等级保护安全设计方案

年4月19日等级保护安全设计方案文档仅供参考等级保护安全设计方案■文档编号■密级商业机密■版本编号■日期

目录TOC\h\z\t"附录1(绿盟科技),1,附录2(绿盟科技),2,附录3(绿盟科技),3,附录4(绿盟科技),4,标题1(绿盟科技),1,标题2(绿盟科技),2,标题3(绿盟科技),3"一.前言 1二.概述 12.1项目目标 12.2设计原则 22.3依据标准 42.3.1主要依据标准 42.3.2辅助参考标准 4三.安全现状、风险与需求分析 53.1安全现状分析 53.2安全需求分析 73.2.1系统间互联安全需求分析 73.2.2XX大厦信息系统安全需求分析 83.2.3投资广场信息系统安全需求分析 93.2.4XX大厦信息系统安全需求分析 10四.方案总体设计 114.1总体安全设计目标 114.2总体安全技术框架 114.2.1分区分域建设原则 114.2.2一个中心三重防护的安全保障体系 124.2.3安全防护设计 13五.等级保护详细安全建设方案 145.1技术建设 145.1.1网络安全建设 155.1.2主机及应用系统安全建设 205.1.3数据安全及备份恢复建设 25前言随着中国信息化建设的不断深入,我们对信息系统的依赖越来越强,国家信息基础设施和重要信息系统能否安全正常地运行直接关系到国家安全、经济命脉、社会秩序,信息系统安全问题已经被提到关系国家安全和国家主权的战略性高度,已引起各界的关注。由于信息系统的安全保障体系建设是一个极为复杂的工作,为信息系统组织设计一套完整和有效的安全体系一直是个很大的难题。行业性机构、企事业单位的信息系统应用众多,结构复杂,覆盖地域广阔,涉及的行政部门和人员众多,建设起来困难重重,中国多数信息系统安全一直停留在网络安全阶段。为了保障中国现代化建设的有序进行,必须加强中国的信息系统安全体系建设。信息系统与社会组织体系是具有对应关系的,而这些组织体系是分层次和级别的,因此各种信息系统是具有不同等级的重要性和社会、经济价值的。对信息系统的基础资源和信息资源的价值大小、用户访问权限的大小、大系统中各子系统的重要程度进行区别对待就是级别的客观要求。信息安全必须符合这些客观要求,这就需要对信息系统进行分级、分区域、分阶段进行保护,这是做好国家信息安全的必要条件。概述项目目标根据对XXXX运行监控系统的了解,并结合国家的相关政策标准,XXXX运行监控系统的信息安全建设应落实<关于信息安全等级保护工作的实施意见>(公通字【】66号)和<关于开展信息系统安全等级保护基础调查工作的通知>(公信安【】1431号),实施符合国家标准的安全等级保护体系建设,经过对XXXX运行监控系统的安全等级划分,合理调配XXXX运行监控系统的资源、信息科技资源、业务骨干资源等,重点确保XXXX运行监控系统的核心信息资产的安全性,从而使重要信息系统的安全威胁最小化,达到XXXX运行监控系统信息安全投入的最优化。实现信息资源的机密、完整、可用、不可抵赖和可审计性,基本做到”进不来、拿不走、改不了、看不懂、跑不了、可审计、打不垮”,具体目标是:并协助完成如下任务:1、定级:根据国家等级保护的要求,对XXXX运行监控系统提出合理的定级建议,组织专家评审定级是否合理,协助甲方完成定级工作;2、评估:XXXX运行监控系统等级保护工作不是在原有网络基础之上进行整改,而是根据业务信息系统的需要全新构建一个安全的业务系统平台。在对XXXX运行监控系统信息系统建设需求进行调研、分析的基础上,按照等级保护二级的建设要求,以系统为单位进行安全风险评估,找出目标系统技术环节及管理环节的不足以及面临的威胁,出具安全风险评估报告并提出安全加固建议;3、方案设计与评审:结合等级保护的技术和管理要求,提交XXXX运行监控系统的安全设计方案。召开项目成果专家验收评审会,XXXX运行监控系统的安全设计方案进行评审。4、成果输出:后期建设期间,提供咨询和支持,协助客户和集成商最终完成等级保护测评。5、辅助测评:在第三方测评的前期准备,中期过程支持,后期遗漏修补,以帮助客户测评合格。设计原则根据本次项目的目标,本项目应当遵循以下项目原则:一、符合性原则符合国家等级保护的相关标准、管理文件和流程要求;二、规范性原则工作中的过程文档和最终文档,具有很好的规范性,能够便于项目的跟踪和控制;三、最小影响原则评估工作尽可能小的影响系统和网络的正常运行,不能对现网的运行和业务的正常提供产生显著影响(包括系统性能明显下降、网络拥塞、服务中断等);四、连续性原则网络平台在进行网络设计时,不但需要满足当前的需求,还要考虑到技术的发展,具备适度的前瞻性,能够满足现今和将来一段时期的需要。同时还要为未来系统的扩充与扩建留有余地和基础。既要考虑原有投资的保护,又要兼顾未来的发展和变化。本原则的贯彻主要体现在网络系统设计和应用系统设计方面。五、实用性原则实用性的原则的目的是在保证实用要求和技术可行性的前提下,要选择易于操作和管理,应用见效快的技术和方案,以及适当档次和价格的设备。这主要指:”从实际出发,讲求实效”,在通讯网络平台的设计中,首先要考虑的是实用性和易于操作性,确保使用技术成熟的网络设备和通信技术,同时要考虑对现有设备和资源的充分利用,保护原有的投资。六、先进性原则为了保证建设后的系统能在今后的一段时间内能够适应新出现的应用,将整个网络系统的技术水平定位于一个较高的层次上,从而保证系统的先进性,以适应新世纪的发展需要。七、可扩展性原则可扩充性和可延展性主要包括两个方面的内容:一是为网络将扩充新的节点和新的分支预先作好硬件、软件和管理接口。二是网络必须具有升级能力,能够适应网络新技术发展的要求。八、可靠性原则鉴于通讯网络规模较大,数据类型复杂,要求网络系统必须具有较高的可靠性,和良好的网络管理能力,要充分考虑设备、线路和网络设计的冗余备份,网络模块要能够热插拔,以便在线更换和扩充。另外,通讯网络系统较大,应能对其进行有效的管理与维护。九、安全性原则在系统建设中,安全性原则应在各个方面予以高度重视,计算机网络的建设也不能例外,特别是网络中和其它不可信网络进行了连接,有可能会发生这样那样的蓄意破坏事件,威胁到网络的可靠安全运行。因此在网络系统设计和实施等各个环节将严格遵循这项原则。在设计上采用恰当的技术手段为系统提供保护、监视、审计等手段。十、标准化、规范化方案所采用的技术和设备材料等,都必须符合相应的国际标准或国家标准,或者符合相关系统内部的相应规范。便于系统的升级、扩充,以及与其它系统或厂家的设备的互连、互通。