企业信息安全总体规划方案

XXXXX企业信息安全建设规划提议书YYYY科技有限企业201X年XX月

目录第1章 综述 31.1 概述 31.2 现实状况分析 41.3 设计目标 8第2章 信息安全总体规划 102.1设计目标、依据及标准 102.1.1设计目标 102.1.2设计依据 102.1.3设计标准 112.2总体信息安全规划方案 122.2.1信息安全管理体系 122.2.2分阶段建设策略 18第3章 分阶段安全建设规划 203.1 规划标准 203.2 安全基础框架设计 21第4章 早期规划 234.1 建设目标 234.2 建立信息安全管理体系 234.3 建立安全管理组织 25第5章 中期规划 285.1 建设目标 285.2 建立基础保障体系 285.3 建立监控审计体系 285.4 建立应急响应体系 305.5 建立灾难备份与恢复体系 34第6章 三期规划 376.1 建设目标 376.2 建立服务保障体系 376.3 保持和改进ISMS 38第7章 总结 397.1 综述 397.2 效果预期 397.3 后期 39综述概述信息技术革命和经济全球化发展，使企业间竞争已经转为技术和信息竞争，伴随企业业务快速增加、企业信息系统规模不停扩大，企业对信息技术依赖性也越来越强，企业是否能长久生存、企业业务是否能高效运作也越来越依赖于是否有一个稳定、安全信息系统和数据资产。所以，确保信息系统稳定、安全运行，确保企业知识资产安全，已经成为当代企业发展创新必定要求，信息安全能力已成为企业关键竞争力主要部分。企业高度重视客户及生产信息，生产资料，设计文档，知识产权之安全防护。而终端，服务器作为信息数据载体，是信息安全防护首要目标。与此同时，伴随企业业务领域扩展和规模快速扩张，为了满足企业发展和业务需要，企业IT生产和支撑支撑系统也进行了对应规模建设和扩展，为了满足生产高速发展，市场大力扩张，企业决定在近期进行信息安全系统系统调研建设，所以伴随IT系统规模扩大和应用复杂化，相关信息安全风险也随之而来，比如病毒、蠕虫、垃圾邮件、间谍软件、流氓软件、数据截获、嗅探、监听、肆意泛滥，内部机密数据泄漏、办公系统受到影响等等，所以为了确保企业业务正常运行、制卡系统高效安全运行，不因各种安全威胁破坏而中止，信息安全建设不可或缺，信息安全建设必定应该和当前信息化建设进行统一全局考虑，应该在相关主要信息化建设中进行安全前置考虑和规划，防止安全防护方法遗漏，安全防护滞后造成重大安全事件发生。。此次企业信息安全体系建设规划主要考虑采取各种被证实是行之有效各种信息安全产品和技术，帮助企业建设一个主动、高效、全方面信息安全防御体系，降低信息安全风险，愈加好为企业生产和运行服务。现实状况分析现在企业已经在前期进行了部分信息安全建设，包含终端上一部分防病毒，网络边界处基本防火墙等安全软件和设备，在很大程度上已经对外部威胁能有一个基本防护能力，不过如今安全威胁和攻击伎俩日新月异，层出不穷，各种高危零日漏洞不停被攻击者挖掘出来，攻击目标越来越有针对性，现在企业所面临全球安全威胁展现以下几个新趋势：恶意攻击数量快速增加，攻击伎俩不停丰富，最新未知威胁防不胜防：怎样防范未知威胁，抵抗不一样攻击伎俩和攻击路径带来信息安全冲击?高级、有针对性高危连续性攻击APT已蔓延至各类规模企业：怎样阻止不一样攻击伎俩？不但仅是防病毒！需要服务器，终端，网络，数据等各方面多层次防护，增加威胁防范能力复杂混乱应用与外接设备环境：怎样确保应用和设备准入控制？繁琐枯燥系统维护和安全管理：怎样更有效利用有限信息人力资源？工具带来新问题：怎样确保安全策略强制要求，统一管理和实施效果？终端接入不受控：怎样确保终端满足制订终端安全策略-终端准入控制网页式攻击(Web-basedAttack)已成为最主流攻击手法：怎样确保访问可靠网站？内外部有意无意信息泄露将严重影响企业声誉和重大经济损失从现在大多数企业信息安全建设来看，针对以上现在主流新形势信息威胁，企业在安全建设上还面临安全防护需要深入依靠国际先进技术增强主动防御，纵深防御能力，现在大多数企业在安全防护上还有以下欠缺：1.2.1现在信息安全存在问题在信息系统安全评定中我们对网络设备、主机系统、数据库系统、应用系统、网络扫描、安全管理等等方面进行了安全评定，发觉主要有以下问题：网络设备安全：访问控制问题网络设备安全漏洞设备配置安全系统安全：补丁问题运行服务问题安全策略问题弱口令问题默认共享问题防病毒情况应用安全：exchange邮件系统版本问题apache、iis、weblogic安全配置问题serv-U版本问题radmin远程管理安全问题数据安全：数据库补丁问题Oracle数据库默认帐号问题Oracle数据库弱口令问题Oracle数据库默认配置问题Mssql数据库默认有威胁存放过程问题网络区域安全：市局政务外网安全方法完善市局与分局访问控制问题分局政务外网安全方法加强安全管理：没有建立安全管理组织没有制订总体安全策略没有落实各个部门信息安全责任人缺乏安全管理文档经过安全评定中安全修复过程，我们对上述大部分安全问题进行了修补，不过依然存在残余风险，主要是数据安全（已安排升级计划）、网络区域安全和安全管理方面问题。