企业信息安全架构全貌相关两份资料

信息安全技术信息安全管理信息安全控制信息安全服务信息安全组织信息安全流程信息安全方针信息安全制度合规需求管理物理安全通信安全操作安全数据安全访问控制人员安全备份容灾云安全应用安全等级定义运作控制技术控制服务控制流程控制资产管理业务连续性管理风险评估服务威胁评估服务安全情报安全态势威胁分析、溯源分析等级保护测评安全信息管理安全事件管理身份与访问管理服务基础设施安全管理应用安全服务数据安全服务安全行为捕捉、安全行为分析数据安全行为分析应用风险图谱数据风险图谱行为风险图谱公司信息安全现状评估011.2综合管理模型公司信息安全现状评估011.9安全能力评估（设备）基础支撑层基础环境保障与控制密钥服务管理（数字证书）时钟服务管理强身份认证(IDM/IAM)设备运维管理（ITSM）设备运维审计（堡垒机）合规管理高等级数据中心专业认证人士任职资格专职运维人员（基础设施）企业专网（VPNWAN)安全区域(生产网络隔离）基础网络层网络核心安全保障网络监控可视化（NOC)网络行为分析入侵检测（IDS/IPS)网络访问分区(交换机）访问控制（交换机、防火墙）无线网络管理(无线ac)DNS运维管理AD域运维管理IP资产管理移动设备安全管理无线接入分区控制IT资产管理系统应用层应用系统安全与优化应用安全代理（安全网关）数据库安全审计WEB应用防护(WAF)邮件服务安全系统漏洞评估(漏洞扫描)主机安全加固应用安全管理文档加密（亿赛通）应用之间隔离保护数据隔离保护（单数据库）安全基线管理应用基线管理数据基线管理数据脱敏、加密技术数据安全威胁分析生产数据层数据安全保障内容数据监控应用变更管理涉密数据管理配置变更管理数据防泄漏数据层传输加密（如HTTPS）统一身份认证(IAM/IDM)邮件归档管理（邮件归档系统）邮件内容过滤保护用户行为分析风险识别、风险分析安全舆情分析安全动态感知（内网、外网）合规认证（等保）合规认证（ISO27001)数据合规管理（个人信息、隐私保护、重要数据保护、CII保护）边界接入层边界安全保障与控制接入策略定制（防火墙）入侵攻击防护（IPS）病毒实时过滤（防毒墙）带宽保障控制(MplsVPN）远程安全接入(SSLVpn)网络应用加速(CDN)上网行为管理(AC)链路出口管理

终端接入控制（联软）终端桌面安全（360天擎）移动办公接入（无线、802.1X）移动接入安全（移动设备安全网关）重要系统隔离保护安全技术+安全设备安全运营、安全管理安全运维平台（SOC）合规审计平台（ADT）风险管理平台（RSM）安全态势感知平台（外部）日志分析平台（SIEM）行为分析平台（IT）（威胁情报、行为分析）安全治理总结：1、在基础网络、边界安全等方面比较全面基本满足业务需求2、在应用安全、应用数据安全、应用行为方面差距很大3、在安全运营、安全管理类综合系统，数据挖掘、数据展现方面，基于单个系统实现，未能实现集中管理、集中分析、集中展现、集中审查，安全治理能力方面较差4、人员结构不合理，在人员能力、组织结构方面需要加强5、工业网、工业控制网在安全管控、安全隔离方面相对较差有，基础阶段未深入、未涉及公司信息安全现状评估011.10安全能力评估（技术能力）物理安全（01）设备防盗设备防毁环境安全防电磁泄漏防线路监听电源保护越界管理红区管理通信安全（02）路由策略端口策略传输加密通信认证数字签名入侵检测防火墙流量控制WIFI、热点管理操作安全（03）规范、制度安全SOP规范行为审计操作回溯日志管理补丁管理密码策略防病毒鉴权终端安全操作监督审计应用安全+数据安全（04）加密数字证书身份认证网络隔离代码审计行为分析防篡改防泄漏敏感字过滤漏洞扫描涉密数据保护核心信息保护访问控制（05）网络分区应用访问控制（安全网关）安全代理准入控制上网行为管理防火墙服务控制控制策略红区设计人员安全（06）身份认证门禁权限控制行为审计越界管理红区管理备份容灾（07）应用备份数据备份应用容灾数据容灾集群已具备能力仅覆盖部分业务总结：1、在通信安全、操作安全、访问控制方面具备一定的管理和控制能力，基本满足运维需求2、物理安全、应用安全、数据安全、网络接入、业务连续性方面覆盖面、能力方面还需提升和改进3、需提升访问控制能力的精细能力，细化访问控制的颗粒度，提升应用、数据的控制能力和保护能力有能力执行不好公司信息安全现状评估011.16安全差距评估

