§0.1重大风险隐患与高风险

公网安〔2025〕1001号《关于进一步做好网络安全等级保护有关工作的函》

自2025年3月20日起，运营者要采取实战化手段深入排查梳理本单位本部门存在的各类风险隐患，使用《网络安全等级测评报告模板》(2025版)(附件3)，切实提升政治站位，扛起安全责任，摒弃“重测评结论不重测评质量，重报告分数不重问题整改”的观念，充分发挥等级测评作用，真实反映和客观评价信息系统安全防护水平。各行业主管部门要收集掌握测评过程中发现的各类问题隐患，督促运营者及时开展安全建设整改，对共性问题进行专项整治。

重大风险隐患判定

根据《公网安〔2025〕1001号-附件3 网络安全等级测评报告模板（2025版）》“附录G 重大风险隐患触发项参照表”某个安全问题被认定为重大风险隐患需要同时满足三个条件

原则	说明
相关性	安全问题可能导致系统面临高风险，且未采取任何缓解措施。
严重性	安全事件一旦发生，将造成严重后果，如业务中断、重要数据泄露/篡改、获取系统管理权限等。
高发性	实际运行中，由该问题导致安全事件发生概率较大。

✅ 高风险是风险评估层面的“可能性 + 损失”结果，而重大风险隐患是已存在的严重安全问题实例。也就是说，重大风险隐患不仅是潜在风险，还必须实际存在且容易被利用，造成严重影响。
✅ 所有重大风险隐患通常都属于高风险问题（但反之不成立）

《公网安〔2025〕1001号-附件3 网络安全等级测评报告模板（2025版）》触发项表（附录G）提供了判定重大隐患的可量化标准，测评团队可据此核查。
附录H提供了整改记录模板，强调整改措施、验证结果和不可利用性说明。

高风险判定

根据《公网安〔2025〕1001号-附件3 网络安全等级测评报告模板（2025版）》，高风险问题分析在“5.1 低中高风险安全问题分析”章节。

针对等级测评结果中存在的 所有安全问题，结合关联资产和威胁分别分析安全问题可能产生的危害结果，找出可能对系统、单位、社会及国家造成的最大安全危害（损失），并根据 最大安全危害（损失） 的严重程度进一步确定安全问题的风险等级，最大安全危害（损失）结果应结合安全问题所影响业务的重要程度、相关系统组件的重要程度、安全问题严重程度以及安全事件影响范围等进行综合分析。

根据《TISEAA 001-2020 高风险判定指引》，应判为高风险的场景：

违反国家法律法规规定的相关要求；
不符合或未实现 GB/T 22239—2019 中各等级关键安全要求及基本安全功能，且没有等效或补偿措施；
存在可被利用，且能造成严重后果的安全漏洞；
通过综合风险分析，对业务信息安全和系统服务安全可能产生重大隐患的安全问题。

高风险 vs 重大风险隐患的定义对比

项目	高风险	重大风险隐患
概念类型	风险等级	具体的安全问题
来源	风险分析/评估（例如章节 5.1 的风险等级判定）	等保测评发现，并满足附录 G 的触发项
依据方式	通过“最大安全危害（损失）” → 分类为低/中/高	必须满足 “相关性 + 严重性 + 高发性” 的三原则
是否要求实际漏洞/隐患存在	不要求实际可利用漏洞，只分析风险结果	必须是存在且可被利用的安全问题
是否纳入重大隐患报告	否	是

重大风险隐患描述

一、机房出入口访问控制措施缺失

【相关性】：在对XXX系统进行等级测评的过程中，测评人员通过安全检查发现机房出入口未部署有效的访问控制措施，符合《网络安全等级保护高风险判定实施指引》中的问题描述"机房出入口无任何访问控制措施，例如未安装电子或机械门锁（包括机房大门处于未上锁状态），且机房门口无专人值守等"。同时机房未设置视频监控等物理安全防护措施，也未建立人员进出登记管理制度，通过整体测评和风险分析后，被认定为高风险安全问题。

