金稅工程(三期)總體實(shí)施方案-V1.0

金稅工程（三期）總體實(shí)施方案PAGE第10頁(yè)金稅工程（三期）總體實(shí)施方案金稅工程（三期）總體實(shí)施方案V1.0國(guó)家稅務(wù)總局二○○六年四月金稅工程（三期）總體實(shí)施方案REF_Ref121299392\r\h第九章運(yùn)行維護(hù)體系建設(shè)規(guī)劃TOC\o"1-5"\h\z\u第一章 信息安全保障體系建設(shè)規(guī)劃 37.1建設(shè)目標(biāo)與內(nèi)容 47.1.1建設(shè)目標(biāo) 47.1.2建設(shè)內(nèi)容 47.2體系結(jié)構(gòu) 67.2.1總體架構(gòu) 67.2.2層次和依賴關(guān)系 87.2.3應(yīng)用效果 97.3建設(shè)規(guī)劃 107.3.1CA/KMC證書(shū)認(rèn)證和密鑰管理系統(tǒng)建設(shè)規(guī)劃 10建設(shè)內(nèi)容 10技術(shù)實(shí)現(xiàn) 11應(yīng)用效果 11運(yùn)行管理 127.3.2PMI/AA權(quán)限管理系統(tǒng)建設(shè)規(guī)劃 13建設(shè)內(nèi)容 13技術(shù)實(shí)現(xiàn) 13應(yīng)用效果 14運(yùn)行管理 147.3.3應(yīng)用安全支撐平臺(tái)建設(shè)規(guī)劃 16建設(shè)內(nèi)容 16技術(shù)實(shí)現(xiàn) 16應(yīng)用效果 16運(yùn)行管理 187.3.4網(wǎng)絡(luò)安全防護(hù)系統(tǒng)建設(shè)規(guī)劃 19建設(shè)內(nèi)容 19技術(shù)實(shí)現(xiàn) 19應(yīng)用效果 24運(yùn)行管理 247.3.5安全管理平臺(tái)建設(shè)規(guī)劃 25建設(shè)內(nèi)容 25技術(shù)實(shí)現(xiàn) 25應(yīng)用效果 26運(yùn)行管理 267.4運(yùn)行環(huán)境要求 287.4.1機(jī)房環(huán)境要求 28信息安全基礎(chǔ)設(shè)施專用機(jī)房環(huán)境要求 28安全管理中心專用機(jī)房環(huán)境要求 30網(wǎng)絡(luò)安全防護(hù)系統(tǒng)機(jī)房環(huán)境要求 32應(yīng)用安全支撐平臺(tái)機(jī)房環(huán)境要求 327.4.2網(wǎng)絡(luò)環(huán)境要求 32信息安全基礎(chǔ)設(shè)施網(wǎng)絡(luò)環(huán)境要求 32安全管理中心網(wǎng)絡(luò)環(huán)境要求 34網(wǎng)絡(luò)安全防護(hù)系統(tǒng)網(wǎng)絡(luò)環(huán)境要求 37應(yīng)用安全支撐平臺(tái)網(wǎng)絡(luò)環(huán)境要求 377.5實(shí)施步驟與策略 377.5.1實(shí)施計(jì)劃 397.5.2實(shí)施策略 417.6工作安排 417.6.1建設(shè)啟動(dòng)條件 41項(xiàng)目總體方案評(píng)審和報(bào)批 41密碼子系統(tǒng)方案報(bào)批 41配套項(xiàng)目實(shí)施 427.6.2任務(wù)分解 427.6.3總局工作安排 42總局工作任務(wù) 42總局配備資源 437.6.4省級(jí)局工作安排 43省級(jí)局工作任務(wù) 43省級(jí)局配備資源 44第二章 金稅工程（三期）實(shí)施工作任務(wù)分配與時(shí)間計(jì)劃 45信息安全保障體系建設(shè)規(guī)劃7.1建設(shè)目標(biāo)與內(nèi)容7.1.1建設(shè)目標(biāo)稅務(wù)系統(tǒng)信息安全體系建設(shè)的總體目標(biāo)是：基于現(xiàn)代信息安全理論，遵循國(guó)家標(biāo)準(zhǔn)，采用目前國(guó)內(nèi)外先進(jìn)的信息安全技術(shù)，按照統(tǒng)籌規(guī)劃、統(tǒng)一標(biāo)準(zhǔn)，突出重點(diǎn)、分步實(shí)施，整合資源、講求實(shí)效，加強(qiáng)管理、保證安全的原則和一體化要求，建設(shè)涵蓋稅務(wù)系統(tǒng)網(wǎng)絡(luò)、系統(tǒng)、應(yīng)用和管理等各個(gè)方面的統(tǒng)一、安全、穩(wěn)定、高效的信息安全體系，為包括“一個(gè)平臺(tái)、兩級(jí)處理、三個(gè)覆蓋、四個(gè)系統(tǒng)”的金稅工程（三期）建設(shè)提供可靠的安全保障。具體的說(shuō)，稅務(wù)系統(tǒng)信息安全體系的建設(shè)目標(biāo)就是：建立稅務(wù)系統(tǒng)信息安全運(yùn)行與管理基礎(chǔ)平臺(tái)，構(gòu)建支持整個(gè)稅務(wù)系統(tǒng)信息安全的安全支撐體系，通過(guò)技術(shù)手段實(shí)現(xiàn)稅務(wù)信息系統(tǒng)安全可管理、安全可控制的目標(biāo)，使安全保護(hù)策略貫穿到信息系統(tǒng)的物理環(huán)境、網(wǎng)絡(luò)、系統(tǒng)、應(yīng)用和管理的各個(gè)層面。滿足征收管理、行政管理、決策支持、外部信息交換等四大應(yīng)用系統(tǒng)的安全需求，保障各類應(yīng)用系統(tǒng)的安全。實(shí)現(xiàn)覆蓋國(guó)稅、地稅、主要稅種、主要工作環(huán)節(jié)并與有關(guān)部門(mén)網(wǎng)絡(luò)互聯(lián)的網(wǎng)絡(luò)邊界的安全保護(hù)。建立包含策略管理在內(nèi)的安全管理系統(tǒng)和安全管理組織，構(gòu)建安全管理平臺(tái)和安全評(píng)測(cè)系統(tǒng)。建立稅務(wù)系統(tǒng)信息安全體系的技術(shù)標(biāo)準(zhǔn)、規(guī)范、規(guī)章制度。安全體系建設(shè)最終達(dá)到安全穩(wěn)定、保障有力、協(xié)調(diào)高效、功能齊全、監(jiān)控嚴(yán)密的目標(biāo)。7.1.2建設(shè)內(nèi)容稅務(wù)系統(tǒng)信息安全保障體系建設(shè)的主要內(nèi)容有：1、建設(shè)稅務(wù)業(yè)務(wù)專網(wǎng)CA/KMC證書(shū)認(rèn)證和密鑰管理系統(tǒng)在總局建設(shè)業(yè)務(wù)專網(wǎng)CA中心、密鑰管理中心（KMC），實(shí)現(xiàn)稅務(wù)工作人員和內(nèi)部應(yīng)用系統(tǒng)公鑰證書(shū)的集中簽發(fā)、管理和證書(shū)密鑰對(duì)的集中生成、分發(fā)、注銷、銷毀、備份、恢復(fù)、歸檔等整個(gè)生命周期的管理，為總局稅務(wù)工作人員和內(nèi)部應(yīng)用系統(tǒng)提供公鑰證書(shū)的申請(qǐng)、撤銷、發(fā)放、發(fā)布、驗(yàn)證服務(wù)。在災(zāi)備中心建設(shè)業(yè)務(wù)專網(wǎng)備份CA中心、備份密鑰管理中心（KMC），實(shí)現(xiàn)業(yè)務(wù)專網(wǎng)CA和KMC的備份，確保為稅務(wù)業(yè)務(wù)專網(wǎng)用戶和系統(tǒng)提供持續(xù)不間斷的證書(shū)管理和驗(yàn)證服務(wù)。在各省級(jí)國(guó)、地稅局分別建設(shè)業(yè)務(wù)專網(wǎng)RA，為本省稅務(wù)人員和內(nèi)部應(yīng)用系統(tǒng)提供公鑰證書(shū)的申請(qǐng)、撤銷、發(fā)放、發(fā)布、驗(yàn)證服務(wù)。2、建設(shè)稅務(wù)互聯(lián)網(wǎng)CA/KMC證書(shū)認(rèn)證和密鑰管理系統(tǒng)在總局建設(shè)互聯(lián)網(wǎng)CA中心、密鑰管理中心（KMC），實(shí)現(xiàn)納稅人和外部服務(wù)系統(tǒng)公鑰證書(shū)的集中簽發(fā)、管理和證書(shū)密鑰對(duì)的集中生成、分發(fā)、注銷、銷毀、備份、恢復(fù)、歸檔等整個(gè)生命周期的管理，為納稅人和外部服務(wù)系統(tǒng)提供公鑰證書(shū)的申請(qǐng)、撤銷、發(fā)放、發(fā)布、驗(yàn)證服務(wù)。在災(zāi)備中心建設(shè)互聯(lián)網(wǎng)備份CA中心、備份密鑰管理中心（KMC），實(shí)現(xiàn)互聯(lián)網(wǎng)CA和KMC的備份，確保為納稅人和外部服務(wù)系統(tǒng)提供持續(xù)不間斷的證書(shū)管理和驗(yàn)證服務(wù)。在各省級(jí)國(guó)局分別建設(shè)互聯(lián)網(wǎng)RA，為本省納稅人和外部服務(wù)系統(tǒng)提供公鑰證書(shū)的申請(qǐng)、撤銷、發(fā)放、發(fā)布、驗(yàn)證服務(wù)。3、建設(shè)業(yè)務(wù)專網(wǎng)PMI/AA權(quán)限管理系統(tǒng)在總局建設(shè)稅務(wù)權(quán)限管理總中心，在總局各業(yè)務(wù)部門(mén)部署遠(yuǎn)程權(quán)限管理點(diǎn)，對(duì)各省級(jí)權(quán)限管理分中心的運(yùn)行進(jìn)行統(tǒng)一的管理，實(shí)現(xiàn)全局性信息資源和授權(quán)管理與訪問(wèn)控制策略的管理，對(duì)總局應(yīng)用系統(tǒng)的信息資源、稅務(wù)工作人員的權(quán)限等進(jìn)行統(tǒng)一的管理，為總局應(yīng)用系統(tǒng)提供統(tǒng)一的訪問(wèn)控制決策服務(wù)，為總局信息資源受控、合法使用提供安全支撐。在災(zāi)備中心建設(shè)備份權(quán)限管理總中心，實(shí)現(xiàn)權(quán)限管理系統(tǒng)的備份，確保為稅務(wù)信息系統(tǒng)提供持續(xù)不間斷的權(quán)限管理和訪問(wèn)控制決策服務(wù)。在各省級(jí)國(guó)、地稅局分別建設(shè)權(quán)限管理分中心，在省局各業(yè)務(wù)部門(mén)和地（市）級(jí)局部署遠(yuǎn)程權(quán)限管理點(diǎn)，對(duì)本省應(yīng)用系統(tǒng)的信息資源、稅務(wù)工作人員的權(quán)限等進(jìn)行統(tǒng)一的管理，為本省應(yīng)用系統(tǒng)提供統(tǒng)一的訪問(wèn)控制決策服務(wù)，為本省信息資源受控、合法使用提供安全支撐。4、建設(shè)稅務(wù)信息系統(tǒng)應(yīng)用安全支撐平臺(tái)在總局、災(zāi)備中心、各省級(jí)國(guó)地稅局部署認(rèn)證服務(wù)器、接入認(rèn)證網(wǎng)關(guān)、應(yīng)用密碼設(shè)備、安全客戶端和應(yīng)用安全服務(wù)軟件等，為稅務(wù)信息系統(tǒng)提供基于PKI/PMI技術(shù)的認(rèn)證、訪問(wèn)控制決策、數(shù)據(jù)安全保護(hù)等服務(wù)。5、建設(shè)稅務(wù)網(wǎng)絡(luò)安全防護(hù)系統(tǒng)在稅務(wù)信息網(wǎng)絡(luò)中部署網(wǎng)絡(luò)密碼設(shè)備、防火墻、入侵檢測(cè)、防病毒、系統(tǒng)加固、安全性分析等密碼和安全防護(hù)系統(tǒng)，實(shí)現(xiàn)稅務(wù)信息網(wǎng)骨干網(wǎng)、網(wǎng)絡(luò)邊界、網(wǎng)絡(luò)內(nèi)部計(jì)算環(huán)境的保護(hù)。6、建設(shè)稅務(wù)安全管理平臺(tái)在總局和各省級(jí)國(guó)地稅局分別建設(shè)安全管理中心，部署兩級(jí)安全管理平臺(tái)，在災(zāi)備中心建設(shè)備份安全管理中心，在地（市）級(jí)局部署安全管理代理點(diǎn)，實(shí)現(xiàn)對(duì)安全事件的綜合審計(jì)分析、報(bào)警、安全策略管理、內(nèi)網(wǎng)安全監(jiān)控，保障信息安全體系充分發(fā)揮安全保障效能。7、建立稅務(wù)系統(tǒng)信息安全體系標(biāo)準(zhǔn)體系建立信息安全相關(guān)的技術(shù)標(biāo)準(zhǔn)、規(guī)范、規(guī)章制度等。7.2體系結(jié)構(gòu)稅務(wù)系統(tǒng)信息安全保障體系是金稅工程（三期）建設(shè)的重要內(nèi)容，是依據(jù)國(guó)家信息安全相關(guān)標(biāo)準(zhǔn)、規(guī)范和法律、法規(guī)、政策建設(shè)的完整的信息安全體系，涵蓋稅務(wù)系統(tǒng)物理環(huán)境安全、網(wǎng)絡(luò)安全防護(hù)、系統(tǒng)安全防護(hù)、應(yīng)用安全、運(yùn)行安全、安全組織保障、安全管理、人員管理等信息系統(tǒng)安全的各個(gè)層面。7.2.1總體架構(gòu)從實(shí)施的角度看，稅務(wù)系統(tǒng)信息安全保障體系主要由證書(shū)認(rèn)證與密鑰管理系統(tǒng)、權(quán)限管理系統(tǒng)、應(yīng)用安全支撐平臺(tái)、網(wǎng)絡(luò)安全防護(hù)系統(tǒng)、安全管理組織與安全管理平臺(tái)以及信息安全標(biāo)準(zhǔn)體系組成。稅務(wù)系統(tǒng)信息安全保障體系的總體架構(gòu)及其與稅務(wù)信息系統(tǒng)網(wǎng)絡(luò)基礎(chǔ)設(shè)施、稅務(wù)應(yīng)用系統(tǒng)的依賴關(guān)系如圖所示。稅務(wù)信息安全體系總體架構(gòu)證書(shū)認(rèn)證與密鑰管理系統(tǒng)包括業(yè)務(wù)專網(wǎng)CA/KMC、互聯(lián)網(wǎng)CA/KMC和備份CA/KMC等部分。