公司信息系统安全保障体系规划方案

XXXXXXXXXXXX 概 引 背 XXXX行业行业相关要 国家等级保护要 三个体系自身业务要 三个体系规划目 安全技术和安全运维体系规划目 安全管理体系规划目 技术及运维体系规划参考模型及标 参考模 参考标 管理体系规划参考模型及标 国家信息安全标准、指 国际信息安全标 行业规 技术体系建设规 技术保障体系规 设计原 技术路 信息安全保障技术体系规 安全域划分及网络改 现有信息技术体系描 技术体系规划主要内 网络安全域改造建设规 网络安全设备建设规 CA认证体系建 数据安全保 终端安全管 备份与恢 安全运营中心建 周期性风险评估及风险管 技术体系建设实施规 安全建设阶 建设项目规 运维体系建设规 风险评估及安全加 风险评 安全加 信息安全运维体系建设规 机房安全规 资产和设备安 网络和系统安全管 监控管理和安全管理中 备份与恢 恶意代码防 变更管 信息安全事件管 密码管 运维体系建设实施规 安全建设阶 建设项目规 管理体系建设规 体系建 建设思 规划内 信息安全管理体系现 现 问 管理体系建设规 信息安全最高方 风险管 组织与人员安 信息资产管 网络安全管 桌面安全管 服务器管 第三方安全管 系统开发维护安全管 业务连续性管 项目安全建设管 物理环境安 管理体系建设规 项目规 总 XXXX公司（以下简称“XXXX公司工业”）信息安全风险评XXXX公司工业信息安全技术工作的总体规划、目标XXXXXXXX行业总局一直以来十分重视信息安全管理工作，先后下发了涉及保密计算机运行、等级保护定级等多个文件，在2008年下发了147号文《XXXX图1_1XXXX20088月下发了国烟办综[2008]358XXXX行业专卖局办公室关于做好XXXX图1_2XXXX行业政策的引导下，近年来信息系统建设日趋完善，尤工商协同营销系统、LIMS系统、OA系统及生产系统（卷包中控系统、物流中PDCA原则。P2DR2模型，行业信息安全XXXX公司工业自身安全管理现状进行全面了解XXXX公司工业信息安全保障体系建立的首要任务。XXXX公司工业与下属单位的组织模式和特点，做XXXX公司工业信息化的推进，XXXX公司工业需要有一支拥有各种XXXX公司工业XXXX公司工业信息安全需求的专业服务团队。XXXX公司工业信息安全保障体系的基本理念之一，信息安全风险管理的实现需要建立完善的流程，XXXX公司工业将建立针对信息安全风险的全准化后形成的一整套文件。XXXX公司工业已经制定并发布执行了一些信息安的改进空间。例如在信息安全管理制度的上，没有依据《XXXX行业行业信息ISMS体系建设等标准和规范制定，从而使管理XXXX公司工业对XXXX周期的防御和恢复。PDR模型就是最早提出的体现这样一种思想的安全模型。所谓PDR模型指的就是基于防护（Protection、检测（Detection、响应P2DR2是策略（Policy、防护（Protection、检测（Detection（Response 策略

图1_2P2DR2防护检测响应信息系统的安全是基于时间特性的，P2DR安全模型的特点就在于动态性和P2DRPt缩短。显然防护时间越长系统越安全。检测时间Dt：表示检测系统发现系统的安全隐患和潜在攻击检测的时Dt。Rt：表示从检测到系统漏洞或监控到非法攻击到系统启动处反击等内容。而安全事件的事后处理（如恢复、总结等不纳入事件响应的范畴之内。Et随着技术的进步，人们在P2DR模型以后又提出了APPDRR模型，即在P2DR模型中加入恢复（Recovery）手段。这样一旦系统安全事故发生了，也能《信息保障技术框架v3.1 美国国家安全（ISO13335）国际标准化组织（国标审议稿）AS/NZS4360:1999ISO/IEC17799:2005/BS7799PartISO/IEC27001:2005/BS7799PartISO/IECGB17859-等级保护实施意见（公通字[2004]66号《计算机信息系统安全保护等级划分准则》GB《XXXXGB/T20274—2006GB/T19715.1—2005信息技术—1部分：信息GB/T19715.2—2005信息技术—2部分：管理GB/T19716—2005信息技术—ISO/IEC27001:2005ISO/IEC13335—1:20041部分：ISO/IECTR15443—1:2005ISO/IECTR15443—2:2005ISO/IECWD15443—3ISO/IECPDTR19791:2004XXXX《XXXX（国烟办综〔2008〕147《XXXX行业行业计算机网络和信息安全技术与管理规范》(国烟法[2003]17号《XXXX行业行业计算机网络建设技术与管理规范》国烟办综[2006]312号)《XXXXCA（2008116号XXXX公司工业网络安全系统具有先进性和可持续发展性。7*24小时不间断可靠运行。