XXX公司信息系統(tǒng)安全保障體系規(guī)劃方案

XXX公司信息系統(tǒng)安全保障體系規(guī)劃方案信息系統(tǒng)安全保證體系規(guī)劃方案V2.5

文檔信息文檔名稱XX治理信息系統(tǒng)安全保證體系規(guī)劃方案保密級別商業(yè)隱秘文檔編號制作人制作日期復審人復審日期復審日期分發(fā)操縱讀者文檔權限與文檔的要緊關系創(chuàng)建、修改、讀取負責編制、修改、審核本技術方案WWWWWWWW閱讀版本操縱時刻版本說明修改人V1.0文檔初始化V2.5修改完善目錄1. 概述 51.1. 引言 51.2. 背景 51.2.1. XXXX行業(yè)行業(yè)相關要求 51.2.2. 國家等級愛護要求 61.2.3. 三個體系自身業(yè)務要求 71.3. 三個體系規(guī)劃目標 71.3.1. 安全技術和安全運維體系規(guī)劃目標 71.3.2. 安全治理體系規(guī)劃目標 81.4. 技術及運維體系規(guī)劃參考模型及標準 101.4.1. 參考模型 101.4.2. 參考標準 121.5. 治理體系規(guī)劃參考模型及標準 121.5.1. 國家信息安全標準、指南 121.5.2. 國際信息安全標準 131.5.3. 行業(yè)規(guī)范 132. 技術體系建設規(guī)劃 142.1. 技術保證體系規(guī)劃 142.1.1. 設計原則 142.1.2. 技術路線 142.2. 信息安全保證技術體系規(guī)劃 152.2.1. 安全域劃分及網絡改造 152.2.2. 現(xiàn)有信息技術體系描述 242.3. 技術體系規(guī)劃要緊內容 292.3.1. 網絡安全域改造建設規(guī)劃 292.3.2. 網絡安全設備建設規(guī)劃 322.3.3. CA認證體系建設 402.3.4. 數(shù)據安全保證 422.3.5. 終端安全治理 452.3.6. 備份與復原 462.3.7. 安全運營中心建設 472.3.8. 周期性風險評估及風險治理 482.4. 技術體系建設實施規(guī)劃 492.4.1. 安全建設時期 492.4.2. 建設項目規(guī)劃 503. 運維體系建設規(guī)劃 513.1. 風險評估及安全加固 513.1.1. 風險評估 513.1.2. 安全加固 513.2. 信息安全運維體系建設規(guī)劃 513.2.1. 機房安全規(guī)劃 513.2.2. 資產和設備安全 523.2.3. 網絡和系統(tǒng)安全治理 553.2.4. 監(jiān)控治理和安全治理中心 603.2.5. 備份與復原 613.2.6. 惡意代碼防范 623.2.7. 變更治理 633.2.8. 信息安全事件治理 643.2.9. 密碼治理 673.3. 運維體系建設實施規(guī)劃 683.3.1. 安全建設時期 683.3.2. 建設項目規(guī)劃 684. 治理體系建設規(guī)劃 704.1. 體系建設 704.1.1. 建設思路 704.1.2. 規(guī)劃內容 714.2. 信息安全治理體系現(xiàn)狀 724.2.1. 現(xiàn)狀 724.2.2. 問題 744.3. 治理體系建設規(guī)劃 754.3.1. 信息安全最高方針 754.3.2. 風險治理 764.3.3. 組織與人員安全 764.3.4. 信息資產治理 794.3.5. 網絡安全治理 914.3.6. 桌面安全治理 934.3.7. 服務器治理 934.3.8. 第三方安全治理 954.3.9. 系統(tǒng)開發(fā)愛護安全治理 974.3.10. 業(yè)務連續(xù)性治理 984.3.11. 項目安全建設治理 1004.3.12. 物理環(huán)境安全 1024.4. 治理體系建設規(guī)劃 1034.4.1. 項目規(guī)劃 1034.4.2. 總結 104概述引言本文檔基于對XX股份公司（以下簡稱“XX股份公司工業(yè)”）信息安全風險評估總體規(guī)劃的分析，提出XX股份公司治理信息安全技術工作的總體規(guī)劃、目標以及差不多原則，并在此基礎上從信息安全保證體系的視角描畫了以后的信息安全總體架構。本文檔內容為信息安全技術體系、運維體系、治理體系的評估和規(guī)劃，是信息安全保證體系的主體。背景XXXX行業(yè)行業(yè)相關要求國家XXXX行業(yè)總局一直以來十分重視信息安全治理工作，先后下發(fā)了涉及保密運算機運行、等級愛護定級等多個文件，在2008年下發(fā)了147號文《XXXX行業(yè)行業(yè)信息安全保證體系建設指南》，指南從技術、治理、運維三個方面對安全保證提出了建議，如下圖所示。圖1_SEQ圖\*ARABIC\s11行業(yè)信息安全保證體系框架國家等級愛護要求等級愛護工作作為我國信息安全保證工作中的一項差不多制度，對提高基礎網絡和重要信息系統(tǒng)安全防護水平有著重要作用，國家XXXX行業(yè)專賣局在2008年8月下發(fā)了國煙辦綜[2008]358號文《國家XXXX行業(yè)專賣局辦公室關于做好XXXX行業(yè)行業(yè)信息系統(tǒng)安全等級定級工作的通知》，而在《信息系統(tǒng)安全等級愛護差不多要求》中對信息安全治理和信息安全技術也提出了要求，如下圖所示。圖1_SEQ圖\*ARABIC\s12等保差不多要求框架圖三個體系自身業(yè)務要求在國家數(shù)字XXXX行業(yè)政策的引導下，近年來信息系統(tǒng)建設日趨完善，專門是隨著國家局統(tǒng)一建設的一號工程的上線，業(yè)務系統(tǒng)對信息系統(tǒng)的依靠程度逐步增加，信息系統(tǒng)的重要性也逐步提高，其安全保證就成為了重點。此外，除了一號工程外，信息系統(tǒng)的重要組成部分還有MES系統(tǒng)、ERP系統(tǒng)、網站系統(tǒng)、工商協(xié)同營銷系統(tǒng)、LIMS系統(tǒng)、OA系統(tǒng)及生產系統(tǒng)（卷包中控系統(tǒng)、物流中控系統(tǒng)、制絲中控系統(tǒng)、動力中控系統(tǒng)）等。企業(yè)生產差不多高度依靠于企業(yè)的信息化和各信息系統(tǒng)。信息系統(tǒng)現(xiàn)時期還無法達到完全的自動化和智能化運行。因此需要各級技術人員對信息系統(tǒng)進行運行和愛護。在整個信息系統(tǒng)運行的過程中，起主導作用的仍舊是人，是各級治理員。設備的作用仍舊僅僅停留在執(zhí)行層面。因此信息系統(tǒng)的穩(wěn)固運行的決定因素始終都在于人員的操作。信息安全運維體系的作用是在安全治理體系和安全技術體系的運行過程中，發(fā)覺和糾正各類安全保證措施存在的問題和不足，保證它們穩(wěn)固可靠運行，有效執(zhí)行安全策略規(guī)定的目標和原則。當運行愛護過程中發(fā)覺目前的信息安全保證體系不能滿足本單位信息化建設的需要時，就能夠對保證體系進行新的規(guī)劃和設計。從而使新的保證體系能夠適應企業(yè)不斷進展和變化的安全需求。這也仍遵循和完善了PDCA原則。三個體系規(guī)劃目標安全技術和安全運維體系規(guī)劃目標建立技術體系的目的是通過使用安全產品和技術，支撐和實現(xiàn)安全策略，達到信息系統(tǒng)的保密、完整、可用等安全目標。按照P2DR2模型，行業(yè)信息安全技術體系涉及信息安全防護、檢測、響應和復原四個方面的內容：防護：通過訪問操縱、信息系統(tǒng)完整性愛護、系統(tǒng)與通信愛護、物理與環(huán)境愛護等安全操縱措施，使信息系統(tǒng)具備比較完善的抗擊攻擊破壞的能力。檢測：通過采取入侵檢測、漏洞掃描、安全審計等技術手段，對信息系統(tǒng)運行狀態(tài)和操作行為進行監(jiān)控和記錄，對信息系統(tǒng)的脆弱性以及面臨的威逼進行評估，及時發(fā)覺安全隱患和入侵行為并發(fā)出告警。響應：通過事件監(jiān)控和處理工具等技術措施，提高應急處理和事件響應能力，保證在安全事件發(fā)生后能夠及時進行分析、定位、跟蹤、排除和取證。復原：通過建立信息系統(tǒng)備份和復原機制，保證在安全事件發(fā)生后及時有效地進行信息系統(tǒng)設施和重要數(shù)據的復原。安全治理體系規(guī)劃目標本次項目通過風險評估對XX股份公司工業(yè)自身安全治理現(xiàn)狀進行全面了解后，對信息安全治理整體提出以下目標：健全信息安全治理組織建立全面、完整、有效的信息安全保證體系，必須健全、完善信息安全治理組織，這是XX股份公司治理信息安全保證體系建立的首要任務。信息安全治理組織的健全需要明確角色模型，在此基礎上設計信息安全崗位職責和匯報關系，充分考慮XX股份公司工業(yè)與下屬單位的組織模式和特點，做到信息安全職責分工明確合理、責任落實到位。建立信息安全專業(yè)服務團隊隨著XX股份公司治理信息化的推進，XX股份公司工業(yè)需要有一支擁有各種專業(yè)技能的團隊提供身份認證、安全監(jiān)控、威逼和弱點治理、風險評估等信息安全服務。信息安全團隊建設的關鍵在于人才培養(yǎng)和服務團隊的設立。XX股份公司工業(yè)將在明確信息安全服務團隊設立方案的基礎上制定人才培養(yǎng)打算，逐步培養(yǎng)在信息安全各個領域的專業(yè)技術人才，在3-5年的時刻內建立起一支高素養(yǎng)的，能夠滿足XX股份公司治理信息安全需求的專業(yè)服務團隊。