整体评价整体评估：1、在管理制度、网络安全、应用安全、数据安全、终端安全方面已建立相关制度，部署了一些技术手段2、在行为留痕、事后追溯方面已有一定的能力和经验3、在权限控制、访问控制等方面存在细节方面的不足4、事前防御、事中控制方面存在不足5、在集中管理、集中监控、集中控制、统一管理方面存在不足6、网络分区保护、数据治理、数据安全治理方面存在不足7、对标ISO27001相关要求，我司在信息安全方面，基本达到60-70分水准，基本满足业务需求8、合规方面，开展了ISO27001和等级保护的初步工作，需在网络安全法的引导下，提升分享安全合规能力，如个人信息保护、APP合规评估、重要数据保护、跨境保护等方面9、境外合规方面尚未开展工作，如GDPR，LGDP等2.4信息安全业务全貌-车企典型信息安全体系框架信息安全整体规划02信息安全体系生产安全安全建设安全服务安全运营场地安全人员安全工控网络安全工控系统安全在线监测体系规划体系建设项目管理运行控制风险管理应用安全数据安全研发安全资产安全终端安全网络安全安全方针安全组织安全管理制度安全策略安全目标合规管理安全运营制度物理安全安全治理安全审计移动安全物联网安全异常监测数据分析车间安全大数据安全云安全流程建设技术控制服务控制安全框架安全标准风险控制财务控制脆弱性扫描应急预案安全模型制度建设风险评估安全事件管理威胁评估应急响应网络分析审计安全监控合规认证等级保护合格证管理应用分析审计安全需求管理安全培训分级保护安全态势最佳实践跨境安全安全能力管理安全情报安全管理计划服务设计服务交付安全考核任职资格数据分析审计安全演练车联网安全安全绩效供应链安全财务安全安全加固安全技术应用访问控制（堡垒机）冗余、灾备网络隔离全网监控（NOC）抗DDOS网络分层分级环境监控移动安全网关数据防泄漏多租户隔离资源管理硬件安全应用保护（WAF）加密防病毒IT服务管理(ITSM)统一身份认证上网行为管理企业私网（VPN）移动终端管理（MDM）边界保护虚拟平台安全访问控制协议安全邮件安全网关防垃圾邮件网关SIEM脆弱性扫描备份边界安全防御资产管理工具终端准入认证流量控制消防演练APP安全管理网络接入认证数据隔离服务控制总线安全SOC其它行为分析安全情报安全基线数据检测、数据校验CDN/SDN无线网络管理安全政策生产安全运营安全服务安全技术方针策略政策目标生产安全安全建设安全治理安全行为分析此框架为BMWGlobal所用框架个人信息保护隐私保护网络安全法GDPR2.5信息安全规划-信息安全整体规划02针对业务和信息安全、信息保密需求，建议从9个方面规划、建设信息安全体系 1）信息安全策略 2）信息安全标准、认证 3）信息安全组织 4）安全建设和运营 5）安全技术 6）信息保密 7）研发安全 8）信息安全绩效、考核 9）车-网安全信息安全策略安全组织安全建设和运营安全技术信息保密研发安全保密委员会安全委员会安全部门组织间的合作供应商安全应用分级分类安全体系建设项目安全管理安全运维风险管理与控制应用安全数据安全数据容灾安全监测SOC终端安全数据隔离与存储安全隔离保护软件开发安全数据防泄漏数据安全治理资产分类和分级重要资产定密资产标识与管理安全方针信息安全制度和规范信息安全流程和细则安全策略安全目标合规管理信息安全标准+认证绩效+考核业务连续性车-网安全车联网安全保护数据安全管理数据安全治理Car-net安全生产网络保护工控网络保护场地安全保护场地安全保护无线网络保护应用系统防护数据保护账号保护网络监控行为监控传输保护数据验证业务连续性管理业务连续性管理数据防泄漏业务监控数据监控合规管理数据控制系统防护异常捕捉全网监控（NOC，ITSM数据中台）合规建设安全态势安全威胁情报统一身份认证数据备份与恢复2.7信息安全规划-技术体系信息安全整体规划02安全技术能力框架备份恢复监控审计数据安全身份认证访问控制网络安全终端安全系统安全应用安全/数据安全安全技术能力框架身份认证访问控制数据安全监控审计备份恢复终端应用系统网络用户名密码数字证书CA用户名密码数字证书CA用户名密码数字证书CA数字证书CA用户名密码统一身份管理（用户、目录、密码、身份统一管理）统一认证管理（注册、认证、授权、会话、注销）一次性口令利用SSO实现访问控制应用系统内置的授权管理管理权限回收终端外设访问控制安全域流量监控、分析网络流量控制网络分区虚拟化桌面

软件资产管理（SAM）桌面状态监控终端数据备份终端系统备份防篡改技术（数字签名）加密技术（SSL\PKI）数据库安全审计源代码安全控制文件加密主机恶意代码防范系统漏洞扫描系统备份本地数据与日志备份远程数据与日志备份传输安全网络链路冗余防火墙规则审阅网络入侵检测旁路引流网络入侵防护IPS防垃圾邮件系统完整性审计网络行为监控IT安全配置基线网络设备冗余识别码数据库安全防护WEB应用防护主机入侵防护HIPS网络设备监控协议与数据包分析主机入侵检测系统安全加固应用系统日志审计全盘加密数据检测防病毒网关防火墙VPN网络渗透测试无线接入点侦查桌面统一管理终端防泄漏邮件内容侦测防泄漏网关打印访问控制数字权限管理数据保护应用程序与日志备份数据库与日志备份内容/控制层分离应用访问授权终端恶意代码防护一次性口令特权账号管理操作系统的安全特性系统配置的访问控制移动终端管理已实现部分实现未实现车-网安全车联网安全保护数据监控总线安全生产网络保护工控网络保护工控防火墙工控防毒无线网络保护应用系统防护数据保护账号保护网络监控行为监控传输保护数据验证业务连续性管理数据加密数据备份应用容灾大数据分析业务监控访问控制系统防护异常捕捉工控网络隔离行为分析应用保护终端远程控制应用运维审计操作行为审计计划中终端版本控制（恢复控制）应用系统日志监控数据日志审计应用安全保护（主从、双活）数据库访问授权账号生命周期管理账号有效性管理权限有效性管理系统标准化管理系统安全基线安全基线管理应用安全基线数据安全基线分区访问控制VLAN行为监控、分析堡垒机网络接入控制流量清洗异常检测应用访问控制信息安全策略体系安全组织安全建设和运营安全技术信息保密研发安全保密委员会安全委员会安全部门组织间的合作供应商安全应用分级分类安全体系建设项目安全管理安全运维服务风险管理与控制应用安全数据安全数据容灾安全监测SOC终端安全数据隔离与存储安全隔离保护软件开发安全数据防泄漏数据安全治理资产分类和分级重要资产定密资产标识与管理安全方针信息安全制度和规范信息安全流程和细则安全策略安全目标合规管理信息安全标准+认证绩效+考核业务连续性车-网安全车联网安全保护数据安全管理数据安全治理Car-net安全生产网络保护工控网络保护工控数据保护场地安全保护无线网络保护应用系统防护数据保护账号保护网络监控行为监控传输保护数据验证业务连续性规划业务连续性管理数据防泄漏业务监控数据监控合规管理数据控制系统防护异常捕捉全网监控（NOC，ITSM数据中台）合规建设安全态势安全威胁情报统一身份认证数据备份与恢复数据隔离与存储成立信息保密委员会信息安全团队组建岗位及职责定义供应商安全准入标准系统定级与梳理：数据定级定期安全扫描安全基线复核检查安全服务门户应用安全接入应用访问控制应用权限梳理应用行为分析行为捕捉行为分析统一安全门户ISO27001认证等级保护测评与认证网络安全法评估内网全局防病毒数据防泄漏2020-2022年，围绕公司信息安全目标，在核心数据保护、内网安全保护方面开展工作

