信息安全管理體系規(guī)劃與設(shè)計(jì)方案

XXX信■息化服務(wù)中心項(xiàng)目名稱(chēng)XXX安全運(yùn)維服務(wù)項(xiàng)目客戶(hù)名稱(chēng)XXX信息化服務(wù)中心實(shí)施地點(diǎn)XXX信息化服務(wù)中心實(shí)施單位XXXXXX信息技術(shù)有限實(shí)施時(shí)間XXX年7月20日星期五文檔修訂情況版本修訂記錄日期修訂審核批準(zhǔn)v1.0制作文檔XXX-07-20XXX目錄1概述 錯(cuò)誤！未定義書(shū)簽。TOC\o"1-5"\h\z\o"CurrentDocument"信息安全建設(shè)思路 4\o"CurrentDocument"信息安全建設(shè)內(nèi)容 6建立管理組織機(jī)構(gòu) 6\o"CurrentDocument"1.2.2物理安全建設(shè) 6\o"CurrentDocument"網(wǎng)XXX全建設(shè) 6\o"CurrentDocument"1.2.4系統(tǒng)安全建設(shè) 7\o"CurrentDocument"1.2.5應(yīng)用安全建設(shè) 7\o"CurrentDocument"系統(tǒng)和數(shù)據(jù)備份管理 7\o"CurrentDocument"應(yīng)急響應(yīng)管理 7\o"CurrentDocument"災(zāi)難恢復(fù)管理 7\o"CurrentDocument"1.2.9人員管理和教育培訓(xùn) 8\o"CurrentDocument"信息安全建設(shè)原則 8\o"CurrentDocument"統(tǒng)一規(guī)劃 8\o"CurrentDocument"1.3.2分步有序?qū)嵤?8\o"CurrentDocument"1.3.3技術(shù)管理并重 8\o"CurrentDocument"突出安全保障 9\o"CurrentDocument"2 信息安全建設(shè)基本方針 9\o"CurrentDocument"3信息安全建設(shè)目標(biāo) 9\o"CurrentDocument"一個(gè)目標(biāo) 10兩種手段 10三個(gè)體系 10\o"CurrentDocument"4 信息安全體系建立的原則 10\o"CurrentDocument"標(biāo)準(zhǔn)性原則 10\o"CurrentDocument"整體性原則 11\o"CurrentDocument"實(shí)用性原則 11\o"CurrentDocument"4.4 先進(jìn)性原則 11\o"CurrentDocument"信息安全策略 12\o"CurrentDocument"物理安全策略 12\o"CurrentDocument"網(wǎng)XXX全策略 13\o"CurrentDocument"系統(tǒng)安全策略 13\o"CurrentDocument"病毒管理策略 14\o"CurrentDocument"身份認(rèn)證策略 15\o"CurrentDocument"用戶(hù)授權(quán)與訪(fǎng)問(wèn)控制策略 16\o"CurrentDocument"數(shù)據(jù)加密策略 16\o"CurrentDocument"數(shù)據(jù)備份與災(zāi)難恢復(fù) 17\o"CurrentDocument"應(yīng)急響應(yīng)策略 17\o"CurrentDocument"安全教育策略 18\o"CurrentDocument"信息安全體系框架 18\o"CurrentDocument"安全目標(biāo)模型 18\o"CurrentDocument"信息安全體系框架組成 20\o"CurrentDocument"6.2.1安全策略 216.2.2安全技術(shù)體系 21\o"CurrentDocument"6.2.3安全管理體系 22\o"CurrentDocument"6.2.4運(yùn)行保障體系 25\o"CurrentDocument"6.2.5建設(shè)實(shí)施規(guī)劃 251概述1.1信息安全建設(shè)思路XXX信息化服務(wù)中心信息安全建設(shè)工作的總體思路如下圖所示:工程試點(diǎn)實(shí)施信息安全系統(tǒng)建設(shè)規(guī)劃和實(shí)施方案11安全技術(shù)體系< >安全管理體系 >運(yùn)營(yíng)保障體系11整體安全策略（建設(shè)目標(biāo)、技術(shù)策略、管理策略）現(xiàn)存問(wèn)題信息安全技術(shù)和機(jī)制彳A建設(shè)現(xiàn)狀發(fā)展趨勢(shì)信息化建設(shè)現(xiàn)狀安全威脅和安全脆弱性111網(wǎng)絡(luò)和信息技術(shù)XXX信息化服務(wù)中心的信息安全建設(shè)由針對(duì)性安全問(wèn)題和支撐性安全技術(shù)兩條主線(xiàn)展開(kāi)，這兩條主線(xiàn)在安全建設(shè)的過(guò)程中的關(guān)鍵節(jié)點(diǎn)又相互銜接和融和，最終形成一個(gè)完整的安全建設(shè)方案，并投入實(shí)施。首先，XXX信息化服務(wù)中心的信息化建設(shè)是基于當(dāng)前通用的網(wǎng)絡(luò)與信息系統(tǒng)基礎(chǔ)技術(shù)，這使得信息化建設(shè)和安全技術(shù)有了一個(gè)共同的基礎(chǔ)，使得XXX信息化服務(wù)中心的針對(duì)性安全需求與通用的安全解決技術(shù)和方案有了一定的共通點(diǎn)和結(jié)合點(diǎn)。在這個(gè)基礎(chǔ)上，通過(guò)安全評(píng)估，對(duì)信息化建設(shè)和信息安全建設(shè)進(jìn)行分析和總結(jié)，其中包括對(duì)建設(shè)現(xiàn)狀和發(fā)展趨勢(shì)的完整分析，歸納出系統(tǒng)中當(dāng)前存在和今后可能存在的安全問(wèn)題，明確網(wǎng)絡(luò)和信息系統(tǒng)運(yùn)營(yíng)所面臨的安全風(fēng)險(xiǎn)級(jí)別。從支撐性安全技術(shù)的主線(xiàn)展開(kāi)，對(duì)現(xiàn)有網(wǎng)絡(luò)和信息技術(shù)的固有缺陷出發(fā)，總結(jié)了普遍存在的安全威脅，并根據(jù)其它系統(tǒng)中的信息安全建設(shè)實(shí)踐中的經(jīng)驗(yàn)，從信息安全領(lǐng)域的完整框架、思路、技術(shù)和理念出發(fā)，提供完整的安全建設(shè)思路和方法。在此基礎(chǔ)之上，兩條主線(xiàn)進(jìn)入融和的階段。信息安全領(lǐng)域的理論、框架和技術(shù)基礎(chǔ)與XXX信息化服務(wù)中心的安全問(wèn)題有機(jī)地進(jìn)行結(jié)合，有針對(duì)性地提出XXX信息化服務(wù)中心安全保障總體策略。在這個(gè)安全保障總體策略中，包括了整體建設(shè)目標(biāo)，安全技術(shù)策略，以及相應(yīng)的管理策略?？