依据标准XXXX运行监控系统属于国家信息建设的组成部分,其信息安全保障体系的建设必须要符合国家相关法律和要求,中国对信息安全保障工作的要求非常重视,国家相关监管部门也陆续出台了相应的文件和要求,从标准化的角度,XXXX运行监控系统的安全规划应参考以下的政策和标准:主要依据标准在本次安全策略开发中,依据的主要标准以等级保护为主,具体标准如下:<证券期货业信息系统安全等级保护基本要求>(送审稿)<信息系统安全等级保护基本要求>(GB/T22239-)<计算机信息系统安全保护等级划分准则>(GB17859-1999)<信息系统安全保护等级定级指南>(GB/T22240-)<信息系统等级保护安全设计技术要求><信息安全等级保护实施指南><信息安全技术网络基础安全技术要求>(GB/T20270-)<信息安全技术信息系统通用安全技术要求>(GB/T20271-)<信息安全技术操作系统安全技术要求>(GB/T20272-)<信息安全技术数据库管理系统通用安全技术要求>(GB/T20273-)<信息安全技术信息系统安全等级保护基本模型>(GA/T709-)辅助参考标准ISO27000<关于开展信息安全风险评估工作的意见>1月国家网络与信息安全协调小组<关于印发<信息安全风险评估指南>的通知>2月国信办(国信办综[]9号)IATF:<信息保障技术框架>。由美国国家安全局组织编写,为信息与信息基础设施的安全建设提供了技术指南。ISO/IEC15408(CC):<信息技术安全评估准则>。该标准历经数年完成,提出了新的安全模型,是很多信息安全理论的基础。安全现状、风险与需求分析安全现状分析说明:此拓扑为逻辑拓扑图,接口和系统为逻辑接口和逻辑系统模型,如有与实际情况不符的地方可修改。现状说明:系统的数据仓库专用网在XX大厦,本系统的数据对外交换平台,也是整个系统的中枢环节。XX大厦的数据仓库专用网包括五个对外的逻辑接口。接口1主要接收来自上交所、深交所、中登总部主机、期货保证金监控中心、投保基金的数据;接口2接收来自互联网供应商的数据;接口3主要接收来自人民银行、外管局、发改委、统计局的数据;接口4主要与投资广场进行数据交互;接口5主要与XX大厦进行数据交互。系统内部还包括WEB/APP、数据库服务器、磁盘阵列等。投资广场的系统开发人员和运维人员主要负责数据仓库专用网的开发和运维工作,在投资广场包括两个接口,接口1主要负责与XX大厦进行数据交互;接口2为互联网接口连接Internet,与内网系统物理隔离。XX大厦经过接口1与XX大厦进行数据交互,用户终端和管理服务器对数据监控和管理。而且经过手工导入的方式向会内网导入一些会内网需要的数据信息。安全技术需求分析主机安全需求分析身份鉴别需要对整个XXXX运行监测系统的终端和服务器进行安全配置或部署安全产品,使操作系统和数据库系统的用户名不能相同且用户口令或密码具有不被仿冒的特点,满足密码复杂性要求并定期对口令或密码进行更换;当用户口令或密码输入错误达到一定数量需要采取一定的限制措施;远程管理时需要防止鉴别信息被窃听。访问控制需要对XXXX运行监测系统的终端和服务器进行安全配置,删除多余的账号;实现操作系统与数据库系统账户的权限分离;限制默认账户的访问权限。安全审计需要经过对XXXX运行监测系统的终端和服务器启用审计功能或部署安全产品,对重要用户的行为和系统的运行状况进行审计且应保障审计系统被恶意的删除、修改或覆盖;审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等。入侵防范需要经过对XXXX运行监测系统的终端和服务器进行安全配置,保证其满足最小安装原则,仅安装业务所需的软件程序;经过安全配置或部署安全产品进行补丁的更新。恶意代码防范需要经过在XXXX运行监测系统的终端和服务器部署安全软件的方式,实现恶意代码的防范,安全软件应当支持统一管理。资源控制需要经过对XXXX运行监测系统的终端和服务器进行安全配置,实现登陆操作系统超时锁定和设定用户对系统资源的使用限额;经过部署安全产品的方式限制终端登陆方式。应用安全需求分析身份鉴别XXXX运行监测系统的各应用模块需要提供身份鉴别功能,而且经过应用模块或者部署安全产品实现用户身份标识唯一化控制,提供登录失败处理功能,可采取结束会话、限制非法登录次数和自动退出等措施。访问控制经过对XXXX运行监测系统的各应用模块的配置或经过部署安全产品,控制用户对文件或表单等的访问,设置用户业务所需的最小权限并限制默认用户的访问权限。安全审计经过对XXXX运行监测系统的各应用模块的配置或经过部署安全产品,对用户的关键性动作进行审计,审计信息事件日期、时间、发起者信息、类型、描述和结果等内容,并保证审计信息不能随意的添加、删除、修改和覆盖。通信完整性经过在XXXX运行监测系统部署安全产品实现,XX大厦与上交所、深交所、中登主机、期货监控、投保基金,XX大厦与投资广场、XX大厦等在进行数据交换过程数据的完整性保护。通信保密性经过在XXXX运行监测系统部署安全产品对传输数据进行加密实现,XX大厦与上交所、深交所、中登主机、期货监控、投保基金,XX大厦与投资广场、XX大厦等在进行数据交换过程数据的保密性保护。软禁容错XXXX运行监测系统各应用模块的开发要满足容错的要求,提供数据有效性检验功能,保证经过人机接口输入或经过通信接口输入的数据格式或长度符合系统设定要求;在软件故障发生时,应用系统应能够继续提供一部分功能,确保能够实施必要的措施。资源控制资本运行监测系统经过自身开发或者部署安全产品,对用户访问资源的情况进行限制,对系统的最大并发连接进行限制,应用系统的通信双方中的一方在一段时间内未作任何响应,另一方应能够自动结束会话。数据安全及备份恢复数据完整性保护经过在XXXX运行监测系统部署安全产品或经过应用软件的开发,保护数据在传输过程中完整性不遭到随意破坏。数据保密性保护经过在XXXX运行监测系统部署安全产品或经过应用软件的开发,对鉴别信息进行保密性保护。备份和恢复XXXX运行监测系统经过备份恢复的机制,对于重要数据要每天进行备份,而且定期进行恢复检测;关键设备要有备机、备件,通信链路也要有冗余机制。安全管理需求分析安全管理制度为保障资本运行监测系统安全运行,应当有专门的部门和人员负责安全管理制度的制定,说明机构安全工作的总体目标、范围、原则和安全框架等;并对管理制度进行评审和修订。安全管理机构为保障资本运行监测系统安全运行,应设立专门的安全管理机构,并对岗位设置、人员配备、授权和审批、沟通和合作、审核和检查等方面进行管理和规范。人员安全管理为保障资本运行监测系统安全运行,应制定人员安全管理规定,在人员录用、人员离岗、人员考核、安全意识教育和培训、外部人员访问管理等方面制定相应的管理办法。系统建设管理为保障资本运行监测系统安全运行,在系统定级、安全方案设计、产品采购和使用、自行软件开发、外包软件开发、工程实施、测试验收、系统交付、安全服务上选择等系统建设管理方面要制定相应的管理制度和手段。系统运维管理为保障资本运行监测系统安全运行,在系统运维过程中要有环境管理、资产管理、介质管理、网络安全管理、系统安全管理、恶意代码防范管理、密码管理、变更管理、备份与恢复管理、安全事件处理、应急预案管理等管理制度和规定。方案总体设计总体安全设计目标经过分区分域的安全建设原则,根据XXXX运行监控系统业务流的特点,将整个信息系统进行区域划分,突出了安全建设的重点,而且为”一个中心,三重防护”的安全保障体系提供了清晰的脉络,针对重点区域部署相对应的安全产品,达到等级保护要求的标准。