全集团化信息安全建设方案

集团化信息安全建设方案经济,已经启动ERP项目,吹响了全面实施信息化管理的号角。企业ERP是一个以管理会计为核心的信息系统，识别和规划企款。换言之，ERP将企业内部所有资源整合在一起，对采购、生达到最正确资源组合，取得最正确效益。ERP系统的合理使用将改变企业运作的面貌,给企业的经营管理带来深刻变革,但与此同时，源管理等诸多核心业务的顺利展开，所以，在持续增强企业ERP某集团领导也充分理解到了在实行信息系统建设的同时,同步建及系统环境，为某集团即将上线的ERP系统保驾护航。对信息系统分级实行保护是国际上通行的做法,我国也已经把等级保护制度列入国务院《关于增强信息安全保障工作的意见》之中，对影响到国家安全、社会稳定、公众利益的重要部门实施强制监管,对信息系统按照重要水准划分不同的安全等级实行安全保护，并制定和发布了一系列相对应的信息安全建设、管理的政策和标准。如何遵照国家的信息安全等级保护制度更为有效地保护重要领域的信息网络,建立安全保障的长效机制将是今后我国信息安全建设的重点。某集团作为我国重点国有企业之一，其信息系统的重要性不言而喻,依据国家等级保护建设的相关要求和规范，结合自身发展要求和业务应用特点，建立一套符合实际的按等级标准实行保护的信息安全体系是必要的，也是必须的。本项目的建设目标是在国家信息系统安全等级保护相关政策和标准的指导下，结合某集团ERP系统的安全需求分析，通过信息安全保障总体规划、信息安全管理体系建设、信息安全技术策略设计以及信息安全产品集成实施等，全面提升某集团ERP系统的安全性，能面对当前和未来一段时期内的安全威胁，实现对全网安全状况的统一管理，更好地保障某集团ERP系统的正常运行，全面提升某集团信息系统的安全保护水平，并达到国家信息安全等级保护相关标准的要求。通过本次项目的实施,将为某集团信息系统构建技术与管理相结合的全方位、多层次、可动态发展的纵深安全防范体系。本项目的设计范围为某集团ERP系统，以集团总部为重点实行建设，并对各分支机构提出建议。基于集团业务的特殊性，其信息安全保障体系的建设，除了要满足系统安全可靠运行的需求,还必须符合国家和行业相关政策和要求。我们国家对信息安全保障工作非常重视，国家相关部门陆续出台了相对应的文件和要求,所以本项目的建设理应遵从国务院、公安部、国资委等相关机构的要求，参考国际、国内、行业信息安全标准和规范，对信息安全保障体系实行全面、深入的规划和设计,确保某集团信息系统安全保障体系建设的先进性和规范化。集团信息安全建设中需遵从的信息安全政策法规包括：《中华人民共和国计算机信息系统安全保护条例》(国务院1994年147号令)《国家信息化领导小组关于增强信息安全保障工作的意见》(中办[2003]27号)《关于信息安全等级保护工作的实施意见》(公通字[2004]66号)见》(公信安[2009]1429号)(公通字[2010]70号)《计算机信息系统安全保护等级划分准则》(GB·《信息安全技术信息系统安全管理要求》(GB/T·《信息安全技术信息系统通用安全技术要求》(GB/T《信息系统等级保护安全设计技术要求》(GB/T某集团ERP系统信息安全建设中可借鉴的其他信息安全标准包GB/T22080-2008(idtISO/IEC27001：2005)《信息技术安全技术信息安全管理体系要求》·GB/T22081-2008(idtISO/IEC27002：2005)《信息技术安全技术信息安全管理实用准则》·ISO/IEC13335《信息技术安全技术信息技术安全管理设计原则种实体和各个环节,使用信息系统工程的观点和方法论实行统一的、整体性的设计，将有限的资源集中解决最紧迫问题，为后继的安全实施提供基础保障，通过逐步实施，来达到信息网络系统的安全强化。