信息系统网络安全等级保护建设方案(二级)

信息系统网络安全等级保护建设方案(二级)策和执行標准。2014年2月27日，中央网络安全与信息化领导小组成立，该展战略、宏观规划和重大政策，推动国家网络安全2017年《网络安全法》颁布实施，该法案明确规定国家实行网络安全等级元以上十万元以下罚款，对直接负责的主管人员2019年5月13日，公安部正式发布网络安全等级保护制度2.0標准，并于2019年12月1日开始按2.0標准实施，该標准是在网络安全领域又一规范性条***目前的主要业务系统是**系统、**系统等系统，员的各方面信息，按照《网络安全法》和等保2.0標准对被定义成国家关键信况，对照国家及相关监管單位要求，理清安全现卫生部《基于健康档案与区域卫生信息平台的《卫生部办公厅关于印发2010年基于电子健康档案、电子病历、门诊统筹《2010年基于电子健康档案、电子病历、门诊统筹管理的基层医疗卫生信《安徽省医疗卫生服务体系规划(2016-2020年)》《2018年全省卫生计生规划与信息工作要点》5、完善用户整体的网络安全规划，建立服务+技术+管理的整体安全体根据***的组织结构和信息系统的设计目標,目前已经建成依托Internet或要性愈来愈凸显其重要性，随之而来的是安全威胁与风人信息外泄将会给公民的生活、工作以及精神方参保人员的缴费、就医、医保报销等事项。另一采取有效措施以防止物理上的丢失和黑客监听、入侵行明，99%以上攻击都是利用已公布并有修补措施但用户未修补的漏洞。***的信息系统涉及到网络设备，服务器，存储设备务、TCP/IP协议、应用程序(如数据库、浏览器等)、网络设备等几个方面。正是这些弱点给蓄意或无意的攻击者以可乘之机，一旦系统的漏洞利用成功，势必影响到系统的稳定、可靠运行，更严重的导致系统瘫痪和数据丢失，从而影响平台的公众形象。因此有必要借助安全措施制来实现的漏洞扫描和补丁下信息化建设在带来各种便捷的同时也引入了新的隐患。随着人员信息数据化，加之内部安全管理制度不够完善，机构内部运维人员可以借助自身职权，利用数据库操作窃取药品统方信息，修改数据，修改医保报销项目等，来牟取个人私利，影响政府的公众形象，必须坚决制止和查处的行为。因此有必要通过有效手段对各种行为操作进行审计，准确记录各种操作的源、目的、时间、结果等，及时发现各种业务上的违规操作并进行告警和记录，同时提供详细的审计记录以便事后进行追查。安全物理环境是信息系统安全运行的基础和前提，是系统安全建设的重要组成部分。在等级保护基本要求中将物理安全划分为技术要求的第一部分，从物理位置选择、物理访问控制、防盗窃防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应、电磁防护等方面对信息系统的物理环境进行>物理位置选择物理访问控制>防盗窃和防破坏>防雷击>防水和防潮>防静电>温湿度控制>电力供应>电磁防护>网络架构>通信传输>可信验证>边界防护>访问控制>入侵防范>恶意代码和垃圾邮件防范>安全审计>可信验证安全计算环境是对系统的信息进行存储、处理及实施安全策略的相关软硬件设备，安全计算环境包括各类计算服务资源和操作系统层面的安全风险。作为***用于信息存储、传输、应用处理的计算服务资源，其自身安全性涉及到承载业务的方方面面，任何一个节点安全隐患都有可能威胁到整个网络的安全。计算环境作为***的业务数据和信息的主要载体，这些业务数据和信息是信息资产的重要组成；另一方面，其是系统各项支撑业务的起点和终点，病毒、木马等安全威胁也容易通过网络渗透到后台各种业务应用和服务主机中，从而对系统的整体安全带来危害。>身份鉴别>访问控制>安全审计>入侵防范>恶意代码防范>可信验证>数据完整性>数据保密性>数据备份恢复>剩余信息保护>个人信息保护访问控制。在链路安全方面，在网络内部署了2台VPN设备，实现数据传输链系统管理、安全管理、审计管理、应微管理、集中1.3.3.设计思路3)建立统一的信息安全管理体系，落实各项管理制度，让用户的安全管理体系，有宏观的设计、有清晰的责任权限、有合理的制度要求。