信息安全等级保护安全建设方案制定与实施

网神信息技术（北京）股份有限公司目录利用三年时间。力争2012前完成。实现五方面目标：一是信息系统安全管理水平明显提高；二是信息系统安全防范能力明显增强；三是信息系统安全隐患和安全事故明显减少；四是有效保障信息化健康发展；五是有效维护国家安全、社会秩序和公共利益。（摘自“公信安[2009]1429号”文件）信息安全等级保护建设整改目标已备案的第二级（含）以上信息系统纳入安全建设整改的范围。尚未开展定级备案的信息系统，要先定级备案，定级不准的要先纠正，再开展安全建设整改。新建系统要同步开展安全建设工作。信息安全等级保护建设整改范围信息系统安全管理建设信息系统安全技术建设开展信息系统安全自查和等级测评信息系统安全保护现状分析信息系统安全建设整改工作规划和工作部署确定安全策略，制定安全建设整改方案物理安全网络安全主机安全应用安全数据安全安全管理机构安全管理制度人员安全管理系统建设管理系统运维管理信息安全等级保护建设整改工作以安全保发展发展中求安全标准计算机信息系统安全保护等级划分准则（GB17859）信息系统通用安全技术要求信息系统物理安全技术要求技术类其他技术类标准信息系统安全管理要求信息系统安全工程管理要求其他管理类标准管理类产品类数据库管理系统安全技术要求其他产品类标准操作系统安全技术要求网络基础安全技术要求网络和终端设备隔离部件技术要求信息系统安全等级保护基本要求信息系统安全等级保护定级指南信息系统安全等级保护基本要求的行业细则

信息系统安全等级保护测评过程指南信息系统安全等级保护测评要求

信息系统等级保护安全设计技术要求信息系统安全等级保护行业定级细则安全等级基线要求状况分析方法指导信息系统安全等级保护实施指南信息安全等级保护安全建设整改工作信息安全等级保护建设整改依据《基本要求》技术能力《基本要求》管理能力《基本要求》主要范围建设整改工作方法目录方案制定定与实施施流程工具扫描描人工分析析渗透测试试调研访谈谈调查现状状，分析析风险和和差距电力供应电磁防护互联网区应用存储区办公网区办公终端应用存储服务器互联网服务器安全审计身份鉴别访问控制结构安全访问控制身份鉴别安全审计访问控制入侵防范存储数据传输数据处理数据备份和恢复完整性保密性调查现状状，分析析风险和和差距应用层主机层网络层物理层数据层计算环境境区域边界界网络通信信安全管理理调查现状状，分析析风险和和差距安全需求求分析报报告信息系统统描述；；安全管理理状况；；安全技术术状况；；存在的不不足和可可能的风风险；安全需求求描述。。安全需求求分析报报告确定框架架，制定定整改方方案依据《信信息系统统安全等等级保护护基本要要求》参照《信信息系统统等级保保护安全全设计技技术要求求》引入“安安全域””的概念念，强化化访问控控制安全技术术控制策策略安全管理理控制策策略总体方案案-要点关键点：：安全技技术+安全管理理实施统一一的访问问控制策策略实施统一一的安全全控制策策略关键点：：划分安安全域网络的层层次划分分方法电子政务务内网电子政务务外网业务专网网（广域域网）互联网安全域的的宏观划划分安全计算算域安全用户户域安全网络络域（接入域域、交换换域、核核心域））划分安全全域（参参考）按照应用用的通信信过程划划分：接入区交换区用户区服务器区区管理区按照业务务数据的的流转路路径划分分存储区前置区终端区传输区备份区总部服务务器核核心交交换路路由器广广域网网 路由由器备备份服务务器路由器终终端划分安全全域（参参考）分析访问问，合理理设计安安全策略略梳理各个个应用系系统连接接及访问问用户业务安全全分析-用户、操操作和数数据业务风险险控制业务应用主机组件应用平台台网络业务安全全需求安全功能能实现数据库功能组件件支撑安全全功能实现现安全软件环境境安全边界界安全传输输通道程序安全全组件安全全主机安全全网络安全全“业务+系统”安安全=整体安全全策略结合实际际，部署署实施安安全措施施技术策略技术框架3G安全IPSec……日志采集审计分析令牌技术认证协议强制访问控制ACL网络流量控制数据防泄漏匿名技术数据系统网络补丁管理威胁检测对称密码技术非对称密码技术实现实现实现选择和目目标一致致的安全全产品三级：73个控控制点290控控制项参考安全产品品对照（（参考））参