总体安全技术框架分区分域建设原则安全访问控制的前提是必须合理地分区分域,经过划分安全域的方法,将信息系统按照业务流程的不同层面划分为不同的安全域,各个安全域内部又能够根据功能模块划分为不同的安全子域,安全域之间的隔离与控制经过部署不同类型和功能的安全防护设备和产品,从而形成相辅相成的多层次立体防护体系。经过对系统的分区分域,不但使网络结构清晰,而且防护重点明确,从而实现信息系统的结构化安全保护。对于信息系统,分区分域的过程应遵循以下基本原则:等级保护的符合性原则:对此模拟平台的搭建要符合等级保护相关标准的”一个中心、三重防护”的要求。业务保障原则:分区分域方法的根本目标是能够更好的保障网络上承载的业务,在保证安全的同时,还要保证业务的正常运行和效率;结构简化原则:分区分域方法的直接目的和效果是将信息(应用)系统整个网络变得更加简单,简单的逻辑结构便于设计防护体系。比如,分区分域并不是粒度越细越好,区域数量过多,过杂可能会导致安全管理过于复杂和困难;立体协防原则:分区分域的主要对象是信息(应用)系统对应的网络,在分区分域部署安全设备时,需综合运用身份鉴别、访问控制、安全审计等安全功能实现立体协防;生命周期原则:对于信息(应用)系统的分区分域建设,不但要考虑静态设计,还要考虑变化因素,另外,在分区分域建设和调整过程中要考虑工程化的管理。在遵循以上原则的前提下,对信息系统进行安全区域划分。为了突出重点保护的等级保护原则,根据XXXX运行监控系统的业务信息流的特点,将XXXX运行监控系统进行区域划分。分区分域规划图一个中心三重防护的安全保障体系分区分域的建设原则按照信息系统业务处理过程将系统划分成计算环境、区域边界和通信网络三部分,以计算环境安全为基础对这三部分实施保护,构成由安全管理中心支撑下的计算环境安全、区域边界安全、通信网络安全所组成的三重防护体系结构。安全管理中心实施对计算环境、区域边界和通信网络统一的安全策略管理,确保系统配置完整可信,确定用户操作权限,实施全程审计追踪。从功能上可细分为系统管理、安全管理和审计管理,各管理员职责和权限明确,三权分立,相互制约。计算环境安全是信息系统安全保护的核心和基础。计算环境安全经过终端、服务器操作系统、上层应用系统和数据库的安全机制服务,保障应用业务处理全过程的安全。经过在操作系统核心层和系统层设置以强制访问控制为主体的系统安全机制,形成严密的安全保护环境,经过对用户行为的控制,能够有效防止非授权用户访问和授权用户越权访问,确保信息和信息系统得保密性和完整性,从而为业务应用系统的正常运行和免遭恶意破坏提供支撑和保障。区域边界对进入和流出应用环境的信息流进行安全检查和访问控制,确保不会有违背系统安全策略的信息流经过边界,边界的安全保护和控制是信息系统的第二道安全屏障。通信网络设备经过对通信双方进行可信鉴别验证,建立安全通道,实施传输数据密码保护,确保其在传输过程中不会被窃听、篡改和破坏,是信息系统的第三道安全屏障。安全防护设计安全部署图注:产品部署图为逻辑拓扑图,实际产品部署方式和数量要根据网络系统建设完成后的状况进行修订。XX大厦的计算环境中,测试区和WEB/APP、数数据库服务器分别建立不同的网段进行隔离;在所有主机上部署防病毒软件;服务器都要进行安全配置。区域边界方面,测试区与应用数据区进行数据交换式,要经过防火墙进行隔离;WEB/APP与数据库服务器进行数据交换时,只在核心交换区开放数据交换需要通信的IP和端口;在核心交换区部署网络审计系统,对经过核心交换区的数据进行审计,并对数据库的使用进行审计;在应用数据区前部署IPS,保护重要服务器免受入侵;在在核心交换区部署IDS系统,对网络中的入侵行为进行审计追踪。传输网络方面上交所、深交所、中登主机等于XX大厦通信的数据保密性要求较高,需要经过加密机对数据进行加密处理。XX大厦的计算环境方面,终端和服务器要安装杀毒软件,用户终端需要安装桌面管理系统进行统一管理,服务器需要进行安全配置;用户终端和服务器区分配不同的网段进行隔离,经过交换区进行数据交换。区域边界方面,在交换区部署网络审计系统,对数据流量进行审计核查;在外部边界区部署防火墙。投资广场的计算环境方面,终端和服务器要安装杀毒软件,内部用户终端需要安装桌面管理系统进行统一管理,服务器需要进行安全配置;外部开发人员、内部开发人员和维护人员分配不同的网段进行隔离,经过交换区进行数据交换。在外部边界区部署防火墙;与互联网通信的终端,要和内网用户做完全的物理隔离,而且经过防火墙和内容安全管理系统进行隔离和对网络访问行为进行核查。等级保护详细安全建设方案根据系统总体安全状况与需求分析指标的符合程度,针对信息系统中不符合指标的各个分析对象,如安全控制、管理制度等,提出相应的整改建议和措施,对信息系统的安全防护进行加固,从而保障信息系统运营、使用的安全性和连续性,也为信息系统安全运维及后续等级保护测评做好充分的准备和良好的铺垫。技术建设方案资本运维监控平台信息安全技术建设的核心设计思想是:构建集防护、检测、响应、恢复于一体的安全保障体系。以全面贯彻落实等级保护制度为核心,打造科学实用的信息安全防护能力、安全风险监测能力、应急响应能力和灾难恢复能力,切实保障信息安全。另外,资本运维监控平台信息系统技术层面的设计充分遵从国家特别是公安部等级保护的相关标准要求。按照公安部颁布的<信息系统等级保护定级指南>完成信息系统的定级备案工作、按照<信息系统等级保护技术要求>进行技术保障设计。信息安全技术体系的作用是经过使用安全产品和技术,支撑和实现安全策略,达到信息系统的保密、完整、可用等安全目标。安全技术体系由物理安全、网络安全、主机系统安全、应用安全、数据安全及备份恢复五个部分组成。主机安全建设终端管理系统和杀毒软件终端管理系统经过终端管理系统所提供的安全机制。如经过身份认证机制能够确保非授权用户无法登录服务器,从而保证能够访问服务器的用户是可控的;经过访问控制机制能够限制用户的权限,规定用户能做什么,不能做什么,防止越权访问,确保服务器中的重要数据无法被非法泄露或窃取;经过数据加密保护机制,确保非授权用户无法获取服务器中的的重要数据;经过执行程序真实性和完整性度量,确保服务器操作系统无法被病毒、木马、攻击程序等恶意代码破坏;经过用户行为审计机制,能够防违规行为的抵赖,做到事后追查。杀毒软件查杀整个系统中的各种病毒、木马等恶意代码,而且能够对所有主机的病毒库进行统一升级和管理。【合规性要求】:控制类控制点指标名称措施名称改进动作改进对象主机安全访问控制a应启用访问控制功能,依据安全策略控制用户对资源的访问;访问控制策略安全产品配置操作系统主机安全访问控制b应根据管理用户的角色分配权限,实现管理用户的权限分离,仅授予管理用户所需的最小权限;管理用户权限最小化安全产品配置操作系统主机安全访问控制c应实现操作系统和数据库系统特权用户的权限分离;特权用户权限分离安全产品配置操作系统主机安全访问控制d应严格限制默认帐户的访问权限,重命名系统默认帐户,修改这些帐户的默认口令;限制默认帐户安全产品配置操作系统主机安全访问控制e应及时删除多余的、过期的帐户,避免共享帐户的存在。