，前期以能力建设、基础防护、企业合规认证为主，后期逐步推进和提升数据备份数据容灾资产生命周期管理制定网络分区方案制定研发网络保护方案制定生产网络保护方案移动安全保护APP安全检查移动终端管理MDM移动端应用内容管控数据分级分类管理标准、规范、制度业务连续性管理2.9信息安全规划-2020~2023重点工作信息安全整体规划022022-20232021-20222020-20212.11信息安全规划-项目对应关系外部、互联网边界入侵防御访问控制流量控制入侵检测终端网络服务器流量清洗流量检测边界防毒应用防护身份认证网络准入行为分析行为审计接入过滤企业网（VPN）攻击防御行为检测数据审计上网行为管理访问控制（VLAN）桌面杀毒服务器杀毒邮件安全身份认证（AD）漏洞检测云桌面文档加密运维审计（ITSM）传输保护终端准入移动网络网络隔离配置管理变更管理审批管理威胁检测安全态势威胁分析权限管理终端监控全网监控（NOC）数据库监控（DOC）终端安全管理服务器安全管理邮件安全安全情报数据安全应用安全涉密数据管理统一身份认证移动安全管理数据库安全保护数据行为监控、分析安全态势监控网络行为监控、分析用户行为监控、分析数据防泄漏涉密数据管理内容安全监控、分析整体安全状态（SOC）个人信息保护合规测评合规认证数据治理数据安全治理数据安全管理（容灾、备份）数据安全威胁分析网络安全威胁分析基础安全内网安全数据行为安全序号项目名称工作目标1APP安全合规评估项目2车辆监控平台合规评估项目3终端管理系统4安全基线管理系统5研发数据灾备二期项目6大研发网络隔离保护项目7官网等级保护合规项目82020车联网安全态势项目92020安全服务项目10NAS杀毒项目123343586679101—安全规划2—安全服务岗3—安全运维岗4—安全实施岗安全制度行业标准合规安全基线安全管理流程风控安全技术体系服务报告服务支持交付管理服务保障运维保障BCM安全服务体系安全体系整体安全架构业务安全数据安全规划安全审计培训合规审计认证资质审计方案分析报告业务连续性实施实施规范安全运维运维规范安全规范安全服务接入规范项目管理VPN接入DNS防火墙边界隔离入侵检测安全扫描安全评估渗透测试带宽管理监控保障监控保障体系+规划重点项目+服务管理二线技术支持一般项目+运维管理一线技术支持设备运维、服务支持一线技术支持2.12信息安全规划-2020-2023岗位规划信息安全整体规划02岗位领域岗位名称建议职级（最小）数量任职资格年限要求优先级备注安全运营岗安全运营管理L52CISSP-CAP>10年1安全服务岗安全规划主管L41+1CISSP-ISSAP5-10年1安全服务管理主管L41ITIL+ISSMP5-8年2与运维交付主管互备安全运维交付主管L41+1SSCP或ISSEP5-8年3与运维管理主管互备安全审计工程师L21+1CISA/CISP3-5年2安全运维岗安全规范工程师L31+1CISSP或ISSEP2-5年1安全运维工程师L22+2CCNA+ISSEP2-5年1短期内可以合一安全操作岗安全工程师（监控、操作、保障）L21+3CCNA2-5年1合计15-202.12信息安全规划-2020-2023岗位规划信息安全整体规划02信息安全业务规划-信息安全组织信息安全整体规划02保密办公室

（主持保密工作）信息安全组织（信息安全委员会）公司级信息保密组织（保密委员会）职能部门信息安全组织职能部门

保密组织职能部门

保密组织职能部门信息安全组织信息安全办公室领导领导指导监督领导领导协作协作信息保密委员会-----信息保密最高决策机构负责审核公司信息保密目标与方针总体信息保密规划与重点管控方案保密办公室—日常管理办公室日常检查机构，信息保密管理工作负责信息保密规划和管控方案、制度的制定与落实。上报检查结果和整改措施信息安全委员会----

企业信息安全决策机构建设信息安全技术体系、建设信息安全管理体系负责审核公司信息安全方案配合信息保密要求，建设相关的信息安全能力，全提升信息安全保护能力、提供取证和追溯能力信息安全办公室—日常管理办公室日常检查机构，信息安全管理工作负责信息安全规划和管控方案、制度的制定与落实跟进信息安全能力建设过程，上报检查结果和整改措施主导信息安全事件响应机制，对过程和结果负责各级业务和管理单位-----信息安全办成员一把手负责制负责需求提出参与方案制定负责对应业务职能信息安全管理（采购、生产、销售、服务、管理等）提供资源或支持，确保管理和技术措施落实数据保护框架—安全分区规划（整体架构）安全控制点：1、研发机构单独办公区域或专用网络，该区域或网络重点保护、研发数据根据数据分级分类定义实施脱敏、加密等手段2、部署数据保护手段（DLP），将数据限定受控环境内3、交互区：