所以当前信息安全存在问题，主要表现在以下几个方面：1.在政务外网中，市局建立了基本安全体系，不过还需要深入完善，例如政务外网总出口有单点故障隐患、门户网站有被撰改隐患。另外分局并没有实施任何防护方法，存在被黑客入侵安全隐患；2.在政务内网中，市局和分局之间没有做访问控制，存在蠕虫病毒相互扩散可能。另外，假如黑客入侵了分局政务内网后，可能深入向市局进行渗透攻击。3.原有信息安全组织没有实施起来，没有制订安全总体策略；没有落实信息安全责任人。造成信息安全管理没有能够自上而下下发策略和制度，信息安全管理没有落到实处。4.经过安全评定，建立了基本安全管理制度；不过这些安全管理制度还没有落实到日常工作中，而且可能在实际操作中依照实际情况做一些修改。5.没有成立安全应急小组，没有对应应急事件预案；缺乏安全事件应急处理流程与规范，也没有对安全事件处理过程做统计归档。6.没有建立数据备份与恢复制度；应该对备份数据做恢复演练，确保备份数据有效性和可用性，在出现数据故障时候能够及时进行恢复操作。7.现在市局与分局之间政务内网是租用天威网络而没有其它备用线路。万一租用天威网络发生故障将可能造成市局与分局之间政务内网网络中止。经过信息安全风险评定，对发觉关于操作系统、数据库系统、网络设备、应用系统等等方面漏洞，而且因为当初信息安全管理中并没有规范安全管理制度，也是出现操作系统、数据库系统、网络设备、应用系统等漏洞原因之一。为了达成对安全风险长久有效管理，我们提议建设ISMS（信息安全管理体系），对安全风险经过PDCA模型，输出为可管理安全风险。1.2.2常见信息系统面临风险和威胁大致以下：依照现在安全威胁，企业信息安全方面临问题是信息安全仅作为后台数据保障前端业务应用和后端数据库信息安全等级不高信息安全只是建立在简单“封、堵”上，不利提升工作效率和协同办公所以，对于企业来说，在新IT环境下，需要就以下安全考虑，依照合理规划进行分期建设。业务模式正在发生改变，生产、研发等系统实施，信息安全应全方面面向应用，信息安全须前置，以适应业务安全要求。用户终端多样化也应保持足够安全。数据集中化管控和网络融合后所需安全要求。数据中心业务分区模块化管理及灾备应急机制设计目标为企业设计完善信息安全管理体系，增强企业信息系统抵抗安全风险能力，为企业生产及销售业务健康发展提供强大保障。经过对企业各IT系统风险分析，了解企业信息系统安全现实状况和存在各种安全风险，明确未来安全建设需求。完成安全管理体系规划设计，涵盖安全管理各个方面，设计合理建设流程，满足中长久安全管理要求。提供以下安全管理项目：人员管理规划制订和建设流程规划安全运维管理及资产管理完成安全技术体系规划设计，设计有前瞻性安全处理方案，在进行成本/效益分析基础上，选取主流安全技术和产品，建设主动、全方面、高效技术防御体系，将企业面临各种风险控制在能够接收范围之内。针对整体安全规划计划，在接下来几年内分期建设，最终满足以下安全防护需求：网络边界安全防护安全管理策略关键业务服务器系统加固，入侵防护，关键文件监控和系统防护网络和服务器安全防护及安全基线检验与漏洞检测增强终端综合安全防护强化内部人员上网行为管理建设机密数据防泄漏和数据加密，磁盘加密网络信任和加密技术防护建设，强化容灾和备份管理加强企业内部IT控制与审计，确保IT与法律、法规，上级监管单位要求相符合，比如：需要满足国家信息系统安全系统安全检验要求需要满足国家《信息系统安全等级保护基本要求》信息安全总体规划2.1设计目标、依据及标准2.1.1设计目标电子政务网是深圳市电子政务业务承载和表现，是电子政务主要应用，存放着主要数据资源，流动着经济建设和社会生活中主要数据信息。所以必须从硬件设施、软件系统、安全管理几方面，加强安全保障体系建设，为电子政务应用提供安全可靠运行环境。2.1.2设计依据《国家信息化领导小组关于我国电子政务建设指导意见》《国家信息化领导小组关于加强信息安全保障工作意见》《电子政务总体框架》《电子政务信息安全保障技术框架》《电子政务信息安全等级保护实施指南》《信息安全等级保护管理方法》《信息技术安全技术信息技术安全性评定准则》《计算机信息系统安全保护等级划分准则》《电子计算机场地通用规范》《计算机场地安全要求》《计算机信息系统安全保密测评指南》同时在评定其信息资产价值等级时，也将参考ISO17799/BS7799/ISO15408/ISO13335/ISO7498-2等国际标准。