考安全产品品对照（（参考））业务用户户登录界界面/帐号/验证数据库帐帐号/验证组件调用用协议/帐号/验证系统运行行服务帐帐号/验证网络访问问控制落实控制制策略-纵深防御御管理员登登录界面面/帐号/验证“一个中中心、三三重防护护”为指指导思想想进行整整体设计计强化信息息维护和和系统维维护人员员系统的的访问控控制策略略设计强化安全全域之间间的边界界访问控控制策略略逐步实现现基于安安全策略略模型和和标记的的强制访访问控制制以及增增强的系系统审计计机制强化访问问控制策策略信息安全全领导小小组信息安全全主管（（部门））安全管理理员安全审计计员系统管理理员网络管理理员数据库管管理员决策、监监督应用系统统管理员员管理执行落实信息息安全责责任制建立安全全组织（（举例））方针策略略信息安全全工作的纲纲领性文文件。制度办法法在安全策策略的指指导下，，制定的的各项安安全管理理和技术术制度、、办法和和准则，，用来规规范各部部门处室室安全管管理工作作。流程细则则细化的实实施细则则、管理理技术标标准等内内容，用用来支撑撑第二层层对应的的制度与与管理办办法的有有效实施施。记录表单单记录活动动实行以以符合等等级1,2,和3的文件要要求的客客观证据据，阐明明所取得得的结果果或提供供完成活活动的证证据运行记录方针策略实施细则与流程制度与管理办法编写写安安全全管管理理制制度度目录录整改改方方案案的的技技术术路路线线信息息安安全全体体系系框框架架信息安全管理体系信息安全技术体系信息安全运行体系人员安全制度标准弱点加固备份恢复决策策-管理理-执行行-监督督资源源管管理理状态检测防恶技术物理技术意识识-技能能-职称称-培训训-考核核方针针策策略略-制度度规规范范-流程程表表单单监控监测内容安全日常常运运行行管管理理配置置管管理理变更更管管理理问题题管管理理事件件管管理理风险险管管理理监督督检检查查介质质管管理理环境境管管理理应急急响响应应运行行监监控控审计计安全全管管理理中中心心物理理网络络主机机应用用数据据系统建设安全全计计算算环环境境安全全区区域域边边界界安全全网网络络通通信信安全全保保护护对对象象定级级备备案案设计计开开发发实施施测测试试验收收交交付付服务务商商信息安全体系安全全目目标标、、总总体体安安全全策策略略弱点加固状态检测防恶技术监控监测内容安全测评评检检查查系统统管管理理安全全管管理理审计计管管理理《关关于于开开展展信信息息安安全全等等级级保保护护安安全全建建设设整整改改工工作作的的指指导导意意见见》》公公信信安安[2009]1429号………力争争在在2012年底底前前完成成已已定定级级信信息息系系统统安安全全建建设设整整改改工工作作。。………《公安安机机关关信信息息安安全全等等级级保保护护检检查查工工作作规规范范》公信信安安[2008]736号………第三三条条信信息息安安全全等等级级保保护护检检查查工工作作由由市市（（地地））级级以以上上公公安安机机关关公共共信信息息网网络络安安全全监监察察部部门门负责责实实施施。。………第十十三三条条检检查查时时，，发发现现不不符符合合信信息息安安全全等等级级保保护护有有关关管管理理规规范范和和技技术术标标准准要要求求，，具具有有下下列列情情形形之之一一的的，，应应当当通通知知其其运运营营使使用用单单位位限限期期整整改改，，并并发发送送《《信信息息系系统统安安全全等等级级保保护护限限期期整整改改通通知知书书》》（（以以下下简简称称《《整整改改通通知知》》，，见见附附件件3）。逾期不不改正正的，，给予予警告告，并并向其其上级级主管管部门门通报报（通报报书见见附件件4）：……《关于推推动信信息安安全等等级保保护测测评体体系建建设和和开展展等级级测评评工作作的通通知》公信安安[2010]303号号……督促备备案单单位开开展信信息系系统等等级测测评工工作，，确保保安全全建设设整改改工作作的顺顺利开开展。。督促促信息息系统统备案案单位位尽快快委托托测评评机构构开展展等级级测评评，2010年底前完成成测评评体系系建设设，并并完成成30%第三级级（含））以上上信息息系统统的测测评工工作，，2011年底前前完成第第三级级（含含）以以上信信息系系统的的测评工作，，2012年底之前完完成第第三级级（含含）以以上信信息系系统的的安全建建设整整改工工作。