清理帐户安全产品配置操作系统主机安全入侵防范a应能够检测到对重要服务器进行入侵的行为,能够记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间,并在发生严重入侵事件时提供报警;采购与配置主机入侵检测软件安全产品配置操作系统主机安全入侵防范b应能够对重要程序的完整性进行检测,并在检测到完整性受到破坏后具有恢复的措施;配置主机入侵检测软件的完整性检测和恢复功能安全产品配置操作系统主机安全入侵防范c操作系统应遵循最小安装的原则,仅安装需要的组件和应用程序,并经过设置升级服务器等方式保持系统补丁及时得到更新。主机最小安装安全产品配置操作系统主机安全入侵防范d操作系统应遵循最小安装的原则,仅安装需要的组件和应用程序,并经过设置升级服务器等方式保持系统补丁及时得到更新。设置补丁服务器安全产品配置操作系统控制类控制点指标名称措施名称改进动作改进对象主机安全资源控制a应经过设定终端接入方式、网络地址范围等条件限制终端登录;主机安全配置与加固安全产品配置操作系统主机安全资源控制b应根据安全策略设置登录终端的操作超时锁定;主机安全配置与加固安全产品配置操作系统主机安全资源控制c应对重要服务器进行监视,包括监视服务器的CPU、硬盘、内存、网络等资源的使用情况;采购部署网管监控系统,实现重要服务器监控安全产品配置操作系统主机安全资源控制d应限制单个用户对系统资源的最大或最小使用限度;主机安全配置与加固安全产品配置操作系统主机安全资源控制e应能够对系统的服务水平降低到预先规定的最小值进行检测和报警。配置网管系统的监控与报警,实现服务水平监控安全产品配置操作系统应用安全建设网络安全审计系统对于网络访问的审计已经在网络安全建设中提出了完整地解决方案,先就应用层的安全审计提出具体解决方案。细粒度的网络内容审计:安全审计系统可对网站访问、邮件收发、远程终端访问、数据库访问、论坛发帖等进行关键信息监测、还原;全面的网络行为审计:安全审计系统可对网络行为,如网站访问、邮件收发、数据库访问、远程终端访问、即时通讯、论坛、在线视频、P2P下载、网络游戏等,提供全面的行为监控,方便事后追查取证;综合流量分析:安全审计系统可对网络流量进行综合分析,为网络带宽资源的管理提供可靠策略支持;满足<基本要求>中的控制点控制类控制点指标名称措施名称改进动作改进对象应用安全安全审计a审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户审计数据记录要求采购部署用户行为应用安全安全审计b审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件审计数据记录要求网络审计功能配置用户行为应用安全安全审计c审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等审计数据分析与报表网络审计功能配置用户行为应用安全安全审计d应能够根据记录数据进行分析,并生成审计报表审计数据分析与报表网络审计功能配置用户行为数据安全及备份恢复数据完整性a应能够检测到系统管理数据、鉴别信息和重要业务数据在传输过程中完整性受到破坏,并在检测到完整性错误时采取必要的恢复措施数据完整性检验数据库审计功能配置数据库审计数据安全及备份恢复数据完整性b应能够检测到系统管理数据、鉴别信息和重要业务数据在存储过程中完整性受到破坏,并在检测到完整性错误时采取必要的恢复措施。数据完整性检验数据库审计功能配置数据库审计堡垒主机于传统网络安全审计主要经过旁路镜像或分光方式,分析网络数据包进行审计,导致该系统只能对一些非加密的运维操作协议进行审计,如telnet;却无法对维护人员经常使用的SSH、RDP等加密协议、远程桌面等进行内容审计。集中账号管理:堡垒机建立基于唯一身份标识的全局实名制管理,经过对用户从登录到退出的全程操作行为审计,监控用户对被管理设备的所有敏感关键操作集中访问控制:堡垒机经过集中统一的访问控制和细粒度的命令级授权策略,确保用户拥有的权限是完成任务所需的最小权限。满足<基本要求>中的控制点控制类控制点指标名称措施名称改进动作改进对象网络安全网络设备防护a应对登录网络设备的用户进行身份鉴别;配置登录身份鉴别经过堡垒主机进行强制管理网络设备网络安全网络设备防护b应对网络设备的管理员登录地址进行限制配置登录地址限制经过堡垒主机进行强制管理网络设备网络安全网络设备防护e身份鉴别信息应具有不易被冒用的特点,口令应有复杂度要求并定期更换;配置口令复杂度与更换要求经过堡垒主机进行强制管理网络设备网络安全网络设备防护f应具有登录失败处理功能,可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施配置登录失败处理功能经过堡垒主机进行控制网络设备网络安全网络设备防护g当对网络设备进行远程管理时,应采取必要措施防止信息在网络传输过程中被窃听管理采用SSH等加密方式经过堡垒主机实现网络设备网络安全网络设备防护h应实现设备特权用户的权限分离。用户权限分离经过堡垒主机进行配置网络设备主机安全访问控制e应及时删除多余的、过期的帐户,避免共享帐户的存在。清理帐户经过堡垒主机进行强制管理操作系统与数据库主机安全访问控制b应根据管理用户的角色分配权限,实现管理用户的权限分离,仅授予管理用户所需的最小权限管理用户权限最小化经过堡垒主机进行配置操作系统与数据库主机安全访问控制d应严格限制默认帐户的访问权限,重命名系统默认帐户,修改这些帐户的默认口令限制默认帐户经过堡垒主机进行强制管理操作系统与数据库主机安全资源控制b应根据安全策略设置登录终端的操作超时锁定主机安全配置经过堡垒主机进行配置操作系统数据安全及备份恢复建设数据是资本运维监控平台保护的核心内容。数据的安全防护要求包括机密性、完整性、可用性。机密性则经过加密方式对敏感数据进行加密操作。数据完整性经过数字摘要技术结合应用系统保证数据交换传输过程的完整。数据可用性则经过数据备份冗余操作实现。在分析了应数据安全及备份恢复的需求以后,数据安全及备份恢复层的安全需求能够分为以下几种类型:数据完整性数据保密性备份和恢复数据的保密性和完整性需要经过备份机制来实现,备份机制是针对可能发生的计算机网络与信息系统(重点包括:网站系统、基础物理环境、网络故障、病毒的预案等)突发(灾难)事件进行预先防范安排,经过部署数据备份设备和备份系统来保证安全事件发生时以最快速度做出反应,控制和减轻破坏造成的影响,提高数据的安全性。管理设计方案除了采用信息安全技术措施控制信息安全威胁外,安全管理措施中国证监会XXXX运行监测系统等级保护建设中必不可少的内容,所谓”三分技术,七分管理”就是这个道理。安全技术措施和安全管理措施能够相互补充,共同构建全面、有效的信息安全保障体系。根据<信息系统安全等级保护基本要求>,安全管理体系主要从如下内容考虑:安全管理机构安全管理制度人员安全管理系统建设管理系统运维管理安全管理机构<信息系统安全等级保护基本要求>在岗位设置、人员配备、授权和审批、沟通和合作、审核和检查等方面对安全管理机构提出了具体的要求。针对XXXX运行监测系统应该建立专门的安全职能部门,配备专门的安全管理人员,管理应用系统的信息安全管理工作,同时对安全管理人员的活动进行指导。