XXXX公司工业风险评估结果，制定出各具特色、有较强针对性和可XXXX公司工业信息安全的规划、建遵照《XXXX（国烟办综〔2008147XXXX公司工业网络应用实际，XXXX公司工业网络的信息安全防护措施XXXX公司工业业务承载网络的核心层、接入（汇聚）层、接入局域利用虚拟专用网络（MPLSVPN、IPSecVPN、SSLVPN、公钥基础设施/（PKI/PMI素，XXXX公司工业网络划分为计算域、支撑域、接入域、基础设施域四种类ITIT要素包括但不仅限于：IT要素，因此可以针对安全域IT特征的信息资产集合在一起，因此在防护时可以ROI（投资回报率。图2_1图2_1XXXX公司工业公司的情况，安全域的划分原则和划分方法，域是本次安全域划分的第一层结构，划分的原则是业务行为。XXXX公司工业公司安4《ISO13335信息系统管理指南》中将一个组织中可能的接入类型分为以下组织单独控制的连接（内部接入公共网络的连接（如互联网接入不同组织间的连接（可信的不同组织间的连接（不可信的组织内的异地连接（如不同地理位置的分支结构组织内人员从外部接入（如出差时接入内部网XXXXISOISO边界互联网接入（如Web和邮件服务器的外部接入，办公网的外联网接入（如各个部门间的接入等通过专网接入远程接入（如移动办公和远程维护黑客攻击（外部入侵恶意代码（病毒蠕虫越权（非授权接入访问控制（如防火墙）恶意代码防护（防病毒）终端管理（注入控制、补丁管理、资产管理等）3（避免被作为攻击核心区的跳板3核心区用于存放级别非常高（资产级别大于等于4）图2_3图2_4网络传输泄密（如网络管理人员在网络设备上窃听业务数据非授权访问和滥用（如业务操作人员越权操作其他业务系统内部人员抵赖（如对误操作进行抵赖等图2_5XXXXXXXXC6509C2970/C2950等其它的上联国家局、XXXX公司工业局、西仓等专线链路也直接接入到核心交换机C6509上，除国家局配置有防火墙外，其它连接均未经过任何汇聚或访问控制设备。核心交换机C6509同时兼具上述多条专线接入设备的任务，网络逻公司大多数内网服务器系统分布在/24网段，没有进一步的XXXX行业；2、省商业公司链路；3、同城的西仓库接入；4、XXX单位接入。XXXCisco3845上，两端均未部署防火墙实施访问控制。XXX单位用户可以任意访问到总部网络，任意 在互联网出口部署了东软的NetEyesFW4201防火墙两台，同时设置访问规则对Web服务器和内网用户对互联网的访问进行网络 在核心交换机上部署了东软的NetEyesIDS2200入侵检测系统，对3 在邮件系统部署了防垃圾邮件系统，可对垃圾邮件进行过滤4 内网部署了趋势的网络防病毒系统 XXXXXX当前网络骨干区域，是以S5516为单核心设备连接上联C2601路由器至XXXXS3026接入交换机连接终端。网络骨干设备性能较差，VLAN与办公网其他主机划分，并未采取其它防护措施的隔离，非常XXXXXXXX公司工业解决建议方案同时解决。 互联网访问通过专线到达XXXX公司工业后访问因此防护技术手段与XXXX公司工业相同；2 内网部署了趋势的网络防病毒系统 XXXX1 新增管理支撑域，作为整个网络的设备和系统管理中心2 将原有的服务器使用VLAN方式划分为核心服务域和一般服务 将XXX单位和西仓连接线路由原来的连接核心C6509改为连XXX3ADSL线路作为应急通讯VPNXXXX公司工业网络进行通讯；41-2台冷备设备；5XXXX公司工业已经部署的网络安全设备的前提下，又结后，XXXX公司工业所有安全设备防护功能的总和在技术层面上将能够满足防护和应对目前已知安全威胁。同时满足《XXXX行业行业信息安全保障体系建IPS抗DoSDoS攻击行为。P2PP2P技术出现之后，此问题更加严重和突出。XXXXP2P泛Emule等)，消耗了网络中的大量带宽，随之而来的是，由网络链路拥塞引发的P2P的应用加以控制，例如提供最大带宽限制、保证带宽、带P2P软件或P2PP2P流量的目标，将宝贵的、有限的QoS。服务XXXXWebMail系统，XXXX公司工业安全域SOX法案的合规性要求；而银行业则XXXX公司工业面也面临着合规性的要求。一是等级保护的要求；二是行147号文件中，明确要求部署网络审计设备。（例DA帐号的口令，因而也承担着很高的风险（误操作或者是个别人员的恶意破坏。由于目标系统不能区别不同人员使用同一个帐号进行维护操作，所实现独立审计与三权分立，完善IT从内控的角度来看，IT系统的使用权、管理权与监督权必须三权分立。网IT内控机制。windows操作系统下NTP服务器，此处不再给出具体方案。CACA认证系统作为即将开始的项目。系建设方案的通知》(国烟办综〔2008〕116号)文件要求，结合自身实际情况，CA按照《XXXXCA认证体系建设方案》规范，XXXX公司工业行CA、RA、KMC系统；数字证书应用支撑服务平台，主要建设内容包括：签名服务器、SSL安全代理服务器、身份认证系统、时间戳服务器；数字证书综CA1、CA2、CA3、远程VPN由于营销人员等分布全国各地，需要远程访问公司服务器。