其中，業(yè)務(wù)專網(wǎng)CA/KMC和互聯(lián)網(wǎng)CA/KMC分別由部署在總局的CA中心、KMC和部署在各省級(jí)局的RA組成；備份CA/KMC由業(yè)務(wù)專網(wǎng)備份CA中心、KMC和互聯(lián)網(wǎng)備份CA中心、KMC構(gòu)成。權(quán)限管理系統(tǒng)主要由總局權(quán)限管理總中心、各省級(jí)局權(quán)限管理分中心、備份權(quán)限管理總中心及部署在總局、省級(jí)各業(yè)務(wù)部門(mén)和各地（市）級(jí)局的遠(yuǎn)程權(quán)限管理點(diǎn)組成。應(yīng)用安全支撐平臺(tái)主要由部署在總局、省級(jí)局的認(rèn)證服務(wù)器、接入認(rèn)證網(wǎng)關(guān)、應(yīng)用層密碼設(shè)備、安全WEB門(mén)戶、安全FTP和安裝在稅務(wù)工作人員、納稅人客戶端計(jì)算機(jī)上的安全客戶端組成，直接面向應(yīng)用安全提供支撐。網(wǎng)絡(luò)安全防護(hù)系統(tǒng)主要采用入侵檢測(cè)、漏洞掃描、病毒防治、防火墻、網(wǎng)絡(luò)隔離、專用密碼VPN等成熟技術(shù)，對(duì)稅務(wù)信息系統(tǒng)的廣域網(wǎng)、局域網(wǎng)和各安全域邊界、主機(jī)和系統(tǒng)、移動(dòng)用戶等的安全進(jìn)行保護(hù)。安全管理平臺(tái)由總局和省局兩級(jí)安全管理中心、備份安全管理中心以及部署在各級(jí)稅務(wù)機(jī)關(guān)局域網(wǎng)內(nèi)的安全管理代理點(diǎn)等組成。7.2.2層次和依賴關(guān)系稅務(wù)信息安全保障體系的各組成部分之間、稅務(wù)信息安全保障體系與稅務(wù)網(wǎng)絡(luò)基礎(chǔ)設(shè)施和應(yīng)用系統(tǒng)之間具有層次關(guān)系。稅務(wù)系網(wǎng)絡(luò)基礎(chǔ)設(shè)施是稅務(wù)信息系統(tǒng)、包括稅務(wù)信息安全安全保障體系各組成部分運(yùn)行的基礎(chǔ)。證書(shū)認(rèn)證與密鑰管理系統(tǒng)和權(quán)限管理系統(tǒng)共同構(gòu)成了稅務(wù)信息安全基礎(chǔ)設(shè)施，是稅務(wù)信息安全保障體系的基礎(chǔ)。其中，證書(shū)認(rèn)證與密鑰管理系統(tǒng)又是安全基礎(chǔ)設(shè)施的基石，是稅務(wù)信息系統(tǒng)信任體系的核心，為網(wǎng)絡(luò)安全防護(hù)系統(tǒng)中的網(wǎng)絡(luò)密碼設(shè)備以及稅務(wù)工作人員、納稅人、應(yīng)用系統(tǒng)服務(wù)器等簽發(fā)公鑰證書(shū)，發(fā)放加密證書(shū)密鑰對(duì)，提供證書(shū)狀態(tài)信息和證書(shū)驗(yàn)證服務(wù)。權(quán)限管理系統(tǒng)建立在證書(shū)認(rèn)證與密鑰管理系統(tǒng)之上，是稅務(wù)信息系統(tǒng)授權(quán)管理體系和訪問(wèn)控制決策體系的核心，為應(yīng)用系統(tǒng)和稅務(wù)工作人員提供信息資源管理和權(quán)限管理服務(wù)，并將權(quán)限和策略信息簽發(fā)為屬性證書(shū)發(fā)布，提供證書(shū)狀態(tài)信息。應(yīng)用安全支撐平臺(tái)位于安全基礎(chǔ)設(shè)施和應(yīng)用系統(tǒng)之間，利用安全基礎(chǔ)設(shè)施提供的公鑰證書(shū)、權(quán)限屬性證書(shū)、策略屬性證書(shū)、證書(shū)狀態(tài)信息發(fā)布和證書(shū)驗(yàn)證等安全服務(wù)，面向應(yīng)用系統(tǒng)提供統(tǒng)一、標(biāo)準(zhǔn)、規(guī)范的安全服務(wù)和接口，如用戶身份認(rèn)證、信息資源訪問(wèn)控制決策、數(shù)據(jù)加解密、數(shù)據(jù)的簽名和驗(yàn)證、數(shù)據(jù)內(nèi)容和業(yè)務(wù)操作的抗抵賴等，在應(yīng)用層對(duì)系統(tǒng)、信息、業(yè)務(wù)過(guò)程提供多種粒度的安全保護(hù)。稅務(wù)應(yīng)用系統(tǒng)調(diào)用應(yīng)用安全支撐平臺(tái)提供的安全服務(wù)和接口，實(shí)現(xiàn)身份認(rèn)證、訪問(wèn)控制、傳輸和存儲(chǔ)數(shù)據(jù)加解密、數(shù)據(jù)簽名和驗(yàn)證、數(shù)據(jù)內(nèi)容和業(yè)務(wù)操作的抗抵賴等安全功能。網(wǎng)絡(luò)安全防護(hù)系統(tǒng)為稅務(wù)系統(tǒng)網(wǎng)絡(luò)基礎(chǔ)設(shè)施以及運(yùn)行在網(wǎng)絡(luò)基礎(chǔ)設(shè)施上的稅務(wù)應(yīng)用系統(tǒng)、信息安全基礎(chǔ)設(shè)施、安全管理平臺(tái)等提供網(wǎng)絡(luò)數(shù)據(jù)保護(hù)、邊界防護(hù)、主機(jī)與系統(tǒng)安全防護(hù)等，保障稅務(wù)信息系統(tǒng)運(yùn)行環(huán)境的安全。安全管理平臺(tái)則對(duì)網(wǎng)絡(luò)、系統(tǒng)、應(yīng)用等各層面的安全進(jìn)行統(tǒng)一的管理和監(jiān)控，確保整個(gè)信息安全體系的可控制、可管理、可評(píng)估、可改進(jìn)，確保信息安全體系整體安全保障效能的充分發(fā)揮。7.2.3應(yīng)用效果建設(shè)稅務(wù)信息系統(tǒng)完整的信息安全保障體系，能夠針對(duì)稅務(wù)信息系統(tǒng)面臨的各種安全威脅，在網(wǎng)絡(luò)、系統(tǒng)、應(yīng)用、管理等各個(gè)層面為稅務(wù)信息系統(tǒng)提供全面的安全保護(hù)，主要體現(xiàn)在以下方面：1、在稅務(wù)信息系統(tǒng)構(gòu)建統(tǒng)一的信任體系，通過(guò)為稅務(wù)工作人員、納稅人、應(yīng)用服務(wù)器、網(wǎng)絡(luò)密碼設(shè)備等發(fā)放全網(wǎng)唯一的身份證書(shū)，并提供證書(shū)的驗(yàn)證服務(wù)，確保上述實(shí)體身份信息的可信和安全使用。2、在稅務(wù)信息系統(tǒng)構(gòu)建統(tǒng)一的授權(quán)管理體系，通過(guò)建立滿足稅務(wù)信息系統(tǒng)要求的統(tǒng)一的權(quán)限管理模型，制定統(tǒng)一的授權(quán)管理和訪問(wèn)控制策略，對(duì)可從應(yīng)用系統(tǒng)中剝離出來(lái)的權(quán)限進(jìn)行統(tǒng)一的管理，提高權(quán)限的可管理性，降低權(quán)限管理的復(fù)雜度，提高權(quán)限管理的效率，確保全系統(tǒng)安全策略的一致性和完整性，并通過(guò)將權(quán)限和策略簽發(fā)為屬性證書(shū)，確保權(quán)限和策略信息的可信和安全使用。3、建立稅務(wù)信息系統(tǒng)統(tǒng)一的、基于證書(shū)的強(qiáng)身份認(rèn)證機(jī)制，稅務(wù)工作人員與應(yīng)用系統(tǒng)、納稅人與外部服務(wù)系統(tǒng)、應(yīng)用系統(tǒng)與應(yīng)用系統(tǒng)、網(wǎng)絡(luò)密碼設(shè)備與網(wǎng)絡(luò)密碼設(shè)備間通過(guò)應(yīng)用安全支撐平臺(tái)驗(yàn)證對(duì)方身份證書(shū)的合法性和有效性，從而確保對(duì)方身份的真實(shí)性。4、建立稅務(wù)信息系統(tǒng)統(tǒng)一的訪問(wèn)控制決策服務(wù)體系，應(yīng)用安全支撐平臺(tái)獲取并驗(yàn)證權(quán)限管理系統(tǒng)發(fā)布的權(quán)限和策略信息，為應(yīng)用系統(tǒng)提供安全、可信的信息資源訪問(wèn)控制決策服務(wù)。5、通過(guò)調(diào)用和訪問(wèn)應(yīng)用安全支撐平臺(tái)提供證書(shū)驗(yàn)證和解析、傳輸和存儲(chǔ)數(shù)據(jù)的加密和解密、數(shù)據(jù)簽名和驗(yàn)證等安全接口和安全服務(wù)，應(yīng)用系統(tǒng)可以根據(jù)自身的安全需求，實(shí)現(xiàn)數(shù)據(jù)的保密、數(shù)據(jù)完整性和真實(shí)性、數(shù)據(jù)內(nèi)容和業(yè)務(wù)操作的抗抵賴等安全功能。6、通過(guò)建立稅務(wù)信息系統(tǒng)網(wǎng)絡(luò)安全防護(hù)系統(tǒng)，能夠?qū)偩峙c各省局、省局與地市局、總局與災(zāi)備中心等稅務(wù)系統(tǒng)各級(jí)局域網(wǎng)間傳輸?shù)臄?shù)據(jù)進(jìn)行安全保護(hù)，實(shí)現(xiàn)稅務(wù)業(yè)務(wù)專網(wǎng)與電信公網(wǎng)的隔離，防止來(lái)自電信公網(wǎng)上的攻擊，防止數(shù)據(jù)內(nèi)容的泄漏；能夠?qū)偩帧?zāi)備中心、省局、地市局等各級(jí)稅務(wù)機(jī)關(guān)局域網(wǎng)和局域網(wǎng)內(nèi)各安全域的邊界進(jìn)行防護(hù)，防止非法訪問(wèn)網(wǎng)絡(luò)資源，監(jiān)測(cè)攻擊和入侵，實(shí)現(xiàn)互聯(lián)網(wǎng)與業(yè)務(wù)專網(wǎng)、外聯(lián)網(wǎng)與業(yè)務(wù)專網(wǎng)及各安全區(qū)域的邏輯隔離；能夠?qū)W(wǎng)絡(luò)、主機(jī)、系統(tǒng)和桌面進(jìn)行病毒防護(hù)，進(jìn)行系統(tǒng)安全加固，進(jìn)行安全分析和評(píng)估；能夠保障移動(dòng)用戶訪問(wèn)稅務(wù)業(yè)務(wù)專網(wǎng)的安全。7、建立稅務(wù)信息系統(tǒng)統(tǒng)一的安全管理機(jī)制，對(duì)各類安全事件進(jìn)行采集和綜合審計(jì)分析，對(duì)整個(gè)系統(tǒng)的安全狀況進(jìn)行監(jiān)控，進(jìn)行安全策略和安全配置的統(tǒng)一管理，對(duì)發(fā)生的安全事件及時(shí)進(jìn)行告警并進(jìn)行應(yīng)急處理，對(duì)桌面進(jìn)行安全監(jiān)管，充分發(fā)揮信息安全體系的總和安全保障效能，并為責(zé)任認(rèn)定系統(tǒng)提供有關(guān)信息。8、建立稅務(wù)信息系統(tǒng)信息安全標(biāo)準(zhǔn)體系，為CA、KMC、權(quán)限管理系統(tǒng)、網(wǎng)絡(luò)防護(hù)系統(tǒng)、安全管理平臺(tái)的建設(shè)與運(yùn)行管理，為應(yīng)用系統(tǒng)的安全開(kāi)發(fā)和建設(shè)等提供依據(jù)和指導(dǎo)。7.3建設(shè)規(guī)劃7.3.1CA/KMC證書(shū)認(rèn)證和密鑰管理系統(tǒng)建設(shè)規(guī)劃建設(shè)內(nèi)容鑒于稅務(wù)業(yè)務(wù)專網(wǎng)和稅務(wù)互聯(lián)網(wǎng)業(yè)務(wù)范圍、用戶范圍及身份認(rèn)證和訪問(wèn)控制要求的不同，將分別建設(shè)為稅務(wù)業(yè)務(wù)專網(wǎng)和稅務(wù)互聯(lián)網(wǎng)用戶服務(wù)的數(shù)字證書(shū)管理系統(tǒng)和密鑰管理系統(tǒng)。1、業(yè)務(wù)專網(wǎng)PKI/CA建設(shè)內(nèi)容業(yè)務(wù)專網(wǎng)證書(shū)認(rèn)證系統(tǒng)PKI/CA和密鑰管理系統(tǒng)KMC為國(guó)家稅務(wù)系統(tǒng)的稅務(wù)業(yè)務(wù)信息網(wǎng)絡(luò)服務(wù)，采用一級(jí)CA和KMC集中管理機(jī)制，證書(shū)管理機(jī)構(gòu)CA和密鑰管理中心KMC設(shè)在總局，由總局管理，負(fù)責(zé)為全系統(tǒng)稅務(wù)人員、設(shè)備和機(jī)構(gòu)簽發(fā)數(shù)字證書(shū)；總局和各省級(jí)稅務(wù)單位建立數(shù)字證書(shū)注冊(cè)機(jī)構(gòu)RA，負(fù)責(zé)為本地區(qū)用戶分發(fā)數(shù)字證書(shū)。2、稅務(wù)互聯(lián)網(wǎng)PKI/CA建設(shè)內(nèi)容稅務(wù)互聯(lián)網(wǎng)數(shù)字證書(shū)管理系統(tǒng)和密鑰管理中心為構(gòu)建在互聯(lián)網(wǎng)上的重點(diǎn)稅源納稅戶和納稅人服務(wù)。作為試點(diǎn)，稅務(wù)互聯(lián)網(wǎng)數(shù)字證書(shū)管理系統(tǒng)和密鑰管理中心設(shè)置為一級(jí)CA和KMC集中管理機(jī)制，進(jìn)行證書(shū)簽發(fā)與管理，證書(shū)撤銷列表的簽發(fā)與管理?？侰A和KMC設(shè)置在北京，負(fù)責(zé)為全網(wǎng)的稅務(wù)用戶簽發(fā)數(shù)字證書(shū)；各省級(jí)地區(qū)設(shè)置RA，負(fù)責(zé)為本地區(qū)的稅務(wù)用戶分發(fā)數(shù)字證書(shū)；總CA和RA均設(shè)有LDAP和OCSP服務(wù)器，總CA根據(jù)需要向各RA的LDAP服務(wù)器和OCSP服務(wù)器發(fā)布所需數(shù)據(jù)。該機(jī)制可根據(jù)試點(diǎn)取得經(jīng)驗(yàn)。證書(shū)管理與發(fā)布的關(guān)系KMC的體系結(jié)構(gòu)同CA體系結(jié)構(gòu)一致，采用一級(jí)、兩類、主備結(jié)構(gòu)設(shè)置。KMC設(shè)置在總局一級(jí)；依據(jù)用戶類型，設(shè)置稅務(wù)業(yè)務(wù)專網(wǎng)KMC和互聯(lián)網(wǎng)KMC；依據(jù)備份要求，設(shè)置總局（北京）KMC和備份（南海）KMC。