《網(wǎng)絡安全等級保護(安全通用要求)建設方案.doc》由會員分享，可在線閱讀，更多相關《網(wǎng)絡安全等級保護(安全通用要求)建設方案.doc（44頁珍藏版）》請在裝配圖網(wǎng)上搜索。

網(wǎng)絡安全等級保護建設方案 安全通用要求 北京啟明星辰信息安全技術有限公司 Beijing Venustech Information Security Technology Co Ltd 二零一九年五月 目 錄 1 項目概述 4 1 1 項目概述 4 1 2 項目建設背景 4 1 2 1 法律依據(jù) 4 1 2 2 政策依據(jù) 4 1 3 項目建設目標及內(nèi)容 6 1 3 1 建設目標 6 1 3 2 建設內(nèi)容 7 1 4 等級保護對象分析與介紹 7 2 方案設計說明 7 2 1 設計依據(jù) 7 2 2 設計原則 8 2 2 1 分區(qū)分域防護原則 8 2 2 2 均衡性保護原則 8 2 2 3 技管并重原則 8 2 2 4 動態(tài)調整原則 8 2 2 5 三同步原則 9 2 3 設計思路 9 2 4 設計框架 10 3 安全現(xiàn)狀及需求分析 10 3 1 安全現(xiàn)狀概述 10 3 2 安全需求分析 11 3 2 1 物理環(huán)境安全需求 11 3 2 2 通信網(wǎng)絡安全需求 12 3 2 3 區(qū)域邊界安全需求 13 3 2 4 計算環(huán)境安全需求 14 3 2 5 安全管理中心安全需求 15 3 2 6 安全管理制度需求 15 3 2 7 安全管理機構需求 15 3 2 8 安全管理人員需求 16 3 2 9 安全建設管理需求 16 3 2 10 安全運維管理需求 17 3 3 合規(guī)差距分析 18 4 技術體系設計方案 18 4 1 技術體系設計目標 18 4 2 技術體系設計框架 19 4 3 安全技術防護體系設計 19 4 3 1 安全計算環(huán)境防護設計 19 4 3 2 安全區(qū)域邊界防護設計 23 4 3 3 安全通信網(wǎng)絡防護設計 25 4 3 4 安全管理中心設計 28 5 管理體系設計方案 28 5 1 管理體系設計目標 28 5 2 管理體系設計框架 29 5 3 安全管理防護體系設計 29 5 3 1 安全管理制度設計 29 5 3 2 安全管理機構設計 30 5 3 3 安全管理人員設計 30 5 3 4 安全建設管理設計 31 5 3 5 安全運維管理設計 32 6 產(chǎn)品選型與投資概算 38 7 部署示意及合規(guī)性分析 39 7 1 部署示意及描述 39 7 2 合規(guī)性分析 39 7 2 1 技術層面 39 7 2 2 管理層面 41 1 項目概述 1 1 項目概述 根據(jù)實際項目情況編寫 完善 1 2 項目建設背景 1 2 1 法律依據(jù) 1994年 中華人民共和國計算機信息系統(tǒng)安全保護條例 國務院令第147 號 第九條明確規(guī)定 計算機信息系統(tǒng)實行安全等級保護 安全等級的劃分 標準和安全等級保護的具體辦法 由公安部會同有關部門制定 2017年 網(wǎng)絡安全法 第二十一條明確規(guī)定國家實行網(wǎng)絡安全等級保護制 度 網(wǎng)絡運營者應當按照網(wǎng)絡安全等級保護制度的要求 開展網(wǎng)絡安全等級保 護的定級備案 等級測評 安全建設 安全檢查等工作 履行安全保護義務 保障網(wǎng)絡免受干擾 破壞或者未經(jīng)授權的訪問 防止網(wǎng)絡數(shù)據(jù)泄露或者被竊取 篡改 第三十一條規(guī)定 國家關鍵信息基礎設施在網(wǎng)絡安全等級保護制度的 基礎上 實行重點保護 網(wǎng)絡安全法 的頒布實施 標志著從1994年的國務院條例 國務院令第1 47號 上升到了國家法律的層面 標志著國家實施十余年的信息安全等級保護 制度進入2 0階段 同時也標志著以保護國家關鍵信息基礎設施安全為重點的網(wǎng) 絡安全等級保護制度依法全面實施 1 2 2 政策依據(jù) 2003年 國家信息化領導小組關于加強信息安全保障工作的意見 中 辦發(fā) 2003 27號 明確指出 實行信息安全等級保護 要重點保護基礎信 息網(wǎng)絡和關系國家安全 經(jīng)濟命脈 社會穩(wěn)定等方面的重要信息系統(tǒng) 抓緊建 立信息安全等級保護制度 制定信息安全等級保護的管理辦法和技術指南 標志著等級保護從計算機信息系統(tǒng)安全保護的一項制度提升到國家信息安全保 障工作的基本制度 2004年7月3日審議通過的 關于信息安全等級保護工作的實施意見 公通 字 2004 66號 指出 信息安全等級保護制度是國民經(jīng)濟和社會信息化的發(fā)展 過程中 提高信息安全保障能力和水平 維護國家安全 社會穩(wěn)定和公共利益 保障和促進信息化建設健康發(fā)展的一項基本制度 自2007年 信息安全等級保護管理辦法 公通字 2007 43號 頒布以來 一直是國家層面推動網(wǎng)絡安全工作的重要抓手 2012年 國務院關于推進 信息化發(fā)展和切實保障信息安全的若干意見 國發(fā) 2012 23號 規(guī)定 落實信息安全等級保護制度 開展相應等級的安全建設和管理 做好信息系統(tǒng) 定級備案 整改和監(jiān)督檢查 除此之外 下列政策文件也對等級保護相關工作提出了要求 關于開展信息系統(tǒng)安全等級保護基礎調查工作的通知 公信安 20 05 1431號 關于開展全國重要信息系統(tǒng)安全等級保護定級工作的通知 公信安 2007 861號 關于加強國家電子政務工程建設項目信息安全風險評估工作的通知 發(fā)改高技 2008 2071號 國家發(fā)展改革委關于進一步加強國家電子政務工程建設項目管理工作 的通知 發(fā)改高技 2008 2544號 關于開展信息安全等級保護安全建設整改工作的指導意見 公信安 2 009 1429號 關于進一步推動中央企業(yè)信息安全等級保護工作的通知 公通字 2010 70號 關于推動信息安全等級保護測評體系建設和開展等級測評工作的通知 公信安 2010 303號 關于進一步加強國家電子政務網(wǎng)絡建設和應用工作的通知 發(fā)改高 技 2012 1986號 全國人民代表大會常務委員會關于加強網(wǎng)絡信息保護的決定 2012 年12月28日第十一屆全國人民代表大會常務委員會第三十次會議通過 網(wǎng)絡安全等級保護條例 征求意見稿 2018年6月 1 3 項目建設目標及內(nèi)容 1 3 1 建設目標 網(wǎng)絡安全等級保護安全建設工作是網(wǎng)絡安全等級保護制度的核心和落腳點 等級保護建設的目標是在網(wǎng)絡定級工作基礎上深入開展網(wǎng)絡安全等級保護安 全建設整改工作 使網(wǎng)絡系統(tǒng)可以按照保護等級的要求進行設計 規(guī)劃和實施 并且達到相應等級的基本保護水平和保護能力 依據(jù)網(wǎng)絡安全等級保護相關標準和指導規(guī)范 對XXXX單位XXXX系統(tǒng)按照 整體保護 綜合防控 的原則進行安全建設方案的設計 按照等級保護三級的 要求進行安全建設規(guī)劃 對安全建設進行統(tǒng)一規(guī)劃和設備選型 實現(xiàn)方案合理 組網(wǎng)簡單 擴容靈活 