文件和数据经审核后才能被传递到办公网络,在此交互区部署

网络访问控制、外发控制、数据隔离、防泄漏保护、行为审计、流量审计4、研发审批：

所有研发系统访问都必须被审批，且被监督

所有网络行为、外发行为被审计、被监督6、绿区出口：部署准入控制、身份识别、需求审批、上网行为管理、入侵检测、防病毒、入侵防御等手段4区域范围安全等级管控方式安全重点蓝区和生产、测试或者工控系统有关的网络和物理区域。生产制造有关的、核心竞争力的信息系统和制造区域最高原则上不对外网络完全隔离强管控或强授权访问控制（可信受控）保护生产环境红区与设计、研发相关的专用区域。主要用于研究人员在进行设计、研发、技术支持等活动所涉及的区域极高采用强管控独立的物理办公区域、专用的门禁、监控、网络设备、安全策略与互联网强隔离，原则上不允许有数据交互，有特别需求的通过专用的红区互联网DMZ区进行，并需取得一定级别人员审批后方可访问数据防泄漏研发信息泄密绿区（办公区）非研发设计类的其他的办公、安管、运维系统所在区域，包括

考勤系统、财务系统、在线打印系统、会议室预订系统、文档加密系统、食堂、门卫等平衡与互联网可以有数据交互，但是必须经过严格的访问控制策略如准入控制、身份识别、需求审批等通过交互区实现与红区进行数据交互内网病毒内网数据窃取内网泄密内网攻击黄区(互联网区）用于与互联网或者非本单位网络的基础设施系统。例如：出口防火墙、负载均衡、IPS、上网行为管理、出口路由器交换机等网络及安全设备的区域中-高与互联网可以有数据交互，但是必须经过严格的访问控制策略如准入控制、身份识别、需求审批等外网入侵外网渗透外部病毒邮件泄密外发泄密1235绿区（办公网络）红区（研发专用））研发服务器研发终端办公终端办公服务器黄区（外部网络）外部用户外部研发人员外部邮箱、论坛蓝区（工控、生产、车间、试制试验、测试、关键研发）办公区（XX人）物理共用逻辑隔离风险：1.核心交换为单一通道，办公区和研发区只是逻辑隔离，数据泄露风险大，对底层攻击行为防御力度不足2、路由策略全在核心交换上，所有数据都通过核心交换，一旦失效则全网瘫痪3、研发区如果存在病毒、泄密、外发信息行为，需要从大量网络数据、网络行为里捕捉少量数据，难度较大4、研发区域如果存在重大问题，如病毒、泄密、外发信息，需要阻截、捕捉时，可能需要调整核心交换的策略，影响面太大5、由于研发人员与普通办公人员混坐，混用网络，无法有效捕捉、定位、确认违规人员或设备研发区（XX）互联互通区域（黄区）入侵检测病毒防范数据保护流量控制安全运营管理威胁检测访问控制身份认证安全代理行为分析防泄漏研发区（红区）研发区（红1区），一级和特殊级涉密人员、涉密系统、涉密数据研发区（红1区），二级和三级涉密人员、涉密系统、涉密数据普通研发红区研发业务普通人员，不涉密人员，等同于普通办公人员办公区（绿区）普通办公人员生产网络（蓝区）工厂网络车间网络试制试验特殊工艺部门等管理区（紫区）高层管理者或特殊人员访客区（黑区）会议区（橘区）改进：重点保护、保证、研发区域、生产网络、管理区的可靠性和安全性按业务分工精确拆分、控制不同的网络域（网络分区），匹配、适用不同的安全要求、安全策略、管控方式隔离、控制不同区域之间的数据、流量、行为，更精准定位事件、信息发起点、及时捕捉、控制异常信息来源对业务和流量进行分流、引流控制，避免全网瘫痪风险整体网络架构具备横向扩展能力，根据业务发展状况灵活调整数据保护框架—网络分区规划（详细级架构）前提：物理上分为4个区域（黄区、红区、绿区、蓝区）其中办公区（绿区）拆分出管理区、访客区、会议区大研发区研发数据中心区（独立网段）数据保护框架—研发安全分区规划-根据涉密级别）区域范围安全等级管控方式安全重点红1区一级、特殊级涉密研发人员占比<10%最高独立的物理办公区域、专用的门禁、监控、网络设备、安全策略；原则上不对外网络完全隔离；专用打印机、碎纸机、文件服务器强管控或强授权访问控制（可信受控）保护核心涉密信息保障零泄漏红2区二级、三级涉密人员