傮w安全策略一方面充分體現(xiàn)了XXX信息化服務(wù)中心對(duì)自身信息化建設(shè)中安全問(wèn)題的針對(duì)性，另一方面也充分基于現(xiàn)有的信息安全領(lǐng)域的安全模型和技術(shù)支持能力，因此具備了可行性、針對(duì)性和前瞻性。以安全保障總體策略為核心，分三個(gè)方面進(jìn)行整體信息安全體系框架的制定，包括安全技術(shù)體系，安全管理體系和運(yùn)營(yíng)保障體系。在現(xiàn)實(shí)的運(yùn)營(yíng)過(guò)程中，安全保障不能夠純粹依靠安全技術(shù)來(lái)解決，更需要適當(dāng)?shù)陌踩芾恚嗷ソY(jié)合來(lái)提高整體安全性效果。在信息安全體系框架的指導(dǎo)下，依據(jù)相應(yīng)的建設(shè)標(biāo)準(zhǔn)和管理規(guī)范，規(guī)劃和制定詳細(xì)的信息安全系統(tǒng)實(shí)施方案和運(yùn)營(yíng)維護(hù)計(jì)劃。為了更加穩(wěn)妥地進(jìn)行全面的信息安全建設(shè)，在信息安全系統(tǒng)實(shí)施過(guò)程中首先進(jìn)行試點(diǎn)項(xiàng)目建設(shè)，在試點(diǎn)項(xiàng)目建設(shè)中進(jìn)一步積累經(jīng)驗(yàn)，并對(duì)某些實(shí)施方案的細(xì)節(jié)進(jìn)行調(diào)整，為建設(shè)實(shí)施順利地全面開(kāi)真打下基礎(chǔ)。信息安全體系建設(shè)的思路體現(xiàn)了以下的特點(diǎn)：■統(tǒng)籌規(guī)劃和設(shè)計(jì)在建設(shè)過(guò)程中占有非常重要的地位；■充分結(jié)合建設(shè)現(xiàn)狀與信息安全通用技術(shù)和理念；■充分考慮了當(dāng)前的建設(shè)現(xiàn)狀以及未來(lái)業(yè)務(wù)發(fā)展的需要；■注重安全管理體系的建設(shè)，以及管理、技術(shù)和保障的相互結(jié)合；

采取試點(diǎn)工程計(jì)劃，使得信息安全建設(shè)實(shí)施更加穩(wěn)妥。1.2信息安全建設(shè)內(nèi)容XXX信息化服務(wù)中心的信息安全建設(shè)所涉及的工作內(nèi)容包括以下部分。1.2.1建立理組織機(jī)構(gòu)建立專(zhuān)職的信息安全監(jiān)管機(jī)構(gòu)，明確各級(jí)管理機(jī)構(gòu)的人員崗位配置和職能權(quán)限，全面負(fù)責(zé)信息安全建設(shè)工作和維護(hù)信息安全系統(tǒng)的運(yùn)營(yíng)。1.2.2物理安全建設(shè)按照國(guó)家對(duì)于計(jì)算機(jī)機(jī)房的相關(guān)建設(shè)標(biāo)準(zhǔn)，制定統(tǒng)一的計(jì)算機(jī)機(jī)房建設(shè)標(biāo)準(zhǔn)和管理規(guī)范，對(duì)于計(jì)算機(jī)機(jī)房建設(shè)中的環(huán)境參數(shù)、保障機(jī)制，以及運(yùn)行過(guò)程中的人員訪(fǎng)問(wèn)控制、監(jiān)控措施等進(jìn)行統(tǒng)一約定，頒布統(tǒng)一的計(jì)算機(jī)機(jī)房管理制度，對(duì)設(shè)備安全管理、介質(zhì)安全管理、人員安全管理等作出詳細(xì)的規(guī)定。1.2.3網(wǎng)XXX全建設(shè)網(wǎng)XXX全是信息安全保障的重點(diǎn)，制定統(tǒng)一的網(wǎng)絡(luò)結(jié)構(gòu)技術(shù)標(biāo)準(zhǔn)，對(duì)如何劃分內(nèi)部信息系統(tǒng)的安全區(qū)域，安全區(qū)域的邊界采取的隔離措施，進(jìn)行約定，保證內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)、辦公網(wǎng)與業(yè)務(wù)生產(chǎn)網(wǎng)之間的安全隔離。制定統(tǒng)一的互聯(lián)網(wǎng)接入點(diǎn)、外聯(lián)網(wǎng)接入點(diǎn)的技術(shù)標(biāo)準(zhǔn)和管理規(guī)范，統(tǒng)一約定網(wǎng)絡(luò)邊界接入點(diǎn)的網(wǎng)絡(luò)結(jié)構(gòu)、安全產(chǎn)品的部署模式，保證內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間的安全隔離。制定統(tǒng)一的遠(yuǎn)程移動(dòng)辦公技術(shù)標(biāo)準(zhǔn)和管理規(guī)范，保證遠(yuǎn)程移動(dòng)辦公接入的安全性。制定統(tǒng)一的網(wǎng)XXX全系統(tǒng)建設(shè)標(biāo)準(zhǔn)和管理規(guī)范，包括防火墻、網(wǎng)絡(luò)入侵檢測(cè)、網(wǎng)絡(luò)脆弱性分析、網(wǎng)絡(luò)層加密等。1.2.4系統(tǒng)安全建設(shè)系統(tǒng)安全的工作內(nèi)容包括制定統(tǒng)一的系統(tǒng)安全管理規(guī)范，包括主機(jī)入侵檢測(cè)、系統(tǒng)安全漏洞分析和加固，提升服務(wù)器主機(jī)系統(tǒng)的安全級(jí)別。制定統(tǒng)一的網(wǎng)絡(luò)病毒查殺系統(tǒng)的建設(shè)標(biāo)準(zhǔn)和管理規(guī)范，有效抑制計(jì)算機(jī)病毒在內(nèi)部網(wǎng)絡(luò)和信息系統(tǒng)中的傳播和蔓延。1.2.5應(yīng)用安全建設(shè)應(yīng)用安全機(jī)制在應(yīng)用層為業(yè)務(wù)系統(tǒng)提供直接的安全保護(hù)，能夠滿(mǎn)足身份認(rèn)證、用戶(hù)授權(quán)與訪(fǎng)問(wèn)控制、數(shù)據(jù)安全傳輸?shù)劝踩枨蟆Ｖ贫ńy(tǒng)一的身份認(rèn)證、授權(quán)與訪(fǎng)問(wèn)控制、應(yīng)用層通信加密等應(yīng)用層安全系統(tǒng)的建設(shè)標(biāo)準(zhǔn)和管理規(guī)范，改善業(yè)務(wù)應(yīng)用系統(tǒng)的整體安全性。1.2.6系統(tǒng)和數(shù)據(jù)備份管理系統(tǒng)和數(shù)據(jù)備份是重要的安全保障機(jī)制，為了保障業(yè)務(wù)數(shù)據(jù)的安全性，降低突發(fā)意外事件所帶來(lái)的安全風(fēng)險(xiǎn)，制定統(tǒng)一的系統(tǒng)和數(shù)據(jù)備份標(biāo)準(zhǔn)與規(guī)范，采取先進(jìn)的數(shù)據(jù)備份技術(shù)，保證業(yè)務(wù)數(shù)據(jù)和系統(tǒng)軟件的安全性。