標準統(tǒng)一 經(jīng)濟適用的建設目標 依據(jù)網(wǎng)絡安全等級保護三級標準 按照 統(tǒng)一規(guī)劃 重點明確 合理建設 的基本原則 在安全物理環(huán)境 安全通信網(wǎng)絡 安全區(qū)域邊界 安全計算環(huán) 境和安全管理中心等方面進行安全規(guī)劃與建設 確保 網(wǎng)絡建設合規(guī) 安全防 護到位 最終使XXXXX系統(tǒng)達到安全等級保護第三級要求 經(jīng)過建設后 使整個網(wǎng)絡 形成一套完善的安全防護體系 提升整體網(wǎng)絡安全防護能力 對于三級網(wǎng)絡 經(jīng)過安全建設整改 網(wǎng)絡在統(tǒng)一的安全保護策略下要具有 抵御大規(guī)模 較強惡意攻擊的能力 抵抗較為嚴重的自然災害的能力 以及防 范計算機病毒和惡意代碼危害的能力 具有檢測 發(fā)現(xiàn) 報警及記錄入侵行為 的能力 具有對安全事件進行響應處置 并能夠追蹤安全責任的能力 遭到損 害后 具有能夠較快恢復正常運行狀態(tài)的能力 對于服務保障性要求高的網(wǎng)絡 應該能夠快速恢復正常運行狀態(tài) 具有對網(wǎng)絡資源 用戶 安全機制等進行集中控管的能力 1 3 2 建設內(nèi)容 本項目以XXX單位XXXXX系統(tǒng)等級保護建設為主線 以讓相關信息系統(tǒng)達到 安全等級保護第三級要求 借助網(wǎng)絡產(chǎn)品 安全產(chǎn)品 安全服務 管理制度等 手段 建立全網(wǎng)的安全防控管理服務體系 從而全面提高XXXX單位的安全防護 能力 建設內(nèi)容包括安全產(chǎn)品采購部署 安全加固整改 安全管理制度編寫等 1 4 等級保護對象分析與介紹 以基礎通信網(wǎng)絡及其承載的信息系統(tǒng) 數(shù)據(jù)為保護對象 根據(jù)實際等級保護對象情況編寫 2 方案設計說明 2 1 設計依據(jù) 本方案是根據(jù)2019年5月13日最新發(fā)布的GB T 22239 2019 信息安全技術 網(wǎng)絡安全等級保護基本要求 的安全通用要求和安全目標 參照GB T 25070 2019 信息安全技術 網(wǎng)絡安全等級保護安全設計技術要求 的通用設計技術要求 針對第三級系統(tǒng)而提出的安全保護等級設計方案 除上述兩個標準外 還參考了如下相關標準 信息技術 安全技術 信息安全管理體系要求 ISO IEC 27001 2013 信息技術 安全技術 信息安全控制實用規(guī)則 ISO IEC 27002 2013 計算機信息系統(tǒng)安全保護等級劃分準則 GB 17859 1999 信息安全技術 信息安全風險評估規(guī)范 GB T 20984 2007 信息安全技術 信息系統(tǒng)安全等級保護定級指南 GB T 22240 2008 網(wǎng)絡安全等級保護定級指南 GA T 1389 2017 信息安全技術 信息系統(tǒng)安全等級保護實施指南 GB T 25058 2010 信息安全技術 網(wǎng)絡安全等級保護測評要求 GB T 28448 2019 信息安全技術 網(wǎng)絡安全等級保護測評過程指南 GB T 28449 2018 2 2 設計原則 2 2 1 分區(qū)分域防護原則 任何安全措施都不是絕對安全可靠的 為保障攻破一層或一類保護的攻擊 行為而不會破壞整個網(wǎng)絡 以達到縱深防御的安全目標 需要合理劃分安全域 綜合采用多種有效安全保護措施 實施多層 多重保護 2 2 2 均衡性保護原則 對任何類型網(wǎng)絡 絕對安全難以達到 也不一定是必須的 需正確處理安 全需求 安全風險與安全保護代價的關系 因此 結合適度防護實現(xiàn)分等級安 全保護 做到安全性與可用性平衡 達到技術上可實現(xiàn) 經(jīng)濟上可執(zhí)行 2 2 3 技管并重原則 網(wǎng)絡安全涉及人 技術 操作等方面要素 單靠技術或單靠管理都不可能 實現(xiàn) 因此在考慮網(wǎng)絡安全時 必須將各種安全技術與運行管理機制 人員思 想教育 技術培訓 安全規(guī)章制度建設相結合 堅持管理與技術并重 從而保 障網(wǎng)絡安全 2 2 4 動態(tài)調整原則 由于網(wǎng)絡安全需求會不斷變化 以及環(huán)境 條件 時間的限制 安全防護 一步到位 一勞永逸地解決網(wǎng)絡安全問題是不現(xiàn)實的 網(wǎng)絡安全保障建設可先 保證基本的 必須的安全保護 后續(xù)再根據(jù)應用和網(wǎng)絡安全技術的發(fā)展 不斷 調整安全保護措施 加強安全防護力度 以適應新的網(wǎng)絡安全環(huán)境 滿足新的 網(wǎng)絡安全需求 當安全保護等級需要變更時 應當根據(jù)等級保護的管理規(guī)范和 技術標準的要求 重新確定網(wǎng)絡安全保護等級 根據(jù)調整情況重新實施安全保 護 2 2 5 三同步原則 網(wǎng)絡運營者在網(wǎng)絡新建 改建 擴建時應當同步規(guī)劃 同步建設 同步運 行網(wǎng)絡安全保護 保密和密碼保護措施 確保其具有支持業(yè)務穩(wěn)定 持續(xù)運行 性能的同時 保證安全技術措施能夠保障網(wǎng)絡安全與信息化建設相適應 在全 過程中推行安全同步開展 強化安全工作前移 降低運維階段的服務壓力 2 3 設計思路 參考網(wǎng)絡安全等級保護安全設計技術要求 本方案的設計思路如下 根據(jù)系統(tǒng)定級的結果 明確該等級對應的總體防護措施 根據(jù)系統(tǒng)和子系統(tǒng)劃分結果 安全定級結果 將保護對象歸類 并組成 保護對象框架 根據(jù)方案的設計目標來建立整體保障框架 來指導整個等級保護方案的 設計 明確關鍵的安全要素 流程及相互關系 在安全措施框架細化 后將補充到整體保障框架中 根據(jù)此等級受到的威脅對應出該等級的保護要求 即需求分析 并分 布到安全物理環(huán)境 安全通信網(wǎng)絡 安全區(qū)域邊界 安全計算環(huán)境等 層面上 根據(jù)由威脅引出的等級保護基本要求 等級保護實施過程 整體保障框 架來確定總體安全策略 即總體安全目標 再根據(jù)等級保護的要求 將總體安全策略細分為不同的具體策略 即具體安全目標 包括安 全域內(nèi)部 安全域邊界和安全域互聯(lián)策略 根據(jù)保護對象框架 等級化安全措施要求 安全措施的成本來選擇和調 整安全措施 根據(jù)安全技術體系和安全管理體系的劃分 各安全措施 共同組成了安全措施框架 根據(jù)保護對象的系統(tǒng)功能特性 安全價值以及面臨威脅的相似性來進行 安全區(qū)域的劃分 各安全區(qū)域將保護對象框架劃分成不同部分 即各 安全措施發(fā)生作用的保護對象集合 根據(jù)選擇好的保護對象安全措施 安全措施框架 實際的具體需求來設 計安全解決方案 2 4 設計框架 3 安全現(xiàn)狀及需求分析 3 1 安全現(xiàn)狀概述 根據(jù)客戶現(xiàn)狀對等級保護對象進行分析 對現(xiàn)有安全域劃分情況及網(wǎng)絡拓 撲圖進行描述 3 2 安全需求分析 3 2 1 物理環(huán)境安全需求 物理環(huán)境安全主要影響因素包括機房環(huán)境 機柜 電源 通信線纜和其他 設備的物理環(huán)境 