……《关于于加强强国家家电子子政务务工程程建设设项目目信息息安全全风险险评估估工作作的通通知》》（发发改高高技[2008]2071号）该文件件要求求非涉涉密国国家电电子政政务项项目开开展等等级测测评和和信息息安全全风险险评估估要按按照《《信息息安全全等级级保护护管理理办法法》进进行，，明确了了项目目验收收条件件：公安安机关关颁发发的信信息系系统安安全等等级保保护备备案证证明、、等级级测评评报告告和风风险评评估报报告。。该文文件由由发改改委、、公安安部、、国家家保密密局共共同会会签印印发。。小结—符合政政策要要求应用层主机层网络层物理层数据层计算环环境区域边边界网络通通信安全管管理小结—控制系系统风风险贯彻落实信息系统安全等级保护工作，领导层要重视。信息系统安全等级保护工作是一个不断推进，循序渐进的过程。信息系统安全等级保护不仅仅是安全职能部门的工作，是全员的工作。有效落实等级保护需要与规划设计、工程建设和运维的各个环节相结合。统一认识，是等级保护工作开展过程中的一个关键。等级保保护实实施经经验系统建建设同同期练好““内内功””9、静夜四四无邻，，荒居旧旧业贫。。。12月-2212月-22Thursday,December29,202210、雨中黄黄叶树，，灯下白白头人。。。03:48:2203:48:2203:4812/29/20223:48:22AM11、以我独沈沈久，愧君君相见频。。。12月-2203:48:2203:48Dec-2229-Dec-2212、故故人人江江海海别别，，几几度度隔隔山山川川。。。。03:48:2203:48:2203:48Thursday,December29,202213、乍见见翻疑疑梦，，相悲悲各问问年。。。12月月-2212月月-2203:48:2203:48:22December29,202214、他乡生白白发，旧国国见青山。。。29十二二月20223:48:22上上午03:48:2212月-2215、比不了得得就不比，，得不到的的就不要。。。。十二月223:48上上午12月-2203:48December29,202216、行动动出成成果，，工作作出财财富。。。2022/12/293:48:2203:48:2229December202217、做前，能能够环视四四周；做时时，你只能能或者最好好沿着以脚脚为起点的的射线向前前。。3:48:22上上午3:48上上午03:48:2212月-229、没没有有失失败败，，只只有有暂暂时时停停止止成成功功！！。。12月月-2212月月-22Thursday,December29,202210、很多事情情努力了未未必有结果果，但是不不努力却什什么改变也也没有。。。03:48:2203:48:2203:4812/29/20223:48:22AM11、成功功就是是日复复一日日那一一点点点小小小努力力的积积累。。。12月月-2203:48:2203:48Dec-2229-Dec-2212、世世间间成成事事，，不不求求其其绝绝对对圆圆满满，，留留一一份份不不足足，，可可得得无无限限完完美美。。。。03:48:2203:48:2203:48Thursday,December29,202213、不知知香积积寺，，数里里入云云峰。。。12月月-2212月月-2203:48:2203:48:22December29,202214、意志坚坚强的人人能把世世界放在在手中像像泥块一一样任意意揉捏。。29十十二月20223:48:22上午午03:48:2212月-2215、楚塞三湘湘接，荆门门九派通。。。。十二月223:48上上午12月-2203:48December29,202216、少年十五五二十时，，步行夺得得胡马骑。。。2022/12/293:48:2203:48:2229December202217、空空山山新新雨雨后后，，天天气气晚晚来来秋秋。。。。3:48:22上上午午3:48上上午午03:48:2212月月-229、杨柳柳散和和风，，青山山澹吾吾虑。。。12月月-2212月月-22Thursday,December29,202210、阅读读一切切好书书如同同和过过去最最杰出出的人人谈话话。03:48:2203:48:220