电子政务网将依据信息价值保密性影响、信息价值完整性影响、信息价值可用性影响等多个方面，来对信息资产价值等级进行划分为五级，第一级为最低级，第五级为最高级。2.1.3设计标准电子政务网安全系统在整体设计过程中应遵照以下标准：需求、风险、代价平衡标准：对任何信息系统，绝对安全难以达成，也不一定是必要，安全保障体系设计要正确处理需求、风险与代价关系，做到安全性与可用性相容，做到技术上可实现，组织上可执行。分级保护标准：以应用为主导，科学划分网络安全防护与业务安全保护安全等级，并依据安全等级进行安全建设和管理，确保服务有效性和快捷性。最小特权标准：整个系统中任何主体和客体不应具备超出执行任务所需权力以外权力。标准化与一致性标准：电子政务网是一个庞大系统工程，其安全保障体系设计必须遵照一系列标准，这么才能确保各个分系统一致性，使整个电子政务网安全地互联互通、信息共享。多重保护标准：任何安全方法都不是绝对安全，都可能被攻破。不过建立一个多重保护系统，各层保护相互补充，当一层被攻破时，其余层仍可保护系统安全。整体性和统一性标准：一个大型网络系统各个步骤，包含设备、软件、数据、人员等，在网络安全中地位和影响作用，只有从系统整体角度去统一对待、分析，才可能实现有效、可行安全保护。技术与管理相结合标准：电子政务网是一个复杂系统工程，包括人、技术、操作等要素，单靠技术或单靠管理都不可能实现。所以在考虑安全保障体系时，必须将各种安全技术与运行管理机制、人员思想教育与技术培训、安全规章制度建设相结合。统筹规划，分步实施标准：因为政策要求、服务需求不明朗，环境、时间改变，安全防护与攻击伎俩进步，在一个比较全方面安全体系下，能够依照网络实际需要，先建立基本安全保障体系，确保基本、必须安全性。伴随今后网络应用和复杂程度改变，调整或增强安全防护力度，确保整个网络最根本安全需求。动态发展标准：要依照网络安全改变不停调整安全方法，适应新网络环境，满足新网络安全需求。易操作性标准：安全方法需要人去完成，假如方法过于复杂，对人要求过高，本身就降低了安全性；其次，方法采取不能影响系统正常运行。适应性及灵活性标准：安全方法必须能伴随系统性能及安全需求改变而改变，要轻易适应、轻易修改和升级。恪守关于法规：在安全支撑平台设计和设备选型过程中，包括到密码产品销售应符合国家关于法律法规要求，包括到其余安全产品销售应具备主管部门销售许可证。同时安全产品应具备良好升级及售后维护。2.2总体信息安全规划方案总体目标经过建立建设ISMS（信息安全管理体系），达成对安全风险长久有效管理，而且对于存在安全风险/安全需求经过适适用于ISMSPDCA（Plan-Do-Check-Act）模型，输出为可管理安全风险。处理问题 当前信息安全经过了一次完整信息安全评定，而且进行了对应安全修复后，信息安全风险已经得到了比较有效管理，不过还是存在部分遗留风险，以及其它一些可预见风险。在这里将会对这些安全问题进行处理。2.2.1信息安全管理体系为了达成对信息安全进行管理，我们能够经过建立ISMS（信息安全管理体系），然后经过向ISMS输入信息安全要求和期望经过必需活动和过程产生满足需求和期望信息安全输出（比如可管理信息安全）。策划建立ISMS：依照组织整体方针和目标建立安全方针目标目标以及与管理风险和改进信息安全相关过程和程序以取得结果。实施和运行ISMS：实施和运行安全方针控制过程和程序。检验监视和评审ISMS：适用时依照安全方针目标和惯有经验评定和测量过程业绩向管理层汇报结果进行评审。保持和改进ISMS：依照管理评审结果采取纠正和预防方法以连续改进ISMS。针对当前信息安全问题，我们能够视为是对信息安全需求和期望，所以我们能够把这些信息安全需求，提交到ISMS（信息安全管理体系）过程中，进行处理。对于未来出现信息安全问题，也能够提交到ISMS（信息安全管理体系）过程中，进行处理，并最终输出可被管理信息安全。所以对于信息安全总体规划是：首先建立ISMS（信息安全管理体系），然后经过ISMS过程PDCA模式处理当前信息安全问题。对于当前存在信息安全问题，我们能够经过下面四个阶段来处理：策划建立ISMS：建立信息安全管理系统，包含建立安全管理组织、制订总体安全策略。而且依照当前信息安全问题，提出安全处理方案。实施和运行ISMS：依照当前信息安全问题安全处理方案进行实施，妥善处理这些信息安全问题。