1.2.7應(yīng)急響應(yīng)管理制定統(tǒng)一的應(yīng)急響應(yīng)計(jì)劃標(biāo)準(zhǔn)，建立應(yīng)急響應(yīng)計(jì)劃，包括安全事件的檢測(cè)、報(bào)告、分析、追查、和系統(tǒng)恢復(fù)等內(nèi)容。在發(fā)生安全事件后，盡快作出適當(dāng)?shù)捻憫?yīng)，將安全事件的負(fù)面影響降至最低，保障金融業(yè)務(wù)正常運(yùn)轉(zhuǎn)。1.2.8災(zāi)難恢復(fù)管理災(zāi)難是指對(duì)網(wǎng)絡(luò)和信息系統(tǒng)造成任何破壞作用的意外事件，要制定詳細(xì)的災(zāi)難恢復(fù)計(jì)劃，考慮到數(shù)據(jù)大集中的安全需求，采用異地容災(zāi)備份等技術(shù)，確保數(shù)據(jù)的安全性和業(yè)務(wù)的持續(xù)性，在災(zāi)難發(fā)生后，盡快完成恢復(fù)。1.2.9人員管理和教育培訓(xùn)制定統(tǒng)一的人員安全管理和教育培訓(xùn)規(guī)范，定期對(duì)信息系統(tǒng)的用戶(hù)進(jìn)行安全教育和培訓(xùn)，對(duì)普通用戶(hù)進(jìn)行基本的安全教育，對(duì)安全技術(shù)崗位的用戶(hù)進(jìn)行崗位技能培訓(xùn)，提高全員的安全意識(shí)，培養(yǎng)高素質(zhì)的安全技術(shù)和管理隊(duì)伍。1.3信息安全建設(shè)原則信息安全體系的建設(shè)，涉及面廣、工作量大，必須堅(jiān)持以下的原則，保證建設(shè)和運(yùn)營(yíng)的效果。1.3.1統(tǒng)一規(guī)劃要對(duì)信息安全體系建設(shè)進(jìn)行統(tǒng)一的規(guī)劃，制定信息安全體系框架，明確保障體系中所包含的內(nèi)容。同時(shí)，還要制定統(tǒng)一的信息安全建設(shè)標(biāo)準(zhǔn)和管理規(guī)范，使得信息安全體系建設(shè)能夠遵循一致的標(biāo)準(zhǔn)，管理能夠遵循一致的規(guī)范。1.3.2分步有序?qū)嵤┬畔踩w系的建設(shè)，內(nèi)容龐雜，必須堅(jiān)持分步驟的有序?qū)嵤┰瓌t，循序漸進(jìn)地進(jìn)行。1.3.3技術(shù)管理并重僅有全面的安全技術(shù)和機(jī)制是遠(yuǎn)遠(yuǎn)不夠的，安全管理也具有同樣的重要性，XXX信息化服務(wù)中心信息安全體系的建設(shè)，必須遵循安全技術(shù)和安全管理并重的原則。制定統(tǒng)一的安全建設(shè)管理規(guī)范，指導(dǎo)的安全管理工作。1.3.4突出安全保障信息安全體系建設(shè)要突出安全保障的重要性，通過(guò)數(shù)據(jù)備份、冗余設(shè)計(jì)、應(yīng)急響應(yīng)、安全審計(jì)、災(zāi)難恢復(fù)等安全保障機(jī)制，保障業(yè)務(wù)的持續(xù)性和數(shù)據(jù)的安全性。2信息安全建設(shè)基本方針XXX信息化服務(wù)中心信息安全體系建設(shè)的基本安全方針是“統(tǒng)一規(guī)劃建設(shè)、全面綜合防御、技術(shù)管理并重、保障運(yùn)營(yíng)安全”。統(tǒng)一規(guī)劃建設(shè)，突出了進(jìn)行統(tǒng)籌規(guī)劃的重要性，提供了的安全建設(shè)所需的統(tǒng)一技術(shù)標(biāo)準(zhǔn)、管理規(guī)范，以及實(shí)施步驟的安排，也保證了人員和資金的投入。全面綜合防御，是指在技術(shù)層面上，綜合使用了多種安全機(jī)制，將不同安全機(jī)制的保護(hù)效果有機(jī)地結(jié)合起來(lái)，構(gòu)成完整的立體防護(hù)體系。技術(shù)管理并重，突出了安全管理在信息安全體系中的重要性，僅僅憑借安全技術(shù)體系，無(wú)法解決所有的安全問(wèn)題，安全管理體系與技術(shù)防護(hù)體系相互配合，增強(qiáng)技術(shù)防護(hù)體系的效率和效果，同時(shí)也彌補(bǔ)當(dāng)前技術(shù)無(wú)法完全解決的安全缺陷，實(shí)現(xiàn)了最佳的保護(hù)效果。保障運(yùn)營(yíng)安全，突出了安全保障的重要性，利用多種安全保障機(jī)制，保障了網(wǎng)絡(luò)和信息系統(tǒng)的運(yùn)行安全，也保障了業(yè)務(wù)的持續(xù)性和業(yè)務(wù)數(shù)據(jù)的安全性。3信息安全建設(shè)目標(biāo)根據(jù)XXX信息化服務(wù)中心信息安全體系建設(shè)的基本方針，XXX信息化服務(wù)中心信息安全的建設(shè)目標(biāo)，可以用“一個(gè)目標(biāo)、兩種手段、三個(gè)體系”進(jìn)行概括。3.1一個(gè)目標(biāo)XXX信息化服務(wù)中心信息安全的建設(shè)目標(biāo)是：基于安全基礎(chǔ)設(shè)施、以安全策略為指導(dǎo)，提供全面的安全服務(wù)內(nèi)容，覆蓋從物理、網(wǎng)絡(luò)、系統(tǒng)、直至數(shù)據(jù)和應(yīng)用平臺(tái)各個(gè)層面，以及保護(hù)、檢測(cè)、響應(yīng)、恢復(fù)等各個(gè)環(huán)節(jié)，構(gòu)建全面、完整、高效的信息安全體系，從而提高XXX信息化服務(wù)中心信息系統(tǒng)的整體安全等級(jí)，為XXX信息化服務(wù)中心的業(yè)務(wù)發(fā)展提供堅(jiān)實(shí)的信息安全保障。信息安全體系的建設(shè)應(yīng)該包括安全技術(shù)與安全管理兩種手段，其中安全技術(shù)手段是安全保障的基礎(chǔ)，安全管理手段是安全技術(shù)手段真正發(fā)揮效益的關(guān)鍵，管理措施的正確實(shí)施同時(shí)需要有技術(shù)手段來(lái)監(jiān)管和驗(yàn)證，兩者相輔相成，缺一不可。XXX信息化服務(wù)中心信息安全體系的建設(shè)最終形成3個(gè)主要體系，具體包括安全技術(shù)體系、安全管理體系、以及運(yùn)行保障體系。4信息安全體系建立的原則XXX信息化服務(wù)中心信息安全體系的設(shè)計(jì)與建設(shè)過(guò)程，遵循了以下基本指導(dǎo)原則。4.1標(biāo)準(zhǔn)性原則盡可能遵循現(xiàn)有的與信息安全相關(guān)的國(guó)際標(biāo)準(zhǔn)、國(guó)內(nèi)標(biāo)準(zhǔn)、行業(yè)標(biāo)準(zhǔn)，包括在技術(shù)框架中與具體的信息安全技術(shù)相關(guān)的標(biāo)準(zhǔn)，以及在管理框架中與安全管理相關(guān)的標(biāo)準(zhǔn)。標(biāo)準(zhǔn)性原則從根本上保證了XXX信息化服務(wù)中心的信息安全體系建設(shè)具有良好的全面性、標(biāo)準(zhǔn)性、和開(kāi)放性。