信息安全等级保护与解决方案.ppt

《信息安全等级保护与解决方案.ppt》由会员分享，可在线阅读，更多相关《信息安全等级保护与解决方案.ppt（156页珍藏版）》请在三一文库上搜索。

1、信息安全等级保护与解决方案,山东省信息中心 山东信息协会信息安全专业委员会 二00七年十二月,信息安全等级保护与解决方案,信息安全等级保护 信息安全现状与问题 信息安全等级保护简介 信息安全解决方案 信息安全技术 信息安全管理 信息安全方案,信息安全现状,日益增长的安全威胁 攻击技术越来越复杂 入侵条件越来越简单,信息安全问题,安全事件 每年都有上千家政府网站被攻击 安全影响 任何网络都可能遭受入侵,信息系统安全等级保护,信息系统安全等级保护简介 信息系统安全保护等级划分 信息系统安全保护定级指南,等级保护出台是信息安全发展的需要,信息安全问题层出不穷 安全保护措施、安全管理建设不足，导致各种

2、安全事故发生 国内缺乏相类似的安全标准 国家、服务商和用户在安全建设过程中缺乏参考依据 随着信息安全技术的发展 随着安全意识的提高 随着安全服务范围增大 对信息安全管理需要实行等级化保护(目标/要求/能力),1994年国务院颁布的中华人民共和国计算机信息系统安全保护条例规定计算机信息系统实行信息系统安全等级保护。 2003年中央办公厅、国务院办公厅转发的国家信息化领导小组关于加强信息安全保障工作的意见（中办发200327号）中明确指出：“要重点保护基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统，抓紧建立信息系统安全等级保护制度，制定信息系统安全等级保护的管理办法和技术指南”

3、。 2004年公安部等四部委关于信息系统安全等级保护工作的实施意见（公通字200466号）也指出：“信息系统安全等级保护制度是国家在国民经济和社会信息化的发展过程中，提高信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化建设健康发展的一项基本制度”。,信息安全等级保护相关文件,信息安全等级保护发展历程,1999年9月13日计算机信息系统安全等级划分准则GB 17859-1999 2003年9月，27号文明确提出国家信息安全按照等级化保护的制度推行 2003年10月，公安部关于信息安全等级保护政策建议 2004年初，信息办领导开始在全国进行等级化保护巡讲（北京、上海、郑州

4、） 2004年4月，等级化保护制度开始在部分行业和省份进行试点 2004年6月，颁布等级化保护实施指南等文件 2005年8月，北戴河会议，初步通过了部分标准 2006年3月，颁布部分标准 2006年4月，试点工作启动 2007年6月，公安部等四部委联合下发信息安全等级保护管理办法,信息安全等级保护发展历程,2007年7月，四部委联合会签并下发了关于开展全国重要信息系统安全等级保护定级工作的通知（公信安2007861号） 2007年8月,山东省公安厅、山东省保密局、山东省密码管理局和山东省信息办联合下发了山东省重要信息系统安全等级保护定级工作方案 定级范围： 电信、广电行业的公用通信网、广播电视

5、传输网等基础信息网络，经营性公众互联网信息服务单位、互联网接入服务单位、数据中心等单位的重要信息系统。 铁路、银行、海关、税务、民航、电力、证券、保险、科技、发展改革、国防科技、公安、人事劳动和社会保障、财政、审计、商务、水利、国土资源、能源、交通、文化、教育、统计、工商行政管理、邮政等行业、部门的生产、调度、管理、办公等重要信息系统。 市（地）级以上党政机关的重要网站和办公信息系统。 涉及国家秘密的信息系统。,信息安全等级保护指导性文件,信息系统安全等级保护基本要求 信息系统安全等级保护定级指南 信息系统安全等级保护实施指南 信息系统安全等级保护测评准则,信息系统安全保护等级划分,第一级为自

6、主保护级，主要对象为一般的信息系统，其受到破坏后，会对公民、 法人和其他组织的权益有一定影响，但不危害国家安全、社会秩序、经济建设 和公共利益。,第二级为指导保护级，主要对象为一定程度上涉及国家安全、社会秩序、经济建设和公共利益的一般信息系统，其受到破坏后，会对国家安全、社会秩序、经济建设和公共利益造成一定损害。,第三级为监督保护级，主要对象为涉及国家安全、社会秩序、经济建设和公共利益的信息系统，其受到破坏后，会对国家安全、社会秩序、经济建设和公共利益造成较大损害。,第四级为强制保护级，主要对象为涉及国家安全、社会秩序、经济建设和公共利益的重要信息系统，其受到破坏后，会对国家安全、社会秩序、经