該層面為基礎設施和業(yè)務應用系統(tǒng)提供了一個生成 處理 存儲和傳輸數(shù)據(jù)的物理環(huán)境 具體安全需求如下 由于機房容易遭受雷擊 地震和臺風和暴雨等自然災難威脅 需要考慮 機房場地位置的選擇 以及采取防雷擊措施等來解決雷擊 地震和臺 風等威脅帶來的問題 由于機房容易遭受水患和火災等災害威脅 需要采取防水 防潮 防火 措施來解決水患和火災等威脅帶來的安全威脅 由于機房容易遭受高溫 低溫 多雨等原因引起溫度 濕度異常 應采 取溫濕度控制措施來解決因高溫 低溫和多雨帶來的安全威脅 由于機房電壓波動影響 需要合理設計電力供應系統(tǒng)來解決因電壓波動 帶來的安全威脅 針對機房供電系統(tǒng)故障 需要合理設計電力供應系統(tǒng) 如 購買UPS系 統(tǒng) 建立發(fā)電機機房 鋪設雙電力供電電纜來保障電力的供應 來解 決因供電系統(tǒng)故障帶來的安全威脅 針對機房容易遭受靜電和線纜電磁干擾 需要采取防靜電和電磁防護措 施來解決靜電和線纜電磁干擾帶來的安全威脅 并對關鍵設備采取電 磁屏蔽措施 針對利用非法手段進入機房內(nèi)部盜竊 破壞等安全威脅 需要通過采取 物理區(qū)域訪問控制及監(jiān)控報警裝置等控制措施 來解決非法手段進入 機房內(nèi)部盜竊 破壞等帶來的安全問題 針對利用工具捕捉電磁泄漏的信號 導致信息泄露的安全威脅 需要通 過采取防電磁措施 來解決電磁泄漏帶來的安全問題 3 2 2 通信網(wǎng)絡安全需求 通信網(wǎng)絡是對定級系統(tǒng)安全計算環(huán)境之間進行信息傳輸及實施安全策略的 安全部件 是利用網(wǎng)絡設備 安全設備 服務器 通信線路以及接入鏈路等設 備或部件共同建成的 可以用于在本地或遠程傳輸數(shù)據(jù)的網(wǎng)絡環(huán)境 具體安全 需求如下 針對網(wǎng)絡架構設計不合理而影響業(yè)務通信或傳輸問題 需要通過優(yōu)化網(wǎng) 絡設計 改造網(wǎng)絡安全域來完成 針對線路或設備的單點故障問題 需要采取冗余設計來確保系統(tǒng)的可用 性 針對利用通用安全協(xié)議 算法 軟件等缺陷獲取信息或破壞通信完整性 和保密性 需要通過數(shù)據(jù)加密技術 數(shù)據(jù)校驗技術來保障 針對通過偽造信息進行應用系統(tǒng)數(shù)據(jù)的竊取風險 需要加強網(wǎng)絡邊界完 整性檢查 加強對網(wǎng)絡設備進行防護 對訪問網(wǎng)絡的用戶身份進行鑒 別 加強數(shù)據(jù)保密性來解決 針對病毒入侵 惡意代碼加載 非授權身份訪問等安全威脅 通信設備 需要通過采取動態(tài)可信驗證機制來確保程序運行安全可信 從而保障 業(yè)務系統(tǒng)安全可信 3 2 3 區(qū)域邊界安全需求 區(qū)域邊界包括安全計算環(huán)境邊界 以及安全計算環(huán)境與安全通信網(wǎng)絡之間 實現(xiàn)連接并實施安全策略的相關部件 區(qū)域邊界安全即各網(wǎng)絡安全域邊界和網(wǎng) 絡關鍵節(jié)點可能存在的安全風險 需要把可能的安全風險控制在相對獨立的區(qū) 域內(nèi) 避免安全風險的大規(guī)模擴散 各類網(wǎng)絡設備 服務器 管理終端和其他辦公設備系統(tǒng)層的安全風險 主 要涵蓋兩個方面 一是來自系統(tǒng)本身的脆弱性風險 另一個是來自用戶登錄帳 號 權限等系統(tǒng)使用 配置和管理等風險 具體如下 針對內(nèi)部人員未授權違規(guī)連接外部網(wǎng)絡 或者外部人員未經(jīng)許可隨意接 入內(nèi)部網(wǎng)絡而引發(fā)的安全風險 以及因使用無線網(wǎng)絡傳輸?shù)囊苿咏K端 而帶來的安全接入風險等問題 需要通過違規(guī)外聯(lián) 安全準入控制以 及無線安全控制措施來解決 針對跨安全域訪問網(wǎng)絡的行為 需要通過基于應用協(xié)議和應用內(nèi)容的細 粒度安全訪問控制措施來解決 以實現(xiàn)網(wǎng)絡訪問行為可控可管 針對通過分布式拒絕服務攻擊惡意地消耗網(wǎng)絡 操作系統(tǒng)和應用系統(tǒng)資 源 導致拒絕服務或服務停止的安全風險 需要通過抗DDoS攻擊防護 服務器主機資源優(yōu)化 入侵檢測與防范 網(wǎng)絡結構調整與優(yōu)化等手 段來解決 針對利用網(wǎng)絡協(xié)議 操作系統(tǒng)或應用系統(tǒng)存在的漏洞進行惡意攻擊 如 碎片重組 協(xié)議端口重定位等 尤其是新型攻擊行為 需通過網(wǎng)絡 入侵檢測和防范等技術措施來解決 針對通過惡意代碼傳播對主機 應用系統(tǒng)和個人隱私帶來的安全威脅 需要通過惡意代碼防護技術手段解決 針對郵件收發(fā)時遭受惡意代碼攻擊的安全風險 需要通過垃圾郵件防護 等技術手段解決 針對違規(guī)越權操作 違規(guī)訪問網(wǎng)絡等用戶行為 需要采取安全審計手段 來實現(xiàn)安全事件的有效追溯和用戶行為的審計分析 針對病毒入侵 惡意代碼加載 非授權身份訪問等安全威脅 邊界設備 需要通過采取動態(tài)可信驗證機制來確保程序運行安全可信 從而保障 業(yè)務系統(tǒng)安全可信 3 2 4 計算環(huán)境安全需求 計算環(huán)境安全涉及業(yè)務應用系統(tǒng)及重要數(shù)據(jù)處理 存儲的安全問題 具體 安全需求如下 針對用戶帳號權限設置不合理 帳號暴力破解等等安全風險 需要通過 帳號管理 身份鑒別 密碼保護 訪問控制等技術手段解決 針對在網(wǎng)頁瀏覽 文檔傳遞 介質拷貝或文件下載 郵件收發(fā)時而遭受 惡意代碼攻擊的安全風險 需通過惡意代碼防范 入侵防范等技術手 段解決 針對操作用戶對系統(tǒng)錯誤配置或更改而引起的安全風險 需通過安全配 置核查 終端安全管控等技術手段解決 針對設備系統(tǒng)自身安全漏洞而引起被攻擊利用的安全風險 需要通過漏 洞掃描技術 安全加固服務等手段解決 針對攻擊者越權訪問文件 數(shù)據(jù)或其他資源 需要通過訪問控制 身份 鑒別 安全審計等技術來解決 針對利用各種工具獲取應用系統(tǒng)身份鑒別數(shù)據(jù) 進行分析獲得鑒別內(nèi)容 從而未授權訪問 使用應用軟件 文件和數(shù)據(jù)的安全風險 需要采 用兩種或兩種以上鑒別方式來 可通過應用系統(tǒng)開發(fā)或第三方輔助系 統(tǒng)來保證對應用系統(tǒng)登錄鑒別安全 針對應用系統(tǒng)缺陷 接口設計等導致被惡意攻擊利用 數(shù)據(jù)丟失或運行 中斷而影響服務連續(xù)性的安全風險 需要通過對產(chǎn)品采購 自行軟件 開發(fā) 外包軟件和測試驗收進行流程管理 同時保證應用軟件具備自 我容錯能力 針對由于應用系統(tǒng)存儲數(shù)據(jù)而引發(fā)的數(shù)據(jù)損毀 丟失等數(shù)據(jù)安全問題 需通過本地數(shù)據(jù)備份和異地容災備份等手段來解決 針對個人信息泄露的安全威脅 采取必要的安全保護手段 針對病毒入侵 惡意代碼加載 非授權身份訪問等安全威脅 計算設備 需要通過采取動態(tài)可信驗證機制來確保程序運行安全可信 從而保障 業(yè)務系統(tǒng)安全可信 3 2 5 安全管理中心安全需求 