同时应用包括安全可视化、统一运维管理的创新的技术手段，简化安全运维管理，减轻安全运维管理的负担，提升安全运维管理的效率，最终做到整体防御、分区隔离；积极防护、内外兼防；自身防御、主动免疫；纵深防御、技管并重。***的安全体系与信息系统整体之间，不是彼此独立、分离，而是紧密镶嵌、有机结合、高度融合的。本次设计依据国家等级保护的相关標准和规范，结合用户信息系统面临的安全挑战，为其建立一个完整的安全保障体系。等级保护整体规划如下图所示：安全域是指同一系统内有相同的安全保护需求，相互信任，并具有相同安全访问控制和边界控制策略的子网或网络，且相同的网络安全域共享一样安全策略。在安全防护领域，对网络系统进行分区分域进行防护是常规的做法。本次设计对用户的整个网络采用分区分域的模块化架构设计方法，清晰定义和区分不同的功能区域，将基础网络平台划分为不同的功能区域，部署不同的应用，使网络架构具有可扩展性、灵活性、高可用性和高安全性。每一个功能区域按照网络分层设计方法进行层次化、结构化设计，保障各区域网络在每个层次上的平滑扩展，实现各个区域在服务功能、网络规模上的扩展能力。并且分区分域后，每个功能区域都可以根据自己业务的特点部署针对性的安全措施，可有效提升区域安全度，从而根本上提升整个网络的网络安全等级，满足等保二级对网络安全方面的要求。在等保2.0標准中按照等级保护要求要求，信息系统一般划分为四个安全域，即：边界接入域、网络基础设施域、计算环境域以及支撑性设施域。在每个安全域分别划分对应分区：边界接入域包括互联网接入区、DMZ接入区、外联网接入区、内联网接入区、内部网接入区；网络基础设施域包括接入层、分布层、核心区；计算环境域设有一般服务区、重要服务区、核心服务区以及云平台应用区；支撑性设施域包括安全系统、网关系统、其他支撑系统。本次设计考虑到用户系统的实际情况，总共划分为网络出口区、安全运维区、核心交本次设计的日志审计系统、网络审计系统、堡垒做出口网关。通过部署下一代防火墙，可以实现边界层面、系统层面、应用层面以及数据层面的安全威胁源头防护各类网络、系统、应用、数据层面的安全威胁同时下一代防火墙提供完整的应用层安全防护的设备，打造L2能防御体系，可以全面替代FW、IPS等安全设备，只需要一去多套设备的边界安全能力，并提供更加完整借助防火墙提供的统一可视化的日志分析，实详情及针对性的修复策略，帮助用户更明确、上对防火墙核心作用的分析，需要其他具备检测新的设备和防火墙配合，共同防御来自应用层到网络层的多种攻击类型，建立一(IPS)就是安全防护体系中重要的一环，它能够及时识别网络中发生的入侵行为并实时报警并且进行有效拦截防护。本次设用协议进行检测、对内容进行深度的检测。阻断组织都已对信息安全系统进行了基本的安全防应用及数据风险：包括用户非授权访问、管理员现象，往往要对数台甚至数十台网络设备及主机真正的故障原因，缺乏有效的统一安全事件审在信息系统内部通过集中采集信息系统中的系统安全事通过日志审计系统，系统管理员随时了解整个IT系统的便高效地对信息系统进行有针对性的安全审计。本次项目，计划在系统安全运维区部署一套日度、跨设备、细粒度的关联分析，透过事件的表象真用户构建“可视、可控、可优化的互联网”b)对于每一个事件，其审计记录应包括：事件的日期和时间、用户、事件将日志保存至少6个月，可方便的生成报表等。>传统网络安全审计系统无法审计运维加密协议、远程桌面内容本次设计在安全运维区域部署一套运维安全管理系统(堡垒机),通过运维堡垒机登录支持web和客户端，,登陆一次即可访问所有的授权对象，在范所有运维人员的操作(指令级操作),实时监控运维用户的操作同时可以控制操作中出现的误操作、滥操作以及对重要核心业务或数垒机对所有操作进行录像和记录日志，日志管理信息化系统的引入、网络的建设与升级为用户带户办公与依托于网络的业务能够平稳有效进3)用户数据及资料的安全问题：这其中包括如何保障用户的数据及资料因此，本次设计部署一套终端安全管理系统，目標是从用户信息化系统终端安全与管理的角度出发，以终端安全为核心，以终端桌面管理为重点，提供以终端为基础的桌面