建立完善的信息安全風險治理流程作為XX股份公司治理信息安全保證體系的差不多理念之一，信息安全風險治理的實現(xiàn)需要建立完善的流程，XX股份公司工業(yè)將建立針對信息安全風險的全程治理能力和信息安全治理連續(xù)改進能力，將信息安全的治理由針對結果的治理變成針對過程的治理。XX股份公司治理信息安全風險治理流程需要覆蓋需求分析、操縱實施、運行監(jiān)控、響應復原四個環(huán)節(jié)，識別相應的信息安全風險治理核心流程，并進行流程設計和實施。完善信息安全制度與標準信息安全制度與標準是信息安全工作在治理、操縱、技術等方面制度化、標準化后形成的一整套文件。XX股份公司工業(yè)差不多制定并公布執(zhí)行了一些信息安全相關的制度和標準，然而在完整性、針對性、可用性和執(zhí)行成效方面都有較大的改進空間。例如在信息安全治理制度的上，沒有依據《XXXX行業(yè)行業(yè)信息安全保證體系建設指南》或者是ISMS體系建設等標準和規(guī)范制定，從而使治理規(guī)定缺乏系統(tǒng)性。在前期調研中，發(fā)覺只有《系統(tǒng)支持和愛護治理操縱程序》、《信息設備及軟件操縱程序》等少量治理文檔，不足以滿足XX股份公司工業(yè)對整個信息系統(tǒng)安全治理的需求。XX股份公司工業(yè)需要有打算的逐步建立一套完整的，可操作的信息安全制度與標準，并通過對執(zhí)行成效的連續(xù)跟蹤，不斷完善，以形成一套真正符合XX股份公司工業(yè)需求、完整有效的信息安全制度與標準，為信息安全工作的開展提供依據和指導。建立規(guī)范化的流程隨著信息化建設的推進，XX股份公司工業(yè)需要建設越來越多的應用系統(tǒng)，這些系統(tǒng)目前日常愛護工作差不多依靠系統(tǒng)愛護人員的體會，因此逐步建立專業(yè)化的信息安全服務和規(guī)范化的流程成為信息安全保證體系建立的重要目標之一。技術及運維體系規(guī)劃參考模型及標準參考模型目前安全模型差不多從往常的被動愛護轉到了現(xiàn)在的主動防備，強調整個生命周期的防備和復原。PDR模型確實是最早提出的表達如此一種思想的安全模型。所謂PDR模型指的確實是基于防護（Protection）、檢測（Detection）、響應（Reaction）的安全模型。上個世紀90年代末，ANS聯(lián)盟在PDR模型的基礎上建立了新的P2DR模型。該模型是可量化、可由數(shù)學證明、基于時刻的、以PDR為核心的安全模型。那個地點P2DR2是策略（Policy）、防護（Protection）、檢測（Detection）、響應（Response）、復原（Recovery）的縮寫。如下圖所示。ProtectionProtectionDetectionResponseRecoveryPolicy圖1_2P2DR2模型策略（Policy）策略是P2DR模型的核心，所有的防護、檢測、響應差不多上依據策略。它描述了系統(tǒng)中哪些資源要得到愛護，以及如何實現(xiàn)對它們的愛護等。防護（Protection）防護是主動防備的防備部分，系統(tǒng)的安全最終是依靠防護來實現(xiàn)的。防護的對象涵蓋了系統(tǒng)的全部，防護手段也因此多種多樣。檢測（Detection）檢測是動態(tài)響應和加強防護的依據。通過不間斷的檢測網絡和系統(tǒng)，來發(fā)覺威逼。響應（Response）響應是主動防備的實現(xiàn)。依照策略以及檢測到的情形動態(tài)的調整防護，達到主動防備的目的。信息系統(tǒng)的安全是基于時刻特性的，P2DR安全模型的特點就在于動態(tài)性和基于時刻的特性。我們能夠通過定義下列時刻量來描述P2DR模型的時刻特性。防護時刻Pt：表示從入侵開始到侵入系統(tǒng)的時刻。防護時刻由兩方面共同決定：①入侵能力，②防護能力。高的入侵能力和相對弱的防護能力能夠使得防護時刻Pt縮短。明顯防護時刻越長系統(tǒng)越安全。檢測時刻Dt：表示檢測系統(tǒng)發(fā)覺系統(tǒng)的安全隱患和潛在攻擊檢測的時刻。改進檢測算法和設計可縮短Dt。響應時刻Rt：表示從檢測到系統(tǒng)漏洞或監(jiān)控到非法攻擊到系統(tǒng)啟動處理措施的時刻。一個監(jiān)控系統(tǒng)的響應可能包括知識、切換、跟蹤、報警、反擊等內容。而安全事件的事后處理（如復原、總結等）不納入事件響應的范疇之內。暴露時刻Et：表示系統(tǒng)處于不安全狀態(tài)的時刻。能夠定義Et＝Dt＋Rt－Pt。明顯Et越小表示系統(tǒng)越安全，當Et≤0時，能夠認為系統(tǒng)是安全的。隨著技術的進步，人們在P2DR模型以后又提出了APPDRR模型，即在P2DR模型中加入復原（Recovery）手段。如此一旦系統(tǒng)安全事故發(fā)生了，也能復原系統(tǒng)功能和數(shù)據，復原系統(tǒng)的正常運行。參考標準要緊參考標準：《信息保證技術框架v3.1》（IATF） 美國國家安全局《信息系統(tǒng)安全治理指南》（ISO13335） 國際標準化組織《信息安全風險評估指南》（國標審議稿）中華人民共和國質監(jiān)總局其它參考標準：AS/NZS4360:1999風險治理標準ISO/IEC17799:2005/BS7799Part1ISO/IEC27001:2005/BS7799Part2ISO/IEC15408（CC）GB17859-1999等級愛護實施意見（公通字[2004]66號）《運算機信息系統(tǒng)安全愛護等級劃分準則》GB17859行業(yè)參考標準：《XXXX行業(yè)行業(yè)信息安全保證體系建設指南》治理體系規(guī)劃參考模型及標準國家信息安全標準、指南GB/T20274—2006信息系統(tǒng)安全保證評估框架GB/T19715.1—2005信息技術—信息技術安全治理指南第1部分：信息技術安全概念和模型GB/T19715.2—2005信息技術—信息技術安全治理指南第2部分：治理和規(guī)劃信息技術安全GB/T19716—2005信息技術—信息安全治理有用規(guī)則國際信息安全標準ISO/IEC27001:2005信息安全技術信息系統(tǒng)安全治理要求ISO/IEC13335—1:2004信息技術信息技術安全治理指南第1部分：信息技術安全概念和模型ISO/IECTR15443—1:2005信息技術安全保證框架第一部分概述和框架ISO/IECTR15443—2:2005信息技術安全保證框架第二部分保證方法ISO/IECWD15443—3信息技術安全保證框架第三部分保證方法分析ISO/IECPDTR19791:2004信息技術安全技術運行系統(tǒng)安全評估行業(yè)規(guī)范《數(shù)字XXXX行業(yè)進展綱要》《XXXX行業(yè)行業(yè)信息安全保證體系建設指南》（國煙辦綜〔2008〕147號）《XXXX行業(yè)行業(yè)運算機網絡和信息安全技術與治理規(guī)范》(國煙法[2003]17號)《XXXX行業(yè)行業(yè)運算機網絡建設技術與治理規(guī)范》(國煙辦綜[2006]312號)《XXXX行業(yè)行業(yè)CA認證體系的建設方案》（國煙辦綜〔2008〕116號）技術體系建設規(guī)劃技術保證體系規(guī)劃設計原則技術保證體系的規(guī)劃遵循一下原則：先進性原則采納的技術和形成的規(guī)范，在路線上應與當前世界的主流進展趨勢相一致，保證依據規(guī)范建成的XX股份公司工業(yè)網絡安全系統(tǒng)具有先進性和可連續(xù)進展性。有用性原則具備多層次、多角度、全方位、立體化的安全愛護功能。各種安全技術措施盡顯其長，相互補充。當某一種或某一層愛護失效時，其它仍可起到愛護作用?？煽啃栽瓌t加強網絡安全產品的集中治理，保證關鍵網絡安全設備的冷熱備份，幸免骨干傳輸線路的單點連接，保證系統(tǒng)7*24小時不間斷可靠運行?？刹僮餍栽瓌t依照XX股份公司工業(yè)風險評估結果，制定出各具特色、有較強針對性和可操作性的網絡安全技術保證規(guī)劃，適用于XX股份公司治理信息安全的規(guī)劃、建設、運行、愛護和治理?？蓴U展性原則規(guī)范應具有良好的可擴展性，能適應安全技術的快速進展和更新，能隨著網絡安全需求的變化而變化，網絡安全愛護周期應與整個網絡的工作周期相同步，充分保證投資的效益。技術路線分級愛護的思想遵照《XXXX行業(yè)行業(yè)信息安全保證體系建設指南》（國煙辦綜〔2008〕147號）、《關于信息安全等級愛護工作的實施意見》（公通字【2007】33號）的要求，結合XX股份公司工業(yè)網絡應用實際，XX股份公司工業(yè)網絡的信息安全防護措施需要滿足安全等級愛護要求，必須按照確定的安全策略，整體實施安全愛護。分層愛護的思想按照XX股份公司工業(yè)業(yè)務承載網絡的核心層、接入（匯聚）層、接入局域網三個層次，依照確定的安全策略，規(guī)范設置相應的安全防護、檢測、響應功能，利用虛擬專用網絡（例如MPLSVPN、IPSecVPN、SSLVPN）、公鑰基礎設施/授權治理基礎設施（PKI/PMI）、防火墻、在線入侵抵御、入侵檢測、防病毒、強審計、冷熱備份、線路冗余等多種安全技術和產品，進行全方位的安全愛護。分域愛護的思想操縱大型網絡安全的另一種思想是把網絡劃分成不同的邏輯網絡安全域，每一個網絡安全域由所定義的安全邊界來愛護。