針對系統(tǒng)管理員 審計管理員 安全管理員的違規(guī)操作行為 需要采取 角色權限控制 身份鑒別 安全審計等技術手段對其操作行為進行限 定 并對其相關操作進行審計記錄 針對眾多網(wǎng)絡設備 安全設備 通信線路等基礎設施環(huán)境不能有效 統(tǒng) 一監(jiān)測 分析 以及集中安全策略分發(fā) 惡意代碼特征庫 漏洞補丁 升級等安全管理問題 需要通過集中安全管控和集中監(jiān)測審計機制來 解決 針對應用系統(tǒng)過度使用服務器內(nèi)存 CPU等系統(tǒng)資源的行為 需要對應 用軟件進行實時的監(jiān)控管理 同時對系統(tǒng)資源進行管控來解決 針對設備違規(guī)操作或多通路運維帶來的安全風險 需要對指定管理區(qū)域 及安全管控通路 3 2 6 安全管理制度需求 安全管理制度涉及安全方針 總體安全策略 安全管理制度體系 評審 與修訂管理等方面 其安全需求如下 需要制定信息安全工作的總體方針 政策性文件和安全策略等 說明機 構安全工作的總體目標 范圍 方針 原則 責任等 需要指定專門的部門對管理活動進行制度化管理 制定相應的制度和操 作流程并正式發(fā)布 需要定期對安全管理制度進行評審和修訂 不斷完善 健全安全制度 3 2 7 安全管理機構需求 安全管理機構涉及安全部門設置 人員崗位設置 人員安全管理等方面 其安全需求如下 需要組建網(wǎng)絡安全管理領小組 并設立專門的安全管理工作職能部門 設置相應的管理崗位 配備安全管理人員 審計管理員 系統(tǒng)管理員 需要建立審批制度 根據(jù)崗位職責開展審批和授權相關工作 需要建立協(xié)調機制 就信息安全相關的業(yè)務進行協(xié)調處理 需要建立審核和檢查部門 安全人員定期的進行全面的安全檢查 需要建立恰當?shù)穆?lián)絡渠道 進行溝通和合作 進行事件的有效處理 需要建立審核和檢查的制度 對安全策略的正確性和安全措施的合理性 進行審核和檢查 3 2 8 安全管理人員需求 需要對人員的錄用進行必要的管理 確保人員錄用的安全 需要對人員離崗進行有效的管理 確保人員離崗不會帶來安全問題 需要對人員考核進行嚴格的管理 提高人員安全技能和安全意識 需要對人員進行安全意識的教育和培訓 提高人員的安全意識 需要對外部人員進行嚴格控制 確保外部人員訪問受控區(qū)域或接入網(wǎng)絡 時可控可管 并簽署保密協(xié)議 3 2 9 安全建設管理需求 安全建設管理涉及定級備案管理 安全方案設計 產(chǎn)品采購和使用 軟件 開發(fā)管理 安全集成建設 測試驗收交付 等級測評以及服務商選擇等方面 其安全需求如下 需要建立備案管理制度 對系統(tǒng)的定級進行備案 需要具有總體安全方案設計 方案評審的流程和管理能力 產(chǎn)品采購符合國家有關規(guī)定 密碼算法和密鑰的使用需符合國家密碼管 理的規(guī)定 需要有專人對工程實施過程進行管理 依據(jù)工程實施方案確保安全功能 的落地 實施過程需要有第三方工程監(jiān)理來共同控制實施質量 需要制定軟件開發(fā)的相關制度和代碼編寫規(guī)范 并對源代碼的安全性進 行檢測 需要建立產(chǎn)品采購 系統(tǒng)測試和驗收制度 確保安全產(chǎn)品的滿足項目安 全需求和功能需求 尤其是密碼應用的安全性 需要與符合國家的有關規(guī)定的服務供應商簽訂協(xié)議 需要每年組織開展等級測評并及時整改 需要在工程實施過程中做好文檔管理工作 并在系統(tǒng)交付時提供完整的 資料交付清單 對運維人員進行技能培訓 需要提供建設過程文檔和運行維護文檔 需要選擇符合國家有關規(guī)定的服務供應商 并對服務情況進行定其評審 和審核 3 2 10 安全運維管理需求 安全運維管理涉及環(huán)境管理 資產(chǎn)管理 系統(tǒng)安全運行維護管理 配置與 變更管理 安全事件處置及應急響應管理等方面 其安全需求如下 需要保證機房具有良好的運行環(huán)境 需要建立機房安全管理制度來規(guī)范物理訪問 物品進出和環(huán)境安全 需要對信息資產(chǎn)進行分類標識 規(guī)范化管理 需要對各種軟硬件設備的選型 采購 使用和保管等過程進行控制 需要各種網(wǎng)絡設備 服務器正確使用和維護 需要采取措施對安全漏洞和隱患進行識別 并及時修補 需要對網(wǎng)絡 操作系統(tǒng) 數(shù)據(jù)庫系統(tǒng)和應用系統(tǒng)進行安全管理 需要定期地對通信線路進行檢查和維護 需要對惡意代碼防范有效性進行驗證 需要對運維工具的使用和遠程運維的權限進行管理控制 需要硬件設備 存儲介質存放環(huán)境安全 對其使用進行控制和保護 需要對支撐設施 硬件設備 存儲介質進行日常維護和管理 需要對系統(tǒng)使用手冊 維護指南等工具文檔進行管理 需要規(guī)范配置管理和變更管理流程 需要在事件發(fā)生后能采取積極 有效的應急策略和措施 需要建立應急響應機制來應對突發(fā)事件 做好應急預案并進行演練 需要與符合國家有關規(guī)定的外包運維服務商簽訂相關協(xié)議 并明確運維 服務能力要求 3 3 合規(guī)差距分析 依據(jù) 基本要求 采取對照檢查 風險評估等方法 分析判斷目前所采 取的安全技術和管理措施與等級保護標準要求之間的差距 分析網(wǎng)絡已發(fā)生的 事件或事故 分析安全技術和安全管理方面存在的問題 形成安全技術建設和 安全管理建設整改的需求 將 等級保護基本要求 8 1安全通用要求 與客戶安全現(xiàn)狀進行差距分析 4 技術體系設計方案 4 1 技術體系設計目標 技術體系設計目標是根據(jù)建設目標和建設內(nèi)容 將等級保護對象安全總體 方案中要求實現(xiàn)的安全策略 安全技術體系結構 安全措施和要求落實到產(chǎn)品 功能或物理形態(tài)上 提出能夠實現(xiàn)的產(chǎn)品或組件及其具體規(guī)范 并將產(chǎn)品功能 特征整理成文檔 使得在信息安全產(chǎn)品采購和安全控制開發(fā)階段具有依據(jù) 根據(jù)客戶項目具體目標進行增刪或調整 4 2 技術體系設計框架 在 一個中心 三重防護 的理念的基礎上 進行全方位的主動防御 安 全可信 動態(tài)感知和全面審計 4 3 安全技術防護體系設計 4 3 1 安全計算環(huán)境防護設計 依據(jù)等級保護要求第三級中安全計算環(huán)境相關控制項 結合安全計算環(huán)境 對于用戶身份鑒別 自主訪問控制 標記和強制訪問控制 系統(tǒng)安全審計 用 戶數(shù)據(jù)完整性保護 用戶數(shù)據(jù)保密性保護 客體安全重用 可信驗證 配置可 信檢查 入侵檢測和惡意代碼防范等技術設計要求 安全計算環(huán)境防護建設主 要通過身份鑒別 安全訪問控制 安全審計 入侵防范 惡意代碼防護 主機 可信驗證 數(shù)據(jù)完整性保護 數(shù)據(jù)保密性保護 個人信息保護 數(shù)據(jù)備份恢復 以及系統(tǒng)和應用自身安全控制等多種安全機制實現(xiàn) 具體如下 4 3 1 1 身份鑒別與訪問 身份鑒別與訪問授權是對網(wǎng)絡設備 主機系統(tǒng) 數(shù)據(jù)庫系統(tǒng) 業(yè)務應用系 統(tǒng)等身份認證及操作權限分配管理 應對登錄的用戶進行身份標識和鑒別 身 份標識具有唯一性 身份鑒別信息具有復雜度要求并定期更換 采用雙因素認 證手段來加強身份鑒別 如采用動態(tài)口令 USBkey PKI CA系統(tǒng) 安全堡壘機 4A平臺系統(tǒng)等 借助VPN技術能夠在管理終端與主機設備之間創(chuàng)建加密傳輸通 道 實現(xiàn)遠程接入數(shù)據(jù)安全傳輸服務 保證數(shù)據(jù)傳輸?shù)耐暾院捅Ｃ苄?