xx系統(tǒng)網絡安全等級保護定級報告

1、xx系統(tǒng)網絡安全等級保護定級報告一、xx系統(tǒng)描述（一）xx系統(tǒng)于20xx年x月x日上線，由xx公司（以下簡稱“本公司”）自主研發(fā)和維護。xx公司為xx系統(tǒng)定級的責任單位。（二）xx系統(tǒng)通過APP客戶端為國內K12院校及培訓機構師生提供基于移動互聯(lián)網方式的智慧教育及管理服務，提供教學資源、測試習題、教學管理、在線課程等內容和工具為學校解決智慧教學的核心需求。目前該系統(tǒng)由本公司運維部負責運維工作，本公司是該信息系統(tǒng)業(yè)務的主要負責機構，該信息系統(tǒng)業(yè)務主要包含：用戶信息管理、平臺內容管理、課堂教學管理、在線課程學習、數據采集分析、增值服務購買支付等業(yè)務。系統(tǒng)針對業(yè)務實現的差異分別提供實時聯(lián)機處理和批量

2、處理兩種方式。其中：通過網絡與第三方支付平臺的連接，均采用約定好的報文格式進行通訊，業(yè)務處理流程實時完成。（三）業(yè)務處理系統(tǒng)以學校內部集中結構模式，負責各學校教學環(huán)節(jié)的業(yè)務處理，包括與第三方實時連接、接口協(xié)議轉換、非實時批量數據的采集分析、業(yè)務處理邏輯的實現等。xx系統(tǒng)選用了阿里云提供的IAAS服務，核心業(yè)務區(qū)與外界網絡互聯(lián)的邊界設備采用了阿里云的云防火墻（高級版），核心業(yè)務區(qū)部署了x臺阿里云ECS®務器，每臺ECS®務器安裝了云安全中心（企業(yè)版），xx系統(tǒng)使用阿里云的RDS數據庫作為業(yè)務數據中心，同時配備了數據庫審計（高級版），運維區(qū)部署了運維終端和日志審計服務，核心業(yè)務

3、區(qū)的運維操作只能由該運維終端進行，日志審計服務可記錄不少于6個月的原始操作日志供回溯分析。犢心重努區(qū)一阿甲云提供的_AASK務二、xx系統(tǒng)安全保護等級的確定（一）業(yè)務信息安全保護等級的確定1、業(yè)務信息描述xx公司是為國內學校提供智慧化教學解決方案的教育高科技企業(yè)，旗下的xx系統(tǒng)主要通過提供教學資源、測試習題、教學管理、在線課程等內容和工具滿足學校教學核心需求，業(yè)務信息包含：用戶信息（用戶名、手機號碼等）、學校班級信息、教學活動數據信息、在線課程信息、服務購買支付信息等。xx多個班級正在使用課堂教學管理服務，共上線發(fā)布xx門精品在線課程，每日購課人數達xx人，系統(tǒng)累計注冊學生用戶數量xx萬條，老

4、師用戶數量xx條，日活躍用戶xx人，每日產生近xx萬條教學活動數據信息及購買服務支付信息，每年可增加xx萬條業(yè)務數據。2、業(yè)務信息受到破壞時所侵害客體的確定侵害的客觀方面表現為：一旦xx系統(tǒng)的業(yè)務信息遭到入侵、修改、增加、刪除等侵害，將使xx系統(tǒng)服務范圍內的各個K12院校、各類教育機構以及本公司的權益受到侵害，如xx系統(tǒng)面向各個院校打造的教學活動數據平臺，教研備課、課堂教學、課后作業(yè)、考試測評、在線學習等業(yè)務數據，最終形成了教學活動數據，一旦這些信息遭到破壞或泄露，將會導致學校無法進行正常的教學活動，侵害老師和學生的合法權益。同時也會對公共教育資源和用戶信息造成侵害，如xx系統(tǒng)面向各個院校、各

5、類教育機構提供了教育資源數據平臺，教材配套數字資源、公共數字教育資源、公共在線題庫、公共在線課程、用戶在線支付記錄等業(yè)務數據，最終形成了公共教育資源數據，一旦這些信息遭到破壞或泄露，會造成較大范圍的社會不良影響和較大程度的公共利益的損害。綜上，以上業(yè)務信息遭到破壞后，所侵害的客體是公民、法人和其他組織的合法權益，同時也侵害社會秩序和公共利益但不損害國家安全?？陀^方面表現的侵害結果為：1可以對公民、法人和其他組織的合法權益造成侵害（影響正常工作的開展，導致業(yè)務能力下降，造成不良影響，引起法律糾紛等）；2可以對社會秩序公共利益造成侵害（造成社會不良影響，引起公共利益的損害等）。根據定級指南的要求，

