信息系统安全规划方案

信构企业信用信息管理系统安全规

划建议书信息系统安全规划建议书信息系统安全规划建议书/33-完善的安全防护体系。通过体系化、标准化的信息安全风险评估，积极采取各种安全管理和安全技术防护措施，落实信息安全等级保护相关要求。从技术与管理上提高********网络与信构企业信用信息管理系统安全防护水平，防止信息网络瘫痪，防止应用系统破坏，防止业务数据丢失，防止******航海测绘信息泄密，防止终端病毒感染，防止有害信息传播，防止恶意渗透攻击，确保信构企业信用信息管理系统安全稳定运行，确保业务数据安全。主要工作信构企业信用信息管理系统安全规划设计建议网络访问控制策略网络访问控制策略如下：＞核心服务器区/非核心服务器区只允许业务网终端访问；＞不允许业务网终端到达外网以及更低的安全区域；＞不允许外网终端到达业务网以及更高的安全区域；＞允许外网终端访问前置服务区；＞允许外网终端访问因特网服务器区；＞允许外网终端访问因特网并对所有终端用户访问行为，如邮件、网页访问等进行监控；＞因特网服务器区允许因特网公众访问特定服务（如Http、SMTP、POP3、DNS等）；＞同一应用系统的前置服务器与内部核心服务器、非核心服务器之间建立特定的数据交换通道。物理安全物理安全策略针对以下三个方面进行改造和设计：＞环境安全：对系统所在环境的安全保护，如区域保护和灾难保护；（参见国家标准GB50173—93《电子计算机机房设计规范》、国标GB2887—89《计算站场地技术条件》、GB9361—88《计算站场地安全要求》＞设备安全：主要包括设备的防盗、防毁、防电磁信息辐射泄漏、防止线路截获、抗电磁干扰及电源保护等；＞媒体安全：包括媒体数据的安全及媒体本身的安全。主机安全主机安全包括服务器的主机安全及终端用户的主机安全，其系统加固和优化是实现********信构企业信用信息管理系统安全的关键环节。通过主机系统安全加固，可以对********各应用系统的网络层、系统层、应用层及终端用户等层次设置合理的安全状态，并以此作为保证********信构企业信用信息管理系统安全的起点。主机系统安全加固的主要内容包括：＞正确的安装操作系统和应用软件；＞安装全部最新的OS、应用软件的安全补丁；＞操作系统和应用软件的安全配置；＞系统安全风险防范；＞应用系统功能测试；

＞系统完整性备份；＞终端安全管理；＞终端病毒防护；＞终端准入控制。主机系统加固是有一定风险的,一般可能的风险包括停机、应用程序不能正常使用、最严重的情况是系统被破坏无法使用。这些风险一般是由于系统运行状况调查不清导致，也有因为加固方案的代价分析不准确，误操作引起，因此在系统加固前应做好系统备份。应用安全目前***********目前*****************相关应用系统的安全目前往往依赖于基础设施、操作系统、数据库的安全，对于访问用户不同的应用系统，应分别制定相应的安全防护策略。应用系统的基本安全防护主要应该依靠身份鉴别、内部审计和管理策略，实现内部控制的合规性；对于需要对外网开放的应用系统，应在外网增设前置服务器，还需要考虑访问控制和代码安全。针对********网站的应用系统，主要的安全措施有：＞严格的安全审查和测试应用系统＞安全的定义应用系统中软件和硬件的配合＞外网需要访问的应用系统，应采取业务分离方式设置前置机＞制订严格的应用系统安全使用制度＞配置应用系统的安全备份系统，特别是数据库系统＞制订应用系统的应急响应制度，和配置响应的安全人员＞对不同的数据接口处采用入侵监测和身份认证等多方位安全方式所需资源需要用户方提供以下资源、资料及信息：协调各信构企业信用信息管理系统的相关管理人员（或设备供货商、服务商等）作为沟通接口人员（讨论整改思路）。阶段成果在本阶段，******将整理并向用户方提交以下服务资料：✓《信构企业信用信息管理系统安全建设规划方案》附录项目实施内容列表及报价清单信息安全系统规划作业计划表号序评估控制项评估内容评估周期费用（元）工具/作业指导书配合人员备注物理安全（0.5天）1机房机房现场环境检查0.5《物理安全调查表》机房管理员如果有机房建设、验收材料，请

提供。网络安全（2.5天）交换机/路由器交换机/路由器安全配置检查1《网络安全调查表》网络管理员需要协助登录并操作，可提供配置文件《交换机检查表》《路由器检查表》防火墙/VPN/网闸2防火墙安全配置检查0.5《网络安全调查表》安全管理员/网络管理员需要协助登录并操作，可提供配置文件《VPN检查表》《网闸检查表》IPS/IDS/防病毒IPS/IDS/防火墙安全配置检查0.5《网络安全调查表》安全管理员/网络管理员需要协助登录并操作，可提供配置文件《IDS检查表》网络结构边界分析0.5《网络安全调查表》网络管理员提供访问控制策略文件。配合解答评估问题。网络分析对网络结构进行现场排查及分析

主机安全（2天）操作系统3服务器操作系统安全配置检查1.5《主机安全调查表-linux/uniX》《主机安全调查表-windows》《WINDOWS主机评估项》系统管理员需要协助登录并操作数据库系统数据库安全配置检查0.5《Domino数据库核查表》《SQLSERVER数据库核查表》《ORACLE数据库核查表》数据库管理员需要协助登录并操作应用安全（3天）应用系统调研41上应用安全检查业务应用系统安全检查2《应用安全调查表》应用系统管理员、开发人员需要协助登录应用系统并操作演

示应用安全验证测试业务应用系统安全测试（漏洞扫描等）漏洞扫描数据安全（0.5天）5数据安全检查检查系统在数据完整性、保密性、备份恢复等安全功能和配置0.5《数据安全及备份恢复调查表》应用系统管理员、开发人员、数据库管理员需要协助登录并操作演示工具测试（3天）主机系统扫描6主机操作系统扫描1漏洞扫描及渗透测试系统网络管理员、系统管理员、数据库管理员需要将专用扫描设备接入网络数据库系统扫描0.5需要将专用扫描设备接入网络远程渗透性测试网络、应用漏洞扫描1网络管理员、应用管理员从internet网远程接入对应用

进行渗透测试网络、WEB应用攻击渗透测试0.5管理体系检查（2天）安全管理制度7制定、发布、评审、修订等方面2《安全管理制度检查表》文档管理员及相关管理负责人需要收集整理并提供相关管理制度文件、记录。若能提供系统建设时的设计、验收资料也请一并提供。安全管理机构岗位设置、人员配置等方面《安全管理机构》人员安全管理人员录用、离岗、考核等方面《人员安全管理》系统建设、运环境、《系统

维管理资产、变更、备份恢复、安全事件、应急预案建设管理》管理体系执行情况执行记录检查及执行状况访谈《系统运维管理》结果汇总分析及确认（1.5天）数据分析汇总Q1《数据汇总分析表》可能需要进行补充评估8数据确认0.5评估配合人员对分析数据进行确认、补充和说明差距分析报告（6.5天）编写标准符合性分析报告96《等级保护标准符合性分析报告》标准符合性分析报告