7、济建设和公共利益造成严重损害。,第五级为专控保护级，主要对象为涉及国家安全、社会秩序、经济建设和公共利益的重要信息系统的核心子系统，其受到破坏后，会对国家安全、社会秩序、经济建设和公共利益造成特别严重损害。,信息系统安全保护的目标,实行等级保护的总体目标是为了统一信息安全保护工作，推进规范化、法制化建设，保障安全，促进发展，完善我国信息安全法规和标准体系，提高我国信息安全和信息系统安全建设的整体水平。,信息安全等级保护的对象,信息 信息系统,等级保护工作的三个方面,对信息系统分等级实施安全保护; 对信息系统中使用的信息安全产品实行分等级管理; 对信息系统中发生的信息安全事件分等级响应、处置。,

8、决定信息系统重要性的要素,信息系统所属类型，即信息系统资产的安全利益主体 信息系统主要处理的业务信息类别 -决定信息系统内信息资产的重要性 信息系统服务范围，包括服务对象和服务网络覆盖范围 业务对信息系统的依赖程度 -决定信息系统所提供服务的重要性,信息系统所属类型赋值表,业务信息类型赋值表,信息系统服务范围赋值表,业务依赖程度赋值表,业务信息安全性等级矩阵表,业务服务保证性取值矩阵表,调节因子取值表,信息系统安全保护等级,业务子系统的安全保护等级由业务信息安全性等级和业务服务保证性等级较高者决定。 信息系统的安全保护等级由各业务子系统的最高等级决定。,信息系统安全体系结构,互联网,计算机网络

9、,内网（业务专网）,信息收集、发布，公众服务,内部业务处理,办公系统,办公系统,电子政务外网,等级保护基本要求（二、三级）,技术要求 物理安全：物理位置选择、物理访问控制、防盗和防破坏、防雷击、防火、防水、防潮湿、防静电、电力保障、电磁防护 网络安全：结构安全和网段划分、网络访问控制、拨号访问控制、网络安全审计、边界完整性检测、网络入侵防范、网络 设备防护、恶意代码防范 主机系统安全：身份鉴别、自主访问控制、强制访问控制、安全审计、系统保护、剩余信息保护、入侵防范、恶意代码 防范、资源控制 应用安全：身份鉴别、访问控制、安全审计、剩余信息保护、通信保密性、通信完整性、抗抵赖、软件容错、资源控制

10、 数据安全：数据完整性、数据保密性、数据备份与恢复 管理要求 安全管理机构：岗位设置、人员配置、授权与审批、沟通与合作、审核与检查 安全管理制度：管理制度、制定与发布、评审与修订 人员安全管理：人员录用、人员离岗、人员考核、安全意识教育与培训、第三方人员管理 系统建设管理：系统定级、系统备案、安全方案设计、产品采购、自行软件研发、外包软件开发、工程实施、工程验收 系统运维管理：环境管理、资产管理、介质管理、设备管理、监控管理、网络安全管理、系统安全管理、恶意代码防范 管理、密码管理、变更管理、备份与恢复管理、安全事件管理、应急预案管理,信息安全技术,物理安全：物理位置选择、物理访问控制、防盗和

11、防破坏、防雷击、防火、防水、防潮湿、防静电、电力保障、电磁防护 网络安全：结构安全和网段划分、网络访问控制、拨号访问控制、网络安全审计、边界完整性检测、网络入侵防范、网络设备防护、恶意代码防范 主机系统安全：身份鉴别、自主访问控制、强制访问控制、安全审计、系统保护、剩余信息保护、入侵防范、恶意代码防范、资源控制 应用安全：身份鉴别、访问控制、安全审计、剩余信息保护、通信保密性、通信完整性、抗抵赖、软件容错、资源控制 数据安全：数据完整性、数据保密性、数据备份与恢复,结构安全和网段划分,网络设备的业务处理能力应具备冗余空间，要求满足业务高峰期需要； 设计和绘制与当前运行情况相符的网络拓扑结构图；

12、 根据机构业务的特点，在满足业务高峰期需要的基础上，合理设计网络带宽； 在业务终端与业务服务器之间进行路由控制建立安全的访问路径； 根据各部门的工作职能、重要性、所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段； 重要网段应采取网络层地址与数据链路层地址绑定措施，防止地址欺骗； 按照对业务服务的重要次序来指定带宽分配优先级别，保证在网络发生拥堵的时候优先保护重要信息资产主机。,网络安全访问控制,根据会话状态信息（包括数据包的源地址、目的地址、源端口号、目的端口号、协议、出入的接口、会话序列号、发出信息的主机名等信息，并应支持地址通配符的使用）