4.2整體性原則從宏觀(guān)的、整體的角度出發(fā)，系統(tǒng)地建設(shè)XXX信息化服務(wù)中心信息安全體系，不僅僅局限于安全技術(shù)層面，或者技術(shù)層面中孤立的安全技術(shù)，而是全面構(gòu)架信息安全技術(shù)體系，覆蓋從物理安全、通信和網(wǎng)XXX全、主機(jī)系統(tǒng)安全、到數(shù)據(jù)和應(yīng)用系統(tǒng)安全各個(gè)層面。同時(shí)，建立全面有效的安全管理體系和運(yùn)行保障體系，使得安全技術(shù)體系發(fā)揮最佳的保障效果。4.3實(shí)用性原則建立信息安全體系，必須針對(duì)XXX信息化服務(wù)中心網(wǎng)絡(luò)和信息系統(tǒng)的特點(diǎn)，在現(xiàn)狀分析和風(fēng)險(xiǎn)評(píng)估的基礎(chǔ)上有的放矢地進(jìn)行，不能簡(jiǎn)單地照抄照搬其它的信息安全保障方案。同時(shí)，信息安全體系中的所有內(nèi)容，都被用來(lái)指導(dǎo)XXX信息化服務(wù)中心信息安全系統(tǒng)的建設(shè)和管理維護(hù)等實(shí)際工作，因此必須堅(jiān)持可操作性和實(shí)用性原則，避免空洞和歧義現(xiàn)象。實(shí)用性還體現(xiàn)在信息安全體系的建設(shè)過(guò)程中，由于內(nèi)容龐雜，必須堅(jiān)持分步驟的有序?qū)嵤┰瓌t，循序漸進(jìn)地進(jìn)行建設(shè)。4.4先進(jìn)性原則信息安全體系中所涉及的安全技術(shù)和機(jī)制，應(yīng)該具有一定的先進(jìn)性和前瞻性，既能夠滿(mǎn)足當(dāng)前系統(tǒng)的安全要求，又能夠滿(mǎn)足未來(lái)3到5年時(shí)間內(nèi)，XXX信息化服務(wù)中心的信息安全系統(tǒng)建設(shè)的需要，為網(wǎng)絡(luò)和信息系統(tǒng)提供有效的安全服務(wù)保障。5信息安全策略信息安全策略是信息安全建設(shè)的核心，它描述了在信息安全建設(shè)過(guò)程中，需要對(duì)哪些重要的信息資產(chǎn)進(jìn)行保護(hù)，以及如何進(jìn)行保護(hù)。在對(duì)XXX進(jìn)行的安全風(fēng)險(xiǎn)評(píng)估的基礎(chǔ)之上，明確了信息安全建設(shè)工作的內(nèi)容和重點(diǎn)，并形成了指導(dǎo)信息安全建設(shè)的《XXX-信息安全總體策略》，總體策略的設(shè)計(jì)堅(jiān)持了管理與技術(shù)并重的原則，以確保網(wǎng)絡(luò)和信息系統(tǒng)的安全性為主，采用多重保護(hù)、最小授權(quán)、和嚴(yán)格管理等措施，從宏觀(guān)整體的角度進(jìn)行闡述，是信息安全建設(shè)總的指導(dǎo)原則。按照要保障的資產(chǎn)對(duì)象的不同，總體策略劃分為物理安全、網(wǎng)XXX全、系統(tǒng)安全、病毒防治、身份認(rèn)證、應(yīng)用授權(quán)和訪(fǎng)問(wèn)控制、數(shù)據(jù)加密、數(shù)據(jù)備份和災(zāi)難恢復(fù)、應(yīng)急響應(yīng)、教育培訓(xùn)等若干方面進(jìn)行闡述。隨著技術(shù)的發(fā)展以及系統(tǒng)的升級(jí)、調(diào)整，安全策略也應(yīng)該進(jìn)行重新評(píng)估和制定，隨時(shí)保持策略與安全目標(biāo)的一致性。5.1物理安全策略■計(jì)算機(jī)機(jī)房的建設(shè)必須遵循國(guó)家在計(jì)算機(jī)機(jī)房場(chǎng)地選擇、環(huán)境安全、布線(xiàn)施工方面的標(biāo)準(zhǔn)，保證物理環(huán)境安全?！鲫P(guān)鍵應(yīng)用系統(tǒng)的服務(wù)器主機(jī)和前置機(jī)服務(wù)器、主要的網(wǎng)絡(luò)設(shè)備必須放置于計(jì)算機(jī)機(jī)房?jī)?nèi)部的適當(dāng)位置，通過(guò)物理訪(fǎng)問(wèn)控制機(jī)制，保證這些設(shè)備自身的安全性?！鰬?yīng)當(dāng)建立人員出入訪(fǎng)問(wèn)控制機(jī)制，嚴(yán)格控制人員出入計(jì)算機(jī)機(jī)房和其它重要安全區(qū)域，訪(fǎng)問(wèn)控制機(jī)制還需要能夠提供審計(jì)功能，便于檢查和分析?！鰬?yīng)當(dāng)指定專(zhuān)門(mén)的部門(mén)和人員，負(fù)責(zé)計(jì)算機(jī)機(jī)房的建設(shè)和管理工作，建立24小時(shí)值班制度。■建立計(jì)算機(jī)機(jī)房管理制度，對(duì)設(shè)備安全管理、介質(zhì)安全管理、人員出入訪(fǎng)問(wèn)控制管理等做出詳細(xì)的規(guī)定?！龉芾頇C(jī)構(gòu)應(yīng)當(dāng)定期對(duì)計(jì)算機(jī)機(jī)房各項(xiàng)安全措施和安全管理制度的有效性和實(shí)施狀況進(jìn)行檢查，發(fā)現(xiàn)問(wèn)題，進(jìn)行改進(jìn)。5.2網(wǎng)XXX全策略■必須對(duì)網(wǎng)絡(luò)和信息系統(tǒng)進(jìn)行安全域劃分，建立隔離保護(hù)機(jī)制，并且在各安全域之間建立訪(fǎng)問(wèn)控制機(jī)制，杜絕發(fā)生未授權(quán)的非法訪(fǎng)問(wèn)現(xiàn)象，特別的，必須對(duì)生產(chǎn)網(wǎng)和辦公網(wǎng)進(jìn)行劃分和隔離?！鰬?yīng)當(dāng)部署網(wǎng)絡(luò)管理體系，管理網(wǎng)絡(luò)資源和設(shè)備，實(shí)施監(jiān)控網(wǎng)絡(luò)系統(tǒng)的運(yùn)行狀態(tài)，降低網(wǎng)絡(luò)故障帶來(lái)的安全風(fēng)險(xiǎn)。■應(yīng)當(dāng)對(duì)關(guān)鍵的通信線(xiàn)路、網(wǎng)絡(luò)設(shè)備提供冗余設(shè)計(jì)，防止關(guān)鍵線(xiàn)路和設(shè)備的單點(diǎn)故障造成通信服務(wù)中斷?！鰬?yīng)當(dāng)在各安全域的邊界，綜合部署網(wǎng)XXX全訪(fǎng)問(wèn)措施，包括防火墻、入侵檢測(cè)、VPN，建立多層次的，立體的網(wǎng)XXX全防護(hù)體系。應(yīng)當(dāng)建立網(wǎng)絡(luò)弱點(diǎn)分析機(jī)制，發(fā)現(xiàn)和彌補(bǔ)網(wǎng)絡(luò)中存在的安全漏洞，及時(shí)進(jìn)行自我完善。應(yīng)當(dāng)建立遠(yuǎn)程訪(fǎng)問(wèn)機(jī)制，實(shí)現(xiàn)安全的遠(yuǎn)程辦公和移動(dòng)辦公?！鰬?yīng)當(dāng)指定專(zhuān)門(mén)的部門(mén)和人員，負(fù)責(zé)網(wǎng)XXX全系統(tǒng)的規(guī)劃、建設(shè)、管理維護(hù)?！