證書(shū)認(rèn)證與密鑰管理系統(tǒng)的災(zāi)備技術(shù)實(shí)現(xiàn)證書(shū)認(rèn)證與密鑰管理系統(tǒng)的技術(shù)機(jī)制，依據(jù)國(guó)家關(guān)于采用簽名密鑰和加密密鑰的雙證書(shū)機(jī)制以及關(guān)于建設(shè)CA和KMC雙中心機(jī)制的要求，結(jié)合稅務(wù)系統(tǒng)CA的實(shí)際特點(diǎn)，稅務(wù)系統(tǒng)CA和KMC建設(shè)，目前采用統(tǒng)一設(shè)計(jì)、分隔安裝，集中管理的機(jī)制。應(yīng)用效果稅務(wù)安全系統(tǒng)構(gòu)建了涵蓋稅務(wù)系統(tǒng)的網(wǎng)絡(luò)、應(yīng)用和管理等各個(gè)方面的統(tǒng)一、安全、穩(wěn)定、高效的信息安全保障體系，保證各種稅務(wù)業(yè)務(wù)應(yīng)用的安全運(yùn)行，通過(guò)技術(shù)手段實(shí)現(xiàn)稅務(wù)信息系統(tǒng)安全可管理、安全可控制的目標(biāo)，使安全保護(hù)策略貫穿到信息系統(tǒng)的物理環(huán)境、網(wǎng)絡(luò)層、系統(tǒng)層、應(yīng)用層、數(shù)據(jù)庫(kù)和管理體系的各個(gè)層面。實(shí)現(xiàn)全網(wǎng)數(shù)據(jù)的安全保護(hù)；支持征管業(yè)務(wù)、行政管理、外部信息、決策支持等四大應(yīng)用系統(tǒng)的安全需求。建設(shè)證書(shū)認(rèn)證系統(tǒng)，為全國(guó)稅務(wù)系統(tǒng)構(gòu)建了基于先進(jìn)的PKI技術(shù)、在統(tǒng)一根密鑰管理下的稅務(wù)數(shù)字證書(shū)認(rèn)證體系。系統(tǒng)發(fā)放的證書(shū)介質(zhì)為USB-key，證書(shū)發(fā)放到存儲(chǔ)介質(zhì)后，該介質(zhì)內(nèi)存放用戶自身的簽名和加密私鑰，實(shí)現(xiàn)基于用戶終端的安全配置。系統(tǒng)用戶可以使用證書(shū)在權(quán)限系統(tǒng)的支持下按照系統(tǒng)授權(quán)規(guī)則，確保用戶執(zhí)行權(quán)限規(guī)定的動(dòng)作。運(yùn)行管理1、運(yùn)行流程說(shuō)明證書(shū)及介質(zhì)的依照稅務(wù)系統(tǒng)的管理規(guī)定隨稅務(wù)登記證發(fā)放。2、證書(shū)申請(qǐng)參考流程證書(shū)申請(qǐng)流程數(shù)據(jù)錄入：制作證書(shū)所需要的用戶信息由稅務(wù)系統(tǒng)提供，RA錄入人員將用戶數(shù)據(jù)錄入RA系統(tǒng)并提交審核；數(shù)據(jù)審核：RA審核人員依據(jù)相關(guān)證明材料審核錄入員提交的用戶數(shù)據(jù)，決定是否同意為該用戶制發(fā)證書(shū)，提交制卡；制卡：RA制卡員依據(jù)審核員提交的用戶數(shù)據(jù)，同時(shí)為用戶指定證書(shū)存儲(chǔ)介質(zhì)，通過(guò)證書(shū)管理服務(wù)器向CA申請(qǐng)制卡；CA系統(tǒng)依據(jù)證書(shū)管理服務(wù)器轉(zhuǎn)來(lái)的RA請(qǐng)求，提取用戶簽名公鑰為用戶制作簽名證書(shū)，向KMC申請(qǐng)加密密鑰對(duì)，為該用戶制作加密密鑰證書(shū)。通過(guò)證書(shū)管理服務(wù)器向RA安全返回證書(shū)數(shù)據(jù)和加密密鑰對(duì)數(shù)據(jù)，并等待RA系統(tǒng)確認(rèn)；RA制卡員將CA簽發(fā)的簽名/加密證書(shū)信息和由KMC分配的加密私鑰信息寫(xiě)入用戶證書(shū)介質(zhì)，并通過(guò)證書(shū)管理服務(wù)器向CA系統(tǒng)確認(rèn)；CA系統(tǒng)接受確認(rèn)后實(shí)時(shí)向主OCSP發(fā)布證書(shū)狀態(tài)，并定時(shí)向主LDAP發(fā)布證書(shū)，同時(shí)依據(jù)系統(tǒng)策略定時(shí)簽發(fā)CRL并向主LDAP發(fā)送；系統(tǒng)的主OCSP和主LDAP依據(jù)系統(tǒng)策略向各個(gè)從OCSP和從LDAP推送數(shù)據(jù)，以支持應(yīng)用系統(tǒng)；已制完畢的證書(shū)介質(zhì)依照稅務(wù)系統(tǒng)的管理規(guī)定，通過(guò)指定的渠道，隨用戶的稅務(wù)登記證明發(fā)放。7.3.2PMI/AA權(quán)限管理系統(tǒng)建設(shè)規(guī)劃建設(shè)內(nèi)容根據(jù)《金稅工程（三期）項(xiàng)目建議書(shū)》和《金稅工程（三期）可行性研究報(bào)告》的要求，稅務(wù)權(quán)限管理系統(tǒng)建設(shè)的主要內(nèi)容有：1、在國(guó)家稅務(wù)總局建設(shè)稅務(wù)權(quán)限管理總中心，權(quán)限管理總中心能夠制定全局性的資源管理、授權(quán)管理和訪問(wèn)控制策略，對(duì)訪問(wèn)總局機(jī)關(guān)業(yè)務(wù)系統(tǒng)的用戶進(jìn)行授權(quán)，為總局機(jī)關(guān)業(yè)務(wù)系統(tǒng)資源的訪問(wèn)控制提供支撐，并對(duì)省級(jí)權(quán)限管理分中心的授權(quán)和訪問(wèn)控制進(jìn)行管理。2、在71個(gè)省級(jí)國(guó)、地稅局建設(shè)稅務(wù)權(quán)限管理分中心，權(quán)限管理分中心能夠在全局性的策略約束下制定本省業(yè)務(wù)系統(tǒng)的資源管理、授權(quán)管理和訪問(wèn)控制策略，對(duì)訪問(wèn)本省業(yè)務(wù)系統(tǒng)的用戶進(jìn)行授權(quán)，為本地業(yè)務(wù)系統(tǒng)資源的訪問(wèn)控制提供支撐。3、在災(zāi)備中心建設(shè)備份稅務(wù)權(quán)限管理總中心，實(shí)現(xiàn)稅務(wù)權(quán)限管理系統(tǒng)的災(zāi)難備份，確保系統(tǒng)數(shù)據(jù)的安全和關(guān)鍵業(yè)務(wù)的不間斷運(yùn)行。4、建立稅務(wù)信息系統(tǒng)統(tǒng)一的資源管理、權(quán)限管理和訪問(wèn)控制策略和實(shí)現(xiàn)機(jī)制，實(shí)現(xiàn)靈活、安全、高效的授權(quán)管理和訪問(wèn)控制。5、制定稅務(wù)信息系統(tǒng)統(tǒng)一的資源劃分、定義、描述及訪問(wèn)控制決策的規(guī)范，支撐各業(yè)務(wù)系統(tǒng)的安全應(yīng)用。6、制定統(tǒng)一的資源信息發(fā)布和訪問(wèn)控制決策服務(wù)接口規(guī)范，為稅務(wù)業(yè)務(wù)系統(tǒng)提供統(tǒng)一、標(biāo)準(zhǔn)、規(guī)范的安全服務(wù)。技術(shù)實(shí)現(xiàn)1、組成和結(jié)構(gòu)稅務(wù)權(quán)限管理系統(tǒng)在邏輯上包括資源管理子系統(tǒng)、授權(quán)管理子系統(tǒng)、策略管理子系統(tǒng)、屬性證書(shū)管理子系統(tǒng)、訪問(wèn)控制決策子系統(tǒng)、密碼服務(wù)與安全防護(hù)子系統(tǒng)、安全審計(jì)子系統(tǒng)等七部分。為滿足分布式操作的要求，權(quán)限管理系統(tǒng)采用層次化、分布式的結(jié)構(gòu)，整個(gè)系統(tǒng)由兩級(jí)權(quán)限管理機(jī)構(gòu)構(gòu)成，通過(guò)分布式的遠(yuǎn)程權(quán)限管理終端和訪問(wèn)控制決策點(diǎn)的部署，實(shí)現(xiàn)統(tǒng)一策略和機(jī)制下的分布式授權(quán)管理和訪問(wèn)控制。2、系統(tǒng)部署稅務(wù)權(quán)限管理系統(tǒng)按總局權(quán)限管理中心、省級(jí)局權(quán)限管理分中心兩級(jí)部署，并在總局、省級(jí)局各業(yè)務(wù)部門(mén)和地市級(jí)局部署遠(yuǎn)程管理終端，在災(zāi)備中心部署備份權(quán)限管理總中心。應(yīng)用效果通過(guò)建設(shè)權(quán)限管理系統(tǒng)，構(gòu)建稅務(wù)信息系統(tǒng)統(tǒng)一的授權(quán)管理和訪問(wèn)控制決策體系，能夠提高授權(quán)的可管理性，降低授權(quán)管理的復(fù)雜度，提高授權(quán)管理的效率，保障全系統(tǒng)安全策略的一致和完整，同時(shí)降低授權(quán)管理的成本，降低應(yīng)用系統(tǒng)安全開(kāi)發(fā)的成本和復(fù)雜度，縮短應(yīng)用系統(tǒng)開(kāi)發(fā)周期。運(yùn)行管理1、崗位配備根據(jù)稅務(wù)權(quán)限管理系統(tǒng)各級(jí)中心的運(yùn)行管理要求設(shè)置不同的崗位，在稅務(wù)權(quán)限管理總中心、分中心和備份中心及各業(yè)務(wù)部門(mén)，分別配置了超級(jí)管理員、系統(tǒng)管理員、系統(tǒng)管理審核員、業(yè)務(wù)操作員、業(yè)務(wù)審核員和安全審計(jì)員。2、應(yīng)用文檔用戶文檔交由稅務(wù)權(quán)限管理系統(tǒng)的管理和操作人員、應(yīng)用開(kāi)發(fā)人員使用，以便用戶掌握稅務(wù)權(quán)限管理系統(tǒng)的安裝、操作、維護(hù)、管理，使應(yīng)用開(kāi)發(fā)人員掌握權(quán)限管理系統(tǒng)與應(yīng)用系統(tǒng)的接口和基于統(tǒng)一資源管理、統(tǒng)一權(quán)限管理的應(yīng)用安全開(kāi)發(fā)。3、應(yīng)用安全開(kāi)發(fā)流程基于PMI的應(yīng)用安全開(kāi)發(fā)的目標(biāo)是將應(yīng)用系統(tǒng)的權(quán)限交由權(quán)限管理系統(tǒng)進(jìn)行統(tǒng)一的管理，并根據(jù)權(quán)限管理系統(tǒng)通過(guò)應(yīng)用安全支撐提供的權(quán)限和策略信息或訪問(wèn)控制決策結(jié)果，實(shí)現(xiàn)對(duì)信息資源的訪問(wèn)控制。應(yīng)用安全開(kāi)發(fā)流程規(guī)定了基于PMI的應(yīng)用安全開(kāi)發(fā)的過(guò)程。4、權(quán)限遷移流程對(duì)于在建和已經(jīng)投入運(yùn)行的應(yīng)用系統(tǒng)，要將權(quán)限交由權(quán)限管理系統(tǒng)進(jìn)行統(tǒng)一的管理，就涉及到權(quán)限數(shù)據(jù)從應(yīng)用系統(tǒng)到權(quán)限管理系統(tǒng)的遷移。權(quán)限數(shù)據(jù)遷移流程規(guī)定了在建和已經(jīng)投入運(yùn)行的應(yīng)用系統(tǒng)權(quán)限遷移的過(guò)程。5、權(quán)限管理和應(yīng)用流程權(quán)限管理和應(yīng)用的流程如下：在應(yīng)用系統(tǒng)部署完畢、運(yùn)行之前，根據(jù)應(yīng)用系統(tǒng)對(duì)象、權(quán)限、角色和崗位等資源的劃分和定義，由資源管理人員通過(guò)權(quán)限管理終端在權(quán)限管理系統(tǒng)中進(jìn)行資源的定制，并由資源管理審核人員對(duì)定制的資源進(jìn)行審核。在應(yīng)用系統(tǒng)運(yùn)行過(guò)程中，由授權(quán)管理人員通過(guò)權(quán)限管理終端在權(quán)限管理系統(tǒng)中為指定的、已擁有CA發(fā)放的有效證書(shū)的用戶進(jìn)行授權(quán)、權(quán)限更改或撤銷，并由授權(quán)管理審核人員對(duì)用戶的授權(quán)進(jìn)行審核。權(quán)限管理系統(tǒng)定制的資源、授予用戶的權(quán)限通過(guò)審核后，由權(quán)限管理系統(tǒng)簽發(fā)為屬性證書(shū)，發(fā)布，由應(yīng)用安全支撐平臺(tái)根據(jù)應(yīng)用系統(tǒng)的請(qǐng)求查詢、獲取、驗(yàn)證后用于對(duì)信息資源的訪問(wèn)控制。6、系統(tǒng)維護(hù)稅務(wù)權(quán)限管理系統(tǒng)的維護(hù)主要涉及硬件設(shè)備的維護(hù)和軟件維護(hù)。7、數(shù)據(jù)備份和恢復(fù)稅務(wù)權(quán)限管理系統(tǒng)存放著大量的資源、權(quán)限、策略、屬性證書(shū)及證書(shū)管理的相關(guān)數(shù)據(jù)，在系統(tǒng)運(yùn)行中，若這些數(shù)據(jù)丟失或損壞，將給整個(gè)系統(tǒng)帶來(lái)不可估量的損失。為了避免數(shù)據(jù)損壞或丟失造成的損失，采取安全、有效的數(shù)據(jù)庫(kù)備份措施是十分必要的。稅務(wù)權(quán)限管理系統(tǒng)數(shù)據(jù)備份和恢復(fù)的對(duì)象主要是密鑰、系統(tǒng)配置數(shù)據(jù)和各類數(shù)據(jù)庫(kù)。備份的方式有人工備份、磁盤(pán)陣列備份等。數(shù)據(jù)備份遵循規(guī)定的策略。8、安全管理認(rèn)真執(zhí)行有關(guān)的安全管理制度和規(guī)定，包括出入檢查規(guī)定、人員職責(zé)規(guī)定、操作規(guī)范、記錄審計(jì)制度等。9、應(yīng)急處理根據(jù)制訂的應(yīng)急處理制度和預(yù)案，建立應(yīng)急處理機(jī)制，并突發(fā)事件做出及時(shí)的響應(yīng)和處理。