御盾安全一站式等保解决方案，为新能源智电服务系统安全保驾护航

客户介绍

上海某新能源科技有限公司是由中国石化、中国石油、上汽集团、宁德时代和上海国际汽车城集团联合投资的专注于动力电池租赁业务的合资公司。公司将开展换电技术研发推广、电池运营管理、大数据服务等业务，推动构建车电分离完整生态，打造标准化平台，为新能源车主带来安全、可靠、方便、快捷的优质出行体验。

秉持中性化、标准化的理念，客户正在全面展开业务平台建设。在网络方面，依托“两桶油”遍布全国的5万余座加油站网络，升级打造“可换电、可充电”的综合能源服务站。在车型方面，客户将率先与上汽集团合作推出横跨多个品牌的换电车型，覆盖SUV、轿车、MPV以及商用车等全部品类。

系统情况

本次项目包含客户某充换电运营平台、电池运营系统和新能源电池租赁平台共3个系统的等保咨询和测评服务。

1、充换电运营平台
充换电运营平台为客户的充换电后台管理平台，主要包含电池管理、站点管理、订单管理、运营商管理、监控报警、注册用户管理、参数与设置管理、车型电池关联管理、日志管理、系统管理、数据分析等模块，旨在实现对新能源汽车充换电业务的支持及数据管理分析，以便给充换电站运营商及用户提供更好的服务。

拓补图

2、电池运营系统
电池运营系统为客户的电池运营后台管理系统，主要包括大屏、资产信息、资产监控、资产异常监控、人工设置管理、换电站管理、租赁平台交互、平台报警管理、报表数据、售后管理、性能监控与日志管理等模块。电池运营系统主要用于公司运营人员对公司电池资产进行管理与维护。该系统以电池数据为核心，提供多平台数据接入一站式管理，提供电池的健康监控、使用状态、异常监控，报表统计等功能。平台收集车辆电池数据和站内电池数据于一体，进行数据计算和统计分析，为一块安全、高效、高可用的电池提供数据支撑。

3、新能源电池租赁平台
新能源电池租赁平台为客户的电池租赁后台管理系统，主要包括首页工作台、客户管理、业务管理、收付款管理、资产管理、财务管理、统计查询、业务配置、业务监控与开发运维等功能模块。新能源电池租赁平台为公司业务部门经办人员和管理人员提供发起并审批租赁申请、生成资金计划、银行扣款、业务结清等功能进行业务操作处理。

拓补图

现状分析

1、客户业务应用系统大部分为公网系统，在业务拓展的同时，面临的攻击源、攻击面也在不断增大，容易受到多种网络攻击，例如DDoS攻击、密码爆破攻击、XSS攻击等。
2、客户业务应用系统存在大量个人敏感信息和业务关键数据。这些信息包括但不限于客户编号、客户名称、证件号码、手机号码、证件地址等个人客户信息。一旦这些信息被非法获取或使用，可能会对个人及财产安全造成严重损害。
3、客户业务应用系统在设计之初只考虑了系统的简单性、可靠性、实时性、经济性以及系统的稳定运行，而没有考虑到系统安全问题，在给业务应用系统的运行和维护中，存在部分安全隐患。
4、在网络安全管理制度方面，客户虽然提出了一定的管理思想和目标，但在实际操作中，缺乏有效的管理制度和技术措施来支持这些目标的实现。这可能导致企业在面临真正的安全问题时，无法做出及时和有效的响应。