鰬?yīng)當(dāng)建立網(wǎng)XXX全系統(tǒng)的建設(shè)標(biāo)準(zhǔn)和相關(guān)的運(yùn)營(yíng)維護(hù)管理規(guī)范，在范圍內(nèi)指導(dǎo)實(shí)際的系統(tǒng)建設(shè)和維護(hù)管理?！龉芾頇C(jī)構(gòu)應(yīng)當(dāng)定期對(duì)網(wǎng)XXX全措施和安全管理制度的有效性和實(shí)施狀況進(jìn)行檢查，發(fā)現(xiàn)問(wèn)題，進(jìn)行改進(jìn)。5.3系統(tǒng)安全策略■應(yīng)當(dāng)對(duì)關(guān)鍵服務(wù)器主機(jī)設(shè)備提供冗余設(shè)計(jì)，防止單點(diǎn)故障造成網(wǎng)絡(luò)服務(wù)中斷?！鰬?yīng)當(dāng)建立主機(jī)弱點(diǎn)分析機(jī)制，發(fā)現(xiàn)和彌補(bǔ)系統(tǒng)軟件中存在的不當(dāng)配置和安全漏洞，及時(shí)進(jìn)行自我完善?！鰬?yīng)當(dāng)建立主機(jī)系統(tǒng)軟件版本維護(hù)機(jī)制，及時(shí)升級(jí)系統(tǒng)版本和補(bǔ)丁程序版本，保持系統(tǒng)軟件的最新?tīng)顟B(tài)。■應(yīng)當(dāng)建立主機(jī)系統(tǒng)軟件備份和恢復(fù)機(jī)制，在災(zāi)難事件發(fā)生之后，能夠快速實(shí)現(xiàn)系統(tǒng)恢復(fù)?！隹梢越⒅鳈C(jī)入侵檢測(cè)機(jī)制，發(fā)現(xiàn)主機(jī)系統(tǒng)中的異常操作行為，以及對(duì)主機(jī)發(fā)起的攻擊行為，并及時(shí)向管理員報(bào)警?！鰬?yīng)當(dāng)指定專(zhuān)門(mén)的部門(mén)和人員，負(fù)責(zé)主機(jī)系統(tǒng)的管理維護(hù)?！鰬?yīng)當(dāng)建立主機(jī)系統(tǒng)管理規(guī)范，包括系統(tǒng)軟件版本管理、主機(jī)弱點(diǎn)分析、主機(jī)審計(jì)日志檢查和分析、以及系統(tǒng)軟件的備份和恢復(fù)等內(nèi)容?！鰬?yīng)當(dāng)建立桌面系統(tǒng)使用管理規(guī)范，約束和指導(dǎo)用戶(hù)使用桌面系統(tǒng)，并對(duì)其進(jìn)行正確有效的配置和管理?！龉芾頇C(jī)構(gòu)應(yīng)當(dāng)定期對(duì)各項(xiàng)系統(tǒng)安全管理制度的有效性和實(shí)施狀況進(jìn)行檢查，發(fā)現(xiàn)問(wèn)題，進(jìn)行改進(jìn)。5.4病毒管理策略■應(yīng)當(dāng)建立全面網(wǎng)絡(luò)病毒查殺機(jī)制，實(shí)現(xiàn)XXX信息化服務(wù)中心全網(wǎng)范圍內(nèi)的病毒防治，抑止病毒的傳播?！鏊袃?nèi)部網(wǎng)絡(luò)上的計(jì)算機(jī)在聯(lián)入內(nèi)部網(wǎng)絡(luò)之前，都應(yīng)當(dāng)安裝和配置殺毒軟件，并且通過(guò)管理中心進(jìn)行更新，任何用戶(hù)不能禁用病毒掃描和查殺功能?！鏊袃?nèi)部網(wǎng)絡(luò)上的計(jì)算機(jī)系統(tǒng)都應(yīng)當(dāng)定期進(jìn)行完整的系統(tǒng)掃描?！鰪耐獠拷橘|(zhì)安裝數(shù)據(jù)和程序之前，或安裝下載的數(shù)據(jù)和程序之前，必須對(duì)其進(jìn)行病毒掃描，以防止存在病毒感染操作系統(tǒng)和應(yīng)用程序?！龅谌綌?shù)據(jù)和程序在安裝到內(nèi)部網(wǎng)絡(luò)的系統(tǒng)之前，必須在隔離受控的模擬系統(tǒng)上進(jìn)行病毒掃描測(cè)試?！鋈魏蝺?nèi)部用戶(hù)不能故意制造、執(zhí)行、傳播、或引入任何可以自我復(fù)制、破壞或者影響計(jì)算機(jī)內(nèi)存、存儲(chǔ)介質(zhì)、操作系統(tǒng)、應(yīng)用程序的計(jì)算機(jī)代碼■應(yīng)當(dāng)指定專(zhuān)門(mén)的部門(mén)和人員，負(fù)責(zé)網(wǎng)絡(luò)病毒防治系統(tǒng)的管理維護(hù)?！鰬?yīng)當(dāng)建立網(wǎng)絡(luò)病毒防治系統(tǒng)的管理規(guī)范，有效發(fā)揮病毒防治系統(tǒng)的安全效能。■應(yīng)當(dāng)建立桌面系統(tǒng)病毒防治管理規(guī)范，約束和指導(dǎo)用戶(hù)在桌面系統(tǒng)上的操作行為，以及對(duì)殺毒軟件的配置和管理，達(dá)到保護(hù)桌面系統(tǒng)、抑止病毒傳播的目的?！龉芾頇C(jī)構(gòu)應(yīng)當(dāng)定期對(duì)與病毒查殺有關(guān)安全管理制度的有效性和實(shí)施狀況進(jìn)行檢查，發(fā)現(xiàn)問(wèn)題，進(jìn)行改進(jìn)。5.5身份認(rèn)證策略■應(yīng)當(dāng)在范圍內(nèi)建立統(tǒng)一的用戶(hù)身份管理基礎(chǔ)設(shè)施，向應(yīng)用系統(tǒng)提供集中的用戶(hù)身份認(rèn)證服務(wù)?！鰬?yīng)當(dāng)選擇安全性高，投入收益比率較好，易管理維護(hù)的身份認(rèn)證技術(shù)，建立身份管理基礎(chǔ)設(shè)施?！雒總€(gè)內(nèi)部員工具有范圍內(nèi)唯一的身份標(biāo)識(shí)，用戶(hù)在訪(fǎng)問(wèn)應(yīng)用系統(tǒng)之前，必須提交身份標(biāo)識(shí)，并對(duì)其進(jìn)行認(rèn)證；員工離職時(shí)，要撤銷(xiāo)其在信息系統(tǒng)內(nèi)部的合法身份?！鰬?yīng)當(dāng)對(duì)現(xiàn)有的應(yīng)用系統(tǒng)進(jìn)行技術(shù)改造，使用身份管理基礎(chǔ)設(shè)施的安全服務(wù)?！鰬?yīng)當(dāng)建立專(zhuān)門(mén)的部門(mén)和崗位，負(fù)責(zé)用戶(hù)身份的管理，以及身份管理基礎(chǔ)設(shè)施的建設(shè)、運(yùn)行、維護(hù)?！鰬?yīng)當(dāng)在范圍內(nèi)建立用戶(hù)標(biāo)識(shí)管理規(guī)范，對(duì)用戶(hù)標(biāo)識(shí)格式，產(chǎn)生和撤銷(xiāo)流程進(jìn)行統(tǒng)一規(guī)定。5.6用戶(hù)授權(quán)與訪(fǎng)問(wèn)控制策略■應(yīng)當(dāng)依托身份認(rèn)證基礎(chǔ)設(shè)施，將集中管理與分布式管理有機(jī)結(jié)合起來(lái)，建立分級(jí)的用戶(hù)授權(quán)與訪(fǎng)問(wèn)控制管理機(jī)制?！