占比50-60%极高采用强管控与互联网强隔离，原则上不允许有数据交互，有特别需求的通过专用的红区互联网DMZ区进行，并需取得一定级别人员审批后方可访问数据防泄漏研发信息泄密普通研发红区非涉密研发人员占比30-40%平衡与互联网可以有数据交互，但是必须经过的访问控制策略如准入控制、身份识别、需求审批等通过交互区实现与红区进行数据交互内网病毒内网数据窃取内网泄密内网攻击绿区（办公网络）黄区（互联网出口及外部）普通研发红区红1区红2区研发专用内网邮件服务器DC研发专用文件服务器公司邮件服务器0.红2区和普通研发红区，与现有管控方式保持不变，后期再优化1.大研发区设置邮件服务器，发送邮件，通过研发专用邮件服务器中转（纯域名和IP，不对外，如rdmail.bjev）2、外部人员发送邮件给研发人员，从公司邮件服务器上设置对应的策略，自动转发3.大研发区设置文件服务器，研发人员可通过文件服务器上传、下载文件，设置不同的权限和访问控制---------可能需要单独采购具备独立、完整控制权的文档管理系统4、为红1区人员（一级、特殊级涉密人员、部分二级涉密人员）设置单独的上网区域，不可连接研发网络，查询的资料可发至外部邮箱，自动中转至研发邮箱5、研发人员需要向外部发送邮件（尤其带附件的），统一外发至指定邮箱（如outside@rdmail.bjev，由研发各部门安全人员审核后，统一外发）6、一级、特级涉密人员外发信息，需得到保密委员会的审批和审核，再由指定人员单独外发，记录外发日志和内容7、大研发区网络独立于办公网络，两网络边界设置防毒墙、防火墙、堡垒机、流量控制等防御系统和检测系统，必要时部署行为分析、流量分析、威胁分析等工具研发外发邮件审核单独上网区域防病毒深度威胁检测FW/IPS外部用户第三方系统外部系统边界保护接入保护数据协议准入认证授权接口规范标准合规授信监控追溯（绿区）外部（红区）边界（端）网络授权接入过滤防攻击行为审计接入规范接入认证访问审计数据备份数据审计应用授权企业网络1237服务支持8456统一监控平台（SOC）应用管控数据中心数据隔离终端管控网络调度服务支持系统安全管控管理平台应用隔离访问控制数据保护系统行业系统供应商系统统一接入平台QOSQOS接入平台核心区域行为审计访问控制网络加速边界防毒应用防护2.11信息安全规划-安全运营框架信息安全整体规划02数据保护框架—分层防御1、全局上提供防御服务、监测服务、审计服务、安全技术服务、安全支持服务2、针对各种请求、数据流（用户端、办公网），在入口提供防御服务，主要包括防攻击、应用保护、数据加密等3、在数据中心、IT业务系统与入口之间，实施防御服务，主要包括流量清洗、防内外攻击等4、在办公网络与数据中心、IT系统之间，实施防御服务，主要以防窃听、防篡改、防病毒、数据加密等服务用户访问研发网络防病毒深度威胁检测入侵检测FW/IPS堡垒DB审计扫描/合规监测可用性监测安全性监测外围防御传输控制应用应用应用传输保护数据加密数据库数据库数据库应用数据事件监测监测流管理流日志流日志流审计安全技术监测流流量日志采集流量过滤外部安全审计ADS/FW/IDS入口数据中心、IT系统边界（黄区）基于网络架构的安全防御规划-分层设计、分层防御、分区保护外发控制身份认证安全检查应急响应运维管理安全加固安全评估安全托管上线前扫描安全支持局域网、办公网（绿区）访问控制准入权限行为审计外发控制审计安全审计日志流NOC+SOC安全态势评估DLP行为审计数据库审计应用审计权限审计生产网络、工控网络专用网络深刻理解习近平总书记关于网络强国的重要思想2

0

2

1

年

1

月中共中央党史和文献研究院编辑的《习近平关于网络强国论述摘编》由中央文献出版社出版，在全国发行。《

论述摘编》

分

9

个专题，

共计

285段论述，摘自习近平同志2013年3月4日至2020年11月

23

日期间的讲话、

报告、

演讲、

指示、

批示、

贺信等一百篇重要文献。192网络安全国家战略驱动习近平网络强国思想《网络安全法》《密码法》网络安全等级保护制度关键信息基础设施保护条例国家战略十四五规划与2035愿景目标（网络安全保障体系与能力）国家网络空间安全战略国家总体安全观网络安全观《国家安全法》网络安全审查办法《个人信息保护法》未来：分类分级保护制度？《数据安全法》未来：数据交易管理制度？未来：数据安全审查制度？法律20行政法规网络安全国家战略驱动212网络安全宣传周简介2014年2月，中央网络安全和信息化领导小组第一次会议上，习近平总书记提出“没有网络安全就没有国家安全，没有信息化就没有现代化”。网络安全从此上升为国家战略。为了普及网络安全知识，提升人民群众网络安全意识，了解和掌握网络安全防范方法，中央网信办决定，2014年11月举办首届国家网络安全宣传周。2022年国家网络安全宣传周由中央宣传部、中央网信办、教育部、工业和信息化部、公安部、中国人民银行、国家广播电视总局、全国总工会、共青团中央、全国妇联等部门联合举办。主题为网络安全为人民，网络安全靠人民。举办网络安全宣传周、提升全民网络安全意识和技能，是国家网络安全工作的重要内容。习近平总书记曾多次强调网络安全意识的重要性，并对强化网络安全意识提出具体要求。223坚持1国家网络安全工作要坚持网络安全为人民、网络安全靠人民，保障个人信息安全，维护公民在网络空间的合法权益。坚持2要坚持网络安全教育、技术、产业、融合发展，形成人才培养、技术创新、产业发展的良性生态。坚持3要坚持促进发展和依法管理相统一，既大力培育人工智能、物联网、下一代通信网络等新技术新应用，又积极利用法律法规和标准规范引导新技术应用。坚持4要坚持安全可控和开放创新并重，立足于开放环境维护网络安全，加强国际交流合作，提升广大人民群众在网络空间的获得感、幸福感、安全感。网络安全宣传周简介23网络安全周主题网络安全为人民，网络安全靠人民44通过本次培训，让您了解到关于信息安全的重要性。您对于本次培训知识的分享，让更多的人意识到信息安全的重要性。您的一句提醒，或许就可以避免数以万计的财产损失。网络安全法律法规• 2017：《网络安全法》• 2019：《网络安全等级保护条例》• 2020：《网络安全审查办法》• 2021：《数据安全法》• 2021：《个人信息保护法》• 2021：《关键信息基础设施保护条例》• 2021：《关键信息基础设施保护指导意见》4网络安全法律法规4网络安全法第三章

网络运行安全第二十一条

国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改：（一）制定安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任；（二）采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施；（三）采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月；（四）采取数据分类、重要数据备份和加密等措施；（五）法律、行政法规规定的其他义务。网络安全法律法规数据安全法第三章