綜合考慮信息性質、使用主體等要素，XX股份公司工業(yè)網絡劃分為運算域、支撐域、接入域、基礎設施域四種類型安全域。通過在相連的兩個網絡之間采納訪問操縱措施來進行網絡的隔離和連接服務。其中，隔離安全服務包括身份認證、訪問操縱、抗抵賴和強審計等；連接安全服務包括傳輸過程中的保密、完整和可用等。動態(tài)安全的思想動態(tài)網絡安全的思想，一方面是要安全體系具備良好的動態(tài)適應性和可擴展性。威逼和風險是在不斷變化的，安全體系也應當依照新的風險的引入或風險累積到一定程度后，適時進行策略調整和體系完善；另一方面是在方案的制定和產品的選取中，注重方案和產品的自愈、自適應功能，在遭遇攻擊時，具有一定的自動復原和應急能力。信息安全保證技術體系規(guī)劃安全域劃分及網絡改造安全域劃分及網絡改造是系統(tǒng)化安全建設的基礎性工作。也是層次化立體化防備以及落實安全治理政策，制定合理安全治理制度的基礎。此過程保證在網絡基礎層面實現(xiàn)系統(tǒng)的安全防備。目標規(guī)劃的理論依據安全域簡介安全域是指同一系統(tǒng)內有相同的安全愛護需求，相互信任，并具有相同的安全訪問操縱和邊界操縱策略的子網或網絡，相同的網絡安全域共享一樣的安全策略。相對以上安全域的定義，廣義的安全域概念是指：具有相同和相似的安全要求和策略的IT要素的集合。這些IT要素包括但不僅限于：物理環(huán)境策略和流程業(yè)務和使命人和組織網絡區(qū)域主機和系統(tǒng)……安全域作用理順系統(tǒng)架構進行安全域劃分能夠關心理順網絡和應用系統(tǒng)的架構，使得信息系統(tǒng)的邏輯結構更加清晰，從而更便于進行運行愛護和各類安全防護的設計。簡化復雜度基于安全域的愛護實際上是一種工程方法，它極大的簡化了系統(tǒng)的防護復雜度：由于屬于同一安全域的信息資產具備相同的IT要素，因此能夠針對安全域而不是信息資產來進行防護，如此會比基于資產的等級愛護更易實施；降低投資由于安全域將具備同樣IT特點的信息資產集合在一起，因此在防護時能夠采納公共的防護措施而不需要針對每個資產進行各自的防護，如此能夠有效減少重復投資；同時在進行安全域劃分后，信息系統(tǒng)和信息資產將分出不同的防護等級，依照等級進行安全防護能夠提高組織在安全投資上的ROI（投資回報率）。提供依據組織內進行了安全域的設計和劃分，便于組織發(fā)覺現(xiàn)有信息系統(tǒng)的缺陷和不足，并為今后進行系統(tǒng)改造和新系統(tǒng)的設計提供相關依據，也簡化了新系統(tǒng)上線安全防護的設計過程。專門是針對組織的分支機構，安全域劃分的方案也有利于協(xié)助他們進行系統(tǒng)安全規(guī)劃和防護，從而進行規(guī)范的、有效的安全建設工作。總體架構如下圖所示：安全域的劃分如下：圖2_1安全與總體框架本次建議的劃分方法是立體的，即：各個域之間不是簡單的相交或隔離關系，而是在網絡和治理上有不同的層次。網絡基礎設施域是所有域的基礎，包括所有的網絡設備和網絡通訊支撐設施域，網絡基礎設施域分為骨干區(qū)、聚攏區(qū)和接入區(qū)。支撐設施域是其他上層域需要公共使用的部分，要緊包括：安全系統(tǒng)、網管系統(tǒng)和其他支撐系統(tǒng)等。運算域要緊是各類的服務器、數(shù)據庫等，要緊分為一樣服務區(qū)、重要服務區(qū)和核心區(qū)。邊界接入域是各類接入的設備和終端以及業(yè)務系統(tǒng)邊界，按照接入類型分為：互聯(lián)網接入、外聯(lián)網接入、內聯(lián)網接入和內網接入。圖2_SEQ圖\*ARABIC\s11安全域立體結構圖多層次體系依照XX股份公司工業(yè)公司的情形，安全域的劃分原則和劃分方法，域是本次安全域劃分的第一層結構，劃分的原則是業(yè)務行為。XX股份公司工業(yè)公司安全域總體設計打算劃分為4個域，分別是邊界接入域、網絡基礎設施域、運算域、支撐設施域。建設規(guī)劃內容邊界接入域邊界接入域的劃分《ISO13335信息系統(tǒng)治理指南》中將一個組織中可能的接入類型分為以下幾種：組織單獨操縱的連接（內部接入）公共網絡的連接（如互聯(lián)網接入）不同組織間的連接（可信的）不同組織間的連接（不可信的）組織內的異地連接（如不同地理位置的分支結構）組織內人員從外部接入（如出差時接入內部網）邊界接入域的劃分，依照XX股份公司工業(yè)公司的實際情形，相關于ISO13335定義的接入類型，分別有如下對應關系：ISO13335實際情形組織單獨操縱的連接內部網接入（終端接入，如辦公網）；業(yè)務邊界（如核心服務邊界）公共網絡的連接互聯(lián)網接入（如Web和郵件服務器的外部接入，辦公網的Internet接入等）不同組織間的連接外聯(lián)網接入（如各個部門間的接入等）組織內的異地連接內聯(lián)網接入（如XXX單位接入、城區(qū)內如西倉等其他部門等通過專網接入）組織內人員從外部接入遠程接入（如移動辦公和遠程愛護）邊界接入域威逼分析由于邊界接入域是XX股份公司工業(yè)公司信息系統(tǒng)中與外部相連的邊界，因此要緊威逼有：黑客攻擊（外部入侵）惡意代碼（病毒蠕蟲）越權（非授權接入）終端違規(guī)操作……邊界接入域的防護針對邊界接入域的要緊威逼，相應的防護手段有：訪問操縱（如防火墻）用于應對外部攻擊遠程接入治理（如VPN）用于應對非授權接入入侵檢測與防備（IDS&IPS）用于應對外部入侵和蠕蟲病毒惡意代碼防護（防病毒）用于應對蠕蟲病毒終端治理（注入操縱、補丁治理、資產治理等）對終端進行合規(guī)治理運算域運算域的劃分運算域是各類應用服務、中間件、大機、數(shù)據庫等局域運算設備的集合，依照運算環(huán)境的行為不同和所受威逼不同，分為以下三個區(qū)：一樣服務區(qū)用于存放防護級別較低（資產級別小于等于3），需直截了當對外提供服務的信息資產，如辦公服務器等，一樣服務區(qū)與外界有直截了當連接，同時不能夠訪問核心區(qū)（幸免被作為攻擊核心區(qū)的跳板）；重要服務區(qū)重要服務區(qū)用于存放級別較高（資產級別大于3），不需要直截了當對外提供服務的信息資產，如前置機等，重要服務區(qū)一樣通過一樣服務區(qū)與外界連接，并能夠直截了當訪問核心區(qū)；核心區(qū)核心區(qū)用于存放級別專門高（資產級別大于等于4）的信息資產，如核心數(shù)據庫等，外部對核心區(qū)的訪問需要通過重要服務區(qū)跳轉。運算域的劃分參見下圖：圖2_3運算域劃分圖運算域威逼分析由于運算域處于信息系統(tǒng)的內部，因此要緊威逼有：內部人員越權和濫用內部人員操作失誤軟硬件故障內部人員篡改數(shù)據內部人員抵賴行為對外服務系統(tǒng)遭受攻擊及非法入侵運算域的防護針對運算域要緊是內部威逼的特點，要緊采取以下防護手段：應用和業(yè)務開發(fā)愛護安全基于應用的審計身份認證與行為審計同時也輔助以其他的防護手段：對網絡專門行為的檢測對信息資產的訪問操縱支撐設施域支撐設施域的劃分圖2_4支撐基礎設施域劃分圖如上圖所示，將網絡治理、安全治理和業(yè)務運維（業(yè)務操作監(jiān)控）放置在獨立的安全域中，不僅能夠有效的愛護上述三個高級別信息系統(tǒng)，同時在突發(fā)事件中也有利于保證后備通訊能力。其中，安全設備、網絡設備、業(yè)務操作監(jiān)控的治理端口都應該處于獨立的治理VLAN中，假如條件承諾，還應該分別劃分安全VLAN、網管VLAN和業(yè)務治理VLAN。支撐設施域的威逼分析支撐設施域是跨過多個業(yè)務系統(tǒng)和地域的，它的保密級別和完整性要求較高，對可用性的要求略低，要緊的威逼有：網絡傳輸泄密（如網絡治理人員在網絡設備上竊聽業(yè)務數(shù)據）非授權訪問和濫用（如業(yè)務操作人員越權操作其他業(yè)務系統(tǒng)）內部人員抵賴（如對誤操作進行抵賴等）支撐設施域的防護針對支撐設施域的威逼特點和級別，應采取以下防護措施：帶外治理和網絡加密身份認證和訪問操縱審計和檢測網絡基礎設施域網絡基礎設施域的劃分圖2_5網絡基礎設施域劃分圖網絡基礎設施域的威逼分析要緊威逼有：網絡設備故障網絡泄密物理環(huán)境威逼網絡基礎設施域的防護相應的防護措施為：通過備份、冗余確?；A網絡的可用性通過網絡傳輸加密確保基礎網絡的保密性通過基于網絡的認證確?；A網絡的完整性現(xiàn)有信息技術體系描述XX股份公司工業(yè)現(xiàn)有網絡拓撲XX股份公司工業(yè)網絡結構脆弱性評估網絡結構層次不清晰當前網絡骨干區(qū)域，差不多形成以兩臺C6509為核心，多臺C2970/C2950等為接入的架構，網絡骨干設備性能優(yōu)異，擴展能力較強。但部分區(qū)域仍舊存在結構層次不清晰、不合理之處。遠程接入區(qū)域，包括XXX單位通過專線直截了當接入到核心交換機C6509上，其它的上聯(lián)國家局、XX股份公司工業(yè)局、西倉等專線鏈路也直截了當接入到核心交換機C6509上，除國家局配置有防火墻外，其它連接均未通過任何匯聚或訪問操縱設備。核心交換機C6509同時兼具上述多條專線接入設備的任務，網絡邏輯層次結構較為模糊。網絡單點故障當前網絡核心層為冗余設備，下聯(lián)接入層交換為冗余線路，其它對外連接均為單設備和單線路連接，存在網絡單點故障隱患。各遠程接入鏈路均為一條電信專線，沒有其它冗余的廣域網鏈路，存在遠程接入鏈路單點故障。