雒總€(gè)內(nèi)部員工在信息系統(tǒng)內(nèi)部的操作行為必須被限定在合法授權(quán)的范圍之內(nèi)；員工離職時(shí)，要撤銷(xiāo)其在信息系統(tǒng)內(nèi)部的所有訪(fǎng)問(wèn)權(quán)限。■應(yīng)當(dāng)對(duì)現(xiàn)有的應(yīng)用系統(tǒng)進(jìn)行技術(shù)改造，使用授權(quán)與訪(fǎng)問(wèn)控制系統(tǒng)提供的安全服務(wù)?！鰬?yīng)當(dāng)建立專(zhuān)門(mén)崗位，負(fù)責(zé)用戶(hù)權(quán)限管理，以及授權(quán)和訪(fǎng)問(wèn)控制系統(tǒng)的建設(shè)、運(yùn)行、維護(hù)?！鰬?yīng)當(dāng)在范圍內(nèi)，建立包括用戶(hù)權(quán)限的授予和撤銷(xiāo)在內(nèi)的一整套管理流程和制度。5.7數(shù)據(jù)加密策略■加密技術(shù)的采用和加密機(jī)制的建立，應(yīng)該符合國(guó)家有關(guān)的法律和規(guī)定。■應(yīng)當(dāng)建立內(nèi)部信息系統(tǒng)的密級(jí)分級(jí)標(biāo)準(zhǔn)，判定信息系統(tǒng)在消息傳輸和數(shù)據(jù)存儲(chǔ)過(guò)程中，是否需要采用加密機(jī)制?！鰬?yīng)當(dāng)建立密鑰管理體制，保證密鑰在產(chǎn)生、使用、存儲(chǔ)、傳輸?shù)拳h(huán)節(jié)中的安全性?！黾用軝C(jī)制應(yīng)當(dāng)使用國(guó)際標(biāo)準(zhǔn)的密碼算法，或者國(guó)內(nèi)通過(guò)密碼管理委員會(huì)審批的專(zhuān)用算法，其中對(duì)稱(chēng)密碼算法的密鑰長(zhǎng)度不得低于128比特，公鑰密碼算法的密鑰長(zhǎng)度不得低于1024比特?！鰬?yīng)當(dāng)在物理上保證所有的硬件加密設(shè)備和軟件加密程序，以及存儲(chǔ)涉密數(shù)據(jù)的介質(zhì)載體的安全?！鰬?yīng)當(dāng)指定專(zhuān)門(mén)的管理機(jī)構(gòu)，負(fù)責(zé)本策略的維護(hù)，監(jiān)督本策略的實(shí)施。■任何內(nèi)部信息系統(tǒng)，都需要向管理機(jī)構(gòu)提出申請(qǐng)，經(jīng)管理機(jī)構(gòu)審批，獲得授權(quán)后，才能夠使用加密機(jī)制。禁止任何內(nèi)部信息系統(tǒng)和人員，在未授權(quán)的情況下，使用任何加密機(jī)制。■管理機(jī)構(gòu)應(yīng)當(dāng)每年對(duì)加密算法的選擇范圍和密鑰長(zhǎng)度的最低要求進(jìn)行一次復(fù)審和評(píng)估，使得本策略與加密技術(shù)的發(fā)展相適應(yīng)。5.8數(shù)據(jù)備份與災(zāi)瞰復(fù)■在業(yè)務(wù)系統(tǒng)主要應(yīng)用服務(wù)器中采用硬件冗余技術(shù)，避免硬件的單點(diǎn)故障導(dǎo)致服務(wù)中斷。■綜合考慮性能和管理等因素，采用先進(jìn)的系統(tǒng)和數(shù)據(jù)備份技術(shù)，在范圍內(nèi)建立統(tǒng)一的系統(tǒng)和數(shù)據(jù)備份機(jī)制，防止數(shù)據(jù)出現(xiàn)邏輯損壞?！鰧?duì)業(yè)務(wù)系統(tǒng)采取適當(dāng)?shù)漠惖貍浞輽C(jī)制，使得數(shù)據(jù)備份計(jì)劃具備一定的容災(zāi)能力?！鼋?zāi)難恢復(fù)計(jì)劃，提供災(zāi)難恢復(fù)手段，在災(zāi)難事件發(fā)生之后，快速對(duì)被破壞的信息系統(tǒng)進(jìn)行恢復(fù)?！鰬?yīng)當(dāng)建立專(zhuān)門(mén)崗位，負(fù)責(zé)用戶(hù)權(quán)限管理，以及授權(quán)和訪(fǎng)問(wèn)控制系統(tǒng)的建設(shè)、運(yùn)行、維護(hù)?！鼋⑷粘?shù)據(jù)備份管理制度，對(duì)備份周期和介質(zhì)保管進(jìn)行統(tǒng)一規(guī)定?！鼋?zāi)難恢復(fù)計(jì)劃，對(duì)人員進(jìn)行災(zāi)難恢復(fù)培訓(xùn)，定期進(jìn)行災(zāi)難恢復(fù)的模擬演練。5.9應(yīng)急響應(yīng)策略■應(yīng)當(dāng)建立應(yīng)急響應(yīng)中心，配置專(zhuān)門(mén)崗位，負(fù)責(zé)制定范圍內(nèi)的信息安全策略、完成計(jì)算機(jī)網(wǎng)絡(luò)和系統(tǒng)安全事件的緊急響應(yīng)、及時(shí)發(fā)布安全漏洞和補(bǔ)丁修補(bǔ)程序等安全公告、進(jìn)行安全系統(tǒng)審計(jì)數(shù)據(jù)分析、以及提供安全教育和培訓(xùn)?！鰬?yīng)當(dāng)制定詳細(xì)的安全事件的應(yīng)急響應(yīng)計(jì)劃，包括安全事件的檢測(cè)、報(bào)告、分析、追查、和系統(tǒng)恢復(fù)等內(nèi)容。5.10安全教育策略■應(yīng)該建立專(zhuān)門(mén)的機(jī)構(gòu)和崗位，負(fù)責(zé)安全教育與培訓(xùn)計(jì)劃的制定和執(zhí)行■應(yīng)當(dāng)制定詳細(xì)的安全教育和培訓(xùn)計(jì)劃，對(duì)信息安全技術(shù)和管理相關(guān)人員進(jìn)行安全專(zhuān)業(yè)知識(shí)和技能培訓(xùn)，對(duì)普通用戶(hù)進(jìn)行安全基礎(chǔ)知識(shí)、安全策略和管理制度培訓(xùn)，提高人員的整體安全意識(shí)和安全操作水平?！龉芾頇C(jī)構(gòu)應(yīng)當(dāng)定期對(duì)安全教育和培訓(xùn)的成果進(jìn)行抽查和考核，檢驗(yàn)安全教育和培訓(xùn)活動(dòng)的效果。6信息安全體系框架XXX信息化服務(wù)中心進(jìn)行信息安全建設(shè)的目標(biāo)是建立起一個(gè)全面、有效的信息安全體系，在這個(gè)體系中，包括了安全技術(shù)、安全管理、人員組織、教育培訓(xùn)、資金投入等關(guān)鍵因素，信息安全建設(shè)的內(nèi)容多，規(guī)模大，必須進(jìn)行全面的統(tǒng)籌規(guī)劃，明確信息安全建設(shè)的工作內(nèi)容、技術(shù)標(biāo)準(zhǔn)、組織機(jī)構(gòu)、管理規(guī)范、人員崗位配備、實(shí)施步驟、資金投入，才能夠保證信息安全建設(shè)有序可控地進(jìn)行，才能夠使得信息安全體系發(fā)揮最優(yōu)的保障效果。為此制定了XXX信息安全體系框架，該框架主要包括安全技術(shù)框架,安全管理框架、運(yùn)營(yíng)保障框架、三部分組成，從宏觀(guān)上規(guī)劃和管理的信息安全建設(shè)工作。