检验监视和评审ISMS：经过专业安全评定来检验信息安全问题是否得到了有效管理。保持和改进ISMS：依照安全事件处理经验教训和安全风险评定结果，对信息安全管理策略进行修改，对信息安全管理范围进行调整。2.2.1.1策划建立ISMS建立信息安全管理系统，包含建立安全管理组织、制订总体信息安全策略、落实各个部门信息安全责任人、信息安全培训等等。而且依照当前信息安全问题，提出安全处理方案。2.2.1.1.1建立信息安全管理系统信息安全风险管理表现在信息安全保障体系技术、组织和管理等方面。在信息安全保障体系中，技术是工具，组织是运作，管理是指导，它们紧密配合，共同实现信息安全保障目标。信息安全保障体系技术、组织和管理等方面都存在着相关风险，需要采取信息安全风险管理方法加以控制。因为当前市安全管理组织并没有真正运作起来，所以没有在一个高度上来制订信息安全策略，所以没有落实各个部门信息安全责任人，没有对各个部门信息安全人员职责进行定义；也没有制订安全管理文档；造成安全管理没有落到实处。另外需要对网络用户进行安全教育和培训，使他们具备基本网络安全知识。2.2.1.1.2依照安全问题提出处理方案针对以下两个问题，经过建立信息安全管理系统来处理，见《2.2.1.1.1建立信息安全管理系统》原有信息安全组织没有实施起来，没有制订安全总体策略；没有落实信息安全责任人。造成信息安全管理没有能够自上而下下发策略和制度，信息安全管理没有落到实处。经过安全评定，建立了基本安全管理制度；不过这些安全管理制度还没有落实到日常工作中，而且可能在实际操作中依照实际情况做一些修改。基础保障体系针对以下两个问题，经过建立基础保障体系来处理，同时依照这些基础安全设备建立信息监控与审计体系。在政务外网中，市局建立了基本安全体系，不过还需要深入完善，比如政务外网总出口有单点故障隐患、门户网站有被撰改隐患。另外分局并没有实施任何防护方法，存在被黑客入侵安全隐患；在政务内网中，市局和分局之间没有做访问控制，存在蠕虫病毒相互扩散可能。另外，假如黑客入侵了分局政务内网后，可能深入向市局进行渗透攻击。建设信息安全基础保障体系，是一项复杂、综合系统工程，是坚持主动防御、综合防范方针详细表现。现在电子政务基础保障体系已经初具规模，不过还存在个别问题，需要深入完善。监控审计体系监控审计体系设计实现，能完成对电子政务网全部网上行为监控。经过此体系监控到数据能对电子政务网络使用率、数据流量、应用提供百分比、安全事件统计、网络设备动作情况、网络内人员网上行为统计、网络整体风险情况等这些情况有较全方面了解。应急响应体系针对下面这个问题，经过建立应急响应体系来处理。没有成立安全应急小组，没有对应应急事件预案；缺乏安全事件应急处理流程与规范，也没有对安全事件处理过程做统计归档。电子政务网络承载了大量政务网络应用，所以网络系统应急响应功效变得愈加关键，需要建立一个应急响应体系。它主要功效是采取足够主动方法处理各类安全事件。安全事件能够被许多不一样事件触发并破坏单个电子政务系统或整个网络可用性，完整性、数据保密性。所以需要尤其重视响应、处理安全事件，因为安全事件可能带来重大破坏。那些引发或可能引发当地小范围破坏安全问题应该就地处理，以防止加重整个政务网络安全风险。灾难备份与恢复体系针对下面这个个问题，经过建立灾难备份与恢复体系来处理。没有建立数据备份与恢复制度；应该对备份数据做恢复演练，确保备份数据有效性和可用性，在出现数据故障时候能够及时进行恢复操作。现在市局与分局之间政务内网是租用天威网络而没有其它备用线路。万一租用天威网络发生故障将可能造成市局与分局之间政务内网网络中止。为了确保深圳市政务网正常运行，抵抗包含地震、火灾、水灾等自然灾难，以及战争、恐怖攻击、网络攻击、设备系统故障和人为破坏等无法预料突发事件造成损害，所以应该建立一个灾难备份与恢复体系。在这个体系里主要包含下面三个部分：政务内网线路冗余备份、主机服务器系统备份与恢复、数据库系统备份与恢复。2.2.1.2实施和运行ISMS在上面策划建立ISMS过程中，我们提出了依照当前信息安全问题处理处理方案，包含：建立基础保障体系建立信息监控与审计体系建立应急服务体系建立灾难备份与恢复体系上述四个安全体系将在这个阶段进行实施。2.2.1.3检验监视和评审ISMS经过专业安全评定来检验信息安全问题是否得到了有效管理。同时建立服务与保障体系来保障系统正常运行。服务保障是指保护和防御信息及信息系统，确保其可用性、完整性、保密性、可控性、不可否定性等特征。服务保障体系则包含：风险评定、软硬件升级、设备安全巡检、设备日常维护等等。2.2.1.4保持和改进ISMS依照安全事件处理经验教训和安全风险评定结果，对信息安全管理策略进行修改，对信息安全管理范围进行调整。