外網服務器區(qū)的Web和Mail服務器的互聯(lián)網連接和訪問均為單線路，存在單點故障。網絡安全域劃分不明公司大多數(shù)內網服務器系統(tǒng)分布在/24網段，沒有進一步的VLAN劃分及其它防護措施的隔離。ERP、一號工程、協(xié)同辦公、營銷等重要系統(tǒng)混雜在一起，與其它服務器都部署在同一個區(qū)域，專門不利于隔離防護及后期的安全規(guī)劃建設。下屬卷包、物流、制絲、動力車間存在生產網與辦公網絡混用的情形。各生產網與辦公網未嚴格隔離，未整合邊界，未實施集中安全防護。業(yè)務愛護人員、網絡治理人員、安全治理人員以及第三方運維人員，未劃分專門的治理支撐域。當前要緊依照辦公物理位置，各自接入到辦公網中，未與一般辦公人員網絡區(qū)域隔離。遠程接入區(qū)域，依照對端可信度及治理職責等，能夠劃分為四類，1、國家XXXX行業(yè)；2、省商業(yè)公司鏈路；3、同城的西倉庫接入；4、XXX單位接入。當前未進行分類隔離，統(tǒng)一安全策略。部分節(jié)點區(qū)域缺乏必要安全防護措施內部終端用戶訪問內部服務器、互聯(lián)網絡沒有有效的操縱行為；能夠訪問互聯(lián)網的終端不能有效操縱訪問帶寬并進行行為審計。遠程接入西倉和XXX單位專線直截了當接入到核心交換機Cisco3845上，兩端均未部署防火墻實施訪問操縱。XXX單位用戶能夠任意訪問到總部網絡，任意訪問內網服務器。全網缺乏一套集中的安全運營治理中心，當前網絡設備、安全設備、主機及業(yè)務系統(tǒng)的日志及安全運行狀況監(jiān)控，僅由各自愛護人員手工操作，直截了當?shù)卿浽O備檢查分析。內網服務器區(qū)、生產服務器區(qū)缺乏業(yè)務審計設備，無法記錄關鍵的業(yè)務、愛護操作行為。現(xiàn)有的安全技術防護手段在互聯(lián)網出口部署了東軟的NetEyesFW4201防火墻兩臺，同時設置訪問規(guī)則對Web服務器和內網用戶對互聯(lián)網的訪問進行網絡層操縱；在核心交換機上部署了東軟的NetEyesIDS2200入侵檢測系統(tǒng)，對核心交換上的數(shù)據信息進行入侵行為的檢測；在郵件系統(tǒng)部署了防垃圾郵件系統(tǒng)，可對垃圾郵件進行過濾；內網部署了趨勢的網絡防病毒系統(tǒng)，內網部署了圣博潤的內網治理系統(tǒng)，可對內部網絡終端進行接入治理、主機愛護治理、補丁治理、主機行為審計等。XXX單位現(xiàn)有網絡拓撲XXX單位網絡結構脆弱性評估網絡結構層次不清晰當前網絡骨干區(qū)域，是以S5516為單核心設備連接上聯(lián)C2601路由器至XX股份公司工業(yè)，下聯(lián)S3026接入交換機連接終端。網絡骨干設備性能較差，擴展能力專門弱。各區(qū)域存在結構層次不清晰、不合理之處。網絡核心交換S5516假如癱瘓，整個網絡通訊將斷開；服務器直截了當連接漏洞交換機，一旦設備顯現(xiàn)故障則一號工程、內網治理等業(yè)務系統(tǒng)無法正常工作，將引起業(yè)務系統(tǒng)網絡通訊的中斷。網絡單點故障核心設備、上聯(lián)線路為單條線路，存在網絡單點故障隱患。上聯(lián)鏈路僅為一條電信專線，沒有其它冗余的廣域網鏈路，存在遠程接入鏈路單點故障。一號工程、內網治理服務器僅單線連接在樓層交換機上，樓層交換本身為單線連接核心交換，連接和訪問均為單線路，存在單點故障。網絡安全域劃分不明XXX單位一號工程、內網治理服務器系統(tǒng)分布在/24網段，僅簡單的通過VLAN與辦公網其他主機劃分，并未采取其它防護措施的隔離，專門不利于隔離防護及后期的安全規(guī)劃建設。部分節(jié)點區(qū)域缺乏必要安全防護措施內部終端用戶訪問內部服務器、互聯(lián)網絡沒有有效的操縱行為；能夠訪問互聯(lián)網的終端不能有效操縱訪問帶寬并進行行為審計。此問題可與XX股份公司工業(yè)解決建議方案同時及解決。全網缺乏一套集中的安全運營治理中心，當前網絡設備、安全設備、主機及業(yè)務系統(tǒng)的日志及安全運行狀況監(jiān)控，僅由各自愛護人員手工操作，直截了當?shù)卿浽O備檢查分析。此問題可與XX股份公司工業(yè)解決建議方案同時解決。內網服務器區(qū)、生產服務器區(qū)缺乏業(yè)務審計設備，無法記錄關鍵的業(yè)務、愛護操作行為?，F(xiàn)有的安全技術防護手段互聯(lián)網訪問通過專線到達XX股份公司工業(yè)后訪問，因此防護技術手段與XX股份公司工業(yè)相同；內網部署了趨勢的網絡防病毒系統(tǒng)，內網部署了圣博潤的內網治理系統(tǒng)，可對內部網絡終端進行接入治理、主機愛護治理、補丁治理、主機行為審計等。技術體系規(guī)劃要緊內容網絡安全域改造建設規(guī)劃XX股份公司工業(yè)網絡系統(tǒng)規(guī)劃建議改造建議說明：新增治理支撐域，作為整個網絡的設備和系統(tǒng)治理中心。新增匯聚層網絡設施域，部署四臺三層交換機，核心部件采納冗余配置，作為整個網絡的匯聚層，如此既便于接入區(qū)和服務區(qū)的訪問操縱，又將生產區(qū)和辦公區(qū)進行了區(qū)分，并分擔了核心交換機的負擔。在核心交換和新增的匯聚交換間部署防火墻進行服務域的訪問操縱；將原有的服務器使用VLAN方式劃分為核心服務域和一樣服務域；更換互聯(lián)網出口防火墻為安全網關，采納雙機冗余方式部署，并啟用IPS檢測、AV檢測功能，為對外提供服務的WEB和MAIL服務器制定愛護策略；在互聯(lián)網安全網關后增加上網行為治理系統(tǒng)，采納雙機冗余方式部署，對訪問互聯(lián)網的流量和訪問進行操縱和審計；將互聯(lián)網出口替換下的防火墻部署到單獨劃分的財務服務域前端，進行必要的訪問操縱愛護；將XXX單位和西倉連接線路由原先的連接核心C6509改為連接新增加的匯聚層防火墻上，增加外部訪問的訪問操縱。XXX單位網絡系統(tǒng)改造建議建議將核心交換更換為雙機冗余方式，可采取主備模式或者一臺設備冷備的方式；單獨部署服務器交換機，可采取主備模式或者一臺設備冷備的方式，其中冷備設備可與核心備用機器為同一臺設備；可考慮新增一條備用通訊線路，例如選用ADSL線路作為應急通訊線路，通過VPN方式與XX股份公司工業(yè)網絡進行通訊；關于辦公網內接入交換上聯(lián)核心的線路可考慮部署雙線路方式，實現(xiàn)線路冗余，如此可幸免因為意外狀況造成線路中斷后的網絡中斷，接入交換設備可增加1-2臺冷備設備；可在網絡邊界部署防火墻設備進行訪問操縱。網絡安全設備建設規(guī)劃網絡安全設備分為邊界愛護類，入侵檢測/防備類，終端愛護等多種。網絡安全產品的類型是由網絡安全技術決定的，為了實現(xiàn)全面的安全防護，以不同的實體顯現(xiàn)的安全設備要在技術上覆蓋所有的安全領域，也確實是所有安全設備功能的總和在技術層面應該能夠防備目前網絡環(huán)境下所有安全威逼的總和。安全產品盡管不是安全防護體系的決定因素，卻是安全防備體系的基石。是實現(xiàn)系統(tǒng)化全方位網絡安全防護的必要條件。在充分分析目前XX股份公司工業(yè)差不多部署的網絡安全設備的前提下，又結合了風險評估的結果，以及安全域劃分和網絡改造的具體需求，得出了最終需要新增的網絡安全設備需求。此過程保證在設備層面實現(xiàn)安全技術體系。部署完成后，XX股份公司工業(yè)所有安全設備防護功能的總和在技術層面上將能夠滿足防護和應對目前已知安全威逼。同時滿足《XXXX行業(yè)行業(yè)信息安全保證體系建設指南》中在技術體系建設方面對網絡安全部分的要求。結合規(guī)劃的安全域，在新的安全環(huán)境下，規(guī)劃的安全設備部署示意圖如下：防火墻設備部署位置防火墻部署在核心層和匯聚層之間。如下圖所示。安全功能防火墻系統(tǒng)是進行安全域邊界防護的有效手段。需要部署防火墻將網絡分割成不同安全區(qū)域，并對核心業(yè)務系統(tǒng)形成縱深愛護體系。在新增的匯聚網絡層和核心網絡層之間冗余部署四臺防火墻設備，實現(xiàn)生產接入域、辦公接入域和其他區(qū)域訪問的操縱，生產接入域和辦公接入域之間的訪問操縱。通過此次安全域的劃分和網絡改造，使防火墻要緊能夠起到如下幾類作用：限制各個接入網絡對網絡設備的訪問。限制接入網絡穿過的源。限制接入網絡能訪問的目的。限制接入網絡穿過的應用端口。限制能提供的應用端口。安全網關設備部署位置一體化安全網關部署在互聯(lián)網出口處，做互聯(lián)網邊界綜合防護。如下圖所示。實現(xiàn)安全功能訪問操縱IP地址過濾、MAC地址過濾、IP＋MAC綁定、用戶認證、流量整形、連接數(shù)操縱等IPS防備體系通過繼承的IPS功能，精確抵御黑客攻擊、蠕蟲、木馬、后門；抑制間諜軟件、灰色軟件、網絡釣魚的泛濫；并可有效防止拒絕服務攻擊。網絡防病毒能夠有效抵御文件感染病毒、宏病毒、腳本病毒、蠕蟲、木馬、惡意軟件、灰色軟件等。抗DoS攻擊采納特點操縱和專門操縱相結合的手段，有效保證抗拒絕服務攻擊的準確性和全面性，阻斷絕大多數(shù)的DoS攻擊行為。上網行為治理設備部署位置上網行為治理部署在互聯(lián)網出口處。如下圖所示。安全功能P2P流量操縱目前幾乎在所有組織中都存在著帶寬濫用和白費的現(xiàn)象。專門是在P2P技術顯現(xiàn)之后，此問題更加嚴峻和突出。XX股份公司工業(yè)也不例外，存在著P2P泛濫，帶寬濫用等現(xiàn)象。