10、人員培訓(xùn)對(duì)系統(tǒng)管理人員進(jìn)行培訓(xùn)，使其了解系統(tǒng)原理、維護(hù)系統(tǒng)運(yùn)行、解決常見(jiàn)的系統(tǒng)故障；對(duì)有關(guān)信息系統(tǒng)開(kāi)發(fā)人員進(jìn)行培訓(xùn)，使其掌握在系統(tǒng)中嵌入安全模塊和如何制定安全管理策略，以達(dá)到安全規(guī)范要求。7.3.3應(yīng)用安全支撐平臺(tái)建設(shè)規(guī)劃建設(shè)內(nèi)容在總局、災(zāi)備中心和各省級(jí)國(guó)地稅局部署應(yīng)用安全支持平臺(tái)，部署總量為75套。技術(shù)實(shí)現(xiàn)應(yīng)用安全支撐平臺(tái)是建立在安全支撐平臺(tái)上的安全服務(wù)體系，由安全中間件、安全客戶端、安全WEB門(mén)戶、安全電子郵件、安全文件傳輸(ftp)系統(tǒng)等組成?？傮w結(jié)構(gòu)如下：應(yīng)用安全支撐平臺(tái)邏輯結(jié)構(gòu)應(yīng)用效果遵循稅務(wù)系統(tǒng)現(xiàn)有應(yīng)用系統(tǒng)平臺(tái)和金稅工程（三期）應(yīng)用系統(tǒng)平臺(tái)的配置，利用安全應(yīng)用支撐平臺(tái)提供的安全插件、安全服務(wù)模塊和安全中間件技術(shù)，實(shí)現(xiàn)應(yīng)用系統(tǒng)以下安全應(yīng)用：1、身份認(rèn)證實(shí)現(xiàn)以PKI/CA數(shù)字證書(shū)為基礎(chǔ)的身份認(rèn)證，對(duì)所有入網(wǎng)用戶進(jìn)行統(tǒng)一的接入認(rèn)證。確保業(yè)務(wù)處理過(guò)程中用戶及其訪問(wèn)的應(yīng)用系統(tǒng)身份的真實(shí)性。2、權(quán)限控制實(shí)現(xiàn)PMI/AA權(quán)限管理為基礎(chǔ)的統(tǒng)一授權(quán)訪問(wèn)控制。3、數(shù)字簽名與簽名驗(yàn)證提供統(tǒng)一的標(biāo)準(zhǔn)接口，實(shí)現(xiàn)基于1024位RSA算法的數(shù)字簽名和簽名驗(yàn)證，保證重要數(shù)據(jù)的防篡改和防抵賴，解決數(shù)據(jù)真實(shí)性需求。4、數(shù)據(jù)和代碼的完整性驗(yàn)證提供統(tǒng)一的標(biāo)準(zhǔn)接口，實(shí)現(xiàn)基于MAC算法的數(shù)據(jù)密押和驗(yàn)證，保證重要數(shù)據(jù)的完整性和可信性。5、數(shù)據(jù)加密與解密采用國(guó)家密碼管理委員會(huì)批準(zhǔn)的對(duì)稱加密算法對(duì)數(shù)據(jù)進(jìn)行加密和解密,保證數(shù)據(jù)在傳輸和存儲(chǔ)過(guò)程中的安全。利用PKI技術(shù)，采用標(biāo)準(zhǔn)數(shù)字信封的方式，實(shí)現(xiàn)文件的加密存儲(chǔ)，做到只有持有對(duì)應(yīng)數(shù)字證書(shū)的私鑰者，才能調(diào)出并驗(yàn)證、閱讀文件；同時(shí)稅務(wù)系統(tǒng)的密鑰管理中心提供數(shù)據(jù)加密密鑰對(duì)恢復(fù)服務(wù)，保證已加密數(shù)據(jù)的無(wú)障礙恢復(fù)。6、安全電子郵件實(shí)現(xiàn)以outlook、outLookexpress為基礎(chǔ)的安全電子郵件功能，對(duì)重要郵件進(jìn)行加密和簽名，保證郵件安全。7、安全信息交換和傳輸面向外聯(lián)網(wǎng)，通過(guò)安全ftp或VPN，與業(yè)務(wù)合作部門(mén)實(shí)現(xiàn)信息和數(shù)據(jù)資源的安全交換。數(shù)據(jù)交換的雙方通過(guò)雙向身份認(rèn)證，以確定對(duì)方的身份，保證身份的真實(shí)性。對(duì)傳輸?shù)闹匾獢?shù)據(jù)可以進(jìn)行加密和數(shù)字簽名，保證數(shù)據(jù)傳輸安全。8、時(shí)間戳服務(wù)利用標(biāo)準(zhǔn)的時(shí)間戳服務(wù)器提供的應(yīng)用開(kāi)發(fā)接口，將時(shí)間戳模塊接入安全中間件系統(tǒng)和安全客戶端套件，為應(yīng)用系統(tǒng)提供時(shí)間戳服務(wù)，統(tǒng)一、同步應(yīng)用系統(tǒng)各類設(shè)備的標(biāo)準(zhǔn)時(shí)間。利用PKI技術(shù)，對(duì)通信過(guò)程中的有效時(shí)間和相關(guān)報(bào)頭信息，加蓋電子簽章，形成安全時(shí)間戳，確保時(shí)間的準(zhǔn)確、真實(shí)。9、安全事件審計(jì)提供安全登錄事件、安全訪問(wèn)控制事件和安全行為事件的審計(jì),實(shí)現(xiàn)與安全管理平臺(tái)的接口，收集應(yīng)用系統(tǒng)的安全審計(jì)信息、按照一定的安全策略產(chǎn)生安全應(yīng)用支撐平臺(tái)自身的審計(jì)信息，按安全管理平臺(tái)的要求提交，供安全管理平臺(tái)進(jìn)行審計(jì)分析和處理。運(yùn)行管理應(yīng)用安全支撐平臺(tái)的運(yùn)行維護(hù)管理可參照總體運(yùn)行維護(hù)體系執(zhí)行。本節(jié)僅列出應(yīng)用安全支撐平臺(tái)運(yùn)行維護(hù)管理的有關(guān)內(nèi)容。1、崗位配備要求由于應(yīng)用安全支撐平臺(tái)面向應(yīng)用、面向用戶，涉及面廣，需要對(duì)服務(wù)器端進(jìn)行配置管理和運(yùn)行維護(hù)，同時(shí)需要建立完善的技術(shù)支持網(wǎng)絡(luò)，為廣大用戶提供技術(shù)支持?？偩衷O(shè)置應(yīng)用安全支撐平臺(tái)管理員3名(可與其它系統(tǒng)合并考慮),其職責(zé)是：應(yīng)用安全支撐平臺(tái)各服務(wù)器的配置管理；應(yīng)用安全支撐平臺(tái)各服務(wù)器運(yùn)行維護(hù)管理；對(duì)各省級(jí)局管理員提供技術(shù)支持；安全客戶端技術(shù)咨詢。災(zāi)備中心設(shè)置應(yīng)用安全支撐平臺(tái)管理員1—2名(可與其它系統(tǒng)合并考慮),其職責(zé)是：應(yīng)用安全支撐平臺(tái)各服務(wù)器的配置管理；應(yīng)用安全支撐平臺(tái)各服務(wù)器運(yùn)行維護(hù)管理.省級(jí)局設(shè)置應(yīng)用安全支撐平臺(tái)管理員2名(可與其它系統(tǒng)合并考慮),其職責(zé)是：應(yīng)用安全支撐平臺(tái)各服務(wù)器的配置管理；應(yīng)用安全支撐平臺(tái)各服務(wù)器運(yùn)行維護(hù)管理；安全客戶端技術(shù)咨詢。地市和區(qū)縣局設(shè)置1至2名技術(shù)支持人員(可與其它系統(tǒng)合并考慮)，負(fù)責(zé)為本地區(qū)稅務(wù)系統(tǒng)工作人員或納稅戶在使用USB-Key過(guò)程中出現(xiàn)的問(wèn)題提供技術(shù)支持，保證用戶正常使用。2、認(rèn)證服務(wù)器配置和運(yùn)行管理認(rèn)證服務(wù)器應(yīng)按要求進(jìn)行參數(shù)配置,通過(guò)認(rèn)證服務(wù)器管理終端軟件，對(duì)認(rèn)證服務(wù)器進(jìn)行實(shí)時(shí)監(jiān)控，查看運(yùn)行日志，了解認(rèn)證服務(wù)器的運(yùn)行狀態(tài)。3、認(rèn)證服務(wù)器密鑰備份和恢復(fù)管理在系統(tǒng)啟動(dòng)初期或更新服務(wù)器密鑰之后，每套認(rèn)證服務(wù)器應(yīng)使用4個(gè)USB-Key對(duì)PCI密卡上的密鑰進(jìn)行備份，2個(gè)USB-Key由本數(shù)據(jù)中心保存，另兩個(gè)送災(zāi)備中心保存。4、認(rèn)證服務(wù)器安全管理對(duì)認(rèn)證服務(wù)器審計(jì)信息、報(bào)警信息進(jìn)行監(jiān)測(cè)和統(tǒng)計(jì)，生成日?qǐng)?bào)表、周報(bào)表和月報(bào)表。對(duì)出現(xiàn)的非法操作事件(如身份認(rèn)證錯(cuò)誤、簽名驗(yàn)證錯(cuò)誤等)要及時(shí)上報(bào)。5、認(rèn)證服務(wù)器數(shù)據(jù)備份認(rèn)證服務(wù)器上的數(shù)據(jù)庫(kù)中的唯一數(shù)據(jù)是系統(tǒng)自身的審計(jì)信息，采用定時(shí)備份的方式，將數(shù)據(jù)庫(kù)中的數(shù)據(jù)備份到存儲(chǔ)介質(zhì)。根據(jù)磁盤(pán)空間大小，確定保留信息的天數(shù)，通過(guò)配置，由系統(tǒng)自動(dòng)刪除過(guò)期數(shù)據(jù)，以保證系統(tǒng)正常運(yùn)行。6、安全ftp服務(wù)器和安全WEB門(mén)戶運(yùn)行管理對(duì)ftp服務(wù)器資源進(jìn)行訪問(wèn)權(quán)限配置，對(duì)用戶進(jìn)行授權(quán)管理，對(duì)ftp服務(wù)器中的數(shù)據(jù)進(jìn)行定期備份和清理。7.3.4網(wǎng)絡(luò)安全防護(hù)系統(tǒng)建設(shè)規(guī)劃建設(shè)內(nèi)容（1）采用防火墻、入侵檢測(cè)系統(tǒng)等技術(shù)構(gòu)建的統(tǒng)一稅務(wù)安全域屏障。實(shí)施范圍包括國(guó)稅總局、省級(jí)稅務(wù)局、地市級(jí)國(guó)稅局和縣級(jí)國(guó)稅局。既包括稅務(wù)節(jié)點(diǎn)局域網(wǎng)的安全保護(hù)，也包括節(jié)點(diǎn)內(nèi)數(shù)據(jù)中心的安全保護(hù)。從而解決了目前稅務(wù)節(jié)點(diǎn)網(wǎng)絡(luò)缺乏基本安全保護(hù)的問(wèn)題。（2）構(gòu)建包括防病毒網(wǎng)關(guān)、服務(wù)器、桌面機(jī)在內(nèi)的完整、統(tǒng)一的防病毒體系。實(shí)施范圍覆蓋整個(gè)稅務(wù)系統(tǒng)。解決對(duì)稅務(wù)系統(tǒng)網(wǎng)絡(luò)安全威脅最大的病毒防范問(wèn)題。（3）通過(guò)部署廣域網(wǎng)IP加密機(jī)構(gòu)建廣域網(wǎng)安全通道。實(shí)施范圍包括國(guó)稅總局、省級(jí)稅務(wù)局和地市級(jí)國(guó)稅局。解決目前稅務(wù)業(yè)務(wù)專網(wǎng)缺乏基本傳輸安全保護(hù)的問(wèn)題。技術(shù)實(shí)現(xiàn)網(wǎng)絡(luò)防護(hù)系統(tǒng)采用入侵檢測(cè)、漏洞掃描、病毒防治、防火墻、安全虛擬專網(wǎng)等成熟技術(shù)，利用物理環(huán)境保護(hù)、邊界保護(hù)、系統(tǒng)加固、節(jié)點(diǎn)數(shù)據(jù)保護(hù)、數(shù)據(jù)傳輸保護(hù)等手段，通過(guò)對(duì)網(wǎng)絡(luò)和系統(tǒng)安全防護(hù)的統(tǒng)一設(shè)計(jì)和統(tǒng)一配置，實(shí)現(xiàn)全系統(tǒng)高效、可靠的網(wǎng)絡(luò)安全防護(hù)。網(wǎng)絡(luò)安全防護(hù)系統(tǒng)提供稅務(wù)業(yè)務(wù)專網(wǎng)的基礎(chǔ)防護(hù)。安全防護(hù)的重點(diǎn)是金稅工程（三期）網(wǎng)絡(luò)安全防護(hù)和包括新建數(shù)據(jù)中心的省級(jí)稅務(wù)節(jié)點(diǎn)局域網(wǎng)的基礎(chǔ)防護(hù)。也對(duì)地市縣級(jí)國(guó)稅局進(jìn)行了基本安全防護(hù)。網(wǎng)絡(luò)安全防護(hù)系統(tǒng)還涉及到其它一些系統(tǒng)的基礎(chǔ)安全防護(hù)，分別在各個(gè)系統(tǒng)的建設(shè)中考慮。這些系統(tǒng)包括：災(zāi)備中心、PKI/CA系統(tǒng)、PMI/AA系統(tǒng)、安全管理中心等?；A(chǔ)網(wǎng)絡(luò)防護(hù)包括安全域邊界防護(hù)、網(wǎng)間安全防護(hù)和安全域內(nèi)部防護(hù)。其中涉及與安全管理密切相關(guān)的內(nèi)部安全審計(jì)和內(nèi)網(wǎng)管理與控制部分歸入安全管理與控制平臺(tái)考慮。基礎(chǔ)防護(hù)設(shè)計(jì)的依據(jù)是金稅工程（三期）網(wǎng)絡(luò)規(guī)劃：包括統(tǒng)一設(shè)計(jì)的廣域網(wǎng)和局域網(wǎng)數(shù)據(jù)中心。也包括非統(tǒng)一設(shè)計(jì)的橫向網(wǎng)絡(luò)接口和局域網(wǎng)的其余部分。1、總局和南海數(shù)據(jù)中心節(jié)點(diǎn)配置根據(jù)金稅工程（三期）的數(shù)據(jù)集中處理規(guī)劃，總局與省級(jí)稅務(wù)網(wǎng)絡(luò)是業(yè)務(wù)建設(shè)的重點(diǎn)，也是安全保護(hù)的重點(diǎn)。分別配置如下：（1）防火墻：國(guó)稅總局和南海數(shù)據(jù)中心廣域網(wǎng)接口各配置2臺(tái)萬(wàn)兆防火墻，對(duì)數(shù)據(jù)中心的廣域網(wǎng)網(wǎng)絡(luò)邊界進(jìn)行保護(hù)；內(nèi)部服務(wù)區(qū)各配置1臺(tái)百兆防火墻，對(duì)內(nèi)部服務(wù)區(qū)網(wǎng)絡(luò)邊界進(jìn)行保護(hù)；與互聯(lián)網(wǎng)接口各配置1臺(tái)千兆防火墻，1臺(tái)百兆防火墻，限制外來(lái)入侵風(fēng)險(xiǎn)；與橫向業(yè)務(wù)單位的橫向網(wǎng)絡(luò)連接接口2臺(tái)百兆防火墻。