2024年网络安全安全风险管理

针对信息化工作建设、管理、使用各环节，对安全体系提供咨询，优化、完善网络安全管理体系，满足人社安全的需要。提供网络安全咨询服务，解答安全建设、安全运维过程中的安全问题。了解人社安全建设现状，参照国家及行业行业相关标准，协助制定**人社局整体网络安全及安全运维一体化管控系统方案，方案应符合网络安全实际需求，协助制定、优化安全策略。提供每季度1次的渗透测试服务，对**人社关键业务系统进行渗透测试。通过利用渗透测试工具对特定业务系统的各类**等进行非破坏性质的模拟黑客攻击，尝试入侵系统并获取系统信息，将入侵过程和技术细节产生进行报告，形成最终的渗透测试报告。安全渗透测试的主要内容至少包括：SQL 注入、XSS（跨站脚本）、CRLF 注入、目录遍历、文件包含、输入验证、认证、密码保护区域猜测、字典攻击、特定的错误页面检测、脆弱权限的目录、信息泄露、stuct2漏洞、Cookie欺骗、源代码泄露等。提供每月1次的安全巡检服务，安全巡检服务的内容包括对目标进行设备状态检查、安全漏洞扫描、安全日志审计等。根据等保测评整体评估测试结果、渗透测试检查结果、漏洞扫描结果、基线核查结果，针对所发现的安全漏洞及安全风险，提出可操作性强、效果佳的整改建议，并协助客户完**全整改。发生安全事件时，启动应急响应，协助快速发现问题、解决问题，减小安全事件带来的影响。检测威胁来源、清除入侵痕迹、加固系统，防止发生二次风险。按照相关要求，在护网期间加强技术监测和防范，提供1人7*24时不间断技术监测服务。