服务类别

服务名称

服务简述

详细需求及完成交付物

服务频率

安全运维

定期漏洞扫描

1.定期对我司现有信息系统进行漏洞扫描；

2.合同期内新增的信息系统进行安全漏洞的扫描。

通过专业安全扫描评估工具以互联网扫描的方式对信息系统和网络进行安全扫描，来查找网络结构、网络设备、服务器主机、数据和用户账号/口令等安全对象目标存在的安全风险、漏洞和威胁；形成《扫描风险分析报告》。协助甲方进行漏洞修补、加固与复查。

每季度1次

安全漏洞通告

信息安全服务商安全小组在第一时间提供最新的安全漏洞通告及相应的修补建议。

合同期内最新的安全漏洞通告及相应的修补建议

形成《安全漏洞通告第X期》。

合同期内每月1次

应急响应

需信息安全服务商协助我司的安全人员及时发现问题，恢复系统，追查来源，保留证据。

当我司出现紧急安全事件的时候，由信息安全服务商的安全专家提供有效的综合响应措施，对已发生或可能发生的有重大危害的网络与信息安全事件进行响应，以尽量降低可能造成损失。信息安全服务商须承诺在接到我司应急响应服务请求并判断需现场支持后1小时内到达客户现场提供现场安全支持，形成《国盛证券应急响应服务处理记录》

合同期内

安全培训服务

信息安全意识教育培训

信息安全培训主要针对我司的信息安全管理员、系统运维人员及公司其他部门员工。

主要内容包括信息安全基础、常见操作系统安全、系统检查和加固、应急响应和入侵调查、网络安全设备、入侵防护技术及网络安全意识教育等。

合同期内每半年1次

渗透测试与上线安全检测

渗透测试

信息安全服务商渗透测试小组，使用多种技术和方法对服务范围内客户授权的服务器、应用系统、网络设备进行模拟性攻击测试。验证当前的安全防护措施，找出风险点，提供有价值的安全建议，协助安全加固、修补与复查。

信息安全服务商在获取我司授权后，通过真实模拟黑客使用的工具、分析方法来进行实际的漏洞发现和利用的安全测试方法。以最有效的发现最严重的安全漏洞。在测试过程中，我司可以选择渗透测试的强度，例如不允许测试人员对某些服务器或者应用进行测试或影响其正常运行。形成《国盛证券XX系统渗透测试报告》。

合同期内每半年1次

新系统上线评估

针对我司新上线的业务系统进行安全扫描和渗透测试；针对现有业务扩容的新上线服务器进行扫描分析。

对合同期内新上线的业务系统进行安全扫描和渗透测试，形成《XX系统上线前安全风险分析报告》

合同期内

病毒检测

针对第三方供应商提供给我司的APP软件，要求信息安全服务商使用多种病毒扫描引擎进行综合扫描分析。

针对第三方供应商提供给我司的APP软件，要求信息安全服务商使用多种病毒扫描引擎进行综合扫描分析。针对扫描结果出具《扫描风险分析报告》

合同期内

其他日常安全服务

安全咨询

提供安全咨询与梳理；协助解决我司在日常运维中遇到信息安全、病毒检测防护、信息系统等级保护等问题。

协助我司在信息安全活动中例如信息安全方案制定、评估、整改、运维等方面提供支持、建议与交流，协助解决日常运维当中遇到的信息安全问题。

合同期内

重保服务

协助我司的安全人员在重保期间对我司信息系统进行监控，一旦发生安全异常，及时赶赴现场进行处理。

重保期间协助我司安全人员对信息系统进行安全监控、分析，一旦发生安全异常，及时赶赴现场进行处理。

合同期内

网站监测

对门户网站(https://www.gszq.com/)提供7*24小时监测

挂马检测：对网站进行挂马检测

关键字监测:对网站敏感内容进行监测

域名劫持监测:对网站域名对应的IP地址变化进行监测

可用性监测:侦测网站的响应速度

脆弱性监控:对网站存在的脆弱性进行探查，包括SQL注入漏洞、跨站脚本漏洞、开放服务漏洞、网站第三方应用漏洞等，及时发现漏洞对弱密码可能存在性进行探测

每周邮件通报一次