13、，为数据流提供明确的允许/拒绝访问的能力； 对进出网络的信息内容进行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制； 依据安全策略允许或者拒绝便携式和移动式设备的网络接入； 在会话处于非活跃一定时间或会话结束后终止网络连接； 限制网络最大流量数及网络连接数。,网络安全访问控制,网络安全访问控制实现的方法有多种，简单网络的安全访问控制可以在路由器上实现，复杂的功能可以由主机甚至一个子网来实现。,网络安全访问控制与防火墙,防火墙产品的初衷是实现网络之间的安全访问控制。 防火墙是设置在内部网络与外部网络之间，实施访问控制策略的一个或一组系统，是访问控制机制在网

14、络安全环境中的应用。防火墙实现内部网络和外部网络逻辑隔离，通过限制网络互访来保护内部网络。防火墙是不同网络或网络安全域之间信息的唯一出入口，能根据制定的安全策略(允许、拒绝及监视等)控制出入网络的数据流，且本身具有较强的抗攻击能力。防火墙的目的就是在内部网络和外部网络连接之间建立一个安全控制点，允许、拒绝或重新定向经过防火墙的数据流，实现对进出内部网络的网络通信的审计和控制。,防火墙技术的局限性,防火墙不能过滤应用层的非法攻击，如编码攻击 防火墙对不通过它的连接无能为力，如内网攻击 防火墙采用静态安全策略技术，因此无法动态防御新的攻击,安全审计,网络安全审计 主机安全审计,网络安全审计,对网络

15、系统中的网络设备运行状况、网络流量、用户行为等进行全面的监测、记录； 对于每一个事件，其审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功，及其他与审计相关的信息； 安全审计应可以根据记录数据进行分析，并生成审计报表； 安全审计应可以对特定事件，提供指定方式的实时报警； 审计记录应受到保护避免受到未预期的删除、修改或覆盖等。,网络安全审计,网络安全审计管理通过对网络中流动的数据进行审计分析，能够监控到内部网络中的外网访问行为，如邮件、MSN/QQ聊天、Web访问、网络游戏、文件传输、在线电影频道等等行为；能够实现对所监控网络进行基于业务的带宽分配、流量限制等。尤其针对网络中的BT、

16、电驴、迅雷等p2p的文件传输行为能有效地进行控制，以控制非业务网络行为所占用的带宽资源，从而保证正常业务顺畅进行。,主机安全审计,安全审计应覆盖到服务器和客户端上的每个操作系统用户和数据库用户； 安全审计应记录系统内重要的安全相关事件，包括重要用户行为、系统资源的异常使用和重要系统命令的使用； 安全相关事件的记录应包括日期和时间、类型、主体标识、客体标识、事件的结果等； 安全审计应可以根据记录数据进行分析，并生成审计报表； 安全审计应可以对特定事件，提供指定方式的实时报警； 审计进程应受到保护避免受到未预期的中断； 审计记录应受到保护避免受到未预期的删除、修改或覆盖等。,边界完整性检测,能够检

17、测内部网络中出现的内部用户未通过准许私自联到外部网络的行为（即“非法外联”行为）； 能够对非授权设备私自联到网络的行为进行检查，并准确定出位置，对其进行有效阻断； 能够对内部网络用户私自联到外部网络的行为进行检测后准确定出位置，并对其进行有效阻断。,恶意代码防范,在网络边界及核心业务网段处对恶意代码进行检测和清除 维护恶意代码库的升级和检测系统的更新 支持恶意代码防范的统一管理,恶意代码防范,防病毒网关（互联网病毒防护）-网络层 服务器系统病毒防护 终端（微机）病毒防护,防病毒网关（病毒防火墙）,在网关上安装病毒过滤程序，对网络流量进行全面扫描，并通过识别表示存在恶意代码的病毒模式，检测出恶意

18、代码。利用对流经网关的HTTP、FTP、SMTP协议的流量进行扫描，可以在第一时间发现病毒、阻塞病毒，不让病毒传播到网络中来。不仅如此，还可以通过内容过滤来对网络流量中不符合网络策略的内容进行阻断，如非法网站、透露机密的邮件等。,服务器系统病毒防护,根据服务器端系统平台的实际情况，在各种服务器系统(如文件服务器、主域/备份域服务器、邮件服务器、DNS服务器等)上安装相应的防计算机病毒产品。特别是邮件系统极易传播病毒，因此，要在邮件服务器上安装专门的防护软件，实时扫描接收和发送的电子邮件。,终端（桌面）病毒防护,根据网络终端平台实际情况，分别选用相应的客户端防病毒软件。客户端防病毒软件应该与服务