从解决主要的问题入手,伴随信息系统应用的展开，逐步提升和完善信息系统的建设,充分利用现有资源实行合理整标准性和规范化原则信息安全保护体系建设理应严格遵循国家和行业相关法律法规和技术规范的要求，从业务、技术、运行管理等方面对项目的整体建设和实施实行设计，充分表达标准化和规范化。重点保护原则根据信息系统的重要水准、业务特点，通过划分不同安全保护等级的信息系统，实现不同强度的安全保护,集中资源优先保护涉及核心业务或关键信息资产的信息系统；本方案在设计中将重点保护某集团总部网络信息系统,防范来自内、外网络的安全威胁。适度安全原则任何信息系统都不能做到绝对的安全，在安全规划过程中，要在安全需求、安全风险和安全成本之间实行平衡和折中，过多的安全要求必将造成安全成本的迅速增加和运行的复杂性。适度安全也是等级保护建设的初衷,所以在实行等级保护设计的据等层面增强防护措施，保障信息系统的机密性、完整性和可用性，另外也要综合成本的角度，针对信息系统的实际风险，提出对应的保护强度,并按照保护强度实行安全防护系统的设计和建设，从而有效控制成本。技术管理并重原则信息安全问题从来就不是单纯的技术问题,把防范黑客入侵和病毒感染理解为信息安全问题的全部是片面的,仅仅通过部署安全产品很难完全覆盖所有的信息安全问题,所以必须要把技术措施和管理措施结合起来，更有效的保障信息系统的整体安全性。先进形和成熟性原则所建设的安全体系理应在设计理念、技术体系、产品选型等方面实现先进性和成熟性的统一。本方案设计采用国际、国内先进实用的安全技术和安全产品,选择当前和未来一定时期内有代表性和先进性的成熟的安全技术，既保证当前系统的高安全可靠，又满足系统在很长生命周期内有持续的可维护和可扩展性。动态调整原则信息安全问题不是静态的。信息系统安全保障体系的设计和建设，必须遵循动态性原则。必须适合持续发展的信息技术和持续改变的脆弱性，必须能够即时地、持续地改进和完善系统的安全保障经济性原则项目设计和建设过程中，将充分利用现有资源，在可用性的前提条件下充分保证系统建设的经济性，提升投资效率，避免重复建信息系统分析是为了确定信息安全体系设计应覆盖的范围,并根据分析结果实行信息系统划分和安全保护级别定义。当前集团信息系统主要分布在北京、上海、兰州、长春、武汉、成都等几个地方，每个地方的信息系统都不是非常的完善，信息化的步伐需要大大增强。当前集团有9个分支机构，集团有三台IBMX系列服务器和一个EMC磁盘阵列。服务器上有集团网站、OA系统、用友U8财务系统、久琪预算系统。当前,集团先后建立办公OA、预算系统、邮件系统、生产系统、财务系统等多个信息化应用系统。这些系统对于一个集团公司的发展来说，远远不够。信息系统定级是等级保护工作的首要环节,是展开信息系统安全息安全等级保护管理办法》,信息系统的安全保护等级理应根据信息系统在国家安全、经济建设、社会生活中的重要水准，信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害水准等因素确定。安全需求的主要依据是合规性要求分析和安全风险评估,通过度析国家等级保护标准要求确定基本安全需求,同时通过度析信息系统自身可能存有的安全风险对基本需求实行特殊/额外需求的必要补充，形成最终的安全建设需求。等保合规性需求分析的目标是根据信息系统的安全保护等级,判断信息系统现有的安全保护水平与国家等级保护管理规范和技集团ERP系统为一个新建系统，尚未实行安全建设，所以无法团ERP系统安全建设的基本需求。在此基础上，结合对已知安GB/T22239-2008《信息系统安全等级保护基本要求》(以下简称《基本要求》)。全管理机构、人员安全管理、系统建设管理和系统运行维护管理技术要求主要包括身份鉴别、自主访问控制、强制访问控制、安全审计、完整性和保密性保护、边界防护、恶意代码防范、密码技术应用等，以及物理环境和设施安全保护要求。技术类安全要求与信息系统提供的技术安全机制相关,主要通过在信息系统中部署软硬件并准确配置其安全功能来实现。