总结从其它组织或组织本身安全经验得到教训。确保改进活动达成了预期目标。2.2.2分阶段建设策略安全风险长久存在，并不停改变，这造成安全保障建设没方法一步到位。所以必须对安全保障建设分阶段实施。工程实施渐进性、逐步性，依照先后缓急，初步将安全实施计划分为以下四个阶段：第一阶段：策划建立ISMS建立信息安全管理系统建立安全管理组织并落实各个部门信息安全责任人依照当前信息安全问题制订处理方案第二阶段：实施和运行ISMS依照当前信息安全问题处理方案进行安全实施，包含：建立基础保障体系建立监控审计体系建立应急响应体系建立灾难备份与恢复体系第三阶段：检验监视和评审ISMS经过建立服务保障体系中信息风险安全评定、设备巡检等评审当前信息安全问题处理情况第四阶段：保持和改进ISMS依照安全事件处理经验教训和安全风险评定结果，对信息安全管理策略进行修改，对信息安全管理范围进行调整。分阶段安全建设规划传统安全设计理念基本上仍处于忙于封堵现有系统漏洞阶段，有些人形象称之为“修修补补”或“围、追、堵、截”，基于这么设计理念建成安全体系只能是局部、被动安全，而无法提供整体、主动安全；同时也缺乏有效管理和监控伎俩，使得信息安全情况令人担忧，表现在病毒、蠕虫层出不穷、系统漏洞众多，另外经过很多国际权威机构调查，内部发生安全事件占全部安全事件70％甚至更多，比如内部误用和嗅探、攻击等滥用行为，都因为缺乏有效监控和管理而不能及时发觉，也给网络安全带来巨大挑战；安全是一个整体，任何一部分微弱都会使得整体安全防御能力大打折扣，不但使得组织重金建设边界安全防御体系失去作用，同时还会严重影响组织业务正常运行，从经济、法律、声誉等多方面对企业造成负面影响。新安全形势下需要新思维和新处理方案。安全是一个整体、动态过程，需要全方面深入考虑，那种头痛医头、脚痛医脚方法已无法满足用户日益复杂安全需求，要处理这些问题，归根结底取决于信息安全保障体系建设。“企业面正确是一个以信息为关键世界”信息是企业关键，规划开始前，这一点必须要有清楚认识，我们能够从三个层面来看：基础架构层面：包含终端、服务器、存放、网络在内基础设施，乃至数据中心和容灾中心，这些都是信息数据产生、存放、传输、处理载体，围绕信息处理和流转所搭建基础设施，同时也是IT系统和管理人员为确保信息和数据安全、可用最基础和主要管理对象；信息为关键层面：信息和数据是整个企业业务运行中最为关键部分，全部业务运转都围绕着信息而进行，而信息保障、安全存放流转都是信息保护所关注重点；安全治理层面：为了保障信息安全，不能仅仅停留在单独建设分散安全上，最终安全目标是要实现安全治理，安全目标则是为企业定制打造所需技术运维、技术管理体系，帮助企业提升整体安全管理水平。规划标准IT管理基础、关键和重点内容，应该有对应信息安全建设和保障内容与之配套，所以以信息为关键IT管理视角，也一样是当前进行信息安全规划出发点。为此，我们规划企业整体安全时候，应遵照以下标准：整体规划，应对改变安全建设规划要有相对完整和全方面框架结构，能应对当前安全威胁改变趋势。立足现有，提升能力在现有IT建设基础上，完善安全基础架构建设，经过优化和调整挖掘潜力，提升整体安全保障能力。着眼信息，重点防范以安全治理为工作目标，着重提升安全整体水平，对现在企业和主管部门关注，以及法律法规要求内容进行重点关注。安全基础框架设计明确了此次规划目标，我们就能够深入确立一个针对企业信息安全建设工作框架安全工作总体框架上述总体框架中，经过基础架构安全、信息安全、安全治理三个层次工作内容，来达成我们总体规划目标；经过技术、管理、运维三大支撑体系为支柱，实现企业在安全体系建设、法规遵从与落实、安全风险管控和安全高效管理四个信息安全主体目标不停治理和改进。早期规划建设目标建立信息安全管理体系建立安全管理组织并落实各个部门信息安全责任人依照当前信息安全问题制订处理方案建立信息安全管理体系信息安全管理系统规范，详细说明了建立、实施和维护信息安全管理系统（ISMS）要求，指出实施组织需遵照某一风险评定来判定最适宜控制对象，并对自己需求采取适当控制。下面将介绍应该怎样建立信息安全管理体系步骤，以下列图所表示：

图1建立信息安全管理体系步骤1)定义信息安全策略