安全管理制度<信息系统安全等级保护基本要求>在管理制度、制定和发布、评审和修订等三个方面对安全管理制度提出了要求。中国证监会在XXXX运行监测系统建设过程中应根据实际情况,在系统负责人的领导下,组织相关人员制定和发布相关安全管理制度、安全运维制度和安全操作规程等,并做好相关制度的培训和落实,在系统运行过程中,要定期对相关制度进行评审和修订。人员安全管理人员安全管理要求在人员的录用、离岗、考核、培训以及第三方人员管理上,都要考虑安全因素。人员入职管理:从信息安全角度对在人员录用过程中各流程提出安全需求。人员在职管理:从员工信息安全守则、系统用户信息安全考核、教育培训三个方面提高在职人员的信息安全意识。人员离职管理:分析员工在离职过程中存在的信息安全风险。第三方人员安全管理:对第三方人员进行定义,阐述第三方人员管理中存在的信息安全风险,并需要采取的管理方法。系统建设管理<信息系统安全等级保护基本要求>在系统建设管理阶段针对系统定级、安全方案设计、产品采购、自行软件开发、外包软件开发、工程实施、测试验收、系统交付、系统备案、安全测评、安全服务商选择等等方面提出了具体的要求。当前,系统定级、系统备案的工作已经或即将完成。工程实施、测试验收、系统交付等方面需要在产品购买后进行。而其它的一些方面,如自行软件开发、外包软件开发等,这里不涉及。在安全服务商选择方面,我们建议系统的相关领导,选择有实力,有信誉的专业安全服务厂商。关于安全方案的设计,请详见本文<安全技术体系建设>章节。系统运维管理<信息系统安全等级保护基本要求>在环境管理、资产管理、介质管理、设备管理、监控管理、网络安全管理、系统安全管理、恶意代码防范管理、密码管理、变更管理、备份与恢复管理、安全事件处理、应急预案管理等13个方面对系统运维管理进行了详细的要求,是等级保护管理体系建设最为重要的部分。系统运维管理方面,本方案建议经过内部管理人员维护和采用专业安全厂商的安全服务相结合的方式来实现。在一定程度上说,安全服务是一种专业经验服务。安全服务提供商长期的服务经验积累、对行业的深刻理解、处理安全问题(事件)的最佳做法、科学的安全思维方式、正确的安全思维方法都是为用户提供完善安全解决方案的动力来源。针对以上五个方面的管理合规性建设,建议考虑在系统建设过程中,首先考虑制订和完善信息安全管理制度,达到合规性的要求,再逐步不断完善和落实安全这些管理制度,并不断完善和修订,建议建设完善以下管理制度。文档编号名称主要内容信息安全策略MAN-001中国证监会XXX机构信息安全策略本文档是一个总体的策略性架构文件,作为各个分项安全制度设计的指导文件RM-002中国中国证监会XXX机构风险管理策略本文档规定了中国证监会XXX机构采用的信息安全风险管理方法和过程,经过识别风险分析和控制措施实施将信息安全风险控制在可接受的水平,保持业务持续性发展,以满足信息安全管理的要求。信息安全组织ORG-001中国证监会XXX机构安全管理组织架构本文档明确信息安全管理体系的组织,对信息相关人员职责进行规范。ORG-002中国证监会XXX机构系统运维岗位职责本文档说明了信息安全管理组织内部各角色的定义,角色日常工作职责,日常活动的授权和审批要求。资产管理ASS-001中国证监会XXX机构资产分类与分级管理规范本文档说明了有效管理和正确识别中国证监会XXX机构的各种信息资产,提供统一的分类分级方法和编号原则ASS-002中国证监会XXX机构移动介质管理规定本文档说明了如何对介质进行管理,包括介质的定义、使用、维护和销毁管理。ASS-003中国证监会XXX机构办公电脑管理办法本文档说明了办公电脑的分类、领用、更换、归还、维护和外来人员电脑的管理规范。ASS-004中国证监会XXX机构邮件系统使用规范本文档说明了邮件系统的使用规范和运行维护职责等内容。ASS-005中国证监会XXX机构秘密保护管理规定本文档说明了泄密危害级别、秘密等级、秘密标识、定级管理、授权管理等相关内容ASS-006中国证监会XXX机构资产转移管理规范本文档针对设备、信息或软件在授权之前带出和转移场所提供相关管理规定人力资源安全HR-001中国证监会XXX机构安全岗位管理规定本文档员工的岗位管理制度,包括定岗、招聘、入职、岗位变动、离职等。HR-002中国证监会XXX机构信息安全培训管理制度本文档说明了职责要求、培训要求、培训组织、培训项目和考核方式。HR-003中国证监会XXX机构信息安全违规处罚制度本文档对违反相关信息安全管理制度,未按照相关规范或流程操作的责任人,进行处罚的相关规定。物理与环境P&E-001中国证监会XXX机构机房安全管理制度本文档说明了机房安全管理要求,如机房建设要求、机房环境、机房工作制度和机房巡检制度等。P&E-002中国证监会XXX机构重点部委管理规定本文档说明了重点部位的环境、进入等管理规定。P&E-003中国证监会XXX机构机房与监控室参观规定本文档说明了机房、监控室等保密部位的参观规定P&E-004中国证监会XXX机构办公区安全管理制度本文档说明了办公区域的防火、出入、安全保密、安全检查等规定。通信与操作C&O-001中国证监会XXX机构计算机病毒与移动代码防护管理制度本文档说明了中国证监会XXX机构防病毒体系建立、防病毒日常管理、应急出来等相关制度。C&O-002中国证监会XXX机构数据备份与恢复管理制度本文档说明了中国证监会XXX机构网络设备、操作系统系统数据及业务系统的核心业务数据的备份与恢复管理。C&O-003中国证监会XXX机构数据中心平台系统维护程序本文档对数据中心平台系统的维护提供简要说明C&O-004中国证监会XXX机构系统安全系统运行维护程序本文档对安全系统的维护工作内容和流程提供简要说明C&O-005中国证监会XXX机构核心交换机(服务器)维护程序本文档核心交换机(服务器)的维护工作内容和流程提供简要说明C&O-006中国证监会XXX机构备份介质安全管理规定本文档对各类备份介质的管理进行说明,防止介质被破坏和被盗、被毁及信息的非法泄露C&O-007中国证监会XXX机构供应商管理规范本文档规范第三方(如供应商)在拜访组织办公场所的工作行为,以及规范供应商在交付服务时的项目验收以及监督等环节的行为,有效的规范对包括供应商等在内第三方在与系统有业务交互时的权力义务以及行为准则C&O-008中国证监会XXX机构信息交换安全管理规定本文档是对各类信息和软件在组织内以及与外部组织交换过程中的安全管理,防止在交换过程中被非法窃取、篡改以及交换后对行为的抵赖访问控制ACL-001中国证监会XXX机构设备入网管理规范本文档对设备入网工作流程进行规范ACL-002中国证监会XXX机构口令管理规定本文档对帐号口令的注册、生成、保存、使用、更换、密钥等的管理进行规范ACL-003中国证监会XXX机构第三方人员计算机接入管理制度本文档对第三方接入的要求和流程进行管理ACL-004中国证监会XXX机构安全审计制度本文档规定了安全审计的内容、审计工具、审计流程和审计记录保护等。ACL-005中国证监会XXX机构数据库权限管理规定本文档主要说明了中心数据库的权限管理规定。