【严重性】：该问题一旦被利用，非授权人员可随意进出机房，可能直接接触核心网络设备和服务器，造成设备非法操作、硬件破坏或数据窃取等严重后果。

【高发性】：经测试验证，测评人员可在无任何身份验证的情况下直接进入机房，接触核心网络设备，存在极大的物理安全风险。利用该问题对系统造成重大危害的可能性极大。

综合以上分析，XXX系统存在机房出入口访问控制措施缺失的重大安全隐患，可能导致非授权人员物理接触核心设备，进而引发设备破坏或数据泄露等安全事件。

已整改情况：已在机房部署门禁系统，实施刷卡+密码的双因素认证；安装24小时视频监控系统；建立完善的机房进出登记管理制度；设置专人负责机房出入管理，确保机房物理安全。

二、室外控制设备防护缺失

【相关性】：在对XXX系统进行等级测评的过程中，测评人员通过现场检查发现室外控制设备防护措施缺失，控制设备直接裸露放置且无固定措施，符合《网络安全等级保护高风险判定实施指引》中的问题描述"室外控制设备裸露放置、无固定措施，无法做到防水、防盗和防火"。同时放置控制设备的箱体或装置不具有相关检测验收报告，不具有透风、散热、防盗、防雨和防火能力，通过整体测评和风险分析后，被认定为高风险安全问题。

【严重性】：该问题一旦发生，可能导致控制设备因雨水渗入造成短路损坏，或因散热不良引发火灾；同时设备裸露放置易被盗窃或人为破坏，将直接影响系统正常运行，可能造成业务中断、数据丢失等严重后果。

【高发性】：经现场验证，测评人员发现控制设备在雨天存在明显进水风险，且设备运行温度过高；同时由于缺乏防盗措施，设备可被轻易搬离或破坏。这些问题在恶劣天气或人为破坏情况下极易发生，对系统造成重大危害的可能性极大。

综合以上分析，XXX系统的控制设备存在防护缺失问题，可能导致设备损坏、数据丢失或业务中断等重大风险隐患。

已整改情况：已为所有室外控制设备加装符合国家标准的防护箱体，并通过相关检测验收；防护装置具备完善的透风、散热、防盗、防雨和防火功能；同时对所有设备进行可靠固定，建立定期巡检制度，确保防护措施持续有效。

三、网络设备业务处理能力不足

【相关性】：在对XXX系统的网络设备（安全设备）进行等级测评的过程中，测评人员通过检查设备历史运行性能记录和高峰期运行性能记录，发现设备业务处理能力不足，符合《网络安全等级保护高风险判定实施指引》中的问题描述“网络设备（安全设备）等网络链路上的关键设备性能无法满足高峰期需求”，通过整体测评和风险分析后，被认定为高风险安全问题。

【严重性】：该问题一旦在业务高峰期出现，将导致网络服务响应迟缓甚至中断，影响用户正常业务办理，可能造成重大经济损失和声誉损害。

【高发性】：经压力测试验证，技术人员模拟业务高峰流量时，设备CPU利用率持续达到95%-100%，出现大量业务请求超时和丢包现象，严重影响业务正常开展，该问题在业务高峰期出现的概率极高。

综合以上分析，XXX网络设备（安全设备）存在业务处理能力不足的缺陷，在业务高峰期极易引发服务中断，造成重大业务影响的风险隐患。

已整改情况：已对设备进行硬件升级，提升处理性能；配置了完善的QoS策略，确保关键业务优先处理；建立了过载保护机制，当流量超过阈值时自动启动限流措施；同时部署了性能监控系统，实时监测设备运行状态，确保及时发现并处理性能瓶颈问题。

四、云计算平台虚拟网络隔离措施缺失

【相关性】：在对XXX云计算平台进行等级测评的过程中，测评人员通过安全测试发现虚拟网络间未实施有效的隔离措施，符合《网络安全等级保护高风险判定实施指引》中的问题描述"云计算平台未采取网络隔离技术实现不同云服务客户虚拟网络之间的隔离"。同时发现平台未配置虚拟网络ACL策略、未启用安全组规则、未实施VLAN划分等网络隔离手段，也未部署虚拟防火墙等边界防护设备，通过整体测评和风险分析后，被认定为高风险安全问题。