各種P2P應用占用了大量網絡帶寬(如BitTorrent，Kazza，Emule等)，消耗了網絡中的大量帶寬，隨之而來的是，由網絡鏈路擁塞引發(fā)的應用性能下降問題也日益嚴峻，極大地阻礙了組織正常業(yè)務的開展及用戶正常網絡應用的服務質量。因此必須對P2P的應用加以操縱，例如提供最大帶寬限制、保證帶寬、帶寬租借、應用優(yōu)先級等一系列帶寬治理功能，最終可實現(xiàn)禁止使用P2P軟件或限制P2P軟件的可用帶寬，從而達到操縱P2P流量的目標，將寶貴的、有限的帶寬資源保留給組織中關鍵的應用和業(yè)務。服務分級服務分級是一種帶寬治理的明白得方式。也能夠明白得為某種程度上QoS。服務分級處理能夠比喻為一個多車道并行的高速公路，其中各種不同的車輛都按照一定的規(guī)則行駛在不同的車道上，帶寬治理設備在那個地點就相當于分流的路口。比如，視頻點播業(yè)務需要專門高的帶寬，同時要保證數(shù)據流的連續(xù)性，要達到如此的要求，必須為其預留出單獨的高帶寬通道；而一樣的郵件服務和談天等占據專門少帶寬的業(yè)務，可能會被分配為較低的優(yōu)先級，使用一個窄帶傳輸。同樣的，針對不同訪問需求的用戶也能夠進行服務的分級處理，對帶寬要求高的人員能夠獲得較多的帶寬，從而保證其訪問的需求。關鍵應用保證目前XX股份公司工業(yè)在應用方面差不多建立基于互聯(lián)網的Web和Mail系統(tǒng)，需要在應用層加以優(yōu)先保證。上網行為治理設備能夠基于應用的重要程度進行帶寬資源的合理分配，從而保證重要的、時效性高的應用能夠獲得較多的帶寬，最終能夠保證關鍵應用的正常運行。業(yè)務安全審計設備部署位置網絡安全審計設備要緊部署在核心業(yè)務區(qū)域，按照XX股份公司工業(yè)安全域的規(guī)劃，需要部署業(yè)務審計系統(tǒng)的位置為服務域（核心服務域+一樣服務域），生產服務域（卷包中控、物流中控、制絲中控、動力中控），重點審計內容是人為通過網絡對各服務器系統(tǒng)、數(shù)據的訪問行為審計和操縱，部署示意圖如下：服務域審計系統(tǒng)部署示意圖生產服務域審計系統(tǒng)部署示意圖安全功能滿足合規(guī)要求目前，越來越多的單位面臨一種或者幾種合規(guī)性要求。比如，在美上市的中國移動集團公司及其下屬分子公司就面臨SOX法案的合規(guī)性要求；而銀行業(yè)則面臨Basel協(xié)議的合規(guī)性要求；政府的行政事業(yè)單位或者國有企業(yè)則有遵循等級愛護的合規(guī)性要求。XX股份公司工業(yè)面也面臨著合規(guī)性的要求。一是等級愛護的要求；二是行業(yè)規(guī)范的要求。在國煙辦的147號文件中，明確要求部署網絡審計設備。有效減少核心信息資產的破壞和泄漏對企業(yè)的業(yè)務系統(tǒng)來說，真正重要的核心信息資產往往存放在少數(shù)幾個關鍵系統(tǒng)上（如數(shù)據庫服務器、應用服務器等），通過使用網絡安全審計系統(tǒng)，能夠加強對這些關鍵系統(tǒng)的審計，從而有效地減少對核心信息資產的破壞和泄漏。追蹤溯源，便于事后追查緣故與界定責任一個單位里負責運維的部門通常擁有目標系統(tǒng)或者網絡設備的最高權限（例如把握DBA帳號的口令），因而也承擔著專門高的風險（誤操作或者是個別人員的惡意破壞）。由于目標系統(tǒng)不能區(qū)別不同人員使用同一個帳號進行愛護操作，因此不能界定愛護人員的真實身份。試用網絡安全審計系統(tǒng)提供基于角色的審計，能夠有效地區(qū)分不同愛護人員的身份，便于事后追查緣故與界定責任。直觀把握業(yè)務系統(tǒng)運行的安全狀況業(yè)務系統(tǒng)的正常運行需要一個安全、穩(wěn)固的網絡環(huán)境。對治理部門來說，網絡環(huán)境的安全狀況事關重大。網絡安全審計系統(tǒng)提供業(yè)務流量監(jiān)控與審計事件統(tǒng)計分析功能，能夠直觀地反映網絡環(huán)境的安全狀況。實現(xiàn)獨立審計與三權分立，完善IT內控機制從內控的角度來看，IT系統(tǒng)的使用權、治理權與監(jiān)督權必須三權分立。網絡安全審計系統(tǒng)基于網絡旁路監(jiān)聽的方式實現(xiàn)獨立的審計與三權分立，完善了IT內控機制。漏洞掃描設備部署位置漏洞掃描系統(tǒng)部署在治理支撐域，通過一個二層接入交換機接入到核心交換機，示意圖如下圖所示：安全功能通過對網絡設備，操作系統(tǒng)，應用系統(tǒng)的掃描，有效了解系統(tǒng)弱點，為實施安全防護方案和制定安全治理策略提供依據和參考。制定周期性掃描打算，實現(xiàn)周期性的安全自評，為有效的風險治理提供參考和支持。補充設備部署由于系統(tǒng)差不多規(guī)劃部署了業(yè)務審計系統(tǒng)，為了防止各系統(tǒng)時刻不同步，從而導致審計數(shù)據記錄時刻不同，進而阻礙審計系統(tǒng)數(shù)據的參考價值，因此需要在內網部署時刻同步服務器。由于該服務器架設比較簡單，在windows操作系統(tǒng)下即可輕松搭建NTP服務器，此處不再給出具體方案。CA認證體系建設現(xiàn)狀XX股份公司工業(yè)目前暫無CA認證系統(tǒng)，但按照國家總局的統(tǒng)一建設要求，差不多將CA認證系統(tǒng)作為立即開始的項目。建設規(guī)劃目標通過建設CA認證體系，為業(yè)務應用系統(tǒng)提供穩(wěn)固可靠的信息安全服務，切實保證系統(tǒng)使用人員身份的真實性、信息傳輸?shù)谋Ｃ苄?、?shù)據交換的完整性、發(fā)送信息的不可否認性，為信息化建設和進展奠定安全基礎。按照《國家XXXX行業(yè)專賣局辦公室關于印發(fā)XXXX行業(yè)行業(yè)CA認證體系建設方案的通知》(國煙辦綜〔2008〕116號)文件要求，結合自身實際情形，建立XX股份公司工業(yè)CA，是XXXX行業(yè)行業(yè)的二級CA，為本企業(yè)所屬范疇內的行業(yè)內人員，或者與本單位有業(yè)務聯(lián)系的單位及人員提供數(shù)字證書的發(fā)放和治理服務。建設規(guī)劃內容CA認證體系平臺建設按照《XXXX行業(yè)行業(yè)CA認證體系建設方案》規(guī)范，XX股份公司工業(yè)行業(yè)CA認證體系項目由數(shù)字證書簽發(fā)服務平臺標準版、數(shù)字證書應用支撐平臺和數(shù)字證書系綜合監(jiān)管平臺組成，如下圖所示。參考上圖，本次建設的企業(yè)級數(shù)字證書簽發(fā)服務平臺標準版，要緊建設內容包括CA、RA、KMC系統(tǒng)；數(shù)字證書應用支撐服務平臺，要緊建設內容包括：簽名服務器、SSL安全代理服務器、身份認證系統(tǒng)、時刻戳服務器；數(shù)字證書綜合監(jiān)管平臺，要緊建設內容包括：數(shù)字證書備案系統(tǒng)、數(shù)字證書安全審計系統(tǒng)。如下圖所示：簽名服務器簽名服務器數(shù)字證書應用支撐平臺SSL安全代理服務器身份認證系統(tǒng)時刻戳服務器數(shù)字證書備案系統(tǒng)數(shù)字證書綜合監(jiān)管平臺數(shù)字證書安全審計系統(tǒng)KMCCARA數(shù)字證書簽發(fā)服務平臺CA認證體系應用建設應用系統(tǒng)身份認證利用CA認證體系同現(xiàn)有應用系統(tǒng)的身份認證方式相結合，針對重要業(yè)務系統(tǒng)或重要崗位，進行身份驗證，保留登錄記錄，落實責任，方便治理。綜合應用平臺單點登錄對已建設的信息系統(tǒng)進行整合和數(shù)據交流，并提供統(tǒng)一身份驗證平臺，實行信息門戶單點登錄。CA認證體系建設和該平臺相結合，使單點登錄系統(tǒng)更安全，并便于治理。遠程VPN訪問身份認證由于營銷人員等分布全國各地，需要遠程訪問公司服務器。CA認證系統(tǒng)和VPN遠程訪問操縱相結合，更能保證身份唯獨性，并大幅提高互聯(lián)網訪問的安全性。數(shù)據安全保證建設規(guī)劃目標知識產權保證知識產權確實是現(xiàn)代企業(yè)的生命，現(xiàn)在的企業(yè)越來越重視知識產權的愛護，依照國家知識產權局的統(tǒng)計，每年知識產權相關的案件數(shù)量在以30%以上的速度進行遞增。保證知識產權，就相當于保證企業(yè)的生存空間。通過部署電子文檔安全系統(tǒng)，使得企業(yè)成為電子數(shù)據的真正所有者，保證企業(yè)知識產權。有效提高企業(yè)在市場上的競爭力。電子文檔治理流程優(yōu)化通過部署電子文檔安全系統(tǒng)，優(yōu)化文檔安全治理工作的效率，從前需要人工審核的部門由運算機網絡取代，提高了工作效率。同時，在服務器上備份所有的文件審查日志。數(shù)據的完整性、可靠性都得到了極大的提升，也減免了傳統(tǒng)的紙質備份保密資料給企業(yè)帶來的成本。建設規(guī)劃內容建議部署結構在進行文檔愛護系統(tǒng)部署結構時，考慮到必須保證業(yè)務的高可用性。因此，采納了雙服務端熱備設計，此舉能夠保證，在一臺服務器顯現(xiàn)故障的時候，另一臺會接管故障服務器的工作，保證業(yè)務的可用性。