信息安全策略是组织信息安全最高方针，需要依照内各个部门实际情况，分别制订不一样信息安全策略。比如，开发部、数据部、系统都分别有一个信息安全策略，适适用于其部门内全部员工。信息安全策略应该简单明了、通俗易懂，并形成书面文件，发给内全部组员。同时要对全部相关员工进行信息安全策略培训，对信息安全负有特殊责任人员要进行特殊培训，以使信息安全方针真正植根于内全部员工脑海并落实到实际工作中。 在安全管理文档制订中，我们对以下文档进行了定义：《安全管理文档--业务系统软件安全技术标准》《安全管理文档--网络信息公布制度》《安全管理文档--通用网络服务安全标准》《安全管理文档--网络连接策略和标准》《安全管理文档--邮件系统安全管理标准》《安全管理文档--用户单位用户帐号和口令管理规程》《安全管理文档--信息管理人员安全手册》《安全管理文档--用户单位信息系统安全策略》《安全管理文档--机房管理制度》《安全管理文档--系统管理员手册》《安全管理文档--安全事件处理流程》《安全管理文档--病毒防治管理要求》《安全管理文档--网络管理员手册》《安全管理文档--备份和恢复管理制度》(2)定义ISMS（信息安全管理系统）范围ISMS（信息安全管理系统）范围确定需要重点进行信息安全管理领域，需要依照自己实际情况，在整个范围内、或者在个别部门或领域构架ISMS。在本阶段，应将划分成不一样信息安全控制领域，以易于对有不一样需求领域进行适当信息安全管理。(3)进行信息安全风险评定信息安全风险评定复杂程度将取决于风险复杂程度和受保护资产敏感程度，所采取评定方法应该与组织对信息资产风险保护需求相一致。风险评定主要对ISMS范围内信息资产进行判定和估价，然后对信息资产面正确各种威胁和脆弱性进行评定，同时对已存在或规划安全管制方法进行判定。风险评定主要依赖于信息和系统性质、使用信息目标、所采取系统环境等原因，在进行信息资产风险评定时，需要将直接后果和潜在后果一并考虑。(4)信息安全风险管理依照风险评定结果进行对应风险管理。信息安全风险管理主要包含以下几个方法：降低风险：在考虑转嫁风险前，应首先考虑采取方法降低风险；防止风险：有些风险很轻易防止，比如经过采取不一样技术、更改操作流程、采取简单技术方法等；转嫁风险：通常只有当风险不能被降低或防止、且被第三方（被转嫁方）接收时才被采取。通惯用于那些低概率、但一旦风险发生时会对产生重大影响风险。接收风险：用于那些在采取了降低风险和防止风险方法后，出于实际和经济方面原因，只要进行运行，就必定存在并必须接收风险。(5)确定管制目标和选择管制方法。

管制目标确实定和管制方法选择标准是费用不超出风险所造成损失。因为信息安全是一个动态系统工程，应实时对选择管制目标和管制方法加以校验和调整，以适应改变了情况，使信息资产得到有效、经济、合理保护。(6)准备信息安全适用性申明。信息安全适用性申明统计了内相关风险管制目标和针对每种风险所采取各种控制方法。信息安全适用性申明准备，首先是为了向内员工申明面对信息安全风险态度，在更大程度上则是为了向外界表明态度和作为，以表明已经全方面、系统地审阅了其信息安全系统，并将全部有必要管制风险控制在能够被接收范围内。建立安全管理组织当前信息中心成立安全领导小组，负责制订安全策略、落实信息安全责任，并下发到下面几个部门。不过，这个组织结构并没有实施起来，实际上是各个部门信息安全策略和安全管理或者没有实施，或者不全方面；而且相关信息安全责任也没有明确定义。能够说信息安全体系并没有建立起来。所以，我们提议设置一个首席安全官来代替原来安全领导小组，负责对信息安全制订总体安全策略、监督和协调各项安全方法在执行情况、设置各个部门信息安全责任人，落实信息安全责任。以下是各个责任人职责定义：ＣＳＯ：首席安全官负责对信息安全制订总体安全策略，监督和协调各项安全方法在执行情况，并确定安全工作标准和主动性，包含开发部、数据部、系统部等部门。系统运维管理员：系统运维部门管理人员对整个系统运维部门进行管理。系统管理员：系统权限管理员对全部系统进行管理、建设、维护相关人员，需要有广泛知识面，丰富理论和实际操作经验。网络管理员：网络设备管理员全部网络设备、安全设备维护人员，需要有丰富理论和实际操作经验。数据库管理员：网络设备管理员全部应用数据库管理和维护人员，需要有丰富理论和实际操作经验。文档管理员：资料管理员统计各类设备、系统操作，维护、整理相关文档，以及日志备份等相关信息。机房管理员：设备物理安全保障员统计机房进出相关统计，包含系统管理员、系统用户以及文档管理员相关统计；对计算机硬件进行检修、维护；对物理环境维护等。开发管理员：软件安全保障员监督软件开发工作安全性方法实施情况，制订软件开发安全标准。安全应急小组：安全事件紧急响应小组应急响应中心组长由系统运维部主管担任，组员包含：系统管理员，网络管理员，数据库管理员。中期规划建设目标依照当前信息安全问题处理方案进行安全实施，包含：建立基础保障体系建立监控审计体系建立应急响应体系建立灾难备份与恢复体系建立基础保障体系经过拓扑图描述安全现实状况。