6.1安全目標(biāo)模型根據(jù)XXX信息化服務(wù)中心信息安全體系建設(shè)目標(biāo)和總體安全策略，建立了與之對(duì)應(yīng)的目標(biāo)模型，稱(chēng)為WP2DRR安全模型，該模型是基于時(shí)間的，由預(yù)警（Warning）、策略（Policy）、保護(hù)（Protection）、檢測(cè)（Detection）、響應(yīng)（Response）、恢復(fù)（Recovery）六個(gè)要素環(huán)節(jié)構(gòu)成了一個(gè)完整的、動(dòng)態(tài)的信息安全體系。預(yù)警、保護(hù)、檢測(cè)、響應(yīng)、恢復(fù)等環(huán)節(jié)都由技術(shù)內(nèi)容和管理內(nèi)容所構(gòu)成。Policy（安全策略）：根據(jù)風(fēng)險(xiǎn)分析和評(píng)估產(chǎn)生的安全策略描述了系統(tǒng)中哪些資源要得到保護(hù)，以及如何實(shí)現(xiàn)對(duì)它們的保護(hù)等。在WP2DRR安全模型中，策略處于核心地位，所有的防護(hù)、檢測(cè)、響應(yīng)、恢復(fù)都依據(jù)安全策略展開(kāi)實(shí)施，安全策略為安全管理提供管理方向和支持手段。Warining（預(yù)警）：根據(jù)以前所掌握的系統(tǒng)的弱點(diǎn)和當(dāng)前了解的犯罪趨勢(shì)預(yù)測(cè)未來(lái)可能受到的攻擊和及危害。包括風(fēng)險(xiǎn)分析、病毒預(yù)報(bào)、黑客入侵趨勢(shì)預(yù)報(bào)和情況通報(bào)、系統(tǒng)弱點(diǎn)報(bào)告和補(bǔ)丁到位。Protection（防護(hù)）：通過(guò)修復(fù)系統(tǒng)漏洞、正確設(shè)計(jì)開(kāi)發(fā)和安裝安全系統(tǒng)來(lái)預(yù)防安全事件的發(fā)生；通過(guò)定期檢查來(lái)發(fā)現(xiàn)可能存在的系統(tǒng)弱點(diǎn)；通過(guò)教育等手段，使用戶(hù)和操作員正確使用系統(tǒng)，防止意外威脅；通過(guò)訪(fǎng)問(wèn)控制、監(jiān)控等手段來(lái)防止惡意威脅。Detection（檢測(cè)）：檢測(cè)是非常重要的一個(gè)環(huán)節(jié)，檢測(cè)是動(dòng)態(tài)響應(yīng)和加強(qiáng)防護(hù)的依據(jù)，它也是強(qiáng)制落實(shí)安全策略的有力工具，通過(guò)檢測(cè)和監(jiān)控網(wǎng)絡(luò)和信息系統(tǒng)，發(fā)現(xiàn)新的威脅和弱點(diǎn)，通過(guò)循環(huán)反饋來(lái)及時(shí)做出有效的響應(yīng)。Response（響應(yīng)）：響應(yīng)是對(duì)安全事件做出反應(yīng)，包括對(duì)檢測(cè)到的系統(tǒng)異?；蛘吖粜袨樽龀鲰憫?yīng)動(dòng)作，以及處理突發(fā)的安全事件。恰當(dāng)?shù)捻憫?yīng)動(dòng)作和響應(yīng)流程可以降低安全事件的不良影響，加強(qiáng)對(duì)重要資源的保護(hù)。Recovery（恢復(fù)）：災(zāi)難恢復(fù)能力直接決定了業(yè)務(wù)應(yīng)用的持續(xù)可用性，任何意外的突發(fā)事件都可能造成服務(wù)中斷和數(shù)據(jù)受損，優(yōu)秀的災(zāi)難恢復(fù)計(jì)劃能夠針對(duì)災(zāi)難事件做到未雨綢繆，即使系統(tǒng)和數(shù)據(jù)遭受破壞，也能夠在最短的時(shí)間內(nèi)，完成恢復(fù)操作。WP2DRR安全模型的特點(diǎn)就是動(dòng)態(tài)性和基于時(shí)間的特性。它闡述了這樣一個(gè)結(jié)論：安全的目標(biāo)實(shí)際上就是盡可能地增大保護(hù)時(shí)間，盡量減少檢測(cè)時(shí)間和響應(yīng)時(shí)間。WP2DRR模型是在傳統(tǒng)的P2DR模型的基礎(chǔ)上新增加了預(yù)警Warning和恢復(fù)Recover，增強(qiáng)了安全保障體系的事前預(yù)防和事后恢復(fù)能力，一旦系統(tǒng)安全事故發(fā)生了，也能恢復(fù)系統(tǒng)功能和數(shù)據(jù)，恢復(fù)系統(tǒng)的正常運(yùn)行。安全目標(biāo)模型是信息安全體系框架的基礎(chǔ)，XXX信息化服務(wù)中心的信息安全體系框架緊密?chē)@這個(gè)安全模型的6個(gè)要素環(huán)節(jié)進(jìn)行設(shè)計(jì)，每個(gè)要素環(huán)節(jié)的功能都在安全技術(shù)體系、安全組織和管理體系以及運(yùn)行保障體系中體現(xiàn)出來(lái)。6.2信息安全體系框架組成通過(guò)對(duì)XXX信息化服務(wù)中心的網(wǎng)絡(luò)和應(yīng)用現(xiàn)狀、安全現(xiàn)狀、面臨的安全風(fēng)險(xiǎn)的分析，根據(jù)安全保障目標(biāo)模型，制定了XXX信息化服務(wù)中心信息安全體系框架，制定該框架的目的在于從宏觀(guān)上指導(dǎo)和管理信息安全體系的建設(shè)和運(yùn)營(yíng)。該框架由一組相互關(guān)聯(lián)、相互作用、相互彌補(bǔ)、相互推動(dòng)、相互依賴(lài)、不可分割的信息安全保障要素組成。一個(gè)系統(tǒng)的、完整的、有機(jī)的信息安全體系的作用力遠(yuǎn)遠(yuǎn)大于各個(gè)信息安全保障要素的保障能力之和。在此框架中，以安全策略為指導(dǎo)，融會(huì)了安全技術(shù)、安全管理和運(yùn)行保障三個(gè)層次的安全體系，達(dá)到系統(tǒng)可用性、可控性、抗攻擊性、完整性、保密性的安全目標(biāo)。XXX信息化服務(wù)中心信息安全體系框架的總體結(jié)構(gòu)如下圖所示：

g全策略身份認(rèn)證授權(quán)與訪(fǎng)問(wèn)控制加密主機(jī)入侵檢測(cè)g全策略身份認(rèn)證授權(quán)與訪(fǎng)問(wèn)控制加密主機(jī)入侵檢測(cè)主機(jī)漏洞掃描病毒查殺網(wǎng)絡(luò)監(jiān)控與安全審計(jì)防火墻網(wǎng)絡(luò)入侵檢測(cè)網(wǎng)絡(luò)漏洞掃描通信安全物理安全6.2.1安全策略在這個(gè)框架中，安全策略是指導(dǎo)。安全策略與安全技術(shù)體系、安全組織和管理體系以及運(yùn)行保障體系這三大體系之間的關(guān)系也是相互作用的。一方面，三大體系是在安全策略的指導(dǎo)下構(gòu)建的，主要是要將安全策略中制定的各個(gè)要素轉(zhuǎn)化成為可行的技術(shù)實(shí)現(xiàn)方法和管理、運(yùn)行保障手段，全面實(shí)現(xiàn)安全策略中所制定的目標(biāo)；另一方面，安全策略本身也有包括草案設(shè)計(jì)、評(píng)審、實(shí)施、培訓(xùn)、部署、監(jiān)控、強(qiáng)化、重新評(píng)估、修訂等步驟在內(nèi)的生命周期，需要采用一些技術(shù)方法和管理手段進(jìn)行管理，保證安全策略的及時(shí)性和有效性。