在遠程管理時 可借助VPN建立的安全隧道來對網(wǎng)絡中傳輸?shù)蔫b別信息進行 保護 防止鑒別信息在網(wǎng)絡傳輸過程中被惡意竊聽 除此之外還應限制登錄嘗試次數(shù)據(jù) 并配置登錄連接超時自動退出等功能 4 3 1 2 安全訪問控制 對用戶和權限實施安全策略 對重要服務器部署主機操作系統(tǒng)加固軟件 主機操作系統(tǒng)安全加固不僅能夠實現(xiàn)基于文件自主訪問控制 對服務器上的敏 感數(shù)據(jù)設置訪問權限 禁止非授權訪問行為 保護服務器資源安全 更是能夠 實現(xiàn)文件強制訪問控制 即提供操作系統(tǒng)訪問控制權限以外的高強度的強制訪 問控制機制 對主客體設置安全標記 授權主體用戶或進程對客體的操作權限 有效杜絕重要數(shù)據(jù)被非法篡改 刪除等情況的發(fā)生 確保服務器重要數(shù)據(jù)完 整性不被破壞 4 3 1 3 安全審計管理 在安全計算環(huán)境防護中 安全審計管理包括對各類用戶的操作行為審計 以及網(wǎng)絡中重要安全事件的記錄審計等內(nèi)容 且審計記錄應包括事件的日期和 時間 用戶 事件類型 事件是否成功及其他與審計相關的信息 因此 此類 安全審計通常包括數(shù)據(jù)庫訪問審計 Web業(yè)務訪問審計 以及對所有設備 系統(tǒng) 的綜合日志審計 同時 審計記錄產(chǎn)生時的時間應由系統(tǒng)范圍內(nèi)唯一確定的時鐘產(chǎn)生 如部 署NTP服務器 以確保審計分析的正確性 除了借助安全審計設備來實現(xiàn)審計功能外 服務器也需要啟用自身的操作 系統(tǒng)審計功能 4 3 1 4 入侵防范 通過終端安全基線管理能夠對終端計算機的基礎安全和使用控制實現(xiàn)自動 化安全管理和防護 包括操作系統(tǒng)安全加固 關閉不必要的服務 端口 共享 和來賓組等 為不同用戶開放相應權限 防止安裝不必要的應用軟件 對終端 外設接口 外聯(lián)設備及使用的監(jiān)視 有效控制計算機的資源利用率 實現(xiàn)系統(tǒng) 密碼口令安全策略管控 系統(tǒng)資源文件使用訪問控制 終端計算機基礎資源使 用監(jiān)控等安全功能 針對服務器和終端計算環(huán)境實施安全策略 通過部署入侵監(jiān)測系統(tǒng)來檢測 針對內(nèi)部計算環(huán)境中的惡意攻擊和探測 諸如對網(wǎng)絡蠕蟲 間諜軟件 木馬軟 件 數(shù)據(jù)庫攻擊 高級威脅攻擊 暴力破解 SQL注入 XSS 緩沖區(qū)溢出 欺 騙劫持等多種深層攻擊行為進行深入檢測并及時報警 采用漏洞掃描技術能夠對網(wǎng)絡主機 如服務器 客戶機 網(wǎng)絡打印機 操作系統(tǒng) 如Microsoft Windows 系列 Sun Solaris HP Unix IBM AIX IRIX Linux BSD等 網(wǎng)絡設備 應用系統(tǒng) 如Web應用 FTP 電子郵 件等 常用軟件 如Office Symantec McAfee Chrome IE等 網(wǎng)站開 源架構 如phpmyadmin WordPress 等 主流數(shù)據(jù)庫 SQL Server Oracle Sybase DB2 MySQL等 進行系統(tǒng)漏洞 應用漏洞 安全配 置掃描和檢測 及時發(fā)現(xiàn)網(wǎng)絡中各類設備和系統(tǒng)的安全脆弱性 提出修復和整 改建議 保障設備和系統(tǒng)自身安全性 對于Web應用 可采用Web應用安全網(wǎng)關系統(tǒng)來進行CGI漏洞掃描攻擊 SQL 注入攻擊 XSS攻擊 CSRF攻擊防護 以及Cookie篡改防護 網(wǎng)站盜鏈防護 網(wǎng) 頁掛馬防護 WebShell防護等各種針對Web系統(tǒng)的入侵攻擊行為 結合網(wǎng)頁防篡 改技術實現(xiàn)系統(tǒng)運行過程中重要程序或文件完整性檢測和恢復 4 3 1 5 惡意代碼防護 惡意代碼是指以危害信息安全等不良意圖為目的的程序或代碼 它通常潛 伏在受害計算機系統(tǒng)中伺機實施破壞或竊取信息 是安全計算環(huán)境中的重大安 全隱患 其主要危害包括攻擊系統(tǒng) 造成系統(tǒng)癱瘓或操作異常 竊取和泄露文 件 配置或隱私信息 肆意占用資源 影響系統(tǒng) 應用或系統(tǒng)平臺的性能 在 服務器端部署防病毒系統(tǒng)或者惡意代碼主動防御系統(tǒng) 惡意代碼防護系統(tǒng)具備 查殺各類病毒 木馬或惡意軟件的服務能力 包括文件病毒 宏病毒 腳本病 毒 蠕蟲 木馬 惡意軟件 灰色軟件等 通過主動免疫可信驗證機制及時識 別病毒行為 并將其有效阻斷 4 3 1 6 主機可信驗證 基于可信根或可信芯片 對計算節(jié)點主機的BIOS 引導程序 操作系統(tǒng)內(nèi) 核 應用程序加載運行等過程進行可信驗證 尤其是在關鍵執(zhí)行環(huán)節(jié) 需要進 行動態(tài)的可信驗證 終端主機可采用基于TPM可信芯片的安全終端 服務器端采 用服務器加固系統(tǒng) 構建服務器可信運行環(huán)境 4 3 1 7 數(shù)據(jù)完整性保護 應采用校驗技術或密碼技術保證重要數(shù)據(jù)在傳輸 存儲過程中的完整性 包括但不限于鑒別數(shù)據(jù) 重要業(yè)務數(shù)據(jù) 重要審計數(shù)據(jù) 重要配置數(shù)據(jù) 重要 視頻數(shù)據(jù)和重要個人信息等 應用開發(fā)時也應同步考慮數(shù)據(jù)完整性校驗等功能 4 3 1 8 數(shù)據(jù)保密性保護 應采用密碼技術保證重要數(shù)據(jù)在傳輸 存儲過程中的保密性 包括但不限 于鑒別數(shù)據(jù) 重要業(yè)務數(shù)據(jù)和重要個人信息等 應用開發(fā)時應同步考慮采用數(shù) 據(jù)保密相關的身份鑒別和數(shù)據(jù)加密等技術手段來實現(xiàn) 4 3 1 9 數(shù)據(jù)備份恢復 應制定數(shù)據(jù)備份策略并準備數(shù)據(jù)備份服務器 實現(xiàn)本地備份與恢復 提供 異地實時備份功能 并為重要業(yè)務系統(tǒng)實現(xiàn)冗余熱備份 提供高可用性 4 3 1 10 個人信息保護 對應用軟件開發(fā)提出要求 采集和保存必需的個人信息 同時 對個人信 息的訪問進行控制 禁止非授權使用 可采用數(shù)據(jù)防泄漏系統(tǒng) 或采用數(shù)據(jù)庫 脫敏系統(tǒng)對個人敏感信息數(shù)據(jù)進行脫敏處理 4 3 1 11 安全配置核查 在IT系統(tǒng)中 由于服務和軟件的不正確部署和配置會造成安全配置漏洞 入侵者會利用這些安裝時默認設置的安全配置漏洞進行操作從而造成威脅 特 