19、器端防病毒软件相配合，统一管理防病毒策略和防病毒软件的升级更新。 保护计算机的第一个步骤就是确保操作系统是最新的，特别是对于微软windows操作系统。其次，必须为系统安装防病毒软件，并且经常下载更新以确保能够抵抗最新的病毒。另外，防病毒软件最好能够实时扫描来自互联网的电子邮件和文件以便能够及时阻止病毒的入侵。最后，最好同时为系统安装网络防火墙，它们可以阻止对计算机的未授权访问和使用。,入侵防范,网络入侵防范 Network-Based Intrusion Detection System 主机入侵防范 Host-Based Intrusion Detection System,网络入侵防范,

20、在网络边界处应监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击、网络蠕虫攻击等入侵事件的发生； 当检测到入侵事件时，应记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报警。,网络入侵防范工作原理,收集网络中传输的数据包及相关网络会话 根据预定义的设置，进行必要的数据过滤及缩略，从而提高检测、分析的效率。 根据定义的安全策略，进行检测/分析。 一旦检测到违反安全策略的行为或者事件，进行报警及响应。,入侵检测技术的局限性,入侵检测通过抓取数据报文对其分析，并与攻击规则样本进行比较发现攻击行为 通过特殊的编码可以绕过入侵检

21、测的侦测（漏报） 需要不断的跟踪新的攻击模式并更新攻击样本 容易把正常的访问识别为入侵行为（误报）,网络入侵防御(IPS)面临的挑战,单点故障 性能“瓶颈” 增加网络延迟 降低网络效率 误报和漏报,主机入侵防范,进行主机运行监视，包括监视主机的CPU、硬盘、内存、网络等资源的使用情况； 设定资源报警域值，以便在资源使用超过规定数值时发出报警； 进行特定进程监控，限制操作人员运行非法进程； 进行主机账户监控，限制对重要账户的添加和更改； 检测各种已知的入侵行为，记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报警； 能够检测重要程序完整性受到破坏，并在检测到完整性

22、错误时采取必要的恢复措施。,主机入侵防范工作原理,根据系统内部的审计数据 根据预定义的设置，进行必要的数据过滤及缩略，从而提高检测、分析的效率。 根据定义的安全策略，进行检测/分析。 一旦检测到违反安全策略的行为或者事件，进行报警及响应。,强制访问控制,对重要信息资源和访问重要信息资源的所有主体设置敏感标记； 强制访问控制的覆盖范围应包括与重要信息资源直接相关的所有主体、客体及它们之间的操作； 强制访问控制的粒度应达到主体为用户级，客体为文件、数据库表级。,主机系统强制访问控制,主机操作系统采用自主访问控制 脆弱的认证体系 明显的系统安全漏洞 来自内部的攻击或误操作 来自外部的网络攻击,操作系

23、统安全加固产品,主动防御、全面防护 操作系统的可信改造,操作系统安全加固产品技术背景 -操作系统可信改造,可信计算机系统评测标准(TCSEC) 国家信息化等级标准要求 重构与应用的抉择 操作系统安全加固技术（Reinforcement Operating System Technique）,服务器系统加固产品特点,数据备份和恢复,提供自动机制对重要信息进行本地和异地备份 提供恢复重要信息的功能； 提供重要网络设备、通信线路和服务器的硬件冗余； 提供重要业务系统的本地系统级热备份。,信息安全管理,安全管理机构 岗位设置、人员配置、授权与审批、沟通与合作、审核与检查 安全管理制度 管理制度、制定与

24、发布、评审与修订 人员安全管理 人员录用、人员离岗、人员考核、安全意识教育与培训、第三方人员管理 系统建设管理 系统定级、系统备案、安全方案设计、产品采购、自行软件研发、外包软件开发、工程实施、工程验收 系统运维管理 环境管理、资产管理、介质管理、设备管理、监控管理、网络安全管理、系统安全管理、恶意代码防范管理、密码管理、变更管理、备份与恢复管理、安全事件管理、应急预案管理,安全管理机构,岗位设置 人员配置 授权与审批 沟通与合作 审核与检查,安全管理机构-岗位设置,设立信息安全管理工作的职能部门，设立安全主管人、安全管理各个方面的负责人，定义各负责人的职责； 设立系统管理人员、网络管理人员、

25、安全管理人员岗位，定义各个工作岗位的职责； 成立指导和管理信息安全工作的委员会或领导小组，其最高领导应由单位主管领导委任或授权； 制定文件，明确安全管理机构各个部门和岗位的职责、分工和技能要求。,安全管理机构-人员配备,配备一定数量的系统管理人员、网络管理人员、安全管理人员等； 配备专职安全管理人员不可兼任； 关键岗位应定期轮岗。,安全管理机构-授权与审批,授权审批部门及批准人，对关键活动进行审批； 列表说明须审批的事项、审批部门和可批准人； 建立各审批事项的审批程序，按照审批程序执行审批过程； 建立关键活动的双重审批制度； 不再适用的权限应及时取消授权； 定期审查、更新需授权和审批的项目；