建立监控审计体系建设电子政务审计监控体系就是要建设完整责任认定体系和健全授权管理体系，从技术上加强了电子政务安全管理，从而确保了电子政务安全性。一、审计监控体系为电子政务建立了一个完整责任认定体系1)在信任体系中对正当操作行为责任认定责任认定体系设计定位就是全部操作者都是不可信任，这就决定了责任认定在这里所处地位：起到完善信任体系中痕迹保留以及事后追查作用，是和身份认证、授权管理并列确保网络内网安全三大主要方法。在信任体系中责任认定，传统伎俩是经过查阅应用程序操作日志、经过调用数据库操作日志、经过审计其余设备操作日志来反应正当操作行为和非法行为责任认定问题。这部分责任认定体系是整个完整责任认定体系中一部分。它不能处理全部责任认定问题。相反地，因为各产品缺乏有效协调性，统计信息无法互通，所以在很大程度上，这部分分散、凌乱信息在工作中极难被有效使用，一直是整个信息安全建设中一个软肋。2)对网络中非法操作行为责任认定对于非法操作责任认定，现有伎俩是经过审计监管技术来实现责任认定。因为这部分责任认定针对性强，目标明确，又有响应实时、警告及时等特点，所以在电子政务建设中越来越被重视。它作用与审计机关在国家经济体系中审计行为有着非常类似共性--一样是对非法操作行为进行审计。所不一样是，审计机关是对非法经济行为进行审计，而信息安全强审计是对电子政务网络中非法操作行为进行审计。他作用已经决定了它是责任认定体系中最主要一个组成部分，对整个责任认定体系起着决定性作用。3)以强审计为关键建立完整责任认定体系要处理一个完整责任认定体系，我们不但要考虑到对正当操作行为责任认定，更要考虑到对非法操作行为责任认定。同时我们又要兼顾网络中各个设备审计信息全方面搜集，以及对审计数据集中化管理以及分析。以强审计为关键责任认定体系，我们经过对网络组成要素审计，经过对应用系统审计，经过对安全产品审计，经过对主机、服务器、网络、数据库等网络中全部资源审计。构建了一个完整责任认定体系。同时，因为强审计系统强大审计分析功效，能够及时有效反应责任认定数据。确保了责任认定体系强有力、完整等特征。二、健全授权管理体系在授权管理中，对网络资源授权管理是非常主要问题。不处理这个问题，就无法建立起完整授权管理体系。审计监控体系从根本上对全网进行授权监督管理。主要有以下内容：1)网络连接授权管理必须确保全部连接入网络计算机都是正当；任何非法接入企图都是能够得到有效控制和管理；网络内各主机之间访问和连接都是得到授权并能够控制；全部能够连入外网计算机访问外网权限都是有限、受控和经过授权。2)主机授权管理对网络内用户使用光驱(含刻录光驱)、软驱、USB口授以权限并统一输入输出通道，从而确保数据进出安全性。对主机中主要文件资源使用实施严格授权管理。对于有统一出口网络或者物理隔离于公网网络经过拨号上网(包含ADSL拨号、MODEM拨号、GPRS拨号、手机拨号等)方式存在很多安全隐患，必须严格授权与限制。3)数据库授权管理对操作者向数据库中字符、段访问进行授权。4)服务器授权管理对主要文件进行授权管理；对终端访问服务器进行授权管理；5)对网络打印机权限分配、控制与管理对网络打印机进行权限分配；对网络打印机进行访问控制；经过审计监控体系完成对网络资源授权管理既是构建完善授权管理基础设施主要组成部分，同时也是建立健全责任认定体系必要前提。建立应急响应体系应急响应体系建立主要有三个方面，成立安全应急小组，制订安全应急预案，安全应急过程文档归档。安全应急小组成立安全应急小组，应急响应中心组长由系统运维部主管担任，组员包含：系统管理员，网络管理员，数据库管理员。系统运维系统运维部门主管系统管理员网络管理员数据库管理员应急响应小组职能：对网络安全问题能主动预防、及时发觉、快速响应、确保及时恢复。应急响应小组组员职责：组长：协调应急响应小组其它组员工作，协调与其它部门接口关系，组织应急计划评审、组织各类安全问题交流等。系统管理员：操作系统和应用系统备份与恢复，系统安全配置，系统层安全事件处理。网络管理员：维护网络正常运行，网络安全配置和维护，网络层安全事件处理。数据库管理员：数据库备份与恢复，维护应用系统数据，出现安全事故时配合系统管理员和网络管理员处理安全事件以及恢复应用系统数据。安全应急预案制订安全应急预案过程：（1）预先定义深圳市各种安全事件经过调研，预测可能会碰到安全事件，将其一一列出定义，并依照其相关性进行分类，对每一类又按照其发作范围和危害程度进行分级。最终制作安全事件一览表。