过快速调用生产动态资料、最新研究成果,对多学科点、线、面、体信息进行可视化集成展现,提供决策分析依据,并辅助支持油田公司动态分析会应用模式。
从储层描述、地质建模、油气田开发、数值模拟、剩余油气描述、动态预警六个方面,对精细油藏描述研究进行分区块、分类管理;对精描成果标准化、集中化管理;对动、静态数据集中展示,通过B/S系统与三维地质建模系统进行联动展示。
数字化油气藏研究与决策支持系统(RDMS)的建设,采用了标准化、工业化的思想,达到了业务流与数据流的统一,实现了一体化研究、多学科协同决策新模式,应用于长庆油田分公司及各二级单位。