26、记录授权过程并保存授权文档。,安全管理机构-沟通与合作,加强各类管理人员和组织内部机构之间的合作与沟通，定期或不定期召开协调会议，共同协助处理信息安全问题； 信息安全职能部门应定期或不定期召集相关部门和人员召开安全工作会议，协调安全工作的实施； 信息安全领导小组或者安全管理委员会定期召开例会，对信息安全工作进行指导、决策； 加强与兄弟单位、公安机关、电信公司的合作与沟通，以便在发生安全事件时能够得到及时的支持； 加强与供应商、业界专家、专业的安全公司、安全组织的合作与沟通，获取信息安全的最新发展动态，当发生紧急事件的时候能够及时得到支持和帮助； 文件说明外联单位、合作内容和联系方式； 聘请信息

27、安全专家作为常年的安全顾问，指导信息安全建设，参与安全规划和安全评审等。,安全管理机构-审核与检查,由安全管理人员定期进行安全检查，检查内容包括用户账号情况、系统漏洞情况、系统审计情况等； 由安全管理部门组织相关人员定期进行全面检查，检查内容包括现有安全技术措施的有效性、安全配置与安全策略的一致性、安全管理制度的执行情况等； 由安全管理部门组织相关人员定期分析、评审异常行为的审计记录，发现可疑行为,形成审计分析报告，并采取必要的应对措施； 制定安全检查表格，实施安全检查，汇总安全检查数据，形成安全检查报告，并对安全检查结果进行通报； 制定安全审核和安全检查制度，规范安全审核和安全检查工作，定期

28、按照程序进行安全审核和安全检查活动。,安全管理制度,管理制度 制定与发布 评审与修订,安全管理制度-管理制度,制定信息安全工作的总体方针、政策性文件和安全策略等，说明机构安全工作的总体目标、范围、方针、原则、责任等； 对安全管理活动中的各类管理内容建立安全管理制度，以规范安全管理活动，约束人员的行为方式； 对要求管理人员或操作人员执行的日常管理操作，建立操作规程，以规范操作行为，防止操作失误； 形成由安全政策、安全策略、管理制度、操作规程等构成的全面的信息安全管理制度体系； 由安全管理职能部门定期组织相关部门和相关人员对安全管理制度体系的合理性和适用性进行审定。,安全管理制度-制定与发布,在信

29、息安全领导小组的负责下，组织相关人员制定； 保证安全管理制度具有统一的格式风格，并进行版本控制； 组织相关人员对制定的安全管理制度进行论证和审定； 安全管理制度应经过管理层签发后按照一定的程序以文件形式发布； 安全管理制度应注明发布范围，并对收发文进行登记。,安全管理制度-评审与修订,定期对安全管理制度进行评审和修订，对存在不足或需要改进的安全管理制度进行修订； 当发生重大安全事故、出现新的安全漏洞以及技术基础结构发生变更时，应对安全管理制度进行检查、审定和修订； 每个制度文档应有相应负责人或负责部门，负责对明确需要修订的制度文档，进行修订和维护。,人员安全管理,人员录用 人员离岗 人员考核

30、安全意识教育与培训 第三方人员管理,人员安全管理-人员录用,保证被录用人具备基本的专业技术水平和安全管理知识； 对被录用人的身份、背景、专业资格和资质进行审查； 对被录用人所具备的技术技能进行考核； 对被录用人说明其角色和职责； 签署保密协议； 对从事关键岗位的人员应从内部人员选拔，并定期进行信用审查； 对从事关键岗位的人员应签署岗位安全协议。,人员安全管理-人员离岗,立即终止由于各种原因即将离岗的员工的所有访问权限； 取回各种身份证件、钥匙、徽章等以及机构提供的软硬件设备； 经机构人事部门办理严格的调离手续，并承诺调离后的保密义务后方可离开。,人员安全管理-人员考核,对所有人员进行全面、严格

31、的安全审查； 定期对各个岗位的人员进行安全技能及安全认知的考核； 对考核结果进行记录并保存； 对违背安全策略和规定的人员进行惩戒。,人员安全管理 -安全意识教育与培训,对各类人员进行安全意识教育； 告知人员相关的安全责任和惩戒措施； 制定安全教育和培训计划，对信息安全基础知识、岗位操作规程等进行培训； 针对不同岗位制定不同培训计划； 对安全教育和培训的情况和结果进行记录并归档保存。,人员安全管理 -第三方人员管理,第三方人员应在访问前与机构签署安全责任合同书或保密协议； 对重要区域的访问，须提出书面申请，批准后由专人全程陪同或监督，并记录备案； 对第三方人员允许访问的区域、系统、设备、信息等内