安全与管理整体解决方案，具体内容包括终端安全、桌面管理、统一运维三个方面：终端安全提供针对终端安全的防护措施，为终端提供安全的上网办公环境，具体包括如下几方面内容：√终端病毒与恶意代码防范桌面管理√终端硬件性能监控统一运维的以网络(包括Internet、广域网、局域网)形态进行传播，因此为了安全的端主机的病毒防护能力并及时升级恶意代码软件版署防病毒服务器，负责制定终端主机防病毒策略，实现数据库等系统进行任意时间点的恢复；也可以在机房部署备用服务器，通过容灾备份系统可以在生产站点发生灾难时，接管备用服务器，从而实现容灾的快通过部署备份一体机其优势如下：>备份方式多样化可以对服务器操作系统、应用系统、数据库进行单独备份、部分备份也可以全部备份，灵活方便，只需备份空间满足即可。>高可靠的数据恢复备份一体机具有增量删减功能，在设备进行增量备份后，即使设备备份了带有感染病毒的文件，但是设备保存的增量文件名在文件目录里是新旧2个目录，保证T-1次备份数据100%恢复，当次备份数据恢复99%以上。>不影响原有数据设备部署后，用户原有生产系统数据结构不发生任何改变，备份方式基于数据库、应用系统原生工具，不改生产数据IO流向。>全面数据保护支持各种主流操作系统平台的应用服务器实现文件及操作系统热备份、恢MySQL、Exchange、Sharepoint、LotusNotes、SAPERP等；满足客户对各种级别数据保护的需求。>先进的备份技术安全管理体系的作用是通过建立健全组织机构、规章制度，以及通过人员安全管理、安全教育与培训和各项管理制度的有效执行，来落实人员职责，确定行为规范，保证技术措施真正发挥效用，与技术体系共同保障安全策略的有效贯彻和落实。信息安全管理体系主要包括组织机构、规章制度、人员安全、安全教育和培训等四个方面内容。总体安全方针与安全策略是指导用户方所有信息安全工作的纲领性文件，是信息安全决策机构对信息安全工作的决策和意图的表述。总体安全方针与安全策略的作用在于统一对信息安全工作的认识，规定信息安全的基本架构，明确信息安全的根本目標和原则。本次项目中我公司将协助用户方确定安全管理体系的层次及建立方式，明确各层次在安全管理体系中的职责以及安全策略，建立具有高可操作性的考核体系，以加强安全策略及各项管理制度的可落实我方为用户方设计的总体安全方针与安全策略将具备以下特性：■安全策略紧紧围绕行业的发展战略，符合用户方实际的信息安全需■总体安全方针与安全策略中将明确阐述用户方所有信息化建设项目在规划设计、开发建设、运行维护和变更废弃等■安全策略在经过用户方信息安全决策机构批准之后，将变化时，我方将协助用户方及时对总体安全策从安全策略主文档中规定的安全各个方面所应信息安全领导小组负责定期组织相关部门和相关活动是由服务方，如集成方、开发方、测评环境包括计算机、网络机房环境以及设置有网络护等级，制定信息安全事件分级应急处置预案，明制度，第二级以上信息系统发生较大、重大、特别■总体安全策略(组织、流程、策略、技术)安全保护等级，准备定级备案表和定级报告通过漏洞扫描、配置核查和渗透测试等技术手段在发现目標系统这里，所有的渗透测试行为将在客户的进行。通过远程渗透测试全面检测信息系统清单中的系统(网站)直接暴露在根据漏洞扫描、配置核查和渗透测试的结果，对议(包括主机安全加固、网络设备安全加固服务、安全设备安全加固优化服务、数据库系统安全加固服务、管理制度完善),并对具体的安全加固提供指导主要对用户单位所有主机系统(含虚拟机)进行安全加固，内容如下：■木马、后门及rookit;■配置账号、组策略■评估新补丁对操作系统及应用系统的影响，在不影响系统正常使用的情■清理数据库默认配置无用账号1.1.1.13.安全管理制度编写为用户选择满足国家要求的测评机构(在本省等包办推荐目录下且在本省备案的测评机构),完成对用户单位信息系统的等级保护测评。7.