ACL-006中国证监会XXX机构移动计算和通信设施使用规定本文档说明了对移动计算与通信设施(笔记本电脑、掌上电脑、移动电话等)的安全管理规定。ACL-007中国证监会XXX机构无人值守设备管理规定本文档对个人办公电脑、打印机、复印机等设备在办公室、会议室或控制的区域外等位置处于无人值守状态时的安全保护措施进行规定。ACL-008中国证监会XXX机构互联网使用管理规定本文档用于规范中国证监会XXX机构对互联网的安全使用。ACL-009中国证监会XXX机构日常监控管理制度本文档主要用于加强对网络设备、主机操作系统、数据库系统和应用系统日志以及系统运行状况的安全监控管理,在信息安全事件爆发的第一时间能够及时发现并为迅速响应提供记录及技术数据。信息系统获取、开发和维护ISADM-001中国证监会XXX机构网络安全管理制度本文档说明了在网络规划、建设、调整、废弃等各阶段的安全保障要求。ISADM-002中国证监会XXX机构系统安全管理制度本文档说明了服务器、应用系统、操作系统等系统在规划、建设、调整、变更、废弃等各阶段的安全保障要求ISADM-003中国证监会XXX机构信息安全测试规范本文档说明了常规信息安全检查、渗透测试、日常出口检查等相关工作规范,如信息安全常规检查、渗透测试、端口检查等。ISADM-004中国证监会XXX机构项目验收管理规范本文档说明了信息系统项目验收方面的管理要求信息安全事件管理SIM-001中国证监会XXX机构信息安全事件与脆弱性报告和处理制度本文档说明了信息安全事件定义、分类、分级,明确安全事件报告责任和流程等内容SIM-002中国证监会XXX机构信息安全事件应急预案本文档主要内容是中国证监会XXX机构总体和专项应急预案,规范了信息安全事件应急工作机制和应急处理流程。业务连续性管理BCM-001中国证监会XXX机构业务连续性管理制度本文档用于说明中国证监会XXX机构业务连续性计划和灾难恢复计划等相关内容。BCM-002中国证监会XXX机构业务影响分析主要说明关键业务活动影响、业务恢复目标、业务恢复所需资源等相关内容。符合性管理COM-001中国证监会XXX机构知识产权保护规范对第三方技术、软件等的使用进行管理,确保在使用具有知识产权的材料和具有所有权的软件产品时,符合法律、法规和合同的要求。安全意识及安全技术培训如果要使等级保护工作顺利展开,对各层面用户加强宣贯培训,使她们了解等级保护工作,提升安全意识和技能,这点是非常重要的。XX科技作为安全服务产品提供商,经过长期对等级保护文件、标准的跟踪和研究以及多个等级保护建设项目实施,积累了丰富的等级保护体系设计和建立的实践经验,总结了一套等级保护工作具体落地的实施方法。同时在系统建设和运维过程中,需要安全技术人员和安全管理人员能充分了解当前安全领域的相关动态和知识,提高安全意识,掌握安全技术,在日常运维工作中能及时处理安全事件,保障系统安全。本方案建议为中国证监会XXXX运行监测系统的相关人员提供如下三类的信息安全培训课程:等级保护合规培训:经过详细介绍系列等级保护相关制度规范,同时结合国际国内其它相关制度规范的讲解,使相关人员能充分认识到信息安全的重要性,已经信息安全的合规要求。信息安全意识培训:面向非技术类用户。目的是经过大量的当前典型安全事件导入,从感性认知层面对当前的信息安全威胁给予直观、形象的描述,使用户能对当前的信息安全威胁有一个深刻的认识。同时经过案例介绍的方式对用户日常工作、生活中经常见到的一些客户端应用工具、系统的安全威胁进行分析,并阐明具体的防范措施,最终协助建立起适合个人、企业的用户行为基准。信息安全技术培训:面向信息安全技术类用户,例如系统管理员、安全技术员等。目的是经过培训让其在系统及应用层面上了解常见通用操作系统架构以及其安全性,掌握相关系统的安全配置和管理能力;在网络层面上了解常见的网络安全协议掌握网络安全协议以及路由交换常见安全配置;同时经过实验了解常见的网络攻击技术原理,掌握常见的攻击防护方法。以下为培训课程内容示例。安全培训内容序号培训名称培训内容简单描述等级保护合规培训1等级保护制度培训介绍等级保护理论框架、重要等级保护相关制度介绍、国内外等级化安全建设的演变、等级保护制度与其它信息安全制度的关系等。2信息安全管理体系培训介绍信息安全管理体系的主要国内国际标准、信息安全管理体系框架和内容,信息安全管理体系建设的最佳实践等内容。日常运维方面培训课程3安全系统整体日常运维培训经过实际案例和安全事件,表述信息安全对于个人生活、工作、学习无处不在的事实,同时阐明安全问题并非孤立、遥远的技术,在此基础上按照一般的安全技术的划分深入浅出地描述信息安全所包含的各个领域,以及这些领域和日常工作、生活的密切联系,对常见客户端应用工具/系统的安全问题进行分析,采用实证方式阐明OE、IE、Foxmail、MSN/QQ、P2P工具等的安全设置,对Windows操作系统存在的安全问题进行叙述和演示。同时,就日益猖獗的病毒、木马等威胁进行必要的描述,并阐明具体的防范措施,最终协助建立起适合个人、企业的用户行为基准。4安全系统故障应急处理培训本讲从将结合应急响应演练,经过多个应急响应经典案例,对应急响应预案等核心步骤进行清晰的分析和描述,而且对在多个系统上对入侵痕迹的调查,易消失证据的获取进行详解介绍和演示安全管理方面培训课程5信息安全事件以及安全威胁培训经过大量典型的安全事件导入,反映当前安全形势的极端恶化,从感性认识层面对安全威胁给予直观、形象的描述,并形成一定的安全现象/知识冲击结果,分析、强调漠视信息安全的严重后果,以及安全威胁的发展趋势:速度更快、范围更广、影响更深刻。6系统使用人员的安全意识培训从ISO7498-2模型出发,结合CBK领域、BS7799领域划分,对信息安全中涉及到的标准、协议、技术手段、工具/产品、过程方法等,经过对安全领域和知识的清晰划分和描述,最终能够形成一张信息安全的知识结构图。7信息安全管理人员的防入侵技术提高培训介绍一般的黑客攻击途径,着重描述当前流行的攻击技术和防御手段,从踩点扫描着手,重点分析网络嗅探、病毒与木马攻击、拒绝服务攻击、SQLInjection原理、XSS跨站脚本攻击等,并阐明相应的防御措施,经过一次完整、完美的黑客攻击过程的实践展示,首先对黑客攻击的一般步骤进行分析,阐明黑客攻防的基本思路,并按照步骤顺序对其中涉及到的工具、平台、弱点、手法进行叙述,对黑客的惯常思维方式进行归纳总结。8常见操作系统安全培训从Windows以及Unix的安全结构入手,对windows安全子系统中的重要组件如SAM、LSA、GINA等进行详细分析,分别阐明帐户安全、文件系统安全、注册表安全,对于Windows的常见应用(如IIS、Netbios、TerminalServer等)的安全性加以分析。针对Unix系统,则对帐号安全、文件系统安全、常见应用安全的讨论,强调Unix系统本身安全配置的同时,还将重点描述Unix主要应用服务(Mail、HTTP等)的安全问题。