（2）入侵檢測(cè)系統(tǒng)：在國(guó)稅總局?jǐn)?shù)據(jù)中心和南海災(zāi)備中心的核心路由器之間配置4臺(tái)SDH寬帶密碼機(jī)，保護(hù)國(guó)稅總局和南海災(zāi)備中心之間的2.5G線路；在內(nèi)部服務(wù)區(qū)交換機(jī)配置1臺(tái)百兆IDS，監(jiān)視內(nèi)部服務(wù)區(qū)安全環(huán)境；在互聯(lián)網(wǎng)對(duì)外服務(wù)區(qū)接口交換機(jī)配置1臺(tái)千兆IDS，監(jiān)視互聯(lián)網(wǎng)引入的安全威脅；在橫向外聯(lián)服務(wù)器接口交換機(jī)配置1臺(tái)百兆IDS，監(jiān)視外聯(lián)網(wǎng)引入的安全威脅；在數(shù)據(jù)中心數(shù)據(jù)庫(kù)服務(wù)器接口交換機(jī)配置兩臺(tái)百兆IDS，監(jiān)視數(shù)據(jù)庫(kù)服務(wù)區(qū)安全環(huán)境。（3）密碼機(jī)：在國(guó)稅總局?jǐn)?shù)據(jù)中心和南海災(zāi)備中心的核心路由器之間配置4臺(tái)SDH寬帶密碼機(jī)，保護(hù)國(guó)稅總局和南海災(zāi)備中心之間的2.5G線路；在國(guó)稅總局?jǐn)?shù)據(jù)中心和南海災(zāi)備中心的核心路由器與核心交換機(jī)之間各配置2臺(tái)萬(wàn)兆IP密碼機(jī)，保護(hù)國(guó)稅總局?jǐn)?shù)據(jù)中心和南海災(zāi)備中心與各地的廣域網(wǎng)線路；在國(guó)稅總局?jǐn)?shù)據(jù)中心和南海災(zāi)備中心內(nèi)網(wǎng)入口處的配置1臺(tái)百兆密碼機(jī)和移動(dòng)終端配置的USB密碼器配合使用來(lái)實(shí)現(xiàn)移動(dòng)安全接入?？偩志W(wǎng)絡(luò)安全系統(tǒng)配置示意圖2、省級(jí)國(guó)稅局和省級(jí)地稅局?jǐn)?shù)據(jù)中心節(jié)點(diǎn)配置（1）防火墻：數(shù)據(jù)中心網(wǎng)絡(luò)接口各配置2臺(tái)千兆防火墻，對(duì)數(shù)據(jù)中心的廣域網(wǎng)網(wǎng)絡(luò)邊界進(jìn)行保護(hù)；內(nèi)部服務(wù)區(qū)各配置1臺(tái)百兆防火墻，對(duì)內(nèi)部服務(wù)區(qū)網(wǎng)絡(luò)邊界進(jìn)行保護(hù)。（2）入侵檢測(cè)系統(tǒng)：與互聯(lián)網(wǎng)接口各配置1臺(tái)千兆防火墻，1臺(tái)百兆防火墻，限制外來(lái)入侵風(fēng)險(xiǎn)。與橫向業(yè)務(wù)單位的橫向網(wǎng)絡(luò)連接接口2臺(tái)百兆防火墻。在省級(jí)稅務(wù)局局域網(wǎng)廣域網(wǎng)接口交換機(jī)配置2臺(tái)千兆IDS，監(jiān)視廣域網(wǎng)接口的安全環(huán)境；在內(nèi)部服務(wù)區(qū)交換機(jī)配置1臺(tái)百兆IDS，監(jiān)視內(nèi)部服務(wù)區(qū)安全環(huán)境；在互聯(lián)網(wǎng)對(duì)外服務(wù)區(qū)接口交換機(jī)配置1臺(tái)千兆IDS，監(jiān)視互聯(lián)網(wǎng)引入的安全威脅；在橫向外聯(lián)服務(wù)器接口交換機(jī)配置1臺(tái)百兆IDS，監(jiān)視外聯(lián)網(wǎng)引入的安全威脅；在數(shù)據(jù)中心數(shù)據(jù)庫(kù)服務(wù)器接口交換機(jī)配置兩臺(tái)百兆IDS，監(jiān)視數(shù)據(jù)庫(kù)服務(wù)區(qū)安全環(huán)境。（3）密碼機(jī)：在省級(jí)國(guó)稅局和省級(jí)地稅局的核心路由器與核心交換機(jī)之間各配置2臺(tái)千兆IP密碼機(jī)，保護(hù)省級(jí)國(guó)稅局和省級(jí)地稅局?jǐn)?shù)據(jù)中心與各地的廣域網(wǎng)線路；在省級(jí)國(guó)稅局和省級(jí)地稅局的內(nèi)網(wǎng)入口處的配置1臺(tái)百兆密碼機(jī)和移動(dòng)終端配置的USB密碼器配合使用來(lái)實(shí)現(xiàn)移動(dòng)安全接入。省局網(wǎng)絡(luò)安全系統(tǒng)配置示意圖3、地市級(jí)國(guó)稅局節(jié)點(diǎn)配置廣域網(wǎng)接口配置2臺(tái)千兆防火墻；對(duì)地市級(jí)國(guó)稅局節(jié)點(diǎn)的廣域網(wǎng)網(wǎng)絡(luò)邊界進(jìn)行保護(hù)；在地市級(jí)國(guó)稅局的核心路由器與核心交換機(jī)之間配置2臺(tái)千兆IP密碼機(jī)，保護(hù)地市級(jí)國(guó)稅局與各地的廣域網(wǎng)線路；在地市級(jí)國(guó)稅局局域網(wǎng)廣域網(wǎng)接口交換機(jī)配置2臺(tái)千兆IDS，監(jiān)視廣域網(wǎng)接口的安全環(huán)境。地市網(wǎng)絡(luò)安全系統(tǒng)配置示意圖4、區(qū)縣級(jí)國(guó)稅局節(jié)點(diǎn)配置區(qū)縣級(jí)國(guó)稅局節(jié)點(diǎn)的廣域網(wǎng)接口處配置1臺(tái)百兆防火墻，對(duì)區(qū)縣級(jí)國(guó)稅局節(jié)點(diǎn)廣域網(wǎng)網(wǎng)絡(luò)邊界進(jìn)行保護(hù)。區(qū)縣網(wǎng)絡(luò)安全系統(tǒng)配置示意圖5、網(wǎng)上涉稅系統(tǒng)安全接入方案設(shè)想（1）網(wǎng)絡(luò)運(yùn)營(yíng)商VPN接入根據(jù)稅務(wù)互聯(lián)網(wǎng)上涉稅業(yè)務(wù)現(xiàn)狀與建設(shè)目標(biāo)要求，結(jié)合網(wǎng)絡(luò)運(yùn)營(yíng)商VPDN業(yè)務(wù)，建設(shè)基于VPDN的網(wǎng)上涉稅安全接入系統(tǒng)。系統(tǒng)由網(wǎng)絡(luò)中心平臺(tái)、業(yè)務(wù)系統(tǒng)和網(wǎng)上接入三個(gè)子系統(tǒng)組成，其中：VPDN網(wǎng)絡(luò)中心平臺(tái)負(fù)責(zé)在二次認(rèn)證后，提供涉稅用戶與稅務(wù)內(nèi)部網(wǎng)VPDN通道的建立；VPDN業(yè)務(wù)系統(tǒng)完成用戶接入認(rèn)證、用戶管理以及計(jì)費(fèi)等功能；接入子系統(tǒng)完成用戶的接入，方式包括：寬帶、窄帶、專線與其它運(yùn)營(yíng)商提供的接入等，寬帶通過(guò)用戶名綁定的方式完成接入，窄帶通過(guò)專門(mén)的特服號(hào)來(lái)完成接入，專線和其它運(yùn)營(yíng)商的接入通過(guò)專業(yè)VPN撥號(hào)軟件來(lái)實(shí)現(xiàn)接入。VPDN網(wǎng)絡(luò)中心平臺(tái)的二次身份認(rèn)證采用稅務(wù)互聯(lián)網(wǎng)CA。（2）稅務(wù)系統(tǒng)自建VPN接入根據(jù)稅務(wù)網(wǎng)上涉稅業(yè)務(wù)現(xiàn)狀與建設(shè)目標(biāo)要求，建設(shè)基于稅務(wù)系統(tǒng)自建VPN接入的網(wǎng)上涉稅系統(tǒng)。系統(tǒng)采用基于CA認(rèn)證的SSL(SecureSocketLayer)技術(shù)實(shí)現(xiàn)用戶數(shù)據(jù)傳輸過(guò)程的安全保護(hù)，并要求SSL連接必須采用雙向認(rèn)證。系統(tǒng)采用安全認(rèn)證和安全控制網(wǎng)關(guān)實(shí)現(xiàn)安全接入。網(wǎng)上涉稅系統(tǒng)主要由用戶申報(bào)客戶端、業(yè)務(wù)受理平臺(tái)（網(wǎng)上辦稅業(yè)務(wù)服務(wù)器與數(shù)據(jù)庫(kù)）、業(yè)務(wù)處理平臺(tái)（后臺(tái)征管業(yè)務(wù)服務(wù)器系統(tǒng)）三部分組成。安全保障的主要設(shè)施有稅務(wù)互聯(lián)網(wǎng)CA、安全域的隔離與訪問(wèn)控制設(shè)備組成。應(yīng)用效果（1）網(wǎng)絡(luò)安全防火系統(tǒng)首先要解決面向金稅工程（三期）的局域網(wǎng)安全。在完成金稅工程（三期）建設(shè)后，數(shù)據(jù)將主要集中在總局和省級(jí)局兩級(jí)。同時(shí)，各級(jí)局域網(wǎng)具有了防止非法入侵的能力和鑒別通信對(duì)象的能力。（2）解決面向金稅工程（三期）的網(wǎng)絡(luò)邊界安全防護(hù)，根據(jù)金稅工程（三期）的網(wǎng)絡(luò)特點(diǎn)，合理地配置防火墻、網(wǎng)絡(luò)級(jí)入侵檢測(cè)系統(tǒng)等網(wǎng)絡(luò)邊界防護(hù)設(shè)備，防止非法入侵，確保網(wǎng)絡(luò)安全。（3）解決面向金稅工程（三期）的網(wǎng)絡(luò)傳輸安全。稅務(wù)金稅工程（三期）網(wǎng)絡(luò)基于雙星拓?fù)浣Y(jié)構(gòu)，由于數(shù)據(jù)集中和稅收業(yè)務(wù)網(wǎng)絡(luò)化操作的不斷增加，網(wǎng)上的通訊業(yè)務(wù)也隨之大量增加，視網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計(jì)分別選用網(wǎng)絡(luò)傳輸加密方式或通過(guò)PKI基礎(chǔ)平臺(tái)和安全應(yīng)用支撐平臺(tái)，來(lái)保證各類稅務(wù)數(shù)據(jù)在網(wǎng)絡(luò)傳輸過(guò)程中的安全。（4）解決對(duì)操作系統(tǒng)的加固和數(shù)據(jù)庫(kù)的安全分析，防范和避免操作系統(tǒng)、數(shù)據(jù)庫(kù)管理系統(tǒng)等存在的風(fēng)險(xiǎn)。運(yùn)行管理網(wǎng)絡(luò)安全防護(hù)系統(tǒng)能夠有效提高網(wǎng)絡(luò)自身的安全性，但由于安全防護(hù)是一個(gè)實(shí)時(shí)、動(dòng)態(tài)的過(guò)程，有大量的工作需要由系統(tǒng)管理員來(lái)參與完成，因此各系統(tǒng)的日常操作、維護(hù)顯得尤為重要，為此，需要制定配套的系統(tǒng)運(yùn)行管理制度和相應(yīng)的安全管理報(bào)告制度，明確了運(yùn)行維護(hù)人員的職責(zé)，以及日常維護(hù)和安全系統(tǒng)使用過(guò)程中的主要工作內(nèi)容及注意事項(xiàng)，確保系統(tǒng)的正常運(yùn)行。包括設(shè)備安全管理制度、安全管理報(bào)告制度。7.3.5安全管理平臺(tái)建設(shè)規(guī)劃建設(shè)內(nèi)容安全管理平臺(tái)建設(shè)內(nèi)容包括在國(guó)家稅務(wù)總局和省級(jí)局域網(wǎng)建設(shè)兩級(jí)安全管理平臺(tái)，并在國(guó)稅地市級(jí)局域網(wǎng)絡(luò)建設(shè)管理平臺(tái)代理點(diǎn)，提供覆蓋總局到國(guó)稅省局、地市局、區(qū)縣局以及地稅省局的安全管理技術(shù)保障平臺(tái)?？偩职踩芾碇行慕ㄔO(shè)密鑰管理系統(tǒng)，備份安全管理中心建設(shè)備份密鑰管理系統(tǒng)，專門(mén)用于對(duì)網(wǎng)絡(luò)密碼設(shè)備的密鑰管理。具體建設(shè)內(nèi)容如下：（1）在總局安全管理中心建設(shè)總局安全管理平臺(tái)，提供信息安全策略管理、重要網(wǎng)絡(luò)安全事件數(shù)據(jù)集中管理與審計(jì)、總局局域網(wǎng)安全管理；（2）在總局安全管理中心建設(shè)密鑰管理系統(tǒng)，提供稅務(wù)信息網(wǎng)絡(luò)密碼設(shè)備的密鑰生成、分發(fā)、備份、銷毀等管理；（3）在災(zāi)備安全管理中心建設(shè)總局安全管理平臺(tái)備份系統(tǒng)，與總局安全管理中心互為數(shù)據(jù)備份，在必要時(shí)可替代總局安全管理中心執(zhí)行管理；（4）在災(zāi)備安全管理中心建設(shè)備份密鑰管理系統(tǒng)，總局安全管理中心互為數(shù)據(jù)備份，在必要時(shí)可替代總局安全管理中心執(zhí)行管理；（5）在71個(gè)省級(jí)國(guó)、地稅局安全管理分中心建設(shè)省局安全管理分中心，接受總局安全管理中心的策略指導(dǎo)，執(zhí)行省級(jí)局域網(wǎng)（包括下級(jí)網(wǎng)絡(luò)）信息安全策略管理、重要網(wǎng)絡(luò)安全事件數(shù)據(jù)集中管理與審計(jì)、與總局安全管理中心交換重要網(wǎng)絡(luò)安全事件；（6）在412個(gè)地市級(jí)國(guó)稅網(wǎng)絡(luò)部署安全管理代理點(diǎn)，在安全管理分中心的策略指導(dǎo)下，完成地市級(jí)以下局域網(wǎng)絡(luò)的安全管理，重要網(wǎng)絡(luò)安全事件的篩選、審計(jì)與上報(bào)；（7）在總局、省局、地市局各局域網(wǎng)中安全管理目標(biāo)安裝管理代理引擎，與管理中心/管理代理配合，執(zhí)行對(duì)目標(biāo)的管理任務(wù)；（8）制定統(tǒng)一的安全管理平臺(tái)管理接口規(guī)范，為稅務(wù)安全管理目標(biāo)的接入管理提供統(tǒng)一、標(biāo)準(zhǔn)、規(guī)范的接口服務(wù)。