解决方案

一、等保服务流程
1、定级备案
御盾安全团队协助客户依据《信息系统安全等级保护定级指南》确定信息系统的安全保护等级，准备定级备案表和定级报告，协助客户向所在地区的公安机关办理备案手续。根据评估报告，结合国家对等保要求及规定，确定充换电运营平台和新能源电池租赁平台系统安全保护等级为第三级，电池运营系统安全保护等级为第二级。
2、差距分析
通过等级差距分析，明确客户信息系统的现状，确定不符合安全项，明确安全建设需求。
3、整改方案设计
参考国家标准《信息系统安全等级保护基本要求》、《信息安全技术信息系统等级保护安全设计技术要求》，御盾安全团队依据差距分析的结论，在与客户充分沟通后，结合客户实际情况，给出专家级的安全整改和建设方案。
4、整改建设
根据安全整改方案，结合客户实际需求，御盾安全团队协助客户完成设备的选型、采购、安装、策略配置等活动，协助客户搭建完善的技术防护系统和安全管理体系，保障信息系统的安全稳定运行。
5、等级测评
御盾安全团队协助客户选择第三方测评机构，开展信息系统等级保护验收测评工作，保障通过等级保护验收测评。
6、定期评估
测评通过后，御盾安全团队定期为客户提供评估服务，确保信息系统长期处于一种动态的合规安全状态中。

二、安全整改和建设方案
本次项目3个系统均为云上系统，根据云上系统的特性提供针对性的加固方案和实施方案，从技术和管理两个层面进行安全规划和建设。
以管理为核心，以技术为手段，维护符合企业实际安全需求的技术体系、管理体系、服务体系，实现集防护、检测、响应、恢复于一体的安全保障体系，提高企业的信息系统安全防护能力，降低信息系统被各种威胁源攻击、数据泄露等风险，确保企业信息系统所支撑的各项业务、管理、服务工作的正常有序可靠开展。

1、充换电运营平台
（1）在计算环境加固方面，从身份鉴别、访问控制、安全审计、入侵防范、数据完整性、数据保密性、数据备份恢复、个人信息保护等方面进行技术加固，提升安全计算环境的整体安全性和稳定性。
（2）在网络边界防护方面，通过梳理云安全组配置信息，根据实际业务并按照最小化原则重新调整对外开放的端口及策略。并制定安全审核和安全检查制度规范安全审核和安全检查工作，定期按照程序进行安全审核和安全检查活动。
（3）在渗透测试与修复方面，通过模拟恶意黑客的攻击方式，以寻找并利用计算机系统中的安全漏洞。帮助企业根据真实的攻击场景评估自身的网络安全状况。可以发现并修复潜在的安全漏洞，预防可能的网络攻击，从而最大限度地保护企业的核心数据和网站，避免因网络攻击导致的巨大损失。
（4）在漏洞扫描与修复方面，通过利用自动化的漏洞扫描工具，可以对计算机系统、网络和应用程序进行检测，在发现潜在的安全问题后，我们会进行漏洞评估，制定详细的修复计划并执行这些修复措施。
（5）在数据备份与恢复方面，通过定期进行快照备份、数据库备份、网络数据备份和更新等手段对关键数据进行备份，可以有效地保护企业的数据不受损失，提高我们的工作效率和业务连续性。

2、电池运营系统
（1）在计算环境加固方面，从身份鉴别、访问控制、安全审计、入侵防范、数据完整性、数据保密性、数据备份恢复、个人信息保护等方面进行技术加固，提升安全计算环境的整体安全性和稳定性。
（2）在网络边界防护方面，通过梳理云安全组配置信息，根据实际业务并按照最小化原则重新调整对外开放的端口及策略。并制定安全审核和安全检查制度规范安全审核和安全检查工作，定期按照程序进行安全审核和安全检查活动。
（3）在漏洞扫描与修复方面，通过利用自动化的漏洞扫描工具，可以对计算机系统、网络和应用程序进行检测，在发现潜在的安全问题后，我们会进行漏洞评估，制定详细的修复计划并执行这些修复措施。
（4）在数据备份与恢复方面，通过定期进行快照备份、数据库备份、网络数据备份和更新等手段对关键数据进行备份，可以有效地保护企业的数据不受损失，提高我们的工作效率和业务连续性。