1）常见安全事件列表：系统瓦解；用户在奇怪时间和地点登录；猜口令企图；非授权用户使用有特权服务；系统时钟改变；系统不知原因重新开启；活动较少账号突然活动显著增加；用大量改变号码对用户进行呼叫；非编程人员利用编译工具与开发工具；新或陌生文件；账号改变，查明是否有入侵者；文件长度或数据内容发生改变；企图写系统，尤其是特权用户行为；数据被修改或删除；拒绝服务；系统性能严重下降，有奇怪进程运行并占用大量CPU处理时间；网络性能严重下降，用户反应无法正常使用服务；发觉有些人在不停强行登录系统；系统中出现奇怪新用户帐号；管理员收到来自其它系统管理员警告信，指出系统可能被威胁等。2）常见安全事件类型：发觉后门软件、间谍软件；计算机病毒；程序化入侵；发觉入侵者；破坏和删除文件；拒绝服务攻击等。3）划分安全事件级别。考查安全事件发作范围：是否是多点事件；在一个点上有多少台计算机被影响；检验涉密信息是否被攻击；事件入侵点在什么地方，确定攻击来自方向；安全事件发生时间和连续时间；处理该安全事件需要什么资源等。考查安全事件危害性：是否造成了损失，确定损失大小；判断信息失密发生是否及其程度；判断事件是否组成犯罪；分析安全事件采取手法；分析安全事件制造者类型；分析事件潜在危险。（2） 为安全事件制订应急计划（预案）对分类分级安全事件制订应急计划，并给予评审。对不可预测安全事件，也要制订通用应急计划。应急计划包含：a.安全事件序号、名称、类别、级别b.安全事件处理目标事件处理目标是消除当前安全事件造成威胁，防止和降低损失，健全和改进信息系统安全方法。c.需要保护信息将信息划分密级，通常分为五级：公开、内部、秘密、机密、绝密。确定对哪类密级信息采取哪类保护方法。d.设计安全事件处理过程针对本安全事件，设计现场处理流程。e.设计安全事件处理验证方法设计验证安全事件是否排除方法。安全事件处理流程此次风险评定项目中已经定义了安全事件处理流程，所以该流程参见《安全管理文档—安全事件处理流程》安全应急过程文档安全事件处理完成，系统恢复正常运行后，要对整个事故相关文档进行归档，总结经验教训，并形成一个《安全事件调查研究汇报》。汇报中应详细描述整个事件经过，统计紧急响应事件起因、处理过程、提议改进安全方案等。应急响应中心人员必须进行事后调查，评定事件损失，调查事件原委，追究事件责任，编写《安全事件调查研究汇报》。应急响应中心人员对照事件处理过程，发觉应急计划不足，完善应急计划。对事件原因进行彻底分析，找到确切根源，制订消除安全事件根源方法，确保同一安全事件不再发生。建立灾难备份与恢复体系政务内网线路冗余经过拓扑图来表示建立冗余线路基本做法。服务器系统备份与恢复备份：系统业务数据库管理员和系统管理员应向备份系统管理员提供备份需求，双方协商备份策略，诸如备份范围、备份时间、备份频率、保留期限、备份拷贝数目等。备份系统管理员依照双方协商形成备份需求书面文档，在备份系统上建立对应备份策略，并更新《备份信息汇总表》。在备份系统保护之下文件系统在做调整（诸如目录名称更换）或者增加、减小备份内容时，应该向备份系统管理员提交备份申请表，详细描述调整内容。备份系统管理员依照备份申请表要求，在备份系统上调整备份策略，并更新《备份信息汇总表》。完成备份策略调整工作后，查对备份申请表，并归档立案。对于一些先前不在备份策略保护内数据，且需要暂时保护，系统管理员可向备份系统管理员提交备份申请表，详细描述备份需求。备份系统管理员依照备份申请表要求，建立暂时备份策略对数据进行备份。完成备份工作后，跟数据库/系统管理员查对备份申请表，并归档立案。对于每日全备份数据，在磁带中保留期限为两个星期，过期后磁带被覆盖。对于每七天全备份，每个星期六或者星期日做一次全备份，备份数据保留时间为三个月，下一个星期一、星期二将每七天备份全部磁带迁移到带库外，异地存放，确保机房发生灾难后，数据丢失不超出一个星期。对于每个月全备份，备份数据保留时间为六个月，做两份磁带拷贝，其中一份磁带留在当地，另外一份磁带异地存放。在备份策略发生更变时，应该对应更新《备份信息汇总表》文档，保持该文档内容与备份系统内策略内容同时。恢复：相关人员在需要恢复文件系统类型数据时，应该向备份系统管理员提交恢复申请表，描述需要恢复数据所在主机、数据所在路径、数据大约备份时间、要求恢复目标地目录路径等。备份系统管理员依照恢复申请表要求，查询备份系统进行恢复。完成恢复工作后，通知相关人员及查对恢复申请表，并归档立案。数据库系统备份与恢复备份：系统业务数据库管理员和系统管理员应向备份系统管理员提供备份需求，双方协商备份策略，诸如备份范围、备份时间、备份频度、保留期限、备份拷贝数目等。备份系统管理员依照双方协商形成备份需求书面文档，在备份系统上建立对应备份策略，并更新《备份信息汇总表》。在备份系统保护之下文件系统在做调整（诸如目录名称更