技術(shù)實(shí)現(xiàn)安全管理平臺(tái)通過(guò)策略統(tǒng)一建模、形式化語(yǔ)言翻譯技術(shù)、信息融合技術(shù)、網(wǎng)絡(luò)管理技術(shù)、內(nèi)網(wǎng)監(jiān)管等多項(xiàng)先進(jìn)技術(shù)手段，采用兩級(jí)集中管理的體系結(jié)構(gòu)設(shè)計(jì)，結(jié)合分布在各個(gè)管理域的管理代理，提供開(kāi)放性的管理接口，為稅務(wù)信息系統(tǒng)提供一套可綜合管理整個(gè)網(wǎng)絡(luò)安全的一體化和開(kāi)放性的管理控制平臺(tái)，充分發(fā)揮已有安全產(chǎn)品的潛力，為稅務(wù)信息網(wǎng)絡(luò)建立一個(gè)具有全局性的網(wǎng)絡(luò)安全處理、防御、響應(yīng)的綜合平臺(tái)，充分發(fā)揮網(wǎng)絡(luò)安全防護(hù)系統(tǒng)的整體效能。1、組成和結(jié)構(gòu)安全管理平臺(tái)由管理接口子系統(tǒng)、策略管理子系統(tǒng)、數(shù)據(jù)審計(jì)分析子系統(tǒng)、內(nèi)網(wǎng)資源監(jiān)控子系統(tǒng)、管理輸出子系統(tǒng)、數(shù)據(jù)庫(kù)管理子系統(tǒng)、安全控制子系統(tǒng)七部分組成。在總局安全管理中心部署密鑰管理系統(tǒng)，負(fù)責(zé)網(wǎng)絡(luò)密碼設(shè)備的密鑰管理。2、系統(tǒng)功能安全管理平臺(tái)通過(guò)分布式體系結(jié)構(gòu)設(shè)計(jì)，提供對(duì)稅務(wù)信息網(wǎng)絡(luò)中的安全設(shè)備、重要應(yīng)用、網(wǎng)絡(luò)密碼設(shè)備、內(nèi)部網(wǎng)絡(luò)安全實(shí)施統(tǒng)一管理、統(tǒng)一監(jiān)控、統(tǒng)一審計(jì)、協(xié)同防護(hù)，以充分發(fā)揮各種網(wǎng)絡(luò)安全設(shè)備的作用，提高網(wǎng)絡(luò)安全防護(hù)的等級(jí)和水平。3、系統(tǒng)部署安全管理平臺(tái)采用兩級(jí)數(shù)據(jù)集中模式，在總局及各省局的安全管理中心配置兩級(jí)安全管理平臺(tái)，為滿足地市級(jí)安全管理需要，在地市級(jí)國(guó)稅網(wǎng)絡(luò)中配置安全管理代理點(diǎn)，在總局和省局安全管理平臺(tái)的策略指導(dǎo)下，完成地市級(jí)國(guó)稅網(wǎng)絡(luò)中的信息安全管理。應(yīng)用效果通過(guò)安全管理平臺(tái)的實(shí)施和部署，提升了稅務(wù)信息安全的整體水平，主要表現(xiàn)在：解決了信息安全的集中監(jiān)控管理，消除了信息安全管理的“孤島問(wèn)題”。稅務(wù)信息系統(tǒng)中的各類安全防護(hù)設(shè)備及安全措施各自為政，缺乏統(tǒng)一的策略體系，各安全系統(tǒng)之間信息不能共享，極大地降低了安全防護(hù)效能。安全管理平臺(tái)將網(wǎng)絡(luò)安全防護(hù)系統(tǒng)及安全措施的各個(gè)層面納入統(tǒng)一的管理范疇，實(shí)現(xiàn)策略與資源共享，增強(qiáng)了安全防護(hù)體系協(xié)同作戰(zhàn)的能力；降低安全管理的工作量，提升管理效能。網(wǎng)絡(luò)安全防護(hù)設(shè)備和各層面的安全措施分布廣泛，系統(tǒng)的配置、監(jiān)控和管理工作量大，在人員配備有限的情況下，很難實(shí)現(xiàn)有效的管理。通過(guò)管理平臺(tái)的集中管理技術(shù)手段，通過(guò)統(tǒng)一的平臺(tái)界面對(duì)網(wǎng)絡(luò)安全進(jìn)行策略管理、事件分析等，使管理員方便快捷地獲得網(wǎng)絡(luò)整體安全狀態(tài)；提升網(wǎng)絡(luò)整體安全性能。基于信息安全的“木桶原理”，任何層面的安全風(fēng)險(xiǎn)勢(shì)必影響整個(gè)系統(tǒng)的安全，通過(guò)管理平臺(tái)的集中管理，實(shí)現(xiàn)網(wǎng)絡(luò)安全的動(dòng)態(tài)響應(yīng)、防御體系，充分發(fā)揮整體安全效果。運(yùn)行管理1、崗位配備根據(jù)稅務(wù)安全管理平臺(tái)的運(yùn)行管理要求設(shè)置不同的崗位，依據(jù)最小特權(quán)原則設(shè)置崗位的權(quán)限，不同的崗位由不同的人員承擔(dān)，各崗位間相互制約，規(guī)定嚴(yán)密的操作流程，防止非法使用系統(tǒng)，保證系統(tǒng)安全、有效地運(yùn)行。在稅務(wù)安全管理總中心、分中心和備份中心，分別配置了超級(jí)管理員、網(wǎng)絡(luò)安全管理員、策略管理員、安全審計(jì)員、安全應(yīng)急響應(yīng)人員；在總中心還配置密鑰系統(tǒng)管理員；在各安全管理代理點(diǎn)配置安全管理人員。2、管理規(guī)范和用戶手冊(cè)管理規(guī)范和用戶手冊(cè)交由稅務(wù)安全管理平臺(tái)的管理和操作人員、應(yīng)用開(kāi)發(fā)人員使用，以便用戶掌握稅務(wù)安全管理平臺(tái)的安裝、操作、維護(hù)、管理以及基于安全管理平臺(tái)統(tǒng)一接口的應(yīng)用開(kāi)發(fā)。管理規(guī)范和用戶手冊(cè)包括以下幾類：標(biāo)準(zhǔn)規(guī)范類、用戶安裝類、操作維護(hù)類、運(yùn)行管理類。3、安全管理開(kāi)發(fā)流程安全管理平臺(tái)的開(kāi)發(fā)是一個(gè)龐大的系統(tǒng)工程，與稅務(wù)信息系統(tǒng)本身的建設(shè)密切相關(guān)，安全管理平臺(tái)的開(kāi)發(fā)不可能一步到位。因此安全管理平臺(tái)采用迭代試開(kāi)發(fā)，由簡(jiǎn)單到復(fù)雜，逐步擴(kuò)展，在試點(diǎn)實(shí)施的基礎(chǔ)上總結(jié)經(jīng)驗(yàn)，指導(dǎo)進(jìn)一步的開(kāi)發(fā)升級(jí)。4、運(yùn)行管理流程安全管理平臺(tái)作為稅務(wù)信息系統(tǒng)安全管理的技術(shù)保障手段，安全管理貫穿整個(gè)信息系統(tǒng)運(yùn)行過(guò)程中。安全管理平臺(tái)的運(yùn)行管理主要包括以下幾個(gè)方面：管理準(zhǔn)備工作：制定安全策略，進(jìn)行信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估，成立信息安全技術(shù)領(lǐng)導(dǎo)小組，對(duì)安全產(chǎn)品進(jìn)行跟蹤了解，組織安全管理知識(shí)培訓(xùn)等；安全運(yùn)行管理：安全管理平臺(tái)的主要技術(shù)流程，對(duì)網(wǎng)絡(luò)中的各種主機(jī)、安全設(shè)備實(shí)施全程安全監(jiān)控，安全運(yùn)行日志同時(shí)進(jìn)行詳細(xì)的記錄，在系統(tǒng)發(fā)生運(yùn)行安全事件時(shí)，根據(jù)事件等級(jí)，安全管理平臺(tái)實(shí)時(shí)調(diào)用相應(yīng)的事件處理機(jī)制；安全升級(jí)：定期組織進(jìn)行安全自查，消除安全隱患。通過(guò)分析系統(tǒng)運(yùn)行的狀況，提出新的安全需求，進(jìn)行技術(shù)改進(jìn)，包括系統(tǒng)升級(jí)、加固和變更管理。5、系統(tǒng)維護(hù)稅務(wù)安全管理平臺(tái)的維護(hù)主要涉及硬件設(shè)備的維護(hù)和軟件維護(hù)。6、數(shù)據(jù)備份和恢復(fù)信息安全管理平臺(tái)數(shù)據(jù)庫(kù)中存放著稅務(wù)信息安全運(yùn)行的記錄信息，對(duì)于稅務(wù)信息系統(tǒng)的安全管理和安全事件審查進(jìn)行起著舉足輕重的作用。在系統(tǒng)運(yùn)行中，若這些數(shù)據(jù)丟失或損壞，將給整個(gè)系統(tǒng)帶來(lái)不可估量的損失。為了避免數(shù)據(jù)損壞或丟失造成的損失，采取安全、有效的數(shù)據(jù)庫(kù)備份措施是十分必要的。稅務(wù)權(quán)限管理系統(tǒng)數(shù)據(jù)備份和恢復(fù)的對(duì)象主要是密鑰、系統(tǒng)配置數(shù)據(jù)和各類數(shù)據(jù)庫(kù)。備份的方式有人工備份、磁盤(pán)陣列備份等。數(shù)據(jù)備份遵循規(guī)定的策略。7、安全管理認(rèn)真執(zhí)行有關(guān)的安全管理制度和規(guī)定，包括出入檢查規(guī)定、人員職責(zé)規(guī)定、操作規(guī)范、記錄審計(jì)制度等。8、應(yīng)急處理根據(jù)制訂的安全事件應(yīng)急處理制度和預(yù)案，建立應(yīng)急處理機(jī)制，并突發(fā)事件做出及時(shí)的響應(yīng)和處理。9、人員培訓(xùn)對(duì)安全管理平臺(tái)管理人員、維護(hù)人員進(jìn)行培訓(xùn)，使其了解系統(tǒng)原理、維護(hù)系統(tǒng)運(yùn)行、解決常見(jiàn)的系統(tǒng)故障，熟悉系統(tǒng)管理流程。7.4運(yùn)行環(huán)境要求7.4.1機(jī)房環(huán)境要求信息安全基礎(chǔ)設(shè)施專用機(jī)房環(huán)境要求1、總局和備用機(jī)房布局要求總局信息安全基礎(chǔ)設(shè)施專用機(jī)房設(shè)在數(shù)據(jù)處理中心，總面積為750m2，其中主機(jī)房200m2，管理、操作人員工作區(qū)域550m2。備份信息安全基礎(chǔ)設(shè)施專用機(jī)房設(shè)在災(zāi)備中心。信息安全基礎(chǔ)設(shè)施專用機(jī)房按功能劃分為三個(gè)獨(dú)立的區(qū)域，分別作為CA中心、KMC和權(quán)限管理總中心的機(jī)房。其中，CA中心和KMC機(jī)房總面積為500m2，權(quán)限管理總中心機(jī)房總面積為250m2。每個(gè)機(jī)房根據(jù)安全要求、環(huán)境要求等又劃分為三到四個(gè)子區(qū)域，分別為核心安全區(qū)、管理安全區(qū)、系統(tǒng)管理區(qū)和業(yè)務(wù)區(qū)，各區(qū)域相互隔離，如圖8-9所示。總局和備份信息安全基礎(chǔ)設(shè)施專用機(jī)房布局示意圖2、省級(jí)局機(jī)房布局要求省局信息安全基礎(chǔ)設(shè)施專用機(jī)房設(shè)在各省國(guó)地稅局信息中心，總面積不小于160m2。省局信息安全基礎(chǔ)設(shè)施專用機(jī)房按功能劃分為兩個(gè)獨(dú)立的區(qū)域，分別作為RA和權(quán)限管理分中心的機(jī)房。其中，RA機(jī)房總面積不小于90m2，權(quán)限管理分中心機(jī)房總面積不小于70m2。每個(gè)機(jī)房根據(jù)安全要求、環(huán)境要求等劃分為兩到三個(gè)子區(qū)域，分別為管理安全區(qū)、系統(tǒng)管理區(qū)和業(yè)務(wù)區(qū)，各區(qū)域相互隔離，如圖所示。省局信息安全基礎(chǔ)設(shè)施專用機(jī)房布局示意圖3、核心安全區(qū)機(jī)房環(huán)境要求核心安全區(qū)采用焊接式電磁屏蔽室，滿足GB2887-89《計(jì)算站場(chǎng)地技術(shù)條件》、GB50174-93《電子計(jì)算機(jī)房設(shè)計(jì)規(guī)范》、GB9361-88《計(jì)算站場(chǎng)地安全要求》、GB6650-86《計(jì)算機(jī)機(jī)房活動(dòng)地板技術(shù)要求》、GB50222-95《建筑內(nèi)部裝修設(shè)計(jì)防火規(guī)范》等標(biāo)準(zhǔn)要求。4、管理安全區(qū)機(jī)房環(huán)境要求管理安全區(qū)機(jī)房滿足GB2887-89《計(jì)算站場(chǎng)地技術(shù)條件》、GB50174-93《電子計(jì)算機(jī)房設(shè)計(jì)規(guī)范》、GB9361-88《計(jì)算站場(chǎng)地安全要求》、GB6650-86《計(jì)算機(jī)機(jī)房活動(dòng)地板技術(shù)要求》、GB50222-95《建筑內(nèi)部裝修設(shè)計(jì)防火規(guī)范》等標(biāo)準(zhǔn)。5、系統(tǒng)管理區(qū)和業(yè)務(wù)區(qū)機(jī)房環(huán)境要求系統(tǒng)管理區(qū)機(jī)房和業(yè)務(wù)區(qū)機(jī)房滿足GB2887-89《計(jì)算站場(chǎng)地技術(shù)條件》、GB50174-93《電子計(jì)算機(jī)房設(shè)計(jì)規(guī)范》、GB9361-88《計(jì)算站場(chǎng)地安全要求》、GB6650-86《計(jì)算機(jī)機(jī)房活動(dòng)地板技術(shù)要求》、GB50222-95《建筑內(nèi)部裝修設(shè)計(jì)防火規(guī)范》等標(biāo)準(zhǔn)要求。安全管理中心專用機(jī)房環(huán)境要求1、安全管理中心專用機(jī)房要求依據(jù)金稅（三期）數(shù)據(jù)中心建設(shè)規(guī)劃，總局安全管理中心總面積為450m2，備份安全管理中心總面積為250m2。安全管理中心機(jī)房劃分為四個(gè)區(qū)域：核心安全區(qū)、安全控制區(qū)、系統(tǒng)管理區(qū)以及日常工作區(qū)。其中核心安全區(qū)僅總局安全管理中心及災(zāi)備中心使用，部署網(wǎng)絡(luò)密碼設(shè)備密鑰管理系統(tǒng)。安全管理中心機(jī)房分區(qū)如下圖所示：安全管理中心機(jī)房規(guī)劃示意圖在上述安全管理中心規(guī)劃示意圖中，各部分面積分配如下：核心安全區(qū)20m2、安全控制區(qū)30m2、系統(tǒng)管理區(qū)50m2、日常工作區(qū)350m2（災(zāi)備中心為150m2）。在機(jī)房區(qū)域每10平米預(yù)留2組信息點(diǎn)，每組信息點(diǎn)包括2個(gè)RJ45數(shù)據(jù)點(diǎn)，2個(gè)RJ11語(yǔ)音點(diǎn)，1個(gè)光纖傳輸點(diǎn)和2個(gè)千兆網(wǎng)絡(luò)接口。