32、容应进行书面的规定，并按照规定执行。,系统建设管理,系统定级 系统备案 安全方案设计 产品采购 自行软件研发 外包软件开发 工程实施 工程验收 系统交付,系统建设管理-系统定级,明确信息系统划分的方法 确定信息系统的安全保护等级 以书面的形式定义安全保护等级的信息系统的属性，包括使命、业务、网络、硬件、软件、数据、边界、人员等 以书面的形式说明确定一个信息系统为某个安全保护等级的方法和理由 组织相关部门和有关安全技术专家对信息系统的定级结果的合理性和正确性进行论证和审定 确保信息系统的定级结果经过相关部门的批准,系统建设管理-系统备案,将系统定级、系统属性等材料指定专门的人员或部门负责管理，并

33、控制这些材料的使用 将系统等级和系统属性等资料报系统主管部门备案 将系统等级、系统属性、等级划分理由及其他要求的备案材料报相应公安机关备案,系统建设管理-安全方案设计,根据系统的安全级别选择基本安全措施，依据风险评估的结果补充和调整安全措施 指定和授权专门的部门对信息系统的安全建设进行总体规划，制定近期和远期的安全建设工作计划 根据信息系统的等级划分情况，统一考虑安全保障体系的总体安全策略、安全技术框架、安全管理策略、总体建设规划和详细设计方案，并形成配套文件 组织相关部门和有关安全技术专家对总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计方案等相关配套文件的合理性和正确性进行

34、论证和审定 确保总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计方案等文件必须经过批准，才能正式实施 根据安全测评、安全评估的结果定期调整和修订总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计方案等相关配套文件,系统建设管理-产品采购,确保安全产品的使用符合国家的有关规定 确保密码产品的使用符合国家密码主管部门的要求 指定或授权专门的部门负责产品的采购 制定产品采购方面的管理制度明确说明采购过程的控制方法和人员行为准则 预先对产品进行选型测试，确定产品的候选范围，并定期审定和更新候选产品名单,系统建设管理-自行软件研发,确保开发环境与实际运行环境物理分开； 确保

35、系统开发文档由专人负责保管，系统开发文档的使用受到控制； 制定开发方面的管理制度，明确说明开发过程的控制方法和人员行为准则； 确保开发人员和测试人员的分离，测试数据和测试结果受到控制； 确保提供软件设计的相关文档和使用指南； 确保对程序资源库的修改、更新、发布进行授权和批准。,系统建设管理-外包软件开发,与软件开发单位签订协议，明确知识产权的归属和安全方面的要求； 根据协议的要求检测软件质量； 在软件安装之前检测软件包中可能存在的恶意代码； 要求开发单位提供技术培训和服务承诺； 要求开发单位提供软件设计的相关文档和使用指南。,系统建设管理-工程实施,与工程实施单位签订与安全相关的协议，约束工程

36、实施单位的行为； 指定或授权专门的人员或部门负责工程实施过程的管理； 制定详细的工程实施方案控制实施过程，并要求工程实施单位能正式地执行安全工程过程； 制定工程实施方面的管理制度明确说明实施过程的控制方法和人员行为准则。,系统建设管理-工程验收,对系统进行安全性测试验收； 在测试验收前根据设计方案或合同要求等制订测试验收方案，测试验收过程中详细记录测试验收结果，形成测试验收报告； 委托公正的第三方测试单位对系统进行测试，并出具测试报告； 制定系统测试验收方面的管理制度，明确说明系统测试验收的控制方法和人员行为准则； 指定或授权专门的部门负责系统测试验收的管理，并按照管理制度的要求完成系统测试验

37、收工作； 组织相关部门和相关人员，对系统测试验收报告进行审定，没有疑问后由双方签字。,系统建设管理-系统交付,明确系统的交接手续，并按照交接手续完成交接工作； 由系统建设方完成对委托建设方的运维技术人员的培训； 由系统建设方提交系统建设过程中的文档和指导用户进行系统运行维护的文档； 由系统建设方进行服务承诺，并提交服务承诺书，确保对系统运行维护的支持； 制定系统交付方面的管理制度，明确说明系统交付的控制方法和人员行为准则； 指定或授权专门的部门负责系统交付的管理工作，并按照管理制度的要求完成系统交付工作。,系统运维管理,环境管理 资产管理 介质管理 设备管理 监控管理 网络安全管理 系统安全管

38、理 恶意代码防范管理 密码管理 变更管理 备份与恢复管理 安全事件管理 应急预案管理,系统运维管理-环境管理,对机房供配电、空调、温湿度控制等设施指定专人或专门的部门定期进行维护管理； 配备机房安全管理人员，对机房的出入、服务器的开机或关机等工作进行管理； 建立机房安全管理制度，对有关机房物理访问，物品带进、带出机房和机房环境安全等方面作出规定； 加强对办公环境的保密性管理，如工作人员调离办公室应立即交还该办公室钥匙和不在办公区接待来访人员等； 有指定的部门负责机房安全，并配置电子门禁系统，对机房来访人员实行登记记录和电子记录双重备案管理； 对办公环境的人员行为，如工作人员离开座位应确保终端计