【严重性】：该问题一旦被利用，攻击者可突破虚拟网络边界，跨租户访问敏感数据或业务系统，可能造成大规模数据泄露、业务系统被非法控制等严重后果。

【高发性】：经测试验证，测评人员可通过同一物理宿主机上的其他虚拟机发起横向渗透攻击，绕过网络边界防护直接访问目标业务系统，利用该漏洞实施攻击的技术门槛较低，造成重大危害的可能性极大。

综合以上分析，XXX云计算平台存在虚拟网络隔离措施缺失的问题，利用该漏洞可导致跨租户非授权访问，进而引发数据泄露或业务系统被控制的重大风险隐患。

已整改情况：已实施完善的虚拟网络隔离方案，包括配置严格的网络ACL策略、启用安全组规则、划分VLAN隔离不同安全域；部署虚拟防火墙实现租户间网络边界防护；建立网络隔离策略的定期审计机制，确保隔离措施持续有效。

五、云计算平台未提供安全防护能力

【相关性】：在对XXX云计算平台进行等级测评的过程中，测评人员发现该平台未提供基础的安全防护能力，符合《网络安全等级保护高风险判定实施指引》中的问题描述"云计算平台无法提供满足云服务客户业务需要的通信传输、边界防护、入侵防范等安全机制"。同时该平台也不具备对虚拟网络流量的监控与审计能力，通过整体测评和风险分析后，被认定为高风险安全问题。

【严重性】：该问题一旦被利用，攻击者可利用平台安全防护缺失的漏洞，实施横向渗透攻击，获取其他租户数据或破坏平台基础设施，可能导致大规模数据泄露或服务中断等严重后果。

【高发性】：经测试验证，测评人员可从外部网络直接访问云计算平台的敏感端口，且未受到任何访问限制和防护拦截，能够通过多种漏洞利用手段尝试入侵平台，利用该问题对平台造成重大危害的可能性极大。

综合以上分析，XXX 云计算平台存在未提供安全防护能力的问题，利用该问题可导致平台被入侵、数据泄露或业务中断等重大风险隐患。

已整改情况：已在云计算平台网络边界部署专业防火墙，配置严格的访问控制规则，对进出流量进行精细化管控；部署入侵检测 / 防御系统，实时监测和拦截恶意攻击行为；启用安全组策略，限制非必要端口和 IP 的访问。同时，搭建日志审计系统，对用户操作行为进行全面记录和审计，设置异常操作实时告警机制；定期对平台进行安全漏洞扫描和渗透测试，及时发现并修复潜在安全隐患，提升平台整体安全防护能力。

六、工业控制系统网络隔离措施缺失

【相关性】：在对 XX 工业控制系统进行等级测评时，测评人员经配置核查发现，该系统未部署任何网络隔离设备，生产控制网络与企业办公网络、互联网直接连通，符合《网络安全等级保护高风险判定实施指引》中的问题描述"工业控制系统与企业其他系统之间未划分单独的网络区域"。同时数据交互未采用单向隔离装置或单向隔离装置未配置有效的访问控制策略，经整体测评和风险分析，被判定为高风险安全问题。

【严重性】：该问题一旦被利用，外部攻击者可通过互联网或企业办公网络直接渗透至工业控制系统，非法访问关键生产控制设备，篡改控制指令、干扰生产流程，可能引发生产事故，造成设备损坏、生产停滞，甚至威胁人员生命安全。

【高发性】：经测试验证，测评人员可从互联网直接接入工业控制系统网络，利用未隔离网络的漏洞，植入恶意程序、发起拒绝服务攻击。由于缺乏网络隔离防护，攻击者利用该问题对工业控制系统造成严重破坏的可能性极高。

综合以上分析，XX 工业控制系统存在网络隔离措施缺失问题，存在外部非法入侵、恶意攻击，进而导致生产事故和重大经济损失的重大风险隐患。

已整改情况：已在工业控制系统与其他网络之间部署工业级防火墙、网闸等专业网络隔离设备，严格划分网络安全区域，阻断非必要的网络连接。同时，制定并实施精细化的访问控制策略，仅允许必要的设备和服务进行数据交互，并对交互数据进行完整性校验和加密处理。定期对网络隔离设备及访问控制策略进行检查与优化，确保工业控制系统网络安全隔离措施持续有效。