根据保护侧重点的不同,技术类安全要求进一步细分为信息安全类要求(简记为S)、服务保证类要求(简记为A和通用安全保护类要求(简记为G)。信息安全类要求是指保护数据在存储、传输、处理过程中不被泄漏、破坏和免受未授权的修改；服务保证类要求是指保护系统连续正常的运行，免受对系统的未授权修改、破坏而导致系统不可用。技术要求整体框架如下列图所示：管理要求主要包括确定安全策略，落实信息安全责任制，建立安全组织机构，增强人员管理、系统建设和运行维护的安全管理。管理类安全要求与信息系统中各种角色参与的活动相关,主要通过控制各种角色的活动，从政策、制度、规范、流程以及记录等方面做出规定来实现。在管理要求中提出了机房安全管理、网络安全管理、系统运行维护管理、系统安全风险管理、资产和设备管理、数据及信息安全管理、用户管理、安全监测、备份与恢复管理、应急处置管理、密码管理、安全审计管理等基本安全管理制度要求,提出了建立岗位和人员管理制度、安全教育培训制度、安全建设整改的监理制度、自行检查制度等要求。管理要求整体框架如下列图所示：因为信息系统分为五个安全保护等级,其安全保护水平逐级增高，着信息系统安全级别提升，安全要求的项数增加；二是随着信息系统安全级别的提升，同一项安全要求的强度有所增加。例如，三级信息系统基本要求是在二级基本要求的基础上,在技术方面增加了网络恶意代码防范、剩余信息保护、抗抵赖等三项要求。同时，对身份鉴别、访问控制、安全审计、数据完整性及保密性方面的要求在强度上有所增加；在管理方面增加了监控管理和安全管理中心等两项要求，同时对安全管理制度评审、人员安全和系统建设过程管理提出了进一步要求。下面我们将主要参考《基本要求》中的第三级技术要求，提出某集团ERP系统符合等级保护要求的基本技术需求。1、物理访问控制重要区域应配置电子门禁系统，控制、鉴别和记录进入的人员。2、防盗窃和防破坏应利用光、电等技术设置机房防盗报警系统；应对机房设置监控报警系统。应设置防雷保安器，防止感应雷。机房应设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火；机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材机房应采取区域隔离防火措施，将重要设备与其他设备隔离开。8、电力供给应在机房供电线路上配置稳压器和过电压防护设备;应提供短期的备用电力供给,至少满足主要设备在断电情况下的正常运行要求；需由专业安全服务人员根据相关要求对网络结构和网络设备进行安全评估，并根据需要实行适当加固和提供整改建议。应保证主要网络设备的业务处理水平和网络链路的传输带宽具备冗余空间，满足业务高峰期需要。应按照业务类型、重要水准等对网络实行安全域划分，对重要的安全域与其他网段、外部网络之间需采取可靠的技术隔离手段。应按照对业务服务的重要次序来指定带宽分配优先级别,保证在网络发生拥堵的时候优先保证重要主机的通信带宽。应在网络边界部署具有会话状态检测功能的访问控制设备,控制粒度为端口级，可控制单个用户对受控系统资源的访问，并能对进出网络的信息内容实行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制。应限制网络最大流量数及网络连接数。重要网段应采取技术手段防止地址欺骗。需要部署非法接入监控系统和非法外联监控系统,对非授权设备私自联到内部网络或内部网络用户私自联到外部网络的行为进6、入侵防范需要在网络边界部署网络入侵检测机制,对进出边界的网络数据需要在网络边界部署网关级的病毒过滤系统,对恶意代码实行检需要部署双因素身份认证系统对网络管理员实行身份鉴别,身需由专业安全服务人员根据相关要求对主机操作系统和数据库2、身份鉴别(S)需要部署双因素身份认证系统对操作系统和数据库系统的管理3、访问控制(S)4、安全审计5、入侵防范需要在重要服务器上部署入