数据安全制度第二十一条

国家建立数据分类分级保护制度，根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护。国家数据安全工作协调机制统筹协调有关部门制定重要数据目录，加强对重要数据的保护。关系国家安全、国民经济命脉、重要民生、重大公共利益等数据属于国家核心数据，实行更加严格的管理制度。各地区、各部门应当按照数据分类分级保护制度，确定本地区、本部门以及相关行业、领域的重要数据具体目录，对列入目录的数据进行重点保护。4网络安全法律法规网络安全等级保护等保2.0提出了新的要求

“一个中心、三重防护”通信网络安全针对网络架构和通信传输提出了安全控制要求，主要对象为广域网、城域网、局域网的通信传输及网络架构等，涉及的安全控制点包括网络架构、通信传输、可信验证。计算环境安全边界称为安全计算环境，通常通过局域网将各种设备节点连接起来，构成复杂的计算环境。构成节点的设备包括网络设备、安全设备、服务器设备、终端设备、应用系统和其他设备等，涉及的对象包括各类操作系统、数据库系统、中间件系统及其他各类系统软件、应用软件和数据对象等。对这些节点和系统的安全防护构成了“一个中心，三重防御”纵深防御体系的最后-道防线。4区域边界安全在现实环境中往往需要根据不同的安全需求对系统进行切割、对网络进行划分，形成不同系统的网络边界或不同等级保护对象的边界。网络边界防护构成了安全防御的第二道防线。在不同的网络之间实现互联互通的同时，在网络边界采取必要的授权接入、访问控制、人侵防范等措施实现对的保护，是安全防御的必要手段。安全管理中心是纵深防御体系的大脑，是一个技术管控枢纽，安全管理中心针对整个系统提出了安全管理方面的技术控

制要求，通过技术手段实现集中管理，涉及的安全控

制点包括系统管理、审计管理、安全管理和集中管控。4网络安全法律法规关键信息基础设施保护条例第三十一条国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。关键信息基础设施的具体范围和安全保护办法由国务院制定。国家鼓励关键信息基础设施以外的网络运营者自愿参与关键信息基础设施保护体系。-《中华人民共和国网络安全法》第二条本条例所称关键信息基础设施，是指公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领域的，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的重要网络设施、信息系统等。-《关键信息基础设施安全保护条例》网络安全法律法规（八）按照规定报告网络安全事件和重要事项。4第十二条第十三条安全保护措施应当与关键信息基础设施同步规划、同步建设、同步使用。运营者应当建立健全网络安全保护制度和责任制，保障人力、财力、物力投入。运营者的主要负责人对关键信息基础设施安全保护负总责，领导关键信息基础设施安全保护和重大网络安全事件处置工作，组织研究解决重大网络安全问题。第十四条 运营者应当设置专门安全管理机构，并对专门安全管理机构负责人和关键岗位人员进行安全背景审查。审查时，公安机关、国家安全机关应当予以协助。第十五条 专门安全管理机构具体负责本单位的关键信息基础设施安全保护工作，履行下列职责：（一）建立健全网络安全管理、评价考核制度，拟订关键信息基础设施安全保护计划；（二）组织推动网络安全防护能力建设，开展网络安全监测、检测和风险评估；（三）按照国家及行业网络安全事件应急预案，制定本单位应急预案，定期开展应急演练，处置网络安全事件；（四）认定网络安全关键岗位，组织开展网络安全工作考核，提出奖励和惩处建议；（五）组织网络安全教育、培训；（六）履行个人信息和数据安全保护责任，建立健全个人信息和数据安全保护制度；（七）对关键信息基础设施设计、建设、运行、维护等服务实施安全管理；关键信息基础设施保护条例网络安全法律法规4第十六条运营者应当保障专门安全管理机构的运行经费、配备相应的人员，开展与网络安全和信息化有关的决策应当有专门安全管理机构人员参与。第十七条运营者应当自行或者委托网络安全服务机构对关键信息基础设施每年至少进行一次网络安全检测和风险评估，对发现的安全问题及时整改，并按照保护工作部门要求报送情况。第十八条 关键信息基础设施发生重大网络安全事件或者发现重大网络安全威胁时，运营者应当按照有关规定向保护工作部门、公安机关报告。发生关键信息基础设施整体中断运行或者主要功能故障、国家基础信息以及其他重要数据泄露、较大规模个人信息泄露、造成较大经济损失、违法信息较大范围传播等特别重大网络安全事件或者发现特别重大网络安全威胁时，保护工作部门应当在收到报告后，及时向国家网信部门、国务院公安部门报告。第十九条 运营者应当优先采购安全可信的网络产品和服务；采购网络产品和服务可能影响国家安全的，应当按照国家网络安全规定通过安全审查。第二十条 运营者采购网络产品和服务，应当按照国家有关规定与网络产品和服务提供者签订安全保密协议，明确提供者的技术支持和安全保密义务与责任，并对义务与责任履行情况进行监督。第二十一条 运营者发生合并、分立、解散等情况，应当及时报告保护工作部门，并按照保护工作部门的要求对关键信息基础设施进行处置，确保安全。关键信息基础设施保护条例网络安全法律法规公安部〔2020〕1960号文指导意见

强调关基保护的运行和实战➢

贯彻实施网络安全等级保护制度：定级备案、等级测评、安全建设、安全检查等。➢

建立并实施关基安全保护制度：底数清晰，保护机构健全、责任明确；人员管理、供应链安全、数据安全、应急处置等。➢

提升安全监测预警和应急处置能力：跨行业、部门、地区的立体化网络安全监测体系和保护平台。态势感知、通报预警、事件发现处置能力。预案、处置机制、应急演练；➢

形成网络安全综合防控体系：工作机制、防范、监督指导和侦察打击能力，“打防管控”一体化安全综合防控体系。➢

四新要求：新目标（构建国家网络安全综合防控体系）、新理念（三化

–

实战化、体系化、常态化）、新举措（六防

-

动态防御、主动防御、纵深防御、精准防护、整体防控、联防联控）、新高度（国家网络安全综合能力）公安部《贯彻落实网络安全等级保护制度和关键信息基础设施安全保护制度的指导意见》45两方面进行网络信息安全意识培训工作篇生活篇336工作第一步：走进公司大门，作为进入办公区域的第一道防线，可以有效的防范商业间谍或黑客进入后产生的物理风险。然而，当有急事或注意力被转移的时候，会忘记关门或忘记确认身后是否有人尾随，随手关门习惯的养成能有效的将风险扼制在门外。