3、新能源电池租赁平台
（1）在计算环境加固方面，从身份鉴别、访问控制、安全审计、入侵防范、数据完整性、数据保密性、数据备份恢复、个人信息保护等方面进行技术加固，提升安全计算环境的整体安全性和稳定性。
（2）在网络边界防护方面，通过梳理云安全组配置信息，根据实际业务并按照最小化原则重新调整对外开放的端口及策略。并制定安全审核和安全检查制度规范安全审核和安全检查工作，定期按照程序进行安全审核和安全检查活动。
（3）在渗透测试与修复方面，通过模拟恶意黑客的攻击方式，以寻找并利用计算机系统中的安全漏洞。帮助企业根据真实的攻击场景评估自身的网络安全状况。可以发现并修复潜在的安全漏洞，预防可能的网络攻击，从而最大限度地保护企业的核心数据和网站，避免因网络攻击导致的巨大损失。
（4）在漏洞扫描与修复方面，通过利用自动化的漏洞扫描工具，可以对计算机系统、网络和应用程序进行检测，在发现潜在的安全问题后，我们会进行漏洞评估，制定详细的修复计划并执行这些修复措施。
（5）在数据备份与恢复方面，通过定期进行快照备份、数据库备份、网络数据备份和更新等手段对关键数据进行备份，可以有效地保护企业的数据不受损失，提高我们的工作效率和业务连续性。

三、等级保护安全管理指导
1、安全管理机构
梳理安全管理职能流程，协助客户建立管理机制。建立一个统一指挥、协调有序、组织有力的安全管理机构，对网络安全管理进行实施和推广。同时构建从单位最高管理层到执行层以及具体业务运营层的组织体系，明确各个岗位的安全职责，为安全管理提供组织上的保证。
2、安全管理制度
协助补充完善公司安全管理制度，明确落实安全人员的工作职责。对等级保护对象建设、开发、运维、升级和改造等各个阶段和环节的规章制度进行完善，全面覆盖等级保护对象生命周期中的重要活动。
3、安全管理人员
（1）协助制定公司《信息系统人员管理制度》；
（2）定期组织公司信息系统相关人员的安全意识培训、安全技能培训；
（3）加强对第三方合作伙伴、人员、系统的安全管理，防止引入第三方给公司带来的安全风险。
4、安全建设管理
等级保护对象在建设过程中，要经过系统定级和备案、安全方案设计、产品采购和使用、软件开发、工程实施、测试验收、系统交付等几个阶段，对每个阶段涉及到的活动实施科学和完善的管理，保证系统建设的进度、质量和安全。
5、安全运维管理
在等级保护对象建设完成投入运行之后，对系统实施有效、完善的维护管理，保证系统运行阶段的安全。

方案价值

1、整体设计、重点保障，满足《网络安全法》和等级保护2.0要求，帮助客户规避合规性风险。
2、安全设备的整体部署，协同防护，增强了客户安全保障能力。构建了主动防御的安全防护体系，能够持续进行动态保护，整体网安全防御能力大幅提高。
3、优化了企业信息化安全管理，让安全管理更简单更容易的落地
4、简单交付，大幅降低安全设备采购及运维成本，提升组织利益，让安全建设更简单。

御盾®安全——您身边的信息安全专家
御盾®安全是舜源科技旗下安全业务品牌，致力于为客户提供客观专业的信息安全咨询解决方案，同时提供全面的安全服务。我们长期与各大安全厂商保持良好的合作关系，涵盖国内外信息安全行业的主流厂商，通过了解技术发展趋势，把国内外先进技术和理念用一流的服务带给客户。公司通过多年的积累和发展，拥有了健全的数字化生态合作资源链，与多家信息安全测评机构建立了密切的合作关系。我们深耕公安行业十多年，积累了丰富的信息安全项目建设经验与技术服务经验，了解客户业务场景需求、熟悉国内外主流安全厂商的技术和产品的优缺点，可为用户量身定制专属安全解决方案。

御盾安全作为国内优秀的等保测评服务机构，可为您提供等保建设一站式服务，量身定制符合企业自身现状的等保建设方案。我们长期密切关注国家信息安全管理政策的动态变化，在企业网络安全等级保护建设工作实践中积累了丰富的经验。凭借过硬的技术实力和专业的服务能力，获得了广大客户的充分认可。御盾安全，助您快速省心过等保！

咨询热线：4008-5050-26

封面图源：包图网