39、算机退出登录状态和桌面上没有包含敏感信息的纸档文件等作出规定。,系统运维管理-资产管理,建立资产安全管理制度，规定信息系统资产管理的责任人员或责任部门，并规范资产管理和使用的行为； 编制并保存与信息系统相关的资产、资产所属关系、安全级别和所处位置等信息的资产清单； 根据资产的重要程度对资产进行定性赋值和标识管理，根据资产的价值选择相应的管理措施； 规定信息分类与标识的原则和方法，并对信息的使用、存储和传输作出规定。,系统运维管理-介质管理,建立介质安全管理制度，对介质的存放环境、使用、维护和销毁等方面作出规定； 有介质的归档和查询记录，并对存档介质的目录清单定期盘点； 对于需要送出维修或销毁的

40、介质，应首先清除介质中的敏感数据，防止信息的非法泄漏； 根据数据备份的需要对某些介质实行异地存储，存储地的环境要求和管理方法应与本地相同； 根据所承载数据和软件的重要程度对介质进行分类和标识管理，并实行存储环境专人管理； 对介质的物理传输过程中人员选择、打包、交付等情况进行控制； 对存储介质的使用过程、送出维修以及销毁进行严格的管理，保密性较高的信息存储介质未经批准不得自行销毁； 必要时应对重要介质数据和软件采取加密存储，对带出工作环境的存储介质进行内容加密和监控管理； 对存放在介质库中的介质定期进行完整性和可用性检查，确认其数据或软件没有受到损坏或丢失。,系统运维管理-设备管理,对信息系统相

41、关的各种设备、线路等指定专人或专门的部门定期进行维护管理； 对信息系统的各种软硬件设备的选型、采购、发放或领用等过程建立基于申报、审批和专人负责的管理制度； 对终端计算机、工作站、便携机、系统和网络等设备的操作和使用进行规范化管理； 对带离机房或办公地点的信息处理设备进行控制； 按操作规程实现服务器的启动/停止、加电/断电等操作，加强对服务器操作的日志文件管理和监控管理，并对其定期进行检查； 建立配套设施、软硬件维护方面的管理制度，对软硬件维护进行有效的管理，包括明确维护人员的责任、涉外维修和服务的审批、维修过程的监督控制等； 在安全管理机构统一安全策略下对服务器进行系统配置和服务设定，并实施

42、配置管理。,系统运维管理-监控管理,进行主机运行监视，包括监视主机的CPU、硬盘、内存和网络等资源的使用情况； 对分散或集中的安全管理系统的访问授权、操作记录、日志等方面进行有效管理； 严格管理运行过程文档，其中包括责任书、授权书、许可证、各类策略文档、事故报告处理文档、安全配置文档、系统各类日志等，并确保文档的完整性和一致性。,系统运维管理-网络安全管理,指定专人对网络进行管理，负责运行日志、网络监控记录的日常维护和报警信息分析和处理工作； 根据厂家提供的软件升级版本对网络设备进行更新，并在更新前对现有的重要文件进行备份； 进行网络系统漏洞扫描，对发现网络系统安全漏洞进行及时的修补；应保证所

43、有与外部系统连接均应得到授权和批准； 建立网络安全管理制度，对网络安全配置、网络用户以及日志等方面作出规定； 对网络设备的安全策略、授权访问、最小服务、升级与打补丁、维护记录、日志以及配置文件的生成、备份、变更审批、符合性检查等方面做出具体要求； 规定网络审计日志的保存时间以便为可能的安全事件调查提供支持； 明确各类用户的责任、义务和风险，并按照机构制定的审查和批准程序建立用户和分配权限，定期检查用户实际权限与分配权限的符合性； 对日志的备份、授权访问、处理、保留时间等方面做出具体规定，使用统一的网络时间，以确保日志记录的准确； 通过身份鉴别、访问控制等严格的规定限制远程管理账户的操作权限和登

44、录行为； 定期检查违反规定拨号上网或其他违反网络安全策略行为。,系统运维管理-系统安全管理,指定专人对系统进行管理，删除或者禁用不使用的系统缺省账户； 制定系统安全管理制度，对系统安全配置、系统帐户以及审计日志等方面作出规定； 对能够使用系统工具的人员及数量进行限制和控制； 定期安装系统的最新补丁程序，并根据厂家提供的可能危害计算机的漏洞进行及时修补，并在安装系统补丁前对现有的重要文件进行备份； 根据业务需求和系统安全分析确定系统的访问控制策略，系统访问控制策略用于控制分配信息系统、文件及服务的访问权限； 对系统账户进行分类管理，权限设定应当遵循最小授权要求； 对系统的安全策略、授权访问、最小