假如XXX單位和分支機構的網絡和總部的鏈路穩(wěn)固，那么可使分支結構客戶端直截了當聯(lián)入總部的服務端；假如分公司的網絡和總部的鏈路不穩(wěn)固，則可在分支機構架設二級服務器，使用“區(qū)域自治，集中治理”的模式來使得分支機構客戶端能夠正常運行。建議權限劃分建議依照XX股份公司工業(yè)用戶角色不同，初步將用戶權限規(guī)劃為如下：離線功能加解密功能日志記錄用途○○●記錄對文件的操作○●●一般辦公PC●●●辦公筆記本電腦（出差）●可選●家用筆記本電腦●可選○家用PC（職員在家辦公）○○○僅閱讀之用針對不同的用戶，能夠隨時靈活的變更權限，保證安全性和易用性兩不誤。系統(tǒng)使用在正常使用的過程中，最終用戶一樣感受不到電子文檔的存在，除非用戶需要：將文件解密；帶電腦離開公司的網絡環(huán)境；期望產生的文檔不加密；需要把隱秘文檔中的文字復制到特定的網站。終端安全治理建設規(guī)劃目標XX股份公司工業(yè)現(xiàn)差不多部署了一套綜合的終端安全治理系統(tǒng)，實現(xiàn)了對網絡終端進行主動的治理和操縱、補丁分發(fā)、強制安全策略、遠程關心等要緊功能。通過該系統(tǒng)，實現(xiàn)終端主動防護能力和有效的治理，形成整體的安全準入操縱體系。如下圖：實現(xiàn)安全功能終端準入操縱：提供包括網絡準入操縱、應用準入操縱、客戶端準入操縱等多層準入操縱手段，關心企業(yè)實現(xiàn)對終端安全接入內網治理。通過準入操縱機制，能夠實現(xiàn)對終端的身份進行認證，并能夠自動檢測和修復終端安全狀態(tài)，強制保證終端及時進行安全補丁更新、安裝并及時更新防病毒軟件及病毒定義碼、不隨意運行可能存在風險的軟件，確保只有合法的和安全的終端電腦才能接入企業(yè)內網。備份與復原現(xiàn)狀目前XX股份公司工業(yè)還沒與建立起行之有效的備份與復原機制。在網絡層，系統(tǒng)層，應用層都涉及到備份與復原的問題。網絡層的備份要緊指的設備和線路的冗余。在安全域劃分網絡改造中差不多涉及并考慮的了線路的冗余問題。外網通信線路冗余按照相關文件的要求，在XXXX行業(yè)技術體系要求中需要建立通信線路冗余。要緊是表達在兩個方面：互聯(lián)網公共出口的線路冗余。通常做法是選擇兩家以上的運營商同時接入互聯(lián)網，增加冗余，降低通訊鏈路故障風險。公司內部廣域網的線路冗余，比如和國家局或者天水煙廠之間的通訊鏈接。通常是租用的SDH專線。能夠考慮增加VPN線路作為冗余。在專線故障的時候啟用VPN線路應急。備用設備是否有備用設備直截了當阻礙到故障復原的時刻和成效。在制定備份與復原打算時需要著重考慮關鍵設備的備機問題。要緊是解決方式有兩種：直截了當購買備用關鍵設備。與設備供應商簽訂備機供應協(xié)議和應急處理打算，制定應急處理預案。安全運營中心建設現(xiàn)狀目前XX股份公司工業(yè)還未建立安全運行中心。建立安全運營治理中心，使得XX股份公司工業(yè)的網絡安全治理機構能及時準確地獲知整個網絡安全體系的成效和現(xiàn)狀，同時關心進行正確的決策分析。通過安全運營治理中心，將不同位置、不同資產（主機、網絡設備和安全設備等）中分散且海量的安全信息進行范式化、匯總、過濾和關聯(lián)分析，形成基于資產/域的統(tǒng)一等級的威逼與風險治理，并依靠安全知識庫和工作流程驅動對威逼與風險進行響應和處理。項目內容集中監(jiān)控集中監(jiān)控安全設備的運行狀態(tài)收集不同資產的安全信息：安全設備日志（防火墻、IDS/IPS、防病毒系統(tǒng)、漏掃等）網絡設備日志操作系統(tǒng)日志應用系統(tǒng)日志預留其他設備的接口事件關聯(lián)分析安全事件的采集、匯總、過濾、壓縮。能夠對不同類型、不同格式的設備日志進行采集、范式化、過濾、壓縮；統(tǒng)一的事件關聯(lián)分析能夠對各種事件進行關聯(lián)分析，從而發(fā)覺其中包蘊的真實事件；基于資產和安全域的風險監(jiān)控能夠將安全事件的級別與資產、安全域的價值進行加權運算，從而得出風險評估的結果，協(xié)助進行安全決策；基于資產和安全域的脆弱性評估能夠將漏洞掃描的結果與資產、安全域的價值進行加權運算，從而得出脆弱性指標，指導重要信息資產的漏洞治理工作；提升治理的力度能夠有效的進行重要信息資產的治理和等級愛護；能夠有效地對重點的業(yè)務系統(tǒng)進行風險監(jiān)控和治理；能夠有效的對應急響應的流程和規(guī)范進行治理；能夠有效的協(xié)助進行信息安全事件的應急響應；周期性風險評估及風險治理項目目標通過周期性的風險評估，發(fā)覺信息系統(tǒng)存在的安全隱患，以堅持公司的整體信息安全水平；通過周期性的安全加固增強主機的安全性，減小由于主機漏洞而導致的安全風險。項目內容XX股份公司工業(yè)的業(yè)務系統(tǒng)長期穩(wěn)固安全地運行，是XX股份公司工業(yè)能夠提供優(yōu)質服務的保證。由于信息安全的動態(tài)性特點，信息安全工作是一個連續(xù)的、長期的工作，建議XX股份公司工業(yè)每年定期請安全顧問進行安全風險評估。通過專業(yè)、連續(xù)的安全服務來解決信息系統(tǒng)日常運行愛護中的安全問題，降低安全風險、提高信息系統(tǒng)安全水平。風險評估的范疇為XX股份公司的整個信息系統(tǒng)。安全風險評估服務包括但不限于以下對象：物理環(huán)境、網絡結構、網絡服務、主機系統(tǒng)、數(shù)據、應用系統(tǒng)、安全系統(tǒng)、安全相關人員、處理流程、安全治理制度、安全策略。給出風險評估報告和安全現(xiàn)狀報告，系統(tǒng)風險修正措施以及系統(tǒng)安全指導性架構。此項服務能夠關心XX股份公司工業(yè)了解自身網絡安全現(xiàn)狀，并依照報告和建議進行投資預算。本次已進行的風險評估是實現(xiàn)XX股份公司治理信息安全風險治理的重要組成部分。周期性的風險評估是實現(xiàn)P2DR2安全模型的重要機制和組成部分。建議每年對XX股份公司工業(yè)的網絡系統(tǒng)進行一次安全風險評估，由于XX股份公司工業(yè)的網絡安全工作目前剛起步，許多工作剛開始，整個XX股份公司工業(yè)缺乏相關的體會，建議XX股份公司工業(yè)在三到五年內，聘請一家較有體會的網絡安全公司，每年為XX股份公司工業(yè)提供一次網絡安全的風險評估服務。技術體系建設實施規(guī)劃安全建設時期結合XX股份公司工業(yè)的具體情形，以及以后的業(yè)務和系統(tǒng)進展要求，通過綜合分析，我們確定安全建設初期和中后期目標如下：初期目標：解決目前急迫和關鍵的問題，調整完善信息安全基礎架構，充分發(fā)揮現(xiàn)有安全設備的功效，爭取在短期內安全狀況有大幅度提高；中后期目標：建設“完善的信息安全保證體系”，并能夠自我進展和調整，以適應信息系統(tǒng)新業(yè)務、新技術的進展，從而能夠保證和促進業(yè)務的增長和進展。建設項目規(guī)劃第一時期項目第一時期是指從2009年6月到2010年6月的一年期。在此一年期中，要進行的安全項目共有6個：網絡安全域劃分及整改建設風險評估及安全加固網絡安全產品部署數(shù)據安全保證建設CA認證體系建設安全運營中心SOC建設第二時期項目第一時期是指從2011年6月到2020年6月的一年期。在此一年期中，要進行的安全項目共有2個：備份與復原系統(tǒng)的建立與完善周期性風險評估及風險治理運維體系建設規(guī)劃風險評估及安全加固風險評估此次XX股份公司工業(yè)安全項目本身差不多包含信息系統(tǒng)風險評估部分。詳細信息參見風險評估各部分輸出文檔。安全加固風險評估是安全加固的前提，風險評估依據資產，威逼，脆弱性的分析得到信息系統(tǒng)各部分面臨的安全風險。安全加固則是依據風險評估的結果，為了降低系統(tǒng)風險所采取的措施之一。通過對當前系統(tǒng)進行加固操作，修補主機系統(tǒng)、網絡設備、數(shù)據庫、應用和中間件存在的弱點，能夠全面提高設備的安全性。降低系統(tǒng)運行風險。信息安全運維體系建設規(guī)劃機房安全規(guī)劃機房安全應達到的目標整體要求：指定專人或專門的部門定期對機房環(huán)境進行愛護治理；建立機房安全治理制度；配備機房安全治理人員；加強對辦公環(huán)境的保密性治理；對機房和辦公環(huán)境實行統(tǒng)一策略的安全治理。機房安全治理現(xiàn)狀：企業(yè)差不多制定了“中心機房治理規(guī)定”，對機房的日常治理工作范疇和內容進行了明確的定義；建立的機房的安全操縱和監(jiān)控系統(tǒng)，機房的各項環(huán)境建設符合機房建設的相關要求；缺乏專職機房安全治理人員的標準工作流程和相關記錄；缺乏機房內應有的治理規(guī)定表示、治理人員標識。要緊規(guī)劃內容規(guī)劃內容：制定詳細的機房環(huán)境愛護治理流程，安排專門人員進行機房環(huán)境的定期愛護治理，并做好相關的記錄和檢查；將現(xiàn)有的機房安全治理制度制作標牌懸掛機房內，并監(jiān)督執(zhí)行；安排機房安全治理人員，并制作標牌懸掛機房內。資產和設備安全資產治理資產治理應達到的目標整體要求：建立資產安全治理制度；編制資產清單；依照資產的重要程度對資產進行定性賦值和標識治理；資產治理現(xiàn)狀：具有資產治理制度，但治理制度本身安全治理內容過少，需要重新修訂；具有資產清單，然而資產清單的格式和愛護存在一定問題；具有資產的標識治理，但未能對資產進行定性賦值。