非自动闭合的大门应注意随手关门

外部人员进入工作区需登记并全称陪同工作篇347坐到工位U盘，因其方便快捷的使用，被方便存储数据的同时，也成为了各种信息安全事件的高发地。纸质文件不同于电子设备，但也会涉及到信息安全的泄露。

使用过的U盘应妥善存放，避免资料的泄露和病毒木马的植入

禁止随意放置或丢弃含有敏感信息的纸质文件

复印或打印的文件及时取走，避免信息泄露

离开工位时，含有信息的资料锁入柜中，并对计算机进

行锁屏工作篇358安全小贴士工作环境与物理安全工位，是一天中在公司停留时间最长的位置，

也是最容易发生信息事故的位置。未锁屏的电

脑、没放好的U盘、摊开放的笔记本、准备报销的发票、刚打印的业务文件...信息泄露威胁无处不在，信息安全防护也不单指电子设备，物理环境也同样需要引起重视，提高安全防范意识。369计算机：系统和软件互联网作为第五大媒体已经越来越多的融入人民的生产生活

中，2020年以来，工作、教育对于网络的依赖性更强，网络带来的信息安全风险也不容小觑。

应安装杀毒软件，随时打开防火墙

尽量使用官方渠道下载的正版软件或系统

及时检查系统更新

不私自安装不明程序，不随意打开莫名软件、文件或链接工作篇379工作篇389工作篇391Wi-Fi连接Wi-Fi信号具有一定覆盖范围，机场、餐厅等公共场所通常都部署了免费Wi-Fi，免费热点在帮助人们节省流量费用、提高网络速度的同时，也存在着信息泄露、流量挟持、密码破解等风险。

公共场合连接Wi-Fi，要注意周边提示，接入官方网络

处理敏感信息或进行移动支付时，尽量不连接公共网络，而使用4G/5G

在办公区域，不自行搭建Wi-Fi热点，不使用密码共享类APP工作篇2311数据删除与恢复在进行文件删除和磁盘清空时，如果仅清空回收站，或者仅使用“快速格式化”功能，由于磁盘上的数据并没有彻底清除和覆盖，黑客还可以使用专业工具将其进行恢复。

养成定期备份数据的习惯删除单个敏感文件时，使用杀

毒软件自带的“文件粉碎”功能

保密性要求较高的数据在备份时设定完善的访问控制机制并存放在安全的地方

谨慎使用各大云平台自动备份功能，不要上传敏感数据工作篇4112云储存安全使用云储存作为互联网最常使用的存储工具，有存储、读取、下载

等服务，存储量大，应用简便，是大众喜爱的存储方式，也成

为了黑客攻击的首选目标。密码破译、Wi-Fi钓鱼以及云盘本身的漏洞，都是“技术贼”攻击的入口。

云储存应用过程中设定时间维度，并及时清理文件

不与他人共享使用，不存储、敏感文件

移动端使用时关闭自动备份功能工作篇4212工作篇4313邮件安全电子邮件作为一种通信手段，其重要性和防护日益增加的同时安全问题也逐渐增多。假冒攻击、账号泄露、流量监测、勒索病毒、钓鱼邮件，针对邮件的攻击手段让人防不胜防。

收发邮件过程中，应确保传输通道加密

收到邮件时，核对发件人信息是否正确，并通过其他渠道再和发件人本人确认

收到可疑邮件时，绝对不要打开任何未知文件类型的邮件附件

手机丢失时，谨防邮箱内收到的“查找手机位置”的邮件工作篇安全性升级邮箱扩容邮箱停用员工离职邮箱搬家4414工作篇系统管理员<abcdefg@263>邮件显示名邮件地址邮箱帐号 邮箱域名电子邮箱收件人的信息由邮件显示名和邮件地址两部分组成，而邮件地址又是由邮箱帐号和邮箱域名组成。特别提示：45

显示名很容易被仿冒邮件的显示名通常可以由发件人任意

编写.骗子们经常把邮件显示名伪装成：管理员、XX机构、XX领导等。

邮箱帐号也可能被仿冒如，真实邮箱是zhangsan@263,

仿冒邮箱却是zhangsan@qq，不仔细看很难分辨。所以，收到邮件不能光看显示名，还要认真查看发件人的邮件地址以及邮箱域名，稍不留心就可能上当受骗。15钓鱼邮件的目的是诱骗受害者在虚假的登录页面上输入帐号和密码，进而实现盗号。安全小贴士46钓鱼邮件防范办公邮箱不乱用，到处注册风险多16外出办公VPN被定义为通过一个公用互联网络建立一个临时的、安全的

连接，是一条穿过混乱的公用网络的安全、稳定隧道，使用这

条隧道可以对数据进行几倍加密，达到安全使用互联网的目的。

公司资料建立服务器资源

建立VPN系统，无论员工出差或是在家都能时刻访问内网资源工作篇4717移动通讯安全移动通讯工具相较台式机、笔记本等有便携常用的特点，智能

手机、APP的普及也给工作沟通带来方便的同时，也加大了信

息安全、隐私数据泄露的风险。越来越多的黑客专门针对移动通讯工具研究漏洞并窃取数据。

工作沟通的工具和日常社交的工具区分开

手机中安装移动安全软件，进行骚扰拦截，防范短信电话的诈骗风险

针对重要的平台，开启双因素认证，可绑定常用的手机邮箱

APP的权限根据需要进行开通工作篇4817工作篇4918两方面进行信息安全意识培训工作篇生活篇5019生活篇个人隐私各种软件APP的注册登录对个人信息的使用，使得个人隐私信息已经成为信息产业中重要的生产资料。广告投放，定向金融服务，保险，很多厂商都根据收集到的个人信息定向销售各类产品。但是个人信息的泄露，也让不法分子有了可乘之机。