日常工作區(qū)要求配有專用的文件柜，存放管理平臺(tái)提交的各類文檔。2、現(xiàn)有條件機(jī)房環(huán)境要求：在金稅（三期）數(shù)據(jù)中心未投入使用前安全管理平臺(tái)的部署問(wèn)題，給出安全管理平臺(tái)部署的最低機(jī)房環(huán)境要求：總面積不小于面積50m2，其中，核心安全區(qū)10m2、安全控制區(qū)20m2、系統(tǒng)管理區(qū)20m2。在機(jī)房每個(gè)安全區(qū)域預(yù)留1個(gè)光纖傳輸點(diǎn)和2個(gè)千兆網(wǎng)絡(luò)接口。3、其它配套要求主要指對(duì)機(jī)房供電、接地、場(chǎng)地、空調(diào)、消防、門(mén)禁、安防等的具體要求：（1）供電：機(jī)房?jī)?nèi)部設(shè)備供電使用雙路UPS和1路市電供應(yīng)；（2）接地：要求有防雷保護(hù)、交流接地、直流接地、安全保護(hù)地；（3）空調(diào)：安全管理中心溫度20±5℃，濕度55±（4）門(mén)禁：安全管理平臺(tái)對(duì)機(jī)房門(mén)禁系統(tǒng)不作要求；（5）場(chǎng)地：數(shù)據(jù)中心統(tǒng)一考慮，符合數(shù)據(jù)中心建設(shè)條件即可，不做具體要求；（6）消防：要求配備通過(guò)數(shù)據(jù)中心集中監(jiān)控的消防滅火裝置。4、地市級(jí)安全管理代理點(diǎn)機(jī)房要求地市級(jí)安全管理代理點(diǎn)需要在地市級(jí)局域網(wǎng)絡(luò)中的網(wǎng)絡(luò)管理區(qū)域或業(yè)務(wù)區(qū)域的機(jī)柜規(guī)劃4U高度空間，并提供一操作臺(tái)用于放置管理終端。在可用交換機(jī)上預(yù)留2網(wǎng)絡(luò)接口和3個(gè)該局域網(wǎng)IP地址。網(wǎng)絡(luò)安全防護(hù)系統(tǒng)機(jī)房環(huán)境要求按照設(shè)備規(guī)格，為每個(gè)設(shè)備預(yù)留機(jī)架空間，如下表所示：設(shè)備名稱預(yù)留空間萬(wàn)兆IP防火墻7U防火墻3U防病毒網(wǎng)關(guān)3U百兆入侵檢測(cè)系統(tǒng)2U千兆入侵檢測(cè)系統(tǒng)4UIP加密機(jī)4U2.5G加密機(jī)5U萬(wàn)兆IP密碼機(jī)需要配置專門(mén)的機(jī)柜，國(guó)稅總局和南海災(zāi)備中心各配置2個(gè)19”標(biāo)準(zhǔn)機(jī)柜。機(jī)柜尺寸為60100200cm3。單臺(tái)萬(wàn)兆IP密碼機(jī)的功率需求約為3KW，故國(guó)稅總局和南海災(zāi)備中心需要專門(mén)為各2臺(tái)萬(wàn)兆IP密碼機(jī)預(yù)留6KW的功率容量。應(yīng)用安全支撐平臺(tái)機(jī)房環(huán)境要求應(yīng)用安全支撐平臺(tái)不需要單獨(dú)建立機(jī)房，對(duì)機(jī)房的要求與一般業(yè)務(wù)系統(tǒng)相同。應(yīng)用安全支撐平臺(tái)的所有服務(wù)器可放置在國(guó)稅總局和各省級(jí)局?jǐn)?shù)據(jù)中心機(jī)房，與業(yè)務(wù)系統(tǒng)服務(wù)器統(tǒng)一部署和管理。一套應(yīng)用安全支撐平臺(tái)所有服務(wù)器設(shè)備需要占用2個(gè)標(biāo)準(zhǔn)機(jī)柜面積，一個(gè)機(jī)柜安裝在數(shù)據(jù)中心“業(yè)務(wù)服務(wù)器區(qū)”，用于安裝認(rèn)證服務(wù)器和信息防篡改服務(wù)器；另一個(gè)安裝在數(shù)據(jù)中心“對(duì)外服務(wù)區(qū)”，用于安裝安裝ftp服務(wù)器和Web門(mén)戶站點(diǎn)服務(wù)器。7.4.2網(wǎng)絡(luò)環(huán)境要求信息安全基礎(chǔ)設(shè)施網(wǎng)絡(luò)環(huán)境要求稅務(wù)信息安全基礎(chǔ)設(shè)施的證書(shū)認(rèn)證與密鑰管理系統(tǒng)、權(quán)限管理系統(tǒng)及其備份系統(tǒng)分別部署在總局、省級(jí)國(guó)地稅局?jǐn)?shù)據(jù)處理中心和災(zāi)備中心的安全基礎(chǔ)設(shè)施區(qū)域中，通過(guò)安全基礎(chǔ)設(shè)施區(qū)域接入交換機(jī)連接核心交換機(jī)，如圖所示：信息安全基礎(chǔ)設(shè)施的接入示意圖1、總局和備用信息安全基礎(chǔ)設(shè)施網(wǎng)絡(luò)環(huán)境要求總局和備用信息安全基礎(chǔ)設(shè)施各安全區(qū)域之間及信息安全基礎(chǔ)設(shè)施對(duì)總局?jǐn)?shù)據(jù)處理中心和災(zāi)備中心的網(wǎng)絡(luò)連接要求如下圖所示：總局和備份信息安全基礎(chǔ)設(shè)施網(wǎng)絡(luò)連接要求示意圖2、省級(jí)局信息安全基礎(chǔ)設(shè)施網(wǎng)絡(luò)環(huán)境要求省級(jí)局信息安全基礎(chǔ)設(shè)施各安全區(qū)域之間及信息安全基礎(chǔ)設(shè)施對(duì)省級(jí)局?jǐn)?shù)據(jù)處理中心的網(wǎng)絡(luò)連接要求如下圖所示。省局信息安全基礎(chǔ)設(shè)施網(wǎng)絡(luò)連接要求示意圖安全管理中心網(wǎng)絡(luò)環(huán)境要求稅務(wù)信息安全管理平臺(tái)部署在總局安全管理中心、省級(jí)國(guó)地稅局安全管理分中心和備份安全管理中心，通過(guò)防火墻的外口連接核心交換機(jī)，如下圖所示。稅務(wù)安全管理平臺(tái)網(wǎng)絡(luò)連接要求示意圖1、總局和備用安全管理平臺(tái)網(wǎng)絡(luò)環(huán)境要求總局和備用安全管理平臺(tái)各安全區(qū)域之間及對(duì)總局安全管理中心和備用安全管理中心的網(wǎng)絡(luò)連接要求如下圖所示。總局和備份安全管理平臺(tái)網(wǎng)絡(luò)連接要求示意圖2、省局安全管理平臺(tái)網(wǎng)絡(luò)環(huán)境要求省局安全管理平臺(tái)各安全區(qū)域之間及對(duì)省局安全管理分中心的網(wǎng)絡(luò)連接要求如下圖所示。省局安全管理平臺(tái)網(wǎng)絡(luò)連接要求示意圖網(wǎng)絡(luò)安全防護(hù)系統(tǒng)網(wǎng)絡(luò)環(huán)境要求1、入侵檢測(cè)系統(tǒng)網(wǎng)絡(luò)連接要求入侵檢測(cè)系統(tǒng)的探測(cè)器需要配置在交換機(jī)的鏡像端口，設(shè)計(jì)配置點(diǎn)必須保證已配置了支持端口映射的交換機(jī)。2、移動(dòng)接入安全系統(tǒng)網(wǎng)絡(luò)連接要求移動(dòng)接入系統(tǒng)的百兆密碼設(shè)備需要對(duì)外服務(wù)區(qū)的交換機(jī)預(yù)留接口。應(yīng)用安全支撐平臺(tái)網(wǎng)絡(luò)環(huán)境要求應(yīng)用安全支撐平臺(tái)的認(rèn)證服務(wù)器與業(yè)務(wù)系統(tǒng)服務(wù)器處于同一安全域，其IP地址分配與應(yīng)用服務(wù)器為同一局域網(wǎng)子網(wǎng)網(wǎng)段，網(wǎng)絡(luò)帶寬1000M。認(rèn)證服務(wù)器可配置另一個(gè)IP地址，訪問(wèn)CA和AA系統(tǒng)的LDAP服務(wù)器和OCSP服務(wù)器。認(rèn)證服務(wù)器管理終端通過(guò)TCP/IP協(xié)議訪問(wèn)認(rèn)證服務(wù)器，對(duì)認(rèn)證服務(wù)器進(jìn)行監(jiān)控和管理。安全Web門(mén)戶服務(wù)器和安全ftp服務(wù)器處于發(fā)布服務(wù)器區(qū)。安全ftp能夠接受網(wǎng)絡(luò)中用戶的訪問(wèn)，又能通過(guò)TCP/IP協(xié)議訪問(wèn)認(rèn)證服務(wù)器。信息防篡改服務(wù)器與業(yè)務(wù)系統(tǒng)服務(wù)器處于同一安全域，需要通過(guò)TCP/IP協(xié)議訪問(wèn)安全Web門(mén)戶服務(wù)器、安全ftp服務(wù)器和所有需要保護(hù)的業(yè)務(wù)系統(tǒng)接入服務(wù)器。7.5實(shí)施步驟與策略1、第一階段任務(wù)（2年到2年半時(shí)間）在金稅工程（三期）的第一階段，為啟動(dòng)、開(kāi)發(fā)和試點(diǎn)階段。在第一階段中主要實(shí)施和完成的內(nèi)容有：（1）證書(shū)認(rèn)證系統(tǒng)包含業(yè)務(wù)專網(wǎng)CA、互聯(lián)網(wǎng)CA、業(yè)務(wù)專網(wǎng)RA(地稅)、業(yè)務(wù)專網(wǎng)RA(國(guó)稅)、互聯(lián)網(wǎng)RA、證書(shū)/目錄服務(wù)器、USB-key。其中業(yè)務(wù)專網(wǎng)CA、互聯(lián)網(wǎng)CA第一階段全部完成；業(yè)務(wù)專網(wǎng)RA(地稅)、業(yè)務(wù)專網(wǎng)RA(國(guó)稅)、互聯(lián)網(wǎng)RA、證書(shū)/目錄服務(wù)器、應(yīng)用認(rèn)證服務(wù)器的建設(shè)，第一階段8個(gè)省全部完成。USB-key完成8個(gè)試點(diǎn)省的建設(shè)。（2）密鑰管理系統(tǒng)包含業(yè)務(wù)專網(wǎng)KMC、互聯(lián)網(wǎng)KMC第一階段全部建設(shè)完成。（3）權(quán)限管理系統(tǒng)包含權(quán)限管理總中心、權(quán)限管理分中心、遠(yuǎn)程權(quán)限管理點(diǎn)、訪問(wèn)控制決策點(diǎn)。其中權(quán)限管理總中心第一階段全部完成。權(quán)限管理分中心、遠(yuǎn)程權(quán)限管理點(diǎn)、訪問(wèn)控制決策點(diǎn)的建設(shè)進(jìn)度與網(wǎng)絡(luò)系統(tǒng)建設(shè)進(jìn)度一致，第一階段完成總局?jǐn)?shù)據(jù)中心、災(zāi)備中心及選定的8個(gè)省的建設(shè)。（4）網(wǎng)絡(luò)安全防護(hù)系統(tǒng)包含數(shù)據(jù)庫(kù)安全分析工具、網(wǎng)絡(luò)分析儀、操作系統(tǒng)加固、密碼機(jī)、萬(wàn)兆密碼機(jī)、千兆密碼機(jī)、百兆密碼機(jī)、萬(wàn)兆防火墻、千兆防火墻、百兆防火墻、千兆入侵檢測(cè)、百兆入侵檢測(cè)、漏洞掃描、防病毒。其中數(shù)據(jù)庫(kù)安全分析工具、網(wǎng)絡(luò)分析儀、萬(wàn)兆密碼機(jī)、2.5G密碼機(jī)、萬(wàn)兆防火墻、操作系統(tǒng)加固在第一階段全部完成；千兆密碼機(jī)省級(jí)全配完，8省所轄市配完。千兆防火墻、百兆防火墻、千兆入侵檢測(cè)、百兆入侵檢測(cè)，漏洞掃描、防病毒與網(wǎng)絡(luò)系統(tǒng)建設(shè)進(jìn)度一致，第一階段完成選定的8個(gè)省的建設(shè)。（5）安全管理平臺(tái)包含一級(jí)安全管理平臺(tái)、二級(jí)安全管理平臺(tái)、安全管理平臺(tái)管理代理點(diǎn)。其中一級(jí)安全管理平臺(tái)第一階段全部完成；二級(jí)安全管理平臺(tái)、安全管理平臺(tái)管理代理點(diǎn)的建設(shè)進(jìn)度與網(wǎng)絡(luò)系統(tǒng)、計(jì)算機(jī)存儲(chǔ)等建設(shè)進(jìn)度一致，第一階段完成選定的8個(gè)省的建設(shè)。（6）應(yīng)用安全支撐平臺(tái)包含安全接入網(wǎng)關(guān)、安全認(rèn)證服務(wù)器、安全中間件系統(tǒng)、客戶端安全套件等。第一階段完成總局?jǐn)?shù)據(jù)中心、災(zāi)備中心及選定的8個(gè)省的建設(shè)。（7）容災(zāi)備份系統(tǒng)的安全保障。在總體規(guī)劃上安全系統(tǒng)應(yīng)該提前于其它系統(tǒng)完成。為了保證安全系統(tǒng)之間能有一個(gè)很好的銜接。第一階段開(kāi)始啟動(dòng)的項(xiàng)目有登錄安全認(rèn)證系統(tǒng)、數(shù)據(jù)安全應(yīng)用系統(tǒng)、安全管理系統(tǒng)。第一階段完成總局?jǐn)?shù)據(jù)中心、災(zāi)備中心的安全保障建設(shè)建設(shè)。（8）安全管理體系及相應(yīng)的標(biāo)準(zhǔn)、規(guī)范和制度的架構(gòu)設(shè)計(jì)包含金稅工程（三期）安全組織建設(shè)和標(biāo)準(zhǔn)、規(guī)范和管理制度的建設(shè)。其中標(biāo)準(zhǔn)、規(guī)范和管理制度的建設(shè)是一項(xiàng)比較大的軟系統(tǒng)工程，在該階段完成。2、第二階段任務(wù)（1年時(shí)間）在金稅工程（三期）的第二階段為全面推廣階段。在本階段中主要實(shí)施和完成的內(nèi)容有：（1）證書(shū)認(rèn)證系統(tǒng)本階段完成剩余單位業(yè)務(wù)專網(wǎng)RA(地稅)、業(yè)務(wù)專網(wǎng)RA(國(guó)稅)、互聯(lián)網(wǎng)RA、證書(shū)/目錄服務(wù)器、應(yīng)用認(rèn)證服務(wù)器，USB-key的建設(shè)。（2）權(quán)限管理系統(tǒng)本階段完成剩余單位的權(quán)限管理分中心、遠(yuǎn)程權(quán)限管理點(diǎn)、訪問(wèn)控制決策點(diǎn)。（3）網(wǎng)絡(luò)安全防護(hù)系統(tǒng)本階段完成剩余單位的千兆防火墻、百兆防火墻、千兆入侵檢測(cè)、百兆入侵檢測(cè)，漏洞掃描、防病毒與網(wǎng)絡(luò)系統(tǒng)的建設(shè)（4）安全管理平臺(tái)本階段完成剩余單位的二級(jí)安全管理平臺(tái)、安全管理平臺(tái)管理代理點(diǎn)的建設(shè)。