要緊規(guī)劃內容規(guī)劃內容：對現(xiàn)有資產治理制度進行修訂，增加安全治理內容；通過一定的服務活動更新資產清單，并增加資產編號的標示標牌；通過安全評估活動增加資產定性賦值，完善現(xiàn)有資產治理表格。介質治理介質治理應達到的目標整體要求：建立介質安全治理制度；介質的歸檔和查詢須有記錄；介質的歸檔和查詢須有記錄，并對存檔介質的名目清單定期盤點；對介質的物理傳輸過程進行操縱；依照數(shù)據備份的需要對某些介質實行異地儲備；重要數(shù)據采取加密方式儲備；關于需要送出修理或銷毀的介質應采納多次讀寫覆蓋、清除敏銳或隱秘數(shù)據。介質治理現(xiàn)狀：建立介質治理制度；對資料介質由專人負責，然而關于服務系統(tǒng)的備份數(shù)據儲備的介質治理只是由系統(tǒng)各自治理員進行治理；治理的介質查詢記錄、定期盤點等差不多能夠落實；介質的物理轉移操縱力度不大；目前要緊的業(yè)務數(shù)據均采納磁盤陣列儲備，定期將數(shù)據備份到移動儲備介質上由治理員保管；備份的要緊數(shù)據差不多都采納數(shù)據庫自帶的儲備格式，沒有額外的進行加密處理；修理和銷毀的介質在“信息安全保密治理規(guī)定”中差不多有相應的規(guī)定。要緊規(guī)劃內容規(guī)劃內容：介質治理在XX股份公司工業(yè)的“信息安全保密治理規(guī)定”中差不多有明確的規(guī)定，后續(xù)工作為加強治理的執(zhí)行；關于移動備份介質的存放和治理可在“信息安全保密治理規(guī)定”進行一定的修訂，確保明確明晰；關于介質修理和銷毀的規(guī)定，可在“信息安全保密治理規(guī)定”進行一定的修訂，確保明確明晰。設備治理設備治理應達到的目標整體要求：指定專人或專門的部門對設備定期進行愛護治理；建立配套設施、軟硬件愛護方面的治理制度，對其愛護進行有效的治理；對設備的操作和使用進行規(guī)范化治理；設備治理現(xiàn)狀：信息系統(tǒng)的整體治理由信息治理中心負責，另外針對不同的業(yè)務系統(tǒng)配置了專屬治理人員進行愛護治理；制定了“運算機網絡治理規(guī)定”、“服務器治理規(guī)定”、“數(shù)據庫治理規(guī)定”、“企業(yè)資源打算（ERP）系統(tǒng)運行治理規(guī)定”等一系列的治理規(guī)定，可對愛護進行有效治理；以上規(guī)定對設備的操作和使用進行了規(guī)范化，然而缺少了執(zhí)行的監(jiān)督治理技術手段。要緊規(guī)劃內容規(guī)劃內容：部署專用設備和軟件系統(tǒng)，對設備操作使用進行有效的監(jiān)管。網絡和系統(tǒng)安全治理網絡安全治理網絡安全治理應達到的目標整體要求：指定專人對網絡進行治理，負責運行日志、網絡監(jiān)控記錄的日常愛護和報警信息分析和處理工作；依照廠家提供的軟件升級版本對網絡設備進行更新，并在更新前對現(xiàn)有的重要文件進行備份；進行網絡系統(tǒng)漏洞掃描，對發(fā)覺的網絡系統(tǒng)安全漏洞進行及時的修補；保證所有與外部系統(tǒng)的連接均應得到授權和批準；建立網絡安全治理制度，對網絡安全配置、網絡用戶以及日志等方面做出規(guī)定；對網絡設備的安全策略、授權訪問、最小服務、升級與打補丁、愛護記錄、日志以及配置文件的生成、備份、變更審批、符合性檢查等方面做出具體規(guī)定；規(guī)定網絡審計日志的儲存時刻以便為可能的安全事件調查提供支持；明確各類用戶的責任、義務和風險，并按照機構制定的審查和批準程序建立用戶和分配權限，定期檢查用戶實際權限與分配權限的符合性；對日志的備份、授權訪問、處理、保留時刻等方面做出具體規(guī)定，使用統(tǒng)一的網絡時刻，以確保日志記錄的準確；通過身份鑒別、訪問操縱等嚴格的規(guī)定限制遠程治理帳戶的操作權限和登錄行為；定期檢查違反規(guī)定撥號上網或其他違反網絡安全策略的行為；網絡安全治理現(xiàn)狀：指定了專人對網絡進行治理，另外部署了“IT運維治理系統(tǒng)”負責運行日志、網絡監(jiān)控記錄的日常愛護和報警信息分析和處理，并形成工單治理；在廠家服務期限內的設備均可獵取正常的設備更新服務；同時更新前對配置文件均可進行備份；XX股份公司工業(yè)現(xiàn)還未進行網絡漏洞掃描系統(tǒng)的建設；XX股份公司工業(yè)現(xiàn)有的外部鏈接要緊為國家局的連接；網絡治理員通過VPN方式進行的遠程治理；業(yè)務人員通過Web方式訪問營銷系統(tǒng)；以上網絡連接均有系統(tǒng)自身的治理方式；相關業(yè)務服務的開放通過正常審批；目前XX股份公司工業(yè)還沒有專門的網絡安全治理制度，對網絡安全配置、網絡用戶以及日志等方面做出規(guī)定；目前對網絡設備的安全策略、授權訪問、最小服務、升級與打補丁、愛護記錄、日志以及配置文件的生成、備份、變更審批、符合性檢查等方面還沒有十分具體的規(guī)定；目前僅有通過內網治理系統(tǒng)對用戶訪問互聯(lián)網的行為進行審計的日志單獨存放內網治理服務器，可滿足查詢時刻要求；其余的各系統(tǒng)的日志均為自身日志儲存，專門難為安全事件調查提供支持；目前明確了內部用戶的責任、義務和權限，例如治理員對業(yè)務系統(tǒng)的治理權限和；上網用戶是否訪問互聯(lián)網等的區(qū)分；然而在技術保證手段上還存在不足；目前XX股份公司治理信息系統(tǒng)治理對日志的備份、授權訪問、處理、保留時刻等方面做出一定規(guī)定，但沒有統(tǒng)一的網絡時刻，比較難于確認日志記錄的準確；目前可操縱遠程帳號訪問的資源，然而還沒有有效的身份認證和授權治理技術手段進行有效的治理；目前通過內網治理將違規(guī)行為及時上報IT運維治理系統(tǒng)，并生成工單及時發(fā)送給網絡安全治理員處理。要緊規(guī)劃內容規(guī)劃內容：部署網絡漏洞掃描系統(tǒng)，并制定掃描治理規(guī)范，定期對網絡和服務系統(tǒng)進行掃描，并生成檢查報告；在現(xiàn)有治理的規(guī)范上，細化治理流程包含服務變更、授權訪問等形成系統(tǒng)的申請、審批、核查流程；在現(xiàn)有治理規(guī)范的基礎上，結合后期網絡整改的需求制定專門的網絡安全治理規(guī)范；依照網絡和各業(yè)務系統(tǒng)的實際情形，補充詳細的治理流程對安全策略、授權訪問、最小服務、升級與打補丁、愛護記錄、日志以及配置文件的生成、備份、變更審批、符合性檢查等方面進行治理；部署安全運維治理系統(tǒng)和業(yè)務審計系統(tǒng)收集各種日志信息，并集中進行儲備、治理和分析，為事件處理提供有力支持；通過按照國家局身份認證系統(tǒng)建設規(guī)范和打算，建設XX股份公司工業(yè)的身份認證系統(tǒng)，實現(xiàn)身份認證和授權治理的補充；建議部署內網NTP服務器，并配置所有系統(tǒng)使用NTP服務器進行時刻校驗和更新；按照國家局身份認證系統(tǒng)的規(guī)范進行建設，可依照身份認證系統(tǒng)的建設進行訪問用戶的身份認證和授權；系統(tǒng)安全治理系統(tǒng)安全治理應達到的目標整體要求：指定專人對系統(tǒng)進行治理，刪除或者禁用不使用的系統(tǒng)缺省帳戶；制定系統(tǒng)安全治理制度，對系統(tǒng)安全配置、系統(tǒng)帳戶以及審計日志等方面做出規(guī)定；對能夠使用系統(tǒng)工具的人員及數(shù)量進行限制和操縱；定期安裝系統(tǒng)的最新補丁程序，并依照廠家提供的可能危害運算機的漏洞進行及時修補，并在安裝系統(tǒng)補丁前對現(xiàn)有的重要文件進行備份；依照業(yè)務需求和系統(tǒng)安全分析確定系統(tǒng)的訪問操縱策略，系統(tǒng)訪問操縱策略用于操縱分配信息系統(tǒng)、文件及服務的訪問權限；對系統(tǒng)帳戶進行分類治理，權限設定應當遵循最小授權要求；對系統(tǒng)的安全策略、授權訪問、最小服務、升級與打補丁、愛護記錄、日志以及配置文件的生成、備份、變更審批；規(guī)定系統(tǒng)審計日志的儲存時刻以便為可能的安全事件調查提供支持；進行系統(tǒng)漏洞掃描，對發(fā)覺的系統(tǒng)安全漏洞進行及時的修補；明確各類用戶的責任、義務和風險，對系統(tǒng)帳戶的登記造冊、用戶名分配、初始口令分配、用戶權限及其審批程序、系統(tǒng)資源分配、注銷等做出規(guī)定；關于帳戶安全治理的執(zhí)行情形進行檢查和監(jiān)督，定期審計和分析用戶帳戶的使用情形，對發(fā)覺的問題和專門情形進行相關處理。