七、工业控制系统所在网络区域划分不当，访问控制措施缺失

【相关性】：在对 XX 工业控制系统进行等级测评的过程中，测评人员通过配置核查发现，符合《网络安全等级保护高风险判定实施指引》中的问题描述"工业控制系统与企业其他系统之间未划分单独的网络区域"。同时，系统缺失访问控制措施，未对不同区域之间的网络流量进行严格的访问控制策略配置，未限制用户和设备的访问权限，也未对网络通信行为进行有效审计，不符合《网络安全等级保护基本要求》中关于网络区域划分和访问控制的相关规定，通过整体测评和风险分析后，被认定为高风险安全问题。

八、工业控制系统广域网传输控制指令防护措施缺失

九、网络边界接入设备或端口不可控

十、无线网络管控措施缺失

十一、重要网络区域边界访问控制措施缺失或配置不当

一、存在空口令、弱口令、通用口令或无身份鉴别措施

【相关性】：在对XXX系统进行等级测评的过程中，测评人员通过配置核查发现数据库存在可登录的弱口令账户（用户名“root”，口令“admin”），符合《网络安全等级保护高风险判定实施指引》中的问题描述“存在可登录的弱口令账户，如长度在6位以下，或存在单个、相同、连续数字/字母/字符及常见字典等易猜测的口令”。同时数据库允许远程管理，且未采取登录地址限制、登录终端限制、物理位置限制等远程登录管控措施，也不具备不可绕过的两种或两种以上组合的身份鉴别措施，通过整体测评和风险分析后，被认定为高风险安全问题。

【严重性】：该问题一旦被利用，非授权人员可直接访问数据库，读取重要数据或者修改数据库中的内容，造成恶意篡改或窃取重要数据等严重后果。

【高发性】：经测试验证，测评人员可从互联网上传木马脚本控制Web服务器，并以此为跳板，使用弱口令登录数据库，从而获得相应权限，造成数据篡改或泄露，利用该问题对系统造成重大危害的可能性极大。

综合以上分析，XXX系统存在可登录的数据库弱口令账户，利用该问题可访问数据库，进而获取或修改重要数据的重大风险隐患。

已整改情况：已为每个可登录的账户设置符合要求的口令，禁用或删除弱口令账户；设置的口令长度均不低于8位，并由大小写字母、特殊字符和数字无规律排列而成；同时定期排查空口令、弱口令、通用口令的使用情况，及时发现并阻止账户口令违规行为，确保账户安全。

二、存在可被利用的高危安全漏洞

【相关性】：在对XXX系统进行等级测评的过程中，测评人员通过渗透测试发现XXXX系统存在Shiro反序列化漏洞，可利用该漏洞注入恶意代码片段，在服务器上运行任意命令，从而控制服务器或应用程序，符合《网络安全等级保护测评高风险判定实施指引》6.4.3.2“存在可被利用的高危安全漏洞”中的问题描述。

【严重性】：该问题一旦被利用，攻击者将会获得管理员权限，可以通过该漏洞执行任意的恶意代码，从而完全控制受害服务器，读取、修改、删除服务器上的任意数据，一方面为下一步内网横向攻击其他系统资源提供基础，以“合规”的身份攻击内网其他系统目标，同时以此为据点监控内部网络行为，获取内部网络数据；另一方面，可以作为跳板，通过种植病毒木马，建立反向外联通道，将内部网络数据实时传输至外部网络，造成内部信息泄露。

【高发性】：在XXX系统测试过程中，由于该系统虽然部署主机杀毒软件、反病毒网关等安全设备，但由于病毒库更新不及时，以及相关区域边界策略设置不合理，并未对测试行为进行有效监控和拦截，攻击者进入内网即可访问到受害服务器，利用该漏洞对系统造成重大危害的可能性极大。

综合以上分析，XXX系统存在Shiro反序列化漏洞，且安全措施不完善、边界策略不合理，导致攻击者能够获得管理员权限，进而控制相关服务器的重大风险隐患。