CA认证系统和VPN远程访问控制相结合，更能保障身份唯一性，并大幅提高互联网访问的安2#2#1#ABBXXXX公司工业用户角色不同，初办公笔记本电脑（出差PC（员工在家办公XXXX公司工业现已经部署了一套综合的终端安全管理系统，实现了对网XXXX公司工业还没与建立起行之有效的备份与恢复机制。在网络层，XXXX行业技术体系要求中需要建立通信线路冗VPN线路应急。XXXX公司工业还未建立安全运行中心。建立安全运营管理中心，使XXXX公司工业的网络安全管理机构能及时准确地获知整个网络安全体系的XXXXXXXX公司工业能够XXXX公司工业每年定期请安全顾问进行安全风险评估。通XXXX公司的整个信息系统。安全风险评估服务包括但XXXX公司工业了解自身网络安全现状，并根据报告和建议进行投资预XXXX公司工业信息安全风险管理的重要组P2DR2安全模型的重要机制和组成部分。建XXXX公司工业缺乏XXXX公司工业在三到五年内，聘请一家较有经验的网络安XXXX公司工业提供一次网络安全的风险评估服务。XXXX公司工业的具体情况，以及未来的业务和系统发展要求，通过6个：CASOC2个：维修和销毁的介质在“信息安全保密管理规定”XXXX“信息安全保密管理规定”中已经有明确的规定，指定了专人对网络进行管理，另外部署了“IT运维管理系统”负责运行日志、XXXXXXXX公司工业现有的外部链接主要为国家局的连接；网络管理员通过VPNWeb方式访问营销系统；以上网XXXX公司工业还没有专门的网络安全管理制度，对网络安全配置、目前仅有通过内网管理系统对用户访问互联网的行为进行审计的日志单独日志保存，很难为安全事件调查提供支持；XXXX公司工业信息系统管理对日志的备份、授权访问、处理、保留IT运维管理系统，并生成工单及时XXXX公司工业的身NTPNTP服务器进行时间校验目前仅通过系统自身和管理员巡查的方式对于帐户安全管理的执行情况进情况进行相关处理。IT运维管理系统可部分安全管理系统的访问授权、操作记录、日IT运维管理系统可以对过程文档进行有效管理，并确保文档的ITIT运维管理中心进行规范处（如增量备份或全备份等备份频度（如每日或每周等、存储介质、保存期、放置场所、文件命名规则、介质替换频率和将数据离站运输的方法等进行详细规定；对造成系统中断和造成信息泄密的安全事件应采用不同的处理程序和报告程序；对系统相关的人员进行培训使之了解如何及何时使用应急预案中的控制手段及恢复策略，对应急预案的培训至少每年举办一次；现未制定明确的计划要求应急预案进行定期审查和根据实际情况更新的内容，并按照执行。CAXXXXCACA建设内容、相关要求和自身实际情况，制定专项的密码管理条款或XXXX公司工业的具体情况，以及未来的业务和系统发展要求，通过6个：完成安全评估、安全建设、CA2个：XXXX公司工业的业务战略、目体规定公司经营的，例如，XXXX公司工业必须遵循国家等级保护的规定，同XXXX行业局的相关规定。XXXX公司工业可能XXXX公司工业在信息系统建设过程中意识到信息安全的重要性，在安全ERPMESOA（辅助《01《02《03《04《05ftp《06《07《09《10OA《11生产执行系统（MES）《12资源计划系统（ERP）《13《14《15《16《17XXXX公司工业信息安全XXXX2左右，即建立安全理 建设安全文 坚持以人为 认识安全效XXXX公司工业信息安全工作的必要条件。XXXXXXXX公司工业信息系统的安全负有领导责任。组织结构如下：部门部门1部门2XXXXXXXXXXXX公司工业在管理员设置以及人员方面较好的满足了信息安全职ITITITITITIT应建立长期有效的信息安全培训机制，对员工进行相关的安全培训,XXXX公司工业有价值的事物，如计算XXXXXXXX公司工业信息安全管理的基础，这样才（是指涉及国家秘密XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX公司工业对外政策信息系统供应商服务协议信息资产系统初始备份（不包括任何业务和办公数据1SLAServiceLeaseAgree（服务租赁协议系统设计方案（包括系统升级系统实施方案（包括系统升级系统安装配置细则（软件、硬件和网络等XXXXXXXX4

有关项目负责人员需要向XXXX公司工业计算机安问权限设为“只读”

门的认证许可并经过XXXX公司工业计算机安全领所有电子通讯系统必须设有的身份验证（证或设备身份验证）对所有操作（读、写、删除等）XXXX公司工业计算机安全领导小组一致认可后方可所有电子通讯系统必须设有的身份验证（证或设备身份验证）对所有操作（读、写、删除等）安全领导小组应当定期/不定期组织对各个部门的信息资产的安全状态进行审计，对违反管理规定的情况要通报批评；XXXXXXXX公