设计组：由项目承建单位实施技术人员担任本项目建设周期为30日历天，主要建设步骤如下：阶段任务时间设备到货、上架、IP地址配置、综合布线工作段安全审计、运维等设备配置4天存储、容灾6天各区域集成环境联调6天试运行5天1天验证设备能否满足项目招標参数需求；预验收的依8)预验收结束后与设备厂家签订预验收纪要，在预验收纪要中明确预验试运行期间设备工作能力须达到技术协议规定，的检测手段，测定设备合格证上的各项指標,检测结果确定为该设备的原始资A、系统管理员安装设备时上下设备之间必须至少保留1个U的距离，D、系统管理员需将电源线和网线(光纤线)分别扎在机柜的两侧(强电弱电分离),不允许线路杂乱无章,不允许跨机柜走线，并贴好对应標签。(1)判断用户对网络以及主机数的需求；(2)计算满足用户需要的基本网络地址结构；(3)计算地址掩码；(4)计算网络网络地址；(5)计算网络广播地址；(6)计算网络的主机地址；(1)网络中最多可能使用的子网数量N(net);(2)网络中最大网段已知的和可能扩展的主机数量N(host)。(1)选择子网号(subnetID)字段的长度值X,要求：N(net)≤2^X。(2)选择主机号(hostID)字段的长度值Y,要求：N(host)≤2^Y。(3)根据X+Y的值确定需要申请哪一类IP地址；过8位，则需要申请2个C类地址或者申请一个B类地址。划分子网之后的地址掩码是将一个標准的32位IP地址中高于主机位(hostID)的高位全部置1即可，(以上面为例：Y=4)也就是需要将標准的IP地址的第四个8位中的高4位置1,将其化为十进制表示为：128+64+32+16=240。由于地址设计时主机号长度为Y=4,那么每一个子网中最多有(16-2=14)个主机，也就是说相邻子网的主机地址的增量为16.例如，我们现在有一个C主机号全部置1就是广播地址。同时，我们也可以总结出另一个简单的规剔除网络地址和广播地址之外的网络地址都是主机可以使用的IP地址。数据中心是服务器、网络设备和存储设备等通道或端口的故障均可能造成整个系统的运行不正常布线系统的可靠性极其重要。除了一般采用的设备冗使用空间非常宝贵，因此要求其中的每种设备尽量基础设施，布线系统采用小尺寸高密度的解决方案，数据中心布线的基础架构也可以进行电子监线架管理系统能为管理员提供交互式的，实时线架是网络管理软件的有效补充，电子配线架主预连接光纤系统是专为数据中心光纤布线研发本项目网络线采用6类非屏蔽双绞线，沿用一期项目所使用线缆参数与颜1)公司组建工程施工项目部，确定施工现场的管理和4)现场与各个子系统涉及的设备生产、安装厂家进行接洽，作好技术配续。根据现场进度情况，在管、槽完备的前提下1)根据专业规范和標准要求对本专业系统工程各子系统分部分项进行调2)在各子系统分项调试完成后，进行系统间的联动、集成管理调试。1)进行人员培训2)验收合格后，进行系统交接工作，进入质量保修期运行。问控制，保护内网环境。在网络出口处部署防火墙，启用NAT功能和防火墙的各项安全策略(网络管理、资源管理、用户认证、防火墙、内容过滤、应用识别、入侵防御、反垃圾邮件等功能),划分不同功能区域与访问规则，将可疑的攻击行为，有效保护用户网络IT服务资源，使其免受各种外部攻击侵扰；能够采集多个不同网段的日志信息。这种部署方式适用于物对审计系统进行诸如IP和镜像口的基础配置后平台，可以管理内容包括网络设备、网络安全设备、服理设备的基础上还包括对IP地址管理、设备配置管理、进程管之上，通过网络ACL设置将远程访问权限。运维安全审计系统部署在被管理服务器的访问路径上，通过防火墙或者交换机的访问全审计系统直接访问服务器的远程维护端口。安全审计系统，然后通过运维安全审计系统模拟成远程访问的服务端，接受运维机的连通过LAN备份方式在机房部署一台备份一体机，利用容灾设备的定时增量在单一设备上整合多种数据保护技术。内置的CDP技术充分发挥了高速磁盘介质的特点，秉承当数据写入时即完成保护的原则，实现RPO=0。在集群架构备份、复杂环境数据保护质量控制管理由质量保证组负责实施，其工作求出发，制定出相应的管理和技术规范，订立、部门经理参加的质量管理领导小组和质量管理部从技术上和管理上全面负责对相关产品和服务的质质量总监领导质量管理部的工作，根据承建单位质量管理领导小组的要求具体地对承建单位各项业务实施质量管理。