45、服务、升级与打补丁、维护记录、日志以及配置文件的生成、备份、变更审批、符合性检查等方面做出具体要求； 规定系统审计日志的保存时间以便为可能的安全事件调查提供支持； 进行系统漏洞扫描，对发现的系统安全漏洞进行及时的修补； 明确各类用户的责任、义务和风险，对系统账户的登记造册、用户名分配、初始口令分配、用户权限及其审批程序、系统资源分配、注销等作出规定； 对于账户安全管理的执行情况进行检查和监督，定期审计和分析用户账户的使用情况，对发现的问题和异常情况进行相关处理。,系统运维管理-恶意代码防范管理,提高所有用户的防病毒意识，告知及时升级防病毒软件； 在读取移动存储设备(如软盘、移动硬盘、光盘)上的

46、数据以及网络上接收文件或邮件之前，先进行病毒检查，对外来计算机或存储设备接入网络系统之前也要进行病毒检查； 指定专人对网络和主机进行恶意代码检测并保存检测记录； 建立恶意代码防范管理制度，对防恶意代码软件的授权使用、恶意代码库升级、定期汇报等作出明确管理规定； 建立恶意代码集中防护的安全管理中心，确保整个网络统一配置、统一升级、统一控制； 定期检查信息系统内各种产品的恶意代码库的升级情况并进行记录，对主机防病毒产品、防病毒网关和邮件防病毒网关上截获的危险病毒或恶意代码进行及时分析处理，并形成书面的报表和总结汇报。,系统运维管理-密码管理,建立密码使用管理制度; 密码算法和密钥使用应符合国家密码

47、管理规定。,系统运维管理-变更管理,确认系统中将发生的变更，并制定变更方案； 建立变更管理制度，重要系统变更前，应向主管领导申请，变更方案经过评审、审批后方可实施变更； 系统变更情况应向所有相关人员通告； 应建立变更控制的申报和审批文件化程序，变更影响分析应文档化，变更实施过程应记录，所有文档记录应妥善保存； 中止变更并从失败变更中恢复程序应文档化，应明确过程控制方法和人员职责，必要时恢复过程应经过演练。,系统运维管理-备份与恢复管理,识别需要定期备份的重要业务信息、系统数据及软件系统等； 规定备份信息的备份方式（如增量备份或全备份等）、备份频度（如每日或每周等）、存储介质、保存期等； 根据数

48、据的重要性和数据对系统运行的影响，制定数据的备份策略和恢复策略，备份策略应指明备份数据的放置场所、文件命名规则、介质替换频率和将数据离站运输的方法； 指定相应的负责人定期维护和检查备份及冗余设备的状况，确保需要接入系统时能够正常运行； 根据设备备份方式，规定备份及冗余设备的安装、配置和启动的流程； 建立控制数据备份和恢复过程的程序，备份过程应记录，所有文件和记录应妥善保存； 根据系统级备份所采用的方式和产品，建立备份设备的安装、配置、启动、操作及维护过程控制的程序，记录设备运行过程状况，所有文件和记录应妥善保存； 定期执行恢复程序，检查和测试备份介质的有效性，确保可以在恢复程序规定时间内完成备

49、份恢复。,系统运维管理-安全事件管理,所有用户均有责任报告自己发现的安全弱点和可疑事件，但任何情况下用户均不应尝试验证弱点； 制定安全事件报告和处置管理制度，规定安全事件的现场处理、事件报告和后期恢复的管理职责； 分析信息系统的类型、网络连接特点和信息系统用户特点，了解本系统和同类系统已发生的安全事件，识别本系统需要防止发生的安全事件，事件可能来自攻击、错误、故障、事故或灾难； 根据国家相关管理部门对计算机安全事件等级划分方法，根据安全事件在本系统产生的影响，将本系统计算机安全事件进行等级划分； 制定安全事件报告和响应处理程序，确定事件的报告流程，响应和处置的范围、程度，以及处理方法等； 在安全事件报告和响应处理过程中，分析和鉴定事件产生的原因，收集证据，记录处理过程，总结经验教训，制定防止再次发生的补救措施，过程形成的所有文件和记录均应妥善保存； 对造成系统中断和造成信息泄密的安全事件应采用不同的处理程序和报告程序。,系统运维管理-应急预案管理,在统一的应急预案框架下制定不同事件的应急预案，应急预案框架应包括启动预案的条件、应急处理流程、系统恢复流程和事后教育和培训等内容； 从人力、设备、技术和财务等方面确