別是在當前網(wǎng)絡環(huán)境中 無論是網(wǎng)絡運營者 還是網(wǎng)絡使用者 均面臨著越來 越復雜的系統(tǒng)平臺 種類繁多的重要應用系統(tǒng) 數(shù)據(jù)庫系統(tǒng) 中間件系統(tǒng) 很 容易發(fā)生管理人員的配置操作失誤造成極大的影響 由此 通過自動化的安全 配置核查服務能夠及時發(fā)現(xiàn)各類關鍵資產(chǎn)的不合理策略配置 進程服務信息和 環(huán)境參數(shù)等 以便及時修復 將系統(tǒng)安全配置信息形成基準庫 并定期進行配 置核查 4 3 2 安全區(qū)域邊界防護設計 依據(jù)等級保護要求第三級中安全區(qū)域邊界相關控制項 結合安全區(qū)域邊界 對于區(qū)域邊界訪問控制 區(qū)域邊界包過濾 區(qū)域邊界安全審計 區(qū)域邊界完整 性保護及可信驗證等安全設計要求 安全區(qū)域邊界防護建設主要通過基于地址 協(xié)議 服務端口的訪問控制策略 非法外聯(lián) 違規(guī)接入網(wǎng)絡 抗DDoS攻擊 惡 意代碼防護 入侵防御 APT攻擊檢測防護 無線安全管理以及安全審計管理等 安全機制來實現(xiàn)區(qū)域邊界的綜合安全防護 具體如下 4 3 2 1 區(qū)域邊界訪問控制 依據(jù)等級保護要求第三級中網(wǎng)絡和通信安全相關安全要求 區(qū)域邊界訪問 控制防護需要通過在網(wǎng)絡區(qū)域邊界部署專業(yè)的訪問控制設備 如下一代防火墻 統(tǒng)一威脅網(wǎng)關等 并配置細顆粒度的基于地址 協(xié)議和端口級的訪問控制 策略 實現(xiàn)對區(qū)域邊界信息內(nèi)容的過濾和訪問控制 4 3 2 2 違規(guī)外聯(lián) 安全接入控制 針對終端計算機非授權連接外部網(wǎng)絡 或者未經(jīng)安全檢測和授權而隨意接 入網(wǎng)絡中的情況 通常是采用安全準入控制和違規(guī)外聯(lián)控制技術來進行檢查和 控制 違規(guī)外聯(lián)控制能夠及時監(jiān)測終端計算機違規(guī)連接外網(wǎng) 互聯(lián)網(wǎng)的終端訪問 行為 并及時進行阻斷和報警 安全準入控制能夠對接入到內(nèi)部網(wǎng)絡中的終端 計算機進行安全檢查 使其必須滿足一定安全基線要求 經(jīng)過認證授權的情況 下方能使用網(wǎng)絡系統(tǒng) 保障網(wǎng)絡區(qū)域邊界的完整性保護 4 3 2 3 抗DDoS攻擊防護 作為第一道安全防線 異常流量及抗DDoS攻擊防護能夠通過分析網(wǎng)絡中的 網(wǎng)絡流信息 包括NetFlow sFlow等 及時發(fā)現(xiàn)針對網(wǎng)絡中特定目標 IP 的DDoS攻擊等異常流量 通過流量牽引的方式將DDoS攻擊等異常數(shù)據(jù)流清洗處 理 將干凈的流量回注到網(wǎng)絡環(huán)境中繼續(xù)轉發(fā) 4 3 2 4 邊界惡意代碼防護 網(wǎng)絡區(qū)域邊界的惡意代碼防范工作是在關鍵網(wǎng)絡節(jié)點處部署網(wǎng)絡防病毒網(wǎng) 關 防垃圾郵件網(wǎng)關對惡意代碼和垃圾郵件進行及時檢測和清除 或在下一代防 火墻 統(tǒng)一威脅網(wǎng)關中啟用防病毒模塊 防垃圾郵件模塊 并保持網(wǎng)絡病毒庫和 垃圾郵件庫的升級和更新 4 3 2 5 區(qū)域邊界入侵防護 區(qū)域邊界網(wǎng)絡入侵防護主要在網(wǎng)絡區(qū)域邊界 重要節(jié)點檢測和阻止針對內(nèi)部 的惡意攻擊和探測 諸如對網(wǎng)絡蠕蟲 間諜軟件 木馬軟件 溢出攻擊 數(shù)據(jù) 庫攻擊 高級威脅攻擊 暴力破解等多種深層攻擊行為 進行及時檢測 阻止 和報警 4 3 2 6 APT攻擊檢測防護 高級持續(xù)性威脅 APT 通常隱蔽性很強 很難捕獲 而一旦APT攻擊滲透 進網(wǎng)絡內(nèi)部 建立起橋頭堡 然后在相當長一段時間內(nèi) 十分隱蔽地盜取敏感 數(shù)據(jù)信息或實施重大破壞行動 潛在危害極大 高級可持續(xù)性威脅APT攻擊檢測 能夠對此類安全威脅具有細粒度檢測效果 可實現(xiàn)對未知惡意代碼檢查 嵌套 式攻擊檢測 木馬蠕蟲病毒識別 隱秘通道檢測等攻擊利用行為的檢測 4 3 2 7 無線網(wǎng)絡安全管理 無線網(wǎng)絡安全管理主要用于限制和管理無線網(wǎng)絡的使用 確保無線終端通 過無線邊界防護設備認證和授權后方能接入網(wǎng)絡 無線網(wǎng)絡安全管理通常包括 無線接入 無線認證 無線防火墻 無線入侵防御 無線加密 無線定位等技 術措施 4 3 2 8 區(qū)域邊界安全審計 區(qū)域邊界安全審計需要對區(qū)域網(wǎng)絡邊界 重要網(wǎng)絡節(jié)點進行用戶行為和重 要安全事件進行安全審計 并統(tǒng)一上傳到安全審計管理中心 同時 審計記錄產(chǎn)生時的時間應由系統(tǒng)范圍內(nèi)唯一確定的時鐘產(chǎn)生 如部 署NTP服務器 以確保審計分析的正確性 4 3 2 9 區(qū)域邊界可信驗證 區(qū)域邊界設備需要在運行過程中基于可信根定期對程序內(nèi)存空間 操作系 統(tǒng)內(nèi)核關鍵內(nèi)存區(qū)域執(zhí)行資源進行可信驗證 可采購基于可信芯片的安全網(wǎng)絡 設備 如 可信邊界網(wǎng)關設備 4 3 3 安全通信網(wǎng)絡防護設計 依據(jù)等級保護要求第三級中網(wǎng)絡和通信安全相關安全控制項 結合通信網(wǎng) 絡安全審計 通信網(wǎng)絡數(shù)據(jù)傳輸完整性 保密性保護 可信連接驗證等安全設計 要求 安全通信網(wǎng)絡防護建設主要通過網(wǎng)絡架構設計 安全區(qū)域劃分 流量均 衡控制 通信網(wǎng)絡安全傳輸 通信網(wǎng)絡安全接入 及通信網(wǎng)絡安全審計等機制 實現(xiàn) 4 3 3 1 網(wǎng)絡架構及安全區(qū)域設計 4 3 3 1 1 網(wǎng)絡架構設計 網(wǎng)絡層架構設計應重點關注以下方面 主要網(wǎng)絡設備 安全設備 如核心交換機 核心路由器 關鍵節(jié)點安全 設備等 的業(yè)務處理能力應能滿足業(yè)務高峰期需要 保證各項業(yè)務運 行流暢 如主干網(wǎng)絡需要采用包括設備冗余 鏈路冗余的網(wǎng)絡架構 以滿足業(yè)務連續(xù)性需求 網(wǎng)絡帶寬應能滿足業(yè)務高峰期的需求 保證各業(yè)務系統(tǒng)正常運行的基本 帶寬 劃分不同的子網(wǎng) 按照方便管理和控制的原則為各子網(wǎng) 網(wǎng)段分配地址 段 避免將重要網(wǎng)絡區(qū)域部署在網(wǎng)絡邊界處且沒有邊界防護措施 4 3 3 1 2 安全區(qū)域劃分 安全區(qū)域通常也稱 安全域 通常是由安全計算環(huán)境和安全區(qū)域邊界組 合形成 具體而言 安全域是指同一系統(tǒng)內(nèi)有相同的安全保護需求 相互信任 并且具有相同的訪問控制和邊界控制策略的子網(wǎng)或網(wǎng)絡 同時 安全域還可以根據(jù)其更細粒度的防護策略 進一步劃分安全子域 以便能夠落實重點防護思想 