扩充了不法分子的密码字典

冒充别人注册各类网上银行账号

利用网站找回密码机制，修改泄露信息人的账号密码

贩卖信息人的敏感信息以牟利5120善用法律维权，当发现个人信息泄露的确凿证据时，积极向监管单位进行举报。培养安全意识，做到不主动透露个人信息，不被利益诱惑泄露个人信息；养成安全习惯，如密码设置、软件及时更新、数据备份、不随意连接wifi、不随意扫描二维码；生活篇5222密码安全我们日常接触到的计算机、手机开码、邮箱登陆密码、微信密码、支付密码等，实际上是一种简单初级的身份认证手段，是个人网络信息安全的一把钥匙，也是保护个人网络信息安全的第一步。

单一的字符类型，并少于8位

最常被人使用的弱口令，如123456，888888

包含名字、生日、手机号等关联密码

所有系统都使用相同的用户名和密码口令生活篇5323生活篇密码的四项基本原则密码是所有帐号安全的基本保障，设置密码一般需遵守以下原则：

12位以上

数字+字母+特殊符号

定期修改（建议180天）

支付、社交、邮箱等核心帐号单独设密码动脑时间你能在2分钟内记住下面三个密码吗？哪一个密码最安

全？你知道怎样构造一个又长又好记的密码吗？chuangqianmingyueguangyishidishangshuangxiaobaitu2baiyoubai3liangzhierduoshuqilai4@xiyangyang#yuhuitailang$123特别提示：

帐号一旦被盗，应立即修改所有其他相关帐号的密码

短信验证码是一种动态的密码，千万不要告诉任何人特殊口令等情况（例如：gjgw@123QY、Zhangqiang@2022、Qa%1234567890、1qaz2wsx等）。545556575824二维码扫描扫码登记、扫码查询、扫码支付，2020年对二维码应用掀起了一波热潮，也让不发分子看到了可乘之机。二维码的安全隐患问题日趋突出。

病毒二维码取代正规二维码

二维码被伪造，重复贴码等

二维码扫描及信息填写没有必要生活篇5925不随意扫描陌生二维码扫码前确认二维码的来源正规，渠道官方在移动终端安装杀毒软件等相应的防护程序，及时提醒有害信息并删除。生活篇6025生活篇6126APP权限为了保证安全性，在安装和首次打开APP的过程中，通常会弹出提示要求用户授予权限。但是，APP需要的是否是全部的权限，被开通的权限是否会有未经同意擅自泄露信息、擅自发送短信的风险，这些是生活中常见的问题，也是目前亟需解决的问题。

获取通讯录数据并发送短信等

擅自录音

访问好友信息进行广告推送生活篇6227应用程序安装或首次打开时，认真阅读APP要求的权限，仅授予必要的权限慎用换脸软件、或其他上传个人隐私信息的APP

软件后续使用过程中，如果发现有未打开的权限，可通过设置中权限管理手动授权APP或小程序的详情页面，通常可以看到当前被授予的权限，其中敏感权限可进行手动关闭生活篇6328物联网设备物联网带来便利的同时，也给用户带来了网络攻击和身份盗用、隐私暴露等问题。网络犯罪分子可利用社会工程学或系统漏洞来远程访问设备或对用户使用造成严重破坏。掏出手机与家中的智能设备相连：

在夏天提前打开空调，在冬天提前打开加湿器

使用摄像头实时查看家里的情况

远程打开扫地机器人，清扫环境生活篇6429社会工程学社会工程学是一种通过对目标人心理弱点、本能反应、好奇心、信任、贪婪等心理陷阱进行诸如欺骗、伤害等危害手段取得自身利益的手法。社会工程学陷阱就是通常以交谈、欺骗、假冒或口语等方式，从合法用户中套取用户系统的秘密,社会工程学需要搜集大量的信息针对对方的实际情况，进行心理战术的一种手法。社会工程学是一种黑客攻击方法，利用欺骗等手段骗取对方信任，获取

情报。国内的社会工程学通常和人肉搜索进行联系起来，但实际上人肉搜索并不等于社会工程学。总体上来说，社会工程学就是使人们顺从你的意愿、满足你的欲望的一门艺术与学问安全小贴士6529662967296829522970297130（LBS）基于位置的服务可以在我们需要的时候提供帮助，但也可能成为坏人的入口；地理位置信息地理位置信息安全的泄露主要包含两个方面自身疏忽朋友圈视频中明显的位置标识，蓄意作案的人可能根据位置跟踪，或社会工程学对亲属实施盗窃欺诈的行为。生活篇7231手机应用过程中，注意关闭位置定位服务，需要时再打开在未完成的行程时，不发布含有明显地理标识的照片或视频社交软件中，对好友认证提高防范意识，定期整理通讯录生活篇7330生活篇7430生活篇7532手机丢失手机，作为日常使用频率最高的生活工具，也大大的增加了丢失以及丢失后被盗用信息的可能。当丢失的手机落入不发分子手中，他们会想尽办法的得到甚至修改开码，暴力破解不成，也会应用其他钓鱼链接等其他方式进行尝试。手机丢失生活篇7633生活篇

设置开码

指纹识别

面部识别

远程锁定和擦除等功能

第一时间补办电话卡

解绑原手机中社交账号、支付账号等核心应用

告知家人朋友，避免上当受骗

收到