系統(tǒng)安全治理現(xiàn)狀：指定了專人對系統(tǒng)進行治理，差不多上刪除或者禁用不使用的系統(tǒng)缺省帳戶；在要緊系統(tǒng)的治理規(guī)定中制定系統(tǒng)部分安全治理制度，對系統(tǒng)安全配置、系統(tǒng)帳戶以及審計日志等方面也做出規(guī)定；重要核心系統(tǒng)使用系統(tǒng)工具的人員及數(shù)量是有較為完善的限制和操縱；目前終端系統(tǒng)通過內網治理系統(tǒng)可定期安裝系統(tǒng)的最新補丁程序，及時自動對運算機的漏洞進行及時修補；然而服務器系統(tǒng)考慮到業(yè)務應用的阻礙，均未輕易進行補丁安裝；重要的業(yè)務系統(tǒng)自身對訪問用戶和權限進行了較為嚴格的治理，然而網絡方面僅僅通過網絡設備和訪問操縱列表和防火墻進行操縱，技術力度不足；系統(tǒng)自身的治理通過系統(tǒng)治理員進行，訪問系統(tǒng)應用的帳號均分配了合適的訪問權限；對系統(tǒng)的安全策略、授權訪問、最小服務、升級與打補丁、愛護記錄、日志以及配置文件的生成、備份、變更審批；目前除了內網終端治理系統(tǒng)儲存了足夠長的審計日之外，其他各系統(tǒng)的日志不足以為安全事件調查提供支持；沒有部署漏洞掃描系統(tǒng)；在要緊系統(tǒng)的治理規(guī)定中差不多明確各類用戶的責任、義務和風險，對系統(tǒng)帳戶的登記造冊、用戶名分配、初始口令分配、用戶權限及其審批程序、系統(tǒng)資源分配、注銷等做出一定規(guī)定；目前僅通過系統(tǒng)自身和治理員巡查的方式關于帳戶安全治理的執(zhí)行情形進行檢查和監(jiān)督，定期審計和分析用戶帳戶的使用情形，對發(fā)覺的問題和專門情形進行相關處理。要緊規(guī)劃內容規(guī)劃內容：服務器補丁采取慎重處理，建議聘請專業(yè)安全公司協(xié)同應用系統(tǒng)開發(fā)廠商對漏洞修補對業(yè)務系統(tǒng)的阻礙進行評估后，對能夠修補的補丁進行修正，不能修補的補丁漏洞通過網絡訪問操縱、入侵防備等技術手段將風險操縱到可同意范疇內；在網絡訪問操縱方面采納訪問操縱、入侵防備、業(yè)務審計、終端治理相結合的技術手段實現(xiàn)從網絡層到應用層的綜合防護；系統(tǒng)自身的治理通過系統(tǒng)治理員進行，訪問系統(tǒng)應用的帳號均分配了合適的訪問權限；部署漏洞掃描系統(tǒng)，定期對業(yè)務系統(tǒng)進行必要的檢查；細化各類用戶的責任、義務和風險，對系統(tǒng)帳戶的登記造冊、用戶名分配、初始口令分配、用戶權限及其審批程序、系統(tǒng)資源分配、注銷等做出一定規(guī)定，并形成有效可行的流程；部署安全運維治理系統(tǒng)和業(yè)務審計系統(tǒng)，對系統(tǒng)自身的各項操作信息進行審計和治理，使之符合于對應的安全治理規(guī)定。監(jiān)控治理和安全治理中心監(jiān)控治理和安全治理中心應達到的目標整體要求：進行主機運行監(jiān)視，包括監(jiān)視主機的CPU、硬盤、內存、網絡等資源的使用情形；對分散或集中的安全治理系統(tǒng)的訪問授權、操作記錄、日志等方面進行有效治理；嚴格治理運行過程文檔，其中包括責任書、授權書、許可證、各類策略文檔、事故報告處理文檔、安全配置文檔、系統(tǒng)各類日志等，并確保文檔的完整性和一致性；監(jiān)控治理和安全治理中心現(xiàn)狀：目前部署了網絡治理系統(tǒng)可對主機運行監(jiān)視，包括監(jiān)視主機的CPU、硬盤、內存、網絡等資源的使用情形；目前通過IT運維治理系統(tǒng)可部分安全治理系統(tǒng)的訪問授權、操作記錄、日志等信息；差不多部署了IT運維治理系統(tǒng)能夠對過程文檔進行有效治理，并確保文檔的完整性和一致性。要緊規(guī)劃內容監(jiān)控治理和安全治理中心現(xiàn)狀：建議部署安全運維治理中心，收集設備完整的各項資源使用信息、訪問授權、操作記錄、日志信息等并進行綜合分析；建議部署的安全運維治理中心與差不多部署的IT運維治理系統(tǒng)進行接口處理，將安全運維治理中心的安全事件處理自動發(fā)送IT運維治理中心進行規(guī)范處理治理。備份與復原備份與復原應達到的目標整體要求：識別需要定期備份的重要業(yè)務信息、系統(tǒng)數(shù)據及軟件系統(tǒng)等；規(guī)定備份信息的備份方式（如增量備份或全備份等）、備份頻度（如每日或每周等）、儲備介質、儲存期等；依照數(shù)據的重要性和數(shù)據對系統(tǒng)運行的阻礙，制定數(shù)據的備份策略和復原策略，備份策略應指明備份數(shù)據的放置場所、文件命名規(guī)則、介質替換頻率和將數(shù)據離站運輸?shù)姆椒?；指定相應的負責人定期愛護和檢查備份及冗余設備的狀況，確保需要接入系統(tǒng)時能夠正常運行；建立操縱數(shù)據備份和復原過程的程序，備份過程應記錄，所有文件和記錄應妥善儲存；依照系統(tǒng)級備份所采納的方式和產品，建立備份及冗余設備的安裝、配置、啟動、操作及愛護過程操縱的程序，記錄設備運行過程狀況，所有文件和記錄應妥善儲存；定期執(zhí)行復原程序，檢查和測試備份介質的有效性，確保能夠在復原程序規(guī)定的時刻內完成備份的復原；備份與復原現(xiàn)狀：現(xiàn)按照業(yè)務類型設置不同系統(tǒng)治理員，對個系統(tǒng)的數(shù)據進行及時的備份；按照分系統(tǒng)進行了備份信息的備份方式（如增量備份或全備份等）、備份頻度（如每日或每周等）、儲備介質、儲存期的差不多治理等；具有數(shù)據的備份策略和復原策略，但未制定備份數(shù)據的放置場所、文件命名規(guī)則、介質替換頻率和將數(shù)據離站運輸?shù)姆椒ǖ葌浞莶呗?；安排了相應的負責人定期愛護和檢查備份及冗余設備的狀況，確保需要接入系統(tǒng)時能夠正常運行；針對各要緊業(yè)務系統(tǒng)部署了數(shù)據備份和復原過程的程序，所有備份數(shù)據差不多可妥善儲存；目前所有備份用磁盤陣列實現(xiàn)了集中專人治理；目前不定期執(zhí)行復原程序，檢查和測試備份介質的有效性，差不多可保證在復原程序規(guī)定的時刻內完成備份的復原；要緊規(guī)劃內容規(guī)劃內容：需要制定專門的數(shù)據備份治理流程，對備份方式（如增量備份或全備份等）、備份頻度（如每日或每周等）、儲備介質、儲存期、放置場所、文件命名規(guī)則、介質替換頻率和將數(shù)據離站運輸?shù)姆椒ǖ冗M行詳細規(guī)定；將執(zhí)行復原程序，檢查和測試備份介質的有效性的檢查驗證工作變?yōu)槎ㄆ陂_展工作；惡意代碼防范惡意代碼防護應達到的目標整體要求：提高所用用戶的防病毒意識，告知及時升級防病毒軟件；在讀取移動儲備設備（如軟盤、移動硬盤、光盤）上的數(shù)據以及網絡上接收文件或郵件之前，先進行病毒檢查，對外來運算機或儲備設備接入網絡系統(tǒng)之前也要進行病毒檢查；指定專人對網絡和主機的進行惡意代碼檢測并儲存檢測記錄；對防惡意代碼軟件的授權使用、惡意代碼庫升級、定期匯報等做出明確治理規(guī)定；定期檢查信息系統(tǒng)內各種產品的惡意代碼庫的升級情形并進行記錄，對主機防病毒產品、防病毒網關和郵件防病毒網關上截獲的危險病毒或惡意代碼進行及時分析處理，并形成書面的報表和總結匯報。惡意代碼防護現(xiàn)狀：部署網絡版防病毒軟件，可自動執(zhí)行升級并集中治理；目前從外部接收郵件、通過移動儲備設備進行文件傳遞過程均受到防病毒軟件的監(jiān)控，另外部署了內網治理系統(tǒng)，可對移動儲備設備進行有效治理；目前網絡版防病毒系統(tǒng)為專人愛護，可隨時監(jiān)控網絡終端的防病毒狀態(tài)和相關事件；現(xiàn)部署的防病毒系統(tǒng)未單獨對防惡意代碼軟件的授權使用、惡意代碼庫升級、定期匯報等做出明確治理規(guī)定；現(xiàn)只部署了網絡版防病毒系統(tǒng)，未部署網關防病毒系統(tǒng)。要緊規(guī)劃內容規(guī)劃內容：策劃全員安全培訓，增強惡意代碼的防范意識；建議新增網關防病毒系統(tǒng)，與現(xiàn)有網絡版防病毒系統(tǒng)形成立體防護；建議制定單獨的惡意代碼治理規(guī)范。變更治理變更治理應達到的目標整體要求：確認系統(tǒng)中要發(fā)生的變更，并制定變更方案；建立變更治理制度，重要系統(tǒng)變更前，治理人員應向主管領導申請，變更和變更方案通過評審、審批后方可實施變更；系統(tǒng)變更情形應向所有相關人員通告；應建立變更操縱的申報和審批文件化程序，變更阻礙分析應文檔化，變更實施過程應記錄，所有文檔記錄應妥善儲存；中止變更并從失敗變更中復原程序應文檔化，應明確過程操縱方法和人員職責，必要時復原過程應通過演練；變更治理現(xiàn)狀：現(xiàn)有系統(tǒng)中確認要發(fā)生的變更時均會制定變更方案；現(xiàn)已有變更治理制度，重要系統(tǒng)變更前，治理人員應向主管領導申請，變更和變更方案通過評審、審批后方可實施變更；現(xiàn)有系統(tǒng)的變更情形應向所有相關人員通告；現(xiàn)系統(tǒng)變更要求提供申報和審批文件化程序，變更阻礙分析應文檔化，變更實施過程應記錄，所有文檔記錄應妥善儲存；變更記錄中均要求從失敗變更中復原程序應文檔化，應明確過程操縱方法和人員職責，必要時復原過程應通過演練。要緊規(guī)劃內容規(guī)劃內容：增強變更檔案治理。信息安全事件治理事件處置事件處置應達到的目標整體要求：所有用戶均有責任報告自己發(fā)覺的安全弱點和可疑事件，但任何情形下用戶均不應嘗試驗證弱點；制定安全事件報告和處置治理制度，規(guī)定安全事件的現(xiàn)場處理、事件報告和后期復原的治理職責；分析信息系統(tǒng)的類型、網絡連接特點和信息系統(tǒng)用戶特點，了解本系統(tǒng)和同類系統(tǒng)已發(fā)生的安全事件，識別本系統(tǒng)需要防止發(fā)生的安全事件，事件可能來自攻擊、錯誤、故障、事故或災難；