形成重要資源重點保護的策略方針 安全域及安全子域劃分時應重點考慮以下要素 各業(yè)務系統(tǒng) 子系統(tǒng)在同一個管理機構的管理控制之下 保證遵循相同 的安全策略 各業(yè)務系統(tǒng) 子系統(tǒng)具有相似的業(yè)務類型或相似的用戶群體 安全需求 相近 保證遵循相同的安全策略 各業(yè)務系統(tǒng) 子系統(tǒng)具有相同的物理位置或相似的運行環(huán)境 有利于采 取統(tǒng)一的安全保護機制 各業(yè)務系統(tǒng) 子系統(tǒng)面臨相似的安全威脅 需采用相似的安全控制措施 來保證安全性 4 3 3 1 3 分區(qū)分域結構圖 實行分區(qū) 分級區(qū)域劃分 配備分區(qū)分域結構圖 并簡要描述 4 3 3 2 帶寬流量負載管理 考慮到網(wǎng)絡架構中業(yè)務應用系統(tǒng)帶寬分配和處理能力需要 以及針對業(yè)務 應用系統(tǒng)中資源控制要求 通過專業(yè)流量負載均衡或應用交付系統(tǒng)能夠有效支 撐網(wǎng)絡鏈路負載 服務器負載 應用協(xié)議優(yōu)化與加速 保障流量帶寬資源的合 理管控 4 3 3 3 通信網(wǎng)絡安全傳輸 通信安全傳輸要求能夠滿足業(yè)務處理安全保密和完整性需求 避免因傳輸 通道被竊聽 篡改而引起的數(shù)據(jù)泄露或傳輸異常等問題 通過采用VPN技術而形成加密傳輸通道 即能夠實現(xiàn)對敏感信息傳輸過程中 的信道加密 確保信息在通信過程中不被監(jiān)聽 劫持 篡改及破譯 保證通信 傳輸中關鍵數(shù)據(jù)的的完整性 可用性 4 3 3 4 遠程安全接入防護 針對有遠程安全運維需求 或者遠程安全訪問需求的終端接入用戶而言 應采用VPN安全接入技術來滿足遠程訪問或遠程運維的安全通信要求 保證敏感 關鍵的數(shù)據(jù) 鑒別信息不被非法竊聽 暴露 篡改或損壞 4 3 3 5 通信網(wǎng)絡安全審計 通信網(wǎng)絡安全審計需要啟用 設置安全審計功能 將用戶行為和重要安全事 件進行安全審計 并統(tǒng)一上傳到安全審計管理中心 同時 審計記錄產(chǎn)生時的時間應由系統(tǒng)范圍內(nèi)唯一確定的時鐘產(chǎn)生 如部 署NTP服務器 以確保審計分析的正確性 4 3 3 6 可信連接驗證 通信網(wǎng)絡設備需要具備可信連接保護功能 在設備連接網(wǎng)絡時 對源和目 標平臺身份 執(zhí)行程序及其關鍵執(zhí)行環(huán)節(jié)的執(zhí)行資源進行可信驗證 4 3 4 安全管理中心設計 依據(jù)等級保護要求第三級中網(wǎng)絡和通信安全相關安全控制項 結合安全管 理中心對系統(tǒng)管理 安全管理和審計管理的設計要求 安全管理中心建設主要 通過運維審計 網(wǎng)絡管理系統(tǒng) 綜合安全管理平臺等機制實現(xiàn) 通過安全堡壘機 運維審計系統(tǒng) 能夠對系統(tǒng)管理員 審計管理員和安全 管理員進行身份鑒別 并對操作權限進行控制 記錄相關操作審計日志 通過網(wǎng)絡管理系統(tǒng)能夠對網(wǎng)絡設備 網(wǎng)絡鏈路 主機系統(tǒng)資源和運行狀態(tài) 進行監(jiān)測和管理 實現(xiàn)網(wǎng)絡鏈路 服務器 路由交換設備 業(yè)務應用系統(tǒng)的監(jiān) 控與配置 通過綜合安全管理平臺對安全設備 網(wǎng)絡設備和服務器等系統(tǒng)的運行狀況 安全事件 安全策略進行集中監(jiān)測采集 日志范式化和過濾歸并處理 來實 現(xiàn)對網(wǎng)絡中各類安全事件的識別 關聯(lián)分析和預警通報 5 管理體系設計方案 5 1 管理體系設計目標 管理體系設計目標是根據(jù)等級保護對象當前安全管理需要和安全技術保障 需要 提出與等級保護對象安全總體方案中管理部分相適應的本期安全實施內(nèi) 容 以保證在安全技術建設的同時 安全管理得以同步建設 根據(jù)客戶項目具體目標進行增刪或調整 5 2 管理體系設計框架 總體方針 安全策略 信息安全管理制度 技術標準 操作規(guī)程 記錄 表單 5 3 安全管理防護體系設計 安全管理防護體系的設計 可結合定級系統(tǒng)自身的特點 并結合行業(yè)安全 監(jiān)管要求及相關標準 綜合考慮各類措施來達到基本要求提出的安全保護能力 信息安全管理體系是組織在整體或特定范圍內(nèi)建立的信息安全方針和目標 以及完成這些目標所用的方法和體系 以等保安全管理基本要求為基礎 結合ISO270001的體系的PDCA過程和ISO2 7002的14個控制域規(guī)范 同時兼顧監(jiān)管部門的相關安全規(guī)范 整合企業(yè)自身的I T服務管理體系和安全技術防護體系 通過體系規(guī)范化 管理流程化 測量指標 化 操作工具化的手段來確保體系設計的落地 根據(jù)項目規(guī)模和實際情況 決定是否結合 ISO27000信息安全管理體系的相 關內(nèi)容展開來進行詳細的安全管理體系設計 本方案模板僅從等保合規(guī)的基本管理要求來描述 5 3 1 安全管理制度設計 安全管理制度是對信息安全目標和工作原則的規(guī)定 其表現(xiàn)形式是一系列 安全策略體系文件 安全管理制度是信息安全保障體系的核心 是信息安全管 理工作 技術工作和運維工作的目標和依據(jù) 具體安全管理制度可參考以下內(nèi) 容建設 制定一套網(wǎng)絡安全總體方針和安全策略 明確組織機構的總體目標 范 圍 原則和安全框架 制定一套安全管理制度 形成安全策略 管理制度 操作規(guī)程 記錄表 單四級管理制度體系 指派專人或者成立專門的部門負責制度的制定 安全管理制度要正式發(fā) 布 并進行有效的版本控制 應定期對制度進行評審和修訂 至少每年 建議 進行一次評審和修訂 5 3 2 安全管理機構設計 安全管理機構建設將決定整個安全管理體系的成敗 成立網(wǎng)絡安全領導小 組及其辦公室機構 網(wǎng)絡安全領導小組應由單位高層領導和有關部門的管理人 員組成 負責協(xié)調 指導及管理信息安全各個方面的工作 設置網(wǎng)絡安全管理工作的部門 并明確其職責 根據(jù)三權分立的原則設置 工作崗位 設置三員角色 必須配備專職的安全管理員 建立授權審批制度 明確職責和要求 重要活動逐級審批 并對審批事項 進行定期審查 建立定期協(xié)調會議制度 協(xié)調處理網(wǎng)絡安全問題 加強與外部資源的溝通 與合作 建立外部單位聯(lián)系表 以便及時獲取外部資源支持 建立定期安全檢測制度 檢查內(nèi)容覆蓋技術 管理 策略等 并對檢查結 果進行分析 形成報告 并對結果進行通報 5 3 3 安全管理人員設計 需要有專人或部門負責人員錄用 需要對專業(yè)技能 身份 背景 專業(yè)資 格資質進行審核 并確定保密協(xié)議和崗位責任協(xié)議 并對被錄用人員所具有的 技術技能進行考核 人員離崗及時終止各種權限 回收各類訪問權限 軟硬件設備 履行離職 手續(xù) 并簽訂離職保密協(xié)定 針對不同崗位制定不同培訓計劃 對安全意識 安全基礎知識 崗位操作 規(guī)程等進行培訓 并定期對不同崗位的人員進行技能考核 要有懲戒措施 制定外部人員訪問審批流程 訪問網(wǎng)絡申請流程 