安全服务方案等级保护安全服务内容在本次中国证监会XXXX运行监测系统等级保护服务方案设计中,主要包括以下内容:等级保护合规咨询及规划设计XX科技作为专业的安全服务提供商,基于对信息安全的深刻理解,以为客户信息系统构建”等级化的安全体系”为等级保护工作的服务理念,旨在根据不同用户在等级保护不同等级、不同阶段的业务特性、安全需求及安全应用重点,为用户在等级保护的框架下构建一个安全、可靠、灵活、可持续改进的信息安全体系。等级保护的各个阶段有着不同的工作重点,XX科技将凭借着深厚的技术实力和丰富的安全服务项目经验,针对等级保护各个阶段的工作重点为客户提供全方位的支持和服务。系统上线前安全评估用户在自主开发业务系统或委托开发业务系统时,更多的是从业务功能实现方面对业务系统进行验收,缺乏相应的技术手段和能力对交付的业务系统的安全状况进行检验。如果业务系统在上线后由于存在类似SQL注入、密码明文传输、安全功能缺失等漏洞而遭受攻击,会直接影响正常业务运行,甚至造成经济和名誉的损失,再加上有些漏洞涉及代码改写,考虑到业务连续性的要求,这些漏洞几乎无法得到修复。因此,用户需要一种能够在系统上线前对系统安全状况进行检验的服务,从信息安全的角度对应用系统、集成环境等内容的安全状况进行评估,对发现的问题进行妥善处理,避免将影响系统安全的问题遗留到系统上线后,成为系统安全的隐患。等级保护管理体系建设”三分技术,七分管理”说明了信息安全管理体系在整个信息安全保障体系中的重要地位,等级保护管理要求从人员、制度、流程、培训、运维等多个方面对系统管理合规性提出了要求,安全管理与安全技术不是完全独立的,安全管理应融合到系统的日常运维中,与安全技术体系相互依托、高度融合,更好地发挥技术体系的作用。安全意识及安全技术培训实施中国证监会XXXX运行监测系统的安全建设及安全运维,人才是关键,同时,等级保护制度也对人员安全培训有明确的要求,业务系统建设实质上是信息技术与技术人员工作的结合过程,这就要求系统运维及管理人员必须掌握一定的安全技术知识并深刻理解国家政策要求。针对中国证监会XXXX运行监测系统相关人员的培训包括两大目的:安全意识培训—使从业人员了解安全的意义,能够自觉守法、安全可靠的工作。为了确保用户意识到信息安全的威胁和利害关系,并具有在日常工作过程中支持组织安全方针的能力,应对用户进行安全程序和正确使用信息处理设备的培训,以尽量降低可能的安全风险。b)安全知识培训—使从业人员了解、掌握有关安全理念、安全保障体系、安全功能、安全保证、安全操作、安全关联,为成为合格和称职的运维技术人员和安全工作人员奠定基础。等级保护合规咨询及规划设计针对等级保护,XX科技能够提供全程的等级保护咨询服务,在系统定级阶段、规划设计阶段、实施实现阶段和运行管理阶段,中国证监会XXXX运行监测系统可根据需要选择等级保护咨询服务内容,可提供的服务如下。XX科技信息安全等级保护咨询服务流程系统定级阶段(可选)信息系统安全定级是实施信息系统安全等级保护的基础和前提。等级确定的正确与否,直接关系到信息系统的定位、后续的安全规划、安全建设、安全实施和等级保护工作相关各方的资源投入,因此在定级阶段如何经过对信息系统的调查和分析,科学、合理地划分信息系统的子系统,并依据各种因素确定信息系统的安全保护等级,对整个等级保护工作能否顺利进行至关重要。XX科技在定级阶段将协助用户完成以下工作。等级保护导入培训XX科技作为主要编写单位,参加了多项国家和北京地区的等级保护、风险评估标准制定工作,对标准有着深入的理解。为使客户更深入的了解等级保护标准思想内涵、定级方法和工作思路,XX科技将为客户进行等级保护导入培训,普及等级保护的基础知识。信息系统业务安全性分析经过对信息系统所承载业务及业务流程的分析,分析信息系统内信息资产和信息系统所提供服务的重要性,协助用户判断信息系统中业务信息和所提供的服务机密性、完整性或可用性等安全属性遭到破坏后,对国家安全利益、经济建设、公共利益或单位利益所造成的影响程度。为子系统划分和信息系统定级打下扎实基础。系统划分对于承载多项业务的用户信息系统,XX科技可在深入分析各项业务性质、特点及信息系统的实际情况基础上,对信息系统按业务子系统进行合理划分。系统辅助定级依据<信息系统安全保护等级定级指南>所提出的4个定级要素,灵活运用指南中所提出的确定信息系统安全保护等级的步骤和方法,在信息系统业务安全性分析的基础上,提出等级建议,协助用户进行系统定级。协助用户完成等级备案根据公安部等级保护相关备案要求,协助客户完成等级保护备案工作。规划设计阶段安全规划设计是等级保护实施过程中的另一个重要阶段,安全规划设计阶段的目标是经过等级化风险评估判断信息系统的安全保护现状与国家等级保护基本要求之间的差距,确定安全需求,根据信息系统的子系统划分情况、子系统的定级情况、子系统互联情况、子系统承载业务情况和安全需求等,设计合理的、满足等级保护要求的总体安全方案,并制定出安全实施计划等,以指导后续的信息系统安全建设工程实施。XX科技在安全规划设计阶段将协助用户完成以下工作。系统安全需求导出从本质上说,信息系统承载业务的安全需求是推动等级保护工作向前发展的动力和起因,系统的安全需求应能满足系统承载业务长期、健康、稳定的生存发展,是增强竞争能力和抗风险能力的需要。没有对客户、行业、业务、具体系统的安全需求的详细和准确的分析,不可能获得切合实际的等级保护解决方案。不同信息系统的安全需求是不同的,XX科技的等级保护服务不是僵化套用标准的等级保护服务,而是灵活的,以业务的安全分析为基础,针对不同系统的业务特点、行业特点,从多侧面、多角度入手,全方位的导出信息系统的等级安全需求。导出的安全需求不但将满足当前承载业务的安全要求,而且会充分考虑单位未来可能出现的新需求。等级差距评估(可选)等级化风险评估首先根据系统的安全等级选择和确定系统基本安全要求指标,然后按照安全指标评估系统安全现状,找出系统现状与安全指标之间的差距,并进行额外的风险评估找出系统的一些特定需求。XX科技认为在等级保护工作中,对信息系统的等级评估如果只是简单地套用标准,按标准中描述的相应等级基线的安全技术要求和安全管理要求进行僵化的符合性评估,而不考虑具体信息系统面临的特定的安全威胁和风险,将很难准确评估信息系统的安全状况和与相应等级的差距。XX的等级化风险评估是结合风险评估的方法和理论,围绕着系统所承载的具体业务,经过风险评估的方法评估系统的风险状况,判断系统风险水平是否低于系统可接受的风险水平要求,以及系统的安全措施是否符合相应等级的安全要求两方面条件来判断系统与所定等级的差距。信息系统等级安全规划安全规划的目的是根据等级保护基本安全要求和系统的安全需求,设计系统的整体安全框架,提出系统在总体方面的策略要求、各个子系统应该实现的安全技术措施、安全管理措施等,形成用于指导系统具体安全建设的安全总体方案。等级安全规划是将等级保护基本安全要求和系统的安全需求在信息系统上的落实过程。XX科技的等级安全规划首先根据前期系统安全需求导出和等级化风险评估结果制定系统总体的安全策略,然后依据总体安全策略和等级保护相关要求,设计系统的安全技术框架和安全管理框架,形成系统符合安全等级保护要求,同时满足系统特定安全保护需求的安全总体方案,是在较高层次上形成的信息系统安全要求,包括安全方针和安全策略、安全技术框架和安全管理体系等。