质量管理部由一名有一定工作经验的QA工程师组成，他们分别深入到各个项目组中，与软、硬件工程师一起工作，了解具体项目的特点和进展情况，根据承建单位规定的各种规范和要求制定切实可行的质量保证办法，在项目组中起监督和协助的作用，及时地发现管理上的问题、漏洞或风险，提出相应的建议和解决办法。其次，质量管理最重要的目的是使承建单位有能力准时地以合理的成本去完成承接的任务，在一个个成功的项目中发展壮大，从而使承建单位更具竞争力。承建单位业务要长期稳定地发展，必须避免人员流动带来的不利影响，保持知识和经验的连续和累积，实行工程化、文档化和自动化的管理是一条必由之路。信息化系统承建单位在其质量管理领导小组的主持下，针对系统集成和支持服务等不同方面的业务内容，制定了一系列旨在加强和完善质量管理的规范和標准，为本项目的顺利开展提供了基本的保证。在项目管理中，建立风险管理策略和在项目的生命周期中不断控制风险是非常重要的，风险管理分为四个阶段：风险识别：识别风险的方法常用的有风险识别问询法(座谈法、专家法)、财务报表法、流程图法、现场观察法、相关部门配合法和环境分析法等。风险评估：对已识别的风险要进行估计和评价，风险估计的主要任务是确定风险发生的概率与后果，风险评价则是确定该风险的经济意义及处理的费/效风险监控：包括对风险发生的监督和对风险管根据信息化系统承建单位对本项目的理解，本项1、人员培训风险：本项目建成后，将涵括所有工作人员，人员计算机操作水平的参差不齐和人员的流动势必会给项目的培训工作带来很多不确定因素。针对人员培训风险，信息化系统承建单位采取多保期内，信息化系统承建单位将安排工程师常驻现后，信息化系统承建单位每个季度会安排工程师进针对与各已建系统的对接，信息化系统承建单位承诺积极配合，同时将对(1)建立需求基线，需求基线是需求变更管理的依据。在项目实施过程(2)制订简单、有效的变更控制流程，并形成文档。在建立需求基线后提(3)成立项目变更控制委员会(CCB)或相关职能的类似组织，负责裁定接(4)需求变更管理一定要先申请然后再评估，最后经过与变更大小相当级(5)需求变更管理后，受影响的软件计划、产品、活动都要进行相应的变(6)妥善保存变更产生的相关文档。度控制目標和分进度控制目標,并编制其进度计划。控制是指在项目实施的全(1)组织措施主要是指落实各层次进度控制的人员，具体任务和工作责(2)技术措施主要是采取加快实施进度的技术方法。(3)信息管理措施是指不断地收集实际进度的有关资料进行整理统计与计对于用户提出的(包括政策性的)软件修改、完善、细化等开发需求，由现场工程师与用户进行沟通，对应用软件的升级需承建单位以保障信息化系统平稳运行为目標,对用户提供总集成技术支持服务，包含对卫生平台的故障诊断、故障排除、修复安排资深工程师负责该项目集成服务工作，响应级别为7天*24小时，承建单位在接到用户售后问题时，5分钟之内作出实质性响应，远程不能解决的在6小时内到现场，直至问题解决。用户如因业务要求有新的系统建设要求，承为确保整个系统高效、安全、稳定的运行，运维小组负责提供日常的运维巡检服务，频率为1次/月，通过运维巡检服研发中心产品小组技术支持中心区域技术服务中心第一级基础运行保障为本项目配备有专职的技术工程师，给客户提供本地化服务，充分保证了响应速度与服务质量。在项目启动后，若故障发生时，将提供四种优质服务以获得技术支持：1、400电话服务响应时间7x24小时400免费技术服务热线沟通机制无限制次数的问题提交及讨论操作问题及一般疑难问题。服务流程如下图例所示：是否需要现场服务?是回访回访否响应时间7x24小时发送邮件沟通机制无限制次数的咨询及问题提交接到邮件5分钟之内响应，1小时之内解答系统操作问题售后事件发至售后邮箱回访客户人员回复并记录工程师电话指导紧急是否需要现场服务?否响应时间7x24小时即时通讯在线客服等沟通机制无限制次数的咨询及问题提交在接到客户故障报修时，5分钟之内做出响应，30分钟内可以保证及时解答用户操作问题，1小时之内解决系统质量问回访5分钟响应是否响应时间7x24小时电