訪問結束立刻終止權限 高 危系統(tǒng)訪問需簽訂保密協(xié)議 5 3 4 安全建設管理設計 安全建設管理應貫穿到信息系統(tǒng)整個生命周期 在系統(tǒng)審批 建設 安全 定級與備案 安全方案設計 軟件開發(fā)與實施 驗收與測試 系統(tǒng)交付與等級 測評 以及服務商選擇等過程均需要進行安全管理 根據(jù)系統(tǒng)定級等級設計安全方案 并組織專家進行評審 經(jīng)過批準后方可 以實施 需要根據(jù)網(wǎng)絡的安全保護等級和安全需求 采購使用符合國家法律法規(guī)和 有關標準要求的網(wǎng)絡產(chǎn)品 對于軟件開發(fā) 要確保將開發(fā)環(huán)境與實際運行環(huán)境物理分開 測試數(shù)據(jù)和 測試結果收到控制 制定軟件開發(fā)管理制度 明確說明開發(fā)過程的控制方法和 人員行為準則 制定代碼編寫安全規(guī)范并要求開發(fā)人員參照規(guī)范編寫代碼 應 具備軟件設計的相關文檔和使用指南 并對文檔使用進行控制 應保證在軟件 開發(fā)過程中對安全性進行測試 在軟件安裝前對可能存在的惡意代碼進行檢測 應對程序資源庫的修改 更新 發(fā)布進行授權和批準 并嚴格進行版本控制 應保證開發(fā)人為專職人員 開發(fā)人員的開發(fā)活動受到控制 監(jiān)視和審查 當 軟件開發(fā)采取外包模式時 還需要開發(fā)單位提供軟件設計文檔 使用指南及軟 件源代碼 并對軟件中可能存在的后門和隱蔽信道進行技術審查 在項目實施過程中 要指定或授權專門的部門或人員負責工程實施過程的 管理 制定安全工程實施方案 并通過第三方工程監(jiān)理控制項目的實施過程 在項目測試驗收階段 應制訂測試驗收方案 并依據(jù)測試驗收方案實施測 試驗收 形成測試驗收報告 系統(tǒng)上線前還需要進行安全性測試 并出具安全 測試報告 安全測試報告應包含密碼應用安全性測試相關內(nèi)容 系統(tǒng)交付使用時 應制定交付清單 并根據(jù)交付清單對所交接的設備 軟 件和文檔等進行清點 并對負責運行維護的技術人員進行相應的技能培訓 還 要提供建設過程文檔和運行維護文檔 5 3 5 安全運維管理設計 安全運維管理是整個系統(tǒng)安全運營的重要環(huán)節(jié) 其內(nèi)容涵蓋機房環(huán)境管理 資產(chǎn)管理 介質管理 設備管理 漏洞和風險管理 網(wǎng)絡及系統(tǒng)安全管理 惡意代碼防范 配置管理 密碼管理 變更管理 備份與恢復管理 安全應急 處置 以及安全服務管理工作等內(nèi)容 具體如下 5 3 5 1 機房環(huán)境管理 在機房環(huán)境管理中需要對機房供配電 空調 溫濕度控制 消防等設施指 定專人或專門部門定期進行維護管理 同時還應建立機房安全管理制度 對機房人員出入 物品帶進帶出和機房 環(huán)境安全等方面作出規(guī)定 不在重要區(qū)域接待來訪人員 不將含有敏感信息的 紙檔文件和移動介質隨意放置 5 3 5 2 資產(chǎn)管理 針對資產(chǎn)管理 應建立資產(chǎn)安全管理制度 規(guī)定信息系統(tǒng)資產(chǎn)管理的責任 人員或責任部門 規(guī)范資產(chǎn)管理和使用的行為 編制并保存與保護對象相關的 資產(chǎn)清單 同時應根據(jù)資產(chǎn)的重要程度對資產(chǎn)進行定性賦值和標識管理 根據(jù)資產(chǎn)的 價值選擇相應的管理措施 確定信息分類與標識的原則和方法 對信息的使用 傳輸和存儲作出規(guī)定 5 3 5 3 介質管理 應建立介質安全管理制度 對介質存放環(huán)境 使用 維護和銷毀等方面作 出規(guī)定 如介質的歸檔和查詢須有記錄 并對存檔介質的目錄清單定期盤點 除此之外 還應對存儲介質的數(shù)據(jù)安全進行管理和防范 具體如下 對于需要送出維修或銷毀的介質 應采用多次讀寫覆蓋 清除介質中的 敏感或重要數(shù)據(jù) 防止數(shù)據(jù)泄露 根據(jù)數(shù)據(jù)備份需要對某些介質實行異地存儲 存儲地的環(huán)境要求和管理 方法應與本地相同 根據(jù)所承載數(shù)據(jù)和軟件的重要程度對介質進行分類和標識管理 并實行 專人管理 對介質物理運輸過程中人員選擇 打包 交付等情況進行控制 保密性較高的信息存儲介質未經(jīng)批準不得自行銷毀 銷毀時必須做到雙 人監(jiān)銷 銷毀記錄應妥善保存 重要數(shù)據(jù)存儲介質帶出工作環(huán)境應采取加密方式 并進行監(jiān)控管理 對存放的介質定期進行完整性和可用性檢查 確認其數(shù)據(jù)或軟件沒有受 到損壞或丟失 5 3 5 4 設備維護管理 對信息系統(tǒng)相關的各種設備 線路等指定專人或專門部門定期進行維護 管理 對信息系統(tǒng)的各種軟硬件設備的選型 采購 發(fā)放或領用等過程建立申 報 審批管理規(guī)定 對終端計算機 工作站 便攜機 系統(tǒng)和網(wǎng)絡等設備的操作和使用進行 規(guī)范化管理 按操作規(guī)程實現(xiàn)服務器的啟動 停止 加電 斷電等操作 加強對服務器 網(wǎng)絡設備等重要設備或系統(tǒng)的日志文件檢查和監(jiān)控 建立軟硬件設備維護管理制度 包括明確維護人員的責任 涉外維修和 服務的審批 維修過程的監(jiān)督控制等 5 3 5 5 漏洞和風險管理 針對漏洞和風險管理 需要通過漏洞掃描系統(tǒng)對發(fā)現(xiàn)的系統(tǒng)安全漏洞進行 及時修補 需要定期安裝最新補丁程序 對重要漏洞進行及時修補 定期開展 安全測評 形成安全測評報告 采取措施應對發(fā)現(xiàn)的安全問題 5 3 5 6 網(wǎng)絡和系統(tǒng)安全管理 指定專人對網(wǎng)絡進行管理 負責運行日志 網(wǎng)絡監(jiān)控記錄的日常維護和 報警信息分析處理工作 對網(wǎng)絡設備和系統(tǒng)的安全策略維護 配置文件更改進行流程審批 通過身份鑒別 訪問控制等措施限制遠程管理賬戶的操作行為 指定專人對系統(tǒng)進行管理 刪除或者禁用不使用的系統(tǒng)缺省賬戶 對能夠使用系統(tǒng)工具的人員及數(shù)量進行限制和控制 根據(jù)業(yè)務需求和系統(tǒng)安全確定系統(tǒng)的訪問控制策略 文件及服務的訪問 權限 對系統(tǒng)賬戶進行分類管理 權限設定應當遵循最小授權要求 對于賬戶安全管理的執(zhí)行情況進行檢查和監(jiān)督 定期審計和分析用戶賬 戶的使用情況 定期檢查違反規(guī)定無線上網(wǎng)及其他違反網(wǎng)絡安全策略的行為 5 3 5 7 惡意代碼防范管理 提高全體員工的網(wǎng)絡病毒 惡意代碼安全防范意識 及時升級防病毒軟 件 在讀取移動存儲設備上的數(shù)據(jù)以及接收文件或郵件之前 先進行病毒檢 查 對防惡意代碼軟件的授權使用 惡意代碼庫升級 定期匯報等作出明確 管理規(guī)定 定期檢查惡意代碼庫的升級情況并進行記錄 對防病毒軟件 防病毒網(wǎng) 關上截獲的危險病毒或惡意代碼進行及時分析處理 形成書面報表和 總結匯報 5 3 5 8 配置管理 建立對包括網(wǎng)絡拓撲結構 設備和系統(tǒng)安裝的服務組件 組件版本和補丁 信息 設