（5）應(yīng)用安全支撐平臺(tái)本階段完成剩余單位的應(yīng)用安全支撐平臺(tái)建設(shè)。包含安全接入網(wǎng)關(guān)、安全認(rèn)證服務(wù)器、安全中間件系統(tǒng)、客戶端安全套件等。3、第三階段任務(wù)（1年時(shí)間）本階段是完善和驗(yàn)收階段。該階段完善整個(gè)安全體系建設(shè)，在條件允許時(shí)，對(duì)其驗(yàn)收。7.5.1實(shí)施計(jì)劃安全保障體系計(jì)劃采用四年時(shí)間全部實(shí)施完畢。實(shí)施計(jì)劃表如下：項(xiàng)目建設(shè)內(nèi)容時(shí)間（1）CA/KMC系統(tǒng)建設(shè)總局和災(zāi)備業(yè)務(wù)專網(wǎng)CA/KMC系統(tǒng)建設(shè)總局和災(zāi)備互聯(lián)網(wǎng)CA/KMC系統(tǒng)建設(shè)8省市業(yè)務(wù)專網(wǎng)RA系統(tǒng)建設(shè)8省市互聯(lián)網(wǎng)RA系統(tǒng)建設(shè)剩余省市業(yè)務(wù)專網(wǎng)RA系統(tǒng)建設(shè)剩余省市互聯(lián)網(wǎng)RA系統(tǒng)建設(shè)USB-key（配合CA建設(shè)）證書(shū)、目錄服務(wù)器（配合CA建設(shè)）（2）AA權(quán)限管理系統(tǒng)總局權(quán)限管理總中心建設(shè)災(zāi)備權(quán)限管理總中心建設(shè)8個(gè)省權(quán)限管理分中心建設(shè)8個(gè)省遠(yuǎn)程權(quán)限管理點(diǎn)建設(shè)剩余省份權(quán)限管理系統(tǒng)建設(shè)（3）應(yīng)用安全支撐平臺(tái)總局安全應(yīng)用支撐平臺(tái)建設(shè)災(zāi)備安全應(yīng)用支撐平臺(tái)建設(shè)8個(gè)省局安全應(yīng)用支撐平臺(tái)建設(shè)剩余省份安全應(yīng)用支撐平臺(tái)建設(shè)（4）網(wǎng)絡(luò)安全防護(hù)系統(tǒng)總局網(wǎng)絡(luò)安全防護(hù)系統(tǒng)建設(shè)災(zāi)備網(wǎng)絡(luò)安全防護(hù)系統(tǒng)建設(shè)災(zāi)備安全系統(tǒng)建設(shè)省級(jí)局網(wǎng)絡(luò)安全防護(hù)系統(tǒng)建設(shè)地市局網(wǎng)絡(luò)安全防護(hù)系統(tǒng)建設(shè)區(qū)縣級(jí)網(wǎng)絡(luò)安全防護(hù)系統(tǒng)建設(shè)（5）安全管理平臺(tái)總局一級(jí)安全管理平臺(tái)建設(shè)災(zāi)備一級(jí)安全管理平臺(tái)建設(shè)8個(gè)省二級(jí)管理平臺(tái)建設(shè)8個(gè)省安全管理代理點(diǎn)剩余省份安全管理系統(tǒng)建設(shè)（6）規(guī)范、管理制度標(biāo)準(zhǔn)規(guī)范、管理制度小計(jì)7.5.2實(shí)施策略稅務(wù)系統(tǒng)安全保障體系的實(shí)施是個(gè)龐大的系統(tǒng)工程，整個(gè)安全體系建設(shè)采用分布實(shí)施的策略：1、統(tǒng)一規(guī)劃、配套實(shí)施稅務(wù)信息安全保障體系的各組成部分之間、稅務(wù)信息安全保障體系與稅務(wù)網(wǎng)絡(luò)基礎(chǔ)設(shè)施和應(yīng)用系統(tǒng)之間具有非常緊密的依賴關(guān)系，因此，稅務(wù)信息安全體系各子項(xiàng)目的建設(shè)應(yīng)統(tǒng)一規(guī)劃，配套實(shí)施，確保稅務(wù)信息安全體系建設(shè)既能夠根據(jù)稅務(wù)信息系統(tǒng)安全需求的重點(diǎn)分步實(shí)施，又能夠整體推進(jìn)，保障稅務(wù)信息系統(tǒng)的安全。2、先試點(diǎn)，再推廣首先完成總局安全系統(tǒng)的建設(shè)，選擇有代表性的省份作為試點(diǎn)。在試點(diǎn)的基礎(chǔ)上總結(jié)經(jīng)驗(yàn)，完善與升級(jí)系統(tǒng)，在進(jìn)一步擴(kuò)大試點(diǎn)范圍，實(shí)現(xiàn)疊代試部屬與升級(jí)。3、逐步擴(kuò)充的實(shí)施策略稅務(wù)安全保障體系內(nèi)容很多，技術(shù)難度很大，整個(gè)體系建設(shè)實(shí)施，本著由簡(jiǎn)至繁，逐步擴(kuò)充的原則進(jìn)行，在系統(tǒng)分布實(shí)施與試運(yùn)行過(guò)程中積累建設(shè)經(jīng)驗(yàn)，逐步擴(kuò)充，最終實(shí)現(xiàn)整個(gè)安全體系的建設(shè)。7.6工作安排7.6.1建設(shè)啟動(dòng)條件稅務(wù)系統(tǒng)信息安全保障體系各子項(xiàng)目建設(shè)啟動(dòng)的條件主要包括項(xiàng)目總體實(shí)施方案的評(píng)審和批準(zhǔn)、系統(tǒng)密碼子系統(tǒng)方案的審批、相關(guān)信息安全體系配套項(xiàng)目的實(shí)施等。項(xiàng)目總體方案評(píng)審和報(bào)批由國(guó)家稅務(wù)總局組織專家對(duì)稅務(wù)系統(tǒng)信息安全保障體系各子項(xiàng)目總體實(shí)施方案進(jìn)行評(píng)審，評(píng)審?fù)ㄟ^(guò)后，報(bào)國(guó)家稅務(wù)總局批準(zhǔn)。密碼子系統(tǒng)方案報(bào)批由總參三部根據(jù)國(guó)家稅務(wù)總局的委托，編制稅務(wù)系統(tǒng)信息安全保障體系密碼子系統(tǒng)方案，報(bào)國(guó)家密碼管理局審批。配套項(xiàng)目實(shí)施稅務(wù)信息安全保障體系的各組成部分之間、稅務(wù)信息安全保障體系與稅務(wù)網(wǎng)絡(luò)基礎(chǔ)設(shè)施和應(yīng)用系統(tǒng)之間具有非常緊密的依賴關(guān)系。首先，在基于PKI/PMI技術(shù)的稅務(wù)信息安全保障體系中，證書(shū)認(rèn)證與密鑰管理系統(tǒng)是全系統(tǒng)統(tǒng)一的信任體系的核心，用戶身份的真實(shí)性和有效性由證書(shū)認(rèn)證與密鑰管理系統(tǒng)為用戶簽發(fā)的身份證書(shū)確定，而權(quán)限管理和訪問(wèn)控制又必須以用戶的真實(shí)、有效身份為基礎(chǔ)。因此，稅務(wù)權(quán)限管理系統(tǒng)授權(quán)管理和訪問(wèn)控制決策服務(wù)的提供離不開(kāi)證書(shū)認(rèn)證與密鑰管理系統(tǒng)。其次，面對(duì)稅務(wù)信息系統(tǒng)這樣一個(gè)多種應(yīng)用系統(tǒng)同時(shí)運(yùn)行的綜合性大型計(jì)算機(jī)網(wǎng)絡(luò)信息系統(tǒng)，如果采用由應(yīng)用系統(tǒng)直接訪問(wèn)證書(shū)認(rèn)證與密鑰管理系統(tǒng)、權(quán)限管理系統(tǒng)和密碼設(shè)備提供的安全服務(wù)，不僅要求應(yīng)用系統(tǒng)開(kāi)發(fā)人員對(duì)信息安全體系的結(jié)構(gòu)、部署和機(jī)制有深入地理解，增加了應(yīng)用系統(tǒng)安全開(kāi)發(fā)的復(fù)雜度，也無(wú)法保證安全功能實(shí)現(xiàn)的正確性和完整性，不可能達(dá)到預(yù)期的安全保障要求。為了支撐各類應(yīng)用的安全，需要將先進(jìn)適用的安全技術(shù)和設(shè)備有機(jī)集成、融合為一個(gè)整體，構(gòu)建統(tǒng)一的應(yīng)用安全支撐平臺(tái)，為各類應(yīng)用系統(tǒng)提供標(biāo)準(zhǔn)、統(tǒng)一、規(guī)范的安全功能支撐，保障整個(gè)系統(tǒng)的安全。因此，安全基礎(chǔ)設(shè)施安全服務(wù)的提供和應(yīng)用系統(tǒng)的安全實(shí)現(xiàn)也離不開(kāi)應(yīng)用安全支撐平臺(tái)。第三，安全管理平臺(tái)執(zhí)行對(duì)稅務(wù)信息系統(tǒng)的統(tǒng)一安全管理，在安全管理平臺(tái)建設(shè)啟動(dòng)前，需要及時(shí)獲取稅務(wù)信息網(wǎng)絡(luò)安全防護(hù)系統(tǒng)和應(yīng)用安全管理的相關(guān)信息，如安全設(shè)備型號(hào)、配置、管理接口等，同時(shí)要求各類防護(hù)設(shè)備應(yīng)支持集中管理。因此，安全管理平臺(tái)的實(shí)施與網(wǎng)絡(luò)安全防護(hù)系統(tǒng)的建設(shè)是密切相關(guān)的。根據(jù)上述分析，稅務(wù)信息安全體系各子項(xiàng)目的建設(shè)應(yīng)統(tǒng)一規(guī)劃，配套實(shí)施，確保稅務(wù)信息安全體系建設(shè)既能夠根據(jù)稅務(wù)信息系統(tǒng)安全需求的重點(diǎn)分步實(shí)施，又能夠整體推進(jìn)，保障稅務(wù)信息系統(tǒng)的安全。7.6.2任務(wù)分解稅務(wù)信息安全保障體系建設(shè)任務(wù)主要有：證書(shū)認(rèn)證與密鑰管理系統(tǒng)，包括業(yè)務(wù)專網(wǎng)CA/KMC和互聯(lián)網(wǎng)CA/KMC。稅務(wù)權(quán)限管理系統(tǒng)。應(yīng)用安全支撐平臺(tái)。網(wǎng)絡(luò)安全防護(hù)系統(tǒng)，包括網(wǎng)絡(luò)密碼子系統(tǒng)、防火墻子系統(tǒng)、入侵檢測(cè)子系統(tǒng)、防病毒子系統(tǒng)、漏洞掃描子系統(tǒng)、系統(tǒng)加固子系統(tǒng)等。安全管理平臺(tái)。7.6.3總局工作安排總局工作任務(wù)在稅務(wù)信息安全保障體系各子項(xiàng)目建設(shè)中，總局的工作任務(wù)主要有：組織專家進(jìn)行項(xiàng)目總體方案的評(píng)審和批準(zhǔn)。委托總參三部向國(guó)家密碼管理局報(bào)批稅務(wù)信息安全保障體系密碼子系統(tǒng)方案。制定、下發(fā)項(xiàng)目詳細(xì)實(shí)施方案。分階段進(jìn)行總局配發(fā)的通用設(shè)備和系統(tǒng)軟件的招標(biāo)和采購(gòu)。分階段進(jìn)行總局配發(fā)的密碼設(shè)備的采購(gòu)?？偩趾蜑?zāi)備中心機(jī)房建設(shè)?？偩趾蜑?zāi)備中心人員配備，負(fù)責(zé)各業(yè)務(wù)部門(mén)人員配備的審批。制定、批準(zhǔn)、下發(fā)項(xiàng)目運(yùn)行管理的標(biāo)準(zhǔn)規(guī)范和規(guī)章制度?？偩趾蜑?zāi)備中心網(wǎng)絡(luò)資源規(guī)劃，包括詳細(xì)網(wǎng)絡(luò)拓?fù)洹P地址分配等。組織項(xiàng)目的實(shí)施。按階段向國(guó)稅系統(tǒng)配發(fā)通用設(shè)備和密碼設(shè)備，向省級(jí)地稅局配發(fā)相關(guān)設(shè)備。組織總局和災(zāi)備中心項(xiàng)目的安裝實(shí)施和測(cè)試驗(yàn)收。負(fù)責(zé)總局和災(zāi)備中心系統(tǒng)的運(yùn)行管理?？偩峙鋫滟Y源總局配備的資源主要有：國(guó)稅系統(tǒng)項(xiàng)目使用的通用設(shè)備、密碼設(shè)備。招標(biāo)買斷的系統(tǒng)軟件和項(xiàng)目業(yè)務(wù)軟件。部分省級(jí)地稅局使用的通用設(shè)備、密碼設(shè)備。各級(jí)人員崗位配備、運(yùn)行管理規(guī)章制度。7.6.4省級(jí)局工作安排省級(jí)局工作任務(wù)1、省級(jí)國(guó)稅局工作任務(wù)在稅務(wù)信息安全保障體系各子項(xiàng)目建設(shè)中，各省級(jí)國(guó)稅局的工作任務(wù)主要有：根據(jù)總局制定、下發(fā)的項(xiàng)目詳細(xì)實(shí)施方案制定和審批本省國(guó)稅局項(xiàng)目詳細(xì)實(shí)施方案。省級(jí)局機(jī)房建設(shè)或改造。根據(jù)總局的要求進(jìn)行人員的配備，負(fù)責(zé)各業(yè)務(wù)部門(mén)人員配備的審批。根據(jù)總局下發(fā)的系統(tǒng)運(yùn)行管理規(guī)章制度，結(jié)合本地實(shí)際，制定本省系統(tǒng)運(yùn)行管理規(guī)章制度。省級(jí)局系統(tǒng)網(wǎng)絡(luò)資源規(guī)劃，包括詳細(xì)網(wǎng)絡(luò)拓?fù)?、IP地址分配等。按計(jì)劃組織系統(tǒng)的實(shí)施。組織省級(jí)局系統(tǒng)的安裝實(shí)施和測(cè)試驗(yàn)收。負(fù)責(zé)省級(jí)局系統(tǒng)的運(yùn)行管理。2、省級(jí)地稅局工作任務(wù)在稅務(wù)信息安全保障體系建設(shè)中，各省級(jí)地稅局的工作任務(wù)主要有：根據(jù)總局制定、下發(fā)的項(xiàng)目詳細(xì)實(shí)施方案制定和審批本省地稅局項(xiàng)目詳細(xì)實(shí)施方案。按計(jì)劃進(jìn)行本省自購(gòu)的通用設(shè)備的招標(biāo)和采購(gòu)。依據(jù)總局的要求，按計(jì)劃進(jìn)行本省自購(gòu)密碼設(shè)備的采購(gòu)。省級(jí)局機(jī)房建設(shè)或改造。根據(jù)總局的要求進(jìn)行人員的配備，負(fù)責(zé)各業(yè)務(wù)部門(mén)人員配備的審批。根據(jù)總局下發(fā)的系統(tǒng)運(yùn)行管理規(guī)章制度，結(jié)合本