6、出現上述兩個侵害客體時，優(yōu)先考慮社會秩序和公共利益，另外一個不做考慮。3、信息受到破壞后對侵害客體的侵害程度業(yè)務數據遭到破壞將侵害學校、老師和學生的合法權益，公共教育資源數據遭到破壞將較大程度地侵害公共利益。上述結果的侵害程度表現為：1對公民、法人和其他組織的合法權益造成嚴重損害，即日常教學活動受到嚴重影響，智慧化教學和自主式學習效果顯著下降，造成較大范圍的不良影響等；2對社會秩序和公共利益造成嚴重損害，即會出現較大范圍的公共教育資源數據的損害和較大程度的老師、學生用戶信息的泄露等。4、確定業(yè)務信息安全等級查定級指南表2知，由于侵害的客體有兩個，侵害的程度也有兩個，則業(yè)務信息安全保護等級為第三

7、級。業(yè)務信息安全被破壞時所侵害的客體對相應客體的侵害程度一般損害嚴重損害特別嚴重損害公民、法人和其他組織的合法權益第一級第二級第二級社會秩序、公共利益第二級第三級第四級國家安全第三級第四級第五級（二）系統(tǒng)服務安全保護等級的確定1、系統(tǒng)服務描述該系統(tǒng)屬于為K12教育提供的基于移動互聯(lián)網的智慧教學和自主學習信息系統(tǒng)，其服務范圍為各大院校、各類教育機構以及廣大院校師生，為用戶提供平臺內容建設、課堂教學管理、在線課程學習等服務，學校和機構可以管理和獲取教育內容資源、組織各種教學活動、進行各項教學數據分析，老師和學生可進行在線教學和在線學習。為確保xx系統(tǒng)的服務質量，本公司為客戶提供了7X24小時不間斷

8、的應急響應服務，隨時可處理各種突發(fā)狀況。2、系統(tǒng)服務受到破壞時所侵害客體的確定侵害的客觀方面表現為：xx系統(tǒng)服務遭到破壞后，將會侵害學校、老師和學生的合法權益。由于服務范圍內的院校需要使用xx系統(tǒng)進行課堂教學管理，當系統(tǒng)受到侵害并導致服務中斷，將破壞正常的教學秩序，損害學校、老師和學生的合法權益。學生需要使用xx系統(tǒng)進行在線課程的自主學習，如果系統(tǒng)因受到破壞，學生的合法權益也將被侵害。另外，xx系統(tǒng)還為合作院校提供國家精品在線課程的平臺發(fā)布服務和教材配套數字資源的平臺管理服務，一旦服務遭到破壞而中斷，將出現較大范圍的社會不良影響和較大程度的公共利益的損害。發(fā)生上述侵害的同時，也給本公司的利益帶

9、來嚴重的侵害。綜上，客觀方面表現的侵害結果為：當系統(tǒng)服務中斷后，xx系統(tǒng)的教學活動數據平臺和公共教育資源數據平臺的處理能力將會下降或無法進行，無法正常對學校、機構和個人提供服務，直接影響教學相關業(yè)務的效率，所侵害的客體是公民、法人和其他組織的合法權益。同時也將導致國家精品在線課程等公共教育服務無法正常進行，所侵害的客體是社會秩序和公共利益。根據定級指南的要求，出現上述兩個侵害客體時，優(yōu)先考慮社會秩序和公共利益，另外一個不做考慮。3、系統(tǒng)服務受到破壞后對侵害客體的侵害程度當xx系統(tǒng)服務受到破壞后，將給服務范圍內各個院校的教學工作帶來困擾，影響學生在線課程的自主學習，影響院校課堂教學秩序和效率，同

10、時也將導致國家精品在線課程、教材配套數字資源等公共教育服務無法正常進行。上述結果的侵害程度表現為：1對公民、法人和其他組織的合法權益造成嚴重損害，即智慧化教學和自主式學習受到嚴重影響，教學活動數據平臺和教育資源數據平臺的業(yè)務能力顯著下降，引起較嚴重的教學事故，造成較大范圍的不良影響等；2對社會秩序和公共利益造成嚴重損害，即會出現較大范圍的公共教育服務的中斷和較大程度的服務范圍內的院校利益的損害等。4、確定系統(tǒng)服務安全等級查定級指南表3知，由于侵害的客體有兩個，侵害的程度也有兩個，則系統(tǒng)服務安全保護等級為第三級。系統(tǒng)服務被破壞時所侵害的客體對相應客體的侵害程度一般損害嚴重損害特別嚴重損害公民、法人和