安全技術(shù)體系是整個(gè)信息安全體系框架的基礎(chǔ)，包括了安全基礎(chǔ)設(shè)施平臺(tái)、安全應(yīng)用系統(tǒng)平臺(tái)和安全綜合管理平臺(tái)這三個(gè)部分，以統(tǒng)一的信息安全基礎(chǔ)設(shè)施平臺(tái)為支撐，以統(tǒng)一的安全系統(tǒng)應(yīng)用平臺(tái)為輔助，在統(tǒng)一的綜合安全管理平臺(tái)管理下的技術(shù)保障體系框架。安全基礎(chǔ)設(shè)施平臺(tái)是以安全策略為指導(dǎo)，從物理和通信安全防護(hù)，網(wǎng)XXX全防護(hù)，主機(jī)系統(tǒng)安全防護(hù)，應(yīng)用安全防護(hù)等多個(gè)層次出發(fā)，立足于現(xiàn)有的成熟安全技術(shù)和安全機(jī)制，建立起的一個(gè)各個(gè)部分相互協(xié)同的完整的安全技術(shù)防護(hù)體系。安全應(yīng)用系統(tǒng)平臺(tái)處理安全基礎(chǔ)設(shè)施與應(yīng)用信息系統(tǒng)之間的關(guān)聯(lián)和集成問(wèn)題，應(yīng)用信息系統(tǒng)通過(guò)使用安全基礎(chǔ)設(shè)施平臺(tái)所提供的各類(lèi)安全服務(wù)，提升自身的安全等級(jí)，以更加安全的方式，提供金融業(yè)務(wù)服務(wù)和內(nèi)部信息管理服務(wù)。安全綜合管理平臺(tái)的管理范圍盡可能地涵蓋安全技術(shù)體系中涉及的各種安全機(jī)制與安全設(shè)備，對(duì)這些安全機(jī)制和安全設(shè)備進(jìn)行統(tǒng)一的管理和控制，負(fù)責(zé)管理和維護(hù)安全策略，配置管理相應(yīng)的安全機(jī)制，確保這些安全技術(shù)與設(shè)施能夠按照設(shè)計(jì)的要求協(xié)同運(yùn)作，可靠運(yùn)行。它在傳統(tǒng)的信息系統(tǒng)應(yīng)用體系與各類(lèi)安全技術(shù)、安全產(chǎn)品、安全防御措施等安全手段之間搭起橋梁，使得各類(lèi)安全手段能與現(xiàn)有的信息系統(tǒng)應(yīng)用體系緊密的結(jié)合實(shí)現(xiàn)無(wú)縫連接，促成信息系統(tǒng)安全與信息系統(tǒng)應(yīng)用的真正的一體化，使得傳統(tǒng)的信息系統(tǒng)應(yīng)用體系逐步過(guò)渡向安全的信息系統(tǒng)應(yīng)用體系。統(tǒng)一的安全管理平臺(tái)有助于各種安全管理技術(shù)手段的相互補(bǔ)充和有效發(fā)揮，也便于從系統(tǒng)整體的角度來(lái)進(jìn)行安全的監(jiān)控和管理，從而提高安全管理工作的效率，使人為的安全管理活動(dòng)參與量大幅下降。6.2.3安全管理體系安全組織和管理體系是安全技術(shù)體系真正有效發(fā)揮保護(hù)作用的重要保障，安全管理體系的設(shè)計(jì)立足于總體安全策略，并與安全技術(shù)體系相互配合，增強(qiáng)技術(shù)防護(hù)體系的效率和效果，同時(shí)也彌補(bǔ)當(dāng)前技術(shù)無(wú)法完全解決的安全缺陷。技術(shù)和管理是相互結(jié)合的，一方面，安全防護(hù)技術(shù)措施需要安全管理措施來(lái)加強(qiáng)，另一方面技術(shù)也是對(duì)管理措施貫徹執(zhí)行的監(jiān)督手段。在XXX信息化服務(wù)中心信息安全體系框架中，安全管理體系的設(shè)計(jì)充分參考和借鑒了國(guó)際信息安全管理標(biāo)準(zhǔn)《BS7799（ISO17799）》的建議。XXX信息化服務(wù)中心信息安全管理體系由若干信息安全管理類(lèi)組成，每項(xiàng)信息安全管理類(lèi)可分解為多個(gè)安全目標(biāo)和安全控制。每個(gè)安全目標(biāo)都有若干安全控制與其相對(duì)應(yīng)，這些安全控制是為了達(dá)成相應(yīng)安全目標(biāo)的管理工作和要求。信息安全管理體系一共包括了12項(xiàng)管理類(lèi)：■安全策略與制度，確保XXX信息化服務(wù)中心擁有明確的信息安全方針以及配套的策略和制度，以實(shí)現(xiàn)對(duì)信息安全工作的支持和承諾，保證信息安全的資金投入。安全風(fēng)險(xiǎn)管理，信息安全建設(shè)不是避免風(fēng)險(xiǎn)的過(guò)程，而是管理風(fēng)險(xiǎn)的過(guò)程。沒(méi)有絕對(duì)的安全，風(fēng)險(xiǎn)總是存在的。信息安全體系建設(shè)的目標(biāo)就是要把風(fēng)險(xiǎn)控制在可以接受的范圍之內(nèi)。風(fēng)險(xiǎn)管理同時(shí)也是一個(gè)動(dòng)態(tài)持續(xù)的過(guò)程?！鋈藛T和組織安全管理，建立組織機(jī)構(gòu)，明確人員崗位職責(zé)，提供安全教育和培訓(xùn)，對(duì)第三方人員進(jìn)行管理、協(xié)調(diào)信息安全監(jiān)管部門(mén)與行內(nèi)其它部門(mén)之間的關(guān)系，保證信息安全工作的人力資源要求，避免由于人員和組織上的錯(cuò)誤產(chǎn)生的信息安全風(fēng)險(xiǎn)。■環(huán)境和設(shè)備安全管理，控制由于物理環(huán)境和硬件設(shè)施的不當(dāng)所產(chǎn)生的風(fēng)險(xiǎn)。管理內(nèi)容包括物理環(huán)境安全、設(shè)備安全、介質(zhì)安全等。■網(wǎng)絡(luò)和通信安全管理，控制和保護(hù)網(wǎng)絡(luò)和通信系統(tǒng)，防止其受到破壞和濫用，避免和降低由于網(wǎng)絡(luò)和通信系統(tǒng)的問(wèn)題對(duì)XXX門(mén)戶(hù)網(wǎng)站等業(yè)務(wù)系統(tǒng)的損害。主機(jī)和系統(tǒng)安全管理，控制和保護(hù)XXX信息化服務(wù)中心的計(jì)算機(jī)主機(jī)及其系統(tǒng)，防止其受到破壞和濫用，避免和降低由此對(duì)業(yè)務(wù)系統(tǒng)的損害?！鰬?yīng)用和業(yè)務(wù)安全管理，對(duì)各類(lèi)應(yīng)用和業(yè)務(wù)系統(tǒng)進(jìn)行安全管理，防止其收到破壞和濫用。■數(shù)據(jù)安全和加密管理，采用數(shù)據(jù)加密和完整性保護(hù)機(jī)制，防止數(shù)據(jù)被竊取和篡改，保護(hù)銀行業(yè)務(wù)數(shù)據(jù)的安全?！鲰?xiàng)目工程安全管理，保護(hù)信息系統(tǒng)項(xiàng)目工程過(guò)程的安全，確保項(xiàng)目的成果是可靠的安全系統(tǒng)。/