安全建设规划安全建设规划的目的是将信息系统安全总体设计规定的内容落实到安全建设项目中。安全建设规划经过对安全项目的相关性、紧迫性、难易程度和预期效果等因素进行分析,确定实施的先后顺序。根据系统的安全总体方案,XX科技将根据信息系统当前的安全状况和安全投入情况,规划信息系统优先需要考虑的安全措施以及近期、中期和长期的安全建设内容,为在一段时间内指导系统安全建设工作提供完备的安全建设规划方案。实施实现阶段等级安全解决方案设计XX科技依靠多年的方案设计经验,将在深入分析系统业务安全需求的基础上,为用户提供并建立一套符合相应等级保护要求的全方位的整体系统安全解决实施方案,方案中不但包括安全技术体系的实施而且包括安全组织体系的设计和安全管理体系的建立。安全技术体系等级建设安全技术实施的活动内容包括安全产品的采购、安全控制的开发以及验收与测试等环节,XX科技将针对系统具体的安全需求,在等级保护前期工作基础上,提供专业的安全技术解决方案,提供包括安全产品选型、产品部署、产品调试配置、安全加固等服务,而且XX科技将站在更高的角度,以一个系统建设者的角度,把信息系统安全建设与信息系统建设过程平滑有机地结合起来。安全管理体系等级建设信息安全管理是改进当前信息系统安全状况的主要保障,不健全的安全管理机制是信息安全最大的薄弱点,也是等级保护的工作重点,相对于安全技术来说,等级保护在安全管理方面所需工作更是任重道远。但安全管理体系绝不是各类安全管理制度的简单叠加,XX科技将以系统用户的角度,以保障系统业务正常运行为出发点,将系统的信息安全管理状况与等级保护管理要求进行深入的差距分析,深入分析现有的系统管理体系和信息安全管理制度,从各个方面协助客户建立与信息系统安全技术和安全运行相适应的完善的符合系统业务特点的信息安全管理体系。协助经过等级测评(可选)XX科技作为国内领先的信息安全服务供应商,在国家等级保护工作中有多年的经验积累,参与了国家等级保护工作的各个阶段,从国家等级保护制度的研究,相关标准文件的制定,到等级保护试点工作,以及等级保护在全国范围的全面开展。在此过程中,XX科技与相关测评机构建立了良好的合作关系,能够更加顺利地保障用户顺利经过等级保护测评,并在后续每年的安全检查中,提供良好的基础支持与咨询服务。整改方案制定与实施(可选)XX将根据等级测评后所暴露的问题,为用户制定整改方案,并对系统进行等级改造。安全岗位培训企业整体的信息安全是要靠组织中的每位员工一起参与的,而当前的实际情况中,普通工作人员往往没有形成与之相适应的安全意识,为提高广大一线员工的安全意识,同时减少企业推广安全策略的过程中不必要的摩擦,XX科技为您提供安全普及培训。该项培训主要目的是普及信息安全的基本知识,提高安全意识。对常见的安全问题进行描述和解决。运行管理阶段(可选)阶段性风险评估信息系统存在的风险不是一成不变的,系统承载业务的变化、面临威胁的变化、系统脆弱性的变化都会使信息系统的风险水平发生改变。为了及时地针对风险的改变调整系统的安全控制措施,使系统的风险始终维持在一个能够接受的水平,满足系统所定等级的安全要求,XX科技向客户提供阶段性的风险评估服务。安全状态监控安全状态监控服务指经过信息共享、安全监控、值守等技术设施,对单位的信息系统运行状态进行监控,及时发现各类信息安全事件并向相关人员发布预警信息,在信息安全事件发生或造成较大危害前及时采取应对措施;安全状态监控服务分为安全状态监控和监控外包两种形式。安全状态监控服务主要经过在客户网络中安装入侵监测系统和经过我们的主动监控系统,对被服务网络的运行情况和遭受攻击的情况进行分析记录和报警。当有危害的攻击行为或网络系统运行异常时,XX科技工程师将根据多种方式通知客户,双方配合解决相应的问题。安全监控外包与状态监控服务内容不同之处在于,客户将需要监控管理的设备,主机的运行管理权限交付给XX科技管理。系统在任何异常行为发生时,XX科技将直接进行处理。这种方式对那些关注核心业务的客户来说,将降低运营成本,并提高异常事件的反应速度。系统可持续性安全服务系统安全是一个持续性地需不断改进的系统工程,在系统完成等级保护建设后,系统投入正式使用过程中,将不断面临来自组织内外的各种安全威胁,这些安全威胁可能利用系统自身的各种安全漏洞或者管理缺陷攻击系统,影响到单位业务的连续性和数据的保密性和完整性,因此,需要可持续的安全服务帮助单位不断完善安全保障体系,应对来自各方面的安全威胁。配合用户完成系统自查XX科技作为专业的第三方安全厂商,具备信息安全服务和评估领域的多项资质,承担了多个国家重要信息系统的等级保护评估和建设任务,积累了丰富的等级保护评估工作经验,在系统评估过程中,XX科技将采用国家认可的专业的核查和扫描等工作,辅助客户进行自评估,并出具第三方评估报告。配合主管单位、用户完成安全检查对于三级及三级以上等重要业务系统,国家要求每年进行安全检查,随着等级保护政策的推广,各行业主管单位,公安部也经常进行不定期的安全检查,XX科技将协助用户完成此类安全检查,符合主管单位和行业的要求。

系统上线前安全评估XX科技业务系统上线前评估服务包括:安全漏洞扫描:使用XX科技自主知识产权的远程安全评估系统对业务系统集成环境安全状况进行评估;手工安全检查:使用XX科技自主知识产权的配置核查系统和XX科技手工安全检查规范对业务系统的安全策略、服务配置等情况进行检查;安全渗透测试:以黑客的视角对业务系统的安全状况进行黑盒测试,使用黑客攻击的工具和手段对业务系统进行模拟攻击测试,挖掘可能存在的安全漏洞;代码安全审计:从编码的角度对业务系统源代码进行安全审计,检查源代码是否存在安全缺陷并重点检查重要模块的代码是否安全,挖掘缺陷安全代码;安全功能审核:参考CC的内容要求结合XX科技安全服务经验,对业务系统的安全功能进行审核,对业务系统安全功能完善性和安全强度是否符合标准进行评估。业务系统上线前评估服务流程如下图。业务系统上线前评估服务流程由于此时业务系统并未正式部署上线,因此所有的服务内容均以现场服务的方式进行(代码安全审计服务可非常现场开展)。在整个安全评估过程中,仅需要客户提供业务系统相关信息,并配合进行系统登录,如有必要还需提供业务系统测试帐号。XX科技工程师在获取到相关资源后,在客户指定的时间开展安全评估工作。针对中国证监会XXXX运行监测系统,考虑到系统等级保护要求为二级,而且系统属于委托第三方开发,因此,在系统上线前建议采用以下评估服务内容。漏洞扫描服务安全漏洞扫描主要是经过评估工具以本地扫描的方式对评估范围内的系统和网络进行安全扫描,查找网络结构、网络设备、服务器主机、数据和用户账号/口令等安全对象目标存在的安全风险、漏洞和威胁。安全漏洞扫描服务过程如下:漏洞扫描服务过程漏洞扫描服务是一个闭环的服务,分为四个不同的阶段:漏洞发现,数据分析,漏洞处理和扫描复查漏洞扫描:使用XX科技自主知识产权远程安全评估系统对目标设备安全状况进行评估,获得扫描数据;结果分析:对获取的扫描结果进行分析,提供可执行的安全建议,向用户提交漏洞扫描报告;漏洞处理:针对发现的不同级别的漏洞,